JP3546787B2 - アクセス制御システム、アクセス制御方法、及び記憶媒体 - Google Patents
アクセス制御システム、アクセス制御方法、及び記憶媒体 Download PDFInfo
- Publication number
- JP3546787B2 JP3546787B2 JP35817899A JP35817899A JP3546787B2 JP 3546787 B2 JP3546787 B2 JP 3546787B2 JP 35817899 A JP35817899 A JP 35817899A JP 35817899 A JP35817899 A JP 35817899A JP 3546787 B2 JP3546787 B2 JP 3546787B2
- Authority
- JP
- Japan
- Prior art keywords
- condition
- access
- access request
- policy
- policy description
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Expired - Fee Related
Links
- 238000000034 method Methods 0.000 title claims description 128
- 230000008569 process Effects 0.000 claims description 110
- 238000011156 evaluation Methods 0.000 claims description 105
- 238000012795 verification Methods 0.000 claims description 40
- 238000012545 processing Methods 0.000 claims description 36
- 230000008859 change Effects 0.000 claims description 15
- 238000006243 chemical reaction Methods 0.000 claims description 15
- 230000004044 response Effects 0.000 claims description 11
- 238000001514 detection method Methods 0.000 claims description 3
- 239000000284 extract Substances 0.000 claims 1
- 230000006870 function Effects 0.000 description 58
- 238000013523 data management Methods 0.000 description 15
- 238000010586 diagram Methods 0.000 description 14
- 230000008520 organization Effects 0.000 description 5
- 101150034273 SYS1 gene Proteins 0.000 description 2
- 230000005540 biological transmission Effects 0.000 description 2
- 238000004891 communication Methods 0.000 description 2
- 238000005516 engineering process Methods 0.000 description 2
- 230000007246 mechanism Effects 0.000 description 2
- 238000013475 authorization Methods 0.000 description 1
- 230000000694 effects Effects 0.000 description 1
- 230000004048 modification Effects 0.000 description 1
- 238000012986 modification Methods 0.000 description 1
- 238000012797 qualification Methods 0.000 description 1
- 239000013589 supplement Substances 0.000 description 1
- 230000004083 survival effect Effects 0.000 description 1
- 230000026676 system process Effects 0.000 description 1
- 230000002123 temporal effect Effects 0.000 description 1
- 238000012384 transportation and delivery Methods 0.000 description 1
Images
Classifications
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
- G06F21/60—Protecting data
- G06F21/62—Protecting access to data via a platform, e.g. using keys or access control rules
- G06F21/6218—Protecting access to data via a platform, e.g. using keys or access control rules to a system of files or objects, e.g. local or distributed file system or database
-
- Y—GENERAL TAGGING OF NEW TECHNOLOGICAL DEVELOPMENTS; GENERAL TAGGING OF CROSS-SECTIONAL TECHNOLOGIES SPANNING OVER SEVERAL SECTIONS OF THE IPC; TECHNICAL SUBJECTS COVERED BY FORMER USPC CROSS-REFERENCE ART COLLECTIONS [XRACs] AND DIGESTS
- Y10—TECHNICAL SUBJECTS COVERED BY FORMER USPC
- Y10S—TECHNICAL SUBJECTS COVERED BY FORMER USPC CROSS-REFERENCE ART COLLECTIONS [XRACs] AND DIGESTS
- Y10S707/00—Data processing: database and file management or data structures
- Y10S707/99931—Database or file accessing
- Y10S707/99939—Privileged access
-
- Y—GENERAL TAGGING OF NEW TECHNOLOGICAL DEVELOPMENTS; GENERAL TAGGING OF CROSS-SECTIONAL TECHNOLOGIES SPANNING OVER SEVERAL SECTIONS OF THE IPC; TECHNICAL SUBJECTS COVERED BY FORMER USPC CROSS-REFERENCE ART COLLECTIONS [XRACs] AND DIGESTS
- Y10—TECHNICAL SUBJECTS COVERED BY FORMER USPC
- Y10S—TECHNICAL SUBJECTS COVERED BY FORMER USPC CROSS-REFERENCE ART COLLECTIONS [XRACs] AND DIGESTS
- Y10S707/00—Data processing: database and file management or data structures
- Y10S707/99941—Database schema or data structure
- Y10S707/99943—Generating database or data structure, e.g. via user interface
Landscapes
- Engineering & Computer Science (AREA)
- Theoretical Computer Science (AREA)
- Computer Security & Cryptography (AREA)
- Bioethics (AREA)
- General Health & Medical Sciences (AREA)
- Computer Hardware Design (AREA)
- Health & Medical Sciences (AREA)
- Software Systems (AREA)
- Physics & Mathematics (AREA)
- General Engineering & Computer Science (AREA)
- General Physics & Mathematics (AREA)
- Databases & Information Systems (AREA)
- Storage Device Security (AREA)
Description
【０００１】
【発明の属する技術分野】
本発明は、アクセス制御におけるポリシー記述に対する評価とこれを実現するための条件部の執行とを行う方法に関する。
【０００２】
【従来の技術】
従来、データファイルへのアクセス制御におけるポリシーの記述手段としては、ＡＴＴのＫｅｙＮｏｔｅｓ ［ＢＦＩＫ９９］（ＰｏｌｉｃｙＭａｋｅｒ ［ＢＲＬ９６］）、ＧＡＣＬ ［ＷＬ９３］ ［ＷＬ９８］、ＡＳＬ ［ＪＳＳＢ９７］などが知られている。アクセスの可否を判定するためのルールである、これらのポリシー記述は、いずれもアクセス・コントロール・リスト（ＡＣＬ）と呼ばれる（Ｓｕｂｊ，Ｏｂｊ， Ｏｐ）の３つ組リストを基本にしている。これは、アクセスの主体（Ｓｕｂｊ）がアクセスの対象（Ｏｂｊ）に対して、ある操作（Ｏｐ）が許されることを示している。したがって、全てのアクセス要求に答えるためには、あらゆる３つ組みの組み合わせに対してＡＣＬを用意する必要がある。
【０００３】
上記のポリシー記述手段では、これを簡略化するために、変数を使ったパターンマッチングを記述できるようにし、さらに、変数を限定する条件式を書くために、ＡＣＬ（Ｓｕｂｊ， Ｏｂｊ， Ｏｐ）≦Ｃｏｎｄ（Ｓｕｂｊ， Ｏｂｊ， Ｏｐ）というようなルールを導入している。すなわち、アクセス要求におけるあらゆる３つ組みに対応するＡＣＬを用意するのは大がかりであるし困難であるので、変数を用いてポリシーを抽象化しておき、その変数に該当するアクセス要求については対応するＡＣＬにしたがってアクセス制御を行う。
【０００４】
また、ＡＣＬにおける制御対象の操作の記述方法には２種類ある。すなわち、許される操作だけを記述するものと、許される操作と許されない操作の両方を記述できるものである。前者は閉世界仮説（Ｃｌｏｓｅｄ Ｗｏｒｌｄ Ａｓｓｕｍｐｔｉｏｎ）とともに用いられる。閉世界仮説では、あるアクセス要求に対して、それに対応するＡＣＬがない場合にはその操作は許されないという解釈になる。したがって、ＡＣＬに許される操作だけを記述しておき、アクセス要求がＡＣＬのどのエントリにも合致しない場合は無条件に当該操作を拒絶する。一方、後者はＧＡＣＬなどに用いられているが、明示的な負の操作が指定されていない限り、操作を許すといったＤｅｆａｕｌｔ推論が用いられている。
【０００５】
ポリシーの評価方法にこうした差異はあるものの、従来のポリシー評価システムは全て、ポリシーを評価した結果をＹｅｓまたはＮｏの２値で返すようにしている。つまり、質問文？−ＡＣＬ（ｓｕｂｊ， ｏｂｊ， ｏｐ）に対して１または０のいずれかの値が返る。
【０００６】
【発明が解決しようとする課題】
上述したように、従来のアクセス制御におけるポリシーの評価技術は、アクセス要求に対してポリシーを評価した結果をＹｅｓまたはＮｏの２値のいずれかとしている。すなわち、アクセス要求に対してこれを許すか許さないかの判断しか行うことができない。このため、ある条件を満たせばＹｅｓ（Ｙｅｓ ｗｉｔｈ ｃｏｎｄｉｔｉｏｎ）というような応答を行うことができず、柔軟性に欠けていた。
【０００７】
このため、データの暗号化やフォーマット変換を行うならばアクセスを許すといった実施インストラクションを行ったり、読み出したデータに電子透かしを入れたり、アクセスログの書き込みを行ったり、時間条件に応じてアクセスを許したりするというように、様々な条件に基づく複雑なアクセス制御を汎用的に実施することができなかった。
【０００８】
本発明は以上のような技術的課題を解決するためになされたものであって、アクセス制御において、アクセス要求に対してアクセスを許すか許さないかを判断するだけでなく、ある条件を満たせばアクセスを許すという条件付きのアクセス許可を評価できるようにすることを目的とする。
【０００９】
更に、条件付きのアクセス許可において評価される条件が更に他の条件を満足することを要求する場合に、再帰的に当該他の条件に対する評価も行うことができるようにすることを他の目的とする。
【００１０】
【課題を解決するための手段】
かかる目的のもと、本発明は、アクセス制御システムであって、データファイルに格納されているデータに関連するポリシー記述を格納したリソースドキュメントと、外部からデータファイルにアクセスするためのアクセス要求を受け付けて、リソースドキュメントからこのアクセス要求のアクセス対象であるデータに関連付けられたポリシー記述を取り出して評価することにより、このアクセス要求を許可するか否かを決定するポリシー評価手段と、取り出されたこのポリシー記述中に、ポリシー評価手段が持つ情報だけでは評価できない条件がある場合に、この条件の評価または実現が可能かどうかを判断する執行機能検証手段と、この執行機能検証手段により評価または実現が可能であると判断された条件の評価または実現を実行する執行手段とを備えることを特徴としている。
【００１１】
ここで、執行手段は、ポリシー評価手段が持つ情報だけでは評価できない条件に対する評価または実現の内容に応じて複数設けることができ、執行機能検証手段は、執行手段が複数ある場合に、いずれの執行手段がポリシー評価手段から受け取った条件の評価または実現を可能かについてさらに検証することを特徴としている。これにより、条件の内容に柔軟に対応することが可能となる点で好ましい。また、条件の評価または実現が可能な執行手段の検証には、例えば、執行手段のコンポーネントとそのコンポーネントが執行できる条件とを関連付けて格納したリストを用いることができる。
【００１２】
さらに執行手段は、執行機能検証手段により評価または実現が可能であると判断された条件に対する評価または実現を実行するために他のデータ部分に対するアクセスを要する場合に、ポリシー評価手段に対してこのデータ部分へのアクセス要求を発行し、ポリシー評価手段は、外部から受け付けるアクセス要求と同様に、執行手段からなされたアクセス要求に対しても、アクセス対象であるデータに関連付けられたポリシー記述の評価を行うことを特徴としている。これにより、条件の評価または実現のために再帰的にアクセス要求を行うことが可能となる点で優れている。尚、データ部分とは、アクセス対象である文書の他の部分であっても、他の文書の所定の部分であっても良い。
【００１３】
この執行手段は、データファイル中の書き込みまたは変更を行う部分を検出してポリシー評価手段にアクセス要求を発行する書き込み／変更対象検出手段と、ポリシー評価手段からこのアクセス要求に対するアクセス許可の回答を受けた場合に、データ部分への書き込みまたは変更を実行する書き込み／変更実行手段とを備え、この書き込み／変更実行手段は、プラグインにより所望の機能を用意できることを特徴としている。これにより、条件に対する評価または実現に複雑な処理を要する場合にも、プラグインで対応機能を追加できるため、柔軟に対応することができる点で好ましい。書き込み／変更実行手段としては、例えば、アクセス対象がＸＭＬ文書である場合には、ＸＭＬデータと変換ルールを読み込んで新たなＸＭＬデータを生成する標準のツールであるＸＳＬプロセッサを用いることができる。この場合も、複雑な処理を実現するためにプラグインソフトを追加できるのは同様である。
【００１４】
また、本発明は、外部から所定のデータファイルにアクセスするためのアクセス要求を受け付けて、アクセス対象であるデータに関連付けられたポリシー記述を評価することにより、このアクセス要求を許可するか否かを決定するアクセス制御方法において、アクセス要求を受け付けて、アクセス要求のアクセス対象であるデータに関連付けられたポリシー記述を取得するステップと、取得されたポリシー記述中の条件を評価するステップと、取得されたポリシー記述中にそのままでは評価できない条件がある場合に、この条件を満足するための処理が執行可能かどうかを判断するステップと、この条件を満足するための処理が執行可能であると判断された場合に、かかる処理を執行するステップと、この条件を満足するための処理が執行された後に、ポリシー記述中の全ての条件に対する評価結果に応じて、このアクセス要求を許可するか否かを決定するステップとを含むことを特徴としている。なお、条件を満足するための処理とは、具体的にはかかる条件を評価または実現するための処理である。
【００１５】
ここで、ポリシー記述中の条件を評価するステップは、受け付けたアクセス要求のパラメータと前記取得したポリシー記述中の規則とを照合して合致する規則を検出するステップと、検出された規則の条件部を評価するステップと、この規則の条件部がそのままでは評価することができない場合に、かかる条件を集めて、この条件を満足するための処理が執行可能かどうかを判断するステップに移行するステップとを含むことを特徴としている。
さらにここで、ポリシー記述中の規則の条件部を評価するステップに先だって、アクセス要求のパラメータと合致する規則が複数検出された場合に、所定の規則に基づいて前記規則に対する評価の優先順位を決定するステップを更に含むことを特徴としている。このようにすれば、条件に合致する規則が複数ある場合に適切な規則を適用することができる。尚、優先順位は、ポリシー規則に優先度を指定しておき、その優先度にしたがって決定するようにしても良い。また、同一の条件に合致する規則として、アクセス不許可となるポリシー規則とアクセス許可となるポリシー規則とがある場合は、不用意にアクセスを許可してしまうことを防止するため、アクセス不許可となるポリシー規則を優先させるようにしても良い。
【００１６】
さらに、ポリシー記述中の条件を満足するための処理が執行可能かどうかを判断するステップは、ポリシー記述中の条件を評価するステップにおいて作成された、ポリシー記述中の情報のみに基づいて評価することができない規則の条件の集合を受け付けて、個々の条件を取り出すステップと、取り出された各条件ごとにこの条件を満足するための処理を執行する機能が用意されているかどうかを判定するステップと、この条件を満足するための処理を執行する機能が用意されていると判定した場合に、この機能を呼び出すステップとを含むことを特徴としている。条件を満足するための処理を執行する機能が用意されているかどうかを検証するには、上述したように、執行手段のコンポーネントとそのコンポーネントが執行できる条件とを関連付けて格納したリストを用いることができる。
【００１７】
さらに、ポリシー記述中の条件を満足するための処理を執行するステップは、このポリシー記述中の条件を満足するための処理が執行可能かどうかを判断するステップにおいて呼び出された機能により、所定のデータファイル中から、ポリシー記述中の条件に基づいて書き込みまたは変更を行うデータ部分を検出するステップと、書き込みまたは変更を行うために必要なアクセス要求を発行するステップと、この書き込みまたは変更を行うために必要なアクセス要求に対するアクセス許可の回答を受けた場合に、データ部分への書き込みまたは変更を実行するステップとを含むことを特徴としている。尚、データ部分とは、上述したように、アクセス対象である文書の他の部分であっても、他の文書の所定の部分であっても良い。
【００１８】
また、本発明は、コンピュータに実行させるプログラムをこのコンピュータの入力手段が読取可能に記憶した記憶媒体において、このプログラムは、外部から所定のデータファイルにアクセスするためのアクセス要求を受け付けて、このアクセス要求のアクセス対象であるデータに関連付けられたポリシー記述を取得する処理と、取得されたポリシー記述中の条件を評価する処理と、取得されたポリシー記述中にそのままでは評価できない条件がある場合に、この条件を満足するための処理が執行可能かどうかを判断する処理と、この条件を満足するための処理が執行可能であると判断された場合に、かかる処理を執行する処理と、この条件を満足するための処理が執行された後に、ポリシー記述中の全ての条件に対する評価結果に応じて、このアクセス要求を許可するか否かを決定する処理とをコンピュータに実行させることを特徴としている。このようにすれば、このプログラムをロードしたコンピュータにおいて、条件付きのアクセス許可に対応するアクセス評価を実現することができる。
【００１９】
ここで、プログラムは、ポリシー記述中の条件を満足するための処理を執行するために、ポリシー記述中の条件を満足するための処理が執行可能かどうかを判断する処理において呼び出された機能により、所定のデータファイル中から、ポリシー記述中の条件に基づいて書き込みまたは変更を行うデータ部分を検出する処理と、書き込みまたは変更を行うために必要なアクセス要求を発行する処理と、書き込みまたは変更を行うために必要なアクセス要求に対するアクセス許可の回答を受けた場合に、データ部分への書き込みまたは変更を実行する処理とを前記コンピュータに実行させることを特徴としている。このようにすれば、このプログラムをロードしたコンピュータにおいて、条件付きのアクセス許可に対し、かかる条件を満足するために再帰的にアクセス要求を行うことが可能となる。
【００２０】
また、本発明は、コンピュータに、外部から所定のデータファイルにアクセスするためのアクセス要求を受け付けて、このアクセス要求のアクセス対象であるデータに関連付けられたポリシー記述を取得する処理と、取得されたポリシー記述中の条件を評価する処理と、取得されたポリシー記述中にそのままでは評価できない条件がある場合に、この条件を満足するための処理が執行可能かどうかを判断する処理と、この条件を満足するための処理が執行可能であると判断された場合に、かかる処理を執行する処理と、この条件を満足するための処理が執行された後に、ポリシー記述中の全ての条件に対する評価結果に応じて、このアクセス要求を許可するか否かを決定する処理とを実行させるプログラムを記憶する記憶手段と、この記憶手段からこのプログラムを読み出して送信する送信手段とを備えたことを特徴としている。このようなプログラム伝送装置により、プログラムの提供形態としてＣＤ−ＲＯＭ等の記憶媒体を介すことなく、顧客に対して本発明の技術を提供することが可能となる。
【００２１】
ここで、記憶手段に記憶されているプログラムは、ポリシー記述中の条件を満足するための処理を執行するために、ポリシー記述中の条件を満足するための処理が執行可能かどうかを判断する処理において呼び出された機能により、所定のデータファイル中から、ポリシー記述中の条件に基づいて書き込みまたは変更を行うデータ部分を検出する処理と、書き込みまたは変更を行うために必要なアクセス要求を発行する処理と、書き込みまたは変更を行うために必要なアクセス要求に対するアクセス許可の回答を受けた場合に、データ部分への書き込みまたは変更を実行する処理とをコンピュータに実行させることを特徴としている。
【００２２】
また、本発明は、単一のソースで記述された情報に関してフォーマットの変換が可能ならば読み取りを許可するという条件を持つポリシー記述を格納する手段と、このポリシー記述に合致する所定のアクセス要求を受け付けた場合に、かかる条件を満足するための、フォーマットを変換する処理を行う機能があるかどうかを調べると共に、この機能があると判断した場合に、この機能を呼び出してかかる条件を満足するための処理を実行させる手段と、この条件を満足するための処理が実行された場合に、このアクセス要求に対してアクセスを許可する手段とを備えることを特徴としている。このようにすれば、トランスコーディングを条件としてアクセス許可を行うことが可能となる。
【００２３】
また、本発明は、アクセス対象である文書に電子透かしを埋め込むならば読みとりを許可するという条件を持つポリシー記述を格納する手段と、このポリシー記述に合致する所定のアクセス要求を受け付けた場合に、かかる条件を満足するための、文書に電子透かしを埋め込む処理を行う機能があるかどうかを調べると共に、この機能があると判断した場合に、この機能を呼び出してかかる条件を満足するための処理を実行させる手段と、この条件を満足するための処理が実行された場合に、このアクセス要求に対してアクセスを許可する手段とを備えることを特徴としている。このようにすれば、トランスコーディングの一態様として、文書に電子透かしを埋め込むことを条件としてアクセス許可を行うことが可能となる。なお、トランスコーディングの更に別の態様として文書の暗号化についても同様に行うことが可能である。
【００２４】
また、本発明は、アクセス対象である文書にアクセス履歴を書き込むならばこの文書へのアクセスを許可するという条件を持つポリシー記述を格納する手段と、このポリシー記述に合致する所定のアクセス要求を受け付けた場合に、かかる条件を満足するための、文書にアクセス履歴を書き込む処理を行う機能があるかどうかを調べると共に、この機能があると判断した場合に、この機能を呼び出してかかる条件を満足するための処理を実行させる手段と、この条件を満足するための処理が実行された場合に、このアクセス要求に対してアクセスを許可する手段とを備えることを特徴としている。このようにすれば、文書にアクセス履歴を残すことを条件としてアクセス許可を行うことが可能となる。
ここで、アクセス対象である文書にアクセス履歴を書き込む機能において、このアクセス履歴の書き込みを行うための文書へのアクセス要求を再帰的に行う手段を更に備えることを特徴としている。このようにすれば、文書にアクセス履歴を書き込むためにこの文書に再帰的にアクセスすること自体をアクセス許可の評価対象として、セキュリティーを高めることができる。なお、アクセス履歴を書きこむ対象はアクセス対象となった文書でもまた別の文書の一部であってもよい。
【００２５】
また、本発明は、アクセス対象である文書に対してアクセス時のタイムスタンプをアクセス履歴として書き込むならばアクセスを許可するという条件を持つポリシー記述を格納する手段と、このポリシー記述に合致する所定のアクセス要求を受け付けた場合に、かかる条件を満足するための、文書にアクセス時のタイムスタンプをアクセス履歴として書き込む処理を行う機能があるかどうかを調べると共に、この機能があると判断した場合に、この機能を呼び出してかかる条件を満足するための処理を実行させる手段と、この条件を満足するための処理が実行された場合に、このアクセス要求に対してアクセスを許可する手段とを備えることを特徴としている。このようにすれば、時間的条件付きアクセス許可を厳密に行うことが可能となる。
【００２６】
さらにまた、本発明は、データファイルに格納されているデータに関連するポリシー記述を格納したリソースドキュメントと、外部からこのデータファイルにアクセスするためのアクセス要求を受け付けて、リソースドキュメントからこのアクセス要求のアクセス対象であるデータに関連付けられたポリシー記述を取り出して評価することにより、このアクセス要求を許可するか否かを決定するポリシー評価手段と、取り出されたポリシー記述中に、ポリシー評価手段が持つ情報だけでは評価できない条件がある場合に、他の処理を行うことによりこの条件の評価または実現が可能かどうかを判断する執行機能検証手段とを備えることを特徴としている。ここで、ポリシー評価手段が持つ情報だけでは評価できない条件を評価または実現するために必要な処理としては、アクセス対象であるデータファイルのデータ形式の変換や、アクセス対象であるデータファイルに対するアクセス履歴を残すといった動作がある。すなわち、これらの動作を実行することができる場合にのみ、ポリシー記述にこれらの条件を持つアクセス要求が許可されることとなる。
【００２７】
【発明の実施の形態】
以下、添付図面に示す実施の形態に基づいてこの発明を詳細に説明する。
まず、本発明の概要を説明すると、本発明では、アクセス制御において行うポリシー評価の結果を、従来のようなＹｅｓまたはＮｏの２値ではなく、ブール代数による多値とし、その中間値を「この条件を満たせばＹｅｓ」と解釈する。これによって、ポリシー評価とそれを実現するための条件部の執行とを統一的に表現できる枠組みを提供する。この実現法としては、アクセス制御のためのポリシー記述をＩｆ−ｔｈｅｎ型ルールに拡張し、その評価に論理型言語の評価法である部分評価を用いる。そして、Ｉｆ部を、条件チェックと、実施のインストラクションの両方に用いる。これによって、ポリシーの記述が簡潔かつ宣言的になり、かつ、ポリシー全体の整合性が、論理型言語の枠組みで判断できるようになる。
