JP6561441B2 - 情報処理装置、アクセス制御方法、通信システム、及びプログラム - Google Patents

Description

本発明は、コンテンツデータを伝送する通信システムに関する。

近年、出張経費及び出張時間を削減する要請に伴い、インターネット等の通信ネットワークを介してテレビ会議を行うテレビ会議システムが普及している。このようなテレビ会議システムでは、複数の端末の間で通話を開始すると、画像データ及び音声データ等の通話データの送受信が行われ、テレビ会議を実現することができる。

二拠点（２つの通話端末を意味する）間で通話を開始する場合、通話のサービスの一つであるＩＰ（Internet Protocol）電話では、二拠点間のセッションを確立するための通信プロトコルとして、ＳＩＰ（Session Initiation Protocol）が用いられていた。この通信プロトコルによると、ＳＩＰサーバが呼制御（通話端末間で呼情報をやり取りして、呼を確立させるための制御を意味する）を行うことにより、通話端末間のセッションが確立され、通話端末間で音声データ等の即時の通信が可能となる。

一方、ＯＡｕｔｈ２．０は、クライアントがアクセストークンを取得することで、保護リソースへのアクセスを可能にする。アクセストークンは保護リソースの所有者の承認を伴い、認可サーバによってクライアントに対して発行される。クライアントはアクセストークンを、リソースサーバが持つ保護リソースにアクセスするために利用する。

認証サーバを複数備えて負荷を分散させるとともに、認証情報を発行した認証サーバをを特定する技術が知られている（例えば、特許文献１参照）。

認可サーバ、アプリケーションプログラミングインタフェース(API: Application Programming Interface)サーバ等の各種サーバが設置されたデータセンタなどの情報処理装置が各地に設置されている。各データセンタでは、認可サーバによって通話端末に対してアクセストークン等が発行される。データセンタの認可サーバにアクセストークンの発行を最初に依頼する前には、該データセンタの呼制御サーバと通話端末との間で呼制御が行われる。該データセンタが発行したアクセストークンを取得した後に、該アクセストークンを用いて通話端末は別のデータセンタの保護リソースへアクセスすることができる。これによって、システムの可用性におけるメリットが維持される。この場合には、通信端末の呼制御を行った呼制御サーバが設置されているデータセンタと、通信端末がアクセスする保護リソースを有するデータセンタとが一致せず、異なることもある。

ここで、第１のデータセンタによってアクセス管理される保護リソースを該第１のデータセンタ以外の第２のデータセンタから隔離する場合を考える。第２のデータセンタで発行されたアクセストークンを用いて第１のデータセンタの有する保護リソースへ通話端末がアクセスする場合、該通話端末は、第２のデータセンタの呼制御サーバ、及び第１のデータセンタの有する保護リソースの両方に接続できるため、第２のデータセンタの呼制御サーバから、保護リソースが漏洩するおそれがある。

そこで、本発明は、情報処理装置によってアクセス管理される保護リソースが漏洩するのを防止することを目的とする。

上述した課題を解決し目的を達成するため、本発明の一実施形態における情報処理装置は、
通信端末によって送信されるアクセスが管理されたリソースへのアクセスリクエストを受信する受信部と、
該アクセスリクエストに付帯される前記リソースへアクセスする際に用いられるアクセストークンに基づいて、前記リソースへアクセスする権限があるか否かを判断する権限判断部と、
前記権限判断部によって、前記リソースへアクセスする権限があると判断した場合に、前記リソースへのアクセスを許可するアクセス処理部と、
リソース毎に、前記通信端末へアクセストークンを発行した発行元を表す情報と、リソースへのアクセスを要求する要求先を表す情報との組み合わせに対して、アクセスする権限があるか否かを表す情報を紐付けたテーブルを有するアクセス管理データベースと
を有し、
前記権限判断部は、前記アクセストークンに付帯される該アクセストークンを発行した発行元を表す情報、及び前記アクセスリクエストによってリソースへのアクセスを要求する要求先を表す情報を検索キーとして、前記アクセス管理データベースが有するテーブルを検索し、前記リソースへアクセスする権限があるか否かを判断する。

開示の実施例によれば、情報処理装置によってアクセス管理される保護リソースが漏洩するのを防止することができる。

本発明の一実施形態に係る伝送システムの概略図である。 本発明の一実施形態に係る伝送端末の外観図である。 本発明の一実施形態に係る伝送端末のハードウェア構成図である。 本発明の一実施形態に係る中継装置、伝送管理システム、又はデータセンタのハードウェア構成図である。 本発明の一実施形態に係る伝送システムを構成する各端末、中継装置及び管理システムの機能ブロック図である。 本発明の一実施形態の宛先リストを示す概念図である。 変更品質管理テーブルを示す概念図である。 画像データの画質を説明する概念図である。 中継装置管理テーブルを示す概念図である。 端末管理テーブルを示す概念図である。 宛先リスト管理テーブルを示す概念図である。 セッション管理テーブルを示す概念図である。 品質管理テーブルを示す概念図である。 中継装置選択管理テーブルを示す概念図である。 状態変更管理テーブル（その１）を示す概念図である。 状態変更管理テーブル（その２）を示す概念図である。 状態変更管理テーブル（その３）を示す概念図である。 状態管理部の詳細を示す機能ブロック図である。 中継装置選択部の詳細を示す機能ブロック図である。 本発明の一実施形態に係る伝送システムを構成するデータセンタの機能ブロック図である。 端末認証管理テーブルを示す概念図である。 アクセス可否判断テーブルを示す概念図である。 本発明の一実施形態に係る伝送システムの動作（その１）を示すシーケンスチャートである。 本発明の一実施形態に係る伝送システムの動作（その２）を示すシーケンスチャートである。 本発明の一実施形態に係る伝送システムの動作（その３）を示すフローチャートである。 本発明の一実施形態に係る伝送システムの動作（その４）を示すフローチャートである。

次に、本発明を実施するための形態を、以下の実施例に基づき図面を参照しつつ説明する。以下で説明する実施例は一例に過ぎず、本発明が適用される実施の形態は、以下の実施例に限られない。
なお、実施例を説明するための全図において、同一機能を有するものは同一符号を用い、繰り返しの説明は省略する。

＜実施形態の全体構成＞
図１は、本発明の一実施形態に係る伝送システム１の概略図であり、まずは図１を用いて、本実施形態の概略を説明する。

伝送システムには、伝送管理システムを介して一方の伝送端末から他方の伝送端末に一方向でコンテンツデータを伝送するデータ提供システムや、伝送管理システムを介して複数の伝送端末間で情報や感情等を相互に伝達するコミュニケーションシステムが含まれる。このコミュニケーションシステムは、コミュニケーション管理システム（「伝送管理システム」に相当）を介して複数のコミュニケーション端末（「伝送端末」に相当）間で情報や感情等を相互に伝達するためのシステムである。コミュニケーションシステムとして、テレビ会議システムやテレビ電話システム、音声会議システム、音声電話システム、ＰＣ(Personal Computer)画面共有システム等が例として挙げられる。

本実施形態では、コミュニケーションシステムの一例としてのテレビ会議システム、コミュニケーション管理システムの一例としてのテレビ会議管理システム、及びコミュニケーション端末の一例としてのテレビ会議端末を想定した上で、伝送システム、伝送管理システム、及び伝送端末について説明する。即ち、本発明の伝送端末及び伝送管理システムは、テレビ会議システムに適用されるだけでなく、コミュニケーションシステム、又は伝送システムにも適用される。

図１に示す伝送システム１は、複数の伝送端末（１０ａａ，１０ａｂ，…）、各伝送端末（１０ａａ，１０ａｂ，…）用のディスプレイ（１２０ａａ，１２０ａｂ，…）、複数の中継装置（３０ａ，３０ｂ，３０ｃ，３０ｄ，３０ｅ，３０ｆ，３０ｇ）、伝送管理システム（５０ａｂ，５０ｃｄ，５０ｅｆ）、及びデータセンタ（８０ａｂ，８０ｃｄ，８０ｅｆ）によって構築されている。

なお、本実施形態では、伝送端末（１０ａａ，１０ａｂ，…）のうち任意の伝送端末を示す場合には「伝送端末１０」を用い、ディスプレイ（１２０ａａ，１２０ａｂ，…）のうち任意のディスプレイを示す場合には「ディスプレイ１２０」を用いる。また、中継装置（３０ａ，３０ｂ，３０ｃ，３０ｄ，３０ｅ，３０ｆ，３０ｇ）のうち任意の中継装置を示す場合には「中継装置３０」を用い、伝送管理システム（５０ａｂ，５０ｃｄ，５０ｅｆ）のうち任意の伝送管理システムを示す場合には「伝送管理システム５０」を用いる。また、データセンタ（８０ａｂ，８０ｃｄ，８０ｅｆ）のうち任意のデータセンタを示す場合には「データセンタ８０」を用いる。

伝送端末１０は、コンテンツデータの一例としての画像データ及び音声データの送受信を行う。なお、以下では、「伝送端末」を単に「端末」として表し、「伝送管理システム」を単に「管理システム」として表す。

本実施形態における通話には、音声データの送受信だけでなく、画像データの送受信も含まれる。即ち、本実施形態における端末１０は、画像データ及び音声データの送受信を行う。但し、端末１０は画像データの送受信を行わず、音声データの送受信を行うようにしてもよい。

本実施形態では、画像データの画像が動画の場合について説明するが、動画だけでなく静止画であってもよい。また、画像データの画像には、動画と静止画の両方が含まれてもよい。中継装置３０は、複数の端末１０の間で、画像データ及び音声データの中継を行う。管理システム５０は、端末１０及び中継装置３０を管理する。

また、図１に示されている複数のルータ（７０ａ，７０ｂ，７０ｃ，７０ｄ，７０ｅ，７０ｆ，７０ａｂ，７０ｃｄ，７０ｅｆ）は、画像データ及び音声データの最適な経路の選択を行う。なお、本実施形態では、ルータ（７０ａ，７０ｂ，７０ｃ，７０ｄ，７０ｅ，７０ｆ，７０ａｂ，７０ｃｄ，７０ｅｆ）のうち任意のルータを示す場合には「ルータ７０」を用いる。

端末（１０ａａ，１０ａｂ，１０ａｃ，１０ａ…）、中継装置３０ａ、及びルータ７０ａは、ＬＡＮ２ａによって通信可能に接続されている。端末（１０ｂａ，１０ｂｂ，１０ｂｃ，１０ｂ…）、中継装置３０ｂ、及びルータ７０ｂは、ＬＡＮ２ｂによって通信可能に接続されている。また、ＬＡＮ２ａ及びＬＡＮ２ｂは、ルータ７０ａｂが含まれた専用線２ａｂによって通信可能に接続されており、所定の地域Ａ内で構築されている。例えば、地域Ａは日本であり、ＬＡＮ２ａは東京の事業所内で構築されており、ＬＡＮ２ｂは大阪の事業所内で構築されている。

また、端末（１０ｃａ，１０ｃｂ，１０ｃｃ，１０ｃ…）、中継装置３０ｃ、及びルータ７０ｃは、ＬＡＮ２ｃによって通信可能に接続されている。端末（１０ｄａ，１０ｄｂ，１０ｄｃ，１０ｄ…）、中継装置３０ｄ、及びルータ７０ｄは、ＬＡＮ２ｄによって通信可能に接続されている。また、ＬＡＮ２ｃ及びＬＡＮ２ｄは、ルータ７０ｃｄが含まれた専用線２ｃｄによって通信可能に接続されており、所定の地域Ｂ内で構築されている。例えば、地域Ｂは外国Ａであり、ＬＡＮ２ｃ、及びＬＡＮ２ｄは外国Ａのある都市の事業所内で構築されている。

また、端末（１０ｅａ，１０ｅｂ，１０ｅ…）、中継装置３０ｅ、及びルータ７０ｅは、ＬＡＮ２ｅによって通信可能に接続されている。端末（１０ｆａ，１０ｆｂ，１０ｆ…）、中継装置３０ｆ、及びルータ７０ｆは、ＬＡＮ２ｆによって通信可能に接続されている。また、ＬＡＮ２ｅ及びＬＡＮ２ｆは、ルータ７０ｅｆが含まれた専用線２ｅｆによって通信可能に接続されており、所定の地域Ｃ内で構築されている。例えば、地域Ｃは外国Ｂであり、ＬＡＮ２ｅ、及びＬＡＮ２ｆは外国Ｂのある都市の事業所内で構築されている。ここで、地域Ａ、Ｂ、及びＣは国に限らず、ＬＡＮが構築されるエリア（領域）全般に適用できる。

地域Ａ、地域Ｂ、及び地域Ｃは、それぞれルータ（７０ａｂ，７０ｃｄ，７０ｅｆ）からインターネット２ｉを介して通信可能に接続されている。

また、管理システム５０は、インターネット２ｉを介して、端末１０、中継装置３０、及びデータセンタ８０と通信可能に接続されている。管理システム５０は、地域Ａ、地域Ｂ、及び地域Ｃの各々に設置され、端末１０の呼制御等を行う。

