JP2005284437A - ストレージ装置 - Google Patents

Abstract

【課題】 ホスト装置とのインタフェースとしてｉＳＣＳＩプロトコルをサポートするストレージ装置に関し、このｉＳＣＳＩプロトコルに従うアクセス制御における認証機能の実現において、同一ポートの配下で接続されるホスト装置の認証有無を混在可能とする技術を提供する。
【解決手段】 複数のホスト装置に接続可能なストレージ装置において、ホスト装置からのアクセス情報をｉＳＣＳＩポートで受け、アクセス情報からホスト装置を識別し、共有メモリに記憶している、ｉＳＣＳＩポート単位でホスト装置を特定するｉＳＣＳＩネームとホスト装置の認証情報（認証要否、ユーザＩＤ／パスワード）とを関連付ける認証管理テーブル６１を参照して、ホスト装置からのｉＳＣＳＩポートに対する認証要否を判定し、判定の結果、認証要の場合は認証を行い、認証の結果に基づいて記憶装置に対するアクセス可否を制御する。
【選択図】 図３

Description

本発明は、ストレージ装置に関し、特に、ホスト装置とのインタフェースとしてｉＳＣＳＩプロトコルをサポートするストレージ装置において、このｉＳＣＳＩプロトコルに従うアクセス制御における認証機能の実現に適用して有効な技術に関する。

本発明者が検討したところによれば、従来のストレージ装置において、認証機能を実現するための技術に関しては、以下のような技術が考えられる。

たとえば、従来のストレージ装置における認証機能の実現技術としては、ホスト装置とのインタフェースにファイバチャネルを用い、そのファイバチャネル上で動作するＳＣＳＩ（Ｓｍａｌｌ Ｃｏｍｐｕｔｅｒ Ｓｙｓｔｅｍ Ｉｎｔｅｒｆａｃｅ）プロトコルを用いた環境において、ホスト装置を一意に識別するＷＷＮ（Ｗｏｒｌｄ Ｗｉｄｅ Ｎａｍｅ）であるポート毎の固有のＮ Ｐｏｒｔ Ｎａｍｅと、このホスト装置からのアクセスを許可したストレージ装置内の論理ユニットとをユーザの運用方法に基づいて規定する管理テーブルを設け、ユーザがホスト装置からアクセスした際に、この管理テーブルに基づいて、ストレージ装置内の論理ユニットに対するアクセスの可否を制御することができるようにした技術がある（特許文献１参照）。
特開２００３−３００５３号公報

ところで、前記のような従来のストレージ装置において、認証機能を実現するための技術に関しては、本発明者が検討した結果、以下のようなことが明らかとなった。

たとえば、従来のストレージ装置における認証機能の実現技術においては、前述の通り、ホスト装置とのインタフェースに用いたファイバチャネル上で動作するＳＣＳＩプロトコルを用いた環境に適用されるものであり、ホスト装置とのインタフェースとしてｉＳＣＳＩ（Ｉｎｔｅｒｎｅｔ ＳＣＳＩ）プロトコルを用いた環境に適用されるものではなく、さらにホスト装置を一意に識別する識別情報としてｉＳＣＳＩネーム（詳細は後述）を用いた技術ではない。そこで、近年のｉＳＣＳＩプロトコルをサポートするストレージ装置においては、このｉＳＣＳＩプロトコルにおける認証機能の実現が望まれている。

すなわち、たとえばＩＰ−ＳＡＮ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ−Ｓｔｏｒａｇｅ Ａｒｅａ Ｎｅｔｗｏｒｋ）では、ｉＳＣＳＩと呼ばれる通信プロトコルに基づく通信が可能であることが知られている。このｉＳＣＳＩプロトコルに基づく通信技術では、どのようにして不正アクセスを防止し、セキュリティを向上させるかが重要な課題となっている。

しかし、ｉＳＣＳＩプロトコルに基づくアクセスを制御するための技術に、前述の特許文献１に記載のような、ファイバチャネルに基づくアクセス制御技術を単に転用することはできない。なぜなら、ストレージ装置がファイバチャネルを介して受けるアクセスは、必ず、同一通信ネットワークに接続されたホスト装置からのアクセスであり、ｉＳＣＳＩプロトコルに基づくアクセスのように、別の通信ネットワークに接続された不特定ノードからのアクセスであることは無いからである。具体的には、ｉＳＣＳＩプロトコルでは、たとえば、あるＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）に接続されたストレージ装置は、別のＬＡＮおよびそれが接続されたインターネットを介して不特定情報処理端末からアクセスを受ける場合があり得る。

このように、ｉＳＣＳＩプロトコルに基づく通信では、どのようにアクセス制御を行って高セキュリティを提供するかが重要であり、さらに、同一ポートの配下で接続されるホスト装置の認証有無が混在できるかも重要な課題の一つとなっている。

そこで、本発明の目的は、ホスト装置とのインタフェースとしてｉＳＣＳＩプロトコルをサポートするストレージ装置に関し、このｉＳＣＳＩプロトコルに従うアクセス制御における認証機能の実現において、同一ポートの配下で接続されるホスト装置の認証有無を混在可能とする技術を提供することにある。

本発明の前記ならびにその他の目的と新規な特徴は、本明細書の記述および添付図面から明らかになるであろう。

本願において開示される発明のうち、代表的なものの概要を簡単に説明すれば、次のとおりである。

本発明は、複数のホスト装置に接続可能であり、ホスト装置から受信するライトデータおよび／またはホスト装置に送信されるリードデータを記憶する記憶装置と、ホスト装置からの記憶装置へのアクセスを制御する記憶制御部とを有するストレージ装置、およびストレージ装置の制御方法に適用され、以下のような特徴を有するものである。

すなわち、本発明のストレージ装置は、記憶制御部が、ホスト装置からのアクセスを受ける複数のｉＳＣＳＩポートと、複数のｉＳＣＳＩポートのポート単位で、ｉＳＣＳＩポートに接続されるホスト装置毎の認証情報を記憶する共有メモリとを備える。このような構成において、記憶制御部は、ホスト装置からのアクセス情報をｉＳＣＳＩポートで受け、アクセス情報からホスト装置を識別し、共有メモリに記憶している認証情報を参照して、ホスト装置からのｉＳＣＳＩポートに対する認証要否を判定し、判定の結果、認証要の場合は認証を行い、認証の結果に基づいて記憶装置に対するアクセス可否を制御する機能を備えるものである。特に、認証を、ＣＨＡＰ認証に適用するものである。

具体的に、本発明のストレージ装置においては、共有メモリが、複数のｉＳＣＳＩポートのポート単位で、ホスト装置を特定するｉＳＣＳＩネームと、ホスト装置の認証の使用／未使用およびユーザＩＤ／パスワードを含む認証情報とを関連付ける認証管理テーブルを有し、記憶制御部が、認証管理テーブルを参照して、ホスト装置からのｉＳＣＳＩポートに対する認証の使用／未使用を判定する。さらに、共有メモリが、ホスト装置がアクセス可能な論理ユニットを定義した論理ユニット管理テーブルを有し、記憶制御部が、認証の結果に基づいて、論理ユニット管理テーブルを参照して、論理ユニットに対するアクセスをホスト装置に対して許可するものである。

また、本発明のストレージ装置においては、認証管理テーブルが、記憶制御部のｉＳＣＳＩポートに接続されるホスト装置をグループ毎に分けるグルーピング情報を含み、記憶制御部が、グルーピング情報を含む認証管理テーブルを参照して、ホスト装置からのｉＳＣＳＩポートに対する認証の使用／未使用をグループ毎に判定するものである。

さらに、本発明のストレージ装置においては、管理情報を登録するための管理端末を有し、管理端末が、記憶制御部の複数のｉＳＣＳＩポートのポート単位で、ｉＳＣＳＩポートに接続されるホスト装置毎の認証情報を共有メモリに登録するものである。

具体的に、本発明のストレージ装置においては、管理端末が、複数のｉＳＣＳＩポートのポート単位で、ホスト装置を特定するｉＳＣＳＩネームと、ホスト装置の認証の使用／未使用およびユーザＩＤ／パスワードを含む認証情報とを関連付けて、共有メモリの認証管理テーブルに登録する。さらに、管理端末が、ホスト装置がアクセス可能な論理ユニットを定義して共有メモリの論理ユニット管理テーブルに登録するものである。

また、本発明のストレージ装置においては、管理端末が、認証管理テーブル、論理ユニット管理テーブルに登録した情報を表示可能とするものである。また、管理端末が、認証管理テーブル、論理ユニット管理テーブルに対して情報の追加／変更／削除を可能とするものである。

また、本発明のストレージ装置の制御方法においては、ｉＳＣＳＩポート単位で、ホスト装置を特定するｉＳＣＳＩネームと、あらかじめ登録されたそのホスト装置の認証情報（認証要否、ユーザＩＤ／パスワード）とを関連付ける認証管理テーブルを参照し、認証の要否を判定し、必要に応じて認証を行い、認証の結果に基づき、必要に応じて、そのホスト装置がアクセス可能な論理ユニットを定義した論理ユニット管理テーブルを参照することで、論理ユニットへのアクセス可否を制御するものである。

