(57)【要約】  本発明は、簡便な構成で各ユーザに与えられたアクセス権限に応じたきめ細かなアクセス制御を実現する。通信システムは、処理規則に従って受信パケットを処理する複数の転送ノードと、送信元に関する情報から送信元にあたるユーザのロールを特定するための第１のテーブルと、ロール毎にアクセス可能または不可能な資源を定義した第２のテーブルとを保持し、制御装置からの要求に応じて、送信元にあたるユーザがアクセス可能または不可能な資源を応答するデータベースと、前記転送ノードから前記処理規則の設定要求を受けた場合、前記処理規則の設定要求に含まれる送信元に関する情報を用いて、前記データベースに対し、前記送信元にあたるユーザがアクセス可能または不可能な資源を問い合わせ、前記データベースからの応答に基づいて、前記処理規則を作成し、前記転送ノードに設定する制御装置と、を含む。
2012115058.tif 000002
【特許請求の範囲】
【請求項１】
フローを特定するための照合規則と、前記照合規則に適合するパケットに適用する処理内容とを対応付けた処理規則に従って、受信パケットを処理する複数の転送ノードと、
送信元に関する情報から送信元にあたるユーザのロールを特定するための第１のテーブルと、ロール毎にアクセス可能または不可能な資源を定義した第２のテーブルとを保持し、制御装置からの要求に応じて、送信元にあたるユーザがアクセス可能または不可能な資源を応答するデータベースと、
前記転送ノードから前記処理規則の設定要求を受けた場合、前記処理規則の設定要求に含まれる送信元に関する情報を用いて、前記データベースに対し、前記送信元にあたるユーザがアクセス可能または不可能な資源を問い合わせ、前記データベースからの応答に基づいて、前記処理規則を作成し、前記転送ノードに設定する制御装置と、
を含む通信システム。
【請求項２】
前記第２のテーブルのエントリは、ユーザに付与されるロール毎にアクセス可能または不可能な資源のグループを定義したアクセス制御ポリシ情報と、前記各グループに属する資源の詳細内容を定義したリソース情報とを用いて生成される請求項１の通信システム。
【請求項３】
さらに、アクセス制御ポリシ情報とリソース情報との少なくとも一方が更新された場合、前記第２のテーブルの前記更新された箇所に対応するエントリを更新するアクセスポリシ管理部を備える請求項２の通信システム。
【請求項４】
前記第１のテーブルには、認証に成功したユーザのエントリが登録され、前記ユーザがログアウトすることにより、前記第１のテーブルから前記ユーザのエントリが削除される請求項１から３いずれか一の通信システム。
【請求項５】
前記第１のテーブルの各エントリには有効期限が設定されており、前記データベースは、前記有効期限を経過したエントリを前記第１のテーブルから削除する請求項１から４いずれか一の通信システム。
【請求項６】
さらに、
ユーザ認証を行なって、前記第１のテーブルを更新する認証装置と、
前記第２のテーブルの更新内容の入力を受け付けて、前記第２のテーブルを更新するポリシ管理端末と、を含む請求項１から５いずれか一の通信システム。
【請求項７】
前記制御装置は、前記データベースからの応答に基づいて、所定の転送ノードに、前記送信元にあたるユーザからアクセスが禁じられた資源へのパケットを廃棄させる処理規則を設定する請求項１から６いずれか一の通信システム。
【請求項８】
前記データベースからの応答には、前記送信元にあたるユーザが前記資源へのアクセス可能または不可能な位置情報が含まれており、
前記制御装置は、前記転送ノードから前記処理規則の設定要求を受けた場合、前記処理規則の設定要求を受けた転送ノードのほか、前記位置情報に対応する転送ノードに、前記資源へのアクセスまたはアクセスを禁じる処理規則を設定する請求項１から７いずれか一の通信システム。
【請求項９】
フローを特定するための照合規則と前記照合規則に適合するパケットに適用する処理内容とを対応付けた処理規則に従って受信パケットを処理する複数の転送ノードに、前記処理規則を設定する制御装置と接続され、
送信元に関する情報から送信元にあたるユーザのロールを特定するための第１のテーブルと、
ロール毎にアクセス可能または不可能な資源を定義した第２のテーブルとを保持し、
前記制御装置からの要求に応じて、送信元にあたるユーザがアクセス可能または不可能な資源を応答するデータベース。
【請求項１０】
フローを特定するための照合規則と、前記照合規則に適合するパケットに適用する処理内容とを対応付けた処理規則に従って、受信パケットを処理する複数の転送ノードと、
送信元に関する情報から送信元にあたるユーザのロールを特定するための第１のテーブルと、ロール毎にアクセス可能または不可能な資源を定義した第２のテーブルとを保持し、制御装置からの要求に応じて、送信元にあたるユーザがアクセス可能または不可能な資源を応答するデータベースと、に接続され、
前記転送ノードから前記処理規則の設定要求を受けた場合、前記処理規則の設定要求に含まれる送信元に関する情報を用いて、前記データベースに対し、前記送信元にあたるユーザがアクセス可能または不可能な資源を問い合わせ、前記データベースからの応答に基づいて、前記処理規則を作成し、前記転送ノードに設定する制御装置。
【請求項１１】
フローを特定するための照合規則と、前記照合規則に適合するパケットに適用する処理内容とを対応付けた処理規則に従って、受信パケットを処理する複数の転送ノードと、
送信元に関する情報から送信元にあたるユーザのロールを特定するための第１のテーブルと、ロール毎にアクセス可能または不可能な資源を定義した第２のテーブルとを保持し、制御装置からの要求に応じて、送信元にあたるユーザがアクセス可能または不可能な資源を応答するデータベースと、前記転送ノードに前記処理規則を設定する制御装置と、を含む通信システムにおける通信方法であって、
前記制御装置が、
前記転送ノードから前記処理規則の設定要求を受けた場合、前記データベースに対し、前記送信元にあたるユーザがアクセス可能または不可能な資源を問い合わせるステップと、
前記データベースからの応答に基づいて、前記処理規則を作成し、前記転送ノードに設定するステップと、を含む通信方法。
【請求項１２】
フローを特定するための照合規則と、前記照合規則に適合するパケットに適用する処理内容とを対応付けた処理規則に従って、受信パケットを処理する複数の転送ノードと、
送信元に関する情報から送信元にあたるユーザのロールを特定するための第１のテーブルと、ロール毎にアクセス可能または不可能な資源を定義した第２のテーブルとを保持し、制御装置からの要求に応じて、送信元にあたるユーザがアクセス可能または不可能な資源を応答するデータベースと、接続され、前記転送ノードに前記処理規則を設定する制御装置に搭載されたコンピュータに実行させるプログラムであって、
