JP4878043B2 - アクセス制御システム、接続制御装置および接続制御方法 - Google Patents

Description

この発明は、利用者端末がアクセスするリソースを保持するファイルサーバと、前記利用者端末と前記ファイルサーバが属するネットワークとの間を仮想的な通信路で接続する接続制御装置とを有するアクセス制御システム、接続制御装置および接続制御方法に関する。

従来より、インターネット、ＬＡＮ（Local Area Network）、ＷＡＮ（Wide Area Network）などの各種ネットワークや、持ち運びが容易なノートパソコンが普及してきたことにより、会社のＬＡＮ内にあるファイルサーバを会社外からアクセスすることのできるファイル共有環境が求められている。

このようなファイル共有環境を実現する手法として、最近では、ＨＴＴＰ（Hypertext Transfer Protocol）を拡張したＷｅｂＤＡＶ（Web-based Distributed Authoring and Versioning）が利用され始めている。

このＷｅｂＤＡＶは、Ｗｅｂサーバ（ファイルサーバ）上のファイル管理を目的とした分散ファイルシステムを実現するＲＦＣ４９１８に定義されたプロトコルであり、ＦＴＰ（File Transfer Protocol）といったファイル転送用のプロトコルを用いることなく、Ｗｅｂサーバ上でファイルやコンテンツの更新、削除、取得などを行うことができる。

このように、インターネットを介してＬＡＮ内のファイルサーバなどに容易にアクセスできるような環境が普及すると、悪意のある第三者による不正なアクセスを原因としたファイルや機密情報などが漏洩する問題が発生する。

そこで、最近では、上記したＷｅｂＤＡＶとＳＳＬ−ＶＰＮ（Secure Socket Layer−Virtual Private Network）とを組み合わせることにより、悪意のある第三者によるアクセスを拒否するセキュリティの高いファイル共有環境の実現手法が開示されている（例えば、非特許文献１参照）。

"特集：SambaとWebDAVで作る究極のファイルサーバ"、Nikkei Linux、2004.8、p45-p53

しかしながら、上記した従来の技術は、ＶＰＮ接続を行った後、ＷｅｂＤＡＶを用いてファイルサーバのリソースにアクセスするのに際して、「ユーザＩＤ」と「パスワード」を入力するユーザ認証が必要であり、ユーザは、ＶＰＮ接続を行うための認証と、ファイルサーバへアクセスするための認証との二つの認証を実行した後でしか、ファイルサーバのリソースへアクセスすることができないので、セキュリティは向上するものの、ユーザの利便性が悪いという課題があった。

そこで、この発明は、上述した従来技術の課題を解決するためになされたものであり、セキュリティを向上させつつ、ユーザの利便性を向上させることが可能であるアクセス制御システム、接続制御装置および接続制御方法を提供することを目的とする。

上述した課題を解決し、目的を達成するため、本発明は、利用者端末がアクセスするリソースを保持するファイルサーバと、前記利用者端末と前記ファイルサーバが属するネットワークとの間を仮想的な通信路で接続する接続制御装置とを有するアクセス制御システムであって、前記仮想的な通信路を接続する際に得られた前記利用者端末の利用者を識別する識別情報に基づいて、前記利用者端末のアクセスを制御するための情報を示すアクセス制御情報を作成するアクセス制御情報作成手段と、前記利用者端末の利用者を識別する識別情報に基づいて、前記利用者端末の利用者に対応するリソースを前記ファイルサーバ上に生成するリソース生成手段と、前記アクセス制御情報作成手段により作成されたアクセス制御情報に従って、前記リソース生成手段により生成されたリソースへのアクセス制御を行うアクセス制御手段と、を備えたことを特徴とする。

本発明によれば、セキュリティを向上させつつ、ユーザの利便性を向上させることが可能である。

以下に添付図面を参照して、この発明に係るアクセス制御システム、接続制御装置および接続制御方法の実施例を詳細に説明する。なお、以下では、本実施例に係るアクセス制御システムの概要、アクセス制御システムの構成および処理の流れを順に説明し、最後に本実施例に対する種々の変形例を説明する。

［アクセス制御システムの概要］
最初に、図１を用いて、実施例１に係るアクセス制御システムの概要を説明する。図１は、実施例１に係るアクセス制御システムの全体構成を示すシステム構成図である。

図１に示すように、実施例１に係るアクセス制御システムは、社員宅端末がアクセスするリソースを保持するファイルサーバと、社員宅端末との間を仮想的な通信路（ＶＰＮ）で接続するＶＰＮ装置とを有し、セキュリティを向上させつつ、ユーザの利便性を向上させることが可能である。

具体的には、このアクセス制御システムでは、当該会社の社員である「鈴木（suzuki）」と「田中（tanaka）」とは自宅にいてインターネット常時接続サービスを利用しており、社内ＬＡＮには、インターネットとイントラネットに接続されるＶＰＮ装置とイントラネット内にファイルサーバとを有する。なお、ここでは、ＶＰＮ装置とファイルサーバとが別の筐体で実現されている例を図示しているが、同じ筐体で実現されていてもよい。

また、各社員宅と会社ＬＡＮとは、異なるネットワークであり、ルータを介したインターネットで接続されている。もっとも、ここで示した各社員宅はあくまで例示であり、これに限定されるものではなく、他の社員も同様に接続されている。なお、ＶＰＮ接続では、一般的にはＶＰＮ接続と同様、アクセスが登録されているユーザであるか（ＶＰＮ接続を許可することができるユーザであるか）否かを認証する認証処理が実行されるＯＳＳ（Open Source Software）のミドルウエア（例えば、ＯｐｅｎＶＰＮなど）を利用する。また、ファイルサーバは、ＷｅｂＤＡＶが利用可能なサーバソフトウエアを実行しており、イントラネット外に存在する社員宅端末は、ＷｅｂＤＡＶを用いてファイルサーバにアクセスする。

