(57)【特許請求の範囲】
【請求項１】
実計算機上に１つ以上の仮想計算機を構築する仮想計算機システムであって、
前記仮想計算機上で動作するオペレーティングシステムであるゲストＯＳまたは当該ゲストＯＳ上で動作するアプリケーションによる仮想化されたハードウェアに対するアクセスを、前記実計算機が備える物理デバイスによって実現するハイパバイザを有し、
前記ハイパバイザは、
前記仮想計算機システムに適用されるセキュリティポリシを、前記ゲストＯＳの種類または前記アプリケーションの種類に応じた設定項目の設定値として示す設定項目情報を保持する設定項目情報保持手段と、
前記設定項目情報に基づいて、前記ゲストＯＳが実行する命令および前記物理デバイスの出力を監視して、前記ゲストＯＳが実行する命令又は前記物理デバイスの出力に含まれる値であり、かつ前記設定項目に対応する値である候補値を検出する設定検出手段と、
前記設定検出手段によって検出された前記候補値と、前記設定項目情報における前記候補値と同一の前記設定項目の設定値とが相違するとき、前記ゲストＯＳが実行する命令又は前記物理デバイスの出力に含まれる前記候補値の値を、前記設定値と同一の値に変更する設定適用手段と、
を備えることを特徴とする仮想計算機システム。
【請求項２】
前記ハイパバイザは、
前記セキュリティポリシで規定される項目と、当該項目に応じた前記ゲストＯＳの種類毎および前記アプリケーションの種類毎の設定項目との対応関係を示す対応情報を保持する対応情報保持手段と、
前記セキュリティポリシを管理している管理システムから、当該仮想計算機システムに適用される前記セキュリティポリシの情報を受け付けて、受け付けた前記セキュリティポリシの前記項目の設定内容を、保持される前記対応情報に基づいて、前記ゲストＯＳの種類および前記アプリケーションの種類に応じた１つ以上の設定項目の設定値に展開して設定項目情報を生成する設定項目情報生成手段と、
を備えることを特徴とする請求項１に記載の仮想計算機システム。
【請求項３】
前記設定適用手段は、
前記相違が検知された設定項目の参照または更新に係るハードウェアアクセス命令に対する応答の書き換えを行うことにより、当該設定項目の対象である前記ゲストＯＳまたは前記アプリケーションに設定値を適用させる
ことを特徴とする請求項１または２に記載の仮想計算機システム。
【請求項４】
前記設定適用手段は、
前記相違が検知された設定項目の対象である前記ゲストＯＳまたは前記アプリケーションが保有している機能を利用した通知を行うことにより、当該設定項目の対象である前記ゲストＯＳまたは前記アプリケーションに設定値を適用させる
ことを特徴とする請求項１または２に記載の仮想計算機システム。
【請求項５】
前記設定適用手段は、
前記相違が検知された設定項目の設定値を保持している物理デバイスに書き込みを行うことにより、当該設定項目の対象である前記ゲストＯＳまたは前記アプリケーションに設定値を適用させる
ことを特徴とする請求項１または２に記載の仮想計算機システム。
【請求項６】
前記設定適用手段は、
前記相違が検知された設定項目の対象である前記ゲストＯＳまたは前記アプリケーションが保有している機能を利用した通知として、当該ゲストＯＳまたは当該アプリケーションが受理する割り込みを発生させる
ことを特徴とする請求項４に記載の仮想計算機システム。
【請求項７】
前記設定適用手段は、
前記割り込みを、前記アプリケーションが動作している前記ゲストＯＳを介して発生させる
ことを特徴とする請求項６に記載の仮想計算機システム。
【請求項８】
実計算機上に１つ以上の仮想計算機を構築する仮想計算機システムに対してセキュリティポリシを強制するポリシ強制システムであって、
前記仮想計算機システムと、前記仮想計算機システムに適用させる前記セキュリティポリシを管理する管理システムと、を備え、
前記仮想計算機システムは、当該仮想計算機上で動作するオペレーティングシステムであるゲストＯＳまたは当該ゲストＯＳ上で動作するアプリケーションによる仮想化されたハードウェアに対するアクセスを、前記実計算機が備える物理デバイスによって実現するハイパバイザを有し、
前記ハイパバイザは、
前記仮想計算機システムに適用される前記セキュリティポリシを、前記ゲストＯＳの種類または前記アプリケーションの種類に応じた設定項目の設定値として示す設定項目情報を保持する設定項目情報保持手段と、
前記設定項目情報に基づいて、前記ゲストＯＳが実行する命令および前記物理デバイスの出力を監視して、前記ゲストＯＳが実行する命令又は前記物理デバイスの出力に含まれる値であり、かつ前記設定項目に対応する値である候補値を検出する設定検出手段と、
前記設定検出手段によって検出された前記候補値と、前記設定項目情報における前記候補値と同一の前記設定項目の設定値とが相違するとき、前記ゲストＯＳが実行する命令又は前記物理デバイスの出力に含まれる前記候補値の値を、前記設定値と同一の値に変更する設定適用手段と、
を備えることを特徴とするポリシ強制システム。
【請求項９】
実計算機上に１つ以上の仮想計算機を構築する仮想計算機システムに対してセキュリティポリシを強制するポリシ強制方法であって、
前記仮想計算機上で動作するオペレーティングシステムであるゲストＯＳまたは当該ゲストＯＳ上で動作するアプリケーションによる仮想化されたハードウェアに対するアクセスを、前記実計算機が備える物理デバイスによって実現するハイパバイザを有し、
前記ハイパバイザが、前記仮想計算機システムに適用される前記セキュリティポリシを、前記ゲストＯＳの種類または前記アプリケーションの種類に応じた設定項目の設定値として示す設定項目情報を保持する設定項目情報保持ステップと、
前記ハイパバイザが、前記設定項目情報に基づいて、前記ゲストＯＳが実行する命令および前記物理デバイスの出力を監視して、前記ゲストＯＳが実行する命令又は前記物理デバイスの出力に含まれる値であり、かつ前記設定項目に対応する値である候補値を検出する設定検出ステップと、
前記ハイパバイザが、前記設定検出ステップにおいて検出された前記候補値と、前記設定項目情報における前記候補値と同一の前記設定項目の設定値とが相違するとき、前記ゲストＯＳが実行する命令又は前記物理デバイスの出力に含まれる前記候補値の値を、前記設定値と同一の値に変更する設定適用ステップと、
を含むことを特徴とするポリシ強制方法。
【請求項１０】
実計算機上に１つ以上の仮想計算機を構築する仮想計算機システムにおける仮想計算機制御用プログラムであって、
前記仮想計算機上で動作するオペレーティングシステムであるゲストＯＳまたは当該ゲストＯＳ上で動作するアプリケーションによる仮想化されたハードウェアに対するアクセスを、前記実計算機が備える物理デバイスによって実現するハイパバイザを有し、
前記ハイパバイザは、
前記仮想計算機システムに適用されるセキュリティポリシを、前記ゲストＯＳの種類または前記アプリケーションの種類に応じた設定項目の設定値として示す設定項目情報を保持する設定項目情報保持手順と、
前記設定項目情報に基づいて、前記ゲストＯＳが実行する命令および前記物理デバイスの出力を監視して、前記ゲストＯＳが実行する命令又は前記物理デバイスの出力に含まれる値であり、かつ前記設定項目に対応する値である候補値を検出する設定検出手順と、
前記設定検出手順によって検出された前記候補値と、前記設定項目情報における前記候補値と同一の前記設定項目の設定値とが相違するとき、前記ゲストＯＳが実行する命令又は前記物理デバイスの出力に含まれる前記候補値の値を、前記設定値と同一の値に変更する設定適用手順と、
をコンピュータに実行させることを特徴とする仮想計算機制御用プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、仮想計算機システム、ポリシ強制システム、ポリシ強制方法及び仮想計算機制御用プログラムに関する。
【背景技術】
【０００２】
仮想計算機システム（Virtual Machine System）とは、実計算機であるホストコンピュータ上に１つ以上の仮想計算機（Virtual Machine）を生成し、各々の仮想計算機上でＯＳをそれぞれ独立に実行させることを可能にしたシステムである。仮想計算機は、ホストコンピュータの資源（リソース）を利用して運用される。仮想計算機上で稼働される仮想的なＯＳを、ゲストＯＳという。
【０００３】
これまで、仮想計算機システムを用いない通常のコンピュータシステム（ＰＣなど）においては、ＯＳおよびアプリケーションソフトウェアの設定を強制する場合、ＯＳで準備されている機能、または専用のエージェントをインストールすることで実現していた。なお、ポリシの強制という表現には、セキュリティポリシに沿った設定値を強制的に設定するだけでなく、それを適用させる行為を含んでいる。
【０００４】
近年、ユーザが利用するＯＳを分けることができる仮想計算機システムが注目を集めている。仮想計算機システムでは、ゲストＯＳからのハードウェアアクセスは仮想化され、ＶＭＭを経由することによって物理デバイスへの実際のアクセスを実現している。仮想計算機システムにおけるゲストＯＳおよびそのゲストＯＳで動作するアプリケーションに対するポリシの強制に関し、例えば、特許文献１には、ホストＯＳ（具体的には、ハイパバイザ）が表示する制御画面を有し、その制御画面にゲストＯＳに対するコマンドと実行条件等を入力して、そのコマンド等をホストＯＳ側からの入力によりゲストＯＳに実行させる計算機システムが記載されている。
【０００５】
また、例えば、特許文献２には、ホストＯＳ側の操作によって、ゲストＯＳ配下の自動起動ファイルや動作環境ファイルのパラメータを変更することにより、ゲストＯＳ上で動作する応用プログラムの起動やゲストＯＳ配下の応用プログラムが動作するのに必要な動作環境（ゲストＯＳの動作環境）の変更を行うことができるプログラム起動方法が記載されている。
【０００６】
また、例えば、特許文献３には、ユーザによって画面上で編集された構成データを、プラント内の各装置のデータ形式に変換して送信することにより、プラント内の装置の変更等を行うプロセス監視システムが記載されている。
【０００７】
また、例えば、特許文献４には、情報処理装置におけるネットワーク設定情報を自動で取得する方法が記載されており、また、例えば、特許文献５には、印刷処理装置における濃度設定パラメータを強制的に設定する方法が開示されている。
