JP2009169954A - アクセス特権を取り扱うための方法およびデバイス - Google Patents

Abstract

【課題】複数のネットワークデバイスに対するアクセス特権の設定を容易にすること。
【解決手段】ネットワーク化されたデバイスのシステム内で、アクセス特権を作成するための方法は、複数のアクセスアイデンティティを選択するステップと、ネットワーク化されたデバイスのアクセス可能な機能に対する、選択されたアクセスアイデンティティの各々のアクセス特権の情報を検索するステップと、ネットワーク化されたデバイスのうちの各１つのアクセス可能な機能のうちの各１つに対する、選択されたアクセスアイデンティティのアクセス特権を累積するステップとを備える。
【選択図】図１０

Description

本発明は、ネットワークシステムにおけるネットワーク接続されたデバイスへのアクセス特権を作成するための方法およびデバイスに関する。

種々のタイプのデバイスをコンピュータネットワークに接続することにより、これら種々のタイプのデバイスおよびそれらの機能をアクセス可能にすることは、次第に一般的なことになりつつある。しかしながら、ほとんどの場合、デバイスまたはネットワークのオーナーは、ネットワークにアクセスするどの人にもこれらデバイスおよび機能にアクセスさせようとは思わない。この問題を解決するために、システムが特定のアクセス特権をユーザーに与えるようにできる。これらアクセス特権は、例えば監視カメラＡからのビデオ画像にユーザーがアクセスすることを認めるが、この同じカメラのビュー方向を制御するためのパン・ティルト制御装置にはアクセスできないようにすることができる。

更に、セキュリティシステム、例えば監視システム、侵入者からの保護システム、アクセス制御システム、火災アラームシステムなどでは、アクセス特権スキームが実装されていることが多い。かかる重要な機能に対してシステムが使用されているとき、アクセス特権のためのスキームは極めて重要となる。

アクセス特権を取り扱うためのスキームを実装しているほとんどのシステムは、システムアドミニストレータが各カメラに対し、各ユーザーのアクセス特権を別々に設定できるようにしている。しかしながら、かかるシステムの管理は、ユーザーおよびデバイスの数が増すにつれ、短時間で複雑となり、かつ管理の負担が増す。一部のシステムでは、管理を容易にするために、アクセスレベルのグループまたはユーザーグループが導入されている。これらケースでは各グループのアクセス特権だけを管理すればよいということにより、管理が容易となっている。

オオヤ他に付与された米国特許第6,208,379号では、アクセス特権を管理するための一部の方法が記載されている。アクセス特権の管理を容易にするための、この米国特許第6,208,379号に記載されている１つの方法は、上記のようにユーザーをユーザーグループにまとめることである。一般的に上記米国特許第6,208,379号は、アクセス特権の設定が求められているカメラの選択時に、オープンになっているダイアログボックス内に表示されているカメラリストから１つのカメラを選択することによって、ユーザーグループに対するアクセス特権を設定することについて述べている。次にカメラのアクセス制御パネルまたはダイアログボックスが示される。アクセス制御パネルでは、所定のアクセスモードを選択することが可能である。カメラのアクセスモードを変更することにより、システム内ですべてのユーザーグループに対する所定のアクセス特権が設定される。より詳細なレベルでアクセス特権を設定するには、アクセス制御パネルからアクセス特権ウィンドーをオープンにする。次に、このアクセス特権ウィンドーは、選択されたカメラの各機能に関連する各ユーザーグループのアクセス特権を表示するマトリックスを示す。

米国特許第６，２０８，３７９号

上記米国特許第6,208,379号に開示されている方法は、特に複数の異なるカメラに対するアクセス特権を設定しなければならないときに、処理が扱いにくい。更にこれら方法は、異なるユーザーのためのアクセス特権をカスタム化する際に、特に多数の代替特権をアクセス特権のアドミニストレータに与えるものではない。

本発明の１つの目的は、複数のネットワークデバイスに対するアクセス特権の設定を容易にすると共に、アクセス特権のカスタム化を容易にすることにある。

特に本発明の１つの様相によれば、ネットワーク化されたデバイスのシステム内で、アクセス特権を作成するための方法は、複数のアクセスアイデンティティを選択するステップと、前記ネットワーク化されたデバイスのアクセス可能な機能に対する、前記選択されたアクセスアイデンティティの各々のアクセス特権の情報を検索するステップと、前記ネットワーク化されたデバイスのうちの各１つの前記アクセス可能な機能のうちの各１つに対する、前記選択されたアクセスアイデンティティのアクセス特権を累積するステップとを備え、アクセス特権を累積する前記ステップは、前記ネットワーク化されたデバイスのうちの各１つの前記機能の各１つに対するアクセス特権を有する、前記選択されたアクセスアイデンティティの数をカウントすることを含み、前記累積されたアクセス特権の編集を可能にするインターフェースにおいて、前記ネットワーク化されたデバイスのうちの各１つの前記アクセス可能な機能のうちの各１つに対し、前記累積されたアクセス特権を提示するステップと、特定のネットワーク化されたデバイスにおける特定機能への、前記累積されたアクセス特権の変更を表示するステップと、前記累積されたアクセス特権の表示された変更に従い、前記選択されたアクセスアイデンティティによるアクセスを可能にするよう、前記特定のネットワーク化されたデバイスの前記特定の機能を作成するステップとを備える。

この方法によれば、すでにシステム内でユーザーのアクセス特権が互いに関係していない場合、および複数のデバイスに関するアクセス特権を変更すべきである場合に、特にアクセス特権の変更に関して、アクセス特権を変更することが容易となる。上記のように、アクセス特権を累積する行為を実行することにより、アクセス特権を変更する作動が可能となる。

一実施形態によれば、前記アクセス特権を累積する前記ステップは、前記ネットワーク化されたデバイスの各１つの、前記機能の各機能に対しアクセス特権を有する選択されたアクセスアイデンティティの数をカウントすることを含む。この利点は、アキュムレータの値を得ることが複雑でないことであり、換言すれば、同じアクセス特権を有しなくてもよい、複数の個々のユーザーのアクセス特権を表示する値を得る方法が複雑でないことである。

別の実施形態によれば、前記アクセス特権を累積する前記ステップは、選択されたすべてのアクセスアイデンティティが、特定の機能にアクセスすることを認めることを前記カウントが示す場合、選択されたすべてのアクセスアイデンティティが前記特定の機能にアクセスすることを認めることを示す値となるように、ネットワーク化されたデバイスの特定の機能のための前記累積されたアクセス特権を設定するステップと、選択されたアクセスアイデンティティのどれも、特定の機能にアクセスすることを認めないことを前記カウントが示す場合、選択されたアクセスアイデンティティのどれも、前記特定の機能にアクセスすることを認めないことを示す値となるように、ネットワーク化されたデバイスの特定の機能のための前記累積されたアクセス特権を設定するステップと、選択されたアクセスアイデンティティのうちの一部が、特定の機能にアクセスすることを認めることを前記カウントが示す場合、選択されたアクセスアイデンティティの一部が前記特定の機能にアクセスすることを認めることを示す値となるように、ネットワーク化されたデバイスの特定の機能のための前記累積されたアクセス特権を設定するステップとを備える。よってアクセス特権を変更することにより、アクセス特権を管理する個人として、選択されたユーザーのアクセス特権の管理を容易にすることは、これら３つのステートにより、現在のステータスの迅速な概観を与えることができる。

