(57)【要約】【課題】記憶装置にアクセスする方法を提供すること。【解決手段】この方法は、ブロック・ベースの記憶アクセス・コマンドおよび暗号で保護されたアクセス制御情報を記憶装置で受信することであって、ブロック・ベースの記憶アクセス・コマンドおよび暗号で保護されたアクセス制御情報が、少なくとも１つの固定サイズ・データ・ブロックおよびクライアントと関連付けられること、記憶装置およびセキュリティ・エンティティからアクセス可能な秘密鍵を使用することにより、暗号で保護されたアクセス制御情報の少なくとも一部を処理すること、ならびに処理の結果に応答してブロック・ベースの記憶アクセス・コマンドを選択的に実行することを含む。【選択図】図２
2009540408.tif 000002
【特許請求の範囲】
【請求項１】
記憶装置にアクセスする方法であって、
ブロック・ベースの記憶アクセス・コマンドおよび暗号で保護されたアクセス制御情報を記憶装置で受信することであって、前記ブロック・ベースの記憶アクセス・コマンドおよび前記暗号で保護されたアクセス制御情報が、少なくとも１つの固定サイズ・データ・ブロックおよびクライアントと関連付けられること、
前記記憶装置およびセキュリティ・エンティティからアクセス可能な秘密鍵を使用することにより、前記暗号で保護されたアクセス制御情報の少なくとも一部を処理すること、および
前記処理の結果に応答して前記ブロック・ベースの記憶アクセス・コマンドを選択的に実行すること
を含む方法。
【請求項２】
前記暗号で保護されたアクセス制御情報が、前記少なくとも１つの固定サイズ・データ・ブロックおよび追加の固定サイズ・データ・ブロックを含む論理装置の少なくとも一部と関連付けられる請求項１に記載の方法。
【請求項３】
前記暗号で保護されたアクセス制御情報が、機能情報および検証タグを含み、前記処理が、前記検証タグおよび前記秘密鍵を使用することによって少なくとも前記機能情報を認証することを含む請求項１または２に記載の方法。
【請求項４】
第１リンクを使用して前記秘密鍵を受信すると共に、第２リンクを介して前記ブロック・ベースの記憶アクセス・コマンドを受信することをさらに含む請求項１、２、または３に記載の方法。
【請求項５】
前記ブロック・ベースの記憶アクセス・コマンドが、ブロック・ベースのSmallComputer System Interface (SCSI)コマンドである請求項１ないし４のいずれかに記載の方法。
【請求項６】
前記ブロック・ベースの記憶アクセス・コマンドが、ブロック・ベースのGeneralParallel File System Virtual Shared Disk (GPFS/VSD)コマンドである請求項１ないし５のいずれか一項に記載の方法。
【請求項７】
記憶装置にアクセスする方法であって、
少なくとも１つの固定サイズ論理ブロックおよびクライアントに関連するアクセス制御情報を受信する要求をセキュリティ・エンティティに送信すること、
前記アクセス制御情報および機能鍵を受信すること、受信したアクセス制御情報および機能鍵に基づいて、暗号で保護されたアクセス情報を生成すること、および
前記暗号で保護されたアクセス制御情報に関連するブロック・ベースの記憶アクセス・コマンドを提供すること
を含む方法。
【請求項８】
前記送信することが第１リンクを使用することを含むと共に、前記提供することが第２リンクを使用することを含む請求項７に記載の方法。
【請求項９】
前記ブロック・ベースの記憶アクセス・コマンドが、ブロック・ベースのSmallComputer System Interface (SCSI)コマンドである請求項７または８に記載の方法。
【請求項１０】
前記ブロック・ベースの記憶アクセス・コマンドが、ブロック・ベースのGeneralParallel File System Virtual Shared Disk (GPFS/VSD)コマンドである請求項７、８、または９に記載の方法。
【請求項１１】
コンピュータ可読プログラムを含むコンピュータ使用可能媒体を含むコンピュータ・プログラムであって、前記コンピュータ可読プログラムが、コンピュータ上で実行されたときに、
ブロック・ベースの記憶アクセス・コマンドおよび暗号で保護されたアクセス制御情報を受信することであって、前記ブロック・ベースの記憶アクセス・コマンドおよび前記暗号で保護されたアクセス制御情報が、少なくとも１つの固定サイズ論理ブロックおよびクライアントと関連付けられること、
前記記憶装置およびセキュリティ・エンティティからアクセス可能な秘密鍵を使用することにより、前記暗号で保護されたアクセス制御情報の少なくとも一部を処理すること、および
前記処理の結果に応答して前記ブロック・ベースの記憶アクセス・コマンドを選択的に実行すること
を前記コンピュータにさせるコンピュータ・プログラム。
【請求項１２】
前記ストレージ・ベースのアクセス・コマンドが、少なくとも１つの固定サイズ・データ・ブロックと関連付けられ、前記暗号で保護されたアクセス制御情報が、前記少なくとも１つの固定サイズ・ブロックおよび追加の固定サイズ・データ・ブロックを含む論理装置と関連付けられる請求項１１に記載のコンピュータ・プログラム。
【請求項１３】
前記暗号で保護されたアクセス制御情報が、機能情報および検証タグを含み、前記コンピュータ可読プログラムが、コンピュータ上で実行されたときに、前記検証タグおよび前記秘密鍵を使用することにより、少なくとも前記機能情報を前記コンピュータに認証させる請求項１１または１２に記載のコンピュータ・プログラム。
【請求項１４】
前記コンピュータ可読プログラムが、コンピュータ上で実行されたときに、前記コンピュータに、第２リンクを介して前記ブロック・ベースの記憶アクセス・コマンドを受信する間に、第１リンクを使用して前記秘密鍵を受信させる請求項１１、１２、または１３のいずれかに記載のコンピュータ・プログラム。
【請求項１５】
前記ブロック・ベースの記憶アクセス・コマンドが、ブロック・ベースのSmallComputer System Interface (SCSI)コマンドである請求項１１ないし１４のいずれかに記載のコンピュータ・プログラム。
【請求項１６】
前記ブロック・ベースの記憶アクセス・コマンドが、ブロック・ベースのGeneralParallel File System Virtual Shared Disk (GPFS/VSD)コマンドである請求項１１ないし１５のいずれかに記載のコンピュータ・プログラム。
【請求項１７】
コンピュータ可読プログラムを含むコンピュータ使用可能媒体を含むコンピュータ・プログラムであって、前記コンピュータ可読プログラムが、コンピュータ上で実行されたときに、
少なくとも１つの固定サイズ・データ・ブロックおよびクライアントに関連するアクセス制御情報を受信する要求をセキュリティ・エンティティに送信すること、
前記アクセス制御情報および機能鍵を受信すること、
前記アクセス制御情報および前記機能鍵に基づいて、暗号で保護されたアクセス情報を生成すること、および
前記暗号で保護されたアクセス制御情報に関連するブロック・ベースの記憶アクセス・コマンドを提供すること
