特許 6108344 アクセス管理装置、アクセス管理方法及びプログラム

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B2)

(11)【特許番号】6108344

(24)【登録日】2017年3月17日

(45)【発行日】2017年4月5日

(54)【発明の名称】アクセス管理装置、アクセス管理方法及びプログラム

(51)【国際特許分類】

   G06F 21/62 20130101AFI20170327BHJP

   G06F 21/31 20130101ALI20170327BHJP

【ＦＩ】

   G06F21/62 318

   G06F21/31

【請求項の数】5

【全頁数】25

(21)【出願番号】特願2013-52251(P2013-52251)

(22)【出願日】2013年3月14日

(65)【公開番号】特開2014-178873(P2014-178873A)

(43)【公開日】2014年9月25日

【審査請求日】2015年11月18日

(73)【特許権者】

【識別番号】000002299

【氏名又は名称】清水建設株式会社

(74)【代理人】

【識別番号】100064908

【弁理士】

【氏名又は名称】志賀 正武

(74)【代理人】

【識別番号】100108578

【弁理士】

【氏名又は名称】高橋 詔男

(74)【代理人】

【識別番号】100146835

【弁理士】

【氏名又は名称】佐伯 義文

(74)【代理人】

【識別番号】100161506

【弁理士】

【氏名又は名称】川渕 健一

(72)【発明者】

【氏名】廣瀬 啓一

【審査官】 宮司 卓佳

(56)【参考文献】

【文献】 特開２００７−０９４５４８（ＪＰ，Ａ）

【文献】 国際公開第２００９／０８７８０１（ＷＯ，Ａ１）

【文献】 特開２０１０−２３９３６５（ＪＰ，Ａ）

【文献】 特開２０１２−１９４８４６（ＪＰ，Ａ）

(58)【調査した分野】（Int.Cl.，ＤＢ名）

Ｇ０６Ｆ２１／００−２１／８８

(57)【特許請求の範囲】

【請求項1】

携帯端末装置と無線によるネットワークを経由して通信を実行する通信部と、
携帯端末装置から受信したユーザ認証情報に基づいて携帯端末装置のユーザについてのユーザ認証処理を実行するユーザ認証部と、
施設内のユーザの位置を示す位置情報を取得する位置情報取得部と、
ユーザ認証が成立したユーザのアクセス権限を前記位置情報取得部により取得された位置情報に基づいて設定するアクセス権限設定部と、
前記アクセス権限設定部により設定されたアクセス権限にしたがって、ネットワーク上の資源への携帯端末装置のアクセスの可否を制御するアクセス制御部とを備え、
前記アクセス権限設定部は、
ユーザグループ設定要求の受信に応じて、前記ユーザグループ設定要求の送信元の携帯端末装置のユーザの位置情報が示す位置を含む一定範囲の領域に存在することが位置情報によって示されるユーザが属するユーザグループを設定し、前記ユーザグループに属するユーザの間で共有すべき情報が前記ユーザグループに属さないユーザによっては共有されないようにアクセス権限を設定し、
前記アクセス制御部は、
前記ユーザグループに属するユーザの携帯端末装置の間で送受信されるデータが前記ユーザグループに属さないユーザの携帯端末装置からはアクセスできないように制御する
アクセス管理装置。

【請求項2】

ユーザ識別子と施設内の位置との組み合わせごとに対応するアクセス権限を示すユーザ対応アクセス権限情報を記憶するユーザ対応アクセス権限情報記憶部をさらに備え、
前記アクセス権限設定部は、
ユーザ認証が成立したユーザのユーザ識別子と、前記位置情報取得部により取得された位置情報が示す位置との組み合わせに該当するアクセス権限を前記ユーザ対応アクセス権限情報から選択し、選択したアクセス権限を設定する
請求項１に記載のアクセス管理装置。

【請求項3】

ユーザグループに属する複数のユーザのユーザ識別子と施設内の位置との組み合わせごとに対応するアクセス権限を示すユーザグループ対応アクセス権限情報を記憶するユーザグループ対応アクセス権限情報記憶部をさらに備え、
前記アクセス権限設定部は、
ユーザ認証が成立したユーザのユーザ識別子と、前記位置情報取得部により取得された位置情報が示す位置との組み合わせに該当するアクセス権限を前記ユーザグループ対応アクセス権限情報から選択し、選択したアクセス権限を設定する
請求項１または２に記載のアクセス管理装置。

【請求項4】

携帯端末装置から無線によるネットワークを経由して受信したユーザ認証情報に基づいて携帯端末装置のユーザについてのユーザ認証処理を実行するユーザ認証ステップと、
施設内のユーザの位置を示す位置情報を取得する位置情報取得ステップと、
ユーザ認証が成立したユーザのアクセス権限を前記位置情報取得ステップにより取得された位置情報に基づいて設定するアクセス権限設定ステップと、
前記アクセス権限設定ステップにより設定されたアクセス権限にしたがって、ネットワーク上の資源への携帯端末装置のアクセスの可否を制御するアクセス制御ステップとを備え、
前記アクセス権限設定ステップは、
ユーザグループ設定要求の受信に応じて、前記ユーザグループ設定要求の送信元の携帯端末装置のユーザの位置情報が示す位置を含む一定範囲の領域に存在することが位置情報によって示されるユーザが属するユーザグループを設定し、前記ユーザグループに属するユーザの間で共有すべき情報が前記ユーザグループに属さないユーザによっては共有されないようにアクセス権限を設定し、
前記アクセス制御ステップは、
前記ユーザグループに属するユーザの携帯端末装置の間で送受信されるデータが前記ユーザグループに属さないユーザの携帯端末装置からはアクセスできないように制御する
アクセス管理方法。

【請求項5】

コンピュータに、
携帯端末装置から無線によるネットワークを経由して受信したユーザ認証情報に基づいて携帯端末装置のユーザについてのユーザ認証処理を実行するユーザ認証ステップと、
施設内のユーザの位置を示す位置情報を取得する位置情報取得ステップと、
ユーザ認証が成立したユーザのアクセス権限を前記位置情報取得ステップにより取得された位置情報に基づいて設定するアクセス権限設定ステップと、
前記アクセス権限設定ステップにより設定されたアクセス権限にしたがって、ネットワーク上の資源への携帯端末装置のアクセスの可否を制御するアクセス制御ステップと
を実行させるためのプログラムであって、
前記アクセス権限設定ステップは、
ユーザグループ設定要求の受信に応じて、前記ユーザグループ設定要求の送信元の携帯端末装置のユーザの位置情報が示す位置を含む一定範囲の領域に存在することが位置情報によって示されるユーザが属するユーザグループを設定し、前記ユーザグループに属するユーザの間で共有すべき情報が前記ユーザグループに属さないユーザによっては共有されないようにアクセス権限を設定し、
前記アクセス制御ステップは、
前記ユーザグループに属するユーザの携帯端末装置の間で送受信されるデータが前記ユーザグループに属さないユーザの携帯端末装置からはアクセスできないように制御する
プログラム。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、アクセス管理装置、アクセス管理方法及びプログラム。

【背景技術】

【0002】

例えばスマートフォンやタブレット端末などに代表されるように無線通信によりネットワークと接続可能な携帯端末装置が普及してきている。このような携帯端末装置がユーザ認証を必要とするサーバやデバイスなどにアクセスする際には、例えば特許文献１のようにユーザ名とパスワードを利用することが一般的である。

【先行技術文献】

【特許文献】

【0003】

【特許文献1】特開２００６−１０７２７７号公報

【発明の概要】

【発明が解決しようとする課題】

【0004】

上記のような携帯端末装置は、インターネットだけではなく例えば企業などの組織内で閉じられた社内の無線ＬＡＮ（Local Area Network）などのネットワークと接続することも可能である。このために、企業などでも、携帯端末装置の持ち運びやすさなどに注目し、携帯端末装置を社内の無線ＬＡＮと接続して利用することが行われるようになってきている。

【0005】

ただし、社内の無線ＬＡＮに携帯端末装置を接続して利用する環境においては、ユーザのミスや第３者の不正な意図により正規のアクセス権限を有さないユーザの携帯端末装置が社内の無線ＬＡＮと接続されないようにする必要がある。このようなネットワークへの接続には、一般には、特許文献１のようなユーザ名とパスワードによるユーザ認証が行われるのであるが、このようなユーザ認証では、ユーザ名とパスワードが漏洩してしまえば誰もがアクセスできてしまうという側面がある。

【0006】

この点についてのセキュリティを高めるには、例えば、携帯端末装置については、例えば他の据え置き型の端末装置よりもアクセス可能なファイル、アプリケーション、デバイスなどを少なくして、アクセス制限を強化するということが考えられる。
しかし、上記のように制限を強化すると、例えば業務に必要であるのにも関わらず携帯端末装置ではアクセスすることができず、結局、据え置き型の端末装置にまで移動してこれを使用しなければならないというように、かえって不便な状況が生じ得る。つまり、アクセス制限を強化するだけでは、手軽に持ち運んで使用できるという携帯端末装置の利点が損なわれることになり、業務の円滑な進行を妨げることにもつながれる。

