JP5387415B2 - 仮想計算機システム、ポリシ強制システム、ポリシ強制方法及び仮想計算機制御用プログラム - Google Patents

仮想計算機システム、ポリシ強制システム、ポリシ強制方法及び仮想計算機制御用プログラム Download PDF

Info

Publication number
JP5387415B2
JP5387415B2 JP2009546929A JP2009546929A JP5387415B2 JP 5387415 B2 JP5387415 B2 JP 5387415B2 JP 2009546929 A JP2009546929 A JP 2009546929A JP 2009546929 A JP2009546929 A JP 2009546929A JP 5387415 B2 JP5387415 B2 JP 5387415B2
Authority
JP
Japan
Prior art keywords
setting
guest
application
setting item
value
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
JP2009546929A
Other languages
English (en)
Other versions
JPWO2009081530A1 (ja
Inventor
浩 寺崎
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
NEC Corp
Original Assignee
NEC Corp
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by NEC Corp filed Critical NEC Corp
Priority to JP2009546929A priority Critical patent/JP5387415B2/ja
Publication of JPWO2009081530A1 publication Critical patent/JPWO2009081530A1/ja
Application granted granted Critical
Publication of JP5387415B2 publication Critical patent/JP5387415B2/ja
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F9/00—Arrangements for program control, e.g. control units
    • G06F9/06—Arrangements for program control, e.g. control units using stored programs, i.e. using an internal store of processing equipment to receive or retain programs
    • G06F9/44—Arrangements for executing specific programs
    • G06F9/455—Emulation; Interpretation; Software simulation, e.g. virtualisation or emulation of application or operating system execution engines
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/52—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems during program execution, e.g. stack integrity ; Preventing unwanted data erasure; Buffer overflow
    • G06F21/53—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems during program execution, e.g. stack integrity ; Preventing unwanted data erasure; Buffer overflow by executing in a restricted environment, e.g. sandbox or secure virtual machine
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F2221/00—Indexing scheme relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/21—Indexing scheme relating to G06F21/00 and subgroups addressing additional information or applications relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/2141—Access rights, e.g. capability lists, access control lists, access tables, access matrices
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F2221/00—Indexing scheme relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/21—Indexing scheme relating to G06F21/00 and subgroups addressing additional information or applications relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/2149—Restricted operating environment
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H04L63/102—Entity profiles

Landscapes

  • Engineering & Computer Science (AREA)
  • Software Systems (AREA)
  • Theoretical Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Physics & Mathematics (AREA)
  • General Engineering & Computer Science (AREA)
  • General Physics & Mathematics (AREA)
  • Computer Hardware Design (AREA)
  • Stored Programmes (AREA)
  • Storage Device Security (AREA)

