(57)【要約】【課題】  ｉＳＣＳＩを用いたＳＡＮにおいて、正当なユーザが、他ユーザが管理するイニシエータになりすますことを防止する。【解決手段】  上記の課題を解決するために、本発明は、１つ以上のイニシエータが動作する１つ以上の計算機、１つ以上のターゲットが動作するストレージ装置がネットワークで接続された計算機システムにおいて、計算機のユーザの正当性を認証する認証テーブルと、イニシエータの所定のターゲットへのアクセスを認可する認可テーブルとを関連付けて、アクセスを制限する。【選択図】  図４
2005310025.tif 000002
【特許請求の範囲】
【請求項１】
ネットワークを介して接続された複数の計算機からアクセス可能な、複数の記憶領域を有する記憶装置であって、
前記複数の計算機各々を識別する計算機識別子と、当該計算機識別子で識別される計算機各々がアクセス可能な前記記憶領域を特定する記憶領域識別子との組の情報を格納する認可テーブルと、
前記認可テーブルを用いて、前記記憶領域にアクセスした前記計算機を認可する認可手段と、
前記計算機を使用するユーザを識別するユーザ識別子と当該ユーザを認証する認証情報との組の情報を格納する認証テーブルと、
前記認証テーブルを用いて、前記記憶装置にアクセスしたユーザを認証するユーザ認証手段と、
前記ユーザの識別子と当該識別子で識別されるユーザがアクセスを許可されている前記記憶領域の前記記憶領域識別子との組を格納する認証名認可テーブルと、
前記認証名認可テーブルを用いて、前記認可手段において認可された計算機からアクセスした前記ユーザ認証手段において認証されたユーザが、前記記憶領域への正当なアクセス権限を有しているか否かを判断し、正当なアクセス権限を有している場合のみ、アクセスを許可する認証名認可手段と
を備えることを特徴とする記憶装置。
【請求項２】
請求項１記載の記憶装置であって、
前記認可手段は、前記計算機が前記記憶領域にアクセスする時に送出するログイン要求から、当該ログイン要求を送出した計算機の計算機識別子と当該計算機がアクセスを要求する前記記憶領域の記憶領域識別子との組を取り出し、前記認可テーブルに格納されている情報と照合し、前記認可テーブルに合致するものがある場合、当該ログイン要求を送出した計算機を認可し、
前記認証手段は、前記計算機から送出される認証要求に含まれるユーザの識別子と認証情報の組とを取り出し、前記認証テーブルに格納されている情報と照合し、前記認証テーブルに合致するものがある場合、当該ユーザを認証し、
前記認証名認可手段は、
前記ログイン要求から取り出した記憶領域識別子と前記認証要求から取り出したユーザ識別子との組が、前記認証名認可テーブルに格納されている場合、前記正当なアクセス件を有していると判断すること
を特徴とする記憶装置。
【請求項３】
ネットワークを介して接続された複数の計算機からアクセス可能な、複数の記憶領域を有する記憶装置であって、
前記複数の計算機各々を識別する計算機識別子とそれぞれの前記計算機識別子で識別される計算機がアクセス可能な前記記憶領域を特定する記憶領域識別子との組の情報を格納する認可テーブルと、
前記認可テーブルを用いて、前記記憶領域にアクセスした前記計算機を認可する認可手段と、
前記計算機を使用するユーザを識別するユーザ識別子と当該ユーザを認証する認証情報との組の情報を格納する認証テーブルと、
前記認証テーブルを用いて、前記記憶装置にアクセスしたユーザを認証するユーザ認証手段と、
前記ユーザの識別子と当該ユーザがアクセス可能な前記記憶領域の前記記憶領域識別子との組、および、前記ユーザの識別子と当該識別子で識別されるユーザが使用を許可された計算機を識別する前記計算機識別子との組を格納する認証名認可テーブルと、
前記認証名認可テーブルを用いて、前記認可手段において認可された計算機からアクセスした前記ユーザ認証手段において認証されたユーザが、前記計算機の正当な使用者であり、かつ、前記記憶領域への正当なアクセス権限を有しているか否かを判断し、正当な使用者であり、かつ、正当なアクセス権限を有している場合のみ、アクセスを許可する認証名認可手段と
を備えることを特徴とする記憶装置。
【請求項４】
請求項１、２、３いずれか１項記載の記憶装置であって、
前記計算機識別子および前記記憶領域識別子は、ｉＳＣＳＩ名であること
を特徴とする記憶装置。
【請求項５】
イニシエータが動作する計算機と、ターゲットが動作するストレージ装置とがネットワークで接続された計算機システムであって、
前記計算機は、ユーザの指示に従い、
前記ストレージ装置に向けて前記イニシエータの識別子と前記ターゲットの識別子とを含むログイン要求と、
前記ユーザを識別する識別子と認証情報とを含む認証要求と、を送出し、
前記ストレージ装置は、
前記イニシエータの識別子と、前記ターゲットの中で当該イニシエータがログインを許可されたターゲットの識別子との組を格納する認可テーブルと、
前記認可テーブルを用いて、前記ログイン要求の送出元のイニシエータを認可する認可処理手段と、
前記計算機のユーザの識別子と、当該ユーザを認証する認証情報との組を格納する認証テーブルと、
前記認証テーブルを用いて、前記認証要求を送出したユーザを認証する認証処理手段と、
前記ユーザの識別子と、前記ターゲットの中で前記ユーザがアクセスを許可されたターゲットの識別子との組を格納する認証名認可テーブルと、
前記認証名認可テーブルを用いて、前記認可処理手段において認可された前記イニシエータからログインした前記認証処理手段において認証されたユーザが、前記ターゲットへの正当なアクセス権限を有しているか否かを判断し、正当なアクセス権限を有している場合のみ、前記ログインを許可する認証名認可処理手段と、を備えること
を特徴とする計算機システム。
【請求項６】
請求項５記載の計算機システムであって、
前記ストレージ装置は、
前記ユーザの識別子と、前記イニシエータの中で前記ユーザが使用を許可されたイニシエータの識別子との組を格納する第２の認証名認可テーブルをさらに備え、
前記認証名認可処理手段は、
前記ターゲットへのアクセス権限の有無を判断する前に、前記第２の認証名認可テーブルを用いて、前記認可処理手段において認可されたイニシエータからアクセスした前記認証処理手段において認証されたユーザが、前記イニシエータの使用を許可されたユーザであるか否かを判断し、正当なユーザである場合、前記ターゲットへのアクセス権限の有無を判断すること
を特徴とする計算機システム。
【請求項７】
請求項５、６いずれか１項記載の計算機システムであって、
前記計算機システムは、前記ネットワークに接続されたストレージ管理装置をさらに備え、
前記ストレージ管理装置は、
前記認可テーブルと前記認証テーブルと前記認証名認可テーブルとに格納する情報の入力を受け付ける入力装置と、
前記入力装置を介して入力された情報を、前記ネットワークを介して前記ストレージ装置に登録する認証認可情報登録手段を備えること
を特徴とする計算機システム。
【請求項８】
請求項７記載の計算機システムであって、
前記ストレージ装置は、前記ネットワークに接続された計算機およびストレージ装置からそれぞれの装置上で動作する前記イニシエータおよび前記ターゲットの識別子を取得する識別子取得手段をさらに備え、
前記入力装置は、前記識別子取得手段で取得した前記識別子を、ユーザが選択可能な形式で提示するインタフェースを備えること
を特徴とする計算機システム。
【請求項９】
請求項５、６、７、８いずれか１項記載の計算機システムであって、
前記計算機システムは、前記ネットワークに接続されたネーム管理装置をさらに備え、
前記ネーム管理装置は、
前記イニシエータの識別子と、当該イニシエータがアクセスを許可されている前記ターゲットの識別子とを対応づけて管理するドメインテーブルと、
前記イニシエータから、当該イニシエータの識別子を含むディスカバリ要求を受け付けると、当該イニシエータがアクセスを許可されているターゲットの識別子を要求元のイニシエータに返信するディスカバリ処理手段と、を備え、
前記計算機は、前記第一のログイン要求を送出する前に、前記イニシエータの識別子を含む前記ディスカバリ要求を前記ネーム管理装置に送出し、前記アクセスを許可されているターゲットの識別子を取得すること
を特徴とする
を特徴とする計算機システム。
【請求項１０】
ネットワークを介して接続された計算機からアクセス可能な複数の記憶領域を有する記憶装置であって、
演算装置とメモリとを備え
前記メモリには、
計算機の識別子と当該計算機がアクセスを許可されている前記記憶領域の識別子との組が格納されている認可テーブルと、
ユーザの識別子と当該ユーザを認証するための認証情報との組が格納されている認証テーブルと、
前記ユーザの識別子と当該ユーザがアクセス可能な前記記憶領域の前記記憶領域識別子との組、および、前記ユーザの識別子と当該識別子で識別されるユーザが使用を許可された計算機を識別する前記計算機識別子との組を格納する認証名認可テーブルと、が格納され、
前記演算装置は、
前記計算機から当該計算機を識別する識別子とアクセス先の記憶領域を識別する識別子とを含むログイン要求を受け取ると、前記認可テーブルと照合し、前記ログイン要求元の計算機の正当性を認可する認可処理と、
前記計算機からユーザの識別子と認証情報とを含む認証要求を受け取ると、前記認証テーブルと照合し、前記ユーザの正当性を認証する認証処理と、
前記認可処理において認可された計算機から、当該計算機を識別する識別子と当該計算機がアクセスを許可されている前記記憶領域を識別する識別子と前記認証処理において認証されたユーザの識別子とを含む認証要求を受け取ると、前記認証名認可テーブルと照合し、合致した場合にログイン要求を受け付ける認証名認可処理と、を行うこと
を特徴とする記憶装置。
【請求項１１】
イニシエータが動作する計算機とターゲットが動作するストレージ装置とがネットワークを介して接続されている計算機システムにおける、イニシエータの認可方法であって、
前記ストレージ装置は、前記イニシエータを識別するイニシエータ識別子と当該イニシエータがログインを許可されている前記ターゲットを識別するターゲット識別子との対応関係を記憶する認可テーブルと、前記計算機のユーザを識別するユーザ識別子と当該ユーザを認証する認証情報との対応関係を記憶する認証テーブルと、前記ユーザ識別子と当該ユーザ識別子で識別されるユーザがアクセスを許可されている前記ターゲットのターゲット識別子との対応関係を記憶する認証名認可テーブルとを備え、
前記ストレージ装置が、前記計算機上で動作するイニシエータから当該イニシエータのイニシエータ識別子とアクセスを要求するターゲットのターゲット識別子とを含むログイン要求を受信した場合、当該ログイン要求から前記イニシエータ識別子とターゲット識別子とを取り出し、前記認可テーブルと照合してログインの可否を判断し、
前記ログインが可と判断された場合、前記計算機から当該計算機を使用するユーザのユーザ識別子と認証情報とを含む認証要求を受信し、当該認証要求から前記ユーザ識別子と認証情報とを取り出し、当該ユーザ識別子と認証情報との組を、前記認証テーブルと照合して認証の可否を判断し、
前記認証が可と判断された場合、前記認証要求に含まれる前記ユーザ識別子と前記ログイン要求に含まれる前記ターゲット識別子との組を、前記認証名認可テーブルと照合し、照合に成功した場合、前記ログイン要求を送出したイニシエータに、当該ログイン要求でアクセスを要求したターゲットへのアクセスを許可する
ことを特徴とするイニシエータの認可方法。
【請求項１２】
ネットワークを介して接続された、イニシエータが動作する第一の記憶装置からのアクセスを受け付ける、複数の記憶領域を備える第二の記憶装置であって、
前記第一の記憶装置を識別する記憶装置識別子と当該第一の記憶装置がアクセスを許可されている前記記憶領域を識別する記憶領域識別子との組の情報を格納する認可テーブルと、
前記認可テーブルを用いて、前記記憶領域にアクセスした前記第一の記憶装置を認可する認可手段と、
前記第一の記憶装置のユーザを識別するユーザ識別子と当該ユーザを認証する認証情報との組の情報を格納する認証テーブルと、
前記認証テーブルを用いて、前記記憶装置にアクセスしたユーザを認証するユーザ認証手段と、
前記ユーザの識別子と当該ユーザがアクセス可能な前記記憶領域の前記記憶領域識別子との組を格納する認証名認可テーブルと、
前記認証名認可テーブルを用いて、前記認可手段において認可された第一の記憶装置からアクセスした前記ユーザ認証手段において認証されたユーザが、前記記憶領域への正当なアクセス権限を有しているか否かを判断し、正当なアクセス権限を有している場合のみ、アクセスを許可する認証名認可手段と
を備えることを特徴とする記憶装置。
【請求項１３】
ネットワークを介して接続された複数の計算機からアクセス可能な、複数の記憶領域を有する記憶装置であって、
前記複数の計算機各々を識別する計算機識別子と、当該計算機識別子で識別される計算機各々がアクセス可能な前記記憶領域を特定する記憶領域識別子との組の情報を格納する認可テーブルと、
前記認可テーブルを用いて、前記記憶領域にアクセスした前記計算機を認可する認可手段と、
前記計算機を使用するユーザを識別するユーザ識別子と当該ユーザを認証する認証情報との組の情報を格納する認証テーブルと、
前記認証テーブルを用いて、前記記憶装置にアクセスしたユーザを認証するユーザ認証手段と、
前記ユーザ識別子と当該ユーザ識別子で識別されるユーザが使用を許可された計算機の前記計算機識別子との組を格納する認証名認可テーブルと、
前記認証名認可テーブルを用いて、前記認可手段において認可された計算機からアクセスした前記ユーザ認証手段において認証されたユーザが、前記計算機の使用を許可されているか否かを判断し、使用を許可されている場合のみ、アクセスを許可する認証名認可手段と
を備えることを特徴とする記憶装置。
【請求項１４】
ネットワークを介して接続された複数の計算機からアクセス可能な、複数の記憶領域を有する記憶装置であって、
前記計算機を使用するユーザを識別するユーザ識別子と当該ユーザを認証する認証情報との組の情報を格納する認証テーブルと、
前記認証テーブルを用いて、前記記憶装置にアクセスしたユーザを認証するユーザ認証手段と、
前記ユーザの識別子と、当該ユーザがアクセス可能な記憶領域の前記記憶領域識別子と、当該記憶領域にアクセス可能な計算機の前記計算機識別子と、の組を格納する認可テーブルと、
前記認可テーブルを用いて、前記認証手段で認証されたユーザが、前記アクセス可能な記憶領域に、当該記憶領域にアクセス可能な計算機からアクセスした場合、アクセスを認可する認可手段と
を備えることを特徴とする記憶装置。
【請求項１５】
ネットワークを介して接続された複数の計算機からアクセス可能な、複数の記憶領域を有する記憶装置であって、
前記計算機を使用するユーザを識別するユーザ識別子と当該ユーザを認証する認証情報との組の情報を格納する認証テーブルと、
前記認証テーブルを用いて、前記記憶装置にアクセスしたユーザを認証するユーザ認証手段と、
前記ユーザの識別子と、当該ユーザが使用を許可された計算機の計算機識別子と、当該計算機がアクセス可能な記憶領域の記憶領域識別子と、の組を格納する認可テーブルと、
前記認可テーブルを用いて、前記認証手段で認証されたユーザが、前記使用を許可された計算機から、当該計算機がアクセス可能な記憶領域にアクセスした場合、アクセスを認可する認可手段と
を備えることを特徴とする記憶装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、計算機からネットワークによって接続されたストレージ装置へのアクセス時の認証技術に関する。
【背景技術】
【０００２】
ファイバチャネル（以下「ＦＣ」という）を用いたストレージエリアネットワーク（以下「ＳＡＮ」という）のセキュリティを高める機能として、認可機能がある。認可機能とは、計算機からストレージ装置のリソース（ディスクなど）にアクセスがあった時、ストレージ装置がその計算機のアクセス権限を確認し、リソースにアクセス可能か否かを判断する機能である。
【０００３】