また、データセンタ８０は、インターネット２ｉを介して、端末１０、中継装置３０、及びデータセンタ８０と通信可能に接続されている。データセンタ８０は、地域Ａ、地域Ｂ、及び地域Ｃの各々に設置されている。データセンタ８０には認可サーバが設置されており、認可サーバによってアクセストークンが発行される。

また、中継装置３０ｇは、通信ネットワーク２を介して端末１０と通信可能に接続されている。この中継装置３０ｇは、常時稼動しており、地域Ａ、地域Ｂ、又は地域Ｃのローカルエリア内の通信量の影響を受けにくくするために、これら以外の地域に設置されている。これにより、端末１０が他のローカルエリアに設置された端末と通話する場合に、通話データを中継するための中継装置として中継装置３０ｅが用いられる。また、同一のローカルエリアの端末間で通話を行う際に、このローカルエリアに設置された中継装置が稼動していない場合にも、緊急用の中継装置として中継装置３０ｇが用いられる。

なお、本実施形態では、ＬＡＮ２ａ、ＬＡＮ２ｂ、専用線２ａｂ、インターネット２ｉ、専用線２ｃｄ、ＬＡＮ２ｃ、ＬＡＮ２ｄ、専用線２ｅｆ、ＬＡＮ２ｅ、及びＬＡＮ２ｆによって、本実施形態の通信ネットワーク２が構築されている。この通信ネットワーク２には、有線だけでなく無線による通信が行われる箇所があってもよい。

また、図１において、各端末１０、各中継装置３０、各管理システム５０、各ルータ７０、及び各データセンタ８０の下に示されている４組の数字は、一般的なＩＰｖ４におけるＩＰアドレスを簡易的に示している。例えば、端末１０ａａのＩＰアドレスは「１．２．１．３」である。また、ＩＰｖ４ではなく、ＩＰｖ６を用いてもよいが、説明を簡略化するため、ＩＰｖ４を用いて説明する。

本実施形態では、データセンタ８０ｃｄによってアクセス管理される保護リソースを該データセンタ８０ｃｄ以外のデータセンタ８０ａｂ、及び８０ｅｆによるアクセス管理から隔離する。つまり、データセンタ８０ｃｄによってアクセス管理される保護リソースのうち所定の保護リソースへのアクセスを該データセンタ８０ｃｄによって発行されたアクセストークン以外の他のアクセストークンではできないようにする。ユーザはデータセンタ８０ａｂ（発行元）で発行されたアクセストークンを用いてデータセンタ８０ｅｆ（要求先）によってアクセス管理される保護リソースにもアクセスできる。逆に、ユーザはデータセンタ８０ｅｆ（発行元）で発行されたアクセストークンを用いてデータセンタ８０ａｂ（要求先）によってアクセス管理される保護リソースにもアクセスできる。しかし、ユーザはデータセンタ８０ａｂ、又は８０ｅｆ（発行元）で発行されたアクセストークンを用いてデータセンタ８０ｃｄ（要求先）によってアクセス管理される保護リソースにはアクセスできない。逆に、ユーザはデータセンタ８０ｃｄ（発行元）で発行されたアクセストークンを用いてデータセンタ８０ａｂ、又は８０ｅｆ（要求先）によってアクセス管理される保護リソースにはアクセスできない。

仮に、データセンタ８０ａｂ、又は８０ｅｆで発行されたアクセストークンを用いてデータセンタ８０ｃｄによってアクセス管理される保護リソースへ各端末１０がアクセスできるようにした場合を考える。地域Ａに位置する端末１０は、データセンタ８０ａｂの設置された地域Ａの管理システム５０ａｂによって呼制御が行われるため、データセンタ８０ａｂで発行されたアクセストークンを用いてデータセンタ８０ｃｄによってアクセス管理される保護リソースへアクセスした場合、管理システム５０ａｂ、及びデータセンタ８０ｃｄによってアクセス管理される保護リソースの両方に接続された状態となる。この場合、管理システム５０ａｂから保護リソースが漏洩するおそれがある。また、地域Ｃに位置する端末１０は、データセンタ８０ｅｆの設置された地域Ｃの管理システム５０ｅｆによって呼制御が行われるため、データセンタ８０ｅｆで発行されたアクセストークンを用いてデータセンタ８０ｃｄによってアクセス管理される保護リソースへアクセスした場合、管理システム５０ｅｆ、及びデータセンタ８０ｃｄによってアクセス管理される保護リソースの両方に接続された状態となる。この場合、管理システム５０ｅｆから保護リソースが漏洩するおそれがある。

そこで、本実施形態では、データセンタ８０ａｂ、又は８０ｅｆで発行されたアクセストークンを用いてデータセンタ８０ｃｄによってアクセス管理される保護リソースへ端末１０がアクセスした場合に、そのデータセンタ８０ｃｄはそのアクセスを拒否する。そして、データセンタ８０ｃｄは、端末１０にデータセンタ８０ｃｄからアクセストークンを取得するように促す。これによって、端末１０は、データセンタ８０ｃｄの設置された地域Ｂの管理システム５０ｃｄとの間で呼制御を行い、データセンタ８０ｃｄからアクセストークンを取得することができる。つまり、端末１０は、データセンタ８０ｃｄの設置された地域Ｂの管理システム５０ｃｄによって呼制御が行われる。このため、管理システム５０ｃｄ、及びデータセンタ８０ｃｄによってアクセス管理される保護リソースの両方に接続された状態となるが、両方とも地域Ｂに設置されているため、管理システム５０ａｂ、及び５０ｅｆから保護リソースが漏洩することはない。

＜＜実施形態のハードウェア構成＞＞
次に、本実施形態のハードウェア構成を説明する。図２は、本実施形態に係る端末１０の外観図である。以下、端末１０の長手方向をＸ軸方向、水平面内でＸ軸方向に直交する方向をＹ軸方向、Ｘ軸方向及びＹ軸方向に直交する方向（鉛直方向）をＺ軸方向として説明する。

図２に示されているように、端末１０は、筐体１１００、アーム１２００、及びカメラハウジング１３００を備えている。このうち、筐体１１００の前側壁面１１１０には、複数の吸気孔によって形成された吸気面が設けられており、筐体１１００の後側壁面１１２０には、複数の排気孔が形成された排気面１１２１が設けられている。これにより、筐体１１００に内蔵された冷却ファンの駆動によって、吸気面を介して端末１０の後方の外気を取り込み、排気面１１２１を介して端末１０の後方へ排気することができる。筐体１１００の右側壁面１１３０には、収音用孔１１３１が形成され、内蔵型のマイク１１４によって音声、物音、雑音等の音が収音可能となっている。

筐体１１００の右側壁面１１３０側には、操作パネル１１５０が形成されている。操作パネル１１５０には、複数の操作ボタン（１０８ａ〜１０８ｅ）、電源スイッチ１０９、及びアラームランプ１１９が設けられている。さらに、操作パネル１１５０には、内蔵型のスピーカ１１５からの出力音を通すための複数の音声出力孔によって形成された音出面１１５１が形成されている。また、筐体１１００の左側壁面１１４０側には、アーム１２００及びカメラハウジング１３００を収容するための凹部としての収容部１１６０が形成されている。筐体１１００の右側壁面１１３０には、外部機器接続Ｉ／Ｆ１１８に対して電気的にケーブルを接続するための複数の接続口（１１３２ａ〜１１３２ｃ）が設けられている。一方、筐体１１００の左側壁面１１４０には、外部機器接続Ｉ／Ｆ１１８に対して電気的にディスプレイ１２０用のケーブル１２０ｃを接続するための接続口が設けられている。

なお、以下では、操作ボタン（１０８ａ〜１０８ｅ）のうち任意の操作ボタンを示す場合には「操作ボタン１０８」を用い、接続口（１１３２ａ〜１１３２ｃ）のうち任意の接続口を示す場合には「接続口１１３２」を用いて説明する。

次に、アーム１２００は、トルクヒンジ１２１０を介して筐体１１００に取り付けられており、アーム１２００が筐体１１００に対して、１３５度のチルト角θ１の範囲で、上下方向に回転可能に構成されている。図２は、チルト角θ１が９０度の状態を示している。

カメラハウジング１３００には、内蔵型のカメラ１１２が設けられており、利用者、書類、及び部屋等を撮像することができる。また、カメラハウジング１３００には、トルクヒンジ１３１０が形成されている。カメラハウジング１３００は、トルクヒンジ１３１０を介して、アーム１２００に取り付けられている。カメラハウジング１３００は、トルクヒンジ１３１０を介してアーム１２００に取り付けられている。カメラハウジング１３００がアーム１２００に対して、図２で示されている状態を０度として±１８０度のパン角θ２の範囲で、且つ、±４５度のチルト角θ３の範囲で、上下左右方向に回転可能に構成されている。

なお、中継装置３０、管理システム５０、及びデータセンタ８０は、それぞれ一般のサーバ・コンピュータの外観と同じであるため、外観の説明を省略する。

図３は、本発明の一実施形態に係る端末１０のハードウェア構成図である。図３に示されているように、本実施形態の端末１０は、端末１０全体の動作を制御するＣＰＵ（Central Processing Unit）１０１、端末用プログラムを記憶したＲＯＭ（Read Only Memory）１０２を備えている。さらに、端末１０は、ＣＰＵ１０１のワークエリアとして使用されるＲＡＭ（Random Access Memory）１０３、画像データや音声データ等の各種データを記憶するフラッシュメモリ１０４を備えている。さらに、端末１０は、ＣＰＵ１０１の制御にしたがってフラッシュメモリ１０４に対する各種データの読み出し又は書き込みを制御するＳＳＤ（Solid State Drive）１０５、フラッシュメモリ等の記録メディア１０６に対するデータの読み出し又は書き込み（記憶）を制御するメディアドライブ１０７を備えている。さらに、端末１０は、端末１０の宛先を選択する場合などに操作される操作ボタン１０８、端末１０の電源のＯＮ／ＯＦＦを切り換えるための電源スイッチ１０９、通信ネットワーク２を利用してデータ伝送をするためのネットワークＩ／Ｆ（Interface）１１１を備えている。

また、端末１０は、ＣＰＵ１０１の制御に従って被写体を撮像して画像を得る内蔵型のカメラ１１２、このカメラ１１２の駆動を制御する撮像素子Ｉ／Ｆ１１３を備えている。さらに、端末１０は、音声を出力する内蔵型のスピーカ１１５、ＣＰＵ１０１の制御に従ってマイク１１４及びスピーカ１１５との間で音声信号の入出力を処理する音声入出力Ｉ／Ｆ１１６を備えている。さらに、端末１０は、ＣＰＵ１０１の制御に従って外付けのディスプレイ１２０に画像データを伝送するディスプレイＩ／Ｆ１１７、図２に示されている接続口１１００ｇに取り付けられ各種の外部機器を接続するための外部機器接続Ｉ／Ｆ１１８を備えている。さらに、端末１０は、端末１０の各種機能の異常を知らせるアラームランプ１１９、及び各構成要素を図３に示されているように電気的に接続するためのアドレスバスやデータバス等のバスライン１１０を備えている。

ディスプレイ１２０は、被写体の画像や操作用アイコン等を表示する液晶や有機ＥＬによって構成された表示部である。また、ディスプレイ１２０は、ケーブル１２０ｃによってディスプレイＩ／Ｆ１１７に接続される。このケーブル１２０ｃは、アナログＲＧＢ（ＶＧＡ）信号用のケーブルであってもよいし、コンポーネントビデオ用のケーブルであってもよいし、ＨＤＭＩ（登録商標）(High-Definition Multimedia Interface)やＤＶＩ(Digital Video Interactive)信号用のケーブルであってもよい。

カメラ１１２は、レンズや、光を電荷に変換して被写体の画像（映像）を電子化する固体撮像素子を含み、固体撮像素子として、ＣＭＯＳ（Complementary Metal Oxide Semiconductor）や、ＣＣＤ（Charge Coupled Device）等が用いられる。

外部機器接続Ｉ／Ｆ１１８には、ＵＳＢ(Universal Serial Bus)ケーブル等によって、外付けカメラ、外付けマイク、及び外付けスピーカ等の外部機器がそれぞれ接続可能である。外付けカメラが接続された場合には、ＣＰＵ１０１の制御に従って、内蔵型のカメラ１１２に優先して、外付けカメラが駆動する。同じく、外付けマイクが接続された場合や、外付けスピーカが接続された場合には、ＣＰＵ１０１の制御に従って、それぞれが内蔵型のマイク１１４や内蔵型のスピーカ１１５に優先して、外付けマイクや外付けスピーカが駆動する。

