專利名稱：訪問控制表轉(zhuǎn)換系統(tǒng)及其方法和程序的制作方法
技術(shù)領(lǐng)域：
本發(fā)明涉及生成對描述次序沒有限制的訪問控制表轉(zhuǎn)換系統(tǒng)、訪問控制表轉(zhuǎn)換方法，以及訪問控制表轉(zhuǎn)換程序。
背景技術(shù)：
關(guān)于表現(xiàn)為訪問控制表的策略的分配，一個集成訪問控制服務(wù)器在多個控制目標(biāo)機(jī)器上執(zhí)行訪問控制變得越發(fā)平常。因此，當(dāng)變更策略時，需要校正訪問控制表，因此，存在提高訪問控制表的可維護(hù)性的需求。一般而言，訪問控制表被配置，以便包括一個或多個訪問控制規(guī)則，每個訪問控制規(guī)則包括如下的集合要被訪問的訪問目標(biāo)資源、訪問訪問目標(biāo)資源的訪問動作者用戶、以及允許或禁止訪問動作者用戶對訪問目標(biāo)資源的訪問的訪問權(quán)利。在利用訪問控制表來執(zhí)行訪問控制的訪問控制機(jī)制中，對訪問控制表的解釋依賴于訪問控制規(guī)則在訪問控制表中被描述的次序而變化。因此，即便當(dāng)訪問控制規(guī)則具有相同的內(nèi)容時，整個訪問控制表的控制內(nèi)容依賴于描述次序而不同。在訪問控制機(jī)制中，并不確保訪問控制表以變更訪問控制表的人所意欲的方式被解釋。需要根據(jù)訪問控制機(jī)制的解釋特點來針對每個訪問控制機(jī)制作出具有相同訪問控制內(nèi)容的訪問控制表，這損害可維護(hù)性。專利文獻(xiàn)1公開了一種技術(shù)，該技術(shù)自動給出標(biāo)識符，并且，能夠自動檢測相矛盾的規(guī)則和冗余規(guī)則，并且，能夠基于給定的標(biāo)識符利用預(yù)定表達(dá)來從ACL抽取相矛盾的部分。引用表專利文獻(xiàn)專利文獻(xiàn)1JP-A-2005-182478
發(fā)明內(nèi)容
技術(shù)問題但是，在專利文獻(xiàn)1中所公開的發(fā)明可檢查ACL，使得在ACL中的兩個規(guī)則不彼此相矛盾，但是，具有當(dāng)變更訪問控制策略時在校正訪問控制表中帶來大量花銷的問題。原因如下。在訪問控制表中，對訪問控制規(guī)則的描述次序是很重要的，并且，對訪問控制表的解釋依賴于描述次序而變化。因此，當(dāng)變更訪問控制表時，需要考慮訪問控制表的描述次序以及對訪問控制規(guī)則的添加或刪除。一般而言，訪問控制表包括多個訪問控制規(guī)則，每個訪問控制規(guī)則是訪問動作者用戶、訪問目標(biāo)資源和允許或禁止訪問的訪問權(quán)利的集。當(dāng)在控制內(nèi)容中的規(guī)則彼此相矛盾時，對訪問控制表的解釋依賴于在一般訪問控制機(jī)制中的描述次序而變化。即便當(dāng)在訪問控制表中的規(guī)則具有相同的控制內(nèi)容時，每個訪問控制表的控制內(nèi)容依賴于對規(guī)則的描述次序而變化。因此，并不比確保訪問控制表以變更該訪問控制表的人在訪問控制機(jī)制中所意欲的方式被解釋。例如，關(guān)于描述了 “(規(guī)則1)任意用戶不得讀取并寫入在目錄/etc下的問及那” 的訪問控制表，當(dāng)在規(guī)則1之后添加了諸如“(規(guī)則2)用戶“Yamada”可變更文件/etc/ passwd”的規(guī)則2以便給用戶“Yamada”某種權(quán)利時，訪問控制機(jī)制抑制用戶“Yamada”變更文件/etc/passwd。原因是訪問控制機(jī)制具有優(yōu)先處理首先被滿足的條件的解釋特點，并且，規(guī)則1被首先滿足以訪問請求。為了精確地反映權(quán)利，至少需要在規(guī)則1之前優(yōu)先描述規(guī)則2。如此，訪問控制機(jī)制的操作依賴于對訪問控制規(guī)則的描述次序而變化的特點使得合適地變更訪問控制表變得很難，驗證在當(dāng)前的訪問控制表下哪個用戶可訪問哪個資源或哪個用戶不可訪問哪個資源也變得很難。隨著在訪問控制表中的規(guī)則數(shù)量的增加，變更訪問控制表所帶來的問題變得更加嚴(yán)重，并且，其已成為訪問權(quán)設(shè)置中的缺陷的原因。第二個問題是需要針對每個訪問控制機(jī)制來生成訪問控制表。原因如下。當(dāng)訪問控制被多個各種訪問控制機(jī)制所執(zhí)行時，針對具有不同特點的訪問控制機(jī)制中的每一個生成帶有相同訪問控制內(nèi)容的訪問控制策略是必要的，該特點諸如訪問控制規(guī)則從在訪問控制表的頂部被描述的訪問控制規(guī)則以降序被處理，以及訪問控制規(guī)則以任意次序被處理的另一特點。在呈現(xiàn)了多個各種訪問控制目標(biāo)機(jī)器的本情況中， 當(dāng)新的訪問控制策略被建立時或當(dāng)現(xiàn)有的訪問控制策略被變更時，需要根據(jù)訪問控制機(jī)制的每個特點來生成或校正訪問控制表。出于這種原因，發(fā)明的示例性目的是提供對描述次序無限制地生成訪問控制表的訪問控制表轉(zhuǎn)換系統(tǒng)、訪問控制表轉(zhuǎn)換方法，以及訪問控制表轉(zhuǎn)換程序。對問題的解決方案根據(jù)發(fā)明的第一示例性方面，提供了一種訪問控制表轉(zhuǎn)換系統(tǒng)，包括讀取單元， 該讀取單元被提供有包括至少一個訪問控制規(guī)則的訪問控制表，該訪問控制規(guī)則是要被訪問的訪問目標(biāo)資源、訪問訪問目標(biāo)資源的訪問動作者用戶、以及定義允許還是禁止訪問動作者用戶對訪問目標(biāo)資源的訪問的訪問權(quán)利的集，并且，該讀取單元讀取在訪問控制表中所描述的訪問控制規(guī)則；第一規(guī)則判定(確定)單元，該第一規(guī)則判定(確定)單元判定所讀取的訪問控制規(guī)則是允許訪問動作者用戶對訪問目標(biāo)資源的訪問的允許規(guī)則，還是禁止訪問動作者用戶對訪問目標(biāo)資源的訪問的禁止規(guī)則；存儲單元，該存儲單元存儲通過第一規(guī)則判定單元被判定為允許規(guī)則的訪問控制規(guī)則；第二規(guī)則判定(確定)單元，該第二規(guī)則判定(確定)單元判定被判定為禁止規(guī)則的訪問控制規(guī)則的訪問動作者用戶是否與存儲在存儲單元中的訪問控制規(guī)則的訪問動作者用戶相同，并且，判定被判定為禁止規(guī)則的訪問控制規(guī)則的訪問目標(biāo)資源是否包括存儲在存儲單元中的訪問控制規(guī)則的訪問目標(biāo)資源；數(shù)據(jù)庫，該數(shù)據(jù)庫存儲資源信息，其中，訪問目標(biāo)資源的所有最新信息被系統(tǒng)地從高級概念到低級概念記錄；以及資源擴(kuò)展單元，該資源擴(kuò)展單元通過參照資源信息，從通過第二規(guī)則判定單元被判定為具有與存儲在存儲單元中的訪問控制規(guī)則相同的訪問動作者用戶并包括存儲在存儲單元中的訪問控制規(guī)則的訪問目標(biāo)資源的訪問控制規(guī)則的訪問目標(biāo)資源中移除在存儲在存儲單元中的訪問控制規(guī)則中所描述的訪問目標(biāo)資源。
根據(jù)發(fā)明的第一示例性方面，提供了一種訪問控制表轉(zhuǎn)換方法，包括接收包括至少一個訪問控制規(guī)則的訪問控制表，該訪問控制規(guī)則是要被訪問的訪問目標(biāo)資源、訪問訪問目標(biāo)資源的訪問動作者用戶、以及定義允許還是禁止訪問動作者用戶對訪問目標(biāo)資源的訪問的訪問權(quán)利的集，讀取在訪問控制表中所描述的訪問控制規(guī)則，并且，判定所讀取的訪問控制規(guī)則是允許訪問動作者用戶對訪問目標(biāo)資源的訪問的允許規(guī)則，還是禁止訪問動作者用戶對訪問目標(biāo)資源的訪問的禁止規(guī)則的第一規(guī)則判定步驟；存儲通過第一規(guī)則判定步驟被判定為允許規(guī)則的訪問控制規(guī)則的存儲步驟；判定被判定為禁止規(guī)則的訪問控制規(guī)則的訪問動作者用戶是否與在存儲步驟中存儲的訪問控制規(guī)則的訪問動作者用戶相同，并且，判定被判定為禁止規(guī)則的訪問控制規(guī)則的訪問目標(biāo)資源是否包括在存儲步驟中存儲的訪問控制規(guī)則的訪問目標(biāo)資源的第二規(guī)則判定步驟；存儲資源信息，其中，訪問目標(biāo)資源的所有最新信息被系統(tǒng)地從高級概念到低級概念記錄在數(shù)據(jù)庫中，以及通過參照資源信息， 從通過第二規(guī)則判定步驟被判定為具有與在存儲步驟中存儲的訪問控制規(guī)則相同的訪問動作者用戶并包括在存儲步驟中存儲的訪問控制規(guī)則的訪問目標(biāo)資源的訪問控制規(guī)則的訪問目標(biāo)資源中移除在存儲步驟中存儲的訪問控制規(guī)則中所描述的訪問目標(biāo)資源的資源擴(kuò)展步驟。另外，根據(jù)發(fā)明的第一示例性方面，提供了一種允許計算機(jī)執(zhí)行如下的訪問控制表轉(zhuǎn)換程序接收包括至少一個訪問控制規(guī)則的訪問控制表，該訪問控制規(guī)則是要被訪問的訪問目標(biāo)資源、訪問訪問目標(biāo)資源的訪問動作者用戶、以及定義允許還是禁止訪問動作者用戶對訪問目標(biāo)資源的訪問的訪問權(quán)利的集的處理；讀取在訪問控制表中所描述的訪問控制規(guī)則的讀取處理；判定所讀取的訪問控制規(guī)則是允許訪問動作者用戶對訪問目標(biāo)資源的訪問的允許規(guī)則，還是禁止訪問動作者用戶對訪問目標(biāo)資源的訪問的禁止規(guī)則的第一規(guī)則判定處理；存儲在第一規(guī)則判定處理中被判定為允許規(guī)則的訪問控制規(guī)則的存儲步驟； 判定被判定為禁止規(guī)則的訪問控制規(guī)則的訪問動作者用戶是否與存儲在存儲處理中的訪問控制規(guī)則的訪問動作者用戶相同，并且，判定被判定為禁止規(guī)則的訪問控制規(guī)則的訪問目標(biāo)資源是否包括存儲在存儲處理中的訪問控制規(guī)則的訪問目標(biāo)資源的第二規(guī)則判定處理；存儲資源信息處理，其中，訪問目標(biāo)資源的所有最新信息被系統(tǒng)地從高級概念到低級概念記錄在數(shù)據(jù)庫中；通過參照資源信息，從在第二規(guī)則判定處理中被判定為具有與存儲在存儲處理中的訪問控制規(guī)則相同的訪問動作者用戶并包括存儲在存儲處理中的訪問控制規(guī)則的訪問目標(biāo)資源的訪問控制規(guī)則的訪問目標(biāo)資源中移除在存儲在存儲處理中的訪問控制規(guī)則中所描述的訪問目標(biāo)資源的資源擴(kuò)展處理。發(fā)明的優(yōu)勢效果根據(jù)生成訪問控制表的本發(fā)明的示例性實施例的訪問控制表轉(zhuǎn)換系統(tǒng)、訪問控制表轉(zhuǎn)換方法和訪問控制表轉(zhuǎn)換程序，包括在已存在的允許規(guī)則中的訪問目標(biāo)資源被從與已存在允許規(guī)則具有包含關(guān)系的新禁止規(guī)則中移除。通過這種方式，可以提供對描述次序無限制地生成訪問控制表的訪問控制表轉(zhuǎn)換系統(tǒng)、訪問控制表轉(zhuǎn)換方法和訪問控制表轉(zhuǎn)換程序。