前記転送ノードから前記処理規則の設定要求を受けた場合、前記データベースに対し、前記送信元にあたるユーザがアクセス可能または不可能な資源を問い合わせる処理と、
前記データベースからの応答に基づいて、前記処理規則を作成し、前記転送ノードに設定する処理と、を実行させるプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
（関連出願についての記載）
本発明は、日本国特許出願：特願２０１１−０３４４０７号（２０１１年２月２１日出願）の優先権主張に基づくものであり、同出願の全記載内容は引用をもって本書に組み込み記載されているものとする。【０００２】
本発明は、通信システム、データベース、制御装置、通信方法およびプログラムに関し、特に、ネットワークに配置された転送ノードによりパケットを転送して通信を実現する通信システム、データベース、制御装置、通信方法およびプログラムに関する。
【背景技術】
【０００３】
近年、オープンフロー（ＯｐｅｎＦｌｏｗ）という技術が提案されている（特許文献１、非特許文献１、２参照）。オープンフローは、通信をエンドツーエンドのフローとして捉え、フロー単位で経路制御、障害回復、負荷分散、最適化を行うものである。非特許文献２に仕様化されているオープンフロースイッチは、制御装置と位置付けられるオープンフローコントローラとの通信用のセキュアチャネルを備え、オープンフローコントローラから適宜追加または書き換え指示されるフローテーブルに従って動作する。フローテーブルには、フロー毎に、パケットヘッダと照合するマッチングルール（ヘッダフィールド）と、フロー統計情報（Ｃｏｕｎｔｅｒｓ）と、処理内容を定義したアクション（Ａｃｔｉｏｎｓ）と、の組が定義される（図１５参照）。【０００４】
例えば、オープンフロースイッチは、パケットを受信すると、フローテーブルから、受信パケットのヘッダ情報に適合するマッチングルール（図１５のヘッダフィールド参照）を持つエントリを検索する。検索の結果、受信パケットに適合するエントリが見つかった場合、オープンフロースイッチは、フロー統計情報（カウンタ）を更新するとともに、受信パケットに対して、当該エントリのアクションフィールドに記述された処理内容（指定ポートからのパケット送信、フラッディング、廃棄等）を実施する。一方、前記検索の結果、受信パケットに適合するエントリが見つからなかった場合、オープンフロースイッチは、セキュアチャネルを介して、オープンフローコントローラに対して受信パケットを転送し、受信パケットの送信元・送信先に基づいたパケットの経路の決定を依頼し、これを実現するフローエントリを受け取ってフローテーブルを更新する。このように、オープンフロースイッチは、フローテーブルに格納されたエントリを処理規則として用いてパケット転送を行っている。
【先行技術文献】
【特許文献】
【０００５】
【特許文献１】国際公開第２００８／０９５０１０号
【非特許文献】
【０００６】
【非特許文献１】Ｎｉｃｋ  ＭｃＫｅｏｗｎほか７名、“ＯｐｅｎＦｌｏｗ：  Ｅｎａｂｌｉｎｇ  Ｉｎｎｏｖａｔｉｏｎ  ｉｎ  Ｃａｍｐｕｓ  Ｎｅｔｗｏｒｋｓ”、［ｏｎｌｉｎｅ］、［平成２２(2010)年１２月１日検索］、インターネット〈ＵＲＬ：ｈｔｔｐ：／／ｗｗｗ．ｏｐｅｎｆｌｏｗｓｗｉｔｃｈ．ｏｒｇ／／ｄｏｃｕｍｅｎｔｓ／ｏｐｅｎｆｌｏｗ−ｗｐ−ｌａｔｅｓｔ．ｐｄｆ〉
【非特許文献２】“ＯｐｅｎＦｌｏｗ  Ｓｗｉｔｃｈ  Ｓｐｅｃｉｆｉｃａｔｉｏｎ”  Ｖｅｒｓｉｏｎ  １．０．０．  （Ｗｉｒｅ  Ｐｒｏｔｏｃｏｌ  ０ｘ０１）  ［平成２２(2010)年１２月１日検索］、インターネット〈ＵＲＬ：ｈｔｔｐ：／／ｗｗｗ．ｏｐｅｎｆｌｏｗｓｗｉｔｃｈ．ｏｒｇ／ｄｏｃｕｍｅｎｔｓ／ｏｐｅｎｆｌｏｗ−ｓｐｅｃ−ｖ１．０．０．ｐｄｆ〉
【発明の概要】
【発明が解決しようとする課題】
【０００７】
以下の分析は、本発明によって与えられたものである。【０００８】
特許文献１のオープンフローコントローラは、新規フロー発生時にポリシーファイルを参照してパーミッションチェックを行ない、その後に、経路を計算することによりアクセス制御を行っている（特許文献１の［００５２］参照）。このため、特許文献１の構成では、端末ベースでアクセス制御を行うに止まり、ユーザベースでアクセス制御を行うことができないという問題点がある。例えば、同一端末を複数のユーザが共用するようなケースにおいて、一方のユーザに、あるネットワーク資源へのアクセスを許容してしまうと、後に同一端末を使用する他のユーザも当該ネットワーク資源にアクセスできてしまうといった不都合が生じうる。【０００９】
また、既存のユーザ認証装置等による認証結果をオープンフローコントローラに提供しユーザベースのアクセス制御を行う方法も考えられるが、オープンフローコントローラでは、当該認証に成功したユーザに如何なるアクセス権限が与えられているのかを把握していないため、ユーザ毎に定められたポリシ等に即したきめ細かなアクセス制御をなしえないという問題点もある。また仮に、オープンフローコントローラにユーザ毎のアクセス権限情報を保持させた場合には、そのためのリソースや負荷の問題、多数のユーザのアクセス権限の管理の問題が生じてしまう。【００１０】
さらに、複数のオープンフローコントローラが異なる地域やトラヒックを分担して集中制御する構成まで考慮に入れると、これらオープンフローコントローラに対し、アクセス権限情報をいかに配布するかといった問題や、オープンフローコントローラ間におけるアクセス権限情報の同期の問題が生じうる。【００１１】
本発明は、上記した事情に鑑みてなされたものであって、その目的とするところは、上記オープンフローのような制御装置が転送ノードを集中制御する通信システムにおいて、簡便な構成で、各ユーザに与えられたアクセス権限に応じたきめ細かなアクセス制御を行いうる通信システム、制御装置、ポリシ管理装置、通信方法およびプログラムを提供することにある。
【課題を解決するための手段】
【００１２】
本発明の第１の視点によれば、フローを特定するための照合規則と、前記照合規則に適合するパケットに適用する処理内容とを対応付けた処理規則に従って、受信パケットを処理する複数の転送ノードと、送信元に関する情報から送信元にあたるユーザのロールを特定するための第１のテーブルと、ロール毎にアクセス可能または不可能な資源を定義した第２のテーブルとを保持し、制御装置からの要求に応じて、送信元にあたるユーザがアクセス可能または不可能な資源を応答するデータベースと、前記転送ノードから前記処理規則の設定要求を受けた場合、前記処理規則の設定要求に含まれる送信元に関する情報を用いて、前記データベースに対し、前記送信元にあたるユーザがアクセス可能または不可能な資源を問い合わせ、前記データベースからの応答に基づいて、前記処理規則を作成し、前記転送ノードに設定する制御装置と、を含む通信システムが提供される。【００１３】
