CN1842085A - 访问控制服务和控制服务器 - Google Patents

Abstract

提供一种在终端服务等中能够防御计算机受“口令”攻击等非法访问的访问控制服务和控制服务器。访问控制服务器3，设置有：认证操作终端的用户的认证部(7)；和根据其认证结果对集线器(4)设定可进行用户操作的终端1与特定的计算机单元2之间的通信的网络链路的ACE设定部(9)。各用户的信息与各用户可利用的特定的计算机单元(2)的信息被关联起来登录在ACE设定部(9)内。

Description

访问控制服务和控制服务器

技术领域

本发明涉及终端服务等中合适的访问控制服务和控制服务器。

背景技术

随着近年来的因特网的普及，在外出目的地或自家住宅等所有场所存在想要使用计算机进行邮件或Web、文档制作等多种多样的作业(下称PC业务)的要求。为了实现这种要求，就要经由因特网接入到远距离计算机(远程计算机)上，并把该远程计算机的桌面画面显示在手边的计算机上进行作业，这种系统已经付诸实用，一般，被称之为终端服务。在这种终端服务中，OS(操作系统)或PC业务所使用的应用程序等软件和作成数据全都存储在远程计算机侧的硬盘等二次存储装置中，各软件由远程计算机的CPU(中央处理单元)来执行。直接由用户操作的手边的终端把从键盘或鼠标器等用户I/F设备输入的控制信号发送到远程计算机上，或者把从远程计算机发送来的桌面画面信息显示在显示器上。

在终端服务中有两种方式，第一种方式是一人的用户占有1台远程计算机的方式，叫做P2P(对等)型、远程桌面功能，第二种方式是多个用户共享1台远程计算机的方式，叫做SBC(Server Based Computing)型、终端服务器。

用户开始PC业务时，进行从手边的计算机向远程计算机的连接请求，此时，为了防止他人的非法访问，远程计算机实施验证本人属性即用户的确是该远程计算机的使用者本人的用户认证。作为用户认证广泛地采用把用户ID与密码组合起来验证本人属性的方法。远程计算机接受连接请求时，就显示注册画面，将用户输入(注册)的用户ID和密码与预先登录的用户ID和密码的组合进行对照，在它们一致的情况下，许可连接请求，并对用户的终端提供终端服务，如果它们不一致，远程计算机拒绝连接请求。

鉴于上述进行用户认证和向终端服务连接时的方便性和安全性，还提出了一种利用IC卡那样的记录媒体的连接方式的方案。例如，特开2001-282747号公报(称为文献1)中所记载的技术是把存储了经网络把终端连接到服务器上所必要的第一信息和认证用户的第二信息的记录媒体(IC卡)安装在终端内，在对照用户输入的信息与存储在所述记录媒体上的第二信息，并且一致时，用从所述记录媒体读出来的第一信息自动连接到服务器上。

还提出了一种防止非法用户的非法利用系统的方式，例如，美国专利US6907470(称为文献2)中记载的技术是，在向文件服务器访问时控制网络机器进行用户认证，仅仅中继来自认证成功的用户操作的终端的通信数据包，废弃来自其他终端的通信数据包。

前述的向终端服务的连接方法存在如下问题。

把用户ID与“口令”组合起来验证用户的方法，完全无法防御逐段尝试数字或字母的组合的强力攻击或者依据单词、人名等辞典的辞典攻击等的“口令”攻击。结果，他人就有可能破译“口令”、非法访问远程终端而把所存储的数据盗读出去。特别是在如终端服务那样经网络进行用户认证的情况下，不能从连接着网络的所有地方看到面孔，且也不介意所要时间，所以容易受“口令”攻击。

为了抑制上述的“口令”攻击，在通用的OS中，大多设置有把注册尝试限制在一定次数之内的计数锁定功能。即，例如如果连续3次注册失败，在以后的一定期间之内就不可能向该计算机注册(锁定状态)。按照计数锁定功能，只能在设定的时间内录入一定次数，所以，对于短时间内着手多次注册的“口令”攻击是一种有效的对策。

但是，即便对于计数锁定功能来说，恐怕也有恶意使用这种功能的对合法用户的讨人嫌的行为。也就是说，他人对合法用户的计数故意持续注册失败而使之处于锁定状态，从而使合法用户也不能使用计算机。这种讨人嫌的行为也可以说是一种“口令”攻击。

即使使用前述专利文献1记载的技术，也很难防御这种“口令”攻击。

使用前述专利文献2记载的技术，可以防御未被认证的匿名用户进行的“口令”攻击，但如果是认证过的合法用户，可以访问他人的远程计算机，很难防御内部犯罪的“口令”攻击。

另外，可以从因特网得到搜寻可侵入的通信端口的端口扫描攻击或把大量的数据发送到计算机而不能进行服务的DoS(拒绝服务)攻击等攻击计算机的种种软件，即便是组织内的计算机也不是安全的。

发明内容

本发明提供一种在终端服务等中防御“口令”攻击等非法访问计算机的访问控制服务和控制服务器。

本发明的访问控制服务，其特征在于，具备认证操作终端的用户并根据该认证的结果设定可以进行用户操作的终端与特定的计算机单元之间的通信的网络链路的控制服务器。而且，各用户的信息与各用户可用的特定的计算机单元的信息关联起来被登录在控制服务器中。

本发明的访问控制服务，具备：被连接在各计算机单元上、分配每个用户可利用的存储区域的共享的存储装置；和控制服务器，该控制服务器认证操作终端的用户，并根据该认证的结果把被分配给存储装置内的该用户的存储区域安装在某个计算机单元中，然后设定可进行用户操作的终端与被安装的计算机单元之间的通信的网络链路。而且，各用户的信息与各用户可用的所述存储装置内的存储区域的信息被关联起来登录在控制服务器中。

本发明的访问控制服务，具备；通过网络连接在各终端元上、分配每个用户可利用的存储区域的共享的存储装置；和控制服务器，该控制服务器，认证操作终端的用户，并根据该认证的结果，把被分配给存储装置内的该用户的存储区域安装在用户操作的终端中，然后设定可进行用户操作的终端与存储装置之间的通信的网络链路。而且，各用户的信息与各用户可用的所述存储装置内的存储区域的信息被关联起来登录在控制服务器中。

本发明的控制服务器，具备：认证操作终端的用户的认证部、根据认证的结果设定可以进行用户操作的终端与特定的上述计算机单元之间的通信的网络链路的链路设定部。

本发明的控制服务器，具备：认证操作终端的用户的认证部、根据认证的结果把被分配给连接到各计算机单元上的共享的存储装置内的该用户的存储区域安装在某个计算机单元中的计算机单元管理部、设定可以进行用户操作的终端与被安装的计算机单元之间的通信的网络链路的链路设定部。

