特開 2023-114556 候補権限決定装置、最小権限特定システム、情報処理システム、および、候補権限決定方法

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】公開特許公報(A)

(11)【公開番号】P2023114556

(43)【公開日】2023-08-18

(54)【発明の名称】候補権限決定装置、最小権限特定システム、情報処理システム、および、候補権限決定方法

(51)【国際特許分類】

   G06F 21/12 20130101AFI20230810BHJP

   G06F 21/62 20130101ALI20230810BHJP

【ＦＩ】

G06F21/12 310

G06F21/62 318

【審査請求】未請求

【請求項の数】15

【出願形態】ＯＬ

(21)【出願番号】P 2022016931

(22)【出願日】2022-02-07

(71)【出願人】

【識別番号】000005108

【氏名又は名称】株式会社日立製作所

(74)【代理人】

【識別番号】110001689

【氏名又は名称】青稜弁理士法人

(72)【発明者】

【氏名】田中 佑奈

(72)【発明者】

【氏名】清水 遼

(72)【発明者】

【氏名】鹿糠 秀行

(57)【要約】

【課題】
プログラムに付与すべき最小権限の候補を自動発見する装置において、候補権限を機能単位で過不足なく自動的に導出可能とすることを目的とする。
【解決手段】
候補権限決定装置は、プロセッサを備えている。前記のプロセッサは、入力される対象プログラムにおいて最小権限の操作対象となる機能の全権限である候補権限を決定する。ここで、前記のプロセッサは、この候補権限の決定にあたって、下記の情報を用いる。すなわち、前記のプロセッサは、候補権限の決定にあたって、既存の複数のプログラムから抽出されるシステム環境の構築に関わらないにもかかわらずプログラムが行使する権限の操作対象である機能の情報に基づいて、機能の最小権限の操作対象へのなり易さが算出された結果を含む情報を用いる。
【選択図】 図２

【特許請求の範囲】

【請求項1】

プロセッサを備え、
前記プロセッサは、
既存の複数のプログラムから抽出されるシステム環境の構築に関わらないにもかかわらずプログラムが行使する権限の操作対象である機能の情報に基づいて、プログラムが行使する機能の最小権限の操作対象へのなり易さが算出された結果を含む情報を用いて、入力される対象プログラムにおいて最小権限の操作対象となる機能の全権限である候補権限を決定する、
ことを特徴とする候補権限決定装置。

【請求項2】

請求項１に記載の候補権限決定装置であって、
前記の機能の最小権限の操作対象へのなり易さが算出された結果を含む情報は、
前記の既存の複数のプログラムにおける、権限の操作対象である機能が出現する割合と、権限の操作対象であってシステム環境の構築に関わらない機能が出現する割合と、を用いて算出される数値を含む、
ことを特徴とする候補権限決定装置。

【請求項3】

請求項１に記載の候補権限決定装置であって、
前記プロセッサは、
対象プログラムのうちで権限が付与されている機能、対象プログラムのうちでシステム環境を構築する機能、および、前記の機能の最小権限の操作対象へのなり易さが算出された結果を含む情報において、これらの和集合に該当する機能の権限に基づき候補権限を決定する、
ことを特徴とする候補権限決定装置。

【請求項4】

請求項１に記載の候補権限決定装置であって、
前記プロセッサは、
既存の複数のプログラムから求められ、権限が付与される機能に対する操作対象になり易い機能の順位に関する情報に基づいて、対象プログラムにおいて付与する権限を増加させ、
権限を増加させた対象プログラムを実行することで、候補権限を決定する、
ことを特徴とする候補権限決定装置。

【請求項5】

請求項１に記載の候補権限決定装置であって、
前記プロセッサは、
暫定的な候補権限に基づく権限が付与された対象プログラムから権限を削除し、
権限を削除した対象プログラムの実行結果に基づいて、候補権限を決定する、
ことを特徴とする候補権限決定装置。

【請求項6】

請求項５に記載の候補権限決定装置であって、
前記プロセッサは、
対象プログラムの実行に失敗し、かつ、削除した権限が１つである場合において、
削除した権限を含む候補権限を決定する、
ことを特徴とする候補権限決定装置。

【請求項7】

請求項５に記載の候補権限決定装置であって、
前記プロセッサは、
対象プログラムの実行に失敗し、かつ、削除した権限が複数ある場合において、
削除した権限が追加された対象プログラムから、ある１つの権限を削除して対象プログラムを実行し、
対象プログラムの実行に失敗した場合に、前記権限を含めた候補権限を決定する、
ことを特徴とする候補権限決定装置。

【請求項8】

請求項１に記載の候補権限決定装置と、
前記候補権限決定装置が決定した候補権限に基づく対象プログラムの実行結果を利用して、対象プログラムの最小権限を特定する装置と、を備える、
ことを特徴とする最小権限特定システム。

【請求項9】

入力される対象プログラムの最小権限を特定する最小権限特定装置と、
前記最小権限特定装置が特定した最小権限に基づく対象プログラムがアップロードされるクラウドシステムと、
を備え、
前記最小権限特定装置は、
プロセッサを備え、
前記プロセッサは、
既存の複数のプログラムから抽出されるシステム環境の構築に関わらないにもかかわらずプログラムが行使する権限の操作対象である機能の情報に基づいて、プログラムが行使する機能の最小権限の操作対象へのなり易さが算出された結果を含む情報を用いて、入力される対象プログラムにおいて最小権限の操作対象となる機能の全権限である候補権限を決定し、
決定した候補権限に基づく権限を付与した対象プログラムの実行結果を利用して、対象プログラムの最小権限を特定する、
ことを特徴とする情報処理システム。

【請求項10】

請求項９に記載の情報処理システムであって、
前記の機能の最小権限の操作対象へのなり易さが算出された結果を含む情報は、
前記の既存の複数のプログラムにおける、権限の操作対象である機能が出現する割合と、権限の操作対象であってシステム環境の構築に関わらない機能が出現する割合と、を用いて算出される数値を含む、
ことを特徴とする情報処理システム。

【請求項11】

請求項９に記載の情報処理システムであって、
前記プロセッサは、
対象プログラムのうちで権限が付与されている機能、対象プログラムのうちでシステム環境を構築する機能、および、前記の機能の最小権限の操作対象へのなり易さが算出された結果を含む情報において、これらの和集合に該当する機能の権限に基づき候補権限を決定する、
ことを特徴とする情報処理システム。

【請求項12】

請求項９に記載の情報処理システムであって、
前記プロセッサは、
既存の複数のプログラムから求められ、権限が付与される機能に対する操作対象になり易い機能の順位に関する情報に基づいて、対象プログラムにおいて付与する権限を増加させ、
権限を増加させた対象プログラムを実行することで、候補権限を決定する、
ことを特徴とする情報処理システム。

【請求項13】

請求項９に記載の情報処理システムであって、
前記プロセッサは、
暫定的な候補権限に基づく権限が付与された対象プログラムから権限を削除し、
権限を削除した対象プログラムの実行結果に基づいて、候補権限を決定する、
ことを特徴とする情報処理システム。

【請求項14】

請求項１３に記載の情報処理システムであって、
前記プロセッサは、
対象プログラムの実行に失敗した場合において、
削除した権限を含む候補権限を決定する、
ことを特徴とする情報処理システム。

【請求項15】

プロセッサを用いて行う候補権限決定方法であって、
既存の複数のプログラムから、システム環境の構築に関わらないにもかかわらずプログラムが行使する権限の操作対象である機能の情報を抽出し、
抽出した前記情報に含まれる機能の最小権限の操作対象へのなり易さを算出し、
算出した結果を用いて、入力される対象プログラムにおいて最小権限の操作対象となる機能の全権限である候補権限を決定する、
ことを特徴とする候補権限決定方法。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、候補権限決定装置、最小権限特定システム、情報処理システム、および、候補権限決定方法に関する。

【背景技術】

【0002】

ソフトウェア開発において、プログラムの実行上必要十分な権限である最小権限もしくは最小権限に準ずる適切な権限の設定は、近年注目されるゼロトラストを含むセキュリティの観点で極めて重要視されている。しかし、開発対象のソフトウェアが複雑化している現在、人手による適切な権限設計は多大な工数を要する。

【0003】

そこで、このようなプログラムに対する適切な権限を自動的に導出する技術が開発されている。例えば、特許文献１には、実行するプログラムを逆アセンブルし内部的に呼び出している関数を解析することで適切な権限を導出する技術が開示されている。また、特許文献２には、プロセス親子関係の遷移履歴と各プロセスのアクセスログに基づいて適切な権限を導出する技術が開示されている。

