特定ドメイン管理を実現する為のクラウド型 PBNM 方式
Cloud type of PBNM for Managing a Specific Domain

まり、通常のインターネットにおけるネットワーク管理状態を模式的に示した図である。現状では、インターネットに接続されるコンピュータ（サーバやクライアント端末）は、個別的な管理状態に置かれ、個々のコンピュータの管理状態が一様ではなく、個人情報の漏洩の発生やネットワーク攻撃の踏み台とされてしまうなどの問題が頻繁に発生する。インターネット PBNM

小田切 和也 ( Kazuya Odagiri, Ph. D.)の導入によって、インターネット全域のコンピュータ椙山女学園大学 文化情報学部 文化情報学科 准教授の管理状態がある一定水準に置かれた場合には、図１(Associate Professor, Sugiyama Jyogakuen University)の右側の（導入後）に示した模式図のような形で、こ電子情報通信学会 情報処理学会のような問題が、解決、あるいは、改善されることに
著書：Strategic Policy-Based Network Management in Contemporary
Organizations, Cybertech Publishing (2016 年)
他なる。具体的には、クラウド上に保存された提案方式

研究専門分野：情報ネットワーク ネットワーク運用管理

ータに配信・適用することで、各コンピュータ上の通におけるネットワーク通信の制御情報を、各コンピュ信の出入りをある一定状態に制御することが可能になり、現在のインターネット全体の管理状態を大幅に改善することが可能になる。本研究では、インターネッ

あらまし

ト上のある一定範囲である特定のドメイン（＝複数の現在のインターネットは、自律分散型ネットワークで組織がそれぞれ保有するネットワークを一纏まりにグあり、統一的に全体が安全・効率的に管理されていなループ化した「特定組織ネットワーク群」を、更に複い。インターネットの仕組みをあまり理解していない数集めた管理範囲）を管理することが出来るクラウド利用者がインターネットに接続する場合、「個人情報の型の方式の確立を図ることが、本研究の目的である。

漏洩」、あるいは、「ネットワーク攻撃の踏み台利用」
ポリシー情報管理
サーバ(Policy Server)が発生する危険性が高い。一方、インターネット全体（インターネットPBNM研究の４ステップ)をある一定の管理状態に置くための研究は、現在行わ（STEP1) 自組織ネットワーク（特定の一組織が保有するネットデータセンター

特定の管理組織 Xワーク）管理の為PBNM方式の研究れていない。その点に対し、ポリシーに基づくネット（STEP2) 複数組織ネットワーク群管理の為のPBNM方式 の研究ワーク管理(PBNM)の考え方をインターネット全体に（STEP3) 特定ドメインを管理する為のPBNM方式の研究適用して管理する「インターネット PBNM」を長期的ポリシー情報の適用（STEP4) インターネット全体を管理する為のPBNM方式の研究視野に立ち推進し、安全・効率的に管理されるインタ
ネットワーク攻撃の踏み台

個人情報漏えいーネットの実現を目指している。4 段階（Step１～４）

個人情報漏えい（防止）に分けて研究を進めており、本研究では、第３段階

ネットワーク攻撃の踏み台（防止）××（Step3)としての「特定のドメインを管理するクラウド型 PBNM 方式」を実現の為の研究を行う。

１．研究の目的
本研究は、図１に記載したインターネット PBNM 方利用者端末

利用者端末自組織ネットワーク（中小規模組織 A）

自組織ネットワーク（中小規模組織 B）

・接続可式を確立するための長期的な４ステップの研究の中で、第３段階に位置する研究である。図１の左側の（導入×○・移動 不可組織Aの利用者端末

自組織ネットワーク

自組織ネットワーク（中小規模組織 A）（中小規模組織 B）

複数組織
ネットワーク群

・移動 and 接続
・ポリシー情報に応じた利用

組織Aの利用者端末（ 導入後 ）

（ 導入前)
図1 インターネットPBNM前）の図は、インターネット PBNM が導入される前、つ1

TELECOM FRONTIER No.107 2020 SPRING

特定ドメイン管理を実現する為のクラウド型 PBNM 方式
Cloud type of PBNM for Managing a Specific Domain

２．研究の背景

自組織ネットワーク （ 組織Ａの LAN or WAN ）既存 PBNM は、自組織のネットワーク・セキュリ

ネットワークサーバ

ティポリシーに基づくネットワーク管理を実現する。
サーバとクライアントの間の経路上に配置される通信制御機構(PEP)による通信制御(アクセス制御、通信経路上の通信機器の暗号化、QOS 制御など)を通して自組織ネットワーク②ポリシー情報の適用全体を管理する。
③アクセス制御