本発明の第２の視点によれば、フローを特定するための照合規則と前記照合規則に適合するパケットに適用する処理内容とを対応付けた処理規則に従って受信パケットを処理する複数の転送ノードに、前記処理規則を制御装置と接続され、送信元に関する情報から送信元にあたるユーザのロールを特定するための第１のテーブルと、ロール毎にアクセス可能または不可能な資源を定義した第２のテーブルとを保持し、前記制御装置からの要求に応じて、送信元にあたるユーザがアクセス可能または不可能な資源を応答するデータベースが提供される。【００１４】
本発明の第３の視点によれば、フローを特定するための照合規則と、前記照合規則に適合するパケットに適用する処理内容とを対応付けた処理規則に従って、受信パケットを処理する複数の転送ノードと、送信元に関する情報から送信元にあたるユーザのロールを特定するための第１のテーブルと、ロール毎にアクセス可能または不可能な資源を定義した第２のテーブルとを保持し、制御装置からの要求に応じて、送信元にあたるユーザがアクセス可能または不可能な資源を応答するデータベースと、に接続され、前記転送ノードから前記処理規則の設定要求を受けた場合、前記処理規則の設定要求に含まれる送信元に関する情報を用いて、前記データベースに対し、前記送信元にあたるユーザがアクセス可能または不可能な資源を問い合わせ、前記データベースからの応答に基づいて、前記処理規則を作成し、前記転送ノードに設定する制御装置が提供される。【００１５】
本発明の第４の視点によれば、フローを特定するための照合規則と、前記照合規則に適合するパケットに適用する処理内容とを対応付けた処理規則に従って、受信パケットを処理する複数の転送ノードと、送信元に関する情報から送信元にあたるユーザのロールを特定するための第１のテーブルと、ロール毎にアクセス可能または不可能な資源を定義した第２のテーブルとを保持し、制御装置からの要求に応じて、送信元にあたるユーザがアクセス可能または不可能な資源を応答するデータベースと、前記転送ノードに前記処理規則を設定する制御装置と、を含む通信システムにおける通信方法であって、前記制御装置が、前記転送ノードから前記処理規則の設定要求を受けた場合、前記データベースに対し、前記送信元にあたるユーザがアクセス可能または不可能な資源を問い合わせるステップと、前記データベースからの応答に基づいて、前記処理規則を作成し、前記転送ノードに設定するステップと、を含む通信方法が提供される。本方法は、受信パケットを処理する複数の転送ノードを制御する制御装置という、特定の機械に結びつけられている。【００１６】
本発明の第５の視点によれば、フローを特定するための照合規則と、前記照合規則に適合するパケットに適用する処理内容とを対応付けた処理規則に従って、受信パケットを処理する複数の転送ノードと、送信元に関する情報から送信元にあたるユーザのロールを特定するための第１のテーブルと、ロール毎にアクセス可能または不可能な資源を定義した第２のテーブルとを保持し、制御装置からの要求に応じて、送信元にあたるユーザがアクセス可能または不可能な資源を応答するデータベースと、接続され、前記転送ノードに前記処理規則を設定する制御装置に搭載されたコンピュータに実行させるプログラムであって、前記転送ノードから前記処理規則の設定要求を受けた場合、前記データベースに対し、前記送信元にあたるユーザがアクセス可能または不可能な資源を問い合わせる処理と、前記データベースからの応答に基づいて、前記処理規則を作成し、前記転送ノードに設定する処理と、を実行させるプログラムが提供される。なお、このプログラムは、コンピュータが読み取り可能な記憶媒体に記録することができる。即ち、本発明は、コンピュータプログラム製品として具現することも可能である。
【発明の効果】
【００１７】
本発明によれば、フローベースの経路制御だけでなく、各ユーザに与えられたロールベースのきめ細かなアクセス制御を行うことが可能となる。
【図面の簡単な説明】
【００１８】
【図１】本発明の概要を説明する図である。
【図２】本発明の第１の実施形態の通信システムの構成を表した図である。
【図３】本発明の第１の実施形態のＩＡＭの詳細構成を表した図である。
【図４】本発明の第１の実施形態のアクセス制御ポリシ記憶部に格納されるポリシ情報の一例である。
【図５】本発明の第１の実施形態のリソース情報記憶部に格納されるリソース情報の一例である。
【図６】本発明の第１の実施形態のＡＣＬデータベースに保持されるアクセス制御ポリシ情報テーブルの一例である。
【図７】本発明の第１の実施形態のＡＣＬデータベースに保持される認証情報テーブルの一例である。
【図８】本発明の第１の実施形態の制御装置の構成を表わしたブロック図である。
【図９】本発明の第１の実施形態の動作を表したシーケンス図である。
【図１０】本発明の第１の実施形態の動作を表した別のシーケンス図である。
【図１１】本発明の第１の実施形態の構成によるアクセス制御の一例を説明するための図である。
【図１２】本発明の第１の実施形態の構成によるアクセス制御の別の一例を説明するための図である。
【図１３】本発明の第１の実施形態の構成によるアクセス制御の別の一例を説明するための図である。
【図１４】本発明の第２の実施形態の通信システムの構成を表した図である。
【図１５】非特許文献２に記載のフローエントリの構成を表した図である。
【発明を実施するための形態】
【００１９】
はじめに本発明の概要について図面を参照して説明する。本発明は、図１に示したように、フローを特定するための照合規則と、前記照合規則に適合するパケットに適用する処理内容とを対応付けた処理規則に従って、受信パケットを処理する複数の転送ノード２００Ａ、２００Ｂと、第１、第２のテーブル３３１、３３２を保持するデータベース３３０Ａと、転送ノード２００Ａ、２００Ｂに有効期限付きの処理規則を設定する制御装置３００と、により実現できる。なお、この概要に付記した図面参照符号は、理解を助けるための一例として各要素に便宜上付記したものであり、本発明を図示の態様に限定することを意図するものではない。
【００２０】