【0004】

しかし以上の２つの文献の技術は、昨今利用が活発となっているクラウドサービスが提供するブラックボックスな機能を用いるプログラムの権限設定には適用できない。なぜなら、ブラックボックスなシステムからはバイナリファイルやログを取得することができないからである。

【0005】

特許文献３では、ブラックボックスな機能を用いるプログラムの最小権限設定を自動化する技術が開示されている。特許文献３の技術では、プログラムに十分な権限が付与されなければプログラム実行が失敗する点に着目している。まず、最小権限の候補となる権限の集合（候補権限）を導出する。続いて、候補権限の一部の権限をプログラムに付与しプログラムを実行する。そのプログラムの実行が成功したか否かの結果に基づき、プログラムに付与する権限を変更する。これを繰り返すことで最終的に最小権限が付与されたプログラムを導出する。

【0006】

特許文献３の候補権限導出方法は次の通りである。まず、対象プログラムとは別に過去に最小権限を導出したプログラム（過去プログラム）を用意する。次に、対象プログラムと類似度の高い過去プログラムのうち、どのプログラムの最小権限を対象プログラムの候補権限の候補として採用するかユーザーが選択する。ユーザーが選択した権限をプログラムに付与してプログラムを実行し、実行に失敗した場合、現在プログラムに付与している権限を権限分類単位で増加させてプログラムを実行することを繰り返す。プログラムの実行に成功した時点でプログラムに付与されている権限を候補権限とする。

【先行技術文献】

【特許文献】

【0007】

【特許文献1】特開２０１２－０４８６０９号公報

【特許文献2】特開２００５－１２８６２３号公報

【特許文献3】特開２０２１－０６０７０２号公報

【発明の概要】

【発明が解決しようとする課題】

【0008】

しかし、特許技術３の候補権限導出方法では、ユーザーが選択した過去プログラムの最小権限の操作対象となる機能（ここでの機能は、他プログラムやＡＰＩ（Ａｐｐｌｉｃａｔｉｏｎ Ｐｒｏｇｒａｍｍｉｎｇ Ｉｎｔｅｒｆａｃｅ）により提供される）が、対象プログラムの最小権限の操作対象となる機能を網羅していない場合、候補権限を抽出することができず、結果全ての機能を操作対象とする全権限を候補権限としなくてはならなくなる。

【0009】

例えば、対象プログラムの最小権限の操作対象となる機能がストレージ機能とロギング機能であり、ユーザーが選択した過去プログラムの最小権限の操作対象となる機能がストレージ機能のみである場合を考える。この場合、過去プログラムの最小権限を対象プログラムに付与してプログラム実行が失敗した際に、現在プログラムに付与しているストレージ機能の権限をWriteやReadなどの権限分類単位で増加させてプログラムを実行しても実行が成功することはない。結果、ストレージ機能を操作対象とする全権限を付与してプログラムを実行しても実行に失敗し、ロギング機能を操作対象とする権限に辿りつけず、候補権限を抽出できない。

【0010】

候補権限の個数は最小権限導出に必要なプログラム実行回数に直結する。特許技術３の候補権限導出方法で候補権限が絞れず全権限となるとプログラム実行回数が増大して実行時間が増加する。さらにクラウドサービスが提供する機能を用いるプログラムでは、従量課金制により金銭的なコストも増大する。

【0011】

本発明はこのような背景に鑑みてなされたものであり、その目的は、プログラムに付与すべき最小権限の候補を自動発見する装置において、候補権限を機能単位で過不足なく自動的に導出可能とすることにある。

【課題を解決するための手段】

【0012】

本発明の第１の態様によれば、下記の候補権限決定装置が提供される。すなわち、候補権限決定装置は、プロセッサを備える。プロセッサは、既存の複数のプログラムから抽出されるシステム環境の構築に関わらないにもかかわらずプログラムが行使する権限の操作対象である機能の情報に基づいて、プログラムが行使する機能の最小権限の操作対象へのなり易さが算出された結果を含む情報を用いて、入力される対象プログラムにおいて最小権限の操作対象となる機能の全権限である候補権限を決定する。

【0013】

本発明の第２の態様によれば、下記の最小権限特定システムが提供される。すなわち、最小権限特定システムは、前記候補権限決定装置と、候補権限決定装置が決定した候補権限に基づく対象プログラムの実行結果を利用して、対象プログラムの最小権限を特定する装置と、を備える。

【0014】

本発明の第３の態様によれば、下記の情報処理システムが提供される。すなわち、情報処理システムは、最小権限特定装置と、クラウドシステムと、を備える。最小権限特定装置は、入力される対象プログラムの最小権限を特定する。クラウドシステムは、最小権限特定装置が特定した最小権限に基づく対象プログラムがアップロードされる。また、最小権限特定装置は、プロセッサを備える。プロセッサは、既存の複数のプログラムから抽出されるシステム環境の構築に関わらないにもかかわらずプログラムが行使する権限の操作対象である機能の情報に基づいて、機能の最小権限の操作対象へのなり易さが算出された結果を含む情報を用いて、入力される対象プログラムにおいて最小権限の操作対象となる機能の全権限である候補権限を決定する。プロセッサは、決定した候補権限に基づく権限を付与した対象プログラムの実行結果を利用して、対象プログラムの最小権限を特定する。

【0015】

本発明の第４の態様によれば、下記の候補権限決定方法が提供される。候補権限決定方法は、プロセッサを用いて行う方法である。候補権限決定方法は、既存の複数のプログラムから、システム環境の構築に関わらないにもかかわらず権限の操作対象である機能の情報を抽出し、抽出した情報に含まれる機能の最小権限の操作対象へのなり易さを算出し、算出した結果を用いて、入力される対象プログラムにおいて最小権限の操作対象となる機能の全権限である候補権限を決定する。

【発明の効果】

【0016】

本発明によれば、プログラムに付与すべき最小権限の候補を自動発見する装置において、候補権限を機能単位で過不足なく自動的に導出可能となる。なお、上記した以外の課題、構成及び効果は、以下の実施形態の説明により明らかにされる。

【図面の簡単な説明】

【0017】

【図1】本実施形態に係るクラウド実行システムの構成の一例を示す図である。

【図2】最小権限特定装置が備える機能の一例を説明する図である。

【図3】システム環境および現行権限情報の一例を示す図である。

【図4】他プログラムシステム環境および権限情報の一例を示す図である。

【図5】暗黙使用サービス該当指数導出処理の一例を示す図である。

【図6】暗黙使用サービス該当指数情報の一例を示す図である。

【図7】操作対象サービスランキング導出処理の一例を示す図である。

【図8】操作対象サービスランキング情報の一例を示す図である。

【図9】システム環境特徴解析処理の一例を示す図である。

【図10】プログラム使用サービス情報の一例を示す図である。

【図11】システム環境特徴解析情報の一例を示す図である。

【図12】候補権限決定処理の一例を示す図である。

【図13】候補権限決定処理の実行中に最小権限特定装置が表示する進捗情報画面の一例を示す図である。

【図14】候補権限情報の一例を示す図である。

【発明を実施するための形態】

【0018】

本実施形態では、クラウド上に構築するアプリコードとシステム環境および現行権限情報を含む対象プログラムを入力として最小権限を含む権限の集合（候補権限）を決定し、対象プログラムの最小権限を特定する最小権限特定装置を備えるシステムについて説明する。

【0019】

＜システム構成＞
先ず、図１を参照しながら、本実施形態に係るクラウド実行システム１（情報処理システム）の構成の一例を示す。クラウド実行システム１は、対象プログラムを入力するユーザが使用する最小権限特定装置１０と、クラウドシステム２０とを含んで構成される。最小権限特定装置１０及びクラウドシステム２０の間は、例えば、インターネット、ＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）、ＷＡＮ（Ｗｉｄｅ Ａｒｅａ Ｎｅｔｗｏｒｋ）等の有線又は無線の通信ネットワーク５によって通信可能に接続される。

【0020】

クラウドシステム２０は、クラウドコンピューティングサービス（ウェブサービス）を提供する。具体的には、クラウドシステム２０は、１つ又は複数の情報処理装置によって構成され、ウェブサービスを利用するユーザが利用可能なサービスを記憶している。

【0021】

最小権限特定装置１０は、一例として、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）などの演算装置１１（プロセッサ）と、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）、ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）等のメモリ１２と、ＨＤＤ（Ｈａｒｄ Ｄｉｓｋ Ｄｒｉｖｅ）、ＳＳＤ（Ｓｏｌｉｄ Ｓｔａｔｅ Ｄｒｉｖｅ）等の外部記憶装置１３と、キーボード、マウス、又はタッチパネル等の入力装置１４と、ディスプレイ及びタッチパネル等の出力装置１５と、通信装置１６とを備える。また、クラウドシステム２０は、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）などの演算装置２１、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）、ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）等のメモリ２２、ＨＤＤ（Ｈａｒｄ Ｄｉｓｋ Ｄｒｉｖｅ）、ＳＳＤ（Ｓｏｌｉｄ Ｓｔａｔｅ Ｄｒｉｖｅ）等の外部記憶装置２３、及び、通信装置２４等を備える。