自組織ネットワークを適用領域とする既存 PBNM

①ポリシー情報の要求
ポリシー情報は 複 数 の 組 織 で 標 準 化 さ れ て お り 、 Internet

格納サーバ

Engineering Task Force(IETF)の PBNM に関係する標準としては、Policy Core Information model (PCIM)、
組織Aの利用者端末

Policy Core LDAP Schema 、 Common Open Policy
Service (COPS)プロトコル、COPS usage for RSVP、

図2

COPS usage for Provisioning (COPS-PR )がある。他可能性があるネットワークトポロジ変更、(c)他組織にの 組 織 で の 標 準 化 の 例 と し て は 、 Distributed
ManagementTask

Directory-enabledForce

よる自組織ネットワーク機器の変更時に問題となるセ(DMTF) で 策 定 さ れ たNetwork

既存PBNM

キュリティポリシーやネットワークポリシー上の制限、(DEN) 、 Europeanという問題点により、機器変更が不可能な場合がある。

Telecommunications Standards Institute (ETSI)のインターネット全体の管理を前提とする場合は適用対

Telecoms and Internet converged Services and象のネットワーク数が不特定の膨大な数となる為、こprotocols for Advanced Network (TISPAN) により策れらの問題点により、全組織へ導入するのは困難とな定された Resource and Admission Control Subsystem

る。

(RACS)や、International Telecommunication Union
Telecommunication Standardization Sector (ITU-T)

そこで、図 1 の(Step1)として、「ネットワーク機器で 策 定 さ れ た Resource and Admission Controlの変更が不要な自組織ネットワーク管理の PBNM 方Functions (RACF)がある。

式」を実現する為、ソフトウェア形態の PEP(DACSClient)を物理クライアント・仮想化クライアントに配この既存 PBNM は、理論的には、複数組織ネット置する「DACS 方式」を確立した。更に、その研究成ワーク群にも拡張可能である。しかしながら、研究論

果を元に、(Step2)の研究を進めている。具体的には、文として報告されておらず、PBNM の技術的構成要素『特定の管理組織が PBNM の考え方を元に、クライであるアクセス制御[1]や QOS 制御[2]を個別に研究対アントの仮想化を前提とする「複数の異なる他組織が象として取りあげて、複数組織で利用する為の研究がそれぞれ保有する LAN や WAN の集まり(複数組織ネ若干報告されている。複数組織ネットワーク群や特定ットワーク群)」を管理するクラウド型 PBNM 方式』

ドメインに拡張されていない理由は、次に説明するを確立した。

(a)～(c)の理由が考えられるが、本研究と同じ目的・趣

既存 PBNM の適用領域が、何故、複数組織ネッ

旨の研究は見当たらない。

トワーク群にまで拡大しないかを検討した結果、前図２に示した既存 PBNM は、PEP をネットワーク述した(a)～(c)の問題点のうち、特に、(c)の問題点経路上に配置する為、ある管理組織が他組織ネットワが致命的となっているとの結論に至った。その点をークを管理しようとする場合、他組織が保有するネッ回避すべく、通信制御の制御点である PEP を、ネトワーク機器を変更する必要があり、(a)機器変更によットワーク経路上からクライアントへ移動させるるコストの発生、(b)既存 PBNM の適用時に発生する
2

TELECOM FRONTIER No.107 2020 SPRING

特定ドメイン管理を実現する為のクラウド型 PBNM 方式
Cloud type of PBNM for Managing a Specific Domain方式を発案した。 (Step2)の方式は確立した。その３．本研究の研究方法や内容等の説明

成果を元に、本研究では、インターネット PBNM 実

過去の研究成果を元に、本研究の提案方式を確立し現に向けて、更なる提案方式の適用領域拡大を目的た。(a)図 5 に記載した開発・実験環境の構築、(b)方式とし、(Step3)の研究を進めた。の明確化、(c)方式実現に必要な方法・機能の要件の明確化、(d)要件の実性現担保の為の機能実験の実施、をネットワーク経路上に PEP を配置する既存方式行い、(c)の「方法・機能の要件」を図３に示した。の場合は、「利用者により共通利用されるネットワ(m) 緊急対処方法/ 復旧方法 (災害発生時)・・・仮想マシン

