"1つ以上の物理ネットワークにより接続された複数のホストマシンを備え、前記複数のホストマシン上で動作する複数の通信主体が仮想ネットワークにより相互接続された仮想ネットワークシステムにおいて、前記1つ以上の物理ネットワークの1つに接続されたアクセス制御リスト管理装置と、前記複数のホストマシン上でそれぞれ動作する複数の分散仮想スイッチとを具備し、前記アクセス制御リスト管理装置は、前記複数の通信主体の各々について、対応する通信主体と前記複数の通信主体のうちの他の通信主体または外部ネットワークとの間の通信を制御するための全体アクセス制御リストを記憶するアクセス制御リスト記憶手段と、前記複数のホストマシンの各々について、対応するホストマシン上で動作する通信主体に関係する通信を制御するための部分アクセス制御リストを前記全体アクセス制御リストから抽出するアクセス制御リスト再構成手段と、前記抽出された部分アクセス制御リストを、前記複数の分散仮想スイッチのうち対応するホストマシン上で動作する分散仮想スイッチに配布する第1の通信手段とを具備し、前記複数の分散仮想スイッチはそれぞれ、自身に配布された部分アクセス制御リストを記憶する部分アクセス制御リスト記憶手段と、前記部分アクセス制御リスト記憶手段に記憶されている前記部分アクセス制御リストに基づいて、自身が動作するホストマシン上で動作する通信主体の通信を制御する第2の通信手段とを具備する仮想ネットワークシステム。前記全体アクセス制御リストは、前記複数の通信主体の各々について、対応する通信主体を通信元とし、当該対応する通信主体からの通信が許可される通信主体または外部ネットワークを通信先として保持しており、前記アクセス制御リスト再構成手段は、前記全体アクセス制御リストから、前記対応するホストマシン上で動作する通信主体を通信元とするリスト部分を前記部分アクセス制御リストとして抽出する請求項1記載の仮想ネットワークシステム。前記複数の分散仮想スイッチの各々は、自身が動作するホストマシン上に、または自身が動作するホストマシン上から、通信主体が移動した場合、当該通信主体の移動を通知すると共に、当該通信主体の移動に伴う新たな部分アクセス制御リストの配布を要求するための第1の部分アクセス制御リスト発行要求を、対応する第2の通信手段により前記アクセス制御リスト管理装置に送信させ、前記第1の部分アクセス制御リスト発行要求に対する応答として前記アクセス制御リスト管理装置から新たな部分アクセス制御リストが配布された場合、前記部分アクセス制御リスト記憶手段に記憶されている前記部分アクセス制御リストを前記配布された新たな部分アクセス制御リストに更新する部分アクセス制御リスト要求管理手段を更に具備し、前記アクセス制御リスト再構成手段は、前記第1の部分アクセス制御リスト発行要求に応じて、前記通信主体の移動後において対応するホストマシン上で動作する通信主体に関係する通信を制御するための新たな部分アクセス制御リストを前記全体アクセス制御リストから抽出し、前記抽出された部分アクセス制御リストを、前記第1の部分アクセス制御リスト発行要求の要求元の分散仮想スイッチに前記第1の通信手段により配布させる請求項2記載の仮想ネットワークシステム。前記部分アクセス制御リスト要求管理手段は、自身が動作するホストマシン上で動作する通信主体に関するアクセス制御のルールが変更された場合、当該通信主体に関するアクセス制御のルールの変更を通知すると共に、当該通信主体に関するアクセス制御のルールの変更に伴う新たな部分アクセス制御リストの配布を要求するための第2の部分アクセス制御リスト発行要求を対応する第2の通信手段により前記アクセス制御リスト管理装置に送信させ、前記アクセス制御リスト再構成手段は、前記第1の部分アクセス制御リスト発行要求に応じて、前記アクセス制御リスト記憶手段に記憶されている前記全体アクセス制御リストを更新し、前記更新された全体アクセス制御リストから対応するホストマシン上で動作する通信主体に関係する通信を制御するための新たな部分アクセス制御リストを抽出する請求項3記載の仮想ネットワークシステム。