【0022】

最小権限特定装置１０において、所定の処理の実行に用いるプログラム等のデータは、一例として、外部記憶装置１３に記憶され、演算装置１１がＲＡＭに読み出して実行する。クラウドシステム２０において、所定の処理の実行に用いるプログラム等のデータは、一例として、外部記憶装置２３に記憶され、演算装置２１がＲＡＭに読み出して実行する。

【0023】

最小権限特定装置１０は、対象プログラムの実行が成功するために対象プログラムに付与する必要十分な権限を自動的に特定する。対象プログラムは、クラウド上でシステムを構築するためのデータであるため、最小権限特定装置１０は、通信ネットワーク５を用いて対象プログラムをクラウドシステム２０にアップロードする。続いて、最小権限特定装置１０を構成する機能について説明する。

【0024】

＜最小権限特定装置＞
図２は、最小権限特定装置が備える機能の一例を説明する図である。最小権限特定装置１０は、演算装置１１により実行されるプログラムとして、入力部１０４、システム環境特徴解析部１００１、候補権限決定部１２０１、最小権限導出部１０５、最小権限違反判定部１０７、暗黙使用サービス該当指数導出部５０１、操作対象サービスランキング導出部７０１を有する。

【0025】

入力部１０４では、ユーザーが作成した、システム環境および現行権限情報３０１、アプリコード１０１、実行結果判定用プログラム１０３、プログラム使用サービス情報９０１が取得される。これらのデータは、一例として、ユーザにより入力される。なお、プログラム使用サービス情報９０１は、処理にあたって任意で取得する情報であり、省略されてもよい。

【0026】

最小権限特定装置１０で求める最小権限は、システム環境および現行権限情報３０１にて設定される。しかし、求める最小権限は、システム環境および現行権限情報３０１だけでなく、アプリコード１０１でアプリケーションとしてどのような動作を実現するかにも依存する。従って、システム環境および現行権限情報３０１とアプリコード１０１のセットを含めたデータのことを、最小権限を求める対象となる対象プログラム１０２と呼称することとする。次に、各入力データ（３０１、１０１、１０３、９０１）について、具体的に説明する。

【0027】

＜システム環境および現行権限情報＞
図３はシステム環境および現行権限情報の一例を示す図である。システム環境および現行権限情報３０１は、システム構築に用いるサービスの情報や現在付与されている権限情報を記したプログラムである。図３に示すように、システム環境および現行権限情報３０１は、権限設定部３０２とサービス設定部３０４を有する。

【0028】

図３において、権限設定部３０２では、CodeBuileRole、CloudFormationRole、CodePipelineRoleの計３つのロールと呼ばれる権限設定が定義されている。権限記述部３０３では、CodeBuileRoleの設定としてクラウドのサービスであるS3を操作対象とする２つの権限（s3:PutObject、s3:GetObject）とLogsを操作対象とする権限（logs:CreateLogStream）が許可される設定が記述されている。

【0029】

サービス設定部３０４では、システム構築に用いるサービスとしてS3、CodeCommit、CodeBuild、CodePipelineの情報が記述されている。その中でも権限付与部３０５では、CodeBuildというサービスの機能を持つ実体（以後、リソースと呼称する）であるCodeBuildProjectにCodeBuildRoleを付与している。これにより、CodeBuildのリソースであるCodeBuildProjectは権限記述部３０３にある権限を用いてS3とLogsの特定の操作が可能となる。なお、権限記述部３０３には入力部の入力時から、ある権限が設定されていても良いし、されていなくてもよい。

【0030】

＜その他のデータ＞
アプリコード１０１は、システム環境および現行権限情報３０１で構築されるシステム上で実行するアプリケーションのコードである。本実施形態では、パイプラインを用いてデプロイするアプリケーションのコードなどが該当する。

【0031】

実行結果判定用プログラム１０３は、アプリコード１０１の実行が成功したか失敗したかの情報を出力するプログラムである。実行結果判定用プログラム１０３にはアプリコードが満たすべき要件が反映されている。本実施形態では、例えば、リポジトリにファイルをコミットするとパイプラインの機能として自動的にビルド、デプロイまで実行が成功するという要件がそれに当たる。

【0032】

プログラム使用サービス情報９０１は、クラウドのサービスのうちシステム環境および現行権限情報部３０１では記述されていないが対象プログラム１０２が使用することをユーザーが認識しているサービスがあれば記述することができるデータである。これは後述するシステム環境特徴解析部１００１等にて使用することができる。

【0033】

次に、複数の他プログラムシステム環境および権限情報４０１と暗黙使用サービスについて説明する。複数の他プログラムシステム環境および権限情報４０１は、他プログラムシステム環境および権限情報４１１（すなわち、対象プログラム１０２とは異なっており、システム構築に用いるサービスの情報や権限情報を記した既存のプログラム）の集合（群）である。

【0034】

なお、複数の他プログラムシステム環境および権限情報４０１に含まれる他プログラムシステム環境および権限情報４１１は、一例として、本実施形態で説明する方法を用いて過去に最小権限を特定したプログラムのシステム環境権限情報であっても良い。また、システム環境および権限情報として有効であれば、ユーザーが作成したシステム環境権限情報や、インターネット上で公開されているシステム環境権限情報であっても良い。

【0035】

＜他プログラムシステム環境および権限情報＞
図４は他プログラムシステム環境および権限情報の一例を示す図である。システム環境および現行権限情報３０１と同じく他プログラムシステム環境および権限情報４１１は権限設定部４１２とサービス設定部４１６を有する。システム環境および権限情報として有効であれば、他プログラムシステム環境および権限情報４１１に設定される権限は、最小権限であっても良いし最小権限でなくても良い。

【0036】

権限付与サービス設定部４１３には、権限設定部４１２の権限をどのサービスに付与するかが記述される。図４では権限付与サービス設定部４１３にはサービスの１つであるLambdaに権限を付与する旨が記述されており、実際に権限付与部４１７ではサービスLambdaのリソースLambdaFunctionに権限設定部４１２のロールLambdaRoleが付与されている。このLambdaのように、権限が付与されるサービスを権限付与サービスと呼称することとする。

【0037】

サービス設定部４１６には、システム構築に用いるサービスが記述される。図４ではサービス設定部４１６に記述されるサービスLambda、S3、APIGatewayのうち、権限付与サービスに該当しないS3、APIGatewayを環境構築サービスと呼称することとする。

【0038】

権限記述部４１４にある操作対象サービス記述部４１５には、権限記述部４１４にある権限によってどのサービスに対して一定の操作が可能となるか記述される。図４では権限記述部の権限s3:GetObjectによってサービスS3に対する一定の操作が、logs:PutLogEventsとlogs:CreateLogGroupとlogs:CreateLogStreamによってLogsに対する一定の操作が可能になると分かる。このS3とLogsのように権限の操作対象となるサービスを操作対象サービスと呼称することとする。

【0039】

操作対象サービスには、図４におけるS3のように環境構築サービスである、つまりシステム環境および権限情報４１１において本環境の構築に用いられると明記されているサービスと、Logsのように環境構築サービスでない、つまりシステム環境および権限情報４１１において本環境の構築に用いられると明記されていないサービスが存在する。

【0040】

このLogsのように、操作対象サービスとなるが環境構築サービスでないサービス、つまりシステム環境および権限情報４１１においてリソースとして定義されていないにも関わらずシステム環境および権限情報４１１に定義されている権限の操作対象となるサービスを、仮暗黙使用サービスと呼称することとする。ここで、システム環境および権限情報４１１が複数ロールを持つ場合では、複数ロールの和集合に該当するサービスを、仮暗黙使用サービスと呼称することとする。

【0041】

そして、仮暗黙使用サービスのうち、システム環境および権限情報４１１においてリソースとして定義されていないにも関わらず最小権限の操作対象となるサービスを暗黙使用サービスと呼称することとする。

【0042】

暗黙使用サービスの定義より、システム環境および現行権限情報３０１のサービス設定部３０４に記述されたサービスおよび暗黙使用サービスを操作対象とする全ての権限が、対象プログラム１０２の最小権限になり得る。そこで、本実施形態では、対象プログラム１０２の暗黙使用サービスを特定し、候補権限における権限の数を絞る処理を行う。

