JP5799765B2 - システム、情報処理装置、情報処理方法およびプログラム - Google Patents

Description

本発明は、システム、情報処理装置、情報処理方法およびプログラムに関する。

従来、管理者権限を有するユーザーが、情報資源に対する他のユーザーのアクセス権限を設定する技術が知られている。例えば特許文献１では、管理者権限を有するユーザー（Ｕ１）が、第１サーバ装置（図５の５０２）に格納された情報資源（ここでは「対象オブジェクト」）に対する他のユーザー（Ｕ２）のアクセス権限を設定する場合は、ユーザー（Ｕ１）が、第１サーバ装置との間に信頼関係が結ばれた第１クライアント装置（図５の５０６）に対して、他のユーザー（Ｕ２）に関する識別子と、対象オブジェクトに対するアクセス権限とを入力したことを契機として、第１サーバ装置は、他のユーザー（Ｕ２）が使用する第２クライアント装置との間に信頼関係が結ばれた第２サーバ装置（図５の５０４）から、他のユーザー（Ｕ２）に関する固有のＰＵＩＤ（ペアワイズ固有ＩＤ）を取得する。そして、第１サーバ装置は、そのＰＵＩＤをセキュリティ識別子（ＳＩＤ）に変換し、そのＳＩＤで識別されるユーザー（Ｕ２）の対象オブジェクトに対するアクセス権限を定義したアクセス制御エントリ（ＡＣＥ）を作成する。これにより、ユーザー（Ｕ２）は、対象オブジェクトにアクセスすることが可能になる。

しかしながら、特許文献１に開示された技術では、上述の第１クライアント装置にログインして他のユーザー（Ｕ２）に関する識別子と、対象オブジェクトに対するアクセス権限とを入力することができるのは、管理者権限を有するユーザー（Ｕ１）に限られる。すなわち、特定のユーザーに強大な管理者権限を与える必要があるうえ、管理者権限を与えられたユーザーの作業負担が増大するという問題がある。

本発明は、上記に鑑みてなされたものであって、ユーザーに強大な管理者権限を与えることなく、簡易に、情報資源に対するアクセス権限を設定可能なシステム、情報処理装置、情報処理方法およびプログラムを提供することを目的とする。

上述した課題を解決し、目的を達成するために、本発明のシステムは、情報を共有する単位を示す第１フォレストを管理する第１サーバ装置と、前記第１フォレストとは異なる単位を示す第２フォレストを管理する第２サーバ装置とを備えたシステムであって、前記第１サーバ装置は、前記第１フォレスト内に格納される情報資源を特定する特定情報と、当該情報資源を利用可能なユーザーを示すユーザー情報とを含む承認情報を外部装置から受信する第１受信部と、前記承認情報に含まれる前記ユーザー情報が示す前記ユーザーを前記第１フォレスト内で識別する第１識別情報を取得する第１取得部と、前記第１識別情報と、前記承認情報に含まれる前記特定情報で特定される前記情報資源に対するアクセス権限とが対応付けられた第１アクセス制御情報を作成する第１作成部と、前記第１識別情報を前記第２サーバ装置へ送信する送信部と、を備え、前記第２サーバ装置は、前記承認情報を前記外部装置から受信する第２受信部と、前記第１識別情報を前記第１サーバ装置から受信する第３受信部と、前記承認情報に含まれる前記ユーザー情報が示す前記ユーザーを前記第２フォレスト内で識別する第２識別情報を取得する第２取得部と、前記第２識別情報と、前記第１識別情報と、前記承認情報に含まれる前記特定情報で特定される前記情報資源に対するアクセス権限とが対応付けられた第２アクセス制御情報を作成する第２作成部と、を備える。

また、本発明の情報処理装置は、外部装置、および、情報を共有する単位を示す第１フォレストを管理するサーバ装置の各々と接続され、前記第１フォレストとは異なる単位を示す第２フォレストを管理する情報処理装置であって、前記第１フォレスト内に格納される情報資源を特定する特定情報と、当該情報資源を利用可能なユーザーを示すユーザー情報とを含む承認情報を前記外部装置から受信する第４受信部と、前記承認情報に含まれる前記ユーザー情報が示す前記ユーザーを前記第２フォレスト内で識別する第２識別情報を取得する取得部と、前記承認情報に含まれる前記ユーザー情報が示す前記ユーザーを前記第１フォレスト内で識別する第１識別情報を前記サーバ装置から受信する第５受信部と、前記第２識別情報と、前記第１識別情報と、前記承認情報に含まれる前記特定情報で特定される前記情報資源に対するアクセス権限とが対応付けられたアクセス制御情報を作成する作成部と、を備える。

