(57)【要約】【課題】ユーザ認証にあたり、アクセス制御を行うとともに、ネットワーク全体ではなく、ユーザごとにＱｏＳポリシーを適用することを可能とする。【解決手段】ＰＣクライアントが、ＬＡＮスイッチを介して、認証サーバによる認証を受けるとともに、業務用サーバへのアクセス制御及びアクセス優先順位の制御を受けるユーザ認証ＱｏＳポリシー管理システムであって、ＰＣクライアントからのログオン情報にもとづき認証サーバからアクセス制御情報及びＱｏＳ情報を受信し、このアクセス制御情報によって業務用サーバに対するＰＣクライアントのアクセス制御を行うとともに、ＱｏＳ情報にもとづき業務用サーバに対するＰＣクライアントのアクセス優先順位を制御するＬＡＮスイッチを有するユーザ認証ＱｏＳポリシー管理システム。【選択図】　　　図１
2004032525.tif 000002
【特許請求の範囲】
【請求項１】
ＰＣクライアントが、ＬＡＮスイッチを介して、認証サーバによる認証を受けるとともに、業務用サーバへのアクセス制御及びアクセス優先順位の制御を受けるユーザ認証ＱｏＳポリシー管理システムであって、
ログオン情報を前記ＬＡＮスイッチに送信する前記ＰＣクライアントと、
前記ＰＣクライアントから送信されてきた前記ログオン情報を前記認証サーバに送信するとともに、前記ＰＣクライアントのアドレス情報を記憶し、かつ、前記認証サーバからアクセス制御情報及びＱｏＳ情報を受信して、このアクセス制御情報によって前記業務用サーバに対する前記ＰＣクライアントのアクセス制御を行うとともに、前記ＱｏＳ情報にもとづき前記業務用サーバに対する前記ＰＣクライアントのアクセス優先順位を制御する前記ＬＡＮスイッチと、
前記ＬＡＮスイッチから送信されてきた前記ログオン情報にもとづき認証を行い、認証結果が正である場合に、前記ログオン情報に対応する前記アクセス制御情報及び前記ＱｏＳ情報を前記ＬＡＮスイッチに送信する前記認証サーバと、
前記ＬＡＮスイッチによって、前記アクセス制御情報及び前記ＱｏＳ情報にしたがい制御を受けたＰＣクライアントからのアクセスを受ける前記業務用サーバとを有する
ことを特徴とするユーザ認証ＱｏＳポリシー管理システム。
【請求項２】
前記ＬＡＮスイッチが複数ある場合に、
一のＬＡＮスイッチが、前記ログオン情報及び前記ＰＣクライアントのアドレス情報を他のＬＡＮスイッチに送信し、前記認証サーバから受信した前記アクセス制御情報にもとづき前記業務用サーバに対する前記ＰＣクライアントのアクセス制御を行うとともに、前記ＱｏＳ情報にもとづき前記業務用サーバに対する前記ＰＣクライアントのアクセス優先順位を制御し、
前記他のＬＡＮスイッチが、前記一のＬＡＮスイッチから送信されてきた前記ログオン情報を前記認証サーバに送信して、前記認証サーバから前記ＱｏＳ情報を受信し、前記ＱｏＳ情報にもとづき前記業務用サーバに対する前記ＰＣクライアントのアクセス優先順位を制御する
ことを特徴とする請求項１記載のユーザ認証ＱｏＳポリシー管理システム。
【請求項３】
前記ＬＡＮスイッチが複数ある場合に、
一のＬＡＮスイッチが、前記ＰＣクライアントのアドレス情報及び前記認証サーバから受信した前記ＱｏＳ情報を他のＬＡＮスイッチに送信し、前記認証サーバから受信した前記アクセス制御情報にもとづき前記業務用サーバに対する前記ＰＣクライアントのアクセス制御を行うとともに、前記ＱｏＳ情報にもとづき前記業務用サーバに対する前記ＰＣクライアントのアクセス優先順位を制御し、
前記他のＬＡＮスイッチが、前記一のＬＡＮスイッチから送信されてきた前記ＱｏＳ情報にもとづき前記業務用サーバに対する前記ＰＣクライアントのアクセス優先順位を制御する
ことを特徴とする請求項１記載のユーザ認証ＱｏＳポリシー管理システム。
【請求項４】
前記アクセス制御情報が、ＶＬＡＮ情報である場合に、
前記ＬＡＮスイッチ又は前記一のＬＡＮスイッチが、
前記ＰＣクライアントから送信されてきた前記ログオン情報を前記認証サーバに送信するとともに、前記ＰＣクライアントのＭＡＣアドレスを記憶し、かつ、前記認証サーバからＶＬＡＮ情報を受信して、前記ＰＣクライアントのＭＡＣアドレスを前記ＶＬＡＮに含め、このＶＬＡＮによって前記業務用サーバに対する前記ＰＣクライアントのアクセス制御を行う
ことを特徴とする請求項１〜３のいずれかに記載のユーザ認証ＱｏＳポリシー管理システム。
【請求項５】
前記アクセス制御情報が、フィルタ情報である場合に、
前記ＬＡＮスイッチ又は前記一のＬＡＮスイッチが、
