(57)【要約】【課題】  分散及び集中システムにおいて役割を定義する際のコンポーネント・ターゲットの使用を提供すること。【解決手段】  所与のアイデンティティ並びに承認されるコンポーネント・ターゲットに対する１つから多数の権限を含む役割を中央管理サーバ上に生成するための方法及びシステムが開示される。権限は、タスクとそれが実行されるコンポーネントとのインターセクションに基づいて定義される。この組み合わされた権限は、次いで、特定のアイデンティティと関連付けられる。タスクが開始されるとき、中央管理サーバは、アイデンティティがそのタスクについて承認されているか、及びそのタスクを実行できるコンポーネントについて承認されているかを判断する。内部構造は、次いで、適当なサブコマンドを生成し、開始要求からの要求コンポーネントのリストに含まれる承認コンポーネントのみに対して、これらのサブコマンドを実行する。【選択図】      図２
2009521030.tif 000002
【特許請求の範囲】
【請求項１】
一連のノードを有する分散コンピューティング・システム内で役割を定義するための方法であって、
１つ又は複数の権限を含む定義された役割を生成するステップと、
複数の前記ノードのサブセットを定義するステップと、
ユーザのグループの各々を前記権限の１つ及び前記ノードのサブセットの１つと関連付けるステップと、
各々の前記ユーザと関連する前記権限及び前記ノードのサブセットの１つをデータベース内に格納するステップと、
を含む方法。
【請求項２】
前記ユーザのグループの１つがタスクを開始するステップと、
前記ユーザの１人が前記タスクに対する権限を有するかどうかを判断するステップと、
前記ユーザの１人がどのノード上で前記タスクに対する権限を有するかを判断するステップと、
をさらに含む、請求項１に記載の方法。
【請求項３】
前記ユーザの１人が前記タスクに対する権限を有する前記ノード上でのみ前記タスクを実行するステップをさらに含む、請求項２に記載の方法。
【請求項４】
前記ユーザの１人がどのノード上で前記タスクに対する権限を有するかを判断するステップは、前記ユーザの１人と関連するノードのサブセットに関して前記データベースを調べるステップを含む、請求項２に記載の方法。
【請求項５】
前記ユーザの１人と関連するノードのサブセットが前記データベース内に見出された場合には、前記見出されたサブセットにおける前記ノード上でのみ前記タスクを実行するステップをさらに含む、請求項４に記載の方法。
【請求項６】
前記分散コンピューティング・システムはセキュリティ担当者を含み、前記定義された役割を生成するステップは前記定義された役割を生成するために前記セキュリティ担当者を用いるステップを含む、請求項１に記載の方法。
【請求項７】
一連のノードを有する分散コンピューティング環境内で役割を定義するためのシステムであって、
１つ又は複数の権限を含む定義された役割を生成するための手段と、
複数の前記ノードのサブセットを定義するための手段と、
ユーザのグループの各々を前記権限の１つ及び前記ノードのサブセットの１つと関連付けるための手段と、
データベースと、
前記ユーザの各々と関連する前記権限及び前記ノードのサブセットの１つをデータベース内に格納するための手段と、
を含むシステム。
【請求項８】
前記ユーザのグループの１つがタスクを開始するとき、（ｉ）前記ユーザの１人が前記タスクに対する権限を有するかどうか、及び（ｉｉ）前記ユーザの１人がどのノード上で前記タスクに対する権限を有するか、を判断するための手段をさらに含む、請求項７に記載のシステム。
【請求項９】
前記ユーザの１人が前記タスクに対する権限を有する前記ノード上でのみ前記タスクを実行するための手段をさらに含む、請求項７に記載のシステム。
【請求項１０】
前記判断するための手段は、前記ユーザの１人と関連するノードのサブセットに関して前記データベースを調べるための手段を含む、請求項７に記載のシステム。
【請求項１１】
前記ユーザの１人と関連するノードのサブセットが前記データベース内に見出された場合には、前記見出されたサブセットにおける前記ノード上でのみ前記タスクを実行するための手段をさらに含む、請求項１０に記載のシステム。