この認可機能として、ＬＵＮ（Ｌｏｇｉｃａｌ  Ｕｎｉｔ  Ｎｕｍｂｅｒ）マスキングと呼ばれるものが挙げられる。ＬＵＮマスキングとは、ストレージ装置が有する論理ユニット（Ｌｏｇｉｃａｌ  Ｕｎｉｔ；以下「ＬＵ」という）にアクセス可能な計算機を、ストレージ装置側で制限することで、不正なデータの参照、改ざんおよび消去などを防止する技術である（例えば、特許文献１参照。）。
【０００４】
一方、ＳＣＳＩコマンドなどを、ＩＰパケットのペイロードに格納されているＴＣＰパケットの伝送フレームの中に格納（カプセル化）し、ＩＰネットワーク上で送受信することにより、コマンドの送受を行い、計算機とストレージ装置との間のＩ／Ｏ処理を実現するｉＳＣＳＩが、ＳＡＮの導入コスト低減および広域化を実現する技術として注目されている。ｉＳＣＳＩを用いたＳＡＮをＩＰ−ＳＡＮという。
【０００５】
ｉＳＣＳＩをサポートするストレージ装置（ｉＳＣＳＩ対応ストレージ装置と呼ぶ。）において、ＬＵＮマスキングと同等の認可機能を実現することができる。この場合、ストレージ装置は、イニシエータのｉＳＣＳＩ名と、当該イニシエータがアクセス可能なターゲットのｉＳＣＳＩ名との対応関係をテーブル（以下「認可テーブル」という）として保持する。そして、ストレージ装置が、イニシエータからログイン要求を受信した時に、ログイン要求からイニシエータのｉＳＣＳＩ名とターゲットのｉＳＣＳＩ名とを取り出し、認可テーブルと照合することで、ログインの可否を判断する。
【０００６】
一般に、ｉＳＣＳＩ対応ストレージ装置は、上述の認可機能とは別に、認証機能をさらに備える。認証機能とは、イニシエータのユーザの正当性を確認する機能である。認証機能をサポートするストレージ装置は、認証名と、パスワードなどの認証情報との対応関係をテーブル（以下「認証テーブル」という）として保持する。そして、ストレージ装置が、イニシエータからのログイン要求へ応答した後、イニシエータから認証要求を受信した時に、認証要求から認証名と認証情報とを取り出し、認証テーブルを参照することで、ログインの可否を判断する。
【０００７】
この認証機能は、ｉＳＣＳＩ自体が備えているほか、ＩＰＳｅｃを構成するプロトコルの１つであるＩＫＥ（Ｉｎｔｅｒｎｅｔ  Ｋｅｙ  Ｅｘｃｈａｎｇｅ）の認証機能を使用することも可能である。
【０００８】
上記の認可機能と認証機能とを使用し、セキュリティを高める場合、ストレージ装置において、認可処理により、ログイン可能と判断され、かつ、認証処理により、ログイン可能と判断された場合にのみ、イニシエータはターゲットにログインできる。
【０００９】
【特許文献１】特許第３２２８１８２号公報
【発明の開示】
【発明が解決しようとする課題】
【００１０】
イニシエータは、当該イニシエータのｉＳＣＳＩ名とアクセス対象となるターゲットのｉＳＣＳＩ名とを用いてログイン要求を組み立てる。イニシエータのｉＳＣＳＩ名は、ハードウェアに固定的に割り当てられた識別子であるＦＣにおけるＷＷＮ（Ｗｏｒｌｄ  Ｗｉｄｅ  Ｎａｍｅ）とは異なり、ソフトウェアにより設定されるものである。このため、計算機の管理者が容易に変更できる。さらに、イニシエータのデフォルトのｉＳＣＳＩ名は、計算機のホスト名から自動生成される場合が多い。
【００１１】
従って、ＩＰ−ＳＡＮに、それぞれ異なるターゲットへのアクセスが許可されている複数の計算機が接続されている場合、ある計算機がアクセスを許されたターゲット以外にも、アクセスできる可能性がある。
【００１２】
すなわち、ＩＰ−ＳＡＮに接続された計算機Ａの管理者、あるいは計算機Ａの管理者権限を奪ったクラッカが、ほかの計算機Ｂで動作するイニシエータＢのｉＳＣＳＩ名を推測することができる。
【００１３】
また、ＳＬＰ（Ｓｅｒｖｉｃｅ  Ｌｏｃａｔｉｏｎ  Ｐｒｏｔｏｃｏｌ）やｉＳＮＳ（ｉｎｔｅｒｎｅｔ  Ｓｉｍｐｌｅ  Ｎａｍｉｎｇ  Ｓｅｖｉｃｅ）といったプロトコルを用いることにより、上記の計算機Ａで動作するイニシエータは、イニシエータＢがアクセス可能な全てのターゲットのｉＳＣＳＩ名を容易に取り出すことができる。
【００１４】
このような手段で入手したイニシエータＢのｉＳＣＳＩ名と、イニシエータＢがアクセスを許可されているターゲットのｉＳＣＳＩ名とを用いてログイン要求を組み立てることにより、計算機Ａで動作するイニシエータがイニシエータＢになりすますことができる。
【００１５】
認可処理は、ｉＳＣＳＩレイヤで行われるのに対して、認証処理はｉＳＣＳＩレイヤで行われることもあれば、ＩＰＳｅｃレイヤで行われることもある。ＯＳＩの７階層に当てはめると、ＩＰＳｅｃレイヤは、ネットワークレイヤとトランスポートレイヤとの中間に位置し、また、ｉＳＣＳＩレイヤはアプリケーションレイヤとなる。
【００１６】
前記の技術は、認証名とｉＳＣＳＩ名という異なるレイヤの名前を組み合わせて、ログインの可否を判断することを想定していないため、上記のなりすましを防止することができない。
【００１７】
すなわち、ストレージ装置にとって正当な計算機からの、不正なユーザによるアクセス、当該計算機にアクセスが許されていないターゲットへのアクセス等を防止することができない。
【００１８】
以下で、ユーザ「田中」が使用するパーソナルコンピュータ（以下「ＰＣ１」という）、ユーザ「鈴木」が使用するパーソナルコンピュータ（以下「ＰＣ２」という）および各パーソナルコンピュータに割り当てられたＬＵを記憶するストレージ装置から成るシステムを用いて、具体的に説明する。
【００１９】
ＰＣ１で動作するイニシエータは、「ｉｑｎ．２００３−１２．ｃｏｍ．ａｂｃ：ｐｃ１」というｉＳＣＳＩ名を持ち、認証に「ｔａｎａｋａ」という認証名と「ａｂｃ」という認証情報とを用いる。ＰＣ２で動作するイニシエータは、「ｉｑｎ．２００３−１２．ｃｏｍ．ａｂｃ：ｐｃ２」というｉＳＣＳＩ名を持ち、認証に「ｓｕｚｕｋｉ」という認証名と「ｘｙｚ」という認証情報とを用いる。
【００２０】
ストレージ装置では、ＰＣ１に割り当てられたＬＵを有する「ｉｑｎ．２００３−１２．ｃｏｍ．ａｂｃ：ｐｃ１−ｖｏｌ」というｉＳＣＳＩ名を持つターゲットと、ＰＣ２に割り当てられたＬＵを有する「ｉｑｎ．２００３−１２．ｃｏｍ．ａｂｃ：ｐｃ２−ｖｏｌ」というｉＳＣＳＩ名を持つターゲットとが動作する。
【００２１】
そして、ＰＣ１で動作するイニシエータ「ｉｑｎ．２００３−１２．ｃｏｍ．ａｂｃ：ｐｃ１」からは、ターゲット「ｉｑｎ．２００３−１２．ｃｏｍ．ａｂｃ：ｐｃ１−ｖｏｌ」へのアクセスが許可され、ＰＣ２で動作するイニシエータ「ｉｑｎ．２００３−１２．ｃｏｍ．ａｂｃ：ｐｃ２」からは、ターゲット「ｉｑｎ．２００３−１２．ｃｏｍ．ａｂｃ：ｐｃ２−ｖｏｌ」へのアクセスが許可されている。
【００２２】
ストレージ装置は、自身が保有する認可テーブルに、イニシエータ名が「ｉｑｎ．２００３−１２．ｃｏｍ．ａｂｃ：ｐｃ１」であるエントリと、ターゲット名が「ｉｑｎ．２００３−１２．ｃｏｍ．ａｂｃ：ｐｃ１−ｖｏｌ」であるエントリとから成るレコードと、イニシエータ名が「ｉｑｎ．２００３−１２．ｃｏｍ．ａｂｃ：ｐｃ２」であるエントリと、ターゲット名が「ｉｑｎ．２００３−１２．ｃｏｍ．ａｂｃ：ｐｃ２−ｖｏｌ」であるエントリとから成るレコードとを保持する。
【００２３】
また、自身が保有する認証テーブルに、認証名が「ｔａｎａｋａ」であるエントリと、認証情報が「ａｂｃ」であるエントリとから成るレコードと、認証名が「ｓｕｚｕｋｉ」であるエントリと、認証情報が「ｘｙｚ」であるエントリとから成るレコードとを保持する。
【００２４】
このシステムにおいて、ユーザ「田中」が、ＰＣ２で動作するイニシエータのｉＳＣＳＩ名を、ホスト名などから推測できた場合を考える。ユーザ「田中」は、ＰＣ１のイニシエータのｉＳＣＳＩ名を「ｉｑｎ．２００３−１２．ｃｏｍ．ａｂｃ：ｐｃ２」に変更した後、そのイニシエータが、ｉｑｎ．２００３−１２．ｃｏｍ．ａｂｃ：ｐｃ２−ｖｏｌにログイン要求を送信すると、上記の認可テーブルによる認可処理の結果、ログインが許可される。
【００２５】
さらに、イニシエータが、もとから設定されていた認証名と認証情報と（「ｔａｎａｋａ」と「ａｂｃ」）とを用いて、ｉｑｎ．２００３−１２．ｃｏｍ．ａｂｃ：ｐｃ２−ｖｏｌに認証要求を送信すると、この認証名と認証情報との組みのレコードは、上記の認証テーブルに存在するため、認証処理の結果、ログインが許可される。
【００２６】
最終的に、ＰＣ１で動作するイニシエータが、ＰＣ２に割り当てられたＬＵにアクセスできる。従って、例えば、ユーザ「田中」がユーザ「鈴木」の個人情報など、アクセス権限を持たない情報を読み書きできてしまう。
【００２７】
このように、従来の技術では、秘密情報とはいい難い認可情報による認可処理と、パスワード等による認証処理とがそれぞれ独立に行われていたため、正当な計算機からの不正なアクセスを防止できない。特に、多数の計算機が１つのストレージ装置を共有しているシステム、例えば、企業の従業員のパーソナルコンピュータのハードディスクを、１つの大容量ストレージ装置に集約するシステム等において、不正なアクセスの防止が望まれている。
【００２８】
上記事情を鑑み、本発明は、計算機から、当該計算機にネットワークで接続されたストレージ装置へのアクセスにおけるセキュリティを高める技術を提供することを目的とする。
【課題を解決するための手段】
【００２９】
上記の課題を解決するために、本発明は、１つ以上のイニシエータが動作する１つ以上の計算機、１つ以上のターゲットが動作するストレージ装置がネットワークで接続された計算機システムにおいて、認証テーブルと認可テーブルとを関連付けて、アクセスを制限する。
【００３０】
ネットワークを介して接続された複数の計算機からアクセス可能な、複数の記憶領域を有するストレージ装置であって、
前記複数の計算機各々を識別する計算機識別子とそれぞれの前記計算機識別子で識別される計算機がアクセス可能な前記記憶領域を特定する記憶領域識別子との組の情報を格納する認可テーブルと、前記認可テーブルを用いて、前記記憶領域にアクセスした前記計算機を認可する認可手段と、前記計算機を使用するユーザを識別するユーザ識別子と当該ユーザを認証する認証情報との組の情報を格納する認証テーブルと、前記認証テーブルを用いて、前記記憶装置にアクセスしたユーザを認証するユーザ認証手段と、前記ユーザの識別子と当該識別子で識別されるユーザがアクセスを許可された前記記憶領域の前記記憶領域識別子との組を格納する認証名認可テーブルと、前記認証名認可テーブルを用いて、前記認可手段において認可された計算機からアクセスした前記ユーザ認証手段において認証されたユーザが、前記記憶領域への正当なアクセス権限を有しているか否かを判断し、正当なアクセス権限を有している場合のみ、アクセスを許可する認証名認可手段とを備えることを特徴とする。
【００３１】
また、イニシエータが動作する計算機とターゲットが動作するストレージ装置とがネットワークを介して接続されている計算機システムにおける、イニシエータの認可方法であって、前記ストレージ装置は、前記イニシエータを識別するイニシエータ識別子と当該イニシエータがログインを許可されている前記ターゲットを識別するターゲット識別子との対応関係を記憶する認可テーブルと、前記計算機のユーザを識別するユーザ識別子と当該ユーザを認証する認証情報との対応関係を記憶する認証テーブルと、前記ユーザ識別子と当該ユーザ識別子で識別されるユーザがアクセスを許可されている前記ターゲットのターゲット識別子との対応関係を記憶する認証名認可テーブルとを備え、前記ストレージ装置が、前記計算機上で動作するイニシエータから当該イニシエータのイニシエータ識別子とアクセスを要求するターゲットのターゲット識別子とを含むログイン要求を受信した場合、当該ログイン要求から前記イニシエータ識別子とターゲット識別子とを取り出し、前記認可テーブルと照合してログインの可否を判断し、前記ログインが可と判断された場合、前記計算機から当該計算機を使用するユーザのユーザ識別子と認証情報とを含む認証要求を受信し、当該認証要求から前記ユーザ識別子と認証情報とを取り出し、当該ユーザ識別子と認証情報との組を、前記認証テーブルと照合して認証の可否を判断し、前記認証が可と判断された場合、前記認証要求に含まれる前記ユーザ識別子と前記ログイン要求に含まれる前記ターゲット識別子との組を、前記認証名認可テーブルと照合し、照合に成功した場合、前記ログイン要求を送出したイニシエータに、当該ログイン要求でアクセスを要求したターゲットへのアクセスを許可する。
【発明の効果】
【００３２】
計算機から、ネットワークによって接続されたストレージ装置へのアクセスにおけるセキュリティを高めることができる。
【発明を実施するための最良の形態】
【００３３】
以下、本発明の実施形態について図面を用いて説明する。以下の図中、同一の部分には同一の符号を付加する。
【００３４】
〔第一の実施形態〕
最初に、本発明を適用した計算機システムの第一の実施形態を説明する。
【００３５】
図１は、本実施形態の計算機システムの構成例を示した図である。計算機システムは、ｉＳＣＳＩによりホストと通信する機能を有し、単体の記憶装置あるいは複数の記憶装置を有する記憶装置システムであるストレージ装置１、ストレージ装置１を管理する装置であるストレージ管理装置２、ホストやストレージ装置１のｉＳＣＳＩネームを一元管理するネーム管理装置３、ｉＳＣＳＩを用いてストレージ装置１と通信する機能を有するホスト４、ＩＰＳｅｃを用いて安全な通信路を確立した上でｉＳＣＳＩを用いてストレージ装置１と通信する機能を有するホストであるＩＰＳｅｃホスト５、ｉＳＣＳＩのトラフィックが流れるネットワークであるＩＰ−ＳＡＮ８および管理用のトラフィックが流れるネットワークである管理用ネットワーク９を備える。
【００３６】
また、ストレージ装置１、ストレージ管理装置２、ネーム管理装置３、ホスト４およびＩＰＳｅｃホスト５とＩＰ−ＳＡＮ８とはＵＴＰケーブルや光ファイバケーブル等の通信線１０で接続されている。同様に、ストレージ装置１、ストレージ管理装置２、ネーム管理装置３、ホスト４およびＩＰＳｅｃホスト５と管理用ネットワーク９とはＵＴＰケーブルや光ファイバケーブル等の通信線１１で接続されている。なお、前記記憶装置システムでは、ＲＡＩＤ構成が採用されていてもよい。
【００３７】
図２（Ａ）は、ホスト４の構成を説明するための図である。ホスト４は、主記憶装置メモリ（以下「主メモリ」という）４０１、バスなどの通信線４０２、ハードディスクドライブやＤＶＤ等により構成される記憶装置（以下「磁気ディスク」という）４０３、中央演算装置（以下「ＣＰＵ」という）４０４、表示装置などの出力装置（以下「ディスプレイ」という）４０５、マウスなどのポインティング装置４０６、キーボードなどの文字入力装置４０７、ホスト４を通信線１０と接続するインタフェースであるネットワークインタフェース４０８（以下「ＮＩＦ」という）およびホスト４を通信線１１と接続するインタフェースである管理用ＮＩＦ４０９を備える。
【００３８】
主メモリ４０１には、イニシエータとしての動作を行う際にＣＰＵ４０４で実行されるｉＳＣＳＩ処理プログラム４２０、ネーム管理装置３に前記イニシエータのｉＳＣＳＩ名を登録する際にＣＰＵ４０４で実行されるｉＳＣＳＩ名登録プログラム４２１、ストレージ装置１のターゲットをディスカバリする際にＣＰＵ４０４で実行されるディスカバリプログラム４２２および前記ｉＳＣＳＩイニシエータのｉＳＣＳＩ名などの構成定義情報をストレージ管理装置２に送信する際にＣＰＵ４０４で実行される構成定義送信プログラム４２３が格納される。
【００３９】
磁気ディスク４０３は、前記構成定義情報を記憶する領域である構成定義記憶領域４３０を備える。
【００４０】
図２（Ｂ）は、ＩＰＳｅｃホスト５の構成を説明するための図である。ＩＰＳｅｃホスト５は、主メモリ５０１、通信線５０２、磁気ディスク５０３、ＣＰＵ５０４、ディスプレイ５０５、ポインティング装置５０６、文字入力装置５０７、通信線１０を接続するＮＩＦ５０８および通信線１１を接続する管理用ＮＩＦ５０９を備える。
【００４１】
主メモリ５０１には、ｉＳＣＳＩ処理プログラム５２０、ｉＳＣＳＩ名登録プログラム５２１、ディスカバリプログラム５２２、構成定義送信プログラム５２３およびＩＰＳｅｃの処理を行う際にＣＰＵ５０４で実行されるＩＰＳｅｃ処理プログラム５２４が格納される。
