JP5482781B2 - 情報処理システム及び情報処理システムの動作方法 - Google Patents

Description

本発明は情報処理システム及び情報処理システムの動作方法に関する。

近年、分散処理機能を保持したシステムやモバイル機器が増加している。それに伴い、ある機器内で処理に使用されるデータが、別の機器に保存される、情報処理システムが登場してきている。このような情報処理システムは、データを保存する機器（以下、データ保存装置）とデータを利用する機器（以下、データ利用装置）とを有し、データ保存装置とデータ利用装置とはネットワークで接続される。データがデータ保存装置に存在するため、データ利用装置は、複数存在していても構わない。すなわち、ユーザは、時間や場所に応じて異なるデータ利用装置を使用して、同一のデータにアクセスすることができる。さらに、複数のユーザが異なるデータ利用装置を使用して、データ保存装置のデータにアクセスすることもできる。

一方で、情報処理システムに対しては、不正な操作を防ぐための対策が求められている。そのため、セキュアＯＳなどのアクセス制御システムを搭載することによってセキュリティが強化された情報処理装置が増加している。このような情報処理装置では、サブジェクト（ユーザ、サービス、プロセス等）がオブジェクト（ファイル、ディレクトリ等）に対して不正な操作（不正な削除や書き換え）をすることが、アクセス制御システムによって防止される。具体的には、あるサブジェクトがどのオブジェクトに対して、どのような操作（Ｒｅａｄ、Ｗｒｉｔｅ、Ｅｘｅｃ等）が許可又は禁止されるかを示す情報が、アクセス制御ポリシとして設定される。そして、アクセス制御ポリシに従って、オブジェクトに対するアクセスの可否が判断される。このような情報処理システムの一例として、特開２００２−９１８１６号公報が挙げられる。

アクセス制御システムが搭載された情報処理システムに対しては、アクセス制御ポリシを容易に設定することが望まれる。容易にアクセス制御ポリシを設定することを目的とした技術としては、特開２００５−２３４８６４号公報及び特開２００８−２１９４１９号公報が挙げられる。

その他に本発明者が知りえた関連技術としては、特開２００４−１５２２９５号公報が挙げられる。

特開２００２−９１８１６ 特開２００５−２３４８６４ 特開２００８−２１９４１９ 特開２００４−１５２２９５

アクセス制御システムが搭載された情報処理装置を、データ利用装置として利用することが考えられる。この場合、データ利用装置のサブジェクトが、データ利用装置に保存されたデータだけでなく、データ保存装置に保存されたデータに対しても不正な操作を行う可能性があることが考慮されるべきである。そのため、データ利用装置において、データ保存装置のデータに対してもアクセス制御ポリシを設定しておくことが考えられる。

データ保存装置のオブジェクトに対するアクセス制御ポリシをデータ利用装置に設定するために、以下の手法が考えられる。予め、データ保存装置にアクセス制御ポリシを設定しておく。そして、データ利用装置がデータ保存装置を利用する際に、データ保存装置に記憶されているアクセス制御ポリシが、データ利用装置に設定される。これにより、データ保存装置のデータに対するアクセスは、アクセス制御ポリシによって許可されたデータ利用装置のサブジェクトからのアクセスに限定することができ、セキュリティを強化することができる。

しかし、データ保存装置に保存されるオブジェクトは、動的に変更されることがある。また、データ保存装置に設定されるアクセス制御ポリシは、データ保存装置の管理者やデータをデータ保存装置に保存したサブジェクトにより、設定される。そのため、データ保存装置に記憶されるアクセス制御ポリシが、動的に変更される可能性がある。このため、データ利用装置は、データ保存装置にアクセスするたびに、アクセス制御ポリシを設定しなければならない。

また、アクセス制御ポリシは、情報処理装置の構成によって異なる。そのため、データ利用装置にファイルやアプリケーションが追加された場合や、使用するユーザが変更された場合等には、データ利用装置のアクセス制御ポリシが再設定されなければならない。

また、データ利用装置は、データ保存装置に記憶されているデータを利用して処理を行う。しかし、データ保存装置には、他のデータ利用装置が記憶したデータや、他のユーザが作成したディレクトリといった複数のオブジェクトが記憶されている。データ利用装置内のサブジェクトは、これら複数のオブジェクトに対しても不正な操作を行う可能性がある。そのため、データ利用装置には、データ保存装置に記憶されている全てのオブジェクトに対して、アクセス制御ポリシが設定されている必要がある。すなわち、データ利用装置には、自身が利用しないオブジェクトに対しても、アクセス制御ポリシが設定されている必要がある。

すなわち、データ利用装置にアクセス制御ポリシを設定する場合には、その設定処理に要する負担が大きくなってしまう、という問題点があった。

本発明に係る情報処理システムは、第１オブジェクト群を保存する第１情報処理装置と、操作対象オブジェクトと操作内容とを示す操作リクエストを取得し、前記操作リクエストに基づいて前記操作対象オブジェクトに対する処理を行う、第２情報処理装置とを具備する。前記第２情報処理装置は、第２オブジェクト群に含まれる各第２オブジェクトと、許可される操作内容を示す制御規則との対応関係を、アクセス制御ポリシとして記憶する、アクセス制御ポリシ記憶手段と、前記操作リクエストが処理可能であるか否かを判定する、データ処理手段とを備える。前記第１情報処理装置は、前記第１オブジェクト群に含まれる各第１オブジェクトについて、前記各オブジェクトと同じ制御規則で操作の可否が判断される前記各第２オブジェクトの集合を変更先オブジェクト群として示す、追加アクセス制御ポリシ記憶手段を備える。前記データ処理手段は、前記操作対象オブジェクトが前記第１オブジェクト群に含まれる場合に、前記追加アクセス制御ポリシを参照し、前記操作対象オブジェクトに対応する前記変更先オブジェクト群を取得する、変更先オブジェクト群決定手段と、前記アクセス制御ポリシを参照することにより、前記操作リクエストに含まれる操作内容が、前記変更先オブジェクト群に対して処理可能であるか否かを判定し、判定結果に基づいて、前記操作対象オブジェクトに対して前記操作リクエストが処理可能であるか否かを決定する、アクセス制御再判定手段とを備える。

本発明に係る情報処理システムの動作方法は、第１オブジェクト群を保存する第１情報処理装置と、操作対象オブジェクトと操作内容とを示す操作リクエストを取得し、前記操作リクエストに基づいて前記操作対象オブジェクトに対する処理を行う、第２情報処理装置とを具備する情報処理システムの動作方法である。この動作方法は、予め、アクセス制御ポリシとして、第２オブジェクト群に含まれる各第２オブジェクトと、許可される操作内容を示す制御規則との対応関係を、前記第２情報処理装置に記憶させるステップと、予め、追加アクセス制御ポリシとして、前記第１オブジェクト群に含まれる各第１オブジェクトについて、前記各第１オブジェクトと同じ制御規則で操作の可否が判断される前記各第２オブジェクトの集合を変更先オブジェクト群として示す情報を、前記第１情報処理装置に記憶させるステップと、前記操作リクエストが処理可能であるか否かを判定するステップとを具備する。前記判定するステップは、前記第２情報処理装置によって、前記操作リクエストを取得するステップと、前記操作対象オブジェクトが前記第１オブジェクト群に含まれる場合に、前記第２情報処理装置により、前記追加アクセス制御ポリシを参照し、前記操作対象オブジェクトに対応する前記変更先オブジェクト群を取得するステップと、前記第２情報処理装置により、前記アクセス制御ポリシを参照することにより、前記操作リクエストに含まれる操作内容が、前記変更先オブジェクト群に対して処理可能であるか否かを判定し、判定結果に基づいて、前記操作対象オブジェクトに対して前記操作リクエストが処理可能であるか否かを決定するステップとを備える。

本発明に係る情報処理システムの動作プログラムは、上述の情報処理システムの動作方法を、コンピュータにより実現するためのプログラムである。

本発明によれば、データ利用装置にアクセス制御ポリシを設定する場合に、その設定処理に要する負担を軽減することのできる、情報処理システム、情報処理システムの動作方法、及び情報処理システムの動作プログラムが提供される。