【００２８】
図１は、本実施の形態におけるアクセス制御システムを搭載するデータ管理サーバの構成を説明するための図である。同図において、符号２００はデータ管理サーバである。符号２１０はデータファイルであり、アクセス対象となるデータや文書を格納している。符号２２０はデータ管理サブシステムであり、データや文書を管理し、検索等のサービスを提供する。符号２３０はユーザ認証サブシステムであり、登録されたユーザだけがデータ管理サーバ２００の機能を利用できることを保証する。符号２４０はアクセス制御サブシステムであり、ユーザ認証サブシステム２３０と共に、特定のユーザによる特定のアクセス要求だけを受け付けて、データ管理サブシステム２２０が提供するサービスを利用できるようにアクセス制御する。また、データ管理サーバ２００は、アクセス制御サブシステム２４０によるアクセス制御に用いるために、管理されているデータや文書及びユーザに関連する各種の情報を外部から入力する。図示の例では、所定の外部ファイル３００からユーザのＩＤを補足するための当該ユーザが所属する組織の組織図を入力したり、タイムスタンプサーバ４００から時間情報を取得したりすることができる。
【００２９】
データ管理サーバ２００に格納されている所望のデータや文書にアクセスしようとするユーザは、まず、ユーザ端末５００からデータ管理サーバ２００のユーザ認証サブシステム２３０にアクセスしてシステムにログインする。この際、ユーザ認証サブシステム２３０は、パスワードの照合等の手段により、当該ユーザが登録されているユーザ（管理されているデータや文書にアクセスが許されているユーザ）かどうかを判断する。
次に、ユーザは、所望するデータへのアクセス要求をアクセス制御サブシステム２４０に対して発行する。アクセス制御サブシステム２４０は、ユーザ認証サブシステム２３０から受け取ったログイン情報や当該アクセス要求の内容、アクセス制御のためのセキュリティーポリシー等に基づいてアクセスの可否を判定する。この際、必要に応じて、組織図や時間情報等を入力してアクセス可否の判定に利用する。
アクセス制御サブシステム２４０によるアクセス可否の判定の結果、アクセスが許可された場合は、データ管理サブシステム２２０によってデータファイル２１０から該当するデータまたは文書が読み出され、アクセス制御サブシステム２４０を介してユーザ端末５００へ送信される。詳細な動作については後述するが、アクセス制御サブシステム２４０は、ポリシー記述の内容によっては、読み出されたデータを変換したり、元のデータに履歴情報（ログファイル等）を追加したりすることができる。
【００３０】
図２は、本実施の形態におけるアクセス制御システムの全体構成を説明するための図である。なお、図２のアクセス制御システム１００は、図１のアクセス制御サブシステム２４０に相当する。同図において、符号１０はポリシー評価モジュールであり、アクセス要求を受けて、アクセス対象であるデータに関連付けられたポリシー記述を評価する。符号２０は執行機能検証モジュールであり、ポリシー評価モジュール１０が持つ情報だけでは評価できない条件（以下、外部条件と呼ぶ）が評価対象のポリシー記述中にある場合に、当該外部条件の評価や実現が可能かどうかを判断する。符号３０は執行モジュールであり、執行機能検証モジュール２０により評価や実現が可能であると判断された外部条件の評価や実現を実行する。執行モジュール３０は、執行する外部条件の評価や実現の内容に応じて複数設けることができる。したがって、執行機能検証モジュール２０は、執行モジュール３０が複数ある場合には、ポリシー評価モジュール１０から受け取った外部条件の評価や実現が、用意されているいずれの執行モジュール３０により可能かについても検証する。符号４０はリソースドキュメントであり、アクセス対象であるデータに関連するポリシー記述を格納している。なお、アクセス制御システム１００はコンピュータにて実現され、上記各モジュールは当該コンピュータに上記各処理を実行させるためのプログラムモジュールとして実現される。
【００３１】
図３は、図２中に示された、各モジュール１０、２０、３０に入出力されるデータの内容を定義するテーブルである。図３を参照すると、ポリシー評価モジュール１０に入力されるアクセス要求１１０、１３０の構成は（Ｓｕｂｊｅｃｔ， Ｏｂｊｅｃｔ，Ｒｏｌｅ （ｏｒ Ｕｉｄ）， Ｏｐｅｒａｔｉｏｎ）であり、ポリシー評価モジュール１０から執行機能検証モジュール２０へ送られる外部条件の情報１１３の構成は条件リスト｛Ｃｏｎｄｉｔｉｏｎ−Ｌｉｓｔ｝であり、執行機能検証モジュール２０から執行モジュール３０へ送られる執行指示１２１の構成は執行を指示するデータセット｛Ｉｎｓｔｒｕｃｔｉｏｎ−Ｓｅｔ｝である。また、ポリシー評価モジュール１０によりリソースドキュメント４０から読み出されるポリシー記述１４０と、図１のデータファイル２１０からデータ管理サブシステム２２０を介して執行モジュール３０へ送られる文書１３４と、執行モジュール３０からデータ管理サブシステム２２０を介してデータファイル２１０へ送られる更新情報１３３とはＸＭＬ文書（ＸＭＬ Ｄｏｃｕｍｅｎｔ）である。また、ポリシー評価モジュール１０、執行機能検証モジュール２０及び執行モジュール３０からそれぞれ出力されるアクセス不許可１１２、１２０、１３１はアクセス要求に対する不許可を示すデータ列（ａ ｓｔｒｉｎｇ ｏｆ ”ｄｅｎｉｅｄ”）であり、ポリシー評価モジュール１０から出力されるアクセス許可１１１はアクセス要求に対する許可を示すデータ列（ａ ｓｔｒｉｎｇ ｏｆ ”ｐｅｒｍｉｓｓｉｏｎ”）であり、執行モジュール３０から出力されるリソーストランスコード１３２はＨＴＭＬ、ＸＭＬ等の文書やデータ列等（ＨＴＭＬ， ＸＭＬ， ｓｔｒｉｎｇ， ｅｔｃ．）である。
【００３２】
図４は、図２に示した本実施の形態におけるアクセス制御システム１００がアクセス要求を処理する際の動作を説明するフローチャートである。
図４に示される一連の処理は、ユーザーからのアクセス要求１１０により起動されるか、またはアクセス要求に対する処理の中で特定の執行モジュール３０により二次的に発行されるアクセス要求１３０により再帰的に起動される。
アクセス要求１１０，１３０を受け付けると、ポリシー評価モジュール１０は、まず、アクセス対象である文書に対応するポリシー記述１４０をリソースドキュメント４０から検出し（ステップ４０１）、そのポリシー記述１４０を評価する（ステップ４０２）。そして、全てのポリシー記述１４０の中の条件が評価可能であれば、その評価結果に応じてアクセス許可１１１またはアクセス不許可１１２という結果を、当該アクセス要求１１０を発行したユーザに回答する（ステップ４０３、４０４、４０５）。
【００３３】
これに対し、ポリシー記述１４０の中にポリシー評価モジュール１０だけでは評価できない条件があった場合は、条件付き許可と判定され、ポリシー評価モジュール１０から執行機能検証モジュール２０へ外部条件の情報１１３が渡される（ステップ４０３）。
執行機能検証モジュール２０は、システム内に用意されている執行モジュール３０のリストを持っている。そこで、執行機能検証モジュール２０は、外部条件の情報１１３を受け取ると、当該外部条件を評価しまたは実現できる執行モジュール３０を検索する（ステップ４０６）。そして、適当な執行モジュール３０が見つからなかった場合、アクセス不許可１２０という結果を当該アクセス要求１１０を発行したユーザに回答する（ステップ４０７、４０８）。
【００３４】
一方、当該外部条件を評価しまたは実現できる執行モジュール３０が見つかった場合は、該当する執行モジュール３０が呼び出されて当該外部条件の評価及び実現が行われる（ステップ４０７、４０９）。執行モジュール３０における当該外部条件の評価の結果がアクセス許可である場合、または条件の実現に成功した場合は、リソーストランスコード１３２が出されると共に、ポリシー評価モジュール１０に戻って、さらに他のポリシー記述１４０の評価が続行される（ステップ４１０）。そして、最終的にポリシー記述１４０の中の全ての条件が評価され、アクセス許可と判断されたならば、執行モジュール３０において出されたリソーストランスコード１３２と共にアクセス許可１１１という結果を当該アクセス要求１１０を発行したユーザに回答する。
また、執行モジュール３０における当該外部条件の評価の結果がアクセス不許可である場合、または執行モジュール３０が当該外部条件の実現に失敗した場合は、アクセス不許可１３１という結果を当該アクセス要求１１０を発行したユーザに回答する（ステップ４１１）。
【００３５】
ここで、執行モジュール３０での処理において、当該外部条件を満たすために他の文書やアクセス対象である文書中の他のセクションに対してアクセスが必要な場合は、アクセス要求１３０をポリシー評価モジュール１０に発行して、再帰的に評価させることができる。このように、外部条件を満たすために行われる再帰的なアクセス要求自体をアクセス許可の評価対象とすることにより、他段階の評価を行うことができ、セキュリティーを高めることができる。
さらに、執行モジュール３０において、当該外部条件を満たすために当該ユーザが所属する組織の構成やアクセス日時といった個別の情報を必要とする場合は、それらの情報を提供するファイルやサーバにアクセスして必要な情報を取得することができる。
【００３６】
次に、個々のモジュールに関して、機能を詳細に説明する。
図５は、ポリシー評価モジュール１０によるポリシーの評価アルゴリズムを説明するフローチャートである。図６及び図７は、ポリシー評価モジュール１０に入出力されるデータのフォーマット及び表現例を説明する図である。
図５を参照すると、まず、アクセス要求１１０を入力してパラメータを受け取る（ステップ５０１）。アクセス要求の書式は、図６のアクセス要求の欄を参照すると、アクセスを要求する主体（ユーザなど）を識別するデータである Ｓｕｂｊｅｃｔ と、アクセス対象を識別するデータである Ｏｂｊｅｃｔ と、アクセス対象に対する操作を識別するデータである Ｏｐｅｒａｔｉｏｎ とをパラメータとする。このパラメータは、「ＳｕｂｊｅｃｔがＯｂｊｅｃｔに対してＯｐｅｒａｔｉｏｎの操作権限（アクセス権）を要求している」を意味する。また、図６には、アクセス要求の具体例が記載されており、ＳｕｂｊｅｃｔがＮｉｈｏｎ Ｔａｒｏｈ／ＩＢＭ／Ｊａｐａｎであり、Ｏｂｊｅｃｔがｈｔｔｐ：／／ａｄｍｉｎ．ｔｒｌ．ｃｏｍ／／ｆｏｒｍ／ｅｘｐｅｎｓｅ．ｘｍｌであり、Ｏｐｅｒａｔｉｏｎがｒｅａｄ（ｈｔｍｌ）であるようなアクセス要求がなされたことを示している。このアクセス要求は「Ｎｉｈｏｎ Ｔａｒｏｈ／ＩＢＭ／Ｊａｐａｎというユーザ名でログインしたユーザが、ａｄｍｉｎ．ｔｒｌ．ｃｏｍサーバに置かれているｅｘｐｅｎｓｅ．ｘｍｌというファイルに対して、ＨＴＭＬ形式での読み取りを要求する」ことを意味している。なお、ここでは入力をアクセス要求１１０としたが、執行モジュール３０から出力されたアクセス要求１３０を入力した場合も同様の処理を行う。
【００３７】
次に、リソースドキュメント４０の中に格納されているアクセス制御用のポリシー記述の中から、アクセス要求パラメータの全てのパラメータ（Ｓｕｂｊｅｃｔ， Ｏｂｊｅｃｔ， Ｏｐｅｒａｔｉｏｎ）と合致する規則を検索する（ステップ５０２）。そして、検出したポリシー規則１４０を入力として受け取る。ポリシー規則の書式は、図６のアクセス制御ポリシー規則の欄を参照すると、アクセス許可ユーザを識別するデータである Ｓｕｂｊｅｃｔ と、アクセス許可対象を識別するデータである Ｏｂｊｅｃｔ と、アクセス許可操作を識別するデータ Ｏｐｅｒａｔｉｏｎ と、アクセスを許可する条件の記述である Ｃｏｎｄｉｔｉｏｎ とをパラメータとする。このパラメータは、「Ｃｏｎｄｉｔｉｏｎの条件が満足された時、ＳｕｂｊｅｃｔがＯｂｊｅｃｔに対してＯｐｅｒａｔｉｏｎの操作権限を持つ」というルールを意味する。また、図６にはポリシー規則の具体例が記載されており、Ｓｕｂｊｅｃｔがｅｍｐｌｏｙｅｅであり、Ｏｂｊｅｃｔがｈｔｔｐ：／／ａｄｍｉｎ．ｔｒｌ．ｃｏｍ／／ｆｏｒｍ／ｅｘｐｅｎｓｅ．ｘｍｌであり、Ｏｐｅｒａｔｉｏｎがｒｅａｄ（ｈｔｍｌ）であり、Ｃｏｎｄｉｔｉｏｎがｔｒａｎｓｃｏｄｅ（ｉｎ， ｏｕｔ）であるようなポリシー規則を示している。このポリシー規則は「ｅｍｐｌｏｙｅｅというロール（データにアクセスするための資格）をもったユーザまたはアプリケーションに対して、データをＨＴＭＬに変換することができる場合に限り、ａｄｍｉｎ．ｔｒｌ．ｃｏｍサーバに置かれているｅｘｐｅｎｓｅ．ｘｍｌというファイルに対して読み取りを行うことを許可する」ということを意味している。
【００３８】
ここで、合致とは、Ｓｕｂｊｅｃｔ、Ｏｂｊｅｃｔ、Ｏｐｅｒａｔｉｏｎ等の値がそれぞれ整合することである。例えば、アクセス評価要求パラメータのＳｕｂｊｅｃｔが‘ａｍａｎｏ’ならば、アクセス制御ポリシー規則の中で‘ａｍａｎｏ’というユーザＩＤや‘ａｍａｎｏ’を含むＴＲＬというグループ名が記述されている規則が合致して取り出される。
【００３９】
また、アクセス制御ポリシー規則の検索において、パラメータとの合致の検証に用いるために、リソースドキュメント４０の中に格納されている環境データも受け取る。環境データの書式は、図７の環境データの欄を参照すると、ポリシー評価モジュール内で真である事実の列挙や任意の事実である Ｅｎｖｉｒｏｎｍｅｎｔ をパラメータとする。このパラメータは、「Ｅｎｖｉｒｏｎｍｅｎｔはポリシー評価時に真として扱う」を意味する。また、図７には、環境データの具体例が記載されており、Ｎｉｈｏｎ Ｔａｒｏｈ／ＩＢＭ／Ｊａｐａｎというユーザはｅｍｐｌｏｙｅｅというロールになることができるという事実が環境データとして存在することを示している。この環境データを図６のアクセス要求及びポリシー規則の具体例に適用すれば、アクセス要求にあるＮｉｈｏｎ Ｔａｒｏｈ／ＩＢＭ／Ｊａｐａｎというユーザがポリシー規則のｅｍｐｌｏｙｅｅというロールをもったユーザという条件を満たすことがわかる。
【００４０】
次に、規則検証処理として、ステップ５０２で合致したポリシー規則が複数ある場合に、どのように複数のポリシー規則を評価するかを決定する（ステップ５０３）。例えば、ポリシー規則に優先度が指定されている場合はその優先度順に正しく評価されるように並べ替えたり、アクセス不許可をアクセス許可より優先させるというルールを用意してポリシー規則を二つに分類し並べ替えるなどの処理を行う。このようにすれば、不用意にアクセスを許可してしまうことを防止することができる。合致した規則がない場合の処理もここで規定する。例えば、閉世界ポリシーの場合は無条件にアクセス不許可とする。
【００４１】
次に、ステップ５０３で処理されたポリシー規則の条件部を評価する（ステップ５０４）。ポリシー規則の条件部にリソースドキュメント４０に存在する値を使った条件が記述されている場合、当該リソースドキュメント４０から該当する値を取り出す。当該条件部の中で、リソースドキュメント４０から取り出された値に基づいた条件は評価可能であるとする。
【００４２】
次に、ステップ５０３の評価結果を判定し（ステップ５０５）、全ての条件が評価可能でありかつ全てが真と評価される場合はアクセス許可とする（ステップ５０６）。また、全ての条件が評価可能でありかつ一つ以上の条件が偽となる場合はアクセス不許可とする（ステップ５０８）。
さらにまた、評価不可能な条件がある場合は、当該評価できない条件だけからなる外部条件を作成し、条件付きアクセス許可の条件として、執行機能検証モジュール２０へ処理を移行する（ステップ５０７）。外部条件の書式は、図７の外部条件の欄を参照すると、ポリシー評価モジュール１０内で真であるかどうか不明の事実のリストである ＥｘｔｅｒｎａｌＣｏｎｄｉｔｉｏｎ をパラメータとする。このパラメータは、「アクセス制御ポリシー規則のＣｏｎｄｉｔｉｏｎの中で、環境データや、ポリシー評価モジュールのシステム関数などを使って即時に真偽を判断できない条件」を意味する。また、図７には外部条件の具体例が記載されており、図６のアクセス要求及びポリシー規則を評価した結果、ポリシー評価モジュール１０から執行機能検証モジュール２０へ、ｅｘｐｅｎｓｅ．ｘｍｌをＨＴＭＬに変換することができるかどうかを意味する外部条件が送信されることを意味する。
執行機能検証モジュール２０の処理へ移行した後は、執行モジュール３０による処理を経て再びポリシー評価モジュール１０に処理が戻り、最終的な評価結果の判定がなされる。ただし、後述するように、執行機能検証モジュール２０または執行モジュール３０において当該外部条件を評価できないまたは実現できないと判断された場合は、ポリシー評価モジュール１０に戻ることなくアクセス不許可となる。
【００４３】
図８は、執行機能検証モジュール２０による執行機能検証アルゴリズムを説明するフローチャートである。図９は、執行機能検証モジュール２０が用いるデータのフォーマットを説明する図である。
図８を参照すると、まず、ポリシー評価モジュール１０から送られた条件付きアクセス許可における外部条件の情報を入力すると共に、執行機能検証モジュール２０に内蔵されている執行モジュールリストから、執行モジュール３０として登録されているＣｏｍｐｏｎｅｎｔの情報を読み出す（ステップ８０１）。執行モジュールリストから受け取る執行モジュール３０に関する情報の書式は、図９を参照すると、条件付きアクセス要求の条件部である Ｃｏｎｄｉｔｉｏｎ Ｅｘｐｒｅｓｓｉｏｎ と、条件を処理できるコンポーネントの有無を示す Ｃａｐａｂｉｌｉｔｙ と、条件を処理するコンポーネントを示す Ｃｏｍｐｏｎｅｎｔ Ｎａｍｅ と、コンポーネントの引数である Ｃｏｍｐｏｎｅｎｔ Ａｒｇｕｍｅｎｔ とをパラメータとする。図９には執行モジュール３０に関する情報の具体例が記載されており、Ｃｏｎｄｉｔｉｏｎ Ｅｘｐｒｅｓｓｉｏｎがｔｒａｎｓｃｏｄｅ＃ｔｙｐｅ＃１（＊．ｘｍｌ， ｈｔｍｌ）であり、Ｃａｐａｂｉｌｉｔｙ ＣｈｅｃｋがＡｖａｉｌａｂｌｅであり、Ｃｏｍｐｏｎｅｎｔ Ｎａｍｅがｃ：￥ｔｏｏｌｓ￥ｊａｒ￥ｅｎｆｏｒｃｅｒｌ．ｊａｒであり、Ｃｏｍｐｏｎｅｎｔ Ａｒｇｕｍｅｎｔがｃ：￥ｅｎｆｏｒｃｅｍｅｎｔ￥ｔｒａｎｓｃｏｄｅ＃ｔｙｐｅ＃１．ｘｓｌであるような情報が存在することを示す。この情報は「ｔｒａｎｓｃｏｄｅ＃ｔｙｐｅ＃１という外部条件を満たすＥｎｆｏｒｃｅｍｅｎｔ機構が利用可能であり、ｅｎｆｏｒｃｅｒｌ．ｊａｒというプログラムにｔｒａｎｓｃｏｄｅ＃ｔｙｐｅ＃１．ｘｓｌというパラメータファイルを与えてデータを処理することにより条件の実現が可能である」ということを意味している。
【００４４】
次に、外部条件として入力した複数の条件から順番に一つずつ条件を取り出す（ステップ８０２）。そして、ステップ８０１で取得したＣｏｎｄｉｔｉｏｎ Ｅｘｐｒｅｓｓｉｏｎの中に、ステップ８０２で取り出された条件を満たすエントリーがあるかどうかをチェックする（ステップ８０３）。そのようなエントリーがある場合は、更に次の条件とＣｏｎｄｉｔｉｏｎ Ｅｘｐｒｅｓｓｉｏｎとの照合を行い、外部条件を構成する全ての条件に対して照合が終わるまで処理を繰り返す（ステップ８０４）。
一方、外部条件を構成する条件のうち一つでも、その条件を満たすエントリーがなかった場合は、アクセス不許可１２０を出力して処理を終了する（ステップ８０５）。
【００４５】
以上のようにして、外部条件を構成する全ての条件に関してその条件を満たすエントリーが検出されたならば、すなわち、外部条件におけるパラメータが全て検証されたならば、執行モジュール３０による処理へ移行する。このときの執行モジュール３０への執行指示１２１の書式は、執行モジュールリストから読み出された情報におけるＣｏｍｐｏｎｅｎｔ ＮａｍｅとＣｏｍｐｏｎｅｎｔ Ａｒｇｕｍｅｎｔの組み合わせを複数のリストとして構成したものである。例えば、（（ｌｏｔｕｓｘｓｌ．ｊａｒ， ｔｒａｎｓｃｏｄｅ．ｘｓｌ） （ｄｏｍｈａｓｈ．ｊａｒ， ｓｉｇｎａｔｕｒｅ．ｘｍｌ））である。
【００４６】
図１０は、執行モジュール３０の構成例を説明する図である。図１０を参照すると、執行モジュール３０は、書き込み／変更対象検出手段３１と、ＸＳＬプロセッサ３２と、プラグイン可能なフィルタプログラム３３とを備える。
書き込み／変更対象検出手段３１は、ＸＭＬ文書における書き込みや変換を行う部分を検出する。ＸＳＬプロセッサ３２は、ＸＭＬデータと変換ルールを読み込んで新たなＸＭＬデータを生成する標準のツールである。フィルタプログラム３３は、ＸＳＬプロセッサ３２では処理できない内容の執行指示を実現するプログラムであり、プラグインにより所望の機能を用意することができる。
執行モジュール３０による執行処理は、データファイル２１０の中のＸＭＬ文書に対してある種の変換操作を施し、別のＸＭＬ文書を生成する処理として実現される。執行処理の具体的な内容をしめす執行指示１２１は、ＸＭＬ文書に対する変換ルールを記述したＸＳＬデータとして表現される。
【００４７】
図１１は、執行モジュール３０による執行処理を説明するフローチャートである。図１１を参照すると、まず、書き込み／変更対象検出手段３１は、ＸＳＬで記述された変換ルール（執行指示１２１）を解析し、変換対象であるＸＭＬ文書１３４に対して書き込みや変更が行われる可能性がある部分を検出する（ステップ１１０１）。ここで、執行モジュール３０による処理は、最初のアクセス要求１１０に対する評価に必要な条件を満足するために実行される処理であることから、変換対象であるＸＭＬ文書は、必ずしもアクセス要求１１０のアクセス対象であるとは限らない。例えば、アクセス要求１１０のアクセス対象であるデータファイルに関連する他のファイルである場合もある。また、検出は、例えば対象文書１３４に試験的に変換ルールを適用してみて元の文書との木構造を比較することにより行う。執行処理に伴い、元データの書き込みや変更の必要があることがわかった場合には、ポリシー評価モジュール１０へアクセス要求１３０を行って問い合わせる（ステップ１１０２）。そして、ポリシー評価モジュール１０がアクセスを許可された場合にのみ当該処理を続行する（ステップ１１０３）。
【００４８】
ポリシー評価モジュール１０によりアクセスが不許可とされた場合は、それまでに行った執行命令の処理を元にもどし、あるいは一時データに対して行った処理をリソースドキュメント４０に書き戻さずに（ステップ１１０８）、条件の実現に失敗したことを執行機能検証モジュール２０及びポリシー評価モジュール１０に通知して終了する（ステップ１１０９）。これにより、当該条件の評価または実現が不可能であり、当該条件を含むアクセス要求が不許可１３１となる。
【００４９】
ポリシー評価モジュール１０によりアクセスが許可された場合は、ＸＳＬプロセッサ３２が、変換対象であるＸＭＬ文書１３４の変換を行う（ステップ１１０４）。暗号化や透かし等のように、執行としての詳細な手続きを、ＸＳＬで直接記述できない場合は、ＸＳＬプロセッサ３２によって暗号化や透かしのための指示のみを対象ＸＭＬ文書１３４に挿入しておく。そして、実際の処理は、適当なフィルタプログラム３３によって行う（ステップ１１０５）。
【００５０】
執行指示１２１に記述された全ての変換処理が終了した時点で、執行モジュール３０は、執行機能検証モジュール２０及びポリシー評価モジュール１０に条件が実現されたことを通知して終了する（ステップ１１０６、１１０７）。ＸＳＬプロセッサ３２とフィルタプログラム３３によって生成された執行済みＸＭＬ文書データは、更新情報１３３として、データ管理サブシステム２２０を介してデータファイル２１０に書き戻されるか、またはリソーストランスコード１３２としてアクセス許可の回答１１１と共にアクセス要求１１０の発行元に対して開示される。
【００５１】
次に、本実施の形態を用いた具体的な実施例について説明する。
まず、本実施の形態を用いてデータのトランスコーディングを行う実施例について説明する。ここで、トランスコーディングとは、単一のソースで記述された情報をアクセス要求者のセキュリティーレベルや通信路、表示デバイスの性能等に応じてフォーマットを変換して通信することをいう。ここでは、ＸＭＬベースで記述された帳票情報（各フィールドの意味を示す名前がＸＭＬのタグで記述されている）に読み取り要求が発行されたとき、再利用可能性の度合いの低いＨＴＭＬ形式ならば読み取りを許可する、といったポリシー記述がある場合の実施例を示す。このポリシー規則は例えば次のように記述される。
ａｃｌ（＊， ｒｏｌｅ（ｅｍｐｌｏｙｅｅ）， ｄｏｃ（ｈｔｔｐ：／／ ｔｒｌ．ｉｂｍ．ｃｏｍ／ｘｍｌｆｏｒｍ／Ｘ）， ｒｅａｄ（Ｆｏｒｍ）） ＜− ｔｒａｎｓｃｏｄｅ（Ｘ， ｘｍｌ， Ｆｏｒｍ）．
【００５２】
これに対し、旅費申請フォームをＨＴＭＬ経由で読みたいというアクセス要求が発行されたものとする。このアクセス要求は例えば次のように記述される。
？−ａｃｌ（ａｍａｎｏ， ｒｏｌｅ（ｅｍｐｌｏｙｅｅ） ｄｏｃ（ｈｔｔｐ：／／ｔｒｌ．ｉｂｍ．ｃｏｍ／ｘｍｌｆｏｒｍ／ ｔｒａｖｅｌＥｘｐｅｎｓｅＡｃｃｏｕｎｔ．ｘｍｌ ） ，ｒｅａｄ（ｈｔｍｌ））．
この場合、Ｓｕｂｊｅｃｔがポリシー記述、アクセス要求共にｒｏｌｅ（ｅｍｐｌｏｙｅｅ）で一致し、アクセス要求のＯｂｊｅｃｔがｄｏｃ（ｈｔｔｐ：／／ｔｒｌ．ｉｂｍ．ｃｏｍ／ｘｍｌｆｏｒｍ／ ｔｒａｖｅｌＥｘｐｅｎｓｅＡｃｃｏｕｎｔ．ｘｍｌ ）で、ポリシー記述のＯｂｊｅｃｔであるｄｏｃ（ｈｔｔｐ：／／ ｔｒｌ．ｉｂｍ．ｃｏｍ／ｘｍｌｆｏｒｍ／Ｘ）に含まれるものの、Ｏｐｅｒａｔｉｏｎであるｒｅａｄ（ｈｔｍｌ）に対してｔｒａｎｓｃｏｄｅ（Ｘ， ｘｍｌ，Ｆｏｒｍ）というＣｏｎｄｉｔｉｏｎが付けられているので、ポリシー評価モジュール１０による評価の結果は条件付アクセス許可となる。ポリシー評価モジュール１０から執行機能検証モジュール２０へ送られる外部条件は、ＸＭＬフォームをＨＴＭＬに変換できればアクセスを許可するという条件であり、例えば次のように記述される。
ｔｒａｎｓｃｏｄｅ（ｔｒａｖｅｌＥｘｐｅｎｓｅＡｃｃｏｕｎｔ．ｘｍｌ， ｘｍｌ， ｈｔｍｌ）
【００５３】
したがって、アクセス制御システム１００がＸＭＬで記述された対象フォームをＨＴＭＬに変換する執行モジュール３０を持っていれば、アクセスが許可されることとなる。かかる執行モジュール３０がある場合、執行モジュール３０には、ＸＭＬで記述された対象フォームをＨＴＭＬに変換するためのＸＳＬ記述が与えられる。ＸＳＬプロセッサ３２は、このＸＳＬ記述と元のフォームデータを処理して表示用のＨＴＭＬデータを生成する。そして、生成されたＨＴＭＬデータが当該アクセス要求を発行したユーザへ返送される。
【００５４】
次に、本実施の形態を用いて文書に電子透かしを挿入する実施例について説明する。かかる処理は、トランスコーディングの変形例として扱うことができる。すなわち、ポリシー記述としてＸという画像中に，アクセスしたユーザのＩＤを埋め込むならばアクセスを許可するという条件を用意しておく。この条件を含む規則は、例えば図値のように記述される。
ａｃｌ（ｕｓｅｒ（ＩＤ）， ｒｏｌｅ（ｓｕｂｓｃｒｉｂｅｒ）， ｄｏｃ（ｈｔｔｐ：／／ ｔｒｌ．ｉｂｍ．ｃｏｍ／ｉｍａｇｅ／Ｘ）， ｒｅａｄ） ＜− ｅｍｂｅｄ（Ｘ， ＩＤ）．
電子透かしのように処理が複雑で執行の詳細な手続きを直接記述できない場合は、ＸＳＬプロセッサ３２においては、電子透かしを埋め込むのための指示のみを対象文書に挿入するようにする。そして、実際に電子透かしを埋め込む処理は、専用のフィルタプログラム３３によって行う。データファイルを暗号化するならばアクセスを許可するといった条件を与える場合等の執行命令も同様の方法で実現することができる。
【００５５】
次に、本実施の形態を用いてデータへのオペレーションに関してログ（ｌｏｇ）ファイルへの書き込みを行う実施例について説明する。アクセス制御を行うシステムにおいて、オーディタビリティ（耐監査性）を確保することは重要である。そのためには、特定のデータへのオペレーションに関してログ（履歴）を残す仕組みがあると便利である。ここでは、どういう場合にログを取らなくてはいけないかをポリシーとして記述しておき、執行する実施例を示す。このポリシー記述は例えば次のように記述される。
ａｃｌ（ｕｓｅｒ（ＩＤ）， ｒｏｌｅ（ｉｓｓｕｅｒ）， ｄｏｃ（ｈｔｔｐ：／／ ｔｒｌ．ｉｂｍ．ｃｏｍ／ｘｍｌｆｏｒｍ／Ｘ）， ｗｒｉｔｅ（＊）） ＜− ｓｔａｔｕｓ（ｌｏｇ（ＩＤ， ｉｓｓｕｅｒ， Ｘ， ｗｒｉｔｅ， Ｔ））．
【００５６】
これに対し、次のようなアクセス要求が発行されたものとする。
？−ａｃｌ（ａｍａｎｏ， ｒｏｌｅ（ｉｓｓｕｅｒ） ｄｏｃ（ｈｔｔｐ：／／ｔｒｌ．ｉｂｍ．ｃｏｍ／ｘｍｌｆｏｒｍ／ ｔｒａｖｅｌＥｘｐｅｎｓｅＡｃｃｏｕｎｔ．ｘｍｌ＃ｌｉｎｐｕｔｆｉｅｌｄ） ，ｗｒｉｔｅ（”ｃｏｓｔ＝＄１００”））．
この場合、Ｓｕｂｊｅｃｔがポリシー記述、アクセス要求共にｒｏｌｅ（ｉｓｓｕｅｒ）で一致し、アクセス要求のＯｂｊｅｃｔがｄｏｃ（ｈｔｔｐ：／／ｔｒｌ．ｉｂｍ．ｃｏｍ／ｘｍｌｆｏｒｍ／ ｔｒａｖｅｌＥｘｐｅｎｓｅＡｃｃｏｕｎｔ．ｘｍｌ＃ｌｉｎｐｕｔｆｉｅｌｄ）で、ポリシー記述のＯｂｊｅｃｔであるｄｏｃ（ｈｔｔｐ：／／ ｔｒｌ．ｉｂｍ．ｃｏｍ／ｘｍｌｆｏｒｍ／Ｘ）に含まれるものの、Ｏｐｅｒａｔｉｏｎであるｗｒｉｔｅ（”ｃｏｓｔ＝＄１００”）に対してｓｔａｔｕｓ（ｌｏｇ（ＩＤ， ｉｓｓｕｅｒ， Ｘ， ｗｒｉｔｅ， Ｔ）というＣｏｎｄｉｔｉｏｎが付けられている。ここで、ｓｔａｔｕｓが以下のようなルールであるものとする。
ｓｔａｔｕｓ（ｌｏｇ（Ｓｕｂｊ， Ｒｏｌｅ， Ｏｂｊ， Ｏｐ， Ｔ）） ＜− ｌｏｇ（Ｓｕｂｊ， Ｒｏｌｅ， Ｏｐ， Ｔ）．
