JPH03154149A - 共有資源アクセス方法 - Google Patents
共有資源アクセス方法Info
- Publication number
- JPH03154149A JPH03154149A JP2273505A JP27350590A JPH03154149A JP H03154149 A JPH03154149 A JP H03154149A JP 2273505 A JP2273505 A JP 2273505A JP 27350590 A JP27350590 A JP 27350590A JP H03154149 A JPH03154149 A JP H03154149A
- Authority
- JP
- Japan
- Prior art keywords
- user
- users
- proxy
- access
- groups
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Pending
Links
Classifications
-
- G—PHYSICS
- G06—COMPUTING OR CALCULATING; COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F9/00—Arrangements for program control, e.g. control units
- G06F9/06—Arrangements for program control, e.g. control units using stored programs, i.e. using an internal store of processing equipment to receive or retain programs
- G06F9/46—Multiprogramming arrangements
- G06F9/468—Specific access rights for resources, e.g. using capability register
-
- G—PHYSICS
- G06—COMPUTING OR CALCULATING; COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
- G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
- G06F21/31—User authentication
-
- G—PHYSICS
- G06—COMPUTING OR CALCULATING; COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F2221/00—Indexing scheme relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
- G06F2221/21—Indexing scheme relating to G06F21/00 and subgroups addressing additional information or applications relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
- G06F2221/2141—Access rights, e.g. capability lists, access control lists, access tables, access matrices
Landscapes
- Engineering & Computer Science (AREA)
- Theoretical Computer Science (AREA)
- Software Systems (AREA)
- Physics & Mathematics (AREA)
- General Engineering & Computer Science (AREA)
- General Physics & Mathematics (AREA)
- Computer Security & Cryptography (AREA)
- Computer Hardware Design (AREA)
- Storage Device Security (AREA)
Abstract
(57)【要約】本公報は電子出願前の出願データであるた
め要約のデータは記録されません。
め要約のデータは記録されません。
Description
【発明の詳細な説明】
Ａ、産業上の利用分野
本発明は、分散コンピユーテイング・システムにおける
資源の共用に関し、より具体的には、共用システム環境
内での個々のユーザのアクセス権の決定を保全する方法
に関する。
資源の共用に関し、より具体的には、共用システム環境
内での個々のユーザのアクセス権の決定を保全する方法
に関する。
Ｂ、従来の技術
資源の共用は、分散コンピユーテイング・システムで一
般に行なわれている。資源オーナが共用資源へのアクセ
スを制限できる、様々な度合のアクセス許可が使用でき
る。オフィス環境では、資源共用は、アフィニティ関係
と代理（サロゲート）関係を使って行なわれている。
般に行なわれている。資源オーナが共用資源へのアクセ
スを制限できる、様々な度合のアクセス許可が使用でき
る。オフィス環境では、資源共用は、アフィニティ関係
と代理（サロゲート）関係を使って行なわれている。
