(57)【要約】【課題】  ストレージ装置に対する管理ユーザ間の操作干渉により、ストレージ装置に対する管理業務が滞り、ホスト業務の遅延や停止を来すおそれがあった。【解決手段】  複数の管理ユーザにより管理されるストレージ装置及びその制御方法において、管理対象のリソースを複数のリソースグループに分け、リソースグループを管理ユーザによる管理操作の排他制御の範囲とする排他制御処理を実行するようにしたことにより、排他制御の範囲を過不足なく設定することができ、かくして利便性及び使い勝手を向上させ得るストレージ装置及びその管理方法を実現できる。【選択図】        図１
2013535721.tif 000002
【特許請求の範囲】
【請求項１】
複数の管理ユーザにより管理されるストレージ装置において、
管理対象のリソースを複数のリソースグループに分けるリソースグループ制御部と、
前記リソーグループを前記管理ユーザによる管理操作の範囲とするアクセス制御処理を実行するアクセス制御処理部と、
前記リソースグループを前記管理ユーザによる管理操作の排他制御範囲とする排他制御処理を実行する排他制御部と
を備えることを特徴とするストレージ装置。
【請求項２】
前記複数の管理ユーザを１又は複数のユーザグループに分けて管理するアカウント管理部を備え、
各前記ユーザグループに対してそれぞれ１以上の前記リソースグループと、１以上の操作権限とが割り当てられ、
前記排他制御部は、
前記管理ユーザが属する前記ユーザグループに対して割り当てられた前記リソースグループ及び前記操作権限の範囲で、当該管理ユーザからのリクエストを受け付ける
ことを特徴とする請求項１に記載のストレージ装置。
【請求項３】
各前記リソースグループには、それぞれ当該リソースグループを操作するために必要な操作権限が予め設定され、
前記アカウント管理部は、
管理ユーザの操作に応じて新たな前記ユーザグループを作成すると共に、当該ユーザグループに対して前記管理ユーザにより指定された操作権限を設定し、
作成した新たな前記ユーザグループに対して、当該ユーザグループに設定された操作権限により操作可能なすべての前記リソースグループを割り当てる
ことを特徴とする請求項２に記載のストレージ装置。
【請求項４】
前記リソースグループ制御部は、
前記リソースグループを分割して新たなリソースグループを作成し、作成した前記新たなリソースグループに対して、分割元の前記リソースグループに設定されていた当該リソースグループを操作するために必要な操作権限と同じ操作権限を設定する
ことを特徴とする請求項３に記載のストレージ装置。
【請求項５】
前記リソースグループは、管理ユーザにより指定されたグループに分けられ、
前記アカウント管理部は、
作成した前記新たなユーザグループに対して前記リソースグループを割り当てる際に、当該ユーザグループについて予め指定された前記グループに属する前記リソースグループのうちの当該ユーザグループに設定された操作権限により操作可能なすべての前記リソースグループを割り当てる
ことを特徴とする請求項３に記載のストレージ装置。
【請求項６】
複数の管理ユーザにより管理されるストレージ装置の制御方法において、
管理対象のリソースを複数のリソースグループに分ける第１のステップと、
前記リソーグループを前記管理ユーザによる管理操作の範囲とするアクセス制御処理を実行するとともに、前記リソースグループを前記管理ユーザによる管理操作の排他制御範囲とする排他制御処理を実行する第２のステップと
を備えることを特徴とするストレージ装置の制御方法。
【請求項７】
前記第１のステップでは、
前記複数の管理ユーザを１又は複数のユーザグループに分けて管理し、各前記ユーザグループに対してそれぞれ１以上の前記リソースグループと、１以上の操作権限とを割り当て、
前記第２のステップでは、
前記管理ユーザが属する前記ユーザグループに対して割り当てた前記リソースグループ及び前記操作権限の範囲で、当該管理ユーザからのリクエストを受け付ける
ことを特徴とする請求項６に記載のストレージ装置の制御方法。
【請求項８】
各前記リソースグループには、それぞれ当該リソースグループを操作するために必要な操作権限が予め設定され、
前記第１のステップでは、
管理ユーザの操作に応じて新たな前記ユーザグループを作成すると共に、当該ユーザグループに対して前記管理ユーザにより指定された操作権限を設定し、
作成した新たな前記ユーザグループに対して、当該ユーザグループに設定された操作権限により操作可能なすべての前記リソースグループを割り当てる
ことを特徴とする請求項７に記載のストレージ装置の制御方法。
【請求項９】
前記第１のステップでは、
前記リソースグループを分割して新たなリソースグループを作成し、作成した前記新たなリソースグループに対して、分割元の前記リソースグループに設定されていた当該リソースグループを操作するために必要な操作権限と同じ操作権限を設定する
ことを特徴とする請求項８に記載のストレージ装置の制御方法。
【請求項１０】
前記リソースグループを、管理ユーザにより指定されたグループに分け、
前記第１のステップでは、
作成した前記新たなユーザグループに対して前記リソースグループを割り当てる際に、当該ユーザグループについて予め指定された前記グループに属する前記リソースグループのうちの当該ユーザグループに設定された操作権限により操作可能なすべての前記リソースグループを割り当てる
ことを特徴とする請求項８に記載のストレージ装置の制御方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ストレージ装置及びその管理方法に関し、例えばマルチテナンシ型の管理方式が採用されたストレージ装置に適用して好適なものである。
【背景技術】
【０００２】
近年、１台のストレージ装置を複数の会社や複数の部署などで共有して使用する大規模ストレージ集約環境では、ストレージ装置の管理者の負荷を低減するため、ストレージ装置の管理方法として、会社ごと又は部署ごとに管理者を設置し、これら設置された複数の管理者によりストレージ装置を管理するマルチテナンシ型の管理方法が求められている。
【０００３】
このようなマルチテナンシ型のストレージ装置管理方法として、従来、ストレージ装置内のリソースをホスト業務単位で複数の論理グループに分割することにより仮想的なストレージ装置を複数構築し、各仮想ストレージ装置の管理を割り当てられた管理者に任せる方法が提案されている（例えば特許文献１及び特許文献２参照）。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特開２００６−２６０２８４号公報
【特許文献２】特開２００６−３４３９０７号公報
【発明の概要】
【発明が解決しようとする課題】
【０００５】
ところが、かかる特許文献１及び特許文献２に開示されたストレージ装置の管理方法では、個々の仮想ストレージ装置を排他制御の単位としているため、１つの仮想ストレージ装置を複数の管理ユーザで管理する場合に、１人の管理者が仮想ストレージ装置に対する管理操作を行っている間、他の管理者がその仮想ストレージ装置に対する管理操作を行えないという問題がある。この結果、仮想ストレージ装置全体としての管理業務が滞り、最悪の場合には、ホスト業務の遅延や停止を来すおそれがあった。
【０００６】
従って、マルチテナンシ型の管理方式が採用されたストレージ装置において、排他制御の範囲を過不足なく指定することができ、管理者間の操作干渉を低減させることができ、さらに管理操作の並列処理を行うことができれば、ストレージ装置の利便性及び使い勝手を向上させ得るものと考えられる。
【０００７】
本発明は以上の点を考慮してなされたもので、利便性及び使い勝手を向上させ得るストレージ装置及びその管理方法を提案しようとするものである。
【課題を解決するための手段】
【０００８】
かかる課題を解決するため本発明においては、複数の管理ユーザにより管理されるストレージ装置において、管理対象のリソースをリソースグループに分けるリソースグループ制御部と、管理ユーザの操作範囲を割当てられたリソースグループ内のリソースに限定する管理ユーザアクセス制御部と、前記リソースグループを前記管理ユーザによる管理操作の排他制御範囲とする排他制御処理を実行する排他制御部とを設けるようにした。
【０００９】
また本発明においては、複数の管理ユーザにより管理されるストレージ装置の制御方法において、管理対象のリソースを複数のリソースグループに分る第１のステップと、前記リソースグループを前記管理ユーザに割当て操作範囲を定める管理ユーザアクセス制御処理を実行する第２のステップと、前記リソースグループを前記管理ユーザによる管理操作の排他制御範囲とする排他制御処理を実行する第３のステップとを設けるようにした。
【発明の効果】
【００１０】
本発明によれば、アクセス範囲を過不足なく設定することができ、さらに、排他制御の範囲を管理ユーザが操作可能な範囲に限定するため、管理ユーザ間の操作干渉を低減させながら、各リソースに対する管理操作の並列処理を可能することができる。かくするにつき、ストレージ装置の利便性及び使い勝手を格段的に向上させることができる。
【図面の簡単な説明】
【００１１】
【図１】第１及び第２の実施の形態による計算機システムの全体構成を示すブロック図である。
【図２】ホスト計算機の概略構成を示すブロック図である。
【図３】ストレージ装置の概略構成を示すブロック図である。
【図４】管理端末の概略構成を示すブロック図である。
【図５】本実施の形態のストレージ装置における管理ユーザアクセス制御方式の説明に供する模式図である。
【図６】本実施の形態のストレージ装置における管理ユーザアクセス制御方式の説明に供する模式図である。
【図７】本実施の形態のストレージ装置における管理ユーザアクセス制御方式の説明に供する図表である。
【図８】ストレージ装置の制御情報用メモリに格納された各種プログラム及び各種テーブルの説明に供する概念図である。
【図９】第１の実施の形態によるリソースグループＩＤ管理テーブルの構成を概念的に示す概念図である。
【図１０】リソースグループ構成管理テーブルの構成を概念的に示す概念図である。
【図１１】セッション管理テーブルの構成を概念的に示す概念図である。
【図１２】権限ビットマップ管理テーブルの構成を概念的に示す概念図である。
【図１３】ロール管理テーブルの構成を概念的に示す概念図である。
【図１４】ユーザグループ管理テーブルの構成を概念的に示す概念図である。
【図１５】ユーザアカウント管理テーブルの構成を概念的に示す概念図である。
【図１６】デフォルトリソースグループＩＤ管理テーブルの構成を概念的に示す概念図である。
【図１７】プログラムプロダクト管理テーブルの構成を概念的に示す概念図である。
【図１８】デフォルトリソースグループ作成処理の処理手順を示すフローチャートである。
【図１９】第１の実施の形態によるユーザグループ作成処理の処理手順を示すフローチャートである。
【図２０Ａ】ログイン処理の処理手順を示すフローチャートである。
【図２０Ｂ】ログイン処理の処理手順を示すフローチャートである。
【図２１Ａ】リクエスト受付け処理の流れを示すフローチャートである。
【図２１Ｂ】リクエスト受付け処理の流れを示すフローチャートである。
【図２１Ｃ】リクエスト受付け処理の流れを示すフローチャートである。
【図２２】第２の実施の形態の概要説明に供する概念図である。
【図２３】第２の実施の形態によるリソースグループＩＤ管理テーブルの構成を概念的に示す概念図である。
【図２４】リソースグループ作成処理の処理手順を示すフローチャートである。
