(57)【要約】【課題】ネットワーク上のキー管理サーバに接続して復号キーを取得して暗号化されたディスクを復号化して起動する場合において、キー管理サーバに接続できないときでも起動を可能とする。【解決手段】仮想デバイス１０は、ネットワーク１８を介してライセンス管理サーバ１２に接続して復号鍵を取得し、暗号イメージ部１０ｂを復号して仮想デバイス１０の機能を実現する。ＩＳＰが旧ＩＳＰ１４から新ＩＳＰ１６に変更されライセンス管理サーバ１２に接続できない場合、起動制御部１０ｃは接続情報変更部１０ｅを起動して接続情報保持部１０ｄに保持されているＩＳＰの接続情報１０ｄ１の変更を可能とする。【選択図】図４
2020043493.tif 000002
【特許請求の範囲】
【請求項１】
ネットワーク上のキー管理サーバに接続するための接続情報を記憶する記憶部と、
前記接続情報を用いて前記キー管理サーバに接続して復号キーを取得する復号部と、
前記復号部で前記キー管理サーバに接続できない場合に、前記復号キーで復号されることなく起動され、前記接続情報を変更して前記記憶部に格納する変更部と、
を備えるネットワーク装置。
【請求項２】
前記復号部を起動し、前記復号部で前記キー管理サーバに接続できない場合に前記変更部を起動し、前記変更部で前記接続情報を変更した後に前記復号部を再起動する起動制御部と、
を備える請求項１に記載のネットワーク装置。
【請求項３】
前記変更部は暗号化されておらず、起動された場合にユーザ操作を受け付けて前記接続情報の変更を行う
請求項１に記載のネットワーク装置。
【請求項４】
前記記憶部は、変更前の接続情報と変更後の接続情報を記憶し、
前記復号部は、変更後の接続情報を用いて前記キー管理サーバに接続して復号キーを取得できない場合に、前記変更前の接続情報を用いて前記キー管理サーバに接続する
請求項１に記載のネットワーク装置。
【請求項５】
コンピュータを、
ネットワーク上のキー管理サーバに接続するための接続情報を記憶する記憶部と、
前記接続情報を用いて前記キー管理サーバに接続して復号キーを取得する復号部と、
前記復号部で前記キー管理サーバに接続できない場合に、前記復号キーで復号されることなく起動され、前記接続情報を変更して前記記憶部に格納する変更部
として機能させるためのプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ネットワーク装置及びプログラムに関する。    
【背景技術】
【０００２】
特許文献１には、仮想マシン全体のコピーが消失したり盗まれたりするような、仮想マシンのセキュリティが破られるリスクを防止する技術が記載されている。クラウド上に暗号化された仮想ディスクの形態で仮想マシンを配置し、キー管理サーバからディスクラッピングキーを取得して、暗号化されたディスクを復号化して動作する。仮想ディスクが非暗号化プリブート環境を含み、キー管理サーバからのディスクラッピングキーをプリブート環境で取得する。
【０００３】
特許文献２には、シンクライアントシステムの安定稼働とセキュリティを担保する技術が記載されている。非暗号化領域（ＯＳ１）と暗号化領域（ＯＳ２）に、それぞれ別のＯＳを格納し、管理サーバにより、いずれのＯＳを起動するか切り替える。ＯＳ２の場合には、管理サーバからＯＳ２の復号鍵を取得し、復号してメモリに展開する。
【０００４】
特許文献３には、プロセッサが、仮想イメージを受信すると、復号マスター・ブート・レコード及び復号プログラムを仮想ディスクに書き込み、仮想イメージの少なくとも一部を暗号化することが記載されている。    
