制御装置から設定された処理規則に従って、ユーザの端末から送信されたパケットを処理する転送ノードと、通信ポリシを管理し、認証に成功したユーザに対応する通信ポリシを前記制御装置に通知するポリシ管理装置と、前記ポリシ管理装置からの通知に基づいて、前記ユーザの端末からパケットを受信する転送ノードに、前記ユーザの端末から送信されたパケットについての処理規則の設定要求を行わせる第1の処理規則を設定する設定要求送信許可部と、前記第1の処理規則が設定された転送ノードから前記設定要求を受信した場合、前記通信ポリシに従って前記ユーザの端末とアクセス先までの経路を決定し、該経路上の転送ノードに、前記経路に対応する第2の処理規則を設定する経路制御部と、を備える制御装置と、を含む通信システム。前記通信ポリシは、処理規則の設定要求を許可するパケットを特定するための前記第1の処理規則の照合規則の作成ポリシを含み、前記設定要求送信許可部は、前記通信ポリシを参照して、前記ユーザの端末から前記照合規則に適合するパケットを受信した場合に前記制御装置に対する処理規則の設定要求を行わせる第1の処理規則を設定する請求項1の通信システム。前記通信ポリシは、前記ユーザがアクセス可能なリソースまたは前記ユーザがアクセス不可能なリソースの情報を含み、前記経路制御部は、前記転送ノードから受信した処理規則の設定要求に係るパケットの宛先が、前記ユーザがアクセス可能な宛先である場合に、前記第2の処理規則を設定する請求項1または2の通信システム。前記ポリシ管理装置は、さらに、前記制御装置に対し、認証に失敗したユーザが検出されたことを通知し、前記制御装置は、前記通知に基づいて、所定の転送ノードに、前記ユーザからのパケットの所定の認証装置への転送を抑止する処理規則を設定する請求項1から3いずれか一の通信システム。前記制御装置に対し、前記通信ポリシとして、予め定めた認証装置のすべてとのユーザ認証手続が完了しているか否かを通知し、前記制御装置は、前記ポリシ管理装置から受信した通信ポリシが、予め定めた認証装置のすべてとのユーザ認証手続が完了していないことを示す場合、所定の転送ノードに、前記ユーザと所定の認証装置とのユーザ認証手続を開始させる処理規則を設定する請求項1から4いずれか一の通信システム。前記通信ポリシは、前記第1の処理規則の設定対象の転送ノードを求めるための情報を含み、前記設定要求送信許可部は、前記通信ポリシを参照して、複数の転送ノードに前記第1の処理規則を設定する請求項1から5いずれか一の通信システム。制御装置から設定された処理規則に従って、ユーザの端末から送信されたパケットを処理する転送ノードと、通信ポリシを管理し、認証に成功したユーザに対応する通信ポリシを前記制御装置に通知するポリシ管理装置と、接続され、前記ポリシ管理装置からの通知に基づいて、前記ユーザの端末からパケットを受信する転送ノードに、前記ユーザの端末から送信されたパケットについての処理規則の設定要求を行わせる第1の処理規則を設定する設定要求送信許可部と、前記第1の処理規則が設定された転送ノードから前記設定要求を受信した場合、前記通信ポリシに従って前記ユーザの端末とアクセス先までの経路を決定し、該経路上の転送ノードに、前記経路に対応する第2の処理規則を設定する経路制御部と、を備える制御装置。前記通信ポリシは、前記第1の処理規則の規定された処理内容を適用するパケットを特定するための照合規則の作成ポリシを含み、前記設定要求送信許可部は、前記通信ポリシを参照して、前記ユーザの端末から前記照合規則に適合するパケットを受信した場合に、前記制御装置に対し、処理規則の設定要求を行わせる第1の処理規則を設定する請求項7の制御装置。前記通信ポリシは、前記ユーザがアクセス可能なリソースまたは前記ユーザがアクセス不可能なリソースの情報を含み、前記経路制御部は、前記転送ノードから受信した処理規則の設定要求に係るパケットの宛先が、前記ユーザがアクセス可能な宛先である場合に、前記第2の処理規則を設定する請求項7または8の制御装置。前記ポリシ管理装置から、認証に失敗したユーザが検出された旨の通知を受信した場合、所定の転送ノードに、前記ユーザからのパケットの所定の認証装置への転送を抑止する処理規則を設定する請求項7から9いずれか一の制御装置。前記ポリシ管理装置から受信した通信ポリシが、予め定めた認証装置のすべてとのユーザ認証手続が完了していないことを示す場合、所定の転送ノードに、前記ユーザと所定の認証装置とのユーザ認証手続を開始させる処理規則を設定する請求項7から10いずれか一の制御装置。前記通信ポリシは、前記第1の処理規則の設定対象の転送ノードを求めるための情報を含み、前記設定要求送信許可部は、前記通信ポリシを参照して、複数の転送ノードに前記第1の処理規則を設定する請求項7から11いずれか一の制御装置。請求項7から12いずれか一の制御装置に対し、認証に成功したユーザに対応する通信ポリシを提供するポリシ管理装置。