【図２５】リソース移動処理の処理手順を示すフローチャートである。
【図２６】第２の実施の形態によるユーザグループ作成処理の処理手順を示すフローチャートである。
【発明を実施するための形態】
【００１２】
以下図面について、本発明の一実施の形態を詳述する。
【００１３】
（１）第１の実施の形態
（１−１）本実施の形態による計算機システムの構成
図１において、１は全体として本実施の形態による計算機システムを示す。この計算機システム１は、１又は複数のホスト計算機２と、ストレージ装置３とを備えて構成される。
【００１４】
ホスト計算機２は、図２に示すように、プロセッサ１０、メモリ１１、ネットワークインタフェース１２、入力装置１３及び出力装置１４などを備えたコンピュータ装置であり、例えばパーソナルコンピュータや、ワークステーション又はメインフレームなどから構成される。
【００１５】
プロセッサ１０は、ホスト計算機２全体の動作制御を司る機能を有し、メモリ１１に格納されたプログラムを実行することにより、各種の制御処理を実行する。メモリ１１は、プログラムを記憶するために用いられるほか、プロセッサ１０のワークメモリとしても用いられる。ユーザ業務に応じたアプリケーション（業務アプリケーション）１５もこのメモリ１１に格納されて保持される。
【００１６】
ネットワークインタフェース１２は、ストレージ装置３との通信時におけるプロトコル制御を行う。このネットワークインタフェース１２のプロトコル制御機能により、ホスト計算機２及びストレージ装置３間においてファイバチャネルプロトコルに従ったデータやコマンドの送受が行われる。
【００１７】
入力装置１３は、例えばキーボード、スイッチやポインティングデバイス、マイクロフォンなどから構成され、出力装置１４は、例えばモニタディスプレイやスピーカなどから構成される。
【００１８】
一方、ストレージ装置３は、図３に示すように、複数の記憶装置２０と、記憶装置２０に対するデータの入出力を制御するコントローラ２１とを備えて構成される。
【００１９】
記憶装置２０は、例えばＳＣＳＩ（Small Computer System Interface）ディスク等の高価なディスクや、ＳＡＴＡ（Serial AT Attachment）ディスク又は光ディスク等の安価なディスクなどから構成される。１又は複数の記憶装置２０により１つのパリティグループが構成され、１又は複数のパリティグループが提供する記憶領域上に１又は複数の論理ボリュームＶＯＬ（図１）が定義される。そしてホスト計算機２からのデータは、論理ボリュームＶＯＬ内に所定大きさのブロック又はファイルを単位として記憶される。なお、各論理ボリュームＶＯＬには、それぞれ固有の論理デバイス番号（図１の「ＬＤＥＶ♯２」、「ＬＤＥＶ♯１１」）が付与されて管理される。
【００２０】
コントローラ２１は、内部ネットワーク３０を介して相互に接続された１又は複数のフロントエンドパッケージ３１と、１又は複数のバックエンドパッケージ３２と、１又は複数のマイクロプロセッサパッケージ３３と、１又は複数のキャッシュメモリパッケージ３４と、管理端末３５とを備えて構成される。
【００２１】
フロントエンドパッケージ３１は、複数のホストインタフェース４０を備える。これらホストインタフェース４０は、それぞれホスト計算機２との通信時におけるインタフェースとして機能するもので、それぞれ１又は複数のポート（図示せず）を備える。ポートには、それぞれＩＰ（Internet Protocol）アドレスやＷＷＮ（World Wide Name）などの固有のアドレスが割り当てられる。
【００２２】
バックエンドパッケージ３２は、複数のディスクインタフェース４１を備える。これらディスクインタフェース４１は、それぞれ記憶装置２０との通信時におけるインタフェースとして機能するもので、ファイバーチャネルケーブルなどの通信ケーブル４２を介して対応する記憶装置２０と電気的及び物理的に接続される。
【００２３】
マイクロプロセッサパッケージ３３は、複数のマイクロプロセッサ４３と、これらのマイクロプロセッサ４３とバス４４を介して接続されたローカルメモリ４５とを備える。マイクロプロセッサ４３は、ストレージ装置３全体の動作制御を司る機能を有し、ローカルメモリ４５に格納されたマイクロプログラムに基づき、フロントエンドパッケージ３１のホストインタフェース４０を介して与えられるホスト計算機２からのリード要求又はライト要求に応じて、バックエンドパッケージ３２の対応するディスクインタフェース４１を介して対応する記憶装置２０に対してデータを読み書きする。ローカルメモリ４５には、かかるマイクロプログラムのほか、後述するキャッシュメモリパッケージ３４の制御情報用メモリ４７に格納された制御情報の一部が格納される。
【００２４】
キャッシュメモリパッケージ３４は、それぞれ１又は複数の半導体記憶素子（例えばＤＲＡＭ（Dynamic Random Access Memory））から構成されるデータキャッシュ用のメモリ（以下、これをデータキャッシュ用メモリと呼ぶ）４６と、制御情報用のメモリ（以下、これを制御情報用メモリと呼ぶ）４７とを備える。データキャッシュ用メモリ４６には、記憶装置２０に読み書きされるデータが一時的に格納され、制御情報用メモリ４７には、記憶装置２０の構成情報などの各種処理に必要な制御情報が格納される。
【００２５】
管理端末３５は、図５に示すように、プロセッサ５０、メモリ５１、ネットワークインタフェース５２、入力装置５３及び出力装置５４などを備えたコンピュータ装置であり、ストレージ装置３の筺体内に内蔵されている。後述のように、管理ユーザは、ストレージ装置３の設定等を変更する場合、自己の通信端末装置（図示せず）をこの管理端末３５に接続し、この管理端末３５を介してストレージ装置３にログインする。
【００２６】
プロセッサ５０は、管理端末３５全体の動作制御を司る機能を有し、メモリ５１に格納されたプログラムを実行することにより、各種の制御処理を実行する。メモリ５１は、プログラムを記憶するために用いられるほか、プロセッサ５０のワークメモリとしても用いられる。メモリ５１に格納された各種プログラムをプロセッサ５０が実行することにより、後述のような各種の制御処理が実行される。後述するサーバプログラム５５やセッション管理テーブル５６もこのメモリ５１に格納されて保持される。
【００２７】
ネットワークインタフェース５２は、内部ネットワーク３０（図３）を介して行われるプロセッサ５０と、マイクロプロセッサパッケージ３３（図３）のマイクロプロセッサ４３（図３）との通信時におけるプロトコル制御を行う。また入力装置５３は、例えばキーボード、スイッチやポインティングデバイス、マイクロフォンなどから構成され、出力装置５４は、例えばモニタディスプレイやスピーカなどから構成される。
【００２８】
なお本実施の形態の場合、ストレージ装置３には、ボリューム仮想化機能及び外部接続機能が搭載されている。
【００２９】
ボリューム仮想化機能は、図１に示すように、仮想的なボリュームＶＯＬ（以下、これを仮想ボリュームＶＶＯＬと呼ぶ）をホスト計算機２に提供し、その仮想ボリュームＶＶＯＬの使用状況に応じて仮想ボリュームＶＶＯＬに動的に物理的な記憶領域を割り当てる機能である。
【００３０】
そして、ストレージ装置３は、予め定められた１又は複数のボリュームＶＯＬを１つのプールボリュームＰＯＯＬとして管理しており、仮想ボリュームＶＶＯＬ上の未だ物理的な記憶領域が割り当てられていない仮想的な記憶領域に対するホスト計算機２からのライト要求が与えられた場合に、その仮想ボリュームＶＶＯＬにおけるライト要求が与えられた仮想的な記憶領域に対して、当該仮想ボリュームＶＶＯＬに対応付けられたプールボリュームＰＯＯＬから物理的な記憶領域を所定単位で割り当てる。かくして、仮想ボリュームＶＶＯＬ上のかかる仮想的な記憶領域に対するデータの読み書きは、この後、この物理的な記憶領域に対して行われる。
【００３１】
また外部接続機能は、フロントエンドパッケージ３１内の所定のホストインタフェース４０と接続された外部ストレージ装置４（図１）内のボリュームＶＯＬを、あたかも自ストレージ装置３内のボリュームＶＯＬのようにホスト計算機２に提供する機能である。
【００３２】
実際上、ストレージ装置３は、外部ストレージ装置４内のボリュームＶＯＬを外部ボリュームＥＸＴ−ＶＯＬとして管理し、その外部ボリュームＥＸＴ−ＶＯＬと対応付けられた仮想ボリュームＶＶＯＬをホスト計算機２に提供する。
【００３３】
そしてマイクロプロセッサ４３は、かかる仮想ボリュームＶＶＯＬを対象とするリード要求やライト要求がホスト計算機から与えられると、そのリード要求のリード先又はライト要求のライト先を外部ボリュームＥＸＴ−ＶＯＬ（正確には、かかる外部ストレージ装置４内の対応するボリュームＶＯＬ）内のアドレスに書き換えたリード要求又はライト要求を生成し、生成したリード要求又はライト要求をその外部ストレージ装置４に送信する。またストレージ装置３は、かかるリード要求又はライト要求に対する応答（応答コマンドやリードデータ）をかかる外部ストレージ装置４から受信すると、これを対応するホスト計算機２に転送する。
【００３４】
（１−２）ストレージ装置におけるアクセス制御方式
次に、ストレージ装置３におけるアクセス制御方式について説明する。
【００３５】
ストレージ装置３には、図１に示すように、当該ストレージ装置３内のリソースのうち、管理対象のリソースを１又は複数の論理グループ（以下、これをリソースグループと呼ぶ）ＲＳＧ（ＲＳＧ１，ＲＳＧ２，……）に分けて管理するリソースグループ機能と、かかるリソースグループ機能により作成された各リソースグループＲＳＧを管理ユーザによるアクセスの排他制御の範囲とする排他制御機能とが搭載されている。
【００３６】
そして、ストレージ装置３では、マルチテナンシ型の管理方法を前提として、管理ユーザのアクセス制御方式としてロールベースアクセス制御（ＲＢＡＣ：Role-Based Access Control）方式が採用されている。
【００３７】
実際上、本ストレージ装置３では、図５に示すように、管理ユーザを複数のグループ（以下、これをユーザグループＵＧと呼ぶ）にグループ化し、これらのユーザグループＵＧごとにそれぞれ１つ以上の操作権限（以下、これをロールと呼ぶ）と、１つ以上のリソースグループＲＳＧとが割り当てられる。そして管理ユーザは、その管理ユーザが所属するユーザグループＵＧに割り当てられたリソースグループＲＳＧ内のリソースに対して、当該ユーザグループＵＧに割り当てられたロールの範囲で管理を行うことができる。なお、図５において「Ｓ」はログインセッションを表し、その「Ｓ」で表される楕円内の黒丸は、それぞれログインしている管理ユーザを示す。
【００３８】
一方、図６は、ユーザグループＵＧに対するロール及びリソースグループＲＳＧの割当て例を示す。この図６の例の場合、「U1」というユーザグループＵＧに対しては、「role1」という１つのロールと、「RSG1」という１つのリソースグループＲＳＧとがそれぞれ割り当てられ、「U2」というユーザグループＵＧに対しては、「role2」及び「role3」という２つのロールと、「RSG2」及び「RSG3」という２つのリソースグループＲＳＧとがそれぞれ割り当てられている。また「U3」というユーザグループＵＧに対しては「role4」及び「role5」という２つのロールと、「RSG3」という１つのリソースグループＲＳＧとがそれぞれ割り当てられている。ここで、あるユーザグループUGがストレージ装置内のリソースを占有したい場合は、当該リソースを含むリソースグループを占有するユーザグループUGにのみ割当てればよく、異なるユーザグループUG間でストレージ装置内のリソースを共有したい場合は、当該リソースを含むリソースグループを異なるユーザグループUGそれぞれに割当てればよい。