前記ＰＣクライアントから送信されてきた前記ログオン情報を前記認証サーバに送信するとともに、前記ＰＣクライアントのＩＰアドレスを記憶し、かつ、前記認証サーバからフィルタ情報を受信して、このフィルタ情報にもとづきアクセスリストを作成し、初期状態のアクセスリストを更新するとともに、前記アクセスリストにしたがって、前記業務用サーバに対する前記ＰＣクライアントのアクセス制御を行う
ことを特徴とする請求項１〜３のいずれかに記載のユーザ認証ＱｏＳポリシー管理システム。
【請求項６】
ＰＣクライアントが、ＬＡＮスイッチを介して、認証サーバによる認証を受け、業務用サーバにアクセスするユーザ認証ＱｏＳポリシー管理方法であって、
前記ＰＣクライアントが、前記ＬＡＮスイッチにログオン情報を送信し、
前記ＬＡＮスイッチが、送信されてきた前記ログオン情報を前記認証サーバに送信するとともに、前記ＰＣクライアントのアドレス情報を記憶し、
前記認証サーバが、前記ＰＣクライアントの認証を行って、認証結果が正である場合に、前記ログオン情報に対応するアクセス制御情報及びＱｏＳ情報を前記ＬＡＮスイッチに送信し、
前記ＬＡＮスイッチが、送信されてきた前記アクセス制御情報及び前記ＱｏＳ情報を記憶し、前記アクセス制御情報にもとづいて前記業務用サーバに対する前記ＰＣクライアントのアクセス制御を行うとともに、前記ＱｏＳ情報にもとづき前記業務用サーバに対する前記ＰＣクライアントのアクセス優先順位を制御する
ことを特徴とするユーザ認証ＱｏＳポリシー管理方法。
【請求項７】
ＰＣクライアントが業務用サーバにアクセスするにあたり、認証サーバによる認証を仲介するとともに、アクセス制御及びアクセス優先順位の制御を行うＬＡＮスイッチであって、
前記ＰＣクライアントから送信されてきたログオン情報を前記認証サーバに送信するとともに、前記ＰＣクライアントのＭＡＣアドレスを記憶し、かつ、前記認証サーバからＶＬＡＮ情報及びＱｏＳ情報を受信して、前記ＰＣクライアントのＭＡＣアドレスを前記ＶＬＡＮに含め、このＶＬＡＮによって前記業務用サーバに対する前記ＰＣクライアントのアクセス制御を行うとともに、前記ＱｏＳ情報にもとづき前記業務用サーバに対する前記ＰＣクライアントのアクセス優先順位を制御する
ことを特徴とするＬＡＮスイッチ。
【請求項８】
ＰＣクライアントが業務用サーバにアクセスするにあたり、認証サーバによる認証を仲介するとともに、アクセス制御及びアクセス優先順位の制御を行うＬＡＮスイッチであって、
前記ＰＣクライアントから送信されてきた前記ログオン情報を前記認証サーバに送信して、前記認証サーバからフィルタ情報及びＱｏＳ情報を受信し、かつ、前記ログオン情報及び前記ＰＣクライアントのＩＰアドレスを他のＬＡＮスイッチに送信するとともに、前記フィルタ情報にもとづきアクセスリストを作成して、初期状態のアクセスリストを更新し、このアクセスリストにしたがって、前記業務用サーバに対する前記ＰＣクライアントのアクセス制御を行うとともに、前記ＱｏＳ情報にもとづき前記業務用サーバに対する前記ＰＣクライアントのアクセス優先順位を制御し、かつ、
他のＬＡＮスイッチから送信されてきた前記ログオン情報を前記認証サーバに送信して、前記認証サーバから前記ＱｏＳ情報を受信し、前記ＱｏＳ情報にもとづき前記業務用サーバに対する前記ＰＣクライアントのアクセス優先順位を制御する
ことを特徴とするＬＡＮスイッチ。
【発明の詳細な説明】
【０００１】
【発明の属する技術分野】
本発明は、ＰＣクライアントが、ＬＡＮスイッチを介して、認証サーバによる認証を受けるとともに、業務用サーバへのユーザごとのアクセス制御及びアクセス優先順位の制御を受けるユーザ認証ＱｏＳポリシー管理システム、方法及びＬＡＮスイッチに関する。
【０００２】
【従来の技術】
従来のユーザ認証システムは、認証によって、ユーザごとにアクセス制御を行うものであったが、ＱｏＳ（Ｑｕａｌｉｔｙ　ｏｆ　Ｓｅｒｖｉｃｅ）と連動するものではなかった。
すなわち、ユーザ認証システムにおいて、ＱｏＳを使用する場合、ＱｏＳポリシーは別管理され、ユーザごとではなく、ネットワーク全体に適用されていた。
【０００３】
【発明が解決しようとする課題】
しかしながら、このような従来のユーザ認証システムには、ユーザごとに重要度が異なる通信の品質を保証できないという問題があった。
その理由は、ＱｏＳポリシーが、ネットワーク全体に適用されていることにより、あるユーザにとっては重要な通信と、それを重要としない他のユーザの通信が、同じ優先度で扱われてしまい、その結果として、あるユーザにとって重要な通信が影響を受けてしまうためである。
また、アクセス制御ポリシーとＱｏＳポリシーが一元管理できないという問題もあった。
【０００４】