を前記コンピュータにさせるコンピュータ・プログラム。
【請求項１８】
前記コンピュータ可読プログラムが、コンピュータ上で実行されたときに、前記コンピュータに、第１リンクを介して少なくとも１つの固定サイズ・データ・ブロックに関連するアクセス制御情報を受信する要求を送信させ、第２リンクを介して前記暗号で保護されたアクセス制御情報に関連するブロック・ベースの記憶アクセス・コマンドを提供させる請求項１７に記載のコンピュータ・プログラム。
【請求項１９】
前記ブロック・ベースの記憶アクセス・コマンドが、ブロック・ベースのSmallComputer System Interface (SCSI)コマンドである請求項１７または１８に記載のコンピュータ・プログラム。
【請求項２０】
前記ブロック・ベースの記憶アクセス・コマンドが、ブロック・ベースのGeneralParallel File System Virtual Shared Disk (GPFS/VSD)コマンドである請求項１７、１８、または１９に記載のコンピュータ・プログラム。
【請求項２１】
データ・アクセス機能を有するシステムであって、
記憶媒体と、ブロック・ベースの記憶アクセス・コマンドおよび暗号で保護されたアクセス制御情報を受信するように適合された記憶装置インターフェースとを備える記憶装置であって、前記ブロック・ベースの記憶アクセス・コマンドおよび前記暗号で保護されたアクセス制御情報が、少なくとも１つの固定サイズ論理ブロックおよびクライアントと関連付けられ、前記記憶装置が、前記記憶装置およびセキュリティ・エンティティからアクセス可能な秘密鍵を使用することにより、前記暗号で保護されたアクセス制御情報の少なくとも一部を処理し、前記処理の結果に応答して前記ブロック・ベースの記憶アクセス・コマンドを選択的に実行するように適合される記憶装置
を備えるシステム。
【請求項２２】
前記暗号で保護されたアクセス制御情報が、前記少なくとも１つの固定サイズ・データ・ブロックおよび追加の固定サイズ・ブロックを含む論理装置の少なくとも一部と関連付けられる請求項２１に記載のシステム。
【請求項２３】
前記暗号で保護されたアクセス制御情報が、機能情報および検証タグを含み、前記記憶装置が、前記検証タグおよび前記秘密鍵を使用することによって少なくとも前記機能情報を認証するように適合される請求項２１または２２に記載のシステム。
【請求項２４】
第１リンクを使用して前記秘密鍵を受信すると共に、第２リンクを介して前記ブロック・ベースの記憶アクセス・コマンドを受信するように適合される請求項２１、２２、または２３に記載のシステム。
【請求項２５】
前記ブロック・ベースの記憶アクセス・コマンドが、ブロック・ベースのSmallComputer System Interface (SCSI)コマンドである請求項２１ないし２４のいずれかに記載のシステム。
【請求項２６】
前記ブロック・ベースの記憶アクセス・コマンドが、ブロック・ベースのGeneralParallel File System Virtual Shared Disk (GPFS/VSD)コマンドである請求項２１ないし２５のいずれかに記載のシステム。
【請求項２７】
ホスト・コンピュータおよびインターフェースを備えるシステムであって、前記インターフェースが、アクセス制御情報を受信するように適合され、前記ホスト・コンピュータが、少なくとも１つの固定サイズ・データ・ブロックおよびクライアントに関連する前記アクセス制御情報と、機能鍵とを受信する要求をセキュリティ・エンティティに送信し、前記アクセス制御情報および前記機能鍵に応答して、暗号で保護されたアクセス情報を生成し、前記暗号で保護されたアクセス制御情報に関連するブロック・ベースの記憶アクセス・コマンドを提供するように適合されたクライアントの少なくとも一部をホストするように適合されるシステム。
【請求項２８】
前記システムが、前記要求を送信するのに第１リンクを使用するように適合され、さらに、前記ブロック・ベースの記憶アクセス・コマンドを提供するのに第２リンクを使用するように適合される請求項２７に記載のシステム。
【請求項２９】
前記ブロック・ベースの記憶アクセス・コマンドが、ブロック・ベースのSmallComputer System Interface (SCSI)コマンドである請求項２７または２８に記載のシステム。
【請求項３０】
前記ブロック・ベースの記憶アクセス・コマンドが、ブロック・ベースのGeneralParallel File System Virtual Shared Disk (GPFS/VSD)コマンドである請求項２７、２８、または２９に記載のシステム。
【請求項３１】
記憶装置にアクセスする方法であって、
少なくとも１つの固定サイズ・データ・ブロックおよびクライアントに関連するアクセス制御情報を受信する要求をセキュリティ・エンティティに送信すること、
アクセス制御情報および機能鍵を提供すること、
前記アクセス制御情報および前記機能鍵に基づいて、暗号で保護されたアクセス情報を生成すること、
前記暗号で保護されたアクセス制御情報に関連するブロック・ベースの記憶アクセス・コマンドを記憶装置に送信すること、
前記ブロック・ベースの記憶アクセス・コマンドおよび前記暗号で保護されたアクセス制御情報を前記記憶装置で受信すること、
前記記憶装置およびセキュリティ・エンティティからアクセス可能な秘密鍵を使用することにより、前記暗号で保護されたアクセス制御情報の少なくとも一部を処理すること、および
前記処理の結果に応答して前記ブロック・ベースの記憶アクセス・コマンドを選択的に実行すること
を含む方法。
【請求項３２】
前記暗号で保護されたアクセス制御情報が、機能情報および検証タグを含み、前記処理が、前記検証タグおよび前記秘密鍵を使用することによって少なくとも前記機能情報を認証することを含む請求項３１に記載の方法。
【請求項３３】
第１リンクを使用して前記秘密鍵を受信すると共に、第２リンクを介して前記ブロック・ベースの記憶アクセス・コマンドを受信することをさらに含む請求項３１、または３２に記載の方法。
【請求項３４】
前記ブロック・ベースの記憶アクセス・コマンドが、ブロック・ベースのSmallComputer System Interface (SCSI)コマンドである請求項３１、３２、または３３に記載の方法。
【請求項３５】
前記ブロック・ベースの記憶アクセス・コマンドが、ブロック・ベースのGeneralParallel File System Virtual Shared Disk (GPFS/VSD)コマンドである請求項３１、３２、３３、または３４に記載の方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、記憶装置にアクセスする方法、システム、およびコンピュータ・プログラムに関する。
【背景技術】
【０００２】
現代の記憶システムは、限定はしないがホスト・コンピュータや記憶装置などの装置間でデータを転送するのにSmall Computer System Interface (SCSI)プロトコルを使用する。
【０００３】
