JP4714173B2

JP4714173B2 - Ｉｔリソース構成の変更検知方法、及び構成管理装置

Info

Publication number: JP4714173B2
Application number: JP2007064018A
Authority: JP
Inventors: 大介飯塚; 義政増岡
Original assignee: Hitachi Ltd
Current assignee: Hitachi Ltd
Priority date: 2007-03-13
Filing date: 2007-03-13
Publication date: 2011-06-29
Anticipated expiration: 2027-03-13
Also published as: JP2008225911A; US20080228907A1

Description

本発明はサーバの構成情報を収集するシステム及び、収集した構成情報を構成管理機構が保持するシステムに適用させる構成情報の変更検知方法に関する。

ネットワークに接続された業務サーバ群と業務クライアント群があり、業務サーバ上でプログラムを動作させて業務クライアントにサービスが提供される業務動作環境がある。この環境において、管理者は業務サーバがどのような構成で動作しているのかという構成情報を知るためには、当該業務サーバ上で動作しているプログラムの一覧、該プログラムが使っているリソース又は、該プログラムの設定情報などを構成管理サーバが収集する必要がある。また、収集された設定情報が構成管理サーバで保持される必要もある。

構成情報が収集される技術としては、業務サーバ上でエージェントを動作させないで構成情報が収集される技術又は、エージェントを動作させて構成情報が収集される技術がある。エージェントを動作させないで構成情報が収集される技術は、例えば、まず管理者が管理サーバからｔｅｌｎｅｔやｓｓｈ等のコマンドを使って業務サーバにログインする。そして、管理者がログインした当該業務サーバに標準的にインストールされているコマンド（例えば、ｐｓ）が幾つか業務サーバ上で実行されることによって、構成情報が収集される（非特許文献１）。一方、エージェントを動作させて構成情報が収集される技術は、業務サーバにエージェントがインストールされることによって構成情報が収集される。

しかし、全業務サーバにエージェントをインストールする管理作業に手間がかかるという問題がある。そのため、近年はエージェントを動作させずに構成情報を収集する技術が注目されている。エージェントを動作させない技術では、構成管理サーバが定期的に業務サーバを巡回することによって、構成情報を収集する。収集された構成情報は、構成管理サーバに保存されている構成情報が変更される前の構成情報と比較されることによって、管理者は業務サーバにどのような構成情報が変更されたのかを知ることができる。

また、ネットワークのパケットが取得されて内容を解析する技術が特許文献１に開示されている。特許文献１に開示された技術では、まず業務サーバ上で動作している業務プログラム同士の通信パケットが取得される。そして、取得されたパケットのペイロードが解析されてモデルが生成されることによって、トランザクションモデルが構築される。そのトランザクションモデルに従ったパケットが観測されると、トランザクションの処理状況が分析される。
「ＩＢＭＴｉｖｏｌｉＡｐｐｌｉｃａｔｉｏｎＤｅｐｅｎｄｅｎｃｙＤｉｓｃｏｖｅｒｙＭａｎａｇｅｒ」、［online］、２００６年９月、インターネット〈ＵＲＬ：http://www-306.ibm.com/software/tivoli/products/taddm/〉特開２００６−１１６８３号公報

構成管理サーバが定期的に業務サーバを巡回することによって、構成情報を収集する場合、一般的に構成情報が収集されるまでに時間がかかる。例えば、管理者が業務サーバの構成情報を変更したときに変更された構成情報の内容を知ろうと思っても、構成管理サーバが定期的に全業務サーバを巡回することによって、構成情報が収集されるまでに時間がかかる場合がある。そのため、管理者は、早く構成情報を知ることができない。この問題は、管理者が業務サーバの構成を変更する操作をした直後に、当該業務サーバから優先的に構成情報が収集されるように構成管理サーバに指示すれば解決される。しかし、オペレーションミス等により、管理者が意図せず構成変更を指示した場合、管理者が構成情報収集の指示を忘れてしまった場合、又は、別の管理者が悪意をもって構成情報を変更した後、意図的に構成情報収集を指示しない場合等は、管理者が変更された構成情報の内容を早く知ることができないという課題がある。

そこで、本発明は、管理サーバから業務サーバの構成情報が変更された可能性があるか否かが判定され、その可能性があると判定された場合は、当該業務サーバから構成情報が収集されるように、構成管理サーバに構成情報を収集することによって、この課題を解決することを目的とする。

本発明の代表的な一例を示せば以下の通りである。すなわち、計算機システムに備わる業務サーバの構成情報の変更を検知する方法であって、前記計算機システムは、前記業務サーバと、前記業務サーバを制御する管理サーバと、前記業務サーバの構成情報を管理する構成管理サーバとを備え、前記方法は、前記構成管理サーバは、前記管理サーバから前記業務サーバへ送信されるパケットを取得する第１ステップと、前記構成管理サーバは、取得した前記パケットを用いて、前記構成管理サーバに保持される前記構成情報を参照することによって、前記パケットを受信する前記業務サーバ及び前記業務サーバ上で動作するリソースを特定する第２ステップと、前記構成管理サーバは、前記リソースが前記業務サーバ上で動作することによって、前記業務サーバの前記構成情報が変更される可能性があるか否かを判定する第３ステップと、前記構成管理サーバは、前記第３ステップで前記業務サーバの構成情報が変更される可能性があると判定された場合、前記リソースに関連する構成情報を前記業務サーバから収集する第４ステップと、前記構成管理サーバは、収集された前記構成情報を前記構成管理サーバが保持する前記構成情報と比較することによって、構成情報の変更の有無を判断する第５ステップと、を含み、前記第２ステップでは、前記パケットの宛先ＩＰアドレス及び前記パケットの宛先ポート番号、又は、前記パケットの宛先ＩＰアドレス及び前記ポート番号から求めたサービス名のいずれか一方を用いて、前記構成管理サーバに保持される構成情報を参照し、前記パケットを受信する前記業務サーバ及び前記業務サーバ上で動作するリソースを特定し、前記第３ステップでは、前記業務サーバ上に存在するリソース、前記パケットのプロトコル、前記パケットの宛先ポート番号、前記ポート番号から求めたサービス名、及び前記パケットのペイロードの少なくとも一つを用いて、前記構成情報の変更の可能性を判定する。

