JP2005534104A5 - - Google Patents

Claims (13)

1. クライアントコンピュータシステム及びネットワークデータストア間のデータのセキュアアクセス及び転送をサポートするネットワークストレージアーキテクチャであって、
   ａ）所定のネットワークファイルに対する第１ファイルデータ要求の発行を含むアプリケーションプログラムの実行をサポートするクライアントコンピュータシステム上に設けられ、該アプリケーションに対する認証データを作成するエージェント(agent)と、
   ｂ）前記所定のネットワークファイルのストレージを提供するネットワークデータストアと、
   ｃ）前記第１ファイルデータ要求を受け取るために前記クライアントコンピュータシステムに第１ネットワークを通じて連結可能であり、第２読取要求を供給するために前記ネットワークデータストアに第２ネットワークを通じて連結可能なネットワークアプライアンス(network appliance)とを含み、
   前記ネットワークアプライアンスは、前記認証データを受け取って確認するために前記エージェントと相互運用され、前記第１ファイルデータ要求に対応する第２ファイルデータ要求の生成を可能し、
   前記ネットワークアプライアンスはまた、前記ネットワークデータストアに前記第２ファイルデータ要求を送信するように作動することを特徴とするアーキテクチャ。
2. 前記認証データは、前記アプリケーションプログラムの実行に関するセッションを定義し、
   前記認証データはまた、前記第１ファイルデータ要求と共に前記ネットワークアプライアンスに供給されることを特徴とする請求項１に記載のネットワークストレージアーキテクチャ。
3. 前記ネットワークアプライアンスは、暗号化ユニットを含み、
   前記ネットワークアプライアンスはまた、前記第２ファイルデータ要求と共に転送されたファイルデータの暗号化を提供することを特徴とする請求項２に記載のネットワークストレージアーキテクチャ。
4. 前記ネットワークアプライアンスは、前記所定のネットワークファイルに対応して暗号鍵識別子を含むメタデータのストレージを提供し、
   前記ネットワークアプライアンスはまた、前記第１ファイルデータ要求と共に前記メタデータの検索を選択的に提供することを特徴とする請求項３に記載のネットワークストレージアーキテクチャ。
5. 前記ネットワークアプライアンスは、暗号鍵ストアを含み、
   前記暗号鍵識別子は、前記第２ファイルデータ要求と共に前記暗号化ユニットに供給された暗号鍵を選択することを特徴とする請求項４に記載のネットワークストレージアーキテクチャ。
6. 前記認証データは、前記クライアントコンピュータシステム上で実行される時の前記アプリケーションプログラムに対応する処理識別子、検証されたユーザ識別子、及びグループ識別子を含み、
   前記ネットワークアプライアンスは、複数の所定のアクセスポリシーを記憶するアクセスポリシーストアを更に含み、
   前記ネットワークアプライアンスはまた、前記処理識別子、検証されたユーザ識別子、及びグループ識別子に関して前記アクセスポリシーストアにより記憶された前記複数の所定のアクセスポリシーに対して前記ファイルデータ要求を限定するように作動することを特徴とする請求項５に記載のネットワークストレージアーキテクチャ。
7. ネットワークを通じてクライアントにアクセス可能なネットワークストレージ装置上のファイルデータを保護する方法であって、
   ａ）ネットワークファイルアクセスが所定のクライアントシステムとネットワークファイルデータストアとの間でルーティングされるネットワークポータル(network portal)を確立する段階と、
   ｂ）前記ネットワークファイルデータストアに関し、前記所定のクライアントシステム上で実行されるアプリケーションがネットワークアクセスを認証する、前記ネットワークポータルによってサポートされた段階と、
   ｃ）前記ネットワークファイルデータストアによって記憶された所定のネットワークデータファイルに対して前記所定のクライアントによって供給された第１ネットワークファイル要求を前記ネットワークポータルによってフィルタリングする段階と、を含み、
   前記フィルタリング段階は、第２ネットワークファイル要求を前記ネットワークファイルデータストアに提供するための限定する基準として前記第１ネットワークファイル要求を備えた認証データを評価する段階を含み、