【０００８】
【特許文献１】特開２００５−１３５１３７号公報
【特許文献２】特開平０５−０５３８３３号公報
【特許文献３】特開２００４−３３４３６０号公報
【特許文献４】特開２００３−１１０５６４号公報
【特許文献５】特開２００４−３０６５５５号公報
【発明の開示】
【０００９】
現在、多くの企業が企業内での情報共有を目的に、イントラネットと呼ばれる情報処理インフラストラクチャを整備している。イントラネットは、サーバやクライアントなどの任意の数のコンピュータシステムによって構成される。
【００１０】
これまで、仮想計算機システムを用いない通常のコンピュータシステム（パーソナルコンピュータなど）において、ＯＳやそのＯＳ上で動作するアプリケーション（応用プログラム）にセキュリティポリシ（以下、単にポリシと呼ぶことがある。）を強制する場合には、ＯＳで準備されている機能、または専用のエージェントをインストールすることにより実現されていた。
【００１１】
しかし、仮想計算機システムの場合、ユーザが使用する仮想計算機上（ゲストＯＳ上）で、ポリシと異なる設定をゲストＯＳやゲストＯＳ上で動作するアプリケーションに行ったとき、ゲストＯＳ上に特別なエージェントを設置することなしに正しいポリシの強制を行うことができなかった。
【００１２】
例えば、ゲストＯＳ上に特別なエージェントを設置すれば、ゲストＯＳやゲストＯＳ上で動作するアプリケーションが認識している設定内容を取得したり、或いは、ポリシに沿った設定内容に変更し、それを通知させることは容易に実現できる。
【００１３】
しかし、この実現方法では、ゲストＯＳにポリシの強制のための改変が必要になるという問題があった。従って、ゲストＯＳ上に特別なエージェントを設置することなしに、ゲストＯＳやゲストＯＳ上で動作するアプリケーションに対し、ポリシを強制できることが好ましい。
【００１４】
なお、特許文献１に記載されている技術では、各ゲストＯＳで実行されるコマンドを自動実行させてゲストＯＳ間を連動させようということが目的である。そのため、ポリシの強制のために、ゲストＯＳやその上で動作するアプリケーションの種類に応じた設定をどう管理し検知するのか、また設定を変更した場合にそれをどう適用させるのか、といったことが考慮されているわけではない。例えば、ゲストＯＳ上で動作するアプリケーションに対して、ポリシを強制しようとすると、変更後の内容を適用させるためにはアプリケーションの再起動が必要となる。
【００１５】
また、特許文献２に記載されているプログラム起動方法についても、ゲストＯＳが参照する自動起動ファイルや動作環境ファイルを書き換えることができるだけであって、ゲストＯＳやその上で動作するアプリケーションの種類に応じた設定をどう管理し検知するのか、また設定を変更した場合にそれをどう適用させるのかといったことが考慮されているわけではない。
【００１６】
また、特許文献３〜５に記載されている技術は、実計算機を対象にしているのであって、仮想計算機を対象にしたシステムに適用しようとすると、ゲストＯＳ上に特別なエージェントを設置しなければならない。
【００１７】
そこで、本発明の目的は、ゲストＯＳ上に特別なエージェントを設置することなしに、ゲストＯＳやゲストＯＳ上で動作しているアプリケーションに対してポリシの強制を行うことができる仮想計算機システム、ポリシ強制システム、ポリシ強制方法及び仮想計算機制御用プログラムを提供することにある。
【００１８】
本発明による仮想計算機システムは、実計算機上に１つ以上の仮想計算機を構築する仮想計算機システムであって、
前記仮想計算機上で動作するオペレーティングシステムであるゲストＯＳまたは当該ゲストＯＳ上で動作するアプリケーションによる仮想化されたハードウェアに対するアクセスを、前記実計算機が備える物理デバイスによって実現するハイパバイザを有し、
前記ハイパバイザは、
前記仮想計算機システムに適用されるセキュリティポリシを、前記ゲストＯＳの種類または前記アプリケーションの種類に応じた設定項目の設定値として示す設定項目情報を保持する設定項目情報保持手段と、
前記設定項目情報に基づいて、前記ゲストＯＳが実行する命令および前記物理デバイスの出力を監視して、前記設定項目情報保持手段の前記設定項目に設定されている設定値または変更されようとしている設定値を検出する設定検出手段と、
前記設定検出手段によって検出された設定値と前記設定項目情報で示される設定値とが相違するとき、前記設定項目の設定対象である前記ゲストＯＳまたは前記アプリケーションからのハードウェアアクセスを用いて、当該ゲストＯＳまたは当該アプリケーションに前記設定項目情報で示される設定値を適用させる設定適用手段と、を備えることを特徴とする。
【００１９】
また、本発明によるポリシ強制システムは、実計算機上に１つ以上の仮想計算機を構築する仮想計算機システムに対してセキュリティポリシを強制するポリシ強制システムであって、
前記仮想計算機システムと、前記仮想計算機システムに適用させる前記セキュリティポリシを管理する管理システムと、を備え、
前記仮想計算機システムは、当該仮想計算機上で動作するオペレーティングシステムであるゲストＯＳまたは当該ゲストＯＳ上で動作するアプリケーションによる仮想化されたハードウェアに対するアクセスを、前記実計算機が備える物理デバイスによって実現するハイパバイザを有し、
前記ハイパバイザは、
前記仮想計算機システムに適用される前記セキュリティポリシを、前記ゲストＯＳの種類または前記アプリケーションの種類に応じた設定項目の設定値として示す設定項目情報を保持する設定項目情報保持手段と、
前記設定項目情報に基づいて、前記ゲストＯＳが実行する命令および前記物理デバイスの出力を監視して、前記設定項目情報保持手段の前記設定項目に設定されている設定値または変更されようとしている設定値を検出する設定検出手段と、
前記設定検出手段によって検出された設定値と前記設定項目情報で示される設定値とが相違するとき、前記設定項目の設定対象である前記ゲストＯＳまたは前記アプリケーションからのハードウェアアクセスを用いて、当該ゲストＯＳまたは当該アプリケーションに前記設定項目情報で示される設定値を適用させる設定適用手段と、を備えることを特徴とする。
【００２０】
また、本発明によるポリシ強制方法は、実計算機上に１つ以上の仮想計算機を構築する仮想計算機システムに対してセキュリティポリシを強制するポリシ強制方法であって、
前記仮想計算機上で動作するオペレーティングシステムであるゲストＯＳまたは当該ゲストＯＳ上で動作するアプリケーションによる仮想化されたハードウェアに対するアクセスを、前記実計算機が備える物理デバイスによって実現するハイパバイザを有し、
前記ハイパバイザが、前記仮想計算機システムに適用される前記セキュリティポリシを、前記ゲストＯＳの種類または前記アプリケーションの種類に応じた設定項目の設定値として示す設定項目情報を保持する設定項目情報保持ステップと、
前記ハイパバイザが、前記設定項目情報に基づいて、前記ゲストＯＳが実行する命令および前記物理デバイスの出力を監視して、前記設定項目情報保持ステップにおいて前記設定項目に設定されている設定値または変更されようとしている設定値を検出する設定検出ステップと、
前記ハイパバイザが、前記設定検出ステップにおいて検出された設定値と前記設定項目情報で示される設定値とが相違するとき、前記設定項目の設定対象である前記ゲストＯＳまたは前記アプリケーションからのハードウェアアクセスを用いて、当該ゲストＯＳまたは当該アプリケーションに前記設定項目情報で示される設定値を適用させる設定適用ステップと、
を含むことを特徴とする。
【００２１】
また、本発明による仮想計算機制御用プログラムは、実計算機上に１つ以上の仮想計算機を構築する仮想計算機システムにおける仮想計算機制御用プログラムであって、
前記仮想計算機上で動作するオペレーティングシステムであるゲストＯＳまたは当該ゲストＯＳ上で動作するアプリケーションによる仮想化されたハードウェアに対するアクセスを、前記実計算機が備える物理デバイスによって実現するハイパバイザを有し、
前記ハイパバイザは、
前記仮想計算機システムに適用されるセキュリティポリシを、前記ゲストＯＳの種類または前記アプリケーションの種類に応じた設定項目の設定値として示す設定項目情報を保持する設定項目情報保持手順と、
前記設定項目情報に基づいて、前記ゲストＯＳが実行する命令および前記物理デバイスの出力を監視して、前記設定項目情報保持手順の前記設定項目に設定されている設定値または変更されようとしている設定値を検出する設定検出手順と、
前記設定検出手順によって検出された設定値と前記設定項目情報で示される設定値とが相違するとき、前記設定項目の設定対象である前記ゲストＯＳまたは前記アプリケーションからのハードウェアアクセスを用いて、当該ゲストＯＳまたは当該アプリケーションに前記設定項目情報で示される設定値を適用させる設定適用手順と、
をコンピュータに実行させることを特徴とする。
【００２２】
本発明によれば、ゲストＯＳ上に特別なエージェントを設置することなしに、ゲストＯＳおよびゲストＯＳ上で動作しているアプリケーションに対して、セキュリティポリシの強制を行うことができる。
【図面の簡単な説明】
【００２３】
上述した目的、およびその他の目的、特徴および利点は、以下に述べる好適な実施の形態、およびそれに付随する以下の図面によってさらに明らかになる。
【００２４】
【図１】本発明に係る仮想計算機システムの構成例を示すブロック図である。
【図２】本発明に係る仮想計算機システムの他の構成例を示すブロック図である。
【図３】本発明に係るポリシ強制システムの構成例を示すブロック図である。
【図４】本発明に係る管理システムの動作例を示すフローチャートである。
【図５】本発明に係る管理システムが仮想計算機システムに送信するポリシ設定情報の例を示す説明図である。
【図６】本発明に係る管理システムが仮想計算機システムに送信する対応情報と一体化させたポリシ設定情報の例を示す説明図である。
【図７】本発明に係る仮想計算機システムのＶＭＭ部およびホストＯＳ部の動作の一例を示すフローチャートである。
【図８】本発明に係る仮想計算機システムのゲストＯＳ部の動作の一例を示すフローチャートである。
【発明を実施するための最良の形態】
【００２５】
（第１の実施形態）
