(57)【要約】【課題】ＳＮＭＰを適用したネットワーク管理システムにおいては、ＳＮＭＰマネージャがＳＮＭＰエージェントに接続されたローカル端末のアクセス制御することができない。【解決手段】本発明のアクセス制御システムは、ネットワークの管理を行うネットワーク管理装置と、アクセス制御に関するアクセス情報を保持するアクセス制御用データベースを備える通信装置と、アクセス制御用データベースを参照して通信装置との接続制御を行うローカル管理端末とを有し、通信装置は、ネットワーク管理装置からの通知に基づいて、アクセス情報を変更するアクセス情報制御部を備える。【選択図】      図１
2014127018.tif 000002
【特許請求の範囲】
【請求項１】
ネットワークの管理を行うネットワーク管理装置と、
アクセス制御に関するアクセス情報を保持するアクセス制御用データベースを備える通信装置と、
前記アクセス制御用データベースを参照して前記通信装置との接続制御を行うローカル管理端末とを有し、
前記通信装置は、前記ネットワーク管理装置からの通知に基づいて、前記アクセス情報を変更するアクセス情報制御部を備える
アクセス制御システム。
【請求項２】
前記ネットワーク管理装置は、前記アクセス情報を参照し、前記アクセス情報の変更を前記通信装置に通知し、
前記ローカル管理端末は、前記アクセス情報の参照のみを行う
請求項１に記載したアクセス制御システム。
【請求項３】
複数の前記通信装置を有し、
前記通信装置は、近接する前記通信装置にデータを転送するデータ転送手段を備える
請求項１または２に記載したアクセス制御システム。
【請求項４】
前記ネットワーク管理装置は、前記複数の通信装置に対して前記アクセス情報の変更を一括して通知する
請求項３に記載したアクセス制御システム。
【請求項５】
前記ネットワーク管理装置は、前記通信装置の前記アクセス情報を予め定められた時間に取得し、取得した前記アクセス情報の変更を通知する
請求項１から４のいずれか一項に記載したアクセス制御システム。
【請求項６】
前記ネットワーク管理装置は、前記通信装置の前記アクセス情報を表示する画面表示部を有する
請求項１から５のいずれか一項に記載したアクセス制御システム。
【請求項７】
前記ローカル管理端末は、前記通信装置の前記アクセス情報を定期的に取得し、前記アクセス情報に基づいて前記通信装置との接続制御を行う
請求項１から６のいずれか一項に記載したアクセス制御システム。
【請求項８】
ローカル管理端末の通信装置に対するアクセス可否を示すアクセス情報を取得し、
取得した前記アクセス情報の変更を通知し、
前記通知に基づいて前記アクセス情報を変更し、
前記アクセス情報を参照して前記通信装置との接続制御を行う
アクセス制御方法。
【請求項９】
ローカル管理端末の通信装置に対するアクセス可否を示すアクセス情報をデータベースに登録し、
前記アクセス情報をネットワーク管理装置に通知し、
前記ネットワーク管理装置からの通知に基づいて前記アクセス情報を変更した変更アクセス情報を作成し、
前記変更アクセス情報を前記データベースに登録する
アクセス制御方法。
【請求項１０】
ネットワーク管理装置およびローカル管理端末とそれぞれ通信する通信装置が備えるコンピュータに、
ローカル管理端末の通信装置に対するアクセス可否を示すアクセス情報をデータベースに登録する手順と、
前記アクセス情報をネットワーク管理装置に通知する手順と、
前記ネットワーク管理装置からの通知に基づいて前記アクセス情報を変更した変更アクセス情報を作成する手順と、
前記変更アクセス情報を前記データベースに登録する手順を実行させるための
アクセス制御プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、アクセス制御システム、アクセス制御方法およびアクセス制御プログラムに関し、特に、ＳＮＭＰ（Ｓｉｍｐｌｅ  Ｎｅｔｗｏｒｋ  Ｍａｎａｇｅｍｅｎｔ  Ｐｒｏｔｃｏｌ）を用いるネットワーク管理システムにおけるアクセス制御システム、アクセス制御方法およびアクセス制御プログラムに関する。
【背景技術】
【０００２】
