特許 7564144 ポリシー設定制御装置、ポリシー設定制御方法、及びポリシー設定制御プログラム

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B2)

(11)【特許番号】

(24)【登録日】2024-09-30

(45)【発行日】2024-10-08

(54)【発明の名称】ポリシー設定制御装置、ポリシー設定制御方法、及びポリシー設定制御プログラム

(51)【国際特許分類】

   G06F 21/60 20130101AFI20241001BHJP

【ＦＩ】

G06F21/60 340

【請求項の数】 13

(21)【出願番号】P 2022041067

(22)【出願日】2022-03-16

(65)【公開番号】P2023135797

(43)【公開日】2023-09-29

【審査請求日】2024-02-21

(73)【特許権者】

【識別番号】000005108

【氏名又は名称】株式会社日立製作所

(74)【代理人】

【識別番号】110000279

【氏名又は名称】弁理士法人ウィルフォート国際特許事務所

(72)【発明者】

【氏名】馬場 恒彦

(72)【発明者】

【氏名】大越 淳平

(72)【発明者】

【氏名】増田 博亮

【審査官】塩澤 如正

(56)【参考文献】

【文献】特開平７－１４１２９６（ＪＰ，Ａ）

【文献】特開２００９－１９３２８９（ＪＰ，Ａ）

【文献】特開２００７－２３３６１０（ＪＰ，Ａ）

(58)【調査した分野】(Int.Cl.，ＤＢ名)

Ｇ０６Ｆ ２１／６０

(57)【特許請求の範囲】

【請求項1】

資源に対するアクセスを制御するポリシーの設定を制御するポリシー設定制御装置であって、
前記ポリシー設定制御装置は、プロセッサを有し、
前記ポリシーは、アクセス対象の資源と、アクセスする主体と、アクセスの動作とを含み、
前記プロセッサは、
新たに設定する候補となる候補ポリシーの入力を受け付け、
前記候補ポリシーに含まれる主体及び／又は資源の値に対応する属性値を取得し、
前記候補ポリシーの主体及び／又は資源の値を、前記取得した属性値に変更することにより、１以上の変換後ポリシーを生成し、
生成したすべての変換後ポリシーについて、既存ポリシーと整合性がとれている場合には、前記候補ポリシーを新たなポリシーとして設定させる
ポリシー設定制御装置。

【請求項2】

前記プロセッサは、
前記変換後ポリシーと前記既存ポリシーとの整合性がとれているか否かを判定する
請求項１に記載のポリシー設定制御装置。

【請求項3】

前記プロセッサは、
前記変換後ポリシーと前記既存ポリシーとの整合性がとれていない場合には、前記候補ポリシーにおける動作を実行しないと変更し、変更後のポリシーを設定させる
請求項１に記載のポリシー設定制御装置。

【請求項4】

前記プロセッサは、
前記変換後ポリシーと前記既存ポリシーとの整合性がとれていない場合には、前記候補ポリシーをより狭いポリシーに変更し、変更後のポリシーを設定させる
請求項１に記載のポリシー設定制御装置。

【請求項5】

前記プロセッサは、
前記変換後ポリシーと前記既存ポリシーとの整合性がとれていない場合には、前記候補ポリシーの動作をより狭い動作に変更する
請求項４に記載のポリシー設定制御装置。

【請求項6】

前記プロセッサは、
前記候補ポリシーを、前記候補ポリシーの資源の少なくとも一部のデータをマスキングして提供する動作に変更する
請求項５に記載のポリシー設定制御装置。

【請求項7】

前記プロセッサは、
前記変換後ポリシーと前記既存ポリシーとの整合性がとれていない場合には、管理者から修正ポリシーを受け付け、候補ポリシーを前記修正ポリシーに対応する内容に変更し、変更後のポリシーを新たなポリシーとして設定させる
請求項１に記載のポリシー設定制御装置。

【請求項8】

前記プロセッサは、
前記修正ポリシーが、既存ポリシーとの整合性をとれている場合に、前記候補ポリシーを前記修正ポリシーに対応する内容に変更し、変更後のポリシーを新たなポリシーとして設定させる
請求項７に記載のポリシー設定制御装置。

【請求項9】

前記プロセッサは、
前記候補ポリシーの第１資源と類似する第２資源に対するポリシーに基づいて、前記第１資源に対するポリシーを類推し、類推したポリシーを前記既存ポリシーに追加する
請求項１に記載のポリシー設定制御装置。

【請求項10】

前記第１資源及び第２資源は、テーブルである
請求項９に記載のポリシー設定制御装置。

【請求項11】

前記プロセッサは、
前記変換後ポリシーと、前記変換後ポリシーと前記既存ポリシーとの整合性結果とを表示出力させる
請求項１に記載のポリシー設定制御装置。

【請求項12】

資源に対するアクセスを制御するポリシーの設定を制御するポリシー設定制御装置によるポリシー設定制御方法であって、
前記ポリシーは、アクセス対象の資源と、アクセスする主体と、アクセスの動作とを含み、
前記ポリシー設定制御装置は、
新たに設定する候補となる候補ポリシーの入力を受け付け、
前記候補ポリシーに含まれる主体及び／又は資源の値に対応する属性値を取得し、
前記候補ポリシーの主体及び／又は資源の値を、前記取得した属性値に変更することにより、１以上の変換後ポリシーを生成し、
生成したすべての変換後ポリシーについて、既存ポリシーと整合性がとれている場合には、前記候補ポリシーを新たなポリシーとして設定させる
ポリシー設定制御方法。

【請求項13】

資源に対するアクセスを制御するポリシーの設定を制御するコンピュータに実行させるポリシー設定制御プログラムであって、
前記ポリシーは、アクセス対象の資源と、アクセスする主体と、アクセスの動作とを含み、
前記コンピュータに、
新たに設定する候補となる候補ポリシーの入力を受け付けさせ、
前記候補ポリシーに含まれる主体及び／又は資源の値に対応する属性値を取得させ、
前記候補ポリシーの主体及び／又は資源の値を、前記取得した属性値に変更することにより、１以上の変換後ポリシーを生成させ、
生成したすべての変換後ポリシーについて、既存ポリシーと整合性がとれている場合には、前記候補ポリシーを新たなポリシーとして設定させる
ポリシー設定制御プログラム。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、データが格納される資源に対するアクセスのポリシーの設定を制御する技術に関する。

【背景技術】

【0002】

例えば、企業では、組織変更や人事異動が行われると、ユーザに関するアイデンティティ情報であるユーザ属性情報が更新される。これに伴って、企業で使用している情報システムにおいては、データへのアクセスに関するポリシーの更新作業や、システム環境の更新作業が必要となる。一般的には、ポリシーの更新作業や、システム環境の更新作業は、人手を介して行われることとなる。

【0003】

データへのアクセスに関するポリシーは、例えば、ユーザ等の主体、アクセス方法等の動作、及びデータストア等の資源（リソース）により構成され、これらの要素と属性によって構成される。情報システムにおいては、マスタデータ管理、セキュリティ・プライバシー管理、ライフサイクル管理等の管理目的に応じて異なる体系のポリシーが利用されており、データガバナンスでは、これらの異なる体系においてポリシーの整合性が保たれることが不可欠である。

