JP2014203141A - 管理装置、管理システム、制御方法およびコンピュータプログラム - Google Patents

Abstract

【課題】サービスプロバイダが提供する顧客テナントへのサービスを他のサービスプロバイダに委託し、顧客データへのアクセス権を安全に委譲する仕組みを提供すること。【解決手段】管理装置１０３は、サービス提供装置１０１間の信頼関係情報、および、保持装置１０２とサービス提供装置１０１との間の信頼関係情報を管理し、信頼関係情報に基づいて、第２のサービス提供装置１０１が第１のサービス提供装置１０１を信頼しており、保持装置１０２が第１のサービス提供装置１０１を信頼しており、かつ、保持装置１０２が第２のサービス提供装置１０２を信頼していると判断した場合に、第１のサービス提供装置１０１が有する保持装置１０２へのアクセス権の第２のサービス提供装置１０１への委譲を設定する。【選択図】図１

Description

本発明は、管理装置、管理システム、制御方法およびコンピュータプログラムに関する。

顧客が所有するデータをサービスプロバイダが管理するクラウドシステムが提供されている。サービスプロバイダとは、サービスプロバイダを利用する顧客に対し、様々なサービスを提供する企業を指す。クラウドサービスでは、データストレージやユーザ情報は顧客ごとの専用の領域であるテナントで管理される。クラウドサービスでは、テナント単位でデータが管理されるため、サービスプロバイダは自分の所属するテナント内のデータにしかアクセスできず、他のテナントへのアクセスは許可されない。しかし、サービスプロバイダが顧客から業務委託されて顧客のデータを管理するためには、顧客テナント（顧客の所有するテナント）に格納されている顧客のデータにサービスプロバイダがアクセスする必要がある。サービスプロバイダは顧客データにアクセスできなければデータ管理サービスを行えないが、顧客データには個人情報、機密情報も含まれることがあるため、顧客から予め承認された上でアクセス可能となることが求められる。

特許文献１は、ロールベースアクセス制御方法を開示している。ロールベースアクセス制御方法では、管理装置がデータ項目及び機能の各々についてロール毎にユーザからのアクセスを許可する。管理装置は、データオブジェクト、機能オブジェクトへのアクセスをユーザ識別情報に設定されたロールによって判断する。

特開２０１０−１０８１７０号公報

クラウドサービスを利用するユーザ環境が以下の環境であることを想定する。例えば、サービスプロバイダがサービス提供契約をした顧客が、グループ内企業を複数有する大規模な企業、または、拠点が広範囲にわたるグローバル企業などであることが考えられる。このような場合、１つのサービスプロバイダは、全ての顧客へサービス提供を実現できない場合がある。そのため、顧客へのサービス提供を他のサービスプロバイダ（第２のサービスプロバイダ）に委託することがある。委託を行うために、委託対象の顧客を地域単位やグループ企業単位で別のテナントに分割して管理することで、委託対象の顧客の範囲を明確にすることができる。そして、分割した顧客のテナントごとに委託先の第２のサービスプロバイダへアクセス権を与えることで、サービス提供を委託することができる。

しかし、第２のサービスプロバイダと委託対象の顧客テナントは、サービス契約があったり、階層構造の上下関係があったりといった直接的な関係があるとは限らない。このため、セキュリティーなどの面から、委託対象の顧客データ（リソース）にアクセスするために、第２のサービスプロバイダが直接アクセス権を得ることはできない。本発明は、サービスプロバイダが提供する顧客テナントへのサービスを他のサービスプロバイダに委託し、顧客データへのアクセス権を安全に委譲する仕組みを提供することを目的とする。

本発明の一実施形態の管理装置は、保持装置と、リソースを利用したサービスを前記保持装置に提供するサービス提供装置と通信可能であり、前記サービス提供装置に関する前記リソースへのアクセス権を管理する。前記管理装置は、前記サービス提供装置間の信頼関係情報、および、前記保持装置と前記サービス提供装置との間の信頼関係情報を管理する管理手段と、第１のサービス提供装置が有する前記リソースへのアクセス権を第２のサービス提供装置へ委譲する設定を行う設定手段と、を備える。前記設定手段は、前記信頼関係情報に基づいて、前記第２のサービス提供装置が前記第１のサービス提供装置を信頼しており、前記保持装置が前記第１のサービス提供装置を信頼しており、かつ、前記保持装置が前記第２のサービス提供装置を信頼していると判断した場合に、前記アクセス権の委譲を設定する。

本発明によれば、サービスプロバイダが提供する顧客テナントへのサービスを他のサービスプロバイダに委託し、顧客データへのアクセス権を安全に委譲する仕組みを提供することが可能となる。

本発明の実施例１に係るアクセス権限管理システムの構成を示す図である。 ホストコンピュータ、管理サーバのハードウェア構成を示す図である。 ホストコンピュータと管理サーバのソフトウェア構成を示す図である。 管理サーバが管理する各テーブルの構成を示す図である。 管理サーバが管理する各テーブルの構成を示す図である。 管理サーバが管理する各テーブルの構成を示す図である。 管理サーバが管理する各テーブルの構成を示す図である。 テナント階層構造の例を示す図である。 ユーザ認証処理の流れを示すフローチャートである。 サービスプロバイダと顧客のためのホームページの一例を示す図である。 サービスプロバイダが利用する画面例を示す図である。 サービスプロバイダが利用する画面例を示す図である。 顧客テナントが利用するアクセス許可承認画面例である。 サービスプロバイダが利用するサービス委託の管理画面例である。 サービスプロバイダが利用するサービス委託の設定画面例である。 サービスプロバイダが利用するサービス委託の承認画面例である。 アクセス許可と、委託・委譲承認の処理のフロー図である。 実施例２および３の委託・委譲承認の処理のフロー図である。 委譲・委託指示、委譲判定条件の概念図である。 実施例３の委譲・委託指示、委譲判定条件の概念図である。 アクセス許可承認処理の流れを示すフローチャートである。 委託指示処理の流れを示すフローチャートである。 サービスプロバイダによる委託承認処理の流れを示すフローチャートである。 顧客による委譲指示承認処理の流れを示すフローチャートである。 委譲判定処理の流れを示すフローチャートである。 信頼関係判定処理の流れを示すフローチャートである。

以下、図面を参照して本発明の実施形態を詳細に説明する。なお、以下の実施形態は特許請求の範囲を限定するものでなく、また、実施形態で説明される特徴の組み合わせの全てが発明の解決手段に必須のものとは限らない。

＜実施例１＞
［システムの全体構成］
図１は、本実施形態の情報処理システムの構成例を示す。アクセス権限管理を実行する管理システムは、ホストコンピュータ１０１、１０２と、管理サーバ１０３とを備える。ホストコンピュータ１０１、１０２、管理サーバ１０３は、ＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）やインターネット等の既知の技術によるネットワーク１０４により通信可能に接続されている。

ホストコンピュータ１０１は、サービスプロバイダが使用するサービス提供装置である。サービスプロバイダのユーザは、ホストコンピュータ１０１から管理サーバが提供するサービスを利用したり、管理サーバ１０３に保持される顧客のデータを操作する際にサービス提供装置を使用する。また、サービスプロバイダは、顧客へのサービス提供を他のサービスプロバイダに委託する。本明細書では、委託とは、顧客から信頼されたサービスプロバイダが全ての顧客へサービス提供を実現できない場合に、サービスプロバイダから他のサービスプロバイダへ代わりにサービスを提供するように依頼する行為を指す。また、サービスプロバイダは、顧客テナントを管理サーバ１０３に登録し、顧客データへのアクセス許可依頼やアクセス権の委譲指示などの操作を行う。例えば、第１のサービスプロバイダが第２のサービスプロバイダに顧客へのサービス提供を委託する場合、第２のサービスプロバイダは、顧客テナントから顧客データへのアクセス権を得られなければサービス提供を行うことができない。本明細書では、委譲とは、顧客データへのアクセス権を有する第１のサービスプロバイダから指示を受けた顧客テナントが第２のサービスプロバイダに対し該顧客データへのアクセスを許可する行為を指す。

また、第２のサービスプロバイダが第１のサービスプロバイダからの委託を承認した場合や、顧客テナントが第２のサービスプロバイダにアクセス権を委譲した場合、互いの信頼関係が構築される。本明細書では、一方から他方にアクセス許可や委託等の承認指示が行われ、他方が承認した場合の両者間の関係を信頼と定義する。同様に、例えば第１のサービスプロバイダから委譲指示を受けた顧客テナントが該委譲を承認した場合の、顧客テントおよび第２のサービスプロバイダ間の関係を信頼と定義する。第２のサービスプロバイダが第１のサービスプロバイダを信頼し、信頼関係を有する第１のサービスプロバイダから指示を受けて顧客テナントが第２のサービスプロバイダを信用している場合、三者間の信頼関係が構築され、上記委託および委譲の実行が可能となる。なお、顧客テナントが信頼関係を有する第１のサービスプロバイダを委任している場合、該顧客テナントが第２のサービスプロバイダを信頼していなくても、三者間の信頼関係が構築され、上記委託および委譲の実行が可能となる。委任とは、信頼関係を有する第１のサービスプロバイダからの委譲指示においては、アクセス権限の委譲を第１のサービスプロバイダに任せることを示す。従って、顧客テナントがアクセス権の委譲処理を実行せずとも、第２のサービスは顧客データへのアクセス権を取得することができる。なお、図示しないが、ホストコンピュータ１０１はサービスプロバイダグループやサービスプロバイダごとに複数存在する。

ホストコンピュータ１０２は、顧客テナントが使用するデータ所有元の保持装置である。顧客テナントとは、地域単位やグループ企業単位で分割された、データ管理等のサービスを提供するサービスプロバイダを利用する企業を指す。顧客は、ホストコンピュータ１０２から管理サーバ１０３にアクセスし、ユーザＩＤ、パスワードを入力してユーザ認証を行い、管理サーバ１０３が提供するサービスを利用したり、管理サーバに保持される顧客のデータを操作したりする。また、サービスプロバイダからのアクセス許可依頼や権限委譲指示に対して承認、却下の指示を行う。図示しないが、ホストコンピュータ１０２は顧客テナントグループや顧客テナントごとに複数存在する。

管理サーバ１０３は、地域単位やグループ企業単位で分割された、複数のサービスプロバイダテナント（以下、ＳＰテナントとも呼称）や顧客テナントを管理し、それぞれのテナントに所属するユーザのユーザ情報を管理する。管理サーバ１０３は、ユーザ認証を行い、ユーザの所属するテナントを識別する。また、管理サーバ１０３は、テナント毎にデータを分離して管理している。管理サーバ１０３は、各テナントに所属するユーザからアクセスされた場合に、そのユーザが所属するテナントのデータに対するアクセスを許可する。本実施例では、管理サーバ１０３がひとつのサーバで構成されているように記載しているが、管理サーバの機能的構成を複数の管理サーバに分割して配置するようにしても構わない。

［ハードウェア構成］
図２は、ホストコンピュータ１０１、１０２および管理サーバ１０３のハードウェア構成例を示す。ホストコンピュータ１０１、１０２は、ＣＰＵ２０１、ＲＯＭ２０２、ＲＡＭ２０３、ＫＢＤＣ２０５、ＤＯＳＰＣ２０６、ＤＫＣ２０７、ＮＩＣ２０８、ＫＢＤ２０９、ＤＩＳＰＬＡＹ２１０、ＨＤを備える。ＣＰＵは、Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔの略称である。ＲＡＭは、Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙの略称である。ＲＯＭは、Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙの略称である。ＨＤＤは、Ｈａｒｄ Ｄｉｓｋ Ｄｒｉｖｅの略称である。

ＣＰＵ２０１は、ＲＯＭ２０２又は大規模記憶装置であるハードディスク２１１に記憶されたソフトウェアを実行する。ＣＰＵ２０１は、システムバス２０４に接続される各デバイスを総括的に制御する。ＲＡＭ２０３は、ＣＰＵ２０１の主メモリ、ワークエリア等として機能する。キーボードコントローラ２０５（ＫＢＤＣ）は、ホストコンピュータ１０１に備えられたキーボード２０９からの指示入力を制御する。ディスプレイコントローラ２０６（ＤＩＳＰＣ）は、例えば液晶ディスプレイ等で構成される表示モジュール２１０（ＤＩＳＰＬＡＹ）の表示を制御する。ディスクコントローラ２０７（ＤＫＣ）は、ハードディスク２１１（ＨＤ）を制御する。ネットワークインタフェースカード２０８（ＮＩＣ）は、ネットワーク１０４を介して、他のノードと双方向にデータをやりとりする。

