特許 6795436 アクセス制御システム、アクセス制御方法およびアクセス制御プログラム

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B2)

(11)【特許番号】6795436

(24)【登録日】2020年11月16日

(45)【発行日】2020年12月2日

(54)【発明の名称】アクセス制御システム、アクセス制御方法およびアクセス制御プログラム

(51)【国際特許分類】

   G06F 21/62 20130101AFI20201119BHJP

   G06F 21/40 20130101ALI20201119BHJP

【ＦＩ】

   G06F21/62

   G06F21/40

【請求項の数】7

【全頁数】21

(21)【出願番号】特願2017-58530(P2017-58530)

(22)【出願日】2017年3月24日

(65)【公開番号】特開2018-160220(P2018-160220A)

(43)【公開日】2018年10月11日

【審査請求日】2019年10月3日

(73)【特許権者】

【識別番号】501158538

【氏名又は名称】三菱電機インフォメーションネットワーク株式会社

(74)【代理人】

【識別番号】110002491

【氏名又は名称】溝井国際特許業務法人

(72)【発明者】

【氏名】及川 和彦

【審査官】 宮司 卓佳

(56)【参考文献】

【文献】 特開２００９−０３７６１６（ＪＰ，Ａ）

【文献】 特開２００５−１５７８２２（ＪＰ，Ａ）

【文献】 特開２０１４−２１１６７８（ＪＰ，Ａ）

【文献】 特開２００９−０１５３９６（ＪＰ，Ａ）

【文献】 米国特許出願公開第２０１４／０２５９１２９（ＵＳ，Ａ１）

(58)【調査した分野】（Int.Cl.，ＤＢ名）

Ｇ０６Ｆ ２１／３０−２１／４６

Ｇ０６Ｆ ２１／６２

(57)【特許請求の範囲】

【請求項1】

利用者が携帯する情報端末装置と、前記利用者が携帯する携帯端末装置と、アプリケーションを提供するサービス提供装置と、前記アプリケーションへのアクセスを制御するアクセス制御装置とを有するアクセス制御システムにおいて、
前記サービス提供装置は、
前記情報端末装置から前記利用者による前記アプリケーションの利用を要求する利用要求を受信すると、前記利用者の認証と前記利用者による前記アプリケーションの利用の認可とを要求する認証認可連携要求を前記情報端末装置に送信する認証連携機能部を備え、
前記情報端末装置は、
前記認証連携機能部から送信された前記認証認可連携要求を前記アクセス制御装置に送信し、
前記アクセス制御装置は、
前記アプリケーションを利用する利用者の情報を利用者情報として記憶するとともに、前記アプリケーションの利用を承認する承認者の承認条件を認可ポリシ情報として記憶する記憶部と、
前記認証認可連携要求と前記認可ポリシ情報に基づいて、前記利用者情報から承認者の候補を承認者候補として抽出する認可判定部と、
前記承認者候補の一覧を前記利用者の前記携帯端末装置に表示し、前記利用者に前記承認者候補の一覧から前記アプリケーションの利用を承認する承認者を選択させ、前記利用者により選択された承認者を選択承認者として、前記選択承認者の前記携帯端末装置に承認を依頼する承認要求を送信する依頼部と
を備え、
前記認可判定部は、
前記選択承認者による承認結果が前記承認条件を満たす場合に、前記認可が可能であると判定するアクセス制御システム。

【請求項2】

前記携帯端末装置は位置情報を取得可能であり、
前記記憶部は、
前記アプリケーションを利用する利用者の位置情報を利用者位置情報として記憶し、
前記認可ポリシ情報は、前記利用者情報から承認者の候補を抽出する抽出条件として、前記携帯端末装置からの地理的範囲を含み、
前記認可判定部は、
前記利用者位置情報から、前記認可ポリシ情報に含まれる前記地理的範囲に位置する利用者を前記承認者候補として抽出する請求項１に記載のアクセス制御システム。

【請求項3】

前記利用者情報は、前記アプリケーションを利用する利用者の属性を含み、
前記認可ポリシ情報は、前記アプリケーションを利用する利用者の属性を前記抽出条件として含み、
前記認可判定部は、
前記利用者情報から、前記認可ポリシ情報に含まれる前記地理的範囲に位置するとともに、前記認可ポリシ情報に含まれる属性を有する利用者を前記承認者候補として抽出する請求項２に記載のアクセス制御システム。

【請求項4】

前記利用者位置情報は、前記アプリケーションを利用する利用者の状態を含み、
前記認可ポリシ情報は、前記アプリケーションを利用する利用者の状態を前記承認条件として含み、
前記認可判定部は、
前記承認者候補の一覧のなかで前記承認条件がログイン状態である承認者のうち前記承認条件を満たす承認者が存在するかを判定し、前記承認条件を満たす承認者について認可が可能であると判定する請求項３に記載のアクセス制御システム。

【請求項5】

前記認可判定部は、
前記承認結果が承認済みである場合に、前記認可が可能であると判定する請求項１から請求項４のいずれか１項に記載のアクセス制御システム。

【請求項6】

利用者が携帯する情報端末装置と、前記利用者が携帯する携帯端末装置と、アプリケーションを提供するサービス提供装置と、前記アプリケーションへのアクセスを制御するアクセス制御装置であって前記アプリケーションを利用する利用者の情報を利用者情報として記憶するとともに、前記アプリケーションの利用を承認する承認者の承認条件を認可ポリシ情報として記憶する記憶部を備えたアクセス制御装置と、を有するアクセス制御システムのアクセス制御方法において、
前記サービス提供装置の認証連携機能部が、前記情報端末装置から前記利用者による前記アプリケーションの利用を要求する利用要求を受信すると、前記利用者の認証と前記利用者による前記アプリケーションの利用の認可とを要求する認証認可連携要求を前記情報端末装置に送信し、
前記情報端末装置が、前記サービス提供装置から送信された前記認証認可連携要求を前記アクセス制御装置に送信し、
前記アクセス制御装置の認可判定部が、前記認証認可連携要求と前記認可ポリシ情報に基づいて、前記利用者情報から承認者の候補を承認者候補として抽出し、
前記アクセス制御装置の依頼部が、前記承認者候補の一覧を前記利用者の前記携帯端末装置に表示し、前記利用者に前記承認者候補の一覧から前記アプリケーションの利用を承認する承認者を選択させ、前記利用者により選択された承認者を選択承認者として、前記選択承認者の前記携帯端末装置に承認を依頼する承認要求を送信し、
前記認可判定部が、前記選択承認者による承認結果が前記承認条件を満たす場合に、前記認可が可能であると判定するアクセス制御方法。