Description

本発明は、仮想計算機システム、ポリシ強制システム、ポリシ強制方法及び仮想計算機制御用プログラムに関する。
仮想計算機システム（Virtual Machine System）とは、実計算機であるホストコンピュータ上に１つ以上の仮想計算機（Virtual Machine）を生成し、各々の仮想計算機上でＯＳをそれぞれ独立に実行させることを可能にしたシステムである。仮想計算機は、ホストコンピュータの資源（リソース）を利用して運用される。仮想計算機上で稼働される仮想的なＯＳを、ゲストＯＳという。
これまで、仮想計算機システムを用いない通常のコンピュータシステム（ＰＣなど）においては、ＯＳおよびアプリケーションソフトウェアの設定を強制する場合、ＯＳで準備されている機能、または専用のエージェントをインストールすることで実現していた。なお、ポリシの強制という表現には、セキュリティポリシに沿った設定値を強制的に設定するだけでなく、それを適用させる行為を含んでいる。
近年、ユーザが利用するＯＳを分けることができる仮想計算機システムが注目を集めている。仮想計算機システムでは、ゲストＯＳからのハードウェアアクセスは仮想化され、ＶＭＭを経由することによって物理デバイスへの実際のアクセスを実現している。仮想計算機システムにおけるゲストＯＳおよびそのゲストＯＳで動作するアプリケーションに対するポリシの強制に関し、例えば、特許文献１には、ホストＯＳ（具体的には、ハイパバイザ）が表示する制御画面を有し、その制御画面にゲストＯＳに対するコマンドと実行条件等を入力して、そのコマンド等をホストＯＳ側からの入力によりゲストＯＳに実行させる計算機システムが記載されている。
また、例えば、特許文献２には、ホストＯＳ側の操作によって、ゲストＯＳ配下の自動起動ファイルや動作環境ファイルのパラメータを変更することにより、ゲストＯＳ上で動作する応用プログラムの起動やゲストＯＳ配下の応用プログラムが動作するのに必要な動作環境（ゲストＯＳの動作環境）の変更を行うことができるプログラム起動方法が記載されている。
また、例えば、特許文献３には、ユーザによって画面上で編集された構成データを、プラント内の各装置のデータ形式に変換して送信することにより、プラント内の装置の変更等を行うプロセス監視システムが記載されている。
また、例えば、特許文献４には、情報処理装置におけるネットワーク設定情報を自動で取得する方法が記載されており、また、例えば、特許文献５には、印刷処理装置における濃度設定パラメータを強制的に設定する方法が開示されている。
特開２００５−１３５１３７号公報 特開平０５−０５３８３３号公報 特開２００４−３３４３６０号公報 特開２００３−１１０５６４号公報 特開２００４−３０６５５５号公報
現在、多くの企業が企業内での情報共有を目的に、イントラネットと呼ばれる情報処理インフラストラクチャを整備している。イントラネットは、サーバやクライアントなどの任意の数のコンピュータシステムによって構成される。
これまで、仮想計算機システムを用いない通常のコンピュータシステム（パーソナルコンピュータなど）において、ＯＳやそのＯＳ上で動作するアプリケーション（応用プログラム）にセキュリティポリシ（以下、単にポリシと呼ぶことがある。）を強制する場合には、ＯＳで準備されている機能、または専用のエージェントをインストールすることにより実現されていた。
しかし、仮想計算機システムの場合、ユーザが使用する仮想計算機上（ゲストＯＳ上）で、ポリシと異なる設定をゲストＯＳやゲストＯＳ上で動作するアプリケーションに行ったとき、ゲストＯＳ上に特別なエージェントを設置することなしに正しいポリシの強制を行うことができなかった。
例えば、ゲストＯＳ上に特別なエージェントを設置すれば、ゲストＯＳやゲストＯＳ上で動作するアプリケーションが認識している設定内容を取得したり、或いは、ポリシに沿った設定内容に変更し、それを通知させることは容易に実現できる。
しかし、この実現方法では、ゲストＯＳにポリシの強制のための改変が必要になるという問題があった。従って、ゲストＯＳ上に特別なエージェントを設置することなしに、ゲストＯＳやゲストＯＳ上で動作するアプリケーションに対し、ポリシを強制できることが好ましい。
なお、特許文献１に記載されている技術では、各ゲストＯＳで実行されるコマンドを自動実行させてゲストＯＳ間を連動させようということが目的である。そのため、ポリシの強制のために、ゲストＯＳやその上で動作するアプリケーションの種類に応じた設定をどう管理し検知するのか、また設定を変更した場合にそれをどう適用させるのか、といったことが考慮されているわけではない。例えば、ゲストＯＳ上で動作するアプリケーションに対して、ポリシを強制しようとすると、変更後の内容を適用させるためにはアプリケーションの再起動が必要となる。
また、特許文献２に記載されているプログラム起動方法についても、ゲストＯＳが参照する自動起動ファイルや動作環境ファイルを書き換えることができるだけであって、ゲストＯＳやその上で動作するアプリケーションの種類に応じた設定をどう管理し検知するのか、また設定を変更した場合にそれをどう適用させるのかといったことが考慮されているわけではない。
また、特許文献３〜５に記載されている技術は、実計算機を対象にしているのであって、仮想計算機を対象にしたシステムに適用しようとすると、ゲストＯＳ上に特別なエージェントを設置しなければならない。
そこで、本発明の目的は、ゲストＯＳ上に特別なエージェントを設置することなしに、ゲストＯＳやゲストＯＳ上で動作しているアプリケーションに対してポリシの強制を行うことができる仮想計算機システム、ポリシ強制システム、ポリシ強制方法及び仮想計算機制御用プログラムを提供することにある。
本発明による仮想計算機システムは、実計算機上に１つ以上の仮想計算機を構築する仮想計算機システムであって、
前記仮想計算機上で動作するオペレーティングシステムであるゲストＯＳまたは当該ゲストＯＳ上で動作するアプリケーションによる仮想化されたハードウェアに対するアクセスを、前記実計算機が備える物理デバイスによって実現するハイパバイザを有し、
前記ハイパバイザは、
前記仮想計算機システムに適用されるセキュリティポリシを、前記ゲストＯＳの種類または前記アプリケーションの種類に応じた設定項目の設定値として示す設定項目情報を保持する設定項目情報保持手段と、
前記設定項目情報に基づいて、前記ゲストＯＳが実行する命令および前記物理デバイスの出力を監視して、前記設定項目情報保持手段の前記設定項目に設定されている設定値または変更されようとしている設定値を検出する設定検出手段と、
前記設定検出手段によって検出された設定値と前記設定項目情報で示される設定値とが相違するとき、前記設定項目の設定対象である前記ゲストＯＳまたは前記アプリケーションからのハードウェアアクセスを用いて、当該ゲストＯＳまたは当該アプリケーションに前記設定項目情報で示される設定値を適用させる設定適用手段と、を備えることを特徴とする。
また、本発明によるポリシ強制システムは、実計算機上に１つ以上の仮想計算機を構築する仮想計算機システムに対してセキュリティポリシを強制するポリシ強制システムであって、
前記仮想計算機システムと、前記仮想計算機システムに適用させる前記セキュリティポリシを管理する管理システムと、を備え、
前記仮想計算機システムは、当該仮想計算機上で動作するオペレーティングシステムであるゲストＯＳまたは当該ゲストＯＳ上で動作するアプリケーションによる仮想化されたハードウェアに対するアクセスを、前記実計算機が備える物理デバイスによって実現するハイパバイザを有し、
前記ハイパバイザは、
前記仮想計算機システムに適用される前記セキュリティポリシを、前記ゲストＯＳの種類または前記アプリケーションの種類に応じた設定項目の設定値として示す設定項目情報を保持する設定項目情報保持手段と、
前記設定項目情報に基づいて、前記ゲストＯＳが実行する命令および前記物理デバイスの出力を監視して、前記設定項目情報保持手段の前記設定項目に設定されている設定値または変更されようとしている設定値を検出する設定検出手段と、
前記設定検出手段によって検出された設定値と前記設定項目情報で示される設定値とが相違するとき、前記設定項目の設定対象である前記ゲストＯＳまたは前記アプリケーションからのハードウェアアクセスを用いて、当該ゲストＯＳまたは当該アプリケーションに前記設定項目情報で示される設定値を適用させる設定適用手段と、を備えることを特徴とする。
また、本発明によるポリシ強制方法は、実計算機上に１つ以上の仮想計算機を構築する仮想計算機システムに対してセキュリティポリシを強制するポリシ強制方法であって、
前記仮想計算機上で動作するオペレーティングシステムであるゲストＯＳまたは当該ゲストＯＳ上で動作するアプリケーションによる仮想化されたハードウェアに対するアクセスを、前記実計算機が備える物理デバイスによって実現するハイパバイザを有し、
前記ハイパバイザが、前記仮想計算機システムに適用される前記セキュリティポリシを、前記ゲストＯＳの種類または前記アプリケーションの種類に応じた設定項目の設定値として示す設定項目情報を保持する設定項目情報保持ステップと、
前記ハイパバイザが、前記設定項目情報に基づいて、前記ゲストＯＳが実行する命令および前記物理デバイスの出力を監視して、前記設定項目情報保持ステップにおいて前記設定項目に設定されている設定値または変更されようとしている設定値を検出する設定検出ステップと、
前記ハイパバイザが、前記設定検出ステップにおいて検出された設定値と前記設定項目情報で示される設定値とが相違するとき、前記設定項目の設定対象である前記ゲストＯＳまたは前記アプリケーションからのハードウェアアクセスを用いて、当該ゲストＯＳまたは当該アプリケーションに前記設定項目情報で示される設定値を適用させる設定適用ステップと、
を含むことを特徴とする。
また、本発明による仮想計算機制御用プログラムは、実計算機上に１つ以上の仮想計算機を構築する仮想計算機システムにおける仮想計算機制御用プログラムであって、
前記仮想計算機上で動作するオペレーティングシステムであるゲストＯＳまたは当該ゲストＯＳ上で動作するアプリケーションによる仮想化されたハードウェアに対するアクセスを、前記実計算機が備える物理デバイスによって実現するハイパバイザを有し、
前記ハイパバイザは、
前記仮想計算機システムに適用されるセキュリティポリシを、前記ゲストＯＳの種類または前記アプリケーションの種類に応じた設定項目の設定値として示す設定項目情報を保持する設定項目情報保持手順と、
前記設定項目情報に基づいて、前記ゲストＯＳが実行する命令および前記物理デバイスの出力を監視して、前記設定項目情報保持手順の前記設定項目に設定されている設定値または変更されようとしている設定値を検出する設定検出手順と、
前記設定検出手順によって検出された設定値と前記設定項目情報で示される設定値とが相違するとき、前記設定項目の設定対象である前記ゲストＯＳまたは前記アプリケーションからのハードウェアアクセスを用いて、当該ゲストＯＳまたは当該アプリケーションに前記設定項目情報で示される設定値を適用させる設定適用手順と、
をコンピュータに実行させることを特徴とする。
本発明によれば、ゲストＯＳ上に特別なエージェントを設置することなしに、ゲストＯＳおよびゲストＯＳ上で動作しているアプリケーションに対して、セキュリティポリシの強制を行うことができる。
上述した目的、およびその他の目的、特徴および利点は、以下に述べる好適な実施の形態、およびそれに付随する以下の図面によってさらに明らかになる。
本発明に係る仮想計算機システムの構成例を示すブロック図である。 本発明に係る仮想計算機システムの他の構成例を示すブロック図である。 本発明に係るポリシ強制システムの構成例を示すブロック図である。 本発明に係る管理システムの動作例を示すフローチャートである。 本発明に係る管理システムが仮想計算機システムに送信するポリシ設定情報の例を示す説明図である。 本発明に係る管理システムが仮想計算機システムに送信する対応情報と一体化させたポリシ設定情報の例を示す説明図である。 本発明に係る仮想計算機システムのＶＭＭ部およびホストＯＳ部の動作の一例を示すフローチャートである。 本発明に係る仮想計算機システムのゲストＯＳ部の動作の一例を示すフローチャートである。
（第１の実施形態）
以下、本発明の実施形態について、図面を参照して説明する。図１は、本発明による仮想計算機システム６００の構成例を示すブロック図である。
図１に示す仮想計算機システム６００は、各仮想計算機上で動作するオペレーティングシステムであるゲストＯＳ３４１またはゲストＯＳ３４１上で動作するアプリケーション３５１による仮想化されたハードウェアに対するアクセスを、実計算機が備える物理デバイス６０によって実現するハイパバイザ５０を具備している。
ハイパバイザ５０は、設定検出手段１１と、設定適用手段１２と、設定項目情報保持手段２１とを備える。
設定検出手段１１は、設定項目情報保持手段２１が保持する設定項目情報に基づき、ゲストＯＳ３４１が実行する命令および物理デバイス６０からの出力を監視して、設定項目情報で示される各設定項目に現に設定されている設定値または変更されようとしている設定値を検出する。