前記データベース３３０Ａの第１のテーブル３３１には、ユーザとのユーザ認証を行う認証装置３１０によって、認証手続に成功したユーザについて、その送信元に関する情報から当該ユーザのロール（Ｒｏｌｅ）を特定するためのエントリ群が格納される。なお、第１のテーブル３３１のエントリは、ユーザのログインや所定の認証手続を経ることにより追加され、ユーザのログアウトや一定時間の経過により削除されることが望ましい。
【００２１】
前記データベース３３０Ａの第２のテーブル３３２には、ネットワーク管理者等からアクセス制御ポリシ情報の入力を受け付けるポリシ管理端末３４０によって、ロール毎にアクセス可能または不可能な資源を定義したエントリ群（アクセス制御ポリシ）が格納される。
【００２２】
転送ノード２００Ａは、ユーザ端末１００からパケットを受信すると、当該パケットに適合する照合規則を持つ処理規則を検索する。このとき、受信パケットに適合する照合規則を持つ処理規則を保持していなかった場合、転送ノード２００Ａは、制御装置３００に対して、処理規則の設定要求メッセージを送信する（図１の（１）処理規則設定要求参照）。
【００２３】
制御装置３００は、管理対象の転送ノード２００Ａまたは２００Ｂから処理規則の設定要求を受け付けると、処理規則の設定要求に含まれるＩＰアドレスやＭＡＣ（Ｍｅｄｉａ  Ａｃｃｅｓｓ  Ｃｏｎｔｒｏｌ）アドレス等の送信元に関する情報を抽出して、データベース３３０Ａに、当該送信元からアクセス可能な資源あるいはアクセス不可能な資源のリストを問い合わせる（図１の（２）照会参照）。
【００２４】
前記問い合わせを受けたデータベース３３０Ａは、まず、第１のテーブル３３１を参照して、制御装置３００から照会を受けた送信元にあたるユーザのロールを特定する。次に、データベース３３０Ａは、第２のテーブル３３２を参照して、前記特定したロールにてアクセス可能な資源あるいはアクセス不可能な資源のリストを抽出し、制御装置３００に応答する。
【００２５】
前記リストを受信した制御装置３００は、前記リストと処理規則の設定要求を受けた宛先とを照合することにより、処理規則の設定要求を受けた宛先までの経路を作成してよいか否かを判断する。ここで例えば、前記処理規則の設定要求が、送信元にあたるユーザから、そのアクセス権限内の宛先（例えば、ネットワーク資源６００）への経路の作成とこれを実現する処理規則の設定を求めている場合には、制御装置３００は、送信元にあたるユーザのユーザ端末１００と、ネットワーク資源６００との間の経路を作成し、該経路上の転送ノードに、処理規則を設定する（図１の（３Ａ）、（３Ｂ）処理規則設定）。他方、前記処理規則の設定要求が、送信元にあたるユーザのアクセス権限を超えている場合には、前記処理規則の設定要求は拒否される。この場合において、制御装置３００が転送ノード２００Ａに当該ユーザからの後続パケットを廃棄する処理規則を設定するようにしてもよい。
【００２６】
以上により、処理規則の設定要求を受けた際に、その送信元にあたるユーザのロールを特定し、別途ポリシ管理端末３４０より設定されたアクセス制御ポリシに従って、ネットワーク資源６００へのアクセスを認めてよいか否かを判別することが可能となる。なお、処理規則には、有効期限を設け、転送ノード２００Ａ、２００Ｂに設定されてから、または、最後に照合規則に適合するパケットを受信してから、前記有効期限が経過した場合に、当該処理規則を削除するようにしてもよい。
【００２７】
また、前記データベース３３０Ａから応答されたリストに当該ユーザからのアクセスが禁じられている資源が明示されている場合には、制御装置３００が、転送ノード２００Ａや転送ノード２００Ｂに、当該ユーザからのパケットを破棄する処理規則を設定するようにしてもよい。これにより、以降の当該ユーザからのパケット受信による処理規則の設定要求が抑制され、制御装置３００の負荷を低減することが可能になる。
【００２８】
［第１の実施形態］
続いて、本発明の第１の実施形態について図面を参照して詳細に説明する。図２は、本発明の第１の実施形態の通信システムの構成を表した図である。図２を参照すると、複数の転送ノード２００Ａ、２００Ｂ、２００Ｃと、これら転送ノードと処理規則を設定する制御装置３００と、制御装置３００からの照会に応じてアクセスコントロールリスト情報（ＡＣＬ情報）を応答するＡＣＬデータベース３３０と、ユーザ端末１００Ａとの認証手続を行ない認証結果をＡＣＬデータベース３３０に登録する認証装置３１０と、ＡＣＬデータベース３３０に、ロールベースのＡＣＬ情報を提供する統合アクセス管理装置（Ｉｎｔｅｇｒａｔｅｄ  Ａｃｃｅｓｓ  Ｍａｎａｇｅｒ；以下、「ＩＡＭ」と記す。）３２０と、が示されている。
【００２９】
転送ノード２００Ａ、２００Ｂ、２００Ｃは、フローを特定するための照合規則と前記照合規則に適用する処理内容とを対応付けた処理規則に従って、受信パケットを処理するスイッチング装置である。このような転送ノード２００Ａ、２００Ｂ、２００Ｃとしては、図１５に示すフローエントリを処理規則として動作する非特許文献２のオープンフロースイッチを用いることもできる。また、本実施形態では、転送ノード２００Ａは、東京本社に配置され、東京本社のユーザ端末１００Ａから業務サーバ６００Ａ、管理ツール６００Ｂへのパケットを受け付けるものとする。同様に、転送ノード２００Ｂは、大阪支社に配置され、大阪支社のユーザ端末１００Ｂから業務サーバ６００Ａ、管理ツール６００Ｂへのパケットを受け付けるものとする。
【００３０】
また、転送ノード２００Ｃには、業務サーバ６００Ａと、管理ツール６００Ｂとが接続されている。業務サーバ６００Ａは、東京本社や大阪支社のユーザが日常の業務に用いるサービスを提供するサーバである。管理ツール６００Ｂは、これら業務サーバの設定やＡＣＬデータベースの各テーブルを更新するための管理ツールを提供する。以下の説明では、業務サーバ６００Ａには、リソースグループＩＤとしてｒｅｓｏｕｒｃｅ＿ｇｒｏｕｐ＿０００１が与えられ、管理ツール６００Ｂには、リソースグループＩＤとしてｒｅｓｏｕｒｃｅ＿ｇｒｏｕｐ＿０００２が与えられているものとする。
【００３１】
認証装置３１０は、パスワードや生体認証情報等を用いてユーザ端末１００Ａ、１００Ｂとユーザ認証手続を行なう認証サーバ等である。認証装置３１０は、ＡＣＬデータベース３３０にユーザ端末１００Ａ、１００Ｂとのユーザ認証手続の結果を示す認証情報を送信する。このような認証装置３１０は、ＬＤＡＰ（Ｌｉｇｈｔｗｅｉｇｈｔ  Ｄｉｒｅｃｔｏｒｙ  Ａｃｃｅｓｓ  Ｐｒｏｔｏｃｏｌ）サーバや、ＲＡＤＩＵＳ認証サーバと呼ばれる機器を用いて実現することができる。
【００３２】
図３は、ＩＡＭ３２０の詳細構成を表したブロック図である。図３を参照すると、アクセス制御ポリシ記憶部３２１、リソース情報記憶部３２２と、アクセス制御ポリシ管理部３２３と、を備えた構成が示されている。