図１は、第１の実施形態に係る情報処理システムを示すブロック図である。 図２Ａは、アクセス制御ポリシを示す概念図である。 図２Ｂは、追加アクセス制御ポリシを示す概念図である。 図３は、基盤ソフトウェアの動作方法を示すフローチャートである。 図４は、アクセス制御部の動作を示すフローチャートである。 図５は、アクセス拒否判定部の動作を示すフローチャートである。 図６は、変更先オブジェクト群オブジェクト決定部の動作を示すフローチャートである。 図７は、アクセス制御再判定部の動作を示すフローチャートである。 図８は、第２の実施形態に係る情報処理システムを示す概略図である。 図９は、ポリシ作成規則記憶部に記憶された情報を示す概念図である。 図１０は、ユーザ認証部の動作を示すフローチャートである。 図１１は、追加アクセス制御ポリシ作成部の動作を示すフローチャートである。 図１２Ａは、実施例１に係る情報処理システムを示す概略図である。 図１２Ｂは、アクセス制御ポリシの内容を示す概念図である。 図１２Ｃは、追加アクセス制御ポリシの内容を示す概念図である。 図１３は、実施例２に係る情報処理システムを示す概略図である。 図１４Ａは、アクセス制御ポリシの内容を示す概念図である。 図１４Ｂは、ポリシ作成規則記憶部に記憶された内容を示す概念図である。

（第１の実施形態）
以下に、図面を参照しつつ、本発明の第１の実施形態について説明する。

図１は、本実施形態に係る情報処理システムを示すブロック図である。

まず、この情報処理システムの概略構成について説明する。

この情報処理システムは、第１情報処理装置１（データ保存装置）と、第２情報処理装置２（データ利用装置）とを備えている。第１情報処理装置１と第２情報処理装置２とは、ネットワークを介して、アクセス可能に接続されている。第１情報処理装置１には、第１オブジェクト群（Ｒ０〜Ｒｋ）が格納されている。第２情報処理装置２には、第２オブジェクト群（Ｑ０〜Ｑｉ）が格納されている。第２情報処理装置２には、第２オブジェクト群に含まれる各第２オブジェクトに対する制御規則が、アクセス制御ポリシ２７として設定されている。一方、第１情報処理装置１には、第１オブジェクト群に含まれる各第１オブジェクトについて、同じ制御規則が適用される第２オブジェクトの集合を示す情報が、追加アクセス制御ポリシ１２として設定されている。

次いで、この情報処理システムの概略動作について説明する。

第２情報処理装置２から第１情報処理装置１の各第１オブジェクトに対して操作を行おうとする場合、第２情報処理装置２は、まず、アクセス制御ポリシ２７を参照する。ここで、アクセス制御ポリシ２７に操作対象の第１オブジェクトに関する制御規則が設定されていないものとする。この場合、第２情報処理装置２は、第１情報処理装置１にアクセスして、追加アクセス制御ポリシ１２を参照する。そして、操作対象の第１オブジェクトと同じ制御規則で操作の可否が判断される第２オブジェクトの集合を、変更先オブジェクト群として識別する。その後、第２情報処理装置２は、アクセス制御ポリシ２７を参照し、変更先オブジェクト群に含まれる各第２オブジェクトに対して、操作が可能であるか否かを判定する。これにより、実質的に、操作対象の第１オブジェクトに対して操作が可能であるか否かが判定される。

上述のような構成及び動作によれば、第２情報処理装置２側のアクセス制御ポリシ２７に、第１オブジェクトに対する制御規則が設定されている必要がない。そのため、アクセス制御ポリシ２７を設定する際の処理負担を軽減することができる。

続いて、本実施形態に係る情報処理システムについて詳細に説明する。

第１情報処理装置１は、データを保存するデータ保存装置として機能する。第１の情報処理装置１は、記憶装置１１を備えている。記憶装置１１は、ハードディスクなどに例示される。記憶装置１１には、追加アクセス制御ポリシ１２と、第１オブジェクト群とが記憶されている。第１オブジェクト群に含まれる各第１オブジェクトには、識別子Ｒ０〜Ｒｋ（ｋは０以上の整数）が割り当てられている。ここで、オブジェクトとは、ファイルやデバイスといったリソースであり、操作対象となるものである。また、追加アクセス制御ポリシ１２は、各第１オブジェクトに対する操作が許可されるか否かを判断する際に利用される情報である。追加アクセス制御ポリシ１２の詳細については後述する。

第２情報処理装置２は、サブジェクトからオブジェクトに対する操作リクエストを処理するための装置である。第２情報処理装置２は、データ処理装置２１と、記憶装置２２とを備えている。

記憶装置２２には、アクセス制御ポリシ２７と、基盤ソフトウェア２８とが格納されている。

基盤ソフトウェア２８（基板制御部）は、第２オブジェクト群と、サブジェクト群とを備えている。基盤ソフトウェア２８は、第２オブジェクト群に含まれる各第２オブジェクトを、オブジェクト識別子Ｑ０〜Ｑｊ（ｊは０以上の整数）を割り当てることによって識別している。同様に、サブジェクト群に含まれる各サブジェクトを、サブジェクト識別子Ｐ０〜Ｐｉ（ｉは０以上の整数）を割り当てることによって、識別している。

また、基盤ソフトウェア２８は、サブジェクト群に含まれる各サブジェクトから、オブジェクトに対する操作リクエストを取得し、取得した操作リクエストを実行する機能を有している。すなわち、基盤ソフトウェア２８は、操作リクエストを取得すると、その操作リクエストの発信元のサブジェクトを特定し、サブジェクトを特定するサブジェクト識別子Ｐ０〜Ｐｉを取得する。また、基盤ソフトウェハ２８は、取得した操作リクエストのあて先であるオブジェクトを、操作対象オブジェクトとして識別し、そのオブジェクト識別子（Ｑ０〜ＱｊまたはＲ０〜Ｒｋ）を取得する。そして、その操作リクエストに、発信元のサブジェクト識別子と、操作対象オブジェクトの識別子とを対応付け、リクエスト情報としてデータ処理装置２１に通知する。

基盤ソフトウェア２８としては、例えば、ＯＳ等が挙げられる。但し、ＯＳに限られず、同等の機能を有していれば他のソフトウェアが用いられてもよい。

各サブジェクトは、例えば、プロセスやユーザである。図１では、各サブジェクトは、基盤ソフトウェア２８内に描かれている。但し、基盤ソフトウェア２８とは別の構成がサブジェクトになる場合もある。

また、図１では、第２オブジェクト群が基盤ソフトウェア２８に設けられている。但し、第２オブジェクト群は、記憶装置２２において基盤ソフトウェア２８とは別に設けられていることもある。

アクセス制御ポリシ２７は、操作リクエストが実行可能なものであるか否かを判断する際に用いられる情報である。

図２Ａは、アクセス制御ポリシ２７を示す概念図である。図２Ａに示されるように、アクセス制御ポリシ２７は、各第２オブジェクト識別子Ｑ０〜Ｑｊに対して、アクセス制御規則Ｑ０〜Ｑｊを対応付けて示している。また、各アクセス制御規則Ｑ０〜Ｑｊは、各サブジェクト識別子Ｐ０〜Ｐｉに、許可される操作の内容を対応付けて示している。例えば、図２Ａのアクセス制御ポリシ２７では、第２オブジェクト識別子Ｑ０に対して、アクセス制御規則Ｑ０が対応付けられている。このアクセス制御規則Ｑ０には、サブジェクト識別子Ｐ０に対して、「Ｏｐｅｎ」及び「Ｒｅａｄ」という操作内容が対応付けられている。すなわち、サブジェクトＰ０からオブジェクトＱ０に対しては、「Ｏｐｅｎ」及び「Ｒｅａｄ」という操作内容だけが許可されていることになる。

ここで、本実施形態では、このアクセス制御ポリシ２７に、必ずしも第１オブジェクト群Ｒ０〜Ｒｋに対しての制御規則が設定されている必要はない。

続いて、データ処理装置２１について説明する。データ処理装置２１は、操作リクエストが実行可能であるか否かを判定する装置である。データ処理装置２１は、アクセス制御部２６と、アクセス拒否判定部２５と、変更先オブジェクト決定部２４と、アクセス制御再判定部２３とを備えている。これらは、例えば、ＣＰＵが、ＲＯＭ（Read Only Memory)などの記憶媒体に記憶された情報処理システムの動作プログラムを実行することによって、実現される。

