JP2013207784A - 通信インターフェース装置、該プログラム、及び仮想ネットワーク構築方法 - Google Patents

Abstract

【課題】サーバ管理領域において、ユーザ毎のネットワークの独立性を担保する技術を提供する。
【解決手段】第１の情報処理装置に設けられる通信インターフェース装置は、第２の情報処理装置から、仮想ネットワークを識別する仮想ネットワーク識別情報のうち、情報処理装置が属する仮想ネットワークに対応する仮想ネットワーク識別情報を含む設定情報を取得する設定情報取得部と、取得した前記設定情報に基づいて、仮想ネットワーク識別情報を設定する設定部と、通信ネットワークからデータを受信する受信部と、設定された仮想ネットワーク識別情報を基づいて、受信したデータのフィルタリング処理を行うフィルタリング部と、フィルタリング処理が行われたデータを第１の情報処理装置へ転送する転送部を備えることにより、上記課題の解決を図る。
【選択図】図１６

Description

本発明は、通信インターフェース装置に関する。

ICT（Information and Communication Technology）システム構築の新しい利用形態として、ハードウェア、ソフトウェア、データなどをデータセンタなどで一括管理するクラウドコンピューティングが注目を集めている。クラウドコンピューティングのサービス形態として、IaaS（Infrastructure as a Service）がある。IaaSは、ネットワーク、ハードウェア（CPU・メモリー・ハードディスク）、OS等を提供するサービスである。特に、データセンタに設置されたサーバ、ネットワーク等の物理的なリソースをユーザに提供するサービスを物理IaaSという。また、ネットワーク上にあるコンピューティング資源を用いて構築した仮想環境上のリソースをユーザに提供するサービスを仮想IaaSという。

IaaSでは、物理的なネットワーク上に複数のサブネットを構築する技術の１つとして、VLAN（Virtual Local Area Network）を用いている。VLANとは、物理的なLAN構成とは独立に、ネットワークに接続した端末を仮想的（論理的）にグループ化したLAN（Local Area Network）のことで、１つのVLANが１つのブロードキャストドメインになる。VLANは、IEEE802.1Q（IEEE Standards for Local and Metropolitan Area Networks：Virtual Bridged Local Area Networks）により標準化されている。

このようなVLANを用いた技術として、例えば、仮想ネットワークインターフェイスカード（NIC）にVLAN IDを設定するか否で、仮想NICのVLAN通信方法を切り替える技術がある。これによれば、この技術では、計算機では、計算機のハードウェア上で仮想NICを利用可能な複数の仮想計算機を構築するための制御プログラムが動作している。各仮想ＮＩＣの構成情報はコンソールより入力され、制御プログラム上の仮想NIC構成管理表を用いて管理される。

特開２００７−１５８８７０号公報

物理IaaSを提供する場合、ユーザ毎のネットワークの独立性を担保することが求められる。仮想IaaSであれば、複数の仮想計算機を実行させるハイパーバイザレイヤにおいてトンネル機能を実装することで、仮想計算機同士を仮想的なネットワークで接続することができる。そのため、ネットワークを制御することなく、ネットワークの独立性を実現可能である。

しかしながら、物理IaaSでは、ネットワークインターフェースカード（NIC）を搭載した情報処理装置（ホスト）がそのNICを操作することができる。そのため、ユーザ毎のネットワークの独立性を担保するためには、L2スイッチ装置またはL3スイッチ装置等のネットワーク装置側でVLANを動的に設定する等の制御が必要になる。そのため、サーバ管理者はサーバの設定を行い、ネットワーク管理者は、ネットワーク装置の設定を行うというように、担当する作業範囲が分かれている場合に、サーバ管理者はネットワーク装置の設定を行うことができない。したがって、ネットワーク管理者とサーバ管理者とが異なる場合は、管理系統の独立性に対して問題を引き起こす可能性がある。

そこで、１つの側面では、本発明は、サーバ管理領域において、ユーザ毎のネットワークの独立性を担保する技術を提供する。

第１の情報処理装置に設けられる通信インターフェース装置は、設定情報取得部、設定部、受信部、フィルタリング部、転送部を含む。設定情報取得部は、第１の情報処理装置とは異なる第２の情報処理装置から、仮想ネットワークを識別する仮想ネットワーク識別情報のうち、第１の情報処理装置が属する仮想ネットワークに対応する仮想ネットワーク識別情報を含む設定情報を取得する。設定部は、取得した設定情報に基づいて、仮想ネットワーク識別情報を設定する。受信部は、通信ネットワークからデータを受信する。フィルタリング部は、設定された仮想ネットワーク識別情報を基づいて、受信したデータのフィルタリング処理を行う。転送部は、フィルタリング処理が行われたデータを第１の情報処理装置へ転送する。

本実施形態の通信インターフェース装置によれば、サーバ管理領域において、ユーザ毎のネットワークの独立性を担保することができる。

本実施形態における通信接続装置の一例を示す。 本実施形態における物理IaaS及び仮想IaaSの場合の物理的なネットワークの構成の一例を示す。 本実施形態（物理IaaSの場合）における物理サーバの一例を示す。 本実施形態における受信処理部の一例を示す。 本実施形態における送信処理部の一例を示す。 本実施形態（物理IaaSの場合）における管理サーバの一例を示す。 VLANタグ挿入前後のフレームの構成例を示す。 本実施形態（物理IaaS）における物理リソース割当テーブルの一例を示す。 本実施形態（物理IaaS）におけるネットワーク割当テーブルの一例を示す。 本実施形態における管理ボード情報テーブルの一例を示す。 本実施形態におけるNIC設定情報の一例を示す。 本実施形態におけるNICの有するアクセス制御テーブルの一例を示す。 本実施形態（物理IaaSの場合）のテナント毎の物理リソースの割り当ての一実施例を示す。 本実施形態（物理IaaSの場合）における管理サーバによる物理サーバへのリソースの割当処理のフローの一例を示す。 本実施形態（物理IaaSの場合）における管理サーバによる物理サーバのリソースの割当の解除処理のフローの一例を示す。 本実施形態（物理IaaSの場合）のテナント毎のVLANの運用の一実施例を示す。 本実施形態（物理IaaSの場合）におけるホスト−管理ボード−NIC間のコマンドシーケンスの一例を示す。 本実施形態（物理IaaSの場合）におけるホスト−ホスト間のフレームシーケンスの一例を示す。 本実施形態（仮想IaaSの場合）における物理サーバの一例を示す。 本実施形態（仮想IaaSの場合）における管理サーバの一例を示す。 本実施形態（仮想IaaSの場合）における物理リソース割当テーブルの一例を示す。 本実施形態（仮想IaaSの場合）におけるネットワーク割当テーブルの一例を示す。 本実施形態（仮想IaaSの場合）における管理ボード情報テーブルの一例を示す。 本実施形態（仮想IaaSの場合）における仮想リソース割当テーブルの一例を示す。 実施形態（仮想IaaSの場合）におけるVMM IPテーブルの一例を示す。 本実施形態（仮想IaaSの場合）におけるVM−VLAN ID関係テーブルの一例を示す。 本実施形態（仮想IaaSの場合）におけるテナント毎の物理リソース及び仮想リソースの割り当ての一実施例を示す。 本実施形態（仮想IaaSの場合）における管理サーバによる物理サーバへのリソースの割当処理のフローの一例を示す。 本実施形態（仮想IaaSの場合）における管理サーバによる物理サーバのリソースの割当の解除処理のフローの一例を示す。 本実施形態（仮想IaaSの場合）における管理サーバによる物理サーバへのVMの割当処理のフローの一例を示す。 本実施形態（仮想IaaSの場合）における管理サーバによるVMの割当の解除処理のフローの一例を示す。 本実施形態（仮想IaaSの場合）におけるホスト−管理ボード−NIC間のコマンドシーケンスの一例を示す。 本実施形態（仮想IaaSの場合）におけるゲストOS−ゲストOS間フレームシーケンス及びVMM−管理サーバ間のフレームシーケンスの一例を示す。 本実施形態（物理IaaS及び仮想IaaSの場合）における管理ボードからのアクセスに対するNICの処理フローの一例を示す。 本実施形態（物理IaaS及び仮想IaaSの場合）におけるホストからのアクセスに対するNICの処理フローの一例を示す。 本実施形態（物理IaaS及び仮想IaaSの場合）におけるNICによるフレームの受信処理のフロー（その１）の一例を示す。 本実施形態（物理IaaS及び仮想IaaSの場合）におけるNICによるフレームの受信処理のフロー（その２）の一例を示す。 本実施形態（物理IaaS及び仮想IaaSの場合）におけるNICによるフレームの送信処理のフローの一例を示す。 本実施形態を適用したコンピュータのハードウェア環境の構成ブロック図（その１）の一例を示す。 本実施形態を適用したコンピュータのハードウェア環境の構成ブロック図（その２）の一例を示す。

図１は、本実施形態における通信インターフェース装置の一例を示す。通信インターフェース装置１は、第１の情報処理装置に設けられる。通信インターフェース装置１の一例として、ネットワークインターフェースカード（NIC）１２が挙げられる。通信インターフェース装置１は、設定情報取得部２、設定部３、受信部４、フィルタリング部５、転送部６を含む。

設定情報取得部２は、第１の情報処理装置（例えば、物理サーバ１１）とは異なる第２の情報処理装置（例えば、管理サーバ１４）から、設定情報を取得する。設定情報は、仮想ネットワークを識別する仮想ネットワーク識別情報のうち、第１の情報処理装置が属する仮想ネットワークに対応する仮想ネットワーク識別情報を含む。設定情報取得部２の一例として、管理ボード側管理I/F２４が挙げられる。

設定部３は、取得した設定情報に基づいて、仮想ネットワーク識別情報を設定する。設定部３の一例として、管理ボード側管理I/F２４が挙げられる。

受信部４は、通信ネットワークからデータを受信する。受信部４の一例として、信号受信部３１が挙げられる。

フィルタリング部５は、設定された仮想ネットワーク識別情報を基づいて、受信したデータのフィルタリング処理を行う。フィルタリング部５の一例として、宛先MAC確認部３３、VLAN ID確認部３４が挙げられる。

転送部６は、フィルタリング処理が行われたデータを第１の情報処理装置へ転送する。転送部６の一例として、タグ削除部３５、ホスト側受信I/F３６が挙げられる。

このように構成することにより、ネットワーク管理領域に立ち入らずに、サーバ管理領域において、ユーザ毎のネットワークの独立性を担保することができる。

また、フィルタリング部５は、受信したデータのヘッダ情報に、仮想ネットワーク識別情報が含まれるかを判定する。フィルタリング部５は、ヘッダ情報に仮想ネットワーク識別情報が含まれる場合、ヘッダ情報の仮想ネットワーク識別情報と、設定された仮想ネットワーク識別情報とが一致するかの判定を行う。

