"ホスト計算機がアクセスするメモリリソースと、前記メモリリソースを論理化したボリュームを前記ホスト計算機に提供するストレージシステムと、前記ボリュームの移行を管理する管理装置と、を備え、前記管理装置は、第1の管理者のリクエストに基づく前記ボリュームの移行のタスクを検出すると、前記ボリュームに対する暗号化機能の設定状態と、前記ボリュームの移行先オブジェクトに対する暗号化機能の設定状態と、を比較し、この比較結果を、前記第1の管理者とは異なる、前記ストレージシステムのセキュリティ管理のための第2の管理者に通知する、計算機システム。前記ストレージシステムは、第1のパリティグループを有し、当該第1のパリティグループに第1のボリュームを設定する第1のストレージシステムと、第2のパリティグループを有し、当該第2のパリティグループに第2のボリュームを設定する第2のストレージシステムと、を備え、前記第2のボリュームは前記移行先オブジェクトであり、前記管理装置は、前記第1のボリュームと前記第2のボリュームとの間で前記ボリューム移行処理を実行させるために前記第1のストレージシステムと前記第2のストレージシステムとを制御する、請求項1記載の計算機システム。前記管理装置は、前記第2のボリュームに対する暗号化のレベルと前記第1のボリュームに対する暗号化のレベルとを比較し、前者が後者より劣っていることを判定すると、これを第1の判定結果として前記第2の管理者に通知し、前記第2のボリュームに対する暗号キーのバックアップタイプと前記第1のボリュームに対する暗号キーのバックアップタイプとを比較し、前者が後者より劣っていることを判定すると、これを第2の判定結果として、前記第2の管理者に通知し、この通知を受けた第2の管理者からの要求に基づいて、前記第1の管理者からの前記ボリューム移行要求の実行の継続の要否を決定する、請求項2記載の計算機システム。前記管理装置は、前記第1のボリュームが暗号化され、前記第2のボリュームが暗号化されていないことを判定すると、前記第1の判定結果を前記第2の管理者に通知し、前記第1のボリューム及び第2のボリュームが夫々暗号化されており、第1のボリュームの暗号キーのバックアップのタイプと前記第2のボリュームの暗号キーのバックアップタイプとが同じである場合には、前記第2の判定結果を伴うことなく、前記第1のボリュームを移行元とし、前記第2のボリュームを移行先とする前記ボリュームの移行処理を、前記第1のストレージシステムと前記第2のストレージシステムとに実行させ、前記第1のボリュームの暗号キーのバックアップタイプと前記第2のボリュームの暗号キーのバックアップタイプとが異なる場合、前記第2の判定結果を前記第2の管理者に通知する、請求項3記載の計算機システム。前記暗号キーのバックアップのタイプには、暗号キーを、外部サーバでバックアップする第1の方式と、前記セキュリティ管理者側でバックアップする第2の方式があり、前記第1のボリュームの暗号キーのバックアップが第1の方式で実行され、前記第2のボリュームの暗号キーのバックアップが前記第2の方式で実行されている場合、前記管理装置は、前記第2の判定結果を前記第2の管理者に通知する、請求項4記載の計算機システム。前記ストレージシステムは、前記ホスト計算機がアクセスする仮想ボリュームと、前記仮想ボリュームに前記メモリリソースを割り当てるプールと、パリティグループと、を備え、前記プールを前記オブジェクトとして、前記パリティグループから前記ボリュームを割り当てるように構成された、請求項1記載の計算機システム。前記管理装置は、前記プールに暗号化機能の設定があり、前記プールに割当てられるボリュームに対する前記パリティグループに暗号化機能の設定が無いことを判定すると、前記プールへ前記ボリュームを移行させようとする、前記第1の管理者のリクエストを拒否する、請求項6記載の計算機システム。前記管理装置は、前記プールに暗号化機能の設定があり、前記プールに割当てられるボリュームに対する前記パリティグループにも暗号化機能の設定があることを判定すると、前記プールに対する暗号キーのバックアップタイプと、前記パリティグループから前記プールに割当てられるボリュームに対する暗号キーのバックアップタイプと、を比較し、これら暗号キーのバックアップタイプが互いに同一でないと判定すると、前記第2の管理者に、こられ暗号キーのバックアップタイプを互いに同一にすることを促す通知を実行する、請求項7記載の計算機システム。前記管理装置は、前記暗号キーのバックアップのタイプには、暗号キーを、外部サーバでバックアップする第1の方式と、前記セキュリティ管理者側でバックアップする第2の方式があり、前記プールに対する暗号キーのバックアップタイプと、前記パリティグループから前記プールに割当てられるボリュームに対する暗号キーのバックアップタイプの何れかが前記第1の方式であることを判定すると、前記第2の方式で管理されている前記暗号キーを前記第1の方式でそのバックアップをするように変更することを促す通知を、前記第2の管理者に実行する、請求項8記載の計算機システム。前記管理装置は、前記第1の管理者による前記ボリューム移行のリクエストを送信し、前記第2の管理者からの前記リクエストに対する承認結果に応じて、前記ボリューム移行のリクエストの実行の継続の可否を決定する、請求項1記載の計算機システム。