【先行技術文献】
【特許文献】
【０００５】
【特許文献１】特開２０１２−１９０４４１号公報
【特許文献２】特許第６０２４８２１号
【特許文献３】特許第５９０４５０５号
【発明の概要】
【発明が解決しようとする課題】
【０００６】
クラウド上に暗号化された仮想ディスクとして仮想マシン（ＶＭ）を配置し、ネットワーク上のキー管理サーバに接続して復号キーを取得して暗号化されたディスクを復号化して起動する場合、キー管理サーバに接続できないと復号キーを取得できず、暗号化されたディスクを復号化できないので起動できなくなる。特に、インターネットサービスプロバイダ（ＩＳＰ）経由でキー管理サーバに接続する場合において、何らかの理由でＩＳＰを変更したときに、ＩＳＰの変更に伴って新たなＩＳＰに接続するための接続情報も変更する必要があるところ、接続情報の変更がなされていないとキー管理サーバに接続できなくなり、暗号化されたディスクを復号化できない。
【０００７】
本発明は、ネットワーク上のキー管理サーバに接続して復号キーを取得して暗号化されたディスクを復号化して起動する場合において、キー管理サーバに接続できないときでも起動を可能とする技術を提供することを目的とする。  
【課題を解決するための手段】
【０００８】
請求項１に記載の発明は、ネットワーク上のキー管理サーバに接続するための接続情報を記憶する記憶部と、前記接続情報を用いて前記キー管理サーバに接続して復号キーを取得する復号部と、前記復号部で前記キー管理サーバに接続できない場合に、前記復号キーで復号されることなく起動され、前記接続情報を変更して前記記憶部に格納する変更部とを備えるネットワーク装置である。  
【０００９】
請求項２に記載の発明は、前記復号部を起動し、前記復号部で前記キー管理サーバに接続できない場合に前記変更部を起動し、前記変更部で前記接続情報を変更した後に前記復号部を再起動する起動制御部とを備える請求項１に記載のネットワーク装置である。
【００１０】
請求項３に記載の発明は、前記変更部は暗号化されておらず、起動された場合にユーザ操作を受け付けて前記接続情報の変更を行う請求項１に記載のネットワーク装置である。
【００１１】
請求項４に記載の発明は、前記記憶部は、変更前の接続情報と変更後の接続情報を記憶し、前記復号部は、変更後の接続情報を用いて前記キー管理サーバに接続して復号キーを取得できない場合に、前記変更前の接続情報を用いて前記キー管理サーバに接続する請求項１に記載のネットワーク装置である。
【００１２】
請求項５に記載の発明は、コンピュータを、ネットワーク上のキー管理サーバに接続するための接続情報を記憶する記憶部と、前記接続情報を用いて前記キー管理サーバに接続して復号キーを取得する復号部と、前記復号部で前記キー管理サーバに接続できない場合に、前記復号キーで復号されることなく起動され、前記接続情報を変更して前記記憶部に格納する変更部として機能させるためのプログラムである。
【発明の効果】
【００１３】
請求項１，２，５に記載の発明によれば、ネットワーク上のキー管理サーバに接続して復号キーを取得して暗号化されたディスクを復号化して起動する場合において、キー管理サーバに接続できないときでも起動し得る。
【００１４】
請求項３に記載の発明によれば、さらに、ユーザ操作により起動し得る。
【００１５】
請求項４に記載の発明によれば、さらに、変更前の接続情報を用いて起動を試行し得る。
【図面の簡単な説明】
【００１６】