1つ以上の物理ネットワークにより接続された複数のホストマシンと、前記1つ以上の物理ネットワークの1つに接続され、前記複数の通信主体の各々について、対応する通信主体と前記複数の通信主体のうちの他の通信主体または外部ネットワークとの間の通信を制御するための全体アクセス制御リストを記憶するアクセス制御リスト記憶手段を含むアクセス制御リスト管理装置と、前記複数のホストマシン上でそれぞれ動作する複数の分散仮想スイッチとを備え、前記複数のホストマシン上で動作する複数の通信主体が仮想ネットワークにより相互接続された仮想ネットワークシステムにおける仮想通信制御方法であって、前記アクセス制御リスト管理装置が、前記複数のホストマシンの各々について、対応するホストマシン上で動作する通信主体に関係する通信を制御するための部分アクセス制御リストを前記全体アクセス制御リストから抽出して、前記抽出された部分アクセス制御リストを、前記複数の分散仮想スイッチのうち対応するホストマシン上で動作する分散仮想スイッチに配布するステップと、前記分散仮想スイッチに配布された部分アクセス制御リストを、当該分散仮想スイッチが自身が有する部分アクセス制御リスト記憶手段に記憶するステップと、前記分散仮想スイッチの前記部分アクセス制御リスト記憶手段に記憶されている前記部分アクセス制御リストに基づいて、前記分散仮想スイッチが動作するホストマシン上で動作する通信主体の通信を、前記分散仮想スイッチが制御するステップとを具備する仮想通信制御方法。上述した先行技術において、ホストマシン間を仮想マシンが移動する場合、この移動に関係する全ての仮想マシンについて、対応する分散仮想スイッチが保持するACLを変更する必要がある。しかし、各分散仮想スイッチが固有のACLを保持しているため、対応する分散仮想スイッチが保持するACLを変更する手順は複雑である。また、情報が重複したり、不要なアクセス制御ルールを保持する可能性もある。本発明が解決しようとする課題は、分散仮想スイッチに適合するアクセス制御リストを簡単に作成して、当該分散仮想スイッチに配布することができる仮想ネットワークシステム及び仮想通信制御方法を提供することにある。実施形態によれば、1つ以上の物理ネットワークにより接続された複数のホストマシンを備え、前記複数のホストマシン上で動作する複数の通信主体が仮想ネットワークにより相互接続された仮想ネットワークシステムが提供される。この仮想ネットワークシステムは、前記1つ以上の物理ネットワークの1つに接続されたアクセス制御リスト管理装置と、前記複数のホストマシン上でそれぞれ動作する複数の分散仮想スイッチとを具備する。前記アクセス制御リスト管理装置は、アクセス制御リスト記憶手段と、第1の通信手段とを具備する。前記アクセス制御リスト記憶手段は、前記複数の通信主体の各々について、対応する通信主体と前記複数の通信主体のうちの他の通信主体または外部ネットワークとの間の通信を制御するための全体アクセス制御リストを記憶する。前記アクセス制御リスト再構成手段は、前記複数のホストマシンの各々について、対応するホストマシン上で動作する通信主体に関係する通信を制御するための部分アクセス制御リストを前記全体アクセス制御リストから抽出する。前記第1の通信手段は、前記抽出された部分アクセス制御リストを、前記複数の分散仮想スイッチのうち対応するホストマシン上で動作する分散仮想スイッチに配布する。前記複数の分散仮想スイッチはそれぞれ、部分アクセス制御リスト記憶手段と、第2の通信手段とを具備する。前記部分アクセス制御リスト記憶手段は、自身に配布された部分アクセス制御リストを記憶する。前記第2の通信手段は、前記部分アクセス制御リスト記憶手段に記憶されている前記部分アクセス制御リストに基づいて、自身が動作するホストマシン上で動作する通信主体の通信を制御する。以下、実施の形態につき図面を参照して説明する。図1は一つの実施形態に係る仮想ネットワークシステムの構成を示すブロック図である。図1に示す仮想ネットワークシステムは。複数のホストマシン、例えば4台のホストマシンH11,H22,H33及びH44と、アクセス制御リスト管理装置以下、ACL管理装置と称するMとを備えている。図1の例では、ホストマシンH1及びH2は、物理ネットワークPN1に接続されている。ホストマシンH3及びH4と、ACL管理装置Mとは、物理ネットワークPN2に接続されている。本実施形態において物理ネットワークPN1及びPN2はLANであり、ルータRによって相互接続されている。ホストマシンH1,H2,H3及びH4は、それぞれ、CPU、メモリ、入出力デバイス等の物理リソースを有する物理マシンである。ホストマシンH1,H2,H3及びH4は、それぞれ、仮想マシンモニタ以下、VMMと称する11,12,13及び14を備えている。