JP2012043124A - アクセス権管理方法、情報管理システムおよび情報管理装置 - Google Patents

Abstract

【課題】使用されないＩＤ情報やアクセス権情報がデータベースに残存するのを防止するアクセス権管理方法を得ること。
【解決手段】本発明にかかるアクセス権管理方法においては、ユーザＩＤの削除指示を外部から受けてユーザＩＤを削除した場合に、削除したユーザＩＤに対応付けられていたアクセス権情報のうち、当該ユーザＩＤにのみ対応付けられていたアクセス権情報をアクセス権情報データベース３２から削除するアクセス権情報データベース管理ステップと、アクセス権情報の削除指示を外部から受けてアクセス権情報を削除した場合に、削除したアクセス権情報に対応付けられていたユーザＩＤのうち、当該アクセス権情報のみが対応付けられていたユーザＩＤをＩＤ情報データベース３１から削除するＩＤ情報データベース管理ステップと、を含む。
【選択図】図１

Description

本発明は、アクセス権情報の管理方法に関するものであり、特に、企業等において、異動や退職などに伴いアクセス権設定に変更が生じた場合のアクセス権管理方法に関する。

従来のアクセス権管理においては、情報や情報システムを利用する人の新規採用、役割変更、退職といったライフサイクルに応じて、情報システムの認証（所定情報へのアクセスを許可するか否かの判定）に用いられるＩＤの発行、ＩＤに紐付く属性情報（所属、職位など）の変更、ＩＤの削除などが行われている。

企業内の人事異動、契約社員等の契約満了などに伴ってＩＤの利用者（人）が不在となった場合において、ＩＤを自動的に改廃する仕組みは存在する。一方で情報に対するアクセス権情報が１つも紐付かないＩＤも不要なＩＤと見なすことができるが、ＩＤとアクセス権情報の関連は管理されず、自動的に改廃処理を行えないことが一般的である。また、利用者（ＩＤ）が紐付かないアクセス権情報も管理されていない状態となる。そのため、不要なＩＤの棚卸しが不十分となり、例えばアクセス制御が適切に実装されておらず、ＩＤとパスワードの認証のみで情報やシステムへ自由にアクセスできてしなうような場合、ＩＤとパスワードが盗難された時点で情報漏洩などの危険がある。

上記のようなアクセス権の管理に関連する従来の技術としては、たとえば、不要となったＩＤやアクセス権情報を検知し、ポリシー遵守レベルを表示・通知する技術（特許文献１参照）や、複数ＩＤの名寄せを行うことでＩＤとアクセス権情報の管理を効率的に行う技術（特許文献２参照）が存在する。

特開２００９−２８９１３７号公報 特開２００８−１１７２２０号公報

しかしながら、上記従来の技術を示した文献においては、ポリシー違反を検知する手段の提供について説明はあるが、具体的に不要なＩＤやアクセス権情報を棚卸しする（削除する）手段については開示されていない。

ＩＤ管理データベースで情報システムのアクセス権情報を管理する方法も考えられるが、本来ＩＤ管理データベースのような基盤システムに情報システム固有の情報を持ち込むと、管理が破綻し、メンテナンスされない情報が蓄積してしまう恐れがあるため、情報システムが個別で管理するのが得策である。しかし、その場合には、ＩＤ情報とアクセス制御情報が一元管理されず、使用されないＩＤやアクセス制御情報が残存し、セキュリティホールに繋がる危険性がある。そのため、ＩＤ情報とアクセス制御情報を一元管理する仕組みの提供が望まれている。

本発明は、上記に鑑みてなされたものであって、ＩＤ情報とアクセス権情報を個別に管理するように構成されたシステムにおいて、ＩＤ情報とアクセス権情報を一元管理し、使用されないＩＤ情報やアクセス権情報が残存するのを防止するアクセス権管理方法、情報管理システムおよび情報管理装置を得ることを目的とする。

上述した課題を解決し、目的を達成するために、本発明は、情報データベースと、アクセス権情報を管理するアクセス権情報データベースと、前記情報データベースのユーザの識別情報であるユーザＩＤを管理するＩＤ情報データベースとを備え、ユーザＩＤに対してアクセス権情報を１つ以上対応付けて前記情報データベースへのアクセス制御を行う情報管理システム、において実行するアクセス権管理方法であって、前記ＩＤ情報データベース内の任意のユーザＩＤの削除指示を外部から受けてユーザＩＤを削除した場合に、当該削除したユーザＩＤに対応付けられていたアクセス権情報のうち、当該ユーザＩＤにのみ対応付けられていたアクセス権情報を前記アクセス権情報データベースから削除するアクセス権情報データベース管理ステップと、前記アクセス権情報データベース内の任意のアクセス権情報の削除指示を外部から受けてアクセス権情報を削除した場合に、当該削除したアクセス権情報に対応付けられていたユーザＩＤのうち、当該アクセス権情報のみが対応付けられていたユーザＩＤを前記ＩＤ情報データベースから削除するＩＤ情報データベース管理ステップと、を含むことを特徴とする。