【請求項7】

利用者が携帯する情報端末装置と、前記利用者が携帯する携帯端末装置と、アプリケーションを提供するサービス提供装置と、前記アプリケーションへのアクセスを制御するアクセス制御装置であって前記アプリケーションを利用する利用者の情報を利用者情報として記憶するとともに、前記アプリケーションの利用を承認する承認者の承認条件を認可ポリシ情報として記憶する記憶部を備えたアクセス制御装置と、を有するアクセス制御システムのアクセス制御プログラムにおいて、
前記情報端末装置から前記利用者による前記アプリケーションの利用を要求する利用要求を受信すると、前記利用者の認証と前記利用者による前記アプリケーションの利用の認可とを要求する認証認可連携要求を前記情報端末装置に送信する認証連携機能処理と、
前記認証連携機能処理により送信された前記認証認可連携要求を前記アクセス制御装置に送信する処理と、
前記認証認可連携要求と前記認可ポリシ情報に基づいて、前記利用者情報から承認者の候補を承認者候補として抽出する処理と、
前記承認者候補の一覧を前記利用者の前記携帯端末装置に表示し、前記利用者に前記承認者候補の一覧から前記アプリケーションの利用を承認する承認者を選択させ、前記利用者により選択された承認者を選択承認者として、前記選択承認者の前記携帯端末装置に承認を依頼する承認要求を送信する依頼処理と、
前記選択承認者による承認結果が前記承認条件を満たす場合に、前記認可が可能であると判定する認可判定処理と
をコンピュータに実行させるアクセス制御プログラム。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、アクセス制御システム、アクセス制御方法およびアクセス制御プログラムに関する。

【背景技術】

【0002】

企業の従業員は、社内システムの他に外部のクラウドサービスを業務で利用する機会が増えている。利用者は、管理された社内のネットワーク上の端末からの利用だけではなく、顧客、取引先、出張宿泊ホテル、あるいは自宅といった様々な場所からインターネット網を介して社内システムあるいは外部のクラウドサービスを利用する場合がある。社外からの利用の場合、利用者の認証にトークンデバイスまたはスマートフォンアプリを使ったワンタイムパスワード、あるいは指紋といった生体認証による２要素認証で本人確認を強化している。このように利用できる場所が自由になる一方、他人による情報の盗み見、監視カメラによる情報の盗撮、あるいは社員単独による故意の重要情報の漏洩といったリスクが高まる。

【0003】

特許文献１では、不適切な場所からの管理文書へのアクセスを防止する技術が開示されている。
特許文献２では、情報の使用を、指定された地理的領域に制限できるアクセス制御方法が開示されている。

【先行技術文献】

【特許文献】

【0004】

【特許文献1】特開２０００−１６３３７９号公報

【特許文献2】特開２００６−１９５８８４号公報

【発明の概要】

【発明が解決しようとする課題】

【0005】

特許文献１および特許文献２では、利用者の位置情報を認証に利用することで、予め決められた場所で、決められたアクセス権でのみサービスを利用できるように制御している。したがって、利用者がアクセスを許可されていない位置にいる場合には、いかなる場合でもアクセスが許可されず、業務の効率を下げてしまう虞がある。

【0006】

本発明は、利用者がいる場所が、アクセスが許可されていない場所である場合でも、認可ポリシをクリアすることによりセキュリティの安全性を担保し、アクセスを許可することができるアクセス制御システムを提供することを目的とする。

【課題を解決するための手段】

【0007】

本発明に係るアクセス制御システムは、利用者が携帯する情報端末装置と、アプリケーションを提供するサービス提供装置と、前記アプリケーションへのアクセスを制御するアクセス制御装置とを有するアクセス制御システムにおいて、
前記サービス提供装置は、
前記情報端末装置から前記利用者による前記アプリケーションの利用を要求する利用要求を受信すると、前記利用者の認証と前記利用者による前記アプリケーションの利用の認可とを要求する認証認可連携要求を前記情報端末装置に送信する認証連携機能部を備え、
前記情報端末装置は、
前記認証連携機能部から送信された前記認証認可連携要求を前記アクセス制御装置に送信し、
前記アクセス制御装置は、
前記アプリケーションを利用する利用者の情報を利用者情報として記憶するとともに、前記アプリケーションの利用を承認する承認者の承認条件を認可ポリシ情報として記憶する記憶部と、
前記認可ポリシ情報に基づいて、前記利用者情報から承認者の候補を承認者候補として抽出し、前記承認者候補のうちいずれかの承認者が前記承認条件を満たす場合に、前記認可が可能であると判定する認可判定部とを備えた。

【0008】

前記アクセス制御システムは、
前記利用者が携帯する携帯端末装置であって位置情報を取得可能な携帯端末装置を有し、
前記記憶部は、
前記アプリケーションを利用する利用者の位置情報を利用者位置情報として記憶し、
前記認可ポリシ情報は、前記利用者情報から承認者の候補を抽出する抽出条件として、前記携帯端末装置からの地理的範囲を含み、
前記認可判定部は、
前記利用者位置情報から、前記認可ポリシ情報に含まれる前記地理的範囲に位置する利用者を前記承認者候補として抽出する。

【0009】

前記利用者情報は、前記アプリケーションを利用する利用者の属性を含み、
前記認可ポリシ情報は、前記アプリケーションを利用する利用者の属性を前記抽出条件として含み、
前記認可判定部は、
前記利用者情報から、前記認可ポリシ情報に含まれる前記地理的範囲に位置するとともに、前記認可ポリシ情報に含まれる属性を有する利用者を前記承認者候補として抽出する。

【0010】

前記アクセス制御装置は、
前記承認者候補の一覧を前記利用者の前記携帯端末装置に表示し、前記利用者に前記承認者候補の一覧から前記アプリケーションの利用を承認する承認者を選択させ、前記利用者により選択された承認者を選択承認者として、前記選択承認者の前記携帯端末装置に承認を依頼する承認要求を送信する依頼部を備えた。

【0011】

前記認可判定部は、
前記選択承認者からの承認結果が承認済みである場合に、前記認可が可能であると判定する。

【0012】

前記利用者位置情報は、前記アプリケーションを利用する利用者の状態を含み、
前記認可ポリシ情報は、前記アプリケーションを利用する利用者の状態を前記承認条件として含み、
前記認可判定部は、
前記承認者候補の一覧のなかで前記承認条件がログイン状態である承認者のうち前記承認条件を満たす承認者が存在するかを判定し、前記承認条件を満たす承認者について認可が可能であると判定する。

【0013】

本発明に係るアクセス制御方法は、利用者が携帯する情報端末装置と、アプリケーションを提供するサービス提供装置と、前記アプリケーションへのアクセスを制御するアクセス制御装置であって前記アプリケーションを利用する利用者の情報を利用者情報として記憶するとともに、前記アプリケーションの利用を承認する承認者の承認条件を認可ポリシ情報として記憶する記憶部を備えたアクセス制御装置とを有するアクセス制御システムのアクセス制御方法において、
前記サービス提供装置は、前記情報端末装置から前記利用者による前記アプリケーションの利用を要求する利用要求を受信すると、前記利用者の認証と前記利用者による前記アプリケーションの利用の認可とを要求する認証認可連携要求を前記情報端末装置に送信し、
前記情報端末装置は、前記サービス提供装置から送信された前記認証認可連携要求を前記アクセス制御装置に送信し、
前記アクセス制御装置は、前記認可ポリシ情報に基づいて、前記利用者情報から承認者の候補を承認者候補として抽出し、前記承認者候補のうちいずれかの承認者が前記承認条件を満たす場合に、前記認可が可能であると判定する。

