(57)【要約】【課題】管理者の意図しないアクセスがあったとしてもデータを保護することを目的とする。【解決手段】記憶装置のファイルシステムに格納したファイルに対するアクセス要求を受け付け、アクセス要求に基づいてファイルの参照または更新を行うデータの保護方法であって、現在の時刻が予め設定した監視期間であるか否かを判定する手順と、前記時刻が監視期間となったときには、ファイルシステムのスナップショットを取得する手順（Ｓ１０１）と、監視期間の終了となったときには、前記スナップショットでファイルシステムを更新する手順（Ｓ１０６）とを含む。【選択図】図１１
2005275775.tif 000002
【特許請求の範囲】
【請求項１】
ユーザ毎に予め設定した識別子を付与し、この識別子に対応する認証情報に基づいて、コンピュータに格納されたファイルまたはコンピュータに対するアクセス権限を付与する認証方法において、
前記識別子に対して第１のアクセス権限を付与する手順と、
前記識別子と認証情報からユーザの正当性を確認する手順と、
前記ユーザの正当性が確認されたとときには、前記第１のアクセス権限を付与する手順と、
現在の時刻が予め設定した監視期間であるか否かを判定する手順と、
前記識別子に対して第２のアクセス権限を設定する手順と、
前記時刻が監視期間内のときには、前記アクセス権限を第２のアクセス権限に変更する手順と、
前記時刻が監視期間を終了したときには、前記アクセス権限を第１のアクセス権限に復帰する手順と、
を含むことを特徴とする認証方法。
【請求項２】
前記第２のアクセス権限は、前記認証情報の種類に基づいて設定することを特徴とする請求項１に記載の認証方法。
【請求項３】
前記第２のアクセス権限は、前記認証情報の種類に応じて信頼度を決定し、この信頼度が高いものほど第２のアクセス権限を高く設定し、前記信頼度が低いものほど第２のアクセス権限を低く設定することを特徴とする請求項２に記載の認証方法。
【請求項４】
前記第２のアクセス権限は、前記認証情報の更新頻度に基づいて設定することを特徴とする請求項１に記載の認証方法。
【請求項５】
前記第２のアクセス権限は、前記認証情報の更新頻度が高いものほど第２のアクセス権限を高く設定し、前記更新頻度が低いものほど第２のアクセス権限を低く設定することを特徴とする請求項４に記載の認証方法。
【請求項６】
記憶装置のファイルシステムに格納したファイルに対するアクセス要求を受け付け、前記アクセス要求に基づいてファイルの参照または更新を行うデータの保護方法であって、
現在の時刻が予め設定した監視期間であるか否かを判定する手順と、
前記時刻が監視期間となったときには、前記ファイルシステムのスナップショットを取得する手順と、
前記時刻が監視期間の終了となったときには、前記スナップショットでファイルシステムを更新する手順と、
を含むことを特徴とするデータの保護方法。
【請求項７】
前記ファイルシステムとは異なる記憶領域に、ファイルを格納するテンポラリ格納領域を設け、
前記時刻が監視期間の間は、予め設定した第１のユーザから受け付けた更新要求に応じて、前記テンポラリ格納領域に更新要求のあったファイルを書き込む手順と、
前記時刻が監視期間の間は、予め設定した第２のユーザから受け付けた更新要求に応じて、前記ファイルシステムに更新要求のあったファイルを書き込む手順と、
前記時刻が監視期間の終了となったときには、前記スナップショットでファイルシステムを更新した後に、前記テンポラリ格納領域のファイルをファイルシステムに書き込む手順と、
を含むことを特徴とする請求項６に記載のデータの保護方法。
【請求項８】
前記時刻が監視期間の間は、前記第１のユーザから受け付けた参照要求に応じて、前記テンポラリ格納領域から更新要求のあったファイルを参照する手順と、
前記時刻が監視期間の間は、前記第２のユーザから受け付けた参照要求に応じて、前記ファイルシステムから参照要求のあったファイルを参照する手順と、
を含むことを特徴とする請求項７に記載のデータの保護方法。
【請求項９】
前記第１のユーザから受け付けた参照要求に応じて、前記テンポラリ格納領域から更新要求のあったファイルを参照する手順は、
テンポラリ格納領域に前記要求されたファイルがない場合には、前記スナップショットから前記要求されたファイルを参照することを特徴とする請求項８に記載のデータの保護方法。
【請求項１０】
前記スナップショットは、所定の間隔で取得するとともに蓄積し、前記時刻が監視期間の終了となったときには、前記監視期間開始時のスナップショットでファイルシステムを更新することを特徴とする請求項６に記載のデータの保護方法。
【請求項１１】
ユーザ毎に予め設定した識別子と認証情報を格納し、ユーザからのアクセス要求に基づいて前記識別子と認証情報を比較して、正当なユーザである場合にコンピュータには格納されたファイルまたはコンピュータに対するアクセス権限を付与するプログラムであって、
前記識別子に対して第１のアクセス権限を付与する処理と、
前記識別子と認証情報からユーザの正当性を確認する処理と、
前記ユーザの正当性が確認されたとときには、前記第１のアクセス権限を付与する処理と、
現在の時刻が予め設定した監視期間であるか否かを判定する処理と、
前記識別子に対して第２のアクセス権限を設定する処理と、
前記時刻が監視期間内のときには、前記アクセス権限を第２のアクセス権限に変更する処理と、
前記時刻が監視期間を終了したときには、前記アクセス権限を第１のアクセス権限に復帰する処理と、
をコンピュータに機能させることを特徴とする認証プログラム。