近年、ネットワークにより接続されたコンピュータやネットワーク装置の監視、制御を行うためのプロトコルとしてＳＮＭＰを実装する機器が増えてきている。このＳＮＭＰを利用したネットワーク管理システム（Ｎｅｔｗｏｒｋ  Ｍａｎａｇｅｍｅｎｔ  Ｓｙｓｔｅｍ：ＮＭＳ）は、ＳＮＭＰマネージャと、１台または複数のＳＮＭＰエージェントとから構成され、それらはネットワークを介して相互に接続されている。また、ＳＮＭＰエージェントは、構成情報や性能情報等を示すオブジェクトの集合体であるＭＩＢ（Ｍａｎａｇｅｍｅｎｔ  Ｉｎｆｏｒｍａｔｉｏｎ  Ｂａｓｅ）と呼ばれるデータベースを有している。ＳＮＭＰマネージャは、必要に応じてこのＳＮＭＰエージェントのＭＩＢにアクセスし、ネットワークの制御を行う。
【０００３】
特許文献１には、ＳＮＭＰエージェントにさらにローカル端末が接続されたネットワーク管理システムの一例が記載されている。特許文献１に記載された関連する無線通信ネットワーク管理システムは、複数の無線通信端末（ローカル端末）と、ネットワークを管理する管理装置（ＳＮＭＰマネージャ）と、無線通信端末とは無線通信を行い、管理装置とは有線通信を行う基地局（ＳＮＭＰエージェント）とを有する。この基地局は、無線通信端末の情報を格納する無線通信端末データベース（ＭＩＢ）と、無線通信端末からの通知を管理装置に送信する、または管理装置からの管理コマンドに対して無線通信端末の代理として応答するプロキシ部と、無線通信端末との通信状態を監視する無線通信状態監視部を備える。さらに、基地局の情報を格納する基地局用データベース（ＭＩＢ）を有する。この関連する無線通信ネットワーク管理システムは、基地局が定常的に無線通信端末の通信状態を把握し、変化がある場合には即時管理装置に通知し、また、管理装置からの管理コマンドに対して無線通信端末の代理として基地局が応答することを特徴としている。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特開２００３−６０６４７号公報
【発明の概要】
【発明が解決しようとする課題】
【０００５】
特許文献１に記載された関連する無線通信ネットワーク管理システムのように、ＳＮＭＰを適用したネットワーク管理システムにおいては、ＳＮＭＰマネージャはローカル端末の通信状態をＳＮＭＰエージェントを通じて把握することができる。しかしながら、ローカル端末のＳＮＭＰエージェントに対するアクセスを制御することができないという問題があった。
【０００６】
本発明の目的は、上述した課題である、ＳＮＭＰを適用したネットワーク管理システムにおいては、ＳＮＭＰマネージャがＳＮＭＰエージェントに接続されたローカル端末のアクセスを制御することができない、という課題を解決するアクセス制御システム、アクセス制御方法およびアクセス制御プログラムを提供することにある。
【課題を解決するための手段】
【０００７】
本発明のアクセス制御システムは、ネットワークの管理を行うネットワーク管理装置と、アクセス制御に関するアクセス情報を保持するアクセス制御用データベースを備える通信装置と、アクセス制御用データベースを参照して通信装置との接続制御を行うローカル管理端末とを有し、通信装置は、ネットワーク管理装置からの通知に基づいて、アクセス情報を変更するアクセス情報制御部を備える。
【０００８】
本発明のアクセス制御方法は、ローカル管理端末の通信装置に対するアクセス可否を示すアクセス情報を取得し、取得したアクセス情報の変更を通知し、通知に基づいて前記アクセス情報を変更し、アクセス情報を参照して前記通信装置との接続制御を行う。
【０００９】
本発明のアクセス制御方法は、ローカル管理端末の通信装置に対するアクセス可否を示すアクセス情報をデータベースに登録し、アクセス情報をネットワーク管理装置に通知し、ネットワーク管理装置からの通知に基づいてアクセス情報を変更した変更アクセス情報を作成し、変更アクセス情報をデータベースに登録する。
【００１０】
本発明のアクセス制御プログラムは、ネットワーク管理装置およびローカル管理端末とそれぞれ通信する通信装置が備えるコンピュータに、ローカル管理端末の通信装置に対するアクセス可否を示すアクセス情報をデータベースに登録する手順と、アクセス情報をネットワーク管理装置に通知する手順と、ネットワーク管理装置からの通知に基づいてアクセス情報を変更した変更アクセス情報を作成する手順と、変更アクセス情報をデータベースに登録する手順を実行させる。