このような構成を有するアクセス制御システムは、ＶＰＮを接続する際に得られた社員宅端末の利用者を識別する識別情報に基づいて、社員宅端末のアクセスを制御するための情報を示すアクセス制御情報を作成し、当該識別情報に基づいて、社員宅端末の利用者に対応するリソースをファイルサーバ上に生成する。その後、アクセス制御システムは、作成されたアクセス制御情報に従って、ファイルサーバ上に生成されたリソースへのアクセス制御を行う。

具体的には、アクセス制御システムのＶＰＮ装置は、図１の（１）に示すように、「鈴木（suzuki）」、「田中（tanaka）」それぞれとＶＰＮトンネルを接続する際に用いる、それぞれの社員から識別情報である「ユーザＩＤ」と「ＩＰアドレス」を取得する。そして、ＶＰＮ装置は、図１の（２）に示すように、得られた「ユーザＩＤ」のフォルダ作成および、「ユーザＩＤ」に対応する「ＩＰアドレス」を持つ端末からのアクセスのみを許可するアクセス制御情報を作成する。

続いて、ＶＰＮ装置は、図１の（３）に示すように、社員宅端末の利用者を識別する「ユーザＩＤ」に対応するフォルダをファイルサーバに作成し、アクセス制御情報をファイルサーバにコピーする。その後、ファイルサーバは、コピーされたアクセス制御情報に従ったアクセス制御、つまり、「suzuki」から「フォルダ（suzuki）」へのアクセスは許可し、「suzuki」から「フォルダ（tanaka）」へのアクセスを拒否、同様に、「tanaka」から「フォルダ（tanaka）」へのアクセスは許可し、「tanaka」から「フォルダ（suzuki）」へのアクセスを拒否するアクセス制御を実施する。

このように、実施例１に係るアクセス制御システムは、ＶＰＮ接続時に使用した識別情報を用いてアクセス制御を実施することができるため、ＶＰＮ接続後のファイルサーバアクセス時にユーザ認証をする必要がなく、つまり、ＶＰＮ接続時とファイルサーバアクセス時との２回ユーザ認証を実施する必要がないので、セキュリティを向上させつつ、ユーザの利便性を向上させることが可能である。

［アクセス制御システムの構成］
次に、図２を用いて、図１に示したアクセス制御システムの構成を説明する。図２は、実施例１に係るアクセス制御システムの構成を示すブロック図である。ここでは、アクセス制御システムにおけるＶＰＮ装置とファイルサーバとについて説明する。

（ＶＰＮ装置の構成）
図２に示すように、かかるＶＰＮ装置１０は、ＬＡＮアダプターＡ１１と、ＬＡＮアダプターＢ１２と、記憶部２０と、制御部３０とを有する。

ＬＡＮアダプターＡ１１は、インターネットを介して送受信される各種通信を制御するＮＩＣ（Network Interface Card）である。具体的には、ＬＡＮアダプターＡ１１は、インターネット上の社員宅端末からＶＰＮ接続要求やＶＰＮ切断要求、ファイルサーバ５０へのアクセス要求などを受信し、後述する制御部３０に出力する。また、ＬＡＮアダプターＡ１１は、ファイルサーバ５０から出力されてＬＡＮアダプターＢ１２により受信されたアクセス要求の応答やデータをインターネット上の社員宅端末に出力する。

ＬＡＮアダプターＢ１２は、イントラネット（社内ＬＡＮ）内で送受信される各種通信を制御するＮＩＣである。具体的には、ＬＡＮアダプターＢ１２は、ＬＡＮアダプターＡ１１により受信されたファイルサーバ５０へのアクセス要求などをファイルサーバ５０に出力したり、ファイルサーバ５０から出力されたアクセス要求の応答やデータなどを受信してＬＡＮアダプターＡ１１に出力したり、制御部３０によりファイルサーバ５０へ実行された各種制御処理をファイルサーバ５０に出力したりする。

記憶部２０は、制御部３０による各種処理に必要なデータおよびプログラム、ネットワーク通信を実行するためのルーティング情報、ＶＰＮ接続時に取得された認証ログを格納するとともに、特に本発明に密接に関連するものとしては、アドレス情報ＤＢ２１と、認証情報ＤＢ２２と、サーバ情報ＤＢ２３とを備える。

記憶部２０が記憶する認証ログとは、後述するＶＰＮ接続部３１により、ＶＰＮ接続を確立した際に取得される通信ログである。この認証ログは、例えば、ＶＰＮが確立された「時刻」、ＶＰＮが確立された社員宅端末の「ルータ側ＩＰアドレス（グローバルＩＰアドレス）」、ＶＰＮが確立された社員宅端末が社内ＬＡＮで使用する「イントラネット側ＩＰアドレス（プライベートＩＰアドレス）」、ＶＰＮ接続時の認証情報である「ユーザＩＤ」と「パスワード」などである。

アドレス情報ＤＢ２１は、利用者端末である社員宅端末がインターネット上で使用するグローバルアドレスと社員宅端末がＶＰＮで使用するプライベートアドレスとを対応付けて記憶するデータベース管理システム（ＤＢＭＳ）上のテーブルである。具体的には、アドレス情報ＤＢ２１は、図３に示すように、『インターネット上で使用する「グローバルアドレス（ルータ側ＩＰアドレス）」、社員宅端末がＶＰＮで使用する「プライベートアドレス（イントラネット側ＩＰアドレス）」』として「129.xxx.yyy.zzz、172.168.0.Y」や「150.aaa.bbb.ccc、172.168.0.Z」などと記憶する。なお、図３は、アドレス情報ＤＢに記憶される情報の例を示す図である。

認証情報ＤＢ２２は、ＶＰＮ接続する社員宅端末を認証するための情報を記憶するデータベース管理システム上のテーブルである。具体的には、認証情報ＤＢ２２は、図４に示すように、「ルータ側ＩＰアドレス、イントラネット側ＩＰアドレス、ユーザＩＤ、パスワード」として「129.xxx.yyy.zzz、172.168.0.Y Suzuki、ikuzusu」などと記憶する。