【請求項１２】
前記第２のアクセス権限は、前記認証情報の種類に基づいて設定することを特徴とする請求項１１に記載の認証プログラム。
【請求項１３】
前記第２のアクセス権限は、前記認証情報の種類に応じて信頼度を決定し、この信頼度が高いものほど第２のアクセス権限を高く設定し、前記信頼度が低いものほど第２のアクセス権限を低く設定することを特徴とする請求項１２に記載の認証プログラム。
【請求項１４】
前記第２のアクセス権限は、前記認証情報の更新頻度に基づいて設定することを特徴とする請求項１１に記載の認証プログラム。
【請求項１５】
前記第２のアクセス権限は、前記認証情報の更新頻度が高いものほど第２のアクセス権限を高く設定し、前記更新頻度が低いものほど第２のアクセス権限を低く設定することを特徴とする請求項１４に記載の認証プログラム。
【請求項１６】
記憶装置のファイルシステムに格納したファイルに対するユーザからのアクセス要求を受け付け、前記アクセス要求に基づいてファイルの参照または更新を行うデータの保護方法であって、
前記予め設定した識別子と認証情報に基づいて前記ユーザの正当性を確認する手順と、
前記ユーザの正当性が確認されたとときには、予め設定した第１のアクセス権限を付与する手順と、
現在の時刻が予め設定した監視期間であるか否かを判定する手順と、
前記時刻が監視期間となったときには、前記ファイルシステムのスナップショットを取得する手順と、
前記時刻が監視期間の間は、前記第１のアクセス権限を予め設定した第２のアクセス権限に変更する手順と、
前記時刻が監視期間の間は、前記第２のアクセス権限のユーザから受け付けた更新要求に応じて、前記ファイルシステムとは異なる領域に設けたテンポラリ格納領域に更新要求のあったファイルを書き込む手順と、
前記時刻が監視期間の終了となったときには、前記スナップショットでファイルシステムを更新する手順と、
前記スナップショットでファイルシステムを更新した後に、前記テンポラリ格納領域のファイルをファイルシステムに書き込む手順と、
前記第２のアクセス権限を前記第１のアクセス権限に復帰する手順と、
を含むことを特徴とするデータの保護方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ユーザ認証に基づいてファイルシステムへアクセスするコンピュータのデータ保護に関する。
【背景技術】
【０００２】
コンピュータの記憶装置に格納されたデータを保護する方法としては、管理者がデータにアクセスするユーザに対してアクセス権限を設定することで、アクセス権限のないユーザのアクセスを拒否し、データの保護を行っている。
【０００３】
そして、メンテナンスなどのため、アクセス権限のないユーザ（業者など）がアクセス制限されたデータにアクセスする必要が生じた場合には、その都度、業者などのコンピュータ側のアクセス権限を変更してアクセスを許可するものが知られている（例えば、特許文献１）。
【特許文献１】特開２００３−３３０８０２号
【発明の開示】
【発明が解決しようとする課題】
【０００４】
しかし、上記従来の技術では、管理者がいないときにはデータに対するアクセス権限を付与することができず、メンテナンス業務などを行うことができない。さらに、データにアクセスする各コンピュータに対して監視プログラムをインストールする必要があるため、データにアクセスするコンピュータの数が増加すると、インストールに加えてアクセス権限の設定などの労力も増加するので、管理者側が柔軟に対応するのが難しくなる。
【０００５】
また、一旦アクセス権限を付与してしまうと、管理者の意図しないファイルへアクセスする可能性が生じ、メンテナンスに不要なファイルが改竄される恐れもある。
【０００６】
そこで本発明は、上記問題点に鑑みてなされたもので、管理者の有無にかかわらず、データのアクセス権限を付与可能にするとともに、管理者の意図しないアクセスがあったとしてもデータを保護することを目的とする。
【課題を解決するための手段】
【０００７】
本発明は、ユーザ毎に予め設定した識別子を付与し、この識別子に対応する認証情報に基づいて、コンピュータに格納されたファイルまたはコンピュータ（あるいはネットワーク）に対するアクセス権限を付与する認証方法であって、前記識別子に対して第１のアクセス権限を付与する手順と、前記識別子と認証情報からユーザの正当性を確認する手順と、前記ユーザの正当性が確認されたとときには、前記第１のアクセス権限を付与する手順と、現在の時刻が予め設定した監視期間であるか否かを判定する手順と、前記識別子に対して第２のアクセス権限を設定する手順と、前記時刻が監視期間内のときには、前記アクセス権限を第２のアクセス権限に変更する手順と、前記時刻が監視期間を終了したときには、前記アクセス権限を第１のアクセス権限に復帰する手順と、
を含んで、監視期間内では動的にアクセス権限を変更する。
【０００８】
また、記憶装置のファイルシステムに格納したファイルに対するアクセス要求を受け付け、前記アクセス要求に基づいてファイルの参照または更新を行うデータの保護方法であって、現在の時刻が予め設定した監視期間であるか否かを判定する手順と、前記時刻が監視期間となったときには、前記ファイルシステムのスナップショットを取得する手順と、前記時刻が監視期間の終了となったときには、前記スナップショットでファイルシステムを更新する手順と、を含んでファイルシステムを復帰させる。
【発明の効果】
【０００９】
