情報処理装置であって、復旧装置との間でネットワークを介して送受信を行う送受信部と、前記復旧装置から第1認証鍵に基づく認証の要求を受けた場合に、当該第1認証鍵と、自装置内で保持する第2認証鍵とが一致するか否かに基づいて認証処理を行う認証処理部と、前記認証処理部による認証が成功した場合にはイメージファイルを前記ディスクへ書き込み、書き込みが正常に完了すると前記送受信部を介して所定の完了メッセージを前記復旧装置宛に通知する書き込み制御部と、を備えた情報処理装置。前記書き込み制御部は、自装置のハードウエア固有の情報を元に復号鍵を生成し、暗号化された前記イメージファイルを前記復号鍵で復号した後に前記ディスクへ書き込むことを特徴とする、請求項1に記載された情報処理装置。遠隔的に情報処理装置のディスク復旧を行う復旧装置であって、前記情報処理装置および鍵供給装置との間でネットワークを介して送受信を行う送受信部と、前記鍵供給装置から前記送受信部を介して第1認証鍵を取得する認証鍵取得部と、前記送受信部を介して、前記情報処理装置に前記第1認証鍵に基づく認証の要求を行い、当該認証が成功したか否かの通知を前記情報処理装置から受け、前記情報処理装置におけるディスクへのイメージファイルの書き込み完了を示す完了メッセージを受けた場合に前記第1認証鍵を削除する認証処理部と、を備えた復旧装置。情報処理装置のディスク復旧を復旧装置によって行うディスク復旧方法であって、前記復旧装置は、ネットワークを介して鍵供給装置から第1認証鍵を取得し、前記情報処理装置は、ネットワークを介して前記復旧装置から前記第1認証鍵に基づく認証の要求を受けると、該第1認証鍵と、自装置内で保持する第2認証鍵とが一致するか否かに基づいて認証処理を行い、前記情報処理装置は、前記認証が成功した場合にはイメージファイルを自装置内のディスクへ書き込み、書き込みが正常に完了すると完了メッセージを前記復旧装置宛に通知し、前記復旧装置は、前記完了メッセージを受けると前記第1認証鍵を削除する、ことを含むディスク復旧方法。しかしながら、上述した従来の情報処理装置のディスク復旧方法では、クライアント情報処理装置の管理者の判断次第で同一のバックアップ内容イメージファイルに相当が何度でも書き込み可能であるつまり、不正コピーが可能になっているという点で好ましくない。特に、情報処理装置がセキュリティアプライアンス等、表示装置や入力装置が接続されておらず、かつ、高度の信頼性を要する装置である場合には、遠隔的かつ安全にハードディスクの復旧作業が行われることが求められる。よって、本発明の1つの側面では、情報処理装置のディスクを復旧させる場合に、遠隔的に、かつ、より安全に行うことができるようにした情報処理装置、復旧装置、ディスク復旧方法を提供することを目的とする。第1の観点は、データを記憶するディスクを備え、復旧装置による遠隔的なディスク復旧の対象となる情報処理装置である。この情報処理装置は、復旧装置との間でネットワークを介して送受信を行う送受信部と、前記復旧装置から第1認証鍵に基づく認証の要求を受けた場合に、当該第1認証鍵と、自装置内で保持する第2認証鍵とが一致するか否かに基づいて認証処理を行う認証処理部と、前記認証処理部による認証が成功した場合にはイメージファイルを前記ディスクへ書き込み、書き込みが正常に完了すると前記送受信部を介して所定の完了メッセージを前記復旧装置宛に通知する書き込み制御部と、を備える。第2の観点は、遠隔的に情報処理装置のディスク復旧を行う復旧装置である。この復旧装置は、前記情報処理装置および鍵供給装置との間でネットワークを介して送受信を行う送受信部と、前記鍵供給装置から前記送受信部を介して第1認証鍵を取得する認証鍵取得部と、前記送受信部を介して、前記情報処理装置に前記第1認証鍵に基づく認証の要求を行い、当該認証が成功したか否かの通知を前記情報処理装置から受け、前記情報処理装置におけるディスクへのイメージファイルの書き込み完了を示す完了メッセージを受けた場合に前記第1認証鍵を削除する認証処理部と、を備える。第3の観点は、情報処理装置のディスク復旧を復旧装置によって行うディスク復旧方法である。