JP2005251102A

JP2005251102A - アクセス監視・制限システム

Info

Publication number: JP2005251102A
Application number: JP2004064312A
Authority: JP
Inventors: Yasuko Yamade; 泰子山出
Original assignee: Hitachi Information Systems Ltd
Current assignee: Hitachi Information Systems Ltd
Priority date: 2004-03-08
Filing date: 2004-03-08
Publication date: 2005-09-15

Abstract

【課題】マネージャ負荷を低減したアクセスログ監視・制限システムの提供。
【解決手段】複数の業務サーバからなるコンピュータシステムにおけるアクセス状況の監視並びにアクセス制限を行うアクセス監視・制限システムであって、監視並びにアクセス制限を行うサーバにインストールされて当該インストールされたサーバに対するアクセス監視・アクセス制限を行うアクセス監視・制限エージェント１１０と、各サーバに対するアクセス監視並びにアクセス制限の条件をルールとして格納する構成管理エージェント１２０と、アクセス監視・制限の処理結果であるアクセスログやメッセージデータを管理するデータ管理エージェント１３０と、前記アクセスログやデータを分析しリポートとして出力するリポート管理エージェント１４０と、前記複数のエージェントを画面上で制御する管理コンソールコンテナ１００とを備え、前記各エージェントを分散したサーバ上で実行するもの。
【選択図】図１

Description

本発明は、例えばネットワーク経由で顧客サイトの複数のコンピュータシステムを遠隔運用するクライアント・サーバシステムにおけるアクセス監視・制限システムに係り、特に顧客サイトに対するアクセス履歴を監視するアクセス監視・制限システムに関する。

一般に近年のコンピュータシステムは、ある企業や公共団体（顧客）の複数のコンピュータシステムに通信回線網を介して接続したデータセンタ業者が、前記企業のコンピュータシステムの遠隔運用の監視／運用管理／障害管理を行っている。このようなデータセンタ業者は、日々の運用作業や定期／非定期に行われるシステムのバージョンアップ作業／障害の未然防止／障害発生時の迅速な対応等が２４時間体制で実施していることが多い。

このようなコンピュータシステムにおいては、顧客に対してデータセンタ業者が不正行為を行っていないことを証明し、データ漏洩等に関する顧客の不安を取り除いてデータセンタへの信頼を得るために、データセンタ業者の運用や保守担当者による顧客システムへのアクセスを常時監視し、また不必要な場合はアクセスを制限するようなしくみを顧客に提供することが必要である。

一方、前述した企業サイトのコンピュータシステムは、例えば経理システム／人事システム／売上システムの様に複数のコンピュータシステム（具体的にはサーバ）から構成され、各々のシステムが通信を行いながら各担当処理を実行する分散処理システムであることが多いため、前述のアクセス監視対象が複数となり、それぞれのシステムへのアクセス監視制限状況を個別に分析しても実際の状況を把握できない場合が発生していた。

このため従来技術においては、下記特許文献１記載の様に、マネージャがネットワークを介して複数エージェントからログを収集し、正規化したログデータを１つのデータベースに格納する手法が提案されている。また下記特許文献２には、１つの業務システムを構成する、複数ベンダの製品が出力するログ情報を収集し、１つのデータベースにまとめ、それらを業務システム全体として分析をおこなう手法が提案されている。
特開２００２−３６６３９４号公報特開２００３−２１６４５７号公報

前述の従来技術によるアクセス監視・制限システムは、複数システムへのアクセス監視乃至制限状況を一箇所で管理することはできるものの、ログデータの収集および管理機能においてマネージャに常に負荷が集中すると共に、当該マネージャに何らかの不具合が発生した場合に全体のログ管理機能に支障をきたすと言う不具合があった。

本発明の目的は、前記従来技術による不具合を除去することであり、複数システムから構成されるコンピュータシステムの管理機能を分散すると共に一部の障害に対しても冗長性を付与することができるアクセス監視・制限システムを提供することである。