したがって、本発明は、管理者は識別子と認証情報をメンテナンス作業などを行う部外者に予め付与しておき、監視期間の設定みを行えばよいので、部外者によるメンテナンス作業の開始時にファイルへのアクセス許可を与える識別子（アカウントＩＤ）の貸与やファイルシステムのアクセス権の設定変更などを行う必要がなくなり、管理者が不在であっても自動的にアクセス権限を変更することでデータの安全性を確保でき、管理に要する労力を大幅に低減しながら、極めて高い安全性を確保することが可能となるのである。
【００１０】
また、所定の監視期間内に生じたファイルの更新は、監視期間の開始時点へ自動的に復帰するので、管理者が不在となる夜間や休日にファイルの改竄など管理者の意図しないアクセスが行われたとしても、これら意図しないアクセスの影響を受けることがなく、データを確実に保護することが可能となる。
【発明を実施するための最良の形態】
【００１１】
以下、本発明の一実施形態を添付図面に基づいて説明する。
【００１２】
図１は、本発明をＮＡＳ(Network Attached Storage)１に適用した場合のシステムの全体的な構成を示すブロック図で、図２はＮＡＳ１のソフトウェア構成を示すブロック図である。
【００１３】
ＮＡＳ１は、ディスク装置３、４、５と、これらディスク装置３〜５を制御するコントローラ１０を含んで構成されている。また、ＮＡＳ１は、ネットワーク６を介してＮＡＳ１を管理する管理用クライアントコンピュータ７や、ＮＡＳ１に対してデータの書き込み（更新）や読み出し（参照）を要求するクライアントコンピュータ８に接続されている。
【００１４】
管理用クライアントコンピュータ７は、ＮＡＳ１に格納されるデータ（ファイル）へアクセス（参照または更新）するユーザのアクセス権限の設定や、ＮＡＳ１のファイルやディレクトリ毎のアクセス権の設定を行うとともに、後述するデータ保護の設定を行う。なお、ディスク装置３〜５は、予め設定したファイルシステムが構築されている。
【００１５】
なお、管理用クライアントコンピュータ７及びクライアントコンピュータ８には、図示はしないがＣＰＵ、メモリ、ネットワーク６に接続されるインターフェース、表示装置や入力装置が備えられる。
【００１６】
ＮＡＳ１のコントローラ１０は後述する制御プログラムの動作によって、クライアントコンピュータ８からのユーザ認証を行った後、ファイルの参照要求、更新要求などに応じてディスク装置３に対するデータの入出力を制御するとともに、後述のデータ保護処理を実行する。
【００１７】
図１において、ＮＡＳ１のコントローラ１０には、ＣＰＵ１１、メモリ１２、データ転送コントローラ１３、ネットワークインターフェース１４及びストレージ用のインターフェース１５が設けられている。なお、メモリ１２にデータキャッシュ（図示省略）を設けても良く、あるいは、データキャッシュをデータ転送コントローラ１３側に設けても良い。
【００１８】
メモリ１２には制御プログラム（図２参照）がロードされており、ＣＰＵ１１が制御プログラムを呼び出して実行することによって後述する各種処理が行われる。
【００１９】
データ転送コントローラ１３は、ＣＰＵ１１、ネットワークインターフェース１４、ストレージインターフェース１５及びメモリ１２の間でデータを転送する。
【００２０】
図２は、コントローラ１０で実行される制御プログラムの機能ブロックを示す。ＮＡＳ＿ＯＳ２１は、各制御プログラムの実行管理を行い、後述するファイルサーバ部２２、データ保護部２３、スナップショット部２４の各制御プログラムはＮＡＳ＿ＯＳ２１の管理下で稼動し、クライアントコンピュータ８からの認証要求に応じてユーザ認証を行い、認証を完了したユーザのアカウントＩＤからの参照要求または更新要求に応じて、ディスク装置３のファイルの参照（読み出し）、更新（書き込み）を行うとともに、予め設定したデータ保護監視時間内であれば、アカウントＩＤのアクセス権限を動的に変更してアクセス制限を実行して、データの保護（ファイルの改ざん防止）を行う。
【００２１】
ファイルサーバ部２２は、クライアントコンピュータ８からの認証要求に応じて、要求のあったユーザのアカウントＩＤと、予め設定したユーザのアカウントＩＤをパスワードに基づいて認証を行う。その後、認証が完了したユーザ（アカウントＩＤ）からの参照要求または更新要求を受け付けて、ディスク装置３に対して参照、更新を行う（ファイルアクセス受付処理）。なお、ユーザのアカウントＩＤとパスワードなどを含むユーザ情報２５はディスク装置４に格納され、管理用クライアントコンピュータ７（または、管理者権限のクライアントコンピュータ８）から設定されたものである。
【００２２】
まず、全体的な動作について説明する。
【００２３】
ファイルサーバ部２２は、管理用クライアントコンピュータ７などから設定したデータ保護監視時間（またはデータ保護監視期間）に該当するか否かを判定し、データ保護監視時間（以下、監視時間とする）であれば、データ保護部２３からアクセス要求（認証要求、参照要求、更新要求）があったクライアントコンピュータ８のユーザのアカウントＩＤについて、アカウントの格付け情報を要求する。なお、データ保護監視時間は、例えば、夜間あるいは休日などなどのように管理者が不在の時間帯または期間として設定されるものである。
【００２４】
そして、ファイルサーバ部２２は、監視時間中はデータ保護部２３から受け取ったアカウントＩＤの格付け情報に基づいて、後述するように、ファイルの参照要求または更新要求に対してアクセス制限を実行する。このアクセス制限は、監視時間が終了すると解除され、再び通常の処理に復帰する。
【００２５】