【図１】実施形態の前提システム構成図である。
【図２】実施形態の前提システムにおける処理の流れを示す説明図（その１）である。
【図３】実施形態の前提システムにおける処理の流れを示す説明図（その２）である。
【図４】実施形態のシステム構成図である。
【図５】実施形態のシステムにおける処理の流れを示す説明図である。
【図６Ａ】実施形態の処理フローチャート（その１）である。
【図６Ｂ】実施形態の処理フローチャート（その２）である。
【発明を実施するための形態】
【００１７】
以下、図面に基づき本発明の実施形態について説明する。
【００１８】
図１は、本実施形態において前提となるシステム構成を示す。クラウド上に暗号化された仮想ディスクとして仮想マシン（ＶＭ）を配置し、ネットワーク上のキー管理サーバに接続して復号キー（以下、適宜「復号鍵」と称する）を取得して暗号化されたディスクを復号化して起動するシステムである。但し、本発明は、必ずしもクラウド上に限定されるわけではなく、一般的な仮想マシンに適用し得る。
【００１９】
プログラムまたはデータを許可なしでコピーを行うことからコンピュータシステムを保護する目的で、「フルディスク暗号化」技術が知られている。コンピュータがアクティブ状態になっていないとき、不揮発性ストレージ（例えばＨＤＤ（ハードディスク））は、小さなプリブート環境を除いて暗号化される。プリブート環境は、ブートローダを有しており、実行して１以上のデータ復号鍵を取得して、ハードディスクの残り部分を復号化する。
【００２０】
なお、「仮想マシン」とは、特許文献１に記載されているように、ホストコンピュータの一部分内で稼働する環境である。仮想マシンは、仮想化ＯＳあるいは仮想化制御プログラムであるハイパーバイザにより実現され、ハイパーバイザは、仮想マシンからホストコンピュータのハードウェアリソースへのアクセスを提供し、管理する。仮想マシンは、仮想マシン内で稼働しているプロセスを、ホストコンピュータ内で稼働しているプロセスから分離し得る。また、仮想マシンは、クラウド上で実現され得る。クラウドでは、サービスプロバイダが、インターネット等を介してアクセス可能なサーバを管理し、クライアントにサーバ上のリソースを割り当てる。提供されるリソースには、クライアントのデータの保存や処理、仮想マシン全体の実行制御を含む。
【００２１】
本実施形態のシステムは、仮想デバイス１０、ライセンス管理サーバ１２を備える。仮想デバイス１０及びライセンス管理サーバ１２は、インターネット等のネットワーク１８に接続される。仮想デバイス１０は、ホストコンピュータ上にハイパーバイザによって実現され、ＩＳＰを介してネットワーク１８に接続される。図では、ＩＳＰとして旧ＩＳＰ１４及び新ＩＳＰ１６が示されているが、これは仮想デバイス１０からライセンス管理サーバ１２に接続するためのＩＳＰが変更されることを示す。すなわち、仮想デバイス１０は、あるタイミングで旧ＩＳＰ１４から新ＩＳＰ１６にＩＳＰを変更してライセンス管理サーバ１２に接続する。
【００２２】
仮想デバイス１０は、機能ブロックとして、暗号イメージ復号部１０ａ、暗号イメージ部１０ｂ、起動制御部１０ｃ、及び接続情報保持部１０ｄを備える。
【００２３】
