(57)【要約】【課題】  リモートファイルデータストアに亘って認証、アクセス、圧縮、及び暗号化の制御を提供するためにインフラストラクチャーアプライアンスを利用するセキュアネットワークシステムを提供する。【解決手段】  セキュアネットワークファイルアクセスアプライアンス（１２）は、クライアントコンピュータシステム（２２）のファイルシステム（３４）及びネットワークデータストア（１６）間のデータのセキュアアクセス及び転送をサポートする。クライアントコンピュータシステム上に設けられ、セキュアネットワークファイルアクセスアプライアンスによってモニタされるエージェント（３６）は、ネットワークデータストアに対して出されたファイルシステム要求に関してクライアントコンピュータシステムの認証を保証する。セキュアネットワークファイルアクセスアプライアンスが、クライアントコンピュータシステム及びネットワークデータストア間でネットワークインフラストラクチャーに設けられ、適格なアクセスポリシーを適用してファイルシステム要求まで選択的に通過させる。セキュアネットワークファイルアクセスアプライアンスは、暗号鍵ストアを維持し、暗号鍵を対応するファイルシステムのファイルに関連付け、セキュアネットワークファイルアクセスアプライアンスを通してネットワークデータストアに転送されかつそれから読み取る時にファイルデータを暗号化及び暗号解読する。
2005534104.tif 000002
【特許請求の範囲】
【請求項１】
クライアントコンピュータシステム及びネットワークデータストア間のデータのセキュアアクセス及び転送をサポートするネットワークストレージアーキテクチャであって、
ａ）所定のネットワークファイルに対する第１ファイルデータ要求の発行を含むアプリケーションプログラムの実行をサポートするクライアントコンピュータシステム上に設けられ、該アプリケーションに対する認証データを作成するエージェントと、
ｂ）前記所定のネットワークファイルのストレージを提供するネットワークデータストアと、
ｃ）前記第１ファイルデータ要求を受け取るために前記クライアントコンピュータシステムに第１ネットワークを通じて連結可能であり、第２読取要求を供給するために前記ネットワークデータストアに第２ネットワークを通じて連結可能なネットワークアプライアンスと、
を含み、
前記ネットワークアプライアンスは、前記認証データを受け取って確認するために前記エージェントと相互運用され、前記第１ファイルデータ要求に対応する第２ファイルデータ要求の生成を可能し、
前記ネットワークアプライアンスはまた、前記ネットワークデータストアに前記第２ファイルデータ要求を送信するように作動する、
ことを特徴とするアーキテクチャ。
【請求項２】
前記認証データは、前記アプリケーションプログラムの実行に関するセッションを定義し、
前記認証データはまた、前記第１ファイルデータ要求と共に前記ネットワークアプライアンスに供給される、
ことを特徴とする請求項１に記載のネットワークストレージアーキテクチャ。
【請求項３】
前記認証データは、前記クライアントコンピュータシステム上で実行される時の前記アプリケーションプログラムに対応する処理識別子を含むことを特徴とする請求項２に記載のネットワークストレージアーキテクチャ。
【請求項４】
前記認証データは、検証されたユーザ識別子を含むことを特徴とする請求項３に記載のネットワークストレージアーキテクチャ。
【請求項５】
前記ネットワークアプライアンスは、暗号化ユニットを含み、
前記ネットワークアプライアンスはまた、前記第２ファイルデータ要求と共に転送されたファイルデータの暗号化を提供する、
ことを特徴とする請求項２に記載のネットワークストレージアーキテクチャ。
【請求項６】
前記ネットワークアプライアンスは、前記所定のネットワークファイルに対応して暗号鍵識別子を含むメタデータのストレージを提供し、
前記ネットワークアプライアンスはまた、前記第１ファイルデータ要求と共に前記メタデータの検索を選択的に提供する、
ことを特徴とする請求項５に記載のネットワークストレージアーキテクチャ。
【請求項７】
前記ネットワークアプライアンスは、暗号鍵ストアを含み、
前記暗号鍵識別子は、前記第２ファイルデータ要求と共に前記暗号化ユニットに供給された暗号鍵を選択する、
ことを特徴とする請求項６に記載のネットワークストレージアーキテクチャ。
【請求項８】
前記認証データは、前記クライアントコンピュータシステム上で実行される時の前記アプリケーションプログラムに対応する処理識別子、検証されたユーザ識別子、及びグループ識別子を含み、
前記ネットワークアプライアンスは、複数の所定のアクセスポリシーを記憶するアクセスポリシーストアを更に含み、
前記ネットワークアプライアンスはまた、前記処理識別子、検証されたユーザ識別子、及びグループ識別子に関して前記アクセスポリシーストアにより記憶された前記複数の所定のアクセスポリシーに対して前記ファイルデータ要求を限定するように作動する、
ことを特徴とする請求項７に記載のネットワークストレージアーキテクチャ。
【請求項９】
前記第１ファイルデータ要求は、前記ネットワークデータストアの識別と共に前記複数の所定のアクセスポリシーに対して更に限定されることを特徴とする請求項８に記載のネットワークストレージアーキテクチャ。
【請求項１０】
クライアントコンピュータシステム及びネットワークストレージシステム間のネットワークインフラストラクチャーに連結可能であり、それらの間で転送されるファイルシステム要求及びデータを認証して保護するネットワークストレージセキュリティアプライアンスであって、
ａ）所定のクライアントコンピュータシステム上のエージェントと通信するように連結可能であり、該クライアントコンピュータシステムによる実行のためにロードされた所定のアプリケーションに対して該エージェントによって収集された認証データを受け取って確認するように作動する認証コントローラ、
を含み、
前記所定のアプリケーションは、第１ファイルデータに関してネットワークストレージセキュリティアプライアンスに向けられた第１ファイルシステム要求を供給し、
ｂ）第２ファイルシステム要求をネットワークストレージシステムへ供給するために前記第１ファイルシステム要求に応答し、前記第１ファイルデータと該第２ファイルシステム要求と共に転送された第２ファイルデータとの間のセキュアデータプロトコル変換を提供する、前記認証コントローラに連結されたプロトコルプロセッサ、
を更に含み、
前記第２ファイルデータのセキュアデータプロトコルは、前記ネットワークストレージシステムに対して透明（トランスペアレント）である、
ことを特徴とするアプライアンス。
【請求項１１】
前記認証コントローラは、前記第２ファイルシステム要求に対して前記プロトコルプロセッサの作動を選択的に可能にするように作動することを特徴とする請求項１０に記載のネットワークストレージセキュリティアプライアンス。
【請求項１２】
前記セキュアデータプロトコルは、前記第１ファイルデータのデジタル署名を提供することを特徴とする請求項１１に記載のネットワークストレージセキュリティアプライアンス。
【請求項１３】
前記セキュアデータプロトコルは、前記第１ファイルデータの暗号化を提供することを特徴とする請求項１１に記載のネットワークストレージセキュリティアプライアンス。
【請求項１４】
前記プロトコルプロセッサは、複数の暗号鍵のストレージを提供する暗号鍵ストアを含み、
前記プロトコルプロセッサはまた、所定の暗号鍵を前記第１ファイルデータに自律的に関連付けるように作動する、
ことを特徴とする請求項１３に記載のネットワークストレージセキュリティアプライアンス。
【請求項１５】
メタデータが、前記第２ファイルデータに関連付けられ、
前記プロトコルプロセッサは、前記第２ファイルデータに対する前記暗号鍵ストアから前記所定の暗号鍵を選択するために前記メタデータに応答する、
ことを特徴とする請求項１４に記載のネットワークストレージセキュリティアプライアンス。
【請求項１６】
前記メタデータは、前記第２ファイルデータに対応して前記ネットワークストレージシステムによって記憶されることを特徴とする請求項１５に記載のネットワークストレージセキュリティアプライアンス。
【請求項１７】
前記メタデータの個々のインスタンスは、前記第２ファイルデータに対して記憶されることを特徴とする請求項１６に記載のネットワークストレージセキュリティアプライアンス。
【請求項１８】
前記メタデータの前記個々のインスタンスは、前記第２ファイルデータの一部として記憶されることを特徴とする請求項１７に記載のネットワークストレージセキュリティアプライアンス。
【請求項１９】
ネットワークを通じてクライアントにアクセス可能なネットワークストレージ装置上のファイルデータを保護する方法であって、
ａ）ネットワークファイルアクセスが所定のクライアントシステムとネットワークファイルデータストアとの間でルーティングされるネットワークポータルを確立する段階と、
ｂ）前記ネットワークファイルデータストアに対して前記所定のクライアントシステム上で実行されるアプリケーションによるネットワークアクセスを認証する、前記ネットワークポータルによってサポートされた段階と、
ｃ）前記ネットワークファイルデータストアによって記憶された所定のネットワークデータファイルに対して前記所定のクライアントによって供給された第１ネットワークファイル要求を前記ネットワークポータルによってフィルタリングする段階と、
を含み、
前記フィルタリング段階は、第２ネットワークファイル要求を前記ネットワークファイルデータストアに提供するための限定する基準として前記第１ネットワークファイル要求を備えた認証データを評価する段階を含み、
ｄ）前記所定のクライアント及び前記ネットワークファイルデータストア間の移送のための第２ネットワークファイルデータとして前記第１ネットワークファイルデータを保護するために、前記第１ネットワークファイル要求によって識別された第１ネットワークファイルデータを前記ネットワークポータルによって処理する段階、
を更に含むことを特徴とする方法。
【請求項２０】
前記処理する段階は、複数の論理ブロックとして前記第２ネットワークファイルデータを自律的にデジタル署名する段階を含み、
前記第２ネットワークファイルデータをデジタル署名する段階は、前記ネットワークファイルデータストアによる該第２ネットワークファイルデータのストレージに対して透明（トランスペアレント）である、
ことを特徴とする請求項１９に記載の方法。
【請求項２１】
前記処理する段階は、複数の論理ブロックとして前記第２ネットワークファイルデータを自律的に暗号化及び暗号解読する段階を含み、
前記第２ネットワークファイルデータの暗号化は、前記ネットワークファイルデータストアによる該第２ネットワークファイルデータのストレージに対して透明（トランスペアレント）である、
ことを特徴とする請求項１９に記載の方法。
【請求項２２】
前記認証データは、ネットワーク及びＩＰ層制御情報を含み、
前記フィルタリングする段階は、前記ネットワーク及びＩＰ層制御情報に基づいて前記第１ネットワークファイル要求を検証する段階を含む、
ことを特徴とする請求項１９に記載の方法。
【請求項２３】
前記処理する段階は、前記所定のネットワークデータファイルに関連して記憶された暗号鍵識別子の検索を含む、前記第２ネットワークファイルデータを自律的に暗号化及び暗号解読する段階を含み、
前記第２ネットワークファイルデータの暗号化は、前記ネットワークファイルデータストアによる該第２ネットワークファイルデータのストレージに対して透明（トランスペアレント）であり、
前記処理する段階は、更に、前記第２ネットワークファイルデータの暗号化及び暗号解読を可能にするために、前記暗号鍵識別子に対応する暗号鍵の検索を提供する、
ことを特徴とする請求項２２に記載の方法。
【請求項２４】
前記暗号鍵は、前記ネットワークポータルによって記憶されることを特徴とする請求項２３に記載の方法。
【請求項２５】
前記ネットワークストアに関して透明（トランスペアレント）にネットワークデータファイルと共に暗号鍵識別子を選択的に記憶する段階を更に含み、
前記処理する段階は、前記所定のネットワークデータファイルを自律的に暗号化及び暗号解読する段階を可能にするために、前記暗号鍵識別子を前記暗号鍵と関連付ける段階を含む、
ことを特徴とする請求項２１に記載の方法。
【請求項２６】
外部データストアへのセキュアリモートファイルベースアクセスを提供するネットワークファイルアクセスアプライアンスであって、
ａ）クライアントネットワーク及び外部データストレージネットワークにそれぞれに連結可能な第１及び第２ネットワークインタフェースと、
ｂ）前記第１及び第２ネットワークインタフェース間に連結され、該第１ネットワークインタフェースに亘って第１ネットワークファイルアクセストランザクションを終了し、該第２ネットワークインタフェースに亘って第２ネットワークファイルアクセストランザクションを開始するネットワークデータプロセッサと、
を含み、
前記ネットワークデータプロセッサは、
前記第１ネットワークファイルアクセストランザクションを備えたアクセス認証データに応答し、所定のアプリケーションプログラムに対して該第１ネットワークファイルアクセストランザクションを確認するように作動する認証コントローラと、