更に別の実施形態によれば、本方法は、前記ネットワーク化されたデバイスの前記アクセス可能な機能を表示する情報、これら機能のうちの各１つに関連する累積されたアクセス特権を表示する情報、および前記選択されたアクセスアイデンティティの識別を可能にする情報を、コンピュータネットワークを介して、クライアントコンピュータに送り、前記表示を実行するステップを更に含む。このことは、アクセス特権の変更を表示することに関連する処理が集中しなくなるという点で有利である。すなわちクライアントからのリクエストに関する情報をアクセスサーバーが記憶する必要がないという点で有利である。従って、アクセスサーバーによる処理を簡略化でき、少ない処理およびメモリ容量で済む。

一実施形態によれば、前記選択されたアクセスアイデンティティの識別を可能にする情報は、前記選択されたアクセスアイデンティティの識別子を含むリストである。

別の実施形態によれば、前記選択されたアクセスアイデンティティの識別を可能にする情報は、前記選択されたアクセスアイデンティティの識別子を含むリストのロケーションを識別する識別子である。

更に別の実施形態では、この方法は、前記ネットワーク化されたデバイスのうちの各１つの前記アクセス可能な機能の各１つを表示する情報、これら機能の各々に関連する累積されたアクセス特権、および前記選択されたアクセスアイデンティティの識別を可能にする情報を、前記コンピュータネットワークを介して戻すステップを更に備え、ネットワーク化されたデバイスの少なくとも１つの機能に関連する、前記累積されたアクセス特権は、前記コンピュータネットワークを介して以前送られた対応する情報に関連して既に変更されている。

一実施形態によれば、前記コンピュータネットワークを介して以前送られた対応する情報に関連して、特定機能に対する前記累積されたアクセス特権が既に変更されていることを示すよう、前記累積されたアクセス特権が変更されているネットワーク化されたデバイスの前記少なくとも１つの機能にタグを付ける。この方法の利点は、クライアントからの、累積され、変更されたアクセス特権に従って、システムのアクセス特権を作成する動作を、変更されていないアクセス特権に関連する情報から容易に抽出できることである。

別の実施形態によれば、特定のネットワークデバイスにおける特定の機能への累積されたアクセス特権の変更を示す前記行為は、前記選択されたアクセスアイデンティティによって識別されたすべてのユーザーが前記特定の機能へアクセスすることを認めるか、または前記選択されたユーザーのどれもが前記特定の機能へアクセスすることを認めないよう、特定のネットワークデバイスの特定の機能のアクセス特権を変更することしか可能にしない。

別の実施形態によれば、複数のアクセスアイデンティティを選択する前記ステップは、前記システムを使用するように登録されたアクセスアイデンティティから複数のアクセスアイデンティティを選択することを含む。

別の実施形態では、アクセスアイデンティティを選択する前記ステップは、個々のユーザーを選択することを含む。

更に別の実施形態では、アクセスアイデンティティを選択する前記ステップは、ユーザーグループを選択することを含む。

本発明の別の様相によれば、ネットワーク化されたデバイスのシステム内でアクセス特権を取り扱うためのサーバーは、クライアントから選択されたアクセスアイデンティティの表示を受信するようになっているアクセスアイデンティティを選択することを管理するための手段と、ネットワーク化されたデバイスに関連するアクセス可能な機能に対する、個々に選択されたアクセスアイデンティティのアクセス特権の情報を検索すると共に、前記ネットワーク化されたデバイスの前記機能に対する前記選択されたアクセスアイデンティティに鑑み、累積されたアクセス特権を含むメッセージを発生するようになっているアクセス特権マネージャーと、前記ネットワーク化されたデバイスの前記アクセス可能な機能のうちの各１つに対するアクセス特権を有する選択されたアクセスアイデンティティの数をカウントすることにより、前記検索された情報から、前記ネットワーク化されたデバイスの前記アクセス可能な機能に対する前記選択されたアクセスアイデンティティの前記アクセス特権を累積するようになっているアクセス特権アキュムレータと、前記ネットワーク化されたデバイスの前記機能の前記アクセス特権を変更すべきことを表示するインジケータを含む、受信されたメッセージに従い、前記選択されたアクセスアイデンティティに対する前記ネットワーク化されたデバイスのアクセス可能な機能のアクセス特権を作成するようになっている、アクセス特権コンフィギュレータとを備える。

このアクセス特権作成機能を有するサーバーは、個々のユーザーおよび複数のネットワークデバイスのためのアクセス特権を変更する作動を容易にできる。このことは特に、複数のデバイスに対する関連していないユーザーのアクセス特権を変更すべき場合の作動に当てはまる。上記のように、アクセス特権を累積することにより、かかるアクセス特権を変更する作動が可能となる。

一実施形態によれば、ネットワーク化されたデバイスの前記アクセス可能な機能の各１つに対するアクセス特権を有する選択されたアクセスアイデンティティの数をカウントすることにより、前記アクセス特権アキュムレータはアクセス特権を累積するようになっている。

この利点は、アキュムレータの値を得る方法が複雑でないこと、すなわち換言すれば、同じアクセス特権を有する必要のない複数の個々のユーザーのアクセス特権を表示する値を得る方法が複雑でないということである。

別の実施形態によれば、前記アクセス特権アキュムレータは、更に、選択されたすべてのアクセスアイデンティティが、特定の機能にアクセスすることを認めることを前記カウントが示す場合、選択されたすべてのアクセスアイデンティティが前記特定の機能にアクセスすることを認めることを示す値となるように、ネットワーク化されたデバイスの特定の機能のための前記累積されたアクセス特権を設定し、選択されたアクセスアイデンティティのどれも、特定の機能にアクセスすることを認めないことを前記カウントが示す場合、選択されたアクセスアイデンティティのどれも、前記特定の機能にアクセスすることを認めないことを示す値となるように、ネットワーク化されたデバイスの特定の機能のための前記累積されたアクセス特権を設定し、選択されたアクセスアイデンティティのうちの一部が、特定の機能にアクセスすることを認めることを前記カウントが示す場合、選択されたアクセスアイデンティティの一部が前記特定の機能にアクセスすることを認めることを示す値となるように、ネットワーク化されたデバイスの特定の機能のための前記累積されたアクセス特権を設定するようになっている。

このアクセス特権アキュムレータは、アクセス特権を変更することにより、アクセス特権を管理する個人に対し、これら３つのステータスによって現在のステータスの概観を迅速に与えることができるので、選択されたユーザーのアクセス特権の管理を容易にする。

別の実施形態によれば、前記アクセス特権マネージャーは、前記ネットワーク化されたデバイスの前記アクセス可能な機能を表示する情報、これら機能のうちの各１つに関連する累積されたアクセス特権を表示する情報、および前記選択されたアクセスアイデンティティの識別を可能にする情報を、前記発生されたメッセージ内に含むようになっている。

