(57)【特許請求の範囲】
【請求項１】
制御装置から設定された処理規則に従って、ユーザの端末から送信されたパケットを処理する転送ノードと、
通信ポリシを管理し、認証に成功したユーザに対応する通信ポリシを前記制御装置に通知するポリシ管理装置と、
前記ポリシ管理装置からの通知に基づいて、前記ユーザの端末からパケットを受信する転送ノードに、前記ユーザの端末から送信されたパケットについての処理規則の設定要求を行わせる第１の処理規則を設定する設定要求送信許可部と、
前記第１の処理規則が設定された転送ノードから前記設定要求を受信した場合、前記通信ポリシに従って前記ユーザの端末とアクセス先までの経路を決定し、該経路上の転送ノードに、前記経路に対応する第２の処理規則を設定する経路制御部と、を備える制御装置と、
を含む通信システム。
【請求項２】
前記通信ポリシは、処理規則の設定要求を許可するパケットを特定するための前記第１の処理規則の照合規則の作成ポリシを含み、
前記設定要求送信許可部は、前記通信ポリシを参照して、前記ユーザの端末から前記照合規則に適合するパケットを受信した場合に前記制御装置に対する処理規則の設定要求を行わせる第１の処理規則を設定する請求項１の通信システム。
【請求項３】
前記通信ポリシは、前記ユーザがアクセス可能なリソースまたは前記ユーザがアクセス不可能なリソースの情報を含み、
前記経路制御部は、前記転送ノードから受信した処理規則の設定要求に係るパケットの宛先が、前記ユーザがアクセス可能な宛先である場合に、前記第２の処理規則を設定する請求項１または２の通信システム。
【請求項４】
前記ポリシ管理装置は、さらに、前記制御装置に対し、認証に失敗したユーザが検出されたことを通知し、
前記制御装置は、前記通知に基づいて、所定の転送ノードに、前記ユーザからのパケットの所定の認証装置への転送を抑止する処理規則を設定する請求項１から３いずれか一の通信システム。
【請求項５】
前記制御装置に対し、前記通信ポリシとして、予め定めた認証装置のすべてとのユーザ認証手続が完了しているか否かを通知し、
前記制御装置は、前記ポリシ管理装置から受信した通信ポリシが、予め定めた認証装置のすべてとのユーザ認証手続が完了していないことを示す場合、所定の転送ノードに、前記ユーザと所定の認証装置とのユーザ認証手続を開始させる処理規則を設定する請求項１から４いずれか一の通信システム。
【請求項６】
前記通信ポリシは、前記第１の処理規則の設定対象の転送ノードを求めるための情報を含み、
前記設定要求送信許可部は、前記通信ポリシを参照して、複数の転送ノードに前記第１の処理規則を設定する請求項１から５いずれか一の通信システム。
【請求項７】
制御装置から設定された処理規則に従って、ユーザの端末から送信されたパケットを処理する転送ノードと、
通信ポリシを管理し、認証に成功したユーザに対応する通信ポリシを前記制御装置に通知するポリシ管理装置と、接続され、
前記ポリシ管理装置からの通知に基づいて、前記ユーザの端末からパケットを受信する転送ノードに、前記ユーザの端末から送信されたパケットについての処理規則の設定要求を行わせる第１の処理規則を設定する設定要求送信許可部と、
前記第１の処理規則が設定された転送ノードから前記設定要求を受信した場合、前記通信ポリシに従って前記ユーザの端末とアクセス先までの経路を決定し、該経路上の転送ノードに、前記経路に対応する第２の処理規則を設定する経路制御部と、を備える制御装置。
【請求項８】
前記通信ポリシは、前記第１の処理規則の規定された処理内容を適用するパケットを特定するための照合規則の作成ポリシを含み、
前記設定要求送信許可部は、前記通信ポリシを参照して、前記ユーザの端末から前記照合規則に適合するパケットを受信した場合に、前記制御装置に対し、処理規則の設定要求を行わせる第１の処理規則を設定する請求項７の制御装置。
【請求項９】
前記通信ポリシは、前記ユーザがアクセス可能なリソースまたは前記ユーザがアクセス不可能なリソースの情報を含み、
前記経路制御部は、前記転送ノードから受信した処理規則の設定要求に係るパケットの宛先が、前記ユーザがアクセス可能な宛先である場合に、前記第２の処理規則を設定する請求項７または８の制御装置。
【請求項１０】
前記ポリシ管理装置から、認証に失敗したユーザが検出された旨の通知を受信した場合、
所定の転送ノードに、前記ユーザからのパケットの所定の認証装置への転送を抑止する処理規則を設定する請求項７から９いずれか一の制御装置。
【請求項１１】
前記ポリシ管理装置から受信した通信ポリシが、予め定めた認証装置のすべてとのユーザ認証手続が完了していないことを示す場合、
所定の転送ノードに、前記ユーザと所定の認証装置とのユーザ認証手続を開始させる処理規則を設定する請求項７から１０いずれか一の制御装置。
【請求項１２】
前記通信ポリシは、前記第１の処理規則の設定対象の転送ノードを求めるための情報を含み、
前記設定要求送信許可部は、前記通信ポリシを参照して、複数の転送ノードに前記第１の処理規則を設定する請求項７から１１いずれか一の制御装置。
【請求項１３】
請求項７から１２いずれか一の制御装置に対し、認証に成功したユーザに対応する通信ポリシを提供するポリシ管理装置。
【請求項１４】
制御装置から設定された処理規則に従って、ユーザの端末から送信されたパケットを処理する転送ノードと、
通信ポリシを管理し、認証に成功したユーザに対応する通信ポリシを前記制御装置に通知するポリシ管理装置と、接続された制御装置が、
前記ポリシ管理装置からの通知に基づいて、前記ユーザの端末からパケットを受信する転送ノードに、前記ユーザの端末から送信されたパケットについての処理規則の設定要求を行わせる第１の処理規則を設定するステップと、
前記第１の処理規則が設定された転送ノードから前記設定要求を受信した場合、前記通信ポリシに従って前記ユーザの端末とアクセス先までの経路を決定し、該経路上の転送ノードに、前記経路に対応する第２の処理規則を設定するステップと、を含む通信方法。
【請求項１５】
制御装置から設定された処理規則に従って、ユーザの端末から送信されたパケットを処理する転送ノードと、
通信ポリシを管理し、認証に成功したユーザに対応する通信ポリシを前記制御装置に通知するポリシ管理装置と、接続された制御装置を構成するコンピュータに、
前記ポリシ管理装置からの通知に基づいて、前記ユーザの端末からパケットを受信する転送ノードに、前記ユーザの端末から送信されたパケットについての処理規則の設定要求を行わせる第１の処理規則を設定する処理と、
