JP2001060183A - 記憶装置及びホスト装置 - Google Patents

Abstract

(57)【要約】 【課題】装置識別情報を用いた要求では論理的な接続
（認証）が許可されないホスト装置からでも記憶装置と
論理的な接続を実現できる様にする。 【解決手段】記憶装置（ノード１＿２＿ｎ）は、このホ
スト装置からの任意識別情報と、予め保持していた任意
識別情報とを比較し、両者が一致した場合に認証を許可
する応答（ＡＣＣ）を生成し、ホスト装置に対して送信
する（ステップ２０９）。ホスト装置はこの応答（ＡＣ
Ｃ）を確認して認証が許可されたことを検出する（ステ
ップ２１０）ことにより、スト装置の追加・変更に柔軟
に対応可能となり、可用性を向上できる。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、記憶装置およびホ
スト装置に関し、更に詳しくは、可用性を向上すると共
に高度にセキュリティを管理可能とした記憶装置および
ホスト装置に関する。

【０００２】

【従来の技術】ハードディスク装置等の記憶装置は、Ｓ
ＣＳＩ（Ｓｍａｌｌ Ｃｏｍｐｕｔｅｒ Ｓｙｓｔｅｍ
Ｉｎｔｅｒｆａｃｅ）やＦＣ−ＡＬ（Ｆｉｂｒｅ Ｃｈ
ａｎｎｅｌ Ａｒｂｉｔｒａｔｅｄ Ｌｏｏｐ）等のイン
タフェースを備え、当該インタフェースを介して、ホス
トコンピュータ等のホスト装置（上位システム）と物理
的に接続される。

【０００３】ＳＣＳＩインタフェースにおいて、記憶装
置とホスト装置とは装置毎に割当てられるインタフェー
ス上のアドレス情報であるＳＣＳＩ ＩＤを用いて管理
される。しかし、上記アドレス情報は、装置に固有の装
置識別情報とはいえない。即ち、ＳＣＳＩインタフェー
スは、特定のホスト装置のみアクセスを許可するという
論理的な接続（認証）制御について十分考慮されたもの
ではない。

【０００４】そこで、上記ＳＣＳＩ等の論理的な接続
（認証）制御に関する規定の無いインタフェースを具備
する記憶装置を複数のホスト装置で共有する場合、前記
複数のホスト装置から前記記憶装置に対するアクセス要
求を制御（許可／拒否）する新たなホスト装置が必要で
あり、当該ホスト装置を介し、前記記憶装置に対する前
記複数のホスト装置からのアクセス要求が処理される。

【０００５】即ち、前記記憶装置に対するアクセス制御
を司るホスト装置と他の複数のホスト装置との間での論
理的な接続（認証）制御に基づき、前記複数のホスト装
置による前記記憶装置の共有制御を実現している。

【０００６】他方、ＦＣ−ＡＬインタフェースにおいて
は、記憶装置とホスト装置の論理的な接続制御として、
装置毎に固有の装置識別情報であるポートネーム、ノー
ドネームを用いた認証処理（ポートログイン処理など）
が規定されている。

【０００７】即ち、ホスト装置は、少なくとも自身に固
有な装置識別情報（ポートネーム、ノードネーム）を付
加した認証要求を記憶装置に対して送信する。記憶装置
は、認証を許可するホスト装置の装置識別情報等を予め
保持しており、前記ホスト装置からの認証要求を受けた
記憶装置は、受信した認証要求に付加されている装置識
別情報が予め保持されている装置識別情報に一致するか
否かを検索し、一致した場合には認証を許可する応答を
生成し、前記ホスト装置に送信する。また、一致しない
場合には、認証を拒否する応答を生成し、前記ホスト装
置に送信する。前記ホスト装置は、前記記憶装置から送
信された応答が認証を許可する応答である場合にのみ、
以降の前記記憶装置へのアクセスが可能となる。

【０００８】

【発明が解決しようとする課題】上記のように、ＦＣ−
ＡＬインタフェース等の認証処理を実現する装置におい
ては、認証を許可する対象の装置の識別情報を予め設定
しておく必要がある。

【０００９】しかし、不特定多数のホスト装置との接続
が予想されるハードディスク装置等の記憶装置におい
て、出荷時に予め前記認証許可対象装置の識別情報を設
定しておくことは現実的ではない。

【００１０】そこで、前記記憶装置においては、出荷後
（ユーザによる）前記認証許可対象装置の識別情報の設
定作業を実現する必要が有るが、上記従来技術において
は、当該装置識別情報の更新手順等に関して十分考慮さ
れているとはいえない。

【００１１】また、上記のように、従来の記憶装置とホ
スト装置の論理的な接続では、装置に固有の装置識別情
報を用いているため、装置識別情報を予め設定しておく
必要があり、装置に固有の装置識別情報のみを用いるこ
とによる、装置の追加・変更に柔軟に対応できないとい
う問題点がある。

【００１２】特に、ＦＣ−ＡＬにおいては、接続可能な
装置数が非常に多く、前記論理的な接続を許可する装置
の追加・変更の管理が困難であり（特にパブリックルー
プでは困難）、従って装置識別情報の設定の追加・変更
が大きな負担となる。また、前記ログイン管理テーブル
のサイズの物理的制約により、設定できる装置識別情報
数にも制約があり、従って論理的に接続できるホスト装
置数も事実上制限される。

【００１３】更に、上記従来技術では、論理的な接続を
許可したホスト装置は記憶装置に対して常にリード／ラ
イト可能となるため、高度にセキュリティを管理できな
い問題がある。

【００１４】そこで、本発明の第１の目的は、装置の追
加・変更に柔軟に対応可能とし、可用性を向上した記憶
装置およびホスト装置を提供することにある。

【００１５】また、本発明の第２の目的は、高度にセキ
ュリティを管理可能とした記憶装置およびホスト装置を
提供することにある。

【００１６】

【課題を解決するための手段】第１の観点では、本発明
は、論理的な接続（認証）を許可したホスト装置に対し
てのみアクセスを許可する記憶装置であって、ホスト装
置毎に固有の装置識別情報とホスト装置に依存しない任
意識別情報とを保持する管理情報保持手段と、前記任意
識別情報あるいは前記任意識別情報と前記装置識別情報
との任意の組み合わせと前記ホスト装置からの認証要求
情報とを用いて認証処理を行うアクセス制御手段とを具
備したことを特徴とする記憶装置を提供する。

【００１７】上記第１の観点による記憶装置では、ホス
ト装置に依存しない任意識別情報を用いて認証処理を行
う。これにより、認証を許可するホスト装置の追加・変
更毎に管理情報保持手段が保持している装置識別情報を
追加・変更する必要が無くなるため、前記ホスト装置の
追加・変更に柔軟に対応可能になり、可用性を向上する
ことが出来る。

【００１８】また、複数のホスト装置で同一の任意識別
情報を共有することで、前記管理情報保持手段が予め保
持しておく任意識別情報の数を少なくすることが可能と
なる。従って、認証を許可するホスト装置数の制限が緩
和されるため、可用性を向上することが出来る。

【００１９】第２の観点では、本発明は、上記第１の観
点による記憶装置において、前記管理情報保持手段は、
前記装置識別情報および前記任意識別情報毎にアクセス
権許可情報を更に保持し、前記アクセス制御手段は、前
記アクセス権許可情報と記認証要求情報とを用いて、認
証許可後のアクセス権制御を行うことを特徴とする記憶
装置を提供する。

