JP6515439B2 - Authority management apparatus, authority management method, and authority management system - Google Patents
Authority management apparatus, authority management method, and authority management system Download PDFInfo
- Publication number
- JP6515439B2 JP6515439B2 JP2014065122A JP2014065122A JP6515439B2 JP 6515439 B2 JP6515439 B2 JP 6515439B2 JP 2014065122 A JP2014065122 A JP 2014065122A JP 2014065122 A JP2014065122 A JP 2014065122A JP 6515439 B2 JP6515439 B2 JP 6515439B2
- Authority
- JP
- Japan
- Prior art keywords
- user
- authority
- display
- granted
- grant
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Active
Links
Images
Landscapes
- Management, Administration, Business Operations System, And Electronic Commerce (AREA)
Description
本発明は、権限管理装置、権限管理方法、及び権限管理システムに関する。 The present invention relates to an authority management device, an authority management method, and an authority management system.
従来、業務システム側の権限は業務システムごとに個別で管理されてきたが、システムや利用者の多様化、ずさんな管理による情報漏えい、日本版ＳＯＸ法（サーベンス・オクスリー法）の施行などの背景が有り、権限情報を統合的に管理するニーズが高まってきた。最も基本的な手段である紙や帳票を用いた方法だけでなく、ＩＴ（Ｉｎｆｏｒｍａｔｉｏｎ Ｔｅｃｈｎｏｌｏｇｙ）システムを使った製品も存在するが、それらは権限を登録する機能に重きを置いており、付与状況の確認・棚卸を効率よく行う手段が求められている。 Conventionally, the authority on the business system side has been managed separately for each business system, but the background of the diversification of systems and users, information leakage due to sloppy management, enforcement of the Japanese version SOX (Sarbans-Oxley) law, etc. There is a growing need for integrated management of authority information. Not only the method using paper and forms, which is the most basic means, but also products using an IT (Information Technology) system exist, but they emphasize the function of registering the authority, and There is a need for an efficient means of conducting confirmation and inventory.
システムの利用者について、利用者の名前や所属等の属性を管理するシステムにおいて、さらに利用者に業務システムを利用するために付与された権限を利用者の属性とともに統合的に管理するシステムが存在する。例えば、「Ａシステムに対するファイルの読み書き可否」や「Ｂシステムに対する管理者メニューの実行可否」などの情報を管理している。 In the system that manages attributes such as user name and affiliation for system users, there is also a system that integrally manages the authority granted for users to use the business system together with the user attributes Do. For example, it manages information such as “file read / write permission for the A system” and “whether the administrator menu for the B system can be executed”.
特許文献１記載のアクセス権限管理装置においては、ユーザに付与される権限を管理する場合、人事発令があった日を基準として予め設定しておいた期日に、前任者のユーザＩＤ（Ｉｄｅｎｔｉｆｉｅｒ）及びパスワードが無効にされる。 In the access authority management device described in Patent Document 1, when managing the authority given to the user, the user ID (Identifier) of the predecessor and the date of the preset in reference to the date when the personnel issue is issued. Password is invalidated.
ところで、このようなシステムについて、設定ミスなどで不要な権限を付与してしまうと、越権行為や情報漏えいなどのセキュリティインシデントを引き起こしてしまう。逆に、必要な権限を誤って付与しなかった場合や、必要な権限を誤って剥奪してしまった場合、その人の業務が止まってしまい、ビジネスの機会を損失してしまう恐れがある。そのため、権限情報の定期的な棚卸を行い、不正な権限を早期に発見する必要がある。 By the way, if such a system is given an unnecessary authority due to a setting error or the like, a security incident such as an over-righting act or an information leak will be caused. Conversely, if the necessary authority is not given by mistake or if the necessary authority is accidentally removed, the business of the person may be stopped and the business opportunity may be lost. Therefore, it is necessary to perform regular inventory of authority information and to find out illegal authority at an early stage.
上述の特許文献１に記載されたアクセス権限管理装置のように、権限属性の設定をあらかじめ定めた期日に行う場合、意図した通りの権限が設定されたかどうかが不明であるという問題があった。 When the setting of the authority attribute is performed on a predetermined date as in the access authority management device described in Patent Document 1 described above, there is a problem that it is unclear whether the authority as intended is set.
本発明の目的は、上述の課題を解決し、より低コストにユーザに付与された権限を確認する権限管理装置、権限管理方法、及び権限管理システムを提供することである。 An object of the present invention is to provide an authority management apparatus, an authority management method, and an authority management system which solves the above-mentioned problems and confirms the authority given to the user at lower cost.
本発明の権限管理装置は、ユーザと付与条件に基づき当該ユーザに付与される権限とを記憶する記憶手段と、ユーザと権限との対応関係を示す区画に、前記記憶手段に記憶されたユーザと権限との関係に基づき前記ユーザに対して前記権限が所定期間付与されたことを示す付与情報を表示する指示を外部装置に与える表示手段と、を含む。 The authority management apparatus according to the present invention comprises: storage means for storing a user and an authority to be granted to the user based on the grant conditions; and a user stored in the storage means in a section indicating a correspondence between the user and the authority. And display means for giving an instruction to the external device to display grant information indicating that the privilege has been granted for a predetermined period of time based on a relationship with the privilege.
本発明の権限管理方法は、ユーザと付与条件に基づき当該ユーザに付与される権限とを記憶し、ユーザと権限との対応関係を示す区画に、前記記憶手段に記憶されたユーザと権限との関係に基づき前記ユーザに対して前記権限が所定期間内付与されたことを示す付与情報を表示する指示を表示装置に与える。 The right management method of the present invention stores a user and the right to be granted to the user based on the grant conditions, and stores the user and the right stored in the storage means in a section indicating the correspondence between the user and the right. An instruction to display assignment information indicating that the authority has been granted for a predetermined period is given to the display device based on the relationship.
本発明の効果は、ユーザに付与された権限をより低コストに確認できることである。 An advantage of the present invention is that the authority granted to the user can be confirmed at lower cost.
（第一の実施の形態）
次に、本発明の第一の実施の形態について説明する。
(First embodiment)
Next, a first embodiment of the present invention will be described.
