(57)【要約】【課題】ラベルを利用した仮想マシンからリソースへの強制アクセス制御を実行することを可能とする。【解決手段】  アクセス制御システムが備える管理ドメイン２が、ドメイン３毎及びリソース４毎に仮想ファイルを生成し、生成された仮想ファイルに対するラベル付与の可否を判断し、ラベル付与の可否の判断結果に基づいて、ドメイン３及びリソース４へ付与されるラベル内容を決定する。そして、ハイパーバイザ１が、ドメイン３に付与されるラベルとリソース４に付与されるラベルとに基づき、アクセス制御規則１５を用いて、ドメイン３からリソース４へのアクセスを制御する。【選択図】図１
2010055224.tif 000002
【特許請求の範囲】
【請求項１】
資源を有する情報処理装置上に構築された仮想マシンから前記資源へのアクセスを制御する情報処理装置のアクセス制御システムであって、
仮想マシンに付与されるラベルと資源に付与されるラベルとを用いて、仮想マシンから資源へのアクセスを制御する仮想マシンモニタと、
仮想マシン毎及び資源毎に仮想ファイルを生成し、生成された仮想ファイルに対するラベル付与の可否を判断し、前記ラベル付与の可否の判断結果に基づいて、前記仮想マシン及び資源へ付与されるラベル内容を決定するラベル付与可否判断手段とを備える
ことを特徴とするアクセス制御システム。
【請求項２】
前記ラベル付与可否判断手段が、役割ベースアクセス制御を実行して前記仮想ファイルに対するラベル付与の可否を判断する役割ベースアクセス制御手段を備える
ことを特徴とする請求項１記載のアクセス制御システム。
【請求項３】
前記仮想マシンモニタが、更に、
予め記憶手段に記憶された、前記仮想マシンに付与されるラベルと前記資源に付与されるラベルと前記仮想マシンから前記資源へアクセスするときの情報の伝送品質に関する条件との対応情報に基づいて、前記仮想マシンから前記資源へアクセスするときの情報の伝送品質を制御する
ことを特徴とする請求項１記載のアクセス制御システム。
【請求項４】
資源を有する情報処理装置上に構築された仮想マシンから前記資源へのアクセスを制御する情報処理装置のアクセス制御方法であって、
仮想マシン毎及び資源毎に仮想ファイルを生成し、生成された仮想ファイルに対するラベル付与の可否を判断し、前記ラベル付与の可否の判断結果に基づいて、前記仮想マシン及び資源へ付与されるラベル内容を決定し、
前記仮想マシン及び資源へ付与されるラベル内容に基づいて、前記仮想マシンから資源へのアクセス制御を行う
ことを特徴とするアクセス制御方法。
【請求項５】
役割ベースアクセス制御を実行して前記仮想ファイルに対するラベル付与の可否を判断する
ことを特徴とする請求項４記載のアクセス制御方法。
【請求項６】
予め記憶手段に記憶された、前記仮想マシンに付与されるラベルと前記資源に付与されるラベルと前記仮想マシンから前記資源へアクセスするときの情報の伝送品質に関する条件との対応情報に基づいて、前記仮想マシンから前記資源へアクセスするときの情報の伝送品質を制御する
ことを特徴とする請求項４記載のアクセス制御方法。
【請求項７】
資源を有する情報処理装置上に構築された仮想マシンから前記資源へのアクセスを制御する情報処理装置のアクセス制御プログラムであって、
前記情報処理装置に、
仮想マシン毎及び資源毎に仮想ファイルを生成し、生成された仮想ファイルに対するラベル付与の可否を判断し、前記ラベル付与の可否の判断結果に基づいて、前記仮想マシン及び資源へ付与されるラベル内容を決定する処理と、
前記仮想マシン及び資源へ付与されるラベル内容に基づいて、前記仮想マシンから資源へのアクセス制御を行う処理とを実行させる
ことを特徴とするアクセス制御プログラム。
【請求項８】
前記アクセス制御プログラムはさらに、
前記情報処理装置に、
役割ベースアクセス制御を実行して前記仮想ファイルに対するラベル付与の可否を判断する処理を実行させる
ことを特徴とする請求項７記載のアクセス制御プログラム。
【請求項９】
前記アクセス制御プログラムはさらに、
前記情報処理装置に、
予め記憶手段に記憶された、前記仮想マシンに付与されるラベルと前記資源に付与されるラベルと前記仮想マシンから前記資源へアクセスするときの情報の伝送品質に関する条件との対応情報に基づいて、前記仮想マシンから前記資源へアクセスするときの情報の伝送品質を制御する処理を実行させる
ことを特徴とする請求項７記載のアクセス制御プログラム。
【請求項１０】
資源を有する情報処理装置上に構築された仮想マシンから前記資源へのアクセスを制御するプログラムを記録したコンピュータ読取可能な記録媒体であって、
前記情報処理装置に、
仮想マシン毎及び資源毎に仮想ファイルを生成し、生成された仮想ファイルに対するラベル付与の可否を判断し、前記ラベル付与の可否の判断結果に基づいて、前記仮想マシン及び資源へ付与されるラベル内容を決定する処理と、
前記仮想マシン及び資源へ付与されるラベル内容に基づいて、前記仮想マシンから資源へのアクセス制御を行う処理とを実行させる
ことを特徴とするアクセス制御プログラムを記録した記録媒体。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、情報処理装置上に実現された仮想マシンから前記情報処理装置が有する仮想ディスクボリューム等のリソース（資源）へのアクセスを制御するアクセス制御システム、アクセス制御方法、アクセス制御プログラム、及びアクセス制御プログラムを記録した記録媒体に関し、特に、仮想マシン、リソースに対するラベルの付与の可否を判断することを通じて上記アクセスを制御するアクセス制御システム、アクセス制御方法、アクセス制御プログラム、及びアクセス制御プログラムを記録した記録媒体に関する。
【背景技術】
【０００２】