本発明の一形態によると、管理サーバから業務サーバへのネットワークパケットの内容が解析され、管理サーバからの操作によって構成情報の変更が起きる可能性があるか否かが判定される。そして、変更が起きる可能性があると判定された場合には、当該業務サーバから構成情報が収集される。これによって、どのような構成変更があったのかを早く知ることができる。また、構成が変更されるリソースが特定されることによって、当該リソースの構成情報のみが収集されるため、構成情報の収集に余分なリソースが使われないようにすることができる。

以下、本発明の実施の形態について図面を参照しながら説明する。

＜実施形態１＞
まず、本発明の第１の実施の形態である変更検知装置について説明する。

図１は、本発明の第１の実施の形態の変更検知システムの構成図である。変更検知システムは、管理サーバ１０４、管理用ネットワーク１０２、業務サーバ１０５、業務用ネットワーク１０３、業務クライアント１０６及び構成管理サーバ１０１を備える。

管理サーバ１０４は、業務サーバ１０５及び業務クライアント１０６の状態を制御又は管理し、パケット観測部１０７を備える。パケット観測部１０７は、管理用ネットワーク１０２に流れるパケットを監視する。なお、パケット観測部１０７は、管理サーバ１０４のメモリにプログラムを格納して、当該プログラムが管理サーバ１０４のプロセッサで実行されてもよい。また、パケット観測部１０７が集積回路化されてハードウェアによって実現されてもよい。

管理用ネットワーク１０２には、管理サーバ１０４、業務サーバ１０５及び構成管理サーバ１０１が接続される。業務サーバ１０５は、業務クライアント１０６に業務サービスを提供する。業務用ネットワーク１０３には、業務クライアント１０６及び業務サーバ１０５が接続される。

管理サーバ１０４、業務サーバ１０５、及び業務クライアント１０６は、２台を例示するが、それぞれ１台又は複数台備わっていてもよい。また、業務用ネットワーク１０３及び管理用ネットワーク１０２が同一のネットワークとなっていてもよい。

構成管理サーバ１０１は、管理パケット取得部１０９、構成変更有無判定部１１０、変更リソース特定部１１１及び構成情報収集部１１２を備える。なお、構成管理サーバ１０１には記憶装置１１３が接続されているが、構成管理サーバ１０１内に記憶装置１１３が備わってもよい。

構成管理サーバ１０１は、管理用ネットワーク１０２を流れるパケットを取得する。取得されたパケットは、構成情報について解析される。そして、解析されたパケットに基づいて、業務サーバ１０５の構成情報に変更された可能性があるかが判定される。なお、本発明の第１の実施の形態では、管理サーバ１０４上で動作しているプログラムのプログラム名、当該プログラムが通信のために使っているＴＣＰ（ＴｒａｎｓｍｉｓｓｉｏｎＣｏｎｔｒｏｌＰｒｏｔｏｃｏｌ）又はＵＤＰ（ＵｓｅｒＤａｔａｇｒａｍＰｒｏｔｏｃｏｌ）のプロトコル種別、及びポート番号の組が構成情報として扱われる。また、構成情報には、プログラムで使用される設定情報、異なる業務サーバ１０５同士の通信トポロジ、又は構成管理サーバ１０１のハードウェアの情報が含まれてもよい。なお、構成管理サーバ１０１は、図２で詳しく説明する。

管理パケット取得部１０９は、管理用ネットワーク１０２を流れるパケットを取得する。取得されたパケットの中から、管理サーバ１０４から業務サーバ１０５へ送信されるパケットが選別され、構成変更有無判定部１１０に転送される。

管理パケット取得部１０９は、管理用ネットワーク１０２を構成するネットワークスイッチのミラーポートから送信されるパケットを取得してもよい。また、管理パケット取得部１０９は、管理サーバ１０４上のパケット観測部１０７が、管理サーバ１０４から管理用ネットワーク１０２へ出力されるパケットを管理パケット取得部１０９に送信することによって、パケットを取得してもよい。また、管理パケット取得部１０９は、構成管理サーバ１０１が、管理サーバ１０４及び業務サーバ１０５の間のネットワークを接続するルータとして設置されることによって、管理サーバ１０４から業務サーバ１０５へ送信されるパケットを取得してもよい。

構成変更有無判定部１１０は、取得されたパケットを解析することによって、業務サーバ１０５の構成が変更される可能性があるか否かを判定する。構成が変更される可能性があると判定される場合、構成変更有無判定部１１０は、変更リソース特定部１１１に当該パケットを転送する。

変更リソース特定部１１１は、取得されたパケットを解析することによって、業務サーバ１０５上にある構成情報が変更されるプログラムを特定できるか否かを判定する。プログラムが特定される場合には、変更リソース特定部１１１は、業務サーバ１０５上にある当該プログラムからのみ構成情報を収集するように構成情報収集部１１２に指示する。一方、プログラムが特定されない場合は、変更リソース特定部１１１は、当該パケットの宛先となる業務サーバ１０５上にある全てのプログラムから構成情報を収集するように、構成情報収集部１１２に指示する。

構成情報収集部１１２は、変更リソース特定部１１１により指定されたリソースから構成情報を収集して、記憶装置１１３に格納する。

なお、管理サーバ１０４が管理パケット取得部１０９を備え、構成管理サーバ１０１は、構成変更有無判定部１１０、変更リソース特定部１１１及び構成情報収集部１１２のみを備えてもよい。この場合、管理サーバ１０４は、管理サーバ１０４から業務サーバ１０５へ送信されるパケットのみを構成管理サーバ１０１に転送する。また、構成管理サーバ１０１全ての処理部が管理サーバ１０４に備わってもよい。

図２は、本発明の第１の実施の形態の構成管理サーバ１０１の構成図である。

構成管理サーバ１０１は、プロセッサ２０１、メモリ２０２、ディスプレイインターフェース２０３、ディスクインターフェース２０４、通信インターフェース２０５、入力インターフェース２０６を備える。なお、それぞれバス２０７で接続されている。