固定サイズ・データ・ブロックを格納するブロック・ベースの記憶装置にアクセスするのにブロック・ベースのコマンド（限定はしないがＳＣＳＩブロック・コマンドなど）が使用される。１つまたは複数のデータ・ブロックは論理装置（ＬＵＮ）を形成し、それぞれの固定サイズ・データ・ブロックは論理ブロック・アドレスによってアドレス指定される。
【０００４】
ブロック・ベースのＳＣＳＩコマンドは、アクセス制御のための組込み機構を有さない。言い換えれば、ブロック・ベースのＳＣＳＩコマンド・プロトコルは、ある論理ブロック・アドレスに位置する所与の固定サイズ・データ・ブロックに対するアクセス制御を指定または実施することのできる機構を提供しない。
【０００５】
そのようなアクセス制御機構の欠如により、複数のホストを複数の記憶装置に接続することのできるストレージ・エリア・ネットワーク（ＳＡＮ）で現実の制限が課される。現代のＳＡＮでは、単一の（共有）記憶装置が複数の論理装置内の複数のクライアントのデータを格納することができ、各クライアントは、記憶装置によってサービスされる論理装置のサブセットに対するアクセスを有するべきである。
【０００６】
多くの現代のＳＡＮは、ファイバ・チャネル交換ファブリックによって実装される。図１は、複数のコンピュータ１０〜１８、複数のサーバ３０〜３４、交換ファブリック（ＳＡＮ）４０、および複数の記憶装置５０〜５６を含む環境８０を示す。コンピュータ１０〜１８は、ネットワーク２０を介してサーバ３０〜３４に接続される。ネットワーク２０は、ファイアウォール２２を介してインターネット２６にも接続される。
【０００７】
サーバ３０〜３４のうちの各サーバは、１つまたは複数のホスト・バス・アダプタ（ＨＢＡ）を介して交換ファブリック４０に接続され、記憶装置５０〜５６は、１つまたは複数のＦＣ（ファイバ・チャネル）ホスト・アダプタ（ＨＡ）を介して交換ファブリック交換機４０に接続される。
【０００８】
コンピュータ１０〜１８は、サーバ３０〜３４に、ファイルを受信する要求を送信することができる。そのサーバは、要求を受信し、それに応答して、記憶装置５０〜５６のうちの記憶システムに格納された１つまたは複数の固定サイズ・データ・ブロックを受信する１つまたは複数の要求を生成する。サーバは、１つまたは複数の固定サイズ・データ・ブロックにアクセスするための１つまたは複数のブロック・ベースのＳＣＳＩコマンドを生成することができる。
【０００９】
こうしたＳＡＮゾーニングでは、別法として、または加えて、アクセス制御機構を提供するのに論理装置マスキングが使用される。こうした機構は、ＨＢＡポートとＨＡポートの間の接続性と、特定のＨＡポートおよびＨＢＡポートを介する論理装置のアクセス可能性とを制限することに基づく。ファブリック・ゾーニングは、ファイバ・チャネル交換ファブリックをゾーンに分割することを含み、ファブリック・ノードと別のファブリック・ノードが共通ゾーンに属する場合、そのファブリック・ノードはその別のノードのみと通信することができる。ノードは、そのファイバ・チャネル・ファブリック・アドレスまたはそのワールド・ワイド・ポート名（ＷＷＰＮ）によって識別される。論理装置マスキングは、記憶論理装置にアクセスすることのできるホストＨＢＡポートを指定するアクセス制御リストを維持することを含む。
【００１０】
Ｎ＿Ｐｏｒｔ＿ＩＤ仮想化（ＮＰＩＶ）は、ＨＢＡポートを仮想化するための規格であり、したがって、物理的マシンではなく、仮想マシンに基づいてゾーニングおよびＬＵＮマスキングを可能にする。
【００１１】
ファイバ・チャネル・セキュリティ・プロトコル（ＦＣ−ＳＰ）規格（技術委員会Ｔ１１所有）は、ファブリック内のノード間のデータ交換のセキュア・チャネルを提供する規格を指定する。
【００１２】
ファブリック・ゾーニングおよび論理装置マスキングは、単一のホストによって１つまたは複数の仮想マシンをホストすることのできる現代のコンピューティング環境に対して、特にホスト・コンピュータに仮想マシン（または仮想マシン部分）を動的に割り当てる環境に対して十分に適合されない。
【００１３】
オブジェクト・ベースの記憶装置（ＯＳＤ）システムは、データを可変サイズのオブジェクトとして編成する。データ要素は、論理ブロック・アドレスではなく、オブジェクト識別情報によってアクセスされる。ＡＮＳＩ  Ｔ１０  ＯＳＤ規格は、固定サイズ・データ要素をサポートするように適合されず、ブロック・ベースのＳＣＳＩコマンドを使用しない、オブジェクト・ベースのアクセス制御機構を定義する。
【発明の開示】
【発明が解決しようとする課題】
【００１４】
大部分の既存システムならびに様々な現代のシステムはＯＳＤシステムではない。そうしたシステムは、ブロック・ベースの記憶アクセス・コマンドによってアクセスすることができる。ブロック・ベースの記憶装置にアクセスする効率的な方法、システム、およびコンピュータ・プログラムを提供することが求められている。
【課題を解決するための手段】
【００１５】
記憶装置にアクセスする方法であって、この方法は、ブロック・ベースの記憶アクセス・コマンドおよび暗号で保護されたアクセス制御情報を記憶装置で受信することであって、ブロック・ベースの記憶アクセス・コマンドおよび暗号で保護されたアクセス制御情報が、少なくとも１つの固定サイズ・データ・ブロックおよびクライアントと関連付けられること、記憶装置およびセキュリティ・エンティティからアクセス可能な秘密鍵を使用することにより、暗号で保護されたアクセス制御情報の少なくとも一部を処理すること、ならびに処理の結果に応答してブロック・ベースの記憶アクセス・コマンドを選択的に実行することを含む。
【００１６】
好都合なことに、ブロック・ベースの記憶アクセス・コマンドが、少なくとも１つの固定サイズ・データ・ブロックと関連付けられ、暗号で保護されたアクセス制御情報が、その少なくとも１つの固定サイズ・データ・ブロックおよび追加の固定サイズ・データ・ブロックを含む論理装置と関連付けられる。
【００１７】
好都合なことに、暗号で保護されたアクセス制御情報は、機能情報および検証タグを含み、処理は、検証タグおよび秘密鍵を使用することによって少なくとも機能情報を認証することを含む。
【００１８】
好都合なことに、この方法は、第１リンクを使用して秘密鍵を送信すると共に、第２リンクを介してブロック・ベースの記憶アクセス・コマンドを受信することをさらに含む。
【００１９】
好都合なことに、ブロック・ベースの記憶アクセス・コマンドは、ブロック・ベースのSmallComputer System Interface (SCSI)コマンドである。
【００２０】
好都合なことに、ブロック・ベースの記憶アクセス・コマンドは、ブロック・ベースのGeneralParallel File System Virtual Shared Disk (GPFS/VSD)コマンドである。
【００２１】
好都合なことに、ブロック・ベースの記憶アクセス・コマンドは、NetworkBlock Device (NBD)コマンドである。
【００２２】
図面と共に行われる以下の詳細な説明から本発明をより完全に理解されよう。