前記パリティグループは前記ストレージシステムに外部接続する外部ストレージシステムに存在する、請求項6記載の計算機システム。ホスト計算機がアクセスするメモリリソースと、前記メモリリソースを論理化したボリュームを前記ホスト計算機に提供するストレージシステムと、前記ボリュームの移行を管理する管理装置と、を備える計算機システムにおけるボリューム移行制御方法であって、前記管理装置は、第1の管理者のリクエストに基づく前記ボリュームの移行のタスクを検出すると、前記ボリュームに対する暗号化機能の設定状態と、前記ボリュームの移行先オブジェクトに対する暗号化機能の設定状態と、を比較し、この比較結果を、前記第1の管理者とは異なる、前記ストレージシステムのセキュリティ管理のための第2の管理者に通知する、ボリューム移行制御方法。クラウド環境では、ストレージシステムを越えたボリュームモビリティ機能が必要となる。例えば、ホスト計算機間でのVMバーチャルマシンの移動や、ストレージシステム間でのリソース負荷の分散に伴い、ホスト計算機を停止させることがない、ボリュームモビリティ機能が望まれる。ボリュームの移動によって、複数のボリューム間でのデータマイグレーション、データレプリケーション、プールへのボリュームの追加など所定のストレージ機能が実現される。ところで、ストレージシステムの管理者が、データの暗号化機能が設定されているボリュームを暗号化機能が設定されていない対象に移行してしまうと、データの漏洩のおそれがある。また、移行先ボリュームに暗号化機能が設定されていても、移行元ボリュームの暗号キーの保護レベルより移行先ボリュームでの暗号キーの保護レベルが低いと、移行先ボリュームにおいて、暗号キーの逸失によるデータ損失、また、暗号キーの漏洩によるデータ漏洩に繋がる。また、ボリュームライフサイクルでは、ボリューム移行時に、例えば、ホストベース暗号化方式への切り替え等、移行先で暗号化を解除したり、暗号化機能のレベルを変更したりする事象が生じる。この際、ストレージ管理者が安易に暗号化を移行先で解除できるとすると、データ漏洩に繋がったり、セキュリティポリシーに反したりするため、セキュリティ管理者が移行先での暗号化機能を解除したり、変更したりする必要があるが、これを単に行うだけではボリュームモビリティ機能の柔軟性を損なうことになる。そこで、本発明は、ボリューム移動に伴うデータの損失及びデータ漏洩のおそれが無い、計算機システムを提供することを目的とする。本発明の他の目的はボリュームモビリティ機能の柔軟性を損なうことがなく、ボリューム移行先でのセキュリティ管理者による暗号化機能の変更をセキュアかつ柔軟に行うことができる計算機システムを提供することにある。前記目的を達成するために、本発明に係る計算機システムは、ホスト計算機がアクセスするメモリリソースを備え、前記メモリリソースを論理化したボリュームを前記ホスト計算機に提供するストレージシステムと、前記ボリュームの移行を管理する管理装置と、を備え、前記管理装置は、第1の管理者のリクエストに基づく前記ボリュームの移行のタスクを検出すると、前記ボリュームに対する暗号化機能の設定状態と、前記ボリュームの移行先オブジェクトに対する暗号化機能の設定状態と、を比較し、この比較結果を、前記第1の管理者とは異なる、前記ストレージシステムのセキュリティ管理のための第2の管理者に通知する、ことを特徴とする。本発明によれば、ボリューム移行に関連させて、当該ボリュームとボリュームの移行先オブジェクトの暗号化機能の設定状態を整合させることができるために、ボリューム移動に伴うデータの損失及びデータ漏洩のおそれが無い、計算機システムを提供することができる。また、本発明によれば、ボリュームモビリティ機能の柔軟性を損なうことがなく、ボリューム移行先でのセキュリティ管理者による暗号化機能の変更をセキュアかつ柔軟に行うことができる計算機システムを提供することができる。次に、本発明の実施形態について説明する。図1は、計算機システムの第1の形態を表わすブロック図である。本発明の計算機システムは、一基以上のストレレージシステムを備えればよいものであるが、この実施形態に係る計算機システムは、ホスト装置と、複数のストレージシステムと、ボリューム移行とボリューム移行に伴う暗号化機能の管理を行う管理装置と、を備える。ボリューム移行の形態には、複数のボリューム間でのデータマイグレーション、複数のボリューム間でのデータレプリケーション、シンプロビジョニングにおけるプールへのボリューム追加がある。ストレージシステムが備える記憶ドライブは、ハードディスクドライブ等のディスクドライブの他、半導体メモリドライブ、例えば,SSDなどでもよい。計算機システムは、ホスト計算機70と、第1のストレージシステムST110と、第2のストレージシステムST220と、第3のストレージシステムST330と、これらストレージシステムの管理サーバ60と、を備える。第1のストレージシステム10は、ボリューム移行の際、データの移行元となるオリジナルボリュームOriginVOL100と、オリジナルボリューム100からのデータマイグレーション或いはデータレプリケーションの実行対象となるデータ移行先ボリュームとしての第1のターゲットボリューム100Aとを備えている。