このように構成することにより、VLANタグの有無、VLANタグ値に応じて、受信したデータのフィルタリングを行うことができる。

転送部６は、ヘッダの仮想ネットワーク識別情報と、設定された仮想ネットワーク識別情報とが一致すると判定された場合、ヘッダ情報から仮想ネットワーク識別情報を取り除いたデータを第１の情報処理装置へ転送する。

このように構成することにより、フィルタリング部５を通過した後、ヘッダ情報からVLANを識別する情報が取り除かれたデータを、ホスト側へ転送することができる。

フィルタリング部は、さらに、受信したデータのヘッダの宛先アドレスと、通信インターフェース装置に設定されたアドレスとが一致するかの判定を行う。

このように構成することにより、受信したデータの宛先アドレスに応じて、受信したデータのフィルタリングを行うことができる。

通信インターフェース装置１は、さらに、付与部７と、送信部８を含む。付与部７は、第１の情報処理装置から受信したデータのヘッダ情報に、設定された仮想ネットワーク識別情報を付与する。付与部７の一例としては、タグ埋込部４４が挙げられる。

送信部８は、仮想ネットワーク識別情報が付与されたデータを通信ネットワークへ送信する。送信部８の一例としては、信号送信部４１が挙げられる。

通信インターフェース装置は、さらに、アクセス制限部９を含む。アクセス制限部９は、設定情報に基づいて、第１の情報処理装置から通信インターフェース装置に設定された設定情報へのアクセスを制限する。アクセス制限部９の一例として、ホスト側管理I/F２３が挙げられる。

このように構成することにより、第１の情報処理装置（ホスト）側から通信インターフェース装置に設定された設定情報へのアクセスを制限することができるので、ホストにより通信インターフェース装置を操作することを制限することができる。その結果、ホストによりVLANの設定を変更することができないので、そのホストが属するVLAN以外のVLANに、そのホストが参加することを防止できる。その結果、ユーザ毎のネットワークの独立性を担保することができる。

設定情報取得部２は、第１の情報処理装置に設定された、第２の情報処理装置と通信可能な通信装置（例えば、管理ボード１３）から、設定情報を取得する。このように構成することにより、設定情報取得部２は、第２の情報処理装置から設定情報を取得することができる。

本実施形態の一例では、物理サーバに実装するNICに対し、後述する機能を追加する。本実施形態におけるNICは、ネットワークとパケットをやりとりする際にフィルタ処理を行う。物理IaaSの場合には、当該NICは、そのフィルタ処理の設定を物理サーバ内からは行うことができないように制御する。

フィルタ処理に対してパラメータを設定する場合には、ユーザの管理下にない装置、例えばNIC上の管理専用ポートやIPMI（Intelligent Platform Management Interface）のようなサーバ制御ボード等を利用することができる。

本実施形態のNICはサーバ内からは通常のNICと同様に見える。しかし、サーバがフレームを受信する場合、NICは、VLANタグをチェックし、無関係なフレームであれば廃棄する。NICは、ホスト側にフレームを転送する際にVLANタグ値を削除し、通常のフレームに戻す。

フレーム送信時には、NICは、フレームにVLANタグを付加することで、そのユーザのVLANのフレームとして送信する。

なお、本実施形態において、他のNICの利用法の一例として、次の方法がある。例えば、仮想IaaSで送受信されるフレームについて、NICは、仮想IaaSで利用するVLANのうち、ゲストOS（Operating System）が利用するVLANを選択して受信することができる。これによりホスト（ハイパーバイザ、またはVMM（Virtual Machine Monitor））の負荷の軽減を図ることができる。ゲストOSとは、ホスト（VMM）上で動いているVMに設定されたOSのことを示す。

またフィルタ条件はVLANタグ以外にも、ヘッダ情報から、GRE（Generic Routing Encapsulation）、IPsec（Security Architecture for Internet Protocol）等のプロトコルを用いるも考えられる。

このNICを用いてIaaSサービスを提供するためには、そのサーバが、物理サーバとしてユーザに提供されるか、仮想サーバとしてデータセンタがハイパーバイザを配備した上で顧客のVMを配備するかに応じて、NICの設定または制御方式を調整する。

物理サーバの利用であれば、NICをホスト外から制御できるようにし、ユーザ間の分離を図る。また、データセンタが物理サーバを仮想ホストとして利用するのであれば、ホスト側からの制御を許可し、制御の柔軟性を向上させる。

本実施形態により、ネットワークに対する操作を伴わずに、サーバ制御だけでユーザ間のネットワークの分離が可能となり、ネットワーク側への機能要求の軽減や運用中操作の回避が可能となる。

図２は、本実施形態における物理IaaS及び仮想IaaSの場合の物理的なネットワークの構成の一例を示す。複数の物理サーバ１１は、運用ネットワーク１６で接続されている。物理サーバ１１は、NIC１２を介して運用ネットワーク１６に接続されている。NIC１２は、通信ネットワークに接続し、通信可能にするための通信ネットワークのインターフェース（I/F）である。運用ネットワーク１６とは、物理IaaSまたは仮想IaaSでユーザが利用する物理的な通信ネットワークである。

管理サーバ１４は、管理ネットワーク１５及び運用ネットワーク１６に接続されている。管理ネットワーク１５とは、管理サーバ１４が物理サーバ１１の動作を管理・制御するための物理的な通信ネットワークである。物理サーバ１１は、管理ボード１３を介して、管理ネットワーク１５に接続されている。管理ボード１３は、管理サーバ１４が物理サーバ１１の動作を制御及び管理するために用いる通信I/Fである。

本実施形態では、まず、物理IaaSについて説明し、その後に、仮想IaaSについて説明し、さらに、物理IaaSと仮想IaaSと共通する部分について説明する。

＜物理IaaSの場合＞
図３は、本実施形態（物理IaaSの場合）における物理サーバの一例を示す。物理サーバ１１は、NIC１２、管理ボード１３を含む。NIC１２は、受信処理部２１、送信処理部２２、ホスト側管理I/F２３、管理ボード側管理I/F２４、記憶部２５を含む。

ホスト側管理I/F２３は、NIC１２に関する制御に関して、ホストと通信するための通信インターフェースである。ホスト側管理I/F２３は、アクセス制御テーブル２７に基づいて、ホストからのアクセスを制御する。

管理ボード側管理I/F２４は、管理ボード１３のNIC用管理部２８と通信するための通信インターフェースである。管理ボード側管理I/F２４は、アクセス制御テーブル２７に基づいて、管理ボード１３からのアクセスを制御する。管理ボード側管理I/F２４は、管理ボード１３を介して、管理サーバ１４から送信されたVLANタグのタグ値（VLAN ID）等の設定情報を取得する。管理ボード側管理I/F２４は、その取得した設定情報をNIC設定情報２６として記憶部２５に設定する。

受信処理部２１は、データの受信に関する処理を行う。送信処理部２２は、データの送信に関する処理を行う。記憶部２５には、NIC設定情報２６、アクセス制御テーブル２７が記憶されている。NIC設定情報２６は、NIC１２の動作設定に関する情報である。アクセス制御テーブル２７は、NIC設定情報２６へのアクセスの制御のために用いるテーブルである。

管理ボード１３は、ＮＩＣ用管理部２８、管理部２９を含む。ＮＩＣ用管理部２８は、管理ボード側管理I/F２４を介して、NIC１２を管理・制御する。管理部２９は、管理サーバ１４の指示に基づいて、物理サーバ１１の電源制御、温度監視、及び物理サーバ１１におけるその他の制御及び監視を行い、監視結果を管理サーバ１４へ通知する。

図４は、本実施形態における受信処理部の一例を示す。受信処理部２１は、信号受信部３１、FCS検証部３２、宛先MAC確認部３３、VLAN ID確認部３４、タグ削除部３５、ホスト側受信I/F３６を含む。

信号受信部３１は、NIC１２が接続されている通信ネットワークから伝送されたデータの信号を受信する。FCS検証部３２は、受信したデータのフレームヘッダに含まれるフレームチェックシーケンス（FCS）情報を用いて、受信したフレームのヘッダ部及びデータ部に誤りがないかを検証する。フレームとは、OSI（Open Systems Interconnection）レイヤー２の通信で使われるプロトコル・データ・ユニット（PDU）の呼び名である。本実施形態では、フレームの一例として、MAC（Media Access Control）フレームを用いる。

宛先MAC確認部３３は、受信したフレームのヘッダ部に設定された宛先MACアドレスに基づいて、そのフレームを通過されたり、破棄したりする。VLAN ID確認部３４は、受信したフレームのヘッダ部に設定されたVLANを識別するタグ値（VLAN ID）に基づいて、そのフレームを通過されたり、破棄したりする。タグ削除部３５は、フレームに設定されているVLANタグを削除する。ホスト側受信I/F３６は、NIC１２が受信したフレームをホスト側へ転送するインターフェースである。

図５は、本実施形態における送信処理部の一例を示す。送信処理部２２は、信号送信部４１、FCS計算部４２、VLAN ID確認部４３、タグ埋込部４４、ホスト側送信I/F４５を含む。

ホスト側送信I/F４５は、ホストより転送されたフレームデータを受信する。タグ埋込部４４は、フレームヘッダに、VLANタグを埋め込む。VLAN ID確認部４３は、送信対象となるフレームにVLANタグが存在するかを判別する。FCS計算部４２は、送信対象となるフレームについてフレームチェックシーケンスを計算し、計算した値をFCS情報としてフレームヘッダに設定する。信号送信部４１は、生成したフレームの信号を送信する。

図６は、本実施形態（物理IaaSの場合）における管理サーバの一例を示す。管理サーバ１４は、リソース管理部５１、NIC制御部５２、格納部５３を含む。リソース管理部５１は、ユーザに提供する物理リソース（サーバ、ネットワーク等）を、物理サーバ１１毎に割り当てる。NIC制御部５２は、物理サーバ１１のNIC１２のNIC設定情報２６の削除、NIC設定情報２６へのVLAN情報の書き込み等を行う。

格納部５３には、物理リソース割当テーブル５４、ネットワーク割当テーブル５５、管理ボード情報テーブル５６が格納されている。物理リソース割当テーブル５４には、物理サーバ１１へ割り当てるリソースに関する情報が格納されている。ネットワーク割当テーブル５５には、運用ネットワーク１６上に存在するVLANに関する情報が格納されている。管理ボード情報テーブル５６には、物理サーバ１１が有する管理ボード１３に関する情報が格納されている。

図７は、VLANタグ挿入前後のフレームの構成例を示す。図７（A）は、VLANタグが未挿入のフレームの構成を示す。フレームは、「宛先MACアドレス」、「送信先MACアドレス」、「タイプ」、「データ」、「FCS」のフィールドを含む。「宛先MACアドレス」フィールドには、宛先のMACアドレスが設定される。「送信元MACアドレス」フィールドには、送信元のMACアドレスが設定される。「タイプ」フィールドには、通信プロトコルのタイプが設定される。「データ」フィールドには、送信対象となるデータが設定される。「FCS」フィールドには、フレームチェックシーケンス情報が設定される。