ここで、設定項目情報とは、当該ハイパバイザ５０を具備している仮想計算機システム６００に適用されるセキュリティポリシを、ゲストＯＳ３４１の種類またはゲストＯＳ３４１上で動作するアプリケーション３５１の種類に応じた設定項目の設定値として示す情報であって、設定項目情報保持手段２１によって保持される。
設定項目情報保持手段２１は、例えば、当該ハイパバイザ５０に対し、割り当てられた記憶領域に設定項目情報用の記憶領域を確保し、確保した記憶領域に値を保持させることによって、ハイパバイザ５０に他の手段によってアクセス可能に設定項目情報を保持する。
設定検出手段１１は、例えば、設定項目情報に、あるセキュリティポリシに沿うためのゲストＯＳ３４１に対する設定項目として、所定のレジストリの値を１にする旨の情報が登録されている場合には、そのレジストリの参照に伴うハードウェアアクセス命令であるか否かを監視して、そのハードウェアアクセス命令に応じて行われる物理デバイス６０への読み込みにより、現に設定されている設定値を検出してもよい。また、そのレジストリの更新に伴うハードウェアアクセスを監視して、そのハードウェアアクセス要求に含まれる更新値を参照することにより、変更されようとしている設定値を検出してもよい。なお、設定項目は、レジストリに対応づけられているものに限らず、設定項目情報によってどのような方法によって設定がなされるかが示されていればよい。例えば、ある設定ファイルに保持される項目であってもよい。
設定適用手段１２は、設定検出手段１１によって検出された設定値と設定項目情報保持手段２１が保持する設定項目情報で示される設定値とが相違する場合に、相違を検知した設定項目の参照または更新に伴うハードウェアアクセス命令に対する応答の書き換え、該設定項目の設定値を保持している物理デバイス６０への書き込み、該設定項目の対象であるゲストＯＳ３４１またはアプリケーション３５１が保有している機能を利用した通知のいずれかまたはそれらを組み合わせて行うことにより、該設定項目の対象であるゲストＯＳ３４１またはアプリケーション３５１に、前記設定項目情報で示される設定値を適用させる。
設定適用手段１２は、例えば、相違を検知した設定項目の参照または更新に係るハードウェアアクセス命令に対する応答の書き換えを行うことにより、該設定項目の対象であるゲストＯＳ３４１またはアプリケーション３５１に設定値を適用させてよい。
設定適用手段１２は、例えば、相違を検知した設定項目の対象であるゲストＯＳ３４１またはアプリケーション３５１が保有している機能を利用した通知を行うことにより、該設定項目の対象であるゲストＯＳ３４１またはアプリケーション３５１に設定値を適用させてもよい。
また、例えば、さらに相違を検知した設定項目の設定値を保持している物理デバイス６０に書き込みを行うことにより、該設定項目の対象であるゲストＯＳ３４１またはアプリケーション３５１に設定値を適用させてもよい。
また、設定適用手段１２は、相違を検知した設定項目の対象であるゲストＯＳ３４１またはアプリケーション３５１が保有している機能を利用した通知として、該ゲストＯＳ３４１または該アプリケーション３５１が受理する割り込みを発生させてもよい。また、該当した設定項目の対象であるアプリケーション３５１が保有している機能を利用した通知として、該アプリケーション３５１が受理する割り込みを、該アプリケーション３５１が動作しているゲストＯＳ３４１を介して発生させることも可能である。
より具体的には、例えば、設定項目の参照に伴うハードウェアアクセス命令を検出することによって該設定項目の設定値の相違を検知した場合には、該ハードウェアアクセス命令に対する応答における物理デバイス６０からの参照値を設定項目情報で示される設定値に書き換えることにより、該設定項目の対象であるゲストＯＳ３４１またはアプリケーション３５１に設定値を適用させてもよい。
また、例えば、設定項目の更新に伴うハードウェアアクセス命令を検出することにより該設定項目の設定値の相違を検知した場合には、該ハードウェアアクセス命令に対する応答における処理結果を更新不可の旨に書き換えることにより、該設定項目の対象であるゲストＯＳ３４１またはアプリケーション３５１に設定値を適用させてもよい。
また、例えば、設定項目の更新に伴うハードウェアアクセス命令を検出することにより該設定項目の設定値の相違を検知した場合には、該ハードウェアアクセス命令による物理デバイス６０への書き換えは行わずに、該設定項目の対象であるゲストＯＳ３４１またはアプリケーション３５１が受理する割り込みを発生させることにより、該設定項目の対象であるゲストＯＳ３４１またはアプリケーション３５１に設定値を適用させてもよい。
このような場合には、例えば、該設定項目の対象であるゲストＯＳ３４１やアプリケーション３５１が、物理デバイス６０への書き換え結果に関わらず設定値で動作するような場合であっても、外部により正しい設定値へ変更されたと同じように知らせることができる。なお、実際の適用は、割り込みを発生させることにより行われる該設定項目の参照に伴うハードウェアアクセスにより実行される。
また、仮想計算機システム６００は、図２に示すように、さらに設定項目情報生成手段１３や、対応情報保持手段２２を備えていてもよい。図２に示す仮想計算機システム６１０は、ネットワーク２００を介して、管理システム１００と接続されている。
設定項目情報生成手段１３は、セキュリティポリシを管理している管理システム１００から、当該仮想計算機システム６１０に適用されるセキュリティポリシの情報を受け付けて、受け付けたセキュリティポリシの各項目を、対応情報保持手段２２が保持する対応情報に基づいて、ゲストＯＳ３４１の種類およびゲストＯＳ３４１上で動作しているアプリケーション３５１の種類に応じた１つ以上の設定項目の設定値に展開して設定項目情報を生成する。
ここで、対応情報とは、セキュリティポリシの各項目と、該項目に応じたゲストＯＳ３４１の種類毎およびゲストＯＳ３４１上で動作しているアプリケーション３５１の種類毎の設定項目との対応関係を示す情報であって、対応情報保持手段２２によって保持される。
対応情報保持手段２２は、例えば、セキュリティポリシの各項目の情報（識別子や取りうる値等）と、該項目に応じたゲストＯＳ３４１の種類毎およびゲストＯＳ３４１上で動作しているアプリケーション３５１の種類毎の設定項目の情報（設定方法や対応する設定値等）とを対応づけて保持すればよい。
対応情報保持手段２２は、例えば、ハイパバイザ７０に対し、割り当てられた記憶領域に対応情報用の記憶領域を確保し、確保した記憶領域に値を保持させることによって、ハイパバイザ７０に他の手段によってアクセス可能な対応情報を保持する。
このような構成では、例えば、設定適用手段１２は、設定検出手段１１が検出した各設定項目の情報を保持するようにする。設定項目情報生成手段１３による設定項目情報の更新により設定項目の設定値の相違を検知した場合に、物理デバイス６０に更新後の設定値を書き込むことにより、該設定項目の対象であるゲストＯＳ３４１またはアプリケーション３５１に設定値を適用させてもよい。なお、実際の適用には、該設定項目の対象であるゲストＯＳ３４１またはアプリケーション３５１が、物理デバイス６０が書き換えられたことを検知する機能を有している場合に、その自動検知により行われる該設定項目の参照に伴うハードウェアアクセスにより実行される。
また、例えば、設定適用手段１２は、設定項目情報生成手段１３による設定項目情報の更新により設定項目の設定値の相違を検知した場合に、該設定項目の対象であるゲストＯＳ３４１またはアプリケーション３５１が受理する割り込みを発生させることにより、該設定項目の対象であるゲストＯＳ３４１またはアプリケーション３５１に設定値を適用させてもよい。なお、実際の適用は、割り込みを発生させることにより行われる該設定項目の参照に伴うハードウェアアクセスにより実行される。
また、例えば、設定項目情報の更新により設定項目の設定値の相違を検知した場合に、物理デバイス６０に更新された設定値を書き込み、その後該設定項目の対象であるゲストＯＳ３４１またはアプリケーション３５１が受理する割り込みを発生させることにより、該設定項目の対象であるゲストＯＳ３４１またはアプリケーション３５１に設定値を適用させてもよい。
設定適用手段１２は、例えば、ＯＳの種類毎またはアプリケーションの種類毎に各設定項目に対してどのような適用方法を採用するかを示す情報を保持するようにし、その情報に基づいて所定の処理を行えばよい。
また、例えば、設定項目情報保持手段２１に保持される情報の更新により設定項目の設定値の相違を検知した場合に、物理デバイス６０に更新後の設定値を書き込むことにより、該設定項目の対象であるゲストＯＳ３４１またはアプリケーション３５１に設定値を適用させてもよい。
また、設定適用手段１２は、該当した設定項目の対象であるアプリケーション３５１が動作しているゲストＯＳ３４１が保有している機能を利用して、例えば、該アプリケーション３５１が受理する割り込み（ソフトウェア割り込み）を発生させてもよい.
また、設定適用手段１２は、物理デバイス６０に書き込みを行う場合に、該当する設定項目の対象であるゲストＯＳ３４１またはアプリケーション３５１用にハードウェア資源として割り当てられた対応するハードウェア領域に対しても書き込みを行うようにしてもよい。例えば、レジストリ情報がページプールに格納されている場合に、そのページプールに格納されているレジストリ情報を書き換えるだけでなく、例えば物理メモリ上のレジストリ情報をも書き換えるようにしてもよい。
なお、設定検出手段１１、設定適用手段１２、設定項目情報生成手段１３は、具体的には、ハイパバイザ機能を実現させる制御プログラムに従って動作するＣＰＵ等のプロセッサによって実現される。また、設定項目情報保持手段２１、対応情報保持手段２２は、具体的には、ハイパバイザ７０用に割り当てられたメモリ等の記憶装置によって実現される。なお、一般的には、ハイパバイザといった場合には、ハイパバイザ機能を実現させる制御プログラムを指すが、本発明において「ハイパバイザは〜する」という表現を用いた場合には、ＣＰＵ等のプロセッサが、ハイパバイザ機能を実現する制御プログラムに従って所定の処理を実行することを示す。
次に、より具体的な構成例について説明する。図３は、本発明によるポリシ強制システム５００の構成例を示すブロック図である。図３に示すポリシ強制システム５００は、仮想計算機システム３００に対して、セキュリティポリシを強制するポリシ強制システムであって、管理システム１００と、仮想計算機システム３００とを備えている。管理システム１００と仮想計算機システム３００とは、ネットワーク２００を介して接続されている。なお、図３には、１つの仮想計算機システム３００を示しているが、セキュリティポリシを強制する対象となる仮想計算機システム３００は、複数あってもよい。また、仮想計算機システム以外のコンピュータシステムが含まれていてもよい。
管理システム１００は、企業などの管理者によって管理され、仮想計算機システム３００に適用するセキュリティポリシの情報（以下、ポリシ設定情報という。）を管理するポリシ設定情報管理手段１１０と、ポリシ設定情報を仮想計算機システム３００に送信するポリシ設定情報送信手段１２０とを備えている。
ポリシ設定情報管理手段１１０は、具体的には、管理者からセキュリティポリシの設定を受け付て、ポリシ設定情報として記憶したり、セキュリティポリシが変更された場合にポリシ設定情報送信手段１２０に送信を依頼したりする。ポリシ設定情報は、例えば、適用されるセキュリティポリシの項目を識別するための識別子と、その項目をどう設定するかの情報（許否等）とを含む情報であってもよい。また、例えば、その項目の設定が適用される条件として、使用ユーザの条件や、使用ＯＳの条件等を含んでいてもよい。
仮想計算機システム３００は、ハードウェア３１０と、仮想計算機モニタ部３２０（以下、ＶＭＭ部３２０という。）と、ホストＯＳ部３３０と、ゲストＯＳ部３４０と、アプリケーション部３５０とを備えている。
なお、図３において、ハードウェア３１０は、図１で示した物理デバイス６０に相当するものであり、各物理機器を有している。それに対し、ＶＭＭ部３２０やホストＯＳ部３３０、ゲストＯＳ部３４０、アプリケーション部３５０は、それぞれその機能が具現化させたプログラムを実行することによって実現される抽象的な処理ブロックを示している。
例えば、ＶＭＭ部３２０は、仮想計算機モニタ機能を具現化した制御プログラム（ＶＭＭプログラム）により実現される処理ブロックを示している。なお、一般には、単にＶＭＭと呼ばれることが多いが、ＶＭＭ部３２０は、具体的には、ＶＭＭプログラムに従って動作するＣＰＵ等のプロセッサによって実現される。なお、ＶＭＭプログラムは、ホストＯＳ部３３０からの制御によって駆動される。
また、ＶＭＭ部３２０は、物理ディスクを参照したり、ゲストＯＳ部３４０やゲストＯＳ部３４０上で動作するアプリケーション部３５０の処理を捕捉することによって、当該仮想計算機システム３００上で動作しているゲストＯＳ部３４０の種類およびそのゲストＯＳ部３４０上で動作するアプリケーション部３５０の種類を判別する機能を有している。
ホストＯＳ部３３０は、当該仮想計算機システム３００の実計算機上で動作するＯＳ（ホストＯＳ）プログラムにより実現される処理ブロックを示している。なお、一般には、単にホストＯＳと呼ばれることが多いが、ホストＯＳ部３３０は、具体的には、そのホストＯＳプログラムに従って動作するＣＰＵ等のプロセッサによって実現される。