VMM11,12,13及び14は、仮想マシンマネージャとも呼ばれ、それぞれ、対応するホストマシンH1,H2,H3及びH4の物理リソースを利用して仮想環境を提供する。VMM11上では、例えば3台の仮想マシン以下、VMと称する1010,1111及び1212と、分散仮想スイッチ211と、構成管理部31とが動作し、VMM12上では、例えば3台のVM2020,2121及び2222と、分散仮想スイッチ222と、構成管理部32とが動作する。VMM13上では、例えば3台のVM3030,3131及び3232と、分散仮想スイッチ233と、構成管理部33とが動作し、VMM14上では、例えば3台のVM4040,4141及び4242と、分散仮想スイッチ244と、構成管理部34とが動作する。構成管理部31,32,33及び34は、それぞれ、自身が動作するVMM11,12,13及び14上でのVMの構成を管理する。VM10~12,20~22,30~32及び40~42の各々では、ゲストOSと呼ばれるOSと、種々のアプリケーションアプリケーションプログラムとが動作する。VM10~12,20~22,30~32及び40~42は、ホストマシンH1~H4の間で移動可能である。VM10~12は、分散仮想スイッチ21によって相互に接続されると共に、外部ネットワークである物理ネットワークPN1と接続されている。VM20~22は、分散仮想スイッチ22によって相互に接続されると共に物理ネットワークPN1と接続されている。VM30~32は、分散仮想スイッチ23によって相互に接続されると共に物理ネットワークPN2と接続されており、VM40~42は、分散仮想スイッチ24によって相互に接続されると共に物理ネットワークPN2と接続されている。分散仮想スイッチ21,22,23及び24の各々は、対応する分散仮想スイッチに接続されたVMつまり配下のVMの間と、配下のVMと他のVM更には外部ネットワークとの間の、アクセスVM間通信及び接続の切り替えスイッチングを制御する。VM間通信の具体的な実現方法としては、各VMに、対応するホストマシンが接続される物理LANのIPInternetProtocolアドレスを割り当て、単にTCPTransmissionControlProtocol/IPで通信する方法前者の方法が適用可能である。また、分散仮想スイッチ間は何らかのカプセル化を行って、外部ネットワークとは全く別個のネットワーク仮想ネットワークを構成し、外部と通信する際は分散仮想スイッチが変換する方法後者の方法も適用可能である。ここでは、後者の方法が適用されるものとする。より具体的に述べるならば、分散仮想スイッチ21,22,23及び24の配下のVM10~12,20~22,30~32及び40~42は、TCP/IPプロトコルを適用する仮想的に同一のネットワークつまり仮想ネットワークに、プライベートなアドレス体系192.168.1./24で接続されているものとする。いずれにせよ、図1に示す仮想ネットワークシステムでは、VM10~12,20~22,30~32及び40~42の間の通信は可能であり、また、VM10~12,20~22,30~32及び40~42と外部のマシン例えばACL管理装置Mなどとの通信も可能である。図2は、本実施形態におけるACL管理装置Mの構成を示すブロック図である。ACL管理装置Mは、アクセス制御リスト記憶部以下、ACL記憶部と称する201と、通信制御リスト記憶部以下、CCL記憶部と称する202と、通信部203と、ACL再構成部204とを備えている。ACL記憶部201は、図1に示す仮想ネットワークシステム内の全てのVM、つまりVM10~12,20~22,30~32及び40~42のためのACL以下、全体ACLと称するを記憶する。全体ACLは、VM10~12,20~22,30~32及び40~42の各々について、対応するVMとVM10~12,20~22,30~32及び40~42のうちの他のVMまたは外部ネットワークとの間の通信アクセスを制御するのに用いられるアクセス制御ルールの一覧である。全体ACLは、後述する通信許可リスト60図6参照及びVM構成情報70図7参照を含む。CCL記憶部202は、分散仮想スイッチ21~24による接続の切り替え制御に用いられる、VM10~12,20~22,30~32及び40~42のためのCCL通信制御リストを記憶する。