【0043】

この処理にあたり、複数の他プログラムシステム環境および権限情報４０１に含まれる他プログラムシステム環境および権限情報４１１に記述される権限付与サービス、環境構築サービス、操作対象サービス、そして仮暗黙使用サービスの情報から作成するデータが用いられる。

【0044】

そして、本実施形態によれば、サービス単位の権限で候補権限の絞り込みが可能である。サービス単位の権限とは、あるサービスを操作する全権限を指す。例えば、S3のサービス単位の権限はs3:*となり、S3をストレージ機能とするときに、s3:*はS3を操作対象とする全ての権限となる。ここで、全サービス数は全権限数と比べて少ないため、権限単位で候補権限を絞り込むよりも少ない回数で権限の絞り込みが可能となる。

【0045】

また、暗黙使用サービスを絞り込むために用いる他プログラムは、複数の他プログラムシステム環境および権限情報４０１内の他プログラムシステム環境および権限情報４１１のみであり、他アプリコードは必要としない。加えて、他プログラムシステム環境および権限情報４１１に記述される権限は、最小権限か否かを問わない。以上より、暗黙使用サービスを絞り込むために用いる他プログラム収集が容易となるため汎用性が高まる。

【0046】

次に、上記した本実施形態の処理を行うにあたり、複数の他プログラムシステム環境および権限情報４０１からデータを抽出する処理について説明する。この処理では、暗黙使用サービス該当指数導出部５０１、および、操作対象サービスランキング導出部７０１が、一例として、演算装置１１に実行される。

【0047】

暗黙使用サービス該当指数導出部５０１は、複数の他プログラムシステム環境および権限情報４０１を入力として、他プログラムシステム環境および権限情報４１１の仮暗黙使用サービス情報から各サービスの暗黙使用サービスへのなり易さを算出する。そして、暗黙使用サービス該当指数導出部５０１は、後述する候補権限決定部１２０１が暗黙使用サービスの特定に用いるデータであり、該候補権限決定部１２０１が入力とする暗黙使用サービス該当指数情報６０１を出力する。

【0048】

操作対象サービスランキング導出部７０１について説明する。操作対象サービスランキング導出部７０１は、同じく複数の他プログラムシステム環境および権限情報４０１を入力として、各サービスが権限付与サービスである場合にどのサービスが操作対象サービスとなり易いかを導出する。そして、操作対象サービスランキング導出部７０１は、候補権限決定部１２０１が暗黙使用サービスの特定に用いるデータであり、該候補権限決定部１２０１が入力とする操作対象サービスランキング情報８０１を出力する。

【0049】

なお、暗黙使用サービス該当指数情報６０１と操作対象サービスランキング情報８０１は、候補権限決定部１２０１が動作する前に準備されていれば良く、この条件を満たしていればいつ準備されるかは問わない。従って、暗黙使用サービス該当指数導出部５０１および操作対象サービスランキング導出部７０１は、最小権限特定装置１０から分散された装置で実行されてもよい。そして、最小権限特定装置１０は、暗黙使用サービス該当指数導出部５０１および操作対象サービスランキング導出部７０１からの出力を、適宜の手法（一例として、通信装置１６を用いた手法）により取得してもよい。

【0050】

次に、上記した本実施形態の処理に関し、対象プログラム１０２の暗黙使用サービスを特定し、候補権限を決定する処理について説明する。この処理では、システム環境特徴解析部１００１、および、候補権限決定部１２０１が、演算装置１１に実行される。

【0051】

システム環境特徴解析部１００１は、入力部１０４で得たシステム環境および現行権限情報３０１およびプログラム使用サービス情報９０１を入力とし、対象プログラム１０２の権限付与サービスと環境構築サービスを解析結果情報１１０１として出力する。

【0052】

候補権限決定部１２０１は、解析結果情報１１０１と暗黙使用サービス該当指数情報６０１、操作対象サービスランキング情報８０１、システム環境および現行権限情報３０１、アプリコード１０１、実行結果判定用プログラム１０３を入力とする。

【0053】

候補権限決定部１２０１は、解析結果情報１１０１と暗黙使用サービス該当指数情報６０１、操作対象サービスランキング情報８０１を用いて作成したサービス単位の権限群を、システム環境および現行権限情報３０１の権限記述部３０３に設定する。そして、候補権限決定部１２０１は、システム環境および現行権限情報３０１とアプリコード１０１を用いてクラウドシステム２０に構築したアプリケーションを実行する実行結果判定用プログラム１０３を用いて実行し、実行結果に基づいて最小権限の操作対象となるサービスを過不足なく導出し、それらのサービスに関するサービス単位の権限の集合である候補権限を決定し、候補権限情報１４０１に出力する。

【0054】

次に、候補権限情報１４０１を用いて最小権限を特定する最小権限導出部１０５の処理、および、最小権限違反判定部１０７の処理について説明する。本実施形態では、これらの処理は、演算装置１１に実行される。

【0055】

最小権限導出部１０５は、入力部１０４で得たシステム環境および現行権限情報３０１、アプリコード１０１、実行結果判定用プログラム１０３のいずれか又は全てと候補権限情報１４０１を用いて最小権限を導出し、最小権限情報１０６に出力する。最小権限情報１０６は、対象プログラム１０２の最小権限がシステム環境および現行権限情報３０１の権限設定部３０２に記述されるロール毎に分類されて出力される情報である。

【0056】

なお、最小権限導出部１０５の処理は、候補権限情報１４０１を用いて最小権限を適切に導出できれば特に限定されない。最小権限導出部１０５は、例えば、候補権限に含まれる機能の一部または全てに権限を付与した対象プログラム１０２を実行し、その実行に失敗した場合に権限を付与した機能の一部から権限を抜いて対象プログラム１０２を再度実行することにより、対象プログラム１０２の最小権限を導出してもよい。

【0057】

最小権限違反判定部１０７では、入力部１０４で得たシステム環境および現行権限情報３０１と最小権限情報１０６を入力として、システム環境および現行権限情報３０１の権限記述部３０３の権限情報と最小権限情報１０６を比較して最小権限違反があるか否か、最小権限違反があるとしたら具体的にどの権限においてかを判定結果情報１０８に出力する。なお、最小権限違反判定部１０７の処理は、最小権限違反を判定することができればよく、特に限定されない。

【0058】

以上に説明した最小権限特定装置１０及びクラウドシステム２０の各機能は、一例として、それらのハードウェアによって、もしくは、それらの演算装置（１１、２１）が、メモリ（１１、２１）や外部記憶装置（１３、２３）に記憶されている各プログラムを読み出して実行することにより、実現される。また、これらのプログラムは、例えば、二次記憶デバイスや不揮発性半導体メモリ、ハードディスクドライブ、ＳＳＤなどの記憶デバイス、又は、ＩＣカード、ＳＤカード、ＤＶＤなどの、各情報処理装置で読み取り可能な非一時的データ記憶媒体に格納される。

【0059】

＜処理説明＞
続いて、クラウド実行システム１において行われる処理について、フローチャート等を参照しながら具体的に説明する。なお、暗黙使用サービス該当指数導出部５０１、操作対象サービスランキング導出部７０１、システム環境特徴解析部１００１、候補権限決定部１２０１の処理を中心に説明する。本実施形態では、これらの処理は、演算装置１１により実行される。

【0060】

＜暗黙使用サービス該当指数導出処理＞
図５は、暗黙使用サービス該当指数導出部５０１で行われる暗黙使用サービス該当指数導出処理の一例を示す図である。暗黙使用サービス該当指数導出処理Ｓ１では、まず暗黙使用サービス該当指数導出部５０１が複数の他プログラムシステム環境および権限情報４０１を取得する（Ｓ５０２）。続いて、暗黙使用サービス該当指数導出部５０１が、Ｓ５０２で取得した複数の他プログラムシステム環境および権限情報４０１内のそれぞれの他プログラムシステム環境および権限情報４１１の権限設定部４１２に記載のある各ロールについて、権限付与サービス、操作対象サービス、環境構築サービスを取得する（Ｓ５０３）。ここで、Ｓ５０３の処理例を、図４に示す他プログラムシステム環境および権限情報４１１を基に、具体的に説明する。

【0061】

Ｓ５０３の処理において、権限設定部４１２のLambdaRoleに対して、暗黙使用サービス該当指数導出部５０１は、権限付与サービス設定部４１３の記述“lambda.amazonaws.com”より権限付与サービスLambdaを取得しても良いし、権限付与部４１７よりLambdaのリソースLambdaFunctionにLambdaRoleが付与されていることから、これより権限付与サービスLambdaを取得しても良い。後者の処理を行う場合では、ロールが付与されるキー（Role、Roles、ServiceRoleなど）のリストを保持しておいて、それらのリストからロールの設定がされる箇所が探索されても良いし、LambdaRoleのようなロール名での探索が行われても良い。