暗号イメージ復号部１０ａは、復号部として機能し、暗号イメージ部１０ｂを復号化するための復号鍵をライセンス管理サーバ１２から取得して暗号イメージ部１０ｂを復号化する。暗号イメージ復号部１０ａは、回線接続・復号鍵取得部１０ａ１と、暗号イメージ復号部１０ａ２を備える。回線接続・復号鍵取得部１０ａ１は、ＩＳＰ及びネットワーク１８を介してライセンス管理サーバ１２に接続し、ライセンス管理サーバ１２から復号鍵を取得する。回線接続・復号鍵取得部１０ａ１は、接続情報保持部１０ｄに保持されたＩＳＰの接続情報を用いてＩＳＰに接続することでライセンス管理サーバ１２に接続する。暗号イメージ復号部１０ａ２は、回線接続・復号鍵取得部１０ａ１で取得した復号鍵を用いて暗号イメージ部１０ｂを復号化する。暗号イメージ復号部１０ａは、暗号化されていない。
【００２４】
暗号イメージ部１０ｂは、仮想デバイス１０の機能を提供するためのブロックである。暗号イメージ部１０ｂは、技術漏洩や第３者からの攻撃を抑制するために暗号化される。図において、暗号イメージ部１０ｂに鍵の図形が付されているのは、このブロックが暗号化されていることを示す。暗号イメージ部１０ｂは、回線接続部１０ｂ１及び接続情報変更部１０ｂ２を備える。回線接続部１０ｂ１は、復号化されて動作状態にあるときに、仮想デバイス１０でサービスを提供するためにネットワーク１８に接続する。接続情報変更部１０ｂ２は、復号化されて動作状態にあるときに、ＩＳＰ変更等において接続情報保持部１０ｄに保持されている接続情報を変更する。
【００２５】
起動制御部１０ｃは、ブートローダであり、起動するパーティションを制御する。起動制御部１０ｃは、起動制御情報１０ｃ１を備えており、この起動制御情報１０ｃ１に従って仮想デバイス１０を起動する。起動制御情報１０ｃ１は、起動パーティションの情報を保持する。起動制御部１０ｃは、暗号化されていない。
【００２６】
接続情報保持部１０ｄは、記憶部として機能し、ＩＳＰに接続するための接続情報１０ｄ１を保持する。接続情報１０ｄ１は、ＩＳＰのＩＰアドレスやＩＤ、パスワード等である。接続情報保持部１０ｄは、暗号化されていない。
【００２７】
ライセンス管理サーバ１２は、キー管理サーバであり、復号鍵発行部１２ａと、デバイス認証部１２ｂを備える。復号鍵発行部１２ａは、仮想デバイス１０からの要求に応じて復号鍵を発行する。デバイス認証部１２ｂは、アクセスしてきた仮想デバイス１０を認証し、認証できた仮想デバイス１０に対して復号鍵発行部１２ａでの復号鍵の発行を許可する。
【００２８】
仮想デバイス１０は、ホストコンピュータ上に実現されるが、ホストコンピュータは、１または複数のプロセッサ、ＲＯＭ、ＲＡＭ、入出力インターフェイス、入力装置、出力装置、通信インターフェイス、及びＨＤＤ（ハードディスクドライブ）やＳＳＤ（ソリッドステートドライブ）等の記憶装置を備える。１または複数のプロセッサは、ＲＯＭあるいは記憶装置に記憶された制御プログラム（ハイパーバイザ）を実行することで仮想デバイス１０の暗号イメージ復号部１０ａ及び起動制御部１０ｃを実現し、記憶装置上に暗号イメージ部１０ｂ及び接続情報保持部１０ｄを実現する。
【００２９】
図２は、変更前の旧ＩＳＰ１４を用いて仮想デバイス１０がライセンス管理サーバ１２に接続して復号鍵を取得し、暗号イメージ部１０ｂを復号化するまでの処理の流れを示す。
【００３０】
第１ステップ：
起動制御部１０ｃは、起動制御情報１０ｃ１に従って暗号イメージ復号部１０ａを起動処理する。
【００３１】
第２ステップ：
暗号イメージ復号部１０ａの回線接続・復号鍵取得部１０ａ１は、接続情報保持部１０ｄにアクセスして旧ＩＳＰ１４の接続情報１０ｄ１を取得する。
【００３２】
第３ステップ：
暗号イメージ復号部１０ａの回線接続・復号鍵取得部１０ａ１は、接続情報を用いて旧ＩＳＰ１４に接続することでライセンス管理サーバ１２に接続し、復号鍵を取得する。