【請求項１２】
前記定義された役割を生成するための手段はセキュリティ担当者を含む、請求項７に記載のシステム。
【請求項１３】
一組のノードを有する分散コンピューティング・システム内で役割を定義するための方法ステップを行う機械によって実行可能な命令のプログラムを実態的に具体化する、機械可読プログラム格納装置であって、
１つ又は複数の権限を含む定義された役割を生成するステップと、
複数の前記ノードのサブセットを定義するステップと、
ユーザのグループの各々に関して、前記権限の１つ及び前記ノードのサブセットの１つを前記各々のユーザと関連付けるステップと、
前記各々のユーザと関連する前記権限及び前記ノードのサブセットの１つをデータベース内に格納するステップと、
を含むプログラム格納装置。
【請求項１４】
前記ユーザのグループの１つがタスクを開始することを可能にするステップと、
前記ユーザの１人が前記タスクに対する権限を有するかどうかを判断するステップと、
前記ユーザの１人がどのノード上で前記タスクに対する権限を有するかを判断するステップと、
を前記方法ステップがさらに含む、請求項１３に記載のプログラム格納装置。
【請求項１５】
前記方法ステップは、前記ユーザの１人が前記タスクに対する権限を有する前記ノード上でのみ前記タスクを実行するステップをさらに含む、請求項１４に記載のプログラム格納装置。
【請求項１６】
前記ユーザの１人がどのノード上で前記タスクに対する権限を有するかを判断するステップは、前記ユーザの１人と関連するノードのサブセットに関して前記データベースを調べるステップを含む、請求項１４に記載のプログラム格納装置。
【請求項１７】
前記方法ステップは、前記ユーザの１人と関連するノードのサブセットが前記データベース内に見出された場合には、前記見出されたサブセットにおける前記ノード上でのみ前記タスクを実行するステップをさらに含む、請求項１６に記載のプログラム格納装置。
【請求項１８】
前記分散コンピューティング・システムはセキュリティ担当者を含み、前記定義された役割を生成するステップは前記定義された役割を生成するために前記セキュリティ担当者を用いるステップを含む、請求項１３に記載のプログラム格納装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、一般に、分散コンピュータ・システムに関し、より特定的には、本発明はこうしたシステムにおいて役割を定義するための方法及びシステムに関する。
【背景技術】
【０００２】
コンピュータ・クラスタ又はＢｌａｄｅＣｅｎｔｅｒ、及びより大きいコンピュータ・クラスタ内のＢｌａｄｅＣｅｎｔｅｒのようなサーバ統合環境における分散又は集中コンピュータ・システムにおいては、様々な業界の慣習及び規制基準のために、負荷の分離が必要である。この負荷の分離は、中央管理サーバ又はモジュールが設計されるとき、妥協されることが多い。現行の慣習においては、業界は、一般に、クラスタ全体における様々な認証ユーザ又はアイデンティティに対して役割を定義する。中央管理サーバを介するクラスタ管理動作は、次に、クラスタ全体にあるコンポーネント全てにわたりアクセスを提供し、クラスタ全般にわたる承認タスクを行うことができる。
【発明の開示】
【発明が解決しようとする課題】
【０００３】
クラスタは、大部分のタスクのためのセキュリティ領域であると考えられている。業界は、この問題を解決するために、特定のコンポーネント上でユーザ又はアイデンティティのインスタンスを定義しないという概念を使用している。このことは、顧客が所望のコンポーネントからアイデンティティを除去する過度な管理タスクを必要とし、ある場合にはシステムの使用を制限する。例えば、顧客は、ターゲットのサブセット上の特定リソースに対するアクセスを制限するために、クラスタ全体にわたる各々のコンポーネントにおいて個々のリソースの各々に関するアクセス制御リスト（ＡＣＬ）又は保護メカニズムを生成することが必要な場合がある。
【課題を解決するための手段】
【０００４】
本発明の１つの態様は、分散コンピュータ・システムを改善することである。
【０００５】