【0062】

環境構築サービスについて、暗黙使用サービス該当指数導出部５０１は、サービス設定部４１６のうち、LambdaRoleの権限付与部４１３を持つリソースLambdaFunction以外の権限付与リソース外サービス設定部４１８を参照する。暗黙使用サービス該当指数導出部５０１は、権限付与リソース外サービス設定部４１８のリソースタイプ（Typeというキーに対応する部分に記載のある、リソースの種別）から、権限付与リソース外サービス設定部４１８で設定されるサービスを取得する。以上の処理により、サービスLambda、S3、APIGatewayのうち、権限付与サービスに該当しないサービスであるS3、APIGatewayが環境構築サービスとして取得される。

【0063】

操作対象サービスについて、暗黙使用サービス該当指数導出部５０１は、LambdaRoleの権限記述部４１４より、S3とLogsを取得する。この際、権限記述部４１４の操作対象サービス記述部４１５より操作対象サービスを取得しても良い。また、権限と権限の操作対象となるサービスの対応を記述したデータ（この説明では、表）が保持され、このデータを参照して権限の操作対象サービスを取得しても良い。

【0064】

ここで、後者の場合、サービスとそのサービス単位の権限の対応を柔軟に決定できる。例えば、ec2:*に属する権限をAmazon EC2の権限、Amazon VPCの権限などと分割して、サービス単位の権限を“サービス名:*”という形にとらわれずに設定することが可能である。ただし、その場合、権限付与サービスと環境構築サービスでも同じサービス分類を用いる必要がある。例えば、ec2:*に属する権限をAmazon EC2の権限、Amazon VPCの権限などと分割する場合であり、サービス設定部４１６に記述されたリソースのリソースタイプがAWS::EC2::VPCの場合には、権限付与サービスまたは環境構築サービスにはAmazon VPCを取得する必要がある。そのため、必要に応じリソースタイプとサービスの対応表も必要となる。

【0065】

このようにして、LambdaRoleから権限付与サービスとしてLambda、環境構築サービスとしてS3とAPIGateway、操作対象サービスとしてS3とLogsが取得できる。他プログラムシステム環境および権限情報４１１の権限設定部４１２に複数のロールが設定されていた場合、暗黙使用サービス該当指数導出部５０１は、各ロールに対して権限付与サービス、環境構築サービス、操作対象サービスを取得する。この権限付与サービス、環境構築サービス、操作対象サービスの組を１データとし、他プログラムシステム環境および権限情報４１１それぞれの各ロールに対してデータを取得し保持する。なお、権限付与サービス、環境構築サービス、操作対象サービスのうちどれか１つでも空である、つまり、これら全てにサービスが割り当てられていないデータについては、そのデータは記録せず削除する。

【0066】

続いて、Ｓ５０３で取得した権限付与サービス、環境構築サービス、操作対象サービスの組を１データとするデータ群から、暗黙使用サービス該当指数導出部５０１が、各サービスが仮暗黙使用サービスとして出現する割合と操作対象サービスとして出現する割合を導出する（Ｓ５０４）。

【0067】

例えば図４の権限設定部４１２のLambdaRoleの例では、S3とLogsが操作対象サービスとして出現している。加えて、S3は環境構築サービスに属しているもののLogsは環境構築サービスに属していないため、Logsは仮暗黙使用サービスと分かる。このとき、暗黙使用サービス該当指数導出部５０１は、S3の操作対象サービス出現回数とLogsの操作対象サービス出現回数をそれぞれ１増やす。加えてLogsの仮暗黙使用サービス出現回数を１増やす。

【0068】

暗黙使用サービス該当指数導出部５０１は、このような処理を各データに対して行い、各サービスの操作対象サービス出現回数と仮暗黙使用サービス出現回数を記録する。その後、各サービスの操作対象サービス出現割合を、割合を求めるサービスの操作対象サービス出現回数を全データ数で割ったもので、導出する。加えて、各サービスの仮暗黙使用サービス出現割合を、割合を求めるサービスの仮暗黙使用サービス出現回数を操作対象サービス出現回数で割ったもので、導出する。

【0069】

続いて、Ｓ５０４で取得した各種出現回数を用いて、暗黙使用サービス該当指数導出部５０１が、各サービスの暗黙使用サービス該当指数を導出し、暗黙使用サービス該当指数情報６０１として出力する（Ｓ５０５）。暗黙使用サービス該当指数の導出に仮暗黙使用サービス出現割合だけでなく操作対象サービス出現割合を用いることで、例えば全データ中で操作対象サービスとして１回しか出現しておらずかつそのデータで仮暗黙使用サービスとして出現したサービスの暗黙使用サービス該当指数が高くなることを防げる。

【0070】

ここで、暗黙使用サービス該当指数情報６０１の一例を説明する。図６は、暗黙使用サービス該当指数情報の一例を示す図である。暗黙使用サービス該当指数情報６０１は、サービス名６０２とサービス名６０２の各サービスの暗黙使用サービス該当指数である暗黙使用サービス該当指数６０３を有する。例えば、図６では、Logsの暗黙使用サービス該当指数は1.0である。ここで、図６の暗黙使用サービス該当指数６０１は、各サービスの仮暗黙使用サービス出現割合と操作対象サービス出現割合を掛け合わせて正規化したものである。しかし、暗黙使用サービス該当指数６０１の導出方法は、以上の方法にとらわれず、操作対象サービス出現割合および仮暗黙使用サービス出現割合を引数とする関数によって作成されればよい。

【0071】

＜操作対象サービスランキング導出処理＞
図７は操作対象サービスランキング導出部７０１で行われる操作対象サービスランキング導出処理の一例を示す図である。操作対象サービスランキング導出処理Ｓ２では、まず操作対象サービスランキング導出部７０１が複数の他プログラムシステム環境および権限情報４０１を取得する（Ｓ７０２）。

【0072】

続いて、操作対象サービスランキング導出部７０１が、Ｓ７０２で取得した複数の他プログラムシステム環境および権限情報４０１内のそれぞれの他プログラムシステム環境および権限情報４１１の権限設定部４１２に記載のある各ロールに対して、権限付与サービス、操作対象サービス、環境構築サービスを取得する（Ｓ７０３）。

【0073】

本実施形態において、Ｓ７０２およびＳ７０３それぞれの処理は、Ｓ５０２およびＳ５０３と同様の処理である。そこで、次のような変更が行われてよい。すなわち、操作対象サービスランキング導出部７０１および暗黙使用サービス該当指数導出部５０１のうちの一方で、権限付与サービス、操作対象サービス、環境構築サービスを取得する処理が省略され、他方で取得される権限付与サービス、操作対象サービス、環境構築サービスの組を１データとするデータ群を入力として、Ｓ５０４以降およびＳ７０４以降の処理を行うように、操作対象サービスランキング導出部７０１および暗黙使用サービス該当指数導出部５０１は構成されても良い。

【0074】

続いて、Ｓ７０３で作成したデータ群を用いて、操作対象サービスランキング導出部７０１が、あるサービスが権限付与サービスの場合に操作対象サービスとなり易いサービスの順位を導出し、操作対象サービスランキング情報８０１に出力する（Ｓ７０４）。

【0075】

図８は、操作対象サービスランキング情報の一例を示す図である。操作対象サービスランキング情報８０１は、権限付与サービス名８０２と、各サービスが権限付与サービスである場合に操作対象となり易いサービスのランキングである操作対象サービスランキング８０３と、を有する。図８の例では、CodeBuildが権限付与サービスの場合には、Logsが最も操作対象サービスとなり易く、次いでS3が操作対象サービスとなり易いと分かる。

【0076】

図８の操作対象サービスランキング情報８０１の例において、例えば、権限付与サービスがCodeBuildの場合の操作対象サービスランキング８０３は、Ｓ７０３で作成したデータ群のうちCodeBuildが権限付与サービスであるデータ群において、各サービスを操作対象サービスとしての出現回数の多い順に並べたものである。ただし、操作対象サービスランキング情報８０１の導出方法は、上記に限定されず、Ｓ７０３で作成したデータ群から導出できるものであれば良い。

【0077】

例えば、各サービスの操作対象サービスとしての出現回数を、仮暗黙使用サービス出現回数と仮暗黙使用サービスでない出現回数とに分けて、それぞれに暗黙使用サービス該当指数６０１を用いて掛け合わせて導出された数値を基に、ランキングが作成されても良い。

