JP2006079194A - ストレージネットワークシステム - Google Patents

Abstract

【課題】 ストレージ装置のアクセス制御水準をサーバ運用環境から独立して設定し、同一ユーザのアクセス権限を運用フェーズに応じて動的に変更する手段を提供する。
【解決手段】 ストレージネットワークシステム１は、サーバ１００、ストレージ装置３００、管理サーバ４００を備える。サーバ１００のデバイス制御処理部１２０は、認証ＩＤ管理部１３０を含む。認証ＩＤ管理部１３０は、現在保持する認証ＩＤを管理する認証ＩＤ管理表１３１を備える。ストレージ装置３００のポート制御部３１０は、アクセス制御部３２０を含む。アクセス制御部３２０は、サーバ１００からのアクセスを許可する判断基準を示すアクセス制御表３２１を備える。管理サーバ４００のアクセス管理部４１０は、サーバ１００からのストレージ装置３００への操作の運用スケジュールである運用スケジュール表４２０、現在許可されている操作を管理するアクセス管理表４２１を備える。
【選択図】 図１

Description

本発明は、サーバおよびストレージ装置を含むストレージネットワークシステムに関し、特に、サーバからのストレージ装置へのアクセス制御に関する。

近年、米国をはじめとする各国において、電子情報に対する不正アクセス防止／プライバシー保護を課する、HIPPA（Health Insurance Portability and Accountability Act） Privacy条項（米国）、HIPPA Security条項（米国）、個人情報保護法（日本国内）といった規制の施行が相次ぎ、このような情報セキュリティに関する規制に準拠することを求める顧客要求がストレージ市場において高まっている。

ところで、情報セキュリティについては、情報技術の発展が極めて速いため、ある時に講じた最高の情報セキュリティ対策が将来に渡っても最高のものとして永続することはなく、サーバやストレージ装置において、継続的にアクセスに関するログ情報を収集し、それによってアクセスを監視しながら、セキュリティを確保していくことが重要であると指摘されている。例えば、これまで、セキュリティ保証と言えば、ハッカーのような外部侵入の防止機能が主であったが、最近は、このような外部侵入に加えてシステム管理者を含めた内部侵入に対する防止機能の必要性も指摘されてきている。システム管理者には、管理作業が困難にならないようにするための配慮から、ストレージ装置間でデータのコピーを行うリモートコピーなどの大きなアクセス権限が与えられる傾向にあり、システム管理者自身がセキュリティ・ホール（セイキュリティの弱点）になりうる状況にある。

従来技術（例えば、特許文献１）では、ストレージ装置の各ポート制御部において、装置内部に登録された、実行を許可するアクセス制御情報（リクエスタＩＤ（アクセス要求発行元ＩＤ）、アクセス・タイプ、デバイスＩＤ）に基づき、当該ポートが受信したアクセス要求を許可するか否かを判定する。リクエスタＩＤとしては、サーバ装置単位のハードウェアＩＤやユーザ・グループ単位のグループＩＤが例示列挙されている。
米国特許第６４８４１７３号明細書（第７欄、第１３欄〜第１５欄）

しかしながら、従来技術には、アクセス制御情報によって保証されるアクセス制御水準が、リクエスタＩＤの単位（サーバやユーザ）などのサーバ運用環境の制約を受けるので、ストレージ装置に対するアクセス制御水準のみをサーバ運用環境とは独立して変更することが困難であるという問題がある。すなわち、データのアクセス制御に関する規制が新たに発行されると、サーバ運用環境（システム全体）も変更しなければならないことになってしまう。

ところで、不正アクセスとは、アクセスを許可されていない者からの電子情報へのアクセスである。また、プライバシー侵害とは、収集、蓄積した電子情報を本来の目的以外に利用、提供することである。例えば、バックアップのためにリモートコピー権限を持つシステム管理者は、バックアップを本来の目的としてリモートコピー権限を持つのであって、情報漏洩を目的としたリモートコピーを行う権限を与えられてはならない。しかし、従来技術ではリクエスタＩＤ単位でデバイスに対するリモートコピー権限が与えられてしまう。つまり、従来技術には、想定用途以外の不正アクセスを防止するために、同一ユーザのアクセス権限を運用スケジュール・フェーズに応じて動的に変更することが困難であるという問題がある。

そこで、本発明は、前記問題に鑑み、ストレージ装置のアクセス制御水準をサーバ運用環境から独立して設定すると共に、想定用途以外の不正アクセスを防止するために、同一ユーザのアクセス権限を運用スケジュール・フェーズに応じて動的に変更する手段を提供することを課題とする。

前記課題を解決する本発明は、少なくとも、アプリケーションプログラムを実行し、それに伴ってデータの入出力に関するアクセスリストを発行するサーバと、サーバから発行されたアクセスリストを受信して、そのアクセスリストに応じてデータの入出力を行うストレージ装置とがネットワークを介して接続されて構成されるストレージネットワークシステムであって、サーバまたはストレージ装置に含まれ、ストレージ装置へのアクセスを要求するリクエスタの特定子、アクセスの種類、アクセスの対象範囲から構成されるアクセスリストに対してストレージ装置の運用時間帯に応じて認証ＩＤを生成し、配布するアクセス管理部と、サーバに含まれ、サーバからストレージ装置に発行するアクセスリストに対してアクセス管理部から獲得した認証ＩＤを付加する認証ＩＤ管理部と、ストレージ装置に含まれ、認証ＩＤが付加されたアクセスリストを受信した場合、アクセス管理部から配布された認証ＩＤ、その認証ＩＤに対応するリクエスタの特定子、アクセスの種類およびアクセスの対象範囲と、アクセスリストに設定された認証ＩＤ、リクエスタの特定子、アクセスの種類およびアクセスの対象範囲とがそれぞれ一致したとき、受信したアクセスリストによるアクセスを許可するアクセス制御部とを備えることを主な特徴とする。

また、本発明は、ストレージネットワークシステムが、サーバからのストレージ装置へのアクセスに関する管理を行う管理サーバを含んで構成され、アクセス管理部が、管理サーバに含まれるように構成してもよい。

なお、請求項における「アクセスリスト」、「リクエスタの特定子」、「アクセスの種類」および「アクセスの対象範囲」は、発明を実施するための最良の形態における「操作リスト」、「ユーザＩＤ」、「データ入出力処理の種類」および「データ入出力処理の対象となるデバイスＩＤ」にそれぞれ相当する。

本発明によれば、ストレージ装置のアクセス制御水準をサーバ運用環境から独立して設定できるので、データのアクセス制御に関する新たな法規制に迅速に対応することができる。また、同一ユーザのアクセス権限を運用スケジュール・フェーズに応じて動的に変更できるので、不正アクセスを防止することができる。

以下、本発明を実施するための最良の形態について図面を参照して詳細に説明する。

≪システムの構成≫
図１は、本発明の実施の形態に係るアクセス制御機能付きストレージ装置を含むストレージネットワークシステムの構成を示す。ストレージネットワークシステム１は、サーバ１００、ストレージ装置３００、管理サーバ４００などがネットワーク２００を介して接続されて構成される。ネットワーク２００は、ＩＰ（Internet Protocol）ネットワークやＦＣ（Fibre Channel）によって実現される。なお、図１では、サーバ１００、ストレージ装置３００および管理サーバ４００が1台ずつ示されているが、少なくとも１つの構成要素が２台以上あるような構成であってもよい。例えば、サーバ１００が２台以上接続された構成であってもよい。