制御装置から設定された処理規則に従って、ユーザの端末から送信されたパケットを処理する転送ノードと、通信ポリシを管理し、認証に成功したユーザに対応する通信ポリシを前記制御装置に通知するポリシ管理装置と、接続された制御装置が、前記ポリシ管理装置からの通知に基づいて、前記ユーザの端末からパケットを受信する転送ノードに、前記ユーザの端末から送信されたパケットについての処理規則の設定要求を行わせる第1の処理規則を設定するステップと、前記第1の処理規則が設定された転送ノードから前記設定要求を受信した場合、前記通信ポリシに従って前記ユーザの端末とアクセス先までの経路を決定し、該経路上の転送ノードに、前記経路に対応する第2の処理規則を設定するステップと、を含む通信方法。制御装置から設定された処理規則に従って、ユーザの端末から送信されたパケットを処理する転送ノードと、通信ポリシを管理し、認証に成功したユーザに対応する通信ポリシを前記制御装置に通知するポリシ管理装置と、接続された制御装置を構成するコンピュータに、前記ポリシ管理装置からの通知に基づいて、前記ユーザの端末からパケットを受信する転送ノードに、前記ユーザの端末から送信されたパケットについての処理規則の設定要求を行わせる第1の処理規則を設定する処理と、前記第1の処理規則が設定された転送ノードから前記設定要求を受信した場合、前記通信ポリシに従って前記ユーザの端末とアクセス先までの経路を決定し、該経路上の転送ノードに、前記経路に対応する第2の処理規則を設定する処理と、を実行させるプログラム。以下の分析は、本発明によって与えられたものである。特許文献1のオープンフローコントローラは、新規フロー発生時にポリシーファイルを参照してパーミッションチェックを行ない、その後に、経路を計算することによりアクセス制御を行っている特許文献1の[0052]、特許文献2のFigure6、及び[0076]-[0077]参照。特許文献2のNOXControllerも、略同様であり、配下のスイッチからパケットを受信の都度、入力ポートやMACMediaAccessControlアドレス、IPアドレスによって送信元のホスト装置が認証されたホスト装置であるか否かを確認してから、ユーザやホスト装置に与えられたネームやグループを元にポリシの検索を行ない、これらの結果に応じて、認証系へのパケット転送や当該ポリシに従った経路の決定、設定、パケットの廃棄を行うものとなっている。従って、特許文献1、2のいずれの構成も、配下のスイッチから経路設定要求に応じる制御装置の負荷が高くなってしまうという問題点がある。また、このような仕組みを利用した制御装置へのDoS攻撃DenialofServiceattackが行われる可能性も考慮しておく必要がある。本発明は、上記した事情に鑑みてなされたものであって、その目的とするところは、上記のように転送ノードからの要求に応じて当該ノードのポリシチェックや経路制御を行う制御装置の負荷を低減できるようにした通信システム、制御装置、ポリシ管理装置、通信方法およびプログラムを提供することにある。本発明の第1の視点によれば、制御装置から設定された処理規則に従って、ユーザの端末から送信されたパケットを処理する転送ノードと、通信ポリシを管理し、認証に成功したユーザに対応する通信ポリシを前記制御装置に通知するポリシ管理装置と、前記ポリシ管理装置からの通知に基づいて、前記ユーザ端末からパケットを受信する転送ノードに、前記ユーザ端末から送信されたパケットについての処理規則の設定要求を行わせる第1の処理規則を設定する設定要求送信許可部と、前記第1の処理規則が設定された転送ノードから前記設定要求を受信した場合、前記通信ポリシに従って前記ユーザ端末とアクセス先までの経路を決定し、該経路上の転送ノードに、前記経路に対応する第2の処理規則を設定する経路制御部と、を備える制御装置と、を含む通信システムが提供される。本発明の第2の視点によれば、制御装置から設定された処理規則に従って、ユーザの端末から送信されたパケットを処理する転送ノードと、通信ポリシを管理し、認証に成功したユーザに対応する通信ポリシを前記制御装置に通知するポリシ管理装置と、接続され、前記ポリシ管理装置からの通知に基づいて、前記ユーザ端末からパケットを受信する転送ノードに、前記ユーザ端末から送信されたパケットについての処理規則の設定要求を行わせる第1の処理規則を設定する設定要求送信許可部と、前記第1の処理規則が設定された転送ノードから前記設定要求を受信した場合、前記通信ポリシに従って前記ユーザ端末とアクセス先までの経路を決定し、該経路上の転送ノードに、前記経路に対応する第2の処理規則を設定する経路制御部と、を備える制御装置が提供される。本発明の第3の視点によれば、上記した制御装置に対し、認証に成功したユーザに対応する通信ポリシを提供するポリシ管理装置が提供される。本発明の第4の視点によれば、制御装置から設定された処理規則に従って、ユーザの端末から送信されたパケットを処理する転送ノードと、通信ポリシを管理し、認証に成功したユーザに対応する通信ポリシを前記制御装置に通知するポリシ管理装置と、接続された制御装置が、前記ポリシ管理装置からの通知に基づいて、前記ユーザ端末からパケットを受信する転送ノードに、前記ユーザ端末から送信されたパケットについての処理規則の設定要求を行わせる第1の処理規則を設定するステップと、前記第1の処理規則が設定された転送ノードから前記設定要求を受信した場合、前記通信ポリシに従って前記ユーザ端末とアクセス先までの経路を決定し、該経路上の転送ノードに、前記経路に対応する第2の処理規則を設定するステップと、を含む通信方法が提供される。