【0014】

本発明に係るアクセス制御プログラムは、利用者が携帯する情報端末装置とアプリケーションを提供するサービス提供装置とに接続されたアクセス制御装置であって、前記アプリケーションを利用する利用者の情報を利用者情報として記憶するとともに、前記アプリケーションの利用を承認する承認者の承認条件を認可ポリシ情報として記憶する記憶部を備えたアクセス制御装置のアクセス制御プログラムにおいて、
前記利用者による前記アプリケーションの利用を要求する利用要求を受信すると、前記利用者の認証と前記利用者による前記アプリケーションの利用の認可とを要求する認証認可連携要求を受信し、前記認可ポリシ情報に基づいて、前記利用者情報から承認者の候補を承認者候補として抽出し、前記承認者候補のうちいずれかの承認者が前記承認条件を満たす場合に、前記認可が可能であると判定する認可判定処理をコンピュータである前記アクセス制御装置に実行させる。

【発明の効果】

【0015】

本発明に係るアクセス制御システムでは、利用者によるアプリケーションの利用を承認する承認条件を認可ポリシ情報に設定する。また、認可判定部が、承認者が承認条件を満たす場合に、認可が可能であると判定する。よって、利用者が利用を許可されていない場所にいる場合でも、承認者が承認条件を満たすことによりセキュリティの安全性を担保し、業務の効率化を図ることができる。

【図面の簡単な説明】

【0016】

【図1】実施の形態１に係るアクセス制御システム６００の構成図。

【図2】実施の形態１に係るアクセス制御システム６００の各装置の構成図。

【図3】実施の形態１に係るアクセス制御システム６００の各装置のハードウェア構成図。

【図4】実施の形態１に係る位置情報登録処理Ｓ１０を表すシーケンス図。

【図5】実施の形態１に係る利用者情報３５１の構成図。

【図6】実施の形態１に係る利用者位置情報３５２の構成図。

【図7】実施の形態１に係る認証認可要求処理Ｓ２０を表すシーケンス図。

【図8】実施の形態１に係る認可判定処理Ｓ３０のフロー図。

【図9】実施の形態１に係る認可判定処理Ｓ３０のフロー図。

【図10】実施の形態１に係る場所登録情報３５３の構成図。

【図11】実施の形態１に係るアプリ情報３５６およびアプリ認可情報３５５の構成図。

【図12】実施の形態１に係る認可ポリシ情報３５４の構成図。

【図13】実施の形態１に係る検索条件情報３５７の構成図。

【図14】実施の形態１に係る判定情報３５８の構成図。

【図15】実施の形態１に係る認可判定部３４０が認可要求６３を受け取った以降に開始される処理のシーケンス図。

【発明を実施するための形態】

【0017】

以下、本発明の実施の形態について、図を用いて説明する。なお、各図中、同一または相当する部分には、同一符号を付している。実施の形態の説明において、同一または相当する部分については、説明を適宜省略または簡略化する。

【0018】

実施の形態１．
＊＊＊構成の説明＊＊＊
図１を用いて、本実施の形態に係るアクセス制御システム６００の構成について説明する。
アクセス制御システム６００は、利用者６０が携帯する携帯端末装置１００であって位置情報を取得可能な携帯端末装置１００と、利用者６０が携帯する情報端末装置２００と、アプリケーションを提供するサービス提供装置５００と、アプリケーションへのアクセスを制御するアクセス制御装置３００とを有する。アクセス制御システム６００では、携帯端末装置１００、情報端末装置２００、アクセス制御装置３００、およびサービス提供装置５００がネットワーク４００を介して接続されている。なお、以下の説明において、アプリケーションをアプリともいう。
携帯端末装置１００および情報端末装置２００の各々は、利用者６０が携帯している装置である。携帯端末装置１００は、位置情報を、ＧＰＳ（Ｇｌｏｂａｌ Ｐｏｓｉｔｉｏｎｉｎｇ Ｓｙｓｔｅｍ）、Ｗｉ−Ｆｉ（登録商標）、あるいは携帯基地局から取得できるコンピュータである。携帯端末装置１００は、具体的には、スマートフォンあるいはタブレット端末である。情報端末装置２００は、具体的には、ブラウザ機能を有するノート型ＰＣ（Ｐｅｒｓｏｎａｌ Ｃｏｍｐｕｔｅｒ）といったコンピュータである。
アクセス制御装置３００は、具体的には、認証許可プロバイダが提供する認証サーバである。
サービス提供装置５００は、利用者が情報端末装置２００を用いて利用するサービスを提供する。サービス提供装置５００は、社内システムあるいは外部のクラウドサービスであり、アプリケーションの利用を提供する。

【0019】

図２を用いて、本実施の形態に係るアクセス制御システム６００の各装置の構成について説明する。携帯端末装置１００、情報端末装置２００、アクセス制御装置３００、およびサービス提供装置５００の各々を、アクセス制御システム６００の各装置ともいう。

【0020】

携帯端末装置１００は、機能構成として、利用者認可部１１０を備える。利用者認可部１１０は、利用者認可アプリともいう。利用者認可部１１０は、位置取得部１１１、承認依頼部１１２、および利用者認証部１１３を有する。
情報端末装置２００は、機能構成として、ブラウザ機能部２１０を有する。ブラウザ機能部２１０は、ブラウザを起動し、ブラウザ機能により各種処理を実行する。ブラウザの具体例としては、ＣｈｒｏｍｅあるいはＦｉｒｅＦｏｘといったソフトウェアである。
サービス提供装置５００は、機能構成として、認証連携機能部５１０は、ＳＡＭＬ（Ｓｅｃｕｒｉｔｙ Ａｓｓｅｒｔｉｏｎ Ｍａｒｋｕｐ Ｌａｎｇｕａｇｅ）のＳＰ（Ｓｅｒｖｉｃｅ Ｐｒｏｖｉｄｅｒ）、ＯＩＤＣ（ＯｐｅｎＩＤ Ｃｏｎｎｅｃｔ）のＲＰ（Ｒｅｌｙｉｎｇ Ｐａｒｔｙ）といった認証連携情報を要求・利用する機能を実行する。
アクセス制御装置３００は、機能構成として、マスタ情報管理部３１０、位置情報受信部３２０、依頼部３３０、認可判定部３４０、記憶部３５０、認証部３６０、および認証認可連携機能部３７０を有する。記憶部３５０には、利用者情報３５１、利用者位置情報３５２、場所登録情報３５３、認可ポリシ情報３５４、アプリ認可情報３５５、アプリ情報３５６、検索条件情報３５７、および判定情報３５８が記憶されている。認証認可連携機能部３７０は、ＳＡＭＬのＩＤＰ（Ｉｄｅｎｔｉｔｙ ｐｒｏｖｉｄｅｒ）、ＯＩＤＣのＯＰ（ＯｐｅｎＩＤ Ｐｒｏｖｉｄｅｒ）といった認証連携情報を提供する機能を実行する。
ここで、ＳＡＭＬは、ＸＭＬをベースにした認証連携を行うための標準規格（プロトコル）である。ＩＤＰは、ＳＡＭＬ規格に従って認証情報を提供する機能である。ＳＰは、ＳＡＭＬ規格に従って認証情報を要求・利用する機能である。ＯＩＤＣは、ＪＳＯＮ（ＪａｖａＳｃｒｉｐｔ（登録商標） Ｏｂｊｅｃｔ Ｎｏｔａｔｉｏｎ）をベースにした認証連携を行うための標準規格（プロトコル）である。ＯＰは、ＯｐｅｎＩＤ Ｃｏｎｎｅｃｔ規格に従って認証情報を提供する機能である。ＲＰは、ＯｐｅｎＩＤ Ｃｏｎｎｅｃｔ規格に従って認証情報を要求・利用する機能である。

