(57)【要約】【課題】サーバの電源スイッチ等の誤操作や悪意の操作を防止することができるサーバシステムを提供する。【解決手段】本システムにおいては、管理サーバ１と複数のサーバ３がネットワーク２に接続される。サーバ３には、暗証キーを記憶する暗証キー記憶部と、操作スイッチ６、７の操作によって入力されたデータと暗証キー記憶部内の暗証キーとを比較し、一致していた場合に操作スイッチを使用可能に設定する管理モジュール８が設けられる。また、管理モジュール８は、管理サーバ１から送信された暗証キーを暗証キー記憶部に書き込む機能を有する。管理サーバ１には、暗証キーをネットワーク２を介してサーバ３へ送信する仮想化環境ソフト１ａが設けられる。【選択図】図１
2010218516.tif 000002
【特許請求の範囲】
【請求項１】
ネットワークに接続された１または複数のサーバと、前記ネットワークに接続された管理サーバとを有するサーバシステムにおいて、
前記サーバに、
暗証キーを記憶する暗証キー記憶部と、
操作スイッチの操作によってデータが入力された時、入力されたデータと前記暗証キー記憶部内の暗証キーとを比較し、一致していた場合にのみ前記操作スイッチを使用可能に設定する設定手段と、
前記管理サーバから前記ネットワークを介して送信された暗証キーを前記暗証キー記憶部に書き込む書込手段とを設け、
前記管理サーバに、前記暗証キーを前記ネットワークを介して前記サーバへ送信する送信手段を設けたことを特徴とするサーバシステム。
【請求項２】
前記操作スイッチは、電源スイッチまたはリセットスイッチであることを特徴とする請求項１に記載のサーバシステム。
【請求項３】
前記設定手段は、前記暗証キー記憶部に暗証キーが記憶されていない場合に、前記操作スイッチを使用可能に設定することを特徴とすることを特徴とする請求項１または請求項２に記載のサーバシステム。
【請求項４】
前記設定手段は、前記操作スイッチを使用可能に設定した後、予め定められた一定時間が経過した場合、または、ひとつの操作を受け付けた場合に、前記操作スイッチを使用不能状態に設定することを特徴とする請求項１〜請求項３のいずれかの項に記載のサーバシステム。
【請求項５】
ネットワークに接続された１または複数のサーバと、前記ネットワークに接続された管理サーバとを有するサーバシステムにおいて、
前記管理サーバが前記ネットワークを介して暗証キーを前記サーバへ送信し、
前記サーバが、前記管理サーバから送信された暗証キーを内部の暗証キー記憶部に書き込み、
前記サーバが、操作スイッチの操作によって入力されたデータと前記暗証キー記憶部内の暗証キーとを比較し、一致していた場合にのみ前記操作スイッチを使用可能に設定することを特徴とするサーバのセキュリティ確保方法。
【請求項６】
前記操作スイッチは、電源スイッチまたはリセットスイッチであることを特徴とする請求項５に記載のサーバのセキュリティ確保方法。
【請求項７】
前記サーバは、前記暗証キー記憶部に暗証キーが記憶されていない場合に、前記操作スイッチを使用可能に設定することを特徴とすることを特徴とする請求項５または請求項６に記載のサーバのセキュリティ確保方法。
【請求項８】
前記サーバは、前記操作スイッチを使用可能に設定した後、予め定められた一定時間が経過した場合、または、ひとつの操作を受け付けた場合に、前記操作スイッチを使用不能状態に設定することを特徴とする請求項５〜請求項７のいずれかの項に記載のサーバのセキュリティ確保方法。
【請求項９】
ネットワークに接続された１または複数のサーバと、前記ネットワークに接続された管理サーバとを有するサーバシステムにおける前記サーバのコンピュータプログラムであって、
前記管理サーバから送信された暗証キーを内部の暗証キー記憶部に書き込むステップと、
操作スイッチの操作によって入力されたデータと前記暗証キー記憶部内の暗証キーとを比較し、一致していた場合にのみ前記操作スイッチを使用可能に設定するステップと、
をコンピュータに実行させるためのコンピュータプログラム。
【請求項１０】
前記操作スイッチは、電源スイッチまたはリセットスイッチであることを特徴とする請求項９に記載のコンピュータプログラム。
【請求項１１】
前記暗証キー記憶部に暗証キーが記憶されていない場合に、前記操作スイッチを使用可能に設定するステップをさらに有することを特徴とする請求項９または請求項１０に記載のコンピュータプログラム。
【請求項１２】