前記目的を達成するために本発明は、複数の業務サーバからなるコンピュータシステムにおけるアクセス状況の監視並びにアクセス制限を行うアクセス監視・制限システムにおいて、前記監視並びにアクセス制限を行うサーバにインストールされて当該インストールされたサーバに対するアクセス監視・アクセス制限を行うアクセス監視・制限エージェントと、前記各サーバに対するアクセス監視並びにアクセス制限の条件をルールとして定義する構成管理エージェントと、アクセス監視・制限の処理結果として出力されたアクセスログやメッセージデータを管理するデータ管理エージェントと、前記アクセスログやデータを分析しリポートとして出力するリポート管理エージェントと、前記複数のエージェントを画面上で制御する管理コンソールとを備え、前記構成管理エージェントとデータ管理エージェントとリポート管理エージェントと管理コンソールとを分散したサーバ上で実行することを第１の特徴とし、このアクセス監視・制限システムにおいて、前記分散した構成管理エージェントとデータ管理エージェントとリポート管理エージェントと管理コンソールとを実行する複数のサーバが、共通の通信制御インタフェイスメッセージを用い、共通のリクエスト送信部とリクエスト受信部と通信制御部とを有する通信制御インタフェイスにより通信を行うことを第２の特徴とする。

本発明によるアクセス監視・制限システムは、従来はマネージャ単体が担っていた管理機能を複数のサーバ分散することによって、マネージャに集中していた負荷を分散することができ、更にアクセス監視・制限エージェントとは別に、構成管理エージェントとデータ管理エージェントとリポート管理エージェントとを別サーバ上に構成したことにより、個々のエージェントのメンテナンス時のデータ管理／リポート作成などのバッチ処理を実行することができる。更に本発明は、１つのエージェントが何等かの不具合によって処理を実行できない場合にも全機能が停止することを防止することができる。

以下、本発明によるアクセス監視・制限システムの一実施形態を図面を参照して詳細に説明する。図１は、本実施形態によるアクセス監視・制限システムの全体構成を示す図、図２は本実施形態によるアクセス監視・制限システムの動作を説明するための図、図３は本実施形態によるアクセス監視・制限システムの通信制御インタフェイスの動作を説明するための図、図４は通信制御インタフェイスメッセージ構成の一例を示す図である。

本実施形態によるアクセス監視・制限システムは、図１に示す如く、監視対象となるコンピュータシステム（各サーバ）にインストールされて当該サーバに対するアクセス監視及びアクセス制限を実装する複数のアクセス監視・制限エージェント１１０と、各サーバに対するアクセス監視並びにアクセス制限の条件等をルールとして定義する構成管理エージェント１２０と、アクセス監視・制限の処理結果として出力されたアクセスログやメッセージデータを管理するデータ管理エージェント１３０と、前記エージェント１３０で管理するアクセスログやデータを分析してリポートとして出力するリポート管理エージェント１４０と、前記各エージェント１２０〜１４０を画面上で制御するための管理コンソールコンテナ１００と、これらエージェント１２０〜１４０や管理コンソールコンテナ１００とを接続する通信ネットワーク１５０から構成される。尚、図示ではアクセス監視・制限エージェント１１０を一台しか例示していないが、実際のシステムにおいては前述した経理システム／人事システム／売上システムの様に複数のコンピュータシステム（サーバ）が存在するものとする。

前記アクセス監視・制限エージェント１１０は、自己エージェントへのログインを制御するログイン処理部１１１と、実際に自己エージェントがインストールされているサーバへのアクセスを監視・制限する監視・制限処理部１１２と、アクセス監視・制限を行う際のルールを格納する監視・制限ルール蓄積部１１３と、前記監視・制限処理部１１２によるアクセス監視・制限結果をログとして格納するアクセスログ蓄積部１１４と、他エージェントまたは管理コンソールコンテナとの間でデータ通信を行う通信制御インタフェイス部１１５とから構成されている。

前記構成管理エージェント１２０は、アクセス監視・制限エージェント１１０のアクセス監視・制限ルール等の構成情報を変更するロジックを備えた構成管理処理部１２１と、構成変更用画面コンポーネント群１２２と、通信制御インタフェイス部１２３から構成される。前記通信制御インタフェイス部１２３は、アクセス監視・制限エージェント１１０の通信制御インタフェイス部１１５と同一構成であり、他のエージェント及びコンテナにおいても同様である。

前記データ管理エージェント１３０は、アクセス監視・制限エージェント１１０の監視・制限ルール蓄積部１１３／アクセスログ蓄積部１１４／後述するリポート管理エージェント１４０で蓄積された各データを圧縮・暗号化する機能や、自サーバあるいは他サーバへ転送する転送機能とを有するデータ管理処理部１３１と、前記各機能のパラメータを設定する画面コンポーネント群１３２と、通信制御インタフェイス部１３３とから構成される。