【0004】

ポリシーに関する技術としては、例えば、組織の複数の層からポリシー入力を収集し及び該組織の複数の層にわたって一貫性を有するセキュリティポリシーを生成するサービスが知られている（特許文献１参照）。また、階層関係にある対象にそれぞれ対応するポリシが存在する場合に、対象同士の階層関係を予め関係付けておき、任意の対象に対応するポリシについて、そのポリシに対応する対象を基に階層関係での上位対象を特定しそれに対応する相手ポリシとの矛盾の有無などを判定し出力する技術が知られている（特許文献２参照）。また、第１ユーザＩＤに対応した第２ユーザＩＤを少なくとも含む複数の項目が関連付けられたユーザ属性情報を記述した少なくとも１つの条件から成り、ユーザ属性情報の値が前記条件を満足する時にサービスの利用を許可する各サービスの利用権限を規定した複数のポリシを記憶するポリシ記憶装置と、ユーザ属性情報が変更されたときに記憶された各ポリシを更新可能なポリシ更新装置と、変更後のユーザ属性情報と、変更前のユーザ属性情報の値と変更後のユーザ属性情報の値とを含む第２ユーザＩＤ毎の変更内容とを記憶するユーザ属性情報記憶装置とを含むシステムが知られている（特許文献３参照）。

【先行技術文献】

【特許文献】

【0005】

【文献】特表２０１４－５１９１３１号公報

【文献】特開２０１２－１０８６２９号公報

【文献】国際公開第２０１４／０４９７４１号

【発明の概要】

【発明が解決しようとする課題】

【0006】

新たなポリシーを設定する場合には、既存のポリシーと整合性がとれていることが必要であるが、このようなポリシーを把握して設定することは、手間がかかり困難である場合が多い。

【0007】

本発明は、上記事情に鑑みなされたものであり、その目的は、ポリシーを容易且つ適切に設定することのできる技術を提供することにある。

【課題を解決するための手段】

【0008】

上記目的を達成するため、一観点に係るポリシー設定制御装置は、資源に対するアクセスを制御するポリシーの設定を制御するポリシー設定制御装置であって、前記ポリシー設定制御装置は、プロセッサを有し、前記ポリシーは、アクセス対象の資源と、アクセスする主体と、アクセスの動作とを含み、前記プロセッサは、新たに設定する候補となる候補ポリシーの入力を受け付け、前記候補ポリシーに含まれる主体及び／又は資源の値に対応する属性値を取得し、前記候補ポリシーの主体及び／又は資源の値を、前記取得した属性値に変更することにより、１以上の変換後ポリシーを生成し、生成したすべての変換後ポリシーについて、既存ポリシーと整合性がとれている場合には、前記候補ポリシーを新たなポリシーとして設定させる。

【発明の効果】

【0009】

本発明によれば、ポリシーを容易且つ適切に設定することができる。

【図面の簡単な説明】

【0010】

【図1】図１は、一実施形態に係るポリシー利用システムの全体構成図である。

【図2】図２は、一実施形態に係るポリシー設定制御装置の構成図である。

【図3】図３は、一実施形態に係るポリシー決定処理のフローチャートである。

【図4】図４は、第１実施例に係るポリシー設定制御装置の第１処理動作例を説明する図である。

【図5】図５は、第１実施例に係るポリシー設定制御装置の第２処理動作例を説明する図である。

【図6】図６は、第２実施例に係るポリシー設定制御装置の処理動作例を説明する図である。

【図7】図７は、第３実施例に係るポリシー設定制御装置の処理動作例を説明する図である。

【図8】図８は、第４実施例に係るポリシー設定制御装置の第１処理動作例を説明する図である。

【図9】図９は、第４実施例に係るポリシー設定制御装置の第２処理動作例を説明する図である。

【発明を実施するための形態】

【0011】

実施形態について、図面を参照して説明する。なお、以下に説明する実施形態は特許請求の範囲に係る発明を限定するものではなく、また実施形態の中で説明されている諸要素及びその組み合わせの全てが発明の解決手段に必須であるとは限らない。

【0012】

以下の説明では、「ＡＡＡテーブル」の表現にて情報を説明することがあるが、情報は、どのようなデータ構造で表現されていてもよい。すなわち、情報がデータ構造に依存しないことを示すために、「ＡＡＡテーブル」を「ＡＡＡ情報」と呼ぶことができる。

【0013】

図１は、第１実施形態に係るポリシー利用システムの全体構成図である。

【0014】

ポリシー利用システム１は、ＰＡＰ（Ｐｏｌｉｃｙ Ａｄｍｉｎｉｓｔｒａｔｉｏｎ Ｐｏｉｎｔ）サーバ１０と、ポリシー設定制御装置１００と、ＰＩＰ（Ｐｏｌｉｃｙ Ｉｎｆｏｒｍａｔｉｏｎ Ｐｏｉｎｔ）サーバ２０とを備える。ＰＡＰサーバ１０と、ポリシー設定制御装置１００と、ＰＩＰサーバ２０とは、例えば、ＷＡＮ（Ｗｉｄｅ Ａｒｅａ Ｎｅｔｏｗｏｒｋ）、ＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）等を介して接続されている。

【0015】

ＰＡＰサーバ１０は、データを管理する資源に対するアクセス制御ポリシーを管理する。具体的には、ＰＡＰサーバ１０は、資源を利用する主体からの資源に対する動作の指示を受け付けて、資源に対して指示された動作を許容するか否かを判定し、許容すると判定した場合に、主体からの資源に対する動作を許容する。ＰＩＰサーバ２０は、主体、資源、各種環境の属性情報等を管理する。

【0016】

ポリシー設定制御装置１００は、ポリシーマッピング部１０１と、ポリシールール記憶部１０２と、ＰＤＰ問い合わせ部１０４と、ポリシー判定部１０５と、ポリシー判定結果チェック部１０７と、ポリシー決定部１０８と、ポリシー自動修正部１０９と、ポリシー受付部１１０と、類似ポリシー抽出部１１１とを含む。

【0017】

ポリシー記憶部１０２は、ＰＡＰサーバ１０で使用しているポリシーを特定可能なルール（ポリシールール）を格納する。ポリシールールは、ＰＡＰサーバ１０で使用している複数のポリシーであってもよい。この場合、任意のタイミングでＰＡＰサーバ１０からポリシーを取得するようにしてもよい。

【0018】

ポリシーマッピング部１０１は、ＰＡＰサーバ１０から候補となる入力ポリシー１１（候補ポリシー）を受け付け、ポリシールール記憶部１０２のポリシールールを参照し、ＰＩＰサーバ２０から入力ポリシー１１に対応する必要な属性情報を取得し、入力ポリシー１１に対して取得した属性情報を適用した変換後ポリシー１０３を生成する。

【0019】

ＰＤＰ問い合わせ部１０４は、変換後ポリシー１０３の各ポリシーについてポリシー判定部１０５に既存ポリシーに適合するかを問合せ、ポリシー判定部１０５から判定結果を受け取り、変換後ポリシー１０３に対して判定結果を対応付けた判定後ポリシー１０６を出力する。

【0020】

ポリシー判定部１０５は、ＰＤＰ（Ｐｏｌｉｃｙ Ｄｅｃｉｓｉｏｎ Ｐｏｉｎｔ）として機能し、ＰＤＰ問い合わせ部１０４から問い合わせを受けた各変換後ポリシー１０３のそれぞれについて既存ポリシーに適合するか否かを判定し、判定結果（整合性結果）をＰＤＰ問い合わせ部１０４に通知する。

【0021】

ポリシー判定結果チェック部１０７は、判定後ポリシー１０６を参照し、判定後ポリシー１０６のすべてが既存ポリシーに適合するか否かを判定し、判定後ポリシー１０６のすべてが既存ポリシーを満たしている場合（可である場合）には、ポリシー決定部１０８にその旨を通知する一方、判定後ポリシー１０６のいずれかが既存ポリシーを満たしていない場合（不可である場合）には、その旨をポリシー自動修正部１０９に通知する。なお、ポリシー判定結果チェック部１０７は、判定後ポリシー１０６を管理者が認識可能に表示出力してもよい。

【0022】

類似ポリシー抽出部１１１は、入力ポリシー１１のデータ属性に類似するデータ属性のポリシーをポリシールール記憶部１０２のポリシールールに基づいて修正した修正ポリシー候補をポリシー自動修正部１０９に出力する。