ーク機器」の変更が困難である可能性が高い。一方、管理組織Xクライアント上に PEP を配置する方式では、PEPを配置するクライアントにソフトウェアをインス(h) 緊急対処方法/ 復旧方法( 障害発生時)

ポリシー情報格納サーバ (Policy Server)(k) 仮想マシンのバックアップトールするだけで済む。更に、本方式は、仮想環境

ポリシー情報(各ドメイン用)を前提とする為、ネットワーク管理者が、クライアントソフトウェアをインストールした「多数の仮想マシン(仮想サーバ上に実現される論理的なクライ(e) 確実なPEPの配布アントマシン)」を簡単に準備することが出来るた(f) 暗号鍵の配布(通信暗号化)め、利用者側では特に何の負担も発生しない。筆者
は、PEP のクライアント側への移動が、適用領域の組織Aの利用者端末(PEPなし)抑制要因を解消し、その結果、適用領域の拡大をもポリシー情報(各複数組織ネット
ワーク郡用)

ポリシー情報(各組織用)(c) ポリシー情報の共存(d) ポリシー情報の管理場所決定と保存方法( l ) ポリシー情報のバックアップ(g) ポリシー情報の抽出・送信要求の負荷分散

仮想化クライアント 仮想化クライアント 仮想化クライアント(PEPあり)(PEPあり)(PEPあり)( j ) 組織外クライアント(ノートPCや携帯端末)
接続時 の対策

複数組織ネットワーク群 複数組織ネットワーク群 複数組織ネットワーク群

たらし、それが最終的には、インターネット全体に（A）（A）（A）( i ) 自組織の仮想化クライアントの利用
特定ドメイン(外部ネットワークから)
図３ 特定ドメイン管理方式に必要な方法・機能の要件まで波及することになると考えている。(インターネット PBNM 実現への可能性が生まれたと考えている。)

組織外の利用者端末(PEPなし)

更に、本方式では、クライアント上での通信制御機

この要件を満たす方式とするために、ユーザ認証の能の一つとして、Destination NAT(宛先 NAT)による方式とネットワーク通信の制御情報の生成・配付方法「通信先サーバの変更機能」を備えている。例えば、（クラウド上の管理サーバにおけるネットワーク通信本方式の通信プロトコルが標準化されて各種クライア制御情報の生成・配付方法）を、本提案方式に適合すント用 OS に標準装備されて本機能が広く一般に普及るように機能拡張を行い、特定ドメインを管理する方した場合、この機能によりクライアント上での通信制式の確立を図った。具体的には、以下の 3.1 と 3.2 に御に基づく「ネットワークの通信制御方式」が生まれ、記載する形で実装を行い、プロトタイプシステムを開現在の『ネットワーク経路上でのルーティング処理を発した。

中心とする「既存のネットワークの通信制御方式」』に

なお、本提案方式を実際に中小規模組織に適用する機能付加する形態で、別の動作原理を持つネットワーための指標を導出するために行われる大規模負荷実験クが生まれる可能性があると考えている。現在は、図については、現在、実施中であるため、データのご紹

1 の(STEP4)に記載した「インターネット PBNM」を介はできないが、実験終了後には、IEEE 関連の国際目指して研究を進めているが、新しい動作原理を持つ会議での発表や国際ジャーナル誌での発表を行う予定

インターネットの実現が図られる可能性もあると筆者である。

は考えている。その点も念頭に置きながら長期的に研3.1 ユーザ認証方式

究を推進している。

本提案方式に適合するユーザ認証の方法としては、
3TELECOM FRONTIER No.107 2020 SPRING

特定ドメイン管理を実現する為のクラウド型 PBNM 方式
Cloud type of PBNM for Managing a Specific Domain

そのユーザが属する複数組織ネットワーク群のネット行う予定である。現在のインターネト PBNM では、各管ワーク管理用の認証サーバに対して認証する方式とし理範囲に存在する管理者が、提案方式における管理サた。ユーザ認証の認証情報（ユーザ名・パスワード）ーバ上に通信制御情報を設定し、その通信制御情報ががインターネットを経由する形となるので、SSL によ各コンピュータに送信・反映される形で最終的にインる暗号化をする形をとった。本提案方式の認証サーバ