前記リポート管理エージェント１４０は、アクセス監視・制限エージェント１１０により蓄積されたアクセスログ蓄積部１１４のデータを分析し、報告リポートを作成する機能を有するリポート分析・作成処理部１４１と、当該機能のパラメータを設定する画面コンポーネント群１４２と、通信制御インタフェイス部１４３から構成される。

前記管理コンソールコンテナ１００は、管理コンソールへのログインを制御するコンテナログイン制御部１０１と、他エージェント等から取得した画面コンポーネントを制御するコンソール管理部１０２と、通信制御インタフェイス部１０３から構成される。尚、前記エージェント１１０〜１４０および管理コンソールコンテナ１００は、ネットワークで接続された別サーバへインストールすることもでき、且つ全てを同一サーバ内にインストールすることも可能である。また、同一機能を持つエージェントを複数のサーバに同時にインストールすることもできる。

次に前記構成によるアクセス監視・制限システムの動作を図２以降を参照して説明する。図２は、本実施形態によるアクセス監視・制限エージェント１１０の構成を変更する際、即ち監視対象となるエージェントの指定／監視項目の初期設定乃至変更処理を行う際の動作を説明するための図である。

本システムは、まず管理コンソールコンテナ１００に対して予め登録された管理者によるログインのステップ２０１と、構成変更の対象となるアクセス監視・制限エージェントを指定するステップ２０２と、さらに構成変更処理を実行する構成管理エージェントを起動するステップ２０３とを実行する。

本システムは、次いで前記ステップ２０３で起動した構成管理エージェントの画面コンポーネントがない事又は最新でない事の判定を行うステップ２０４を実行し、該ステップ２０４により管理コンソールコンテナ側のマシンに構成管理エージェントが有する画面コンポーネントが取得されていない事、又は取得済みの画面コンポーネントが構成管理エージェントが有する画面コンポーネントよりも古い事を判定した場合、構成管理エージェント１２０の画面コンポーネント群１２２から画面コンポーネントを取得するステップ２０５と、これを構成変更用画面として表示するステップ２０６と、この構成変更用画面上で、構成情報を変更した後、構成管理エージェント１２０に構成変更を依頼するステップ２０７と、この構成変更依頼を受け付けた構成管理エージェント１２０が対象となるアクセス監視・制限エージェントに対して構成変更を要求するステップ２０８と、該ステップ２０８により構成を変更した後に処理を終了するステップ２０９とを順次実行する。

また前記ステップ２０４において、管理コンソールコンテナ側のマシンに構成管理エージェントが有する画面コンポーネントが取得されている事、又は取得済みの画面コンポーネントが構成管理エージェントが有する画面コンポーネントよりも新しい事を判定した場合、ステップ２０５を実行することなく、ステップ２０６に移行し、ステップ２０６以降の処理を実行する。

尚、前記各エージェント１１０，１２０〜１４０間のリクエスト要求は、画面操作時に実行することも可能であるが、各エージェントにスケジュールを設定し、例えば定期的に他エージェントにリクエスト要求をおこなうなど自律的な動作を行うように指定することも、管理コンソールコンテナ１００からできる。

次に本アクセス監視・制限システムにおける、通信制御インタフェイスの動作を図３及び図４を参照して説明する。本実施形態による通信制御インタフェイスは、リクエスト送信部３００とリクエスト受信部３１０と通信制御部３２０とから構成され、前記リクエスト送信部３００は、エージェント１２０〜１４０の各処理部から他のエージェントからのリクエスト（リクエスト先のエージェント情報、認証情報、リクエスト種別およびパラメータを含む）を受け付けるステップ３０１と、該ステップ３０１により各処理部から受け付けたリクエストから後述する通信制御インタフェイスメッセージを生成するステップ３０２と、この生成したメッセージを通信制御部３２０に送信するステップ３０３とを実行する。このメッセージを受けた通信制御部３２０は、受信した通信制御インタフェイスメッセージを解釈し、しかるべきリクエスト先エージェントに接続し、通信制御インタフェイスメッセージを送信する。

一方、リクエスト先エージェントの通信制御インタフェイスのリクエスト受信部３１０は、リクエスト元エージェントの通信制御インタフェイスのリクエスト送信部３１０からのリクエストを通信制御部３２０を介して通信制御インタフェイスメッセージとして受信するステップ３１１と、この通信制御インタフェイスメッセージを解釈するステップ３１２と、前記解釈に応じて該当する処理部へリクエストを転送するステップ３１３と、このステップ３０３により各処理部でリクエストに応じて実行された処理結果を受け取るステップ３１４と、これを通信制御インタフェイスメッセージのレスポンスデータとして生成するステップ３１５と、通信制御インタフェイスメッセージとして通信制御部に送信するステップ３１６とを実行する。