ここで記憶される「ルータ側ＩＰアドレス」とは、ＶＰＮ接続された社員宅ＬＡＮ内のルータに割り当てられたＩＰアドレス、つまり、ＶＰＮ接続された社員宅端末がインターネット上で使用するＩＰアドレスであり、「イントラネット側ＩＰアドレス」とは、ＶＰＮ接続された社員宅端末が社内ＬＡＮ（イントラネット）で使用するＩＰアドレスである。また、「ユーザＩＤ」と「パスワード」とは、社員宅端末がＶＰＮ接続するためのユーザ認証情報である。つまり、ＶＰＮ装置１０は、ＶＰＮ接続時に「ユーザＩＤ」と「パスワード」とを社員宅端末から受け付けて、記憶している情報と一致するか否かの認証処理を行った上で、一致する場合にのみ、ＶＰＮセッションを確立する。なお、図４は、認証情報ＤＢに記憶される情報の例を示す図である。

サーバ情報ＤＢ２３は、ファイルサーバ５０に対して管理者権限で各種処理を実行するためのファイルサーバ５０の管理者情報を記憶するデータベース管理システム上のテーブルである。具体的には、サーバ情報ＤＢ２３は、図５に示すように、「ＩＰアドレス、管理者ＩＤ、パスワード、ＨｏｍｅＤｉｒ」として「192.168.1.11、yamazaki、11231123、/var/www/html」などと記憶する。

ここで記憶される「ＩＰアドレス」とは、社内ＬＡＮ上にあるファイルサーバ５０のＩＰアドレスであり、「管理者ＩＤ」とは、ファイルサーバ５０の管理者権限を有する利用者を識別するための識別子であり、「パスワード」とは、管理者ＩＤに対応する管理者を特定するための情報であり、「ＨｏｍｅＤｉｒ」とは、ファイルサーバ５０上で管理者が自由に利用できるホームディレクトリである。なお、図５は、サーバ情報ＤＢに記憶される情報の例を示す図である。

制御部３０は、ＯＳ（Operating System）などの制御プログラム、各種の処理手順などを規定したプログラムおよび所要データを格納するための内部メモリを有するとともに、これらによって種々の処理を実行する処理部であり、特に本発明に密接に関連するものとしては、ＶＰＮ接続部３１と、認証ログ抽出部３２と、アクセス制御情報作成部３３と、リソース生成部３４とを有する。

かかるＶＰＮ接続部３１は、ＶＰＮ接続要求を送信した社員宅端末とＶＰＮセッションを確立し、ＶＰＮ接続を行った際の認証ログを記憶部２０に格納する。具体的には、ＶＰＮ接続部３１は、社員宅端末からインターネットを介してＶＰＮ接続要求を受信した場合に、当該社員宅端末に対して「ユーザＩＤ」と「パスワード」とを要求し、受け付けた「ユーザＩＤ」と「パスワード」が認証情報ＤＢ２２に記憶されているか否かを認証する。そして、ＶＰＮ接続部３１は、受け付けた「ユーザＩＤ」と「パスワード」が認証情報ＤＢ２２に記憶されている場合に、認証許可と判定して、当該社員宅端末との間にＶＰＮを確立する。

そして、ＶＰＮ接続部３１は、ＶＰＮ接続を確立した社員宅端末が使用する「ルータ側ＩＰアドレス」と「イントラネット側ＩＰアドレス」とをＶＰＮセッションから取得し、取得した「ルータ側ＩＰアドレス、イントラネット側ＩＰアドレス」と「ユーザＩＤ、パスワード」とを対応付けて記憶部２０に格納する。一方、受け付けた「ユーザＩＤ」と「パスワード」が認証情報ＤＢ２２に記憶されていない場合には、ＶＰＮ接続部３１は、認証拒否と判定して接続を拒否する。

例えば、ＶＰＮ接続部３１は、社員の「suzuki」が使用する端末からインターネットを介してＶＰＮ接続要求を受信した場合に、当該「suzuki」に対して、「ユーザＩＤ」と「パスワード」とを要求して受け付け、「ユーザＩＤ＝suzuki」と「パスワード＝ikuzusu」が認証情報ＤＢ２２に記憶されているか否かを認証する。この場合、ＶＰＮ接続部３１は、受け付けた「ユーザＩＤ＝suzuki」と「パスワード＝ikuzusu」が認証情報ＤＢ２２に記憶されているので、認証許可と判定して、当該「suzuki」端末との間にＶＰＮを確立する。そして、ＶＰＮ接続部３１は、ＶＰＮ接続を確立した「suzuki」端末が使用する「ルータ側ＩＰアドレス＝129.xxx.yyy.zzz、イントラネット側ＩＰアドレス＝172.168.0.Y」をＶＰＮセッションから取得し、取得した「ルータ側ＩＰアドレス、イントラネット側ＩＰアドレス」と「ユーザＩＤ、パスワード」とを対応付けて記憶部２０に格納する。

なお、「イントラネット側ＩＰアドレス」の割り当て手法としては、アドレス情報ＤＢ２１から割り当てたり、自動的に空いているアドレスを割り当てたりすることができる。つまり、ＶＰＮ接続部３１は、ＶＰＮセッションから「ルータ側ＩＰアドレス」を取得し、取得した「ルータ側ＩＰアドレス」に対応する「イントラネット側ＩＰアドレス」をアドレス情報ＤＢ２１から取得するようにしてもよく。「ルータ側ＩＰアドレス」に対応する「イントラネット側ＩＰアドレス」がアドレス情報ＤＢ２１にない場合には、ＶＰＮ接続部３１は、自動的に空いている「イントラネット側ＩＰアドレス」を割り当てるようにしてもよい。

認証ログ抽出部３２は、記憶部２０に記憶される認証ログを定期的に監視して、社員宅端末の利用者を識別する識別情報を取得し、後述するアクセス制御情報作成部３３とリソース生成部３４に出力する。具体的には、認証ログ抽出部３２は、ＶＰＮ接続部３１により取得されて記憶部２０に格納された認証ログ「時刻、ルータ側ＩＰアドレス、イントラネット側ＩＰアドレス、ユーザＩＤ、パスワード」のうち「イントラネット側ＩＰアドレスとユーザＩＤ」を抽出する。そして、認証ログ抽出部３２は、抽出した「イントラネット側ＩＰアドレス」をアクセス制御情報作成依頼とともにアクセス制御情報作成部３３に出力し、抽出した「ユーザＩＤ」をリソース生成部３４に出力する。