本発明によれば、使用されないユーザＩＤやアクセス権情報がデータベース内に残存するのを防止できる、という効果を奏する。

図１は、本発明にかかる情報管理システムの構成例を示す図である。 図２は、ＩＤ管理ＤＢが管理している認証情報の構成例を示す図である。 図３は、アクセス権情報ＤＢが管理しているアクセス権情報の構造例を示す図である。 図４は、アクセス権情報の定義例を示す図である。 図５は、ＩＤ情報制御ＤＢが管理しているＩＤ情報の構成例を示す図である。 図６は、ＩＤ管理ＤＢからレコードを削除した場合に実行するアクセス権情報の棚卸し手順の一例を示すフローチャートである。 図７は、アクセス権情報ＤＢからレコードを削除した場合に実行するＩＤ情報の棚卸し手順の一例を示すフローチャートである。

以下に、本発明にかかるアクセス権管理方法、情報管理システムおよび情報管理装置の実施の形態を図面に基づいて詳細に説明する。なお、この実施の形態によりこの発明が限定されるものではない。

実施の形態．
図１は、本発明にかかる情報管理システムの構成例を示す図である。図１に示した情報管理システムは、人事情報データベース１、ＩＤ管理データベース２、情報システム３、および情報管理装置であるＩＤ情報管理装置４を備える。また、情報システム３は、情報システムＩＤ情報データベース３１、アクセス権情報データベース３２および情報データベース３３を備え、ＩＤ情報管理装置４は、ＩＤ情報制御データベース４１、ＩＤ情報制御部４２、棚卸処理部４３およびアクセス権情報制御部４４を備える。なお、図１では情報システム３を複数備えている構成例を示したが、この情報システム３は１つであってもよい。以下の説明においては、「データベース」を「ＤＢ」と記載する。

人事情報ＤＢ１は、社員の人事情報（ユーザ属性情報）を管理する。ユーザ属性情報には、社員の氏名、識別情報（社員番号）、所属部署、役職、住所、入社年月日、など、企業の人事部などで管理すべき各種情報が含まれている。この人事情報ＤＢ１では、正社員のユーザ属性情報のみを管理対象としている。

ＩＤ管理ＤＢ２は、情報システム３における認証処理などで必要とされる認証情報を管理する。認証情報には、ユーザＩＤやパスワードなどが含まれる。このＩＤ管理ＤＢ２は、情報システム３の利用者となりうる全てのユーザのＩＤを管理しており、利用者となりうるユーザには、正社員以外（解約社員や派遣社員、アルバイトなど）も含まれる。正社員の認証情報は、たとえば人事情報ＤＢ１で管理されているユーザ属性情報に基づいて生成される。正社員以外（以下、非正社員と記載する）の認証情報は、ＰＣ（パーソナルコンピュータ）等を利用して実現されたオンライン画面にて入力された情報、またはファイルアップロードなどの手段により入力された情報に基づいて生成される。ＩＤ管理ＤＢ２は、認証情報が新たに登録された場合、この新たに登録された認証情報をＩＤ情報管理装置４のＩＤ情報制御部４２にプロビジョニング（配信）する。また、各情報システム３に対する配信も行う。なお、ＩＤ情報制御部４２への配信では、必要とされる情報を認証情報から抽出し、抽出した情報のみを配信するようにしてもよい。また、登録されている認証情報が削除された場合には、削除された認証情報についてＩＤ情報管理装置４の棚卸処理部４３に通知するとともに、これと同じ認証情報を削除するように各情報システム３に指示を出す。

ＩＤ管理ＤＢ２の構造は、たとえば図２に示したものとなる。図２はＩＤ管理ＤＢ２が管理している認証情報の構成例を示す図であり、図示したように、認証情報の１レコードはＩＤ（ユーザＩＤ）、社員番号、パスワード、などを含んでいる。また、１人の社員（社員番号）に対して複数のユーザＩＤを割り当てることが可能であるものとする。図２の例では、社員番号D00004に対して２つのユーザＩＤ（ＩＤ４，ＩＤ５）が割り当てられている。

各情報システム３では、情報ＤＢ３３において文書データやファイルなどの利用データ（電子データ）を管理しており、ＩＤ情報ＤＢ３１で管理されている情報を用いて利用者の認証を行うとともに、アクセス権情報ＤＢ３２で管理されているアクセス権情報を用いてアクセス制御を行う。

ＩＤ情報ＤＢ３１で管理している情報はＩＤ管理ＤＢ２から配信される認証情報である。ＩＤ情報ＤＢ３１は、ＩＤ管理ＤＢ２から認証情報を受け取った場合、この認証情報を追加登録する。また、ＩＤ管理ＤＢ２から認証情報の削除指示を受けた場合には、指示された認証情報（指示内容に対応するレコード）を削除する。

