(57)【要約】【課題】自動化された作業によるアクセスも含めて、記憶領域へのアクセス制御を高い信頼性をもって実現することができるアクセス制御装置、アクセス制御プログラムおよびアクセス制御方法を提供すること。【解決手段】コンソール装置１００では、利用者の操作に対応して、コードが秘密鍵によって暗号化され、暗号コードが生成される。秘密鍵は利用者に対応する暗号化用の鍵であり、利用者が所有するＩＣカード等に安全に記憶されている。コードと暗号コードは、利用者が要求した操作を示すリクエストと共にアクセス制御装置２００に送信される。アクセス制御装置２００は、リクエストの操作対象の記憶領域に対応する公開鍵を取得し、この鍵を用いて暗号コードを復号化する。そして、復号化結果を送信されたコードと比較し、一致した場合にのみ正当なアクセスであると判定する。【選択図】        図１
2007156516.tif 000002
【特許請求の範囲】
【請求項１】
ネットワーク経由で利用される記憶領域に対するアクセスの正当性の有無についての問合せをうけ、これに応答するアクセス制御装置であって、
前記問合せの対象となっている記憶領域の正当な利用者に対応する鍵を取得する鍵取得手段と、
前記鍵取得手段によって取得された鍵を用いて、前記問合せに含まれる第１のデータを復号化する復号手段と、
前記復号手段による復号化によって得られた値を前記問合せに含まれる第２のデータと比較し、これらが一致する場合はアクセスが正当であると問合せ元に応答し、一致しない場合はアクセスが不当であると応答する復号結果比較手段と
を備えたことを特徴とするアクセス制御装置。
【請求項２】
前記鍵取得手段は、記憶領域の正当な利用者に対応する鍵として、一方の鍵で暗号化したデータが他方の鍵でのみ復号化可能な一対の鍵のいずれか一方の鍵を取得することを特徴とする請求項１に記載のアクセス制御装置。
【請求項３】
前記鍵取得手段は、記憶領域の正当な利用者に対応する鍵として、公開鍵証明書を取得することを特徴とする請求項１に記載のアクセス制御装置。
【請求項４】
前記鍵取得手段により取得された鍵の有効性を検証する鍵検証手段をさらに備えたことを特徴とする請求項１〜３のいずれかひとつに記載のアクセス制御装置。
【請求項５】
前記復号結果比較手段は、前記問合せに含まれる第２のデータの代わりに、前記復号手段による復号化によって得られた値を前記問合せの対象となっている記憶領域に対応付けて予め記憶されたデータと比較し、これらが一致する場合はアクセスが正当であると問合せ元に応答し、一致しない場合はアクセスが不当であると応答することを特徴とする請求項１〜４のいずれかひとつに記載のアクセス制御装置。
【請求項６】
前記復号結果比較手段の代わりに、前記復号手段による復号化によって得られた値をそのまま問合せ元に応答する復号結果応答手段を備えたことを特徴とする請求項１〜４のいずれかひとつに記載のアクセス制御装置。
【請求項７】
ネットワーク経由で利用される記憶領域に対するアクセスの正当性の有無についての問合せをうけ、これに応答するアクセス制御プログラムであって、
前記問合せの対象となっている記憶領域の正当な利用者に対応する鍵を取得する鍵取得手順と、
前記鍵取得手順によって取得された鍵を用いて、前記問合せに含まれる第１のデータを復号化する復号手順と、
前記復号手順による復号化によって得られた値を前記問合せに含まれる第２のデータと比較し、これらが一致する場合はアクセスが正当であると問合せ元に応答し、一致しない場合はアクセスが不当であると応答する復号結果比較手順と
をコンピュータに実行させることを特徴とするアクセス制御プログラム。
【請求項８】
ネットワーク経由で利用される記憶領域に対するアクセスを制御するアクセス制御方法であって、
第１のデータと、これを所定の鍵を用いて暗号化した第２のデータと、アクセスを希望する記憶領域の識別情報とをアクセス制御手段に送信する問合せ工程と、
前記問合せ工程によって送信された識別情報が示す記憶領域の正当な利用者に対応する鍵を取得する鍵取得工程と、
前記鍵取得工程によって取得された鍵を用いて、前記問合せに含まれる前記第２のデータを復号化する復号工程と、
前記復号工程による復号化によって得られた値を前記問合せに含まれる第１のデータと比較し、これらが一致する場合はアクセスが正当であると問合せ元に応答し、一致しない場合はアクセスが不当であると応答する復号結果比較工程と
を含んだことを特徴とするアクセス制御方法。
【発明の詳細な説明】
【技術分野】
【０００１】
この発明は、ネットワーク経由で利用される記憶領域に対するアクセス制御を実現するアクセス制御装置、アクセス制御プログラムおよびアクセス制御方法に関し、特に、自動化された作業によるアクセスも含めて、記憶領域へのアクセス制御を高い信頼性をもって実現することができるアクセス制御装置、アクセス制御プログラムおよびアクセス制御方法に関する。
【背景技術】
【０００２】
従来より、ハードディスク等のストレージを情報処理装置に内蔵させる代わりに、ストレージ装置が備える記憶領域をネットワークを経由して利用する技術が知られている。情報処理装置本体とストレージ装置とを分離させることにより、例えば、ひとつのストレージ装置が備える記憶領域を分割して複数の情報処理装置で共有するといった柔軟な構成をとることが可能になる。
【０００３】
かかる技術を用いて、ひとつないし複数のストレージ装置をネットワーク経由で複数の利用者が利用する場合、情報を保護するため、ある利用者に割り当てられた記憶領域が他の利用者からアクセスできないようにアクセス制御をおこなう必要がある。
【０００４】
特許文献１では、各利用者に配布されたＩＣカードを情報処理装置が読み取り、読み取った情報に従ってアクセスする記憶領域を決定する技術が開示されている。この技術を用いれば、情報処理装置の利用者は、自身が有するＩＣカードに対応した記憶領域のみにアクセスできることとなり、ミスもしくは悪意によって、他人に割り当てられた記憶領域へアクセスすることを防止できる。
【０００５】
【特許文献１】特開２００２−１４９５９９号公報
【発明の開示】
【発明が解決しようとする課題】
【０００６】
しかしながら、特許文献１にて開示されている技術は、利用者がアクセス可能な記憶領域の識別情報をＩＣカード内にもたせているだけであるため、ＩＣカードの内容を書き換えることにより、容易に他人の記憶領域にアクセスすることができてしまい、信頼性が低いという問題がある。
【０００７】
また、アクセス制御のためにＩＣカードが必須であるため、各種の運用作業を安全に自動化することもできないという問題もある。ＩＣカードを所有する利用者の操作による作業でなければ、記憶領域への正当なアクセスであることを作業時に確認することができないためである。
【０００８】
この発明は、上述した従来技術による問題点を解消するためになされたものであり、自動化された作業によるアクセスも含めて、記憶領域へのアクセス制御を高い信頼性をもって実現することができるアクセス制御装置、アクセス制御プログラムおよびアクセス制御方法を提供することを目的とする。
【課題を解決するための手段】
【０００９】
上述した課題を解決し、目的を達成するため、本発明は、ネットワーク経由で利用される記憶領域に対するアクセスの正当性の有無についての問合せをうけ、これに応答するアクセス制御装置であって、前記問合せの対象となっている記憶領域の正当な利用者に対応する鍵を取得する鍵取得手段と、前記鍵取得手段によって取得された鍵を用いて、前記問合せに含まれる第１のデータを復号化する復号手段と、前記復号手段による復号化によって得られた値を前記問合せに含まれる第２のデータと比較し、これらが一致する場合はアクセスが正当であると問合せ元に応答し、一致しない場合はアクセスが不当であると応答する復号結果比較手段とを備えたことを特徴とする。