【００３９】
図７は、図６の例におけるユーザグループＵＧと、そのユーザグループＵＧに属する管理ユーザの権限範囲（ロールが適用できるリソースグループＲＳＧ）との関係を示す。この図７からも明らかなように、「U1」というユーザグループＵＧに属する各管理ユーザは、そのユーザグループＵＧに割り当てられた「RSG1」というリソースグループＲＳＧに属する各リソースに対して「role1」というロールを有し、「U2」というユーザグループＵＧに属する各ユーザは、「RSG2」というリソースグループＲＳＧに属する各リソースと、「RSG3」というリソースグループＲＳＧに属する各リソースとに対してそれぞれ「role2」及び「role3」というロールを有する。さらに「U3」というユーザグループＵＧに属する各管理ユーザは、「RSG3」というリソースグループＲＳＧに属する各リソースに対して「role4」及び「role5」というロールを有する。
【００４０】
ここで注意すべきは、ユーザは複数のユーザグループＵＧに属することができ、管理ユーザが複数のユーザグループＵＧに属している場合、その管理ユーザが有するロールは、個々のユーザグループＵＧに割り当てられたすべてのリソースグループＲＳＧに対して、個々のユーザグループＵＧに割り当てられたすべてのロールを有する。
【００４１】
例えば「U2」及び「U3」という２つのユーザグループＵＧに所属する管理ユーザは、「RSG2」又は「RSG3」というリソースグループＲＳＧに属するリソースに対する「role2」及び「role3」というロールと、「RSG1」、「RSG2」又は「RSG3」というリソースグループＲＳＧに属するリソースに対する「role4」及び「role5」というロールとに加えて、「RSG1」というリソースグループＲＳＧに属するリソースに対する「role2」及び「role3」というロールをも有する。
【００４２】
なお、ストレージ装置３には、多種多様な論理／物理要素が存在し、これらをすべてリソースグループＲＳＧに分ける対象とすると、管理情報量が膨大となる。またグループ化の対象とするリソースの種別や分量が多いほどリソースのグループ化を行う管理ユーザの負担が増大するため、結果として全体の管理コストが増大する。
【００４３】
そこで、リソースグループ機能による管理対象のリソースとして、本実施の形態においては、以下の条件を満たすリソースを対象とする。
【００４４】
ａ）管理ユーザが意識して管理するリソースであり、ストレージ装置３の機種に依存しない一般的なリソースとして考えられるものを対象とし、ストレージ装置３の制御処理で利用されるものは対象として含めない。
ｂ）例えばプールや論理デバイスグループなど、他のリソースを指定することで包含されるリソースは含めない。
ｃ）ポートやボリュームなど、ストレージ装置３を構成するリソースに加え、「ＩＤ自体を予め確保」し利用したい場合があり、これも対象として含める。
【００４５】
なお、データキャッシュ用メモリ４６やマイクロプロセッサ４３は、割り当てられた管理ユーザに任せるべき管理が存在しないリソースであるため、これらをリソースグループＲＳＧにまとめて取り扱う対象として含めないものとする。
【００４６】
以上のことから、本実施の形態においてグルーピングの対象となるリソースは、論理デバイス番号（図１の「LDEV♯2」及び「LDEV♯11」）、パリティグループ（図１の「PG2」）、外部ボリューム（図１の「EXT-VOL」）、ポート（図１の「P1」〜「P3」）及びホストグループ（図１の「HG♯2」及び「HG♯4」）の５種類としている。ここで、「ホストグループ」とは、ストレージ装置３のポートに設定された、当該ポートにアクセスする各ホスト計算機２のＷＷＮやＩＰアドレスのグループをいう。
【００４７】
以上のような管理ユーザアクセス制御方式による管理ユーザアクセス制御処理を実現するための手段として、ストレージ装置３のマイクロプロセッサパッケージ３３のローカルメモリ４５には、図３に示すように、リソースグループ管理プログラム６０、リソースグループ制御プログラム６１及びアカウント管理プログラム６２が格納され、ストレージ装置３のキャッシュメモリパッケージ３４の制御情報用メモリ４７には、図８に示すように、リソースグループＩＤ管理テーブル６３、リソースグループ構成管理テーブル６４、セッション管理テーブル６５、権限ビットマップ管理テーブル６６、ロール管理テーブル６７、ユーザグループ管理テーブル６８、ユーザアカウント管理テーブル６９、デフォルトリソースグループＩＤ管理テーブル７０及びプログラムプロダクト管理テーブル７１が格納されている。
【００４８】
リソースグループ管理プログラム６０は、管理対象のリソースをリソースの種別ごとの複数のリソースグループに分けて管理する機能を有するプログラムである。またリソースグループ制御プログラム６１は、リソースグループＩＤ管理テーブル６３、リソースグループ構成管理テーブル６４、セッション管理テーブル６５及びデフォルトリソースグループＩＤ管理テーブル７０を管理し、リソースグループ制御プログラム６１の要求に応じて、対応するテーブルを更新し又は当該テーブルからデータを読み出してリソースグループ制御プログラム６１に転送する機能を有するプログラムである。さらにアカウント管理プログラム６２は、ユーザアカウントを管理する機能を有するプログラムである。
【００４９】
一方、リソースグループＩＤ管理テーブル６３は、作成されたリソースグループを管理するために用いられるテーブルであり、図９に示すように、リソースグループＩＤ欄６３Ａ、リソースグループ名欄６３Ｂ及び権限ビットマップ欄６３Ｃから構成される。
【００５０】
そしてリソースグループＩＤ欄６３Ａには、対応するリソースグループＲＳＧが作成されたときに当該リソースグループＲＳＧを作成した管理ユーザにより又は自動的に付与されたそのリソースグループＲＳＧの識別子（以下、これをリソースグループＩＤと呼ぶ）が格納され、リソースグループ名欄６３Ｂには、対応するリソースグループＲＳＧが作成されたときにそのリソースグループＲＳＧを作成した管理ユーザにより又は自動的に付与されたそのリソースグループＲＳＧの名称が格納される。
【００５１】
従って、図９の例では、リソースグループＲＳＧとして、「GRAND」、「TARGET PORTS」、「HOST VISIBLE LDEV NUMBERS」、「INTIATOR PORTS」、……というリソースグループＲＳＧが既に作成されており、これらのリソースグループＲＳＧには、それぞれ「0000」、「0001」、「0002」、「0003」、……というリソースグループＩＤが付与されていることが示されている。
【００５２】
なお本実施の形態の場合、「0000」というリソースグループＩＤが付与された「GRAND」というリソースグループＲＳＧは、デフォルトで存在するリソースグループであり、グループ分けされる前のリソースはすべて「GRAND」というリソースグループＲＳＧに属するよう設定される。
【００５３】
これは、リソースグループＲＳＧの設定には手間と時間を要するため、操作権限を有する管理ユーザによりいずれかのリソースグループＲＳＧに振り分けられる前のリソースをすべて「GRAND」というリソースグループＲＳＧに所属させるためである。
【００５４】
これにより管理ユーザにより必要なリソースグループＲＳＧが作成される前の初期時や、新たなリソースが追加されたときにも、リソースがいずれのリソースグループＲＳＧにも所属していないという状態が生じるのを防止し、リソースが不当に操作されるのを未然に防止することができる。
【００５５】
また権限ビットマップ欄６３Ｃには、対応するデフォルトリソースグループＲＳＧを操作（作成、変更又は削除など）するために必要な権限を表すビットが「１」に設定された権限ビットマップが格納される。この権限ビットマップは、図１６について後述するデフォルトリソースグループＩＤ管理テーブル７０の権限ビットマップ欄７０Ｄに格納される権限ビットマップと同じものであるため、この権限ビットマップの詳細については、図１６において説明する。
【００５６】
リソースグループ構成管理テーブル６４は、ストレージ装置３内に作成されたリソースグループＲＳＧの構成を管理するために利用されるテーブルであり、図１０に示すように、ＩＤ欄６４Ａ、リソースＩＤ欄６４Ｂ及びリソースグループＩＤ欄６４Ｃから構成される。
【００５７】
そしてＩＤ欄６４Ａには、管理対象の各リソースにそれぞれ付与されたストレージ装置３内で固有の通し番号が格納される。またリソースＩＤ欄６４Ｂには、対応するリソースに対して付与されたリソースの種別ごとの通し番号からなる識別子（リソースＩＤ）が格納され、リソースグループＩＤ欄６４Ｃには、対応するリソースが属するリソースグループＲＳＧの識別子（リソースグループＩＤ）が格納される。
【００５８】
従って、図１０の例では、「LDEV#00000」というリソースＩＤが付与されたリソースには「0x00000」という通し番号がそのリソースのリソースＩＤとして付与されており、このリソースは「0000」というリソースグループＲＳＧに属していることが示されている。
【００５９】
なお図１０において、リソースＩＤに「LDEV」、「VDEV」、「HG」又は「PORT」という文字列が存在するリソースは、それぞれ論理デバイス番号、仮想デバイス、ホストグループ又はポートを表す。また図１０は、すべてのリソースが「GRAND」というリソースグループＲＳＧに属している初期状態を表す。
【００６０】
これに対して、セッション管理テーブル６５は、管理ユーザが自己の通信端末装置を管理端末３５に接続してストレージ装置３にログインしたときに発生するログインセッションを管理するために用いられるテーブルである。このセッション管理テーブル６５は、図１１に示すように、セッションＩＤ欄６５Ａ、ユーザＩＤ欄６５Ｂ、ホスト名／ＩＰアドレス欄６５Ｃ、ログイン時間欄６５Ｄ、割当てロールＩＤ欄６５Ｅ及び割当てリソースグループＩＤビットマップ欄６５Ｆから構成される。
【００６１】
そしてセッションＩＤ欄６５Ａには、ログインセッションに対して付与されたそのログインセッションに固有の識別子（セッションＩＤ）が格納され、ユーザＩＤ欄６５Ｂには、そのログインセッションに対応する管理ユーザ（ログインを行った管理ユーザ）の識別子（ユーザＩＤ）が格納される。
【００６２】
またホスト名／ＩＰアドレス欄６５Ｃには、そのログインを行った管理ユーザが使用している通信端末装置の識別情報（ホスト名又はその通信端末装置のＩＰアドレス）が格納され、ログイン時間欄６５Ｄには、そのログインが行われた時間（ログイン時間）が格納される。
【００６３】
さらに割当てロールＩＤ欄６５Ｅには、その管理ユーザが属するユーザグループＵＧに割り当てられたロールの識別子（ロールＩＤ）が格納され、割当てリソースグループＩＤビットマップ欄６５Ｆには、その管理ユーザに割り当てられたリソースグループＲＳＧのリソースグループＩＤに対応するビットが「１」に立ち上げられたビットマップ（以下、これを割当てリソースグループＩＤビットマップと呼ぶ）が格納される。
【００６４】