本願において開示される発明のうち、代表的なものによって得られる効果を簡単に説明すれば以下のとおりである。

本発明によれば、ホスト装置とのインタフェースとしてｉＳＣＳＩプロトコルをサポートするストレージ装置において、このｉＳＣＳＩプロトコルに従うアクセス制御における認証機能を実現し、この際に、ホスト装置をｉＳＣＳＩネームで識別し、ポート単位でホスト装置毎の認証情報を設定可能とすることで、同一ポートの配下で接続されるホスト装置の認証有無を混在可能とすることができる。また、この認証機能は、ホスト装置に対する論理ユニットアクセスのセキュリティ機能とは独立して同時に実現することが可能となる。

以下、本発明の実施の形態を図面に基づいて詳細に説明する。なお、実施の形態を説明するための全図において、同一の機能を有する部材には原則として同一の符号を付し、その繰り返しの説明は省略する。

＜ストレージ装置を含むシステムの全体構成＞
図１により、本発明の一実施の形態に係るストレージ装置を含むシステムの全体構成の一例を説明する。図１は本実施の形態に係るストレージ装置を含むシステムの全体構成を示す構成図である。

本実施の形態に係るストレージ装置を含むシステムでは、複数の通信ネットワークが互いに接続されて一つのネットワーク群が構成されている。複数の通信ネットワークには、ストレージ装置３が含まれた通信ネットワーク２と、その通信ネットワーク２と相対的に所定論理距離（以下、「ネットワーク相対論理距離」とも言う）を隔てて離れている通信ネットワーク４または６とが含まれている。具体的には、たとえば、複数の通信ネットワークには、ネットワーク相対論理距離がゼロまたは小程度の「小遠隔ネットワーク」２と、ネットワーク相対論理距離が中程度の「中遠隔ネットワーク」４と、ネットワーク相対論理距離が大程度の「大遠隔ネットワーク」６とが含まれている。

ここで、「ネットワーク相対論理距離がゼロまたは小程度」とは、たとえば、ストレージ装置３が存在する通信ネットワーク２それ自体であること、または、その通信ネットワーク２とそれの接続先ネットワークとの間に介在する物理的または論理的な介在デバイスの種類が後述の小遠隔ネット側スイッチ７と同種の中継器であること（あるいは、介在中継器の数が少ないこと（たとえば１個であること））を意味する。

また、「ネットワーク相対論理距離が中程度」とは、たとえば、小遠隔ネットワーク２とそれの接続先ネットワークとの間に所定種類の上記介在デバイス（たとえばゲートウェイ）があること（あるいは、介在中継器の数が中程度であること））を意味する。

また、「ネットワーク相対論理距離が大程度」とは、たとえば、小遠隔ネットワーク２とそれの接続先ネットワークとの間に上記所定種類の上記介在デバイス（たとえばゲートウェイ）に代えてまたは加えて、別の所定種類の上記介在デバイス（たとえばファイアウォール）があること（あるいは、介在中継器の数が多いこと））を意味する。

小遠隔ネットワーク２は、小遠隔ネット側スイッチ７等のネットワーク構築用機器（たとえばハブ）に１または複数のノード機器が接続されることによって構築されたものである。小遠隔ネット側スイッチ７には、たとえば、１または複数のホスト装置（以下、「小遠隔ネット接続ホスト」とも言う）５と、このホスト装置５または後述するホスト装置１５または３１からアクセスを受けるストレージ装置３とが接続される。

小遠隔ネット接続ホスト５は、パーソナルコンピュータ、ＰＤＡ（Ｐｅｒｓｏｎａｌ Ｄｉｇｉｔａｌ Ａｓｓｉｓｔａｎｔｓ）等のコンピュータマシンである。小遠隔ネット接続ホスト５は、ｉＳＣＳＩプロトコルに基づく通信を行うためのｉＳＣＳＩポート２１を備えている。このｉＳＣＳＩポート２１が小遠隔ネット側スイッチ７に接続されることにより、小遠隔ネット接続ホスト５がｉＳＣＳＩプロトコルに基づく通信を行うことが可能になる。ｉＳＣＳＩポート２１には、メモリ等の記憶媒体（以下、「ポートメモリ」とも言う）が備えられており、そのポートメモリに、小遠隔ネット接続ホスト５に割り当てられたＩＰアドレスと、固有のｉＳＣＳＩネームとが格納されている。

ストレージ装置３は、複数の物理ディスク群（たとえばハードディスク群）を含んだ記憶装置２３と、ホスト装置５，１５または３１からの記憶装置２３へのアクセスを制御する記憶制御部２５とを備える。記憶制御部２５は、ホスト装置５，１５または３１との間の通信を制御する複数のチャネルアダプタセット３７を備える。チャネルアダプタセット３７に含まれる各チャネルアダプタには、ｉＳＣＳＩポート３８が搭載されている。このｉＳＣＳＩ３８が小遠隔ネット側スイッチ７に接続されることにより、ストレージ装置３がｉＳＣＳＩプロトコルに基づく通信を行うことが可能になる。

中遠隔ネットワーク４は、中遠隔ネット側スイッチ９等のネットワーク構築用機器（たとえばハブ）に１または複数のノード機器が接続されることによって構築されたものである。中遠隔ネット側スイッチ９には、１または複数のホスト装置（以下、「中遠隔ネット接続ホスト」とも言う）１５が接続される。

中遠隔ネット接続ホスト１５は、小遠隔ネット接続ホスト５と同様に、パーソナルコンピュータ、ＰＤＡ等のコンピュータマシンである。中遠隔ネット接続ホスト１５も、ｉＳＣＳＩポート１３を備えており、このｉＳＣＳＩポート１３が中遠隔ネット側スイッチ９に接続されることにより、このホスト装置１５がｉＳＣＳＩプロトコルに基づく通信を行うことが可能になる。ｉＳＣＳＩポート１３には、ポートメモリが備えられており、そのポートメモリに、中遠隔ネット接続ホスト１５に割り当てられたＩＰアドレスと、固有のｉＳＣＳＩネームとが格納されている。

大遠隔ネットワーク６は、インターネット１に１または複数のノード機器が通信可能に接続されることによって構築されたものである。１または複数のノード機器は、たとえば、ホスト装置（以下、「大遠隔ネット接続ホスト」とも言う）３１である。

大遠隔ネット接続ホスト３１は、小遠隔ネット接続ホスト５と同様に、パーソナルコンピュータ、ＰＤＡ等のコンピュータマシンである。大遠隔ネット接続ホスト３１も、ｉＳＣＳＩポート３３を備えており、このｉＳＣＳＩポート３３がインターネットに接続されることにより、このホスト装置３１がｉＳＣＳＩプロトコルに基づく通信を行うことが可能になる。ｉＳＣＳＩポート３３には、ポートメモリが備えられており、そのポートメモリに、大遠隔ネット接続ホスト３３に割り当てられたＩＰアドレスと、固有のｉＳＣＳＩネームとが格納されている。

以上の小遠隔ネットワーク２の小遠隔ネット側スイッチ７と、中遠隔ネットワーク４の中遠隔ネット側スイッチ９とが、ゲートウェイ３０（たとえば、ｉＳＣＳＩプロコルに基づくコマンドとＦＣプロトコルに基づくコマンドとを互いに変換する等の所定プロトコル変換機）を介して接続されている。また、ゲートウェイ３０は、ファイアウォール２９を介してインターネット１に接続されている。これにより、小遠隔ネットワーク２が、中遠隔ネットワーク４および大遠隔ネットワーク６の双方と接続されている。この環境の下で、ストレージ装置３は、どのホスト装置５，１５または３１とも通信可能になっている。

＜ストレージ装置のハードウェア構成＞
図２により、本発明の一実施の形態に係るストレージ装置のハードウェア構成の一例を説明する。図２は本実施の形態に係るストレージ装置のハードウェア構成を示すブロック図である。

ストレージ装置３は、たとえばＲＡＩＤ（Ｒｅｄｕｎｄａｎｔ Ａｒｒａｙ ｏｆ Ｉｎｄｅｐｅｎｄａｎｔ Ｉｎｅｘｐｅｎｓｉｖｅ Ｄｉｓｋｓ）システムであり、記憶装置２３として、アレイ状に配設された複数のディスク型記憶装置を有する１以上の物理ディスク群３９を備える。それら物理ディスク群３９により提供される物理的な記憶領域上には、論理的な記憶領域である１または複数の論理デバイス（以下、「Ｌｏｇｉｃａｌ Ｄｅｖｉｃｅ」を略して「ＬＤＥＶ」と表記）３５が設定される。各ＬＤＥＶ３５には、そのＬＤＥＶの識別情報（以下、「ＬＤＥＶ＃」と表記）が割り当てられており、かつ、各ＬＤＥＶ＃には、ホスト装置５，１５または３１が指定可能な論理ユニット番号（以下、「Ｌｏｇｉｃａｌ Ｕｎｉｔ Ｎｕｍｂｅｒ」を略して「ＬＵＮ」と表記）が対応付けられている。