【００１０】
また、本発明は、ネットワーク経由で利用される記憶領域に対するアクセスの正当性の有無についての問合せをうけ、これに応答するアクセス制御プログラムであって、前記問合せの対象となっている記憶領域の正当な利用者に対応する鍵を取得する鍵取得手順と、前記鍵取得手順によって取得された鍵を用いて、前記問合せに含まれる第１のデータを復号化する復号手順と、前記復号手順による復号化によって得られた値を前記問合せに含まれる第２のデータと比較し、これらが一致する場合はアクセスが正当であると問合せ元に応答し、一致しない場合はアクセスが不当であると応答する復号結果比較手順とをコンピュータに実行させることを特徴とする。
【００１１】
また、本発明は、ネットワーク経由で利用される記憶領域に対するアクセスを制御するアクセス制御方法であって、第１のデータと、これを所定の鍵を用いて暗号化した第２のデータと、アクセスを希望する記憶領域の識別情報とをアクセス制御手段に送信する問合せ工程と、前記問合せ工程によって送信された識別情報が示す記憶領域の正当な利用者に対応する鍵を取得する鍵取得工程と、前記鍵取得工程によって取得された鍵を用いて、前記問合せに含まれる前記第２のデータを復号化する復号工程と、前記復号工程による復号化によって得られた値を前記問合せに含まれる第１のデータと比較し、これらが一致する場合はアクセスが正当であると問合せ元に応答し、一致しない場合はアクセスが不当であると応答する復号結果比較工程とを含んだことを特徴とする。
【００１２】
この発明によれば、記憶領域に対するアクセスの正当性の有無についての問合せに含まれるデータが、問合せの対象となっている記憶領域の正当な利用者に対応する鍵で正しく復号化できた場合にのみ記憶領域に対するアクセスが正当であると判定するように構成したので、正当な利用者のみが記憶領域にアクセスできるように制御することができる。
【００１３】
また、本発明は、上記の発明において、前記鍵取得手段は、記憶領域の正当な利用者に対応する鍵として、一方の鍵で暗号化したデータが他方の鍵でのみ復号化可能な一対の鍵のいずれか一方の鍵を取得することを特徴とする。
【００１４】
この発明によれば、鍵として公開鍵を用いるように構成したので、鍵の漏洩により不正アクセスがおこなわれる可能性を低くすることができ、アクセス制御の信頼性を向上させることができる。
【００１５】
また、本発明は、上記の発明において、前記鍵取得手段は、記憶領域の正当な利用者に対応する鍵として、公開鍵証明書を取得することを特徴とする。
【００１６】
この発明によれば、鍵として公開鍵証明書を用いるように構成したので、鍵の漏洩や情報の改竄による不正アクセスがおこなわれる可能性を極めて低くすることができ、アクセス制御の信頼性を大きく向上させることができる。
【００１７】
また、本発明は、上記の発明において、前記鍵取得手段により取得された鍵の有効性を検証する鍵検証手段をさらに備えたことを特徴とする。
【００１８】
この発明によれば、鍵の有効性を検証する手段を設けたので、鍵の偽造等により不正アクセスがおこなわれる可能性を低くすることができ、アクセス制御の信頼性を向上させることができる。
【００１９】
また、本発明は、上記の発明において、記復号結果比較手段は、前記問合せに含まれる第２のデータの代わりに、前記復号手段による復号化によって得られた値を前記問合せの対象となっている記憶領域に対応付けて予め記憶されたデータと比較し、これらが一致する場合はアクセスが正当であると問合せ元に応答し、一致しない場合はアクセスが不当であると応答することを特徴とする。
【００２０】
この発明によれば、予め正当な鍵で暗号化されたデータとその元データを用いて記憶領域に対するアクセスが正当であるか否かを判定するように構成したので、アクセスの正当性を問い合わせるにあたって、厳重に管理された鍵を用いて暗号データを生成する処理が不要となり、アクセスの正当性の問合せを自動化（無人化）することができる。
【００２１】
また、本発明は、上記の発明において、前記復号結果比較手段の代わりに、前記復号手段による復号化によって得られた値をそのまま問合せ元に応答する復号結果応答手段を備えたことを特徴とする。
【００２２】
この発明によれば、暗号データとその元データが同時に送信されることがないように構成したので、鍵が漏洩する可能性を低くすることができる。
【発明の効果】
【００２３】
本発明によれば、記憶領域に対するアクセスの正当性の有無についての問合せに含まれるデータが、問合せの対象となっている記憶領域の正当な利用者に対応する鍵で正しく復号化できた場合にのみ記憶領域に対するアクセスが正当であると判定するように構成したので、正当な利用者のみが記憶領域にアクセスできるように制御することができるという効果を奏する。
【００２４】
また、本発明によれば、鍵として公開鍵を用いるように構成したので、鍵の漏洩により不正アクセスがおこなわれる可能性を低くすることができ、アクセス制御の信頼性を向上させることができるという効果を奏する。
【００２５】
また、本発明によれば、鍵として公開鍵証明書を用いるように構成したので、鍵の漏洩や情報の改竄による不正アクセスがおこなわれる可能性を極めて低くすることができ、アクセス制御の信頼性を大きく向上させることができるという効果を奏する。
【００２６】
また、本発明によれば、鍵の有効性を検証する手段を設けたので、鍵の偽造等により不正アクセスがおこなわれる可能性を低くすることができ、アクセス制御の信頼性を向上させることができるという効果を奏する。
【００２７】
また、本発明によれば、予め正当な鍵で暗号化されたデータとその元データを用いて記憶領域に対するアクセスが正当であるか否かを判定するように構成したので、アクセスの正当性を問い合わせるにあたって、厳重に管理された鍵を用いて暗号データを生成する処理が不要となり、アクセスの正当性の問合せを自動化（無人化）することができるという効果を奏する。
【００２８】
また、本発明によれば、暗号データとその元データが同時に送信されることがないように構成したので、鍵が漏洩する可能性を低くすることができるという効果を奏する。
【発明を実施するための最良の形態】
【００２９】
以下に添付図面を参照して、本発明に係るアクセス制御装置、アクセス制御プログラムおよびアクセス制御方法の好適な実施の形態を詳細に説明する。
【実施例】
【００３０】
まず、本実施例に係るアクセス制御方式の原理について説明する。図１は、本実施例に係るアクセス制御方式の原理を説明するための説明図である。同図に示すように、本実施例に係るアクセス制御方式では、秘密鍵と公開鍵を用いてアクセス可否の検証をおこなう。
【００３１】
秘密鍵と公開鍵は、一対の鍵であり、一方の鍵で暗号化された情報は他方の鍵でしか復号化することができない。かかる２つの鍵を利用することにより、利用者とアクセス権限の対応を保障することが可能になる。
【００３２】
図１の例では、利用者がコンソール装置１００にて記憶領域への操作を要求した後、アクセス制御装置２００にてその要求が正当であるか否かの判定がおこなわれるまでの仕組みを示している。コンソール装置１００は、利用者が記憶領域に対する操作要求を入力する装置であり、アクセス制御装置２００は、利用者の要求の正当性を判定する装置である。
【００３３】
コンソール装置１００では、利用者の操作に対応して、コードが秘密鍵によって暗号化され、暗号コードが生成される。秘密鍵は利用者に対応する暗号化用の鍵であり、利用者が所有するＩＣカード等に安全に記憶されている。コードは、例えば、ランダムに生成された文字列であり、どのような内容であってもよい。
【００３４】