アクセス権情報ＤＢ３２は、情報システム３におけるアクセス制御（情報ＤＢ３３に対するアクセス制御）で使用するアクセス権情報を管理する。アクセス権情報ＤＢ３２の構造は、たとえば図３に示したものとなる。図３は、アクセス権情報ＤＢ３２が管理しているアクセス権情報の構造例を示す図であり、図示したように、アクセス権情報の１レコードは、ユーザＩＤとアクセス権の情報（アクセス権情報）を含んで構成されている。これら以外の情報を含んでいてもよい。また、１つのユーザＩＤに対して複数のアクセス権情報を割り当てることが可能である。図３の例では、ＩＤ２，ＩＤ３に対して２つのアクセス権情報がそれぞれ割り当てられている。アクセス権情報は、例えば図４に示した定義（制限動作）を示し、各情報システム３では、図示した各定義に従ってアクセス制御を行う。図４に示した定義例では、最も簡単な例として、文書単位でアクセスを許可する場合を示しているが、文書の種類に基づきアクセスを許可する（たとえば、「アプリケーションＸＸＸで作成された文書へのアクセスを許可する」，「拡張子がＹＹＹの文書へのアクセスを許可する」）、文書の作成者に基づきアクセスを許可する（たとえば、「社員Ａにより作成された文書へのアクセスを許可する」，「○○部所属の社員により作成された文書へのアクセスを許可する」）、文書の作成日時を基にアクセスを許可する（たとえば、「作成日時がＡＡＡＡ〜ＢＢＢＢの文書へのアクセスを許可する」，「作成日時がＣＣＣＣ以降の文書へのアクセスを許可する」）、など、他の定義内容を使用することももちろん可能である。アクセス権情報は、ＰＣ（パーソナルコンピュータ）等を利用して実現されたオンライン画面にて入力された情報、またはファイルアップロードなどの手段により入力された情報に基づいて生成される。このアクセス権情報は、各情報システム３の管理者によりメンテナンスされる。

ＩＤ情報管理装置４は、ＩＤ管理ＤＢ２および各情報システム３のアクセス権情報ＤＢ３２の状態を監視し、必要に応じてＩＤ管理ＤＢ２およびアクセス権情報ＤＢ３２を更新する。なお、ＩＤ情報管理装置４においては、ＩＤ情報制御ＤＢ４１、ＩＤ情報制御部４２およびアクセス権情報制御部４４がテーブル生成保持手段を構成し、棚卸制御部４３およびＩＤ情報制御部４２がユーザＩＤ管理手段を構成し、棚卸処理部４３およびアクセス権情報制御部４４がアクセス権情報管理手段を構成する。

ＩＤ情報管理装置４において、ＩＤ情報制御ＤＢ４１は、ＩＤ管理ＤＢ２およびアクセス権情報ＤＢ３２で管理されているデータを収集して生成されたＩＤ情報を管理する。図５は、ＩＤ情報制御ＤＢ４１が管理しているＩＤ情報の構成例を示す図である。図示したように、ＩＤ情報の１レコードは、社員番号、ユーザＩＤおよびアクセス権情報を含んで構成されている。このＩＤ情報は、ＩＤ情報制御部４２がＩＤ管理ＤＢ２から取得した情報とアクセス権情報制御部４４が各情報システム３のアクセス権情報ＤＢ３２から取得した情報とに基づいて生成される。すなわち、ＩＤ管理ＤＢ２で管理されている情報およびアクセス権情報ＤＢ３２で管理されている情報の双方に含まれるユーザＩＤを用いて社員番号とアクセス権情報の対応付けを行ってＩＤ情報が生成される。

ＩＤ情報制御部４２は、ＩＤ管理ＤＢ２から取得した情報（配信されてきた情報）に基づいてＩＤ情報制御ＤＢ４１を更新する。ＩＤ管理ＤＢ２から取得した情報には、少なくとも社員番号情報とこれに対応付けられたユーザＩＤが含まれるものとする。ＩＤ情報制御部４２は、たとえば、ＩＤ管理ＤＢ２から情報を取得すると、取得した情報に含まれる社員番号が登録されたレコードがＩＤ情報制御ＤＢ４１内に存在するかどうかを確認し、レコードが存在する場合、そのレコードにユーザＩＤを書き込む。該当レコードにユーザＩＤが書き込み済みの場合、上記取得した情報に含まれるユーザＩＤを追記する。レコードが存在しない場合には、上記取得した情報に含まれる社員番号とユーザＩＤを書き込んだレコードを追加する。また、ＩＤ情報制御部４２は、ＩＤ情報制御ＤＢ４１に登録されているレコードの削除要求を棚卸処理部４３から受けた場合、要求されたレコードをＩＤ情報制御ＤＢ４１から削除する。さらに、ＩＤ管理ＤＢ２に登録されているレコードの削除要求を棚卸処理部４３から受けた場合、要求されたレコードをＩＤ管理ＤＢ２から削除する。

棚卸処理部４３は、ＩＤ管理ＤＢ２または各情報システム３のアクセス権情報ＤＢ３２に登録されているレコードが削除されたことを検出した場合、削除されたレコードの他に削除すべきレコードがＩＤ管理ＤＢ２または各アクセス権情報ＤＢ３２に存在しているかどうかを、ＩＤ情報制御ＤＢ４１で管理されているＩＤ情報に基づいて判定する。そして、削除すべき他のレコードが存在していると判断した場合、そのレコードを削除するようにＩＤ情報制御部４２およびアクセス権情報制御部４４を制御する。