本发明的控制服务器，具备：认证操作终端的用户的认证部、根据认证的结果把分配给经网络连接在各终端上的共享的存储装置内的该用户的存储区域安装在用户操作的终端中的计算机单元管理部、设定可以进行用户操作的终端与存储装置之间的通信的网络链路的链路设定部。

按照本发明，可以提供防御合法用户以外的非法访问并安全地保护用户数据的访问控制服务。

附图说明

图1是进行本发明的访问控制服务的计算机系统的第一实施例的构成图；

图2是图1中的访问控制器3的逻辑构成的一个示例图；

图3是图2中的管理DB10存储的信息内容的一个示例图；

图4是图2中的访问控制器3设定的可否中继信息(ACE)的一个示例图；

图5是图1中的机器之间的通信顺序的一个示例图；

图6是连接处理流程的一个示例图；

图7是中继处理流程的一个示例图；

图8是结束处理流程的一个示例图；

图9是图1中的访问控制功能图；

图10是图1的实施例的一个变形例的构成图；

图11是进行本发明的访问控制服务的计算机系统的第二实施例的构成图；

图12是图11中的管理DB30存储的信息内容的一个示例图；

图13是图1中的终端1的内部构成的一个示例图；

图14是图1中的访问控制器3的内部构成的一个示例图；

图15是图5的通信顺序的一个变形示例图；

图16是图5的通信顺序的一个变形示例图；

图17是进行本发明的访问控制服务的计算机系统的第三实施例的构成图；

图18是图17中管理DB51存储的信息内容的一个示例图；

图19是图17中的机器之间的通信顺序的一个示例图。

具体实施方式

以下用附图说明本发明的访问控制服务和控制服务器的实施方式。

【实施例1】

图1是进行本发明的访问控制服务的计算机系统的第一实施例的构成图。LAN等网络5上连接着一台或1台以上(该例中是3台)终端1(1a、1b、1c)和访问控制服务器3，还经集线器4连接着一台或1台以上(该例中是3台)计算机单元2(2a、2b、2c)，访问控制服务器3直接连接在集线器4的管理用端口上。用户操作终端1的某一个，访问特定的计算机单元2，来接受P2P型终端服务的提供。这里，终端1或访问控制服务器3也可以经中继集线器或交换集线器、交换机等网络机器连接在网络5上。

各计算机单元2是具备存储OS或业务中所使用的应用程序等软件和所作成的数据等的硬盘等二次存储装置以及执行各软件的CPU等的远程计算机。

集线器4是具备把从某计算机接收到的通信数据包发送到其他计算机的中继功能，而且具备中断指定以外的计算机间的中继的过滤功能的网络设备。在集线器4中可以使用通用的交换集线器、交换机、网桥等。

图13是本实施例中的终端1的内部结构的一个示例图。

终端1是由存储器41、显示器42、用户I/F装置(键盘43或鼠标器44)、二次存储装置46(硬盘或闪存存储器等)、网络I/F62(经网络5与其他计算机授受数据的LAN卡等)构成的计算机。为了验证用户的本人属性，接上IC卡等认证装置45。存储器41内存储着各种程序，通信控制程序50实现经网络I/F62进行的与其他计算机的通信；计算机单元控制程序47实现与访问控制服务器3的对话；认证控制程序48实现用认证装置45表示用户本人属性的信息的生成；终端服务控制程序49实现从用户I/F装置输入的控制信息向计算机单元2的发送和从计算机单元2发送的桌面画面信息向显示器42的显示。最初，这些程序被存储在二次存储装置46内，根据需要转发到存储器41内之后，由CPU40来执行，作为处理过程体现为以下说明的各处理部，来进行上述处理。

另外，既可以预先把各种程序存储在二次存储装置46内，也可以根据需要经该计算机可用的可装卸的存储媒体或通信媒体从其他装置导入。所谓通信媒体是指网络5或经网络5传输的载波或数字信号。

访问控制服务器3决定许可哪个终端与哪个计算机单元之间的中继(即“网络链路”的形成)，然后把设定命令发布到上述集线器4上。

这里，对“网络链路”加以说明。经网络把各终端与各计算机单元物理地连接起来，本实施例中的所谓“网络链路”是在网络上形成的特定的终端与特定的计算机单元之间的逻辑通信信道，双方的应用程序可以用所形成的通信信道经网络发送接/收应用数据。如果以OSI(开放系统互连)参照模型为例，本实施例的通信信道被形成在对于应用层提供通信功能的下位层(TCP等传输层或TP等网络层)上。

如果在这些下位层中未形成本实施例的通信信道(即“网络链路”)，也不能进行终端服务等、应用层的通信。即，在“网络链路”上传送经用户认证的终端和访问控制服务器特定的计算机单元之间的通信数据包，而不传送其他通信数据包。

另外，本实施例的网络链路是限于用户使用中形成的动态通信信道，因此，全部用户在利用中的情况下，要形成相当于用户数的网络链路。

图2是本实施例的访问控制服务器3的逻辑构成的一个示例图。

通信控制部6经网络5进行与终端1的通信处理；认证处理部7验证用户本人来进行用户认证；计算机单元管理部8进行计算机单元2的启动和关闭；ACE设定部(链路设定部)9对集线器4发布有关中继许可的ACE(访问控制表目)的追加或删除，并形成网络链路。管理数据库(DB)10，存储有关各用户和各计算机单元2的管理信息，进行特定的用户和特定的计算机单元之间的对应。

图14是本实施例中的访问控制服务器3的内部构成的一个示例图。

访问控制服务器3是由CPU56、存储器57、显示器58、用户I/F装置(键盘59或鼠标器60)、二次存储装置61(硬盘等)、网络I/F63(经网络与其他计算机或集线器4授受数据)构成的计算机。存储器57内存储着各种程序；通信控制程序64经网络I/F63与其他计算机或集线器4进行通信；认证处理程序65相当于图2的认证处理部7；计算机单元管理程序66相当于计算机单元管理部8；ACE设定程序67相当于ACE设定部9。最初，这些程序被存储在二次存储装置61内，根据需要在被传送到存储器57之后，由CPU56执行。在二次存储装置61内还存储着管理DB10。

图3是管理DB10存储的信息内容的一个示例图。在用户管理表11中存储有关用户的管理信息；在计算机单元管理表12中存储有关计算机单元2的管理信息。

用户管理表11具有相当于利用计算机单元2的用户数的排列(用户表目)，存储在各用户表目内的信息是唯一识别该用户的用户ID13、该用户使用的特定的计算机单元2的ID14、其IP地址15及其状态(运作状况、连接/中断/结束)16。状态16被初始化为“结束”；而此外的各管理信息均依据系统管理者的权限设定其值。