アフィニティ関係は、資源のオーナが資産に対するある
レベルのアクセスを許可する場合に存在する。アフィニ
ティ関係においては、オーナは、別のユーザがそのオー
ナの代りに行動することを許可する。したがって、資源
オーナによってアクセスを許されたユーザは、オーナに
代わっである作業を行なうことを許されるが、ユーザと
オーナは別々のアイデンティティを維持している。
レベルのアクセスを許可する場合に存在する。アフィニ
ティ関係においては、オーナは、別のユーザがそのオー
ナの代りに行動することを許可する。したがって、資源
オーナによってアクセスを許されたユーザは、オーナに
代わっである作業を行なうことを許されるが、ユーザと
オーナは別々のアイデンティティを維持している。
これとは対照的に、代理関係は、ユーザが共用資源のオ
ーナの代理をする場合に成立する。このような場合、実
際上も法律上も、資源オーナを代理人と区別することが
できない。代理側の効果は、資源のオーナが共用資源に
アクセスするためのパスワードを別のユーザに与える場
合に明らかになる。その資源を含むシステムを検査する
ことによって、オーナと許可されたユーザ（代理人）の
どちらが資源にアクセスしたか判断することは不可能で
ある。
ーナの代理をする場合に成立する。このような場合、実
際上も法律上も、資源オーナを代理人と区別することが
できない。代理側の効果は、資源のオーナが共用資源に
アクセスするためのパスワードを別のユーザに与える場
合に明らかになる。その資源を含むシステムを検査する
ことによって、オーナと許可されたユーザ（代理人）の
どちらが資源にアクセスしたか判断することは不可能で
ある。
はとんどのオフィス環境では、パスワードと呼ぶ許可キ
ーを使って代理関係を支援している。すでに説明したよ
うに、パスワード・オーナは、パスワードを別のユーザ
に与えることができ、与えられたユーザは、パスワード
・オーナであるかのようにログオンしまたは情報にアク
セスすることができる。このタイプの代理支援は、企業
が臨時職員を採用する際に一般に実施されている。臨時
職員の雇用時に、汎用ユーザＩＤ、たとえば「秘書」が
パスワードとともに割り当てられる。この臨時職員が、
このパスワードを使用して「秘書」として情報にアクセ
スする場合、その臨時職員は「秘書」の代理人になる。
ーを使って代理関係を支援している。すでに説明したよ
うに、パスワード・オーナは、パスワードを別のユーザ
に与えることができ、与えられたユーザは、パスワード
・オーナであるかのようにログオンしまたは情報にアク
セスすることができる。このタイプの代理支援は、企業
が臨時職員を採用する際に一般に実施されている。臨時
職員の雇用時に、汎用ユーザＩＤ、たとえば「秘書」が
パスワードとともに割り当てられる。この臨時職員が、
このパスワードを使用して「秘書」として情報にアクセ
スする場合、その臨時職員は「秘書」の代理人になる。
臨時職員が別の人に代わった場合、（いつもではないが
）新しいパスワードが割り当てられ、新しい臨時職員が
「秘書」の新しい代理人になる。
）新しいパスワードが割り当てられ、新しい臨時職員が
「秘書」の新しい代理人になる。
この慣行は、いくつかの欠点をもっている。第１に、「
秘書」に代わって行動できる代理人の人数が制限されて
いる。ユーザＩＤのオーナは、普通、ただ１つのパスワ
ードに限られていることに留意されたい。したがって、
いつでも、ただ１人のユーザしか資源にアクセスするこ
とができない。
秘書」に代わって行動できる代理人の人数が制限されて
いる。ユーザＩＤのオーナは、普通、ただ１つのパスワ
ードに限られていることに留意されたい。したがって、
いつでも、ただ１人のユーザしか資源にアクセスするこ
とができない。
第２に、パスワードをあるユーザから別の人に渡すこと
によって、資源の安全保護が危険にさらされる。代理人
の手からパスワードが外に漏れるのを制限することは、
不可能ではないにしても、困難である。
によって、資源の安全保護が危険にさらされる。代理人
の手からパスワードが外に漏れるのを制限することは、
不可能ではないにしても、困難である。
第３に、臨時職員は、システムに「登録」されていない
。これは、資源へのアクセス・レベルを、誰が「秘書」
の代理人であるかに基づいて制限することができないこ
とを意味している。したがって、オーナのパスワードを
もつ臨時職員は、資源オーナがアクセスできる資源のど
の部分にもアクセスすることができる。これは、アクセ
スを制限するために何らかの手段を必要とする多くの共
用資源システムでは望ましくないと考えられる。
。これは、資源へのアクセス・レベルを、誰が「秘書」
の代理人であるかに基づいて制限することができないこ
とを意味している。したがって、オーナのパスワードを
もつ臨時職員は、資源オーナがアクセスできる資源のど
の部分にもアクセスすることができる。これは、アクセ
スを制限するために何らかの手段を必要とする多くの共
用資源システムでは望ましくないと考えられる。
最後に、このようなシステムは、代理ユーザに対する監
査経路を維持することができない。資源にアクセスする
人間、時間、及び資源がアクセスされる方式を決定する
ための何らかの手段をもつことが望ましい。
査経路を維持することができない。資源にアクセスする
人間、時間、及び資源がアクセスされる方式を決定する
ための何らかの手段をもつことが望ましい。
Ｃ０発明の要旨
本発明は、代理ユーザを含む多数のユーザによって共用
資源をアクセスする方法に関する。共用資源のユーザを