前記認証コントローラに応答し、前記第１ネットワークファイルアクセストランザクションで移送された第１形式と前記第２ネットワークファイルアクセストランザクションで移送された保護された第２形式との間でネットワークファイルデータの呈示を変換するように作動するプロトコルプロセッサと、
を含む、
ことを特徴とするアプライアンス。
【請求項２７】
前記所定のアプリケーションプログラムに対して提供された認証データに応答する前記認証コントローラは、前記第１ネットワークファイルアクセストランザクションの確認のためのセッションコンテキストを確立するように作動することを特徴とする請求項２６に記載のネットワークファイルアクセスアプライアンス。
【請求項２８】
前記アクセス認証データは、ソースＩＰ及びファイルシステムマウントポイントを含むことを特徴とする請求項２７に記載のネットワークファイルアクセスアプライアンス。
【請求項２９】
前記プロトコルプロセッサは、ブロック暗号化ユニットを含み、
前記プロトコルプロセッサはまた、前記外部データストレージネットワークに転送されたネットワークファイルデータのブロックを暗号化し、該外部データストレージネットワークから受信したネットワークファイルデータのブロックを暗号解読するように作動する、
ことを特徴とする請求項２８に記載のネットワークファイルアクセスアプライアンス。
【請求項３０】
前記第１ネットワークファイルアクセストランザクションは、目標ネットワークファイル仕様を含み、
前記ネットワークデータプロセッサは、前記目標ネットワークファイル仕様に基づいて、所定のターゲットファイル暗号化パラメータを前記第１ネットワークファイルアクセストランザクションに関連付けるように作動するポリシーパーサを含み、
前記ネットワークデータプロセッサはまた、前記外部データストレージネットワークに転送されたネットワークファイルデータのグロックを暗号化する際に前記ターゲットファイル暗号化パラメータに応答する、
ことを特徴とする請求項２９に記載のネットワークファイルアクセスアプライアンス。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、一般的に、リモート側で記憶されたデータへのネットワークアクセスをサポートするネットワークインフラストラクチャー装置に関し、特に、リモートファイルデータストアに亘って認証、アクセス、圧縮、及び暗号化の制御を提供するためにインフラストラクチャーアプライアンスを利用するセキュアネットワークシステムに関する。
【背景技術】
【０００２】
ネットワーク情報システムの使用とそれに伴う進化は、かなりのペースで進み続けている。あらゆる規模の組織は、特により大きな一般的に法人の環境で、そのような組織によって実施される基本的なビジネス処理の一部として益々増加する速度で情報を作り出して移動させている。金融、科学、及び製造業界の多くの部分で遭遇するような典型的なシナリオでは、トランザクションを詳述する様々なファイルが定期的に作成され、個別及び集合処理のために中央に記憶される。次に、この同じ情報は、専属顧客サービス代表者やえり抜きの構成部品及びサービス供給業者による対話式使用のため、及び、多くの場合に一般的にウェブベースのネットワークインタフェースを通じた限られたエンドユーザアクセスのために定期的に移動される。数十から数百テラバイトの範囲の大きさになるファイルストアは珍しくない。
【０００３】
最初の問題として、情報の広範囲なアクセス可能性のボリュームと必要性の増大は、ネットワーク接続ストレージ（ＮＡＳ）及びストレージエリアネットワーク（ＳＡＮ）における増加する関心に反映されている。これらの技術は、記憶されたデータにアクセスしてそれを処理するために使用される様々なクライアント、アプリケーション、及びネットワークサーバシステム間、及び大型データストレージシステムの拡張、設定、及び管理間の基本的独立性を可能にするネットワークベースのストレージアーキテクチャをサポートする。ネットワークベースのストレージアーキテクチャによって提供される他の基本的な機能は、データストアを地理的に分配して、更にこれを複製する能力を含み、これは、一般的にビジネス及びリアルタイムトランザクション処理ストレージシステムのリモートデータバックアップ及びホットフェイルオーバーを可能にする。
【０００４】
ネットワークベースのストレージアーキテクチャの多くの使用可能化機能は、かなりの価値があるが、記憶されたデータに亘る認証、アクセス制御、及びセキュリティの問題は残っている。勿論、ネットワークベースのストレージアーキテクチャによって本来提供されるユビキタスデータアクセス可能性は、認証、アクセス、及びセキュリティ制御を保証するという問題を大いに悪化させるものと一般的に考えられている。リモート側で記憶されたデータを配信してアクセスすることに伴うネットワーク移送コストも、重要な問題として認識されている。
【０００５】
専用のローカル側に取り付けられたストレージアレイを備えたアプリケーション及びネットワークサーバを伴う従来の直接接続ストレージ（ＤＡＳ）アーキテクチャは、記憶データを保護するために様々な形態の認証、アクセス、及びセキュリティ制御を進化させてきた。これらの制御は、スマートカード及び物理的アクセスバリアに対して、基本オペレーティングシステムからパスワード認証及びアクセス許可属性を実行する。これらの制御の連続的階層化を使用して、基本となる直接接続ストレージを次第に堅牢にしていくことができる。
【０００６】
従来の保護制御のいくつかは、依然としてネットワークベースのストレージアーキテクチャに一般的に応用することができるが、その多くは、実際問題として効果がない。ネットワークベースのストレージアーキテクチャでは、ストレージにアクセスするアプリケーションサーバは、一般的にリモート側に分散され、これは、一般的に、許可、アクセス、及びセキュリティ制御が故意に又はうっかりと逃れられないといういかなる保証も排除する。ネットワークストレージが共用されたネットワークへのアクセスを許可されたリモート側に分散したクライアントコンピュータシステムに対しては、保証は更に小さくなる。
【０００７】
従来のネットワークベースのストレージアーキテクチャの脆弱性が理解され、その結果、ＮＡＳ及びＳＡＮ技術の迅速な採用を大いに制限している。仮想私設ネットワーキング（ＶＰＮ）のような他の技術は、ネットワークベースのストレージアーキテクチャの制限のいくつかを克服するのに有用である。ＶＰＮは、ＶＰＮセッション内のエンドポイントシステム間の移送におけるデータの堅牢な暗号化をサポートする。従って、従来のＶＰＮは、様々なクライアントコンピュータシステム、アプリケーションサーバ、及びネットワークストレージシステム間で移送されるデータに亘って２地点間セキュリティを提供するのに使用することができる。
【０００８】
しかし、ＶＰＮ及び類似の技術は、どのような意味のあるアクセス制御もサポートできず、又は、ＶＰＮエンドポイントシステムに配信されるとデータの継続的なセキュリティを保証できない。基本となるプロトコルは、ストレージ型アクセス制御を提供したり実施するようには全く設計されていない。ＶＰＮデータは、移送中に暗号化されて安全であるが、ホストによって実施されるアクセス制御のみに従ってＶＰＮホストエンドポイントに配信される。データはまた、暗号化されないまま配信され、従って、同じくホストによって提供されるセキュリティ制御のみを受ける。
【０００９】
ＶＰＮ及び類似の技術のセキュア移送機能の上に一般的なアクセス及びセキュリティ制御を階層化するために、場合によっては他の技術を用いることができる。ケルベロスプロトコル（ｗｅｂ．ｍｉｔ．ｅｄｕ／ｋｅｒｂｅｒｏｓ／ｗｗｗ／）及び「軽量ディレクトリアクセスプロトコル」（ＬＤＡＰ；ｗｗｗ．ｏｐｅｎｌｄａｐ．ｏｒｇ）のような様々な標準プロトコルをセキュア認証、ディレクトリサービス、及びアクセス制御を提供するために異なる程度で利用することができる。ファイルシステムの暗号化を使用して、ファイルデータが記憶される時に保護することができる。これらの技術は、共にネットワークベースのストレージアーキテクチャ内のデータの十分に強化されたストレージを提供することができる。しかし、異種のクライアントコンピュータシステム及びアプリケーションサーバに亘るこれらの技術層に要求される別々の管理を考えると、データが認証、アクセス、及びセキュリティの厳密に実施された制御を適正に受けるという保証を現実的に不可能にする。
【００１０】
従って、ネットワークベースの記憶データへの適正に保護されたアクセスのみを保証することと、ビジネス処理要件の達成におけるデータの適切な広範囲のアクセスを可能にすることとの間に基本的な未解決の緊張状態が依然として残っている。
【００１１】
【特許文献１】米国特許出願出願番号第１０／０１６，８９７号
【発明の開示】
【００１２】
従って、本発明の一般的な目的は、ネットワーク接続データストレージに転送されるデータの認証、アクセス、暗号化、及び圧縮に亘る協調制御のための、クライアントコンピュータシステム及びネットワークストレージ間の管理ポータルとしてワイヤー速度インフラストラクチャーアプライアンスを用いる効率の良いネットワークベースのストレージアーキテクチャを提供することである。
【００１３】
これは、クライアントコンピュータシステムのファイルシステム及びネットワークデータストア間のデータのセキュアアクセス及び転送をサポートするためにネットワークインフラストラクチャーにセキュアネットワークファイルアクセスアプライアンスを提供することにより本発明で達成される。クライアントコンピュータシステム上に設けられ、セキュアネットワークファイルアクセスアプライアンスによってモニタされるエージェントは、ネットワークデータストアに対して出されたファイルシステム要求に関してクライアントコンピュータシステムの認証を保証する。セキュアネットワークファイルアクセスアプライアンスが、クライアントコンピュータシステム及びネットワークデータストア間でネットワークインフラストラクチャーに設けられ、適格なアクセスポリシーを適用してファイルシステム要求まで選択的に通過させる。セキュアネットワークファイルアクセスアプライアンスは、暗号鍵ストアを維持し、暗号鍵を対応するファイルシステムのファイルに関連付け、セキュアネットワークファイルアクセスアプライアンスを通してネットワークデータストアに転送されかつそれから読み取る時にファイルデータを暗号化及び暗号解読する。
【００１４】
本発明の利点は、セキュアネットワークファイルアクセスアプライアンスが、包括的な許可、アクセス、及びセキュリティサービスをユーザレベルから物理的なファイルストレージレベルまで拡張することである。クライアントシステムに対する許可プロトコルの準拠は、セキュアネットワークファイルアクセスアプライアンスによって提供されるセキュリティサービスを受けるファイルアクセスに対する前提条件として積極的に実施される。許可されたセッション及び処理内で実行された許可されたアプリケーションから発せられる許可されたファイルアクセス要求は、セキュアネットワークファイルアクセスアプライアンスへの送信時にエージェントによって署名される。複数のアクセスポリシーが、受信したファイルアクセス要求を区別して限定するために確立され、これは、要求の信憑性を確立するためにエージェントの署名を検証する段階、及びファイルアクセス権を確立するためにユーザ及びグループ許可を評価する段階を含む。更に、アクセスポリシーは、セキュアネットワークファイルアクセスアプライアンス及びネットワークストレージ間で送信されるファイルデータに適用される暗号化及び圧縮サービスを定義する。ネットワークストレージシステムによる暗号化ファイルデータの透過ストレージを含むネットワークファイルデータの暗号化は、ネットワークファイルデータの保全性を保証し、同時にそれはセキュアネットワークファイルアクセスアプライアンスの管理範囲内にある。認証、アクセスポリシー、及び暗号化及び圧縮サービスの例外は、侵入及び不正変更イベントとして認識され、これは、適用可能なアクセスポリシーに従って記録され、管理警報として発行され、クライアントネットワークアドレスからの全てのファイルアクセス要求を阻止するなどの自律的な保護アクティビティーの基準として使用することができる。
【００１５】
本発明の別の利点は、セキュアネットワークファイルアクセスアプライアンスが、セキュリティ暗号鍵のセキュアストアを保持し、適用可能な暗号鍵を暗号化ファイルデータにそれがネットワークファイルストアから検索された時に関連付けるように自律的に作動することである。暗号化ファイルデータに関連して自動的に記憶されて検索されるメタデータは、ファイルデータの正しい暗号鍵を識別するのに使用される永続的な暗号鍵識別子を提供する。
【００１６】