また、本発明の情報処理方法は、外部装置、および、情報を共有する単位を示す第１フォレストを管理するサーバ装置の各々と接続され、前記第１フォレストとは異なる単位を示す第２フォレストを管理する情報処理装置が実行する情報処理方法であって、前記第１フォレスト内に格納される情報資源を特定する特定情報と、当該情報資源を利用可能なユーザーを示すユーザー情報とを含む承認情報を前記外部装置から受信する第１ステップと、前記承認情報に含まれる前記ユーザー情報が示す前記ユーザーを前記第２フォレスト内で識別する第２識別情報を取得する第２ステップと、前記承認情報に含まれる前記ユーザー情報が示す前記ユーザーを前記第１フォレスト内で識別する第１識別情報を前記サーバ装置から受信する第３ステップと、前記第２識別情報と、前記第１識別情報と、前記承認情報に含まれる前記特定情報で特定される前記情報資源に対するアクセス権限とが対応付けられたアクセス制御リストを作成する第４ステップと、を備える。

さらに、本発明のプログラムは、外部装置、および、情報を共有する単位を示す第１フォレストを管理するサーバ装置の各々と接続され、前記第１フォレストとは異なる単位を示す第２フォレストを管理する情報処理装置に実行させるためのプログラムであって、前記第１フォレスト内に格納される情報資源を特定する特定情報と、当該情報資源を利用可能なユーザーを示すユーザー情報とを含む承認情報を前記外部装置から受信する第１ステップと、前記承認情報に含まれる前記ユーザー情報が示す前記ユーザーを前記第２フォレスト内で識別する第２識別情報を取得する第２ステップと、前記承認情報に含まれる前記ユーザー情報が示す前記ユーザーを前記第１フォレスト内で識別する第１識別情報を前記サーバ装置から受信する第３ステップと、前記第２識別情報と、前記第１識別情報と、前記承認情報に含まれる前記特定情報で特定される前記情報資源に対するアクセス権限とが対応付けられたアクセス制御リストを作成する第４ステップと、を備える。

本発明によれば、ユーザーに強大な管理者権限を与えることなく、簡易に、情報資源に対するアクセス権限を設定可能なシステム、情報処理装置、情報処理方法およびプログラムを提供することができるという有利な効果を奏する。

図１は、実施形態のシステムの概略構成例を示す図である。 図２は、第１サーバ装置の機能構成例を示す図である。 図３は、第１アクセス制御情報の一例を示す図である。 図４は、第２サーバ装置の機能構成例を示す図である。 図５は、第２アクセス制御情報の一例を示す図である。 図６は、外部システムの動作例を示すフローチャートである。 図７は、第１サーバ装置の動作例を示すフローチャートである。 図８は、第２サーバ装置の動作例を示すフローチャートである。

以下、添付図面を参照しながら、本発明に係るシステム、情報処理装置、情報処理方法およびプログラムの実施の形態を詳細に説明する。

図１は、本実施形態のシステム１００の概略構成例を示す図である。図１に示すように、システム１００は、フォレストＢ（第１フォレスト）を管理する第１サーバ装置１０と、フォレストＢとは別のフォレストＡ（第２フォレスト）を管理する第２サーバ装置２０とを含んで構成される。「フォレスト」とは、情報を共有する単位（例えば組織の単位）を示す。本実施形態では、「フォレストＢはフォレストＡを信頼する」という信頼関係が設定されている。「信頼関係」とは、２つのフォレストの間で確立されるネットワークセキュリティ上の関係を示すものである。また、第１サーバ装置１０および第２サーバ装置２０の各々は、ドメインコントローラとして機能する。なお、以下では、フォレストが２つの場合を例に挙げて説明するが、これに限らず、フォレストの数は２以上であればよく、その数は任意に変更可能である。

