JP6960874B2 - 管理装置、特定プログラム、特定方法、管理システム - Google Patents

Description

本発明は、ネットワーク上のリソースに対するアクセスを制御する管理装置、特定プログラム、特定方法、管理システムに関する。

従来、ネットワーク上のリソースに対してアクセスを要求したユーザの所属先を特定する装置が知られている。特許文献１には、予め記憶された組織情報に基づいて、アクセスを要求したユーザの所属先を特定する技術が記載されている。

特開２０１１−０７６５６９号公報

一般的に、アクセス権限が設定されたリソースを管理する装置は、企業の組織構造に対応させた組織情報と、当該組織情報に紐付く組織ごとの権限情報とを記憶している。この場合において、特許文献１のような技術においては、アクセス権限の付与対象ごとに、企業の組織構造に対応させた組織情報を作成しなければならず、組織構造が大規模である程、組織情報を管理する負担が大きかった。

そこで、本発明はこれらの点に鑑みてなされたものであり、組織情報を管理する負担を軽減することができる管理装置、特定プログラム、特定方法、及び管理システムを提供することを目的とする。

本発明の第１の態様に係る管理装置は、複数の集団間における所属関係を証明する集団所属証明書と、集団及びユーザ間における所属関係を証明するユーザ所属証明書とを含む電子証明書を取得する取得部と、前記電子証明書に基づいて、前記ユーザが所属する前記集団の階層構造を特定する特定部と、を有する。

前記特定部は、前記電子証明書に電子署名がされていることを条件として、前記ユーザが所属する前記集団の階層構造を特定してもよい。
前記特定部は、前記電子署名の署名元が、前記電子証明書が示す前記集団を管理する管理者であることを条件として、前記ユーザが所属する前記集団の階層構造を特定してもよい。

前記管理装置は、前記ユーザが利用するリソースを記憶する記憶部と、前記ユーザが所属する前記集団の階層構造に、前記リソースに対するアクセスが許可された前記集団が含まれていることを条件として、前記リソースに対するアクセスを許可する判定部と、をさらに有してもよい。

前記判定部は、前記ユーザが所属する前記集団が、前記リソースに対するアクセスが許可された前記集団から所定の階層以内であることを条件として、アクセスを許可してもよい。
前記特定部は、前記電子証明書が、有効ではない前記電子証明書であることを示す失効情報に含まれていないことを条件として、前記ユーザが所属する前記集団の階層構造を特定してもよい。

本発明の第２の態様に係る端末は、複数の集団間における所属関係を証明する集団所属証明書と、集団及びユーザ間における所属関係を証明するユーザ所属証明書とを含む電子証明書を生成する証明書生成部と、前記電子証明書をユーザに付与する証明書付与部と、を有する。

前記証明書付与部は、電子署名がされた前記電子証明書を前記ユーザに付与してもよい。
前記電子証明書は、集団の管理者を証明する管理者証明書を含み、前記証明書生成部は、前記管理者証明書に対応する前記集団所属証明書と、前記管理者証明書に対応する前記ユーザ所属証明書とを含む電子証明書を生成してもよい。

本発明の第３の態様に係る特定プログラムは、コンピュータを、複数の集団間における所属関係を証明する集団所属証明書と、集団及びユーザ間における所属関係を証明するユーザ所属証明書とを含む電子証明書を取得する取得部、及び前記電子証明書に基づいて、前記ユーザが所属する前記集団の階層構造を特定する特定部、として機能させる。

本発明の第４の態様に係る特定方法は、コンピュータが実行する、複数の集団間における所属関係を証明する集団所属証明書と、前記集団及びユーザ間における所属関係を証明するユーザ所属証明書とを含む電子証明書を取得するステップと、前記電子証明書に基づいて、前記ユーザが所属する前記集団の階層構造を特定するステップと、を有する。

本発明の第５の態様に係る付与プログラムは、コンピュータを、複数の集団間における所属関係を証明する集団所属証明書と、集団及びユーザ間における所属関係を証明するユーザ所属証明書とを含む電子証明書を生成する証明書生成部、及び前記電子証明書をユーザに付与する証明書付与部、として機能させる。

本発明の第６の態様に係る付与方法は、コンピュータが実行する、複数の集団間における所属関係を証明する集団所属証明書と、集団及びユーザ間における所属関係を証明するユーザ所属証明書とを含む電子証明書を生成するステップと、前記電子証明書をユーザに付与するステップと、を有する。

本発明の第７の態様に係る管理システムは、電子証明書を付与する付与者が使用する付与端末と、電子証明書を付与される被付与者が使用する被付与端末と、リソースを管理する管理装置と、を有する管理システムであって、前記付与端末は、複数の集団間における所属関係を証明する集団所属証明書と、前記集団及び前記被付与者間における所属関係を証明するユーザ所属証明書とを含む電子証明書を生成する証明書生成部と、前記電子証明書を前記被付与端末に付与する証明書付与部と、を有し、前記管理装置は、前記被付与端末から、前記集団所属証明書と、前記ユーザ所属証明書とを含む電子証明書を取得する取得部と、前記電子証明書に基づいて、前記被付与者が所属する前記集団の階層構造を特定する特定部と、を有する。

本発明によれば、組織情報を管理する負担を軽減することができるという効果を奏する。

管理システムの概要を説明するための図である。 付与端末、被付与端末、及び管理装置の構成を示す図である。 付与端末及び被付与端末の所属関係と、リソースに設定されたアクセス権限とを模式的に表した図である。 電子証明書を発行する処理の流れの一例を模式的に表した図である。 電子証明書の内容を模式的に表した図である。 電子証明書を発行する処理の流れの一例を模式的に表した図である。 電子証明書の内容を模式的に表した図である。 電子証明書を発行する処理の流れの一例を模式的に表した図である。 リソースに対するアクセスを制御する流れの一例を模式的に表した図である。 管理システムにおける電子証明書を発行する処理の流れを示すフローチャートである。 管理システムにおけるアクセスを制御する処理の流れを示すシーケンス図である。 電子証明書を発行する画面を模式的に表した図である。