前記第１の処理規則が設定された転送ノードから前記設定要求を受信した場合、前記通信ポリシに従って前記ユーザの端末とアクセス先までの経路を決定し、該経路上の転送ノードに、前記経路に対応する第２の処理規則を設定する処理と、を実行させるプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
（関連出願についての記載）
本発明は、日本国特許出願：特願２０１１−００９８１７号（２０１１年１月２０日出願）の優先権主張に基づくものであり、同出願の全記載内容は引用をもって本書に組み込み記載されているものとする。
本発明は、通信システム、制御装置、ポリシ管理装置、通信方法およびプログラムに関し、特に、ネットワークに配置された転送ノードによりパケットを転送して通信を実現する通信システム、制御装置、ポリシ管理装置、通信方法およびプログラムに関する。
【背景技術】
【０００２】
近年、オープンフロー（ＯｐｅｎＦｌｏｗ）という技術が提案されている（特許文献１、非特許文献１、２参照）。オープンフローは、通信をエンドツーエンドのフローとして捉え、フロー単位で経路制御、障害回復、負荷分散、最適化を行うものである。非特許文献２に仕様化されているオープンフロースイッチは、制御装置と位置付けられるオープンフローコントローラとの通信用のセキュアチャネルを備え、オープンフローコントローラから適宜追加または書き換え指示されるフローテーブルに従って動作する。フローテーブルには、フロー毎に、パケットヘッダと照合するマッチングルール（ヘッダフィールド）と、フロー統計情報（Ｃｏｕｎｔｅｒｓ）と、処理内容を定義したアクション（Ａｃｔｉｏｎｓ）と、の組が定義される（図２４参照）。
【０００３】
例えば、オープンフロースイッチは、パケットを受信すると、フローテーブルから、受信パケットのヘッダ情報に適合するマッチングルール（図２４のヘッダフィールド参照）を持つエントリを検索する。検索の結果、受信パケットに適合するエントリが見つかった場合、オープンフロースイッチは、フロー統計情報（カウンタ）を更新するとともに、受信パケットに対して、当該エントリのアクションフィールドに記述された処理内容（指定ポートからのパケット送信、フラッディング、廃棄等）を実施する。一方、前記検索の結果、受信パケットに適合するエントリが見つからなかった場合、オープンフロースイッチは、セキュアチャネルを介して、オープンフローコントローラに対して受信パケットを転送し、受信パケットの送信元・送信先に基づいたパケットの経路の決定を依頼し、これを実現するフローエントリを受け取ってフローテーブルを更新する。このように、オープンフロースイッチは、フローテーブルに格納されたエントリを処理規則として用いてパケット転送を行っている。
【０００４】
また、特許文献２には、上記オープンフローコントローラ相当の制御装置が、認証済みのホスト装置やグループのポリシを検索し、当該ポリシを参照して、受信パケットの属するフローが許可されている場合にのみ、当該ポリシに従った経路の決定、設定を行なうことが記載されている（特許文献２のＦｉｇｕｒｅ  ６、及び［００７６］−［００７７］参照）。
【先行技術文献】
【特許文献】
【０００５】
【特許文献１】国際公開第２００８／０９５０１０号
【特許文献２】米国特許出願公開第２００９／０１３８５７７号明細書
【非特許文献】
【０００６】
【非特許文献１】Ｎｉｃｋ  ＭｃＫｅｏｗｎほか７名、“ＯｐｅｎＦｌｏｗ：  Ｅｎａｂｌｉｎｇ  Ｉｎｎｏｖａｔｉｏｎ  ｉｎ  Ｃａｍｐｕｓ  Ｎｅｔｗｏｒｋｓ”、［ｏｎｌｉｎｅ］、［平成２２年１２月２２日検索］、インターネット〈ＵＲＬ：ｈｔｔｐ：／／ｗｗｗ．ｏｐｅｎｆｌｏｗｓｗｉｔｃｈ．ｏｒｇ／／ｄｏｃｕｍｅｎｔｓ／ｏｐｅｎｆｌｏｗ−ｗｐ−ｌａｔｅｓｔ．ｐｄｆ〉
【非特許文献２】“ＯｐｅｎＦｌｏｗ  Ｓｗｉｔｃｈ  Ｓｐｅｃｉｆｉｃａｔｉｏｎ”  Ｖｅｒｓｉｏｎ  １．０．０．  （Ｗｉｒｅ  Ｐｒｏｔｏｃｏｌ  ０ｘ０１）  ［平成２２年１２月２２日検索］、インターネット〈ＵＲＬ：ｈｔｔｐ：／／ｗｗｗ．ｏｐｅｎｆｌｏｗｓｗｉｔｃｈ．ｏｒｇ／ｄｏｃｕｍｅｎｔｓ／ｏｐｅｎｆｌｏｗ−ｓｐｅｃ−ｖ１．０．０．ｐｄｆ〉
【発明の概要】
【発明が解決しようとする課題】
【０００７】
以下の分析は、本発明によって与えられたものである。
特許文献１のオープンフローコントローラは、新規フロー発生時にポリシーファイルを参照してパーミッションチェックを行ない、その後に、経路を計算することによりアクセス制御を行っている（特許文献１の［００５２］、特許文献２のＦｉｇｕｒｅ  ６、及び［００７６］−［００７７］参照）。
【０００８】
特許文献２のＮＯＸ（Ｃｏｎｔｒｏｌｌｅｒ）も、略同様であり、配下のスイッチからパケットを受信の都度、入力ポートやＭＡＣ（Ｍｅｄｉａ  Ａｃｃｅｓｓ  Ｃｏｎｔｒｏｌ）アドレス、ＩＰアドレスによって送信元のホスト装置が認証されたホスト装置であるか否かを確認してから、ユーザやホスト装置に与えられたネームやグループを元にポリシの検索を行ない、これらの結果に応じて、認証系へのパケット転送や当該ポリシに従った経路の決定、設定、パケットの廃棄を行うものとなっている。
【０００９】
従って、特許文献１、２のいずれの構成も、配下のスイッチから経路設定要求に応じる制御装置の負荷が高くなってしまうという問題点がある。また、このような仕組みを利用した制御装置へのＤｏＳ攻撃（Ｄｅｎｉａｌ  ｏｆ  Ｓｅｒｖｉｃｅ  ａｔｔａｃｋ）が行われる可能性も考慮しておく必要がある。
【００１０】
本発明は、上記した事情に鑑みてなされたものであって、その目的とするところは、上記のように転送ノードからの要求に応じて当該ノードのポリシチェックや経路制御を行う制御装置の負荷を低減できるようにした通信システム、制御装置、ポリシ管理装置、通信方法およびプログラムを提供することにある。
【課題を解決するための手段】
【００１１】