【００４２】
磁気ディスク５０３は、構成定義記憶領域５３０を備える。
【００４３】
図２（Ｃ）は、ネーム管理装置３の構成を説明するための図である。ネーム管理装置３は、主メモリ３０１、通信線３０２、磁気ディスク３０３、ＣＰＵ３０４、ディスプレイ３０５、ポインティング装置３０６、文字入力装置３０７、通信線１０を接続するＮＩＦ３０８および通信線１１を接続する管理用ＮＩＦ３０９を備える。
【００４４】
主メモリ３０１には、ｉＳＣＳＩ名登録要求を受信し、その内容をテーブルに保存する際にＣＰＵ３０４で実行されるｉＳＣＳＩ名登録受信プログラム３２０、ｉＳＣＳＩ名、ディスカバリドメインおよびディスカバリドメインセットに関わる問い合わせ要求を受信し、その内容に従ってテーブルを検索し結果を返信する際にＣＰＵ３０４で実行されるクエリ要求受信プログラム３２１およびディスカバリドメインやディスカバリドメインセットの登録要求を受信し、その内容をテーブルに保存する際にＣＰＵ３０４で実行されるドメイン登録受信プログラム３２２が格納される。
【００４５】
ここで、ディスカバリドメインとは、イニシエータと、当該イニシエータがログイン可能なターゲットとの集合である。イニシエータがログイン可能なタ−ゲットのｉＳＣＳＩ名を、ネーム管理装置３に問い合わせると、ネーム管理装置３はそのイニシエータと同じディスカバリドメインに所属する全てのターゲットのｉＳＣＳＩ名を返信する。
【００４６】
また、ディスカバリドメインセットとは、ディスカバリドメインの集合である。例えば、同じ部署や業務ごとにディスカバリドメインをグループ化し、ディスカバリドメインセットとして作成することが可能である。
【００４７】
なお、ディスカバリドメインの情報（ディスカバリドメインの名前、そのディスカバリドメインに所属するｉＳＣＳＩノードの名前など）は、ｉＳＣＳＩノードが起動する前に、ネーム管理装置３に登録する。これは、イニシエータが起動したときに、ターゲットをディスカバリするためである。
【００４８】
磁気ディスク３０３には、イニシエータおよびターゲットのｉＳＣＳＩ名などの情報を記憶するｉＳＣＳＩ名テーブル３３０、ディスカバリドメインの名前などの情報を記憶するドメインテーブル３３１およびディスカバリドメインセットの名前などの情報を記憶するドメインセットテーブル３３２が格納される。
【００４９】
図３は、ストレージ管理装置２の構成を説明するための図である。ストレージ管理装置２は、主メモリ２０１、通信線２０２、磁気ディスク２０３、ＣＰＵ２０４、ディスプレイ２０５、ポインティング装置２０６、文字入力装置２０７、通信線１０を接続するＮＩＦ２０８および通信線１１を接続する管理用ＮＩＦ２０９を備える。
【００５０】
主メモリ２０１には、システム管理者等にグラフィカルなユーザインタフェースを提供する際にＣＰＵ２０４で実行されるＧＵＩ制御プログラム２２０、ホスト４、ＩＰＳｅｃホスト５およびストレージ装置１からｉＳＣＳＩ名などの構成定義情報を収集する際にＣＰＵ２０４で実行される構成定義収集プログラム２２１、ディスカバリドメインやディスカバリドメインセットの登録要求をネーム管理装置３に送信する際にＣＰＵ２０４で実行されるドメイン登録プログラム２２２、ディスカバリドメインに属するｉＳＣＳＩノードのｉＳＣＳＩ名やディスカバリドメインセットに属するディスカバリドメインを問い合わせるクエリ要求をネーム管理装置３に送信する際にＣＰＵ２０４で実行されるクエリプログラム２２３、認証情報をストレージ装置１に送信する際にＣＰＵ２０４で実行される認証情報登録プログラム２２４および認可情報をストレージ装置１に送信する際にＣＰＵ２０４で実行される認可情報登録プログラム２２５が格納される。
【００５１】
磁気ディスク２０３は、ｉＳＣＳＩノードの管理用ＩＰアドレスなどの情報を記憶するｉＳＣＳＩノードテーブル２３０を備える。
【００５２】
図４は、ストレージ装置１の構成を説明するための図である。ストレージ装置１は、磁気ディスク１０３、磁気ディスク１０３へのデータの書き込みや読み出しを制御するストレージ制御装置１０７およびストレージ制御装置１０７と磁気ディスク１０３とを接続する通信線１１１を備える。
【００５３】
ストレージ制御装置１０７は、主メモリ１０１、通信線１０２、ＣＰＵ１０４、ＩＰＳｅｃのプロトコル処理を実行するＩＰＳｅｃ処理装置１０５、ｉＳＣＳＩのプロトコル処理を実行するｉＳＣＳＩ処理装置１０６、通信線１０を接続するＮＩＦ１０８、通信線１１を接続する管理用ＮＩＦ１０９およびストレージ制御装置１０７を通信線１１１と接続するインタフェースであるＩＯインタフェース（以下「ＩＯ  ＩＦ」という）１１０を備える。ストレージ制御装置１０７は、ＩＯ  ＩＦ１１０および通信線１１１を介して、磁気ディスク１０３へのデータの読み書きを行う。
【００５４】
主メモリ１０１は、磁気ディスク１０３から読み出したデータを記憶するキャッシュ領域１２０を備える。また、主メモリ１０１には、ｉＳＣＳＩレイヤでの認証処理を行う際にＣＰＵ１０４で実行されるｉＳＣＳＩ認証プログラム１２１、イニシエータのｉＳＣＳＩ名でターゲットへのアクセス可否判定を行う際にＣＰＵ１０４で実行されるｉＳＣＳＩ名ベース認可プログラム１２２、認証名でターゲットへのアクセス可否判定を行う際にＣＰＵ１０４で実行される認証名ベース認可プログラム１２３、認証情報をストレージ管理装置２から受信しテーブルに保存する際にＣＰＵ１０４で実行される認証情報登録受信プログラム１２４、認可情報をストレージ管理装置２から受信しテーブルに保存する際にＣＰＵ１０４で実行される認可情報登録受信プログラム１２５、ストレージ装置１で動作するターゲットのｉＳＣＳＩ名の登録要求をネーム管理装置３へ送信する際にＣＰＵ１０４で実行されるｉＳＣＳＩ名登録プログラム１２６およびストレージ装置１で動作するターゲットのｉＳＣＳＩ名などの構成定義情報をストレージ管理装置２へ送信する際にＣＰＵ１０４で実行される構成定義送信プログラム１２７が格納される。
【００５５】
磁気ディスク１０３には、認証名とそれに対応する認証情報とを記憶する認証テーブル１３０、イニシエータのｉＳＣＳＩ名とそのイニシエータがアクセスできるターゲットのｉＳＣＳＩ名との対応関係を記憶するｉＳＣＳＩ名ベース認可テーブル１３１、ユーザの認証名とそのユーザが使用できるイニシエータおよびターゲットのｉＳＣＳＩ名との対応関係を記憶する認証名ベース認可テーブル１３２が格納される。また、磁気ディスク１０３は、前記構成定義情報を記憶する領域である構成定義情報記憶領域１３３を備える。
【００５６】
なお、ホスト４、ＩＰＳｅｃホスト５、ネーム管理装置３、ストレージ管理装置２、ストレージ装置１のそれぞれの主メモリ４０１、５０１、３０１、２０１、１０１に格納される上述のプログラムは、あらかじめ、可搬型記録媒体から読み込まれ、または、ネットワークを経由して他の計算機からダウンロードされ、それぞれの磁気ディスク４０３、５０３、３０３、２０３、１０３に格納される。これらのプログラムは、必要に応じて主メモリに転送され、それぞれのＣＰＵ４０４、５０４、３０４、２０４、１０４で実行される。
【００５７】
なお、全ての実施形態においては、ホスト４とストレージ装置１との間では、ｉＳＣＳＩレイヤにおける認証処理が、ＩＰＳｅｃホスト５とストレージ装置１との間では、ＩＰＳｅｃレイヤにおける認証処理又はｉＳＣＳＩレイヤにおける認証処理の何れかが行われる。なお、ＩＰｓｅｃホスト５で双方の認証処理が実行可能な場合、システム管理者等が、ｉＳＣＳＩレイヤの認証方法を「Ｎｏ  Ａｕｔｈ（認証なし）」に設定する。
【００５８】
次に、ストレージ装置１の磁気ディスク１０３に格納される各種テーブルのデータ構造について説明する。
【００５９】
認証テーブル１３０、ｉＳＣＳＩ名ベース認可テーブル１３１および認証名ベース認可テーブル１３２は、配列構造を成し、１つ以上のレコードを格納可能である。
【００６０】
図５（Ａ）は、認証テーブル１３０のデータ構造の一例を示す図である。
【００６１】
認証テーブル１３０の各レコードは、認証方法を識別する認証種別が登録されるエントリ１３００、認証名が登録されるエントリ１３０１および当該認証名に対応する認証情報が登録されるエントリ１３０２を備える。
【００６２】
なお、本実施形態では、認証方法として、ｉＳＣＳＩレイヤでＣＨＡＰ（Ｃｈａｌｌｅｎｇｅ  Ｈａｎｄｓｈａｋｅ  Ａｕｔｈｅｎｔｉｃａｔｉｏｎ  Ｐｒｏｔｏｃｏｌ）を用いて認証を行うものと、ＩＰＳｅｃレイヤで事前共有鍵（ｐｒｅ−ｓｈａｒｅｄ  ｋｅｙ）を用いて認証を行うものとが採用されているものとする。ＣＨＡＰによる認証が行われる場合は、エントリ１３００に「ｉｐｓｅｃ−ｐｓｋ」が、事前共有鍵による認証が行われる場合は、エントリ１３００に「ｉｓｃｓｉ−ｃｈａｐ」が登録される。
【００６３】
図５（Ｂ）は、ｉＳＣＳＩ名ベース認可テーブル１３１のデータ構造の一例を示す図である。
【００６４】
ｉＳＣＳＩ名ベース認可テーブル１３１の各レコードは、イニシエータのｉＳＣＳＩ名が登録されるエントリ１３１０および当該イニシエータがアクセス可能なターゲットのｉＳＣＳＩ名が登録されるエントリ１３１１を備える。
【００６５】
ログイン要求があった場合、ＣＰＵ１０４は、ｉＳＣＳＩ名ベース認可プログラム１２２に従って、ｉＳＣＳＩ名ベース認可テーブル１３１を参照し、そのログイン要求を認可する。すなわち、そのログイン要求のイニシエータとターゲットとの組み合わせが、ｉＳＣＳＩ名ベース認可テーブル１３１に保持されているイニシエータとターゲットとの組み合わせに合致した場合、認可される。
【００６６】
図５（Ｃ）は、認証名ベース認可テーブル１３２のデータ構造の一例を示す図である。
【００６７】
認証名ベース認可テーブル１３２の各レコードは、認証種別が登録されるエントリ１３２０、ユーザの認証名が登録されるエントリ１３２１、ｉＳＣＳＩノードがイニシエータかターゲットかを識別するノード種別が登録されるエントリ１３２２および当該ユーザが使用できるｉＳＣＳＩノードのｉＳＣＳＩ名が登録されるエントリ１３２３を備える。
【００６８】
本実施形態においては、エントリ１３２３に登録されるｉＳＣＳＩ名に応じてノード種別のエントリ１３２２に登録される。すなわち、エントリ１３２３に登録されたｉＳＣＳＩ名がイニシエータのものであれば、「ｉｎｉｔｉａｔｏｒ」が、ターゲットのものであれば、「ｔａｒｇｅｔ」が登録される。
【００６９】
エントリ１３２２に「ｉｎｉｔｉａｔｏｒ」が登録される場合、エントリ１３２３に登録されるｉＳＣＳＩ名は、エントリ１３２１に登録される認証名を有するユーザが使用を許可されているイニシエータ（計算機）のｉＳＣＳＩ名となる。
【００７０】
また、エントリ１３２２に「ｔａｒｇｅｔ」が登録される場合、エントリ１３２３に登録されるｉＳＣＳＩ名は、エントリ１３２１に登録される認証名を有するユーザがアクセスを許可されているターゲット（記憶領域）のｉＳＣＳＩ名となる。
【００７１】
上述のｉＳＣＳＩ名ベース認可プログラム１２２に従って、ログイン要求が認可された後、ＣＰＵ１０４は、認証名ベース認可プログラム１２３に従って、認証名ベース認可テーブル１３２を参照して、認証名ベースの認可を行う。すなわち、エントリ１３２１に登録される認証名を有するユーザが、使用を許可された計算機（イニシエータ）から、ユーザがアクセスを許可された記憶領域（ターゲット）へアクセスをしているか確認し、認可を行う。
【００７２】
なお、本実施形態においては、全てのノードが認証名ベース認可テーブル１３２として登録されているが、ノード種別毎に別々のテーブルとして備えてもよい。この場合、認証名ベース認可テーブル１３２のエントリ１３２２はなくてもよい。エントリ１３２３に登録されるｉＳＣＳＩ名が、常にターゲットのｉＳＣＳＩ名、または、イニシエータのｉＳＣＳＩ名であることを表す。
【００７３】
エントリ１３２３にターゲットのｉＳＣＳＩ名のみが格納されている場合は、認証名ベースの認可は、エントリ１３２１に登録される認証名を有するユーザが、アクセスを許可された記憶領域（ターゲット）へアクセスをしているかのみを確認し、認可を行う。
【００７４】
また、エントリ１３２３にイニシエータのｉＳＣＳＩ名のみが格納されている場合は、エントリ１３２１に登録される認証名を有するユーザが、使用を許可された計算機（イニシエータ）からアクセスしているかのみを確認して、認可を行う。
【００７５】
認証名ベース認可テーブル１３２に、一方のｉＳＣＳＩ名のみを保持する場合、ターゲットのｉＳＣＳＩ名のみを保持しておくことにより、イニシエータのｉＳＣＳＩ名の詐称がなされた場合にも、対応可能である。
【００７６】
このように、ｉＳＣＳＩ名は、イニシエータまたはターゲットの一方を保持していれば、認可処理は行うことができる。ただし、エントリ１３２３にイニシエータのｉＳＣＳＩ名が登録された方が設定量を削減できるケースがあるため、本実施形態では、認証名ベース認可テーブル１３２にエントリ１３２２を加えた形態を例に挙げて説明する。
【００７７】
具体的には、ある一人のユーザ「ｔａｎａｋａ」が、一つのイニシエータ「ｉｑｎ．２００３−１２．ｃｏｍ．ａｂｃ：ｐｃ０１」を用いて、多数のターゲットにアクセスする場合、エントリ１３２３にターゲットのｉＳＣＳＩ名を登録する形態では、認証名ベース認可テーブル１３２にターゲットの数と同数のレコードを登録する必要がある。一方、エントリ１３２３にイニシエータのｉＳＣＳＩ名を登録する形態では、認証名ベース認可テーブル１３２に登録するレコードは一つでよい。
【００７８】
さらに、認証名ベース認可テーブル１３２は、イニシエータのｉＳＣＳＩ名とターゲットのｉＳＣＳＩ名とであって、エントリ１３２１に登録されている認証名が同じであるｉＳＣＳＩ名を、関連づけて登録してもよい。具体的には、ユーザの識別子である認証名と、認証種別と、そのユーザが使用を許可されたイニシエータの識別子であるｉＳＣＳＩ名と、そのユーザがアクセス可能なターゲットの識別子であるｉＳＣＳＩ名との組を、１レコードとして認証名ベース認可テーブル１３２に登録してもよい。
【００７９】
次に、ストレージ管理装置２の磁気ディスク２０３に格納されるｉＳＣＳＩノードテーブル２３０のデータ構造について説明する。ｉＳＣＳＩノードテーブル２３０は、配列構造を成し、１つ以上のレコードを格納可能である。
【００８０】
図６（Ａ）は、ｉＳＣＳＩノードテーブル２３０のデータ構造の一例を示す図である。
【００８１】
ｉＳＣＳＩノードテーブル２３０は、本実施形態の計算機システム内で動作するｉＳＣＳＩノードごとに１つのレコードを有する。ｉＳＣＳＩノードテーブル２３０の個々のレコードは、ｉＳＣＳＩノードがイニシエータかターゲットかを識別するノード種別が登録されるエントリ２３００、当該ｉＳＣＳＩノードの管理用ＮＩＦに割当てられたＩＰアドレスが登録されるエントリ２３０１および当該ｉＳＣＳＩノードのｉＳＣＳＩ名が登録されるエントリ２３０２を備える。
【００８２】
本実施形態では、エントリ２３００に「ｉｎｉｔｉａｔｏｒ」が登録された場合、そのレコードに登録されたｉＳＣＳＩノードがイニシエータであることを表す。また、エントリ２３００に「ｔａｒｇｅｔ」が登録された場合、そのレコードに登録されたｉＳＣＳＩノードがターゲットであることを表す。
【００８３】
次に、ネーム管理装置３の磁気ディスク３０３に格納される各種テーブルのデータ構造について説明する。
【００８４】
ｉＳＣＳＩ名テーブル３３０、ドメインテーブル３３１およびドメインセットテーブル３３２は、配列構造を成し、１つ以上のレコードを格納可能である。
【００８５】
図６（Ｂ）は、ｉＳＣＳＩ名テーブル３３０のデータ構造の一例を示す図である。
【００８６】
ｉＳＣＳＩ名テーブル３３０は、本実施形態の計算機システム内で動作するｉＳＣＳＩノードごとに１つのレコードを有する。ｉＳＣＳＩ名テーブル３３０の各レコードは、ｉＳＣＳＩノードのｉＳＣＳＩ名が登録されるエントリ３３００、エントリ３３００に登録されるｉＳＣＳＩノードのノード種別が登録されるエントリ３３０１、当該ｉＳＣＳＩノードがｉＳＣＳＩを用いて通信する際に使用するＩＰアドレスとポート番号とが登録されるそれぞれエントリ３３０２およびエントリ３３０３を備える。