図７（B）は、VLANタグが挿入されたフレームの構成を示す。図７（B）のフレームは、図７（A）のフレームに「VLANタグ」フィールドを追加したものである。「VLANタグ」フィールドは、「TPID（タグプロトコル識別子）」、「優先度」、「CFI（Canonical Format Indicator）」、「VLAN ID」のフィールドを含む。「TPID」フィールドには、IEEE802.1Q規格に準拠したタグ付きフレームであることを示す値が設定される。「優先度」フィールドには、フレームの優先度が設定される。「CFI」フィールドには、フォーマットの識別情報が設定される。「VLAN ID」には、VLANを識別する識別情報（VLANのタグ値）が設定される。

図８は、本実施形態（物理IaaS）における物理リソース割当テーブルの一例を示す。物理リソース割当テーブル５４は、「テナント」５４−１、「サービス」５４−２、「サーバ名」５４−３、「配備先サーバ名」５４−４、「MACアドレス」５４−５、「ネットワーク」５４−６のデータ項目を含む。

「テナント」には、テナント名が格納される。テナントとは、クラウドコンピューティングインフラ環境下で、IaaSを利用している企業や部門または部署等の総称をいう。「サービス」５４−２には、テナントで利用しているサービス名が格納される。「サーバ名」５４−３には、そのテナントで利用するサーバの名称が格納されている。「配備先サーバ名」５４−４には、リソースの割り当て先（配備先）の物理サーバ１１を識別する情報が格納される。「MACアドレス」５４−５には、その物理サーバ１１に割り当てられたMACアドレスが格納される。「ネットワーク」５４−６には、その物理サーバ１１が属するテナントを形成するネットワーク（VLAN）の名称が格納される。

図９は、本実施形態（物理IaaS）におけるネットワーク割当テーブルの一例を示す。ネットワーク割当テーブル５５は、「ネットワーク」５５−１、「VLAN ID」５５−２のデータ項目を有する。「ネットワーク」５５−１には、VLANの名称が格納される。「VLAN ID」５５−２には、そのVLANのタグ値（VLAN ID）が格納される。

図１０は、本実施形態における管理ボード情報テーブルの一例を示す。管理ボード情報テーブル５６は、「サーバ」５６−１、「管理ボード IP」５６−２、「ユーザ ID」５６−３、「パスワード」５６−４のデータ項目を含む。

「サーバ ID」５６−１には、物理サーバ１１を識別する情報が格納される。「管理ボード IP」５６−２には、管理ボードのIP（Internet Protocol）アドレスが格納される。「ユーザID」５６−３には、その管理ボードを管理するユーザを識別する情報（ユーザID）が格納される。「パスワード」５６−４には、そのユーザIDに対応するパスワードが格納される。

図１１は、本実施形態におけるNIC設定情報の一例を示す。NIC１２は、NIC設定情報２６を含む。NIC設定情報２６は、「ホスト経由cfg」２６−１、「受信フィルタ」２６−２、「タグ値」２６−３、「受信マスク」２６−４、「タグ無し受信」２６−５、「受信タグ削除」２６−６、「送信タグ埋め込み」２６−７の設定項目を含む。さらに、NIC設定情報２６は、「送信タグ値」２６−８、「割当MACアドレス」２６−９、「プロミスキャスモード」２６−１０、「MACアドレス」２６−１１の設定情報を含む。

「ホスト経由cfg（configuration）」２６−１には、VLANの設定をホスト（物理サーバ１１のOS）経由で行うことを有効にするか、無効にするかを示す情報が設定される。「受信フィルタ」２６−２には、フィルタ処理部３３による受信フィルタ機能を有効するか無効にするかを示す情報が設定される。

「タグ値」２６−３には、VLANタグのタグ値（VLAN ID）が設定される。IEEE802.1Q規格によれば、VLAN IDは、12ビットで表されるので、例えば、０〜4095の値が設定される。「受信マスク」２６−４には、「タグ値」２６−３に設定されたタグ値に対して、マスクを有効（×）にするか、無効（○）にするかを示す情報が設定される。

「タグ無し受信」２６−５には、VLANタグが付与されていないフレームの受信を有効にするか無効にするかを示す情報が設定される。「受信タグ削除」２６−６には、受信したフレームに付与されているVLANタグの削除を有効にするか、無効にするかが設定される。

「送信タグ埋め込み」２６−７には、フレームを送信する場合に、VLANタグをそのフレームに付与することを有効にするか、無効にするかを示す情報が設定される。「送信タグ値」２６−８には、送信する場合に送信元のVLANタグのタグ値（VLAN ID）が設定される。

「割当MAC値」２６−９には、OSに対して割り当てられたMACアドレスが設定される。「プロミスキャスモード」２６−１０には、プロミスキャスモードを有効にするか無効にするかを示す情報が設定される。ここで、プロミスキャスモードとは、宛先が自分宛でないパケットでも無差別に受信するモードをいう。

「MACアドレス」２６−１１には、NIC１２の固有のMACアドレスが設定される。
図１２は、本実施形態におけるNICの有するアクセス制御テーブルの一例を示す。アクセス制御テーブル２７は、「ホスト経由cfg」２６−１の「有効／無効」に応じて、ホストからのNIC設定情報２６の各設定項目への読み込み／書き込みを許可するか禁止するかを制御するテーブルである。アクセス制御テーブル２７において、アクセス（読み込み、書き込み）が許可されている設定項目については、「○」で表す。また、アクセス（読み込み、書き込み）が禁止されている設定項目については、「×」で表す。

「ホスト経由cfg」２６−１に「無効」が設定されている場合、符号６３で示すように、「受信フィルタ」２６−２〜「MACアドレス」２６−１１の設定項目をアクセス制御する。このとき、ホスト（物理サーバ１１のOS）からのアクセス（読み込み、書き込み）に対する制御については、符号６４で示す。管理ボード１３を介した、管理サーバ１４からのアクセス（読み込み、書き込み）に対する制御については、符号６５で示す。

「ホスト経由cfg」２６−１に「有効」が設定されている場合、符号６６で示すように、「受信フィルタ」２６−２〜「MACアドレス」２６−１１をアクセス制御する。このとき、ホスト（物理サーバ１１のOS）からのアクセス（読み込み、書き込み）に対する制御については、符号６７で示す。管理ボード１３を介した、管理サーバ１４からのアクセス（読み込み、書き込み）に対する制御については、符号６８で示す。

次に、物理IaaSについて、より詳細な実施例を用いて説明する。
図１３は、本実施形態（物理IaaSの場合）のテナント毎の物理リソースの割り当ての一実施例を示す。図１３の物理IaaSでは、物理サーバ１〜５（１１−１〜１１−５）、管理サーバ１４、ポータルサーバ７１、端末Ａ（７２）、端末Ｂ（７３）がある。物理サーバ１〜５（１１−１〜１１−５）は、NIC１２を介して、運用ネットワーク１６と接続されている。物理サーバ１〜５（１１−１〜１１−５）は、管理ボード１３を介して、管理ネットワーク１５と接続されている。管理サーバ１４は、管理ネットワーク１５及び運用ネットワーク１６と接続されている。管理サーバ１４は、ポータルサーバ７１と接続されている。

ポータルサーバ７１は、テナント管理者用のネットワーク７４を介して、端末Ａ（７２）、端末Ｂ（７３）と接続されている。端末Ａ（７２）は、テナントＡの管理者が使用する情報処理端末である。端末Ｂ（７３）は、テナントＢの管理者が使用する情報処理端末である。ポータルサーバ７１は、物理IaaSのポータルサーバである。テナントの管理者は各端末７２，７３を使用して、ポータルサーバ７１を介して、対象となる物理サーバ１１にリソースを割り当てる。

たとえば、テナントＡの管理者は、端末Ａ（７２）を用いて、テナントＡとして、物理サーバ１（１１−１）、物理サーバ２（１１−２）を割り当てる指示を行う。すると、管理サーバ１４のNIC制御部５２は、管理ネットワーク１５及び管理ボード１３を介して、物理サーバ１（１１−１）及び物理サーバ２（１１−２）のNIC設定情報２６に、VLANタグのタグ値「1001」を設定する。さらに、管理サーバ１４のリソース管理部５１は、物理サーバ１（１１−１）、物理サーバ２（１１−２）に、OS、ミドルウェア等のシステムを割り当てる。

また、たとえば、テナントＢの管理者は、端末Ｂ（７３）を用いて、テナントＢとして、サーバ３（１１−３）、サーバ４（１１−４）、サーバ５（１１−５）を割り当てる指示を行う。すると、管理サーバ１４のNIC制御部５２は、管理ネットワーク１６及び管理ボード１３を介して、サーバ３（１１−３）、サーバ４（１１−４）、サーバ５（１１−５）のNIC設定情報２６に、VLANタグのタグ値「1011」を設定する。さらに、管理サーバ１４のリソース管理部５１は、サーバ３（１１−３）、サーバ４（１１−４）、サーバ５（１１−５）に、OS、ミドルウェア等のシステムを割り当てる。

図１４は、本実施形態（物理IaaSの場合）における管理サーバによる物理サーバへのリソースの割当処理のフローの一例を示す。本実施形態では、ユーザに提供する物理リソース（サーバ、ネットワーク等）は予め決定されているものとする。

管理サーバ１４は、物理リソース割当テーブル５４から１レコードを読み出す。管理サーバ１４は、その読み出したレコードの「ネットワーク」５４−６をキーとして、ネットワーク割当テーブル５５から「VLAN ID」５５−２に格納されたタグ値（VLAN ID）を取得する（Ｓ１）。

次に、管理サーバ１４は、読み出したレコードの「配備先サーバ名」５４−４をキーとして、管理ボード情報テーブル５６から、その配備先サーバ名に対応する管理ボード情報（管理ボード IP、ユーザID、パスワード）を取得する（Ｓ２）。

管理サーバ１４は、その取得した管理ボード情報の管理ボード IPに対応する管理ボード１３に接続し、ユーザID及びパスワードをその管理ボード１３に送信する。管理ボード１３は、予め自身に登録されたユーザID及びパスワードを用いて、送信されたユーザID及びパスワードに対する認証を行う（Ｓ３）。

管理ボード１３による認証後、管理サーバ１４は、管理ボード１３を介して、物理サーバ１１に搭載されたNIC１２のNIC設定情報２６を削除する指示を行う（Ｓ４）。NIC１２では、その指示情報に基づいて、管理ボード側管理I/F２４は、記憶部２５からNIC設定情報２６を削除（初期化）する。