本発明の第１の視点によれば、制御装置から設定された処理規則に従って、ユーザの端末から送信されたパケットを処理する転送ノードと、通信ポリシを管理し、認証に成功したユーザに対応する通信ポリシを前記制御装置に通知するポリシ管理装置と、前記ポリシ管理装置からの通知に基づいて、前記ユーザ端末からパケットを受信する転送ノードに、前記ユーザ端末から送信されたパケットについての処理規則の設定要求を行わせる第１の処理規則を設定する設定要求送信許可部と、前記第１の処理規則が設定された転送ノードから前記設定要求を受信した場合、前記通信ポリシに従って前記ユーザ端末とアクセス先までの経路を決定し、該経路上の転送ノードに、前記経路に対応する第２の処理規則を設定する経路制御部と、を備える制御装置と、を含む通信システムが提供される。
【００１２】
本発明の第２の視点によれば、制御装置から設定された処理規則に従って、ユーザの端末から送信されたパケットを処理する転送ノードと、通信ポリシを管理し、認証に成功したユーザに対応する通信ポリシを前記制御装置に通知するポリシ管理装置と、接続され、
前記ポリシ管理装置からの通知に基づいて、前記ユーザ端末からパケットを受信する転送ノードに、前記ユーザ端末から送信されたパケットについての処理規則の設定要求を行わせる第１の処理規則を設定する設定要求送信許可部と、前記第１の処理規則が設定された転送ノードから前記設定要求を受信した場合、前記通信ポリシに従って前記ユーザ端末とアクセス先までの経路を決定し、該経路上の転送ノードに、前記経路に対応する第２の処理規則を設定する経路制御部と、を備える制御装置が提供される。
【００１３】
本発明の第３の視点によれば、上記した制御装置に対し、認証に成功したユーザに対応する通信ポリシを提供するポリシ管理装置が提供される。
【００１４】
本発明の第４の視点によれば、制御装置から設定された処理規則に従って、ユーザの端末から送信されたパケットを処理する転送ノードと、通信ポリシを管理し、認証に成功したユーザに対応する通信ポリシを前記制御装置に通知するポリシ管理装置と、接続された制御装置が、前記ポリシ管理装置からの通知に基づいて、前記ユーザ端末からパケットを受信する転送ノードに、前記ユーザ端末から送信されたパケットについての処理規則の設定要求を行わせる第１の処理規則を設定するステップと、前記第１の処理規則が設定された転送ノードから前記設定要求を受信した場合、前記通信ポリシに従って前記ユーザ端末とアクセス先までの経路を決定し、該経路上の転送ノードに、前記経路に対応する第２の処理規則を設定するステップと、を含む通信方法が提供される。本方法は、上記転送ノードを制御する制御装置という、特定の機械に結びつけられている。
【００１５】
本発明の第５の視点によれば、制御装置から設定された処理規則に従って、ユーザの端末から送信されたパケットを処理する転送ノードと、通信ポリシを管理し、認証に成功したユーザに対応する通信ポリシを前記制御装置に通知するポリシ管理装置と、接続された制御装置を構成するコンピュータに、前記ポリシ管理装置からの通知に基づいて、前記ユーザ端末からパケットを受信する転送ノードに、前記ユーザ端末から送信されたパケットについての処理規則の設定要求を行わせる第１の処理規則を設定する処理と、前記第１の処理規則が設定された転送ノードから前記設定要求を受信した場合、前記通信ポリシに従って前記ユーザ端末とアクセス先までの経路を決定し、該経路上の転送ノードに、前記経路に対応する第２の処理規則を設定する処理と、を実行させるプログラムが提供される。なお、このプログラムは、コンピュータが読み取り可能な記憶媒体に記録することができる。即ち、本発明は、コンピュータプログラム製品として具現することも可能である。
【発明の効果】
【００１６】
本発明によれば、転送ノードからの要求に応じて当該ノードのポリシチェックや経路制御を行う制御装置の負荷を低減することが可能となる。
【図面の簡単な説明】
【００１７】
【図１】本発明の概要を説明するための図である。
【図２】本発明の第１の実施形態の通信システムの構成を表した図である。
【図３】本発明の第１の実施形態の認証装置に保持される認証情報の一例である。
【図４】本発明の第１の実施形態の通信ポリシ記憶部に格納される通信ポリシ情報の一例である。
【図５】本発明の第１の実施形態のリソース情報記憶部に格納されるリソース情報の一例である。
【図６】本発明の第１の実施形態のポリシ管理装置から制御装置に通知される通信ポリシの一例である。
【図７】本発明の第１の実施形態の制御装置の構成を表したブロック図である。
【図８】本発明の第１の実施形態の一連の動作を表したシーケンス図である。
【図９】本発明の第１の実施形態の転送ノードに保持される処理規則格納テーブルを表した図である。
【図１０】本発明の第１の実施形態の通信システムを利用するユーザが認証装置からユーザ認証を受けるまでの動作を説明するための図である。
【図１１】図１０の続図である。
【図１２】図９の処理規則格納テーブルに、第１の処理規則が追加された状態を示す図である。
【図１３】図１１の続図である。
【図１４】図１３の続図である。
【図１５】図１２の処理規則格納テーブルに、第２の処理規則が追加された状態を示す図である。
【図１６】図１４の続図である。
【図１７】本発明の第１の実施形態の通信システムが、未認証ユーザのデータパケットを受信した際の動作を表したシーケンス図である。
【図１８】本発明の第１の実施形態の通信システムが、ユーザからそのアクセス権限を越えたデータパケットを受信した際の動作を表したシーケンス図である。
【図１９】本発明の第２の実施形態の動作を表したシーケンス図である。
【図２０】本発明の第３の実施形態の通信システムの構成を説明するための図である。
【図２１】本発明の第３の実施形態の動作を表したシーケンス図である。
【図２２】本発明の第４の実施形態の通信ポリシ記憶部に格納される通信ポリシ情報の一例である。
【図２３】本発明の第４の実施形態の動作を説明するための図である。
【図２４】非特許文献２に記載のフローエントリの構成を表した図である。
【発明を実施するための形態】
【００１８】
はじめに本発明の概要について図面を参照して説明する。本発明は、図１に示したように、制御装置３００から設定された処理規則に従って、ユーザの端末から送信されたパケットを処理する転送ノード２００Ａ、２００Ｂと、通信ポリシを管理し、認証に成功したユーザに付与された通信ポリシを前記制御装置３００に通知するポリシ管理装置３２０と、前記転送ノード２００Ａ、２００Ｂに処理規則を設定する制御装置３００と、により実現できる。なお、この概要に付記した図面参照符号は、理解を助けるための一例として各要素に便宜上付記したものであり、本発明を図示の態様に限定することを意図するものではない。
【００１９】