第１サーバ装置１０および第２サーバ装置２０の各々は、外部システム２００に含まれる第３サーバ装置３０と接続される。図１に示すように、外部システム２００は、第３サーバ装置３０と、第３サーバ装置３０と接続される複数の端末装置４０とを含んで構成される。各端末装置４０は、電子メール・掲示板・データベース・スケジュール管理などの機能を実現可能な専用のクライアントソフト（この例ではＬｏｔｕｓ Ｎｏｔｅｓ）を利用して第３サーバ装置３０に対してアクセスする。

例えば端末装置４０を使用するユーザーが、フォレストＢに格納されるべき情報資源（リソース）を新たに作成した場合（既存のリソースを修正した場合でもよい）、当該ユーザーは、新たに作成したリソースを利用可能なユーザー（あるいはグループ）を決定し、その決定したユーザーの当該リソースに対するアクセス権限を定義したアクセス制御情報（例えばアクセス制御エントリあるいはアクセス制御リスト）を設定する。そして、当該ユーザーは、Ｌｏｔｕｓ Ｎｏｔｅｓを利用して、作成または設定を行った各種情報の承認申請を行う。当該承認申請が承認された場合は、第３サーバ装置３０は、承認内容を示す承認情報を第１サーバ装置１０および第２サーバ装置２０の各々へ送信する。ここでは、新たにフォレストＢに格納されるリソースを特定する特定情報と、当該リソースを利用可能なユーザーを示すユーザー情報（例えばログインＩＤ）とが少なくとも承認情報に含まれる。

図２は、第１サーバ装置１０の機能構成例を示すブロック図である。図２に示すように、第１サーバ装置１０は、第１受信部１１と、第１取得部１２と、第１作成部１３と、送信部１４とを備える。第１受信部１１は、上述の承認情報を第３サーバ装置３０から受信する。第１取得部１２は、承認情報に含まれるユーザー情報が示すユーザー（あるいはグループ）をフォレストＢ内で識別する第１セキュリティ識別子（第１識別情報）を取得する。ユーザー情報と、第１セキュリティ識別子との対応関係は予めフォレストＢ内で定められている。この例では、ユーザー情報と、第１セキュリティ識別子とが対応付けられたテーブルがフォレストＢ内のデータベース（不図示）に格納されており、第１取得部１２は、第１受信部１１で受信された承認情報に含まれるユーザー情報に対応する第１セキュリティ識別子を当該データベースから取得する。

第１作成部１３は、第１セキュリティ識別子と、承認情報に含まれる特定情報で特定されるリソースに対するアクセス権限とが対応付けられた第１アクセス制御情報を作成する。第１アクセス制御情報とは、第１セキュリティ識別子で識別されるユーザーの、対象リソース（特定情報で特定されるリソース）に対するアクセス権限を定義する情報であると捉えることができる。図３は、第１アクセス制御情報の一例を示す図である。図３の例では、第１アクセス制御情報は、ユーザー情報（この例ではユーザーのログインＩＤ）と、第１セキュリティ識別子と、特定情報と、アクセス権限とが対応付けられている。

再び図２に戻って説明を続ける。送信部１４は、第１取得部１２で取得された第１セキュリティ識別子を第２サーバ装置２０へ送信する。本実施形態では、送信部１４は、第１取得部１２で取得された第１セキュリティ識別子と、当該第１セキュリティ識別子に対応するユーザー情報とを含むｓＩＤＨｉｓｔｏｒｙ情報を第２サーバ装置２０へ送信する。
なお、第１サーバ装置１０は、承認情報に含まれる特定情報で特定されるリソースをフォレストＢ内のデータベース（不図示）に登録する機能も有する。本実施形態では、第１サーバ装置１０は、新たにフォレストＢに格納されるリソースを特定する特定情報を第１受信部１１で受信した場合、第３サーバ装置３０に対して、当該リソースを要求する。そして、その要求の応答として受信したリソース（端末装置４０で作成されたリソース）をフォレストＢ内のデータベースに登録する。なお、これに限らず、例えば第１サーバ装置１０は、承認情報に含まれる特定情報で特定されるリソースを作成する機能を有していてもよい。