ｓｔａｔｕｓ（ｌｏｇ（Ｓｕｂｊ， Ｒｏｌｅ， Ｏｂｊ， Ｏｐ， Ｔ）） ＜− ｍａｋｅｌｏｇ（Ｓｕｂｊ， Ｒｏｌｅ， Ｏｐ， Ｔ）．
この場合、まだｌｏｇという状態データは書きこまれていないので，ｓｔａｔｕｓの第１のルールは失敗する。そして、第２のルールが適用されて、ｍａｋｅｌｏｇ（．．）が条件となる条件付アクセス許可となる。
【００５７】
ｍａｋｅｌｏｇの要求を受けた執行モジュール３０は、対応する執行指示１２１を解析して元データへの書き込みが必要であることを検出する。そして、書き込み許可を得るために、ポリシー評価モジュール１０に対してログ書き込みのためのアクセス要求１３０を出す。このアクセス要求１３０は、例えば次のように記述される。
？−ａｃｌ（ｓｙｓ１， ｒｏｌｅ（ｓｙｓｔｅｍ） ｄｏｃ（ｈｔｔｐ：／／ｔｒｌ．ｉｂｍ．ｃｏｍ／ｘｍｌｆｏｒｍ／ ｔｒａｖｅｌＥｘｐｅｎｓｅＡｃｃｏｕｎｔ．ｘｍｌ＃ｌｏｇ ） ，ｗｒｉｔｅ（ｌｏｇ（ａｍａｎｏ， ｉｓｓｕｅｒ， ｔｒａｖｅｌＥｘｐｅｎｓｅＡｃｃｏｕｎｔ．ｘｍｌ＃ｉｓｓｕｅｒＦｉｅｌｄ， ｗｒｉｔｅ（”ｃｏｓｔ＝＄１００”）））．
これのアクセス要求１３０は、再度ポリシー規則を評価することによって可否が判断される。ここで、アクセスが許されたとすると、ログの書き込みが行われ、更に元のアクセス要求についても、条件が満たされることによってアクセスが許されることとなる。したがって、最終的に、元のアクセス要求に関して、そのログがアクセス対象である文書中に保存されることになる。
【００５８】
実際のログへの書き込み処理は、トランスコーディングの場合と同様にＸＭＬ文書間の変換ルールとして記述される。例えば、パーツのオーダー情報に関するアクセスのログを残すために図１２のような記述（ＸＳＬの変換ルールの書き方に従っている）を用意してシステムに登録しておく。これは”ＧＲ Ｈｅａｄ”という部品に関する数量と納期に関する情報を誰に開示したかということを記録するための記述である。図１２中の楕円で囲んだ＆Ｓｕｂｊｅｃｔ；の部分は、執行処理の実行時に指定されるパラメータ（この場合はアクセス要求の発行元）である。そして、＆Ｓｕｂｊｅｃｔ；の部分を実際の会社名等に置き換えた記述とオーダー情報を記述した執行処理対象文書をＸＳＬプロセッサ３２で処理することにより、図１３に示すようなログが追加された文書が生成される。
【００５９】
次に、本実施の形態を用いて時間条件付きアクセス許可を行う実施例について説明する。インターネット上で入札や競売を行う場合、「この情報は何月何日の何時以降ならば読んでも良い」というような条件を付けたアクセス制御を厳密に行う必要がある。ここでは、何時以降にアクセス可能になるかというポリシーの記述について説明する。そのようなポリシーは、時間条件付きアクセス許可（Ｔｅｍｐｏｒａｌ Ａｕｔｈｏｒｉｚａｔｉｏｎ）と呼ばれる。従来そのようなアクセス許可のポリシー記述は、次のように表現される。
ａｃｌ（ＡｎｙＵｓｅｒＩＤ， ｒｏｌｅ（ｅｍｐｌｏｙｅｅ）， ｄｏｃ（ｈｔｔｐ：／／ａｎｎｏｕｎｃｅ／ｂｏｎｕｓ．ｘｍｌ）， ｒｅａｄ） ：− ｇｅｔ＃ｔｉｍｅ（Ｔ）， Ｔ ＞ ”１９９９／０６／０３”．
これは、「ｅｍｐｌｏｙｅｅロールを持つユーザは、ｈｔｔｐ：／／ａｎｎｏｕｎｃｅ／ｂｏｎｕｓ．ｘｍｌを、１９９９年６月３日以後ならばｒｅａｄ権限を持つ」という意味である。この場合、ｇｅｔ＃ｔｉｍｅというシステム述語が現在時刻を求め、１９９９年６月３日よりも後ならば条件が満たされ、ｅｍｐｌｏｙｅｅはｂｏｎｕｓ．ｘｍｌに対してｒｅａｄ権限を持つことができる。
【００６０】
このようなアクセス許可を実行した場合、アクセス制御のセキュリティーがサーバのシステムクロックの値に依存してしまうという問題点がある。例えば、システム管理者がアクセス制御を行うサーバのシステムクロックを故意に変更した場合、本来はｒｅａｄ権限がない時間にｅｍｐｌｏｙｅｅがｒｅａｄできてしまう。ｒｅａｄアクセスをログに残したとしても、アクセス時刻の値にシステムクロックを使うと仮定すると、時限アクセス許可に対する不正アクセスを検知することができない。また、サーバのシステムクロックに対しては、ＯＳレベルでのアクセス制御が行われていると仮定する場合が多い。しかし、以上のアクセス許可では、時間条件付きアクセスについてＯＳレベルの仮定は必要ない。
【００６１】
これに対し、本実施の形態を時間条件付きアクセス許可に用いた実施例では、アクセス許可のポリシー記述は、次のように表現される。
ａｃｌ（ｕｓｅｒ（ＩＤ）， ｒｏｌｅ（ｅｍｐｌｏｙｅｅ）， ｄｏｃ（ｈｔｔｐ：／／ａｎｎｏｕｎｃｅ／ｂｏｎｕｓ．ｘｍｌ）， ｒｅａｄ） ：− ｓｔａｔｕｓ（ｔｉｍｅｓｔａｍｐ（Ｓ，Ｔ））， ｖｅｒｉｆｙ＃ｓｉｇｎａｔｕｒｅ（Ｓ）， Ｔ ＞ ”１９９９／０６／０３”．
これに対し、アクセス制御システム１００は、各モジュールごとに、以下のように処理を行う。
【００６２】
まず、ポリシー評価モジュール１０において、当該ポリシー記述の評価を行う。ここで、ｓｔａｔｕｓ（ｔｉｍｅｓｔａｍｐ（Ｓ，Ｔ））に関して次のルールが記述されているとする。
ｓｔａｔｕｓ（ｔｉｍｅｓｔａｍｐ（Ｓ，Ｔ）） ：− ｔｉｍｅｓｔａｍｐ（Ｓ，Ｔ）．
ｓｔａｔｕｓ（ｔｉｍｅｓｔａｍｐ（Ｓ，Ｔ）） ：− ｇｅｔ＃ｔｉｍｅｓｔａｍｐ（Ｓ，Ｔ）， ｍａｋｅｌｏｇ（ｔｉｍｅｓｔａｍｐ（Ｓ，Ｔ））．
ｔｉｍｅｓｔａｍｐ（Ｓ，Ｔ）というタイムスタンプデータは、まだリソースドキュメント４０に書き込まれていないので、ｓｔａｔｕｓの第１のルールは失敗する。そして、第２のルールが適用され、ｇｅｔ＃ｔｉｍｅｓｔａｍｐ（Ｓ，Ｔ）， ｍａｋｅｌｏｇ（ｔｉｍｅｓｔａｍｐ（Ｓ，Ｔ））が条件となる条件付きアクセス許可となる。ｖｅｒｉｆｙ＃ｓｉｇｎａｔｕｒｅ（Ｓ）とＴ ＞ ”１９９９／０６／０３”は、ポリシー評価モジュール１０では評価できないので、同様にして条件付きアクセス許可となる。最終的に、ｇｅｔ＃ｔｉｍｅｓｔａｍｐ（Ｓ，Ｔ）、 ｍａｋｅｌｏｇ（ｔｉｍｅｓｔａｍｐ（Ｓ，Ｔ））、ｖｅｒｉｆｙ＃ｓｉｇｎａｔｕｒｅ（Ｓ）、及びＴ ＞ ”１９９９／０６／０３”が外部条件１１３となって、ポリシー評価モジュール１０から執行機能検証モジュール２０へ送られる。
【００６３】
次に、執行機能検証モジュール２０において、当該外部条件を評価または実現できる執行モジュール３０の有無を検証する。ここで、執行機能検証モジュール２０は、図１４に示すようなテーブルを持っているものとする。図１４に示すテーブルは、Ｃｏｎｄｉｔｉｏｎ Ｅｘｐｒｅｓｓｉｏｎで表現された内容を処理できる執行モジュール３０の有無、及び処理できる執行モジュール３０のＣｏｍｐｏｎｅｎｔ名を定義したものである。図１４のテーブルにおいて、ｍａｋｅｌｏｇ／１は、１引数のｍａｋｅｌｏｇ述語を意味する。ｆｏｒｍｕｌａ＃ｅｘｐｒｅｓｓｉｏｎとは、四則演算などを含む式表現を意味する。これから、条件付きアクセス許可の全ての条件部が執行モジュール３０を用いて処理できることがわかる。そこで、執行機能検証モジュール２０から執行モジュール３０へ、［ｔｉｍｅｓｔａｍｐ＃ｐｒｏｃｅｓｓｏｒ，ｇｅｔ＃ｔｉｍｅｓｔａｍｐ（Ｓ，Ｔ）］、 ［ｌｏｇ＃ｐｒｏｃｅｓｓｏｒ，ｍａｋｅｌｏｇ（ｔｉｍｅｓｔａｍｐ（Ｓ，Ｔ））］、 ［ｓｉｇａｎｔｕｒｅ＃ｐｒｏｃｅｓｓｏｒ， ｖｅｒｉｆｙ＃ｓｉｇｎａｔｕｒｅ（Ｓ）］、及び［ｆｏｒｍｕｌａ＃ｐｒｏｃｅｓｓｏｒ，Ｔ ＞ ”１９９９／０６／０３”］）が執行指示１２１として送られる。
【００６４】
次に、執行モジュール３０において、各執行指示１２１に応じた処理を行う。以下、個別に説明する。
ｇｅｔ＃ｔｉｍｅｓｔａｍｐ（Ｓ，Ｔ）に対する処理
ｇｅｔ＃ｔｉｍｅｓｔａｍｐは、タイムスタンプ・プロセッサにより処理を行う。タイムスタンプ・プロセッサには、次のような執行処理プログラムが記述されている。
ｇｅｔ＃ｔｉｍｅｓｔａｍｐ（Ｓ，Ｔ） ：− ｇｅｔ＃ｔｒｕｓｔ（ｔｉｍｅｓｔａｍｐ， Ｃ）， ｇｅｔ＃ｔｉｍｅｓｔａｍｐ（Ｃ，Ｔ，Ｓ）．
ここで、ｇｅｔ＃ｔｒｕｓｔ／２は、データファイル２１０からｔｒｕｓｔの記述を取り出す述語である。例えば元の文書に次のようなｔｒｕｓｔ記述がある場合を考える。
ｔｒｕｓｔ（ｔｉｍｅｓｔａｍｐ， ”ｈｔｔｐ：／／ｗｗｗ．ｓｕｒｅｔｙ．ｃｏｍ”）．
これは、文書がｔｉｍｅｓｔａｍｐとして”ｓｕｒｅｔｙ”を信用することを意味する。データファイル２１０から文書１４１を検索した結果として、ｇｅｔ＃ｔｒｕｓｔの変数Ｃには、”ｈｔｔｐ：／／ｗｗｗ．ｓｕｒｅｔｙ．ｃｏｍ”が割り当てられる。この後、ｇｅｔ＃ｔｉｍｅｓｔａｍｐ述語により、Ｓｕｒｅｔｙ Ｔｉｍｅｓｔａｍｐ Ｓｅｒｖｉｃｅから時刻ＴのタイムスタンプＳが得られる。これで、執行指示１２１の最初の条件は満足した。尚、本実施例において、Ｔｉｍｅｓｔａｍｐ ＳｅｒｖｉｃｅはＳｕｒｅｔｙに限定することを意味しない。元の文書が信用するどのようなサービスも記述可能である。
【００６５】
ｍａｋｅｌｏｇ（ｔｉｍｅｓｔａｍｐ（Ｓ，Ｔ））に対する処理
ｍａｋｅｌｏｇは、ログ・プロセッサにより処理を行う。ログ・プロセッサは、以下のようなログの書込みのためのアクセス要求１３０を発行する。
ａｃｌ（ｓｙｓ１， ｒｏｌｅ（ｓｙｓｔｅｍ）， ｄｏｃ（ｈｔｔｐ：／／ａｎｎｏｕｎｃｅ／ｂｏｎｕｓ．ｘｍｌ＃ｌｏｇ）， ｗｒｉｔｅ）
そして、再度ポリシー規則を評価することによってログの書き込みの可否が判断される。アクセス制御システム１００がログに書き込みを行う権限を持つ場合、執行モジュール３０に対して、ポリシー評価モジュール１０からアクセス許可がなされる。これにより、ｍａｋｅｌｏｇはｌｏｇ（ｔｉｍｅｓｔａｍｐ（ｓｉｇｎａｔｕｒｅ＃ｖａｌｕｅ， １９９９／０６／０４））のタイムスタンプの書込みを行う。
【００６６】
ｖｅｒｉｆｙ＃ｓｉｇｎａｔｕｒｅ（Ｓ）に対する処理
ｖｅｒｉｆｙ＃ｓｉｇｎａｔｕｒｅは、署名プロセッサにより処理を行う。タイムスタンプの署名値を検証し、Ｖａｌｉｄなら真（正しい署名）、Ｉｎｖａｌｉｄなら偽（誤った署名）を返す。なお、Ｓｕｒｅｔｙの署名値はＶａｌｉｄだと仮定する。
【００６７】
Ｔ ＞ ”１９９９／０６／０３”に対する処理
式表現は、書式プロセッサにより処理を行う。Ｔはタイムスタンプの時刻の値、すなわち１９９９／０６／０４である。これは、Ｔ ＞ ”１９９９／０６／０３”なので処理結果として真（正しい書式）を返す。
【００６８】
以上により、執行機能検証モジュール２０から執行モジュール３０へ送られた、ｇｅｔ＃ｔｉｍｅｓｔａｍｐ（Ｓ，Ｔ）、ｍａｋｅｌｏｇ（ｔｉｍｅｓｔａｍｐ（Ｓ，Ｔ））、ｖｅｒｉｆｙ＃ｓｉｇｎａｔｕｒｅ（Ｓ）、及びＴ ＞ ”１９９９／０６／０３”の各執行指示１２１は全て真となる。これにより、結果的にポリシー評価モジュール１０において要求された、ａｃｌ（ｕｓｅｒ（ＩＤ）， ｒｏｌｅ（ｅｍｐｌｏｙｅｅ）， ｄｏｃ（ｈｔｔｐ：／／ａｎｎｏｕｎｃｅ／ｂｏｎｕｓ．ｘｍｌ）， ｒｅａｄ）の条件は全て満たされたこととなる。
【００６９】
ここで、最初に説明した時間条件アクセス許可の問題が解決されていることを説明する。上記の例でアクセスが許可された場合、元の文書のログ領域には必ずタイムスタンプの値が追加されている。タイムスタンプの値は所定の時刻に生成されたことを意味するが、そのタイムスタンプの値がログ領域にあるということは、タイムスタンプ時刻よりも現在時刻は必ず後であることを意味する。従って、仮にシステム管理者がポリシー評価モジュール１０や執行モジュール３０のシステムクロックの値を変更していたとしても、タイムスタンプの値を参照することによって時間条件を正しく検証できることを意味する。
【００７０】
【発明の効果】
以上説明したように、本発明によれば、アクセス制御において、アクセス要求に対してアクセスを許すか許さないかを判断するだけでなく、ある条件を満たせばアクセスを許すという条件付きのアクセス許可を評価することができる。
また、条件付きのアクセス許可において評価される条件が更に他の条件を満足することを要求する場合に、再帰的に当該他の条件に対する評価も行うことができる。
【図面の簡単な説明】
【図１】本実施の形態におけるアクセス制御システムを搭載するデータ管理サーバの構成を説明するための図である。
【図２】本実施の形態におけるアクセス制御システムの全体構成を説明するための図である。
【図３】アクセス制御システムの各モジュールに入出力されるデータの内容を定義するテーブルである。
【図４】アクセス制御システムがアクセス要求を処理する際の動作を説明するフローチャートである。
【図５】ポリシー評価モジュール１０によるポリシーの評価アルゴリズムを説明するフローチャートである。
【図６】ポリシー評価モジュール１０に入出力されるデータのうち、アクセス要求とポリシー規則のフォーマット及び表現例を説明する図である。
【図７】ポリシー評価モジュール１０に入出力されるデータのうち、環境データと外部条件のフォーマット及び表現例を説明する図である。
【図８】執行機能検証モジュール２０による執行機能検証アルゴリズムを説明するフローチャートである。
【図９】執行機能検証モジュール２０が用いるデータのフォーマットを説明する図である。
【図１０】執行モジュール３０の構成例を説明する図である。
【図１１】執行モジュール３０による執行処理を説明するフローチャートである。
【図１２】データへのオペレーションに関してログファイルへの書き込みを行う実施例において、文書にアクセスのログを残すための記述を説明する図である。
【図１３】図１２の記述に応じて文書にログが追加された状態を説明する図である。
【図１４】執行機能検証モジュール２０が執行モジュールの検証を行うために用いるテーブルを例示して説明する図である。
【符号の説明】
１０…ポリシー評価モジュール、２０…執行機能検証モジュール、３０…執行モジュール、４０…リソースドキュメント、１００…アクセス制御システム、２００…データ管理サーバ、２１０…データファイル、２２０…データ管理サブシステム、２３０…ユーザ認証サブシステム、２４０…アクセス制御サブシステム
【発明の属する技術分野】
本発明は、アクセス制御におけるポリシー記述に対する評価とこれを実現するための条件部の執行とを行う方法に関する。
【０００２】
【従来の技術】
従来、データファイルへのアクセス制御におけるポリシーの記述手段としては、ＡＴＴのＫｅｙＮｏｔｅｓ ［ＢＦＩＫ９９］（ＰｏｌｉｃｙＭａｋｅｒ ［ＢＲＬ９６］）、ＧＡＣＬ ［ＷＬ９３］ ［ＷＬ９８］、ＡＳＬ ［ＪＳＳＢ９７］などが知られている。アクセスの可否を判定するためのルールである、これらのポリシー記述は、いずれもアクセス・コントロール・リスト（ＡＣＬ）と呼ばれる（Ｓｕｂｊ，Ｏｂｊ， Ｏｐ）の３つ組リストを基本にしている。これは、アクセスの主体（Ｓｕｂｊ）がアクセスの対象（Ｏｂｊ）に対して、ある操作（Ｏｐ）が許されることを示している。したがって、全てのアクセス要求に答えるためには、あらゆる３つ組みの組み合わせに対してＡＣＬを用意する必要がある。
【０００３】
上記のポリシー記述手段では、これを簡略化するために、変数を使ったパターンマッチングを記述できるようにし、さらに、変数を限定する条件式を書くために、ＡＣＬ（Ｓｕｂｊ， Ｏｂｊ， Ｏｐ）≦Ｃｏｎｄ（Ｓｕｂｊ， Ｏｂｊ， Ｏｐ）というようなルールを導入している。すなわち、アクセス要求におけるあらゆる３つ組みに対応するＡＣＬを用意するのは大がかりであるし困難であるので、変数を用いてポリシーを抽象化しておき、その変数に該当するアクセス要求については対応するＡＣＬにしたがってアクセス制御を行う。
【０００４】
また、ＡＣＬにおける制御対象の操作の記述方法には２種類ある。すなわち、許される操作だけを記述するものと、許される操作と許されない操作の両方を記述できるものである。前者は閉世界仮説（Ｃｌｏｓｅｄ Ｗｏｒｌｄ Ａｓｓｕｍｐｔｉｏｎ）とともに用いられる。閉世界仮説では、あるアクセス要求に対して、それに対応するＡＣＬがない場合にはその操作は許されないという解釈になる。したがって、ＡＣＬに許される操作だけを記述しておき、アクセス要求がＡＣＬのどのエントリにも合致しない場合は無条件に当該操作を拒絶する。一方、後者はＧＡＣＬなどに用いられているが、明示的な負の操作が指定されていない限り、操作を許すといったＤｅｆａｕｌｔ推論が用いられている。
【０００５】
ポリシーの評価方法にこうした差異はあるものの、従来のポリシー評価システムは全て、ポリシーを評価した結果をＹｅｓまたはＮｏの２値で返すようにしている。つまり、質問文？−ＡＣＬ（ｓｕｂｊ， ｏｂｊ， ｏｐ）に対して１または０のいずれかの値が返る。
【０００６】
【発明が解決しようとする課題】
上述したように、従来のアクセス制御におけるポリシーの評価技術は、アクセス要求に対してポリシーを評価した結果をＹｅｓまたはＮｏの２値のいずれかとしている。すなわち、アクセス要求に対してこれを許すか許さないかの判断しか行うことができない。このため、ある条件を満たせばＹｅｓ（Ｙｅｓ ｗｉｔｈ ｃｏｎｄｉｔｉｏｎ）というような応答を行うことができず、柔軟性に欠けていた。
【０００７】
このため、データの暗号化やフォーマット変換を行うならばアクセスを許すといった実施インストラクションを行ったり、読み出したデータに電子透かしを入れたり、アクセスログの書き込みを行ったり、時間条件に応じてアクセスを許したりするというように、様々な条件に基づく複雑なアクセス制御を汎用的に実施することができなかった。
【０００８】
本発明は以上のような技術的課題を解決するためになされたものであって、アクセス制御において、アクセス要求に対してアクセスを許すか許さないかを判断するだけでなく、ある条件を満たせばアクセスを許すという条件付きのアクセス許可を評価できるようにすることを目的とする。
【０００９】
更に、条件付きのアクセス許可において評価される条件が更に他の条件を満足することを要求する場合に、再帰的に当該他の条件に対する評価も行うことができるようにすることを他の目的とする。
【００１０】
【課題を解決するための手段】
かかる目的のもと、本発明は、アクセス制御システムであって、データファイルに格納されているデータに関連するポリシー記述を格納したリソースドキュメントと、外部からデータファイルにアクセスするためのアクセス要求を受け付けて、リソースドキュメントからこのアクセス要求のアクセス対象であるデータに関連付けられたポリシー記述を取り出して評価することにより、このアクセス要求を許可するか否かを決定するポリシー評価手段と、取り出されたこのポリシー記述中に、ポリシー評価手段が持つ情報だけでは評価できない条件がある場合に、この条件の評価または実現が可能かどうかを判断する執行機能検証手段と、この執行機能検証手段により評価または実現が可能であると判断された条件の評価または実現を実行する執行手段とを備えることを特徴としている。
【００１１】
ここで、執行手段は、ポリシー評価手段が持つ情報だけでは評価できない条件に対する評価または実現の内容に応じて複数設けることができ、執行機能検証手段は、執行手段が複数ある場合に、いずれの執行手段がポリシー評価手段から受け取った条件の評価または実現を可能かについてさらに検証することを特徴としている。これにより、条件の内容に柔軟に対応することが可能となる点で好ましい。また、条件の評価または実現が可能な執行手段の検証には、例えば、執行手段のコンポーネントとそのコンポーネントが執行できる条件とを関連付けて格納したリストを用いることができる。
【００１２】
さらに執行手段は、執行機能検証手段により評価または実現が可能であると判断された条件に対する評価または実現を実行するために他のデータ部分に対するアクセスを要する場合に、ポリシー評価手段に対してこのデータ部分へのアクセス要求を発行し、ポリシー評価手段は、外部から受け付けるアクセス要求と同様に、執行手段からなされたアクセス要求に対しても、アクセス対象であるデータに関連付けられたポリシー記述の評価を行うことを特徴としている。これにより、条件の評価または実現のために再帰的にアクセス要求を行うことが可能となる点で優れている。尚、データ部分とは、アクセス対象である文書の他の部分であっても、他の文書の所定の部分であっても良い。
【００１３】
この執行手段は、データファイル中の書き込みまたは変更を行う部分を検出してポリシー評価手段にアクセス要求を発行する書き込み／変更対象検出手段と、ポリシー評価手段からこのアクセス要求に対するアクセス許可の回答を受けた場合に、データ部分への書き込みまたは変更を実行する書き込み／変更実行手段とを備え、この書き込み／変更実行手段は、プラグインにより所望の機能を用意できることを特徴としている。これにより、条件に対する評価または実現に複雑な処理を要する場合にも、プラグインで対応機能を追加できるため、柔軟に対応することができる点で好ましい。書き込み／変更実行手段としては、例えば、アクセス対象がＸＭＬ文書である場合には、ＸＭＬデータと変換ルールを読み込んで新たなＸＭＬデータを生成する標準のツールであるＸＳＬプロセッサを用いることができる。この場合も、複雑な処理を実現するためにプラグインソフトを追加できるのは同様である。
【００１４】
また、本発明は、外部から所定のデータファイルにアクセスするためのアクセス要求を受け付けて、アクセス対象であるデータに関連付けられたポリシー記述を評価することにより、このアクセス要求を許可するか否かを決定するアクセス制御方法において、アクセス要求を受け付けて、アクセス要求のアクセス対象であるデータに関連付けられたポリシー記述を取得するステップと、取得されたポリシー記述中の条件を評価するステップと、取得されたポリシー記述中にそのままでは評価できない条件がある場合に、この条件を満足するための処理が執行可能かどうかを判断するステップと、この条件を満足するための処理が執行可能であると判断された場合に、かかる処理を執行するステップと、この条件を満足するための処理が執行された後に、ポリシー記述中の全ての条件に対する評価結果に応じて、このアクセス要求を許可するか否かを決定するステップとを含むことを特徴としている。なお、条件を満足するための処理とは、具体的にはかかる条件を評価または実現するための処理である。
【００１５】
ここで、ポリシー記述中の条件を評価するステップは、受け付けたアクセス要求のパラメータと前記取得したポリシー記述中の規則とを照合して合致する規則を検出するステップと、検出された規則の条件部を評価するステップと、この規則の条件部がそのままでは評価することができない場合に、かかる条件を集めて、この条件を満足するための処理が執行可能かどうかを判断するステップに移行するステップとを含むことを特徴としている。
さらにここで、ポリシー記述中の規則の条件部を評価するステップに先だって、アクセス要求のパラメータと合致する規則が複数検出された場合に、所定の規則に基づいて前記規則に対する評価の優先順位を決定するステップを更に含むことを特徴としている。このようにすれば、条件に合致する規則が複数ある場合に適切な規則を適用することができる。尚、優先順位は、ポリシー規則に優先度を指定しておき、その優先度にしたがって決定するようにしても良い。また、同一の条件に合致する規則として、アクセス不許可となるポリシー規則とアクセス許可となるポリシー規則とがある場合は、不用意にアクセスを許可してしまうことを防止するため、アクセス不許可となるポリシー規則を優先させるようにしても良い。
【００１６】
さらに、ポリシー記述中の条件を満足するための処理が執行可能かどうかを判断するステップは、ポリシー記述中の条件を評価するステップにおいて作成された、ポリシー記述中の情報のみに基づいて評価することができない規則の条件の集合を受け付けて、個々の条件を取り出すステップと、取り出された各条件ごとにこの条件を満足するための処理を執行する機能が用意されているかどうかを判定するステップと、この条件を満足するための処理を執行する機能が用意されていると判定した場合に、この機能を呼び出すステップとを含むことを特徴としている。条件を満足するための処理を執行する機能が用意されているかどうかを検証するには、上述したように、執行手段のコンポーネントとそのコンポーネントが執行できる条件とを関連付けて格納したリストを用いることができる。
【００１７】
さらに、ポリシー記述中の条件を満足するための処理を執行するステップは、このポリシー記述中の条件を満足するための処理が執行可能かどうかを判断するステップにおいて呼び出された機能により、所定のデータファイル中から、ポリシー記述中の条件に基づいて書き込みまたは変更を行うデータ部分を検出するステップと、書き込みまたは変更を行うために必要なアクセス要求を発行するステップと、この書き込みまたは変更を行うために必要なアクセス要求に対するアクセス許可の回答を受けた場合に、データ部分への書き込みまたは変更を実行するステップとを含むことを特徴としている。尚、データ部分とは、上述したように、アクセス対象である文書の他の部分であっても、他の文書の所定の部分であっても良い。
【００１８】
また、本発明は、コンピュータに実行させるプログラムをこのコンピュータの入力手段が読取可能に記憶した記憶媒体において、このプログラムは、外部から所定のデータファイルにアクセスするためのアクセス要求を受け付けて、このアクセス要求のアクセス対象であるデータに関連付けられたポリシー記述を取得する処理と、取得されたポリシー記述中の条件を評価する処理と、取得されたポリシー記述中にそのままでは評価できない条件がある場合に、この条件を満足するための処理が執行可能かどうかを判断する処理と、この条件を満足するための処理が執行可能であると判断された場合に、かかる処理を執行する処理と、この条件を満足するための処理が執行された後に、ポリシー記述中の全ての条件に対する評価結果に応じて、このアクセス要求を許可するか否かを決定する処理とをコンピュータに実行させることを特徴としている。このようにすれば、このプログラムをロードしたコンピュータにおいて、条件付きのアクセス許可に対応するアクセス評価を実現することができる。
【００１９】
ここで、プログラムは、ポリシー記述中の条件を満足するための処理を執行するために、ポリシー記述中の条件を満足するための処理が執行可能かどうかを判断する処理において呼び出された機能により、所定のデータファイル中から、ポリシー記述中の条件に基づいて書き込みまたは変更を行うデータ部分を検出する処理と、書き込みまたは変更を行うために必要なアクセス要求を発行する処理と、書き込みまたは変更を行うために必要なアクセス要求に対するアクセス許可の回答を受けた場合に、データ部分への書き込みまたは変更を実行する処理とを前記コンピュータに実行させることを特徴としている。このようにすれば、このプログラムをロードしたコンピュータにおいて、条件付きのアクセス許可に対し、かかる条件を満足するために再帰的にアクセス要求を行うことが可能となる。
【００２０】
また、本発明は、コンピュータに、外部から所定のデータファイルにアクセスするためのアクセス要求を受け付けて、このアクセス要求のアクセス対象であるデータに関連付けられたポリシー記述を取得する処理と、取得されたポリシー記述中の条件を評価する処理と、取得されたポリシー記述中にそのままでは評価できない条件がある場合に、この条件を満足するための処理が執行可能かどうかを判断する処理と、この条件を満足するための処理が執行可能であると判断された場合に、かかる処理を執行する処理と、この条件を満足するための処理が執行された後に、ポリシー記述中の全ての条件に対する評価結果に応じて、このアクセス要求を許可するか否かを決定する処理とを実行させるプログラムを記憶する記憶手段と、この記憶手段からこのプログラムを読み出して送信する送信手段とを備えたことを特徴としている。このようなプログラム伝送装置により、プログラムの提供形態としてＣＤ−ＲＯＭ等の記憶媒体を介すことなく、顧客に対して本発明の技術を提供することが可能となる。
【００２１】
ここで、記憶手段に記憶されているプログラムは、ポリシー記述中の条件を満足するための処理を執行するために、ポリシー記述中の条件を満足するための処理が執行可能かどうかを判断する処理において呼び出された機能により、所定のデータファイル中から、ポリシー記述中の条件に基づいて書き込みまたは変更を行うデータ部分を検出する処理と、書き込みまたは変更を行うために必要なアクセス要求を発行する処理と、書き込みまたは変更を行うために必要なアクセス要求に対するアクセス許可の回答を受けた場合に、データ部分への書き込みまたは変更を実行する処理とをコンピュータに実行させることを特徴としている。
【００２２】
また、本発明は、単一のソースで記述された情報に関してフォーマットの変換が可能ならば読み取りを許可するという条件を持つポリシー記述を格納する手段と、このポリシー記述に合致する所定のアクセス要求を受け付けた場合に、かかる条件を満足するための、フォーマットを変換する処理を行う機能があるかどうかを調べると共に、この機能があると判断した場合に、この機能を呼び出してかかる条件を満足するための処理を実行させる手段と、この条件を満足するための処理が実行された場合に、このアクセス要求に対してアクセスを許可する手段とを備えることを特徴としている。このようにすれば、トランスコーディングを条件としてアクセス許可を行うことが可能となる。
【００２３】
また、本発明は、アクセス対象である文書に電子透かしを埋め込むならば読みとりを許可するという条件を持つポリシー記述を格納する手段と、このポリシー記述に合致する所定のアクセス要求を受け付けた場合に、かかる条件を満足するための、文書に電子透かしを埋め込む処理を行う機能があるかどうかを調べると共に、この機能があると判断した場合に、この機能を呼び出してかかる条件を満足するための処理を実行させる手段と、この条件を満足するための処理が実行された場合に、このアクセス要求に対してアクセスを許可する手段とを備えることを特徴としている。このようにすれば、トランスコーディングの一態様として、文書に電子透かしを埋め込むことを条件としてアクセス許可を行うことが可能となる。なお、トランスコーディングの更に別の態様として文書の暗号化についても同様に行うことが可能である。