计算机单元管理表12具有相当于利用的计算机单元2的设置数的排列(计算机单元表目)，存储在各计算机单元表目内的信息是唯一识别该计算机单元的计算机单元ID17和启动该计算机单元时所用的MAC地址18。各管理信息均依据系统管理者的权限设定其值，各信息的配置也未必限定于此。例如，因为IP地址15是被登录在OS内的信息，所以虽然包含在用户管理表11内，但是也可以理解为与计算机单元2相关联的信息而包含在计算机单元管理表12内。

特定的用户与特定的计算机单元间的对应，即各个用户表目与各个计算机单元表目的对应，通过共享各自存储的计算机单元ID14与计算机单元ID17的信息而关联起来。

图4是访问控制服务器3对集线器41设定的可否中继信息(ACE)的一个示例图。ACE由三部分构成，用“.”分开。第一部分代表中继的可否，“permit”表示可中继，“deny”表示不可中继；第二和第三部分是指定访问控制对象的通信数据包的部分，第二部分是源地址(发送方计算机的IP地址)，第三部分是目标地址(接收方计算机的IP地址)。图4所示的ACE19是许可从IP地址“192.168.4.71”至IP地址“192.168.0.2”的通信数据包的中继。

集线器4中可以设定多个ACE，这些ACE的表目叫作ACL(AccessControl List)。在ACL中追加ACE时，一般的集线器4中可以指定检索顺序，作为检索顺序的指定方法，例如，作为从开头数第m个ACE进行插入或作为倒数第n个ACE进行插入的方法，或者在追加的ACE上附加检索顺序号的方法等。在接收到通信数据包时，集线器4根据检索项顺序读入ACL内的ACE，并与通信数据包内记述的源地址和目标地址对照。在发现与这些地址一致的ACE的情况下，参照该ACE的第一部分，根据其指示(permit/deny)中继或中断该通信数据包；如果在ACL内未能发现地址一致的ACE，对该通信数据包使用缺省的ACE。缺省的ACE是仅记述第一部分(permit/deny)的ACE。在本实施例中，在系统运作之前，系统管理者可以在缺省ACE的第一部分内设定“deny”，由此来中断设定外的地址之间的通信。

如后面所述，本实施例的访问控制服务器3对计算机单元发送请求启动的所谓“魔幻数据包”的通信数据包。在经由集线器4发送该数据包的情况下，只要在集线器4内预先设定第一部分为“permit”、第二部分为访问控制服务器3的IP地址、第三部分为“空”的ACE就可以。在ACE的第二或第三部分为“空”的情况下，集线器4解读为无指定。在前述ACE的情况下，访问控制服务器3发送的通信数据包与目的地的计算机单元无关全都中继。存在计算机单元2对访问控制服务器3发送的通信数据包的情况下，也可以在集线器4内追加第一部分为“permit”、第二部分为“空”、第三部分为访问控制服务器3的IP地址的ACE。

下面说明本实施例的访问控制服务的处理流程。

图5是个机器间的一连串通信顺序的示图，图6、图7、图8分别是连接处理、中断处理、结束处理的流程图。这里所说的“连接/中断”是指终端与计算机单元之间可能/不可能通信的状态。

首先用图5和图6说明用户操作终端1向计算机单元2连接时的处理。

用户操作终端1的计算机单元控制程序47，对访问控制服务器3发送连接请求“F501”；访问控制服务器3的通信控制部6接收连接请求“F501”，委托认证处理部7进行用户认证。

在本实施例中，使用因特网的标准化机构IETF(Internet Engineering TaskForce)标准化了的TLS(Transport Layer Security)协议作为用户认证方式，TLS是作为SSL(Secure Sockets Layer)周知知技术，是一种用按公开密钥和秘密密钥的密钥对进行数据加密/解密的公开密钥加密技术和保证公开密钥的合法性的公开密钥证书验证通信者本人的同时，进行通信数据加密的协议。作为认证对象，规定了验证服务器本人的服务器认证和验证客户端本人的客户端认证。在使用客户端认证的情况下，各用户具有自己的公开密钥和秘密密钥以及公开密钥证书。既可以把它们存储在二次存储装置46内，也可以把它们存储在可安全保管IC卡等、密钥的认证装置45内。

认证处理部7使用上述TLS客户端认证来验证操作终端1的用户本人(S601)，如果验证结果是验证为合法用户，就将包含在用户的公开密钥证书内的主体者名(对象)返回给通信控制部6；通信控制部6，对计算机单元管理部8，转交主体者名，委托启动计算机单元2(S602)。

接收到委托的计算机单元管理部8，检索管理DB10内的用户管理表11，搜寻作为用户ID13登录了与转交的主体者名相同值的用户表目。一旦发现表目，就参照该用户使用的特定的计算机单元2的计算机单元ID14及其状态16，来确认该计算机单元2是否已经被启动(S603)。在状态16的值是“结束(未启动)”的情况下，启动该计算机单元2。

在本实施例中，为了启动计算机单元而使用称之为魔幻数据包的技术。魔幻数据包是用来远程启动经网络连接的计算机的通信数据包，按LAN卡固有的MAC地址指定启动的计算机。

计算机单元管理部8，取出计算机单元ID14的值，并从计算机单元管理表12中搜寻已经把相同值登录在计算机单元ID17内的计算机单元表目。并且取出所发现的表目的MAC地址18内登录的值，组装包含该值的魔幻数据包(F502)，经网络5发送到计算机单元2(S604)。一旦计算机单元2启动结束，就返回启动结束通知(F503)。一旦计算机单元管理部8确认启动结束，就取出登录在用户表目内的IP地址15中的值，并通知通信控制部6。

然后，通信控制部6从所接收到的连接请求(F501)的通信数据包中提取出源地址，并与计算机单元管理部8通知的计算机单元2的IP地址15一起转交给ACE设定部9，然后委托追加设定ACE。

从通信控制部6接收到委托的ACE设定部9，生成图4所示的ACE(S605)，具体地说，ACE的构成，第一部分是“permit”、第二部分是转交来的源地址、第三部分是转交来的IP地址。然后，ACE设定部9把追加设定所生成的ACE的请求(F504)经管理用端口委托给集线器4(S606)，由此在请求连接的终端1与该用户使用的特定的计算机单元2之间形成网络链路。此后，ACE设定部9将控制返回到通信控制部6。

通信控制部6委托计算机单元管理部8把用户表目内的状态16的值变更为“连接”(S607)；然后，对连接请求进行应答，把表示已经连接准备就绪的可连接通知(F505)与计算机单元管理部8所通知的计算机单元2的IP地址15一起返回给终端1(S608)。