本発明の更に別の利点は、セキュアネットワークファイルアクセスアプライアンスによって実行される許可、アクセス、及びセキュリティサービスがワイヤー速度で行なわれ、セキュアネットワークファイルアクセスアプライアンスの全機能がクライアントシステムとネットワークストレージシステムの両方の通常の作動に対して透明（トランスペアレント）であることを可能にすることである。データファイルは、セキュアネットワークファイルアクセスアプライアンスによって暗号化された時に、ネットワークストレージシステムへ従来のデータファイルとして呈示される。ネットワークデータファイルの暗号化は、従って、ネットワークストレージシステムに対して透明（トランスペアレント）であり、ネットワークデータファイルをバックアップ及び復元ユーティリティーを含む既存の管理ツールを使用して従来通りに操作することを可能にし、しかもデータファイルコンテントのセキュリティを危険に曝らさない。
【００１７】
本発明の更に別の利点は、セキュアネットワークファイルアクセスアプライアンスが、記憶された時の保護ファイルデータの大きさと同様に、セキュアファイル転送の帯域幅要件を最小にするために暗号化と共にデータ圧縮を実施することができることである。ホットバックアップを維持するのに必要な接続スループット、及びプログレッシブ保存ファイルバックアップに必要なストレージスペースは低減される。ファイルデータ圧縮は、セキュアネットワークファイルアクセスアプライアンスのワイヤー速度作動における最小の低下で達成される。
【００１８】
本発明の更に別の利点は、セキュアネットワークファイルアクセスアプライアンスが、インフラストラクチャー構成要素として実施され、既存並びに新しいネットワークシステムにおける容易な統合を可能にすることである。セキュアネットワークファイルアクセスアプライアンスは、特に、地理的に分散したネットワークストレージシステムへのリモートアクセスをサポートする。アクセスセキュリティ制御の付加的な層は、ネットワーク接続のファイアウォールフィルタリングの統合的実施を通して提供され、これによって外部アクセス攻撃並びに不適切な内部アクセス攻撃に対する中央で管理された設定可能な保護をサポートする。
【００１９】
本発明の上記及び他の利点と特徴は、添付図面に関連して説明される本発明の以下の詳細説明を考察するとより理解されるであろう。添付図面において、同じ参照番号は、図面を通して同じ部分を示している。
【発明を実施するための最良の形態】
【００２０】
本発明により実施されるセキュアネットワークファイルアクセスアプライアンスは、様々なネットワークインフラストラクチャー構成に有効に用いることができる。例示的なインフラストラクチャー環境１０は、図１に示されている。セキュアネットワークファイルアクセスアプライアンス１２は、ＳＡＮ１８及びネットワーク接続ストレージデバイス２０のような保護されたネットワークストレージリソース１６とクライアントコンピュータシステム２２及び２４との間の通信チャンネルとして作動するために、イントラネットインフラストラクチャー１４内の環境１０で実施されるのが好ましい。セキュアネットワークファイルアクセスアプライアンス１２は、セキュアネットワークファイルアクセスアプライアンス１２内で実行されるアクセスポリシーによって判断された時に、ネットワークストレージリソース１６に記憶されたファイルデータを選択的に暗号化する。本発明によると、ファイルデータ暗号化は、データの論理的なファイル指向構造を維持し、従って、ネットワークストレージリソース１６に対して透明（トランスペアレント）である。更に、セキュアネットワークファイルアクセスアプライアンス１２は、ＩＰファイアウォールのような作動をサポートするのが好ましく、セキュアネットワークファイルアクセスアプライアンス１２にイントラネットインフラストラクチャー１４からの排他的なインフラストラクチャー経路として機能させることができる。
【００２１】
セキュアネットワークファイルアクセスアプライアンス１２とネットワークストレージリソース１６又はＮＡＳリソース１６及び２６の一部としてのストレージリソースとの間でインフラストラクチャー１４の一部として実施されるネットワーク及び他のサーバ２６は、セキュアネットワークファイルアクセスアプライアンス１２の暗号化機能によって影響を受けないが、暗号化されたコンテントの許可されないアクセスに対しては保護される。アクティブに使用されたファイルデータ暗号鍵は、セキュアネットワークファイルアクセスアプライアンス１２内でだけ保持されて管理されるのが好ましい。従来のセキュア鍵保存サービスをセキュアネットワークファイルアクセスアプライアンス１２に提供するネットワークアクセス可能なトラステッドエージェントシステムは、長期間のストレージを提供し、鍵のオンデマンド検索をサポートする際に頼りにすることができる。暗号鍵は、ネットワーク接続ストレージデバイス２０又はネットワークサーバ２６に記憶されず、又はそれらから使用可能な形態で直接アクセスできない。
【００２２】
セキュアネットワークファイルアクセスアプライアンス１２は、ワイヤー速度で、かつ各読取、書込、及び関連するファイルアクセス要求のアクセス特権を限定する場合に最小の待ち時間で、まとめてファイルデータの読取及び書込要求を処理し、転送されたファイルデータを選択的に暗号化及び暗号解読し、更に転送されたファイルデータを選択的に圧縮及び解凍するのが好ましい。ファイルデータの往復暗号化は、インターネットを含む保護されていないネットワーク上のリモートネットワークストレージリソース１６への転送が実質的に保護されたままであることを保証する。往復圧縮は、特に転送が繰り返される大量の保存バックアップのためである場合に必要なファイルデータ転送帯域幅を大幅に低減する。
【００２３】
セキュアネットワークファイルアクセスアプライアンス１２での包括的なアクセスポリシー制御の実施は、ネットワークストレージリソース１６とファイルサーバ２６のそれに追加されるが基本的には独立しており、ファイルデータの集中化したアクセス管理を可能にする。ネットワークストレージリソース１６及びファイルサーバ２６によって実行されるアクセス許可及び他の制御は、ネットワークストレージリソース１６とファイルサーバ２６の一般的にリモート側で分散した性質のために、ネットワーク接続ストレージデバイス２０の追加及び再設定によってグローバルに維持するのが困難である。セキュアネットワークファイルアクセスアプライアンス１２によって提供されるアクセスポリシー制御は、様々なネットワークストレージリソース１６によって実行される従来のアクセス許可よりも極めて包括的であり、柔軟であり、かつ管理上均一である。
【００２４】
認証制御は、アクセスポリシー制御への補足的なものとしてセキュアネットワークファイルアクセスアプライアンス１２によってサポートされる。本発明の好ましい実施形態では、認証エージェントコードは、インストールされ、クライアント２２及び２４で実行され、ユーザセッション及び処理での認証を含むユーザ及びクライアント認証が可能になる。クライアント２２では、ユーザ２８は、ネットワークファイル、ウェブ、又はアプリケーションサーバとしてクライアント２２を利用する個々の又はリモート側に接続されたコンピュータシステムを提示することができ、従来のネットワーク対応オペレーティングシステム３２によってサポートされる従来のユーザアプリケーション３０を実行する。
【００２５】
修正されたファイルシステム３４は、ネットワークサーバ２６からの要求を含むネットワークストレージリソース１６に向けられたファイルシステム要求の選択的な認証処理を提供する。本発明の好ましい実施形態では、ファイルシステム３４は、ネットワークストレージリソース１６を表すディレクトリノードに対してオペレーティングシステム３２によってサポートされるファイルシステムスイッチ機能によってマウントされる。カーネルスペースで排他的でない場合に主として実行するエージェントプログラム３６によって提供される認証論理は、ファイルシステム３４に対して向けられたファイルシステム作動に応じて呼び出される。オペレーティングシステム３２を通じて、エージェントプログラム３６は、ユーザ、クライアント、処理、アプリケーション、及びセッション情報へのアクセスを有する。在席ユーザ認証が要求される場合、エージェントプログラム３６は、オペレーティングシステム３２を通じて相互運用され、ユーザ３０の認証ダイアログをアサートにするのが好ましい。次に、ユーザ応答情報は、ＬＤＡＰ及び他のネットワーク使用可能認証サーバ（図示せず）のような標準認証制御を使用して認証することができる。代替的に又は組み合わせて、ユーザ認証応答情報を、セキュリティ限定のためのセキュアネットワークファイルアクセスアプライアンス１２に送信することができる。
【００２６】
ユーザアプリケーション３０の認証は、エージェントプログラム３６を通じて自律的に行なわれる。ファイルシステム３４によって受信したユーザアプリケーション３０による第１ファイルシステム作動に応じて、又はユーザアプリケーション３０の起動の通知をオペレーティングシステム３２から受けてから、エージェントプログラム３６は、ユーザアプリケーション３０のロードされた２値画像のセキュアハッシュ識別を生成するのが好ましい。このハッシュ識別子及びアプリケーションファイル属性は、次に、検証のためのセキュアネットワークファイルアクセスアプライアンス１２に送信される。認証応答は、検証ステータスを供給するエージェントプログラム３６に戻される。セキュアネットワークファイルアクセスアプライアンス１２によって示された検証失敗又は他の異常は、要求されたファイルシステム作動の却下を結果としてもたらすのが好ましい。
【００２７】
クライアント２２のブート時のようなクライアント２２によるアプリケーションの不在実行は、アプリケーション認証装置によってサポートすることができる。アプリケーション起動プログラムユーティリティーは、ブート時に実行するようにスクリプトされるのが好ましい。ユーティリティーのアプリケーション認証により、在席ユーザ認証から得られる情報の欠如は、セキュアネットワークファイルアクセスアプライアンス１２によって例外として見なされない。アプリケーション起動プログラムユーティリティーは、次に、指定されたアプリケーション３０を起動させることができる。
【００２８】
ユーザ及びアプリケーション認証の状態は、ユーザセッション及び関連する処理識別子と共にエージェントプログラム３６によって維持されるのが好ましい。本発明の好ましい実施形態では、この認証情報及びエージェントプログラム３６のデジタル署名が組み合わされ、修正されたファイルシステム３４によって渡された各ファイルシステム要求と共にセキュアネットワークファイルアクセスアプライアンス１２に暗号化して送られる。ファイルシステム要求と共にユーザ及びエージェント認証情報を含むように修正された、ＮＦＳ／ＣＩＦＳネットワークファイルシステム層を含むネットワーク層３８は、セキュアネットワークファイルアクセスアプライアンス１２と通信するために使用される。好ましい実施形態では、ＮＦＳパケットヘッダフィールドは、ユーザ及びエージェント認証情報を記憶して転送するために既存のフィールドの再定義によって拡張されるのが好ましい。更に、定期的又はハートビートステータスリモート手続き呼出し（ＲＰＣ）パケットは、ユーザ及びエージェントの認証情報の現在の状態を反映するセキュアネットワークファイルアクセスアプライアンス１２にエージェントプログラム３６によって送られる。処理及びユーザセッションの特定の終了を含む認証に関連したクライアントの変更は、これによってセキュアネットワークファイルアクセスアプライアンス１２に迅速に通知される。
【００２９】
セキュアネットワークファイルアクセスアプライアンス１２間のファイルデータの移送は、一般的に、クライアント２２のようなクライアントが、ローカルインフラストラクチャー１４の一部である場合は安全である。移送がクライアント２４のようなリモートクライアントまで拡大する場合は、インターネット４０のような安全でないネットワークでは、従来の移送セキュリティプロトコルを透明（トランスペアレント）に用いることができる。図のように、仮想私設ネットワーク４２は、本発明によりユーザ３０の認証を仲介することなく用いることができる。代替的に又はそれに加えて、セキュアネットワークファイルアクセスアプライアンス１２’は、リモートクライアント２４に対してローカル側に配置することができ、これによってリモートクライアント２４及びネットワークストレージリソース１６間のファイルデータの移送を効率良く保護する。
【００３０】
本発明のための好ましい固定スケールのハードウエアプラットフォーム５０が図２に示されている。プラットフォーム５０は、「インテル（登録商標）Ｅ７５００」チップセット５２、デュアル２．２ＧＨｚ「インテル（登録商標）ゼオン（登録商標）」プロセッサ５４（インテル・コーポレーション、米国カリフォルニア州サンタクララ所在、ｗｗｗ．ｉｎｔｅｌ．ｃｏｍ）、及び「１−Ｇｂｙｔｅ  ２００ＭＨｚダブルデータレート（ＤＤＲ）」メインメモリアレイ５６をサポートするマザーボード上に実装されるのが好ましい。チップセット５２は、６つの「ＰＣＩ−Ｘ」バス５８をサポートし、その各々は、８−Ｇｂｐｓのスループット及び少なくとも２４−Ｇｂｐｓのアセンブリスループットを超える能力を有する。入口及び出口ネットワーク接続をサポートする２つの１−Ｇｂｐｓネットワークインタフェースコントローラの基本構成、及び管理ネットワーク接続をサポートする１つの１０／１００Ｍｂｐｓネットワークインタフェースコントローラは、「ＰＣＩ−Ｘ」バス５８に接続される。３つの「ＨｉＦｎ（登録商標）７８５１」セキュリティプロセッサ６２の基本構成（Ｈｉｆｎ・インコーポレーテッド、米国カリフォルニア州ロスガトス所在、ｗｗｗ．ｈｉｆｎ．ｃｏｍ）は、プロセッサ５４の一般的なデータ処理及び制御機能にハードウエア加速式暗号化及び圧縮サポートを供給する。セキュリティプロセッサは、１チップにつき４００−Ｍｂｐｓを超えるスループットで「３−ＤＥＳ」を含む対称プログラム可能長ブロック暗号化アルゴリズムと、８０Ｍｂｐｓを超えるスループットで「ＬＺＳ」を含むプログラム可能長ブロック圧縮アルゴリズムをサポートする。