本発明の別の態様は、より少ない数のコマンドを実行することによって、サーバ及びコンピュータ・ネットワークのリソース消費を減らすことを可能にすることである。
【０００６】
本発明のさらに別の態様は、システムのコンポーネントに対するアクセスを実施するために、分散コンピュータ・システムの中央管理サーバ又はモジュール上における１つの役割定義を可能にすることである。
【０００７】
本発明の態様は、承認タスクとタスクのターゲットとのインターセクション（交点）である役割を構成することによって、分散コンピュータ・システムの幾つかのコンポーネントに対してサブセット・アクセスする能力を提供することである。
【０００８】
本発明によれば、これらの及びその他の態様は、所与のアイデンティティ並びに承認されるコンポーネント・ターゲットに対する１つから多数の権限を含む役割を中央管理サーバ上に生成することにより達成される。権限は、タスクとそれが実行されるコンポーネントとのインターセクションに基づいて定義される。この組み合わされた権限は、次いで、特定のアイデンティティと関連付けられる。タスクが開始されるとき、中央管理サーバは、アイデンティティがそのタスクについて承認されているか、及びそのタスクを実行できるコンポーネントについて承認されているかを判断する。内部構造は、次いで、適当なサブコマンドを生成し、開始要求からの要求コンポーネントのリストに含まれる承認コンポーネントのみに対して、これらのサブコマンドを実行する。要求しているアイデンティティに関連するそのタスクについての権限リストになかった要求コンポーネントに対しては、どのような実行も試行されない。
【０００９】
顧客が、クラスタ全体にわたる各々のコンポーネントにおいて個々のリソースの各々に関するＡＣＬ（アクセス制御リスト）又は保護メカニズムを生成しなければいけないことに対して、承認タスクとタスクのターゲットとのインターセクションである役割を構成することにより一部のコンポーネントにサブセット・アクセスする能力によって、アクセスを実現するための中央管理サーバ又はモジュール上における１つの役割定義が可能になる。
【発明を実施するための最良の形態】
【００１０】
本発明の好ましい実施形態は、以下の図面を参照することによって、単なる一例に過ぎないものとして、以下に説明される。
【００１１】
図１は、一般的なクラスタ・システム環境を示す。この環境は、好ましくはＩＢＭ  Ｃｌｕｓｔｅｒ  Ｍａｎａｇｅｍｅｎｔ  Ｓｅｒｖｅｒ（ＣＭＳ）である中央管理サーバ１００と、クラスタ内の一組のノード１０１、１０２、１０３とを含み、好ましくは、これらのノードはＩＢＭ  Ｐ−Ｓｅｒｉｅｓサーバである。これらのノードは、典型的には、管理タスクのターゲットである。図１はまた、１１０で示され、通信のために様々なノード及びＣＭＳによって用いられる、ネットワーク・スイッチ、ケーブル設備、及びプロトコル・スタックと、通常はＩＢＭ２１０７格納システムのような多数のディスク・ドライブである永続格納部１３０とを示す。
【００１２】
図２を参照すると、ユーザ又はアイデンティティが２１０、２１１で表されており、その一例はＵＮＩＸオープン・グループ標準によって定義されるｕｉｄ構造をもつＵＮＩＸユーザとする。ＭＩＴ  Ｋｅｒｂｅｒｏｓのような認証メカニズムは２２０で表され、クラスタ内で１からＮ個のタスクを行う能力を有するものとして定義される一組の役割は、２３１、２３２で表される。図２はまた、クラスタ内の全ての定義されたノードに対して必要に応じて実行する遠隔実行メカニズムを示す。好適な遠隔実行メカニズムの一例は、引数としてコマンドを実行する−ａオプションをもち、このコマンドをクラスタ・データベース２３５内で定義された全てのノードに対して実行する−ａオプションをもつ、ＩＢＭ  ＡＩＸ  ＣＳＭ  ｄｓｈコマンドである。
【００１３】
図２はまた、ＡＩＸのＩＢＭ  Ｃｌｕｓｔｅｒ  Ｓｙｓｔｅｍ  Ｍａｎａｇｅｒ機能であることが好ましいクラスタ管理ソフトウェア２３０と、全てのサーバ上のオペレーティング・システム２４０と、セキュリティ担当者又はスーパー特権ユーザ・アイデンティティ２１９とを表す。ファイル・システムのように操作できる一組のリソースは２５０で表され、全てのクラスタ定義を含むクラスタ管理データベースは２６０で表される。