【００２０】上記第２の観点による記憶装置では、ホス
ト装置の認証を許可／拒否することに加えて、アクセス
権許可情報を用いることで、前記装置識別情報および前
記任意識別情報毎にアクセス権（リードのみ、ライトの
み、リード／ライト）の制御を行うことが出来るため、
高度にセキュリティを管理できる。

【００２１】第３の観点では、本発明は、上記第１の観
点または第２の観点による記憶装置において、ホスト装
置との物理的な接続形態がＦＣ−ＡＬ（Ｆｉｂｒｅ Ｃ
ｈａｎｎｅｌ Ａｒｂｉｔｒａｔｅｄ Ｌｏｏｐ）のパブ
リックループ接続／プライベートループ接続のどちらで
あるかを検出する接続形態検出手段を更に具備し、前記
アクセス制御手段は、前記接続形態がパブリックループ
接続である場合にのみ前記任意識別情報を用いた認証処
理を行うことを特徴とする記憶装置を提供する。

【００２２】上記第３の観点による記憶装置では、ＦＣ
−ＡＬにより物理的に接続されたホスト装置との接続形
態を検出し、パブリックループ接続である場合にのみ任
意識別情報を用いた認証処理を行う。これによって、装
置の追加・変更の管理が特に困難なパブリックループで
任意識別情報を用いた接続が可能となる。そして、装置
の追加・変更の管理が比較的容易なプライベートループ
では、従来と同様の装置識別情報を用いた接続だけで済
み、認証処理のオーバヘッドが小さくなる。

【００２３】第４の観点では、本発明は、上記第１の観
点から第３の観点のいずれかによる記憶装置において、
前記任意識別情報は、ユーザ毎に固有のユーザ識別情報
であることを特徴とする記憶装置を提供する。

【００２４】上記第４の観点による記憶装置では、ユー
ザ毎に固有のユーザ識別情報を前記任意識別情報として
用いる。これにより、予めユーザ識別情報を登録してい
るユーザが未知のホスト装置を操作している場合にの
み、前記ホスト装置の認証を許可する様に出来るため、
セキュリティを向上することが出来る。

【００２５】第５の観点では、本発明は、論理的な接続
（認証）を許可したホスト装置に対してのみアクセスを
許可する記憶装置であって、ホスト装置毎に固有の装置
識別情報と、且つ、あるいは、ホスト装置に依存しない
任意識別情報とを保持する認証管理情報保持手段と、前
記ホスト装置からの認証要求に対して、当該認証要求情
報と前記認証管理情報の任意の組み合わせとを用いて認
証処理を行うアクセス制御手段と、認証を許可したホス
ト装置から前記前記認証管理情報に対するアクセス要求
情報に基づき、前記認証管理情報に対するアクセス処理
を行う認証管理情報アクセス処理手段とを具備したこと
を特徴とする記憶装置を提供する。

【００２６】上記第５の観点による記憶装置では、認証
を許可したホスト装置から前記前記認証管理情報に対す
るアクセス要求情報に基づき、前記認証管理情報に対す
るアクセス処理を行う。これにより、認証を許可するホ
スト装置の追加・変更毎に管理情報保持手段が保持して
いる装置識別情報を追加・変更することが可能となるた
め、前記ホスト装置の追加・変更に柔軟に対応可能にな
り、可用性を向上することが出来る。

【００２７】第６の観点では、本発明は、上記第１の観
点による記憶装置において、前記認証管理情報保持手段
は、前記装置識別情報、且つ、あるいは、前記任意識別
情報毎にユーザデータに対するアクセス権許可情報とを
更に保持し、前記アクセス制御手段は、前記ユーザデー
タアクセス権許可情報に基づき、前記認証を許可したホ
スト装置のユーザデータに対するアクセス権制御を行う
ことを特徴とする記憶装置を提供する。

【００２８】上記第６の観点による記憶装置では、ホス
ト装置の認証を許可／拒否することに加えて、認証を許
可したホスト装置に対し、ユーザデータに対するアクセ
ス権許可情報を管理することで、認証を許可したホスト
装置のユーザデータに対するアクセス権（リードのみ、
ライトのみ、リード／ライト）の制御を行うことが出来
るため、高度にセキュリティを管理できる。

【００２９】第７の観点では、本発明は、上記第５の観
点から第６の観点のいずれかによる記憶装置において、
前記認証管理情報保持手段は、前記装置識別情報、且
つ、あるいは、前記任意識別情報毎に前記認証管理情報
に対するアクセス権許可情報とを更に保持し、前記アク
セス制御手段は、前記認証管理情報に対するアクセス権
許可情報に基づき、前記認証を許可したホスト装置の前
記認証管理情報に対するアクセス権制御を行うことを特
徴とする記憶装置を提供する。

【００３０】上記第７の観点による記憶装置では、ホス
ト装置の認証を許可／拒否することに加えて、認証を許
可したホスト装置に対し、認証管理情報に対するアクセ
ス権許可情報を管理することで、認証を許可したホスト
装置の認証管理情報に対するアクセス権（リードのみ、
ライトのみ、リード／ライト）の制御を行うことが出来
るため、高度にセキュリティを管理できる。

【００３１】第８の観点では、本発明は、上記第１の観
点から第７の観点のいずれかによる記憶装置において、
前記アクセス制御手段は、前記任意識別情報に基づく前
記ホスト装置からの認証要求を許可した場合、当該認証
要求に付加された装置アドレス情報を前記認証管理情報
保持手段に登録する。更に、前記アクセス制御手段は、
アクセス要求元ホスト装置の前記装置アドレス情報と、
当該ホスト装置に許可した前記アクセス権許可情報とに
基づき、アクセス権制御を行うことを特徴とする記憶装
置を提供する。

【００３２】上記第８の観点による記憶装置では、ホス
ト装置の認証を許可／拒否することに加えて、認証を許
可したホスト装置からの前記認証要求に付加された前記
アドレス情報を前記認証管理情報保持手段に登録するす
ることで、認証を許可されたホスト装置から前記記憶装
置に対するアクセス要求は、当該アクセス要求に付加さ
れた前記アドレス情報に基づき処理可能となるため、可
用性を向上することが出来る。

【００３３】第９の観点では、本発明は、上記第１の観
点から第８の観点のいずれかによる記憶装置において、
前記認証管理情報アクセス処理手段は、認証を許可した
前記ホスト装置との認証期間の終了を検出し、当該認証
期間の終了検出を契機として、前記認証管理情報保持手
段に登録した前記装置アドレス情報を削除することを特
徴とする記憶装置を提供する。

【００３４】上記第９の観点による記憶装置では、ホス
ト装置の認証を許可／拒否することに加えて、認証を許
可したホスト装置との認証期間の終了検出を契機とし
て、前記認証許可後に登録された情報をクリアするた
め、セキュリティを管理できる。第１０の観点では、本
発明は、上記第１の観点から第９の観点のいずれかによ
る記憶装置において、前記アクセス制御手段は、前記任
意識別情報毎に認証を許可するホスト装置数を管理し、
同一の前記任意識別情報を用いて認証を許可するホスト
装置数の制御を行うことを特徴とする記憶装置を提供す
る。

【００３５】上記第１０の観点による記憶装置では、ホ
スト装置の認証を許可／拒否することに加えて、同一の
任意識別情報を用いて認証を許可したホスト装置数の管
理が可能となり、可用性を向上出来る。

【００３６】第１１の観点では、本発明は、上記第１の
観点から第４の観点のいずれかによる記憶装置に対して
認証を要求するホスト装置であって、ユーザが入力した
任意識別情報を含む認証要求情報を生成し、この認証要
求情報を用いて前記記憶装置に対して認証を要求する認
証要求手段を具備することを特徴とするホスト装置を提
供する。