本方法は、上記転送ノードを制御する制御装置という、特定の機械に結びつけられている。本発明の第5の視点によれば、制御装置から設定された処理規則に従って、ユーザの端末から送信されたパケットを処理する転送ノードと、通信ポリシを管理し、認証に成功したユーザに対応する通信ポリシを前記制御装置に通知するポリシ管理装置と、接続された制御装置を構成するコンピュータに、前記ポリシ管理装置からの通知に基づいて、前記ユーザ端末からパケットを受信する転送ノードに、前記ユーザ端末から送信されたパケットについての処理規則の設定要求を行わせる第1の処理規則を設定する処理と、前記第1の処理規則が設定された転送ノードから前記設定要求を受信した場合、前記通信ポリシに従って前記ユーザ端末とアクセス先までの経路を決定し、該経路上の転送ノードに、前記経路に対応する第2の処理規則を設定する処理と、を実行させるプログラムが提供される。なお、このプログラムは、コンピュータが読み取り可能な記憶媒体に記録することができる。即ち、本発明は、コンピュータプログラム製品として具現することも可能である。本発明によれば、転送ノードからの要求に応じて当該ノードのポリシチェックや経路制御を行う制御装置の負荷を低減することが可能となる。はじめに本発明の概要について図面を参照して説明する。本発明は、図1に示したように、制御装置300から設定された処理規則に従って、ユーザの端末から送信されたパケットを処理する転送ノード200A、200Bと、通信ポリシを管理し、認証に成功したユーザに付与された通信ポリシを前記制御装置300に通知するポリシ管理装置320と、前記転送ノード200A、200Bに処理規則を設定する制御装置300と、により実現できる。なお、この概要に付記した図面参照符号は、理解を助けるための一例として各要素に便宜上付記したものであり、本発明を図示の態様に限定することを意図するものではない。より具体的には、制御装置300は、設定要求送信許可部301と、経路制御部302とを備える。設定要求送信許可部301は、所定の契機例えば、図1の1ユーザ認証手続で送られる、ポリシ管理装置320からの通知図1の2通信ポリシに基づいて、前記ユーザ端末100からパケットを受信する転送ノード例えば、図1の転送ノード200Aに、前記ユーザ端末100から送信されたパケットについての処理規則の設定要求を行わせる第1の処理規則を設定する図1の3第1の処理規則設定。その後、ユーザ端末100からデータパケットを受信すると図1の4データパケット、転送ノード例えば、図1の転送ノード200Aは、前記第1の処理規則に従い、制御装置300に対し、ユーザの端末100から送信されたパケットについての処理規則の設定要求を行う。制御装置300の経路制御部302は、上記のように転送ノードから処理規則の設定要求を受けた場合図1の5第2の処理規則の設定要求、前記通信ポリシに従って前記ユーザ端末100とアクセス先例えば、ネットワーク資源600までの経路を作成し、該経路上の転送ノードに、前記経路を実現する第2の処理規則を設定する図1の6第2の処理規則の設定。また、前記第1、第2の処理規則のいずれにも該当しないパケットを受信した場合、転送ノード200A、200Bは、当該パケットの破棄処理を行うものとする。以上のように、制御装置300に対し、実フローを処理する第2の処理規則の設定要求をするために、第1の処理規則が設定されていることを条件としたため、処理規則の設定要求が制御装置に集中しないようにし、また、DoS攻撃への耐性を向上させることが可能となる。なお、図1の例では、制御装置300が、それぞれ独立した設定要求送信許可部301、経路制御部302を備えた構成を示しているが、両者は処理規則を作成し、設定するという点において共通するので、後記する実施形態で採用しているように、処理規則を作成する手段後記第1の実施形態の経路アクション計算部と、処理規則を設定する手段後記第1の実施形態の処理規則管理部という機能別の2つの処理手段で実現することも可能である。[第1の実施形態]続いて、本発明の第1の実施形態について図面を参照して詳細に説明する。図2は、本発明の第1の実施形態の通信システムの構成を表した図である。図2を参照すると、複数の転送ノード201~204と、これら転送ノードに処理規則を設定する制御装置300と、制御装置300に通信ポリシを通知するポリシ管理装置320と、ポリシ管理装置320に認証結果を示す認証情報を提供する認証装置310と、を含んだ構成が示されている。転送ノード201~204は、受信パケットと照合する照合規則と前記照合規則に適合するパケットに適用する処理内容とを対応付けた処理規則に従って、受信パケットを処理するスイッチング装置である。