ここで、割当てリソースグループビットマップにおける各ビットは、それぞれ図９について上述したリソースグループＩＤ管理テーブル６３に登録されたリソースグループＲＳＧのいずれかに対応する。具体的には、割当てリソースグループビットマップの右端のビットはリソースＩＤが「0001」のリソースグループＲＳＧ（「GRAND」）に対応し、その左隣りのビットはリソースＩＤが「0002」のリソースグループＲＳＧ（「TARGET PORTS」）に対応し、さらにその左隣のビットはリソースＩＤが「0003」のリソースグループＲＳＧ（「HOST VISIBLE LDEV NUMBERS」）に対応し、……のように、割当てリソースグループビットマップの右側のビットから順番に、リソースグループＩＤが小さいリソースグループＲＳＧにそれぞれ対応付けられている。
【００６５】
従って、図１１の例の場合、セッションＩＤが「0001」のログインセッションは、「ADMIN1」という管理ユーザが「10.10.23.22」というＩＰアドレスの通信端末装置を用いて「2010/02/23.11:25.55」に行ったログインに対応しており、そのユーザには「ROLE1」というロールと、割当てリソースグループビットマップの少なくとも左端から３番目のビットに対応するリソースグループＲＳＧとが割り当てられていることが示されている。
【００６６】
なお図４について上述した管理端末３５のメモリ５１に格納されたセッション管理テーブル６５は、ストレージ装置３のキャッシュメモリパッケージ３４（図３）の制御情報用メモリ４７（図３）に格納されているセッション管理テーブル６５をコピーしたものである。従って、管理端末３５が保持するセッション管理テーブル５６と、かかる制御情報用メモリ４７に格納されているセッション管理テーブル６５とは同じ内容を有する。
【００６７】
権限ビットマップ管理テーブル６６は、予め定められた各種権限を管理するために用いられるテーブルであり、図１２に示すように、ビットアドレス欄６６Ａ及び権限欄６６Ｂから構成される。
【００６８】
そしてビットアドレス欄６６Ａには、図１３について後述するロール管理テーブル６７の権限ビットマップにおいて左端ビットのビットアドレスを「０」としたときのビットアドレスがそれぞれ格納され、権限欄６６Ｂには、そのビットアドレスのビットに対応付けられた権限が格納される。
【００６９】
従って、図１２では、例えば権限ビットマップのビットアドレスが「０」のビットには、ユーザアカウント情報を閲覧できる権限である「View user account information」という権限が対応付けられ、権限ビットマップのビットアドレスが「９」のビットには、ホストバスを設定できる権限である「Setting Host path」という権限が対応付けられていることが示されている。
【００７０】
ロール管理テーブル６７は、予め設定されたロールを管理するために用いられるテーブルであり、図１３に示すように、ロールＩＤ欄６７Ａ、ロール名欄６７Ｂ及び権限ビットマップ欄６７Ｃから構成される。
【００７１】
そしてロール名欄６７Ｂには、予め定義されている各ロールのロール名がそれぞれ格納され、ロールＩＤ欄６７Ａには、対応するロールに対して付与された識別子（ロールＩＤ）が格納される。また権限ビットマップ欄６７Ｃには、対応するロールを有する管理ユーザが実行可能な権限をビットマップ形式で記述した権限ビットマップが格納される。
【００７２】
本実施の形態の場合、権限ビットマップは１８ビット構成でなる。そして上述のように、権限ビットマップの各ビットは、それぞれビットアドレスに応じて、権限ビットマップ管理テーブル６６（図１２）に登録されたいずれかの権限と対応付けられている。
【００７３】
従って、図１３の例の場合、例えば、ロールＩＤが「ROLE7」である「PROVISIONING」というロール名のロールは、「View Resource Group information」という権限と、対応するリソースグループＲＳＧ内の各リソースの情報を閲覧する権限である「View Elements information」という権限と、パリティグループ、外部ボリュームＥＸＴ−ＶＯＬ又はプールボリュームＰＯＯＬから論理デバイスを作成する権限である「Setting LDEV from PG/External Volume/Pool」という権限とから構成されることが示されている。
【００７４】
ユーザグループ管理テーブル６８は、操作権限を有する管理ユーザにより設定された各ユーザグループＵＧを管理するために用いられるテーブルであり、図１４に示すように、ユーザグループＩＤ欄６８Ａ、ロール欄６８Ｂ及びリソースグループ欄６８Ｃから構成される。
【００７５】
そしてユーザグループＩＤ欄６８Ａには、ストレージ装置３内に定義された各ユーザグループＵＧの識別子（ユーザグループＩＤ）が格納され、リソースグループ欄６８Ｃには、対応するユーザグループＵＧに対して割り当てられた各リソースグループＲＳＧの識別子（リソースグループＩＤ）が格納される。
【００７６】
またロール欄６８Ｂには、対応するユーザグループＵＧに対して割り当てられた各ロールの識別子（ロールＩＤ）が格納される。この場合において、ユーザグループＵＧに対しては、複数のロールを割り当てることができる。そしてユーザグループＵＧに複数のロールを割り当てた場合、ユーザグループ管理テーブル６８におけるロール欄６８Ｂには、そのユーザグループＵＧに割り当てられたすべてのロールのロールＩＤがそれぞれ格納される。
【００７７】
従って、図１４の場合、例えば「UG01」というユーザグループＵＧに対しては、「ROLE7」というロールと、「RSG0001」、「RSG002」、「RSG004」及び「RSG005」というリソースグループＲＳＧとがそれぞれ割り当てられていることが示されている。
【００７８】
因みに、図１４において、「UG04」というユーザグループＵＧに対して割り当てられた「ROLE14」というロールは、図１２に規定されたすべての権限を含む権限であり、このユーザグループＵＧに割り当てられた「ALL_RSG」は、ストレージ装置３内に定義されたすべてのリソースグループＲＳＧを含む。従って、「UG04」というユーザグループＵＧに属するユーザは、ストレージ装置３内のすべての管理対象のリソースに対してすべての権限を有することになる。
【００７９】
他方、ユーザアカウント管理テーブル６９は、各ユーザがそれぞれ所属するユーザグループＵＧを管理するために用いられるテーブルであり、図１５に示すように、ユーザＩＤ欄６９Ａ及びユーザグループＩＤ欄６９Ｂから構成される。そしてユーザＩＤ欄６９Ａには、登録された各管理ユーザのユーザＩＤがそれぞれ格納され、ユーザグループＩＤ欄６９Ｂには、対応する管理ユーザが属するユーザグループＵＧのユーザグループＩＤが格納される。
【００８０】
従って、図１５の場合、「ST_ADMIN1」という管理ユーザは「UG01」というユーザグループＵＧに属していることが示されている。
【００８１】
なお、本実施の形態の場合、管理ユーザは複数のユーザグループＵＧに属することができるため、対応する管理ユーザが複数のユーザグループＵＧに所属している場合には、ユーザグループＩＤ欄６９Ｂには複数のユーザグループＩＤが格納されることになる。
【００８２】
デフォルトリソースグループＩＤ管理テーブル７０は、デフォルトで定義されているリソースグループ（以下、これをデフォルトリソースグループと呼ぶ）ＲＳＧを管理するために用いられるテーブルであり、図１６に示すように、デフォルトリソースグループＩＤ欄７０Ａ、デフォルトリソースグループ名欄７０Ｂ、リソースグループＩＤ欄７０Ｃ及び権限ビットマップ欄７０Ｄから構成される。
【００８３】
そしてデフォルトリソースグループＩＤ欄７０Ａには、対応するデフォルトリソースグループＲＳＧに対して付与された識別子（以下、これをデフォルトリソースグループＩＤと呼ぶ）が格納され、デフォルトリソースグループ名欄７０Ｂには、対応するデフォルトリソースグループＲＳＧに付与されているリソースグループ名が格納される。またリソースグループＩＤ欄７０Ａには、対応するデフォルトリソースグループＲＳＧのリソースグループＩＤが格納される。
【００８４】
さらに権限ビットマップ欄７０Ｄには、対応するデフォルトリソースグループＲＳＧを操作（作成、変更又は削除など）するために必要な権限を表すビットが「１」に設定された権限ビットマップが格納される。この権限ビットマップの各ビットは、それぞれそのビットアドレスに応じて図１２について上述した権限ビットマップ管理テーブル６６に登録されたいずれかの権限と対応する。例えば、ビットアドレスが「０」のビット（右端のビット）は「View user account information」という権限に対応し、ビットアドレスが「１」のビット（右端から２番目のビット）は「Setting user account information」という権限に対応し、ビットアドレスが「１７」のビットは（左端のビット）は「Setting Port Attribute」という権限に対応する。
【００８５】
従って、図１６の場合、ストレージ装置３には、それぞれデフォルトリソースグループＩＤが「D1」〜「D8」である「TARGET PORTs」、「HOST VISIBLE LDEV NUMBERS」、「SOURCE LDEV NUMBERS」、「INITIATOR PORTs」、「RCU TARGET PORTs」、「EXTERNAL PORTS」、「PARITY GROUPs」及び「EXTERNAL VOLUMEs」という８つのデフォルトリソースグループＲＳＧがデフォルトで定義されていることが示されている。また図１６の場合、例えば「TARGET PORTs」というデフォルトリソースグループＲＳＧを操作するためにはホストパスを設定するための権限である「Setting Host path」という権限が必要であることが示されている。
【００８６】
なお、権限ビットマップにおいて複数のビットが「１」に設定されている場合には、「１」に設定された各ビットにそれぞれ対応する権限のうちの１つの権限を有していれば、そのデフォルトリソースグループＲＳＧを操作することができる。従って、例えばプールを構成する論理デバイスの集合体である「SOURCE LDEV NUMBERS」というデフォルトリソースグループＲＳＧ（リソースグループＩＤは「RSG0003」）を操作するためには、権限ビットマップの右端から５番目のビットに対応する「View Resource Group information」という権限と、権限ビットマップの右端から７番目のビットに対応する「View Elements information」という権限と、権限ビットマップの右端から８番目のビットに対応する「Setting LDEV from PG/External Volume/Pool」という権限とのうちのいずれかの権限が必要であることが示されている。
【００８７】
さらにプログラムプロダクト管理テーブル７１は、ストレージ装置３に予めインストールされているプログラムの使用権限を管理するために用いられるテーブルであり、プログラムプロダクト欄７１Ａ、対象デフォルトリソースグループＩＤ欄７１Ｂ及びライセンスインストール欄７１Ｃから構成される。
【００８８】
そしてプログラムプロダクト欄７１Ａには、ベンダにより用意された各プログラムの名称が格納され、対象デフォルトリソースグループＩＤ欄７１Ｂには、対応するプログラムに基づく処理の対象となるデフォルトリソースグループＲＳＧのデフォルトリソースグループＩＤが格納される。
【００８９】