このディスク復旧方法において、前記復旧装置は、ネットワークを介して鍵供給装置から第1認証鍵を取得し、前記情報処理装置は、ネットワークを介して前記復旧装置から前記第1認証鍵に基づく認証の要求を受けると、該第1認証鍵と、自装置内で保持する第2認証鍵とが一致するか否かに基づいて認証処理を行い、前記情報処理装置は、前記認証が成功した場合にはイメージファイルを自装置内のディスクへ書き込み、書き込みが正常に完了すると完了メッセージを前記復旧装置宛に通知し、前記復旧装置は、前記完了メッセージを受けると前記第1認証鍵を削除する。開示の情報処理装置、復旧装置、ディスク復旧方法によれば、情報処理装置のディスクを復旧させる場合に、遠隔的に、かつ、より安全に行うことができるようになる。1システム構成先ず、実施形態のシステムについて図1を参照して説明する。図1は、実施形態におけるシステム構成を示す図である。このシステムは、アプライアンスサーバ10と、制御装置20と、認証クライアント30、ネットワーク中継器40とを含む。アプライアンスサーバ10は、ネットワーク上に配置されて特定の用途のための処理を行う装置である。アプライアンスサーバ10は、特に限定するものではないが、例えば、ウェブサーバ、キャッシュサーバ、電子メールサーバ、ファイアウォールサーバ、ロードバランサなどである。制御装置20は、ネットワーク中継器40を介してアプライアンスサーバ10と通信可能である。アプライアンスサーバ10の管理者等は、制御装置20を使用してネットワーク経由でアプライアンスサーバ10にアクセスし、アプライアンスサーバ10の環境設定、状態監視を行うとともにアプライアンスサーバ10からログを取得できるようになっている。本実施形態において、アプライアンスサーバ10は、認証クライアント30によって遠隔的にハードディスクのデータ復旧を行う対象となる。アプライアンスサーバ10は、情報処理装置の一例である。認証クライアント30は、復旧装置の一例である。アプライアンスサーバ10は、表示装置や入力装置が接続されていない状態でネットワーク上で運用がなされ、かつ、高度の信頼性を要する用途に使用されうる。そこで、本実施形態のシステムは、アプライアンスサーバ10内のHDDが故障してディスク交換の必要が生じたときに、認証クライアント30がネットワークを介して遠隔的、かつ安全にハードディスクのデータ復旧以下、適宜ディスク復旧と表記する。を行うために構成されている。2アプライアンスサーバ10の構成図2は、実施形態のアプライアンスサーバ10構成を示すブロック図である。図2に示すように、アプライアンスサーバ10は、CPU11、チップセット12、RAM13、BIOS-ROM14、電源供給部15、HDD16、入出力デバイス17、および、通信インタフェース18を含む。チップセット12は、アプライアンスサーバ10内の各部とデータバスおよび制御バスによって接続されている。なお、HDD16はディスクの一例である。CPU11は、認証処理部および書き込み制御部の一例である。通信インタフェース18は、送受信部の一例である。CPU11は、アプライアンスサーバ10の用途に応じて設けられる各種のプログラムを実行する。また、ディスク復旧時にCPU11は、入出力デバイス17に含まれる光ディスクドライブにセットされたリカバリディスク後述するからプログラムあるいはファイルを読み出し、そのプログラムの実行あるいはデータ処理を行う。RAM13は、CPU11のメインメモリである。RAM13は、CPU11が実行するプログラムやCPU11が参照するデータを一時的に格納するための揮発性記憶装置である。リカバリディスク内のイメージファイルは、ディスク復旧処理時にRAM13に展開される。チップセット12は、CPU11と他の各部とのインタフェースのための制御回路、各部を制御するためのレジスタを含む。チップセット12は、例えば汎用インタフェースであるGPIに対応してよい。BIOS-ROM14は、BIOSBasicInputOutputSystemを記憶する。BIOSは、ハードウエアとの基本的な入出力処理を行うための基本入出力システムプログラムである。電源供給部15は、アプライアンスサーバ10の各部への電源を供給する。電源供給部15は、アプライアンスサーバ10の状態例えばスリープモード等に応じて給電を制限することがあってよい。HDD16以下、適宜ハードディスクという。は不揮発性記憶装置であり、オペレーティングシステムOSやOS上で実行されるプログラムを記憶する。3認証クライアント30の構成図3は、実施形態の認証クライアント30構成を示すブロック図である。