このような転送ノード201~204としては、図24に示すフローエントリを処理規則として動作する非特許文献2のオープンフロースイッチを用いることもできる。また、転送ノード204には、ネットワーク資源600A、600Bが接続されており、ユーザ端末100は、転送ノード201~204を介して、ネットワーク資源600A、600Bと通信可能となっている。以下の実施形態では、ネットワーク資源600Aとネットワーク資源600Bとはそれぞれ異なるリソースグループに属し、それぞれリソースグループIDとしてresource_group_0001、resource_group_0002が付与されているものとする。認証装置310は、パスワードや生体認証情報等を用いてユーザ端末100とユーザ認証手続を行なう認証サーバ等である。認証装置310は、ポリシ管理装置320にユーザ端末100とのユーザ認証手続の結果を示す認証情報を送信する。図3は、本実施形態の認証装置310に保持される認証情報の一例である。例えば、ユーザIDがuser1であるユーザの認証に成功した場合、認証装置310は、ポリシ管理装置320に対し、user1、IPアドレス:192.168.100.1、MACアドレス:00-00-00-44-55-66という属性、ロールID:role_0001、role_0002というuser1のエントリを認証情報として送信する。同様に、ユーザIDがuser2であるユーザの認証に成功した場合、ポリシ管理装置320に対し、user2、IPアドレス:192.168.100.2、MACアドレス:00-00-00-77-88-99という属性、ロールID:role_0002というuser2のエントリを認証情報として送信する。なお、前記認証情報は、ポリシ管理装置320がユーザの付与されている通信ポリシを決定可能な情報であればよく、図3の例に限定するものではない。例えば、認証に成功したユーザのユーザIDや当該ユーザIDから導出したロールID、MACアドレス等のアクセスID、ユーザ端末100の位置情報、あるいは、これらの組み合わせを認証情報として用いることができる。もちろん、認証情報として、認証に失敗したユーザの情報をポリシ管理装置320に送信し、ポリシ管理装置320が当該ユーザからのアクセスを制限する通信ポリシを制御装置300に送信するようにしてもよい。ポリシ管理装置320は、通信ポリシ記憶部321、リソース情報記憶部322と接続され、認証装置310から受信した認証情報に対応する通信ポリシを決定し、制御装置300に送信する装置である。図4は、通信ポリシ記憶部321に格納される通信ポリシ情報の一例である。図4の例では、ロールIDにて識別されるロール毎に、リソースのグループに与えられたリソースグループIDと、アクセス権限を設定した通信ポリシ情報が示されている。例えば、ロールID:role_0001を持つユーザは、リソースグループID:resource_group_0001、resource_group_0002の双方へのアクセスが許可されている。他方、ロールID:role_0002のユーザは、リソースグループID:resource_group_0001へのアクセスは禁止され、resource_group_0002へのアクセスが許可されている。図5は、リソース情報記憶部322に格納されるリソース情報の一例である。図5の例では、上記したリソースグループIDに属するリソースのリソースIDやその詳細属性を対応付けた内容となっている。例えば、リソースグループID:resource_group_0001で特定されるグループには、resource_0001、resource_0002、resource_0003を持つリソースが含まれ、それぞれのIPアドレスやMACアドレスやサービスに利用するポート番号などを特定できるようになっている。上記のような通信ポリシ情報およびリソース情報を参照して、ポリシ管理装置320は、認証装置310にて認証を受けたユーザの通信ポリシを決定し、制御装置300に通知する。例えば、認証装置310から受信した認証情報に含まれるロールIDにて、図4のポリシ情報から該当するロールIDに紐付けられたリソースグループIDとそのアクセス権限の内容を特定することができる。そして、図5のリソース情報からリソースグループIDに属するリソースの情報を用いて通信ポリシを作成する。図6は、図3、図4、図5に示した情報から作成されるユーザID:user1を持つユーザの通信ポリシである。図6の送信元フィールドには、図3の認証情報のユーザID:user1の属性情報の値が設定されている。また、宛先フィールドには、図4のポリシ情報のロールID:role_0001の内容を元に図5のリソース情報から抽出したリソース属性が設定されている。また、アクセス権限フィールドには、図4のポリシ情報のロールID:role_0001のアクセス権限と同じ値が設定されている。また、条件オプションフィールドには、図5のリソース情報のリソース属性フィールドに設定されていたサービスとポート番号が設定されている。