【発明を実施するための最良の形態】
【００２３】
ブロック・ベースの記憶装置にアクセスする方法、システム、およびコンピュータ・プログラム。１つまたは複数の固定サイズ・データ・ブロックに対するクライアントのアクセス権を定義するアクセス制御ポリシーに基づいて、アクセスを許可または拒否することができる。複数の固定サイズ・データ・ブロックのうちの１つは、論理装置または論理装置の一部を形成することができる。クライアントおよびアクセス制御の定義は、実装に応じて変更することができる。クライアントのアクセス権を動的に変更することができる。クライアントは、物理的サーバ、仮想マシン、または別の論理エンティティでよい。
【００２４】
以下で述べる装置、方法、およびコンピュータ・プログラムは本質的に、物理的ではなく、論理的である。クライアントの役割を果たすエンティティには柔軟性があり、任意の実装についてかなり任意の方式で選ぶことができる。
【００２５】
ブロック・ベースの手法は、オブジェクト・ベースの手法よりも、単純で、ずっと少ない記憶アクセス・コマンドを使用する。オブジェクトを記述するのに必要なメタデータの量は、１つまたは複数のブロックを記述するのに必要なメタデータの量よりもずっと多い。
【００２６】
説明の都合上、以下の例のいくつかは、ＳＣＳＩコマンドに関するものとなる。本発明が他のブロック・ベースの記憶アクセス・コマンドに適用可能であることを当業者は理解されよう。例えば、ブロック・ベースの記憶アクセス・コマンドは、Virtual Shared Disk(VSD)にアクセスするためにGeneral Parallel File Storage(GPFS)システムで使用されるＧＰＦＳコマンドでよい。ＧＰＦＳは、複数のディスク（または複数の記憶装置）にわたって個々のファイルから固定サイズ・データ・ブロックを「ストリッピング」し、こうしたブロックを並列に読み取り、書き込み、あるいはその両方を行うことによって高性能Ｉ／Ｏを提供する。さらに、ＧＰＦＳは、単一のＩ／Ｏオペレーションでより大きなデータ・ブロックを読み取り、または書き込むことができる。
【００２７】
ＧＰＦＳのvirtual shared disk (VSD)構成要素は、ストレージ・アクセス・ネットワーク：storageaccess network (SAN)付加モデル、ＶＳＤサーバ・モデル、およびハイブリッド・モデルという３つの構成をサポートする。説明を単純にするために、ＳＡＮ付加モデルを例示する。例示する方法、システム、およびコンピュータ・プログラムをこうした３つの構成のいずれにも適用できることを当業者は理解されよう。
【００２８】
さらに別の例では、Network Block Device (NBD)プロトコルを使用するときに、例示する方法、システム、およびコンピュータ・プログラムを適用することができる。ＮＢＤは、ローカル・クライアント上のハード・ディスクやハード・ディスク・パーティションなどのブロック装置をシミュレートするが、現実の物理的バッキングを提供するリモート・サーバにネットワークを介して接続する。ＮＢＤクライアントから、リモート・サーバに常駐するＮＢＤ装置にブロック・ベースのコマンドを転送し（ＮＢＤ装置はブロック・ベースのコマンドを実行する）、応答してステータスおよびデータを受信するのにＮＢＤを使用することができる。ＮＢＤプロトコルは、ＳＣＳＩ層の上の上位のＵＮＩＸ（Ｒ）／Ｌｉｎｕｘ（Ｒ）ブロック装置層で動作し、したがって、ネットワークを介して記憶システムに送信する前に汎用ブロック・コマンドをブロック・ベースのＳＣＳＩコマンドにする必要がなくなる。
【００２９】
図２は、本発明の一実施形態による環境９０を示す。
【００３０】
環境９０は、アクセス制御ポリシーの実施に関与するように適合されたセキュリティ・アドミニストレータ７０を含む。加えて、サーバ３０’〜３４’がさらに、暗号で保護されたアクセス制御情報に関連するブロック・ベースのコマンドを生成するように適合される。
【００３１】
通常、暗号で保護されたアクセス制御情報は、多くの固定サイズ・ブロックを含むことのできる論理装置または論理装置の一部と関連付けられ、ブロック・ベースの記憶アクセス・コマンドは、論理装置または論理装置の一部の中の１つまたは複数の固定サイズ・ブロックに関係する。
【００３２】
暗号で保護されたアクセス制御情報ならびにアクセス制御情報は必ずしもクライアント識別情報を含まないことに留意されたい。好都合なことに、セキュリティ・アドミニストレータは、クライアントの識別に応答して、どれが制御情報にアクセスしてクライアントに送信するかを選択するが、前記識別は、アクセス制御情報には含まれず、クライアントで生成された、暗号で保護されたアクセス制御情報では提供されない。
【００３３】
環境９０は、複数のコンピュータ１０〜１８、複数のサーバ３０’〜３４’、ストレージ・エリア・ネットワーク４０’（交換ファブリックＳＡＮでよい）、および複数の記憶装置５０〜５６を含む。コンピュータ１０〜１８は、ネットワーク２０を介してサーバ３０’〜３４’に接続される。ネットワーク２０は、ファイアウォール２２を介してインターネット２６にも接続される。
【００３４】
セキュリティ・アドミニストレータ７０を様々な場所に配置することができ、様々なコンピュータ、サーバ、および記憶装置に様々な方式で接続することができることに留意されたい。
【００３５】
サーバおよび記憶装置のグループごとに複数のセキュリティ・アドミニストレータを割り振ることができることにさらに留意されたい。セキュリティ・アドミニストレータを集中型アーキテクチャまたは分散型アーキテクチャによって特徴付けることができ、セキュリティ・アドミニストレータの様々な部分が様々なサーバ、コンピュータ、およびネットワーク内に常駐できることにさらに留意されたい。例えば、１つまたは複数の仮想マシンをホストするサーバまたはコンピュータ内にセキュリティ・アドミニストレータを組み込むことができ、セキュリティ・アドミニストレータは、分散型アプリケーションとして実行中の分散型アプリケーションの形態を取ることができる。
【００３６】
本発明の一実施形態によれば、１つまたは複数のサーバあるいは１つまたは複数の記憶装置あるいはその両方の中にセキュリティ・アドミニストレータ７０を組み込むことができる。
【００３７】
セキュリティ・アドミニストレータ７０をストレージ・エリア・ネットワーク４０’に接続することができるが、これは必ずしもそうであるわけではない。記憶アクセス・ネットワーク４０’に属していないリンクを介してサーバ３０’〜３４’および記憶装置５０〜５６にセキュリティ・アドミニストレータを接続することができる。サーバ３０’〜３４’と記憶装置５０〜５６の間のセキュリティ・アドミニストレータ７０の間で接続される破線は、こうしたリンクを表す。
【００３８】
セキュリティ・アドミニストレータ７０は、信頼できるエンティティである。したがって、セキュリティ・アドミニストレータ７０は、事前定義プロトコルに従って動作することができ、適切に秘密鍵を格納することができ、アクセス制御ポリシーを実施することができる。記憶装置５０〜５６も信頼できる。各記憶装置は以下のプロトコルに従うことができ、秘密鍵を適切に格納することができると仮定する。