アクセス制限の概要は、アカウントＩＤの運用状態に基づく格付けにより、監視時間中のアカウント格付け（アクセス許可種別）を、予め設定したポリシー情報２６に基づいて、アクセス禁止（以下、禁止とする）、制限付きアクセス可（以下、制限付きとする）、無制限の３つに大別する。
【００２６】
そして、監視時間中では、アカウント格付けが「制限付き」または「無制限」のアカウントＩＤについてアクセスを受け付けるが、監視時間終了時には制限付きのアカウントＩＤが行ったファイルの更新は破棄して監視時間の開始時の状態に戻す。そして、アカウント格付けが無制限のアカウントＩＤが行ったファイルの更新についてのみ、ファイルシステムへ反映させて監視時間を終了するのである。このため、ディスク装置３には、図２で示すように、監視時間中にアカウント格付けが無制限のユーザが行った更新ファイルを保存するフルアクセス用のテンポラリ格納領域３３が確保されている。
【００２７】
データ保護部２３は、監視時間が開始すると、まず、予め設定されたファイルシステムのスナップショットを取得し（スナップショット部２４にスナップショットの取得を要求）、監視時間の開始時点のデータとして所定の領域（ここでは、図２のディスク装置３のスナップショット記憶領域３２）に格納する。
【００２８】
そして、データ保護部２３は、所定時間毎にスナップショットを取得し、監視時間中のデータの変化を監視する。
【００２９】
監視時間が終了する時点では、データ保護部２３は、監視時間の開始時点のスナップショットでファイルシステムを更新し、ファイルシステムの状態を監視時間の開始時点に戻す。その後、ディスク装置３のテンポラリ格納領域３３にされていた無制限ユーザが更新したファイルを、ファイルシステムに書き込んで更新し、監視時間を終了する。
【００３０】
これにより、アカウント格付けが制限付きのユーザが、監視時間中に行ったファイルの更新については、監視時間の開始時点の状態に戻されてしまうため、一切反映されない。これに対して、アカウント格付けが無制限のユーザが行ったファイルの更新は、スナップショットを監視時間の開始時点に戻した後に、テンポラリ格納領域３３から書き込まれるため、監視時間中のファイルの更新を正確に反映できるのである。
【００３１】
したがって、夜間や休日にメンテナンスを行う業者などには、アカウント格付けが制限付きのアカウントＩＤを貸与し、夜間または休日に業務を行う社内のユーザに対しては、アカウント格付けが無制限のアカウントＩＤを付与しておく。これにより、管理者の有無にかかわらず、社外の業者等はメンテナンス中にファイルのアクセスを行って所定のメンテナンスを行うことができ、この際行ったファイルの更新は、一切反映されることはないので、社内のデータを確実に保護することができる。一方、夜間や休日に業務を行う社員は、無制限のアカウントＩＤを利用することで、上記業者によるメンテナンス中にファイルの更新を行っても、監視時間終了時には確実にファイルシステムに反映されることになり、確実に業務を遂行することができるのである。
【００３２】
次に、コントローラ１０で実行される各制御プログラムについて以下に説明する。
【００３３】
図３は、上記図２で示したユーザ情報２５の内容の一例を示す説明図である。
【００３４】
ファイルサーバ部２２で行うユーザ認証及びデータ保護部２３で行われるアカウント格付け処理は、ユーザ情報２５に基づいて行われる。このユーザ情報２５は、管理用クライアントコンピュータ７などから管理者によって設定され、パスワードの変更はクライアントコンピュータ８のユーザも行うことができるものである。
【００３５】
ユーザ情報２５には、管理者が設定したユーザ毎のアカウントＩＤと、管理者またはユーザが設定した任意の文字数のパスワードが対となって格納される。なお、パスワードはハッシュ関数などにより符号化される。これらアカウントＩＤとパスワードに付随して、アカウントＩＤの登録日、パスワードの変更回数、認証方法、前回の認証日時、パスワード設定時の警告回数が格納される。
【００３６】
認証方法は、クライアントコンピュータ８のキーボードなどから入力したアカウントＩＤとパスワードの文字列で行うものを図中ＰＡＳＳとし、クライアントコンピュータ８の入力装置としてＩＣカードリーダへ挿入したＩＣカードから入力を行うものを図中ＩＣとする。
【００３７】
また、警告回数は、ユーザが入力したパスワードの不一致などでＮＡＳ１がクライアントコンピュータ８に警告を送信した回数を示す。
【００３８】
さらに、アカウントＩＤの登録日から本日までのパスワードの変更回数の月単位の平均値を、パスワードの変更頻度として求めておく。
【００３９】
データ保護部２３では、上記のようにアカウントＩＤとパスワードに対応付けられたユーザの情報に基づいて、後述するように、アカウントＩＤの信頼度、換言すればユーザ毎のセキュリティの高さを判定し、アカウントの格付け情報を生成する。
【００４０】
データ保護部２３では、アカウントの格付け情報を生成する基準となるポリシーを、ディスク装置４に予め設定したポリシー情報２６から読み込んで、ユーザ情報２５とポリシー情報２６に基づいて、アカウントＩＤ毎の格付けを行う。
【００４１】
このポリシー情報２６としては、アカウントＩＤ毎の格付けを、上述のように全てのアクセスを禁止する最も低位の格付けをレベルＬＶ１とし、一部のアクセスのみを許可する「制限付き」の格付けをレベルＬＶ２、全てのアクセスを許可する「無制限」の格付けをレベルＬＶ３として、格付けを３種に分ける場合について図４、図５を参照しながら説明する。
【００４２】