制御装置300は、上記のような通信ポリシを受信すると、まず、当該通信ポリシの適用対象となるユーザからのパケットについての処理規則の設定要求を送信させる第1の処理規則を作成し、転送ノード201~204から選択した転送ノードに設定する。また、制御装置300は、前記第1の処理規則により、処理規則の設定要求を受けた場合、当該処理規則の設定要求に含まれるパケット情報に基づいて、パケットの転送経路および該転送経路を実現する処理規則を作成し、当該パケット転送経路上の転送ノードに設定する。図7は、本実施形態の制御装置300の詳細構成を表したブロック図である。図7を参照すると、制御装置300は、転送ノード201~204との通信を行うノード通信部11と、制御メッセージ処理部12と、処理規則管理部13と、処理規則記憶部14と、転送ノード管理部15と、経路アクション計算部16と、トポロジ管理部17と、端末位置管理部18と、通信ポリシ管理部19と、通信ポリシ記憶部20と、を備えて構成される。これらはそれぞれ次のように動作する。制御メッセージ処理部12は、転送ノードから受信した制御メッセージを解析して、制御装置300内の該当する処理手段に制御メッセージ情報を引き渡す。処理規則管理部13は、どの転送ノードにどのような処理規則が設定されているかを管理する。具体的には、経路アクション計算部16にて作成された処理規則を処理規則記憶部14に登録し、転送ノードに設定すると共に、転送ノードからの処理規則削除通知などにより、転送ノードにて設定された処理規則に変更が生じた場合にも対応して処理規則記憶部14の登録情報をアップデートする。転送ノード管理部15は、制御装置300によって制御されている転送ノードの能力例えば、ポートの数や種類、サポートするアクションの種類などを管理する。経路アクション計算部16は、通信ポリシ管理部19から通信ポリシを受信すると、まず、当該通信ポリシに従い、トポロジ管理部17に保持されているネットワークトポロジを参照し、当該ユーザからのパケットについての処理規則の設定要求を実行させる処理規則第1の処理規則を作成する。なお、処理規則第1の処理規則の設定先とする転送ノードは、ユーザ端末100が接続する可能性のあるすべての転送ノードでもよいし、あるいは、通信ポリシに含まれる送信元情報に基づいて端末位置管理部18から転送ノード例えば、図1の転送ノード201を選択してもよい。また、経路アクション計算部16は、上記した処理規則第1の処理規則に基づき、処理規則の設定要求を受けると、処理規則の設定要求に含まれるパケット情報に基づいて、当該パケットの転送経路および該転送経路を実現する処理規則を作成する。具体的には、経路アクション計算部16は、端末位置管理部18にて管理されている通信端末の位置情報とトポロジ管理部17にて構築されたネットワークトポロジ情報に基づいて、パケットの転送経路を計算する。次に、経路アクション計算部16は、転送ノード管理部15から、前記転送経路上の転送ノードのポート情報等を取得して、前記計算した転送経路を実現するために経路上の転送ノードに実行させるアクションと、当該アクションを適用するフローを特定するための照合規則を求める。なお、前記照合規則は、図6の通信ポリシの送信元IPアドレス、宛先IPアドレス、条件オプション等を用いて作成することができる。従って、図6の通信ポリシの1番目のエントリの場合、送信元IPアドレス192.168.100.1から宛先IPアドレス192.168.0.1に宛てられたパケットを、次ホップとなる転送ノードやネットワーク資源600A、600Bが接続されたポートから転送させるアクションを定めた各処理規則が作成される。なお、上記処理規則の設定の際に、処理規則の設定要求を受けたパケットだけでなく、ユーザ端末がアクセス権を有しているリソースへのパケット転送を実現する処理規則を作成するようにしてしまってもよい。トポロジ管理部17は、ノード通信部11を介して収集された転送ノード201~204の接続関係に基づいてネットワークトポロジ情報を構築する。端末位置管理部18は、通信システムに接続しているユーザ端末の位置を特定するための情報を管理する。本実施形態では、ユーザ端末を識別する情報としてIPアドレスを、ユーザ端末の位置を特定するための情報として、ユーザ端末が接続している転送ノードの転送ノード識別子とそのポートの情報を使用するものとして説明する。もちろん、これらの情報に代えて、例えば、認証装置310からもたらされる情報等を用いて、端末とその位置を特定するものとしても良い。通信ポリシ管理部19は、ポリシ管理装置320から通信ポリシ情報を受信すると、通信ポリシ記憶部20に格納するとともに、経路アクション計算部16に送信する。以上のような制御装置300は、非特許文献1、2のオープンフローコントローラをベースに、上記した通信ポリシの受信を契機とした第1の処理規則フローエントリの作成機能を追加することでも実現できる。また、図7に示した制御装置300の各部処理手段は、制御装置300を構成するコンピュータに、そのハードウェアを用いて、上記した各情報を記憶し、上記した各処理を実行させるコンピュータプログラムにより実現することもできる。続いて、本実施形態の動作について図面を参照して詳細に説明する。