【発明の効果】
【００１１】
本発明のアクセス制御システム、アクセス制御方法およびアクセス制御プログラムによれば、ＳＮＭＰを適用したネットワーク管理システムにおいて、ＳＮＭＰマネージャがＳＮＭＰエージェントに接続されたローカル端末のアクセスを制御することが可能となる。
【図面の簡単な説明】
【００１２】
【図１】本発明の実施形態に係るアクセス制御システムの構成を示すブロック図である。
【図２】本発明の実施形態に係るアクセス制御システムの別の構成を示すブロック図である。
【図３】本発明の実施形態に係るアクセス制御システムのネットワーク管理装置の画面表示部の制御画面の一例である。
【図４】本発明の実施形態に係るアクセス制御システムの動作を説明するためのシーケンス図である。
【図５】本発明の実施形態に係るアクセス制御システムの動作を説明するためのシーケンス図である。
【図６】本発明の実施形態に係るアクセス制御システムの動作を説明するためのシーケンス図である。
【図７】本発明の実施形態に係るアクセス制御システムの動作を説明するためのシーケンス図である。
【図８】本発明の実施形態に係るアクセス制御システムの動作を説明するためのシーケンス図である。
【発明を実施するための形態】
【００１３】
以下に、図面を参照しながら、本発明の実施形態について説明する。
【００１４】
図１は、本発明の実施形態に係るアクセス制御システム１００の構成を示すブロック図である。本実施形態のアクセス制御システム１００は、ネットワークの管理を行うネットワーク管理装置１０と、アクセス制御用データベース２１を備える通信装置２０と、通信装置２０との接続制御を行うローカル管理端末３０とを有する。アクセス制御用データベース２１は、アクセス制御に関するアクセス情報を保持する。ローカル管理端末３０は、アクセス制御用データベース２１を参照して通信装置２０との接続制御を行う。さらに、通信装置２０は、ネットワーク管理装置１０からの通知に基づいて、アクセス情報を変更するアクセス情報制御部２２を備える。
【００１５】
以下、各構成の詳細について説明する。
【００１６】
ネットワーク管理装置１０は、ＳＮＭＰ（Ｓｉｍｐｌｅ  Ｎｅｔｗｏｒｋ  Ｍａｎａｇｅｍｅｎｔ  Ｐｒｏｔｏｃｏｌ）を用いて通信装置２０と通信する。
【００１７】
一方、通信装置２０は、アクセス情報をＭＩＢ（Ｍａｎａｇｅｄ  Ｉｎｆｏｒｍａｔｉｏｎ  Ｂａｓｅ）の形式でアクセス制御用データベース２１に備えている。ここで、アクセス制御情報（ＭＩＢ）は、アクセス禁止もしくはアクセス許可の値をもっている。
【００１８】
ネットワーク管理装置１０は、「ＧｅｔＲｅｑｕｅｓｔ」コマンドにより、通信装置２０からアクセス制御用データベース２１の情報を取得する。取得した情報には、通信装置２０に対するローカル管理端末３０のアクセス情報（ＭＩＢ）の値が含まれている。ネットワーク管理端末３０はそのアクセス情報（ＭＩＢ）を参照することにより、ローカル管理端末３０が通信装置２０にアクセス許可の状態であるか禁止の状態であるかがわかる。一方、ネットワーク管理装置１０は、アクセス情報（ＭＩＢ）の値を「ＳｅｔＲｅｑｕｅｓｔ」コマンドにより禁止から許可へ、許可から禁止へ変更するように通信装置２０に要求することができる。
【００１９】
通信装置２０は、アクセス情報（ＭＩＢ）の変更のための「ＳｅｔＲｅｑｕｅｓｔ」コマンドを受け取ると、アクセス情報制御部２２によりアクセス情報（ＭＩＢ）の値を変更する。このとき通信装置２０は、接続しているネットワーク管理装置１０およびローカル管理端末３０にアクセス情報（ＭＩＢ）の変更を通知するための「Ｔｒａｐ」コマンドを送信する。ローカル管理端末３０はアクセス禁止の「Ｔｒａｐ」コマンドを受信すると、通信装置２０から強制的にログアウトする処理を行う。
【００２０】
