JP2006268449A - 計算機システム及び記憶装置とコンピュータ・ソフトウエア並びにストレージ制御における管理者の認証方法 - Google Patents

Abstract

【課題】 論理ボリュームの管理操作を行うユーザを認証し、ユーザの権限に応じて論理ボリュームの管理操作命令や管理操作対象を制限することができる計算機システムを提供する。
【解決手段】 計算機４０と、計算機４０とネットワーク３０を介して接続される記憶装置１とからなる計算機システムにおいて、計算機４０は、記憶装置１上の特定の論理ボリューム２１の特定の領域にユーザ認証情報を書き込むよう送信し、記憶装置１は、特定の論理ボリューム２１の特定の領域に格納した計算機４０上のユーザの認証情報をもとに、ユーザを認証する。
【選択図】 図１

Description

本発明は、計算機システム及び記憶装置とコンピュータ・ソフトウエア並びにストレージ制御における管理者の認証方法であり、特にユーザの認証と権限承認を可能とする記憶装置に関するものである。

記憶装置（以下、「ディスクアレイ装置」とも言う）は、ＳＡＮ（Ｓｔｏｒａｇｅ Ａｒｅａ Ｎｅｔｗｏｒｋ）によって計算機（以下、「ホスト」とも言う）と接続される。ＳＡＮを実現する手段として、ＦＣ（Ｆｉｂｒｅ Ｃｈａｎｎｅｌ）を用いたＦＣ−ＳＡＮや、ＴＣＰ／ＩＰおよびｉＳＣＳＩ（ｉｎｔｅｒｎｅｔ ＳＣＳＩ）を用いたＩＰ−ＳＡＮがある。

ディスクアレイ装置上には複数の論理ボリュームが構成されており、ＳＡＮに接続された複数のホストはディスクアレイ装置上のこれら論理ボリュームに対してデータの書き込みや読み出しを行う。

ＦＣ−ＳＡＮやＩＰ−ＳＡＮ上において、ディスクアレイ装置上の論理ボリュームに対するデータの書き込みや読み出しは、ＳＣＳＩコマンドによるデータ転送によって実現されている。

ホストは論理ボリュームに対するデータの書き込みや読み出し等に加えて、障害に備えて論理ボリュームを複製する等、論理ボリュームの管理操作命令をディスクアレイ装置に発行する必要がある。

従来、ディスクアレイ装置に対するこれら論理ボリュームの管理操作命令は、特許文献１に示されるように、特定の論理ボリューム（以下、「制御ボリューム」とも言う）に対するデータの書き込みや読み出しを利用して実現されていた。この方法によれば、制御ボリュームに対するデータの書き込みや読み出しを利用することで、論理ボリュームの管理操作命令のための特別なインタフェースをホストに設ける必要がなく、ＳＡＮ上の様々なプラットフォームのホストが容易に論理ボリュームの管理操作命令をディスクアレイ装置に発行することができる。
特開２０００−１１２６６６号公報

上述した公知技術では、ディスクアレイ装置上の制御ボリュームに対してデータの書き込みや読み出しを行うことができるＳＡＮ上のホスト上のユーザが、ディスクアレイ装置上の複数の論理ボリュームの管理操作を自由に行うことができる。

しかし、悪意を持ったユーザがデータの破壊等の目的で論理ボリュームの管理操作を実行する危険性があるため、ホストの管理者あるいはストレージの管理者といった権限の高いユーザだけに論理ボリュームの管理操作が許可されるべきである。

さらに、ディスクアレイ装置はＳＡＮ上の複数のホストによって利用されており、悪意を持ったＳＡＮ上のあるホスト上のユーザが、ＳＡＮ上の別のホストが利用している論理ボリュームを自由に管理操作することで、別のホストのデータ破壊等を引き起こす危険性がある。そのため、ユーザの権限に応じて管理操作の内容や対象を制限する必要がある。

本発明の目的は、ディスクアレイ装置において、論理ボリュームの管理操作を行うユーザを認証し、ユーザの権限に応じて論理ボリュームの管理操作命令や管理操作対象を制限することができる計算機システム及び記憶装置とコンピュータ・ソフトウエア並びにストレージ制御における管理者の認証方法を提供することである。

上記課題を解決するために、制御ボリュームに対する書き込みや読み出しを利用してユーザの認証や権限の承認を行う機能をディスクアレイ装置に設ける。ホストはディスクアレイ装置上の制御ボリュームの特定の領域に対する書き込みを利用してユーザの認証情報を含む認証要求命令や、論理ボリュームの管理操作命令をディスクアレイ装置に送信する。ディスクアレイ装置はホストから送信されたユーザの認証情報をもとに、ユーザの認証および権限の承認を行う。また、ホストはディスクアレイ装置上の制御ボリュームの特定の領域からの読み出しを利用してユーザの認証結果あるいは論理ボリュームの管理操作結果をディスクアレイ装置から受信する。

すなわち、本発明は、計算機と、該計算機とネットワークを介して接続される記憶装置とからなる計算機システムにおいて、前記計算機は、前記記憶装置上の特定の論理ボリュームの特定の領域にユーザ認証情報を書き込むよう送信し、前記記憶装置は、前記特定の論理ボリュームの特定の領域に格納した前記計算機上のユーザの認証情報をもとに、前記ユーザを認証する計算機システムである。