【００８７】
本実施形態では、エントリ３３０１に「ｉｎｉｔｉａｔｏｒ」が登録された場合、ｉＳＣＳＩノードがイニシエータであることを表す。また、エントリ３３０１に「ｔａｒｇｅｔ」が登録された場合、ｉＳＣＳＩノードがターゲットであることを表す。本実施形態では、ｉＳＣＳＩノードがイニシエータである場合、ｉＳＣＳＩ通信に使用するＴＣＰポート番号は決まっていないため、エントリ３３０３には「０」が登録される。
【００８８】
図６（Ｃ）は、ドメインテーブル３３１のデータ構造の一例を示す図である。
【００８９】
ドメインテーブル３３１の各レコードは、ディスカバリドメインの名前であるドメイン名が登録されるエントリ３３１０および当該ディスカバリドメインに属するｉＳＣＳＩノードのｉＳＣＳＩ名が登録されるエントリ３３１１を備える。
【００９０】
図６（Ｄ）は、ドメインセットテーブル３３２のデータ構造の一例を示す図である。
【００９１】
ドメインセットテーブル３３２の各レコードは、ディスカバリドメインセットの名前であるドメインセット名が登録されるエントリ３３２０および当該ディスカバリドメインセットに属するディスカバリドメインの名前が登録されるエントリ３３２１を備える。
【００９２】
次に、本実施形態で用いられるグラフィカルユーザインタフェース（以下「ＧＵＩ」）について説明する。これらのＧＵＩは、ストレージ管理装置２のＣＰＵ２０４がＧＵＩ制御プログラム２２０を実行することによってディスプレイ２０５に表示される。システム管理者等は、文字入力装置２０７およびポインティング装置２０６を用いて、表示されたＧＵＩ上で各パラメータを設定する。
【００９３】
なお、ディスプレイ２０５、文字入力装置２０７およびポインティング装置２６は、ストレージ管理装置２とは別の計算機が有していてもよい。例えば、ストレージ管理装置２と管理用ネットワーク９あるいはシリアルケーブルを介して接続されるコンソール用端末がディスプレイ２０５等を有していても良い。この場合、ＣＰＵ２０４は、ＧＵＩ制御プログラム２２０を実行して画面データをコンソール用端末へ送信し、コンソール用端末がディスプレイ２０５にＧＵＩを表示する。さらに、コンソール用端末は、システム管理者等が文字入力装置２０７とポインティング装置２０６とを用いて設定した各パラメータをストレージ管理装置２へ送信する。
【００９４】
また、ストレージ管理装置２は、本実施形態で説明するＧＵＩのかわりに、そのＧＵＩと同等の機能を有するコマンドラインインタフェースを備えてもよい。
【００９５】
図７は、ストレージ管理装置２において、システム管理者等から、本実施形態の計算機システム内で動作するｉＳＣＳＩノードの情報の登録を受け付ける際にディスプレイ２０５に表示されるｉＳＣＳＩノード登録画面７００の表示例を示す図である。本画面を用いて登録されたｉＳＣＳＩノードは、ｉＳＣＳＩノードテーブル２３０に格納され、ドメイン名登録処理、ｉＳＣＳＩ名ベース認可処理、認証名ベース認可処理等に用いられる。
【００９６】
ｉＳＣＳＩノード登録画面７００は、登録するｉＳＣＳＩノードのノード種別を受け付けるためのボタン０１、７０２を備える。ボタン７０１は、ノード種別としてターゲットの選択を受け付け、ボタン７０２は、ノード種別としてイニシエータの選択を受け付けるものである。また、当該ｉＳＣＳＩノードの管理用ＩＰアドレスの入力を受け付ける領域７０３、これらの領域で指定された情報を登録する指示を受け付けるボタン７０８および登録を取り消す指示を受け付けるボタン７０９を備える。なお、ボタン７０１およびボタン７０２は、どちらか１つのみ選択可能である。
【００９７】
図８（Ａ）は、ストレージ管理装置２において、システム管理者等から、ディスカバリドメインの情報の登録を受け付ける際にディスプレイ２０５に表示されるドメイン登録画面８００の表示例を示す図である。
【００９８】
ドメイン登録画面８００は、登録するディスカバリドメインの名前が入力される領域８０１、当該ディスカバリドメインが属するディスカバリドメインセットの名前が入力される領域８０２、当該ディスカバリドメインに属するイニシエータの選択を受け付ける領域８０３、領域８０３の表示範囲を上下に移動する指示を受け付けるそれぞれボタン８０４とボタン８０６、領域８０３の表示範囲を任意に移動する指示を受け付けるボタン８０５、当該ディスカバリドメインに属するターゲットの選択を受け付ける領域８０７、領域８０７の表示範囲を上下に移動する指示を受け付けるそれぞれボタン８０８とボタン８１０、領域８０７の表示範囲を任意に移動する指示を受け付けるボタン８０９、これらの領域で指定された情報を登録する指示を受け付けるボタン８１８および登録を取り消す指示を受け付けるボタン８１９を有する。
【００９９】
領域８０３および領域８０７に表示されるイニシエータおよびターゲットのｉＳＣＳＩ名は、構成定義情報収集プログラム２２１に従って収集され、ｉＳＣＳＩノードテーブル２３０に保持されているデータから抽出されたものである。収集の詳細は、後述する。
【０１００】
なお、領域８０３および領域８０７を用いて、複数のそれぞれイニシエータおよびターゲットを選択することが可能である。
【０１０１】
図８（Ｂ）は、ストレージ管理装置２において、システム管理者等から、ユーザの認証情報の登録を受け付ける際に、ディスプレイ２０５に表示される認証情報登録画面８２０の表示例を示す図である。
【０１０２】
認証情報登録画面８２０は、認証方法の選択を受け付けるボタン８２２、ボタン８２２を用いて選択された認証方法を表示する領域８２１、ユーザの認証名が入力される領域８２３、前記認証名に対応する認証情報が入力される領域８２４、前記認証名に対応する認証情報をファイルから読み込む際の指示を受け付けるボタン８２５、これらの領域で指定された情報を登録する指示を受け付けるボタン８２８および登録を取り消す指示を受け付けるボタン８２９を有する。
【０１０３】
なお、本計算機システムにおいてサポートされている認証方法は、予めストレージ管理装置２に登録されている。登録されている認証方法が認証方法選択を受け付ける領域８２１には表示され、ユーザは、その中からボタン８２２により所望の認証方法を選択できる。
【０１０４】
図９（Ａ）は、ストレージ管理装置２において、システム管理者等から、イニシエータとそれがアクセス可能なターゲットとのｉＳＣＳＩ名の組み合わせの登録を受け付ける際にディスプレイ２０５に表示されるｉＳＣＳＩ名ベース認可情報登録画面９００の表示例を示す図である。
【０１０５】
ｉＳＣＳＩ名ベース認可情報登録画面９００は、イニシエータのｉＳＣＳＩ名の選択を受け付けるボタン９０２、ボタン９０２で選択されたｉＳＣＳＩ名を表示する領域９０１、ターゲットのｉＳＣＳＩ名の選択を受け付けるボタン９０４、ボタン９０４で選択されたｉＳＣＳＩ名を表示する領域９０３、これらの領域で指定された情報を登録する指示を受け付けるボタン９０８および登録を取り消す指示を受け付けるボタン９０９を有する。
【０１０６】
なお、ｉＳＣＳＩノードテーブル２３０に保持されているｉＳＣＳＩ名が、ボタン９０２および９０４で選択可能なイニシエータおよびターゲットのｉＳＣＳＩ名として、本画面に表示される。
【０１０７】
図９（Ｂ）は、ストレージ管理装置２において、システム管理者等から、ユーザの認証名と当該ユーザが使用できるｉＳＣＳＩノードとの組み合わせの登録を受け付ける場合に、ディスプレイ２０５に表示される認証名ベース認可情報登録画面９１０の表示例を示す図である。
【０１０８】
認証名ベース認可情報登録画面９１０は、ユーザの情報の選択の指示を受け付ける領域９１１、領域９１１で選択されたユーザが使用できるｉＳＣＳＩノードの選択の指示を受け付ける領域９１２、これらの領域で指定された情報を登録する指示を受け付けるボタン９２８および登録を取り消す指示を受け付けるボタン９２９を有する。
【０１０９】
さらに、領域９１１は、予め登録された選択可能な認証方法の中から認証方法の選択を受け付けるボタン９１４、ボタン９１４で選択された認証方法を表示する領域９１３、認証情報登録画面８２０を用いて登録された認証名の中から認証名の選択を受け付けるボタン９１６、ボタン９１６で選択された認証名を表示する領域９１５を有する。
【０１１０】
また、領域９１２は、ユーザが使用できるｉＳＣＳＩノードの指定方法の選択を受け付けるボタン９１７、９１８、９１９を備える。ここで、ボタン９１７は、ｉＳＣＳＩ名によりｉＳＣＳＩノードの指定を受け付けるものであり、ボタン９１８は、ディスカバリドメイン名によりｉＳＣＳＩノードの指定を受け付けるものであり、ボタン９１９は、ディスカバリドメインセット名によりｉＳＣＳＩノードの指定を受け付けるものである。なお、ボタン９１７、９１８および９１９は、いずれか１つのみ選択可能である。
【０１１１】
さらに、領域９１２は、ボタン９１７が選択された場合にｉＳＣＳＩノードのｉＳＣＳＩ名の選択を受け付けるボタン９２１、ボタン９２１で選択されたｉＳＣＳＩ名を表示する領域９２０、ボタン９１８が選択された場合にディスカバリドメイン名の選択を受け付けるボタン９２３、ボタン９２３で選択したディスカバリドメイン名を表示する領域９２２、ボタン９１９が選択された場合にディスカバリドメインセット名の選択を受け付けるボタン９２５、ボタン９２５で選択したディスカバリドメインセット名を表示する領域９２４を備える。
【０１１２】
なお、ｉＳＣＳＩ名は、ストレージ管理装置２が保持するｉＳＣＳＩノードテーブル２３０から選択可能な情報を取得し、表示される。また、ディスカバリドメイン名およびディスカバリドメインセット名は、ネーム管理装置３の、それぞれ、ドメインテーブル３３１およびドメインセットテーブル３３２から取得し、表示される。
【０１１３】
次に、本実施形態における計算機システムの動作の概要を説明する。最初に、管理者等が、ストレージ管理装置２を用いて、計算機システムにｉＳＣＳＩノードの情報、ディスカバリドメイン及びディスカバリドメインセットの情報を登録する。この際、管理者等は、図７及び図８（Ａ）に示した表示画面を用いて情報の登録を行う。このとき、ｉＳＣＳＩノードの情報はストレージ管理装置２が記憶する。一方、ディスカバリドメインセットの情報およびディスカバリドメインの情報はネーム管理装置３が記憶する。
【０１１４】
次に、管理者等は、ストレージ管理装置２を用いて、計算機システムに認証情報、ｉＳＣＳＩ名ベース認可情報及び認証名ベース認可情報を登録する。この際、管理者等は、図８（Ｂ）、図９に示した表示画面を用いて情報の登録を行う。これらの認可情報等は、ストレージ装置１が記憶する。なお、この際、管理者等は、認可対象となるターゲットを、ｉＳＣＳＩ名、ディスカバリドメイン又はディスカバリドメインセットの単位で指定することができる。これにより、あるユーザ（認証名）に対する複数のターゲットを一括して設定することができ、管理者等による設定時の負担を軽減することができる。特にディスカバリドメインやディスカバリドメインセットが業務内容等によって区別されている場合、管理者等は、ディスカバリドメインあるいはディスカバリドメインセットを指定することで、ディスカバリドメインあるいはディスカバリドメインセットに対応する業務に関わる人のみに対してそのディスカバリドメインあるいはディスカバリドメインセットに含まれるターゲットを一括して指定することができる。
【０１１５】
その後、ストレージ装置１がターゲットを起動し、ストレージ装置１がターゲットのｉＳＣＳＩ名をネーム管理装置３に登録する。
【０１１６】
また、ホスト４またはＩＰＳｅｃホスト５がイニシエータを起動すると、ホスト４またはＩＰＳｅｃホスト５が、それぞれ自身が起動したイニシエータのｉＳＣＳＩ名をネーム管理装置３に登録し、ストレージ装置１にログインする。
【０１１７】
ストレージ装置１は、ログインしたイニシエータの認証および認可を行い、ターゲットへのアクセス可否を判断する。
【０１１８】
アクセスの可否は、以下の手順で判断される。
【０１１９】
ホスト４またはＩＰＳｅｃホスト５がイニシエータを起動し、ストレージ装置１の自身がアクセスを許されているターゲットＬＵにアクセスするために、ストレージ装置１に向けて、ログイン要求、認証要求を送出する。このとき、ホスト４またはＩＰｓｅｃホスト５は、既存の技術と同様に、イニシエータのｉＳＣＳＩ名、ターゲットのｉＳＣＳＩ名、認証名、および、認証情報をストレージ装置１に送信する。
【０１２０】
それを受信したストレージ装置１は、従来同様、ｉＳＣＳＩ名ベース認可テーブル１３１により、イニシエータのｉＳＣＳＩ名およびターゲットのｉＳＣＳＩ名の組の正当性を確認し、認証テーブル１３０により、認証名と認証情報との組の正当性を確認する。
【０１２１】
そして、本実施形態においては、さらに、認証名ベース認可テーブル１３２を参照し、例えば、認証名とイニシエータｉＳＣＳＩ名、または/および、認証名とターゲットｉＳＣＳＩ名との組の正当性を確認する。
【０１２２】
以上により本実施形態によれば、認証名ベース認可テーブル１３２において、認証名とイニシエータｉＳＣＳＩ名とにより確認する場合、正当なユーザがホスト４またはＩＰＳｅｃホスト５を使用した場合のみ、ストレージ装置１へのアクセスが許可される。また、認証名とターゲットｉＳＣＳＩ名とにより確認する場合は、当該ターゲットＬＵへアクセスが許された正当なユーザによるアクセスの場合のみ、アクセスが許可される。
【０１２３】
以下、本実施形態における各装置間の通信シーケンスおよび各装置の動作を示すフローチャートについて説明する。
【０１２４】
図１０は、ストレージ管理装置２が、システム管理者等からの指示に従って、ｉＳＣＳＩノード、ディスカバリドメインおよびディスカバリドメインセットの情報を登録する際の装置間の通信シーケンス例を示す図である。
【０１２５】
ここでは、ホスト４上で動作するイニシエータを例にあげて説明する。ＩＰｓｅｃ５上で動作するイニシエータの場合も、本処理は同様である。
【０１２６】
ホスト４およびストレージ装置１は、ＩＰ−ＳＡＮ８と管理用ネットワーク９とに接続されている。また、ホスト４では、イニシエータの設定が完了し、イニシエータのｉＳＣＳＩ名、ＩＰアドレス、認証名および認証情報が、それぞれ構成定義記憶領域４０３に記憶されているものとする。そして、ストレージ装置１では、ターゲットの設定が完了し、ターゲットのｉＳＣＳＩ名、ＩＰアドレスおよびＴＣＰポート番号が、構成定義記憶領域１３３に記憶されているものとする。
【０１２７】
最初に、ストレージ管理装置２のＣＰＵ２０４は、ＧＵＩ制御プログラム２２０を実行し、ディスプレイ２０５にｉＳＣＳＩノード登録画面７００を表示するｉＳＣＳＩノード登録画面表示処理を行う（Ｓ１００１）。
【０１２８】
システム管理者等による、ｉＳＣＳＩノード登録画面７００のボタン７０８の指定を受け付けると、ＣＰＵ２０４は、ストレージ管理装置２のｉＳＣＳＩ名収集プログラム２２１を実行し、ｉＳＣＳＩ名収集処理を行う（Ｓ１００２）。
【０１２９】
本処理は、指定されたＩＰアドレスのｉＳＣＳＩ名を収集する処理である。まず、ＣＰＵ２０４は、領域７０３に入力されたＩＰアドレスに向けて、構成定義送信要求を管理用ＮＩＦ２０９から送信する。
【０１３０】
ホスト４の管理用ＮＩＦ４０９に割り当てられたＩＰアドレスが領域７０３に入力されると、ＣＰＵ２０４は、ホスト４に構成定義送信要求を送信する（Ｓ１００３）。ホスト４が前記構成定義送信要求を受信すると、ホスト４のＣＰＵ４０４は、構成定義送信プログラム４２３を実行し、構成定義記憶領域４３０から読み出した構成定義情報に基づき構成定義送信応答を組み立て、ストレージ管理装置２へ送信する（Ｓ１００４）。
【０１３１】
ストレージ装置１の管理用ＮＩＦ１０９に割当てられたＩＰアドレスが領域７０３に入力されると、ＣＰＵ２０４は、ストレージ装置１に構成定義送信要求を送信する（Ｓ１００５）。ストレージ装置１が前記構成定義送信要求を受信すると、ＣＰＵ１０４は、構成定義送信プログラム１２７を実行し、構成定義記憶領域１３３から読み出した構成定義情報に基づいて構成定義送信応答を組み立て、ストレージ管理装置２へ送信する（Ｓ１００６）。
【０１３２】