本発明は、上記の事情にかんがみなされたものであり、ＰＣクライアントが、ＬＡＮスイッチを介して、認証サーバによる認証を受けるとともに、業務用サーバへのユーザごとのアクセス制御及びアクセス優先順位の制御を受けるユーザ認証ＱｏＳポリシー管理システム、方法及びＬＡＮスイッチの提供を目的とする。
【０００５】
【課題を解決するための手段】
上記目的を達成するため、本発明の請求項１記載のユーザ認証ＱｏＳポリシー管理システムは、ＰＣクライアントが、ＬＡＮスイッチを介して、認証サーバによる認証を受けるとともに、業務用サーバへのアクセス制御及びアクセス優先順位の制御を受けるユーザ認証ＱｏＳポリシー管理システムであって、ログオン情報をＬＡＮスイッチに送信するＰＣクライアントと、ＰＣクライアントから送信されてきたログオン情報を認証サーバに送信するとともに、ＰＣクライアントのアドレス情報を記憶し、かつ、認証サーバからアクセス制御情報及びＱｏＳ情報を受信して、このアクセス制御情報によって業務用サーバに対するＰＣクライアントのアクセス制御を行うとともに、ＱｏＳ情報にもとづき業務用サーバに対するＰＣクライアントのアクセス優先順位を制御するＬＡＮスイッチと、ＬＡＮスイッチから送信されてきたログオン情報にもとづき認証を行い、認証結果が正である場合に、ログオン情報に対応するアクセス制御情報及びＱｏＳ情報をＬＡＮスイッチに送信する認証サーバと、ＬＡＮスイッチによって、アクセス制御情報及びＱｏＳ情報にしたがい制御を受けたＰＣクライアントからのアクセスを受ける業務用サーバとを有する構成としてある。
【０００６】
ユーザ認証ＱｏＳポリシー管理システムをこのような構成にすれば、ユーザごとにアクセス制御ポリシー及びＱｏＳポリシーを適用することができるため、セキュリティーを高めることができるとともに、ユーザにとってそれぞれ異なる重要な通信の品質を高めることが可能となる。
また、認証サーバによって、アクセス制御ポリシーとＱｏＳポリシーを一元管理することができるため、アクセス制御ポリシーとＱｏＳポリシーの管理を容易に行うことが可能となる。
【０００７】
本発明の請求項２記載のユーザ認証ＱｏＳポリシー管理システムは、ＬＡＮスイッチが複数ある場合に、一のＬＡＮスイッチが、ログオン情報及びＰＣクライアントのアドレス情報を他のＬＡＮスイッチに送信し、認証サーバから受信したアクセス制御情報にもとづき業務用サーバに対するＰＣクライアントのアクセス制御を行うとともに、ＱｏＳ情報にもとづき業務用サーバに対するＰＣクライアントのアクセス優先順位を制御し、他のＬＡＮスイッチが、一のＬＡＮスイッチから送信されてきたログオン情報を認証サーバに送信して、認証サーバからＱｏＳ情報を受信し、ＱｏＳ情報にもとづき業務用サーバに対するＰＣクライアントのアクセス優先順位を制御する構成としてある。
【０００８】
ユーザ認証ＱｏＳポリシー管理システムをこのような構成にすれば、複数のＬＡＮスイッチが、それぞれ複数の業務用サーバを接続している場合には、ＰＣクライアントが接続されたＬＡＮスイッチによって、そのＰＣクライアントに対するアクセス制御ポリシーを適用することが可能となる。
また、各ＬＡＮスイッチが、認証サーバにアクセスして、ＱｏＳ情報を受信することによって、ユーザごとのＱｏＳポリシーを、ＰＣクライアントに適用することが可能となる。
【０００９】
本発明の請求項３記載のユーザ認証ＱｏＳポリシー管理システムは、ＬＡＮスイッチが複数ある場合に、一のＬＡＮスイッチが、ＰＣクライアントのアドレス情報及び認証サーバから受信したＱｏＳ情報を他のＬＡＮスイッチに送信し、認証サーバから受信したアクセス制御情報にもとづき業務用サーバに対するＰＣクライアントのアクセス制御を行うとともに、ＱｏＳ情報にもとづき業務用サーバに対するＰＣクライアントのアクセス優先順位を制御し、他のＬＡＮスイッチが、一のＬＡＮスイッチから送信されてきたＱｏＳ情報にもとづき業務用サーバに対するＰＣクライアントのアクセス優先順位を制御する構成としてある。
【００１０】
ユーザ認証ＱｏＳポリシー管理システムをこのような構成にすれば、請求項２におけるものと同様に、複数のＬＡＮスイッチが、それぞれ複数の業務用サーバを接続している場合には、ＰＣクライアントが接続されたＬＡＮスイッチにより、アクセス制御ポリシーを適用することが可能となる。
また、そのＬＡＮスイッチが、その他のＬＡＮスイッチに、認証サーバから受信したＱｏＳ情報を送信することによって、ユーザごとのＱｏＳポリシーを、各ＬＡＮスイッチによってＰＣクライアントに適用することが可能となる。
【００１１】