より具体的には、制御装置３００は、設定要求送信許可部３０１と、経路制御部３０２とを備える。設定要求送信許可部３０１は、所定の契機（例えば、図１の（１）ユーザ認証手続）で送られる、ポリシ管理装置３２０からの通知（図１の（２）通信ポリシ）に基づいて、前記ユーザ端末１００からパケットを受信する転送ノード（例えば、図１の転送ノード２００Ａ）に、前記ユーザ端末１００から送信されたパケットについての処理規則の設定要求を行わせる第１の処理規則を設定する（図１の（３）第１の処理規則設定）。
【００２０】
その後、ユーザ端末１００からデータパケットを受信すると（図１の（４）データパケット）、転送ノード（例えば、図１の転送ノード２００Ａ）は、前記第１の処理規則に従い、制御装置３００に対し、ユーザの端末１００から送信されたパケットについての処理規則の設定要求を行う。
【００２１】
制御装置３００の経路制御部３０２は、上記のように転送ノードから処理規則の設定要求を受けた場合（図１の（５）第２の処理規則の設定要求）、前記通信ポリシに従って前記ユーザ端末１００とアクセス先（例えば、ネットワーク資源６００）までの経路を作成し、該経路上の転送ノードに、前記経路を実現する第２の処理規則を設定する（図１の（６）第２の処理規則の設定）。
【００２２】
また、前記第１、第２の処理規則のいずれにも該当しないパケットを受信した場合、転送ノード２００Ａ、２００Ｂは、当該パケットの破棄処理を行うものとする。
【００２３】
以上のように、制御装置３００に対し、実フローを処理する第２の処理規則の設定要求をするために、第１の処理規則が設定されていることを条件としたため、処理規則の設定要求が制御装置に集中しないようにし、また、ＤｏＳ攻撃への耐性を向上させることが可能となる。
【００２４】
なお、図１の例では、制御装置３００が、それぞれ独立した設定要求送信許可部３０１、経路制御部３０２を備えた構成を示しているが、両者は処理規則を作成し、設定するという点において共通するので、後記する実施形態で採用しているように、処理規則を作成する手段（後記第１の実施形態の経路・アクション計算部）と、処理規則を設定する手段（後記第１の実施形態の処理規則管理部）という機能別の２つの処理手段で実現することも可能である。
【００２５】
［第１の実施形態］
続いて、本発明の第１の実施形態について図面を参照して詳細に説明する。図２は、本発明の第１の実施形態の通信システムの構成を表した図である。図２を参照すると、複数の転送ノード２０１〜２０４と、これら転送ノードに処理規則を設定する制御装置３００と、制御装置３００に通信ポリシを通知するポリシ管理装置３２０と、ポリシ管理装置３２０に認証結果を示す認証情報を提供する認証装置３１０と、を含んだ構成が示されている。
【００２６】
転送ノード２０１〜２０４は、受信パケットと照合する照合規則と前記照合規則に適合するパケットに適用する処理内容とを対応付けた処理規則に従って、受信パケットを処理するスイッチング装置である。このような転送ノード２０１〜２０４としては、図２４に示すフローエントリを処理規則として動作する非特許文献２のオープンフロースイッチを用いることもできる。
【００２７】
また、転送ノード２０４には、ネットワーク資源６００Ａ、６００Ｂが接続されており、ユーザ端末１００は、転送ノード２０１〜２０４を介して、ネットワーク資源６００Ａ、６００Ｂと通信可能となっている。以下の実施形態では、ネットワーク資源６００Ａとネットワーク資源６００Ｂとはそれぞれ異なるリソースグループに属し、それぞれリソースグループＩＤとしてｒｅｓｏｕｒｃｅ＿ｇｒｏｕｐ＿０００１、ｒｅｓｏｕｒｃｅ＿ｇｒｏｕｐ＿０００２が付与されているものとする。
【００２８】
認証装置３１０は、パスワードや生体認証情報等を用いてユーザ端末１００とユーザ認証手続を行なう認証サーバ等である。認証装置３１０は、ポリシ管理装置３２０にユーザ端末１００とのユーザ認証手続の結果を示す認証情報を送信する。
【００２９】
図３は、本実施形態の認証装置３１０に保持される認証情報の一例である。例えば、ユーザＩＤがｕｓｅｒ１であるユーザの認証に成功した場合、認証装置３１０は、ポリシ管理装置３２０に対し、ｕｓｅｒ１、ＩＰアドレス：１９２．１６８．１００．１、ＭＡＣアドレス：００−００−００−４４−５５−６６という属性、ロールＩＤ：ｒｏｌｅ＿０００１、ｒｏｌｅ＿０００２というｕｓｅｒ１のエントリを認証情報として送信する。同様に、ユーザＩＤがｕｓｅｒ２であるユーザの認証に成功した場合、ポリシ管理装置３２０に対し、ｕｓｅｒ２、ＩＰアドレス：１９２．１６８．１００．２、ＭＡＣアドレス：００−００−００−７７−８８−９９という属性、ロールＩＤ：ｒｏｌｅ＿０００２というｕｓｅｒ２のエントリを認証情報として送信する。
【００３０】
なお、前記認証情報は、ポリシ管理装置３２０がユーザの付与されている通信ポリシを決定可能な情報であればよく、図３の例に限定するものではない。例えば、認証に成功したユーザのユーザＩＤや当該ユーザＩＤから導出したロールＩＤ、ＭＡＣアドレス等のアクセスＩＤ、ユーザ端末１００の位置情報、あるいは、これらの組み合わせを認証情報として用いることができる。もちろん、認証情報として、認証に失敗したユーザの情報をポリシ管理装置３２０に送信し、ポリシ管理装置３２０が当該ユーザからのアクセスを制限する通信ポリシを制御装置３００に送信するようにしてもよい。
【００３１】
ポリシ管理装置３２０は、通信ポリシ記憶部３２１、リソース情報記憶部３２２と接続され、認証装置３１０から受信した認証情報に対応する通信ポリシを決定し、制御装置３００に送信する装置である。
【００３２】
図４は、通信ポリシ記憶部３２１に格納される通信ポリシ情報の一例である。図４の例では、ロールＩＤにて識別されるロール毎に、リソースのグループに与えられたリソースグループＩＤと、アクセス権限を設定した通信ポリシ情報が示されている。例えば、ロールＩＤ：ｒｏｌｅ＿０００１を持つユーザは、リソースグループＩＤ：ｒｅｓｏｕｒｃｅ＿ｇｒｏｕｐ＿０００１、ｒｅｓｏｕｒｃｅ＿ｇｒｏｕｐ＿０００２の双方へのアクセスが許可されている。他方、ロールＩＤ：ｒｏｌｅ＿０００２のユーザは、リソースグループＩＤ：ｒｅｓｏｕｒｃｅ＿ｇｒｏｕｐ＿０００１へのアクセスは禁止され、ｒｅｓｏｕｒｃｅ＿ｇｒｏｕｐ＿０００２へのアクセスが許可されている。
【００３３】