第2のストレージシステム20は第2のターゲットボリューム100Bを備え、第3のストレージシステム30は第3のターゲットボリューム100Cを備えている。ホスト計算機70は、フロントエンドSAN等の通信ネットワーク80を介して第1のストレージシステム10に接続している。第2のストレージシステム20及び第3のストレージシステム30は夫々第1のストレージシステムの外部接続ポートに接続されている。管理サーバ60はLAN等の通信ネットワーク90を介して、第1のストレージシステム10、第2のストレージシステム20、及び、第3のストレージシステム30の夫々に接続されている。オリジナルボリューム100と第1ターゲットボリューム100Aとの間では、筐体内のデータコピーが行われ、オリジナルボリューム100と第2ターゲットボリューム100B第3ターゲットボリューム100Cとの間では筐体間データコピーが行われる。オリジナルボリューム100は、暗号化機能が設定されたパリティグループENCRYPTEDPG200に設定され、第1のターゲットボリューム100Aは暗号化機能が設定されていないパリティグループNORMALPG200Aに設定されている。第2のターゲットボリューム100Bは暗号化機能が設定されたパリティグループ200Bに設定されている。第3のターゲットボリューム100Cは、暗号化機能が設定されていないパリティグループ200Cに設定されている。ストレージシステム内でデータの暗号化のための機能はパリティグループ毎に適用される。パリティグループに暗号化が機能設定されると、パリティグループに設定されたボリュームにデータを書き込む際に、記憶ドライブに対するデータの書込みが暗号化される。暗号化の設定は、ストレージシステムのコントローラによって実行される。その他の暗号化の設定のための形態は、記憶ドライブベースでの暗号化、ホスト計算機ベースでの暗号化がある。暗号化機能が設定されていないパリティグループとは、ストレージシステムに暗号化のための機能はマウントされているものの、当該機能が、セキュリティ管理者40の権限に基づく操作に基づいて、コントローラによってオフされているか、元々、ストレージシステムに当該機能がマウントされていないかの何れかである。パリティグループとはRAIDレベルに応じた複数のハードディスクドライブの組み合わせである。パリティグループの暗号化のためには、暗号化機能を備えたドライブが利用される。図2はホスト計算機70のブロック構成図である。ホスト計算機は、ビジネスアプリケーションソフトウェア700等が格納されたメモリ702、入力装置704、出力装置706、プロセッサ708、ストレージシステムに対するファイルアクセスを可能とするファイルシステム710、ストレージシステムに接続するためのホットバスアダプタHBA712、そして、これらを接続する内部バス716と、を備えている。HBA712にRAWデバイス714が設定されている場合には、ファイルシステムを介することなく、ホスト計算機は、ストレージシステム10にアクセスすることができる。図3は第1のストレージシステム10のハードウェアブロック図である。第2のストレージシステム20及び第3のストレージシステム30も第1のストレージシステムと同様な構成を備えるため、それらの説明を省略する。各フロントエンドパッケージFEPK210のインタフェースI/F211には上位計算機としてのホスト計算機70が接続する。各バックエンドパッケージBEPK240の各インタフェースIF241にはハードディスクドライブ等の記憶ドライブが接続する。フロントエンドパッケージ210は、ホスト計算機70からのリードライト要求を受信し、リードライト要求をマイクロプロセッサパッケージMPPK220に転送する。各マイクロプロセッサパッケージ220はリードライト要求を処理し、バックエンドパッケージ240は、ライトデータを記憶ドライブ270に書き込むか、または、データを記憶デバイス270からリードする。各マイクロプロセッサパッケージ220は、複数のマイクロプロセッサ221と、ローカルメモリ222と、内部バス223を有する。各メモリパッケージ230は、ライトリードデータを一時記憶するキャッシュメモリ231と、制御情報を記録する制御用メモリ232と、を有する。符号260は、管理サーバ60が接続される管理用インタフェースである。符号250は、メモリパッケージ220等の各要素を互いに接続するためのスイッチである。データ暗号化はコントローラによって実現される。データがボリュームに書き込まれる際の暗号化は、公開キーと秘密キーの組み合わせによって行われる。暗号キー秘密キーは、パリティグループを構成する全てのドライブに同一なものが設定されてもよいし、ドライブ毎に異なるものが設定されていてもよい。管理サーバ60は、図1に示すように、ストレージ管理プログラム600と、データ暗号化プログラム602と、を備えている。管理サーバ60には、セキュリティ管理者としてのクライアント40と、ストレージ管理者50としてのクライアント50と、が接続されている。