圖1是示出了根據(jù)發(fā)明的第一實施例的訪問控制表生成/轉(zhuǎn)換系統(tǒng)的結(jié)構(gòu)的示例的框圖。圖2是示出了根據(jù)發(fā)明的第一個實施例的訪問控制表生成/轉(zhuǎn)換算法的流程圖。圖3是示出了根據(jù)發(fā)明的第二實施例的訪問控制表差異分配系統(tǒng)的結(jié)構(gòu)的示例的框圖。圖4是示出了根據(jù)發(fā)明的第三實施例的訪問控制表差異分配一致性確保系統(tǒng)的結(jié)構(gòu)的示例的框圖。圖5是示出了根據(jù)發(fā)明的第五實施例的訪問控制表生成/轉(zhuǎn)換/分配系統(tǒng)的框圖。圖6是示出了典型的頂部優(yōu)先的訪問控制表的示圖。圖7是示出了訪問目標(biāo)資源的結(jié)構(gòu)的示圖。圖8示出了訪問控制表，其中，在已轉(zhuǎn)換的訪問控制規(guī)則的描述次序中不存在限制。圖9示出了策略分配/設(shè)置協(xié)議。圖10示出了基于SOAP的策略設(shè)置預(yù)備詢問消息。圖11示出了基于SOAP的策略設(shè)置命令消息。圖12是示出了根據(jù)發(fā)明的第四實施例的訪問控制表參考類型的訪問控制表生成 /轉(zhuǎn)換系統(tǒng)的結(jié)構(gòu)的示例的框圖。圖13是示出了根據(jù)發(fā)明的第六實施例的訪問控制表參考類型的不同分配系統(tǒng)的框圖。圖14示出了在策略變更后的訪問控制表。圖15示出了在不同分配中的所添加的訪問控制表。圖16示出了在不同分配中的所刪除的訪問控制表。圖17示出了基于SOAP的ACL枚舉請求消息。圖18示出了基于SOAP的ACL獲取請求消息。
具體實施例方式以下，將參照附圖來詳細(xì)描述發(fā)明的示例性實施例。第一實施例圖1是示出了根據(jù)發(fā)明的第一實施例的訪問控制表生成/轉(zhuǎn)換系統(tǒng)的結(jié)構(gòu)的示例的框圖。參照圖1，發(fā)明的第一實施例包括ACL轉(zhuǎn)換單元101和資源數(shù)據(jù)庫102。資源數(shù)據(jù)庫102系統(tǒng)地存儲將要被訪問控制表(ACL)所控制的資源的所有最新信息(從高級概念到低級概念)。在發(fā)明中，訪問控制表被配置，以便包括一個或多個訪問控制規(guī)則，每個訪問控制規(guī)則是如下的集要被訪問的訪問目標(biāo)資源、訪問訪問目標(biāo)資源的訪問動作者用戶、以及定義了是允許還是禁止訪問動作者用戶對訪問目標(biāo)資源的訪問的訪問權(quán)利。“訪問動作者用戶”例如是能夠指定訪問資源的用戶(諸如，“Yamada”)的信息。“訪問動作者用戶”可以是用于識別用戶的名字或用于識別用戶的代碼。訪問目標(biāo)資源通過集或元素來表示。符號“*”是代表“直接在其下”的所設(shè)置的記法，而符號“**”是代表“其下所有”的所設(shè)置的記法。ACL轉(zhuǎn)換單元101包括已有規(guī)則判定(確定)單元11、第一規(guī)則判定(確定)單元12、第二規(guī)則判定(確定)單元13、資源擴(kuò)展單元14，以及臨時存儲單元15。臨時存儲單元15包括允許規(guī)則存儲單元16和禁止規(guī)則存儲單元17，該允許規(guī)則存儲單元存儲用于允許訪問動作者用戶對訪問目標(biāo)資源的訪問的允許規(guī)則，該禁止規(guī)則存儲單元存儲用于禁止訪問動作者用戶對訪問目標(biāo)資源的訪問的禁止規(guī)則。已有規(guī)則判定單元11是以在訪問控制表中所描述的次序順序逐個地讀取訪問控制規(guī)則的讀取單元。已有規(guī)則判定單元11通過參照臨時存儲單元15來判定所讀取的新訪問控制規(guī)則是否被包括在訪問控制表中排序在所讀取的新訪問控制規(guī)則之前的已有規(guī)則的訪問控制中。當(dāng)新規(guī)則被包括在已有規(guī)則的訪問控制內(nèi)容中，集，當(dāng)所讀取的訪問控制規(guī)則是存儲在臨時存儲單元15中的訪問控制規(guī)則時，已有規(guī)則判定單元11從訪問控制表讀取新的訪問控制規(guī)則。當(dāng)新規(guī)則未被包括在已有規(guī)則的訪問控制內(nèi)容中時，第一規(guī)則判定單元12判定該規(guī)則是允許規(guī)則還是禁止規(guī)則。當(dāng)新規(guī)則是允許規(guī)則時，該規(guī)則被存儲在允許規(guī)則存儲單元16中，并且，返回到已有規(guī)則判定單元11。當(dāng)新規(guī)則是禁止規(guī)則時，第二規(guī)則判定單元13判定新規(guī)則的訪問動作者用戶是否與存儲在允許規(guī)則存儲單元16中的規(guī)則的訪問動作者用戶相同，以及訪問目標(biāo)資源是否被包括在該規(guī)則的訪問目標(biāo)資源中，即，參考臨時存儲單元15來判定新規(guī)則是否與存儲在允許規(guī)則存儲單元16中的規(guī)則相矛盾。當(dāng)新規(guī)則不與存儲在允許規(guī)則存儲單元16中的規(guī)則相矛盾時，即，當(dāng)訪問動作者用戶不同于存儲在臨時存儲單元15中的訪問控制規(guī)則的訪問動作者用戶時，或當(dāng)該規(guī)則的訪問目標(biāo)資源未包括存儲在臨時存儲單元15中的訪問控制規(guī)則的訪問目標(biāo)資源時，該規(guī)則被存儲在禁止規(guī)則存儲單元17中，并且，返回到已有規(guī)則判定單元11。資源擴(kuò)展單元14利用資源數(shù)據(jù)庫102抽取與存儲在允許規(guī)則存儲單元16中的規(guī)則相矛盾的規(guī)則的訪問目標(biāo)資源，并將其擴(kuò)展至與存儲在允許規(guī)則存儲單元16中的訪問目標(biāo)資源相同的低級概念等級，用在規(guī)則之間彼此不重疊的低級概念的訪問目標(biāo)資源來重寫訪問控制規(guī)則，以及將訪問控制規(guī)則存儲在禁止規(guī)則存儲單元17中。當(dāng)該規(guī)則不是在訪問控制表中的最后一個規(guī)則時，其返回到已有規(guī)則判定單元11。第一個實施例的操作接下來，將參照圖1和圖2來詳細(xì)說明該實施例的操作。圖2是示出了根據(jù)發(fā)明的第一實施例的訪問控制表生成/轉(zhuǎn)換算法的流程圖。輸入訪問控制表被提供到在圖1中所示的已有規(guī)則判定單元11。已有規(guī)則判定單元11以在輸入訪問控制表中所描述的次序逐個地讀取訪問控制規(guī)則。另外，已有規(guī)則判定單元11通過參照存儲在臨時存儲單元15中的規(guī)則來判定所讀取的規(guī)則是否被包括在在輸入訪問控制表中排序在所讀取規(guī)則之前的已存在訪問控制規(guī)則中(圖2的步驟Al和A2)。當(dāng)所讀取的規(guī)則未被包括在存儲在臨時存儲單元15中的規(guī)則中時，所讀取的規(guī)則被提供到第一規(guī)則判定單元12。當(dāng)所讀取的規(guī)則被包括在存儲在臨時存儲單元15中的規(guī)則中時，在輸入訪問控制表中的下一個訪問控制規(guī)則被讀取，并且，如上述的處理被再次執(zhí)行，直到規(guī)則達(dá)到訪問控制表的末尾為止。