なお、記録メディア１０６は、端末１０に対して着脱自在な構成となっている。また、ＣＰＵ１０１の制御にしたがってデータの読み出し又は書き込みを行う不揮発性メモリであれば、フラッシュメモリ１０４に限らず、ＥＥＰＲＯＭ（Electrically Erasable and Programmable ROM）等を用いてもよい。

更に、上記端末用プログラムは、インストール可能な形式又は実行可能な形式のファイルで、上記記録メディア１０６等の、コンピュータで読み取り可能な記録媒体に記録して流通させるようにしてもよい。

図４は、本発明の一実施形態に係る管理システムのハードウェア構成図である。管理システム５０は、管理システム５０全体の動作を制御するＣＰＵ２０１、伝送管理用プログラムを記憶したＲＯＭ２０２、ＣＰＵ２０１のワークエリアとして使用されるＲＡＭ２０３を備えている。さらに、管理システム５０は、各種データを記憶するＨＤ（Hard Disk）２０４、ＣＰＵ２０１の制御にしたがってＨＤ２０４に対する各種データの読み出し又は書き込みを制御するＨＤＤ（Hard Disk Drive）２０５を備えている。さらに、管理システム５０は、フラッシュメモリ等の記録メディア２０６に対するデータの読み出し又は書き込み（記憶）を制御するメディアドライブ２０７を備えている。さらに、管理システム５０は、カーソル、メニュー、ウィンドウ、文字、又は画像などの各種情報を表示するディスプレイ２０８、通信ネットワーク２を利用してデータ伝送をするためのネットワークＩ／Ｆ２０９を備えている。さらに、管理システム５０は、文字、数値、各種指示などの入力のための複数のキーを備えたキーボード２１１、各種指示の選択や実行、処理対象の選択、カーソルの移動などを行うマウス２１２を備えている。さらに、管理システム５０は、着脱可能な記録媒体の一例としてのＣＤ−ＲＯＭ（Compact Disc Read Only Memory）２１３に対するデータの読み出し又は書き込みを制御するＣＤ−ＲＯＭドライブ２１４、及び、上記各構成要素を図４に示されているように電気的に接続するためのアドレスバスやデータバス等のバスライン２１０を備えている。

なお、伝送管理用プログラムは、インストール可能な形式又は実行可能な形式のファイルで、記録メディア２０６やＣＤ−ＲＯＭ２１３等のコンピュータで読み取り可能な記録媒体に記録して流通させるようにしてもよい。

また、中継装置３０は、管理システム５０と同様のハードウェア構成を有しているため、その説明を省略する。但し、ＲＯＭ２０２には、中継装置３０を制御するための中継装置用プログラムが記録されている。この場合も、中継装置用プログラムは、インストール可能な形式又は実行可能な形式のファイルで、記録メディア２０６やＣＤ−ＲＯＭ２１３等のコンピュータで読み取り可能な記録媒体に記録して流通させるようにしてもよい。

データセンタ８０の認可サーバは、管理システム５０と同様のハードウェア構成を有しているため、その説明を省略する。但し、ＲＯＭ２０２には、データセンタ８０の認可サーバを制御するための伝送管理システム用プログラムが記録されている。この場合も、伝送管理システム用プログラムは、インストール可能な形式又は実行可能な形式のファイルで、記録メディア２０６やＣＤ−ＲＯＭ２１３等のコンピュータで読み取り可能な記録媒体に記録して流通させるようにしてもよい。

なお、着脱可能な記録媒体の他の例として、ＣＤ−Ｒ（Compact Disc Recordable）、ＤＶＤ（Digital Versatile Disk）、ブルーレイディスク等のコンピュータで読み取り可能な記録媒体に記録して提供するように構成してもよい。

＜実施形態の機能構成＞
次に、本実施形態の機能構成について説明する。図５は、本実施形態の伝送システム１を構成する各端末、装置及びシステムの機能ブロック図である。図５では、端末１０、中継装置３０、及び管理システム５０が、通信ネットワーク２を介してデータ通信することができるように接続されている。

＜端末の機能構成＞
端末１０は、送受信部１１、操作入力受付部１２、ログイン要求部１３、撮像部１４、音声入力部１５ａ、音声出力部１５ｂ、表示制御部１６、記憶・読出処理部１９、及び宛先リスト作成部２０を有している。これら各部は、図３に示されている各構成要素のいずれかが、ＲＯＭ１０２に記憶されているプログラムに従ったＣＰＵ１０１からの命令によって動作することで実現される機能又は手段である。また、端末１０は、図３に示されているＲＡＭ１０３によって構築される揮発性記憶部１０００、及び図３に示されているフラッシュメモリ１０４によって構築される揮発性記憶部１１００を有している。

＜端末の各機能部＞
次に、端末の各部を詳細に説明する。端末１０の送受信部１１は、図３に示されているネットワークＩ／Ｆ１１１によって実現され、通信ネットワーク２を介して他の端末、装置又はシステムと各種データ（情報）の送受信を行う。この送受信部１１は、所望の宛先端末と通話を開始する前から、管理システム５０より、宛先候補としての各端末の状態を示す各状態情報の受信を開始する。なお、この状態情報は、各端末１０の稼動状態（ＯＮラインかＯＦＦラインかの状態）だけでなく、ＯＮラインであっても更に通話中であるか、待受け中であるか等の詳細な状態を示す。また、この状態情報は、各端末１０の稼動状態だけでなく、端末１０でケーブルが端末１０から外れていたり、音声を出力するが画像は出力させなかったり、音声を出力さないようにする（ＭＵＴＥ）等、様々な状態を示す。以下では、一例として、状態情報が稼動状態を示す場合について説明する。

操作入力受付部１２は、図３に示されている操作ボタン１０８、及び電源スイッチ１０９によって実現され、利用者による各種入力を受け付ける。例えば、利用者が、図３に示されている電源スイッチ１０９をＯＮにすると、図５に示されている操作入力受付部１２が電源ＯＮを受け付けて、電源をＯＮにする。

ログイン要求部１３は、図３に示されているＣＰＵ１０１からの命令によって実現される。ログイン要求部１３は、電源ＯＮの受け付けを契機として、送受信部１１から通信ネットワーク２を介して管理システム５０に、ログインを要求する旨を示すログイン要求情報、及び要求元としての端末１０の現時点のＩＰアドレスを自動的に送信する。また、利用者が電源スイッチ１０９をＯＮの状態からＯＦＦにすると、送受信部１１は、管理システム５０へ、電源をＯＦＦする旨の状態情報を送信してから、操作入力受付部１２が電源を完全にＯＦＦにする。これにより、管理システム５０側では、端末１０が電源ＯＮから電源ＯＦＦになったことを把握することができる。

撮像部１４は、図３に示されているＣＰＵ１０１からの命令、並びに図３に示されているカメラ１１２、及び撮像素子Ｉ／Ｆ１１３によって実現され、被写体を撮像して、この撮像して得た画像データを出力する。音声入力部１５ａは、図３に示されている音声入出力Ｉ／Ｆ１１６によって実現され、マイク１１４によって利用者の音声が音声信号に変換された後、この音声信号に係る音声データを入力する。音声出力部１５ｂは、図３に示されているＣＰＵ１０１からの命令、並びに図３に示されている音声入出力Ｉ／Ｆ１１６によって実現され、音声データに係る音声信号をスピーカに出力し、スピーカ１１５から音声を出力させる。

表示制御部１６は、図３に示されているディスプレイＩ／Ｆ１１７によって実現され、外付けのディスプレイ１２０に対して画像データを送信するための制御を行う。表示制御部１６は、要求元としての端末１０が所望の宛先としての端末１０とテレビ会議の通話を開始する前に、送受信部１１による受信の開始後に受信された状態情報を反映させて各宛先名が含まれた宛先リストをディスプレイ１２０に表示させる。

例えば、ディスプレイ１２０上には、図６に示されているような宛先リスト枠１１００−１が表示される。この宛先リスト枠１１００−１には、宛先名「日本 東京事業所 ＡＢ端末」１１００−２等の各宛先名が表示されており、宛先名毎に状態情報に係る状態を示したアイコン（１１００−３ａ，１１００−３ｂ，１１００−３ｃ，１１００−３ｄ）が表示される。このうち、アイコン１１００−３ａは、宛先候補の一つの端末がＯＮライン状態で待受け中であるため、この端末と通話可能であることを示す。アイコン１１００−３ｂは、宛先候補の一つの端末がＯＦＦライン状態で、この端末と通話不可能であることを示す。アイコン１１００−３ｃは、宛先候補の一つの端末が他の端末と通話中の状態で、この通話に加わって、三者通信等が可能な状態を示す。アイコン１１００−３ｄは、宛先候補の一つの端末が他の端末との通話を要求しているか他の端末から通話を要求されているため、この宛先候補の一つの端末と通話不可能な状態を示す。更に、アイコン１１００−３ｄは、上記の状態に加えて、他の端末との通話の要求を許可したか、他の端末との通話の要求が許可されたため、この宛先候補の一つの端末と通話不可能な状態を示す。また、宛先リスト枠１１００−１には、右側にスクロールバー１１００−４が表示され、三角形の上向き又は下向きアイコンが選択されることで、図６には表示されていない宛先候補の宛先名および状態を示したアイコンが表示されることになる。

また、記憶・読出処理部１９は、図３に示されているＣＰＵ１０１からの命令、並びに一例として図３に示すＳＳＤ１０５によって実行される。記憶・読出処理部１９は、不揮発性記憶部１０００に各種データを記憶したり、不揮発性記憶部１０００に記憶された各種データを読み出す処理を行う。この不揮発性記憶部１０００には、端末１０を識別するための端末ＩＤ（Identification）、及びパスワード等が記憶される。更に、記憶・読出処理部１９は、揮発性記憶部１１００に各種データを記憶したり、揮発性記憶部１１００に記憶された各種データを読み出す処理も行う。この揮発性記憶部１１００には、宛先端末との通話を行う際に受信される画像データ及び音声データが、受信される度に上書き記憶される。このうち、上書きされる前の画像データによってディスプレイ１２０に画像が表示され、上書きされる前の音声データによってスピーカ１１５から音声が出力される。

宛先リスト作成部２０は、管理システム５０から受信した、宛先リスト情報及び各宛先候補としての端末１０の状態情報に基づいて、図６に示されているような宛先候補の状態がアイコンで示された宛先リストの作成及び更新を行う。

なお、本実施形態の端末ＩＤ、及び中継装置ＩＤは、それぞれ端末１０、及び中継装置３０を一意に識別するために使われる言語、文字、記号、又は各種のしるし等の識別情報を示す。また、端末ＩＤ、及び中継装置ＩＤは、上記言語、文字、記号、及び各種のしるしのうち、少なくとも２つが組み合わされた識別情報であってもよい。

（中継装置の機能構成）
次に、中継装置３０の機能又は手段について説明する。中継装置３０は、送受信部３１、状態検知部３２、データ品質確認部３３、変更品質管理部３４、データ品質変更部３５、及び記憶・読出処理部３９を有している。これら各部は、図４に示されている各構成要素のいずれかが、ＲＯＭ２０２に記憶されているプログラムに従ったＣＰＵ２０１からの命令によって動作することで実現される機能又は手段である。また、中継装置３０は、図４に示されているＨＤ２０４により構築され、中継装置３０の電源をＯＦＦにしても各種データや情報の記憶が維持される不揮発性記憶部３０００を有している。

（変更品質管理テーブル）
不揮発性記憶部３０００には、図７に示されているような変更品質管理テーブルによって構成されている変更品質管理ＤＢ（Data Base）３００１が構築される。変更品質管理テーブルでは、画像データの中継先としての端末１０のＩＰアドレス、及びこの中継先に中継装置３０が中継する画像データの画質が関連付けられて管理される。

ここで、本実施形態で扱われる画像データの画像の解像度について説明する。図８（ａ）に示されているように、横が１６０画素、縦が１２０画素から成り、ベース画像となる低解像度の画像と、図８（ｂ）に示されているように、横が３２０画素、縦が２４０画素から成る中解像度の画像と、図８（ｃ）に示されているように、横が６４０画素、縦が４８０画素から成る高解像度の画像とがある。このうち、狭帯域経路を経由する場合には、ベース画像となる低解像度の画像データのみから成る低画質の画像データが中継される。帯域が比較的広い場合には、ベース画像となる低解像度の画像データ、及び中解像度の画像データから成る中画質の画像データが中継される。また、帯域が非常に広い場合には、ベース画質となる低解像度の画像データ、中解像度の画像データ、及び高解像度の画像データから成る高画質の画像データが中継される。例えば、図７に示されている変更品質管理テーブルにおいて、中継装置３０が、ＩＰアドレス「１．３．２．４」の宛先端末に対して画像データを中継する場合には、この中継される画像データの画質（画像の品質）は「高品質」である。

＜中継装置の各機能部＞
次に、中継装置３０の各機能構成について詳細に説明する。なお、以下では、中継装置３０の各部を説明するにあたって、図４に示されている各構成要素のうち、中継装置３０の各部を実現させるための主な構成要素との関係も説明する。