図４は、第２サーバ装置２０の機能構成例を示すブロック図である。図４に示すように、第２サーバ装置２０は、第２受信部２１と、第３受信部２２と、第２取得部２３と、第２作成部２４と、第３取得部２５とを備える。第２受信部１１は、上述の承認情報を第３サーバ装置３０から受信する。第３受信部２２は、第１セキュリティ識別子を第１サーバ装置１０から受信する。本実施形態では、第３受信部２２は、前述のｓＩＤＨｉｓｔｏｒｙ情報を第１サーバ装置１０から受信する。

第２取得部２３は、承認情報に含まれるユーザー情報が示すユーザー（あるいはグループ）をフォレストＡ内で識別する第２セキュリティ識別子（第２識別情報）を取得する。ユーザー情報と、第２セキュリティ識別子との対応関係は予めフォレストＡ内で定められている。この例では、ユーザー情報と、第２セキュリティ識別子とが対応付けられたテーブルがフォレストＡ内のデータベース（不図示）に格納されており、第２取得部２３は、第２受信部２１で受信された承認情報に含まれるユーザー情報に対応する第２セキュリティ識別子を当該データベースから取得する。

第２作成部２４は、第２セキュリティ識別子と、第１セキュリティ識別子と、承認情報に含まれる特定情報で特定されるリソースに対するアクセス権限とが対応付けられた第２アクセス制御情報を作成する。第２アクセス制御情報とは、第１セキュリティ識別子または第２セキュリティ識別子で識別されるユーザーの、対象リソース（特定情報で特定されるリソース）に対するアクセス権限を定義する情報であると捉えることができる。図５は、第２アクセス制御情報の一例を示す図である。図５の例では、第２アクセス制御情報は、ユーザー情報と、第２セキュリティ識別子と、第１セキュリティ識別子と、特定情報と、アクセス権限とが対応付けられている。

再び図４に戻って説明を続ける。第３取得部２５は、管理者権限を有するシステムアカウント（システムＩＤ）を取得する。本実施形態では、上述の第２アクセス制御情報の作成が実行される条件は、第３取得部２５がシステムアカウントを取得することである。また、本実施形態では、第３取得部２５は、第２受信部２１で受信された承認情報に含まれるユーザー情報に対応する第１セキュリティ識別子が第３受信部２２で受信されたことを契機として、システムアカウントを取得する。

いま、端末装置４０を使用するユーザーが、フォレストＢに格納されるべきリソースを新たに作成した場合を想定する。図６は、この場合における外部システム２００の動作例を示すフローチャートである。図７は、この場合における第１サーバ装置１０の動作例を示すフローチャートである。図８は、この場合における第２サーバ装置２０の動作例を示すフローチャートである。

まず、図６を参照しながら、外部システム２００の動作例を具体的に説明する。図６に示すように、まず、端末装置４０は、ユーザーの操作に応じて、フォレストＢに格納されるべきリソースを作成する（ステップＳ１）。次に、端末装置４０は、ユーザーの操作に応じて、ステップＳ１で作成したリソースを利用可能なユーザーを示すユーザー情報を作成する（ステップＳ２）。次に、端末装置４０は、ユーザーの操作に応じて、ステップＳ２で作成されたユーザー情報が示すユーザーの、ステップＳ１で作成されたリソースに対するアクセス権限を定義するアクセス制御情報を作成する（ステップＳ３）。次に、端末装置４０は、ユーザーの操作に応じて、ステップＳ１〜ステップＳ３で作成した各種情報の承認を申請する承認申請処理を実行する（ステップＳ４）。そして、承認が得られた場合（ステップＳ５の結果：ＹＥＳ）は、第３サーバ装置３０は、第１サーバ装置１０および第２サーバ装置２０の各々に対して承認情報を送信する（ステップＳ６）。