以下、本発明の実施形態について、図面を参照して説明する。図１は、本発明による仮想計算機システム６００の構成例を示すブロック図である。
【００２６】
図１に示す仮想計算機システム６００は、各仮想計算機上で動作するオペレーティングシステムであるゲストＯＳ３４１またはゲストＯＳ３４１上で動作するアプリケーション３５１による仮想化されたハードウェアに対するアクセスを、実計算機が備える物理デバイス６０によって実現するハイパバイザ５０を具備している。
【００２７】
ハイパバイザ５０は、設定検出手段１１と、設定適用手段１２と、設定項目情報保持手段２１とを備える。
【００２８】
設定検出手段１１は、設定項目情報保持手段２１が保持する設定項目情報に基づき、ゲストＯＳ３４１が実行する命令および物理デバイス６０からの出力を監視して、設定項目情報で示される各設定項目に現に設定されている設定値または変更されようとしている設定値を検出する。
【００２９】
ここで、設定項目情報とは、当該ハイパバイザ５０を具備している仮想計算機システム６００に適用されるセキュリティポリシを、ゲストＯＳ３４１の種類またはゲストＯＳ３４１上で動作するアプリケーション３５１の種類に応じた設定項目の設定値として示す情報であって、設定項目情報保持手段２１によって保持される。
【００３０】
設定項目情報保持手段２１は、例えば、当該ハイパバイザ５０に対し、割り当てられた記憶領域に設定項目情報用の記憶領域を確保し、確保した記憶領域に値を保持させることによって、ハイパバイザ５０に他の手段によってアクセス可能に設定項目情報を保持する。
【００３１】
設定検出手段１１は、例えば、設定項目情報に、あるセキュリティポリシに沿うためのゲストＯＳ３４１に対する設定項目として、所定のレジストリの値を１にする旨の情報が登録されている場合には、そのレジストリの参照に伴うハードウェアアクセス命令であるか否かを監視して、そのハードウェアアクセス命令に応じて行われる物理デバイス６０への読み込みにより、現に設定されている設定値を検出してもよい。また、そのレジストリの更新に伴うハードウェアアクセスを監視して、そのハードウェアアクセス要求に含まれる更新値を参照することにより、変更されようとしている設定値を検出してもよい。なお、設定項目は、レジストリに対応づけられているものに限らず、設定項目情報によってどのような方法によって設定がなされるかが示されていればよい。例えば、ある設定ファイルに保持される項目であってもよい。
【００３２】
設定適用手段１２は、設定検出手段１１によって検出された設定値と設定項目情報保持手段２１が保持する設定項目情報で示される設定値とが相違する場合に、相違を検知した設定項目の参照または更新に伴うハードウェアアクセス命令に対する応答の書き換え、該設定項目の設定値を保持している物理デバイス６０への書き込み、該設定項目の対象であるゲストＯＳ３４１またはアプリケーション３５１が保有している機能を利用した通知のいずれかまたはそれらを組み合わせて行うことにより、該設定項目の対象であるゲストＯＳ３４１またはアプリケーション３５１に、前記設定項目情報で示される設定値を適用させる。
【００３３】
設定適用手段１２は、例えば、相違を検知した設定項目の参照または更新に係るハードウェアアクセス命令に対する応答の書き換えを行うことにより、該設定項目の対象であるゲストＯＳ３４１またはアプリケーション３５１に設定値を適用させてよい。
【００３４】
設定適用手段１２は、例えば、相違を検知した設定項目の対象であるゲストＯＳ３４１またはアプリケーション３５１が保有している機能を利用した通知を行うことにより、該設定項目の対象であるゲストＯＳ３４１またはアプリケーション３５１に設定値を適用させてもよい。
【００３５】
また、例えば、さらに相違を検知した設定項目の設定値を保持している物理デバイス６０に書き込みを行うことにより、該設定項目の対象であるゲストＯＳ３４１またはアプリケーション３５１に設定値を適用させてもよい。
【００３６】
また、設定適用手段１２は、相違を検知した設定項目の対象であるゲストＯＳ３４１またはアプリケーション３５１が保有している機能を利用した通知として、該ゲストＯＳ３４１または該アプリケーション３５１が受理する割り込みを発生させてもよい。また、該当した設定項目の対象であるアプリケーション３５１が保有している機能を利用した通知として、該アプリケーション３５１が受理する割り込みを、該アプリケーション３５１が動作しているゲストＯＳ３４１を介して発生させることも可能である。
【００３７】
より具体的には、例えば、設定項目の参照に伴うハードウェアアクセス命令を検出することによって該設定項目の設定値の相違を検知した場合には、該ハードウェアアクセス命令に対する応答における物理デバイス６０からの参照値を設定項目情報で示される設定値に書き換えることにより、該設定項目の対象であるゲストＯＳ３４１またはアプリケーション３５１に設定値を適用させてもよい。
【００３８】
また、例えば、設定項目の更新に伴うハードウェアアクセス命令を検出することにより該設定項目の設定値の相違を検知した場合には、該ハードウェアアクセス命令に対する応答における処理結果を更新不可の旨に書き換えることにより、該設定項目の対象であるゲストＯＳ３４１またはアプリケーション３５１に設定値を適用させてもよい。
【００３９】
また、例えば、設定項目の更新に伴うハードウェアアクセス命令を検出することにより該設定項目の設定値の相違を検知した場合には、該ハードウェアアクセス命令による物理デバイス６０への書き換えは行わずに、該設定項目の対象であるゲストＯＳ３４１またはアプリケーション３５１が受理する割り込みを発生させることにより、該設定項目の対象であるゲストＯＳ３４１またはアプリケーション３５１に設定値を適用させてもよい。
【００４０】
このような場合には、例えば、該設定項目の対象であるゲストＯＳ３４１やアプリケーション３５１が、物理デバイス６０への書き換え結果に関わらず設定値で動作するような場合であっても、外部により正しい設定値へ変更されたと同じように知らせることができる。なお、実際の適用は、割り込みを発生させることにより行われる該設定項目の参照に伴うハードウェアアクセスにより実行される。
【００４１】
また、仮想計算機システム６００は、図２に示すように、さらに設定項目情報生成手段１３や、対応情報保持手段２２を備えていてもよい。図２に示す仮想計算機システム６１０は、ネットワーク２００を介して、管理システム１００と接続されている。
【００４２】
設定項目情報生成手段１３は、セキュリティポリシを管理している管理システム１００から、当該仮想計算機システム６１０に適用されるセキュリティポリシの情報を受け付けて、受け付けたセキュリティポリシの各項目を、対応情報保持手段２２が保持する対応情報に基づいて、ゲストＯＳ３４１の種類およびゲストＯＳ３４１上で動作しているアプリケーション３５１の種類に応じた１つ以上の設定項目の設定値に展開して設定項目情報を生成する。
【００４３】
ここで、対応情報とは、セキュリティポリシの各項目と、該項目に応じたゲストＯＳ３４１の種類毎およびゲストＯＳ３４１上で動作しているアプリケーション３５１の種類毎の設定項目との対応関係を示す情報であって、対応情報保持手段２２によって保持される。
【００４４】
対応情報保持手段２２は、例えば、セキュリティポリシの各項目の情報（識別子や取りうる値等）と、該項目に応じたゲストＯＳ３４１の種類毎およびゲストＯＳ３４１上で動作しているアプリケーション３５１の種類毎の設定項目の情報（設定方法や対応する設定値等）とを対応づけて保持すればよい。
【００４５】
対応情報保持手段２２は、例えば、ハイパバイザ７０に対し、割り当てられた記憶領域に対応情報用の記憶領域を確保し、確保した記憶領域に値を保持させることによって、ハイパバイザ７０に他の手段によってアクセス可能な対応情報を保持する。
【００４６】
このような構成では、例えば、設定適用手段１２は、設定検出手段１１が検出した各設定項目の情報を保持するようにする。設定項目情報生成手段１３による設定項目情報の更新により設定項目の設定値の相違を検知した場合に、物理デバイス６０に更新後の設定値を書き込むことにより、該設定項目の対象であるゲストＯＳ３４１またはアプリケーション３５１に設定値を適用させてもよい。なお、実際の適用には、該設定項目の対象であるゲストＯＳ３４１またはアプリケーション３５１が、物理デバイス６０が書き換えられたことを検知する機能を有している場合に、その自動検知により行われる該設定項目の参照に伴うハードウェアアクセスにより実行される。
【００４７】
また、例えば、設定適用手段１２は、設定項目情報生成手段１３による設定項目情報の更新により設定項目の設定値の相違を検知した場合に、該設定項目の対象であるゲストＯＳ３４１またはアプリケーション３５１が受理する割り込みを発生させることにより、該設定項目の対象であるゲストＯＳ３４１またはアプリケーション３５１に設定値を適用させてもよい。なお、実際の適用は、割り込みを発生させることにより行われる該設定項目の参照に伴うハードウェアアクセスにより実行される。
【００４８】
また、例えば、設定項目情報の更新により設定項目の設定値の相違を検知した場合に、物理デバイス６０に更新された設定値を書き込み、その後該設定項目の対象であるゲストＯＳ３４１またはアプリケーション３５１が受理する割り込みを発生させることにより、該設定項目の対象であるゲストＯＳ３４１またはアプリケーション３５１に設定値を適用させてもよい。
【００４９】
設定適用手段１２は、例えば、ＯＳの種類毎またはアプリケーションの種類毎に各設定項目に対してどのような適用方法を採用するかを示す情報を保持するようにし、その情報に基づいて所定の処理を行えばよい。
【００５０】
また、例えば、設定項目情報保持手段２１に保持される情報の更新により設定項目の設定値の相違を検知した場合に、物理デバイス６０に更新後の設定値を書き込むことにより、該設定項目の対象であるゲストＯＳ３４１またはアプリケーション３５１に設定値を適用させてもよい。
【００５１】
また、設定適用手段１２は、該当した設定項目の対象であるアプリケーション３５１が動作しているゲストＯＳ３４１が保有している機能を利用して、例えば、該アプリケーション３５１が受理する割り込み（ソフトウェア割り込み）を発生させてもよい.