［管理システムＳの概要］
図１は、管理システムＳの概要を説明するための図である。管理システムＳは、複数の集団及びユーザ間の所属関係を証明する電子証明書に基づいて、ネットワーク上のリソースに対するユーザからのアクセスを制御するシステムである。集団は、例えば、企業における組織（本部、部、課、グループ等）、プロジェクトチームにおける組織（プロジェクト、サブプロジェクト等）である。また、集団は、例えば、家族や学校等であってもよい。

管理システムＳは、付与端末１と、被付与端末２と、管理装置３とを有する。付与端末１は、電子証明書を付与する付与者が使用する端末であり、例えばコンピュータである。付与者は、例えば、組織に所属する組織長である。被付与端末２は、電子証明書を付与される被付与者が使用する端末であり、例えばコンピュータである。被付与者は、例えば、組織に所属する従業員である。なお、付与者は、自身に電子証明書を付与することにより被付与者にもなりうる。管理装置３は、リソースを管理する装置であり、例えばサーバである。リソースは、例えば、ユーザが作成したファイル（書類、画像等）、フォルダ等である。

図１においては、サブプロジェクトＹが、プロジェクトＸに所属し、付与者（例えばプロジェクトＸのマネージャー）が使用する付与端末１が、プロジェクトＸに所属し、被付与者（例えばサブプロジェクトＹのリーダー）が使用する被付与端末２が、サブプロジェクトＹに所属し、プロジェクトＸが、管理装置３（例えば書類を共有するサーバ）を有することを前提として説明する。この場合、管理装置３には、プロジェクトＸに対してアクセスを許可するアクセス権限が設定されている。

はじめに、付与者は、被付与者に電子証明書を発行する。具体的には、付与端末１は、まず、被付与者に付与する電子証明書を生成する（図１の（１））。この場合における電子証明書には、少なくとも、サブプロジェクトＹがプロジェクトＸに所属することを証明する集団所属証明書、及び被付与者がサブプロジェクトＹに所属することを証明するユーザ所属証明書の２種類の電子証明書が含まれている。そして、付与端末１は、生成した電子証明書を被付与端末２に送信することにより、被付与者に対して電子証明書を付与する（図１の（２））。

続いて、電子証明書を付与された被付与者は、管理装置３にアクセスして、書類を閲覧等する操作を行う。この場合、まず、被付与端末２は、管理装置３に管理されている書類に対するアクセスを要求する（図１の（３））。このとき、被付与端末２は、管理装置３にアクセスを要求するとともに、付与端末１から付与された電子証明書を送信する。

管理装置３は、被付与端末２から送信された電子証明書を取得すると、取得した電子証明書に基づいて、被付与者が所属するサブプロジェクトＹの階層構造を特定する（図１の（４））。「サブプロジェクトＹの階層構造」は、サブプロジェクトＹが属する組織に存在する最上位の階層から最下位の階層までの間に存在する複数の集団のうち、サブプロジェクトＹが下位の階層に位置する複数の集団間の上下関係を示す。例えば、最上位階層の集団であるプロジェクトＸに所属するサブプロジェクトが複数存在する場合、「プロジェクトＸ−サブプロジェクトＹ」が「サブプロジェクトＹの階層構造」である。

管理装置３は、図１の（４）において特定したサブプロジェクトＹの階層構造と、管理装置３に設定されているアクセス権限とに基づいて、被付与端末２に対して、アクセスを許可するか否かを判定する。この場合、管理装置３は、特定したサブプロジェクトＹの階層構造に、アクセス権限が示すプロジェクトＸが含まれていることから、書類に対するアクセスを許可する（図１の（５））。

その後、被付与者は、被付与端末２を用いて、管理装置３に管理されている書類を閲覧等する。このように、管理システムＳでは、組織の全体構造を管理することなく、あるユーザが別のユーザに付与した、複数の集団及びユーザ間の所属関係を証明する電子証明書に基づいて、アクセスを制御する。これにより管理システムＳは、組織情報を管理する負担を軽減できる。
以下、付与端末１、被付与端末２、及び管理装置３の構成について説明する。

［付与端末１、被付与端末２、及び管理装置３の構成］
図２は、付与端末１、被付与端末２、及び管理装置３の構成を示す図である。付与端末１は、通信部１１と、記憶部１２と、制御部１３とを有する。
通信部１１は、ネットワークに接続するためのインターフェイスであり、例えばＬＡＮコントローラを含んで構成されている。

記憶部１２は、ＲＯＭ（Read Only Memory）、ＲＡＭ（Random Access Memory）及びハードディスク等の記憶媒体である。記憶部１２は、制御部１３が実行するプログラムを記憶している。
制御部１３は、例えばＣＰＵ（Central Processing Unit）である。制御部１３は、記憶部１２に記憶されたプログラムを実行することにより、鍵生成部１３１、証明書生成部１３２、署名部１３３、及び証明書付与部１３４として機能する。

被付与端末２は、通信部２１と、記憶部２２と、制御部２３とを有する。
通信部２１は、ネットワークに接続するためのインターフェイスであり、例えばＬＡＮコントローラを含んで構成されている。

記憶部２２は、ＲＯＭ、ＲＡＭ及びハードディスク等の記憶媒体である。記憶部２２は、制御部２３が実行するプログラムを記憶している。
制御部１３は、例えばＣＰＵである。制御部２３は、記憶部２２に記憶されたプログラムを実行することにより、証明書管理部２３１及び暗号化部２３２として機能する。

管理装置３は、通信部３１と、記憶部３２と、制御部３３とを有する。
通信部３１は、ネットワークに接続するためのインターフェイスであり、例えばＬＡＮコントローラを含んで構成されている。