図３（Ａ）は、ホストコンピュータ１０１、１０２のソフトウェア構成例を示す。ホストコンピュータ１０１、１０２は、Ｗｅｂブラウザ３０１と、ＨＴＴＰ通信部３０２とを備える。Ｗｅｂブラウザ３０１は、ＨＴＭＬデータを解釈し、表示モジュール２１０へ画面描画を行い、キーボード等からのユーザ操作を受け付け、ＨＴＴＰ通信部３０２へ要求を送信する。ＨＴＴＰ通信部３０２は、Ｗｅｂブラウザからの通信要求を受けて画像処理装置等とＮＩＣ２０８を経由してＨＴＴＰ又はＨＴＴＰＳプロトコルを用いて管理サーバ１０３と通信を行いＷｅｂページの要求、Ｗｅｂページデータの受信等を行う。

図３（Ｂ）は、管理サーバ１０３のソフトウェア構成例を示す。管理サーバ１０３は、インタフェース部４０１、テナント・ユーザ管理部４０２、アクセス許可管理部４０３、デバイス管理サービス部４０４を備える。インタフェース部４０１は、ＮＩＣ２０８及びネットワーク１０４を経由して、ホストコンピュータ１０１、１０２との通信を行う。インタフェース部４０１は、ホストコンピュータからＨＴＴＰ／ＨＴＴＰＳによるＷｅｂページの要求を受付けると、認証、アクセス許可状態などを判断したのち、ＨＴＭＬデータを渡す。

テナント・ユーザ管理部４０２は、テナント管理テーブル４０２１、ユーザ管理テーブル４０２２、テナント階層管理テーブル４０２３、テナントグループ管理テーブル４０２４を備える。テナント・ユーザ管理部４０２は、テナント毎にユーザ認証処理を行い、ユーザの所属するテナントの識別などを行う。

アクセス許可管理部４０３は、アクセス権限管理テーブル４０３１、アクセス許可依頼管理テーブル４０３２、委託・委譲指示チケット管理テーブル４０３３、テナント間の信頼・委任関係管理テーブル４０３４を備える。信頼・委任関係管理テーブルでは、各装置間、つまり各テナント間の信頼・委任関係が管理される。アクセス許可管理部４０３は、ＳＰテナントから顧客テナントに対するアクセス許可依頼情報を受信し管理する。また、アクセス許可管理部４０３は、顧客テナントからアクセス許可の承認情報を受信し管理する。また、アクセス許可管理部４０３は、サービスプロバイダからの権限委譲指示情報を管理し、権限委譲を行うための信頼・委任関係の確認を行い、権限委譲処理を実行する。

デバイス管理サービス部４０４は、テナント毎データテーブル４０４１を備え、またＳＰテナント毎に顧客管理テーブル４０４２を備える。デバイス管理サービス部４０４は、デバイス管理やレポート作成などのサービス機能を提供する。テナント毎データテーブル４０４１とＳＰテナント毎の顧客管理テーブル４０４２は、テナントごとに別々のテーブルを設け、それぞれのテーブルに対応するテナントに所属するデータを格納する。

たとえば、テーブル名を、＜テナントＩＤ＞と設定することにより、テナントごとにテーブルを設けることができる。また、データテーブルは、データ種別ごとなどに複数設けることも当然可能である。この場合、テーブル名を＜テナントＩＤ＞と設定し、各行を＜データテーブル名＞などと設定することにより、テナントごとかつデータ種別ごとにテーブルを設けることができる。別の実施形態として、１つのテーブルにすべてのテナントのデータを格納することもできる。たとえば、データテーブルの１つの列にテナントＩＤを格納し、各行がどのテナントに所属するデータであるかを示すように構成することができる。

（テーブル構成）
図４乃至図８を用いて、管理サーバ１０３が管理する各テーブルの構成について説明する。
（テナント管理テーブル４０２１）
図４（Ａ）乃至図４（Ｄ）は、テナント・ユーザ管理部４０２が管理する各テーブルを示す。図４（Ａ）のテナント管理テーブル４０２１は、テナントの種別を管理するテーブルを示す。テナントＩＤ５０１は、テナントを識別するＩＤを格納する列である。テナント種別５０２は、サービスプロバイダテナントか、顧客テナントであるかを判別する情報を格納する列である。管理者ＩＤ５０３は、テナントの管理者ＩＤを格納する列である。本実施例では、操作対象のテナントを指定する際に、テナントＩＤと管理者ＩＤの指定を要求し、これらが一致することを確認することにより、入力間違いを防止する。例えば、行５１１は、テナントＩＤが「ＳＰ＿ＵＳ」であり、管理者ＩＤが“ｔｏｎｙ”であるサービスプロバイダテナントを示している。

（ユーザ管理テーブル４０２２）
図４（Ｂ）のユーザ管理テーブル４０２２は、テナントに所属するユーザ情報を格納するテーブルを示す。テナントＩＤ６０１は、ユーザの所属するテナントを識別するためのテナントＩＤを格納する列である。ユーザＩＤ６０２は、ユーザを識別するＩＤである。少なくともテナントごとに一意なＩＤが使用される。パスワード６０３は、ユーザが本実施形態の管理システムにログインする際にユーザＩＤとともに入力するパスワードを格納する列である。例えば、行６１１は、テナント：ＳＰ＿ＵＳに所属し、ユーザＩＤがｔｏｎｙであり、パスワードがｘｘｘｘｘｘであるユーザを示している。

（テナント階層管理テーブル４０２３）
図４（Ｃ）のテナント階層管理テーブル４０２３は、テナント間の階層関係を格納するテーブルを示す。上位テナント７０１で示されるテナントが、下位テナント７０２で示されるテナントの上位階層に位置することを示す。図８は、図４（Ｃ）で示したテナント階層管理テーブル４０２３により表現される保持装置間およびサービス提供装置間のテナント階層構造情報を示す。矩形の中にはテナントＩＤが示されており、矢印は、上位テナントから下位テナントへの階層構造を示す。

（テナントグループ管理テーブル４０２４）
図４（Ｄ）のテナントグループ管理テーブル４０２４は、サービスプロバイダテナントが所属するサービスプロバイダのグループを格納するテーブルを示す。テナントＩＤ８０１で示されるテナントが、所属グループ８０２で示されるサービスプロバイダグループに所属することを示す。

図５（Ａ）乃至図５（Ｄ）は、アクセス許可管理部４０３が管理する各テーブルを示す。
（アクセス権限管理テーブル４０３１）
図５（Ａ）のアクセス権限管理テーブル４０３１は、利用者テナントに対してデータなどのリソースを所有する所有者テナントが有するアクセス権限を格納するテーブルを示す。所有者テナント９０１は、データなどのリソースを所有するテナントのテナントＩＤを格納する列である。利用者テナント９０２は、所有者テナント９０１で示されるテナントに対してアクセス権限を持つテナントのＩＤを格納する列である。

許可権限９０３は、利用者テナントに対してデータなどのリソースを所有する所有者テナントが有するアクセス権限の種類を格納する列である。アクセス権限管理テーブル４０３１は、アクセス権限が複数存在する場合、データ種別毎に複数格納する。また、アクセス権限管理テーブル４０３１は、あるまとまりのある複数種類のデータにアクセス権限をもつ場合には、それら複数のデータへのアクセス権限のセットを示す権限セット名称を格納することもできる。例えば、権限セット名称を＜スキャン情報＞と設定し、スキャン枚数の集計権限、レポート作成権限、統合レポート作権限などを複数種類のデータとしてまとめて格納してもよい。

（アクセス許可依頼管理テーブル４０３２）
図５（Ｂ）のアクセス許可依頼管理テーブルは、データなどのリソースを所有するテナントと、そのテナントに対してアクセスの許可を依頼するテナントが依頼する権限内容を格納するテーブルを示す。所有者テナント１００１は、データなどのリソースを所有するテナントのテナントＩＤを格納する列である。許可依頼・利用者テナント１００２は、所有者テナント１００１で示されるテナントに対してアクセス権限を依頼するテナントのＩＤを格納する列である。アクセス許可依頼１００３は、許可依頼・利用者テナント１００２がどの種別のデータへのアクセス権を依頼しているかを示す列である。アクセス許可管理部４０３は、アクセスしたいデータや権限セットが複数存在する場合、それらのデータや権限セットの種別を複数格納する。例えば、行１０１１は、サービスプロバイダテナントであるＳＰ＿ＵＳが、顧客テナントＡＢＣ＿Ｃｏｒｐのデータ・サービスに対して、デバイス管理権限、集計・レポート作成権限、統合レポート作成権限のアクセス権を依頼していることを示している。

（委託・委譲指示チケット管理テーブル４０３３）
図６（Ａ）の委託・委譲指示チケット管理テーブル４０３３は、サービスの委託または権限委譲の指示に関する情報を格納するテーブルである。例えば、委託・委譲指示チケット管理テーブル４０３３は、サービスプロバイダであるサービス提供装置間の信頼関係情報、および、顧客テナントとサービスプロバイダとの間の信頼関係情報を管理する。また、チケットＮｏ．１１０１は、委託・委譲指示チケットを一意に識別するための管理番号である。指示者１１０２は、アクセス権限の委譲を指示しているテナントを示す。所有者１１０３は、アクセス権限を利用者テナントに委譲するテナントを示す。利用者１１０４は、アクセス権限を受取ると、所有者１１０３のテナントのデータにアクセス可能となるテナントを示す。対象権限１１０５は、例えば、所有者１１０３から利用者１１０４に対してどのようなアクセス権限を委譲するように指示されているかを示す。パスフレーズ１１０６は、指示者１１０２のテナントのユーザが委譲を指示したときに設定したパスフレーズが格納される。格納されたパスフレーズは、利用者１１０４のテナントのユーザが権限委譲を承認する際に入力すべきパスフレーズとなる。

所有者―指示者間の信頼・委任関係１１０７、所有者―利用者間の信頼・委任関係１１０８、利用者―指示者間の信頼関係１１０９は、後述する委譲判定における各信頼・委任関係のチェック結果を示す。“ＯＫ”は、各条件において委譲条件を満たすことを示し、“ＮＧ”は、委譲条件を満たさないため、テナントのユーザによる承認操作が必要であることを示す。委託仲介先テナント１１１０は、指示者テナントから利用者テナントに対して直接サービス委託指示をせずに、委託仲介先テナント１１１０を介して委託指示がされていることを示す。このように、委託・委譲指示チケット管理テーブル４０３３は、指示者１１０２が、所有者１１０３に対し、所有者テナントのデータへのアクセス権限を、利用者１１０４のテナントへ委譲するように指示者指示していることを示す。また、委譲指示チケット管理テーブル４０３３は、指示者１１０２が、利用者１１０４に対し、所有者１１０３のテナントのデータにアクセスして、所有者１１０３に対してデバイス管理などのサービスを提供することを指示者指示していることを示す。

（テナント間の信頼・委任関係管理テーブル４０３４）
図６（Ｂ）のテナント間の信頼・委任関係管理テーブル４０３４は、テナント間での信頼、委任関係を格納するテーブルを示す。主体１２０１で示されるテナントが、対象１２０３で示されるテナントに対して信頼または委任をすることを示しており、信頼か委任のどちらであるかは信頼／委任１２０２で示される。

アクセス許可管理部４０３は、指示者から指示されたアクセス権限の委譲を実行するかどうかを判定にする際に信頼と委任の関係を参照する。具体的には、所有者テナントが指示者テナントや利用者テナントを信頼している場合には、所有者テナントとして委譲指示を承認し権限委譲を実行してよいと判断することを表す。また、利用者テナントが指示者テナントを信頼する場合、利用者テナントとして指示者の委譲指示を受け入れ、アクセス権限の委譲を受けてサービス提供を行ってよいと判断することを示す。所有者テナントが指示者テナントに委任している場合には、所有者テナントが利用者テナントを信頼していなくても、権限委譲をしてよいと判断することを表す。

本実施例では、図４に示すテナント階層管理テーブル４０２３、テナントグループ管理テーブル４０２４において、あるテナント１の直上のテナント２が、同じグループに所属している場合、テナント１は、テナント２と「直接的に関係がある」と定義する。また、図６（Ｂ）に示すテナント間の信頼・委任関係管理テーブル４０３４において、テナント１がテナント２を信頼、または委任関係がある場合にも、「直接的に関係がある」と定義する。さらに、あるテナント１と直接的に関係のあるテナント２が、テナント３と直接的に関係がある場合、テナント１はテナント３と「間接的に関係がある」と定義する。テナントの階層の上下関係、信頼・委任関係には、方向性があるため、この逆は成り立たない。例えば上記のテナント３はテナント１と「間接的に関係がある」とは言えない。権限委譲の実行判定における信頼関係の有無の判断においては、上記の定義にもとづいて「間接的に関係がある」場合にも、信頼できると判断する。

図７（Ａ）および図７（Ｂ）は、デバイス管理サービス部４０４が管理する各テーブルを示す。
（テナント毎データテーブル）
本実施例では、テーブル名を＜テナントＩＤ＞とすることで、複数のテナントの、複数種類のデータを格納可能とする。図７（Ａ）のテナント毎データテーブル４０４１は、テナント毎に管理されるデバイス情報を管理するテーブルを示す。テーブル名はＡＢＣ＿ＪＰ．ｄｅｖｉｃｅ＿ｉｎｆｏであり、ＡＢＣ＿ＪＰテナントが所有するデバイス情報のテーブルであることを示している。