アクセス権情報制御部４４は、各情報システム３のアクセス権情報ＤＢ３２から取得した情報に基づいてＩＤ情報制御ＤＢ４１を更新する。アクセス権情報ＤＢ３２から取得した情報には、少なくともユーザＩＤとアクセス権情報が含まれるものとする。アクセス権情報制御部４４は、たとえば、アクセス権情報ＤＢ３２から情報を取得すると、ＩＤ情報制御ＤＢ４１のレコードのうち、取得した情報に含まれるユーザＩＤが登録されたレコードにアクセス権情報を書き込む。該当レコードにアクセス権情報が書き込み済みの場合、上記取得した情報に含まれるアクセス権情報を追記する。また、アクセス権情報制御部４４は、アクセス権情報ＤＢ３２に登録されているレコードの削除要求を棚卸処理部４３から受けた場合、要求されたレコードをアクセス権情報ＤＢ３２から削除する。

つづいて、本実施の形態の情報管理システムにおける特徴的な動作である、ＩＤ管理ＤＢ２またはアクセス権情報ＤＢ３２からレコードを削除した場合の情報（ＩＤ情報，アクセス権情報）の棚卸し動作について、図１〜図７（特に図６，図７）を参照しながら説明する。なお、図６は、ＩＤ管理ＤＢ２からレコードを削除した場合に実行するアクセス権情報の棚卸し手順の一例を示すフローチャートであり、図７は、アクセス権情報ＤＢ３２からレコードを削除した場合に実行するＩＤ情報の棚卸し手順の一例を示すフローチャートである。

以下の説明では、説明を簡単化するために、情報システム３が単一であるものとする。また、ＩＤ管理ＤＢ２には図２に示した各情報（認証情報）が登録され、アクセス権情報ＤＢ３２には図３に示した各情報（アクセス権情報）が登録され、ＩＤ情報制御ＤＢ４１には図５に示した各情報（ＩＤ情報）が登録されているものとして説明を行う。

［ＩＤ管理ＤＢ２からレコードを削除した場合の棚卸し動作］
図６に示したように、ＩＤ登録更新者によりＩＤ管理ＤＢ２へ社員番号Ｘの退職情報が直接入力された場合、または人事情報ＤＢ１において社員番号Ｘの退職情報が入力され、その情報がＩＤ管理ＤＢ２に入力された場合（ステップＳ１１，Ｓ１２）、ＩＤ管理ＤＢ２では、この社員番号Ｘと対応付けられているＩＤ（ユーザＩＤ）を検索する（ステップＳ１３）。なお、図６の例では、社員番号Ｘに対応するユーザＩＤをＩＤ_nとしている。既に説明したように、１つの社員番号に対して複数のユーザＩＤが割り当てられている場合もあり得る。

ステップＳ１３の検索動作が終了すると、ＩＤ管理ＤＢ２では、検索結果に対応するレコード（ＩＤ_nが登録されているレコード）を削除するとともに、情報システム３のＩＤ情報ＤＢ３１に対して、ＩＤ_nのレコードを削除するように要求する（ステップＳ１４，Ｓ１５）。ステップＳ１５の要求を受けたＩＤ情報ＤＢ３１は、ＩＤ_nのレコードを削除する（ステップＳ１６）。上記社員番号Ｘに対して複数のユーザＩＤが割り当てられていた場合、割り当てられている全てのユーザＩＤについて、上記のステップＳ１４〜Ｓ１６の処理を実行して対応するレコードを削除する。なお、図６において矢印が双方向となっているのは、要求を受けた側が、要求された動作を完了した場合にその旨を示す通知（応答）を要求元に対して行っていることを示している。この表現方法は図７においても同様である。

ＩＤ情報ＤＢ３１におけるレコード削除処理（上記ステップＳ１６の処理）が終了したことを検出すると、次に、ＩＤ管理ＤＢ２は、ＩＤ情報管理装置４の棚卸処理部４３に対して、上記ステップＳ１４で削除したレコードに対応するユーザＩＤ（ＩＤ_n）を通知し、この通知を受けた棚卸処理部４３は、通知されたユーザＩＤ（ＩＤ_n）をキーとしたＩＤ情報（ＩＤ情報制御ＤＢ４１）の検索をＩＤ情報制御部４２経由で実行し（図５参照）、ＩＤ_nに対応するアクセス権情報ＡＣ_mを取得する（ステップＳ１７，Ｓ１８，Ｓ１９）。そして、棚卸処理部４３は、取得したＡＣ_mが他のユーザＩＤに紐付けられているかどうかを確認し（ステップＳ２０）、紐付けられていれば（ステップＳ２０：Ｙｅｓ）、ＩＤ情報制御部４２に対して、ＩＤ情報制御ＤＢ４１からＩＤ_nのレコードを削除するように要求し、ＩＤ情報制御部４２は、要求されたレコードを削除して棚卸し動作を終了する（ステップＳ２３，Ｓ２４）。なお、ステップＳ２０において、棚卸処理部４３は、アクセス権情報ＡＣ_mをキーとしてＩＤ情報制御ＤＢ４１を検索し、該当するレコードが複数存在していれば（ＩＤ_nとは異なるユーザＩＤとＡＣ_mが登録されたレコードが存在していれば）、上記ＡＣ_mが他のユーザＩＤに紐付けられていると判断する。