ストレージ管理装置２が、ホスト４およびストレージ装置１から前記構成定義送信応答を受信すると、ＣＰＵ２０４が、前記構成定義送信応答からｉＳＣＳＩ名を取り出す。そして、ＣＰＵ２０４が、ｉＳＣＳＩノードテーブル２３０にレコードを追加する。
【０１３３】
追加されるレコードのエントリ２３００には、ステップ１００２のｉＳＣＳＩノード登録画面７００において、ボタン７０１が選択されていた場合は「Ｔａｒｇｅｔ」が、ボタン７０２が選択されていた場合は「Ｉｎｉｔｉａｔｏｒ」がそれぞれ登録される。
【０１３４】
また、当該レコードのエントリ２３０１には領域７０３に入力されたＩＰアドレスが、エントリ２３０２には前記構成定義送信応答から取り出したｉＳＣＳＩ名がそれぞれ登録される。
【０１３５】
次に、ストレージ管理装置２のＣＰＵ２０４は、ＧＵＩ制御プログラム２２０を実行し、ディスプレイ２０５にドメイン登録画面８００を表示するドメイン登録画面表示処理を行う（Ｓ１００７）。
【０１３６】
システム管理者等による、ドメイン登録画面８００のボタン８１８の指定を受け付けると、ストレージ管理装置２のＣＰＵ２０４は、ドメイン登録プログラム２２２を実行し、ドメインセット登録処理を行う（Ｓ１００８）。
【０１３７】
本処理で、ＣＰＵ２０４は、領域８０２に入力されたディスカバリドメインセットの名前と領域８０１に入力されたディスカバリドメインの名前とを用いてドメインセット登録要求を組み立て、管理用ＮＩＦ２０９からネーム管理装置３へ送信する（Ｓ１００９）。
【０１３８】
ネーム管理装置３が、前記ドメインセット登録要求を受信すると、ネーム管理装置３のＣＰＵ３０４は、ドメイン登録受信プログラム３２２を実行し、ドメインセット登録処理を行う（Ｓ１０１０）。
【０１３９】
本処理で、ＣＰＵ３０４は、前記ドメインセット登録要求からディスカバリドメインセットの名前とディスカバリドメインの名前とを取り出し、それぞれをエントリ３３２０およびエントリ３３２１の内容とするレコードをドメインセットテーブル３０２に追加する。そして、ＣＰＵ３０４が、ディスカバリドメインセットの登録が成功したことを表すドメインセット登録応答を、管理用ＮＩＦ３０９からストレージ管理装置２へ送信する（Ｓ１０１１）。
【０１４０】
ストレージ管理装置２が前記ドメインセット登録応答を受信すると、ドメイン登録プログラム２２２がＣＰＵ２０４で実行され、ドメイン登録処理が行われる（Ｓ１０１２）。
【０１４１】
本処理で、ＣＰＵ２０４は、領域８０１に入力されたディスカバリドメインの名前、領域８０３で選択されたイニシエータのｉＳＣＳＩ名および領域８０７で選択されたターゲットのｉＳＣＳＩ名を用いてドメイン登録要求を組み立て、管理用ＮＩＦ２０９からネーム管理装置３へ送信する（Ｓ１０１３）。
【０１４２】
ネーム管理装置３が、前記ドメイン登録要求を受信すると、ＣＰＵ３０４は、ドメイン登録受信プログラム３２２を実行し、ドメイン登録処理を行う（Ｓ１０１４）。
【０１４３】
本処理で、ＣＰＵ３０４は、まず前記ドメイン登録要求からディスカバリドメインの名前、イニシエータのｉＳＣＳＩ名およびターゲットのｉＳＣＳＩ名を取り出す。そして、ＣＰＵ３０４は、前記ディスカバリドメインの名前をエントリ３３１０の内容とし、前記イニシエータのｉＳＣＳＩ名をエントリ３３１１の内容とするレコードをドメインテーブル３１１に追加する。さらに、ＣＰＵ３０４は、前記ディスカバリドメインの名前をエントリ３３１０の内容とし、前記ターゲットのｉＳＣＳＩ名をエントリ３３１１の内容とするレコードをドメインテーブル３１１に追加する。
【０１４４】
そして、ＣＰＵ３０４は、ディスカバリドメインの登録が成功したことを表すドメイン登録応答を、管理用ＮＩＦ３０９からストレージ管理装置２へ送信する（Ｓ１０１５）。
【０１４５】
なお、ストレージ管理装置２が前記ドメイン登録応答を受信した後、図８で入力された情報に基づいて、ｉＳＣＳＩ名ベース認可テーブル１３１へレコードを追加してもよい。
【０１４６】
具体的には、領域８０３で指定されたイニシエータと、領域８０４で指定されたターゲットとの全ての組み合わせについて、それぞれのイニシエータのｉＳＣＳＩ名とターゲットのｉＳＣＳＩ名とを用いてｉＳＣＳＩ名ベース認可情報登録要求を組み立て、ストレージ装置１へ送信する。ストレージ装置１は、前記ｉＳＣＳＩ名ベース認可情報登録要求からイニシエータのｉＳＣＳＩ名とターゲットのｉＳＣＳＩ名とを取り出し、それぞれ、ｉＳＣＳＩ名ベース認可情報登録応答を返信する。これにより、後述するｉＳＣＳＩ名ベース認可情報登録画面９００を用いたｉＳＣＳＩ名ベース認可テーブル１３１へのレコード登録作業（Ｓ１１０６からＳ１１１０まで）を省略することができる。
【０１４７】
図１１は、ストレージ管理装置２が、システム管理者等からの指示に従って、認証情報、ｉＳＣＳＩ名ベース認可情報および認証名ベース認可情報を登録する際の装置間の通信シーケンス例を示す図である。
【０１４８】
最初に、ストレージ管理装置２のＣＰＵ２０４は、ＧＵＩ制御プログラム２２０を実行し、ディスプレイ２０５に認証情報登録画面８２０を表示する認証情報登録画面表示処理を行う（Ｓ１１０１）。
【０１４９】
システム管理者等からの認証情報登録画面８２０のボタン８２８の指定を受け付けると、ストレージ管理装置２のＣＰＵ２０４は、認証情報登録プログラム２２４を実行し、認証情報登録処理を行う（Ｓ１１０２）。
【０１５０】
本処理で、ＣＰＵ２０４は、ボタン８２２で選択された認証方法、領域８２３に入力された認証名および領域８２４に入力された認証情報を用いて認証情報登録要求を組み立て、管理用ＮＩＦ２０９からストレージ装置１へ送信する（Ｓ１１０３）。
【０１５１】
ストレージ装置１が前記認証情報登録要求を受信すると、ＣＰＵ１０４は、認証情報登録受信プログラム１２４を実行し、認証情報登録処理を行う（Ｓ１１０４）。
【０１５２】
本処理で、ＣＰＵ１０４は、前記認証情報登録要求から認証方法、認証名および認証情報を取り出し、それぞれをエントリ１３００、エントリ１３０１およびエントリ１３０２の内容とするレコードを、認証テーブル１３０に追加する。そして、ＣＰＵ１０４は、認証情報の登録が成功したことを表す認証情報登録応答を、管理用ＮＩＦ１０９からストレージ管理装置２へ送信する（Ｓ１１０５）。
【０１５３】
次に、ストレージ管理装置２のＣＰＵ２０４は、ＧＵＩ制御プログラム２２０を実行し、ディスプレイ２０５にｉＳＣＳＩ名ベース認可情報登録画面９００を表示するｉＳＣＳＩ名ベース認可情報登録画面表示処理を行う（Ｓ１１０６）。
【０１５４】
そして、システム管理者等からの、ｉＳＣＳＩ名ベース認可情報登録画面９００のボタン９０８の指示を受け付けると、ストレージ管理装置２のＣＰＵ２０４は、認可情報登録プログラム２２５を実行し、ｉＳＣＳＩ名ベース認可情報登録処理を行う（Ｓ１１０７）。
【０１５５】
本処理で、ＣＰＵ２０４は、ボタン９０２で選択されたイニシエータのｉＳＣＳＩ名とボタン９０４で選択されたターゲットのｉＳＣＳＩ名とを用いてｉＳＣＳＩ名ベース認可情報登録要求を組み立て、管理用ＮＩＦ２０９からストレージ装置１へ送信する（Ｓ１１０８）。
【０１５６】
ストレージ装置１が、前記ｉＳＣＳＩ名ベース認可情報登録要求を受信すると、ＣＰＵ１０４は、認可情報登録受信プログラム１２５を実行し、ｉＳＣＳＩ名ベース認可情報登録処理を行う（Ｓ１１０９）。
【０１５７】
本処理で、ＣＰＵ１０４は、前記ｉＳＣＳＩ名ベース認可情報登録要求からイニシエータのｉＳＣＳＩ名とターゲットのｉＳＣＳＩ名とを取り出し、それぞれをエントリ１３１０およびエントリ１３１１の内容とするレコードを、ｉＳＣＳＩ名ベース認可テーブル１３１に追加する。そして、ＣＰＵ１０４は、ｉＳＣＳＩ名ベース認可情報の登録が成功したことを表すｉＳＣＳＩ名ベース認可情報登録応答を、管理用ＮＩＦ１０９からストレージ管理装置２へ送信する（Ｓ１１１０）。
【０１５８】
次に、ストレージ管理装置２のＣＰＵ２０４は、ＧＵＩ制御プログラム２２０を実行し、ディスプレイ２０５に認証名ベース認可情報登録画面９１０を表示する認証名ベース認可情報登録画面表示処理を行う（Ｓ１１１１）。そして、システム管理者等による、認証名ベース認可情報登録画面９１０のボタン９２８の指定を受け付けると、ストレージ管理装置２のＣＰＵ２０４は、認可情報登録プログラム２２５を実行し、認証名ベース認可情報登録処理を行う（Ｓ１１１２）。この認証名ベース認可情報登録処理の詳細は、後述する。
【０１５９】
ＣＰＵ２０４は、この処理の結果得たｉＳＣＳＩノードリスト、ボタン９１４で選択された認証方法およびボタン９１６で選択された認証名を用いて認証名ベース認可情報登録要求を組み立て、管理用ＮＩＦ２０９からストレージ装置１へ送信する（Ｓ１１１３）。
【０１６０】
ここで、ｉＳＣＳＩノードリストとは、Ｓ９１５にて指定された認証名のユーザが利用可能なｉＳＣＳＩノードの種別（イニシエータあるいはターゲット）およびｉＳＣＳＩ名のリストである。
【０１６１】
ストレージ装置１が、前記認証名ベース認可情報登録要求を受信すると、ＣＰＵ１０４は、認可情報登録受信プログラム１２５を実行し、認証名ベース認可情報登録処理を行う（Ｓ１１１４）。
【０１６２】
本処理で、ＣＰＵ１０４は、まず前記認証名ベース認可情報登録要求からｉＳＣＳＩノードリスト、認証方法および認証名を取り出す。次に、ＣＰＵ１０４は、前記ｉＳＣＳＩノードリストに含まれるｉＳＣＳＩ名ごとに、認証名ベース認可テーブル１３２へレコードを追加する。
【０１６３】
ここで追加するレコードのエントリ１３２０には認証方法が、エントリ１３２１には認証名が、エントリ１３２２にはノード種別が、エントリ１３２３にはｉＳＣＳＩ名がそれぞれ登録される。そして、ＣＰＵ１０４は、認証名ベース認可情報の登録が成功したことを表す認証名ベース認可情報登録応答を、管理用ＮＩＦ１０９からストレージ管理装置２へ送信する（Ｓ１１１５）。
【０１６４】
図１２は、図１１のＳ１１１２〜Ｓ１１１４で説明した認証名ベース認可情報登録処理の動作手順を示すフローチャートである。
【０１６５】
最初に、認証名ベース認可情報登録画面９１０を介してシステム管理者等から受け付けたｉＳＣＳＩノードの指定方法に応じて、ＣＰＵ２０４は、処理を分岐する（Ｓ１２０１）。
【０１６６】
第一に、ボタン９１７の指定（指定方法としてｉＳＣＳＩ名が選択された）を受け付けた場合の処理を説明する。
【０１６７】
ＣＰＵ２０４は、ボタン９２１で選択されたｉＳＣＳＩノードのｉＳＣＳＩ名がエントリ２３０２の内容と一致するレコードをｉＳＣＳＩノードテーブル２３０から検索し、該当するレコードを抽出する。抽出したレコードのエントリ２３００に登録されているノード種別を取り出す。そして、ボタン９２１で選択されたｉＳＣＳＩ名と、取り出したノード種別との組み合わせを、上述のステップＳ１１１３において、ストレージ装置１へ送出するｉＳＣＳＩノードリストに追加し、本処理を終了する（Ｓ１２０２）。
【０１６８】
なお、認証名ベース認可テーブル１３２に、イニシエータとターゲットとの両方を登録する場合、それぞれ、認証名ベース認可情報登録画面９１０において、ボタン９２１で別個に選択し、それぞれのｉＳＣＳＩ名に対して上記ステップＳ１２０２の処理を行う。
【０１６９】
また、それ以外にも、Ｓ１２０２において、取り出されたノード種別がイニシエータを示すものである場合、ｉＳＣＳＩ名ベース認可テーブル１３１にアクセスし、ボタン９２１で選択されたｉＳＣＳＩ名に対応するターゲットのｉＳＣＳＩ名を抽出し、ターゲットを示すものである場合、ｉＳＣＳＩ名ベース認可テーブル１３１から対応するイニシエータのｉＳＣＳＩ名を抽出することも可能である。
【０１７０】
第二に、ボタン９１８の指定（指定方法としてディスカバリドメイン名が選択された）を受け付けた場合の処理を説明する。
【０１７１】
ＣＰＵ２０４は、まず、ボタン９２３で選択されたディスカバリドメインに属するｉＳＣＳＩノードのｉＳＣＳＩ名とノード種別とを問い合わせるクエリ要求を組み立て、管理用ＮＩＦ２０９からネーム管理装置３へ送信する（Ｓ１２０３）。次に、ネーム管理装置３からのクエリ応答を受信し、そのクエリ応答に含まれるｉＳＣＳＩ名とノード種別との組み合わせをｉＳＣＳＩノードリストに追加し、本処理を終了する（Ｓ１２０４）。
【０１７２】
第三に、ボタン９１９の指定（指定方法としてディスカバリドメインセット名が選択された）を受け付けた場合の処理を説明する。
【０１７３】
ＣＰＵ２０４は、まず、ボタン９２５で選択されたディスカバリドメインセットに属するディスカバリドメインの名前を問い合わせるクエリ要求を組み立て、管理用ＮＩＦ２０９からネーム管理装置３へ送信する（Ｓ１２０５）。次に、ネーム管理装置３からのクエリ応答を受信し、そのクエリ応答から先頭のディスカバリドメイン名を取り出す（Ｓ１２０６）。
【０１７４】
そして、当該ディスカバリドメインに属するｉＳＣＳＩノードのｉＳＣＳＩ名とノード種別とを問い合わせるクエリ要求を組み立て、管理用ＮＩＦ２０９からネーム管理装置３へ送信する（Ｓ１２０７）。次に、ネーム管理装置３からのクエリ応答を受信し、そのクエリ応答に含まれるｉＳＣＳＩ名とノード種別との組み合わせをｉＳＣＳＩノードリストに追加する（Ｓ１２０８）。
【０１７５】
次に、ＣＰＵ２０４は、Ｓ１２０６で受信したクエリ応答に含まれる全てのディスカバリドメイン名についてＳ１２０７とＳ１２０８との処理を実行したかを判断し（Ｓ１２０９）、全てを終えた場合は、処理を終了する。一方、ステップＳ１２０９において、処理未終了のディスカバリドメインがある場合、Ｓ１２０６で受信したクエリ応答に含まれる次のディスカバリドメイン名を取り出し（Ｓ１２１０）、Ｓ１２０７からＳ１２０９の処理を繰りかえす。
【０１７６】
図１３は、ホスト４がストレージ装置１へログインする際の装置間の通信シーケンス例を示す図である。
【０１７７】
最初に、システム管理者等の指示に従い、ストレージ管理装置２等がストレージ装置１で動作するｉＳＣＳＩターゲットの設定を行う。すると、ストレージ装置１のＣＰＵ１０４は、ｉＳＣＳＩ名登録プログラム１２６を実行し、ｉＳＣＳＩ名登録処理を行う（Ｓ１３０１）。
【０１７８】
本処理で、ＣＰＵ１０４は、構成定義記憶領域１３３に記憶されたターゲットのｉＳＣＳＩ名、ｉＳＣＳＩノードの種別がターゲットであることを表す情報、ＩＰアドレスおよびＴＣＰポート番号を用いてｉＳＣＳＩ名登録要求を組み立て、管理用ＮＩＦ１０９からネーム管理装置３へ送信する（Ｓ１３０２）。
【０１７９】
ネーム管理装置３が、前記ｉＳＣＳＩ名登録要求を受信すると、ＣＰＵ３０４は、ｉＳＣＳＩ名登録受信プログラム３２０を実行し、ｉＳＣＳＩ名登録受信処理を行う（Ｓ１３０３）。
【０１８０】
本処理で、ＣＰＵ３０４は、前記ｉＳＣＳＩ名登録要求からターゲットのｉＳＣＳＩ名、ＩＰアドレスおよびＴＣＰポート番号を取り出し、それぞれをエントリ３３００、エントリ３３０２およびエントリ３３０３の内容とし、「ｔａｒｇｅｔ」をエントリ３３０１の内容とするレコードをｉＳＣＳＩ名テーブル３３０に追加する。そして、ｉＳＣＳＩ名の登録が成功したことを表すｉＳＣＳＩ名登録応答を、管理用ＮＩＦ３０９からストレージ装置１へ送信する（Ｓ１３０４）。
【０１８１】
次に、システム管理者等の指示に従い、ホスト４が、ｉＳＣＳＩイニシエータの動作を開始させると、ホスト４のＣＰＵ４０は、ｉＳＣＳＩ名登録プログラム４２１を実行し、ｉＳＣＳＩ名登録処理を行う（Ｓ１３０５）。
【０１８２】
本処理で、ＣＰＵ４０４は、構成定義記憶領域４３０に記憶されたイニシエータのｉＳＣＳＩ名、ｉＳＣＳＩノードの種別がイニシエータであることを表す情報、ＩＰアドレスおよびＴＣＰポート番号が「０」であることを表す情報を用いてｉＳＣＳＩ名登録要求を組み立て、管理用ＮＩＦ４０９からネーム管理装置３へ送信する（Ｓ１３０６）。
【０１８３】
ネーム管理装置３が、前記ｉＳＣＳＩ名登録要求を受信すると、Ｓ１３０３と同様に、ＣＰＵ３０４は、ｉＳＣＳＩ名登録受信プログラム３２０を実行し、ｉＳＣＳＩ名登録受信処理を行う（Ｓ１３０７）。
【０１８４】