【００３３】
第４ステップ：
暗号イメージ復号部１０ａの暗号イメージ復号部１０ａ２は、取得した復号鍵を用いて暗号イメージ部１０ｂを復号する。
【００３４】
他方、図３は、ＩＳＰが旧ＩＳＰ１４から新ＩＳＰ１６に変更された後の処理の流れを示す。ＩＳＰが旧ＩＳＰ１４から新ＩＳＰ１６に変更されたものの、接続情報保持部１０ｄに保持された接続情報は旧ＩＳＰ１４の接続情報のままであるとする。
【００３５】
第１ステップ及び第２ステップは、図２と同様である。すなわち、
第１ステップ：
起動制御部１０ｃは、起動制御情報１０ｃ１に従って暗号イメージ復号部１０ａを起動処理する。
【００３６】
第２ステップ：
暗号イメージ復号部１０ａの回線接続・復号鍵取得部１０ａ１は、接続情報保持部１０ｄにアクセスして旧ＩＳＰ１４の接続情報１０ｄ１を取得する。
【００３７】
しかし、第１ステップで取得した接続情報１０ｄ１は、旧ＩＳＰ１４の接続情報であるため、この接続情報を用いて新ＩＳＰ１６に接続することができず、ライセンス管理サーバ１２にも接続できない。従って、回線接続・復号鍵取得部１０ａ１はライセンス管理サーバ１２から復号鍵を取得することができず、暗号イメージ部１０ｂを復号化することもできない。この場合、仮想デバイス１０の機能を起動することができず、必要なサービスを提供できないことになる。図において、第３ステップ及び第４ステップがともに実行されないことを×印で示す。
【００３８】
そこで、本実施形態では、ＩＳＰが旧ＩＳＰ１４から新ＩＳＰ１６に変更され、かつ、接続情報保持部１０ｄに保持された接続情報が旧ＩＳＰ１４の接続情報のままであるとしても、新ＩＳＰ１６への接続を可能としてライセンス管理サーバ１２に接続し、復号鍵を取得する構成を採用する。
【００３９】
図４は、本実施形態におけるシステム構成を示す。図１に示す前提構成に対し、仮想デバイス１０が、暗号イメージ復号部１０ａ、暗号イメージ部１０ｂ、起動制御部１０ｃ、及び接続情報保持部１０ｄを備えることに加え、さらに、接続情報変更部１０ｅを備える。
【００４０】
接続情報変更部１０ｅは、変更部として機能し、回線障害対応ブロックであって暗号化されていないフェイルセーフパーティションを提供する。暗号イメージ復号部１０ａで復号鍵を取得できない場合、起動制御部１０ｃは、フェイルセーフパーティションとしての接続情報変更部１０ｅを起動し、接続情報保持部１０ｄに保持されている接続情報１０ｄ１の変更を可能とする。
【００４１】
ユーザは、仮想デバイス１０の入力装置（キーボードやマウス）及び表示装置を用いて接続情報１０ｄ１を旧ＩＳＰ１４の情報から新ＩＳＰ１６の情報へと変更（更新）する。その後、起動制御部１０ｃは、再び暗号イメージ復号部１０ａを起動し、図２に示す手順で復号鍵を取得する。
【００４２】
暗号イメージ部１０ｂが復号化された場合、復号化された暗号イメージ部１０ｂの接続情報変更部１０ｂ２は動作状態にあるのでＩＳＰが変更された場合にもこれに対応して接続情報保持部１０ｄに保持された接続情報１０ｄ１を変更することが可能であるが、そもそも復号鍵を取得できず暗号イメージ部１０ｂを復号化できない場合には、接続情報変更部１０ｂ２も停止状態にあるので接続情報１０ｄ１を変更できない。この意味で、接続情報変更部１０ｅは、暗号イメージ部１０ｂが復号化されずに停止状態にある場合に、接続情報変更部１０ｂ２を代替して接続情報を変更するブロックである。
【００４３】