図５は、リソース情報記憶部３２２に格納されるリソース情報の一例である。図５の例では、上記したリソースグループＩＤに属するリソースのリソースＩＤやその詳細属性を対応付けた内容となっている。例えば、リソースグループＩＤ：ｒｅｓｏｕｒｃｅ＿ｇｒｏｕｐ＿０００１で特定されるグループには、ｒｅｓｏｕｒｃｅ＿０００１、ｒｅｓｏｕｒｃｅ＿０００２、ｒｅｓｏｕｒｃｅ＿０００３を持つリソースが含まれ、それぞれのＩＰアドレスやＭＡＣアドレスやサービスに利用するポート番号などを特定できるようになっている。
【００３４】
上記のような通信ポリシ情報およびリソース情報を参照して、ポリシ管理装置３２０は、認証装置３１０にて認証を受けたユーザの通信ポリシを決定し、制御装置３００に通知する。例えば、認証装置３１０から受信した認証情報に含まれるロールＩＤにて、図４のポリシ情報から該当するロールＩＤに紐付けられたリソースグループＩＤとそのアクセス権限の内容を特定することができる。そして、図５のリソース情報からリソースグループＩＤに属するリソースの情報を用いて通信ポリシを作成する。
【００３５】
図６は、図３、図４、図５に示した情報から作成されるユーザＩＤ：ｕｓｅｒ１を持つユーザの通信ポリシである。図６の送信元フィールドには、図３の認証情報のユーザＩＤ：ｕｓｅｒ１の属性情報の値が設定されている。また、宛先フィールドには、図４のポリシ情報のロールＩＤ：ｒｏｌｅ＿０００１の内容を元に図５のリソース情報から抽出したリソース属性が設定されている。また、アクセス権限フィールドには、図４のポリシ情報のロールＩＤ：ｒｏｌｅ＿０００１のアクセス権限と同じ値が設定されている。また、条件（オプション）フィールドには、図５のリソース情報のリソース属性フィールドに設定されていたサービスとポート番号が設定されている。
【００３６】
制御装置３００は、上記のような通信ポリシを受信すると、まず、当該通信ポリシの適用対象となるユーザからのパケットについての処理規則の設定要求を送信させる第１の処理規則を作成し、転送ノード２０１〜２０４から選択した転送ノードに設定する。また、制御装置３００は、前記第１の処理規則により、処理規則の設定要求を受けた場合、当該処理規則の設定要求に含まれるパケット情報に基づいて、パケットの転送経路および該転送経路を実現する処理規則を作成し、当該パケット転送経路上の転送ノードに設定する。
【００３７】
図７は、本実施形態の制御装置３００の詳細構成を表したブロック図である。図７を参照すると、制御装置３００は、転送ノード２０１〜２０４との通信を行うノード通信部１１と、制御メッセージ処理部１２と、処理規則管理部１３と、処理規則記憶部１４と、転送ノード管理部１５と、経路・アクション計算部１６と、トポロジ管理部１７と、端末位置管理部１８と、通信ポリシ管理部１９と、通信ポリシ記憶部２０と、を備えて構成される。これらはそれぞれ次のように動作する。
【００３８】
制御メッセージ処理部１２は、転送ノードから受信した制御メッセージを解析して、制御装置３００内の該当する処理手段に制御メッセージ情報を引き渡す。
【００３９】
処理規則管理部１３は、どの転送ノードにどのような処理規則が設定されているかを管理する。具体的には、経路・アクション計算部１６にて作成された処理規則を処理規則記憶部１４に登録し、転送ノードに設定すると共に、転送ノードからの処理規則削除通知などにより、転送ノードにて設定された処理規則に変更が生じた場合にも対応して処理規則記憶部１４の登録情報をアップデートする。
【００４０】
転送ノード管理部１５は、制御装置３００によって制御されている転送ノードの能力（例えば、ポートの数や種類、サポートするアクションの種類など）を管理する。
【００４１】
経路・アクション計算部１６は、通信ポリシ管理部１９から通信ポリシを受信すると、まず、当該通信ポリシに従い、トポロジ管理部１７に保持されているネットワークトポロジを参照し、当該ユーザからのパケットについての処理規則の設定要求を実行させる処理規則（第１の処理規則）を作成する。なお、処理規則（第１の処理規則）の設定先とする転送ノードは、ユーザ端末１００が接続する可能性のあるすべての転送ノードでもよいし、あるいは、通信ポリシに含まれる送信元情報に基づいて端末位置管理部１８から転送ノード（例えば、図１の転送ノード２０１）を選択してもよい。
【００４２】
また、経路・アクション計算部１６は、上記した処理規則（第１の処理規則）に基づき、処理規則の設定要求を受けると、処理規則の設定要求に含まれるパケット情報に基づいて、当該パケットの転送経路および該転送経路を実現する処理規則を作成する。
【００４３】
具体的には、経路・アクション計算部１６は、端末位置管理部１８にて管理されている通信端末の位置情報とトポロジ管理部１７にて構築されたネットワークトポロジ情報に基づいて、パケットの転送経路を計算する。次に、経路・アクション計算部１６は、転送ノード管理部１５から、前記転送経路上の転送ノードのポート情報等を取得して、前記計算した転送経路を実現するために経路上の転送ノードに実行させるアクションと、当該アクションを適用するフローを特定するための照合規則を求める。なお、前記照合規則は、図６の通信ポリシの送信元ＩＰアドレス、宛先ＩＰアドレス、条件（オプション）等を用いて作成することができる。従って、図６の通信ポリシの１番目のエントリの場合、送信元ＩＰアドレス１９２．１６８．１００．１から宛先ＩＰアドレス１９２．１６８．０．１に宛てられたパケットを、次ホップとなる転送ノードやネットワーク資源６００Ａ、６００Ｂが接続されたポートから転送させるアクションを定めた各処理規則が作成される。なお、上記処理規則の設定の際に、処理規則の設定要求を受けたパケットだけでなく、ユーザ端末がアクセス権を有しているリソースへのパケット転送を実現する処理規則を作成するようにしてしまってもよい。
【００４４】
トポロジ管理部１７は、ノード通信部１１を介して収集された転送ノード２０１〜２０４の接続関係に基づいてネットワークトポロジ情報を構築する。
【００４５】
端末位置管理部１８は、通信システムに接続しているユーザ端末の位置を特定するための情報を管理する。本実施形態では、ユーザ端末を識別する情報としてＩＰアドレスを、ユーザ端末の位置を特定するための情報として、ユーザ端末が接続している転送ノードの転送ノード識別子とそのポートの情報を使用するものとして説明する。もちろん、これらの情報に代えて、例えば、認証装置３１０からもたらされる情報等を用いて、端末とその位置を特定するものとしても良い。