【００３９】
サーバ３４’などのサーバは、ある固定サイズ・データ・ブロック（例えば、記憶装置５６に格納される論理装置５１に属するデータ・ブロック５７−ｋ）に対してあるオペレーション（限定はしないが、読取りオペレーションや書込みオペレーションなど）を実行することを望むクライアント（例えばクライアント１１）をホストすることができる。
【００４０】
クライアント１１は、セキュリティ・アドミニストレータ７０に証明書を要求することができる。クライアント１１が、データ・ブロック５７−ｋに対して要求したオペレーションを実行することが許可されていると仮定すると、セキュリティ・アドミニストレータ７０は、機能情報および機能鍵を含む証明書をクライアント１１に返すことによって応答する。
【００４１】
好都合なことに、証明書は、クライアントまたはクライアントの位置の識別とは無関係である。証明書をクライアントで使用して、ブロック・ベースのコマンドおよびデータを移送する任意のネットワーキング機構を使用して、任意の物理位置から論理装置５１内の１つまたは複数の固定サイズ・データ・ブロックにアクセスすることができる。したがって、証明書ベースの解決策は、動的サーバ環境に適しており、動的サーバ環境を、トランスポート層として使用されるネットワーク技術と無関係にする。
【００４２】
機能情報は、データ・ブロック５７−ｋに関してクライアント１１のアクセス権を定義するが、通常は論理装置ごとに定義される。論理装置の一部ごとに機能情報を定義でき、その部分は１つまたは複数の固定サイズ・データ・ブロックを含むことに留意されたい。機能情報はパブリックである。機能情報はビットマップ（各ビット値が、あるタイプのオペレーションが許可されるかどうかを決定する）でよいが、他のフォーマットを有することもできる。
【００４３】
機能鍵は秘密である。セキュリティ・アドミニストレータ７０と記憶装置５６の間で共有される機能情報および秘密鍵に対して数学的関数（暗号一方向関数など）を適用することによって機能鍵を計算することができる。
【００４４】
クライアント１１は、機能鍵および機能情報を受信し、機能鍵を使用することによって検証タグを計算する。検証タグの構造および使用法は、クライアント１１と記憶装置５６の間で情報を搬送するのに使用されるトランスポート層のセキュリティ・レベルに依存する。
【００４５】
例えば、ストレージ・エリア・ネットワーク４０’が、ＦＣ−ＳＰセキュア・チャネルなどのセキュア・チャネルを提供するセキュリティ機構を使用する場合、検証タグをクライアント１１から記憶装置５６に送信することができる。例えばストレージ・エリア・ネットワーク４０’の安全性が低い場合、クライアント１１から記憶装置５６に送信する前の証明書のリプレイを回避するなどのために、検証タグまたは追加の情報あるいはその両方を計算することができる。
【００４６】
次いで、クライアント１１は、ブロック・ベースの記憶アクセス・コマンドならびに機能情報および検証タグを記憶装置５６に送信する。
【００４７】
記憶装置５６は、ブロック・ベースの記憶アクセス・コマンド、機能情報、および検証タグを受信し、検証タグならびに秘密鍵を使用して、少なくとも機能情報を認証する。
【００４８】
検証が成功した場合、要求されたコマンドが実行される。そうでない場合、ブロック・ベースの記憶アクセス・コマンドが拒否される。
【００４９】
図３は、本発明の一実施形態による環境１００を示す。
【００５０】
コンピュータ１０’〜１８’がストレージ・エリア・ネットワーク４０’に接続される。したがって、コンピュータ１０’〜１８’は、１つまたは複数の記憶装置にアクセスするクライアントをホストすることができる。このクライアントは、セキュリティ・アドミニストレータと通信し、検証タグを計算し、ブロック・ベースの記憶アクセス・コマンドならびに暗号で保護されたアクセス制御情報を記憶装置に送信することができる。
【００５１】
説明を単純にするために、クライアント１３（コンピュータ１０’上でホストされる）が、論理装置５５に属する固定サイズ・データ・ブロック５５−ｊに対してあるオペレーション（限定はしないが、読取りオペレーションや書込みオペレーションなど）を実行することを望み、論理装置５５が記憶装置５４に格納されると仮定する。
【００５２】
クライアント１３は、セキュリティ・アドミニストレータ７０に証明書を要求する。クライアント１３が要求されたオペレーションをデータ・ブロック５５−ｊに対して実行することを許可されていると仮定すると、セキュリティ・アドミニストレータ７０は、機能情報および機能鍵を含む証明書をクライアント１３に返すことによって応答する。
【００５３】
機能情報は、データ・ブロック５５−ｊまたは論理装置５５全体に関するクライアント１３のアクセス権を定義する。
【００５４】
機能情報、ならびにセキュリティ・アドミニストレータ７０と記憶装置５４の間で共有される秘密鍵に対して数学的関数（暗号一方向関数など）を適用することにより、機能鍵を（セキュリティ・アドミニストレータ７０で）計算することができる。
【００５５】
クライアント１３は、機能鍵および機能情報を受信し、機能鍵を使用することによって検証タグを計算する。検証鍵の構造および使用法は、クライアント１３と記憶装置５４の間のリンクのセキュリティ・レベルに依存する。
【００５６】
次いで、クライアント１３は、記憶装置５４で実行されるべきブロック・ベースの記憶アクセス・コマンド、ならびにクライアント１３がセキュリティ・アドミニストレータ７０から受信した機能情報と、クライアント１３が計算した検証タグを記憶装置５４に送信する。
【００５７】
記憶装置５６は、ブロック・ベースの記憶アクセス・コマンド、機能情報、および検証タグ（または検証タグを表す情報）を受信し、検証タグならびに秘密鍵を使用して、少なくとも機能情報を認証する。
【００５８】
検証が成功した場合、要求されたコマンドが実行される。そうでない場合、ブロック・ベースの記憶アクセス・コマンドが拒否される。
【００５９】
好都合なことに、ブロック・ベースの記憶アクセス・コマンドがブロック・ベースのＳＣＳＩコマンドである場合、ブロック・ベースの記憶アクセス・コマンドは、ＳＣＳＩ  Ｉ／Ｏコマンド、ストレージ・コントローラ・コマンド、コピー・サービス用のＳＣＳＩコマンド、およびＳＣＳＩ制御タイプ・コマンドでよい。
【００６０】
ＳＣＳＩ  Ｉ／Ｏコマンドは、様々な形態のＲＥＡＤコマンドおよびＷＲＩＴＥコマンド、ならびに暗黙的Ｗｒｉｔｅ（例えばＦＯＲＭＡＴ＿ＵＮＩＴ  ＳＣＳＩコマンド）として見ることのできるＳＣＳＩコマンドを含むことができる。こうしたＩ／Ｏ  ＳＣＳＩコマンドについて、特定の論理装置を対象とするオペレーションの組に従って、アクセス権のリッチ・セットを定義することができる。
【００６１】
コントローラのコマンドは、ＲＥＰＯＲＴ  ＬＵＮＳコマンドを含むことができる。そのようなコマンドでは、機能情報は、コマンドが対象とする論理装置（例えばＬＵＮ  ０）を指定すべきである。そのような機能は、Ｙｅｓ／Ｎｏポリシー（クライアントがコントローラに対する指定のコマンドを実行することができるかどうか）を実施する。