、２つのクラスに分ける。代理ユーザは、ユーザ集合と
呼ばれるクラスに割り当てられる。その他のすべてのユ
ーザは、単純ユーザのクラスに割り当てられる。代理ユ
ーザが、他の代理ユーザからなるユーザ集合のメンバー
であることもあり、また別のユーザ集合をメンバ′−と
して含むこともある。共用資源にアクセスするどのユー
ザも、自分に割り当てられるユーザ・クラスを決定する
ために問合せを受ける。適切なりラスが決定した後、ユ
ーザ・リストが作成される。このユーザ・リストは、キ
ー情報及びユーザに許可されるアクセスのレベルを含む
。あるユーザが、他のユーザ集合をメンバーとして含む
あるユーザ集合のメンバーであることが判明す墨と、分
解メンバー・リストが生成される。この分解リストは、
ユーザ集合のメンバーであるすべての代理ユーザを表す
。
資源をアクセスする方法に関する。共用資源のユーザを
、２つのクラスに分ける。代理ユーザは、ユーザ集合と
呼ばれるクラスに割り当てられる。その他のすべてのユ
ーザは、単純ユーザのクラスに割り当てられる。代理ユ
ーザが、他の代理ユーザからなるユーザ集合のメンバー
であることもあり、また別のユーザ集合をメンバ′−と
して含むこともある。共用資源にアクセスするどのユー
ザも、自分に割り当てられるユーザ・クラスを決定する
ために問合せを受ける。適切なりラスが決定した後、ユ
ーザ・リストが作成される。このユーザ・リストは、キ
ー情報及びユーザに許可されるアクセスのレベルを含む
。あるユーザが、他のユーザ集合をメンバーとして含む
あるユーザ集合のメンバーであることが判明す墨と、分
解メンバー・リストが生成される。この分解リストは、
ユーザ集合のメンバーであるすべての代理ユーザを表す
。
次に、キー情報、ユーザ・リストに示されるアクセス・
レベル、及び分解リストに基づいて代理ユーザにアクセ
スが許可される。
レベル、及び分解リストに基づいて代理ユーザにアクセ
スが許可される。
Ｄ、実施例
本発明は、分散環境においであるユーザが別のユーザに
共用資源のアクセスを許す方法を提供する。オフィス環
境では、資源共用は、アフィニティ関係と代理関係を使
って行なわれる。
共用資源のアクセスを許す方法を提供する。オフィス環
境では、資源共用は、アフィニティ関係と代理関係を使
って行なわれる。
アフィニティ関係は、あるユーザが資源に対するあるレ
ベルのアクセスを別のユーザに許可する場合に存在する
。資源に対するアクセスを許されたユーザは、アクセス
を許可するユーザに代わって行動することを「許可」さ
れる。ユーザＡがユーザＢとのアフィニティをもつ場合
、ユーザＢはユーザＡに代わっである作業をすることを
許可される。
ベルのアクセスを別のユーザに許可する場合に存在する
。資源に対するアクセスを許されたユーザは、アクセス
を許可するユーザに代わって行動することを「許可」さ
れる。ユーザＡがユーザＢとのアフィニティをもつ場合
、ユーザＢはユーザＡに代わっである作業をすることを
許可される。
アフィニティ関係では、ユーザＡとユーザＢは自分のア
イデンティティを維持する。さらに、アフィニティは非
移行的な関係である。したがって、ユーザＡがユーザＢ
とのアフィニティをもち、さらにユーザＢがユーザＣと
のアフィニティをもつ場合、ユーザＡは、必ずしもユー
ザＣとのアフィニティをもたない。
イデンティティを維持する。さらに、アフィニティは非
移行的な関係である。したがって、ユーザＡがユーザＢ
とのアフィニティをもち、さらにユーザＢがユーザＣと
のアフィニティをもつ場合、ユーザＡは、必ずしもユー
ザＣとのアフィニティをもたない。
他方、はとんどのオフィス環境では、パスワードと呼ぶ
許可キーを使って代理関係を支援している。代理関係は
、あるユーザの代理を別のユーザがつとめるという関係
がある場合に成立する。この代理を実現するために、パ
スワード・オーナであるユーザＡは、自分のパスワード
をユーザＢに与え、ユーザＢはユーザＡとしてログオン
または資源にアクセスすることができる。代表的な例は
、秘書が上司のパスワードを使って、あたかも上司が資
源に実際に利用しているかのように、情報にアクセスす
る場合である。
許可キーを使って代理関係を支援している。代理関係は
、あるユーザの代理を別のユーザがつとめるという関係
がある場合に成立する。この代理を実現するために、パ
スワード・オーナであるユーザＡは、自分のパスワード
をユーザＢに与え、ユーザＢはユーザＡとしてログオン
または資源にアクセスすることができる。代表的な例は
、秘書が上司のパスワードを使って、あたかも上司が資
源に実際に利用しているかのように、情報にアクセスす
る場合である。
代理関係の別のよくある例は、企業が臨時職員を採用す
る場合である。汎用ユーザＩＤをパスワードとともに割
り当てることにより、臨時職員は、共用資源へのアクセ
スを許可される。この汎用ユーザＩＤが、代理関係を規
定する。たとえば、臨時職Ｊｌ（汎用！−ｆＩＤ”ＴＥ
ＭＰＥＲ８ＯＮ″及びパスワードを割り当てられた場合
、資源に対するアクセスを得ることができる。別の臨時
職員が代りに採用された場合、新しい臨時職員も、汎用
ユーザＩＤ″ＴＥＭＰＥＲ８ＯＮ″及びおそらく新しい
パスワードを割り当てられる。したがって、この新しい
臨時職員が、”ＴＥＭＰＥＲ８ＯＮ″の新しい代理人に
なる。こうして、代理ユーザが、代理を必要とするユー
ザ、この例では”ＴＥＭＰＥＲ８ＯＮ″のアイデンティ
ティを引き受けるという、あるユーザの別のユーザによ
る代理許可が行なわれた。
る場合である。汎用ユーザＩＤをパスワードとともに割
