专利名称：瘦客户端系统及其访问控制方法和访问控制程序的制作方法
技术领域：
本发明涉及瘦客户端系统及其访问控制方法和访问控制程序。
背景技术：
近年来，使用瘦客户端系统以减少系统操作和管理开销的商业企业等的数目有所增长。在瘦客户端系统中，安装在客户终端的功能最小化，在服务器端集中管理如应用软件和数据的资源。专利文件I公开了控制虚拟机激活和停止的瘦客户端系统，该虚拟机根据用户当前位置在服务器上虚拟客户终端的环境。专利文件I :专利出版物JP-A-2008-187338。 在这个传统的瘦客户端系统中，只要客户终端和虚拟机能够相互通信，就能够使用服务器上的虚拟机。因此，在能带出公司办公室的膝上PC(个人电脑)例如用作客户终端的情况下，机密信息会在公共场所中(例如，飞机场或火车站)显示在膝上PC的屏幕上。在这种情况下，机密信息可能被例如站在身后的人偷看。结果，该信息可能会泄露。如果膝上PC被偷,机密信息同样有可能泄露
发明内容
设计本发明来解决以上描述的问题，因此，本发明目的是提供能够提高安全性的瘦客户端系统及其访问控制方法和访问控制程序。根据本发明的瘦客户端系统包括接收单元，接收用户ID和至少包括来自客户终端的当前位置信息的终端信息；抽取单元，基于终端信息抽取策略信息，该策略信息涉及与通过接收单元接收的终端信息相关联地存储的安全策略；分配单元，基于通过接收单元接收的用户ID分配虚拟化客户终端的环境的资源；以及访问控制单元，基于通过抽取单元抽取的策略信息，限制访问通过分配单元分配的资源。根据本发明的瘦客户端系统的访问控制方法包括接收步骤，从客户端接收用户ID和至少包括当前位置信息的终端信息；抽取步骤，基于终端信息抽取策略信息，该策略信息涉及与在接收步骤中接收的终端信息相关联地存储的安全策略；分配步骤，基于在接收步骤中接收的用户ID分配虚拟化客户终端的环境的资源；以及控制步骤，基于在抽取步骤中抽取的策略信息，限制访问在分配步骤中分配的资源。根据本发明的访问控制程序使计算机执行包括在上述访问控制方法中的各个步骤。根据本发明，能够在瘦客户端系统中提高安全性。
图I是示出根据实施例的瘦客户端系统配置的框图；图2是示出客户终端信息表的数据配置的示意图；图3是示出策略管理表的数据配置的示意图4是示出策略信息表的数据配置的示意图；以及图5是示出当在瘦客户端系统中控制来自客户终端的访问时执行的处理过程的流程图。
具体实施例方式参照附图，以下将描述根据本发明的瘦客户端系统及其访问控制方法和访问控制程序的优选实施例。首先参照图1，描述根据本实施例的瘦客户端系统的配置。根据本实施例，图I是以图样的形式示出瘦客户端系统配置的示意图。如图I所示，瘦客户端系统I包括客户终端10、策略管理设备20和服务器设备30。根据本实施例，瘦客户端系统I被配置为包括例如将在下面描述的已知瘦客户端系统的功能。服务器设备运行来集中管理客户终端的OS(操作系统)、应用软件、各种数据 及其他。此外，服务器设备运行以形成虚拟机，并响应来自客户终端的操作指令激活虚拟机，该虚拟机为每个客户终端虚拟客户终端的环境。图I中显示的客户终端10包括与另一个设备交换数据的通信单元11和位置信息获取单元12。通信单元11向策略管理设备20发送用户ID和终端信息。用户ID是用来识别操作客户终端10的用户的信息。终端信息是涉及客户终端10的信息，其预先在存储器中注册。终端信息包括，例如IP地址信息、终端分类信息、数据存储许可信息和位置信息。终端分类信息是指定客户终端10的终端分类的信息，并且对应于指示例如台式PC或膝上PC的信息。数据存储许可信息是指示在客户终端10上能否存储数据的信息。位置信息是指示客户终端10的位置的信息。通信单元11从服务器设备30接收虚拟机信息，该信息与分配给客户终端10的虚拟机有关。基于虚拟机信息，通信单元11向服务器设备30发送访问虚拟机的请求。位置信息获取单元12获取在终端信息中包括的位置信息。更具体地，位置信息获取单元12获取对应于客户终端10的当前位置的纬度/经度信息，该信息作为位置信息通过例如GPS (全球定位系统)来确定。