一旦接收到可连接通知(F505)，终端1的计算机单元控制程序47就把所通知的IP地址传送给终端服务控制程序49；终端服务控制程序49用该IP地址向计算机单元2发送终端服务连接请求(F506)。而后，用户把用户ID和口令输入到注册画面上之后，接受终端服务的提供，并进行PC业务。

在上述认证步骤(S602)中，在认证处理部7未能验证操作终端1的用户本人属性的情况下，通信控制部6对终端1返回不可利用通知(S609)，对任何一个计算机单元2都不进行启动或网络链路的设定。

然后用图5和图7说明缺席时等用户暂时离开终端1时进行中断处理的情况。这对用户缺席期间防止其他用户操作该终端而进行非法访问是很有效的。

在离开终端1时，用户操作终端1的计算机单元控制程序47，对访问控制服务器3发送中断请求(F507)，访问控制服务器3的通信控制部6接收中断请求(F507)，并委托ACE设定部9删除ACE。

从通信控制部6接收到委托的ACE设定部9，经管理用端口把删除在前述的连接步骤(图6的S606)中追加设定的ACE的请求(F508)委托给集线器4(S701)。由此来解除连接中的终端1与该用户利用的特定的计算机单元2之间设定的网络链路，中断两者的通信。但是计算机单元2继续维持其启动状态，然后，ACE设定部9把控制返回给通信控制部6。

接着，通信控制部6，委托计算机单元管理部8把用户表目内的状态16的值变更为“中断”(S702)；然后，作为对中断请求(F507)的应答，把表示中断处理已经正常结束的中断结束通知(F509)返回给终端1(S703)。

此后，用户返回到终端1之前，再次开始PC业务，再开时的处理与前面图6所说明的连接请求时的处理相同，操作终端1的计算机单元控制程序47，对访问控制服务器3发送连接请求(F510)，再次进行用户认证和ACE的设定。可是，连接对象的计算机单元2已经处于启动状态“中断”，所以，跳过启动计算机单元2的步骤(S604)。当把所生成的ACE的追加请求(F511)发送到集线器4(S606)时，在已经中断的终端1与特定的计算机单元2之间再次形成网络链路。

接收到可连接通知(F512)的终端1的计算机单元控制程序47启动终端服务控制程序49，将终端服务连接请求(F513)发送到计算机单元2，用户进行注册操作(输入用户ID和口令)，再次开始PC业务。

下面用图5和图8说明回家时等用户结束PC业务时的结束处理。

在结束PC业务时，用户操作终端1的计算机单元控制程序47，对访问控制服务器3发送结束请求(F514)，访问控制服务器3的通信控制部6接收结束请求(F514)，并委托计算机单元管理部8关闭计算机单元2。

接收到委托的计算机单元管理部8，经网络5把关闭请求(F515)发送到计算机单元2(S801)，等待关闭结束通知(F516)，确认了关闭结束的计算机单元管理部8把控制返回到通信控制部6。

通信控制部6，委托ACE设定部9删除ACE，从通信控制部6接收到委托的ACE设定部9，经管理用端口把删除设定中的ACE的请求(F517)发送给集线器4(S802)。由此来解除连接中的终端1与特定的计算机单元2之间设定的网络链路，中断两者的通信。然后，ACE设定部9把控制返回给通信控制部6。

此后，通信控制部6，委托计算机单元管理部8把用户表目内的状态16的值变更为“结束”(S803)；然后，作为对结束请求(F514)的应答，把表示关闭处理已经正常结束的已结束通知(F518)返回给终端1(S804)。

下面用图9说明本实施例的访问控制动作及其作用效果，即防止非法访问功能。

在网络5上连接着三台终端1a、1b、1c和三台计算机单元2a、2b、2c，设各终端的IP地址分别为“192.168.4.71”、“192.168.5.48”、“192.168.6.10”。另一方面，设各计算机单元的IP地址分别为“192.168.0.2”、“192.168.0.03”192.168.0.04”。2人的用户a、b分别操作终端1a、1b，假定他们分别可以利用计算机单元2a、2b。

操作终端1a的用户a对访问控制服务器3发送连接请求时，访问控制服务器3确认是用户a本人属性之后，委托集线器4把ACE21追加到ACL20中，由此，在终端1a与计算机单元2a之间就形成网络链路，并可以发送/接收通信数据包。结果，操作终端1a的用户a就接受计算机单元2提供的终端服务。

终端1b的情况也一样，访问控制服务器3委托集线器4追加ACE22，在终端1b与计算机单元2b之间形成网络链路，操作终端1b的用户b接受计算机单元2提供的终端服务。

这里，未从访问控制服务器3接受用户认证的终端1c，与ACL20内的哪一个ACE都不吻合。即，由于在终端1c与计算机单元之间未形成网络链路，所以即使其他用户c操作终端1c，对哪个计算机单元都不能进行访问。即使接受了访问控制服务器3的用户认证的终端也无法访问特定以外的计算机单元。例如，因为在终端1b与计算机单元2c之间未形成网络链路，所以从终端1b无法访问计算机单元2c。另外，也无法从计算机单元访问其他计算机单元。例如，用户b从终端1b向计算机单元2b进行了终端服务连接之后，即使试图从计算机单元2b向计算机单元2c进行终端服务连接，也无法访问。

如上所述，在本实施例的访问控制服务和访问控制服务器中，在进行过用户认证的终端与该用户使用的特定的计算机单元之间以外不设定可通信的网络链路，系统管理者等预先确定哪个用户可以利用哪个计算机，并登录在访问控制服务器内。因此，莫说是未进行过用户认证的终端，即使是从其他的用户认证过的终端也不能访问合法用户的计算机单元。亦即，即使试图对计算机单元进行终端服务连接，由于网络被集线器中断了，连注册画面都不显示，所以更无法试图注册。这样，就能够排除强力攻击或字典攻击、以及恶意使用计数功能的讨人嫌的行为等口令攻击，而且，还可提供防御计算机单元受端口扫描攻击或DoS攻击等非法访问的安全访问控制服务。

本实施例的访问控制服务器，限于其用户对用户认证了的终端的操作中(PC服务中)的情况来设定网络链路，在操作中断时或操作已经结束的情况下解除网络链路，所以，在缺席时或回家时等，自己的计算机单元就不会受来自他人的口令攻击。本实施例的访问控制服务器首先认证发送了连接请求的用户，在认证成功的情况下，该用户识别当前操作中的终端，将该终端作为对象设定网络链路，因此，操作的终端本身或连接终端的网络环境并不固定，例如，在用户使用外出目的地或自家住宅的PC或网络环境的情况下等，可以接受终端服务而终端或环境没有限制。