前記操作スイッチを使用可能に設定した後、予め定められた一定時間が経過した場合、または、ひとつの操作を受け付けた場合に、前記操作スイッチを使用不能状態に設定するステップをさらに有することを特徴とする請求項９〜請求項１１のいずれかの項に記載のコンピュータプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、データセンタなど多数のサーバを収容する施設に係り、特に、適切な権限を持たない人物による故意（悪意）または不注意によるサーバの電源ボタン、リセットボタン等の誤操作、または権限を持つ人物の不注意によるサーバの電源ボタン、リセットボタン等の誤操作を防止することができるサーバシステム、サーバのセキュリティ確保方法およびコンピュータプログラムに関する。
【背景技術】
【０００２】
周知のように、データセンタなどに設置されている多数のサーバはそれぞれ、前面に電源ボタン、リセットボタンを有しており、これを操作することでサーバの稼動状態にかかわらず電源オフやリセットを行うことができる。しかし、サーバの操作者が不注意や悪意で電源をオフとしたり、リセットをすると、そのサーバを使用していたクライアントに対し多大の被害を生じさせる。
【０００３】
そこで、データセンタなどではラック単位で施錠管理をし、権限のない者がサーバ操作をすることができないようにする方法が採られる。しかし、ラック内に格納されているそれぞれのサーバは施錠管理が行われていない場合が多く、そのため、ラックを開いた時に不注意でサーバの電源ボタンの誤操作をすることが避けられない。
【０００４】
そこで、個々のサーバへの物理的な鍵の設置やICカードなどによる認証も考えられている。しかし、この場合、多数のサーバの全てに鍵やカードの管理を行う煩雑さを伴うと共に、物理的に新規なハードウエアが必要であるためコストが上昇するというデメリットがある。加えて、物理サーバの管理者と利用環境の管理者が異なる場合や仮想化環境を活用し多数の論理サーバを統合しているようなケースでは、利用者がアプリケーションの稼動している物理サーバを識別することが困難であり、物理的な鍵などの管理が行いきれなくなるという問題がある。
【０００５】
さらに、一部製品では、電源ボタンの機能が働かなくなるようなモード設定をあらかじめ可能とする選択ができる装置もあるが、こうした装置では、ＯＳ（オペレーティングシステム）が反応しなくなってしまったような場合に、強制切断する方法が電源を抜く以外になくなるといった不都合があった。
【先行技術文献】
【特許文献】
【０００６】
【特許文献１】特開2006-172186号公報
【特許文献２】特開2007-299427号公報
【発明の概要】
【発明が解決しようとする課題】
【０００７】
上述したように、多数のサーバを設置することが一般的なデータセンタ等に仮想化環境が普及した場合、サーバ電源を錠前やＩＣカードで保護するのは現実的ではない。リモート操作可能な電子錠とソフトウエアを組み合わせるなどの解決も考えられるが、電子錠を別途用意するコストを削減する観点からは特別な物理的手段を用意せず誤操作や悪意による操作を防止することが求められる。
【０００８】
本発明は、このような事情に鑑みてなされたもので、その目的は、サーバ管理者の手を借りることができない緊急の場合においても電源オフやリセットなどを誤操作なく行うことができると共に、悪意の第３者によるサーバ電源操作を防止することができ、さらに、特別な物理的手段を用意することなく誤操作、悪意の操作を防止することができるサーバシステム、サーバのセキュリティ確保方法およびコンピュータプログラムを提供することにある。
【課題を解決するための手段】
【０００９】
本発明は、ネットワークに接続された１または複数のサーバと、前記ネットワークに接続された管理サーバとを有するサーバシステムにおいて、前記サーバに、暗証キーを記憶する暗証キー記憶部と、操作スイッチの操作によって入力されたデータと前記暗証キー記憶部内の暗証キーとを比較し、一致していた場合にのみ前記操作スイッチを使用可能に設定する手段と、前記管理サーバから前記ネットワークを介して送信された暗証キーを前記暗証キー記憶部に書き込む手段とを設け、前記管理サーバに、前記暗証キーを前記ネットワークを介して前記サーバへ送信する手段を設けたことを特徴とするサーバシステムである。
【００１０】