【００３１】
ＢＩＯＳプログラムとブートハードディスクドライブを含む他の周辺装置７０は、プラットフォーム５０の基本作動を可能にするために、チップセット５２を通じてサポートされる。プラットフォーム５０は、市販の「Ｒｅｄ  Ｈａｔ（登録商標）」リナックス（レッド・ハット・インコーポレーテッド、米国ノースカロライナ州レイリー所在、ｗｗｗ．ｒｅｄｈａｔ．ｃｏｍ）に基づいてリナックスベースのオペレーティングシステムを起動して実行するのが好ましい。セキュアネットワークファイルアクセスアプライアンス１２のソフトウエアベースの認証及びアクセス機能は、リナックスカーネルスペースでロードして実行するのが好ましい。管理及びサポートユーティリティーは、ユーザモードのアプリケーション及びデーモンとして実施されるのが好ましい。
【００３２】
セキュアネットワークファイルアクセスアプライアンス１２のための代替の高スループット拡張可能ハードウエアプラットフォーム８０が図３に示されている。この拡張可能アーキテクチャは、一般的に、本明細書において引用により組み込まれている、Ｐｈａｍ他に付与された「セキュアストレージのためのネットワーク媒体暗号化アーキテクチャ及び方法」という名称の２００１年１２月３日申請の米国特許出願出願番号第１０／０１６、８９７号に開示されたアーキテクチャと一致する。簡単には、複数のブレードベースのアクセスプロセッサ８２1-Nの各々は、組込み型リナックスオペレーティングシステムのインスタンスを実行する中央プロセッサを実装するのが好ましい。１つ又はそれ以上の暗号化及び圧縮セキュリティプロセッサは、ハードウエア加速エンジンとして各ブレードに供給される。直接ネットワークインタフェース接続６２の代わりに、高速スイッチ構造８４を通じたパケット接続は、１０Ｇｂｐｓ又はそれよりも速いスループットネットワークインフラストラクチャー接続９０及び９２へのパケットルータとして働く入口プロセッサ８６と出口プロセッサ８８へのデータ経路を提供する。
【００３３】
制御プロセッサブレード９４は、他のブレード８２1-N、８８、９０を管理してモニタする。制御プロセッサブレード９４は、ブレード８２1-N、８８、９０上の組込み型オペレーティングシステムインスタンスのブートをサポートし、アクセスプロセッサブレード８２1-N間の共通暗号化及び圧縮構成と制御情報の共用を調整する。別々の管理ネットワークインタフェースコントローラ９６が、管理ネットワーク９８から制御プロセッサ９４への独立アクセスを可能にするために供給される。
【００３４】
本発明の好ましい実施形態のためのプラットフォーム５０上で実行される制御プログラムに実装される論理制御及びプロトコル処理機能が図４に示されている。インバウンドファイル要求は、ネットワークファイルシステム（ＮＦＳ）及び共通インターネットファイルシステム（ＣＩＦＳ）のようなネットワーク分散型ファイルシステムによって実行される様々なネットワークファイルシステムメッセージを包含するネットワークデータパケットとして受信される。これらのネットワークデータパケットは、試験及び処理のための各受信したデータパケットのプロトコル層及びパケットペイロードデータ１１６に包含される制御情報１１４を明らかにするように処理される。
【００３５】
更に、アプリケーション及びステータス情報は、ネットワーク接続クライアント２２及び２４から専用ネットワークポートで受信するエージェントモニタリング処理１１８によって集められる。ハートビートネットワークパケットから取得されたクライアントステータス情報は、認証及びアクセス制御処理１２０へ中継される。クライアントハートビートの連続性は、クライアント許可セッションを維持するために使用される。エージェントプログラム３６によって仲介されたユーザ認証シーケンスが正常に終了したことを最小限反映するユーザ認証セッション情報は、ハートビートデータパケット内の認証及びアクセス制御処理１２０に供給することができる。チェックポイント間隔におけるユーザ認証セッション情報の送信は、許可されなかったアプリケーションの実行に対してどのクライアント処理も変換されないように保護する働きをする。認証及びアクセス制御処理１２０は、認証サーバ、ユーザ及びクライアント識別子として直接作動し、エージェントプログラム３６によって取得されたユーザパスワードは、エージェントモニタ処理１１８を通じて中継される。許可応答は、認証及びアクセス制御処理１２０によって維持されたユーザ及びクライアント認証ポリシー情報に基づいて、認証及びアクセス制御処理１２０によって作成されて戻される。
【００３６】
図５に関して、認証実施は、新規ユーザ処理１３２の初期確立と関連するエージェントプログラム３６への呼出しを要求することによって可能になる。ユーザ認証は、ユーザログイン及びパスワードに対して、ＬＤＡＰのような従来の認証サービスを通じてエージェントプログラム３６のユーザモード構成要素により直接行なわれる。代替的に、ユーザ認証は、「ＤＣＥ／ＯＳＦ−ＲＦＣ  ８６．０」（プラグ可能認証モジュール（ＰＡＭ）による統合ログイン、ｗｗｗ．ｏｐｅｎｇｒｏｕｐ．ｏｒｇ／ｔｅｃｈ／ｒｆｃ／ｒｆｃ８６．０．ｈｔｍｌ）と一般的に一致するプラグ可能認証モジュールを直接経由することができる。どちらの場合も、ユーザの認証におけるエージェントプログラム３６は、オペレーティングシステム３２によって確立され、オペレーティングシステム３２から取得されるログイン処理識別子（ＬＰＩＤ）、ユーザ識別子（ＵＩＤ）、及びグループ識別子（ＧＩＤ）によって定義された認証されたユーザセッションを確立する。
【００３７】
認証修正ファイルシステム３４は、ユーザ処理１３２によって出されたファイル要求１３４を受け取る。認証修正ファイルシステム３４と共に作動するエージェントプログラム３６のカーネルモード部分は、オペレーティングシステム３２構造にアクセスすることにより、各ファイル要求１３４について送信元処理識別子を判断する。エージェントプログラム３６によって維持され、判断された処理識別子によって配置される認証ユーザセッション情報は、次に、ネットワーク層３８を通じて処理されるネットワークファイルシステム要求１３４に内包するために修正されたネットワーク層３８に供給される。
【００３８】
認証された処理１３２から発生したクライアント処理１３６は、依然として親認証ユーザセッションの一部である。親処理識別子の連鎖は、対応する認証ユーザセッションと共に子処理１３６からファイル要求１３８を関連させるためにエージェントプログラム３６によって辿られる。個々の処理のレベルでアクセス管理をサポートするために、認証ユーザログイン親処理識別子（ＬＰＩＤ）と現在の処理識別子（ＰＩＤ）の両方は、セキュアネットワークファイルアクセスアプライアンス１２に送られるファイル要求に対応するセッション及び処理に内包するために、修正されたネットワーク層に供給されるのが好ましい。
【００３９】
本発明の好ましい実施形態では、エージェントプログラム３６によって生成されたセッション識別子を含む認証ユーザセッション情報は、エージェントモニタリング処理１１８と共にセキュア鍵交換によって取得されたセッション鍵を使用して暗号化される。従って、結果生じた拡張ＮＦＳ要求は、少なくともセッション識別子、要求ソースＩＰ、ユーザ識別子、グループ識別子、及び処理識別子を含むセッション制御情報をセキュアネットワークファイルアクセスアプライアンス１２に安全に移送する。
【００４０】
エージェントプログラム３６は、認証ユーザセッション処理１３２及び１３６での実行のためにロードされるユーザアプリケーション３０の認証をサポートするのが好ましい。実行のためにロードされたデジタル署名されたアプリケーションは、トラステッドＰＫＩ、ＬＤＡＰ、又は他の認証サーバから取得されるデジタル証明に対してエージェントプログラム３６によって従来通りに検証することができる。認証サーバのアイデンティティ及び証明書のようなアプリケーション認証情報は、独立して検証されるアプリケーションの監査をサポートするために対応するファイル要求と共に提供されるセッション情報を有する修正されたネットワーク層３８によって潜在的に含むことができる。
【００４１】
エージェントプログラム３６による自律的なアプリケーション認証は、セキュアネットワークファイルアクセスアプライアンス１２を通じてサポートされる。処理１３２及び１３６で実行するためのアプリケーションのロードにおいては、エージェントプログラム３６が呼び出され、アプリケーション２値画像を発見し（１４２）、アプリケーションファイルネーム、経路、許可、及びファイルサイズを含むアプリケーションファイル属性を検索するために、オペレーティングシステム３２を通じて実行される。セキュアハッシュ署名が、アプリケーションバイナリのために作成される。本発明の好ましい実施形態では、２０バイトハッシュ署名が、「ＳＨＡ−１」アルゴリズムを使用して作成される。ハッシュ署名、ファイル属性、及びセキュアアプリケーショントークンを包含するアプリケーション認証要求は、次に、エージェントモニタリング処理１１８に向けられたＲＰＣでセキュアネットワークファイルアクセスアプライアンス１２に渡される。セキュアアプリケーショントークンは、セキュアネットワークファイルアクセスアプライアンス１２又はトラステッド第三者認証サーバによって記憶された公開／秘密鍵対のうちの公開鍵、アプリケーションネーム、及びアプリケーション２値画像のセキュアハッシュ署名と公開鍵で暗号化されたアプリケーションファイル属性を包含する構造を含むのが好ましい。トークンは、管理上判断された認証アプリケーションに対してセキュアネットワークファイルアクセスアプライアンス１２又は他のトラステッドアプリケーション認証子を通じて管理上優先して作成される。認証されたアプリケーションのトークンは、クライアント２２及び２４に記憶されるか、又はそうでなければ、クライアント２２及び２４にアクセス可能にされる。ロードされた２値画像に設けられたアプリケーションファイルネームは、エージェントプログラム３６によって対応するトークンを更に見つけるのに使用される。
【００４２】
アプリケーション認証要求の提示において、セキュアネットワークファイルアクセスアプライアンス１２は、トークン内に供給された公開鍵をセキュアネットワークファイルアクセスアプライアンス１２と共に管理上優先して登録された既知の有効な公開鍵と比較する。暗号解読されたトークンハッシュ署名とファイル属性は、エージェントプログラム３６によって要求に別々に供給されたハッシュ署名とファイル属性に対して検証され、戻りＲＰＣは、エージェントプログラム３６に検証ステータスを伝える。ロードされたアプリケーションが認証に失敗した場合、対応するアプリケーション処理１３２及び１３６を終了することができる。代替的に、許可されなかったアプリケーションから引き続き受信したネットワークファイルシステム要求１３４及び１３８は、修正されたファイルシステム３４によって無視するか又は拒否することができる。従って、それ以外の認証されたユーザセッション内では、本発明のアプリケーション認証規定は、認証されたアプリケーションの完全に定義されたセットに対して、ユーザ処理実行上の明確かつ機能的な限定を実施することができる。
【００４３】
再び図４を参照すると、パケット処理１１２によって明らかにされ、エージェントモニタリング処理１１８から受信されるようなパケット制御情報１１４及びアプリケーション情報１２２は、セキュアネットワークファイルアクセスアプライアンス１２によって受信した各ネットワークファイルデータパケットのための認証及びアクセス制御処理１２０に供給される。認証及びアクセス制御処理１２０は、セキュアネットワークファイルアクセスアプライアンス１２の管理上判断されて機能的にサポートされる作動を表すポリシーストアを含むのが好ましい。このポリシーは、認証及びアクセス制御処理１２０に示されている情報１１４及び１２２に対してポリシールックアップを可能にする高性能ハッシュテーブルに記憶されるのが好ましい。ファイル要求の監査ログ、並びにエラーログ及び拒否された作動のログは、認証及びアクセス制御処理１２０によって作成される。
【００４４】
受信したネットワークファイルパケットに適用可能なポリシーセットは、パケット制御情報１１４で供給されるデータのどれに基づいてもプログレッシブに区別することができる。特に、ＩＰ層データは、個別に又はサブネットによって定義されたクライアントに対して定義される特定のアクセス制約条件を許可する送信元及び宛先ＩＰを供給する。標準ＮＦＳ／ＣＩＦＳ層データは、要求するユーザＵＩＤ及びＧＩＤ、並びにマウントポイント、ファイルシステム経路、及び適用可能なファイルネームを一般的に含む完全に限定されたファイル又はディレクトリ基準を供給する。アプリケーション情報１２２層は、ユーザセッションを識別し、実行及び親処理識別子を供給する。アプリケーション情報１２２層は、利用される場合、アプリケーションネーム及び署名を提供する。提供された情報１１４及び１２２に対するポリシーセットの正常な区別は、ネットワークストレージリソース１６に対して移送されたネットワークファイルパケットの処理を可能にして限定する。