図3に示すように、認証クライアント30は、CPU31、チップセット32、RAM33、BIOS-ROM34、電源供給部35、HDD36、入出力デバイス37、通信インタフェース38、および、表示装置39を含む。チップセット32は、認証クライアント30内の各部とデータバスおよび制御バスによって接続されている。例えば、認証クライアント30は、汎用のパーソナルコンピュータであってよい。なお、CPU31は、認証鍵取得部および認証処理部の一例である。通信インタフェース38は、送受信部の一例である。CPU31は、アプライアンスサーバ10のディスク復旧の準備、および、ディスク復旧に当たって、認証プログラムを実行する。この認証プログラムを実行してアプライアンスサーバ10のディスク復旧を行うために、CPU31は、後述するリカバリ認証キーを通信インタフェース38経由で取得する。CPU31は、後述するリカバリライセンス販売者のウェブサービスを受けるために、ウェブサーバから送信されるHTMLデータを解釈して表示装置39に表示させるためのウェブブラウザを実行する。RAM33は、CPU31のメインメモリである。RAM13は、CPU31が実行するプログラムやCPU31が参照するデータを一時的に格納するための揮発性記憶装置である。チップセット32は、CPU31と他の各部とのインタフェースのための制御回路、各部を制御するためのレジスタを含む。チップセット32は、例えば汎用インタフェースであるGPIに対応してよい。BIOS-ROM34は、BIOSBasicInputOutputSystemを記憶する。BIOSは、ハードウエアとの基本的な入出力処理を行うための基本入出力システムプログラムである。電源供給部35は、認証クライアント30の各部への電源を供給する。電源供給部35は、認証クライアント30の状態例えばスリープモード等に応じて給電を制限することがあってよい。HDD36は不揮発性記憶装置であり、オペレーティングシステムOSやOS上で実行されるプログラムを記憶する。通信インタフェース38は、インターネットあるいはLANを介して、アプライアンスサーバ10および後述するリカバリ許可サーバと通信を行うためのインタフェース回路を含む。通信インタフェース38は、各サーバと通信可能であればよく、その通信プロトコルは問わない。表示装置39は、例えば、マトリクス状に画素単位で配置された薄膜トランジスタを含むLCDモニタと、その薄膜トランジスタを駆動するための駆動回路とを含み、CPU31から与えられる画像データをモニタ上に表示する。4本実施形態のディスク復旧方法次に、本実施形態のディスク復旧方法について、図4~図7を参照して説明する。4-1復旧環境の準備本実施形態のディスク復旧方法において、先ず、認証クライアント30による復旧環境の準備が行われる。この復旧環境の準備は、認証クライアント30が、アプライアンスサーバ10のハードディスクのデータ復旧を行うのに必要となるリカバリ認証キーを予め取得することを含む。なお、このリカバリ認証キーは、第1認証鍵の一例である。図4は、本実施形態のディスク復旧方法において復旧環境の準備を説明するための図である。図4は、認証クライアント30が予め、外部のリカバリライセンスの販売者からリカバリ認証キーを取得するつまり、リカバリライセンスを購入する場合の手順を示す。なお、リカバリ認証キーは、アプライアンスサーバ10のディスク復旧を行うときに、ディスク復旧の対象となるアプライアンスサーバ10以外の装置に誤って使用されてしまうことを防止するために、ディスク復旧の対象となるアプライアンスサーバ10に固有の鍵情報となっている。そのような固有の鍵情報は例えば、ディスク復旧の対象となるアプライアンスサーバ10の固有のハードウエア情報を基に生成される。なお、図4において、リカバリ許可サーバは、鍵供給装置の一例である。図4aにおいて先ず、認証クライアント30を操作する管理者リカバリライセンスの購入者は、リカバリライセンスの販売者が運営するウェブサイトWEBサイトにアクセスし、所定の手続を行ってリカバリライセンス情報を購入するステップS1。つまり、認証クライアント30は、リカバリライセンス情報を受信して取得する。このリカバリライセンス情報には、リカバリライセンスの販売者が運用するリカバリ許可サーバのネットワークアドレス、アクセスアカウント、ワンタイムパスワードが含まれている。