【００５２】
また、設定適用手段１２は、物理デバイス６０に書き込みを行う場合に、該当する設定項目の対象であるゲストＯＳ３４１またはアプリケーション３５１用にハードウェア資源として割り当てられた対応するハードウェア領域に対しても書き込みを行うようにしてもよい。例えば、レジストリ情報がページプールに格納されている場合に、そのページプールに格納されているレジストリ情報を書き換えるだけでなく、例えば物理メモリ上のレジストリ情報をも書き換えるようにしてもよい。
【００５３】
なお、設定検出手段１１、設定適用手段１２、設定項目情報生成手段１３は、具体的には、ハイパバイザ機能を実現させる制御プログラムに従って動作するＣＰＵ等のプロセッサによって実現される。また、設定項目情報保持手段２１、対応情報保持手段２２は、具体的には、ハイパバイザ７０用に割り当てられたメモリ等の記憶装置によって実現される。なお、一般的には、ハイパバイザといった場合には、ハイパバイザ機能を実現させる制御プログラムを指すが、本発明において「ハイパバイザは〜する」という表現を用いた場合には、ＣＰＵ等のプロセッサが、ハイパバイザ機能を実現する制御プログラムに従って所定の処理を実行することを示す。
【００５４】
次に、より具体的な構成例について説明する。図３は、本発明によるポリシ強制システム５００の構成例を示すブロック図である。図３に示すポリシ強制システム５００は、仮想計算機システム３００に対して、セキュリティポリシを強制するポリシ強制システムであって、管理システム１００と、仮想計算機システム３００とを備えている。管理システム１００と仮想計算機システム３００とは、ネットワーク２００を介して接続されている。なお、図３には、１つの仮想計算機システム３００を示しているが、セキュリティポリシを強制する対象となる仮想計算機システム３００は、複数あってもよい。また、仮想計算機システム以外のコンピュータシステムが含まれていてもよい。
【００５５】
管理システム１００は、企業などの管理者によって管理され、仮想計算機システム３００に適用するセキュリティポリシの情報（以下、ポリシ設定情報という。）を管理するポリシ設定情報管理手段１１０と、ポリシ設定情報を仮想計算機システム３００に送信するポリシ設定情報送信手段１２０とを備えている。
【００５６】
ポリシ設定情報管理手段１１０は、具体的には、管理者からセキュリティポリシの設定を受け付て、ポリシ設定情報として記憶したり、セキュリティポリシが変更された場合にポリシ設定情報送信手段１２０に送信を依頼したりする。ポリシ設定情報は、例えば、適用されるセキュリティポリシの項目を識別するための識別子と、その項目をどう設定するかの情報（許否等）とを含む情報であってもよい。また、例えば、その項目の設定が適用される条件として、使用ユーザの条件や、使用ＯＳの条件等を含んでいてもよい。
【００５７】
仮想計算機システム３００は、ハードウェア３１０と、仮想計算機モニタ部３２０（以下、ＶＭＭ部３２０という。）と、ホストＯＳ部３３０と、ゲストＯＳ部３４０と、アプリケーション部３５０とを備えている。
【００５８】
なお、図３において、ハードウェア３１０は、図１で示した物理デバイス６０に相当するものであり、各物理機器を有している。それに対し、ＶＭＭ部３２０やホストＯＳ部３３０、ゲストＯＳ部３４０、アプリケーション部３５０は、それぞれその機能が具現化させたプログラムを実行することによって実現される抽象的な処理ブロックを示している。
【００５９】
例えば、ＶＭＭ部３２０は、仮想計算機モニタ機能を具現化した制御プログラム（ＶＭＭプログラム）により実現される処理ブロックを示している。なお、一般には、単にＶＭＭと呼ばれることが多いが、ＶＭＭ部３２０は、具体的には、ＶＭＭプログラムに従って動作するＣＰＵ等のプロセッサによって実現される。なお、ＶＭＭプログラムは、ホストＯＳ部３３０からの制御によって駆動される。
【００６０】
また、ＶＭＭ部３２０は、物理ディスクを参照したり、ゲストＯＳ部３４０やゲストＯＳ部３４０上で動作するアプリケーション部３５０の処理を捕捉することによって、当該仮想計算機システム３００上で動作しているゲストＯＳ部３４０の種類およびそのゲストＯＳ部３４０上で動作するアプリケーション部３５０の種類を判別する機能を有している。
【００６１】
ホストＯＳ部３３０は、当該仮想計算機システム３００の実計算機上で動作するＯＳ（ホストＯＳ）プログラムにより実現される処理ブロックを示している。なお、一般には、単にホストＯＳと呼ばれることが多いが、ホストＯＳ部３３０は、具体的には、そのホストＯＳプログラムに従って動作するＣＰＵ等のプロセッサによって実現される。
【００６２】
なお、例えば、ＶＭＭ部３２０とホストＯＳ部３３０とを区別せずに、当該仮想計算機システム３００の実計算機上で動作するハイパバイザプログラムにより実現する処理ブロックであるハイパバイザ部として実装することも可能である。なお、このＶＭＭ部３２０とホストＯＳ部３３０とを区別せずに実装したハイパバイザ部が、図１に示すハイパバイザ５０に相当する。
【００６３】
また、ゲストＯＳ部３４０は、当該仮想計算機システム３００の仮想計算機上で動作するＯＳ（ゲストＯＳ）プログラム（即ち、ゲストＯＳ３４１）により実現される処理ブロックを示している。ゲストＯＳプログラムは、例えば、Ｗｉｎｄｏｗｓ（登録商標）などのユーザが利用するオペレーティングシステムプログラムである。なお、一般には、単にゲストＯＳと呼ばれることが多いが、ゲストＯＳ部３４０は、具体的には、そのホストＯＳプログラムに従って動作するＣＰＵ等のプロセッサによって実現される。なお、ゲストＯＳプログラムは、ＶＭＭ部３２０からの制御により、仮想化されたハードウェア資源上で駆動される。
【００６４】
また、アプリケーション部３５０は、当該仮想計算機システム３００の仮想計算機上で動作するアプリケーションプログラム、（即ち、アプリケーション３５１）により実現される処理ブロックを示している。アプリケーションプログラムは、ゲストＯＳ上で動作し、ユーザが利用する応用プログラムであって、アプリケーション独自の設定項目を有している。なお、一般には、単にアプリケーションと呼ばれることが多いが、アプリケーション部３５０は、具体的には、そのアプリケーションプログラムに従って動作するＣＰＵ等のプロセッサによって実現される。なお、アプリケーションプログラムは、ゲストＯＳ部３４０からの制御により、仮想化されたハードウェア資源上で駆動される。
【００６５】
ハードウェア３１０は、ＣＰＵ３１１や、バス３１２、メモリ３１３、ディスク３１４などを含んでいる。
【００６６】
ＶＭＭ部３２０は、セキュリティポリシを強制するために、設定検出手段３２１と、設定通知手段３２２とを含んでいる。
【００６７】
設定検出手段３２１は、ゲストＯＳ３４１（ここでは、ゲストＯＳ部３４０と同一視することができる。）やアプリケーション３５１（ここでは、アプリケーション部３５０と同一視することができる。）の振る舞いを監視して、当該仮想計算機システム３００上で動作するゲストＯＳ３４１やそのゲストＯＳ３４１上で動作するアプリケーション３５１に適用されるセキュリティポリシに応じた各設定項目が、現に設定されている設定値または変更されようとしている設定値を検出する。なお、既に適切な設定値が設定されていることを前提にする場合には、変更されようとしている設定値を検出するだけでもよい。なお、本例では、設定検出手段３２１によって図１に示す設定検出手段１１の機能を実現している。
【００６８】
本実施形態では、設定検出手段３２１は、当該仮想計算機システム３００上で動作するゲストＯＳ３４１やそのゲストＯＳ３４１上で動作するアプリケーション３５１に適用されるセキュリティポリシに応じた各設定項目の情報を、後述するホストＯＳ部３３０の設定項目情報管理手段３３３から取得する。
【００６９】
設定検出手段３２１は、検出した設定値を設定項目情報管理手段３３３に通知する。
【００７０】
設定通知手段３２２は、ホストＯＳ部３３０の設定情報管理手段３３３からの指示に応じた通知処理を行うことにより、設定項目の正しい値（セキュリティポリシに沿った値）を、該設定項目の設定対象であるゲストＯＳ３４１またはアプリケーション３５１に適用させる。設定通知手段３２２は、例えば、設定項目情報管理手段３３３からの指示に従い、該設定項目の設定対象であるゲストＯＳ３４１またはアプリケーション３５１に対して割り込みを発行したり、ハードウェア３１０の各物理機器への書き込み処理を行ったり、設定検出手段３２１が検出したハードウェアアクセス命令の応答を書き換えたりする。
【００７１】
なお、本例では、設定通知手段３２２と設定項目情報管理手段３３３とによって図１に示す設定項目情報保持手段２１および設定適用手段１２の機能を実現している。
【００７２】
ホストＯＳ部３３０は、セキュリティポリシを強制するために、ポリシ設定受信手段３３１と、設定項目情報生成手段３３２と、設定項目情報管理手段３３３とを含んでいる。ポリシ設定受信手段３３１は、管理システム１００から当該仮想計算機システム３００に適用されるポリシ設定情報を受信する。
【００７３】