【0007】

本発明は、このような事情に鑑みてなされたもので、施設内での携帯端末装置のネットワークへの不正な接続に対するセキュリティを低下させることなく、携帯端末装置がアクセス可能な範囲を適切に設定できるようにするすることを目的とする。

【課題を解決するための手段】

【0008】

上述した課題を解決するために、本発明の一態様としてのアクセス管理装置は、携帯端末装置と無線によるネットワークを経由して通信を実行する通信部と、携帯端末装置から受信したユーザ認証情報に基づいて携帯端末装置のユーザについてのユーザ認証処理を実行するユーザ認証部と、施設内のユーザの位置を示す位置情報を取得する位置情報取得部と、ユーザ認証が成立したユーザのアクセス権限を前記位置情報取得部により取得された位置情報に基づいて設定するアクセス権限設定部と、前記アクセス権限設定部により設定されたアクセス権限にしたがって、ネットワーク上の資源への携帯端末装置のアクセスの可否を制御するアクセス制御部とを備え、前記アクセス権限設定部は、ユーザグループ設定要求の受信に応じて、前記ユーザグループ設定要求の送信元の携帯端末装置のユーザの位置情報が示す位置を含む一定範囲の領域に存在することが位置情報によって示されるユーザが属するユーザグループを設定し、前記ユーザグループに属するユーザの間で共有すべき情報が前記ユーザグループに属さないユーザによっては共有されないようにアクセス権限を設定し、前記アクセス制御部は、前記ユーザグループに属するユーザの携帯端末装置の間で送受信されるデータが前記ユーザグループに属さないユーザの携帯端末装置からはアクセスできないように制御する。

【0010】

また、本発明のアクセス管理装置において、ユーザ識別子と施設内の位置との組み合わせごとに対応するアクセス権限を示すユーザ対応アクセス権限情報を記憶するユーザ対応アクセス権限情報記憶部をさらに備え、前記アクセス権限設定部は、ユーザ認証が成立したユーザのユーザ識別子と、前記位置情報取得部により取得された位置情報が示す位置との組み合わせに該当するアクセス権限を前記ユーザ対応アクセス権限情報から選択し、選択したアクセス権限を設定してもよい。

【0011】

また、本発明のアクセス管理装置において、ユーザグループに属する複数のユーザのユーザ識別子と施設内の位置との組み合わせごとに対応するアクセス権限を示すユーザグループ対応アクセス権限情報を記憶するユーザグループ対応アクセス権限情報記憶部をさらに備え、前記アクセス権限設定部は、ユーザ認証が成立したユーザのユーザ識別子と、前記位置情報取得部により取得された位置情報が示す位置との組み合わせに該当するアクセス権限を前記ユーザグループ対応アクセス権限情報から選択し、選択したアクセス権限を設定してもよい。

【0012】

また、本発明の一態様としてのアクセス管理方法は、携帯端末装置から無線によるネットワークを経由して受信したユーザ認証情報に基づいて携帯端末装置のユーザについてのユーザ認証処理を実行するユーザ認証ステップと、施設内のユーザの位置を示す位置情報を取得する位置情報取得ステップと、ユーザ認証が成立したユーザのアクセス権限を前記位置情報取得ステップにより取得された位置情報に基づいて設定するアクセス権限設定ステップと、前記アクセス権限設定ステップにより設定されたアクセス権限にしたがって、ネットワーク上の資源への携帯端末装置のアクセスの可否を制御するアクセス制御ステップとを備え、前記アクセス権限設定ステップは、ユーザグループ設定要求の受信に応じて、前記ユーザグループ設定要求の送信元の携帯端末装置のユーザの位置情報が示す位置を含む一定範囲の領域に存在することが位置情報によって示されるユーザが属するユーザグループを設定し、前記ユーザグループに属するユーザの間で共有すべき情報が前記ユーザグループに属さないユーザによっては共有されないようにアクセス権限を設定し、前記アクセス制御ステップは、前記ユーザグループに属するユーザの携帯端末装置の間で送受信されるデータが前記ユーザグループに属さないユーザの携帯端末装置からはアクセスできないように制御する。

【0013】

また、本発明の一態様としてのプログラムは、コンピュータに、携帯端末装置から無線によるネットワークを経由して受信したユーザ認証情報に基づいて携帯端末装置のユーザについてのユーザ認証処理を実行するユーザ認証ステップと、施設内のユーザの位置を示す位置情報を取得する位置情報取得ステップと、ユーザ認証が成立したユーザのアクセス権限を前記位置情報取得ステップにより取得された位置情報に基づいて設定するアクセス権限設定ステップと、前記アクセス権限設定ステップにより設定されたアクセス権限にしたがって、ネットワーク上の資源への携帯端末装置のアクセスの可否を制御するアクセス制御ステップとを実行させるためのものであって、前記アクセス権限設定ステップは、ユーザグループ設定要求の受信に応じて、前記ユーザグループ設定要求の送信元の携帯端末装置のユーザの位置情報が示す位置を含む一定範囲の領域に存在することが位置情報によって示されるユーザが属するユーザグループを設定し、前記ユーザグループに属するユーザの間で共有すべき情報が前記ユーザグループに属さないユーザによっては共有されないようにアクセス権限を設定し、前記アクセス制御ステップは、前記ユーザグループに属するユーザの携帯端末装置の間で送受信されるデータが前記ユーザグループに属さないユーザの携帯端末装置からはアクセスできないように制御する。

【発明の効果】

【0014】

以上説明したように、本発明によれば、施設内での携帯端末装置のネットワークへの不正な接続に対するセキュリティを低下させることなく、携帯端末装置がアクセス可能な範囲を適切に設定できるようになるという効果が得られる。

【図面の簡単な説明】

【0015】

【図1】本実施形態におけるネットワークシステムの構成例を示す図である。

【図2】施設における領域の区画例を示す図である。

【図3】本実施形態における携帯端末装置の構成例を示す図である。

【図4】本実施形態におけるアクセス管理装置の構成例を示す図である。

【図5】本実施形態におけるユーザ情報記憶部の構成例を示す図である。

【図6】本実施形態におけるユーザ個別情報テーブルの構造例を示す図である。

【図7】本実施形態におけるユーザグループ情報テーブルの構造例を示す図である。

【図8】本実施形態における認証状況情報の構造例を示す図である。

【図9】本実施形態におけるアクセス権限情報記憶部の構成例を示す図である。

【図10】本実施形態におけるアクセスクラステーブルの内容例を示す図である。

【図11】本実施形態におけるユーザ対応アクセス権限情報の内容例を示す図である。

【図12】第１の実施形態におけるアクセス管理装置が実行する処理手順例を示す図である。

【図13】第２の実施形態におけるアクセス管理装置が実行する処理手順例を示す図である。

【発明を実施するための形態】

【0016】

＜第１の実施形態＞
［ネットワークシステムの構成例］
図１は、本実施形態のアクセス管理装置を含むネットワークシステムの構成例を示している。
この図における施設ＦＣは、例えば建物の屋内であり、或る企業が使用している。この施設ＦＣ内においては、例えばこの企業で業務を行うユーザＹがそれぞれ携帯端末装置１００を携帯している。
携帯端末装置１００は、例えば無線によるネットワークの１つである無線ＬＡＮ（Local Area Network）に対応する無線通信機能を有している。携帯端末装置１００は、この無線通信機能により施設ＦＣ内に備えられた無線ＬＡＮ基地局３１０と無線による通信を実行する。これにより、施設ＦＣ内における無線ＬＡＮを含んで構築されたクローズドのネットワーク上に接続されるデバイス（他の携帯端末装置１００を含む）、サーバなどにアクセスすることができる。

【0017】

また、ユーザＹは、施設ＦＣ内に入場しているときには、位置発信器２１０を所持する。この位置発信器２１０は自己の位置を検出する。
位置発信器２１０は、その所有者であるユーザのユーザＩＤを記憶している。位置発信器２１０は、検出した自己の位置を示す位置情報とともに自己が記憶しているユーザＩＤを位置情報ユニット２２０に送信する。この位置情報は、位置発信器２１０を所有するユーザの位置を示す情報である。
また、位置発信器２１０は、位置検出の動作と、その検出結果である位置情報の送信を例えば予め定められた一定時間ごとに実行する。

【0018】

位置情報ユニット２２０は、受信した位置情報をアクセス管理装置５００に対して所定の通信網を経由して送信する。なお、位置発信器２１０が自己の位置を検出するための手法や方式については特に限定されないが、例えば、ＩＭＥＳ（Indoor MEssaging System）、可視光通信、赤外線通信、無線ＬＡＮ、ＲＦＩＤタグなどを利用した屋内測位のための手法や方式などを採用することができる。
また、この図では、社内の無線ＬＡＮとは異なる通信網により位置情報ユニット２２０とアクセス管理装置５００とが接続された態様を示しているが、例えば、位置情報ユニット２２０とアクセス管理装置５００についても社内の無線ＬＡＮにより接続してよい。