管理サーバ１４は、管理ボード１３を介して、その管理ボード１３を有する物理サーバ１１のNIC１２に、Ｓ１で取得したタグ値、物理リソース割当テーブル５４から取得したMACアドレス等、後述するNIC設定情報２６の各設定項目を含む設定情報を送信する（Ｓ５）。NIC１２において、管理ボード側管理I/F２４は、その設定情報を受信すると、その設定情報に基づいて、NIC設定情報２６の設定を行う。具体的には、管理ボード側管理I/F２４は、NIC設定情報２６の「タグ値」２６−３及び「受信マスク」２６−４について、取得したタグ値に対応する「受信マスク」２６−４のマスクを無効（○）にし、それ以外のタグ値についてマスクを有効（×）に設定する。また、管理ボード側管理I/F２４は、「ホスト経由cfg」２６−１に「無効」を設定する。管理ボード側管理I/F２４は、「受信フィルタ」２６−２に「有効」を設定する。管理ボード側管理I/F２４は、「タグ無し受信」２６−５に「無効」を設定する。管理ボード側管理I/F２４は、「受信タグ削除」２６−６に「有効」を設定する。管理ボード側管理I/F２４は、「送信タグ埋め込み」２６−７に「有効」を設定する。管理ボード側管理I/F２４は、「送信タグ値」２６−８に取得したタグ値（VLAN ID）を設定する。管理ボード側管理I/F２４は、「割当MACアドレス」２６−９に、物理リソース割当テーブル５４から取得された「MACアドレス」５４−５を設定する。管理ボード側管理I/F２４は、「プロミスキャスモード」２６−１０に「無効」を設定する。

リソースを割り当てる物理サーバ１１数分、管理サーバ１４は、Ｓ１〜Ｓ５の処理を繰り返す。リソースを割り当てる全物理サーバ１１について、Ｓ１〜Ｓ５の処理が終了した場合、管理サーバ１４は、次の処理を行う。すなわち、管理サーバ１４は、管理ボード１３を介して、その物理サーバ１１毎に、OS及びミドルウェア等のユーザのためのシステムの導入等の制御を行い（Ｓ６）、その物理サーバ１１を起動する（Ｓ７）。

図１５は、本実施形態（物理IaaSの場合）における管理サーバによる物理サーバのリソースの割当の解除処理のフローの一例を示す。管理サーバ１４は、管理ボード１３を介して、各物理サーバ１１のOS及びミドルウェア等のユーザのシステムの削除等の制御を行い（Ｓ１１）、物理サーバ１１を停止させる（Ｓ１２）。

管理サーバ１４は、物理リソース割当テーブル５４から１レコードを読み出す。管理サーバ１４は、読み出したレコードの「配備先サーバ名」５４−４をキーとして、管理ボード情報テーブル５６から、その配備先サーバ名に対応する管理ボード情報（管理ボードIP、ユーザ名、パスワード）を取得する（Ｓ１３）。

管理サーバ１４は、管理ネットワーク１５を介して、その取得した管理ボード情報の管理ボード IPに対応する管理ボード１７に接続し、ユーザ名及びパスワードをその管理ボード１３に送信する。管理ボード１３は、予め自身に登録されたユーザ名及びパスワードを用いて、送信されたユーザ名及びパスワードに対する認証を行う（Ｓ１４）。

管理ボード１３による認証後、管理サーバ１４は、管理ボード１３を介して、物理サーバ１１に搭載されたNIC１２のNIC設定情報２６を削除する指示を行う（Ｓ１５）。NIC１２では、その指示情報に基づいて、管理ボード側管理I/F２４は、記憶部２５からNIC設定情報２６を削除（初期化）する。

リソースの割り当てを解除する物理サーバ１１数分、管理サーバ１４は、Ｓ１３〜Ｓ１５の処理を繰り返す。

図１６は、本実施形態（物理IaaSの場合）のテナント毎のVLANの運用の一実施例を示す。図１３で説明したように、物理サーバ１（１１−１）及び物理サーバ２（１１−２）には、テナントAが割り当てられている。また、物理サーバ１（１１−１）及び物理サーバ２（１１−２）のNIC設定情報２６には、VLANのタグ値＝「1001」が設定されている。

また、物理サーバ３（１１−３）、物理サーバ４（１１−４）及び物理サーバ５（１１−２）には、テナントＢが割り当てられている。また、物理サーバ３（１１−３）、物理サーバ４（１１−４）及び物理サーバ５（１１−２）のNIC設定情報２６には、VLANのタグ値＝「1011」が設定されている。

例えば、物理サーバ３（１１−３）が、テナントＢ内の他の物理サーバにデータを送信するとする。このとき、物理サーバ３（１１−３）のNIC１２は、送信するフレームにVLANタグを埋め込んで、運用ネットワーク１６に送信する。VLANタグが埋め込まれたフレームは、運用ネットワーク１６を介して、物理サーバ１（１１−１）、物理サーバ２（１１−２）、物理サーバ４（１１−４）、及び物理サーバ５（１１−５）の各NIC１２に到達する。

この場合、物理サーバ４（１１−４）及び物理サーバ５（１１−５）のNIC１２は、受信したフレームのVLANタグのタグ値が、自身のNIC設定情報２６に設定されたタグ値と一致すると判定する。すると、物理サーバ４（１１−４）及び物理サーバ５（１１−５）のNIC１２は、受信したフレームからVLANタグを取り除き、VLANタグを取り除いたフレームをホスト側へ転送する。

一方、物理サーバ１（１１−１）及び物理サーバ２（１１−２）のNIC１２は、受信したVLANタグフレームのVLANタグのタグ値が、自身に設定されたタグ値と一致しないから、そのフレームを破棄する。

図１７は、本実施形態（物理IaaSの場合）におけるホスト−管理ボード−NIC間のコマンドシーケンスの一例を示す。物理IaaSの運用準備段階において、（１）NIC１２の設定初期化を行う場合、管理サーバ１４の指示に基づいて、管理ボード１３は、NIC１２に対し、NIC設定情報２６の初期化を指示する。NIC１２は、その指示に基づいて、NIC設定情報２６の初期化を行う。初期化が完了すると、NIC１２は、初期化の完了を管理ボード１３に通知する。

物理IaaSの運用準備段階において、（２）ホストによるNIC１２へのアクセスを禁止する場合、管理サーバ１４の指示に基づいて、管理ボード１３はNIC１２に対し、NIC設定情報２６の「ホスト経由cfg」２６−１を「無効」にするように指示する。NIC１２は、その指示に基づいて、NIC設定情報２６の「ホスト経由cfg」２６−１に「無効」を設定する。NIC設定情報２６の更新が完了すると、NIC１２は、NIC設定情報２６の更新の完了を管理ボード１３に通知する。

物理IaaSの運用準備段階において、（３）VLANの設定を行う場合、管理サーバ１４の指示に基づいて、管理ボード１３はNIC１２に対し、管理サーバ１４から指定されたタグ値を、NIC設定情報２６に設定するように指示する。NIC１２は、その指示に基づいて、管理サーバ１４から指定されたタグ値に対応する「タグ値」２６−３の「受信マスク」２６−４を無効状態（○）に設定する。VLANタグの設定が完了すると、NIC１２は、VLANタグの設定の完了を管理ボード１３に通知する。

物理IaaSの運用段階において、（４）ホストは、ホストに許可されている制御コマンドについて、NIC１２に制御コマンドを送信する。NIC１２は、その制御コマンドに基づいて、処理を実行する。処理が完了すると、NIC１２は、処理の完了をホストに通知する。

物理IaaSの撤収段階において、（５）NIC１２の設定初期化を行う場合、管理サーバ１４の指示に基づいて、管理ボード１３は、NIC１２に対し、NIC設定情報２６の初期化を指示する。NIC１２は、その指示に基づいて、NIC設定情報２６の初期化を行う。初期化が完了すると、NIC１２は、初期化の完了を管理ボード１３に通知する。

図１８は、本実施形態（物理IaaSの場合）におけるホスト−ホスト間のフレームシーケンスの一例を示す。ホストA1は、NIC A1に、フレームを転送する。NIC A1は、ホストA1から転送されたフレームのヘッダに、VLANタグを埋め込む。NIC A1は、そのVLANタグを埋め込んだフレームを物理ネットワークへ転送する。

NIC A2は、物理ネットワークを介して送信されたフレームを受信する。NIC A2は、受信したフレームのVLANタグのタグ値が、自身に設定されたタグ値と一致するか否かを判定する。受信したフレームのVLANタグのタグ値が、自身に設定されたタグ値と一致する場合、NIC A2は、受信したフレームからVLANタグを取り除き、VLANタグを取り除いたフレームをホストB2側へ転送する。

＜仮想IaaSの場合＞
次に、仮想IaaSについての例について説明する。なお、物理IaaS環境において、既に説明した構成、処理、または機能と同じものについては、同一の符号を付し、その説明を省略する。

図１９は、本実施形態（仮想IaaSの場合）における物理サーバの一例を示す。物理サーバ１１は、NIC１２、管理ボード１３、ホスト環境８１を含む。

物理サーバ１１のホスト環境８１は、仮想化技術により仮想化された環境である。ホスト環境８１では、複数の仮想計算機（VM：Virtual Machine）が動作する。したがって、仮想化技術により、各VM（ゲスト環境）８２でオペレーティングシステム（ＯＳ）を稼動させることができる。これにより、各ゲスト環境８２（８２−１、８２−２）で、VMが動作する。

VM／VMM制御部８３は、VMを生成すると共に、VM生成時のVMMの動作を制御する。また、VM／VMM制御部８３は、VMについてのVLAN環境を構築する。このとき、VM／VMM制御部８３は、VMについてのVLAN環境を管理するためのVM-VLANタグ関係テーブルを作成する。VMM８５は、生成されたVMの動作を制御する。

NIC制御部８４は、VM間のネットワークの接続を切り替える仮想スイッチ機能を有する。NIC制御部８４は、VM-VLANタグ関係テーブル８６に基づいて、VLANタグに応じてフレームをVMへルーティングする機能を有する。また、NIC制御部８４は、VLANタグの埋め込み及び削除等を行う機能を有する。

NIC１２、管理ボード１３については、物理IaaS環境において、既に説明したものと同様である。なお、NIC設定情報２６については、各VMに対応する「タグ値」２６−３の「受信マスク」２６−４のマスクが無効（×）になっている。また、ホスト側管理I/F２３は、NIC１２に関する制御に関して、ホスト（VMM）と通信するための通信インターフェースである。ホスト側管理I/F２３は、アクセス制御テーブル２７に基づいて、ホスト（VMM）からのアクセスを制御する。

図２０は、本実施形態（仮想IaaSの場合）における管理サーバの一例を示す。管理サーバ１４は、リソース管理部５１、NIC制御部５２、格納部５３を含む。リソース管理部５１、NIC制御部５２については、物理IaaS環境において、既に説明したものと同様である。

格納部５３には、物理リソース割当テーブル５４ａ、ネットワーク割当テーブル５５ａ、管理ボード情報テーブル５６ａ、仮想リソース割当テーブル９１、VMM IPテーブル９２が格納されている。

図２１は、本実施形態（仮想IaaSの場合）における物理リソース割当テーブルの一例を示す。物理リソース割当テーブル５４ａに含まれるデータ項目は、図８と同じであるので、その説明を省略する。