サーバ１００は、アプリケーションプログラム（以下、「ＡＰ」という）１１０を実行し、それに伴ってストレージ装置３００に格納されているデータにアクセスする。そのデータにアクセスするときには、データの入出力に関するコマンドをストレージ装置３００に発行する。サーバ１００は、ＡＰ１１０およびデバイス制御処理部１２０を備える。ＡＰ１１０は、デバイス制御処理部１２０を介してストレージ装置３００にアクセスする。デバイス制御処理部１２０は、ＡＰ１１０に対してストレージ装置３００へのアクセスインタフェースを提供する。デバイス制御処理部１２０は、アクセス制御を実行する認証ＩＤ管理部１３０を含む。認証ＩＤ管理部１３０は、認証ＩＤ管理表１３１を備え、管理サーバ４００から認証ＩＤを獲得する処理や管理サーバ４００に認証ＩＤの失効要求を発行する処理などを行う。認証ＩＤ管理表１３１は、認証ＩＤ管理部１３０が現在保持する認証ＩＤを管理するテーブルである。

ストレージ装置３００は、サーバ１００から発行されたコマンドを受け取って、そのコマンドの内容に応じてデータの入出力を行う。ストレージ装置３００は、ポート制御部３１０（３１０−１、３１０−２）、ディスク制御部３３０、キャッシュメモリ３４０、ハードディスク装置３５０（３５０−１、３５０−２）などが内部ネットワーク３６０を介して接続されて構成される。

ポート制御部３１０（３１０−１、３１０−２）は、サーバ１００からデータ読出し／書込みコマンドを受け取ったり、管理サーバ４００とアクセス制御用管理コマンドをやりとりしたりする。また、ポート制御部３１０（３１０−１、３１０−２）は、サーバ１００から受け取ったデータ読出し／書込みコマンドに応じて、サーバ１００およびネットワーク２００ならびにキャッシュメモリ３４０の間でデータ転送を行う。ディスク制御部３３０は、ハードディスク装置３５０からデータをキャッシュメモリ３４０に読み出したり、ポート制御部３１０がキャッシュメモリ３４０に書き込んだデータを更にハードディスク装置３５０に書き込んだりする。すなわち、ディスク制御部３３０は、キャッシュメモリ３４０およびハードディスク装置３５０の間のデータ転送を制御する。キャッシュメモリ３４０は、ポート制御部から転送されたデータを一時的に格納する。ハードディスク装置３５０（３５０−１、３５０−２）は、キャッシュメモリ３４０から転送されたデータを格納する。内部ネットワーク３６０は、バスやスイッチによって実現され、ストレージ装置３００内の各部間を接続し、その各部間におけるデータ転送を媒介する。

なお、ポート制御部３１０は、サーバ１００からのアクセスの制御を行うアクセス制御部３２０を含む。アクセス制御部３２０は、アクセス制御表３２１を備え、アクセス制御表３２１に基づいてサーバ１００からのアクセスの制御を実行する。アクセス制御表３２１は、サーバ１００からのアクセスを許可するか否かの判断基準を示すテーブルである。

管理サーバ４００は、サーバ１００からのストレージ装置３００へのアクセスに関する管理機能を持ち、アクセス管理部４１０に対応するプログラムを実行することによってその機能を実現する。アクセス管理部４１０は、サーバ１００の認証ＩＤ管理部１３０およびストレージ装置３００のアクセス制御部３１０を統括する。アクセス管理部４１０は、運用スケジュール表４２０、アクセス管理表４２１を備え、認証ＩＤをストレージ装置３００に配布する処理や認証ＩＤ失効コマンドをサーバ１００およびストレージ装置３００に発行する処理などを行う。運用スケジュール表４２０は、サーバ１００からのストレージ装置３００への操作の運用スケジュールを管理するテーブルである。ここで、操作とは、データの読み出し、書き込み、リモートコピーなどのデータ入出力処理のことをいう。アクセス管理表４２１は、現在許可されているサーバ１００からのストレージ装置３００への操作を管理するテーブルである。

≪テーブルの構成≫
図２は、本発明の実施の形態に係るテーブル（表）の構成を示す。図２を参照して、認証ＩＤ管理表１３１、アクセス制御表３２１、運用スケジュール表４２０およびアクセス管理表４２１について説明する。

認証ＩＤ管理表１３１は、サーバ１００の認証ＩＤ管理部１３０が現在保持する認証ＩＤを管理するテーブルである。認証ＩＤ管理表１３１は、操作リスト１３１−１、認証ＩＤ１３１−２およびステータス１３１−３から構成される。

操作リスト１３１−１は、操作を特定する情報であり、ユーザＩＤ、操作内容および失効ポリシーから構成される。ユーザＩＤは、サーバ１００を使用するユーザに固有の番号であり、具体的には、ＡＰ１１０から提供されるものである。図２では、その一例として、“ｕ１”が示されている。操作内容は、実際に行うデータ入出力処理の種類および対象となるデバイスＩＤ（ボリュームに固有の番号）を示すものである。図２に示す“ＲＣ（Ｖｏｌ１，Ｖｏｌ２）”は、操作内容がデバイスＩＤ“Ｖｏｌ１”からの“Ｖｏｌ２”へのリモートコピー（Remote Copy）であることを意味する。また、“Ｒｅａｄ（Ｖｏｌ１）”は、操作内容がデバイスＩＤ“Ｖｏｌ１”からの読み出しであることを意味する。失効ポリシーは、認証ＩＤが失効したときの動作を記述するものである。失効ポリシーとしては、認証ＩＤ失効要求コマンド（詳細は後記する）を受信した際に、実行中の操作が終了するまで失効待ちとするポリシーや実行中の操作を強制終了させるポリシーなどが考えられる。

認証ＩＤ１３１−２は、操作リストに固有な番号であり、管理サーバ４００から配布されたものである。
ステータス１３１−３は、サーバ１００における操作リスト１３１―１の実行状態を示すものである。ステータス１３１−３には、操作リスト１３１―１が実行可能である状態、操作リスト１３１―１を実行中である状態、管理サーバ４００に認証ＩＤ失効要求コマンドを送信してそのリプライを待っている失効要求中の状態、および、管理サーバ４００から認証ＩＤ失効コマンドを受信したとき、操作リスト１３１―１を実行中であったために失効を待っている状態がある。

アクセス制御表３２１は、ストレージ装置３００のポート制御部３１０が現在保持する認証ＩＤを管理するテーブルである。アクセス制御表３２１は、操作リスト３２１−１、認証ＩＤ３２１−２およびステータス３２１−３から構成される。操作リスト３２１−１は、認証ＩＤ管理表１３１の操作リスト１３１−１と同じものである。認証ＩＤ３２１−２は、認証ＩＤ管理表１３１の認証ＩＤ１３１−２と同じものである。ステータス３２１−３は、ストレージ装置３００における操作リスト３２１−１の実行状態を示すものである。ステータス３２１−３には、操作リスト３２１−１が実行可能である状態、操作リスト３２１−１を実行中である状態、および、管理サーバ４００から認証ＩＤ失効コマンドを受信したとき、操作リスト３２１−１を実行中であったために失効を待っている状態がある。

運用スケジュール表４２０は、管理サーバ４００のアクセス管理部４１０がサーバ１００からのストレージ装置３００への操作の運用スケジュールを管理するテーブルである。運用スケジュール表４２０は、運用フェーズ４２０−１および実行可能操作リスト群４２０−２から構成される。運用フェーズ４２０−１は、サーバ１００がストレージ装置３００に対して行う操作の運用スケジュールにおける局面を示すものである。図２では、その一例として、“Current”や“Next”が示されているが、実際には、ＡＰ１１０の実行に伴うデータ入出力（業務中の運用）やデータチェック、バックアップ（夜間、休日の運用）などの局面がある。実行可能操作リスト群４２０−２は、その運用フェーズ４２０−１において実行可能な操作リスト群（１以上の操作リスト）を示すものである。
なお、管理サーバ４００の運用スケジュール表４２０の設定方法としては、（１）ストレージ管理者がストレージ管理ソフトの各種設定により運用スケジュールの情報を作成し、管理サーバ４００に手動で設定する、（２）管理サーバ４００自身がストレージ管理ソフトに各種設定を問い合わせて運用スケジュール表４２０を作成することなどが考えられる。