【0023】

ポリシー自動修正部１０９は、ポリシー判定結果チェック部１０７から既存ポリシーを満たしていない旨の通知を受けた場合において、入力ポリシー１１を既存ポリシーに矛盾しないポリシーに修正する。なお、類似ポリシー抽出部１１１から抽出された修正ポリシー候補を修正してもよい。

【0024】

ポリシー受付部１１０は、データ管理者から新たに適用する修正ポリシーを受け付ける。なお、ポリシー受付部１１０は、ポリシー自動修正部１０９により作成されたポリシーに対する修正を受け付けることにより、修正ポリシーを受け付けてもよい。

【0025】

ポリシー決定部１０８は、ポリシー判定結果チェック部１０７から判定後ポリシー１０６のすべてが既存ポリシーを満たしている旨の通知を受けた場合における入力ポリシー１１、ポリシー自動修正部１０９から受け付けた修正ポリシー、又はポリシー受付部１１０がデータ管理者から受け付けた管理者入力ポリシーのいずれかをＰＡＰサーバ１０に設定する確定ポリシー１１２に決定し、ＰＡＰサーバ１０に送信する。

【0026】

図２は、一実施形態に係るポリシー設定制御装置の構成図である。

【0027】

ポリシー設定制御装置１００は、例えば、ＰＣ（Ｐｅｒｓｏｎａｌ Ｃｏｍｐｕｔｅｒ）やサーバ装置等のコンピュータにより構成され、通信インターフェース（Ｉ／Ｆ）１２１と、プロセッサの一例としてのＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）１２２と、入力装置１２３と、記憶デバイス１２４と、メモリ１２５と、表示装置１２６と、を備えている。通信Ｉ／Ｆ１２１と、ＣＰＵ１２２と、入力装置１２３と、記憶デバイス１２４と、メモリ１２５と、表示装置１２６とは、内部バス１２７を介して接続されている。

【0028】

通信Ｉ／Ｆ１２１は、例えば、有線ＬＡＮカードや無線ＬＡＮカードなどのインターフェースであり、図示しないネットワークを介して他の装置（例えば、ＰＡＰサーバ１０、ＰＩＰサーバ２０）と通信する。

【0029】

ＣＰＵ１２２は、メモリ１２５及び／又は記憶デバイス１２４に格納されているプログラムに従って各種処理を実行する。本実施形態では、ポリシーマッピング部１０１、ＰＤＰ問い合わせ部１０４、ポリシー判定部１０５、ポリシー判定結果チェック部１０７、ポリシー決定部１０８、ポリシー自動修正部１０９、ポリシー受付部１１０、及び類似ポリシー抽出部１１１は、メモリ１２５に格納されているポリシー設定制御プログラムをＣＰＵ１２２が実行することにより構成される。

【0030】

メモリ１２５は、例えば、ＲＡＭ（ＲＡＮＤＯＭ ＡＣＣＥＳＳ ＭＥＭＯＲＹ）であり、ＣＰＵ１２２で実行されるプログラム（例えば、ポリシー設定制御プログラム）や、必要な情報を記憶する。メモリ１２５は、変換後ポリシー１０３や、判定後ポリシー１０６を記憶する。

【0031】

記憶デバイス１２４は、例えば、ハードディスクやフラッシュメモリなどであり、ＣＰＵ１２２で実行されるプログラムや、ＣＰＵ１２２に利用されるデータを記憶する。本実施形態では、記憶デバイス１２４は、ポリシールール記憶部１０２に対応する。

【0032】

入力装置１２３は、例えば、マウス、キーボード等であり、ユーザによる情報の入力を受け付ける。表示装置１２６は、例えば、ディスプレイであり、各種情報を含むユーザインターフェースを表示出力する。

【0033】

次に、ポリシー決定処理について説明する。

【0034】

図３は、一実施形態に係るポリシー決定処理のフローチャートである。

【0035】

ポリシーマッピング部１０１は、ＰＡＰサーバ１０から新たに設定する候補とする入力ポリシー１１を受信する（ステップＳ１１）。

【0036】

次いで、ポリシーマッピング部１０１は、入力ポリシー１１のポリシー体系を判定し、ポリシールール記憶部１０２から入力ポリシー１１に対して適用可能な既存ポリシーのポリシー体系を抽出し、抽出したポリシー体系に必要な属性情報をＰＩＰサーバ２０から取得し、入力ポリシー１１を、取得した属性情報により変換することにより変換後ポリシー１０３を生成する（ステップＳ１２）。

【0037】

次いで、ＰＤＰ問い合わせ部１０４は、ポリシー判定部１０５によって、変換後ポリシー１０３が既存ポリシーに適合するか否かを判定させ、判定結果を受け付けて、判定後ポリシー１０６を生成する（ステップＳ１３）。

【0038】

次いで、ポリシー判定結果チェック部１０７は、判定後ポリシー１０６を参照し、すべての変換後ポリシーに対する判定結果が可である否かを判定する（ステップＳ１４）。

【0039】

この結果、すべての判定結果が可である場合（ステップＳ１４：ＹＥＳ）には、ポリシー決定部１０８は、入力ポリシー１１を設定するポリシーに確定し（ステップＳ１５）、処理をステップＳ１７に進める。一方、いずれかの判定結果が不可である場合（ステップＳ１４：ＮＯ）には、ポリシー自動修正部１０９は、矛盾が生じないポリシーを用いて、入力ポリシー１１を修正し（ステップＳ１６）、処理をステップＳ１７に進める。

【0040】

ステップＳ１７では、ポリシー決定部１０８は、ポリシー受付部１１０によりデータ管理者からの修正を受け付けた場合には、入力ポリシー１１又はポリシー自動修正部１０９により修正されたポリシーを、データ管理者からの指示に従って書き換えて確定ポリシーを生成し、確定ポリシーをＰＡＰサーバ１０に送信し、ポリシー決定処理を終了する。

【0041】

次に、第１実施例に係るポリシー設定制御装置１００の第１処理動作例を説明する。

【0042】

図４は、第１実施例に係るポリシー設定制御装置の第１処理動作例を説明する図である。

【0043】

ここで、第１処理動作例では、データ資源としては、図４（Ａ）に示すように、データストア１に実データ１が存在し、データストア２に実データ２（テーブル２）が存在し、ＡＢＡＣ（Ａｔｔｒｉｂｕｔｅ Ｂａｓｅｄ Ａｃｃｅｓｓ Ｃｏｎｔｒｏｌ）が採用されている体系ＡにおけるポリシーＸ１、Ｘ２が存在し、ＲＢＡＣ（Ｒｏｌｅ Ｂａｓｅｄ Ａｃｃｅｓｓ Ｃｏｎｔｒｏｌ）が採用されている体系Ｂに従ったポリシーＹ１が存在し、ポリシーＺ０を新たに設定する候補のポリシー（入力ポリシー）とする場合を図４（Ｂ）を参照して説明する。

【0044】

入力ポリシー４０１は、ポリシーＩＤがポリシーＺ０であり、主体がユーザＢであり、動作がＣＲＵＤ（Ｃｒｅａｔｅ／Ｒｅａｄ／Ｕｐｄａｔｅ／Ｄｅｌｅｔｅ）であり、資源が実データ２となっている。

【0045】

ＰＩＰサーバ２０は、ユーザの属性を管理するユーザ情報テーブル２０１を記憶している。ユーザ情報テーブル２０１は、ユーザ毎の属性情報を含むエントリを格納する。ユーザ情報テーブル２０１のエントリは、ユーザＩＤと、組織と、役職と、役割とのフィールドを含む。ユーザＩＤには、エントリに対応するユーザのＩＤが格納される。組織には、エントリに対応するユーザの属する組織名が格納される。役職には、エントリに対応するユーザの役職が格納される。役割には、エントリに対応するユーザの役割が格納される。図４の例では、ユーザＡは、製造Ａの組織に属し、役職は主任であり、役割はデータ管理者である。ユーザＢは、事務Ｃの組織に属し、役職は主任であり、役割はデータ管理者である。ユーザＣは、分析Ｅの組織に属し、役職は主任であり、役割はデータ利用者である。