本発明の請求項４記載のユーザ認証ＱｏＳポリシー管理システムは、アクセス制御情報が、ＶＬＡＮ情報である場合に、ＬＡＮスイッチ又は一のＬＡＮスイッチが、ＰＣクライアントから送信されてきたログオン情報を認証サーバに送信するとともに、ＰＣクライアントのＭＡＣアドレスを記憶し、かつ、認証サーバからＶＬＡＮ情報を受信して、ＰＣクライアントのＭＡＣアドレスをＶＬＡＮに含め、このＶＬＡＮによって業務用サーバに対するＰＣクライアントのアクセス制御を行う構成としてある。
【００１２】
ユーザ認証ＱｏＳポリシー管理システムをこのような構成にすれば、ＬＡＮスイッチに、ＶＬＡＮ（Ｖｉｒｔｕａｌ　ＬＡＮ）を設定することによって、ＰＣクライアントのユーザに対するアクセス制御ポリシー及びＱｏＳポリシーの適用を行うことが可能となる。
【００１３】
本発明の請求項５記載のユーザ認証ＱｏＳポリシー管理システムは、アクセス制御情報が、フィルタ情報である場合に、ＬＡＮスイッチ又は一のＬＡＮスイッチが、ＰＣクライアントから送信されてきたログオン情報を認証サーバに送信するとともに、ＰＣクライアントのＩＰアドレスを記憶し、かつ、認証サーバからフィルタ情報を受信して、このフィルタ情報にもとづきアクセスリストを作成し、初期状態のアクセスリストを更新するとともに、アクセスリストにしたがって、業務用サーバに対するＰＣクライアントのアクセス制御を行う構成としてある。
【００１４】
ユーザ認証ＱｏＳポリシー管理システムをこのような構成にすれば、ＬＡＮスイッチに、アクセスリストを保有させ、これにもとづきアクセス制御を行うことによって、ＰＣクライアントのユーザにアクセス制御ポリシーを適用し、これに併せてＱｏＳポリシーの適用も行うことが可能となる。
【００１５】
本発明の請求項６記載のユーザ認証ＱｏＳポリシー管理方法は、ＰＣクライアントが、ＬＡＮスイッチを介して、認証サーバによる認証を受け、業務用サーバにアクセスするユーザ認証ＱｏＳポリシー管理方法であって、ＰＣクライアントが、ＬＡＮスイッチにログオン情報を送信し、ＬＡＮスイッチが、送信されてきたログオン情報を認証サーバに送信するとともに、ＰＣクライアントのアドレス情報を記憶し、認証サーバが、ＰＣクライアントの認証を行って、認証結果が正である場合に、ログオン情報に対応するアクセス制御情報及びＱｏＳ情報をＬＡＮスイッチに送信し、ＬＡＮスイッチが、送信されてきたアクセス制御情報及びＱｏＳ情報を記憶し、アクセス制御情報にもとづいて業務用サーバに対するＰＣクライアントのアクセス制御を行うとともに、ＱｏＳ情報にもとづき業務用サーバに対するＰＣクライアントのアクセス優先順位を制御する方法としてある。
【００１６】
ユーザ認証ＱｏＳポリシー管理方法をこのような方法にすれば、ユーザごとにアクセス制御ポリシー及びＱｏＳポリシーを適用することができ、セキュリティーと、ユーザにとってそれぞれ異なる重要な通信の品質を高めることができるとともに、アクセス制御ポリシーとＱｏＳポリシーの管理を容易に行うことが可能となる。
【００１７】
本発明の請求項７記載のＬＡＮスイッチは、ＰＣクライアントが業務用サーバにアクセスするにあたり、認証サーバによる認証を仲介するとともに、アクセス制御及びアクセス優先順位の制御を行うＬＡＮスイッチであって、ＰＣクライアントから送信されてきたログオン情報を認証サーバに送信するとともに、ＰＣクライアントのＭＡＣアドレスを記憶し、かつ、認証サーバからＶＬＡＮ情報及びＱｏＳ情報を受信して、ＰＣクライアントのＭＡＣアドレスをＶＬＡＮに含め、このＶＬＡＮによって業務用サーバに対するＰＣクライアントのアクセス制御を行うとともに、ＱｏＳ情報にもとづき業務用サーバに対するＰＣクライアントのアクセス優先順位を制御する構成としてある。
【００１８】
ＬＡＮスイッチをこのような構成にすれば、ＰＣクライアントからのアクセスに対して、アクセス制限を加えると同時に、ＱｏＳポリシーの適用もでき、セキュリティーの確保とともに、ユーザごとにサーバに対する処理の優先順位を設定することが可能となる。
【００１９】
本発明の請求項８記載のＬＡＮスイッチは、ＰＣクライアントが業務用サーバにアクセスするにあたり、認証サーバによる認証を仲介するとともに、アクセス制御及びアクセス優先順位の制御を行うＬＡＮスイッチであって、ＰＣクライアントから送信されてきたログオン情報を認証サーバに送信して、認証サーバからフィルタ情報及びＱｏＳ情報を受信し、かつ、ログオン情報及びＰＣクライアントのＩＰアドレスを他のＬＡＮスイッチに送信するとともに、フィルタ情報にもとづきアクセスリストを作成して、初期状態のアクセスリストを更新し、このアクセスリストにしたがって、業務用サーバに対するＰＣクライアントのアクセス制御を行うとともに、ＱｏＳ情報にもとづき業務用サーバに対するＰＣクライアントのアクセス優先順位を制御し、かつ、他のＬＡＮスイッチから送信されてきたログオン情報を認証サーバに送信して、認証サーバからＱｏＳ情報を受信し、ＱｏＳ情報にもとづき業務用サーバに対するＰＣクライアントのアクセス優先順位を制御する構成としてある。
