(57)【特許請求の範囲】
【請求項１】
物理的にセキュア化されたラックにアクセスする方法であって、
キーコンピュータシステムによりタスク識別情報を割り当てるステップであって、前記タスク識別情報はアドミニストレーションユーザグループのアドミニストレータが前記ラックにアクセスするタスクを指定する、ステップと、
前記キーコンピュータシステムから、前記アドミニストレータと、タスク制御ユニットとの両方に、前記タスク識別情報を送信するステップと、
前記キーコンピュータシステムにより、前記アドミニストレータの前記ラックへのアクセスの指定された実行のタスク記述を生成するステップと、
前記アドミニストレータと前記タスク制御ユニットとの両方に前記タスク記述を送信するステップと、
前記アドミニストレータによる前記タスク記述の確認を待つステップと、
前記アドミニストレータによる前記タスク記述の確認が前記タスク制御ユニットにより受信されたとき、前記タスク制御ユニットから前記ラックのアクセス制御ユニットへ前記タスク識別情報を転送するステップと、
前記アクセス制御ユニットが、前記タスク識別情報の入力を促すステップと、
前記アクセス制御ユニットが、入力された前記タスク識別情報を確認するステップと、
前記アクセス制御ユニットが、前記アドミニストレータのパーソナルアクセス識別情報の入力を促すステップと、
前記アクセス制御ユニットが、前記アドミニストレータの入力された前記パーソナルアクセス識別情報を確認するステップと、
前記確認するステップの両方が成功したとき、前記アドミニストレータの前記ラックへのアクセスのため、物理的アクセスセキュリティシステムを解除するステップと、を含む方法。
【請求項２】
前記アドミニストレータのパーソナルアクセス識別情報は移転不能なパーソナル識別データを含む、請求項１に記載の方法。
【請求項３】
セキュリティユーザグループは、前記タスク識別情報を割り当てるキーコンピュータシステムにアクセスできる、請求項１または２に記載の方法。
【請求項４】
前記アクセス制御ユニットは前記ラックのロケーションに設定される、
請求項１ないし３いずれか一項に記載の方法。
【請求項５】
前記方法は、第１のアドミニストレータの他に、前記アドミニストレーションユーザグループの少なくとも第２のアドミニストレータに対して実行され、
第２のタスク識別情報及び第２のパーソナルアクセス識別情報が前記第２のアドミニストレータに提供され、第２のタスク識別情報は第１のタスク識別情報とは異なり、第２のパーソナルアクセス識別情報は第１のパーソナルアクセス識別情報と異なり、
前記ラックへの前記アドミニストレータのアクセスのための前記物理的アクセスセキュリティシステムの解除は、両方のアドミニストレータの確認ステップが成功した場合にのみ行われる、
請求項１ないし４いずれか一項に記載の方法。
【請求項６】
前記アドミニストレータによる前記タスク記述の確認が前記タスク制御ユニットにより受信されたとき、前記タスク制御ユニットから前記アクセス制御ユニットへ前記タスク記述を転送するステップと、
前記タスク記述により、前記アクセス制御ユニットにより、前記アドミニストレータの前記ラックへのアクセスの正当性を確認するステップをさらに含む、
請求項１ないし５いずれか一項に記載の方法。
【請求項７】
セキュリティユーザグループのユーザは、前記タスク記述を生成するキーコンピュータシステムにアクセスできる、請求項１ないし６いずれか一項に記載の方法。
【請求項８】
前記タスク記述は、前記ラックへのアクセスのための所定時間、及び／又は前記ラックの物理的アクセスセキュリティシステムの解除のための所定時間フレーム、及び／又は人のグループ及び／又は前記ラックにおけるセキュリティ対策に関する情報又はパラメータを含む、
請求項１ないし７いずれか一項に記載の方法。
【請求項９】
前記キーコンピュータシステムで生成されるすべての情報は署名され、及び／又は暗号化される、請求項１ないし８いずれか一項に記載の方法。
【請求項１０】
コンピュータネットワークインフラストラクチャであって、
アドミニストレーションユーザグループのアドミニストレータがラックに物理的にアクセスするタスクを指定するタスク識別情報を生成し割り当てるキーコンピュータシステムと、
ラックと、
前記タスク識別情報を検出し確認し、前記アドミニストレータのパーソナルアクセス識別情報を検出し確認するアクセス制御ユニットと、
前記アドミニストレータによる前記タスクの確認に応じて、前記タスク識別情報の管理された検出と、前記キーコンピュータシステムから前記アクセス制御ユニットへの管理された転送とをするタスク制御ユニットと、
前記タスク識別情報と、前記アドミニストレータのパーソナルアクセス識別情報との確認の成功に応じて、前記ラックへの前記アドミニストレータの管理されたアクセスのための、前記アクセス制御ユニットに結合した物理的アクセスセキュリティシステムとを含む、
コンピュータネットワークインフラストラクチャ。
【請求項１１】
前記物理的アクセスセキュリティシステムは、
ケースドア用の電子ロック、
ケーシングドアを監視するセンサ、
進入の試みを検知するセンサ、又は
前記ラックへの不正な物理的アクセスの場合にエネルギー供給をスイッチオフする電子スイッチ要素のうち少なくとも１つを含む、
請求項１０に記載のコンピュータネットワークインフラストラクチャ。