図４は、監視時間の開始時にデータ保護部２３で行われるアカウント格付け処理の一例を示すフローチャートで、図５はポリシー情報２６の一例を示す説明図である。
【００４３】
まず、Ｓ１ではポリシー情報２６に予め設定されたアカウント格付けの定義である、ポリシー定義を読み込み、Ｓ２ではユーザ情報２５から１レコード読み込み、Ｓ３でＥＯＦ（End Of File）であるか否かを判定する。
【００４４】
ＥＯＦでなければＳ４にて、読み込んだユーザ情報をポリシー定義に基づいて、格付けの決定を行う。
【００４５】
格付けの決定は、認証方法のセキュリティ、パスワードの管理状態、アクセスの頻度などに基づいて、アカウントの信頼度の高さに応じて決定される。格付けの定義を格納するポリシー情報２６は、例えば、図５で示すように予め設定されている。
【００４６】
例えば、格付けレベルＬＶ１の場合、認証方法がＰＡＳＳ、パスワードの長さが１０文字未満、パスワードの変更頻度が月に１回以下、警告回数が５回を超える、未使用期間が３０日を超える、これらの条件のいずれかひとつを満たす場合には、アカウントＩＤの信頼度が低いと判断して、最低の格付けレベルＬＶ１を設定し、監視時間内のアクセスを拒否する。
【００４７】
２番目の格付けのレベルＬＶ２の場合、認証方法がＰＡＳＳ、パスワードの長さが１０文字以上、パスワードの変更頻度が月に２回以上、警告回数が５回以下、未使用期間が３０日以下、これらの条件をすべて満たす場合には、アカウントＩＤの信頼度が比較的高いと判断して、格付けレベルＬＶ２を設定し、監視時間内のアクセスを制限付きで許可する。なお、この格付けレベルＬＶ２では、上述の制限付きであるため、ファイルシステム上のファイルの更新は可能ではあるものの、監視時間の終了時にスナップショットにより上書きされるので、ファイルの更新が反映されることはない。
【００４８】
次に、最高の格付けレベルＬＶ３の場合、認証方法がＩＣカードであれば、この格付けレベルＬＶ３を付与し、監視時間内のアクセスを無制限で許可し、ファイルの更新を反映させる。
【００４９】
Ｓ５では、以上のように決定された格付け情報を出力する。なお、アカウントの格付け情報の出力は、メモリ１２上またはディスク装置３上の所定の領域にアカウントＩＤと格付けレベル及びアクセス許可を対にして格納される。
【００５０】
上記Ｓ１〜Ｓ５を、ユーザ情報２５の最後のレコードまで繰り返し、格付け情報の出力は図６で示すように、各アカウントＩＤに対応した格付けレベルとアクセス許可の種類が生成される。
【００５１】
次に、図７は、監視時間中にデータ保護部２３で行われるアカウント格付け情報提供処理の一例を示すフローチャートである。このフローチャートは、監視時間中にファイルサーバ部２２がクライアントコンピュータ８から認証要求を受けると、データ保護部２３に対してアカウントＩＤの格付け情報を問い合わせることで実行される。
【００５２】
まず、Ｓ１１では、ファイルサーバ部２２から問い合わせのあったアカウントＩＤを読み込む。Ｓ１２では、アカウントＩＤをキーとして上記Ｓ５で出力した格付け情報を検索し、Ｓ１３、Ｓ１４では該当するアカウントＩＤがあれば格付けレベルＬＶとアクセス許可を出力し、ファイルサーバ部２２へ該当するアカウントＩＤの格付け情報を引き渡す。
【００５３】
次に、図８を参照しながら、ファイルサーバ部２２で行われるアクセス要求受付処理の一例について説明する。なお、図８のフローチャートは所定の周期で繰り返して実行される。
【００５４】
まず、Ｓ２１では、クライアントコンピュータ８からのアクセス要求を受け付け、Ｓ２２では、現在時刻を取得する。そして、Ｓ２３では、現在時刻が所定の監視時間内であるか否かを判定する。監視時間内であればＳ２４へ進み、監視時間外であればＳ２６に進む。なお、アクセス要求には、アカウントＩＤ、アクセスの種類（参照または更新）、ディレクトリパス及びファイル名を含む。
【００５５】
Ｓ２４では、上記図７のアカウント格付け情報提供処理をデータ保護部２３に要求し、格付けレベルとアクセス許可を取得する。
【００５６】
次に、Ｓ２５では、取得した格付けレベルが最低のＬＶ１であるか否かを判定し、ＬＶ１であれば監視時間中はアクセスが禁止されているため、Ｓ３１に進んでアクセスを拒否する。
【００５７】
一方、格付けレベルが最低でない場合、つまり、ＬＶ２またはＬＶ３であればＳ２６に進んで、アクセス要求を行ったアカウントＩＤの認証を行う。この認証処理は通常の認証処理であり、ユーザ情報２５に格納されたアカウントＩＤとパスワードが、クライアントコンピュータ８から入力されたアカウントＩＤとパスワードに一致すれば認証を完了してＳ２７からＳ２８に進み、一致しなければ認証失敗であるためＳ３１に進む。
【００５８】
Ｓ２８は、アクセス要求を行ったアカウントＩＤが、アクセス要求を行ったファイルについてアクセス権を有するか否かを判定する。ファイルシステム側でファイル毎に設定されたアクセス権は、例えば、アカウントＩＤ（またはアカウントＩＤに対応付けられたユーザーグループ（root、guestなど））毎に、参照のみ、参照及び更新、拒否のいずれかが設定され、これらのファイルシステム側のアクセス権を満たすか否かを判定し、アクセス権があればＳ２９に進んで、後述のアクセス処理を行う一方、アクセス権がなければＳ３１へ進む。
【００５９】
Ｓ２９では、要求したファイルに対するアクセスをファイルシステムに対して行った後、Ｓ３０ではアクセスの記録をログファイルに出力し、Ｓ３１ではアクセスの結果をクライアントコンピュータ８に応答する。
【００６０】