設定項目情報生成手段３３２は、受信したポリシ設定情報を、ゲストＯＳ３４１やゲストＯＳ３４１上で動作するアプリケーション３５１が判別可能な設定項目の情報に変換する。設定項目情報生成手段３３２は、具体的には、セキュリティポリシの各項目と、該項目に応じたゲストＯＳ４３１の種類毎およびゲストＯＳ３４１上で動作しているアプリケーション３５１の種類毎の設定項目との対応関係を示す対応情報を保持しておき、受信したポリシ設定情報で示される各項目の設定内容を、保持している対応情報に基づいて、ゲストＯＳ３４１の種類およびゲストＯＳ３４１上で動作しているアプリケーション３５１の種類に応じた１つ以上の設定項目の設定値に展開して設定項目情報を生成する。
【００７４】
なお、本例では、設定項目情報生成手段３３２によって図２に示す設定項目情報生成手段１３の機能を実現している。
【００７５】
設定項目情報生成手段３３２は、例えば、ポリシ設定情報が、当該仮想計算機システム３００に適用されるセキュリティポリシの項目とその設定内容とをＸＭＬ形式で示す情報であった場合に、ある項目に対し、ゲストＯＳ３４１が理解可能なレジストリフォーマットの形式に変換するなどの処理を行う。なお、設定項目情報生成手段３３２が変換を行う際に、ゲストＯＳ３４１の種類やアプリケーション３５１の種類やインストール場所などの情報を、予め設定項目情報管理手段３３３から受け取っているものとし、設定項目情報生成手段３３２は、対応情報とそれらの情報とに基づいて変換方法を決定すればよい。
【００７６】
例えば、レジストリを利用して設定の管理を行っているアプリケーションに対しては、レジストリ形式に変換し、ファイルを利用して設定の管理を行っているアプリケーションに対しては、メモリ上で利用可能な形式に変換すればよい。
【００７７】
設定項目情報管理手段３３３は、設定項目情報生成手段３３２が生成した設定項目情報を管理しつつ、ゲストＯＳ部３４１やアプリケーション部３５１が行う設定項目の読み出しと書き込みの情報を管理する手段である。また、設定項目情報管理手段３３３は、ゲストＯＳ３４１の種類や各ゲストＯＳ３４１上で動作しているアプリケーション３５１の種類の情報についても管理しているものとする。設定項目情報管理手段３３３は、具体的には、設定項目情報を保持するための記憶領域を確保し、その記憶領域に値を保持させたり、その値を設定項目情報生成手段３３２からの通知により更新したりする。
【００７８】
また、設定項目情報で示される各設定項目のゲストＯＳ３４１またはアプリケーション３５１における設定値の内容を保持するための記憶領域を確保し、その記憶領域に設定検出手段３２１から通知される設定値を保持させたりする。そして、ゲストＯＳ３４１またはアプリケーション３５１における設定値と設定項目情報で示されるセキュリティポリシに沿った設定値とを比較して、その相違を検出した場合には、設定項目情報で示されるセキュリティポリシに沿った設定値に変更させるべく、設定通知手段３２２に制御指示を行う。
【００７９】
次に、本実施形態の動作について説明する。図４は、本実施形態の管理システム１００の動作例を示すフローチャートである。図４に示すように、管理者によるセキュリティポリシの設定がなされると（ステップＳ１０１）、ポリシ設定情報管理手段１１０（図３）は、仮想計算機システム３００に適用させるポリシ設定情報としてその設定内容を保存する（ステップＳ１０２）。
【００８０】
ポリシ設定情報が更新されると、ポリシ設定情報送信手段１２０が、そのポリシ設定情報を仮想計算機システム３００に送信する（ステップＳ１０３）。
【００８１】
図５は、ポリシ設定情報の例を示す説明図である。ポリシ設定情報管理手段１１０は、例えば、図５に示すような形式でセキュリティポリシの設定内容を保持するようにしてもよい。図５に示す例では、ユーザと、設定対象と、ポリシとを対応づけてリスト化している。例えば、ＵｓｅｒＡが特定のゲストＯＳ（ＯＳ（１））を使用する場合に、ＵＳＢメモリの使用を禁止する旨のセキュリティポリシが示されている。同様に、特定のゲストＯＳ（ＯＳ（２））を使用する場合に、外部記録メディアの使用を禁止する旨のセキュリティポリシが示されている。また、特定のアプリケーション（ＡＰ（１））がインストールされている環境では、「印刷」メニューを無効化する旨のセキュリティポリシが示されている。また、特定のアプリケーション（ＡＰ（２））がインストールされている環境では、「名前を付けて保存」メニューを無効化する旨のセキュリティポリシが示されている。また、ＵｓｅｒＢがＯＳ（１）を使用する場合には、Ｈｏｓｔｓファイルの強制設定を行う旨のセキュリティポリシが示されている。なお、図５は、一例であり、他の項目があってもよい。
【００８２】
また、例えば、図６に示すように、対応情報と一体化させてもよい。図６に示す例では、ユーザと、設定対象と、ポリシと、設定方法とを対応づけてリスト化している。図６では、例えば、ＵＳＢメモリの使用を禁止する旨のセキュリティポリシを設定する方法として、あるレジストリを変更する旨の設定方法が示されている。また、例えば、外部記録メディアの使用を禁止する旨のセキュリティポリシを設定する方法として、あるレジストリを変更する旨の設定方法が示されている。また、例えば、「印刷」メニューを無効化する旨のセキュリティポリシを設定する方法として、ＡＰ１の専用設定ファイルの変更をする旨の設定方法が示されている。また、例えば、Ｈｏｓｔｓファイルの強制設定を行う旨のセキュリティポリシを設定する方法として、ＯＳ設定ファイルの変更をする旨の設定方法が示されている。
【００８３】
次に、仮想計算機システム３００の動作について説明する。図７は、仮想計算機システム３００におけるＶＭＭ部３２０およびホストＯＳ部３３０の動作の一例を示すフローチャートである。まず、図７のステップＳ２００〜Ｓ２０３を参照して、ゲストＯＳ部３４０またはアプリケーション部３５０からの設定項目の変更に係る動作について説明する。
【００８４】
図７に示すように、ユーザからの設定に応じ、ゲストＯＳ３４１がその設定項目の更新を保存しようとしてハードウェアアクセス命令を発行すると（ステップＳ２００）、ＶＭＭ部３２０でそのハードウェアアクセスが捕捉される（ステップＳ２０１）。
【００８５】
このとき、設定検出手段３２１は、そのアクセスが設定項目に係るアクセスか否かを判断し（ステップＳ２０２）、設定項目に係るアクセスであれば（ステップＳ２０２のＹｅｓ）、その設定内容を検出して、ホストＯＳ部３３０に通知する（ステップＳ２０３）。設定検出手段３２１は、例えば、設定の変更が行われたこと、およびその変更値を検出し、その旨をホストＯＳ部３３０（具体的には、設定項目情報管理手段３３３）に通知すればよい。
【００８６】
なお、ステップＳ２００に関し、例えば、ユーザがゲストＯＳ３４１上で動作するアプリケーション３５１に対して設定を行った場合には、アプリケーション部３５０がゲストＯＳ部３４０を介してその設定項目の更新を保存しようとハードウェアアクセスを発行することになる。
【００８７】
一方、設定項目に係るアクセスでない場合には（ステップＳ２０２のＮｏ）、引き続き、ハードウェアアクセスか、またはポリシ設定情報の更新のいずれかを待ち受ける。
【００８８】
次に、図７のステップＳ２１０〜Ｓ２１２を参照して、管理システム１００からのポリシ設定情報の変更に係る動作について説明する。図７に示すように、管理システム１００上でセキュリティポリシが設定され、その内容であるポリシ設定情報が管理システム１００から送信されると、仮想計算機システム３００は、ホストＯＳ部３３０のポリシ設定受信手段３３１が、そのポリシ設定情報を受信する（ステップＳ２１０）。
【００８９】
ポリシ設定受信手段３３１がポリシ設定情報を受信すると、設定項目情報生成手段３３２は、そのポリシ設定情報で示されるセキュリティポリシの各項目を、当該仮想計算機システム３００上で動作するゲストＯＳ３４１やアプリケーション３５１が判別可能な設定項目の情報に変換を行うことにより、設定項目情報を生成する（ステップＳ２１１）。
【００９０】
設定項目情報生成手段３３２は、生成した設定項目情報を設定項目情報管理手段３３３に通知し、保持させて更新する（ステップＳ２１２）。
【００９１】
次に、図７のステップＳ２２０〜Ｓ２２３を参照して、設定項目の適用について説明する。ホストＯＳ部３３０の設定項目情報管理手段３３３は、ステップＳ２０３により通知されたゲストＯＳ部３４０（またはゲストＯＳ部３４０を介したアプリケーション部３５０）からの設定内容や、ステップＳ２１２によって更新された設定項目情報を受け取る。
【００９２】
設定項目情報管理手段３３３は、ゲストＯＳ部３４０やアプリケーション部３５０からの設定内容を受け取ると、その設定値が設定項目情報で示される設定項目の設定値（すなわち、セキュリティポリシに沿った設定値）と一致するか否かを判断する（ステップＳ２２０）。なお、設定項目情報管理手段３３３は、管理システム１００から設定項目情報を受け取った場合には、受け取った設定項目情報の内容で更新した上で、その設定項目情報で示される各設定項目の設定値と、これまで設定されていた設定値とが一致するか否かを判断する。
【００９３】
設定項目情報管理手段３３３は、設定項目の設定値に相違を発見した場合には、任意の設定によって（ステップＳ２３０）、その設定項目について設定処理を設定通知手段３２２に行わせる（ステップＳ２２１〜Ｓ２２３）。