【0021】

図３を用いて、本実施の形態に係るアクセス制御システム６００の各装置のハードウェア構成について説明する。携帯端末装置１００、情報端末装置２００、アクセス制御装置３００、およびサービス提供装置５００の各々を、アクセス制御システム６００の各装置ともいう。
アクセス制御システム６００の各装置はコンピュータである。
アクセス制御システム６００の各装置は、プロセッサ９０１、補助記憶装置９０２、メモリ９０３、通信装置９０４、入力インタフェース９０５、ディスプレイインタフェース９０６といったハードウェアを備える。
プロセッサ９０１は、信号線９１０を介して他のハードウェアと接続され、これら他のハードウェアを制御する。
入力インタフェース９０５は、入力装置９０７に接続されている。
ディスプレイインタフェース９０６は、表示装置９０８に接続されている。

【0022】

プロセッサ９０１は、演算処理を行うＩＣ（Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ）である。
プロセッサ９０１は、具体的には、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）、ＤＳＰ（Ｄｉｇｉｔａｌ Ｓｉｇｎａｌ Ｐｒｏｃｅｓｓｏｒ）、ＧＰＵ（Ｇｒａｐｈｉｃｓ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）である。
補助記憶装置９０２は、具体的には、ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）、フラッシュメモリ、ＨＤＤ（Ｈａｒｄ Ｄｉｓｋ Ｄｒｉｖｅ）である。
メモリ９０３は、具体的には、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）である。
通信装置９０４は、データを受信するレシーバー９０４１およびデータを送信するトランスミッター９０４２を含む。
通信装置９０４は、具体的には、通信チップまたはＮＩＣ（Ｎｅｔｗｏｒｋ Ｉｎｔｅｒｆａｃｅ Ｃａｒｄ）である。
入力インタフェース９０５は、入力装置９０７のケーブル９１１が接続されるポートである。
入力インタフェース９０５は、具体的には、ＵＳＢ（Ｕｎｉｖｅｒｓａｌ Ｓｅｒｉａｌ Ｂｕｓ）端子である。
ディスプレイインタフェース９０６は、表示装置９０８のケーブル９１２が接続されるポートである。
ディスプレイインタフェース９０６は、具体的には、ＵＳＢ端子またはＨＤＭＩ（登録商標）（Ｈｉｇｈ Ｄｅｆｉｎｉｔｉｏｎ Ｍｕｌｔｉｍｅｄｉａ Ｉｎｔｅｒｆａｃｅ）端子である。
入力装置９０７は、具体的には、マウス、キーボードまたはタッチパネルである。
表示装置９０８は、具体的には、ＬＣＤ（Ｌｉｑｕｉｄ Ｃｒｙｓｔａｌ Ｄｉｓｐｌａｙ）である。

【0023】

アクセス制御システム６００の各装置の機能を実現するプログラムを、アクセス制御プログラムともいう。アクセス制御プログラムは、通常は補助記憶装置９０２に記憶されており、メモリ９０３にロードされた状態で、順次プロセッサ９０１に読み込まれ、実行される。
更に、補助記憶装置９０２には、ＯＳ（Ｏｐｅｒａｔｉｎｇ Ｓｙｓｔｅｍ）も記憶されている。
そして、ＯＳの少なくとも一部がメモリ９０３にロードされ、プロセッサ９０１はＯＳを実行しながら、アクセス制御システム６００の各装置の機能を実現するプログラムを実行する。
図３では、１つのプロセッサ９０１が図示されているが、アクセス制御システム６００の各装置が複数のプロセッサ９０１を備えていてもよい。
そして、複数のプロセッサ９０１がアクセス制御システム６００の各装置の機能を実現するプログラムを連携して実行してもよい。
また、アクセス制御システム６００の各装置の処理の結果を示す情報やデータや信号値や変数値が、メモリ９０３、補助記憶装置９０２、または、プロセッサ９０１内のレジスタまたはキャッシュメモリに記憶される。
また、アクセス制御システム６００の各装置の機能を実現するプログラムは、磁気ディスク、フレキシブルディスク、光ディスク、コンパクトディスク、ブルーレイ（登録商標）ディスク、ＤＶＤ等の記憶媒体に記憶される。

【0024】

アクセス制御システム６００の各装置の機能を「プロセッシングサーキットリー」で提供してもよい。
また、「部」を「回路」または「工程」または「手順」または「処理」に読み替えてもよい。
「回路」および「プロセッシングサーキットリー」は、プロセッサ９０１だけでなく、ロジックＩＣまたはＧＡ（Ｇａｔｅ Ａｒｒａｙ）またはＡＳＩＣ（Ａｐｐｌｉｃａｔｉｏｎ Ｓｐｅｃｉｆｉｃ Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ）またはＦＰＧＡ（Ｆｉｅｌｄ−Ｐｒｏｇｒａｍｍａｂｌｅ Ｇａｔｅ Ａｒｒａｙ）といった他の種類の処理回路をも包含する概念である。

【0025】

＊＊＊動作の説明＊＊＊
次に、本実施の形態に係るアクセス制御システム６００のアクセス制御方法およびアクセス制御プログラムによるアクセス制御処理について説明する。
図４は、本実施の形態に係るアクセス制御処理が有する位置情報登録処理Ｓ１０を表すシーケンス図である。位置情報登録処理Ｓ１０は、利用者６０が、外出先でサービス提供装置５００にアクセスするための認証認可を得るために、アクセス制御装置３００に位置情報を登録する処理である。
ステップＳ１１において、利用者６０は、携帯端末装置１００の利用者認可部１１０にログインする。利用者認可部１１０は、利用者６０から入力された利用者ＩＤおよびクレデンシャル情報を取得し、アクセス制御装置３００に送信する。クレデンシャル情報は、具体的には、パスワードである。なお、クレデンシャル情報は、パスワードの他に、指紋あるいは虹彩といった生体情報でもよい。

【0026】

図５を用いて、本実施の形態に係る利用者情報３５１の構成について説明する。
利用者情報３５１には、アプリケーションを利用する利用者の情報が登録されている。すなわち、利用者情報３５１に登録している利用者がアクセス制御システム６００を利用できる。利用者情報３５１は、利用者ＩＤ、利用者氏名、組織コード、属性（役職）、クレデンシャル情報すなわちパスワード、および利用者が携帯する携帯端末装置を識別する携帯端末識別子といった情報が登録される。
ステップＳ１２において、アクセス制御装置３００の認証部３６０は、利用者ＩＤおよびパスワードを取得し、利用者ＩＤおよびパスワードを用いて利用者情報３５１を参照し、利用者６０の認証の可否を判定する。
ステップＳ１３において、認証部３６０は、利用者６０の認証の判定結果を携帯端末装置１００の利用者認可部１１０に送信する。