【請求項１２】
請求項１乃至９いずれか一項に記載の方法を実行するよう設定された、
請求項１０又は１１に記載のコンピュータネットワークインフラストラクチャ。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、物理的にセキュアなラックへのアクセス方法及びコンピュータネットワークインフラストラクチャに関する。
【背景技術】
【０００２】
ハードウェアを収容でき、例えば、コンピュータセンターに設けられるラックへの不正アクセスを防止するため、先行技術では様々なソリューションが知られている。前記ソリューションは、ほとんど常に、アクセスコントロールがコンピュータセンター全体に及ぼされるという不都合を伴う。例えば、データセキュリティ関連コンピュータシステムを用いて、ラックへのアクセスを監視するため、アクセスセキュリティシステムの所定の（ｆｉｘｅｄｌｙ  ｄｅｆｉｎｅｄ）コードやキーが、ラックの外の唯一のエンティティに結びつけられている。ここで、例えば、許可を受けた人のコードまたはキーが許可を受けていない人に渡されたり、許可を受けた人から盗まれたりすることがある。さらに、人を特定するための既知のコンセプトの一部は、例えばチップカード、セルラ電話又はスマートホン、ＰＩＮコードなどの移転可能な特定（ｔｒａｎｓｆｅｒｒａｂｌｅ  ｉｄｅｎｔｉｆｉｃａｔｉｏｎｓ）のみを提供する。これは許可を受けていない人に手渡すことができたり、許可を受けた人から盗まれたりする可能性がある。
【０００３】
本発明の目的は、物理的にセキュア化されたラックへのセキュアな物理的アクセスの方法を改善し、セキュア化されたラックへの不正アクセスを防止することである。
【０００４】
この目的は請求項１による方法により実現できる。
【０００５】
本方法は、
−  キーコンピュータシステムによりタスク識別情報を割り当てるステップであって、前記タスク識別情報は前記ラックにアクセスするアドミニストレーションユーザグループのアドミニストレータのタスクを指定する、ステップと、
−  前記キーコンピュータシステムから、前記アドミニストレータと、前記ラックのアクセス制御ユニットとの両方に、前記タスク識別情報を送信するステップと、
−  前記アクセス制御ユニットが、前記タスク識別情報の入力を促すステップと、
−  前記アクセス制御ユニットが、入力された前記タスク識別情報を確認するステップと、
−  前記アクセス制御ユニットが、前記アドミニストレータのパーソナルアクセス識別情報の入力を促すステップと、
−  前記アクセス制御ユニットが、前記アドミニストレータの入力されたパーソナルアクセス識別情報を確認するステップと、
−  前記確認するステップの両方が成功したとき、前記アドミニストレータの前記ラックへのアクセスの物理的アクセスセキュリティシステムを解除するステップと、を含む。
【０００６】
かかる方法が提供する利点は、ラックへの物理的アクセスが解除されるのが、ラックにアクセスするアドミニストレータのタスクを特定する、独立のエンティティ（キーコンピュータシステム）によりアサインされたエンティティ識別情報が、そのアドミニストレータのパーソナル識別情報の他に成功裏に入力された場合のみであることである。このように、ラックへの物理的アクセスは、そのラック中の又はそこにあるエンティティ（アクセス制御ユニット）にファイルさ、アドミニストレータにより回避され得ない情報に依存する。また、アドミニストレータは自分自身を認証する必要もある。
【０００７】
ラックという用語は、アセンブリキャリア、挿入デバイスキャリア、コンピュータラック、サーバラック、又は一般的なハードウェアラックであって電子的データ処理コンポーネントを収容するものに関する。例えば、かかるラックは、一又は複数のプロダクションコンピュータシステムを収容するように設計される。かかるラックは、さらに、ラックの内部にアクセスするためのドアを有し、ラック内部の電子コンポーネントに物理的にアクセスできるようになっている。前記ドアはロック可能であり、許可された人間のみがアクセスを認められるようになっていてもよい。
【０００８】
タスク識別情報は、所定ラックへの所定の、場合によっては制限されたアクセスの仕様として機能する。タスク識別情報は、人に応じて、所定のアドミニストレータを設定してもよい。例えば、タスク識別情報は、アドミニストレータの「チケット」、またはラックへの時間的に制限されたアクセスのためのある種の一時的鍵、またはそれらの組み合わせを構成してもよい。
【０００９】
方法の使用は、例えば、コンピュータセンターにおける、例えば、複数のラックにおけるものが考えられる。例えば、一又は複数のプロダクションコンピュータシステム及び／又はその他のハードウェアが、例えば複数のラックに配置されたものが考えられる。個々の所定のラックにアクセスするアドミニストレータのタスクは、タスク識別情報により制限され得る。アドミニストレータは、残りのラックにはアクセスできない。さらに、タスク識別情報をアサインすることにより、キーコンピュータシステムにおける、アサインされたタスクの文書化ができ、これにより、アサインされたタスク、又は所定のラックへの実行されたアクセスのトレーサビリティが向上する。
【００１０】