はじめに、本発明の第一の実施の形態の構成について説明する。図２は、本発明の第一の実施の形態における権限管理装置を適用した権限管理システムの構成を示すブロック図である。 First, the configuration of the first embodiment of the present invention will be described. FIG. 2 is a block diagram showing the configuration of an authority management system to which the authority management apparatus according to the first embodiment of the present invention is applied.
図２を参照すると、本発明の第一の実施の形態における権限管理システムは、権限管理装置１００、クライアント２００、及び、サーバ３００を含む。
Referring to FIG. 2, the authority management system according to the first embodiment of the present invention includes an
ここで、権限管理装置１００は、ユーザに関する情報および権限に関する情報をもとに、サーバ３００に対してアクセスコントロール機能を提供するとともに、権限に関する表示データを生成して表示部２０１に表示させる。
Here, based on the information on the user and the information on the authority, the
クライアント２００は、管理者等が、権限管理装置に対して、権限の表示を指示するための端末である。
The
サーバ３００は、業務サービスの利用者に業務サービスを提供し、提供の際に必要に応じて利用者に対するアクセスコントロールを権限管理装置１００の応答に応じて行う。
The
権限管理装置１００は、記憶部１０１、表示部１０２、及びアクセスコントロール部１０３を含む。
The
記憶部１０１について説明する。記憶部１０１は、権限テーブル１２１、ユーザテーブル１２２、権限付与対象テーブル１２３、及びビジネスロールテーブル１２４をそれぞれ記憶する。
The
図６は、本発明の第一の実施の形態における権限テーブル１２１の例を示す図である。権限テーブル１２１の各行がそれぞれ権限を表す。それぞれの権限には権限ＩＤ（Ｉｄｅｎｔｉｆｉｅｒ），権限名、有効期間開始日、および有効期間終了日が必要に応じ設定される。 FIG. 6 is a diagram showing an example of the authority table 121 in the first embodiment of the present invention. Each row of the authority table 121 represents an authority. An authorization ID (Identifier), an authorization name, an effective period start date, and an effective period end date are set as necessary for each authority.
図７は、本発明の第一の実施の形態におけるユーザテーブル１２２の例を示す図である。ユーザテーブル１２２の各行がそれぞれユーザを表す。それぞれのユーザにはユーザに関する属性が設定される。ユーザの属性には例えばユーザＩＤ，ユーザ名、所属部、役職、社員区分、及び所属地区が必要に応じ設定される。ユーザの属性は例示に過ぎず、本発明が実施できる限り、一部のみを有するとしてもよいし、例示以外の属性を有していてもよい。 FIG. 7 is a view showing an example of the user table 122 in the first embodiment of the present invention. Each row of the user table 122 represents a user. Each user has an attribute associated with the user. For example, a user ID, a user name, an affiliation department, a post, an employee division, and an affiliation district are set as the user attributes as necessary. The attributes of the user are merely examples, and may have only a part or other attributes as long as the present invention can be implemented.
図８は、本発明の第一の実施の形態におけるビジネスロールテーブル１２４の例を示す図である。ビジネスロールテーブル１２４の各行がそれぞれビジネスロールを表す。それぞれのビジネスロールにはビジネスロールＩＤ、ビジネスロール名、条件式が必要に応じ設定される。条件式は、ユーザテーブル１２２等に設定された項目の値を用いて当該ビジネスロールが有効となる対象を特定するための論理式である。管理者等は論理式を設定することにより、論理式が成り立つユーザに対して、当該ビジネスロールを付与することができる。なお、ビジネスロールにより付与される権限は、権限付与対象テーブル１２３を用いて定義する。 FIG. 8 is a diagram showing an example of the business role table 124 in the first embodiment of the present invention. Each row of the business role table 124 represents a business role. Business role ID, business role name, and conditional expressions are set as required for each business role. The conditional expression is a logical expression for specifying an object for which the business role is valid, using the value of the item set in the user table 122 or the like. The manager or the like can assign the business role to the user having the logical expression by setting the logical expression. The authorization granted by the business role is defined using the authorization grant target table 123.
図９は、本発明の第一の実施の形態における権限付与対象テーブル１２３の例を示す図である。権限付与対象テーブル１２３の各行がそれぞれ、権限と付与対象のリンクを表している。付与対象ＩＤには、ビジネスロールＩＤまたはユーザＩＤを設定する。付与対象オブジェクトには、設定された付与対象の種類がユーザであれば「Ｕ」を、設定された付与対象の種類がビジネスロールであれば「Ｒ」を、それぞれ設定する。さらに、有効期間開始日、有効期間終了日が必要に応じて設定される。 FIG. 9 is a diagram showing an example of the authorization object table 123 in the first embodiment of the present invention. Each row of the grant target table 123 represents the link of the grant and the grant target. A business role ID or a user ID is set as the grant target ID. As the assignment target object, “U” is set if the set assignment target type is the user, and “R” is set if the set assignment target type is the business role. Furthermore, the effective period start date and the effective period end date are set as necessary.
図９で示したように、本発明の第一の実施の形態において、管理者等は、権限をユーザに直接付与することもできるし、権限をビジネスロールに対して付与することによりビジネスロールが付与されたユーザに権限を付与することもできる。なお、前者を直接付与、後者を間接付与、と呼ぶことにする。 As shown in FIG. 9, in the first embodiment of the present invention, the administrator or the like can directly grant the right to the user, or by giving the right to the business role, the business role can It is also possible to grant authority to the granted user. The former will be referred to as direct application and the latter as indirect application.
表示部１０２について説明する。表示部１０２は、記憶部１０１が有するデータに基づいて、クライアント２００の表示部２０１に表示させるための画面出力データ１３０を生成する。
The
画面出力データ１３０は、権限構造体配列１３１、ユーザ構造体配列１３２、及び、フラグ構造体配列１３３を含む。 The screen output data 130 includes an authority structure array 131, a user structure array 132, and a flag structure array 133.