次に認証クライアント30は、リカバリライセンス情報に含まれている上記情報を元に、リカバリ許可サーバに対して認証要求を行うステップS2。リカバリ許可サーバは、認証クライアント30から送信されたアクセスアカウント、ワンタイムパスワードを、自サーバで保持する情報と照合することにより認証処理を行う。その結果、認証が成功すると、リカバリ許可サーバは、認証クライアント30に対して、認証成功通知メッセージと、リカバリ認証キーとを送信するステップS3。なお、上記ステップS2およびS3の手続きは逐次、例えば図5に表示例を示すように、認証クライアント30の表示装置39で表示されるようにすることが好ましい。この場合、CPU31は、リカバリ許可サーバとの間でなされる通信のログを一時的に格納しておき、逐次表示装置39に表示させる。これにより、認証クライアント30の管理者が認証手続の進捗状況を視覚的に確認できる。最後に認証クライアント30は、取得したリカバリ認証キーを認証プログラムに設定するステップS4。このステップS4が完了した時点で、図4bに示すように、認証クライアント30は、ネットワーク中継器40を介してネットワークに接続することでステップS5、アプライアンスサーバ10のディスク復旧を実行できる環境となる。4-2ディスク復旧の実行本実施形態のディスク復旧方法では次に、アプライアンスサーバ10と認証クライアント30の間でディスク復旧を実行するが、このとき、アプライアンスサーバ10に対してリカバリディスクを使用する。リカバリディスクはCDあるいはDVD等、アプライアンスサーバ10に搭載される光ディスクドライブが読み取り可能な記録媒体であればその形態は問わない。このリカバリディスクには、以下に示すa~hのプログラムおよびファイルが含まれる。a起動プログラム:起動プログラムは、ブートローダやカーネルの起動、各種ドライバ、ライブラリの組み込み、ネットワークのインタフェース設定、光ディスクドライブのマウントなどを実行する。b認証プログラム:認証プログラムは、認証クライアント30からの認証要求を処理し、ディスク復旧の開始を行うプログラムである。このプログラムは、ディスク復旧の開始/終了の成功/失敗の認証結果を認証クライアント30へ返し、失敗の場合、失敗時のコードも合わせて返す。cイメージ復号プログラム:イメージ復号プログラムは、暗号化された圧縮イメージファイルをRAM13メモリへ展開させるためのプログラムである。dイメージ展開プログラム:イメージ展開プログラムは、RAM13メモリに展開された圧縮イメージファイルをアプライアンスサーバ10のハードディスクへ展開させるためのプログラムである。eイメージ整合性チェックファイル:イメージ整合性チェックファイルには、チェックサム値が含まれている。fイメージ整合性チェックプログラムイメージ整合性チェックプログラムは、アプライアンスサーバ10のハードディスクへのイメージファイルの展開が正常に実行できたかをチェックするためのプログラムである。g終了プログラム:終了プログラムは、認証プログラムにリカバリ完了メッセージを送信させ、認証プログラムを終了させ、アプライアンスサーバ10のシャットダウンを実行するプログラムである。hイメージファイル:イメージファイルは、ディスクイメージファイルが例えばlzopやgzipなどの所定の方式で圧縮され、かつ3DESあるいはAESなどの共通鍵暗号方式で暗号化されたファイルである。以下、図6を参照してアプライアンスサーバ10のディスク復旧の実行処理について説明する。図6は、アプライアンスサーバ10のディスク復旧の実行処理において、アプライアンスサーバ10と認証クライアント30で行われる処理を示すフロー図である。なお、以下の処理において、認証クライアント30で行われる処理は、認証クライアント30のCPU31が認証プログラムを実行することで行われる処理である。先ず、アプライアンスサーバ10に対してリカバリディスクを挿入することによりステップS10のYES、アプライアンスサーバ10のディスク復旧が開始される。なお、この時点では、認証クライアント30において認証プログラムが起動した状態としておくステップS20。リカバリディスクが挿入されると、アプライアンスサーバ10のCPU11は、リカバリディスクに含まれる起動プログラムを読み出して実行するステップS30。