り当てることにより、臨時職員は、共用資源へのアクセ
スを許可される。この汎用ユーザＩＤが、代理関係を規
定する。たとえば、臨時職Ｊｌ（汎用！−ｆＩＤ”ＴＥ
ＭＰＥＲ８ＯＮ″及びパスワードを割り当てられた場合
、資源に対するアクセスを得ることができる。別の臨時
職員が代りに採用された場合、新しい臨時職員も、汎用
ユーザＩＤ″ＴＥＭＰＥＲ８ＯＮ″及びおそらく新しい
パスワードを割り当てられる。したがって、この新しい
臨時職員が、”ＴＥＭＰＥＲ８ＯＮ″の新しい代理人に
なる。こうして、代理ユーザが、代理を必要とするユー
ザ、この例では”ＴＥＭＰＥＲ８ＯＮ″のアイデンティ
ティを引き受けるという、あるユーザの別のユーザによ
る代理許可が行なわれた。
アフィニティ関係と代理関係は、どちらも資源に対する
資源アクセス権を許可するものであるが、両者は別のも
のであり、混同してはならない。各関係は、定義された
とき、資源に対するアクセスの度合が異なる。しかし、
これら２つの関係を自由に組み合わせることができる。
資源アクセス権を許可するものであるが、両者は別のも
のであり、混同してはならない。各関係は、定義された
とき、資源に対するアクセスの度合が異なる。しかし、
これら２つの関係を自由に組み合わせることができる。
たとえば、アフィニティ関係と代理関係を組み合わせる
と、以下の関係が可能である。記号”＝〉”は、アフィ
ニティ関係を表し、記号”＝”は代理関係を表す。
と、以下の関係が可能である。記号”＝〉”は、アフィ
ニティ関係を表し、記号”＝”は代理関係を表す。
Claims (4)
- （１）共用システム環境内で、代理ユーザを含む複数の
個別ユーザによる共用資源へのアクセス権を決定する方
法であって、 前記の複数の個別ユーザを、単純ユーザとユーザ・グル
ープとの２つのグループに区分する段階と、 前記代理ユーザを前記ユーザ・グループに割り当て、前
記ユーザ・グループ内の前記代理ユーザのそれぞれに対
して代理許可のレベルを定義する段階と を含む前記の方法。 - （２）オーナとユーザとの別々のアイデンティティを維
持しながら、前記オーナが複数のユーザに共用資源への
様々な度合のアクセスを許すことができるようにする方
法であって、 ユーザを単純ユーザのクラスとユーザ・グループのクラ
スに分類する段階と、 前記クラスに基づいて、許可キーとユーザ・アクセス・
レベルとを含むユーザ・リストを作成する段階と、 前記ユーザ・リストから許可キーの突合せを判定し、前
記許可キーの突合せと前記ユーザ・リスト内のユーザ・
アクセス・レベルとに基づいて、前記共用資源へのアク
セスを許可する段階とを含む前記方法。 - （３）前記の複数の代理ユーザの別個のアイデンティテ
ィを維持し、アフィニティ関係と代理関係とをもつシス
テムにおいて、複数の代理ユーザによって共用資源にア
クセスする方法であって、 代理ユーザのユーザ集合、及びそれとは別の単純ユーザ
のクラスを定義する段階と、 前記代理ユーザと単純ユーザとのそれぞれに対して許可
キーとアクセス・レベルを含むユーザ・リストを作成す
る段階と、 前記のアクセス・レベルと許可キーに基づいて前記共用
資源へのアクセスを許可する段階とを含む前記方法。 - （４）前記の定義段階が、ユーザが代理ユーザであると
きだけ前記ユーザ集合を分解する段階を含むという、請
求項３に記載の方法。
Applications Claiming Priority (2)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| US43085389A | 1989-11-02 | 1989-11-02 | |
| US430853 | 1989-11-02 |
Publications (1)
| Publication Number | Publication Date |
|---|---|
| JPH03154149A true JPH03154149A (ja) | 1991-07-02 |
Family
ID=23709342
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2273505A Pending JPH03154149A (ja) | 1989-11-02 | 1990-10-15 | 共有資源アクセス方法 |
Country Status (2)
| Country | Link |
|---|---|
| EP (1) | EP0426595A3 (ja) |
| JP (1) | JPH03154149A (ja) |
Families Citing this family (3)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| EP0581421B1 (en) * | 1992-07-20 | 2003-01-15 | Compaq Computer Corporation | Method and system for certificate based alias detection |
| US6928547B2 (en) | 1998-07-06 | 2005-08-09 | Saflink Corporation | System and method for authenticating users in a computer network |
| WO2003075135A1 (en) * | 2002-03-01 | 2003-09-12 | Saflink Corporation | User login delegation |