次いで通信制御部３２０は、前記ステップ３１６により受信した通信制御インタフェイスメッセージを解釈し、しかるべきリクエスト元エージェントに接続し、通信制御インタフェイスメッセージを送信する。なお、前述の動作は非同期通信の場合であり、同期通信の場合は、リクエスト元エージェントに再接続する必要はない。

次いで、本システムは、リクエスト元エージェントの通信制御インタフェイスのリクエスト送信部３００が、前述の様に通信制御部３２０からリクエストの結果を通信制御インタフェイスメッセージとして受信するステップ３０４と、当該通信制御インタフェイスメッセージを解釈するステップ３０５と、リクエスト元の処理部にレスポンスデータを転送するステップ３０６とを実行する。

この様に本実施形態によるアクセス監視・制限システムは、リクエスト送信部３００、リクエスト受信部３１０、通信制御部３２０を共通に実装することにより、各エージェントの処理部が、他のどのエージェントとのデータ送受信を統一した手順で且つ通信制御を意識することなく実現することができる。

図４は、本実施形態によるアクセスログ監視・制限システムに好適な通信制御インタフェイスメッセージ構成の一例を示す図であり、本アクセス監視・制限システムは、前述の図３を用いて説明した手順により通信をおこなう際に図４に示した通信制御インタフェイスメッセージを使用する。この通信制御インタフェイスメッセージは、リクエスト元エージェントの所在を示す情報であるリクエスト元４００と、リクエスト先エージェントの所在を示す情報であるリクエスト先４０１とを含み、前記リクエスト元４００及びリクエスト先４０１は具体的には例えば"http://aaa/"などのエージェントが稼動するマシン情報のみならず、接続するときの通信プロトコルも含めて記述されている。このため前記リクエスト元４００及びリクエスト先４０１を受信した通信制御インタフェイス部１２３等は、リクエスト元４００及びリクエスト先４０１から通信プロトコルを解釈し、その通信プロトコルを使用してリクエスト元からリクエスト先への接続およびリクエスト先からリクエスト元への接続を行うことができる。

更に前記通信制御インタフェイスメッセージは、リクエスト先４０１への接続時の認証情報４０２が含まれ、この認証情報は例えばユーザＩＤやパスワードであり、リクエスト先エージェントは、この認証情報４０２を基にリクエスト元エージェントからのリクエストを受け付けるかどうかを判断することができる。また前記通信制御インタフェイスメッセージは、リクエストコマンド４０３とリクエストデータ４０４とを含み、前記リクエストコマンド４０３は、対象処理部、通信の非同期／同期の区別、リクエストメソッドを識別する情報から構成され、リクエストデータ４０４は、リクエストコマンド４０３によってその内容や構成が異なるが、ＸＭＬ形式等で表現することにより、可変長で表すことができる。

前記リクエストデータ４０４の解釈は、各エージェントの処理部が実行し、通信制御インタフェイスは、リクエストコマンド（４０３）の内容から対象となる処理部とリクエストメソッドを解釈し、当該処理部にリクエストデータ４０４を渡し、リクエストコマンドをコールする迄の処理を行う。このリクエストコマンドの処理結果は、通信制御インタフェイスメッセージ中の、レスポンスデータ４０５に格納されるため、レスポンスデータ４０５はリクエスト時には存在せず、リクエスト先エージェントからリクエスト元エージェントへ通信制御インタフェイスメッセージが返信される際に追加されるものである。前記レスポンスデータ４０５もリクエストデータ４０４と同様にリクエストコマンド４０３によってその内容や構成が異なり、例えば、リクエスト元エージェントからのリクエストがリクエスト先エージェントが保持するデータ要求である場合は、そのデータがレスポンスデータ４０５に格納され、リクエスト元エージェントからのリクエストが処理要求である場合は、正常終了あるいは異常終了といった処理結果がレスポンスデータ４０５に格納される。更にリクエスト元エージェントからのリクエストが画面コンポーネント要求である場合は、画面コンポーネントデータがレスポンスデータ４０５に格納される。