【0019】

また、ユーザＹは、それぞれ、ＩＣ（Integrated Circuit）カード１５０を所持している。このＩＣカード１５０は、例えば施設ＦＣに入退出する際に使用される。つまり、ＩＣカード１５０には、例えば所有者であるユーザのユーザ識別子が書き込まれている。また、施設ＦＣの出入口にはＩＣカードリーダ１６０が設置されている。
ユーザＹが施設ＦＣに入場するとき、このユーザＹが所持するＩＣカード１５０に書き込まれたユーザＩＤがＩＣカードリーダ１６０によって読み込まれる。ＩＣカードリーダ１６０は、例えば読み込んだユーザＩＤに現在時刻（入場時刻）などを付加した入場情報を生成してアクセス管理装置５００に送信する。
また、ユーザＹが施設ＦＣを退出するとき、このユーザＹが所持するＩＣカード１５０に書き込まれたユーザＩＤがＩＣカードリーダ１６０によって読み込まれる。ＩＣカードリーダ１６０は、例えば読み込んだユーザＩＤに現在時刻（退出時刻）などを付加した退出情報を生成してアクセス管理装置５００に送信する。

【0020】

無線ＬＡＮ基地局３１０は、施設ＦＣ内の携帯端末装置１００から送信されたデータを受信すると、無線ＬＡＮ制御装置３２０に転送する。無線ＬＡＮ制御装置３２０は、施設ＦＣにおける無線ＬＡＮ上での経路制御（ルーティング）を実行する。
例えば、無線ＬＡＮ制御装置３２０は、無線ＬＡＮ無線ＬＡＮ基地局３１０から転送されたデータを、再度、無線ＬＡＮ基地局３１０を経由して送信先のデバイスにさらに転送する。また、無線ＬＡＮ制御装置３２０は、例えばアクセス権限を有する携帯端末装置１００がファイルサーバ４００にアクセスする際には、この携帯端末装置１００がファイルサーバ４００と接続されるように経路制御を行う。
ファイルサーバ４００は、例えば、施設ＦＣ内の携帯端末装置１００などが使用するファイルなどの情報を提供するサーバである。

【0021】

アクセス管理装置５００は、施設ＦＣにおける携帯端末装置１００ごとのアクセス権限を設定する。このアクセス権限の設定にあたり、アクセス管理装置５００は、携帯端末装置１００がユーザ認証のために送信するユーザ名（ユーザアカウント）及びパスワードと、携帯端末装置１００の位置を示す位置情報を利用する。

【0022】

［アクセス権限設定例］
図２を参照して、本実施形態のアクセス管理装置５００によるアクセス権限の設定例について説明する。
図２は、施設ＦＣにおける或る１つのフロアを平面方向からみた図である。施設ＦＣは、例えば図示するように、玄関ホール、廊下、事務室１、事務室２、会議室、重役室の６つの部屋と重役室における一部領域である極秘領域との、計７つの領域に区画される。

【0023】

本実施形態においては、施設ＦＣにおいて区画された領域ごとに領域ＩＤを設定する。図２の例では、玄関ホールに領域ＩＤ＝０を設定し、廊下に領域ＩＤ＝１を設定し、事務室１に領域ＩＤ＝２を設定し、事務室２に領域ＩＤ＝３を設定し、会議室に領域ＩＤ＝４を設定し、重役室に領域ＩＤ＝５を設定し、極秘領域に領域ＩＤ＝６を設定している。
また、本実施形態においては、施設ＦＣにおいて区画された領域ごとに、アクセス権限に関する階級（アクセスクラス）を設定する。

【0024】

図２の例では、アクセスクラスは、そのアクセス可能な情報の秘匿性が低い順から高い順に、「public」、「office」、「restricted」、「confidential」、「secret」の５段階が定義されている場合に対応する。
「public」のアクセスクラスは、例えば玄関ホールや廊下などのように、来客などによる部外者も存在する可能性のある公共性の高い領域に対応して設定される。
「office」のアクセスクラスは、例えば事務室１や事務室２などのように、通常の業務が行われるような領域に対応して設定される。このような領域は、業務に関する各種の情報が必要になるので、例えば玄関ホールや廊下などと比較してやりとりされる情報の秘匿性が高くなる。つまり、「office」のアクセスクラスは、「public」よりも秘匿性の高い領域に設定される。
「restricted」のアクセスクラスは、例えば会議室などのように、一般事務以外の特殊な情報もやりとりされる可能性があり、「office」のアクセスクラスが設定された事務室１や事務室２などと比較してさらに秘匿性が高くなる領域に対応して設定される。
「confidential」のアクセスクラスは、例えば重役室などのように、一般の社員には秘密とすべきような企業にとって重要な情報を必要とするような領域に設定される。つまり、「confidential」のアクセスクラスは、例えば「restricted」のアクセスクラスよりも秘匿性が高い領域に設定される。
「secret」のアクセスクラスは、例えば重役室において机が置かれている場所などのように、さらに企業にとって非常に重要な情報を必要とするような領域に設定される。したがって、「secret」のアクセスクラスは、５段階のアクセスクラスのうちで最も秘匿性が高い。

【0025】

そして、アクセス管理装置５００は、ユーザ認証が成立した携帯端末装置１００を所持するユーザＹについて、このユーザＹが存在する位置を含む区画に設定されたアクセスクラスに応じたアクセス権限を設定する。
一例として、アクセス権限について、秘匿性の低い方から高い方にかけてレベル１、レベル２、レベル３、レベル４、レベル５の５段階に設定した場合を例に挙げる。
レベル１は、例えばファイルサーバ４００に記憶されているファイルを例に挙げれば、部外者であっても閲覧が可能な会社案内などの秘匿性がほとんど無いようなファイルのみへのアクセスを許可するレベルのアクセス権限である。
レベル２は、一般の社員が業務などのために使用する秘匿性のあるファイルへのアクセスを許可するレベルのアクセス権限である。
レベル３は、例えば会議などで使用されるようなレベル２よりも秘匿性の高いファイルへのアクセスを許可するレベルのアクセス権限である。
レベル４は、例えば重役などが使用するようなレベル３よりも秘匿性の高いファイルへのアクセスを許可するレベルのアクセス権限である。
レベル５は、例えば社内で最も秘匿性の高いものとして扱われるファイルへのアクセスを許可するレベルのアクセス権限である。
例えばファイルサーバ４００において提供されるファイルや、社内のネットワーク上のノードなどをはじめとする資源に対しては、その秘匿性の高さなどを考慮して、上記のレベル１〜５のうちのいずれかのレベルが設定されている。

【0026】

一例として、アクセス管理装置５００は、重役であるユーザＹには、以下のようにアクセス権限を設定する。
つまり、アクセスクラスが「public」の領域ではレベル１のファイルのみへのアクセスが可能なアクセス権限を設定する。
アクセスクラスが「office」の領域ではレベル１とレベル２のファイルへのアクセスが可能なアクセス権限を設定する。
アクセスクラスが「restricted」の領域ではレベル１とレベル２とレベル３へのアクセスが可能なアクセス権限を設定する。
アクセスクラスが「confidential」の領域では、レベル１とレベル２とレベル３とレベル４のファイルへのアクセスが可能なアクセス権限を設定する。
アクセスクラスが「secret」の領域では、全てのファイルのアクセス権限を設定する。つまり、アクセス管理装置５００は、レベル１とレベル２とレベル３とレベル４とレベル５のファイルへのアクセスが可能なアクセス権限を設定する。そして、アクセス管理装置５００は、上記のように設定されたアクセス権限にしたがって重役のユーザＹの携帯端末装置１００のアクセスの可否を制御する。

【0027】

上記の設定例の場合、アクセスクラスが「public」の領域では、重役の携帯端末装置１００は、レベル１のファイルにしかアクセスできないが、これにより、例えば、アクセスクラスが「public」の領域において重役が部外者と一緒にいるとしても、不用意に極秘のファイルにアクセスしてその情報が漏洩してしまうようなことが防がれる。
そして、重役であるユーザは、秘匿性の高い場所に移動することで、重役の携帯端末装置１００は、その場所のアクセスクラスに応じたレベルのファイルにアクセスできる状態となる。例えば重役室に入室してしまえば、レベル４とレベル５のファイルにアクセスすることができる。

【0028】

また、アクセス管理装置５００は、例えば、或る一般の社員であるユーザには、以下のようにアクセス権限を設定する。
つまり、アクセスクラスが「public」の領域ではレベル１のファイルのみへのアクセスが可能なアクセス権限を設定する。
アクセスクラスが「office」の領域ではレベル１とレベル２のファイルへのアクセスが可能なアクセス権限を設定する。これにより、社員の携帯端末装置１００は、社員が事務室１または２に居れば、通常業務に必要なファイルへのアクセスが可能である。
アクセスクラスが「restricted」の領域ではレベル１とレベル２とレベル３のファイルへのアクセスが可能なアクセス権限を設定する。これにより、社員の携帯端末装置１００は、例えば会議室での会議中においては、レベル３のファイルにもアクセスできる。
アクセスクラスが「confidential」の領域では、レベル１とレベル２のファイルへのアクセスが可能なアクセス権限を設定する。つまり、一般の社員の携帯端末装置１００は、重役室であっても、レベル４のファイルにはアクセスできない。また、社員が「confidential」のアクセスクラスの領域に居るということは、会議室には居ないということになるので、社員の携帯端末装置１００は、レベル３のファイルについてもアクセスできない。
アクセスクラスが「secret」の領域においても、アクセスクラスが「confidential」の領域の場合と同様の理由により、レベル１とレベル２のファイルへのアクセスが可能なアクセス権限を設定する。