アクセス制御部２６は、基盤ソフトウェアから、リクエスト情報を取得する。すると、アクセス制御ポリシ２７を参照して、基盤ソフトウェア２８が取得した操作リクエストを許可するか否かを判定する。具体的には、アクセス制御部２６は、リクエスト情報に含まれる操作対象オブジェクトの識別子が、アクセス制御ポリシ２７として設定されているか否かを判断する。そして、含まれている場合には、操作対象オブジェクト識別子に対応付けられたアクセス制御規則を参照する。そして、操作リクエストの発信元であるサブジェクトの識別子に対して、操作リクエストに示される操作内容が対応付けられているか否かを判定する。操作内容が対応付けられていれば、その操作リクエストを許可する旨を基盤ソフトウェア２８に通知する。一方、対応付けられていない場合には、操作リクエストを禁止する旨を、基盤ソフトウェア２８に通知する。また、操作対象オブジェクト識別子がアクセス制御ポリシ２７に含まれていなかった場合には、その旨をリクエスト情報と共にアクセス拒否判定部２５に通知する。

上述のアクセス制御部２６としては、例えば、ＬｉｎｕｘでのＬＳＭ（Ｌｉｎｕｘ Ｓｅｃｕｒｉｔｙ Ｍｏｄｕｌｅ）を利用したＳＥＬｉｎｕｘや、ＳＭＡＣＫ等のアクセス制御機構を用いることができる。但し、これらの機構と同様の機能を有していれば、他のアクセス制御機構が用いられても構わない。

アクセス拒否判定部２５は、リクエスト情報に基づいて、操作対象オブジェクトが第１オブジェクト群Ｒ０〜Ｒｋに含まれているか否かを判定する。すなわち、アクセス制御部２６からリクエスト情報を取得すると、アクセス拒否判定部２５は、第１情報処理装置１の記憶装置１１を参照する。そして、操作対象オブジェクトが第１オブジェクト群Ｒ０〜Ｒｋに含まれているか否かを判定する。含まれている場合には、アクセス拒否判定部２５は、その旨をリクエスト情報とともに変更先オブジェクト決定部２４に通知する。一方、含まれていない場合には、基盤ソフトウェア２８に対して、操作リクエストが禁止されるものである旨を通知する。

変更先オブジェクト決定部２４は、アクセス拒否判定部２５からリクエスト情報を受け取ると、第１情報処理装置１の追加アクセス制御ポリシ１２を参照する。

ここで、追加アクセス制御ポリシ１２について説明する。図２Ｂは、追加アクセス制御ポリシ１２を示す概念図である。図２Ｂに示されるように、追加アクセス制御ポリシは、各第１オブジェクト識別子（Ｒ０〜Ｒｋ）に対して、変更先オブジェクト識別子群（Ｒ０〜Ｒｋ）を対応付けて示している。変更先オブジェクト識別子群（Ｒ０〜Ｒｋ）は、対応する各第１オブジェクトと同じ制御規則によって操作の可否が判断されるオブジェクトの集合である。各変更先オブジェクト識別子群（Ｒ０〜Ｒｋ）は、第２オブジェクト識別子（Ｑ０〜Ｑｊ）の集合として表現されている。すなわち、図２Ｂに示される例では、第１オブジェクトＲ０に対しては、変更先オブジェクト識別子群Ｒ０として、第２オブジェクト識別子Ｑ０ｐ〜Ｑ０ｑが対応付けられている。このことは、第１オブジェクトＲ０に対する操作の可否が、第２オブジェクトＱ０ｐ〜Ｑｑｑに対する制御規則と同じ制御規則によって判断されることを示している。

追加アクセス制御ポリシ１２を参照した変更先オブジェクト決定部２４は、操作対象オブジェクト識別子に対応付けられた変更先オブジェクト識別子群を取得する。そして、リクエスト情報に変更先オブジェクト群を付加し、変更リクエスト情報を作成する。変更リクエスト情報は、アクセス制御再判定部２３に通知される。

アクセス制御再判定部２３は、変更リクエスト情報を取得すると、アクセス制御ポリシ２７を参照する。そして、サブジェクトから変更先オブジェクト識別子群に示されるオブジェクトに対する操作内容（操作リクエスト）が、許可されるものであるか否かを判定する。そして、許可されるものであると判定した場合には、操作対象オブジェクトに対しても、操作が許可されるものであると判定する。アクセス制御再判定部２３は、この判定結果を、基盤ソフトウェア２８に通知する。基盤ソフトウェア２８は、アクセス制御再判定部２３から取得した判定結果に従って、操作リクエストを実行するか否かを決定する。

尚、変更先オブジェクト識別子群には、複数の第２オブジェクト識別子が含まれていることがある。このような場合、アクセス制御再判定部２３は、変更先オブジェクト識別子群のうちの少なくとも一の第２オブジェクトに対して操作が許可されている場合に、操作対象オブジェクトに対しても操作が許可されるものと判定すればよい。すなわち、各第２オブジェクト識別子に対応付けられた操作内容の論理和を求めることで、操作対象オブジェクトに対する操作可否を判定しても良い。

もしくは、論理積を求め、変更先オブジェクト識別子群に含まれる全ての第２オブジェクトに対して操作が許可されているときにだけ、操作対象オブジェクトに対しても操作が許可されるものと判定してもよい。

例えば、変更先オブジェク識別子群に含まれる一の第２オブジェクト識別子に対して、「ｏｐｅｎ、ｒｅａｄ」という操作が対応付けられていたとする。そして、変更先オブジェク識別子群に含まれる他の第２オブジェクト識別子に対して、「ｒｅａｄ、ｅｘｅｃ」という操作が対応付けられていたとする。この場合、アクセス制御再判定部２３は、論理和を許可する場合は、「ｏｐｅｎ、ｒｅａｄ、ｅｘｅｃ」という操作内容を、操作対象オブジェクトに対して許可される操作内容として判定する。一方、論理積を許可する場合は「ｒｅａｄ」という操作内容を、操作対象オブジェクトに対して許可される操作内容として判定することができる。

上述のように、本実施形態に係る情報処理システムでは、追加アクセス制御ポリシ１２として、各第１オブジェクトと同じ制御規則で操作の可否が判断される第２オブジェクトの集合が、変更先オブジェクト群として設定されている。操作対象オブジェクトが第１情報処理装置１に記憶されている場合であっても、第２情報処理装置２は、追加アクセス制御ポリシ１２を参照することによって、操作対象オブジェクトと同じ制御規則で操作の可否が判断される第２オブジェクト群を識別することができる。そのため、第２情報処理装置２に設定されるアクセス制御ポリシ２７には、第２オブジェクト群に対する制御規則が設定されていればよく、必ずしも第１オブジェクト群に対する制御規則が設定されている必要はない。この点から、アクセス制御ポリシ２７を設定する際の負担が軽減される。

また、第２情報処理装置２は、第１情報処理装置１にアクセスする度にアクセス制御ポリシ２７を設定する必要はない。この観点からも、アクセス制御ポリシ２７を設定する際の負担が軽減されている。

続いて、本実施形態に係る情報処理システムの動作方法について、詳細に説明する。ここでは、サブジェクトＰｘが、第２情報処理装置２を介して、第１情報処理装置１の第１オブジェクトＺを操作する場合の動作について説明する。

まず、基盤ソフトウェア２８の動作について説明する。図３は、基盤ソフトウェア２８の動作方法を示すフローチャートである。

サブジェクトＰｘが、オブジェクトＺを操作するための操作リクエストを、基盤ソフトウェア２８に送信したとする。基盤ソフトウェア２８は、サブジェクトＰｘからオブジェクトＺへの操作リクエストを受信する（ステップＡ１）。

基盤ソフトウェア２８は、操作リクエストの発行元であるサブジェクトＰｘを識別し、サブジェクト識別子Ｐｘを取得する。また、操作リクエストの操作対象オブジェクトＺを識別し、オブジェクト識別子Ｚを取得する。そして、基盤ソフトウェア２８は、操作リクエストに対してサブジェクト識別子Ｐｘとオブジェクト識別子Ｚとを付与し、リクエスト情報としてデータ処理装置２１のアクセス制御部２６に送信する（ステップＡ２）。

リクエスト情報の送信後、基盤ソフトウェア２８は、データ処理装置２１からの判定結果を示す信号（アクセス許可信号もしくはアクセス禁止信号）を待つ（ステップＡ３）。そして、アクセス許可信号を受信した場合には、サブジェクトＰｘのオブジェクトＺに対する操作リクエストを処理する（ステップＡ４）。そして、サブジェクトＰｘへ操作完了信号を送信する（ステップＡ６）。一方、アクセス禁止信号を受信すると、サブジェクトＰｘへ操作拒否信号を送信する（ステップＡ５）。