【0046】

ポリシールール記憶部１０２のポリシールール４０６は、ポリシーＩＤと、主体と、動作と、資源とを含む１以上のポリシーを格納する。図４の例では、ポリシールール４０６には、ポリシーＸ１と、ポリシーＸ２と、ポリシーＹ１とが含まれている。

【0047】

ポリシーマッピング部１０１は、入力ポリシー４０１であるポリシーＺ０を受け付ける。次いで、ポリシーマッピング部１０１は、ポリシールール４０６を参照して、主体及び／又は資源についての属性情報を取得するためにＰＩＰサーバ２０に入力する必要がある項目（入力項目）を特定する。例えば、図４の例では、主体については、ポリシールール４０６の主体に設定されている情報から、ユーザ役職と、ユーザ役割とを特定し、資源については、データストアを特定する。次いで、ポリシーマッピング部１０１は、特定した入力項目と、入力ポリシー４０１の主体及び／又は資源の設定値とを対応付けた属性問合せ情報を、ＰＩＰサーバ２０に入力する。ここで、図４の例では、属性問合せ情報は、属性取得インターフェース４０２の「ｉｎ：」から始まる情報である。

【0048】

ＰＩＰサーバ２０は、ポリシーマッピング部１０１から属性問合せ情報を取得すると、ユーザ情報テーブル２０１等を参照して、属性問合せ情報に含まれる主体及び／又は資源に対応する属性情報を特定し、問合せ回答情報としてポリシーマッピング部１０１に返送する。ここで、図４の例では、問合せ回答情報は、属性取得インターフェース４０２の「Ｏｕｔ：」から始まる情報である。図４の例では、ユーザＢの役職として、主任が返され、ユーザＢの役割として、データ管理者が返され、実データ２の属するデータストアとして、データストア２が返されている。

【0049】

次いで、ポリシーマッピング部１０１は、入力ポリシー４０１に対して、取得した属性を当てはめることによりポリシーを変換して１以上の変換後ポリシー４０３を生成する。ここで、生成する変換後ポリシーとしては、すべての可能性のある組合せに対応するポリシーとしてもよいし、判定する必要がないと考えられるポリシーについては含めなくてもよい。

【0050】

図４の例では、ポリシーマッピング部１０１は、変換後ポリシー４０３として、主体がユーザ役割＝データ管理者であり、動作がＣＲＵＤであり、資源がデータストア２であるポリシーＺ０－１と、主体がユーザ役職＝主任であり、動作がＣＲＵＤであり、資源がデータストア２であるポリシーＺ０－２とが生成される。

【0051】

次いで、ＰＤＰ問い合わせ部１０４は、ポリシー判定部１０５に変換後ポリシー４０３のそれぞれについて既存ポリシー（本実施例では、基本的には、ポリシールール４０６と同じ内容）に適合するか否かを判定させ、判定結果（応答）４０４を受け付けて、変換後ポリシー４０３と判定結果４０４とを組み合わせて判定後ポリシー４０５を生成する。

【0052】

図４の例では、ポリシー判定部１０５は、ポリシーＺ０－１については、ポリシーＹ１に適合していると判定してＯＫ（可）を返し、ポリシーＺ０－２については、ポリシーＸ１に適合していると判定してＯＫ（可）を返す。

【0053】

次いで、ポリシー判定結果チェック部１０７は、判定後ポリシー４０５を参照し、すべてのポリシーに対する判定結果が可である否かを判定し、本例では、すべてのポリシーに対する判定結果が可であるので、ポリシー決定部１０８にすべてが可であることを通知する。

【0054】

ポリシー決定部１０８は、ポリシー判定結果チェック部１０７からすべてのポリシーに対する判定結果が可であるとの通知を受けると、ポリシー受付部１１０が、入力ポリシー４０１をＰＡＰサーバ１０に設定する確定ポリシー１１２に決定し、ＰＡＰサーバ１０に送信する。なお、この後、ＰＡＰサーバ１０は、確定ポリシー１１２を登録し、この登録された確定ポリシー１１２を用いて、アクセス判定を行うこととなる。

【0055】

この処理によると、複数の体系において矛盾のない入力ポリシーを適切にＰＡＰサーバ１０に登録することができる。

【0056】

次に、第１実施例に係るポリシー設定制御装置１００の第２処理動作例を説明する。なお、第１処理動作例と同様な構成については同一の符号を付し、重複する説明を省略する場合がある。

【0057】

図５は、第１実施例に係るポリシー設定制御装置の第２処理動作例を説明する図である。

【0058】

ここで、第２処理動作例では、データ資源としては、図５（Ａ）に示すように、データストア１に実データ１が存在し、データストア２に実データ２（テーブル２）が存在し、ＡＢＡＣが採用されている体系ＡにおけるポリシーＸ１、Ｘ２が存在し、ＲＢＡＣが採用されている体系Ｂに従ったポリシーＹ１が存在し、ポリシーＺ１を新たに設定する候補のポリシー（入力ポリシー）とし、ポリシーＺ１に代えて修正したポリシーＺ１’を設定する場合を図５（Ｂ）を参照して説明する。

【0059】

入力ポリシー５０１は、ポリシーＩＤがポリシーＺ１であり、主体がユーザ＝“ユーザＣ”であり、動作がＣＲＵＤであり、資源が実データ２となっている。

【0060】

ＰＩＰサーバ２０は、ユーザの属性を管理するユーザ情報テーブル２０１と、資源情報テーブル２０２とを記憶している。資源情報テーブル２０２は、資源に対応する属性情報を含むエントリを格納する。資源情報テーブル２０２のエントリは、資源ＩＤと、役職と、役割と、動作とのフィールドを含む。資源ＩＤには、エントリに対応する資源のＩＤが格納される。役職には、エントリに対応する資源にアクセス可能な役職名が格納される。なお、アクセス可能な役職の指定がない場合には、任意の役職でいいことを示す記号（例えば、＊）が格納される。役割には、エントリに対応する資源にアクセス可能な役割が格納される。なお、アクセス可能な役割の指定がない場合には、任意の役割でいいことを示す記号（例えば、＊）が格納される。動作には、エントリに対応する資源にアクセス可能な動作が格納される。図５の例では、資源情報テーブル２０２は、データストア２に対しては、役割がデータ管理者である場合に、ＣＲＵＤのアクセスが可能であり、また、データストア２に対しては役職が担当である場合に、Ｒ（Ｒｅａｄ）のアクセスが可能であることを示している。

【0061】

ポリシーマッピング部１０１は、入力ポリシー５０１であるポリシーＺ１を受け付ける。次いで、ポリシーマッピング部１０１は、ポリシールール４０６を参照して、主体及び／又は資源についての属性情報を取得するためにＰＩＰサーバ２０に入力する必要がある項目（入力項目）を特定する。例えば、図５の例では、主体については、ポリシールール４０６の主体に設定されている情報から、ユーザ役職と、ユーザ役割とを特定し、資源については、データストアを特定する。次いで、ポリシーマッピング部１０１は、特定した入力項目と、入力ポリシー５０１の主体及び／又は資源の設定値とを対応付けた属性問合せ情報を、ＰＩＰサーバ２０に入力する。ここで、図５の例では、属性問合せ情報は、属性取得インターフェース５０２の「ｉｎ：」から始まる情報である。

【0062】

ＰＩＰサーバ２０は、ポリシーマッピング部１０１から属性問合せ情報を取得すると、ユーザ情報テーブル２０１、資源情報テーブル２０２等を参照して、属性問合せ情報に含まれる主体及び／又は資源に対応する属性情報を特定し、問合せ回答情報としてポリシーマッピング部１０１に返送する。ここで、図５の例では、問合せ回答情報は、属性取得インターフェース４０２の「Ｏｕｔ：」から始まる情報である。図５の例では、ユーザＣの役職として、主任が返され、ユーザＣの役割として、データ利用者が返され、実データ２の属するデータストアとして、データストア２が返されている。

