特許 6990748 アクセス管理方法

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B2)

(11)【特許番号】

(24)【登録日】2021-12-08

(45)【発行日】2022-01-12

(54)【発明の名称】アクセス管理方法

(51)【国際特許分類】

   G06F 21/41 20130101AFI20220104BHJP

   G06F 21/31 20130101ALI20220104BHJP

【ＦＩ】

G06F21/41

G06F21/31

【請求項の数】 2

(21)【出願番号】P 2020103435

(22)【出願日】2020-06-16

(62)【分割の表示】P 2019205187の分割

【原出願日】2011-08-24

(65)【公開番号】P2020149728

(43)【公開日】2020-09-17

【審査請求日】2020-07-14

(73)【特許権者】

【識別番号】000155469

【氏名又は名称】株式会社野村総合研究所

(74)【代理人】

【識別番号】100105924

【弁理士】

【氏名又は名称】森下 賢樹

(72)【発明者】

【氏名】橋本 淳

【審査官】青木 重徳

(56)【参考文献】

【文献】特開２００４－１９２１３４（ＪＰ，Ａ）

【文献】特開２００６－３４３９９４（ＪＰ，Ａ）

【文献】特開２００９－２５８８２０（ＪＰ，Ａ）

【文献】特開２００８－１１７００９（ＪＰ，Ａ）

【文献】特開２０１０－０７９８２３（ＪＰ，Ａ）

【文献】Ｎｅｔｗｏｒｋ Ｎｅｗｐｏｗｅｒｓ 第１回，Ｎ＋Ｉ ＭＡＧＡＺＩＮＥ Ｎｅｔｗｏｒｋ Ｇｕｉｄｅ 第１巻 第４号，日本，ソフトバンクパブリッシング株式会社，2001年08月01日，第１巻，p.１４－１７

【文献】清水 貴司 ほか，ネットワークオペレーションにおけるオペレータ管理の一考察，電子情報通信学会技術研究報告，日本，社団法人電子情報通信学会，2003年11月13日，Ｖｏｌ．１０３ Ｎｏ．４４２，p.99-102

(58)【調査した分野】(Int.Cl.，ＤＢ名)

Ｇ０６Ｆ ２１／４１

Ｇ０６Ｆ ２１／３１

(57)【特許請求の範囲】

【請求項1】

アクセス管理装置が、
作業対象装置へログインするためのログインＩＤであり、かつ、ユーザにより申請されたログインＩＤを含む前記作業対象装置に対する作業の条件であって、管理者が許可した作業条件をユーザと対応付けて第１の記憶領域に記憶させるステップと、
ユーザの端末から受け付けた本装置に対する接続要求で指定されたユーザのアカウントと、アカウント記憶領域に予め記憶されたユーザのアカウントとが一致する場合に、ユーザの認証に成功したと判定する認証ステップと、
前記認証ステップでの認証に成功したユーザの端末へログイン先の指定画面を提供するステップと、
前記指定画面において指定された、ログイン先の作業対象装置の情報を含むログイン要求をユーザの端末から受け付けるログイン要求受付ステップと、
前記ログイン要求を受け付けた場合に、第２の記憶領域に予め記憶された前記ログイン先の作業対象装置へログインするためのログインＩＤとパスワードであって、前記第１の記憶領域に記憶された作業条件で指定されたログインＩＤに対応するログインＩＤとパスワードを使用して前記ログイン先の作業対象装置へログインすることにより、前記ログイン先の作業対象装置に対するユーザの作業を可能にするログインステップと、
を実行することを特徴とするアクセス管理方法。

【請求項2】

前記作業対象装置へのログイン後、前記ユーザの端末から受け付けた、暗号化された前記作業対象装置に対するコマンドを復号して、平文の前記作業対象装置に対するコマンドを取得し、前記平文の前記作業対象装置に対するコマンドを再度暗号化して前記作業対象装置へ送信するステップと、
前記平文の前記作業対象装置に対するコマンドを記憶部に記憶させるステップと、
を前記アクセス管理装置がさらに実行することを特徴とする請求項１に記載のアクセス管理方法。