【００１４】
図１において、ノード１、２及び３の１０１、１０２、１０３は、ネットワーク・スイッチ１１０を介して中央管理サーバ１００と通信する。中央管理サーバ１００は、永続格納部１３０からのデータを格納し、取り出す。ノード１、２、３の１０１、１０２、１０３は、特定の実施においては、永続格納部をもってもよいし又はもたなくてもよい。全てのノード及びＣＭＳサーバ１００は、通常サーバ又は汎用コンピュータ内にあるようなメモリ、及び少なくとも１つのプロセッサを有する。
【００１５】
図２において、ノード１０１のための左側のソフトウェア・スタックは、特権サービス及び非特権サービスの両方を提供するオペレーティング・システム２４０と、クラスタ機能及びＣＭＳ１００からタスクを受け取る能力を提供するクラスタ管理ソフトウェア２３０の層と、１つから多数のクラスタ管理者が操作したいと考えているリソース２５０と、ユーザ又はＣＭＳ１００からのタスク要求のアイデンティを有効にする目的のための認証メカニズムへのアクセス２２０とを含む。
【００１６】
また、図２において、ＣＭＳ１００のための右側のソフトウェア・スタックは、ノードについてと同じであるが、以下が追加される。アイデンティティを要求するタスク、通常は所与の組の割り当てられた役割をもつクラスタ管理者、典型的にはクラスタ管理データベース２６０内に含まれる関連する権限２３１をもつ役割の永続格納部、及び必要に応じてＭＩＴ  Ｋｅｒｂｅｒｏｓのような認証メカニズム２２０がある。この認証メカニズムは、ＣＭＳ１００にネットワーク接続された専用の汎用コンピュータ上に位置されることができ、典型的にはそこに位置されることに留意されたい。
【００１７】
図３から図７は、本発明の好ましい実施形態を実施するための手順を示す。全体として、示される手順は２つの部分を有する。図３に示される第１の部分では、セキュリティ担当者がＣＭＳ１００上で様々なタスクを行い、図４から図７で例が示される第２の部分では、クラスタ管理者及びクラスタ管理ソフトウェアが識別されたターゲット上で権限付与を行うための付加的なタスクを実行する。
【００１８】
より特定的には、ステップ３０１において、ＣＭＳ１００上で、セキュリティ担当者２１９は、１つから多数の権限で構成される役割２３１を定義し、永続的にこの役割を格納する。一例では、ファイル・システム管理者である。ステップ３０５において、ＣＭＳ（１００）上で、セキュリティ担当者２１９は、１つから多数のノードのグループにおけるノードの幾つかのサブセットを定義し、このノード・グループ情報を永続的に格納する。一例では、グループＡ＝ノード１及びノード２、及びグループＢ＝ノード３となる。ステップ３１０において、ＣＭＳ１００上で、セキュリティ担当者は、権限、ノード・グループ及びユーザ・アイデンティティを関連付け、この関連を永続的に格納する。一例では、ユーザａｄｍｉｎＡはグループＡ（２３１）のためのファイル・システムの権限を有し、ユーザａｄｍｉｎＢはグループＢ（２３２）のためのファイル・システムの権限を有する。
【００１９】
図４を参照すると、ステップ３１５において、ＣＭＳ１００上で、クラスタ管理者ａｄｍｉｎＡは、ユーザが認証済みアイデンティティを有することを保証するために、認証メカニズム２２０によりそれら自体２１０を認証する。ステップ３２０で表されるように、ＣＭＳ１００上で、クラスタ管理者ａｄｍｉｎＡ（２１０）は、次にｄｓｈ−ａ  ｃｈｆｓ＋１００Ｍ／ｔｍｐ２３５のようなコマンドを発行することができる。このコマンドは、このアイデンティティが権限を有するクラスタにおいて、全ての／ｔｍｐファイル・システムのサイズを１００ｍＢだけ増加させる。この場合、ノード１  １０１及びノード２  １０２である。
【００２０】
ステップ３２５において、クラスタ管理ソフトウェア２３０は、ｄｓｈ−ａ２３５実行フローの一部としてクラスタ管理データベースを検索して、このアイデンティティが要求された権限付与を行うことができるかどうか判断し、見出されない場合は権限エラーを戻す。ステップ３３０において、ソフトウェア２３０はまた、この権限と関連するターゲット（ノード）のリストをデータベースから生成する。
【００２１】