アクセス制御情報作成部３３は、ＶＰＮを接続する際に得られた社員宅端末の利用者を識別する識別情報に基づいて、利用者端末のアクセスを制御するための情報を示すアクセス制御情報を作成する。具体的には、アクセス制御情報作成部３３は、認証ログ抽出部３２から取得された「イントラネット側ＩＰアドレスとユーザＩＤ」とを用いて、Apache＋mod_davによるＷｅｂＤＡＶを実行するファイルサーバ５０でのみ適用可能な、図６に示すアクセス制御情報（アクセス設定情報）を作成する。

ここで作成されるアクセス制御情報は、図６に示すように、社員宅端末「Suzuki」が使用するイントラ側ＩＰアドレス「172.168.0.Y」からのアクセスを許可し、その他からのアクセスを拒否する情報を作成する。なお、ここでは、アクセス制御情報として、ＩＰアドレスを設定する例について説明したが、ネットワークアドレスを設定するようにしてもよい。また、ＶＰＮ装置１０は、ファイルサーバ５０とは同じネットワークに存在するため、ファイルサーバ５０のＩＰアドレスを認識することができる。また、図６は、アクセス制御情報の例を示す図である。

リソース生成部３４は、社員宅端末の利用者を識別する識別情報に基づいて、ＶＰＮ接続された社員宅端末の利用者に対応するリソースをファイルサーバ５０上に生成する。具体的には、リソース生成部３４は、認証ログ抽出部３２からＶＰＮ接続された社員宅端末の「ユーザＩＤ」とアクセス制御情報作成部３３により生成された「アクセス制御情報」とを取得すると、サーバ情報ＤＢ２３からファイルサーバ５０の管理者情報「ＩＰアドレス、ユーザＩＤ、パスワード、ＨｏｍｅＤｉｒ」を取得する。続いて、リソース生成部３４は、取得した管理者情報を用いてファイルサーバ５０に管理者権限でアクセスする。

そして、リソース生成部３４は、「remote shell」や「secure shell」を用いてファイルサーバ５０へ遠隔操作を行い、認証ログ抽出部３２から取得した「ユーザＩＤ」の名称をもつフォルダをＨｏｍｅＤｉｒに作成する。そして、リソース生成部３４は、アクセス制御情報作成部３３により生成されたアクセス制御情報を作成した「ユーザＩＤ」フォルダにコピー（格納）する。

例えば、リソース生成部３４は、認証ログ抽出部３２からＶＰＮ接続された社員宅端末の「ユーザＩＤ＝suzuki」とアクセス制御情報作成部３３により生成されたアクセス制御情報とを取得すると、サーバ情報ＤＢ２３からファイルサーバ５０の管理者情報「ＩＰアドレス＝192.168.0.20、ユーザＩＤ＝yamazaki、パスワード＝11231123、ＨｏｍｅＤｉｒ＝/var/www/html」を取得する。続いて、リソース生成部３４は、取得した管理者情報を用いてファイルサーバ５０に管理者権限でアクセスし、認証ログ抽出部３２から取得した「suzuki」の名称をもつフォルダとして「/var/www/html/suzuki」を作成する。そして、リソース生成部３４は、アクセス制御情報作成部３３により生成されたアクセス制御情報をフォルダ「/var/www/html/suzuki」にコピー（格納）する。

（ファイルサーバの構成）
次に、実施例１に係るアクセス制御システムにおけるファイルサーバの構成について説明する。かかるファイルサーバ５０は、ＬＡＮアダプター５１と、リソース５２と、制御部６０とを有する。

ＬＡＮアダプター５１は、社内ＬＡＮ（イントラネット）でやり取りする各種情報に関する通信を制御する。具体的には、ＬＡＮアダプター５１は、ＶＰＮ装置１０からリソース作成要求、アクセス制御情報などを受信したり、社員宅端末からＶＰＮ装置１０を介してアクセス要求を受信したり、社員宅端末に対してアクセス応答などを送信したりする。

リソース５２は、ファイルサーバ５０上に作成されたディレクトリ、フォルダ、ファイルなどである。このリソース５２は、ＶＰＮ装置１０により作成され、社員宅端末の「ユーザＩＤ」の名称を持つフォルダなどがこれに該当する。また、各リソース５２は、自身に設定されているアクセス制御情報（図６参照）を記憶する。

制御部６０は、ＯＳ（Operating System）などの制御プログラム、各種の処理手順などを規定したプログラムおよび所要データを格納するための内部メモリを有するとともに、アクセス制御部６１を有し、これらによって種々の処理を実行する。

アクセス制御部６１は、各リソースに記憶されるアクセス制御情報に従って、アクセス制御を実行する。具体的には、リソース「/var/www/html/suzuki」に図６に示すアクセス制御情報が記憶されており、ＶＰＮ接続されている社員宅端末「ユーザＩＤ＝suzuki」と「ユーザＩＤ＝tanaka」からそれぞれアクセス要求を受信したとする。この場合、アクセス制御部６１は、ＶＰＮセッションから「イントラネット側ＩＰアドレス」を取得してアクセス制御を実施する。

つまり、アクセス制御部６１は、社員宅端末「ユーザＩＤ＝suzuki」の場合、「イントラネット側ＩＰアドレス＝172.168.0.Y」を取得し、このアドレスが図６のアクセス制御情報に「許可」と設定されていることから、社員宅端末「ユーザＩＤ＝suzuki」からリソース「/var/www/html/suzuki」へのアクセスを許可する。一方、アクセス制御部６１は、社員宅端末「ユーザＩＤ＝takana」の場合、「イントラネット側ＩＰアドレス＝172.168.0.Z」を取得し、このアドレスがアクセス制御情報に「許可」と設定されていないことから、社員宅端末からリソース「/var/www/html/suzuki」へのアクセスを拒否する。