【００４６】
通信ポリシ管理部１９は、ポリシ管理装置３２０から通信ポリシ情報を受信すると、通信ポリシ記憶部２０に格納するとともに、経路・アクション計算部１６に送信する。
【００４７】
以上のような制御装置３００は、非特許文献１、２のオープンフローコントローラをベースに、上記した通信ポリシの受信を契機とした第１の処理規則（フローエントリ）の作成機能を追加することでも実現できる。
【００４８】
また、図７に示した制御装置３００の各部（処理手段）は、制御装置３００を構成するコンピュータに、そのハードウェアを用いて、上記した各情報を記憶し、上記した各処理を実行させるコンピュータプログラムにより実現することもできる。
【００４９】
続いて、本実施形態の動作について図面を参照して詳細に説明する。以下の説明では、ユーザ端末と接続された転送ノード２０１に、図８に示すような処理規則が設定されているものとして説明する。一番上のエントリは、フロー＃Ａに属するパケットを転送ノード２０３に転送する処理規則である。上から３番目のエントリは、認証パケットを認証装置３１０に転送する処理規則である。また、一番下のエントリは、上記上位優先順位の処理規則に該当しないその他パケットについて破棄を行わせる処理規則である。また、転送ノードは、上から順番に、受信パケットと適合する照合規則を持つ処理規則を検索するため、上位にあるほど高い優先度が付与されているものとする。
【００５０】
図９は、本実施形態の一連の動作を表したシーケンス図である。図９を参照すると、まず、ユーザ端末が、認証装置３１０にログイン要求すると、図１０に示すように、転送ノード２０１は、図８に示す認証パケット用の処理規則に従い、認証装置３１０へのパケット転送が行われる（図９のＳ００１）。
【００５１】
認証装置３１０がユーザ認証を行って（図９のＳ００２）、ポリシ管理装置３２０に認証情報を送信すると（図９のＳ００３）、ポリシ管理装置３２０は、受信した認証情報に基づいて通信ポリシ記憶部３２１、リソース情報記憶部３２２を参照し、通信ポリシを決定し（図９のＳ００４）、制御装置３００に送信する（図９のＳ００５；図１１参照）。
【００５２】
制御装置３００は、前記通信ポリシを受信すると、ユーザ端末からのパケットについての処理規則の設定要求を行わせる第１の処理規則を転送ノード２０１に設定する（図９のＳ００６；図１１参照）。
【００５３】
図１２は、前記第１の処理規則の設定後に、転送ノード２０１に設定されている処理規則を示す図である。図１２の例では、認証パケットよりも低優先となる位置に、認証済み端末からの受信パケットを制御装置３００に転送させる処理規則（第１の処理規則）が設定されている。
【００５４】
その後、ユーザ端末が、ネットワーク資源宛てのパケットを送信すると（図９のＳ００７）、図１３に示すように、前記第１の処理規則が設定された転送ノード２０１が、制御装置３００に対して、処理規則の設定要求を送信する（図９のＳ００８）。
【００５５】
処理規則の設定要求を受けた制御装置３００は、通信ポリシに従い、前記処理規則の設定要求を受けたパケットの転送経路の計算を行い、図１４に示すように、各転送ノードにおけるパケット処理内容を定めた処理規則を作成・設定する（図９のＳ００９）。
【００５６】
図１５は、前記第２の処理規則の設定後に、転送ノード２０１に設定されている処理規則を示す図である。図１５の例では、認証パケットよりも高優先となる位置に、ユーザ端末が、ネットワーク資源宛てのパケット（フロー＃Ｂ）を転送ノード２０２に転送させる処理規則（第２の処理規則）が設定されている。
【００５７】
以上のように、制御装置３００が転送経路上の転送ノードに処理規則を設定すると、図１６に示すように、ユーザ端末とネットワーク資源間の通信が可能となる（図９の「通信開始」）。
【００５８】
図１７は、ユーザ認証を経ずに、ユーザ端末がネットワーク資源宛てのパケットを送信した場合の動作を表したシーケンス図である。図８に示したとおり、転送ノード２０１には、設定済みの処理規則に適合しないパケット（図８のその他パケット）を破棄する処理規則が設定されているため、転送ノード２０１は、受信パケットを破棄する（図１７のＳ００９）。
【００５９】
図１８は、ユーザ認証を経たが、ユーザ端末が、アクセス権限のないネットワーク資源宛てのパケット（例えば、フロー＃Ｃ）を送信した場合の動作を表したシーケンス図である。この場合も、図１５に示したとおり、転送ノード２０１には、設定済みの処理規則に適合しないパケット（図１５のその他パケット）を破棄する処理規則が設定されているため、転送ノード２０１は、受信パケットを破棄する（図１８のＳ００９）。また、第１の処理規則の照合規則として、宛先やポートを指定しておくことで、制御装置３００に処理規則を設定要求するパケットをより絞り込み、その他のパケットを破棄させることも可能となる。
【００６０】
以上のように、転送ノードには、未知のパケットの受信時に当該パケットを破棄させるようにし、通信ポリシの受信を契機に、制御装置３００が、まず処理規則の設定要求自体を許可する第１の処理規則を設定するようにすることで、転送ノードから発せられる処理規則の設定要求の数を少なくすることができる。この結果、処理規則の設定要求に伴う制御装置の負荷を低減することが可能になる。
【００６１】
［第２の実施形態］
続いて、上記した第１の実施形態の認証装置およびポリシ管理装置の動作に変更を加えた本発明の第２の実施形態について説明する。本実施形態は、上記した第１の実施形態と同等の構成にて実現可能であるため、以下、その動作上の相違点を中心に説明する。
【００６２】
図１９は、本実施形態の一連の動作を表したシーケンス図である。ユーザ端末が、認証装置３１０にログイン要求し（図１９のＳ１０１）、認証装置３１０においてユーザ認証が行なわれるまでの動作は第１の実施形態と同様である。本実施形態では、ユーザ認証に失敗すると（図１９のＳ１０２）、認証装置３１０がポリシ管理装置３２０に対して、認証情報（ＮＧ）を送信する（図１９のＳ１０３−１）。
【００６３】
前記認証ＮＧ情報を受信したポリシ管理装置３２０は、制御装置３００に、受信した認証ＮＧ情報を送信する（図１９のＳ１０３−２）。ここでは、受信した認証ＮＧ情報には、前記認証に失敗したユーザ端末を特定する情報（ＭＡＣアドレスや接続する転送ノードの情報）が含まれているものとする。