以下の説明では、ユーザ端末と接続された転送ノード201に、図8に示すような処理規則が設定されているものとして説明する。一番上のエントリは、フローAに属するパケットを転送ノード203に転送する処理規則である。上から3番目のエントリは、認証パケットを認証装置310に転送する処理規則である。また、一番下のエントリは、上記上位優先順位の処理規則に該当しないその他パケットについて破棄を行わせる処理規則である。また、転送ノードは、上から順番に、受信パケットと適合する照合規則を持つ処理規則を検索するため、上位にあるほど高い優先度が付与されているものとする。図9は、本実施形態の一連の動作を表したシーケンス図である。図9を参照すると、まず、ユーザ端末が、認証装置310にログイン要求すると、図10に示すように、転送ノード201は、図8に示す認証パケット用の処理規則に従い、認証装置310へのパケット転送が行われる図9のS001。認証装置310がユーザ認証を行って図9のS002、ポリシ管理装置320に認証情報を送信すると図9のS003、ポリシ管理装置320は、受信した認証情報に基づいて通信ポリシ記憶部321、リソース情報記憶部322を参照し、通信ポリシを決定し図9のS004、制御装置300に送信する図9のS005;図11参照。制御装置300は、前記通信ポリシを受信すると、ユーザ端末からのパケットについての処理規則の設定要求を行わせる第1の処理規則を転送ノード201に設定する図9のS006;図11参照。図12は、前記第1の処理規則の設定後に、転送ノード201に設定されている処理規則を示す図である。図12の例では、認証パケットよりも低優先となる位置に、認証済み端末からの受信パケットを制御装置300に転送させる処理規則第1の処理規則が設定されている。その後、ユーザ端末が、ネットワーク資源宛てのパケットを送信すると図9のS007、図13に示すように、前記第1の処理規則が設定された転送ノード201が、制御装置300に対して、処理規則の設定要求を送信する図9のS008。処理規則の設定要求を受けた制御装置300は、通信ポリシに従い、前記処理規則の設定要求を受けたパケットの転送経路の計算を行い、図14に示すように、各転送ノードにおけるパケット処理内容を定めた処理規則を作成設定する図9のS009。図15は、前記第2の処理規則の設定後に、転送ノード201に設定されている処理規則を示す図である。図15の例では、認証パケットよりも高優先となる位置に、ユーザ端末が、ネットワーク資源宛てのパケットフローBを転送ノード202に転送させる処理規則第2の処理規則が設定されている。以上のように、制御装置300が転送経路上の転送ノードに処理規則を設定すると、図16に示すように、ユーザ端末とネットワーク資源間の通信が可能となる図9の通信開始。図17は、ユーザ認証を経ずに、ユーザ端末がネットワーク資源宛てのパケットを送信した場合の動作を表したシーケンス図である。図8に示したとおり、転送ノード201には、設定済みの処理規則に適合しないパケット図8のその他パケットを破棄する処理規則が設定されているため、転送ノード201は、受信パケットを破棄する図17のS009。図18は、ユーザ認証を経たが、ユーザ端末が、アクセス権限のないネットワーク資源宛てのパケット例えば、フローCを送信した場合の動作を表したシーケンス図である。この場合も、図15に示したとおり、転送ノード201には、設定済みの処理規則に適合しないパケット図15のその他パケットを破棄する処理規則が設定されているため、転送ノード201は、受信パケットを破棄する図18のS009。また、第1の処理規則の照合規則として、宛先やポートを指定しておくことで、制御装置300に処理規則を設定要求するパケットをより絞り込み、その他のパケットを破棄させることも可能となる。以上のように、転送ノードには、未知のパケットの受信時に当該パケットを破棄させるようにし、通信ポリシの受信を契機に、制御装置300が、まず処理規則の設定要求自体を許可する第1の処理規則を設定するようにすることで、転送ノードから発せられる処理規則の設定要求の数を少なくすることができる。この結果、処理規則の設定要求に伴う制御装置の負荷を低減することが可能になる。[第2の実施形態]続いて、上記した第1の実施形態の認証装置およびポリシ管理装置の動作に変更を加えた本発明の第2の実施形態について説明する。本実施形態は、上記した第1の実施形態と同等の構成にて実現可能であるため、以下、その動作上の相違点を中心に説明する。図19は、本実施形態の一連の動作を表したシーケンス図である。ユーザ端末が、認証装置310にログイン要求し図19のS101、認証装置310においてユーザ認証が行なわれるまでの動作は第1の実施形態と同様である。本実施形態では、ユーザ認証に失敗すると図19のS102、認証装置310がポリシ管理装置320に対して、認証情報NGを送信する図19のS103-1。前記認証NG情報を受信したポリシ管理装置320は、制御装置300に、受信した認証NG情報を送信する図19のS103-2。