【００２４】
また、本発明は、アクセス対象である文書にアクセス履歴を書き込むならばこの文書へのアクセスを許可するという条件を持つポリシー記述を格納する手段と、このポリシー記述に合致する所定のアクセス要求を受け付けた場合に、かかる条件を満足するための、文書にアクセス履歴を書き込む処理を行う機能があるかどうかを調べると共に、この機能があると判断した場合に、この機能を呼び出してかかる条件を満足するための処理を実行させる手段と、この条件を満足するための処理が実行された場合に、このアクセス要求に対してアクセスを許可する手段とを備えることを特徴としている。このようにすれば、文書にアクセス履歴を残すことを条件としてアクセス許可を行うことが可能となる。
ここで、アクセス対象である文書にアクセス履歴を書き込む機能において、このアクセス履歴の書き込みを行うための文書へのアクセス要求を再帰的に行う手段を更に備えることを特徴としている。このようにすれば、文書にアクセス履歴を書き込むためにこの文書に再帰的にアクセスすること自体をアクセス許可の評価対象として、セキュリティーを高めることができる。なお、アクセス履歴を書きこむ対象はアクセス対象となった文書でもまた別の文書の一部であってもよい。
【００２５】
また、本発明は、アクセス対象である文書に対してアクセス時のタイムスタンプをアクセス履歴として書き込むならばアクセスを許可するという条件を持つポリシー記述を格納する手段と、このポリシー記述に合致する所定のアクセス要求を受け付けた場合に、かかる条件を満足するための、文書にアクセス時のタイムスタンプをアクセス履歴として書き込む処理を行う機能があるかどうかを調べると共に、この機能があると判断した場合に、この機能を呼び出してかかる条件を満足するための処理を実行させる手段と、この条件を満足するための処理が実行された場合に、このアクセス要求に対してアクセスを許可する手段とを備えることを特徴としている。このようにすれば、時間的条件付きアクセス許可を厳密に行うことが可能となる。
【００２６】
さらにまた、本発明は、データファイルに格納されているデータに関連するポリシー記述を格納したリソースドキュメントと、外部からこのデータファイルにアクセスするためのアクセス要求を受け付けて、リソースドキュメントからこのアクセス要求のアクセス対象であるデータに関連付けられたポリシー記述を取り出して評価することにより、このアクセス要求を許可するか否かを決定するポリシー評価手段と、取り出されたポリシー記述中に、ポリシー評価手段が持つ情報だけでは評価できない条件がある場合に、他の処理を行うことによりこの条件の評価または実現が可能かどうかを判断する執行機能検証手段とを備えることを特徴としている。ここで、ポリシー評価手段が持つ情報だけでは評価できない条件を評価または実現するために必要な処理としては、アクセス対象であるデータファイルのデータ形式の変換や、アクセス対象であるデータファイルに対するアクセス履歴を残すといった動作がある。すなわち、これらの動作を実行することができる場合にのみ、ポリシー記述にこれらの条件を持つアクセス要求が許可されることとなる。
【００２７】
【発明の実施の形態】
以下、添付図面に示す実施の形態に基づいてこの発明を詳細に説明する。
まず、本発明の概要を説明すると、本発明では、アクセス制御において行うポリシー評価の結果を、従来のようなＹｅｓまたはＮｏの２値ではなく、ブール代数による多値とし、その中間値を「この条件を満たせばＹｅｓ」と解釈する。これによって、ポリシー評価とそれを実現するための条件部の執行とを統一的に表現できる枠組みを提供する。この実現法としては、アクセス制御のためのポリシー記述をＩｆ−ｔｈｅｎ型ルールに拡張し、その評価に論理型言語の評価法である部分評価を用いる。そして、Ｉｆ部を、条件チェックと、実施のインストラクションの両方に用いる。これによって、ポリシーの記述が簡潔かつ宣言的になり、かつ、ポリシー全体の整合性が、論理型言語の枠組みで判断できるようになる。
【００２８】
図１は、本実施の形態におけるアクセス制御システムを搭載するデータ管理サーバの構成を説明するための図である。同図において、符号２００はデータ管理サーバである。符号２１０はデータファイルであり、アクセス対象となるデータや文書を格納している。符号２２０はデータ管理サブシステムであり、データや文書を管理し、検索等のサービスを提供する。符号２３０はユーザ認証サブシステムであり、登録されたユーザだけがデータ管理サーバ２００の機能を利用できることを保証する。符号２４０はアクセス制御サブシステムであり、ユーザ認証サブシステム２３０と共に、特定のユーザによる特定のアクセス要求だけを受け付けて、データ管理サブシステム２２０が提供するサービスを利用できるようにアクセス制御する。また、データ管理サーバ２００は、アクセス制御サブシステム２４０によるアクセス制御に用いるために、管理されているデータや文書及びユーザに関連する各種の情報を外部から入力する。図示の例では、所定の外部ファイル３００からユーザのＩＤを補足するための当該ユーザが所属する組織の組織図を入力したり、タイムスタンプサーバ４００から時間情報を取得したりすることができる。
【００２９】
データ管理サーバ２００に格納されている所望のデータや文書にアクセスしようとするユーザは、まず、ユーザ端末５００からデータ管理サーバ２００のユーザ認証サブシステム２３０にアクセスしてシステムにログインする。この際、ユーザ認証サブシステム２３０は、パスワードの照合等の手段により、当該ユーザが登録されているユーザ（管理されているデータや文書にアクセスが許されているユーザ）かどうかを判断する。
次に、ユーザは、所望するデータへのアクセス要求をアクセス制御サブシステム２４０に対して発行する。アクセス制御サブシステム２４０は、ユーザ認証サブシステム２３０から受け取ったログイン情報や当該アクセス要求の内容、アクセス制御のためのセキュリティーポリシー等に基づいてアクセスの可否を判定する。この際、必要に応じて、組織図や時間情報等を入力してアクセス可否の判定に利用する。
アクセス制御サブシステム２４０によるアクセス可否の判定の結果、アクセスが許可された場合は、データ管理サブシステム２２０によってデータファイル２１０から該当するデータまたは文書が読み出され、アクセス制御サブシステム２４０を介してユーザ端末５００へ送信される。詳細な動作については後述するが、アクセス制御サブシステム２４０は、ポリシー記述の内容によっては、読み出されたデータを変換したり、元のデータに履歴情報（ログファイル等）を追加したりすることができる。
【００３０】
図２は、本実施の形態におけるアクセス制御システムの全体構成を説明するための図である。なお、図２のアクセス制御システム１００は、図１のアクセス制御サブシステム２４０に相当する。同図において、符号１０はポリシー評価モジュールであり、アクセス要求を受けて、アクセス対象であるデータに関連付けられたポリシー記述を評価する。符号２０は執行機能検証モジュールであり、ポリシー評価モジュール１０が持つ情報だけでは評価できない条件（以下、外部条件と呼ぶ）が評価対象のポリシー記述中にある場合に、当該外部条件の評価や実現が可能かどうかを判断する。符号３０は執行モジュールであり、執行機能検証モジュール２０により評価や実現が可能であると判断された外部条件の評価や実現を実行する。執行モジュール３０は、執行する外部条件の評価や実現の内容に応じて複数設けることができる。したがって、執行機能検証モジュール２０は、執行モジュール３０が複数ある場合には、ポリシー評価モジュール１０から受け取った外部条件の評価や実現が、用意されているいずれの執行モジュール３０により可能かについても検証する。符号４０はリソースドキュメントであり、アクセス対象であるデータに関連するポリシー記述を格納している。なお、アクセス制御システム１００はコンピュータにて実現され、上記各モジュールは当該コンピュータに上記各処理を実行させるためのプログラムモジュールとして実現される。
【００３１】
図３は、図２中に示された、各モジュール１０、２０、３０に入出力されるデータの内容を定義するテーブルである。図３を参照すると、ポリシー評価モジュール１０に入力されるアクセス要求１１０、１３０の構成は（Ｓｕｂｊｅｃｔ， Ｏｂｊｅｃｔ，Ｒｏｌｅ （ｏｒ Ｕｉｄ）， Ｏｐｅｒａｔｉｏｎ）であり、ポリシー評価モジュール１０から執行機能検証モジュール２０へ送られる外部条件の情報１１３の構成は条件リスト｛Ｃｏｎｄｉｔｉｏｎ−Ｌｉｓｔ｝であり、執行機能検証モジュール２０から執行モジュール３０へ送られる執行指示１２１の構成は執行を指示するデータセット｛Ｉｎｓｔｒｕｃｔｉｏｎ−Ｓｅｔ｝である。また、ポリシー評価モジュール１０によりリソースドキュメント４０から読み出されるポリシー記述１４０と、図１のデータファイル２１０からデータ管理サブシステム２２０を介して執行モジュール３０へ送られる文書１３４と、執行モジュール３０からデータ管理サブシステム２２０を介してデータファイル２１０へ送られる更新情報１３３とはＸＭＬ文書（ＸＭＬ Ｄｏｃｕｍｅｎｔ）である。また、ポリシー評価モジュール１０、執行機能検証モジュール２０及び執行モジュール３０からそれぞれ出力されるアクセス不許可１１２、１２０、１３１はアクセス要求に対する不許可を示すデータ列（ａ ｓｔｒｉｎｇ ｏｆ ”ｄｅｎｉｅｄ”）であり、ポリシー評価モジュール１０から出力されるアクセス許可１１１はアクセス要求に対する許可を示すデータ列（ａ ｓｔｒｉｎｇ ｏｆ ”ｐｅｒｍｉｓｓｉｏｎ”）であり、執行モジュール３０から出力されるリソーストランスコード１３２はＨＴＭＬ、ＸＭＬ等の文書やデータ列等（ＨＴＭＬ， ＸＭＬ， ｓｔｒｉｎｇ， ｅｔｃ．）である。
【００３２】
図４は、図２に示した本実施の形態におけるアクセス制御システム１００がアクセス要求を処理する際の動作を説明するフローチャートである。
図４に示される一連の処理は、ユーザーからのアクセス要求１１０により起動されるか、またはアクセス要求に対する処理の中で特定の執行モジュール３０により二次的に発行されるアクセス要求１３０により再帰的に起動される。
アクセス要求１１０，１３０を受け付けると、ポリシー評価モジュール１０は、まず、アクセス対象である文書に対応するポリシー記述１４０をリソースドキュメント４０から検出し（ステップ４０１）、そのポリシー記述１４０を評価する（ステップ４０２）。そして、全てのポリシー記述１４０の中の条件が評価可能であれば、その評価結果に応じてアクセス許可１１１またはアクセス不許可１１２という結果を、当該アクセス要求１１０を発行したユーザに回答する（ステップ４０３、４０４、４０５）。
【００３３】
これに対し、ポリシー記述１４０の中にポリシー評価モジュール１０だけでは評価できない条件があった場合は、条件付き許可と判定され、ポリシー評価モジュール１０から執行機能検証モジュール２０へ外部条件の情報１１３が渡される（ステップ４０３）。
執行機能検証モジュール２０は、システム内に用意されている執行モジュール３０のリストを持っている。そこで、執行機能検証モジュール２０は、外部条件の情報１１３を受け取ると、当該外部条件を評価しまたは実現できる執行モジュール３０を検索する（ステップ４０６）。そして、適当な執行モジュール３０が見つからなかった場合、アクセス不許可１２０という結果を当該アクセス要求１１０を発行したユーザに回答する（ステップ４０７、４０８）。
【００３４】
一方、当該外部条件を評価しまたは実現できる執行モジュール３０が見つかった場合は、該当する執行モジュール３０が呼び出されて当該外部条件の評価及び実現が行われる（ステップ４０７、４０９）。執行モジュール３０における当該外部条件の評価の結果がアクセス許可である場合、または条件の実現に成功した場合は、リソーストランスコード１３２が出されると共に、ポリシー評価モジュール１０に戻って、さらに他のポリシー記述１４０の評価が続行される（ステップ４１０）。そして、最終的にポリシー記述１４０の中の全ての条件が評価され、アクセス許可と判断されたならば、執行モジュール３０において出されたリソーストランスコード１３２と共にアクセス許可１１１という結果を当該アクセス要求１１０を発行したユーザに回答する。
また、執行モジュール３０における当該外部条件の評価の結果がアクセス不許可である場合、または執行モジュール３０が当該外部条件の実現に失敗した場合は、アクセス不許可１３１という結果を当該アクセス要求１１０を発行したユーザに回答する（ステップ４１１）。
【００３５】
ここで、執行モジュール３０での処理において、当該外部条件を満たすために他の文書やアクセス対象である文書中の他のセクションに対してアクセスが必要な場合は、アクセス要求１３０をポリシー評価モジュール１０に発行して、再帰的に評価させることができる。このように、外部条件を満たすために行われる再帰的なアクセス要求自体をアクセス許可の評価対象とすることにより、他段階の評価を行うことができ、セキュリティーを高めることができる。
さらに、執行モジュール３０において、当該外部条件を満たすために当該ユーザが所属する組織の構成やアクセス日時といった個別の情報を必要とする場合は、それらの情報を提供するファイルやサーバにアクセスして必要な情報を取得することができる。
【００３６】
次に、個々のモジュールに関して、機能を詳細に説明する。
図５は、ポリシー評価モジュール１０によるポリシーの評価アルゴリズムを説明するフローチャートである。図６及び図７は、ポリシー評価モジュール１０に入出力されるデータのフォーマット及び表現例を説明する図である。
図５を参照すると、まず、アクセス要求１１０を入力してパラメータを受け取る（ステップ５０１）。アクセス要求の書式は、図６のアクセス要求の欄を参照すると、アクセスを要求する主体（ユーザなど）を識別するデータである Ｓｕｂｊｅｃｔ と、アクセス対象を識別するデータである Ｏｂｊｅｃｔ と、アクセス対象に対する操作を識別するデータである Ｏｐｅｒａｔｉｏｎ とをパラメータとする。このパラメータは、「ＳｕｂｊｅｃｔがＯｂｊｅｃｔに対してＯｐｅｒａｔｉｏｎの操作権限（アクセス権）を要求している」を意味する。また、図６には、アクセス要求の具体例が記載されており、ＳｕｂｊｅｃｔがＮｉｈｏｎ Ｔａｒｏｈ／ＩＢＭ／Ｊａｐａｎであり、Ｏｂｊｅｃｔがｈｔｔｐ：／／ａｄｍｉｎ．ｔｒｌ．ｃｏｍ／／ｆｏｒｍ／ｅｘｐｅｎｓｅ．ｘｍｌであり、Ｏｐｅｒａｔｉｏｎがｒｅａｄ（ｈｔｍｌ）であるようなアクセス要求がなされたことを示している。このアクセス要求は「Ｎｉｈｏｎ Ｔａｒｏｈ／ＩＢＭ／Ｊａｐａｎというユーザ名でログインしたユーザが、ａｄｍｉｎ．ｔｒｌ．ｃｏｍサーバに置かれているｅｘｐｅｎｓｅ．ｘｍｌというファイルに対して、ＨＴＭＬ形式での読み取りを要求する」ことを意味している。なお、ここでは入力をアクセス要求１１０としたが、執行モジュール３０から出力されたアクセス要求１３０を入力した場合も同様の処理を行う。
【００３７】
次に、リソースドキュメント４０の中に格納されているアクセス制御用のポリシー記述の中から、アクセス要求パラメータの全てのパラメータ（Ｓｕｂｊｅｃｔ， Ｏｂｊｅｃｔ， Ｏｐｅｒａｔｉｏｎ）と合致する規則を検索する（ステップ５０２）。そして、検出したポリシー規則１４０を入力として受け取る。ポリシー規則の書式は、図６のアクセス制御ポリシー規則の欄を参照すると、アクセス許可ユーザを識別するデータである Ｓｕｂｊｅｃｔ と、アクセス許可対象を識別するデータである Ｏｂｊｅｃｔ と、アクセス許可操作を識別するデータ Ｏｐｅｒａｔｉｏｎ と、アクセスを許可する条件の記述である Ｃｏｎｄｉｔｉｏｎ とをパラメータとする。このパラメータは、「Ｃｏｎｄｉｔｉｏｎの条件が満足された時、ＳｕｂｊｅｃｔがＯｂｊｅｃｔに対してＯｐｅｒａｔｉｏｎの操作権限を持つ」というルールを意味する。また、図６にはポリシー規則の具体例が記載されており、Ｓｕｂｊｅｃｔがｅｍｐｌｏｙｅｅであり、Ｏｂｊｅｃｔがｈｔｔｐ：／／ａｄｍｉｎ．ｔｒｌ．ｃｏｍ／／ｆｏｒｍ／ｅｘｐｅｎｓｅ．ｘｍｌであり、Ｏｐｅｒａｔｉｏｎがｒｅａｄ（ｈｔｍｌ）であり、Ｃｏｎｄｉｔｉｏｎがｔｒａｎｓｃｏｄｅ（ｉｎ， ｏｕｔ）であるようなポリシー規則を示している。このポリシー規則は「ｅｍｐｌｏｙｅｅというロール（データにアクセスするための資格）をもったユーザまたはアプリケーションに対して、データをＨＴＭＬに変換することができる場合に限り、ａｄｍｉｎ．ｔｒｌ．ｃｏｍサーバに置かれているｅｘｐｅｎｓｅ．ｘｍｌというファイルに対して読み取りを行うことを許可する」ということを意味している。
【００３８】
ここで、合致とは、Ｓｕｂｊｅｃｔ、Ｏｂｊｅｃｔ、Ｏｐｅｒａｔｉｏｎ等の値がそれぞれ整合することである。例えば、アクセス評価要求パラメータのＳｕｂｊｅｃｔが‘ａｍａｎｏ’ならば、アクセス制御ポリシー規則の中で‘ａｍａｎｏ’というユーザＩＤや‘ａｍａｎｏ’を含むＴＲＬというグループ名が記述されている規則が合致して取り出される。
【００３９】
また、アクセス制御ポリシー規則の検索において、パラメータとの合致の検証に用いるために、リソースドキュメント４０の中に格納されている環境データも受け取る。環境データの書式は、図７の環境データの欄を参照すると、ポリシー評価モジュール内で真である事実の列挙や任意の事実である Ｅｎｖｉｒｏｎｍｅｎｔ をパラメータとする。このパラメータは、「Ｅｎｖｉｒｏｎｍｅｎｔはポリシー評価時に真として扱う」を意味する。また、図７には、環境データの具体例が記載されており、Ｎｉｈｏｎ Ｔａｒｏｈ／ＩＢＭ／Ｊａｐａｎというユーザはｅｍｐｌｏｙｅｅというロールになることができるという事実が環境データとして存在することを示している。この環境データを図６のアクセス要求及びポリシー規則の具体例に適用すれば、アクセス要求にあるＮｉｈｏｎ Ｔａｒｏｈ／ＩＢＭ／Ｊａｐａｎというユーザがポリシー規則のｅｍｐｌｏｙｅｅというロールをもったユーザという条件を満たすことがわかる。
【００４０】
次に、規則検証処理として、ステップ５０２で合致したポリシー規則が複数ある場合に、どのように複数のポリシー規則を評価するかを決定する（ステップ５０３）。例えば、ポリシー規則に優先度が指定されている場合はその優先度順に正しく評価されるように並べ替えたり、アクセス不許可をアクセス許可より優先させるというルールを用意してポリシー規則を二つに分類し並べ替えるなどの処理を行う。このようにすれば、不用意にアクセスを許可してしまうことを防止することができる。合致した規則がない場合の処理もここで規定する。例えば、閉世界ポリシーの場合は無条件にアクセス不許可とする。
【００４１】
次に、ステップ５０３で処理されたポリシー規則の条件部を評価する（ステップ５０４）。ポリシー規則の条件部にリソースドキュメント４０に存在する値を使った条件が記述されている場合、当該リソースドキュメント４０から該当する値を取り出す。当該条件部の中で、リソースドキュメント４０から取り出された値に基づいた条件は評価可能であるとする。
【００４２】
次に、ステップ５０３の評価結果を判定し（ステップ５０５）、全ての条件が評価可能でありかつ全てが真と評価される場合はアクセス許可とする（ステップ５０６）。また、全ての条件が評価可能でありかつ一つ以上の条件が偽となる場合はアクセス不許可とする（ステップ５０８）。
さらにまた、評価不可能な条件がある場合は、当該評価できない条件だけからなる外部条件を作成し、条件付きアクセス許可の条件として、執行機能検証モジュール２０へ処理を移行する（ステップ５０７）。外部条件の書式は、図７の外部条件の欄を参照すると、ポリシー評価モジュール１０内で真であるかどうか不明の事実のリストである ＥｘｔｅｒｎａｌＣｏｎｄｉｔｉｏｎ をパラメータとする。このパラメータは、「アクセス制御ポリシー規則のＣｏｎｄｉｔｉｏｎの中で、環境データや、ポリシー評価モジュールのシステム関数などを使って即時に真偽を判断できない条件」を意味する。また、図７には外部条件の具体例が記載されており、図６のアクセス要求及びポリシー規則を評価した結果、ポリシー評価モジュール１０から執行機能検証モジュール２０へ、ｅｘｐｅｎｓｅ．ｘｍｌをＨＴＭＬに変換することができるかどうかを意味する外部条件が送信されることを意味する。
執行機能検証モジュール２０の処理へ移行した後は、執行モジュール３０による処理を経て再びポリシー評価モジュール１０に処理が戻り、最終的な評価結果の判定がなされる。ただし、後述するように、執行機能検証モジュール２０または執行モジュール３０において当該外部条件を評価できないまたは実現できないと判断された場合は、ポリシー評価モジュール１０に戻ることなくアクセス不許可となる。
【００４３】
図８は、執行機能検証モジュール２０による執行機能検証アルゴリズムを説明するフローチャートである。図９は、執行機能検証モジュール２０が用いるデータのフォーマットを説明する図である。
図８を参照すると、まず、ポリシー評価モジュール１０から送られた条件付きアクセス許可における外部条件の情報を入力すると共に、執行機能検証モジュール２０に内蔵されている執行モジュールリストから、執行モジュール３０として登録されているＣｏｍｐｏｎｅｎｔの情報を読み出す（ステップ８０１）。執行モジュールリストから受け取る執行モジュール３０に関する情報の書式は、図９を参照すると、条件付きアクセス要求の条件部である Ｃｏｎｄｉｔｉｏｎ Ｅｘｐｒｅｓｓｉｏｎ と、条件を処理できるコンポーネントの有無を示す Ｃａｐａｂｉｌｉｔｙ と、条件を処理するコンポーネントを示す Ｃｏｍｐｏｎｅｎｔ Ｎａｍｅ と、コンポーネントの引数である Ｃｏｍｐｏｎｅｎｔ Ａｒｇｕｍｅｎｔ とをパラメータとする。図９には執行モジュール３０に関する情報の具体例が記載されており、Ｃｏｎｄｉｔｉｏｎ Ｅｘｐｒｅｓｓｉｏｎがｔｒａｎｓｃｏｄｅ＃ｔｙｐｅ＃１（＊．ｘｍｌ， ｈｔｍｌ）であり、Ｃａｐａｂｉｌｉｔｙ ＣｈｅｃｋがＡｖａｉｌａｂｌｅであり、Ｃｏｍｐｏｎｅｎｔ Ｎａｍｅがｃ：￥ｔｏｏｌｓ￥ｊａｒ￥ｅｎｆｏｒｃｅｒｌ．ｊａｒであり、Ｃｏｍｐｏｎｅｎｔ Ａｒｇｕｍｅｎｔがｃ：￥ｅｎｆｏｒｃｅｍｅｎｔ￥ｔｒａｎｓｃｏｄｅ＃ｔｙｐｅ＃１．ｘｓｌであるような情報が存在することを示す。この情報は「ｔｒａｎｓｃｏｄｅ＃ｔｙｐｅ＃１という外部条件を満たすＥｎｆｏｒｃｅｍｅｎｔ機構が利用可能であり、ｅｎｆｏｒｃｅｒｌ．ｊａｒというプログラムにｔｒａｎｓｃｏｄｅ＃ｔｙｐｅ＃１．ｘｓｌというパラメータファイルを与えてデータを処理することにより条件の実現が可能である」ということを意味している。
【００４４】
次に、外部条件として入力した複数の条件から順番に一つずつ条件を取り出す（ステップ８０２）。そして、ステップ８０１で取得したＣｏｎｄｉｔｉｏｎ Ｅｘｐｒｅｓｓｉｏｎの中に、ステップ８０２で取り出された条件を満たすエントリーがあるかどうかをチェックする（ステップ８０３）。そのようなエントリーがある場合は、更に次の条件とＣｏｎｄｉｔｉｏｎ Ｅｘｐｒｅｓｓｉｏｎとの照合を行い、外部条件を構成する全ての条件に対して照合が終わるまで処理を繰り返す（ステップ８０４）。
一方、外部条件を構成する条件のうち一つでも、その条件を満たすエントリーがなかった場合は、アクセス不許可１２０を出力して処理を終了する（ステップ８０５）。
【００４５】
以上のようにして、外部条件を構成する全ての条件に関してその条件を満たすエントリーが検出されたならば、すなわち、外部条件におけるパラメータが全て検証されたならば、執行モジュール３０による処理へ移行する。このときの執行モジュール３０への執行指示１２１の書式は、執行モジュールリストから読み出された情報におけるＣｏｍｐｏｎｅｎｔ ＮａｍｅとＣｏｍｐｏｎｅｎｔ Ａｒｇｕｍｅｎｔの組み合わせを複数のリストとして構成したものである。例えば、（（ｌｏｔｕｓｘｓｌ．ｊａｒ， ｔｒａｎｓｃｏｄｅ．ｘｓｌ） （ｄｏｍｈａｓｈ．ｊａｒ， ｓｉｇｎａｔｕｒｅ．ｘｍｌ））である。
【００４６】
図１０は、執行モジュール３０の構成例を説明する図である。図１０を参照すると、執行モジュール３０は、書き込み／変更対象検出手段３１と、ＸＳＬプロセッサ３２と、プラグイン可能なフィルタプログラム３３とを備える。
書き込み／変更対象検出手段３１は、ＸＭＬ文書における書き込みや変換を行う部分を検出する。ＸＳＬプロセッサ３２は、ＸＭＬデータと変換ルールを読み込んで新たなＸＭＬデータを生成する標準のツールである。フィルタプログラム３３は、ＸＳＬプロセッサ３２では処理できない内容の執行指示を実現するプログラムであり、プラグインにより所望の機能を用意することができる。
執行モジュール３０による執行処理は、データファイル２１０の中のＸＭＬ文書に対してある種の変換操作を施し、別のＸＭＬ文書を生成する処理として実現される。執行処理の具体的な内容をしめす執行指示１２１は、ＸＭＬ文書に対する変換ルールを記述したＸＳＬデータとして表現される。
【００４７】
図１１は、執行モジュール３０による執行処理を説明するフローチャートである。図１１を参照すると、まず、書き込み／変更対象検出手段３１は、ＸＳＬで記述された変換ルール（執行指示１２１）を解析し、変換対象であるＸＭＬ文書１３４に対して書き込みや変更が行われる可能性がある部分を検出する（ステップ１１０１）。ここで、執行モジュール３０による処理は、最初のアクセス要求１１０に対する評価に必要な条件を満足するために実行される処理であることから、変換対象であるＸＭＬ文書は、必ずしもアクセス要求１１０のアクセス対象であるとは限らない。例えば、アクセス要求１１０のアクセス対象であるデータファイルに関連する他のファイルである場合もある。また、検出は、例えば対象文書１３４に試験的に変換ルールを適用してみて元の文書との木構造を比較することにより行う。執行処理に伴い、元データの書き込みや変更の必要があることがわかった場合には、ポリシー評価モジュール１０へアクセス要求１３０を行って問い合わせる（ステップ１１０２）。そして、ポリシー評価モジュール１０がアクセスを許可された場合にのみ当該処理を続行する（ステップ１１０３）。
【００４８】
ポリシー評価モジュール１０によりアクセスが不許可とされた場合は、それまでに行った執行命令の処理を元にもどし、あるいは一時データに対して行った処理をリソースドキュメント４０に書き戻さずに（ステップ１１０８）、条件の実現に失敗したことを執行機能検証モジュール２０及びポリシー評価モジュール１０に通知して終了する（ステップ１１０９）。これにより、当該条件の評価または実現が不可能であり、当該条件を含むアクセス要求が不許可１３１となる。
【００４９】
ポリシー評価モジュール１０によりアクセスが許可された場合は、ＸＳＬプロセッサ３２が、変換対象であるＸＭＬ文書１３４の変換を行う（ステップ１１０４）。暗号化や透かし等のように、執行としての詳細な手続きを、ＸＳＬで直接記述できない場合は、ＸＳＬプロセッサ３２によって暗号化や透かしのための指示のみを対象ＸＭＬ文書１３４に挿入しておく。そして、実際の処理は、適当なフィルタプログラム３３によって行う（ステップ１１０５）。
【００５０】
執行指示１２１に記述された全ての変換処理が終了した時点で、執行モジュール３０は、執行機能検証モジュール２０及びポリシー評価モジュール１０に条件が実現されたことを通知して終了する（ステップ１１０６、１１０７）。ＸＳＬプロセッサ３２とフィルタプログラム３３によって生成された執行済みＸＭＬ文書データは、更新情報１３３として、データ管理サブシステム２２０を介してデータファイル２１０に書き戻されるか、またはリソーストランスコード１３２としてアクセス許可の回答１１１と共にアクセス要求１１０の発行元に対して開示される。
【００５１】
次に、本実施の形態を用いた具体的な実施例について説明する。
まず、本実施の形態を用いてデータのトランスコーディングを行う実施例について説明する。ここで、トランスコーディングとは、単一のソースで記述された情報をアクセス要求者のセキュリティーレベルや通信路、表示デバイスの性能等に応じてフォーマットを変換して通信することをいう。ここでは、ＸＭＬベースで記述された帳票情報（各フィールドの意味を示す名前がＸＭＬのタグで記述されている）に読み取り要求が発行されたとき、再利用可能性の度合いの低いＨＴＭＬ形式ならば読み取りを許可する、といったポリシー記述がある場合の実施例を示す。このポリシー規則は例えば次のように記述される。
ａｃｌ（＊， ｒｏｌｅ（ｅｍｐｌｏｙｅｅ）， ｄｏｃ（ｈｔｔｐ：／／ ｔｒｌ．ｉｂｍ．ｃｏｍ／ｘｍｌｆｏｒｍ／Ｘ）， ｒｅａｄ（Ｆｏｒｍ）） ＜− ｔｒａｎｓｃｏｄｅ（Ｘ， ｘｍｌ， Ｆｏｒｍ）．
【００５２】
これに対し、旅費申請フォームをＨＴＭＬ経由で読みたいというアクセス要求が発行されたものとする。このアクセス要求は例えば次のように記述される。
？−ａｃｌ（ａｍａｎｏ， ｒｏｌｅ（ｅｍｐｌｏｙｅｅ） ｄｏｃ（ｈｔｔｐ：／／ｔｒｌ．ｉｂｍ．ｃｏｍ／ｘｍｌｆｏｒｍ／ ｔｒａｖｅｌＥｘｐｅｎｓｅＡｃｃｏｕｎｔ．ｘｍｌ ） ，ｒｅａｄ（ｈｔｍｌ））．
