特許ウォッチ

公開番号2024081537
公報種別公開特許公報(A)
公開日2024-06-18
出願番号2022195232
出願日2022-12-06
発明の名称データベース管理プログラム、データベース管理方法、および情報処理装置
出願人富士通株式会社
代理人個人
主分類G06F 21/60 20130101AFI20240611BHJP(計算;計数)
要約【課題】対象テーブルにおけるロールごとの適切なアクセス制御の内容を容易に特定可能にすること。
【解決手段】アクセス制御補助機能700は、新規テーブル701の作成時に、新規テーブル701に格納されるデータ種別に応じたポリシーラベル711を、新規テーブル701のメタデータに格納する。アクセス制御補助機能700は、ポリシー管理テーブル230を参照して、ポリシーラベル711に対応する各ロールパターンに対して実施すべきアクセス制御の内容を特定する。アクセス制御補助機能700は、ロール管理テーブル240を参照して、特定した各ロールパターンに対して実施すべきアクセス制御の内容に基づいて、アクセス制御情報を作成する。アクセス制御情報は、新規テーブル701におけるロールごとに、当該ロールに対して実施すべきアクセス制御の内容を表す。アクセス制御補助機能700は、作成したアクセス制御情報を出力する。
【選択図】図7
特許請求の範囲【請求項１】
データベース上のアクセス制御対象となる対象テーブルに格納されるデータ種別に応じた第１のポリシーラベルを、前記対象テーブルのメタデータに格納し、
前記第１のポリシーラベルを含む複数のポリシーラベルそれぞれについて、各ロールパターンに対して実施すべきアクセス制御の内容を定義したポリシー管理情報を参照して、前記メタデータに格納された前記第１のポリシーラベルに対応する前記各ロールパターンに対して実施すべきアクセス制御の内容を特定し、
前記対象テーブルにおける前記各ロールパターンと１以上のロールとの対応関係を表すロール管理情報を参照して、特定した前記各ロールパターンに対して実施すべきアクセス制御の内容に基づいて、前記対象テーブルにおけるロールごとに、当該ロールに対して実施すべきアクセス制御の内容を表すアクセス制御情報を作成する、
処理をコンピュータに実行させることを特徴とするデータベース管理プログラム。
続きを表示（約 1,800 文字）【請求項２】
作成した前記アクセス制御情報を出力する、
処理を前記コンピュータに実行させることを特徴とする請求項１に記載のデータベース管理プログラム。
【請求項３】
前記データベース上の前記対象テーブルに対するアクセス制御の状況を参照して、前記対象テーブルにおけるロールごとに、当該ロールに対して実施されているアクセス制御の内容を表すアクセス制御実施情報を作成し、
前記アクセス制御情報と前記アクセス制御実施情報とを比較した比較結果に基づいて、前記アクセス制御情報に対する前記アクセス制御実施情報の差分箇所を検出する、
処理を前記コンピュータに実行させることを特徴とする請求項２に記載のデータベース管理プログラム。
【請求項４】
検出した前記差分箇所を特定可能な情報を出力する、
処理を前記コンピュータに実行させることを特徴とする請求項３に記載のデータベース管理プログラム。
【請求項５】
前記データベースに対する第１のロールからのログイン要求を受け付けた際に、前記第１のロールが前記差分箇所に対応するロールであるか否かを判断し、
前記第１のロールが前記差分箇所に対応するロールの場合、前記第１のロールのログインを拒否し、
前記第１のロールが前記差分箇所に対応するロールではない場合、前記第１のロールのログインを許可する、
処理を前記コンピュータに実行させることを特徴とする請求項３に記載のデータベース管理プログラム。
【請求項６】
前記アクセス制御情報を参照して、前記対象テーブルにおける前記差分箇所に対応するロールに対して実施するアクセス制御の内容を修正する、
処理を前記コンピュータに実行させることを特徴とする請求項３に記載のデータベース管理プログラム。
【請求項７】
前記ポリシー管理情報を参照して、前記第１のポリシーラベルに対応する前記各ロールパターンを特定し、
前記対象テーブルにおける、特定した前記各ロールパターンに対応する１以上のロールの指定を受け付け、
前記対象テーブルにおける前記各ロールパターンと、指定された前記１以上のロールとを対応付けた前記ロール管理情報を作成する、
処理を前記コンピュータに実行させることを特徴とする請求項１～６のいずれか一つに記載のデータベース管理プログラム。
【請求項８】
データベース上のアクセス制御対象となる対象テーブルに格納されるデータ種別に応じた第１のポリシーラベルを、前記対象テーブルのメタデータに格納し、
前記第１のポリシーラベルを含む複数のポリシーラベルそれぞれについて、各ロールパターンに対して実施すべきアクセス制御の内容を定義したポリシー管理情報を参照して、前記メタデータに格納された前記第１のポリシーラベルに対応する前記各ロールパターンに対して実施すべきアクセス制御の内容を特定し、
前記対象テーブルにおける前記各ロールパターンと１以上のロールとの対応関係を表すロール管理情報を参照して、特定した前記各ロールパターンに対して実施すべきアクセス制御の内容に基づいて、前記対象テーブルにおけるロールごとに、当該ロールに対して実施すべきアクセス制御の内容を表すアクセス制御情報を作成する、
処理をコンピュータが実行することを特徴とするデータベース管理方法。
【請求項９】
データベース上のアクセス制御対象となる対象テーブルに格納されるデータ種別に応じた第１のポリシーラベルを、前記対象テーブルのメタデータに格納し、
前記第１のポリシーラベルを含む複数のポリシーラベルそれぞれについて、各ロールパターンに対して実施すべきアクセス制御の内容を定義したポリシー管理情報を参照して、前記メタデータに格納された前記第１のポリシーラベルに対応する前記各ロールパターンに対して実施すべきアクセス制御の内容を特定し、
前記対象テーブルにおける前記各ロールパターンと１以上のロールとの対応関係を表すロール管理情報を参照して、特定した前記各ロールパターンに対して実施すべきアクセス制御の内容に基づいて、前記対象テーブルにおけるロールごとに、当該ロールに対して実施すべきアクセス制御の内容を表すアクセス制御情報を作成する、
制御部を有することを特徴とする情報処理装置。