【００３７】上記第１１の観点によるホスト装置では、
上記第１の観点から第４の観点のいずれかによる記憶装
置に対して、前記任意識別情報を用いた認証を要求する
ことが出来る。

【００３８】第１２の観点では、本発明は、上記第５の
観点によるホスト装置において、前記認証要求手段が、
装置識別情報のみを用いた認証要求が記憶装置に拒否さ
れたこと、或いは、拒否された後にユーザが前記記憶装
置に対する認証の要求を指示した場合に、ユーザに対し
て前記任意識別情報の入力を要求し、該任意識別情報を
用いて前記記憶装置に認証要求を行うことを特徴とする
ホスト装置を提供する。 上記第１２の観点によるホス
ト装置では、認証処理において装置識別情報では拒否さ
れた場合にのみ、ユーザに対して前記任意識別情報の入
力を要求し、入力された任意識別情報を用いた接続要求
を行う。従って、ホスト装置の追加・変更が頻繁に行わ
れる場合でも前記任意識別情報を入力するか否かをユー
ザが判断する必要が無くなるため、ユーザの負担を軽減
することが出来る。

【００３９】

【発明の実施の形態】以下、図に示す実施の形態により
本発明をさらに詳細に説明する。なお、これにより本発
明が限定されるものではない。

【００４０】図１は、ファイバチャネルによる接続形態
を示すブロック図である。

【００４１】ノード１＿１＿１〜１＿２＿ｎは、ループ
接続対応ノードであり、それぞれノードループポート
（ＮＬ＿Ｐｏｒｔ）４を備える。ファブリック２＿１，
２＿２は、それぞれファブリックループポート（ＦＬ＿
Ｐｏｒｔ）５と，ファブリックポート（Ｆ＿Ｐｏｒｔ）
８とを備える。

【００４２】ノード３＿１，３＿２は、ループ接続未対
応ノードであり、それぞれノードポート（Ｎ＿Ｐｏｒ
ｔ）７を備える。上記ノード１＿１＿１〜１＿１＿ｍの
ノードループポート４と上記ファブリック２＿１のファ
ブリックループポート５とは、パブリックループ接続６
によりループ状に接続されている。

【００４３】また、上記ノード１＿２＿１〜１＿２＿ｎ
のノードループポート４と上記ファブリック２＿２のフ
ァブリックループポート５とは、パブリックループ接続
６によりループ状に接続されている。

【００４４】また、上記ノード３＿１のノードポート７
と上記ファブリック２＿２のファブリックポート８と
は、ファブリック接続９により１対１の関係で直接接続
されている。

【００４５】また、上記ノード３＿２のノードポート７
と上記ファブリック２＿２のファブリックポート８と
は、ファブリック接続９により１対１の関係で直接接続
されている。

【００４６】さらに、上記ファブリック２＿１と２＿２
とは、ファブリックポート８を介して接続されている。
なお、ファブリック同士の接続に関しては、本発明の対
象外であるため、説明を省略する。

【００４７】図１のノード１＿２＿ｎは、記憶装置であ
り、図４に示す認証用ログイン管理テーブル４００を保
持している。

【００４８】この認証用ログイン管理テーブル４００
は、装置識別情報保持エリアとしてポートネーム保持エ
リア４０１とノードネーム保持エリア４０２とを有し、
任意識別情報保持エリアとしてユーザ識別情報保持エリ
ア４０３を有し、各識別情報毎にアクセス権許可情報保
持エリア４０４を有している。

【００４９】前記ポートネーム保持エリア４０１および
ノードネーム保持エリア４０２には、認証を許可するホ
スト装置のポートネームおよびノードネームが保持され
ている。また、前記ユーザ識別情報４０３には、認証を
許可するユーザのユーザＩＤとパスワードとが保持され
ている。また、前記アクセス権許可情報保持エリア４０
４には、アクセスを許可する内容が保持されている。

【００５０】図１のノード３＿１は、ホスト装置であ
り、ポートネームを“１２３４５６７８９０４００００
０”とし、ノードネームを“１２３４５６７８９０４０
０００１”とする。また、ノード３＿１を操作するユー
ザ（図２の１０）のユーザＩＤを“１２３４５６７８９
０５００００２”とし、パスワードを“１２３４５６７
８９０５００００３”とする。

【００５１】図４の認証用ログイン管理テーブル４００
には、ノード３＿１のポートネームおよびノードネーム
は保持されていないが、ユーザのユーザＩＤとパスワー
ドは保持されている。

【００５２】図２は、ノード３＿１がイニシエータノー
ドとなり、ノード１＿２＿ｎをターゲットノードとして
論理的に接続する処理シーケンスの説明図である。

【００５３】接続は、ファブリックログイン処理１００
と，ポートログイン処理２００と、プロセスログイン処
理３００とを経て行われる。

【００５４】・ファブリックログイン処理１００ ステップ１０１では、ノード１＿２＿ｎ及び３＿１が、
それぞれファブリックログインフレーム（ＦＬＯＧＩ）
情報を生成し、ファブリック２＿２に対して送信する。
ファブリック２＿２は、ノード１＿２＿ｎおよび３＿１
に対して応答（ＡＣＣ）を返す。ノード１＿２＿ｎおよ
び３＿１は、それぞれ前記応答（ＡＣＣ）を確認し、フ
ァブリックログインが許可されたことを検出する。な
お、ファブリックログイン処理の詳細は本発明の対象外
であるため、ここでは説明を省略する。

【００５５】・ポートログイン処理２００ ステップ２０１では、ノード３＿１が、ポートログイン
フレーム（ＰＬＯＧＩ）情報を生成し、ノード１＿２＿
ｎに対して送信する。

【００５６】図３は、上記ポートログインフレーム情報
の構成を示す例示図である。

【００５７】このポートログインフレームのワード５−
６には前記ノード３＿１のポートネーム（“１２３４５
６７８９０４０００００”）が設定され、ワード７−８
にはノードネーム（“１２３４５６７８９０４００００
１”）が設定される。また、この時点で生成されるポー
トログインフレーム情報においては、ワード２１−２４
（ユーザ識別情報）は使用されない。

【００５８】ステップ２０２では、ノード１＿２＿ｎ
は、受信した前記ポートログインフレーム情報（図３）
に設定されたポートネーム及びノードネームが認証用ロ
グイン管理テーブル（図４）に保持されていれば、ポー
トログインを許可する応答（ＡＣＣ）を生成し、ノード
３＿１に対して送信する。また、保持されていなけれ
ば、ポートログインを拒否する応答（ＬＳ＿ＲＪＴ）を
生成し、ノード３＿１に対して送信する。

【００５９】ここでは、ポートログインフレーム情報に
設定されたポートネーム及びノードネームは認証用ログ
イン管理テーブルに保持されていないため、ノード１＿
２＿ｎは、ポートログイン処理を拒否する応答（ＬＳ＿
ＲＪＴ）を生成し、ノード３＿１に対して送信する。

【００６０】ステップ２０３では、ノード３＿１は、上
記の応答（ＬＳ＿ＲＪＴ）を確認し、ポートログインが
拒否された場合はユーザ入力処理２０４のステップ２０
６に移行し、ポートログインが許可された場合はプロセ
スログイン処理３００に移行する。なお、上記ポートロ
グイン処理２００は、電源投入等を契機として自動的に
実行されることが望ましい。