記憶部３２は、ＲＯＭ、ＲＡＭ及びハードディスク等の記憶媒体である。記憶部３２は、制御部３３が実行するプログラムを記憶している。また、記憶部３２は、ユーザが利用するリソースを記憶する。
制御部３３は、例えばＣＰＵである。制御部３３は、記憶部３２に記憶されたプログラムを実行することにより、取得部３３１、特定部３３２、及び判定部３３３として機能する。
以下、付与端末１、被付与端末２、及び管理装置３それぞれの制御部が実行する処理について説明する。

［電子証明書を発行する処理（１）］
図３は、付与端末１及び被付与端末２の所属関係と、リソースに設定されたアクセス権限とを模式的に表した図である。図３に示すように、Ａ会社を第１階層とした場合、Ａ会社の直下の階層である第２階層として、Ｂ本部がＡ会社に所属している。また、Ｂ本部の直下の階層である第３階層として、Ｃ部がＢ本部に所属している。また、Ｃ部の直下の階層である第４階層として、ＤグループがＣ部に所属している。

管理装置３には、リソースＲ１、Ｒ２、Ｒ３、Ｒ４が記憶されている。リソースＲ１のアクセス権限には、Ａ会社に対してアクセスを許可する設定がされ、リソースＲ２のアクセス権限には、Ｂ本部に対してアクセスを許可する設定がされ、リソースＲ３のアクセス権限には、Ｃ部に対してアクセスを許可する設定がされ、リソースＲ４のアクセス権限には、Ｄグループに対してアクセスを許可する設定がされている。リーダーＦが使用する端末は、部長Ｅが使用する付与端末１ｅから電子証明書を付与される場合に被付与端末２ｆとなり、メンバーＧが使用する２ｇに電子証明書を付与する場合に付与端末１ｆとなる。以下、図４、図６、図８、及び図９について、図３に示す所属関係及びアクセス権限に基づいて説明する。

図４は、電子証明書を発行する処理の流れの一例を模式的に表した図である。図４においては、部長Ｅが使用する付与端末１ｅが、リーダーＦが使用する被付与端末２ｆに電子証明書を付与する流れを示している。リーダーＦは、Ｄグループに所属しており、さらにＤグループを管理するためにＣ部に所属するように電子証明書が付与される。

まず、付与端末１ｅは、電子証明書に用いる鍵を生成する。具体的には、付与端末１ｅの鍵生成部１３１は、電子証明書に用いる秘密鍵及び公開鍵を生成する。秘密鍵は、外部に公開しない鍵であり、公開鍵は、外部に公開する鍵である。鍵生成部１３１が生成した鍵は、鍵を識別する鍵識別情報を含む。

図４に示す例において、鍵生成部１３１は、部長Ｅ用鍵として、部長Ｅ用の秘密鍵及び公開鍵を生成する（図４の（１））。また、鍵生成部１３１は、Ｃ部用鍵として、Ｃ部用の秘密鍵及び公開鍵を生成する（図４の（２））。また、鍵生成部１３１は、リーダーＦ用鍵として、リーダーＦ用の秘密鍵及び公開鍵を生成する（図４の（３））。なお、リーダーＦが使用する被付与端末２ｆが、リーダーＦ用鍵を生成してもよい。この場合、付与端末１ｅの鍵生成部１３１は、被付与端末２ｆによって生成されたリーダーＦ用鍵のうち、リーダーＦ用の公開鍵を取得する。

鍵生成部１３１は、生成した部長Ｅ用の公開鍵、Ｃ部用の公開鍵、及びリーダーＦ用の公開鍵を、管理装置３に送信する（図４の（４））。なお、鍵生成部１３１は、被付与者に電子証明書が付与されるときに、当該電子証明書に関連する各公開鍵を管理装置３に送信してもよい。

続いて、付与端末１ｅは、電子証明書を生成する。具体的には、付与端末１ｅの証明書生成部１３２は、複数の集団間における所属関係を証明する集団所属証明書と、集団及びユーザ間における所属関係を証明するユーザ所属証明書とを含む電子証明書を生成する。より具体的には、証明書生成部１３２は、集団の管理者を証明する管理者証明書に対応する集団所属証明書と、当該管理者証明書に対応するユーザ所属証明書とを含む電子証明書を生成する。

図４に示す例において、証明書生成部１３２は、まず、リーダーＦがＣ部に所属することを証明するユーザ所属証明書を生成し（図４の（５））、生成したユーザ所属証明書に対応する管理者証明書として、Ｃ部の管理者が部長Ｅであることを示す管理者証明書を生成する（図４の（６））。管理者証明書は予め生成されてもよい。

図５は、電子証明書の内容を模式的に表した図である。図５（ａ）は、ユーザ所属証明書の内容を表し、図５（ｂ）は、管理者証明書の内容を表している。図５（ａ）に示すユーザ所属証明書には、電子証明書の区分を示す「区分」項目と、所属される集団を示す「被従属」項目と、所属するユーザを示す「従属」項目とが含まれる。図５（ａ）に示す「区分」項目には、当該電子証明書がユーザ所属証明書であることが示されている。図４に示す例において、図５（ａ）に示すユーザ所属証明書の「被従属」項目には、Ｃ部用の公開鍵の鍵識別情報が示され、「従属」項目には、リーダーＦ用の公開鍵の鍵識別情報が示されている。

図５（ｂ）に示す管理者証明書には、「区分」項目と、管理者を示す「管理者」項目と、管理者が所属する集団を示す「集団」項目とが含まれる。図５（ｂ）に示す「区分」項目には、当該電子証明書が管理者証明書であることが示されている。図４に示す例において、図５（ｂ）に示す管理者証明書の「管理者」項目には、部長Ｅ用の公開鍵の鍵識別情報が示され、「集団」項目には、Ｃ部用の公開鍵の鍵識別情報が示されている。

ここで、管理者証明書に対応するユーザ所属証明書とは、例えば、ユーザ所属証明書に含まれる「被従属」項目に示される鍵識別情報と、管理者証明書に含まれる「集団」項目に示される鍵識別情報とが一致する関係である。証明書生成部１３２は、ユーザ所属証明書に対して、管理者証明書を識別する証明書識別情報を含めることにより、明示的に管理者証明書を対応付けてもよい。