このように、提案の方法が概して提供する利点は、アドミニストレータのパーソナルアクセス識別情報に加えて、ラックにアクセスするタスク識別子をプロンプトの入力を指示（ｐｒｏｍｐｔ）することである。これは独立のエンティティ（キーコンピュータシステム）によりアクセスタスクに対して個別に生成され、アドミニストレータに送信される。タスク識別情報は、アドミニストレータのアクセスを所定のラックに制限する。こうすることにより、アドミニストレータが、パーソナルアクセス識別情報だけに基づいてコンピュータセンターのすべてのコンピュータシステムにアクセスすることを防止する。
【００１１】
さらに、対応するアクセス制御ユニットが、アサイン（ａｓｓｉｇｎ）されたタスク識別情報で事前にプログラムされている場合にのみ、ラックへのアクセスが可能である。すなわち、ラックへのアクセスは、ラックの外のエンティティ（アドミニストレータ）だけによっては可能とならず、タスクに個別にアサインされた識別情報に基づいて、ラックの又はその中のエンティティ（アクセス制御ユニット）により追加的に許可されなければならない。
【００１２】
特に、タスク識別情報とパーソナルアクセス識別情報の組み合わせにおいて、提案の方法の利点が明らかになる。パーソナルアクセス識別情報は、許可された人だけにアクセスオプションを制限する。妥当な場合、対応するアクセスタスクで許可されていない他の人には送信されない。また、タスク識別情報は、特にアサインされたタスクへのアクセスを（例えば、デバイスまたはラックに応じて、又は人に応じて時間的、場所的に）制限する。すなわち、パーソナルアクセス識別情報によれば一般的にラックへのアクセスが許可される人であっても、タスク識別情報により特にその人にタスクがアサインされていなければ、アクセスを拒絶される。結果として、アドミニストレータのパーソナルアクセス識別情報と、独立したセキュリティエンティティとしてのキーコンピュータシステムによりアクセスに特にアサインされたタスク識別情報との組み合わせにより、高度なセキュリティが実現する。
【００１３】
有利にも、アドミニストレータのパーソナルアクセス識別情報は移転不能なパーソナル識別データを含む。前記識別データは、指紋、虹彩認証、網膜スキャン、手静脈マッチング、音声プロファイルなどのバイオメトリックデータを含む。「移転不能（ｎｏｎ−ｔｒａｎｓｆｅｒａｂｌｅ）」とは、前記情報を、パスワード、数字コード、チップカードなどのように人から人へ渡すことができないことを意味する。実際、かかる移転不能情報の改ざんは非常に難しく（ｅｘｔｒｅｍｅｌｙ  ｅｌａｂｏｒａｔｅ）、ラックのアクセス保護を大幅に強化する。これにより、アクセスを許可された人だけが、ラックへのアクセスを認められる。パーソナルアクセス識別情報は、許可されていない人に簡単には移転できず、盗むこともできない。
【００１４】
好ましくは、セキュリティユーザグループの少なくとも一ユーザは、タスク識別情報をアサイン（ａｓｓｉｇｎ）するために、キーコンピュータシステムにアクセスできる。任意的には、キーコンピュータシステムにおいてタスク識別情報をアサインすることは、４つの目原則（ｆｏｕｒ−ｅｙｅｓ  ｐｒｉｎｃｉｐｌｅｓ）又は複数の目原則（ｍｕｌｔｉ−ｅｙｅｓ  ｐｒｉｎｃｉｐｌｅｓ）に基づき行われても良い。セキュリティユーザグループは、アドミニストレーションユーザグループとは異なっても良い（又は、有利にも異なっていなければならない）。この場合、アドミニストレータは、キーコンピュータシステムにはアクセスできず、自分にタスク識別情報をアサインするためにキーコンピュータシステムには（操作という面では）アクセスできない。このように、強制的マルチパーソンシステムが必要となる。
【００１５】
代替的に、アドミニストレーションユーザグループが、場合によっては所定の人に制限されて、タスク識別情報をアサインするためにキーコンピュータシステムにアクセスしてもよい。この場合、理論的にはアドミニストレータが自分にタスク識別情報をアサインしてもよいが、ラックへのアクセスが必要となるたびに、対応するタスク識別情報を生成する必要があるため、高度なセキュリティが確保できる。このように、上記の通り、アサインされたタスクや実行されたアクセスの文書化及びトレーサビリティが確保される。この場合でも、コンピュータセンター全体において、ラックやすべてのコンピュータシステムへの、アドミニストレータの望ましくない自由なアクセスが抑制される。
【００１６】
有利にも、アクセス制御ユニットはラックのロケーションに設定される。アクセス制御ユニットはラックの一部であってもよく、すなわちラックに組み込まれていてもよい。代替的に、アクセス制御ユニットは、ラックとは論理的及び／又は物理的に別に構成された個別のセキュリティシステムであるが、セキュア化されたアクセス（ｓｅｃｕｒｅｄ  ａｃｃｅｓｓ）を管理するためにラックと通信してもよい。決定要因は、許可された人が、アクセス制御ユニットにより、ラックのロケーションにおいて、自分のパーソナルアクセス識別情報とタスク識別情報とを入力する必要があるということである。結果として、結局、追加的アクセス制御（例えばビデオシステム、キー／ロックシステムなど）を用いて、アクセス制御ユニットにおける許可が成功すれば、許可された人のみがラックのロケーションに残り、不正な人に置き換われない。
【００１７】