一方、上記ＡＣ_mが他のユーザＩＤに紐付けられていないと判断した場合（ステップＳ２０：Ｎｏ）、棚卸処理部４３は、アクセス権情報制御部４４に対して、アクセス権情報制御ＤＢ３２からＡＣ_mのレコードを削除するように要求し、アクセス権情報制御部４４は、要求されたレコードを削除する（ステップＳ２１，Ｓ２２）。この場合においても、上記のステップＳ２３，Ｓ２４の動作を実行してＩＤ情報制御ＤＢ４１からＩＤ_nのレコードを削除する。

ここで、図６に示した棚卸し動作の具体例を示す。

＜例１：上記ステップＳ１１で入力された社員番号Ｘが社員番号Ａ００００１の場合＞
この場合、まず、ＩＤ管理ＤＢ２では社員番号Ａ００００１に割り当てられているユーザＩＤ＝ＩＤ１のレコードを削除する。これに伴って情報システム３では、ＩＤ情報ＤＢ３１の対応するレコード（ユーザＩＤ＝ＩＤ１のレコード）を削除する。次に、ＩＤ情報管理装置４では、棚卸処理部４３がＩＤ情報制御ＤＢ４１（図５参照）からユーザＩＤ＝ＩＤ１のレコードを読み出し、このレコードに登録されている各アクセス権情報（複数の場合もある）について、他のユーザＩＤと対応付けられているかどうかを確認する。図５に示した例ではユーザＩＤ＝ＩＤ１のレコードに登録されているアクセス権情報（ＡＣ１）が他のユーザＩＤと対応付けられていないので、棚卸処理部４３が、情報システム３のアクセス権情報ＤＢ３２に対してアクセス権情報ＡＣ１のレコードを削除するように要求し、アクセス権情報ＤＢ３２は、アクセス権情報ＡＣ１のレコードを削除する。また、ＩＤ情報管理装置４では、ユーザＩＤ＝ＩＤ１のレコードをＩＤ情報制御ＤＢ４１から削除する。

＜例２：上記ステップＳ１１で入力された社員番号Ｘが社員番号Ｂ００００２の場合＞
この場合、まず、ＩＤ管理ＤＢ２では社員番号Ｂ００００２に割り当てられているユーザＩＤ＝ＩＤ２のレコードを削除する。これに伴って情報システム３では、ＩＤ情報ＤＢ３１の対応するレコード（ユーザＩＤ＝ＩＤ２のレコード）を削除する。次に、ＩＤ情報管理装置４では、棚卸処理部４３がＩＤ情報制御ＤＢ４１からユーザＩＤ＝ＩＤ２のレコードを読み出し、このレコードに登録されている各アクセス権情報（この場合、ＡＣ２，ＡＣ３となる）について、他のユーザＩＤと対応付けられているかどうかを確認する。図５に示した例ではユーザＩＤ＝ＩＤ２のレコードに登録されているアクセス権情報（ＡＣ２，ＡＣ３）が他のユーザＩＤと対応付けられている。従って、これらのＡＣ２，ＡＣ３が登録されたレコードを情報システム３のアクセス権情報ＤＢ３２から削除する動作（ＡＣ２のレコード，ＡＣ３のレコードを削除するようにアクセス権情報ＤＢ３２に対して要求する動作）を実行することなく、ユーザＩＤ＝ＩＤ２のレコードをＩＤ情報制御ＤＢ４１から削除する。

＜例３：上記ステップＳ１１で入力された社員番号Ｘが社員番号Ｃ００００３の場合＞
この場合、まず、ＩＤ管理ＤＢ２では社員番号Ｃ００００３に割り当てられているユーザＩＤ＝ＩＤ３のレコードを削除する。これに伴って情報システム３では、ＩＤ情報ＤＢ３１の対応するレコード（ユーザＩＤ＝ＩＤ３のレコード）を削除する。次に、ＩＤ情報管理装置４では、棚卸処理部４３がＩＤ情報制御ＤＢ４１からユーザＩＤ＝ＩＤ３のレコードを読み出し、このレコードに登録されている各アクセス権情報（この場合、ＡＣ２，ＡＣ４となる）について、他のユーザＩＤと対応付けられているかどうかを確認する。図５に示した例では、上記ＡＣ２，ＡＣ４のうち、ＡＣ２のみが他のユーザＩＤと対応付けられている（ＡＣ４は他のユーザＩＤと対応付けられていない）。従って、棚卸処理部４３が、情報システム３のアクセス権情報ＤＢ３２に対して、アクセス権情報がＡＣ４のレコードのみを削除するように要求し、アクセス権情報ＤＢ３２は、アクセス権情報がＡＣ４のレコードを削除する。また、ＩＤ情報管理装置４では、ユーザＩＤ＝ＩＤ３のレコードをＩＤ情報制御ＤＢ４１から削除する。