【００２０】
ＬＡＮスイッチをこのような構成にすれば、それぞれ業務用サーバを接続した複数のＬＡＮスイッチを接続して使用する場合であっても、これらに接続されたＰＣクライアントに対して、アクセス制御ポリシーとともにＱｏＳポリシーを適用することが可能となる。
【００２１】
【発明の実施の形態】
以下、本発明の実施形態につき、図面を参照して説明する。
［第一実施形態］
まず、本発明の第一実施形態について、図１及び図２を参照して説明する。図１は、本発明の第一実施形態のユーザ認証ＱｏＳポリシー管理システムの構成を示すブロック図である。
【００２２】
図１に示すように、本実施形態のユーザ認証ＱｏＳポリシー管理システムは、ＬＡＮスイッチ１０、認証サーバ２０、ＰＣクライアント３０（３０−１，３０−２〜３０−ｎ）及び業務用サーバ４０（４０−１，４０−２，４０−３〜４０−ｍ）を有しており、これらが社内ＬＡＮなどによって接続されている。
【００２３】
ＬＡＮスイッチ１０は、ネットワークの中継機であり、レイヤ２スイッチなどを用いることができる。
このＬＡＮスイッチ１０は、ＰＣクライアント３０からログオン情報（ユーザ名及びパスワード等）を受信すると、認証を行うために、そのログオン情報を認証サーバ２０に送信する。このとき、ＬＡＮスイッチ１０は、ユーザ名とＭＡＣアドレス（Ｍｅｄｉａ　Ａｃｃｅｓｓ　Ｃｏｎｔｒｏｌ　Ａｄｄｒｅｓｓ）の対応を記憶しておく。
また、ＬＡＮスイッチ１０は、認証結果を認証サーバ２０から受信する。そして、この認証結果が正である場合には、あわせてユーザ情報を受信する。
【００２４】
このユーザ情報には、ＶＬＡＮ情報及びＱｏＳ情報が含まれる。ＶＬＡＮ情報とは、ＬＡＮスイッチ１０にユーザごとのアクセス制御ポリシーを設定するための情報であり、アクセスを許可するポートの範囲を示す。このＶＬＡＮ情報は、ユーザ名、ＶＬＡＮ名、ポート番号等により構成することができる。
ＱｏＳ情報とは、ＬＡＮスイッチ１０にユーザごとのＱｏＳポリシーを設定するための情報である。
また、このＱｏＳ情報は、ユーザ名、優先する宛先ＩＰアドレス、優先内容等により構成することができる。
この優先内容としては、キューに対する優先度などを設定することができ、例えば、優先度「１」や「２」などを設定することができる。
【００２５】
また、ＬＡＮスイッチ１０は、認証サーバ２０から返信されたＶＬＡＮ情報にもとづいて、そのＶＬＡＮをＭＡＣ　ａｄｄｒｅｓｓ　ｂａｓｅｄ　ＶＬＡＮとして自分自身に設定する。
そして、記憶しておいたＰＣクライアント３０のＭＡＣアドレスを上記ＶＬＡＮに登録して、ユーザをＭＡＣ　ａｄｄｒｅｓｓ　ｂａｓｅｄ　ＶＬＡＮに属させることによって、このユーザにアクセス制御ポリシーを適用する。また、各ユーザごとに、対応するＱｏＳポリシーを適用する。
ＰＣクライアント３０のアドレス情報として、悪意の第三者による書き換えが、比較的容易であるＩＰアドレスではなく、ＭＡＣアドレスを用いることによって、ＶＬＡＮのセキュリティーを高めることが可能となる。
【００２６】
認証サーバ２０は、Ｒａｄｉｕｓ（登録商標）やＬＤＡＰ等を利用したユーザ認証のためのサーバである。
この認証サーバ２０は、ＬＡＮスイッチ１０からログオン情報を受信して、ユーザ認証を実行する。このユーザ認証方法としては、既存の方法を用いることができる。
【００２７】
そして、認証結果が正である場合には、このユーザに対応するユーザ情報（ＶＬＡＮ情報及びＱｏＳ情報）をＬＡＮスイッチ１０に返却する。
このため、認証サーバ２０には、ユーザごとのユーザ情報をあらかじめ設定して、記憶させておく。
【００２８】
ＰＣクライアント３０は、ユーザの使用する端末であり、業務用サーバ４０に接続するにあたり、まず、ＬＡＮスイッチ１０に対してログオン情報を送信する。そして、このＬＡＮスイッチ１０によって、業務用サーバ４０に対するアクセス制御ポリシー及びＱｏＳポリシーの適用を受ける。
【００２９】
このように、初期状態においては、ＰＣクライアント３０は、ＬＡＮスイッチ１０としか接続できず、どのＶＬＡＮにも属していない状態となっており、ユーザ認証の後に、ＬＡＮスイッチ１０の設定によって、対応するＶＬＡＮに属することとなる。