【0078】

また、例えば、全データにおいてある権限付与サービスに対して操作対象サービスとして出現しないサービスが複数ある場合には、該サービスの順位を操作対象サービスとして出現するサービスより下げ、更に、該権限付与サービスに対して操作対象サービスとして出現しないサービス同士では、例えば権限付与サービスが何であるかにとらわれず操作対象サービスとしての出現回数によって順位付けをすることで、ランキングが作成されてもよい。

【0079】

また、全データにおいて権限付与サービスとして出現しないサービスに対する操作対象サービスランキングにおいても同様に、例えば権限付与サービスが何であるかにとらわれず操作対象サービスとしての出現回数によって順位付けがされてもよい。

【0080】

＜システム環境特徴解析処理＞
図９はシステム環境特徴解析部１００１で行われるシステム環境特徴解析処理の一例を示す図である。システム環境特徴解析部１００１は、プログラム使用サービス情報９０１を入力の１つとすることができる。まずプログラム使用サービス情報９０１について説明する。

【0081】

（プログラムサービス情報）
図１０はプログラム使用サービス情報の一例を示す図である。プログラム使用サービス情報９０１はプログラム使用サービス９０２を有する。プログラム使用サービスとは、システム環境および現行権限情報３０１のサービス設定部３０４に記載のないサービスでかつユーザーが環境構築サービスとなることを把握しているサービスを指す。

【0082】

既にクラウドシステム２０に構築されているなどの理由から、環境構築サービスの中にはシステム環境および現行権限情報３０１に記載されないサービスも存在する。例えば、アプリコード１０１がS3バケットを用いる場合でも、クラウドシステム２０に当該S3バケットがすでに構築されている場合にはシステム環境および現行権限情報３０１のサービス設定部３０４にS3バケットの記載がない場合がある。

【0083】

このとき最小権限にS3を操作する権限が含まれる場合、S3はシステム環境および現行権限情報３０１に記述がないので暗黙使用サービスとして候補権限決定部１２０１で特定されることとなる。しかし、S3が環境構築サービスとして利用されることをユーザーが入力部１０４に入力前に認識していた場合、候補権限決定部１２０１で暗黙使用サービスとしてS3を特定するための処理を行うのは非効率的である。ここで、プログラム使用サービス情報９０１を用いることで、ユーザーが環境構築サービスとして認識しているサービスを候補権限の特定に反映できるため、例として挙げた事象が解消される。

【0084】

以上のように、ユーザーが環境構築サービスとして認識しているサービスが、システム環境および現行権限情報３０１のサービス設定部３０４に記載されるサービスにない場合もあり、プログラム使用サービス情報９０１が用いられることもある。しかしながら、プログラム使用サービス情報９０１は入力部１０４で入力を必須としない。なお、図１０の例では、LambdaとAPIGatewayがプログラム使用サービスとして記述されている。

【0085】

図９の説明に戻る。システム環境特徴解析処理Ｓ３では、まずシステム環境特徴解析部１００１がシステム環境および現行権限情報３０１とプログラム使用サービス情報９０１を取得する（Ｓ１００２）。

【0086】

続いて、Ｓ１００２で取得したシステム環境および現行権限情報３０１から、システム環境特徴解析部１００１が、システム環境および現行権限情報３０１の権限付与サービスと環境構築サービスを取得および保持する（Ｓ１００３）。権限付与サービスと環境構築サービスの取得方法は、Ｓ５０３およびＳ７０３で説明した内容に準ずる。

【0087】

最後に、システム環境特徴解析部１００１は、Ｓ１００３で取得した権限付与サービスと環境構築サービスに、プログラム使用サービス情報９０１に記述されるサービスを追加したうえで、権限付与サービスと環境構築サービスを解析結果情報（システム環境特徴解析情報１１０１）に出力する（Ｓ１００４）。

【0088】

ここで、システム環境特徴解析情報１１０１について説明する。図１１は、システム環境特徴解析情報の一例を示す図である。システム環境特徴解析情報１１０１は、サービス名１１０２と各サービスのサービス種別１１０３を有する。サービス種別１１０３には、権限付与サービスまたは環境構築サービスのいずれか一方が記述される。例えば、図１１では、CodeCommitは環境構築サービスとして取得されていることが分かる。

【0089】

続いて、候補権限決定部１２０１で行う処理について説明する。本実施形態の候補権限決定処理Ｓ４によって、候補権限をサービス単位の権限で過不足なく導出可能となる。具体的には、対象プログラム１０２の最小権限が操作対象とするサービスを過不足なく抽出し、抽出したサービスを操作対象とするサービス単位の権限の候補権限とすることができることを意味する。

【0090】

＜候補権限決定処理＞
図１２は、候補権限決定処理の一例を示す図である。候補権限決定処理Ｓ４では、まず候補権限決定部１２０１が、解析結果情報１１０１と暗黙使用サービス該当指数情報６０１、操作対象サービスランキング情報８０１、そして入力部１０４で取得した対象プログラム１０２、実行結果判定用プログラム１０３を取得する（Ｓ１２０２）。

【0091】

続いて、Ｓ１２０２で取得した各種情報から、候補権限決定部１２０１が、解析結果情報１１０１に記述される権限付与サービスと環境構築サービス、そして暗黙使用サービス該当指数情報６０１に記載の暗黙使用サービス該当指数が一定しきい値以上のサービスの和集合に該当する操作対象のサービスの全権限を、暫定の候補権限として保持する（Ｓ１２０３）。

【0092】

例えば、図１１の解析結果情報１１０１から、暫定の候補権限にはCodeBuild、CodePipeline、CloudFormationが権限付与サービスとして、S3、CodeCommit、Lambda、APIGatewayが環境構築サービスとして記述されている。従って、解析結果情報１１０１のサービス名１１０２に記載のある計７つのサービスのサービス単位の権限が、暫定の候補権限として保持される。加えて、例えばＳ１２０３における暗黙使用サービス該当指数のしきい値を0.4とする。このとき、図６のＳ１２０３で暫定の候補権限には、暗黙使用サービス該当指数情報６０１のうちLogsとS3のサービス単位の権限を追加する。従って、この２つのサービスのサービス単位の権限を暫定の候補権限に追加し、権限の和集合を取る。そうすると、Ｓ１２０３処理完了後の暫定の候補権限は、codebuild:*、codepipeline:*、cloudformation:*、s3:*、codecommit:*、lambda:*、apigateway:*、logs:*の計８つのサービスのサービス単位の権限となる。

【0093】

このように、Ｓ１２０３では、暗黙使用サービス該当指数情報６０１を用いることで、多数のサービスに対してそのサービスが権限付与サービスとなる場合に暗黙使用サービスとして操作対象となり易いサービスを一括で候補権限に追加している。先ほど述べたＳ１２０３の例では、多数のサービスに対して暗黙使用サービスとなり易いサービスという意味で、logsが図３の対象プログラム１０２の暗黙使用サービスの候補として追加されたこととなる。

【0094】

続いて、候補権限決定部１２０１が、Ｓ１２０３で導出した暫定の候補権限をシステム環境および現行権限情報３０１に設定し、対象プログラム１０２でクラウドシステム２０に構築されるアプリケーションを実行結果判定用プログラム１０３で実行し、実行が正解したか失敗したかを取得する（Ｓ１２０４）。

【0095】

Ｓ１２０４の暫定の候補権限の付与では、例えば図３ではCodeBuildRole、CodePipelineRole、CloudFormationRoleのそれぞれの権限記述部３０３に暫定の候補権限が記述される。このとき、入力部１０４への入力時にシステム環境および現行権限情報３０１の権限記述部３０３に付与されている権限は、Ｓ１２０４の権限設定時には権限記述部３０３より削除する。

【0096】

Ｓ１２０４でプログラム実行が成功すれば、Ｓ１２０３で導出した暫定の候補権限は対象プログラム１０２の最小権限を含むことが分かる。そのため、最小権限の操作対象とならないサービスのサービス単位の権限を削除するＳ１２０６に処理が進む。その一方で、Ｓ１２０４でプログラム実行が失敗した場合、Ｓ１２０３で導出した暫定の候補権限は対象プログラム１０２の最小権限を含まないので、暫定の候補権限を増加させる必要がある。そのため、候補権限決定部１２０１は、Ｓ１２０３で導出した暫定の候補権限に、操作対象サービスランキング情報８０１のうち解析結果情報１１０１に記載の権限付与サービスに対する操作対象サービスランキングの上位のサービスのサービス単位の権限を追加する（Ｓ１２０５）。

【0097】

例えば、図１１の解析結果情報１１０１よりCodeBuild、CodePipeline、CloudFormationが権限付与サービスなので、図８の操作対象サービスランキング情報８０１では、候補権限決定部１２０１は、この３つのサービスそれぞれが権限付与サービスである場合のランキングを参照する。このとき各サービスの操作対象ランキングの１位はLogsとS3のため、この２つのサービスのサービス単位の権限をＳ１２０３で導出した暫定の候補権限に追加して暫定の候補権限とする。