【００４５】
ポリシーセット区別失敗の様々な考えられ得るタイプの取扱いは、ポリシーセットによって定義されるのが好ましい。区別失敗は、一般的に、ユーザ許可の失敗及び許可されなかったアプリケーションの実行の試み、許可されなかったソースＩＰアドレス、及び参考ファイルが使用できないこと、又は適切なユーザ、グループ、又はファイル許可の不足による不適切なファイル基準を含むことになる。失敗の性質に応じて、ポリシーセットによって定義された区別失敗取扱いは、詳細な監査の作成、エラーログ入力、及び電子メール及び音声メッセージの自動作成を潜在的に含む管理警報の即座の発行を指示することになる。ポリシーセット区別失敗取扱いは、ＮＦＳ／ＣＩＦＳ状態機械１２４によって生成され、クライアント２２及び２４に戻されるどのＮＦＳ／ＣＩＦＳネットワークファイルエラーデータパケットのタイプ及びコンテントも更に定義されるのが好ましい。
【００４６】
本発明によると、ポリシーセットのプログレッシブな区別は、パケットペイロードデータ１１６への暗号化及び圧縮のアクティブアプリケーションを判断する。クライアント２２及び２４からのインバウンドネットワークファイルデータパケットでは、制御情報１１４及び１２２に供給されるデータのどの組合せも、パケットペイロードデータが特定の暗号鍵に対して暗号化され、特定の圧縮アルゴリズムを使用して圧縮されるか否かを識別する署名として利用することができる。好ましい基本ポリシーセットは、マウントポイント、更に、特にファイル作成のために使用されるデフォルト暗号鍵を通じてアクセスを許可されたソースＩＰ、ユーザ識別子、及びグループ識別子の組合せを基本的に定義する。複数のポリシーセットは、ソースＩＰ、ユーザ識別子、及びグループ識別子の異なる仕様を有し、同じマウントポイントに応用することができるか、又は要求で識別されたネットワークファイルのための経路仕様及びファイルタイプ拡張のような付加的な制御情報の仕様によって応用することができる。ポリシーセットは、供給された制御情報の固有の組合せが別々のポリシーセットに確実に分解するように管理上処理される。経路仕様情報がそれ以外の適合するポリシーセットの範囲を確立するのに利用される場合、経路仕様、ファイルネーム、及びファイル拡張の最良適合は、データ暗号化及び圧縮のデフォルト適用性を見分けるのに使用されるのが好ましい。
【００４７】
ネットワークストレージリソース１６から戻されたネットワークファイルパケットは、同様に処理され（１１２）、パケット制御情報１１４を明らかにし、付随するパケットペイロードデータが解凍及び暗号解読を必要とするか否かを判断する場合にデータの組合せが考慮されるようにする。また、本発明によると、ネットワークストレージリソース１６から戻された暗号化されたネットワークデータパケットは、送信元の適切な認証及び戻されたネットワークファイルパケットのシーケンスを可能にする認証及びアクセス処理１２０により、制御情報１１４の試験を保証するものとされる。
【００４８】
セキュアネットワークファイルアクセスアプライアンス１２に呈示され、暗号化又は圧縮化を判断されたパケットペイロードデータは、暗号化及び圧縮処理１２６を通じて論理アクセスブロック（ＬＡＢ）のシーケンスに処理されるのが好ましい。暗号化及び圧縮処理１２６の一部として、本発明の好ましい一実施形態によると、各論理アクセスブロックは、適用可能な暗号鍵及び圧縮アルゴリズムの少なくとも１つの間接的な識別子でマーク付けされる。従って、アウトバウンドネットワークデータパケットの解凍及び暗号解読ステータスがソースディレクトリ仕様によって提案することができる場合は、適用可能な暗号鍵及び圧縮アルゴリズムは、論理アクセスブロックに関連する暗号化及び圧縮識別子に基づいて判断される。論理アクセスブロックの暗号解読及び解凍は、従って、ディレクトリ仕様又は他の独自に変更することができるネットワークファイルの態様に本質的に依存しない。
【００４９】
適用可能なポリシーセットの区別は、本発明の好ましい実施形態によると、様々なネットワークストレージリソース１６の複数のインバウンド仮想マウントポイントのセキュアネットワークファイルアクセスアプライアンス１２によるサポートによって拡張される。図６に示すように、複数の仮想されたマウントポイント／ｄｅｖ／ｈｄ＿ａ、／ｄｅｖ／ｈｄ＿ｂ、／ｄｅｖ／ｈｄ＿ｃ、及び／ｄｅｖ／ｔｄ＿ｄは、セキュアネットワークファイルアクセスアプライアンス１２の構成に管理上定義することができる。これらの仮想マウントポイントは、別名によって同じものとの定義されたマッピング、又は様々なネットワークストレージリソース１５６及び１５８によってサポートされる別の現実のマウントポイントによって独自に関連付けられる。仮想マウントポイントを示されたネットワークファイルシステムのどれをマウントするためのクライアント１５２及び１５４ファイル要求も、仮想マウントポイントの存在を有効にする役目を最小限果たし、任意的に、更に許可されたマウント要求ソースＩＰを区別するポリシーセットによって限定して拘束することができる。
【００５０】
本発明によると、仮想マウントポイントは、クライアント１５２及び１５４ＮＦＳ／ＣＩＦＳネットワークファイルトランザクションの適用可能なアクセスポリシーセットを区別する機能を更に拡張する。セキュアネットワークファイルアクセスアプライアンス１２に向けられた各ネットワークファイルパケットと共に供給された制御情報１１４は、目標マウントポイントを識別する。本発明の好ましい実施形態によると、認証及びアクセス制御処理１２０は、識別された仮想マウントポイントに基づいて適用可能なポリシーセットを論理的に選択する。選択されたポリシーセットによって示された更に別の制約は、ネットワークファイルデータパケットが処理される方法を判断するのに同時に使用される。例えば、／ｄｅｖ／ｈｄ＿ａ仮想マウントポイントを通じてネットワークリソース１５６にアクセスするそれ以外の許可されたクライアント１５２及び１５４は、読取専用ＮＦＳ／ＣＩＦＳトランザクションに限定することができる。／ｄｅｖ／ｈｄ＿ｂ仮想マウントポイントに関連する別のポリシーセットは、定義されたサブネットワークから発するＮＦＳ／ＣＩＦＳ要求に更に限定される明確に定義されたＵＩＤのセットのみにより、読み／書きアクセスをサポートすることができる。
【００５１】
別の実施例として、管理上バックアップサービスを提供するのに限定される、クライアント１５４によるネットワークストレージリソース１５６の読み書きアクセスは、仮想マウントポイント／ｄｅｖ／ｈｄ＿ｃを通じて広くサポートすることができる。マウントポイント／ｄｅｖ／ｈｄ＿ｃに関連するポリシーセットは、前に暗号化されたファイルの暗号解読を無効にすると同時にネットワークストレージリソース１５６への読み書きアクセスを可能にするのが好ましい。仮想マウントポイント／ｄｅｖ／ｔｄ＿ｄのポリシーセットは、保存ネットワークストレージリソース１５８への書込中に前に暗号化されなかったファイルの暗号化及び圧縮を供給し、読み取り中に暗号解読及び解凍をもたらすのが好ましい。その結果、限定されたバックアップアクセス権を有するユーザは、前に暗号化されたファイルのセキュアストレージを侵すことなくファイルのバックアップ及び解凍を完全に管理することができる。従って、仮想されたマウントポイントに基づいてポリシーセットを区別することは、クライアント１５２及び１５４間のアクセス権を管理する場合の広範な柔軟性をもたらす。
【００５２】
認証及びアクセス制御処理１２０の作動によって許可又は無効にされたネットワークファイルパケットは、図４に示すようにＮＦＳ／ＣＩＦＳ状態機械１２４に信号で伝えられる。特に、ＮＦＳ／ＣＩＦＳトランザクションを含む選択ファイルデータトランザクションを表すネットワークファイルパケットのシーケンスは、本発明によりＮＦＳ／ＣＩＦＳ状態機械１２４によって追跡され、ＮＦＳ／ＣＩＦＳネットワークパケット移送ファイルデータの選択的な暗号化及び圧縮をサポートし、ネットワークストレージリソース１６によって記憶されたネットワークファイルのサイズ及び構造における付随的な変更を管理する。マウント及び非マウント要求ＲＰＣは、基本的に、クライアント１５２及び１５４とセキュアネットワークファイルアクセスアプライアンス１２との間のアトミック演算である。マウント要求の受け取りに応じて、適用可能なポリシーセット及び対応する現実のマウントポイントで識別された基本となるネットワークストレージリソース１６を使用することができるという判断に基づいて、アクセスは、認証及びアクセス制御処理１２０によって任意的に判断される。次に、マウント又は非マウント要求の成功又は失敗を通知するＲＰＣ応答が戻される。
【００５３】
ＮＦＳ／ＣＩＦＳ状態機械１２４は、セキュアネットワークファイルアクセスアプライアンス１２を通じて処理された各ＮＦＳ／ＣＩＦＳトランザクションの状態を追跡する。追跡される原理ＮＦＳ／ＣＩＦＳトランザクションは、「読取」、「書込」、及び「作成」を含む。全ての他のＮＦＳ／ＣＩＦＳ定義トランザクション（一般的に要求）も、ＮＦＳ／ＣＩＦＳ状態機械１２４によって追跡される。オフセット及び範囲によって定義されたファイルデータのインバウンド読取要求から続く読取トランザクションは、読取要求を構築する段階を伴い、読取オフセットは、暗号化及び圧縮ブロック境界に調整して戻され、その範囲は、ブロック境界の端までファイルデータの暗号化及び圧縮を可能にするように調整される。次の状態は、ネットワークストレージリソース１６に読取要求を出す段階と、応答の連続するネットワーク読取ファイルデータパケットを受信する段階と、受信されたパケットペイロードデータの暗号解読及び解凍が必要な場合に処理する段階とを含む。最後の読取トランザクション状態は、初期要求されたオフセット及び範囲の読取ファイルデータを抽出する段階と、読取ファイルデータと共に１つ又はそれ以上のネットワークファイルデータパケットを構築し戻す段階とを含む。
【００５４】
ＮＦＳ／ＣＩＦＳ書込トランザクションは、既存の記憶されたファイルデータが暗号化又は圧縮される場合に読取／修正／書込作動を要求する。書込トランザクションは、書込要求を受け取る段階と、暗号化及び圧縮ブロック境界に調整して戻された書込ロックオフセットと、ブロック境界の端までファイルデータの暗号化及び圧縮を可能にするように調整された範囲とを有するロック要求を構築する段階とを含む。次のトランザクション状態は、調整された書込オフセット及び範囲終端を含むどの初期及び最終部分ファイルデータページの読取要求をも発する段階と、クライアントから受信されたファイル書込データの対応する部分を含むように読取データページを暗号解読し、解凍し、更に修正する段階と、ファイル書込データを暗号化し、適切な場合に圧縮する段階と、対応する書込要求を構築し、ネットワークストレージリソース１５６に発する段階とを含む。最後の書込状態は、非ロック要求を構築してネットワークストレージリソース１５６に送る段階と、書込要求回答を構築してクライアントに送る段階とを含む。
【００５５】
属性を獲得して確立し、アクセス許可を獲得し、ディレクトリを作るようなＮＦＳ／ＣＩＦＳ要求は、一般的に、セキュアネットワークファイルアクセスアプライアンス１２によって管理されるアトミックトランザクションであり、ネットワークストレージリソース１５６とのインフラストラクチャー互換性をサポートする。要求トランザクションは、クライアント要求を受け取る段階と、対応する要求を構築しネットワークストレージリソース１５６に送る段階とを伴う。ネットワークストレージリソース１５６からの要求応答の受け取りに応じて、トランザクションに包含された特定の要求により、ネットワークストレージリソース１５６に記憶されたネットワークファイルの報告されたファイルサイズ及び他の属性に対して調整が行なわれる。次に、対応する要求応答が構成されてクライアントに送られる。
【００５６】
ＮＦＳ／ＣＩＦＳ作成トランザクションは、ファイル作成要求を受け取る段階と、新しいファイルのためのファイル管理ヘッダを構成する段階と、対応する要求を構築してネットワークストレージリソース１５６に送る段階とを伴う。ネットワークストレージリソース１５６からの要求応答の受け取りに応じて、対応する要求応答が再び構成されてクライアントに送られる。
【００５７】
図７は、本発明の好ましい実施形態に使用されるソフトウエアアーキテクチャ１７０のブロック図及び流れ図を示す。インバウンドネットワーク通信は、第１ネットワークインタフェース１７２を通じて処理される。クライアント２２及び２４から受信したネットワークファイルデータパケットは、認証処理１７６のためのネットワーク制御情報１１４を露出して配信するために処理される（１７４）。対応するエージェントアプリケーション２８から収集されたアプリケーション制御情報１２２は、認証処理１７６のサポートのためにエージェントインタフェース１７８を通じて提供される。