【発明の詳細な説明】

【技術分野】

【0001】

本発明はデータ処理技術に関し、特に、情報処理装置に対するユーザのアクセスを管理する技術に関する。

【背景技術】

【0002】

ネットワーク技術の発展に伴って、ネットワークを介したコンピュータシステムへのアクセスが広く行われている。そして、ユーザがコンピュータシステムにログインする際の認証手段としてはパスワード認証が広く用いられている。パスワード認証の安全性を高めるための対策として、一定期間が経過するとパスワードを強制的に変更させたり、所定回数連続してパスワード入力に失敗すると、それ以降のログインを拒否したりすることが行われている。

【0003】

本出願人は、以下の特許文献１において、正規ユーザの使い勝手を低下させず、不正アクセスを容易に発見する技術を提案している。

【先行技術文献】

【特許文献】

【0004】

【文献】特開２００６－００４３３３号公報

【発明の概要】

【発明が解決しようとする課題】

【0005】

これまでのパスワード認証では、ユーザが作業を行うべき情報処理装置（以下、「作業対象装置」とも呼ぶ。）のパスワードをユーザへ開示する必要があった。そのため、作業対象装置にはセキュリティ上のリスクが発生することがあった。例えば、正規のユーザから悪意のある第三者へ作業対象装置のパスワードが漏洩する可能性もあった。

【0006】

本発明はこうした課題に鑑みてなされたものであり、その主な目的は、情報処理装置のセキュリティ上のリスクを低減するための技術を提供することにある。

【課題を解決するための手段】

【0007】

上記課題を解決するために、本発明のある態様のアクセス管理方法は、アクセス管理装置が、作業対象装置へログインするためのログインＩＤであり、かつ、ユーザにより申請されたログインＩＤを含む作業対象装置に対する作業の条件であって、ユーザの申請に基づいて管理者が許可した作業条件を第１の記憶領域に記憶させるステップと、ログイン先の作業対象装置を指定する情報を含むログイン要求をユーザから受け付けるログイン要求受付ステップと、第１の記憶領域に予め記憶された作業条件を充足するログイン要求を受け付けた場合に、第２の記憶領域に予め記憶されたログイン先の作業対象装置へログインするためのログインＩＤとパスワードであって、ログイン要求が充足した作業条件で指定されたログインＩＤに対応するログインＩＤとパスワードを使用してログイン先の作業対象装置へログインすることにより、ログイン先の作業対象装置に対するユーザの作業を可能にするログインステップと、を実行する。

【0008】

本発明の別の態様は、アクセス管理装置である。この装置は、ユーザが作業を行うべき作業対象装置について、その作業対象装置へログインするためのログインＩＤとパスワードを対応づけて保持するアカウント保持部と、作業対象装置へログインするためのログインＩＤであり、かつ、ユーザにより申請されたログインＩＤを含む作業対象装置に対する作業の条件であって、ユーザの申請に基づいて管理者が許可した作業条件を保持する条件保持部と、ログイン先の作業対象装置を指定する情報を含むログイン要求をユーザから受け付けるログイン要求受付部と、条件保持部に保持された作業条件を充足するログイン要求が受け付けられた場合に、アカウント保持部に保持されたログインＩＤとパスワードであって、ログイン要求が充足した作業条件で指定されたログインＩＤに対応するログインＩＤとパスワードを使用してログイン先の作業対象装置へログインすることにより、ログイン先の作業対象装置に対するユーザの作業を可能にするログイン処理部と、を備える。

【0009】

なお、以上の構成要素の任意の組合せ、本発明の表現を、システム、プログラム、プログラムを格納した記録媒体などの間で変換したものもまた、本発明の態様として有効である。