【００３３】
アクセス制御ポリシ管理部３２３は、ネットワーク管理者等の操作するポリシ管理端末３４０から、アクセス制御ポリシ記憶部３２１やリソース情報記憶部３２２に登録する内容を受け付けて、アクセス制御ポリシ記憶部３２１またはリソース情報記憶部３２２に登録する。
【００３４】
図４は、アクセス制御ポリシ記憶部３２１に格納されるポリシ情報の一例である。図４の例では、ロールＩＤにて識別されるロール毎に、リソースのグループに与えられたリソースグループＩＤと、アクセス権限を設定したポリシ情報が示されている。例えば、ロールＩＤ：ｒｏｌｅ＿０００１を持つユーザは、リソースグループＩＤ：ｒｅｓｏｕｒｃｅ＿ｇｒｏｕｐ＿０００１、ｒｅｓｏｕｒｃｅ＿ｇｒｏｕｐ＿０００２の双方へのアクセスが許可（ａｌｌｏｗ）されている。他方、ロールＩＤ：ｒｏｌｅ＿０００２のユーザは、リソースグループＩＤ：ｒｅｓｏｕｒｃｅ＿ｇｒｏｕｐ＿０００１へのアクセスは禁止（ｄｅｎｙ）され、ｒｅｓｏｕｒｃｅ＿ｇｒｏｕｐ＿０００２へのアクセスが許可されている。
【００３５】
図５は、リソース情報記憶部３２２に格納されるリソース情報の一例である。図５の例では、上記したリソースグループＩＤに属するリソースのリソースＩＤやその詳細属性を対応付けた内容となっている。例えば、リソースグループＩＤ：ｒｅｓｏｕｒｃｅ＿ｇｒｏｕｐ＿０００１で特定されるグループには、ｒｅｓｏｕｒｃｅ＿０００１、ｒｅｓｏｕｒｃｅ＿０００２、ｒｅｓｏｕｒｃｅ＿０００３を持つリソースが含まれ、それぞれのＩＰアドレスやＭＡＣアドレスやサービスに利用するポート番号などを特定できるようになっている。
【００３６】
図６は、ＡＣＬデータベース３３０に保持されるアクセス制御ポリシ情報テーブル３３２の一例である。図６を参照すると、ロールＩＤ毎に、ＩＰアドレスやＭＡＣアドレス等の宛先情報と、ＥｔｈｅｒＴｙｐｅ、Ｐｒｏｔｏｃｏｌ、ポート番号の範囲（下限値〜上限値）などの条件（通信条件）と、アクセス権限と、優先順位と対応付けたエントリを格納するアクセス制御ポリシ情報テーブルが示されている。例えば、ロールＩＤ：ｒｏｌｅ＿０００１を持つユーザは、ＥｔｈｅｒＴｙｐｅ＝４（ＩＰｖ４）、Ｐｒｏｔｏｃｏｌ＝６（ＴＣＰ）、ポート番号＝８０という条件で、ＩＰアドレス＝１９２．１６８．０．１、ＭＡＣアドレス＝００−００−００−１１−２２−３３を持つ資源へのアクセスが許可（ａｌｌｏｗ）されている。このようなエントリは、図４に示したポリシ情報のエントリのリソースＩＤに対応する詳細データをリソース情報記憶部３２２から取り出すことによって作成することが可能である。なお、アクセス制御ポリシ情報テーブル３３２の優先順位フィールドは、同一あるいは２以上のロールＩＤ間で競合するエントリが設定されている場合に、制御装置３００側に回答する内容を決定する際に使用される。具体的な優先順位は、例えば、各ロールの優劣や包含関係によって決定すればよい。
【００３７】
図７は、ＡＣＬデータベース３３０に保持される認証情報テーブル３３１の一例である。例えば、ユーザＩＤがｕｓｅｒ１であるユーザの認証に成功した場合、認証装置３１０は、認証情報テーブル３３１に、ｕｓｅｒ１、ＩＰアドレス：１９２．１６８．１００．１、ＭＡＣアドレス：００−００−００−４４−５５−６６という送信元情報、ロールＩＤ：ｒｏｌｅ＿０００１、適宜設定された有効期限を持つエントリを登録する。同様に、ユーザＩＤがｕｓｅｒ１０であるユーザの認証に成功した場合、認証装置３１０は、認証情報テーブル３３１に、ｕｓｅｒ１０、ＩＰアドレス：１９２．１６８．１００．１０という属性、ロールＩＤ：ｒｏｌｅ＿００１０というｕｓｅｒ１０のエントリを登録する。なお、図７の送信元情報のユーザＩＤフィールドは、適宜省略することが可能である。また、送信元情報として必ずしもＩＰアドレスやＭＡＣアドレスの組を用いる必要はなく、これらの一方を省略したり、これらに代えて、当該ユーザ端末１００が接続している転送ノードのＩＤを用いることも可能である。また、本実施形態では、認証情報テーブル３３１の各エントリは、該当するユーザのログアウト時や、有効期限フィールドに設定された有効期限を過ぎる（タイムアウト）と、削除されるものとする。
【００３８】
また、アクセス制御ポリシ管理部３２３は、上記したアクセス制御ポリシ記憶部３２１またはリソース情報記憶部３２２の内容が更新されると、ＡＣＬデータベース３３０のアクセス制御ポリシ情報テーブル３３２（図６参照）から、前記更新内容に反映させるべきエントリを抽出し、その内容を反映する処理を行う。例えば、ロールＩＤ：ｒｏｌｅ＿０００１を持つユーザがアクセス可能な資源から、リソースグループＩＤ：ｒｅｓｏｕｒｃｅ＿ｇｒｏｕｐ＿０００２が削除された場合、アクセス制御ポリシ管理部３２３は、リソース情報記憶部３２２を参照し、リソースグループＩＤ：ｒｅｓｏｕｒｃｅ＿ｇｒｏｕｐ＿０００２に属する資源を特定し、図６のアクセス制御ポリシ情報テーブル３３２のロールＩＤ：ｒｏｌｅ＿０００１を持つエントリのうち、リソースグループＩＤ：ｒｅｓｏｕｒｃｅ＿ｇｒｏｕｐ＿０００２に属する資源へのアクセス権限が定義されたエントリの削除または該当エントリのアクセス権限をｄｅｎｙに変更する。
【００３９】
同様に例えば、リソースグループＩＤ：ｒｅｓｏｕｒｃｅ＿ｇｒｏｕｐ＿０００２に新しい資源が追加された場合、アクセス制御ポリシ管理部３２３は、アクセス制御ポリシ記憶部３２１を参照し、リソースグループＩＤ：ｒｅｓｏｕｒｃｅ＿ｇｒｏｕｐ＿０００２へのアクセスが許可乃至禁止されているロールを特定し、図６のアクセス制御ポリシ情報テーブル３３２に、ロールＩＤ：ｒｏｌｅ＿０００１からアクセス可能またはアクセス禁止の資源として、前記新しい資源を定義したエントリを追加する。
【００４０】
ＡＣＬデータベース３３０は、制御装置３００から、任意の送信元からアクセス可能な資源あるいはアクセス不可能な資源のリストを要求されると、認証情報テーブル３３１に登送信元情報にあたるユーザが登録されているか否か（正しく認証されたか否か）を確認する。前記送信元が認証情報テーブル３３１に登録されている場合には、当該送信元に紐付けられたロールＩＤをキーとして、アクセス制御ポリシ情報テーブル３３２を検索し、当該送信元にあたるユーザがアクセス可能またはアクセス不可能に設定されている資源と、その条件を表わしたリストを応答する。
【００４１】
制御装置３００は、転送ノード２００Ａ〜２００Ｃから、処理規則の設定要求を受けると、上記のようなＡＣＬデータベース３３０に対し、前記送信元にあたるユーザがアクセス可能または不可能な資源を問い合わせ、その結果に基づいて処理規則を作成し、転送ノード２００Ａ〜２００Ｃに設定する。