【0027】

利用者認可部１１０は、アクセス制御装置３００から送信された判定結果が認証不可の場合、携帯端末装置１００の表示装置にログインが失敗であることを表すメッセージを表示する。利用者認可部１１０は、アクセス制御装置３００から送信された判定結果が認証可の場合、ステップＳ１４において、位置取得部１１１が携帯端末装置１００の位置情報を取得する。位置取得部１１１は、位置情報の取得を許可するか否かを利用者６０に入力させる表示を表示装置に表示し、位置情報取得の許可を利用者６０から受け付ける。
ステップＳ１５において、位置取得部１１１は、位置情報取得の許可を利用者６０から受け付けると、ＧＰＳ、Ｗｉ−Ｆｉ、あるいは携帯基地局により、携帯端末装置１００の位置情報を取得する。
ステップＳ１６において、位置取得部１１１は、利用者ＩＤおよび位置情報をアクセス制御装置３００に送信する。
ステップＳ１７において、アクセス制御装置３００の位置情報受信部３２０は、利用者ＩＤおよび位置情報を受信する。位置情報受信部３２０は、受信した利用者ＩＤおよび位置情報に基づいて、記憶部３５０の利用者位置情報３５２に利用者６０の位置情報を登録あるいは更新する。

【0028】

図６を用いて、本実施の形態に係る利用者位置情報３５２の構成について説明する。
利用者位置情報３５２には、利用者ＩＤと、位置情報と、最終状態更新日時と、状態とが設定される。位置情報は、具体的には、経度緯度である。最終状態更新日時は、利用者ＩＤに関する位置情報が登録あるいは更新された最新の日時である。状態は、利用者ＩＤに関する位置情報がログイン中であるか、有効であるか、無効であるかを表す。利用者ＩＤに関する位置情報が有効であるとは、現在日時から遡って所定の時間以内に位置情報により表される位置でログインしていたことを表す。利用者ＩＤに関する位置情報が無効であるとは、位置情報により表される位置でログインした直近の日時より、所定の時間以上経過したことを表す。

【0029】

次に、図７を用いて、本実施の形態に係るアクセス制御処理が有する認証認可要求処理Ｓ２０について説明する。認証認可要求処理Ｓ２０は、利用者６０が、外出先でサービス提供装置５００にアクセスするための認証認可を要求する処理である。
ステップＳ２１において、利用者６０は、情報端末装置２００のブラウザを起動し、アクセスしたいアプリケーションのＵＲＬを選択する。
ステップＳ２２において、情報端末装置２００のブラウザ、すなわちブラウザ機能部２１０は、選択されたアプリケーションのＵＲＬに基づいて、アプリケーション画面の要求をサービス提供装置５００に送信する。アプリケーション画面の要求は、アプリケーションの利用要求６１である。
ステップＳ２３において、サービス提供装置５００が利用要求６１を受け付ける。サービス提供装置５００の認証連携機能部５１０は、利用要求６１を受信すると、利用者６０の認証と利用者６０によるアプリケーションの利用の認可とを要求する認証認可連携要求６２を情報端末装置２００に送信する。
認証認可連携要求６２は、利用者６０がアクセス制御システム６００に登録された利用者であることを認証するとともに、サービス提供装置５００のアプリケーションにアクセスすることを認可する要求である。

【0030】

ステップＳ２４において、情報端末装置２００のブラウザ機能部２１０は、サービス提供装置５００から認証認可連携要求６２を受信すると、アクセス制御装置３００に認証認可連携要求６２を送信する。
ステップＳ２５において、アクセス制御装置３００の認証認可連携機能部３７０は、認証認可連携要求６２を認証部３６０に渡す。
ステップＳ２６において、認証部３６０は、利用者ＩＤおよびクレデンシャル情報の取得要求を情報端末装置２００に送信する。
ステップＳ２７において、情報端末装置２００のブラウザ機能部２１０は、利用者ＩＤおよびクレデンシャル情報を入力させる利用者認証画面を表示装置に表示する。
ステップＳ２８において、情報端末装置２００のブラウザ機能部２１０は、利用者６０から利用者ＩＤおよびクレデンシャル情報を取得する。
ステップＳ２９において、情報端末装置２００のブラウザ機能部２１０は、利用者６０から取得した利用者ＩＤおよびクレデンシャル情報を、アクセス制御装置３００に送信する。
ステップＳ２１０において、アクセス制御装置３００の認証部３６０は、受信した利用者ＩＤおよびクレデンシャル情報を用いて利用者情報３５１を参照し、利用者６０の認証の可否を判定する。
ステップＳ２１１において、認証部３６０は、認証結果を認証認可連携機能部３７０に出力する。
ステップＳ２１２において、認証認可連携機能部３７０は、利用者ＩＤにより表される利用者が、アプリケーションに対するアクセスが認可されているか否かを判定する認可判定部３４０に、認可要求６３を出力する。認可要求６３には、利用者ＩＤとアプリケーションのＵＲＬとが含まれる。認可判定部３４０が認可要求６３を受け取ると、認可判定処理Ｓ３０が開始される。

【0031】

次に、図８および図９を用いて、本実施の形態に係るアクセス制御処理が有する認可判定処理Ｓ３０について説明する。図８および図９は、認可判定処理Ｓ３０を表すフロー図である。
認可判定処理Ｓ３０では、認可判定部３４０が利用者６０の認証と利用者６０によるアプリケーションの利用の認可とを要求する認証認可連携要求６２を受信する。そして、認可判定部３４０が認可ポリシ情報３５４に基づいて、利用者情報３５１から承認者の候補を承認者候補として抽出し、承認者候補のうちいずれかの承認者が承認条件を満たす場合に、認可が可能であると判定する。

【0032】

ステップＳ３１において、認可判定部３４０は、認可要求６３に含まれる利用者ＩＤをキーに、利用者位置情報３５２を参照し、利用者６０の位置情報を取得する。
ステップＳ３２において、認可判定部３４０は、位置情報をキーに、場所登録情報３５３を参照し、利用者６０の位置に対応する場所情報を取得する。

【0033】

図１０を用いて、本実施の形態に係る場所登録情報３５３の構成について説明する。
場所登録情報３５３には、場所ＩＤ、場所名、場所区分、基準緯度、基準経度、経度範囲、緯度範囲、グループＩＤ、および住所といった情報が設定されている。
具体例としては、利用者本人が利用者ＩＤ「ＵＳＲ００１」の「佐藤太郎」であるとする。認可要求６３に含まれる利用者ＩＤがＵＳＲ００１の場合、認可判定部３４０は、ＵＳＲ００１をキーに利用者位置情報３５２を参照し、ＵＳＲ００１に対応する緯度および経度を取得する。そして、認可判定部３４０は、ＵＳＲ００１に対応する緯度および経度をキーに場所登録情報３５３を参照し、ＵＳＲ００１に対応する緯度および経度が含まれる行の情報を場所情報として取得する。

【0034】

ステップＳ３３において、認可判定部３４０は、認可要求６３に含まれるアプリケーションのＵＲＬをキーに、アプリ情報３５６およびアプリ認可情報３５５を参照し、アプリケーションのＵＲＬに対応する行の情報を取得する。