物理リソース割当テーブル５４ａでは、「テナント」５４−１には、センタ名が格納されている。「サービス」５４−２には、ホスト環境８１を構築する物理サーバ１１がVMのホストであることを示す「VMHOST」が格納されている。また、「MACアドレス」５４−４には、配備先の物理サーバ１１に搭載されているNICの実MACアドレスが格納されている。

なお、物理リソース割当テーブル５４ａに、物理IaaSで用いる物理リソース割当テーブル５４の内容が混在していてもよい。

図２２は、本実施形態（仮想IaaSの場合）におけるネットワーク割当テーブルの一例を示す。ネットワーク割当テーブル５５ａに含まれるデータ項目は、図９と同じであるので、その説明を省略する。

なお、ネットワーク割当テーブル５５ａに、物理IaaSで用いるネットワーク割当テーブル５５の内容が混在していてもよい。

図２３は、本実施形態（仮想IaaSの場合）における管理ボード情報テーブルの一例を示す。管理ボード情報テーブル５６ａに含まれるデータ項目は、図１０と同じであるので、その説明を省略する。なお、「サーバ」５６−１には、物理サーバ１１のサーバ名が格納されている。

なお、管理ボード情報テーブル５６ａに、物理IaaSで用いる管理ボード情報テーブル５６の内容が混在していてもよい。

図２４は、本実施形態（仮想IaaSの場合）における仮想リソース割当テーブルの一例を示す。仮想リソース割当テーブル９１は、「テナント」９１−１、「サービス」９１−２、「サーバ名」９１−３、「サーバID」９１−４、「MACアドレス」９１−５、「ネットワーク」９１−６のデータ項目を含む。

「テナント」には、テナント名が格納される。「サービス」９１−２には、テナントで利用しているサービス名が格納される。「サーバ名」９１−３には、そのテナントで利用するVM８２を識別する情報が格納されている。「配備先サーバ名」９１−４には、そのVM８２を構築している物理サーバ１１を識別する情報が格納される。「MACアドレス」９１−５には、VM８２に割り当てられたMACアドレスが格納される。「ネットワーク」９１−６には、そのVM８２が属するテナントを形成するネットワーク（VLAN）の名称が格納される。

図２５は、本実施形態（仮想IaaSの場合）におけるVMM IPテーブルの一例を示す。VMM IPテーブル９２は、「サーバ」９２−１、「VMM IP」９２−２のデータ項目を含む。

「サーバ」９２−１には、そのVM８２を構築している物理サーバ１１を識別する情報が格納される。「VMM制御IP」９２−２には、その物理サーバ１１に導入されているVMMを制御するためのIP（Internet Protocol）アドレスが格納される。

図２６は、本実施形態（仮想IaaSの場合）におけるVM−VLAN ID関係テーブルの一例を示す。VM−VLAN ID関係テーブル８６は、VMについてのVLANを構築する場合に作成されるテーブルである。VM−VLAN ID関係テーブル８６は、「仮想NICのMACアドレス」８６−１、「VLAN ID」８６−２のデータ項目を含む。

「仮想NICのMACアドレス」８６−１には、送信先の仮想サーバ（VM）の仮想NICのMACアドレスが格納される。「VLAN ID」８６−２には、そのVMで使用するVLANを識別するVLAN ID（タグ値）が格納される。

次に、仮想IaaSについて、より詳細な実施例を用いて説明する。
図２７は、本実施形態（仮想IaaSの場合）におけるテナント毎の物理リソース及び仮想リソースの割り当ての一実施例を示す。図２７の仮想IaaSでは、物理サーバ６〜８（１１−６〜１１−８）、管理サーバ１４、ポータルサーバ７１、端末Ａ（７２）、端末Ｂ（７３）がある。物理サーバ６〜８（１１−６〜１１−８）は、NIC１２を介して、運用ネットワーク１６と接続されている。物理サーバ６〜８（１１−６〜１１−８）は、管理ボード１３を介して、管理ネットワーク１５と接続されている。管理サーバ１４は、管理ネットワーク１５及び運用ネットワーク１６と接続されている。管理サーバ１４は、ポータルサーバ７１と接続されている。

ポータルサーバ７１は、テナント管理者用のネットワーク７４を介して、端末Ａ（７２）、端末Ｂ（７３）と接続されている。端末Ａ（７２）は、テナントＡの管理者が使用する情報処理端末である。端末Ｂ（７３）は、テナントＢの管理者が使用する情報処理端末である。ポータルサーバ７１は、物理IaaSのポータルサーバである。テナントの管理者は各端末７２，７３を使用して、ポータルサーバ７１を介して、対象となる物理サーバ１１にリソースを割り当てる。

たとえば、テナントＡの管理者は、端末Ａ（７２）を用いて、物理サーバ６（１１−６）にテナントＣ１を、物理サーバ７（１１−７）にテナントＣ２を割り当てる指示を行う。

すると、管理サーバ１４のNIC制御部５２は、管理ネットワーク１５及び管理ボード１３を介して、物理サーバ７（１１−７）及び物理サーバ７（１１−７）に、VMMを導入する。これにより、物理サーバ６〜８（１１−６〜１１−８）に、ホスト環境（VMM）８１が構築される。このとき、管理サーバ１４は、管理ネットワーク１５及び管理ボード１３を介して、物理サーバ６〜８（１１−６〜１１−８）のNIC設定情報２６の「ホスト経由cfg」２６−１を「有効」に設定する（Ｓ２１）。

次に、運用ネットワーク１６を介した管理サーバ１４からの指示に基づいて、VM／VMM制御部８３は、NIC１２にVLANタグ＝「1002」を設定する（Ｓ２２）。運用ネットワーク１６を介した管理サーバ１４からの指示に基づいて、VM／VMM制御部８３は、VMを導入して、そのVMにテナントを割り当てる。運用ネットワーク１６を介した管理サーバ１４からの指示に基づいて、VM／VMM制御部８３は、VMと、そのVMに対応するVLANとのパスを設定する（Ｓ２３）。

テナントＢについても、テナントＡと同様にして、物理サーバ１１にVMMを導入し、NIC設定情報２６の情報を設定し、VMと、そのVMに対応するVLANとのパスを設定する（Ｓ２１〜Ｓ２３）。

図２８は、本実施形態（仮想IaaSの場合）における管理サーバによる物理サーバへのリソースの割当処理のフローの一例を示す。本実施形態では、ユーザに提供する物理リソース（物理サーバ、ネットワーク等）及び仮想リソース（VMM）は予め決定されているものとする。

管理サーバ１４は、物理リソース割当テーブル５４ａから１レコードを読み出す。管理サーバ１４は、読み出したレコードの「配備先サーバ名」５４−４をキーとして、管理ボード情報テーブル５６ａから、その配備先サーバ名に対応する管理ボード情報（管理ボード IP、ユーザID、パスワード）を取得する（Ｓ３１）。

管理サーバ１４は、その取得した管理ボード情報の管理ボード IPに対応する管理ボード１３に接続し、ユーザID及びパスワードをその管理ボード１３に送信する。管理ボード１３は、予め自身に登録されたユーザID及びパスワードを用いて、送信されたユーザID及びパスワードに対する認証を行う（Ｓ３２）。

管理ボード１３による認証後、管理サーバ１４は、管理ボード１３を介して、その管理ボード１３を有する物理サーバ１１に搭載されたNIC１２のNIC設定情報２６を削除する（初期化）（Ｓ３３）。

管理サーバ１４は、管理サーバ１４は、管理ボード１３を介して、その管理ボード１３を有する物理サーバ１１のNIC１２に、後述するNIC設定情報２６の各設定項目を含む設定情報を送信する。NIC１２において、管理ボード側管理I/F２４は、その設定情報を受信すると、その設定情報に基づいて、NIC設定情報２６の設定を行う。具体的には、管理ボード側管理I/F２４は、NIC１２のNIC設定情報２６の「ホスト経由cfg」を「有効」に設定する（Ｓ３４）。また、管理ボード側管理I/F２４は、「受信フィルタ」２６−２に「有効」を設定する。管理ボード側管理I/F２４は、「タグ無し受信」２６−５に「有効」を設定する。管理ボード側管理I/F２４は、「受信タグ削除」２６−６に「無効」を設定する。管理ボード側管理I/F２４は、「送信タグ埋め込み」２６−７に「無効」を設定する。管理ボード側管理I/F２４は、「割当MACアドレス」２６−９に、「MACアドレス」２９−１１の値を設定する。管理サーバ１４は、「プロミスキャスモード」２６−１０に「無効」を設定する。

管理サーバ１４は、管理ボード１３を介して、VMM等を物理サーバ１１に導入し（Ｓ３５）、VMMを起動させる（Ｓ３６）。

リソースを割り当てる物理サーバ１１数分、管理サーバ１４は、Ｓ３１〜Ｓ３６の処理を繰り返す。

図２９は、本実施形態（仮想IaaSの場合）における管理サーバによる物理サーバのリソースの割当の解除処理のフローの一例を示す。管理サーバ１４は、管理ボード１３を介して、各物理サーバ１１のVMM等の削除等の制御を行い（Ｓ４１）、物理サーバ１１を停止させる（Ｓ４２）。

管理サーバ１４は、物理リソース割当テーブル５４から１レコードを読み出す。管理サーバ１４は、その読み出したレコードの「配備先サーバ名」５４−４をキーとして、管理ボード情報テーブル５６ａから、その配備先サーバ名に対応する管理ボード情報（管理ボードIP、ユーザ名、パスワード）を取得する（Ｓ４３）。

管理サーバ１４は、その取得した管理ボード情報の管理ボード IPに対応する管理ボード１７に接続し、ユーザ名及びパスワードをその管理ボード１３に送信する。管理ボード１３は、予め自身に登録されたユーザ名及びパスワードを用いて、送信されたユーザ名及びパスワードに対する認証を行う（Ｓ４４）。

管理ボード１３による認証後、管理サーバ１４は、管理ボード１３を介して、物理サーバ１１に搭載されたNIC１２のNIC設定情報２６を削除する指示を行う（Ｓ４５）。NIC１２では、その指示情報に基づいて、管理ボード側管理I/F２４は、記憶部２５からNIC設定情報２６を削除（初期化）する。

リソースの割り当てを解除する物理サーバ１１数分、管理サーバ１４は、Ｓ４１〜Ｓ４５の処理を繰り返す。

図３０は、本実施形態（仮想IaaSの場合）における管理サーバによる物理サーバへのVMの割当処理のフローの一例を示す。本実施形態では、ユーザに提供するVMに関するリソースは予め決定されているものとする。