【0063】

次いで、ポリシーマッピング部１０１は、入力ポリシー５０１に対して、取得した属性を当てはめることによりポリシーを変換して１以上の変換後ポリシー５０３を生成する。ここで、生成する変換後ポリシーとしては、すべての可能性のある組合せに対応するポリシーとしてもよいし、判定する必要がないと考えられるポリシーについては含めなくてもよい。

【0064】

図５の例では、ポリシーマッピング部１０１は、変換後ポリシー５０３として、主体がユーザ役割＝データ利用者であり、動作がＣＲＵＤであり、資源がデータストア２であるポリシーＺ１－１と、主体がユーザ役職＝データ利用者であり、動作がＣＲＵＤであり、資源がデータストア２であるポリシーＺ１－２とが生成される。

【0065】

次いで、ＰＤＰ問い合わせ部１０４は、ポリシー判定部１０５に変換後ポリシー５０３のそれぞれについて既存ポリシーに適合するか否かを判定させ、判定結果（応答）５０４を受け付けて、変換後ポリシー５０３と判定結果５０４とを組み合わせて判定後ポリシー５０５を生成する。

【0066】

図５の例では、ポリシー判定部１０５は、ポリシーＺ１－１については、ポリシーＹ１に適合していないと判定してＮＧ（不可）を返し、ポリシーＺ１－２については、ポリシーＸ１に適合していると判定してＯＫ（可）を返す。

【0067】

次いで、ポリシー判定結果チェック部１０７は、判定後ポリシー５０５を参照し、すべてのポリシーに対する判定結果が可である否かを判定し、本例では、すべてのポリシーに対する判定結果が可でないので、ポリシー自動修正部１０９に判定結果が不可であることを通知する。

【0068】

ポリシー自動修正部１０９は、ポリシー判定結果チェック部１０７から判定結果が不可であるとの通知を受けると、ポリシー自動修正部１０９は、入力ポリシー５０１をポリシールール４０６と矛盾しないポリシー（自動修正ポリシー５０７）に修正し、ポリシー決定部１０８に渡す。矛盾しないポリシーへの修正方法としては、例えば、入力ポリシー５０１の動作をＤＥＮＹ（アクセス不可）とする。

【0069】

ポリシー決定部１０８は、ポリシー自動修正部１０９から受け取った自動修正ポリシー５０７をＰＡＰサーバ１０に設定する確定ポリシー１１２に決定し、ＰＡＰサーバ１０に送信する。

【0070】

なお、ポリシー自動修正部１０９により生成された自動修正ポリシー５０７について、入力ポリシー５０１と同様なチェックをして、変換後ポリシーのすべてについての判定結果が可である場合にのみ、ポリシー決定部１０８に渡すようにしてもよい。

【0071】

この処理によると、入力ポリシーを矛盾のない適切なポリシーに修正して登録することができる。

【0072】

次に、第２実施例に係るポリシー設定制御装置の処理動作例を説明する。なお、第２実施例に係るポリシー設定制御装置の基本的な構成は、第１実施例に係るポリシー設定制御装置１００と、同様であるので、便宜的に、第１実施例と同様又は対応する構成については、同一の符号を付し、重複する説明を省略する場合がある。

【0073】

図６は、第２実施例に係るポリシー設定制御装置の処理動作を説明する図である。

【0074】

ここで、この処理動作例では、データ資源としては、図６（Ａ）に示すように、データストア１に実データ１が存在し、データストア２に実データ２（テーブル２）が存在し、ＡＢＡＣが採用されている体系ＡにおけるポリシーＸ１、Ｘ２が存在し、ＲＢＡＣが採用されている体系Ｂに従ったポリシーＹ１が存在し、ポリシーＺ１を新たに設定する候補のポリシー（入力ポリシー）とし、ポリシーＺ１に代えて管理者の修正に基づくポリシーＺ１’’を設定する場合を図６（Ｂ）を参照して説明する。

【0075】

ＰＩＰサーバ２０は、ユーザの属性を管理するユーザ情報テーブル２０１と、資源情報テーブル２０２とを記憶している。なお、資源情報テーブル２０２における３行目のエントリについては、処理の開始時点においては、存在していない。

【0076】

本処理動作例では、上記した第１実施例の第２処理動作例における自動修正ポリシー５０７を生成するまでの処理は同様である。

【0077】

ポリシー受付部１１０は、生成された自動修正ポリシー５０７を表示し、データ管理者から新たに適用する修正ポリシー（管理者修正ポリシー５０８）を受け付ける。図６の例では、管理者修正ポリシー５０８は、ポリシーＩＤがポリシーＺ１’であり、主体がユーザ．役割＝“データ利用者”であり、動作がＲであり、資源がデータストア２となっている。

【0078】

ポリシー決定部１０８は、ポリシー受付部１１０がデータ管理者から受け付けた管理者修正ポリシーに基づいて、自動修正ポリシー５０７を修正して（例えば、動作を変更した内容に修正して）再修正ポリシー５０９を生成し、再修正ポリシー５０９をＰＡＰサーバ１０に設定する確定ポリシー１１２に決定し、ＰＡＰサーバ１０に送信する。なお、ポリシー決定部１０８は、管理者修正ポリシー５０８に対応するエントリ（図６（Ｂ）の資源情報テーブル２０２の３つ目のエントリ）を資源情報テーブル２０２に追加するようにしてもよい。

【0079】

この処理によると、入力ポリシーを矛盾のないポリシーに修正し、このポリシーに対して管理者の修正を受け付けて再修正したポリシーを登録することができる。

【0080】

次に、第３実施例に係るポリシー設定制御装置の処理動作例を説明する。なお、第３実施例に係るポリシー設定制御装置の基本的な構成は、第１実施例に係るポリシー設定制御装置１００と、同様であるので、便宜的に、第１実施例と同様又は対応する構成については、同一の符号を付し、重複する説明を省略する場合がある。

【0081】

図７は、第３実施例に係るポリシー設定制御装置の処理動作例を説明する図である。

【0082】

ここで、処理動作例では、データ資源としては、図７（Ａ）に示すように、データストア１に実データ１が存在し、データストア２に実データ２（テーブル１）が存在し、ＡＢＡＣが採用されている体系ＡにおけるポリシーＸ３、Ｘ４が存在し、ＲＢＡＣが採用されている体系Ｂに従ったポリシーＹ３が存在し、ポリシーＺ２を新たに設定する候補のポリシー（入力ポリシー）とし、ポリシーＺ２に代えて自動で生成されたポリシーＺ２’を設定する場合を図７（Ｂ）を参照して説明する。

【0083】

入力ポリシー６０１は、ポリシーＩＤがポリシーＺ２であり、主体がユーザ＝“ユーザＣ”であり、動作がＣＲＵＤであり、資源がテーブル１となっている。

【0084】

ＰＩＰサーバ２０は、ユーザの属性を管理するユーザ情報テーブル２０１と、資源情報テーブル２０３とを記憶している。資源情報テーブル２０３は、資源に対応するエントリを格納する。資源情報テーブル２０３のエントリの構成は、図６の資源情報テーブル２０２と同様である。図７の例では、資源情報テーブル２０３は、テーブル１／データストア２に対しては、役割がデータ管理者である場合に、ＣＲＵＤのアクセスが可能であり、また、テーブル１／データストア２に対しては役職が担当である場合に、Ｒ（Ｒｅａｄ）のアクセスが可能であり、また、テーブル１／データストア２に対しては役割がデータ利用者である場合に、Ｒのアクセスが可能であることを示している。なお、資源情報テーブル２０３における３行目のエントリについては、処理の開始時点においては、存在していない。