また、ストレージ装置３は、１または複数のチャネルアダプタセット３７と、キャッシュメモリ４３と、共有メモリ４７と、１または複数のディスクアダプタセット４１と、スイッチング制御部４５とを備えている。

各チャネルアダプタセット３７には、複数（典型的には２つ）のチャネルアダプタ３７Ａ，３７Ｂが含まれており、それらアダプタ３７Ａ，３７Ｂは、実質的に同一の構成になっている。これにより、たとえば、一方のチャネルアダプタ３７Ａを介してホスト装置５，１５または３１が所定ＬＤＥＶにアクセスできなくなった場合には、他方のチャネルアダプタ３７Ｂを介して同一の所定ＬＤＥＶにアクセスすることが行われる（これは、ディスクアダプタセット４１についても実質的に同様である）。チャネルアダプタ３７Ａ，３７Ｂも実質的に同一の構成なので、チャネルアダプタ３７Ａについて代表的に説明する。

チャネルアダプタ３７Ａは、１または複数（たとえば２つ）のｉＳＣＳＩポート３８，３８を備え、ｉＳＣＳＩポート３８を介して１または複数のホスト装置５，１５または３１と通信可能に接続される。チャネルアダプタ３７Ａは、ハードウェア回路、ソフトウェア、またはそれらの組み合わせで構成することができ、このストレージ装置３とホスト装置５，１５または３１との間のデータ通信を行う。ｉＳＣＳＩポート３８には、インターフェース１２０、バッファ１２１、ローカルメモリ１２３およびプロトコル処理部１２２が備えられる。インターフェース１２０は、小遠隔ネット側スイッチ７と物理的に接続されるケーブル口を有したものである。バッファ１２１は、ホスト装置５，１５または３１とストレージ装置３との間で送受信されるデータが一時的に格納されるメモリである。ローカルメモリ１２３は、たとえば不揮発性メモリであり、ＩＰアドレスと、ｉＳＣＳＩネームと、このｉＳＣＳＩポート３８がアクセス可能なアクセス可能ＬＵＮとを記憶する。プロトコル処理部１２２は、所定内部バス（たとえばＰＣＩバス）を介してチャネルプロセッサ４０，４０と通信可能に接続されており、バッファ１２１およびローカルメモリ１２３内の情報に基づいて、後述するＴＣＰ／ＩＰ、ｉＳＣＳＩおよびＳＣＳＩプロトコルに従うプロトコル処理を実行する。なお、ＴＣＰ／ＩＰ、ｉＳＣＳＩおよびＳＣＳＩプロトコルに従うプロトコル処理を実行する機能は、プロトコル処理部１２２に代えてチャネルプロセッサ４０が備えても良い。

また、チャネルアダプタ３７Ａには、各ｉＳＣＳＩポート３８に通信可能に接続される１以上のマイクロプロセッサ（以下、「チャネルプロセッサ」とも言う）４０も搭載される。さらに、チャネルアダプタ３７Ａには、共有メモリ４７と通信可能に接続されるマイクロプロセッサアダプタ（以下、「ＭＰＡ」と略記）４２と、キャッシュメモリ４３と通信可能に接続されるデータ転送アダプタ（以下、「ＤＴＡ」と略記）４４とが搭載される。チャネルプロセッサ４０が外部プロセッサ（具体的には、ディスクアダプタ４１Ａ，４１Ｂ上の図示しないマイクロプロセッサ）との間で制御情報（たとえばプロセッサ間メッセージ）を送受信する場合には、ＭＰＡ４２を介して制御情報が送受信される。また、ホスト装置５，１５または３１からＬＤＥＶ３５にライトデータが書き込まれる場合、および、ＬＤＥＶ３５から読み出されたリードデータがストレージ装置３からホスト装置５，１５または３１に出力される場合には、ライトデータおよびリードデータはＤＴＡ４４を通過する。

各チャネルプロセッサ４０は、たとえば、共有メモリ４７の制御情報格納領域５０をポーリングし、ＭＰＡ４２を介して制御情報を取得したり、キャッシュメモリ４３に格納されているリードデータを読み出してホスト装置５，１５または３１に送信したり、ホスト装置５，１５または３１から受信した書き込み対象のデータ（つまりライトデータ）をキャッシュメモリ４３に格納したりする。さらに、後述する認証方式決定や認証実行などの処理も実行する。

キャッシュメモリ４３は、揮発性または不揮発性のメモリである。キャッシュメモリ４３には、チャネルアダプタ３７Ａ，３７Ｂからディスクアダプタセット４１のディスクアダプタ４１Ａ，４１Ｂへ渡されるライトデータ、および、ディスクアダプタ４１Ａ，４１Ｂからチャネルアダプタ３７Ａ，３７Ｂへ渡されるリードデータが一時的に格納される。

共有メモリ４７は、不揮発性のメモリであり、たとえば、制御情報格納領域５０と、データテーブル群５１とを備える。制御情報格納領域５０には、上述した制御情報が格納される。データテーブル群５１には、後述する認証管理テーブルなどが格納される。

各ディスクアダプタセット４１は、各物理ディスク群３９毎に備えられている。ディスクアダプタ４１Ａ，４１Ｂは、図示しない１または複数のマイクロプロセッサを備えており、そのマイクロプロセッサの処理により、ホスト装置５，１５または３１から指定されたＬＵＮに対応のＬＤＥＶ＃を有するＬＤＥＶ３５に対してデータの読み出しまたは書き込みを行う。

スイッチング制御部４５は、たとえば、高速スイッチング動作によりデータ伝送を行う超高速クロスバスイッチ等のような高速バスとして構成することができる。スイッチング制御部４５は、各チャネルアダプタ３７Ａ，３７Ｂと、各ディスクアダプタ４１Ａ，４１Ｂと、共有メモリ４７と、キャッシュメモリ４３とを相互に通信可能に接続する。上述した各チャネルアダプタ３７Ａ，３７Ｂと、各ディスクアダプタ４１Ａ，４１Ｂと、共有メモリ４７と、キャッシュメモリ４３との間のデータまたはコマンドの授受は、スイッチング制御部４５を介して行われる。

以上が、本実施の形態に係るストレージ装置３の概要である。このストレージ装置３は、ホスト装置５，１５または３１から入出力要求を受け、その入出力要求の内容に基づく処理を実行する。

＜ストレージ装置の入出力（Ｉ／Ｏ）動作＞
以下、ストレージ装置３におけるＩ／Ｏ要求の処理流れの概要を、ホスト装置５がＩ／Ｏ要求を発行した場合を例に採り説明する。他のホスト装置１５または３１においても実質的に同様である。なお、その説明では、発行されたＩ／Ｏ要求がリード要求を示す場合とライト要求を示す場合とに分けて説明する。

（１）Ｉ／Ｏ要求がリード要求を示す場合
ホスト装置５から発行されたＩ／Ｏ要求は、ｉＳＣＳＩポート３８のバッファ１２１に格納される。チャネルプロセッサ４０は、その格納されたＩ／Ｏ要求を読み出し、そのＩ／Ｏ要求においてリード要求されているデータ（つまりリードデータ）がキャッシュメモリ４３に存在するか否かの判別を行う。

その判別の結果が肯定的な場合、すなわち、リードデータがキャッシュメモリ４３に存在する場合（キャッシュヒットした場合）、チャネルプロセッサ４０は、キャッシュメモリ４３からＤＴＡ４４を介してリードデータを取得し、そのリードデータを、ｉＳＣＳＩポート３８を介してホスト装置５に送信する。

一方、上記判別の結果が否定的な場合、すなわち、リードデータがキャッシュメモリ４３に存在しない場合（キャッシュミスした場合）、チャネルプロセッサ４０は、所定ＬＤＥＶ３５内のリードデータをいったんキャッシュメモリ４３にリードすることをディスクアダプタ４３Ａのマイクロプロセッサ（以下、「ディスクプロセッサ」とも言う）に指示するための制御情報をＭＰＡ４２を介して共有メモリ４７に格納する。ディスクプロセッサがその制御情報を読み出すことにより、ディスクプロセッサによって、所定ＬＤＥＶ３５からリードデータがリードされてキャッシュメモリ４３に格納される。その後、チャネルプロセッサ４０は、そのリードデータをキャッシュメモリ４３から取得してホスト装置５に送信する。

（２）Ｉ／Ｏ要求がライト要求を示す場合
ホスト装置５から出力された、ライトデータを含んだＩ／Ｏ要求は、ｉＳＣＳＩポート３８のバッファ１２１に格納される。チャネルプロセッサ４０は、その格納されたＩ／Ｏ要求を読み出し、キャッシュメモリ４３上の所定領域（以下、所定キャッシュスロット）にデータが存在するか否かの判別を行う。

その判別の結果が肯定的な場合、すなわち、データが所定のキャッシュスロットに存在する場合（キャッシュヒットした場合）、チャネルプロセッサ４０は、上記読み出したＩ／Ｏ要求に含まれているライトデータを、上記所定のキャッシュスロット内のデータに上書きする。