【0035】

図１１を用いて、アプリ情報３５６およびアプリ認可情報３５５の構成について説明する。アプリ情報３５６には、アプリケーションＩＤと、アプリケーションのＵＲＬと、アプリケーション名が対応付けられて設定されている。また、アプリ認可情報３５５には、アプリ認可ＩＤと、アプリＩＤと、認可利用場所区分と、認可ポリシＩＤと、認可有効時間とが設定されている。
具体例としては、認可要求６３に含まれるアプリケーションのＵＲＬが業務アプリＡのＵＲＬの場合、認可判定部３４０は、このＵＲＬをキーにアプリ情報３５６を参照し、このＵＲＬに対応するアプリケーションＩＤ「ＡＰＰ００１」を取得する。そして、認可判定部３４０は、このアプリケーションＩＤ「ＡＰＰ００１」をキーに、アプリ認可情報３５５を参照し、「ＡＰＰ００１」に対応する行の情報を取得する。具体的には、認可判定部３４０は、アプリケーションＩＤ「ＡＰＰ００１」に対応する１行目の情報を取得する。このとき、認可ポリシＩＤは、ＰＬＣ００１である。

【0036】

ステップＳ３４において、認可判定部３４０は、利用者の利用者ＩＤから得られた場所登録情報３５３の場所区分が、アプリケーションＩＤから得られたアプリ認可情報３５５の認可利用場所区分として登録されているかを判定する。利用者ＩＤから得られた場所区分が、アプリケーションＩＤから得られた認可利用場所区分として登録されている場合、認可判定部３４０は、ステップＳ３５に進む。
利用者ＩＤから得られた場所区分が、アプリケーションＩＤから得られた認可利用場所区分として登録されていない場合、認可判定部３４０は、ステップＳ３４０１に進む。図７に示すように、ステップＳ３４０１において、認可判定部３４０は、認証認可連携機能部３７０に、場所が許可されて無いため認可できないことを表すエラー情報を送信する。そして、認証認可連携機能部３７０は、このエラー情報を情報端末装置２００に送信する。情報端末装置２００は、このエラー情報を表す画面をエラー画面として表示装置に表示する。表示装置に表示されたエラー画面により、利用者６０は、サービス提供装置５００にアクセスしている場所が許可されていないため、アプリケーションに対するアクセスが認可されなかったことがわかる。

【0037】

ステップＳ３５において、認可判定部３４０は、ステップＳ３３で取得した認可ポリシＩＤをキーに、認可ポリシ情報３５４を参照する。認可判定部３４０は、ステップＳ３３で取得した認可ポリシＩＤに対応する行の情報を取得する。

【0038】

図１２を用いて、本実施の形態に係る認可ポリシ情報３５４の構成について説明する。
認可ポリシ情報３５４では、各行に、認可ポリシＩＤ、近接利用者検索条件ＩＤ、認可ポリシ名、近接利用者範囲、近接利用者認可条件、近接利用者数、および説明が設定されている。近接利用者認可条件は、アプリケーションの利用を承認する承認者の承認条件の例である。また、近接利用者範囲は、携帯端末装置からの地理的範囲であり、利用者情報３５１から承認者の候補を抽出する抽出条件の例である。また、近接利用者検索条件ＩＤも利用者情報３５１から承認者の候補を抽出する抽出条件の例である。近接利用者検索条件ＩＤをキーに、後述する検索条件情報３５７を参照することにより、利用者情報３５１から承認者の候補を抽出する詳細な抽出条件を得ることができる。なお、ここでは、認可ポリシ情報３５４と検索条件情報３５７とは、１つのデータベースで構成してもよい。検索条件情報３５７は、近接利用者検索条件情報ともいう。
具体例としては、認可ポリシＩＤがＰＬＣ００１の場合、認可判定部３４０は、認可ポリシＩＤ「ＰＬＣ００１」をキーに、認可ポリシ情報３５４を参照し、認可ポリシＩＤ「ＰＬＣ００１」に対応する１行目の情報を取得する。このとき、近接利用者検索条件ＩＤは、ＣＮＤ００１である。

【0039】

ステップＳ３６において、認可判定部３４０は、ステップＳ３５で取得した利用者認可ポリシ情報３５４の近接利用者検索条件ＩＤをキーに、検索条件情報３５７を参照する。認可判定部３４０は、ステップＳ３５で取得した利用者認可ポリシ情報３５４の近接利用者検索条件ＩＤに対応する、検索条件情報３５７の行の情報を取得する。

【0040】

図１３を用いて、本実施の形態に係る検索条件情報３５７の構成について説明する。
検索条件情報３５７では、各行に、近接利用者検索条件ＩＤ、利用者属性名、利用者属性値、組織条件、および説明が設定されている。利用者属性名および利用者属性値は、アプリケーションを利用する利用者の属性であり、利用者情報３５１から承認者の候補を抽出する抽出条件の例である。
具体例としては、近接利用者検索条件ＩＤがＣＮＤ００１の場合、認可判定部３４０は、近接利用者検索条件ＩＤ「ＣＮＤ００１」をキーに、検索条件情報３５７を参照し、近接利用者検索条件ＩＤ「ＣＮＤ００１」に対応する１行目から３行目までの情報を取得する。このとき、近接利用者検索条件は、役職「上長」あるいは「代理上長」、組織コード「指定なし」、組織条件「有り」である。組織コード「指定なし」の場合は、利用者と同一の組織コードであるものとする。

【0041】

ステップＳ３７において、認可判定部３４０は、ステップＳ３６で取得した近接利用者検索条件ＩＤに対応する近接利用者検索条件に基づいて、利用者情報３５１を参照する。認可判定部３４０は、ステップＳ３６で取得した近接利用者検索条件に基づいて、利用者情報３５１から近接利用者検索条件にマッチする利用者を近接利用者の候補として抽出する。認可判定部３４０は、利用者情報３５１から、認可ポリシ情報に含まれる属性である利用者属性名および利用者属性値にマッチする利用者を近接利用者の候補として抽出する。
具体例としては、近接利用者検索条件が、役職「上長」あるいは「代理上長」、組織コード「指定なし」、組織条件「有り」の場合、認可判定部３４０は、利用者情報３５１から、近接利用者検索条件にマッチするＵＳＲ００２とＵＳＲ００３とを取得する。認可判定部３４０は、ＵＳＲ００２の「高橋次郎」とＵＳＲ００３の「山田花子」が近接利用者の候補として抽出される。なお、近接利用者の候補は、アプリケーションの利用を承認する承認者候補７３である。すなわち、ＵＳＲ００２の「高橋次郎」とＵＳＲ００３の「山田花子」が承認者候補７３として抽出される。

【0042】

ステップＳ３８において、認可判定部３４０は、近接利用者の候補の利用者ＩＤをキーに、利用者位置情報３５２を参照し、近接利用者の候補の位置情報を取得する。
具体例としては、ＵＳＲ００２の「高橋次郎」とＵＳＲ００３の「山田花子」が近接利用者の候補（承認者候補７３）の場合、認可判定部３４０は、利用者位置情報３５２を参照し、ＵＳＲ００２に対応する２行目と、ＵＳＲ００３に対応する３行目とを取得する。