【0029】

このように、本実施形態においては、ユーザ認証が成立した携帯端末装置１００のユーザについては、そのユーザが位置する施設ＦＣ内の区画での秘匿性に応じて、施設ＦＣ内のネットワーク上でのアクセス権限が設定される。これにより、本実施形態においては、施設内での携帯端末装置のネットワークへの接続に関するセキュリティを低下させることなく、ユーザのアクセス権限が適切に設定される。
そのうえで、本実施形態においては、上記したように、例えばユーザＹごとに、同じアクセスクラスであっても、それぞれに異なる内容のアクセス権限を設定することができる。これにより、例えば、同じ施設ＦＣにおける複数のユーザＹごとに、その地位や業務内容などに応じて、領域ごとに適切なアクセス権限を設定することが可能となり、セキュリティを維持した上での業務の円滑化をさらに推し進めることができる。

【0030】

［携帯端末装置の構成例］
図３を参照して、携帯端末装置１００の構成例について説明する。
この図に示す携帯端末装置１００は、通信部１０１、制御部１０２、ユーザ認証情報記憶部１０３、操作部１０４及び表示部１０５を備える。
通信部１０１は、無線ＬＡＮ経由で社内ネットワークに接続される他のデバイスやサーバなどと通信を実行する。

【0031】

制御部１０２は、携帯端末装置１００における各種の制御を実行する。なお、制御部１０２としての機能は、例えばＣＰＵ（Central Processing Unit）がプログラムを実行することにより実現できる。
ユーザ認証情報記憶部１０３は、携帯端末装置１００がユーザ認証を受けるためにアクセス管理装置５００に送信するユーザ認証情報を記憶する。ユーザ認証情報は、例えば、携帯端末装置１００のユーザのユーザ名とパスワードを含む。

【0032】

例えば、社内の無線ＬＡＮからログアウトした状態の携帯端末装置１００を所持しながらユーザが施設ＦＣに入場すると、例えば携帯端末装置１００の通信部１０１は無線ＬＡＮ基地局３１０をアクセスポイントとする社内の無線ＬＡＮを検知する。そこで、制御部１０２は、ユーザ認証情報記憶部１０３からユーザ認証情報を読み出し、読み出したユーザ認証情報を含めたユーザ認証要を通信部１０１から送信する。無線ＬＡＮ制御装置３２０は、携帯端末装置１００から送信されたユーザ認証要求を無線ＬＡＮ基地局３１０経由で受信してアクセス管理装置５００に転送する。アクセス管理装置５００は、受信したユーザ認証要求に含まれるユーザ認証情報を利用してユーザ認証処理を実行する。

【0033】

操作部１０４は、携帯端末装置１００に対して備えられる操作子や操作デバイスを一括して示したものである。例えば、携帯端末装置１００が表示部１０５と一体化されたタッチパネルを備える場合には、このタッチパネルも操作部１０４に含まれる。
表示部１０５は、その画面が携帯端末装置１００に表出されるように設けられる。表示部１０５は、制御部１０２の制御に応じて画像を表示する。

【0034】

［アクセス管理装置の構成例］
次に、図４を参照してアクセス管理装置５００の構成例について説明する。
図４に示すアクセス管理装置５００は、位置情報サーバ５１０と認証サーバ５２０とを備える。
位置情報サーバ５１０は、位置情報ユニット２２０から送信される携帯端末装置１００の位置情報を取得する。位置情報サーバ５１０は、位置情報取得部５１１、位置情報送信部５１２及び位置履歴記憶部５１３を備える。

【0035】

位置情報取得部５１１は、施設ＦＣ内のユーザＹの位置を示す位置情報を取得する。つまり、位置情報ユニット２２０は、位置発信器２１０との通信により取得したユーザＹの位置情報をユーザＩＤとともに位置情報サーバ５１０に送信する。位置情報取得部５１１は、このように送信された位置情報を取得し、位置情報送信部５１２に受け渡す。
位置情報送信部５１２は、位置情報取得部５１１から受け渡された位置情報を認証サーバ５２０に送信する。

【0036】

また、位置情報取得部５１１は、取得した位置情報の履歴をユーザＩＤごとに対応付けて位置履歴記憶部５１３に記憶させる。
位置履歴記憶部５１３は、例えばユーザＩＤごとに対応させて位置情報取得部５１１が取得した位置情報の履歴（位置履歴情報）を記憶する。

【0037】

また、位置情報取得部５１１は、ＩＣカードリーダ１６０がＩＣカード１５０との通信により取得した施設ＦＣにおけるユーザＹごとの入場情報または退出情報を受信する。これらの入場情報及び退出情報も、ユーザＹが施設ＦＣ内に存在するか否かを示す位置情報として扱うことができる。
位置情報取得部５１１は、取得したユーザＹの入場情報及び退出情報についても、そのユーザＩＤに対応付けられた位置履歴情報に含めるように位置履歴記憶部５１３に記憶させる。
位置情報送信部５１２は、アクセス管理装置５００からの要求に応じて、適宜、位置履歴記憶部５１３に記憶されている位置履歴情報を認証サーバ５２０に送信する。

【0038】

認証サーバ５２０は、携帯端末装置１００との間でのユーザ認証と、ユーザ認証が成立した携帯端末装置１００のユーザの位置情報に基づくアクセス権限の設定とを実行する。
このために、認証サーバ５２０は、通信部５２１、ユーザ認証部５２２、ユーザ情報記憶部５２３、認証状況情報記憶部５２４、アクセス権限設定部５２５、アクセス権限情報記憶部５２６、アクセス権限設定情報記憶部５２７及びアクセス制御部５２８を備える。

【0039】

通信部５２１は、社内の無線ＬＡＮ経由で携帯端末装置１００と通信を実行する。なお、通信部５２１が施設ＦＣ内の携帯端末装置１００と通信を行うにあたっては、図２に示す無線ＬＡＮ制御装置３２０を経由する。

【0040】

ユーザ認証部５２２は、携帯端末装置１００から受信したユーザ認証情報に基づいて携帯端末装置１００のユーザについてのユーザ認証処理を実行する。
携帯端末装置１００が送信したユーザ認証要求は通信部５２１にて受信される。ユーザ認証部５２２は、このユーザ認証要求の受信に応答して、例えば以下のようにユーザ認証処理を実行する。
つまり、ユーザ認証部５２２は、ユーザ情報記憶部５２３に記憶されているユーザ情報のうちで、ユーザ認証要求に含まれるユーザ名及びパスワードの組み合わせと一致するユーザ情報が存在するか否かについて判定することにより認証を行う。なお、携帯端末装置１００は、ユーザ認証情報を暗号化して送信することがセキュリティ上好ましい。このようにユーザ認証情報が暗号化されている場合、ユーザ認証部５２２は、受信したユーザ認証情報の暗号化を複合してからユーザ認証処理を実行する。

【0041】

ユーザ情報記憶部５２３は、ユーザ情報を記憶する。また、本実施形態における社内のネットワークにおいては、２以上のユーザによるユーザグループを登録することができる。ユーザ情報記憶部５２３は、ユーザ情報として、個人のユーザごとのユーザ情報を格納するユーザ個別情報テーブルと、ユーザグループ単位の情報であるユーザグループ情報を格納するユーザグループ情報テーブルとを記憶する。

【0042】

図５は、ユーザ情報記憶部５２３の構成例を示している。この図に示すように、ユーザ情報記憶部５２３は、例えばユーザ個別情報テーブル記憶部５３１とユーザグループ情報テーブル記憶部５３２とを備える。
ユーザ個別情報テーブル記憶部５３１は、ユーザ個別情報テーブルを記憶する。
ユーザグループ情報テーブル記憶部５３２は、ユーザグループ情報テーブルを記憶する。

【0043】

図６は、ユーザ個別情報テーブル記憶部５３１が記憶するユーザ個別情報テーブルの構造例を示している。
この図に示すように、ユーザ個別情報テーブルは、個人のユーザごとに対応して、ユーザＩＤと認証情報とを対応付けたユーザ個別情報を格納する。
ユーザＩＤは、ユーザＹを一意に識別する識別子である。
認証情報は、ユーザごとに対応して予め登録されたユーザ名、パスワードなどを含む情報である。ユーザ認証部５２２は、このユーザ個別情報テーブルにおける認証情報のうちから、ユーザ認証要求とともに受信した認証情報と一致するものを検索する。ユーザ個別情報テーブルにおいて、一致する認証情報があれば認証が成立し、一致する認証情報が無ければ認証は不成立である。