この場合、Ｓｕｂｊｅｃｔがポリシー記述、アクセス要求共にｒｏｌｅ（ｅｍｐｌｏｙｅｅ）で一致し、アクセス要求のＯｂｊｅｃｔがｄｏｃ（ｈｔｔｐ：／／ｔｒｌ．ｉｂｍ．ｃｏｍ／ｘｍｌｆｏｒｍ／ ｔｒａｖｅｌＥｘｐｅｎｓｅＡｃｃｏｕｎｔ．ｘｍｌ ）で、ポリシー記述のＯｂｊｅｃｔであるｄｏｃ（ｈｔｔｐ：／／ ｔｒｌ．ｉｂｍ．ｃｏｍ／ｘｍｌｆｏｒｍ／Ｘ）に含まれるものの、Ｏｐｅｒａｔｉｏｎであるｒｅａｄ（ｈｔｍｌ）に対してｔｒａｎｓｃｏｄｅ（Ｘ， ｘｍｌ，Ｆｏｒｍ）というＣｏｎｄｉｔｉｏｎが付けられているので、ポリシー評価モジュール１０による評価の結果は条件付アクセス許可となる。ポリシー評価モジュール１０から執行機能検証モジュール２０へ送られる外部条件は、ＸＭＬフォームをＨＴＭＬに変換できればアクセスを許可するという条件であり、例えば次のように記述される。
ｔｒａｎｓｃｏｄｅ（ｔｒａｖｅｌＥｘｐｅｎｓｅＡｃｃｏｕｎｔ．ｘｍｌ， ｘｍｌ， ｈｔｍｌ）
【００５３】
したがって、アクセス制御システム１００がＸＭＬで記述された対象フォームをＨＴＭＬに変換する執行モジュール３０を持っていれば、アクセスが許可されることとなる。かかる執行モジュール３０がある場合、執行モジュール３０には、ＸＭＬで記述された対象フォームをＨＴＭＬに変換するためのＸＳＬ記述が与えられる。ＸＳＬプロセッサ３２は、このＸＳＬ記述と元のフォームデータを処理して表示用のＨＴＭＬデータを生成する。そして、生成されたＨＴＭＬデータが当該アクセス要求を発行したユーザへ返送される。
【００５４】
次に、本実施の形態を用いて文書に電子透かしを挿入する実施例について説明する。かかる処理は、トランスコーディングの変形例として扱うことができる。すなわち、ポリシー記述としてＸという画像中に，アクセスしたユーザのＩＤを埋め込むならばアクセスを許可するという条件を用意しておく。この条件を含む規則は、例えば図値のように記述される。
ａｃｌ（ｕｓｅｒ（ＩＤ）， ｒｏｌｅ（ｓｕｂｓｃｒｉｂｅｒ）， ｄｏｃ（ｈｔｔｐ：／／ ｔｒｌ．ｉｂｍ．ｃｏｍ／ｉｍａｇｅ／Ｘ）， ｒｅａｄ） ＜− ｅｍｂｅｄ（Ｘ， ＩＤ）．
電子透かしのように処理が複雑で執行の詳細な手続きを直接記述できない場合は、ＸＳＬプロセッサ３２においては、電子透かしを埋め込むのための指示のみを対象文書に挿入するようにする。そして、実際に電子透かしを埋め込む処理は、専用のフィルタプログラム３３によって行う。データファイルを暗号化するならばアクセスを許可するといった条件を与える場合等の執行命令も同様の方法で実現することができる。
【００５５】
次に、本実施の形態を用いてデータへのオペレーションに関してログ（ｌｏｇ）ファイルへの書き込みを行う実施例について説明する。アクセス制御を行うシステムにおいて、オーディタビリティ（耐監査性）を確保することは重要である。そのためには、特定のデータへのオペレーションに関してログ（履歴）を残す仕組みがあると便利である。ここでは、どういう場合にログを取らなくてはいけないかをポリシーとして記述しておき、執行する実施例を示す。このポリシー記述は例えば次のように記述される。
ａｃｌ（ｕｓｅｒ（ＩＤ）， ｒｏｌｅ（ｉｓｓｕｅｒ）， ｄｏｃ（ｈｔｔｐ：／／ ｔｒｌ．ｉｂｍ．ｃｏｍ／ｘｍｌｆｏｒｍ／Ｘ）， ｗｒｉｔｅ（＊）） ＜− ｓｔａｔｕｓ（ｌｏｇ（ＩＤ， ｉｓｓｕｅｒ， Ｘ， ｗｒｉｔｅ， Ｔ））．
【００５６】
これに対し、次のようなアクセス要求が発行されたものとする。
？−ａｃｌ（ａｍａｎｏ， ｒｏｌｅ（ｉｓｓｕｅｒ） ｄｏｃ（ｈｔｔｐ：／／ｔｒｌ．ｉｂｍ．ｃｏｍ／ｘｍｌｆｏｒｍ／ ｔｒａｖｅｌＥｘｐｅｎｓｅＡｃｃｏｕｎｔ．ｘｍｌ＃ｌｉｎｐｕｔｆｉｅｌｄ） ，ｗｒｉｔｅ（”ｃｏｓｔ＝＄１００”））．
この場合、Ｓｕｂｊｅｃｔがポリシー記述、アクセス要求共にｒｏｌｅ（ｉｓｓｕｅｒ）で一致し、アクセス要求のＯｂｊｅｃｔがｄｏｃ（ｈｔｔｐ：／／ｔｒｌ．ｉｂｍ．ｃｏｍ／ｘｍｌｆｏｒｍ／ ｔｒａｖｅｌＥｘｐｅｎｓｅＡｃｃｏｕｎｔ．ｘｍｌ＃ｌｉｎｐｕｔｆｉｅｌｄ）で、ポリシー記述のＯｂｊｅｃｔであるｄｏｃ（ｈｔｔｐ：／／ ｔｒｌ．ｉｂｍ．ｃｏｍ／ｘｍｌｆｏｒｍ／Ｘ）に含まれるものの、Ｏｐｅｒａｔｉｏｎであるｗｒｉｔｅ（”ｃｏｓｔ＝＄１００”）に対してｓｔａｔｕｓ（ｌｏｇ（ＩＤ， ｉｓｓｕｅｒ， Ｘ， ｗｒｉｔｅ， Ｔ）というＣｏｎｄｉｔｉｏｎが付けられている。ここで、ｓｔａｔｕｓが以下のようなルールであるものとする。
ｓｔａｔｕｓ（ｌｏｇ（Ｓｕｂｊ， Ｒｏｌｅ， Ｏｂｊ， Ｏｐ， Ｔ）） ＜− ｌｏｇ（Ｓｕｂｊ， Ｒｏｌｅ， Ｏｐ， Ｔ）．
ｓｔａｔｕｓ（ｌｏｇ（Ｓｕｂｊ， Ｒｏｌｅ， Ｏｂｊ， Ｏｐ， Ｔ）） ＜− ｍａｋｅｌｏｇ（Ｓｕｂｊ， Ｒｏｌｅ， Ｏｐ， Ｔ）．
この場合、まだｌｏｇという状態データは書きこまれていないので，ｓｔａｔｕｓの第１のルールは失敗する。そして、第２のルールが適用されて、ｍａｋｅｌｏｇ（．．）が条件となる条件付アクセス許可となる。
【００５７】
ｍａｋｅｌｏｇの要求を受けた執行モジュール３０は、対応する執行指示１２１を解析して元データへの書き込みが必要であることを検出する。そして、書き込み許可を得るために、ポリシー評価モジュール１０に対してログ書き込みのためのアクセス要求１３０を出す。このアクセス要求１３０は、例えば次のように記述される。
？−ａｃｌ（ｓｙｓ１， ｒｏｌｅ（ｓｙｓｔｅｍ） ｄｏｃ（ｈｔｔｐ：／／ｔｒｌ．ｉｂｍ．ｃｏｍ／ｘｍｌｆｏｒｍ／ ｔｒａｖｅｌＥｘｐｅｎｓｅＡｃｃｏｕｎｔ．ｘｍｌ＃ｌｏｇ ） ，ｗｒｉｔｅ（ｌｏｇ（ａｍａｎｏ， ｉｓｓｕｅｒ， ｔｒａｖｅｌＥｘｐｅｎｓｅＡｃｃｏｕｎｔ．ｘｍｌ＃ｉｓｓｕｅｒＦｉｅｌｄ， ｗｒｉｔｅ（”ｃｏｓｔ＝＄１００”）））．
これのアクセス要求１３０は、再度ポリシー規則を評価することによって可否が判断される。ここで、アクセスが許されたとすると、ログの書き込みが行われ、更に元のアクセス要求についても、条件が満たされることによってアクセスが許されることとなる。したがって、最終的に、元のアクセス要求に関して、そのログがアクセス対象である文書中に保存されることになる。
【００５８】
実際のログへの書き込み処理は、トランスコーディングの場合と同様にＸＭＬ文書間の変換ルールとして記述される。例えば、パーツのオーダー情報に関するアクセスのログを残すために図１２のような記述（ＸＳＬの変換ルールの書き方に従っている）を用意してシステムに登録しておく。これは”ＧＲ Ｈｅａｄ”という部品に関する数量と納期に関する情報を誰に開示したかということを記録するための記述である。図１２中の楕円で囲んだ＆Ｓｕｂｊｅｃｔ；の部分は、執行処理の実行時に指定されるパラメータ（この場合はアクセス要求の発行元）である。そして、＆Ｓｕｂｊｅｃｔ；の部分を実際の会社名等に置き換えた記述とオーダー情報を記述した執行処理対象文書をＸＳＬプロセッサ３２で処理することにより、図１３に示すようなログが追加された文書が生成される。
【００５９】
次に、本実施の形態を用いて時間条件付きアクセス許可を行う実施例について説明する。インターネット上で入札や競売を行う場合、「この情報は何月何日の何時以降ならば読んでも良い」というような条件を付けたアクセス制御を厳密に行う必要がある。ここでは、何時以降にアクセス可能になるかというポリシーの記述について説明する。そのようなポリシーは、時間条件付きアクセス許可（Ｔｅｍｐｏｒａｌ Ａｕｔｈｏｒｉｚａｔｉｏｎ）と呼ばれる。従来そのようなアクセス許可のポリシー記述は、次のように表現される。
ａｃｌ（ＡｎｙＵｓｅｒＩＤ， ｒｏｌｅ（ｅｍｐｌｏｙｅｅ）， ｄｏｃ（ｈｔｔｐ：／／ａｎｎｏｕｎｃｅ／ｂｏｎｕｓ．ｘｍｌ）， ｒｅａｄ） ：− ｇｅｔ＃ｔｉｍｅ（Ｔ）， Ｔ ＞ ”１９９９／０６／０３”．
これは、「ｅｍｐｌｏｙｅｅロールを持つユーザは、ｈｔｔｐ：／／ａｎｎｏｕｎｃｅ／ｂｏｎｕｓ．ｘｍｌを、１９９９年６月３日以後ならばｒｅａｄ権限を持つ」という意味である。この場合、ｇｅｔ＃ｔｉｍｅというシステム述語が現在時刻を求め、１９９９年６月３日よりも後ならば条件が満たされ、ｅｍｐｌｏｙｅｅはｂｏｎｕｓ．ｘｍｌに対してｒｅａｄ権限を持つことができる。
【００６０】
このようなアクセス許可を実行した場合、アクセス制御のセキュリティーがサーバのシステムクロックの値に依存してしまうという問題点がある。例えば、システム管理者がアクセス制御を行うサーバのシステムクロックを故意に変更した場合、本来はｒｅａｄ権限がない時間にｅｍｐｌｏｙｅｅがｒｅａｄできてしまう。ｒｅａｄアクセスをログに残したとしても、アクセス時刻の値にシステムクロックを使うと仮定すると、時限アクセス許可に対する不正アクセスを検知することができない。また、サーバのシステムクロックに対しては、ＯＳレベルでのアクセス制御が行われていると仮定する場合が多い。しかし、以上のアクセス許可では、時間条件付きアクセスについてＯＳレベルの仮定は必要ない。
【００６１】
これに対し、本実施の形態を時間条件付きアクセス許可に用いた実施例では、アクセス許可のポリシー記述は、次のように表現される。
ａｃｌ（ｕｓｅｒ（ＩＤ）， ｒｏｌｅ（ｅｍｐｌｏｙｅｅ）， ｄｏｃ（ｈｔｔｐ：／／ａｎｎｏｕｎｃｅ／ｂｏｎｕｓ．ｘｍｌ）， ｒｅａｄ） ：− ｓｔａｔｕｓ（ｔｉｍｅｓｔａｍｐ（Ｓ，Ｔ））， ｖｅｒｉｆｙ＃ｓｉｇｎａｔｕｒｅ（Ｓ）， Ｔ ＞ ”１９９９／０６／０３”．
これに対し、アクセス制御システム１００は、各モジュールごとに、以下のように処理を行う。
【００６２】
まず、ポリシー評価モジュール１０において、当該ポリシー記述の評価を行う。ここで、ｓｔａｔｕｓ（ｔｉｍｅｓｔａｍｐ（Ｓ，Ｔ））に関して次のルールが記述されているとする。
ｓｔａｔｕｓ（ｔｉｍｅｓｔａｍｐ（Ｓ，Ｔ）） ：− ｔｉｍｅｓｔａｍｐ（Ｓ，Ｔ）．
ｓｔａｔｕｓ（ｔｉｍｅｓｔａｍｐ（Ｓ，Ｔ）） ：− ｇｅｔ＃ｔｉｍｅｓｔａｍｐ（Ｓ，Ｔ）， ｍａｋｅｌｏｇ（ｔｉｍｅｓｔａｍｐ（Ｓ，Ｔ））．
ｔｉｍｅｓｔａｍｐ（Ｓ，Ｔ）というタイムスタンプデータは、まだリソースドキュメント４０に書き込まれていないので、ｓｔａｔｕｓの第１のルールは失敗する。そして、第２のルールが適用され、ｇｅｔ＃ｔｉｍｅｓｔａｍｐ（Ｓ，Ｔ）， ｍａｋｅｌｏｇ（ｔｉｍｅｓｔａｍｐ（Ｓ，Ｔ））が条件となる条件付きアクセス許可となる。ｖｅｒｉｆｙ＃ｓｉｇｎａｔｕｒｅ（Ｓ）とＴ ＞ ”１９９９／０６／０３”は、ポリシー評価モジュール１０では評価できないので、同様にして条件付きアクセス許可となる。最終的に、ｇｅｔ＃ｔｉｍｅｓｔａｍｐ（Ｓ，Ｔ）、 ｍａｋｅｌｏｇ（ｔｉｍｅｓｔａｍｐ（Ｓ，Ｔ））、ｖｅｒｉｆｙ＃ｓｉｇｎａｔｕｒｅ（Ｓ）、及びＴ ＞ ”１９９９／０６／０３”が外部条件１１３となって、ポリシー評価モジュール１０から執行機能検証モジュール２０へ送られる。
【００６３】
次に、執行機能検証モジュール２０において、当該外部条件を評価または実現できる執行モジュール３０の有無を検証する。ここで、執行機能検証モジュール２０は、図１４に示すようなテーブルを持っているものとする。図１４に示すテーブルは、Ｃｏｎｄｉｔｉｏｎ Ｅｘｐｒｅｓｓｉｏｎで表現された内容を処理できる執行モジュール３０の有無、及び処理できる執行モジュール３０のＣｏｍｐｏｎｅｎｔ名を定義したものである。図１４のテーブルにおいて、ｍａｋｅｌｏｇ／１は、１引数のｍａｋｅｌｏｇ述語を意味する。ｆｏｒｍｕｌａ＃ｅｘｐｒｅｓｓｉｏｎとは、四則演算などを含む式表現を意味する。これから、条件付きアクセス許可の全ての条件部が執行モジュール３０を用いて処理できることがわかる。そこで、執行機能検証モジュール２０から執行モジュール３０へ、［ｔｉｍｅｓｔａｍｐ＃ｐｒｏｃｅｓｓｏｒ，ｇｅｔ＃ｔｉｍｅｓｔａｍｐ（Ｓ，Ｔ）］、 ［ｌｏｇ＃ｐｒｏｃｅｓｓｏｒ，ｍａｋｅｌｏｇ（ｔｉｍｅｓｔａｍｐ（Ｓ，Ｔ））］、 ［ｓｉｇａｎｔｕｒｅ＃ｐｒｏｃｅｓｓｏｒ， ｖｅｒｉｆｙ＃ｓｉｇｎａｔｕｒｅ（Ｓ）］、及び［ｆｏｒｍｕｌａ＃ｐｒｏｃｅｓｓｏｒ，Ｔ ＞ ”１９９９／０６／０３”］）が執行指示１２１として送られる。
【００６４】
次に、執行モジュール３０において、各執行指示１２１に応じた処理を行う。以下、個別に説明する。
ｇｅｔ＃ｔｉｍｅｓｔａｍｐ（Ｓ，Ｔ）に対する処理
ｇｅｔ＃ｔｉｍｅｓｔａｍｐは、タイムスタンプ・プロセッサにより処理を行う。タイムスタンプ・プロセッサには、次のような執行処理プログラムが記述されている。
ｇｅｔ＃ｔｉｍｅｓｔａｍｐ（Ｓ，Ｔ） ：− ｇｅｔ＃ｔｒｕｓｔ（ｔｉｍｅｓｔａｍｐ， Ｃ）， ｇｅｔ＃ｔｉｍｅｓｔａｍｐ（Ｃ，Ｔ，Ｓ）．
ここで、ｇｅｔ＃ｔｒｕｓｔ／２は、データファイル２１０からｔｒｕｓｔの記述を取り出す述語である。例えば元の文書に次のようなｔｒｕｓｔ記述がある場合を考える。
ｔｒｕｓｔ（ｔｉｍｅｓｔａｍｐ， ”ｈｔｔｐ：／／ｗｗｗ．ｓｕｒｅｔｙ．ｃｏｍ”）．
これは、文書がｔｉｍｅｓｔａｍｐとして”ｓｕｒｅｔｙ”を信用することを意味する。データファイル２１０から文書１４１を検索した結果として、ｇｅｔ＃ｔｒｕｓｔの変数Ｃには、”ｈｔｔｐ：／／ｗｗｗ．ｓｕｒｅｔｙ．ｃｏｍ”が割り当てられる。この後、ｇｅｔ＃ｔｉｍｅｓｔａｍｐ述語により、Ｓｕｒｅｔｙ Ｔｉｍｅｓｔａｍｐ Ｓｅｒｖｉｃｅから時刻ＴのタイムスタンプＳが得られる。これで、執行指示１２１の最初の条件は満足した。尚、本実施例において、Ｔｉｍｅｓｔａｍｐ ＳｅｒｖｉｃｅはＳｕｒｅｔｙに限定することを意味しない。元の文書が信用するどのようなサービスも記述可能である。
【００６５】
ｍａｋｅｌｏｇ（ｔｉｍｅｓｔａｍｐ（Ｓ，Ｔ））に対する処理
ｍａｋｅｌｏｇは、ログ・プロセッサにより処理を行う。ログ・プロセッサは、以下のようなログの書込みのためのアクセス要求１３０を発行する。
ａｃｌ（ｓｙｓ１， ｒｏｌｅ（ｓｙｓｔｅｍ）， ｄｏｃ（ｈｔｔｐ：／／ａｎｎｏｕｎｃｅ／ｂｏｎｕｓ．ｘｍｌ＃ｌｏｇ）， ｗｒｉｔｅ）
そして、再度ポリシー規則を評価することによってログの書き込みの可否が判断される。アクセス制御システム１００がログに書き込みを行う権限を持つ場合、執行モジュール３０に対して、ポリシー評価モジュール１０からアクセス許可がなされる。これにより、ｍａｋｅｌｏｇはｌｏｇ（ｔｉｍｅｓｔａｍｐ（ｓｉｇｎａｔｕｒｅ＃ｖａｌｕｅ， １９９９／０６／０４））のタイムスタンプの書込みを行う。
【００６６】
ｖｅｒｉｆｙ＃ｓｉｇｎａｔｕｒｅ（Ｓ）に対する処理
ｖｅｒｉｆｙ＃ｓｉｇｎａｔｕｒｅは、署名プロセッサにより処理を行う。タイムスタンプの署名値を検証し、Ｖａｌｉｄなら真（正しい署名）、Ｉｎｖａｌｉｄなら偽（誤った署名）を返す。なお、Ｓｕｒｅｔｙの署名値はＶａｌｉｄだと仮定する。
【００６７】
Ｔ ＞ ”１９９９／０６／０３”に対する処理
式表現は、書式プロセッサにより処理を行う。Ｔはタイムスタンプの時刻の値、すなわち１９９９／０６／０４である。これは、Ｔ ＞ ”１９９９／０６／０３”なので処理結果として真（正しい書式）を返す。
【００６８】
以上により、執行機能検証モジュール２０から執行モジュール３０へ送られた、ｇｅｔ＃ｔｉｍｅｓｔａｍｐ（Ｓ，Ｔ）、ｍａｋｅｌｏｇ（ｔｉｍｅｓｔａｍｐ（Ｓ，Ｔ））、ｖｅｒｉｆｙ＃ｓｉｇｎａｔｕｒｅ（Ｓ）、及びＴ ＞ ”１９９９／０６／０３”の各執行指示１２１は全て真となる。これにより、結果的にポリシー評価モジュール１０において要求された、ａｃｌ（ｕｓｅｒ（ＩＤ）， ｒｏｌｅ（ｅｍｐｌｏｙｅｅ）， ｄｏｃ（ｈｔｔｐ：／／ａｎｎｏｕｎｃｅ／ｂｏｎｕｓ．ｘｍｌ）， ｒｅａｄ）の条件は全て満たされたこととなる。
【００６９】
ここで、最初に説明した時間条件アクセス許可の問題が解決されていることを説明する。上記の例でアクセスが許可された場合、元の文書のログ領域には必ずタイムスタンプの値が追加されている。タイムスタンプの値は所定の時刻に生成されたことを意味するが、そのタイムスタンプの値がログ領域にあるということは、タイムスタンプ時刻よりも現在時刻は必ず後であることを意味する。従って、仮にシステム管理者がポリシー評価モジュール１０や執行モジュール３０のシステムクロックの値を変更していたとしても、タイムスタンプの値を参照することによって時間条件を正しく検証できることを意味する。
【００７０】
【発明の効果】
以上説明したように、本発明によれば、アクセス制御において、アクセス要求に対してアクセスを許すか許さないかを判断するだけでなく、ある条件を満たせばアクセスを許すという条件付きのアクセス許可を評価することができる。
また、条件付きのアクセス許可において評価される条件が更に他の条件を満足することを要求する場合に、再帰的に当該他の条件に対する評価も行うことができる。
【図面の簡単な説明】
【図１】本実施の形態におけるアクセス制御システムを搭載するデータ管理サーバの構成を説明するための図である。
【図２】本実施の形態におけるアクセス制御システムの全体構成を説明するための図である。
【図３】アクセス制御システムの各モジュールに入出力されるデータの内容を定義するテーブルである。
【図４】アクセス制御システムがアクセス要求を処理する際の動作を説明するフローチャートである。
【図５】ポリシー評価モジュール１０によるポリシーの評価アルゴリズムを説明するフローチャートである。
【図６】ポリシー評価モジュール１０に入出力されるデータのうち、アクセス要求とポリシー規則のフォーマット及び表現例を説明する図である。
【図７】ポリシー評価モジュール１０に入出力されるデータのうち、環境データと外部条件のフォーマット及び表現例を説明する図である。
【図８】執行機能検証モジュール２０による執行機能検証アルゴリズムを説明するフローチャートである。
【図９】執行機能検証モジュール２０が用いるデータのフォーマットを説明する図である。
【図１０】執行モジュール３０の構成例を説明する図である。
【図１１】執行モジュール３０による執行処理を説明するフローチャートである。
【図１２】データへのオペレーションに関してログファイルへの書き込みを行う実施例において、文書にアクセスのログを残すための記述を説明する図である。
【図１３】図１２の記述に応じて文書にログが追加された状態を説明する図である。
【図１４】執行機能検証モジュール２０が執行モジュールの検証を行うために用いるテーブルを例示して説明する図である。
【符号の説明】
１０…ポリシー評価モジュール、２０…執行機能検証モジュール、３０…執行モジュール、４０…リソースドキュメント、１００…アクセス制御システム、２００…データ管理サーバ、２１０…データファイル、２２０…データ管理サブシステム、２３０…ユーザ認証サブシステム、２４０…アクセス制御サブシステム
Claims (17)
- データファイルに格納されているデータに関連するポリシー記述を格納したリソースドキュメントと、
外部から前記データファイルにアクセスするためのアクセス要求を受け付けて、前記リソースドキュメントから当該アクセス要求のアクセス対象であるデータに関連付けられたポリシー記述を取り出すと共に、当該ポリシー記述中に、自身が持つ情報だけでは評価できない条件がないかどうかを判断し、そのような条件がなければ、当該条件を評価することにより、当該アクセス要求を許可するか否かを決定するポリシー評価手段と、
取り出された前記ポリシー記述中に、前記ポリシー評価手段が持つ情報だけでは評価できない条件がある場合に、当該条件の評価または実現が可能かどうかを判断する執行機能検証手段と、
前記執行機能検証手段により評価または実現が可能であると判断された前記条件の評価または実現を実行する執行手段とを備えることを特徴とするアクセス制御システム。 - 前記執行手段は、前記ポリシー評価手段が持つ情報だけでは評価できない条件に対する評価または実現の内容に応じて複数設けることができ、
前記執行機能検証手段は、前記執行手段が複数ある場合に、いずれの前記執行手段が前記ポリシー評価手段から受け取った前記条件の評価または実現を可能かについてさらに検証することを特徴とする請求項１に記載のアクセス制御システム。 - 前記執行手段は、前記執行機能検証手段により評価または実現が可能であると判断された前記条件に対する評価または実現を実行するために他のデータ部分に対するアクセスを要する場合に、前記ポリシー評価手段に対して当該データ部分へのアクセス要求を発行し、
前記ポリシー評価手段は、外部から受け付けるアクセス要求と同様に、前記執行手段からなされたアクセス要求に対しても、アクセス対象であるデータに関連付けられたポリシー記述の評価を行うことを特徴とする請求項１に記載のアクセス制御システム。 - 前記執行手段は、
データファイル中の書き込みまたは変更を行う部分を検出して前記ポリシー評価手段にアクセス要求を発行する書き込み／変更対象検出手段と、
前記ポリシー評価手段から前記アクセス要求に対するアクセス許可の回答を受けた場合に、前記データ部分への書き込みまたは変更を実行する書き込み／変更実行手段とを備え、
前記書き込み／変更実行手段は、プラグインにより所望の機能を用意できることを特徴とする請求項３に記載のアクセス制御システム。 - 外部から所定のデータファイルにアクセスするためのアクセス要求を受け付けて、アクセス対象であるデータに関連付けられたポリシー記述を評価することにより、当該アクセス要求を許可するか否かを決定するコンピュータにおけるアクセス制御方法において、
前記コンピュータが、アクセス要求を受け付けて、当該アクセス要求のアクセス対象であるデータに関連付けられたポリシー記述を取得するステップと、
前記コンピュータが、取得された前記ポリシー記述中の条件がそのまま評価できるかどうかを判断するステップと、
前記コンピュータが、取得された前記ポリシー記述中にそのままでは評価できない条件がある場合に、当該条件を満足するための処理が執行可能かどうかを判断するステップと、
前記コンピュータが、前記条件を満足するための処理が執行可能であると判断された場合に、当該処理を執行するステップと、
前記コンピュータが、前記条件を満足するための処理が執行された後に、前記ポリシー記述中の全ての条件に対する評価結果に応じて、前記アクセス要求を許可するか否かを決定するステップとを含むことを特徴とするアクセス制御方法。 - 前記ポリシー記述中の条件がそのまま評価できるかどうかを判断するステップは、
前記コンピュータが、前記受け付けたアクセス要求のパラメータと前記取得したポリシー記述中の規則とを照合して合致する規則を検出するステップと、
前記コンピュータが、検出された前記規則の条件部を評価するステップと、
前記コンピュータが、前記規則の条件部がそのままでは評価することができない場合に、当該条件を集めて、当該条件を満足するための処理が執行可能かどうかを判断するステップに移行するステップとを含むことを特徴とする請求項５に記載のアクセス制御方法。 - 前記ポリシー記述中の規則の条件部を評価するステップに先だって、前記コンピュータが、前記アクセス要求のパラメータと合致する前記規則が複数検出された場合に、所定の規則に基づいて前記規則に対する評価の優先順位を決定するステップを更に含むことを特徴とする請求項６に記載のアクセス制御方法。
- 前記ポリシー記述中の条件を満足するための処理が執行可能かどうかを判断するステップは、
前記コンピュータが、前記ポリシー記述中の条件を評価するステップにおいて作成された、前記ポリシー記述中の情報のみに基づいて評価することができない前記規則の条件の集合を受け付けて、個々の当該条件を取り出すステップと、
前記コンピュータが、取り出された各条件ごとに前記条件を満足するための処理を執行する機能が用意されているかどうかを判定するステップと、
前記コンピュータが、前記条件を満足するための処理を執行する機能が用意されていると判定した場合に、当該機能を呼び出すステップとを含むことを特徴とする請求項６に記載のアクセス制御方法。 - 前記ポリシー記述中の条件を満足するための処理を執行するステップは、
前記コンピュータが、前記ポリシー記述中の条件を満足するための処理が執行可能かどうかを判断するステップにおいて呼び出された機能により、所定のデータファイル中から、前記ポリシー記述中の条件に基づいて書き込みまたは変更を行うデータ部分を検出するステップと、
前記コンピュータが、前記書き込みまたは変更を行うために必要なアクセス要求を発行するステップと、
前記コンピュータが、前記書き込みまたは変更を行うために必要な前記アクセス要求に対するアクセス許可の回答を受けた場合に、前記データ部分への書き込みまたは変更を実行するステップとを含むことを特徴とする請求項８に記載のアクセス制御方法。 - コンピュータに実行させるプログラムを当該コンピュータの入力手段が読取可能に記憶した記憶媒体において、
前記プログラムは、
外部から所定のデータファイルにアクセスするためのアクセス要求を受け付けて、当該アクセス要求のアクセス対象であるデータに関連付けられたポリシー記述を取得する処理と、
取得された前記ポリシー記述中の条件がそのまま評価できるかどうかを判断する処理と、
取得された前記ポリシー記述中にそのままでは評価できない条件がある場合に、当該条件を満足するための処理が執行可能かどうかを判断する処理と、
前記条件を満足するための処理が執行可能であると判断された場合に、当該処理を執行する処理と、
前記条件を満足するための処理が執行された後に、前記ポリシー記述中の全ての条件に対する評価結果に応じて、前記アクセス要求を許可するか否かを決定する処理とを前記コンピュータに実行させることを特徴とする記憶媒体。 - 前記プログラムは、前記ポリシー記述中の条件を満足するための処理を執行するために、
前記ポリシー記述中の条件を満足するための処理が執行可能かどうかを判断する処理において呼び出された機能により、所定のデータファイル中から、前記ポリシー記述中の条件に基づいて書き込みまたは変更を行うデータ部分を検出する処理と、
前記書き込みまたは変更を行うために必要なアクセス要求を発行する処理と、
前記書き込みまたは変更を行うために必要な前記アクセス要求に対するアクセス許可の回答を受けた場合に、前記データ部分への書き込みまたは変更を実行する処理とを前記コンピュータに実行させることを特徴とする請求項１０に記載の記憶媒体。 - 単一のソースで記述された情報に関してフォーマットの変換が可能ならば読み取りを許可するという条件を持つポリシー記述を格納する手段と、
前記ポリシー記述に合致する所定のアクセス要求を受け付けた場合に、前記条件を満足するための、フォーマットを変換する処理を行う機能があるかどうかを調べると共に、当該機能があると判断した場合に、当該機能を呼び出して前記条件を満足するための処理を実行させる手段と、
前記条件を満足するための処理が実行された場合に、前記アクセス要求に対してアクセスを許可する手段とを備えることを特徴とするアクセス制御システム。 - アクセス対象である文書に電子透かしを埋め込むならば読みとりを許可するという条件を持つポリシー記述を格納する手段と、
前記ポリシー記述に合致する所定のアクセス要求を受け付けた場合に、前記条件を満足するための、文書に電子透かしを埋め込む処理を行う機能があるかどうかを調べると共に、当該機能があると判断した場合に、当該機能を呼び出して前記条件を満足するための処理を実行させる手段と、
前記条件を満足するための処理が実行された場合に、前記アクセス要求に対してアクセスを許可する手段とを備えることを特徴とするアクセス制御システム。 - アクセス対象である文書にアクセス履歴を書き込むならば当該文書へのアクセスを許可するという条件を持つポリシー記述を格納する手段と、
前記ポリシー記述に合致する所定のアクセス要求を受け付けた場合に、前記条件を満足するための、文書にアクセス履歴を書き込む処理を行う機能があるかどうかを調べると共に、当該機能があると判断した場合に、当該機能を呼び出して前記条件を満足するための処理を実行させる手段と、
前記条件を満足するための処理が実行された場合に、前記アクセス要求に対してアクセスを許可する手段とを備えることを特徴とするアクセス制御システム。 - 前記アクセス対象である文書にアクセス履歴を書き込む機能において、当該アクセス履歴の書き込みを行うための前記文書へのアクセス要求を再帰的に行う手段を更に備えることを特徴とする請求項１４に記載のアクセス制御システム。
- アクセス対象である文書に対してアクセス時のタイムスタンプをアクセス履歴として書き込むならばアクセスを許可するという条件を持つポリシー記述を格納する手段と、
前記ポリシー記述に合致する所定のアクセス要求を受け付けた場合に、前記条件を満足するための、文書にアクセス時のタイムスタンプをアクセス履歴として書き込む処理を行う機能があるかどうかを調べると共に、当該機能があると判断した場合に、当該機能を呼び出して前記条件を満足するための処理を実行させる手段と、
前記条件を満足するための処理が実行された場合に、前記アクセス要求に対してアクセスを許可する手段とを備えることを特徴とするアクセス制御システム。 - データファイルに格納されているデータに関連するポリシー記述を格納したリソースドキュメントと、
外部から前記データファイルにアクセスするためのアクセス要求を受け付けて、前記リソースドキュメントから当該アクセス要求のアクセス対象であるデータに関連付けられたポリシー記述を取り出すと共に、当該ポリシー記述中に、自身が持つ情報だけでは評価できない条件がないかどうかを判断し、そのような条件がなければ、当該条件を評価することにより、当該アクセス要求を許可するか否かを決定するポリシー評価手段と、
取り出された前記ポリシー記述中に、前記ポリシー評価手段が持つ情報だけでは評価できない条件がある場合に、他の処理を行うことにより当該条件の評価または実現が可能かどうかを判断する執行機能検証手段とを備えることを特徴とするアクセス制御システム。
Priority Applications (2)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP35817899A JP3546787B2 (ja) | 1999-12-16 | 1999-12-16 | アクセス制御システム、アクセス制御方法、及び記憶媒体 |