【００９４】
例えば、物理デバイス６０に書き込む設定がされている場合には、ゲストＯＳ３４１やアプリケーション３５１が判別可能に変換された設定項目の設定値を、設定通知手段３２２を経由して、ハードウェア３１０（物理デバイス）に書き込む（ステップＳ２２１）。書き込み先としては、バス３１２上を流れるデータ、メモリ３１３に書き込まれているデータ、ディスク３１４に書かれているファイルなどである。
【００９５】
なお、本発明では、ステップＳ２２１においてハードウェア３１０に書き込む代わりに、ステップＳ２３０において割り込みの設定通知がされている場合には、例えば、設定通知手段３２２により、その設定項目の設定対象であるゲストＯＳ３４１やアプリケーション３５１に対し、ソフトウェア割り込みを発生させてもよい（ステップＳ２２２）。なお、アプリケーション３５１に対してソフトウェア割り込みを発生させる場合に、そのアプリケーション３５１が動作しているゲストＯＳ３４１に対して所定のソフトウェア割り込みを発生させることで、ゲストＯＳ３４１を介して該当するアプリケーション３５１にイベントを発行する方法も可能である。
【００９６】
いずれにしても、該当した設定項目の対象であるゲストＯＳ３４１やアプリケーション３５１が保有している機能を利用した通知を行う。この場合、例えば、設定通知手段３２２は、設定項目情報管理手段３３３からの指示に従い、ゲストＯＳ３４１が利用しているＣＰＵ３１１に割り込み用のＣＰＵ命令を書き込むことにより、割り込みを発生させればよい。
【００９７】
また、本発明では、ステップＳ２２２において割り込みを発生させる代わりに、ステップＳ２３０においてハードウェアアクセス命令を検出していれば、例えば、そのハードウェアアクセスの応答の書き換えを行わせてもよい（ステップＳ２２３）。また、ステップＳ２２１〜Ｓ２２３の動作を、組み合わせて実行させることも可能である。
【００９８】
なお、設定変更に伴うハードウェア命令の検出時の通知や設定項目情報の更新時の通知の場合には、相違の検出を省略して、無条件に設定処理を行わせてもよい。なお、設定項目情報の更新時の通知の場合には、一度に複数のゲストＯＳ３４１に対して設定処理を行わせてもよい。また、検出経緯に関わらず一律に設定処理（例えば、応答の書き換えと物理デバイスへの書き込みと設定通知と）を行わせることも可能である。
【００９９】
図８に、ＶＭＭ部３２０による設定処理に関連する仮想計算機システム３００におけるゲストＯＳ部３４０の動作の一例を示す。図８は、ソフトウェア割り込み発行に係るゲストＯＳ部３４０の動作の一例を示すフローチャートである。
【０１００】
図８に示すように、設定通知手段３２２によるソフトウェア割り込みが発行されると、ゲストＯＳ部３４０は、そのソフトウェア割り込みによるイベントを受信する（ステップＳ３００）。
【０１０１】
ゲストＯＳ部３４０は、ソフトウェア割り込みによるイベントを受信すると、設定項目の読み出しを行い（ステップＳ３０１）、読み出された設定値をその後の動作に反映させることになる（ステップＳ３０２）。なお、ここで読み出される設定値は、例えば、図７のステップＳ２２１で正しい設定値が書き込まれた物理デバイスから読み出された設定値である。また、例えば、この参照に伴うハードウェアアクセスを検出した際の図７のステップＳ２２３で、応答内容が正しい設定値に書き換えられた設定値である。
【０１０２】
また、例えば、ソフトウェア割り込みが発行されない場合でも、例えば、設定項目の変更に伴うハードウェア命令の応答に、更新不可や更新失敗の旨の処理結果が返ってくれば、ゲストＯＳ部３４０は、その処理結果に応じて、変更される前の設定項目の値で動作することになり、セキュリティポリシは保たれる。
【０１０３】
なお、例えば、設定項目の設定対象がアプリケーションであっても、これらの動作は同様である。
【０１０４】
以上のように、本実施形態によれば、ゲストＯＳ３４１上に特別なエージェントを設置しなくても、ゲストＯＳ３４１やゲストＯＳ３４１上で動作するアプリケーション３５１に対する設定の反映が可能となる。
【０１０５】
（第２の実施形態）
また、本発明の第２の実施形態として、ゲストＯＳ３４１やアプリケーション３５１に対して強制したセキュリティポリシの内容について、ゲストＯＳ３４１やアプリケーション３５１を利用するユーザに通知するようにしてもよい。なお、本実施形態の構成は基本的には、第１の実施形態と同様でよい。
【０１０６】
例えば、図７のステップＳ２２１〜Ｓ２２３の動作を行う際に、ユーザが理解しやすいように、グラフィックサブシステムを仮想化する方法などを用いればよい。具体的には、ホストプロセッサに適用されるＶＭＭ技術をグラフィック処理装置（ＧＰＵ）に拡張して、グラフィックアクセラレータへのハードウェアアクセスを可能にし、そこで、設定変更の情報を表示させるようにすればよい。
【０１０７】
このようにすることにより、ゲストＯＳ３４１を利用するユーザが、ゲストＯＳ３４１やそのゲストＯＳ３４１上で動作するアプリケーション３５１の設定が変更されたことを容易に認識できるようになる。
【０１０８】
（第３の実施形態）
また、本発明の第３の実施形態として、設定項目情報生成手段３３２を管理システム１００が備えるようにしてもよい。例えば、管理システム１００側で、仮想計算機システム３００上で動作するゲストＯＳ３４１やアプリケーション３５１を管理しておき、その内容に基づき、管理システム１００側で、ゲストＯＳ３４１の種類やアプリケーション３５１の種類に応じた設定項目情報を生成することも可能である。
【０１０９】
なお、本発明は、前述の実施形態に限定されるものではなく、本発明の目的を達成できる範囲での変形、改良等は本発明に含まれるものである。
【０１１０】
この出願は、２００７年  １２月２６日に出願された日本出願特願２００７−３３３４７２号を基礎とする優先権を主張し、その開示の全てをここに取り込む。
【０１１１】
例えば、本発明に係る仮想計算機システムは、実計算機上に１つ以上の仮想計算機を構築する仮想計算機システムであって、各仮想計算機上で動作するオペレーティングシステムであるゲストＯＳまたはゲストＯＳ上で動作するアプリケーションからの仮想化されたハードウェアに対するアクセスを実計算機が備える物理デバイスで実現するハイパバイザを有し、前記ハイパバイザは、当該ハイパバイザを有する仮想計算機システムに適用されるセキュリティポリシをゲストＯＳの種類またはゲストＯＳ上で動作するアプリケーションの種類に応じた設定項目の設定値として示す設定項目情報を保持する設定項目情報保持手段と、前記設定項目情報に基づき、ゲストＯＳが実行する命令および物理デバイスからの出力を監視して、前記設定項目に現に設定されている設定値または変更されようとしている設定値を検出する設定検出手段と、前記設定検出手段によって検出された設定値と前記設定項目情報で示される設定値とが相違する場合に、相違を検知した設定項目の参照または更新に係るハードウェアアクセス命令に対する応答の書き換え、該設定項目の設定値を保持している物理デバイスへの書き込み、該設定項目の対象であるゲストＯＳまたはアプリケーションが保有している機能を利用した通知のいずれか、または前記書き換えと前記書き込みと前記通知とのうちの２つ以上を組み合わせて行うことにより、該設定項目の対象であるゲストＯＳまたはアプリケーションに前記設定項目情報で示される設定値を適用させる設定適用手段とを備えることを特徴とする。
【０１１２】
また、本発明に係る仮想計算機システムは、ハイパバイザが、セキュリティポリシの各項目と、該項目に応じたゲストＯＳの種類毎およびゲストＯＳ上で動作しているアプリケーションの種類毎の設定項目との対応関係を示す対応情報を保持する対応情報保持手段と、セキュリティポリシを管理している管理システムから、当該仮想計算機システムに適用されるセキュリティポリシの情報を受け付けて、受け付けたセキュリティポリシの各項目の設定内容を、前記対応情報に基づき、ゲストＯＳの種類およびゲストＯＳ上で動作しているアプリケーションの種類に応じた１つ以上の設定項目の設定値に展開して設定項目情報を生成する設定項目情報生成手段とを含むようにしても良い。
【０１１３】
また、本発明に係る仮想計算機システムは、設定適用手段が、相違を検知した設定項目の参照または更新に係るハードウェアアクセス命令に対する応答の書き換えを行うことにより、該設定項目の対象であるゲストＯＳまたはアプリケーションに設定値を適用させるようにしても良い。
【０１１４】
また、本発明に係る仮想計算機システムは、設定適用手段が、相違を検知した設定項目の対象であるゲストＯＳまたはアプリケーションが保有している機能を利用した通知を行うことにより、該設定項目の対象であるゲストＯＳまたはアプリケーションに設定値を適用させるようにしても良い。
【０１１５】
また、本発明に係る仮想計算機システムは、設定適用手段が、さらに相違を検知した設定項目の設定値を保持している物理デバイスへの書き込みを行うことにより、該設定項目の対象であるゲストＯＳまたはアプリケーションに設定値を適用させるようにしても良い。
【０１１６】