一方、上記判別の結果が否定的な場合、すなわち、データが所定のキャッシュスロットに存在しない場合（キャッシュミスした場合）、チャネルプロセッサ４０は、上記読み出したＩ／Ｏ要求から特定されるＬＤＥＶからデータをいったんキャッシュメモリ４３にリードすることをドライブ制御部１０７に指示する。それにより、ディスクアダプタ１０７によって、そのデータ記憶領域からデータがリードされて所定のキャッシュスロットに格納されたならば、チャネルプロセッサ４０は、上記所定のキャッシュスロットに格納されたデータに、上記読み出したＩ／Ｏ要求に含まれているライトデータを上書きする。

このようにして、キャッシュメモリ４３にライトデータが書き込まれたときは、当該ライト要求は終了したものとして、ストレージ装置３０からホスト装置５に終了報告が返される。なお、キャッシュメモリ４３にライトデータが書き込まれた時点では、一般に、そのデータは所定ＬＤＥＶ３５には反映されておらず、その後に、ディスクプロセッサによって、キャッシュメモリ４３からライトデータが読み出され、所定ＬＤＥＶに書き込まれる。

以上が、ストレージ装置３におけるデータのリードおよびライトの処理流れの概要である。このようなストレージ装置３におけるデータのリードおよびライトの処理は、ホスト装置５，１５または３１からのＩ／Ｏ要求が発行された場合に実行される。この際に、本実施の形態では、ホスト装置５，１５または３１からのアクセス情報をｉＳＣＳＩポートで受け、このｉＳＣＳＩポートに対する認証の要否を判定してＬＤＥＶ、ＬＵＮに対するアクセスを制御することが特徴となっており、以下において詳細に説明する。

＜ｉＳＣＳＩポートの認証方法＞
本実施の形態に係るストレージ装置３は、前述したハードウェア構成において、記憶制御部２５の複数のｉＳＣＳＩポートがホスト装置５，１５または３１からのアクセスを受け、共有メモリ４７が複数のｉＳＣＳＩポートのポート単位で、ｉＳＣＳＩポートに接続されるホスト装置毎の認証情報を記憶するように構成され、特に、記憶制御部２５は、ホスト装置からのアクセス情報をｉＳＣＳＩポートで受け、アクセス情報からホスト装置を識別し、共有メモリ４７に記憶している認証情報を参照して、ホスト装置からのｉＳＣＳＩポートに対する認証要否を判定し、判定の結果、認証要の場合は認証を行い、認証の結果に基づいて記憶装置２３に対するアクセス可否を制御する機能を備えて、ｉＳＣＳＩポート単位で、ホスト装置毎に認証の要否を決定できる。なお、ここで言うｉＳＣＳＩポートとは、前述したハードウェア構成におけるｉＳＣＳＩポート３８より狭い機能を指し、具体的にはストレージ装置３の記憶制御部２５がホスト装置と接続されるインターフェースのケーブル口を意味する。

すなわち、記憶制御部２５内のたとえばチャネルプロセッサ４０が、ｉＳＣＳＩポート単位で、ホスト装置を特定するｉＳＣＳＩネームと、あらかじめ登録されたそのホスト装置の認証情報（認証要否、ユーザＩＤ（以下、「ユーザネーム」、「ユーザ名」とも言う）／パスワード）とを関連付ける共有メモリ４７内の認証管理テーブルを参照し、認証の要否を判定し、必要に応じて認証を行い、認証の結果に基づき、必要に応じて、そのホスト装置がアクセス可能なＬＵＮを定義した共有メモリ４７内の論理ユニット管理テーブルを参照することで、ＬＵＮへのアクセス可否を制御する。これにより、同一ポートで、ホスト装置毎の認証有無を混在可能とし、同時にＬＵＮへのアクセスセキュリティを実現できるようにする。

＜認証管理テーブル＞
図３により、共有メモリ内の認証管理テーブルの構成の一例を説明する。図３は認証管理テーブルの構成を示す図である。なお、図３においては、ｉＳＣＳＩネームと認証情報との対応関係を明確にするために上下にテーブルを分割しているが、実際は１つのテーブルとなっている。

認証管理テーブル６１は、ｉＳＣＳＩポートのポート単位で、ホスト装置毎の認証情報を管理するテーブルである。この認証管理テーブル６１は、共有メモリ４７に格納されるデータテーブル群５１の一つであり、この他に、内部リソース管理テーブル、論理ユニット管理テーブルなどもデータテーブル群５１に設けられている。

この認証管理テーブル６１は、ｉＳＣＳＩ Ｎａｍｅをキーにする。認証の種別はＣＨＡＰ（詳細は後述）を実装する他、別の種別を実装することが可能である。ＣＨＡＰを実装する場合には認証情報として、ユーザＩＤとパスワードが必要となり、また別の種別を実装する場合には認証情報がその方式に必要な情報となる。いずれの認証種別を実装するかは、各ｉＳＣＳＩポートに接続されるホスト装置に対するセキュリティの程度で選択することが可能であり、たとえばセキュリティを高くしたい上位装置に対してはＣＨＡＰ認証などを選択し、それ以外の上位装置に対しては通常認証などを選択して登録する。

すなわち、認証管理テーブル６１には、ｉＳＣＳＩポートのポート番号（この例では３２個の場合でＭＰ＃０〜ＭＰ＃３１）と、この各ポート番号に割り当てられているホスト装置の識別番号（この例では１２８個の場合でＬｉｓｔ＃０〜Ｌｉｓｔ＃１２７）およびネットワークセキュリティ有効時に認証対象とするホスト装置のｉＳＣＳＩネーム（ｉＳＣＳＩ Ｎａｍｅ：２５６ｂｙｔｅ）が登録される。

また、各ポート番号（ＭＰ＃０〜ＭＰ＃３１）に関連付けられて、ネットワークセキュリティの有効／無効の設定情報（Ｎｅｔｗｏｒｋ Ｓｅｃｕｒｉｔｙ ＯＮ／ＯＦＦ）、ストレージ装置側であるターゲットのユーザネーム（Ｔｅｒｇｅｔ用 Ｕｓｅｒ Ｎａｍｅ）、ターゲットのシークレット値であるパスワード（Ｔｅｒｇｅｔ用 Ｓｅｃｒｅｔ）が登録され、さらに各ポート番号に割り当てられているホスト装置の識別番号（Ｌｉｓｔ＃０〜Ｌｉｓｔ＃１２７）に関連付けられて、認証方法の使用／未使用の指定情報（Ａｕｔｈ ＯＮ／ＯＦＦ）、この認証方法で選択される認証の種別情報（使用セキュリティ）、ホスト装置側であるイニシエータのユーザネーム（Ｉｎｉｔｉａｔｏｒ用 Ｕｓｅｒ Ｎａｍｅ）、イニシエータのシークレット値であるパスワード（Ｉｎｉｔｉａｔｏｒ用 Ｓｅｃｒｅｔ）が登録される。

さらに、この認証管理テーブル６１には、前述のような各ポートに割り当てられているホスト装置の情報とともに、ｉＳＣＳＩポート単位で、各ｉＳＣＳＩポートに接続されるホスト装置をグループ毎に分けるグルーピング情報（Ｇｒ）が登録される。

なお、この認証管理テーブル６１には、ホスト装置が接続される物理的なｉＳＣＳＩポートの他に、ストレージ装置３内のネットワークスイッチ機器などの仮想的な論理ポートを登録することも可能であり、この場合にも、ｉＳＣＳＩポートと同様に、論理ポートのポート単位で、ホスト装置毎の認証情報が登録される。

＜ＣＨＡＰ認証機能＞
図４および図５により、ＣＨＡＰ認証機能の一例を説明する。それぞれ、図４はＣＨＡＰ認証機能の概要を示す図、図５はＣＨＡＰ認証機能の使用時のシーケンスを示す図、である。

ＣＨＡＰ認証機能とは、ｉＳＣＳＩ ｌｏｇｉｎ上で、Ｃｈａｌｌｅｎｇｅ Ｈａｎｄｓｈａｋｅ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｐｒｏｔｏｃｏｌ（ＣＨＡＰ）を実現するための機能である。このＣＨＡＰ認証は、ｉＳＣＳＩプロトコルではｉＳＣＳＩのイニシエータ（ホスト装置）とターゲット（ストレージ装置３のｉＳＣＳＩポート）との間でのｉＳＣＳＩログイン処理の中で実施される。

このＣＨＡＰ認証の概要は、図４に示すように、ステップＳ１で、ターゲットは、イニシエータに対して、チャレンジコード（暗号鍵）を送信する。この例では、チャレンジコード：ＡＢＣＤＥＦである。そして、ステップＳ２で、イニシエータは、チャレンジコードとパスワードを暗号化アルゴリズム（この例ではＭＤ５：詳細は後述）にかけて、暗号化されたレスポンスコードを算出する。さらに、ステップＳ３で、この算出したレスポンスコードと、ユーザＩＤをターゲットに送信する。この例では、ＵｓｅｒＩＤ：ｈｏｓｔ１、レスポンスコード：ＲＫ＆＝＠％＊！である。