【００６１】・ユーザ入力処理２０４ ステップ２０５では、ユーザ１０が、ノード３＿１と物
理的に接続されている他のノードの情報の提示をノード
３＿１に要求する（接続情報要求）。

【００６２】ステップ２０６では、ノード３＿１は、物
理的に接続されているノードの情報をユーザ１０に報告
する（接続情報表示）。また、前記ステップ２０３でポ
ートログインが拒否されたことを検出した場合、ノード
３＿１は、ユーザＩＤおよびパスワードの入力をユーザ
１０に要求する。

【００６３】ステップ２０７では、ユーザ１０は、自分
のユーザＩＤ（“１２３４５６７８９０５００００
２”）及びパスワード（“１２３４５６７８９０５００
００３”）を入力し、所望のターゲットに対して認証の
要求を行うようにノード３＿１に指示する。また、ポー
トログインが拒否されたノード１＿２＿ｎに対して再度
認証の要求を行うために、自分のユーザＩＤ（“１２３
４５６７８９０５００００２”）及びパスワード（“１
２３４５６７８９０５００００３”）を入力する（ＨＤ
Ｄ接続要求）。

【００６４】・ユーザログイン処理 ステップ２０８では、ノード３＿１は、前記ユーザ識別
情報を含むポートログインフレーム（ＰＬＯＧＩ）情報
を生成し、ノード１＿２＿ｎに対して送信する。ここ
で、生成，送信されるポートログインフレーム情報で
は、図３のワード２１−２４（ユーザ識別情報）が使用
されている。すなわち、ワード２１−２４には、前記ユ
ーザ１０のユーザＩＤ（“１２３４５６７８９０５００
００２”）及びパスワード（“１２３４５６７８９０５
００００３”）からなるユーザ識別情報が設定されてい
る。

【００６５】ステップ２０９では、ノード１＿２＿ｎ
は、受信した前記ポートログインフレーム情報（図３）
に設定されたユーザＩＤ及びパスワードを認証用ログイ
ン管理テーブル（図４）に保持しているため、ポートロ
グインを許可する応答（ＡＣＣ）を生成し、ノード３＿
１に対して送信する。

【００６６】ステップ２１０では、ノード３＿１は上記
応答（ＡＣＣ）を確認し、ポートログインが許可された
ことを検出する。なお、前記ステップ２０２またはステ
ップ２０９でポートログインを許可した時、ノード１＿
２＿ｎは、図５に示す登録用ログイン管理テーブル５０
０に、ポートログインを許可したポートの管理情報（ポ
ートネーム５０１，ノードネーム５０２，ポートＩＤ５
０３，ユーザ識別情報５０４を格納する。例えば、＃４
には、ノード３＿１のポートネーム“１２３４５６７８
９０４０００００”），ノードネーム“１２３４５６７
８９０４００００１”，ポートＩＤ“００００Ｄ４”，
ユーザＩＤ“１２３４５６７８９０５００００２”及び
パスワード“１２３４５６７８９０５００００３”を格
納している。

【００６７】・プロセスログイン処理３００ ステップ３０１では、ノード３＿１は、プロセスログイ
ンフレーム（ＰＲＬＩ）情報を生成し、ノード１＿２＿
ｎに対して送信する。

【００６８】ステップ３０２では、ノード１＿２＿ｎ
は、プロセスログインを許可する応答（ＡＣＣ）を生成
し、ノード３＿１に対して送信する。なお、このプロセ
スログインフレーム情報の構成は、ファイバチャネル規
格と同一であるから、ここでは説明を省略する。

【００６９】ステップ３０３では、ノード３＿１は、上
記応答（ＡＣＣ）を確認し、プロセスログインが許可さ
れたことを検出する。ここで、ノード３＿１はノード１
＿２＿ｎに認証（論理的に接続）されたこととなり、ア
クセスが可能となる。

【００７０】ステップ３０４では、ノード３＿１は、ユ
ーザ１０に対し接続完了報告を行う。上記処理シーケン
スにより、ノード１＿２＿ｎがノード３＿１の装置識別
情報を予め保持していない場合でも、ユーザ１０のユー
ザ識別情報を保持していれば、そのユーザ識別情報を用
いて認証されるため、ユーザ１０がノード３＿１からノ
ード１＿２＿ｎにアクセスできるようになる。

【００７１】また、ノード１＿２＿ｎが装置識別情報を
保持していない他のホスト装置（例えば１＿１＿１）
も、上述のユーザ識別情報を用いた認証処理を行うこと
で、ノード１＿２＿ｎにアクセス可能となる。

【００７２】即ち、ホスト装置を追加・変更した場合で
も、ノード１＿２＿ｎの認証用ログインテーブル４００
に保持しているユーザ識別情報を用いた認証処理を行う
ことで、前記認証用ログインテーブル４００に情報を追
加・変更しなくても、前記ホスト装置が前記ノード１＿
２＿ｎにアクセスでき、可用性が向上する。また、認証
を許可するホスト装置の数の制限も無くなる。

【００７３】更に、認証許可後のホスト装置またはユー
ザ毎にリードオンリー，ライトオンリー，リード／ライ
ト（フルアクセス）といった高度のアクセス権制御を行
うことが可能となり、資源の有効活用及びセキュリティ
向上という効果が期待される。 次に、本発明に係る他
の実施形態について説明する。

【００７４】（１）上述の実施形態においては装置識別
情報（ポートネーム，ノードネーム）を用いた認証要求
（ステップ２０１〜２０３）が拒否された後に、任意識
別情報（ユーザ識別情報）を用いたユーザログイン処理
（ステップ２０８〜２１０）を実施したが、最初から装
置識別情報と任意識別情報とを併用して認証処理を実施
してもよいし、最初から任意識別情報のみを用いた認証
処理だけを行ってもよい。 また、ホスト装置と記憶装
置との物理的な接続形態を検出し、その接続形態に従っ
て、認証処理の方法を選択して実行してもよい。例え
ば、パブリックループ接続においてのみ任意識別情報を
用いた認証処理ユーザログイン処理２０４）を行うよう
にし、プライベートループ接続においては従来の装置識
別情報を用いた認証処理のみを行うようにしてもよい。

【００７５】（２）上述の実施形態においてはポートロ
グイン処理２００の拡張機能としてユーザログイン処理
２０４を実現したが、新たな認証処理（規格）として任
意識別情報を用いる認証処理を規定・実現してもよい。

【００７６】（３）ユーザをグループ化し、そのグルー
プに固有のグループ識別情報を任意識別情報として用い
てもよい。

【００７７】（４）全てのノードループポート４及びノ
ードポート７がパブリックループ接続をサポートする必
要はなく、パブリックループ接続をサポートしないノー
ドループポート４及びノードポート７によって、すなわ
ち、プライベートループ接続のみの場合に本発明を実施
してもよい。

【００７８】更に、（１）認証要求，（２）ユーザデー
タアクセス要求，（３）認証管理情報アクセス要求，の
各ホスト要求処理を例に、本発明に係る他の実施形態に
ついて説明する。

【００７９】（１）認証要求処理，図６は、複数のホス
ト装置に接続される記憶装置における認証制御部の構成
例を示すブロック図である。

【００８０】当該記憶装置３０においては、本発明に関
連するホスト要求処理部３１と認証制御部３２のみを図
示することで、その構成を簡略化している。

【００８１】また、上記複数のホスト装置２０＿ａ〜ｄ
と記憶装置３０との接続は、前述の接続形態と同様にフ
ァイバチャネルによる接続形態をとるものとし、その詳
細の説明は省略する。