図５に示すステップ３３５において、クラスタ管理ソフトウェア２３０は、ｄｓｈ−ａ２３５実行フローの一部として継続してコマンドの遠隔実行を構築し、３３８及び３４０で表されるように、前のステップで取得したターゲットのリストに対してそのコマンドを実行する。ステップ３４２において、ターゲット・ノードは次に、首尾よく完了した実行状態又はエラー状態で応答し、ステップ３４５においては、ａｄｍｉｎＡは任意のエラー状態情報を分析し、次いでそのタスクを終了する。
【００２２】
図６及び図７は、ＡｄｍｉｎＢによって行われるタスクを示している。ステップ３５０において、ＣＭＳ（１００）上で、クラスタ管理者ａｄｍｉｎＢは、ユーザが認証済みアイデンティティを有することを保証するために、認証メカニズム２２０によりそれら自体２１１を認証する。ステップ３５５において、ＣＭＳ１００上で、クラスタ管理者ａｄｍｉｎＢは、次にｄｓｈ−ａ  ｃｈｆｓ＋１００Ｍ／ｔｍｐ２３５のようなコマンドを発行することができる。このコマンドは、このアイデンティティが権限を有するクラスタにおいて、全ての／ｔｍｐファイル・システムのサイズを１００ｍＢだけ増加させる。この場合、ノード３  １０３である。ステップ３６０において、クラスタ管理ソフトウェア２３０は、ｄｓｈ−ａ（２３５）実行フローの一部としてクラスタ管理データベースを検索して、このアイデンティティが要求された権限付与を行うことができるかどうか判断し、見出されない場合は権限エラーを戻す。ステップ３６５において、この管理ソフトウェアはまた、この権限と関連するターゲット（ノード）のリストをデータベースから生成する。
【００２３】
ステップ３６０において、クラスタ管理ソフトウェア２３０は、ｄｓｈ−ａ２３５実行フローの一部として継続してコマンドの遠隔実行を構築し、前のステップで取得したターゲットのリストに対してこれを実行する。ステップ３６５において、ターゲット・ノードは次に、首尾よく完了した実行状態又はエラー状態で応答し、ステップ３８０においては、ａｄｍｉｎＢは任意のエラー状態情報を分析し、次いでそのタスクを終了する。
【００２４】
本発明の実施形態の重要な利点は、少ない数のコマンドを実行することによって、サーバ及びネットワークのリソース消費を減らすことを可能にする点であり、それはまた、クラスタ管理者の労働時間を節約する。詳しく述べるなら、現行の技術において、（ｄｓｈ−ａを介する）ｃｈｆｓコマンドは、各々のクラスタ管理者によって全てのノード（ノード１、ノード２、及びノード３）上で実行され、エラー戻り状態は、そのノード上の要求しているアイデンティティのためのファイル・システム操作に対して権限をもたなかったノードから応答される。各々のクラスタ管理者は、次いで、出力を見直し、どのエラーの戻りが権限の欠如によって引き起こされたか、この場合どれが偽エラーであるのか、及びどのエラーの戻りが実際に有効であったかを判断しなければならない。
【００２５】
相対的に、本発明の実施形態が実行されるとき、ｃｈｆｓは、そのアイデンティティ及び権限と関連するノード上でのみ実行される。エラーの戻りだけが有効なエラーの戻りになる。本発明の実施形態は、このように、より少ない数のコマンドを実行することによって、サーバ及びネットワークがリソース消費を減らすことを可能にする。
【００２６】
本発明の実施形態はまた、今や有効なエラーの戻りを調査すればよいため、クラスタ管理者の労働時間を節約する。いかなる偽陽性エラー状態も戻されることはない。クラスタ管理者は、ここでｄｓｈ−ａオプションという更なる利点を取り入れることができる。ｄｓｈ−ａによって呼び出されるコマンドの実行を探すために、各々の管理者がそれら自体ノード・グループを作り出す必要はない。本発明の実施形態はまた、セキュリティ担当者が個々のクラスタ管理者の範囲を制限し、彼らに負荷の分離を提供する内部構造を与えることを可能にしている。本発明の実施形態はまた、タスクの特定のリストの全ての管理者が用いられ、全ての管理者が同じ挙動を見る１つの中央スクリプトを可能にする。このことは維持管理を単純化し、変更管理プロセスにおけるエラーを減少させる。
【００２７】