図4は、管理サーバ60のブロック図であり、管理サーバは、ストレージシステムの管理機能を実現するための管理テーブル又は管理プログラムを格納したメモリ610と、入力装置612と、出力装置614と、プロセッサ616と、これらを接続する内部バス618と、を備えている。メモリ610には、ストレージ管理テーブル620と、ボリューム管理テーブル622と、パリティグループ管理テーブル624と、暗号キー秘密キー管理テーブルキー管理テーブル626と、プール管理テーブル628と、ストレージ管理プログラム630と、データ暗号化管理プログラム632と、アカウント制御プログラム634と、グラフィカルユーザインタフェース636と、コマンドラインインタフェース638と、を格納している。図5は、ストレージシステムを管理するためのストレージ管理テーブル620の一例である。ストレージ管理テーブル620は、ストレージシステムのID620Aと、ストレージシステムのシリアル番号620Bと、管理ポート260のIPアドレス620Cと、を夫々対応させたデータ構造を備えている。図6はボリュームを管理するための管理テーブル622の一例であり、ボリューム管理テーブル622は、ストレージシステム毎のボリュームID622Aと、ボリュームが対応する、ストレージシステム毎のパリティグループPGのID622Bとを対応させたデータ構造を有する。図7は、パリティグループPGを管理するためのパリティグループ管理テーブル624の一例であり、ストレージシステム毎のパリティグループID624Aと、パリティグループの暗号化状態624Bと、暗号キーのID624Cと、を対応させたデータ構造を有している。暗号化ステイタス624Bが[ON]とはパリティグループにデータの暗号化機能が設定され、かつ、パリティグループの論理ボリュームに書き込まれるデータの暗号化が実施されていることを示し、[OFF]とはパリティグループに暗号化機能が設定されているものの、データの暗号化が実行されていないことを示し、[NA]とは、そもそも、ストレージシステムのコントローラマイクロプロセッサパッケージ220に、パリティグループに対する暗号化のための機能がアサインされていないことを示している。図8は暗号キーの管理テーブル626の一例である。キー管理テーブル626は、暗号キーのID626Aと、暗号キーの作成日時626Bと、暗号キーのバックアップタイプ626Cと、KMSのIPアドレス626Dとを対応させたデータ構造を備えている。暗号キーのバックアップタイプには、既述のKMSによる管理方式と、ファイルでの保管による管理方式とがある。ファイル管理方式では、暗号キーがセキュリティ管理者40によって保管される。KMSによる暗号キーの管理方式では、KMSのIPアドレスがキー管理テーブル626に登録される。次に、複数のボリューム間でのボリューム移行における、暗号キーの管理処理について、フローチャートに基づいて説明する。図9は、管理サーバ60の動作を示す。ストレージ管理者50が管理サーバ60のストレージ管理プログラムボリューム移行管理プログラム630にデータ移行要求をリクエストすると、ストレージ管理プログラム630はデータ暗号化管理プログラム632に暗号化設定確認要求を出力して、図9のフローチャートを開始させる。次いで、データ暗号化管理プログラム632は、図9のフローチャートを実行して、オリジナルボリューム100と、ターゲットボリューム100A100B,100Cの夫々の暗号化設定状態の確認処理を遂行する。先ず、データ暗号化管理プログラム632は、ストレージ管理者50のボリューム移行要求からオリジナルボリューム100のIDとターゲットボリューム100A100B,100CのIDとを抽出するS900。次いで、データ暗号化管理プログラム632は、ボリューム管理テーブル622を参照して、オリジナルボリューム100とターゲットボリューム100A100B,100C夫々が属するパリティグループ200200A,200B,200CのIDを判定するS902。次いで、データ暗号化管理プログラム632は、パリティグループ管理テーブル624を参照して、オリジナルボリューム100のパリティグループ200に暗号化機能が設定されていてオリジナルボリューム100が暗号化されているか否かを判定しS904、暗号化されていない場合には、暗号キーに対する管理処理は必要ないものとしてフローチャートを終了する。そして、計算機システム10は、オリジナルボリュームとターゲットボリューム間でのボリューム移行に伴うデータコピーをそのまま実行する。オリジナルボリューム100が暗号化されている場合は、データ暗号化管理プログラム632は、パリティグループ管理テーブル624を参照して、ターゲットボリューム100A100B,100Cが属するパリティグループPG2~PG4に暗号化機能が設定されていてターゲットボリュームが暗号化されているか否かを判定するS906。ターゲットボリュームのパリティグループの暗号化機能の設定状態が[OFF]又は[N/A]の場合は、データ暗号化管理プログラム630は、オリジナルボリュームとターゲットボリューム間でのボリューム移行に伴い、データの暗号化が失われることを、セキュリティ管理者40に通知した上でストレージ管理者のデータ移行リクエストを拒絶するか、又は、通知なくユーザのデータ移行リクエストを拒絶するS910。