【発明の効果】

【0010】

本発明によれば、情報処理装置のセキュリティ上のリスクを低減することができる。

【図面の簡単な説明】

【0011】

【図1】実施の形態の情報処理システムの構成を示す図である。

【図2】図１のアクセス管理装置の機能構成を示すブロック図である。

【図3】アクセス管理装置の動作を示すフローチャートである。

【図4】アクセス管理装置の動作を示すフローチャートである。

【発明を実施するための形態】

【0012】

図１は、実施の形態の情報処理システムの構成を示す。情報処理システム１００はある企業内のシステムであり、運用者端末１０と、管理者端末１２と、作業対象装置１４で総称される作業対象装置１４ａ、作業対象装置１４ｂ、作業対象装置１４ｃと、アクセス管理装置１６を含む。

【0013】

運用者端末１０は、作業対象装置１４に対する作業を行うべき情報処理システム１００の運用者や開発者（以下、運用者で統一する）により操作されるＰＣである。管理者ＰＣ１２は、情報処理システム１００の管理者により操作されるＰＣである。

【0014】

作業対象装置１４は、情報処理システム１００の運用者による作業（例えば、ファイルの更新や各種設定値の調整等）の対象となるサーバである。例えば、ウェブサーバ・アプリケーションサーバ・データベースサーバ等であってもよい。また、作業対象装置１４のソフトウェア構成に制限はなく、作業対象装置１４ａ～作業対象装置１４ｃ間で異なる構成であってもよい。例えば、作業対象装置１４ａのＯＳはＵＮＩＸ（登録商標）、作業対象装置１４ｂのＯＳはＬｉｎｕｘ（登録商標）、作業対象装置１４ｃのＯＳはＷｉｎｄｏｗｓ（登録商標）であってもよい。また、運用者ＰＣ１０から作業対象装置１４へコマンドを通知するための通信プロトコルにも制限はなく、Ｔｅｌｎｅｔ・ＳＳＨ・ＦＴＰ・ＲＤＰ等であってもよい。

【0015】

アクセス管理装置１６は、複数の作業対象装置１４（図１では作業対象装置１４ａ～作業対象装置１４ｃ）に対する運用者のログイン要求を、作業対象装置１４の種別にかかわらず一括して受け付け、運用者のログインが管理者により承認済か否かを判定する。承認済であれば、アクセス管理装置１６は、運用者に代わって作業対象装置１４へログインし、運用者ＰＣ１０から送信されたコマンドを作業対象装置１４へ中継する。すなわちアクセス管理装置１６は、運用者ＰＣ１０から作業対象装置１４へのアクセスを仲介することにより、作業対象装置１４のセキュリティ強度を高めつつ、作業対象装置１４に対する運用者の作業を可能にする。

【0016】

図２は、図１のアクセス管理装置１６の機能構成を示すブロック図である。アクセス管理装置１６は、内部アカウント保持部２０と、外部アカウント保持部２２と、アカウント更新部２４と、作業条件保持部２６と、申請情報受付部２８と、申請情報通知部３０と、承認情報受付部３２と、接続要求受付部３４と、認証処理部３６と、ログイン要求受付部３８と、判定部４０と、ログイン処理部４２と、コマンド受付部４４と、コマンド転送部４６を備える。

【0017】

本明細書のブロック図において示される各ブロックは、ハードウェア的には、コンピュータのＣＰＵをはじめとする素子や機械装置で実現でき、ソフトウェア的にはコンピュータプログラム等によって実現されるが、ここでは、それらの連携によって実現される機能ブロックを描いている。したがって、これらの機能ブロックはハードウェア、ソフトウェアの組合せによっていろいろなかたちで実現できることは、当業者には理解されるところである。例えば、図２の各機能ブロックは、アクセス管理プログラムとして記録媒体に格納され、アクセス管理装置１６のストレージへインストールされてもよい。そして、アクセス管理プログラムの起動時に、各機能ブロックに対応するプログラムがメインメモリに読み出されてＣＰＵにより実行されてもよい。