次に、図７を参照しながら、第１サーバ装置１０の動作例を具体的に説明する。まず第１受信部１１で承認情報を受信した場合（ステップＳ１０の結果：ＹＥＳ）、第１サーバ装置１０は、その受信した承認情報に含まれる特定情報で特定されるリソースを、フォレストＢ内のデータベース（不図示）に登録する（ステップＳ１１）。次に、第１サーバ装置１０は、ステップＳ１０で受信した承認情報に含まれるユーザー情報を参照して、ステップＳ１１で登録したリソースを利用可能なユーザーを決定する（ステップＳ１２）。次に、第１サーバ装置１０（第１取得部１２）は、ステップＳ１２で決定したユーザー（承認情報に含まれるユーザー情報が示すユーザー）をフォレストＢ内で識別する第１セキュリティ識別子を取得する（ステップＳ１３）。次に、第１サーバ装置１０（第１作成部１３）は、ステップＳ１３で取得した第１セキュリティ識別子と、ステップＳ１０で受信した承認情報に含まれる特定情報で特定されるリソースに対するアクセス権限とが対応付けられた第１アクセス制御情報を作成する（ステップＳ１４）。次に、第１サーバ装置１０（送信部１４）は、ステップＳ１３で取得した第１セキュリティ識別子と、対応するユーザー情報（ステップＳ１０で受信した承認情報に含まれるユーザー情報）とを含むｓＩＤＨｉｓｔｏｒｙ情報を第２サーバ装置２０へ送信する（ステップＳ１５）。

次に、図８を参照しながら、第２サーバ装置２０の動作例を具体的に説明する。まず第２受信部２１で承認情報を受信した場合（ステップＳ２１の結果：ＹＥＳ）、第２サーバ装置２０は、その承認情報に含まれるユーザー情報を参照して、その承認情報に含まれる特定情報で特定されるリソースを利用可能なユーザーを決定する（ステップＳ２２）。次に、第２サーバ装置１０（第２取得部２３）は、ステップＳ２２で決定したユーザー（承認情報に含まれるユーザー情報が示すユーザー）をフォレストＡ内で識別する第２セキュリティ識別子を取得する（ステップＳ２３）。

次に、第２サーバ装置２０は、上述のステップＳ２１で受信した承認情報に含まれるユーザー情報に対応する第１セキュリティ識別子を第１サーバ装置１０から受信したか否かを判断する（ステップＳ２４）。本実施形態では、第１サーバ装置１０からのｓＩＤＨｉｓｔｏｒｙ情報を第３受信部２２で受信した場合、第２サーバ装置２０は、その受信したｓＩＤＨｉｓｔｏｒｙ情報に含まれるユーザー情報と、上述のステップＳ２１で受信した承認情報に含まれるユーザー情報とが一致しているか否かを判断する。そして、両者が一致している場合は、上述のステップＳ２１で受信した承認情報に含まれるユーザー情報に対応する第１セキュリティ識別子を受信したと判断する。

上述のステップＳ２４において、上述のステップＳ２１で受信した承認情報に含まれるユーザー情報に対応する第１セキュリティ識別子を受信したと判断した場合（ステップＳ２４の結果：ＹＥＳ）、第２サーバ装置２０（第３取得部２５）は、管理者権限を有するシステムアカウントを取得する（ステップＳ２５）。次に、第２作成部２４は、ステップ２３で取得した第２セキュリティ識別子と、ステップＳ２４で受信した第１セキュリティ識別子と、ステップＳ２１で受信した承認情報に含まれる特定情報で特定されるリソースに対するアクセス権限とが対応付けられた第２アクセス制御情報を作成する（ステップＳ２６）。これにより、新たに作成されたリソースの利用が許可されるユーザーがフォレストＡにログインした場合、当該ユーザーのログインＩＤ（ユーザー情報）には、第２セキュリティ識別子と第１セキュリティ識別子とが関連付けられるので、当該ユーザーは、第１セキュリティ識別子でアクセスが許可されるフォレストＢ内のリソースにアクセスすることもできる。