図４に戻り、付与端末１ｅの署名部１３３は、生成されたユーザ所属証明書に対して、部長Ｅ用の秘密鍵を用いて電子署名を行い、生成された管理者証明書に対して、Ｃ部用の秘密鍵を用いて電子署名を行う。ユーザ所属証明書の電子署名には、部長Ｅ用の公開鍵の鍵識別情報が含まれ、管理者証明書の電子署名には、Ｃ部用の公開鍵の鍵識別情報が含まれている。

続いて、証明書生成部１３２は、Ｂ本部がＡ会社に所属すること、及びＣ部がＢ本部に所属することを証明する２つの集団所属証明書と、当該２つの集団所属証明書それぞれに対応する２つの管理者証明書とを、付与端末１ｅの記憶部１２から取得する（図４の（７））。このようにして、証明書生成部１３２は、ユーザ所属証明書と、集団所属証明書と、それぞれの証明書に対応する管理者証明書とを含む電子証明書を生成する。

そして、付与端末１ｅの証明書付与部１３４は、通信部１１を介して、電子署名がされた電子証明書及びリーダーＦ用鍵（リーダーＦ用の公開鍵及び秘密鍵）を、被付与端末２ｆに送信する（図４の（８））。被付与端末２ｆの証明書管理部２３１は、付与端末１ｅから送信された電子証明書及びリーダーＦ用鍵を取得し、被付与端末２ｆの記憶部２２に記憶させる。このようにして、証明書付与部１３４は、電子証明書をリーダーＦに付与する。

［電子証明書を発行する処理（２）］
図６及び図８は、電子証明書を発行する処理の流れの一例を模式的に表した図である。図６及び図８においては、リーダーＦが使用する端末が、メンバーＧが使用する被付与端末２ｇに電子証明書を付与する流れを示している。リーダーＦが使用する端末は、メンバーＧに電子証明書を付与するために、付与端末１ｆとして機能する。

まず、付与端末１ｆの鍵生成部１３１は、電子証明書に用いる秘密鍵及び公開鍵を生成する。図６に示す例において、鍵生成部１３１は、Ｄグループ用鍵として、Ｄグループ用の秘密鍵及び公開鍵を生成する（図６の（１））。鍵生成部１３１は、生成したＤグループ用の公開鍵を、通信部１１を介して、管理装置３に送信する（図６の（２））。

また、鍵生成部１３１は、通信部１１を介して、生成したＤグループ用の公開鍵を部長Ｅが使用する付与端末１ｅに送信する（図６の（３））。鍵生成部１３１は、例えば、リーダーＦがＣ部に所属することを証明するユーザ所属証明書に対応する、Ｃ部の管理者が部長Ｅであることを証明する管理者証明書に基づいて、生成したＤグループ用鍵を付与端末１ｅに送信する。

続いて、部長Ｅが使用する付与端末１ｅは、リーダーＦに付与する電子証明書を生成する。具体的には、付与端末１ｅの証明書生成部１３２は、記憶部１２から取得した管理者証明書と、当該管理者証明書に対応する集団所属証明書とを含む電子証明書を生成する。図６に示す例において、証明書生成部１３２は、ＤグループがＣ部に所属することを証明する集団所属証明書を生成する（図６の（４））。

図７は、電子証明書の内容を模式的に表した図である。図７（ａ）は、集団所属証明書の内容を表し、図７（ｂ）は、管理者証明書の内容を表している。図７（ａ）に示す集団所属証明書には、「区分」項目と、「被従属」項目と、所属する集団を示す「従属」項目とが含まれる。図７（ａ）に示す「区分」項目には、当該電子証明書が集団所属証明書であることが示されている。図７（ａ）に示す集団所属証明書の「被従属」項目には、Ｃ部用の公開鍵の鍵識別情報が示され、「従属」項目には、Ｄグループ用の公開鍵の鍵識別情報が示されている。

ここで、管理者証明書に対応する集団所属証明書とは、例えば、集団所属証明書に含まれる「被従属」項目に示される鍵識別情報と、管理者証明書に含まれる「集団」項目に示される鍵識別情報とが一致する関係である。図７（ｂ）に示す管理者証明書の「集団」には、当該管理者証明書に対応する図７（ａ）に示す集団所属証明書の「被従属」項目に示されている鍵識別情報に一致する、Ｃ部用の公開鍵の鍵識別情報が示されている。証明書生成部１３２は、集団所属証明書に対して、管理者証明書を識別する証明書識別情報を含めることにより、明示的に管理者証明書を対応付けてもよい。

図６に戻り、付与端末１ｅの署名部１３３は、部長Ｅ用の秘密鍵を用いて、生成した集団所属証明書に電子署名を行う。電子署名には、部長Ｅ用の公開鍵の鍵識別情報が含まれている。付与端末１ｅの証明書付与部１３４は、生成した電子証明書を被付与端末２ｆに送信する（図６の（５））。具体的には、証明書付与部１３４は、生成された集団所属証明書と、記憶部１２から取得された、当該集団所属証明書に対応する管理者証明書とを含む電子証明書を被付与端末２ｆに送信する。リーダーＦが使用する被付与端末２ｆの証明書管理部２３１は、付与端末１ｅから送信された電子証明書を取得し、記憶部２２に記憶させる。

続いて、リーダーＦが使用する付与端末１ｆの鍵生成部１３１は、メンバーＧに付与するメンバーＧ用鍵として、メンバーＧ用の秘密鍵及び公開鍵を生成する（図８の（６））。なお、メンバーＧが使用する被付与端末２ｇが、メンバーＧ用鍵を生成してもよい。付与端末１ｆの鍵生成部１３１は、生成したメンバーＧ用の公開鍵を、通信部１１を介して、管理装置３に送信する（図８の（７））。