取り扱う情報に高い機密性（秘匿性）や、完全性（改竄防止／検出機能）が求められる情報システムにおいては、これまで、ＯＳ（Operating System） レベルのセキュリティとして、セキュアＯＳ／トラステッドＯＳが用いられてきた。これらは、端的には、サブジェクト（例えば、プロセス）からオブジェクト（例えば、データファイル）へのオペレーション（例えば、読み出し、書き込み等）が、予め定められた「アクセス制御規則」に基づいて厳しく制御されるものであり、ｒｏｏｔユーザ等の特権ユーザに対しても例外なく適用されることが特徴となっている。アクセス制御規則に基づくサブジェクトからオブジェクトへのアクセスの制御は、強制アクセス制御（Mandatory Access Control: MAC ）と呼ばれている。代表的な実装では、サブジェクト及びオブジェクトに「ラベル」を付与し、これらラベル間で許可／拒絶するオペレーションをアクセス制御規則で逐一定義するといった形態をとる。
【０００３】
近年の仮想化技術の普及に伴い、ホストＯＳを必要とせず、ＯＳよりも下位層において仮想マシンモニタとして機能するハイパーバイザ方式においても、上記強制アクセス制御機能が求められるようになってきている。ここで、ハイパーバイザとは、仮想マシンとハードウェアとの間の階層であり、例えば、仮想マシン専用のカーネルを用意することにより実現することができる。例えばオープンソースソフトウェア（ＯＳＳ）であるＸｅｎ（登録商標）においても、既にＡＣＭ（Access Control Module ）として実現されている。ハイパーバイザにおける強制アクセス制御では、サブジェクトは、仮想マシン（ＶＭ：Virtual Machine）であり、オブジェクトは、例えば仮想ディスクボリューム等のリソースである。
【０００４】
なお、少なくとも一つの役割に関連づけられているサブジェクトの役割への所属に応じて、オブジェクトに対するサブジェクトのアクセス権を制御する方法が提案されている。
【特許文献１】特開平８−８７４５４号公報
【発明の開示】
【発明が解決しようとする課題】
【０００５】
サブジェクト及びオブジェクトに付与されるラベルは、強制アクセス制御の根幹となるものである。従って、サブジェクトやオブジェクトにラベルを付与する行為は、特定の管理者のみに限定されなければならない。特に、ハイパーバイザを含む仮想環境の場合には、仮想マシン群毎に管理者が複数存在し、更に全体を管理する管理者が存在するというような階層構造となるように、管理者の役割を意識した、ラベル付与の許可／拒絶制御が実行できる必要がある。すなわち、例えば、Ｘｅｎの場合には、仮想マシン群を管理する仮想マシン（管理ＶＭ）内の管理ＯＳ上に複数の管理者を定義し、各々の管理者の役割に応じたラベル付与の許可／拒絶が制御できなければならない。
【０００６】
Ｘｅｎでは、管理ＯＳはＬｉｎｕｘであるため、ＳＥ  Ｌｉｎｕｘ機能をＯＮにすることにより、管理者の役割に応じたラベル付与の許可／拒絶を行うＲＢＡＣ（Roll-Based Access Control：役割ベースアクセス制御 ）を使用することが可能であるが、以下のような課題がある。
（１）ハイパーバイザにおける強制アクセス制御のオブジェクトであるリソースには、イメージファイルやディスクパーティション等、管理ＯＳ上でファイルにマッピングされ、ＳＥ  ＬｉｎｕｘのＲＢＡＣ機能から使用しやすい（リソースへのラベル付与の許可／拒絶にＲＢＡＣが利用可能である）もの以外に、ＳＣＳＩ  ＨＢＡ（Host Bus Adapter）やＳＣＳＩ  Ｔａｒｇｅｔ等、ファイルにマッピングされないものがある。このように、ファイルにマッピングされないリソースについては、ＲＢＡＣを利用してラベルを付与することができない。
（２）ハイパーバイザにおける強制アクセス制御のサブジェクトである仮想マシンは、従来、ファイルにマッピングされていない。従って、ＲＢＡＣを利用して仮想マシンへのラベルの付与を行うことができない。その結果、ラベルを利用した仮想マシンからリソースへの強制アクセス制御を実行することができない。
【０００７】
また、仮想マシンからリソースへのアクセスをより精密に行うためには、仮想マシンからリソースへのアクセスについてＱｏＳ（Quality of Services ）制御を行う必要がある。上記ＱｏＳ制御は、例えば、スループットを最低１０Ｍｂｙｔｅｓ／ｓｅｃ確保することを保証し、逆に、１００Ｍｂｙｔｅｓ／ｓｅｃ以上のスループットを許可しないといった制御のように、仮想マシンからリソースへアクセスするときの情報の伝送品質の制御である。しかし、従来は、仮想マシンからリソースへのアクセスについてＱｏＳ（Quality of Service：ネットワーク上におけるサービス品質）制御が行われていなかった。
【０００８】
本発明は、ラベルを利用した仮想マシンからリソースへの強制アクセス制御を実行することを可能とするアクセス制御システムの提供を目的とする。
【０００９】
また、本発明は、ラベルを利用した仮想マシンからリソースへの強制アクセス制御を実行することを可能とするアクセス制御方法の提供を目的とする。
【００１０】
また、本発明は、ラベルを利用した仮想マシンからリソースへの強制アクセス制御を実行することを可能とするアクセス制御プログラムの提供を目的とする。
【００１１】
また、本発明は、ラベルを利用した仮想マシンからリソースへの強制アクセス制御を実行することを可能とするアクセス制御プログラムを記録した記録媒体の提供を目的とする。
【課題を解決するための手段】
【００１２】