【００８２】同図において、前記認証制御部３２は、ホ
スト装置毎に固有の装置識別情報（Ｄｅｖｉｃｅ＿Ｉ
Ｄ）３３＿１と、ホスト装置に依存しない任意識別情報
（Ｕｓｅｒ＿ＩＤ）３３＿２と、装置毎に動的に割当て
られるインタフェースのアドレス情報（Ａｄｄｒｅｓ
ｓ）３３＿３と、これらの識別情報毎に付加的な情報と
して、認証状況情報（Ｓｔａｔｕｓ）３３＿４とを認証
管理情報として保持する認証管理テーブル３３と、ホス
ト装置からの認証要求と前記認証管理情報とに基づく認
証処理を行うアクセス制御部３４とから構成されてい
る。また、前記ホスト要求処理部３１は、前記アクセス
制御部３４による認証許可情報に基づき、ホスト装置か
らの認証要求を処理するものである。

【００８３】ここで、図６における前記認証管理テーブ
ル３３は、前述の認証用ログイン管理テーブル４００
と、登録用ログイン管理テーブル５００とで管理してい
た認証に関する情報を一括して管理するものである。即
ち、当該認証管理テーブルにおいて、装置識別情報（Ｄ
ｅｖｉｃｅ＿ＩＤ）は、前記ポートネームおよび前記ノ
ードネームに、任意識別情報（Ｕｓｅｒ＿ＩＤ）は、前
記ユーザＩＤおよびパスワードに、アドレス情報（Ａｄ
ｄｒｅｓｓ）は、ポートＩＤに相当する。更に、認証状
況情報（Ｓｔａｔｕｓ）で、認証許可対象ノードにおけ
る認証状況を管理している。

【００８４】（処理手順）ホスト装置からの認証要求
は、前記ホスト要求処理部３１で認証要求であることが
検出され、次に、前記アクセス制御部３４によって、前
記認証要求に付加された情報（装置識別情報、且つ、あ
るいは、任意識別情報）を用いた認証許可判定が行わ
れ、その結果が前記ホスト要求処理部３１を介して前記
ホスト装置に対して送信する。

【００８５】例えば、装置識別情報による認証要求（ホ
ストＢ２０＿ｂからの認証要求）の場合、当該認証要求
情報には、装置識別情報（Ｄ＿ｂ）が付加されており、
当該情報が前記認証管理テーブル３３に保持されている
認証許可対象装置の装置識別情報３３＿１と一致するこ
とによって認証が許可される。

【００８６】また、任意識別情報による認証要求（ホス
トＤ２０＿ｄからの認証要求）の場合、当該認証要求情
報には、任意識別情報（Ｕ＿１）が付加されており、当
該情報が前記認証管理テーブル３３に保持されている認
証許可対象の任意識別情報３３＿２と一致することによ
って認証が許可される。

【００８７】更に、前記認証要求に付加された情報（装
置識別情報と、且つ、あるいは、任意識別情報）が、前
記認証管理テーブル３３に保持されている認証許可対象
の情報と一致しない場合、認証は拒否される。

【００８８】ここで、上記認証処理によって認証を許可
した場合、前記アクセス制御部３４は、前記認証管理テ
ーブルの前記アドレス情報（Ａｄｄｒｅｓｓ）３３＿
３、および、前記認証状況（Ｓｔａｔｕｓ）３３＿４
に、認証を許可したホスト装置からの前記認証要求に付
加された前記アドレス情報、および、認証状況情報（ａ
ｃｔｉｖｅ）を登録する。

【００８９】更に、前記任意識別情報による認証を許可
し、当該認証要求情報に前記装置識別情報が付加されて
いた場合、前記アクセス制御部は前記装置識別情報を前
記認証管理テーブル３３の前記装置識別情報（Ｄｅｖｉ
ｃｅ＿ＩＤ）３３＿１に登録する。

【００９０】これにより、認証を許可されたホスト装置
（図中、２０＿ａ／ｂ／ｄ）から前記記憶装置３０に対
するアクセス要求は、当該アクセス要求に付加された前
記アドレス情報（Ａｄｄ＿ａ／ｂ／ｄ）、あるいは、前
記装置識別情報（Ｄ＿ａ／ｂ／ｄ）、あるいは、前記任
意識別情報（Ｕ＿１）を用いたアクセス要求元ホスト装
置の認証状況判定結果に基づき処理可能となる。

【００９１】また、上記の認証許可後に登録された情報
は、前記認証を許可したホスト装置との認証期間終了を
検出する手段を更に具備し、認証期間の終了検出を契機
として、あるいは、初期化時においてクリアされる。

【００９２】これにより、不特定多数のホスト装置に対
する認証を許可する本発明におけるセキュリティの確保
が可能となる。

【００９３】更に、同一の任意識別情報を用いて同時に
認証を許可するホスト装置数を設定可能とすることを目
的に、図６では、同一の任意識別情報（ユーザネーム
等）を用いて認証を許可する場合、認証を許可するホス
ト装置数と同じ数だけ前記認証管理テーブルに前記任意
識別情報を登録している（図では、ユーザネーム（Ｕ＿
１）を２個登録することで、同ユーザネーム（Ｕ＿１）
を用いた認証を許可するホスト装置数を２としてい
る）。

【００９４】しかし、同一の任意識別情報を用いて同時
に認証を許可するホスト装置数の制御方法は、これに限
定されるものではなく、例えば、任意識別情報毎に同時
に認証を許可するホスト装置数と、同任意識別情報を用
いて認証を許可しているホスト装置数とを個別に管理す
ることによっても実現可能である。

【００９５】尚、任意識別情報を用いた詳細な認証処理
手順等については前述していることから、ここでは省略
する。

【００９６】（２）ユーザデータアクセス要求処理，図
７は、複数のホスト装置に接続される記憶装置における
認証制御部の構成例を示すブロック図である。

【００９７】同図は、図６の記憶装置に対し、以下の相
違点を除き同一である。前記認証管理テーブル３３に保
持する情報において、前記識別情報毎に付加的な情報と
して、ユーザデータに対するアクセス権許可情報（Ｄａ
ｔａ Ａｃｃｅｓｓ）３３＿５を更に保持する。

【００９８】前記アクセス制御部において、ホスト装置
からのユーザデータアクセス要求と前記認証管理情報と
に基づくユーザデータアクセス権許可制御（管理）を行
う。前記ホスト要求処理部は、前記アクセス制御部によ
るユーザデータアクセス権許可情報に基づき、ホスト装
置からのユーザデータアクセス要求を処理する。

【００９９】（処理手順）ホスト装置からのユーザデー
タアクセス要求は、前記ホスト要求処理部３１でユーザ
データアクセス要求であることが検出され、次に、前記
アクセス制御部３４によって要求元のホスト装置が認証
許可済みか否かの判定、および、認証を許可されたホス
ト装置の場合、ユーザデータアクセス権許可情報の検出
が更に行われ、その結果に基づき前記ホスト要求処理部
３１によって、前記ユーザデータアクセス要求を処理す
る。

【０１００】即ち、要求元のホスト装置が認証許可済み
で、且つ、当該ホスト装置からのユーザデータアクセス
要求の属性（リード／ライト）が前記ユーザデータアク
セス権許可情報で許可されている場合のみ、当該ホスト
装置からのユーザデータアクセス要求が、前記ホスト要
求処理部によって処理されるものである。