一方、ステップＳ４で、ターゲットは、ユーザＩＤから算出したパスワードとチャレンジコードを暗号化アルゴリズム（ＭＤ５）にかけて、レスポンスコードを算出する。この例では、レスポンスコード：ＲＫ＆＝＠％＊！である。そして、ステップＳ５で、イニシエータから送信されたレスポンスコードと、算出したレスポンスコードとを比較し、一致した場合は認証成功とし、不一致の場合は認証失敗となる。

そして、ステップＳ６で、ターゲットは、イニシエータに対して、認証結果を送信する。この例では、イニシエータから送信されたレスポンスコードと、算出したレスポンスコードとが一致して認証成功となったため、認証結果：Ｓｕｃｃｅｓとなる。

このＣＨＡＰ認証の使用時のシーケンスは、図５に示すように、イニシエータ（Ｉｎｉｔｉａｔｏｒ）とターゲット（Ｔａｒｇｅｔ）との間で、セキュリティネゴシエーション・ステージにおいて、ＣＨＡＰ認証シーケンスチェック機能により実行され、認証方式決定ステップと、認証実行ステップからなる。

（１）認証方式決定ステップで、イニシエータは、ターゲットに、Ｌｏｇｉｎ Ｃｏｍｍａｎｄ、ＡｕｔｈＭｅｔｈｏｄ＝ＣＨＡＰを送信し、これに対して、ターゲットは、イニシエータに、Ｌｏｇｉｎ Ｒｅｓｐｏｎｓｅ、ＡｕｔｈＭｅｔｈｏｄ＝ＣＨＡＰを送信して、認証方式をＣＨＡＰに決定する。これは、セキュリティ認証判定機能により実行される。

（２）認証実行ステップで、イニシエータは、ターゲットに、Ｌｏｇｉｎ Ｃｏｍｍａｎｄ、ＣＨＡＰ＿Ａ＝＜Ａ１，Ａ２＞を送信して、ＣＨＡＰ認証で使用するハッシュアルゴリズムを決定する。これは、パラメータチェック機能により実行される。これに対して、ターゲットは、イニシエータに、Ｌｏｇｉｎ Ｒｅｓｐｏｎｓｅ、ＣＨＡＰ＿Ａ＝＜Ａ１＞、ＣＨＡＰ＿１＝＜１＞、ＣＨＡＰ＿Ｃ＝＜Ｃ＞を応答して、乱数を送付する。これは、送信パラメータ設定機能により実行される。

（３）認証実行ステップで、イニシエータは、ターゲットに、Ｌｏｇｉｎ Ｃｏｍｍａｎｄ、ＣＨＡＰ＿Ｎ＝＜Ｎ＞、ＣＨＡＰ＿Ｒ＝＜Ｒ＞を送信して、受け取った乱数、ユーザネーム、パスワードからレスポンスを算出し、送付する。これに対して、ターゲットは、レスポンスを元に認証を行う。これは、暗号化機能により実行される。

（４）双方向認証使用時には、さらに以下のシーケンスが実行される。すなわち、双方向認証使用時のみ行われるシーケンスとして、認証実行ステップで、イニシエータは、ターゲットに、Ｌｏｇｉｎ Ｃｏｍｍａｎｄ、ＣＨＡＰ＿１＝＜１＞、ＣＨＡＰ＿Ｃ＝＜Ｃ＞を送信して、乱数を送付する。これは、送信パラメータ設定機能により実行される。

これに対して、ターゲットは、イニシエータに、Ｌｏｇｉｎ Ｒｅｓｐｏｎｓｅ、ＣＨＡＰ＿Ｎ＝＜Ｎ＞、ＣＨＡＰ＿Ｒ＝＜Ｒ＞を応答して、受け取った乱数、ユーザネーム、パスワードからレスポンスを算出する。これは、暗号化機能により実行される。さらに、ターゲットは、イニシエータに、算出した暗号を送付する。これは、送信パラメータ設定機能により実行される。そして、イニシエータは、レスポンスを元に認証を行う。

＜セキュリティ認証判定条件＞
図６により、セキュリティ認証判定機能によるセキュリティ認証判定条件の一例を説明する。図６はセキュリティ認証判定条件を示す図である。

セキュリティ認証判定条件には、項番１〜項番１６の例があり、各項番の条件は図６の通りであり、以下において代表的な例を説明する。このセキュリティ認証判定機能によるセキュリティ認証判定は、前述した認証管理テーブル６１に登録されたストレージ装置３のＲＡＩＤ設定情報を参照して行われる。

項番１は、ストレージ装置３のＲＡＩＤ設定において、Ｎｅｔｗｏｒｋ Ｓｅｃｕｒｉｔｙ ＯＮ／ＯＦＦがＯＮ、当該ホスト装置の登録有無が有、ＣＨＡＰ／ＮｏｎｅがＣＨＡＰの場合に、ホスト装置との間のＨＯＳＴ通知パラメータは、開始ＳｔａｇｅがＳｅｃｕｌｉｔｙ、ＡｕｔｈＭｅｔｈｏｄ有無が有、ＣＨＡＰ有無が有となる。この場合には、実施アクションがＣＨＡＰ認証の実施となる。

項番２は、ＲＡＩＤ設定において、Ｎｅｔｗｏｒｋ Ｓｅｃｕｒｉｔｙ ＯＮ／ＯＦＦがＯＮ、当該ホスト装置の登録有無が有、ＣＨＡＰ／ＮｏｎｅがＣＨＡＰの場合に、ＨＯＳＴ通知パラメータは、開始ＳｔａｇｅがＳｅｃｕｌｉｔｙ、ＡｕｔｈＭｅｔｈｏｄ有無が無、ＣＨＡＰ有無が無となる。この場合には、実施アクションがＡｕｔｈｅｎｔｉｃａｔｉｏｎ ｆａｉｌｕｒｅの応答となる。項番３，４，５も、実施アクションがＡｕｔｈｅｎｔｉｃａｔｉｏｎ ｆａｉｌｕｒｅ応答となる場合の条件である。

項番６は、ＲＡＩＤ設定において、Ｎｅｔｗｏｒｋ Ｓｅｃｕｒｉｔｙ ＯＮ／ＯＦＦがＯＮ、当該ホスト装置の登録有無が有、ＣＨＡＰ／ＮｏｎｅがＮｏｎｅの場合に、ＨＯＳＴ通知パラメータは、開始ＳｔａｇｅがＳｅｃｕｌｉｔｙ、ＡｕｔｈＭｅｔｈｏｄ有無が有、ＣＨＡＰ有無が無となる。この場合には、実施アクションが通常認証の実施となる。項番７，８も、実施アクションが通常認証実施となる場合の条件である。

項番９は、ＲＡＩＤ設定において、Ｎｅｔｗｏｒｋ Ｓｅｃｕｒｉｔｙ ＯＮ／ＯＦＦがＯＮ、当該ホスト装置の登録有無が無、ＣＨＡＰ／Ｎｏｎｅが不定（−）の場合に、ＨＯＳＴ通知パラメータは、開始ＳｔａｇｅがＳｅｃｕｌｉｔｙ、ＡｕｔｈＭｅｔｈｏｄ有無が有、ＣＨＡＰ有無が有となる。この場合には、実施アクションがＡｕｔｈｅｎｔｉｃａｔｉｏｎ ｆａｉｌｕｒｅの応答となる。項番１０，１１，１２も、実施アクションがＡｕｔｈｅｎｔｉｃａｔｉｏｎ ｆａｉｌｕｒｅ応答となる場合の条件である。

項番１３は、ＲＡＩＤ設定において、Ｎｅｔｗｏｒｋ Ｓｅｃｕｒｉｔｙ ＯＮ／ＯＦＦがＯＦＦ、当該ホスト装置の登録有無が不定（−）、ＣＨＡＰ／Ｎｏｎｅが不定（−）の場合に、ＨＯＳＴ通知パラメータは、開始ＳｔａｇｅがＳｅｃｕｌｉｔｙ、ＡｕｔｈＭｅｔｈｏｄ有無が有、ＣＨＡＰ有無が有となる。この場合には、実施アクションが通常認証の実施となる。項番１４，１５，１６も、実施アクションが通常認証実施となる場合の条件である。

また、ストレージ装置３のＲＡＩＤ設定（認証管理テーブル６１）において、ｉＳＣＳＩポートに接続されるホスト装置をグループ毎に分けるグルーピング情報（Ｇｒ）が登録されている場合には、このグルーピング情報を参照して、ホスト装置からのｉＳＣＳＩポートに対する認証要否がグループ毎に判定され、各グループ毎にホスト装置に対するＣＨＡＰ認証の実施、あるいは通常認証の実施が可能となっている。

＜暗号化機能＞
図７および図８により、暗号化機能による認証パラメータ算出シーケンスの一例を説明する。それぞれ、図７は認証パラメータ算出シーケンスを示す図、図８はＭＤ５アルゴリズムの処理手順を示す図、である。