按照周知的技术，系统管理者必须通过手动作业把连接终端的网络的IP地址全部设定在集线器的ACL内，在大规模的网络环境下，作业负荷庞大。即便终端地址是已经登录在集线器的ACL内的地址，操作该终端者也不限于合法的用户。另外，在合法用户不使用计算机单元期间，其他用户可通过冒充终端的IP地址等而非法访问该计算机。按照本实施例，由于访问控制服务器检测终端的IP地址并自动追加到集线器的ACL内，所以系统的维护作业很容易。另外，对未验证本人的用户不提供本实施例的网络链路。也可以限定在使用计算机单元期间提供网络链路。由此就可以防御其他用户非法访问计算机单元。

上述的本实施例是一个例子，也可构成以下所述的各种变形例。

在本实施例的访问控制服务中，分离构成访问控制服务器3和集线器4，因此，可以采用通用的集线器。相对于此，如图10所示，也可以将控制服务器与集线器一体化，而作为访问控制服务器23构成的访问控制服务。

本实施例的访问控制服务器，经集线器的管理用端口来委托ACE的追加或删除，但是也可以按照不设置管理用端口等、集线器的装置技术规格来委托ACE的追加或删除。

本实施例的访问控制服务器，使用通信信息包数据包的源地址和目标地址来指定终端和计算机单元，但是也可以用其他识别信息来指定这些装置。

在本实施例中，示例出用集线器的可否中继的控制功能来实现网络链路的设定，但是，也可以用其他手段来实现。例如，如果把在VLAN(Virtual LAN)等特定的计算机之间可以限定通信的功能安装在集线器内，也可以利用它来实现。如果在计算机单元内安装有防火墙功能的话，即使不利用集线器，也可以得到相应的效果。在利用计算机单元的防火墙功能的情况下，访问控制服务器，将对集线器实施的ACE的追加、删除处理置换为对计算机单元的防火墙功能进行，只要委托防火墙接收来自所指定的源地址的通信数据包就可以。

在本实施例中，说明了用以终端的地址作为源地址而以计算机单元的地址作为目标地址的ACE形成的网络链路。因此，不中继从进行过用户认证的终端向特定的计算机单元以外的通信数据包。但是，实际上存在反方向即从特定的计算机单元向进行过用户认证的终端发送通信数据包的情况。对于此，在图6的S605、S606中，生成并追加图4所示的ACE的同时，也可以生成并追加反方向的ACE。具体地说，是第一部分为“permit”、第二部分的源地址为计算机单元的地址、第三部分的目标地址为终端的地址的ACE。通过两个ACE的追加就能够提供进行过用户认证的终端与特定的计算机单元可双方向进行通信的网络链路。

本实施例中，使用通信数据包的源地址来指定终端，提供网络链路，但是，在终端与集线器之间插入代理或网关的情况下，集线器接收到的通信数据包的源地址与终端无关全都被认为是相同的情况。这种情况下，也可以用其他手段来指定终端，例如，可以把源地址与通信端口号组合起来指定终端。在一般的集线器4中，作为ACE的第二或第三部分，不仅可以是地址的指定，也可以是与通信端口号组合起来的指定。这种情况下，可以把源地址与通信端口号记述在图4所示的ACE的第二或第三部分内。

本实施例的访问控制服务器，用图4所示的通信数据包的源地址和目标地址，在特定的终端与特定的计算机单元之间提供网络链路，可以在特定的终端与特定的计算机单元之间发送/接收全部通信数据包。但是，考虑到安全性等，还考虑想要把终端与计算机单元之间的通信数据包限定在特定的协议内的需要。为了满足这样的需求，也可以不把目标地址与许可利用的通信协议的端口号组合起来的值设定在图4所示的ACE的第三部分内。例如，在限定于终端服务的情况下，设定终端服务协议的端口号(例如3389)，这时的网络链路，可以叫做终端服务专用网络链路。另外，在提供双向网络链路的情况下，只要生成并追加反方向的ACE就可以。具体地说，是第一部分为“permit”、第二部分为把计算机单元的地址与终端服务协议的端口号组合起来的值、第三部分为终端的地址的ACE。或者，也可以是第一部分为“permit”、第二部分为计算机单元的地址、第三部分为把终端的地址与终端服务程序的端口号组合起来的值的ACE。这种情况下，访问控制服务器检测终端的终端服务程序的端口号。

本实施例的访问控制服务器，在特定的终端与特定的计算机单元之间提供网络链路，特定的终端以外不能经由网络访问特定的计算机单元。但是，也考虑想用计算机单元接受Web服务器等其他通信协议的情况。

当今的PC业务中，不能缺少Web或邮件等与其他计算机通信的应用程序，本实施例中，示例了对终端服务的适用，这种情况下，各计算机单元必须与其他计算机进行通信。在这些其他计算机被连接在网络5上的情况下，必须做到网络链路不会妨碍应用程序的通信。

为应对上述两种情况，作为访问控制服务器追加的ACE之后的检索顺序，追加把第一部分是“deny”、第二部分是“空”、第三部分是各计算机单元的地址(或“空”)与提供终端服务的通信端口号组合起来的的ACE。与此同时，只要把第一部分是“permit”的ACE登录为缺省ACE就可以，系统管理者预先对集线器4设定这些ACE。这样，特定的终端以外就不能连接终端服务，亦即，能够确保不能试图注册的防御非法访问的功能，同时能够接收到计算机单元与其他计算机的终端服务以外的通信。

但是，在像上述那样设定的情况下，也会使启动计算机单元的魔幻数据包通过，只要判明计算机单元的MAC地址，恐怕从任何终端都能非法启动计算机单元，还必须应对这种情况。

图15是为了应对上述的情况而将前述图5的通信顺序变形的例子。这里，不仅过滤ACE的数据包，而且要做到控制开闭连接计算机单元的集线器的端口。

接收到来自终端1的连接请求(F701)的访问控制服务器3，确认用户本人，并启动计算机单元2之后(F702)，追加ACE(F704)；委托集线器4打开连接该计算机单元2的端口(F705)；另外，在从终端接收到结束请求(F715)的情况下，关闭计算机单元2之后(F716)，删除追加的ACE(F718)，同时，委托集线器4关闭在F705打开的端口(F719)。例如用端口号来指示对集线器4的开闭。因此，在各计算机单元管理表内，设置存储连接了计算机单元的端口号的区域，这样，就可以防止计算机单元的非法启动。

在用户中断PC业务期间，如果计算机单元2没有与其他机器通信的必要，也可以变更控制来关闭端口。例如，接收到来自终端1的中断请求(F708)的访问控制服务器3，委托集线器4，删除在F704追加的ACE之后(F709)，关闭在F705打开的端口。再次从终端接收到连接请求(F711)的情况下，委托集线器4，追加ACE之后(F712)，打开关闭着的端口。另外，即使将F709的“删除ACE”置换为“关闭端口”、把F712的“追加ACE”置换为“打开端口”，也能获得同样的效果。