CCLは、後述するVMリスト40図4参照及びホスト管理リスト50図5参照を含む。通信部203は、少なくとも、VMM1ii=1,2,3,4上の分散仮想スイッチ2iと通信する。通信部203は、VMM1iVMM1iが動作するホストマシンHi上でのVM構成の変更例えば分散仮想スイッチ2iに接続されるVMの変更に伴って分散仮想スイッチ2iから送信されるACL発行要求を受信する。通信部203は、受信したACL発行要求をACL再構成部204に渡す。ACL発行要求は、例えば分散仮想スイッチ2iに接続されるVMの変更の場合、VM構成の変更が反映されたVMリストを含む。通信部203は、ACL発行要求に応じてACL再構成部204によって生成される部分ACLを、ACL発行要求の要求元に返す。ACL再構成部204は、例えば図1の仮想ネットワークシステムの起動時に、各ホストマシンHiについて、当該ホストマシンHi上で動作するVMに関係する通信アクセスを制御するための部分ACLをACL記憶部201に記憶されている全体ACLから抽出する。ACL再構成部204は、ホストマシンHiのための抽出した部分ACLを、当該ホストマシンHiに通信部203により配布させる。ACL再構成部204はまた、通信部203から渡されたACL発行要求が、VMのIPアドレスの変更、或いはアクセス制御ルールの変更に伴うACL発行要求の場合、当該変更が反映されるようにACL記憶部201に記憶されている全体ACLを更新する。ACL再構成部204は更に、全体ACLを更新した際に、要求元の分散仮想スイッチ2iに適合する部分ACLを作成再構成して、当該再構成された部分ACLを通信部203により要求元の分散仮想スイッチ2iに返す。図3は、本実施形態における分散仮想スイッチ2ii=1,2,3,4の構成を示すブロック図である。分散仮想スイッチ2iは、部分ACL記憶部301と、CCL記憶部302と、通信部303と、部分ACL要求管理部304とを備えている。部分ACL記憶部301は、分散仮想スイッチ2iの配下のVMのための部分ACLを記憶する。CCL記憶部302は、図2に示すCCL記憶部202と同様に、VM10~12,20~22,30~32及び40~42のためのCCLを記憶する。通信部303は、構成管理部3iからVM構成の変更の通知以下、VM構成変更通知と称するを受信して部分ACL要求管理部304に渡す。通信部303は、VM構成変更通知に応じて部分ACL要求管理部304から返されるACL発行要求をACL管理装置Mに送信する。通信部303は、ACL発行要求に応じてACL管理装置Mから返される部分ACLを受信して部分ACL記憶部301に格納する。通信部303は更に、VM間の通信、VMと外部ネットワークに接続されるノードとの間の通信を、部分ACL記憶部301に記憶されている部分ACL及びCCL記憶部202に記憶されているCCLに基づいて実行する。部分ACL要求管理部304は、構成管理部3iからのVM構成変更通知に応じて、VM構成の変更が反映された新VMリストを作成する。部分ACL要求管理部304は、新VMリストを含むACL発行要求を通信部303によりACL管理装置Mに送信させる。部分ACL要求管理部304は、ACL発行要求に応じてACL管理装置Mから返される部分ACLを通信部303から受け取って、部分ACL記憶部301に記憶する。図4は、CCL記憶部202及び302に記憶されているCCL中のVMリスト40の例を示す。図4に示すVMリスト40は、図1に示す仮想ネットワークシステム内の全てのVM、つまりVM10~12,20~22,30~32及び40~42の一覧を、当該VM10~12,20~22,30~32及び40~42がそれぞれ接続されている分散仮想スイッチ21,22,23及び24のID分散仮想スイッチIDと対応付けて保持する。図5は、CCL記憶部202及び302に記憶されているCCL中のホスト管理リスト50の例を示す。図5に示すホスト管理リスト50は、図1に示す仮想ネットワークシステム内の全てのホストマシン、つまりホストマシンH1~H4の一覧を、当該ホストマシンH1~H4上で動作する分散仮想スイッチ21~24の分散仮想スイッチIDと、当該ホストマシンH1~H4のIPアドレス物理IPアドレスと対応付けて保持する。図6は、ACL記憶部201に記憶されている全体ACL中の通信許可リスト60の例を示す。