なお、Ｓ３１の応答は、ユーザ認証が完了し、アクセス権限があればファイルのアクセス結果を応答し、ユーザ認証が失敗またはアクセス権限がない場合には拒否を通知し、さらに、監視時間内であれば、格付けレベルＬＶ１であれば、監視時間中のためアクセス拒否であることを通知する。
【００６１】
次に、上記Ｓ２９で行われるファイルシステムへのアクセス処理について、図９のサブルーチンを参照しながら説明する。
【００６２】
Ｓ５１では、クライアントコンピュータ８からのアクセス要求が参照であるか否かを判定し、参照であればＳ５２へ進んで監視時間内であるか否かを判定する。監視時間内であればＳ５３に進む一方、監視時間外であれば通常のアクセス処理を行うため、Ｓ５７に進んでファイルシステム内から要求されたファイルを検索する。
【００６３】
一方、Ｓ５３の判定で監視時間内であればアカウントの格付けがＬＶ３の無制限であるか否かを判定し、ＬＶ３であればＳ５４に進んで、要求されたファイルをテンポラリ格納領域３３から検索する。そして、Ｓ５５では、テンポラリ格納領域３３に要求されたファイルがあったか否かを判定し、テンポラリ格納領域３３に該当するファイルがない場合には、Ｓ５６で監視時間開始時点のスナップショットから検索する。
【００６４】
また、上記Ｓ５３でアカウントの格付けがＬＶ３ではない場合、つまり制限付きのＬＶ２の場合には、監視時間中のファイルの更新を反映させないので、Ｓ５７へ進んでファイルシステム内を検索する。
【００６５】
上記Ｓ５４、Ｓ５６、Ｓ５７のいずれかで検索した結果をＳ５８で取得し、上記図８のＳ３１の処理で、取得したファイルをクライアントコンピュータ８に出力（応答）する。
【００６６】
参照要求では、監視時間中でアカウントの格付けがＬＶ３の無制限のときのみ、テンポラリ格納領域３３から要求されたファイルを検索し、さらに、テンポラリ格納領域３３に要求されたファイルがないときにはスナップショットから検索を行う。一方、アカウントの格付けＬＶ２の制限付きの場合には、監視時間中は無制限のアカウント格付けレベルＬＶ３のユーザに更新されることのないファイルシステムから要求されたファイルを検索する。
【００６７】
次に、Ｓ５１でアクセス要求が参照でなかった場合には、Ｓ５９に進んでアクセス要求が更新であるか否かを判定し、更新であればＳ６０に進み、そうでなければそのまま処理を終了する。
【００６８】
更新であればＳ６０へ進んで監視時間内であるか否かを判定する。監視時間内であればＳ６１に進む一方、監視時間外であれば通常のアクセス処理を行うため、Ｓ６３に進んでファイルシステム内から要求されたファイルを格納する。
【００６９】
一方、Ｓ６１の判定で監視時間内であればアカウントの格付けがＬＶ３の無制限であるか否かを判定し、ＬＶ３であればＳ６２へ進んで、要求されたファイルをテンポラリ格納領域３３へ格納する。
【００７０】
また、上記Ｓ６１でアカウントの格付けがＬＶ３ではない場合、つまり制限付きのＬＶ２の場合には、監視時間中のファイルの更新を反映させないので、Ｓ６３へ進んでファイルシステム内を検索する。
【００７１】
上記Ｓ６２、Ｓ６３のいずれかでファイルを格納し、上記図８のＳ３１の処理で、格納が完了したことをクライアントコンピュータ８に通知（応答）する。
【００７２】
更新要求では、監視時間中でアカウントの格付けがＬＶ３の無制限のときのみ、テンポラリ格納領域３３にファイルを格納する。一方、アカウントの格付けＬＶ２の制限付きの場合には、監視時間終了後に監視時間開始時点のスナップショットで更新されるファイルシステムから要求されたファイルを検索する。
【００７３】
次に、データ保護部２３で行われるデータ保護処理について図１０を参照しながら説明する。
【００７４】
Ｓ７１で現在時刻を取得した後、Ｓ７２で監視開始時刻になったか否かを判定し、開始時刻に達していればＳ７３に進む一方、達していなければＳ７１に戻る。
【００７５】
Ｓ７３ではスナップショット部２４に対して、ディスク装置３のファイルシステムのスナップショットを取得するよう要求する。スナップショット部２４は、この要求に応じて監視時間開始時点のスナップショットＳＮ１を取得し、スナップショット記憶領域３２へ記憶する。
【００７６】
その後、Ｓ７４で所定の待機時間をおいた後に、Ｓ７５で現在時刻を取得した後、Ｓ７６で現在時刻が監視時間の終了時刻に達したか否かを判定し、終了時刻であればＳ７６に進む一方、終了時刻に達していなければＳ７３へ戻って再びスナップショットの取得要求を行う。上記Ｓ７３〜Ｓ７６のループにより、所定時間毎にファイルシステムのスナップショットを取得し、スナップショット記憶領域３２へ蓄積される。
【００７７】
終了時刻に達すると、Ｓ７７で監視時間開始時点のスナップショットを読み込んで、ファイルシステムを更新する。これにより、ファイルシステムの内容は監視時間開始時点に復帰することができる。
【００７８】
次に、Ｓ７８では、アカウント格付けレベルＬＶ３がファイルの更新を行ったテンポラリ格納領域３３の内容をファイルシステムに書き込む。これにより、監視時間中でもフルアクセスが可能なアカウント格付けレベルＬＶ３のユーザが行ったファイルの更新を、ファイルシステムに反映させることができるのである。なお、テンポラリ格納領域３３の内容をファイルシステムに書き込んだ後には、テンポラリ格納領域３３の内容はクリアされる。
【００７９】
上記処理によるクライアントコンピュータ８からのアクセス要求と、ディスク装置３のファイルシステム、テンポラリ格納領域３３、スナップショット記憶領域３２のデータの流れについて、図１１を参照しながら説明する。