業務用サーバ４０は、各種業務処理を担当するサーバであり、ＬＡＮスイッチ１０を介してＰＣクライアント３０からのアクセスを受ける。
【００３０】
次に、第一実施形態のユーザ認証ＱｏＳポリシー管理システムにおける処理手順について、図２を参照して説明する。
図２は、本実施形態のユーザ認証ＱｏＳポリシー管理システムにおける処理手順を示す流れ図である。
【００３１】
まず、ＰＣクライアント３０が、ＬＡＮスイッチ１０にアクセスして、ログオン情報（ユーザ名及びパスワード等）を送信する。この場合、ＰＣクライアント３０のユーザ（以下、単にユーザと称する場合がある。）は、ＬＡＮスイッチ１０にログオンするように見える（ステップ１０）。
【００３２】
次に、ＬＡＮスイッチ１０は、ログオン情報を認証サーバ２０に送信して照会する（ステップ１１）。このとき、ＬＡＮスイッチ１０は、ユーザ名とＭＡＣアドレスの対応を記憶しておく。
認証サーバ２０は、認証結果とユーザ情報（ユーザに対するＶＬＡＮ情報及びＱｏＳ情報）をＬＡＮスイッチ１０に返信する（ステップ１２）。
【００３３】
ここで、ユーザ情報については、認証サーバ２０による認証結果が正の場合にのみ、ＬＡＮスイッチ１０に送信され、認証結果が否の場合には、この認証結果のみが、ＬＡＮスイッチ１０に送信される。
そして、認証結果が否の場合は、ＰＣクライアント３０のアクセスは拒否され、ＬＡＮスイッチ１０は初期状態にもどる。認証結果が正の場合には、次の処理に進む。
【００３４】
ＬＡＮスイッチ１０は、返信されてきたＶＬＡＮ情報を、ＭＡＣ　ａｄｄｒｅｓｓ　ｂａｓｅｄ　ＶＬＡＮとして自分自身に設定する。
そして、このＭＡＣ　ａｄｄｒｅｓｓ　ｂａｓｅｄ　ＶＬＡＮに、ＰＣクライアント３０のＭＡＣアドレスを登録することによって、ユーザをこのＶＬＡＮに属させ、ユーザに対するアクセス制御ポリシーを適用する（ステップ１３）。
これによって、例えば、ユーザＡは、図１に示す業務用サーバ４０−１と業務用サーバ４０−２には、アクセス可能であるが、業務用サーバ４０−３にはアクセスが不可能となる。
【００３５】
さらに、ＬＡＮスイッチ１０は、返信されたＱｏＳ情報にもとづいて、ユーザに対するＱｏＳポリシーをそのユーザのＶＬＡＮに対して適用する（ステップ１４）。
これによって、例えば、ユーザＡは、業務用サーバ４０−１との通信は優先して処理されるが、業務用サーバ４０−２との通信は低優先となる。
【００３６】
ここで、ＶＬＡＮは、ユーザ単位で形成されるため、このＶＬＡＮにＱｏＳポリシーを適用するということは、ユーザ単位でＱｏＳポリシーを設定することとなる。
したがって、従来は、ＱｏＳポリシーはネットワーク全体に対してしか適用することができないものであったが、これによって、ユーザごとにＱｏＳポリシーを適用することができ、ユーザ単位のきめ細かい業務処理優先順位を設定することができる。
【００３７】
このため、ユーザに対する業務用サーバ４０の資源の最適分配を図ることができ、業務を効率化することが可能となる。
最後に、ユーザによって、ＰＣクライアント３０からログオフ要求がＬＡＮスイッチ１０に送信されると、ＬＡＮスイッチ１０は、登録したＭＡＣアドレスを削除し、ユーザをＶＬＡＮからはずして初期状態にもどる（ステップ１５）。
【００３８】
ユーザ認証ＱｏＳポリシー管理システムにおける処理手順をこのような手順とすると、ＰＣクライアント３０からの業務用サーバ４０へのアクセスに対して、ＬＡＮスイッチ１０が、ユーザごとにＶＬＡＮを形成することによって、アクセス制御ポリシーを適用することができる。
また、ＬＡＮスイッチ１０が、このＶＬＡＮにＱｏＳポリシーを設定することによって、ユーザごとにＱｏＳポリシーを適用することが可能となる。
【００３９】
［第二実施形態］
次に、本発明の第二実施形態につき、図３を参照して説明する。同図は、本発明の第二実施形態のユーザ認証ＱｏＳポリシー管理システムの構成を示すブロック図である。
【００４０】
本実施形態のユーザ認証ＱｏＳポリシー管理システムは、複数のＬＡＮスイッチ１０（１０−１，１０−２〜１０−ｐ）を有しており、ユーザによる業務用サーバ４０へのアクセスを、アクセスリスト（ａｃｃｅｓｓ−ｌｉｓｔ）を用いて制御する点で、第一実施形態と異なる。
【００４１】
図３に示すように、本実施形態のユーザ認証ＱｏＳポリシー管理システムは、ＬＡＮスイッチ１０、認証サーバ２０、ＰＣクライアント３０（３０−１，３０−２〜３０−ｎ）及び業務用サーバ４０（４０−１，４０−２，４０−３，４０−４，４０−５，４０−６〜４０−ｍ）を有しており、これらが社内ＬＡＮなどによって接続されている。