図6に示す通信許可リスト60は、図1に示す仮想ネットワークシステム内の全てのVMについて当該仮想ネットワークシステム内の他のVMまたは外部ネットワークとの通信が許可されているかを表すマトリクス形式のリストである。このマトリクス形式のリストの各行のVMは通信元アクセス元を表し、各列のVMまたは外部ネットワークは通信先アクセス先を表す。また、図6における記号○は、当該記号○が付されている行のVMから、当該記号○が付されている列のVMまたは外部ネットワークへのアクセスが許可されていることを表す。また、通信許可リスト60は、外部ネットワークとVMとの間の通信が許可されているかをも表している。このように、図6に示す通信許可リスト60の例では、VM間またはVMと外部ネットワークとの間の通信が許可されているかを示している。つまり通信許可リスト60は、VM間またはVMと外部ネットワークとの間のアクセスの制御に用いられる。しかし、VMのTCP/UDPポート毎に、ポート間の通信が許可されているかを示すことにより、ポートを限定したアクセス制御を行うことも可能である。図7は、ACL記憶部201に記憶されている全体ACL中のVM構成情報70の例を示す。図7に示すVM構成情報70は、図1に示す仮想ネットワークシステム内のVMの一覧を、当該VMそれぞれのIPアドレスと対応付けて保持する、VMアドレステーブルである。このようにVM構成情報70が、VMそれぞれのIPアドレスを保持するのは、本実施形態において分散仮想スイッチ21,22,23及び24によって構成される仮想ネットワークが、TCP/IPプロトコルを適用していることを前提としているためである。もし、上記仮想ネットワークがTCP/IPプロトコル以外の別のプロトコルで実装されるならば、IPアドレスに代えて、IPアドレスに相当する、当該別のプロトコルで適用される値を用いればよい。次に本実施形態の動作を、VM32がホストマシンH3のVMM13からホストマシンH1のVMM11に移動した場合を例に説明する。今、ホストマシンH3のVMM13からホストマシンH1のVMM11へのVM32の移動つまり転入が発生したものとする。このVM32の移動は、ホストマシンH1側にとって転入であり、ホストマシンH3側にとって転出である。ホストマシンH1のVMM11へのVMの移動転入が発生すると、当該VMM11上で動作する構成管理部31は、その旨を示すVM構成変更通知を分散仮想スイッチ21に送出する。VMM11へのVM32の移動が発生した本実施形態では、図8に示すVM構成変更通知80が構成管理部31から送出される。VM構成変更通知80は、構成管理部31からの当該VM構成変更通知80の送出先の分散仮想スイッチつまり分散仮想スイッチ21のIDと、移動したVM32つまり構成変更の対象となったVM32のIDと、構成変更が転入によるものか或いは転出によるものかを示す変更内容とを含む。VM構成変更通知80の例では、変更内容は転入である。したがって図8に示すVM構成変更通知80は、当該VM構成変更通知80の送出先の分散仮想スイッチ21が動作するホストマシンH1のVMM11上に、VM32が移動してきたことを示す。VMM11上に移動したVM32は、新たに分散仮想スイッチ21に接続されて、当該分散仮想スイッチ21の配下となる。つまり、図8に示すVM構成変更通知80の送出先の分散仮想スイッチのIDは、構成変更の対象となったVM32が新たに接続される分散仮想スイッチのIDをも示す。ここで、図8に示すVM構成変更通知80が構成管理部31から仮想スイッチ21に送出された場合の当該仮想スイッチ21の動作について、図9の示すフローチャートを参照して説明する。まず分散仮想スイッチ21の通信部303は、構成管理部31からのVM構成変更通知80を受信するステップS1。すると通信部303は、受信したVM構成変更通知80を分散仮想スイッチ21の部分ACL要求管理部304に渡す。部分ACL要求管理部304は、通信部303から渡されたVM構成変更通知90と、分散仮想スイッチ21のCCL記憶部3に記憶されているCCL中のVMリスト40とに基づいて、VM構成変更通知90の示すVM構成の変更が反映された新VMリストを作成するステップS2。新VMリストは、VMリスト40図4参照におけるVM32と対応付けられる分散仮想スイッチのIDが、分散仮想スイッチ23のIDから、分散仮想スイッチ21のIDに変更されたものである。