この起動プログラムが実行されると、CPU11は以下の処理を行う。[起動プログラムによるCPU11の処理]CPU11は、ブートローダやカーネルの起動、各種ドライバ、ライブラリの組み込み、ネットワークのインタフェース設定、光ディスクドライブのマウントなどを実行する。CPU11は、アプライアンスサーバ10のハードウエア固有の情報を取得し、自サーバがリカバリ対象のサーバであるか確認する。起動プログラムには上記ハードウエア固有の情報が含まれており、CPU11は、このプログラム上のデータと、自サーバから読み出したデータとが一致するか否かをチェックする。そしてCPU11は、そのチェック結果に基づく確認結果コードを確認結果ファイルへ書き込む。CPU11は、USBなどの外部インタフェースが使用不可であるか否か確認する。通常BIOSの設定で外部インタフェースが使用不可となっているが、仮に使用可の状態であるとするとセキュリティ上好ましくないためである。そしてCPU11は、その確認結果に基づく確認結果コードを確認結果ファイルへ書き込む。CPU11は、ハードディスクのマスタブートレコードの内容をチェックし、既にディスク復旧がなされたか否かをチェックする。そしてCPU11は、そのチェック結果に基づく確認結果コードを確認結果ファイルへ書き込む。CPU11は、ネットワークインターフェースを起動し、DHCPクライアント機能によってネットワークアドレスを取得する。DHCPクライアント機能でネットワークアドレスが取得できない場合には、CPU11は、リカバリディスク内に格納されている固定のネットワークアドレスを取得してもよい。次に、アプライアンスサーバ10のCPU11は、ディスク復旧処理にて利用する各種プログラム認証プログラム、イメージ復号プログラム、イメージ展開プログラム、イメージ整合性チェックプログラムおよび終了プログラムをリカバリディスクから読み出してRAM13にロードし、それらを起動しステップS40、認証待ちの状態つまり、認証クライアント30からの認証要求を待機する状態となる。このとき、認証待ちの状態になったことをLEDによる発光、あるいはビープ音の生成などにより、視覚的あるいは聴覚的に、周囲例えば、ディスク復旧の作業者あるいはサーバ等の管理者に報知するように設定しておくことが好ましい。この後、認証クライアント30は、認証プログラムの実行に伴ってアプライアンスサーバ10に対して認証要求を行うステップS50。認証クライアント30は、この認証要求を、リカバリ許可サーバから予め取得したリカバリ認証キーを含むようにして行う。この認証要求が行われた後のアプライアンスサーバ10のCPU11における処理は以下のとおりである。[認証プログラムによるCPU11の処理]CPU11は、アプライアンスサーバ10のハードウエア固有の情報を元に認証キーを生成する。なお、この生成される認証キーは、第2認証鍵の一例である。認証要求において認証クライアント30から受信するリカバリ認証キーは、ハードウエア固有の情報を元に作成されたものであるが、本処理における認証キーの作成手順ハードウエア固有の情報を元にキーを作成するときの演算式などはそれと同一とする。すると、受信したリカバリ認証キーと、CPU11が生成した認証キーとは一致するはずであるから、この一致/不一致に基づいて認証処理を行うことができる。CPU11は、その認証結果に応じたコードを確認結果ファイルへ書き込む。CPU11は、これまで書き込まれた確認結果ファイルの内容をチェックして、チェック結果がNGエラーとなるコードが書き込まれていれば、その確認結果ファイルを認証クライアント30へ送信してディスク復旧の処理を中断する。チェック結果がNGエラーの場合とは、以下のE1~E3のいずれかの場合である。E1認証キーが一致しない場合ハードウエア固有の情報に基づく認証キーが一致しないことから、アプライアンスサーバ10が適切なリカバリ対象でないと考えられる。E2USB等の外部インタフェースが使用可能状態である場合セキュリティ上問題であるため、ディスク復旧を続行させない。E3認証クライアント30から受信したリカバリ認証キーが適切なデータでない場合アプライアンスサーバ10のCPU11は、認証が成功すると、その認証成功とリカバリ開始の通知を認証クライアント30に対して行うステップS60。