なお、例えば、ＶＭＭ部３２０とホストＯＳ部３３０とを区別せずに、当該仮想計算機システム３００の実計算機上で動作するハイパバイザプログラムにより実現する処理ブロックであるハイパバイザ部として実装することも可能である。なお、このＶＭＭ部３２０とホストＯＳ部３３０とを区別せずに実装したハイパバイザ部が、図１に示すハイパバイザ５０に相当する。
また、ゲストＯＳ部３４０は、当該仮想計算機システム３００の仮想計算機上で動作するＯＳ（ゲストＯＳ）プログラム（即ち、ゲストＯＳ３４１）により実現される処理ブロックを示している。ゲストＯＳプログラムは、例えば、Ｗｉｎｄｏｗｓ（登録商標）などのユーザが利用するオペレーティングシステムプログラムである。なお、一般には、単にゲストＯＳと呼ばれることが多いが、ゲストＯＳ部３４０は、具体的には、そのホストＯＳプログラムに従って動作するＣＰＵ等のプロセッサによって実現される。なお、ゲストＯＳプログラムは、ＶＭＭ部３２０からの制御により、仮想化されたハードウェア資源上で駆動される。
また、アプリケーション部３５０は、当該仮想計算機システム３００の仮想計算機上で動作するアプリケーションプログラム、（即ち、アプリケーション３５１）により実現される処理ブロックを示している。アプリケーションプログラムは、ゲストＯＳ上で動作し、ユーザが利用する応用プログラムであって、アプリケーション独自の設定項目を有している。なお、一般には、単にアプリケーションと呼ばれることが多いが、アプリケーション部３５０は、具体的には、そのアプリケーションプログラムに従って動作するＣＰＵ等のプロセッサによって実現される。なお、アプリケーションプログラムは、ゲストＯＳ部３４０からの制御により、仮想化されたハードウェア資源上で駆動される。
ハードウェア３１０は、ＣＰＵ３１１や、バス３１２、メモリ３１３、ディスク３１４などを含んでいる。
ＶＭＭ部３２０は、セキュリティポリシを強制するために、設定検出手段３２１と、設定通知手段３２２とを含んでいる。
設定検出手段３２１は、ゲストＯＳ３４１（ここでは、ゲストＯＳ部３４０と同一視することができる。）やアプリケーション３５１（ここでは、アプリケーション部３５０と同一視することができる。）の振る舞いを監視して、当該仮想計算機システム３００上で動作するゲストＯＳ３４１やそのゲストＯＳ３４１上で動作するアプリケーション３５１に適用されるセキュリティポリシに応じた各設定項目が、現に設定されている設定値または変更されようとしている設定値を検出する。なお、既に適切な設定値が設定されていることを前提にする場合には、変更されようとしている設定値を検出するだけでもよい。なお、本例では、設定検出手段３２１によって図１に示す設定検出手段１１の機能を実現している。
本実施形態では、設定検出手段３２１は、当該仮想計算機システム３００上で動作するゲストＯＳ３４１やそのゲストＯＳ３４１上で動作するアプリケーション３５１に適用されるセキュリティポリシに応じた各設定項目の情報を、後述するホストＯＳ部３３０の設定項目情報管理手段３３３から取得する。
設定検出手段３２１は、検出した設定値を設定項目情報管理手段３３３に通知する。
設定通知手段３２２は、ホストＯＳ部３３０の設定情報管理手段３３３からの指示に応じた通知処理を行うことにより、設定項目の正しい値（セキュリティポリシに沿った値）を、該設定項目の設定対象であるゲストＯＳ３４１またはアプリケーション３５１に適用させる。設定通知手段３２２は、例えば、設定項目情報管理手段３３３からの指示に従い、該設定項目の設定対象であるゲストＯＳ３４１またはアプリケーション３５１に対して割り込みを発行したり、ハードウェア３１０の各物理機器への書き込み処理を行ったり、設定検出手段３２１が検出したハードウェアアクセス命令の応答を書き換えたりする。
なお、本例では、設定通知手段３２２と設定項目情報管理手段３３３とによって図１に示す設定項目情報保持手段２１および設定適用手段１２の機能を実現している。
ホストＯＳ部３３０は、セキュリティポリシを強制するために、ポリシ設定受信手段３３１と、設定項目情報生成手段３３２と、設定項目情報管理手段３３３とを含んでいる。ポリシ設定受信手段３３１は、管理システム１００から当該仮想計算機システム３００に適用されるポリシ設定情報を受信する。
設定項目情報生成手段３３２は、受信したポリシ設定情報を、ゲストＯＳ３４１やゲストＯＳ３４１上で動作するアプリケーション３５１が判別可能な設定項目の情報に変換する。設定項目情報生成手段３３２は、具体的には、セキュリティポリシの各項目と、該項目に応じたゲストＯＳ４３１の種類毎およびゲストＯＳ３４１上で動作しているアプリケーション３５１の種類毎の設定項目との対応関係を示す対応情報を保持しておき、受信したポリシ設定情報で示される各項目の設定内容を、保持している対応情報に基づいて、ゲストＯＳ３４１の種類およびゲストＯＳ３４１上で動作しているアプリケーション３５１の種類に応じた１つ以上の設定項目の設定値に展開して設定項目情報を生成する。
なお、本例では、設定項目情報生成手段３３２によって図２に示す設定項目情報生成手段１３の機能を実現している。
設定項目情報生成手段３３２は、例えば、ポリシ設定情報が、当該仮想計算機システム３００に適用されるセキュリティポリシの項目とその設定内容とをＸＭＬ形式で示す情報であった場合に、ある項目に対し、ゲストＯＳ３４１が理解可能なレジストリフォーマットの形式に変換するなどの処理を行う。なお、設定項目情報生成手段３３２が変換を行う際に、ゲストＯＳ３４１の種類やアプリケーション３５１の種類やインストール場所などの情報を、予め設定項目情報管理手段３３３から受け取っているものとし、設定項目情報生成手段３３２は、対応情報とそれらの情報とに基づいて変換方法を決定すればよい。
例えば、レジストリを利用して設定の管理を行っているアプリケーションに対しては、レジストリ形式に変換し、ファイルを利用して設定の管理を行っているアプリケーションに対しては、メモリ上で利用可能な形式に変換すればよい。
設定項目情報管理手段３３３は、設定項目情報生成手段３３２が生成した設定項目情報を管理しつつ、ゲストＯＳ部３４１やアプリケーション部３５１が行う設定項目の読み出しと書き込みの情報を管理する手段である。また、設定項目情報管理手段３３３は、ゲストＯＳ３４１の種類や各ゲストＯＳ３４１上で動作しているアプリケーション３５１の種類の情報についても管理しているものとする。設定項目情報管理手段３３３は、具体的には、設定項目情報を保持するための記憶領域を確保し、その記憶領域に値を保持させたり、その値を設定項目情報生成手段３３２からの通知により更新したりする。
また、設定項目情報で示される各設定項目のゲストＯＳ３４１またはアプリケーション３５１における設定値の内容を保持するための記憶領域を確保し、その記憶領域に設定検出手段３２１から通知される設定値を保持させたりする。そして、ゲストＯＳ３４１またはアプリケーション３５１における設定値と設定項目情報で示されるセキュリティポリシに沿った設定値とを比較して、その相違を検出した場合には、設定項目情報で示されるセキュリティポリシに沿った設定値に変更させるべく、設定通知手段３２２に制御指示を行う。
次に、本実施形態の動作について説明する。図４は、本実施形態の管理システム１００の動作例を示すフローチャートである。図４に示すように、管理者によるセキュリティポリシの設定がなされると（ステップＳ１０１）、ポリシ設定情報管理手段１１０（図３）は、仮想計算機システム３００に適用させるポリシ設定情報としてその設定内容を保存する（ステップＳ１０２）。
ポリシ設定情報が更新されると、ポリシ設定情報送信手段１２０が、そのポリシ設定情報を仮想計算機システム３００に送信する（ステップＳ１０３）。
図５は、ポリシ設定情報の例を示す説明図である。ポリシ設定情報管理手段１１０は、例えば、図５に示すような形式でセキュリティポリシの設定内容を保持するようにしてもよい。図５に示す例では、ユーザと、設定対象と、ポリシとを対応づけてリスト化している。例えば、ＵｓｅｒＡが特定のゲストＯＳ（ＯＳ（１））を使用する場合に、ＵＳＢメモリの使用を禁止する旨のセキュリティポリシが示されている。同様に、特定のゲストＯＳ（ＯＳ（２））を使用する場合に、外部記録メディアの使用を禁止する旨のセキュリティポリシが示されている。また、特定のアプリケーション（ＡＰ（１））がインストールされている環境では、「印刷」メニューを無効化する旨のセキュリティポリシが示されている。また、特定のアプリケーション（ＡＰ（２））がインストールされている環境では、「名前を付けて保存」メニューを無効化する旨のセキュリティポリシが示されている。また、ＵｓｅｒＢがＯＳ（１）を使用する場合には、Ｈｏｓｔｓファイルの強制設定を行う旨のセキュリティポリシが示されている。なお、図５は、一例であり、他の項目があってもよい。
また、例えば、図６に示すように、対応情報と一体化させてもよい。図６に示す例では、ユーザと、設定対象と、ポリシと、設定方法とを対応づけてリスト化している。図６では、例えば、ＵＳＢメモリの使用を禁止する旨のセキュリティポリシを設定する方法として、あるレジストリを変更する旨の設定方法が示されている。また、例えば、外部記録メディアの使用を禁止する旨のセキュリティポリシを設定する方法として、あるレジストリを変更する旨の設定方法が示されている。また、例えば、「印刷」メニューを無効化する旨のセキュリティポリシを設定する方法として、ＡＰ１の専用設定ファイルの変更をする旨の設定方法が示されている。また、例えば、Ｈｏｓｔｓファイルの強制設定を行う旨のセキュリティポリシを設定する方法として、ＯＳ設定ファイルの変更をする旨の設定方法が示されている。
次に、仮想計算機システム３００の動作について説明する。図７は、仮想計算機システム３００におけるＶＭＭ部３２０およびホストＯＳ部３３０の動作の一例を示すフローチャートである。まず、図７のステップＳ２００〜Ｓ２０３を参照して、ゲストＯＳ部３４０またはアプリケーション部３５０からの設定項目の変更に係る動作について説明する。
図７に示すように、ユーザからの設定に応じ、ゲストＯＳ３４１がその設定項目の更新を保存しようとしてハードウェアアクセス命令を発行すると（ステップＳ２００）、ＶＭＭ部３２０でそのハードウェアアクセスが捕捉される（ステップＳ２０１）。
このとき、設定検出手段３２１は、そのアクセスが設定項目に係るアクセスか否かを判断し（ステップＳ２０２）、設定項目に係るアクセスであれば（ステップＳ２０２のＹｅｓ）、その設定内容を検出して、ホストＯＳ部３３０に通知する（ステップＳ２０３）。設定検出手段３２１は、例えば、設定の変更が行われたこと、およびその変更値を検出し、その旨をホストＯＳ部３３０（具体的には、設定項目情報管理手段３３３）に通知すればよい。
なお、ステップＳ２００に関し、例えば、ユーザがゲストＯＳ３４１上で動作するアプリケーション３５１に対して設定を行った場合には、アプリケーション部３５０がゲストＯＳ部３４０を介してその設定項目の更新を保存しようとハードウェアアクセスを発行することになる。
一方、設定項目に係るアクセスでない場合には（ステップＳ２０２のＮｏ）、引き続き、ハードウェアアクセスか、またはポリシ設定情報の更新のいずれかを待ち受ける。
次に、図７のステップＳ２１０〜Ｓ２１２を参照して、管理システム１００からのポリシ設定情報の変更に係る動作について説明する。図７に示すように、管理システム１００上でセキュリティポリシが設定され、その内容であるポリシ設定情報が管理システム１００から送信されると、仮想計算機システム３００は、ホストＯＳ部３３０のポリシ設定受信手段３３１が、そのポリシ設定情報を受信する（ステップＳ２１０）。
ポリシ設定受信手段３３１がポリシ設定情報を受信すると、設定項目情報生成手段３３２は、そのポリシ設定情報で示されるセキュリティポリシの各項目を、当該仮想計算機システム３００上で動作するゲストＯＳ３４１やアプリケーション３５１が判別可能な設定項目の情報に変換を行うことにより、設定項目情報を生成する（ステップＳ２１１）。
設定項目情報生成手段３３２は、生成した設定項目情報を設定項目情報管理手段３３３に通知し、保持させて更新する（ステップＳ２１２）。
次に、図７のステップＳ２２０〜Ｓ２２３を参照して、設定項目の適用について説明する。ホストＯＳ部３３０の設定項目情報管理手段３３３は、ステップＳ２０３により通知されたゲストＯＳ部３４０（またはゲストＯＳ部３４０を介したアプリケーション部３５０）からの設定内容や、ステップＳ２１２によって更新された設定項目情報を受け取る。
設定項目情報管理手段３３３は、ゲストＯＳ部３４０やアプリケーション部３５０からの設定内容を受け取ると、その設定値が設定項目情報で示される設定項目の設定値（すなわち、セキュリティポリシに沿った設定値）と一致するか否かを判断する（ステップＳ２２０）。なお、設定項目情報管理手段３３３は、管理システム１００から設定項目情報を受け取った場合には、受け取った設定項目情報の内容で更新した上で、その設定項目情報で示される各設定項目の設定値と、これまで設定されていた設定値とが一致するか否かを判断する。