部分ACL要求管理部304は、VM32の移動に伴う新たな部分ACLの発行配布を要求するためのACL発行要求第1のACL発行要求を通信部303に渡す。すると通信部303は、部分ACL要求管理部304から渡されたACL発行要求をACL管理装置Mに送信するステップS3。ACL管理装置Mに送信されるACL発行要求は、部分ACL要求管理部304によって作成された新VMリストを含む。この新VMリストは、VM32の移動流入に伴うVM構成の変更を反映したものである。したがってACL発行要求は、部分ACLの発行を要求するだけでなく、VM32の移動を通知する。なお、新VMリストが、分散仮想スイッチ21に接続されるVM32を含むVMのリストのみであってもよい。つまり新VMリストに、分散仮想スイッチ21以外の分散仮想スイッチ22,23及び24に接続されるVMのリストが含まれていなくても構わない。次に、分散仮想スイッチ21の通信部303からACL管理装置MにACL発行要求が送信された場合の当該ACL管理装置Mの動作について、図10の示すフローチャートを参照して説明する。まずACL管理装置Mの通信部203は、分散仮想スイッチ21の通信部303からのACL発行要求を受信するステップS11。すると通信部203は、受信したACL発行要求をACL管理装置MのACL再構成部204に渡す。ACL再構成部204は、通信部203から渡されたACL発行要求から当該ACL発行要求に含まれているVMリスト新VMリストを取り出すステップS12。ACL再構成部204はまた、ACL記憶部201に記憶されている全体ACLを取り出すステップS13。ACL再構成部204は、取り出した全体ACLに含まれている通信許可リスト60図6参照及びVM構成情報70図7参照並びに取り出した新VMリストに基づいて、ACL発行要求の送信元つまりACL発行の要求元の分散仮想スイッチ21におけるVM構成の変更VM32の転入に適合する部分ACLを作成再構成するステップS14。より詳細には、ACL再構成部204は、部分ACLを次のように作成する。まずACL再構成部204は、新VMリストに保持されているVMの群のうち、分散仮想スイッチ21のIDと対応付けられているVMの群、つまりVM10,VM11,VM12及びVM32を抽出する。なお、新VMリストが、分散仮想スイッチ21に接続されるVM32を含むVMのリストのみであるならば、この抽出は不要である。次にACL再構成部204は通信許可リスト60を参照し、抽出したVM10,VM11,VM12及びVM32に対応する行において、記号○が付されている列のVMまたは外部ネットワークを抽出する。つまりACL再構成部204は、分散仮想スイッチ21に接続されるVM10,VM11,VM12及びVM32のそれぞれについて、当該VM10,VM11,VM12及びVM32からの通信アクセスが許可されているVMまたは外部ネットワークを抽出する。図6に示す通信許可リスト60の例では、VM10からの許可された通信先としてVM11,VM21,VM32及び外部ネットワークが、VM11からの許可された通信先としてVM22,VM31及びVM41が、それぞれ抽出される。同様に、VM12からの許可された通信先としてVM10,VM41及び外部ネットワークが、VM32からの許可された通信先としてVM11が、それぞれ抽出される。またACL再構成部204は、外部ネットワークに対応する行において、記号○が付されている列のVMの中から、抽出したVM10,VM11,VM12及びVM32のいずれかに一致するVMを抽出する。つまりACL再構成部204は、抽出したVM10,VM11,VM12及びVM32の中から、外部ネットワークからのアクセスが許可されているVMを抽出する。図6に示す通信許可リスト60の例では、VM10,VM11,VM12及びVM32のうち、外部ネットワークからの許可された通信先としてVM11及びVM12が抽出される。次にACL再構成部204は、抽出した通信元と通信先との対応を示す、ACL発行の要求元の分散仮想スイッチ21のための仮の部分ACLを作成する。そしてACL再構成部204は、先に取り出した全体ACL中のVM構成情報70図7参照に基づいて、仮の部分ACL中の通信元VMと通信先VMを、対応するIPアドレスに置き換えることにより、分散仮想スイッチ21に送信すべき、図11に示す部分ACL110を作成する。ACL再構成部204は、作成した部分ACL110を通信部203に渡す。