続いて、アクセス制御部２６の動作について詳述する。図４は、アクセス制御部２６の動作を示すフローチャートである。

アクセス制御部２６は、リクエスト情報を基盤ソフトウェア２８から受信する（ステップＢ１）。すると、アクセス制御部２６は、アクセス制御ポリシ２７を参照する（ステップＢ２）。そして、アクセス制御ポリシ２７に、操作対象オブジェクトＺが含まれているかを判定する。含まれている場合には、操作対象オブジェクトＺに対応するアクセス制御規則Ｚを参照する。そして、アクセス制御規則Ｚに、サブジェクト識別子Ｐｘ対して操作内容（操作リクエスト）が対応付けられているか否かを判定する（ステップＢ３）。そして、記憶されていた場合には、操作リクエストを許可すると判定し、基盤ソフトウェア２８へアクセス許可信号を送信する（ステップＢ４）。一方、記憶されていなかった場合には、アクセス拒否判定部２５に対して、リクエスト情報を送信する（ステップＢ５）。

続いて、アクセス拒否判定部２５の動作について詳述する。図５は、アクセス拒否判定部２５の動作を示すフローチャートである。

アクセス拒否判定部２５が、アクセス制御部２６から、リクエスト情報を取得したとする（ステップＣ１）。アクセス拒否判定部２５は、第１情報処理装置１にアクセスして、操作対象オブジェクトＺが、第１オブジェクト群に含まれているか否かを判別する（ステップＣ２）。第１オブジェクト群に含まれていた場合には、リクエスト情報を、変更先オブジェクト決定部２４に通知する（ステップＣ３）。一方、第１オブジェクト群に含まれていない場合には、基盤ソフトウェア２８に対して、アクセス禁止信号を送信する（ステップＣ４）。

続いて、変更先オブジェクト群決定部２４の動作について詳述する。図６は、変更先オブジェクト群オブジェクト決定部２４の動作を示すフローチャートである。

変更先オブジェクト群決定部２４が、アクセス拒否判定部２５から、リクエスト情報を取得したとする（ステップＤ１）。変更先オブジェクト決定部２４は、追加アクセス制御ポリシ１２を参照する（ステップＤ２）。そして、オブジェクト識別子Ｚに対応付けられた変更先オブジェクト識別子群Ｚを取得する（ステップＤ３）。変更先オブジェクト群決定部２４は、リクエスト情報に対して、変更先オブジェクト群を付け加え、変更リクエスト情報を生成する。そして、変更リクエスト情報を、アクセス制御再判定部２３へ送信する（ステップＤ４）。

続いて、アクセス制御再判定部２３の動作について詳述する。図７は、アクセス制御再判定部２３の動作を示すフローチャートである。

アクセス制御再判定部２３が、変更先オブジェクト群決定部２４から、変更リクエスト情報を受信したとする（ステップＥ１）。アクセス制御再判定部２３は、アクセス制御ポリシ２７を参照する（ステップＥ２）。そして、変更先オブジェクト識別子群Ｚに含まれる第２オブジェクト群に対して、サブジェクト識別子Ｐｘが操作リクエストを実行できるか否かを判定する（ステップＥ３）。そして、変更先オブジェクト群Ｚに対して操作リクエストが実行可能であると判定した場合には、操作対象オブジェクトＺに対しても操作リクエストが実行可能であるものと判定し、基盤ソフトウェア２８にアクセス許可信号送信する（ステップＥ４）。一方、変更先オブジェクト群Ｚに対して操作リクエストが実行不可であると判定した場合には、操作対象オブジェクトＺに対しても操作リクエストが実行不可であるものと判定し、基盤ソフトウェア２８へアクセス禁止信号を送信する（ステップＥ５）。

以上説明したように、本実施形態によれば、第１情報処理装置１に追加アクセス制御ポリシ１２が記憶されているため、第１オブジェクト群に対して操作リクエストが実行できるか否かの判断を、第２オブジェト群に対する制御規則で判断することができる。このため、第２情報処理装置２のアクセス制御ポリシ２７としては、第２オブジェクト群に対する制御規則だけが設定されていればよい。アクセス制御ポリシ２７として、第１オブジェクト群に対する制御規則が設定されている必要がなく、アクセス制御ポリシ２７の設定時における処理の負担を軽減できる。

また、アクセス制御ポリシ２７に第１オブジェクト群に対する制御規則が設定される必要がないため、第２情報処理装置２が第１情報処理装置１にアクセスする度にアクセス制御ポリシ２７を設定する必要もない。この観点からも、アクセス制御ポリシ２７を設定する際の負担が軽減されている。

更には、第１情報処理装置１の第１オブジェクト群に、第２情報処理装置２とは別のデータ利用装置によって使用されるオブジェクトが含まれていたとしても、そのオブジェクトに対する制御規則がアクセス制御ポリシ２７に設定される必要がない。この観点からも、アクセス制御ポリシ２７を設定する際の負担が軽減されている。

尚、本実施形態としては、アクセス制御ポリシ２７によって実行の可否が判断される操作内容として、「ｒｅａｄ」や「ｏｐｅｎ］などを例に挙げて説明した。但し、その操作内容としては、例えば、オブジェクトに対する処理を行う際のリソース使用量が規定されていてもよい。また、操作内容として、アクセスの可否を示す内容が規定されていてもよい。

（第２の実施形態）
続いて、本発明の第２の実施形態について説明する。図８は、本実施形態に係る情報処理システムを示す概略図である。

図８に示されるように、本実施形態に係る情報処理システムでは、第１の実施形態に対して、第１情報処理装置１の構成が工夫されている。すなわち、第１情報処理装置１に、データ処理装置２９が追加されている。また、記憶装置１１に、ポリシ作成規則記憶部３３が追加されている。また、第１の実施形態に対して、基盤ソフトウェア２８の機能が更に工夫されている。その他の点については、第１の実施形態と同様とすることができるので、詳細な説明は省略する。

基盤ソフトウェア２８は、第２情報処理装置２を使用するユーザＵ０〜Ｕｓ（ｓは０以上の整数）のユーザ識別子Ｕ０〜Ｕｓを記憶する機能を備える。基盤ソフトウェア２８は、第２情報処理装置２を使用するユーザを特定する機能を有しており、特定したユーザの識別子Ｕ０〜Ｕｓを、データ処理装置２９に通知する。ユーザを特定する手段の例としては、指紋認証や顔認識等が考えられるが、他の方法であっても構わない。その他の点については、第１の実施形態における基盤ソフトウェア２８と同一の機能を備える。

続いて、ポリシ作成規則記憶部３３について説明する。図９は、ポリシ作成規則記憶部３３に記憶された情報を示す概念図である。図９に示されるように、ポリシ作成規則記憶部３３は、ユーザ識別子Ｕ０〜Ｕｓと、追加アクセス制御規則Ｕ０〜Ｕｓとの対応関係を、記憶している。追加アクセス制御規則Ｕｙ（ｙは０以上ｓ以下の整数）は、第１オブジェクト識別子Ｒ０〜Ｒｋと変更先オブジェクト識別子群Ｒ０〜Ｒｋとの対応関係を示す情報である。

続いて、データ処理装置２９について説明する。データ処理装置２９は、ユーザ認証を行うユーザ認証部３０と、ユーザに応じて追加アクセス制御ポリシの変更を行う追加アクセス制御ポリシ作成部３１とを備えている。

ユーザ認証部３０の動作について説明する。図１０は、ユーザ認証部３０の動作を示すフローチャートである。ユーザ認証部３０は、基盤ソフトウェア２８から、第２情報処理装置２を使用しているユーザのユーザ識別子Ｕｙを取得する（ステップＦ１）。そして、取得したユーザ識別子Ｕｙを、追加アクセス制御ポリシ作成部３１へ通知する（ステップＦ２）。

追加アクセス制御ポリシ作成部３１の動作について説明する。図１１は、追加アクセス制御ポリシ作成部３１の動作を示すフローチャートである。追加アクセス制御ポリシ作成部３１は、ユーザ識別子Ｕｙを受信すると（ステップＧ１）、ポリシ作成規則記憶部３３を参照する（ステップＧ２）。そして、ユーザ識別子Ｕｙに対応付けられた追加アクセス制御規則Ｕｙを取得する（ステップＧ３）。そして、追加アクセス制御ポリシ１２にアクセスし、追加アクセス制御ポリシ１２の内容を消去する（ステップＧ４）。その後、追加アクセス制御ポリシ１２として、追加アクセス制御規則Ｕｙを記憶させる（ステップＧ５）。