アクセス管理表４２１は、管理サーバ４００のアクセス管理部４１０が現在許可されているサーバ１００からのストレージ装置３００への操作を管理するテーブルである。アクセス管理表４２１は、操作リスト４２１−１、期限４２１−２、認証ＩＤ４２１−３、配布先認証ＩＤ管理部のＩＤ４２１−４、配布先アクセス制御部のＩＤ４２１−５およびステータス４２１−６から構成される。

操作リスト４２１−１は、認証ＩＤ管理表１３１の操作リスト１３１−１と同じものである。期限４２１−２は、認証ＩＤ４２１−３によって継続して操作リスト４２１−１が実行できる最終の運用フェーズ（有効期限）を示すものである。認証ＩＤ４２１−３は、認証ＩＤ管理表１３１の認証ＩＤ１３１−２と同じものである。配布先認証ＩＤ管理部のＩＤ４２１−４は、認証ＩＤ４２１−３を配布する先のサーバ１００における認証ＩＤ管理部１３０のＩＤを示す。このＩＤは、具体的には、認証ＩＤ管理部１３０のプログラムに対応するポート番号である。

配布先アクセス制御部のＩＤ４２１−５は、認証ＩＤ４２１−３を配布する先のストレージ装置３００におけるアクセス制御部３２０のＩＤを示す。このＩＤは、アクセス制御部３２０に固有の番号であり、ネットワーク２００がＩＰネットワークであれば、アクセス制御部３２０のプログラムに対応するポート番号である。ステータス４２１−６は、管理サーバ４００における操作リスト４２１−１の状態を示すものである。ステータス４２１−６には、サーバ１００に操作リスト４２１−１に対応する認証ＩＤを発行可能な状態、サーバ１００の認証ＩＤ管理部１３０から失効通知コマンド（詳細は後記）を受信することを待っている状態（失効待ち、認証ＩＤ管理部）、および、ストレージ装置３００のアクセス制御部３２０から失効通知コマンド（詳細は後記）を受信することを待っている状態（失効待ち、アクセス制御部）がある。

≪コマンドとリプライの構成≫
図３および図４は、本発明の実施の形態に係るコマンドおよびリプライの構成を示す。まず、図３を参照して、認証ＩＤ獲得コマンド４０１およびそのリプライ４１１、認証ＩＤ配布コマンド４０２およびそのリプライ４１２、ならびに、認証ＩＤ失効コマンド４０３およびそのリプライ４１３について説明する。

認証ＩＤ獲得コマンド４０１は、サーバ１００の認証ＩＤ管理部１３０により、操作リストに対応する認証ＩＤを獲得するために管理サーバ４００のアクセス管理部４１０に対して発行される。認証ＩＤ獲得コマンド４０１は、シーケンスＩＤ４０１−１、認証ＩＤ獲得コマンドＩＤ４０１−２および操作リスト４０１−３から構成される。シーケンスＩＤ４０１−１は、各コマンドを識別するための固有の番号である。他のコマンドも同様である。認証ＩＤ獲得コマンドＩＤ４０１−２は、そのコマンドが認証ＩＤ獲得コマンドであることを示すコマンドＩＤである。操作リスト４０１−３は、認証ＩＤの発行を要求する対象となる操作リストであり、その構成および内容は、図２に示した認証ＩＤ管理表１３１の操作リスト１３１−１と同じである。

認証ＩＤ獲得リプライ４１１は、認証ＩＤ獲得コマンド４０１に対する応答として、管理サーバ４００のアクセス管理部４１０からサーバ１００の認証ＩＤ管理部１３０に返信される。認証ＩＤ獲得リプライ４１１は、シーケンスＩＤ４１１−１および認証ＩＤ４１１−２から構成される。シーケンスＩＤ４１１−１は、各リプライを識別するための固有の番号であり、対応する認証ＩＤ獲得コマンド４０１のシーケンスＩＤ４０１−１と同じ値が設定される。他のリプライも同様である。認証ＩＤ４１１−２は、認証ＩＤ獲得コマンド４０１の操作リスト４０１−３に対して付与された認証ＩＤである。

認証ＩＤ配布コマンド４０２は、管理サーバ４００のアクセス管理部４１０により、認証ＩＤを通知するためにストレージ装置３００のアクセス制御部３２０に対して発行される。認証ＩＤ配布コマンド４０２は、シーケンスＩＤ４０２−１、認証ＩＤ配布コマンドＩＤ４０２−２、操作リスト４０２−３および認証ＩＤ４０２−４から構成される。認証ＩＤ配布コマンドＩＤ４０２−２は、そのコマンドが認証ＩＤ配布コマンドであることを示すコマンドＩＤである。操作リスト４０２−３および認証ＩＤ４０２−４は、管理サーバ４００のアクセス管理部４１０が受信した操作リスト４０１−３およびそれに付与した認証ＩＤ４１１−２に相当する。

認証ＩＤ配布リプライ４１２は、認証ＩＤ配布コマンド４０２に対する応答として、ストレージ装置３００のアクセス制御部３２０から管理サーバ４００のアクセス管理部４１０に返信される。認証ＩＤ配布リプライ４１２は、シーケンスＩＤ４１２−１および登録状態データ４１２−２から構成される。登録状態データ４１２−２は、アクセス制御部３２０が配布された認証ＩＤを登録したか否かを示す。登録状態データ４１２−２には、通常「登録済」が設定されるが、例えば、障害の発生などによって認証ＩＤが登録できないため、「未登録」が設定されることもある。

認証ＩＤ失効コマンド４０３は、管理サーバ４００のアクセス管理部４１０により、認証ＩＤを失効するためにサーバ１００の認証ＩＤ管理部１３０またはストレージ装置３００のアクセス制御部３２０に対して発行される。認証ＩＤ失効コマンド４０３は、シーケンスＩＤ４０３−１、認証ＩＤ失効コマンドＩＤ４０３−２および認証ＩＤ４０３−３から構成される。認証ＩＤ失効コマンドＩＤ４０３−２は、そのコマンドが認証ＩＤ失効コマンドであることを示すコマンドＩＤである。認証ＩＤ４０３−３は、失効の対象となる認証ＩＤである。

認証ＩＤ失効リプライ４１３は、認証ＩＤ失効コマンド４０３に対する応答として、サーバ１００の認証ＩＤ管理部１３０またはストレージ装置３００のアクセス制御部３２０から管理サーバ４００のアクセス管理部４１０に返信される。認証ＩＤ失効リプライ４１３は、シーケンスＩＤ４１３−１およびステータス４１３−２から構成される。ステータス４１３−２は、サーバ１００またはストレージ装置３００における失効の対象である認証ＩＤの状態である。ステータス４１３−２には、失効処理が終了した状態（失効完）および失効処理待ちの状態（失効待ち）がある。

次に、図４を参照して、認証失効要求コマンド４０４およびそのリプライ４１４、ならびに、認証ＩＤ失効通知コマンド４０５およびそのリプライ４１５について説明する。

認証ＩＤ失効要求コマンド４０４は、サーバ１００の認証ＩＤ管理部１３０により、認証ＩＤの失効を要求するために管理サーバ４００のアクセス管理部４１０に対して発行される。認証ＩＤ失効要求コマンド４０４は、シーケンスＩＤ４０４−１、認証ＩＤ失効要求コマンドＩＤ４０４−２および認証ＩＤ４０４−３から構成される。認証ＩＤ失効要求コマンドＩＤ４０４−２は、そのコマンドが認証ＩＤ失効要求コマンドであることを示すコマンドＩＤである。認証ＩＤ４０４−３は、失効要求の対象となる認証ＩＤである。