コードと暗号コードは、利用者が要求した操作を示すリクエストと共にアクセス制御装置２００に送信される。アクセス制御装置２００は、リクエストの操作対象の記憶領域に対応する公開鍵を取得し、この鍵を用いて暗号コードを復号化する。そして、復号化結果を送信されたコードと比較し、一致した場合にのみ正当なアクセスであると判定する。
【００３５】
このように、利用者に対応した秘密鍵で暗号化したコードをアクセス対象に対応した公開鍵で復号化した結果が元のコードと一致するか否かを確認することにより、利用者とアクセス対象の対応が正当であることを保障することが可能になる。
【００３６】
また、一方の鍵で暗号化された情報は他方の鍵でしか復号化することができないという秘密鍵と公開鍵の特性により、一方の鍵が他の利用者に漏洩しても不正アクセスを受ける危険がない。
【００３７】
なお、上記の説明では、アクセス制御装置２００においてリクエストの操作対象の記憶領域に対応する公開鍵を取得するものとしているが、リクエストの操作内容も考慮して複数の公開鍵を取得し、それらの公開鍵をひとつずつ順に使用して暗号コードを復号化し、結果をコードと比較するように構成してもよい。
【００３８】
このように構成することにより、例えば、ひとつの記憶領域に対して、全ての操作をおこなうことができる利用者と、日常的な運用作業のみをおこなうことができる利用者とを設け、それぞれに異なる秘密鍵と公開鍵の組合せを割り当てることが可能になり、アクセス制限を柔軟に設定することが可能になる。
【００３９】
また、秘密鍵と公開鍵による暗号化と復号化を電子署名による署名と検証に置き換えることもできる。電子署名による署名と検証を用いることにより、アクセス制御における正当性の検証をさらに安全におこなうことが可能になる。
【００４０】
ところで、図１に示した方式では、コードとコードを暗号化した暗号コードとが一緒にアクセス制御装置２００へ送信される。このようにコードと暗号コードを一緒に送信すると、ネットワーク盗聴等によって第三者にコードと暗号コードがそろって漏洩し、秘密鍵と公開鍵が破られる可能性が高くなる。
【００４１】
この問題を解決した方式の例を図２に示す。同図に示した方式では、コンソール装置１００においてコードと秘密鍵から秘密コードが生成された後、暗号コードのみがリクエストと共にアクセス制御装置２００に送信される。
【００４２】
アクセス制御装置２００は、リクエストの操作対象の記憶領域に対応する公開鍵を取得し、この鍵を用いて暗号コードを復号化する。そして、復号化結果をコンソール装置１００へ応答する。応答を受信したコンソール装置１００は、応答された値とコードとを比較し、一致した場合にのみ利用者の要求が正当なアクセスであると判定する。
【００４３】
このように、コンソール装置１００側でコードの一致を検証するように構成することにより、コードと暗号コードが一緒に送信されることはなくなり、両者がそろって漏洩し、秘密鍵と公開鍵が破られる危険性を回避することができる。
【００４４】
続いて、自動化された運用作業においてアクセスの正当性の確認をする方式の例を図３に示す。同図に示した方式では、事前準備として、コンソール装置１００においてコードと秘密鍵から秘密コードを生成し、暗号コードを業務サーバ４００の記憶部に記憶させておき、コードをアクセス制御装置２００の記憶部に記憶させておく。
【００４５】
そして、業務サーバ４００は、記憶領域に対する自動化された運用作業をおこなう場合に、作業内容を示すリクエストと共に記憶している暗号コードをアクセス制御装置２００に送信する。
【００４６】
アクセス制御装置２００は、リクエストの操作対象の記憶領域に対応する公開鍵を取得し、この鍵を用いて暗号コードを復号化する。そして、復号化結果を自身が記憶するコードと比較し、一致した場合にのみ正当なアクセスであると判定する。
【００４７】
このように、事前にコードと暗号コードを業務サーバ４００とアクセス制御装置２００に記憶させておくことにより、秘密鍵を管理する利用者が不在の場合であっても、記憶領域へのアクセスに当たって正当性を確認することが可能になる。
【００４８】
次に、本実施例に係るアクセス制御方式を実現する各種装置の構成について説明する。ここでは、図４に示したデータセンタを例にして説明をおこなう。ここでいうデータセンタとは、複数の会社の情報処理の運用を代行する情報処理施設である。
【００４９】
図４は、データセンタの機器構成の一例を示すサンプル図である。同図に示すように、このデータセンタは、コンソール装置１００と、アクセス制御装置２００と、ストレージサーバ３００〜３０１と、業務サーバ４００〜４０３とをネットワークで接続した構成となっている。
【００５０】
コンソール装置１００は、ネットワークで接続されているストレージサーバ３００等に対する各種処理の実行要求をオペレータが入力し、その結果等を表示する装置である。
【００５１】
ここでいうオペレータは、データセンタの従業員であり、データセンタに情報処理の運用を依頼している会社の従業員に代わって各種作業をおこなう。オペレータは、複数の会社の情報処理に関する作業を担当し、Ａ社の情報処理に関する作業を担当する場合はＡ社の利用者とみなすことができ、Ｂ社の情報処理に関する作業を担当する場合はＢ社の利用者とみなすことができる。
【００５２】
かかる環境では、オペレータが誤って目的とは異なる会社の記憶領域を操作し、情報の消失などを発生させやすいが、本実施例に係るアクセス制御方式を用いれば、このような事故を防止することができる。
【００５３】
アクセス制御装置２００は、ストレージサーバ３００〜３０１が提供する記憶領域に対する操作要求が正当であるか否かを判定する装置である。ストレージサーバ３００〜３０１は、大容量で高信頼性を備えたストレージ装置であり、例えば、ＲＡＩＤ装置やグリッドストレージシステムである。ストレージサーバ３００〜３０１が備える記憶領域は、ボリュームと呼ばれる論理的な領域に分割されて利用される。
【００５４】
業務サーバ４００〜４０３は、ストレージサーバ３００〜３０１が提供する記憶領域を利用して各種の情報処理をおこなう装置である。業務サーバ４００および４０１は、Ａ社の情報処理を代行し、業務サーバ４０２は、Ｂ社の情報処理を代行し、業務サーバ４０３は、Ｃ社の情報処理を代行する。また、業務サーバ４００および４０１は、業務サーバ４００を主系とし、業務サーバ４０１を従系とする冗長構成をとっている。この２台の業務サーバは同一の設定がなされ、電源制御装置５００を共有してここから電源の供給を受けている。
【００５５】
続いて、本実施例に係るコンソール装置の構成について説明する。図５は、コンソール装置１００の構成を示す機能ブロック図である。同図に示すように、コンソール装置１００は、ＩＣカードインターフェース部１１０と、ユーザインターフェース部１２０と、ネットワークインターフェース部１３０と、制御部１４０とを有する。
【００５６】
ＩＣカードインターフェース部１１０は、ＩＣカードの間で情報のやりとりをおこなうためのインターフェース部である。ＩＣカードの間で情報のやりとりは、物理的な接続によるものであってもよいし、電磁波等の無線によるものであってもよい。
【００５７】
ＩＣカードインターフェース部１１０が情報のやりとりをするＩＣカードは、データセンタに情報処理の代行を依頼している会社ごとに存在し、オペレータがある会社の情報処理に関する作業をおこなう場合、その会社に対応するＩＣカードを用いてコンソール装置１００を操作する。
【００５８】
ここで、ＩＣカードの構成例を示す。図６は、ＩＣカード６００の構成を示す機能ブロック図である。同図に示すように、ＩＣカード６００は、インターフェース部６１０と、制御部６２０と、記憶部６３０とを有する。インターフェース部６１０は、ＩＣカードインターフェース部１１０との間で情報のやりとりをおこなうためのインターフェース部である。