なお、認証クライアント30のCPU31は、アプライアンスサーバ10から受信した確認結果コードをチェックして、既にディスク復旧がなされたことが判明した場合には、その旨を表示装置39に表示し、ディスク復旧を継続するか否かの意思確認を管理者に促すように設定してもよい。処理を続行することを示す操作入力があった場合には、認証クライアント30は、アプライアンスサーバ10へディスク復旧の処理を継続する処理継続要求を行ってもよい。そしてアプライアンスサーバ10は、処理継続要求を受けた場合には、中断していた処理を続行する。次に、アプライアンスサーバ10のCPU11は、イメージ復号プログラムにより以下の処理を実行するステップS70。[イメージ復号プログラムによるCPU11の処理]CPU11は、リカバリディスク内にある暗号化されたイメージファイルをRAM13メモリに展開すなわち、復号化するステップS80。この時の復号キーは、アプライアンスサーバ10のハードウエア固有の情報を元に算出するハッシュ値、あるいはアプライアンスサーバ10のハードウエア固有の情報を元に既に算出し保持している認証キーリカバリ認証キーと同じキーとする。また、イメージファイルの暗号化方式は問わないが、例えば3DESあるいはAESなどの共通鍵暗号方式で暗号化されている。したがって、リカバリディスク内にあるイメージファイルは、リカバリ対象となる固有のアプライアンスサーバのみが復号でき、他の装置は復号できないようになっている。CPU11は、リカバリディスク内にある暗号化されたイメージ整合性チェックファイルを、上記復号キーにより復号化し、イメージ整合性チェックファイル内に格納されたイメージファイルのチェックサム値を抽出するステップS90。次に、アプライアンスサーバ10のCPU11は、イメージ展開プログラムにより、RAM13メモリにある圧縮イメージファイルをハードディスクに展開すなわち、伸長するステップS100。その後、CPU11は、イメージ整合性チェックプログラムを実行してハードディスクへのイメージファイルの展開が正常に実行できたかをチェックする。このチェックは、ハードディスクのチェックサム値を算出し、このチェックサム値と、ステップS90で得られたイメージ整合性チェックファイル内のチェックサム値とが一致するか否かに基づいて行われる、ハードディスク内のデータの検証処理であるステップS110。この検証処理は、イメージファイルに改竄がないか、あるいは、ハードディスクへの展開動作が正常であったかをチェックする目的で行われる。次に、アプライアンスサーバ10のCPU11は、終了プログラムを実行するステップS120。ハードディスクのデータの検証処理の結果、ハードディスク内のデータが問題ないと判定した場合には、この終了プログラムの実行により、アプライアンスサーバ10からリカバリ完了メッセージが認証クライアント30へ送信されるとともにステップS130、アプライアンスサーバ10がシャットダウンされる。認証クライアント30において、リカバリ完了メッセージを受信すると、CPU31がリカバリ認証キーを削除するステップS140。このリカバリ認証キーの削除によって、認証クライアント30の管理者によって何度もディスク復旧を行うといった、ライセンスに反した不正コピーが防止される。なお、図6に示した手続きは逐次、例えば図7に例示するように、認証クライアント30の表示装置39で表示されるようにすることが好ましい。この場合、CPU31は、アプライアンスサーバ10との間でなされる通信のログを一時的に格納しておき、逐次表示装置39に表示させる。これにより、認証クライアント30の管理者がディスク復旧手続の進捗状況を視覚的に確認できる。以上説明したように、本実施形態のディスク復旧方法によれば、認証クライアント30は、ネットワークを介してリカバリライセンスの販売者が運用するリカバリ許可サーバからリカバリ認証キーを取得する。アプライアンスサーバ10は、認証クライアント30からリカバリ認証キーに基づく認証の要求を受けると、リカバリ認証キーと、自装置内で保持あるいは生成する認証キーとが一致するか否かに基づいて認証処理を行い、認証が成功した場合にはイメージファイルを自装置内のディスクへ書き込む。認証クライアント30は、書き込みが正常に完了したことを示す完了メッセージを受けるとリカバリ認証キーを削除する。