ここでは、受信した認証NG情報には、前記認証に失敗したユーザ端末を特定する情報MACアドレスや接続する転送ノードの情報が含まれているものとする。前記認証NG情報を受信した制御装置300は、当該ユーザ端末からのパケットを破棄させる処理規則を転送ノード201のほか、当該ユーザ端末が接続される可能性のある転送ノードに設定する図19のS106。なお、この処理規則には、他の処理規則よりも高い優先順位を付与することが望ましい。その後、当該ユーザ端末が、再度ログインを試みるべくパケットを送信すると図19のS101A、転送ノード201は、前記処理規則に従って、当該ユーザ端末から送信されたパケットを破棄する処理を行う図19のS109。以上のように、本実施形態によれば、上記した第1の実施形態の効果に加えて、一度認証に失敗したユーザからパケットの認証装置310への転送を抑止させ、悪意のあるユーザからの不正アクセスから守ることが可能となる。また上記した実施形態では、該当ユーザ端末からのパケットを廃棄するものとして説明したが、当該ユーザ端末にアクセスできない旨のメッセージ等を表示する特定のサーバへアクセスさせる処理規則を設定することでもよい。なお、上記した説明では、認証に失敗したユーザ端末の情報を送信しているが、上記した第1の実施形態の通信ポリシに、第1の処理規則の設定を禁じるフラグ等を持たせて、対象ユーザ端末からのパケットの破棄等を指示することでもよい。[第3の実施形態]続いて、上記した第1の実施形態のセキュリティ機能を強化した本発明の第3の実施形態について説明する。本実施形態は、上記した第1の実施形態とほぼ共通する構成にて実現可能であるため、以下、その相違点を中心に説明する。図20は、本発明の第3の実施形態の通信システムの構成を説明するための図である。図2に表した第1の実施形態との構成上の相違点は、認証装置310と並列に、第2認証装置311が追加されている点である。第2認証装置311も、認証装置310と同様に、転送ノード201を介して、ユーザ端末100とのユーザ認証の結果をポリシ管理装置320に送信可能となっている。図21は、本発明の第3の実施形態の動作を表したシーケンス図である。ユーザ端末が、認証装置310にログイン要求し図21のS201、認証装置310においてユーザ認証手続が行なわれる図21のS202。認証装置310は、その結果をポリシ管理装置320と第2認証装置311に送信する図21のS203。ポリシ管理装置320は、認証情報の送信元が認証装置310であることを確認すると、当該ユーザ端末が認証装置311とのユーザ認証手続が済んでいないことを示す通信ポリシを作成し、制御装置300に送信する図21のS204、S205。前記通信ポリシを受信した制御装置300は、転送ノード201に対して、次にユーザ端末から送られてくるパケットを第2認証装置311にリダイレクトさせる処理規則を設定する図21のS206。その後、転送ノード201はユーザ端末からのパケットを受信すると、前記処理規則に従って、第2認証装置311にリダイレクトする図21のS207-1、S207-2。第2認証装置311は、ユーザ端末に対して、ユーザ認証手続を要求する図21のS208。その後、ユーザ端末と認証装置311との間でユーザ認証手続が行なわれ図21のS209、S210、その結果がポリシ管理装置320に送信される図21のS211。ポリシ管理装置320は、認証情報の送信元が認証装置311であることを確認すると、先の第1の実施形態と同様に、受信した認証情報に基づいて通信ポリシ記憶部321、リソース情報記憶部322を参照し、通信ポリシを決定し図21のS212、制御装置300に送信する図21のS213。以降の動作は第1の実施形態と同様であり、制御装置300は、前記通信ポリシを受信すると、ユーザ端末からのパケットについての処理規則の設定要求を行わせる第1の処理規則を転送ノード201に設定する図21のS214。これにより、ユーザ端末から受信したパケットに対する処理規則の設定要求が可能となり、以降、ユーザ端末から受信したパケットに基づく、制御装置300への処理規則の設定要求図21のS215、S216、制御装置300における経路計算および処理規則の設定が行われる図21のS217。以上のように、本実施形態によれば、悪意のあるユーザにより、第1、第2の処理規則の設定が行われてしまう可能性をより低くすることが可能になる。なお、上記した第3の実施形態では、認証装置310、311との2つ認証装置を用いるものとして説明したが、3台以上の認証装置を用いる構成も採用可能である。また、認証装置310が、最初の認証結果によって、リダイレクト先を第2認証装置311やその他の認証装置に振り分けるといった変形実施形態も採用可能である。また、上記した第3の実施形態では、ポリシ管理装置320は、認証情報の送信元に基づいて、当該ユーザ端末が、予め決められた複数の認証装置とのユーザ認証手続が済んでいる否かを判断するものとして説明したが、ポリシ管理装置320側に、各ユーザの認証状態を管理するテーブル等を設ける構成も採用可能である。このようにすれば、最初に認証装置311とのユーザ認証手続を行なった後、認証装置310とユーザ認証手続を行なう方法を採ることも可能になる。