またライセンスインストール欄７１Ｃには、対応するプログラムを使用するライセンスがインストールされているか否かを表すフラグ（以下、これをライセンスインストールフラグと呼ぶ）が格納される。なお、かかるライセンスインストールフラグが「１」のときには、対応するライセンス（対応するプログラムプロダクトの使用権限を得ている）がインストールされ、ライセンスインストールフラグが「０」のときには、そのライセンスがインストールされていない（対応するプログラムの使用権限を得ていない）ことを表す。
【００９０】
従って、図１７の場合、「LUN Manager」というプログラムは「D1」及び「D2」というデフォルトリソースグループＲＳＧを操作するためのプログラムであり、このプログラムは既にインストールされている（ライセンスインストールフラグが「１」）であることを示している。
【００９１】
（１−３）本実施の形態によるアクセス制御方式に関する各種処理
次に、本実施の形態によるアクセス制御方式に関してストレージ装置３において実行される各種処理の流れについて説明する。なお、以下においては、各種処理の処理主体を「プログラム」として説明する場合があるが、実際上は、そのプログラムに基づいて、ストレージ装置３に設けられた複数のマイクロプロセッサパッケージ３３（図３）のうちの特定のマイクロプロセッサパッケージ３３に設けられたマイクロプロセッサ（以下、これをメインマイクロプロセッサと呼ぶ）４３、又は、管理端末３５のプロセッサ５０（図４）がその処理を実行することは言うまでもない。
【００９２】
（１−３−１）デフォルトリソースグループ作成処理
図１８は、ストレージ装置３の運用開始前の初期時又は運用開始後に、操作権限を有する管理ユーザがストレージ装置３の管理端末３５（図３）に接続した通信端末装置を操作してデフォルトリソースグループＲＳＧの作成を指示したときに、これに応じて管理端末３５のサーバプログラム５５（図４）からメインマイクロプロセッサ４３に与えられるデフォルトリソースグループ作成命令に基づいてリソースグループ管理プログラム６０（図３）により実行されるデフォルトリソースグループ作成処理の処理手順を示す。
【００９３】
本実施の形態の場合、ストレージ装置３の運用開始前の初期時には、いずれのデフォルトリソースグループＲＳＧにもリソースグループＩＤが付与されておらず、従って、デフォルトリソースグループＩＤ管理テーブル７０（図１６）のリソースグループＩＤ欄７０Ｃ（図１６）は空欄となっている。よって、この段階では、いずれのデフォルトリソースグループＲＳＧにもリソースが割り当てられておらず、これらデフォルトリソースグループＲＳＧは実体を有さない形式的なものとなっている。
【００９４】
このためリソースグループ管理プログラム６０は、管理端末３５のサーバプログラム５５からデフォルトリソースグループ作成命令が与えられると、必要なデフォルトリソースグループＲＳＧに対してリソースグループＩＤを付与すると共に、操作権限を有する管理ユーザにより指定されたリソースをそのデフォルトリソースグループＲＳＧに割り当てることにより、実体を有するデフォルトリソースグループＲＳＧを作成する。
【００９５】
実際上、リソースグループ管理プログラム６０は、管理端末３５からデフォルトリソースグループ作成命令が与えられると、このデフォルトリソースグループ作成処理を開始する。そしてリソースグループ管理プログラム６０は、まず、プログラムプロダクト管理テーブル７１（図１７）を参照して、ストレージ装置３にインストールされているプログラム（ライセンスインストール欄に「１」が格納されているプログラムプロダクト）の一覧を取得する（ＳＰ１）。
【００９６】
続いて、リソースグループ管理プログラム６０は、プログラムプロダクト管理テーブル７１（図１７）のエントリ（行）のうち、ステップＳＰ１において取得した一覧に掲載された各プログラムにそれぞれ対応するエントリの対象デフォルトリソースグループＩＤ欄７１Ｂに格納されているデフォルトリソースグループＩＤをすべて取得する（ＳＰ２）。
【００９７】
次いで、リソースグループ管理プログラム６０は、ステップＳＰ２において取得したデフォルトリソースグループＩＤが付与されたデフォルトリソースグループＲＳＧに対してリソースグループＩＤを付与することにより、そのデフォルトリソースグループＲＳＧを作成（有効化）する（ＳＰ３）。具体的に、リソースグループ管理プログラム６０は、デフォルトリソースグループＩＤ管理テーブル７０（図１６）のエントリのうち、ステップＳＰ２において取得したデフォルトリソースグループＩＤがそれぞれ付与された各デフォルトリソースグループＲＳＧにそれぞれ対応する各エントリのリソースグループＩＤ欄７０Ｃ（図１６）に、それぞれ異なる固有のリソースグループＩＤを格納する。
【００９８】
そしてリソースグループ管理プログラム６０は、この後、必要なデフォルトリソースグループＲＳＧの作成が完了したことを管理端末３５に通知する（ＳＰ４）。
【００９９】
この通知を受信した管理端末３５のサーバプログラム５５は、ステップＳＰ３において作成された各デフォルトリソースグループＲＳＧを構成するリソースを管理ユーザが指定するためのリソース指定画面（図示せず）を管理端末３５と接続された通信端末装置に表示させる。かくして操作権限を有する管理ユーザは、このリソース指定画面を用いて、ステップＳＰ３で作成した各デフォルトリソースグループＲＳＧについて、そのデフォルトリソースグループＲＳＧを構成する１又は複数のリソースをそれぞれ指定することができる。そして、このときの管理ユーザの操作内容がリソースグループ管理プログラム６０に通知される。
【０１００】
リソースグループ管理プログラム６０は、かかる通知を受信すると、上述のようにリソース指定画面上で指定された各リソースについて、これらリソースがそれぞれ対応するデフォルトリソースグループＲＳＧに属するようにリソースグループ構成管理テーブル６４（図１０）を更新する（ＳＰ５）。具体的に、リソースグループ管理プログラム６０は、リソースグループ構成管理テーブル６４におけるそのリソースに対応するエントリのリソースグループＩＤ欄６４Ｃに格納されているリソースグループＩＤを、対応するデフォルトリソースグループＲＳＧのリソースグループＩＤに書き換える。
【０１０１】
そしてリソースグループ管理プログラム６０は、この後、このデフォルトリソースグループ作成処理を終了する。
【０１０２】
（１−３−２）ユーザグループ作成処理
一方、図１９は、ストレージ装置３の運用開始前の初期時又は運用開始後に、操作権限を有する管理ユーザが、ストレージ装置３の管理端末３５（図３）に接続した通信端末装置を操作して新たなユーザグループＵＧの作成を指示したときに、これに応じて管理端末３５のサーバプログラム５５（図４）からメインマイクロプロセッサ４３に与えられるユーザグループ作成命令に基づいてアカウント管理プログラム６２（図３）により実行されるユーザグループ作成処理の処理手順を示す。アカウント管理プログラム６２は、この図１９に示す処理手順に従って、新たなユーザグループＵＧを作成する。
【０１０３】
すなわちストレージ装置３においては、操作権限を有する管理ユーザにより管理端末３５に接続された通信端末装置が操作されて、新たに作成しようとするユーザグループＵＧのグループ名（ユーザグループＩＤ）及び当該ユーザグループＵＧに割り当てるべきロールが指定され、この後、そのユーザグループＵＧの作成指令が入力されると、これに応じたユーザグループ作成命令がメインマイクロプロセッサ４３に与えられる。
【０１０４】
そしてアカウント管理プログラム６２は、このユーザグループ作成命令が与えられると、このユーザグループ作成処理を開始し、まず、ユーザグループ作成命令に含まれる新たなユーザグループＵＧのグループ名及びそのユーザグループＵＧに割り当てるべきロールを取得する（ＳＰ１０）。
【０１０５】
続いて、アカウント管理プログラム６２は、要求された新たなユーザグループＵＧを作成する（ＳＰ１１）。具体的に、アカウント管理プログラム６２は、ユーザグループ管理テーブル６８（図１４）に新たなエントリ（行）を追加し、そのエントリのユーザグループＩＤ欄６８Ａに新たなユーザグループＵＧに対して付与した当該ユーザグループＵＧに固有のユーザグループＩＤを格納する。
【０１０６】
次いで、アカウント管理プログラム６２は、ステップＳＰ１１において作成した新たなユーザグループＵＧにロールを割り当てる（ＳＰ１２）。具体的に、アカウント管理プログラム６２は、ステップＳＰ１１でユーザグループ管理テーブル６８に追加したエントリのロール欄６８Ｂ（図１４）に、ステップＳＰ１０において取得した、管理ユーザにより指定されたロールのロールＩＤを格納する。
【０１０７】
さらにアカウント管理プログラム６２は、この後、新たに作成したユーザグループＵＧについての権限ビットマップを「Ｐ１」として取得する（ＳＰ１３）。正確には、アカウント管理プログラム６２は、ステップＳＰ１２においてそのユーザグループＵＧに割り当てたロールの権限ビットマップを、ロール管理テーブル６７（図１３）から「Ｐ１」として取得する。
【０１０８】
続いて、アカウント管理プログラム６２は、デフォルトリソースグループＩＤ管理テーブル７０（図１６）に登録されているデフォルトリソースグループＲＳＧの中からリソースグループＩＤが付与された１つのデフォルトリソースグループＲＳＧを選択し（ＳＰ１４）、そのデフォルトリソースグループＲＳＧのリソースグループＩＤを「Ｄ」として取得する（ＳＰ１５）。
【０１０９】
またアカウント管理プログラム６２は、「Ｄ」というリソースグループＩＤが付与されたデフォルトリソースグループＲＳＧの権限ビットマップを、デフォルトリソースグループＩＤ管理テーブル７０から「Ｐ２」として取得する（ＳＰ１６）。
【０１１０】
さらに、アカウント管理プログラム６２は、ステップＳＰ１３において取得した「Ｐ１」という権限ビットマップと、ステップＳＰ１６において取得した「Ｐ２」という権限ビットマップとを比較し（ＳＰ１７）、「Ｐ１」という権限ビットマップのビットのうち、「Ｐ２」という権限ビットマップのうちの「１」に設定されているビットに対応するビットが「１」となっているか否かを判断する（ＳＰ１８）。
【０１１１】
アカウント管理プログラム６２は、この判断で否定結果を得るとステップＳＰ２０に進み、これに対して肯定結果を得ると、そのときステップＳＰ１４において選択したデフォルトリソースグループＲＳＧをその新たなユーザグループＵＧに割り当てる（ＳＰ１９）。具体的に、アカウント管理プログラム６２は、ステップＳＰ１１でユーザグループ管理テーブル６８（図１４）に追加したエントリのリソースグループ欄６８Ｃに、そのデフォルトリソースグループＲＳＧのリソースグループＩＤを格納する。
【０１１２】
なお、「Ｐ２」という権限ビットマップのうちの「１」に設定されているビットが複数ある場合（例えば図１６の「Ｄ２」や「Ｄ３」の権限ビットマップ）、これらのビットに対応する、「Ｐ１」という権限ビットマップのビットのうちの少なくとも１つが「１」に設定されていれば、アカウント管理プログラム６２はステップＳＰ１８において肯定結果を得ることとなる。
【０１１３】
続いて、アカウント管理プログラム６２は、デフォルトリソースグループＩＤ管理テーブル７０に登録され、かつリソースグループＩＤが付与されているすべてのデフォルトリソースグループＲＳＧについて同様の処理を実行し終えたか否かを判断し（ＳＰ２０）、否定結果を得るとステップＳＰ１４に戻る。
【０１１４】
そしてアカウント管理プログラム６２は、この後、ステップＳＰ１４において選択するデフォルトリソースグループＲＳＧを未処理の他のデフォルトリソースグループＲＳＧに順次切り替えながら、ステップＳ１４Ｐ〜ステップＳＰ２０の処理を繰り返す。これにより、新たなユーザグループＵＧに対して、当該ユーザグループＵＧに割り当てられたロールにより操作可能なすべてのデフォルトリソースグループＲＳＧ（ユーザグループＵＧに割り当てられた操作権限の範囲内で操作可能なすべてのデフォルトリソースグループＲＳＧ）が割り当てられることになる。