【0044】

図７は、ユーザグループ情報テーブル記憶部５３２が記憶するユーザグループ情報テーブルの構造例を示している。
ユーザグループ情報テーブルは、登録されたユーザグループごとに対応して、ユーザグループＩＤと所属ユーザとユーザグループ指定とを含むユーザグループ情報を格納する。
ユーザグループＩＤは、ユーザグループを一意に識別する識別子である。
所属ユーザは、対応のユーザグループに属するユーザのユーザＩＤを示す。
ユーザグループ指定は、現在においてそのユーザグループに対応するアクセス権限の設定が有効であるか否かを示す。ユーザグループ指定が無効を示している場合、そのユーザグループに属するユーザＹにはユーザ個別のアクセス権限を設定する。ユーザグループ指定が有効を示している場合、そのユーザグループに属するユーザには、ユーザグループに対応するアクセス権限を設定する。
ユーザグループ指定は、例えば、ユーザグループの有効、無効についての設定権限を有するユーザＹが携帯端末装置１００の操作により、その有効、無効が設定されるようにすればよい。

【0045】

図４において、認証状況情報記憶部５２４は、現在におけるユーザＹごとのユーザ認証の成立状況を示すユーザ認証状況情報を記憶する。
ユーザ認証部５２２は、ユーザ認証が成立すると、その認証が成立したユーザについての認証成立ユーザ情報を生成する。この認証成立ユーザ情報は、ユーザ個別情報テーブルから読み出したユーザＩＤと、ユーザ認証要求の送信元の携帯端末装置１００の端末ＩＤと、認証が成立した時刻（ログイン時刻）とを有する。
そして、ユーザ認証部５２２は、このように生成した認証成立ユーザ情報を認証状況情報記憶部５２４に追加登録する。

【0046】

図８は、認証状況情報記憶部５２４が記憶する認証状況情報の構造例を示している。この図に示すように、認証状況情報は、現在において認証が成立しているユーザごとのユーザＩＤに端末ＩＤとログイン時刻などを対応付けた認証成立ユーザ情報を格納する。端末ＩＤの属性は、対応のユーザについてのユーザ認証情報の送信元の携帯端末装置１００の端末ＩＤを示す。ログイン時刻の属性は、例えば認証が成立した時刻を示す。

【0047】

ユーザ認証部５２２は、例えば携帯端末装置１００からのログアウト要求やログイン後におけるタイムアウトなどに応じて、ログアウトしたユーザに対応する認証成立ユーザ情報を認証状況情報記憶部５２４から削除する。これにより、認証状況情報記憶部５２４においては、常に、現在において社内のネットワークにログイン中の携帯端末装置１００のユーザの認証成立ユーザ情報のみが格納される。つまり、認証状況情報は、社内のネットワークにログイン中のユーザを示す情報である。

【0048】

図４において、アクセス権限設定部５２５は、ユーザ認証が成立したユーザのアクセス権限を位置情報取得部５１１により取得された位置情報に基づいて設定する。この際、アクセス権限設定部５２５は、アクセス権限情報記憶部５２６に記憶される情報を利用する。

【0049】

図９は、アクセス権限情報記憶部５２６の構成例を示している。この図に示すアクセス権限情報記憶部５２６は、アクセスクラステーブル記憶部５４１、ユーザ対応アクセス権限情報記憶部５４２及びユーザグループ対応アクセス権限情報記憶部５４３を備える。
アクセスクラステーブル記憶部５４１は、アクセスクラステーブルを記憶する。アクセセスクラステーブルは、図２に例示した施設ＦＣにおいて区画された領域ごとに設定したアクセスクラスを示すテーブルである。アクセスクラスは、例えば秘匿性の高さに応じて設定したアクセス権限の階級（クラス）である。

【0050】

図１０は、アクセスクラステーブル記憶部５４１が記憶するアクセスクラステーブルの内容例を示している。
この図に示すアクセスクラステーブルは、図２の施設ＦＣにおいて区画された７つの領域ごとのアクセスクラスを示している。アクセスクラステーブルにおける1つのレコードが１つの区画についての設定内容を示しており、１つのレコードは、領域名と領域ＩＤと領域範囲とアクセスクラスの属性を含む。
領域名の属性は、対応の領域の名称を示す。領域ＩＤの属性は、対応の領域に付された領域ＩＤを示す。領域範囲の属性は、対応の領域についての施設ＦＣにおける物理的な範囲を示す。この領域範囲の示し方については多様に考えられる。一例として、各領域の平面方向における形状が四角形である場合に対応しては、図２に示すように施設ＦＣのフロアの平面方向についてＸ軸とＹ軸を対応させる。そのうえで、各領域の平面形状である四角形の４つの頂点のＸ，Ｙ座標により領域の物理的範囲を示すことができる。
アクセスクラスの属性は、対応の領域に設定されたアクセスクラスが何であるのかを示す。

【0051】

図１０のアクセスクラステーブルの内容は、図２にて例に挙げた設定内容に対応している。
つまり、玄関ホールの領域には領域ＩＤ＝０が設定されるとともに、アクセスクラスとしては「public」が設定されている。廊下の領域には領域ＩＤ＝１が設定されるとともに、アクセスクラスとして「public」が設定されている。事務室１の領域には領域ＩＤ＝２が設定されるとともに、アクセスクラスとして「office」が設定されている。事務室２の領域には領域ＩＤ＝３が設定されるとともに、アクセスクラスとして「office」が設定されている。会議室の領域には領域ＩＤ＝４が設定されるとともに、アクセスクラスとして「restricted」が設定されている。重役室の領域には領域ＩＤ＝５が設定されるとともに、アクセスクラスとして「confidential」が設定されている。極秘領域の領域には領域ＩＤ＝６が設定されるとともに、アクセスクラスとして「secret」が設定されている。

【0052】

次に、図９において、ユーザ対応アクセス権限情報記憶部５４２は、ユーザ対応アクセス権限情報を記憶する。ユーザ対応アクセス権限情報は、個人のユーザについてアクセスクラスごとに設定したアクセス権限の内容を示す。

【0053】

図１１は、ユーザ対応アクセス権限情報の内容例を示している。この図に示すユーザ対応アクセス権限情報は、ユーザＩＤごとに、「public」、「office」、「restricted」、「confidential」、「secret」の各アクセスクラスに対応するアクセス権限の内容が示されている。
図１１において、ユーザＩＤが「００００」のユーザＹは、図２にて説明した一般の社員に対応する設定内容を示している。
つまり、「public」のアクセスクラスに対応するアクセス権限は、レベル１のファイルにアクセス可能であることを示している。
「office」のアクセスクラスに対応するアクセス権限は、レベル１とレベル２のファイルにアクセス可能であることを示している。
「restricted」のアクセスクラスに対応するアクセス権限は、レベル１とレベル２とレベル３のファイルにアクセス可能であることを示している。
「confidential」のアクセスクラスに対応するアクセス権限は、レベル１とレベル２のファイルにアクセス可能であることを示している。
「secret」のアクセスクラスに対応するアクセス権限は、レベル１とレベル２のファイルにアクセス可能であることを示している。

【0054】

また、図１１において、ユーザＩＤが「０００１」のユーザＹは、図２にて説明した重役の社員に対応する設定内容を示している。
つまり、「public」のアクセスクラスに対応するアクセス権限は、レベル１のファイルにアクセス可能であることを示している。
「office」のアクセスクラスに対応するアクセス権限は、レベル１とレベル２のファイルにアクセス可能であることを示している。
「restricted」のアクセスクラスに対応するアクセス権限は、レベル１とレベル２とレベル３のファイルにアクセス可能であることを示している。
「confidential」のアクセスクラスに対応するアクセス権限は、レベル１とレベル２とレベル３とレベル４のファイルにアクセス可能であることを示している。
「secret」のアクセスクラスに対応するアクセス権限は、レベル１とレベル２とレベル３とレベル４とレベル５のファイルにアクセス可能であることを示している。

【0055】

このように、本実施形態においては、施設ＦＣにおいて区画された領域ごとに共通のアクセスクラスを定義したうえで、ユーザ対応アクセス権限情報においてユーザごとにアクセスクラスに対して異なるアクセス権限の内容を設定することができる。これにより、ユーザの企業内での地位や状況などに応じて高い自由度で、領域ごとに応じたアクセス権限を設定することができる。

【0056】

次に、図９における、ユーザグループ対応アクセス権限情報記憶部５４３は、ユーザグループ対応アクセス権限情報を記憶する。ユーザグループ対応アクセス権限情報は、ユーザグループについてアクセスクラスごとに設定したアクセス権限の内容を示す。
ユーザグループ対応アクセス権限情報の構造は、例えば図１１に示したユーザ対応アクセス権限情報に準ずればよい。つまり、図１１の構造において、ユーザＩＤに代えて、ユーザグループごとに設定されたユーザグループＩＤを格納する。そして、１つのユーザグループＩＤに対応させて、例えば「public」、「office」、「restricted」、「confidential」、「secret」の各アクセスクラスに対応するアクセス権限の内容を格納すればよい。
このように、ユーザグループ対応アクセス権限情報においても、ユーザごとにアクセスクラスに対して異なるアクセス権限の内容を設定することで、ユーザグループごとに応じて高い自由度で、領域ごとに応じたアクセス権限を設定することができる。