根据本实施例的位置信息获取单元12基于作为位置信息获得的纬度/经度信息以及指示办公室中的位置的纬度/经度信息来确定客户终端是在公司办公室内还是在办公室外，，并且设置指示客户终端是处于办公室内还是处于办公室外的信息，作为要发送给策略管理设备20的终端信息的位置信息。策略管理设备20包括与另一个设备交换数据的通信单元21和策略信息抽取单元22。策略管理设备20还包括客户终端信息表25、策略管理表26和策略信息表27。参考图2，将描述客户终端信息表25的数据配置。客户终端信息表25包括每个客户终端10的记录(下文将称为“客户终端信息记录”)。例如，客户终端信息记录包括作为数据项目的终端ID项目、终端名项目、IP地址分类项目、终端分类项目、数据存储可续项目及位置信息项目。终端ID项目中存储了用来唯一指定客户终端10的标识信息。终端名项目中存储了客户终端10的名称。IP地址分类项目中存储了分配给客户终端10的IP地址。可以从IP地址的内容区分私有IP地址和全局IP地址。终端分类项目中存储了指定客户终端10的终端分类的信息。数据存储许可项目中存储了指示在客户终端10上是否能存储数据的信息。位置信息项目中存储了指示客户终端10是否位于公司办公室内部或者外部的信息。分别存储于包括在客户终端信息记录中的IP地址分类项目、终端分类项目、数据存储许可项目和位置信息项目中的信息提前被注册，作为客户终端10的终端信息。参考图3，将描述策略管理表26的数据配置。策略管理表26包含每个客户终端10的记录(以下称为“策略管理记录”)。例如，策略管理记录包括作为数据项目的终端ID项目和策略ID项目。终端ID项目中存储了唯一指定客户终端10的标识信息。策略ID项目中存储了唯一指定涉及应用于虚拟机的安全策略的策略信息的标识信息。参考图4，将描述策略信息表27的数据配置。策略信息表27包括每组策略信息的记录(以下称为“策略信息记录”)。例如，策略信息记录包括作为数据项目的策略ID项目、策略名项目、无法访问站点项目、禁止激活应用项目、无法访问区域项目、允许登录时间项目、允许连续使用时间项目及用户权限项目。 唯一指定策略信息的标识信息的存储于策略ID项目中。策略信息的名称存储于策略名项目中。指定限制访问网站的信息存储于无法访问站点项目中。指定限制激活应用的信息存储于禁止激活应用项目中。指定限制访问的驱动器、文件夹及文件的信息存储于无法访问区域项目中。指定允许登录时间范围的信息存储于允许登录时间项目中。指定允许连续使用时间的信息存储于允许连续使用时间项目中。指定应用于用户的权限的信息(例如，管理员权限或普通用户权限)存储于用户权限项目中。在图I中显示的策略管理设备20的通信单元21接收客户终端10发送的用户ID和终端信息。接着，通信单元21向服务器设备30发送客户终端10的用户ID和策略信息。策略信息抽取单元22基于从客户终端10处接收的终端信息抽取策略信息。这将更详细地描述。首先，策略信息抽取单元22从客户终端信息表25中抽取对应于终端信息的客户终端信息记录。接下来，策略信息抽取单元22从策略管理表26中抽取策略管理记录，该记录对应于包括在客户终端信息记录中的终端ID。然后，策略信息抽取单元22从策略信息表27中抽取策略信息，该信息对应于包括在策略管理记录中的策略ID。服务器设备30包括与另一个设备交换信息的通信单元31、虚拟机分配单元32及访问控制单元33。通信单元31接收策略管理设备20发送的客户终端10的用户ID和策略信息。然后，通信单元31向客户终端10发送虚拟机信息，该信息对应于分配给客户终端10的虚拟机。虚拟机分配单元32基于从策略管理设备20接收的客户终端10的用户ID，分配虚拟客户终端10的环境所需的资源。因此，在服务器设备30上针对每个客户终端10形成虚拟机。资源包括例如存储器区域、OS、应用软件、各种数据等。访问控制单元33根据从策略管理设备20接收的客户终端10的策略信息，控制经由虚拟机来自客户终端10的访问。例如，当策略信息的策略ID是“策略2”时(如图4所示)，客户终端10禁止访问“带有机密信息的站点”、禁止激活WEB浏览器和电子邮件软件、并禁止访问“系统驱动器”。