一個規(guī)則包括另一規(guī)則意味著在兩個規(guī)則中，訪問動作者和允許或禁止訪問的訪問權(quán)利是相同的，并且，一個規(guī)則的訪問目標(biāo)資源是包括該一個規(guī)則的另一規(guī)則的訪問目標(biāo)資源的子集。因此，上述“排名更高的已存在訪問控制規(guī)則”意味著包括一個規(guī)則的另一規(guī)則。即，當(dāng)一個規(guī)則被包括在另一規(guī)則中時，在兩個規(guī)則中的訪問動作者和允許或禁止訪問的訪問權(quán)利是相同的，并且，另一規(guī)則的訪問目標(biāo)資源包括一個規(guī)則的訪問目標(biāo)資源， 即，另一規(guī)則是一個規(guī)則的高級概念。另一規(guī)則已被存儲在臨時存儲單元15中。在圖1中所示的第一規(guī)則判定單元12判定所讀取的規(guī)則是否是允許規(guī)則(圖2 中的步驟A3)。當(dāng)所讀取的規(guī)則不是允許規(guī)則時，即，當(dāng)所讀取的規(guī)則是禁止規(guī)則時，該規(guī)則被提供給第二規(guī)則判定單元13。當(dāng)所讀取的規(guī)則是允許規(guī)則時，該規(guī)則被存儲在允許規(guī)則存儲單元16中(圖2中的步驟A5)。在圖1中所示的第二規(guī)則判定單元13通過參照臨時存儲單元15來判定在所讀取的規(guī)則中所描述的訪問動作者用戶是否與存儲在允許規(guī)則存儲單元16中的允許規(guī)則的訪問動作者用戶相同，以及判定在所讀取的規(guī)則中所描述的訪問目標(biāo)資源是否包括在存儲在允許規(guī)則存儲單元16中的允許規(guī)則中所描述的訪問目標(biāo)資源(圖2中的步驟A4)。當(dāng)在所讀取的規(guī)則中所描述的訪問目標(biāo)資源不包括在允許規(guī)則中所描述的訪問目標(biāo)資源時，所讀取的規(guī)則被存儲在禁止規(guī)則存儲單元17中并不做更改。當(dāng)在所讀取的規(guī)則中所描述的訪問目標(biāo)資源包括在允許規(guī)則中所描述的訪問目標(biāo)資源時，該規(guī)則被提供給資源擴(kuò)展單元 14。在圖1中所示的資源擴(kuò)展單元14將在所讀取規(guī)則中所描述的訪問目標(biāo)資源擴(kuò)展到某深度，該深度能夠代表訪問目標(biāo)資源的集火元素，該訪問目標(biāo)資源被在存儲在允許規(guī)則存儲單元16中的允許規(guī)則中描述并被包括在所讀取的規(guī)則，即，將其擴(kuò)展至如存儲在允許規(guī)則存儲單元16中的訪問控制規(guī)則的訪問目標(biāo)資源一樣的低級概念等級(圖2的步驟 A6)。具有相同深度的資源意味著資源具有相同表達(dá)層級的而不具有相同的子集。在允許規(guī)則中所描述的資源被從被擴(kuò)展至在允許規(guī)則中所描述的資源被擴(kuò)展到的相同深度的規(guī)則的資源中移除，然后，該規(guī)則被存儲在禁止規(guī)則存儲單元17中(圖2中的步驟A7和A8)。作為最終的輸出，存儲在禁止規(guī)則存儲單元17中的規(guī)則群組被作為訪問控制表輸出。在該實施例中，使用了用于對描述次序無限制的以黑名單形式存在的訪問控制表執(zhí)行轉(zhuǎn)換的方法。但是，可交換允許和禁止，以對描述次序無限制的具有白名單形式的允許規(guī)則的訪問控制表執(zhí)行轉(zhuǎn)換。在黑名單形式中，允許對未描述將要生成的訪問控制表的默認(rèn)訪問控制條件的資源的訪問。在白名單形式中，禁止對未描述默認(rèn)訪問控制條件的資源的訪問。在白名單形式的輸出中，第二規(guī)則判定單元13判定通過第一規(guī)則判定單元12被判定為允許規(guī)則的訪問控制規(guī)則的訪問動作者用戶是否與訪問控制規(guī)則(其為存儲在臨時存儲單元15中的禁止規(guī)則)的訪問動作者用戶相同，以及判定被判定為允許規(guī)則的訪問控制規(guī)則的訪問目標(biāo)資源是否包括訪問控制規(guī)則(其為存儲在臨時存儲單元15中的禁止規(guī)則)的訪問目標(biāo)資源。臨時存儲單元15還包括禁止規(guī)則存儲單元17 (其存儲通過第一規(guī)則判定單元12被判定為禁止規(guī)則的訪問控制規(guī)則)和允許規(guī)則存儲單元(其存儲通過第一規(guī)則判定單元 12被判定為允許規(guī)則的訪問控制規(guī)則)，通過第二規(guī)則判定單元13判定為具有與存儲在臨時存儲單元15中的訪問控制規(guī)則相同的訪問動作者用戶并未包括存儲在臨時存儲單元15 中的訪問控制規(guī)則的訪問目標(biāo)資源的訪問控制規(guī)則，以及在存儲在臨時存儲單元15中的訪問控制規(guī)則中所描述的訪問目標(biāo)資源通過資源擴(kuò)展單元14以白名單形式的輸出被從中移除的訪問控制規(guī)則。第二實施例接下來，將參照圖來詳細(xì)描述根據(jù)發(fā)明的另一實施例的訪問控制表差異分配系統(tǒng)。在該實施例中，訪問控制表(ACL)被廣泛地管理，訪問控制表針對已更新的策略被更新，并且，訪問控制表在更新前后的差異被分配給每個控制目標(biāo)機(jī)器。參照圖3，該實施例包括集成訪問控制服務(wù)器100和控制目標(biāo)機(jī)器200。圖3是示出了根據(jù)發(fā)明的第二實施例的訪問控制表差異分配系統(tǒng)的結(jié)構(gòu)的示例的框圖。集成訪問控制服務(wù)器100包括策略數(shù)據(jù)庫106、資源數(shù)據(jù)庫102、ACL數(shù)據(jù)庫107、 ACL生成單元103、ACL轉(zhuǎn)換單元101、差異抽取單元104，以及分配單元105。策略數(shù)據(jù)庫 106存儲具有此處所描述的訪問控制信息的策略，而ACL數(shù)據(jù)庫107存儲之前生成并分配的 ACL?？刂颇繕?biāo)機(jī)器200包括設(shè)置單元201、合并單元202和接收單元203。在集成訪問控制服務(wù)器100中，策略數(shù)據(jù)庫106將策略(其為已更新的分配目標(biāo)的訪問控制信息)提供給ACL生成單元103。ACL生成單元103生成ACL，其中，每個通過 (訪問動作者用戶、訪問目標(biāo)資源和允許或禁止訪問的權(quán)利)所代表的訪問控制規(guī)則從所提供的策略被以優(yōu)先級降序的次序描述。在該情形中，執(zhí)行訪問控制的用戶被描述為訪問動作者用戶，訪問受控的資源被描述為訪問目標(biāo)資源，而授予用戶的訪問權(quán)利被描述為允許或禁止訪問的權(quán)利。所生成的ACL被提供給ACL轉(zhuǎn)換單元101，并且，ACL轉(zhuǎn)換單元101通過利用資源數(shù)據(jù)庫102的資源信息將所接收的ACL轉(zhuǎn)換成對描述次序無限制的ACL。利用資源數(shù)據(jù)庫 102和ACL轉(zhuǎn)換單元101來生成對描述次序無限制的ACL的處理與在圖1中所示的第一實施例中的處理相同。差異抽取單元104比較在每個訪問控制規(guī)則中的訪問目標(biāo)資源和允許或禁止訪問的權(quán)利的字符串，該訪問控制規(guī)則包括分別描述在通過ACL轉(zhuǎn)換單元101轉(zhuǎn)換的對次序沒有限制的ACL中的相同的訪問動作者用戶以及存儲在ACL數(shù)據(jù)庫107中的更新之前的 ACL，并且，差異抽取單元抽取描述在更新前的ACL中但未描述在新近轉(zhuǎn)換的ACL中的訪問控制規(guī)則和未描述在更新前的ACL中但描述在新近轉(zhuǎn)換的ACL中的訪問控制規(guī)則作為差異 fn息ο差異信息僅包括未包括在更新前的ACL中但包括在新近轉(zhuǎn)換的ACL中的訪問控制規(guī)則集，或包括在更新前的ACL中但未包括在新近轉(zhuǎn)換的ACL中的訪問控制規(guī)則集，并且， 不包括描述次序信息。已抽取的差異信息被提供給分配單元105，然后，被分配到控制目標(biāo)機(jī)器200。在控制目標(biāo)機(jī)器200中，接收單元203接收通過集成訪問控制服務(wù)器100的分配單元105所分配的差異信息，并且，將所接收的差異信息提供給合并單元202。合并單元202 基于差異信息將所添加的訪問控制規(guī)則添加到更新前的當(dāng)前所應(yīng)用的控制表，并且，從中移除所刪除的訪問控制規(guī)則以獲得已更新的訪問控制表。已合并的訪問控制表被提供給設(shè)置單元201，并且，設(shè)置單元201將訪問控制表提供給控制目標(biāo)機(jī)器。在該實施例中，作為差異信息，僅訪問控制規(guī)則的所添加的信息和所刪除的信息可被分配，從而生成已更新的訪問控制表。由于用于更新所需的信息對次序無限制，因此， 可以減少在集成訪問控制服務(wù)器和控制目標(biāo)機(jī)器之間的通信量。另外，不必考慮描述次序來重建訪問控制表。因此，可減少由控制目標(biāo)機(jī)器所使用的用以更新訪問控制表的資源量。第三實施例接下來，將參照圖來詳細(xì)描述根據(jù)發(fā)明的另一實施例的訪問控制表一致性確保差異分配系統(tǒng)。在該實施例中，描述了確保在訪問控制表之間的差異的分配的一致性的示例。圖 4是示出了根據(jù)發(fā)明的第三實施例的訪問控制表差異分配一致性確保系統(tǒng)的結(jié)構(gòu)示例的框圖。參照圖4，在該實施例中，集成訪問控制服務(wù)器100 ’還包括簽名單元108和控制目標(biāo)機(jī)器200’，與第二實施例相比，還包括簽名驗證單元204。在集成訪問控制服務(wù)器100’中，通過差異抽取單元104所抽取的差異信息被提供到簽名單元108。簽名單元108將數(shù)字簽名好存儲在集成訪問控制服務(wù)器100’中的私鑰添加到所提供的差異信息中，并且，利用諸如RSA簽名機(jī)制之類的預(yù)定簽名機(jī)制來指示常規(guī)的集成訪問控制服務(wù)器。分配單元105將添加了簽名的訪問控制表的差異信息分配到控制目標(biāo)機(jī)器200’。
在控制目標(biāo)機(jī)器200’中，接收單元203接收添加了簽名的差異信息，并且，將差異信息提供給合并單元202。合并單元202利用簽名驗證單元204用存儲在控制目標(biāo)機(jī)器中并被常規(guī)的集成訪問控制服務(wù)器發(fā)布的公鑰來驗證添加到所提供的差異信息中的簽名。當(dāng)確保了差異信息的有效性時，合并單元202將所添加的訪問控制規(guī)則添加到更新前當(dāng)前所應(yīng)用的訪問控制表中，并且，從中移除所刪除的訪問控制規(guī)則。已合并的訪問控制表通過設(shè)置單元201被應(yīng)用于控制目標(biāo)機(jī)器。在該實施例中，不存在對訪問控制規(guī)則被描述的次序的限制。因此，當(dāng)差異信息 (其為訪問控制規(guī)則集)的有效性被確保時，通過合并差異信息和更新前的訪問控制表所獲得的已更新的訪問控制表的有效性被確保。第四實施例接下來，將參照圖來詳細(xì)描述一個系統(tǒng)，其中，根據(jù)發(fā)明的另一實施例的集成訪問控制服務(wù)器僅有一個策略(其為訪問控制表的源)，從而執(zhí)行訪問控制。在該實施例中，描述了一個示例，其中，集成訪問控制服務(wù)器僅管理公共的策略， 并且，執(zhí)行訪問控制而無需在每個控制目標(biāo)機(jī)器上存儲訪問控制機(jī)制所要求的訪問控制表。圖12是示出了根據(jù)發(fā)明的第四實施例的訪問控制表參考類型的訪問控制表生成/轉(zhuǎn)換系統(tǒng)的結(jié)構(gòu)示例的框圖。參照圖12，在該實施例中，在集成訪問控制服務(wù)器100”中并不需要ACL數(shù)據(jù)庫 107，并且，集成訪問控制服務(wù)器100”包括ACL詢問單元109和差異抽取單元104’，該差異