デバイスＩＤ１３０１は、デバイスを識別するＩＤであり、シリアルＮｏ．やＭＡＣアドレスなどが設定される。ＩＰアドレス１３０２は、デバイスの属性として設定されたＩＰアドレスを示す。設置場所１３０３は、デバイスの属性として設定される設置場所情報を示す。図７（Ａ）に示すように、データ列を３つとしたが、列の個数やデータの種類などは任意の情報が格納されてよい。別の実施形態としては、すべてのテナントのデータを、テナントＩＤ列を持つ一つのテーブルに格納する方法がある。例えば、デバイスＩＤの上位にテナントＩＤ列を設け、ＡＢＣ＿ＪＰなどのテナントＩＤを設定する。そして各行のデバイスがどのテナントが所有するデータであるかを明確にすればよい。あるいは、デバイスＩＤ１３０１のデバイスＩＤにテナントＩＤを追記することにより、各行のデバイスがどのテナントが所有するデータであるかを明確にしてもよい。

図７（Ｂ）のＳＰテナント毎の顧客管理テーブル４０４２は、サービスプロバイダテナント毎に管理される顧客テナントへのサービス状況を管理するテーブルを示す。図７（Ｂ）は、サービスプロバイダＳＰ＿ＵＳの顧客管理テーブルの例である。顧客テナントＩＤ３６０１は、サービスプロバイダＳＰ＿ＵＳが管理しサービスを提供する顧客テナントＩＤを格納する。サービス状況３６０２は、該当行の顧客テナントが、サービスプロバイダＳＰ＿ＵＳに対してアクセス許可を行った場合に「提供中」、アクセス許可を行っていない場合には「未開始」を格納する。

（処理フロー）
以下では、ホストコンピュータ１０１、１０２、管理サーバ１０３において行われる各処理フローを説明する。
（ユーザ認証処理）
図９は、本実施例の管理システムを利用するユーザのユーザ認証の処理フローを示す。顧客テナントユーザ、ＳＰテナントユーザは図９に示す同様の認証処理を行う。まず、ホストコンピュータ１０１または１０２においてユーザがＷｅｂブラウザ３０１を利用し、管理サーバ１０３のＵＲＬを指定する。すると、Ｗｅｂブラウザ３０１は、ネットワーク１０４を経由してＵＲＬで指定された管理サーバ１０３に画面表示のリクエストを送信する。管理サーバ１０３はインタフェース部４０１でリクエストを受信すると、クッキー情報などによりセッション情報を確認し、すでに認証されているリクエストであるかを判定する。認証されていない場合、図９に示すユーザ認証処理を行う。

Ｓ１５０１で、管理サーバ１０３はユーザ認証処理を開始する。Ｓ１５０２で、インタフェース部４０１はログイン画面を示すＨＴＭＬデータを作成し、ネットワークを介してホストコンピュータへ送信する。ホストコンピュータでは、ＨＴＴＰ通信部３０２がＨＴＭＬデータを受信し、Ｗｅｂブラウザ３０１でＨＴＭＬデータを解析してログイン画面を表示する。Ｓ１５０３において、ユーザはログイン画面に、ユーザＩＤ、パスワード、テナントＩＤを入力する。入力された情報は、ＨＴＴＰ通信部３０２を経由して管理サーバ１０３に送信される。

Ｓ１５０４において、管理サーバ１０３のインタフェース部４０１は、受信したユーザＩＤ、パスワード、テナントＩＤをテナント・ユーザ管理部４０２に送信する。ユーザＩＤ、パスワード、テナントＩＤを受信したテナント・ユーザ管理部４０２は、ユーザ管理テーブル４０２２を参照する。テナント・ユーザ管理部４０２は、ユーザＩＤ、パスワード、テナントＩＤの全てが一致するユーザが存在するかを確認し、一致するユーザが存在すれば正当なユーザであると判定する。

Ｓ１５０５で、Ｓ１５０４で正当なユーザであると判定された場合には、Ｓ１５０７へ進み、それ以外の場合には、Ｓ１５０６へ進み認証失敗であると判定しインタフェース部４０１に通知する。Ｓ１５０６では、テナント・ユーザ管理部４０２は、認証失敗であることインタフェース部４０１に通知する。そして、インタフェース部４０１は、インタフェースログイン失敗を通知するＨＴＭＬデータを作成しホストコンピュータに送信し、ユーザ認証処理を終了する。

Ｓ１５０７では、テナント・ユーザ管理部４０２は、認証成功であることインタフェース部４０１に通知する。インタフェース部４０１はセッション情報にユーザＩＤ、ユーザの所属するテナントＩＤとテナント種別を設定する。このときＨＴＴＰヘッダーに認証したユーザに関連付けられているロール情報を設定するようにしてもよい。インタフェース部４０１はさらに、セッション情報に基づきホストコンピュータから要求されたＷｅｂページのＨＴＭＬデータを作成してホストコンピュータに送信する。Ｗｅｂページに特に指定がない場合には、テナント種別に応じたホームページのＨＴＭＬデータを作成し、ホストコンピュータに送信する。

サービスプロバイダテナントのユーザがログインした場合には、図１０（Ａ）に示すＳＰ用ホームページ１６００が表示される。符号１６０１は、顧客テナントの登録画面へのリンクであり、リンクをマウスポインタなどで選択すると、図１１（Ａ）に示す顧客テナントの登録画面へ遷移する。符号１６０２は、デバイス管理サービスの顧客管理画面へのリンクであり、リンクをマウスポインタなどで選択すると、図１２（Ａ）に示すデバイス管理サービスの顧客管理画面へ遷移する。符号１６０３は、デバイス管理サービスの委託管理画面へのリンクであり、リンクをマウスポインタなどで選択すると、図１３（Ａ）に示すサービスの委託管理画面へ遷移する。符号１６０４は、ホームページ画面を表示しているログインユーザ名が表示される領域である。符号１６０５は、ホームページ画面へのリンクであり、リンクをマウスポインタなどで選択すると、図１０（Ａ）に示すホームページ画面へ遷移する。１６０４、１６０５は、その他の画面での共通に表示されるコントロールであるため、以下では説明を省略する。

顧客テナントのユーザがログインした場合には、図１０（Ｂ）に示す顧客用ホームページ画面２０００が表示される。符号２００１は、顧客テナントのユーザ管理画面へのリンクであり、リンクをマウスポインタなどで選択すると、ユーザ管理画面へ遷移する。ユーザ管理画面は図示しないが、テナントのユーザの追加、変更、削除を可能とする画面である。ユーザ管理画面においてユーザＩＤ、パスワードを指定しユーザの追加、変更が可能であり、ユーザ情報は、図４（Ｂ）に示したユーザ管理テーブルに格納される。符号２００２は、レポート取得画面へのリンクであり、リンクをマウスポインタなどで選択すると、レポート取得画面へ遷移する。レポート取得画面では、顧客へサービス提供を行うサービスプロバイダが作成したレポートをダウンロード可能な画面である。符号２００３は、提供中のサービスの確認画面へのリンクである。提供中のサービスの確認画面では、画面を表示した顧客にどのサービスプロバイダがどのようなサービスを提供しているかを表示する。提供中のサービスの確認画面では、図５（Ａ）に示したアクセス権限管理テーブルにおいて、所有者テナント９０１が画面を表示した顧客のテナントＩＤと一致する行を取得し、利用者テナント９０２、許可権限９０３を画面に表示する。

実施例１では、１つ目のユースケースを例にアクセス許可およびサービス委託を実現するフローを説明する。第１のサービス提供装置であるサービスプロバイダテナント（以下、ＳＰテナント）のＳＰ＿ＵＳが顧客ＡＢＣ＿Ｃｏｒｐグループとデバイス管理サービスの契約を行った。ＳＰ＿ＵＳは、ＡＢＣ＿Ｃｏｒｐグループ全体の統合レポートを作成し、ＡＢＣ＿Ｃｏｒｐに提供する必要がある。ＡＢＣ＿Ｃｏｒｐの配下にはＡＢＣ＿ＪＰがあるが、ＳＰ＿ＵＳは直接サービス提供できないため、第２のサービス提供装置であるサービスプロバイダＳＰ＿ＪＰにデバイス管理とレポート作成（ＡＢＣ＿ＪＰの単体レポート作成のサービス提供を委託したい。

図１７（Ａ）は、ＳＰテナントのＳＰ＿ＵＳのユーザｔｏｎｙが、管理サーバ１０３に顧客テナントＡＢＣ＿ＣｏｒｐおよびＡＢＣ＿ＪＰを作成し、アクセス許可を得るまでのフローを示した図である。矩形がテナント、矢印が操作を表し、矢印の起点が操作を行うテナント、矢印の終点が操作対象のテナントを示しており、吹き出しと番号付の内容が操作の順番と操作内容を示している。符号１４０１がＳＰテナントのＳＰ＿ＵＳ、符号１４１０が顧客テナントＡＢＣ＿Ｃｏｒｐ、符号１４１２が顧客テナントＡＢＣ＿ＪＰを示している。

まず、Ｓ１で、ＳＰ＿ＵＳのユーザｔｏｎｙが、顧客テナントＡＢＣ＿Ｃｏｒｐを作成し、管理サーバ１０３にＡＢＣ＿Ｃｏｒｐを登録し、同時にアクセス許可依頼を行う。続いて、Ｓ２で、ＳＰ＿ＵＳのユーザｔｏｎｙが、顧客テナントＡＢＣ＿ＪＰを作成し、管理サーバ１０３に、ＡＢＣ＿ＪＰを登録し、同時にアクセス許可依頼を行う。Ｓ３で、ＡＢＣ＿Ｃｏｒｐのユーザａｄｍｉｎが、管理サーバ１０３にＳＰ＿ＵＳへアクセス許可を行う。Ｓ４−１で、ＡＢＣ＿ＪＰのユーザｓｕｚｕｋｉが、ＳＰ＿ＵＳへのアクセス許可を行い、Ｓ４−２でＡＢＣ＿Ｃｏｒｐへのアクセス許可を行う。

Ｓ２における、ＳＰ＿ＵＳのユーザｔｏｎｙが顧客テナント（ＡＢＣ＿ＪＰ）を作成し、管理サーバ１０３にアクセス許可依頼を行うまでの具体的な処理を説明する。
（顧客テナント登録処理）
ＳＰ＿ＵＳのユーザｔｏｎｙがホストコンピュータ１から管理サーバ１０３にアクセスし、ログイン操作を行うと、図１０（Ａ）に示すホームページ画面１６００が表示される。ユーザｔｏｎｙが顧客テナントを登録するために、顧客テナント登録１６０１のリンクを選択すると、顧客テナント登録画面（図１１（Ａ）の１７１０）に遷移する。

図１１（Ａ)、図１１（Ｂ)は、顧客テナント登録画面を示した図である。顧客テナント（ＡＢＣ＿ＪＰ）を作成するために、ユーザｔｏｎｙは、顧客テナントの管理者のユーザＩＤ１７１１、顧客テナントの顧客管理者のパスワード１７１２、顧客テナント階層において上位となる顧客テナントＩＤ１７１３を指定する。これらを入力し［登録］ボタン１７１４を押下すると、テナント作成リクエスト情報がＨＴＴＰリクエストに設定され、管理サーバ１０３に送信される。管理サーバ１０３では、インタフェース部４０１がＨＴＴＰリクエストを受信し、入力情報をチェックし問題がなければ、テナント・ユーザ管理部４０２にテナント作成リクエストを送信する。テナント・ユーザ管理部４０２は、一意となるテナントＩＤを発行し、テナント管理テーブル４０２１、ユーザ管理テーブル４０２２、テナント階層管理テーブル４０２３に入力された情報を元にレコードを登録する。

登録処理が終了すると、発行したテナントＩＤとその他の情報をインタフェース部４０１へ送信する。インタフェース部４０１は、顧客テナント登録結果画面１７２０（図１１（Ｂ)）のＨＴＭＬデータを作成し、ホストコンピュータ１のＷｅｂブラウザ３０１に送信し、表示させる。顧客テナント登録結果画面１７２０では、登録されたテナントＩＤ１７２１、管理者ユーザＩＤ１７２２、上位顧客テナントのＩＤ１７２３を表示する。例ではわかりやすいように「ＡＢＣ＿ＪＰ」などをテナントＩＤの例として示しているが、形式などは制限されない。