本処理で、ＣＰＵ３０４は、前記ｉＳＣＳＩ名登録要求からイニシエータのｉＳＣＳＩ名およびＩＰアドレスを取り出し、それぞれをエントリ３３００およびエントリ３３０２の内容とし、「ｉｎｉｔｉａｔｏｒ」および「０」をそれぞれエントリ３３０１およびエントリ３３０３の内容とするレコードをｉＳＣＳＩ名テーブル３３０に追加する。そして、ｉＳＣＳＩ名の登録が成功したことを表すｉＳＣＳＩ名登録応答を、管理用ＮＩＦ３０９からホスト４へ送信する（Ｓ１３０８）。
【０１８５】
次に、ホスト４のＣＰＵ４０４は、ディスカバリプログラム４２２を実行し、ホスト４で動作するイニシエータがアクセス可能なターゲットのｉＳＣＳＩ名、ＩＰアドレスおよびＴＣＰポート番号を得るディスカバリ処理を行う（Ｓ１３０９）。
【０１８６】
本処理で、ＣＰＵ４０４は、構成定義記憶領域４３０に記憶されたイニシエータのｉＳＣＳＩ名を用いて、当該イニシエータがディスカバリ可能なターゲットのｉＳＣＳＩ名を問い合わせるクエリ要求を組み立て、管理用ＮＩＦ４０９からネーム管理装置３へ送信する（Ｓ１３１０）。
【０１８７】
ネーム管理装置３が、前記クエリ要求を受信すると、ＣＰＵ３０４は、クエリ要求受信プログラム３２１を実行し、クエリ要求受信処理を行う（Ｓ１３１１）。
【０１８８】
本処理で、まず、ＣＰＵ３０４は、前記クエリ要求からイニシエータのｉＳＣＳＩ名を取り出し、これとエントリ３３１１の内容とが一致するレコードをドメインテーブル３３１から検索し、見つかったレコードのエントリ３３１０の内容を取り出す（第一の検索）。このエントリ３３１０の内容が、当該イニシエータが属するディスカバリドメインの名前に相当する。
【０１８９】
そして、ＣＰＵ３０４は、このディスカバリドメイン名とエントリ３３１０とが一致するレコードをドメインテーブル３３１から検索し、見つかった１以上のレコードのうち、第一の検索で見つかったレコード以外のレコードのエントリ３３１１の内容を取り出す（第二の検索）。このエントリ３３１１の内容が、当該イニシエータと同じディスカバリドメインに属するターゲットのｉＳＣＳＩ名に相当する。
【０１９０】
次に、ＣＰＵ３０４は、このターゲットのｉＳＣＳＩ名とエントリ３３００とが一致するレコードをｉＳＣＳＩ名テーブル３３０から検索し、見つかったレコードのエントリ３３０２およびエントリ３３０３を取り出す（第三の検索）。これらのエントリの内容が、それぞれ当該ターゲットのＩＰアドレスとＴＣＰポート番号とに相当する。
【０１９１】
最後に、ＣＰＵ３０４は、当該ターゲットのｉＳＣＳＩ名、ＩＰアドレスおよびＴＣＰポート番号を用いてクエリ応答を組み立て、管理用ＮＩＦ３０９からホスト４へ送信する（Ｓ１３１２）。
【０１９２】
ホスト４が、前記クエリ応答を受信すると、ＣＰＵ４０４はディスカバリプログラム４２２を実行し、前記クエリ応答からターゲットのｉＳＣＳＩ名、ＩＰアドレスおよびＴＣＰポート番号を取り出す。
【０１９３】
次に、ホスト４のＣＰＵ４０４は、ｉＳＣＳＩ処理プログラム４２０を実行し、ログイン処理を行う（Ｓ１３１３）。
【０１９４】
本処理で、ＣＰＵ４０４は、ホスト４で動作するイニシエータのｉＳＣＳＩ名、ディスカバリ処理（Ｓ１３０９）で得たターゲットのｉＳＣＳＩ名および当該イニシエータがサポートするｉＳＣＳＩレイヤの認証方法を用いてログイン要求を組み立てる。そして、組み立てたログイン要求を、ＮＩＦ４０８からディスカバリ処理（Ｓ１３０９）で得たＩＰアドレスとＴＣＰポート番号とにより識別される宛先へ送信する（Ｓ１３１４）。
【０１９５】
本実施形態では、ホスト４で動作するイニシエータは、認証方法として、上述のＣＨＡＰに加え、さらにＮＯＡＵＴＨをサポートするものとする。なお、ＮＯＡＵＴＨとは、認証を行わないことを表す。すなわち、ログイン要求の認証方法には、ＣＨＡＰとＮＯＡＵＴＨとが格納される。
【０１９６】
ストレージ装置１が、前記ログイン要求を受信すると、ＣＰＵ１０４は、ｉＳＣＳＩ名ベース認可プログラム１２２を実行し、ｉＳＣＳＩ名ベース認可処理を行う（Ｓ１３１５）。
【０１９７】
本処理で、ＣＰＵ１０４は、前記ログイン要求からイニシエータのｉＳＣＳＩ名およびターゲットのｉＳＣＳＩ名を取り出し、それぞれがエントリ１３１０の内容およびエントリ１３１１の内容に一致するレコードがあるか否か、ｉＳＣＳＩ名ベース認可テーブル１３１を検索する。
【０１９８】
条件に合致するレコードが見つかった場合、ＣＰＵ１０４は、ｉＳＣＳＩ名に基づいて判断する限り当該イニシエータが当該ターゲットへアクセス可能と判断し、前記ログイン要求から本実施形態において選択可能な認証方法を取り出し、そのなかから１つ選択する。ＣＰＵ１０４は、選択した認証方法に基づきログイン応答を組み立て、ＮＩＦ１０８からホスト４へ送信する（Ｓ１３１６）。
【０１９９】
なお、上記ステップＳ１３１６において認証方法の選択は以下のように行われる。
【０２００】
本実施形態では、ストレージ装置１で動作するイニシエータは、上述のように認証方法として、ＣＨＡＰとＮＯＡＵＴＨとをサポートする。ここでは、ホスト４がストレージ装置１へログインする際の処理において、Ｓ１３１６までに、ｉＳＣＳＩ以外のレイヤで認証が行われていない、従って、Ｓ１３１６では、認証を行うもの、すなわち、ＣＨＡＰを選択する。
【０２０１】
一方、Ｓ１３１５において、条件に合致するレコードが見つからなかった場合、ＣＰＵ１０４は、当該イニシエータが当該ターゲットへアクセス不可とみなし、ログインが失敗したことを表すログイン応答を組み立て、ＮＩＦ１０８からホスト４へ送信する。
【０２０２】
ホスト４が、前記ログイン応答を受信すると、ＣＰＵ４０４は、ｉＳＣＳＩ処理プログラム４２０を実行し、ｉＳＣＳＩ認証処理を行う（Ｓ１３１７）。
【０２０３】
本処理で、ＣＰＵ４０４は、前記ログイン応答から認証方法を取り出し、その認証方法の手続きに沿って処理を行う。ここでは、Ｓ１３１６で、ストレージ装置１がＣＨＡＰを選択したため、以下、ＣＨＡＰの手続きに沿った処理を例にあげて説明する。
【０２０４】
まず、ＣＰＵ４０４が、ｉＳＣＳＩ処理プログラム４２０がサポートするハッシュアルゴリズムの名前を用いてログイン要求を組み立て、ＮＩＦ４０８からストレージ装置１へ送信する（Ｓ１３１８）。なお、本実施形態では、ｉＳＣＳＩ処理プログラム４２０は、ハッシュアルゴリズムとしてＭＤ５をサポートするものとする。すなわち、Ｓ１３１８においてＣＰＵ４０４が組み立てるログイン要求のハッシュアルゴリズム名として、ＭＤ５が格納される。
【０２０５】
ストレージ装置１が、前記ログイン要求を受信すると、ｉＳＣＳＩ認証プログラム１２１がＣＰＵ１０４で実行され、アルゴリズム決定処理が行われる（Ｓ１３１９）。
【０２０６】
本処理で、ＣＰＵ１０４は、前記ログイン要求からハッシュアルゴリズム名を取り出し、そのなかからｉＳＣＳＩ認証プログラム１２１がサポートするハッシュアルゴリズムを１つ選択する。そして、そのハッシュアルゴリズム名を用いてログイン応答を組み立て、ＮＩＦ１０８からホスト４へ送信する（Ｓ１３２０）。本実施形態では、ｉＳＣＳＩ認証プログラム１２１は、ハッシュアルゴリズムとしてＭＤ５をサポートするものとする。従って、Ｓ１３２０では、ＭＤ５が選択される。
【０２０７】
次に、ホスト４が前記ログイン応答を受信すると、ＣＰＵ４０４は、前記ログイン応答からハッシュアルゴリズム名を取り出す。次に、ＣＰＵ４０４が、取り出したハッシュアルゴリズム名に相当するアルゴリズム（本実施形態の場合はＭＤ５）を用いて、構成定義記憶領域４３０から取り出した認証情報のハッシュ値を計算する。
【０２０８】
そして、ＣＰＵ４０４は、このハッシュ値と、構成定義記憶領域４３０から取り出した認証名とを用いてログイン要求を組み立て、ＮＩＦ４０８からストレージ装置１へ送信する（Ｓ１３２１）。
【０２０９】
ストレージ装置１が、前記ログイン要求を受信すると、ＣＰＵ１０４は、ｉＳＣＳＩ認証プログラム１２１を実行し、ｉＳＣＳＩ認証処理を行う（Ｓ１３２２）。
【０２１０】
本処理で、ＣＰＵ１０４は、前記ログイン要求から認証名と認証情報のハッシュ値とを取り出す。次に、ＣＰＵ１０４は、エントリ１３００の内容が「ｉｓｃｓｉ−ｃｈａｐ」であり、かつエントリ１３０１の内容が前記ログイン要求から取り出した認証名と一致するレコードを、認証テーブル１３０から検索する。
【０２１１】
条件に合致するレコードが見つかった場合、ＣＰＵ１０４は、そのレコードのエントリ１３０２の内容である認証情報を取り出し、Ｓ１３２０で選択したハッシュアルゴリズムを用いて、その認証情報のハッシュ値を計算する。
【０２１２】
このハッシュ値と前記ログイン要求から取り出した認証情報のハッシュ値とが一致する場合、認証が成功したものとみなし、ＣＰＵ１０４は、Ｓ１３２３以下の処理を行う。一方、条件に合致するレコードが見つからなかった場合や、計算したハッシュ値と前記ログイン要求から取り出した認証情報のハッシュ値とが一致しなかった場合は、ＣＰＵ１０４は、認証失敗とみなし、ログインが失敗したことを表すログイン応答を組み立て、ＮＩＦ１０８から送信する。
【０２１３】
次に、Ｓ１３２２の認証処理において認証成功の場合、ＣＰＵ１０４は、認証名ベース認可プログラム１２３を実行し、認証名ベース認可処理を行う（Ｓ１３２３）。この認証名ベース認可処理の詳細は、後述する。
【０２１４】
本処理の結果、当該イニシエータのログインが認可された場合、ＣＰＵ１０４は、ログインが成功したことを表すログイン応答を組み立て、ＮＩＦ１０８からホスト４へ送信する（Ｓ１３２４）。一方、当該イニシエータのログインが認可されなかった場合、ＣＰＵ１０４は、ログインが失敗したことを表すログイン応答を組み立て、ＮＩＦ１０８からホスト４へ送信する。
【０２１５】
図１４は、ＩＰＳｅｃホスト５がストレージ装置１へログインする際の装置間の通信シーケンス例を示す図である。ここでは、ＩＰＳｅｃホスト５が、ＩＰＳｅｃレイヤで認証処理を行う際の動作を示す。ｉＳＣＳＩレイヤで認証処理を行う際の動作は、図１３と同様である。すなわち、ストレージ装置１のｉＳＣＳＩ名登録処理およびネーム管理装置３のｉＳＣＳＩ名登録受信処理（図１３のＳ１３０１からＳ１３０４までの処理）は完了しているものとする。
【０２１６】
最初に、システム管理者等の指示に従い、ＩＰＳｅｃホスト５が、ｉＳＣＳＩイニシエータの動作を開始させると、ＩＰＳｅｃホスト５において、ＣＰＵ５０がｉＳＣＳＩ名登録処理およびディスカバリ処理を、ネーム管理装置３において、ＣＰＵ３０４がｉＳＣＳＩ名登録受信処理およびクエリ要求受信処理を、それぞれ行う（Ｓ１４０１からＳ１４０８まで）。
【０２１７】
Ｓ１４０１からＳ１４０８までのＩＰＳｅｃホスト５およびネーム管理装置３の動作は、ホスト４がＩＰＳｅｃホスト５に、ＣＰＵ４０４がＣＰＵ５０４に、管理用ＮＩＦ４０９が管理用ＮＩＦ５０９に、ｉＳＣＳＩ名登録プログラム４２１がｉＳＣＳＩ名登録プログラム５２１に、ディスカバリプログラム４２２がディスカバリプログラム５２２に、構成定義記憶領域４３０が構成定義記憶領域５３０にそれぞれかわる点を除いて、図１３のＳ１３０５からＳ１３１２までと同様である。
【０２１８】
次に、ホスト５のＣＰＵ５０４は、ＩＰＳｅｃ処理プログラム５２４を実行し、ＩＫＥフェーズ１の処理が行われる。具体的には、ＩＰＳｅｃレイヤの認証方法や鍵交換フェーズで使用される暗号化アルゴリズムがネゴシエーションされた後、ＩＫＥ認証処理が行われる（Ｓ１４０９）。
【０２１９】
本実施形態では、ＩＰＳｅｃホスト５のＩＰＳｅｃ処理プログラム５２４およびストレージ装置１のＩＰＳｅｃ処理装置１０５が事前共有鍵方式をサポートしているものとし、前記ネゴシエーションにおいて、ＩＰＳｅｃレイヤの認証方法として事前共有鍵方式を用いることが決定される。
【０２２０】
このＩＫＥ認証処理で、ＣＰＵ５０４は、構成定義記憶領域５３０から取り出した認証名および認証情報を用いて認証要求を組み立て、ＮＩＦ５０８からストレージ装置１へ送信する（Ｓ１４１０）。
【０２２１】
ストレージ装置１が、前記認証要求を受信すると、ＩＰＳｅｃ処理装置１０５がＩＫＥ認証処理を実行する（Ｓ１４１１）。
【０２２２】
本処理で、ＩＰＳｅｃ処理装置１０５は、前記認証要求から認証名および認証情報を取り出し、認証テーブル１３０を検索し、合致するレコードの有無により、認証名と認証情報との組が正しいか否かを判断する。
【０２２３】
合致するレコードがあった場合、ＩＰＳｅｃ処理装置１０５は、認証が成功したことを示す認証応答を組み立て、ＮＩＦ１０８からＩＰＳｅｃホスト５へ送信する（Ｓ１４１２）。ＩＰＳｅｃホスト５が、前記認証応答を受信すると、ＣＰＵ５０４は、ＩＰＳｅｃ処理プログラム５２４を実行し、ＩＫＥフェーズ２の処理が行われる。以降、ＩＰＳｅｃホスト５とストレージ装置１との通信は暗号化される。
【０２２４】
なお、Ｓ１４１１において、合致するレコードがなかった場合は、ＩＰＳｅｃ処理装置１０５は認証失敗を示す認証応答を組み立て、ＮＩＦ１０８からＩＰｓｅｃホスト５に送信する。
【０２２５】
Ｓ１４１２において認証が成功すると、次に、ＩＰＳｅｃホスト５でログイン処理が、ストレージ装置１でｉＳＣＳＩ名ベース認可処理がそれぞれ実行される（Ｓ１４１３からＳ１４１５まで）。
【０２２６】
Ｓ１４１３からＳ１４１５までのＩＰＳｅｃホスト５およびストレージ装置１の動作は、ホスト４がＩＰＳｅｃホスト５に、ＣＰＵ４０４がＣＰＵ５０４に、管理用ＮＩＦ４０９が管理用ＮＩＦ５０９に、ｉＳＣＳＩ処理プログラム４２０がｉＳＣＳＩ処理プログラム５２０にそれぞれかわる点を除いて、図１３のＳ１３１３からＳ１３１５までと同様である。
【０２２７】
ｉＳＣＳＩ名ベース認可処理の結果、ｉＳＣＳＩ名に基づいて判断する限り当該イニシエータが当該ターゲットへアクセス可能とみなした場合、ＩＰＳｅｃホスト５がＳ１４１３で送信したログイン要求から認証方法を取り出し、そのなかから認証方法を１つ選択する。
【０２２８】
ＩＰＳｅｃホスト５からのログインの場合、Ｓ１４０９からＳ１４１２までの間に認証が完了しているため、ｉＳＣＳＩレイヤでは認証を行う必要がないと判断し、ここでは、認証方法としてＮＯＡＵＴＨを選択する。
【０２２９】
そして、ＣＰＵ１０４は、認証名ベース認可プログラム１２３を実行し、認証名ベース認可処理を行う（Ｓ１４１６）。この認証名ベース認可処理の詳細は、後述する。
【０２３０】
本処理の結果、当該イニシエータのログインが認可された場合、ＣＰＵ１０４は、ログインが成功したことを表すログイン応答を組み立て、ＮＩＦ１０８からＩＰＳｅｃホスト５へ送信する（Ｓ１４１７）。一方、当該イニシエータのログインが認可されなかった場合、ＣＰＵ１０４は、ログインが失敗したことを表すログイン応答を組み立て、ＮＩＦ１０８からＩＰＳｅｃホスト５へ送信する。
【０２３１】
図１５は、図１３のＳ１３２３および図１４のＳ１４１６における認証名ベース認可処理の動作手順を示すフローチャートである。
【０２３２】
最初に、ストレージ装置１のＣＰＵ１０４は、ＩＰＳｅｃレイヤでの認証の有無に従って、処理を分岐する（Ｓ１５０１）。
【０２３３】
ＩＰＳｅｃレイヤでは認証を行っていない場合、ＣＰＵ１０４は、認証方法を「ｉｓｃｓｉ−ｃｈａｐ」とし、図１３のＳ１３２０でログイン要求から取り出した認証名を認証識別子とする（Ｓ１５０２）。一方、ＩＰＳｅｃレイヤで認証を行った場合、認証方法を「ｉｐｓｅｃ−ｐｓｋ」とし、ＩＫＥ認証処理時に受信した認証名をＩＰＳｅｃ処理装置１０５から取り出し認証識別子とする（Ｓ１５０３）。
【０２３４】
なお、ＩＰＳｅｃレイヤでの認証は、ＩＰＳｅｃホスト５からログイン要求があった場合のみ行われる。
【０２３５】
次に、ＣＰＵ１０４は、エントリ１３２０、エントリ１３２１、エントリ１３２２およびエントリ１３２３の内容が、それぞれ認証方法、認証識別子、「Ｉｎｉｔｉａｔｏｒ」およびＳ１３１５でログイン要求から取り出したイニシエータのｉＳＣＳＩ名に一致するレコードを、認証名ベース認可テーブル１３２から検索し（Ｓ１５０４）、この検索結果に従って処理を分岐する（Ｓ１５０５）。
【０２３６】
条件に合致するレコードが見つからなかった場合、ＣＰＵ１０４は、ログインを拒否し、本処理を終了する（Ｓ１５０９）。
【０２３７】