16抽取單元具有將信息發(fā)送到ACL詢問單元的信息發(fā)送單元?？刂颇繕?biāo)機(jī)器200”還包括ACL 控制單元205和ACL數(shù)據(jù)庫206。差異抽取單元104，通過利用ACL詢問單元109來詢問控制目標(biāo)機(jī)器200”的當(dāng)前所設(shè)置的ACL，以便獲得通過集成訪問控制服務(wù)器100”的ACL轉(zhuǎn)換單元101所獲得的ACL 和設(shè)置到控制目標(biāo)機(jī)器200”的ACL之間的差異信息。ACL詢問單元109詢問當(dāng)前所設(shè)置的ACL或控制目標(biāo)機(jī)器200”的ACL控制單元 205的所分配的ACL。然后，ACL控制單元205基于在ACL數(shù)據(jù)庫204中所存儲的信息來響應(yīng)詢問。通過ACL詢問109從ACL控制單元205所獲得的信息被添加到當(dāng)前所設(shè)置的ACL。 通過這種方式，可以獲得ACL的元信息，諸如，ACL ID或ACL修訂，以及ACL何時被設(shè)置或分配。與發(fā)送ACL的結(jié)構(gòu)相比，元信息的交換使得可以減少發(fā)送花銷。例如，元信息包括 ACL的哈希值，并且，通過對次序無限制地分類ACL所獲得的哈希值被交換。通過這種方式， 可以檢測在通過ACL轉(zhuǎn)換單元所獲得的ACL和當(dāng)前所設(shè)置的ACL之間是否存在差異，從而減少抽取差異的花銷。在該實施例中，集成訪問控制服務(wù)器無需存儲每個控制目標(biāo)機(jī)器的ACL，并且，可僅管理公共政策以用于執(zhí)行訪問控制。因此，可以減少集成訪問控制服務(wù)器的管理和操作花銷。另外，對訪問控制機(jī)制的訪問控制所需的信息(諸如，設(shè)置到控制目標(biāo)機(jī)器的信息) 被使用，這使得集成訪問控制服務(wù)器可以瀏覽并使用實時的訪問控制信息。第五實施例接下來，將參照圖來詳細(xì)描述示例性實施例。圖5是示出了根據(jù)發(fā)明的第五實施例的訪問控制表生成/轉(zhuǎn)換/分配系統(tǒng)的框圖。在該實施例中，訪問控制表(ACL)被廣泛地管理，訪問控制表從已建立的策略中生成，并且，訪問控制表被分配并設(shè)置到每個控制目標(biāo)機(jī)器。參照圖5，該實施例包括集成訪問控制服務(wù)器100和多個(η)控制目標(biāo)機(jī)器200-η。集成訪問控制服務(wù)器100包括策略數(shù)據(jù)庫106、資源數(shù)據(jù)庫102、ACL生成單元 103、ACL轉(zhuǎn)換單元101和分配單元105?？刂颇繕?biāo)機(jī)器200_η中的每一個包括設(shè)置單元201 和接收單元203。在集成訪問控制服務(wù)器100中，存儲已建立的策略的策略數(shù)據(jù)庫106將要被分配的策略提供給ACL生成單元103并獲得ACL。例如，已建立的策略是會計部門的Yamada被允許讀取和寫入在/var/samba/ pub/目錄(該目錄還被網(wǎng)頁服務(wù)器所共享)下的數(shù)據(jù)和在/var/samba/keiri (僅被會計部門所使用的目錄)下的數(shù)據(jù)，但是，不允許在/var/samba下的任意其他目錄中讀取和寫入數(shù)據(jù)。針對該策略，ACL生成單元103生成如圖6所示的ACL。在該ACL中，在每個訪問控制規(guī)則中，訪問由策略所描述的會計部門的“Yamada”的動作者被描述為Yamada，而/var/ samba/pub/,/var/samba/keiri/和/var/samba/**被描述為訪問目標(biāo)資源。另外，當(dāng)寫入被允許時，訪問每個訪問目標(biāo)資源的權(quán)利被表示為“寫入+”，而當(dāng)寫入被禁止時，訪問權(quán)利被表示為“寫入-”。即，允許由“ + ”表示，而禁止由“_”表示。通過這種方式，寫入、讀取和執(zhí)行訪問權(quán)利被描述在訪問控制規(guī)則中。訪問控制規(guī)則以優(yōu)先級降序的次序在策略中被描述，并且，還以優(yōu)先級降序的次序被描述在ACL中。針對ACL中的訪問目標(biāo)表中的記法“*”和“**”，“*”指示“直接在目錄下”，而“**”指示“在目錄下的全部”。上述ACL被輸入到ACL轉(zhuǎn)換單元101。ACL轉(zhuǎn)換單元101通過參照存儲控制目標(biāo)機(jī)器的資源信息的資源數(shù)據(jù)庫102來將上述ACL轉(zhuǎn)換成不依賴于訪問控制規(guī)則的描述次序的ACL，并且，輸出已轉(zhuǎn)換的ACL。關(guān)于上述ACL，當(dāng)存儲在資源數(shù)據(jù)庫102中的控制目標(biāo)機(jī)器的所有資源信息如圖7中所示時，將參照圖1和圖2來詳細(xì)描述轉(zhuǎn)換ACL的處理。首先，在圖6中所示的ACL的訪問控制規(guī)則的一行被讀取(圖2中的步驟Al)。已有規(guī)則判定單元U判定所讀取的規(guī)則未被包括在存儲在臨時存儲單元15中的規(guī)則中(圖 2的步驟A2)，并且，將規(guī)則提供到第一規(guī)則判定單元12。第一規(guī)則判定單元12判定該規(guī)則是否是允許規(guī)則(在圖2中的步驟A3)。然后，yamada:/var/samba/pub:read+*yamada:/ var/samba/pub:wirte+(其為允許規(guī)則)被存儲在允許規(guī)則存儲單元16(圖2的步驟A5)， 而yamad^/var/samba/pub: execute-(其為禁止規(guī)則)被提供給第二規(guī)則判定單元13。第二規(guī)則判定單元13將所提供的規(guī)則存儲在禁止規(guī)則存儲單元17中，因為所提供的規(guī)則的訪問動作者用戶與存儲在允許規(guī)則存儲單元16中的允許規(guī)則的訪問動作者用戶相同，并且，所提供的規(guī)則的訪問目標(biāo)資源未包括在存儲在允許規(guī)則存儲單元16中的允許規(guī)則中所描述的訪問目標(biāo)資源，即，所提供的規(guī)則的訪問目標(biāo)資源未與在允許規(guī)則中所描述的訪問目標(biāo)資源相矛盾(圖2的步驟A4和A8)。然后，判定給規(guī)則是否是最后一個規(guī)則(圖2的步驟A9)。由于所輸入的ACL并未達(dá)到最后一行，因此，在第二行的訪問控制規(guī)則被讀取(圖2的步驟Al)。已有規(guī)則判定單元11判定所讀取的規(guī)則未被包括在存儲在臨時存儲單元15中的規(guī)則中(圖2的步驟A2)。 因此，該規(guī)則被提供給第一規(guī)則判定單元12，并且，第一規(guī)則判定單元12判定該規(guī)則是否是允許規(guī)則(圖2的步驟A3)。然后，yamada /var/samba/keiri read+ 禾口 yamada /var/samba/ keiri:Wirte+(其為允許規(guī)則)被存儲在允許規(guī)則存儲單元16中(圖2的步驟A5)，而 yamada:/var/samba/keiri:execute-(其為禁止規(guī)則)被提供給第二規(guī)則判定單元13。第二規(guī)則判定單元13判定所提供的規(guī)則不與存儲在允許規(guī)則存儲單元16中的允許規(guī)則相矛盾。因此，規(guī)則被存儲在禁止規(guī)則存儲單元17中(圖2的步驟A4和A8)。然后，判定該規(guī)則是否是最后一個規(guī)則(圖2的步驟A9)。由于所輸入的ACL并未達(dá)到最后一行，在第三行的訪問控制規(guī)則被讀取(圖2中的步驟Al)。已有規(guī)則判定單元11判定所讀取的規(guī)則未被包括在存儲在臨時存儲單元15中的規(guī)則中(圖2中的步驟A2)。因此，規(guī)則被提供給第一規(guī)則判定單元12，并且，第一規(guī)則判定單元12判定規(guī)則是否是允許規(guī)則。由于規(guī)則被判定為禁止規(guī)則，因此，其被提供給第二規(guī)則判定單元13(圖2中的步驟A3)。第二規(guī)則判定單元13判定所提供的規(guī)則“yamada:/var/samba/**: execute-”未與存儲在允許規(guī)則存儲單元16中的允許規(guī)則相矛盾，并且，規(guī)則被存儲在禁止規(guī)則存儲單元 17 中(圖 2 的步驟 A4 禾口 A8)。由于 yamada /var/samba/** read-禾口 yamada :/var/ samba/**:write- %#fit^ jtWISJJl1J#fit7Π 16 中白勺 yamada:/var/samba/pub:read+> yamada:/var/samba/pub:wirte+> yamada:/var/samba/keiri:read+ 禾口 yamada:/var/ samba/keiri:wirte+相矛盾，因此它們被提供給資源擴(kuò)展單元14。