＜例４：上記ステップＳ１１で入力された社員番号Ｘが社員番号Ｄ００００４の場合＞
この場合、まず、ＩＤ管理ＤＢ２では社員番号Ｄ００００４に割り当てられているユーザＩＤ＝ＩＤ４，ＩＤ５のレコードを削除する。これに伴って情報システム３では、ＩＤ情報ＤＢ３１の対応するレコード（ユーザＩＤ＝ＩＤ４，ＩＤ５のレコード）を削除する。次に、ＩＤ情報管理装置４では、棚卸処理部４３がＩＤ情報制御ＤＢ４１からユーザＩＤ＝ＩＤ４およびＩＤ５のレコードを読み出し、これらのレコードに登録されている各アクセス権情報（この場合、ＡＣ３，ＡＣ５となる）について、他のユーザＩＤと対応付けられているかどうかを確認する。図５に示した例では、上記ＡＣ３，ＡＣ５のうち、ＡＣ３のみが他のユーザＩＤと対応付けられている（ＡＣ５は他のユーザＩＤと対応付けられていない）。従って、棚卸処理部４３が、情報システム３のアクセス権情報ＤＢ３２に対してアクセス権情報がＡＣ５のレコードのみを削除するように要求し、アクセス権情報ＤＢ３２は、アクセス権情報がＡＣ５のレコードを削除する。また、ＩＤ情報管理装置４では、ユーザＩＤ＝ＩＤ４，ＩＤ５のレコードをＩＤ情報制御ＤＢ４１から削除する。

このように、図６に示した棚卸し動作（ＩＤ管理ＤＢ２からレコードを削除した場合の棚卸し動作）では、ＩＤ管理ＤＢ２のレコードが削除された場合、この削除されたレコードに登録されていたユーザＩＤに対応付けられていた各アクセス権情報が他のユーザＩＤに対応付けられているかどうかを確認し、他のユーザＩＤに対応付けられていなければ、アクセス権情報ＤＢ３２の対応するレコードを削除することとした。これにより、使用されないアクセス権情報（ＩＤ情報ＤＢ３１に登録されているユーザＩＤのいずれにも対応付けられていないアクセス権情報、すなわち、有効なユーザＩＤに対応付けられていないアクセス権情報）がアクセス権情報ＤＢ３２に残存するのを防止できる。

［アクセス権情報ＤＢ３２からレコードを削除した場合の棚卸し動作］
図７に示したように、アクセス権情報管理者により情報システム３のアクセス権情報ＤＢ３２からアクセス権情報がＡＣ_mのレコードが削除された場合（ステップＳ３１，Ｓ３２）、アクセス権情報ＤＢ３２は削除されたレコードに登録されていたアクセス権情報（ＡＣ_m）をＩＤ情報管理装置４の棚卸処理部４３に通知し、この通知を受けた棚卸処理部４３は、通知されたアクセス権情報（ＡＣ_m）をキーとしたＩＤ情報（ＩＤ情報制御ＤＢ４１）の検索をアクセス権情報制御部４４経由で実行し（図５参照）、ＡＣ_mに対応するユーザＩＤ（ＩＤ_n）を取得する（ステップＳ３３，Ｓ３４，Ｓ３５，Ｓ３６）。そして、棚卸処理部４３は、取得したユーザＩＤが１つかどうか（検索キーとしたＡＣ_mが対応付けられているユーザＩＤが１つかどうか）を確認し（ステップＳ３７）、１つでなければ（ステップＳ３７：Ｎｏ）、ここで棚卸し動作を終了する。これに対して、上記取得したユーザＩＤが１つの場合（ステップＳ３７：Ｙｅｓ）、このユーザＩＤ（ＩＤ_n）が他のアクセス権情報に紐付けられているかどうかを確認し（ステップＳ３８）、紐付けられていれば（ステップＳ３８：Ｙｅｓ）、ここで棚卸し動作を終了する。なお、ステップＳ３８において、棚卸処理部４３は、ユーザＩＤ（ＩＤ_n）をキーとしてＩＤ情報制御ＤＢ４１を検索し、該当するレコードが複数存在していれば（ＡＣ_mとは異なるアクセス権情報とユーザＩＤ_nが登録されたレコードが存在していれば）、上記ユーザＩＤ_nが他のアクセス権情報に紐付けられていると判断する。

一方、上記ユーザＩＤ（ＩＤ_n）が他のアクセス権情報に紐付けられていないと判断した場合（ステップＳ３８：Ｎｏ）、棚卸処理部４３は、ＩＤ情報制御部４２に対して、ＩＤ情報制御ＤＢ４１からＩＤ_nのレコードを削除するように要求し、ＩＤ情報制御部４２は、要求されたレコードを削除する（ステップＳ３９，Ｓ４０）。この動作に加えて、棚卸処理部４３は、ＩＤ管理ＤＢ２に対して、ＩＤ_nのレコードを削除するように要求し、ＩＤ管理ＤＢ２は、要求されたレコード（ＩＤ_nのレコード）を削除する（ステップＳ４１）。これに伴い、情報システム３のＩＤ情報ＤＢ３２の対応するレコード（ＩＤ_nのレコード）も削除される（ステップＳ４２）。以上が図７に示した棚卸し動作である。

ここで、図７に示した棚卸し動作の具体例を示す。

＜例１：上記ステップＳ３１で削除されたアクセス権情報（ＡＣ_m）がＡＣ１の場合＞
この場合、ＩＤ情報管理装置４では、棚卸処理部４３がＩＤ情報制御ＤＢ４１（図５参照）からアクセス権情報ＡＣ_m＝ＡＣ１のレコードを読み出し、このレコードに登録されている各ユーザＩＤ（複数の場合もある）について、他のアクセス権情報と対応付けられているかどうかを確認する。図５に示した例ではＡＣ_m＝ＡＣ１のレコードに登録されているユーザＩＤ（ＩＤ１）が他のアクセス権情報と対応付けられていないので、棚卸処理部４３が、ＩＤ管理ＤＢ２に対してユーザＩＤがＩＤ１のレコードを削除するように要求し、ＩＤ管理ＤＢ２は、ユーザＩＤ＝ＩＤ１のレコードを削除する。また、ＩＤ情報管理装置４では、ユーザＩＤ＝ＩＤ１のレコードをＩＤ情報制御ＤＢ４１から削除する。