本発明によれば、ディスクアレイ装置上の制御ボリュームに対する書き込みや読み出しを利用して論理ボリュームの管理操作を行うホスト上のユーザを認証し、ユーザの権限に応じて論理ボリュームの管理操作内容や管理操作対象を承認することが可能となる。

以下、本発明を実施するための最良形態を説明する。なお、これにより本発明が限定されるものではない。

実施例１を説明する。図１に本発明を適用するストレージシステムの構成例を示す。記憶装置１はディスクアレイ装置である。ホスト４０は、通信ネットワーク３０を介して記憶装置１に接続し、記憶装置１に格納されているデータにアクセスする計算機である。通信ネットワーク３０は、ＦＣ−ＳＡＮあるいはＩＰ−ＳＡＮである。

記憶装置１は、ＣＰＵ１０、メモリ１１、接続ポート１２、論理ボリューム群２３を有する。ＣＰＵ１０は、例えばデータアクセス処理を実行するプロセッサである。メモリ１１には、ＣＰＵ１０が実行するプログラムや、当該プログラムで使用されるデータが格納される。接続ポート１２は、記憶装置１を通信ネットワーク３０に接続させるためのネットワークインタフェースである。

論理ボリュームはデータを格納するものであり、記憶装置１は一つ以上の論理ボリュームを有する。論理ボリュームはそれぞれ固有の識別子を付与され、ホスト４０は論理ボリュームの識別子を指定することで、記憶装置１の当該論理ボリュームに格納されたデータにアクセスすることができる。論理ボリュームの一つは、記憶装置１の管理操作を行うためのインタフェースとして使用され、他の論理ボリュームとは区別して制御ボリュームと呼ぶ。本実施例においては、図１に示すように、記憶装置１は制御ボリューム２０と論理ボリューム２１〜２２を有する。

ホスト４０は、ＣＰＵ４００、メモリ４０１、接続ポート４０２を有する。ＣＰＵ４００は、例えば記憶装置１へのデータの入出力処理を実行するプロセッサである。メモリ４０１には、ＣＰＵ４００が実行するプログラムや、当該プログラムで使用されるデータが格納される。接続ポート４０２は、ホスト４０を通信ネットワーク３０に接続させるためのネットワークインタフェースである。

図２は、記憶装置１のメモリ１１に格納されているプログラムおよびデータ、またホスト４０のメモリ４０１に格納されているプログラムおよびデータを示す図である。ホスト４０ではストレージ管理プログラム６０が動作する。ストレージ管理プログラム６０は、例えば記憶装置１の論理ボリューム群２３を管理するためのプログラムである。例えば、ホスト４０上のユーザは、ストレージ管理プログラム６０を使用して、ユーザの認証処理と論理ボリュームの生成や複製といった論理ボリュームの管理操作を実行する。ストレージ管理プログラム６０は、ユーザの認証要求命令や論理ボリュームの管理操作命令を、制御ボリューム２０の特定の領域に対するデータの書き込みとして記憶装置１に送信する。またストレージ管理プログラム６０は、ユーザの認証結果や論理ボリュームの管理操作結果を、制御ボリューム２０の特定の領域からのデータの読み出しとして記憶装置１から受信する。

Ｉ／Ｏリクエスト処理プログラム５０は、記憶装置１の論理ボリューム２０〜２２へのデータの書き込みや格納されたデータの読み出しといったデータへのアクセス要求をホスト４０から受信し、要求内容に応じてホスト４０とデータを送受信するプログラムである。ホスト４０からのデータへのアクセス要求が、制御ボリューム２０の特定の領域に対する書き込みであった場合、Ｉ／Ｏリクエスト処理プログラム５０は当該アクセスをユーザの認証要求命令や論理ボリュームの管理操作命令であると判断して、認証プログラム５１に受信データを渡す。また、ホスト４０からのデータへのアクセス要求が、制御ボリューム２０の特定の領域に対する読み出しであった場合、Ｉ／Ｏリクエスト処理プログラム５０は当該アクセスをユーザの認証結果や論理ボリュームの管理操作結果の要求であると判断して、当該領域に格納されたデータをホスト４０に送信する。ホスト４０から受け取る受信データの形式や、ホスト４０に送信する送信データの形式については、図４を用いて後ほど説明する。

認証プログラム５１は、Ｉ／Ｏリクエスト処理プログラム５０から受信データを受け取り、中に含まれるユーザの認証情報を検証するプログラムである。認証プログラム５１がユーザの認証情報を検証する際には、認証情報テーブル５４を使用して当該ユーザの認証情報を参照する。認証情報テーブル５４の形式および認証情報の検証方法については、図５および図９を用いて後ほど説明する。

承認プログラム５２は、認証プログラム５１からデータを受け取り、中に含まれる論理ボリュームの管理操作命令の実行権限を検証するプログラムである。承認プログラム５２がユーザによる管理操作命令の実行権限を検証する際には、承認情報テーブル５５を使用して当該ユーザに許可された管理操作命令と管理操作対象を参照する。承認情報テーブル５５の形式およびユーザの実行権限の検証方法については、図６および図１０を用いて後ほど説明する。