【0018】

内部アカウント保持部２０は、運用者ＰＣ１０からアクセス管理装置１６への接続を運用者に許可するためのアカウント（以下、「内部アカウント」とも呼ぶ。）として、予め定められた運用者のＩＤおよびパスワードを対応付けて保持する記憶領域である。

【0019】

外部アカウント保持部２２は、作業対象装置１４への接続を許可するためのアカウント（以下、「外部アカウント」とも呼ぶ。）として、作業対象装置１４において予め定められたアカウント（具体的にはログインＩＤとパスワードの組み合わせ）を保持する記憶領域である。例えば、作業対象装置１４ａ～作業対象装置１４ｃのそれぞれにおいて定められた外部アカウントを一括して保持する。また外部アカウント保持部２２は、作業対象装置１４の特権ユーザのアカウントも外部アカウントとして保持し、例えばｒｏｏｔのパスワードや、Ａｄｍｉｎｉｓｔｒａｔｏｒのパスワードを保持する。

【0020】

アカウント更新部２４は、作業対象装置１４においてログインアカウントが変更された場合、その事実を検出して、変更後のアカウントを外部アカウント保持部２２へ格納する。例えば、作業対象装置１４は自装置においてログインアカウントを定期的に変更し、変更後のアカウントを示す情報をアクセス管理装置１６へ通知し、作業対象装置１４はその通知にもとづいて作業対象装置１４におけるアカウントの変更を検出してもよい。変形例として、アカウント更新部２４は、定期的に作業対象装置１４へアクセスしてログインアカウントを変更し、変更後のアカウントを外部アカウント保持部２２へ格納してもよい。

【0021】

作業条件保持部２６は、作業対象装置１４へのログインを運用者に許可するための条件（以下、「作業条件」とも呼ぶ。）を保持する記憶領域であり、例えば作業対象装置１４ａ～作業対象装置１４ｃのそれぞれに対する作業条件を一括して保持する。本実施の形態の作業条件には、運用者のＩＤ・作業対象装置１４に対する作業開始日時および作業終了日時・作業対象装置１４のホスト名・利用する通信プロトコル・作業対象装置１４へのログインに用いるログインＩＤ（例えばｒｏｏｔ等）が含まれる。

【0022】

申請情報受付部２８は、運用者ＰＣ１０から、作業対象装置１４へのログインを管理者へ申請するための情報（以下、「申請情報」とも呼ぶ。）を受け付ける。この申請情報には既述の作業条件と同様の内容が含まれる。すなわち、運用者のＩＤ・作業開始日時および作業終了日時・作業対象装置１４のホスト名・利用する通信プロトコル・作業対象装置１４へのログインに用いるログインＩＤが含まれる。

【0023】

申請情報通知部３０は、運用者ＰＣ１０から受け付けた申請情報を管理者ＰＣ１２へ送信して、運用者の申請内容を承認するか、もしくは拒否するかを管理者に決定させる。承認情報受付部３２は、管理者ＰＣ１２から、管理者が申請内容を承認したか否かを示す情報を受け付ける。管理者が申請内容を承認した場合、承認情報受付部３２は、運用者の申請内容を作業条件として作業条件保持部２６へ格納する。

【0024】

接続要求受付部３４は、アクセス管理装置１６への接続要求を運用者ＰＣ１０から受け付ける。この接続要求では、アクセス管理装置１６において定められた運用者のアカウント（すなわち内部アカウント）が指定される。なお、運用者ＰＣ１０～アクセス管理装置１６間の通信プロトコルは、運用者により適宜選択されてよく、例えばＴｅｌｎｅｔ・ＳＳＨ・ＦＴＰ・ＲＤＰ等であってもよい。