好ましくは、説明のような方法は、アドミニストレーションユーザグループの、第１のアドミニストレータ以外の、少なくとも第２のアドミニストレータに対して行われる。ここで、第２のタスク識別情報が第２のアドミニストレータに提供される。これは第１のタスク識別情報とは異なる。また、第２のパーソナルアクセス識別情報が提供される。これは第１のパーソナルアクセス識別情報とは異なる。両方のアドミニストレータの確認するステップが成功したとき、アドミニストレータのラックへのアクセスのため、物理的アクセスセキュリティシステムの解除が行われ得る。
【００１８】
これによる利点は、マルチパーソンシステムがアドミニストレーションユーザグループに使われることである。アドミニストレータ１人では本方法を実行できない。本方法は、３人以上のアドミニストレータのために設計されるとかえって良い。例えば、少なくとも２人のアドミニストレータと（他のグループの）１人のセキュリティパーソンを必要としてもよい。本方法により多くの人が関与する必要があればあるほど、確保されるセキュリティの程度が高くなる。
【００１９】
好ましくは、本発明は、次の追加的ステップを含む：
−  ラックへのアドミニストレータのアクセスの指定された実行のため、キーコンピュータシステムによりタスク記述を生成するステップ、
−  タスク記述を、アドミニストレータと、タスク制御ユニットとの両方に送信するステップ、及び
−  アドミニストレータによるタスク記述の確認を待つステップ。
【００２０】
タスク記述（ｔａｓｋ  ｄｅｓｃｒｉｐｔｉｏｎ）により、ラックへのアクセスの実行のための一定のパラメータの設定及び文書化が可能である。前記パラメータは、ラックへのアクセスが、例えば時、時間、人のグループ、ラックのおけるセキュリティ手段（例えば、ラック内の一以上のプロダクションコンピュータシステムにおけるセキュリティバックアップ、再生ポイントの確立、秘密データの暗号化など）など、どのように設計され実行されるかを決定する。タスク記述は、アドミニストレータにより留意され、確認される必要がある。代替的に、タスク記述は、概して、アドミニストレーションユーザグループに送信され、前記グループにより確認されてもよい。
【００２１】
好ましくは、本発明は、次の追加的ステップを含む：
−  前記キーコンピュータシステムから前記タスク制御ユニットに前記タスク識別情報を送信するステップと、
−  タスク記述の確認が、タスク制御ユニットからアドミニストレータにより受信されたとき、タスク制御ユニットからアクセス制御ユニットにタスク識別情報を転送するステップ。
【００２２】
有利にも、アドミニストレータによるタスク記述の確認の後に、タスク識別情報がアクセス制御ユニットに送信される。そうでなければ、各識別情報はアクセス制御ユニット内に保存されない。アドミニストレータがタスク記述を知っていたとしても、ラックへのアクセスは拒絶される。肯定的な比較情報が保存されていないからである。代替的に、タスク記述は、アドミニストレーションユーザグループにより概して確認されてもかえってよい。他の代替的または追加的なオプションとして、タスク制御ユニットからアクセス制御ユニットにタスク識別情報を転送するため、タスク自体の確認のみが必要であってもよい。
【００２３】
一般的に、上記の手段により保証されるべきことであるが、アドミニストレーションユーザグループのアドミニストレータは、場合によってはタスク記述により、タスク自体に留意し確認した後に、ラックにアクセスできる。これによっても、提案のマルチエンティティアクセス方法におけるセキュリティが向上する。
【００２４】
有利にも、説明の方法は、次の追加的ステップを含む：
−  アドミニストレータによるタスク記述の確認がタスク制御ユニットにより受信されたとき、タスク制御ユニットからアクセス制御ユニットにタスク記述を転送するステップと、
−  タスク記述により、アクセス制御ユニットにより、ラックへのアドミニストレータのアクセスの正当性を確認するステップ。
【００２５】
前記さらに別の手段が提供する利点は、タスク記述の確認に基づき、状況に応じてアクセスが可能であるか、または許可されているか、アクセス制御ユニットが決定してもよいことにある。このように、アドミニストレータのパーソナルアクセス識別情報及び各タスク識別情報が適切に確認されても、アクセスは拒絶されることもある。かかる状況となるのは、例えば、予定されたセキュリティバックアップ又は秘密データの暗号化などが、ラック中の一以上のプロダクションコンピュータシステムにおいて実行又は完了していない場合であり、他の側面により、及び必要なアクセス情報以外の理由によりアクセスは可能ではない、またはまだ可能ではない。
【００２６】
かえって幸いに、代替的に、タスク記述はアドミニストレーションユーザグループにより概して確認されてもよい。
【００２７】
言うまでもなく、タスク記述の転送により、タスク制御ユニット中のアドミニストレータ又はアドミニストレーションユーザグループによる確認の後、キーコンピュータシステムからタスク制御ユニットを介してアクセス制御ユニットまでのアドミニストレータのパーソナルアクセス識別情報の転送は考えられる。代替的に、各アドミニストレータのパーソナルアクセス識別情報は、すでにアクセス制御ユニット内に予め格納されていてもよい。パーソナルアクセス識別情報の転送又は格納は、必要であれば、暗号化して行っても良い。これにより、確実に、不正な第三者による秘密のアクセス識別情報の不正な収集が防止される。