【００５８】
ポリシーパーサ１８０との対話に基づいて、ネットワーク及びアプリケーション制御情報１１４及び１２２の選択された構成要素は、ポリシーデータストレージ１８２に維持される認証パラメータと比較される。ポリシーパーサ１８０は、判断ツリー論理を実行し、受信したネットワークファイルデータパケットによって表されるネットワークファイル要求を処理するために必要な認証のレベル、及びその認証レベルが満たされたか否かを判断するのが好ましい。
【００５９】
ネットワーク及びアプリケーション制御情報１１４及び１２２は、許可されたユーザが対応するネットワークストレージリソース１６へのアクセスを許されるかを判断するために処理される（１８４）。ポリシープロセッサ１８０及びポリシーデータストア１８２は、ネットワークファイル要求と共に供給されたアクセス属性が、ネットワークファイル要求によって識別された特定のネットワークストレージリソース１６へのアクセスを可能にするのに適切か否かを判断するように作動する。
【００６０】
論理的に別々の作動の間、認証及びアクセス処理１７６及び１８４は、同時に行なわれるのが好ましい。本発明の好ましい実施形態では、基本判断ツリー論理シーケンスは、要求されるネットワークファイル作動、仮想マウントポイント、目標ディレクトリ及びファイル仕様、クライアントＩＰ、ユーザＵＩＤ及びＧＩＤ、それにクライアントセッション及び処理識別子の論理的な組合せを考慮する。ネットワークファイル要求と共に供給され、以前にエージェントプログラム３６によって供給されたアプリケーション認証データと、エージェントインタフェース１７８によって定期的に報告されるクライアントセッションの連続性状態も考慮される。ネットワークファイルアクセス要求の性質、タイミング、及び周波数に関して蓄積された付加的な状態データが考慮される。この状態データは、セキュアネットワークファイルアクセスアプライアンス１２によって蓄積され、ネットワークファイルアクセス要求、並びにセキュアネットワークファイルアクセスアプライアンス１２を通じて処理されるネットワークファイルアクセス作動の動的トラフィック形成に対して、静的時間スケジューリング及びクォータ制御をサポートする。また、蓄積された状態データは、管理警報の発令を正当化する侵入の試み又は他の状況として閾値が限定するファイルアクセス要求におけるパターンの動的検出を可能にする。判断ツリー評価は、ファイルアクセス要求の以前のシーケンスを考慮し、これによって現在のネットワークファイルアクセス要求の許可されるサポートを限定する。
【００６１】
ポリシーデータは、仮想マウントポイントのセットと、現実のマウントポイントへの仮想マウントポイントのマッピングとを定義するために管理上確立される。また、ポリシーデータは、アプリケーション認証がセキュアネットワークファイルアクセスアプライアンス１２によるクライアント実行又は作動的応答に対して前提条件として実施されるか否かによらず、許可されるクライアントソースＩＰ範囲と、ユーザセッション認証が大量に生じる処理又は異なるＵＩＤ又はＧＩＤを有する処理に広げられるか否かによらず、実行又は応答可能アプリケーションの認証されたデジタル署名の限定されて許可されたセットと、制御情報１１４及び１２２に対してポリシーパーサ１８０の作動で適合させるか又はそうでなければ区別するのに使用することができる他のデータとを様々に定義することができる。この管理上確立されたポリシーデータは、ネットワーク及びアプリケーション制御情報１１４及び１２２の評価において、ポリシーパーサ１８０によってポリシーストア１８２から論理的にアクセスされる。本発明の好ましい実施形態では、判断ツリー論理及びポリシーデータは、ネットワーク及びアプリケーション制御情報１１４及び１２２の迅速な評価を可能にするハッシュテーブルに記憶される。
【００６２】
ネットワーク及びアプリケーション制御情報１１４及び１２２、並びに許可及びアクセス処理１７６及び１８４の判断された結果は、ＮＦＳ／ＣＩＦＳ状態機械処理１８６への制御入力である。読取、書込、及び作成ＮＦＳ／ＣＩＦＳトランザクションシーケンスに包含された様々なＮＦＳ／ＣＩＦＳ要求及び回答メッセージを含む非ファイルデータメッセージは、準備されて（１８８）、状態機械処理１８６からインバウンドネットワークインタフェース１７２及びアウトバウンドネットワークインタフェース１９２へ直接転送される（１９０）。仮想から現実へのマウントポイントマッピングデータのようなネットワークファイル要求及び回答データパケットの作成をサポートするのに必要なポリシーデータは、必要な時にポリシーデータストレージ１８２からアクセスされる。
【００６３】
通常のネットワークファイルデータが、クライアント２２及び２４からインバウンドされたネットワークファイルデータパケットに含まれる場合は、パケットペイロードデータ１１６が論理アクセスブロック（ＬＡＢ）のシーケンスで処理され（１９４）、供給されたネットワークファイルデータパケットは、暗号化又は圧縮のためのアクセス処理１８４を通じて限定される。限定されなかったネットワークファイルデータパケットのパケットペイロードデータ１１６は、ネットワークデータパケットにそのまま処理され（１９４）、ネットワークストレージリソース１６への送信のためにネットワークインタフェース１９２に供給される。
【００６４】
図８Ａに表されるように、ネットワークファイルデータパケットのパケットペイロードデータは、ファイルシステム３６によって認識されるファイル２２０の読み取られ、かつ書き込まれた部分に相当する。一般的に、図８Ｂに示すような個々のパケットペイロードデータ２２２は、パケットペイロードデータ２２２の対応する部分を含む各論理アクセスブロックを有する図８Ｃに示すような論理アクセスブロック２２４1-Nのシーケンスに処理される（１９４）ことが好ましい。本発明の第１の実施形態では、ファイル管理ヘッダ２２６は、現実マウントポイントに関連する全てのファイルについて仮想化され、ポリシーストア１８２によって保持されたポリシーデータの一部として効率的にプラットフォーム５０によってローカル側に記憶される。適用可能なファイル管理ヘッダは、要求された仮想マウントポイントに適用可能なポリシーセットの一部として検索される。本発明の好ましい実施形態は、各作成ファイルＮＦＳ／ＣＩＦＳトランザクションと関連するファイル管理ヘッダ２２６の作成を提供する。一実施形態では、ファイル管理ヘッダ２２６が作成され、ネットワークストレージリソース１６上のファイル２２０の作成の一部としての第１ファイルデータブロックとして効率良くネットワークストレージリソース１６に書き込まれる。１つ又はそれ以上の論理アクセスブロック２２４は、ネットワークストレージリソース１６で作成されたものとしてこれ以降ファイルに追加することができ、引き続きランダムな順序で読取及び書込を行うことができる。代替的に、ネットワークストレージリソース１６に関してデータの記憶及び検索を最適化するために、個々の論理アクセスブロック２２４及びファイル管理ヘッダ２２６又はその部分集合を、同じ又は異なるファイルスペース及びストア内の別々のＩ／Ｏページに書き込むことができる。どちらの場合も、本発明によると、ネットワークストレージリソース１６に向けられた限定されたファイルデータ読取及び書込は、クライアントネットワークファイルデータ要求のオフセット及び範囲を伴う個別の論理アクセスのブロック整列した移送として行なわれる。
【００６５】
ファイル管理ヘッダ２２６及び論理アクセスブロック２２４は、ネットワークストレージリソース１６へ移送するためのファイルデータの通常のブロックでない場合は、ネットワークファイルデータパケットに再パッケージ化される。セキュアネットワークファイルアクセスアプライアンス１２によるネットワークファイルデータの暗号化及び／又は圧縮は、従って、本発明の作動によるネットワークストレージリソース１６に対する読取及び書込には全く透明（トランスペアレント）である。
【００６６】
ファイル管理ヘッダ２２６の好ましい構造は図８Ｄに示され、以下の表１に更に詳しく示されている。ファイル管理ヘッダ２２６は、固有のファイルＧＵＩＤ２２８、セキュリティパラメータインデックス（ＳＰＩ）２３０、及びセキュリティ署名２３２を含むのが好ましい。ファイルＧＵＩＤ２２８は、ファイルに１６０ビットの固有のランダム識別子を供給するために、クライアントＩＰ、ユーザＵＩＤ、及びファイル作成時間のようなファイルに関するデータの「ＳＨＡ−１」ベースのセキュアハッシュであるのが好ましい。セキュリティパラメータインデックス２３０は、暗号鍵識別子（Ｋｅｙ）２３４、セキュリティオプションアレイ（Ｉｄｘ）２３６、及びファイル関連情報（Ｉｎｆｏ）２３８を含むセキュリティ情報の複合物であるのが好ましい。
【００６７】
暗号鍵識別子２３４は、ファイル２２０の論理アクセスブロックに包含されたファイルデータを暗号化するのに用いられる暗号鍵のネームの暗号化された呈示であるのが好ましい。暗号鍵のネーム／鍵値の対は、セキュアネットワークファイルアクセスアプライアンス１２によって利用され、ポリシーデータストレージ１８２で管理上定義されて記憶される。アクセス処理１８４の結果、暗号鍵が新しいファイルに関連付けられる場合、対応する暗号鍵のネームは、可能な場合は再度「ＳＨＡ−１」アルゴリズムを使用して安全に要約され、ファイル管理ヘッダ２２６の鍵識別子フィールド２３４に記憶される。
【００６８】
また、セキュリティパラメータインデックス２３０は、任意的に、暗号化された形態でのリンクリストストレージとファイル２２０の暗号鍵値とを含むことができる。リンクリストでの各入力は、公開鍵及び暗号鍵値の組を含む。公開鍵は、サーバに対するトラステッド暗号鍵に相当し、暗号鍵値はエージェントの公開鍵で暗号化される。異なるセキュアネットワークファイルアクセスアプライアンス１２’によるネットワークファイルデータの検索では、公開鍵で識別されたエージェントサーバを暗号化された鍵値を回復するために使用することができる。複数の独立したエージェントサーバにサポートを提供することにより、暗号化された鍵値を常に回復することができる。
【００６９】
2005534104.tif 000003
【００７０】
セキュリティオプションアレイ２３６は、ファイル管理ヘッダ２２６に関連する論理アクセスブロック２２４に適用されるセキュリティ機能のインデックスリストを供給する。これらのオプションは、暗号化が使用されるか否か及び適用可能な暗号化アルゴリズム、圧縮が使用されるか否か及び適用可能な圧縮アルゴリズム、暗号鍵の名前のルックアップがユーザ又はグループベースであるべきか、エージェント暗号鍵リストが存在するか否か、及びデジタル署名検査による不正変更検出が実施されるか否かに関する識別子を含むのが好ましい。ファイル関連情報２３８フィールドは、ファイル作成者に対応するＧＵＩＤのような様々な他の情報のストレージを提供する。
【００７１】
最後に、セキュリティ署名２３２は、巡回冗長検査（ＣＲＣ）値及びデジタル署名のためのストレージを提供する。ＣＲＣ値は、ブロック保全性検査を可能にするために、ファイル管理ヘッダ２２６の先行する部分の２進値を計算するのが好ましい。デジタル署名は、ファイル管理ヘッダ２２６のどの部分でも不正変更の検出を可能にするために、ＣＲＣフィールドを含むファイル管理ヘッダ２２６の先行する部分について計算される。
【００７２】
論理アクセスブロック２２４の好ましいインバンド構造は、図８Ｄに示されている。論理アクセスブロック２２４の一次フィールドは、ＬＡＢデータフィールド２４０、ＬＡＢ署名フィールド２４２、及び任意的なＬＡＢ圧縮ヘッダ２４４を含む。ＬＡＢデータフィールド２４０は、パケットペイロードデータ２２２の暗号化及び／又は圧縮された部分を伴う。ＬＡＢデータフィールド２４０のサイズは、ファイルシステム３６によって認識される自然又は手頃なブロックサイズの倍数として名目上設定され、更に、ブロック暗号化アルゴリズム効率のために選択される。
【００７３】
本発明によると、パケットペイロードデータ２２２の論理アクセスブロック２２４へのセグメンテーションにより、ファイルデータのかなりの大きさのブロックをアトミックユニットとして暗号化して圧縮することができる。より小さなセグメントサイズは、ネットワークストレージリソース１６内のランダムアクセス装置によって記憶されたファイル２２０に向けられた比較的効率的なランダム読取／書込作動を得るために好ましい。より大きなセグメントサイズは、より低い処理オーバーヘッド、より高い暗号化及び圧縮効率、更に、ネットワークストレージリソース１６内の目標装置が従来のテープドライブのようなストリーミングアクセス装置である場合に好ましい。パケットペイロードデータ２２２セグメントサイズは、５１２バイトの最小サイズを有する８バイトのブロックモジュロ、及びランダムアクセス装置では１０２４バイトの公称上好ましいサイズを有するのが好ましい。ストリーミングアクセス装置では、８０９６バイト程度のより大きなブロックサイズが好ましい場合がある。
【００７４】