図５に示されている中継装置３０の送受信部３１は、図４に示されているネットワークＩ／Ｆ２０９によって実現され、通信ネットワーク２を介して他の端末、装置、又はシステムと各種データ（または情報）の送受信を行う。状態検知部３２は、図４に示されているＣＰＵ２０１からの命令によって実現され、この状態検知部３２を有する中継装置３０の稼動状態を検知する。稼動状態としては、「ＯＮライン」、「ＯＦＦライン」、又は「故障中」の状態がある。

データ品質確認部３３は、図４に示されているＣＰＵ２０１からの命令によって実現される。データ品質確認部３３は、宛先端末のＩＰアドレスを検索キーとして、変更品質管理テーブル（図７参照）を検索し、対応した中継される画像データの画質を抽出することで、中継される画像データの画質を確認する。変更品質管理部３４は、図４に示されているＣＰＵ２０１からの命令によって実現され、管理システム５０から送られて来る、品質情報に基づいて、変更品質管理ＤＢ３００１の変更品質管理テーブルの内容を変更する。例えば、端末ＩＤが「０１ａａ」である要求元端末（端末１０ａａ）と、端末ＩＤが「０１ｄｂ」である宛先端末（端末１０ｄｂ）との間で高画質の画像データを送受信することによってテレビ会議を行っている。このテレビ会議の最中に、他のテレビ会議を行う要求元端末（端末１０ｂｂ）と宛先端末（端末１０ｃａ）が通信ネットワーク２を介してテレビ会議を開始すること等によって、宛先端末（端末１０ｄｂ）で画像データの受信の遅延が生じた。この場合には、中継装置３０は今まで中継していた画像データの画質を、高画質から中画質に下げる必要がある。このような場合に、中画質を示す品質情報に基づいて、中継装置３０が中継する画像データの画質を高画質から中画質に下げるように、変更品質管理ＤＢ３００１の変更品質管理テーブルの内容が変更される。

データ品質変更部３５は、図４に示されているＣＰＵ２０１からの命令によって実現され、送信元端末１０から送られて来た画像データの画質を、上記変更された変更品質管理ＤＢ３００１の変更品質管理テーブルの内容に基づいて変更する。記憶・読出処理部３９は、図４に示されているＨＤＤ２０５によって実現され、不揮発性記憶部３０００に各種データを記憶したり、不揮発性記憶部３０００に記憶された各種データを読み出す処理を行う。

＜管理システムの機能構成＞
次に、管理システム５０の機能又は手段について説明する。管理システム５０は、送受信部５１、状態管理部５３、端末抽出部５４、端末状態取得部５５、中継装置選択部５６、セッション管理部５７、品質決定部５８、記憶・読出処理部５９、遅延時間管理部６０、決定部６１、判定部６２、及び宛先リスト管理部６５を有している。これら各部は、図４に示されている各構成要素のいずれかが、ＲＯＭ２０２に記憶されているプログラムに従ったＣＰＵ２０１からの命令によって動作することで実現される機能又は手段である。また、管理システム５０は、図４に示されているＨＤ２０４により構築され、管理システム５０の電源をＯＦＦにしても各種データや情報の記憶が維持される不揮発性記憶部５０００を有している。この不揮発性記憶部５０００には、図６に示されている宛先リスト枠１１００−１が記憶されている。更に、管理システム５０は、図４に示されているＲＡＭ２０３によって構築される揮発性記憶部５１００を有している。

（中継装置管理テーブル）
不揮発性記憶部５０００には、図９に示されているような中継装置管理テーブルによって構成されている中継装置管理ＤＢ５００１が構築されている。この中継装置管理テーブルでは、各中継装置３０の中継装置ＩＤ毎に、各中継装置３０の稼動状態、稼動状態が示される状態情報が管理システム５０で受信された受信日時、中継装置３０のＩＰアドレス、及び中継装置３０における最大データ伝送速度（Ｍｂｐｓ）が関連付けられて管理される。例えば、図９に示されている中継装置管理テーブルにおいて、中継装置ＩＤが「１１１ａ」の中継装置３０ａは、稼動状態が「ＯＮライン」で、管理システム５０で状態情報が受信された日時が「２００９年１１月１０日の１３時００分」で、この中継装置３０ａのＩＰアドレスが「１．２．１．２」で、この中継装置３０ａにおける最大データ伝送速度が１００Ｍｂｐｓであることが示されている。

（端末管理テーブル）
また、不揮発性記憶部５０００には、図１０に示されているような端末管理テーブルによって構成されている端末管理ＤＢ５００３が構築されている。この端末管理テーブルでは、各端末１０の端末ＩＤ毎に、各端末１０を宛先とした場合の宛先名、各端末１０の稼動状態、他の端末との通信状態、後述のログイン要求情報が管理システム５０で受信された受信日時、及び端末１０のＩＰアドレスが関連付けられて管理される。例えば、図１０に示されている端末管理テーブルにおいて、端末ＩＤが「０１ａａ」の端末１０ａａは、端末名が「日本 東京事業所 ＡＡ端末」で、稼動状態が「ＯＮライン」で、通信状態が他の端末と通信しておらず待受け中の状態を示す「Ｎｏｎｅ」で、管理システム５０でログイン要求情報が受信された日時が「２００９年１１月１０日の１３時４０分」で、この端末１０ａａのＩＰアドレスが「１．２．１．３」であることが示されている。尚、通信状態には、他の端末を呼び出し中の状態を示す「Ｃａｌｌｉｎｇ」、他の端末から呼び出されている状態を示す「Ｒｉｎｇｉｎｇ」、他の端末との通話の要求を許可したか、他の端末との通話の要求が許可された状態を示す「Ａｃｃｅｐｔｅｄ」、他の端末と通話中の状態を示す「Ｂｕｓｙ」等が含まれる。

（宛先リスト管理テーブル）
更に、不揮発性記憶部５０００には、図１１に示されているような宛先リスト管理テーブルによって構成されている宛先リスト管理ＤＢ５００４が構築されている。この宛先リスト管理テーブルでは、テレビ会議における通話の開始を要求する要求元端末の端末ＩＤに対して、宛先端末の候補として登録されている宛先端末の端末ＩＤが全て関連付けられて管理される。例えば、図１１に示されている宛先リスト管理テーブルにおいて、端末ＩＤが「０１ａａ」である要求元端末（端末１０ａａ）からテレビ会議における通話の開始を要求することができる宛先端末の候補は、端末ＩＤが「０１ａｂ」の端末１０ａｂ、端末ＩＤが「０１ｂａ」の端末１０ｂａ、及び端末ＩＤが「０１ｂｂ」の端末１０ｂｂ等であることが示されている。この宛先端末の候補は、要求元端末から管理システム５０に対する追加又は削除の要請により、追加又は削除されることで更新される。

（セッション管理テーブル）
また、この不揮発性記憶部５０００には、図１２に示されているようなセッション管理テーブルによって構成されているセッション管理ＤＢ５００５が構築されている。このセッション管理テーブルでは、端末間で通話データが通信されるセッションを識別するためのセッションＩＤ毎に、画像データ及び音声データの中継に使用される中継装置３０の中継装置ＩＤ、要求元端末の端末ＩＤ、宛先端末の端末ＩＤ、宛先端末において画像データが受信される際の受信の遅延時間（ｍｓ）、及びこの遅延時間が示されている遅延情報を宛先端末から送られて来て管理システム５０で受信された受信日時が関連付けられて管理される。例えば、図１２に示されているセッション管理テーブルにおいて、セッションＩＤ「ｓｅ１」を用いて実行されたセッションで選択された中継装置３０ａ（中継装置ＩＤ「１１１ａ」）は、端末ＩＤが「０１ａａ」の要求元端末（端末１０ａａ）と、端末ＩＤが「０１ｂｂ」の宛先端末（端末１０ｂｂ）と、端末ＩＤが「０１ｃｂ」の宛先端末（端末１０ｃｂ）と、端末ＩＤが「０１ｄｂ」の宛先端末（端末１０ｄｂ）との間で、画像データ及び音声データを中継しており、宛先端末（端末１０ｄｂ）において「２００９年１１月１０日の１４時００分」時点における画像データの遅延時間が２００（ｍｓ）であることが示されている。なお、２つの端末１０の間でテレビ会議を行う場合には、上記宛先端末ではなく要求元端末から送信されてきた遅延情報に基づいて、遅延情報の受信日時を管理してもよい。但し、３つ以上の端末１０の間でテレビ会議を行う場合には、画像データ及び音声データの受信側の端末１０から送信されてきた遅延情報に基づいて、遅延情報の受信日時を管理する。

（品質管理テーブル）
更に、不揮発性記憶部５０００には、図１３に示されているような品質管理テーブルによって構成されている品質管理ＤＢ５００７が構築されている。この品質管理テーブルでは、要求元端末又は宛先端末における画像データの遅延時間（ｍｓ）に応じて、中継装置３０で中継させる画像データの画質（画像の品質）が関連付けられて管理される。

（中継装置選択管理テーブル）
更に、不揮発性記憶部５０００には、図１４に示されているような中継装置選択管理テーブルによって構成されている中継装置選択管理ＤＢ５００８が構築されている。この品質管理テーブルでは、管理システム５０によって管理される全ての端末１０の各端末ＩＤに対して、画像データ及び音声データの中継に使用される中継装置３０の中継装置ＩＤが関連付けられて管理される。

（状態変更管理テーブル）
また、不揮発性記憶部５０００には、図１５、図１６、図１７に示されているような状態変更管理テーブルによって構成されている状態変更管理ＤＢ５００９が構築されている。図１５の状態変更管理テーブルでは、端末間の通信の状態を変更させる要求を示す変更要求情報（変更情報の一例）と、状態管理部５３によって変更される前の通信の状態を示す変更前状態情報と、状態管理部５３によって変更された状態を示す変更情報とが関連付けられて管理される。また、図１６の状態変更管理テーブルでは、変更要求情報と、要求元端末と宛先端末とを識別するための端末情報と、変更前状態情報と、変更情報とが関連付けられて管理される。図１７の状態変更管理テーブルでは、変更要求情報と、端末情報と、通信の開始を要求する旨の変更要求情報「Ｉｎｖｉｔｅ」を受信した複数の端末のいずれかから通信の開始を拒否する旨の変更要求情報「Ｒｅｊｅｃｔ」を受信した場合に、複数の端末のすべてから変更要求情報「Ｒｅｊｅｃｔ」を受信したか否かを判定した結果を示す判定情報と、変更前状態情報と、変更情報とが関連付けられて管理される。尚、変更要求情報には、上記の「Ｉｎｖｉｔｅ」、「Ｒｅｊｅｃｔ」の他、通信の開始を許可する旨の変更要求情報「Ａｃｃｅｐｔ」、通信の開始の要求を取り消す旨の変更要求情報「Ｃａｎｃｅｌ」、通話データの中継の開始を要求する旨の変更要求情報「Ｊｏｉｎ」、既に端末間のセッションが確立されている場合にこのセッションへの参加を要求する旨の変更要求情報「Ｃａｌｌ」、通信の終了を要求する旨の変更要求情報「Ｌｅａｖｅ」等が含まれる。

中継装置管理テーブル、端末管理テーブル、宛先リスト管理テーブル、セッション管理テーブル、品質管理テーブル、中継装置選択管理テーブル、状態変更管理テーブルは、設定により、アクセスが制限される保護リソースとして管理できる。ここでは、一例として、宛先リスト管理テーブルが保護リソースとして管理される。宛先リスト管理テーブルはアドレス帳の一例であり、各管理システム５０ａｂ、５０ｃｄ、及び５０ｅｆによって管理される宛先リスト管理テーブルに含まれる情報は異なることもあり得る。また、管理システム５０ａｂによって管理される宛先リスト管理テーブルと管理システム５０ｅｆによって管理される宛先リスト管理テーブルとを同期させることもできる。

（管理システムの各機能部）
次に、管理システム５０の各機能部について詳細に説明する。なお、以下では、管理システム５０の各部を説明するにあたって、図４に示されている各構成要素のうち、管理システム５０の各部を実現させるための主な構成要素との関係も説明する。

送受信部５１は、図４に示されているネットワークＩ／Ｆ２０９によって実行され、通信ネットワーク２を介して他の端末、装置又はシステムと各種データ（または情報）の送受信を行う。

状態管理部５３は、ログイン要求してきた要求元端末の稼動状態を管理すべく、端末管理テーブル（図１０参照）に、この要求元端末の端末ＩＤ、要求元端末の稼動状態、管理システム５０でログイン要求情報が受信された受信日時、及び要求元端末のＩＰアドレスを関連付けて記憶して管理する。そのため、状態管理部５３は、図４に示されているＣＰＵ２０１からの命令によって、図１８に示される状態設定部５３ａ、状態取得部５３ｂ、状態変更部５３ｃを実現する。