また、本発明に係る仮想計算機システムは、設定適用手段が、相違を検知した設定項目の対象であるゲストＯＳまたはアプリケーションが保有している機能を利用した通知として、該ゲストＯＳまたは該アプリケーションが受理する割り込みを発生させるようにしても良い。
【０１１７】
また、本発明に係る仮想計算機システムは、設定適用手段が、該当した設定項目の対象であるアプリケーションが保有している機能を利用した通知として、該アプリケーションが受理する割り込みを、該アプリケーションが動作しているゲストＯＳを介して発生させるようにしても良い。
【０１１８】
また、本発明に係る仮想計算機システムは、設定適用手段が、物理デバイスへの書き込みを行う場合に、該当する設定項目の対象であるゲストＯＳまたはアプリケーション用にハードウェア資源として割り当てられた対応するハードウェア領域に対しても書き込みを行うようにしても良い。
【０１１９】
例えば、本発明に係るポリシ強制システムは、実計算機上に１つ以上の仮想計算機を構築する仮想計算機システムに対してポリシを強制するポリシ強制システムであって、前記仮想計算機システムと、前記仮想計算機システムに適用させるセキュリティポリシを管理する管理システムとを備え、前記仮想計算機システムは、各仮想計算機上で動作するオペレーティングシステムであるゲストＯＳまたはゲストＯＳ上で動作するアプリケーションからの仮想化されたハードウェアに対するアクセスを実計算機が備える物理デバイスで実現するハイパバイザを有し、前記ハイパバイザは、当該ハイパバイザを有する仮想計算機システムに適用されるセキュリティポリシをゲストＯＳの種類またはゲストＯＳ上で動作するアプリケーションの種類に応じた設定項目の設定値として示す設定項目情報を保持する設定項目情報保持手段と、前記設定項目情報に基づき、ゲストＯＳが実行する命令および物理デバイスからの出力を監視して、前記設定項目に現に設定されている設定値または変更されようとしている設定値を検出する設定検出手段と、前記設定検出手段によって検出された設定値と前記設定項目情報で示される設定値とが相違する場合に、相違を検知した設定項目の参照または更新に係るハードウェアアクセス命令に対する応答の書き換え、該設定項目の設定値を保持している物理デバイスへの書き込み、該設定項目の対象であるゲストＯＳまたはアプリケーションが保有している機能を利用した通知のいずれか、または前記書き換えと前記書き込みと前記通知とのうちの２つ以上を組み合わせて行うことにより、該設定項目の対象であるゲストＯＳまたはアプリケーションに前記設定項目情報で示される設定値を適用させる設定適用手段とを含むことを特徴とする。
【０１２０】
また、本発明に係るポリシ強制システムは、ハイパバイザが、セキュリティポリシの各項目と、該項目に応じたゲストＯＳの種類毎およびゲストＯＳ上で動作しているアプリケーションの種類毎の設定項目との対応関係を示す対応情報を保持する対応情報保持手段と、セキュリティポリシを管理している管理システムから、当該仮想計算機システムに適用されるセキュリティポリシの情報を受け付けて、受け付けたセキュリティポリシの各項目の設定内容を、前記対応情報に基づき、ゲストＯＳの種類およびゲストＯＳ上で動作しているアプリケーションの種類に応じた１つ以上の設定項目の設定値に展開して設定項目情報を生成する設定項目情報生成手段とを含むようにしても良い。
【０１２１】
例えば、本発明に係るポリシ強制方法は、実計算機上に１つ以上の仮想計算機を構築する仮想計算機システムに対してポリシを強制するためのポリシ強制方法であって、ハイパバイザが、当該ハイパバイザを有する仮想計算機システムに適用されるセキュリティポリシをゲストＯＳの種類またはゲストＯＳ上で動作するアプリケーションの種類に応じた設定項目の設定値として示す設定項目情報を保持し、前記ハイパバイザが、前記設定項目情報に基づき、ゲストＯＳが実行する命令および物理デバイスからの出力を監視して、前記設定項目に現に設定されている設定値または変更されようとしている設定値を検出し、前記ハイパバイザが、検出された設定値と前記設定項目情報で示される設定値とが相違する場合に、相違を検知した設定項目の参照または更新に係るハードウェアアクセス命令に対する応答の書き換え、該設定項目の設定値を保持している物理デバイスへの書き込み、該設定項目の対象であるゲストＯＳまたはアプリケーションが保有している機能を利用した通知のいずれか、または前記書き換えと前記書き込みと前記通知とのうちの２つ以上を組み合わせて行うことにより、該設定項目の対象であるゲストＯＳまたはアプリケーションに前記設定項目情報で示される設定値を適用させることを特徴とする。
【０１２２】
また、本発明に係るポリシ強制方法は、ハイパバイザが、セキュリティポリシの各項目と、該項目に応じたゲストＯＳの種類毎およびゲストＯＳ上で動作しているアプリケーションの種類毎の設定項目との対応関係を示す対応情報を保持し、前記ハイパバイザが、セキュリティポリシを管理している管理システムから、当該仮想計算機システムに適用されるセキュリティポリシの情報を受け付けて、受け付けたセキュリティポリシの各項目の設定内容を、前記対応情報に基づき、ゲストＯＳの種類およびゲストＯＳ上で動作しているアプリケーションの種類に応じた１つ以上の設定項目の設定値に展開して設定項目情報を生成するようにしても良い。
【０１２３】
例えば、本発明に係る仮想計算機制御用プログラムは、実計算機上に１つ以上の仮想計算機を構築する仮想計算機システムにおけるハイパバイザを実現させるための仮想計算機制御用プログラムであって、コンピュータに、当該仮想計算機システムに適用されるセキュリティポリシをゲストＯＳの種類またはゲストＯＳ上で動作するアプリケーションの種類に応じた設定項目の設定値として示す設定項目情報に基づき、ゲストＯＳが実行する命令および物理デバイスからの出力を監視して、前記設定項目に現に設定されている設定値または変更されようとしている設定値を検出する処理、および検出された設定値と前記設定項目情報で示される設定値とが相違する場合に、相違を検知した設定項目の参照または更新に係るハードウェアアクセス命令に対する応答の書き換え、該設定項目の設定値を保持している物理デバイスへの書き込み、該設定項目の対象であるゲストＯＳまたはアプリケーションが保有している機能を利用した通知のいずれか、または前記書き換えと前記書き込みと前記通知とのうちの２つ以上を組み合わせて行うことにより、該設定項目の対象であるゲストＯＳまたはアプリケーションに前記設定項目情報で示される設定値を適用させる処理を実行させることを特徴とする。
【０１２４】
例えば、本発明に係る仮想計算機制御用プログラムは、コンピュータに、セキュリティポリシを管理している管理システムから受け付けた当該仮想計算機システムに適用されるセキュリティポリシの各項目につき、セキュリティポリシの各項目と該項目に応じたゲストＯＳの種類毎およびゲストＯＳ上で動作しているアプリケーションの種類毎の設定項目との対応関係を示す対応情報に基づき、ゲストＯＳの種類およびゲストＯＳ上で動作しているアプリケーションの種類に応じて１つ以上の設定項目の設定値に展開して設定項目情報を生成する処理を実行させるようにしても良い。
【産業上の利用可能性】
【０１２５】
本発明は、仮想計算機システム上で動作するゲストＯＳやそのゲストＯＳ上で動作するアプリケーションに対して、特別なエージェントを設置させずに、設定を強制したい場合に、好適に適用できる。
【０１２６】
(付記１）本願発明の仮想計算機システムは、実計算機上に１つ以上の仮想計算機を構築する仮想計算機システムであって、前記仮想計算機上で動作するオペレーティングシステムであるゲストＯＳまたは当該ゲストＯＳ上で動作するアプリケーションによる仮想化されたハードウェアに対するアクセスを、前記実計算機が備える物理デバイスによって実現するハイパバイザを有し、
前記ハイパバイザは、前記仮想計算機システムに適用されるセキュリティポリシを、前記ゲストＯＳの種類または前記アプリケーションの種類に応じた設定項目の設定値として示す設定項目情報を保持する設定項目情報保持手段と、前記設定項目情報に基づいて、前記ゲストＯＳが実行する命令および前記物理デバイスの出力を監視して、前記設定項目情報保持手段の前記設定項目に設定されている設定値または変更されようとしている設定値を検出する設定検出手段と、前記設定検出手段によって検出された設定値と前記設定項目情報で示される設定値とが相違するとき、前記設定項目の設定対象である前記ゲストＯＳまたは前記アプリケーションからのハードウェアアクセスを用いて、当該ゲストＯＳまたは当該アプリケーションに前記設定項目情報で示される設定値を適用させる設定適用手段と、を備えることを特徴とする。
【０１２７】
(付記２）前記ハイパバイザは、前記セキュリティポリシで規定される項目と、当該項目に応じた前記ゲストＯＳの種類毎および前記アプリケーションの種類毎の設定項目との対応関係を示す対応情報を保持する対応情報保持手段と、前記セキュリティポリシを管理している管理システムから、当該仮想計算機システムに適用される前記セキュリティポリシの情報を受け付けて、受け付けた前記セキュリティポリシの前記項目の設定内容を、保持される前記対応情報に基づいて、前記ゲストＯＳの種類および前記アプリケーションの種類に応じた１つ以上の設定項目の設定値に展開して設定項目情報を生成する設定項目情報生成手段と、を備えることを特徴とする付記１に記載の仮想計算機システムであっても良い。