図１０は、本発明の第一の実施の形態における権限構造体配列１３１の例を示す図である。権限構造体配列１３１は、権限テーブル１２１の各列に対応する項目の内少なくとも一部を有するデータである。図１０ではＣ言語の構造体のような書式で権限構造体配列１３１を表現しているが、実際の定義方法はプログラミング言語次第である。 FIG. 10 is a diagram showing an example of the authority structure array 131 in the first embodiment of the present invention. The authority structure array 131 is data having at least a part of items corresponding to each column of the authority table 121. In FIG. 10, the authority structure array 131 is expressed in a format like a C language structure, but the actual definition method depends on the programming language.
図１１は、本発明の第一の実施の形態におけるユーザ構造体配列１３２の例を示す図である。ユーザ構造体配列１３２は、ユーザテーブル１２２の各列に対応する項目の内少なくとも一部を有するデータである。なお、実際の定義方法はプログラミング言語次第である。 FIG. 11 is a diagram showing an example of the user structure array 132 in the first embodiment of the present invention. The user structure array 132 is data having at least a part of the items corresponding to each column of the user table 122. The actual definition method depends on the programming language.
図１２は、本発明の第一の実施の形態におけるフラグ構造体配列１３３の例を示す図である。フラグ構造体配列１３３は、対象オブジェクトフラグ、条件名、有効期間開始日、及び、有効期間終了日を含む。 FIG. 12 is a diagram showing an example of the flag structure array 133 in the first embodiment of the present invention. The flag structure array 133 includes a target object flag, a condition name, an effective period start date, and an effective period end date.
図３は、本発明の第一の実施の形態における表示部１０２の表示例を示す図である。
FIG. 3 is a view showing a display example of the
まず図３のように縦軸に権限を、横軸にユーザを取った表を用意する。なお軸の縦横は例示であり、図３の例と逆であってもよい。当該表にて、ユーザ個人に直接付与された権限と、ビジネスロールで間接的に付与された権限を、文字や色、アイコンなどで区別して表示し、一目で分かるようにする。 First, as shown in FIG. 3, a table is prepared in which the vertical axis is the authority and the horizontal axis is the user. The vertical and horizontal axes are examples and may be reversed to the example of FIG. In the table, the right directly granted to the user and the right indirectly granted by the business role are displayed by being distinguished by characters, colors, icons, etc. so that they can be seen at a glance.
丸で囲った大文字の「Ｕ」はユーザが直接付与された権限を持っていることを表し、四角で囲った大文字の「Ｒ」はユーザがビジネスロールにより間接的に付与された権限を持っていることを表す。このように、文字や色、アイコン形状などによる異なる表示形式により、直接付与された権限と間接付与された権限とが区別できる。 The encircled capital "U" indicates that the user has the directly granted authority, and the boxed capital "R" indicates that the user has the authority indirectly granted by the business role Indicates that As described above, it is possible to distinguish between the directly granted authority and the indirectly granted authority according to different display formats based on characters, colors, and icon shapes.
さらに、「Ｒ」アイコンなどに所定の操作を行うことにより、ビジネスロースの条件を表示することもできる。例えばオンマウスすることで、操作対象である、オンマウスされたアイコンに対応するビジネスロールに設定されている条件式をポップアップウインドウ等で表示するようにしてもよい。また、具体的な権限（「参照」は可能だが、「更新」は不可、など）も表示してもよい。 Furthermore, the condition of the business loin can also be displayed by performing a predetermined operation on the "R" icon or the like. For example, by on-mouse, the conditional expression set in the business role corresponding to the on-mouse-operated icon which is the operation target may be displayed in a pop-up window or the like. In addition, specific authority ("reference" is possible but "update" is not possible, etc.) may also be displayed.
図４は、本発明の第一の実施の形態における表示部１０２の日時指定を伴う表示例を示す図である。
FIG. 4 is a diagram showing a display example with date and time designation of the
図４のように日付を指定できるようにすることで、図３に示した例に加えてさらに、その日付時点の権限付与状況を一目で確認できるようにする。図４の例では、管理者等は、日時を指定することが可能である。また、有効期間が設定されている権限がすぐに分かるように、例えば時計のアイコンを、権限を示すアイコンに加えて表示する。時計アイコンが付与されている権限アイコンは、有効期間が設定されている権限であることを示している。 By making it possible to specify a date as shown in FIG. 4, in addition to the example shown in FIG. 3, it is possible to confirm at a glance the authorization status at that date. In the example of FIG. 4, the administrator or the like can specify the date and time. Also, for example, an icon of a clock is displayed in addition to the icon indicating the right so that the right for which the effective period is set can be recognized immediately. The authority icon to which the clock icon is assigned indicates that the valid period is the authority having been set.
図５は、本発明の第一の実施の形態における表示部１０２の期間指定を伴う表示例を示す図である。
FIG. 5 is a diagram showing a display example accompanied by period designation of the
図５のように期間も指定できるようにすることで、図３または図４に示した例に加えてさらに、その期間内に権限の付与状況がどのように変化するかを確認することができる。図５の例では、管理者等は、期間を二つの日時により指定することが可能である。指定された期間内において新規に付与される権限、指定された期間内において有効期間が満了するなどして剥奪される権限、有効期間によらず付与されている権限や、有効期間により付与される期間が限定されているが指定期間においてはいつも付与されている権限、などの権限の種類に応じて、それぞれ異なる表示方法（色や輝度を変える、線のスタイルを変える、背景パターンを変える、等）により表示することにしてもよい。例えば、指定された期間内において新規に付与される権限には時計アイコンが付与され、なおかつ権限アイコンは白地に黒文字である。指定された期間内において有効期間が満了するなどして剥奪される権限は、時計アイコンが付与され、なおかつ権限アイコンは黒字に白文字である。このように、直接付与の権限および間接付与の権限における指定期間内における付与や剥奪に対応して、それぞれ異なる表示形式のアイコンが表示されることで、管理者等はそれぞれを区別して認識可能となる。 By making it possible to specify a period as shown in FIG. 5, in addition to the example shown in FIG. 3 or FIG. 4, it is possible to confirm how the grant situation of the authority changes in that period. . In the example of FIG. 5, the administrator or the like can designate a period by two date and time. Right to be granted within the designated period, to be deprived such as expiration of the valid period within the designated period, to be granted regardless of the valid period, or to be granted by the valid period Depending on the type of authority such as the authority that is given for a specified period, but the period is limited, different display methods (change color and brightness, change line style, change background pattern, etc.) ) May be displayed. For example, a clock icon is given to the authority newly given within the designated period, and the authority icon is black on white. The right to be deprived such as expiration of the valid period within the designated period is given a clock icon, and the right icon is black and white. In this way, by displaying icons of different display formats corresponding to granting and depriving within the designated period in the direct granting authority and the indirect granting authority, the administrator etc. can distinguish and recognize each of them. Become.