【００２８】
有利にも、セキュリティユーザグループのユーザは、タスク記述を確立するキーコンピュータシステムにアクセスできる。セキュリティユーザグループは、上記の説明と同様に、アドミニストレーションユーザグループとは異なっても良い（又は異なるべきである）。すなわち、アドミニストレータは、キーコンピュータシステムにはアクセスできず、自分の思い通りにタスク記述を確定ために、（操作という面では）キーコンピュータシステムにアクセスできない。このように、この側面に関しても、強制的マルチパーソンシステムが必要である。
【００２９】
代替的に、アドミニストレーションユーザグループのアドミニストレータは、タスク記述を確立するため、キーコンピュータシステムにアクセスできてもよい。この場合、上記の手段により、アクセス制御ユニットに各タスク識別情報を転送する前に、タスク記述が、ラックへのアクセスをしたがっているアドミニストレータによって確立及び確認される必要があるという点で、セキュリティを向上できる。
【００３０】
好ましくは、前記タスク記述は、前記ラックへのアクセスのための所定時間、及び／又は前記ラックの物理的アクセスセキュリティシステムの解除のための所定時間フレームを含む。時間は、原理的にアクセスが可能である日付に関する。時間フレームは、アクセスの開始からのアクセスの時間的長さに関する。例として、アクセスは月曜日午前１２時と火曜日午前１２時の間に行われ、アクセス時間フレームは１時間である。これは、アクセスは月曜日午前１２時と火曜日午前１２時との間に１時間可能であることを意味する。このように、ラックへのアクセスに対する時間的に限定された許可がされる。このように、タスク記述は指定された時間を有する一種のセッションを確定する。この時間内に、そのラックへのアクセスにのみ有効なタスク識別情報を入力できる。代替的に、上記のフィーチャ（ｆｅａｔｕｒｅｓ）は、タスク記述ではなく、かえってタスク識別情報に直接確定されてもよい。
【００３１】
さらに別の態様では、オブジェクトはコンピュータネットワークインフラストラクチャにより実現される。該インフラストラクチャは：
−  ラックにアクセスするアドミニストレーションユーザグループのアドミニストレータのタスクを指定する、タスク識別情報を生成し割り当てる（ａｓｓｉｇｎ）キーコンピュータシステムと、
−  ラックと、
−  前記タスク識別情報を検出し確認し、前記アドミニストレータのパーソナルアクセス識別情報を検出し確認するアクセス制御ユニットと、
−  前記タスク識別情報と、前記アドミニストレータのパーソナルアクセス識別情報との確認の成功により、前記ラックへの前記アドミニストレータの管理されたアクセスのための、前記アクセス制御ユニットに結合した物理的アクセスセキュリティシステムとを含む。
【００３２】
上記のコンポーネントを有するかかるコンピュータネットワークインフラストラクチャが提供する利点は、物理的なアクセスセキュリティシステムによるラックへのアクセスのリリースが、パーソナルアクセス識別情報と、独立なエンティティ（キーコンピュータシステム）によりアサイン（ａｓｓｉｇｎ）されたタスク識別情報が、アクセス制御ユニットにおいて成功裏に確認されたときに限られることである。結果として、コンピュータネットワークインフラストラクチャは、ラックのハードウェアへのセキュア化されたアクセスのためのコンポーネント（例えば、一又は複数のプロダクションコンピュータシステム）を提供する。これは、アクセスが複数のセキュリティ情報の組み合わせに依存するように設計されている。
【００３３】
キーコンピュータシステムは、指定されたラックへの所定の、場合によっては制限されたアクセスを指定するタスク識別情報を生成してアサインできるセキュリティエンティティとして機能する。アクセス制御ユニットは、キーコンピュータシステムにより生成されるタスク識別情報を検出して確認するように設定されたさらに別のセキュリティエンティティである。さらに、アドミニストレータのパーソナルアクセス識別情報を検出して確認するアクセス制御ユニットは、タスク識別情報以外のさらに別のセキュリティ要求として機能する。物理的アクセスセキュリティシステムは、タスク識別情報と、アドミニストレータのパーソナルアクセス識別情報との両方が正しいと、アクセス制御ユニットが確認した後に、物理的アクセスセキュリティシステムが解除（ｒｅｌｅａｓｅ）されるように設定されている。代替的に、異なるパーソナルアクセス識別情報を有する複数のアドミニストレータが必要とされてもよい。物理的アクセスセキュリティシステムは、アクセス制御システムが、タスク識別情報に加えてアドミニストレータのパーソナルアクセス識別情報を全てが有効であると確認した後に、解除される。
【００３４】
このように、コンピュータセンター内の一又は複数の所定のラックへのアクセス制御を確保できる。システム全体は、このように、別々のエンティティにより利用可能とされた、又はアサインされた複数のセキュリティ要求を必要とする。これにより、ラックへの不正なアクセスに対するセキュリティが向上する。
【００３５】