暗号化機能は、ＭＤ５アルゴリズムを利用して、データを暗号化する機能である。この暗号化機能における認証パラメータ算出シーケンスは、図７に示すように、ステップＳ１１で、ターゲットは、イニシエータに対して、ＣＨＡＰ＿Ｃ（Ｃｈａｌｌｅｎｇｅ値）を送信する。そして、ステップＳ１２，Ｓ１３で、イニシエータは、ＣＨＡＰ＿Ｃ（Ｃｈａｌｌｅｎｇｅ値）とパスワードをＭＤ５アルゴリズムにかけて、ＣＨＡＰ＿Ｒ（Ｒｅｓｐｏｎｓｅ）を算出する。一方、ステップＳ１４，Ｓ１５で、ターゲットは、ＣＨＡＰ＿Ｃ（Ｃｈａｌｌｅｎｇｅ値）とパスワードをＭＤ５アルゴリズムにかけて、暗号化データを算出する。そして、ステップＳ１６で、算出された、ＣＨＡＰ＿Ｒ（Ｒｅｓｐｏｎｓｅ）と暗号化データとを比較する。この比較の結果、一致した場合は認証成功となり、不一致の場合は認証失敗となる。

このＭＤ５アルゴリズムとは、任意の長さのメッセージを受け取り、１２８ビットメッセージダイジェストを出力するアルゴリズムである。計算方法は、図８に示すように、大きく分けて５つのステップで構成されている。

ステップＳ２１では、メッセージのパディングとして、データの長さを、５１２の倍数のビット長に対して６４ビット少ない長さにする。ステップＳ２２では、メッセージにメッセージ長ビット付加として、データのビット長を６４ビットで表記し、付加して５１２の倍数のビット長にする。ステップＳ２３では、暗号化初期値設定として、４つの初期値（Ａ，Ｂ，Ｃ，Ｄ）をリトルエンディアンで設定する。ステップＳ２４では、暗号化として、１６ワードずつ暗号化して４つの値（Ａ，Ｂ，Ｃ，Ｄ）を求める。ステップＳ２５では、暗号結果出力として、暗号化した４つの値からメッセージダイジェストを求める。

＜セキュリティ認証判定処理＞
図９により、セキュリティ認証判定機能によるセキュリティ認証判定処理の一例を説明する。図９はセキュリティ認証判定処理の手順を示す図である。

セキュリティ認証判定処理では、セキュリティ認証の実施有無の判定を行う。このセキュリティ認証判定処理は、図９に示すように、ステップＳ３１で、Ｎｅｔｗｏｒｋ ＳｅｃｕｒｉｔｙがＯＮか否かを判定し、ＯＮの場合（Ｙ）は次のステップＳ３２に移行する。このステップＳ３２では、Ｎｅｔｗｏｒｋ Ｓｅｃｕｒｉｔｙ Ｌｉｓｔの登録が有るか否かを判定し、登録がある場合（Ｙ）は次のステップＳ３３に移行する。

ステップＳ３３で、ＣＨＡＰが有効か否かを判定し、有効である場合（Ｙ）は次のステップＳ３４に移行する。このステップＳ３４では、ＳｔａｇｅがＳｅｃｕｌｉｔｙ Ｓｔａｇｅであるか否かを判定し、Ｓｅｃｕｌｉｔｙ Ｓｔａｇｅである場合（Ｙ）は次のステップＳ３５に移行する。

ステップＳ３５で、ＡｕｔｈＭｅｔｈｏｄが有るか否かを判定し、ＡｕｔｈＭｅｔｈｏｄがある場合（Ｙ）は次のステップＳ３６に移行する。このステップＳ３６では、ＣＨＡＰが有るか否かを判定し、ＣＨＡＰがある場合（Ｙ）は次のステップＳ３７に進んでＣＨＡＰ認証中設定（Ｓｅｓｓｉｏｎ管理テーブル）を行い、その後、ステップＳ３８で、リターンコード正常設定を実行する。

また、ステップＳ３１でＮｅｔｗｏｒｋ ＳｅｃｕｒｉｔｙがＯＮでない場合（Ｎ）、ステップＳ３３でＣＨＡＰが有効でない場合（Ｎ）はそれぞれ、ステップＳ３９に進んでリターンコード正常設定を実行する。

また、ステップＳ３２でＮｅｔｗｏｒｋ Ｓｅｃｕｒｉｔｙ Ｌｉｓｔの登録がない場合（Ｎ）は、ステップＳ４０に進んでエラーレスポンス送信設定（０２０２：Ａｕｔｈｅｎｔｉｃａｔｉｏｎ ｆａｉｌｕｒｅ）を行い、その後、ステップＳ４１でリターンコード異常設定を実行する。

また、ステップＳ３４でＳｔａｇｅがＳｅｃｕｌｉｔｙ Ｓｔａｇｅでない場合（Ｎ）、ステップＳ３５でＡｕｔｈＭｅｔｈｏｄがない場合（Ｎ）、ステップＳ３６でＣＨＡＰがない場合（Ｎ）はそれぞれ、ステップＳ４２に進んでエラーレスポンス送信設定（０２０１：Ａｕｔｈｅｎｔｉｃａｔｉｏｎ ｆａｉｌｕｒｅ）を行い、その後、ステップＳ４３でリターンコード異常設定を実行する。

＜ユーザ認証情報表示／設定画面＞
図１０〜図１２により、ユーザ認証情報表示／設定画面の一例を説明する。それぞれ、図１０はユーザ認証情報の表示画面を示す図、図１１はユーザ認証情報の登録画面を示す図、図１２はユーザ認証情報の変更画面を示す図、である。

ユーザ認証におけるＣＨＡＰ認証では、ホスト装置（イニシエータ）に対応したユーザ名とパスワードを含むユーザ情報を予めストレージ装置（ターゲット）側に登録しておく必要がある。この設定を、管理者またはユーザがログイン前に、前述した図２に示した共有メモリ４７に接続されるサービスプロセッサ（ＳＶＰ）４８などの管理端末の画面（ＧＵＩ）から行う。あるいは、管理クライアントが、管理インタフェースを介して情報端末（Ｗｅｂコンソール、ＲＭＩ、ＳＮＭＰなど）から行うことも可能である。さらに、このユーザ情報は、ホスト装置にも設定する。このユーザ情報の設定は、ポート単位にネットワークセキュリティ（図３のＮｅｔｗｏｒｋ Ｓｅｃｕｒｉｔｙ ＯＮ／ＯＦＦ）のスイッチを設け、ネットワークセキュリティがＯＮの時に設定可能とする。

たとえば一例として、ユーザ名／パスワード／ｉＳＣＳＩネームの設定においては、設定単位として、ユーザ名／パスワード／ｉＳＣＳＩネームを１組とし、ポート単位で設定、参照を可能とする。設定可能数は、１ポート当たり１２８組まで設定可能である。重複設定は、ｉＳＣＳＩネームが異なっていれば、ユーザ名／パスワードの重複設定は可能であるが、同一ポート内でのｉＳＣＳＩネームの重複設定は不可とする。設定時の暗号化は、ユーザ情報を設定する際はクライアント側にて暗号化して送信し、管理端末側にて復号化し、この復号化した情報を共有メモリ４７の認証管理テーブル６１に設定する。

また、ネットワークセキュリティのスイッチとＣＨＡＰ認証設定の関係については、ネットワークセキュリティのスイッチがＯＮの場合、認証種別がＣＨＡＰのときはＣＨＡＰ認証を行い、ＤｉｓａｂｌｅのときはＣＨＡＰ認証を行わない。この場合は、ユーザ情報が登録されていないホスト装置からの接続を拒絶する。ネットワークセキュリティのスイッチがＯＦＦの場合、認証種別がＣＨＡＰのとき、Ｄｉｓａｂｌｅのときは共にセキュリティチェックを行わない。この場合は、ユーザ情報が登録されていないホスト装置からの接続を許可する。

ユーザ認証情報の表示画面７１は、図１０に示すように、ストレージ管理ユーティリティの中にユーザ認証（Ｕｓｅｒ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ）画面７２を設ける。この画面７２において、ポート領域（Ｐｏｒｔ）７３にポートをツリー表示させる。この画面例では、ｉＳＣＳＩ→ＣＬ１−ＥがＯＮで、ＣＬ１−ＦがＯＦＦに設定されており、またｉＳＣＳＩの他に、Ｆｉｂｒｅ、ＮＡＳなどのポートについても同様にＵｓｅｒ Ａｕｔｈｅｎｔｉｃａｔｉｏｎの情報が表示設定可能となっている。