認証ＩＤ失効要求リプライ４１４は、認証ＩＤ失効要求コマンド４０４に対する応答として、管理サーバ４００のアクセス管理部４１０からサーバ１００の認証ＩＤ管理部１３０に返信される。認証ＩＤ失効要求リプライ４１４は、シーケンスＩＤ４１４−１およびステータス４１４−２から構成される。ステータス４１４−２は、ストレージ装置３００における失効の対象である認証ＩＤの状態である。ステータス４１４−２には、失効処理が終了した状態（失効完）および失効処理が待ち状態であることを示す失効待ち状態がある。

認証ＩＤ失効通知コマンド４０５は、サーバ１００の認証ＩＤ管理部１３０またはストレージ装置３００のアクセス制御部３２０により、失効待ちの状態にあった認証ＩＤを失効させたことを通知するために管理サーバ４００のアクセス管理部４１０に対して発行される。認証ＩＤ失効通知コマンド４０５は、シーケンスＩＤ４０５−１、認証ＩＤ失効通知コマンドＩＤ４０５−２および認証ＩＤ４０５−３から構成される。認証ＩＤ失効通知コマンドＩＤ４０５−２は、そのコマンドが認証ＩＤ失効通知コマンドであることを示すコマンドＩＤである。認証ＩＤ４０５−３は、失効させた認証ＩＤである。

認証ＩＤ失効通知リプライ４１５は、管理サーバ４００のアクセス管理部４１０からサーバ１００の認証ＩＤ管理部１３０またはストレージ装置３００のアクセス制御部３２０に返信される。認証ＩＤ失効通知リプライ４１５は、シーケンスＩＤ４１５−１およびステータス４１５−２から構成される。ステータス４１５−２は、指定された認証ＩＤの失効処理を終了させた状態である。ステータス４１５−２には、認証ＩＤの失効完了状態およびエラー値による異常終了状態などがある。

なお、ネットワーク２００がＩＰネットワークであれば、各コマンドおよび各リプライの送信先を明確にするために、サーバ１００の認証ＩＤ管理部１３０、ストレージ装置３００のアクセス制御部３２０または管理サーバ４００のアクセス管理部４１０のプログラムに対応するポート番号を各コマンドおよび各リプライに指定するようにしてもよい。

≪システムの処理≫
ここで、システム全体の処理の概要について簡単に説明する（適宜図１参照）。各サーバ１００は、ストレージ装置３００に格納されたデータを使用するため（またはデータをストレージ装置３００に格納するためなど）、ストレージ装置３００ヘアクセスする。この場合、まず、各サーバ１００は、ストレージ装置３００ヘアクセスするために必要な情報（例えば、認証に使用するＩＤやパスワード。以下、「認証ＩＤ」という）の情報が自身に格納されているか否かを確認する。
この認証ＩＤの情報が格納されていない場合、各サーバ１００は、管理サーバ４００に対して、認証ＩＤの要求を送信する。管理サーバ４００は、各サーバ１００からの要求に基づいて、認証ＩＤの送付の可否を決定する。具体的には、管理サーバ４００は、各サーバ１００がストレージ装置３００に対して行おうとする処理（データの複製、読み出し、書き込み、リモートコピーなど）がその時点でそのサーバ１００に許可されているか否かを、自身が有する情報（例えば、以下で説明する運用スケジュール表）を用いて判断する。

判断の結果、認証ＩＤの送付が妥当である場合、管理サーバ４００は、要求を送信したサーバ１００用の認証ＩＤと、その認証ＩＤに対応するストレージ装置３００側の認証ＩＤを作成し、サーバ１００およびストレージ装置３００に送信する。
認証ＩＤを受信したサーバ１００は、受信した認証ＩＤを用いてストレージ装置３００へアクセスする。そのアクセスを受信したストレージ装置３００は、管理サーバ４００から受信した認証ＩＤの情報を用いてサーバ１００のアクセス権限を確認（認証）し、データの読み出しなどを行う。

なお、管理サーバ４００は、前記運用スケジュールなどの情報を元に、サーバ１００およびストレージ装置３００に送信した認証ＩＤの有効期限を管理している。具体的には、運用スケジュールなどの情報から不要となった認証ＩＤ（例えば、夜しか認められていないバックアップの処理に関する認証ＩＤで、時間が朝になった場合）について、管理サーバ４００は、各サーバ１００やストレージ装置３００にその不要となった認証ＩＤの削除を指示する。

図５ないし図１５は、本発明の実施の形態に係るストレージネットワークシステムにおけるサーバ、ストレージ装置および管理サーバの処理を示す。また、図１６は、サーバ、ストレージ装置および管理サーバの間におけるコマンドおよびリプライのやりとり、ならびに、それらと図５ないし図１５の各処理との対応関係を示す。なお、図１６の詳細な説明は割愛する。以下、図５ないし図１５を参照しながら、各処理について説明する（適宜図１ないし図４参照）。

図５のフローチャートを参照して、本発明の実施の形態に係る認証ＩＤ獲得処理について説明する。認証ＩＤ獲得処理５００は、サーバ１００の認証ＩＤ管理部１３０と管理サーバ４００のアクセス管理部４１０との間において行われる。

まず、認証ＩＤ管理部１３０は、認証ＩＤ獲得コマンド４０１をアクセス管理部４１０に対して送信する（ステップＳ５０１）。
アクセス管理部４１０は、認証ＩＤ獲得コマンド４０１を受信すると（ステップＳ５１０）、運用スケジュール表４２０を参照して現在の運用フェーズ４２０−１を確認する（ステップＳ５１１）。そして、運用スケジュール表４２０において、現在の運用フェーズ４２０−１（例えば、“Current”）の実行可能操作リスト群４２０−２に受信した認証ＩＤ獲得コマンド４０１が指定する操作リスト４０１−３が含まれているか否かを確認する（ステップＳ５１２）。その操作リストが含まれていない場合には（ステップＳ５１３のＮｏ）、認証ＩＤ獲得リプライ４１１の認証ＩＤ４１１−２にＮｕｌｌを設定して、その認証ＩＤ獲得リプライ４１１を認証ＩＤ管理部１３０に送信する（ステップＳ５１７）。

操作リストが含まれている場合には（ステップＳ５１３のＹｅｓ）、認証ＩＤを生成し（ステップＳ５１４）、アクセス管理表４２１に操作リスト４２１−１、期限４２１−２、生成した認証ＩＤ４２１−３、その認証ＩＤ４２１−３を配布する配布先認証ＩＤ管理部のＩＤ４２１−４および配布先アクセス制御部のＩＤ４２１−５を登録する（ステップＳ５１５）。このとき、ステータス４２１−６には、認証ＩＤを発行可能な状態を設定する。そして、ストレージ装置３００のアクセス制御部３２０に登録した認証ＩＤ４２１−３を配布する処理６００を実行し（ステップＳ５１６）、登録した認証ＩＤ４２１−３を設定した認証ＩＤ獲得リプライ４１１を認証ＩＤ管理部１３０に送信する（ステップＳ５１７）。

認証ＩＤ管理部１３０は、認証ＩＤ獲得リプライ４１１を受信すると（ステップＳ５０２）、認証ＩＤがＮｕｌｌであるか否かを確認する（ステップＳ５０３）。Ｎｕｌｌでない場合には（ステップＳ５０３のＮｏ）、認証ＩＤ管理部１３０が認証ＩＤの獲得を要求した操作リストおよび獲得した認証ＩＤを認証ＩＤ管理表１３１に登録する（ステップＳ５０４）。Ｎｕｌｌである場合には（ステップＳ５０３のＹｅｓ）、認証ＩＤが獲得できなかったということであるので、そのまま処理を終了する。