また、表示部１０２は上記説明以外にも、表示部２０１に表示させるためのアイコンデータである画面表示用アイコン１４１を有する。
In addition to the above description, the
アクセスコントロール部１０３について説明する。アクセスコントロール部１０３は、サーバ３００からのリクエストに応じて、権限情報を返却し、リクエスト元がアクセスコントロールするための情報を提供する。外部プログラムはサーバ３００で稼働するサービスである。外部プログラムは利用者からの操作を受け付けた際、アクセスコントロール部１０３から当該ユーザに付与されている権限の情報を得て、その権限に応じて所定の操作のみを許諾する。アクセスコントロール部１０３は、ユーザ名を含むリクエストを受けると、そのユーザ名に対応する、直接付与および間接付与の権限に関する情報を返却する。外部プログラムとアクセスコントロール部１０３との間のプロトコルは任意である。
The
なお、権限管理装置１００は、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）とプログラムを記憶した記憶媒体を含み、プログラムに基づく制御によって動作するコンピュータであってもよい。また、記憶部１０１、表示部１０２、及びアクセスコントロール部１０３は、それぞれ個別の記憶媒体でも、１つの記憶媒体によって構成されてもよい。
The
次に、本発明の第一の実施の形態における権限管理装置１００の動作について説明する。
Next, the operation of the
図１９は、本発明の第一の実施の形態における権限管理装置１００の全体的な処理を示すフローチャートである。
FIG. 19 is a flowchart showing an overall process of the
まず、画面出力データ初期化処理を実行する（ステップＳ１０１）。ユーザがクライアント２００から権限の確認や棚卸を開始すると、まずは画面出力データ初期化処理として、表示部１０２は、記憶部１０１が記憶する権限テーブル１２１から必要なデータを取得する。次に、表示部１０２は、画面出力データ１３０の権限構造体配列１３１に順番に格納する。
First, screen output data initialization processing is executed (step S101). When the user starts confirmation of authority and inventory from the
図１３は、本発明の第一の実施の形態における権限構造体配列１３１に値を格納した具体例である。 FIG. 13 shows a specific example in which values are stored in the authority structure array 131 according to the first embodiment of this invention.
図１３中の［］内の数字を「添字」と呼称する。 The numbers in [] in FIG. 13 are referred to as “subscripts”.
次に表示部１０２は、記憶部１０１の記憶するユーザテーブル１２２から必要なデータの「ユーザＩＤ」と「ユーザ名」を取得し、画面出力データ１３０のユーザ構造体配列１３２に順番に格納する。
Next, the
図１４は、本発明の第一の実施の形態におけるユーザ構造体配列１３２に値を格納した具体例である。 FIG. 14 shows a specific example of storing values in the user structure array 132 in the first embodiment of the present invention.
その後、表示部は、権限構造体配列１３１から先頭の「権限構造体配列［０］．権限ＩＤ」の値である「ＩＴＲ００１」を取得し、権限付与対象テーブルから権限ＩＤ「ＩＴＲ００１」に該当するデータの「権限ＩＤ」、「付与対象ＩＤ」、「付与対象オブジェクト」、「有効期間開始日」、「有効期間終了日」を取得する。 After that, the display unit acquires “ITR001” which is the value of “authorization structure array [0] .authorization ID” at the top from the authority structure array 131, and corresponds to the authorization ID “ITR001” from the authorization target table. Data “authorization ID”, “grant target ID”, “grant target object”, “valid period start date”, and “valid period end date” are acquired.
図１５は、本発明の第一の実施の形態における権限付与対象テーブルの検索結果の一例である。 FIG. 15 is an example of a search result of the authorization target table in the first embodiment of the present invention.
次に、取得した権限付与対象データの「付与対象オブジェクト」を確認する（ステップＳ１０２）。 Next, the “grant target object” of the acquired grant target data is confirmed (step S102).
ステップＳ１０２において確認した権限付与対象データの「付与対象オブジェクト」が「Ｕ」の場合は、そのデータの「付与対象ＩＤ」をユーザ構造体配列１３２から探す（ステップＳ１０３）。例えば図１５の２行目の場合は、”Ｕ００３”に該当する「ユーザ構造体配列［２］」が抽出される。この時の権限構造体配列１３１の添字「０」と、ユーザ構造体配列１３２の添字「２」の二つを添字として特定される、フラグ構造体配列１３３中の位置にデータを登録する。具体的には、フラグ構造体配列１３３は３次元の配列なので、１つめの添字には権限構造体配列１３１の添字「０」が、２つめの添字にはユーザ構造体配列１３２の添字「２」が、最後の３つめの添字には初期値「０」が代入されてデータが登録される。３つめの添え字は、１つめと２つめの添字が同じ値のフラグ構造体配列に対してデータ登録されるたびに、０，１，２、・・・と連番が振られる。すなわち、上記例の場合は「フラグ構造体配列［０］［２］［０］」にデータが登録される。 If the “grant target object” of the grant target data checked in step S102 is “U”, the “grant target ID” of the data is searched from the user structure array 132 (step S103). For example, in the case of the second line in FIG. 15, "user structure array [2]" corresponding to "U003" is extracted. At this time, data is registered at a position in the flag structure array 133 which is specified as a subscript at the subscript “0” of the authority structure array 131 and the subscript “2” of the user structure array 132. Specifically, since the flag structure array 133 is a three-dimensional array, the first subscript is the subscript "0" of the authority structure array 131, and the second subscript is the subscript "2" of the user structure array 132. The data is registered by substituting “0” as an initial value into the last third subscript. The third subscript is numbered 0, 1, 2,... Each time the first and second subscripts are registered for the flag structure array of the same value. That is, in the case of the above example, data is registered in "flag structure array [0] [2] [0]".