更に別の実施形態によれば、前記システムは、モニタシステムである。

別の実施形態では、前記アクセスアイデンティティは、ユーザーアイデンティティを含み、更に別の実施形態では、前記アクセスアイデンティティは、ユーザーグループアイデンティティを含む。

本発明の更に別の様相によれば、システムのネットワーク化されたデバイスの機能に対するアクセス特権を変更するためのクライアントは、ディスプレイと、入力手段と、アクセスサーバーにアクセスし、システムまたはネットワークのユーザーのアクセスアイデンティティの情報を提供することを前記アクセスサーバーにリクエストするようになっている、アクセスアイデンティティを選択するための手段とを備え、前記選択手段は、前記ディスプレイに前記アクセスアイデンティティを表示すると共に、前記入力手段により前記クライアントのユーザーがアクセスアイデンティティを選択することを可能にするようになっており、更に、ネットワーク化されたデバイスのアクセス可能な機能に対する前記選択されたアクセスアイデンティティに対するアクセス特権を変更するための手段を備え、前記手段は、前記ディスプレイ上に前記ネットワーク化されたデバイスの前記アクセス可能な機能に関する累積されたアクセス特権を示し、前記クライアントのユーザーが、表示された機能に対する累積されたアクセス特権を選択し、変更できるようにすると共に、前記累積され、変更されたアクセス特権の情報を含むメッセージを生成するようになっており、前記アクセス特権を累積する前記ステップは、前記ネットワーク化されたデバイスの各１つの前記機能の各１つに対するアクセス特権を有する選択されたアクセスアイデンティティの数をカウントすることを含む。

このクライアントは、複数のネットワーク化されたデバイスに対するアクセス特権の変更を容易にし、ユーザーに対するアクセス特権をカスタム化できるという利点を与えることができる。

一実施形態によれば、前記アクセス特権を変更するための手段は、ネットワークインターフェースを介してメッセージを受信するようになっており、前記メッセージは、前記ネットワーク化されたデバイスのアクセス可能な機能を表示する情報、これら機能の各々に関連する前記累積されたアクセス特権を表示する情報、および前記選択されたアクセスアイデンティティの識別を可能にする情報を含む。

別の実施形態によれば、前記生成されたメッセージは、前記ネットワーク化されたデバイスのアクセス可能な機能を表示する情報と、これら機能の各々に関連する、前記累積されたアクセス特権を表示する情報と、既に変更された累積された各アクセス特権を示すインジケータと、前記選択されたアクセスアイデンティティの識別を可能にする情報とを含む。

更に別の実施形態によれば、前記選択されたアクセスアイデンティティの識別を可能にする情報は、前記選択されたアクセスアイデンティティの識別子を含むリストである。

別の実施形態によれば、前記選択されたアクセスアイデンティティの識別を可能にする情報は、前記選択されたアクセスアイデンティティの識別子を含むリストのロケーションを識別する識別子である。

本願に関連し、ネットワーク化されたデバイスとは、コンピュータネットワークを通して信号および／またはメッセージの送受信を可能にするための回路を含むデバイスとして理解すべきであり、このデバイスは、デバイスが機能した結果生じたデータまたは情報をコンピュータネットワークを通して送るようになっている。

次の詳細な説明から、本発明を実施できる別の範囲が明らかとなろう。しかしながら、次の詳細な説明から、当業者には本発明の要旨内で種々の変更および変形をすることが明らかであるので、本発明の好ましい実施形態を示す次の詳細な説明および特定の例は、単なる例として示されたに過ぎないと理解すべきである。

添付図面を参照し、現時点で好ましい実施形態の次の詳細な説明から、本発明の上記以外の特徴および利点が明らかとなろう。

本発明の一実施形態に係わるシステムの該略図である。 本発明の一実施形態に係わるアクセスサーバーのブロック図である。 本発明の一実施形態に係わるアクセスサーバーのデータベースに記憶される、本発明に関連するデータを示す。 本発明の一実施形態に係わる累積されたアクセス特権のマトリックスを示す。 本発明の一実施形態に係わるアクセスサーバーからクライアントへ送られる情報メッセージを示す。 本発明の一実施形態に係わる、クライアントからサーバーへ送るべき累積されたアクセス特権のマトリックスを示す。 本発明の一実施形態に係わる、クライアントのブロック図である。 本発明の一実施形態に係わる、ユーザーを選択するためのグラフィカルユーザーインターフェース（ＧＵＩ）を示す。 本発明の一実施形態に係わる、選択されたユーザーのアクセス特権をネットワーク化されたデバイスの機能に変換するためのＧＵＩを示す。 ネットワーク化されたデバイスの機能に関連するアクセス特権を変更するための方法を示すフローチャートである。 本発明の一実施形態に係わる、アクセスサーバーとクライアントとの間での、信号間の時間的な関係を示す図である。 本発明の一実施形態に係わる、アクセスサーバーとクライアントとの間での、信号間の時間的な関係を示す図である。

図１には、本発明の一実施形態に係わるシステムが略図で示されている。このシステムは、ネットワーク化されたデバイス１２、１４および１６のアクセス特権を制御し、管理するようになっているアクセスサーバー１０を含む。更にこのシステムは、システムおよびサーバー１０を接続するネットワークのアクセス特権に関連する、アクセスサーバー１０内の情報にアクセスするのに使用できるクライアント１８と、サーバー１０、ネットワーク化されたデバイス１２、１４および１６、およびクライアント１８を接続するネットワークとを備える。

アクセスサーバー１０はシステム内のネットワーク化されたデバイスへの登録されたユーザーのアクセス特権を制御するサーバーである。ネットワーク化されたデバイス１２、１４および１６は、ネットワークに接続され、ネットワークを介して制御され、またはデータを提供するようになっている任意のデバイスでよい。クライアント１８は、アドミニストレータがサーバー１０にログインし、更にネットワーク化されたデバイス１２、１４および１６の機能への、登録されたアクセスアイデンティティによるアクセス特権に関連する情報にアクセスすることをイネーブルするコンピュータでよい。一実施形態によれば、アクセスアイデンティティは、ユーザーアイデンティティおよび／またはユーザーグループのアイデンティティでよい。

ネットワーク化されたデバイス１２、１４および１６は、上記のようにネットワークを通してデータを提供する任意のデバイス、および／またはネットワークを介して制御可能な任意のデバイスとすることができる。例えばネットワーク化されたデバイスは、ビデオカメラ１２でよく、このビデオカメラは、ビデオサーバーにビデオ画像を送るため、および／または制御信号を受信するため、例えばパニング、ティルト、絞り、フレームレート、解像度などの任意の組み合わせのうちの任意の１つを制御するために、ネットワークを介して通信することが可能である。かかるネットワーク化されたカメラ１２は、一般にモニタ目的または監視目的のために操作できる。ネットワーク化された別の例として、閉じられた設備またはエリアに対するアクセスを制御するために使用されるエントリー制御システム１４がある。しかしながら、当業者には他の多くのデバイスを想到することができよう。