［アクセス制御システムによる処理］
次に、図７と図８を用いて、アクセス制御システムによる処理を説明する。図７は、実施例１に係るアクセス制御システムにおけるフォルダ作成およびフォルダアクセス処理の流れを示すフローチャートであり、図８は、実施例１に係るアクセス制御システムにおけるフォルダおよびアクセス設定削除処理の流れを示すフローチャートである。

（フォルダ作成およびフォルダアクセス処理の流れ）
図７に示すように、社員宅の端末は、ＶＰＮソフトウエアを実行して、社員宅ＬＡＮのRouterに対して社内ＬＡＮへの接続要求（ユーザＩＤ、パスワード）を送信すると（ステップＳ１０１）、Routerは、この接続要求を中継して、ＶＰＮ接続のログイン処理要求（ユーザＩＤ、パスワード）をＶＰＮ装置１０に送信する（ステップＳ１０２）。

このログイン処理要求を受け付けたＶＰＮ装置１０のＶＰＮ接続部３１は、受信した「ユーザＩＤ、パスワード」が認証情報ＤＢ２２に記憶されているか否かを判定する（ステップＳ１０３とステップＳ１０４）。

そして、受信した「ユーザＩＤ、パスワード」が認証情報ＤＢ２２に記憶されており、接続要求を送信した社員宅端末の認証を許可すると判定したＶＰＮ装置１０のＶＰＮ接続部３１は、認証を許可する旨の応答であり、ＶＰＮセッション情報であるセッション情報をRouterを介して社員宅端末に送信し、社員宅端末との間にＶＰＮを確立する（ステップＳ１０５〜ステップＳ１０７）。なお、ＶＰＮ接続部３１は、ＶＰＮを確立すると、社員宅端末を認証した認証ログを抽出する。

続いて、ＶＰＮ装置１０の認証ログ抽出部３２は、ＶＰＮ接続部３１によりＶＰＮ接続時に取得された認証ログを定期的に監視し、認証ログから「イントラネット側ＩＰアドレスとユーザＩＤ」を抽出し、アクセス制御情報作成依頼をアクセス制御情報作成部３３に出力する（ステップＳ１０８〜ステップＳ１１１）。

そして、ＶＰＮ装置１０のアクセス制御情報作成部３３は、認証ログ抽出部３２により抽出された「イントラネット側ＩＰアドレスとユーザＩＤ」に基づいて、社内ＬＡＮの外にある社員宅端末のアクセスを制御するための情報を示すアクセス制御情報を作成する（ステップＳ１１２）。続いて、アクセス制御情報作成部３３は、抽出された「ユーザＩＤ」をリソース生成部３４に通知し、アクセス設定依頼を送信する（ステップＳ１１３）。

アクセス設定依頼を受信したリソース生成部３４は、サーバ情報ＤＢ２３に記憶されるファイルサーバ５０の管理者情報を取得する（ステップＳ１１４とステップＳ１１５）。続いて、リソース生成部３４は、取得した管理者情報を用いてファイルサーバ５０に管理者権限でアクセスし、通知された「ユーザＩＤ」の名称をもつフォルダをＨｏｍｅＤｉｒに作成するとともに、アクセス制御情報作成部３３から受信したアクセス制御情報を作成した「ユーザＩＤ」フォルダにコピー（格納）する（ステップＳ１１６とステップＳ１１７）。なお、ＶＰＮ装置１０とファイルサーバ５０とが同じ筐体で実現される場合には、ステップＳ１１４とステップＳ１１５を実施する必要はない。

その後、ＶＰＮ接続が確立された社員宅端末は、ファイルサーバ５０にアクセス要求を送信し（ステップＳ１１８）、これを受け付けたＶＰＮ装置１０は、当該要求をファイルサーバ５０に転送する（ステップＳ１１９）。

すると、ファイルサーバ５０は、接続要求やＶＰＮセッションから要求を送信した社員宅端末の「イントラネット側ＩＰアドレス、ユーザＩＤ」を特定し、特定した「ユーザＩＤ」に対応するリソースに記憶されるアクセス制御情報に基づいて、特定した「イントラネット側ＩＰアドレス」をもつ端末のアクセスを許可するか否かを判定する（ステップＳ１２０）。

そして、ファイルサーバ５０は、ＶＰＮ装置１０とRouterとを介して、当該アクセスを許可または拒否を示すアクセス応答をアクセス要求送信元の社員宅端末に送信する（ステップＳ１２１〜ステップＳ１２３）。

（フォルダおよびアクセス設定削除処理の流れ）
図８に示すように、社員宅の端末は、社員宅ＬＡＮのRouterに対して社内ＬＡＮとの接続を切断する接続切断要求を送信すると（ステップＳ２０１）、Routerは、この接続切断要求を中継して、ＶＰＮ装置１０に送信する（ステップＳ２０２）。

この接続切断要求を受信したＶＰＮ装置１０のＶＰＮ接続部３１は、Routerを介して、接続切断を許可する応答を社員宅端末に送信する（ステップＳ２０３とステップＳ２０４）。なお、この際、ＶＰＮ接続部３１は、ＶＰＮセッションから「イントラネット側ＩＰアドレス」や「ユーザＩＤ」などを認証ログとして取得する。

続いて、ＶＰＮ装置１０の認証ログ抽出部３２は、ＶＰＮ接続部３１によりＶＰＮ切断時に取得された認証ログを定期的に監視し、認証ログから「イントラネット側ＩＰアドレスとユーザＩＤ」を抽出し、抽出した「イントラネット側ＩＰアドレスとユーザＩＤ」とともにアクセス制御情報削除依頼をリソース生成部３４に出力する（ステップＳ２０５〜ステップＳ２０８）。