【0098】

候補権限決定部１２０１は、Ｓ１２０５で暫定の候補権限を更新後、再度Ｓ１２０４の処理を行う。なお、直前のＳ１２０４の処理と後続のＳ１２０４の処理で暫定の候補権限が同じである場合、Ｓ１２０４は実行せずＳ１２０５を再度繰り返すことで、プログラム実行回数を削減しても良い。

【0099】

また、Ｓ１２０５では、候補権限決定部１２０１は、直前のＳ１２０５で追加した操作対象サービスランキングの次の順位のサービスを、サービス単位の権限として追加する。候補権限決定部１２０１は、例えば、直前のＳ１２０５でにおいて図８の操作対象サービスランキング情報８０１で１位のサービスのサービス単位の権限を暫定の候補権限に追加していたら、後続のＳ１２０５では、図８の操作対象サービスランキング情報８０１で２位以降のサービスのサービス単位の権限を暫定の候補権限に追加する。

【0100】

なお、Ｓ１２０５における操作対象サービスランキング情報８０１を用いた暫定の候補権限追加では、操作対象サービスランキング情報８０１におけるサービスのサービス単位の権限が何位ずつ追加されるかを問わない。Ｓ１２０５では、順位が高い方からの複数のサービスのサービス単位の権限がまとめて追加されてもよい。このようにして、候補権限決定部１２０１は、Ｓ１２０５で暫定の候補権限を追加してＳ１２０４で実行結果判定用プログラム１０３を実行することを、Ｓ１２０４で実行結果判定用プログラム１０３の実行が成功するまで繰り返す。そして、Ｓ１２０４で実行結果判定用プログラム１０３の実行が成功したとき、その時点での暫定の候補権限は対象プログラム１０２の最小権限を含むことが分かる。

【0101】

本実施形態の例では、Ｓ１２０５において図８の操作対象サービスランキング情報８０１のうち３位まで暫定の候補権限に追加した際に、Ｓ１２０４の実行結果判定用プログラム１０３の実行が成功したとする。この時、暫定の候補権限は、Ｓ１２０３の暫定の候補権限にecr:*とiam:*が追加されたものとなる。

【0102】

候補権限決定部１２０１は、Ｓ１２０５では操作対象サービスランキング情報８０１を用いることで、ある特定のサービスに対してそのサービスが権限付与サービスとなる場合に操作対象となり易いサービスのサービス単位の権限を候補権限に追加している。そして、Ｓ１２０３において暗黙使用サービスでなくかつ最小権限の操作対象となるサービスのサービス単位の権限の候補は暫定の候補権限に追加されている。従って、Ｓ１２０５では、ある特定のサービスに対してそのサービスが権限付与サービスとなる場合の操作対象となり易いサービスのうち、対象プログラム１０２の暗黙使用サービスの候補となるサービスを操作対象とする権限が候補権限に追加されるということとなる。

【0103】

先ほど述べたＳ１２０５の例では、CodePipelineおよびCloudFormationに対して操作対象サービスとなり易くシステム環境および現行権限情報３０１の最小権限の暗黙使用サービスの候補となり得るという意味でIAMが、CodeBuildに対して操作対象サービスとなり易くシステム環境および現行権限情報３０１の最小権限の暗黙使用サービスの候補となり得るという意味でECRが追加されたこととなる。

【0104】

Ｓ１２０４の実行結果判定用プログラム１０３の実行成功時点で、対象プログラム１０２の最小権限の操作対象となるサービスを含むサービスのサービス単位の権限は抽出できている。しかし、暫定の候補権限には最小権限の操作対象とならないサービスのサービス単位の権限も含まれている可能性がある。

【0105】

そのため、Ｓ４におけるＳ１２０６以降の処理では、暫定の候補権限から最小権限の操作対象とならないサービスのサービス単位の権限を削除する処理を行う。この処理によって、候補権限が操作対象とするサービスと対象プログラム１０２の最小権限の操作対象となるサービスが一致し、サービス単位での過不足ない候補権限の抽出が可能となる。

【0106】

Ｓ１２０６は、Ｓ１２０７からＳ１２１０の処理の繰り返す処理である。Ｓ１２０６（ループ１）は、Ｓ１２０４の実行結果判定用プログラム１０３の実行成功時点での暫定の候補権限が操作対象とする全てのサービスに対して、対象プログラム１０２の最小権限の操作対象となるサービスか否かを検証するまで繰り返す。

【0107】

Ｓ１２０６で繰り返す処理の詳細を説明する。まず、候補権限決定部１２０１が暫定の候補権限から一定数のサービスのサービス単位の権限を削除する（Ｓ１２０７）。例えば、Ｓ１２０４の実行結果判定用プログラム１０３の実行成功時点での暫定の候補権限の例から、ecr:*とiam:*が削除されたとする。

【0108】

続いて、候補権限決定部１２０１が、直前のＳ１２０７で導出した暫定の候補権限をシステム環境および現行権限情報３０１に設定し、対象プログラム１０２でクラウドシステム２０に構築されるアプリケーションを実行結果判定用プログラム１０３で実行し、実行が正解したか失敗したかを取得する（Ｓ１２０８）。

【0109】

Ｓ１２０８で実行結果判定用プログラム１０３の実行が成功すれば、直前のＳ１２０７で削除したサービス単位の権限が操作対象とするサービスは、対象プログラム１０２の最小権限の操作対象でないということが分かる。従って、Ｓ１２０７で削除したサービス単位の権限は、暫定の候補権限から削除したままとする。

【0110】

Ｓ１２０８で実行結果判定用プログラム１０３の実行が失敗した場合、直前のＳ１２０７で削除したサービス単位の権限が操作対象とするサービスのいずれかが、対象プログラム１０２の最小権限の操作対象であることとなる。そのため、候補権限決定部１２０１が直前のＳ１２０７で削除したサービス単位の権限全てを暫定の候補権限に再追加する（Ｓ１２０９）。

【0111】

ここで、Ｓ１２０８で実行結果判定用プログラム１０３の実行が失敗し、直前のＳ１２０７で削除したサービス単位の権限が操作対象とするサービスが１つである場合、その削除したサービス単位の権限が操作対象とするサービスは、対象プログラム１０２の最小権限の操作対象であるということが分かる。ただし、直前のＳ１２０７で削除したサービス単位の権限が操作対象とするサービスが複数である場合、その削除したサービス単位の権限のどのサービスが、対象プログラム１０２の最小権限の操作対象であるか分からない。

【0112】

そのため、候補権限決定部１２０１は、まずＳ１２０７で削除したサービス単位の権限が操作対象とするサービスが複数であるか判定する（Ｓ１２１０）。ここで、複数であると判定された場合、候補権限決定部１２０１は、Ｓ１２０７で削除したサービス単位の権限が操作対象とするサービスのうち、どのサービスが対象プログラム１０２の最小権限の操作対象となるか検証するため、Ｓ１２１１の処理を行う。

【0113】

Ｓ１２１１の処理はＳ１２１２からＳ１２１４の処理の繰り返しである。Ｓ１２１１（ループ２）は、Ｓ１２０７の処理で削除したサービス単位の権限が操作対象とする全てのサービスについて、対象プログラム１０２の最小権限の操作対象となるか検証するまで繰り返す。

【0114】

Ｓ１２１１で繰り返す処理の詳細を説明する。まず、候補権限決定部１２０１が、暫定の候補権限から、Ｓ１２０７で削除したサービスの権限のうち１つのサービスの権限を削除する（Ｓ１２１２）。

【0115】

例えば、Ｓ１２０７でecr:*とiam:*を削除してＳ１２０８の実行結果判定用プログラム１０３の実行が失敗したとする。そのとき、Ｓ１２１２では、暫定の候補権限からecr:*かiam:*どちらか一方のサービス単位の権限を削除する。例えば、ecr:*を削除したとする。

【0116】

続いて、候補権限決定部１２０１が、直前のＳ１２１２で導出した暫定の候補権限をシステム環境および現行権限情報３０１に設定し、対象プログラム１０２でクラウドシステム２０に構築されるアプリケーションを実行結果判定用プログラム１０３で実行し、実行が正解したか失敗したかを取得する（Ｓ１２１３）。

【0117】

Ｓ１２１３で実行結果判定用プログラム１０３の実行が成功すれば、直前のＳ１２１２で削除したサービス単位の権限が操作対象とするサービスは、対象プログラム１０２の最小権限の操作対象でないと分かる。