さらに、ポートツリーでポートを選択すると、当該ポートに登録されているユーザ情報を右側のユーザインフォメーション領域（Ｕｓｅｒ Ｉｎｆｏｒｍａｔｉｏｎ）７４に表示する。この画面例では、ｉＳＣＳＩ→ＣＬ１−Ｅ（ＯＮ）をクリックすると、Ｕｓｅｒ Ｉｎｆｏｒｍａｔｉｏｎとして、ｉＳＣＳＩ Ｎａｍｅ、Ｐｒｏｔｏｃｏｌ（認証種別）、Ｕｓｅｒ（ユーザ名）、Ａｕｔｈｅｎｔｉｃａｔｉｏｎ（認証要否）を始め、図示しない他の情報を含めたユーザ認証情報が表示される。また、ストレージ装置３であるサブシステム側領域（Ｓｕｂｓｙｓｔｅｍ Ｓｉｄｅ）７５に、ｉＳＣＳＩ Ｎａｍｅ、Ｕｓｅｒ、Ｐｒｏｔｏｃｏｌ、Ａｕｔｈｅｎｔｉｃａｔｉｏｎを始めとしたユーザ認証情報が表示される。なお、このユーザ認証情報の表示は、ポート単位ではなく、特定のホスト装置単位にポート毎の設定情報を表示させても良い。

また、ユーザ認証情報の新規登録はポートアイコンを選択してコンテキストメニューにて行う。新規登録の操作を行うと、図１１に示すようなダイアログレイアウト（Ａｄｄ Ｎｅｗ Ｕｓｅｒ Ｉｎｆｏｒｍａｔｉｏｎ）の登録画面８１が表示され、新規登録が可能になる。この画面例では、ｉＳＣＳＩ Ｎａｍｅ、Ｐｒｏｔｏｃｏｌ、Ｕｓｅｒ、Ｓｅｃｒｅｔ（パスワード）、Ｒｅ−ｅｎｔｅｒ Ｓｅｃｒｅｔ（パスワード）を全て入力し、ＯＫをクリックすることで新規登録が可能になる。なお、Ｓｅｃｒｅｔ、Ｒｅ−ｅｎｔｅｒ Ｓｅｃｒｅｔの入力時は、＊に変換して表示する。

また、ユーザ認証情報の変更（追加／削除を含む）は、図１２に示すようなダイアログレイアウト（Ｃｈａｎｇｅ Ｕｓｅｒ Ｉｎｆｏｒｍａｔｉｏｎ）の変更画面８２で行われ、この画面例において、ｉＳＣＳＩ Ｎａｍｅ、Ｐｒｏｔｏｃｏｌ、Ｕｓｅｒ、Ｓｅｃｒｅｔ、Ｒｅ−ｅｎｔｅｒ Ｓｅｃｒｅｔを入力し、ＯＫをクリックすることで変更が可能になる。

＜ホスト装置の情報表示画面＞
図１３により、ホスト装置の情報表示画面の一例を説明する。図１３はホスト装置の情報表示画面を示す図である。

ホスト装置の画面には、図１３に示すようなユーザ認証に関する情報が表示可能である。この情報表示画面９１の例では、ホスト装置が接続可能なストレージ装置３のｉＳＣＳＩポート（Ｐｏｒｔ）、このｉＳＣＳＩポートに割り付けられたｉＳＣＳＩネーム（Ｐｏｒｔ ｉＳＣＳＩ Ｎａｍｅ）、このｉＳＣＳＩポートの認証状況、この認証に使うユーザＩＤ・パスワード、このｉＳＣＳＩポートからアクセス可能な論理ユニット番号（ＬＵＮ）などの情報が表示される。ここで言うユーザＩＤ・パスワードとは、ユーザＩＤ・パスワード＝○○○○○、チャレンジコード＝ＡＢＣＤＥＦとした場合に、○○○○○ＡＢＣＤＥＦが暗号化されると、レスポンスコードとして算出される場合の○○○○○の文字列である。

このホスト装置の画面例では、このホスト装置はストレージ装置３のｉＳＣＳＩポートのＰｏｒｔ１、Ｐｏｒｔ２、Ｐｏｒｔ３に接続可能である。たとえば、ｉＳＣＳＩポートのＰｏｒｔ１については、ｉＳＣＳＩネームとして１が割り当てられ、認証状況としてＣＨＡＰ認証が設定され、このホスト装置はＰｏｒｔ１を通じてＬＵＮ０，１，２にアクセスが可能となっている。

＜論理ユニットに対するセキュリティ機能＞
本実施の形態では、前述したように、ｉＳＣＳＩポート単位で、ホスト装置毎に認証の要否を判定して認証を行うことが可能であると共に、認証の結果に基づき、論理デバイス（ＬＤＥＶ）、論理ユニット（ＬＵＮ）へのアクセス可否を制御することが可能となっている。このＬＤＥＶ、ＬＵＮへのアクセス可否を制御するセキュリティ技術については、日本出願番号：特願２００３−３９６６２５（出願日：２００３年１１月２７日）、対応米国出願番号：１０／７６８１４７（出願日：２００４年２月２日）に詳細に説明しているので、この技術を援用する。

この技術には、共有メモリに格納されるデータテーブル群として、論理ユニット管理テーブルを含むことが記載されており、この論理ユニット管理テーブルには、各ホスト装置からそれぞれ指定可能なＬＵＮや、各ＬＵＮにそれぞれ対応したＬＤＥＶ＃が登録されている。そこで、本実施の形態においても、この論理ユニット管理テーブルを参照することで、ＬＵＮへのアクセス可否を制御し、ＬＵＮに対するアクセスをホスト装置に対して許可したり、不許可とすることができる。

また、この技術には、ｉＳＣＳＩに関する通信におけるプロトコル構成、その通信において送受信されるコマンドの構成が記載されており、ホスト装置には、下位層から上位層にかけて順に、物理層およびデータリンク層、ＩＰプロトコル層、ＴＣＰプロトコル層、ｉＳＣＳＩプロトコル層、ＳＣＳＩプロトコル層およびＳＣＳＩアプリケーション層が備えられている。一方、ストレージ装置には、下位層から上位層にかけて順に、物理層およびデータリンク層、ＩＰプロトコル層、ＴＣＰプロトコル層、ｉＳＣＳＩプロトコル層、ＳＣＳＩプロトコル層およびデバイスサーバ層が備えられている。

このプロトコル構成の下では、データリンク層および物理層同士、ＩＰプロトコル層同士、ＴＣＰプロトコル層同士、ｉＳＣＳＩプロトコル層同士、ＳＣＳＩプロトコル層同士、およびＳＣＳＩアプリケーション層とデバイスサーバ層同士が順にセッションすることにより、ホスト装置から出力されたＩ／Ｏ要求をストレージ装置が受信し、そのストレージ装置がそのＩ／Ｏ要求に基づく処理を実行することが行われる。

たとえば、ｉＳＣＳＩプロトコル層同士のセッションでは、ログイン要求とそれに対するログイン応答がやり取りされるログインフェーズによってｉＳＣＳＩの接続が確立される。また、ＳＣＳＩプロトコル層同士のセッションでは、リード要求またはライト要求を含んだＳＣＳＩコマンドがホストからストレージ装置へ送信される。ＳＣＳＩアプリケーション層とデバイスサーバ層同士のセッションでは、ライトデータがホストからストレージ装置に送信される、または、リードデータがストレージ装置からホストへ送信される。

本実施の形態においても、この技術を援用して、ストレージ装置は、上述したログインフェーズで受ける情報に基づいて、ログイン要求元のホスト装置からのアクセスを制御する。このアクセスには、前記特許文献１のようなファイバチャネルの規格でログインの際に割り当てる管理番号（Ｓ＿ＩＤ）ではなく、ホスト装置とのコネクション毎に割り当てるエントリのＩＤ（ＨＰテーブルＩＤ）を用い、このＨＰテーブルＩＤとホストｉＳＣＳＩネームとの変換は、たとえば図１４に示すようなホストネーム変換テーブル６５を用いて行われる。

よって、本実施の形態では、ＬＵＮセキュリティにおいて、ストレージ装置３の共有メモリ４７に、ｉＳＣＳＩネームに関連付けされ、ホスト装置がアクセス可能なＬＵＮを定義した論理ユニット管理テーブルを設け、認証の結果に基づき、論理ユニット管理テーブルを参照することで、ＬＵＮへのアクセス可否を制御することができる。これにより、ｉＳＣＳＩポート単位によるホスト装置毎の認証機能とは独立して、ｉＳＣＳＩポート単位でＬＵＮに対するセキュリティ機能も実現することができる。

＜本実施の形態の効果＞
以上、上述した本実施の形態に係るストレージ装置３を含むシステムによれば、以下のような効果を得ることができる。

（１）ホスト装置を特定するｉＳＣＳＩネームと、あらかじめ登録されたそのホスト装置の認証情報とを関連付ける認証管理テーブル６１を参照し、認証の要否を判定して認証を行うことができるので、ｉＳＣＳＩポート単位で、ホスト装置毎に認証の要否を決定することができる。

（２）ｉＳＣＳＩポート単位で、ホスト装置毎に認証の要否が決定できるので、同一のｉＳＣＳＩポートの配下で接続されるホスト装置の認証有無を混在することができる。この認証の種別には、各ｉＳＣＳＩポートに接続されるホスト装置に対するセキュリティの程度に応じて、ＣＨＡＰ認証を実装する他、別の種別を実装することができる。