【0025】

認証処理部３６は運用者を認証する。具体的には、接続要求で指定された運用者のアカウントが、内部アカウント保持部２０に保持された運用者のアカウントと一致するか否かを判定する。一致した場合、運用者の認証に成功した旨を接続要求受付部３４へ通知する。接続要求受付部３４は、運用者の認証が成功した場合、運用者ＰＣ１０との通信セッションを確立させて、認証成功の旨を運用者ＰＣ１０へ通知する。運用者ＰＣ１０は、認証成功の旨が通知されると、ログイン先とする作業対象装置１４（言い換えれば運用者が作業を実施する作業対象装置１４）の指定画面をディスプレイに表示させる。変形例として、接続要求受付部３４は、運用者の認証に成功した場合、ログイン先の指定画面のデータを運用者ＰＣ１０へ送信して運用者ＰＣ１０にて表示させてもよい。

【0026】

ログイン要求受付部３８は、接続要求受付部３４が確立した運用者ＰＣ１０～アクセス管理装置１６間の通信セッションを介して、運用者ＰＣ１０から、特定の作業対象装置１４へのログインを要求する情報（以下、「ログイン要求」とも呼ぶ。）を受け付ける。このログイン要求には、運用者ＰＣ１０で表示されたログイン先の指定画面において運用者が指定したログイン先とする作業対象装置１４（以下、「指定装置」とも呼ぶ。）を示す情報が含まれる。その一方、指定装置のアカウント（例えばパスワード）はログイン要求に含まれない。

【0027】

判定部４０は、ログイン要求が作業条件保持部２６に格納された作業条件を充足するか否かを判定する。具体的には、ログイン要求の送信元である運用者のＩＤが作業条件の運用者のＩＤと一致し、かつ、ログイン要求の受付日時が作業条件の作業開始時刻から作業終了日時の範囲にあり、かつ、ログイン要求での指定装置が作業条件の接続先装置と一致する場合、ログイン要求が作業条件を充足すると判定する。

【0028】

ログイン処理部４２は、ログイン要求が作業条件を充足すると判定された場合、指定装置のアカウントがログイン要求に含まれていなくても、外部アカウント保持部２２に保持された指定装置のアカウントを用いて指定装置へログインし、アクセス管理装置１６と指定装置間の通信セッションを確立させる。具体的には、指定装置において予め定められたアカウントであり、作業条件で指定されたログインＩＤに対応するアカウント（ログインＩＤとパスワードであり、例えばｒｏｏｔとｒｏｏｔのパスワード）を外部アカウント保持部２２から取得する。そして、作業条件で指定された通信プロトコルを使用して、外部アカウント保持部２２から取得したアカウントを指定したログイン要求を指定装置へ送信する。

【0029】

コマンド受付部４４は、接続要求受付部３４が確立した運用者ＰＣ１０～アクセス管理装置１６間の通信セッションを介して、運用者ＰＣ１０から、指定装置に対するコマンドを受け付ける。コマンド転送部４６は、コマンド受付部４４において受け付けられたコマンドを、ログイン処理部４２が確立したアクセス管理装置１６～指定装置間の通信セッションを介して指定装置へ転送する。

【0030】

以上の構成による動作を以下説明する。
図３は、アクセス管理装置１６の動作を示すフローチャートである。運用者ＰＣ１０から送信された申請情報を申請情報受付部２８が受け付けると（Ｓ１０のＹ）、申請情報通知部３０はその申請情報を管理者ＰＣ１２へ送信する（Ｓ１２）。承認情報受付部３２は、申請内容を承認した旨の情報を管理者ＰＣ１２から受け付けると（Ｓ１４のＹ）、申請内容を作業条件として作業条件保持部２６へ格納する（Ｓ１６）。申請内容を承認した旨の情報を受け付けなければ（Ｓ１４のＮ）、Ｓ１６はスキップされる。運用者ＰＣ１０からの申請情報を受け付けなければ（Ｓ１０のＮ）、Ｓ１２～Ｓ１６はスキップされる。アカウント更新部２４は、作業対象装置１４においてアカウントが変更されたことを検出すると（Ｓ１８のＹ）、変更後のアカウントを作業対象装置１４から取得して外部アカウント保持部２２へ格納する（Ｓ２０）。作業対象装置１４におけるアカウント変更が未検出であれば（Ｓ１８のＮ）、Ｓ２０はスキップされる。