このとき、リカバリ認証キーと、アプライアンスサーバ10で保持あるいは生成される認証キーとは共に、アプライアンスサーバ10のハードウエア固有の情報に基づいた認証キーであり、この認証キーに基づいて認証処理を行うため、リカバリ対象でない別のサーバに誤ってイメージファイルを書き込むことが防止される。また、アプライアンスサーバ10が取得したリカバリ認証キーは、ディスク復旧処理が完了すると削除されるため、このリカバリ認証キーを別のサーバに使用するイメージファイルの不正コピーが防止される。そのため、本実施形態のディスク復旧方法によって、アプライアンスサーバ10に対する遠隔的なディスク復旧が安全に行われる。このディスク復旧方法によれば、認証クライアント30による認証要求を契機としてイメージファイルのアプライアンスサーバ10へのハードディスクへの書き込みが行われ、その書き込み完了を示す完了メッセージが認証クライアント30へ通知される。そのため、アプライアンスサーバ10に表示装置や入力装置が接続されていない場合であっても、遠隔的に書き込みの実行がされたか否か確認できる。また、リカバリディスクに格納されるイメージファイルは、アプライアンスサーバ10のハードウエア固有の情報を元に作成される暗号キーで予め暗号化しておき、メモリへ展開するときに、共通鍵の復号キーで復号することが好ましい。これにより、ハードウエア固有の情報が正しくなければイメージファイルはメモリに展開されないことになり、さらに安全性が向上する。以上、本発明の実施形態について詳細に説明したが、本発明の情報処理装置、復旧装置、ディスク復旧方法は上記実施形態に限定されず、本発明の主旨を逸脱しない範囲において、種々の改良や変更をしてもよいのは勿論である。例えば、図1に示したシステムにおいて、上記実施形態では、認証クライアント30がアプライアンスサーバ10のディスク復旧を行う場合について説明したが、通常時にアプライアンスサーバ10の運用を行っている制御装置20がアプライアンスサーバ10のディスク復旧を行ってもよい。以上の各実施形態に関し、さらに以下の付記を開示する。付記1情報処理装置であって、データを記憶するディスクと、復旧装置との間でネットワークを介して送受信を行う送受信部と、前記復旧装置から第1認証鍵に基づく認証の要求を受けた場合に、当該第1認証鍵と、自装置内で保持する第2認証鍵とが一致するか否かに基づいて認証処理を行う認証処理部と、前記認証処理部による認証が成功した場合にはイメージファイルを前記ディスクへ書き込み、書き込みが正常に完了すると前記送受信部を介して所定の完了メッセージを前記復旧装置宛に通知する書き込み制御部と、を備えた情報処理装置。付記2前記書き込み制御部は、自装置のハードウエア固有の情報を元に復号鍵を生成し、暗号化された前記イメージファイルを前記復号鍵で復号した後に前記ディスクへ書き込むことを特徴とする、付記1に記載された情報処理装置。付記3遠隔的に情報処理装置のディスク復旧を行う復旧装置であって、前記情報処理装置および鍵供給装置との間でネットワークを介して送受信を行う送受信部と、前記鍵供給装置から前記送受信部を介して第1認証鍵を取得する認証鍵取得部と、前記送受信部を介して、前記情報処理装置に前記第1認証鍵に基づく認証の要求を行い、当該認証が成功したか否かの通知を前記情報処理装置から受け、前記情報処理装置におけるディスクへのイメージファイルの書き込み完了を示す完了メッセージを受けた場合に前記第1認証鍵を削除する認証処理部と、を備えた復旧装置。付記4情報処理装置のディスク復旧を復旧装置によって行うディスク復旧方法であって、前記復旧装置は、ネットワークを介して鍵供給装置から第1認証鍵を取得し、前記情報処理装置は、ネットワークを介して前記復旧装置から前記第1認証鍵に基づく認証の要求を受けると、該第1認証鍵と、自装置内で保持する第2認証鍵とが一致するか否かに基づいて認証処理を行い、前記情報処理装置は、前記認証が成功した場合にはイメージファイルを自装置内のディスクへ書き込み、書き込みが正常に完了すると完了メッセージを前記復旧装置宛に通知し、前記復旧装置は、前記完了メッセージを受けると前記第1認証鍵を削除する、ことを含むディスク復旧方法。付記5前記情報処理装置は、自装置のハードウエア固有の情報を元に復号鍵を生成し、暗号化された前記イメージファイルを前記復号鍵で復号した後に前記ディスクへ書き込むことを特徴とする、付記4に記載されたディスク復旧方法。