【００８０】
まず、監視時間外のＳ１００では、クライアントコンピュータ８からのアクセス要求に応じて、ファイルシステムに対して参照または更新が行われる。
【００８１】
監視時間が開始されると、まず、開始時点のファイルシステムのスナップショットＳＮ１を取得してスナップショット記憶領域３２へ格納する（Ｓ１０１）。その後、所定の周期でスナップショットが取得され、スナップショット記憶領域３２にＳＮ２……ＳＮｎとして蓄積される（Ｓ１０２）。
【００８２】
一方、監視時間になると、クライアントコンピュータ８の各ユーザのアカウントＩＤは、予め設定したポリシー情報２６に応じては格付けレベルＬＶ１〜ＬＶ３に動的に変更され、最も下位の格付けレベルＬＶ１はアクセス禁止となり、制限付きの格付けレベルＬＶ２と、無制限の格付けレベルＬＶ３のみがアクセス可能となる。
【００８３】
ここで、制限付きの格付けレベルＬＶ２の参照または更新要求は、ファイルシステムに対して行われる（Ｓ１０３）。
【００８４】
これに対して、無制限の格付けレベルＬＶ３の更新要求は、ファイルシステムではなくフルアクセス用のテンポラリ格納領域３３に対して行われる（Ｓ１０４）。格付けレベルＬＶ３の参照要求は、まず、テンポラリ格納領域３３に対して行われ、該当するファイルがない場合には、監視時間開始時点のスナップショットＳＮ１から検索し、参照される（Ｓ１０５）。
【００８５】
したがって、監視時間中では、制限付きの格付けレベルＬＶ２と、無制限の格付けレベルＬＶ３は、同一のＮＡＳ１に対してアクセス要求を行うものの、アクセスする領域が異なるのである。
【００８６】
そして、監視時間が終了すると、まず、ファイルシステムは監視時間開始時点のスナップショットＳＮ１で更新され、監視時間開始時点の状態に復帰する（Ｓ１０６）。
【００８７】
次に、監視時間中に格付けレベルＬＶ３のユーザが行ったファイルの更新結果を、テンポラリ格納領域３３からファイルシステムに書き込み、無制限の格付けレベルＬＶ１を持つアカウントＩＤのユーザが行った更新結果のみをファイルシステムへ反映させるのである。
【００８８】
以上のように、データ保護を行う監視期間では、通常のアカウントＩＤを動的に変更して、更新結果を残す格付けレベルＬＶ３と、更新結果を破棄する格付けレベルＬＶ２及びアクセスを禁止する格付けレベルＬＶ１によりディスク装置３に格納されたデータに対するアクセス権限を変更する。
【００８９】
したがって、メンテナンスのために夜間や休日など管理者が不在の期間に、業者などの部外者が作業を行う必要がある場合には、監視時間中には制限付きの格付けレベルＬＶ２に対応するアカウントＩＤを貸与しておく。
【００９０】
一方、メンテナンスと同じ時間帯に通常の業務を行うユーザに対しては、監視時間中に無制限の格付けレベルＬＶ３となるアカウントＩＤを付与しておく。
【００９１】
メンテナンスを行う業者は、制限付きの格付けレベルＬＶ２により、ファイルシステムに対してアクセスを行うことができるので、正常にメンテナンス作業を行うことができる。そして、万一、誤ってファイルシステムのファイルを更新あるいは消去してしまったとしても、監視時間終了後にはスナップショットＳＮ１により、ファイルシステムは自動的に監視時間開始時点の状態に復帰することができるので、過誤によるファイルの更新はもちろん、不正な更新や消去をファイルシステムに残すことができないため、安全性を極めて高いものとすることができる。
【００９２】
特に、部外者へアカウントＩＤを貸与して、後に管理者不在のときに不正なアクセスを行ったとしても、ファイルシステムは監視時間開始時点に必ず復帰する訳であるから、ファイルを提供するＮＡＳ１の安全性を向上させることができる。
【００９３】
一方、メンテナンス作業と同時間帯に業務を行うユーザのアカウントＩＤを無制限の格付けレベルＬＶ３に対応させておけば、このユーザは監視時間開始時点のファイルシステムのスナップショットと、更新ファイルを格納するテンポラリ格納領域３３にのみアクセスし、監視時間中はファイルシステムにアクセスを行うことがないため、メンテナンス作業による影響を全く受けることがなく、かつ、業務を通常通り行うことができるので、可用性を著しく向上させることができる。
【００９４】
そして、管理者は、アカウントＩＤと格付けレベルＬＶ１〜ＬＶ３の対応関係と、監視時間または監視期間の設定のみを行えばよいので、部外者によるメンテナンス作業の開始時にアクセス許可を与えるアカウントＩＤの貸与やファイルシステムのアクセス権の設定変更などを行う必要がなくなり、予めメンテナンス作業を行う部外者に所定のアカウントＩＤを貸与しておけば、管理者が不在であっても自動的にアクセス権限を変更することができ、管理に要する労力を大幅に低減しながら、メンテナンス作業と通常の業務を両立させ、かつ、極めて高い安全性を確保することが可能となるのである。したがって、夜間や休日などのメンテナンス作業の際に、管理者が不在の場合にアクセス権限を与えることができない、という課題を解決することができる。
【００９５】
また、部外者に貸与したアカウントＩＤが管理者の不在時に悪用された場合に、ファイルの改竄、破壊を防ぐという課題に対して、監視時間の終了時にファイルシステムを監視時間開始時点へ復帰するので、アカウントＩＤの不正利用による影響を排除することができ、データを確実に保護することが可能となる。
【００９６】