図１６は、本発明の第一の実施の形態におけるフラグ構造体配列への値の格納の具体例である。登録されるデータは、図１５の２行目の情報を基に、図１６のようなデータが登録される。条件名については、「付与対象オブジェクト」が「Ｕ」の場合は「ｎｕｌｌ」になる。 FIG. 16 is a specific example of storage of values in the flag structure array in the first embodiment of the present invention. As data to be registered, data as shown in FIG. 16 is registered based on the information in the second line of FIG. The condition name is "null" if the "object to be granted" is "U".
ステップＳ１０２において確認した権限付与対象データの「付与対象オブジェクト」が「Ｒ」の場合は、そのデータの「付与対象ＩＤ」をビジネスロールテーブル１２４から検索する（ステップＳ１０４）。例えば図１５の１行目の場合は、「ＢＲ００１」に該当するデータを取得する。 If the “grant target object” of the authorization target data checked in step S102 is “R”, the “grant target ID” of the data is searched from the business role table 124 (step S104). For example, in the case of the first line in FIG. 15, data corresponding to “BR001” is acquired.
図１７は、本発明の第一の実施の形態におけるビジネスロールテーブルの検索結果の一例である。図１７の条件式に基づいて、ユーザＩＤ「Ｕ００１」をユーザテーブル１２２から取得する。その後、取得したユーザＩＤに基づいてユーザ構造体配列１３２から取得できるデータを、前述のステップＳ１０３と同様の手順により「フラグ構造体配列［０］［０］［０］」にデータ登録を行う。 FIG. 17 is an example of a search result of the business role table according to the first embodiment of this invention. Based on the conditional expression in FIG. 17, the user ID “U001” is acquired from the user table 122. Thereafter, data that can be acquired from the user structure array 132 based on the acquired user ID is registered in “flag structure array [0] [0] [0]” according to the same procedure as step S103 described above.
図１８は、本発明の第一の実施の形態におけるフラグ構造体配列への値の格納の具体例である。ステップＳ１０４では、図１５の１行目および図１７の情報を基に、図１８のようなデータが登録される。 FIG. 18 shows a specific example of storage of values in the flag structure array in the first embodiment of the present invention. In step S104, data as shown in FIG. 18 is registered based on the information in line 1 of FIG. 15 and FIG.
次に、ステップＳ１０１からＳ１０４を権限構造体配列１３１の全データに対して順番に実行し、画面出力データ１３０のフラグ構造体配列１３３を生成する（ステップＳ１０５）。 Next, steps S101 to S104 are sequentially performed on all data of the authority structure array 131 to generate the flag structure array 133 of the screen output data 130 (step S105).
次に、表示部１０２は、画面表示処理を実行する（ステップＳ１０６）。表示部１０２は、画面表示処理として、権限構造体配列１３１の「権限名」を縦軸に、ユーザ構造体配列１３２の「ユーザ名」を横軸に取った表を作成し、クライアント２００の表示部２０１に表示させる。次に、表の、ユーザ名および権限名により特定される各セルの中に「Ｕ」「Ｒ」のアイコンを表示するため、まずはフラグ構造体配列１３３に対して、表示部２０１に表示した表の１行１列目を基準とした「行数−１」の数字を添字の１つめに、「列数−１」の数字を添字の２つめに代入し、３つめの添字は０，１，２・・・と順に値を代入して、フラグ構造体配列データを取得する。
Next, the
次に、取得したデータの「対象オブジェクトフラグ」が「Ｕ」または「Ｒ」の場合は、対応する画面表示用アイコン１４１を表示部２０１の表のセルに表示する。「Ｕ」でも「Ｒ」でもない場合は、次の行または列に移動して同様の処理を繰り返す。これを表示部２０１の表の全セルに対して行い、図３のような画面を表示部２０１に表示する。さらに、「Ｒ」のアイコンにオンマウスした場合は、対応するフラグ構造体配列データの「条件名」を表示する。
Next, when the “target object flag” of the acquired data is “U” or “R”, the corresponding screen display icon 141 is displayed in the cell of the table of the
次に、表示部２０１にて日時指定または期間指定がされている場合は、日時指定または期間指定に基づいてアイコンの表示形式を設定する（ステップＳ１０７）。
Next, when date and time designation or period designation is performed on the
Ｓ１０７のうち、日時指定がされている場合の具体的な処理について説明する。「日時指定」が選択されている場合は、権限構造体配列１３１の有効期間開始日または有効期間終了日が「ｎｕｌｌ」ではない場合、およびフラグ構造体配列１３３の有効期間開始日または有効期間終了日が「ｎｕｌｌ」ではない場合は、図４に示すように表示部２０１の表セルに時計型のアイコンを表示する。
Specific processing in the case where the date and time are designated in S107 will be described. If "specified date" is selected, the effective period start date or effective period end date of the authority structure array 131 is not "null", and the effective period start date or period of the flag structure array 133 is ended. If the day is not "null", a clock icon is displayed on the front cell of the
さらに、表示部２０１にて「日付指定」が選択された場合は、指定された日付と有効期間開始日、有効期間終了日の大小比較を行い、「有効期間開始日＜＝指定された日付＜＝有効期間終了日」という条件を満たす場合のみ、ステップＳ１０６にて「Ｕ」または「Ｒ」のアイコンを表セルに表示する。大小比較は、権限構造体配列１３１の有効期間、フラグ構造体配列１３３の有効期間の両方に対して行い、どちらも前記条件を満たす場合のみ、アイコンを表示する。
Furthermore, when “specified date” is selected on the
一方、Ｓ１０７のうち、表示部２０１にて期間指定がされている場合の具体的な処理について説明する。有効期間開始日と有効期間終了日に基づいて以下のような処理を行う。
（１）『有効期間開始日＜＝指定期間の開始日』かつ『指定期間の終了日＜＝有効期間終了日』の場合、「Ｕ」または「Ｒ」のアイコンを背景色なしで表示する。
（２）『有効期間開始日 ＜＝ 指定期間の開始日』かつ『有効期間終了日 ＜ 指定期間の終了日』の場合、「Ｕ」または「Ｒ」のアイコンをグレーアウト表示する。
（３）『指定期間の開始日 ＜ 有効期間開始日』かつ『指定期間の終了日 ＜＝ 有効期間終了日』の場合、「Ｕ」または「Ｒ」のアイコンをハイライト表示する。
（４）『指定期間の開始日 ＜ 有効期間開始日』かつ『有効期間終了日 ＜ 指定期間の終了日』の場合、「Ｕ」または「Ｒ」のアイコンを破線表示する。
これらの処理により図５のような表を表示部２０１に表示する。
On the other hand, a specific process in the case where a period is designated on the
(1) If “valid period start date <= designated period start date” and “designated period end date <= valid period end date”, the “U” or “R” icon is displayed without a background color.