-
1990
- 1990-09-21 EP EP19900480141 patent/EP0426595A3/en not_active Withdrawn
- 1990-10-15 JP JP2273505A patent/JPH03154149A/ja active Pending
Non-Patent Citations (1)
| Title |
|---|
| RESEARCH DISCLOSURE=1989 * |
Also Published As
| Publication number | Publication date |
|---|---|
| EP0426595A3 (en) | 1992-08-05 |
| EP0426595A2 (en) | 1991-05-08 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| US5283830A (en) | Security mechanism for a computer system | |
| Abrams | RENEWED UNDERSTANDING OF ACCESS CONTROL POLICIES¹ | |
| US20020184535A1 (en) | Method and system for accessing a resource in a computing system | |
| CA2154020C (en) | Method and system for advanced role-based access control in distributed and centralized computer systems | |
| Moffett | Specification of management policies and discretionary access control | |
| US8719903B1 (en) | Dynamic access control list for managed content | |
| Chang et al. | An object-oriented RBAC model for distributed system | |
| Jordan | Guide to Understanding Discretionary Access Control in Trusted Systems | |
| JPH03154149A (ja) | 共有資源アクセス方法 | |
| Stokes et al. | Access Control Requirements for LDAP | |
| Olson et al. | Computer access control policy choices | |
| Olson et al. | Information security policy | |
| Adamu et al. | A robust context and role-based dynamic access control for distributed healthcare information systems | |
| Rawal et al. | Implement and Manage Authorization Mechanisms | |
| Smith-Thomas et al. | Implementing role based, Clark-Wilson enforcement rules in a B1 on-line transaction processing system | |
| Zhang et al. | Specification and enforcement of object-oriented RBAC model | |
| Azhar et al. | Efficient selection of access control systems through multi criteria analytical hierarchy process | |
| KR20020051131A (ko) | 신분 기반을 이용한 접근 제어 시스템의 접근 제어 방법 | |
| Sodiya et al. | Components-Based Access Control Architecture. | |
| Kononov et al. | Improving Web Applications Security Using Path-Based Role Access Control Model | |
| Stamm | Controlling Access | |
| Lunt | Security in Database Systems-from a Researcher’s View | |
| Gligor | Role-Based Security Administration | |
| Orr et al. | Development of a model of information security requirements for enterprise-wide medical information systems | |
| Stokes et al. | RFC2820: Access Control Requirements for LDAP |