【０１０１】以下、より具体的な例を用いて説明する。

【０１０２】・未認証ホスト（ホストＣ２０＿ｃ）から
のユーザデータアクセス要求の場合、前記ホスト要求処
理部で、要求元ホスト装置がホストＣ２０＿ｃであるこ
と、更に、ユーザデータアクセス要求であることを検出
し、前記アクセス制御部３４に対してホストＣ２０＿ｃ
の認証状況（許可済みか否か）と、ユーザデータに対し
許可されたアクセス権情報とを照会する。

【０１０３】前記アクセス制御部３４は、前記ホスト要
求処理部３１からの照会要求に対し、前記認証管理テー
ブル３３の情報を用いてホストＣ２０＿ｃが未認証であ
ることを検出し、当該検出結果を前記ホスト要求処理部
３１に報告する。

【０１０４】前記ホスト要求処理部３１は、上記検出結
果（未認証）に基づき、ホストＣ２０＿ｃからのユーザ
データアクセス要求を拒否する（正常に処理しない）。

【０１０５】・既認証ホスト（ホストＢ２０＿ｂ）から
のユーザデータアクセス（リード）要求の場合、前記ホ
スト要求処理部３１で、要求元ホスト装置がホストＢ２
０＿ｂであること、更に、ユーザデータに対するリード
アクセス要求であることを検出し、前記アクセス制御部
３４に対してホストＢ２０＿ｂの認証状況（許可済みか
否か）と、ユーザデータに対し許可されたアクセス権情
報とを照会する。

【０１０６】前記アクセス制御部３４は、前記ホスト要
求処理部３１からの照会要求に対し、前記認証管理テー
ブル３３の情報を用いてホストＢ２０＿ｂが既認証であ
り、更にユーザデータアクセス権としてリードが許可さ
れていることを検出し、当該検出結果を前記ホスト要求
処理部３１に報告する。

【０１０７】前記ホスト要求処理部３１は、上記検出結
果（既認証＆リード許可）に基づき、ホストＢ２０＿ｂ
からのユーザデータアクセス（リード）要求を正常に処
理する。 尚、記憶装置におけるリード処理は本発明の
対象外であることから、その説明は省略する。

【０１０８】・既認証ホスト（ホストＢ２０＿ｂ）から
のユーザデータアクセス（ライト）要求の場合、前記ホ
スト要求処理部３１で、要求元ホスト装置がホストＢ２
０＿ｂであること、更に、ユーザデータに対するライト
アクセス要求であることを検出し、前記アクセス制御部
３４に対してホストＢ２０＿ｂの認証状況（許可済みか
否か）と、ユーザデータに対し許可されたアクセス権情
報とを照会する。

【０１０９】前記アクセス制御部３４は、前記ホスト要
求処理部３１からの照会要求に対し、前記認証管理テー
ブル３３の情報を用いてホストＢ２０＿ｂが既認証であ
り、更にユーザデータアクセス権としてライトが許可さ
れていないことを検出し、当該検出結果を前記ホスト要
求処理部３１に報告する。

【０１１０】前記ホスト要求処理部３１は、上記検出結
果（ライト不許可）に基づき、ホストＢ２０＿ｂからの
ユーザデータアクセス（ライト）要求を拒否する（正常
に処理しない）。

【０１１１】上述の、ユーザデータアクセス要求元ホス
ト装置の認証状況情報と、当該ホスト装置に許可された
ユーザデータアクセス権情報とを用いたユーザデータア
クセス権制御を、前記記憶装置で実現可能とすることに
より、前記記憶装置が格納するユーザデータに対する高
度のセキュリティ管理が可能となる。

【０１１２】（３）認証管理テーブルアクセス要求処
理，図８は、複数のホスト装置に接続される記憶装置に
おける認証制御部の構成例を示すブロック図である。

【０１１３】同図は、図７の記憶装置に対し、以下の相
違点を除き同一である。

【０１１４】前記認証管理テーブル３３に保持する情報
において、前記識別情報毎に付加的な情報として、前記
認証管理テーブル３３に対するアクセス権許可情報（Ｔ
ａｂｌｅ Ａｃｃｅｓｓ）３３＿６を更に保持する。

【０１１５】前記アクセス制御部３４において、ホスト
装置からの前記認証管理テーブル３３に対するアクセス
要求と前記認証管理情報とに基づく認証管理テーブルア
クセス権許可制御（管理）を行う。

【０１１６】前記ホスト要求処理部３１は、新たに認証
管理情報アクセス処理部３５を具備し、当該認証管理情
報アクセス処理部３５において、前記アクセス制御部３
４による認証管理テーブルアクセスアクセス権許可情報
に基づき、ホスト装置からの認証管理テーブルアクセス
要求を処理する。

【０１１７】また、同図において、ホストＥ２０＿ｅは
前記記憶装置３０に新規に接続されるホスト装置であ
る。

【０１１８】（処理手順）ホスト装置からの認証管理テ
ーブルアクセス要求は、前記ホスト要求処理部３１で認
証管理テーブルアクセス要求であることが検出され、次
に、前記アクセス制御部３４によって要求元のホスト装
置が認証許可済みか否かの判定、および、認証を許可さ
れたホスト装置の場合、認証管理テーブルアクセスアク
セス権許可情報の検出が更に行われ、その結果に基づき
前記ホスト要求処理部３１の認証管理情報アクセス処理
部３５によって、前記認証管理テーブルアクセス要求を
処理する。

【０１１９】即ち、要求元のホスト装置が認証許可済み
で、且つ、当該ホスト装置からの認証管理テーブルアク
セス要求の属性（リード／ライト）が前記認証管理テー
ブルアクセス権許可情報で許可されている場合のみ、当
該ホスト装置からの認証管理テーブルアクセス要求が、
前記ホスト要求処理部３１の前記認証管理情報アクセス
処理部３５によって処理されるものである。

【０１２０】以下、より具体的な例を用いて説明する。

【０１２１】・ホストＡ２０＿ａからの認証管理テーブ
ルアクセス（ライト）要求の場合、前記ホスト要求処理
部３１で、要求元ホスト装置がホストＡ２０＿ａである
こと、更に、認証管理テーブル３３に対するライトアク
セス要求であることを検出し、前記アクセス制御部３４
に対してホストＡ２０＿ａの認証状況（許可済みか否
か）と、認証管理テーブル３３に対し許可されたアクセ
ス権情報とを照会する。 前記アクセス制御部３４は、
前記ホスト要求処理部３１からの照会要求に対し、前記
認証管理テーブル３３の情報を用いてホストＡ２０＿ａ
が既認証であり、更に認証管理テーブルアクセス権とし
てライトが許可されていることを検出し、当該検出結果
を前記ホスト要求処理部３１の前記認証管理情報アクセ
ス処理部３５に報告する。

【０１２２】前記ホスト要求処理部３１の前記認証管理
情報アクセス処理部３５は、上記検出結果（既認証＆ラ
イト許可）に基づき、ホストＡ２０＿ａから前記認証管
理テーブルアクセス（ライト）要求に付随して転送され
た認証管理テーブルライト情報を用いて、認証管理テー
ブルアクセス（ライト）要求を正常に処理する。

【０１２３】これにより、前記記憶装置３０の前記認証
管理テーブル３３が、特定のホスト装置から随時更新可
能となる。例えば、図８に図示した様に、ホストＥ２０
＿ｅが前記記憶装置３０に新規に接続される場合、ホス
トＡ２０＿ａを介してホストＥ２０＿ｅの識別情報を前
記認証管理テーブル３３に登録することが可能となる。