本実施形態によれば、第１の実施形態と同様の作用効果を奏することができる。これに加えて、第２情報処理装置２を使用するユーザに応じて、第１情報処理装置１の第１オブジェクトに適用される制御規則を変更することができる。

以下に、本発明をより具体的に説明するために、実施例について説明を行う。

（実施例１）
まず、実施例１について説明する。実施例１は、既述の第１の実施形態に対応する実施例である。

図１２Ａは、実施例１に係る情報処理システムを示す概略図である。

本実施例に係る情報処理システムは、プログラム制御により動作するコンピュータ１（第１情報処理装置）と、コンピュータ２（第２情報処理装置）とを備えている。各コンピュータは、図示しないメモリエリアを備えている。コンピュータ１とコンピュータ２とはネットワークを介してアクセス可能に接続されている。

コンピュータ２のメモリエリアには、基盤ソフトウェア２８としてのＯＳ２８と、アクセス制御ポリシ２７とが記憶されている。

ＯＳ２８は、メーラプロセスＰ１０と、ブラウザプロセスＰ１１とを備えている。メーラプロセスＰ１０にはサブジェクト識別子Ｐ１０が割り当てられており、ブラウザプロセスＰ１１にはサブジェクト識別子Ｐ１１が割り当てられている。また、ＯＳ２８は、メールデータＱ１０を管理している。メールデータＱ１０には、第２オブジェクト識別子Ｑ１０が割り当ててられている。

図１２Ｂは、アクセス制御ポリシ２７の内容を示す概念図である。アクセス制御ポリシ２７には、オブジェクト識別子Ｑ１０に対してアクセス制御規則Ｑ１０が対応付けられている。アクセス制御規則Ｑ１０は、サブジェクト識別子Ｐ１０に対して、操作内容「Ｏｐｅｎ」、「Ｒｅａｄ」、及び「Ｗｒｉｔｅ」を対応付けて示している。すなわち、アクセス制御ポリシ２７によれば、オブジェクトＱ１０であるメールデータＱ１０に対しては、サブジェクトＰ１０（メーラプロセスＰ１０）による「Ｏｐｅｎ」、「Ｒｅａｄ」、及び「Ｗｒｉｔｅ」の操作だけが許可されていることになる。

また、コンピュータ２には、ＯＳ２８の他に、アクセス制御部２６と、アクセス拒否判定部２５と、変更先オブジェクト決定部２４と、アクセス制御再判定部２３とが設けられている。

一方、コンピュータ１のメモリエリアには、追加アクセス制御ポリシ１２と、メールデータＲ１０とが記憶されている。メールデータＲ１０には、第１オブジェクト識別子Ｒ１０が割り当てられている。

図１２Ｃは、追加アクセス制御ポリシ１２の内容を示す概念図である。図１２Ｃに示されるように、追加アクセス制御ポリシ１２は、第１オブジェクト識別子Ｒ１０に対して、変更先オブジェクト識別子群Ｒ１０を対応付けて示している。変更先オブジェクト識別子群Ｒ１０は、第２オブジェクト識別子Ｑ１０を含んでいる。

続いて、本実施例に係る情報処理システムの動作方法について説明する。

ＯＳ２８により管理されるメールプロセスＰ１０が、コンピュータ１のメールデータＲ１０に対して、Ｏｐｅｎを試みるとする。メールプロセスＰ１０は、メールデータＲ１０をＯｐｅｎするために、操作リクエストとしてＯｐｅｎシステムコールをＯＳ２８へ送信する。ＯＳ２８は、メールプロセスＰ１０からメールデータＲ１０に対する操作リクエストを受信する。そして、メールプロセスＰ１０のサブジェクト識別子Ｐ１０と、操作対象のメールデータＲ１０の第１オブジェクト識別子Ｒ１０とを取得する。そして、操作リクエストに対して、サブジェクト識別子Ｐ１０と第１オブジェクト識別子Ｒ１０とを付与し、リクエスト情報としてアクセス制御部２６に送信する。そして、ＯＳ２８は、アクセス許可信号もしくはアクセス禁止信号を受信するまで待つ。

リクエスト情報を取得したアクセス制御部２６は、アクセス制御ポリシ２７を参照する。そして、アクセス制御ポリシ２７に、オブジェクト識別子Ｒ１０に対応するアクセス制御規則Ｒ１０が記憶されているかどうかを判定する。ここで、アクセス制御ポリシ２７には、アクセス制御規則Ｒ１０は記憶されていない。従って、アクセス制御部２６は、その旨をリクエスト情報と共に、アクセス拒否判定部２５に通知する。

アクセス拒否判定部２５は、リクエスト情報を取得すると、オブジェクト識別子Ｒ１０に対応するオブジェクトが、コンピュータ１に記憶されているかを判別する。今、コンピュータ１には、オブジェクト識別子Ｒ１０のメールデータＲ１０が記憶されている。従って、アクセス拒否判定部２５は、その旨をリクエスト情報と共に、変更先オブジェクト決定部２４に通知する。

変更先オブジェクト決定部２４は、リクエスト情報を取得すると、追加アクセス制御ポリシ１２を参照する。そして、オブジェクト識別子Ｒ１０に対応付けられたオブジェクト識別子群Ｒ１０を、変更先オブジェクト識別子群Ｒ１０として取得する。そして、リクエスト情報に対して、変更先オブジェクト識別子群Ｒ１０を付与し、変更リクエスト情報として、アクセス制御再判定部２３に通知する。

アクセス制御再判定部２３は、変更リクエスト情報を受信すると、アクセス制御ポリシ２７を参照する。ここで、変更先オブジェクト識別子群Ｒ１０には、オブジェクト識別子Ｑ１０が含まれている。そこで、アクセス制御ポリシ２７を参照し、オブジェクト識別子Ｑ１０に対応付けられたアクセス制御規則Ｑ１０を参照する。そして、アクセス制御規則Ｑ１０において、サブジェクト識別子Ｐ１０に操作リクエストの操作内容（Ｏｐｅｎ）が対応付けられているか否かを判定する。今、アクセス制御ポリシ２７において、サブジェクト識別子Ｐ１０と操作リクエストの内容である「Ｏｐｅｎ」とは、対応付けられている。したがって、アクセス制御再判定部２３は、操作リクエストが許可されるべきであるものと判定し、アクセス許可信号をＯＳ２８に送信する。

ＯＳ２８は、アクセス許可信号を受信すると、メールプロセスＰ１０のメールデータＲ１０に対するＯｐｅｎシステムコールの処理を行い、メールプロセスＰ１０へ操作完了信号を送信する。

次に、ＯＳ２８のブラウザプロセスＰ１１が、コンピュータ１のメールデータＲ１０のＯｐｅｎを試みる場合の動作について説明する。ブラウザプロセスＰ１１は、メールデータＲ１０をＯｐｅｎにするため、操作リクエストとしてＯｐｅｎシステムコールを生成し、ＯＳ２８に送信する。ＯＳ２８は、操作リクエストを受信すると、ブラウザプロセスＰ１１のサブジェクト識別子Ｐ１１と、操作対象のメールデータＲ１０のオブジェクト識別子Ｒ１０とを取得する。そして、操作リクエストに、サブジェクト識別子Ｐ１１とオブジェクト識別子Ｒ１０とを対応付け、リクエスト情報としてアクセス制御部２６に通知する。そして、ＯＳ２８は、アクセス許可信号もしくはアクセス禁止信号を受信するまで待つ。

アクセス制御部２６は、リクエスト情報を受信すると、アクセス制御ポリシ２７を参照する。そして、アクセス制御ポリシ２７に、オブジェクト識別子Ｒ１０に対応付けられたアクセス制御規則Ｒ１０が記憶されているか否かを判定する。今、アクセス制御ポリシ２７には、アクセス制御規則Ｒ１０は記憶されていない。従って、アクセス制御部２６は、その旨をリクエスト情報と共に、アクセス拒否判定部２５へ送信する。

アクセス拒否判定部２５は、リクエスト情報を取得すると、オブジェクト識別子Ｒ１０に対応するオブジェクトが、コンピュータ１に記憶されているか否かを判別する。今、コンピュータ１には、オブジェクト識別子Ｒ１０が付されたメールデータＲ１０が記憶されている。従って、アクセス拒否判定部２５は、その旨とリクエスト情報とを、変更先オブジェクト決定部２４に通知する。