本アクセス制御システムは、資源を有する情報処理装置上に構築された仮想マシンから前記資源へのアクセスを制御する情報処理装置のアクセス制御システムである。本アクセス制御システムは、仮想マシンに付与されるラベルと資源に付与されるラベルとを用いて、仮想マシンから資源へのアクセスを制御する仮想マシンモニタと、仮想マシン毎及び資源毎に仮想ファイルを生成し、生成された仮想ファイルに対するラベル付与の可否を判断し、前記ラベル付与の可否の判断結果に基づいて、前記仮想マシン及び資源へ付与されるラベル内容を決定するラベル付与可否判断手段とを備える。
【００１３】
また、本アクセス制御方法は、資源を有する情報処理装置上に構築された仮想マシンから前記資源へのアクセスを制御する情報処理装置のアクセス制御方法である。本アクセス制御方法は、仮想マシン毎及び資源毎に仮想ファイルを生成し、生成された仮想ファイルに対するラベル付与の可否を判断し、前記ラベル付与の可否の判断結果に基づいて、前記仮想マシン及び資源へ付与されるラベル内容を決定し、前記仮想マシン及び資源へ付与されるラベル内容に基づいて、前記仮想マシンから資源へのアクセス制御を行う。
【００１４】
また、本アクセス制御プログラムは、資源を有する情報処理装置上に構築された仮想マシンから前記資源へのアクセスを制御する情報処理装置のアクセス制御プログラムである。本アクセス制御プログラムは、前記情報処理装置に、仮想マシン毎及び資源毎に仮想ファイルを生成し、生成された仮想ファイルに対するラベル付与の可否を判断し、前記ラベル付与の可否の判断結果に基づいて、前記仮想マシン及び資源へ付与されるラベル内容を決定する処理と、前記仮想マシン及び資源へ付与されるラベル内容に基づいて、前記仮想マシンから資源へのアクセス制御を行う処理とを実行させる。
【００１５】
また、本アクセス制御プログラムを記録した記録媒体は、資源を有する情報処理装置上に構築された仮想マシンから前記資源へのアクセスを制御するプログラムを記録したコンピュータ読取可能な記録媒体である。上記プログラムは、前記情報処理装置に、仮想マシン毎及び資源毎に仮想ファイルを生成し、生成された仮想ファイルに対するラベル付与の可否を判断し、前記ラベル付与の可否の判断結果に基づいて、前記仮想マシン及び資源へ付与されるラベル内容を決定する処理と、前記仮想マシン及び資源へ付与されるラベル内容に基づいて、前記仮想マシンから資源へのアクセス制御を行う処理とを実行させる。
【発明の効果】
【００１６】
本アクセス制御システム、本アクセス制御方法、本アクセス制御プログラム、及び本アクセス制御プログラムを記録した記録媒体は、仮想マシン毎及びリソース（資源）毎に仮想ファイルを生成し、仮想ファイルに対するラベル付与の可否の判断結果に基づいて、仮想マシン及びリソースへ付与されるラベル内容を決定し、決定されたラベル内容に基づいて、仮想マシンからリソースへのアクセス制御を行う。従って、本アクセス制御システム、本アクセス制御方法、本アクセス制御プログラム、及び本アクセス制御プログラムを記録した記録媒体によれば、ラベルを利用した仮想マシンからリソースへの強制アクセス制御を実行することが可能となる。
【発明を実施するための最良の形態】
【００１７】
図１は、本実施形態のアクセス制御システムの構成例を示す図である。図１に示すアクセス制御システムは、ハイパーバイザ１、管理ドメイン２を備える。ハイパーバイザ１は、１又は複数のドメイン３に付与されるラベルと１又は複数の仮想ディスクボリューム等の資源であるリソース４に付与されるラベルとを用いて、ドメイン３からリソース４へのアクセスを制御する仮想マシンモニタである。管理ドメイン２は、ドメイン３を管理する情報処理装置上に実現された仮想マシンである。管理ドメイン２は、ドメイン３毎及びリソース４毎に仮想ファイルを生成し、生成された仮想ファイルに対するラベル付与の可否を判断し、ラベル付与の可否の判断結果に基づいて、ドメイン３及びリソース４へ付与されるラベル内容を決定するラベル付与可否判断手段としての機能を有する。ドメイン３は、リソース４を有する情報処理装置上に構築された仮想マシンであって、ハイパーバイザ１に対してリソース４へのアクセスを要求する。リソース４は、ドメイン３からのアクセス対象である。リソース４は、例えば、ＨＢＡ（Host Bys Adaptor) 、ＳＣＳＩ  Ｔａｒｇｅｔ  ＩＤ、ＬＵＮ（Logical Unit Number：論理ユニット番号)等のディスクボリューム等である。
【００１８】
ハイパーバイザ１は、アクセス制御部１１、テーブル更新部１２、ＱｏＳ（Quality of Service) 制御部１３、ドメイン作成部１４、アクセス制御規則１５、ラベルテーブル１６、ＱｏＳテーブル１７を備える。アクセス制御部１１は、ドメイン３からリソース４へのアクセス要求を受け、ラベルテーブル１６に記憶されたラベル内容とアクセス制御規則とに基づいて、ドメイン３からリソース４へのアクセスの許可／拒否を決定する。テーブル更新部１２は、後述する管理ドメイン２内のドライバ２１１によって通知される、ドメイン３及びリソース４へ付与されるラベル内容に基づいて、ラベルテーブル１６を更新する。
【００１９】
ＱｏＳ制御部１３は、ＱｏＳテーブル１７に予め記憶された品質情報に基づいて、ドメイン３からリソース４へアクセスするときの情報の伝送品質を制御（ＱｏＳ制御）する。ドメイン作成部１４は、管理ドメイン２内のＶＭ管理ツール２２からのドメイン作成指示に従って、ドメイン３を作成する。アクセス制御規則１５は、あるラベルに対応するドメイン３からあるラベルに対応するリソース４へのアクセスが許可されるか否かを示す情報である。アクセス制御規則１５は、所定の記憶手段内に予め記憶される。ラベルテーブル１６には、ドメイン３毎、リソース４毎のラベル内容、すなわち、ドメイン３とドメイン３に付与されるラベルとの対応情報、リソース４とリソース４に付与されるラベルとの対応情報が記憶される。ＱｏＳテーブル１７には、品質情報が予め記憶されている。品質情報は、ドメイン３に付与されるラベルとリソース４に付与されるラベルとドメイン３からリソース４へアクセスするときの情報の伝送品質に関する条件との対応情報である。