なお、後記する図７のステップＳ７００において運用フェーズを進行させた場合、以前の運用フェーズで登録されたアクセス管理表４２１がそのまま有効になるときがある。このとき、新たな認証ＩＤの生成（ステップＳ５１４）やアクセス管理表４２１の登録（ステップＳ５１５）は不要になる。

図６のフローチャートを参照して、本発明の実施の形態に係る認証ＩＤ配布処理について説明する。認証ＩＤ配布処理６００は、管理サーバ４００のアクセス管理部４１０とストレージ装置３００のアクセス制御部３２０との間で行われる。

まず、アクセス管理部４１０は、認証ＩＤ配布コマンド４０２をアクセス制御部３２０に送信する（ステップＳ６０１）。アクセス制御部３２０は、認証ＩＤ配布コマンド４０２を受信すると（ステップＳ６１０）、認証ＩＤ配布コマンド４０２が指定した操作リストおよび認証ＩＤをアクセス制御表３２１に登録し（ステップＳ６１１）、登録状態データ４１２−２に登録済を設定した認証ＩＤ配布リプライ４１２をアクセス管理部４１０に送信する（ステップＳ６１２）。アクセス管理部４１０は、認証ＩＤ配布リプライ４１２をアクセス制御部３２０から受信する（ステップＳ６０２）

図７のフローチャートを参照して、本発明の実施の形態に係る認証ＩＤ失効処理について説明する。認証ＩＤ失効処理は、管理サーバ４００のアクセス管理部４１０において実行される。

まず、アクセス管理部４１０は、時間の経過やサーバ１００からのリプライ内容などに応じて、運用スケジュール表４２０上で運用フェーズを“Current”から“Next”に進行させる（ステップＳ７００）。このとき、アクセス管理表４２１の中に“Next”が期限４２１−２内に含まれるものがあれば、ステータス４２１−６に“認証ＩＤ発行可能”を設定する。そして、アクセス管理部４１０は、アクセス管理表４２１において期限が過ぎた（期限が“Current”である）操作リストがあるか否かを確認する（ステップＳ７０１）。期限が過ぎた操作リストがある場合には（ステップＳ７０１のＹｅｓ）、認証ＩＤ管理部１３０が保持する認証ＩＤを失効させるための認証ＩＤ（認証ＩＤ管理部）失効処理８００を実行する（ステップＳ７０２）。認証ＩＤ（認証ＩＤ管理部）失効処理８００を実行した結果、受信した認証ＩＤ失効リプライ４１３のステータス４１３−２が失効待ちであるか否かを確認する（ステップＳ７０３）。失効待ちでない（失効完である）場合には（ステップＳ７０３のＮｏ）、認証ＩＤ（アクセス制御部）失効処理９００を実行する（ステップＳ７０４）。失効待ちである場合には（ステップＳ７０３のＹｅｓ）、アクセス管理表４２１のステータス４２１−６に“失効待ち、認証ＩＤ管理部”を設定し（ステップＳ７１０）、認証ＩＤ（アクセス制御部）失効処理９００を実行する（ステップＳ７０４）。

認証ＩＤ（アクセス制御部）失効処理９００を実行した結果、受信した認証ＩＤ失効リプライ４１３のステータス４１３−２が失効待ちであるか否かを確認する（ステップＳ７０５）。失効待ちである場合には（ステップＳ７０５のＹｅｓ）、アクセス管理表４２１のステータス４２１−６に“失効待ち、アクセス制御部”を設定して（ステップＳ７２０）、処理を終了する。失効待ちでない（失効完である）場合には（ステップＳ７０５のＮｏ）、アクセス管理表４２１のステータス４２１−６が“認証ＩＤ発行可能”であるか否かを確認する（ステップＳ７０６）。これは、操作リスト４２１−１が実行中でないか否かを確認することを意味する。“認証ＩＤ発行可能”である（実行中でない）場合には（ステップＳ７０６のＹｅｓ）、アクセス管理表４２１から操作リストを削除する（ステップＳ７０７）。“認証ＩＤ発行可能”でない（実行中である）場合には（ステップＳ７０６のＮｏ）、そのまま処理を終了する。

図８のフローチャートを参照して、本発明の実施の形態に係る認証ＩＤ（認証ＩＤ管理部）失効処理について説明する。認証ＩＤ（認証ＩＤ管理部）失効処理は、管理サーバ４００のアクセス管理部４１０とサーバ１００の認証ＩＤ管理部１３０との間で行われる。

まず、アクセス管理部４１０は、認証ＩＤ管理部１３０に対して認証ＩＤ失効コマンド４０３を送信する（ステップＳ８０１）。認証ＩＤ管理部１３０は、認証ＩＤ失効コマンド４０３を受信すると（ステップＳ８１０）、認証ＩＤ管理表１３１のステータス１３１−３を参照して、指定された認証ＩＤに該当する操作リストが実行中であるか否かを確認する（ステップＳ８１１）。実行中でない場合には（ステップＳ８１１のＮｏ）、認証ＩＤ管理表１３１から当該認証ＩＤを削除し（ステップＳ８２０）、ステータス４１３−２を“失効完”として認証ＩＤ失効リプライ４１３を作成し（ステップＳ８２１）、アクセス管理部４１０に送信する（ステップＳ８１５）。
指定された認証ＩＤに該当する操作リストが実行中である場合には（ステップＳ８１１のＹｅｓ）、当該操作リストの失効ポリシーが強制終了であるか否かを確認する（ステップＳ８１２）。失効ポリシーが強制終了である場合には（ステップＳ８１２のＹｅｓ）、当該操作リストの実行を強制終了する（ステップＳ８３０）。そして、認証ＩＤ管理表１３１から認証ＩＤを削除し（ステップＳ８２０）、ステータス４１３−２を“失効完”として認証ＩＤ失効リプライ４１３を作成し（ステップＳ８２１）、アクセス管理部４１０に送信する（ステップＳ８１５）。

一方、失効ポリシーが強制終了でない（失効待ちである）場合には（ステップＳ８１２のＮｏ）、認証ＩＤ管理表１３１のステータス１３１−３に“失効待ち”を設定し（ステップＳ８１３）、ステータス４１３−２を“失効待ち”として認証ＩＤ失効リプライ４１３を作成し（ステップＳ８１４）、アクセス管理部４１０に送信する（ステップＳ８１５）。
アクセス管理部４１０は、認証ＩＤ失効リプライ４１３を認証ＩＤ管理部１３０から受信する（ステップＳ８０２）。

図９のフローチャートを参照して、本発明の実施の形態に係る認証ＩＤ（アクセス制御部）失効処理について説明する。認証ＩＤ（アクセス制御部）失効処理９００は、管理サーバ４００のアクセス管理部４１０とストレージ装置３００のアクセス制御部３２０との間で行われる。

まず、アクセス管理部４１０は、アクセス制御部３２０に対して認証ＩＤ失効コマンド４０３を送信する（ステップＳ９０１）。アクセス制御部３２０は、認証ＩＤ失効コマンド４０３を受信すると（ステップＳ９１０）、アクセス制御表３２１のステータス３２１−３を参照して、指定された認証ＩＤに該当する操作リストが実行中であるか否かを確認する（ステップＳ９１１）。実行中でない場合には（ステップＳ９１１のＮｏ）、アクセス制御表３２１から当該認証ＩＤを削除し（ステップＳ９２０）、ステータス４１３−２を“失効完”として認証ＩＤ失効リプライ４１３を作成し（ステップＳ９２１）、アクセス管理部４１０に送信する（ステップＳ９１４）。