【００６２】
標準ＥＸＴＥＮＤＥＤ  ＣＯＰＹコマンドを使用することにより、またはベンダ特有のコマンド・タイプを使用することにより、コピー・サービス用のＳＣＳＩコマンドをブロック装置でサポートすることができ、機構はそれらにも適用される。ＩＮＱＵＩＲＹやＳＥＮＤ  ＤＩＡＧＮＯＳＴＩＣなどの制御タイプ・コマンドへのアクセスを実施するのに機構を使用することもできる。
【００６３】
図４は、本発明の一実施形態による様々なエンティティ間の論理接続を示す。
【００６４】
図４は、仮想マシン１１１および１１３などのクライアントと、ストレージ・エリア・ネットワーク１４０と、セキュリティ・アドミニストレータ１６０と、記憶装置インターフェース５２−１と、記憶装置５２に格納される２つの論理装置５１および５３とを示す。
【００６５】
クライアントおよび論理装置を含む様々な論理エンティティを、様々な方式で互いに接続することのできる物理的装置でホストすることができ、またはそれに格納することができること、ならびにストレージ・エリア・ネットワーク１４０を、限定はしないがネットワーク２０などの１つまたは複数のネットワークに先行させ、またはその後に続けることができることに留意されたい。
【００６６】
好都合なことに、図１のコンピュータ１０〜１８のうちのコンピュータで仮想マシンをホストすることができ、またはサーバ３０’〜３４’のうちのサーバでホストすることができる。仮想マシン１１１および１１３は、暗号で保護されたアクセス制御情報に関連するブロック・ベースの記憶アクセス・コマンドを使用することによって記憶装置５２と通信する。
【００６７】
仮想マシン１１１は、一続きのステージによってブロック５１−ｍなどの固定サイズ・データ・ブロックにアクセスすることができる。仮想マシン１１１はまず、仮想マシン１１１およびブロック５１−ｍ（または論理装置５１）に関連するアクセス制御情報を受信する要求をセキュリティ・アドミニストレータ７０に送信する。
【００６８】
セキュリティ・アドミニストレータ１６０からアクセス制御情報を受信した後、仮想マシン１１１は、ブロック・ベースの記憶アクセス・コマンドに関連する、暗号で保護されたアクセス制御情報を生成する。前記情報およびコマンド（ラップ・ブロック・ベース記憶アクセス・コマンドとも呼ばれる）が、ストレージ・エリア・ネットワーク１４０を介して、記憶装置５２、特に記憶装置インターフェース５２−１に送信される。記憶装置インターフェース５２−１は、秘密鍵を使用して、ブロック・ベースの記憶アクセス・コマンドを実行すべきかどうかを判定する。
【００６９】
好都合なことに、仮想マシン１１１は、第１リンク（リンク１６３など）を介してラップ・ブロック・ベース記憶アクセス・コマンドを送信すると共に、別のリンク（リンク１６２など）を介してセキュリティ・アドミニストレータ１６０と情報を交換する。
【００７０】
図５は、本発明の一実施形態による記憶装置にアクセスする方法２００を示す。
【００７１】
方法２００の様々なステージを記憶装置で実装することができるが、これは必ずしもそうであるわけではない。
【００７２】
方法２００は、ブロック・ベースの記憶アクセス・コマンドおよび暗号で保護されたアクセス制御情報を記憶装置で受信するステージ２２０で開始する。ブロック・ベースの記憶アクセス・コマンドおよび暗号で保護されたアクセス制御情報は、１つまたは複数の固定サイズ論理ブロックと関連付けられる。
【００７３】
好都合なことに、ブロック・ベースの記憶アクセス・コマンドは１つまたは複数の固定サイズ・ブロックと関連付けられ、暗号で保護されたアクセス制御情報は、１つまたは複数の固定サイズ・データ・ブロックならびに追加の固定サイズ・データ・ブロックを含む多くの固定サイズ・ブロックを含むことのできる論理装置または論理装置の一部と関連付けられる。
【００７４】
ステージ２２０の後に、記憶装置およびセキュリティ・エンティティからアクセス可能な秘密鍵を使用することにより、暗号で保護されたアクセス制御情報の少なくとも一部を処理するステージ２３０が続く。好都合なことに、ブロック・ベースの記憶アクセス・コマンドと保護されたアクセス制御情報は、共有秘密が送信される通信リンクとは異なる通信リンクを介して受信される。
【００７５】
好都合なことに、暗号で保護されたアクセス制御情報は機能情報および検証タグを含み、ステージ２３０は、検証タグおよび秘密鍵を使用することによって少なくとも機能情報を認証することを含む。
【００７６】
ステージ２３０の後に、処理の結果に応答してブロック・ベースの記憶アクセス・コマンドを選択的に実行するステージ２４０が続く。したがって、認証が成功した場合、ブロック・ベースの記憶アクセス・コマンドが実行される。
【００７７】
図６は、本発明の一実施形態による記憶装置にアクセスする方法３００を示す。
【００７８】
方法３００の様々なステージをクライアントで実装することができるが、これは必ずしもそうであるわけではない。
【００７９】
方法３００は、１つまたは複数の固定サイズ論理ブロックおよびクライアントに関連するアクセス制御情報を受信する要求をセキュリティ・エンティティに送信するステージ３２０で開始する。
【００８０】
ステージ３２０の後に、アクセス制御情報を受信するステージ３３０が続く。
【００８１】
ステージ３３０の後に、アクセス制御情報に応答して、暗号で保護されたアクセス情報を生成するステージ３４０が続く。ステージ３４０は通常、セキュリティ・エンティティで提供される機能鍵を使用することを含む。
【００８２】
ステージ３４０の後に、暗号で保護されたアクセス制御情報に関連するブロック・ベースの記憶アクセス・コマンドを提供するステージ３５０が続く。
【００８３】
好都合なことに、ステージ３２０は第１リンクを使用することを含み、ステージ３４０は第２リンクを使用することを含む。
【００８４】
好都合なことに、ステージ３４０は、ストレージ・エリア・ネットワークを介してブロック・ベースの記憶アクセス・コマンドを提供することを含む。
【００８５】
図７は、本発明の一実施形態による記憶装置にアクセスする方法４００を示す。
【００８６】
方法４００の様々なステージを、クライアント、セキュリティ・エンティティ、記憶装置などのエンティティの組合せで実装することができるが、これは必ずしもそうであるわけではない。
【００８７】
方法４００は、少なくとも１つの固定サイズ・データ・ブロックおよびクライアントに関連するアクセス制御情報を受信する要求をセキュリティ・エンティティに送信するステージ４１０で開始する。少なくとも１つの固定サイズ・データ・ブロックは、論理装置または論理装置の一部を形成することができる。
【００８８】
ステージ４１０の後に、アクセス制御情報を提供するステージ４２０が続く。ステージ４２０はまた、機能鍵などの追加の情報を提供することも含む。
【００８９】
ステージ４２０の後に、アクセス制御情報および機能鍵に応答して、暗号で保護されたアクセス情報を生成するステージ４３０が続く。