状態設定部５３ａは、端末１０の利用者が端末１０の電源スイッチ１０９をＯＦＦの状態からＯＮにすることで、この端末から送られてきた電源をＯＮする旨の状態情報に基づいて、端末管理テーブル（図１０参照）の稼動状態のＯＦＦラインを示す稼動状態をＯＮラインに設定する。また、利用者が端末１０の電源スイッチ１０９をＯＮの状態からＯＦＦにすることで、この端末から送られてきた電源をＯＦＦする旨の状態情報に基づいて、端末管理テーブル（図１０参照）のＯＮラインを示す稼動状態をＯＦＦラインに設定する。

状態取得部５３ｂは、要求元端末又は宛先端末によって送信された変更要求情報が送受信部５１によって受信されると、要求元端末及び宛先端末の少なくとも一方の状態情報を端末管理テーブル（図１０参照）から取得する。

状態変更部５３ｃは、送受信部５１によって受信された変更要求情報に基づき、端末管理テーブル（図１０参照）で管理される要求元端末の状態情報及び宛先端末の状態情報のいずれか或は両方を変更する。

端末抽出部５４は、ログイン要求した要求元端末の端末ＩＤをキーとして、宛先リスト管理テーブル（図１１参照）を検索し、要求元端末と通話することができる宛先端末の候補の端末ＩＤを読み出すことで、端末ＩＤを抽出する。また、端末抽出部５４は、ログイン要求してきた要求元端末の端末ＩＤをキーとして、宛先リスト管理テーブルを検索し、要求元端末の端末ＩＤを宛先端末の候補として登録している他の要求元端末の端末ＩＤも抽出する。

端末状態取得部５５は、端末抽出部５４によって抽出された宛先端末の候補の端末ＩＤを検索キーとして、端末管理テーブル（図１０参照）を検索し、端末抽出部５４によって抽出された端末ＩＤ毎に稼動状態を読み出す。これにより、端末状態取得部５５は、ログイン要求してきた要求元端末と通話することができる宛先端末の候補の稼動状態を取得することができる。また、端末状態取得部５５は、端末抽出部５４によって抽出された端末ＩＤを検索キーとして、端末管理テーブルを検索し、ログイン要求してきた要求元端末の稼動状態も取得する。

中継装置選択部５６は、複数の中継装置３０から最終的に１つの中継装置３０に絞り込むための処理を行う。そのため、中継装置選択部５６は、図４に示されているＣＰＵ２０１からの命令によって、図１９に示されるセッションＩＤ生成部５６ａ、中継装置抽出部５６ｂ、選択部５６ｃを実現する。

セッションＩＤ生成部５６ａは、端末間で通話データが通信されるセッションを識別するためのセッションＩＤを生成する。中継装置抽出部５６ｂは、要求元端末から送られてきた開始要求情報に含まれている要求元端末の端末ＩＤ、及び宛先端末の端末ＩＤに基づいて、中継装置選択管理テーブル（図１４参照）を検索することにより、対応するそれぞれの中継装置ＩＤを抽出する。選択部５６ｃは、中継装置管理テーブル（図９参照）で管理されている中継装置３０のうち、稼動状態が「ＯＮライン」となっている中継装置３０の中継装置ＩＤを選択することにより、中継装置３０の選択を行う。

セッション管理部５７は、不揮発性記憶部５０００のセッション管理テーブル（図１２参照）に、セッションＩＤ生成部５６ａで生成されたセッションＩＤ、要求元端末の端末ＩＤ、及び宛先端末の端末ＩＤを関連付けて記憶して管理する。また、セッション管理部５７は、セッション管理テーブルに対して、セッションＩＤ毎に、最終的に１つに選択された中継装置３０の中継装置ＩＤを記憶して管理する。

品質決定部５８は、遅延時間を検索キーとして、品質管理テーブル（図１３参照）を検索し、対応する画像データの画質を抽出することで、中継装置３０に中継させる画像データの画質を決定する。記憶・読出処理部５９は、図４に示されているＨＤＤ２０５によって実行され、不揮発性記憶部５０００に各種データを記憶したり、不揮発性記憶部５０００に記憶された各種データを読み出す処理を行う。遅延時間管理部６０は、上記宛先端末のＩＰアドレスを検索キーとして、端末管理テーブル（図１０参照）を検索することで、対応する端末ＩＤを抽出する。更に、遅延時間管理部６０は、セッション管理テーブル（図１２参照）において、上記抽出した端末ＩＤが含まれるレコードにおける遅延時間のフィールド部分に、上記遅延情報で示されている遅延時間を記憶して管理する。

決定部６１は、送受信部５１によって受信された変更要求情報に基づき、端末間の通信の状態を変更するための対応を決定する。

判定部６２は、通信の開始を要求する旨の変更要求情報「Ｉｎｖｉｔｅ」を受信した複数の端末のいずれかから通信の開始を拒否する旨の変更要求情報「Ｒｅｊｅｃｔ」を受信した場合に、複数の端末のすべてから通信の開始を拒否する旨の変更要求情報「Ｒｅｊｅｃｔ」を受信したか否かを判定する。

変更要求情報判断部６３は、送受信部５１によって受信された変更要求情報が、この変更要求情報を送信した端末（要求元端末及び宛先端末の一方）の通信の状態のみでなく、相手側の端末（要求元端末及び宛先端末の他方）の通信の状態を変更させる要求を示す特定の変更要求情報であるかを判断する。例えば、通信の開始を要求する旨の変更要求情報「Ｉｎｖｉｔｅ」は、要求元端末の通信の状態を呼び出し中の状態「Ｃａｌｌｉｎｇ」に変更させるのみでなく、宛先端末の通信の状態を呼び出されている状態「Ｒｉｎｇｉｎｇ」に変更させるので、特定の変更要求情報であると判断される。同様にして、本実施形態では上記の「Ｉｎｖｉｔｅ」の他、通信の開始を許可する旨の「Ａｃｃｅｐｔ」、通信の開始を拒否する旨の「Ｒｅｊｅｃｔ」、通信の開始の要求を取り消す旨の「Ｃａｎｃｅｌ」が特定の変更要求情報と判断される。

宛先リスト管理部６５は、宛先リスト管理ＤＢ５００４（図４参照）の各要求元端末の端末ＩＤ毎に、宛先端末の端末ＩＤを追加又は削除する。

＜データセンタ８０の機能構成＞
図２０は、本実施形態の伝送システム１を構成するデータセンタ８０の機能ブロック図である。図２０には、データセンタ８０が備えるサーバのうち、主に認可サーバ(Authorization Server)について示す。認可サーバに加え、ＡＰＩサーバ等の他のサーバや、データベースを備えることもできる。

データセンタ８０は、送受信部８１、認証処理部８２、認可処理部８３、アクセストークン発行部８４、アクセストークン検証部８５、権限判断部８６、アクセス処理部８７、及び記憶・読出処理部８８を有している。これら各部は、図４に示されている各構成要素のいずれかが、ＨＤ２０４からＲＡＭ２０３上に展開されたデータセンタ用プログラムに従ったＣＰＵ２０１からの命令によって動作することで実現される機能、又は機能される手段である。

また、データセンタ８０は、図４に示されているＲＡＭ２０３又はＨＤ２０４によって構築される不揮発性記憶部８０００を有している。

（端末認証管理テーブル）
更に、不揮発性記憶部８０００には、図２１に示されているような端末認証管理テーブルによって構成されている端末認証管理ＤＢ８００１が構築されている。この端末認証管理テーブルでは、データセンタ８０によって管理される全ての端末１０の各端末ＩＤに対して、各パスワードが関連付けられて管理される。例えば、図２１に示されている端末認証管理テーブルにおいて、端末１０ａａの端末ＩＤは「０１ａａ」で、パスワードは「ａａａａ」であることが示されている。

（アクセス可否判断テーブル）
更に、不揮発性記憶部８０００には、図２２に示されているようなアクセス可否判断テーブルによって構成されているアクセス管理ＤＢ８００２が構築されている。このアクセス可否判断テーブルでは、データセンタ８０によってアクセス管理される保護リソースについて、アクセストークンを発行したデータセンタのＩＤなどの識別情報（source_dc）、及び保護リソースへのアクセスを要求されるデータセンタのＩＤなどの識別情報（destination_dc）の組み合わせと、保護リソースへのアクセスを許可するか否かを表す情報が紐付けられることによって対応付けられる。例えば、図２２に示されているアクセス可否判断テーブルにおいて、アクセストークンを発行したデータセンタは「８０ａｂ」で保護リソースへのアクセスを要求されるデータセンタは「８０ｃｄ」である場合、保護リソース「ｒｏｓｔｅｒ」及び「ｌｏｇ」へのアクセスは拒否され（「ｆａｌｓｅ」）、保護リソース「ｕｓｅｒ＿ｐｒｏｆｉｌｅ」へのアクセスは許可される（「ｔｒｕｅ」）ことが示されている。これによって、データセンタ８０ｃｄによってアクセス管理される保護リソースへのアクセスを該データセンタ８０ｃｄによって発行されたアクセストークン以外の他のアクセストークンではアクセスできないようにできる。つまり、データセンタ８０ｃｄによってアクセス管理される保護リソースを該データセンタ８０ｃｄ以外のデータセンタ８０ａｂ、及び８０ｅｆによるアクセス管理から隔離できる。

＜データセンタの各機能部＞
次に、データセンタ８０の各部を詳細に説明する。なお、以下では、データセンタ８０の各部を説明するにあたって、図４に示されている各構成要素のうち、データセンタ８０の各部を実現させるための主な構成要素との関係も説明する。

図２０に示されているデータセンタ８０の送受信部８１は、図４に示されているネットワークＩ／Ｆ２０９によって実現され、通信ネットワーク２を介して他の端末、装置、又はシステムと各種データ（または情報）の送受信を行う。送受信部８１は、端末１０によって送信される、該端末１０が伝送システム１へログインすることを要求するログイン要求情報、及び該端末１０の認証、認可を要求する認証・認可リクエストを受信する。

認証処理部８２は、送受信部８１を介して受信されたログイン要求情報に付帯されている端末ＩＤ及びパスワードを検索キーとして、不揮発性記憶部８０００の端末認証管理テーブル（図２１参照）を検索し、端末認証管理テーブルに同一の端末ＩＤ及びパスワードが管理されているかを判断することによって端末認証を行う。

認可処理部８３は、送受信部８１を介して受信された認証・認可リクエストに応じて、クライアント認証を行う。具体的には、認可処理部８３は、認証・認可リクエストに付帯される、認可コードフロー等の認可方式を指定するパラメータ(response_type)、認証・認可リクエストを送信したクライアントを一意に識別するＩＤ(client_id)、アクセスを要求する保護リソースを指定するパラメータ(scope)を抽出する。認可処理部８３は、指定された認可方式によって、クライアントが保護リソースにアクセスする権限があるか否かを判断することによってクライアント認証を行う。

アクセストークン発行部８４は、認可処理部８３によってクライアントが保護リソースにアクセスする権限があると判断した場合、つまり、クライアント認証に成功した場合、該認証・認可リクエストを送信したクライアントの端末にアクセストークンを発行する。このアクセストークンは、送受信部８１からクライアントの端末へ送信される。ただし、アクセストークン発行部８４は、クライアント認証が成功したのが最初である場合、該認証・認可リクエストを送信したクライアントの端末にリフレッシュトークン(Refresh Token)を発行する。このリフレッシュトークンは、送受信部８１からクライアントの端末へ送信される。

アクセストークンには、アクセストークンが発行されたクライアントを識別する情報（User ID(client_id)）、アクセスが許可された保護リソースを表す情報(scope)、アクセストークンの有効期限(expire_at)、及びアクセストークンを発行した認可サーバを備えるデータセンタ８０を特定するＩＤ(dc_id)が付帯される。認可サーバを備えるデータセンタ８０を特定するＩＤ(dc_id)の代わりに、又は認可サーバを備えるデータセンタ８０を特定するＩＤ(dc_id)とともに認可サーバを特定するＩＤを付帯することもできる。

アクセストークン検証部８５は、送受信部８１を介して受信されたリソースへのアクセスリクエスト（以下、「アクセスリクエスト」という）に付帯されるアクセストークン又はリフレッシュトークンによって該アクセストークン又はリフレッシュトークンの正当性を検証する。アクセスリクエストには、アクセストークン又はリフレッシュトークンがヘッダに付帯され、ヘッダ以外のフィールドには、アクセスする保護リソースを表す情報、及びユニフォームリソースロケータ(URL: Uniform Resource Locator)等の保護リソースをネットワーク２上で特定するための情報が付帯される。例えば、アクセストークン検証部８５は、アクセストークンを各データセンタ８０が有する共通鍵により復号することによって検証する。共通鍵は、各データセンタ８０に予め用意することができる。アクセストークン検証部８５は、アクセストークンを共通鍵により復号できる場合にはアクセストークンが正当であると判断し、復号できない場合にはアクセストークンが正当でないと判断する。