すると通信部203は、ACL再構成部204から渡された部分ACL110を、ACL発行の要求元の分散仮想スイッチ21に送信するステップS15。この部分ACL110は、分散仮想スイッチ21の通信部303で受信される。通信部303は、受信した部分ACL110で、部分ACL記憶部301に現在記憶されている部分ACLを更新する。なお、部分ACLの更新が、部分ACL要求管理部304によって行われても構わない。上述のように、ホストマシンH3のVMM13からホストマシンH1のVMM11へのVM32の移動に応じて、VMM11上で動作する構成管理部31から分散仮想スイッチ21に図8に示すVM構成変更通知80が送出された場合の動作について説明した。さて、上述のVM32の移動時には、当該VM32の移動元のホストマシンH3のVMM13上で動作する構成管理部33から分散仮想スイッチ23に、図8に示したVM構成変更通知80と同様の構造の、図12に示すVM構成変更通知120が送出される。VM構成変更通知120は、分散仮想スイッチ23のIDと、移動したVM32のIDと、転出を示す変更内容とを含む。構成管理部33から分散仮想スイッチ23にVM構成変更通知120が送出された場合、前述した構成管理部31から分散仮想スイッチ21にVM構成変更通知80が送出された場合と同様の動作が、分散仮想スイッチ23及びACL管理装置Mで行われる。つまり、VM構成変更通知120の示すVM構成の変更が反映された新VMリストが、分散仮想スイッチ23の部分ACL要求管理部304で取得され、当該新VMリストが含むACL発行要求がACL管理装置Mに送信される。この新VMリストは、前述のVM構成変更通知80の示すVM構成の変更が反映された新リストと同一内容となる。ACL管理装置MのACL再構成部204は、分散仮想スイッチ23から送信されたACL発行要求を受け取ると、当該分散仮想スイッチ23におけるVM構成の変更VM32の転出に適合する部分ACLを作成して、当該作成した部分ACLを分散仮想スイッチ23に送信する。これにより、分散仮想スイッチ23の部分ACL記憶部301に記憶されている部分ACLが、VM構成の変更VM32の転出に適合する新たな部分ACLに更新される。このように本実施形態においいては、図1に示される仮想ネットワークシステム全体のACLつまり全体ACLがACL管理装置Mで一元的に管理管理される。そして、VM構成が変更になる都度、VM構成が変更されたホストマシンHiで動作する分散仮想スイッチ2iには、当該分散仮想スイッチ2iに必要最低限のアクセス制御ルールとしての部分ACLつまり分散仮想スイッチ2iに適合する部分ACLがACL管理装置Mで作成される。この分散仮想スイッチ2iに適合する部分ACLは、VM構成が変更されたホストマシンHiのVMM1i上に存在するVMつまり、分散仮想スイッチ2iに接続される変更後のVMの情報に基づいて作成される。よって本実施形態によれば、各分散仮想スイッチ2iは最小限のACLつまり部分ACLしか保持する必要がなく、したがって各分散仮想スイッチ2iにおける処理の負荷が軽減される。この効果は、同一VMM上で多数のVMが動作する場合、或いは仮想ネットワークシステム内に多数のホストマシンが存在する場合により顕著となる。以上、本実施形態の動作として、分散仮想スイッチ21及び23におけるVM構成の変更が、VMVM32のそれぞれ転入及び転出である場合を例に説明した。VM構成の変更は、VMの移動に限らない。例えば、VM構成の変更が、VMのIPアドレスの変更、或いはアクセス制御ルールアクセス制御のポリシーの変更であっても構わない。もし、VM構成の変更がVMのIPアドレスの変更の場合、VM構成変更通知の分散仮想スイッチID、対象VMM及び変更内容を、それぞれ、IPアドレスが変更されるVMを接続している分散仮想スイッチのID、IPアドレスが変更されるVMのID及びIPアドレス変更とすればよい。また、このVM構成変更通知に、変更後のIPアドレスまたは変更前と変更後のIPアドレスの対を付加すればよい。更にACL発行要求に、VMリストに代えて、IPアドレスが変更されるVMのIDと、IPアドレス変更と、変更後のIPアドレスまたは変更前と変更後のIPアドレスの対とを含めればよい。この場合、ACL管理装置MのACL再構成部204は、ACL発行要求第3のACL発行要求に応じて、ACL記憶部201に記憶されている全体ACL中のVM構成情報70を更新する。