好ましくは、ラックは、キーコンピュータシステムから物理的に、及びさらに論理的に分けられているように設計される。このように、コンピュータネットワークインフラストラクチャは、マルチエンティティシステムを含む。異なるユーザグループ（キーコンピュータシステムのセキュリティユーザグループと、ラックのアドミニストレーションユーザグループ）はそれぞれ必要に応じて各エンティティにアクセスできる。すなわち、セキュリティユーザグループは、キーコンピュータシステムにアクセスできるが、必ずしもラックへはアクセスできない。したがって、アドミニストレーションユーザグループは、ラックにはアクセスできるが、必ずしもキーコンピュータシステムにはアクセスできない。これによっても、好都合にもコンピュータネットワークインフラストラクチャのセキュリティが向上する。
【００３６】
好ましくは、コンピュータネットワークインフラストラクチャは、管理された状態で、アドミニストレータによるタスクの確認に応じて、キーコンピュータシステムからアクセス制御ユニットにタスク識別情報を検出して転送するアクセス制御ユニットを含む。説明の方法に関して上記したように、タスク制御ユニットにおけるタスク識別情報の転送は、アドミニストレータによるタスクの確認に応じて行われるように設定される。代替的に、タスク制御ユニットの設計は、キーコンピュータシステムにより生成され得るタスク識別情報が、生成されるタスク記述の確認に応じて、アクセス制御ユニットに転送されるようになっている。代替的に、タスクまたはタスク記述の確認は、（上記の通り）アドミニストレーションユーザグループにより一般的には行われることが考えられる。
【００３７】
有利にも、コンピュータネットワークインフラストラクチャのアクセスセキュリティシステムは、次の内少なくとも１つを含む：
−  ケースドア用の電子ロック、
−  ケーシングドアを監視するセンサ、
−  進入の試みを検知するセンサ、又は
−  前記ラックへの不正な物理的アクセスの場合にエネルギー供給をスイッチオフする電子スイッチ要素。
【００３８】
上記のセキュリティコンポーネントは、不正アクセスに対して、ラックを物理的にセキュア化するように機能する。さらに別のセキュリティコンポーネントとコンピュータネットワークインフラストラクチャと組み合わせて、上記のセキュリティコンポーネントは、ラックへのセキュア化されたアクセス制御の有効な手段を構成する。
【００３９】
有利にも、コンピュータネットワークインフラストラクチャの設定は、ここに説明の方法と態様により本方法が実行され得るようになっている。
【００４０】
本方法に関するすべての利点、手段、及び手順は、ここに説明したタイプのコンピュータネットワークインフラストラクチャのコンテキストで適用され得る。次に、コンピュータネットワークインフラストラクチャのすべての利点及びデバイスは、ここに説明の方法におけるアプリケーションと共に適用される。本方法のすべてのフィーチャは、コンピュータネットワークインフラストラクチャに適用可能であり、その逆も真である。
【図面の簡単な説明】
【００４１】
本発明を下記の図面を参照してさらに詳細に説明する。
【００４２】
図は、物理的にセキュア化されたラック１へのアクセス方法を実行する、コンピュータネットワークインフラストラクチャの複数のセキュリティエンティティの模式的構成を示す。
【発明を実施するための形態】
【００４３】
例えば、ラック１は、コンピュータセンター（サーバファーム）内の複数のラックサーバのうちの一又は複数のラックサーバを含み、ラック１は様々なセキュリティにより不正アクセスから物理的に保護されている。例えば、ラック１は、電子ロック、ラック１のドアを監視するセンサ、進入の試みを検出するセンサ、及び／又は不正アクセスの場合にラック１又はそれに集積された電子部品を電源オフにする電子スイッチを含んでいてもよい。しかし、明りょうかのため、こうした部品は図示していない。
【００４４】
例えば、ラック１は、コンピュータセンター内のデータのデータ処理をする、一又は複数の生産コンピュータシステムを含んでも良い。前記データは、場合によっては、コンフィデンシャルなユーザデータやカスタマデータなどを含んでいても良い。結果として、ラック１は、ハードウェア（例えば、ＣＰＵ、ハードディスクドライブ、ストレージテープ、ワーキングメモリ、リムーバブル媒体、Ｉ／Ｏインターフェースなど）への不正アクセスに対して物理的にセキュアであることが必要である。これらはラック１内に収納されている。
【００４５】
ラック１への物理的アクセスには、すなわち電子ロック又はさらにセキュリティバリアを解除するには、複数の方法ステップが必要である。
【００４６】
第１に、アドミニストレーションユーザグループ３は、セキュリティユーザグループ７に、ラック１へのアクセス要求を送信する。このタイプの要求は、例えば、ラック１のメンテナンスを理由として行われることがある。その目的では、複数のメッセージが、例えば電子メールを介して、アドミニストレーションユーザグループ３とセキュリティユーザグループ７との間で、インターラクティブな態様で交換されても良い。これらは図中の別々のユーザグループを表す（メール記号を参照）。しかし、代替案として、対応する要求（タスク）が他のエンティティ（図示せず）からセキュリティユーザグループ７に送信されることも考えられる。図は可能性のある複数のオプションのうちの１つを示す。