図５は、変更後の新ＩＳＰ１６を用いて仮想デバイス１０がライセンス管理サーバ１２に接続して復号鍵を取得し、暗号イメージ部１０ｂを復号化するまでの処理の流れを示す。
【００４４】
図４に示すように、ライセンス管理サーバ１２に接続することができず、復号鍵を取得できない状態からの処理の流れである。
【００４５】
第１ステップ：
起動制御部１０ｃは、起動制御情報１０ｃ１に従って暗号イメージ復号部１０ａを起動処理する。
【００４６】
第２ステップ：
暗号イメージ復号部１０ａの回線接続・復号鍵取得部１０ａ１は、接続情報保持部１０ｄにアクセスして旧ＩＳＰ１４の接続情報１０ｄ１を取得する。
【００４７】
第３ステップ：
暗号イメージ復号部１０ａの回線接続・復号鍵取得部１０ａ１は、接続情報を用いて旧ＩＳＰ１４に接続しようとするが、旧ＩＳＰ１４は新ＩＳＰ１６に変更されているのでライセンス管理サーバ１２に接続できず、復号鍵を取得できない。
【００４８】
第４ステップ：
暗号イメージ復号部１０ａの暗号イメージ復号部１０ａ２は、暗号イメージ部１０ｂを復号できない。
【００４９】
第５ステップ：
図示するように、起動制御部１０ｃは、回線接続できないことを検知すると、起動制御情報１０ｃ１を通常の暗号イメージ復号部１０ａからフェイルセーフパーティションに変更して再起動する。これにより、暗号イメージ復号部１０ａではなく、接続情報変更部１０ｅが起動する。
【００５０】
第６ステップ：
起動した接続情報変更部１０ｅを用いて、ユーザが旧ＩＳＰ１４の接続情報を新ＩＳＰ１６の接続情報に変更する。すなわち、接続情報として、新ＩＳＰ１６のＩＤ及びパスワードを入力して接続情報保持部１０ｄに新たな接続情報１０ｄ１として保持する。
【００５１】
第７ステップ：
起動制御部１０ｃは、起動制御情報１０ｃ１に従って暗号イメージ復号部１０ａを起動処理する。
【００５２】
第８ステップ：
暗号イメージ復号部１０ａの回線接続・復号鍵取得部１０ａ１は、接続情報保持部１０ｄにアクセスして新ＩＳＰ１６の接続情報１０ｄ１を取得する。
【００５３】
第９ステップ：
暗号イメージ復号部１０ａの回線接続・復号鍵取得部１０ａ１は、接続情報を用いて新ＩＳＰ１６に接続することでライセンス管理サーバ１２に接続し、復号鍵を取得する。
【００５４】
第１０ステップ：
暗号イメージ復号部１０ａの暗号イメージ復号部１０ａ２は、取得した復号鍵で暗号イメージ部１０ｂを復号する。
【００５５】
このように、起動制御部１０ｃによって起動される接続情報変更部１０ｅを備え、この接続情報変更部１０ｅにより接続情報を書き換えることで、暗号イメージ復号部１０ａによる新ＩＳＰ１６への接続が可能となる。接続情報変更部１０ｅは、暗号イメージ部１０ｂが暗号化されたままで、仮想デバイス１０が停止状態にあるときにフェイルセーフモードとして起動されるブロックであり、接続情報の変更を実行する非暗号化ブロックといえる。なお、接続情報変更部１０ｅは、暗号化されていないブロックであるため、セキュリティ上の観点から接続情報の変更のみを実行し、それ以外の機能は実行しないとするのが望ましい。
【００５６】
図６Ａ及び図６Ｂは、本実施形態の全体処理フローチャートを示す。
【００５７】
まず、図６Ａにおいて、仮想デバイス１０を起動する際には、起動制御部１０ｃは、起動制御情報１０ｃ１に従って暗号イメージ復号部１０ａを起動する（Ｓ１０１）。起動制御情報１０ｃ１には、通常モードの起動制御情報と異常モードの起動制御情報があり、通常モードの起動制御情報では暗号イメージ復号部１０ａが規定され、異常モードの起動制御情報では接続情報変更部１０ｅが規定される。