アクセス制御情報削除依頼を受信したリソース生成部３４は、サーバ情報ＤＢ２３に記憶されるファイルサーバ５０の管理者情報を取得する（ステップＳ２０９とステップＳ２１０）。続いて、リソース生成部３４は、取得した管理者情報を用いてファイルサーバ５０に管理者権限でアクセスし、通知された「ユーザＩＤ」の名称をもつフォルダおよびアクセス制御情報の削除依頼をファイルサーバ５０に送信し（ステップＳ２１１）、ファイルサーバ５０は、通知された「ユーザＩＤ」の名称をもつフォルダおよびアクセス制御情報を削除する削除処理を実行する（ステップＳ２１２）。なお、ＶＰＮ装置１０とファイルサーバ５０とが同じ筐体で実現される場合には、ステップＳ２０９とステップＳ２１０を実施する必要はない。

［実施例１による効果］
このように、実施例１によれば、ＶＰＮ装置１０は、ＶＰＮを接続する際に得られた社員宅端末の利用者を識別する識別情報に基づいて、社員宅端末のアクセスを制御するための情報を示すアクセス制御情報を作成し、社員宅端末を識別する識別情報に基づいて、社員宅端末の利用者に対応するリソースをファイルサーバ５０上に生成する。そして、ファイルサーバ５０は、ＶＰＮ装置１０により作成されたアクセス制御情報に従って、ＶＰＮ装置１０により生成されたリソースへのアクセス制御を行う。このようにすることで、ＶＰＮ接続時に使用した識別情報を用いてアクセス制御を実施することができるため、ＶＰＮ接続後のファイルサーバアクセス時にユーザ認証をする必要がなく、つまり、ＶＰＮ接続時とファイルサーバアクセス時との２回ユーザ認証を実施する必要がないので、セキュリティを向上させつつ、ユーザの利便性を向上させることが可能である。

また、実施例１によれば、ＶＰＮ装置１０は、リソースの名前に識別情報を用いることもできる。このようにすることで、利用者は、自分のフォルダを容易に認識することができるので、ユーザの利便性がさらに向上し、会社側は、ＶＰＮ接続を行って社内ＬＡＮにアクセスする利用者を容易に特定することができるので、不正な第三者を容易に発見することができ、セキュリティをさらに向上させることが可能である。

また、実施例１によれば、ＶＰＮ装置１０は、ファイルサーバ５０と同じネットワークに存在する端末に対しては、リソースへのアクセスを許可することができる。このようにすることで、社内ＬＡＮなどの管理者は、ＶＰＮ接続で作成された各リソースを監視することができ、セキュリティをさらに向上させることが可能である。

ところで、実施例１では、ＶＰＮ接続時の認証ログ（通信ログ）から識別情報である「ルータ側ＩＰアドレスとユーザＩＤ」を抽出して、フォルダ作成およびアクセス制御情報生成を行う例について説明したが、本発明はこれに限定されるものではなく、ＶＰＮセッションから識別情報を取得することもできる。

そこで、実施例２では、図９と図１０とを用いて、ＶＰＮセッションから識別情報を取得して、フォルダ作成およびアクセス制御情報生成を行う例について説明する。

まず、図９を用いて、フォルダ作成およびフォルダアクセス処理の流れを説明する。図９は、実施例２に係るアクセス制御システムにおけるフォルダ作成およびフォルダアクセス処理の流れを示すフローチャートである。図９に示すように、社員宅の端末は、ＶＰＮソフトウエアを実行して、社員宅ＬＡＮのRouterに対して社内ＬＡＮへの接続要求（ユーザＩＤ、パスワード）を送信すると（ステップＳ３０１）、Routerは、この接続要求を中継して、ＶＰＮ接続のログイン処理要求（ユーザＩＤ、パスワード）をＶＰＮ装置１０に送信する（ステップＳ３０２）。

このログイン処理要求を受け付けたＶＰＮ装置１０のＶＰＮ接続部３１は、受信した「ユーザＩＤ、パスワード」が認証情報ＤＢ２２に記憶されているか否かを判定する（ステップＳ３０３とステップＳ３０４）。

そして、受信した「ユーザＩＤ、パスワード」が認証情報ＤＢ２２に記憶されており、接続要求を送信した社員宅端末の認証を許可すると判定したＶＰＮ装置１０のＶＰＮ接続部３１は、認証を許可する旨の応答であり、ＶＰＮセッション情報であるセッション情報をRouterを介して社員宅端末に送信し、社員宅端末との間にＶＰＮを確立する（ステップＳ３０５〜ステップＳ３０７）。

続いて、ＶＰＮ接続部３１は、受信した接続要求や接続確立したＶＰＮセッションから「イントラネット側ＩＰアドレスとユーザＩＤ」を抽出して、アクセス制御情報作成部３３に出力する（ステップＳ３０８）。

そして、実施例１と同様に、アクセス制御情報作成部３３は、受信した「イントラネット側ＩＰアドレスとユーザＩＤ」に基づいて、アクセス制御情報を作成してアクセス設定依頼を送信する（ステップＳ３０９）。

その後、リソース生成部３４は、サーバ情報ＤＢ２３に記憶されるファイルサーバ５０の管理者情報を取得する（ステップＳ３１０とステップＳ３１１）。続いて、リソース生成部３４は、取得した管理者情報を用いてファイルサーバ５０に管理者権限でアクセスし、通知された「ユーザＩＤ」の名称をもつフォルダをＨｏｍｅＤｉｒに作成するとともに、アクセス制御情報作成部３３から受信したアクセス制御情報を作成した「ユーザＩＤ」フォルダにコピー（格納）する（ステップＳ３１２とステップＳ３１３）。

その後の処理は、実施例１のステップＳ１１８〜ステップＳ１２３と同様であるので、ここでは詳細な説明は省略する。

次に、図１０を用いて、フォルダおよびアクセス設定削除処理の流れを説明する。図１０は、実施例２に係るアクセス制御システムにおけるフォルダおよびアクセス設定削除処理の流れを示すフローチャートである。

図１０に示すように、社員宅の端末は、社員宅ＬＡＮのRouterに対して社内ＬＡＮとの接続を切断する接続切断要求を送信すると（ステップＳ４０１）、Routerは、この接続切断要求を中継して、ＶＰＮ装置１０に送信する（ステップＳ４０２）。