設定項目情報管理手段３３３は、設定項目の設定値に相違を発見した場合には、任意の設定によって（ステップＳ２３０）、その設定項目について設定処理を設定通知手段３２２に行わせる（ステップＳ２２１〜Ｓ２２３）。
例えば、物理デバイス６０に書き込む設定がされている場合には、ゲストＯＳ３４１やアプリケーション３５１が判別可能に変換された設定項目の設定値を、設定通知手段３２２を経由して、ハードウェア３１０（物理デバイス）に書き込む（ステップＳ２２１）。書き込み先としては、バス３１２上を流れるデータ、メモリ３１３に書き込まれているデータ、ディスク３１４に書かれているファイルなどである。
なお、本発明では、ステップＳ２２１においてハードウェア３１０に書き込む代わりに、ステップＳ２３０において割り込みの設定通知がされている場合には、例えば、設定通知手段３２２により、その設定項目の設定対象であるゲストＯＳ３４１やアプリケーション３５１に対し、ソフトウェア割り込みを発生させてもよい（ステップＳ２２２）。なお、アプリケーション３５１に対してソフトウェア割り込みを発生させる場合に、そのアプリケーション３５１が動作しているゲストＯＳ３４１に対して所定のソフトウェア割り込みを発生させることで、ゲストＯＳ３４１を介して該当するアプリケーション３５１にイベントを発行する方法も可能である。
いずれにしても、該当した設定項目の対象であるゲストＯＳ３４１やアプリケーション３５１が保有している機能を利用した通知を行う。この場合、例えば、設定通知手段３２２は、設定項目情報管理手段３３３からの指示に従い、ゲストＯＳ３４１が利用しているＣＰＵ３１１に割り込み用のＣＰＵ命令を書き込むことにより、割り込みを発生させればよい。
また、本発明では、ステップＳ２２２において割り込みを発生させる代わりに、ステップＳ２３０においてハードウェアアクセス命令を検出していれば、例えば、そのハードウェアアクセスの応答の書き換えを行わせてもよい（ステップＳ２２３）。また、ステップＳ２２１〜Ｓ２２３の動作を、組み合わせて実行させることも可能である。
なお、設定変更に伴うハードウェア命令の検出時の通知や設定項目情報の更新時の通知の場合には、相違の検出を省略して、無条件に設定処理を行わせてもよい。なお、設定項目情報の更新時の通知の場合には、一度に複数のゲストＯＳ３４１に対して設定処理を行わせてもよい。また、検出経緯に関わらず一律に設定処理（例えば、応答の書き換えと物理デバイスへの書き込みと設定通知と）を行わせることも可能である。
図８に、ＶＭＭ部３２０による設定処理に関連する仮想計算機システム３００におけるゲストＯＳ部３４０の動作の一例を示す。図８は、ソフトウェア割り込み発行に係るゲストＯＳ部３４０の動作の一例を示すフローチャートである。
図８に示すように、設定通知手段３２２によるソフトウェア割り込みが発行されると、ゲストＯＳ部３４０は、そのソフトウェア割り込みによるイベントを受信する（ステップＳ３００）。
ゲストＯＳ部３４０は、ソフトウェア割り込みによるイベントを受信すると、設定項目の読み出しを行い（ステップＳ３０１）、読み出された設定値をその後の動作に反映させることになる（ステップＳ３０２）。なお、ここで読み出される設定値は、例えば、図７のステップＳ２２１で正しい設定値が書き込まれた物理デバイスから読み出された設定値である。また、例えば、この参照に伴うハードウェアアクセスを検出した際の図７のステップＳ２２３で、応答内容が正しい設定値に書き換えられた設定値である。
また、例えば、ソフトウェア割り込みが発行されない場合でも、例えば、設定項目の変更に伴うハードウェア命令の応答に、更新不可や更新失敗の旨の処理結果が返ってくれば、ゲストＯＳ部３４０は、その処理結果に応じて、変更される前の設定項目の値で動作することになり、セキュリティポリシは保たれる。
なお、例えば、設定項目の設定対象がアプリケーションであっても、これらの動作は同様である。
以上のように、本実施形態によれば、ゲストＯＳ３４１上に特別なエージェントを設置しなくても、ゲストＯＳ３４１やゲストＯＳ３４１上で動作するアプリケーション３５１に対する設定の反映が可能となる。
（第２の実施形態）
また、本発明の第２の実施形態として、ゲストＯＳ３４１やアプリケーション３５１に対して強制したセキュリティポリシの内容について、ゲストＯＳ３４１やアプリケーション３５１を利用するユーザに通知するようにしてもよい。なお、本実施形態の構成は基本的には、第１の実施形態と同様でよい。
例えば、図７のステップＳ２２１〜Ｓ２２３の動作を行う際に、ユーザが理解しやすいように、グラフィックサブシステムを仮想化する方法などを用いればよい。具体的には、ホストプロセッサに適用されるＶＭＭ技術をグラフィック処理装置（ＧＰＵ）に拡張して、グラフィックアクセラレータへのハードウェアアクセスを可能にし、そこで、設定変更の情報を表示させるようにすればよい。
このようにすることにより、ゲストＯＳ３４１を利用するユーザが、ゲストＯＳ３４１やそのゲストＯＳ３４１上で動作するアプリケーション３５１の設定が変更されたことを容易に認識できるようになる。
（第３の実施形態）
また、本発明の第３の実施形態として、設定項目情報生成手段３３２を管理システム１００が備えるようにしてもよい。例えば、管理システム１００側で、仮想計算機システム３００上で動作するゲストＯＳ３４１やアプリケーション３５１を管理しておき、その内容に基づき、管理システム１００側で、ゲストＯＳ３４１の種類やアプリケーション３５１の種類に応じた設定項目情報を生成することも可能である。
なお、本発明は、前述の実施形態に限定されるものではなく、本発明の目的を達成できる範囲での変形、改良等は本発明に含まれるものである。
この出願は、２００７年 １２月２６日に出願された日本出願特願２００７−３３３４７２号を基礎とする優先権を主張し、その開示の全てをここに取り込む。
例えば、本発明に係る仮想計算機システムは、実計算機上に１つ以上の仮想計算機を構築する仮想計算機システムであって、各仮想計算機上で動作するオペレーティングシステムであるゲストＯＳまたはゲストＯＳ上で動作するアプリケーションからの仮想化されたハードウェアに対するアクセスを実計算機が備える物理デバイスで実現するハイパバイザを有し、前記ハイパバイザは、当該ハイパバイザを有する仮想計算機システムに適用されるセキュリティポリシをゲストＯＳの種類またはゲストＯＳ上で動作するアプリケーションの種類に応じた設定項目の設定値として示す設定項目情報を保持する設定項目情報保持手段と、前記設定項目情報に基づき、ゲストＯＳが実行する命令および物理デバイスからの出力を監視して、前記設定項目に現に設定されている設定値または変更されようとしている設定値を検出する設定検出手段と、前記設定検出手段によって検出された設定値と前記設定項目情報で示される設定値とが相違する場合に、相違を検知した設定項目の参照または更新に係るハードウェアアクセス命令に対する応答の書き換え、該設定項目の設定値を保持している物理デバイスへの書き込み、該設定項目の対象であるゲストＯＳまたはアプリケーションが保有している機能を利用した通知のいずれか、または前記書き換えと前記書き込みと前記通知とのうちの２つ以上を組み合わせて行うことにより、該設定項目の対象であるゲストＯＳまたはアプリケーションに前記設定項目情報で示される設定値を適用させる設定適用手段とを備えることを特徴とする。
また、本発明に係る仮想計算機システムは、ハイパバイザが、セキュリティポリシの各項目と、該項目に応じたゲストＯＳの種類毎およびゲストＯＳ上で動作しているアプリケーションの種類毎の設定項目との対応関係を示す対応情報を保持する対応情報保持手段と、セキュリティポリシを管理している管理システムから、当該仮想計算機システムに適用されるセキュリティポリシの情報を受け付けて、受け付けたセキュリティポリシの各項目の設定内容を、前記対応情報に基づき、ゲストＯＳの種類およびゲストＯＳ上で動作しているアプリケーションの種類に応じた１つ以上の設定項目の設定値に展開して設定項目情報を生成する設定項目情報生成手段とを含むようにしても良い。
また、本発明に係る仮想計算機システムは、設定適用手段が、相違を検知した設定項目の参照または更新に係るハードウェアアクセス命令に対する応答の書き換えを行うことにより、該設定項目の対象であるゲストＯＳまたはアプリケーションに設定値を適用させるようにしても良い。
また、本発明に係る仮想計算機システムは、設定適用手段が、相違を検知した設定項目の対象であるゲストＯＳまたはアプリケーションが保有している機能を利用した通知を行うことにより、該設定項目の対象であるゲストＯＳまたはアプリケーションに設定値を適用させるようにしても良い。
また、本発明に係る仮想計算機システムは、設定適用手段が、さらに相違を検知した設定項目の設定値を保持している物理デバイスへの書き込みを行うことにより、該設定項目の対象であるゲストＯＳまたはアプリケーションに設定値を適用させるようにしても良い。
また、本発明に係る仮想計算機システムは、設定適用手段が、相違を検知した設定項目の対象であるゲストＯＳまたはアプリケーションが保有している機能を利用した通知として、該ゲストＯＳまたは該アプリケーションが受理する割り込みを発生させるようにしても良い。
また、本発明に係る仮想計算機システムは、設定適用手段が、該当した設定項目の対象であるアプリケーションが保有している機能を利用した通知として、該アプリケーションが受理する割り込みを、該アプリケーションが動作しているゲストＯＳを介して発生させるようにしても良い。
また、本発明に係る仮想計算機システムは、設定適用手段が、物理デバイスへの書き込みを行う場合に、該当する設定項目の対象であるゲストＯＳまたはアプリケーション用にハードウェア資源として割り当てられた対応するハードウェア領域に対しても書き込みを行うようにしても良い。
例えば、本発明に係るポリシ強制システムは、実計算機上に１つ以上の仮想計算機を構築する仮想計算機システムに対してポリシを強制するポリシ強制システムであって、前記仮想計算機システムと、前記仮想計算機システムに適用させるセキュリティポリシを管理する管理システムとを備え、前記仮想計算機システムは、各仮想計算機上で動作するオペレーティングシステムであるゲストＯＳまたはゲストＯＳ上で動作するアプリケーションからの仮想化されたハードウェアに対するアクセスを実計算機が備える物理デバイスで実現するハイパバイザを有し、前記ハイパバイザは、当該ハイパバイザを有する仮想計算機システムに適用されるセキュリティポリシをゲストＯＳの種類またはゲストＯＳ上で動作するアプリケーションの種類に応じた設定項目の設定値として示す設定項目情報を保持する設定項目情報保持手段と、前記設定項目情報に基づき、ゲストＯＳが実行する命令および物理デバイスからの出力を監視して、前記設定項目に現に設定されている設定値または変更されようとしている設定値を検出する設定検出手段と、前記設定検出手段によって検出された設定値と前記設定項目情報で示される設定値とが相違する場合に、相違を検知した設定項目の参照または更新に係るハードウェアアクセス命令に対する応答の書き換え、該設定項目の設定値を保持している物理デバイスへの書き込み、該設定項目の対象であるゲストＯＳまたはアプリケーションが保有している機能を利用した通知のいずれか、または前記書き換えと前記書き込みと前記通知とのうちの２つ以上を組み合わせて行うことにより、該設定項目の対象であるゲストＯＳまたはアプリケーションに前記設定項目情報で示される設定値を適用させる設定適用手段とを含むことを特徴とする。
また、本発明に係るポリシ強制システムは、ハイパバイザが、セキュリティポリシの各項目と、該項目に応じたゲストＯＳの種類毎およびゲストＯＳ上で動作しているアプリケーションの種類毎の設定項目との対応関係を示す対応情報を保持する対応情報保持手段と、セキュリティポリシを管理している管理システムから、当該仮想計算機システムに適用されるセキュリティポリシの情報を受け付けて、受け付けたセキュリティポリシの各項目の設定内容を、前記対応情報に基づき、ゲストＯＳの種類およびゲストＯＳ上で動作しているアプリケーションの種類に応じた１つ以上の設定項目の設定値に展開して設定項目情報を生成する設定項目情報生成手段とを含むようにしても良い。
例えば、本発明に係るポリシ強制方法は、実計算機上に１つ以上の仮想計算機を構築する仮想計算機システムに対してポリシを強制するためのポリシ強制方法であって、ハイパバイザが、当該ハイパバイザを有する仮想計算機システムに適用されるセキュリティポリシをゲストＯＳの種類またはゲストＯＳ上で動作するアプリケーションの種類に応じた設定項目の設定値として示す設定項目情報を保持し、前記ハイパバイザが、前記設定項目情報に基づき、ゲストＯＳが実行する命令および物理デバイスからの出力を監視して、前記設定項目に現に設定されている設定値または変更されようとしている設定値を検出し、前記ハイパバイザが、検出された設定値と前記設定項目情報で示される設定値とが相違する場合に、相違を検知した設定項目の参照または更新に係るハードウェアアクセス命令に対する応答の書き換え、該設定項目の設定値を保持している物理デバイスへの書き込み、該設定項目の対象であるゲストＯＳまたはアプリケーションが保有している機能を利用した通知のいずれか、または前記書き換えと前記書き込みと前記通知とのうちの２つ以上を組み合わせて行うことにより、該設定項目の対象であるゲストＯＳまたはアプリケーションに前記設定項目情報で示される設定値を適用させることを特徴とする。