【００２０】
管理ドメイン２は、管理ＯＳ２１、ＶＭ管理ツール２２を備える。管理ＯＳ２１は、ドメイン３毎及びリソース４毎に仮想ファイルを生成し、生成された仮想ファイルに対するラベル付与の可否を判断する。ＶＭ管理ツール２２は、ユーザによってログインされると、予め所定の記憶手段に記憶されたドメイン構成ファイル２２１を読み込んで、ドメイン構成ファイル２２１に対応するドメイン３の作成をハイパーバイザ１内のドメイン作成部１４に対して指示する。ドメイン構成ファイル２２１は、予め定められた、ドメイン３に対応する仮想ファイル（仮想ドメインファイル）のファイル名である仮想ドメインファイル名と、ドメイン３に対応するラベルの情報と、ドメイン３に割り当てられるべきリソース４に対応する仮想ファイル（仮想リソースファイル）のファイル名であるリソースファイル名と、上記リソース４に対応するラベルの情報とを持つ。本実施形態においては、ドメイン構成ファイル２２１はドメイン３と一対一に対応する。また、ＶＭ管理ツール２２は、後述する管理ＯＳ２１内のドライバ２１１によって作成される仮想ドメインファイル、仮想リソースファイルに対するラベルの付与を管理ＯＳ２１に指示する。ＶＭ管理ツール２２が、ユーザの指定入力に従って、仮想ドメインファイル、仮想リソースファイルに付与されるラベルの変更を管理ＯＳ２１に指示するようにしてもよい。
【００２１】
管理ＯＳ２１は、ドライバ２１１、ＲＢＡＣ制御部２１２を備える。ドライバ２１１は、仮想ドメインファイルと仮想リソースファイルとを生成する。ドライバ２１１は、仮想ドメインファイルとドメイン３、仮想リソースファイルとリソース４との対応情報を仮想ファイル対応情報として所定の記憶手段内に記憶する。また、ドライバ２１１は、後述するＲＢＡＣ制御部２１２による、仮想ドメインファイル、仮想リソースファイルに対するラベル付与の可否の判断結果に基づいて、仮想ドメインファイル、仮想リソースファイルに付与されるラベル内容を決定する。そして、ドライバ２１１は、決定された仮想ドメインファイルに付与されるラベル内容、仮想リソースファイルに付与されるラベル内容を、それぞれ、上記仮想ドメインファイルに対応するドメイン３に付与されるラベル内容、上記仮想リソースファイルに対応するリソース４に付与されるラベル内容としてハイパーバイザ１内のテーブル更新部１２に通知する。
【００２２】
ＲＢＡＣ制御部２１２は、所定の記憶手段内に予め記憶された権限情報を有する。権限情報は、ユーザのアカウントに対応づけられた情報であって、例えば、仮想ドメインファイル、仮想リソースファイルにラベルを付与することが許されるか否かを示す情報、仮想ドメインファイル、仮想リソースファイルに付与されているラベルを変更することが許されるか否かを示す情報である。ＲＢＡＣ制御部２１２は、権限情報を用いて役割ベースアクセス制御を実行して、仮想ドメインファイル、仮想リソースファイルに対するラベル付与の可否を判断する。具体的には、ＲＢＡＣ制御部２１２は、例えば、ユーザが入力したユーザのアカウントと権限情報とに基づいて、このユーザについて、仮想ドメインファイル、仮想リソースファイルにラベルを付与することが許されるか否かを判断する。また、例えば、ＲＢＡＣ制御部２１２は、ユーザのアカウントと権限情報とに基づいて、このユーザについて、仮想ドメインファイル、仮想リソースファイルに付与されているラベルを変更することが許されるか否かを判断する。
【００２３】
なお、図１を参照して説明した本実施形態のアクセス制御システムの機能は、ＣＰＵとその上で実行されるプログラムにより実現される。上記プログラムは、コンピュータが読み取り可能な記録媒体、例えば半導体メモリ、ハードディスク、ＣＤ−ＲＯＭ、ＤＶＤ等に格納することができ、これらの記録媒体に記録して提供され、又は、通信インタフェースを介してネットワークを利用した送受信により提供される。
【００２４】
図２は、ドメイン構成ファイルの例を示す図である。ドメイン構成ファイル２２１は、図２中のDomainLabel="16ed00.....","x" といった、ドメインのラベル定義と、図２中のResourceLabel="f369ed.....","y",ResourceLabel="367d29b.....","z"といった、リソースのラベル定義が予め定義される。ドメインのラベル定義は、ドメイン構成ファイル２２１に対応するドメイン３の仮想ドメインファイル名（例えば、図２中の楕円で囲まれた"16ed00....." というファイル名) と、ドメイン３に付与されるラベル（例えば、図２中の"x" というラベル) とを有する。リソースのラベル定義は、上記ドメイン３に割り当てられるべきリソース４の仮想リソースファイル名（例えば、図２中の楕円で囲まれた"f369ed.....","367d29b....."というファイル名) と、上記リソース４に付与されるラベル（例えば、図２中の"y","z" というラベル) とを有する。
【００２５】
図３は、ラベルテーブルのデータ構成例を示す図である。図３に示すように、ラベルテーブル１６は、識別情報とラベルとの対応情報を有する。識別情報は、ドメイン３又はリソース４の識別情報である。ラベルは、ドメイン３に付与されるラベル又はリソース４に付与されるラベルである。図３に示すラベルテーブル１６を参照すると、ドメイン＃１にｘというラベルが付与され、リソース＃２にｙというラベルが付与されていることがわかる。
【００２６】