| US09/738,484 US6647388B2 (en) | 1999-12-16 | 2000-12-15 | Access control system, access control method, storage medium and program transmission apparatus |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP35817899A JP3546787B2 (ja) | 1999-12-16 | 1999-12-16 | アクセス制御システム、アクセス制御方法、及び記憶媒体 |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| JP2001184264A JP2001184264A (ja) | 2001-07-06 |
| JP3546787B2 true JP3546787B2 (ja) | 2004-07-28 |
Family
ID=18457946
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP35817899A Expired - Fee Related JP3546787B2 (ja) | 1999-12-16 | 1999-12-16 | アクセス制御システム、アクセス制御方法、及び記憶媒体 |
Country Status (2)
| Country | Link |
|---|---|
| US (1) | US6647388B2 (ja) |
| JP (1) | JP3546787B2 (ja) |
Cited By (1)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US7716490B2 (en) | 2005-05-17 | 2010-05-11 | Ricoh Company, Ltd. | Access control apparatus, access control method, access control program, recording medium, access control data, and relation description data |
Families Citing this family (249)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US7039214B2 (en) | 1999-11-05 | 2006-05-02 | Digimarc Corporation | Embedding watermark components during separate printing stages |
| US6522770B1 (en) | 1999-05-19 | 2003-02-18 | Digimarc Corporation | Management of documents and other objects using optical devices |
| US6869023B2 (en) | 2002-02-12 | 2005-03-22 | Digimarc Corporation | Linking documents through digital watermarking |
| US9630443B2 (en) | 1995-07-27 | 2017-04-25 | Digimarc Corporation | Printer driver separately applying watermark and information |
| US7142691B2 (en) * | 2000-03-18 | 2006-11-28 | Digimarc Corporation | Watermark embedding functions in rendering description files |
| AU2001283073A1 (en) * | 2000-08-03 | 2002-02-18 | Digimarc Corporation | Linking from paper invoices and statements to on-line resources |
| US6952485B1 (en) | 2000-09-11 | 2005-10-04 | Digimarc Corporation | Watermark encoding and decoding in imaging devices and imaging device interfaces |
| US7107279B2 (en) * | 2000-12-20 | 2006-09-12 | Insitech Group, Inc. | Rapid development in a distributed application environment |
| US7013332B2 (en) * | 2001-01-09 | 2006-03-14 | Microsoft Corporation | Distributed policy model for access control |
| JP2002207739A (ja) * | 2001-01-12 | 2002-07-26 | Ns Solutions Corp | ドキュメント管理システム |
| AU2002235471A1 (en) * | 2001-01-26 | 2002-08-06 | Full Armor Corporation | Policy implementation |
| US7042470B2 (en) | 2001-03-05 | 2006-05-09 | Digimarc Corporation | Using embedded steganographic identifiers in segmented areas of geographic images and characteristics corresponding to imagery data derived from aerial platforms |
| US7098931B2 (en) * | 2001-03-05 | 2006-08-29 | Digimarc Corporation | Image management system and methods using digital watermarks |
| US7061510B2 (en) | 2001-03-05 | 2006-06-13 | Digimarc Corporation | Geo-referencing of aerial imagery using embedded image identifiers and cross-referenced data sets |
| US7197160B2 (en) * | 2001-03-05 | 2007-03-27 | Digimarc Corporation | Geographic information systems using digital watermarks |
| US7249257B2 (en) * | 2001-03-05 | 2007-07-24 | Digimarc Corporation | Digitally watermarked maps and signs and related navigational tools |
| US7254249B2 (en) | 2001-03-05 | 2007-08-07 | Digimarc Corporation | Embedding location data in video |
| US9363409B2 (en) | 2001-03-05 | 2016-06-07 | Digimarc Corporation | Image management system and methods using digital watermarks |
| US7539747B2 (en) | 2001-03-14 | 2009-05-26 | Microsoft Corporation | Schema-based context service |
| US7024662B2 (en) * | 2001-03-14 | 2006-04-04 | Microsoft Corporation | Executing dynamically assigned functions while providing services |
| US7302634B2 (en) | 2001-03-14 | 2007-11-27 | Microsoft Corporation | Schema-based services for identity-based data access |
| US7031962B2 (en) * | 2001-03-27 | 2006-04-18 | Bea Systems, Inc. | System and method for managing objects and resources with access rights embedded in nodes within a hierarchical tree structure |
| US7502937B2 (en) * | 2001-04-30 | 2009-03-10 | Digimarc Corporation | Digital watermarking security systems |
| US7958359B2 (en) | 2001-04-30 | 2011-06-07 | Digimarc Corporation | Access control systems |
| US20050086325A1 (en) * | 2001-06-12 | 2005-04-21 | Slipp Mark W. | Method and apparatus for network content insertion and phase insertion |
| FI20011397L (fi) * | 2001-06-29 | 2002-12-30 | Nokia Corp | Menetelmä ja järjestely digitaalisen, arvoa omaavan tallenteen varmistamiseksi, järjestelyssä toimiva päätelaite sekä menetelmää hyödyntävä sovellusohjelma |
| US7069330B1 (en) * | 2001-07-05 | 2006-06-27 | Mcafee, Inc. | Control of interaction between client computer applications and network resources |
| JP2003046758A (ja) * | 2001-07-31 | 2003-02-14 | Canon Inc | 撮像装置、情報処理装置、画像処理装置およびその方法、並びに、画像処理システム |
| US20030061567A1 (en) * | 2001-09-05 | 2003-03-27 | International Business Machines Corporation | Apparatus and method for protecting entries in a form using access rights information |
| ATE368900T1 (de) * | 2001-09-21 | 2007-08-15 | Koninkl Kpn Nv | Computersystem, datenübertragungsnetz, computerprogramm und datenträger, alle zur filterung von einen inhalt gemäss einer markierungssprache einschliessenden nachrichten |
| US6877136B2 (en) * | 2001-10-26 | 2005-04-05 | United Services Automobile Association (Usaa) | System and method of providing electronic access to one or more documents |
| JP4664572B2 (ja) * | 2001-11-27 | 2011-04-06 | 富士通株式会社 | 文書配布方法および文書管理方法 |
| US7921450B1 (en) | 2001-12-12 | 2011-04-05 | Klimenty Vainstein | Security system using indirect key generation from access rules and methods therefor |
| US7631184B2 (en) | 2002-05-14 | 2009-12-08 | Nicholas Ryan | System and method for imposing security on copies of secured items |
| US7260555B2 (en) | 2001-12-12 | 2007-08-21 | Guardian Data Storage, Llc | Method and architecture for providing pervasive security to digital assets |
| US8006280B1 (en) | 2001-12-12 | 2011-08-23 | Hildebrand Hal S | Security system for generating keys from access rules in a decentralized manner and methods therefor |
| US7921284B1 (en) | 2001-12-12 | 2011-04-05 | Gary Mark Kinghorn | Method and system for protecting electronic data in enterprise environment |
| US7380120B1 (en) | 2001-12-12 | 2008-05-27 | Guardian Data Storage, Llc | Secured data format for access control |
| US7478418B2 (en) | 2001-12-12 | 2009-01-13 | Guardian Data Storage, Llc | Guaranteed delivery of changes to security policies in a distributed system |
| US7178033B1 (en) | 2001-12-12 | 2007-02-13 | Pss Systems, Inc. | Method and apparatus for securing digital assets |
| US10360545B2 (en) | 2001-12-12 | 2019-07-23 | Guardian Data Storage, Llc | Method and apparatus for accessing secured electronic data off-line |
| US8065713B1 (en) | 2001-12-12 | 2011-11-22 | Klimenty Vainstein | System and method for providing multi-location access management to secured items |
| US7681034B1 (en) | 2001-12-12 | 2010-03-16 | Chang-Ping Lee | Method and apparatus for securing electronic data |
| US7930756B1 (en) * | 2001-12-12 | 2011-04-19 | Crocker Steven Toye | Multi-level cryptographic transformations for securing digital assets |
| US7565683B1 (en) | 2001-12-12 | 2009-07-21 | Weiqing Huang | Method and system for implementing changes to security policies in a distributed security system |
| US10033700B2 (en) | 2001-12-12 | 2018-07-24 | Intellectual Ventures I Llc | Dynamic evaluation of access rights |
| US7783765B2 (en) | 2001-12-12 | 2010-08-24 | Hildebrand Hal S | System and method for providing distributed access control to secured documents |
| USRE41546E1 (en) | 2001-12-12 | 2010-08-17 | Klimenty Vainstein | Method and system for managing security tiers |
| US7921288B1 (en) | 2001-12-12 | 2011-04-05 | Hildebrand Hal S | System and method for providing different levels of key security for controlling access to secured items |
| US7562232B2 (en) | 2001-12-12 | 2009-07-14 | Patrick Zuili | System and method for providing manageability to security information for secured items |
| US7305469B2 (en) | 2001-12-18 | 2007-12-04 | Ebay Inc. | Prioritization of third party access to an online commerce site |
| PT1456810E (pt) | 2001-12-18 | 2011-07-25 | L 1 Secure Credentialing Inc | Características de segurança com imagens múltiplas para documentos de identificação e processo para as efectuar |
| US7950066B1 (en) | 2001-12-21 | 2011-05-24 | Guardian Data Storage, Llc | Method and system for restricting use of a clipboard application |
| US20030140332A1 (en) * | 2001-12-21 | 2003-07-24 | Norton Jeffrey B. | Method and apparatus for generating a software development tool |
| US6899475B2 (en) * | 2002-01-30 | 2005-05-31 | Digimarc Corporation | Watermarking a page description language file |
| US8176334B2 (en) | 2002-09-30 | 2012-05-08 | Guardian Data Storage, Llc | Document security system that permits external users to gain access to secured files |
| US7076558B1 (en) * | 2002-02-27 | 2006-07-11 | Microsoft Corporation | User-centric consent management system and method |
| US7912971B1 (en) * | 2002-02-27 | 2011-03-22 | Microsoft Corporation | System and method for user-centric authorization to access user-specific information |
| US7734696B2 (en) * | 2002-04-08 | 2010-06-08 | Oracle International Corporation | Hierarchical org-chart based email mailing list maintenance |
| US8613102B2 (en) | 2004-03-30 | 2013-12-17 | Intellectual Ventures I Llc | Method and system for providing document retention using cryptography |
| US7606364B1 (en) | 2002-04-23 | 2009-10-20 | Seagate Technology Llc | Disk drive with flexible data stream encryption |
| US8166302B1 (en) * | 2002-04-23 | 2012-04-24 | Seagate Technology Llc | Storage device with traceable watermarked content |
| US7824029B2 (en) | 2002-05-10 | 2010-11-02 | L-1 Secure Credentialing, Inc. | Identification card printer-assembler for over the counter card issuing |
| US7797744B2 (en) * | 2002-06-17 | 2010-09-14 | At&T Intellectual Property Ii, L.P. | Method and device for detecting computer intrusion |
| US7823203B2 (en) * | 2002-06-17 | 2010-10-26 | At&T Intellectual Property Ii, L.P. | Method and device for detecting computer network intrusions |
| US9886309B2 (en) | 2002-06-28 | 2018-02-06 | Microsoft Technology Licensing, Llc | Identity-based distributed computing for device resources |
| US7284197B2 (en) * | 2002-06-28 | 2007-10-16 | Microsoft Corporation | Schema-based services for identity-based data access to application settings data |
| US7522906B2 (en) * | 2002-08-09 | 2009-04-21 | Wavelink Corporation | Mobile unit configuration management for WLANs |
| US8544084B2 (en) | 2002-08-19 | 2013-09-24 | Blackberry Limited | System and method for secure control of resources of wireless mobile communication devices |
| US7512810B1 (en) | 2002-09-11 | 2009-03-31 | Guardian Data Storage Llc | Method and system for protecting encrypted files transmitted over a network |
| US20040054790A1 (en) * | 2002-09-12 | 2004-03-18 | International Business Machines Corporation | Management of security objects controlling access to resources |
| JP2004164604A (ja) * | 2002-10-11 | 2004-06-10 | Ricoh Co Ltd | 電子ファイル管理装置及びプログラム並びにファイルアクセス制御方法 |
| US20040125402A1 (en) * | 2002-09-13 | 2004-07-01 | Yoichi Kanai | Document printing program, document protecting program, document protecting system, document printing apparatus for printing out a document based on security policy |
| JP4527374B2 (ja) * | 2002-09-19 | 2010-08-18 | 株式会社リコー | 画像形成装置及びドキュメント属性管理サーバ |
| US7836310B1 (en) | 2002-11-01 | 2010-11-16 | Yevgeniy Gutnik | Security system that uses indirect password-based encryption |
| US7890990B1 (en) * | 2002-12-20 | 2011-02-15 | Klimenty Vainstein | Security system with staging capabilities |
| US7577838B1 (en) | 2002-12-20 | 2009-08-18 | Alain Rossmann | Hybrid systems for securing digital assets |
| US7334013B1 (en) | 2002-12-20 | 2008-02-19 | Microsoft Corporation | Shared services management |
| US7779247B2 (en) | 2003-01-09 | 2010-08-17 | Jericho Systems Corporation | Method and system for dynamically implementing an enterprise resource policy |
| US7472272B2 (en) * | 2003-01-23 | 2008-12-30 | Verdasys, Inc. | Digital asset usage accountability via event journaling |
| US7814021B2 (en) * | 2003-01-23 | 2010-10-12 | Verdasys, Inc. | Managed distribution of digital assets |
| JP3823925B2 (ja) | 2003-02-05 | 2006-09-20 | ソニー株式会社 | 情報処理装置、ライセンス情報記録媒体、および情報処理方法、並びにコンピュータ・プログラム |
| US7591000B2 (en) * | 2003-02-14 | 2009-09-15 | Oracle International Corporation | System and method for hierarchical role-based entitlements |
| US20050160007A1 (en) * | 2003-02-25 | 2005-07-21 | Fujitsu Limited | Subscription-based sales system, terminal device, management device, server and program |
| US7194106B2 (en) | 2003-04-03 | 2007-03-20 | Digimarc Corporation | Creating electronic forms through digital watermarking |