【００９０】
ステージ４３０の後に、暗号で保護されたアクセス制御情報に関連するブロック・ベースの記憶アクセス・コマンドを記憶装置に送信するステージ４４０が続く。
【００９１】
ステージ４４０の後に、ブロック・ベースの記憶アクセス・コマンドおよび暗号で保護されたアクセス制御情報を記憶装置で受信するステージ４５０が続く。ステージ４５０はまた、記憶装置およびセキュリティ・エンティティからアクセス可能な秘密鍵を使用することにより、暗号で保護されたアクセス制御情報の少なくとも一部を処理することも含む。
【００９２】
ステージ４５０の後に、処理の結果に応答してブロック・ベースの記憶アクセス・コマンドを選択的に実行するステージ４６０が続く。
【００９３】
ラップＳＣＳＩコマンドの様々な例示的フォーマットを以下に示す。ブロック・ベースのＳＣＳＩコマンドはコマンド・パラメータおよびデータを含むことができる［コマンド・パラメータ、データ］。
【００９４】
例えば、下にあるトランスポート層が保護され、メッセージ保全性および認証性、アンチリプレイ、ならびにman-in-the-middleアタックに対する保護を保証する場合、ラップＳＣＳＩコマンドは、［コマンド・パラメータ、機能情報、妥当性］データでよく、一方、妥当性タグはＦＫｃａｐ（セキュリティ・トークン）でよい。セキュリティ・トークンは、記憶装置で選ばれるトランスポート・セキュア・チャネルの固有識別子である。Ｋｃａｐは機能鍵であり、関数Ｆは、機能鍵に対して適用される数学的関数である。
【００９５】
例えば、下にあるトランスポートが保護されない場合、ラップＳＣＳＩコマンドは、［コマンド・パラメータ、機能情報、データ］［ＦＫ  ｃａｐ（セキュリティ・トークン、コマンド・パラメータ、機能情報、データ）］となり、ここでセキュリティ・トークンは、固有のコマンドごとのｎｏｎｃｅでよく、好都合なことにアンチリプレイのための他のフィールドでよい。ＦＫ  ｃａｐは、証明書鍵を使用することによって適用される暗号関数を表す。
【００９６】
さらに、本発明は、コンピュータまたは任意の命令実行システムによって使用され、またはそれと共に使用されるプログラム・コードを提供するコンピュータ使用可能媒体またはコンピュータ可読媒体からアクセス可能なコンピュータ・プログラムの形態を取ることができる。この説明では、コンピュータ使用可能媒体またはコンピュータ可読媒体は、命令実行システム、機器、または装置で使用され、またはそれらと共に使用されるプログラムを収容、格納、通信、伝播、または移送することのできる任意の機器でよい。
【００９７】
媒体は、電子的システム、磁気的システム、光学的システム、電磁的システム、赤外線システム、または半導体システム（または機器または装置）または伝播媒体でよい。コンピュータ可読媒体の例は、半導体メモリまたは固体メモリ、磁気テープ、取外し可能コンピュータ・ディスケット、ランダム・アクセス・メモリ（ＲＡＭ）読取り専用メモリ（ＲＯＭ）、硬質磁気ディスク、ならびに光ディスクを含む。光ディスクの現在の例は、コンパクト・ディスク−読取り専用メモリ（ＣＤ−ＲＯＭ）、コンパクト・ディスク−読取り／書込み（ＣＤ−Ｒ／Ｗ）、およびＤＶＤを含む。
【００９８】
プログラム・コードを格納または実行し、あるいはその両方を行うのに適したデータ処理システムは、システム・バスを介してメモリ要素に直接的または間接的に結合された少なくとも１つのプロセッサを含む。メモリ要素は、プログラム・コードの実際の実行中に使用されるローカル・メモリと、バルク・ストレージと、実行中にバルク・ストレージからコードを取り出さなければならない回数を削減するために少なくとも一部のプログラム・コードの一時記憶を実現するキャッシュ・メモリとを含むことができる。
【００９９】
入出力装置すなわちＩ／Ｏ装置（限定はしないが、キーボード、ディスプレイ、ポインティング・デバイスなどを含む）を、直接的に、または介入Ｉ／Ｏコントローラを介してシステムに結合することができる。
【０１００】
ネットワーク・アダプタをシステムに結合し、介入プライベートネットワークまたは介入公衆ネットワークを介してデータ処理システムを他のデータ処理システムまたはリモート・プリンタまたは記憶装置に結合することを可能にすることもできる。モデム、ケーブル・モデム、およびイーサネット（Ｒ）・カードは、現在入手可能なタイプのネットワーク・アダプタのほんの一部である。
【０１０１】
特許請求される本発明の精神および範囲から逸脱することなく、本明細書で説明したものの変形形態、修正形態、および他の実装が当業者に思い浮かぶであろう。
【０１０２】
したがって、本発明は、上記の例示的説明によって定義されず、添付の特許請求の範囲の精神および範囲によって定義される。
【図面の簡単な説明】
【０１０３】
【図１】従来技術の環境を示す図である。
【図２】本発明の一実施形態による環境を示す図である。
【図３】本発明の一実施形態による環境を示す図である。
【図４】本発明の一実施形態による様々なエンティティ間の論理接続を示す図である。
【図５】本発明の一実施形態による記憶装置にアクセスする方法を示す図である。
【図６】本発明の一実施形態による記憶装置にアクセスする方法を示す図である。
【図７】本発明の一実施形態による記憶装置にアクセスする方法を示す図である。
【図１】
2009540408.tif 000003
【図２】
2009540408.tif 000004
【図３】
2009540408.tif 000005
【図４】
2009540408.tif 000006
【図５】
2009540408.tif 000007
【図６】
2009540408.tif 000008
【図７】
2009540408.tif 000009
【手続補正書】
【提出日】平成21年4月7日(2009.4.7)
【手続補正１】
【補正対象書類名】特許請求の範囲
【補正対象項目名】全文
【補正方法】変更
【補正の内容】
【特許請求の範囲】
【請求項１】
記憶装置にアクセスする方法であって、
ブロック・ベースの記憶アクセス・コマンドおよび暗号で保護されたアクセス制御情報を記憶装置で受信することであって、前記ブロック・ベースの記憶アクセス・コマンドおよび前記暗号で保護されたアクセス制御情報が、少なくとも１つの固定サイズ・データ・ブロックおよびクライアントと関連付けられること、
前記記憶装置およびセキュリティ・エンティティからアクセス可能な秘密鍵を使用することにより、前記暗号で保護されたアクセス制御情報の少なくとも一部を処理すること、および
前記処理の結果に応答して前記ブロック・ベースの記憶アクセス・コマンドを選択的に実行すること
を含む方法。
【請求項２】
記憶装置にアクセスする方法であって、
少なくとも１つの固定サイズ論理ブロックおよびクライアントに関連するアクセス制御情報を受信する要求をセキュリティ・エンティティに送信すること、
前記アクセス制御情報および機能鍵を受信すること、受信したアクセス制御情報および機能鍵に基づいて、暗号で保護されたアクセス情報を生成すること、および