进一步，客户终端10的登录时间被限制在“从8:30到17:30”、连续使用限制在“2小时”、以及用户权限限制在“普通用户”权限。这里，策略管理设备20和服务器设备30在物理上由例如CPU (中央处理单元)、存储设备和输入/输出接口组成。存储设备包括例如存储用以通过CPU处理的程序和数据的ROM(只读存储器)或HDD (硬盘驱动器)，主要用作用于各种控制处理的工作区域的RAM(随机存取存储器)，等等。这些元件通过总线相互连接。CPU能通过执行存储于ROM中的程序及处理经由输入/输出接口接收的消息和分散在RAM中的数据，实现策略管理设备20和服务器设备30的各个单元的功能。接下来参照图5，将描述瘦客户端系统I的操作。图5是示出当在瘦客户端系统I中控制来自客户终端10的访问时执行的处理过程的流程图。首先，瘦客户端系统I的用户经由客户终端10的输入设备输入用户ID(步骤S101)。接下来，客户终端10的位置信息获取单元12从GPS获取位置信息，基于获取的位置信息确定客户终端10处于公司办公室内部还是外部，并设置确定结果为从存储器中读取的终端信息的位置信息(步骤S102)。 接下来，客户终端10的通信单元11向策略管理设备20发送在步骤SlOl中输入的用户ID及包括在步骤S102中设置的位置信息的终端信息(步骤S103)。因此，策略管理设备20的通信单元21接收用户ID和终端信息。接下来，策略管理设备20的策略信息抽取单元22基于从客户终端10接收的终端信息抽取策略信息(步骤S104)。接下来，策略管理设备20的通信单元21向服务器设备30发送从客户终端10接收到的用户ID和在步骤S104中抽取的策略信息(步骤S105)。因此，服务器设备30的通信单元31接收用户ID和策略信息。接下来，服务器设备30的虚拟机分配单元32基于从策略管理设备20接收的客户端10的用户ID，向服务器设备30分配虚拟客户终端10的环境的虚拟机(步骤S016)。接下来，服务器设备30的通信单元31向客户终端10发送客户终端10的虚拟机信息(步骤S107)。因此，客户终端10的通信单元11接收虚拟机信息。接下来，客户终端10的通信单元11基于从服务器设备30接收的虚拟机信息，向服务器设备30发送访问虚拟机的请求(步骤S108)。因此，服务器设备30的通信单元31接收访问请求。接下来，服务器设备30的访问控制单元33基于从策略管理设备20接收的策略信息，限制经由虚拟机来自客户终端10的访问(步骤S109)。如上所述，采用根据本实施例的瘦客户端系统1，根据客户终端10的使用情况(例如，使用位置、使用时间及终端分类)，能确定并应用能在虚拟机上执行的安全策略规定处理，因此提高了瘦客户端系统的安全性。修改的例子注意，以上描述的实施例仅是示意性例子，并不意在排除本实施例中未公开的各种修改和技术应用。换句话说，在不背离本发明的精神的范围中，可经过各种修改来实现本发明。例如，以上描述的实施例包括策略管理设备20和服务器设备30，但并不限于此。例如，可以在服务器设备30中加入策略管理设备20的相应功能，使得能够省略策略管理设备20。更进一步，策略管理设备20和服务器设备30的相应功能可以合适地分布在多个设备上，使得该多个设备能够以与以上描述的策略管理设备20和服务器设备30相似的方式而工作。此外，在以上实施例中，策略管理设备20包括客户终端信息表25、策略管理表26、以及策略信息表27，但不仅限于此。例如，可以将客户终端信息表25和策略管理表26合并并作为单独的表来管理，或者可以将所有的客户终端信息表25、策略管理表26、以及策略信息表27合并并作为单独的表来管理。备选的，可以更进一步划分各个表的数据配置，使得数据在四个或更多个表上来管理。更进一步，在以上实施例中，IP地址信息、终端分类信息、数据存储许可信息、以及位置信息被用作确定策略信息所采用的终端信息，但本发明不限于此，例如，只要将位置信息包括在确定策略信息所采用的终端信息中即可。最终，在以下注释中可以描述所有或部分以上描述的实施例，但本发明不仅限于 此。