【0057】

例えば、ユーザＩＤが「００００」のユーザＹについてのユーザ認証が成立している状態において、このユーザＹの位置発信器２１０が位置情報を送信すると、この位置情報が位置情報取得部５１１にて取得される。
アクセス権限設定部５２５は、位置情報取得部５１１にてユーザＹの位置情報が取得されるのに応じて、アクセスクラステーブル記憶部５４１に記憶されるアクセスクラステーブルを参照する。これにより、アクセス権限設定部５２５は、取得された位置情報が示す位置を含む施設ＦＣ内の領域を特定するともに、特定した領域に対応付けられたアクセスクラスを特定する。
次に、アクセス権限設定部５２５は、ユーザ対応アクセス権限情報記憶部５４２に記憶されるユーザ対応アクセス権限情報において、ユーザＩＤが「００００」に対応するアクセスクラスのうちで、上記のように特定したアクセスクラスに対応付けられているアクセス権限を選択する。アクセス権限設定部５２５は、このように選択したアクセス権限を設定結果とする。

【0058】

また、ユーザグループ対応のアクセス権限を設定する場合、アクセス権限設定部５２５は、ユーザ対応アクセス権限情報に代えて、ユーザグループ対応アクセス権限情報記憶部５４３に記憶されるユーザグループ対応アクセス権限情報を参照する。これにより、ユーザＹに対しては、ユーザ個別に対応するアクセス権限ではなく、そのユーザＹが属するユーザグループに対応するアクセス権限が設定される。

【0059】

なお、図１１に示すユーザ対応アクセス権限情報は、アクセス権限によりアクセスの可否が設定されるネットワーク上のリソース（資源）としてファイルを例に挙げている。しかし、アクセス権限によりアクセスの可否が設定されるネットワーク上のリソースとしては、ファイルだけに限定されるものではなく、例えば、サーバ、ルータ、各種機器などのノード単位でアクセスの可否が設定されてもよい。また、社内の無線ＬＡＮ自体へのリンクの可否が設定されてもよい。

【0060】

また、ユーザＹに対してユーザ個別のアクセス権限とユーザグループ対応のアクセス権限のいずれを設定するのかについては以下のように決定すればよい。
つまり、アクセス権限設定部５２５は、アクセス権限設定対象のユーザのユーザＩＤが属するユーザグループがいずれであるのかを、図７のユーザグループ情報を参照して特定する。そして、アクセス権限設定部５２５は、ユーザグループ情報において特定したユーザグループに対応付けられているユーザグループ指定の属性を参照する。参照したユーザグループ指定が「無効」を示していればユーザ個別のアクセス権限を設定し、「有効」を示していればユーザグループ対応のアクセス権限を設定する。

【0061】

アクセス権限設定部５２５は、上記のように設定したアクセス権限をアクセス権限設定情報記憶部５２７に記憶させる。
アクセス権限設定情報記憶部５２７は、アクセス権限設定部５２５により設定されたユーザごとのアクセス権限の内容を記憶する。

【0062】

アクセス制御部５２８は、アクセス権限設定部５２５により設定されたアクセス権限にしたがって、ネットワーク上の資源への携帯端末装置１００のアクセスの可否を制御する。
例えば、或る携帯端末装置１００が現在設定されているアクセス権限によってはアクセス不可のファイルにアクセスするためのアクセス要求を行ったとする。このアクセス要求は、例えば無線ＬＡＮ基地局３１０から無線ＬＡＮ制御装置３２０を経由してアクセス管理装置５００に転送される。

【0063】

アクセス管理装置５００においてこのアクセス要求が受信されるのに応じて、アクセス制御部５２８は、このアクセス要求に応答してアクセスを許可すべきか禁止すべきかを判定する。
このために、アクセス制御部５２８は、認証状況情報記憶部５２４に記憶される認証状況情報を参照することにより、今回のアクセス要求送信元の携帯端末装置１００のユーザＹのユーザＩＤを特定する。次に、アクセス制御部５２８は、アクセス権限設定情報記憶部５２７を参照して、特定したユーザＩＤについて設定されているアクセス権限の内容を認識する。そして、アクセス制御部５２８は、今回受信されたアクセス要求が、上記のように認識されたアクセス権限に該当するか否かについて判定する。

【0064】

例えば、このアクセス要求がファイルに対するアクセス要求である場合、アクセス制御部５２８は、このファイルに設定されているのと同じレベルのファイルへのアクセスが可能であることが、アクセス権限の内容に示されているか否かについて判定する。アクセス可能であることがアクセス権限の内容に示されていれば、アクセス制御部５２８は、アクセスを許可すべきと判定する。
一方、アクセス可能であることがアクセス権限の内容に示されていなければ、アクセスを禁止すべきと判定する。
具体的に、アクセス権限設定部５２５によりレベル１、２、３のファイルのアクセスが可能であると設定されている状態において、アクセス要求されたファイルにはレベル３が設定されているとする。この場合のアクセス制御部５２８は、アクセスを許可すべきと判定する。
一方、同じくアクセス権限設定部５２５によりレベル１、２、３のファイルのアクセスが可能であると設定されている状態において、アクセス要求されたファイルにはレベル４が設定されているとする。この場合のアクセス制御部５２８は、アクセスを禁止すべきと判定する。

【0065】

アクセス制御部５２８は、アクセスを禁止すべきと判定した場合には、今回受信したアクセス要求を破棄する。これにより、アクセス要求に応答したファイルの転送は行われず、アクセスが制限される。
一方、アクセス制御部５２８は、アクセスを許可すべきと判定した場合には、今回受信したアクセス要求を無線ＬＡＮ制御装置３２０からアクセス要求先に転送させる。これにより、アクセス要求に応答したデータが要求元の携帯端末装置１００に送信され、アクセスが行われることとなる。
このようにアクセス制御部５２８は、例えばアクセス要求に応じてアクセスの可否を判定し、その判定結果に応じた制御を実行する。これにより、アクセス制御部５２８は、アクセス権限設定部５２５により設定されたアクセス権限にしたがった携帯端末装置１００ごとのアクセス制限を実現することができる。

【0066】

［処理手順例］
図１２は、第１の実施形態におけるアクセス管理装置５００が実行する処理手順例を示している。
まず、ユーザ認証部５２２は、携帯端末装置１００から送信されたユーザ認証要求が受信されるのを待機している（ステップＳ１０１−ＮＯ）。
ユーザ認証要求が通信部５２１にて受信されるのに応じて（ステップＳ１０１−ＹＥＳ）、ユーザ認証部５２２は、今回のステップＳ１０１により受信したユーザ認証要求に含まれるユーザ名とパスワードを利用したユーザ認証処理を実行する（ステップＳ１０２）。
このユーザ認証処理においては、例えばユーザ情報記憶部５２３に記憶されるユーザ情報のうちで、ユーザ認証要求に含まれるユーザ名及びパスワードの組み合わせと一致するユーザ情報が有れば認証が成立する。一方、ユーザ認証要求に含まれるユーザ名及びパスワードの組み合わせと一致するユーザ情報がユーザ情報記憶部５２３に無ければ認証は不成立である。

【0067】

ユーザ認証部５２２は、ステップＳ１０２によるユーザ認証処理の結果、認証が成立したか否かについて判定する（ステップＳ１０３）。
認証が不成立である場合（ステップＳ１０３−ＮＯ）、今回のユーザ認証要求に応じた認証成立ユーザ情報は認証状況情報記憶部５２４に登録されない。アクセス権限設定部５２５は、認証状況情報記憶部５２４に認証成立ユーザ情報が記憶されていないユーザＹについては、社内の無線ＬＡＮへのアクセス権限が無いものとして設定する（ステップＳ１０９）。つまり、この場合には、ログアウトしたままの状態が維持される。ステップＳ１０９の処理を終了した後、アクセス権限設定部５２５は、ステップＳ１０１に処理を戻す。

【0068】

一方、認証が成立した場合（ステップＳ１０３−ＹＥＳ）、ユーザ認証部５２２は、今回のユーザ認証要求に応じた認証成立ユーザ情報を認証状況情報記憶部５２４に登録する。認証状況情報記憶部５２４に認証成立ユーザ情報が登録されているということは、そのユーザＹがログインしていることを示す。
これに伴い、アクセス権限設定部５２５は、認証状況情報記憶部５２４に認証成立ユーザ情報が記憶されることとなったユーザＹをアクセス権限設定対象とする。

【0069】

アクセス権限設定部５２５は、アクセス権限設定対象のユーザＹにアクセス権限を設定するにあたり、そのユーザＹが現在において施設ＦＣ内に入場中であるか否かについて判定する（ステップＳ１０４）。
このために、アクセス権限設定部５２５は、位置履歴記憶部５１３に記憶される位置履歴情報のうち、アクセス権限設定対象のユーザに対応するユーザＩＤの位置履歴情報を位置情報送信部５１２から取得する。アクセス権限設定部５２５は、取得した位置履歴情報に入場記録が有れば入場中であると判定する。一方、取得した位置履歴情報に入場記録が無ければ入場中ではないと判定する。