【００５９】
制御部６２０は、ＩＣカード６００を全体制御する制御部であり、署名部６２１と、認証部６２２とを有する。署名部６２１は、記憶部６３０に記憶されている秘密鍵６３１を用いて指定された情報を署名する処理部である。認証部６２２は、ＩＣカードの使用者が正当な者かどうかを確認するために、指定されたＰＩＮ（Personal Identity Number）が記憶部６３０に記憶されているＰＩＮ６３２と一致するか否かを確認する処理部である。
【００６０】
記憶部６３０は各種情報を記憶する記憶部であり、秘密鍵６３１と、ＰＩＮ６３２とを記憶する。秘密鍵６３１は、このＩＣカードに固有の秘密鍵であり、ＰＩＮ６３２は、このＩＣカードの使用者が正当な者かどうかを確認するための暗証番号である。
【００６１】
このように、ＩＣカード６００は、署名機能と認証機能を備えたいわゆるスマートカードであり、秘密鍵６３１とＰＩＮ６３２を外部に出力しないため高い安全性を有する。なお、コスト等の問題によりスマートカードの利用が困難な場合には、署名機能と認証機能をコンソール装置１００にもたせた構成とすることも可能である。
【００６２】
図５の説明に戻って、ユーザインターフェース部１２０は、オペレータによる入力を受け付け、その結果等を表示する処理部であり、キーボードやディスプレー装置等からなる。ネットワークインターフェース部１３０は、ネットワークを介して他の装置と情報をやり取りするためのインターフェース部である。
【００６３】
制御部１４０は、コンソール装置１００を全体制御する制御部であり、認証部１４１と、コマンド実行部１４２と、乱数生成部１４３と、符号化部１４４と、署名部１４５とを有する。
【００６４】
認証部１４１は、コンソール装置１００の操作をおこなっている者がＩＣカードの正当な使用者であるか否かを確認する処理部である。具体的には、ユーザインターフェース部１２０にＩＣカードに対応するＰＩＮを入力するように求めるメッセージを表示し、入力されたＰＩＮをＩＣカードインターフェース部１１０を介してＩＣカード内の認証部６２２へ送信して認証をおこなわせる。
【００６５】
コマンド実行部１４２は、オペレータからの処理要求を受け付け、その要求に応じたコマンドをネットワーク経由で処理対象の装置へ送信する処理部である。コマンド実行部１４２は、オペレータからの処理要求のうち、ストレージサーバに関する処理要求については、実行可否をアクセス制御装置２００に問い合わせをおこなう。
【００６６】
ストレージサーバに関する処理要求は、ボリュームの作成要求と、その他の要求とに大別される。ボリュームの作成要求があった場合、コマンド実行部１４２は、オペレータから指定された容量等のパラメータをアクセス制御装置２００に引き渡してボリューム作成を依頼する。
【００６７】
正常にボリュームが作成された場合、アクセス制御装置２００から作成されたボリュームの識別子であるボリュームＩＤが応答される。コマンド実行部１４２は、ボリュームＩＤの応答を受けると、これを符号化部１４４に引き渡してボリュームコードを生成させ、さらに、ボリュームコードを署名部１４５へ引き渡し、署名によってボリューム認証鍵を生成させる。
【００６８】
そして、アクセス制御装置２００に対して、作成されたボリュームのボリュームＩＤおよびボリュームコードと、そのボリュームを利用する業務サーバのＩＰアドレスとを送信し、後述するアクセス制御情報にこれらの情報をもったエントリを追加させる。また、作成されたボリュームを利用する業務サーバに対して、作成されたボリュームのボリュームＩＤおよびボリューム認証鍵等を送信し、後述するボリューム管理情報にこれらの情報をもったエントリを追加させる。
【００６９】
こうしてボリュームの作成時にアクセス制御情報とボリューム管理情報に登録された情報は、業務サーバが、自動化された運用作業を実行する際に、図３に示した方式でアクセスの正当性を確認するために利用される。
【００７０】
ストレージサーバに関する処理要求のうち、ボリュームの作成要求以外の要求があった場合、コマンド実行部１４２は、乱数生成部１４３に指示して乱数を生成させる。そして、これを符号化部１４４に引き渡して認証コードを生成させ、さらに、認証コードを署名部１４５へ引き渡し、署名によって認証鍵を生成させる。
【００７１】
そして、オペレータから要求された処理内容を示すコマンドと共に認証コードと認証鍵をアクセス制御装置２００へ送信して認証を受け、認証が成功したならば、コマンドの実行をおこなう。
【００７２】
このように、ボリュームの作成要求以外の要求があった場合、コマンド実行部１４２は、図１に示した方式を用いてアクセスが正当であることを確認した後にコマンドの実行をおこなう。なお、コマンド実行部１４２が、図２に示した方式を用いてアクセスが正当であることを確認するように構成することもできる。
【００７３】
乱数生成部１４３は、コマンド実行部１４２の指示に従って乱数を生成する処理部である。符号化部１４４は、コマンド実行部１４２から引き渡されたボリュームＩＤや乱数を所定の方式で符号化する処理部である。ボリュームＩＤや乱数は、データ量が小さく、そのまま暗号化しても、総当り攻撃等によって鍵が露呈する危険があるため、データ量を大きくするのが主な目的である。
【００７４】
署名部１４５は、コマンド実行部１４２から引き渡された情報を署名し、暗号化する処理部である。具体的には、コマンド実行部１４２から引き渡された情報をＩＣカードインターフェース部１１０を介してＩＣカード内の署名部６２１へ送信して秘密鍵６３１による署名をおこなわせる。
【００７５】
続いて、本実施例に係る業務サーバの構成について説明する。業務サーバ４００〜４０３は、いずれも同様の構成を有するので、ここでは業務サーバ４００を例にして説明する。図７は、業務サーバ４００の構成を示す機能ブロック図である。同図に示すように、業務サーバ４００は、ネットワークインターフェース部４１０と、制御部４２０と、記憶部４３０とを有する。
【００７６】
ネットワークインターフェース部４１０は、ネットワークを介して他の装置と情報をやり取りするためのインターフェース部である。制御部４２０は、業務サーバ４００を全体制御する制御部であり、冗長構成制御部４２１と、ボリューム制御部４２２とを有する。業務サーバ４００に割り当てられている各種の情報処理を実行するのもこの制御部４２０である。
【００７７】
冗長構成制御部４２１は、各種の冗長構成を制御する制御部である。本実施例では、業務サーバ４００は、自装置を主系とし、業務サーバ４０１を従系とする冗長構成をとっている。このため、業務サーバ４００の冗長構成制御部４２１と業務サーバ４０１の冗長構成制御部４２１は互いに死活監視をおこない、主系が動作を停止した場合は、従系が主系となって処理を引き継ぐように制御する。
【００７８】
冗長構成制御部４２１は、主系のダウンを検出し、自装置を主系に切り替える前に電源制御装置５００を制御して主系の業務サーバへの電源供給を停止させ、主系を完全に停止させる。これによって、主系の業務サーバの機能が一部だけ生存していた場合に生じる不整合を回避することが可能になる。
【００７９】
ボリューム制御部４２２は、記憶部４００のボリューム管理情報４３１の設定に基づいてボリュームのマウントをおこなう処理部である。ここでいうマウントとは、ストレージサーバ３００〜３０１に設けられたボリュームをネットワーク経由で読み書きできるようにするための処理をいう。
【００８０】
記憶部４３０は、各種情報を記憶する記憶部であり、ボリューム管理情報４３１を記憶する。ボリューム管理情報４３１は、当該の業務サーバに割り当てられているボリュームを管理するための情報であり、当該の業務サーバ用の新たなボリュームがストレージサーバ３００〜３０１に作成されるたびに、コンソール装置１００の依頼に基づいてエントリが追加される。