(注释I)一种瘦客户端系统，包括接收单元，从客户终端接收用户ID和至少包括当前位置信息的终端信息；抽取单元，基于所述终端信息抽取策略信息，所述策略信息涉及与所述接收单元接收的所述终端信息相关联地存储的安全策略；分配单元，基于所述接收单元接收的所述用户ID，分配用于虚拟所述客户终端的环境的资源；以及访问控制单元，基于所述抽取单元抽取的所述策略信息，限制对所述分配单元分配的资源的访问。(注释2)根据注释I的瘦客户端系统，其中终端信息包括涉及所述客户终端能够登入所述系统的时间的允许登录时间信息。(注释3)根据注释I或2的瘦客户端系统，其中终端信息包括用于标识所述客户终端的分类的终端分类信息。(注释4)一种用于瘦客户端系统的访问控制方法，包括以下步骤从客户终端接收用户ID和至少包括当前位置信息的终端信息；基于所述终端信息抽取策略信息，所述策略信息涉及与在所述接收步骤中接收的所述终端信息相关联地存储的安全策略；基于在所述接收步骤中接收的所述用户ID，分配用于虚拟所述客户终端的环境的资源；以及基于在所述抽取步骤中抽取的所述策略信息，限制对在所述分配步骤中分配的资源的访问。(注释5)一种访问控制程序，用于使计算机执行注释4中所述的各个步骤。本申请要求基于2010年3月30日递交的日本专利申请2010-77235的优先权，其全部公开内容通过引用方式并入本文。通过以上实施例描述了本发明，但本发明不仅限于以上实施例，本领域技术人员理解的各种修改可以应用于本发明范围内的本发明的配置和细节。根据本发明的瘦客户端系统及其访问控制方法和访问控制程序能用于提高安全性。I.瘦客户端系统
10.客户终端11.通信单元12.位置信息获取单元20.策略管理设备21.通信单元22.策略信息抽取单元25.客户终端信息表26.策略管理表
27.策略信息表30.服务器设备31.通信单元32.虚拟机分配单元33.访问控制单元
权利要求
1.一种瘦客户端系统，包括 接收单元，从客户終端接收用户ID和至少包括当前位置信息的終端信息； 抽取单元，基于所述終端信息抽取策略信息，所述策略信息涉及与所述接收単元接收的所述终端信息相关联地存储的安全策略； 分配単元，基于所述接收单元接收的所述用户ID，分配用于虚拟所述客户终端的环境的资源；以及 访问控制単元，基于所述抽取单元抽取的所述策略信息，限制对所述分配単元分配的资源的访问。
2.根据权利要求I所述的瘦客户端系统，其特征在于，所述终端信息包括涉及所述客户终端能够登入所述系统的时间的允许登录时间信息。
3.根据权利要求I或2所述的瘦客户端系统，其特征在于，所述终端信息包括用于标识所述客户終端的分类的終端分类信息。
4.一种用于瘦客户端系统的访问控制方法， 所述方法包括 接收步骤，从客户终端接收用户ID和至少包括当前位置信息的終端信息； 抽取步骤，基于所述終端信息抽取策略信息，所述策略信息涉及与在所述接收步骤中接收的所述终端信息相关联地存储的安全策略； 分配步骤，基于在所述接收步骤中接收的所述用户ID，分配用于虚拟所述客户终端的环境的资源；以及 访问控制步骤，基于在所述抽取步骤中抽取的所述策略信息，限制对在所述分配步骤中分配的资源的访问。
5.一种访问控制程序，用于使计算机执行权利要求4所述的各个步骤。
全文摘要
为提高瘦客户端系统中的安全性，该瘦客户端系统包括从用户终端10接收用户ID和至少包括当前位置信息的终端信息的通信单元21；抽取策略信息的策略信息抽取单元22，其中策略信息涉及与通信单元21接收的终端信息相关联地存储的安全策略；基于通过客户终端10接收的用户ID分配虚拟机的虚拟机分配单元32，该虚拟机在服务器设备30上虚拟客户终端10的环境；以及基于通过策略信息抽取单元22抽取的策略信息来限制访问虚拟机分配单元32分配的虚拟机的访问控制单元33。
文档编号G06F21/62GK102822841SQ201180017330
公开日2012年12月12日 申请日期2011年2月15日 优先权日2010年3月30日
发明者君塚政彦 申请人:日本电气株式会社