続いて、付与端末１ｆの証明書生成部１３２は、メンバーＧに付与する電子証明書として、集団所属証明書と、ユーザ所属証明書と、管理者証明書とを生成する。図８に示す例として、証明書生成部１３２は、まず、メンバーＧがＤグループに所属することを証明するユーザ所属証明書を生成し（図８の（８））、生成したユーザ所属証明書に対応する管理者証明書として、Ｄグループの管理者がリーダーＦであることを証明する管理者証明書を生成する（図８の（９））。

この場合におけるユーザ所属証明書の「被従属」項目には、Ｄグループ用の公開鍵の鍵識別情報が示され、「従属」項目には、メンバーＧ用の公開鍵の鍵識別情報が示されている。また、管理者証明書の「管理者」項目には、リーダーＦ用の公開鍵の鍵識別情報が示され、「集団」項目には、Ｄグループ用の公開鍵の鍵識別情報が示されている。付与端末１ｆの署名部１３３は、リーダーＦ用の秘密鍵を用いて、生成したユーザ所属証明書に電子署名を行い、Ｄグループ用の秘密鍵を用いて、管理者証明書に電子署名を行う。ユーザ所属証明書の電子署名には、リーダーＦ用の公開鍵の鍵識別情報が含まれ、管理者証明書の電子署名には、Ｄグループ用の公開鍵の鍵識別情報が含まれている。

続いて、付与端末１ｆの証明書生成部１３２は、Ｂ本部がＡ会社に所属すること、Ｃ部がＢ本部に所属すること、及びＤグループがＣ部に所属することを証明する３つの集団所属証明書と、当該３つの集団所属証明書それぞれに対応する３つの管理者証明書とを、付与端末１ｆの記憶部１２から取得する（図８の（１０））。このようにして、証明書生成部１３２は、ユーザ所属証明書、集団所属証明書、及びそれぞれの証明書に対応する管理者証明書を含む電子証明書を生成する。

そして、付与端末１ｆの証明書付与部１３４は、通信部１１を介して、生成した電子証明書を被付与端末２ｇに送信する。具体的には、証明書付与部１３４は、通信部１１を介して、電子署名がされた電子証明書及びメンバーＧ用鍵（メンバーＧ用の公開鍵及び秘密鍵）を、被付与端末２ｇに送信する（図８の（１１））。被付与端末２ｇの証明書管理部２３１は、付与端末１ｆから送信された電子証明書及びメンバーＧ用鍵を取得し、被付与端末２ｇの記憶部２２に記憶させる。このようにして、付与端末１ｆの証明書付与部１３４は、電子証明書をメンバーＧに付与する。

［アクセスを制御する処理］
図９は、リソースに対するアクセスを制御する流れの一例を模式的に表した図である。図９においては、管理装置３が、メンバーＧが使用する被付与端末２ｇからのリソースＲ３（Ｃ部にアクセス権限が付与されているリソース）に対するアクセスを制御する流れを示している。この場合における管理装置３は、リソースＲ３に限らず、リソースＲ１、Ｒ２、Ｒ４のいずれであってもよい。

まず、被付与端末２ｇは、管理装置３に記憶されているリソースＲ３に対するアクセスを要求する（図９の（１））。具体的には、被付与端末２ｇは、証明書管理部２３１が、記憶部２２から取得したユーザ所属証明書、集団所属証明書、及び各証明書に対応する管理者証明書を含む電子証明書を送信するとともに、管理装置３にリソースＲ３に対するアクセスを要求する。

図９に示す例において、ユーザ所属証明書には、メンバーＧ及びＤグループ間の所属関係が示されており、集団所属証明書には、Ａ会社及びＢ本部間の所属関係、Ｂ本部及びＣ部間の所属関係、Ｃ部及びＤグループ間の所属関係がそれぞれ示されている。

管理装置３の取得部３３１は、通信部３１を介して、被付与端末２ｇからのアクセス要求とともに送信された集団所属証明書と、ユーザ所属証明書と、管理者証明書とを含む電子証明書を取得する（図９の（２））。続いて、管理装置３の特定部３３２は、取得部３３１が取得した電子証明書に基づいて、ユーザが所属する集団の階層構造を特定する（図９の（３））。具体的には、特定部３３２は、電子証明書に電子署名がされていることを条件として、ユーザが所属する集団の階層構造を特定する。より具体的には、特定部は、電子署名の署名元が、電子証明書が示す集団を管理する管理者であることを条件として、ユーザが所属する集団の階層構造を特定する。

図９に示す例において、特定部３３２は、ユーザ所属証明書の電子署名が示すリーダーＦ用の公開鍵の鍵識別情報と、当該ユーザ所属証明書に対応する管理者証明書が示すＤグループの管理者であるリーダーＦ用の公開鍵の鍵識別情報とが一致することを条件として、メンバーＧが所属するＤグループの階層構造を特定する。この場合における「Ｄグループの階層構造」は、Ｄグループが、Ａ会社に属する集団の一つであるＢ本部の下位階層の集団の一つであるＣ部に属していることを示し、例えば、「Ａ会社−Ｂ本部−Ｃ部−Ｄグループ」のようにＤグループの階層構造を特定する。このようにすることで、特定部３３２は、改ざんされた電子証明書に基づいてリソースにアクセスされることを抑止することができる。

ところで、企業においては、組織改変により組織構造が変わったり、人事異動によりユーザが所属する組織が変わったりする場合がある。そこで、特定部３３２は、電子証明書が、有効ではない電子証明書であることを示す失効情報に含まれていないことを条件として、ユーザが所属する集団の階層構造を特定してもよい。特定部３３２は、例えば、失効された電子証明書を管理する不図示の失効情報管理サーバに、ユーザ所属証明書又は集団所属証明書が有効であるか否かを問い合わせ、問い合わせた電子証明書が失効情報に含まれていない旨の通知を受けたことを条件として、ユーザが所属する集団の階層構造を特定してもよい。また、特定部３３２は、例えば、失効情報管理サーバから失効情報を取得し、取得した失効情報にユーザ所属証明書等が含まれていないか否かを判定してもよい。このようにすることで、特定部３３２は、有効ではない電子証明書に基づいてユーザが所属する集団の階層構造を特定してしまう事態を防止することができる。