権限判断部８６は、アクセストークン検証部８５によってアクセストークン又はリフレッシュトークンが正当であるとされた場合、該アクセストークン又はリフレッシュトークンの権限を検査する。権限判断部８６は、アクセスリクエストに付帯されるアクセスする保護リソースを表す情報に基づいて、保護リソースへのアクセスを要求するデータセンタのＩＤを特定する。アクセストークン検証部８５は、アクセストークンを復号することによって得られるアクセストークンを発行したデータセンタ８０を特定するＩＤ(dc_id)、保護リソースへのアクセスを要求するデータセンタのＩＤ、及びアクセスする保護リソースを表す情報(scope)を検索キーとして、不揮発性記憶部８０００のアクセス可否判断テーブル（図２２参照）を検索し、アクセスが許可されているか（「ｔｒｕｅ」であるか）、拒否されているか（「ｆａｌｓｅ」であるか）を判断することによって保護リソースへアクセスする権限があるか否かを判断する。

アクセス処理部８７は、権限判断部８６によって保護リソースへアクセスする権限があると判断した場合、保護リソースを取得するためのリクエストを作成し、送受信部８１から送信することによってアクセスする。アクセス処理部８７は、端末１０が管理システム５０の保護リソースにアクセスすることを許可することによってアクセスする処理を行う。アクセス処理部８７は、保護リソースをアクセスリクエストを送信した端末１０へ送受信部８１から送信する。

アクセス処理部８７は、権限判断部８６によって保護リソースへアクセスする権限がないと判断した場合、その保護リソースへのアクセスを要求するデータセンタが備える認可サーバからアクセストークンを取得することを促すメッセージを送受信部８１から端末１０に送信する。

＜＜実施形態の処理または動作＞＞
図２３乃至図２６を用いて、本実施形態に係る伝送システム１における動作を説明する。なお、図２３は、異なるデータセンタの認可サーバから取得したアクセストークンでのアクセスが許可される処理を示したシーケンス図である。つまり、データセンタ８０ａｂで発行したアクセストークンを用いてデータセンタ８０ｅｆへアクセスする場合や、逆にデータセンタ８０ｅｆで発行したアクセストークンを用いてデータセンタ８０ａｂへアクセスする場合である。図２４は、異なるデータセンタの認可サーバから取得したアクセストークンでのアクセスが拒否される処理を示したシーケンス図である。図２５は、アクセスするデータセンタを選択する処理を示したフローチャート（その１）である。図２６は、アクセスするデータセンタを選択する処理を示したフローチャート（その２）である。

図２３を用いて、伝送システム１において、伝送端末１０ａａ、１０ｂｃ等の地域Ａの端末１０が、データセンタ８０ａｂから取得したアクセストークンを用いて、データセンタ８０ｅｆによってアクセス管理されている保護リソース（Roster API）にアクセスを要求する処理を説明する。データセンタ８０ｅｆから取得したアクセストークンを用いてデータセンタ８０ａｂによってアクセス管理される保護リソースにアクセスする処理にも適用できる。

クライアントが、図３に示されている端末１０ａａの操作ボタン１０８を操作することにより図５に示されている操作入力受付部１２が認証・認可リクエストを受け付け、認証・認可リクエストの受け付けを契機とし、送受信部１１から通信ネットワーク２を経由してデータセンタ８０ａｂに、認証・認可リクエストを送信する（ステップＳ２３０２）。この認証・認可リクエストには、response_type、client_id、Scope等が付帯される。

データセンタ８０ａｂの認可処理部８３は、送受信部８１を介して受信された認証・認可リクエストに応じて、クライアント認証を行う（ステップＳ２３０４）。

データセンタ８０のアクセストークン発行部８４は、認可処理部８３によってクライアントが保護リソースにアクセスする権限があると判断した場合、該認証・認可リクエストを送信したクライアントの端末１０ａａにアクセストークンを発行する。このアクセストークンは、送受信部８１からクライアントの端末へ送信される（ステップＳ２３０６）。アクセストークンには、アクセストークンが発行されたクライアントを識別する情報（User ID(client_id)）、アクセスが許可された保護リソースを表す情報(scope)、アクセストークンの有効期限(expire_at)、及びアクセストークンを発行した認可サーバを備えるデータセンタ８０を特定するＩＤ(dc_id)、つまりデータセンタ８０ａｂのＩＤが付帯される。

クライアントが、図３に示されている端末１０ａａの操作ボタン１０８を操作することにより図５に示されている操作入力受付部１２がアクセスリクエストを受け付け、アクセスリクエストの受け付けを契機とし、送受信部１１から通信ネットワーク２を経由してデータセンタ８０ｅｆに、アクセスリクエストを送信する（ステップＳ２３０８）。このアクセスリクエストには、アクセストークンがヘッダに付帯され、ヘッダ以外のフィールドには、アクセスする保護リソースを表す情報、及び保護リソースをネットワーク２上で特定するための情報、つまりＵＲＬが付帯される。

データセンタ８０ｅｆのアクセストークン検証部８５は、アクセストークンを各データセンタ８０が有する共通鍵により復号することによって検証する（ステップＳ２３１０）。

データセンタ８０ｅｆの権限判断部８６は、アクセストークン検証部８５によってアクセストークンの正当性が検証された結果、正当であるとされた場合、該アクセストークンの権限を検査する（ステップＳ２３１２）。データセンタ８０ｅｆの権限判断部８６は、アクセスリクエストに付帯されるアクセスする保護リソースを表す情報に基づいて、保護リソースへのアクセスを要求するデータセンタのＩＤを特定する。アクセストークン検証部８５は、アクセストークンを復号することによって得られるアクセストークンを発行したデータセンタ８０を特定するＩＤ(dc_id)、保護リソースへのアクセスを要求するデータセンタのＩＤ、及びアクセスする保護リソースを表す情報(scope)を検索キーとして、不揮発性記憶部８０００のアクセス可否判断テーブル（図２２参照）を検索し、アクセスが許可されているか、拒否されているかを判断することによって保護リソースへアクセスする権限があるか否かを判断する。

データセンタ８０ｅｆのアクセス処理部８７は、権限判断部８６によって保護リソースへアクセスする権限があると判断した場合、保護リソースを取得するためのリクエストを作成し、送受信部８１から管理システム５０ｅｆに送信することによってアクセスする（ステップＳ２３１４）。

データセンタ８０ｅｆのアクセス処理部８７は、管理システム５０ｅｆから保護リソース（Roster API）を取得すると（ステップＳ２３１６）、該保護リソースを付帯したレスポンスを、アクセスリクエストを送信した端末１０へ送受信部８１から送信する（ステップＳ２３１８）。レスポンスには、保護リソースとして、件数、ユーザＩＤ、名称等のアドレス帳データが付帯される。

図２４を用いて、伝送システム１において、伝送端末１０ａａ、１０ｂｃ等の地域Ａの端末１０が、データセンタ８０ａｂから取得したアクセストークンを用いて、データセンタ８０ｃｄによってアクセス管理されている保護リソースにアクセスを要求する処理を説明する。伝送端末１０ｅａ、１０ｆａ等の地域Ｃの端末１０が、データセンタ８０ｅｆから取得したアクセストークンを用いて、データセンタ８０ｃｄによってアクセス管理されている保護リソースにアクセスを要求する場合についても適用できる。

クライアントが、図３に示されている端末１０ａａの操作ボタン１０８を操作することにより図５に示されている操作入力受付部１２が認証・認可リクエストを受け付け、認証・認可リクエストの受け付けを契機とし、送受信部１１から通信ネットワーク２を経由してデータセンタ８０ａｂに、認証・認可リクエストを送信する（ステップＳ２４０２）。この認証・認可リクエストには、response_type、client_id、Scopeが付帯される。

データセンタ８０ａｂの認可処理部８３は、送受信部８１を介して受信された認証・認可リクエストに応じて、クライアント認証を行う（ステップＳ２４０４）。

データセンタ８０のアクセストークン発行部８４は、認可処理部８３によってクライアントが保護リソースにアクセスする権限があると判断した場合、該認証・認可リクエストを送信したクライアントの端末１０ａａにアクセストークンを発行する。このアクセストークンは、送受信部８１からクライアントの端末へ送信される（ステップＳ２４０６）。アクセストークンには、アクセストークンが発行されたクライアントを識別する情報（User ID(client_id)）、アクセスが許可された保護リソースを表す情報(scope)、アクセストークンの有効期限(expire_at)、及びアクセストークンを発行した認可サーバを備えるデータセンタ８０を特定するＩＤ(dc_id)が付帯される。

クライアントが、図３に示されている端末１０ａａの操作ボタン１０８を操作することにより図５に示されている操作入力受付部１２がアクセスリクエストを受け付け、アクセスリクエストの受け付けを契機とし、送受信部１１から通信ネットワーク２を経由してデータセンタ８０ｃｄに、アクセスリクエストを送信する（ステップＳ２４０８）。このアクセスリクエストには、アクセストークンがヘッダに付帯され、ヘッダ以外のフィールドには、アクセスする保護リソースを表す情報、及び保護リソースをネットワーク２上で特定するための情報が付帯される。

データセンタ８０ｃｄのアクセストークン検証部８５は、アクセストークンを各データセンタ８０が有する共通鍵により復号することによって検証する（ステップＳ２４１０）。

データセンタ８０ｃｄの権限判断部８６は、アクセストークン検証部８５によってアクセストークンが正当であるとされた場合、該アクセストークンの権限を検査する（ステップＳ２４１２）。データセンタ８０ｃｄの権限判断部８６は、アクセスリクエストに付帯されるアクセスする保護リソースを表す情報に基づいて、保護リソースへのアクセスを要求するデータセンタのＩＤを特定する。アクセストークン検証部８５は、アクセストークンを復号することによって得られるアクセストークンを発行したデータセンタ８０を特定するＩＤ(dc_id)、保護リソースへのアクセスを要求するデータセンタのＩＤ、及びアクセスする保護リソースを表す情報(scope)を検索キーとして、不揮発性記憶部８０００のアクセス可否判断テーブル（図２２参照）を検索し、アクセスが許可されているか、拒否されているかを判断することによって保護リソースへアクセスする権限があるか否かを判断する。

データセンタ８０ｃｄのアクセス処理部８７は、権限判断部８６によって保護リソースへアクセスする権限がないと判断した場合、アクセスリクエストを送信した端末１０ａａにアクセスが拒否されたことを通知する（ステップＳ２４１４）。

端末１０ａａは、データセンタ８０ｃｄからアクセスが拒否されたことが通知されると、表示制御部１６は、ディスプレイに２０８に、アクセスが拒否されたことを表示するとともに、アクセストークンを取得すること促すメッセージを表示する（ステップＳ２４１６）。

クライアントが、図３に示されている端末１０ａａの操作ボタン１０８を操作することにより図５に示されている操作入力受付部１２が認証・認可リクエストを受け付け、認証・認可リクエストの受け付けを契機とし、送受信部１１から通信ネットワーク２を経由してデータセンタ８０ｃｄに、認証・認可リクエストを送信する（ステップＳ２４２０）。この認証・認可リクエストには、response_type、client_id、Scopeが付帯される。この認証・認可リクエストの送信に先立ち、端末１０ａａと管理システム５０ｃｄとの間で呼制御が行われることにより、端末１０ａａと管理システム５０ｃｄとの間でセッションが確立される。

データセンタ８０ｃｄの認可処理部８３は、送受信部８１を介して受信された認証・認可リクエストに応じて、クライアント認証を行う（ステップＳ２４２２）。

データセンタ８０ｃｄのアクセストークン発行部８４は、認可処理部８３によってクライアントが保護リソースにアクセスする権限があると判断した場合、該認証・認可リクエストを送信したクライアントの端末１０ａａにアクセストークンを発行する。このアクセストークンは、送受信部８１からクライアントの端末へ送信される（ステップＳ２４２４）。アクセストークンには、アクセストークンが発行されたクライアントを識別する情報（User ID(client_id)）、アクセスが許可された保護リソースを表す情報(scope)、アクセストークンの有効期限(expire_at)、及びアクセストークンを発行した認可サーバを備えるデータセンタ８０を特定するＩＤ(dc_id)が付帯される。

クライアントが、図３に示されている端末１０ａａの操作ボタン１０８を操作することにより図５に示されている操作入力受付部１２がアクセスリクエストを受け付け、アクセスリクエストの受け付けを契機とし、送受信部１１から通信ネットワーク２を経由してデータセンタ８０ｃｄに、アクセスリクエストを送信する（ステップＳ２４２６）。このアクセスリクエストには、アクセストークンがヘッダに付帯され、ヘッダ以外のフィールドには、アクセスする保護リソースを表す情報、及び保護リソースをネットワーク２上で特定するための情報、つまりＵＲＬが付帯される。