変更先オブジェクト決定部２４は、リクエスト情報を取得すると、追加アクセス制御ポリシ１２を参照する。そして、オブジェクト識別子Ｒ１０に対応付けられたオブジェクト識別子群Ｒ１０を、変更先オブジェクト識別子群Ｒ１０として取得する。そして、リクエスト情報に対して変更先オブジェクト識別子群Ｒ１０を追記し、変更リクエスト情報としてアクセス制御再判定部２３に通知する。

アクセス制御再判定部２３は、変更リクエスト情報を取得すると、アクセス制御ポリシ２７を参照する。変更先オブジェクト識別子群Ｒ１０には、オブジェクト識別子Ｑ１０が含まれている。従って、アクセス制御再判定部２３は、オブジェクト識別子Ｑ１０に対応付けられたアクセス制御規則Ｑ１０を参照する。そして、サブジェクト識別子Ｐ１１に対して、操作リクエストの内容（Ｏｐｅｎ）が対応付けられているか否かを判定する。今、アクセス制御ポリシ２７として、サブジェクト識別子Ｐ１１と操作リクエスト（Ｏｐｅｎ）との対応関係は、記憶されていない。そのため、アクセス制御再判定部２３は、操作リクエストが禁止されるべきものであると判定し、ＯＳ２８へアクセス禁止信号を送信する。ＯＳ２８はアクセス禁止信号を受信すると、ブラウザプロセスＰ１１へ操作拒否信号を送信する。

（実施例２）
続いて、実施例２について説明する。本実施例は、既述の第２の実施形態に対応する実施例である。

図１３は、本実施例に係る情報処理システムを示す概略図である。この情報処理システムは、コンピュータ１（第１情報処理装置）とコンピュータ２（第２情報処理装置）とを備えている。コンピュータ１とコンピュータ２とは、それぞれ、図示しないメモリエリアを備えている。コンピュータ１とコンピュータ２とは、ネットワークを介してアクセス可能に接続されている。

コンピュータ２のメモリエリア（図示せず）には、基盤ソフトウェア２８としてのＯＳ２８と、アクセス制御ポリシ２７とが記憶されている。

ＯＳ２８は、サブジェクト識別子Ｐ２０が割り当てられたユーザプロセスＰ２０と、サブジェクト識別子Ｐ２１が割り当てられたユーザプロセスＰ２１とを備えている。また、ＯＳ２８によって、オブジェクト識別子Ｑ２０が割り当てられたユーザディレクトリＱ２０と、オブジェクト識別子Ｑ２１が割り当てられたユーザディレクトリＱ２１とが管理されている。

図１４Ａは、アクセス制御ポリシ２７の内容を示す概念図である。アクセス制御ポリシ２７には、オブジェクト識別子Ｑ２０に対応付けられたアクセス制御規則Ｑ２０と、オブジェクト識別子Ｑ２１に対応付けられたアクセス制御規則Ｑ２１とが、予め記憶されている。具体的には、ユーザディレクトリＱ２０（オブジェクト識別子Ｑ２０）に対して、ユーザプロセスＰ２０（サブジェクト識別子Ｐ２０）は、「Ｒｅａｄ」及び「Ｗｒｉｔｅ」の操作を許可されている。また、ユーザディレクトリＱ２１（オブジェクト識別子Ｑ２１）に対して、ユーザプロセスＰ２１（サブジェクト識別子Ｐ２１）は、「Ｒｅａｄ」及び「Ｗｒｉｔｅ」の操作を許可されている。

また、ＯＳ２８はコンピュータ２を使用するユーザ（Ｕ２０、Ｕ２１）を、ユーザ識別子（Ｕ２０、Ｕ２１）を割り当てることによって識別する機能を有している。

また、コンピュータ２には、アクセス制御部２６と、アクセス拒否判定部２５と、変更先オブジェクト決定部２４と、アクセス制御再判定部２３とが設けられている。これらは、ＯＳ２８によって実行される情報処理システムの動作プログラムにより、実現される。

一方、コンピュータ１のメモリエリアには、追加アクセス制御ポリシ１２と、オブジェクト識別子Ｒ２０が割り当てられたユーザデータＲ２０と、オブジェクト識別子Ｒ２１が割り当てられたユーザデータＲ２１とが記憶されている。また、コンピュータ１には、ポリシ作成規則記憶部３３と、ユーザ認証部３０と、追加アクセス制御部３１とが設けられている。

図１４Ｂは、ポリシ作成規則記憶部２３に記憶された内容を示す概念図である。図１４Ｂに示されるように、ポリシ作成規則記憶部２３には、ユーザ識別子Ｕ２０に対して追加アクセス制御規則Ｕ２０が対応付けられており、ユーザ識別子Ｕ２１に対して追加アクセス制御規則Ｕ２１が対応付けられている。追加アクセス制御規則Ｕ２０には、オブジェクト識別子Ｒ２０とオブジェクト識別子Ｒ２１とが記憶されている。そして、オブジェクト識別子Ｒ２０には、変更先オブジェクト識別子群Ｒ２０として、オブジェクト識別子Ｑ２０及びオブジェクト識別子Ｑ２１が対応付けられている。オブジェクト識別子Ｒ２１には、変更先オブジェクト識別子群Ｒ２１として、オブジェクト識別子Ｑ２１が対応付けられている。一方、追加アクセス制御規則Ｕ２１には、オブジェクト識別子Ｒ２０とオブジェクト識別子Ｒ２１とが記憶されている。そして、オブジェクト識別子Ｒ２０には、変更先オブジェクト識別子群Ｒ２０として、オブジェクト識別子Ｑ２０が対応付けられている。オブジェクト識別子Ｒ２１には、変更先オブジェクト識別子群Ｒ２１として、オブジェクト識別子Ｑ２１が対応付けられている。

本実施例に係る情報処理システムの動作方法について説明する。

まず、コンピュータ２を、ユーザ識別子Ｕ２０が割り当てられたユーザＵ２０が使用している場合の動作について説明する。コンピュータ１のユーザ認証部３０は、コンピュータ２のＯＳ２８より、ユーザＵ２０のユーザ識別子Ｕ２０を取得する。そして、取得したユーザ識別子Ｕ２０を、追加アクセス制御ポリシ作成部３１へ送信する。

追加アクセス制御ポリシ作成部３１は、ユーザ識別子Ｕ２０を受信すると、ポリシ作成規則記憶部３３を参照する。そして、受信したユーザ識別子Ｕ２０に対応付けられた追加アクセス制御規則Ｕ２０を取得する。そして、追加アクセス制御ポリシ１２の内容を消去した後、追加アクセス制御規則Ｕ２０を追加アクセス制御ポリシ１２に書き込む。

次に、ＯＳ２８の配下のユーザプロセスＰ２０が、コンピュータ１のユーザデータＲ２０のＲｅａｄを試みたとする。ユーザプロセスＰ２０は、ユーザデータＲ２０をＲｅａｄするために、操作リクエストとして、ＲｅａｄシステムコールをＯＳ２８へ送信する。ＯＳ２８は、ユーザプロセスＰ２０からユーザデータＲ２０に対する操作リクエストを受信すると、ユーザプロセスＰ２０のサブジェクト識別子Ｐ２０と、操作対象のユーザデータＲ２０のオブジェクト識別子Ｒ２０とを取得する。そして、これらを操作リクエストに対して付与し、リクエスト情報としてアクセス制御部２６へ送信する。そして、ＯＳ２８は、アクセス許可信号もしくはアクセス禁止信号を受信するまで待つ。

アクセス制御部２６は、リクエスト情報を取得すると、アクセス制御ポリシ２７を参照する。そして、アクセス制御ポリシ２７に、オブジェクト識別子Ｒ２０に対応するアクセス制御規則Ｒ２０が記憶されているか否かを判定する。今、アクセス制御ポリシ２７には、アクセス制御規則Ｒ２０は記憶されていない。従って、アクセス制御部２６は、その旨をリクエスト情報と共に、アクセス拒否判定部２５に通知する。

アクセス拒否判定部２５は、リクエスト情報を受信すると、オブジェクト識別子Ｒ２０に対応するオブジェクトが、コンピュータ１に記憶されているかを判別する。今、コンピュータ１には、オブジェクト識別子Ｒ２０が割り当てられたユーザデータＲ２０が記憶されている。従って、アクセス拒否判定部２５は、その旨をリクエスト情報と共に変更先オブジェクト決定部２４に送信する。