この様に本実施形態によるアクセスログ監視・制限システムは、従来はマネージャ単体が担っていた管理機能を分割し、それぞれが単独のエージェントプログラムとして稼動できるようにすることによって、マネージャに集中していた負荷を分散することができる。また本実施形態によれば、アクセス監視・制限エージェント１１０とは別に、構成管理エージェント１２０とデータ管理エージェント１３０とリポート管理エージェント１４０とを構成したことにより、個々のエージェント１２０〜１４０がメンテナンス時のデータ管理やリポート作成などのバッチ処理を実行することができる。また１つのエージェントが何等かの不具合によって処理を実行できない場合にも全機能が停止するといった危険を防止できる。

更に本実施形態によれば、各エージェントのロジックや画面を配布可能なコンポーネントとして実装することによって、複数のサーバへのエージェントのインストールやインストール済みのエージェントのバージョンアップを容易に行うことができ、更に管理コンソールなどが必要な時だけ他のコンポーネントを取得すればよいといった資源の効率化を図ることができる。更に本実施形態は、各エージェントや管理コンソールが共通の通信制御インタフェイスを実装することにより、他のどのエージェントとのデータ送受信も、統一された手順且つ通信制御を意識することなく通信を行うことができ、更に通信制御処理部とエージェントのデータ処理ロジックを切り離しているため、例えば対応する通信プロトコルを変更する場合もエージェントのデータ処理ロジックをまったく変更せずに行うことができる。
実現可能となる．

本発明による分散エージェント型のアクセスログ監視・制限システムは、例えば複数の公共団体で稼動するシステムをデータセンタ業者から遠隔運用監視する場合、データセンタ業者の設計／運用担当者によるシステムに対するアクセスを監視・運用する際に利用することができ、公共団体に対するデータセンタ業者に対する信頼性を向上することができる。

本発明の一実施形態によるアクセス監視・制限システムの全体構成を示す図。本実施形態によるアクセス監視・制限システムの動作を説明するための図。本実施形態によるアクセス監視・制限システムの通信制御インタフェイスの動作を説明するための図。本実施形態による通信制御インタフェイスメッセージ構成の一例を示す図。

符号の説明

１００：管理コンソールコンテナ、１０１：コンテナログイン制御部、１０２：コンソール管理部、１０３：通信制御インタフェイス部、１１０：アクセス監視・制限エージェント、１１１：ログイン処理部、１１２：監視・制限処理部、１１３：監視・制限ルール蓄積部、１１４：アクセスログ蓄積部、１１５：通信制御インタフェイス部、１２０：構成管理エージェント、１２１：構成管理処理部、１２２：構成変更用画面コンポーネント群、１２３：通信制御インタフェイス部、１３０：データ管理エージェント、１３１：データ管理処理部、１３２：画面コンポーネント群、１３３：通信制御インタフェイス部、１４０：リポート管理エージェント、１４１：リポート分析・作成処理部、１４２：画面コンポーネント群、１４３：通信制御インタフェイス部、１５０：通信ネットワーク、３００：リクエスト送信部、３１０：リクエスト受信部、３１０：リクエスト送信部、３２０：通信制御部、４００：リクエスト元、４０１：リクエスト先、４０２：認証情報、４０３：リクエストコマンド、４０４：リクエストデータ、４０５：レスポンスデータ。

Claims

複数の業務サーバからなるコンピュータシステムにおけるアクセス状況の監視並びにアクセス制限を行うアクセス監視・制限システムであって、前記監視並びにアクセス制限を行うサーバにインストールされて当該インストールされたサーバに対するアクセス監視・アクセス制限を行うアクセス監視・制限エージェントと、前記各サーバに対するアクセス監視並びにアクセス制限の条件をルールとして定義する構成管理エージェントと、アクセス監視・制限の処理結果として出力されたアクセスログやメッセージデータを管理するデータ管理エージェントと、前記アクセスログやデータを分析しリポートとして出力するリポート管理エージェントと、前記複数のエージェントを画面上で制御する管理コンソールとを備え、前記構成管理エージェントとデータ管理エージェントとリポート管理エージェントと管理コンソールとを分散したサーバ上で実行することを特徴とするアクセス監視・制限システム。
前記請求項１記載のアクセス監視・制限システムにおいて、前記分散した構成管理エージェントとデータ管理エージェントとリポート管理エージェントと管理コンソールとを実行する複数のサーバが、共通の通信制御インタフェイスメッセージを用い、共通のリクエスト送信部とリクエスト受信部と通信制御部とを有する通信制御インタフェイスにより通信を行うことを特徴とするアクセス監視・制限システム。