【０１２４】これは、前記記憶装置３０において、認証
許可対象の登録，削除、更に、認証許可対象に許可する
アクセス権の登録，削除，変更を随時可能とするもので
あり、自身と前記複数のホスト装置とから構成されるシ
ステムの構成変更（接続ホストの変更）等に柔軟に対応
可能となり、当該システムの可用性を向上することが可
能となる。

【０１２５】・ホストＡ２０＿ａからの認証管理テーブ
ルアクセス（リード）要求の場合、前記ホスト要求処理
部３１で、要求元ホスト装置がホストＡ２０＿ａである
こと、更に、認証管理テーブル３３に対するリードアク
セス要求であることを検出し、前記アクセス制御部３４
に対してホストＡ２０＿ａの認証状況（許可済みか否
か）と、認証管理テーブル３３に対し許可されたアクセ
ス権情報とを照会する。

【０１２６】前記アクセス制御部３４は、前記ホスト要
求処理部３１からの照会要求に対し、前記認証管理テー
ブル３３の情報を用いてホストＡ２０＿ａが既認証であ
り、更に認証管理テーブルアクセス権としてリードが許
可されていることを検出し、当該検出結果を前記ホスト
要求処理部３１の前記認証管理情報アクセス処理部３５
に報告する。

【０１２７】前記ホスト要求処理部３１の前記認証管理
情報アクセス処理部３５は、上記検出結果（既認証＆リ
ード許可）に基づき、ホストＡ２０＿ａに対し前記認証
管理テーブルの情報を認証管理テーブルリード情報をと
して送信し、認証管理テーブルアクセス（リード）要求
を正常に処理する。

【０１２８】・ホストＤ２０＿ｄからの認証管理テーブ
ルアクセス（リード）要求の場合、前記ホスト要求処理
部３１で、要求元ホスト装置がホストＤ２０＿ｄである
こと、更に、認証管理テーブル３３に対するリードアク
セス要求であることを検出し、前記アクセス制御部３４
に対してホストＤ２０＿ａの認証状況（許可済みか否
か）と、認証管理テーブル３３に対し許可されたアクセ
ス権情報とを照会する。

【０１２９】前記アクセス制御部３４は、前記ホスト要
求処理部３１からの照会要求に対し、前記認証管理テー
ブル３３の情報を用いてホストＤ２０＿ｄが既認証であ
るが、如何なる認証管理テーブルアクセス権も許可され
ていないことを検出し、当該検出結果を前記ホスト要求
処理部３１の前記認証管理情報アクセス処理部３５に報
告する。

【０１３０】前記ホスト要求処理部３１の前記認証管理
情報アクセス処理部３５は、上記検出結果（既認証＆ア
クセス不許可）に基づき、ホストＤ２０＿ｄからの認証
管理テーブルアクセス（リード）要求を拒否する（正常
に処理しない）。

【０１３１】上述の、認証管理テーブルアクセス要求元
ホスト装置の認証状況情報と、当該ホスト装置に許可さ
れた認証管理テーブルアクセス権情報とを用いた認証管
理テーブルアクセス権制御を、前記記憶装置で実現可能
とすることにより、前記記憶装置が格納する認証管理テ
ーブル情報データに対する高度のセキュリティ管理が可
能となる。

【０１３２】更に、前記記憶装置が、前記認証要求処理
制御、および、前記ユーザデータアクセス要求処理制
御、および、認証管理テーブルアクセス要求処理制御を
実現可能となることによって、上記複数のホスト装置で
同一の記憶装置を共有するシステムにおいて、従来の記
憶装置を管理するホスト装置、即ち、記憶装置に対する
複数のホスト装置からのアクセス要求を制御するホスト
装置を不要とする（システムコストを低減する）効果が
期待される。

【０１３３】また、上述の実施形態において、前記認証
制御部３２は、前記ホスト要求処理部３１と独立して実
現するものとして説明してきたが、この構成に限るもの
ではなく、例えば、前記ホスト要求処理部３１の一機能
として、前記認証制御部３２を実現することも可能であ
る。

【０１３４】また、前記認証管理テーブルアクセス要求
処理は、前記認証要求処理、或いは、前記ユーザデータ
アクセス要求処理と同様に、前記ホスト要求処理部３１
で処理することから、前記認証管理テーブルアクセス要
求情報の転送プロトコルは、前記認証要求情報、或い
は、前記ユーザデータアクセス要求情報の転送プロトコ
ルに同一であることが望ましいが、これに限定されるも
のではない。

【０１３５】また、本発明を実現する記憶装置は、前記
認証管理テーブル、あるいは、前記認証用ログイン管理
テーブル等で保持する情報において、少なくとも、前記
装置識別情報と、前記任意識別情報と、前記ユーザデー
タアクセス権許可情報と、前記認証管理テーブルアクセ
ス権許可情報とのすべての情報、あるいは、一部の情報
を、不揮発性のメモリ、あるいは、自身の記憶媒体等に
格納する。これより、前記記憶装置の電源再投入時、上
述の認証要求処理、ユーザデータアクセス要求処理、認
証管理テーブルアクセス要求処理が実現可能となること
はいうまでもない。

【０１３６】

【発明の効果】本発明の記憶装置によれば、認証を許可
するホスト装置を追加・変更する場合、記憶装置が保持
する前記認証管理情報の更新処理を任意のホスト装置か
ら実現可能となり、前記ホスト装置の追加・変更に柔軟
に対応できるため、可用性を向上することが出来る。

【０１３７】また、装置に依存しない任意識別情報を用
いた認証処理を実現する本発明の記憶装置およびホスト
装置によれば、認証を許可するホスト装置を追加・変更
した場合でも、記憶装置が保持する前記ホスト装置の識
別情報を追加・変更する必要がなく、前記ホスト装置が
前記記憶装置にアクセス可能となる。すなわち、前記ホ
スト装置の追加・変更に柔軟に対応できるため、可用性
を向上することが出来る。

【０１３８】また、複数のホスト装置が同一の任意識別
情報を共有することで、記憶装置が保持しておく任意識
別情報の数を節約できるため、保持可能な識別情報の数
が制限されても、認証を許可するホスト装置の数が制限
されなくなる。

【０１３９】また、装置識別情報および任意識別情報毎
にアクセス権を設定することにより、きめ細やかな高度
のアクセス権制御が可能となり、セキュリティを向上す
ることができる。

【０１４０】また、記憶装置とホスト装置との物理的な
接続形態がＦＣ−ＡＬのパブリックループ接続のときの
み任意識別情報を用いた認証処理を行い、他の接続形態
では従来の認証処理とすることによって、認証処理のオ
ーバヘッドを軽減することが出来る。

【０１４１】また、前記認証要求処理制御、および、前
記ユーザデータアクセス要求処理制御、および、認証管
理テーブルアクセス要求処理制御を、記憶装置が実施す
ることによって、記憶装置の管理に専任するホスト装置
を不要とする（システムコストを低減する）効果が期待
される。

【０１４２】。

【０１４３】また、少なくとも、前記装置識別情報と、
前記任意識別情報と、前記ユーザデータアクセス権許可
情報と、前記認証管理テーブルアクセス権許可情報との
すべての情報、あるいは、一部の情報を、不揮発性のメ
モリ、あるいは、自身の記憶媒体等に格納することによ
って、記憶装置の電源再投入時、上述の認証要求処理、
ユーザデータアクセス要求処理、認証管理テーブルアク
セス要求処理が実現可能となり、セキュリティ、およ
び、相互接続性を維持することができる。