【0031】

図４もアクセス管理装置１６の動作を示すフローチャートである。同図は図３の動作の続きを示している。運用者ＰＣ１０から送信された接続要求を接続要求受付部３４が受け付けると（Ｓ３０のＹ）、認証処理部３６はその接続要求にもとづいて運用者を認証する。運用者の認証に成功した場合（Ｓ３２のＹ）、接続要求受付部３４はその旨を運用者ＰＣ１０へ通知してログイン先の指定画面を運用者ＰＣ１０に表示させる（Ｓ３４）。運用者の認証に失敗した場合（Ｓ３２のＮ）、Ｓ３４をスキップし、運用者ＰＣ１０からの接続要求を受け付けない場合（Ｓ３０のＮ）、Ｓ３２およびＳ３４をスキップする。

【0032】

運用者ＰＣ１０から送信されたログイン要求をログイン要求受付部３８が受け付けると（Ｓ３６のＹ）、判定部４０はそのログイン要求が作業条件を充足するか否かを判定する。ログイン要求が作業条件を充足する場合（Ｓ３８のＹ）、ログイン処理部４２は外部アカウント保持部２２からログイン要求における指定装置のアカウントを取得し（Ｓ４０）、そのアカウントを用いて指定装置へログインする（Ｓ４２）。

【0033】

コマンド受付部４４は、運用者ＰＣ１０からコマンドを受け付けるまで待機する（Ｓ４４のＮ）。運用者ＰＣ１０から送信されたコマンドをコマンド受付部４４が受け付けると（Ｓ４４のＹ）、コマンド転送部４６はそのコマンドを作業対象装置１４へ送信する（Ｓ４６）。運用者ＰＣ１０から受け付けたコマンドが終了コマンド（例えば「ｅｘｉｔ」コマンド）であれば（Ｓ４８のＹ）、コマンド受付部４４は運用者ＰＣ１０との通信セッションを切断して本図のフローを終了する。運用者ＰＣ１０から受け付けたコマンドが終了コマンドでなければ（Ｓ４８のＮ）、Ｓ４４のコマンド待ちの状態へ戻る。ログイン要求が作業条件を充足しない場合（Ｓ３８のＮ）、もしくは、ログイン要求を受け付けない場合（Ｓ３６のＮ）、以降の処理をスキップして本図のフローを終了する。

【0034】

本実施の形態の情報処理システム１００によれば、作業対象装置１４へのログインを運用者や開発者に代わってアクセス管理装置１６が行う。したがって、作業対象装置１４のアカウント（特にパスワード）を運用者や開発者から秘匿でき、作業対象装置１４のセキュリティ上のリスクを低減することができる。例えば、運用者や開発者から悪意のある第三者へアカウントが漏洩してしまうことや、管理者が承認した範囲を超えて運用者や開発者が作業対象装置１４へアクセスすることを防止できる。情報処理システム１００によれば、作業対象装置１４のアクセスログにより不正アクセスがあったか否かを事後的に発見できるだけでなく、そもそも不正アクセスの発生を予防できる。

【0035】

また作業対象装置１４へのログインアカウントは定期的に変更されて、アクセス管理装置１６の外部アカウント保持部２２に格納される。これにより、作業対象装置１４のセキュリティ上のリスクを一層低減できる。それに加えて、作業対象装置１４におけるログインアカウント変更の影響はアクセス管理装置１６が吸収し、運用者および開発者はその影響を受けないため、運用者および開発者の利便性を高めることができる。