在本实施例中，以P2P型的终端服务为例作了说明，但是，本实施例也可以适应于SBC型的终端服务。未被认证的用户，不能试图连接SBC型的终端服务。另外，SBC型的终端服务也是多个用户共享1台计算机单元。作为可共享1台计算机单元的用户，最好分配数十人左右的组。这样，不属于某个组的用户就不能访问特定的计算机单元。另外，通过对每个用户识别通信数据，就可以保护用户间的隐私。本实施例还能够发展为多个用户与特定的多台计算机单元之间的服务形态，此时，只要追加用来指定访问目的地的计算机单元的信息就可以。

因为已知的终端服务的终端与远程计算机经网络授受数据，所以一旦因网络障碍而陷入不能授受数据的状态，终端服务的通信对话就被切断。网络恢复之后，用户对利用的远程计算机再次连接终端服务，这样就能再开始PC业务。但是，在终端服务因网络障碍而处于不能使用的状况时，一旦用户离开而不进行本实施例的中断操作，网络恢复之后，恐怕用该用户使用的终端，就会受到其他用户对计算机单元的口令攻击。

图16是为了应对上述的情况而使图5的通信顺序变形的例子。这里，在终端与计算机单元之间的通信成为不可能的时刻，解除已经形成的网络链路。

在各计算机单元2上，使监视与终端1的通信状态的代理运作，在代理检测到与终端1的通信已经切断的情况下，将该旨意通知给访问控制服务器3(F607)。与图7所示的步骤一样，接收到切断通知的访问控制服务器3，把删除在F604追加设定的ACE的请求(F608)委托给集线器4，解除已经设定在终端1与计算机单元2之间的网络链路。这样就能够防止网络恢复之后对计算机单元的非法访问。

在一般的终端服务客户端(图13的终端服务控制程序49)中，用户可以切断与远程PC的终端业务通信对话。本实施例中，用户离开终端1时，操作终端1的计算机单元控制程序47，把中断请求发送到访问控制服务器3。但是，在中断请求之前，用户已经切断终端服务通信对话的情况下，已经形成了网络链路。虽然其他终端不能够访问计算机单元，但是为防备潜在的非法访问，在不利用终端服务期间解除网络链路是安全的。为应对这点，终端1的计算机单元控制程序47监视与远程PC的终端业务通信对话，在检测到切断的情况下，只要对访问控制服务器3追加自动发送中断请求的处理就可以。

在本实施例中，在集线器内中断对计算机单元的非法访问，只要把有关在集线器中中断了的非法访问的信息(终端的IP地址、通信数据包、协议等)通知系统管理者，系统管理者就能够立即实施针对非法访问的对策，进而能够构建更安全的系统。向系统管理者的非法接入通知也可以利用集线器的功能；如果未设置集线器，访问控制服务器也可以从集线器的记录等中提取出信息，追加将该信息通知给系统管理者的装置。

本实施例的访问控制服务器，利用ILS作为用户认证装置，但是只要能够验证本人，也可以用其他装置。例如，利用指纹或虹彩、指静脉等人类固有的特征的生物体认证也是有效的。

本实施例中的计算机单元，是将CPU、硬盘、LAN卡等安装在壳体内的通用的PC等，但是，本实施例中的计算机单元的作用是提供终端服务，未必须要壳体，也可以仅是安装了CPU、硬盘、LAN卡等的基板。一般把这样的基板称为刀片计算机。刀片计算机开始导入各种各样的系统中，也能用作本实施例的计算机单元。

本实施例中，示例出用魔幻数据包来启动计算机单元的情况，但是也可以用其他装置来实现。例如，如果计算机单元支持IPMI(Intelligent PlatformManagement Interface)，也可以用它来实现。

本实施例的访问控制服务器接受来自终端的连接请求之后，确认计算机单元的运作状况，在未启动的情况下启动，并在启动结束后通知终端向终端服务的连接准备完成。接收通知后，终端开始对计算机单元的终端服务连接。但是，在通常的计算机单元启动时要花几十秒到几分钟的时间，所以最好让用户知道计算机单元正在启动中。为应对这点，在计算机单元启动之前，只要追加对终端1通知计算机单元正在启动中的处理就可以。终端1接收到该通知时，把“当前正在启动PC，请稍等。”等消息显示在显示器42上。

本实施例中，管理者预先把各计算机单元的IP地址登录在管理DB内，这是假定对各计算机单元分配固定的IP地址的运用方式。另一方面，也考虑对各计算机单元动态分配IP地址的运用方式，按照该方式，一般采用DHCP(Dynamic Host Configuration Protocol)服务器。为了使本实施例对应于动态的IP地址，只要把通知IP地址的程序安装在各计算机单元内就可以。该程序，每当启动计算机单元时被执行，检测出由DHCP服务器分配的IP地址，并通知访问控制服务器。接收到通知的访问控制服务器，把值存储在管理DB的IP地址区域内，供在以后的处理中参照。

另外，本实施例中，说明了访问控制服务器为一台的构成，但是为了构建不停止运转等高可靠的系统，只要把访问控制服务器冗余成两台以上就可以。而且，在运作中的服务器因装置的故障等而不能运行的情况下，只要做成切换到其他服务器，能够继续服务就可以。另外，在用户数多的大规模等，用一台访问控制服务器处理能力不足的情况下，只要使多台访问控制服务器运作而并列运用就可以。这种情况下，各终端对负荷最轻的访问控制服务器发送请求，或者在访问控制服务器与网络之间设置负荷分散装置就能均衡访问控制服务器的负荷。

【实施例2】

图11是进行本发明的访问控制服务的计算机系统的第二实施例的构成图。本实施例的构成是各计算机单元共享大容量的硬盘，与第一实施例的不同之处是各用户不是专有特定的计算机单元，而是在硬盘上设置专有的区域。在本实施例的系统中，由于共享用户使用的计算机单元，所以用少数几台计算机单元就能够有效的运用。

把一台以上(这里是2台)计算机单元2(2a、2b)连接在大容量的硬盘24上，硬盘24对每个登录的用户(这里是3人a、b、c)分割区域，在各区域(24a、24b、24c)中存储各用户使用的OS或服务中所使用的应用程序等软件和数据。用户(例如用户a)开始利用时，安装硬盘24上的区域(24a)，用存储在该用户区域内的OS启动计算机单元2。这时使用的计算机单元2，动态分配空闲状态的某个计算机单元2。本实施例的情况下，由于计算机单元2与硬盘24分离，所以对利用的用户无需静态分配计算机单元2。