管理サーバ１４は、仮想リソース割当テーブル９１から１レコードを読み出す。管理サーバ１４は、読み出したレコードの「配備先サーバ名」９１−４をキーとして、VMM IPテーブル９２から、その配備先サーバ名に対応するVMM IPを取得する（Ｓ５１）。さらに、管理サーバ１４は、仮想リソース割当テーブル９１から読み出したレコードの「ネットワーク」９１−６をキーとして、ネットワーク割当テーブル５５ａから、そのネットワーク名に対応するVLAN ID（タグ値）を取得する。

管理サーバ１４は、仮想リソース割当テーブル９１から読み出したレコードの配備先サーバ名」９１−４と「ネットワーク」９１−６を用いて、既に、その物理サーバに同一のVLANが存在するかを判定する（Ｓ５２）。なお、管理サーバ１４は、取得したVMM IPのVMMに、仮想リソース割当テーブル９１から読み出したレコードの「ネットワーク」９１−６と同一のVLANが存在するかの問い合わせを行ってもよい。

その物理サーバに同一のVLANが存在しない場合（Ｓ５２で「Ｎｏ」）、管理サーバ１４は、次の処理を行う。管理サーバ１４は、Ｓ５１で取得したVMM IPのVMMに対して、NIC１２にその取得したVLANタグ値を設定するように指示する。その指示に基づいて、VM/VMM制御部８３は、NIC設定情報２６について、管理サーバ１４から送信されたVLANタグ値に対応する「タグ値」２６−３の「受信マスク」２６−４を「○」に設定する（Ｓ５３）。

その物理サーバ１１に同一のVLANが存在しない場合（Ｓ５２で「Ｙｅｓ」）、管理サーバ１４は、Ｓ５１で取得したVMM IP宛に、VLANタグ値を送信する。

VM/VMM制御部８３は、これから配備しようとするVMのVLANを指定する（Ｓ５４）。すなわち、VM/VMM制御部８３は、これから配備しようとするVMの仮想NICのMACアドレスと、VLAN IDとを関係づけた情報を、ＶＭ−VLAN ID関係テーブル８６に格納する。

管理サーバ１４は、VMM IPを用いて、そのVMMにVMの配備を指示する。すると、VMMは、VMの配備を行う（Ｓ５５）。このとき、VMMは、VMとそのVMに対応するVLANとのパスを設定する。その後、VMは起動する（Ｓ５６）。

リソースを割り当てるVM数分、管理サーバ１４及びVMMは、Ｓ５１〜Ｓ５６の処理を繰り返す。

図３１は、本実施形態（仮想IaaSの場合）における管理サーバによるVMの割当の解除処理のフローの一例を示す。管理サーバ１４は、仮想リソース割当テーブル９１から１レコードを読み出す。管理サーバ１４は、読み出したレコードの「配備先サーバ名」９１−４をキーとして、VMM IPテーブル９２から、その配備先サーバ名に対応するVMM IPを取得する（Ｓ６１）。

管理サーバ１４は、運用ネットワーク１６を介して、VMM IPを用いて、そのVMMに、VMの動作を停止するように指示をする。その指示に基づいて、VMMは、そのVMを停止させる（Ｓ６２）。

管理サーバ１４は、運用ネットワーク１６を介して、そのVMMに、VMをVLANから切り離すように指示をする。その指示に基づいて、VMMは、VM−VLAN ID関係テーブル８６から、そのVMの仮想NICのMACアドレスと、VLAN IDとの関係情報を削除する（Ｓ６３）。

VMMのVM/VMM制御部８３は、そのVLANタグ値で示されるVLANを使用しているVMが他にないか否かを判定する（Ｓ６４）。そのVLANタグ値で示されるVLAN を使用しているVMが他にない場合（Ｓ６４で「Ｙｅｓ」）、VM/VMM制御部８３は、次の処理を行う。すなわち、VM/VMM制御部８３は、NIC１２のNIC設定情報２６において、その削除したVLANタグ値に対応する「タグ値」２６−３の「受信マスク」２６−４に「×」を設定する（Ｓ６５）。

図３２は、本実施形態（仮想IaaSの場合）におけるホスト−管理ボード−NIC間のコマンドシーケンスの一例を示す。仮想IaaSの運用準備段階において、（１）NICの設定初期化を行う場合、管理サーバ１４の指示に基づいて、管理ボード１３は、NIC１２に対し、NIC設定情報２６の初期化を指示する。NIC１２は、その指示に基づいて、NIC設定情報２６の初期化を行う。初期化が完了すると、NIC１２は、初期化の完了を管理ボード１３に通知する。

仮想IaaSの運用準備段階において、（２）ホスト（VMM）によるNIC１２の制御を許可する場合、管理サーバ１４の指示に基づいて、管理ボード１３はNIC１２に対し、NIC設定情報２６の「ホスト経由cfg」２６−１を「有効」にするように指示する。NIC１２は、その指示に基づいて、NIC設定情報２６の「ホスト経由cfg」２６−１に「有効」を設定する。NIC設定情報２６の更新が完了すると、NIC１２は、NIC設定情報２６の更新の完了を管理ボード１３に通知する。

仮想IaaSの運用段階において、（３）VLANの設定を行う場合、ホスト（VMM）はNIC１２に対し、管理サーバ１４から指定されたタグ値を、NIC設定情報２６に設定するように指示する。NIC１２は、その指示に基づいて、ホスト（VMM）から指定されたタグ値に対応する「タグ値」２６−３の「受信マスク」２６−４を「○」にする。VLANタグの設定が完了すると、NIC１２は、VLANタグの設定の完了をホスト（VMM）に通知する。

仮想IaaSの運用段階において、（４）VLANの追加を行う場合、ホスト（VMM）はNIC１２に対し、管理サーバ１４から指定されたタグ値を、NIC設定情報２６に設定するように指示する。NIC１２は、その指示に基づいて、ホスト（VMM）から指定されたタグ値に対応する「タグ値」２６−３の「受信マスク」２６−４を「○」にする。VLANタグの追加が完了すると、NIC１２は、VLANタグの追加の完了をホスト（VMM）に通知する。

仮想IaaSの運用段階において、（５）VLANの削除、すなわちVLANからVMを切り離す場合、ホスト（VMM）はNIC１２に対し、そのVLANを削除するように指示する。NIC１２は、その指示に基づいて、ホスト（VMM）から指定されたタグ値に対応する「タグ値」２６−３の「受信マスク」２６−４を「×」にする。VLANタグの削除が完了すると、NIC１２は、VLANタグの削除の完了をホスト（VMM）に通知する。

仮想IaaSの撤収段階において、（６）ホストによるNIC１２の制御を禁止する場合、管理サーバ１４の指示に基づいて、管理ボード１３はNIC１２に対し、NIC設定情報２６の「ホスト経由cfg」２６−１を「無効」にするように指示する。NIC１２は、その指示に基づいて、NIC設定情報２６の「ホスト経由cfg」２６−１に「無効」を設定する。NIC設定情報２６の更新が完了すると、NIC１２は、NIC設定情報２６の更新の完了を管理ボード１３に通知する。

仮想IaaSの撤収段階において、（７）NICの設定初期化を行う場合、管理サーバ１４の指示に基づいて、管理ボード１３は、NIC１２に対し、NIC設定情報２６の初期化を指示する。NIC１２は、その指示に基づいて、NIC設定情報２６の初期化を行う。初期化が完了すると、NIC１２は、初期化の完了を管理ボード１３に通知する。

図３３は、本実施形態（仮想IaaSの場合）におけるゲストOS−ゲストOS間フレームシーケンス及びVMM−管理サーバ間のフレームシーケンスの一例を示す。

まずは、ゲストOS−ゲストOS間フレームシーケンスについて説明する。ゲストOS Xは、ホストX（VMM）に、データを転送する。ホストX（VMM）は、ゲストOS Xから転送されたデータのフレームヘッダに、VLANタグを埋め込む。ホストX（VMM X）は、そのVLANタグを埋め込んだフレームをNIC Xを介して、物理ネットワークへ転送する。

NIC Yは、物理ネットワークを介して送信されたフレームを受信する。NIC Yは、そのフレームをホストY（VMM Y）へ転送する。ホストY（VMM Y）は、そのフレームのVLANタグのタグ値が、VM−VLAN ID関係テーブル８６に登録されているかを判定する。そのフレームのVLANタグのタグ値が、VM−VLAN ID関係テーブル８６に登録されている場合、ホストY（VMM Y）は、そのフレームからVLANタグを削除する。それから、ホストY（VMM Y）は、VM−VLAN ID関係テーブル８６を用いて、そのVLANタグ値に対応する仮想NICのMACアドレスで示されるVM（ゲストOS）へ、そのVLANタグが削除されたフレームを転送する。

次に、VMM−管理サーバ間のフレームシーケンスについて説明する。VMMは、管理サーバ１４宛てにデータを含むフレームを送信する。NIC Xは、VMMからのフレームを物理ネットワークへ転送する。管理サーバ１４は、物理ネットワークを介して送信されたフレームを受信する。

＜物理IaaS及び仮想IaaSに共通する処理＞
次に、物理IaaS及び仮想IaaSにおいて用いる共通の処理について説明する。

図３４は、本実施形態（物理IaaS及び仮想IaaSの場合）における管理ボードからのアクセスに対するNICの処理フローの一例を示す。管理ボード１３のＮＩＣ用管理部２８は、管理ボード側管理I/F１６を介して、NIC１２が有するアクセス制御テーブル２７へのアクセスを試みるとする。

ＮＩＣ用管理部２８からのアクセスがあると、NIC１２の管理ボード側管理I/F２４は、アクセス制御テーブル２７を参照し、NIC設定情報２６の各設定項目へのアクセスが許可されているか否かを判定する（Ｓ７１）。アクセス制御テーブル２７へのアクセスが禁止されている場合（Ｓ７１で「Ｎｏ」）、管理ボード側管理I/F２４は、NIC用管理部２８へエラー応答を返信する（Ｓ７２）。

アクセス制御テーブル２７へのアクセスが許可されている場合（Ｓ７１で「Ｙｅｓ」）、管理ボード側管理I/F２４は、次の処理を行う。すなわち、管理ボード側管理I/F２４は、アクセス制御テーブル２７に設定されたアクセス制限（NIC設定情報２６に含まれる各設定項目に対するアクセス制限）に応じて、NIC設定情報２６に含まれる各設定項目の読み取り、または更新を行う（Ｓ７３）。

NIC設定情報２６の更新の結果、「ホスト経由cfg」２６−１の設定内容に変更がある場合（Ｓ７４で「Ｙｅｓ」）、管理ボード側管理I/F２４は、アクセス制御テーブル２７のアクセス制限の切替を行う（Ｓ７５）。例えば、「ホスト経由cfg」２６−１が「無効」に更新されている場合、管理ボード側管理I/F２４は、アクセス制御テーブル２７のアクセス制限を、符号６３で示す内容に切り替える。また、例えば、「ホスト経由cfg」２６−１が「有効」に更新されている場合、管理ボード側管理I/F２４は、アクセス制御テーブル６２のアクセス制限を、符号６６で示す内容に切り替える。