【００４２】
ＬＡＮスイッチ１０は、接続されているＰＣクライアント３０のユーザに対するアクセスリストを保有する。
このアクセスリストは、ＰＣクライアント３０のＩＰアドレス、ユーザ名、アクセスを許可するポート番号等の情報を有している。また、このアクセスリストは、初期状態では、ＰＣクライアント３０が、直接接続されたＬＡＮスイッチ１０としか通信できないように設定されている。
【００４３】
ＬＡＮスイッチ１０は、ＰＣクライアント３０からログオン情報を受信すると、これを認証サーバ２０に送信し、ユーザ認証を行う。
そして、その認証結果が正である場合には、認証サーバ２０から認証結果に加え、ユーザ情報として、フィルタ情報及びＱｏＳ情報を受信する。
【００４４】
このとき、各ＬＡＮスイッチ１０において、ユーザ名とＰＣクライアント３０のＩＰアドレスとの対応付けを記憶しない場合には、ＬＡＮスイッチ１０は、認証サーバ２０へのログオン情報の送信に際し、併せてＰＣクライアント３０のＩＰアドレスを送信するようにすることができる。
そして、認証サーバ２０は、ＬＡＮスイッチ１０に対して、このＰＣクライアント３０のＩＰアドレスも併せて返却する。
【００４５】
ここで、フィルタ情報とは、ユーザによる業務用サーバ４０へのアクセスを個別に制限するための情報であり、ユーザ名と、アクセスを許可する宛先ＩＰアドレス等により構成される。
ＬＡＮスイッチ１０は、ＰＣクライアント３０のＩＰアドレスと、フィルタ情報にもとづいて、アクセスリストを作成し、初期状態のアクセスリストと置き換える。
【００４６】
なお、アクセスリストの作成においては、フィルタ情報にもとづき作成するとともに、ＰＣクライアント３０の特定については、ＰＣクライアント３０のＩＰアドレスとユーザ名を対応付けたテーブルなどをＬＡＮスイッチ１０に記憶させることによって、これにもとづき行うこともできる。
また、ＬＡＮスイッチ１０は、認証結果が正である場合に、そのユーザのログオン情報とそのユーザが使用しているＰＣクライアント３０のＩＰアドレスを、ブロードキャストなどの方法によって、他のＬＡＮスイッチ１０に通知する。
【００４７】
さらに、ＬＡＮスイッチ１０に接続されたＰＣクライアント３０のユーザのログオン情報等を受信した他のＬＡＮスイッチ１０は、認証サーバ２０に対して、そのユーザについてのＱｏＳ情報を問い合わせて受信する。
このように、ユーザに対するアクセス制御は、そのユーザが使用しているＰＣクライアント３０が接続されたＬＡＮスイッチ１０によって行われ、ＱｏＳポリシーの適用は、業務用サーバ４０が接続された各ＬＡＮスイッチ１０のそれぞれによって行われる。
【００４８】
認証サーバ２０は、ＬＡＮスイッチ１０からログオン情報を受信すると、認証を実行し、認証結果が正である場合には、ＬＡＮスイッチ１０にその認証結果に加えて、ユーザ情報（フィルタ情報及びＱｏＳ情報）を返却する。
また、他のＬＡＮスイッチ１０からの問い合わせに対して、ＱｏＳ情報を返却する。
なお、これらの返却情報には、必要に応じて、例えばＰＣクライアント３０のＩＰアドレスなどの情報を加えるようにしてもよい。
【００４９】
ＰＣクライアント３０は、ＬＡＮスイッチ１０のいずれかと接続されており、同図において、ＰＣクライアント３０−１と３０−２は、ＬＡＮスイッチ１０−１に接続されている。
業務用サーバ４０についても、ＬＡＮスイッチ１０のいずれかと接続されており、同図においては、業務用サーバ４０−１〜４０−３は、ＬＡＮスイッチ１０−１に、業務用サーバ４０−４〜４０−６は、ＬＡＮスイッチ１０−２に接続されている。
【００５０】
次に、第二実施形態のユーザ認証ＱｏＳポリシー管理システムにおける処理手順について、図４を参照して説明する。
図４は、本実施形態のユーザ認証ＱｏＳポリシー管理システムにおける処理手順を示す流れ図である。
【００５１】
まず、ＰＣクライアント３０−１が、ＬＡＮスイッチ１０−１にアクセスして、ログオン情報（ユーザ名及びパスワード等）を送信し、ログオンを行う（ステップ３０）。
【００５２】
次に、ＬＡＮスイッチ１０−１は、ログオン情報を認証サーバ２０に送信して照会する（ステップ３１）。このとき、ＬＡＮスイッチ１０に、ユーザ名とＩＰアドレスの対応を記憶させておいてもよい。
認証サーバ２０は、認証結果とユーザ情報（ユーザに対するフィルタ情報及びＱｏＳ情報）をＬＡＮスイッチ１０−１に返信する（ステップ３２）。
【００５３】