【0085】

ポリシールール記憶部１０２のポリシールール６０６は、ポリシーＩＤと、主体と、動作と、資源とを含む１以上のポリシーを格納する。図７の例では、ポリシールール６０６には、ポリシーＸ３と、ポリシーＸ４と、ポリシーＹ３とが含まれている。

【0086】

ポリシーマッピング部１０１は、入力ポリシー６０１であるポリシーＺ２を受け付ける。次いで、ポリシーマッピング部１０１は、ポリシールール６０６を参照して、主体及び／又は資源についての属性情報を取得するためにＰＩＰサーバ２０に入力する必要がある項目（入力項目）を特定する。例えば、図７の例では、主体については、ポリシールール４０６の主体に設定されている情報から、ユーザ役職と、ユーザ役割とを特定し、資源については、データストアを特定する。次いで、ポリシーマッピング部１０１は、特定した入力項目と、入力ポリシー６０１の主体及び／又は資源の設定値とを対応付けた属性問合せ情報を、ＰＩＰサーバ２０に入力する。ここで、図７の例では、属性問合せ情報は、属性取得インターフェース６０２の「ｉｎ：」から始まる情報である。

【0087】

ＰＩＰサーバ２０は、ポリシーマッピング部１０１から属性問合せ情報を取得すると、ユーザ情報テーブル２０１、資源情報テーブル２０３等を参照して、属性問合せ情報に含まれる主体及び／又は資源に対応する属性情報を特定し、問合せ回答情報としてポリシーマッピング部１０１に返送する。ここで、図７の例では、問合せ回答情報は、属性取得インターフェース６０２の「Ｏｕｔ：」から始まる情報である。図７の例では、ユーザＣの役職として、主任が返され、ユーザＣの役割として、データ利用者が返され、テーブル１の属するデータストアとして、データストア２が返されている。

【0088】

次いで、ポリシーマッピング部１０１は、入力ポリシー６０１に対して、取得した属性を当てはめることによりポリシーを変換して１以上の変換後ポリシー６０３を生成する。ここで、生成する変換後ポリシーとしては、すべての可能性のある組合せに対応するポリシーとしてもよいし、判定する必要がないと考えられるポリシーについては含めなくてもよい。

【0089】

図７の例では、ポリシーマッピング部１０１は、変換後ポリシー６０３として、主体がユーザ役割＝データ利用者であり、動作がＣＲＵＤであり、資源がデータストア２であるポリシーＺ２－１と、主体がユーザ役職＝データ利用者であり、動作がＣＲＵＤであり、資源がデータストア２であるポリシーＺ２－２とが生成される。

【0090】

次いで、ＰＤＰ問い合わせ部１０４は、ポリシー判定部１０５に変換後ポリシー６０３のそれぞれについて既存ポリシーに適合するか否かを判定させ、判定結果（応答）６０４を受け付けて、変換後ポリシー６０３と判定結果６０４とを組み合わせて判定後ポリシー６０５を生成する。

【0091】

図７の例では、ポリシー判定部１０５は、ポリシーＺ２－１については、ポリシーＹ３に適合していないと判定してＮＧ（不可）を返し、ポリシーＺ２－２については、ポリシーＸ３に適合していると判定してＮＧ（不可）を返す。

【0092】

次いで、ポリシー判定結果チェック部１０７は、判定後ポリシー６０５を参照し、すべてのポリシーに対する判定結果が可である否かを判定し、本例では、すべてのポリシーに対する判定結果が可でないので、ポリシー自動修正部１０９に判定結果が不可であることを通知する。

【0093】

ポリシー自動修正部１０９は、ポリシー判定結果チェック部１０７から判定結果が不可であるとの通知を受けると、ポリシー自動修正部１０９は、入力ポリシー６０１をポリシールール６０６と矛盾しないポリシー（自動修正ポリシー６０７）に修正し、ポリシー決定部１０８に渡す。矛盾しないポリシーの修正方法としては、例えば、入力ポリシー６０１の動作をＮＧの判定に使用されたポリシールール６０６のポリシー（例えば、ポリシーＹ３）の動作と同じ動作（この例では、Ｒ）としてもよい。

【0094】

ポリシー決定部１０８は、ポリシー自動修正部１０９から受け取った自動修正ポリシー６０７をＰＡＰサーバ１０に設定する確定ポリシー１１２に決定し、ＰＡＰサーバ１０に送信する。なお、ポリシー決定部１０８は、自動修正ポリシー６０７に対応するエントリ（図７（Ｂ）の資源情報テーブル２０３の３つ目のエントリ）を資源情報テーブル２０３に追加するようにしてもよい。

【0095】

なお、ポリシー自動修正部１０９により生成された自動修正ポリシー６０７について、入力ポリシー６０１と同様なチェックをして、変換後ポリシーのすべての判定結果が可である場合にのみ、ポリシー決定部１０８に渡すようにしてもよい。

【0096】

この処理によると、入力ポリシーを矛盾のないより適切なポリシーに管理者の関与なしで修正して登録することができる。

【0097】

次に、第４実施例に係るポリシー設定制御装置の処理動作例を説明する。なお、第４実施例に係るポリシー設定制御装置の基本的な構成は、第１実施例に係るポリシー設定制御装置１００と、同様であるので、便宜的に、第１実施例と同様又は対応する構成については、同一の符号を付し、重複する説明を省略する場合がある。

【0098】

図８は、第４実施例に係るポリシー設定制御装置の第１処理動作例を説明する図である。

【0099】

入力ポリシー７０１は、ポリシーＩＤがポリシーＺ３であり、主体がユーザ＝“ユーザＣ”であり、動作がＣＲＵＤであり、資源がテーブル１となっている。

【0100】

ＰＩＰサーバ２０は、ユーザの属性を管理するユーザ情報テーブル２０１と、資源情報テーブル２０４とを記憶している。資源情報テーブル２０４は、資源に対応するエントリを格納する。資源情報テーブル２０４のエントリは、資源ＩＤと、属性と、主体と、動作とのフィールドを含む。資源ＩＤには、エントリに対応する資源のＩＤが格納される。資源は、データストアのテーブルを単位としてもよく、テーブルにおけるカラムを単位としてもよい。属性には、エントリに対応する資源のデータについての属性が格納される。属性としては、機微、その他等がある。なお、１つの資源に対して複数の属性が対応付けられてもよい。主体には、エントリに対応する資源をアクセス可能な主体が格納される。動作には、エントリに対応する資源に対するアクセスに使用可能なＡＰＩ（Ａｐｐｌｉｃａｔｉｏｎ Ｐｒｏｇｒａｍｍｉｎｇ Ｉｎｔｅｆａｃｅ）及びアクセス可能な動作が格納される。

【0101】

図８の例では、資源情報テーブル２０４は、データストア２のテーブル１（テーブル１／データストア２と表記することもある）に対して、（１）役割がデータ管理者又は役職が主任（役割＝データ管理者 ＯＲ 役職＝主任）である主体は、ＡＰＩ１によりＣＲＵＤのアクセスが可能であること、（２）データストア２のテーブル１のカラム１の機微Ｘに対しては、役割がデータ利用者である主体は、ＡＰＩ２により機微データにマスクをかけた状態でのＲ（Ｍａｓｋ＋Ｒ）でのアクセスが可能であること、（３）データストア２のテーブル１のカラム１の機微Ｘ以外に対しては、役割がデータ利用者でなく、役職が担当以上である主体は、ＡＰＩ３によりＲでのアクセスが可能であること、（４）データストア２のテーブル１のカラム１以外のカラムに対しては、役割がデータ利用者である、又は役職が担当以上である主体は、ＡＰＩ３によりＲでのアクセスが可能であること、（５）データストア２のテーブル１に対しては、（１）～（４）に該当しない場合、ＡＰＩ３によるアクセスがＤＥＮＹ（不能）であることを示している。