| US7562215B2 (en) * | 2003-05-21 | 2009-07-14 | Hewlett-Packard Development Company, L.P. | System and method for electronic document security |
| US8707034B1 (en) | 2003-05-30 | 2014-04-22 | Intellectual Ventures I Llc | Method and system for using remote headers to secure electronic files |
| US7444518B1 (en) * | 2003-06-16 | 2008-10-28 | Microsoft Corporation | Method and apparatus for communicating authorization data |
| EP1507402A3 (en) | 2003-06-23 | 2005-07-20 | Ricoh Company, Ltd. | Access control decision system, access control enforcing system, and security policy |
| JP2005038372A (ja) * | 2003-06-23 | 2005-02-10 | Ricoh Co Ltd | アクセス制御判断システム及びアクセス制御執行システム |
| JP4954254B2 (ja) * | 2003-06-23 | 2012-06-13 | 株式会社リコー | セキュリティポリシー |
| US7792828B2 (en) | 2003-06-25 | 2010-09-07 | Jericho Systems Corporation | Method and system for selecting content items to be presented to a viewer |
| US7730543B1 (en) | 2003-06-30 | 2010-06-01 | Satyajit Nath | Method and system for enabling users of a group shared across multiple file security systems to access secured files |
| US7555558B1 (en) | 2003-08-15 | 2009-06-30 | Michael Frederick Kenrich | Method and system for fault-tolerant transfer of files across a network |
| CN100418068C (zh) * | 2003-08-28 | 2008-09-10 | 国际商业机器公司 | 数据库系统、允许/禁止信息采集的检查系统、信息采集方法 |
| US7703140B2 (en) | 2003-09-30 | 2010-04-20 | Guardian Data Storage, Llc | Method and system for securing digital assets using process-driven security policies |
| US8127366B2 (en) | 2003-09-30 | 2012-02-28 | Guardian Data Storage, Llc | Method and apparatus for transitioning between states of security policies used to secure electronic documents |
| US20050102535A1 (en) * | 2003-10-10 | 2005-05-12 | Bea Systems, Inc. | Distributed security system with security service providers |
| US20050097353A1 (en) * | 2003-10-10 | 2005-05-05 | Bea Systems, Inc. | Policy analysis tool |
| JP4014165B2 (ja) * | 2003-10-29 | 2007-11-28 | インターナショナル・ビジネス・マシーンズ・コーポレーション | アクセス管理システム、アクセス執行装置、アクセス執行プログラム、アクセス執行方法、及び記録媒体 |
| US7512976B2 (en) * | 2003-11-06 | 2009-03-31 | International Business Machines Corporation | Method and apparatus for XSL/XML based authorization rules policy implementation |
| US7873730B2 (en) * | 2003-11-10 | 2011-01-18 | International Business Machines Corporation | Method and system for collaborative computing environment access restriction and orphan data management |
| JP4070708B2 (ja) * | 2003-11-14 | 2008-04-02 | 株式会社リコー | セキュリティ確保支援プログラム及びそのプログラムを実行するサーバ装置並びにそのプログラムを記憶した記憶媒体 |
| JP4704010B2 (ja) * | 2003-11-14 | 2011-06-15 | 株式会社リコー | 画像形成装置、画像形成システム、セキュリティ管理装置およびセキュリティ管理方法 |
| US20050108211A1 (en) * | 2003-11-18 | 2005-05-19 | Oracle International Corporation, A California Corporation | Method of and system for creating queries that operate on unstructured data stored in a database |
| US7694143B2 (en) * | 2003-11-18 | 2010-04-06 | Oracle International Corporation | Method of and system for collecting an electronic signature for an electronic record stored in a database |
| US7966493B2 (en) * | 2003-11-18 | 2011-06-21 | Oracle International Corporation | Method of and system for determining if an electronic signature is necessary in order to commit a transaction to a database |
| US7600124B2 (en) * | 2003-11-18 | 2009-10-06 | Oracle International Corporation | Method of and system for associating an electronic signature with an electronic record |
| US7650512B2 (en) * | 2003-11-18 | 2010-01-19 | Oracle International Corporation | Method of and system for searching unstructured data stored in a database |
| US8782020B2 (en) * | 2003-11-18 | 2014-07-15 | Oracle International Corporation | Method of and system for committing a transaction to database |
| JP4217146B2 (ja) * | 2003-11-21 | 2009-01-28 | 株式会社リコー | スキャナ装置、ビューア装置、画像保護方法、 |
| JP4093482B2 (ja) * | 2003-12-24 | 2008-06-04 | インターナショナル・ビジネス・マシーンズ・コーポレーション | アクセス制御システム、アクセス制御装置、アクセス制御方法、プログラム、及び記録媒体 |
| EP1551146B1 (en) * | 2004-01-05 | 2011-08-24 | Ricoh Company, Ltd. | Document security management for repeatedly reproduced hardcopy and electronic documents |
| WO2005076985A2 (en) | 2004-02-04 | 2005-08-25 | Digimarc Corporation | Digital watermarking image signals on-chip and photographic travel logs through digital watermarking |
| US7680822B1 (en) * | 2004-02-11 | 2010-03-16 | Novell, Inc. | Method and system for automatically creating and updating access controls lists |
| US7590705B2 (en) | 2004-02-23 | 2009-09-15 | Microsoft Corporation | Profile and consent accrual |
| US7400878B2 (en) | 2004-02-26 | 2008-07-15 | Research In Motion Limited | Computing device with environment aware features |
| JP2005284985A (ja) * | 2004-03-30 | 2005-10-13 | Ricoh Co Ltd | ネットワーク対応機器、ネットワーク対応機器を保守する保守方法、プログラム、プログラムが記録された媒体及び保守システム |
| JP4602684B2 (ja) * | 2004-04-09 | 2010-12-22 | 株式会社リコー | 情報処理装置、操作許否判定方法、操作許可情報生成方法、操作許否判定プログラム、操作許可情報生成プログラム及び記録媒体 |
| US7908663B2 (en) | 2004-04-20 | 2011-03-15 | Microsoft Corporation | Abstractions and automation for enhanced sharing and collaboration |
| JP4764614B2 (ja) * | 2004-04-26 | 2011-09-07 | 株式会社リコー | 情報処理装置、操作許否情報生成方法、操作許否情報生成プログラム及び記録媒体 |
| US20050246187A1 (en) * | 2004-04-30 | 2005-11-03 | Reed Maltzman | System and method to facilitate differentiated levels of service in a network-based marketplace |
| US7734284B2 (en) | 2004-04-30 | 2010-06-08 | Research In Motion Limited | System and method for handling data transfers |
| US7707427B1 (en) | 2004-07-19 | 2010-04-27 | Michael Frederick Kenrich | Multi-level file digests |
| US7669226B2 (en) * | 2004-07-30 | 2010-02-23 | International Business Machines Corporation | Generic declarative authorization scheme for Java |
| JP2007026412A (ja) * | 2004-08-25 | 2007-02-01 | Ricoh Co Ltd | 保守仲介装置、保守対象機器の保守方法、保守プログラム、保守プログラムが記録された記録媒体及び保守システム |
| US7711835B2 (en) | 2004-09-30 | 2010-05-04 | Citrix Systems, Inc. | Method and apparatus for reducing disclosure of proprietary data in a networked environment |
| US7748032B2 (en) | 2004-09-30 | 2010-06-29 | Citrix Systems, Inc. | Method and apparatus for associating tickets in a ticket hierarchy |
| US7664751B2 (en) | 2004-09-30 | 2010-02-16 | Google Inc. | Variable user interface based on document access privileges |
| US8613048B2 (en) | 2004-09-30 | 2013-12-17 | Citrix Systems, Inc. | Method and apparatus for providing authorized remote access to application sessions |
| US8181219B2 (en) * | 2004-10-01 | 2012-05-15 | Microsoft Corporation | Access authorization having embedded policies |
| US7685632B2 (en) * | 2004-10-01 | 2010-03-23 | Microsoft Corporation | Access authorization having a centralized policy |
| US7904956B2 (en) | 2004-10-01 | 2011-03-08 | Microsoft Corporation | Access authorization with anomaly detection |
| US7603355B2 (en) | 2004-10-01 | 2009-10-13 | Google Inc. | Variably controlling access to content |
| US7506364B2 (en) * | 2004-10-01 | 2009-03-17 | Microsoft Corporation | Integrated access authorization |
| US8799242B2 (en) * | 2004-10-08 | 2014-08-05 | Truecontext Corporation | Distributed scalable policy based content management |
| US8561126B2 (en) * | 2004-12-29 | 2013-10-15 | International Business Machines Corporation | Automatic enforcement of obligations according to a data-handling policy |
| JP4718560B2 (ja) * | 2005-01-13 | 2011-07-06 | サムスン エレクトロニクス カンパニー リミテッド | デジタル著作権管理装置及び方法 |
| US8024568B2 (en) | 2005-01-28 | 2011-09-20 | Citrix Systems, Inc. | Method and system for verification of an endpoint security scan |
| US20060200664A1 (en) * | 2005-03-07 | 2006-09-07 | Dave Whitehead | System and method for securing information accessible using a plurality of software applications |
| US7778998B2 (en) * | 2005-03-28 | 2010-08-17 | Bea Systems, Inc. | Liquid data services |
| US8086615B2 (en) * | 2005-03-28 | 2011-12-27 | Oracle International Corporation | Security data redaction |
| US20060218149A1 (en) * | 2005-03-28 | 2006-09-28 | Bea Systems, Inc. | Data redaction policies |
| US20060224628A1 (en) * | 2005-03-29 | 2006-10-05 | Bea Systems, Inc. | Modeling for data services |
| US20060224556A1 (en) * | 2005-03-29 | 2006-10-05 | Bea Systems, Inc. | SQL interface for services |
| US20060224557A1 (en) * | 2005-03-29 | 2006-10-05 | Bea Systems, Inc. | Smart services |
| US7657746B2 (en) * | 2005-04-22 | 2010-02-02 | Microsoft Corporation | Supporting statements for credential based access control |
| US20060259977A1 (en) * | 2005-05-11 | 2006-11-16 | Bea Systems, Inc. | System and method for data redaction client |
| US20060259614A1 (en) * | 2005-05-11 | 2006-11-16 | Bea Systems, Inc. | System and method for distributed data redaction |
| US7748027B2 (en) * | 2005-05-11 | 2010-06-29 | Bea Systems, Inc. | System and method for dynamic data redaction |
| JP4776975B2 (ja) * | 2005-05-11 | 2011-09-21 | キヤノン株式会社 | 撮像装置 |
| US7836034B2 (en) * | 2005-05-16 | 2010-11-16 | International Business Machines Corporation | Method and apparatus for updating first data value before second data value |
| US20060288093A1 (en) * | 2005-05-31 | 2006-12-21 | Jefferson Raley | System and method for information handling system custom application ordering and installation |
| JP4723930B2 (ja) * | 2005-06-24 | 2011-07-13 | 日本電信電話株式会社 | 複合的アクセス認可方法及び装置 |
| US7614082B2 (en) | 2005-06-29 | 2009-11-03 | Research In Motion Limited | System and method for privilege management and revocation |
| US20070028291A1 (en) | 2005-07-29 | 2007-02-01 | Bit 9, Inc. | Parametric content control in a network security system |
| US8984636B2 (en) * | 2005-07-29 | 2015-03-17 | Bit9, Inc. | Content extractor and analysis system |
| US8272058B2 (en) * | 2005-07-29 | 2012-09-18 | Bit 9, Inc. | Centralized timed analysis in a network security system |
| JP4481914B2 (ja) | 2005-10-11 | 2010-06-16 | キヤノン株式会社 | 情報処理方法およびその装置 |
| US7685297B2 (en) * | 2005-12-06 | 2010-03-23 | Nokia Corporation | Resource control |
| US7945960B2 (en) * | 2005-12-06 | 2011-05-17 | Oracle International Corporation | Dynamic conditional security policy extensions |
| US8635660B2 (en) * | 2005-12-06 | 2014-01-21 | Oracle International Corporation | Dynamic constraints for query operations |
| US8456653B2 (en) * | 2005-12-12 | 2013-06-04 | Canon Kabushiki Kaisha | Data processing apparatus for producing print job data whose authority is managed by external server, and image processing apparatus for printing a print job whose authority is managed by external server |
| US7987494B1 (en) * | 2005-12-19 | 2011-07-26 | Adobe Systems Incorporated | Method and apparatus providing end to end protection for a document |
| US9942271B2 (en) * | 2005-12-29 | 2018-04-10 | Nextlabs, Inc. | Information management system with two or more interactive enforcement points |
| US8862551B2 (en) | 2005-12-29 | 2014-10-14 | Nextlabs, Inc. | Detecting behavioral patterns and anomalies using activity data |
| US7716240B2 (en) | 2005-12-29 | 2010-05-11 | Nextlabs, Inc. | Techniques and system to deploy policies intelligently |
| US9407662B2 (en) | 2005-12-29 | 2016-08-02 | Nextlabs, Inc. | Analyzing activity data of an information management system |
| US8621549B2 (en) | 2005-12-29 | 2013-12-31 | Nextlabs, Inc. | Enforcing control policies in an information management system |
| US8627490B2 (en) * | 2005-12-29 | 2014-01-07 | Nextlabs, Inc. | Enforcing document control in an information management system |
| US7877781B2 (en) * | 2005-12-29 | 2011-01-25 | Nextlabs, Inc. | Enforcing universal access control in an information management system |
| JP2007199909A (ja) * | 2006-01-25 | 2007-08-09 | Fuji Xerox Co Ltd | セキュリティポリシ付与装置、プログラム及び方法 |
| JP4826265B2 (ja) * | 2006-01-25 | 2011-11-30 | 富士ゼロックス株式会社 | セキュリティポリシ付与装置、プログラム及び方法 |
| US8196212B2 (en) * | 2006-04-04 | 2012-06-05 | Panasonic Corporation | Personal information management device |
| US8151323B2 (en) | 2006-04-12 | 2012-04-03 | Citrix Systems, Inc. | Systems and methods for providing levels of access and action control via an SSL VPN appliance |
| US20070260976A1 (en) * | 2006-05-02 | 2007-11-08 | Slein Judith A | Rule Engines and Methods of Using Same |
| JP4933149B2 (ja) * | 2006-05-22 | 2012-05-16 | キヤノン株式会社 | 情報処理装置、電子データ転送方法及びプログラム |
| US8369224B1 (en) | 2006-09-08 | 2013-02-05 | Juniper Networks, Inc. | Combining network endpoint policy results |
| US8060931B2 (en) * | 2006-09-08 | 2011-11-15 | Microsoft Corporation | Security authorization queries |
| US8938783B2 (en) | 2006-09-11 | 2015-01-20 | Microsoft Corporation | Security language expressions for logic resolution |
| US8656503B2 (en) | 2006-09-11 | 2014-02-18 | Microsoft Corporation | Security language translations with logic resolution |
| US8166532B2 (en) * | 2006-10-10 | 2012-04-24 | Honeywell International Inc. | Decentralized access control framework |
| US7853987B2 (en) * | 2006-10-10 | 2010-12-14 | Honeywell International Inc. | Policy language and state machine model for dynamic authorization in physical access control |
| US20080155239A1 (en) * | 2006-10-10 | 2008-06-26 | Honeywell International Inc. | Automata based storage and execution of application logic in smart card like devices |