【００６４】
前記認証ＮＧ情報を受信した制御装置３００は、当該ユーザ端末からのパケットを破棄させる処理規則を転送ノード２０１のほか、当該ユーザ端末が接続される可能性のある転送ノードに設定する（図１９のＳ１０６）。なお、この処理規則には、他の処理規則よりも高い優先順位を付与することが望ましい。
【００６５】
その後、当該ユーザ端末が、再度ログインを試みるべくパケットを送信すると（図１９のＳ１０１Ａ）、転送ノード２０１は、前記処理規則に従って、当該ユーザ端末から送信されたパケットを破棄する処理を行う（図１９のＳ１０９）。
【００６６】
以上のように、本実施形態によれば、上記した第１の実施形態の効果に加えて、一度認証に失敗したユーザからパケットの認証装置３１０への転送を抑止させ、悪意のあるユーザからの不正アクセスから守ることが可能となる。また上記した実施形態では、該当ユーザ端末からのパケットを廃棄するものとして説明したが、当該ユーザ端末にアクセスできない旨のメッセージ等を表示する特定のサーバへアクセスさせる処理規則を設定することでもよい。なお、上記した説明では、認証に失敗したユーザ（端末）の情報を送信しているが、上記した第１の実施形態の通信ポリシに、第１の処理規則の設定を禁じるフラグ等を持たせて、対象ユーザ端末からのパケットの破棄等を指示することでもよい。
【００６７】
［第３の実施形態］
続いて、上記した第１の実施形態のセキュリティ機能を強化した本発明の第３の実施形態について説明する。本実施形態は、上記した第１の実施形態とほぼ共通する構成にて実現可能であるため、以下、その相違点を中心に説明する。
【００６８】
図２０は、本発明の第３の実施形態の通信システムの構成を説明するための図である。図２に表した第１の実施形態との構成上の相違点は、認証装置３１０と並列に、第２認証装置３１１が追加されている点である。第２認証装置３１１も、認証装置３１０と同様に、転送ノード２０１を介して、ユーザ端末１００とのユーザ認証の結果をポリシ管理装置３２０に送信可能となっている。
【００６９】
図２１は、本発明の第３の実施形態の動作を表したシーケンス図である。ユーザ端末が、認証装置３１０にログイン要求し（図２１のＳ２０１）、認証装置３１０においてユーザ認証手続が行なわれる（図２１のＳ２０２）。認証装置３１０は、その結果をポリシ管理装置３２０と第２認証装置３１１に送信する（図２１のＳ２０３）。
【００７０】
ポリシ管理装置３２０は、認証情報の送信元が認証装置３１０であることを確認すると、当該ユーザ端末が認証装置３１１とのユーザ認証手続が済んでいないことを示す通信ポリシを作成し、制御装置３００に送信する（図２１のＳ２０４、Ｓ２０５）。
【００７１】
前記通信ポリシを受信した制御装置３００は、転送ノード２０１に対して、次にユーザ端末から送られてくるパケットを第２認証装置３１１にリダイレクトさせる処理規則を設定する（図２１のＳ２０６）。
【００７２】
その後、転送ノード２０１はユーザ端末からのパケットを受信すると、前記処理規則に従って、第２認証装置３１１にリダイレクトする（図２１のＳ２０７−１、Ｓ２０７−２）。第２認証装置３１１は、ユーザ端末に対して、ユーザ認証手続を要求する（図２１のＳ２０８）。
【００７３】
その後、ユーザ端末と認証装置３１１との間でユーザ認証手続が行なわれ（図２１のＳ２０９、Ｓ２１０）、その結果がポリシ管理装置３２０に送信される（図２１のＳ２１１）。
【００７４】
ポリシ管理装置３２０は、認証情報の送信元が認証装置３１１であることを確認すると、先の第１の実施形態と同様に、受信した認証情報に基づいて通信ポリシ記憶部３２１、リソース情報記憶部３２２を参照し、通信ポリシを決定し（図２１のＳ２１２）、制御装置３００に送信する（図２１のＳ２１３）。
【００７５】
以降の動作は第１の実施形態と同様であり、制御装置３００は、前記通信ポリシを受信すると、ユーザ端末からのパケットについての処理規則の設定要求を行わせる第１の処理規則を転送ノード２０１に設定する（図２１のＳ２１４）。
【００７６】
これにより、ユーザ端末から受信したパケットに対する処理規則の設定要求が可能となり、以降、ユーザ端末から受信したパケットに基づく、制御装置３００への処理規則の設定要求（図２１のＳ２１５、Ｓ２１６）、制御装置３００における経路計算および処理規則の設定が行われる（図２１のＳ２１７）。
【００７７】
以上のように、本実施形態によれば、悪意のあるユーザにより、第１、第２の処理規則の設定が行われてしまう可能性をより低くすることが可能になる。
【００７８】
なお、上記した第３の実施形態では、認証装置３１０、３１１との２つ認証装置を用いるものとして説明したが、３台以上の認証装置を用いる構成も採用可能である。また、認証装置３１０が、最初の認証結果によって、リダイレクト先を第２認証装置３１１やその他の認証装置に振り分けるといった変形実施形態も採用可能である。
【００７９】
また、上記した第３の実施形態では、ポリシ管理装置３２０は、認証情報の送信元に基づいて、当該ユーザ端末が、予め決められた複数の認証装置とのユーザ認証手続が済んでいる否かを判断するものとして説明したが、ポリシ管理装置３２０側に、各ユーザの認証状態を管理するテーブル等を設ける構成も採用可能である。このようにすれば、最初に認証装置３１１とのユーザ認証手続を行なった後、認証装置３１０とユーザ認証手続を行なう方法を採ることも可能になる。また、各認証装置から得られた認証結果に適宜有効期限を設けて管理するようにし、有効期限が切れている認証装置とのユーザ認証手続を行なえば済むようにすることもできる。
【００８０】
［第４の実施形態］
また、上記した実施形態では、制御装置３００は、転送ノード２０１に第１の処理規則を設定するものとして説明したが、複数の転送ノードに第１の処理規則を設定するものとしてもよい。以下、制御装置３００が、複数の転送ノードに第１の処理規則を設定するようにした第４の実施形態について説明する。本実施形態も、上記した第１の実施形態と同等の構成にて実現可能であるため、以下、その相違点を中心に説明する。
【００８１】
図２２は、本発明の第４の実施形態の通信ポリシ記憶部に格納される通信ポリシ情報の一例である。第１の実施形態の通信ポリシ記憶部に格納される通信ポリシ情報との相違点は、ユーザ端末の移動可能範囲を示す移動範囲制限フィールドが追加されている点である。
【００８２】