（３）認証の結果に基づき、そのホスト装置との接続情報を管理する内部リソースの番号を関連付ける内部リソース管理テーブルを参照し、ホスト装置がアクセス可能な論理ユニットを定義した論理ユニット管理テーブルを参照することで、論理ユニットへのアクセス可否を制御することができる。

（４）ｉＳＣＳＩポートの論理ユニットセキュリティは、ｉＳＣＳＩネームとその内部リソースを管理する内部リソース管理テーブル、論理ユニット管理テーブルを関連付けることで、認証機能は、ホスト装置に対する論理ユニットアクセスのセキュリティ機能とは独立して同時に実現することができる。

（５）認証管理テーブル６１を用意し、ポート単位で、ホスト装置毎の認証情報を登録することができる。この認証情報の登録は、ユーザがストレージ装置３のＳＶＰ４８などの管理端末の画面、あるいは管理インタフェースから行うことができる。

（６）ポート単位で認証の有無を指定し、ポート毎にホスト装置単位で、認証の有無と認証情報を設定することができる。この際に、ホスト装置とストレージ装置３との双方に同じ認証情報を設定することができる。

（７）認証情報の画面への表示は、ポート毎に表示させたり、あるいはポート単位ではなく、特定のホスト装置単位にポート毎の設定情報を表示させることができる。

（８）ホスト装置のグループ化は、認証とは独立して同時に、ｉＳＣＳＩネームによる論理ユニットのセキュリティで実現することができる。

（９）ホスト装置の情報はｉＳＣＳＩポートなどの物理的ポートによらず、ネットワークスイッチ機器などの仮想的な論理ポートに対しても設定することができる。

以上、本発明者によってなされた発明を実施の形態に基づき具体的に説明したが、本発明は前記実施の形態に限定されるものではなく、その要旨を逸脱しない範囲で種々変更可能であることはいうまでもない。

本発明の一実施の形態に係るストレージ装置を含むシステムの全体構成を示す構成図である。 本発明の一実施の形態に係るストレージ装置のハードウェア構成を示すブロック図である。 本発明の一実施の形態に係るストレージ装置において、認証管理テーブルの構成を示す図である。 本発明の一実施の形態に係るストレージ装置において、ＣＨＡＰ認証機能の概要を示す図である。 本発明の一実施の形態に係るストレージ装置において、ＣＨＡＰ認証機能の使用時のシーケンスを示す図である。 本発明の一実施の形態に係るストレージ装置において、セキュリティ認証判定条件を示す図である。 本発明の一実施の形態に係るストレージ装置において、認証パラメータ算出シーケンスを示す図である。 本発明の一実施の形態に係るストレージ装置において、ＭＤ５アルゴリズムの処理手順を示す図である。 本発明の一実施の形態に係るストレージ装置において、セキュリティ認証判定処理の手順を示す図である。 本発明の一実施の形態に係るストレージ装置において、ユーザ認証情報の表示画面を示す図である。 本発明の一実施の形態に係るストレージ装置において、ユーザ認証情報の登録画面を示す図である。 本発明の一実施の形態に係るストレージ装置において、ユーザ認証情報の変更画面を示す図である。 本発明の一実施の形態に係るストレージ装置において、ホスト装置の情報表示画面を示す図である。 本発明の一実施の形態に係るストレージ装置において、ホストネーム変換テーブルを示す図である。

符号の説明

１…インターネット、２…小遠隔ネットワーク、３…ストレージ装置、４…中遠隔ネットワーク、５…ホスト装置（小遠隔ネット接続ホスト）、６…大遠隔ネットワーク、７…小遠隔ネット側スイッチ、９…中遠隔ネット側スイッチ、１３，２１，３３，３８…ｉＳＣＳＩポート、１５…ホスト装置（中遠隔ネット接続ホスト）、２３…記憶装置、２５…記憶制御部、２９…ファイアウォール、３０…ゲートウェイ、３１…ホスト装置（大遠隔ネット接続ホスト）、３５…論理デバイス（ＬＤＥＶ）、３７…チャネルアダプタセット、３７Ａ，３７Ｂ…チャネルアダプタ、３９…物理ディスク群、４０…チャネルプロセッサ、４１…ディスクアダプタセット、４１Ａ，４１Ｂ…ディスクアダプタ、４２…マイクロプロセッサアダプタ（ＭＰＡ）、４３…キャッシュメモリ、４４…データ転送アダプタ（ＤＴＡ）、４５…スイッチング制御部、４７…共有メモリ、４８…サービスプロセッサ（ＳＶＰ）、５０…制御情報格納領域、５１…データテーブル群、６１…認証管理テーブル、６５…ホストネーム変換テーブル、７１…表示画面、７２…ユーザ認証タブ、７３…ポート領域、７４…ユーザインフォメーション領域、７５…サブシステム側領域、８１…登録画面、８２…変更画面、９１…情報表示画面。

Claims (10)

1. 複数のホスト装置に接続可能なストレージ装置であって、
   前記ホスト装置から受信するライトデータおよび／または前記ホスト装置に送信されるリードデータを記憶する記憶装置と、
   前記ホスト装置からのアクセスを受ける複数のｉＳＣＳＩポートと、前記複数のｉＳＣＳＩポートのポート単位で、前記ｉＳＣＳＩポートに接続されるホスト装置毎に、各ホスト装置に割り当てられたＩＰアドレスと各ホスト装置を特定するｉＳＣＳＩネームと各ホスト装置がアクセス可能な論理ユニットとに対応する認証情報を記憶する共有メモリとを備え、前記ホスト装置からの前記記憶装置へのアクセスを制御する記憶制御部とを有し、
   前記記憶制御部は、前記ホスト装置からのアクセス情報を前記ｉＳＣＳＩポートで受け、前記アクセス情報から前記ホスト装置を識別し、前記共有メモリに記憶している認証情報を参照して、前記ホスト装置からの前記ｉＳＣＳＩポートに対する認証要否を判定し、前記判定の結果、認証要の場合は認証を行い、前記認証の結果に基づいて前記記憶装置に対するアクセス可否を制御し、前記ＩＰアドレスおよび前記ｉＳＣＳＩネームに対応する前記ホスト装置からの前記アクセス可能な論理ユニットに対するアクセスを許可する機能を備えることを特徴とするストレージ装置。
2. 請求項１記載のストレージ装置において、
   前記共有メモリは、前記複数のｉＳＣＳＩポートのポート単位で、前記ホスト装置を特定するｉＳＣＳＩネームと、前記ホスト装置の認証の使用／未使用およびユーザＩＤ／パスワードを含む認証情報とを関連付ける認証管理テーブルを有し、
   前記記憶制御部は、前記認証管理テーブルを参照して、前記ホスト装置からの前記ｉＳＣＳＩポートに対する認証の使用／未使用を判定することを特徴とするストレージ装置。
3. 請求項２記載のストレージ装置において、
   前記共有メモリは、前記ホスト装置がアクセス可能な論理ユニットを定義した論理ユニット管理テーブルを有し、
   前記記憶制御部は、前記認証の結果に基づいて、前記論理ユニット管理テーブルを参照して、前記論理ユニットに対するアクセスを前記ホスト装置に対して許可することを特徴とするストレージ装置。
4. 請求項２記載のストレージ装置において、
   前記認証管理テーブルは、前記記憶制御部のｉＳＣＳＩポートに接続されるホスト装置をグループ毎に分けるグルーピング情報を含み、
   前記記憶制御部は、前記グルーピング情報を含む認証管理テーブルを参照して、前記ホスト装置からの前記ｉＳＣＳＩポートに対する認証の使用／未使用をグループ毎に判定することを特徴とするストレージ装置。
5. 請求項１記載のストレージ装置において、
   前記認証は、ＣＨＡＰ認証であることを特徴とするストレージ装置。
6. 請求項１記載のストレージ装置において、
   管理情報を登録するための管理端末をさらに有し、
   前記管理端末は、前記記憶制御部の複数のｉＳＣＳＩポートのポート単位で、前記ｉＳＣＳＩポートに接続されるホスト装置毎の認証情報を前記共有メモリに登録することを特徴とするストレージ装置。
7. 請求項６記載のストレージ装置において、
   前記管理端末は、前記複数のｉＳＣＳＩポートのポート単位で、前記ホスト装置を特定するｉＳＣＳＩネームと、前記ホスト装置の認証の使用／未使用およびユーザＩＤ／パスワードを含む認証情報とを関連付けて、前記共有メモリの認証管理テーブルに登録することを特徴とするストレージ装置。
8. 請求項７記載のストレージ装置において、
   前記管理端末は、前記ホスト装置がアクセス可能な論理ユニットを定義して前記共有メモリの論理ユニット管理テーブルに登録することを特徴とするストレージ装置。
9. 請求項８記載のストレージ装置において、
   前記管理端末は、前記認証管理テーブル、前記論理ユニット管理テーブルに登録した情報を表示可能であることを特徴とするストレージ装置。
10. 請求項９記載のストレージ装置において、
    前記管理端末は、前記認証管理テーブル、前記論理ユニット管理テーブルに対して情報の追加／変更／削除が可能であることを特徴とするストレージ装置。
    

Images