どちらによるかは、ストレージ管理ユーザ50による管理サーバ60への事前の設定による。この通知を受けたセキュリティ管理者は、ターゲットボリュームのパリティグループでの暗号化機能が[OFF]の場合、暗号化機能を[ON]に設定するようにデータ暗号化管理プログラムに要求することもできる。データ暗号化管理プログラムはこの要求を受けて、移行先ストレージシステムのコントローラに暗号化機能の設定変更を要求することができる。ターゲットボリュームのパリティグループの暗号化の設定状態が[ON]であり、ターゲットボリュームが暗号化されている場合、データ暗号化管理プログラム632は、暗号キー管理テーブル626図8から、オリジナルボリュームとターゲットボリュームそれぞれの暗合化キーのバックタイプ626Cを取得するS908。次いで、データ暗号化管理プログラム632は、オリジナルボリュームの暗号キーのバックアップタイプとターゲットボリュームの暗号キーバックアップタイプとが同一か否かを判定するS912。これが同じ場合には、データ暗号化管理プログラム632は、フローチャートを終了する。この後、データ暗号化管理プログラム632はフローチャートの終了をストレージ管理プログラム630に通知し、ストレージ管理プログラム630はオリジナルボリュームとターゲットボリューム間でのデータコピーを移行元ストレージシステムと移行先ストレージシステムとに指示し、これらストレージシステムはオリジナルボリュームとターゲットボリューム間でデータコピーを実行する。オリジナルボリューム100の暗号キーのバックアップタイプとターゲットボリューム100A100B,100Cの暗号キーバックアップタイプとが異なる場合には、データ暗号化管理プログラム632は、セキュリティ管理者40に、オリジナルボリュームの暗号化キーのバックアップタイプとターゲットボリュームの暗号化キーのバックアップタイプとが異なる旨の通知を、GUI636を介して実行した後フローチャートを終了する。データ暗号化管理プログラム632がフローチャートを終了した後、ストレージ管理プログラム630はセキュリティ管理者40の確認を待って、オリジナルボリュームとターゲットボリューム間でのボリューム移行を実行する。一方、単なる通知に留まらず、ターゲットボリュームのパリティグループでのバックアップタイプがオリジナルボリュームのパリティグループでのバックアップタイプより低レベルの場合、データ暗号化管理プログラム632は、前者のタイプを後者のタイプに合わせることを促す要求を、GUIを介してセキュリティ管理者40に出力してもよい。具体的には後者のバックアップタイプがファイル管理方式であり、前者のバックアップタイプがKMS方式で、後者での管理方式をKMS方式に変更する場合である。この変更は、セキュリティ管理者40によって実行される。暗号キーのバックアップ方式を整合させない限り、データ暗号化管理プログラムは、ストレージ管理者のボリューム移行要求を拒否するようにしてもよい。一方、前者のバックアップレベルが後者のバックアップレベルより高い場合には、セキュリティ管理者は、通知を受けるのみで、ストレージ管理プログラムは、ボリューム移行要求を実行させてもよい。あるいは、この場合、S914の通知がなされなくてもよい。なお、ストレージ管理者が、ボリューム移行先ストレージシステムにおいて、暗号化機能を解除、例えば、ホスト計算機ベースでの暗号化に変更、しようとする場合、暗号化管理プログラムは、S906において否定判定を行う。セキュリティ管理プログラムは、S910の通知を行った後、セキュリティ管理者からの承諾を得ることによって、セキュリティ管理プログラムがターゲットボリュームに対する暗号化の設定状態を変更することなしに、ストレージ管理プログラムがボリューム移行処理を継続することができる。また、S904とS906では、暗号化の有無を判定の基準としたが、暗号化レベルの優劣であってもよい。ボリューム移行先ストレージシステムでの暗号化のレベルがボリューム移行元ストレージシステムでの暗号化のレベルより低い場合には、S910と同様の処理をデータ暗号化管理プログラムが実行してもよい。図9に示すフローチャートによれば、ボリューム移行処理と、ボリューム移行先環境とボリューム移行先環境とに対する暗号化設定状態の制御処理とを同期させて、ボリュームモビリティ機能の柔軟性を維持しながら、ボリュームモビリティシステムのセキュア性を維持、向上することができる。次に計算機システムの第2の実施形態について説明する。図10は、シンプロビジョニングの方式によって運用されるストレージシステム10を含む計算機システムのブロック図である。図1のシステムとの相違点を中心に説明する。ホスト計算機70は、実容量を持たない仮想ボリューム1001にアクセスする。仮想ボリューム1001にホスト計算機70からのアクセスがあると、ストレージシステム10は、プール1000から実容量を持つ記憶領域を仮想ボリューム1001に割り当てる。プール1000には、パリティグループ1010からボリュームを割り当てる。プールに割り当てられたボリュームがプールボリューム10021004である。プールボリュームは実容量を持つ記憶領域から構成されている。符号1006は、パリティグループ1008からプール1000に割当てられようとしているボリューム1006である。