また、パスワードの変更頻度やパスワードの文字数などが少なく、セキュリティに対する意識の低いユーザのアカウントＩＤについては、夜間や休日などの監視時間中のアクセス権限を動的に変更し、格付けレベルＬＶ１の低いアクセス禁止とすることにより、セキュリティレベルの低いアカウントＩＤが、管理者の不在期間などにおいて不正アクセスに利用されるのを防ぐという課題を解決することができる。
【００９７】
逆に、パスワードの変更頻度が高く、パスワードの文字数も多く、セキュリティに対する意識の高いユーザのアカウントＩＤについては、夜間や休日などの監視時間中のアクセス権限を動的に変更し、格付けレベルの高いアクセス権限とすることにより、管理者の不在時でも業務の遂行を可能にし、セキュリティの確保と利便性を両立させることができる。
【００９８】
また、監視時間中は、所定時間おきにスナップショットを取得し、蓄積するようにしたので、万一不正なアクセスや意図しないアクセスがあった場合には、変更の履歴を時系列で追うことができる。
【００９９】
なお、上記実施形態においては、アカウントＩＤ毎の認証方法やパスワードの変更頻度などに基づいて、監視時間中の格付けレベルを決定したが、管理者がアカウントＩＤ毎に格付けレベルを設定してもよい。
【０１００】
また、上記実施形態においては、ユーザのアカウントＩＤ毎に、監視時間中のアクセス権限を変更する格付けレベルを設定したが、これに限定されるものではなく、例えば、部門単位、ネットワーク単位、ユーザのグループ単位で格付けレベルを設定するようにポリシー情報２６を設定するようにしてもよい。
【０１０１】
また、上記実施形態においては、認証方法としてアカウントＩＤとパスワードの入力やＩＣカードの例を示したが、指紋や顔などの生体認証を用いても良く、これらの生体認証を用いるアカウントＩＤについては格付けレベルを最も高いものとしてもよい。つまりアカウントＩＤの所有者になりすましにくい認証方法（認証情報の種類）について格付けレベルを上げるようにすれば良く、例えば、パスワードの入力、ＩＣカード、生体認証の順にＬＶ１からＬＶ３の格付けレベルを付与すればよい。すなわち、認証情報の信頼度（ユーザ本人の偽装のしにくさ）が高いのものについて格付けレベルを高く（アクセス範囲またはアクセス携帯を広く）設定し、認証情報の信頼度が低いものほど格付けレベルを低く設定することができる。
【０１０２】
また、上記実施形態においては、ＮＡＳ１に本発明を適用した例を示したが、ファイルサーバ、クライアントコンピュータに適用しても良い。
【０１０３】
また、上記実施形態においては、スナップショット記憶領域３２とテンポラリ格納領域３３を同一のディスク装置３に設定したが、任意のディスク装置に設定することができる。
【０１０４】
また、上記実施形態においては、ファイルサーバ部２２とデータ保護部２３を同一のコントローラ１０上で実行する例を示したが、データ保護部２３を他のコンピュータで実行するようにしても良い。
【０１０５】
また、上記実施形態においては、ファイルに対するアクセス権限を動的に変更する場合を示したが、これに限定されるものではなく、コンピュータのリソース（光ディスク装置等のドライブやプリンタなどの出力機器）やネットワークのリソース（サーバやプリンタなどの出力機器、スキャナなどの入力機器）に対するアクセス権限を、監視期間中には動的に変更するようにしても良い。
【０１０６】
また、上記実施形態においては、ファイルを格納する記憶装置としてディスク装置３を用いる例を示したが、これに限定されるものではなく、ファイルの更新が可能な光ディスク装置や半導体メモリを用いても良い。
【図面の簡単な説明】
【０１０７】
【図１】システムの全体的な構成を示すブロック図。
【図２】ＮＡＳのコントローラで実行されるソフトウェア構成を示すロック図。
【図３】ユーザ情報の内容の一例を示す説明図。
【図４】監視時間の開始時にデータ保護部で行われるアカウント格付け処理の一例を示すフローチャート。
【図５】ポリシー情報２６の一例を示す説明図。
【図６】格付け情報の出力の一例を示す説明図。
【図７】監視時間中にデータ保護部２３で行われるアカウント格付け情報提供処理の一例を示すフローチャート。
【図８】ファイルサーバ部で行われるアクセス要求受付処理の一例を示すフローチャート。
【図９】図８のＳ２９で行われるファイルシステムへのアクセス処理を示すフローチャート。
【図１０】データ保護部２３で行われるデータ保護処理の一例を示すフローチャート。
【図１１】アクセス要求と、ディスク装置のファイルシステム、テンポラリ格納領域、スナップショット記憶領域のデータの流れと時間の関係を示すタイムチャート。
【符号の説明】
【０１０８】
１  ＮＡＳ
３、４、５  ディスク装置
６  ネットワーク
７  管理用クライアントコンピュータ
８  クライアントコンピュータ
１０  コントローラ
２２  ファイルサーバ部
２３  データ保護部
２４  スナップショット部
【図１】
2005275775.tif 000003
【図２】
2005275775.tif 000004
【図３】
2005275775.tif 000005
【図４】
2005275775.tif 000006
【図５】
2005275775.tif 000007
【図６】
2005275775.tif 000008
【図７】
2005275775.tif 000009
【図８】
2005275775.tif 000010
【図９】
2005275775.tif 000011
【図１０】
2005275775.tif 000012
【図１１】
2005275775.tif 000013