ボリューム制御プログラム５３は、例えば論理ボリュームの生成や複製、フォーマットといった論理ボリュームの管理操作を実行するプログラムである。

認証情報テーブル５４には、ユーザの認証情報が含まれており、認証プログラム５１がユーザの認証情報を検証する際に参照する。認証情報テーブル５４に含まれるユーザの認証情報は、例えば記憶装置１の管理者によって事前に登録されるものや、認証プログラム５１によって動的に登録されるものである。

承認情報テーブル５５には、ユーザに許可された論理ボリュームの管理操作命令と管理操作対象が含まれており、承認プログラム５２がユーザの実行権限を検証する際に参照する。承認情報テーブル５５に含まれる情報は、例えば記憶装置１の管理者によって事前に登録されるものである。

設定情報テーブル５６には、例えばセッションＩＤの有効期限といった認証プログラム５１や承認プログラム５２の動作に必要な設定パラメータが含まれており、認証プログラム５１や承認プログラム５２が参照する。設定情報テーブル５６に含まれる設定パラメータは、例えば記憶装置１の管理者によって事前に登録されるものである。

図３は記憶装置上１の制御ボリューム２０のアドレス空間の一例を示した図である。アドレス空間７０には、管理操作命令書き込み領域７１と管理操作結果読み出し領域７２を有する。ホスト４０上のストレージ管理プログラム６０は、ユーザによる認証要求命令や論理ボリュームの管理操作命令を、制御ボリューム２０の管理操作命令書き込み領域７１に対するデータの書き込みとして記憶装置１に送信する。またストレージ管理プログラム６０は、ユーザの認証結果や論理ボリュームの管理操作結果を、制御ボリューム２０の管理操作結果読み出し領域７２からのデータの読み出しとして記憶装置１から受信する。

図４（ａ）は、ホスト上のストレージ管理プログラム６０が記憶装置１の制御ボリューム２０に対して送信する書き込みコマンドや読み出しコマンドの一例をＳＣＳＩ規格のコマンドフレームのフォーマットで示したものである。オペレーションコード８０には、ＳＣＳＩコマンドの内容がセットされる。例えば、書き込みコマンドや読み出しコマンドがセットされる。ＬＵＮ８１には、ＳＣＳＩコマンドの実行対象となる論理ボリュームの識別子がセットされる。ホスト４０上のストレージ管理プログラム６０が記憶装置１の制御ボリューム２０に対してデータを送信する時は、ＬＵＮ８１に制御ボリューム２０の識別子がセットされる。論理アドレス８２には、データの書き込みあるいは読み出しを行う位置として、論理ボリューム上のデータ格納位置のアドレスがセットされる。ホスト４０上のストレージ管理プログラム６０がユーザの認証要求命令や論理ボリュームの管理操作命令を行う時は、論理アドレス８２に制御ボリューム２０の管理操作命令書き込み領域７１のアドレスがセットされる。ホスト４０上のストレージ管理プログラム６０がユーザの認証結果や論理ボリュームの管理操作結果を読み出す時は、論理アドレス８２に制御ボリューム２０の管理操作結果読み出し領域７２のアドレスがセットされる。転送データ長８３には、当該コマンドフレームに続いて転送される書き込みあるいは読み出しデータのデータ長がセットされる。

図４（ｂ）は、ホスト４０上のストレージ管理プログラム６０が記憶装置１に送信するユーザの認証要求命令や論理ボリュームの管理操作命令のデータフォーマットの一例を示したものである。当該データは、制御ボリューム２０に対する書き込みデータとして、図４（ａ）に示したコマンドフレームに続いてホスト４０から記憶装置１に送信されるものである。ユーザ名８４は、認証あるいは管理操作を要求したユーザの識別子を示す。認証情報タイプ８５は、ホスト４０から記憶装置１に送信された当該ユーザの認証情報の種類を示す。例えば、パスワード、デジタル証明書、デジタル署名、セッションＩＤなど、認証に使用する情報の種類を示す。認証情報８６は、ホスト４０から記憶装置１に送信される当該ユーザの認証情報を示す。例えば、パスワードのハッシュ値、デジタル証明書、デジタル署名、セッションＩＤなど、認証に使用する情報を示す。管理操作命令８７は、当該ユーザによる管理操作命令の内容を示す。例えば、論理ボリュームの生成、論理ボリュームの複製、論理ボリュームのフォーマット、管理操作終了要求など、管理操作の内容を示す。管理操作パラメータ８８は、当該ユーザによる管理操作命令に関連するパラメータ情報を示す。例えば、管理操作対象の論理ボリュームの識別子など、管理操作に関連するパラメータ情報を示す。

図４（ｃ）は、ホスト４０上のストレージ管理プログラム６０が記憶装置１から受信するユーザの認証結果や論理ボリュームの管理操作結果のデータフォーマットの一例を示したものである。当該データは、制御ボリューム２０からの読み出しデータとして、図４（ａ）に示したコマンドフレームに対する応答として記憶装置１からホスト４０に送信されるものである。悪意を持った第三者が制御ボリューム２０の管理操作結果読み出し領域７２に対する読み出しコマンドを記憶装置１に送信して、当該データを読み出す危険性があるため、当該データに例えばセッションＩＤ等の第三者に知られてはならない情報を含める場合には暗号化によって情報を保護する。ユーザ名８９は、認証あるいは管理操作を要求したユーザの識別子を示す。結果情報９０は、当該ユーザによる認証結果や論理ボリュームの管理操作結果の内容を示す。例えば、認証の成功や失敗、論理ボリュームの管理操作の成功や失敗などを示す。結果パラメータ９１は、当該ユーザによる認証結果や論理ボリュームの管理操作結果に関連するパラメータ情報を示す。例えば、認証の失敗の理由、ユーザのパスワードで暗号化されたセッションＩＤ、論理ボリュームの管理操作の失敗の理由などを示す。