【００８１】
図８は、ボリューム管理情報４３１のデータ構成の一例を示すサンプル図である。同図に示すように、ボリューム管理情報４３１は、ボリュームＩＤ、デバイス名、ボリューム認証鍵といった項目を有し、ボリュームごとにエントリをもつ。
【００８２】
ボリュームＩＤは、ボリュームを識別するための識別子である。デバイス名は、ボリュームをマウントするために必要な仮想的な装置名であり、業務サーバにおいて使用されていない名前が割り当てられる。ボリューム認証鍵は、ボリューム制御部４２２が当該のエントリに対応するボリュームをマウントする際に、アクセス制御装置２００に対してアクセスの正当性の確認をうけるための情報である。
【００８３】
ボリューム制御部４２２は、起動後もしくは主系のダウン後に、自装置が単独で起動されている、もしくは、自装置が主系として起動されていることを検知すると、ボリューム管理情報４３１の各エントリの情報を１エントリずつアクセス制御装置に送信してアクセスの正当性の確認を受け、アクセスの正当性が確認されたボリュームのマウント処理をおこなう。
【００８４】
続いて、本実施例に係るアクセス制御装置の構成について説明する。図９は、アクセス制御装置２００の構成を示す機能ブロック図である。同図に示すように、アクセス制御装置２００は、ネットワークインターフェース部２１０と、制御部２２０と、記憶部２３０とを有する。
【００８５】
ネットワークインターフェース部２１０は、ネットワークを介して他の装置と情報をやり取りするためのインターフェース部である。制御部２２０は、アクセス制御装置２００を全体制御する制御部であり、要求判定部２２１と、鍵取得部２２２と、鍵検証部２２３と、復号部２２４と、復号結果比較部２２５とを有する。
【００８６】
要求判定部２２１は、アクセス制御装置２００に対してなされた要求の要求元、対象および種別を判定する処理部である。要求元が業務サーバである場合は、記憶部２３０のアクセス制御情報２３１を参照し、要求元の業務サーバと要求対象のボリュームの対応が正しいか否かの確認をおこない、対応が正しくない場合は、ボリュームへアクセス不可である旨の応答をする。
【００８７】
鍵取得部２２２は、記憶部２３０の鍵管理情報２３２に登録されている公開鍵証明書の中から要求判定部２２１の判定結果に対応するものを選択し、取得する処理部である。本実施例においては業務サーバ単位で鍵が管理されているので、鍵取得部２２２は、要求元もしくは要求対象の業務サーバに対応する公開鍵証明書を取得する。対応する公開鍵証明書が存在しない場合は、ボリュームへアクセス不可である旨の応答をする。
【００８８】
鍵検証部２２３は、鍵取得部２２２により取得された公開鍵証明書の有効性を検証する処理部である。公開鍵証明書の検証については、公知の技術であるため、詳細な説明は省略する。鍵検証部２２３は、公開鍵証明書が有効なものでない場合、ボリュームへアクセス不可である旨の応答をする。
【００８９】
復号部２２４は、鍵検証部２２３により有効性が確認された公開鍵証明書に対して、要求元から送信された暗号値を復号鍵として署名検証処理を実行する処理部である。ここでいう暗号値は、要求元がコンソール装置である場合は、認証鍵であり、要求元が業務サーバである場合は、ボリューム認証鍵である。署名検証処理が失敗した場合は、ボリュームへアクセス不可である旨の応答をする。
【００９０】
復号結果比較部２２５は、復号部２２４における署名検証処理が成功して得られた復号結果を署名前の値と比較する処理部である。ここでいう署名前の値とは、要求元がコンソール装置である場合は、認証鍵と共に送信されてきた認証コードであり、要求元が業務サーバである場合は、アクセス制御情報２３１において要求対象のボリュームのエントリに登録されているボリュームコードである。
【００９１】
復号結果比較部２２５は、比較した値が同一の場合は、ボリュームへアクセス可能である旨の応答をし、値が同一でない場合は、ボリュームへアクセス不可である旨の応答をする。
【００９２】
記憶部２３０は、各種情報を記憶する記憶部であり、アクセス制御情報２３１と、鍵管理情報２３２とを記憶し、公開鍵証明書の格納領域である公開鍵記憶部２３３を有する。
【００９３】
アクセス制御情報２３１は、ボリュームへのアクセスの正当性を確認するための情報であり、新たなボリュームがストレージサーバ３００〜３０１に作成されるたびに、コンソール装置１００の依頼に基づいてエントリが追加される。
【００９４】
図１０は、アクセス制御情報２３１のデータ構成の一例を示すサンプル図である。同図に示すように、アクセス制御情報２３１は、ボリュームＩＤ、業務サーバアドレス、ボリュームコードといった項目を有し、ボリュームごとにエントリをもつ。
【００９５】
ボリュームＩＤは、ボリュームを識別するための識別子であり、業務サーバアドレスは、ボリュームへのアクセスが許可されている業務サーバのＩＰアドレスである。ボリュームコードは、業務サーバから当該のボリュームに対する処理要求と共に送信されてくるボリューム認証鍵の正当性を確認するための情報である。
【００９６】
鍵管理情報２３２は、公開鍵記憶部２３３に記憶されている公開鍵証明書の管理情報であり、業務サーバのＩＰアドレスと、その業務サーバに対応する公開鍵証明書との組合せが予め登録される。
【００９７】
図１１は、鍵管理情報２３２のデータ構成の一例を示すサンプル図である。同図に示すように、鍵管理情報２３２は、業務サーバアドレス、公開鍵証明書名といった項目を有し、業務サーバごとにエントリをもつ。業務サーバアドレスは、業務サーバのＩＰアドレスであり、公開鍵証明書名は、公開鍵記憶部２３３に記憶されている公開鍵証明書の名前である。
【００９８】
本実施例では、データセンタに情報処理の代行を依頼している会社ごとにＩＣカードを用意することとしており、また、ＩＣカードと公開鍵証明書は１対１で対応するので、同じ会社に割り当てられている業務サーバのエントリの公開鍵証明書名には同じ公開鍵証明書の名前が設定されることになる。図４に示した例では、業務サーバ４００と業務サーバ４０１が共にＡ社に割り当てられているが、これらの業務サーバは、冗長構成により同一のＩＰアドレスを有しているので、鍵管理情報２３２においてはエントリがひとつしか存在していない。
【００９９】
次に、上述した各装置の処理手順について説明する。図１２は、図５に示したコンソール装置１００の処理手順を示すフローチャートである。
【０１００】
同図に示すように、ユーザインターフェース部１２０においてストレージに関する処理のコマンドとパラメータが入力されたならば（ステップＳ１０１）、認証部１４１がＩＣカードに対応するＰＩＮの入力を求め、入力されたＰＩＮをＩＣカード６００へ送信して認証を求める（ステップＳ１０２）。認証が失敗した場合、ここでコマンドの実行が拒絶され、処理が終了する。
【０１０１】
認証が成功した場合は、コマンド実行部１４２が、入力されたコマンドの種別を判定し、これがボリュームの新規作成のコマンドであれば（ステップＳ１０３肯定）、入力されたコマンドとパラメータをアクセス制御装置２００に送信してボリュームの作成を依頼する（ステップＳ１０４）。
【０１０２】
そして、ボリュームが正常に作成され、アクセス制御装置２００から作成されたボリュームのボリュームＩＤが応答された後（ステップＳ１０５）、このボリュームＩＤを符号化部１４４に引き渡してボリュームコードを生成させ（ステップＳ１０６）、さらに、このボリュームコードを署名部１４５に引き渡して署名させ、ボリューム認証鍵を生成させる（ステップＳ１０７）。
【０１０３】