【0070】

アクセス権限設定対象のユーザＹが入場中ではないと判定した場合（ステップＳ１０４−ＮＯ）、アクセス権限設定対象のユーザＹが携帯端末装置１００をログインの状態としたまま施設ＦＣを退出した可能性がある。あるいは、アクセス権限設定対象のユーザＹとは異なる者が不正にログインしようとしている可能性がある。
このような場合、アクセス権限設定部５２５は、今回のユーザ認証要求を行ったユーザについては社内の無線ＬＡＮへのアクセス権限が無いものとして設定する（ステップＳ１０９）。これにより、以降において、今回のユーザ認証要求の送信元の携帯端末装置１００は、無線ＬＡＮと接続することができなくなる。これは、例えば社内のネットワークからログアウトした状態に相当する。

【0071】

一方、ユーザ認証要求を行ったユーザＹが入場中であると判定した場合（ステップＳ１０４−ＹＥＳ）、アクセス権限設定部５２５は、アクセス権限設定対象のユーザＹの位置情報が一定時間以内に受信できたか否かについて判定する（ステップＳ１０５）。
位置情報が一定時間以内に受信されなかった場合（ステップＳ１０５−ＮＯ）、ユーザ認証を行ったユーザＹが、位置発信器２１０を所持し忘れている可能性がある。あるいは、位置発信器２１０を所持することのできない部外者などの不正な者である可能性がある。
この場合のアクセス権限設定部５２５は、無線ＬＡＮへのアクセス権限が無いものとして設定する（ステップＳ１０９）。

【0072】

一方、位置情報が一定時間以内に受信された場合（ステップＳ１０５−ＹＥＳ）、アクセス権限設定部５２５は、さらに、現在において、アクセス権限設定対象のユーザＹについてユーザグループ対応のアクセス権限の設定が有効であるか否かについて判定する（ステップＳ１０６）。
この判定にあたり、アクセス権限設定部５２５は、前述したように、図７のユーザグループ情報を参照して、アクセス権限対象のユーザＹが属するユーザグループに対付けられたユーザグループ指定の属性が「有効」と「無効」のいずれを示しているかについて判定すればよい。

【0073】

ユーザグループ対応のアクセス権限の設定が無効である場合（ステップＳ１０６−ＮＯ）、アクセス権限設定部５２５は、ユーザ個別のアクセス権限を設定する（ステップＳ１０７）。つまり、アクセス権限設定部５２５は、アクセスクラステーブル記憶部５４１に記憶されるアクセスクラステーブルと、ユーザ対応アクセス権限情報記憶部５４２に記憶されるユーザ対応アクセス権限情報を参照してアクセス権限を設定する。
一方、ユーザグループ対応のアクセス権限の設定が有効である場合（ステップＳ１０６−ＹＥＳ）、アクセス権限設定部５２５は、ユーザグループ対応のアクセス権限を設定する（ステップＳ１０８）。つまり、アクセス権限設定部５２５は、アクセスクラステーブル記憶部５４１に記憶されるアクセスクラステーブルと、ユーザグループ対応アクセス権限情報記憶部５４３に記憶されるユーザグループ対応アクセス権限情報を参照してアクセス権限を設定する。
ステップＳ１０７またはＳ１０８の処理を終了した後、アクセス権限設定部５２５は、ステップＳ１０４に処理を戻す。

【0074】

＜第２の実施形態＞
［概要］
続いて、第２の実施形態について説明する。
第１の実施形態においては、図７のユーザグループ情報テーブルにより予めユーザグループが登録されている。この環境のもとで、例えばグループメンバーからの要求に応じてユーザグループ対応のアクセス権限の設定が有効化されるのに応じて、アクセス権限設定部５２５が、そのユーザグループに属するユーザＹについてユーザグループ対応のアクセス権限を設定していた。

【0075】

これに対して、第２の実施形態においては、施設ＦＣにおける任意の場所に集まった複数のユーザによる一時的なユーザグループ（一時ユーザグループ）を設定することができる。これにより、例えば、ユーザグループ情報に登録する手間をかけることなく、施設ＦＣにおいて緊急に同じ場所に集まった複数のユーザによるユーザグループを設定することができる。
そして、このように一時ユーザグループを設定することによっては、一時ユーザグループに属するユーザＹの携帯端末装置１００の間で送受信される情報が、一時ユーザグループに属さないユーザにより受信されないように社内のネットワーク上での経路制御が行われる。

【0076】

第２の実施形態における一時ユーザグループは、一例として、以下のような状況において設定することにより有効に機能する。
例えば、施設ＦＣにおける或る場所にて緊急にミーティングが開かれることになり、この場所におけるテーブルなどに数人のユーザＹがミーティングメンバーとして集まっている。このミーティングでは、ミーティングメンバーの携帯端末装置１００間で送受信したいデータがあるが、このデータはミーティングメンバー以外のユーザＹの携帯端末装置１００からはアクセスされたくない。しかし、今回のミーティングメンバーに対応するユーザグループについては、ユーザグループ情報に登録していない。
そこで、上記のような状況においてミーティングメンバーによる一時ユーザグループを設定する。一時ユーザグループを設定するにあたっては、例えば、ミーティングメンバーのうちの何れか１名のユーザＹが、携帯端末装置１００を操作して一時ユーザグループ設定要求をアクセス管理装置５００に対して送信すればよい。

【0077】

アクセス管理装置５００は、一時ユーザグループ設定要求の受信に応答して、一時ユーザグループを設定する。
このために、アクセス管理装置５００は、まず、一時ユーザグループ設定要求の送信元の携帯端末装置１００のユーザＹ（基準ユーザ）の位置を認識し、この位置を基準位置とする。次に、アクセス管理装置５００は、この基準位置から一定範囲（一時ユーザグループ有効範囲）に位置しているユーザＹ（基準ユーザを含む）を一時ユーザグループに属するユーザとして設定する。
このように、一時ユーザグループは、一時ユーザグループ設定要求の送信元の携帯端末装置のユーザの位置情報が示す位置を含む一定範囲の領域に存在することが位置情報によって示されるユーザが属する一時的なユーザグループとして設定される。
なお、一時ユーザグループ有効範囲の広さについては、上記のように予め固定的に定められていてもよいし、例えば一時ユーザグループ設定要求の送信時にユーザが設定できるようにしてもよい。

【0078】

上記のように一時ユーザグループに属するユーザを設定すると、アクセス管理装置５００は、一時ユーザグループ対応の経路制御を実行する。つまり、アクセス管理装置５００は、一時ユーザグループに属するユーザの携帯端末装置１００間で送受信するデータについては、他のユーザＹの携帯端末装置１００がアクセスできないように経路制御を実行する。これにより、施設ＦＣのネットワークにおいて、一時ユーザグループのユーザＹの携帯端末装置１００間の通信が、他の携帯端末装置１００とは切り離された状態とすることができる。

【0079】

また、一時ユーザグループ有効範囲に存在していることで一時ユーザグループに属していた或るユーザＹが席を外したことで一時ユーザグループ有効範囲外に位置した場合、このユーザＹは一時ユーザグループには属しないものとして設定される。これに応じて、このユーザＹの携帯端末装置１００は、一時ユーザグループのユーザの携帯端末装置１００間で送受信しているデータにアクセスできなくなる。
また、一時ユーザグループが設定されている状態のもとで、後から、別のユーザＹがミーティングに加わるために一時ユーザグループ有効範囲内に移動してくると、このユーザＹが新規に一時ユーザグループに属するものとして設定される。これに応じて、このユーザＹの携帯端末装置１００は、一時ユーザグループのユーザの携帯端末装置１００間で送受信しているデータにアクセスすることができる。
このように、一時ユーザグループが設定されている状態では、その一時ユーザグループに対応する一時ユーザグループ有効範囲に位置しているユーザであれば、一時ユーザグループの携帯端末装置１００間で送受信するデータにアクセスできるアクセス権限を有することができる。

【0080】

また、一度設定した一時ユーザグループを解除するには、例えば、その一時ユーザグループに属するユーザＹのうちの１名が携帯端末装置１００を操作して、アクセス管理装置５００に対して一時ユーザグループ解除要求を送信すればよい。
この一時ユーザグループ解除要求に応じて、アクセス管理装置５００は、これまで実行していた一時ユーザグループ対応の経路制御を停止する。これに伴って、一時ユーザグループの設定も解除される。

【0081】

また、例えばミーティングが終了するなどして一時ユーザグループを解除してよいのにもかかわらず、ユーザが一時ユーザグループ解除要求を送信するための操作を忘れたり怠ったりする場合もあると考えられる。そこで、一時ユーザグループについては、一定の条件を満たした場合に自動的にその設定が解除されるようにしてよい。
一例として、例えば、一時ユーザグループ設定要求に応じた最初の一時ユーザグループの設定が行われてから所定時間を経過するという条件を満たすのに応じて、自動的に一時ユーザグループを解除させることができる。
また、一時ユーザグループ有効範囲内に位置するユーザＹの数が、例えば１名になるなど、一定以下になるという条件を満たすのに応じて、自動的に一時ユーザグループを解除させることもできる。
また、一時ユーザグループに属するユーザの携帯端末装置１００間でのデータの送受信が行われなくなってから一定時間を経過するという条件を満たすのに応じて一時ユーザグループを自動的に解除させることもできる。