Ｓ１のＡＢＣ＿Ｃｏｒｐの顧客テナント登録の結果、図４（Ａ）に示すテナント管理テーブルの行５１８、図４（Ｂ）に示すユーザ管理テーブルの行６１３が登録される。また、Ｓ２のＡＢＣ＿ＪＰの顧客テナント登録の結果、図４（Ａ）に示すテナント管理テーブルの行５２０、図４（Ｂ）に示すユーザ管理テーブルの行６１４が登録される。図１１（Ａ)、図１１（Ｂ)の例では、ＡＢＣ＿Ｃｏｒｐの下位テナントとして、ＡＢＣ＿ＪＰが作成されており、作成されたテナントの管理者のユーザＩＤにはｓｕｚｕｋｉが指定されている。

次に、管理サーバ１０３への顧客登録およびアクセス許可依頼について説明する。サービスプロバイダＳＰ＿ＵＳのユーザｔｏｎｙは、図１０（Ａ）のホームページ１６００に戻り、顧客管理１６０２のリンクを選択する。すると、画面は図１２（Ａ）に示す顧客管理画面１８００に遷移する。顧客管理画面１８００の登録ボタン１８０１は、管理サーバ１０３への顧客登録操作を行うためのボタンであり、登録ボタン１８０１を押下すると、顧客の登録画面１９００（図１２（Ｂ））に遷移する。解除ボタン１８０２は、顧客リストのラジオボタン１８０３で選択された顧客テナントの登録を解除するためのボタンである。他の項目については後述する。

ＳＰユーザは、顧客の登録画面１９００において、デバイス管理サービスの対象顧客を指定し、アクセス許可依頼を発行する。テナントＩＤ１９０１には、登録対象の顧客テナントＩＤを指定し、管理者のユーザＩＤ１９０２には登録対象の顧客テナントの管理者のユーザＩＤを指定する。顧客テナントＩＤだけでは入力ミスにより間違った顧客テナントを登録してしまうことが考えられるため、管理者のユーザＩＤ１９０２を入力することにより、入力間違いを防止する意味を持つ。図１２（Ｂ）の例では、顧客テナントＡＢＣ＿ＪＰへのアクセス許可依頼を登録しようとしている。

ＳＰユーザが送信ボタン１９０３を押下すると、ＳＰテナントＩＤ、顧客テナントＩＤ、管理者のユーザＩＤの情報を含むアクセス許可依頼がＨＴＴＰリクエストとして管理サーバ１０３へ送信される。管理サーバ１０３では、アクセス許可依頼を受信すると、デバイス管理サービス部４０４にアクセス許可依頼を送信する。デバイス管理サービス部４０４は、顧客登録リクエストを受信すると、テナント・ユーザ管理部４０２に、顧客テナントＩＤ、管理者のユーザＩＤを送信し、２つの情報が一致するテナントが存在するかを確認する。ここでは、テナント・ユーザ管理部４０２が、ユーザ管理テーブル４０２２において、レコード６１４に一致するテナントが登録されていることを確認する。デバイス管理サービス部４０４は、ＳＰテナントＩＤ（ＳＰ＿ＵＳ）、顧客テナントＩＤ（ＡＢＣ＿ＪＰ）と既定の許可権限を含むアクセス許可依頼登録リクエストをアクセス許可管理部４０３に送信する。

アクセス許可管理部４０３は、アクセス許可依頼管理テーブル４０３２（図５（Ｂ））にレコード１０１２を追加する。具体的には、アクセス許可管理部４０３は、アクセス許可依頼管理テーブル４０３２の所有者テナント１００１にＡＢＣ＿ＪＰ、許可依頼・利用者テナント１００２にＳＰ＿ＵＳを設定する。また、アクセス許可管理部４０３は、アクセス許可依頼１００３にデバイス管理権限、集計・レポート作成権限、統合レポート作成権限を設定する。続いて、デバイス管理サービス部４０４は、ＳＰテナント毎の顧客管理テーブル４０４２（図７（Ｂ））に、レコード３６１４を追加する。具体的には、顧客テナントＩＤ３６０１にＡＢＣ＿ＪＰ、サービス状況３６０２には「未開始」を設定する。

（顧客管理画面１８００（図１２（Ａ））
顧客管理画面１８００（図１２（Ａ））の顧客テナント情報について説明する。顧客管理画面１８００では、ログインユーザの所属するテナント（ＳＰ＿ＵＳ）がサービス提供、または、アクセス許可依頼を行っている顧客テナントの一覧が表示される。顧客管理画面１８００は、ログインユーザの所属するテナント（ＳＰ＿ＵＳ）のＳＰテナント毎の顧客管理テーブル４０４２を参照して作成される。

顧客リストでは、顧客テナントＩＤ１８０４（ＳＰテナント毎の顧客管理テーブル４０４２の顧客テナントＩＤ３６０１）、サービス状況１８０６（ＳＰテナント毎の顧客管理テーブル４０４２のサービス状況３６０２）が表示されている。また、デバイス数１８０７は、図示しないテナント毎データテーブル４０４１において管理されるデバイスリストより、登録されたデバイスの合計数を取得し表示する。

操作の選択ボタン１８１０は、顧客リストの顧客テナントごとに設けられるボタンであり、ＳＰユーザがボタンを押下すると、該当列の顧客テナントに対する操作を指定するための顧客操作メニュー１８１１が表示される。顧客操作メニュー１８１１では、ログインユーザの所属サービスプロバイダテナントに対して、操作の選択ボタン１８１０が押下された顧客テナントから許可されている権限に応じてメニューが表示される。許可されている権限は、アクセス権限管理テーブル（図５（Ａ））の許可権限９０３より取得され、許可された権限に関連するメニューが表示される。

図１２（Ａ）の例では、ＳＰ＿ＵＳのユーザｔｏｎｙがログインして画面をホストコンピュータ１に表示しており、顧客テナントＡＢＣ＿ＵＳの顧客操作メニュー１８１１が表示されている。顧客操作メニュー１８１１には、顧客ＡＢＣ＿ＵＳから許可された、デバイス管理権限、集計・レポート作成権限、統合レポート作成権限に関連付けられたメニューが表示されている。顧客操作メニューとして、デバイスの管理１８１２、レポート作成１８１３、サービス委託依頼１８１４が表示されている。デバイスの管理１８１２、レポート作成１８１３を選択すると、選択した顧客テナントを対象としてデバイス管理サービス部４０４により提供されるサービス機能を利用するための画面に遷移するが、説明は省略する。

次に、図２１を用いて顧客テナントユーザによるアクセス許可について、管理サーバ１０３が行う処理を説明する。本フローチャートでは、顧客テナントＡＢＣ＿ＪＰのユーザｓｕｚｕｋｉがアクセス許可を承認する場合の処理を例に説明する。顧客テナントユーザがホストコンピュータ２より管理サーバ１０３にアクセスし、ログインすると、顧客用ホームページ画面２０００（図１０（Ｂ））が表示される。

顧客テナントユーザが、サービスの確認２００３メニューを選択すると、選択されたメニュー情報とユーザの所属する顧客テナントＩＤを含む画面遷移リクエストが管理サーバ１０３に送信される。管理サーバ１０３は、インタフェース部４０１においてセッション情報に画面遷移リクエスト情報を設定したのち、デバイス管理サービス部４０４に画面遷移リクエストを送信する。デバイス管理サービス部４０４は、アクセス許可管理部４０３を呼び出し、図２１に示すアクセス許可承認処理を実行する。

アクセス許可管理部４０３は、Ｓ３１０１において、アクセス許可依頼管理テーブル４０３２から画面遷移リクエストに含まれる顧客テナントＩＤ（ＡＢＣ＿ＪＰ）と所有者テナント１００１が一致するアクセス許可レコード１０１２を取得する。つづいて、Ｓ３１０２において、アクセス許可レコードが存在しない場合には、Ｓ３１０８に進む。存在する場合には、Ｓ３１０３へ進む。Ｓ３１０３では、インタフェース部４０１は、図１３（Ａ）に示すアクセス許可承認画面２１００を表示するため、ＨＴＭＬデータを作成してインタフェース部４０１を介してホスト２のＷｅｂブラウザ３０１に送信する。

Ｗｅｂブラウザ３０１は、アクセス許可承認画面２１００では、アクセス許可するテナント２１０１に、アクセス許可レコードの許可依頼・利用者テナント１００２（ＳＰ＿ＵＳ）を表示する。また、アクセス許可サービスおよびデータ２１０２に、レコード１０１２のアクセス許可レコードのアクセス許可依頼１００３を表示する。

複数のアクセス許可レコードが存在した場合には、符号２１０３、２１０４のように複数の組み合わせが表示されてよい。委任関係チェックボックス２１１０では、アクセス許可依頼を行ったＳＰテナント（例ではＳＰ＿ＵＳ）に、サービス委託時の委託先へのアクセス権限委譲を委任するかどうかが指定される。チェックボックスを選択状態にした場合には、アクセス許可依頼を行ったＳＰテナントとの間に委任関係（サービス委託時の委託先へのアクセス権限委譲を承認する）を構築することを示す。［アクセスを許可する］ボタン２１０５を押下することで、アクセス許可を承認することを示し、アクセス許可承認リクエストが管理サーバ１０３に送信される。

Ｓ３１０４において、ユーザが、Ｗｅｂブラウザ３０１において［アクセスを許可する］ボタン２１０５を押下すると、Ｓ３１０５に進む。Ｓ３１０５では、管理サーバ１０３がアクセス許可承認リクエストを受信すると、アクセス許可管理部４０３に送信し、アクセス許可管理部４０３はアクセス権限管理テーブル４０３１に承認されたアクセス権限情報を登録する。つまり、アクセス許可管理部４０３は、４０３１にレコード９１２を登録する。続いてアクセス許可管理部４０３はＳ３１０６で、アクセス許可依頼管理テーブル４０３２から該当顧客テナントに関するレコード（図５（Ｂ）のレコード１０１２）を削除する。Ｓ３１０７で、アクセス許可管理部４０３は、許可依頼・利用者テナント１００２の該当するＳＰテナントのＳＰテナント毎の顧客管理テーブル４０４２のサービス状況３６０２を「提供中」に変更する。ここでは、レコード３６１４のサービス状況３６０２が「提供中」に変更される。

アクセス許可管理部４０３は、Ｓ３１０８で、テナント間の信頼・委任関係管理テーブル４０３４にレコード１２１２を追加する。アクセス許可管理部４０３は、図６（Ｂ）の主体１２０１には操作しているユーザの所属する顧客テナントＩＤ（ＡＢＣ＿ＪＰ）を設定する。また、アクセス許可管理部４０３は、対象１２０３には、許可依頼・利用者テナント１００２に指定されたＳＰテナントＩＤ（ＳＰ＿ＵＳ）を設定する。信頼／委任１２０２には、委任関係チェックボックス２１１０が選択されている場合には、「委任」を設定し、選択されていない場合には、「信頼」を設定する。追加したレコードにより、主体１２０１のテナントが、対象１２０３のテナントに対して、信頼／委任１２０２で示される信頼もしくは委任することを示す。

これらの処理が終わると、デバイス管理サービス部４０４は、インタフェース部４０１を介し、アクセス許可の処理結果画面を送信する。以上が、図１７（Ａ）で示したＳＰテナントのＳＰ＿ＵＳが、顧客テナントＡＢＣ＿ＣｏｒｐおよびＡＢＣ＿ＪＰを管理サーバ１０３に登録し、アクセス許可を得るまでのフローの詳細説明である。

図１７（Ｂ）は、ＳＰテナントのＳＰ＿ＵＳが、ＳＰテナントのＳＰ＿ＪＰへ顧客テナントＡＢＣ＿ＪＰのサービス委託を指示し、ＡＢＣ＿ＪＰがＳＰ＿ＪＰにアクセス権限を承認するまでのフローを示した図である。本フローは、第三者であるＳＰ＿ＵＳが委託および委譲指示を行うことにより実行される。図１７（Ｂ）では、図１７（Ａ）に示す各テナントに、ＳＰテナントＳＰ＿ＪＰ１４０２が追加されている。

まず、Ｓ５−１でＳＰ＿ＵＳのユーザｔｏｎｙが、顧客テナントＡＢＣ＿ＪＰのサービス提供の、ＳＰテナントのＳＰ＿ＪＰへの委託操作を行う。一方、Ｓ５−２でユーザｔｏｎｙは、ＡＢＣ＿ＪＰに対しＳＰ＿ＪＰへのアクセス権限の委譲指示を出す。次に、Ｓ６でＳＰテナントＳＰ＿ＪＰのユーザｋａｔｏが、委託承認操作を行う。続いて、Ｓ７で、顧客テナントＡＢＣ＿ＪＰのユーザｓｕｚｕｋｉが、ＳＰ＿ＪＰへのアクセス権限の承認操作を行う。これらの結果をうけて、アクセス権限の委譲条件を満たすとＳ８でアクセス権限委譲実行指示が出され、Ｓ９でＡＢＣ＿ＪＰからＳＰ＿ＪＰへアクセス権限の委譲処理が実行される。