図３５は、本実施形態（物理IaaS及び仮想IaaSの場合）におけるホストからのアクセスに対するNICの処理フローの一例を示す。ここで、ホストとは、物理IaaSの場合は、物理サーバ１１に設定されているOSを示し、仮想IaaSの場合は、VMMを示す。ホストが、ホスト側管理I/F１５を介して、NIC１２が有するアクセス制御テーブル２７へのアクセスを試みるとする。

ＮＩＣ用管理部２８からのアクセスがあると、NIC１２のホスト側管理I/F２３は、アクセス制御テーブル２７を参照し、NIC設定情報２６の各設定項目へのアクセスが許可されているか否かを判定する（Ｓ７１）。アクセス制御テーブル２７へのアクセスが禁止されている場合（Ｓ８１で「Ｎｏ」）、ホスト側管理I/F２３は、ホストへエラー応答を返信する（Ｓ８２）。

アクセス制御テーブル２７へのアクセスが許可されている場合（Ｓ８１で「Ｙｅｓ」）、ホスト側管理I/F２３は、次の処理を行う。すなわち、管理ボード側管理I/F２４は、アクセス制御テーブル２７に設定されたアクセス制限（NIC設定情報２６に含まれる各設定項目に対するアクセス制限）に応じて、NIC設定情報２６に含まれる各設定項目の読み取り、または更新を行う（Ｓ８３）。

図３６Ａ及び図３６Ｂは、本実施形態（物理IaaS及び仮想IaaSの場合）におけるNICによるフレームの受信処理のフローの一例を示す。物理サーバ１１のNIC１２において、受信処理部２１（信号受信部３１）は、フレームを受信する（Ｓ９１）。受信処理部２１は、NIC設定情報２６の「受信フィルタ」２６−２に「有効」が設定されているか否かを判定する（Ｓ９２）。

「受信フィルタ」２６−２に「無効」が設定されている場合（Ｓ９２で「Ｎｏ」）、受信処理部２１は、「プロミスキャスモード」２６−１０に「有効」が設定されているか否かを判定する（Ｓ９３）。「プロミスキャスモード」２６−１０に「有効」が設定されている場合（Ｓ９３で「Ｙｅｓ」）、受信処理部２１（ホスト側受信I/F３６）は、フレームをホストへ転送する（Ｓ１０４）。

「受信フィルタ」２６−２に「有効」が設定されている場合（Ｓ９２で「Ｙｅｓ」）、または「プロミスキャスモード」２６−１０に「無効」が設定されている場合（Ｓ９３で「Ｎｏ」）、受信処理部２１（FCS検証部３２）は、次の処理を行う。すなわち、FCS検証部３２は、受信したフレームのフレームチェックシーケンス（FCS）の検証を行う（Ｓ９４）。フレームチェックシーケンス（FCS）の検証の結果、正常でない場合（Ｓ９４で「Ｎｏ」）、受信処理部２１は、そのフレームを破棄する（Ｓ１０５）。

受信処理部２１は、再度、「受信フィルタ」２６−２に「有効」が設定されているか否かを判定する（Ｓ９５）。「受信フィルタ」２６−２に「無効」が設定されている場合（Ｓ９５で「Ｎｏ」）、受信処理部２１（宛先MAC確認部３３）は、次の処理を行う。すなわち、受信処理部２１（宛先MAC確認部３３）は、受信したフレームの宛先MACアドレスが、当該NICが有するNIC設定情報２６の「割当MACアドレス」２６−９と一致するかを判定する（Ｓ９６）。

受信したフレームの宛先MACアドレスが、「割当MACアドレス」２６−９と一致する場合（Ｓ９６で「Ｙｅｓ」）、受信処理部２１（ホスト側受信I/F３６）は、フレームをホストへ転送する（Ｓ１０４）。

受信したフレームの宛先MACアドレスが、「割当MACアドレス」２６−９と一致しない場合（Ｓ９６で「Ｎｏ」）、受信処理部２１は、そのフレームを破棄する（Ｓ１０５）。

「受信フィルタ」２６−２に「有効」が設定されている場合（Ｓ９５で「Ｙｅｓ」）、受信処理部２１（VLAN ID確認部３４）は、受信したフレームにVLANタグが存在するか否かを判定する（Ｓ９７）。

受信したフレームにVLANタグが存在しない場合（Ｓ９７で「Ｎｏ」）、「タグ無し受信」２６−５に「有効」が設定されているか否かを判定する（Ｓ９８）。「タグ無し受信」２６−５に「無効」が設定されている場合（Ｓ９８で「Ｎｏ」）、受信処理部２１は、そのフレームを破棄する（Ｓ１０５）。

「タグ無し受信」２６−５に「有効」が設定されている場合（Ｓ９８で「Ｙｅｓ」）、Ｓ１０２の処理へ進む。

受信したフレームにVLANタグが存在する場合（Ｓ９７で「Ｙｅｓ」）、受信処理部２１（VLAN ID確認部３４）は、そのVLANタグが示すタグ値に対応する「タグ値」２６−３の「受信マスク」２６−４が「○」か否かを判定する（Ｓ９９）。

そのVLANタグが示すタグ値に対応する「タグ値」２６−３の「受信マスク」２６−４が「×」である場合（Ｓ９９で「Ｎｏ」）、受信処理部２１は、そのフレームを破棄する（Ｓ１０５）。

そのVLANタグが示すタグ値に対応する「タグ値」２６−３の「受信マスク」２６−４が「○」である場合（Ｓ９９で「Ｙｅｓ」）、受信処理部２１（タグ削除部３５）は、「受信タグ削除」２６−６に「有効」が設定されているか否かを判定する（Ｓ１００）。「受信タグ削除」２６−６に「有効」が設定されている場合（Ｓ１００で「Ｙｅｓ」）、受信処理部２１（タグ削除部３５）は、受信したフレームよりVLANタグを削除する（Ｓ１０１）。

受信したフレームよりVLANタグを削除した後、または「受信タグ削除」２６−６に「無効」が設定されている場合（Ｓ１００で「Ｎｏ」）、受信処理部２１は、次の処理を行う。すなわち、受信処理部２１は、「プロミスキャスモード」２６−１０に「有効」が設定されているか否かを判定する（Ｓ１０２）。

「プロミスキャスモード」２６−１０に「有効」が設定されている場合（Ｓ１０２で「Ｙｅｓ」）、受信処理部２１（ホスト側受信I/F３６）は、フレームをホストへ転送する（Ｓ１０４）。

「プロミスキャスモード」２６−１０に「無効」が設定されている場合（Ｓ１０２で「Ｎｏ」）、受信処理部２１（宛先MAC確認部３３）は、次の処理を行う。すなわち、受信処理部２１（宛先MAC確認部３３）は、受信したフレームの宛先MACアドレスが、当該NICが有するNIC設定情報２６の「割当MACアドレス」２６−９と一致するかを判定する（Ｓ１０３）。

受信したフレームの宛先MACアドレスが、「割当MACアドレス」２６−９と一致する場合（Ｓ１０３で「Ｙｅｓ」）、受信処理部２１（ホスト側受信I/F３６）は、フレームをホストへ転送する（Ｓ１０４）。

受信したフレームの宛先MACアドレスが、「割当MACアドレス」２６−９と一致しない場合（Ｓ１０３で「Ｎｏ」）、受信処理部２１は、そのフレームを破棄する（Ｓ１０５）。

図３７は、本実施形態（物理IaaS及び仮想IaaSの場合）におけるNICによるフレームの送信処理のフローの一例を示す。NIC１２において、送信処理部２２（ホスト側送信I/F４５）は、ホストから送信されたフレームを受信する（Ｓ１１１）。送信処理部２２（タグ埋込部４４）は、NIC設定情報２６の「送信タグ埋め込み」２６−７に「有効」が設定されているか否かを判定する（Ｓ１１２）。

「送信タグ埋め込み」２６−７に「有効」が設定されている場合（Ｓ１１２で「Ｙｅｓ」）、送信処理部２２（タグ埋込部４４）は、受信したフレームにVLANタグが存在するか否かを判定する（Ｓ１１３）。受信したフレームにVLANタグが存在する場合（Ｓ１１３で「Ｙｅｓ」）、送信処理部２２は、そのフレームを破棄する（Ｓ１１４）。受信したフレームにVLANタグが存在しない場合（Ｓ１１３で「Ｎｏ」）、送信処理部２２（タグ埋込部４４）は、そのフレームに対して、「送信タグ値」２６−８に設定されている値をVLANタグとして埋め込む（Ｓ１１５）。

「送信タグ埋め込み」２６−７に「無効」が設定されている場合（Ｓ１１２で「Ｎｏ」）、またはタグの埋め込みが完了した場合（Ｓ１１５）、送信処理部２２（FCS計算部４２）は、次の処理を行う。すなわち、送信処理部２２（FCS計算部４２）は、そのフレームのフレームチェックシーケンスを計算し、計算した値をFCS情報としてフレームに付与する（Ｓ１１６）。その後、送信処理部２２（信号送信部４１）は、そのフレームを送信する（Ｓ１１７）。

本実施形態（物理IaaS及び仮想IaaS）では、管理ボード１３を介してNIC１２の設定を行ったが、これに限定されない。例えば、NIC１２に、所定のヘッダを検出する機能を設けておく。管理サーバ１４は、NIC１２へ設定情報を送信する場合、その所定のヘッダを付与した情報を送信するようにする。その情報を受信して、そのヘッダを検出した場合、NIC１２は、その受信した情報から設定情報を抽出して、NIC設定情報として設定するようにしてもよい。

図３８及び図３９は、本実施形態を適用したコンピュータのハードウェア環境の構成ブロック図の一例を示す。図３９のコンピュータ１００−２は、図３９のコンピュータ１００−１に、管理ボード１３を搭載したものである。

コンピュータ１００（１００−１、１００−２）は、出力Ｉ／Ｆ１０１、ＣＰＵ１０２、ＲＯＭ１０３、NIC１２、入力Ｉ／Ｆ１０５、ＲＡＭ１０６、記憶装置１０７、読み取り装置１０８、バス１０９を含む。コンピュータ１００−２の場合、さらに、管理ボード１３を含む。コンピュータ１００は、出力機器１１１、及び入力機器１１２と接続可能である。

ここで、ＣＰＵは、中央演算装置を示す。ＲＯＭは、リードオンリメモリを示す。ＲＡＭは、ランダムアクセスメモリを示す。バス１０９には、出力Ｉ／Ｆ１０１、ＣＰＵ１０２、ＲＯＭ１０３、NIC１２、入力Ｉ／Ｆ１０５、ＲＡＭ１０６、記憶装置１０７、読み取り装置１０８が接続されている。コンピュータ１００−２の場合、バス１０９には、さらに、管理ボード１３が接続されている。読み取り装置１０８は、可搬型記録媒体を読み出す装置である。出力機器１１１は、出力Ｉ／Ｆ１０１に接続されている。入力機器１１２は、入力Ｉ／Ｆ１０５に接続されている。