図４（ｄ）は、承認プログラム５２が論理ボリュームの管理操作命令を処理する際にエラー状態を一時的に保存するために使用するエラーフラグのデータフォーマットの一例を示したものである。論理ボリュームの管理操作命令処理フローについては、図１０（ｂ）を用いて後ほど説明する。ユーザエラーフラグ９２は、承認プログラム５２が承認情報テーブル５５から読み出した行に含まれるユーザ名２００と、論理ボリュームの管理操作命令に含まれるユーザ名８４が一致しなかった場合にセットされるフラグである。管理操作命令エラーフラグ９３は、承認プログラム５２が承認情報テーブル５５から読み出した行に含まれる管理操作命令２０１と、論理ボリュームの管理操作命令に含まれる管理操作命令８７が一致しなかった場合にセットされるフラグである。管理操作対象エラーフラグ９４は、承認プログラム５２が承認情報テーブル５５から読み出した行に含まれる管理操作命令２０２と、論理ボリュームの管理操作命令に含まれる管理操作パラメータ８８が一致しなかった場合にセットされるフラグである。

図５は、認証情報テーブル５４の一例を示す図である。認証情報テーブル５４には、ユーザ毎に、そのユーザに対して設定されている認証関連情報が格納される。ユーザの認証関連情報には以下のようなものがある。ユーザ名１００は、当該ユーザの識別子を示す。認証情報タイプ１０１は、当該ユーザに設定されている認証情報の種類を示す。例えば、パスワード、デジタル証明書など、認証情報の種類を示す。認証情報１０２は、当該ユーザに設定されている認証情報を示す。例えば、パスワードの値、デジタル証明書のデータなど、認証情報を示す。セッションＩＤ１０３は、認証プログラム５１によって当該ユーザに動的に割り当てられたセッションＩＤを示す。セッションＩＤ生成時刻１０４は、認証プログラム５１が当該ユーザに当該セッションＩＤを割り当てた時刻を示す。

図６は、承認情報テーブル５５の一例を示す図である。承認情報テーブル５５には、ユーザ毎に、そのユーザに対して設定されている権限関連情報が格納される。ユーザの権限関連情報には以下のようなものがある。ユーザ名２００は、当該ユーザの識別子を示す。管理操作命令２０１は、当該ユーザが実行することを許可されている管理操作命令を示す。例えば、論理ボリュームの生成、複製、フォーマットなど、論理ボリュームの管理操作命令を示す。管理操作対象２０２は、当該ユーザが管理操作命令２０１を適用することを許可されている管理操作対象を示す。例えば、論理ボリュームの識別子など、管理操作を行う対象を示す。

図７は、設定情報テーブル５６の一例を示す図である。設定情報テーブル５６には、認証プログラム５１や承認プログラム５２の動作に必要な設定パラメータが格納される。設定パラメータ名３００は、設定パラメータの識別子である。設定パラメータ値３０１は、設定パラメータの値である。本実施例においては、設定情報テーブル５６にセッションＩＤ有効期限が登録されている。

図８（ａ）は、本実施例における、Ｉ／Ｏリクエスト処理プログラム５０の書き込みコマンド及び読み出しコマンドのディスパッチ処理手順の一例を示すフローチャートである。Ｉ／Ｏリクエスト処理プログラム５０は、記憶装置１が起動する時に起動し、ディスパッチ処理を開始する。

ステップ１０００において、Ｉ／Ｏリクエスト処理プログラム５０は、ホストから送信されたコマンドフレームを受信する。Ｉ／Ｏリクエスト処理プログラム５０は、コマンドフレーム中のオペレーションコード８０を確認することで、コマンドが書き込みコマンドであるかどうかを判断する（ステップ１００１）。

ステップ１００１において、ホストから受信したコマンドが書き込みコマンドであると判断された場合、Ｉ／Ｏリクエスト処理プログラム５０は、書き込みコマンド処理を実行する（ステップ１００２）。書き込みコマンド処理については、図８（ｂ）を用いて後ほど説明する。

ステップ１００１において、ホストから受信したコマンドが書き込みコマンドではないと判断された場合、Ｉ／Ｏリクエスト処理プログラム５０は、コマンドフレーム中のオペレーションコード８０を確認することで、コマンドが読み出しコマンドであるかどうかを判断する（ステップ１００３）。

ステップ１００３において、ホストから受信したコマンドが読み出しコマンドであると判断された場合、Ｉ／Ｏリクエスト処理プログラム５０は、読み出しコマンド処理を実行する（ステップ１００４）。読み出しコマンド処理については、図８（ｃ）を用いて後ほど説明する。

ステップ１００３において、ホストから受信したコマンドが読み出しコマンドではないと判断された場合、Ｉ／Ｏリクエスト処理プログラム５０は、書き込みあるいは読み出しコマンド以外のコマンド処理を行う（ステップ１００５）。