図４は、ＱｏＳテーブル内の品質情報のデータ構成例を示す図である。図４に示すＱｏＳテーブル１７には、性能保証値（ＭＢ／ｓｅｃ）、性能制限値（ＭＢ／ｓｅｃ）が、ラベル（ドメイン）及びラベル（リソース）に対応づけられて設定されている。ラベル（ドメイン）は、ドメイン３に付与されているラベルである。ラベル（リソース）は、リソース４に付与されているラベルである。性能保証値（ＭＢ／ｓｅｃ）は、ドメイン３からリソース４へアクセスするときにドメイン３からリソース４に送信される情報の伝送速度の保証値である。性能制限値（ＭＢ／ｓｅｃ）は、ドメイン３からリソース４へアクセスするときにドメイン３からリソース４に送信される情報の伝送速度の上限値である。
【００２７】
図５は、本実施形態のアクセス制御処理フローの一例を示す図である。まず、管理ドメイン２の管理ＯＳ２１が、仮想マシンすなわちドメイン３毎及びリソース４毎に仮想ファイルを生成する（ステップＳ１）。次に、管理ＯＳ２１が、生成された仮想ファイルに対するラベル付与の可否を判断し、ラベル付与の可否の判断結果に基づいて、ドメイン３及びリソース４へ付与されるラベル内容を決定する（ステップＳ２）。そして、ハイパーバイザ１が、上記決定されたドメイン３及びリソース４へ付与されるラベル内容に基づいて、ドメイン３からリソース４へのアクセス制御を行う（ステップＳ３）。
【００２８】
図６及び図７は、本実施形態のアクセス制御処理における、仮想ドメインファイル、仮想リソースファイルに対するラベルの付与処理を説明する図である。ユーザが、管理ドメイン２内のＶＭ管理ツール２２に自分のアカウントを入力してログインし、ドメイン構成ファイル２２１を指定して、ドメイン３の作成を指示するコマンドを入力すると、ＶＭ管理ツール２２が、ドメイン構成ファイル２２１を読み込む（図６の＃１を参照）。そして、ＶＭ管理ツール２２が、ドメイン構成ファイル２２１に対応するドメイン３の作成をハイパーバイザ１に対して指示する（図６の＃２を参照）。ＶＭ管理ツール２２は、上記指示を管理ＯＳ２１内のドライバ２１１を介してハイパーバイザ１内のドメイン作成部１４に通知する。なお、ＶＭ管理ツール２２は、上記指示を通知する際に、ドメイン構成ファイル２２１をドライバ２１１とハイパーバイザ１内のドメイン作成部１４とに送信する。ドメイン作成部１４は、上記指示に従ってドメイン３を作成する（図６の＃３を参照）。次に、管理ＯＳ２１内のドライバ２１１が、仮想ドメインファイルを作成する（図６の＃４を参照）。具体的には、ドライバ２１１は、ＶＭ管理ツール２２から送信されたドメイン構成ファイル２２１に含まれる仮想ドメインファイル名に対応する仮想ドメインファイル（図６の＃３において作成されたドメイン３に対応する仮想ファイル）を作成する。次に、ＶＭ管理ツール２２が、仮想ドメインファイルに対するラベルの付与を管理ＯＳ２１に指示する（図６の＃５を参照）。上記ラベルは、ドメイン構成ファイル２２１のドメインのラベル定義に含まれるラベルである。そして、管理ＯＳ２１内のＲＢＡＣ制御部２１２が、仮想ドメインファイルに対するラベルの付与の許可／不許可を判断する（図６の＃６を参照）。具体的には、ＲＢＡＣ制御部２１２は、前述した管理ＯＳ２１に入力されたユーザのアカウントと、所定の記憶手段に予め記憶された権限情報とに基づいて、役割ベースアクセス制御を実行して、上記仮想ドメインファイルに対するラベルの付与の許可／不許可を判断する。
【００２９】
ＲＢＡＣ制御部２１２が、仮想ドメインファイルに対するラベルの付与を許可しないと判断した場合は処理を終了する。ＲＢＡＣ制御部２１２が、仮想ドメインファイルに対するラベルの付与を許可すると判断した場合は、ドライバ２１１が、仮想ドメインファイルに対してラベルを付与、すなわち、仮想ドメインファイルに付与されるラベル内容を決定する（図６の＃７を参照）。続いて、ドライバ２１１が、上記仮想ドメインファイルに付与されるラベル内容をハイパーバイザ１内のテーブル更新部１２に通知し、テーブル更新部１２が、上記通知されたラベル内容でラベルテーブル１６を更新して（図６の＃８を参照）、図７の＃９に進む。
【００３０】
図７の＃９において、ＶＭ管理ツール２２が、ドメイン構成ファイル２２１内の、リソースのラベル定義に含まれる仮想リソースファイル名に対応するリソース４のうち、上記図６の＃７においてラベルが付与された仮想ドメインファイルに対応するドメイン３に割り当てられていないリソース４があるかを判断する。
【００３１】
ＶＭ管理ツール２２が、仮想ドメインファイルに対応するドメイン３に割り当てられていないリソース４がないと判断した場合は、処理を終了する。ＶＭ管理ツール２２が、仮想ドメインファイルに対応するドメイン３に割り当てられていないリソース４があると判断した場合は、ＶＭ管理ツール２２が、上記ドメイン３に対するリソース４の割り当てを指示する（図７の＃１０を参照）。ＶＭ管理ツール２２は、上記指示を管理ＯＳ２１内のドライバ２１１を介してハイパーバイザ１に通知する。上記通知を受けて、ハイパーバイザ１が備える所定の処理部（例えば、ドメイン作成部１４）が、ドメイン３にリソース４を割り当てる（図７の＃１１を参照）。
【００３２】
続いて、管理ＯＳ２１内のドライバ２１１が、仮想リソースファイルを作成する（図７の＃１２を参照）。具体的には、ドライバ２１１は、ドメイン構成ファイル２２１に含まれる仮想リソースファイル名に対応する仮想リソースファイルであって、上記＃１１においてドメイン３に割り当てられたリソース４に対応する仮想リソースファイルを作成する。次に、ＶＭ管理ツール２２が、作成された仮想リソースファイルに対するラベルの付与を管理ＯＳ２１に指示する（図７の＃１３を参照）。具体的には、ＶＭ管理ツール２２が、ドメイン構成ファイル２２１のリソースのラベル定義を参照して、リソースのラベル定義に含まれる、上記作成された仮想リソースファイルに対応するリソース４に付与されるラベルの付与を指示する。そして、管理ＯＳ２１内のＲＢＡＣ制御部２１２が、仮想リソースファイルに対するラベルの付与の許可／不許可を判断する（図７の＃１４を参照）。具体的には、ＲＢＡＣ制御部２１２は、図６を参照して前述した管理ＯＳ２１に入力されたユーザのアカウントと、所定の記憶手段に予め記憶された権限情報とに基づいて、役割ベースアクセス制御を実行して、上記仮想リソースファイルに対するラベルの付与の許可／不許可を判断する。