＜例２：上記ステップＳ３１で削除されたアクセス権情報（ＡＣ_m）がＡＣ２の場合＞
この場合、ＩＤ情報管理装置４では、棚卸処理部４３がＩＤ情報制御ＤＢ４１からアクセス権情報ＡＣ_m＝ＡＣ２のレコードを読み出す。図５に示した例ではＡＣ２がＩＤ２とＩＤ３に対応付けられているので、複数のレコードが読み出される。よって、ここで棚卸し動作を終了する。

＜例３：上記ステップＳ３１で削除されたアクセス権情報（ＡＣ_m）がＡＣ３の場合＞
この場合、ＩＤ情報管理装置４では、棚卸処理部４３がＩＤ情報制御ＤＢ４１からアクセス権情報ＡＣ_m＝ＡＣ３のレコードを読み出す。図５に示した例ではＡＣ３がＩＤ２とＩＤ４に対応付けられているので、複数のレコードが読み出される。よって、ここで棚卸し動作を終了する。

＜例４：上記ステップＳ３１で削除されたアクセス権情報（ＡＣ_m）がＡＣ４の場合＞
この場合、ＩＤ情報管理装置４では、棚卸処理部４３がＩＤ情報制御ＤＢ４１からアクセス権情報ＡＣ_m＝ＡＣ４のレコードを読み出す。図５に示した例ではＡＣ４がＩＤ３のみに対応付けられているので、１つのレコードが読み出される。よって、さらに、このＩＤ３が他のアクセス権情報と対応付けられているかどうかを確認する。図５に示した例では上記ＩＤ３は他のアクセス権情報（ＡＣ２）と対応付けられている。従って、ここで棚卸し動作を終了する。

＜例５：上記ステップＳ３１で削除されたアクセス権情報（ＡＣ_m）がＡＣ５の場合＞
この場合、ＩＤ情報管理装置４では、棚卸処理部４３がＩＤ情報制御ＤＢ４１からアクセス権情報ＡＣ_m＝ＡＣ５のレコードを読み出す。図５に示した例ではＡＣ５がＩＤ５のみに対応付けられているので、１つのレコードが読み出される。よって、さらに、このＩＤ５が他のアクセス権情報と対応付けられているかどうかを確認する。図５に示した例では上記ＩＤ５は他のアクセス権情報と対応付けられていないので、棚卸処理部４３が、ＩＤ管理ＤＢ２に対してユーザＩＤがＩＤ５のレコードを削除するように要求し、ＩＤ管理ＤＢ２は、ユーザＩＤ＝ＩＤ５のレコードを削除する。また、ＩＤ情報管理装置４では、ユーザＩＤ＝ＩＤ５のレコードをＩＤ情報制御ＤＢ４１から削除する。

このように、図７に示した棚卸し動作（アクセス権情報ＤＢ３２からレコードを削除した場合の棚卸し動作）では、アクセス権情報ＤＢ３２のレコードが削除された場合、この削除されたレコードに登録されていたアクセス権情報に対応付けられていた各ユーザＩＤが他のアクセス権情報に対応付けられているかどうかを確認し、他のアクセス権情報に対応付けられていなければ、ＩＤ管理ＤＢ２の対応するレコードを削除することとした。これにより、使用されない認証情報（アクセス権情報ＤＢ３２のいずれのレコードにも登録されていない認証情報）がＩＤ管理ＤＢ２に残存するのを防止できる。

本実施の形態にかかる情報管理システムでは、図６，図７に示した棚卸し動作を実行するようにしたので、ＩＤ管理ＤＢ２やアクセス権情報ＤＢ３２から不要なレコードを効率的に削除することができ、なおかつ不要なレコードがデータベースに残存してしまうのを防止できる。

ＩＤ情報管理装置４は、図６に示した棚卸し動作において、さらに、ＩＤ情報ＤＢ２からユーザＩＤが削除され、これに伴ってアクセス権情報ＤＢ３２からアクセス権情報を削除した場合、その旨を示す通知を利用者（アクセス権情報の管理者）に対して行うようにしてもよい。すなわち、上述したステップＳ２１，Ｓ２２を実施した場合に、そのことについて管理者に通知するようにしてもよい。これにより、アクセス権情報の管理者は、ＩＤ情報管理装置４の動作によりアクセス権情報ＤＢ３２が更新されたことを知ることができる。図７に示した棚卸し動作においても同様に、アクセス権情報ＤＢ３２からアクセス権情報が削除され、これに伴ってＩＤ情報ＤＢ２からユーザＩＤを削除した場合、その旨を示す通知を利用者（ユーザＩＤの管理者）に対して行うようにしてもよい。上記の通知は、たとえば、ＰＣのモニタなどに棚卸し動作の内容を表示して行う。動作内容を示した電子メールを管理者宛に送信するようにしてもよい。