图12是具有本实施例中的访问控制服务器3的管理数据库30的信息一个示例图。用户管理表31的用户表目中，加上表示硬盘24上的用户区域的安装信息37，在计算机单元管理表32的计算机单元表目中加上计算机单元2的状态信息(运作/空闲)40。用户表目的安装信息37，在用户登录时等，系统管理者登录信息计算机单元表目的状态信息40，在系统导入时被初始化为“空”。另一方面，因为用户表目内的计算机单元ID34，访问控制服务器3设定值，所以系统管理者不必事先登录。本实施例中，把使用的计算机单元的台数取为少于用户数，能够进行服务。或者，使用的计算机单元的台数少于连接在网络上的终端1的台数。

以下说明本实施例的访问控制服务的连接处理流程。对于与上述第一实施例共同的部分，参照上述的附图(图5、图6)进行说明。访问控制服务器3验证用户认证(S601)结果是合法用户时，计算机单元管理部8进行硬盘24的安装和计算机单元2的启动(S604)。

首先，检索计算机单元管理表32，搜寻作为状态信息40登录了“空”的计算机单元表目，并将该表目的状态信息40变更为“运作”，决定这次使用的计算机单元。然后，检索用户管理表31，搜寻登录了认证过的用户的用户表目，取出登录在此的安装37的值。另外，根据上述安装信息37指示上述使用的计算机单元2安装硬盘24。并取出登录在MAC地址39内的值，然后组装魔幻数据包(F502)，发送到上述计算机单元2，使其启动。

计算机单元管理部8一接收到启动完成的通知(F503)就把登录在计算机单元表目内的计算机单元ID38内的值登录在用户表目内的计算机单元ID34中，然后取出登录在IP地址35内的值，转交给通信控制部6。

通信控制部6，从接收到的通信数据包中提取出请求连接的终端1的源地址，与从计算机单元管理部8通知的使用的计算机单元2的IP地址35一起转交给ACE设定部(链路设定部)9。ACE设定部9生成ACE(S605)，将设定追加ACE的请求(F504)委托给集线器4(S606)。ACE的构成与前述的实施例1相同。由此在请求连接的终端1与计算机单元2之间形成网络链路。结果，用户在进行注册之后就能够从安装了硬盘的特定的用户区域的计算机单元2接收终端服务的提供，来进行PC业务。PC业务的中断、结束处理也与实施例1一样。

在以上所述的本实施例中，在进行过用户认证的终端与该用户使用的特定的计算机单元之间以外不设定可通信的网络链路，因此，能够排除口令攻击并可以提供安全的访问控制服务。

另外，本实施例中，由于各计算机单元共享大容量的硬盘，所以各个计算机单元不必单独设置硬盘。由于对使用的用户动态分配空闲状态的计算机单元，所以可以有效地灵活运用计算机资源。即，只要计算机单元台数是同时使用的用户数就可以。即使一部计算机单元发生了故障，能够立刻分配代用的计算机单元，所以能够实现系统规模的缩小和可靠性的提高。

作为本发明的前提实施例，也可以是把上述第一、第二实施例组合起来的方式，即，各计算机单元共享大容量的硬盘，各用户专有特定的计算机单元、硬盘内的特定的区域。

在本实施例中，对请求连接的用户动态分配空闲状态的某个计算机单元。但是，例如，发生了故障的计算机单元或因网络障碍而不能通信的计算机单元，即使处于空闲状态也应从分配对象中除外。作为网络故障的主要原因，例如有集线器本身或集线器内的一个端口的故障或连接集线器与计算机单元的电缆的断线或脱落等。另外，也可以通过系统管理者的判断来分配某个计算机单元而从对象中除外，这样，通过分配计算机单元就能够对用户提供好用的计算机单元。

【实施例3】

图17是进行本发明的访问控制服务的计算机系统的第三实施例的构成图。本实施例的构成是各终端经网络共享大容量的硬盘(存储装置)，与第二实施例一样，是硬盘对登录过的用户分割区域，在各区域内存储各用户使用的OS或服务中所使用的应用程序等软件和数据。在第二实施例中，各计算机单元共享硬盘，终端用终端服务连接计算机单元的结构，相对于这种构成，在本实施例中，废弃计算机单元，各终端共享硬盘。即，本实施例中，是把OS或应用程序等软件和数据存储在远程的硬盘内，而执行软件的是终端的CPU，是不利用终端服务的系统。在本实施例的构成中，不要第一或第二实施例的计算机单元，从而可以降低系统的导入成本。相反，由于对硬盘的读出或写入全都经网络来进行，所以在从各终端向硬盘访问频度量大的情况下，就必须要高速网络。

图18是本实施例中的具有访问控制服务器3的管理数据库51的信息的一个示例图。存储在管理数据库51的各用户表目内的信息是唯一识别该用户的用户ID53、硬盘24上的用户区域的状态(运作状况、连接/中断/结束)54、表示硬盘24上的用户区域的安装信息55等。

图19是本实施例中的各机器之间的一连串的通信顺序图。

用户操作终端，把连接请求(F801)发送到访问控制服务器3，接收到连接请求的访问控制服务器3实施用户认证，在可以验证用户本人的情况下，委托集线器4追加ACE(F802)。具体地说，ACE的构成是第一部分为“permit”、第二部分为终端的IP地址、第三部分为硬盘的IP地址。另外，连接在集线器4上的机器是单一的硬盘24的情况下，第三部分也可以是“空”。然后，访问控制服务器3搜寻发布了连接请求的用户的用户表目，在变更状态54的同时，取出安装信息55的值，并通知给终端1(F803)。终端1用表示从访问控制服务器3通知的用户区域的安装信息对硬盘请求安装(F804)。安装完之后，终端1读入存储在硬盘内的OS并启动。然后用户访问远程的硬盘24的用户专有区域，进行应用程序的执行和数据的读出/写入等处理。

在PC业务结束时，用户操作终端1，首先对硬盘24请求解除安装(F805)；然后，把结束请求(F806)发送到访问控制服务器3。接收到结束请求的访问控制服务器3，委托集线器4删除ACE(F807)；完成之后，向终端1通知结束完成(F808)。

按照上述的本实施例的访问控制服务和访问控制服务器，在进行过用户认证的终端中，设定可与共享的硬盘上的用户专有区域通信的网络链路。由于未进行过用户认证的终端在网络级别中断对硬盘的访问，所以能够安全保护各用户的数据。

本实施例中，示例出了各终端共享单一的硬盘的情况，但是，也可以按照用户数或分配给每个用户的盘区等来设置多个硬盘。例如，用户数是500名，在给每个用户分配20G字节的区域的情况下，必须设置10台具备1T字节的区域的硬盘由用户分开使用。为了应对这种情况，只要把用户使用的硬盘的IP地址和表示用户区域的信息登录在安装信息55内，并在进行过用户认证的终端与该用户使用的硬盘之间形成网络链路就可以。