| US8554749B2 (en) * | 2006-10-23 | 2013-10-08 | Adobe Systems Incorporated | Data file access control |
| US8533846B2 (en) | 2006-11-08 | 2013-09-10 | Citrix Systems, Inc. | Method and system for dynamically associating access rights with a resource |
| US7991902B2 (en) * | 2006-12-08 | 2011-08-02 | Microsoft Corporation | Reputation-based authorization decisions |
| KR100879808B1 (ko) * | 2006-12-11 | 2009-01-22 | 소프트캠프(주) | 파일서버로의 접근 통제시스템 |
| KR100863461B1 (ko) * | 2006-12-11 | 2008-10-16 | 소프트캠프(주) | 데이터 보안을 위한 네트워크 내 결재시스템 |
| CN100542140C (zh) * | 2006-12-15 | 2009-09-16 | 华为技术有限公司 | 一种访问用户数据的方法及用户档案管理服务器 |
| US8205092B2 (en) * | 2007-06-26 | 2012-06-19 | Novell, Inc. | Time-based method for authorizing access to resources |
| JP4931245B2 (ja) * | 2007-11-30 | 2012-05-16 | インターナショナル・ビジネス・マシーンズ・コーポレーション | アクセス制御方法、サーバ装置およびシステム |
| US20090205018A1 (en) * | 2008-02-07 | 2009-08-13 | Ferraiolo David F | Method and system for the specification and enforcement of arbitrary attribute-based access control policies |
| US9338166B2 (en) * | 2008-11-04 | 2016-05-10 | Adobe Systems Incorporated | System and method for a single request and single response authentication protocol |
| US9244981B2 (en) * | 2008-12-30 | 2016-01-26 | Oracle International Corporation | Resource description framework security |
| CN101807185B (zh) * | 2009-02-13 | 2012-08-01 | 马杰 | 一种在文件系统中提供自定义存取控制方式的方法 |
| US8799986B2 (en) * | 2009-05-07 | 2014-08-05 | Axiomatics Ab | System and method for controlling policy distribution with partial evaluation |
| JP4649523B2 (ja) * | 2009-06-03 | 2011-03-09 | 株式会社東芝 | アクセス制御システム |
| US8468609B2 (en) * | 2009-08-27 | 2013-06-18 | Cleversafe, Inc. | Authenticating use of a dispersed storage network |
| JP5673543B2 (ja) * | 2009-09-10 | 2015-02-18 | 日本電気株式会社 | ロール設定装置、ロール設定方法及びロール設定プログラム |
| US20110231940A1 (en) * | 2010-03-19 | 2011-09-22 | Microsoft Corporation | Credential-based access to data |
| US8421655B2 (en) | 2010-04-23 | 2013-04-16 | Certicom Corp. | Apparatus for parallel entropy encoding and decoding |
| US9256757B2 (en) * | 2010-06-17 | 2016-02-09 | Sap Se | Prefetch of attributes in evaluating access control requests |
| US8576100B2 (en) | 2010-07-14 | 2013-11-05 | Certicom Corp. | Parallel entropy encoder and parallel entropy decoder |
| WO2012037657A2 (en) | 2010-09-24 | 2012-03-29 | Research In Motion Limited | Method and apparatus for differentiated access control |
| US9147085B2 (en) | 2010-09-24 | 2015-09-29 | Blackberry Limited | Method for establishing a plurality of modes of operation on a mobile device |
| CN103229183B (zh) | 2010-09-24 | 2016-05-11 | 黑莓有限公司 | 用于差异化的访问控制的方法和设备 |
| US9225727B2 (en) | 2010-11-15 | 2015-12-29 | Blackberry Limited | Data source based application sandboxing |
| US9239910B2 (en) * | 2011-04-04 | 2016-01-19 | Markany Inc. | System and method for preventing the leaking of digital content |
| US20130039266A1 (en) | 2011-08-08 | 2013-02-14 | Research In Motion Limited | System and method to increase link adaptation performance with multi-level feedback |
| US9161226B2 (en) | 2011-10-17 | 2015-10-13 | Blackberry Limited | Associating services to perimeters |
| US9497220B2 (en) | 2011-10-17 | 2016-11-15 | Blackberry Limited | Dynamically generating perimeters |
| US9613219B2 (en) | 2011-11-10 | 2017-04-04 | Blackberry Limited | Managing cross perimeter access |
| US8799227B2 (en) | 2011-11-11 | 2014-08-05 | Blackberry Limited | Presenting metadata from multiple perimeters |
| US9262604B2 (en) | 2012-02-01 | 2016-02-16 | Blackberry Limited | Method and system for locking an electronic device |
| US9698975B2 (en) | 2012-02-15 | 2017-07-04 | Blackberry Limited | Key management on device for perimeters |
| EP2629570B1 (en) | 2012-02-16 | 2015-11-25 | BlackBerry Limited | Method and apparatus for automatic vpn login and interface selection |
| US8931045B2 (en) | 2012-02-16 | 2015-01-06 | Blackberry Limited | Method and apparatus for management of multiple grouped resources on device |
| US9306948B2 (en) | 2012-02-16 | 2016-04-05 | Blackberry Limited | Method and apparatus for separation of connection data by perimeter type |
| EP2629479B1 (en) | 2012-02-17 | 2020-04-22 | BlackBerry Limited | Certificate management method based on connectivity and policy |
| US9426145B2 (en) | 2012-02-17 | 2016-08-23 | Blackberry Limited | Designation of classes for certificates and keys |
| US8793489B2 (en) | 2012-03-01 | 2014-07-29 | Humanconcepts, Llc | Method and system for controlling data access to organizational data maintained in hierarchical |
| US9369466B2 (en) | 2012-06-21 | 2016-06-14 | Blackberry Limited | Managing use of network resources |
| US8972762B2 (en) | 2012-07-11 | 2015-03-03 | Blackberry Limited | Computing devices and methods for resetting inactivity timers on computing devices |
| US8656016B1 (en) | 2012-10-24 | 2014-02-18 | Blackberry Limited | Managing application execution and data access on a device |
| US9075955B2 (en) | 2012-10-24 | 2015-07-07 | Blackberry Limited | Managing permission settings applied to applications |
| US9477838B2 (en) * | 2012-12-20 | 2016-10-25 | Bank Of America Corporation | Reconciliation of access rights in a computing system |
| US9529629B2 (en) | 2012-12-20 | 2016-12-27 | Bank Of America Corporation | Computing resource inventory system |
| US9537892B2 (en) | 2012-12-20 | 2017-01-03 | Bank Of America Corporation | Facilitating separation-of-duties when provisioning access rights in a computing system |
| US9189644B2 (en) | 2012-12-20 | 2015-11-17 | Bank Of America Corporation | Access requests at IAM system implementing IAM data model |
| US9386451B2 (en) | 2013-01-29 | 2016-07-05 | Blackberry Limited | Managing application access to certificates and keys |
| US9584437B2 (en) * | 2013-06-02 | 2017-02-28 | Airwatch Llc | Resource watermarking and management |
| US9900261B2 (en) | 2013-06-02 | 2018-02-20 | Airwatch Llc | Shared resource watermarking and management |
| US8806217B2 (en) | 2013-07-03 | 2014-08-12 | Sky Socket, Llc | Functionality watermarking and management |
| US8775815B2 (en) | 2013-07-03 | 2014-07-08 | Sky Socket, Llc | Enterprise-specific functionality watermarking and management |
| US8756426B2 (en) | 2013-07-03 | 2014-06-17 | Sky Socket, Llc | Functionality watermarking and management |
| US9665723B2 (en) | 2013-08-15 | 2017-05-30 | Airwatch, Llc | Watermarking detection and management |
| JP6244774B2 (ja) * | 2013-09-24 | 2017-12-13 | 日本電気株式会社 | アクセス制御装置、アクセス制御方法、及びアクセス制御プログラム |
| US20150180907A1 (en) * | 2013-12-23 | 2015-06-25 | Vmware, Inc. | Detecting conflicts in a policy-based management system |
| EP2993606A1 (en) | 2014-09-05 | 2016-03-09 | Axiomatics AB | Provisioning system-level permissions using attribute-based access control policies |
| US20160217443A1 (en) * | 2015-01-28 | 2016-07-28 | Konica Minolta Laboratory U.S.A., Inc. | Digital rights management system providing trial use and facilitating purchase of managed documents |
| EP3059690B1 (en) | 2015-02-19 | 2019-03-27 | Axiomatics AB | Remote rule execution |
| US10754971B2 (en) | 2017-04-21 | 2020-08-25 | Google Llc | Referenced access control list |
| US10514721B2 (en) * | 2017-05-08 | 2019-12-24 | International Business Machines Corporation | Validation of clock to provide security for time locked data |
| US10514859B2 (en) | 2017-05-08 | 2019-12-24 | International Business Machines Corporation | Reduction of processing overhead for point in time copy to allow access to time locked data |
| US10528435B2 (en) | 2017-05-08 | 2020-01-07 | International Business Machines Corporation | Performance efficient time locks on data in a storage controller |
| US10489080B2 (en) | 2017-05-08 | 2019-11-26 | International Business Machines Corporation | Point in time copy of time locked data in a storage controller |
| US11936656B2 (en) * | 2020-09-14 | 2024-03-19 | Box, Inc. | Prioritizing operations over content objects of a content management system |
| CN115967545B (zh) * | 2022-12-01 | 2024-02-06 | 上海物盾信息科技有限公司 | 边缘计算安全防护方法、系统、电子设备及可读存储介质 |
Family Cites Families (10)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JPH04130950A (ja) * | 1990-09-21 | 1992-05-01 | Toshiba Corp | ネットワークシステム |
| US5475833A (en) * | 1991-09-04 | 1995-12-12 | International Business Machines Corporation | Database system for facilitating comparison of related information stored in a distributed resource |
| US5825877A (en) * | 1996-06-11 | 1998-10-20 | International Business Machines Corporation | Support for portable trusted software |
| US5826250A (en) * | 1996-06-19 | 1998-10-20 | Pegasystems Inc. | Rules bases and methods of access thereof |
| JP3690035B2 (ja) * | 1997-02-06 | 2005-08-31 | 富士ゼロックス株式会社 | 情報アクセス制御装置および方法 |
| US6105027A (en) * | 1997-03-10 | 2000-08-15 | Internet Dynamics, Inc. | Techniques for eliminating redundant access checking by access filters |
| US6275941B1 (en) * | 1997-03-28 | 2001-08-14 | Hiatchi, Ltd. | Security management method for network system |
| US6052684A (en) * | 1998-03-24 | 2000-04-18 | Hewlett-Packard Company | System and method for performing consistent workflow process execution in a workflow management system |
| JP3471654B2 (ja) * | 1999-04-06 | 2003-12-02 | 富士通株式会社 | ライセンスサーバ、著作権者システム、利用者システム、システム、記録媒体およびコンテンツ利用制御方法 |
| US6430561B1 (en) * | 1999-10-29 | 2002-08-06 | International Business Machines Corporation | Security policy for protection of files on a storage device |
-
1999
- 1999-12-16 JP JP35817899A patent/JP3546787B2/ja not_active Expired - Fee Related
-
2000
- 2000-12-15 US US09/738,484 patent/US6647388B2/en not_active Expired - Lifetime
Cited By (1)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US7716490B2 (en) | 2005-05-17 | 2010-05-11 | Ricoh Company, Ltd. | Access control apparatus, access control method, access control program, recording medium, access control data, and relation description data |
Also Published As
| Publication number | Publication date |
|---|---|
| US20010023421A1 (en) | 2001-09-20 |
| JP2001184264A (ja) | 2001-07-06 |
| US6647388B2 (en) | 2003-11-11 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| JP3546787B2 (ja) | アクセス制御システム、アクセス制御方法、及び記憶媒体 | |
| US7669238B2 (en) | Evidence-based application security | |
| EP1299790B1 (en) | Filtering a permission set using permission requests associated with a code assembly | |
| US6941472B2 (en) | System and method for maintaining security in a distributed computer network | |
| US7284271B2 (en) | Authorizing a requesting entity to operate upon data structures | |
| US7131143B1 (en) | Evaluating initially untrusted evidence in an evidence-based security policy manager | |
| JP5266229B2 (ja) | セキュリティ許可照会 | |
| Erickson | Fair use, DRM, and trusted computing | |
| US7051366B1 (en) | Evidence-based security policy manager | |
| US7814534B2 (en) | Auditing authorization decisions | |
| US20080282354A1 (en) | Access control based on program properties | |
| US20050234859A1 (en) | Information processing apparatus, resource managing apparatus, attribute modifiability judging method, and computer-readable storage medium | |
| US9805172B2 (en) | System and methods of resource usage using an interoperable management framework | |
| CA2806461A1 (en) | Systems and methods for secure agent information | |
| KR100621318B1 (ko) | 조건들의 검증에 의해 접근과 자원사용을 관리하기 위한 방법 | |
| Ardagna et al. | An XACML-based privacy-centered access control system | |
| US7076557B1 (en) | Applying a permission grant set to a call stack during runtime | |
| Delessy et al. | Patterns for access control in distributed systems | |
| South et al. | Authenticated Delegation and Authorized AI Agents | |
| Erickson et al. | The technical and legal dangers of code-based fair use enforcement | |
| Wu et al. | Dynamic policy conflict analysis in operational intensive trust services for cross-domain federations | |
| CN119004427A (zh) | 一种面向数据空间基础设施的数据使用控制协商方法 | |
| Walsh | Authorization and trust in software systems | |
| GB2385969A (en) | Security manager with policy specifying access and customizable code | |
| Bhoopalam et al. | Access Management System for a Federated Digital Library under two Models: CIM and XACML |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20031203 |
|
| A521 | Request for written amendment filed |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20040303 |
|
| TRDD | Decision of grant or rejection written | ||
| A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 Effective date: 20040330 |
|
| RD14 | Notification of resignation of power of sub attorney |
Free format text: JAPANESE INTERMEDIATE CODE: A7434 Effective date: 20040331 |
|
| A61 | First payment of annual fees (during grant procedure) |
Free format text: JAPANESE INTERMEDIATE CODE: A61 Effective date: 20040405 |
|
| R150 | Certificate of patent or registration of utility model |
Free format text: JAPANESE INTERMEDIATE CODE: R150 |
|
| LAPS | Cancellation because of no payment of annual fees |