【0102】

ポリシールール記憶部１０２のポリシールール７０６は、ポリシーＩＤと、主体と、動作と、資源とを含む１以上のポリシーを格納する。図８の例では、ポリシールール７０６には、ポリシーＸ５と、ポリシーＸ６と、ポリシーＷ１と、ポリシーＷ２とが含まれている。ポリシーＸ５は、主体の役職が主任以上である場合に、データストア２に対してＣＲＵＤが可能であることを示し、ポリシーＸ６は、主体の役職が担当以上である場合に、データストア２に対してＲが可能であることを示し、ポリシーＷ１は、主体の役割がデータ利用者である場合に、データストア２のテーブル１のカラム１に対してＡＰＩ２により、情報にマスクをかけたＲが可能であることを示し、ポリシーＷ２は、主体の役割がデータ利用者である場合に、データストア２のテーブル１のカラム１以外に対してＡＰＩ３により、Ｒが可能であることを示している。

【0103】

ポリシーマッピング部１０１は、入力ポリシー７０１であるポリシーＺ３を受け付ける。次いで、ポリシーマッピング部１０１は、ポリシールール７０６を参照して、主体及び／又は資源についての属性情報を取得するためにＰＩＰサーバ２０に入力する必要がある項目（入力項目）を特定する。例えば、図８の例では、主体については、ポリシールール７０６の主体に設定されている情報から、ユーザ役職と、ユーザ役割とを特定し、資源については、データストアを特定する。次いで、ポリシーマッピング部１０１は、特定した入力項目と、入力ポリシー７０１の主体及び／又は資源の設定値とを対応付けた属性問合せ情報を、ＰＩＰサーバ２０に入力する。ここで、図８の例では、属性問合せ情報は、属性取得インターフェース４０２の「ｉｎ：」から始まる情報である。

【0104】

ＰＩＰサーバ２０は、ポリシーマッピング部１０１から属性問合せ情報を取得すると、ユーザ情報テーブル２０１等を参照して、問合せ情報に含まれる主体及び／又は資源に対応する属性情報を特定し、問合せ回答情報としてポリシーマッピング部１０１に返送する。ここで、図８の例では、問合せ回答情報は、属性取得インターフェース４０２の「Ｏｕｔ：」から始まる情報である。図８の例では、ユーザＣの役職として、主任が返され、ユーザＣの役割として、データ利用者が返され、テーブル１に関する資源及びＡＰＩとして、データストア２、カラム１機微データＸ，ＡＰＩ２（主体／動作）、その他、ＡＰＩ３（管理者）、ＡＰＩ１が返されている。

【0105】

次いで、ポリシーマッピング部１０１は、入力ポリシー７０１に対して、取得した属性を当てはめることによりポリシーを変換して１以上の変換後ポリシー７０３を生成する。ここで、生成する変換後ポリシーとしては、すべての可能性のある組合せに対応するポリシーとしてもよいし、判定する必要がないと考えられるポリシーについては含めなくてもよい。

【0106】

図８の例では、ポリシーマッピング部１０１は、変換後ポリシー７０３として、主体がユーザ役割＝データ利用者であり、動作がＣＲＵＤであり、データストア２のテーブル１のカラム１に対してＡＰＩ２を使うとのポリシーＺ３－１と、主体がユーザ役割＝データ利用者であり、動作がＣＲＵＤであり、データストア２のテーブル１のカラム１以外に対してＡＰＩ３を使うとのポリシーＺ３－２と、主体がユーザ役職＝主任であり、動作がＣＲＵＤであり、データストア２のテーブル１に対してＡＰＩ１を使うとのポリシーＺ３－３とが生成される。

【0107】

次いで、ＰＤＰ問い合わせ部１０４は、ポリシー判定部１０５に変換後ポリシー７０３のそれぞれについて既存ポリシー（本実施例では、基本的には、ポリシールール７０６と同じ内容）に適合するか否かを判定させ、判定結果（応答）７０４を受け付けて、変換後ポリシー７０３と判定結果７０４とを組み合わせて判定後ポリシー７０５を生成する。

【0108】

図８の例では、ポリシー判定部１０５は、ポリシーＺ３－１については、ポリシーＷ１に適合していないと判定してＮＧ（不可）を返し、ポリシーＺ３－２については、ポリシーＷ２に適合していないと判定してＮＧ（不可）を返し、ポリシーＺ３－３については、ポリシーＸ５、Ｘ６に適合していないと判定してＮＧ（不可）を返す。

【0109】

次いで、ポリシー判定結果チェック部１０７は、判定後ポリシー７０５を参照し、すべてのポリシーに対する判定結果が可である否かを判定し、本例では、すべてのポリシーに対する判定結果が可でないので、ポリシー自動修正部１０９に判定結果が不可であることを通知する。

【0110】

ポリシー自動修正部１０９は、ポリシー判定結果チェック部１０７から判定結果が不可であるとの通知を受けると、ポリシー自動修正部１０９は、入力ポリシー７０１をポリシールール７０６と矛盾しないポリシー（自動修正ポリシー７０７）に修正し、ポリシー決定部１０８に渡す。矛盾しないポリシーの修正方法としては、例えば、入力ポリシー７０１の動作をＮＧの判定に使用されたポリシールール７０６のポリシーの動作と同じ動作とする。例えば、ポリシーＺ３の資源の中のテーブル１のカラム１については、ポリシーＷ１の動作（ＡＰＩ２を使用したＭａｓｋ＋Ｒ）としたポリシー（ポリシーＺ３－１’）とし、ポリシーＺ３の資源の中のテーブル１のカラム１以外については、ポリシーＷ２の動作（ＡＰＩ３を使用したＲ）としたポリシー（ポリシーＺ３－２’）とする。

【0111】

ポリシー決定部１０８は、ポリシー自動修正部１０９から受け取った自動修正ポリシー７０７をＰＡＰサーバ１０に設定する確定ポリシー１１２に決定し、ＰＡＰサーバ１０に送信する。

【0112】

次に、第４実施例に係るポリシー設定制御装置の第２処理動作例を説明する。

【0113】

図９は、第４実施例に係るポリシー設定制御装置の第２処理動作例を説明する図である。

【0114】

入力ポリシー８０１は、ポリシーＩＤがポリシーＺ４であり、主体がユーザ＝“ユーザＣ”であり、動作がＣＲＵＤであり、資源がテーブル２となっている。

【0115】

ＰＩＰサーバ２０は、ユーザの属性を管理するユーザ情報テーブル２０１と、資源情報テーブル２０５とを記憶している。資源情報テーブル２０５は、図８の資源情報テーブル２０４と構成が同じであり、図８に示していないエントリを更に含んでいる。図９の資源情報テーブル２０５は、資源情報テーブル２０４のエントリに加えて、データストア２のテーブル２（テーブル２／データストア２と表記することもある）に対して、（１）役割がデータ管理者又は役職が主任（役割＝データ管理者 ＯＲ 役職＝主任）である主体は、ＡＰＩ１によりＣＲＵＤのアクセスが可能であること、（２）データストア２のテーブル２に対しては、役割がデータ利用者である、又は役職が担当以上である主体は、ＡＰＩ３によりＲでのアクセスが可能であること、（３）データストア２のテーブル２に対しては、（１）～（２）に該当しない場合、ＡＰＩ３によるアクセスがＤＥＮＹ（不能）であることを示している。