変更先オブジェクト決定部２４は、リクエスト情報を取得すると、追加アクセス制御ポリシ１２を参照する。この追加アクセス制御ポリシ１２としては、既述のように、追加アクセス制御規則Ｕ２０の内容が記憶されている。変更先オブジェクト決定部２４は、オブジェクト識別子Ｒ２０に対応付けられた変更先オブジェクト識別子群Ｒ２０を取得する。そして、リクエスト情報に対して変更先オブジェクト識別子群Ｒ２０を付与し、変更リクエスト情報としてアクセス制御再判定部２３へ送信する。

アクセス制御再判定部２３は、変更リクエスト情報を取得すると、アクセス制御ポリシ２７を参照する。変更先オブジェクト識別子群Ｒ２０には、オブジェクト識別子Ｑ２０及びＱ２１が含まれている。従って、アクセス制御再判定部２３は、オブジェクト識別子Ｑ２０及びＱ２１に対応付けられたアクセス制御規則（Ｑ２０及びＱ２１）を参照する。そして、アクセス制御規則（Ｑ２０及びＱ２１）のいずれかに、サブジェクト識別子Ｐ２０と操作リクエストに記される操作内容とが、記憶されているか否かを判定する。今、サブジェクト識別子Ｐ２０と操作リクエストの内容であるＲｅａｄは、アクセス制御ポリシ２７に記憶されている。そのため、アクセス制御再判定部２３は、操作リクエストが許可されているものと判定し、アクセス許可信号をＯＳ２８へ送信する。ＯＳ２８は、アクセス許可信号を受信すると、ユーザプロセスＰ２０のユーザデータＲ２０に対するＲｅａｄの処理を行い、ユーザプロセスＰ２０へ操作完了信号を送信する。

次いで、ユーザ識別子Ｕ２１のユーザＵ２１がコンピュータ２を使用している場合の動作について説明する。コンピュータ１のユーザ認証部３０が、コンピュータ１のＯＳ２８から、コンピュータ２を使用しているユーザＵ２１のユーザ識別子Ｕ２１を取得する。ユーザ認証部３０は、取得したユーザ識別子Ｕ２１を、追加アクセス制御ポリシ作成部３１へ送信する。

追加アクセス制御ポリシ作成部３１は、ユーザ識別子Ｕ２１を受信すると、ポリシ作成規則記憶部３３を参照する。そして、受信したユーザ識別子Ｕ２１に対応付けられた追加アクセス制御規則Ｕ２１を取得する。さらに、追加アクセス制御ポリシ作成部３１は、追加アクセス制御ポリシ１２の内容を消去し、追加アクセス制御規則Ｕ２１を新たに追加アクセス制御ポリシ１２として記憶する。

ここで、ＯＳ２８のユーザプロセスＰ２１が、コンピュータ１のユーザデータＲ２０のＲｅａｄを試みるものとする。ユーザプロセスＰ２１は、ユーザデータＲ２０をＲｅａｄするために、操作リクエストとしてＲｅａｄシステムコールをＯＳ２８へ送信する。ＯＳ２８は、ユーザプロセスＰ２１からユーザデータＲ２０に対する操作リクエストを受信すると、ユーザプロセスＰ２１のサブジェクト識別子Ｐ２１と、操作対象のユーザデータＲ２０のオブジェクト識別子Ｒ２０とを取得する。そして、これらを操作リクエストに付加し、リクエスト情報としてアクセス制御部２６に送信する。そして、ＯＳ２８は、アクセス許可信号もしくはアクセス禁止信号を受信するまで待つ。

アクセス制御部２６は、リクエスト情報を取得すると、アクセス制御ポリシ２７を参照する。そして、アクセス制御ポリシ２７に、オブジェクト識別子Ｒ２０に対応付けられたアクセス制御規則Ｒ２０が記憶されているか否かを判定する。今、アクセス制御ポリシ２７には、アクセス制御規則Ｒ２０は記憶されていない。従って、アクセス制御部２６は、その旨をリクエスト情報と共に、アクセス拒否判定部２５に通知する。

アクセス拒否判定部２５は、リクエスト情報を取得すると、オブジェクト識別子Ｒ２０に対応するオブジェクトが、コンピュータ１に記憶されているか否かを判別する。今、コンピュータ１には、オブジェクト識別子Ｒ２０に対応するオブジェクト（ユーザデータＲ２０）が、コンピュータ２１０に記憶されている。従って、アクセス拒否判定部２５は、この旨を、リクエスト情報と共に、変更先オブジェクト決定部２４に送信する。

変更先オブジェクト決定部２４は、リクエスト情報を取得すると、追加アクセス制御ポリシ１２を参照する。この追加アクセス制御ポリシ１２としては、既述のように、追加アクセス制御規則Ｕ２１の内容が記憶されている。変更先オブジェクト決定部２４は、オブジェクト識別子Ｒ２０に対応付けられた変更先オブジェクト識別子群Ｒ２０（オブジェクト識別子Ｑ２０）を取得する。そして、リクエスト情報に対して取得した変更先オブジェクト識別子群Ｒ２０を付与し、変更リクエスト情報としてアクセス制御再判定部２３へ送信する。

アクセス制御再判定部２３は、変更リクエスト情報を取得すると、アクセス制御ポリシ２７を参照する。そして、変更先オブジェクト識別子群Ｒ２０に含まれるオブジェクト識別子Ｑ２０に対応付けられたアクセス制御規則Ｑ２０を参照する。そして、アクセス制御規則Ｑ２０において、サブジェクト識別子Ｐ２１に対して操作リクエストの操作内容が対応付けられているか否かを判定する。今、アクセス制御規則Ｑ２０において、サブジェクト識別子Ｐ２１と操作リクエストの操作内容（Ｒｅａｄ）は、対応付けられていない。従って、アクセス制御再判定部２３は、操作リクエストは禁止されるべきであると判定し、ＯＳ２８へアクセス禁止信号を送信する。ＯＳ２８は、アクセス禁止信号を受信すると、ユーザプロセスＰ２１へ操作拒否信号を送信する。

以上、本発明を、第１、２の実施形態、及び実施例１、２によって説明した。但し、これらの実施形態及び実施例は互いに独立するものではなく、矛盾のない範囲内で組み合わせることも可能である。

また、本発明に係る情報処理システムは、アクセス制御規則の設定手段に適用することができる。ここで、情報処理システムに用いられる各情報処理装置としては、パーソナルコンピュータ、携帯電話及びＰＤＡ等の移動体通信端末等の組み込みコンピュータ、ゲーム機器、及び多機能複写機等を用いることができる。

なお、本出願は、日本出願番号２００９−０３４５２８に基づく優先権を主張するものであり、日本出願番号２００９−０３４５２８における開示内容は引用により本出願に組み込まれる。

Claims (23)