當(dāng)yamada:/Var/Samba/**:read-被提供時，資源擴(kuò)展單元14通過參照資源數(shù)據(jù)庫106識別到在/var/samba/下存在pub、keiri和soumu，并且，擴(kuò)展資源，使得如存儲在允許規(guī)則存儲單元16中的yamada /var/samba/pub read+禾口 yamada /var/ samba/keiri read+的相同層級的資源信息可被表示(圖2中的步驟A6)，從而獲得 yamada/var/samaba/pubread-Λyamada/var/samba/keiriread一、yamada/var/samba/ soumu:read-和yamada:/var/samba/*:read-。然后，資源擴(kuò)展單元14從所獲得的規(guī)則中移除/var/samba/pub和/var/samba/keiri (其為存儲在允許規(guī)則存儲單元16中的訪問目標(biāo)資源)，并且，4奪 yamada /var/samba/soumu read-禾口 yamada/var/samba/*: read—存fi者在禁止規(guī)則存儲單元17中(圖2的步驟A7和A8)。然后，資源擴(kuò)展單元14在所提供的規(guī)貝丨J “yamada :/var/samba/**: wirte-”上執(zhí)行如上述的相同的處理，并且，將yamada:/var/ samba/soumu:wirte_ 禾口 yamada:/var/samba/*:wirte_ 存儲在禁止規(guī)貝Ij存儲單元 17 中(圖 2中的步驟A4、A6、A7和A8)。由于所輸入的ACL達(dá)到最后一行，存儲在禁止規(guī)則存儲單元17中的yamada:/ var/samba/pubexecute-、yamada/var/samba/keiri:execute-、yamada:/var/samba/ soumu:read-, wirte-禾口 yamada:/var/samba/*:read-，wirte-被輸出。通過這禾中方式，獲得了黑名單形式的ACL。由于在黑名單中允許默認(rèn)規(guī)則，因此，在圖8中所示出的ACL(其中，允許訪問權(quán)利未被描述在輸出訪問目標(biāo)資源中)被作為輸出獲得。在作為輸出所獲得的ACL中，不存在對訪問控制規(guī)則被描述的次序的限制。因此，即便當(dāng)訪問控制規(guī)則被任意互換并且訪問控制機(jī)制未以降序處理規(guī)則時，當(dāng)對在ACL中所描述的所有訪問控制規(guī)則的訪問被控制時， 可以獲得如上所述的相同的訪問控制效果。最后，分配單元105將從ACL轉(zhuǎn)換單元101輸出的ACL分配到控制目標(biāo)機(jī)器200_n， 并且，發(fā)布設(shè)置命令。作為用于發(fā)送/設(shè)置ACL的方法，可使用任意通信協(xié)議(諸如，telnet 或ssh)或在圖9中所示的通信協(xié)議。首先，集成訪問控制服務(wù)器100利用分配單元105分配控制目標(biāo)機(jī)器200-n的關(guān)于是否準(zhǔn)備設(shè)置的ACL詢問(圖9中的步驟Bi)，并且，獲取如下信息指示控制目標(biāo)機(jī)器 200-n的設(shè)置單元201是否有效的信息、指示控制目標(biāo)機(jī)器200-n的接收單元203對應(yīng)于用于發(fā)送將要分配的ACL的協(xié)議的哪個通信協(xié)議的信息，以及指示用于發(fā)送ACL的主要協(xié)議是哪個協(xié)議的信息(圖9中的步驟B2)。在該情形中，優(yōu)選的是消息基于在圖10中所示的基于SOAP的WS-Management。在該實施例中，WS-Management的獲取(Get)動作被使用，以指定作為資源URI的代表設(shè)置單元201的設(shè)置的資源，或代表相應(yīng)的協(xié)議并將消息發(fā)送到控制目標(biāo)機(jī)器200-n的接收單元 203以用于詢問的資源?？刂颇繕?biāo)機(jī)器200-n的接收單元203響應(yīng)于來自集成訪問控制服務(wù)器100的分配單元105的作為基于WS-Management的基于SOAP的獲取響應(yīng)的設(shè)置預(yù)備詢問。然后，集成訪問控制服務(wù)器100的分配單元105根據(jù)通過設(shè)置預(yù)備詢問所獲得的協(xié)議將ACL發(fā)送到控制目標(biāo)機(jī)器200-n的接收單元203 (圖9中的步驟。在該階段所使用的發(fā)送協(xié)議依賴于在前一階段通過設(shè)置預(yù)備詢問所獲得的協(xié)議，并且，未被特殊指定。然后，集成訪問控制服務(wù)器100的分配單元105基于在圖11中所示的基于SOAP 的WS-Management來在更新的情形中使用WS-Management的放置(Put)動作，而在刪除的情形中使用WS-Management的刪除，以指定代表作為資源URI的設(shè)置單元201的資源、指定指示將要設(shè)置的ACL的Policy_ID (策略ID)，以及將消息發(fā)送到控制目標(biāo)機(jī)器200_n的接收單元203，從而請求對ACL的設(shè)置(圖9中的步驟B4)。當(dāng)接收請求時，接收單元203將設(shè)置命令輸出到設(shè)置單元201 (圖9中的步驟B5)， 并且，設(shè)置單元201響應(yīng)于設(shè)置命令(圖9中的步驟B6)。當(dāng)接收對設(shè)置命令的響應(yīng)時，接收單元203對ACL設(shè)置請求執(zhí)行基于SOAP的WS-Management的放置響應(yīng)動作或刪除響應(yīng)動作，從而響應(yīng)于集成訪問控制服務(wù)器100的分配單元105(圖9中的步驟B7)。僅有在圖8中所示的ACL可從集成訪問控制服務(wù)器100被分配，只要在控制目標(biāo)機(jī)器200-n中所設(shè)置的設(shè)置單元201能處理黑名單形式的ACL，該集成訪問控制服務(wù)器就分配ACL。在該情形中，由于不必針對控制目標(biāo)機(jī)器200-1/200-2，. . . , 200-n中的每一個預(yù)備ACL，因此，即便控制目標(biāo)機(jī)器的數(shù)量增加了，需要從將要分配的策略中通過集成訪問控制服務(wù)器100生成的ACL的數(shù)量可以是一個。第六實施例第六實施例涉及一種示例，其中，集成訪問控制服務(wù)器僅廣泛地管理用于執(zhí)行訪問控制的一個策略，并且，控制目標(biāo)機(jī)器具有獲取ACL信息的功能，從而執(zhí)行集成的訪問控制。圖13是示出了根據(jù)發(fā)明的第六實施例的訪問控制表參考類型的差異分配系統(tǒng)的框圖。參照圖13，該實施例包括集成訪問控制服務(wù)器100’和多個(η)控制目標(biāo)機(jī)器 200’ -η。集成訪問控制服務(wù)器100’包括策略數(shù)據(jù)庫106、資源數(shù)據(jù)庫102、ACL生成單元 103、ACL轉(zhuǎn)換單元101，以及通信單元110?？刂颇繕?biāo)機(jī)器200’ -η中的每一個包括ACL數(shù)據(jù)庫206、設(shè)置單元201和接收單元207。在集成訪問控制服務(wù)器100’中，存儲已建立的策略的策略數(shù)據(jù)庫106將要被分配的策略分配到ACL生成單元103，并且，ACL被獲得。然后，ACL被提供給ACL轉(zhuǎn)換單元101， 并且，對描述次序沒有限制的ACL被獲得。另外，集成訪問控制服務(wù)器100’利用通信單元 110與控制目標(biāo)機(jī)器200’-η的通信單元207通信，以獲取所設(shè)置的或分配到控制目標(biāo)機(jī)器 200，-η的ACL以及存儲在ACL數(shù)據(jù)庫206中的ACL的元信息。在通過ACL轉(zhuǎn)換單元101所當(dāng)前獲得的ACL中，用以執(zhí)行在控制目標(biāo)機(jī)器200’_η 中的策略中所建立的訪問控制所需的ACL的差異或其所有基于所獲得的ACL和所獲得的 ACL的元信息而被分配。例如，當(dāng)控制目標(biāo)機(jī)器200’ -η的所有資源信息如在圖7中所示， 并且，在會計部門的Yamada (其中，訪問動作者是Yamada)由于個人改組而將其部門從會計部門變更為總務(wù)部門，應(yīng)用于Yamada的策略被變更，并且，訪問動作者用戶“Yamada”的訪問控制表被變更。在該情形中，在圖8中所示的ACL當(dāng)前被設(shè)置到控制目標(biāo)機(jī)器200’-n，并且，在圖 14中所示的ACL被從策略中獲得，該策略通過ACL轉(zhuǎn)換單元101被新近應(yīng)用于yamada。集成訪問控制服務(wù)器100’利用通信單元110獲取作為新近設(shè)置到控制目標(biāo)機(jī)器 200'-η的ACL的元信息的ACL版本或ACL的哈希值。通過這種方式，可以知道將要設(shè)置的 ACL不同于當(dāng)前所設(shè)置的ACL。因此，集成訪問控制服務(wù)器100’參照當(dāng)前被設(shè)置到控制目標(biāo)機(jī)器200’-η的ACL、指示刪除在圖15中所示ACL(其為在當(dāng)前所設(shè)置的ACL和當(dāng)前被生成并轉(zhuǎn)換的ACL之間的差異)，并且，指示添加在圖16中所示的ACL。當(dāng)將ACL向控制目標(biāo)機(jī)器200’ -η的分配結(jié)束時，集成訪問控制服務(wù)器100’指示控制目標(biāo)機(jī)器200’ -η的設(shè)置單元201通過通信單元110和通信單元207設(shè)置ACL。
20