また、ローカル管理端末３０は、通信装置２０にログインする際に通信装置２０のアクセス情報の値を参照することによって、ログイン処理を進めるか中断するかを判断する。ローカル管理端末３０は通信装置２０にログインする際に、通信装置２０のアクセス情報がアクセス許可であればログイン処理を進め、アクセス禁止であればログイン処理を中断する。
【００２１】
図２は、本発明の実施形態に係るアクセス制御システム１００の別の構成を示すブロック図である。図２に示すように、通信装置２０は複数個が接続されていてもよい。また、ネットワーク間に無線区間４０を設けるように、通信装置２０は無線通信装置であってもよい。この場合、通信装置２０は近接する通信装置にデータを転送するためのデータ転送手段を備えた構成である。
【００２２】
このとき、ネットワーク管理装置１０は、複数の通信装置に対してアクセス情報の変更を一括で通知することとしてもよい。
【００２３】
さらに、ネットワーク管理装置１０は、取得した通信装置２０の情報を制御画面上に表示する画面表示部を有していてもよい。例えば、「Ｔｒａｐ」コマンドで通知されたアクセス情報（ＭＩＢ）の状態を画面表示部に表示することができる。画面表示部は、例えば図３に示すような制御画面を表示することとすればよい。図３は、本発明の第１の実施形態に係るアクセス制御システムのネットワーク管理装置の画面表示部の制御画面の一例である。図３の制御画面には、各通信装置２０が四角で表されており、括弧で無線通信区間を、実線で有線通信区間を示している。四角の下に記載された文字は、その通信装置の名前を表している。例えば、白い四角はローカル管理端末３０がアクセス許可の状態に設定された通信装置を示し、黒い四角はアクセス禁止の状態に設定された通信装置を示すこととすることができる。
【００２４】
このように、ネットワーク管理装置１０が画面表示部を有し、ローカル管理端末３０のアクセス制御状態によって制御画面上のアイコンを特定の色に変化させることにより、処理動作が視覚的にわかりやすく、運用性が向上するという効果が得られる。
【００２５】
また、画面表示部において、通信装置２０のローカル管理端末３０のアクセス制御状態はアイコンのタイプの変更や文字列による表現等で表してもよい。また、ログ等に表示することとしてもよい。さらに、通信装置にログインしているローカル管理端末の情報を表示してもよい。
【００２６】
ローカル管理端末３０は、通信装置２０と接続しているときにアクセス禁止の「Ｔｒａｐ」コマンドを受信すると、通信装置２０から強制的にログアウトする処理を行う。このときにも、ネットワーク管理装置１０の画面表示部またはローカル管理端末３０に、ローカル管理端末３０が通信装置２０から切断されたことを示すメッセージ等を表示してもよい。
【００２７】
なお、ネットワーク管理装置１０は「ＧｅｔＲｅｑｕｅｓｔ」コマンドによらずに、通信装置２０のアクセス情報を予め定められた時間に取得し、変更を通知することとしてもよい。もしくは、ローカル管理端末３０が通信装置２０にログインしている間は、ポーリングによってローカル管理端末３０が通信装置２０のアクセス情報を定期的に参照することとしてもよい。こうすることにより、ローカル管理端末３０が通信装置２０からのアクセス禁止通知（「Ｔｒａｐ」）を正常に受信できない場合でも、強制的にログアウト処理を行うことができる。
【００２８】
このように、ネットワーク管理装置１０は、通信装置２０が保持するアクセス制御用データベース２１のアクセス情報を参照し、そのアクセス情報の変更を通信装置２０に通知する。一方、ローカル管理端末１０は通信装置２０が保持するアクセス制御用データベース２１のアクセス情報の参照のみを行うこととすることにより、セキュリティを向上することができる。
【００２９】
以上説明したように、ネットワーク管理装置１０は、通信装置２０のアクセス制御状態を取得する機能と、通信装置２０の設定状態を制御する機能と、通信装置２０からの状態変更通知を検出する機能と、取得したアクセス制御状態を保持する機能と、通信装置２０との通信の切断および復旧を検出する機能を持ち、通信装置２０のアクセス制御状態を制御画面に表示することができる。
【００３０】