データセンタ８０ｃｄのアクセストークン検証部８５は、アクセストークンを各データセンタ８０が有する共通鍵により復号することによって検証する（ステップＳ２４２８）。

データセンタ８０ｃｄの権限判断部８６は、アクセストークン検証部８５によってアクセストークンの正当性が検証された結果、正当であるとされた場合、該アクセストークンの権限を検査する（ステップＳ２４３０）。データセンタ８０ｃｄの権限判断部８６は、アクセスリクエストに付帯されるアクセスする保護リソースを表す情報に基づいて、保護リソースへのアクセスを要求するデータセンタのＩＤを特定する。アクセストークン検証部８５は、アクセストークンを復号することによって得られるアクセストークンを発行したデータセンタ８０を特定するＩＤ(dc_id)、保護リソースへのアクセスを要求するデータセンタのＩＤ、及びアクセスする保護リソースを表す情報(scope)を検索キーとして、不揮発性記憶部８０００のアクセス可否判断テーブル（図２２参照）を検索し、アクセスが許可されているか、拒否されているかを判断することによって保護リソースへアクセスする権限があるか否かを判断する。この場合、アクセストークンを発行したデータセンタと、保護リソースへのアクセスを要求するデータセンタは同じであるので、保護リソースへアクセスする権限があると判断される。

データセンタ８０ｃｄのアクセス処理部８７は、権限判断部８６によって保護リソースへアクセスする権限があると判断した場合、管理システム５０ｃｄから保護リソースを取得し、該保護リソースを付帯したレスポンスをアクセスリクエストを送信した端末１０へ送受信部８１から送信する（ステップＳ２４３２）。レスポンスには、保護リソースとして、件数、ユーザＩＤ、名称等のアドレス帳データが付帯される。

図２５を用いて、伝送システム１において、端末１０が保護リソースにアクセスする際に、アクセスするデータセンタを選択する処理を説明する。この処理は、図２３のステップＳ２３０８、及び図２４のステップＳ２４０８において、端末１０がアクセスリクエストを送信するデータセンタを選択する際に実行される。

クライアントが、保護リソース「ａｕｔｈ．ｅｘａｍｐｌｅ．ｃｏｍ」へアクセスしようとする(ステップＳ２５０２)。

クライアントが、「ａｕｔｈ．ｅｘａｍｐｌｅ．ｃｏｍ」へアクセスするために、図３に示されている端末１０ａａの操作ボタン１０８を操作する。これにより図５に示されている操作入力受付部１２が認証・認可リクエストを受け付け、認証・認可リクエストを受け付けたのを契機とし、送受信部１１から通信ネットワーク２を経由してデータセンタ８０ａｂに、認証・認可リクエストを送信する。この認証・認可リクエストには、response_type、client_id、Scopeが付帯され、ここで、「Scope」は「ａｕｔｈ．ｅｘａｍｐｌｅ．ｃｏｍ」である。認証・認可リクエストを送信する際に、保護リソース「ａｕｔｈ．ｅｘａｍｐｌｅ．ｃｏｍ」のＩＰアドレスを問い合わせるために、送受信部１１は通信ネットワーク２を経由してＤＮＳ（Domain Name System）サーバにアクセスし、保護リソース「ａｕｔｈ．ｅｘａｍｐｌｅ．ｃｏｍ」のＩＰアドレスを引き出す（ステップＳ２５０４）。

端末１０ａａの送受信部１１は、ＤＮＳサーバからデータセンタ８０ａｂのＩＰアドレスを取得する（ステップＳ２５０６）。

端末１０ａａはデータセンタ８０ａｂに、認証・認可リクエストを送信し、データセンタ８０ａｂは、端末１０ａａにアクセストークンを発行する（ステップＳ２５０８）。

端末１０ａａがデータセンタ８０ａｂからアクセストークンを取得した後に、クライアントがデータセンタ８０ｅｆが設置されている地域Ｃへ移動したり、データセンタ８０ａｂがダウンしたりする事象が発生する。

クライアントが、図３に示されている端末１０ａａの操作ボタン１０８を操作する。これにより図５に示されている操作入力受付部１２がアクセスリクエストを受け付け、アクセスリクエストが受け付けられたのを契機とし、送受信部１１から通信ネットワーク２を経由してデータセンタ８０ａｂにアクセスリクエストを送信する。アクセスリクエストを送信する際に、送受信部１１は、通信ネットワーク２を経由してＤＮＳサーバにアクセスし、保護リソース「ａｕｔｈ．ｅｘａｍｐｌｅ．ｃｏｍ」のＩＰアドレスを引き出す。これによって、端末１０ａａの送受信部１１は、ＤＮＳサーバからデータセンタ８０ｅｆのＩＰアドレスを取得する（ステップＳ２５１０）。

端末１０ａａの送受信部１１は、通信ネットワーク２を経由してデータセンタ８０ｅｆに、アクセスリクエストを送信する（ステップＳ２５１２）。このアクセスリクエストには、ステップＳ２５０８で取得したアクセストークンがヘッダに付帯され、ヘッダ以外のフィールドには、アクセスする保護リソースを表す情報、つまり「ａｕｔｈ．ｅｘａｍｐｌｅ．ｃｏｍ」、及び保護リソースをネットワーク２上で特定するための情報、つまりＵＲＬが付帯される。これによって、アクセストークンを取得した後に、端末１０がそのアクセストークンを発行したデータセンタ８０によって管理されるエリアの外に移動した場合でも、クライアントが意識することなく宛先を解決し、その端末１０の位置するエリアを管理するデータセンタ８０へ自動的にアクセスできる。

図２６を用いて、伝送システム１において、端末１０が保護リソースにアクセスする際に、動作モードを切り替えることによってアクセスするデータセンタを選択する処理を説明する。ここでは、動作モードとして「通常モード」と「隔離モード」が設定される。

通常モードは、データセンタ８０ａｂ、及び８０ｅｄによってアクセス管理される保護リソースへアクセスする際に使用するモードである。つまり、通常モードは、他のデータセンタから隔離されていないデータセンタによってアクセス管理されている保護リソースにアクセスする際に使用するモードである。この場合、保護リソースにアクセスするために、最初にアクセスする保護リソースをネットワーク２上で特定するための情報、つまりＵＲＬは端末１０に予め設定される。

一方、隔離モードは、データセンタ８０ｃｄによってアクセス管理される保護リソースへアクセスする際に使用するモードである。つまり、隔離モードは、他のデータセンタから隔離されているデータセンタ８０ｃｄによってアクセス管理されている保護リソースにアクセスする際に使用するモードである。この場合、保護リソースにアクセスするために、アクセスする保護リソースをネットワーク２上で特定するための情報、つまりＵＲＬは端末１０に予め保持される。この処理は、図２４のステップＳ２４１２−Ｓ２４１４でアクセストークンによるアクセスが拒否される際に実行される。

クライアントが、通常モードに設定し、保護リソース「ａｕｔｈ．ｅｘａｍｐｌｅ．ｃｏｍ」へアクセスしようとする(ステップＳ２６０２)。

クライアントが、「ａｕｔｈ．ｅｘａｍｐｌｅ．ｃｏｍ」へアクセスするために、図３に示されている端末１０ａａの操作ボタン１０８を操作する。これにより図５に示されている操作入力受付部１２が認証・認可リクエストを受け付け、認証・認可リクエストを受け付けたのを契機とし、送受信部１１から通信ネットワーク２を経由してデータセンタ８０ａｂに、認証・認可リクエストを送信する。この認証・認可リクエストには、response_type、client_id、Scopeが付帯され、ここで、「Scope」は「ａｕｔｈ．ｅｘａｍｐｌｅ．ｃｏｍ」である。認証・認可リクエストを送信する際に、保護リソース「ａｕｔｈ．ｅｘａｍｐｌｅ．ｃｏｍ」のＩＰアドレスを問い合わせるために、送受信部１１は通信ネットワーク２を経由してＤＮＳ（Domain Name System）サーバにアクセスし、保護リソース「ａｕｔｈ．ｅｘａｍｐｌｅ．ｃｏｍ」のＩＰアドレスを引き出す（ステップＳ２６０４）。

端末１０ａａの送受信部１１は、ＤＮＳサーバからデータセンタ８０ａｂのＩＰアドレスを取得する（ステップＳ２６０６）。

端末１０ａａはデータセンタ８０ａｂに、認証・認可リクエストを送信し、データセンタ８０ａｂは、端末１０ａａにアクセストークンを発行する（ステップＳ２６０８）。

クライアントが、隔離モードに設定し、保護リソース「ａｕｔｈ．ｘｘｘ．ｅｘａｍｐｌｅ．ｃｏｍ」へアクセスしようとする(ステップＳ２６１０)。例えば、クライアントに対して隔離モードに設定することを促すことによって、クライアントは隔離モードに設定する。

クライアントが、地域Ｂの保護リソース「ａｕｔｈ．ｘｘｘ．ｅｘａｍｐｌｅ．ｃｏｍ」へアクセスするために、図３に示されている端末１０ａａの操作ボタン１０８を操作する。これにより図５に示されている操作入力受付部１２がアクセスリクエストを受け付け、アクセスリクエストを受け付けたのを契機とし、送受信部１１から通信ネットワーク２を経由してデータセンタ８０ｃｄに、アクセスリクエストを送信する。アクセスリクエストには、ステップＳ２６０８で取得したアクセストークンがヘッダに付帯され、ヘッダ以外のフィールドには、アクセスする保護リソースを表す情報、及びユニフォームリソースロケータ等の保護リソースをネットワーク２上で特定するための情報が付帯される(ステップＳ２６１２)。

データセンタ８０ｃｄの権限判断部８６は、アクセストークンを復号することによって得られるアクセストークンを発行したデータセンタ８０を特定するＩＤ(dc_id)、保護リソースへのアクセスを要求するデータセンタのＩＤ、及びアクセスする保護リソースを表す情報(scope)を検索キーとして、不揮発性記憶部８０００のアクセス可否判断テーブル（図２２参照）を検索し、アクセスが拒否されていると判断する(ステップＳ２６１４)。

これによって、隔離されている保護リソースへアクセスする際に、その保護リソースを管理しているデータセンタ８０以外のデータセンタで発行されたアクセストークンを使用したアクセスを拒否できる。

＜＜実施形態の主な効果＞＞
以上説明したように本実施形態によれば、データセンタによってアクセス管理される保護リソースを該データセンタ以外の他のデータセンタによるアクセス管理から隔離することができる。つまり、データセンタによってアクセス管理される保護リソースへのアクセスを該データセンタ８０によって発行されたアクセストークン以外の他のデータセンタによって発行されたアクセストークンではアクセスできないようにできる。

他のデータセンタで発行されたアクセストークンを用いてデータセンタによってアクセス管理される保護リソースへ端末がアクセスした場合に、データセンタはそのアクセスを拒否する。そして、データセンタは、端末（通信端末）にデータセンタからアクセストークンを取得するように促す。これによって、端末は、データセンタの設置された地域の管理システムとの間で呼制御を行い、データセンタからアクセストークンを取得することができる。これによって、端末は、データセンタの設置された地域の管理システムによって呼制御が行われるため、同じ地域に設置された管理システム、及び保護リソースに接続されるため、保護リソースが漏洩するのを防止できる。

また、複数のデータセンタの各々で同様のシステムプログラムが稼動していても、任意のデータセンタによってアクセス制御される保護リソースへのアクセスを制限できる。単に特定のデータセンタを隔離する方法としては、ドメインを分けることや、アクセストークンの署名を変えることなどの手段も考えられる。アクセストークンにデータセンタのIDを付帯し、アクセス制御することよって、データセンタにデプロイするアプリケーションは共通化でき、設定を変更するだけでアクセスを制御できる。また、単にアクセスを許可、拒否の２択の制御ではなく、ユーザのプロファイルにはアクセスできるけど、アドレス帳にはアクセスできない等の細かいリソース単位でのアクセス制御ができる。

＜＜実施形態の補足＞＞
上記実施形態では、図６に示されているように、宛先名１１００−２等とアイコン１１００−３ａ等を示した状態の宛先リスト枠１１００−１が表示されるようにしたが、これに限るものではなく、宛先リスト枠１１００−１は無く、宛先名１１００−２等とアイコン１１００−３ａ等のみが表示されるようにしてもよい。

上記実施形態において、データセンタは情報処理装置の一例である。

上記実施形態では、データセンタ８０と管理システム５０とを異なる装置として説明したが、データセンタ８０が管理システム５０を有するようにしてもよいし、データセンタ８０と管理システム５０とが一体化されてもよい。つまり、データセンタと管理システムがそれぞれ備える機能は同一の情報処理装置に含めることができる。

また、上記本実施形態の端末用プログラム、中継装置用プログラム、認可サーバ用プログラム、及び伝送管理用プログラムが記憶された記録媒体、並びに、これらプログラムが記憶されたＨＤ２０４、及びこのＨＤ２０４を備えたプログラム提供システム９０は、いずれもプログラム製品（Program Product）として、国内又は国外へ、上記端末用プログラム、中継装置用プログラム、認可サーバ用プログラム、及び伝送管理用プログラムが利用者等に提供される場合に用いられる。