集成訪問控制服務(wù)器100’的通信單元110和控制目標(biāo)機(jī)器200’ -η的通信單元 207可使用任意通信協(xié)議，諸如，HTTP或telnet。但是，優(yōu)選的是基于WS-Management的協(xié)議。策略分配/設(shè)置協(xié)議如圖9所示，并且，在該實施例中將不重復(fù)對其的描述。在該實施例中，當(dāng)獲得存儲在控制目標(biāo)機(jī)器200’ -η中的每一個的ACL數(shù)據(jù)庫206中的信息時，集成訪問控制服務(wù)器100’利用基于在圖17中所示的WS-Management的枚舉動作來將在控制目標(biāo)機(jī)器200’ -η上的ACL指定為資源URI，并且，詢問控制目標(biāo)機(jī)器200’ -η的通信單元207 的ACL。作為WS-Management的枚舉響應(yīng)動作，在控制目標(biāo)機(jī)器200’_η上的所有ACL表響應(yīng)于集成訪問控制服務(wù)器100’的通信單元110。集成訪問控制服務(wù)器100’檢查在所獲得的表中是否存在舊版的將要分配的ACL。 當(dāng)不存在舊版時，集成訪問控制服務(wù)器100’進(jìn)行到ACL分配階段。當(dāng)存在舊版時，集成訪問控制服務(wù)器100’獲取ACL或ACL得元信息。當(dāng)ACL的元信息被獲得時，集成訪問控制服務(wù)器100’從通過枚舉動作所獲得的表中搜索對應(yīng)ACL的實例、利用基于在圖18中所示的WS-Management的獲取動作來將在控制目標(biāo)機(jī)器200’-n上的ACL指定為資源URI、利用選擇器集(klectorkt)來指定ACL的實例，以及詢問控制目標(biāo)機(jī)器200’ -η的通信單元207的ACL。然后，ACL的元信息作為響應(yīng)被發(fā)送到集成訪問控制服務(wù)器100’的通信單元110。當(dāng)ACL被獲取時，集成訪問控制服務(wù)器100，詢問作為對應(yīng)于控制目標(biāo)機(jī)器200，~η 的文件發(fā)送協(xié)議(類似于策略分配/設(shè)置協(xié)議)的通信協(xié)議的類型、確定用于發(fā)送ACL的發(fā)送協(xié)議，并獲取ACL。根據(jù)發(fā)明的上述實施例中的每一個的訪問控制表轉(zhuǎn)換系統(tǒng)還可通過硬件實現(xiàn)。另外，計算機(jī)可從計算機(jī)可讀介質(zhì)讀取用于允許計算機(jī)用作搜索系統(tǒng)的程序，并執(zhí)行該程序， 從而實現(xiàn)訪問控制表轉(zhuǎn)換系統(tǒng)。根據(jù)發(fā)明的上述實施例的訪問控制表轉(zhuǎn)換方法還可通過硬件實現(xiàn)。另外，計算機(jī)可從計算機(jī)可讀記錄介質(zhì)讀取用于執(zhí)行該方法的程序，并執(zhí)行該程序，從而實現(xiàn)訪問控制表轉(zhuǎn)換方法。以上已描述了發(fā)明的示例性實施例，但是，在權(quán)利要求的范圍內(nèi)，可做出對發(fā)明的各種修改和變更，只要不偏離發(fā)明的精神和主要特點即可。因此，發(fā)明的上述實施例僅是說明性的，而不限制發(fā)明的技術(shù)范圍。發(fā)明的范圍由所附權(quán)利要求所定義，并且，并不限于說明書或摘要。另外，所有在權(quán)利要求等同物的范圍內(nèi)的修改或變更被包括在發(fā)明的范圍中。本申請要求基于2009年3月19日遞交的日本專利申請No. 2009-068002的優(yōu)先權(quán)，其全部內(nèi)容通過引用被結(jié)合于此。工業(yè)適用性本發(fā)明可被應(yīng)用于知曉變更表示為訪問控制表的策略的人的意愿，或分配差異同時確保所變更部分的一致性。另外，發(fā)明可被應(yīng)用于新生成或變更訪問控制表，以便針對多個訪問控制執(zhí)行機(jī)制生成訪問控制表、或?qū)⒃L問控制表中的變更向多個訪問控制執(zhí)行機(jī)制反映。參考標(biāo)號表11:已有規(guī)則判定單元12 第一規(guī)則判定單元
13 第二規(guī)則判定單元
14 資源擴(kuò)展單元
15 臨時存儲單元
16 允許規(guī)則存儲單元
17 禁止規(guī)則存儲單元
100、100’、100”:集成訪問控制服務(wù)器
101=ACL轉(zhuǎn)換單元
102資源數(shù)據(jù)庫
103 =ACL生成單元
104、104，差異抽取單元
105分配單元
106策略數(shù)據(jù)庫
107=ACL數(shù)據(jù)庫
108簽名單元
109 =ACL 詢問
110通信單元
200,200-1,200-2,200-n 控制目標(biāo)機(jī)器
200，、200-1，、200-2，、200，-n 控制目標(biāo)機(jī)器
200”:控制目標(biāo)機(jī)器
201設(shè)置單元
202合并單元
203接收單元
204簽名驗證單元
205=ACL控制單元
206=ACL數(shù)據(jù)庫
207通信單元
權(quán)利要求
1.一種訪問控制表轉(zhuǎn)換系統(tǒng)，包括讀取單元，該讀取單元被提供有包括至少一個訪問控制規(guī)則的訪問控制表，所述訪問控制規(guī)則是要被訪問的訪問目標(biāo)資源、訪問所述訪問目標(biāo)資源的訪問動作者用戶、以及定義是允許還是禁止所述訪問動作者用戶訪問所述訪問目標(biāo)資源的訪問權(quán)利的集，并且，該讀取單元讀取在所述訪問控制表中描述的訪問控制規(guī)則；第一規(guī)則判定單元，該第一規(guī)則判定單元判定所讀取的訪問控制規(guī)則是允許所述訪問動作者用戶訪問所述訪問目標(biāo)資源的允許規(guī)則，還是禁止所述訪問動作者用戶訪問所述訪問目標(biāo)資源的禁止規(guī)則；存儲單元，該存儲單元存儲通過所述第一規(guī)則判定單元被判定為所述允許規(guī)則的訪問控制規(guī)則；第二規(guī)則判定單元，該第二規(guī)則判定單元判定被判定為所述禁止規(guī)則的訪問控制規(guī)則的訪問動作者用戶是否與存儲在所述存儲單元中的訪問控制規(guī)則的訪問動作者用戶相同， 并且，判定被判定為所述禁止規(guī)則的訪問控制規(guī)則的訪問目標(biāo)資源是否包括存儲在所述存儲單元中的訪問控制規(guī)則的訪問目標(biāo)資源；數(shù)據(jù)庫，該數(shù)據(jù)庫存儲資源信息，其中，訪問目標(biāo)資源的所有最新信息被系統(tǒng)地從高級概念到低級概念記錄；以及資源擴(kuò)展單元，該資源擴(kuò)展單元通過參照資源信息，從通過所述第二規(guī)則判定單元被判定為具有與存儲在所述存儲單元中的訪問控制規(guī)則相同的訪問動作者用戶、并且包括存儲在所述存儲單元中的訪問控制規(guī)則的訪問目標(biāo)資源的訪問控制規(guī)則的訪問目標(biāo)資源中， 移除存儲在所述存儲單元中的訪問控制規(guī)則中所描述的訪問目標(biāo)資源。
2.如權(quán)利要求1所述的訪問控制表轉(zhuǎn)換系統(tǒng)，其中，所述資源擴(kuò)展單元通過參照所述資源信息，將通過所述第二規(guī)則判定單元被判定為具有與存儲在所述存儲單元中的訪問控制規(guī)則相同的訪問動作者用戶、并且包括存儲在所述存儲單元中的訪問控制規(guī)則的訪問目標(biāo)資源的訪問控制規(guī)則的訪問目標(biāo)資源擴(kuò)展至與存儲在所述存儲單元中的訪問控制規(guī)則的訪問目標(biāo)資源相同的低級概念等級，并且， 將存儲在所述存儲單元中的訪問控制規(guī)則的訪問目標(biāo)資源從被擴(kuò)展至所述相同的低級概念等級的訪問目標(biāo)資源中移除。
3.如權(quán)利要求1或2所述的訪問控制轉(zhuǎn)換系統(tǒng)， 其中，所述存儲單元包括允許規(guī)則存儲單元，該允許規(guī)則存儲單元存儲通過所述第一規(guī)則判定單元被判定為所述允許規(guī)則的訪問控制規(guī)則；以及禁止規(guī)則存儲單元，該禁止規(guī)則存儲單元存儲通過所述第一規(guī)則判定單元被判定為所述禁止規(guī)則的訪問控制規(guī)則、通過所述第二規(guī)則判定單元被判定為具有與存儲在所述存儲單元中的訪問控制規(guī)則不同的訪問動作者用戶并且不包括存儲在所述存儲單元中的訪問控制規(guī)則的訪問目標(biāo)資源的訪問控制規(guī)則、以及通過所述資源擴(kuò)展單元將存儲在所述存儲單元中的訪問控制規(guī)則中所描述的訪問目標(biāo)資源從中移除的訪問控制規(guī)則，并且存儲在所述禁止規(guī)則存儲單元中的訪問控制規(guī)則被最終輸出。
4.如權(quán)利要求1到3中的任一項所述的訪問控制轉(zhuǎn)換系統(tǒng)，其中，當(dāng)所述讀取單元參照所述存儲單元并且所讀取的訪問控制規(guī)則被包括在存儲在所述存儲單元中的訪問控制規(guī)則中時，所述讀取單元從訪問控制表讀取新的訪問控制規(guī)則。
5.一種訪問控制表轉(zhuǎn)換系統(tǒng)，包括讀取單元，該讀取單元被提供有包括至少一個訪問控制規(guī)則的訪問控制表，所述訪問控制規(guī)則是要被訪問的訪問目標(biāo)資源、訪問所述訪問目標(biāo)資源的訪問動作者用戶、以及定義是允許還是禁止所述訪問動作者用戶訪問所述訪問目標(biāo)資源的訪問權(quán)利的集，并且，該讀取單元讀取在所述訪問控制表中所描述的所述訪問控制規(guī)則；第一規(guī)則判定單元，該第一規(guī)則判定單元判定所讀取的訪問控制規(guī)則是允許所述訪問動作者用戶訪問所述訪問目標(biāo)資源的允許規(guī)則，還是禁止所述訪問動作者用戶訪問所述訪問目標(biāo)資源的禁止規(guī)則；存儲單元，該存儲單元存儲通過所述第一規(guī)則判定單元被判定為所述禁止規(guī)則的訪問控制規(guī)則；第二規(guī)則判定單元，該第二規(guī)則判定單元判定被判定為所述允許規(guī)則的訪問控制規(guī)則的訪問動作者用戶是否與存儲在所述存儲單元中的訪問控制規(guī)則的訪問動作者用戶相同， 并且，判定被判定為所述允許規(guī)則的訪問控制規(guī)則的訪問目標(biāo)資源是否包括存儲在所述存儲單元中的訪問控制規(guī)則的訪問目標(biāo)資源；數(shù)據(jù)庫，該數(shù)據(jù)庫存儲資源信息，其中，訪問目標(biāo)資源的所有最新信息被系統(tǒng)地從高級概念到低級概念記錄；以及資源擴(kuò)展單元，該資源擴(kuò)展單元通過參照資源信息，從通過所述第二規(guī)則判定單元被判定為具有與存儲在所述存儲單元中的訪問控制規(guī)則相同的訪問動作者用戶、并且包括存儲在所述存儲單元中的訪問控制規(guī)則的訪問目標(biāo)資源的訪問控制規(guī)則的訪問目標(biāo)資源中， 移除存儲在所述存儲單元中的訪問控制規(guī)則中所描述的訪問目標(biāo)資源。