本発明の一実施形態によれば、アクセスサーバー１０は、コンピュータネットワークを介してデータを取り扱い、送受信するようになっている通常のサーバーのすべてのコンポーネントおよび機能を含む。従って、アクセスサーバー１０は、通常のサーバーの機能の処理だけでなく、本発明に関連する機能を処理するためのＣＰＵ５２、すなわち中央処理ユニットを含む。更に、アクセスサーバーは、通常のサーバーの機能だけでなく、本発明に関連する機能にも関連するデータ、情報、命令などを一時的に記憶するための揮発性メモリ５４を含む。この揮発性メモリ５４は、例えばＲＡＭ（ランダムアクセスメモリ）でよい。更に、アクセスサーバーは、ネットワークに接続された他のデバイス、例えばネットワーク化されたデバイスとの通信をイネーブルするためのネットワークインターフェース５６を含む。当業者は、ネットワークインターフェースをどのように実装するかは知っていよう。

アクセスサーバー１０は、不揮発性メモリ５８も含み、この不揮発性メモリは、ハードドライブ、ソリッドステートドライブ、またはデバイスへの給電が遮断されたときでもデータを記憶できる任意のデータ記憶デバイスとすることができる。本発明を検討すれば、不揮発性メモリはシステム内のネットワーク化されたデバイスの機能への登録されたユーザーへのアクセス特権の情報を記憶するようになっている。従って、この記憶容量を適合しなければならない。更に、アクセスサーバーは、データベースとの間でのデータの入出力を管理するためのデータベースインターフェース６０も含むことができる。このデータベースは、不揮発性メモリ５８内に配置できるが、ネットワークに接続された別の記憶ポイントにも配置できる。

通常のすべての機能の他に、更にアクセス特権を作成したり、または再構成するために、アクセスサーバー１０はアクセスアイデンティティの選択を管理するための手段６２と、アクセス特権を管理するための手段６４と、アクセス特権を作成するための手段６６とを含むことができる。

アクセス識別の選択を管理するための手段６２は、アクセスアイデンティティのリストを検索し、アクセスアイデンティティの選択をするためにクライアントにこのアクセスアイデンティティのリストを送るようになっている。登録されたアクセスアイデンティティ、例えば登録されたユーザーおよび／または登録されたユーザーグループに関連するアクセス特権を含むデータベースから、このアクセスアイデンティティのリストを検索してもよいし、またはネットワークに関連するユーザー管理サーバー、すなわちネットワークへのログインを認証するのに必要なデータを管理するサーバーからこのリストを検索してもよい。例えば、ネットワークシステムがマイクロソフト社に基づくネットワークである場合、かかるサーバーは、アクティブディレクトリを含むことができる。

アクセスアイデンティティの選択は、これらリストのうちのいずれか１つに基づいて行うことができる。新しいアクセスアイデンティティ、すなわちネットワーク化されたデバイスにアクセスできるようには登録されていないアイデンティティに、アクセス特権を必要とするネットワーク化されたデバイスへのアクセス権を与えられるべきであるときに、ネットワークでの認証されたログインに関連するリストを、使用することが好ましい。アクセス特権の編集または変更を実行すべきであるアクセスアイデンティティを選択する際にネットワーク化されたデバイスにアクセスできるように登録されているアクセスアイデンティティのリストを、使用できることが好ましい。更に、本願に関連し、アクセス特権を変更するためにアクセスアイデンティティを選択することに鑑みれば、アクセスアイデンティティなる用語は、ユーザーアイデンティティおよび／またはユーザーグループアイデンティティを含むことができる。ユーザーグループを選択し、登録する場合、ユーザーグループのアイデンティティを記憶する。このユーザーグループは、ユーザーグループに関連するユーザーのユーザー識別子を含むようにでき、これによって必要なときにユーザーグループ内に含まれるユーザーの検索が可能となっている。このことは、アクセス特権での管理作動のためにユーザーグループおよび単一ユーザーを選択することが可能となり、ユーザーグループのうちの複数のユーザーが変わった場合、ユーザーグループのアクセス特権はそのままであるが、ユーザーグループから出たか、または加わったユーザーのアクセス特権は変化する。

一実施形態に係わるアクセスサーバーのデータベース内、またはアクセスサーバーに関係するデータベースには、アクセスアイデンティティのリスト９０（図３参照）が使用されている。ネットワーク化されたデバイスにアクセスできるように登録されたアクセスアイデンティティの前記リスト９０の他に、アクセスサーバーのデータベースはネットワーク化されたデバイスおよびこれらデバイスのアクセス可能な機能のリスト９２および各アクセスアイデンティティのために各デバイスの各機能に１つのアクセス特権が関連付けられているリスト９４を記憶している。このリスト９４は、リストまたはマトリックスとして記憶できるが、リストに含まれる情報の記述を容易にするために、これをマトリックスとして説明し、以下、リスト９４をアクセス特権マトリックス９４と称す。従って、アクセス特権のマトリックス９４は、登録されたアクセスアイデンティティ９０のリストと、ネットワーク化されたデバイス９２のリストと、ネットワーク化されたデバイスの機能に関連するこれらアクセスアイデンティティのアクセス特権との組み合わせとなっている。かかるアクセス特権マトリックス９４の一実施形態を説明する１つの方法（図３の例を参照）は、どのラインも、ネットワーク化されたデバイスとアクセスアイデンティティとの組み合わせを示すようにすることである。すなわちマトリックスのライン１は、ネットワークデバイス１とアクセスアイデンティティ１を示し、ライン２は、ネットワークデバイス１とアクセスアイデンティティ２とを示し、ライン３は、ネットワークデバイス１とアクセスアイデンティティ３とを示し、ライン４は、ネットワークデバイス２とアクセスアイデンティティ１とを示し、ライン５は、ネットワークデバイス２とアクセスアイデンティティ２とを示すようにし、各コラムがデバイスの機能を示すようにすることである。

次に、再び図２を参照する。アクセスアイデンティティの選択を管理するための手段６２は、選択されたアクセスアイデンティティの表示をクライアントから受信するようになっている。アクセス特権マトリックスマネージャー６８は、選択されたアクセスアイデンティティがアクセス特権マトリックス内に登録されていないアクセスアイデンティティである場合に、この選択されたアクセスアイデンティティを追加するようになっている。更にこのアクセス特権マトリックスマネージャーは、選択されたアクセスアイデンティティに関連するアクセス特権マトリックスからアクセス特権アキュムレータ７０へ情報を送るようにできる。