そして、アクセス制御装置２００に、ボリュームＩＤと、このボリュームが割り当てられる業務サーバのＩＰアドレスと、ボリュームコードとを送信して、アクセス制御情報２３１へのエントリの追加を依頼する（ステップＳ１０８）。また、このボリュームが割り当てられる業務サーバに、ボリュームＩＤと、ボリューム認証鍵とを送信して、ボリューム管理情報４３１へのエントリ追加を依頼する（ステップＳ１０９）。
【０１０４】
そして、最後に処理結果をユーザインターフェース部１２０に表示して処理を完了する（ステップＳ１１６）。
【０１０５】
入力されたコマンドがボリュームの新規作成のコマンドでなければ（ステップＳ１０３否定）、乱数生成部１４３に乱数を生成させ（ステップＳ１１０）、この乱数を符号化部１４４に引き渡して認証コードを生成させ（ステップＳ１１１）、さらに、この認証コードを署名部１４５に引き渡して署名させ、認証鍵を生成させる（ステップＳ１１２）。
【０１０６】
そして、入力されたコマンドおよびパラメータと、認証コードと、認証鍵とをアクセス制御装置２００に送信して、アクセスの正当性の確認を求める（ステップＳ１１３）。ここで、アクセスの正当性が認められた場合は（ステップＳ１１４肯定）、入力されたコマンドを実行して（ステップＳ１１５）、その結果をユーザインターフェース部１２０に表示する（ステップＳ１１６）。アクセスの正当性が認められなかった場合は（ステップＳ１１４否定）、その旨をユーザインターフェース部１２０に表示して処理を完了する（ステップＳ１１６）。
【０１０７】
図１３は、図７に示した業務サーバ４００の処理手順を示すフローチャートである。同図は、業務サーバ４００が自身に割り当てられたボリュームをマウントする場合の処理手順を示している。
【０１０８】
マウントするボリュームの情報を取得するために、ボリューム制御部４２２は、ボリューム管理情報４３１の未処理のエントリをリードする（ステップＳ２０１）。そして、リードしたエントリのボリュームＩＤとボリューム認証鍵をアクセス制御装置２００に送信して、アクセスの正当性の確認を求める（ステップＳ２０２）。
【０１０９】
ここで、アクセスの正当性が認められた場合は（ステップＳ２０３肯定）、ボリュームが所定のマウントポイントにマウントされるようにアクセス制御装置２００に依頼し（ステップＳ２０４）、アクセスの正当性が認められなかった場合は（ステップＳ２０３否定）、所定のエラー処理を実行する（ステップＳ２０５）。
【０１１０】
そして、全てのエントリの処理が完了したならば（ステップＳ２０６肯定）、処理を完了し、未処理のエントリが残っていれば（ステップＳ２０６否定）、ステップＳ２０１へ復帰して処理を継続する。
【０１１１】
図１４は、図９に示したアクセス制御装置２００の処理手順を示すフローチャートである。同図は、アクセス制御装置２００がコンソール装置１００からアクセスの正当性の確認を求められた場合の処理手順を示している。
【０１１２】
コンソール装置１００からコマンド、認証コードおよび認証鍵が送信されると（ステップＳ３０１）、要求判定部２２１が処理対象のボリュームを特定して（ステップＳ３０２）、そのボリュームに対応するエントリの情報をアクセス制御情報２３１から取得する（ステップＳ３０３）。
【０１１３】
続いて、鍵取得部２２２が、要求判定部２２１によって取得された情報に含まれる業務サーバアドレスをキーにして鍵管理情報２３２を検索し、対応する公開鍵証明書名を取得する（ステップＳ３０４）。
【０１１４】
そして、取得した公開鍵証明書名に対応する公開鍵証明書を公開鍵記憶部２３３より取得する（ステップＳ３０５）。ここで、対応する公開鍵証明書を取得できなかった場合は（ステップＳ３０６否定）、アクセスは正当でない旨をコンソール装置１００に応答する（ステップＳ３１４）。
【０１１５】
公開鍵証明書を取得できた場合は（ステップＳ３０６肯定）、鍵検証部２２３が、取得した公開鍵証明書の有効性を検証する（ステップＳ３０７）。ここで、公開鍵証明書の有効性を検証することができなかった場合は（ステップＳ３０８否定）、アクセスは正当でない旨をコンソール装置１００に応答する（ステップＳ３１４）。
【０１１６】
公開鍵証明書の有効性を検証できた場合は（ステップＳ３０８肯定）、復号部２２４が、公開鍵証明書に対して認証鍵を復号鍵として署名検証処理を実行する（ステップＳ３０９）。ここで、署名検証処理が失敗した場合は（ステップＳ３１０否定）、アクセスは正当でない旨をコンソール装置１００に応答する（ステップＳ３１４）。
【０１１７】
署名検証処理が成功した場合は（ステップＳ３１０肯定）、復号結果比較部２２５が、署名検証処理によって生成された値と認証コードの比較をおこなう（ステップＳ３１１）。そして、両者が一致した場合は（ステップＳ３１２肯定）、アクセスは正当である旨をコンソール装置１００に応答し（ステップＳ３１３）、一致しない場合は（ステップＳ３１２否定）、アクセスは正当でない旨を応答する（ステップＳ３１４）。
【０１１８】
図１５も、図９に示したアクセス制御装置２００の処理手順を示すフローチャートである。同図は、アクセス制御装置２００が業務サーバ４００からアクセスの正当性の確認を求められた場合の処理手順を示している。
【０１１９】
業務サーバ４００からコマンド、ボリュームＩＤおよびボリューム認証鍵が送信されると（ステップＳ４０１）、要求判定部２２１が、そのボリュームＩＤに対応するエントリの情報をアクセス制御情報２３１から取得する（ステップＳ４０２）。
【０１２０】
ここで、取得した情報に含まれる業務サーバアドレスと、業務サーバ４００のＩＰアドレスが一致しない場合は（ステップＳ４０３否定）、アクセスは正当でない旨を業務サーバ４００に応答する（ステップＳ４１４）。
【０１２１】
アドレスが一致する場合は（ステップ４０３肯定）、鍵取得部２２２が、要求判定部２２１によって取得された情報に含まれる業務サーバアドレスをキーにして鍵管理情報２３２を検索し、対応する公開鍵証明書名を取得する（ステップＳ４０４）。
【０１２２】
そして、取得した公開鍵証明書名に対応する公開鍵証明書を公開鍵記憶部２３３より取得する（ステップＳ４０５）。ここで、対応する公開鍵証明書を取得できなかった場合は（ステップＳ４０６否定）、アクセスは正当でない旨を業務サーバ４００に応答する（ステップＳ４１４）。
【０１２３】
公開鍵証明書を取得できた場合は（ステップＳ４０６肯定）、鍵検証部２２３が、取得した公開鍵証明書の有効性を検証する（ステップＳ４０７）。ここで、公開鍵証明書の有効性を検証することができなかった場合は（ステップＳ４０８否定）、アクセスは正当でない旨を業務サーバ４００に応答する（ステップＳ４１４）。
【０１２４】
公開鍵証明書の有効性を検証できた場合は（ステップＳ４０８肯定）、復号部２２４が、公開鍵証明書に対してボリューム認証鍵を復号鍵として署名検証処理を実行する（ステップＳ４０９）。ここで、署名検証処理が失敗した場合は（ステップＳ４１０否定）、アクセスは正当でない旨を業務サーバ４００に応答する（ステップＳ４１４）。
【０１２５】
署名検証処理が成功した場合は（ステップＳ４１０肯定）、復号結果比較部２２５が、署名検証処理によって生成された値とステップＳ４０２で取得された認証コードの比較をおこなう（ステップＳ４１１）。そして、両者が一致した場合は（ステップＳ４１２肯定）、アクセスは正当である旨を業務サーバ４００に応答し（ステップＳ４１３）、一致しない場合は（ステップＳ４１２否定）、アクセスは正当でない旨を応答する（ステップＳ４１４）。
【０１２６】
次に、上述した各装置間の処理の流れについて説明する。図１６は、ボリューム作成時の処理の流れを示すシーケンス図である。同図に示すように、オペレータからのボリューム作成指示を受けると（ステップＳ５０１）、コンソール装置１００は、オペレータにＰＩＮの入力を求める（ステップＳ５０２）。