一方、条件に合致するレコードが見つかった場合、ＣＰＵ１０４は、エントリ１３２０、エントリ１３２１、エントリ１３２２およびエントリ１３２３の内容が、それぞれ認証方法、認証識別子、「Ｔａｒｇｅｔ」およびＳ１３１５でログイン要求から取り出したターゲットのｉＳＣＳＩ名に一致するレコードを、認証名ベース認可テーブル１３２から検索し（Ｓ１５０６）、この検索結果に従って処理を分岐する（Ｓ１５０７）。
【０２３８】
条件に合致するレコードが見つからなかった場合、ＣＰＵ１０４は、ログインを拒否し、本処理を終了する（Ｓ１５０９）。
【０２３９】
一方、条件に合致するレコードが見つかった場合、ＣＰＵ１０４は、ログインを許可し、本処理を終了する（Ｓ１５０８）。
【０２４０】
以上の認証名ベース認可処理において、認証名ベース認可テーブル１３２においてエントリ１３２２が無い場合、すなわち、ターゲットのｉＳＣＳＩ名と認証名および認証種別との組のみ、または、イニシエータのｉＳＣＳＩ名と認証名および認証種別との組のみでアクセス制御を行う場合は、Ｓ１５０４およびＳ１５０５の処理、または、Ｓ１５０６およびＳ１５０７の処理は不要である。
【０２４１】
なお、本実施形態では、ネーム管理装置３がＩＰ−ＳＡＮ８に接続されていることを前提としているが、ネーム管理装置３が存在しない場合でも、本発明は適用可能である。その場合、図１０のＳ１００７からＳ１０１５までのドメイン登録処理およびドメインセット登録処理、図１３のＳ１３０１からＳ１３１２まで、および、図１４のＳ１４０１からＳ１４０８までのｉＳＣＳＩ名登録処理およびディスカバリ処理は不要である。
【０２４２】
この場合、ホスト４およびＩＰＳｅｃホスト５には、イニシエータがログインするターゲットのｉＳＣＳＩ名、ＩＰアドレスおよびポート番号が予め設定されているか、あるいは、イニシエータがログインするターゲットのＩＰアドレスおよびポート番号が予め設定されている。または、イニシエータが前記ターゲットとのｉＳＣＳＩのディスカバリセッションを確立し、そのターゲットのｉＳＣＳＩ名を取り出す。
【０２４３】
ネーム管理装置３が存在しない場合、図９（Ｂ）の認証名ベース認可情報登録画面９１０におけるボタン９１８およびボタン９１９は指定不可となる。
【０２４４】
また、本実施形態では、ホスト４やＩＰＳｅｃホスト５のユーザに基づいて、イニシエータがログイン可能なターゲットを制限していたが、ディスカバリに関してはユーザに基づいた制限はしていない。ネーム管理装置３が、ホスト４やＩＰＳｅｃホスト５のユーザによって、ディスカバリ可能なターゲットを制限してもよい。
【０２４５】
ネーム管理装置３によって制限する場合、ネーム管理装置３が、磁気ディスク３０３に、ユーザの認証種別、認証名および認証情報がそれぞれ登録されるエントリからなる認証テーブルと、ユーザの認証種別、認証名、ｉＳＣＳＩノードのノード種別およびｉＳＣＳＩ名からなる認可テーブルとを保持する。
【０２４６】
一方、ストレージ管理装置２は、図１１のＳ１１０５の処理を行った後、認証情報登録要求をネーム管理装置３へ送信し、ネーム管理装置３が前記認証テーブルにレコードを追加した後、ストレージ管理装置２へ認証情報登録応答を送信する。
【０２４７】
また、ストレージ管理装置２は、図１１のＳ１１１５の処理を行った後、認証名ベース認可情報登録要求をネーム管理装置３へ送信し、ネーム管理装置３が前記認可テーブルにレコードを追加した後、ストレージ管理装置２へ認証名ベース認可情報登録応答を送信する。
【０２４８】
さらに、ホスト４が、図１３のＳ１３０９の処理において、まず認証名および認証情報からなる認証要求をネーム管理装置３へ送信し、ネーム管理装置３は、認証要求から取り出した認証名および認証情報に基づき認証を行い、認証応答をホスト４へ送信する。
【０２４９】
ホスト４は、認証応答を受信した後、クエリ要求を送信する。クエリ要求を受信したネーム管理装置３は、前記認証要求から取り出した認証名をキーにして、前記認可テーブルを検索する。
【０２５０】
この検索の結果見つかったレコードのノード種別がイニシエータの場合、ネーム管理装置３は、このレコードのｉＳＣＳＩ名と前記クエリ要求から取り出したイニシエータｉＳＣＳＩ名とが一致するか調べ、一致しない場合、エラーを表すクエリ応答をホスト４へ送信する。
【０２５１】
一致する場合、ネーム管理装置３は、クエリ要求受信処理（Ｓ１３１１）の第一の検索および第二の検索を実行する。
【０２５２】
認可テーブルの前記検索の結果見つかったレコードのノード種別がターゲットの場合、ネーム管理装置３は、このレコードのｉＳＣＳＩ名とＳ１３１１の第二の検索の結果得たターゲットのｉＳＣＳＩ名とが一致するか調べ、一致しないｉＳＣＳＩ名を取り除く。
【０２５３】
ここで、全てのｉＳＣＳＩ名が一致しない場合、ネーム管理装置３は、エラーを表すクエリ応答をホスト４へ送信する。一方、一致したｉＳＣＳＩ名が存在する場合、ネーム管理装置３は、Ｓ１３１１の第三の検索を行い、最後にクエリ応答を組み立てホスト４へ送信する。
【０２５４】
以上の処理により、ネーム管理装置３が、ユーザの認証名に基づいて、ログイン可能なターゲットを制限すると共に、ディスカバリ可能なターゲットを制限できる。
【０２５５】
以上、本発明の第一の実施形態を説明した。第一の実施形態によると、ｉＳＣＳＩ名に基づく認可処理とともに、認証名に基づく認証処理とを関連づけて行うことにより、正当な計算機からの不正なアクセスを防ぐことができる。すなわち、内部犯行者やクラッカがイニシエータのｉＳＣＳＩ名を変更することによるイニシエータのなりすましを防止することができる。
【０２５６】
また、システム管理者等が、あるユーザが使用できるイニシエータを、当該イニシエータが属するディスカバリドメインやディスカバリドメインセットにより指定できる仕組みを備えるため、認可処理に必要な設定作業負荷を軽減することができる。
【０２５７】
〔第二の実施形態〕
次に、第二の実施形態について説明する。ここでは、第一の実施形態と相違する部分に限って説明する。
【０２５８】
第一の実施形態では、ストレージ装置１は、図１３に示すｉＳＣＳＩ名ベース認可処理Ｓ１３１５でｉＳＣＳＩ名ベース認可テーブル１３１を１回検索し、認証名ベース認可処理Ｓ１３２２で認証名ベース認可テーブル１３２を２回検索する。
【０２５９】
一方、第二の実施形態では、ｉＳＣＳＩ名ベース認可テーブル１３１と認証名ベース認可テーブル１３２とを１つのテーブルにまとめ、１回のテーブル検索でログインの可否を判断できるようにする。これにより、認可処理に要する処理時間を削減することができる。
【０２６０】
本実施形態においては、ストレージ装置１の磁気ディスク１０３に、ｉＳＣＳＩ名ベース認可テーブル１３２および認証名ベース認可テーブル１３３の代わりに、認可テーブル１３４が格納される。
【０２６１】
他の構成は、第一の実施形態と同様であるため、ここでは、説明しない。また、ホスト４、ＩＰｓｅｃホスト５、ネーム管理装置３、ストレージ管理装置２、および、ストレージ装置１がそれぞれ主メモリに保持するプログラムも、相違する点についてのみ、以下に説明する。
【０２６２】
図１６は、認可テーブル１３４のデータ構造例を示す図である。認可テーブル１３４は、配列構造を成し、１つ以上のレコードを格納可能である。認可テーブル１３４の各レコードは、認証種別が格納されるエントリ１３４０、認証名が格納されるエントリ１３４１、イニシエータのｉＳＣＳＩ名が格納されるエントリ１３４２およびターゲットのｉＳＣＳＩ名が格納されるエントリ１３４３を備える。
【０２６３】
ここでは、エントリ１３４３に、エントリ１３４１に格納される認証名を有するユーザがアクセスを許可されているターゲット（記憶領域）のｉＳＣＳＩ名を格納し、エントリ１３４２に、そのターゲットにアクセス可能なイニシエータ（計算機）のｉＳＣＳＩ名を格納する。
【０２６４】
なお、エントリ１３４２に、エントリ１３４１に格納される認証名を有するユーザが使用を許可されたイニシエータ（計算機）のｉＳＣＳＩ名を格納し、エントリ１３４３に、そのイニシエータがアクセス可能なターゲット（記憶領域）のｉＳＣＳＩ名を格納するよう構成してもよい。
【０２６５】
次に、第二の実施形態で用いられるＧＵＩについて説明する。
【０２６６】
図１７は、ストレージ管理装置２において、システム管理者等から、認可処理に必要な情報の登録を受け付けるための認可情報登録画面１７００の表示例を示す図である。
【０２６７】
認可情報登録画面１７００は、ユーザの情報の選択の指示を受け付ける領域１７０１、領域１７０１で選択されたユーザが使用できるｉＳＣＳＩノードの選択の指示を受け付ける領域１７０２、これらの領域で指定された情報を登録する指示を受け付けるボタン１７１８および登録を取り消す指示を受け付けるボタン１７１９を有する。
【０２６８】
さらに、領域１７０１は、認証方法の選択を受け付けるボタン１７０４、ボタン１７０４で選択された認証方法を表示する領域１７０３、認証情報登録画面８２０を用いて登録された認証名の中から認証名の選択を受け付けるボタン１７０６、ボタン１７０６で選択された認証名を表示する領域１７０５を有する。
【０２６９】
また、領域１７０２は、ユーザが使用できるｉＳＣＳＩノードの指定方法の選択を受け付けるボタン１７０７、１７０８、１７０９を備える。ここで、ボタン１７０７は、ｉＳＣＳＩ名によりｉＳＣＳＩノードの指定を受け付けるものであり、ボタン１７０８は、ディスカバリドメイン名によりｉＳＣＳＩノードの指定を受け付けるものであり、ボタン１０７９は、ディスカバリドメインセット名によりｉＳＣＳＩノードの指定を受け付けるものである。なお、ボタン１７０７、１７０８、および１７０９は、いずれか１つのみ選択可能である。
【０２７０】
さらに、領域１７０２は、ボタン１７０７が選択された場合にイニシエータのｉＳＣＳＩ名の選択を受け付けるボタン１７１１、ボタン１７１１で選択されたｉＳＣＳＩ名を表示する領域１７１０、ボタン１７０７が選択された場合にターゲットのｉＳＣＳＩ名の選択を受け付けるボタン１７１３、ボタン１７１３で選択されたｉＳＣＳＩ名を表示する領域１７１２、ボタン１７０８が選択された場合にディスカバリドメイン名の選択を受け付けるボタン１７１５、ボタン１７１５で選択されたディスカバリドメイン名を表示する領域１７１４、ボタン１７０９が選択された場合にディスカバリドメインセット名の選択を受け付けるボタン１７１７、ボタン１７１７で選択されたディスカバリドメインセット名を表示する領域１７１６を有する。
【０２７１】
次に、第二の実施形態における各装置間の通信シーケンスおよび各装置の動作を示すフローチャートについて説明する。
【０２７２】
最初に、第一の実施形態の説明に用いた図１１を用いて、本実施形態において、ストレージ管理装置２が、システム管理者等からの指示に従って、認証情報、および認可情報を登録する際の、第二の実施形態における通信シーケンスを説明する。
【０２７３】
まず、Ｓ１１０１からＳ１１０５までの認証情報登録処理は第一の実施形態と同様である。また、Ｓ１１０６からＳ１１１０までのｉＳＣＳＩ名ベース認可情報登録処理は、本実施形態では不要である。
【０２７４】
次に、Ｓ１１１１で、ストレージ管理装置２のＣＰＵ２０４は、ＧＵＩ制御プログラム２２０を実行し、ディスプレイ２０５に認可情報登録画面１７００を表示する認可情報登録画面表示処理を行う。
【０２７５】
その後、システム管理者等による、認可情報登録画面１７００のボタン１７１８の指定を受け付けると、ストレージ管理装置２のＣＰＵ２０４は、認可情報登録プログラム２２５を実行し、認可情報登録処理が行われる（Ｓ１１１２）。この認可情報登録処理の詳細は後述する。
【０２７６】
ＣＰＵ２０４は、この処理の結果得たｉＳＣＳＩノードペアリスト、ボタン１７０４で選択された認証方法およびボタン１７０６で選択された認証名を用いて認可情報登録要求を組み立て、管理用ＮＩＦ２０９からストレージ装置１へ送信する（Ｓ１１１３）。
【０２７７】
ここで、ｉＳＣＳＩノードペアリストとは、Ｓ１７０６にて指定された認証名のユーザが利用可能なｉＳＣＳＩイニシエータとｉＳＣＳＩターゲットとの組のリストである。
【０２７８】
ストレージ装置１が、前記認可情報登録要求を受信すると、ＣＰＵ１０４は、認可情報登録受信プログラム１２５を実行し、認可情報登録処理を行う（Ｓ１１１４）。
【０２７９】
本処理で、ＣＰＵ１０４は、まず前記認可情報登録要求からｉＳＣＳＩノードペアリスト、認証方法および認証名を取り出す。次に、ＣＰＵ１０４は、前記ｉＳＣＳＩノードペアリストに含まれるｉＳＣＳＩ名ごとに、認可テーブル１３４へレコードを追加する。
【０２８０】
ここで追加するレコードのエントリ１３４０には認証方法が、エントリ１３４１には認証名が、エントリ１３４２にはイニシエータｉＳＣＳＩ名が、エントリ１３４３にはターゲットｉＳＣＳＩ名がそれぞれ登録される。そして、ＣＰＵ１０４は、認可情報の登録が成功したことを表す認可情報登録応答を、管理用ＮＩＦ１０９からストレージ管理装置２へ送信する（Ｓ１１１５）。
【０２８１】
図１８は、上述の認可情報登録処理の動作手順を示すフローチャートである。
【０２８２】
最初に、認可情報登録画面１７００を介してシステム管理者等から受け付けたｉＳＣＳＩノードの指定方法に応じて、ＣＰＵ２０４は、処理を分岐する（Ｓ１８０１）。
【０２８３】
第一に、ボタン１７０７の指定（指定方法としてｉＳＣＳＩ名が選択された）を受け付けた場合の処理を説明する。
【０２８４】
ＣＰＵ２０４は、ボタン１７１１で選択されたイニシエータのｉＳＣＳＩ名と、ボタン１７１３で選択されたターゲットのｉＳＣＳＩ名との組み合わせをｉＳＣＳＩノードペアリストに追加し、本処理を終了する（Ｓ１８０２）。
【０２８５】
第二に、ボタン１７０８の指定（指定方法としてディスカバリドメイン名が選択された）を受け付けた場合の処理を説明する。
【０２８６】
ＣＰＵ２０４は、まず、ボタン１７１５で選択されたディスカバリドメインに属するｉＳＣＳＩノードのｉＳＣＳＩ名とノード種別とを問い合わせるクエリ要求を組み立て、管理用ＮＩＦ２０９からネーム管理装置３へ送信する（Ｓ１８０３）。次に、ネーム管理装置３からのクエリ応答を受信すると、そのクエリ応答から先頭のイニシエータのｉＳＣＳＩ名を取り出す（Ｓ１８０４）。そして、当該イニシエータのｉＳＣＳＩ名と、前記クエリ応答に含まれる各ターゲットのｉＳＣＳＩ名との組み合わせをｉＳＣＳＩノードペアリストに追加する（Ｓ１８０５）。
【０２８７】
ＣＰＵ２０４は、Ｓ１８０４で受信したクエリ応答に含まれる全てのイニシエータについて、Ｓ１８０５の処理を実行したかを判断し（Ｓ１８０６）、全てを終えた場合は、処理を終了する。
【０２８８】
一方、ステップＳ１８０６において、処理未終了のイニシエータがある場合、Ｓ１８０４で受信したクエリ応答に含まれる次のイニシエータ名を取り出し（Ｓ１８０７）、Ｓ１８０５、Ｓ１８０６の処理を繰り返す。
【０２８９】
第三に、ボタン１７０９の指定（指定方法としてディスカバリドメインセット名が選択された）を受け付けた場合の処理を説明する。
【０２９０】
ＣＰＵ２０４は、まず、ボタン１７１７で選択されたディスカバリドメインセットに属するディスカバリドメインの名前を問い合わせるクエリ要求を組み立て、管理用ＮＩＦ２０９からネーム管理装置３へ送信する（Ｓ１８０８）。次に、ネーム管理装置３からのクエリ応答を受信し、そのクエリ応答から先頭のディスカバリドメイン名を取り出す（Ｓ１８０９）。
【０２９１】
そして、当該ディスカバリドメインに属するｉＳＣＳＩノードのｉＳＣＳＩ名とノード種別とを問い合わせるクエリ要求を組み立て、管理用ＮＩＦ２０９からネーム管理装置３へ送信する（Ｓ１８１０）。次に、ネーム管理装置３からのクエリ応答を受信すると、そのクエリ応答から先頭のイニシエータのｉＳＣＳＩ名を取り出す（Ｓ１８１１）。そして、当該イニシエータのｉＳＣＳＩ名と、前記クエリ応答に含まれる各ターゲットのｉＳＣＳＩ名との組み合わせをｉＳＣＳＩノードペアリストに追加する（Ｓ１８１２）。
【０２９２】
ＣＰＵ２０４は、Ｓ１８１１で受信したクエリ応答に含まれる全てのイニシエータについて、Ｓ１８１２の処理を実行したかを判断し（Ｓ１８１３）、全てを終えた場合は、処理を終了する。
【０２９３】
一方、ステップＳ１８１３において、処理未終了のイニシエータがある場合、Ｓ１８１１で受信したクエリ応答に含まれる次のイニシエータ名を取り出し（Ｓ１８１４）、Ｓ１８１２、Ｓ１８１３の処理を繰り返す。