【０１２８】
(付記３）前記設定適用手段は、前記相違が検知された設定項目の参照または更新に係るハードウェアアクセス命令に対する応答の書き換えを行うことにより、当該設定項目の対象である前記ゲストＯＳまたは前記アプリケーションに設定値を適用させることを特徴とする付記１または２に記載の仮想計算機システムであっても良い。
【０１２９】
(付記４）前記設定適用手段は、前記相違が検知された設定項目の対象である前記ゲストＯＳまたは前記アプリケーションが保有している機能を利用した通知を行うことにより、当該設定項目の対象である前記ゲストＯＳまたは前記アプリケーションに設定値を適用させることを特徴とする付記１乃至３の何れか１つに記載の仮想計算機システムであっても良い。
【０１３０】
(付記５）前記設定適用手段は、前記相違が検知された設定項目の設定値を保持している物理デバイスに書き込みを行うことにより、当該設定項目の対象である前記ゲストＯＳまたは前記アプリケーションに設定値を適用させることを特徴とする付記１乃至４の何れか１つに記載の仮想計算機システムであっても良い。
【０１３１】
(付記６）前記設定適用手段は、前記相違が検知された設定項目の対象である前記ゲストＯＳまたは前記アプリケーションが保有している機能を利用した通知として、当該ゲストＯＳまたは当該アプリケーションが受理する割り込みを発生させることを特徴とする付記１乃至５の何れか１つに記載の仮想計算機システムであっても良い。
【０１３２】
(付記７）前記設定適用手段は、前記割り込みを、前記アプリケーションが動作している前記ゲストＯＳを介して発生させることを特徴とする付記６に記載の仮想計算機システムであっても良い。
【０１３３】
(付記８）前記設定適用手段は、前記物理デバイスに書き込みを行うとき、該当する設定項目の対象である前記ゲストＯＳまたは前記アプリケーション用にハードウェア資源として割り当てられた対応するハードウェア領域に対して書き込みを行うことを特徴とする付記１乃至７の何れか１つに記載の仮想計算機システムであっても良い。
【０１３４】
(付記９）本願発明のポリシ強制システムは、実計算機上に１つ以上の仮想計算機を構築する仮想計算機システムに対してセキュリティポリシを強制するポリシ強制システムであって、前記仮想計算機システムと、前記仮想計算機システムに適用させる前記セキュリティポリシを管理する管理システムと、を備え、前記仮想計算機システムは、当該仮想計算機上で動作するオペレーティングシステムであるゲストＯＳまたは当該ゲストＯＳ上で動作するアプリケーションによる仮想化されたハードウェアに対するアクセスを、前記実計算機が備える物理デバイスによって実現するハイパバイザを有し、前記ハイパバイザは、前記仮想計算機システムに適用される前記セキュリティポリシを、前記ゲストＯＳの種類または前記アプリケーションの種類に応じた設定項目の設定値として示す設定項目情報を保持する設定項目情報保持手段と、前記設定項目情報に基づいて、前記ゲストＯＳが実行する命令および前記物理デバイスの出力を監視して、前記設定項目情報保持手段の前記設定項目に設定されている設定値または変更されようとしている設定値を検出する設定検出手段と、前記設定検出手段によって検出された設定値と前記設定項目情報で示される設定値とが相違するとき、前記設定項目の設定対象である前記ゲストＯＳまたは前記アプリケーションからのハードウェアアクセスを用いて、当該ゲストＯＳまたは当該アプリケーションに前記設定項目情報で示される設定値を適用させる設定適用手段と、を備えることを特徴とする。
【０１３５】
(付記１０）前記ハイパバイザは、前記セキュリティポリシで規定される項目と、当該項目に応じた前記ゲストＯＳの種類毎および前記アプリケーションの種類毎の設定項目との対応関係を示す対応情報を保持する対応情報保持手段と、前記セキュリティポリシを管理している管理システムから、当該仮想計算機システムに適用される前記セキュリティポリシの情報を受け付けて、受け付けた前記セキュリティポリシの前記項目の設定内容を、保持される前記対応情報に基づいて、前記ゲストＯＳの種類および前記アプリケーションの種類に応じた１つ以上の設定項目の設定値に展開して設定項目情報を生成する設定項目情報生成手段と、を備えることを特徴とする付記９に記載のポリシ強制システムであっても良い。
【０１３６】
(付記１１）本願発明のポリシ強制方法は、実計算機上に１つ以上の仮想計算機を構築する仮想計算機システムに対してセキュリティポリシを強制するポリシ強制方法であって、前記仮想計算機上で動作するオペレーティングシステムであるゲストＯＳまたは当該ゲストＯＳ上で動作するアプリケーションによる仮想化されたハードウェアに対するアクセスを、前記実計算機が備える物理デバイスによって実現するハイパバイザを有し、前記ハイパバイザが、前記仮想計算機システムに適用される前記セキュリティポリシを、前記ゲストＯＳの種類または前記アプリケーションの種類に応じた設定項目の設定値として示す設定項目情報を保持する設定項目情報保持ステップと、前記ハイパバイザが、前記設定項目情報に基づいて、前記ゲストＯＳが実行する命令および前記物理デバイスの出力を監視して、前記設定項目情報保持ステップにおいて前記設定項目に設定されている設定値または変更されようとしている設定値を検出する設定検出ステップと、前記ハイパバイザが、前記設定検出ステップにおいて検出された設定値と前記設定項目情報で示される設定値とが相違するとき、前記設定項目の設定対象である前記ゲストＯＳまたは前記アプリケーションからのハードウェアアクセスを用いて、当該ゲストＯＳまたは当該アプリケーションに前記設定項目情報で示される設定値を適用させる設定適用ステップと、を含むことを特徴とする。
【０１３７】
(付記１２）前記ハイパバイザが、前記セキュリティポリシで規定される項目と、当該項目に応じた前記ゲストＯＳの種類毎および前記アプリケーションの種類毎の設定項目との対応関係を示す対応情報を保持する対応情報保持ステップと、前記ハイパバイザが、前記セキュリティポリシを管理している管理システムから、当該仮想計算機システムに適用される前記セキュリティポリシの情報を受け付けて、受け付けた前記セキュリティポリシの前記項目の設定内容を、保持される前記対応情報に基づいて、前記ゲストＯＳの種類および前記アプリケーションの種類に応じた１つ以上の設定項目の設定値に展開して設定項目情報を生成する設定項目情報生成ステップと、を含むことを特徴とする付記１１に記載のポリシ強制方法であっても良い。
【０１３８】
(付記１３）本願発明の仮想計算機制御用プログラムは、実計算機上に１つ以上の仮想計算機を構築する仮想計算機システムにおける仮想計算機制御用プログラムであって、前記仮想計算機上で動作するオペレーティングシステムであるゲストＯＳまたは当該ゲストＯＳ上で動作するアプリケーションによる仮想化されたハードウェアに対するアクセスを、前記実計算機が備える物理デバイスによって実現するハイパバイザを有し、前記ハイパバイザは、前記仮想計算機システムに適用されるセキュリティポリシを、前記ゲストＯＳの種類または前記アプリケーションの種類に応じた設定項目の設定値として示す設定項目情報を保持する設定項目情報保持手順と、前記設定項目情報に基づいて、前記ゲストＯＳが実行する命令および前記物理デバイスの出力を監視して、前記設定項目情報保持手順の前記設定項目に設定されている設定値または変更されようとしている設定値を検出する設定検出手順と、前記設定検出手順によって検出された設定値と前記設定項目情報で示される設定値とが相違するとき、前記設定項目の設定対象である前記ゲストＯＳまたは前記アプリケーションからのハードウェアアクセスを用いて、当該ゲストＯＳまたは当該アプリケーションに前記設定項目情報で示される設定値を適用させる設定適用手順と、をコンピュータに実行させることを特徴とする。
【０１３９】
(付記１４）前記ハイパバイザは、前記セキュリティポリシで規定される項目と、当該項目に応じた前記ゲストＯＳの種類毎および前記アプリケーションの種類毎の設定項目との対応関係を示す対応情報を保持する対応情報保持手順と、前記セキュリティポリシを管理している管理システムから、当該仮想計算機システムに適用される前記セキュリティポリシの情報を受け付けて、受け付けた前記セキュリティポリシの前記項目の設定内容を、保持される前記対応情報に基づいて、前記ゲストＯＳの種類および前記アプリケーションの種類に応じた１つ以上の設定項目の設定値に展開して設定項目情報を生成する設定項目情報生成手順と、をコンピュータに実行させることを特徴とする付記１３に記載の仮想計算機制御用プログラムであっても良い。
【図１】
0005387415.tif 000002
【図２】
0005387415.tif 000003
【図３】
0005387415.tif 000004
【図４】
0005387415.tif 000005
【図５】
0005387415.tif 000006
【図６】
0005387415.tif 000007
【図７】
0005387415.tif 000008
【図８】
0005387415.tif 000009