(2) If “valid period start date <= start date of designated period” and “valid period end date <end date of designated period”, the “U” or “R” icon is grayed out.
(3) If “specified period start date <valid period start date” and “specified period end date <= valid period end date”, highlight the “U” or “R” icon.
(4) If “designated period start date <effective period start date” and “valid period end date <specified period end date”, the “U” or “R” icon is displayed as a broken line.
A table as shown in FIG. 5 is displayed on the
本発明の第一の実施の形態によると、従来手法においてユーザに付与された権限の棚卸を行う場合、『ユーザデータの確認→権限データの確認→権限付与対象データの確認→ビジネスロールデータの確認』という４ステップが必要な作業が、本発明の第一の実施の形態では１画面（１ステップ）で確認できるため、単純計算で効率が４倍になる。さらに、ビジネスロールの条件式にＡＮＤやＯＲ条件も加わると、従来手法では不可能に近いが、本発明の第一の実施の形態ではそのような条件に対しても妥当性の確認・棚卸を行うことが可能である。 According to the first embodiment of the present invention, when performing the inventory of the authority granted to the user in the conventional method, “Confirmation of user data → Confirmation of authority data → Confirmation of authorization target data → Confirmation of business role data In the first embodiment of the present invention, the operation requiring four steps can be confirmed in one screen (one step), so the efficiency is quadrupled by the simple calculation. Furthermore, if AND and OR conditions are added to the conditional expression of the business role, it is almost impossible with the conventional method, but in the first embodiment of the present invention confirmation and inventory of validity against such conditions as well. It is possible to do.
また、本発明の第一の実施の形態によると、従来手法において任意の日付の権限を確認するためには、ユーザデータや権限データに加えて、権限の有効期間と付与条件の有効期間も掛け合わせた突合せが必要となり、さらに作業のステップが増えてしまうが、本発明の第一の実施の形態では同じ１画面（１ステップ）で確認することができるため、効率を落とすことなく日付を含めた棚卸が可能である。さらに、従来手法では事実上不可能だった、ある期間における権限付与状況の変化についても、本発明の第一の実施の形態では確認することが可能である。 Further, according to the first embodiment of the present invention, in order to confirm the authority of any date in the conventional method, in addition to the user data and the authority data, the effective period of the authority and the effective period of the grant condition are also multiplied. A matching match is required, and the number of operation steps is further increased. However, in the first embodiment of the present invention, since the same one screen (one step) can be confirmed, the date is included without loss of efficiency. Inventory is possible. Furthermore, it is possible to confirm in the first embodiment of the present invention also the change of the authorization situation in a certain period, which is practically impossible with the conventional method.
以上により、本発明の第一の実施の形態の動作が完了する。 Thus, the operation of the first embodiment of the present invention is completed.
次に、本発明の第一の実施の形態の特徴的な構成を説明する。図１は、本発明の第一の実施の形態の特徴的な構成を示すブロック図である。 Next, the characteristic configuration of the first embodiment of the present invention will be described. FIG. 1 is a block diagram showing a characteristic configuration of the first embodiment of the present invention.
図１を参照すると、権限管理装置１００は、記憶部１０１、及び、表示部１０２を含む。
Referring to FIG. 1, the
ここで記憶部１０１は、ユーザリスト、権限リスト、ビジネスロールリスト、及び、ユーザと権限とビジネスロールとを関連付ける関連付けリストを記憶する。
Here, the
表示部１０２は、記憶部１０１が記憶する情報に基づいて、ユーザ軸および権限軸からなる表のうち、ユーザと権限から特定される領域であるセルの中に、当該ユーザに直接付与および間接付与により割り当てられた権限に応じて、それぞれ区別して認識可能な表示形式で権限の付与状況を表示するデータを生成する。そして生成したデータを外部の表示装置に表示するように指示する。
The
本発明の第一の実施の形態によれば、ユーザに付与された権限をより低コストに確認できる。 According to the first embodiment of the present invention, the authority given to the user can be confirmed at lower cost.
その理由は、ユーザ軸と権限軸を含む表に、ユーザ個人に直接付与された権限と、ビジネスロールで間接的に付与された権限を、文字や色、アイコンなどで区別して一元的に管理者等に提示することができるからである。 The reason is that in the table including the user axis and the authority axis, the administrator directly distinguishes the authority directly granted to the user individual and the authority indirectly granted by the business role, using letters, colors, icons, etc. It is because it can be presented to
また、本発明の第一の実施の形態によれば、過去および未来の権限の有効性をより低コストに確認できる。 Moreover, according to the first embodiment of the present invention, it is possible to confirm the effectiveness of past and future authority at lower cost.
その理由は、ユーザ軸と権限軸を含む表に、管理者等が指定した日時において、その権限の有効期間から指定日時における権限の有効性を、文字や色、アイコンなどで区別して一元的に管理者等に提示することができるからである。 The reason is that in the table including the user axis and the authority axis, at the date and time specified by the administrator etc., the validity of the authority at the designated date and time is differentiated from the effective period of the authority by characters, colors, icons etc. It is because it can be presented to a manager or the like.
また、本発明の第一の実施の形態によれば、所定期間内での付与剥奪の状況をより低コストに確認できる。 Moreover, according to the first embodiment of the present invention, it is possible to confirm at a lower cost the situation of the deprivation of grant within a predetermined period.