続いて、管理装置３の判定部３３３は、特定部３３２が特定したユーザが所属する集団の階層構造が、リソースに対するアクセスが許可された集団に関連していることを条件として、リソースＲ３に対するアクセスを許可する。具体的には、判定部３３３は、ユーザが所属する集団の階層構造に、リソースに対するアクセスが許可された集団が含まれていることを条件として、リソースＲ３に対するアクセスを許可する。

図９に示す例において、判定部３３３は、まず、アクセスを要求した被付与端末２ｇに権限があるか否かを判定する（図９の（４））。この場合、判定部３３３は、メンバーＧがＤグループに所属し、ＤグループがＣ部に所属することを特定した特定情報に、リソースＲ３に対するアクセスが許可されたＣ部が含まれるので、被付与端末２ｇに権限があると判定する。判定部３３３は、被付与端末２ｇに権限があると判定すると、確認用文字列を生成し、生成した確認用文字列を被付与端末２ｇに送信することにより、アクセスを要求した端末が、電子証明書が示すメンバーＧが使用する被付与端末２ｇであることの証明を要求する（図９の（５））。確認用文字列は、ランダムに生成された文字列である。

被付与端末２ｇの暗号化部２３２は、記憶部２２に記憶されているメンバーＧ用の秘密鍵を用いて、管理装置３から送信された確認用文字列を暗号化する（図９の（６））。具体的には、暗号化部２３２は、管理装置３から送信された確認用文字列を、ハッシュ関数を用いてハッシュ値を算出し、記憶部２２に記憶されているメンバーＧ用の秘密鍵を用いて、算出したハッシュ値を暗号化する。暗号化部２３２は、通信部２１を介して、暗号化した確認用文字列を管理装置３に送信することにより、電子証明書が示すメンバーＧが使用する被付与端末２ｇであることを証明する（図９の（７））。

管理装置３の判定部３３３は、被付与端末２ｇから送信された、暗号化された確認用文字列を確認する（図９の（８））。具体的には、判定部３３３は、まず、記憶部３２に記憶されている、電子証明書に含まれるユーザ所属証明書が示すメンバーＧ用の公開鍵を用いて、暗号化された確認用文字列を復号し、復号した確認用文字列と、被付与端末２ｇに送信した確認用文字列とを比較する。より具体的には、判定部３３３は、復号した確認用文字列であるハッシュ値と、被付与端末２ｇに送信した確認用文字列を、ハッシュ関数を用いて算出したハッシュ値とが一致するか否かを判定する。

そして、判定部３３３は、復号した確認用文字列と、被付与端末２ｇに送信した確認用文字列とが一致すると判定した場合に、アクセスを要求した被付与端末２ｇに対して、リソースＲ３のアクセスを許可する（図９の（９））。このようにして、管理装置３は、リソースに対するアクセスを制御する。管理装置３は、Ｃ部の上位組織にアクセスが許可されたリソースＲ１、Ｒ２に対しても、上述のような処理を行うことによってアクセスを制御する。

ところで、下位の階層に集団が存在する上位の階層の集団に所属するユーザにとって、管理装置３に記憶させたリソースＲ１、Ｒ２を、下位の階層の集団に所属するユーザに見られたくない場合がある。そこで、管理装置３の判定部３３３は、ユーザが所属する集団が、リソースに対するアクセスが許可された集団から所定の階層以内であることを条件として、アクセスを許可してもよい。具体的には、判定部３３３は、リソースに対するアクセスが許可された集団からユーザが所属する集団までの所属関係を証明する集団所属証明書の数が、所定の閾値以内であることを条件として、アクセスを許可してもよい。

例えば、図３に示すＢ本部に対してアクセスが許可されたリソースＲ２を管理装置３に記憶させたユーザが、当該リソースＲ２に対するアクセスを許可したＢ本部から１階層以内とする設定を行い、部長Ｅが使用する端末が、被付与端末２ｅとしてリソースＲ２に対するアクセスを要求したとする。この場合、判定部３３３は、リソースに対するアクセスが許可されたＢ本部から、部長Ｅが所属するＣ部までの所属関係を証明する集団所属証明書の数が、Ｃ部がＢ本部に所属することを証明する集団所属証明書の１つであることから、設定された１階層以内の条件を満たすとして、リソースＲ２に対するアクセスを許可する。

一方、例えば、図３に示すＢ本部に対してアクセスが許可されたリソースＲ２を管理装置３に記憶させたユーザが、当該リソースＲ２に対するアクセスを許可したＢ本部から１階層以内とする設定を行い、メンバーＧが使用する被付与端末２ｇが、リソースＲ２に対するアクセスを要求したとする。この場合、リソースに対するアクセスが許可されたＢ本部から、メンバーＧが所属するＤグループまでの所属関係を証明する集団所属証明書の数が、Ｃ部がＢ本部に所属することを証明する集団所属証明書と、ＤグループがＣ部に所属することを証明する集団所属証明書との２つとなる。したがって、判定部３３３は、設定された１階層以内の条件を満たさないとして、被付与端末２ｇからのアクセスを許可しない。このようにすることで、判定部３３３は、企業の組織構造に対応させた組織情報に基づいてアクセス権限が設定されたように、詳細なアクセス権限を設定させることができる。

［管理システムＳの処理（１）］
管理システムＳにおける処理の流れについて説明する。図１０は、管理システムＳにおける電子証明書を発行する処理の流れを示すフローチャートである。本フローチャートにおいては、図８に示すリーダーＦ（付与者）が、メンバーＧ（被付与者）に電子証明書を付与する処理の流れを示す。付与者が使用する付与端末１には、一以上の集団所属証明書と、当該一以上の集団所属証明書それぞれに対応する一以上の管理者証明書とが記憶部１２に記憶されている。また、付与端末１には、生成したリーダーＦ用鍵（付与者用鍵）とＤグループ用鍵（従属集団用鍵）とが記憶部１２に記憶されている。以上のような付与端末１の状態を前提として、本フローチャートについて説明する。