【0036】

また作業対象装置１４へのアクセス制御をアクセス管理装置１６が一括して行うため、作業対象装置１４は複数の運用者や開発者それぞれに対する個別のアカウントを予め定める必要がない。また、それら個別のアカウントに対して各種のアクセス権を設定する必要もない。したがって、作業対象装置１４には手を加えることなく、作業対象装置１４のセキュリティ上のリスクを低減することができる。

【0037】

以上、本発明を実施の形態をもとに説明した。この実施の形態は例示であり、それらの各構成要素や各処理プロセスの組合せにいろいろな変形例が可能なこと、またそうした変形例も本発明の範囲にあることは当業者に理解されるところである。以下変形例を示す。

【0038】

第１の変形例を説明する。上記実施の形態では言及していないが、コマンド受付部４４は、現在日時が作業条件で規定された作業終了日時を途過したか否かを監視し、途過した場合には運用者ＰＣ１０とアクセス管理装置１６との通信セッションを切断してもよい。同様にコマンド転送部４６は、現在日時が作業条件の作業終了日時を途過したか否かを監視し、途過した場合にはアクセス管理装置１６と作業対象装置１４との通信セッションを切断してもよい。この態様によると、作業終了日時を途過した後は、運用者からのコマンドは作業対象装置１４へ転送されなくなるため、管理者により承認された範囲内で運用者による作業を許容することができる。

【0039】

別の変形例として、コマンド受付部４４は、現在日時が作業条件の作業終了日時を途過した場合でも、運用者ＰＣ１０とアクセス管理装置１６との通信セッションを維持してもよい。同様にコマンド転送部４６は、現在日時が作業条件の作業終了日時を途過した場合でも、アクセス管理装置１６と作業対象装置１４との通信セッションを維持してもよい。さらにまた、現在日時が作業条件の作業終了日時を途過した場合に通信セッションを切断するか、もしくは維持するかを運用者が選択可能としてもよく、運用者による選択結果が申請情報（すなわち作業条件）に含まれてもよい。この場合、コマンド受付部４４およびコマンド転送部４６は、現在日時が作業条件の作業終了日時を途過した場合に通信セッションを切断するかもしくは維持するかを、作業条件にしたがって決定してもよい。

【0040】

第２の変形例を説明する。アクセス管理装置１６は、ログ保持部とログ出力部とログ検索部をさらに備えてもよい。ログ保持部は、運用者の内部アカウント、ログイン先の作業対象装置１４のホスト名、作業対象装置１４へのログインアカウント（外部アカウント）、作業対象装置１４へ発行したコマンド、コマンド発行日時を対応づけたログを保持する。ログ出力部は、ログイン要求に応じて作業対象装置１４へのログインがなされた場合、運用者の内部アカウント、ログイン先の作業対象装置１４のホスト名、作業対象装置１４へのログインアカウントをログイン情報として保持しておく。そして、コマンド受付部４４において運用者ＰＣ１０からコマンドが受け付けられた際、そのコマンド、ログイン情報、現在日時（すなわちコマンド発行日時）を対応づけてログ保持部へ格納する。

【0041】

ログ検索部は、検索キーワードが指定された検索要求を管理者ＰＣ１２から受け付ける。そして、検索キーワードにもとづいてログ保持部に格納されたログを検索し、検索にヒットしたログの情報を管理者ＰＣ１２へ送信する。第２の変形例によれば、複数の作業対象装置１４に亘るアクセスログをアクセス管理装置１６が一括して管理するため、複数の作業対象装置１４に亘るアクセスログを管理者が容易に取得することができる。例えば、特定の運用者のＩＤ（特定の内部アカウント）を検索キーワードとしてアクセス管理装置１６に対して検索要求を行うことで、各作業対象装置１４に問い合わせることなく、特定の運用者が複数の作業対象装置１４に対してアクセスした履歴を効率的に取得できる。