その理由は、ユーザ軸と権限軸を含む表に、管理者等が指定した日時において、その権限の有効期間から指定期間における権限の付与および剥奪の有無を、文字や色、アイコンなどで区別して一元的に管理者等に提示することができるからである。 The reason is that in the table including the user axis and the authority axis, at the date and time specified by the administrator etc., the presence or absence of authorization and deprivation in the designated period is distinguished by characters, colors, icons, etc. This is because it can be presented to the administrator etc. centrally.
以上、実施形態を参照して本願発明を説明したが、本願発明は上記実施形態に限定されるものではない。本願発明の構成や詳細には、本願発明のスコープ内で当業者が理解し得る様々な変更をすることができる。 Although the present invention has been described above with reference to the embodiments, the present invention is not limited to the above embodiments. The configurations and details of the present invention can be modified in various ways that can be understood by those skilled in the art within the scope of the present invention.
例えば、本発明の実施の形態においては、権限管理を行うシステムに対して実施する以外に、ビジネスロール自体を管理するシステムに対しても適用可能である。また、同様の有効期間の概念がある特権ＩＤ管理やデバイス管理、資産管理などのシステムにも適用可能である。 For example, the embodiment of the present invention is applicable to a system that manages business roles themselves, in addition to the implementation to a system that performs authority management. The present invention is also applicable to systems such as privileged ID management, device management, and asset management that have the same concept of effective period.
同様に、ビジネスロールのメンバは人事異動や組織改正などのイベントによって動的に変わるため、イベント情報を入力することで、権限の付与状況の変化を確認することができる、といった応用も可能である。 Similarly, since members of a business role change dynamically according to events such as personnel changes or organizational revision, it is possible to confirm changes in the status of grant of authority by inputting event information. .
さらに、権限としては別々でも、「同じ業務システムに対する権限」や「同じビジネスロールで付与された権限」などの関連性が分かるような情報を表示するといった応用も可能である。最後に、確認画面を見ても直ぐには不正な権限（越権や重複など）が分からないため、事前に登録しておいた条件に従って、不正な権限の候補を表示する機能をさらに備えていてもよい。 Furthermore, it is possible to display information that shows the relevance such as "right for the same business system" or "right granted with the same business role" even if the rights are different. Lastly, even if the user sees the confirmation screen, he / she does not immediately know the wrong authority (eg, overdraft, duplication, etc.), so even if it has a function to display the wrong authority candidate according to the conditions registered in advance. Good.
本発明は、管理者等がユーザの権限を管理するアクセス権限管理装置に適用できる。 The present invention can be applied to an access authority management apparatus in which an administrator or the like manages the authority of a user.
１００ 権限管理装置
１０１ 記憶部
１０２ 表示部
１０３ アクセスコントロール部
１２１ 権限テーブル
１２２ ユーザテーブル
１２３ 権限付与対象テーブル
１２４ ビジネスロールテーブル
１３０ 画面出力データ
１３１ 権限構造体配列
１３２ ユーザ構造体配列
１３３ フラグ構造体配列
１４１ 画面表示用アイコン
２００ クライアント
２０１ 表示部
３００ サーバ
100
Claims (8)
複数のユーザと権限との対応関係を示す複数の区画のうち所定の区画に、前記記憶手段に記憶されたユーザと権限との関係に基づき前記ユーザに対して前記権限が付与されていることを示す付与情報を表示する指示を外部装置に与える表示手段とを含み、
前記記憶手段は、ユーザに個別に付与される個別権限をさらに記憶し、
前記表示手段は、ユーザと権限とが行列をなす表の、特定のユーザ及び特定の権限により特定される区画に、個別権限の付与を示す個別権限付与情報及び前記付与情報を表示する指示をさらに与える、
権限管理装置。 Storage means for storing the user and the right to be granted to the user based on the assignment condition;
The given authority is given to the user based on the relationship between the user stored in the storage means and the authority, to a predetermined one of the plurality of compartments showing the correspondence between the plurality of users and the authority. and a display means for giving an instruction to display the applied information which indicates to the external device,
The storage means further stores individual rights individually given to the user,
The display means further includes an instruction to display individual authorization information indicating the assignment of individual authorization and the assignment information to a section specified by a specific user and a particular authority of a table in which the user and the authority are in a matrix. give,
Kwon limit management device.
前記付与情報は、前記ユーザに対して前記権限が間接的に付与されていることを示す、
請求項１記載の権限管理装置。 The storage means stores a user and an authority indirectly granted to the user based on the grant condition,
The assignment information indicates that the right is indirectly granted to the user.
The authority management device according to claim 1.
請求項１又は２記載の権限管理装置。 The display means gives the external device an instruction to display the assignment information on a date or a period designated by a user in the section.
The authority management device according to claim 1 or 2.
請求項１ないし３のいずれか１項記載の権限管理装置。 The display means is configured to indicate a grant or deprivation of a display form of the grant information when the privilege is granted to the user or is deprived of the user within a designated period.
The authority management device according to any one of claims 1 to 3 .
ユーザと付与条件に基づき当該ユーザに付与される権限とを記憶手段に記憶させ、
複数のユーザと権限との対応関係を示す複数の区画のうち所定の区画に、前記記憶手段に記憶されたユーザと権限との関係に基づき前記ユーザに対して前記権限が付与されていることを示す付与情報を表示する指示を表示装置に与え、
ユーザに個別に付与される個別権限を前記記憶手段にさらに記憶させ、
ユーザと権限とが行列をなす表の、特定のユーザ及び特定の権限により特定される区画に、個別権限の付与を示す個別権限付与情報及び前記付与情報を表示する指示をさらに与える、
権限管理方法。 The computer is
Storing the user and the right to be granted to the user based on the assignment condition in the storage means,
The given authority is given to the user based on the relationship between the user stored in the storage means and the authority, to a predetermined one of the plurality of compartments showing the correspondence between the plurality of users and the authority. for example given the instruction to display the grant information shown on the display device,
Storing the individual authority individually given to the user in the storage means;
In a table in which a user and an authority form a matrix, a section specified by the specific user and the specific authority is further provided with individual authorization information indicating an individual authorization and an instruction to display the authorization information.