プロセッサ２０１は、メモリ２０２に格納されたプログラムを実行する。メモリ２０２は、管理パケット取得部１０９、構成変更有無判定部１１０、変更リソース特定部１１１及び構成情報収集部１１２で処理されるプログラムを格納する。なお、本発明の第１の実施の形態では、各処理のプログラムがプロセッサ２０１で実行されることにより実現されるが、処理部として集積回路化されてハードウェアで実現されてもよい。

ディスプレイインターフェース２０３は、画面表示装置２０８に接続される。また、ディスクインターフェース２０４は、ハードディスク等の記憶装置１１３に接続される。記憶装置１１３は、サーバ種別テーブル２１２、構成情報テーブル２１３、変更無しテーブル２１４、変更限定テーブル２１５を備える。なお、各テーブルについては、図３から図６で詳しく説明する。また、通信インターフェース２０５は、管理用ネットワーク１０２に接続される。また、入力インターフェース２０６は、キーボード２０９及びマウス２１０に接続される。

図３は、本発明の第１の実施の形態のサーバ種別テーブル２１２である。

サーバ種別テーブル２１２は、ＩＰアドレスに基づいて、管理サーバ１０４又は業務サーバ１０５を特定するために使われる。

サーバ種別テーブル２１２は、ＩＰアドレス３０１及びサーバ種別３０２を含む。ＩＰアドレス３０１は、管理用ネットワーク１０２に接続された管理サーバ１０４又は業務サーバ１０５のＩＰアドレス３０１である。また、サーバ種別３０２は、管理サーバ１０４又は業務サーバ１０５の種別である。

図４は、本発明の第１の実施の形態の構成情報テーブル２１３である。

構成情報テーブル２１３は、ＩＰアドレス、プロトコル及びポート番号に基づいてプログラムを特定するために使われる。

構成情報テーブル２１３は、ＩＰアドレス３０３、プログラム名３０４、プロトコル３０５及びポート番号３０６を含む。

ＩＰアドレス３０３は、管理用ネットワーク１０２に接続された管理サーバ１０４又は業務サーバ１０５のＩＰアドレス３０３である。また、プログラム名３０４は、ＩＰアドレス３０３に対応する業務サーバ１０５上で動作しているプログラムのプログラム名である。また、プロトコル３０５は、業務サーバ１０５がプログラムを動作させるために、パケットを送受信する場合に使われるプロトコル名（ＴＣＰ又はＵＤＰ）である。また、ポート番号３０６は、業務サーバ１０５がプログラムを動作させるために、パケットの送受信に使われるポートの番号である。

図５は、本発明の第１の実施の形態の変更無しテーブル２１４である。

変更無しテーブル２１４は、プロトコル、及びポート番号に基づいて、構成情報が変更されないプログラム名を特定するために使われる。

変更無しテーブル２１４は、プログラム名３０７、プロトコル３０８及びポート番号３０９を含む。

プログラム名３０７は、管理サーバ１０４から業務サーバ１０５へのパケットの送信において、ＴＣＰ又はＵＤＰのあるポートにアクセスすることによって、管理サーバ１０４が当該業務サーバ１０５上で動作しているプログラムと通信する場合に、構成情報が変更されないプログラムのプログラム名である。

プロトコル３０８は、プログラムを動作させるときに、パケットの送受信に使われるプロトコルである。また、ポート番号３０９は、プログラムを動作させるために、パケットの送受信に使われるポートのポート番号である。

図６は、本発明の第１の実施の形態の変更限定テーブル２１５である。

変更限定テーブル２１５は、プロトコル、及びポート番号に基づいて、構成情報が変更されるプログラムが限定されるプログラム名を特定するために使われる。

変更限定テーブル２１５は、プログラム名３１０、プロトコル３１１及びポート番号３１２を含む。

プログラム名３１０は、構成情報が変更される範囲が当該プログラムのみに限定されるプログラム名である。具体的には、管理サーバ１０４から業務サーバ１０５へのパケットの送信において、ＴＣＰ又はＵＤＰのあるポートにアクセスすることで、管理サーバ１０４が当該業務サーバ１０５上で動作しているプログラムと通信する場合に、構成情報が変更される可能性があるプログラムである。

プロトコル３１１は、プログラムを動作させるときに、パケットの送受信に使われるプロトコルである。また、ポート番号３１２は、プログラムを動作させるために、パケットの送受信に使われるポートの番号である。

図７は、本発明の第１の実施の形態のパケットのフォーマットである。

管理パケット取得部１０９は、ＴＣＰパケット４０１又はＵＤＰパケット４０２を取得する。

ＴＣＰパケット４０１は、イーサヘッダ４０３、ＩＰヘッダ４０４、ＴＣＰヘッダ４０５、及びペイロード４０６を含む。

イーサヘッダ４０３の詳細はＩＥＥＥ８０２．３に説明される。ＩＰヘッダ４０４は、送信元ＩＰアドレス４１１及び宛先ＩＰアドレス４１２を含む。なお、ＩＰヘッダ４０４の詳細はＲＦＣ７９１に説明される。ＴＣＰヘッダ４０５は、送信元ポート番号４１３、宛先ポート番号４１４及び制御ビット４１６を含む。なお、ＴＣＰヘッダ４０５の詳細はＲＦＣ７９３に説明される。ペイロード４０６は、構成情報の内容等のデータを含む。

ＵＤＰパケット４０２は、イーサヘッダ４０３、ＩＰヘッダ４０４、ＵＤＰヘッダ４０７及びペイロード４０６を含む。

ＵＤＰヘッダ４０７は、送信元ポート番号４１７及び宛先ポート番号４１８を含む。なお、ＵＤＰヘッダの詳細はＲＦＣ７６８に説明される。

管理パケット取得部１０９は、ＴＣＰパケット４０１及びＵＤＰパケット４０２のフォーマットと照合することによって、当該パケットの送信元ＩＰアドレス４１１、宛先ＩＰアドレス４１２、プロトコル、送信元ポート番号４１３、宛先ポート番号４１４、制御ビット４１６及びペイロード４０６を得る。