指定された認証ＩＤに該当する操作リストが実行中である場合には（ステップＳ９１１のＹｅｓ）、アクセス３２１−３を“失効待ち”に設定し（ステップＳ９１２）、ステータス４１３−２を“失効待ち”として認証ＩＤ失効リプライ４１３を作成し（ステップＳ９１３）、アクセス管理部４１０に送信する（ステップＳ９１４）。
アクセス管理部４１０は、認証ＩＤ失効リプライ４１３をアクセス制御部３２０から受信する（ステップＳ９２２）。

図１０のフローチャートを参照して、本発明の実施の形態に係る認証ＩＤ失効要求処理について説明する。認証ＩＤ失効要求処理は、サーバ１００の認証ＩＤ管理部１３０において実行される。

まず、ＡＰ１１０（例えば、アクセス権限の厳しい決済プログラム）などから認証ＩＤ失効要求を受信すると（ステップＳ１０００）、認証ＩＤ管理部１３０は、認証ＩＤ管理表１３１の指定された認証ＩＤのステータス１３１−３に“失効要求中”を設定し（ステップＳ１００１）、認証ＩＤ失効要求処理１１００を実行する（ステップＳ１００２）。そして、認証ＩＤ失効要求処理１１００を実行した結果、受信した認証ＩＤ失効要求リプライ４１４のステータス４１４−２が“失効待ち”であるか否かを確認する（ステップＳ１１０３）。失効待ちでない（失効完である）場合には（ステップＳ１１０３のＮｏ）、認証ＩＤ管理表１３１から操作リスト１３１−１および認証ＩＤ１３１−２を削除する（ステップＳ１１０４）。失効待ちである場合には（ステップＳ１１０３のＹｅｓ）、そのまま処理を終了する。

図１１のフローチャートを参照して、本発明の実施の形態に係る認証ＩＤ失効要求処理について説明する。認証ＩＤ失効要求処理１１００は、サーバ１００の認証ＩＤ管理部１３０と管理サーバ４００のアクセス管理部４１０との間で行われる。

まず、認証ＩＤ管理部１３０は、認証ＩＤ失効要求コマンド４０４をアクセス管理部４１０に送信する（ステップＳ１１０１）。アクセス管理部４１０は、認証ＩＤ失効要求コマンド４０４を受信すると（ステップＳ１１１０）、認証ＩＤ（アクセス制御部）失効処理９００を実行する（ステップＳ１１１１）。そして、認証ＩＤ（アクセス制御部）失効処理９００を実行した結果、受信した認証ＩＤ失効リプライ４１３のステータス４１３−２が“失効待ち”であるか否かを確認する（ステップＳ１１１２）。失効待ちでない（失効完である）場合には（ステップＳ１１１２のＮｏ）、アクセス管理表４２１から認証ＩＤを削除し（ステップＳ１１２０）、ステータス４１４−２を失効完として認証ＩＤ失効要求リプライ４１４を作成し（ステップＳ１１２１）、認証ＩＤ管理部１３０に送信する（ステップＳ１１１５）。失効待ちである場合には（ステップＳ１１１２のＹｅｓ）、アクセス管理表４２１のステータス４２１−６に“失効待ち、アクセス制御部”を設定し（ステップＳ１１１３）、ステータス４１４−２を失効待ちとして認証ＩＤ失効要求リプライ４１４を作成し（ステップＳ１１１４）、認証ＩＤ失効要求リプライ４１４を認証ＩＤ管理部１３０に送信する（ステップＳ１１１５）。
認証ＩＤ管理部１３０は、認証ＩＤ失効要求リプライ４１４をアクセス管理部４１０から受信する（ステップＳ１１０２）。

図１２のフローチャートを参照して、本発明の実施の形態に係る操作リスト実行処理について説明する。操作リスト実行処理は、サーバ１００のデバイス制御処理部１２０において実行される。

まず、デバイス制御処理部１２０は、ＡＰ１１０から操作リストを受信すると（ステップＳ１２００）、認証ＩＤ管理部１３０に当該操作リストの認証ＩＤが登録されているか否かを問い合わせる（ステップＳ１２０１）。認証ＩＤが登録されていない場合には（ステップＳ１２０１のＮｏ）、認証ＩＤ管理部１３０が認証ＩＤ獲得処理５００を実行する（ステップＳ１２１０）。そして、デバイス制御処理部１２０は、認証ＩＤを獲得した後、操作リストを実行する（ステップＳ１２０３〜Ｓ１２０４）。受信した操作リストの認証ＩＤが登録されている場合には（ステップＳ１２０１のＹｅｓ）、認証ＩＤ管理部１３０に問い合わせて、当該認証ＩＤのステータス１３１−３が実行可であるか否かを確認する（ステップＳ１２０２）。実行可である場合には（ステップＳ１２０２のＹｅｓ）、デバイス制御処理部１２０は操作リストを実行する（ステップＳ１２０３〜Ｓ１２０４）。デバイス制御処理部１２０は、操作リストを実行後、認証ＩＤ管理部１３０に当該認証ＩＤのステータス１３１−３が“失効待ち”になっているか否かを問い合わせる（ステップＳ１２０５）。失効待ちになっていた場合には（ステップＳ１２０５のＹｅｓ）、認証ＩＤ管理部１３０は、認証ＩＤ管理表１３１から認証ＩＤを削除し（ステップＳ１２２０）、認証ＩＤ失効通知処理１３００を実行する（ステップＳ１２２１）。
なお、ステータスが実行可でない場合（ステップＳ１２０２のＮｏ）または認証ＩＤのステータスが失効待ちになっていない場合（ステップＳ１２０５のＮｏ）には、そのまま処理を終了する。

図１３のフローチャートを参照して、本発明の実施の形態に係る認証ＩＤ失効通知処理について説明する。認証ＩＤ失効通知処理１３００は、サーバ１００の認証ＩＤ管理部１３０と管理サーバ４００のアクセス管理部４１０との間で行われる。

まず、認証ＩＤ管理部１３０は、認証ＩＤ失効通知コマンド４０５をアクセス管理部４１０に送信する（ステップＳ１３０１）。アクセス管理部４１０は、認証ＩＤ失効通知コマンド４０５を受信すると（ステップＳ１３１０）、アクセス管理表４２１において、当該認証ＩＤ失効通知コマンド４０５が指定する認証ＩＤのステータス４２１−６から“失効待ち、認証ＩＤ管理部”を削除し（ステップＳ１３１１）、“失効待ち、アクセス制御部”が登録されているか否かを確認する（ステップＳ１３１２）。登録されていない場合には（ステップＳ１３１２のＮｏ）、アクセス制御管理表４２１から認証ＩＤを削除し（ステップＳ１３２０）、ステータス４１５−２を“失効完”と設定した認証ＩＤ失効通知リプライ４１５を作成し（ステップＳ１３２１）、認証ＩＤ管理部１３０に送信する（ステップＳ１３１４）。

一方、“失効待ち、アクセス制御部”が登録されている場合には、ステータス４１５−２を“失効待ち”と設定した認証ＩＤ失効通知リプライ４１５を作成し（ステップＳ１３１３）、認証ＩＤ管理部１３０に送信する（ステップＳ１３１４）。
認証ＩＤ管理部１３０は、認証ＩＤ失効通知リプライ４１５をアクセス管理部４１０から受信する（ステップＳ１３０２）。

図１４のフローチャートを参照して、本発明の実施の形態に係る操作リスト実行処理について説明する。操作リスト実行処理は、ストレージ装置３００のポート制御部３１０において実行される。