アクセス特権アキュムレータ７０は、クライアントコンピュータでアクセス特権の変更を実行できるように、クライアントコンピュータに送るべき情報構造内の選択されたアクセスアイデンティティのアクセス特権を累積するようになっている。このアクセス特権アキュムレータ７０は、登録されている選択されたアクセスアイデンティティのうちのどれだけ多くが、ネットワーク化されたデバイスの各々の機能の各々にアクセスしたかをカウントする。選択されたアイデンティティのうちのすべてがネットワーク化されたデバイスの特定の機能にアクセスしている場合、選択されたすべてのアクセスアイデンティティがアクセスしたことを記述する、この特定のデバイスにおけるこの特定の機能に関連する入力が行われる。選択されたアクセスアイデンティティのどれもが、ネットワーク化されたデバイスの特定の機能にアクセスしていない場合、選択されたアクセスアイデンティティのどれもがアクセスしていない旨を記述する、この特定のデバイスにおける特定機能に関する入力がなされる。このシステムでは、第３の表示が使用される。選択されたアクセスのアイデンティティの一部しかネットワーク化されたデバイスの特定の機能にアクセスしていない場合、この第３の表示が使用され、選択されたアクセスアイデンティティのうちの一部しかアクセスしていない旨を記述する、この特定のデバイスにおけるこの特定機能に関連する入力がなされる。従って、累積されたリスト、すなわちマトリックスは、これら３つのステートにより、各ネットワークデバイスの各機能に対する選択されたアクセスアイデンティティの累積されたアクセス特権を識別する。図４には、累積したマトリックスの一部の例が示されている。上記３つのステートは、データ送信において「すべてアクセス」インジケータ、「アクセスなし」インジケータおよび「一部アクセス」インジケータとして表示できる。一実施形態では、「すべてアクセス」インジケータはＴＲＵＥ（真）値として表示され、「アクセスなし」インジケータはＦＡＬＳＥ（偽）値として表示され、「一部アクセス」インジケータはＮＵＬＬ（ヌル）値として表示される。

次に図２に戻る。アクセス特権を管理するための手段６４は、クライアントからのアクセス特権の変更を可能にする情報を含むメッセージを生成するようになっている。この情報は、累積したアクセス特権および各ネットワークデバイスの関連する各機能および選択されたアクセスアイデンティティのリスト、例えば累積されたマトリックスおよび選択されたアクセスアイデンティティのリストでよい。図５には、かかるメッセージのコンテントの一例が示されている。選択されたアクセスアイデンティティのリストは、メッセージ内に表示でき、このメッセージはサーバーまたは他の任意のネットワーク場所に記憶された、かかるリストへのリンクまたはポインタとして、アクセス特権のコンフィギュレーション情報を含む。実際には、選択されたアクセスアイデンティティのリンクは必ずしもクライアント内に与えられるわけではないし、また、クライアント内で使用されないこともある。

更に、アクセス特権を作成するための手段６６は、クライアントからのコンフィギュレーションリクエストを受信するようになっている。前記受信された機能は、各ネットワークデバイスの関連する各機能に対する累積され、調節されたアクセス特権および選択されたアクセスアイデンティティのリストを含む。アクセスアイデンティティのリストが上記のようにクライアントに送られない場合、アクセスサーバーからクライアントへ送られたリンクまたはポインタが戻される。アクセス特権を作成するための手段６６は、アクセス特権コンフィギュレーションリクエストに従い、アクセス特権マトリックス内にアクセス特権を設定するよう、アクセス特権マトリックスマネージャー６８を命令するようにもなっている。一実施形態では、受信されたリクエストは、各デバイスの各機能のインジケータを更に含み、このインジケータは、アクセスサーバー１０から送られた累積したリストのアクセス特権に関連し、選択されたアクセスアイデンティティのためにデバイスの機能のアクセス特権が変更されたかどうかを示す。図６に示されている累積され、戻されたリストの例に示されるように、変更されたアクセス特権のインジケータに対しては、ダーティビット９８を使用することができる。図６の例では、１にセットされたダーティビットは、変更されたアクセス特権を示し、０にセットされたダーティビットは、アクセス特権に変更がないことを示す。アクセスサーバーからクライアントに送られる累積されたリストには、ダーティビットのための位置を示すこともできる。

図７には、本発明で使用できるクライアントが示されている。このクライアントは、ネットワークインターフェース１０２と、ＣＰＵ１０４と、メモリ１０６と、入力手段１０８と、ディスプレイ１１０とを含む。ネットワークインターフェース１０２は、ネットワークに接続された他のデバイス、例えばアクセスサーバーとの通信を可能にできるようになっている。当業者は、ネットワークインターフェースをどのように実装するかは知っているであろう。ＣＰＵ１０４は、クライアントの機能を処理するようになっており、情報を記憶するために、例えば実行された命令などの一時的記憶をするために、メモリが使用されている。クライアントは任意の汎用コンピュータ、例えばワークステーション、パソコン、小型携帯型コンピュータ、携帯電話、パーソナルデジタルアシスタントなどでよいし、またはアクセスサーバーに対するクライアント専用に設計された特殊コンピュータでもよい。

クライアントはアクセスアイデンティティを選択するための手段１１２と、アクセス特権を変更するための手段１１４とを含む。アクセスアイデンティティを選択するための手段１１２は、アクセスサーバーにアクセスし、システムのアクセスアイデンティティまたはネットワークのユーザーの情報を提供するように、アクセスサーバーにリクエストするようになっている。クライアントのオペレータは、この情報から、前記選択されたアクセスアイデンティティを選択し、選択されたアクセスアイデンティティのリストを送り戻すことができる。

一実施形態では、ユーザーを選択するための手段１１２は、クライアントのユーザーが既に登録されたアクセスアイデンティティのために新しいアクセスアイデンティティを追加するか、またはアクセス特権を変更するかを選択できるインターフェースをディスプレイするようになっている。更に、この手段は、クライアントのユーザーが選択した選択案のうちのどれであるかの表示をアクセスサーバーに送るようになっている。更にアクセスアイデンティティ１１２を選択するための手段は、アクセスアイデンティティのリストを受信し、リストからアクセスアイデンティティの選択を可能にするインターフェースを介し、ディスプレイ１１０にリストのコンテントを示すようになっている。図８には、かかるインターフェースの一例が示されている。当該アクセスアイデンティティを示す各ラインを示すことにより、ユーザーをマークでき、当該ユーザーをマークするときには、選択ボタンを使って選択されたアクセスアイデンティティのリストをアクセスサーバーへ送る。

アクセス特権を変更するための手段１１４は、クライアントによるアクセス特権の変更を可能にする情報を含む情報メッセージを受信するようになっている。この情報は、累積したアクセス特権および各ネットワークデバイスの関連する各機能、および選択されたアクセスアイデンティティのリストでよい。例えばアクセスサーバーに関連して説明したように、累積したリストおよび選択されたアクセスアイデンティティのリストでよい。図５には、情報メッセージの一例が示されている。アクセス特権を変更するための手段は、更にクライアントのユーザーがアクセス特権を変更できるようにするインターフェース内に、情報メッセージのうちの情報を表示するための手段も含む。図９には、アクセス特権を変更するためのかかるインターフェースの一例が示されている。インターフェースのこの特定の実施形態では、インターフェースの別個のタブ１２０、１２２の下にカメラおよびＩ／Ｏデバイスとして示されるネットワーク化されたデバイスが、分類され、配置されている。各デバイスは、別個のラインで示され、機能はコラムに示され、各デバイスの各機能に対する累積したアクセス特権は、ネットワーク化されたデバイスと機能との交点に示されている。ｘは、選択されたすべてのアクセスアイデンティティがアクセスしたことを示し、空のボックスは、選択されたアクセスアイデンティティのどれもがアクセスしていないことを示し、ｏは、一部のアイデンティティがアクセスしているが、すべてのアイデンティティがアクセスしているわけではないことを示す。このインターフェースは、ユーザーのボックスの選択に応答し、ｘから空に、かつ空からｘに交互に変化するようになっている。累積されたアクセス特権がｏで示されているケースでは、この特権は、ｘまたは空に変化できるが、空またはｘはｏに変化できない。従って、選択されたアクセスアイデンティティのすべてがアクセスしたか、またはいずれもアクセスしていないかしか表示できない。アクセス特権を変更することにより、クライアントのユーザーを終了するときには、ｏｋボタンを選択すべきである。アクセス特権を変更するための手段は、インターフェースに示された変更に従って、累積されたリストを変更するようになっている。すなわち、ネットワーク化されたデバイスの機能に関連し、選択されたすべてのユーザーに対するアクセス特権の変更を表示するインジケータにより、ネットワーク化されたデバイスの機能に対する変更されたどのアクセス特権も表示するようになっている。