【図面の簡単な説明】

【図１】ファイバチャネルによる接続形態を示すブロッ
ク図である。

【図２】本発明の実施の形態に係る論理的な接続の処理
のシーケンスの説明図である。

【図３】ポートログインフレーム情報の構成を示す例示
図である。

【図４】認証用ログイン管理テーブルを示す例示図であ
る。

【図５】登録用ログイン管理テーブルを示す例示図であ
る。

【図６】複数ホストに接続される記憶装置における認証
制御部の一構成例を示す図である。

【図７】複数ホストに接続される記憶装置における認証
制御部の一構成例を示す図である。

【図８】複数ホストに接続される記憶装置における認証
制御部の一構成例を示す図である。

【符号の説明】

１＿ １＿１〜１＿２＿ｎ・・・ループ接続対応ノー
ド、２＿１，２＿２・・・ファブリック、３＿１，３＿
２・・・ループ接続未対応ノード、４・・・ノードルー
プポート、５・・・ファブリックループポート、６・・
・パブリックループ接続、７・・・ノードポート、８・
・・ファブリックポート、９・・・ファブリック接続、
１０・・・ユーザ、２０＿ａ〜ｆ・・・ホスト装置（Ａ
〜Ｆ）、３０・・・記憶装置、３１・・・ホスト要求処
理部、３２・・・認証制御部、３３・・・認証管理テー
ブル、３４・・・アクセス制御部、３５・・・認証管理
情報アクセス処理部。

───────────────────────────────────────────────────── フロントページの続き (72)発明者 市川 正敏 神奈川県川崎市麻生区王禅寺1099番地 株 式会社日立製作所システム開発研究所内 (72)発明者 国崎 修 神奈川県小田原市国府津2880番地 株式会 社日立製作所ストレージシステム事業部内 (72)発明者 齊木 栄作 神奈川県小田原市国府津2880番地 株式会 社日立製作所ストレージシステム事業部内 Ｆターム(参考） 5B085 AE23

Claims (12)

【特許請求の範囲】
1. 【請求項１】 論理的な接続（認証）を許可したホスト
   装置に対してのみアクセスを許可する記憶装置であっ
   て、ホスト装置毎に固有の装置識別情報とホスト装置に
   依存しない任意識別情報とを保持する管理情報保持手段
   と、前記任意識別情報、或いは前記任意識別情報と前記
   装置識別情報との任意の組み合わせと前記ホスト装置か
   らの認証要求情報とを用いて認証処理を行うアクセス制
   御手段とを具備したことを特徴とする記憶装置。
2. 【請求項２】 請求項１に記載の記憶装置において、前
   記管理情報保持手段は、前記装置識別情報および前記任
   意識別情報毎にアクセス権許可情報を更に保持し、前記
   アクセス制御手段は、前記アクセス権許可情報に基づ
   き、認証許可後のホスト装置に対するアクセス権制御を
   行うことを特徴とする記憶装置。
3. 【請求項３】 請求項１又は請求項２に記載の記憶装置
   において、ホスト装置との物理的な接続形態がＦＣ−Ａ
   Ｌ（Ｆｉｂｒｅ Ｃｈａｎｎｅｌ Ａｒｂｉｔｒａｔｅｄ
   Ｌｏｏｐ）のパブリックループ接続／プライベートル
   ープ接続のどちらであるかを検出する接続形態検出手段
   を更に具備し、前記アクセス制御手段は、前記接続形態
   がパブリックループ接続である場合にのみ前記任意識別
   情報を用いた認証処理を行うことを特徴とする記憶装
   置。
4. 【請求項４】 請求項１から請求項３のいずれか１項に
   記載の記憶装置において、前記任意識別情報は、ユーザ
   毎に固有のユーザ識別情報であることを特徴とする記憶
   装置。
5. 【請求項５】 論理的な接続（認証）を許可したホスト
   装置に対してのみアクセスを許可する記憶装置であっ
   て、ホスト装置毎に固有の装置識別情報と、且つ、或い
   はホスト装置に依存しない任意識別情報とを認証管理情
   報として保持する認証管理情報保持手段と、前記ホスト
   装置からの認証要求に対して、当該認証要求情報と前記
   認証管理情報の任意の組み合わせとを用いて認証処理を
   行うアクセス制御手段と、認証を許可したホスト装置か
   ら前記前記認証管理情報に対するアクセス要求情報に基
   づき、前記認証管理情報に対するアクセス処理を行う認
   証管理情報アクセス処理手段とを具備したことを特徴と
   する記憶装置。
6. 【請求項６】 請求項５に記載の記憶装置において、前
   記認証管理情報保持手段は、前記装置識別情報、或いは
   前記任意識別情報毎にユーザデータに対するアクセス権
   許可情報とを更に保持し、前記アクセス制御手段は、前
   記ユーザデータアクセス権許可情報に基づき、前記認証
   を許可したホスト装置のユーザデータに対するアクセス
   権制御を行うことを特徴とする記憶装置。
7. 【請求項７】 請求項５または請求項６に記載の記憶装
   置において、前記認証管理情報保持手段は、前記装置識
   別情報、或い前記任意識別情報毎に前記認証管理情報に
   対するアクセス権許可情報とを更に保持し、前記アクセ
   ス制御手段は、前記認証管理情報に対するアクセス権許
   可情報に基づき、前記認証を許可したホスト装置の前記
   認証管理情報に対するアクセス権制御を行うことを特徴
   とする記憶装置。
8. 【請求項８】 請求項１から請求項７のいずれか１項に
   記載の記憶装置において、前記アクセス制御手段は、前
   記任意識別情報を用いた前記ホスト装置からの認証要求
   を許可した場合、当該認証要求に付加されたアドレス情
   報を前記認証管理情報保持手段に登録し、更に、前記ア
   クセス制御手段は、アクセス要求に付加された前記アド
   レス情報からアクセス要求元ホスト装置を識別し、当該
   ホスト装置に許可した前記アクセス権許可情報に基づく
   アクセス権制御を行うことを特徴とする記憶装置。
9. 【請求項９】 請求項１から請求項８のいずれか１項に
   記載の記憶装置において、当該記憶装置は、認証を許可
   した前記ホスト装置との認証期間の終了を検出する認証
   期間管理手段を更に具備し、更に、当該認証期間管理手
   段は、認証期間の終了検出を契機として、前記認証管理
   情報保持手段に登録した前記装置アドレス情報を削除、
   或いは無効化することを特徴とする記憶装置。
10. 【請求項１０】 請求項１から請求項９のいずれか１項
    に記載の記憶装置において、前記アクセス制御手段は、
    前記任意識別情報毎に認証を許可するホスト装置数を管
    理し、同一の前記任意識別情報を用いて認証を許可する
    ホスト装置数の制御を行うことを特徴とする記憶装置。
11. 【請求項１１】 請求項１から請求項１０のいずれか１
    項に記載の記憶装置に対して認証を要求するホスト装置
    であって、ユーザが入力した任意識別情報を含む認証要
    求情報を生成し、この認証要求情報を用いて前記記憶装
    置に対して認証を要求する認証要求手段を具備すること
    を特徴とするホスト装置。
12. 【請求項１２】 請求項１１に記載のホスト装置におい
    て、前記認証要求手段が、装置識別情報のみを用いた認
    証要求が記憶装置に拒否された場合、或いは、拒否され
    た後にユーザが前記記憶装置に対する認証の要求を指示
    した場合に、ユーザに対して前記任意識別情報の入力を
    要求し、該任意識別情報を用いて前記記憶装置に認証要
    求を行うことを特徴とするホスト装置。