また、本発明は、ネットワークに接続された１または複数のサーバと、前記ネットワークに接続された管理サーバとを有するサーバシステムにおいて、前記管理サーバが前記ネットワークを介して暗証キーを前記サーバへ送信し、前記サーバが、前記管理サーバから送信された暗証キーを内部の暗証キー記憶部に書き込み、前記サーバが、操作スイッチの操作によって入力されたデータと前記暗証キー記憶部内の暗証キーとを比較し、一致していた場合にのみ前記操作スイッチを使用可能に設定することを特徴とするサーバのセキュリティ確保方法である。
【００１１】
また、本発明は、ネットワークに接続された１または複数のサーバと、前記ネットワークに接続された管理サーバとを有するサーバシステムにおける前記サーバのコンピュータプログラムであって、前記管理サーバから送信された暗証キーを内部の暗証キー記憶部に書き込むステップと、操作スイッチの操作によって入力されたデータと前記暗証キー記憶部内の暗証キーとを比較し、一致していた場合にのみ前記操作スイッチを使用可能に設定するステップとをコンピュータに実行させるためのコンピュータプログラムである。
【発明の効果】
【００１２】
本発明によれば、サーバを悪意で操作することや、誤って操作することを防ぐことができる効果がある。また、当該サーバを特定の論理サーバとして認識している管理者にのみ認証キーを知らせておくことにより、単なる物理サーバとして認識し電源オフを行う誤操作を防ぐことができる。さらに、錠前やカードリーダ等の部品を設ける必要がないので、安価に実施できる利点がある。
【図面の簡単な説明】
【００１３】
【図１】本発明の一実施形態によるサーバシステムの構成を示すブロック図である。
【図２】同サーバシステムの動作を説明するための流れ図である。
【図３】同サーバシステムの動作を説明するための流れ図である。
【図４】図１における電源スイッチ６の操作例を示す図である。
【発明を実施するための形態】
【００１４】
以下、図面を参照し、本発明の実施形態について説明する。
本発明の実施形態は仮想化環境の管理ソフトから物理サーバに論理サーバ固有の暗証キーを配送し、物理サーバはこの暗証入力があった場合にのみスイッチ類の操作を受け付けるよう設定される。以下、詳細に説明する。
【００１５】
図１は本発明の一実施形態によるサーバシステムの概略構成を示す図である。なお、実際のシステムでは多数のサーバが設置され、また、ネットワークを介して多数のクライアントが接続されるが、図ではサーバを1台とし、また、クライアントの記載も省略している。
【００１６】
図において、１は管理サーバ（送信手段）であり、内部に仮想化環境管理ソフト１ａを有し、ネットワーク２に接続されている。３はサーバであり、通常のサーバと同様にファームウエア５を内蔵すると共に電源スイッチ６、リセットスイッチ７を有している。さらに、本実施形態特有の構成として、サーバ３の物理操作を制御する管理モジュール８（設定手段、書込手段）および暗証キー記憶部（図示略）を有している。
【００１７】
管理モジュール８は、電源スイッチ６の押し下げ回数などによる入力を受けて暗証キーを確認し、ＯＫであれば解除モードに遷移する手段と、外部の管理サーバ１から配信された暗証キーを暗証キー記憶部に格納し、また、消去する手段とを備える。仮想化環境などでは、１台の物理サーバを複数の利用環境で使用することが想定されるため、暗証キーは複数記憶することができるようになっている。また、このサーバ３は解除モードに遷移していない場合、電源スイッチ６による電源断、リセットスイッチ７によるリセットなどの本来割り当てられている機能が動作しないプロテクトモードに置かれるようになっている。加えて解除モード遷移後、あらかじめ定められた時間が経過した場合、もしくは、ひとつの操作を受け付けた後はプロテクトモードに遷移する機能を有している。
【００１８】
管理サーバ１上では一般的な仮想化環境管理ソフト１ａが稼動している。一般的な仮想化環境管理ソフト１ａは論理サーバが稼動する物理サーバ３を特定可能な情報を有している。また、同ソフトは一般的な手段を解して物理サーバ３に論理サーバ割り当て管理を行う。これに加えて本実施形態の構成として、同ソフト１ａは論理サーバ毎の暗証キーを管理するテーブルを有すると共に、そのテーブルを参照する機能を有する。さらに、物理サーバ３に論理サーバを割り当てる際に暗証キーを配信する機能と、論理サーバを当該サーバ３から削除する場合に当該暗証キーの削除を指示する機能を有する。