アクセス特権を変更するための手段１１４は、クライアントのユーザーが変更したアキュムレートされたリストをアクセスサーバーに送るようにもなっている。

本発明の別の態様によれば、ネットワーク化されたデバイスの機能に対し、アクセス特権を作成するための方法は、システム内で実施される（図１０参照）。このシステムは、アクセス特権の管理を可能にする認証システムとすることができ、このシステムは、特定のユーザーがアクセスすることが許可されるように登録されたユーザーアクセスデバイスしか許可しないように、弁別方法を実行するシステムとすることができる。例えばこのシステムは、セキュリティシステムのデバイスおよび／または機能へのアクセスを管理する認証モジュール／システム、監視システム、モニタシステムなどとすることができ、このシステムでは、異なるユーザーは異なるデバイスにアクセスすべきであり、異なるユーザーがアクセスしたデバイスには異なるタイプのアクセスさえもすべきである。

クライアントコンピュータのユーザー（本方法は、ネットワークとシステムのためのアドミニストレータの特権を有するこのユーザー、またはシステムのみのためのアドミニストレータの特権を有するこのユーザーに対して制限されている）は、アクセスアイデンティティのリストに対するリクエストを送るようにクライアントを作動させることにより、システム内のネットワーク化されたデバイスの機能に対するアクセス特権の作成を開始する（ステップ６０２）。このリクエストに応答し、サーバーは、ネットワークを利用するため、および／またはシステムを利用するために登録されたアクセスアイデンティティのリストに対してアクセスする（ステップ６０４）。次に、例えば図８を参照して説明したインターフェースにより、クライアント側において、アクセスアイデンティティのリストが提示される。次にクライアントを作動中のユーザーは、クライアントを作動させ、管理すべきアクセス特権を有するアクセスアイデンティティを選択する（ステップ６０６）。

本発明によれば、アクセス特権を管理するためのインターフェースは、選択されたアクセスアイデンティティを同じ方法で処理するようになっているので、複数の同一のアクセス特権を有すべきアクセスアイデンティティを選択することが好ましい。次に、選択されたアクセスアイデンティティだけのための累積されたアクセス特権マトリックスを作成するために、アクセスサーバー内で、選択されたアクセスアイデンティティを使用する。選択されたアクセスアイデンティティがシステム内で登録されていないアクセスアイデンティティである場合、システムの登録されたアクセスアイデンティティに、選択されたアクセスアイデンティティを追加しなければならない。例えばアクセスアイデンティティをシステムに対してではなく、ネットワークに対して登録、例えば認証してもよいし、例えばシステムに対しては許可してもよい。

従って、アクセスサーバーは、選択されたアクセスアイデンティティに関連するアクセス特権を検索し（ステップ６０８）、次にデバイスの各々の各機能へアクセスしたアクセスアイデンティティの数をカウントし、累積する（ステップ６１０）。このステップは各ネットワークデバイスの各機能にアクセスした、選択されたアクセスアイデンティティの数をサーバーにカウントさせ、ネットワーク化された各デバイスの各機能へアクセスした選択されたアクセスアイデンティティの数と選択されたアクセスアイデンティティの数とを比較することにより、累積されたアクセス特権を生成することによって実行できる。この累積されたアクセス特権は、選択されたアクセスアイデンティティのすべてがアクセスしたこと、選択されたアクセスアイデンティティのどれもアクセスしなかったこと、または選択されたアクセスアイデンティティの一部がアクセスしたことのいずれかを表示できる。一実施形態によれば、選択されたすべてのアクセスアイデンティティがアクセスしたことを示す、累積されたアクセス特権は、「ＴＲＵＥ（真）」の値で示され、選択されたアクセスアイデンティティのどれもアクセスしなかったことを示す累積されたアクセス特権は、「ＦＡＵＬＳＥ（偽）」の値で示され、選択されたアクセスアイデンティティの一部がアクセスしたことを示す累積されたアクセス特権は、「ＮＵＬＬ（ヌル）」の値で示される。

この結果生じる累積されたアクセス特権から、サーバーは複数のデータエントリーを含むデータ構造を生成する（ステップ６１２）。これらデータエントリーの各々は、ネットワーク化されたデバイス、このネットワーク化されたデバイスに関連する機能、および選択されたアクセスアイデンティティに関するこの特定のデバイスのこの特定の機能に対する累積されたアクセス特権を示す。データ構造は、ネットワーク化された各デバイスの各機能に対するこれらデータ構造のうちの１つを含む。生成されたデータ構造は、次に、選択されたアクセスアイデンティティのリストと共にクライアントへ送られる。一実施形態では、クライアントに送られる選択されたアクセスアイデンティティのリストは、リストに対するリンクまたはポインタに置換され、このリンクはサーバーに記憶することができる。

機能およびネットワーク化されたデバイスに関連する累積されたアクセス特権のデータ構造が、クライアント側で受信されると、このクライアントのインターフェースは、クライアントに接続されたディスプレイに情報を示す（ステップ６１４）。

一実施形態によれば、累積されたアクセス特権のデータ構造の情報は、アクセス特権を示し、これを変更するためのインターフェース、例えば図９を参照して説明したようなインターフェースにおいて示される。次に、クライアントのオペレータは、選択ごとに、選択されたすべてのアクセスアイデンティティがアクセスするか、または選択されたアクセスアイデンティティのどれもアクセスしないかを交互に定める特定のアクセス特権を選択するだけで、インターフェースを介して、累積されたアクセス特権を変更することができる。

アクセス特権の各変更は、データ構造内に記憶され、インジケータ、例えばダーティビットと共に表示できる。選択されたアクセスアイデンティティに関するアクセス特権の変更が、この時間の間に終了したとクライアント側のオペレータが判断した瞬間に、選択されたアクセスアイデンティティのリストと共に、アクセスサーバーへ、変更されたデータ構造を戻すことがクライアントに命令され、累積されたアクセス特権のデータ構造がアクセスサーバーに戻される（ステップ６１８）。

変更されたデータ構造を受信すると、サーバーは、変更されたアクセス特権を示すインジケータをサーチし、選択されたアクセスアイデンティティのリストの選択されたすべてのユーザーに対し、このインジケータに関連する特定のネットワーク化されたデバイスの特定の機能を再構成する（ステップ６２０）。変更されたと表示されたすべてのエントリーが見つかるまで、このサーチと構成を繰り返す。次にシステムのアクセス特権の新しい作成機能が作動する。