パケットペイロードデータ２２２の最後のセグメントが公称上好ましいセグメントサイズよりも小さい場合は、より小さなブロックサイズが使用される。このより小さなブロックサイズは、最後のセグメントのサイズと同じか又はそれよりも小さな最も大きなモジュロ８バイトブロックサイズになるよう選択される。高々７バイトの最後のセグメント以外の全ては、次に、ブロック暗号化される。次に、どの残りのセグメントバイトも、８バイト長の暗号化及びゼロ値ストリングによって生成されたマスク値で排他的論理和演算され、最後のセグメントのブロック暗号化部分に追加される。
【００７５】
論理アクセスブロック２２４によって保持されるパケットペイロードセグメントが圧縮される時にのみ含まれるのが好ましいＬＡＢ圧縮ヘッダ２４２は、ＬＡＢデータフィールド２４０内に包含されるファイルデータのオフセット及び範囲を指定するフィールドを含む。適用される基本となるデータ値及びストリーム圧縮アルゴリズムに従って、ＬＡＢデータフィールド２４０に記憶されたパケットペイロードデータ２２２のセグメント長又は範囲は可変である。セグメント長は、好ましいＬＡＢデータフィールドサイズに非常に近づく圧縮されたデータを得るために操作される。モジュロ８バイト暗号化ブロック互換性サイズに達するために、埋め込みがもたらされる。少なくとも、範囲値は、終了した論理アクセスブロック２２４に担持された実際の圧縮データを識別する。
【００７６】
ＬＡＢ署名２４４は、ＬＡＢデータフィールド２４０のセキュアダイジェストとして、更に、存在する場合はＬＡＢ圧縮ヘッダ２４２として計算されるのが好ましい。本発明の好ましい実施形態では、「ＳＨＡ−１」アルゴリズムがＬＡＢ署名２４４を作成するために使用される。各論理アクセスブロック２４４のセキュリティは、セキュアネットワークファイルアクセスアプライアンス１２に戻される場合、どのＬＡＢ圧縮ヘッダ２４２も含み、更に、ＬＡＢ署名２４４と比較するＬＡＢデータフィールド２４０のセキュアダイジェストを再計算することによって不正変更のないように保証することができる。本発明の好ましい変形では、ネットワークファイルデータは、暗号化も圧縮もされていないＬＡＢデータ２４０とＬＡＢ署名２４４のみを伴う論理アクセスブロック２２４として記憶される。ネットワークファイルデータのランダムアクセスの効率が維持される場合、潜在的にネットワークファイルのコンテントへの不適切な不正変更による修正は、個々の論理アクセスブロック２２４レベルでそれでもなお検出することができる。不正変更を検出するためにセキュアダイジェストを計算するための全ネットワークファイル読取の従来の必要性は要求されない。
【００７７】
本発明の他の実施形態では、エラー修正トレーラー２４６は、ＬＡＢデータフィールド２４０、全てのＬＡＢ圧縮ヘッダ２４２、及びＬＡＢ署名２４４について計算されたＥＣＣ値を記憶するために設けられる。ＥＣＣ値は、論理アクセスブロック２４４の作成時に計算される。論理アクセスブロック２４４の検索時に、ＥＣＣ値は、論理アクセスブロック２４４の拡張ネットワークインフラストラクチャー移送の結果として起こる可能性のあるビットエラーを修正するために使用される。特に、ビットエラーは、ＴＣＰ層、及びそれよりも上の層で作動するネットワークルータによってもたらされることがある。このようなインフラストラクチャーによって誘導されるビットエラーは、それ以外はＬＡＢ署名２４４から検出されるが、そうするとデータ不正変更からは区別できない。エラー修正フィールド２４６の使用は、論理アクセスブロック２４４の保全性を単独で保護する役目を果たす。
【００７８】
論理アクセスブロック２４４のファイル管理ヘッダ２２６、ヘッダ２４４、及びトレーラー２４２及び２４６は、一般的に図８Ｄに示すように、ネットワークストレージリソース１６によって最終的に記憶される時のファイル２２０の一部としてインバンドに又はインファイルに含むことができる。異なるインバンドレイアウトは、論理アクセスブロックデータ２４０へのアクセスを最適化するために使用することができる。ファイル管理ヘッダ２２６、デジタル署名２４２、及び圧縮ヘッダ２４４は、１つ又はそれ以上のインバンドスーパーブロックに集めることができる。これらのスーパーブロック及び残りの論理アクセスブロックデータ２４０のサイズは、ネットワークストレージリソース１６のＩ／Ｏ性能を最適化するようにサイズを判断することができる。
【００７９】
代替的に、潜在的に好ましくは、論理アクセスブロックデータ２４０のみがネットワークファイル２２０としてインバンドにネットワークストレージリソース１６によって記憶されるのが好ましい。管理ヘッダ２２６、ヘッダ２４４、及びトレーラー２４２及び２４６を含む、ネットワークファイル２２０に相当するファイルメタデータは、別のメタデータ又はシャドーファイルに記憶される。シャドーファイルとインバンドネットワークファイル２２０との間の関係を維持するどのような並列ストレージ構造も使用することができる。シャドーファイルは、ネットワークファイル２２０と同じストレージスペース内か、又はネットワークファイル２２０とは潜在的に物理的に離れた異なるストレージスペース内のネットワークリソース１６上に、又はシャドーファイルとネットワークファイル２２０の並列関係が維持される供給されたプラットフォーム５０上に作成して記憶することができる。例えば、シャドーファイルは、ネットワークファイル２２０の複製と同じディレクトリに記憶することができ、ネットワークファイル２２０のファイルネームの定義された順列であるファイルネームによって識別することができる。代替的に、シャドーファイルは、ネットワークストレージリソース１６の定義されたルート又は相対ルートノードから広がる並列ディレクトリ構造に記憶することができる。どちらの場合も、シャドーファイルと対応するネットワークファイル２２０との間の定義された関係が判断され、ネットワークファイル２２０の相当する読取及び書込と共にシャドーファイルの並列読取及び書込を保証することができるセキュアネットワークファイルアクセスアプライアンス１２に既知である。
【００８０】
再び図７を参照すると、ＬＡＢへのパケット処理１９４は、パケットペイロードデータ２２２のセグメントの暗号化１９６及び圧縮１９８を行うために、必要に応じてハードウエアアクセラレータ６２を用いるのが好ましい。ネットワークファイルデータパケットのパケットペイロードデータ２２２を共に含む論理アクセスブロック２２４1-Nは、次に、新しいネットワークファイルデータパケットに集められ、ネットワークストレージリソース１６への移送のためにネットワークインタフェース１９２に渡される。
【００８１】
ネットワークインタフェース１９２を通じて受信したネットワークファイルデータパケットは、認証及びアクセス処理１７６及び１８４と、論理アクセスブロック及びパケットデータへの処理２０２のためのパケットペイロードデータに包含された論理アクセスブロック２２４1-Nとに対するネットワーク制御情報１１４を露出して配信するよう同様に処理される（２００）。認証及びアクセス処理１７６及び１８４の提供は、均等に分配された潜在的にクライアントベースのネットワークストレージが、他のネットワークストレージリソース１６のように等しく保護されてアクセス可能にされることを可能にする。本発明の好ましい実施形態では、最少の認証及びアクセス処理１７６及び１８４が、専用ネットワークストレージリソース１６から受信したネットワークファイルデータパケットに対して行なわれる。
【００８２】
パケットペイロードデータで受信した論理アクセスブロック２２４1-Nは、エラー修正フィールド２４６が存在する場合にエラー修正を適用し、デジタル署名２４２値に対して、ＬＡＢ圧縮ヘッダ２４４が存在する場合はこれを含むＬＡＢデータフィールド２４０の保全性を確認するために処理される（２０２）。ファイル管理ヘッダ２２６は、オプションインデックスフィールド２３６から適用可能な場合は、フィールド２３４からの暗号鍵識別子及び圧縮アルゴリズムアイデンティティを得るためにＮＦＳ／ＣＩＦＳ状態機械処理１８６により一般的に予め読み取られる。次に、ＬＡＢデータフィールド２４０は、適用可能な場合は、解凍されて（２０４）暗号解読される（２０６）。待ち状態のインバウンドファイルデータ読取要求トランザクションに基づくＮＦＳ／ＣＩＦＳ状態機械処理１８６は、クライアント読取要求データを表す結合された論理アクセスブロック２２４1-Nデータのオフセット及び範囲選択部分を識別する。選択されたデータは、次に、ネットワークファイルデータパケットに組み込まれ、トランザクション識別クライアント２２及び２４へ移送するためにネットワークインタフェース１７２に供給される。
【００８３】
本発明の好ましい実施形態では、管理インタフェース２０８は、ポリシーパーサ１８０及びポリシーデータストレージ１８２へのアクセス及びその構成を提供する。ネットワーク通信インタフェース２１０は、インバウンド及びアウトバウンドネットワークインタフェース１７２及び１９２と無関係に管理インタフェース２０８へのアクセスを提供する。
【００８４】
ソフトウエアアーキテクチャ１７０は、付加的なセキュリティアプライアンス指向の特徴をもたらすために、図９に示すように拡張されるのが好ましい。拡張されたアーキテクチャ２５０は、ネットワークインタフェース１７２及び１９２を通じて行なわれるネットワーク接続のためのファイアウォール型フィルタリングを実行するＩＰフィルタ層２５２及び２５４を含む。フィルタ規則ストア２５６は、ＩＰフィルタ層２５２及び２５４を通じてネットワークパケットを渡すことを許可されるＩＰアドレス、ネットワークプロトコル、及びインターネットポートを定義するＩＰテーブル型仕様を維持するのが好ましい。ＩＰフィルタ層２５２及び２５４、及び特にインバウンドＩＰフィルタ層２５２は、ＮＦＳ、ＣＩＦＳ、ＲＰＣ、及びマウントプロトコルを含むネットワークファイルアクセス作動に属するもの以外の全ての接続を拒否するように確立されるのが好ましい。ＩＰフィルタ層２５２及び２５４によって渡されるこれらのネットワークファイルデータパケットは、ソフトウエアアーキテクチャ１７０によって行なわれるパケット／ＬＡＢ処理２５８の方に誘導される。従って、許可されなかった接続の試み及び適切なポリシーベースの許可のないアクセス要求は、ソフトウエアアーキテクチャ１７０によって優先的に受信され、検出され、更に監査される。
【００８５】
特に制御情報１１４及び１２２の完全なセットへのアクセスに基づく認証及びアクセス制御１７６及び１８４、及びポリシーパーサ１８０の柔軟な分析機能は、特定のソースＩＰを動的にブロックする段階と、詳細な情報を記録する段階と、リアルタイムの管理警報を発する段階とを含む、潜在的な悪用パターンのより洗練された識別と様々な救済アクションとを可能にする。ファイアウォールフィルタ２５２及び２５４のセキュリティ及びレポーティング強度は、セキュアネットワークファイルアクセスアプライアンス１２の一次機能とは無関係の接続の試みを処理するのに適する。また、ファイアウォールフィルタ２５２及び２５４は、バイパスルート２６０を利用するセキュアネットワークファイルアクセスアプライアンス１２を通じて、潜在的にネットワークファイルデータパケットを含む選択されたネットワークデータパケットをプロキシーするのに利用することができる。ＶＰＮ４２及びネットワークファイルアクセスアプライアンス１２’の場合、指定されたソースＩＰアドレス及びプロトコルは、識別されて適切にバイパスされる（２６０）。
【００８６】
固定スケールのハードウエアプラットフォーム５０の場合、ファイアウォールフィルタ２５２及び２５４は、メインプロセッサ５４によるオペレーティングシステムＩＰテーブルモジュールのカーネル実行によって実施されるのが好ましい。拡張可能ハードウエアプラットフォーム８０では、ファイアウォールフィルタ層２５２及び２５４は、入口及び出口プロセッサ８６及び８８間で直接渡されるバイパスルートネットワークパケットと共に、入口及び出口プロセッサ８６及び８８上に実装されるのが好ましい。フィルタ規則ストア２５６に保持されるフィルタ規則は、管理インタフェース２０８によって管理される。
【００８７】
本発明の好ましい実施形態に従って構成されたＮＦＳ／ＣＩＦＳ読取トランザクション２７０は、図１０Ａに図式的に示されている。ファイル管理ヘッダ２２６及び論理アクセスブロックのシーケンス２２４1-Nから成る読取ターゲットファイルは、ネットワークストレージリソース１６上に存在する。一般的に、インバウンド読取要求は、読み取るデータのオフセット及び範囲を識別する（２７２）。アウトバウンド読取要求は、ファイル管理ヘッダ２２６、及び取り囲む論理アクセスブロックのブロック整列したシーケンス２２４A-Xを読み取るために出される（２７４及び２７６）。読取要求２７６は、一続きの１つ又はそれ以上のネットワークファイルデータパケットで要求された論理アクセスブロック２２４A-Xを検索し、論理アクセスブロック２２４A-Xは、次に、読取要求データ２７２を伴う１つ又はそれ以上のネットワークファイルデータパケットを戻すことによってインバウンド読取要求を終了するように処理される。
【００８８】