図８は、本発明の第１の実施の形態における構成管理サーバ１０１の変更検知処理のフローチャートである。

変更検知処理は、管理用ネットワーク１０２を介して管理サーバ１０４と業務サーバ１０５との間でパケットが送受信されると開始される。

まず、管理パケット取得部１０９は、管理用ネットワーク１０２上のネットワークスイッチ又は管理サーバ１０４上のパケット観測部１０７から、ＴＣＰ又はＵＤＰのパケットを取得する（ステップ５０１）。

次に、管理パケット取得部１０９は、取得されたパケットの送信元ＩＰアドレスと、サーバ種別テーブル２１２に格納されているＩＰアドレス３０１とを照合する。照合した結果、サーバ種別３０２が管理サーバ１０４である場合、変更検知処理を継続する。一方、サーバ種別３０２が業務サーバ１０５である場合、変更検知処理を終了する（ステップ５０２）。

次に、管理パケット取得部１０９は、取得されたパケットの宛先ＩＰアドレスと、サーバ種別テーブル２１２に格納されているＩＰアドレス３０１とを照合する。照合した結果、サーバ種別３０２が業務サーバ１０５である場合、変更検知処理を継続する。一方、サーバ種別３０２が業務サーバ１０５でない場合、変更検知処理を終了する（ステップ５０３）。

次に、管理パケット取得部１０９は、取得されたパケットの宛先ＩＰアドレス、プロトコル及び宛先ポート番号と、構成情報テーブル２１３に格納されているＩＰアドレス３０３、プロトコル３０５及びポート番号３０６とを照合する。照合した結果、ＩＰアドレス３０３、プロトコル３０５及びポート番号３０６に対応するプログラム名３０４が得られる。プログラム名が得られることによって、パケットを受信するプログラムを特定する（ステップ５０４）。

次に、構成変更有無判定部１１０は、ステップ５０４で得られたプログラム名、取得されたパケットのプロトコル及び宛先ポート番号と、変更無しテーブル２１４に格納されているプログラム名３０７、プロトコル３０８及びポート番号３０９とを照合する。照合した結果、変更無しテーブル２１４に合致するレコードがある場合、取得されたパケットによる構成情報が変更されないと判定され、変更検知処理を終了する。一方、変更無しテーブル２１４に合致するレコードが無い場合は、構成情報が変更される可能性があると判定され、変更検知処理を継続する（ステップ５０５）。

なお、ステップ５０５での処理において、取得されたパケットがＴＣＰパケットの場合は、ＴＣＰヘッダ４０５に含まれる制御ビット４１６が参照される。参照された制御ビット４１６のＳＹＮ、ＦＩＮ及びＲＳＴを示すフラグのうち少なくとも一つのビットが１である場合、取得されたパケットはＴＣＰの通信制御に使われるため、構成情報が変更されないと判定され、変更検知処理を終了してもよい。また、取得されたパケットのペイロード４０６のサイズが０である場合は、取得されたパケットによる構成情報が変更されないと判定され、変更検知処理を終了してもよい。

次に、変更リソース特定部１１１は、ステップ５０４で得られたプログラム名、取得されたパケットのプロトコル及び宛先ポート番号と、変更限定テーブル２１５に格納されているプログラム名３１０、プロトコル３１１及びポート番号３１２とを照合する。照合した結果に基づいて、構成情報が変更されるプログラムが限定されるか判定される（ステップ５０６）。なお、ステップ５０５をステップ５０６より先に実行することによって、ステップ５０６で判定の対象となるパケットが絞り込まれるため、ステップ５０６以降の処理の負荷を減らすことができる。

次に、変更リソース特定部１１１は、ステップ５０６で変更限定テーブル２１５に合致するレコードがある場合、取得されたパケットの宛先ＩＰアドレスが示す業務サーバ１０５上で動作しているプログラムのうち、ステップ５０４で得たプログラム名に合致するプログラムからのみ構成情報を収集するように、構成情報収集部１１２に指示する（ステップ５０７）。

一方、変更限定テーブル２１５に合致するレコードが無い場合は、取得されたパケットの宛先ＩＰアドレスが示す業務サーバ１０５上で動作している全てのプログラムから構成情報が収集されるように、構成情報収集部１１２に指示する（ステップ５０８）。

次に、構成情報収集部１１２は、パケットの宛先ＩＰアドレスが示す業務サーバ１０５において、構成情報が収集されるアプリケーションが動いているかに基づいて、収集対象となっているプログラムの構成情報が収集されているか否かを判定する。構成情報が収集されている場合、変更検知処理を終了する。つまり、構成情報が収集されている場合は、業務サーバ１０５の構成情報を収集する必要がないと判定される。一方、構成情報が収集されていない場合、変更検知処理を継続する（ステップ５０９）。

次に、構成情報収集部１１２は、変更リソース特定部１１１に指示された内容に従って、指定された業務サーバ１０５上のプログラムから構成情報を収集する（ステップ５１０）。

続いて、構成情報収集部１１２は、収集した構成情報と、構成情報テーブル２１３に格納されている構成情報とを比較する。比較した結果、変更された構成情報の内容が画面表示装置２０８に表示される（ステップ５１１）。

最後に、収集された構成情報が構成情報テーブル２１３に格納される（ステップ５１２）。そして、構成情報収集部１１２は、処理を終了する。

なお、ステップ５１１では、構成情報の変更内容の代わりに、収集された構成情報がそのまま表示されてもよいし、構成情報の変更内容及び収集された構成情報が表示されてもよい。また、画面表示装置２０８に表示される代わりに、例えば、ファイルのような形式として記憶装置１１３内に記録されてもよいし、ネットワークを経由して管理サーバ１０４に通知されてもよい。

また、構成情報収集部１１２が、全業務サーバ１０５から構成情報を定期収集する作業を処理している場合は、図８の処理全体の実行が停止させるようにしてもよい。

本発明の第１の実施の形態により、管理サーバ１０４は、業務サーバ１０５上で動作するプログラムの構成情報が変更された可能性があるかどうかを判定できるようになる。そして、構成情報が変更された可能性があると判定された場合には、当該業務サーバ１０５上で動作するプログラム全体又は、当該業務サーバ１０５上で動作する特定のプログラムの構成情報を収集することによって、業務の管理者は、どのような変更があったのかを知ることができるようになる。