ACL再構成部204はまた、全体ACL中の通信許可リスト60と更新されたVM構成情報70とに基づいて、IPアドレスが変更されたVMを通信元または通信先として接続する分散仮想スイッチ毎に、当該全体ACLから部分ACLを抽出つまり部分ACLを作成する。作成された部分ACLは、対応する分散仮想スイッチに送信される。また、アクセス制御ルールの変更の場合も同様である。例えばVM10からの通信が許可されるVMが変更される場合、その旨を通知するためのVM構成変更通知に応じて、分散仮想スイッチ21からACL管理装置MにACL発行要求第2のACL発行要求が送信される。ACL管理装置MのACL再構成部204は、このにACL発行要求、つまりVM10からの通信が許可されるVMの変更に対応するACL発行要求に基づき、ACL記憶部201に記憶されている全体ACL中の通信許可リスト60を更新する。ACL再構成部204は、更新された通信許可リスト60に基づき、VM10を接続している分散仮想スイッチ21に適合する部分ACLを作成する。作成された部分ACLは、分散仮想スイッチ21に送信される。次に、分散仮想スイッチ2iにおけるアクセス制御について、当該分散仮想スイッチ2iに接続されるVMまたは外部ネットワークから通信パケットが送信された場合を例に、図13のフローチャートを参照して説明する。分散仮想スイッチ2iの通信部303は、分散仮想スイッチ2iに接続されるVMまたは外部ネットワークからの通信パケットを受信するステップS21。次に通信部303は、部分ACL記憶部301から部分ACLを取得するステップS22。そして通信部303は、受信した通信パケットの送信元IPアドレスと宛先IPアドレスとの対が、取得した部分ACLに保持されているかによって、受信した通信パケットの転送通信が許可されているかを判定するステップS23。もし、転送が許可されているならばステップS23のYes、通信部303は、CCL記憶部202に記憶されているCCLに基づいて、受信した通信パケットの転送を制御するステップS24。これに対し、転送が許可されていないならばステップS23のNo、通信部303は受信した通信パケットを廃棄するステップS25。上述の動作説明から明らかなように、本実施形態においては、各分散仮想スイッチ2iにおける通信アクセスの制御が、当該分散仮想スイッチ2i内の部分ACL記憶部301に記憶されている部分ACLに基づいて、当該分散仮想スイッチ2iに接続されているVMから他のVMまたは外部ネットワークへの通信について行われる。このように本実施形態では、分散仮想スイッチ2iの配下のVMから他のVMまたは外部ネットワークへの通信を許可するか否かが制御される。つまり通信を許可するか否かが、送信側で制御される。このような送信側でのアクセス制御の適用により、従来から知られているフィルタリングのためのアクセス制御ルールフィルタリングルールに基づく受信側での制御、つまり分散仮想スイッチ2iの配下にないVMまたは外部ネットワークのような多数のVMまたは外部ネットワークから当該分散仮想スイッチ2iの配下にあるVMへの通信を、受信側でフィルタリングするかの制御と比較して、ACLアクセス制御ルールを簡略化することができる。上記実施形態では、CCL中のVM構成情報70図7参照が、VM毎にIPアドレスを保持し、VM単位でアクセス制御を行うことを前提としている。つまり、VMが通信の主体送受信者であることを前提としている。しかし、VM上で動作するアプリケーション、プロセスなどが、それぞれIPアドレスに相当する情報例えば、アドレスとポート番号を持って、通信の主体として動作するような環境におけるアクセス制御であっても構わない。以上説明した少なくとも1つの実施形態によれば、分散仮想スイッチに適合するアクセス制御リストを簡単に作成して、当該分散仮想スイッチに配布することができる仮想ネットワークシステム及び仮想通信制御方法を提供することができる。本発明のいくつかの実施形態を説明したが、これらの実施形態は、例として提示したものであり、発明の範囲を限定することは意図していない。これら新規な実施形態は、その他の様々な形態で実施されることが可能であり、発明の要旨を逸脱しない範囲で、種々の省略、置き換え、変更を行うことができる。これら実施形態やその変形は、発明の範囲や要旨に含まれるとともに、特許請求の範囲に記載された発明とその均等の範囲に含まれる。"