【００４７】
留意点として、例示した構成の替わりとして、一様なユーザグループが確立されてもよい。第１の人は、セキュリティの理由のため、ユーザグループの他の人に、ラック１へのアクセス要求をする必要がある。
【００４８】
他の人に対するラック１へのアクセス要求の利点は、人はいつも自分だけでラック１へのアクセスをできないように、複数人システムが設定されることにある。かかる原則は、４つの目原則、又は（複数人の場合には）複数の目原則としても知られている。
【００４９】
図中の構成に基づき、セキュリティユーザグループ７は、アドミニストレーションユーザグループ３の要求について、アドミニストレーションユーザグループ３の一又は複数のアドミニストレータＡ，Ｂ，Ｃ，Ｄがラック１にアクセスできるか否か、できる場合にはどうできるか、決定する。セキュリティユーザグループ７は、アドミニストレーションユーザグループ３のアドミニストレータに対して、何らかのセキュリティ管理をする。
【００５０】
ラック１へのアクセスの場合、セキュリティユーザグループ７は、例として、アドミニストレーションユーザグループ３のアドミニストレータＡとＢがラック１にアクセスできることを決定する。必要があれば、セキュリティユーザグループ７は、これを、コンファーメーションにより、アドミニストレーションユーザグループ３に伝達する。
【００５１】
セキュリティユーザグループ７はキーコンピュータシステム２にアクセスでき、これによりタスク識別情報、いわゆるタスクＰＩＮ、が生成され、割り当てられる。タスク識別情報は、アドミニストレーションユーザグループ３のアドミニストレータＡ，Ｂ，Ｃ，Ｄに、ラック１へのアクセスするタスクを指定する。それは、所定のラック１への所定の、場合によっては制約されたアクセスが、タスクＰＩＮにより指定され得る。
【００５２】
さらに、タスクＰＩＮは、人に関連し、所定のアドミニストレータＡ，Ｂ，Ｃ，Ｄがラック１へのアクセスを指定されるようになっていてもよい。特に、ラック１が複数ある場合には、明確に割り当てられたＴａｓｋ−ＰＩＮにより、個々のラック１へのアクセスが制約または限定されてもよい。その場合、他のラック１へのアクセスは解放されない。
【００５３】
さらに、タスクＰＩＮは、割り当てられたタスクの文書化、または実行されたラック１へのアクセスのトレーサビリティをキーコンピュータシステム２において行えるという利点を提供する。
【００５４】
このように、キーコンピュータシステム２は、図示した例では、各場合に、両方のアドミニストレータＡとＢに指定アクセスをするタスク識別情報（タスクＰＩＮ）を生成し、割り当てるセキュリティエンティティとして機能する。有利にも、２つのアドミニストレータＡとＢの２つのタスクＰＩＮは、互いに異なり、パーソナルなものとされている。このように、２つのタスクＰＩＮは、アドミニストレータＡとアドミニストレータＢが同時にラック１に物理的なアクセスをするとの情報を含む。ラック１は、タスクＰＩＮにより、所望ラックとして明確に指定される。他の可能性のあるラック（図示せず）へのアクセスは、タスクＰＩＮにより禁止される。
【００５５】
また、タスクの記述（タスク）は、キーコンピュータシステム２において生成される。前記タスク記述は、アドミニストレータＡとＢのラック１へのアクセスの指定された実行に関する情報またはパラメータを含む。例えば、前記情報またはパラメータは、アクセスがどのように設定され実行されるかその方法と態様、例えば、時間、時間的長さ、人のグループ、ラック１におけるセキュリティ手段（例えば、セキュリティバックアップ、リストアポイントの確立、秘密データの暗号化など）を決定する。結果として、そのタスクは、ラック１にアクセスするタスクＰＩＮの他に、無ければならないさらなるセキュリティ手段を割り当てる。タスクにおいて、ラック１へのアクセスが原則として可能である時間が指定されてもよい。さらに、アクセスの開始からのアクセスの長さを規定する時間フレームを確定してもよい。例えば、タスク中で、月曜日の午前１２時と火曜日の午前１２時の間に、１時間、アクセスが許されるとの指定を行っても良い。
【００５６】
さらに別のセキュリティ機能として、各場合に、アドミニストレーションユーザグループ３の許可を受けているすべてのアドミニストレータＡ，Ｂ，Ｃ，Ｄのパーソナルアクセス識別情報（いわゆるＩＤ）をキーコンピュータシステム２に格納する。有利にも、アドミニストレータＡ，Ｂ，Ｃ，Ｄの前記ＩＤは、バイオメトリックデータ（指紋、虹彩認識、網膜スキャン、手静脈マッチング、音声プロファイル）などの移転できないパーソナル識別データを含む。
【００５７】
次のステップにおいて、二人のアドミニストレータＡとＢのタスクＰＩＮ、タスク、及びパーソナルＩＤが、キーコンピュータシステム２からタスク制御ユニット５に送られる。同時に、タスクＰＩＮ及びタスクがキーコンピュータシステム２からアドミニストレータＡとＢにも送られる。
【００５８】
方法のさらなる進行において、タスク制御ユニット５は、最後に、アドミニストレータＡとＢによりアドミニストレータＡとＢに送信された情報の確認を待つ。タスク制御ユニット５は、二人のアドミニストレータＡとＢによる、タスクまたはタスクＰＩＮ、及び／又はタスクの確認を受信すると、すべての情報（タスク、タスクＰＩＮ及びアドミニストレータＡとＢのＩＤ）をアクセス制御ユニット４に送る。