【００３３】
ＲＢＡＣ制御部２１２が、仮想リソースファイルに対するラベルの付与を許可しないと判断した場合は処理を終了する。ＲＢＡＣ制御部２１２が、仮想リソースファイルに対するラベルの付与を許可すると判断した場合は、ドライバ２１１が、仮想リソースファイルに対してラベルを付与、すなわち、仮想リソースファイルに付与されるラベル内容を決定する（図７の＃１５を参照）。続いて、ドライバ２１１が、上記仮想ドメインファイルに付与されるラベル内容をハイパーバイザ１内のテーブル更新部１２に通知し、テーブル更新部１２が、上記通知されたラベル内容でラベルテーブル１６を更新して（図７の＃１６を参照）、上記＃９に戻る。
【００３４】
図８は、仮想リソースファイルの作成処理の例を説明する図である。まず、ドライバ２１１が、自分が管理する各々のリソース４を認識する（図８の＃１を参照）。例えば、ドライバ２１１がＳＣＳＩデバイスを扱うＳＣＳＩドライバの場合、ドライバ２１１が管理するリソース４は、ＨＢＡ、ＳＣＳＩ  Ｔａｒｇｅｔ  ＩＤ、ＬＵＮ等である。次に、ドライバ２１１が、上記認識した各々のリソース４に対応する仮想リソースファイル１００を作成する（図８の＃２を参照）。そして、ドライバ２１１が、リソース４と仮想リソースファイル１００との対応情報を仮想ファイル対応情報として作成し、仮想ファイル対応情報を所定の記憶手段に記憶する（図８の＃３を参照）。
【００３５】
図９は、仮想リソースファイルに付与されているラベルの変更処理の例を説明する図である。まず、ユーザがＶＭ管理ツール２２にログインし、付与されているラベル１０１を変更したい仮想リソースファイル１００と、仮想リソースファイル１００に新たに付与したいラベル（新ラベル）とを指定して、ラベル１０１を変更するコマンドを入力する。ＶＭ管理ツール２２が、管理ＯＳ２１に、上記仮想リソースファイルに対して付与されているラベル１０１を上記新ラベルに変更するよう指示する（図９の＃１を参照）。次に、ＲＢＡＣ制御部２１２が、権限情報を用いて、上記ラベル１０１の変更の許可／不許可を判断する（図９の＃２を参照）。図９に示す例では、仮想リソースファイル１００に対するラベル１０１の変更が許可されたものとする。ドライバ２１１は、仮想ファイル対応情報を参照して、ラベル１０１の変更が許可された仮想リソースファイル１００に対応するリソース４を認識する（図９の＃３を参照）。ドライバ２１１が、上記許可されたラベル１０１の変更を上記認識されたリソース４に対応するラベル１０１の変更としてハイパーバイザ１内のテーブル更新部１２に通知する（図９の＃４を参照）。そして、テーブル更新部１２が、通知されたラベル１０１の変更をラベルテーブル１６に反映することによって、ラベルテーブル１６を更新する（図９の＃５を参照）。
【００３６】
図１０は、仮想ドメインファイルの作成処理の例を説明する図である。ドメイン３が起動されると、ドライバ２１１が、起動したドメイン３を認識する（図１０の＃１を参照）。次に、ドライバ２１１が、認識されたドメイン３に対応する仮想ドメインファイル１０２を作成する（図１０の＃２を参照）。そして、ドライバ２１１が、ドメイン３と仮想ドメインファイル１０２との対応情報を仮想ファイル対応情報として作成し、仮想ファイル対応情報を所定の記憶手段に記憶する（図１０の＃３を参照）。
【００３７】
図１１は、仮想ドメインファイルに対して付与されているラベルの変更処理の例を説明する図である。まず、ユーザがＶＭ管理ツール２２にログインし、付与されているラベル１０３を変更したい仮想ドメインファイル１０２と仮想ドメインファイル１０２に新たに付与したい新ラベルとを指定して、ラベル１０３を変更するコマンドを入力する。ＶＭ管理ツール２２が、管理ＯＳ２１に、上記仮想ドメインファイル１０２に対して付与されているラベル１０３を新ラベルに変更するよう指示する（図１１の＃１を参照）。次に、ＲＢＡＣ制御部２１２が、権限情報を用いて、上記ラベル１０３の変更の許可／不許可を判断する（図１１の＃２を参照）。図１１に示す例では、仮想ドメインファイル１０２に対するラベル１０３の変更が許可されたものとする。ドライバ２１１は、仮想ファイル対応情報を参照して、ラベル１０３の変更が許可された仮想ドメインファイル１０２に対応するドメイン３を認識する（図１１の＃３を参照）。ドライバ２１１が、上記許可されたラベル１０３の変更を上記認識されたドメイン３に対応するラベル１０３の変更としてハイパーバイザ１内のテーブル更新部１２に通知する（図１１の＃４を参照）。そして、テーブル更新部１２が、通知されたラベル１０３の変更をラベルテーブル１６に反映することによって、ラベルテーブル１６を更新する（図１１の＃５を参照）。
【００３８】