【０１１５】
そしてアカウント管理プログラム６２は、やがてデフォルトリソースグループＩＤ管理テーブル７０に登録され、かつリソースグループＩＤが付与されているすべてのデフォルトリソースグループＲＳＧについて同様の処理を実行し終えることにより、ステップＳＰ２０で肯定結果を得ると、このユーザグループ作成処理を終了する。
【０１１６】
（１−３−３）ログイン処理
一方、図２０Ａ及び図２０Ｂは、ストレージ装置３の運用開始後に管理ユーザが管理端末３５に接続した通信端末装置を操作してストレージ装置３にログインしようとしたときに管理端末３５のサーバプログラム５５及びストレージ装置３のアカウント管理プログラム６２によって実行されるログイン処理の流れを示す。サーバプログラム５５及びアカウント管理プログラム６２は、この図２０Ａ及び図２０Ｂに示す流れに従って、ユーザからのログイン要求を処理する。
【０１１７】
すなわちサーバプログラム５５は、管理ユーザが管理端末３５に接続した通信端末装置を操作してその管理ユーザのユーザＩＤ及びパスワード（ＰＷＤ）を入力してログインを要求すると、この図２０Ａ及び図２０Ｂに示すログイン処理を開始する。そしてサーバプログラム５５は、まず、そのときユーザが入力したユーザＩＤ及びパスワードを取得し（ＳＰ３０）、取得したユーザＩＤ及びパスワードをアカウント管理プログラム６２に送信する（ＳＰ３１）。
【０１１８】
アカウント管理プログラム６２は、このユーザＩＤ及びパスワードを受信すると（ＳＰ３２）、予め管理しているユーザごとのユーザＩＤ及びパスワードの組合せと、ステップＳＰ３２において受信したユーザＩＤ及びパスワードの組合せとを比較し、ステップＳＰ３２において受信したユーザＩＤ及びパスワードの組合せが正しいか否かを判断する（ＳＰ３３）。
【０１１９】
アカウント管理プログラム６２は、この判断で否定結果を得るとステップＳＰ３８に進み、これに対して肯定結果を得ると、そのログインに対するログインセッションＩＤを作成する（ＳＰ３４）。なお、本実施の形態の場合、このログインセッションＩＤとして通し番号を付与するものとする。また既に付与されたログインセッションＩＤに欠番がある場合には、その欠番を新たなログインに対するログインセッションＩＤとして使用するものとする。
【０１２０】
続いて、アカウント管理プログラム６２は、その管理ユーザが属するユーザグループＵＧをユーザアカウント管理テーブル６９（図１５）上で検索すると共に、そのユーザグループＵＧに割り当てられているリソースグループＲＳＧをユーザグループ管理テーブル６８（図１４）上で検索し、この検索結果に基づいて、その管理ユーザに対する割当てリソースグループＩＤビットマップ（図１１の割当てリソースグループＩＤビットマップ欄６５Ｆを参照）を作成する（ＳＰ３５）。
【０１２１】
次いで、アカウント管理プログラム６２は、かかる管理ユーザが属するユーザグループＵＧに割り当てられているロールをユーザグループ管理テーブル６８上で検索し、この検索結果に基づき、ロール管理テーブル６７（図１３）を参照して、そのユーザグループＵＧに割り当てられているロールを検索する（ＳＰ３６）。
【０１２２】
そしてアカウント管理プログラム６２は、ステップＳＰ３３〜ステップＳＰ３６の処理結果に基づいて、そのときのログインに対する新たなエントリをセッション管理テーブル６５（図１１）に追加登録する（ＳＰ３７）。
【０１２３】
具体的にアカウント管理プログラム６２は、セッション管理テーブル６５上に新たなエントリ（行）を確保し、そのエントリのセッションＩＤ欄６５Ａ、ユーザＩＤ欄６５Ｂ、ホスト名／ＩＰアドレス欄６５Ｃ及びログイン時間欄６５Ｄに、それぞれステップＳＰ３４において作成したログインセッションＩＤ、ステップＳＰ３２において受信したユーザＩＤ、ステップＳＰ３２においてユーザＩＤ等を受信する際に得られた当該ユーザＩＤ等の送信元のホスト計算機２のＩＰアドレス、及び、ステップＳＰ３２においてユーザＩＤ等を受信した時刻でなるログイン時間をそれぞれ格納する。
【０１２４】
またアカウント管理プログラム６２は、そのエントリの割当てロール欄６５Ｅに、ステップＳＰ３６の検索により検出したすべてのロールのロールＩＤを格納すると共に、そのエントリの割当てリソースグループＩＤビットマップ欄６５Ｆに、ステップＳＰ３５において作成した割当てリソースグループＩＤビットマップを格納する。
【０１２５】
続いて、アカウント管理プログラム６２は、そのときのログインが成功したか否かを表すログイン結果メッセージを作成し（ＳＰ３８）、作成したログイン結果メッセージを管理端末３５に接続された通信端末装置に送信した後（ＳＰ３９）、このログイン処理を終了する。
【０１２６】
なお、かかるログイン結果メッセージは、ログインセッションＩＤを含んでおり、ステップＳＰ３３の認証処理においてその管理ユーザが認証されたとき（ログインが成功したとき）には、ログインセッションＩＤとしてステップＳＰ３４において作成されたログインセッションＩＤがログイン結果メッセージに格納され、かかる認証処理においてその管理ユーザが認証されなかったときに（ログインが失敗したとき）には、ログインセッションＩＤとして「Null」が格納される。
【０１２７】
一方、サーバプログラム５５は、アカウント管理プログラム６２から送信された上述のログイン結果メッセージを受信すると（ＳＰ４０）、そのログイン結果メッセージに含まれるログインセッションＩＤを抽出し、そのログインセッションＩＤが「Null」であるか否かを判断する（ＳＰ４１）。
【０１２８】
そしてサーバプログラム５５は、この判断で肯定結果を得ると、ログインが失敗した旨のログインメッセージを作成し（ＳＰ４２）、作成したログインメッセージを管理端末３５に接続された通信端末装置に表示させる（ＳＰ４５）。そしてサーバプログラム５５は、この後、このログイン処理を終了する。
【０１２９】
これに対してサーバプログラム５５は、ステップＳＰ４１の判断で否定結果を得ると、ログイン結果メッセージから抽出したログインセッションＩＤを記憶する（ＳＰ４３）。またサーバプログラム５５は、ログインが成功した旨のログインメッセージを作成し（ＳＰ４４）、作成したログインメッセージが表示された後に（ＳＰ４５）、このログイン処理を終了する。
【０１３０】
（１−３−４）リクエスト受付け処理
他方、図２１Ａ〜図２１Ｃは、ログインした管理ユーザがストレージ装置３の管理端末３５に接続された通信端末装置を操作してリソースに対する何らかの管理操作を指示したときに管理端末３５のサーバプログラム５５及びメインマイクロプロセッサ４３により実行されるリクエスト受付け処理の流れを示す。
【０１３１】
このリクエスト受付け処理は、実行権限チェック処理ＰＲ１、リソースグループアクセスチェック処理ＰＲ２、排他制御実行処理ＰＲ３、コミット処理ＰＲ４、排他制御解除処理ＰＲ５及び戻り値フィルタリング処理ＰＲ６から構成されるもので、サーバプログラム５５及びメインマイクロプロセッサ４３は、これら図２１Ａ〜図２１Ｃに示す流れに従って、管理ユーザからのリクエストを処理する。
【０１３２】
すなわちサーバプログラム５５は、管理ユーザが、管理端末３５に接続した通信端末装置を操作して入力したリソースに対する何らかの管理操作の実行要求（リクエスト）を受けると（ＳＰ５０）、その管理ユーザがそのリクエストにおいて指定している管理操作を実行する権限を有するか否かを判断する（ＳＰ５１）。
【０１３３】
具体的に、サーバプログラム５５は、このステップＳＰ５１において、管理端末３５のメモリ５１（図４）に格納されているセッション管理テーブル５６（図１１参照）における対応するエントリの割当てロールＩＤ欄６５Ｅからその管理ユーザに割り当てられているロールを取得すると共に、ロール管理テーブル６７（図１３）及び権限ビットマップ管理テーブル６６（図１２）を参照して、その管理ユーザに与えられている権限を検出する。またサーバプログラム５５は、管理ユーザが要求している操作をステップＳＰ５０において取得したリクエストから抽出し、この操作が上述のようにして検出したその管理ユーザに与えられた権限に含まれるか否かを判断する。
【０１３４】
サーバプログラム５５は、この判断で否定結果を得ると、要求する操作を実行する権限をその管理ユーザが有しない旨のエラーメッセージを管理端末３５に接続された通信端末装置に表示させ、この後、このリクエスト受付け処理を終了する。
【０１３５】
これに対してサーバプログラム５５は、ステップＳＰ５１の判断で肯定結果を得ると、リクエストから操作対象のリソースのリソースＩＤを抽出する（ＳＰ５２）。この際、リソースグループ機能が対象とするリソースの集合体で示されているリソースがリクエストに含まれている場合、当該リソースを形成するリソースグループ機能が対象とするリソースをすべて抽出する。次に、サーバプログラム５５は何らかのリソースのリソースＩＤを抽出できたか否かを判断する（ＳＰ５３）。
【０１３６】
そしてサーバプログラム５５は、この判断で否定結果を得るとステップＳＰ６６に進み、これに対して肯定結果を得ると、そのリソースが属するリソースグループＲＳＧのリソースグループＩＤを通知するようメインマイクロプロセッサ４３に要求（以下、この要求をリソースグループＩＤ通知要求と呼ぶ）する（ＳＰ５４）。
【０１３７】
またメインマイクロプロセッサ４３は、このリソースグループＩＤ通知要求を受信すると（ＳＰ５５）、リソースグループ構成管理テーブル６４（図１０）を参照して、そのリソースが属するリソースグループＲＳＧのリソースグループＩＤを検出し、検出したリソースグループＩＤをサーバプログラム５５に送信する（ＳＰ５６）。
【０１３８】
サーバプログラム５５は、このリソースグループＩＤを受信すると（ＳＰ５７）、セッション管理テーブル６５における対応するエントリの割当てリソースグループＩＤビットマップ欄６５Ｆに格納されている割当てリソースグループＩＤビットマップを参照して、かかるリソースグループＩＤのリソースグループＲＳＧにアクセスする権限がその管理ユーザにあるか否かを判断する（ＳＰ５８）。
【０１３９】
そしてサーバプログラム５５は、この判断で否定結果を得ると、その管理ユーザにはそのリソースグループＲＳＧにアクセスする権限がない旨の所定のエラーメッセージを管理端末３５に接続された通信端末装置に表示させ、この後、このリクエスト受付け処理を終了する。
【０１４０】
これに対してサーバプログラム５５は、ステップＳＰ５８の判断で肯定結果を得ると、所定フォーマットの排他制御実行要求を作成し（ＳＰ５９）、作成した排他制御実行要求をメインマイクロプロセッサ４３に送信する（ＳＰ６０）。
【０１４１】
また、メインマイクロプロセッサ４３は、この排他制御実行要求を受信すると（ＳＰ６１）、ステップＳＰ５６において取得したリソースグループＩＤが付与されたリソースグループＲＳＧについて、ステップＳＰ５１において実行権限を有すると判定されたその管理ユーザのログインセッションＩＤをオーナとしてロックする排他制御処理を実行する（ＳＰ６２）。かくして、メインマイクロプロセッサ４３は、この後、そのリソースグループＲＳＧに属するリソースを対象とする他の管理ユーザからのリクエストを受信した場合には、そのリクエストを拒否することになる。
【０１４２】
この後、メインマイクロプロセッサ４３は、ステップＳＰ６２において実行した上述の排他制御処理の処理結果をサーバプログラム５５に通知する（ＳＰ６３）。