記憶装置１０７としては、ハードディスクドライブ、フラッシュメモリ装置、磁気ディスク装置など様々な形式の記憶装置を使用することができる。

コンピュータ１００−１が管理サーバ１４である場合、記憶装置１０７またはＲＯＭ１０３には、例えば、本実施形態で説明した処理を実現するプログラム、データ、テーブル等が格納されている。テーブルとしては、記憶装置１０７またはＲＯＭ１０３には、例えば、物理リソース割当テーブル５４ａ、ネットワーク割当テーブル５５ａ、管理ボード情報テーブル５６ａ、仮想リソース割当テーブル９１、VMM IPテーブル９２等が格納されている。

コンピュータ１００−２が物理サーバ１１である場合、記憶装置１０７またはＲＯＭ１０３には、例えば、本実施形態で説明した処理を実現する仮想化を実現するプログラム、データ、テーブル等が格納されている。

ＣＰＵ１０２は、記憶装置１０７等に格納した本実施形態で説明した処理を実現するプログラムを読み出し、そのプログラムを実行する。

また、コンピュータ１００−２が物理サーバ１１である場合、NIC１２が有する記憶装置に、本実施形態で説明した処理を実現するプログラム、NIC設定情報２７、アクセス制御テーブル２７等が格納されている。

本実施形態で説明した処理を実現するプログラムは、プログラム提供者側から通信ネットワークを介して、例えばNIC１２または管理ボード１３が有する記憶装置に格納してもよい。また、本実施形態で説明した処理を実現するプログラムは、市販され、流通している可搬型記憶媒体に格納されていてもよい。この場合、この可搬型記憶媒体は読み取り装置１０８にセットされて、ＣＰＵ１０２によってそのプログラムが読み出されて、実行されてもよい。可搬型記憶媒体としてはＣＤ−ＲＯＭ、フレキシブルディスク、光ディスク、光磁気ディスク、ＩＣ（integrated circuit）カード、ＵＳＢ（Universal Serial Bus）メモリ装置など様々な形式の記憶媒体を使用することができる。このような記憶媒体に格納されたプログラムが読み取り装置１０８によって読み取られる。

また、入力機器１１２には、キーボード、マウス、電子カメラ、ウェブカメラ、マイク、スキャナ、センサ、タブレット、タッチパネルなどを用いることが可能である。また、出力機器１１１には、ディスプレイ、プリンタ、スピーカなどを用いることが可能である。また、管理ネットワーク１５、運用ネットワーク１６は、インターネット、ＬＡＮ（Local Area Network）、ＷＡＮ（Wide Area Network）、専用線、有線、無線等の通信網であってよい。

本実施形態の通信インターフェース装置によれば、スイッチ装置によらず、ユーザ毎のネットワークの独立性を担保することができる。すなわち、VLANのフィルタリングの制御を、外部装置から行うことを可能にすることで、ネットワーク管理者によらず、サーバ管理者がサーバの設定・管理と併せて、VLANの設定・管理を行うことができる。つまり、サーバ管理者は、サーバ設定の１つとしてNICの設定、すなわち、VLANの設定を行うことができる。

また、スイッチ装置側でVLANを動的に設定する等の制御を行わないので、物理ネットワーク側を制御することなく、ユーザ毎の仮想ネットワークの独立性を実現可能である。また、VLAN対応のスイッチ装置を用いらないので、ネットワーク環境のコスト増を抑えることができる。また、物理IaaSでは、ホストからのNICの操作を制限することができる。したがって、ネットワークに対する物理サーバの独立化を図ることができる。

また、物理IaaSにおいて、ホストの制御については、そのサーバを提供されたユーザが全権掌握しているので、VLANの設定をユーザに強要することはできない。しかしなから、本実施形態によれば、ホスト側の制御によることなく、外部よりNICのVLAN設定できるので、VLANの設定をユーザに強要しなくてもよい。

また、物理リソース割当テーブル、ネットワーク割当テーブル、管理ボード情報テーブルについては、物理IaaS用のデータと、仮想IaaS用のデータを混在させることができるため、物理IaaS用と仮想IaaS用とに分けてデータ管理を行わなくてよい。そのため、データ全体のリソースを節約することができる。また、NICにおいても、「ホスト経由cfg」２６−１の項目を切り替えることにより、物理IaaS、仮想IaaSのいずれにも、本実施形態のNICを兼用して利用することができる。すなわち、物理／仮想IaaSインフラを共用しつつ、各ユーザのネットワークの独立性、つまり安全性を高めることができる。

また、仮想IaaSにおいて、仮想ホストのNIC制御部８４によるフィルタリング処理の前段階のNIC１２でフィルタリング処理を行うことができるため、仮想ホストのNIC制御部８４によるフィルタリング処理の負荷を軽減することができる。

なお、本実施形態は、以上に述べた実施の形態に限定されるものではなく、本実施形態の要旨を逸脱しない範囲内で種々の構成または実施形態を取ることができる。

１ 通信インターフェース装置
２ 設定情報取得部
３ 設定部
４ 受信部
５ フィルタリング部
６ 転送部
７ 付与部
８ 送信部
９ アクセス制限部
１１ 物理サーバ
１２ NIC
１３ 管理ボード
１４ 管理サーバ
１５ 管理ネットワーク
１６ 運用ネットワーク
２１ 受信処理部
２２ 送信処理部
２３ ホスト側管理I/F
２４ 管理ボード側管理I/F
２５ 記憶部
２６ NIC設定情報
２７ アクセス制御テーブル
２８ NIC用管理部
２９ 管理部
３１ 信号受信部
３２ FCS検証部
３３ 宛先MAC確認部
３４ VLAN ID確認部
３５ タグ削除部
３６ ホスト側受信I/F
４１ 信号送信部
４２ FCS計算部
４３ VLAN ID確認部
４４ タグ埋込部
４５ ホスト側送信I/F
５１ リソース管理部
５２ NIC制御部
５３ 格納部
５４，５４ａ 物理リソース割当テーブル
５５，５５ａ ネットワーク割当テーブル
５６，５６ａ 管理ボード情報テーブル
８１ ホスト環境（VMM）
８２ ゲスト環境（VM）
８３ VM／VMM制御部
８４ NIC制御部
８５ VMM
８６ VM-VLANタグ関係テーブル
９１ 仮想リソース割当テーブル
９２ VMM IPテーブル

Claims (9)

1. 第１の情報処理装置に設けられる通信インターフェース装置であって、
   前記第１の情報処理装置とは異なる第２の情報処理装置から、仮想ネットワークを識別する仮想ネットワーク識別情報のうち、前記第１の情報処理装置が属する仮想ネットワークに対応する仮想ネットワーク識別情報を含む設定情報を取得する設定情報取得部と、
   取得した前記設定情報に基づいて、前記仮想ネットワーク識別情報を設定する設定部と、
   通信ネットワークからデータを受信する受信部と、
   設定された前記仮想ネットワーク識別情報を基づいて、受信した前記データのフィルタリング処理を行うフィルタリング部と、
   前記フィルタリング処理が行われた前記データを前記第１の情報処理装置へ転送する転送部と
   を備えることを特徴とする通信インターフェース装置。
2. 前記フィルタリング部は、前記受信したデータのヘッダ情報に、前記仮想ネットワーク識別情報が含まれるかを判定し、前記ヘッダ情報に前記仮想ネットワーク識別情報が含まれる場合、前記ヘッダ情報の前記仮想ネットワーク識別情報と、設定された前記仮想ネットワーク識別情報とが一致するかの判定を行う
   ことを特徴とする請求項１に記載の通信インターフェース装置。
3. 前記転送部は、前記ヘッダの前記仮想ネットワーク識別情報と、前記設定された仮想ネットワーク識別情報とが一致すると判定された場合、前記ヘッダ情報から前記仮想ネットワーク識別情報を取り除いたデータを前記第１の情報処理装置へ転送する
   ことを特徴とする請求項２に記載の通信インターフェース装置。
4. 前記フィルタリング部は、さらに、
   前記受信したデータの前記ヘッダの宛先アドレスと、前記通信インターフェース装置に設定されたアドレスとが一致するかの判定を行う
   ことを特徴とする請求項２に記載の通信インターフェース装置。
5. 前記通信インターフェース装置は、さらに、
   前記第１の情報処理装置から受信したデータのヘッダ情報に、前記設定された仮想ネットワーク識別情報を付与する付与部と、
   前記仮想ネットワーク識別情報が付与された前記データを前記通信ネットワークへ送信する送信部と、
   を備えることを特徴とする請求項１〜４のうちいずれか１項に記載の通信インターフェース装置。
6. 前記通信インターフェース装置は、さらに、
   前記設定情報に基づいて、前記第１の情報処理装置から前記通信インターフェース装置に設定された設定情報へのアクセスを制限するアクセス制限部と、
   を備えることを特徴とする請求項１〜５のうちいずれか１項に記載の通信インターフェース装置。
7. 前記設定情報取得部は、前記第１の情報処理装置に設定された、前記第２の情報処理装置と通信可能な通信装置から、前記設定情報を取得する
   ことを特徴とする請求項１〜６のうちいずれか１項の通信インターフェース装置。
8. 第１の情報処理装置に設けられる通信インターフェース装置に、
   前記第１の情報処理装置とは異なる第２の情報処理装置から、仮想ネットワークを識別する仮想ネットワーク識別情報のうち、前記第１の情報処理装置が属する仮想ネットワークに対応する仮想ネットワーク識別情報を含む設定情報を取得し、
   取得した前記設定情報に基づいて、前記仮想ネットワーク識別情報を設定し、
   通信ネットワークからデータを受信し、
   設定された前記仮想ネットワーク識別情報を基づいて、受信した前記データのフィルタリング処理を行い、
   前記フィルタリング処理が行われた前記データを前記第１の情報処理装置へ転送する
   処理を実行させる通信インターフェースプログラム。
9. 情報処理装置である第１の情報処理装置と、前記第１の情報処理装置とは異なる情報処理装置である第２の情報処理装置とを含むクラウドコンピューティングシステムの仮想ネットワークの構築を行う仮想ネットワーク構築方法であって、
   前記第２の情報処理装置は、仮想ネットワークを識別する仮想ネットワーク識別情報のうち、前記第１の情報処理装置が属する仮想ネットワークに対応する仮想ネットワーク識別情報を含む設定情報を、前記第１の情報処理装置へ送信し、
   前記第１の情報処理装置に設けられた通信インターフェースは、
   前記第２の情報処理装置から送信された設定情報を取得し、
   取得した前記設定情報に基づいて、前記仮想ネットワーク識別情報を設定し、
   通信ネットワークからデータを受信し、
   設定された前記仮想ネットワーク識別情報を基づいて、受信した前記データのフィルタリング処理を行い、
   前記フィルタリング処理が行われた前記データを前記第１の情報処理装置へ転送する
   ことを特徴とする仮想ネットワーク構築方法。

Images