なお、本発明の第１の実施の形態の処理とは別に、構成情報収集部１１２が、定期的に業務サーバ１０５の構成情報を収集してもよい。これにより、例えば、業務の管理者が業務サーバ１０５のコンソールを使って構成情報を変更する等、業務用ネットワーク１０３が使われずに構成情報が変更された場合でも、業務の管理者は、どのような変更があったのかを知ることができる。

＜実施形態２＞
本発明の第１の実施の形態では、構成情報の変更を検知するためにパケットに含まれるポート番号を使用していた。一方、本発明の第２の実施の形態では、ポート番号の代わりにサービス名を使用する。

具体的には、構成情報テーブル２１３に、ポート番号の代わりにサービス名が定義される。

サービス名は、ＩＰアドレス３０１が示す業務サーバ１０５上において、ポート番号３０６と一意的に対応したサービス名である。

Ｕｎｉｘ（登録商標）等のＯＳでは、／ｅｔｃ／ｓｅｒｖｉｃｅｓファイルを参照することによって、ポート番号に対応したサービス名を取得する。さらに、変更無しテーブル２１４では、ポート番号３０９の代わりに、ポート番号に対応したサービス名が定義される。また、変更限定テーブル２１５も同じように、ポート番号３１２の代わりに、ポート番号に対応したサービス名が定義される。

そして、変更検知処理では、図８のステップ５０４で管理パケット取得部１０９が、サービス名を取得する。また、ステップ５０５で構成変更有無判定部１１０は、取得されたパケットの宛先ポート番号と、変更無しテーブル２１４のポート番号とを比較する代わりに、ステップ５０４で取得されたサービス名と、変更無しテーブル２１４のサービス名とを比較する。また、ステップ５０６で変更リソース特定部１１１は、取得されたパケットの宛先ポート番号と、変更限定テーブル２１５のポート番号とを比較する代わりに、ステップ５０４で取得されたサービス名と、変更限定テーブル２１５のサービス名とを比較する。

本発明の第２の実施の形態によって、プログラムで使われるポート番号がデフォルトの値から変更された場合であっても、管理サーバ１０４からの操作によって、特定の業務サーバ１０５上で動作するプログラムの構成情報が変更された可能性が高いかを判定することができる。さらに、変更がされた可能性が高い場合には、特定の業務サーバ１０５上で動作するプログラム全体又は、特定の業務サーバ１０５上で動作する特定のプログラムの構成情報が収集されることで、構成情報がどのように変更されたのかを業務の管理者が知ることができる。

＜実施形態３＞
本発明の第３の実施の形態では、取得されるパケットがＳＮＭＰパケットである場合に、構成情報の変更が検知されるように判定処理を変更する。

図９は、本発明の第３の実施の形態で使用される、ＳＮＭＰ（ＳｉｍｐｌｅＮｅｔｗｏｒｋＭａｎａｇｅｍｅｎｔＰｒｏｔｏｃｏｌ）パケットのフォーマットである。ＳＮＭＰパケットの詳細については、ＲＦＣ１１５７に説明される。

ＳＮＭＰパケット６０１は、ＵＤＰパケット４０２のペイロード４０６にＳＮＭＰデータ６０２を含む。ＳＮＭＰデータ６０２は、ＰＤＵ種別６０３と、ＯＩＤ６０４を含む。

図１０は、本発明の第３の実施の形態における構成管理サーバ１０１の変更検知処理のフローチャートである。

変更検知処理は、本発明の第１の実施の形態と同じように、管理用ネットワーク１０２を介して管理サーバ１０４と業務サーバ１０５との間でパケットが送受信されると開始される。

ステップ８０１からステップ８０４は本発明の第１の実施の形態の図８のステップ５０１からステップ５０４と同じである。

ステップ８０４で、パケットを受信するプログラムが特定された後、プロトコル及びポート番号が参照されることによって、ペイロード４０６を参照する必要があるパケットであるか否かが判定される（ステップ８０５）。

具体的には、当該受信されたパケットがＵＤＰパケット４０２及び、当該パケットの宛先ポート番号が１６１である場合に、ＳＮＭＰパケットであると判定される。そして、ＳＮＭＰパケットであると判定されたパケットは、ペイロード４０６を参照する必要があると判定される。

ステップ８０５でペイロード４０６を参照する必要がないと判定された場合、ステップ８０６に進み、本発明の第１の実施の形態の図８のステップ５０５以降と同じように処理される。

ペイロード４０６を参照する必要があると判定されたＳＮＭＰパケットは、ＳＮＭＰパケットのペイロード４０６に特定のメッセージが含まれるか判定される（ステップ８０７）。

具体的には、ＳＮＭＰパケットのペイロード４０６にＳｅｔＲｅｑｕｅｓｔメッセージが含まれていない場合は、構成情報が変更されないため変更検知処理を終了する。一方、ＳＮＭＰパケットのペイロード４０６にＳｅｔＲｅｑｕｅｓｔメッセージが含まれる場合は、構成情報が変更される可能性が高いと判定される。また、構成情報の収集対象は、業務サーバ１０５上で動作している全てのプログラムとなり、ステップ８１０に進む。なお、ＳＮＭＰパケットのペイロード４０６にＳｅｔＲｅｑｕｅｓｔメッセージが含まれているか確認するには、ＳＮＭＰパケットに含まれるＰＤＵ（ＰｒｏｔｏｃｏｌＤａｔａＵｎｉｔｓ）種別６０３を確認すればよい。

次に、業務サーバ１０５上で動作している全てのプログラムから構成情報が収集されるように、構成情報収集部１１２に指示される（ステップ８１０）。

以降のステップ８１１からステップ８１４の処理については、本発明の第１の実施の形態の図８のステップ５０９からステップ５１２と同じである。

本発明の第３の実施の形態により、管理サーバ１０４は、ＳＮＭＰを使って特定の業務サーバ１０５上で動作するプログラムの構成情報を変更した可能性が高いかどうかを判定できるようになる。そして、変更があった可能性が高い場合は、特定の業務サーバ１０５上で動作するプログラム全体の構成情報が収集されることによって、業務の管理者は、どのような構成情報の変更があったのかを知ることができる。