【０１４３】
一方、サーバプログラム５５は、この通知を受信すると（ＳＰ６４）、ステップＳＰ６２の排他制御処理が正常終了したか否かを判断する（ＳＰ６５）。そしてサーバプログラム５５は、この判断で否定結果を得ると、その排他制御処理が正常終了しなかった旨の所定のエラーメッセージを管理端末３５に接続された通信端末装置に表示させ、この後、このリクエスト受付け処理を終了する。
【０１４４】
これに対してサーバプログラム５５は、ステップＳＰ６５の判断で肯定結果を得ると、ステップＳＰ５０において受信したリクエストをメインマイクロプロセッサ４３に送信する（ＳＰ６６）。
【０１４５】
またメインマイクロプロセッサ４３は、このリクエストを受信すると（ＳＰ６７）、当該リクエストに応じた制御処理を実行し（ＳＰ６８）、その制御処理の実行結果をサーバプログラム５５に通知する（ＳＰ６９）。
【０１４６】
そしてサーバプログラム５５は、この通知によりかかる制御処理の実行結果を取得すると（ＳＰ７０）、ステップＳＰ６０においてメインマイクロプロセッサ４３に送信した排他制御要求の対象としたリソースグループＲＳＧに対するロック（排他制御）を解除することを要求する排他制御解除要求をメインマイクロプロセッサ４３に送信する（ＳＰ７１）。
【０１４７】
またメインマイクロプロセッサ４３は、この排他制御解除要求を受信すると（ＳＰ７２）、ステップＳＰ６２においてロック状態にしたリソースグループＲＳＧに対するロックを解除する排他制御解除処理を実行し（ＳＰ７３）、当該排他制御解除処理の処理結果をサーバプログラム５５に通知する（ＳＰ７４）。
【０１４８】
サーバプログラム５５は、この排他制御解除処理の処理結果を受信すると（ＳＰ７５）、戻り値に含まれるリソースのリソースＩＤを抽出すると共に（ＳＰ７６）、このときいずれかのリソースのリソースＩＤを抽出し得たか否かを判断する（ＳＰ７７）。なお、このステップＳＰ７７は、戻り値にリソースグループ機能が対象とするリソースが含まれている場合、アクセスチェック（フィルタリング）を行う必要があるため、かかるフィルタリングを行うべきか否かを判断するための処理である。
【０１４９】
サーバプログラム５５は、この判断において否定結果を得ると、このリクエスト受付け処理を終了し、これに対して肯定結果を得ると、ステップＳＰ７６において戻り値から抽出したリソースＩＤが属するリソースグループＲＳＧのリソースグループＩＤを通知すべき旨の要求（以下、これをリソースグループＩＤ通知要求と呼ぶ）をメインマイクロプロセッサ４３に送信する（ＳＰ７８）。
【０１５０】
メインマイクロプロセッサ４３は、このリソースグループＩＤ通知要求を受信すると（ＳＰ７９）、かかるリソースが属するリソースグループＲＳＧのリソースグループＩＤをリソースグループ構成管理テーブル６４（図１０）上で検索し、かくして得られたそのリソースグループＩＤをサーバプログラム５５に通知する（ＳＰ８０）。
【０１５１】
サーバプログラム５５は、この通知によりかかるリソースグループＩＤを取得すると（ＳＰ８１）、セッション管理テーブル５６（図４）の割当てリソースグループＩＤビットマップ欄６５Ｆ（図１１）を参照して、そのリソースグループＩＤが付与されたリソースグループＲＳＧに対する操作権限をその管理ユーザが有しているか否かを判断する（ＳＰ８２）。
【０１５２】
そしてサーバプログラム５５は、この判断において否定結果を得ると、対応するリソースに関する情報を管理端末３５に表示させず（ＳＰ８３）、これに対して肯定結果を得ると、そのリソースを所定の表示リスト（図示せず）に追加し、その管理ユーザが指定した管理操作の処理結果を、表示リストに登録されているリソースについてのみ管理端末３５に表示させる（ＳＰ８５）。
【０１５３】
そしてサーバプログラム５５は、この後、このリクエスト受付け処理を終了する。
【０１５４】
（１−４）本実施の形態の効果
以上のように本実施の形態の計算機システム１では、同一種別の１又は複数のリソースによりリソースグループＲＳＧを形成し、ユーザグループＵＧごとに、そのユーザグループＵＧに割り当てられたロールにより操作可能なリソースグループＲＳＧのみを割り当てるようにしているため、排他制御の範囲を過不足なく設定することができる。
【０１５５】
これにより管理ユーザ間の操作干渉を低減させながら、各リソースに対する管理操作の並列処理を可能することができるため、ストレージ装置３の利便性及び使い勝手を格段的に向上させることができる。
【０１５６】
（２）第２の実施の形態
（２−１）本実施の形態による計算機システムの構成
図１において、８０は全体として第２の実施の形態による計算機システムを示す。この計算機システム８０では、図２２に示すように、デフォルトリソースグループＲＳＧのリソースの一部又は全部を、新たに作成した形式的なリソースグループ（リソースグループＩＤは付与されているが、属するリソースが存在しないリソースグループ）ＲＳＧに移動させることによって実体を有する通常のリソースグループＲＳＧを形成することができる。
【０１５７】
そして本計算機システム８０は、複数のリソースグループＲＳＧをまとめて１つのグループＧＰ（ＧＰ１，ＧＰ２，……）として管理し、管理ユーザに対して、当該管理ユーザについて指定されたグループＧＰに属するリソースグループＲＳＧのみを割り当て得るようになされている点を特徴の１つとしている。
【０１５８】
すなわち第１の実施の形態による計算機システム１では、ストレージ装置３内に定義されたリソースグループＲＳＧをユーザグループＵＧに割り当てる際、そのユーザグループＵＧに割り当てられたロールにより操作可能なすべてのリソースグループＲＳＧが割り当てられる。このため、例えば、ストレージ装置８１複数の組織（会社や部署など）で共有している場合に、各組織の管理ユーザが自己の組織に割り当てられていないリソース（リソースグループＲＳＧ）についても管理操作することができることになる。
【０１５９】
そこで、第２の実施の形態による計算機システム８０では、管理ユーザに対して、当該管理ユーザについて指定されたグループＧＰに属するリソースグループＲＳＧのみを割り当て得るようにすることで、ストレージ装置８１が複数の組織で共有されている場合にも、各組織の管理ユーザが自己の組織に割り当てられているリソースのみについて管理操作できるようにしている。なお、本実施の形態による計算機システム８０は、このような特徴的な構成以外の部分の構成は、第１の実施の形態による計算機システム１と同様である。
【０１６０】
このような本実施の形態による特徴的な構成を実現するための手段として、本計算機システム８０の場合、ストレージ装置８１の制御情報用メモリ４７（図３）には、図９について上述したリソースグループＩＤ管理テーブル６３に代えて、図２３に示すリソースグループＩＤ管理テーブル９０が格納されている。
【０１６１】
このリソースグループＩＤ管理テーブル９０は、操作権限を有する管理ユーザにより作成されたリソースグループＲＳＧを管理するために用いられるテーブルであり、図２３に示すように、リソースグループＩＤ欄９０Ａ、リソースグループ名欄９０Ｂ、権限ビットマップ欄９０Ｃ及びグループ名欄９０Ｄから構成される。
【０１６２】
そしてリソースグループＩＤ欄９０Ａ、リソースグループ名欄９０Ｂ及び権限ビットマップ欄９０Ｃには、それぞれ図９について上述した第１の実施の形態によるリソースグループＩＤ管理テーブル６３のリソースグループＩＤ欄６３Ａ（図９）、リソースグループ名欄６３Ｂ（図９）及び権限ビットマップ欄６３Ｃ（図９）にそれぞれ格納される情報と同じ情報が格納される。またグループ名欄９０Ｄには、対応するリソースグループＲＳＧが属するグループＧＰのグループ名が格納される。
【０１６３】
従って、図２３では、リソースグループＩＤが「0000」〜「0003」の「GRAND」、「TARGET PORTS」、「HOST VISIBLE LDEV NUMBERS」及び「INITIATOR PORTS」というリソースグループＲＳＧは、いずれも「G1」というグループ名のグループＧＰに属しており、リソースグループＩＤが「0004」〜「0006」の「TARGET PORTS (SLPR1)」、「HOST VISIBLE LDEV NUMBERS (SLPR1)」及び「INITIATOR PORTS (SLPR1)」というリソースグループＲＳＧは、いずれも「G2」というグループ名のグループＧＰに属していることが示されている。
【０１６４】
（２−２）リソースグループ作成処理
図２４は、操作権限を有する管理ユーザの操作に応じて管理端末３５から発行されたリソースグループ作成命令を受信したストレージ装置８１のリソースグループ管理プログラム９１（図８）により実行されるリソースグループ作成処理の処理手順を示す。
【０１６５】
管理ユーザは、新たなリソースグループＲＳＧを作成する場合、ストレージ装置８１の管理端末３５を操作して所定のＧＵＩ画面（以下、これをリソースグループ作成画面と呼ぶ）を表示させ、そのリソースグループ作成画面を用いて、そのとき作成しようとする新たなリソースグループＲＳＧのリソースグループ名と、そのリソースグループＲＳＧが所属するグループＧＰとを指定する。
【０１６６】
そして、このとき管理ユーザにより指定された新たなリソースグループＲＳＧのリソースグループ名と、当該リソースグループＲＳＧが所属するグループＧＰのグループＩＤとが、形式的な新たなリソースグループＲＳＧを作成すべき旨のコマンドと共に上述のリソースグループ作成命令としてリソースグループ管理プログラム９１に送信される。
【０１６７】
リソースグループ管理プログラム９１は、かかるリソースグループ作成命令を受信すると、このリソースグループ作成処理を開始し、まず、リソースグループＩＤ管理テーブル９０上の未使用のエントリを１つ確保し、そのエントリのリソースグループ名欄９０Ｂに管理ユーザにより指定されたリソースグループ名を格納することにより、新たなリソースグループＲＳＧを作成する（ＳＰ９０）。
【０１６８】
続いて、リソースグループ管理プログラム９１は、リソースグループ作成命令に含まれるグループ名をリソースグループＩＤ管理テーブル９０のグループ名欄９０Ｄに格納し（ＳＰ９１）、この後、このリソースグループ作成処理を終了する。
【０１６９】
（２−２）デフォルトリソースグループ分割処理
図２５は、グループ設定機能に関連してリソースグループ管理プログラム９１により実行されるデフォルトリソースグループ分割処理の処理手順を示す。
【０１７０】
本実施の形態による計算機システム８０の場合、操作権限を有する管理ユーザは、ストレージ装置８１の管理端末３５を用いて、どのデフォルトリソースグループＲＳＧのどのリソースをどのリソースグループＲＳＧに移動させるかを指定することができ、かかるリソースの移動を指示することができる。この機能により、デフォルトリソースグループＲＳＧに属するリソースを新たに作成された形式的なリソースグループＲＳＧに移動させることにより、結果的にデフォルトリソースグループＲＳＧを分割することができる。
【０１７１】
そしてリソースグループ管理プログラム９１は、かかる管理ユーザによる上述の操作が行われると、この図２５に示すデフォルトリソースグループ分割処理を開始し、まず、管理ユーザにより移動対象として指定されたリソースを選択する（ＳＰ１００）。
【０１７２】
続いて、リソースグループ管理プログラム９１は、ステップＳＰ１００において選択したリソースが所属しているデフォルトリソースグループＲＳＧの権限ビットマップを、デフォルトリソースグループＩＤ管理テーブル７０（図１６）から外部パターンとして読み出す（ＳＰ１０１）。