【００４２】
図８は、本実施形態の制御装置３００の詳細構成を表したブロック図である。図８を参照すると、制御装置３００は、転送ノード２００Ａ〜２００Ｃとの通信を行うノード通信部１１と、制御メッセージ処理部１２と、処理規則管理部１３と、処理規則記憶部１４と、転送ノード管理部１５と、処理規則作成部１６と、トポロジ管理部１７と、端末位置管理部１８と、ＡＣＬ情報照会部１９と、を備えて構成される。これらはそれぞれ次のように動作する。
【００４３】
制御メッセージ処理部１２は、転送ノード２００Ａ〜２００Ｃから受信した制御メッセージを解析して、制御装置３００内の該当する処理手段に制御メッセージ情報を引き渡す。
【００４４】
処理規則管理部１３は、どの転送ノードにどのような処理規則が設定されているかを管理する。具体的には、処理規則作成部１６にて作成された処理規則を処理規則記憶部１４に登録し、転送ノードに設定すると共に、転送ノードからの処理規則削除通知などにより、転送ノードにて設定された処理規則に変更が生じた場合にも対応して処理規則記憶部１４の登録情報をアップデートする。
【００４５】
転送ノード管理部１５は、制御装置３００によって制御されている転送ノードの能力（例えば、ポートの数や種類、サポートするアクションの種類など）を管理する。
【００４６】
処理規則作成部１６は、ＡＣＬ情報照会部１９を介して、ＡＣＬデータベース３３０に対し、所定規則の設定要求の送信元にあたるユーザのロールに対応するアクセス制御ポリシ情報テーブル３３２のエントリを問い合わせ、その応答内容に基づいて、処理規則を設定するか否かを判断する。前記判断の結果、処理規則を設定可能と判断した場合、処理規則作成部１６は、その内容に基づいた経路を作成し、当該経路を実現する処理規則を作成する。
【００４７】
より具体的には、処理規則作成部１６は、端末位置管理部１８にて管理されている通信端末の位置情報とトポロジ管理部１７にて構築されたネットワークトポロジ情報に基づいて、ユーザ端末からアクセス権を有している資源へのパケットの転送経路を計算する。次に、処理規則作成部１６は、転送ノード管理部１５から、前記転送経路上の転送ノードのポート情報等を取得して、前記計算した転送経路を実現するために経路上の転送ノードに実行させるアクションと、当該アクションを適用するフローを特定するための照合規則を求める。なお、前記照合規則は、処理規則の設定要求に含まれる送信元ＩＰアドレス、宛先ＩＰアドレス、条件（オプション）等を用いて作成することができる。
【００４８】
例えば、図６のロールＩＤ：ｒｏｌｅ＿０００１を持つユーザから管理ツール６００Ｂへ宛てたパケットの受信を契機に、処理規則の設定要求を受けている場合、まず、処理規則作成部１６は、ＡＣＬデータベース３３０からの応答に基づいて、管理ツール６００Ｂへのアクセスが許可されているか否かを確認する。その上で、処理規則作成部１６は、前記ユーザから管理ツール６００Ｂに宛てられたパケットを次ホップとなる転送ノード２００Ｃや転送ノード２００Ｃの管理ツール６００Ｂが接続されたポートから転送させるアクションを定めた各処理規則を作成する。
【００４９】
また、アクセス権を有していない資源には、処理規則作成部１６は、端末位置管理部１８にて管理されているユーザ端末の位置情報に基づいて、当該ユーザ端末が接続している転送ノードに、当該ユーザ端末からアクセス権を有していないリソースへのパケットを廃棄するアクションと照合規則を定めた処理規則を作成する。例えば、ロールＩＤ：ｒｏｌｅ＿０００１を持つユーザは、ＩＰアドレス１９２．１６８．０．３へのアクセス権限は「ｄｅｎｙ」に設定されているため、ＩＰアドレス１９２．１６８．０．３に宛てられたパケットを破棄する処理規則が作成・設定される。
【００５０】
トポロジ管理部１７は、ノード通信部１１を介して収集された転送ノード２００Ａ〜２００Ｃの接続関係に基づいてネットワークトポロジ情報を構築する。
【００５１】
端末位置管理部１８は、通信システムに接続しているユーザ端末の位置を特定するための情報を管理する。本実施形態では、ユーザ端末を識別する情報としてＩＰアドレスを、ユーザ端末の位置を特定するための情報として、ユーザ端末が接続している転送ノードの転送ノード識別子とそのポートの情報を使用するものとして説明する。もちろん、これらの情報に代えて、例えば、認証装置３１０からもたらされる情報等を用いて、端末とその位置を特定するものとしても良い。
【００５２】
ＡＣＬ情報照会部１９は、ＡＣＬデータベース３３０に対し、処理規則作成部１６からの要求に基づいて、所定規則の設定要求の送信元にあたるユーザがアクセス可能またはアクセス不可能に設定されている宛先のリストを照会する。
【００５３】
以上のような制御装置３００は、非特許文献１、２のオープンフローコントローラをベースに、上記したＡＣＬ情報照会部１９と、その応答結果に基づいた処理規則（フローエントリ）の作成機能を追加することでも実現できる。
【００５４】
また、図３に示した制御装置３００の各部（処理手段）は、制御装置３００を構成するコンピュータに、そのハードウェアを用いて、上記した各情報を記憶し、上記した各処理を実行させるコンピュータプログラムにより実現することもできる。
【００５５】
続いて、本実施形態の動作について図面を参照して詳細に説明する。はじめに、図９を参照して、認証装置３１０による認証情報テーブル３３１の更新処理およびＩＡＭ３２０によるアクセス制御ポリシ情報テーブル３３２の更新処理について説明する。
【００５６】
ユーザ端末１００からログイン要求を受け付けると（図９のＳ００１）、認証装置３１０は、ユーザ端末１００と所定の手続を行なってユーザ認証を行なう（図９のＳ００２）。
【００５７】
ここでは、ユーザ認証に成功したものとして説明する。この場合、認証装置３１０は、図６に示した認証情報テーブル３３１に登録するエントリを作成し、ＡＣＬデータベース３３０の認証情報テーブル３３１を更新する（図９のＳ００３、Ｓ００４）。以上の処理により、図６の認証情報テーブル３３１に新しいユーザと、そのロールＩＤ、有効期限を持ったエントリが追加される。
【００５８】
上記ユーザ認証手続とは独立して、ネットワーク管理者等より、ポリシ管理端末３４０を介して、ＩＡＭ３２０のアクセス制御ポリシ記憶部３２１やリソース情報記憶部３２２に保持されたデータの更新が行われる（図９のＳ００５）。
【００５９】
前記データの更新を受け付けたＩＡＭ３２０は、更新された内容に基づいて、図６のアクセス制御ポリシ情報テーブル３３２の更新内容を決定する（図９のＳ００６）。ここでの更新内容は、上述したように、ポリシ情報における各ロールの権限内容の変更や、リソース情報の詳細内容の変更に応じて決定される。