【0118】

その一方で、実行が失敗した場合、直前のＳ１２１２で削除したサービス単位の権限が操作対象とするサービスが、対象プログラム１０２の最小権限の操作対象であることとなる。そのため、この場合、候補権限決定部１２０１が、直前のＳ１２１２で削除したサービス単位の権限を暫定の候補権限に再追加する（Ｓ１２１４）。

【0119】

例えば、Ｓ１２０７でecr:*とiam:*を削除してｓ１２０８の実行結果判定用プログラム１０３の実行が失敗し、Ｓ１２１２では暫定の候補権限からecr:*を削除してＳ１２１３の実行結果判定用プログラム１０３の実行が成功したとする。このとき、直前のｓ１２０８で実行結果判定用プログラム１０３が実行失敗したのは、IAMが対象プログラム１０２の最小権限の操作対象であるためだと分かる。このような場合には、Ｓ１２１１の処理をiam:*について繰り返すことはせず、暫定の候補権限にiam:*を追加してＳ１２０６に戻っても良い。

【0120】

Ｓ１２０６の処理終了後、候補権限決定部１２０１は、Ｓ１２０６終了時点での候補権限を候補権限情報１４０１に出力する（Ｓ１２１５）。

【0121】

以上で説明した一例のように、候補権限決定部１２０１は処理を行う。そして、演算装置１１により、候補権限決定部１２０１の処理に関するデータが、一例として、表示装置１５の画面に出力されてもよい。次に、画面表示の態様の一例について説明する。

【0122】

図１３は、候補権限決定処理の実行中に最小権限特定装置が表示する進捗情報画面の一例を示す図である。候補権限特定画面１３０１は、現在の操作対象サービス数１３０２と候補権限状況詳細１３０３とプログラム実行回数１３０６を有する。このうち、候補権限状況詳細１３０３は、候補サービス１３０４と候補サービス状態１３０５を有する。

【0123】

例えば、図１３の場合、現在はcodebuild:*、codepipeline:*、cloudformation:*、s3:*、codecommit:*、lambda:*、apigateway:*、logs:*、iam:*がシステム環境および現行権限情報３０１に付与されており、対象プログラム１０２が実行されている。このうち、lambda:*、apigateway:*、logs:*、iam:*はこれまでの候補権限決定処理の過程で対象プログラム１０２の最小権限の操作対象となるサービスのサービス単位の権限であると確定している。また、ecr:*はこれまでの候補権限決定処理の過程で対象プログラム１０２の最小権限の操作対象となるサービスのサービス単位の権限でないと確定しており、削除済みとされている。それ以外のサービスについては対象プログラム１０２の最小権限の操作対象となるか未確定である。

【0124】

次に、候補権限決定部１２０１が決定した候補権限情報１４０１の一例を説明する。図１４は、候補権限決定部１２０１が出力する候補権限情報の一例を示す図である。候補権限情報１４０１は候補権限１４０２を有する。例えば図１４では、codebuild:*、cloudformation:*、s3:*、codecommit:*、lambda:*、apigateway:*、logs:*、iam:*が候補権限と分かる。候補権限決定処理Ｓ４のＳ１２０６以降の処理により、これらの候補権限が操作対象とするサービスは、対象プログラム１０２の最小権限の操作対象となるサービスと一致する。従って、候補権限をサービス単位で過不足なく導出したことになる。

【0125】

本実施形態では、クラウド上に構築するアプリコード１０１とシステム環境および現行権限情報３０１を含む対象プログラム１０２を入力として最小権限を含む権限の集合（候補権限）を決定する候補権限決定部１２０１が、暗黙使用サービスを特定することを特徴とする。

【0126】

そして、上記で説明したように、最小権限導出部１０５は、候補権限情報１４０１を用いて、適宜の手法により対象プログラム１０２の最小権限を導出し、最小権限違反判定部１０７は、適宜に手法により最小権限違反を判定する。ここで、最小権限導出部１０５は、一例として、候補権限の一部または全ての権限を付与した対象プログラム１０２を実行し、実行結果に基づいて付与する権限を変更して対象プログラム１０２を実行することを繰り返し、対象プログラム１０２の最小権限を導出してもよい。

【0127】

候補権限決定部１２０１は、暗黙使用サービスの特定に際し、複数の他プログラムのシステム環境および権限情報４０１から導出するプログラムに記載がなくかつ権限の操作対象になるクラウドが提供する複数プログラムやＡＰＩ（Application Programming Interface）などの機能（サービスと呼称する）の内訳を用いて作成した暗黙使用サービス該当指数情報６０１と、複数の他プログラムのシステム環境および権限情報４０１から導出した、権限が付与されるサービスがどのサービスを操作対象とする場合が多いかの順位に関する情報（操作対象サービスランキング情報８０１）を用いる。

【0128】

そして、候補権限決定部１２０１は、対象プログラム１０２の実行が成功するまで対象プログラム１０２に付与する権限を権限の操作対象となるサービス単位で増加させる。また、候補権限決定部１２０１は、候補権限決定処理Ｓ４において対象プログラム１０２の実行が成功した場合、最小権限にならない権限をサービス単位で適宜に削除し、候補権限を決定する。

【0129】

なお、暗黙使用サービス該当指数は、そのサービスが複数のプログラムのシステム環境および権限情報４０１において環境構築サービスでなくかつ権限の操作対象になるサービス（仮暗黙使用サービス）として出現する割合と、そのサービスが複数プログラムのシステム環境および権限情報４０１で設定される権限の操作対象となるサービス（操作対象サービス）として出現する割合を基に導出される。また、操作対象サービスランキングは、複数プログラムのシステム環境および権限情報４０１において権限を付与されるサービスに対して操作対象となるサービスの割合を基に導出される。

【0130】

従って、本実施形態によれば、候補権限を機能単位（サービス単位）で過不足なく自動的に導出可能となる。そして、候補権限を絞ることで、コストの抑制を図ることができる。また、暗黙使用サービス該当指数と操作対象サービスランキングの作成では、複数プログラムのシステム環境および権限情報のみを用いるため、最小権限が求まった複数プログラム（システムおよび権限情報とアプリコードのセット）を用いる場合と比べ汎用性が高まる。

【0131】

以上実施形態について説明したが、本発明は上記した実施形態に限定されるものではなく、様々な変形例が含まれる。例えば、実施形態の構成の一部について、他の構成の追加、削除、置換をすることが可能である。

【0132】

本実施形態では、最小権限特定装置１０が説明されたが、最小権限特定装置１０から最小権限導出部１０５や最小権限違反判定部１０７に関する処理が省略された、候補権限を決定する候補権限決定装置が提供されてもよい。すなわち、プロセッサを備え、プロセッサは、候補権限決定部１２０１を実行して、最小権限の操作対象となる機能の全権限である候補権限を決定する、候補権限決定装置が提供されてもよい。なお、暗黙使用サービス該当指数および操作対象サービスランキングは、複数のプログラムのシステム環境および権限情報４０１を用いた上記と同様の手法で、この候補権限決定装置により求められてもよい。その一方で、分散された他の装置で求められ、その結果がこの候補権限決定装置に入力されてもよい。

【0133】

そして、この候補権限決定装置が決定した候補権限は、最小権限を特定する適宜の装置（一例として、最小権限導出部１０５を実行し、上記の説明と同様の方法で、候補権限の一部または全ての権限を付与した対象プログラム１０２を実行し、実行結果に基づいて付与する権限を変更して対象プログラム１０２を実行することを繰り返し、対象プログラム１０２の最小権限を判定する装置）に出力されてもよい。すなわち、候補権限決定装置と、候補権限決定装置が決定した候補権限に基づく対象プログラムの実行結果を利用して、対象プログラムの最小権限を特定する装置と、を備える最小権限特定システムが提供されてもよい。また、最小権限特定システムは、最小権限違反判定部１０７に関する処理を行うシステムであってもよい。

【0134】

最小権限特定装置１０および候補権限決定装置は、非一時的な記憶媒体を用いたデータの入出力に用いるインタフェースを備えてもよい。そして、該インタフェースを介したデータの入出力が行われてもよい。なお、記憶媒体としては、一例として、可搬性のある非一時的なデータ記憶媒体を用いることができる。

【符号の説明】

【0135】

１ クラウド実行システム、
１０ 最小権限特定装置、
２０ クラウドシステム、
１０４ 入力部、
５０１ 暗黙使用サービス該当指数導出部、
７０１ 操作対象サービスランキング導出部、
１００１ システム環境特徴解析部、
１２０１ 候補権限決定部、
１０２ 対象プログラム、
３０１ システム環境および現行権限情報、
６０１ 暗黙使用サービス該当指数情報、
８０１ 操作対象サービスランキング情報。

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】

【図9】

【図10】

【図11】

【図12】

【図13】

【図14】