＜実施形態４＞
本発明の第３の実施の形態を一部変更した本発明の第４の実施の形態について説明する。

図１１は、本発明の第４の実施の形態で使用される、記憶装置１１３に格納されたＳＮＭＰ変更限定テーブル６０５である。

ＳＮＭＰ変更限定テーブル６０５は、ＯＩＤに基づいて、構成情報が変更されるプログラムが限定されるプログラム名を特定するために使われる。

ＳＮＭＰ変更限定テーブル６０５は、プログラム名６０６及びＯＩＤ６０７を含む。

プログラム名６０６は、ＳＮＭＰパケットに含まれるＳｅｔＲｅｑｕｅｓｔメッセージによって構成情報が変更されるプログラムについて、構成情報が変更される範囲が当該プログラムにのみ限定されるプログラム名である。

ＯＩＤ６０７は、当該ＳＮＭＰパケットに含まれるＳｅｔＲｅｑｕｅｓｔメッセージによって変更の対象となるＯＩＤ（ＯｂｊｅｃｔＩｄｅｎｔｉｆｉｅｒ）である。

本発明の第４の実施の形態は、本発明の第３の実施の形態のステップ８０７において、ＳＮＭＰパケットにＳｅｔＲｅｑｕｅｓｔメッセージが含まれる場合、ステップ８０８に進む。

次に、ＳＮＭＰパケットのペイロード４０６の内容が解析される。解析されたペイロード４０６からＯＩＤが取得される。取得されたＯＩＤは、ＳＮＭＰ変更限定テーブル６０５に格納されているＯＩＤ６０７と照合される（ステップ８０８）。

ＳＮＭＰ変更限定テーブル６０５に合致するＯＩＤがある場合、パケットの宛先となる業務サーバ１０５上で動作しているプログラムのうち、ＳＮＭＰ変更限定テーブル６０５に合致するＯＩＤに対応するプログラムからのみ構成情報が収集されるように、構成情報収集部１１２に指示される（ステップ８０９）。一方、ＳＮＭＰ変更限定テーブル６０５に合致するＯＩＤが無い場合、パケットの宛先となる業務サーバ１０５上で動作している全てのプログラムから構成情報が収集されるように、構成情報収集部１１２に指示される（ステップ８１０）。

なお、ＯＩＤが照合されるとき、ＳＮＭＰパケットから取得されたＯＩＤが、ＳＮＭＰ変更限定テーブル６０５のＯＩＤ６０７のサブツリーとなっている場合にも、ＯＩＤが合致したとみなしてもよい。

本発明の第４の実施の形態によって、管理サーバ１０４からＳＮＭＰを使って、特定の業務サーバ１０５上で動作する特定のプログラムの構成情報が変更された可能性が高いかどうかが判定される。そして、変更された可能性が高い場合は、特定の業務サーバ１０５上で動作する特定のプログラムの構成情報が収集されることによって、業務の管理者は、構成情報にどのような変更がされたのかを知ることができる。

＜実施形態５＞
本発明の第５の実施の形態では、取得されるパケットにＳＯＡＰメッセージが含まれる場合において、構成情報の変更を検知できるように判定処理を変更する。

図１２は、本実施例で使用するＷＳ−ＭａｎａｇｅｍｅｎｔのＳＯＡＰメッセージを含むＨＴＴＰパケットのフォーマットである。ＷＳ−Ｍａｎａｇｅｍｅｎｔについては、ＤＭＴＦ（ＤｉｓｔｒｉｂｕｔｅｄＭａｎａｇｅｍｅｎｔＴａｓｋＦｏｒｃｅ）のＷＳ−Ｍａｎａｇｅｍｅｎｔ標準に説明される。また、ＳＯＡＰメッセージについては、Ｗ３Ｃ（ＷｏｒｌｄＷｉｄｅＷｅｂＣｏｎｓｏｒｔｉｕｍ）のＳＯＡＰバージョン１．２の勧告に説明される。

ＷＳ−ＭａｎａｇｅｍｅｎｔのＳＯＡＰメッセージを含むＨＴＴＰパケットは、イーサヘッダ４０３、ＩＰヘッダ４０４、ＴＣＰヘッダ４０５、ＨＴＴＰヘッダ７０２及びエンティティボディ７０３を含む。

図１２では、ＨＴＴＰパケット７０１のエンティティボディ７０３に、ＳＯＡＰメッセージが含まれているが、ＳＭＴＰ（ＳｉｍｐｌｅＭａｉｌＴｒａｎｓｆｅｒＰｒｏｔｏｃｏｌ）のような他のプロトコルにＳＯＡＰメッセージが含まれていても良い。なお、ＨＴＴＰについては、ＲＦＣ２６１６に説明される。また、ＳＭＴＰについては、ＲＦＣ８２１に説明される。また、ＨＴＴＰヘッダ７０２については、ＲＦＣ２０６８に説明される。

エンティティボディ７０３は、ＳＯＡＰメッセージ詳細７０４を含む。ＳＯＡＰメッセージ詳細７０４は、ＳＯＡＰメッセージの内容を文字列表記し、その表記を一部省略したものである。また、ＳＯＡＰメッセージ詳細７０４はＳＯＡＰエンベロープ要素７０５をルートとするＸＭＬ文書から成る。なお、ＸＭＬについては、Ｗ３ＣのＸＭＬバージョン１．１の勧告に説明される。

エンベロープ要素７０５は、ＳＯＡＰヘッダ要素７０６、ＳＯＡＰボディ要素７０７を含む。ＳＯＡＰヘッダ要素７０６は、ＲｅｓｏｕｒｃｅＵＲＩ要素７０８、０個以上のＳｅｌｅｃｔｏｒ要素７０９、Ａｃｔｉｏｎ要素７１０を含む。ＲｅｓｏｕｒｃｅＵＲＩ要素７０８及びＳｅｌｅｃｔｏｒ要素７０９は、ＷＳ−Ｍａｎａｇｅｍｅｎｔに規定されている。また、Ａｃｔｉｏｎ要素７１０はＷＳ−Ａｄｄｒｅｓｓｉｎｇ（ＷｅｂＳｅｒｖｉｃｅｓＡｄｄｒｅｓｓｉｎｇ）に規定されている。なお、ＷＳ−Ａｄｄｒｅｓｓｉｎｇは、Ｗ３ＣのＷＳ−Ａｄｄｒｅｓｓｉｎｇに説明される。