以下では、フローの詳細を説明する。Ｓ１１のＳＰ＿ＵＳのユーザｔｏｎｙによる委託操作について、図２２のフローチャート、図１０（Ａ）および、図１４（Ａ）、図１５を用いて説明する。ＳＰ＿ＵＳのユーザｔｏｎｙがホスト１よりＷｅｂブラウザを使用して管理サーバ１０３にアクセスしログインすると、サービスプロバイダ用のホームページ１６００（図１０（Ａ））が表示される。委託操作をするため、委託管理画面へのリンク１６０３を選択すると、サービス委託の管理画面２２００（図１４（Ａ））が表示される。

サービス委託の管理画面２２００では、顧客リストの選択コントロール２２０１において、「委託対象の顧客リスト」と「委託された顧客リスト」が選択可能で、「適用」ボタン２２０２を押下すると画面が切り替わる。「委託対象の顧客リスト」を選択時には、以下の情報表示、および操作が可能である。ＳＰ＿ＵＳのユーザｔｏｎｙが「サービス委託の追加」ボタン２２１７を押下すると、サービス委託の設定画面２３００（図１５）に遷移する。「委託された顧客リスト」を選択すると、図１４（Ｂ）に示す表示内容に切り替わる。「サービス委託仲介の追加」ボタン２２１８では、新規にサービス委託の仲介依頼を追加することができる。詳細は後述する。

図１４（Ａ）に示す顧客リストは、委託・委譲指示チケット管理テーブル４０３３を参照して作成される。指示者１１０２がログイン中のユーザの所属テナントＩＤと一致するレコードを取得して、１レコードで顧客リストの１行として表示する。符号２２１１は、委託対象の顧客テナントＩＤ、符号２２１２は、委託先のＳＰテナントＩＤ、符号２２１３は、委託仲介先のＳＰテナントＩＤ、符号２２１４は、各行のサービス委託が承認され、アクセス権限委譲が行われているかを示す。状態として、「ＳＰ承認待ち」、「顧客承認待ち」、「ＳＰ，顧客承認待ち」、「承認済み」がある。委託・委譲指示チケット管理テーブル４０３３の「所有者―指示者間の信頼・委任関係」１１０７がＮＧもしくは、「所有者―利用者間の信頼・委任関係」１１０８がＮＧの場合には、「顧客承認待ち」となる。

また、「利用者―指示者間の信頼関係」１１０９がＮＧの場合には「ＳＰ承認待ち」となる。「顧客承認待ち」の「ＳＰ承認待ち」の両方が表示条件を満たした場合には、「ＳＰ，顧客承認待ち」となる。また、３つの信頼関係がＯＫの場合には「承認済み」と表示する。符号２２１５は、サービス委託しようとしているサービスの種別を示す。ボタン２２１９は、承認済みのサービス委託を解除するボタンであり、これを押下すると、関係する権限委譲チケットとともに、アクセス権限管理テーブルからも委譲された権限が削除される。

ＳＰ＿ＵＳのユーザｔｏｎｙが、Ｓ５−１においてサービス委託操作を行うために「サービス委託の追加」ボタン２２１７押下すると、管理サーバ１０３は図２２のフローチャートに示す委託指示処理を実行する。まず、アクセス許可管理部４０３は、Ｓ３２０１においてサービス委託の設定画面２３００（図１５）のＨＴＭＬデータを作成し、Ｗｅｂブラウザ３０１に送信する。

図１５に示すように、サービス委託の設定画面２３００は、顧客テナントＩＤ２３０１、サービスプロバイダＩＤ３２０２、管理者のユーザＩＤ２３０３、パスフレーズ２３０４、委託するサービス２３０５などの項目を有する。また。設定画面２３００は、設定ボタン２３０６、キャンセルボタン２３０７といった項目も有する。

委託先ＳＰプロバイダＩＤ２３０２は、テナントＩＤをキーボード入力により直接入力することも可能であるが、ドロップダウンリストより選択することも可能である。ドロップダウンリストに表示されるＳＰテナントＩＤは、ログインユーザの所属するテナントのテナント階層で下位にあるテナントでありかつ同じグループに所属するテナントと、追加の信頼関係を結んでいるテナントである。

テナント階層は、テナント階層管理テーブル４０２３を参照することで得られる。また、同じグループに所属するかは、テナントグループ管理テーブル４０２４を参照することで判断可能である。また、追加の信頼関係を結んでいるかどうかは、テナント間の信頼・委任関係管理テーブル４０３４を参照することで得られる。

また、委託先ＳＰテナントが間違いないことを確認するために使用するパスフレーズ２３０４を入力する。パスフレーズは、システム外で委託先ＳＰテナントのユーザに通知されて、委託承認操作時に入力させることにより、委託先テナントの間違いを防止する。また、委託するサービス２３０５を選択する。委託するサービスは、委託先ＳＰが委託対象顧客に提供すべきサービスである。そしてさらに、そのサービスを提供するために必要なデータへのアクセス権限の委譲が必要あることを示す。

Ｓ３２０２において、ＳＰ＿ＵＳのユーザｔｏｎｙは、サービス委託の設定画面２３００で、サービス委託の対象となる顧客テナントＩＤ２３０に「ＡＢＣ＿ＪＰ」を指定する。また、ユーザｔｏｎｙは、委託先のＳＰテナントＩＤ２３０２に「ＳＰ＿ＪＰ」、管理者のユーザＩＤ２３０３に「ｋａｔｏ」、およびパスフレーズ２３０４に「１１１１１１１１１１」を入力する。ＳＰ＿ＵＳのユーザｔｏｎｙが、設定ボタン２３０６を押下すると、処理はＳ３２０３へ進む。アクセス許可管理部４０３は、Ｓ３２０３では、委託先のＳＰテナントＩＤ（ＳＰ＿ＪＰ）と管理者ユーザＩＤ（ｋａｔｏ）をテナント管理テーブル４０２１で照合し、正しく委託先のＳＰテナントの管理者ユーザＩＤが指定されているかをチェックする。ＯＫである場合には、Ｓ３２０４に進み処理を継続し、ＮＧである場合には、エラーとして処理を中断する。

Ｓ３２０４では、アクセス許可管理部４０３は、委託・委譲指示チケット管理テーブル４０３３に委譲指示レコードを登録する。図１５に示した入力例の場合、委譲指示チケット管理テーブル４０３３には図６（Ａ）の行１１１１が追加される。指示者１１０２には、委託指示を行ったログインユーザの所属テナントのＩＤ（ＳＰ＿ＵＳ）が設定される。所有者１１０３には、委託対象の顧客テナントＩＤ２３０１（ＡＢＣ＿ＪＰ）が設定される。利用者１１０４には、委託先テナントのＩＤ２３０２（ＳＰ＿ＪＰ）が設定される。パスフレーズ１１０６には、入力されたパスフレーズ２３０４が設定される。委譲対象権限１１０５には、委託するサービス２３０５で指定されたサービスを表す権限名が設定される。列１１０７〜１１０９は、この時点では空が設定され、続く図２５の委譲判定処理において設定される。

まず、概念図を用いて、委譲判定条件について説明する。図１９（Ａ）は、サービス委託指示、権限委譲の指示の概念を示している。符号２６０１は指示者テナントを指し、顧客テナントへのサービス委託を指示したテナントを示す。実施例１では、ＳＰテナントのＳＰ＿ＵＳにあたる。符号２６０２は所有者テナントを指し、データの所有者である顧客テナントを示す。そして、指示者テナント２６０１からの委譲指示をうけて、データへのアクセス権限を利用者テナント２６０３に委譲しようとするテナントである。実施例１では、顧客テナントのＡＢＣ＿ＪＰにあたる。符号２６０３は利用者テナントを指し、指示者テナント２６０１からサービス委託指示を受けて所有者テナントへサービスを提供しようとするテナントである。また、サービス提供のためにはデータにアクセスする必要があるため、所有者テナント２６０２よりデータへのアクセス権限を委譲されて権限を与えられるテナントである。実施例１では、ＳＰテナントのＳＰ＿ＪＰにあたる。

指示者テナント２６０１は、所有者テナント２６０２へのサービス提供を利用者テナント２６０３に委託することを指示している（２６１２）。同時に、指示者テナント２６０１は、所有者テナント２６０２に対して、所有者テナント２６０２のデータへのアクセス権限を利用者テナント２６０３へ委譲する（アクセス権限を与える）ように指示している（２６１１）。

本実施例では、所有者テナント２６０２の所有するデータへのアクセス権限の委譲を、所有者テナント２６０２以外のもの、つまり第三者が指示するという関係となっている。所有者テナント２６０２が委譲先の利用者テナント２６０３を信頼できればアクセス権限の委譲を行ってよいわけではない。所有者テナント２６０２は、信頼できるものから委譲指示が行われた場合でなければ、アクセス権限の委譲を実行できない。また、利用者テナント２６０３は、指示者テナント２６０１より所有者テナント２６０２へのサービス提供を請け負う（委託される）ことになる。従って、所有者テナント２６０３は、指示者テナント２６０１を信頼できなければ、請け負うことができない。

委譲判定条件を図示したものが、図１９（Ｂ）である。図示した３つの信頼関係２６２１、２６２２、２６２３が成立した場合に、指示者テナント２６０１が指示した権限委譲を実行する。つまり、符号２６２１が示すように、所有者テナント２６０２が指示者テナント２６０１を信頼している。符号２６２２が示すように、所有者テナント２６０２が利用者テナント２６０３を信頼している。符号２６２３が示すように、利用者テナント２６０３が指示者テナント２６０１を信頼している。

また、所有者テナント２６０２が、指示者テナント２６０１に委任している場合の委譲判定条件を図示したものが図１９（Ｃ）である。委任とは、委任するテナントからの委譲指示においては、アクセス権限の委譲を指示者テナントに任せることを示す。このため、所有者テナント２６０２が指示者テナント２６０１にアクセス権限の委譲を委任している場合（２６３１）、所有者テナント２６０２が利用者テナント２６０３と信頼関係がなくても、アクセス権限委譲を承認することになる。この場合においても、利用者テナント２６０３が指示者テナント２６０１を信頼している（２６３３）必要があることに変わりはない。サービス委託指示を仲介者テナントが仲介する場合（図２０（Ａ）、図２０（Ｂ））については、後述する。

図１７（Ｂ）の操作・処理フロー図の説明に戻る。Ｓ５−１における委託操作が終了すると、委譲指示チケット管理テーブル４０３３に委譲指示チケットが登録される。次に、ＳＰテナントＳＰ＿ＪＰのユーザｋａｔｏが、Ｓ６において委託承認操作を行う。ＳＰテナントＳＰ＿ＪＰのユーザｋａｔｏがホストのＷｅｂブラウザ３０１を使用して管理サーバ１０３にログインすると、図１０（Ａ）に示すサービスプロバイダ用のホームページ１６００が表示される。ユーザｋａｔｏがホームページ１６００から委託管理１６０３を選択すると、図１４（Ａ）に示すサービス委託の管理画面２２００が表示される。ユーザｋａｔｏが顧客リストの選択コントロール２２０１を用いて「委託された顧客リスト」を選択し「適用」ボタン２２０２を押下すると、図１４（Ｂ）が表示される。

図１４（Ｂ）の顧客リストでは、ＳＰテナントＳＰ＿ＪＰへ委託指示が出されている顧客テナント情報が表示される。顧客リストは、デバイス管理サービス部４０４が委譲指示チケット管理テーブル４０３３を参照して作成する。デバイス管理サービス部４０４は、ログイン中のユーザの所属テナントＩＤと一致する利用者１１０４を取得する。そして、デバイス管理サービス部４０４は、該当するレコードを顧客リストの１行として表示する。ここでは、委譲指示チケット管理テーブル４０３３のレコード１１１１が取得される。

図１４（Ｂ）の委託対象の顧客テナントＩＤ２２２１には、所有者テナント１１０３（ＡＢＣ＿ＪＰ）が表示される。委託元のＳＰテナントＩＤ２２２２には、指示者１１０２（ＳＰ＿ＵＳ）が表示される。委託仲介先のＳＰテナントＩＤ２２２３には、委託仲介先テナント１１１０が表示される。サービス委託の承認状況２２２４には各行のサービス委託が承認され、アクセス権限委譲が行われているかが表示される。表示される内容は、図１４（Ａ）のサービス委託の承認状況２２１４と同様である。委託されているサービス２２２５は、サービス委託しようとしているサービスの情報を示す。サービス委託承認操作ボタン２２２９は、サービス委託の承認状況が「ＳＰ承認待ち」もしくは「ＳＰ・顧客承認待ち」の場合に表示されるボタンである。サービス委託承認操作ボタン２２２９を押下すると、Ｓ８の委託承認で示す委託承認処理が実行される。