通信装置２０はネットワーク管理システム１０およびローカル管理端末３０からの情報取得要求に対しアクセス制御状態を示す管理オブジェクトを応答する機能と、設定状態の制御要求に対し管理オブジェクトの値を変更する機能を持つ。また、通信装置２０は管理オブジェクトの状態変化の検出が可能で、状態変化検出時にネットワーク管理装置１０へ通知する機能を持つ。また、図２に示したように通信装置２０が複数設けられている場合、通信装置２０は互いに隣接する通信装置と通信が可能で、取得したデータをネットワーク管理システム側の隣接装置に転送する機能を持つ。
【００３１】
なお、本実施形態において、アクセス情報はアクセス許可とアクセス禁止の２種としたが、さらに細かく制御値を設定してもよい。例えば、所定の時間のみアクセス許可またはアクセス禁止にする制御値や、特定のローカル管理端末のみをアクセス許可とする制御値などを設けることができる。
【００３２】
次に、本実施形態に係るアクセス制御システム１００の動作について、図４と図５を用いて説明する。図４と図５は、本発明の実施形態に係るアクセス制御システム１００の動作を説明するためのシーケンス図である。
【００３３】
図４に示すように、通信装置２０とローカル管理端末３０は以下のように動作する。
【００３４】
まず、ローカル管理端末３０は通信装置２０のアクセス制御用データベースを参照し（ステップＳ１）、ローカル管理端末３０の通信装置２０に対するアクセス可否を示すアクセス情報に基づいてログイン処理を行う。
【００３５】
その後に、アクセス情報に変更が生じた場合、通信装置２０はアクセス情報の変更をローカル管理端末３０に通知する（ステップＳ２）。
【００３６】
次に、ローカル管理端末３０は、ステップＳ２での通知に基づいて変更後のアクセス情報である変更アクセス情報を参照して接続制御を行う（ステップＳ３）。
【００３７】
次に、ネットワーク管理装置１０と通信装置２０との動作を図５を用いて説明する。
【００３８】
通信装置２０は、ローカル管理端末３０の通信装置２０に対するアクセス可否を示すアクセス情報をアクセス制御用データベース２１に登録する（ステップＳ１１）。
【００３９】
次に、通信装置２０は、このときのアクセス情報をネットワーク管理装置１０に通知する（ステップＳ１２）。
【００４０】
その後に、アクセス情報を変更する必要が生じた場合、ネットワーク管理装置１０は、アクセス情報の変更を通信装置２０に通知する（ステップＳ１３）。
【００４１】
次に、通信装置２０は、ネットワーク管理装置１０からの通知に基づいてアクセス情報を変更した変更アクセス情報を作成し、変更アクセス情報をアクセス制御用データベースに登録する（ステップＳ１４）。
【００４２】
図４、５を用いて説明した上述の上記の動作をそれぞれ行うことにより、ネットワーク管理端末１０と通信装置２０とローカル管理端末３０はアクセス制御システムとして動作する。
【００４３】
次に、図６、７、８を用いて、さらに詳細にアクセス制御システム１００の動作を説明する。図６、７、８は、本発明の実施形態に係るアクセス制御システム１００の動作を説明するためのシーケンス図である。
【００４４】
図６において、ネットワーク制御装置１０に通信装置２０が接続されており、通信装置２０のアクセス情報の制御値はアクセス許可状態を示しているとする。ローカル管理端末３０は通信装置２０に接続する際に、ユーザＩＤやパスワード認証によるログイン処理を試みる。このとき、その際に通信装置２０にアクセス情報の制御値を要求する（ステップＳ２１）。
【００４５】
アクセス情報の制御値を要求された通信装置２０は、そのとき保持しているアクセス情報の制御値をローカル管理端末３０に返す（ステップＳ２２）。
【００４６】
ローカル管理端末３０が通信装置２０から受け取ったアクセス情報の制御値はアクセス許可状態を示しているので、ローカル管理端末３０はログイン処理を進める（ステップＳ２３）。
【００４７】
なお、その後、ローカル管理端末３０は通信装置２０の監視オブジェクトの状態を示すデータを要求し（ステップＳ２４）、通信装置２０からデータを取得し（ステップＳ２５）、画面表示等に反映させることとしてもよい。
【００４８】