Authority management method.
ユーザと付与条件に基づき当該ユーザに対して間接的に付与される権限とを前記記憶手段に記憶させ、
前記付与情報は、前記ユーザに対して前記権限が間接的に付与されていることを示す、
請求項５記載の権限管理方法。 The computer is
Storing the user and the authority indirectly granted to the user based on the grant condition in the storage means;
The assignment information indicates that the right is indirectly granted to the user.
5 Symbol mounting rights management method according to claim.
前記区画に、ユーザにより指定された日付または期間における前記付与情報を表示する指示を外部装置に与える、
請求項５又は６記載の権限管理方法。 The computer is
Giving an instruction to the external device to display the assignment information on a date or a period specified by a user in the section;
Claim 5 or 6 Symbol mounting rights management method.
請求項５ないし７のいずれか１項記載の権限管理方法。 In the case where the authority is granted to the user within the designated time period or is deprived from the user, the display format of the grant information is a format which also indicates the grant or the deprivation of the authorization information.
The authority management method according to any one of claims 5 to 7 .
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2014065122A JP6515439B2 (en) | 2014-03-27 | 2014-03-27 | Authority management apparatus, authority management method, and authority management system |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2014065122A JP6515439B2 (en) | 2014-03-27 | 2014-03-27 | Authority management apparatus, authority management method, and authority management system |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| JP2015187808A JP2015187808A (en) | 2015-10-29 |
| JP6515439B2 true JP6515439B2 (en) | 2019-05-22 |
Family
ID=54430017
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2014065122A Active JP6515439B2 (en) | 2014-03-27 | 2014-03-27 | Authority management apparatus, authority management method, and authority management system |
Country Status (1)
| Country | Link |
|---|---|
| JP (1) | JP6515439B2 (en) |
Families Citing this family (1)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN110941839B (en) * | 2019-11-18 | 2022-10-14 | 中国经济信息社有限公司 | User authority management method and system, equipment and storage medium |
Family Cites Families (7)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2004252539A (en) * | 2003-02-18 | 2004-09-09 | Fuji Xerox Co Ltd | Setting confirmation display device, setting confirmation display method and its program |
| JP4053948B2 (en) * | 2003-08-04 | 2008-02-27 | 株式会社三井住友銀行 | Management method and management system for connection authority to server |
| JP4764614B2 (en) * | 2004-04-26 | 2011-09-07 | 株式会社リコー | Information processing apparatus, operation permission information generation method, operation permission information generation program, and recording medium |
| JP2007323357A (en) * | 2006-05-31 | 2007-12-13 | Canon Inc | Information processing apparatus, information management system, information management method, program, and storage medium |
| JP5086878B2 (en) * | 2008-04-16 | 2012-11-28 | 株式会社日立製作所 | User authority management system and program thereof |
| JP2010205183A (en) * | 2009-03-05 | 2010-09-16 | Oki Electric Ind Co Ltd | System for management of access right, and center device for the same |
| JP2013145595A (en) * | 2013-04-09 | 2013-07-25 | Casio Comput Co Ltd | Information processing apparatus and program |
-
2014
- 2014-03-27 JP JP2014065122A patent/JP6515439B2/en active Active
Also Published As
| Publication number | Publication date |
|---|---|
| JP2015187808A (en) | 2015-10-29 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| US20240022608A1 (en) | Method, apparatus, and computer-readable medium for data protection simulation and optimization in a computer network | |
| US8813250B2 (en) | Access control program, system, and method | |
| US20120240194A1 (en) | Systems and Methods for Controlling Access to Electronic Data | |
| US9971803B2 (en) | Method and system for embedding third party data into a SaaS business platform | |
| KR20150033453A (en) | Method of big data processing, apparatus performing the same and storage media storing the same | |
| US20220067749A1 (en) | Session signatures | |
| US9336377B2 (en) | Synchronized sign-on methods for non-programmatic integration systems | |
| JP2020530927A (en) | How to authorize the authorization process and its authorization node | |
| US20130326638A1 (en) | Sicherheitssystem | |
| JP6515439B2 (en) | Authority management apparatus, authority management method, and authority management system | |
| JP7173619B2 (en) | Vulnerability information management device, vulnerability information management method, and program | |
| JPH08185349A (en) | Data security device | |
| US20120102118A1 (en) | Collaboration methods for non-programmatic integration systems | |
| Li | Jira 8 Essentials: Effective issue management and project tracking with the latest Jira features | |
| JP6730170B2 (en) | Management device, method and program | |
| JP2016099806A (en) | License management server, method, and program | |
| US20220114265A1 (en) | Unified viewing of roles and permissions in a computer data processing system | |
| JP5064337B2 (en) | Software development management system | |
| US8429193B2 (en) | Security control of analysis results | |
| JP2017098763A (en) | Management server and management method | |
| JP2010146091A (en) | Workflow improvement system, workflow improvement method, and workflow improvement program | |
| JP2007122598A (en) | Information processor, and information processing system and program | |
| JP6716929B2 (en) | Information processing apparatus and information processing program | |
| JP2015207084A (en) | education management system and server | |
| US11870805B2 (en) | Systems and methods that perform filtering, linking, and rendering |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| A621 | Written request for application examination |
Free format text: JAPANESE INTERMEDIATE CODE: A621 Effective date: 20170215 |
|
| A977 | Report on retrieval |
Free format text: JAPANESE INTERMEDIATE CODE: A971007 Effective date: 20171127 |
|
| A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20171205 |
|
| A521 | Written amendment |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20180131 |
|
| A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20180612 |
|
| A521 | Written amendment |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20180801 |
|
| A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20190129 |
|
| A521 | Written amendment |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20190304 |
|
| TRDD | Decision of grant or rejection written | ||
| A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 Effective date: 20190319 |
|
| A61 | First payment of annual fees (during grant procedure) |
Free format text: JAPANESE INTERMEDIATE CODE: A61 Effective date: 20190401 |
|
| R150 | Certificate of patent or registration of utility model |
Ref document number: 6515439 Country of ref document: JP Free format text: JAPANESE INTERMEDIATE CODE: R150 |