【０１７３】
続いて、リソースグループ管理プログラム９１は、リソースの移動先として管理ユーザにより指定されたリソースグループＲＳＧのリソースグループＩＤを管理端末３５から取得し（ＳＰ１０２）、この後、移動対象のリソースを現在の所属先のリソースグループＲＳＧから、ステップＳＰ１０２においてリソースグループＩＤを取得したリソースグループＲＳＧに移動させる（ＳＰ１０３）。
【０１７４】
具体的に、リソースグループ管理プログラム９１は、ステップＳＰ１０３において、リソースグループ構成管理テーブル６４（図１０）における移動対象のリソースに対応するリソースグループＩＤ欄６４Ｃ（図１０）に格納されているリソースグループＩＤを、移動先のリソースグループＲＳＧのリソースグループＩＤに書き換える処理を実行する。
【０１７５】
次いで、リソースグループ管理プログラム９１は、ステップＳＰ１０１において外部パターンとして取得した移動元のデフォルトリソースグループＲＳＧに設定されていた権限ビットマップを、リソースグループＩＤ管理テーブル９０（図２３）おける、リソースの移行先のリソースグループＲＳＧに対応するエントリの権限ビットマップ欄９０Ｃにコピーする（ＳＰ１０４）。これにより、リソースがそれまで属していたデフォルトリソースグループＲＳＧに設定されていた、そのデフォルトリソースグループＲＳＧに属するリソースを操作するのに必要となる権限が移動先のリソースグループＲＳＧに継承される。
【０１７６】
そしてリソースグループ管理プログラム９１は、この後、このデフォルトリソースグループ分割処理を終了する。
【０１７７】
（２−３）ユーザグループ作成処理
図２６は、第２の実施の形態によるユーザグループ作成処理の処理手順を示す。本実施の形態によるアカウント管理プログラム９２（図３）は、ストレージ装置８１の運用開始前の初期時又は運用開始後に、ストレージ装置８１の管理端末３５が操作されて新たなユーザグループＵＧの作成が指示されると、この図２６に示す処理手順に従って、新たなユーザグループＵＧを作成する。
【０１７８】
すなわちストレージ装置８１においては、操作権限を有する管理ユーザにより管理端末３５が操作されて、新たに作成しようとするユーザグループＵＧのグループ名（ユーザグループＩＤ）と、当該ユーザグループＵＧに割り当てるべきロールと、そのユーザグループＵＧに関連付けるグループ（リソースグループＲＳＧのグループ）ＧＰのグループ名とが指定され、この後、そのユーザグループＵＧの作成命令が入力されると、これに応じたユーザグループ作成命令が管理端末３５からアカウント管理プログラム９２に与えられる。
【０１７９】
そしてアカウント管理プログラム９２は、このユーザグループ作成命令が与えられると、このユーザグループ作成処理を開始し、まず、ユーザグループ作成命令に含まれる新たなユーザグループＵＧのグループ名及びそのユーザグループＵＧに割り当てるべきロールを取得する（ＳＰ１１０）。
【０１８０】
続いて、アカウント管理プログラム９２は、図１９について上述した第１の実施の形態によるユーザグループ作成処理のステップＳＰ１１及びステップＳＰ１２と同様に、要求された新たなユーザグループＵＧを作成し（ＳＰ１１１）、この後、そのユーザグループＵＧにロールを割り当てる（ＳＰ１１２）。
【０１８１】
次いで、アカウント管理プログラム９２は、新たに作成したユーザグループＵＧについての権限ビットマップを「Ｐ１」として取得する（ＳＰ１１３）。正確には、アカウント管理プログラム９２は、ステップＳＰ１１２においてそのユーザグループＵＧに割り当てたロールについての権限ビットマップを、ロール管理テーブル６７（図１３）から「Ｐ１」として取得する。
【０１８２】
続いて、アカウント管理プログラム９２は、リソースグループＩＤ管理テーブル９０（図２３）に登録されているリソースグループＲＳＧの中から１つのリソースグループＲＳＧを選択し（ＳＰ１１４）、そのリソースグループＲＳＧのリソースグループＩＤを「Ｄ」として取得する（ＳＰ１１５）。
【０１８３】
次いで、アカウント管理プログラム９２は、ステップＳＰ１１４において選択したリソースグループＲＳＧが属するグループＧＰのグループ名をリソースグループＩＤ管理テーブル９０（図２３）から読み出し、このグループ名が、ステップＳＰ１１０において取得したグループ名と同じであるか否かを判断する（ＳＰ１１６）。
【０１８４】
アカウント管理プログラム９２は、この判断で否定結果を得るとステップＳＰ１２１に進み、これに対して肯定結果を得ると、ステップＳＰ１１７〜ステップＳＰ１２０を図１９について上述した第１の実施の形態によるユーザグループ作成処理のステップＳＰ１６〜ステップＳＰ１９と同様に処理する。
【０１８５】
またアカウント管理プログラム９２は、この後、リソースグループＩＤ管理テーブル９０に登録され、かつリソースグループＩＤが付与されているすべてのリソースグループＲＳＧについて同様の処理を実行し終えたか否かを判断し（ＳＰ１２１）、否定結果を得るとステップＳＰ１１４に戻る。
【０１８６】
そしてアカウント管理プログラム９２は、この後、ステップＳＰ１１４において選択するリソースグループＲＳＧを未処理の他のリソースグループＲＳＧに順次切り替えながら、ステップＳ１１４Ｐ〜ステップＳＰ１２１の処理を繰り返す。これにより、新たなユーザグループＵＧに対して、管理ユーザから指定されたグループＧＰに属するリソースグループＲＳＧのうちの当該ユーザグループＵＧに割り当てられたロールにより操作可能なすべてのリソースグループＲＳＧが割り当てられることになる。
【０１８７】
そしてアカウント管理プログラム９２は、やがてリソースグループＩＤ管理テーブル９０に登録されているすべてのリソースグループＲＳＧについて同様の処理を実行し終えることにより、ステップＳＰ１２１で肯定結果を得ると、このユーザグループ作成処理を終了する。
【０１８８】
（２−４）本実施の形態の効果
以上のように本実施の形態による計算機システム８０では、リソースグループＲＳＧをグループ化して管理し、ユーザグループＵＧに対して、当該ユーザグループＵＧについて指定されたグループＧＰに属するリソースグループＲＳＧのうちの当該ユーザグループＵＧに割り当てられたロールにより操作可能なすべてのリソースグループＲＳＧを割り当てるようにしているため、ユーザグループＵＧに対して限定された範囲内のリソースグループＲＳＧのみを割り当てるようにすることができる。
【０１８９】
従って、ストレージ装置８１が複数の組織で共有されている場合に、各組織の管理ユーザが自己の組織に割り当てられているリソースのみについて管理操作できるようにすることができる。
【０１９０】
かくするにつき、本実施の形態による計算機システム８０によれば、第１の実施の形態により得られる効果に加えて、計算機システム８０のセキュリティを向上させることができるという効果をも得ることができる。
【０１９１】
（３）他の実施の形態
なお上述の第１及び第２の実施の形態においては、本発明を図３のように構成されたストレージ装置に適用するようにした場合について述べたが、本発明はこれに限らず、この他種々の構成のストレージ装置に広く適用することができる。
【０１９２】
また上述の第１及び第２の実施の形態においては、リソースグループＲＳＧにグルーピングするグルーピング対象のリソースとして論理デバイス番号、パリティグループ、外部ボリューム、ポート及びホストグループの５種類とするようにした場合について述べたが、本発明はこれに限らず、これら以外のリソースをグルーピング対象とするようにしても良い。
【０１９３】
さらに上述の第２の実施の形態においては、デフォルトリソースグループＲＳＧを分割することにより新たなリソースグループＲＳＧを作成するようにした場合について述べたが、本発明はこれに限らず、デフォルトリソースグループＲＳＧ以外のリソースグループＲＳＧを分割して新たなリソースグループを作成できるようにしても良い。
【０１９４】
さらに上述の第１の実施の形態においては、ユーザグループＵＧを作成する際、その新たなユーザグループＵＧに割り当てられた操作権限の範囲内で操作可能なすべてのデフォルトリソースグループＲＳＧを割り当てるようにした場合について述べたが（図１９参照）、本発明はこれに限らず、デフォルトリソースグループＲＳＧだけでなく、新たなユーザグループＵＧに割り当てられた操作権限の範囲内で操作可能なすべてのリソースグループＲＳＧを割り当てるようにしても良い。
【産業上の利用可能性】
【０１９５】
本発明は、マルチテナンシ型の管理方式が採用されたストレージ装置に広く適用することができる。
【符号の説明】
【０１９６】
１，８０……計算機システム、２……ホスト計算機、３，８１……ストレージ装置、３５……管理端末、４３……マイクロプロセッサ、４７……制御情報用メモリ、５０，９１……リソースグループ管理プログラム、５５……サーバプログラム、５６，６５……セッション管理テーブル，６１，９１……リソースグループコントロールプログラム、６２，９２……アカウント管理プログラム、６３，９０……リソースグループＩＤ管理テーブル、６４……リソースグループ構成管理テーブル、６６……権限ビットマップ管理テーブル、６７……ロール管理テーブル、６８……ユーザグループ管理テーブル、６９……ユーザアカウント管理テーブル、７０……デフォルトリソースグループＩＤ管理テーブル、７１……プログラムプロダクト管理テーブル、ＲＳＧ……リソースグループ、ＵＧ……ユーザグループ。
【図１】
2013535721.tif 000003
【図２】
2013535721.tif 000004
【図３】
2013535721.tif 000005
【図４】
2013535721.tif 000006
【図５】
2013535721.tif 000007
【図６】
2013535721.tif 000008
【図７】
2013535721.tif 000009
【図８】
2013535721.tif 000010
【図９】
2013535721.tif 000011
【図１０】
2013535721.tif 000012
【図１１】
2013535721.tif 000013
【図１２】
2013535721.tif 000014
【図１３】
2013535721.tif 000015
【図１４】
2013535721.tif 000016
【図１５】
2013535721.tif 000017
【図１６】
2013535721.tif 000018
【図１７】
2013535721.tif 000019
【図１８】
2013535721.tif 000020
【図１９】
2013535721.tif 000021
【図２０Ａ】
2013535721.tif 000022
【図２０Ｂ】
2013535721.tif 000023
【図２１Ａ】
2013535721.tif 000024
【図２１Ｂ】
2013535721.tif 000025
【図２１Ｃ】
2013535721.tif 000026
【図２２】
2013535721.tif 000027
【図２３】
2013535721.tif 000028
【図２４】
2013535721.tif 000029
【図２５】
2013535721.tif 000030
【図２６】
2013535721.tif 000031
【国際調査報告】
2013535721.tif 000032
2013535721.tif 000033
2013535721.tif 000034