Ａｃｔｉｏｎ要素７１０が、http://schemas.xmlsoap.org/ws/2004/09/transfer/Getである場合は、当該ＳＯＡＰメッセージがＷＳ−Ｔｒａｎｓｆｅｒ（ＷｅｂＳｅｒｖｉｃｅＴｒａｎｓｆｅｒ）のリソースオペレーションＧｅｔである。なお、ＷＳ−Ｔｒａｎｓｆｅｒについては、Ｗ３ＣのＷＳ−Ｔｒａｎｓｆｅｒに説明される。

本発明の第５の実施の形態は、本発明の第３の実施の形態と同様に図１０に示されるフローチャートで処理される。

ステップ８０１からステップ８０４は本発明の第１の実施の形態の図８におけるステップ５０１からステップ５０４と同じように処理される。

ステップ８０４でパケットを受信するプログラムが特定された後、プロトコル及びポート番号が参照されることによって、ペイロード４０６を参照する必要があるか判定される（ステップ８０５）。

具体的には、受信されたパケットのプロトコル及び宛先ポート番号の組み合わせに基づいて、当該パケットがＨＴＴＰパケットであると判定された場合に、ペイロード４０６を参照する必要があると判定される。

ステップ８０５でペイロード４０６を参照する必要がないと判定された場合、ステップ８０６に進む。ステップ８０６以降は、本発明の第１の実施の形態の図８のステップ５０５以降と同じように処理される。

ペイロード４０６を参照する必要があると判断されたＨＴＴＰパケットは、ペイロード４０６に特定のメッセージが含まれているか判定される（ステップ８０７）。

具体的には、ペイロード４０６にＳＯＡＰメッセージが含まれていない場合、構成情報は変更されないため処理が終了される。また、ＳＯＡＰメッセージが含まれている場合でも、ＳＯＡＰメッセージがＷＳ−ＴｒａｎｓｆｅｒのリソースオペレーションＧｅｔである場合は、構成情報が変更されないため処理が終了される。一方、ペイロード４０６にＳＯＡＰメッセージが含まれている場合で、さらに、ＳＯＡＰメッセージがＷＳ−ＴｒａｎｓｆｅｒのリソースオペレーションＧｅｔ以外の場合は、構成情報が変更される可能性があると判定される。また、構成情報の収集対象は、業務サーバ１０５上で動作している全てのプログラムとなり、ステップ８１０に進む。

本発明の第５の実施の形態により、管理サーバ１０４は、ＷＳ−Ｍａｎａｇｅｍｅｎｔを使って特定の業務サーバ１０５上で動作するプログラムの構成情報を変更した可能性が高いかどうかが判定できる。そして、変更があった可能性が高い場合は、特定の業務サーバ１０５上で動作するプログラム全体の構成情報が収集されることによって、業務の管理者は、どのような変更があったのかを知ることができる。

＜実施形態６＞
以下に本発明の第５の実施の形態を変更した本発明の第６の実施の形態について説明する。

図１３は、本発明の第６の実施の形態で使用される、記憶装置１１３に格納されたＷＳ−Ｍａｎａｇｅｍｅｎｔ変更限定テーブル７１１である。

ＷＳ−Ｍａｎａｇｅｍｅｎｔ変更限定テーブル７１１は、ＲｅｓｏｕｒｃｅＵＲＩ、及びＳｅｌｅｃｔｏｒに基づいて、構成情報が変更されるプログラムが限定されるプログラム名を特定されるために使われる。

ＷＳ−Ｍａｎａｇｅｍｅｎｔ変更限定テーブル７１１は、プログラム名７１２、ＲｅｓｏｕｒｃｅＵＲＩ７１３及びＳｅｌｅｃｔｏｒ７１４を含む。

プログラム名７１２は、ＷＳ−Ｍａｎａｇｅｍｅｎｔのメッセージによって構成情報が変更される範囲が当該プログラムにのみに限定されるプログラムである。

ＲｅｓｏｕｒｃｅＵＲＩ７１３は、ＷＳ−Ｍａｎａｇｅｍｅｎｔメッセージから当該プログラムを識別するための識別子である。また、Ｓｅｌｅｃｔｏｒ７１４も、ＷＳ−Ｍａｎａｇｅｍｅｎｔメッセージから当該プログラムを識別するための識別子である。なお、一つのＷＳ−Ｍａｎａｇｅｍｅｎｔのメッセージには０個以上のＳｅｌｅｃｔｏｒ要素７０９が含まれるため、Ｓｅｌｅｃｔｏｒ７１３の１レコードは、Ｓｅｌｅｃｔｏｒの名前及びＳｅｌｅｃｔｏｒの値の組を０組以上含む。

本発明の第６の実施の形態は、本発明の第５の実施の形態のステップ８０７において、ＳＯＡＰメッセージがＷＳ−ＴｒａｎｓｆｅｒのリソースオペレーションＧｅｔ以外の場合、ステップ８０６に進む。

次に、ＨＴＴＰパケットに含まれるＲｅｓｏｕｒｃｅＵＲＩ要素７０８の値及びＳｅｌｅｃｔｏｒ要素７０９の値と、ＷＳ−Ｍａｎａｇｅｍｅｎｔ変更限定テーブル７１１のＲｅｓｏｕｒｃｅＵＲＩ７１３及びＳｅｌｅｃｔｏｒ７１４とが照合される（ステップ８０８）。

照合された結果、ＲｅｓｏｕｒｃｅＵＲＩ要素７０８の値及びＳｅｌｅｃｔｏｒ要素７０９の値が合致するレコードがある場合は、当該合致したレコードのプログラム名７１２に対応したプログラムからのみ構成情報が収集されるように、構成情報収集部１１２に指示される（ステップ８０９）。一方、ＷＳ−Ｍａｎａｇｅｍｅｎｔ変更限定テーブル７１１に合致するレコードが無い場合は、パケットの宛先となる業務サーバ１０５上で動作している全てのプログラムから構成情報が収集されるように、構成情報収集部１１２に指示される（ステップ８１０）。