【0082】

［処理手順例］
図１３は、一時ユーザグループの設定に関連してアクセス管理装置５００が実行する処理手順例を示している。
アクセス管理装置５００において、アクセス権限設定部５２５は、携帯端末装置１００から送信される一時ユーザグループ設定要求が受信されるのを待機している（ステップＳ２０１−ＮＯ）。

【0083】

一時ユーザグループ設定要求が受信されるのに応じて（ステップＳ２０１−ＹＥＳ）、アクセス権限設定部５２５は、一時ユーザグループに含めるべき基準ユーザと近接ユーザのうち、基準ユーザを設定する（ステップＳ２０２）。つまり、アクセス権限設定部５２５は、一時ユーザグループ設定要求の送信元である携帯端末装置１００のユーザＹを基準ユーザとして設定する。
次に、アクセス権限設定部５２５は、ステップＳ２０２により設定された基準ユーザに基づいて、一時ユーザグループ有効範囲を設定する（ステップＳ２０３）。つまり、アクセス権限設定部５２５は、位置情報サーバ５１０の位置情報取得部５１１により取得された位置情報のうちから基準ユーザの位置情報が示す位置を基準とする一定範囲を一時ユーザグループ有効範囲として設定する。この一時ユーザグループ有効範囲は、ユーザＹが一時ユーザグループに属することのできる施設ＦＣ内の領域である。

【0084】

上記のように一時ユーザグループ有効範囲を設定したうえで、アクセス権限設定部５２５は、一時ユーザグループの設定が解除されるまで、ステップＳ２０４〜Ｓ２０７による処理を繰り返し実行する。
つまり、アクセス権限設定部５２５は、一時ユーザグループ有効範囲内に位置するユーザＹを特定する（ステップＳ２０４）。例えば、アクセス権限設定部５２５は、位置情報取得部５１１にて取得された位置情報のうちから一時ユーザグループ有効範囲内の位置を示す位置情報を選別する。これらの選別した位置情報に付加されたユーザＩＤにより、アクセス権限設定部５２５は、一時ユーザグループ有効範囲内に位置するユーザＹを特定できる。なお、このステップＳ２０４により一時ユーザグループ有効範囲内に位置するものとして特定されるユーザＹには、ステップＳ２０２にて設定された基準ユーザも含まれる。
アクセス権限設定部５２５は、一時ユーザグループ有効範囲内に位置するものとして特定されたユーザＹを、現在において一時ユーザグループに属するユーザであると認識する。
このステップＳ２０４は、一時ユーザグループ有効範囲内に位置するユーザＹの特定に応じて一時ユーザグループを設定していることに相当する。そして、アクセス権限設定部５２５は、一時ユーザグループの設定に応じて、この一時ユーザグループに属するユーザＹの間で共有すべき情報がユーザグループに属さないユーザによっては共有されないようにアクセス権限を設定する。

【0085】

そして、アクセス制御部５２８は、ステップＳ２０４に応じて設定された一時ユーザグループに対応する経路制御を実行する（ステップＳ２０５）。つまり、ステップＳ２０４により一時ユーザグループ有効範囲内に位置していると特定されたユーザＹ（一時ユーザグループに属するユーザ）の携帯端末装置１００の間で送受信されるデータが、この一時ユーザグループに属していないユーザＹの携帯端末装置１００からはアクセスできないように制御する。
具体的に、例えばアクセス制御部５２８は、一時ユーザグループに属するユーザＹの携帯端末装置１００間で送受信されるデータについては通常に行われるように経路制御を実行する。そのうえで、例えば、一時ユーザグループに属さないユーザＹの携帯端末装置１００から一時ユーザグループに属するユーザＹの携帯端末装置１００に対してアクセスが行われた場合、アクセス制御部５２８は、このアクセスのための通信のために送信されたパケットを無線ＬＡＮ制御部３２０が破棄するように指示する。また、一時ユーザグループに属するユーザの携帯端末装置１００が、一時ユーザグループに属さないユーザＹの携帯端末装置１００を宛先としてデータを送信した場合にも、アクセス制御５２８は、このデータのパケットを転送することなく破棄するように無線ＬＡＮ制御部３２０に対して指示する。

【0086】

次に、アクセス権限設定部５２５は、現在において一時ユーザグループに属しているユーザＹの携帯端末装置１００から送信された一時ユーザグループ解除要求が受信されたか否かについて判定する（ステップＳ２０６）。
一時ユーザグループ解除要求が受信されない場合（ステップＳ２０６−ＮＯ）、アクセス権限設定部５２５は、さらに、一時ユーザグループを解除するための一定条件が満たされたか否かについて判定する（ステップＳ２０７）。

【0087】

一時ユーザグループを解除するための一定条件が満たされていない場合（ステップＳ２０７−ＮＯ）、アクセス権限設定部５２５は、ステップＳ２０４に処理を戻す。これにより、アクセス権限設定部５２５は、一時ユーザグループ有効範囲内に位置するユーザＹを一時ユーザグループに属するユーザとして認識しながら、一時ユーザグループ対応の経路制御を実行していく。
そして、一時ユーザグループ解除要求を受信した場合（ステップＳ２０６−ＹＥＳ）、または一時ユーザグループ解除のための一定条件を満たした場合（ステップＳ２０７−ＹＥＳ）、アクセス権限設定部５２５は、これまでの一時ユーザグループ対応の経路制御を停止させる（ステップＳ２０８）。これに伴って、一時ユーザグループの設定は解除される。

【0088】

なお、図１の構成では、ユーザＹが所持する位置発信器２１０と施設ＦＣに設置された位置情報ユニット２２０により位置情報を取得するようにしている。しかし、例えば、以下のようにしても位置情報を取得できる。
つまり、施設ＦＣにおいて区画する領域を部屋単位として部屋ごとにＩＣカードリーダ１６０を備える。そして、ユーザＹが部屋を入退出するごとにＩＣカードリーダ１６０がＩＣカード１５０と通信を行って部屋ごとに入場記録と退場記録の情報を入退出履歴として記憶しておくようにする。このような構成とすれば、入退出履歴に基づいてユーザＹの位置を部屋単位で示す位置情報を取得することができる。

【0089】

また、図４に示すアクセス管理装置５００は、位置情報サーバ５１０と認証サーバ５２０とを備えた構成であるが、例えば位置情報サーバ５１０と認証サーバ５２０の各機能部を１つの装置に統合するように構成してもよい、

【0090】

また、これまでの説明では、施設ＦＣが企業などにおけるオフィス環境である場合を例に挙げているが、例えば、図書館などの公共設備や食堂などをはじめ各種の施設において本発明の構成を適用できる。

【0091】

また、図４におけるアクセス管理装置５００における各部の機能を実現するためのプログラムをコンピュータ読み取り可能な記録媒体に記録して、この記録媒体に記録されたプログラムをコンピュータシステムに読み込ませ、実行することによりアクセス権限の設定とこれに応じた経路制御などを行ってもよい。なお、ここでいう「コンピュータシステム」とは、ＯＳや周辺機器等のハードウェアを含むものとする。

【0092】

また、「コンピュータシステム」は、ＷＷＷシステムを利用している場合であれば、ホームページ提供環境（あるいは表示環境）も含むものとする。
また、「コンピュータ読み取り可能な記録媒体」とは、フレキシブルディスク、光磁気ディスク、ＲＯＭ、ＣＤ−ＲＯＭ等の可搬媒体、コンピュータシステムに内蔵されるハードディスク等の記憶装置のことをいう。さらに「コンピュータ読み取り可能な記録媒体」とは、インターネット等のネットワークや電話回線等の通信回線を介してプログラムが送信された場合のサーバやクライアントとなるコンピュータシステム内部の揮発性メモリ（ＲＡＭ）のように、一定時間プログラムを保持しているものも含むものとする。また上記プログラムは、前述した機能の一部を実現するためのものであっても良く、さらに前述した機能をコンピュータシステムにすでに記録されているプログラムとの組み合わせで実現できるものであってもよい。

【0093】

以上、この発明の実施形態について図面を参照して詳述してきたが、具体的な構成はこの実施形態に限られるものではなく、この発明の要旨を逸脱しない範囲の設計等も含まれる。

【符号の説明】

【0094】

１００ 携帯端末装置
１５０ ＩＣカード
１６０ ＩＣカードリーダ
２１０ 位置発信器
２２０ 位置情報ユニット
３１０ 無線ＬＡＮ基地局
３２０ 無線ＬＡＮ制御装置
４００ ファイルサーバ
５００ アクセス管理装置
５１０ 位置情報サーバ
５１１ 位置情報取得部
５１２ 位置情報送信部
５１３ 位置履歴記憶部
５２０ 認証サーバ
５２１ 通信部
５２２ ユーザ認証部
５２３ ユーザ情報記憶部
５２４ 認証状況情報記憶部
５２５ アクセス権限設定部
５２６ アクセス権限情報記憶部
５２７ アクセス権限設定情報記憶部
５２８ アクセス制御部

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】

【図9】

【図10】

【図11】

【図12】

【図13】