アクセス特権のリストに対するリクエストを送るようにユーザーがクライアントを作動させる、図１０のステップ６０２の結果、アクセスアイデンティティまたは認証されたユーザーの２つの異なる検索のうちの１つを行うことができる。クライアントを作動させるユーザーは、システムにアクセスアイデンティティを更に追加すると判断でき、この場合、アクセスサーバーはアクセスおよびネットワークの認証を管理するサーバーから、ユーザーまたはユーザーグループのリストを検索する。次に、選択されたユーザーは、同じようにシステムのレジスタに登録された応対となる。他方、クライアントを作動しているユーザーは、システム内に既にアクセス特権を有するアクセスアイデンティティのアクセス特権を変更すると判断できる。この場合、アクセスサーバーはアクセスサーバー内のアクセスアイデンティティのリストを検索する。

図１１には、クライアントとサーバーとの間の信号のやりとりが示されている。図１１に示された例は、クライアントのユーザーがシステムに新しいユーザーを追加しようとしている状況に関係している。次にユーザーは、ユーザーまたはユーザーグループを追加したい旨を表示し、クライアントはすべてのネットワークユーザーのリストのためのリクエストをアクセスサーバーに送る（ステップ７０２）。クライアント側では、このステップから選択を行うことができる。アクセスサーバーは、ネットワークアクセスおよび認証サーバーにコンタクトし、ユーザー情報を検索し、データをクライアントに送る（ステップ７０４）。クライアント側では、ユーザーの選択を実行し、選択されたユーザーのアクセス特権を訂正／設定するためのリクエストを送る（ステップ７０６）。このリクエストに応答し、アクセスサーバーは各ネットワーク化されたデバイスの各機能に鑑み、選択されたユーザーの累積されたアクセス特権を含む情報構造を戻す（ステップ７０８）。次にクライアント側でデータ構造が訂正され、訂正された情報構造が、アクセスサーバーへ戻される（ステップ７１０）。訂正された情報構造は、既に訂正されているアクセス特権を示すインジケータを含むことができる。

図１２には、図１のスキームに類似する信号送信スキームが示されている。この例は、ユーザーが既に登録されたアクセスアイデンティティのアクセス特権を訂正しようとしている状況に関連している。従って、クライアントは登録されたアクセスアイデンティティをリクエストするメッセージを送り（ステップ７２２）、登録されたアクセスアイデンティティを識別するデータを受信する（ステップ７２４）。次にクライアント側のユーザーは、このデータから選択を行い、図１１に示されているものと同じ信号送信を実行する。すなわち信号７２６〜７３０は図１１の信号７０６〜７１０に対応している。

５６ ネットワークインターフェース
６０ データベースインターフェース
６２ アクセスアイデンティティの選択を管理するための手段
６４ アクセス特権を管理するための手段
６６ アクセス特権を作成するための手段
６８ アクセス特権マトリックスマネージャー
７０ アクセス特権アキュムレータ
５４ 揮発性メモリ

Claims (22)