また、本発明に係るポリシ強制方法は、ハイパバイザが、セキュリティポリシの各項目と、該項目に応じたゲストＯＳの種類毎およびゲストＯＳ上で動作しているアプリケーションの種類毎の設定項目との対応関係を示す対応情報を保持し、前記ハイパバイザが、セキュリティポリシを管理している管理システムから、当該仮想計算機システムに適用されるセキュリティポリシの情報を受け付けて、受け付けたセキュリティポリシの各項目の設定内容を、前記対応情報に基づき、ゲストＯＳの種類およびゲストＯＳ上で動作しているアプリケーションの種類に応じた１つ以上の設定項目の設定値に展開して設定項目情報を生成するようにしても良い。
例えば、本発明に係る仮想計算機制御用プログラムは、実計算機上に１つ以上の仮想計算機を構築する仮想計算機システムにおけるハイパバイザを実現させるための仮想計算機制御用プログラムであって、コンピュータに、当該仮想計算機システムに適用されるセキュリティポリシをゲストＯＳの種類またはゲストＯＳ上で動作するアプリケーションの種類に応じた設定項目の設定値として示す設定項目情報に基づき、ゲストＯＳが実行する命令および物理デバイスからの出力を監視して、前記設定項目に現に設定されている設定値または変更されようとしている設定値を検出する処理、および検出された設定値と前記設定項目情報で示される設定値とが相違する場合に、相違を検知した設定項目の参照または更新に係るハードウェアアクセス命令に対する応答の書き換え、該設定項目の設定値を保持している物理デバイスへの書き込み、該設定項目の対象であるゲストＯＳまたはアプリケーションが保有している機能を利用した通知のいずれか、または前記書き換えと前記書き込みと前記通知とのうちの２つ以上を組み合わせて行うことにより、該設定項目の対象であるゲストＯＳまたはアプリケーションに前記設定項目情報で示される設定値を適用させる処理を実行させることを特徴とする。
例えば、本発明に係る仮想計算機制御用プログラムは、コンピュータに、セキュリティポリシを管理している管理システムから受け付けた当該仮想計算機システムに適用されるセキュリティポリシの各項目につき、セキュリティポリシの各項目と該項目に応じたゲストＯＳの種類毎およびゲストＯＳ上で動作しているアプリケーションの種類毎の設定項目との対応関係を示す対応情報に基づき、ゲストＯＳの種類およびゲストＯＳ上で動作しているアプリケーションの種類に応じて１つ以上の設定項目の設定値に展開して設定項目情報を生成する処理を実行させるようにしても良い。
本発明は、仮想計算機システム上で動作するゲストＯＳやそのゲストＯＳ上で動作するアプリケーションに対して、特別なエージェントを設置させずに、設定を強制したい場合に、好適に適用できる。
(付記１）本願発明の仮想計算機システムは、実計算機上に１つ以上の仮想計算機を構築する仮想計算機システムであって、前記仮想計算機上で動作するオペレーティングシステムであるゲストＯＳまたは当該ゲストＯＳ上で動作するアプリケーションによる仮想化されたハードウェアに対するアクセスを、前記実計算機が備える物理デバイスによって実現するハイパバイザを有し、
前記ハイパバイザは、前記仮想計算機システムに適用されるセキュリティポリシを、前記ゲストＯＳの種類または前記アプリケーションの種類に応じた設定項目の設定値として示す設定項目情報を保持する設定項目情報保持手段と、前記設定項目情報に基づいて、前記ゲストＯＳが実行する命令および前記物理デバイスの出力を監視して、前記設定項目情報保持手段の前記設定項目に設定されている設定値または変更されようとしている設定値を検出する設定検出手段と、前記設定検出手段によって検出された設定値と前記設定項目情報で示される設定値とが相違するとき、前記設定項目の設定対象である前記ゲストＯＳまたは前記アプリケーションからのハードウェアアクセスを用いて、当該ゲストＯＳまたは当該アプリケーションに前記設定項目情報で示される設定値を適用させる設定適用手段と、を備えることを特徴とする。
(付記２）前記ハイパバイザは、前記セキュリティポリシで規定される項目と、当該項目に応じた前記ゲストＯＳの種類毎および前記アプリケーションの種類毎の設定項目との対応関係を示す対応情報を保持する対応情報保持手段と、前記セキュリティポリシを管理している管理システムから、当該仮想計算機システムに適用される前記セキュリティポリシの情報を受け付けて、受け付けた前記セキュリティポリシの前記項目の設定内容を、保持される前記対応情報に基づいて、前記ゲストＯＳの種類および前記アプリケーションの種類に応じた１つ以上の設定項目の設定値に展開して設定項目情報を生成する設定項目情報生成手段と、を備えることを特徴とする付記１に記載の仮想計算機システムであっても良い。
(付記３）前記設定適用手段は、前記相違が検知された設定項目の参照または更新に係るハードウェアアクセス命令に対する応答の書き換えを行うことにより、当該設定項目の対象である前記ゲストＯＳまたは前記アプリケーションに設定値を適用させることを特徴とする付記１または２に記載の仮想計算機システムであっても良い。
(付記４）前記設定適用手段は、前記相違が検知された設定項目の対象である前記ゲストＯＳまたは前記アプリケーションが保有している機能を利用した通知を行うことにより、当該設定項目の対象である前記ゲストＯＳまたは前記アプリケーションに設定値を適用させることを特徴とする付記１乃至３の何れか１つに記載の仮想計算機システムであっても良い。
(付記５）前記設定適用手段は、前記相違が検知された設定項目の設定値を保持している物理デバイスに書き込みを行うことにより、当該設定項目の対象である前記ゲストＯＳまたは前記アプリケーションに設定値を適用させることを特徴とする付記１乃至４の何れか１つに記載の仮想計算機システムであっても良い。
(付記６）前記設定適用手段は、前記相違が検知された設定項目の対象である前記ゲストＯＳまたは前記アプリケーションが保有している機能を利用した通知として、当該ゲストＯＳまたは当該アプリケーションが受理する割り込みを発生させることを特徴とする付記１乃至５の何れか１つに記載の仮想計算機システムであっても良い。
(付記７）前記設定適用手段は、前記割り込みを、前記アプリケーションが動作している前記ゲストＯＳを介して発生させることを特徴とする付記６に記載の仮想計算機システムであっても良い。
(付記８）前記設定適用手段は、前記物理デバイスに書き込みを行うとき、該当する設定項目の対象である前記ゲストＯＳまたは前記アプリケーション用にハードウェア資源として割り当てられた対応するハードウェア領域に対して書き込みを行うことを特徴とする付記１乃至７の何れか１つに記載の仮想計算機システムであっても良い。
(付記９）本願発明のポリシ強制システムは、実計算機上に１つ以上の仮想計算機を構築する仮想計算機システムに対してセキュリティポリシを強制するポリシ強制システムであって、前記仮想計算機システムと、前記仮想計算機システムに適用させる前記セキュリティポリシを管理する管理システムと、を備え、前記仮想計算機システムは、当該仮想計算機上で動作するオペレーティングシステムであるゲストＯＳまたは当該ゲストＯＳ上で動作するアプリケーションによる仮想化されたハードウェアに対するアクセスを、前記実計算機が備える物理デバイスによって実現するハイパバイザを有し、前記ハイパバイザは、前記仮想計算機システムに適用される前記セキュリティポリシを、前記ゲストＯＳの種類または前記アプリケーションの種類に応じた設定項目の設定値として示す設定項目情報を保持する設定項目情報保持手段と、前記設定項目情報に基づいて、前記ゲストＯＳが実行する命令および前記物理デバイスの出力を監視して、前記設定項目情報保持手段の前記設定項目に設定されている設定値または変更されようとしている設定値を検出する設定検出手段と、前記設定検出手段によって検出された設定値と前記設定項目情報で示される設定値とが相違するとき、前記設定項目の設定対象である前記ゲストＯＳまたは前記アプリケーションからのハードウェアアクセスを用いて、当該ゲストＯＳまたは当該アプリケーションに前記設定項目情報で示される設定値を適用させる設定適用手段と、を備えることを特徴とする。
(付記１０）前記ハイパバイザは、前記セキュリティポリシで規定される項目と、当該項目に応じた前記ゲストＯＳの種類毎および前記アプリケーションの種類毎の設定項目との対応関係を示す対応情報を保持する対応情報保持手段と、前記セキュリティポリシを管理している管理システムから、当該仮想計算機システムに適用される前記セキュリティポリシの情報を受け付けて、受け付けた前記セキュリティポリシの前記項目の設定内容を、保持される前記対応情報に基づいて、前記ゲストＯＳの種類および前記アプリケーションの種類に応じた１つ以上の設定項目の設定値に展開して設定項目情報を生成する設定項目情報生成手段と、を備えることを特徴とする付記９に記載のポリシ強制システムであっても良い。
(付記１１）本願発明のポリシ強制方法は、実計算機上に１つ以上の仮想計算機を構築する仮想計算機システムに対してセキュリティポリシを強制するポリシ強制方法であって、前記仮想計算機上で動作するオペレーティングシステムであるゲストＯＳまたは当該ゲストＯＳ上で動作するアプリケーションによる仮想化されたハードウェアに対するアクセスを、前記実計算機が備える物理デバイスによって実現するハイパバイザを有し、前記ハイパバイザが、前記仮想計算機システムに適用される前記セキュリティポリシを、前記ゲストＯＳの種類または前記アプリケーションの種類に応じた設定項目の設定値として示す設定項目情報を保持する設定項目情報保持ステップと、前記ハイパバイザが、前記設定項目情報に基づいて、前記ゲストＯＳが実行する命令および前記物理デバイスの出力を監視して、前記設定項目情報保持ステップにおいて前記設定項目に設定されている設定値または変更されようとしている設定値を検出する設定検出ステップと、前記ハイパバイザが、前記設定検出ステップにおいて検出された設定値と前記設定項目情報で示される設定値とが相違するとき、前記設定項目の設定対象である前記ゲストＯＳまたは前記アプリケーションからのハードウェアアクセスを用いて、当該ゲストＯＳまたは当該アプリケーションに前記設定項目情報で示される設定値を適用させる設定適用ステップと、を含むことを特徴とする。
(付記１２）前記ハイパバイザが、前記セキュリティポリシで規定される項目と、当該項目に応じた前記ゲストＯＳの種類毎および前記アプリケーションの種類毎の設定項目との対応関係を示す対応情報を保持する対応情報保持ステップと、前記ハイパバイザが、前記セキュリティポリシを管理している管理システムから、当該仮想計算機システムに適用される前記セキュリティポリシの情報を受け付けて、受け付けた前記セキュリティポリシの前記項目の設定内容を、保持される前記対応情報に基づいて、前記ゲストＯＳの種類および前記アプリケーションの種類に応じた１つ以上の設定項目の設定値に展開して設定項目情報を生成する設定項目情報生成ステップと、を含むことを特徴とする付記１１に記載のポリシ強制方法であっても良い。
(付記１３）本願発明の仮想計算機制御用プログラムは、実計算機上に１つ以上の仮想計算機を構築する仮想計算機システムにおける仮想計算機制御用プログラムであって、前記仮想計算機上で動作するオペレーティングシステムであるゲストＯＳまたは当該ゲストＯＳ上で動作するアプリケーションによる仮想化されたハードウェアに対するアクセスを、前記実計算機が備える物理デバイスによって実現するハイパバイザを有し、前記ハイパバイザは、前記仮想計算機システムに適用されるセキュリティポリシを、前記ゲストＯＳの種類または前記アプリケーションの種類に応じた設定項目の設定値として示す設定項目情報を保持する設定項目情報保持手順と、前記設定項目情報に基づいて、前記ゲストＯＳが実行する命令および前記物理デバイスの出力を監視して、前記設定項目情報保持手順の前記設定項目に設定されている設定値または変更されようとしている設定値を検出する設定検出手順と、前記設定検出手順によって検出された設定値と前記設定項目情報で示される設定値とが相違するとき、前記設定項目の設定対象である前記ゲストＯＳまたは前記アプリケーションからのハードウェアアクセスを用いて、当該ゲストＯＳまたは当該アプリケーションに前記設定項目情報で示される設定値を適用させる設定適用手順と、をコンピュータに実行させることを特徴とする。
(付記１４）前記ハイパバイザは、前記セキュリティポリシで規定される項目と、当該項目に応じた前記ゲストＯＳの種類毎および前記アプリケーションの種類毎の設定項目との対応関係を示す対応情報を保持する対応情報保持手順と、前記セキュリティポリシを管理している管理システムから、当該仮想計算機システムに適用される前記セキュリティポリシの情報を受け付けて、受け付けた前記セキュリティポリシの前記項目の設定内容を、保持される前記対応情報に基づいて、前記ゲストＯＳの種類および前記アプリケーションの種類に応じた１つ以上の設定項目の設定値に展開して設定項目情報を生成する設定項目情報生成手順と、をコンピュータに実行させることを特徴とする付記１３に記載の仮想計算機制御用プログラムであっても良い。