1. 第１オブジェクト群を保存する第１情報処理装置と、
   サブジェクトから、操作対象オブジェクトに対する操作内容を示す操作リクエストを取得し、前記操作リクエストに基づいて前記操作対象オブジェクトに対する処理を行う、第２情報処理装置と、
   を具備し、
   前記第２情報処理装置は、
   第２オブジェクト群に含まれる各第２オブジェクトと、前記各第２オブジェクトに対して許可される操作内容を示す制御規則との対応関係を、アクセス制御ポリシとして記憶する、アクセス制御ポリシ記憶手段と、
   前記操作リクエストが処理可能であるか否かを判定する、データ処理手段とを備え、
   前記第１情報処理装置は、
   前記第１オブジェクト群に含まれる各第１オブジェクトについて、前記各第１オブジェクトと同じ前記制御規則が適用される前記各第２オブジェクトの集合を、変更先オブジェクト群として示す、追加アクセス制御ポリシを記憶する追加アクセス制御ポリシ記憶手段を備え、
   前記データ処理手段は、
   前記操作対象オブジェクトが前記第１オブジェクト群に含まれる場合に、前記追加アクセス制御ポリシを参照し、前記操作対象オブジェクトに対応する前記変更先オブジェクト群を取得する、変更先オブジェクト群決定手段と、
   前記アクセス制御ポリシを参照することにより、前記操作リクエストが、前記変更先オブジェクト群に含まれる前記各第２オブジェクトに対して処理可能であるか否かを判定し、判定結果に基づいて、前記操作対象オブジェクトに対して前記操作リクエストが処理可能であるか否かを決定する、アクセス制御再判定手段とを備える
   情報処理システム。
2. 請求項１に記載された情報処理システムであって、
   前記第２オブジェクト群は、前記第２情報処理装置に保存されたオブジェクト群である
   情報処理システム。
3. 請求項１又は２に記載された情報処理システムであって、
   前記データ処理手段は、更に、
   前記アクセス制御ポリシを参照することにより、前記操作対象オブジェクトが前記第２オブジェクト群に含まれているか否かを判定する、アクセス制御手段、を備え、
   前記変更先オブジェクト群決定手段は、前記操作対象オブジェクトが前記第２オブジェクト群に含まれていない場合に、前記変更先オブジェクト群を取得する
   情報処理システム。
4. 請求項３に記載された情報処理システムであって、
   前記データ処理手段は、更に、
   前記操作対象オブジェクトが前記第１オブジェクト群に含まれているか否かを判定する、アクセス可否判定手段を備え、
   前記変更先オブジェクト群決定手段は、前記操作対象オブジェクトが前記第１オブジェクト群に含まれている場合に、前記変更先オブジェクト群を取得する
   情報処理システム。
5. 請求項１乃至４の何れかに記載された情報処理システムであって、
   前記第１情報処理装置は、更に、
   前記第２情報処理装置を利用するユーザを識別するユーザ認証手段と、
   前記ユーザ認証手段による識別結果に応じて、前記追加アクセス制御ポリシの内容を変更する、追加アクセス制御ポリシ作成手段とを備える
   情報処理システム。
6. 請求項１乃至５の何れかに記載された情報処理システムであって、
   前記第２情報処理装置は、更に、前記操作リクエストに基づいて前記操作対象オブジェクトに対する処理を実行する、基盤制御手段を備え、
   前記基盤制御手段は、サブジェクトから、前記操作対象オブジェクトに対する前記操作リクエストを取得し、前記サブジェクトを特定する情報と前記操作対象オブジェクトを特定する情報と前記操作リクエストとを、リクエスト情報として前記データ処理手段に通知し、前記データ処理手段による判定結果に基づいて、前記操作対象オブジェクトに対する処理を実行するか否かを決定する
   情報処理システム。
7. 請求項１乃至６の何れかに記載された情報処理システムであって、
   前記制御規則は、オブジェクトに対するアクセスの可否を示す、アクセス制御規則を含んでいる
   情報処理システム。
8. 請求項１乃至６の何れかに記載された情報処理システムであって、
   前記制御規則は、オブジェクトに対するアクセス時に使用されるリソースの使用量に関する規則を含んでいる
   情報処理システム。
9. 請求項１乃至８の何れかに記載された情報処理システムであって、
   前記アクセス制御再判定手段は、前記アクセス制御ポリシを参照し、前記変更先オブジェクト群に対応するオブジェクトの規則の論理和からなる規則に基づいて、前記操作リクエストが処理可能であるか否かを判定する
   情報処理システム。
10. 請求項１乃至８の何れかに記載された情報処理システムであって、
    前記アクセス制御再判定手段は、前記アクセス制御ポリシを参照し、前記変更先オブジェクト群に対応するオブジェクトの規則の論理積からなる規則に基づいて、前記操作リクエストが処理可能であるか否かを判定する
    情報処理システム。
11. 請求項１乃至１０の何れかに記載された情報処理システムで利用される第１情報処理装置、を具備する
    データ保存装置。
12. 請求項１乃至１０の何れかに記載された情報処理システムで利用される第２情報処理装置、を具備する
    データ利用装置。
13. 第１オブジェクト群を保存する第１情報処理装置と、操作対象オブジェクトと操作内容とを示す操作リクエストを取得し、前記操作リクエストに基づいて前記操作対象オブジェクトに対する処理を行う、第２情報処理装置とを具備する情報処理システムの動作方法であって、
    予め、アクセス制御ポリシとして、第２オブジェクト群に含まれる各第２オブジェクトと、前記各第２オブジェクトに対して許可される操作内容を示す制御規則との対応関係を、前記第２情報処理装置に記憶させるステップと、
    予め、追加アクセス制御ポリシとして、前記第１オブジェクト群に含まれる各第１オブジェクトについて、前記各第１オブジェクトと同じ制御規則で操作の可否が判断される前記各第２オブジェクトの集合を変更先オブジェクト群として示す情報を、前記第１情報処理装置に記憶させるステップと、
    前記操作リクエストが処理可能であるか否かをデータ処理手段が判定するステップと、
    を具備し、
    前記操作リクエストが処理可能であるか否かを判定するステップは、
    前記第２情報処理装置によって、前記操作リクエストを取得するステップと、
    前記操作対象オブジェクトが前記第１オブジェクト群に含まれる場合に、前記第２情報処理装置により、前記追加アクセス制御ポリシを参照し、前記操作対象オブジェクトに対応する前記変更先オブジェクト群を取得するステップと、
    前記第２情報処理装置により、前記アクセス制御ポリシを参照することにより、前記操作リクエストに含まれる操作内容が、前記変更先オブジェクト群に対して処理可能であるか否かを判定し、判定結果に基づいて、前記操作対象オブジェクトに対して前記操作リクエストが処理可能であるか否かを決定するステップと
    を備える
    情報処理システムの動作方法。
14. 請求項１３に記載された情報処理システムの動作方法であって、
    前記第２オブジェクト群は、前記第２情報処理装置に保存されたオブジェクト群である
    情報処理システムの動作方法。
15. 請求項１３又は１４に記載された情報処理システムの動作方法であって、
    前記操作リクエストが処理可能であるか否かを判定するステップは、更に、前記アクセス制御ポリシを参照することにより、前記操作対象オブジェクトが前記第２オブジェクト群に含まれているか否かを判定するステップを備え、
    前記変更先オブジェクト群を取得するステップは、前記操作対象オブジェクトが前記第２オブジェクト群に含まれていない場合に、前記変更先オブジェクト群を取得するステップを含んでいる
    情報処理システムの動作方法。
16. 請求項１５に記載された情報処理システムの動作方法であって、
    前記操作リクエストが処理可能であるか否かを判定するステップは、更に、前記操作対象オブジェクトが前記第１オブジェクト群に含まれているか否かを判定するステップを備え、
    前記変更先オブジェクト群を決定するステップは、前記操作対象オブジェクトが前記第１オブジェクト群に含まれている場合に、前記変更先オブジェクト群を取得するステップを備えている
    情報処理システムの動作方法。
17. 請求項１３乃至１６の何れかに記載された情報処理システムの動作方法であって、更に、
    前記第２情報処理装置を利用するユーザを識別するステップと、
    前記識別するステップにおける識別結果に応じて、前記追加アクセス制御ポリシの内容を変更するステップと、を具備する
    情報処理システムの動作方法。
18. 請求項１３乃至１７の何れかに記載された情報処理システムの動作方法であって、
    更に、
    前記操作リクエストに基づいて前記操作対象オブジェクトに対する処理を実行するステップ、
    を具備し、
    前記処理を実行するステップは、サブジェクトから前記操作リクエストを取得し、前記サブジェクトを特定する情報と共に前記操作リクエストを前記データ処理手段に通知し、前記データ処理手段による判定結果に基づいて、前記操作対象オブジェクトに対する処理を実行するか否かを決定するステップを備える
    情報処理システムの動作方法。
19. 請求項１３乃至１８の何れかに記載された情報処理システムの動作方法であって、
    前記制御規則は、オブジェクトに対するアクセスの可否を示すアクセス制御規則を含んでいる
    情報処理システムの動作方法。
20. 請求項１３乃至１８の何れかに記載された情報処理システムの動作方法であって、
    前記制御規則は、オブジェクトに対するアクセス時に使用されるリソースの使用量に関する規則を含んでいる
    情報処理システムの動作方法。
21. 請求項１３乃至２０の何れかに記載された情報処理システムの動作方法であって、
    前記処理可能であるか否かを決定するステップは、前記アクセス制御ポリシを参照し、前記変更先オブジェクト群に対応するオブジェクトの規則の論理和からなる規則に基づいて、前記操作リクエストが処理可能であるか否かを判定するステップを備えている
    情報処理システムの動作方法。
22. 請求項１３乃至２０の何れかに記載された情報処理システムの動作方法であって、
    前記処理可能であるか否かを決定するステップは、前記アクセス制御ポリシを参照し、前記変更先オブジェクト群に対応するオブジェクトの規則の論理積からなる規則に基づいて、前記操作リクエストが処理可能であるか否かを判定するステップを備えている
    情報処理システムの動作方法。
23. 請求項１３乃至２２の何れかに記載された情報処理システムの動作方法を、コンピュータにより実現するための、情報処理システムの動作プログラム。

Images