1. ネットワーク化されたデバイスのシステム内で、アクセス特権を作成するための方法であって、
   複数のアクセスアイデンティティを選択するステップと、
   前記ネットワーク化されたデバイスのアクセス可能な機能に対する、前記選択されたアクセスアイデンティティの各々のアクセス特権の情報を検索するステップと、
   前記ネットワーク化されたデバイスのうちの各１つの前記アクセス可能な機能のうちの各１つに対する、前記選択されたアクセスアイデンティティのアクセス特権を累積するステップであって、アクセス特権を累積する前記ステップは、前記ネットワーク化されたデバイスのうちの各１つの前記機能の各１つに対するアクセス特権を有する、前記選択されたアクセスアイデンティティの数をカウントすることを含むステップと、
   前記累積されたアクセス特権の編集を可能にするインターフェースにおいて、前記ネットワーク化されたデバイスのうちの各１つの前記アクセス可能な機能のうちの各１つに対し、前記累積されたアクセス特権を提示するステップと、
   特定のネットワーク化されたデバイスにおける特定機能への、前記累積されたアクセス特権の変更を表示するステップと、
   前記累積されたアクセス特権の表示された変更に従い、前記選択されたアクセスアイデンティティによるアクセスを可能にするよう、前記特定のネットワーク化されたデバイスの前記特定の機能を作成するステップとを備える、ネットワーク化されたデバイスのネットワークにおいてアクセス特権を作成するための方法。
2. 前記アクセス特権を累積する前記ステップは、
   選択されたすべてのアクセスアイデンティティが、特定の機能にアクセスすることを認めることを前記カウントが示す場合、選択されたすべてのアクセスアイデンティティが前記特定の機能にアクセスすることを認めることを示す値となるように、ネットワーク化されたデバイスの特定の機能のための前記累積されたアクセス特権を設定するステップと、
   選択されたアクセスアイデンティティのどれも、特定の機能にアクセスすることを認めないことを前記カウントが示す場合、選択されたアクセスアイデンティティのどれも、前記特定の機能にアクセスすることを認めないことを示す値となるように、ネットワーク化されたデバイスの特定の機能のための前記累積されたアクセス特権を設定するステップと、
   選択されたアクセスアイデンティティのうちの一部が、特定の機能にアクセスすることを認めることを前記カウントが示す場合、選択されたアクセスアイデンティティの一部が前記特定の機能にアクセスすることを認めることを示す値となるように、ネットワーク化されたデバイスの特定の機能のための前記累積されたアクセス特権を設定するステップとを備える、請求項１に記載の方法。
3. 前記ネットワーク化されたデバイスの前記アクセス可能な機能を表示する情報、これら機能のうちの各１つに関連する累積されたアクセス特権を表示する情報、および前記選択されたアクセスアイデンティティの識別を可能にする情報を、コンピュータネットワークを介して、クライアントコンピュータに送り、前記表示を実行するステップを更に含む、請求項１〜２のうちのいずれか１項に記載の方法。
4. 前記選択されたアクセスアイデンティティの識別を可能にする情報は、前記選択されたアクセスアイデンティティの識別子を含むリストである、請求項３に記載の方法。
5. 前記選択されたアクセスアイデンティティの識別を可能にする情報は、前記選択されたアクセスアイデンティティの識別子を含むリストのロケーションを識別する識別子である、請求項３に記載の方法。
6. 前記ネットワーク化されたデバイスのうちの各１つの前記アクセス可能な機能の各１つを表示する情報、これら機能の各々に関連する累積されたアクセス特権、および前記選択されたアクセスアイデンティティの識別を可能にする情報を、前記コンピュータネットワークを介して戻すステップを更に備え、前記ネットワーク化されたデバイスの少なくとも１つの機能に関連する、前記累積されたアクセス特権は、前記コンピュータネットワークを介して以前送られた対応する情報に関連して既に変更されている、請求項３〜５のうちのいずれか１項に記載の方法。
7. 前記コンピュータネットワークを介して以前送られた対応する情報に関連して、特定機能に対する前記累積されたアクセス特権が既に変更されていることを示すよう、前記累積されたアクセス特権が変更されているネットワーク化されたデバイスの前記少なくとも１つの機能にタグを付ける、請求項６に記載の方法。
8. 特定のネットワークデバイスにおける特定の機能への累積されたアクセス特権の変更を表示する前記ステップは、前記選択されたアクセスアイデンティティによって識別されたすべてのユーザーが前記特定の機能へアクセスすることを認めるか、または前記選択されたユーザーのどれも前記特定の機能へアクセスすることを認めないよう、特定のネットワークデバイスの特定の機能のアクセス特権を変更することしか可能にしない、請求項１〜７のうちのいずれか１項に記載の方法。
9. 複数のアクセスアイデンティティを選択する前記ステップは、前記システムを使用するように登録されたアクセスアイデンティティから複数のアクセスアイデンティティを選択することを含む、請求項１〜８のうちのいずれか１項に記載の方法。
10. アクセスアイデンティティを選択する前記ステップは、個々のユーザーを選択することを含む、請求項１〜９のうちのいずれか１項に記載の方法。
11. アクセスアイデンティティを選択する前記ステップは、ユーザーグループを選択することを含む、請求項１〜１０のうちのいずれか１項に記載の方法。
12. ネットワーク化されたデバイスのシステム内でアクセス特権を取り扱うためのサーバーであって、
    クライアントから選択されたアクセスアイデンティティの表示を受信するようになっているアクセスアイデンティティを選択することを管理するための手段と、
    ネットワーク化されたデバイスに関連するアクセス可能な機能に対する、個々に選択されたアクセスアイデンティティのアクセス特権の情報を検索すると共に、前記ネットワーク化されたデバイスの前記機能に対する前記選択されたアクセスアイデンティティに鑑み、累積されたアクセス特権を含むメッセージを発生するようになっているアクセス特権マネージャーと、
    前記ネットワーク化されたデバイスの前記アクセス可能な機能のうちの各１つに対するアクセス特権を有する選択されたアクセスアイデンティティの数をカウントすることにより、前記検索された情報から、前記ネットワーク化されたデバイスの前記アクセス可能な機能に対する前記選択されたアクセスアイデンティティの前記アクセス特権を累積するようになっているアクセス特権アキュムレータと、
    前記ネットワーク化されたデバイスの前記機能の前記アクセス特権を変更すべきことを表示するインジケータを含む、受信されたメッセージに従い、前記選択されたアクセスアイデンティティに対する前記ネットワーク化されたデバイスのアクセス可能な機能のアクセス特権を作成するようになっている、アクセス特権コンフィギュレータとを備えるサーバー。
13. 前記アクセス特権アキュムレータは、更に、
    選択されたすべてのアクセスアイデンティティが、特定の機能にアクセスすることを認めることを前記カウントが示す場合、選択されたすべてのアクセスアイデンティティが前記特定の機能にアクセスすることを認めることを示す値となるように、ネットワーク化されたデバイスの特定の機能のための前記累積されたアクセス特権を設定し、
    選択されたアクセスアイデンティティのどれも、特定の機能にアクセスすることを認めないことを前記カウントが示す場合、選択されたアクセスアイデンティティのどれも、前記特定の機能にアクセスすることを認めないことを示す値となるように、ネットワーク化されたデバイスの特定の機能のための前記累積されたアクセス特権を設定し、
    選択されたアクセスアイデンティティのうちの一部が、特定の機能にアクセスすることを認めることを前記カウントが示す場合、選択されたアクセスアイデンティティの一部が前記特定の機能にアクセスすることを認めることを示す値となるように、ネットワーク化されたデバイスの特定の機能のための前記累積されたアクセス特権を設定するようになっている、請求項１２に記載のサーバー。
14. 前記アクセス特権マネージャーは、前記ネットワーク化されたデバイスの前記アクセス可能な機能を表示する情報、これら機能のうちの各１つに関連する累積されたアクセス特権を表示する情報、および前記選択されたアクセスアイデンティティの識別を可能にする情報を、前記発生されたメッセージ内に含むようになっている、請求項１２または１３のうちのいずれか１項に記載のサーバー。
15. 前記システムは、モニタシステムである、請求項１２〜１４のうちのいずれか１項に記載のサーバー。
16. 前記アクセスアイデンティティは、ユーザーアイデンティティを含む、請求項１２〜１５のうちのいずれか１項に記載のサーバー。
17. 前記アクセスアイデンティティは、ユーザーグループアイデンティティを含む、請求項１２〜１６のうちのいずれか１項に記載のサーバー。
18. システムのネットワーク化されたデバイスの機能に対するアクセス特権を変更するためのクライアントであって、前記クライアントは、
    ディスプレイと、
    入力手段と、
    アクセスサーバーにアクセスし、システムまたはネットワークのユーザーのアクセスアイデンティティの情報を提供することを前記アクセスサーバーにリクエストするようになっている、アクセスアイデンティティを選択するための手段とを備え、前記選択手段は、前記ディスプレイに前記アクセスアイデンティティを表示すると共に、前記入力手段により前記クライアントのユーザーがアクセスアイデンティティを選択することを可能にするようになっており、
    更に、ネットワーク化されたデバイスのアクセス可能な機能に対する前記選択されたアクセスアイデンティティに対するアクセス特権を変更するための手段を備え、前記アクセス特権を変更するための手段は、前記ディスプレイ上に前記ネットワーク化されたデバイスの前記アクセス可能な機能に関する累積されたアクセス特権を示し、前記クライアントのユーザーが、表示された機能に対する累積されたアクセス特権を選択し、変更できるようにすると共に、前記累積され、変更されたアクセス特権の情報を含むメッセージを生成するようになっており、前記アクセス特権を累積する前記ステップは、前記ネットワーク化されたデバイスの各１つの前記機能の各１つに対するアクセス特権を有する選択されたアクセスアイデンティティの数をカウントすることを含む、アクセス特権を変更するためのクライアント。
19. 前記アクセス特権を変更するための手段は、ネットワークインターフェースを介してメッセージを受信するようになっており、前記メッセージは、前記ネットワーク化されたデバイスのアクセス可能な機能を表示する情報、これら機能の各々に関連する前記累積されたアクセス特権を表示する情報、および前記選択されたアクセスアイデンティティの識別を可能にする情報を含む、請求項１８に記載のクライアント。
20. 前記生成されたメッセージは、前記ネットワーク化されたデバイスのアクセス可能な機能を表示する情報と、これら機能の各々に関連する、前記累積されたアクセス特権を表示する情報と、既に変更された累積された各アクセス特権を示すインジケータと、前記選択されたアクセスアイデンティティの識別を可能にする情報とを含む、請求項１８〜１９のうちのいずれか１項に記載のクライアント。
21. 前記選択されたアクセスアイデンティティの識別を可能にする情報は、前記選択されたアクセスアイデンティティの識別子を含むリストである、請求項１９または２０のうちのいずれか１項に記載のクライアント。
22. 前記選択されたアクセスアイデンティティの識別を可能にする情報は、前記選択されたアクセスアイデンティティの識別子を含むリストのロケーションを識別する識別子である、請求項１９または２０のうちのいずれか１項に記載のクライアント。
    

Images