【０１２７】
そして、オペレータによってＰＩＮが入力されると（ステップＳ５０３）、入力されたＰＩＮをＩＣカード６００に送信して認証を求める（ステップＳ５０４）。
【０１２８】
こうして、オペレータがＩＣカードの正当な使用者であることを確認した後、コンソール装置１００は、オペレータにより入力されたボリューム作成指示をアクセス制御装置２００へ送信する（ステップＳ５０５）。
【０１２９】
アクセス制御装置２００は、コンソール装置１００から送信された情報をストレージサーバ３００へ転送する（ステップＳ５０６）。そして、これを受信したストレージサーバ３００が、指示された内容に従ってボリュームを作成し（ステップＳ５０７）、作成されたボリュームのボリュームＩＤが、アクセス制御装置２００を介してコンソール装置１００へ応答される（ステップＳ５０８、ステップＳ５０９）。
【０１３０】
コンソール装置１００は、応答されたボリュームＩＤを基にしてボリュームコードとボリューム認証鍵を生成する（ステップＳ５１０）。そして、これらをアクセス制御装置２００に送信し（ステップＳ５１１）、アクセス制御装置２００によってアクセス制御情報２３１にエントリが追加され（ステップＳ５１２）、その旨が応答されたならば（ステップＳ５１３）、同様の情報を業務サーバ４００へも送信する（ステップＳ５１４）。
【０１３１】
そして、業務サーバ４００によってボリューム管理情報４３１にエントリが追加され（ステップＳ５１５）、その旨が応答されたならば（ステップＳ５１６）、オペレータに対してボリュームの作成が完了した旨を通知する（ステップＳ５１７）。
【０１３２】
図１７は、オペレータによるコマンド実行時の処理の流れを示すシーケンス図である。同図に示すように、オペレータからボリュームに関するコマンドの入力を受けると（ステップＳ６０１）、コンソール装置１００は、オペレータにＰＩＮの入力を求める（ステップＳ６０２）。
【０１３３】
そして、オペレータによってＰＩＮが入力されると（ステップＳ６０３）、入力されたＰＩＮをＩＣカード６００に送信して認証を求める（ステップＳ６０４）。
【０１３４】
こうして、オペレータがＩＣカードの正当な使用者であることを確認した後、コンソール装置１００は、乱数を生成し（ステップＳ６０５）、これを基にして認証コードを生成し（ステップＳ６０６）、さらに、これを署名して認証鍵を生成する（ステップＳ６０７）。そして、オペレータによって入力されたコマンドと、自身が生成した認証鍵および認証コードとをアクセス制御装置２００へ送信し、ボリュームへのアクセスの正当性の確認を依頼する（ステップＳ６０８）。
【０１３５】
依頼を受けたアクセス制御装置２００は、コマンドの対象に対応する公開鍵証明書を取得し（ステップＳ６０９）、この公開鍵証明書に対して認証鍵を復号鍵として署名検証処理をおこなう（ステップＳ６１０）。そして、署名検証処理により得られた値と認証コードを比較し（ステップＳ６１１）、両者が一致する場合は、アクセスが正当である旨を、不一致の場合は、アクセスが不正である旨をコンソール装置１００へ応答する（ステップＳ６１２）。
【０１３６】
コンソール装置１００は、アクセスが正当である旨の応答を得たならば、アクセス制御装置２００に対してコマンドの実行を依頼する（ステップＳ６１３）。そして、アクセス制御装置２００にてコマンドが実行され（ステップＳ６１４）、その結果が応答されたならば（ステップＳ６１５）、その結果をオペレータに通知する（ステップＳ６１６）。
【０１３７】
図１７の処理の流れは、図１に示したアクセス制御方式に基づくものである。ここで、図２に示したアクセス制御方式に基づいた場合の処理の流れについても説明しておく。
【０１３８】
図１８は、図２に示したアクセス制御方式に基づいた場合の処理の流れを示すシーケンス図である。ステップＳ７０１〜ステップＳ７０７の処理の流れは、図１７におけるステップＳ６０１〜ステップＳ６０７の処理の流れと同一であるため、説明を省略する。
【０１３９】
コンソール装置１００は、認証コードと認証鍵を生成した後、オペレータによって入力されたコマンドと、自身が生成した認証鍵をアクセス制御装置２００へ送信し、ボリュームへのアクセスの正当性の確認を依頼する（ステップＳ７０８）。
【０１４０】
依頼を受けたアクセス制御装置２００は、コマンドの対象に対応する公開鍵証明書を取得し（ステップＳ７０９）、この公開鍵証明書に対して認証鍵を復号鍵として署名検証処理をおこなう（ステップＳ７１０）。そして、署名検証処理により得られた値をコンソール装置１００へ応答する（ステップＳ７１１）。
【０１４１】
コンソール装置１００は、アクセス制御装置２００から応答された値と認証コードを比較し（ステップＳ７１２）、両者が一致する場合は、アクセスが正当であると、不一致の場合は、アクセスが不正であると判断する。
【０１４２】
コンソール装置１００は、アクセスが正当であると判断したならば、アクセス制御装置２００に対してコマンドの実行を依頼する（ステップＳ７１３）。そして、アクセス制御装置２００にてコマンドが実行され（ステップＳ７１４）、その結果が応答されたならば（ステップＳ７１５）、その結果をオペレータに通知する（ステップＳ７１６）。
【０１４３】
図１９は、フェイルオーバ時の自動マウント処理の流れを示すシーケンス図である。同図に示すように、情報構成にある業務サーバ４００と業務サーバ４０１は、互いに死活監視を継続実施する（ステップＳ８０１）。
【０１４４】
ここで、主系である業務サーバ４００がダウンし、従系である業務サーバ４０１がそれを検知すると（ステップＳ８０２）、業務サーバ４０１は、電源制御装置５００を制御して業務サーバ４００への電源供給を停止させ、業務サーバ４００を完全に停止した状態にする（ステップＳ８０３）。
【０１４５】
そして、ボリューム管理情報４３１のエントリをひとつ取得し（ステップＳ８０４）、そのエントリに含まれるボリュームＩＤとボリューム認証鍵をアクセス制御装置２００へ送信して、そのエントリが示すボリュームへのアクセスの正当性の確認を依頼する（ステップＳ８０５）。
【０１４６】
依頼を受けたアクセス制御装置２００は、アクセス制御情報２３１を参照して、依頼元の業務サーバ４０１とボリュームの対応が適正であることを確認し（ステップＳ８０６）、ボリュームに対応する公開鍵証明書を取得し（ステップＳ８０７）、この公開鍵証明書に対してボリューム認証鍵を復号鍵として署名検証処理をおこなう（ステップＳ８０８）。そして、署名検証処理により得られた値とアクセス制御情報２３１から得られたボリュームコードを比較し（ステップＳ８０９）、両者が一致する場合は、アクセスが正当である旨を、不一致の場合は、アクセスが不正である旨を業務サーバ４０１へ応答する（ステップＳ８１０）。
【０１４７】
業務サーバ４０１は、アクセスが正当である旨の応答を得たならば、アクセス制御装置２００に対してボリュームのマウント処理の実行を依頼する（ステップＳ８１１）。そして、アクセス制御装置２００にてボリュームのマウント処理が実行され（ステップＳ８１２）、その結果を業務サーバ４０１が受信する（ステップＳ８１６）。
【０１４８】
業務サーバ４０１とアクセス制御装置２００は、ボリューム管理情報４３１の全エントリを処理するまで、ステップＳ８０４〜ステップＳ８１３を繰り返し実行する。
【０１４９】
上記実施例で説明した各種装置の処理は、あらかじめ用意されたプログラムをコンピュータで実行することによって実現することができる。そこで、以下では、図２０をもちいて、アクセス制御プログラムを実行するコンピュータの一例を説明する。
【０１５０】