全体の動作は、上記第１の実施形態と同様であるが、ポリシ管理装置３２０は、上記のような通信ポリシ情報に基づいて、制御装置３００に、図２３に示すように、移動範囲制限フィールドに定められた転送ノードに、第１の処理規則を設定するよう指示する。
【００８３】
これにより、転送ノード２０１のほか、ユーザ端末が移動して接続する可能性のある転送ノード（例えば、図２３の転送ノード２０３）にも、第１の処理規則を設定することが可能となり、ユーザの移動を制限付きで許容することが可能になる。また、実際にユーザがこれら転送ノードに移動した場合には、ユーザ認証手続（図９のＳ００１「ログイン」）から制御装置３００による第１の処理規則の設定（図９のＳ００６）までの処理を省略することが可能となる。
【００８４】
なお、図２２に示したように、移動範囲制限フィールドに設定する転送ノードの数は、個々のユーザのロールやリソースグループに応じて適宜設定することができる。また、図２２のように、移動範囲制限フィールドに、第１の処理規則を設定する転送ノードを記述するのではなく、現在ユーザ端末が接続している転送ノードからの距離（ホップ数）を指定し、ネットワークトポロジ上、一定の距離範囲にある転送ノードに第１の処理規則を設定するようにしてもよい。
【００８５】
以上、本発明の各実施形態を説明したが、本発明は、上記した実施形態に限定されるものではなく、本発明の基本的技術的思想を逸脱しない範囲で、更なる変形・置換・調整を加えることができる。例えば、上記した各実施形態では、制御装置３００、認証装置３１０、ポリシ管理装置３２０、通信ポリシ記憶部３２１、リソース情報記憶部３２２をそれぞれ独立して設けるものとして説明したが、これらを適宜統合した構成も採用可能である。
【００８６】
また、上記した実施形態では、図６のようにアクセス可否情報を主体とした通信ポリシを用いるものとして説明したが、通信ポリシにＱｏＳなどの通信属性や、経路として利用できる転送ノード、アクセス可能な時間帯などの情報を含めることも可能である。このような通信ポリシを用いて第１の処理規則を作成することで、制御装置に処理規則の設定要求を行うことのできる範囲や時間をきめ細かく設定するも可能となる。また、ポリシ管理装置３２０が制御装置３００に通信ポリシを通知するタイミングもユーザ認証直後のほか、ポリシ管理装置３２０が、時間やユーザの位置等に応じて、通信ポリシを更新し、制御装置３００に再通知することとしてもよい。また、通信ポリシ自体に、前記時間やユーザ位置等の細かい制御内容を含めることとし、制御装置３００側で細かく第１、第２の処理規則の設定、変更、削除を行わせる形態も採用可能である。
【００８７】
また、上記した実施形態では、図３〜図６を示してユーザにロールＩＤを付与してアクセス制御を行うものとして説明したが、ユーザ毎に付与されているユーザＩＤや、ＭＡＣアドレス等のアクセスＩＤ、ユーザ端末１００の位置情報などを用いてアクセス制御を行うことも可能である。
【００８８】
また、上記した実施形態では、制御装置３００は、第１の処理規則に基づき、処理規則の設定要求を受け取ったパケットについて第２の処理規則を作成、設定するものとして説明したが、処理規則の設定要求の受信を契機に、制御装置３００が、通信ポリシを参照して、当該ユーザに認められたすべてのアクセス先への経路を計算し、これら経路を実現する処理規則を事前に設定してしまってもよい。このようにすることで、処理規則の設定要求の発生頻度をより抑えることが可能になる。
【００８９】
また、上記した実施形態では、ユーザ端末１００が、転送ノード２０１を介して、認証装置３１０と認証手続を行うものとして説明したが、ユーザ端末１００が直接認証装置３１０と通信し、認証手続を実施する構成も採用可能である。
【００９０】
なお、上記の特許文献および非特許文献の各開示を、本書に引用をもって繰り込むものとする。本発明の全開示（請求の範囲を含む）の枠内において、さらにその基本的技術思想に基づいて、実施形態の変更・調整が可能である。また、本発明の請求の範囲の枠内において種々の開示要素の多様な組み合わせ、ないし選択が可能である。すなわち、本発明は、請求の範囲を含む全開示、技術的思想にしたがって当業者であればなし得るであろう各種変形、修正を含むことは勿論である。
【符号の説明】
【００９１】
１１  ノード通信部
１２  制御メッセージ処理部
１３  処理規則管理部
１４  処理規則記憶部
１５  転送ノード管理部
１６  経路・アクション計算部
１７  トポロジ管理部
１８  端末位置管理部
１９  通信ポリシ管理部
２０  通信ポリシ記憶部
１００  ユーザ端末
２００Ａ、２００Ｂ、２０１〜２０４  転送ノード
３００  制御装置
３０１  設定要求送信許可部
３０２  経路制御部
３１０、３１１  認証装置
３２０  ポリシ管理装置
３２１  通信ポリシ記憶部
３２２  リソース情報記憶部
６００、６００Ａ、６００Ｂ  ネットワーク資源
【図１】
0005811179.tif 000002
【図３】
0005811179.tif 000003
【図４】
0005811179.tif 000004
【図５】
0005811179.tif 000005
【図６】
0005811179.tif 000006
【図７】
0005811179.tif 000007
【図８】
0005811179.tif 000008
【図９】
0005811179.tif 000009
【図１２】
0005811179.tif 000010
【図１５】
0005811179.tif 000011
【図１７】
0005811179.tif 000012
【図１８】
0005811179.tif 000013
【図１９】
0005811179.tif 000014
【図２１】
0005811179.tif 000015
【図２２】
0005811179.tif 000016
【図２４】
0005811179.tif 000017
【図２】
0005811179.tif 000018
【図１０】
0005811179.tif 000019
【図１１】
0005811179.tif 000020
【図１３】
0005811179.tif 000021
【図１４】
0005811179.tif 000022
【図１６】
0005811179.tif 000023
【図２０】
0005811179.tif 000024
【図２３】
0005811179.tif 000025