図８（ｂ）は、本実施例における、Ｉ／Ｏリクエスト処理プログラム５０の書き込みコマンド処理手順の一例を示すフローチャートである。Ｉ／Ｏリクエスト処理プログラム５０は、コマンドフレーム中のＬＵＮ８１を確認し、ＬＵＮ８１の値が制御ボリューム２０の識別子に一致するかどうかを判断する（ステップ１１００）。

ステップ１１００において、コマンドフレーム中のＬＵＮ８１が制御ボリューム２０の識別子に一致すると判断された場合、Ｉ／Ｏリクエスト処理プログラム５０はコマンドフレームの論理アドレス８２を確認し、論理アドレスが制御ボリューム２０の管理操作命令書き込み領域７１に一致するかどうかを判断する（ステップ１１０２）。

ステップ１１０２において、コマンドフレーム中の論理アドレス８２が制御ボリューム２０の管理操作命令書き込み領域７１に一致すると判断された場合、Ｉ／Ｏリクエスト処理プログラム５０は、当該コマンドを認証要求命令あるいは論理ボリュームの管理操作命令であると判断して、当該コマンドフレームに続いてホスト４０から記憶装置１に送信されるデータを受信してメモリに格納し、認証プログラム５１を起動して当該データのメモリ上の位置を示すポインタを認証プログラム５１に渡して書き込みコマンド処理を終了する（ステップ１１０３）。

ステップ１１０２において、コマンドフレーム中の論理アドレス８２が制御ボリューム２０の管理操作命令書き込み領域７１に一致しないと判断された場合、Ｉ／Ｏリクエスト処理プログラム５０はホスト４０に書き込みエラーを送信する（ステップ１１０４）。

ステップ１１００において、コマンドフレーム中のＬＵＮ８１が制御ボリューム２０の識別子に一致しないと判断された場合、Ｉ／Ｏリクエスト処理プログラム５０は、当該コマンドを通常の書き込みコマンドであると判断して、当該コマンドフレームに続いてホスト４０から記憶装置１に送信されるデータを通常の書き込みデータとして処理して、書き込みコマンド処理を終了する（ステップ１１０１）。

図８（ｃ）は、本実施例における、Ｉ／Ｏリクエスト処理プログラム５０の読み出しコマンド処理手順の一例を示すフローチャートである。Ｉ／Ｏリクエスト処理プログラム５０は、コマンドフレーム中のＬＵＮ８１を確認し、ＬＵＮ８１の値が制御ボリューム２０の識別子に一致するかどうかを判断する（ステップ１２００）。

ステップ１２００において、コマンドフレーム中のＬＵＮ８１が制御ボリューム２０の識別子に一致すると判断された場合、Ｉ／Ｏリクエスト処理プログラム５０はコマンドフレームの論理アドレス８２を確認し、論理アドレスが制御ボリューム２０の管理操作結果読み出し領域７２に一致するかどうかを判断する（ステップ１２０２）。

ステップ１２０２において、コマンドフレーム中の論理アドレス８２が制御ボリューム２０の管理操作結果読み出し領域７２に一致すると判断された場合、Ｉ／Ｏリクエスト処理プログラム５０は、当該コマンドを認証結果あるいは論理ボリュームの管理操作結果の要求であると判断して、当該コマンドフレームに続いて管理操作結果読み出し領域７２のデータをホスト４０に送信し、読み出しコマンド処理を終了する（ステップ１２０３）。

ステップ１２０２において、コマンドフレーム中の論理アドレス８２が制御ボリューム２０の管理操作結果読み出し領域７２に一致しないと判断された場合、Ｉ／Ｏリクエスト処理プログラム５０はホスト４０に読み出しエラーを送信する（ステップ１２０４）。

ステップ１２００において、コマンドフレーム中のＬＵＮ８１が制御ボリューム２０の識別子に一致しないと判断された場合、Ｉ／Ｏリクエスト処理プログラム５０は、当該コマンドを通常の読み出しコマンドであると判断して、当該コマンドフレームに続いて記憶装置１からホスト４０に送信されるデータを通常の読み出しデータとして処理し（ステップ１２０１）、読み出しコマンド処理を終了する。

図９（ａ）は、本実施例における、認証プログラム５１のセッションＩＤ処理手順の一例を示すフローチャートである。認証プログラム５１は、Ｉ／Ｏリクエスト処理プログラム５０によって起動され、設定情報テーブル５６から例えばセッションＩＤ有効期限などの設定パラメータを読み出す（ステップ１３００）。

認証プログラム５１は、Ｉ／Ｏリクエスト処理プログラム５０からユーザの認証要求命令あるいは論理ボリュームの管理操作命令が格納されたデータのメモリ上での位置を指し示すポインタを受け取り、当該データ中のユーザ名８４をキーとして認証情報テーブル５４を検索する（ステップ１３０１）。

認証プログラム５１は、当該データ中のユーザ名８４をキーとして認証情報テーブル５４を検索して該当する行を取り出すことにより、当該データ中のユーザ名８４が認証情報テーブル５４中に存在するかどうかを判断する（ステップ１３０２）。

ステップ１３０２において、当該データ中のユーザ名８４が認証情報テーブル５４に存在すると判断された場合、認証プログラム５１は当該データ中の認証情報タイプ８５を参照して、当該データに含まれている認証情報８６がセッションＩＤであるかどうかを判断する（ステップ１３０３）。