【００６０】
次に、ＩＡＭ３２０は、ＡＣＬデータベース３３０に対して、前記決定した内容に従いアクセス制御ポリシ情報テーブル３３２を更新する（図９のＳ００７、Ｓ００８）。
【００６１】
続いて、上記のように更新されるＡＣＬデータベース３３０の内容を用いた処理規則の設定処理の流れについて、図１０を参照して詳細に説明する。図１０を参照すると、まず、ユーザ端末１００が、業務サーバ６００Ａに宛てたパケットを送信すると（図１０のＳ１０１）、転送ノード２００Ａは、当該パケットに対応する処理規則を検索して、パケット処理を試みる。
【００６２】
ここでは、転送ノード２００Ａに当該パケットに対応する処理規則が設定されていないため、転送ノード２００Ａは、制御装置３００に対して処理規則の設定を要求する（図１０のＳ１０２）。
【００６３】
前記処理規則の設定要求を受けた制御装置３００は、前記処理規則の設定要求に含まれるＩＰアドレスやＭＡＣアドレス等により、送信元を特定する（図１０のＳ１０３）。そして、制御装置３００は、ＡＣＬデータベース３３０から、前記特定した送信元にあたるユーザのロールに対応するアクセス制御ポリシ情報テーブル３３２のエントリを取得する（図１０のＳ１０４）。
【００６４】
制御装置３００は、前記アクセス制御ポリシ情報テーブル３３２のエントリと、処理規則の設定要求を受けている宛先とを照合することにより、経路を作成してよいか否かを判断する。ここで、経路作成可と判断した場合、制御装置３００は、経路計算を行い、各転送ノードにおけるパケット処理内容を定めた処理規則を作成する（図１０のＳ１０５）。
【００６５】
制御装置３００が経路上の転送ノードに処理規則を設定すると（図１０のＳ１０６−１、Ｓ１０６−２）、ユーザ端末と業務サーバ間の通信が可能となる（図１０の「通信開始」）。
【００６６】
以上のように、ＩＡＭ３２０にて管理されている内容および認証装置３１０における認証処理の結果を、ＡＣＬデータベースにて一元管理し、制御装置３００が必要に応じてこれを参照してから処理規則を作成するようにすることで、例えば、図１１に示すように、管理者と一般従業員について、ロールＩＤ：ｒｏｌｅ＿０００１、ロールＩＤ：ｒｏｌｅ＿０００２を持つ２つのロールＩＤを管理するだけで的確なアクセス制御を行うことが可能となる。さらに、その際に、図６に示したアクセス制御ポリシ情報テーブル３３２の条件フィールドの各項目に従って、ポート番号の範囲やプロトコルによる制限を加えることも可能である。
【００６７】
また、図６に示したアクセス制御ポリシ情報テーブル３３２に、アクセスを許容する位置情報フィールドを追加することにより、前記処理規則の設定要求を受けた転送ノード以外に、前記位置情報フィールドに対応する転送ノードにも処理規則を設定することができる。これにより、例えば、図１２に示すように、ロールＩＤ：ｒｏｌｅ＿０００１を持つ管理者が東京本社からアクセスする場合は、業務サーバ、管理ツールの双方へのアクセスを許容するが、出張等により大阪支社からアクセスする場合は、管理ツールへのアクセスを制限するなどといった位置に応じたアクセス制限も実現することができる。もちろん、大阪支社からアクセスを全面的に禁じることも可能であり、これらは、ＩＡＭ３２０経由でアクセス制御ポリシ記憶部３２１のデータを書き換えたり、管理ツール６００Ｂ経由でアクセス制御ポリシ情報テーブル３３２を書き換えることにより実現できる。
【００６８】
また例えば、図１３に示すように、大阪支社の転送ノード群２０１に、一般従業員のユーザ端末から業務サーバ６００Ａへのアクセスを許容する処理規則を設定することで、ロールＩＤ：ｒｏｌｅ＿０００２を持つ一般従業員が出張等により大阪支社からアクセスすることを許容することもできる。このような制御も、ＩＡＭ３２０経由でアクセス制御ポリシ記憶部３２１のデータを書き換えたり、管理ツール６００Ｂ経由でアクセス制御ポリシ情報テーブル３３２を書き換えることにより実現できる。
【００６９】
また、制御装置３００が、所定の時間間隔で、ＡＣＬデータベース３３０にアクセスし、処理規則の設定要否や、既存の処理規則の妥当性を確認するようにしてもよい。このようにすることで、例えばある期間（例えば、２０１１／０４／０１〜２０１１／０６／０１）や、ある時間帯（例えば、１０：００〜１７：３０）においては、管理ツール６００Ｂへのアクセスを許容し、それ以外の期間や時間においては、管理ツール６００Ｂへのアクセスを制限するといったアクセス制限を掛けることもできる。また、これらの期間において、臨時的にアクセス権限に修正が加えられた場合には、その内容を処理規則に反映することも可能となる。もちろん、上記した位置、時間、期間を組み合わせたアクセス制限を実施することも可能である。
【００７０】
［第２の実施形態］
続いて、制御装置を複数配置した本発明の第２の実施形態について図面を参照して詳細に説明する。図１４は、本発明の第２の実施形態の通信システムの構成を表した図である。以下、本発明の第２の実施形態は、第１の実施形態と同様の構成要素にて実現可能であるので、以下、相違点を中心に説明する。
【００７１】
図１４を参照すると、３台の制御装置３００Ｄ〜３００Ｆと、これら制御装置３００Ｄ〜３００Ｆから設定された処理規則により動作する転送ノード２００Ｄ〜２００Ｆにより、それぞれ関東データセンタ、北海道データセンタ、沖縄データセンタとを構成し、それぞれを接続した構成が示されている。なお、図１４における制御装置および転送ノードの数は、本実施形態を簡単に説明するための例示であり、これらの数に限定するものではない。また、図１４では省略しているが、北海道データセンタや沖縄データセンタに認証装置３１０を配置してもよい。
【００７２】
認証装置３１０およびＩＡＭ３２０の基本的な機能は、上記した第１の実施形態の認証装置およびＩＡＭと同じである。相違するのは、本実施形態の認証装置３１０は、関東データセンタ、北海道データセンタ、沖縄データセンタを利用するユーザと認証手続を行い、その結果をＡＣＬデータベース３３０の認証情報テーブル３３１に登録する点である。
【００７３】
制御装置３００Ｄ〜３００Ｆは、それぞれＡＣＬデータベース３３０にアクセス可能となっており、配下の転送ノード２００Ｄ〜２００Ｆから処理規則の設定要求を受けると、ＡＣＬデータベース３３０に、その送信元にあたるユーザに対応するアクセス権限を問い合わせ、その結果に基づいて処理規則を設定する。なお、図１４の例では、制御装置３００Ｄ〜３００ＦとＡＣＬデータベース３３０が直接問い合わせとその応答を行うように示しているが、転送ノード２００Ｄ〜２００Ｆを介して、制御装置３００Ｄ〜３００ＦとＡＣＬデータベース３３０間の問い合わせとその応答を転送するようにしてもよい。