【０２９４】
次に、ＣＰＵ２０４は、Ｓ１８０９で受信したクエリ応答に含まれる全てのディスカバリドメイン名についてＳ１８１０〜Ｓ１８１４の処理を実行したかを判断し（Ｓ１８１５）、全てを終えたと判断した場合は、処理を終了する。
【０２９５】
一方、ステップＳ１８１５において、処理未終了のディスカバリドメインがあると判断した場合、Ｓ１８０９で受信したクエリ応答に含まれる次のディスカバリドメイン名を取り出し（Ｓ１８１６）、Ｓ１８１０〜Ｓ１８１５の処理を繰り返す。
【０２９６】
次に、図１３を用いて、ホスト４がストレージ装置１へログインする際の、本実施形態における通信シーケンスを説明する。
【０２９７】
本実施形態において、Ｓ１３０１からＳ１３１４までの処理は第一の実施形態と同様である。また、Ｓ１３１５の処理は、本実施形態では不要である。そして、Ｓ１３１６からＳ１３２１までの処理は第一の実施形態と同様である。
【０２９８】
本実施形態では、Ｓ１３２２で、ｉＳＣＳＩ認証プログラム１２１の代わりに、ＣＰＵ１０４は、ストレージ装置１の主メモリにロードされ実行される認可プログラム（不図示）を実行し、認可処理を行う。この認可処理の詳細は後述する。Ｓ１３２３の処理は第一の実施形態と同様である。
【０２９９】
次に、図１４を用いて、ＩＰＳｅｃホスト５がストレージ装置１へログインする際の、第二の実施形態における通信シーケンスを説明する。
【０３００】
本実施形態において、Ｓ１４０１からＳ１４１４までの処理は第一の実施形態と同様である。Ｓ１４１５の処理は、本実施形態では不要である。本実施形態では、Ｓ１４１６において、ＣＰＵ１０４は、認証名ベース認可プログラム１２３の代わりに、上述の認可プログラムを実行し、認可処理を行う。この認可処理の詳細は後述する。なお、Ｓ１４１７の処理は第一の実施形態と同様である。
【０３０１】
次に、第一の実施形態において、認証名ベース認可処理の動作手順を説明するための用いた図１５を用いて、上述の認可プログラムにより実現される認可処理の動作手順を説明する。
【０３０２】
本実施形態においても、Ｓ１５０１からＳ１５０３までの処理は、第一の実施形態の認証名ベース認可処理と同様である。
【０３０３】
次に、ＣＰＵ１０４は、エントリ１３４０、エントリ１３４１、エントリ１３４２およびエントリ１３４３の内容が、それぞれ認証方法、認証識別子、受信したログイン要求から取り出したイニシエータのｉＳＣＳＩ名およびターゲットのｉＳＣＳＩ名に一致するレコードを、認可テーブル１３４から検索し（Ｓ１５０４）、この検索結果に従って処理を分岐する（Ｓ１５０５）。
【０３０４】
本実施形態では、Ｓ１５０６とＳ１５０６との処理は不要である。
【０３０５】
Ｓ１５０５で、条件に合致するレコードが見つからなかった場合、ＣＰＵ１０４は、ログインを拒否し、本処理を終了する（Ｓ１５０９）。
【０３０６】
一方、条件に合致するレコードが見つかった場合、ＣＰＵ１０４は、ログインを許可し、本処理を終了する（Ｓ１５０８）。
【０３０７】
以上、本発明の第二の実施形態を説明した。第二の実施形態によると、第一の実施形態同様、正当な計算機からの不正なアクセスを防ぐことができる。さらに、認可処理に必要な情報を記憶するテーブルを１つにまとめたため、認可および認証のためのテーブル検索回数を第一の実施形態より削減することができ、これにより、認可処理の所要時間を削減することができる。
【０３０８】
〔第三の実施形態〕
次に、第三の実施形態について説明する。ここでは、第一の実施形態と相違する部分に限って説明する。
【０３０９】
第一の実施形態では、認証テーブル１３０が、ストレージ装置１の磁気ディスク１０３に格納される。このような構成は、計算機システムが、複数のストレージ装置１を備える場合、システム管理者等は同じユーザの認証名と認証情報とを、それぞれのストレージ装置１に登録しなければならず、システム管理者等の設定負荷が高い。
【０３１０】
本実施形態では、認証装置６を備え、この認証装置６が、計算機システムが備える全てのストレージ装置１に関する認証テーブル１３０を一元管理する。本実施形態では、このような構成により、認証名と認証情報とを登録する作業負荷を軽減する。
【０３１１】
例えば、代表的な認証装置６としてＲＡＤＩＵＳ（Ｒｅｍｏｔｅ  Ａｕｔｈｅｎｔｉｃａｔｉｏｎ  Ｄｉａｌ  Ｉｎ  Ｕｓｅｒ  Ｓｅｒｖｉｃｅ）サーバが挙げられる。
【０３１２】
本実施形態では、認証装置６は、通信線１１を介して管理用ネットワーク９に接続される。
【０３１３】
図１９は、認証装置６の構成を説明するための図である。認証装置６は、主メモリ６０１、バスなどの通信線６０２、磁気ディスク６０３、ＣＰＵ６０４、ディスプレイ６０５、ポインティング装置６０６、文字入力装置６０７、ＮＩＦ６０８および管理用ＮＩＦ６０９を有する。
【０３１４】
主メモリ６０１には、認証情報登録受信プログラム６２０および認証プログラム６２１が格納される。認証情報登録受信プログラム６２０の動作は、認証情報登録受信プログラム１２４と同様である。
【０３１５】
磁気ディスク６０３には、認証テーブル６３０が格納される。図２０に認証テーブル６３０のデータ構造の一例を示す。
【０３１６】
本図に示すように、認証テーブル６３０の各レコードは、認証種別が登録されるエントリ６３００、認証名が登録されるエントリ６３０１および当該認証名に対応する認証情報が登録されるエントリ６３０２を有する。
【０３１７】
なお、本実施形態では、第一の実施形態および第二の実施形態においてストレージ装置１が備える認証情報登録受信プログラム１２４および認証テーブル１３０は不要である。
【０３１８】
次に、ストレージ管理装置２が、システム管理者等からの指示に従って、認証情報、ｉＳＣＳＩ名ベース認可情報および認証名ベース認可情報を登録する際の、本実施形態における装置間での通信シーケンス例を、第一の実施形態の説明に用いた図１１を用いて説明する。
【０３１９】
Ｓ１１０１とＳ１１０２との処理は第一の実施形態と同様である。次に、Ｓ１１０３からＳ１１０５までの処理は、ストレージ装置１が認証装置６に、認証情報登録受信プログラム１２４が認証情報登録受信プログラム６２０に、ＣＰＵ１０４がＣＰＵ６０４に変わること以外、第一の実施形態と同様である。そして、Ｓ１１０６からＳ１１１５までの処理は第一の実施形態と同様である。
【０３２０】
次に、ホスト４がストレージ装置１へログインする際の、本実施形態における装置間での通信シーケンス例を、第一の実施形態の説明に用いた図１３を用いて説明する。
【０３２１】
本実施形態において、Ｓ１３０１とＳ１３１８までの処理は第一の実施形態と同様である。
【０３２２】
次に、Ｓ１３１９で、ストレージ装置１がログイン要求を受信すると、本実施形態では、ＣＰＵ１０４は、受信したログイン要求を認証装置６に転送する。
【０３２３】
認証装置６が、転送された前記ログイン要求を受信すると、認証装置６のＣＰＵ６０４は、認証プログラム６２１を実行し、認証処理を行う。
【０３２４】
本処理で、ＣＰＵ６０４は、前記ログイン要求からハッシュアルゴリズム名を取り出し、そのなかから認証プログラム６２１がサポートするハッシュアルゴリズムを１つ選択する。そして、そのハッシュアルゴリズム名を用いてログイン応答を組み立て、ＮＩＦ６０９からストレージ装置１へ送信する。
【０３２５】
ストレージ装置１が、前記ログイン応答を受信すると、ＣＰＵ１０４は、受信したログイン応答をＮＩＦ１０８からホスト４へ転送する（Ｓ１３２０）。なお、本実施形態では、ハッシュアルゴリズムとしてＭＤ５が選択されるものとする。
【０３２６】
次に、ホスト４が、前記ログイン応答を受信すると、ＣＰＵ４０４は、前記ログイン応答からハッシュアルゴリズム名を取り出す。次に、ＣＰＵ４０４が、取り出したハッシュアルゴリズム名に相当するアルゴリズム（本実施形態の場合はＭＤ５）を用いて、構成定義記憶領域４３０から取り出した認証情報のハッシュ値を計算する。
【０３２７】
そして、ＣＰＵ４０４は、このハッシュ値と、構成定義記憶領域４３０から取り出した認証名とを用いてログイン要求を組み立て、ＮＩＦ４０８からストレージ装置１へ送信する（Ｓ１３２１）。
【０３２８】
ストレージ装置１が、前記ログイン要求を受信すると、ＣＰＵ１０４は、それを認証装置６へ転送する。
【０３２９】
認証装置６が、転送された前記ログイン要求を受信すると、ＣＰＵ６０４は、前記ログイン要求から認証名と認証情報のハッシュ値とを取り出す。次に、ＣＰＵ６０４は、エントリ６３００の内容が「ｉｓｃｓｉ−ｃｈａｐ」であり、かつエントリ６３０１の内容が前記ログイン要求から取り出した認証名と一致するレコードを、認証テーブル６３０から検索する。
【０３３０】
条件に合致するレコードが見つかった場合、ＣＰＵ６０４は、そのレコードのエントリ６３０２の内容である認証情報を取り出し、Ｓ１３２０で選択したハッシュアルゴリズムを用いて、その認証情報のハッシュ値を計算する。
【０３３１】
このハッシュ値と前記ログイン要求から取り出した認証情報のハッシュ値とが一致する場合、認証が成功したものとみなし、ＣＰＵ６０４は、ログインが成功したことを表すログイン応答を組み立て、ＮＩＦ６０９からストレージ装置１へ送信する。
【０３３２】
一方、条件に合致するレコードが見つからなかった場合や、計算したハッシュ値と前記ログイン要求から取り出した認証情報のハッシュ値とが一致しない場合は、ＣＰＵ６０４は、認証が失敗したものとみなし、ログインが失敗したことを表すログイン応答を組み立て、ＮＩＦ６０９からストレージ装置１へ送信する。
【０３３３】
ストレージ装置１が、前記ログイン応答を受信すると、ＣＰＵ１０４は、その応答がログイン成功の場合、認証名ベース認可処理を行い、その応答がログイン失敗の場合、ログイン応答をＮＩＦ１０８からホスト４へ転送する。
【０３３４】
以上で、本発明の第三の実施形態を説明した。第三の実施形態によると、第一および第二の実施形態同様、正当な計算機からの不正なアクセスを防ぐことができる。そして、認証装置６が、認証テーブル１３０を一元管理することで、認証名と認証情報とを登録する作業負荷を軽減することができる。
【０３３５】
なお、第一、第二および第三の実施形態では、ホスト４またはＩＰＳｅｃホスト５でイニシエータが動作する場合を例にあげて説明したが、本発明は、本構成に限られない。
【０３３６】
例えば、ストレージ装置１でイニシエータが動作する場合にも適用可能である。すなわち、ストレージ装置１がＷＡＮ（Ｗｉｄｅ  Ａｒｅａ  Ｎｅｔｗｏｒｋ）を介して、ｉＳＣＳＩを用いてリモートコピーを実行する場合の、認証および認可にも有効である。
【０３３７】
また、第一、第二、および第三の実施形態では、ｉＳＣＳＩ認証やＩＫＥ認証の認証名としてユーザの名前を使用する場合を例に挙げて説明した。しかしながら、本発明は、このような構成に限られない。例えば、ＤＢサーバやメールサーバなどのサーバ装置がｉＳＣＳＩを用いてストレージ装置と通信を行う場合、認証名としてサーバの名前、部署の名前などを用いることも可能である。
【０３３８】
また、上記実施形態では、情報の保持形態として、テーブルを用いる場合を例にあげて説明したが、情報の保持形態はこれに限られない。
【図面の簡単な説明】
【０３３９】
【図１】図１は、本実施形態の計算機システムの構成例を示した図である。
【図２】図２（Ａ）は、ホスト４の構成を説明するための図である。図２（Ｂ）は、ＩＰＳｅｃホスト５の構成を説明するための図である。図２（Ｃ）は、ネーム管理装置３の構成を説明するための図である。
【図３】図３は、ストレージ管理装置２の構成を説明するための図である。
【図４】図４は、ストレージ装置１の構成を説明するための図である。
【図５】図５（Ａ）は、認証テーブル１３０のデータ構造の一例を示す図である。図５（Ｂ）は、ｉＳＣＳＩ名ベース認可テーブル１３１のデータ構造の一例を示す図である。図５（Ｃ）は、認証名ベース認可テーブル１３２のデータ構造の一例を示す図である。
【図６】図６（Ａ）は、ｉＳＣＳＩノードテーブル２３０のデータ構造の一例を示す図である。図６（Ｂ）は、ｉＳＣＳＩ名テーブル３３０のデータ構造の一例を示す図である。図６（Ｃ）は、ドメインテーブル３３１のデータ構造の一例を示す図である。図６（Ｄ）は、ドメインセットテーブル３３２のデータ構造の一例を示す図である。
【図７】図７は、ｉＳＣＳＩノード登録画面７００の表示例を示す図である。
【図８】図８（Ａ）は、ドメイン登録画面８００の表示例を示す図である。図８（Ｂ）は、認証情報登録画面８２０の表示例を示す図である。
【図９】図９（Ａ）は、ｉＳＣＳＩ名ベース認可情報登録画面９００の表示例を示す図である。図９（Ｂ）は、認証名ベース認可情報登録画面９１０の表示例を示す図である。
【図１０】図１０は、ｉＳＣＳＩノード、ディスカバリドメインおよびディスカバリドメインセットの情報を登録する際の装置間の通信シーケンス例を示す図である。
【図１１】図１１は、認証情報、ｉＳＣＳＩ名ベース認可情報および認証名ベース認可情報を登録する際の装置間の通信シーケンス例を示す図である。
【図１２】図１２は、認証名ベース認可情報登録処理の動作手順を示すフローチャートである。
【図１３】図１３は、ホスト４がストレージ装置１へログインする際の装置間の通信シーケンス例を示す図である。
【図１４】図１４は、ＩＰＳｅｃホスト５がストレージ装置１へログインする際の装置間の通信シーケンス例を示す図である。
【図１５】図１５は、認証名ベース認可処理の動作手順を示すフローチャートである。
【図１６】図１６は、認可テーブル１３４のデータ構造例を示す図である。
【図１７】図１７は、認可情報登録画面１７００の表示例を示す図である。
【図１８】図１８は、上述の認可情報登録処理の動作手順を示すフローチャートである。
【図１９】図１９は、認証装置６の構成を説明するための図である。
【図２０】図２０は、認証テーブル６３０のデータ構造の一例を示す図である。
【符号の説明】
【０３４０】
１…ストレージ装置、２…ストレージ管理装置、３…ネーム管理装置、４…ホスト、５…ＩＰＳｅｃホスト、６…認証装置、８…ＩＰ−ＳＡＮ、９…管理用ネットワーク、１０…通信線、１１…通信線、１０１…主メモリ、１０２…通信線、１０３…磁気ディスク、１０４…ＣＰＵ、１０５…ＩＰＳｅｃ処理装置、１０６…ｉＳＣＳＩ処理装置、１０７…ストレージ制御装置、１０８…ＮＩＦ、１０９…管理用ＮＩＦ、１１０…ＩＯ  ＩＦ、１１１…通信線、１２０…キャッシュ領域、１２１…ｉＳＣＳＩ認証プログラム、１２２…ｉＳＣＳＩ名ベース認可プログラム、１２３…認証名ベース認可プログラム、１２４…認証情報登録受信プログラム、１２５…認可情報登録受信プログラム、１２６…ｉＳＣＳＩ名登録プログラム、１２７…構成定義送信プログラム、１３０…認証テーブル、１３１…ｉＳＣＳＩ名ベース認可テーブル、１３２…認証名ベース認可テーブル、１３３…構成定義記憶領域。
【図１】
2005310025.tif 000003
【図２】
2005310025.tif 000004
【図３】
2005310025.tif 000005
【図４】
2005310025.tif 000006
【図５】
2005310025.tif 000007
【図６】
2005310025.tif 000008
【図７】
2005310025.tif 000009
【図８】
2005310025.tif 000010
【図９】
2005310025.tif 000011
【図１０】
2005310025.tif 000012
【図１１】
2005310025.tif 000013
【図１２】
2005310025.tif 000014
【図１３】
2005310025.tif 000015
【図１４】
2005310025.tif 000016
【図１５】
2005310025.tif 000017
【図１６】
2005310025.tif 000018
【図１７】
2005310025.tif 000019
【図１８】
2005310025.tif 000020
【図１９】
2005310025.tif 000021
【図２０】
2005310025.tif 000022