ステップ１３０２において、当該データ中のユーザ名８４が認証情報テーブル５４に存在しないと判断された場合、認証プログラム５１は、認証結果を図４（ｃ）に示したデータフォーマットに従って管理操作結果読み出し領域７２にセットし（ステップ１３０８）、終了する。認証結果として例えば、ユーザ名８９には当該データ中のユーザ名８４が、結果情報９０には認証失敗を示すエラー情報が、結果パラメータ９１にはユーザ名が存在しないことを示すエラー理由を格納する。

ステップ１３０３において、当該データ中の認証情報８６がセッションＩＤであると判断された場合、認証プログラム５１は、当該データ中の認証情報８６と、ステップ１３０２において認証情報テーブル５４から取り出した行に含まれるセッションＩＤ１０３が一致するかどうか確認することにより、当該データ中のセッションＩＤが正しいかどうかを判断する（ステップ１３０４）。

ステップ１３０４において、当該データ中のセッションＩＤが正しいと判断された場合、認証プログラム５１は、ステップ１３０２において認証情報テーブル５４から取り出した行に含まれるセッションＩＤ生成時刻１０４を参照する。認証プログラム５１は、現在の時刻から当該セッションＩＤ生成時刻１０４を減算し、減算により得られた値がステップ１３００において設定情報テーブル５６から読み出したセッションＩＤ有効期限より小さいかどうかを比較することによって、当該データ中のセッションＩＤが有効期限内かどうかを判断する（ステップ１３０５）。

ステップ１３０５において、当該データ中のセッションＩＤが有効期限内であると判断された場合、認証プログラム５１は、承認プログラム５２を起動して、当該データのメモリ上での位置を指し示すポインタを承認プログラム５２に渡し（ステップ１３０６）、終了する。承認プログラムの動作については、図１０（ａ）および図１０（ｂ）を用いて説明する。

ステップ１３０５において、当該データ中のセッションＩＤが有効期限内ではないと判断された場合、認証プログラム５１は当該データ中のユーザ名８４をキーとして認証情報テーブル５４中を検索し、該当する行のセッションＩＤ１０３とセッションＩＤ生成時刻１０４をクリアする（ステップ１３０７）。さらに認証プログラム５１は、認証結果を図４（ｃ）に示したデータフォーマットに従って管理操作結果読み出し領域７２に格納し（ステップ１３０８）、終了する。認証結果として例えば、ユーザ名８９には当該データ中のユーザ名８４を、結果情報９０には認証失敗を示すエラー情報を、結果パラメータ９１にはセッションＩＤが有効期限切れであることを示すエラー理由をそれぞれ格納する。

ステップ１３０３において、当該データ中の認証情報８６がセッションＩＤではないと判断された場合、認証プログラム５１は認証情報タイプ８５に応じた認証処理フローを実行し（ステップ１３０９）、終了する。認証処理フローについては、図９（ｂ）を用いて次に説明する。

図９（ｂ）は、認証情報タイプ８５がパスワードである場合の、認証プログラム５１による認証処理手順の一例を示すフローチャートである。認証プログラム５１は、ステップ１３０２において認証情報テーブル５４から取り出した行に含まれる認証情報１０２を取り出す（ステップ１３１０）。

認証プログラム５１は、認証情報１０２に格納されたパスワードのハッシュ値を算出し、当該データ中の認証情報８６の値と比較する（ステップ１３１１）。認証プログラム５１は、比較結果が一致するかどうかによって、認証が成功であるかどうかを判断する（ステップ１３１２）。

ステップ１３１２において、認証が成功であると判断された場合、認証プログラム５１はセッションＩＤとしてランダムな値を生成する。次に認証プログラム５１は、当該データ中のユーザ名８４をキーにして認証情報テーブル５４を検索し、該当する行のセッションＩＤ１０３に生成したセッションＩＤの値をセットし、セッションＩＤ生成時刻１０４にセッションＩＤを生成した時刻をセットする（ステップ１３０８）。

ステップ１３１４において、認証プログラム５１は、ステップ１３０２において認証情報テーブル５４から取り出した行に含まれる認証情報１０２を使用して、ステップ１３１３において生成したセッションＩＤを暗号化する。次に認証プログラム５１は、認証結果を図４（ｃ）に示したデータフォーマットに従って管理操作結果読み出し領域７２にセットし（ステップ１３１４）、終了する。認証結果として例えば、ユーザ名８９には当該データ中のユーザ名８４を、結果情報９０には認証成功を示す結果情報を、結果パラメータ９１には暗号化されたセッションＩＤをそれぞれ格納する。セッションＩＤを暗号化する理由は、例えば認証要求命令を行ったユーザとは異なる第三者が管理操作結果読み出し領域７２に格納されたセッションＩＤを読み出して当該ユーザになりすますのを防ぐためである。

ステップ１３１２において、認証が失敗であると判断された場合、認証プログラム５１は、認証結果を図４（ｃ）に示したデータフォーマットに従って管理操作結果読み出し領域７２にセットし（ステップ１３１５）、終了する。認証結果として例えば、ユーザ名８９には当該データ中のユーザ名８４を、結果情報９０には認証失敗を示すエラー情報を、結果パラメータ９１には認証情報が不正であったことを示すエラー理由をそれぞれ格納する。