【００１９】
次に、本実施形態の動作を説明する。図２、図３に本実施形態の動作の流れを示す。
まず、暗証キーの配信と削除の流れを図２を参照して説明する。管理サーバ１の仮想化環境管理ソフト１ａは仮想サーバをある物理サーバ３に割り当て、あるいは移動、削除する機能を有する。この物理サーバ３への論理サーバの割り当てを行った時（図２のステップＳ１）、仮想化環境管理ソフト１ａは仮想サーバの暗証キーをテーブルから読み出し、同仮想サーバを割り当てた物理サーバ３に送信する（ステップＳ２）。これを受けた物理サーバ３は暗証キー記憶部に同仮想サーバの暗証キーを登録する（ステップＳ３）。また、仮想化環境管理ソフト１ａが仮想サーバに割り当てていた論理サーバを移動/削除する場合には、一般的な方法で同論理サーバ移動/削除処理を行うとともに、同論理サーバ用の暗証キーを該当物理サーバ３から削除するよう指示を行う。この指示を受けた物理サーバ３は暗証キー記憶部から該当する暗証キーを削除する。移動の場合は新たに移動先のサーバ３に対して、新規割り当てと同様に暗証キーを配信し、移動先の物理サーバ３に記憶させる。
【００２０】
次に、物理サーバ側で暗証キーを利用する場合の動作を図３、図４を参照して説明する。
まず、サーバ３は暗証キー記憶部に暗証キーが記憶されている時はプロテクトモードにあり、電源スイッチ６、リセットスイッチ７の操作を受け付けない状態にある。ただし、初期状態で、暗証キー記憶部に暗証キーを記憶していない場合や、すべての暗証キーを消去した状態の場合にはプロテクトモードにはならず一般的なサーバと同様なキー操作が可能となる。
【００２１】
サーバ３がプロテクトモードにある場合において、権限のあるサーバ３の操作者がサーバ３の電源をオフとする場合、まず、電源スイッチ６を操作することによって暗証キーを入力する（ステップＳ４）。例えば、暗証キーが「３２１３」であった場合、操作者は図４に示すように、間隔を空けずに３回電源スイッチ６を押し下げ、次いで、少し間隔を空け、また、間隔を空けずに２回押し下げ、次いで、少し間隔を空け、また、間隔を空けずに１回押し下げ、次いで、少し間隔を空け、また、間隔を空けずに３回押し下げる。
【００２２】
この操作が行われると、サーバ３の管理モジュール８が「３２１３」なる認証キーが入力されたことを認識し、暗証キー記憶部内の暗証キーと入力された暗証キーとを比較する（ステップＳ５）。そして、両者が一致しなかった場合（認証ＮＧの場合）は再度認証キーの入力を待ち、一方、両者が一致した場合（認証ＯＫの場合）は、サーバ３がノンプロテクトモードに遷移する。これにより、一般サーバと同様に電源スイッチ６は電源スイッチとして、リセットスイッチ７はリセットスイッチとして機能し、電源スイッチ６によって電源オフの操作をすれば電源をオフとすることができる（ステップＳ６）。そして、ノンプロテクトモードに遷移後、一定時間が経過した後には自動的にプロテクトモードに遷移する。
【００２３】
なお、上記実施形態においては、電源スイッチ６のみを操作対象としてが、電源スイッチ６とリセットスイッチ７の操作順序を暗証キーに組み込んでもよい。
上記実施形態によれば、認証キーを知らない悪意の操作者や別のサーバの管理者は当該サーバの電源スイッチ６を操作することができず、これにより、悪意の操作や誤操作を防ぐことができる。また、当該サーバを特定の論理サーバとして認識している管理者にのみ認証キーを知らせておくことにより、単なる物理サーバとして認識し電源オフを行う誤操作を防ぐことができる。また、錠前やカードリーダ等の部品を設ける必要がないので、安価に実施できる利点がある。また、サーバ管理者の手を借りることができない緊急の場合においても電源切断やリセットなどが行える環境を人為ミスや悪意の第３者による妨害を排除しつつ提供することができる。
【産業上の利用可能性】
【００２４】
本発明は、主としてデータセンタなど多数のサーバを収容する施設に用いられる。
【符号の説明】
【００２５】
１…管理サーバ
１ａ…仮想化環境管理ソフト
２…ネットワーク
３…サーバ
５…ファームウエア
６…電源スイッチ
７…リセットスイッチ
８…管理モジュール
【図１】
2010218516.tif 000003
【図２】
2010218516.tif 000004
【図３】
2010218516.tif 000005
【図４】
2010218516.tif 000006