図２３を用いて、ＳＰ＿ＪＰのユーザｋａｔｏが委託を承認する際の委託承認処理のフローを説明する。始めに、Ｓ３３０１で、アクセス許可管理部４０３は、委譲指示チケット管理テーブル４０３３から、操作対象となった指示レコード１１１１を取得する。続いて、Ｓ３３０２で、アクセス許可管理部４０３は、委託画面としてサービス委託の承認画面２４００（図１６）のＨＴＭＬデータを作成し、インタフェース部４０１を介してＷｅｂブラウザ３０１に送信する。サービス委託の承認画面２４００（図１６）には、指示レコードの内容が表示される。

図１６に示すように、委託対象の顧客テナントＩＤ２４０１には所有者１１０３（ＡＢＣ＿ＪＰ）が表示される。委託元のＳＰテナントＩＤ２４０２には指示者１１０２（ＳＰ＿ＵＳ）が表示される。委託されるサービス２４０４には対象権限１１０５（デバイス管理、集計・レポート作成）が表示される。そして、チェックボックス２４１０では、指示者テナント（ＳＰ＿ＵＳ）を信頼し、今後のサービス委託も承認するかどうかが指定される。信頼が設定された場合には、テナント間の信頼・委任関係管理テーブル４０３４に信頼関係情報が追加される。ユーザｋａｔｏが、Ｗｅｂブラウザ３０１を使用してシステム外で通知されたパスフレーズをパスフレーズ２４０３に入力し、承認ボタン２４１１を押下する（Ｓ３３０４）。

パスフレーズが入力されて、承認ボタンが押下されると、Ｗｅｂブラウザ３０１より承認リクエストが管理サーバ１０３に送信され、アクセス許可管理部４０３にリクエストが渡され、処理はＳ３３０５に進む。Ｓ３３０５では、アクセス許可管理部４０３は、入力パスフレーズが指示レコード１１１１のパスフレーズ１１０６と一致するかを確認する。一致しない場合にはエラーとして処理を終了する。一致する場合には、Ｓ３３０６へ進む。

Ｓ３３０６では、アクセス許可管理部４０３は、委託・委譲指示チケット管理テーブル４０３３のレコード１１１１の「利用者―指示者間の信頼関係」１１０９をＯＫに変更する。続いて、Ｓ３３０７において、アクセス許可管理部４０３は、チェックボックス２４１０において信頼関係追加が選択されたかを判定する。信頼関係追加が選択されていた場合には、Ｓ３３０８に進み、テナント間の信頼・委任関係管理テーブル４０３４に「利用者」が「指示者」を信頼することを示すレコードを追加する。ここでは、主体１２０１にＳＰ＿ＪＰが設定され、対象にＳＰ＿ＵＳが設定されたレコードが追加される。

Ｓ３３０９では、アクセス許可管理部４０３は、所有者―指示者間の信頼・委任関係」１１０７、「所有者―利用者間の信頼・委任関係」１１０８、「利用者―指示者間の信頼関係」１１０９にＯＫが設定されているかを判定する。すべてがＯＫの場合には、アクセス権限に委託条件が満足されたと判定し、Ｓ３３１０へ進み委託処理の実行を行う。いずれかにＮＧがある場合には、アクセス権限に委託条件が満足されていないため、委託処理は実行せずに終了する。本フローでは、「利用者―指示者間の信頼関係」１１０９にＯＫが設定されているが、それ以外はＮＧが設定されているため、委託処理は実行されない。Ｓ３３１０では、アクセス許可管理部４０３は、アクセス権限管理テーブル４０３１に委託指示に基づいて、許可権限レコードを追加する。

続いて、顧客テナントＡＢＣ＿ＪＰのユーザｓｕｚｕｋｉが、Ｓ７のＳＰ＿ＪＰへアクセス権限の委譲を承認する際に管理サーバ１０３が行う処理について説明する。顧客テナントＡＢＣ＿ＪＰのユーザｓｕｚｕｋｉがホストコンピュータ２から管理サーバ１０３にアクセスし、ログインすると、顧客用ホームページ画面２０００（図１０（Ｂ））が表示される。

ＡＢＣ＿ＪＰのユーザｓｕｚｕｋｉが、サービスの確認２００３を選択すると、選択されたメニュー情報とユーザの所属する顧客テナントＩＤを含む画面遷移リクエストが管理サーバ１０３に送信される。管理サーバ１０３は、セッション情報に画面遷移リクエスト情報を設定したのち、デバイス管理サービスに画面遷移リクエストを送信し、デバイス管理サービス部４０４は、図２４に示す委譲指示承認処理を実行する。

まずＳ３４０１で、アクセス許可管理部４０３は、委託・委譲指示チケットテーブルから該当顧客のレコード１１１１を取得する。続いて、Ｓ３４０２では、指示レコードが存在しかつ「所有者―指示者間の信頼・委任関係」、「所有者―利用者間の信頼・委任関係」のいずれかがＮＧであるかを判定する。ＮＯの場合には、新たな委譲指示はないので処理を終了する。ＹＥＳの場合には、Ｓ３４０３に進む。本フローでは、「利用者―指示者間の信頼関係」１１０９にＯＫが設定されているが、それ以外はＮＧが設定されているため、処理はＳ３４０３に進む。Ｓ３４０３では、アクセス許可管理部４０３は、委譲画面としてアクセス許可の承認画面３５００（図１３（Ｂ））のＨＴＭＬを作成し、Ｗｅｂブラウザ３０１に送信して表示させる。

アクセス許可の承認画面３５００は、指示レコードの内容を表示している。アクセス許可指示テナント３５０１には指示者１１０２、アクセス許可するテナント３５０２には利用者１１０４、アクセス許可サービスおよびデータ３５０３には対象権限１１０５を表示する。Ｗｅｂブラウザ３０１において「アクセスを許可する」ボタン３５１１をＡＢＣ＿ＪＰのユーザｓｕｚｕｋｉが押下することにより、顧客による委譲指示承認処理のリクエストがＷｅｂブラウザより管理サーバ１０３に送信される（Ｓ３４０４）。

続いてＳ３４０５で、アクセス許可管理部４０３は、委託・委譲指示チケット管理テーブル４０３３の該当行の「所有者―指示者間の信頼・委任関係」１１０７、「所有者―利用者間の信頼・委任関係」１１０８をＯＫに変更する。Ｓ３４０６では、アクセス許可管理部４０３は、テナント間の信頼・委任関係管理テーブル４０３４に「所有者」ＡＢＣ＿ＪＰが「利用者」ＳＰ＿ＪＰと「指示者」ＳＰ＿ＵＳを信頼することを示すレコードを追加する。

Ｓ３４０７では、所有者―指示者間の信頼・委任関係」１１０７、「所有者―利用者間の信頼・委任関係」１１０８、「利用者―指示者間の信頼関係」１１０９にＯＫが設定されているかを判定する。すべてがＯＫの場合には、アクセス権限に委譲条件が満足されたと判定し、Ｓ３４０８へ進みアクセス権限の委譲処理の実行を行う。いずれかにＮＧがある場合には、アクセス権限に委譲条件が満足されていないため、委譲処理は実行せずに終了する。本フローでは、アクセス許可管理部４０３は、委譲条件が満足されているため、Ｓ３４０８で、アクセス権限管理テーブル４０３１に委譲指示に基づいて、図５（Ａ）に示す許可権限レコード９１３を追加する。

次に、図２５および図２６を用いて、管理サーバ１０３が行う委譲判定処理の流れを説明する。管理サーバ１０３は、図１７（Ｂ）のＳ８において、ユーザｔｏｎｙが権限委譲実行を指示した場合に、以下に説明する委譲判定処理を実行する。Ｓ２９０１でアクセス許可管理部４０３における委譲判定処理を開始する。委譲判定処理は、委託・委譲指示チケット管理テーブル４０３３の該当レコードとその他のテーブルを参照しながらアクセス許可管理部４０３が実行する。

図６（Ａ）のレコード１１１１の指示チケットを用いて処理を説明する。Ｓ２９０２において、アクセス許可管理部４０３は、「利用者」テナント１１０４（ＳＰ＿ＪＰ）が「指示者」テナント１１０２（ＳＰ＿ＵＳ）を信頼できるかを判定する。信頼・委任関係の判定処理は、図２６（Ａ）または図２６（Ｂ）に示すフローチャートのいずれかに基づいて実行する。どれを使用するかは、主体のテナントと対象のテナントのテナント種別５０２により選択する。今回の例では主体である利用者テナントがＳＰ＿ＪＰであり、そのテナント種別は「サービスプロバイダ」である。対象である指示者テナントがＳＰ＿ＵＳでありそのテナント種別は「サービスプロバイダ」である。このため、図２６（Ａ）を用いて判定する。

図２６（Ａ）のアクセス許可管理部４０３におけるサービスプロバイダ間の信頼関係の判定処理について説明する。Ｓ２８２１で、アクセス許可管理部４０３は、サービスプロバイダ間の信頼関係の判定処理を開始する。主体ＳＰ ＡをＳＰ＿ＪＰ、対象ＳＰ ＢをＳＰ＿ＵＳとして説明する。Ｓ２８２２で、ＳＰ＿ＪＰからＳＰ＿ＵＳへ直接信頼関係を構築済みであるかを判定する。この判定は、テナント間の信頼・委任関係管理テーブル４０３４を参照し、主体１２０１がＳＰ＿ＪＰで、対象１２０３がＳＰ＿ＵＳである行が存在する場合には、Ｓ２８２３に進み信頼関係あり判定する。本フローでは、アクセス許可管理部４０３は、図２３のＳ３３０８において「利用者」が「指示者」を信頼することを示すレコードを追加している。従って、Ｓ２８２２で信頼関係があると判定し、処理はＳ２８２３に進む。信頼関係がない場合、処理はＳ２８２４に進み、アクセス許可管理部４０３は、ＳＰ Ｂが、ＳＰテナント階層において、ＳＰ Ａの上にあり、かつ同じグループであるかを判定する。

この判定では、テナント階層管理テーブル４０２３を参照し、上位テナント７０１をＳＰ Ｂから下位テナント７０２をたどっていいき、ＳＰ Ａに到達するパスがあるかを判定する。また、アクセス許可管理部４０３は、テナントグループ管理テーブル４０２４を参照し、ＳＰ ＡとＳＰ Ｂの所属グループ８０２が存在し、同じである場合には、同じグループであると判定する。これら判定結果がＹＥＳであれば、処理はＳ２８２３に進み信頼関係あり判定する。ＮＯであればＳ２８２５に進む。

Ｓ２８２５では、ＳＰ Ａにとってテナントの階層が上位でありかつ同じグループのＳＰテナントがＳＰ Ｂと直接信頼関係を構築済みであるかを判定し、ＹＥＳであれば、Ｓ２８２３に進み信頼関係あり判定する。ＮＯであればＳ２８２６へ進み信頼関係なしと判定する。

図２５に戻り、Ｓ２９０２でアクセス許可管理部４０３は、「利用者」テナント１１０４が「指示者」テナント１１０２を信頼できると判定した場合には、Ｓ２９０３へ進む。本フローでは、アクセス許可管理部４０３は信頼関係できると判定し、Ｓ２９０３に進み、「利用者―指示者間の信頼関係」１１０７にＯＫを設定する。

「指示者」テナント１１０２を信頼できない場合、処理はＳ２９０４に進む。Ｓ２９０４では、委譲指示を仲介する「仲介者」テナント（委託仲介先テナント１１１０）が存在しており、「利用者」は「仲介者」を信頼、かつ「仲介者」は「指示者」を信頼できるかを判定する。判定がＹＥＳであれば、Ｓ２９０３に進み、ＮＯであれば、Ｓ２９０５へ進む。Ｓ２９０５では、「利用者―指示者間の信頼関係」１１０９にＮＧを設定する。

続いて、Ｓ２９０６では、アクセス許可管理部４０３は、「所有者」テナントが、「指示者」を信頼または委任しているかを判定する。本フローでは、「所有者」テナントＡＢＣ＿ＪＰのテナント種別が顧客であり、指示者テナントＳＰ＿ＵＳの種別がサービスプロバイダであるため、図２６（Ｂ）の信頼判定フローにより判定する。

図２６（Ｂ）のアクセス許可管理部４０３における顧客―サービスプロバイダ間の信頼判定フローを説明する。Ｓ２８１１において、アクセス許可管理部４０３は信頼判定処理を開始する。主体について顧客ＡをＡＢＣ＿ＪＰとし、対象についてＳＰ ＢをＳＰ＿ＵＳとして説明する。Ｓ２８１２では、ＡＢＣ＿ＪＰがＳＰ＿ＵＳに対して、直接委任関係を構築済みであるかを判定する。アクセス許可管理部４０３は、テナント間の信頼・委任関係管理テーブル４０３４において、顧客ＡとＳＰ Ｂの関係（信頼／委任１２０２）が「委任」であるかを判定する。「委任」であった場合には、Ｓ２８１３に進み委任関係であると判定する。本フローでは、図２１のＳ３１０４でＡＢＣ＿ＪＰのユーザｓｕｚｕｋｉは図１３（Ａ）に示すチェックボタンで委任を選択している。そして、Ｓ３１０８で、アクセス許可管理部４０３は、図６（Ｂ）の主体１２０１には操作しているユーザの所属する顧客テナントＩＤ（ＡＢＣ＿ＪＰ）を設定している。また、アクセス許可管理部４０３は、対象１２０３には、許可依頼・利用者テナント１００２に指定されたＳＰテナントＩＤ（ＳＰ＿ＵＳ）を設定している。従って、アクセス許可管理部４０３は直接委任関係を構築していると判定し、処理はＳ２８１３に進む。