図１０（ａ）は、本実施例における、承認プログラム５２による管理操作終了要求の処理手順の一例を示すフローチャートである。承認プログラム５２は、認証プログラム５１によって起動され、認証プログラム５１から論理ボリュームの管理操作命令が格納されたデータのメモリ上での位置を指し示すポインタを受け取る（ステップ１４００）。承認プログラム５２は、当該データ中の管理操作命令８７が管理操作終了要求であるかどうかを判断する（ステップ１４０１）。

ステップ１４０１において、当該データ中の管理操作命令８７が管理操作終了要求であると判断された場合、承認プログラム５２は管理操作結果読み出し領域７２をクリアする（ステップ１４０２）。さらに承認プログラム５２は、当該データ中のユーザ名８４をキーとして認証情報テーブル５４を検索し、該当する行のセッションＩＤ１０３とセッションＩＤ生成時刻１０４をクリアし（ステップ１４０３）、終了する。

ステップ１４０１において、管理操作命令８７が管理操作終了要求ではないと判断された場合、承認プログラム５２はユーザの実行権限を確認するために、管理操作承認処理を実行する。管理操作承認処理については、図１０（ｂ）を用いて次に説明する。

図１０（ｂ）は、本実施例における、承認プログラム５２による管理操作承認の処理手順の一例を示すフローチャートである。ステップ１４０４において、承認プログラム５２は、初期設定として図４（ｄ）で示したエラーフラグをリセットする。エラーフラグとして、例えばユーザエラーフラグ９２、管理操作命令エラーフラグ９３、管理操作対象エラーフラグ９４などのエラーフラグがある。

ステップ１４０５において、承認プログラム５２は、承認情報テーブル５５の先頭行を読み出す。承認プログラム５２は、ステップ１４０５において読み出した承認情報テーブル５５の行に含まれるユーザ名２００が、ステップ１４００において認証プログラム５１から受け取ったデータ中のユーザ名８４と一致するかどうかを比較する（ステップ１４０６）。

ステップ１４０６において、ユーザ名が一致すると判断された場合、承認プログラム５２は、ステップ１４０５において読み出した承認情報テーブル５５の先頭行の管理操作命令２０１が、ステップ１４００において認証プログラム５１から受け取ったデータ中の管理操作命令８７と一致するかどうかを比較する（ステップ１４０７）。

ステップ１４０７において、管理操作命令が一致すると判断された場合、承認プログラム５２は、ステップ１４０５において読み出した承認情報テーブル５５の先頭行の管理操作対象２０２が、ステップ１４００において認証プログラム５１から受け取ったデータ中の管理操作パラメータ８８と一致するかどうかを比較する（ステップ１４０８）。

ステップ１４０８において、管理操作対象が一致すると判断された場合、承認プログラム５２は、ボリューム制御プログラム５３を起動して、ステップ１４００において認証プログラム５１から受け取ったデータのメモリ上での位置を示すポインタをボリューム制御プログラム５３に渡し、承認結果を図４（ｃ）に示したデータフォーマットで管理操作結果読み出し領域７２に格納し（ステップ１４０９）、終了する。承認結果として例えば、ユーザ名８９には当該データ中のユーザ名８４を、結果情報９０には承認成功を示すエラー情報を、結果パラメータ９１には承認処理の終了時刻をそれぞれ格納する。

ステップ１４０６において、ユーザ名が一致しないと判断された場合、承認プログラム５２は、ユーザエラーフラグをセットし（ステップ１４１０）、ステップ１４１３に進む。

ステップ１４０７において、管理操作命令が一致しないと判断された場合、承認プログラム５２は、管理操作命令エラーフラグをセットし（ステップ１４１１）、ステップ１４１３に進む。

ステップ１４０８において、管理操作対象が一致しないと判断された場合、承認プログラム５２は、管理操作対象エラーフラグをセットし（ステップ１４１２）、ステップ１４１３に進む。

ステップ１４１３において、承認プログラム５２は承認情報テーブル５５が終端かどうかを判断する。ステップ１４１３において、承認情報テーブル５５が終端であると判断された場合、承認プログラム５２は、各種エラーフラグに応じたエラー情報を図４（ｃ）に示したデータフォーマットで管理操作結果読み出し領域７２に格納し（ステップ１４１４）、終了する。エラー情報として例えば、ユーザ名８９には当該データ中のユーザ名８４を、結果情報９０には承認失敗を示すエラー情報を格納する。ユーザエラーフラグがセットされている場合は、結果パラメータ９１には当該ユーザが存在しないことを示すエラー理由を格納する。また管理操作命令エラーフラグがセットされている場合は、結果パラメータ９１には当該管理操作が許可されていないことを示すエラー理由を格納する。また管理操作対象エラーフラグがセットされている場合は、結果パラメータ９１には当該管理操作対象の管理操作が許可されていないことを示すエラー理由を格納する。

ステップ１４１３において、承認情報テーブル５５が終端ではないと判断された場合、承認プログラム５２は、承認情報テーブル５５の次の行を読み出す（ステップ１４１５）。承認プログラム５２は、承認情報テーブル５５が終端に達するまでステップ１４０６に戻り、以降を繰り返し実行する。