以上のように、本発明にかかるアクセス権管理方法は、文書等の電子データを管理する情報システムに対して有用であり、特に、情報システムにおけるアクセス制御で使用されるアクセス権情報などの管理において有用である。

１ 人事情報データベース
２ ＩＤ管理データベース
３ 情報システム
４ ＩＤ情報管理装置
３１ ＩＤ情報データベース
３２ アクセス権情報データベース
３３ 情報データベース
４１ ＩＤ情報制御データベース
４２ ＩＤ情報制御部
４３ 棚卸処理部
４４ アクセス権情報制御部

Claims (5)

1. 情報データベースと、アクセス権情報を管理するアクセス権情報データベースと、前記情報データベースのユーザの識別情報であるユーザＩＤを管理するＩＤ情報データベースとを備え、ユーザＩＤに対してアクセス権情報を１つ以上対応付けて前記情報データベースへのアクセス制御を行う情報管理システム、において実行するアクセス権管理方法であって、
   前記ＩＤ情報データベース内の任意のユーザＩＤの削除指示を外部から受けてユーザＩＤを削除した場合に、当該削除したユーザＩＤに対応付けられていたアクセス権情報のうち、当該ユーザＩＤにのみ対応付けられていたアクセス権情報を前記アクセス権情報データベースから削除するアクセス権情報データベース管理ステップと、
   前記アクセス権情報データベース内の任意のアクセス権情報の削除指示を外部から受けてアクセス権情報を削除した場合に、当該削除したアクセス権情報に対応付けられていたユーザＩＤのうち、当該アクセス権情報のみが対応付けられていたユーザＩＤを前記ＩＤ情報データベースから削除するＩＤ情報データベース管理ステップと、
   を含むことを特徴とするアクセス権管理方法。
2. 前記アクセス権情報データベース管理ステップでは、
   前記アクセス権情報データベースからアクセス権情報を削除した場合、その旨を示す通知をアクセス権情報の管理者に対して行う
   ことを特徴とする請求項１に記載のアクセス権管理方法。
3. 前記ＩＤ情報データベース管理ステップでは、
   前記ＩＤ情報データベースからユーザＩＤを削除した場合、その旨を示す通知をユーザＩＤの管理者に対して行う
   ことを特徴とする請求項１または２に記載のアクセス権管理方法。
4. 情報データベースと、アクセス権情報を管理するアクセス権情報データベースと、前記情報データベースのユーザの識別情報であるユーザＩＤを管理するＩＤ情報データベースとを備え、ユーザＩＤに対してアクセス権情報を１つ以上対応付けて前記情報データベースへのアクセス制御を行う情報管理システムであって、
   前記ＩＤ情報データベース内の任意のユーザＩＤの削除指示を外部から受けてユーザＩＤを削除した場合、当該削除したユーザＩＤに対応付けられていたアクセス権情報のうち、当該ユーザＩＤにのみ対応付けられていたアクセス権情報を前記アクセス権情報データベースから削除し、
   また、
   前記アクセス権情報データベース内の任意のアクセス権情報の削除指示を外部から受けてアクセス権情報を削除した場合、当該削除したアクセス権情報に対応付けられていたユーザＩＤのうち、当該アクセス権情報のみが対応付けられていたユーザＩＤを前記ＩＤ情報データベースから削除する
   ことを特徴とする情報管理システム。
5. 情報データベースと、アクセス権情報を管理するアクセス権情報データベースと、前記情報データベースのユーザの識別情報であるユーザＩＤを管理するＩＤ情報データベースとを備え、ユーザＩＤに対してアクセス権情報を１つ以上対応付けて前記情報データベースへのアクセス制御を行う情報管理システム、において、前記アクセス権情報データベースと前記ＩＤ情報データベースを管理する情報管理装置であって、
   前記アクセス権情報データベースで管理されている情報および前記ＩＤ情報データベースで管理されている情報に基づいて、ユーザＩＤとアクセス権情報との対応関係を示す対応テーブルを生成して保持しておくテーブル生成保持手段と、
   ユーザＩＤが削除されたことを示す通知を前記ＩＤ情報データベースから受けた場合、前記対応テーブルを確認することにより、前記通知内容が示すユーザＩＤに対応付けられているアクセス権情報を特定するとともに、当該特定したアクセス権情報が他のユーザＩＤに対応付けられているかどうかを確認し、前記通知内容が示すユーザＩＤにのみ対応付けられているアクセス権情報を前記アクセス権情報データベースから削除するアクセス権情報管理手段と、
   アクセス権情報が削除されたことを示す通知を前記アクセス権情報データベースから受けた場合、前記対応テーブルを確認することにより、前記通知内容が示すアクセス権情報に対応付けられているユーザＩＤを特定するとともに、当該特定したユーザＩＤが１つでありかつ他のアクセス権情報に対応付けられているかどうかを確認し、当該特定したユーザＩＤが１つでありかつ他のアクセス権情報に対応付けられていなければ、当該特定したユーザＩＤを前記ＩＤ情報データベースから削除するユーザＩＤ管理手段と、
   を備えることを特徴とする情報管理装置。

Images