多租户管理系统及方法与流程

本发明大致涉及用户向由多租户(multi-tenant)利用的系统中的资源的访问。

背景技术：

1、已知通过将向记录系统等系统中的资源的访问限制成来自被许可的用户的访问且用于被许可的操作的访问，防止非法访问，提高安全性。在作为访问控制方式之一的rbac(role based access control：基于角色的访问控制)中，对访问资源的用户分配根据业务等赋予了访问权的角色，根据分配给用户的角色来判定能否访问资源。由此，能够防止设想外的资源操作、误操作等不希望的资源访问，减轻用户的管理负荷。

2、已知将不同的多个组织、不同的多个部门设为多个“租户”的多租户管理系统。“租户”可以是属于作为该租户的组织、部门的用户的组。在多租户管理系统中，按租户将资源对应起来。在多租户管理系统中，为了确保租户间的独立性，需要按租户独立地管理用户，或将向特定的资源的访问权限定于与该资源对应起来的租户这样的以租户为单位的访问控制。另一方面，对多个租户提供资源的系统管理者有时需要执行访问与租户对应起来的资源来监视状态等特定的操作的权限。也考虑对系统管理者预先赋予向与任意的租户对应起来的资源的访问权限，但从租户管理的独立性的观点、系统管理者的管理负荷降低的观点出发，也不希望对系统管理者赋予必要以上的广泛的权限。

3、例如，作为公开与多租户管理相关的技术的现有技术文献，有专利文献1以及专利文献2。

4、现有技术文献

5、专利文献1：wo2015/200379

6、专利文献2：日本特开2013-8229号公报

技术实现思路

1、发明所要解决的课题

2、考虑对各租户分配名字空间，按租户独立地管理用户，对属于租户的用户分配角色。用户在对名字空间认证成功的情况下，能够访问与分配给该名字空间的租户对应的资源。但是，在系统管理者需要访问与多个租户分别对应起来的资源的情况下，系统管理者需要按租户分类，对与该租户对应的名字空间进行认证。这样，需要与租户的数量相应的认证，管理繁杂。

3、作为解决该问题的方法，考虑将多个租户分配到单一的名字空间，将系统管理者登记到相同的名字空间。但是，由于在单一的名字空间中管理多个租户，因此无法确保租户间的独立性。例如，租户a的用户a先被登记到名字空间，在名称与用户a相同的用户b存在于租户b的情况下，租户不同但名称与用户a相同，因此，无法将用户b登记到名字空间。

4、用于解决课题的手段

5、关于本公开的代表性的例子，多租户管理系统(以下，在该段落中为“系统”)从用户终端接受与用户相关的信息即用户信息、与租户相关的信息即租户信息、以及指定了多个资源中的访问目的地的资源的资源访问请求。系统选择与接受到的租户信息表示的租户对应的名字空间。系统进行认证判定，该认证判定是接受到的用户信息是否适合于选择出的名字空间的用户管理信息所具有的信息的判定。针对包含每个租户的名字空间的多个名字空间的每一个，用户管理信息包含与和对应于该名字空间的租户关联起来的用户相关的信息、以及表示针对1个或2个以上的租户的每一个的资源访问范围的标签即租户范畴的信息。在认证判定的结果为真的情况下，系统进行认可判定，该认可判定是按照接受到的资源访问请求的访问目的地的资源是否属于与选择出的名字空间的用户管理信息表示的任一租户范畴对应且根据整体范畴管理信息确定的资源访问范围的判定。整体范畴管理信息是针对全部租户范畴的每一个表示与该租户范畴对应的资源访问范围的信息。在认可判定的结果为真的情况下，系统执行接受到的资源访问请求。

6、发明效果

7、根据本发明的代表性的一例，能够在确保租户间的独立性的同时，用户能够不进行每个名字空间的认证地访问多个租户的资源。上述以外的课题、结构及效果通过以下的实施例的说明而明确。

技术特征：

1.一种多租户管理系统，其特征在于，

2.根据权利要求1所述的多租户管理系统，其特征在于，

3.根据权利要求2所述的多租户管理系统，其特征在于，

4.根据权利要求1所述的多租户管理系统，其特征在于，

5.根据权利要求1所述的多租户管理系统，其特征在于，

6.根据权利要求1所述的多租户管理系统，其特征在于，

7.根据权利要求1所述的多租户管理系统，其特征在于，

8.根据权利要求7所述的多租户管理系统，其特征在于，

9.根据权利要求1所述的多租户管理系统，其特征在于，

10.一种多租户管理方法，其特征在于，

技术总结本发明提供一种多租户管理系统及方法。在确保租户间的独立性的同时，用户能够不进行每个名字空间的认证地访问多个租户的资源。多租户管理系统从多个名字空间中选择与用户对应的名字空间，使用该名字空间的用户管理信息来判定该用户是否是正当的用户。在该判定的结果为真的情况下，系统对按照来自用户的资源访问请求的访问目的地的资源是否属于与上述选择出的名字空间的用户管理信息表示的任一租户范畴对应的资源访问范围进行判定。在该判定的结果为真的情况下，系统执行该资源访问请求。技术研发人员：在塚俊之,中村隆喜,平井达哉,筱原智宽受保护的技术使用者：株式会社日立制作所技术研发日：技术公布日：2024/7/23