直接委任関係を構築していない場合、処理はＳ２８１４に進み、アクセス許可管理部４０３は、直接信頼関係を構築済みであるかを判定する。例えば、顧客テナントが委譲指示者であるサービスプロバイダを委任していない場合、顧客による委譲指示承認処理が必要となり、図２４に示す処理が行われる。図２４の示す処理フローでは、Ｓ３４０５で、アクセス許可管理部４０３は、委託・委譲指示チケット管理テーブル４０３３の該当行の「所有者―指示者間の信頼・委任関係」１１０７、「所有者―利用者間の信頼・委任関係」１１０８をＯＫに変更する。この場合、テナント間の信頼・委任関係管理テーブル４０３４の信頼／委任１２０２が「信頼」を示し、処理はＳ２８１５に進み、信頼関係構築済みと判定する。その他の場合には、処理はＳ２８１６に進む。Ｓ２８１６では、顧客Ａの顧客階層で上の顧客がＳＰ Ｂと直接信頼関係を構築済みであるかを判定する。ＹＥＳである場合には、Ｓ２８１５に進み信頼関係ありと判定する。ＮＯである場合には、Ｓ２８１７に進み信頼関係なしと判定する。

図２５のＳ２９０６に戻り、アクセス許可管理部４０３は、「所有者」テナント（ＡＢＣ＿ＪＰ）が、「指示者」（ＳＰ＿ＵＳ）を委任していると判定し、処理はＳ２９０７へ進む。そして、アクセス許可管理部４０３は、「所有者―指示者間の信頼・委任関係」１１０７、「所有者―利用者間の信頼・委任関係」１１０８をＯＫに設定し、Ｓ２９１３に進む。なお、信頼していると判定した場合にはＳ２９０８へ進み、「所有者―指示者間の信頼・委任関係」１１０７のみにＯＫが設定され、Ｓ２９１０へ進む。すなわち、アクセス許可管理部４０３が委任していると判定した場合には、Ｓ２９１０における「所有者」は「利用者」を信頼できるかの判定処理を省略することができる。信頼も委任もしていないと判定場合には、処理はＳ２９０９へ進み、「所有者―指示者間の信頼・委任関係」１１０７にＮＧを設定し、Ｓ２９１０に進む。

処理がＳ２９１０に進んだ場合、アクセス許可管理部４０３は、「所有者」は「利用者」を信頼できるかを判定する。例えば、Ｓ２９０６において委任と判定されなかった場合、所有者テナントＡＢＣ＿ＪＰが顧客テナントで、利用者テナントＳＰ＿ＪＰがＳＰテナントであるので、図２６（Ｂ）の判定方法で信頼関係を判定する。アクセス許可管理部４０３は、図６（Ｂ）に示す信頼関係・委任関係管理テーブル４０３４を確認し、ＡＢＣ＿ＪＰは、ＳＰ＿ＪＰと信頼関係があるか判定する。信頼関係がある場合、処理はＳ２９１１に進み、アクセス許可管理部４０３は「所有者―利用者間の信頼・委任関係」１１０８にＯＫを設定する。信頼関係がないと判定された場合には、Ｓ２９１２に進み「所有者―利用者間の信頼・委任関係」１１０８にＮＧを設定する。

Ｓ２９１３では、所有者―指示者間の信頼・委任関係」１１０７、「所有者―利用者間の信頼・委任関係」１１０８、「利用者―指示者間の信頼関係」１１０９にＯＫが設定されているかを判定する。すべてがＯＫの場合には、アクセス権限に委譲条件が満足されたと判定し、Ｓ２９１４へ進みアクセス権限の委譲処理の実行を行う。本フローでは、アクセス許可管理部４０３は、委譲条件が満足されたと判断する。いずれかにＮＧがある場合には、アクセス権限に委譲条件が満足されていないため、委譲処理は実行せずに終了する。Ｓ２９１４では、アクセス許可管理部４０３は、所有者テナント９０１にはＡＢＣ＿ＪＰ、利用者テナント９０２にはＳＰ＿ＪＰ、許可権限９０３には、「デバイス管理権限」、「集計・レポート作成権限」を設定する。

以上、本発明の管理装置によれば、サービスプロバイダが顧客テナントへのサービス提供を他のサービスプロバイダに委託し、顧客テナントが他のサービスプロバイダに対し顧客データへのアクセス権を安全に委譲することが可能となる。

＜実施例２＞
続いて２つ目のユースケースを例にアクセス許可およびサービス委託を実現するフローを説明する。ＳＰテナントのＳＰ＿ＵＳが顧客ＡＢＣ＿Ｃｏｒｐグループとデバイス管理サービスの契約を行った。ＳＰ＿ＵＳは、ＡＢＣ＿Ｃｏｒｐグループ全体の統合レポートを作成し、ＡＢＣ＿Ｃｏｒｐに提供する必要がある。ＡＢＣ＿Ｃｏｒｐの配下にはＡＢＣ＿ＡＳがあるが、ＳＰテナントＳＰ＿ＡＳがすでにサービス提供中である。このＡＢＣ＿ＡＳをＡＢＣ＿Ｃｏｒｐの配下に追加しＳＰ＿ＵＳで統合レポート作成のサービスを提供したい。

図１８（Ａ）は、ＳＰテナントのＳＰ＿ＡＳが、ＳＰテナントのＳＰ＿ＵＳへ顧客テナントＡＢＣ＿ＡＳのサービス委託を行い、アクセス許可を得るまでのフローを示した図である。符号１４０１がＳＰテナントのＳＰ＿ＵＳ、符号１４０３がＳＰテナントのＳＰ＿ＡＳ、符号１４１０が顧客テナントＡＢＣ＿Ｃｏｒｐ、符号１４１３が顧客テナントＡＢＣ＿ＡＳを示している。

図１８（Ａ）では、ＡＢＣ＿Ｃｏｒｐテナントを作成しＳＰ＿ＵＳがデバイス管理サービスに登録しアクセス許可を得るまで、ＳＰ＿ＡＳがＡＢＣ＿ＡＳを作成しデバイス管理サービスに登録しアクセス許可を得るまでのフローは省略している。Ｓ１１より前のフローは、図１７（Ａ）を用いて説明したフローと同様である。

まず、ＳＰ＿ＡＳのユーザが、Ｓ１１−１で顧客テナントＡＢＣ＿ＡＳのサービス提供をＳＰテナントのＳＰ＿ＵＳに委託操作を行うと、同時にＳ１１−２では、ＡＢＣ＿ＡＳに対しＳＰ＿ＵＳへのアクセス権限の委譲指示が出される。なお、ＳＰ＿ＡＳが委託・委譲指示を出す際には、図６（Ａ）に示す委託・委譲指示チケット管理テーブル４０３３のレコード１１１４が使用される。つまり、対象権限は、デバイス管理、集計・レポート作成、統合レポート作成である。次に、Ｓ１２で、ＳＰテナントＳＰ＿ＵＳのユーザが、委託承認操作を行う。続いて、Ｓ１３で、顧客テナントＡＢＣ＿ＡＳのユーザが、ＳＰ＿ＵＳへのアクセス権限委譲の承認を行う。これらの結果をうけて、Ｓ１４でアクセス権限の委譲条件を満たすとアクセス権限委譲実行指示が出され、Ｓ１５でＡＢＣ＿ＡＳからＳＰ＿ＵＳへアクセス権限の委譲処理が実行される。

Ｓ１１における委託操作は、図１７（Ｂ）のＳ５−２の処理とほぼ同様であるが以下で異なる。図１５に示すサービス委託の設定画面２３００の委託するサービス２３０５において、ＳＰ＿ＡＳのユーザは、デバイス管理、集計・レポート作成に加えて統合レポート作成を選択する。つまり、ＳＰ＿ＵＳにたいして、ＡＢＣ＿ＡＳに対する統合レポート作成権限のサービスを委託させるように指示するところが異なる。Ｓ１２の委託承認操作は、図１７（Ｂ）のＳ６の処理と同様である。Ｓ１３のＳＰ＿ＵＳへのアクセス権限委譲の承認については、ＡＢＣ＿ＡＳのユーザ操作は不要となる。これは、顧客テナントＡＢＣ＿ＡＳがＳＰ＿ＡＳを信頼しており、所有者―指示者間の信頼・委任関係１１０７がＯＫとなる。さらにＡＢＣ＿ＡＳの顧客階層の上位のＡＢＣ＿ＣｏｒｐがＳＰ＿ＵＳに直接信頼関係を構築しているため、図２６（Ｂ）の信頼関係の判定におけるＳ２８１６でＹＥＳと判定され、ＡＢＣ＿ＡＳはＳＰ＿ＵＳと信頼関係ありと判定される。このため、所有者―利用者間の信頼・委任関係１１０８もＯＫと判定される。よって、ＳＰ＿ＵＳのユーザによりＳ１２で委託承認操作が行われるとアクセス権限の委譲条件を満足するため、Ｓ１４、Ｓ１５のアクセス権限の委譲処理が実行される。

＜実施例３＞
続いて、３つ目のユースケースを例に仲介者を介した含むサービス委託を実現するフローを説明する。ＳＰテナントのＳＰ＿ＵＳが顧客ＡＢＣ＿Ｃｏｒｐグループとデバイス管理サービスの契約を行った。ＳＰ＿ＵＳは、ＡＢＣ＿Ｃｏｒｐグループ全体の統合レポートを作成し、ＡＢＣ＿Ｃｏｒｐに提供する必要がある。ＡＢＣ＿Ｃｏｒｐの配下にはＡＢＣ＿Ｌｏｎｄｏｎがあるが、ＳＰ＿ＵＳは直接サービスを提供できない。ＳＰ＿ＵＳはサービス委託を行いたいが、ＡＢＣ＿Ｌｏｎｄｏｎにサービス提供可能なサービスプロバイダを知らない。このため、ＳＰ＿ＵＳは、サービスプロバイダを特定されない場合に第３のサービス提供装置であるＳＰ＿ＵＫにサービス委託の仲介指示を出し、ＳＰ＿ＵＫは配下のＳＰ＿ＬｏｎｄｏｎにＡＢＣ＿Ｌｏｎｄｏｎのサービス提供を委託したい。

図１８（Ｂ）は、ＳＰテナントＳＰ＿ＵＳが、ＳＰテナントＳＰ＿ＵＫへ顧客テナントＡＢＣ＿Ｌｏｎｄｏｎのサービス委託の仲介を依頼し、ＳＰ＿ＬｏｎｄｏｎがＡＢＣ＿Ｌｏｎｄｏｎよりアクセス許可を得るまでのフローを示した図である。図１８（Ａ）同様に、ＡＢＣ＿Ｌｏｎｄｏｎのテナント作成し、ＡＢＣ＿ＬｏｎｄｏｎからＳＰ＿ＵＳへのアクセス許可処理は省略している。

まず、Ｓ２１で、ＳＰ＿ＵＳのユーザｔｏｎｙがＳＰ＿ＵＫに対し、顧客テナントＡＢＣ＿Ｌｏｎｄｏｎのサービス委託の仲介依頼操作を行う。サービス委託の仲介操作は、図１４（Ａ）に示すサービス委託の管理画面で、「サービス委託仲介の追加」ボタン２２１８を押下することで開始される。サービス委託仲介の設定画面は、図１５のサービス委託の設定画面２３００と同様であるが以下の点でことなる。つまり、委託先のサービスプロバイダテナント情報に変えて、サービス委託仲介先のサービスプロバイダテナント情報を入力する画面が表示される。ここでは、ＳＰ＿ＵＳのユーザは、委託対象の顧客テナントＩＤ２３０１にＡＢＣ＿Ｌｏｎｄｏｎを指定し、委託仲介先のサービスプロバイダ情報にＳＰ＿ＵＫの情報を入力する。そして、ＳＰ＿ＵＳのユーザは、委託するサービス情報を設定し、設定ボタンを押下する。すると、委託・委譲指示チケット管理テーブルに指示レコード１１１３が追加される。指示者１１０２にはＳＰ＿ＵＳ、所有者１１０３にはＡＢＣ＿Ｌｏｎｄｏｎ、利用者１１０４には空が設定される。また、委託仲介先テナント１１０７にはＳＰ＿ＵＫが設定される。