ここで、ユーザ情報については、認証サーバ２０による認証結果が正の場合にのみ、ＬＡＮスイッチ１０−１に送信され、認証結果が否の場合には、この認証結果のみが、ＬＡＮスイッチ１０−１に送信される。
そして、認証結果が否の場合は、ＰＣクライアント３０−１のアクセスは拒否され、ＬＡＮスイッチ１０−１は初期状態にもどる。認証結果が正の場合には、次の処理に進む。
【００５４】
次に、ＬＡＮスイッチ１０−１は、そのユーザのログオン情報とそのユーザが使用しているＰＣクライアント３０−１のＩＰアドレスを、ブロードキャストなどの方法によって、他のＬＡＮスイッチ１０（１０−２〜１０−ｍ）に通知する。
このログオン情報等を受信した他のＬＡＮスイッチ１０は、認証サーバ２０に対して、そのユーザについてのＱｏＳ情報を問い合わせて受信する（ステップ３３）。
【００５５】
そして、ＬＡＮスイッチ１０−１は、ＰＣクライアント３０−１のＩＰアドレスとフィルタ情報等にもとづいてアクセスリストを作成して、初期状態のアクセスリストを更新することによって、ユーザに対してアクセス制御ポリシーを適用する（ステップ３４）。
これによって、例えば、ユーザＡは、図３に示す業務用サーバ４０−３と４０−４にはアクセス可能であるが、業務用サーバ４０−５にはアクセス不可能となるように制御することが可能となる。
【００５６】
また、ＬＡＮスイッチ１０−１及び他のＬＡＮスイッチ１０は、認証サーバ２０から受信したＱｏＳ情報を記憶するとともに、このＱｏＳ情報とＰＣクライアント３０のＩＰアドレスにもとづいて、ユーザに対するＱｏＳポリシーを適用する（ステップ３５）。
【００５７】
これによって、例えば、ユーザＡは、業務用サーバ４０−３との通信は優先して処理されるが、業務用サーバ４０−４との通信を低優先に制御することが可能となる。
最後に、ユーザがログオフすると、ＬＡＮスイッチ１０−１は、登録したアクセスリストを初期状態のアクセスリストに置き換え、初期状態に戻る（ステップ３６）。
【００５８】
なお、本実施形態においては、他のＬＡＮスイッチ１０が、それぞれ認証サーバ２０にアクセスして、ユーザに対するＱｏＳ情報を取得する構成としているが、ＬＡＮスイッチ１０−１が、他のＬＡＮスイッチ１０へログオン情報等を通知するにあたり、ＱｏＳ情報も併せて送信するようにしてもよい。
このようにすれば、他のＬＡＮスイッチ１０による認証サーバ２０への問い合わせを省略することが可能となる。
【００５９】
ユーザ認証ＱｏＳポリシー管理システムにおける処理手順をこのような手順とすれば、複数のＬＡＮスイッチ１０により構成される場合にも、ユーザごとにアクセス制御ポリシーを適用することができることに加え、ユーザごとにＱｏＳポリシーも適用することが可能となる。
【００６０】
なお、上記各実施形態を組合せて、ユーザ認証ＱｏＳポリシー管理システムを構成することもできる。
すなわち、一のＬＡＮスイッチ１０を用いる場合に、第二実施形態におけるようなアクセスリストを用いる構成とするができる。また、複数のＬＡＮスイッチ１０を用いる場合に、第一実施形態におけるようなＶＬＡＮを設定して、ユーザごとのＱｏＳポリシーの適用を実現することも可能である。
【００６１】
【発明の効果】
以上のように、本発明によれば、ユーザごとにアクセス制御ポリシー及びＱｏＳポリシーを適用することができるため、セキュリティーを高めることができるとともに、ユーザにとってそれぞれ異なる重要な通信の品質を高めることが可能となる。
また、認証サーバによって、アクセス制御ポリシーとＱｏＳポリシーを一元管理することができるため、アクセス制御ポリシーとＱｏＳポリシーの管理を容易に行うことが可能となる。
【図面の簡単な説明】
【図１】本発明の第一実施形態のユーザ認証ＱｏＳポリシー管理システムの構成を示すブロック図である。
【図２】本発明の第一実施形態のユーザ認証ＱｏＳポリシー管理システムにおける動作手順を示す流れ図である。
【図３】本発明の第二実施形態のユーザ認証ＱｏＳポリシー管理システムの構成を示すブロック図である。
【図４】本発明の第二実施形態のユーザ認証ＱｏＳポリシー管理システムにおける動作手順を示す流れ図である。
【符号の説明】
１０（１０−１，１０−２〜１０−ｐ）　ＬＡＮスイッチ
２０　認証サーバ
３０（３０−１，３０−２〜３０−ｎ）　ＰＣクライアント
４０（４０−１，４０−２，４０−３，４０−４，４０−５，４０−６〜４０−ｍ）　業務用サーバ
【図１】
2004032525.tif 000003
【図２】
2004032525.tif 000004
【図３】
2004032525.tif 000005
【図４】
2004032525.tif 000006