図１２は、ラベルテーブルを用いたアクセス制御を説明する図である。まず、ドメイン３が、ハイパーバイザ１に対して、リソース４へのアクセス要求を行う（図１２の＃１を参照）。具体的には、ドメイン３が、ドメイン３の識別情報とアクセスしたいリソース４の識別情報とをハイパーバイザ１のアクセス制御部１１に送信する。次に、アクセス制御部１１が、ラベルテーブル１６を参照して、アクセス要求を行ったドメイン３に付与されているラベルと、上記ドメイン３がアクセスしたいリソース４に付与されているラベルとを取得する（図１２の＃２を参照）。具体的には、アクセス制御部１１が、ラベルテーブル１６において上記ドメイン３の識別情報に対応するラベルをドメイン３に付与されているラベルとして取得するとともに、上記リソース４の識別情報に対応するラベルをリソース４に付与されているラベルとして取得する。続いて、アクセス制御部１１が、予め所定の記憶手段に記憶されたアクセス制御規則１５と、上記取得されたドメイン３、リソース４に付与されているラベルとに基づいて、ドメイン３からリソース４へのアクセスを許可するかを判断する（図１２の＃３を参照）。そして、アクセス制御部１１が、上記判断結果に基づいて、ドメイン３からリソース４へのアクセスを制御（許可又は拒絶）する（図１２の＃４を参照）。
【００３９】
図１３は、本実施形態のアクセス制御システムによるＱｏＳ制御処理フローの一例を示す図である。まず、ドメイン３が、ハイパーバイザ１に対して、リソース４へのアクセス要求を行う（ステップＳ１１）。具体的には、ドメイン３が、ドメイン３の識別情報であるドメイン＃１と、アクセスしたいリソース４の識別情報であるリソース＃２とをハイパーバイザ１のアクセス制御部１１に送信する。次に、アクセス制御部１１が、ラベルテーブル１６を参照して、アクセス要求を行ったドメイン３に付与されているラベルと、上記ドメイン３がアクセス対象とするリソース４に付与されているラベルとを取得する（ステップＳ１２）。具体的には、アクセス制御部１１が、例えば図３に示すラベルテーブル１６においてドメイン＃１に対応するラベルであるｘをドメイン３に付与されているラベルとして取得するとともに、リソース＃２に対応するラベルであるｙをリソース４に付与されているラベルとして取得する。続いて、アクセス制御部１１が、予め所定の記憶手段に記憶されたアクセス制御規則１５と、上記取得されたラベルｘ、ｙとに基づいて、ドメイン３からリソース４へのアクセスを許可するかを判断する（ステップＳ１３）。アクセス制御部１１が、ドメイン３からリソース４へのアクセスを許可しないと判断した場合は処理を終了する。
【００４０】
アクセス制御部１１が、ドメイン３からリソース４へのアクセスを許可すると判断した場合、ＱｏＳ制御部１３が、ドメイン３からリソース４にアクセスするときにドメイン３からリソース４に対して送信される情報をドメイン３から受信する（ステップＳ１４）。ＱｏＳ制御部１３が、ＱｏＳテーブル１７を参照して、ドメイン３からリソース４へ送信される情報の伝送速度の上限値（性能制限値）を取得する（ステップＳ１５）。例えば、図４に示すＱｏＳテーブル１７を参照すると、ｘというラベルが付与されているドメイン３からｙというラベルが付与されているリソース４へアクセスするときの性能制限値は１０ＭＢ／ｓｅｃである。従って、ＱｏＳ制御部１３は、上記ドメイン３からリソース４へ送信される情報の伝送速度の上限値として１０ＭＢ／ｓｅｃを取得する。
【００４１】
次に、ＱｏＳ制御部１３が、ドメイン３から受信した情報のうち、ＱｏＳ制御部１３からリソース４へ転送していない情報があるかを判断する（ステップＳ１６）。ＱｏＳ制御部１３が、リソース４へ転送していない情報がないと判断した場合は、処理を終了する。ＱｏＳ制御部１３が、リソース４へ転送していない情報があると判断した場合は、ＱｏＳ制御部１３は、リソース４に転送した情報の伝送速度が上記性能制限値以下であるかを判断する（ステップＳ１７）。ＱｏＳ制御部１３が、リソース４に転送した情報の伝送速度が性能制限値以下であると判断した場合、ＱｏＳ制御部１３は、リソース４への情報の転送を実行して（ステップＳ１８）、上記ステップＳ１６に戻る。ＱｏＳ制御部１３が、リソース４に転送した情報の伝送速度が性能制限値以下でないであると判断した場合、ＱｏＳ制御部１３は、リソース４への情報の転送を所定時間中断して（ステップＳ１９）、上記ステップＳ１６に戻る。
【００４２】
以上から把握できるように、本実施形態の特徴を述べると以下の通りである。
【００４３】
（付記１）資源を有する情報処理装置上に構築された仮想マシンから前記資源へのアクセスを制御する情報処理装置のアクセス制御システムであって、
仮想マシンに付与されるラベルと資源に付与されるラベルとを用いて、仮想マシンから資源へのアクセスを制御する仮想マシンモニタと、
仮想マシン毎及び資源毎に仮想ファイルを生成し、生成された仮想ファイルに対するラベル付与の可否を判断し、前記ラベル付与の可否の判断結果に基づいて、前記仮想マシン及び資源へ付与されるラベル内容を決定するラベル付与可否判断手段とを備える
ことを特徴とするアクセス制御システム。
【００４４】
（付記２）前記ラベル付与可否判断手段が、役割ベースアクセス制御を実行して前記仮想ファイルに対するラベル付与の可否を判断する役割ベースアクセス制御手段を備える
ことを特徴とする付記１記載のアクセス制御システム。
【００４５】
（付記３）前記仮想マシンモニタが、更に、
予め記憶手段に記憶された、前記仮想マシンに付与されるラベルと前記資源に付与されるラベルと前記仮想マシンから前記資源へアクセスするときの情報の伝送品質に関する条件との対応情報に基づいて、前記仮想マシンから前記資源へアクセスするときの情報の伝送品質を制御する
ことを特徴とする付記１記載のアクセス制御システム。
【００４６】
（付記４）資源を有する情報処理装置上に構築された仮想マシンから前記資源へのアクセスを制御する情報処理装置のアクセス制御方法であって、
仮想マシン毎及び資源毎に仮想ファイルを生成し、生成された仮想ファイルに対するラベル付与の可否を判断し、前記ラベル付与の可否の判断結果に基づいて、前記仮想マシン及び資源へ付与されるラベル内容を決定し、
前記仮想マシン及び資源へ付与されるラベル内容に基づいて、前記仮想マシンから資源へのアクセス制御を行う