ＳＰ＿ＵＫのユーザがサービス委託の管理画面を表示した場合には、顧客リストが図１４（Ｂ）の下部に、行２２４２が表示される。委託・委譲指示チケット管理テーブル４０３３の委託仲介先テナント１１０７にログインユーザの所属するテナントが存在する場合には、委託されているサービス２２２５に委託仲介を依頼されていることを表示される。また、承認ボタン２２２８を押下すると、図１６のサービス委託の承認画面２４００に遷移し、ＳＰ＿ＵＳよりシステム外で通知されたパスフレーズを入力することにより、Ｓ２２のサービス委託の仲介依頼を承認することができる。

次に、Ｓ２３で、ＳＰ＿ＵＫのユーザがＳＰ＿Ｌｏｎｄｏｎへサービス委託を行う。ＳＰ＿ＵＫによるＳＰ＿Ｌｏｎｄｏｎへの委託操作は、通常のサービス委託同様に、サービス委託の管理画面２２００のサービス委託の追加ボタン２２１７から遷移したサービス委託の設定画面２３００で行われる。ＳＰ＿ＵＫのユーザは、委託対象の顧客テナントＩＤ２３０１にＡＢＣ＿Ｌｏｎｄｏｎを指定し、委託先のサービスプロバイダテナントＩＤ２３０２にＳＰ＿Ｌｏｎｄｏｎを指定する。また、パスフレーズ２３０４にＳＰ＿ＵＳよりシステム外で通知されたパスフレーズを入力する。設定ボタン２３０６を押下すると、委託・委譲指示チケット管理テーブル４０３３の該当行の利用者１１０４に委託先のサービスプロバイダテナントＩＤ２３０２に指定されたＳＰ＿Ｌｏｎｄｏｎが設定される。この結果、行１１１３のように設定される。ここまでで、図２２に示す委託指示処理のＳ３２０４までが実行されたのと同様の状態となる。

続いて、Ｓ２４でＳＰ＿Ｌｏｎｄｏｎのユーザが委託を承認する。委託指示承認処理は、図２３に示したフローチャートと同様である。Ｓ２５で、ＳＰ＿ＵＳのユーザが、ＳＰ＿Ｌｏｎｄｏｎのユーザが委託を承認したことに起因して、ＡＢＣ＿ＬｏｎｄｏｎへＳＰ＿Ｌｏｎｄｏｎへのアクセス権限の委譲指示を出す。委譲指示承認処理は、図２４に示したフローチャートと同様である。

概念図を用いて、委託仲介を含む委譲判定条件について説明する。図２０（Ａ）は、サービス委託指示、仲介依頼、権限委譲の指示の概念を示している。符号２６０１は指示者テナントを指し、顧客テナントへのサービス委託の仲介を指示（２６４２）したテナントを示す。実施例３では、ＳＰテナントのＳＰ＿ＵＳにあたる。符号２６０２は所有者テナントを指し、データの所有者であるテナントを示す。そして、指示者テナント２６０１からの委譲指示をうけて、データへのアクセス権限を利用者テナント２６０３に委譲しようとするテナントである。実施例３では、顧客テナントのＡＢＣ＿Ｌｏｎｄｏｎにあたる。

符号２６０４は仲介者テナントを指し、指示者テナント２６０１からサービス委託仲介依頼指示（２６４２）を受けて利用者テナントをサービス委託先として指定しようとするテナントである。２６０３は利用者テナントであり、仲介者テナント２６０４からサービス委託指示を受けて所有者テナントへサービスを提供しようとするテナントである。

利用者テナント２６０３は、指示者テナント２６０１からは直接指示を受けていない。しかし利用者テナント２６０３は、仲介者テナント２６０４より所有者テナント２６０２へのサービス提供を請け負う（委託される）ことになるため、仲介者テナント２６０４を信頼できなければ、請け負うことができない。また、仲介者テナント２６０４は、所有者テナント２６０２へのサービス提供は実施しないが、利用者テナント２６０３へ委託を行うことになるため、指示者テナント２６０１を信頼できなければ、仲介することができない。

上記の委譲判定条件を図２０（Ｂ）に示す。図示した４つの信頼関係２６５１、２６５２、２６５３，２６５４が成立した場合に、指示者テナント２６０１、および仲介者テナントが指示した権限委譲を実行する。符号２６５１が示すように、所有者テナント２６０２が指示者テナント２６０１を信頼もしくは委任している。符号２６５２が示すように、所有者テナント２６０２が利用者テナント２６０３を信頼している（所有者テナントが指示者テナントに委任している場合は省略可）。符号２６５４が示すように、利用者テナント２６０３が仲介者テナント２６０４を信頼している。符号２６５３が示すように、仲介者テナント２６０４が指示者テナント２６０１を信頼している。

実施例３では、符号２６５１が示す信頼関係は、アクセス許可の承認実行時にＡＢＣ＿ＬｏｎｄｏｎとＳＰ＿ＵＳの信頼関係が構築されるため、信頼関係ありと判定される。所有者―指示者間の信頼・委任関係１１０７はＯＫに設定される。符号２６５２が示す信頼関係はないため、所有者―利用者間の信頼・委任関係１１０８はＮＧに設定される。つまり、顧客による委譲承認操作が必要となるため図２４に示す処理が行われる。符号２６５４が示す信頼関係は、ＳＰ＿ＵＫがＳＰ＿ＬｏｎｄｏｎのＳＰテナント階層の上位にあり、同じグループであるので信頼関係ありと判定される。符号２６５３が示す信頼関係では、サービス委託の仲介の承認操作が必要となり、Ｓ２２で仲介承認処理が行われる。Ｓ２２の仲介承認処理が行われると符号２６５３が示す信頼関係が満足されるため、利用者―指示者間の信頼関係１１０９はＯＫが設定される。

続いて、顧客テナントＡＢＣ＿Ｌｏｎｄｏｎのユーザが、Ｓ２６でＳＰ＿Ｌｏｎｄｏｎへのアクセス権限委譲の承認を行う。操作方法については図１７（Ｂ）のＳ８の処理と同様であるため省略する。これらの結果を受けて、アクセス権限の委譲条件を満たすとＳ２７でアクセス権限委譲実行指示が出され、Ｓ２８でＡＢＣ＿ＬｏｎｄｏｎからＳＰ＿Ｌｏｎｄｏｎへアクセス権限の委譲処理が実行される。

以上の処理により、本発明の管理装置によれば、サービスプロバイダがサービス委託先の他のサービスプロバイダをしならない場合であっても、仲介先プロバイダを介して、顧客へのサービス提供を安全に委託することが可能となる。

（その他の実施例）
また、本発明は、以下の処理を実行することによっても実現される。即ち、上述した実施形態の機能を実現するソフトウェア（コンピュータプログラム）を、ネットワーク又は各種記憶媒体を介してシステム或いは装置に供給する。そして、そのシステム或いは装置のコンピュータ（またはＣＰＵやＭＰＵ等）がプログラムを読み出して実行する処理である。この場合、そのプログラム、及び該プログラムを記憶した記憶媒体は本発明を構成することになる。

１０１，１０２ ホストコンピュータ
１０３ 管理サーバ

Claims (9)

1. 保持装置と、リソースを利用したサービスを前記保持装置に提供するサービス提供装置と通信可能であり、前記サービス提供装置に関する前記リソースへのアクセス権を管理する管理装置であって、
   前記サービス提供装置間の信頼関係情報、および、前記保持装置と前記サービス提供装置との間の信頼関係情報を管理する管理手段と、
   第１のサービス提供装置が有する前記リソースへのアクセス権を第２のサービス提供装置へ委譲する設定を行う設定手段と、を備え、
   前記設定手段は、前記信頼関係情報に基づいて、
   前記第２のサービス提供装置が前記第１のサービス提供装置を信頼しており、
   前記保持装置が前記第１のサービス提供装置を信頼しており、かつ、
   前記保持装置が前記第２のサービス提供装置を信頼していると判断した場合に、前記アクセス権の委譲を設定する
   ことを特徴とする管理装置。
2. 前記信頼関係情報は、装置間の信頼関係または委任関係を示す情報を含み、
   前記信頼関係情報が、前記第１のサービス提供装置が前記保持装置へのサービス提供を前記第２のサービス提供装置に委託する時の前記アクセス権の委譲を、前記保持装置が前記第１のサービス提供装置に委任することを示す場合に、
   前記設定手段は、前記保持装置が前記第２のサービス提供装置を信頼していることを判断することなく前記アクセス権の委譲を設定する
   ことを特徴とする請求項１に記載の管理装置。
3. 前記第１のサービス提供装置が行うサービス提供を第２のサービス提供装置に委託させる委託画面を前記第２のサービス提供装置に送信し、前記第２のサービス提供装置から前記リソースへのアクセス権を前記保持装置に委譲させる委譲画面を送信する送信手段をさらに備え、
   前記設定手段は、
   前記委託画面を介して前記第２のサービス提供装置が委託を承認した場合に、前記第２のサービス提供装置が前記第１のサービス提供装置を信頼していると判断し、
   前記委譲画面を介して前記保持装置が委譲を承認した場合に、前記保持装置が前記第２のサービス提供装置を信頼していると判断する
   ことを特徴とする請求項１または請求項２に記載の管理装置。
4. 前記管理手段は、前記保持装置間の階層構造および前記サービス提供装置間の階層構造を示す階層構造情報をさらに管理し、
   前記設定手段は、前記委託画面を介して前記第２のサービス提供装置が委託を承認した場合、または前記第１のサービス提供装置が前記第２のサービス提供装置の上位階層に位置する場合に、前記第２のサービス提供装置が前記第１のサービス提供装置を信頼していると判断する
   ことを特徴とする請求項１乃至３のいずれか一項に記載の管理装置。
5. 前記設定手段は、前記委譲画面を介して、前記保持装置がさらに前記第１のサービス提供装置を委任した場合に、前記保持装置が前記第２のサービス提供装置を信頼していることを判断することなく前記アクセス権の委譲を設定し、
   前記委譲画面を介して前記保持装置が委譲を承認した場合、または前記保持装置の上位階層に位置する保持装置が存在する場合であって、該上位の保持装置が前記第１のサービス提供装置を信頼していることが前記信頼関係情報に含まれている場合に、前記保持装置は前記第１のサービス提供装置を信頼していると判断する
   ことを特徴とする請求項４に記載の管理装置。
6. 保持装置と、リソースを利用したサービスを前記保持装置に提供するサービス提供装置と通信可能であり、前記サービス提供装置に関する前記リソースへのアクセス権を管理する管理装置とを備える管理システムであって、
   前記管理装置は、
   前記保持装置および前記サービス提供装置から信頼関係情報を取得し、前記サービス提供装置間の信頼関係情報、および、前記保持装置と前記サービス提供装置間との間の信頼関係情報を管理する管理手段と、
   第１のサービス提供装置が有する前記保持装置へのアクセス権の第２のサービス提供装置へ委譲する設定を行う設定手段と、を備え、
   前記第１のサービス提供装置は、
   前記第１のサービス提供装置が行うサービス提供を前記第２のサービス提供装置に委託させる委託指示手段と、
   前記アクセス権を前記保持装置に委譲させる委譲指示手段とを備え、
   前記管理装置が備える設定手段は、前記取得した信頼関係情報に基づいて、
   前記第２のサービス提供装置が前記第１のサービス提供装置を信頼しており、
   前記保持装置が前記第１のサービス提供装置を信頼しており、
   前記保持装置が前記第２のサービス提供装置を信頼していると判断した場合に、前記アクセス権の委譲を設定する
   ことを特徴とする管理システム。
7. 前記第１のサービス提供装置は、前記第２のサービス提供装置が特定されない場合に第３のサービス提供装置に対して前記第１のサービス提供装置が行うサービス提供の委託を仲介するように指示する仲介指示手段をさらに備え、
   前記委譲指示手段は、前記第２のサービス提供装置が前記仲介指示に基づいて前記委託を承認したことに起因して、前記保持装置に対し委譲指示を行い、
   前記設定手段は、前記保持装置が前記委譲指示を承認した場合に前記アクセス権の委譲を設定する
   ことを特徴とする請求項６に記載の管理システム。
8. 保持装置と、リソースを利用したサービスを前記保持装置に提供するサービス提供装置と通信可能であり、前記サービス提供装置に関する前記リソースへのアクセス権を管理する管理装置の制御方法であって、
   前記サービス提供装置間の信頼関係情報、および、前記保持装置と前記サービス提供装置との間の信頼関係情報を管理する管理工程と、
   第１のサービス提供装置が有する前記リソースへのアクセス権の第２のサービス提供装置へ委譲する設定を行う設定工程と、を含み、
   前記設定工程では、前記信頼関係情報に基づいて、
   前記第２のサービス提供装置が前記第１のサービス提供装置を信頼しており、
   前記保持装置が前記第１のサービス提供装置を信頼しており、かつ、
   前記保持装置が前記第２のサービス提供装置を信頼していると判断された場合に、前記アクセス権の委譲が設定される。
9. 請求項８に記載の制御方法をコンピュータにより実行させることを特徴とするコンピュータプログラム。

Images