【００５９】
アクセス制御ユニット４は、アドミニストレータＡとＢに割り当てられ送信されたタスクＰＩＮの入力を促し、確認し、アドミニストレータＡとＢのパーソナルＩＤの入力を促し、確認するさらに別のセキュリティエンティティである。アクセス制御ユニット４は有利にもラック１のロケーションに設定される。
【００６０】
ラック１へのアクセスのため、二人のアドミニストレータＡとＢは、ラック１のロケーションにあるアクセス制御ユニット４において認証される必要がある。そのため、アドミニストレータＡは、自分に送信されたタスクＰＩＮをアクセス制御ユニット４に入力する。その後、アドミニストレータＡのタスクＰＩＮは、アクセス制御ユニット４において確認される。さらに、アドミニストレータＡは、自分のパーソナルＩＤをアクセス制御ユニット４に入力する（ＩＤ  Ａ＆Ｂと示した矢印を参照）。アドミニストレータＡのパーソナルＰＩＮは、アクセス制御ユニット４においても確認される。アドミニストレータＢは、自分のタスクＰＩＮ及び自分のパーソナルＩＤについて、同じ方法を実行する。
【００６１】
パーソナルＩＤは（上記の通り）移転できないパーソナル識別データを含み得るが、これを入力するため、アクセス制御ユニット４は対応する入力要素を提供してもよい。例えば、アドミニストレータＡとＢの手静脈マッチングをする場合、アドミニストレータＡとＢの識別のため、手静脈マッチングスキャナーを設定する。同じことが網膜スキャンや虹彩スキャンや音声プロファイル検出器に当てはまる。
【００６２】
アドミニストレータＡとＢではなく、例えば（図中、別のグループとして示した）アドミニストレータＣとＤがラック１にアクセスしようとすると、これは失敗する。実際、アドミニストレータＣとＤは、一般的に、自分のパーソナルＩＤでアクセスラック１に認証されるが、アドミニストレータＡとＢのタスクＰＩＮを知らない可能性がある。アドミニストレータＣとＤが、アドミニストレータＡとＢのタスクＰＩＮを知っていたとしても、システムは、それにもかかわらず、アドミニストレータＡとＢに個人的に割り当てられたタスクＰＩＮは、アドミニストレータＣとＤの移転できないパーソナルＩＤとマッチしないと判断するだろう（例えば、アドミニストレータＡとＢのバイオメトリックな特徴がＣとＤとマッチしないため）。結果として、アクセス制御ユニット４は、キーコンピュータシステム２からタスクＰＩＮを割り当てられたのは、プロダクションコンピュータシステム１へのアクセスを要求している人ではないと判断する。この場合、アクセス制御ユニット４は、アドミニストレータＣとＤに、ラック１へのアクセスを拒絶する。
【００６３】
アドミニストレータＡとＢのタスクＰＩＮと、アドミニストレータＡとＢのパーソナルＩＤの両方の確認が成功した場合、アクセス制御ユニット４は、最終ステップにおいて、タスク記述（タスク）がラック１へのアクセスの有効性を認めるか否か確認する。タスクに規定されたラック１へのアクセスを行うパラメータが、現在許されている状況に対応する場合、ラック１へのアクセスは許可されてもよい。
【００６４】
そのため、アクセス制御ユニット４は、ラック制御ユニット６に、ラック１の物理的アクセスセキュリティシステムを解除する命令Ｃｏｎｔｒｏｌ＿Ｏｐｅｎを送信する。次いで、これにより、ラック制御ユニット６は、ラック１の物理的セキュリティシステムに、物理的アクセスセキュリティシステムを解除するコマンドＣｏｍｍａｎｄ＿ｏｐｅｎを送信する。Ｃｏｎｔｒｏｌ＿Ｏｐｅｎコマンドにより、電子ロックは開かれ、ドアをモニタするセンサがスイッチオフされ、又は許可アクセスモードなどにスイッチされる。このように、両アドミニストレータＡとＢのラック１への共同アクセスは、特にセキュア化されたラック１のハードウェアへの物理的アクセスが可能である。例えば、アドミニストレータＡとＢは、ラック１に、又はそれに収容された電子部品に、メンテナンス作業を行うことができる。
【００６５】
留意点として、図面を参照して説明した方法は、二人のアドミニストレータＡとＢに対して実行されるものである。アドミニストレータが一人だけ、または代替的に、アドミニストレータが二人より多い場合に本方法を実施することも考えられる。一般的に、より多くの人がプロセスに係わるほど、セキュリティレベルは上昇する。
【００６６】
例示したコンピュータネットワークインフラストラクチャの構成は単なる例示であり、ここに説明の方法の原理及び説明したコンピュータネットワークインフラストラクチャから逸脱することなく、もちろん本技術分野の当業者により調整または修正され得る。すべての用語は単なる例示である。
【符号の説明】
【００６７】
１  ラック
２  キーコンピュータシステム
３  アドミニストレーションユーザグループ
４  アクセス制御ユニット
５  タスク制御ユニット
６  ラック制御ユニット
７  セキュリティユーザグループ
Ａ，Ｂ，Ｃ，Ｄ  アドミニストレータ
タスク  タスク記述
タスクＰＩＮ         タスク識別情報
ＩＤ  パーソナルアクセス識別情報
Ｃｏｎｔｒｏｌ＿Ｏｐｅｎ  物理的アクセスセキュリティシステムを解除する命令
Ｃｏｍｍａｎｄ＿Ｏｐｅｎ  物理的アクセスセキュリティシステムを解除するコマンド
【図１】
0006378773.tif 000002