以上に説明したように、本実施形態では、信頼されるフォレストＡにおいて、外部システム２００（第３サーバ装置３０）から送信される承認情報をトリガーとして、第２セキュリティ識別子と、第１セキュリティ識別子と、当該承認情報に含まれる特定情報で特定されるリソースに対するアクセス権限とが対応付けられた第２アクセス制御情報が自動的に作成される。すなわち、本実施形態によれば、ユーザーは、Ｎｏｔｅｓデータベース（第３サーバ装置３０）へアクセスする権限さえ持っていればよく、ユーザーに強大な管理者権限（例えばドメインコントローラである第２サーバ装置２０の管理権限等）を与える必要は無い。また、本実施形態によれば、第１セキュリティ識別子と第２セキュリティ識別子との関連付け（第２アクセス制御情報の作成）は自動的に行われるので、ユーザーの負担も軽減されるうえ、待ち時間が殆どなくなるという利点もある。

なお、上述した実施形態の第１サーバ装置１０または第２サーバ装置２０で実行される各種プログラムは、インストール可能な形式または実行可能な形式のファイルでＣＤ−ＲＯＭ、フレキシブルディスク（ＦＤ）、ＣＤ−Ｒ、ＤＶＤ（Ｄｉｇｉｔａｌ Ｖｅｒｓａｔｉｌｅ Ｄｉｓｋ）、ＵＳＢ（Ｕｎｉｖｅｒｓａｌ Ｓｅｒｉａｌ Ｂｕｓ）等のコンピュータで読み取り可能な記録媒体に記録して提供するように構成してもよいし、インターネット等のネットワーク経由で提供または配布するように構成してもよい。また、各種プログラムを、ＲＯＭ等に予め組み込んで提供するように構成してもよい。

本実施形態の第２サーバ装置２０（情報処理装置）で実行されるプログラムは、上述した各部（第２受信部２１、第３受信部２２、第２取得部２３、第２作成部２４、第３取得部２５）を含むモジュール構成となっており、実際のハードウェアとしてはＣＰＵ（プロセッサ）が上記記憶媒体からプログラムを読み出して実行することにより上記各部が主記憶装置上にロードされ、第２受信部２１、第３受信部２２、第２取得部２３、第２作成部２４、第３取得部２５が主記憶装置上に生成されるようになっている。なお、上述の各部のうちの少なくとも１つをハードウェアで実現することも可能である。

また、本実施形態の第１サーバ装置１０で実行されるプログラムは、上述した各部（第１受信部１１、第１取得部１２、第１作成部１３、送信部１４）を含むモジュール構成となっており、実際のハードウェアとしてはＣＰＵ（プロセッサ）が上記記憶媒体からプログラムを読み出して実行することにより上記各部が主記憶装置上にロードされ、第１受信部１１、第１取得部１２、第１作成部１３、送信部１４が主記憶装置上に生成されるようになっている。なお、上述の各部のうちの少なくとも１つをハードウェアで実現することも可能である。

以上、本発明に係る実施形態について説明したが、本発明は上述の実施形態に限定されるものではなく、本発明の要旨を逸脱しない範囲内で種々の変形が可能である。なお、上述の第２サーバ装置２０は、請求項４に係る「情報処理装置」の一例であり、第２受信部２１は請求項４の「第４受信部」に対応し、第３受信部２２は請求項４の「第５受信部」に対応し、第２取得部２３は請求項４の「取得部」に対応し、第２作成部２４は請求項４の「作成部」に対応する。また、上述の第２アクセス制御情報は、請求項４の「アクセス制御情報」に対応する。

１０ サーバ装置
１１ 第１受信部
１２ 第１取得部
１３ 第１作成部
１４ 送信部
２０ サーバ装置
２１ 第２受信部
２２ 第３受信部
２３ 第２取得部
２４ 第２作成部
２５ 第３取得部
３０ サーバ装置
４０ 端末装置
１００ システム
２００ 外部システム

特開２００４−５６４７号公報

Claims (5)