本発明の実施形態は、ハードウェア、ソフトウェア、又はハードウェアとソフトウェアの組み合わせで実現できることを理解されたい。本明細書で説明された方法を実行するように適合される、任意の種類のコンピュータ／サーバシステム、又はその他の装置が適している。ハードウェアとソフトウェアの典型的な組み合わせは、ロードされ実行されるときに、本明細書で説明されたそれぞれの方法を実行するコンピュータ・プログラムをもつ汎用コンピュータ・システムとすることができる。代替的に、本発明の実施形態の機能的タスクの１つ又は複数を実行する専門化されたハードウェアを含む特殊用途コンピュータを用いてもよい。
【００２８】
本発明の実施形態は、本明細書に説明された方法の実施を可能にし、コンピュータ・システムにロードされたときには、これらの方法を実行することができる、全てのそれぞれの特徴を含むコンピュータ・プログラムにおいて実施することができる。本明細書におけるコンピュータ・プログラム、ソフトウェア・プログラム、プログラム、又はソフトウェアとは、直接的に、又は（ａ）別の言語、コード又は表記法への変換、及び／又は（ｂ）異なる材料形態での再現の一方又は両方の後で、特定の機能を行うための情報処理能力を有するシステムをもたらすことが意図される一組の命令の任意の言語、コード又は表記法での任意の表現を意味する。
【図面の簡単な説明】
【００２９】
【図１】本発明の実施形態を実施できる、クラスタ化コンピュータ・システム環境を示す。
【図２】本発明の好ましい実施形態による、図１のコンピュータ・クラスタのノード及び中央管理サーバのための機能スタックを示す。
【図３】本発明の好ましい実施形態の第１の部分で行われるセキュリティ担当者のタスクを示す。
【図４】本発明の好ましい実施形態の第２の部分で行うことができる管理タスクの例を示す。
【図５】本発明の好ましい実施形態の第２の部分で行うことができる管理タスクの例を示す。
【図６】本発明の好ましい実施形態の第２の部分で行うことができる管理タスクの別の例を示す。
【図７】本発明の好ましい実施形態の第２の部分で行うことができる管理タスクの別の例を示す。
【符号の説明】
【００３０】
１０１：ノード１
１００：ＣＭＳサーバ
１３０：ノード・ディスク・ドライブ
２３０：クラスタ・ソフトウェア
２６０：ＣＭＳクラスタ管理データベース
２２０：認証メカニズム
２４０：オペレーティング・システム
【図１】
2009521030.tif 000003
【図２】
2009521030.tif 000004
【図３】
2009521030.tif 000005
【図４】
2009521030.tif 000006
【図５】
2009521030.tif 000007
【図６】
2009521030.tif 000008
【図７】
2009521030.tif 000009
【手続補正書】
【提出日】平成21年2月19日(2009.2.19)
【手続補正１】
【補正対象書類名】特許請求の範囲
【補正対象項目名】全文
【補正方法】変更
【補正の内容】
【特許請求の範囲】
【請求項１】
一連のノードを有する分散コンピューティング・システム内で役割を定義するための方法であって、
１つ又は複数の権限を含む定義された役割を生成するステップと、
複数の前記ノードのサブセットを定義するステップと、
ユーザのグループの各々を前記権限の１つ及び前記ノードのサブセットの１つと関連付けるステップと、
各々の前記ユーザと関連する前記権限及び前記ノードのサブセットの１つをデータベース内に格納するステップと、
を含む方法。
【請求項２】
前記ユーザのグループの１つがタスクを開始するステップと、
前記ユーザの１人が前記タスクに対する権限を有するかどうかを判断するステップと、
前記ユーザの１人がどのノード上で前記タスクに対する権限を有するかを判断するステップと、
をさらに含む、請求項１に記載の方法。
【請求項３】
前記ユーザの１人が前記タスクに対する権限を有する前記ノード上でのみ前記タスクを実行するステップをさらに含む、請求項２に記載の方法。
【請求項４】
前記ユーザの１人がどのノード上で前記タスクに対する権限を有するかを判断するステップは、前記ユーザの１人と関連するノードのサブセットに関して前記データベースを調べるステップを含む、請求項２に記載の方法。