まず、ポート制御部３１０は、サーバ１００からデバイス制御処理部１２０から操作リストを受信すると（ステップＳ１４００）、アクセス制御部３２０に当該操作リストの認証ＩＤが登録されているか否かを問い合わせる（ステップＳ１４０１）。アクセス制御表３２１に認証ＩＤが登録されている場合には（ステップＳ１４０１のＹｅｓ）、ステータス３２１−３が実行可であるか否かを確認する（ステップＳ１４０２）。実行可である場合には（ステップＳ１４０２のＹｅｓ）、ポート制御部３１０が操作リストを実行する（ステップＳ１４０３〜Ｓ１４０４）。なお、アクセス制御表３２１に認証ＩＤが登録されていない場合（ステップＳ１４０１のＮｏ）またはステータス３２１−３が実行可でない場合（ステップＳ１４０２のＮｏ）には、操作リストを実行せずに処理を終了する。

ポート制御部３１０は、操作リストを実行した後、アクセス制御部３２０に対して、当該操作リストの認証ＩＤが“失効待ち”と設定されているか否かを確認する（ステップＳ１４０５）。“失効待ち”と設定されている場合には（ステップＳ１４０５のＹｅｓ）、アクセス制御表３２１から認証ＩＤを削除し（ステップＳ１４１０）、認証ＩＤ失効通知処理１５００を実行する（ステップＳ１４１１）。“失効待ち”と設定されていない場合には（ステップＳ１４０５のＮｏ）、処理を終了する。

図１５のフローチャートを参照して、本発明の実施の形態に係る認証ＩＤ失効通知処理について説明する。認証ＩＤ失効通知処理１５００は、ストレージ装置３００のアクセス制御部３２０と管理サーバ４００のアクセス管理部４１０との間で行われる。

まず、アクセス制御部３２０は、認証ＩＤ失効通知コマンド４０５をアクセス管理部４１０に送信する（ステップＳ１５０１）。アクセス管理部４１０は、認証ＩＤ失効通知コマンド４０５を受信すると（ステップＳ１５１０）、アクセス管理表４２１において、認証ＩＤ失効通知コマンド４０５が指定する認証ＩＤのステータス４２１−６から“失効待ち、アクセス制御部”を削除し（ステップＳ１５１１）、“失効待ち、認証ＩＤ管理部”が登録されているか否かを確認する（ステップＳ１５１２）。登録されていない場合には（ステップＳ１５１２のＮｏ）、アクセス制御管理表４２１から認証ＩＤを削除し（ステップＳ１５２０）、ステータス４１５−２を“失効完”と設定した認証ＩＤ失効通知リプライ４１５を作成し（ステップＳ１５２１）、アクセス制御部３２０に送信する（ステップＳ１５１４）。

一方、“失効待ち、認証ＩＤ管理部”が登録されている場合には（ステップＳ１５１２のＹｅｓ）、ステータス４１５−２を“失効待ち”と設定した認証ＩＤ失効通知リプライ４１５を作成し（ステップＳ１５１３）、アクセス制御部３２０に送信する（ステップＳ１５１４）。
アクセス制御部３２０は、認証ＩＤ失効通知リプライ４１５をアクセス管理部４１０から受信する（ステップＳ１５０２）。

以上本発明の実施の形態について説明したが、図１に示す各部で実行されるプログラムをコンピュータによる読み取り可能な記録媒体に記録し、この記録媒体に記録されたプログラムをコンピュータシステムに読み込ませ、実行することにより、本発明の実施の形態に係るストレージネットワークシステムが実現されるものとする。

≪その他の実施の形態≫
以上本発明について好適な実施の形態について一例を示したが、本発明は前記実施の形態に限定されず、本発明の趣旨を逸脱しない範囲で適宜変更が可能である。例えば、以下のような実施の形態が考えられる。
（１）前記実施の形態においては、アクセス管理部４１０が管理サーバ４００に備わっているように記載したが、必ずしも管理サーバ４００になくてもよい。例えば、アクセス管理部４１０がサーバ１００またはストレージ装置３００に備わるように構成してもよい。これによれば、サーバ１００、ネットワーク２００およびストレージ装置３００のシステム構成に対して管理サーバ４００を追加する必要がなくなり、ストレージネットワークシステム１を構築するためのコストを節減することができる。
（２）前記実施の形態においては、操作リストの操作内容の中で、データ入出力処理の対象をデバイスＩＤ（ボリュームに固有の番号）とするように記載したが、ストレージ装置３００において論理的に特定可能なアクセス範囲であればデバイスＩＤでなくてもよい。例えば、ボリューム内のファイル名であってもよいし、ボリューム内の論理ブロックアドレスの範囲であってもよい。これによれば、限定されたアクセス範囲に対応して認証ＩＤを生成することができ、実際に必要なアクセスだけを許可するような厳重なアクセス制御を行うことができる。

本発明の実施の形態に係るアクセス制御機能付きストレージ装置を含むストレージネットワークシステムの構成を示す図である。 本発明の実施の形態に係るテーブル（表）の構成を示す図である。 本発明の実施の形態に係るコマンドおよびリプライの構成を示す図である。 本発明の実施の形態に係るコマンドおよびリプライの構成を示す図である。 本発明の実施の形態に係る認証ＩＤ獲得処理を示すフローチャートである。 本発明の実施の形態に係る認証ＩＤ配布処理を示すフローチャートである。 本発明の実施の形態に係る認証ＩＤ失効処理を示すフローチャートである。 本発明の実施の形態に係る認証ＩＤ（認証ＩＤ管理部）失効処理を示すフローチャートである。 本発明の実施の形態に係る認証ＩＤ（アクセス制御部）失効処理を示すフローチャートである。 本発明の実施の形態に係る認証ＩＤ失効要求処理を示すフローチャートである。 本発明の実施の形態に係る認証ＩＤ失効要求処理を示すフローチャートである。 本発明の実施の形態に係る操作リスト実行処理を示すフローチャートである。 本発明の実施の形態に係る認証ＩＤ失効通知処理を示すフローチャートである。 本発明の実施の形態に係る操作リスト実行処理を示すフローチャートである。 本発明の実施の形態に係る認証ＩＤ失効通知処理を示すフローチャートである。 本発明の実施の形態に係るコマンドおよびリプライのやりとり、ならびに、それらと図５ないし図１５の各処理との対応関係を示す図である。

符号の説明

１ ストレージネットワークシステム
１００ サーバ
１１０ ＡＰ（アプリケーションプログラム）
１２０ デバイス制御処理部
１３０ 認証ＩＤ管理部
１３１ 認証ＩＤ管理表
２００ ネットワーク
３００ ストレージ装置
３１０ ポート制御部
３２０ アクセス制御部
３２１ アクセス制御表
３３０ ディスク制御部
３４０ キャッシュメモリ
３５０ ハードディスク装置
３６０ 内部ネットワーク
４００ 管理サーバ
４１０ アクセス管理部
４２０ 運用スケジュール表
４２１ アクセス管理表

Claims (11)