ＮＦＳ／ＣＩＦＳ読取トランザクション２７０に関連する特定の処理２８０が図１０Ｂに示されている。セキュアネットワークファイルアクセスアプライアンス１２は、ファイアウォールフィルタリングされたファイルデータ読取要求を受け取ると、ポリシー規則及びデータ１８２及び１８４に対してネットワーク制御情報１１４を露出し（２８２）、構文解析する（２８４）。ポリシー準拠失敗は、ＮＦＳ／ＣＩＦＳ適切応答ネットワークデータパケットの戻し発行によって報告される（２８６）。
【００８９】
読取要求が定義されたポリシー要件に従う場合、ファイル関連のアクセス制御情報は、ファイルの存在を確認して適用可能な読取データ許可を評価するためにネットワークストレージリソース１６から任意的に読み取られる（２８８）。許可検査が行なわれて失敗した場合、ファイルの不在又は不適切な許可は、ネットワークストレージリソース１６に読取ファイル要求を発することなく報告される（２８６）。要求ターゲットファイルのファイル管理ヘッダ２２６を含むファイルメタデータも、ネットワークストレージリソース１６から読み取られる（２８８）。ブロック整列した論理アクセスブロックオフセット２９０と範囲２９２は、ネットワークストレージリソース１６へ向けられたアウトバウンド読取要求を作成して発行するために判断されて使用される。読取データオフセットは、ファイルの最初に記憶されたファイル管理ヘッダ２２６のサイズを占めるように調整される。論理アクセスブロック２２４A-Xが圧縮されたデータを伴う場合、読取データオフセット及び取り囲む読取要求範囲の両方への調整を判断するために、ＬＡＢ圧縮ヘッダ２４４のファイルデータ読取を要求することができる。
【００９０】
要求された論理アクセスブロック２２４A-Xを受信した場合（２９４）、エラー修正が「ＬＡＢ  ＥＣＣ」フィールド２４６が存在するか否かに応じて加えられ（２９６）、ファイル管理ヘッダ２２６の鍵識別子フィールド２３４から判断された鍵ネームに関連する鍵を利用して暗号解読され（２９８）、ファイル管理ヘッダ２２６が圧縮オプションを含み、対応するアルゴリズムを限定するか否かに応じて解凍される（３００）。ＬＡＢデジタル署名２４２は、検索されたファイルデータの保全性を検査するために使用される。論理アクセスブロック２２４A-Xのどの保全性検査の失敗も、ＮＦＳ／ＣＩＦＳ適正エラーネットワークデータパケットの戻し発行によって最終的に報告される頑固なエラーを有するソフトエラーから保護するために、論理アクセスブロック２２４A-Xのいくつか又は全ての再読取をもたらすことになる。ソフトなエラー及び頑固なエラーの両方が、セキュアネットワークファイルアクセスアプライアンス１２によって記録されるのが好ましい。インバウンド読取要求のＮＦＳ／ＣＩＦＳ状態機械処理１８６の作動によって認識された頑固なエラーは、評価のためのポリシーパーサ１８０に対してアサートにされ、管理インタフェース２０８を通じて不正変更警報メッセージとして引き続き発行される３０２ことが更に好ましい。最後に、ファイルデータが受信されてアウトバウンド読取要求に応じて処理される時、インバウンド読取要求で識別されたファイルデータは、１つ又はそれ以上の応答ネットワークファイルデータパケットに組み立てられて（３０４）戻される。
【００９１】
図１１Ａに示すように、ＮＦＳ／ＣＩＦＳ作成ファイルトランザクション３１０は、新しいファイル管理ヘッダ２２６を伴う新しいファイルを作成するために作動するのが好ましい。図１１Ｂに更に詳しく示すように、作成ファイル要求処理３２０は、最初に、ＮＦＳ／ＣＩＦＳ適正応答ネットワークデータパケットの戻し発行がもたらすどのようなポリシー準拠失敗も有するネットワーク制御情報１１４を露出して（３２２）これを構文解析する（３２４）。ファイル作成要求が定義されたポリシー要件に準拠するとすれば、ディレクトリ情報は、ターゲットファイル作成許可を得るために、ネットワークストレージリソース１６から任意的に読み取られる（３２８）。許可検査が行なわれて失敗すると、目標ディレクトリの不在及び不適切な許可は、ネットワークストレージリソース１６への作成ファイル要求をアサートすることなく報告される（３２６）。
【００９２】
次に、ファイル管理ヘッダ２２６が作成される（３３０）。ＮＦＳ／ＣＩＦＳ状態機械処理１８６の作動により、ポリシーデータストレージ１８２から供給された記憶された値に基づくポリシーパーサ１８０は、セキュリティパラメータインデックス２３０の必要な値を生成して提供する。特に、ポリシーパーサ１８０は、マウントポイントを含むディレクトリ仕様に暗号鍵及び圧縮選択を関連付けるのが好ましい。従って、作成されるファイルの目標位置は、暗号化及び圧縮が適用されるか否かと、実施のための適用可能な鍵及びアルゴリズムとを判断するために用いられる。鍵名称に基づくセキュア識別子と圧縮及び圧縮アルゴリズム識別子とが計算され、計算されたＣＲＣ及び署名値と共に新しいファイル管理ヘッダ２２６に記憶される。
【００９３】
次に、ＮＦＳ／ＣＩＦＳ状態機械１８６は、インバウンド作成ファイル要求によって供給されたディレクトリ仕様を利用するネットワークストレージリソース１６へのＮＦＳ／ＣＩＦＳ作成ファイル要求の作成及び発行３３２を提供する。ファイル管理ヘッダ２２６のインバンドストレージでは、次に、ファイル管理ヘッダ２２６を伴うＮＦＳ／ＣＩＦＳファイル書込要求が作成され、ネットワークストレージリソース１６に発行される（３３４）。シャドーメタデータファイルが使用を指示されると、ＮＦＳ／ＣＩＦＳファイル作成及び書込要求（後者はファイル管理ヘッダ２２６を伴う）は、シャドーファイルを作成するために作成され、ネットワークストレージリソース１６に発行される（３３４）。最後に、ＮＦＳ／ＣＩＦＳ適正作成ファイル回答ネットワークデータパケットがクライアントに戻される。
【００９４】
本発明の好ましい実施形態に従って構成されたＮＦＳ／ＣＩＦＳ書込トランザクション３４０は、図１２Ａに示されている。ネットワークストレージリソース１６の既存のファイルへのファイルデータの書込は、読取、修正、書込手順を使用する。インバウンド書込データ要求は、１つ又はそれ以上のネットワークファイルデータパケットのトランザクションシーケンスで供給される書込データのオフセット及び範囲を指定する（３４２）。殆どの場合、書込要求データは、記憶されたファイルに存在する論理アクセスブロック２２４1-Nに整列しないことになる。ファイル管理ヘッダ２２６及び部分的に重なったどの論理アクセスブロック２２４A及び２２４Xも、プリエンプティブに読み取られ（３４４、３４６、３４８）、重なった論理アクセスブロック２２４A及び２２４Xが要求される時に暗号解読されて解凍されるのを可能にする。次に、ブロック整列した読取データを有するインバウンド書込データ３４２のオーバレイが行なわれる。結果生じたブロック整列した書込データは、次に、処理されて論理アクセスブロック２２４A-Xになり、ネットワークストレージリソース１６への１つ又はそれ以上のネットワークファイルデータパケットの書込トランザクションシーケンスに書き込まれる（３５０）。
【００９５】
ＮＦＳ／ＣＩＦＳ書込要求トランザクションを行う好ましい処理３６０は、図１２Ｂに示されている。受信書込ファイルデータ要求が受信され、ネットワーク制御情報１１４を露出するように処理される（３６２）。次に、この情報は、報告されている（３８６）いかなる準拠失敗とも一緒に、確立されたポリシー１８０及び１８２に対して構文解析される（３６４）。次に、ネットワーク制御情報１１４は、ネットワークストレージリソース１６によって記憶されたターゲットファイルを識別し、ファイル管理ヘッダ２２６を含むファイルメタデータを取得するために、読取要求を作成して発行するように更に処理される（３６８）。論理アクセスブロックのオフセット及び範囲は、次に、ファイル管理ヘッダ２２６の存在及び論理アクセスブロック２２４包含データの圧縮に対して必要に応じて調整して判断される（３７０及び３７２）。ファイルロックが、範囲論理アクセスブロック２２４A-Xに対してアサートにされる。最初と終端の論理アクセスブロック２２４A及び２２４Xは、ネットワークストレージリソース１６から読み取られ（３７４）、「ＬＡＢ  ＥＣＣ」フィールド２４６が存在する場合は修正され（３７６）、暗号解読され（３７８）、必要に応じて解凍される（３８０）。保全性失敗エラーが報告される（３８２）。終端の論理アクセスブロック２２４A及び２２４Xからのデータは、書込データ３４２に合併され（３８４）、結合されたデータは、再セグメント化され（３８６）、適切であれば圧縮され（３８８）、暗号化される（３９０）。適用可能な場合に、「ＬＡＢ  ＥＣＣ」値が計算され、組み立てられた（３９４）一連の論理アクセスブロック２２４A-Xに加えられる（３９２）。論理アクセスブロック２２４A-Xが組み立てられる時、１つ又はそれ以上の書込ネットワークファイルデータパケットが構成され、ネットワークストレージリソース１６に送られる。論理アクセスブロック２２４A-Xの書込が終了すると、ファイルロックが解除される。
【００９６】
すなわち、分散コンピュータシステムのユーザとネットワークベースのストレージシステムとの間のセキュアネットワークファイルアクセスを確立するためのシステム及び方法について説明した。本発明の好ましい実施形態の以上の説明に鑑みて、開示された実施形態の多くの修正及び変形が当業者には容易に認められるであろう。従って、特許請求の範囲内で本発明が上述の具体的に説明したもの以外の形で実施することができることは理解されるものとする。
【図面の簡単な説明】
【００９７】
【図１】本発明の好ましい実施形態の作動環境を示す最上レベルの図である。
【図２】本発明の好ましい固定スケールのアプライアンス実施形態の構造的ブロック図である。
【図３】本発明の高度に拡張可能なアプライアンス代替実施形態の構造的ブロック図である。
【図４】ネットワークストレージリソースに向けられたクライアントファイル指向ネットワーク要求の認証及びアクセス限定をサポートするために本発明によって提供されるディープパケット分析処理を示す処理流れ図である。
【図５】クライアントコンピュータシステムによって実行される認証エージェントとのクライアント処理の相互運用を示す処理相互作用図である。
【図６】基本となるファイルデータの複数の修飾ビューを提供するために本発明の好ましい実施形態において提供されたネットワークストレージリソースの好ましい露出を示す処理相互作用図である。
【図７】本発明の好ましい実施形態に従ってネットワークパケットプロトコル処理を実施する好ましい構成要素を示すソフトウエアブロック図である。
【図８Ａ】本発明の好ましい実施形態に従って実施されたネットワークパケットプロトコル処理による好ましいファイルデータの分解を示す図である。
【図８Ｂ】本発明の好ましい実施形態に従って実施されたネットワークパケットプロトコル処理による好ましいファイルデータの分解を示す図である。
【図８Ｃ】本発明の好ましい実施形態に従って実施されたネットワークパケットプロトコル処理による好ましいファイルデータの分解を示す図である。
【図８Ｄ】本発明の好ましい実施形態に従って実施されたネットワークパケットプロトコル処理による好ましいファイルデータの分解を示す図である。
【図９】本発明の好ましい実施形態によるファイアウォール処理を含む拡張ネットワークパケットプロトコル処理を示すソフトウエアブロック図である。
【図１０Ａ】本発明の好ましい実施形態に従って実行されるファイルシステム読取要求及び応答の処理流れを示す図である。
【図１０Ｂ】本発明の好ましい実施形態に従って実行されるファイルシステム読取要求及び応答の処理流れを示す図である。
【図１１Ａ】本発明の好ましい実施形態に従って実行されるファイルシステムファイル作成要求の処理流れを示す図である。
【図１１Ｂ】本発明の好ましい実施形態に従って実行されるファイルシステムファイル作成要求の処理流れを示す図である。
【図１２Ａ】本発明の好ましい実施形態に従って実行されるファイルシステム書込要求及び応答の処理流れを示す図である。
【図１２Ｂ】本発明の好ましい実施形態に従って実行されるファイルシステム書込要求及び応答の処理流れを示す図である。
【符号の説明】
【００９８】
１０  インフラストラクチャー環境
１２  セキュアネットワークファイルアクセスアプライアンス
１６  ネットワークデータストア
２２  クライアントコンピュータシステム
３４  ファイルシステム
３６  エージェント
【図１】
2005534104.tif 000004
【図２】
2005534104.tif 000005
【図３】
2005534104.tif 000006
【図４】
2005534104.tif 000007
【図５】
2005534104.tif 000008
【図６】
2005534104.tif 000009
【図７】
2005534104.tif 000010
【図８】
2005534104.tif 000011
【図９】
2005534104.tif 000012
【図１０Ａ】
2005534104.tif 000013
【図１０Ｂ】
2005534104.tif 000014
【図１１Ａ】
2005534104.tif 000015
【図１１Ｂ】
2005534104.tif 000016
【図１２Ａ】
2005534104.tif 000017
【図１２Ｂ】
2005534104.tif 000018
【国際調査報告】
2005534104.tif 000019