【0042】

第３の変形例を説明する。アクセス管理装置１６は、禁止コマンド保持部とコマンド判定部をさらに備えてもよい。禁止コマンド保持部は、作業対象装置１４への発行を禁止すべきコマンドとして予め定められた禁止コマンドを示す情報を保持する。禁止コマンドには、例えば、ユーザのパスワードを変更するコマンド（ｐａｓｓｗｄコマンド等）や、ユーザのアカウントを切り替えるコマンド（ｓｕコマンド等）が含まれてもよい。コマンド判定部は、運用者ＰＣ１０から受け付けられたコマンドが禁止コマンド保持部に保持された禁止コマンドに一致するか否かを判定する。不一致の場合、コマンド判定部は運用者ＰＣ１０から受け付けられたコマンドをコマンド転送部４６へ渡す。一致した場合、コマンド判定部は運用者ＰＣ１０から受け付けられたコマンドをコマンド転送部４６に渡すことを抑止して破棄する。この場合、コマンド判定部は禁止コマンドであるため作業対象装置１４への転送を拒否した旨を運用者ＰＣ１０へ通知してもよい。

【0043】

なお第２の変形例および第３の変形例において、運用者ＰＣ１０～アクセス管理装置１６間およびアクセス管理装置１６～作業対象装置１４間が暗号化通信である場合（例えばＳＳＨ通信である場合）について付言する。この場合、アクセス管理装置１６は、運用者ＰＣ１０から受け付けた暗号化コマンドを一旦復号し、復号後の平文のコマンドを再度暗号化して作業対象装置１４へ送信する。したがって、第２の変形例のログ出力部は、平文のコマンドを示すログをログ保持部へ格納し、第３の変形例のコマンド判定部は平文のコマンドと禁止コマンドとを比較する。このように通信経路上は暗号化通信によりセキュリティ強度を維持しつつ、コマンドの保存や禁止コマンドとの比較は平文のコマンドを用いて実現できる。

【0044】

第４の変形例を説明する。上記実施の形態ではアクセス管理装置１６が外部アカウント保持部２２およびアカウント更新部２４を備えることとした。変形例として、アクセス管理装置１６とは別の情報処理装置（ここでは「アカウント管理装置」とも呼ぶ。）が、アクセス管理装置１６に代わって外部アカウント保持部２２およびアカウント更新部２４を備え、さらに外部アカウント提供部を備えてもよい。この場合、アクセス管理装置１６のログイン処理部４２は、ログイン先の作業対象装置１４のホスト名と、ログインで使用する作業対象装置１４のログインＩＤとを指定したパスワード要求をアカウント管理装置へ送信する。アカウント管理装置の外部アカウント提供部は、パスワード要求で指定されたログインＩＤに対応づけられたパスワードをアクセス管理装置１６へ提供する。

【0045】

上述した実施の形態、変形例の任意の組み合わせもまた本発明の実施の形態として有用である。組み合わせによって生じる新たな実施の形態は、組み合わされる実施の形態、変形例それぞれの効果をあわせもつ。

【0046】

請求項に記載の各構成要件が果たすべき機能は、実施の形態および変形例において示された各構成要素の単体もしくはそれらの連係によって実現されることも当業者には理解されるところである。

【符号の説明】

【0047】

１０ 運用者ＰＣ、 １２ 管理者ＰＣ、 １４，１６ アクセス管理装置、 ２０ 内部アカウント保持部、 ２２ 外部アカウント保持部、 ２４ アカウント更新部、 ２６ 作業条件保持部、 ３４ 接続要求受付部、 ３６ 認証処理部、 ３８ ログイン要求受付部、 ４０ 判定部、 ４２ ログイン処理部、 ４４ コマンド受付部、 ４６ コマンド転送部、 １００ 情報処理システム。

【図1】

【図2】

【図3】

【図4】