6.如權(quán)利要求5所述的訪問控制表轉(zhuǎn)換系統(tǒng)，其中，所述資源擴(kuò)展單元通過參照所述資源信息，將通過所述第二規(guī)則判定單元被判定為具有與存儲在所述存儲單元中的訪問控制規(guī)則相同的訪問動作者用戶、并且包括存儲在所述存儲單元中的訪問控制規(guī)則的訪問目標(biāo)資源的訪問控制規(guī)則的訪問目標(biāo)資源擴(kuò)展至與存儲在所述存儲單元中的訪問控制規(guī)則的訪問目標(biāo)資源相同的低級概念等級，并且， 將存儲在所述存儲單元中的訪問控制規(guī)則的訪問目標(biāo)資源從被擴(kuò)展至所述相同的低級概念等級的訪問目標(biāo)資源中移除。
7.如權(quán)利要求5或6所述的訪問控制轉(zhuǎn)換系統(tǒng)， 其中，所述存儲單元包括禁止規(guī)則存儲單元，該禁止規(guī)則存儲單元存儲通過所述第一規(guī)則判定單元被判定為所述禁止規(guī)則的訪問控制規(guī)則；以及允許規(guī)則存儲單元，該允許規(guī)則存儲單元存儲通過所述第一規(guī)則判定單元被判定為所述允許規(guī)則的訪問控制規(guī)則、通過所述第二規(guī)則判定單元被判定為具有與存儲在所述存儲單元中的訪問控制規(guī)則不同的訪問動作者用戶并且不包括存儲在所述存儲單元中的訪問控制規(guī)則的訪問目標(biāo)資源的訪問控制規(guī)則、以及通過所述資源擴(kuò)展單元將存儲在所述存儲單元中的訪問控制規(guī)則中所描述的訪問目標(biāo)資源從中移除的訪問控制規(guī)則，并且存儲在所述允許規(guī)則存儲單元中的訪問控制規(guī)則被最終輸出。
8.如權(quán)利要求5到7中的任一項所述的訪問控制轉(zhuǎn)換系統(tǒng)，其中，當(dāng)所述讀取單元參照所述存儲單元并且所讀取的訪問控制規(guī)則被包括在存儲在所述存儲單元中的訪問控制規(guī)則中時，所述讀取單元從訪問控制表讀取新的訪問控制規(guī)則。
9.一種訪問控制表轉(zhuǎn)換方法，包括第一規(guī)則判定步驟，該第一規(guī)則判定步驟接收包括至少一個訪問控制規(guī)則的訪問控制表，該訪問控制規(guī)則是要被訪問的訪問目標(biāo)資源、訪問所述訪問目標(biāo)資源的訪問動作者用戶、以及定義是允許還是禁止所述訪問動作者用戶訪問所述訪問目標(biāo)資源的訪問權(quán)利的集，并且，該第一規(guī)則判定步驟讀取在所述訪問控制表中描述的訪問控制規(guī)則，并判定所讀取的訪問控制規(guī)則是允許所述訪問動作者用戶訪問所述訪問目標(biāo)資源的允許規(guī)則，還是禁止所述訪問動作者用戶訪問所述訪問目標(biāo)資源的禁止規(guī)則；存儲通過所述第一規(guī)則判定步驟被判定為所述允許規(guī)則的訪問控制規(guī)則的存儲步驟；第二規(guī)則判定步驟，該第二規(guī)則判定步驟判定被判定為所述禁止規(guī)則的訪問控制規(guī)則的訪問動作者用戶是否與在所述存儲步驟中存儲的訪問控制規(guī)則的訪問動作者用戶相同， 并且，判定被判定為所述禁止規(guī)則的訪問控制規(guī)則的訪問目標(biāo)資源是否包括在所述存儲步驟中存儲的訪問控制規(guī)則的訪問目標(biāo)資源；資源擴(kuò)展步驟，該資源擴(kuò)展步驟存儲資源信息，其中，訪問目標(biāo)資源的所有最新信息被系統(tǒng)地從高級概念到低級概念記錄在數(shù)據(jù)庫中，并且，該資源擴(kuò)展步驟通過參照資源信息， 從通過所述第二規(guī)則判定步驟被判定為具有與在所述存儲步驟中存儲的訪問控制規(guī)則相同的訪問動作者用戶、并且包括在所述存儲步驟中存儲的訪問控制規(guī)則的訪問目標(biāo)資源的訪問控制規(guī)則的訪問目標(biāo)資源中，移除在所述存儲步驟中存儲的訪問控制規(guī)則中所描述的訪問目標(biāo)資源。
10.如權(quán)利要求9所述的訪問控制表轉(zhuǎn)換方法，其中，所述資源擴(kuò)展步驟通過參照所述資源信息，將通過所述第二規(guī)則判定步驟被判定為具有與在所述存儲步驟中存儲的訪問控制規(guī)則相同的訪問動作者用戶、并且包括在所述存儲步驟中存儲的訪問控制規(guī)則的訪問目標(biāo)資源的訪問控制規(guī)則的訪問目標(biāo)資源擴(kuò)展至與在所述存儲步驟中存儲的訪問控制規(guī)則的訪問目標(biāo)資源相同的低級概念等級，并且， 將在所述存儲步驟中存儲的訪問控制規(guī)則的訪問目標(biāo)資源從被擴(kuò)展至所述相同的低級概念等級的訪問目標(biāo)資源中移除。
11.如權(quán)利要求9或10所述的訪問控制轉(zhuǎn)換方法，其中，所述存儲步驟包括允許規(guī)則存儲步驟，該允許規(guī)則存儲步驟存儲通過所述第一規(guī)則判定步驟被判定為所述允許規(guī)則的訪問控制規(guī)則；以及禁止規(guī)則存儲步驟，該禁止規(guī)則存儲步驟存儲通過所述第一規(guī)則判定步驟被判定為所述禁止規(guī)則的訪問控制規(guī)則、通過所述第二規(guī)則判定步驟被判定為具有與在所述存儲步驟中存儲的訪問控制規(guī)則不同的訪問動作者用戶并且不包括在所述存儲步驟中存儲的訪問控制規(guī)則的訪問目標(biāo)資源的訪問控制規(guī)則、以及在所述資源擴(kuò)展步驟中將在所述存儲步驟中存儲的訪問控制規(guī)則中所描述的訪問目標(biāo)資源從中移除的訪問控制規(guī)則，并且在所述禁止規(guī)則存儲步驟中存儲的訪問控制規(guī)則被最終輸出。
12.如權(quán)利要求9到11中的任一項所述的訪問控制轉(zhuǎn)換方法，其中，當(dāng)所述讀取步驟參照在所述存儲步驟中存儲的訪問控制規(guī)則并且所讀取的訪問控制規(guī)則被包括在所述存儲步驟中存儲的訪問控制規(guī)則中時，所述讀取步驟從訪問控制表讀取新的訪問控制規(guī)則。
13.一種訪問控制表轉(zhuǎn)換方法，包括讀取步驟，該讀取步驟接收包括至少一個訪問控制規(guī)則的訪問控制表，該訪問控制規(guī)則是要被訪問的訪問目標(biāo)資源、訪問所述訪問目標(biāo)資源的訪問動作者用戶、以及定義是允許還是禁止所述訪問動作者用戶訪問所述訪問目標(biāo)資源的訪問權(quán)利的集，并且，該讀取步驟讀取在所述訪問控制表中所描述的所述訪問控制規(guī)則；第一規(guī)則判定步驟，該第一規(guī)則判定步驟判定所讀取的訪問控制規(guī)則是允許所述訪問動作者用戶訪問所述訪問目標(biāo)資源的允許規(guī)則，還是禁止所述訪問動作者用戶訪問所述訪問目標(biāo)資源的禁止規(guī)則；存儲通過所述第一規(guī)則判定步驟被判定為所述禁止規(guī)則的訪問控制規(guī)則的存儲步驟；第二規(guī)則判定步驟，該第二規(guī)則判定步驟判定被判定為所述允許規(guī)則的訪問控制規(guī)則的訪問動作者用戶是否與在所述存儲步驟中存儲的訪問控制規(guī)則的訪問動作者用戶相同， 并且，判定被判定為所述允許規(guī)則的訪問控制規(guī)則的訪問目標(biāo)資源是否包括在所述存儲步驟中存儲的訪問控制規(guī)則的訪問目標(biāo)資源；資源擴(kuò)展步驟，該資源擴(kuò)展步驟存儲資源信息，其中，訪問目標(biāo)資源的所有最新信息被系統(tǒng)地從高級概念到低級概念記錄在數(shù)據(jù)庫中，并且，所述資源擴(kuò)展步驟通過參照資源信息，從通過所述第二規(guī)則判定步驟被判定為具有與在所述存儲步驟中存儲的訪問控制規(guī)則相同的訪問動作者用戶、并且包括在所述存儲步驟中存儲的訪問控制規(guī)則的訪問目標(biāo)資源的訪問控制規(guī)則的訪問目標(biāo)資源中，移除在所述存儲步驟中存儲的訪問控制規(guī)則中所描述的訪問目標(biāo)資源。
14.如權(quán)利要求13所述的訪問控制表轉(zhuǎn)換方法，其中，所述資源擴(kuò)展步驟通過參照所述資源信息，將通過所述第二規(guī)則判定步驟被判定為具有與在所述存儲步驟中存儲的訪問控制規(guī)則相同的訪問動作者用戶、并且包括在所述存儲步驟中存儲的訪問控制規(guī)則的訪問目標(biāo)資源的訪問控制規(guī)則的訪問目標(biāo)資源擴(kuò)展至與在所述存儲步驟中存儲的訪問控制規(guī)則的訪問目標(biāo)資源相同的低級概念等級，并且， 將在所述存儲步驟中存儲的訪問控制規(guī)則的訪問目標(biāo)資源從被擴(kuò)展至所述相同的低級概念等級的訪問目標(biāo)資源中移除。
15.如權(quán)利要求13或14所述的訪問控制轉(zhuǎn)換方法，其中，所述存儲步驟包括禁止規(guī)則存儲步驟，該禁止規(guī)則存儲步驟存儲通過所述第一規(guī)則判定步驟被判定為所述禁止規(guī)則的訪問控制規(guī)則；以及允許規(guī)則存儲步驟，該允許規(guī)則存儲步驟存儲通過所述第一規(guī)則判定步驟被判定為所述允許規(guī)則的訪問控制規(guī)則、通過所述第二規(guī)則判定步驟被判定為具有與在所述存儲步驟中存儲的訪問控制規(guī)則不同的訪問動作者用戶并且不包括在所述存儲步驟中存儲的訪問控制規(guī)則的訪問目標(biāo)資源的訪問控制規(guī)則、以及在所述資源擴(kuò)展步驟中將在所述存儲步驟中存儲的訪問控制規(guī)則中所描述的訪問目標(biāo)資源從中移除的訪問控制規(guī)則，并且在所述允許規(guī)則存儲步驟中存儲的訪問控制規(guī)則被最終輸出。