図１２は、電子証明書を発行する画面を模式的に表した図である。図１２に示す画面ｆ１は、付与端末１ｆのディスプレイに表示された電子証明書を発行するための画面である。図１２に示す画面ｆ１には、電子証明書を付与する被付与者を選択する被付与者選択項目ｆ１１と、電子証明書を付与する被付与者を所属させる集団を選択する集団選択項目ｆ１２とが表示されている。

リーダーＦは、例えば、画面ｆ１において、被付与者選択項目ｆ１１から「メンバーＧ」を選択し、集団選択項目ｆ１２から「Ａ会社−Ｂ本部−Ｃ部−Ｄグループ」を選択して、設定ボタンを押下する操作を行う。付与者が、このような簡単な操作を行うことにより、被付与者選択項目ｆ１１において選択された被付与者に対して電子証明書が付与される。付与者が、図１２に示す画面ｆ１の設定ボタンを押下したことを契機として、図１１に示すフローチャートの処理が開始される。

まず、鍵生成部１３１は、電子証明書に用いる鍵として、秘密鍵及び公開鍵を含む、被付与者用鍵（メンバーＧ用鍵）を生成する（Ｓ１０）。鍵生成部１３１は、通信部１１を介して、生成した被付与者用の公開鍵を管理装置３に送信する（Ｓ２０）。

続いて、証明書生成部１３２は、管理者証明書を生成する（Ｓ３０）。具体的には、証明書生成部１３２は、「管理者」項目において付与者用の公開鍵の鍵識別情報を示し、「集団」項目において従属集団用の公開鍵の鍵識別情報を示した管理者証明書を生成する。署名部１３３は、生成された管理者証明書に、従属集団用の秘密鍵を用いて、電子署名を実行する（Ｓ４０）。管理者証明書の電子署名には、従属集団用の公開鍵の鍵識別情報が含まれている。

続いて、証明書生成部１３２は、ユーザ所属証明書を生成する（Ｓ５０）。具体的には、証明書生成部１３２は、「被従属」項目において従属集団用の公開鍵の鍵識別情報を示し、「従属」項目において被付与者用の公開鍵の鍵識別情報を示したユーザ所属証明書を生成する。署名部１３３は、生成されたユーザ所属証明書に、付与者用の秘密鍵を用いて、電子署名を実行する（Ｓ６０）。ユーザ所属証明書の電子署名には、付与者用の公開鍵の鍵識別情報が含まれている。

続いて、証明書生成部１３２は、一以上の集団所属証明書と、当該一以上の集団所属証明書それぞれに対応する一以上の管理者証明書とを、記憶部１２から取得する（Ｓ７０）。このようにして、証明書生成部１３２は、ユーザ所属証明書、集団所属証明書、及びそれぞれの証明書に対応する管理者証明書を含む電子証明書を生成する。そして、証明書付与部１３４は、通信部１１を介して、電子署名がされた電子証明書及び被付与者用鍵（被付与者用の公開鍵及び秘密鍵）を、被付与端末２に送信する（Ｓ８０）。

［管理システムＳの処理（２）］
図１１は、管理システムＳにおけるアクセスを制御する処理の流れを示すシーケンス図である。まず、被付与端末２が、管理装置３が管理するリソースにアクセスする場合において、被付与端末２の証明書管理部２３１は、記憶部２２に記憶されているユーザ所属証明書、集団所属証明書、及び各証明書に対応する管理者証明書を含む電子証明書を取得する（Ｓ１１０）。被付与端末２は、証明書管理部２３１が取得した電子証明書を送信するとともに、管理装置３が管理するリソースに対するアクセスを要求する。

管理装置３の取得部３３１は、被付与端末２ｇからのアクセス要求とともに送信された集団所属証明書と、ユーザ所属証明書と、管理者証明書とを含む電子証明書を取得する。特定部３３２は、取得部３３１が取得した、複数の集団所属証明書と、１つのユーザ所属証明書とを含む電子証明書に基づいて、ユーザが所属する集団の階層構造を特定する（Ｓ１２０）。

続いて、判定部３３３は、ユーザが所属する集団に権限があるか否かを判定する。具体的には、判定部３３３は、ユーザが所属する集団の階層構造に、リソースに対するアクセスが許可された集団が含まれているか否かを判定する。判定部３３３は、ユーザが所属する集団の階層構造に、リソースに対するアクセスが許可された集団が含まれていないと判定した場合（Ｓ１３０においてＮＯの場合）、リソースに対するアクセスを許可せずに処理を終了する。一方、判定部３３３は、ユーザが所属する集団の階層構造に、リソースに対するアクセスが許可された集団が含まれていると判定した場合（Ｓ１３０においてＹＥＳの場合）、確認用文字列を生成し（Ｓ１４０）、被付与端末２に送信する。

被付与端末２の暗号化部２３２は、管理装置３から送信された確認用文字列を取得すると、被付与者用の秘密鍵を用いて、取得した確認用文字列を暗号化する（Ｓ１５０）。暗号化部２３２は、暗号化した確認用文字列を管理装置３に送信する。

管理装置３の判定部３３３は、被付与端末２から送信された暗号化された確認用文字列を、被付与者用の公開鍵を用いて復号する（Ｓ１６０）。判定部３３３は、復号した確認用文字列と、被付与端末２に送信した確認用文字列とが一致するか否かを判定する。判定部３３３は、復号した確認用文字列と、被付与端末２に送信した確認用文字列とが一致しないと判定した場合（Ｓ１７０においてＮＯの場合）、リソースに対するアクセスを許可せずに処理を終了する。一方、判定部３３３は、復号した確認用文字列と、被付与端末２に送信した確認用文字列とが一致すると判定した場合（Ｓ１７０においてＹＥＳの場合）、リソースに対するアクセスを許可する。これにより、被付与端末２は、リソースにアクセスすることが可能となる。