本発明の第６の実施の形態により、管理サーバ１０４は、ＷＳ−Ｍａｎａｇｅｍｅｎｔを使って特定の業務サーバ１０５上で動作する特定のプログラムの構成情報を変更した可能性が高いかどうかが判定できる。そして、変更があった可能性が高い場合には、特定の業務サーバ１０５上で動作する特定のプログラムの構成情報が収集されることによって、業務の管理者は、どのような変更があったのかを知ることができるようになる。

本発明の第１の実施の形態のシステムを示す構成図である。本発明の第１の実施の形態の構成管理サーバを示す構成図である。本発明の第１の実施の形態のサーバ種別テーブルを示す構成図である。本発明の第１の実施の形態の構成情報テーブルを示す構成図である。本発明の第１の実施の形態の変更無しテーブルを示す構成図である。本発明の第１の実施の形態の変更限定テーブルを示す構成図である。本発明の第１の実施の形態のＴＣＰ及びＵＤＰパケットを示す構成図である。本発明の第１の実施の形態の構成管理サーバにおける変更検知処理のフローチャートである。本発明の第３の実施の形態のＳＮＭＰパケットを示す構成図である。本発明の第３の実施の形態の構成管理サーバにおける変更検知処理のフローチャートである。本発明の第４の実施の形態のＳＮＭＰ変更限定テーブルを示す構成図である。本発明の第５の実施の形態のＷＳ−Ｍａｎａｇｅｍｅｎｔパケットの説明図。本発明の第６の実施の形態のＷＳ−Ｍａｎａｇｅｍｅｎｔ変更限定テーブルの説明図

符号の説明

１０１構成管理サーバ
１０２管理用ネットワーク
１０３業務用ネットワーク
１０４管理サーバ
１０５業務管理サーバ
１０６業務クライアント
１０９管理パケット取得部
１１０構成変更有無判定部
１１１変更リソース特定部
１１２構成情報収集部
２１２サーバ種別テーブル
２１３構成情報テーブル
２１４変更無しテーブル
２１５変更限定テーブル
３１３サービス名
３１４サービス名
３１５サービス名
４０１ＴＣＰパケット
４０２ＵＤＰパケット
６０１ＳＮＭＰパケット
６０３ＰＤＵ種別
６０４ＯＩＤ
６０５ＳＮＭＰ変更限定テーブル
７０１ＷＳ−Ｍａｎａｇｅｍｅｎｔパケット
７１１ＷＳ−Ｍａｎａｇｅｍｅｎｔ変更限定テーブル

Claims

計算機システムに備わる業務サーバの構成情報の変更を検知する方法であって、
前記計算機システムは、前記業務サーバと、前記業務サーバを制御する管理サーバと、前記業務サーバの構成情報を管理する構成管理サーバとを備え、
前記方法は、
前記構成管理サーバは、前記管理サーバから前記業務サーバへ送信されるパケットを取得する第１ステップと、
前記構成管理サーバは、取得した前記パケットを用いて、前記構成管理サーバに保持される前記構成情報を参照することによって、前記パケットを受信する前記業務サーバ及び前記業務サーバ上で動作するリソースを特定する第２ステップと、
前記構成管理サーバは、前記リソースが前記業務サーバ上で動作することによって、前記業務サーバの前記構成情報が変更される可能性があるか否かを判定する第３ステップと、
前記構成管理サーバは、前記第３ステップで前記業務サーバの構成情報が変更される可能性があると判定された場合、前記リソースに関連する構成情報を前記業務サーバから収集する第４ステップと、
前記構成管理サーバは、収集された前記構成情報を前記構成管理サーバが保持する前記構成情報と比較することによって、構成情報の変更の有無を判断する第５ステップと、を含み、
前記第２ステップでは、前記パケットの宛先ＩＰアドレス及び前記パケットの宛先ポート番号、又は、前記パケットの宛先ＩＰアドレス及び前記ポート番号から求めたサービス名のいずれか一方を用いて、前記構成管理サーバに保持される構成情報を参照し、前記パケットを受信する前記業務サーバ及び前記業務サーバ上で動作するリソースを特定し、
前記第３ステップでは、前記業務サーバ上に存在するリソース、前記パケットのプロトコル、前記パケットの宛先ポート番号、前記ポート番号から求めたサービス名、及び前記パケットのペイロードの少なくとも一つを用いて、前記構成情報の変更の可能性を判定することを特徴とする変更検知方法。
計算機システムに備わる業務サーバの構成情報を管理し、前記業務サーバの構成情報の変更を検知する構成管理装置であって、
前記計算機システムは、前記業務サーバと、前記業務サーバを制御する管理サーバとを備え、
前記構成管理装置は、
前記管理サーバから業務サーバへ送信されるパケットを取得し、前記取得したパケットを用いて、前記構成管理サーバに保持される前記構成情報を参照して、前記パケットを受信する前記業務サーバ及び前記業務サーバ上に存在するリソースを特定する管理パケット取得部と、
前記業務サーバ上に存在するリソースの構成情報が前記特定されたリソースの動作によって変更される可能性があるか否かを判定する構成変更可能性判定部と、
前記構成変更可能性判定部で前記業務サーバの構成情報が変更される可能性があると判定した場合、前記リソースに関連する構成情報を前記業務サーバから収集する構成情報収集部と、
前記構成情報収集部が収集した構成情報と前記構成情報装置が保持する前記構成情報とを比較することによって、構成情報の変更の有無を判定する構成変更判定部と、を備え、
前記管理パケット取得部は、前記パケットの宛先ＩＰアドレス及び前記パケットの宛先ポート番号、又は、前記パケットの宛先ＩＰアドレス及び前記ポート番号から求めたサービス名のいずれか一方を用いて、前記構成管理サーバに保持される構成情報を参照し、前記パケットを受信する前記業務サーバ及び前記業務サーバ上で動作するリソースを特定し、
前記構成変更可能性判定部では、前記業務サーバ上に存在するリソース、前記パケットのプロトコル、前記パケットの宛先ポート番号、前記ポート番号から求めたサービス名、及び前記パケットのペイロードの少なくとも一つを用いて、前記構成情報の変更の可能性を判定することを特徴とする構成管理装置。