また、各認証装置から得られた認証結果に適宜有効期限を設けて管理するようにし、有効期限が切れている認証装置とのユーザ認証手続を行なえば済むようにすることもできる。[第4の実施形態]また、上記した実施形態では、制御装置300は、転送ノード201に第1の処理規則を設定するものとして説明したが、複数の転送ノードに第1の処理規則を設定するものとしてもよい。以下、制御装置300が、複数の転送ノードに第1の処理規則を設定するようにした第4の実施形態について説明する。本実施形態も、上記した第1の実施形態と同等の構成にて実現可能であるため、以下、その相違点を中心に説明する。図22は、本発明の第4の実施形態の通信ポリシ記憶部に格納される通信ポリシ情報の一例である。第1の実施形態の通信ポリシ記憶部に格納される通信ポリシ情報との相違点は、ユーザ端末の移動可能範囲を示す移動範囲制限フィールドが追加されている点である。全体の動作は、上記第1の実施形態と同様であるが、ポリシ管理装置320は、上記のような通信ポリシ情報に基づいて、制御装置300に、図23に示すように、移動範囲制限フィールドに定められた転送ノードに、第1の処理規則を設定するよう指示する。これにより、転送ノード201のほか、ユーザ端末が移動して接続する可能性のある転送ノード例えば、図23の転送ノード203にも、第1の処理規則を設定することが可能となり、ユーザの移動を制限付きで許容することが可能になる。また、実際にユーザがこれら転送ノードに移動した場合には、ユーザ認証手続図9のS001ログインから制御装置300による第1の処理規則の設定図9のS006までの処理を省略することが可能となる。なお、図22に示したように、移動範囲制限フィールドに設定する転送ノードの数は、個々のユーザのロールやリソースグループに応じて適宜設定することができる。また、図22のように、移動範囲制限フィールドに、第1の処理規則を設定する転送ノードを記述するのではなく、現在ユーザ端末が接続している転送ノードからの距離ホップ数を指定し、ネットワークトポロジ上、一定の距離範囲にある転送ノードに第1の処理規則を設定するようにしてもよい。以上、本発明の各実施形態を説明したが、本発明は、上記した実施形態に限定されるものではなく、本発明の基本的技術的思想を逸脱しない範囲で、更なる変形置換調整を加えることができる。例えば、上記した各実施形態では、制御装置300、認証装置310、ポリシ管理装置320、通信ポリシ記憶部321、リソース情報記憶部322をそれぞれ独立して設けるものとして説明したが、これらを適宜統合した構成も採用可能である。また、上記した実施形態では、図6のようにアクセス可否情報を主体とした通信ポリシを用いるものとして説明したが、通信ポリシにQoSなどの通信属性や、経路として利用できる転送ノード、アクセス可能な時間帯などの情報を含めることも可能である。このような通信ポリシを用いて第1の処理規則を作成することで、制御装置に処理規則の設定要求を行うことのできる範囲や時間をきめ細かく設定するも可能となる。また、ポリシ管理装置320が制御装置300に通信ポリシを通知するタイミングもユーザ認証直後のほか、ポリシ管理装置320が、時間やユーザの位置等に応じて、通信ポリシを更新し、制御装置300に再通知することとしてもよい。また、通信ポリシ自体に、前記時間やユーザ位置等の細かい制御内容を含めることとし、制御装置300側で細かく第1、第2の処理規則の設定、変更、削除を行わせる形態も採用可能である。また、上記した実施形態では、図3~図6を示してユーザにロールIDを付与してアクセス制御を行うものとして説明したが、ユーザ毎に付与されているユーザIDや、MACアドレス等のアクセスID、ユーザ端末100の位置情報などを用いてアクセス制御を行うことも可能である。また、上記した実施形態では、制御装置300は、第1の処理規則に基づき、処理規則の設定要求を受け取ったパケットについて第2の処理規則を作成、設定するものとして説明したが、処理規則の設定要求の受信を契機に、制御装置300が、通信ポリシを参照して、当該ユーザに認められたすべてのアクセス先への経路を計算し、これら経路を実現する処理規則を事前に設定してしまってもよい。このようにすることで、処理規則の設定要求の発生頻度をより抑えることが可能になる。また、上記した実施形態では、ユーザ端末100が、転送ノード201を介して、認証装置310と認証手続を行うものとして説明したが、ユーザ端末100が直接認証装置310と通信し、認証手続を実施する構成も採用可能である。なお、上記の特許文献および非特許文献の各開示を、本書に引用をもって繰り込むものとする。本発明の全開示請求の範囲を含むの枠内において、さらにその基本的技術思想に基づいて、実施形態の変更調整が可能である。また、本発明の請求の範囲の枠内において種々の開示要素の多様な組み合わせ、ないし選択が可能である。すなわち、本発明は、請求の範囲を含む全開示、技術的思想にしたがって当業者であればなし得るであろう各種変形、修正を含むことは勿論である。