発明の詳細な説明【技術分野】
【０００１】
本発明は、データベース管理プログラム、データベース管理方法、および情報処理装置に関する。
続きを表示（約 2,000 文字）【背景技術】
【０００２】
近年、システムとしてセキュリティ認定を取得することが必達要件となっており、導入されるミドルウェアやサービスもセキュリティ認定の標準規約に準拠することが求められる場合がある。セキュリティ認定は、一度取得すればよいのではなく、定期的な更新が必要となる場合がある。
【０００３】
先行技術としては、アプリケーションによりリソースへアクセスが行われる場合に、当該アプリケーションが実行されている動作環境から動作環境ＤＢに記憶されるロールを特定し、特定したロールに対応付けられているアクセス制御情報をアクセス制御ＤＢから特定し、特定したアクセス制御情報に基づいて、リソースへのアクセス制御を実施するものがある。動作環境ＤＢは、アプリケーションが実行される動作環境に対応付けてユーザのロールを記憶する。アクセス制御ＤＢは、ユーザのロールに対応付けてアクセス制御情報を記憶する。
【先行技術文献】
【特許文献】
【０００４】
特開２００９－３０１３５７号公報
【発明の概要】
【発明が解決しようとする課題】
【０００５】
しかしながら、従来技術では、データベース上のテーブルについて、セキュリティ認定の標準規約に基づいた適切なアクセス制御の実施や監視にかかる負荷が増大するという問題がある。
【０００６】
一つの側面では、本発明は、対象テーブルにおけるロールごとの適切なアクセス制御の内容を容易に特定可能にすることを目的とする。
【課題を解決するための手段】
【０００７】
１つの実施態様では、データベース上のアクセス制御対象となる対象テーブルに格納されるデータ種別に応じた第１のポリシーラベルを、前記対象テーブルのメタデータに格納し、前記第１のポリシーラベルを含む複数のポリシーラベルそれぞれについて、各ロールパターンに対して実施すべきアクセス制御の内容を定義したポリシー管理情報を参照して、前記メタデータに格納された前記第１のポリシーラベルに対応する前記各ロールパターンに対して実施すべきアクセス制御の内容を特定し、前記対象テーブルにおける前記各ロールパターンと１以上のロールとの対応関係を表すロール管理情報を参照して、特定した前記各ロールパターンに対して実施すべきアクセス制御の内容に基づいて、前記対象テーブルにおけるロールごとに、当該ロールに対して実施すべきアクセス制御の内容を表すアクセス制御情報を作成する、データベース管理プログラムが提供される。
【発明の効果】
【０００８】
本発明の一側面によれば、対象テーブルにおけるロールごとの適切なアクセス制御の内容を容易に特定可能にすることができるという効果を奏する。
【図面の簡単な説明】
【０００９】
図１は、実施の形態にかかるデータベース管理方法の一実施例を示す説明図である。
図２は、情報処理システム２００のシステム構成例を示す説明図である。
図３は、データベース管理装置２０１のハードウェア構成例を示すブロック図である。
図４は、ポリシー管理テーブル２３０の記憶内容の一例を示す説明図である。
図５は、ロール管理テーブル２４０の記憶内容の一例を示す説明図である。
図６は、データベース管理装置２０１の機能的構成例を示すブロック図である。
図７は、データベース管理装置２０１の動作例を示す説明図である。
図８は、第１のポリシーラベルの格納例を示す説明図である。
図９は、ロール管理情報の作成例を示す説明図である。
図１０は、アクセス制御情報の作成例を示す説明図である。
図１１は、アクセス制御テーブル１１００の記憶内容の一例を示す説明図である。
図１２は、アクセス制御実施テーブル１２００の記憶内容の一例を示す説明図である。
図１３は、アクセス制御実施テーブル１２００（更新後）の記憶内容の一例を示す説明図である。
図１４は、差分検出結果の具体例を示す説明図（その１）である。
図１５は、差分検出結果の具体例を示す説明図（その２）である。
図１６は、データベース管理装置２０１のアクセス制御補助処理手順の一例を示すフローチャートである。
図１７は、データベース管理装置２０１のアクセス制御状況監視処理手順の一例を示すフローチャートである。
図１８は、データベース管理装置２０１のログイン許否判定処理手順の一例を示すフローチャートである。
【発明を実施するための形態】
【００１０】
以下に図面を参照して、本発明にかかるデータベース管理プログラム、データベース管理方法、および情報処理装置の実施の形態を詳細に説明する。
（【００１１】以降は省略されています）

関連特許