ターネット全域が制御される形を想定している。そのとしては、フリーソフトウェアの OpenLDAP を使用管理者による制御の部分を自動化するとともに、世界している。その認証サーバに対する認証方法として中のインターネットを介して得られる細かな情報を元SSL 対応の認証が行えるので、その機能を使用する形に制御されるような方式に進化させることで、より柔とした。今回は、実験環境内のシステム構築であるの軟で安全な方式を実現することができると考えている。

で、電子証明書は、自己証明書を利用する形としたが、実際のインターネット環境では、信頼できる認証局のまた、本研究の提案方式を導入したネットワーク上で証明書を使用する形にする必要がある。

は、次の図４に示すネットワーク管理手法の創出につながると考えている。

3.2 ネットワーク通信の制御情報の生成・配付方法
前項に記載したユーザ認証プロセスの後に、各コン管理手法１

ピュータに配布するネットワーク通信の制御情報の生販売組織

顧客成・配布機能が実行されることになる。
この機能の本質的な問題は、あるネットワーク通信満足度が高い・商品が発生した場合に、その通信を制御するための制御情・サービス

流通組織

生産組織
連携

↓ 情報システム

報が、そのユーザ自身が所属する複数ネットワーク群各組織の利用者管理のためのものと、そのユーザ自身が実際に接続された別の複数組織ネットワーク群管理のためのものが管理手法２

組織A

コミュニティクラウド

重複する場合があるので、その部分の制御をどのよう組織C×にするかという点である。この点については、後者の○制御情報を優先して採用することで、この問題点の解×○決を図った。このような形で、前者と後者のネットワ

×○

ＰＢＮＭ制御対象の利用者

ーク制御情報を最終的に一つにまとめることで、各コＰＢＮＭ制御

組織B

ＰＢＮＭ制御非対象の利用者

ンピュータに適用する制御情報を生成する。そして、管理手法３

この制御情報を、クラウド上から各コンピュータにイＰＢＮＭ制御ンターネットを介する形で配信して適用する。

組織A
組織D

この制御情報に基づいた形で、ユーザが接続した複数ネットワーク群全体の制御が行われる形となる。

組織B

組織C

ISP
図４ PBNM管理手法

４．将来展望(管理手法 1) Supply Chain Management

本提案方式の次の段階では、（Step4）のインターネ(SCM)におット全域を管理範囲とするインターネット PBNM に拡ける情報システムのような「複数の組織に跨って構築張を行う予定である。そして、更に、その先の研究とした情報システム」を守る為に、アクセス元クライア

しては、Internet of Things（IOT）や Artificial

ントのネットワークへの接続状態を同一に維持管理すIntelligence（AI）などの技術を取り入れる形でのサる管理手法である。

ーバーフィジカル型インターネット PBNM への拡張を
4

TELECOM FRONTIER No.107 2020 SPRING特定ドメイン管理を実現する為のクラウド型 PBNM 方式
Cloud type of PBNM for Managing a Specific Domain(管理手法 2)コミュニティクラウド(複数の組織で共通利用されるクラウド)を守る為に、アクセス元の組織のクライアントが属するネットワークへの接続状態を同一に維持管理する管理手法である。
(管理手法 3)Internet Service Provider (ISP)による「ネットワーク・セキュリティの担当者をおけない中小規模の組織」のネットワーク管理手法である。
おわりに本提案方式の研究は、インターネット PBNM 方式実現のための第３段階（Step3）に位置する研究である。
システム要件の検討、プロトタイプシステムの実装、機能実験を行い、提案方式の機能的実現性まで確認を行った。現在、実施中の大規模実験を完了させて、中小規模組織のネットワークが集まる形の複数組織ネットワーク群が更に集まる形の特定ドメインの管理を実際に行うことが出来ることの証明を行う予定である。
参考文献[1] 市川本浩，河合栄治，藤川和利，砂原秀樹．インターネットにおける組織間システム連携時のアクセス制御に関する考察．情報処理学会 分散システム/インターネット運用技術研究会，2005 年 8 月．

[2] Mohan Baruwal Chhetri,Bao Quoc Vo,Ryszard
Kowalczyk.Policy-BasedServiceConferenceManagement

Aggregations,IEEE/ACM
onCluster,

CloudofQoS

inInternationalandGridComputing,2010.

この研究は、平成２８年度ＳＣＡＴ研究助成の対象として採用され、平成２９～令和１年度に実施されたものです。

5

TELECOM FRONTIER No.107 2020 SPRING