この実施形態において、暗号キーの管理方式が問題になるのは、プールボリュームの基となるパリティグループの暗号化設定状態及び暗号キーのバックアップタイプが、プールと異なる場合である。図10においては、パリティグループ1010には暗号化機能が設定されている。ストレージシステム10はプール1000を、データの暗号化が可能なプールボリューム10021004に合わせて、暗号化がされたものとして管理している。一方、暗号化機能が設定されていないパリティグループ1008からのボリューム1006はデータの暗号化が出来ないものであるため、このボリューム1006をプールボリュームとしてプール1000に割当てようとすると、プール1000の暗号化状態にボリューム1006がそぐわないものとなる。そこで、プールへのボリュームの割り当てに対処する処理が必要となる。図11は、第2の実施形態の計算機システムの暗号化設定処理に必要な特有なプール管理テーブルの一例を示す。プール管理テーブルは、プールID1100と、プールの暗号化設定状態1102と、プールボリュームID1104と、パリティグループID1106とを対応させたデータ構造を有する。次に、シンプロビジョニングにおける暗号化機能の設定処理を図12のフローチャートに基づいて説明する。ストレージ管理プログラム630がストレージ管理者50から、プール1000へのボリューム1006の割り当て要求を受け付けると、データ暗号化管理プログラム632はストレージ管理プログラム630から暗号化設定確認要求を受け、次いで、ストレージ管理者50からの要求から、プール1000に追加しようとしている追加ボリューム1006のIDとプール1000のIDとを取得するS1200。次いで、データ暗号化管理プログラム632は、プール管理テーブル1100を参照して、プール1000に既に存在するプールボリューム1002、1006のIDを取得するS1202。次いで、データ暗号化管理プログラム632は、プールに対する暗号化の設定がされているか否かを、プール管理テーブル1100を参照して判定するS1204。これを否定判定すると、フローチャートを終了し、ストレージ管理プログラム630は、暗号化設定プログラム632からフローチャートの終了の通知を受けて、新規ボリューム1006をプール1000に割当てる。次いで、データ暗号化プログラム632は、S1204を肯定判定する場合は、プール1000に追加すべきボリューム1006が属するパリティグループ1008に暗号化設定がされているか否かを判定するS1206。これを否定判定すると、暗号化されていないボリューム1006を暗号化対象として定義されたプール1000に割当てることを防ぐため、データ暗号化管理プログラム632は、GUI636を介して、ストレージ管理者のリクエストを拒絶する。一方、判定を肯定すると、データ暗号化管理プログラム632は、関連するパリティグループ、即ち、追加ボリューム1006のパリティグループ1008、プールに存在しているプールボリューム10021004のIDS1202から、プールに関連するパリティグループ1010の暗号キーのバックアップタイプを暗号キー管理テーブル626から取得するS1210。次いで、データ暗号化管理プログラム632は、これら関連する暗号キーのバックアップタイプが全て同一であるか否かをチェックするS1212。これが肯定される場合、データ暗号化管理プログラムは、フローチャートを終了する。この時、ストレージ管理プログラム630は、ストレージシステム10のコントローラに、追加ボリューム1008をプール1000に割当てるように指示する。一方、S1212の判定が否定されると、データ暗号化管理プログラム632は、関連する全ての暗号キーの少なくとも一つにキーバックアップタイプがKMS管理方式のものがあるか否かをチェックしS1214、これを肯定する場合、暗号キーバックアップタイプがKMS方式以外の方式でバックアップされた暗号キーをKMS方式でのバックアップタイプに変更するにするように、セキュリティ管理者40にGUI636を介して通知するS1216。一方、データ暗号化管理プログラム632は、この判定を否定すると、追加するボリューム1006の暗号キーのバックアップ方式を追加先プールでの暗号キーのバックアップタイプに合わせるようにセキュリティ管理者に促すなどして、暗号キーのバックアップ方式をKMS以外の方式に統一させるS1218。S1214の処理によって、プール1000に属するプールボリュームの暗号キーのバックアップタイプを、例えば、KMS方式又はファイル管理方式に統一させることができる。の、バックアップ方式がKMS方式以外の複数の方式があれば、最も、安全性の高いバックアップ方式に統一させることがよい。以上によって、ボリュームが新たにプールに追加されることを契機として、プールボリュームの暗号キーのバックアップ方式を同一のものに整合させることができる。なお、図10に示す実施形態では、パリティグループ1008は暗号化機能が設定されていないものとして説明したが、S1218の前提として、パリティグループ1008は暗号化機能を設定可能なものである。次に、第3の実施形態について説明する。