［本実施の形態における効果］
以上説明したとおり、本実施の形態に係る管理システムＳは、付与端末１が複数の集団及びユーザ間の所属関係を証明する電子証明書を被付与端末２に付与する。そして、管理装置３は、被付与端末２からのアクセスの要求に対して、電子証明書に基づいてユーザが所属する集団の階層構造を特定し、特定した集団の階層構造にアクセスが許可された集団が含まれていることを条件として、リソースに対するアクセスを許可する。このようにすることで、管理システムＳは、管理装置３が、複数の集団及びユーザ間の所属関係を予め記憶しておくことなく、電子証明書が証明する所属関係に基づいて、リソースに対するアクセスを制御することができる。その結果、管理装置３を管理する管理者は、組織情報を管理する負担を軽減することができる。

以上、本発明を実施の形態を用いて説明したが、本発明の技術的範囲は上記実施の形態に記載の範囲には限定されず、その要旨の範囲内で種々の変形及び変更が可能である。例えば、装置の分散・統合の具体的な実施の形態は、以上の実施の形態に限られず、その全部又は一部について、任意の単位で機能的又は物理的に分散・統合して構成することができる。また、複数の実施の形態の任意の組み合わせによって生じる新たな実施の形態も、本発明の実施の形態に含まれる。組み合わせによって生じる新たな実施の形態の効果は、もとの実施の形態の効果を合わせ持つ。

上述の実施の形態では、集団として企業における組織を例示したが、本発明は所属関係を定義できるその他の集団についても適用できる。例えばある家族が所有するサーバに、家族の子どもが通う学校の生徒のアクセスを許可したい場合には、家族を上位の集団とし、学校を下位の集団と定義する。上述の実施の形態と同様に、学校の生徒の端末へ電子証明書を付与することによって、学校の生徒の端末に対して家族が所有するサーバへのアクセスを許可することができる。

１ 付与端末
１１ 通信部
１２ 記憶部
１３ 制御部
１３１ 鍵生成部
１３２ 証明書生成部
１３３ 署名部
１３４ 証明書付与部
２ 被付与端末
２１ 通信部
２２ 記憶部
２３ 制御部
２３１ 証明書管理部
２３２ 暗号化部
３ 管理装置
３１ 通信部
３２ 記憶部
３３ 制御部
３３１ 取得部
３３２ 特定部
３３３ 判定部

Claims (9)

1. 複数の集団間における所属関係を証明する集団所属証明書と、集団及びユーザ間における所属関係を証明するユーザ所属証明書とを含む電子証明書を取得する取得部と、
   前記電子証明書に基づいて、前記ユーザが所属する前記集団の階層構造を特定する特定部と、
   前記ユーザが所属する前記集団が、前記ユーザが利用するリソースに対するアクセスが許可された前記集団から所定の階層以内であることを条件として、前記リソースに対するアクセスを許可する判定部と、
   を有する管理装置。
2. 前記特定部は、前記電子証明書に電子署名がされていることを条件として、前記ユーザが所属する前記集団の階層構造を特定する、
   請求項１に記載の管理装置。
3. 前記特定部は、前記電子署名の署名元が、前記電子証明書が示す前記集団を管理する管理者であることを条件として、前記ユーザが所属する前記集団の階層構造を特定する、
   請求項２に記載の管理装置。
4. 前記特定部は、前記電子証明書が、有効ではない前記電子証明書であることを示す失効情報に含まれていないことを条件として、前記ユーザが所属する前記集団の階層構造を特定する、
   請求項１から３のいずれか一項に記載の管理装置。
5. コンピュータを、
   複数の集団間における所属関係を証明する集団所属証明書と、集団及びユーザ間における所属関係を証明するユーザ所属証明書とを含む電子証明書を取得する取得部、
   前記電子証明書に基づいて、前記ユーザが所属する前記集団の階層構造を特定する特定部、及び
   前記ユーザが所属する前記集団が、前記ユーザが利用するリソースに対するアクセスが許可された前記集団から所定の階層以内であることを条件として、前記リソースに対するアクセスを許可する判定部、
   として機能させるための特定プログラム。
6. コンピュータが実行する、
   複数の集団間における所属関係を証明する集団所属証明書と、前記集団及びユーザ間における所属関係を証明するユーザ所属証明書とを含む電子証明書を取得するステップと、
   前記電子証明書に基づいて、前記ユーザが所属する前記集団の階層構造を特定するステップと、
   前記ユーザが所属する前記集団が、前記ユーザが利用するリソースに対するアクセスが許可された前記集団から所定の階層以内であることを条件として、前記リソースに対するアクセスを許可するステップと、
   を有する特定方法。
7. 電子証明書を付与する付与者が使用する付与端末と、電子証明書を付与される被付与者が使用する被付与端末と、リソースを管理する管理装置と、を有する管理システムであって、
   前記付与端末は、
   複数の集団間における所属関係を証明する集団所属証明書と、前記集団及び前記被付与者間における所属関係を証明するユーザ所属証明書とを含む電子証明書を生成する証明書生成部と、
   前記電子証明書を前記被付与端末に付与する証明書付与部と、
   を有し、
   前記管理装置は、
   前記被付与端末から、前記集団所属証明書と、前記ユーザ所属証明書とを含む電子証明書を取得する取得部と、
   前記電子証明書に基づいて、前記被付与者が所属する前記集団の階層構造を特定する特定部と、
   前記被付与者が所属する前記集団が、前記被付与者が利用するリソースに対するアクセスが許可された前記集団から所定の階層以内であることを条件として、前記リソースに対するアクセスを許可する判定部と、
   を有する、管理システム。
8. 前記証明書付与部は、電子署名がされた前記電子証明書を前記被付与者に付与する、
   請求項７に記載の管理システム。
9. 前記電子証明書は、集団の管理者を証明する管理者証明書を含み、
   前記証明書生成部は、前記管理者証明書に対応する前記集団所属証明書と、前記管理者証明書に対応する前記ユーザ所属証明書とを含む電子証明書を生成する、
   請求項７又は８に記載の管理システム。

Images