   ｄ）前記所定のクライアント及び前記ネットワークファイルデータストア間の移送のための第２ネットワークファイルデータとしての前記第１ネットワークファイルデータを保護するために、前記第１ネットワークファイル要求によって識別された第１ネットワークファイルデータを前記ネットワークポータルによって処理する段階を更に含むことを特徴とする方法。
8. 前記処理する段階は、複数の論理ブロックとして前記第２ネットワークファイルデータを自律的に暗号化及び暗号解読する段階を含み、
   前記第２ネットワークファイルデータの暗号化は、前記ネットワークファイルデータストアによる該第２ネットワークファイルデータのストレージに対して透明（トランスペアレント）であることを特徴とする請求項７に記載の方法。
9. 前記処理する段階は、前記所定のネットワークデータファイルに関連して記憶された暗号鍵識別子の検索を含みながら、前記第２ネットワークファイルデータを自律的に暗号化及び暗号解読する段階を含んで、
   前記第２ネットワークファイルデータの暗号化は、前記ネットワークファイルデータストアによる該第２ネットワークファイルデータのストレージに対して透明（トランスペアレント）であり、
   前記処理する段階は、更に、前記第２ネットワークファイルデータの暗号化及び暗号解読を可能にするために、前記暗号鍵識別子に対応する暗号鍵の検索を提供することを特徴とする請求項８に記載の方法。
10. 前記ネットワークストアに関して透明（トランスペアレント）にネットワークデータファイルと共に暗号鍵識別子を選択的に記憶する段階を更に含み、
    前記処理する段階は、前記所定のネットワークデータファイルを自律的に暗号化及び暗号解読する段階を可能にするために、前記暗号鍵識別子を前記暗号鍵と関連付ける段階を含むことを特徴とする請求項８に記載の方法。
11. 外部データストアへのセキュアリモートファイルベースアクセスを提供するネットワークファイルアクセスアプライアンスであって、
    ａ）クライアントネットワーク及び外部データストレージネットワークにそれぞれに連結可能な第１及び第２ネットワークインタフェースと、
    ｂ）前記第１及び第２ネットワークインタフェース間に連結され、該第１ネットワークインタフェースに亘って第１ネットワークファイルアクセストランザクションを終了し、該第２ネットワークインタフェースに亘って第２ネットワークファイルアクセストランザクションを開始するネットワークデータプロセッサとを含み、
    前記ネットワークデータプロセッサは、
    前記第１ネットワークファイルアクセストランザクションを備えたアクセス認証データに応答し、所定のアプリケーションプログラムに対して該第１ネットワークファイルアクセストランザクションを確認するように作動する認証コントローラと、
    前記認証コントローラに応答し、前記第１ネットワークファイルアクセストランザクションで移送され第１形式と前記第２ネットワークファイルアクセストランザクションで移送され保護された第２形式との間でネットワークファイルデータの表示(presentation)を変換するように作動するプロトコルプロセッサとを含むことを特徴とするアプライアンス。
12. 前記プロトコルプロセッサは、ブロック暗号化ユニットを含み、
    前記プロトコルプロセッサはまた、前記外部データストレージネットワークに転送されたネットワークファイルデータのブロックを暗号化し、該外部データストレージネットワークから受信したネットワークファイルデータのブロックを暗号解読するように作動することを特徴とする請求項１１に記載のネットワークファイルアクセスアプライアンス。
13. 前記第１ネットワークファイルアクセストランザクションは、目標ネットワークファイル仕様を含み、
    前記ネットワークデータプロセッサは、前記目標ネットワークファイル仕様に基づいて、所定のターゲットファイル暗号化パラメータを前記第１ネットワークファイルアクセストランザクションに関連付けるように作動するポリシーパーサを含み、
    前記ネットワークデータプロセッサはまた、前記外部データストレージネットワークに転送されたネットワークファイルデータのブロックを暗号化する際に前記ターゲットファイル暗号化パラメータに応答することを特徴とする請求項１２に記載のネットワークファイルアクセスアプライアンス。