図２０は、アクセス制御プログラムを実行するコンピュータを示す機能ブロック図である。このコンピュータ１０００は、ユーザからのデータの入力を受け付ける入力装置１０１０、モニタ１０２０、各種プログラムを記録した記録媒体からプログラムを読み取る媒体読取り装置１０３０、各種情報を一時記憶するＲＡＭ（Random Access Memory）１０４０、ネットワークを介して他のコンピュータとの間でデータの授受をおこなうネットワークインターフェース装置１０５０、ＨＤＤ（Hard Disk Drive）１０６０およびＣＰＵ（Central Processing Unit）１０７０をバス１０８０で接続して構成される。
【０１５１】
そして、ＨＤＤ１０６０には、アクセス制御装置２００の機能と同様の機能を発揮するプログラムであるアクセス制御プログラム１０６０ｂが記憶されている。ＨＤＤ１０６０には、図９の記憶部２３０の各種情報を記憶するアクセス制御用ＤＢ１０６０ａも記憶される。
【０１５２】
そして、ＣＰＵ１０７０が、アクセス制御プログラム１０６０ｂをＨＤＤ１０６０から読み出して実行することにより、同プログラムは、アクセス制御プロセス１０７０ａとして機能するようになる。このアクセス制御プロセス１０７０ａは、図９に示した制御部２２０に対応する。
【０１５３】
また、ＣＰＵ１０７０は、ＨＤＤ１０６０のアクセス制御用ＤＢ１０６０ａから適宜必要な情報を読み出してＲＡＭ１０４０にアクセス制御情報１０４０ａとして格納し、このＲＡＭ１０４０に格納されたアクセス制御情報１０４０ａに基づいて各種データ処理を実行する。
【０１５４】
なお、上記のアクセス制御プログラム１０６０ｂについては、必ずしもＨＤＤ１０６０に格納されている必要はなく、ＣＤ−ＲＯＭ等の記憶媒体に記憶されたアクセス制御プログラム１０６０ｂを、コンピュータ１０００が読み出して実行するようにしてもよい。また、公衆回線、インターネット、ＬＡＮ、ＷＡＮ等を介してコンピュータ１０００に接続される他のコンピュータ（またはサーバ）などにアクセス制御プログラム１０６０ｂを記憶させておき、コンピュータ１０００がこれらからプログラムを読み出して実行するようにしてもよい。
【０１５５】
上述してきたように、本実施例では、秘密鍵と公開鍵を利用して利用者と記憶領域の対応が正しく取られるように構成したので、正当な利用者のみが記憶領域にアクセスできるように高い信頼性をもって制御することができる。
【０１５６】
なお、上記の実施例において説明した各種装置は、本発明の要旨を逸脱しない範囲で部位の統合や分散をおこなうことができる。また、上記の実施例では、本発明に係るアクセス制御方式を記憶領域のアクセス制御に適用した場合について説明したが、本発明に係るアクセス制御方式は、記憶領域以外のアクセス制御においても有効である。
【産業上の利用可能性】
【０１５７】
以上のように、本発明に係るアクセス制御装置、アクセス制御プログラムおよびアクセス制御方法は、アクセス制御に有用であり、特に、自動化された作業によるアクセスも含めて、記憶領域へのアクセス制御を高い信頼性をもって実現することが必要な場合に適している。
【図面の簡単な説明】
【０１５８】
【図１】本実施例に係るアクセス制御方式の原理を説明するための説明図である。
【図２】本実施例に係るアクセス制御方式の原理を説明するための説明図である。
【図３】本実施例に係るアクセス制御方式の原理を説明するための説明図である。
【図４】データセンタの機器構成の一例を示すサンプル図である。
【図５】本実施例に係るコンソール装置の構成を示す機能ブロック図である。
【図６】ＩＣカードの構成を示す機能ブロック図である。
【図７】本実施例に係る業務サーバの構成を示す機能ブロック図である。
【図８】ボリューム管理情報のデータ構成の一例を示すサンプル図である。
【図９】本実施例に係るアクセス制御装置の構成を示す機能ブロック図である。
【図１０】アクセス制御情報のデータ構成の一例を示すサンプル図である。
【図１１】鍵管理情報のデータ構成の一例を示すサンプル図である。
【図１２】図５に示したコンソール装置の処理手順を示すフローチャートである。
【図１３】図７に示した業務サーバの処理手順を示すフローチャートである。
【図１４】図９に示したアクセス制御装置の処理手順を示すフローチャートである。
【図１５】図９に示したアクセス制御装置の処理手順を示すフローチャートである。
【図１６】ボリューム作成時の処理の流れを示すシーケンス図である。
【図１７】オペレータによるコマンド実行時の処理の流れを示すシーケンス図である。
【図１８】オペレータによるコマンド実行時の処理の流れを示すシーケンス図である。
【図１９】フェイルオーバ時の自動マウント処理の流れを示すシーケンス図である。
【図２０】アクセス制御プログラムを実行するコンピュータを示す機能ブロック図である。
【符号の説明】
【０１５９】
１００    コンソール装置
１１０    ＩＣカードインターフェース部
１２０    ユーザインターフェース部
１３０    ネットワークインターフェース部
１４０    制御部
１４１    認証部
１４２    コマンド実行部
１４３    乱数生成部
１４４    符号化部
１４５    署名部
２００    アクセス制御装置
２１０    ネットワークインターフェース部
２２０    制御部
２２１    要求判定部
２２２    鍵取得部
２２３    鍵検証部
２２４    復号部
２２５    復号結果比較部
２３０    記憶部
２３１    アクセス制御情報
２３２    鍵管理情報
２３３    公開鍵記憶部
３００〜３０１  ストレージサーバ
４００〜４０４  業務サーバ
４１０    ネットワークインターフェース部
４２０    制御部
４２１    冗長構成制御部
４２２    ボリューム制御部
４３０    記憶部
４３１    ボリューム管理情報
５００    電源制御装置
６００    ＩＣカード
６１０    インターフェース部
６２０    制御部
６２１    署名部
６２２    認証部
６３０    記憶部
６３１    秘密鍵
６３２    ＰＩＮ
１０００    コンピュータ
１０１０    入力装置
１０２０    モニタ
１０３０    媒体読取り装置
１０４０    ＲＡＭ
１０４０ａ  アクセス制御情報
１０５０    ネットワークインターフェース装置
１０６０    ＨＤＤ
１０６０ａ  アクセス制御用ＤＢ
１０６０ｂ  アクセス制御プログラム
１０７０    ＣＰＵ
１０７０ａ  アクセス制御プロセス
１０８０    バス
【図１】
2007156516.tif 000003
【図２】
2007156516.tif 000004
【図３】
2007156516.tif 000005
【図４】
2007156516.tif 000006
【図５】
2007156516.tif 000007
【図６】
2007156516.tif 000008
【図７】
2007156516.tif 000009
【図８】
2007156516.tif 000010
【図９】
2007156516.tif 000011
【図１０】
2007156516.tif 000012
【図１１】
2007156516.tif 000013
【図１２】
2007156516.tif 000014
【図１３】
2007156516.tif 000015
【図１４】
2007156516.tif 000016
【図１５】
2007156516.tif 000017
【図１６】
2007156516.tif 000018
【図１７】
2007156516.tif 000019
【図１８】
2007156516.tif 000020
【図１９】
2007156516.tif 000021
【図２０】
2007156516.tif 000022