Claims (10)

  1. 実計算機上に１つ以上の仮想計算機を構築する仮想計算機システムであって、
    前記仮想計算機上で動作するオペレーティングシステムであるゲストＯＳまたは当該ゲストＯＳ上で動作するアプリケーションによる仮想化されたハードウェアに対するアクセスを、前記実計算機が備える物理デバイスによって実現するハイパバイザを有し、
    前記ハイパバイザは、
    前記仮想計算機システムに適用されるセキュリティポリシを、前記ゲストＯＳの種類または前記アプリケーションの種類に応じた設定項目の設定値として示す設定項目情報を保持する設定項目情報保持手段と、
    前記設定項目情報に基づいて、前記ゲストＯＳが実行する命令および前記物理デバイスの出力を監視して、前記ゲストＯＳが実行する命令又は前記物理デバイスの出力に含まれる値であり、かつ前記設定項目に対応する値である候補値を検出する設定検出手段と、
    前記設定検出手段によって検出された前記候補値と、前記設定項目情報における前記候補値と同一の前記設定項目の設定値とが相違するとき、前記ゲストＯＳが実行する命令又は前記物理デバイスの出力に含まれる前記候補値の値を、前記設定値と同一の値に変更する設定適用手段と、
    を備えることを特徴とする仮想計算機システム。
  2. 前記ハイパバイザは、
    前記セキュリティポリシで規定される項目と、当該項目に応じた前記ゲストＯＳの種類毎および前記アプリケーションの種類毎の設定項目との対応関係を示す対応情報を保持する対応情報保持手段と、
    前記セキュリティポリシを管理している管理システムから、当該仮想計算機システムに適用される前記セキュリティポリシの情報を受け付けて、受け付けた前記セキュリティポリシの前記項目の設定内容を、保持される前記対応情報に基づいて、前記ゲストＯＳの種類および前記アプリケーションの種類に応じた１つ以上の設定項目の設定値に展開して設定項目情報を生成する設定項目情報生成手段と、
    を備えることを特徴とする請求項１に記載の仮想計算機システム。
  3. 前記設定適用手段は、
    前記相違が検知された設定項目の参照または更新に係るハードウェアアクセス命令に対する応答の書き換えを行うことにより、当該設定項目の対象である前記ゲストＯＳまたは前記アプリケーションに設定値を適用させる
    ことを特徴とする請求項１または２に記載の仮想計算機システム。
  4. 前記設定適用手段は、
    前記相違が検知された設定項目の対象である前記ゲストＯＳまたは前記アプリケーションが保有している機能を利用した通知を行うことにより、当該設定項目の対象である前記ゲストＯＳまたは前記アプリケーションに設定値を適用させる
    ことを特徴とする請求項１または２に記載の仮想計算機システム。
  5. 前記設定適用手段は、
    前記相違が検知された設定項目の設定値を保持している物理デバイスに書き込みを行うことにより、当該設定項目の対象である前記ゲストＯＳまたは前記アプリケーションに設定値を適用させる
    ことを特徴とする請求項１または２に記載の仮想計算機システム。
  6. 前記設定適用手段は、
    前記相違が検知された設定項目の対象である前記ゲストＯＳまたは前記アプリケーションが保有している機能を利用した通知として、当該ゲストＯＳまたは当該アプリケーションが受理する割り込みを発生させる
    ことを特徴とする請求項４に記載の仮想計算機システム。
  7. 前記設定適用手段は、
    前記割り込みを、前記アプリケーションが動作している前記ゲストＯＳを介して発生させる
    ことを特徴とする請求項６に記載の仮想計算機システム。
  8. 実計算機上に１つ以上の仮想計算機を構築する仮想計算機システムに対してセキュリティポリシを強制するポリシ強制システムであって、
    前記仮想計算機システムと、前記仮想計算機システムに適用させる前記セキュリティポリシを管理する管理システムと、を備え、
    前記仮想計算機システムは、当該仮想計算機上で動作するオペレーティングシステムであるゲストＯＳまたは当該ゲストＯＳ上で動作するアプリケーションによる仮想化されたハードウェアに対するアクセスを、前記実計算機が備える物理デバイスによって実現するハイパバイザを有し、
    前記ハイパバイザは、
    前記仮想計算機システムに適用される前記セキュリティポリシを、前記ゲストＯＳの種類または前記アプリケーションの種類に応じた設定項目の設定値として示す設定項目情報を保持する設定項目情報保持手段と、
    前記設定項目情報に基づいて、前記ゲストＯＳが実行する命令および前記物理デバイスの出力を監視して、前記ゲストＯＳが実行する命令又は前記物理デバイスの出力に含まれる値であり、かつ前記設定項目に対応する値である候補値を検出する設定検出手段と、
    前記設定検出手段によって検出された前記候補値と、前記設定項目情報における前記候補値と同一の前記設定項目の設定値とが相違するとき、前記ゲストＯＳが実行する命令又は前記物理デバイスの出力に含まれる前記候補値の値を、前記設定値と同一の値に変更する設定適用手段と、
    を備えることを特徴とするポリシ強制システム。
  9. 実計算機上に１つ以上の仮想計算機を構築する仮想計算機システムに対してセキュリティポリシを強制するポリシ強制方法であって、
    前記仮想計算機上で動作するオペレーティングシステムであるゲストＯＳまたは当該ゲストＯＳ上で動作するアプリケーションによる仮想化されたハードウェアに対するアクセスを、前記実計算機が備える物理デバイスによって実現するハイパバイザを有し、
    前記ハイパバイザが、前記仮想計算機システムに適用される前記セキュリティポリシを、前記ゲストＯＳの種類または前記アプリケーションの種類に応じた設定項目の設定値として示す設定項目情報を保持する設定項目情報保持ステップと、
    前記ハイパバイザが、前記設定項目情報に基づいて、前記ゲストＯＳが実行する命令および前記物理デバイスの出力を監視して、前記ゲストＯＳが実行する命令又は前記物理デバイスの出力に含まれる値であり、かつ前記設定項目に対応する値である候補値を検出する設定検出ステップと、
    前記ハイパバイザが、前記設定検出ステップにおいて検出された前記候補値と、前記設定項目情報における前記候補値と同一の前記設定項目の設定値とが相違するとき、前記ゲストＯＳが実行する命令又は前記物理デバイスの出力に含まれる前記候補値の値を、前記設定値と同一の値に変更する設定適用ステップと、
    を含むことを特徴とするポリシ強制方法。
  10. 実計算機上に１つ以上の仮想計算機を構築する仮想計算機システムにおける仮想計算機制御用プログラムであって、
    前記仮想計算機上で動作するオペレーティングシステムであるゲストＯＳまたは当該ゲストＯＳ上で動作するアプリケーションによる仮想化されたハードウェアに対するアクセスを、前記実計算機が備える物理デバイスによって実現するハイパバイザを有し、
    前記ハイパバイザは、
    前記仮想計算機システムに適用されるセキュリティポリシを、前記ゲストＯＳの種類または前記アプリケーションの種類に応じた設定項目の設定値として示す設定項目情報を保持する設定項目情報保持手順と、
    前記設定項目情報に基づいて、前記ゲストＯＳが実行する命令および前記物理デバイスの出力を監視して、前記ゲストＯＳが実行する命令又は前記物理デバイスの出力に含まれる値であり、かつ前記設定項目に対応する値である候補値を検出する設定検出手順と、
    前記設定検出手順によって検出された前記候補値と、前記設定項目情報における前記候補値と同一の前記設定項目の設定値とが相違するとき、前記ゲストＯＳが実行する命令又は前記物理デバイスの出力に含まれる前記候補値の値を、前記設定値と同一の値に変更する設定適用手順と、
    をコンピュータに実行させることを特徴とする仮想計算機制御用プログラム。
JP2009546929A 2007-12-26 2008-12-10 仮想計算機システム、ポリシ強制システム、ポリシ強制方法及び仮想計算機制御用プログラム Active JP5387415B2 (ja)