【００５８】
次に、暗号イメージ復号部１０ａが起動すると、回線接続・復号鍵取得部１０ａ１は、接続情報保持部１０ｄにアクセスして接続情報１０ｄ１を取得し（Ｓ１０２）、この接続情報１０ｄ１を用いてライセンス管理サーバ１２に接続する（Ｓ１０３）。
【００５９】
仮想デバイス１０が利用可能なＩＳＰの情報がＳ１０２で取得した接続情報１０ｄ１と一致している、例えば利用可能なＩＳＰが旧ＩＳＰ１４であり、接続情報１０ｄ１が旧ＩＳＰ１４のＩＤ及びパスワードであれば、回線接続・復号鍵取得部１０ａ１はＩＳＰを介してライセンス管理サーバ１２に接続できる。また、利用可能なＩＳＰが新ＩＳＰ１６であり、接続情報１０ｄ１が新ＩＳＰ１６のＩＤ及びパスワードであれば、回線接続・復号鍵取得部１０ａ１はＩＳＰを介してライセンス管理サーバ１２に接続できる。他方、仮想デバイス１０が利用可能なＩＳＰの情報がＳ１０２で取得した接続情報１０ｄ１と一致していない、例えば、利用可能なＩＳＰが新ＩＳＰ１６であるにもかかわらず接続情報１０ｄ１が旧ＩＳＰ１４のＩＤ及びパスワードであれば、回線接続・復号鍵取得部１０ａ１はＩＳＰを介してライセンス管理サーバ１２に接続できない。
【００６０】
次に、回線接続・復号鍵取得部１０ａ１は、ライセンス管理サーバ１２に接続できたか否かを判定する（Ｓ１０４）。接続できた場合（Ｓ１０４でＹＥＳ）、ライセンス管理サーバ１２のデバイス認証部１２ｂは、仮想デバイス１０を認証し（Ｓ１０５）、認証に成功すると、復号鍵発行部１２ａは復号鍵を発行する。回線接続・復号鍵取得部１０ａ１は、発行された復号鍵を取得して暗号イメージ復号部１０ａ２に供給する。暗号イメージ復号部１０ａ２は、取得した復号鍵を用いて暗号イメージ部１０ｂを復号化する（Ｓ１０６）。復号化された暗号イメージ部１０ｂは、仮想デバイス１０の機能として各種クラウドサービスを提供する（Ｓ１０７）。すなわち、復号化された暗号イメージ部１０ｂの回線接続部１０ｂ１は、接続情報保持部１０ｄに保持された接続情報１０ｄ１を用いてネットワーク１８に接続し、各種クラウドサービスを提供する。ＩＳＰが変更された場合には、接続情報変更部１０ｂ２は接続情報保持部１０ｄに保持された接続情報１０ｄ１を変更する。
【００６１】
他方、ライセンス管理サーバ１２に接続できない場合（Ｓ１０４でＮＯ）、図６Ｂの処理に移行する。
【００６２】
図６Ｂにおいて、起動制御部１０ｃは、回線接続・復号鍵取得部１０ａ１からの通知により接続できないことを検知すると、起動制御情報１０ｃ１を通常モードから異常モードに切り替えてフェイルセーフパーティションに変更し（Ｓ１０８）、仮想デバイス１０を再起動する（Ｓ１０９）。
【００６３】
仮想デバイス１０の再起動後、起動制御部１０ｃは、起動制御情報１０ｃ１に従って暗号イメージ復号部１０ａに代えて接続情報変更部１０ｅを起動する（Ｓ１１０）。接続情報変更部１０ｅは、起動されると仮想デバイス１０の表示部に接続情報を変更するための入力画面を表示し、ユーザ、具体的には仮想デバイス１０の管理者に接続情報の変更を促す。入力画面には、現在の接続情報１０ｄ１の内容を表示してもよい。仮想デバイス１０の管理者は、キーボードやマウス等の入力装置を用いて入力画面に変更後の接続情報を入力して接続情報保持部１０ｄに格納する（Ｓ１１１）。仮想デバイス１０の管理者は、ネットワーク１８を介して仮想デバイス１０に接続された管理者端末を用いて接続情報を変更し、接続情報保持部１０ｄに格納してもよい。