【請求項５】
前記ユーザの１人と関連するノードのサブセットが前記データベース内に見出された場合には、前記見出されたサブセットにおける前記ノード上でのみ前記タスクを実行するステップをさらに含む、請求項４に記載の方法。
【請求項６】
前記分散コンピューティング・システムはセキュリティ担当者を含み、前記定義された役割を生成するステップは前記定義された役割を生成するために前記セキュリティ担当者を用いるステップを含む、請求項１に記載の方法。
【請求項７】
一連のノードを有する分散コンピューティング環境内で役割を定義するためのシステムであって、
１つ又は複数の権限を含む定義された役割を生成するための手段と、
複数の前記ノードのサブセットを定義するための手段と、
ユーザのグループの各々を前記権限の１つ及び前記ノードのサブセットの１つと関連付けるための手段と、
データベースと、
前記ユーザの各々と関連する前記権限及び前記ノードのサブセットの１つをデータベース内に格納するための手段と、
を含むシステム。
【請求項８】
前記ユーザのグループの１つがタスクを開始するとき、（ｉ）前記ユーザの１人が前記タスクに対する権限を有するかどうか、及び（ｉｉ）前記ユーザの１人がどのノード上で前記タスクに対する権限を有するか、を判断するための手段をさらに含む、請求項７に記載のシステム。
【請求項９】
前記ユーザの１人が前記タスクに対する権限を有する前記ノード上でのみ前記タスクを実行するための手段をさらに含む、請求項８に記載のシステム。
【請求項１０】
前記判断するための手段は、前記ユーザの１人と関連するノードのサブセットに関して前記データベースを調べるための手段を含む、請求項８に記載のシステム。
【請求項１１】
前記ユーザの１人と関連するノードのサブセットが前記データベース内に見出された場合には、前記見出されたサブセットにおける前記ノード上でのみ前記タスクを実行するための手段をさらに含む、請求項１０に記載のシステム。
【請求項１２】
前記定義された役割を生成するための手段はセキュリティ担当者を含む、請求項７に記載のシステム。
【請求項１３】
一組のノードを有する分散コンピューティング・システム内で役割を定義するための方法手段を行う機械によって実行可能な命令のプログラムを実態的に具体化する、機械可読プログラム格納装置であって、
１つ又は複数の権限を含む定義された役割を生成する手段と、
複数の前記ノードのサブセットを定義する手段と、
ユーザのグループの各々に関して、前記権限の１つ及び前記ノードのサブセットの１つを前記各々のユーザと関連付ける手段と、
前記各々のユーザと関連する前記権限及び前記ノードのサブセットの１つをデータベース内に格納する手段と、
を含むプログラム格納装置。
【請求項１４】
前記ユーザのグループの１つがタスクを開始することを可能にする手段と、
前記ユーザの１人が前記タスクに対する権限を有するかどうかを判断する手段と、
前記ユーザの１人がどのノード上で前記タスクに対する権限を有するかを判断する手段と、
を前記方法手段がさらに含む、請求項１３に記載のプログラム格納装置。
【請求項１５】
前記方法手段は、前記ユーザの１人が前記タスクに対する権限を有する前記ノード上でのみ前記タスクを実行する手段をさらに含む、請求項１４に記載のプログラム格納装置。
【請求項１６】
前記ユーザの１人がどのノード上で前記タスクに対する権限を有するかを判断する手段は、前記ユーザの１人と関連するノードのサブセットに関して前記データベースを調べる手段を含む、請求項１４に記載のプログラム格納装置。
【請求項１７】
前記方法手段は、前記ユーザの１人と関連するノードのサブセットが前記データベース内に見出された場合には、前記見出されたサブセットにおける前記ノード上でのみ前記タスクを実行する手段をさらに含む、請求項１６に記載のプログラム格納装置。
【請求項１８】
前記分散コンピューティング・システムはセキュリティ担当者を含み、前記定義された役割を生成する手段は前記定義された役割を生成するために前記セキュリティ担当者を用いる手段を含む、請求項１３に記載のプログラム格納装置。
【国際調査報告】
2009521030.tif 000010
2009521030.tif 000011