【0116】

ポリシールール記憶部１０２のポリシールール８０６は、ポリシーＩＤと、主体と、動作と、資源とを含む１以上のポリシーを格納する。図９の例では、ポリシールール８０６には、ポリシーＸ７と、ポリシーＸ８と、ポリシーＷ３と、ポリシーＷ４と、ポリシーＷ５とが含まれている。ポリシーＸ７は、主体の役職が主任以上である場合に、データストア２に対してＣＲＵＤが可能であることを示し、ポリシーＸ８は、主体の役職が担当以上である場合に、データストア２に対してＲが可能であることを示し、ポリシーＷ３は、主体の役割がデータ利用者である場合に、データストア２のテーブル２に対してＡＰＩ２により、Ｒが可能であることを示し、ポリシーＷ４は、主体の役割がデータ利用者である場合に、データストア２のテーブル２のカラム１に対してＡＰＩ２により、情報にマスクをかけたＲが可能であることを示し、ポリシーＷ５は、主体の役割がデータ利用者である場合に、データストア２のテーブル２のカラム１以外に対してＡＰＩ３により、Ｒが可能であることを示している。なお、ポリシーＷ４と、ポリシーＷ５については、類似ポリシー抽出部１１１がテーブル２（第１資源の一例）に対するポリシーとして、このテーブル２に類似する他のテーブル（第２資源の一例：本例では、テーブル１）を特定し、特定した他のテーブルについてアクセス制限されているポリシーに基づいて、テーブル２におけるポリシーとして類推することにより作成されたポリシーである。

【0117】

ポリシーマッピング部１０１は、入力ポリシー８０１であるポリシーＺ４を受け付ける。次いで、ポリシーマッピング部１０１は、ポリシールール８０６を参照して、主体と資源とについての属性情報を取得するためにＰＩＰサーバ２０に入力する必要がある項目（入力項目）を特定する。例えば、図９の例では、主体については、ポリシールール８０６の主体に設定されている情報から、ユーザ役職と、ユーザ役割とを特定し、資源については、データストアを特定する。次いで、ポリシーマッピング部１０１は、特定した入力項目と、入力ポリシー８０１の主体及び／又は資源の設定値とを対応付けた属性問合せ情報を、ＰＩＰサーバ２０に入力する。ここで、図９の例では、属性問合せ情報は、属性取得インターフェース４０２の「ｉｎ：」から始まる情報である。

【0118】

ＰＩＰサーバ２０は、ポリシーマッピング部１０１から属性問合せ情報を取得すると、ユーザ情報テーブル２０１等を参照して、問合せ情報に含まれる主体及び／又は資源に対応する属性情報を特定し、問合せ回答情報としてポリシーマッピング部１０１に返送する。ここで、図９の例では、問合せ回答情報は、属性取得インターフェース４０２の「Ｏｕｔ：」から始まる情報である。図９の例では、ユーザＣの役職として、主任が返され、ユーザＣの役割として、データ利用者が返され、テーブル２に関する資源及びＡＰＩとして、データストア２、カラム１機微データＸ，ＡＰＩ２（主体／動作）、その他、ＡＰＩ３（管理者）、ＡＰＩ１が返されている。

【0119】

次いで、ポリシーマッピング部１０１は、入力ポリシー８０１に対して、取得した属性を当てはめることによりポリシーを変換して１以上の変換後ポリシー８０３を生成する。ここで、生成する変換後ポリシーとしては、すべての可能性のある組合せに対応するポリシーとしてもよいし、判定する必要がないと考えられるポリシーについては含めなくてもよい。

【0120】

図９の例では、ポリシーマッピング部１０１は、変換後ポリシー８０３として、主体がユーザ役割＝データ利用者であり、動作がＣＲＵＤであり、データストア２のデータ２のカラム２に対してＡＰＩ２を使うとのポリシーＺ４－１と、主体がユーザ役割＝データ利用者であり、動作がＣＲＵＤであり、データストア２のテーブル２のカラム１以外に対してＡＰＩ３を使うとのポリシーＺ４－２と、主体がユーザ役職＝主任であり、動作がＣＲＵＤであり、データストア２のテーブル１に対してＡＰＩ１を使うとのポリシーＺ４－３とが生成される。

【0121】

次いで、ＰＤＰ問い合わせ部１０４は、ポリシー判定部１０５に変換後ポリシー８０３のそれぞれについて既存ポリシー（本実施例では、基本的には、ポリシールール８０６と同じ内容）に適合するか否かを判定させ、判定結果（応答）８０４を受け付けて、変換後ポリシー８０３と判定結果８０４とを組み合わせて判定後ポリシー８０５を生成する。

【0122】

図９の例では、ポリシー判定部１０５は、ポリシーＺ４－１については、ポリシーＷ４に適合していないと判定してＮＧ（不可）を返し、ポリシーＺ４－２については、ポリシーＷ５に適合していないと判定してＮＧ（不可）を返し、ポリシーＺ４－３については、ポリシーＸ７、Ｘ８に適合していないと判定してＮＧ（不可）を返す。

【0123】

次いで、ポリシー判定結果チェック部１０７は、判定後ポリシー８０５を参照し、すべてのポリシーに対する判定結果が可である否かを判定し、本例では、すべてのポリシーに対する判定結果が可でないので、ポリシー自動修正部１０９に判定結果が不可であることを通知する。

【0124】

ポリシー自動修正部１０９は、ポリシー判定結果チェック部１０７から判定結果が不可であるとの通知を受けると、ポリシー自動修正部１０９は、入力ポリシー８０１をポリシールール８０６と矛盾しないポリシー（自動修正ポリシー８０７）に修正し、ポリシー決定部１０８に渡す。矛盾しないポリシーの修正方法としては、例えば、入力ポリシー８０１の動作をＮＧの判定に使用されたポリシールール８０６のポリシーの動作と同じ動作とする。例えば、ポリシーＺ４の資源の中のテーブル２のカラム１については、ポリシーＷ４の動作（ＡＰＩ２を使用したＭａｓｋ＋Ｒ）としたポリシー（ポリシーＺ４－１’）とし、ポリシーＺ４の資源の中のテーブル２のカラム１以外については、ポリシーＷ５の動作（ＡＰＩ３を使用したＲ）としたポリシー（ポリシーＺ４－２’）とする。

【0125】

ポリシー決定部１０８は、ポリシー自動修正部１０９から受け取った自動修正ポリシー８０７をＰＡＰサーバ１０に設定する確定ポリシー１１２に決定し、ＰＡＰサーバ１０に送信する。なお、この後、ＰＡＰサーバ１０は、確定ポリシー１１２を登録し、この登録された確定ポリシー１１２を用いて、アクセス判定を行うこととなる。

【0126】

この処理によると、テーブルに対して機微情報に対応するポリシーが設定されていな場合であっても、類似する他のテーブルのポリシーを利用して、入力ポリシーを矛盾のない適切なポリシーに修正して登録することができる。

【0127】

なお、本発明は、上述の実施形態に限定されるものではなく、本発明の趣旨を逸脱しない範囲で、適宜変形して実施することが可能である。

【0128】

例えば、上記実施形態では、ポリシー判定部１０５をポリシー設定制御装置１００内に備えるようにしていたが、ポリシー判定部１０５の機能をポリシー設定制御装置１００とは別の外部の装置に備えるようにしてもよい。

【0129】

また、上記実施形態では、ＣＰＵが行っていた処理の一部又は全部を、ハードウェア回路で行うようにしてもよい。また、上記実施形態におけるプログラムは、プログラムソースからインストールされてよい。プログラムソースは、プログラム配布サーバ又は記憶メディア（例えば可搬型の記憶メディア）であってもよい。

【符号の説明】

【0130】

１…ポリシー利用システム、１０…ＰＡＰサーバ、２０…ＰＩＰサーバ、１００…ポリシー設定制御装置、１０１…ポリシーマッピング部、１０２…ポリシールール記憶部、１０４…ＰＤＰ問い合わせ部、１０５…ポリシー判定部、１０７…ポリシー判定結果チェック部、１０８…ポリシー決定部、１０９…ポリシー自動修正部、１１０…ポリシー受付部、１１１…類似ポリシー抽出部、１２２…ＣＰＵ

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】

【図9】