【0043】

ステップＳ３９において、認可判定部３４０は、「利用者本人の位置情報」と「近接利用者の候補の位置情報」の差が、利用者認可ポリシ情報３５４の近接利用者範囲内に含まれているかを計算する。すなわち、認可判定部３４０は、利用者位置情報３５２から、認可ポリシ情報３５４に含まれる地理的範囲である近接利用者範囲に位置する利用者をさらに承認者候補７３として抽出する。そして、認可判定部３４０は、近接利用者の候補を、判定情報３５８に設定する。
ステップＳ３７からステップＳ３９により、認可判定部３４０は、利用者情報３５１から、認可ポリシ情報３５４に含まれる地理的範囲に位置するとともに、認可ポリシ情報３５４に含まれる属性を有する利用者を承認者候補７３として抽出する。

【0044】

図１４を用いて、本実施の形態に係る判定情報３５８の構成について説明する。
判定情報３５８には、一行に、判定ＩＤ、利用者本人ＩＤ、利用者本人氏名、近接利用者認可条件、近接利用者ＩＤ、近接利用者名、近接状態、近接者ログイン状態、依頼状態、判定結果、アプリケーション名、およびアプリケーションＵＲＬが設定される。
具体例としては、利用者本人がＵＳＲ００１の「佐藤太郎」であり、ＵＳＲ００２の「高橋次郎」とＵＳＲ００３の「山田花子」が近接利用者の候補の場合、認可判定部３４０は、図１３に示すように判定情報３５８に、各情報を設定する。このとき、近接利用者の候補の状態が無効である場合でも、判定情報３５８に設定する。

【0045】

ステップＳ３１０において、認可判定部３４０は、処理対象となる近接利用者の候補を判定情報３５８から取得する。
ステップＳ３１１において、認可判定部３４０は、処理対象となる近接利用者の候補について、判定情報３５８を参照し、近接利用者認可条件が「ログイン」で、かつ、ログイン状態が「ログイン」であるかを判定する。近接利用者認可条件が「ログイン」で、かつ、ログイン状態が「ログイン」である場合、近接利用者の認可条件が満たされていることを意味するので、認可処理を終了する。「近接利用者認可条件が「ログイン」で、かつ、ログイン状態が「ログイン」」以外の場合、ステップＳ３１２に進む。
すなわち、認可判定部３４０は、承認者候補７３の一覧のなかで承認条件がログイン状態である承認者のうち承認条件を満たす承認者が存在するかを判定し、承認条件を満たす承認者について認可が可能であると判定する。なお、ここでは、承認者候補７３の一覧を判定情報３５８に登録し、この判定情報３５８を用いてステップＳ３１１の判定を行っている。しかし、判定情報３５８に登録せずに、承認者候補７３の利用者位置情報３５２の状態と、利用要求６１に含まれるアプリケーションのＵＲＬから導かれる認可ポリシとから、ステップＳ３１１の判定を行ってもよい。

【0046】

ステップＳ３１２において、認可判定部３４０は、依頼部３３０を呼び出し（ステップＳ３１２ａ）、承認依頼選択処理Ｓ４０を実行させる。
承認依頼選択処理Ｓ４０は、利用者６０の携帯端末装置１００に近接利用者の候補の一覧を表示し、利用者６０に承認をお願いする人を選択させる処理である。承認依頼選択処理Ｓ４０は、アクセス制御装置３００の依頼部３３０が、承認者候補７３の一覧を利用者６０の携帯端末装置１００に表示し、利用者６０に承認者候補７３の一覧からアプリケーションの利用を承認する承認者を選択させる。

【0047】

図１５は、図７に続くシーケンス図であり、認可判定部３４０が認可要求６３を受け取った（ステップＳ１２１）以降に開始される処理のシーケンス図である。
図１５のステップＳ３１２ａにおいて、認可判定部３４０は、依頼部３３０に承認依頼選択処理Ｓ４０を実行させる。
ステップＳ４０１において、依頼部３３０は、利用者６０の携帯端末装置１００に、近接利用者の候補の一覧を含む候補一覧画面の表示を要求する一覧画面表示要求を送信する。
ステップＳ４０２において、携帯端末装置１００の承認依頼部１１２は、依頼部３３０から一覧画面表示要求を受信すると、携帯端末装置１００の表示装置に近接利用者の候補の一覧である候補一覧画面を表示するプッシュ通知を実行する。
ステップＳ４０３において、承認依頼部１１２は、プッシュ通知を受け取った利用者６０が利用者認可部１１０にログインすると、候補一覧画面を表示装置に表示し、利用者６０に対し、候補一覧画面から承認を依頼する近接利用者の選択を促す。利用者６０により選択された近接利用者を選択承認者６０ｘともいう。
ステップＳ４０４において、承認依頼部１１２は、利用者６０が選択した選択承認者６０ｘの利用者ＩＤと、利用者６０の利用者ＩＤとを含む近接利用者選択通知をアクセス制御装置３００に送信する。

【0048】

図９のステップＳ３１２ｂにおいて、アクセス制御装置３００の依頼部３３０は、近接利用者選択通知を受信する。なお、近接利用者選択通知には、承認者を選択せずに近接利用者への依頼をキャンセルするといった情報を含むことができるものとする。
ステップＳ３１３において、認可判定部３４０は、近接利用者選択通知に近接利用者への依頼をキャンセルする情報が含まれるか否かを判定する。近接利用者選択通知が近接利用者への依頼をキャンセルする情報である場合、ステップＳ３１３０に進む。ステップＳ３１３０において、認可判定部３４０は、認証認可連携機能部３７０に、近接利用者への依頼をキャンセルしたため、認可できないことを表すエラー情報を送信する。そして、認証認可連携機能部３７０は、このエラー情報を情報端末装置２００に送信する。情報端末装置２００は、このエラー情報を表す画面をエラー画面として表示装置に表示する。表示装置に表示されたエラー画面により、利用者６０は、近接利用者への依頼をキャンセルしたため、アプリケーションに対するアクセスが認可されなかったことがわかる。近接利用者選択通知が近接利用者への依頼をキャンセルする情報でない場合、ステップＳ３１４に進む。

【0049】

ステップＳ３１４において、認可判定部３４０は、依頼部３３０を呼び出し（ステップＳ３１４ａ）、承認依頼処理Ｓ５０を実行させる。承認依頼処理Ｓ５０は、アクセス制御装置３００の依頼部３３０が、利用者６０により選択された承認者を選択承認者６０ｘとして、選択承認者６０ｘの携帯端末装置１００に承認を依頼する承認要求を送信する。承認依頼処理Ｓ５０は、選択された近接利用者に承認を依頼する処理である。

【0050】

図１５のステップＳ５０１において、依頼部３３０は、選択された近接利用者の携帯端末装置１００に、利用者６０のアプリケーションへのアクセスに対する承認を依頼する承認依頼画面の表示を要求する承認要求６４を送信する。
ステップＳ５０２において、選択された近接利用者の携帯端末装置１００の承認依頼部１１２は、依頼部３３０から承認要求６４を受信すると、携帯端末装置１００の表示装置に利用者６０のアプリケーションへのアクセスに対する承認を依頼する承認依頼画面を表示するプッシュ通知を実行する。
ステップＳ５０３において、承認依頼部１１２は、プッシュ通知を受け取った近接利用者が利用者認可部１１０にログインすると、承認依頼画面を表示装置に表示する。プッシュ通知を受け取った近接利用者は、承認依頼画面を用いて、利用者６０のアプリケーションへのアクセスに対する承認を行う。あるいは、プッシュ通知を受け取った近接利用者は、承認依頼画面を用いて、利用者６０のアプリケーションへのアクセスを否認してもよい。
ステップＳ５０４において、承認依頼部１１２は、近接利用者の利用者ＩＤと、利用者６０の利用者ＩＤと、承認の結果とを含む承認結果通知６５をアクセス制御装置３００に送信する。