16.如權(quán)利要求13到15中的任一項所述的訪問控制轉(zhuǎn)換方法，其中，當(dāng)所述讀取步驟參照在所述存儲步驟中存儲的訪問控制規(guī)則并且所讀取的訪問控制規(guī)則被包括在所述存儲步驟中存儲的訪問控制規(guī)則中時，所述讀取步驟從訪問控制表讀取新的訪問控制規(guī)則。
17.一種訪問控制表轉(zhuǎn)換程序，其允許計算機(jī)執(zhí)行接收包括至少一個訪問控制規(guī)則的訪問控制表的處理，該訪問控制規(guī)則是要被訪問的訪問目標(biāo)資源、訪問所述訪問目標(biāo)資源的訪問動作者用戶、以及定義是允許還是禁止所述訪問動作者用戶訪問所述訪問目標(biāo)資源的訪問權(quán)利的集；讀取在所述訪問控制表中所描述的所述訪問控制規(guī)則的讀取處理； 第一規(guī)則判定處理，該第一規(guī)則判定處理判定所讀取的訪問控制規(guī)則是允許所述訪問動作者用戶訪問所述訪問目標(biāo)資源的允許規(guī)則，還是禁止所述訪問動作者用戶訪問所述訪問目標(biāo)資源的禁止規(guī)則；存儲在所述第一規(guī)則判定處理中被判定為所述允許規(guī)則的訪問控制規(guī)則的存儲步驟；第二規(guī)則判定處理，該第二規(guī)則判定處理判定被判定為所述禁止規(guī)則的訪問控制規(guī)則的訪問動作者用戶是否與在所述存儲處理中存儲的訪問控制規(guī)則的訪問動作者用戶相同， 并且，判定被判定為所述禁止規(guī)則的訪問控制規(guī)則的訪問目標(biāo)資源是否包括在所述存儲處理中存儲的訪問控制規(guī)則的訪問目標(biāo)資源；存儲資源信息處理的處理，其中，訪問目標(biāo)資源的所有最新信息被系統(tǒng)地從高級概念到低級概念記錄在數(shù)據(jù)庫中；資源擴(kuò)展處理，該資源擴(kuò)展處理通過參照資源信息，從在所述第二規(guī)則判定處理中被判定為具有與在所述存儲處理中存儲的訪問控制規(guī)則相同的訪問動作者用戶、并且包括在所述存儲處理中存儲的訪問控制規(guī)則的訪問目標(biāo)資源的訪問控制規(guī)則的訪問目標(biāo)資源中， 移除在所述存儲處理中存儲的訪問控制規(guī)則中所描述的訪問目標(biāo)資源。
18.如權(quán)利要求17所述的訪問控制表轉(zhuǎn)換程序，其中，所述資源擴(kuò)展處理通過參照所述資源信息，將在所述第二規(guī)則判定處理中被判定為具有與在所述存儲處理中存儲的訪問控制規(guī)則相同的訪問動作者用戶、并且包括在所述存儲處理中存儲的訪問控制規(guī)則的訪問目標(biāo)資源的訪問控制規(guī)則的訪問目標(biāo)資源擴(kuò)展至與在所述存儲處理中存儲的訪問控制規(guī)則的訪問目標(biāo)資源相同的低級概念等級，并且， 將在所述存儲處理中存儲的訪問控制規(guī)則的訪問目標(biāo)資源從被擴(kuò)展至所述相同的低級概念等級的訪問目標(biāo)資源中移除。
19.如權(quán)利要求17或18所述的訪問控制轉(zhuǎn)換程序， 其中，所述存儲處理包括允許規(guī)則存儲處理，該允許規(guī)則存儲處理存儲在所述第一規(guī)則判定處理中被判定為所述允許規(guī)則的訪問控制規(guī)則；以及禁止規(guī)則存儲處理，該禁止規(guī)則存儲處理存儲在所述第一規(guī)則判定處理中被判定為所述禁止規(guī)則的訪問控制規(guī)則、在所述第二規(guī)則判定處理中被判定為具有與在所述存儲處理中存儲的訪問控制規(guī)則不同的訪問動作者用戶并且不包括在所述存儲處理中存儲的訪問控制規(guī)則的訪問目標(biāo)資源的訪問控制規(guī)則、以及在所述資源擴(kuò)展處理中將在所述存儲處理中存儲的訪問控制規(guī)則中所描述的訪問目標(biāo)資源從中移除的訪問控制規(guī)則，并且在所述禁止規(guī)則存儲處理中存儲的訪問控制規(guī)則被最終輸出。
20.如權(quán)利要求17到19中的任一項所述的訪問控制轉(zhuǎn)換程序，其中，當(dāng)所述讀取處理參照在所述存儲處理中存儲的訪問控制規(guī)則并且所讀取的訪問控制規(guī)則被包括在所述存儲處理中存儲的訪問控制規(guī)則中時，所述讀取處理從訪問控制表讀取新的訪問控制規(guī)則。
21.一種訪問控制表轉(zhuǎn)換程序，其允許計算機(jī)執(zhí)行接收包括至少一個訪問控制規(guī)則的訪問控制表的處理，該訪問控制規(guī)則是要被訪問的訪問目標(biāo)資源、訪問所述訪問目標(biāo)資源的訪問動作者用戶、以及定義是允許還是禁止所述訪問動作者用戶訪問所述訪問目標(biāo)資源的訪問權(quán)利的集；讀取在所述訪問控制表中所描述的所述訪問控制規(guī)則的讀取處理； 第一規(guī)則判定處理，該第一規(guī)則判定處理判定所讀取的訪問控制規(guī)則是允許所述訪問動作者用戶訪問所述訪問目標(biāo)資源的允許規(guī)則，還是禁止所述訪問動作者用戶訪問所述訪問目標(biāo)資源的禁止規(guī)則；存儲在所述第一規(guī)則判定處理中被判定為所述禁止規(guī)則的訪問控制規(guī)則的存儲處理；第二規(guī)則判定處理，該第二規(guī)則判定處理判定被判定為所述允許規(guī)則的訪問控制規(guī)則的訪問動作者用戶是否與在所述存儲處理中存儲的訪問控制規(guī)則的訪問動作者用戶相同， 并且，判定被判定為所述允許規(guī)則的訪問控制規(guī)則的訪問目標(biāo)資源是否包括在所述存儲處理中存儲的訪問控制規(guī)則的訪問目標(biāo)資源；存儲資源信息的處理，其中，訪問目標(biāo)資源的所有最新信息被系統(tǒng)地從高級概念到低級概念記錄在數(shù)據(jù)庫中；資源擴(kuò)展處理，該資源擴(kuò)展處理通過參照資源信息，從在所述第二規(guī)則判定處理中被判定為具有與在所述存儲處理中存儲的訪問控制規(guī)則相同的訪問動作者用戶、并且包括在所述存儲處理中存儲的訪問控制規(guī)則的訪問目標(biāo)資源的訪問控制規(guī)則的訪問目標(biāo)資源中， 移除在所述存儲處理中存儲的訪問控制規(guī)則中所描述的訪問目標(biāo)資源。
22.如權(quán)利要求21所述的訪問控制列表轉(zhuǎn)換程序，其中，所述資源擴(kuò)展處理通過參照所述資源信息，將在所述第二規(guī)則判定處理中被判定為具有與在所述存儲處理中存儲的訪問控制規(guī)則相同的訪問動作者用戶、并且包括在所述存儲處理中存儲的訪問控制規(guī)則的訪問目標(biāo)資源的訪問控制規(guī)則的訪問目標(biāo)資源擴(kuò)展至與在所述存儲處理中存儲的訪問控制規(guī)則的訪問目標(biāo)資源相同的低級概念等級，并且， 將在所述存儲處理中存儲的訪問控制規(guī)則的訪問目標(biāo)資源從被擴(kuò)展至所述相同的低級概念等級的訪問目標(biāo)資源中移除。
23.如權(quán)利要求21或22所述的訪問控制轉(zhuǎn)換程序， 其中，所述存儲處理包括禁止規(guī)則存儲處理，該禁止規(guī)則存儲處理存儲在所述第一規(guī)則判定處理中被判定為所述禁止規(guī)則的訪問控制規(guī)則；以及允許規(guī)則存儲處理，該允許規(guī)則存儲處理存儲在所述第一規(guī)則判定處理中被判定為所述允許規(guī)則的訪問控制規(guī)則、在所述第二規(guī)則判定處理中被判定為具有與在所述存儲處理中存儲的訪問控制規(guī)則不同的訪問動作者用戶并且不包括在所述存儲處理中存儲的訪問控制規(guī)則的訪問目標(biāo)資源的訪問控制規(guī)則、以及在所述資源擴(kuò)展處理中將在所述存儲處理中存儲的訪問控制規(guī)則中所描述的訪問目標(biāo)資源從中移除的訪問控制規(guī)則，并且在所述允許規(guī)則存儲處理中存儲的訪問控制規(guī)則被最終輸出。
24.如權(quán)利要求21到23中的任一項所述的訪問控制轉(zhuǎn)換程序， 其中，當(dāng)所述讀取處理參照在所述存儲處理中存儲的訪問控制規(guī)則并且所讀取的訪問控制規(guī)則被包括在所述存儲處理中存儲的訪問控制規(guī)則中時，所述讀取處理從訪問控制表讀取新的訪問控制規(guī)則。
全文摘要
一種訪問控制表轉(zhuǎn)換系統(tǒng)，包括第一規(guī)則判定單元12，其判定訪問控制規(guī)則是允許規(guī)則還是禁止規(guī)則；臨時存儲單元15，其存儲被判定為允許規(guī)則的訪問控制規(guī)則；第二規(guī)則判定單元13，其判定禁止規(guī)則的訪問動作者用戶是否與禁止規(guī)則的訪問動作者用戶相同，并且，判定禁止規(guī)則的訪問目標(biāo)資源是否包括允許規(guī)則的訪問目標(biāo)資源；資源數(shù)據(jù)庫，其存儲資源信息，其中，訪問目標(biāo)資源的所有最新信息被系統(tǒng)地記錄；以及資源擴(kuò)展單元，其通過參照資源信息，從被判定為具有與允許規(guī)則相同的訪問動作者用戶并包括訪問控制規(guī)則的訪問目標(biāo)資源的訪問控制規(guī)則的訪問目標(biāo)資源中移除允許規(guī)則的訪問目標(biāo)資源。
文檔編號G06F12/00GK102349078SQ20108001145
公開日2012年2月8日 申請日期2010年3月17日 優(yōu)先權(quán)日2009年3月19日
發(fā)明者石川尊之 申請人:日本電氣株式會社