1. 情報を共有する単位を示す第１フォレストを管理する第１サーバ装置と、前記第１フォレストとは異なる単位を示す第２フォレストを管理する第２サーバ装置とを備えたシステムであって、
   前記第１サーバ装置は、
   前記第１フォレスト内に格納される情報資源を特定する特定情報と、当該情報資源を利用可能なユーザーを示すユーザー情報とを含む承認情報を外部装置から受信する第１受信部と、
   前記承認情報に含まれる前記ユーザー情報が示す前記ユーザーを前記第１フォレスト内で識別する第１識別情報を取得する第１取得部と、
   前記第１識別情報と、前記承認情報に含まれる前記特定情報で特定される前記情報資源に対するアクセス権限とが対応付けられた第１アクセス制御情報を作成する第１作成部と、
   前記第１識別情報を前記第２サーバ装置へ送信する送信部と、を備え、
   前記第２サーバ装置は、
   前記承認情報を前記外部装置から受信する第２受信部と、
   前記第１識別情報を前記第１サーバ装置から受信する第３受信部と、
   前記承認情報に含まれる前記ユーザー情報が示す前記ユーザーを前記第２フォレスト内で識別する第２識別情報を取得する第２取得部と、
   前記第２識別情報と、前記第１識別情報と、前記承認情報に含まれる前記特定情報で特定される前記情報資源に対するアクセス権限とが対応付けられた第２アクセス制御情報を作成する第２作成部と、を備える、
   システム。
2. 前記第２サーバ装置は、
   管理者権限を有するシステムアカウントを取得する第３取得部をさらに備え、
   前記第２アクセス制御情報の作成が実行される条件は、前記第３取得部が前記システムアカウントを取得することである、
   請求項１のシステム。
3. 外部装置、および、情報を共有する単位を示す第１フォレストを管理するサーバ装置の各々と接続され、前記第１フォレストとは異なる単位を示す第２フォレストを管理する情報処理装置であって、
   前記第１フォレスト内に格納される情報資源を特定する特定情報と、当該情報資源を利用可能なユーザーを示すユーザー情報とを含む承認情報を前記外部装置から受信する第４受信部と、
   前記承認情報に含まれる前記ユーザー情報が示す前記ユーザーを前記第２フォレスト内で識別する第２識別情報を取得する取得部と、
   前記承認情報に含まれる前記ユーザー情報が示す前記ユーザーを前記第１フォレスト内で識別する第１識別情報を前記サーバ装置から受信する第５受信部と、
   前記第２識別情報と、前記第１識別情報と、前記承認情報に含まれる前記特定情報で特定される前記情報資源に対するアクセス権限とが対応付けられたアクセス制御情報を作成する作成部と、を備える、
   情報処理装置。
4. 外部装置、および、情報を共有する単位を示す第１フォレストを管理するサーバ装置の各々と接続され、前記第１フォレストとは異なる単位を示す第２フォレストを管理する情報処理装置が実行する情報処理方法であって、
   前記第１フォレスト内に格納される情報資源を特定する特定情報と、当該情報資源を利用可能なユーザーを示すユーザー情報とを含む承認情報を前記外部装置から受信する第１ステップと、
   前記承認情報に含まれる前記ユーザー情報が示す前記ユーザーを前記第２フォレスト内で識別する第２識別情報を取得する第２ステップと、
   前記承認情報に含まれる前記ユーザー情報が示す前記ユーザーを前記第１フォレスト内で識別する第１識別情報を前記サーバ装置から受信する第３ステップと、
   前記第２識別情報と、前記第１識別情報と、前記承認情報に含まれる前記特定情報で特定される前記情報資源に対するアクセス権限とが対応付けられたアクセス制御リストを作成する第４ステップと、を備える、
   情報処理方法。
5. 外部装置、および、情報を共有する単位を示す第１フォレストを管理するサーバ装置の各々と接続され、前記第１フォレストとは異なる単位を示す第２フォレストを管理する情報処理装置に実行させるためのプログラムであって、
   前記第１フォレスト内に格納される情報資源を特定する特定情報と、当該情報資源を利用可能なユーザーを示すユーザー情報とを含む承認情報を前記外部装置から受信する第１ステップと、
   前記承認情報に含まれる前記ユーザー情報が示す前記ユーザーを前記第２フォレスト内で識別する第２識別情報を取得する第２ステップと、
   前記承認情報に含まれる前記ユーザー情報が示す前記ユーザーを前記第１フォレスト内で識別する第１識別情報を前記サーバ装置から受信する第３ステップと、
   前記第２識別情報と、前記第１識別情報と、前記承認情報に含まれる前記特定情報で特定される前記情報資源に対するアクセス権限とが対応付けられたアクセス制御リストを作成する第４ステップと、を備える、
   プログラム。

Images