この接続切断要求を受信したＶＰＮ装置１０のＶＰＮ接続部３１は、Routerを介して、接続切断を許可する応答を社員宅端末に送信する（ステップＳ４０３とステップＳ４０４）。

続いて、ＶＰＮ接続部３１は、ＶＰＮ切断時にＶＰＮセッションから「イントラネット側ＩＰアドレスとユーザＩＤ」を取得し、取得した「イントラネット側ＩＰアドレスとユーザＩＤ」とともにアクセス制御情報削除依頼をリソース生成部３４に出力する（ステップＳ４０５）。

その後、リソース生成部３４は、サーバ情報ＤＢ２３に記憶されるファイルサーバ５０の管理者情報を取得する（ステップＳ４０６とステップＳ４０７）。続いて、リソース生成部３４は、取得した管理者情報を用いてファイルサーバ５０に管理者権限でアクセスし、通知された「ユーザＩＤ」の名称をもつフォルダおよびアクセス制御情報の削除依頼をファイルサーバ５０に送信し（ステップＳ４０８）、ファイルサーバ５０は、通知された「ユーザＩＤ」の名称をもつフォルダおよびアクセス制御情報を削除する削除処理を実行する（ステップＳ４０９）。

このようにすることで、認証ログを確保する領域を削除することができ、資源を有効的に活用することができる。また、認証ログを定期的に監視する必要がないので、ＣＰＵの負荷を軽減することもでき、さらには、認証ログから抽出する処理を省略することができるので、処理の高速化が図れる。

さて、これまで本発明の実施例について説明したが、本発明は上述した実施例以外にも、種々の異なる形態にて実施されてよいものである。そこで、以下に示すように、（１）アドレス対応表、（２）ＳＩＰ（Session Initiation Protocol）、（３）システム構成等、（４）プログラムにそれぞれ区分けして異なる実施例を説明する。

（１）アドレス対応表
例えば、実施例１では、アクセス制御システムは、ＶＰＮ接続を確立する場合に、ＶＰＮ接続を行う社員宅端末用イントラネット側ＩＰアドレスを自動的に割り当てた後に、アクセス制御情報を作成する例について説明したが本発明はこれに限定されるものではない。

本願が開示するアクセス制御システムは、社員宅端末がインターネット上で使用するグローバルアドレス（ルータ側ＩＰアドレス）と社員宅端末がＶＰＮで使用するプライベートアドレス（イントラネット側ＩＰアドレス）とを対応付けて記憶しておき、ＶＰＮで接続される社員宅端末のグローバルアドレスに対応するプライベートアドレスを記憶している場合にのみアクセス制御情報を作成するようにしてもよい。

（２）ＳＩＰ
また、実施例１と２では、インターネットを利用したＶＰＮによって認証した場合について述べたが、本発明はこれに限定されるものではなく、本願が開示するアクセス制御システムは、ＳＩＰを利用したダイアルアップＶＰＮの接続技術（参考文献１：広帯域でセキュアな家庭ＬＡＮ間を接続するＶＰＮ接続方式、2007年、電子情報通信学会BS-5-6、参考文献２：電話機をインタフェースとした家庭内ＬＡＮ間接続システム、2007年、電子情報通信学会B-6-31）を適用することもできる。

この場合、実施例１と２で説明した「イントラネット側ＩＰアドレス」の変わりに「電話番号」や「ＳＩＰ−ＵＲＩ（Session Initiation Protocol−Uniform Resource Identifier）」を用いたアクセス制御情報を作成することにより、実施例１や２と同様の処理を実行することができる。このようにすることにより、音声などのデータ通信に関しても本発明を適用することができ、利用者のニーズに合わせた幅広いサービスを提供することができる。

（３）システム構成等
また、本実施例において説明した各処理のうち、自動的におこなわれるものとして説明した処理（例えば、認証ログ抽出処理など）の全部または一部を手動的におこなうこともでき、あるいは、手動的におこなわれるものとして説明した処理（例えば、ＶＰＮ接続時のユーザＩＤとパスワード入力処理など）の全部または一部を公知の方法で自動的におこなうこともできる。この他、上記文書中や図面中で示した処理手順、制御手順、具体的名称、各種のデータやパラメータを含む情報（例えば、図３〜図６など）については、特記する場合を除いて任意に変更することができる。

また、図示した各装置の各構成要素は機能概念的なものであり、必ずしも物理的に図示の如く構成されていることを要しない。すなわち、各装置の分散・統合の具体的形態は図示のものに限られず、その全部または一部を、各種の負荷や使用状況などに応じて、任意の単位で機能的または物理的に分散・統合（例えば、アクセス制御情報作成部とリソース生成部とを統合するなど）して構成することができる。さらに、各装置にて行なわれる各処理機能は、その全部または任意の一部が、ＣＰＵおよび当該ＣＰＵにて解析実行されるプログラムにて実現され、あるいは、ワイヤードロジックによるハードウェアとして実現され得る。

（４）プログラム
なお、本実施例で説明した接続制御方法は、あらかじめ用意されたプログラムをパーソナルコンピュータやワークステーションなどのコンピュータで実行することによって実現することができる。このプログラムは、インターネットなどのネットワークを介して配布することができる。また、このプログラムは、ハードディスク、フレキシブルディスク（ＦＤ）、ＣＤ−ＲＯＭ、ＭＯ、ＤＶＤなどのコンピュータで読み取り可能な記録媒体に記録され、コンピュータによって記録媒体から読み出されることによって実行することもできる。

以上のように、本発明に係るアクセス制御システム、接続制御装置および接続制御方法は、利用者端末がアクセスするリソースを保持するファイルサーバと、利用者端末と前記ファイルサーバが属するネットワークとの間を仮想的な通信路で接続する接続制御装置とを有するアクセス制御システムに有用であり、特に、セキュリティを向上させつつ、ユーザの利便性を向上させることに適する。