前記暗号で保護されたアクセス制御情報に関連するブロック・ベースの記憶アクセス・コマンドを提供すること
を含む方法。
【請求項３】
コンピュータ可読なコンピュータ・プログラムであって、前記コンピュータ・プログラムが、コンピュータ上で実行されたときに、
ブロック・ベースの記憶アクセス・コマンドおよび暗号で保護されたアクセス制御情報を受信することであって、前記ブロック・ベースの記憶アクセス・コマンドおよび前記暗号で保護されたアクセス制御情報が、少なくとも１つの固定サイズ論理ブロックおよびクライアントと関連付けられること、
前記記憶装置およびセキュリティ・エンティティからアクセス可能な秘密鍵を使用することにより、前記暗号で保護されたアクセス制御情報の少なくとも一部を処理すること、および
前記処理の結果に応答して前記ブロック・ベースの記憶アクセス・コマンドを選択的に実行すること
を前記コンピュータにさせるコンピュータ・プログラム。
【請求項４】
前記ストレージ・ベースのアクセス・コマンドが、少なくとも１つの固定サイズ・データ・ブロックと関連付けられ、前記暗号で保護されたアクセス制御情報が、前記少なくとも１つの固定サイズ・ブロックおよび追加の固定サイズ・データ・ブロックを含む論理装置と関連付けられる請求項３に記載のコンピュータ・プログラム。
【請求項５】
前記暗号で保護されたアクセス制御情報が、機能情報および検証タグを含み、前記コンピュータ・プログラムが、コンピュータ上で実行されたときに、前記検証タグおよび前記秘密鍵を使用することにより、少なくとも前記機能情報を前記コンピュータに認証させる請求項３または４に記載のコンピュータ・プログラム。
【請求項６】
前記コンピュータ・プログラムが、コンピュータ上で実行されたときに、前記コンピュータに、第２リンクを介して前記ブロック・ベースの記憶アクセス・コマンドを受信する間に、第１リンクを使用して前記秘密鍵を受信させる請求項３、４、または５のいずれかに記載のコンピュータ・プログラム。
【請求項７】
コンピュータ可読なコンピュータ・プログラムであって、前記コンピュータ・プログラムが、コンピュータ上で実行されたときに、
少なくとも１つの固定サイズ・データ・ブロックおよびクライアントに関連するアクセス制御情報を受信する要求をセキュリティ・エンティティに送信すること、
前記アクセス制御情報および機能鍵を受信すること、
前記アクセス制御情報および前記機能鍵に基づいて、暗号で保護されたアクセス情報を生成すること、および
前記暗号で保護されたアクセス制御情報に関連するブロック・ベースの記憶アクセス・コマンドを提供すること
を前記コンピュータにさせるコンピュータ・プログラム。
【請求項８】
前記コンピュータ・プログラムが、コンピュータ上で実行されたときに、前記コンピュータに、第１リンクを介して少なくとも１つの固定サイズ・データ・ブロックに関連するアクセス制御情報を受信する要求を送信させ、第２リンクを介して前記暗号で保護されたアクセス制御情報に関連するブロック・ベースの記憶アクセス・コマンドを提供させる請求項７に記載のコンピュータ・プログラム。
【請求項９】
データ・アクセス機能を有するシステムであって、
記憶媒体と、ブロック・ベースの記憶アクセス・コマンドおよび暗号で保護されたアクセス制御情報を受信するように適合された記憶装置インターフェースとを備える記憶装置であって、前記ブロック・ベースの記憶アクセス・コマンドおよび前記暗号で保護されたアクセス制御情報が、少なくとも１つの固定サイズ論理ブロックおよびクライアントと関連付けられ、前記記憶装置が、前記記憶装置およびセキュリティ・エンティティからアクセス可能な秘密鍵を使用することにより、前記暗号で保護されたアクセス制御情報の少なくとも一部を処理し、前記処理の結果に応答して前記ブロック・ベースの記憶アクセス・コマンドを選択的に実行するように適合される記憶装置
を備えるシステム。
【請求項１０】
前記暗号で保護されたアクセス制御情報が、前記少なくとも１つの固定サイズ・データ・ブロックおよび追加の固定サイズ・ブロックを含む論理装置の少なくとも一部と関連付けられる請求項９に記載のシステム。
【請求項１１】
前記暗号で保護されたアクセス制御情報が、機能情報および検証タグを含み、前記記憶装置が、前記検証タグおよび前記秘密鍵を使用することによって少なくとも前記機能情報を認証するように適合される請求項９または１０に記載のシステム。
【請求項１２】
第１リンクを使用して前記秘密鍵を受信すると共に、第２リンクを介して前記ブロック・ベースの記憶アクセス・コマンドを受信するように適合される請求項９、１０、または１１に記載のシステム。
【請求項１３】
ホスト・コンピュータおよびインターフェースを備えるシステムであって、前記インターフェースが、アクセス制御情報を受信するように適合され、前記ホスト・コンピュータが、少なくとも１つの固定サイズ・データ・ブロックおよびクライアントに関連する前記アクセス制御情報と、機能鍵とを受信する要求をセキュリティ・エンティティに送信し、前記アクセス制御情報および前記機能鍵に応答して、暗号で保護されたアクセス情報を生成し、前記暗号で保護されたアクセス制御情報に関連するブロック・ベースの記憶アクセス・コマンドを提供するように適合されたクライアントの少なくとも一部をホストするように適合されるシステム。
【請求項１４】
前記システムが、前記要求を送信するのに第１リンクを使用するように適合され、さらに、前記ブロック・ベースの記憶アクセス・コマンドを提供するのに第２リンクを使用するように適合される請求項１３に記載のシステム。
【請求項１５】
記憶装置にアクセスする方法であって、
少なくとも１つの固定サイズ・データ・ブロックおよびクライアントに関連するアクセス制御情報を受信する要求をセキュリティ・エンティティに送信すること、
アクセス制御情報および機能鍵を提供すること、
前記アクセス制御情報および前記機能鍵に基づいて、暗号で保護されたアクセス情報を生成すること、
前記暗号で保護されたアクセス制御情報に関連するブロック・ベースの記憶アクセス・コマンドを記憶装置に送信すること、
前記ブロック・ベースの記憶アクセス・コマンドおよび前記暗号で保護されたアクセス制御情報を前記記憶装置で受信すること、
前記記憶装置およびセキュリティ・エンティティからアクセス可能な秘密鍵を使用することにより、前記暗号で保護されたアクセス制御情報の少なくとも一部を処理すること、および
前記処理の結果に応答して前記ブロック・ベースの記憶アクセス・コマンドを選択的に実行すること
を含む方法。
【請求項１６】
前記暗号で保護されたアクセス制御情報が、機能情報および検証タグを含み、前記処理が、前記検証タグおよび前記秘密鍵を使用することによって少なくとも前記機能情報を認証することを含む請求項１５に記載の方法。
【請求項１７】
第１リンクを使用して前記秘密鍵を受信すると共に、第２リンクを介して前記ブロック・ベースの記憶アクセス・コマンドを受信することをさらに含む請求項１５、または１６に記載の方法。
【国際調査報告】
2009540408.tif 000010
2009540408.tif 000011
2009540408.tif 000012