【0051】

図９のステップＳ３１４ｂにおいて、アクセス制御装置３００の依頼部３３０は、承認結果通知６５を受信する。
ステップＳ３１５において、認可判定部３４０は、承認結果通知６５が承認か否認かについて判定する。承認結果通知６５が否認の場合、ステップＳ３１５０に進む。ステップＳ３１５０において、認可判定部３４０は、認証認可連携機能部３７０に、近接利用者、すなわち選択承認者６０ｘにより否認されたため、認可できないことを表すエラー情報を送信する。そして、認証認可連携機能部３７０は、このエラー情報を情報端末装置２００に送信する。情報端末装置２００は、このエラー情報を表す画面をエラー画面として表示装置に表示する。表示装置に表示されたエラー画面により、利用者６０は、近接利用者により否認されたため、アプリケーションに対するアクセスが認可されなかったことがわかる。
承認結果通知６５が承認の場合、近接利用者の認可条件が満たされていることを意味するので、認可処理を終了する。すなわち、認可判定部３４０は、選択承認者６０ｘからの承認結果が承認済みである場合に、認可が可能であると判定する。
以上で、認可判定処理Ｓ３０の説明を終了する。

【0052】

図１５のステップＳ６０１において、認可判定部３４０は、認可判定処理Ｓ３０による認可結果を認証認可連携機能部３７０に送信する。
ステップＳ６０２において、認証認可連携機能部３７０は、認可結果が認可か否かについて判定する。不認可の場合、ステップＳ６０３に進む。認可の場合、ステップＳ６０５に進む。
ステップＳ６０３において、認証認可連携機能部３７０は、認可結果が不認可であることを示す不認可通知を利用者６０の情報端末装置２００に送信する。
ステップＳ６０４において、情報端末装置２００のブラウザ機能部２１０は、アプリケーションの利用が不可であることを表す利用不可画面を表示装置に表示する。このとき、アプリケーションの利用が不可であることの理由を合わせて表示してもよい。

【0053】

ステップＳ６０５において、認証認可連携機能部３７０は、認可結果が認可であることを示す認証認可メッセージを利用者６０の情報端末装置２００に送信する。
ステップＳ６０６において、情報端末装置２００のブラウザ機能部２１０は、認証認可メッセージをサービス提供装置５００に送信する。すなわち、ブラウザ機能部２１０は、認証認可メッセージをサービス提供装置５００にリダイレクトする。
ステップＳ６０７において、サービス提供装置５００の認証連携機能部５１０は、認証認可メッセージを受信すると、アプリケーション画面データと認証済セッション識別子とを情報端末装置２００に送信する。
ステップＳ６０８において、情報端末装置２００のブラウザ機能部２１０は、アプリケーション画面を表示装置に表示する。
以上により、利用者６０は、アプリケーション画面を用いて、アプリケーションに対する処理を行うことができる。

【0054】

＊＊＊本実施の形態の効果の説明＊＊＊
本実施の形態に係るアクセス制御システム６００では、利用者の位置情報を認証に利用することで、あらかじめ決められた場所で、決められたアクセス権でのみサービスを利用できるように制御し、情報漏洩のリスクを減らすことができる。また、本実施の形態に係るアクセス制御システム６００では、利用場所が予め登録されていなくても、決められたポリシ定義を満たしていれば、予め決められたアクセス権でサービスを利用できるようにも制御する。また、本実施の形態に係るアクセス制御システム６００では、「同じグループの他の利用者が、一定人数以上、近接でログイン状態の場合」といったポリシ定義を柔軟に設定することができる。よって、本実施の形態に係るアクセス制御システム６００によれば、社員単独による故意の重要情報の漏洩リスクや深夜での単独就業による事故を予防することができる。

【0055】

実施の形態１では、アクセス制御システム６００の各装置の各部が独立した機能ブロックとしてアクセス制御システム６００の各装置を構成している。しかし、上述した実施の形態のような構成でなくてもよく、アクセス制御システム６００の各装置の構成は任意である。アクセス制御システム６００の各装置の機能ブロックは、上述した実施の形態で説明した機能を実現することができれば、任意である。これらの機能ブロックを、他のどのような組み合わせ、あるいは任意のブロック構成で、アクセス制御システム６００の各装置を構成しても構わない。
アクセス制御システム６００の各装置は、１つの装置でなく、複数の装置から構成されたシステムでもよい。

【0056】

実施の形態１について説明したが、この実施の形態のうち、複数の部分を組み合わせて実施しても構わない。あるいは、この実施の形態のうち、１つの部分を実施しても構わない。その他、この実施の形態を、全体としてあるいは部分的に、どのように組み合わせて実施しても構わない。
なお、上述した実施の形態は、本質的に好ましい例示であって、本発明の範囲、本発明の適用物の範囲、および本発明の用途の範囲を制限することを意図するものではない。上述した実施の形態は、必要に応じて種々の変更が可能である。

【符号の説明】

【0057】

６０ 利用者、６０ｘ 選択承認者、６１ 利用要求、６２ 認証認可連携要求、６３ 認可要求、６４ 承認要求、６５ 承認結果通知、７３ 承認者候補、１００ 携帯端末装置、１１０ 利用者認可部、１１１ 位置取得部、１１２ 承認依頼部、１１３ 利用者認証部、２００ 情報端末装置、２１０ ブラウザ機能部、３００ アクセス制御装置、３１０ マスタ情報管理部、３２０ 位置情報受信部、３３０ 依頼部、３４０ 認可判定部、３５０ 記憶部、３５１ 利用者情報、３５２ 利用者位置情報、３５３ 場所登録情報、３５４ 認可ポリシ情報、３５５ アプリ認可情報、３５６ アプリ情報、３５７ 検索条件情報、３５８ 判定情報、３６０ 認証部、３７０ 認証認可連携機能部、４００ ネットワーク、５００ サービス提供装置、５１０ 認証連携機能部、５２０ 実行部、６００ アクセス制御システム、９０１ プロセッサ、９０２ 補助記憶装置、９０３ メモリ、９０４ 通信装置、９０４１ レシーバー、９０４２ トランスミッター、９０５ 入力インタフェース、９０６ ディスプレイインタフェース、９１１，９１２ ケーブル、９０７ 入力装置、９０８ 表示装置、９１０ 信号線、Ｓ１０ 位置情報登録処理、Ｓ２０ 認証認可要求処理、Ｓ３０ 認可判定処理、Ｓ４０ 承認依頼選択処理、Ｓ５０ 承認依頼処理。

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】

【図9】

【図10】

【図11】

【図12】

【図13】

【図14】

【図15】