実施例１に係るアクセス制御システムの全体構成を示すシステム構成図である。 実施例１に係るアクセス制御システムの構成を示すブロック図である。 アドレス情報ＤＢに記憶される情報の例を示す図である。 認証情報ＤＢに記憶される情報の例を示す図である。 サーバ情報ＤＢに記憶される情報の例を示す図である。 アクセス制御情報の例を示す図である。 実施例１に係るアクセス制御システムにおけるフォルダ作成およびフォルダアクセス処理の流れを示すフローチャートである。 実施例１に係るアクセス制御システムにおけるフォルダおよびアクセス設定削除処理の流れを示すフローチャートである。 実施例２に係るアクセス制御システムにおけるフォルダ作成およびフォルダアクセス処理の流れを示すフローチャートである。 実施例２に係るアクセス制御システムにおけるフォルダおよびアクセス設定削除処理の流れを示すフローチャートである。

符号の説明

１０ ＶＰＮ装置
１１ ＬＡＮアダプターＡ
１２ ＬＡＮアダプターＢ
２０ 記憶部
２１ アドレス情報ＤＢ
２２ 認証情報ＤＢ
２３ サーバ情報ＤＢ
３０ 制御部
３１ ＶＰＮ接続部
３２ 認証ログ抽出部
３３ アクセス制御情報作成部
３４ リソース生成部
５０ ファイルサーバ
５１ ＬＡＮアダプター
５２ リソース
６０ 制御部
６１ アクセス制御部

Claims (8)

1. 利用者端末がアクセスするリソースを保持するファイルサーバと、前記利用者端末と前記ファイルサーバが属するネットワークとの間を仮想的な通信路で接続する接続制御装置とを有するアクセス制御システムであって、
   前記仮想的な通信路を接続する際に得られた前記利用者端末の利用者を識別する識別情報に基づいて、前記利用者端末のアクセスを制御するための情報を示すアクセス制御情報を作成するアクセス制御情報作成手段と、
   前記利用者端末の利用者を識別する識別情報に基づいて、前記利用者端末の利用者に対応するリソースを前記ファイルサーバ上に生成するリソース生成手段と、
   前記アクセス制御情報作成手段により作成されたアクセス制御情報に従って、前記リソース生成手段により生成されたリソースへのアクセス制御を行うアクセス制御手段と、
   を備えたことを特徴とするアクセス制御システム。
2. 前記利用者端末がインターネット上で使用するグローバルアドレスと前記利用者端末が前記仮想的な通信路で使用するプライベートアドレスとを対応付けて記憶するアドレス情報記憶手段をさらに備え、
   前記アクセス制御情報作成手段は、前記仮想的な通信路で接続される利用者端末のグローバルアドレスに対応するプライベートアドレスが前記アドレス情報記憶手段に記憶される場合に、前記アクセス制御情報を作成することを特徴とする請求項１に記載のアクセス制御システム。
3. 前記リソース生成手段は、前記リソースの名前に前記識別情報を用いることを特徴とする請求項１または２に記載のアクセス制御システム。
4. 前記アクセス制御情報作成手段は、前記ファイルサーバと同じネットワークに存在する端末に対しては、前記リソースへのアクセスを許可するアクセス制御情報を作成することを特徴とする請求項１〜３のいずれか一つに記載のアクセス制御システム。
5. 前記仮想的な通信路は、ＳＩＰを用いて接続されたものであって、
   前記アクセス制御情報作成手段は、前記仮想的な通信路を接続する際に得られた前記利用者端末の発電話番号に基づいて、前記アクセス制御情報を作成することを特徴とする請求項１に記載のアクセス制御システム。
6. 利用者端末がアクセスするリソースを保持するファイルサーバと、前記利用者端末と前記ファイルサーバが属するネットワークとの間を仮想的な通信路で接続する接続制御装置とを有するアクセス制御システムであって、
   前記接続制御装置は、
   前記仮想的な通信路を接続する際に得られた前記利用者端末の利用者を識別する識別情報に基づいて、前記利用者端末のアクセスを制御するための情報を示すアクセス制御情報を作成して、前記ファイルサーバに格納するアクセス制御情報作成手段と、
   前記利用者端末の利用者を識別する識別情報に基づいて、前記利用者端末の利用者に対応するリソースを前記ファイルサーバ上に生成するリソース生成手段と、を有し、
   前記ファイルサーバは、
   前記アクセス制御情報作成手段により作成されたアクセス制御情報に従って、前記リソース生成手段により生成されたリソースへのアクセス制御を行うアクセス制御手段、
   を備えたことを特徴とするアクセス制御システム。
7. 利用者端末がアクセスするリソースを保持するファイルサーバと、、前記利用者端末と前記ファイルサーバが属するネットワークとの間を仮想的な通信路で接続する接続制御装置とを有するアクセス制御システムにおける前記接続制御装置であって、
   前記仮想的な通信路を接続する際に得られた前記利用者端末の利用者を識別する識別情報に基づいて、前記利用者端末のアクセスを制御するための情報を示すアクセス制御情報を作成して、前記ファイルサーバに格納するアクセス制御情報作成手段と、
   前記利用者端末の利用者を識別する識別情報に基づいて、前記利用者端末の利用者に対応するリソースを前記ファイルサーバ上に生成するリソース生成手段と、
   を備えたことを特徴とする接続制御装置。
8. 利用者端末がアクセスするリソースを保持するファイルサーバと、前記利用者端末と前記ファイルサーバが属するネットワークとの間を仮想的な通信路で接続する接続制御装置とを有するアクセス制御システムにおける前記接続制御装置に適した接続制御方法であって、
   前記仮想的な通信路を接続する際に得られた前記利用者端末の利用者を識別する識別情報に基づいて、前記利用者端末のアクセスを制御するための情報を示すアクセス制御情報を作成して、前記ファイルサーバに格納するアクセス制御情報作成工程と、
   前記利用者端末の利用者を識別する識別情報に基づいて、前記利用者端末の利用者に対応するリソースを前記ファイルサーバ上に生成するリソース生成工程と、
   を含んだことを特徴とする接続制御方法。

Images