【００７４】
以上の本実施形態に示したように、本発明は、転送ノードやユーザの増大やこれに伴う制御装置のスケールアウトにも容易に対応することが可能である。
【００７５】
以上、本発明の各実施形態を説明したが、本発明は、上記した実施形態に限定されるものではなく、本発明の基本的技術的思想を逸脱しない範囲で、更なる変形・置換・調整を加えることができる。例えば、上記した各実施形態では、制御装置３００、認証装置３１０、ＩＡＭ３２０をそれぞれ独立して設けるものとして説明したが、これらを適宜統合した構成も採用可能である。
【００７６】
また、上記した実施形態では、ユーザ端末１００Ａ、１００Ｂが認証装置３１０に直接認証手続を行うものとして説明したが、認証手続に係る認証用パケットを転送ノード経由で認証装置に転送し、認証手続を実施する構成も採用可能である。例えば、ユーザ端末１００Ａ、１００Ｂに接続された転送ノードに、認証用パケットを特定する照合規則と当該パケットを認証装置３１０に転送するアクションを定めた処理規則を設定することで実現することが可能である。
【００７７】
最後に、本発明の好ましい形態を要約する。
【００７８】
［形態１］
前記第１の視点に記載の通信システムのとおり。
【００７９】
［形態２］
前記形態１において、
前記第２のテーブルのエントリは、ユーザに付与されるロール毎にアクセス可能または不可能な資源のグループを定義したアクセス制御ポリシ情報と、前記各グループに属する資源の詳細内容を定義したリソース情報とを用いて生成されることが好ましい。
【００８０】
［形態３］
前記形態２において、
さらに、アクセス制御ポリシ情報とリソース情報との少なくとも一方が更新された場合、前記第２のテーブルの前記更新された箇所に対応するエントリを更新するアクセスポリシ管理部を備えることが好ましい。
【００８１】
［形態４］
前記形態１から形態３いずれか一において、
前記第１のテーブルは、認証に成功したユーザのエントリが登録され、前記ユーザがログアウトすることにより、前記第１のテーブルから前記ユーザのエントリが削除されるものであることが好ましい。
【００８２】
［形態５］
前記形態１から形態４いずれか一において、
前記第１のテーブルの各エントリには有効期限が設定されており、前記データベースは、前記有効期限を経過したエントリを前記第１のテーブルから削除するものであることが好ましい。
【００８３】
［形態６］
前記形態１から形態５いずれか一において、
さらに、
ユーザ認証を行なって、前記第１のテーブルを更新する認証装置と、
前記第２のテーブルの更新内容の入力を受け付けて、前記第２のテーブルを更新するポリシ管理端末と、を含むことが好ましい。
【００８４】
［形態７］
前記形態１から形態６いずれか一において、
前記制御装置は、前記データベースからの応答に基づいて、所定の転送ノードに、前記送信元にあたるユーザからアクセスが禁じられた資源へのパケットを廃棄させる処理規則を設定することが好ましい。
【００８５】
［形態８］
前記形態１から形態７いずれか一において、
前記データベースからの応答には、前記送信元にあたるユーザが前記資源へのアクセス可能または不可能な位置情報が含まれており、
前記制御装置は、前記転送ノードから前記処理規則の設定要求を受けた場合、前記処理規則の設定要求を受けた転送ノードのほか、前記位置情報に対応する転送ノードに、前記資源へのアクセスまたはアクセスを禁じる処理規則を設定することが好ましい。
【００８６】
［形態９］
前記第２の視点に記載のデータベースのとおり。
【００８７】
［形態１０］
前記第３の視点に記載の制御装置のとおり。
【００８８】
［形態１１］
前記第４の視点に記載の通信方法のとおり。
【００８９】
［形態１２］
前記第５の視点に記載のプログラムのとおり。
【００９０】
なお、前記データベース、制御装置、通信方法およびプログラムは、形態１の通信システムと同様に、形態２〜形態８と同様に展開することが可能である。
【００９１】
なお、上記の特許文献および非特許文献の各開示を、本書に引用をもって繰り込むものとする。本発明の全開示（請求の範囲を含む）の枠内において、さらにその基本的技術思想に基づいて、実施形態の変更・調整が可能である。また、本発明の請求の範囲の枠内において種々の開示要素（各請求項の各要素、各実施例の各要素、各図面の各要素等を含む）の多様な組み合わせ、ないし選択が可能である。すなわち、本発明は、請求の範囲を含む全開示、技術的思想にしたがって当業者であればなし得るであろう各種変形、修正を含むことは勿論である。
【符号の説明】
【００９２】
１１  ノード通信部
１２  制御メッセージ処理部
１３  処理規則管理部
１４  処理規則記憶部
１５  転送ノード管理部
１６  処理規則作成部
１７  トポロジ管理部
１８  端末位置管理部
１９  ＡＣＬ情報照会部
１００、１００Ａ、１００Ｂ  ユーザ端末
２００Ａ〜２００Ｆ  転送ノード
２０１  転送ノード群
３００、３００Ｄ〜３００Ｆ  制御装置
３１０  認証装置
３２０  統合アクセス管理装置（ＩＡＭ）
３２１  アクセス制御ポリシ記憶部
３２２  リソース情報記憶部
３２３  アクセス制御ポリシ管理部
３３０  ＡＣＬデータベース
３３０Ａ  データベース
３３１  認証情報テーブル（第１のテーブル）
３３２  アクセス制御ポリシ情報テーブル（第２のテーブル）
３４０  ポリシ管理端末
６００  ネットワーク資源
６００Ａ  業務サーバ
６００Ｂ  管理ツール
【図１】
2012115058.tif 000003
【図２】
2012115058.tif 000004
【図３】
2012115058.tif 000005
【図４】
2012115058.tif 000006
【図５】
2012115058.tif 000007
【図６】
2012115058.tif 000008
【図７】
2012115058.tif 000009
【図８】
2012115058.tif 000010
【図９】
2012115058.tif 000011
【図１０】
2012115058.tif 000012
【図１１】
2012115058.tif 000013
【図１２】
2012115058.tif 000014
【図１３】
2012115058.tif 000015
【図１４】
2012115058.tif 000016
【図１５】
2012115058.tif 000017
【国際調査報告】
2012115058.tif 000018
2012115058.tif 000019