既述の実施形態では、管理サーバ60のデータ暗号化管理プログラム632が既述のフローチャートを実行して暗号キーの最適なバックアップ形態を決定する構成が採用されていた。これに対して、第3の実施形態は、データ暗号化管理プログラムが暗号キーのバックアップタイプを変更しようとする際、セキュリティ管理者40の承認を求めるシステムを提供する。このためには、セキュリティ管理者40、ストレージ管理者の権限及び役割を、統一的に管理するための制御機能が必要になる。管理サーバ60はこの機能を実現するための、管理テーブル、制御プログラムを備えている。図13は、ユーザに与えられる権限とビットアドレスの対応を設定した、権限管理テーブルの一例である。各ビットアドレスに各権限が対応している。例えば、ビットアドレス[4]には[キー管理]、ビットアドレス[5]には[データ暗号化管理]が対応している。前者の権限は、キーペア公開キー秘密キーの決定、その変更、秘密キーのバックアップ、秘密キーのバックアップタイプの決定変更などに対する承認権限を含む。後者の権限は、データの暗号化の実施、その解除等の権限を含む。図14は、ユーザのロールと権限ビットマップとの対応を管理するテーブルの一例である。権限ビットマップは、全ての権限アドレスの集合であり、ロールは、一つ又は複数の権限の管理単位である。例えば、ロール2はセキュリティ管理に関するロールであり、ロール2には権限アドレスの第1ビット、第4~第6ビットの夫々に対応する権限が割当てられている。したがって、セキュリティに関して第2ロールは第1ロールが割当てられているに過ぎない第1ロールより広い権能を有している。セキュリティ管理者40にはロール2が設定される。ストレージ管理者50にはセキュリティ以外の例えばロール6-13までが設定される。メンテナンス管理者にはロール14によって全ての権限が与えられる。図15は、ユーザグループUGのIDとロールとの対応関係に係る管理テーブルであり、図16は、ユーザIDとユーザグループIDとの対応関係に係る管理テーブルである。ユーザ管理者には、ユーザIDが設定される。ユーザIDはユーザの分類情報を示すものとして設定される。例えば、[ST_ADMIN1]は、ストレージ管理者50を示し、[SECURITY_ADMIN]はセキュリティ管理者40を示す。各ユーザIDはユーザグループに所属する。各ユーザグループには一つ又は複数のロールが設定される。したがって、各ユーザIDにユーザグループID、ロールID、権限ビットマップを介して、一つ又は複数の権限が対応するようになる。ユーザグループはユーザをグループ化するための指標である。図17A,17Bは、ユーザからのログインを管理サーバ60が処理するためのフローチャートである。管理サーバ60のGUI636又はコマンドラインインタフェースCLI638がユーザからのログインを受付けると、ログインから、ユーザID及びパスワードを取得してS1700、これらをアカウント管理プログラム634に送信するS1702。アカウント管理プログラム634がユーザID等の各種ID及びパスワードを取得するとS1704、これらが正しいか否かを判定するS1706。アカウント管理プログラム634がこの判定を否定すると、ログインセッション作成処理を経ることなく、ログイン結果メッセージの作成処理にまでジャンプする。一方、この判定を肯定するとログインセッション作成処理を実行する。先ず、アカウント管理プログラム634は、ログインセッションIDを生成するS1708。次いで、ユーザID、ユーザグループID、ロールIDから、セッションIDに割当てる権限ビットマップを、権限ビットマップ管理テーブル図13を参照して生成するS1710。そして、セッション管理テーブルに生成されたログインセッションを追加する。次いで、図17Bに示すように、アカウント制御プログラム636は、ログイン結果メッセージを作成し、次いで、ログインメッセージをGUICLIに送信するS1716。GUI等がこれを取得するとS1718、ログインセッションIDが[NULL]かどうかを判定する。ユーザID及びパスワードが正確でない場合は、この判定が肯定され、アカウント管理プログラム636はログインを拒絶するメッセージを作成してGUI等に送り、GUIはこれを表示するS1728。一方、GUIがセッションIDを確認すると、ログインセッションIDを維持しS1722、ユーザログインを許可する旨のメッセージを作成するS1724。管理サーバ60がユーザログインを許可すると、ストレージ管理プログラム630は、図18に示すように、セッション管理テーブルからセッションIDを取得し、セッションIDに付帯するユーザリクエスト情報及び権限ビットマップを取得する。ストレージ管理プログラム630は、ユーザリクエスト情報から、ユーザから要求された処理の対象となるオブジェクトの少なくとも一つに暗号化機能が設定されているか否かを判定する。ストレージ管理プログラムがこの判定を否定する場合、オブジェクトに対して、暗号化に関して留意すべき点はないので、ストレージ管理プログラム630はユーザリクエスト、例えば、複数のボリューム間のデータマイグレーション、或いはデータレプリケーション、プールへの新規ボリュームの追加を実行する。