ことを特徴とするアクセス制御方法。
【００４７】
（付記５）役割ベースアクセス制御を実行して前記仮想ファイルに対するラベル付与の可否を判断する
ことを特徴とする付記４記載のアクセス制御方法。
【００４８】
（付記６）予め記憶手段に記憶された、前記仮想マシンに付与されるラベルと前記資源に付与されるラベルと前記仮想マシンから前記資源へアクセスするときの情報の伝送品質に関する条件との対応情報に基づいて、前記仮想マシンから前記資源へアクセスするときの情報の伝送品質を制御する
ことを特徴とする付記４記載のアクセス制御方法。
【００４９】
（付記７）資源を有する情報処理装置上に構築された仮想マシンから前記資源へのアクセスを制御する情報処理装置のアクセス制御プログラムであって、
前記情報処理装置に、
仮想マシン毎及び資源毎に仮想ファイルを生成し、生成された仮想ファイルに対するラベル付与の可否を判断し、前記ラベル付与の可否の判断結果に基づいて、前記仮想マシン及び資源へ付与されるラベル内容を決定する処理と、
前記仮想マシン及び資源へ付与されるラベル内容に基づいて、前記仮想マシンから資源へのアクセス制御を行う処理とを実行させる
ことを特徴とするアクセス制御プログラム。
【００５０】
（付記８）前記アクセス制御プログラムはさらに、
前記情報処理装置に、
役割ベースアクセス制御を実行して前記仮想ファイルに対するラベル付与の可否を判断する処理を実行させる
ことを特徴とする付記７記載のアクセス制御プログラム。
【００５１】
（付記９）前記アクセス制御プログラムはさらに、
前記情報処理装置に、
予め記憶手段に記憶された、前記仮想マシンに付与されるラベルと前記資源に付与されるラベルと前記仮想マシンから前記資源へアクセスするときの情報の伝送品質に関する条件との対応情報に基づいて、前記仮想マシンから前記資源へアクセスするときの情報の伝送品質を制御する処理を実行させる
ことを特徴とする付記７記載のアクセス制御プログラム。
【００５２】
（付記１０）資源を有する情報処理装置上に構築された仮想マシンから前記資源へのアクセスを制御するプログラムを記録したコンピュータ読取可能な記録媒体であって、
前記情報処理装置に、
仮想マシン毎及び資源毎に仮想ファイルを生成し、生成された仮想ファイルに対するラベル付与の可否を判断し、前記ラベル付与の可否の判断結果に基づいて、前記仮想マシン及び資源へ付与されるラベル内容を決定する処理と、
前記仮想マシン及び資源へ付与されるラベル内容に基づいて、前記仮想マシンから資源へのアクセス制御を行う処理とを実行させる
ことを特徴とするアクセス制御プログラムを記録した記録媒体。
【００５３】
（付記１１）前記情報処理装置に、
役割ベースアクセス制御を実行して前記仮想ファイルに対するラベル付与の可否を判断する処理を実行させる
ことを特徴とする付記１０記載のアクセス制御プログラムを記録した記録媒体。
【００５４】
（付記１２）前記情報処理装置に、
予め記憶手段に記憶された、前記仮想マシンに付与されるラベルと前記資源に付与されるラベルと前記仮想マシンから前記資源へアクセスするときの情報の伝送品質に関する条件との対応情報に基づいて、前記仮想マシンから前記資源へアクセスするときの情報の伝送品質を制御する処理を実行させる
ことを特徴とする付記１０記載のアクセス制御プログラムを記録した記録媒体。
【図面の簡単な説明】
【００５５】
【図１】本実施形態のアクセス制御システムの構成例を示す図である。
【図２】ドメイン構成ファイルの例を示す図である。
【図３】ラベルテーブルのデータ構成例を示す図である。
【図４】ＱｏＳテーブル内の品質情報のデータ構成例を示す図である。
【図５】本実施形態のアクセス制御処理フローの一例を示す図である。
【図６】仮想ドメインファイル、仮想リソースファイルに対するラベルの付与処理を説明する図である。
【図７】仮想ドメインファイル、仮想リソースファイルに対するラベルの付与処理を説明する図である。
【図８】仮想リソースファイルの作成処理の例を説明する図である。
【図９】仮想リソースファイルに対して付与されているラベルの変更処理の例を説明する図である。
【図１０】仮想ドメインファイルの作成処理の例を説明する図である。
【図１１】仮想ドメインファイルに対して付与されているラベルの変更処理の例を説明する図である。
【図１２】ラベルテーブルを用いたアクセス制御を説明する図である。
【図１３】ＱｏＳ制御処理フローの一例を示す図である。
【符号の説明】
【００５６】
１  ハイパーバイザ
２  管理ドメイン
３  ドメイン
４  リソース
１１  アクセス制御部
１２  テーブル更新部
１３  ＱｏＳ制御部
１４  ドメイン作成部
１５  アクセス制御規則
１６  ラベルテーブル
１７  ＱｏＳテーブル
２１  管理ＯＳ
２２  ＶＭ管理ツール
２１１  ドライバ
２１２  ＲＢＡＣ制御部
２２１  ドメイン構成ファイル
【図１】
2010055224.tif 000003
【図２】
2010055224.tif 000004
【図３】
2010055224.tif 000005
【図４】
2010055224.tif 000006
【図５】
2010055224.tif 000007
【図６】
2010055224.tif 000008
【図７】
2010055224.tif 000009
【図８】
2010055224.tif 000010
【図９】
2010055224.tif 000011
【図１０】
2010055224.tif 000012
【図１１】
2010055224.tif 000013
【図１２】
2010055224.tif 000014
【図１３】
2010055224.tif 000015