次に、ローカル管理端末３０の通信装置２０へのアクセスを禁止する必要が生じた場合の処理を図７を用いて説明する。まず、ネットワーク制御装置１０は通信装置２０に対し、アクセス情報をアクセス禁止状態に切り替える設定要求を送信する（ステップＳ２６）。
【００４９】
要求を受け取った通信装置２０は、このとき保持しているアクセス制御用データベース２１のアクセス情報の制御値をアクセス禁止状態を示す制御値に変更し（ステップＳ２７）、状態変更通知をローカル管理端末３０およびネットワーク管理装置１０に送信する（ステップＳ２８）。
【００５０】
状態変更通知を受け取ったローカル管理端末３０は、表示画面等にアクセス禁止が設定された旨を表示し、通信装置２０からのログアウト処理をおこなう（ステップＳ２９）。
【００５１】
その後、ローカル管理端末３０が再度、通信装置２０にログインを試みた場合（ステップＳ３０）、通信装置２０から取得するアクセス情報の制御値がアクセス禁止状態を示すものであるため、アクセス禁止モードである旨をメッセージ等で操作者に知らせるとともに、ログイン処理を中断する（ステップＳ３１）。
【００５２】
次に、ローカル管理端末３０の通信装置２０へのアクセスを許可する場合の処理を図８を用いて説明する。まず、ネットワーク制御装置１０は通信装置２０のアクセス情報の制御値をアクセス許可状態を示すものに変更する通知を通信装置２０に行い（ステップＳ３２）、通信装置２０がアクセス情報の制御値をアクセス許可状態を示す制御値に変更し、アクセス禁止情報としてアクセス制御用データベース２１に登録する（ステップＳ３３）。その後は、図６に示したステップＳ２１〜ステップＳ２５と同様の処理（ステップＳ３４〜ステップＳ３８）を行うことにより、ローカル管理端末３０は通信装置２０に接続した状態となる。
【００５３】
ここで、上記のアクセス制御システム１００の動作は、データ処理であるため、コンピュータに実行させることが可能である。すなわち、ネットワーク管理装置とローカル管理端末と通信する通信装置が備えるコンピュータに、ローカル管理端末の通信装置に対するアクセス可否を示すアクセス情報をデータベースに登録する手順と、アクセス情報をネットワーク管理装置に通知する手順と、ネットワーク管理装置からの通知に基づいてアクセス情報を変更した変更アクセス情報を作成する手順と、変更アクセス情報をデータベースに登録する手順を実行させることができる。
【００５４】
本実施形態のアクセス制御システム、アクセス制御方法およびアクセス制御プログラムによれば、ＳＮＭＰを適用したネットワーク管理システムにおいて、ＳＮＭＰマネージャがＳＮＭＰエージェントに接続されたローカル端末のアクセス制御をすることができるアクセス制御システムおよびアクセス制御方法を提供することができる。
【００５５】
それによって、ＳＮＭＰマネージャがローカル管理端末のアクセス制御を行うことが可能となるので、ローカル管理端末が意図しない操作を行った場合などに、ＳＮＭＰマネージャが強制的にローカル管理端末の操作を禁止することができる。
【００５６】
また、ローカル管理端末は、通信装置のアクセス制御情報を参照するだけでよいので、アクセス情報を記憶する機能や制御する機能を備える必要がない。そのため、ローカル管理端末を簡易な構成としたアクセス制御システムを実現することができる。
【００５７】
本発明は上記実施形態に限定されることなく、特許請求の範囲に記載した発明の範囲内で、種々の変形が可能であり、それらも本発明の範囲内に含まれるものであることはいうまでもない。
【符号の説明】
【００５８】
１０    ネットワーク管理装置
２０    通信装置
２１    アクセス制御用データベース
２２    アクセス情報制御部
３０    ローカル管理端末
４０    無線区間
１００    アクセス制御システム
【図１】
2014127018.tif 000003
【図２】
2014127018.tif 000004
【図３】
2014127018.tif 000005
【図４】
2014127018.tif 000006
【図５】
2014127018.tif 000007
【図６】
2014127018.tif 000008
【図７】
2014127018.tif 000009
【図８】
2014127018.tif 000010