なお、[オブジェクト]とは、データマイグレーション、データレプリケーション、プールへの新規ボリュームの割り当てにおける、オリジナルボリューム、ターゲットボリューム、パリティグループ、プール、プールボリューム、プールに追加するボリュームなどである。S1802の判定が肯定される場合は、ユーザリクエストの処理に先立ち、ストレージ管理プログラム630は、セキュリティ管理者に対する認証処理を実行する。この認証処理を図19のフローチャートに基づいて説明する。ストレージ管理プログラム630は、データ暗号化管理プログラムに、ユーザリクエストの処理伴う承認を要求するS1900。データ暗号化管理プログラム630は、この要求をスタックS1902し、ストレージ管理プログラムにスタックの完了通知を発行する。次いで、ストレージ管理プログラム630は、データ暗号化管理プログラム632にセキュリティ管理者SECURITY_ADMIN40からの承認結果を繰り返し要求する。データ暗号化管理プログラム632は、未だ承認結果を受けていないので未承認通知をストレージ管理プログラムに発行する。セキュリティ管理者40は、電子メール等によってストレージ管理プログラム630からの承認要求が来ていることを知ると、データ暗号化管理プログラムにアクセスログインする。データ暗号化管理プログラム632はこのアクセスを受けてセキュリティ管理者にスタックした承認要求を発行する。セキュリティ管理者40は承認結果をデータ暗号化管理プログラム632に通知する。データ暗号化管理プログラム632は承認結果を登録する。次いで、データ暗号化管理プログラム632はストレージ管理プログラム630から承認結果の通知要求を受けると、承認結果を通知するS1920。図20は、データ暗号化管理プログラム632がGUI636を介してセキュリティ管理者40に提供する承認要求画面の一例である。要求画面は、リクエストIDと、リクエストの発行日時と、承認欄とを含む。セキュリティ管理者が承認欄にチェックを入れて[DONE]をクリックすると、図21のパスワード入力画面がセキュリティ管理者50に表示される。セキュリティ管理者が[OK]をクリックしてパスワードが認証されると承認要求画面の承認欄に許可が設定される。一方、チェックを入れることなく[DONE]をクリックすると、拒否が設定される。なお、セキュリティ管理者40が、リクエストIDの左側のボックスにチェックを入れて、[DETAIL]をクリックしてパスワードが承認されると、ユーザリクエストの詳細、例えば、データマイグレーション、データレプリケーション、HDPプールへのボリューム追加など暗号化設定の確認を要する具体的なユーザリクエストの内容が表示される。[CANCEL]は、再入力のためにクリックされるものである。図20の承認画面に、承認処理日時の欄があってもよい。リクエストIDは、ストレージ管理者のリクエストの対象となってストレージシステムのIDとリクエストに付加されるIDとから構成される。ストレージ管理プログラム630がデータ暗号化管理プログラム632からのセキュリティ管理者による承認結果を受け取ると、ユーザリクエストの実行に関する処理を行う。この処理の詳細として、図22にユーザリクエスト実行可否判定処理のフローチャートが示されている。先ず、ストレージ管理プログラム630は、ストレージ管理者50からの一つ又は複数のリクエストを取得する。ストレージ管理プログラム630は、複数のユーザリクエストの中から一つのリクエストを取得し、リクエストに係わる暗号化設定の要請がセキュリティ管理者40によって承認されたか、拒絶されたかを判定する。リクエストが承認された場合には、ユーザリクエストを実行するための処理を行い、リクエストが拒絶された場合には、ストレージ管理プログラム630は、ユーザリクエストを拒絶し、その旨をユーザ側計算機に通知する。ストレージ管理プログラム630は全てのリクエストについて、S2204~S2208の処理を繰り返す。図23は図10の計算機システムの変形例である。図10の計算機システムでは、プール1000に追加されるボリュームは、ストレージシステム10内のパリティグループから提供されたものであるが、図23に係る計算機システムは、第1のストレージシステム10に外部接続された第2のストレージシステム20Bのパリティグループのボリューム20Aが第1のストレージシステムのプール1000に割当てられる。第1のストレージシステム10と第2のストレージシステム20はバックエンドSAN80Aを介して接続されている。第1のストレージシステム10の外部ボリューム1006は、第2のストレージシステム20のボリューム20Aをプール1000に割当てるための仮想的なボリュームである。図23に係る計算機システムにおいても、パリティグループ200Bに対する暗号化設定状態とプールに対する暗号化設定状態に対して、既述の暗号キーのバックアップタイプの調整処理等が適用される。なお、図24は、第1のストレージシステム10内の外部ボリューム1006と、外部ストレージシステム20、第1のストレージシステム10のプール1000に追加されるボリューム20A、そのボリュームのパリティグループ200Bとの対応関係を管理するテーブルの一例である。データ暗号化プログラム632は暗号化設定に関する既述の諸処理を実行する際に、このテーブルを適宜参照する。"