Priority Applications (1)

Application Number Priority Date Filing Date Title
JP2009546929A JP5387415B2 (ja) 2007-12-26 2008-12-10 仮想計算機システム、ポリシ強制システム、ポリシ強制方法及び仮想計算機制御用プログラム

Applications Claiming Priority (4)

Application Number Priority Date Filing Date Title
JP2007333472 2007-12-26
JP2007333472 2007-12-26
PCT/JP2008/003691 WO2009081530A1 (ja) 2007-12-26 2008-12-10 仮想計算機システム、ポリシ強制システム、ポリシ強制方法及び仮想計算機制御用プログラム
JP2009546929A JP5387415B2 (ja) 2007-12-26 2008-12-10 仮想計算機システム、ポリシ強制システム、ポリシ強制方法及び仮想計算機制御用プログラム

Publications (2)

Publication Number Publication Date
JPWO2009081530A1 JPWO2009081530A1 (ja) 2011-05-06
JP5387415B2 true JP5387415B2 (ja) 2014-01-15

Family

ID=40800848

Family Applications (1)

Application Number Title Priority Date Filing Date
JP2009546929A Active JP5387415B2 (ja) 2007-12-26 2008-12-10 仮想計算機システム、ポリシ強制システム、ポリシ強制方法及び仮想計算機制御用プログラム

Country Status (3)

Country Link
US (1) US8468522B2 (ja)
JP (1) JP5387415B2 (ja)
WO (1) WO2009081530A1 (ja)

Families Citing this family (21)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US8060476B1 (en) 2008-07-14 2011-11-15 Quest Software, Inc. Backup systems and methods for a virtual computing environment
US8046550B2 (en) 2008-07-14 2011-10-25 Quest Software, Inc. Systems and methods for performing backup operations of virtual machine files
US8429649B1 (en) * 2008-09-25 2013-04-23 Quest Software, Inc. Systems and methods for data management in a virtual computing environment
JP5166318B2 (ja) * 2009-02-24 2013-03-21 株式会社東芝 情報を処理する装置、方法およびプログラム
US8996468B1 (en) 2009-04-17 2015-03-31 Dell Software Inc. Block status mapping system for reducing virtual machine backup storage
US9778946B2 (en) 2009-08-07 2017-10-03 Dell Software Inc. Optimized copy of virtual machine storage files
US8938782B2 (en) * 2010-03-15 2015-01-20 Symantec Corporation Systems and methods for providing network access control in virtual environments
US9569446B1 (en) 2010-06-08 2017-02-14 Dell Software Inc. Cataloging system for image-based backup
US8898114B1 (en) 2010-08-27 2014-11-25 Dell Software Inc. Multitier deduplication systems and methods
US9053339B2 (en) * 2010-10-27 2015-06-09 Hytrust, Inc. System and method for secure storage of virtual machines
US8910155B1 (en) 2010-11-02 2014-12-09 Symantec Corporation Methods and systems for injecting endpoint management agents into virtual machines
KR20130050156A (ko) * 2011-11-07 2013-05-15 한국전자통신연구원 가상 주소 공간 전환 장치
US9311375B1 (en) 2012-02-07 2016-04-12 Dell Software Inc. Systems and methods for compacting a virtual machine file
US9569192B2 (en) * 2014-03-31 2017-02-14 Red Hat Israel, Ltd. Configuring dependent services associated with a software package on a host system
RU2568282C2 (ru) * 2014-04-18 2015-11-20 Закрытое акционерное общество "Лаборатория Касперского" Система и способ обеспечения отказоустойчивости антивирусной защиты, реализуемой в виртуальной среде
US10318765B2 (en) * 2014-05-02 2019-06-11 Avago Technologies International Sales Pte. Limited Protecting critical data structures in an embedded hypervisor system
JP6579735B2 (ja) * 2014-08-05 2019-09-25 キヤノン株式会社 情報処理システム、情報処理装置、情報処理システムの制御方法、情報処理装置の制御方法、及びプログラム
US9516033B2 (en) * 2014-10-13 2016-12-06 International Business Machines Corporation Providing restricted access to given devices by constructing abstract devices
KR102387157B1 (ko) * 2015-07-27 2022-04-18 삼성전자주식회사 장치 관리 방법 및 이를 지원하는 전자 장치
US9841986B2 (en) * 2015-10-27 2017-12-12 Vmware, Inc. Policy based application monitoring in virtualized environment
US11748140B2 (en) * 2020-08-31 2023-09-05 Red Hat, Inc. Virtual machine security policy implementation

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2001337864A (ja) * 2000-03-22 2001-12-07 Hitachi Ltd アクセス制御システム
JP2004287810A (ja) * 2003-03-20 2004-10-14 Nec Corp 不正アクセス防止システム、不正アクセス防止方法、および不正アクセス防止プログラム
JP2006155583A (ja) * 2004-11-08 2006-06-15 Ntt Docomo Inc デバイス管理装置、デバイス及びデバイス管理方法
JP2007109016A (ja) * 2005-10-13 2007-04-26 Nec Corp アクセスポリシ生成システム、アクセスポリシ生成方法及びアクセスポリシ生成用プログラム

Family Cites Families (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPH0553833A (ja) 1991-08-26 1993-03-05 Fujitsu Ltd プログラム起動方法
JP2003110564A (ja) 2001-09-28 2003-04-11 Toshiba Corp 情報処理装置及びネットワーク設定方法
JP2004306555A (ja) 2003-04-10 2004-11-04 Seiko Epson Corp 印刷処理装置及び印刷処理方法
JP2004334360A (ja) 2003-05-01 2004-11-25 Toshiba Corp プロセス監視システム
JP2005135137A (ja) 2003-10-30 2005-05-26 Hitachi Ltd 仮想計算機システム
US20070174429A1 (en) * 2006-01-24 2007-07-26 Citrix Systems, Inc. Methods and servers for establishing a connection between a client system and a virtual machine hosting a requested computing environment

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2001337864A (ja) * 2000-03-22 2001-12-07 Hitachi Ltd アクセス制御システム
JP2004287810A (ja) * 2003-03-20 2004-10-14 Nec Corp 不正アクセス防止システム、不正アクセス防止方法、および不正アクセス防止プログラム
JP2006155583A (ja) * 2004-11-08 2006-06-15 Ntt Docomo Inc デバイス管理装置、デバイス及びデバイス管理方法
JP2007109016A (ja) * 2005-10-13 2007-04-26 Nec Corp アクセスポリシ生成システム、アクセスポリシ生成方法及びアクセスポリシ生成用プログラム

Also Published As

Publication number Publication date
US20110154325A1 (en) 2011-06-23
JPWO2009081530A1 (ja) 2011-05-06
US8468522B2 (en) 2013-06-18
WO2009081530A1 (ja) 2009-07-02

Similar Documents

Publication Publication Date Title
JP5387415B2 (ja) 仮想計算機システム、ポリシ強制システム、ポリシ強制方法及び仮想計算機制御用プログラム
US11778057B2 (en) System and method for intent-based service deployment
EP3241140B1 (en) Malware detection in migrated virtual machines
US8560826B2 (en) Secure virtualization environment bootable from an external media device
US8412797B2 (en) Platform for development and deployment of system administration solutions
JP6077562B2 (ja) 分散型アプリケーション・オブジェクトに関するアップデート通知の提供
JP4592814B2 (ja) 情報処理装置
US20130198748A1 (en) Storage optimization selection within a virtualization environment
KR20110030447A (ko) 가상 머신 및 애플리케이션 수명들의 동기화
US20160154673A1 (en) Methods, systems, and computer program products for providing a minimally complete operating environment
JP2012118827A (ja) 情報処理システム、情報処理装置、準備方法、プログラムおよび記録媒体
CN104603750A (zh) 使用bpram来布局和执行软件应用
CN104583948A (zh) 使用bpram来布局和执行操作系统
JP5426576B2 (ja) 仮想化技術を利用したデータ入出力方法及び装置
CN114222975A (zh) 使用存储器孔径冲刷顺序的数据保存
US20140089557A1 (en) Image storage optimization in virtual environments
EP3213198B1 (en) Monitoring a mobile device application
JP5951002B2 (ja) 選択的ポリシーによるホストと複数のゲストとの間での構成要素伝播の実現
US11698795B2 (en) Unified way to track user configuration on a live system
JP2004094782A (ja) リソース管理システム、プログラムおよび記録媒体
JP2020144448A (ja) 情報処理装置及びその制御方法、プログラム
JP5564466B2 (ja) 仮想化装置、仮想化装置制御方法、仮想化装置制御プログラム
Halsey et al. Windows 10 File Structure in Depth
JP2012252492A (ja) 仮想化装置、仮想化装置制御方法、仮想化装置制御プログラム
JP2014106788A (ja) 画像形成装置および画像形成装置制御方法

Legal Events

Date Code Title Description
A621 Written request for application examination

Free format text: JAPANESE INTERMEDIATE CODE: A621

Effective date: 20110906

A131 Notification of reasons for refusal

Free format text: JAPANESE INTERMEDIATE CODE: A131

Effective date: 20130507

A521 Request for written amendment filed

Free format text: JAPANESE INTERMEDIATE CODE: A523

Effective date: 20130704

A131 Notification of reasons for refusal

Free format text: JAPANESE INTERMEDIATE CODE: A131

Effective date: 20130806

A521 Request for written amendment filed

Free format text: JAPANESE INTERMEDIATE CODE: A523

Effective date: 20130819

TRDD Decision of grant or rejection written
A01 Written decision to grant a patent or to grant a registration (utility model)

Free format text: JAPANESE INTERMEDIATE CODE: A01

Effective date: 20130910

A61 First payment of annual fees (during grant procedure)

Free format text: JAPANESE INTERMEDIATE CODE: A61

Effective date: 20130923

R150 Certificate of patent or registration of utility model

Ref document number: 5387415

Country of ref document: JP

Free format text: JAPANESE INTERMEDIATE CODE: R150

Free format text: JAPANESE INTERMEDIATE CODE: R150