【００６４】
接続情報が変更されると、起動制御部１０ｃは、起動制御情報を異常モードから通常モードに復帰させ、フェイルセーフパーティションから暗号イメージ復号部１０ａに変更する（Ｓ１１２）。その後、仮想デバイス１０を再起動する（Ｓ１１３）。再起動後は、図６ＡのＳ１０１以降の処理を実行する。
【００６５】
すなわち、起動制御部１０ｃは、起動制御情報１０ｃ１に従って暗号イメージ復号部１０ａを起動する（Ｓ１０１）。
【００６６】
次に、暗号イメージ復号部１０ａが起動すると、回線接続・復号鍵取得部１０ａ１は、接続情報保持部１０ｄにアクセスして接続情報１０ｄ１を取得し（Ｓ１０２）、この接続情報１０ｄ１を用いてライセンス管理サーバ１２に接続する（Ｓ１０３）。
【００６７】
そして、接続できた否かを判定し（Ｓ１０４）、接続できた場合には、ライセンス管理サーバ１２のデバイス認証部１２ｂは、仮想デバイス１０を認証し（Ｓ１０５）、認証に成功すると、復号鍵発行部１２ａは復号鍵を発行する。回線接続・復号鍵取得部１０ａ１は、発行された復号鍵を取得して暗号イメージ復号部１０ａ２に供給する。暗号イメージ復号部１０ａ２は、取得した復号鍵を用いて暗号イメージ部１０ｂを復号化する（Ｓ１０６）。復号化された暗号イメージ部１０ｂは、仮想デバイス１０の機能として各種クラウドサービスを提供する（Ｓ１０７）。
【００６８】
なお、Ｓ１０８〜Ｓ１１３の処理で接続情報を変更したにもかかわらず、Ｓ１０４の判定処理でＮＯ、つまり変更後の接続情報でもライセンス管理サーバ１２に接続できない場合には、再び図６Ｂの処理を繰り返す。接続できない場合のリトライ回数に上限を設けてもよい。
【００６９】
以上、本発明の実施形態について説明したが、本発明はこれに限定されるものではなく、種々の変形が可能である。以下、変形例について説明する。
【００７０】
＜変形例１＞
実施形態では、ライセンス管理サーバ１２に接続できない場合に、接続情報変更部１０ｅを起動して接続情報を変更し得る構成であるが、この接続情報変更部１０ｅにおいて過去の変更履歴を保持しておき、接続情報を変更してもなおライセンス管理サーバ１２に接続できない場合に、過去の変更履歴の中から所望の接続情報を選択し得るように構成してもよい。例えば、旧ＩＳＰ１４の接続情報から新ＩＳＰ１６の接続情報に変更した後、再び旧ＩＳＰ１４の接続情報に戻す等である。
【００７１】
＜変形例２＞
実施形態では、暗号イメージ復号部１０ａとは別に接続情報変更部１０ｅを設けているが、暗号イメージ復号部１０ａの一つの機能として接続情報変更部１０ｅを設けてもよい。暗号イメージ復号部１０ａは、通常モードにおいて常に起動するブロックであり、かつ、その容量も相対的に小さいことから、セキュリティを重視する観点からは、暗号イメージ復号部１０ａとは別に接続情報変更部１０ｅを設けることが望ましいといえるが、かかる構成も排除されない。
【符号の説明】
【００７２】
１０  仮想デバイス、１２  ライセンス管理サーバ、１４  旧ＩＳＰ（インターネットサービスプロバイダ）、１６  新ＩＳＰ、１８  ネットワーク。
【図１】
2020043493.tif 000003
【図２】
2020043493.tif 000004
【図３】
2020043493.tif 000005
【図４】
2020043493.tif 000006
【図５】
2020043493.tif 000007
【図６Ａ】
2020043493.tif 000008
【図６Ｂ】
2020043493.tif 000009