1. 少なくとも、
   アプリケーションプログラムを実行し、それに伴ってデータの入出力に関するアクセスリストを発行するサーバと、
   前記サーバから発行されたアクセスリストを受信して、そのアクセスリストに応じてデータの入出力を行うストレージ装置と、
   がネットワークを介して接続されて構成されるストレージネットワークシステムであって、
   前記サーバまたは前記ストレージ装置に含まれ、前記ストレージ装置へのアクセスを要求するリクエスタの特定子、アクセスの種類、アクセスの対象範囲から構成されるアクセスリストに対して前記ストレージ装置の運用フェーズに応じて認証ＩＤを生成し、配布するアクセス管理部と、
   前記サーバに含まれ、前記サーバから前記ストレージ装置に発行するアクセスリストに対して前記アクセス管理部から獲得した認証ＩＤを付加する認証ＩＤ管理部と、
   前記ストレージ装置に含まれ、前記認証ＩＤが付加されたアクセスリストを受信した場合、前記アクセス管理部から配布された認証ＩＤ、その認証ＩＤに対応するリクエスタの特定子、アクセスの種類およびアクセスの対象範囲と、前記アクセスリストに設定された認証ＩＤ、リクエスタの特定子、アクセスの種類およびアクセスの対象範囲とがそれぞれ一致したとき、前記受信したアクセスリストによるアクセスを許可するアクセス制御部と、
   を備えることを特徴とするストレージネットワークシステム。
2. 前記ストレージネットワークシステムは、前記サーバからの前記ストレージ装置へのアクセスに関する管理を行う管理サーバを含んで構成され、
   前記アクセス管理部は、前記管理サーバに含まれる
   ことを特徴とする請求項１に記載のストレージネットワークシステム。
3. 前記認証ＩＤ管理部は、
   前記ストレージ装置に発行するアクセスリストに対応する認証ＩＤを保持しないとき、前記アクセスリストを指定した認証ＩＤの獲得要求を前記アクセス管理部に対して送信し、
   前記アクセス管理部は、
   前記認証ＩＤ管理部から前記認証ＩＤの獲得要求を受信した場合、前記ストレージ装置の運用フェーズにおいて実行可能なアクセスリストのグループに前記アクセスリストが含まれているとき、前記アクセスリストに対応する認証ＩＤを生成し、その生成した認証ＩＤを、前記認証ＩＤ管理部と、前記アクセスリストが指定するアクセスの対象範囲を有するストレージ装置のアクセス制御部とに配布する
   ことを特徴とする請求項１または請求項２に記載のストレージネットワークシステム。
4. 前記アクセス管理部は、
   前記認証ＩＤ管理部から受信した認証ＩＤ獲得要求が指定するアクセスリストに対して生成した認証ＩＤ、その認証ＩＤの有効期限、その認証ＩＤの獲得を要求した認証ＩＤ管理部のＩＤ、その認証ＩＤを配布したアクセス制御部のＩＤを保持する
   ことを特徴とする請求項３に記載のストレージネットワークシステム。
5. 前記アクセス管理部は、
   前記ストレージ装置の運用フェーズが旧運用フェーズから新運用フェーズに進行したとき、旧運用フェーズには含まれていたが、新運用フェーズには含まれていないアクセスリストの認証ＩＤを失効し、その認証ＩＤの失効要求を前記認証ＩＤ管理部および前記アクセス制御部に対して送信する
   ことを特徴とする請求項１ないし請求項４のいずれか一項に記載のストレージネットワークシステム。
6. 前記認証ＩＤ管理部は、
   前記アクセス管理部から認証ＩＤの失効要求を受信した場合、前記認証ＩＤに対応するアクセスリストが実行中であったとき、前記アクセスリストの実行を強制終了させるか、または、前記認証ＩＤの失効を前記アクセスリストの実行が終了するまで遅延させるかを選択する
   ことを特徴とする請求項５に記載のストレージネットワークシステム。
7. 前記認証ＩＤ管理部は、
   前記アクセスリストの実行終了後に対応する認証ＩＤのステータスが失効待ちであることを検出したとき、前記認証ＩＤを失効させ、前記アクセス管理部に対して前記認証ＩＤの失効を通知する
   ことを特徴とする請求項６に記載のストレージネットワークシステム。
8. 前記アクセス制御部は、
   前記アクセス管理部から認証ＩＤの失効要求を受信した場合、その認証ＩＤに対応するアクセスリストが実行中であったとき、その認証ＩＤの失効を前記アクセスリストの実行が終了するまで遅延させる
   ことを特徴とする請求項５に記載のストレージネットワークシステム。
9. 前記アクセス制御部は、
   前記アクセスリストの実行終了後に対応する認証ＩＤのステータスが失効待ちであることを検出したとき、前記認証ＩＤを失効させ、前記アクセス管理部に対して前記認証ＩＤの失効を通知する
   ことを特徴とする請求項８に記載のストレージネットワークシステム。
10. 前記認証ＩＤ管理部は、
    前記認証ＩＤの失効要求を前記アクセス管理部以外から受信したとき、前記認証ＩＤの失効要求を前記アクセス管理部に送信し、
    前記アクセス管理部は、
    前記認証ＩＤ管理部から認証ＩＤの失効要求を受信したとき、前記認証ＩＤを失効させ、前記アクセス制御部に対して前記認証ＩＤの失効要求を送信する
    ことを特徴とする請求項１ないし請求項４のいずれか一項に記載のストレージネットワークシステム。
11. 少なくとも、
    アプリケーションプログラムを実行し、それに伴ってデータの入出力に関するアクセスリストを発行するサーバと、
    前記サーバから発行されたアクセスリストを受信して、そのアクセスリストに応じてデータの入出力を行うストレージ装置と、
    前記サーバからの前記ストレージ装置へのアクセスに関する管理を行う管理サーバと、
    がネットワークを介して接続されて構成されるストレージネットワークシステムであって、
    前記サーバは、データの入出力を伴うアプリケーションプログラムと、前記アプリケーションプログラムからの前記ストレージ装置へのアクセス要求に応じて前記アクセスリストを発行するデバイス制御処理部とを備え、
    前記デバイス制御処理部は、前記ストレージ装置へのアクセスを制御する認証ＩＤ管理部を含み、
    前記認証ＩＤ管理部は、前記アクセスリストと、その実行に必要なため前記管理サーバに要求して受信した認証ＩＤとの対応付けを含む認証ＩＤ管理表を保持し、前記ストレージ装置に前記アクセスリストを発行するとき、その認証ＩＤ管理表を参照して、前記アクセスリストに対応する認証ＩＤを付加し、
    前記ストレージ装置は、少なくとも、前記サーバからアクセスリストを受信し、そのアクセスリストに応じてデータ転送を行うポート制御部と、前記ポート制御部から転送されたデータを一時的に格納するキャッシュメモリと、前記キャッシュメモリから転送されたデータを格納するハードディスク装置と、前記キャッシュメモリおよび前記ハードディスク装置の間のデータ転送を制御するディスク制御部とが内部ネットワークを介して接続されて構成され、
    前記ポート制御部は、前記サーバからのアクセスを制御するアクセス制御部を含み、
    前記アクセス制御部は、前記管理サーバから受信したアクセスリストおよびその実行に必要な認証ＩＤの対応付けを含むアクセス制御表を保持し、前記サーバから前記アクセスリストを受信した場合、前記アクセス制御表を参照して、受信したアクセスリストおよびそれに付加された認証ＩＤの組合せがあるとき、そのアクセスリストの実行を許可し、
    前記管理サーバは、運用フェーズに応じて前記サーバからの前記ストレージ装置へのアクセスを管理するアクセス管理部を備え、
    前記アクセス管理部は、所定の運用フェーズにおいて実行可能なアクセスリスト群を示す運用スケジュール表と、前記アクセスリストおよびその実行に必要な認証ＩＤの対応付けを含むアクセス管理表とを保持し、前記サーバからアクセスリストに対する認証ＩＤの要求があった場合、前記運用スケジュール表を参照して、受信したアクセスリストがそのときの運用フェーズにおいて実行可能なアクセスリスト群に含まれているとき、そのアクセスリストに対応する認証ＩＤを生成し、そのアクセスリストおよび認証ＩＤを前記アクセス管理表に設定し、前記ストレージ装置に前記アクセスリストおよび前記認証ＩＤを送信し、前記サーバに前記認証ＩＤを送信する
    ことを特徴とするストレージネットワークシステム。

Images