Claims (27)

1.一种访问控制服务，经网络把至少1台以上的计算机单元与至少1台以上的终端连接起来，并从上述终端访问上述计算机单元来进行通信，其特征在于：

具备访问控制服务器，该访问控制服务器认证操作上述终端的用户，并根据该认证的结果，设定可进行该用户操作的终端与特定的上述计算机单元之间的通信的网络链路。

2.如权利要求1所述的访问控制服务，其特征在于：

各用户的信息与各用户可用的特定的上述计算机单元的信息被关联起来登录在所述控制服务器中。

3.如权利要求1所述的访问控制服务，其特征在于：

在所述网络与所述各计算机单元之间具备形成所述网络链路的集线器；

该集线器，按照来自所述控制服务器的控制命令，中继被指定的终端与被指定的计算机单元之间的通信数据包。

4.如权利要求3所述的访问控制服务，其特征在于：

所述访问控制服务器，对所述集线器发布把用户操作的所述终端的识别信息与所述计算机单元的识别信息组合起来的所述控制命令。

5.如权利要求3所述的访问控制服务，其特征在于：

所述控制服务器是与所述集线器一体化的结构。

6.如权利要求1所述的访问控制服务，其特征在于：

所述控制服务器，接受来自所述终端的请求之后，解除所设定的网络链路。

7.如权利要求6所述的访问控制服务，其特征在于：

所述控制服务器，在用户中断或结束了所述终端的操作的情况下，解除所设定的网络链路。

8.如权利要求1所述的访问控制服务，其特征在于：

所述各计算机单元，共享存储装置。

9.一种访问控制服务，经网络把至少1台以上的计算机单元与至少1台以上的终端连接起来，并从上述终端访问上述计算机单元来进行通信，其特征在于：

具备：

被连接在所述各计算机单元上、分配每个用户可利用的存储区域的共享的存储装置；和

控制服务器，该控制服务器认证操作上述终端的用户，并根据该认证的结果，把所述存储装置内的被分配给该用户的存储区域安装在某个计算机单元中，然后设定可进行该用户操作的终端与该被安装的计算机单元之间的通信的网络链路。

10.如权利要求9所述的访问控制服务，其特征在于：

各用户的信息与各用户可用的所述存储装置内的存储区域的信息被关联起来登录在所述控制服务器中。

11.如权利要求9所述的访问控制服务，其特征在于：

连接在所述网络上的所述计算机单元的台数小于等于所述终端的台数。

12.如权利要求9所述的访问控制服务，其特征在于：

所述控制服务器，把所述存储装置内的被分配给该用户的存储区域，安装在所述计算机单元中可利用的计算机单元。

13.一种控制服务器，在经网络把至少1台或1台以上的计算机单元与至少1台或1台以上的终端连接起来的计算机系统中，控制上述终端与上述计算机单元之间的通信，其特征在于：

具备：

认证操作上述终端的用户的认证部；和

根据该认证的结果，设定可进行该用户操作的终端与特定的所述计算机单元之间的通信的网络链路的链路设定部。

14.如权利要求13所述的控制服务器，其特征在于：

具有把各用户的信息与各用户可利用的特定的上述计算机单元的信息关联起来登录的管理数据库。

15.如权利要求13所述的控制服务器，其特征在于：

所述链路设定部，对在所述网络与所述各计算机单元之间形成网络链路的集线器，发布控制命令，该控制命令，表示许可在用户操作的所述终端的识别信息与所述特定的计算机单元的识别信息两者之间的通信数据包的中继。

16.如权利要求15所述的控制服务器，其特征在于：

所述控制服务器是与所述集线器一体化的结构。

17.如权利要求13所述的控制服务器，其特征在于：

所述链路设定部，对所述用户操作的终端，拒绝向所述特定的计算机单元以外的计算机单元的注册操作。

18.一种控制服务器，在经网络把至少1台或1台以上的计算机单元与至少1台或1台以上的终端连接起来的计算机系统中，控制上述终端与上述计算机单元之间的通信，其特征在于：

在上述各计算机单元上，连接着分配每个用户可利用的存储区域的共享的存储装置；

具备：

认证操作上述终端的用户的认证部；

根据该认证的结果，把上述存储装置内分配给该用户的存储区域安装在某个计算机单元内的计算机单元管理部；

设定可进行该用户操作的终端与该安装的计算机单元之间的通信的网络链路的链路设定部。

19.如权利要求18所述的控制服务器，其特征在于；

具有把各用户的信息与各用户可用的所述存储装置内的存储区域的信息被关联起来登录的管理数据库。

20.如权利要求18所述的控制服务器，其特征在于：

所述计算机单元管理部，把所述存储装置内分配给所述用户的存储区域安装在所述计算机单元中可用的计算机单元。

21.如权利要求1所述的访问控制服务，其特征在于：

所述各计算机单元是存储装置。

22.一种访问控制服务，经网络把至少1台或1台以上的终端与存储装置连接起来，并从上述终端访问上述存储装置来进行通信，其特征在于：

上述存储装置是被连接到上述各终端并分配每个用户可用的存储区域的共享的存储装置；

具备控制服务器，该控制服务器认证操作上述终端的用户，并根据该认证的结果把上述存储装置内的分配给该用户的存储区域安装在该用户操作的终端上，然后设定可进行该用户操作的终端与上述存储装置之间的通信的网络链路。

23.如权利要求22所述的访问控制服务，其特征在于：

各用户的信息与各用户可用的所述存储装置内的存储区域的信息被关联起来登录在所述控制服务器中。

24.如权利要求1所述的访问控制服务，其特征在于：

所述控制服务器，监视所述终端与计算机单元之间的通信状况，在检测到未通信状态的情况下，解除所设定的网络链路。

25.如权利要求6所述的访问控制服务，其特征在于：

所述终端，监视所述计算机单元的通信状况，在检测到未通信状态的情况下，解除所设定的网络链路。

26.一种控制服务器，在经网络把至少1台或1台以上的终端与存储装置连接起来的计算机系统中，控制上述终端与上述存储装置之间的通信，其特征在于：

上述存储装置是被连接在上述终端上并分配每个用户可利用的存储区域的共享的存储装置；

具备：

认证操作上述终端的用户的认证部；

根据该认证的结果，把上述存储装置内分配给该用户的存储区域安装在该用户操作的终端上的计算机单元管理部；和

设定可进行该用户操作的终端与上述存储装置之间的通信的网络链路的链路设定部。

27.如权利要求26所述的控制服务器，其特征在于：

具有把各用户的信息与各用户可用的所述存储装置内的存储区域的信息关联起来登录的管理数据库。

Images