更に、上記実施形態では、変更品質管理テーブル、及び品質管理テーブルによって、中継装置３０で中継される画像データの画像の品質の一例として、画像データの画像の解像度に着目して管理したが、これに限られるものではなく、品質の他の例として、画像データの画質の深度、音声データの音声におけるサンプリング周波数、音声データの音声におけるビット長などに着目して管理してもよい。

また、受信日時についての管理に限るものではなく、受信日時のうち少なくとも受信時間を管理すればよい。

更に、上記実施形態では、中継装置のＩＰアドレス、端末のＩＰアドレスを管理することとしたが、これに限るものではなく、通信ネットワーク２上で中継装置３０を特定するための中継装置特定情報、又は通信ネットワーク２上で端末１０を特定するための端末特定情報であれば、それぞれのＦＱＤＮ（Fully Qualified Domain Name）を管理してもよい。この場合、周知のＤＮＳ（Domain Name System）サーバによって、ＦＱＤＮに対応するＩＰアドレスが取得されることになる。なお、「通信ネットワーク２で中継装置３０を特定するための中継装置特定情報」だけでなく、「通信ネットワーク２上における中継装置３０への接続先を示した中継装置接続先情報」、又は「通信ネットワーク２上における中継装置３０への宛先を示した中継装置宛先情報」と表現してもよい。同じく、「通信ネットワーク２で端末１０を特定するための端末特定情報」だけでなく、「通信ネットワーク２上における端末１０への接続先を示した端末接続先情報」、又は「通信ネットワーク２上における端末１０への宛先を示した端末宛先情報」と表現してもよい。

本実施形態において、「テレビ会議」は、「ビデオ会議」と置き換え可能な用語として用いられている。

また、上記実施形態では、伝送システム１の一例として、テレビ会議システムの場合について説明したが、これに限るものではなく、ＩＰ（Internet Protocol）電話や、インターネット電話等の電話システムであってもよい。また、伝送システム１は、カーナビゲーションシステムであってもよい。この場合、例えば、端末１０の一方が自動車に搭載されたカーナビゲーション装置に相当し、端末１０の他方が、カーナビゲーションを管理する管理センターの管理端末若しくは管理サーバ、又は他の自動車に搭載されているカーナビゲーション装置に相当する。更に、伝送システム１は、音声会議システム、又はＰＣ(Personal Computer)画面共有システムであっても良い。

更に、伝送システム１は、携帯電話機の通信システムであってもよい。この場合、例えば、端末１０は携帯電話機に相当する。即ち、携帯電話機としての端末１０は、携帯電話機の本体、この本体に設けられたメニュー画面表示ボタン、本体に設けられた表示部、本体の下部に設けられたマイク、本体に設けられたスピーカを備えている。このうち、「メニュー画面表示ボタン」は、各種アプリケーションを示すアイコンが表示されているメニュー画面を表示させるためのボタンである。表示部は、タッチパネルになっており、利用者が宛先名を選択することで、相手の携帯電話機と通話を行うことができる。

また、上記実施形態では、コンテンツデータの一例として、画像データ及び音声データについて説明したが、これに限るものではなく、触覚(touch)データであってもよい。この場合、一方の端末側でユーザが接触した感覚が、他方の端末側に伝達される。更に、コンテンツデータは、嗅覚（smell）データであってもよい。この場合、一方の端末側の匂い（臭い）が、他の端末側に伝達される。また、コンテンツデータは、画像データ、音声データ、触覚データ、及び嗅覚データのうち、少なくとも１つのデータであればよい。

また、上記実施形態では、伝送システム１によってテレビ会議をする場合について説明したが、これに限るものではなく、打ち合わせ、家族間や友人間等の一般的な会話、又は、一方向での情報の提示に使用されても構わない。

本発明は特定の実施例、変形例を参照しながら説明されてきたが、各実施例、変形例は単なる例示に過ぎず、当業者は様々な変形例、修正例、代替例、置換例等を理解するであろう。説明の便宜上、本発明の実施例に従った装置は機能的なブロック図を用いて説明されたが、そのような装置はハードウェアで、ソフトウエアで又はそれらの組み合わせで実現されてもよい。本発明は上記実施例に限定されず、本発明の精神から逸脱することなく、様々な変形例、修正例、代替例、置換例等が包含される。

１０ 伝送端末
１１ 送受信部
１２ 操作入力受付部
１３ ログイン要求部
１４ 撮像部
１５ａ 音声入力部
１５ｂ 音声出力部
１６ 表示制御部
１９ 記憶・読出処理部
２０ 宛先リスト作成部
３０ 中継装置
３１ 送受信部
３２ 状態検知部
３３ データ品質確認部
３４ 変更品質管理部
３５ データ品質変更部
３９ 記憶・読出処理部
５０ 管理システム
５１ 送受信部
５３ 状態管理部
５４ 端末抽出部
５５ 端末状態取得部
５６ 中継装置選択部
５７ セッション管理部
５８ 品質決定部
５９ 記憶・読出処理部
６０ 遅延時間管理部
６１ 決定部
６２ 判定部
６３ 変更要求情報判断部
６５ 宛先リスト管理部
８０ データセンタ
８１ 送受信部
８２ 認証処理部
８３ 認可処理部
８４ アクセストークン発行部
８５ アクセストークン検証部
８６ 権限判断部
８７ アクセス処理部
８８ 記憶・読出管理部
１０００ 不揮発性記憶部
１１００ 揮発性記憶部
３０００ 不揮発性記憶部
３００１ 変更品質管理ＤＢ
５０００ 不揮発性記憶部
５００１ 中継装置管理ＤＢ
５００３ 端末管理ＤＢ
５００４ 宛先リスト管理ＤＢ
５００５ セッション管理ＤＢ
５００７ 品質管理ＤＢ
５００８ 中継装置割当管理ＤＢ
５００９ 状態変更管理ＤＢ
８０００ 不揮発性記憶部
８００１ 端末認証管理ＤＢ
８００２ アクセス管理ＤＢ

特開２００５−３０１４２４号公報

Claims (8)

1. 通信端末によって送信されるアクセスが管理されたリソースへのアクセスリクエストを受信する受信部と、
   該アクセスリクエストに付帯される前記リソースへアクセスする際に用いられるアクセストークンに基づいて、前記リソースへアクセスする権限があるか否かを判断する権限判断部と、
   前記権限判断部によって、前記リソースへアクセスする権限があると判断した場合に、前記リソースへのアクセスを許可するアクセス処理部と、
   リソース毎に、前記通信端末へアクセストークンを発行した発行元を表す情報と、リソースへのアクセスを要求する要求先を表す情報との組み合わせに対して、アクセスする権限があるか否かを表す情報を紐付けたテーブルを有するアクセス管理データベースと
   を有し、
   前記権限判断部は、前記アクセストークンに付帯される該アクセストークンを発行した発行元を表す情報、及び前記アクセスリクエストによってリソースへのアクセスを要求する要求先を表す情報を検索キーとして、前記アクセス管理データベースが有するテーブルを検索し、前記リソースへアクセスする権限があるか否かを判断する、情報処理装置。
2. 前記権限判断部は、前記アクセストークンに付帯される該アクセストークンを発行した発行元と、前記アクセスリクエストによって前記リソースへのアクセスを要求する要求先とが異なる場合に該リソースへアクセスする権限がないと判断し、同じ場合に該リソースへアクセスする権限があると判断する、請求項１に記載の情報処理装置。
3. アクセス処理部は、前記権限判断部によって前記リソースへアクセスする権限がないと判断した場合に、前記アクセスリクエストによってアクセスを要求するリソースへのアクセスを管理するサーバから、該リソースへアクセスするためのアクセストークンを取得することを促す、請求項１又は２に記載の情報処理装置。
4. 前記通信端末によって送信される前記リソースへアクセスする際に用いるアクセストークンの発行を依頼する認証認可リクエストに基づいて、前記通信端末のクライアントが該リソースにアクセスする権限があるか否かを判断する認可処理部と、
   前記認可処理部によって前記クライアントが該リソースにアクセスする権限があると判断した場合に、前記認証認可リクエストを送信した通信端末に前記アクセストークンを発行するアクセストークン発行部と、
   該通信端末に該アクセストークンを送信する送信部と
   を有し、
   前記アクセストークン発行部は、前記アクセストークンを発行する発行元を表す情報を付帯したアクセストークンを発行する、請求項１ないし３のいずれか１項に記載の情報処理装置。
5. 通信端末によって送信されるアクセスリクエストに応じて、所定のリソースへのアクセス制御を行う情報処理装置が実行するアクセス制御方法であって、
   通信端末によって送信されるアクセスが管理されたリソースへのアクセスリクエストを受信し、
   前記アクセスリクエストに付帯される前記リソースへアクセスする際に用いられるアクセストークンに付帯される該アクセストークンを発行した発行元を表す情報、及び前記アクセスリクエストによってリソースへのアクセスを要求する要求先を表す情報を検索キーとして、リソース毎に、前記通信端末へアクセストークンを発行した発行元を表す情報と、リソースへのアクセスを要求する要求先を表す情報との組み合わせに対して、アクセスする権限があるか否かを表す情報を紐付けた、アクセス管理データベースが有するテーブルを検索し、前記リソースへアクセスする権限があるか否かを判断し、
   前記リソースへアクセスする権限があると判断した場合に、前記リソースへのアクセスを許可する、アクセス制御方法。
6. 通信端末と、該通信端末と通信を行う情報処理装置とを有する通信システムであって、
   前記通信端末は、
   前記情報処理装置に、アクセスが管理されたリソースへのアクセスリクエストを送信する送信部
   を有し、
   前記情報処理装置は、
   前記通信端末によって送信された前記アクセスリクエストを受信する受信部と、
   該アクセスリクエストに付帯される前記リソースへアクセスする際に用いられるアクセストークンに基づいて、前記リソースへアクセスする権限があるか否かを判断する権限判断部と、
   前記権限判断部によって、前記リソースへアクセスする権限があると判断した場合に、前記リソースへのアクセスを許可するアクセス処理部と、
   リソース毎に、前記通信端末へアクセストークンを発行した発行元を表す情報と、リソースへのアクセスを要求する要求先を表す情報との組み合わせに対して、アクセスする権限があるか否かを表す情報を紐付けたテーブルを有するアクセス管理データベースと
   を有し、
   前記権限判断部は、前記アクセストークンに付帯される該アクセストークンを発行した発行元を表す情報、及び前記アクセスリクエストによってリソースへのアクセスを要求する要求先を表す情報を検索キーとして、前記アクセス管理データベースが有するテーブルを検索し、前記リソースへアクセスする権限があるか否かを判断する、通信システム。
7. 通信端末によって送信されるアクセスが管理されたリソースへのアクセスリクエストを受信する受信部と、
   該アクセスリクエストに付帯される前記リソースへアクセスする際に用いられるアクセストークンに基づいて、前記リソースへアクセスする権限があるか否かを判断する権限判断部と、
   前記権限判断部によって、前記リソースへアクセスする権限があると判断した場合に、前記リソースへのアクセスを許可するアクセス処理部と、
   リソース毎に、前記通信端末へアクセストークンを発行した発行元を表す情報と、リソースへのアクセスを要求する要求先を表す情報との組み合わせに対して、アクセスする権限があるか否かを表す情報を紐付けたテーブルを有するアクセス管理データベースと
   を有し、
   前記権限判断部は、前記アクセストークンに付帯される該アクセストークンを発行した発行元を表す情報、及び前記アクセスリクエストによってリソースへのアクセスを要求する要求先を表す情報を検索キーとして、前記アクセス管理データベースが有するテーブルを検索し、前記リソースへアクセスする権限があるか否かを判断する、通信システム。
8. 通信端末によって送信されるアクセスリクエストに応じて、所定のリソースへのアクセス制御を行う情報処理装置としてコンピュータを機能させるプログラムであって、
   前記プログラムは、
   通信端末によって送信されるアクセスが管理されたリソースへのアクセスリクエストを受信し、
   前記アクセスリクエストに付帯される前記リソースへアクセスする際に用いられるアクセストークンに付帯される該アクセストークンを発行した発行元を表す情報、及び前記アクセスリクエストによってリソースへのアクセスを要求する要求先を表す情報を検索キーとして、リソース毎に、前記通信端末へアクセストークンを発行した発行元を表す情報と、リソースへのアクセスを要求する要求先を表す情報との組み合わせに対して、アクセスする権限があるか否かを表す情報を紐付けた、アクセス管理データベースが有するテーブルを検索し、前記リソースへアクセスする権限があるか否かを判断し、
   前記リソースへアクセスする権限があると判断した場合に、前記リソースへのアクセスを許可する、
   ことを前記コンピュータに実行させる、プログラム。

Images