以上、本発明の第一の実施形態を説明した。第一の実施形態によると、制御ボリューム２０に対する書き込みや読み出しを利用して、記憶装置１が論理ボリュームの管理操作を試みるユーザを認証することができる。また、記憶装置１がユーザ毎に論理ボリュームの管理操作の内容や管理操作の対象を制限することができる。さらに、ユーザの認証後に一時的なセッションＩＤを使用することで、認証後に実行する複数の管理操作命令を一つのセッションとして管理することができる。セッション管理により、複数の管理操作命令で構成される複雑な管理操作を実現することができる。また、複数の管理操作命令の処理において認証処理にかかる負荷を削減することができる。

以下、本発明を適用する図１のようなストレージシステムの実施例２について説明する。以下、特に説明のない部分は実施例１と同じとする。

本実施例は、認証プログラム５１が認証処理フローを図９（ｂ）の代わりに図１１（ａ）に示すようなフローチャートに従って実行する点、および承認プログラム５２が管理操作終了要求処理フローを図１０（ａ）の代わりに図１１（ｂ）に示すようなフローチャートに従って実行する点で実施例１とは異なる。

図１１（ａ）は、本実施例における、認証情報タイプ８５がパスワードである場合の、認証プログラム５１による認証処理手順の一例を示すフローチャートである。

本実施例では、ホスト４０上のストレージ管理プログラム６０が、例えばユーザのパスワード等のセッションＩＤ以外の認証情報を含んだ認証要求命令と、論理ボリュームの管理操作命令の両方を図４（ｂ）に示したデータフォーマットで記憶装置１に送信する。認証プログラム５１は当該データに含まれる認証情報を使用して認証が成功した時点で、ホスト４０上のストレージ管理プログラム６０にセッションＩＤを提供することなく承認プログラム５２を直ちに起動し、承認プログラム５２が当該データに含まれる論理ボリュームの管理操作命令処理を行う。認証が成功であるかどうかを判断するステップ１３１２までの処理及びステップ１３１５の処理は、実施例１と同じである。

ステップ１３１２において、認証が成功であると判断された場合、認証プログラム５１は承認プログラム５２を起動して、当該データのメモリ上の位置を示すポインタを承認プログラム５２に渡し（ステップ１５００）、終了する。

図１１（ｂ）は、本実施例における、承認プログラム５２による管理操作終了要求の処理手順の一例を示すフローチャートである。

本実施例では、認証プログラム５１が、図１１（ａ）を用いて説明したように、認証処理フローにおいてセッションＩＤとセッションＩＤの生成時刻を認証情報テーブル５４にセットしない。そのため承認プログラム５２は、管理操作命令終了要求を処理する際に、図１０（ａ）のステップ１４０３で行う認証情報テーブル５４のセッションＩＤ１０３とセッションＩＤ生成時刻１０４をクリアする処理を省略する。承認プログラム５２は、図１１（ｂ）に示す通り、ステップ１４０２において管理操作結果読み出し領域７２をクリアして終了する。

以上、本発明の第二の実施形態を説明した。第二の実施形態によると、第一の実施形態同様、記憶装置１が論理ボリュームの管理操作を試みるユーザの認証を行い、ユーザによる論理ボリュームの管理操作の内容や対象を承認することができる。さらに、ユーザの認証と論理ボリュームの管理操作の承認を一度に行うことで、管理操作命令毎にユーザを認証することができる。また、セッションＩＤを生成および管理する処理が無いため、ユーザが複数の管理操作命令を連続して実行しない場合には、認証および承認に必要な処理を削減することができる。

なお、第一、および第二の実施形態では、ユーザの認証情報としてパスワードを使用する場合を例に挙げて説明した。しかしながら、本発明はこのような構成に限られない。例えば、記憶装置１がユーザを認証する場合、ユーザの認証情報としてデジタル証明書やデジタル署名などを使用することも可能である。

また、第一、および第二の実施形態では、情報の保持形態としてテーブルを使用する場合を例に挙げて説明したが、情報の保持形態はこれに限られない。

さらに、第一、および第二の実施形態では、認証要求命令や管理操作命令、また認証結果や管理操作結果の格納形態として論理ボリュームである制御ボリューム２０上の特定の領域に格納する場合を例に挙げて説明したが、本発明はこのような構成に限られない。例えば、制御ボリューム２０上の領域を仮想的なものとして扱い、制御ボリューム２０上の領域に実際に格納しないことも可能である。

以上実施例などで本発明を説明したが、本発明の他の実施形態１は、前記記憶装置は、ユーザ認証結果情報を前記特定の論理ボリューム又は他の論理ボリュームの特定の領域に格納し、前記計算機は、前記特定の論理ボリューム又は他の特定の論理ボリュームの特定の領域に格納されたユーザ認証結果情報を受取る計算機システムである。

本発明の他の実施形態２は、計算機とネットワークを介して接続される記憶装置において、特定の領域にユーザ認証情報を格納する論理ボリュームを備え、該特定の論理ボリュームの特定の領域に対するデータの書き込みによって格納された前記計算機上のユーザの認証情報をもとに、前記ユーザを認証する記憶装置である。

本発明の他の実施形態３は、特定の領域に前記ユーザの認証結果情報を格納する論理ボリュームを備える記憶装置である。

本発明の他の実施形態４は、前記計算機から前記特定の論理ボリュームの前記特定の領域に対するデータの書き込みによって送信される論理ボリュームの管理操作命令と管理操作対象を前記ユーザの権限に応じて承認する記憶装置である。

本発明の他の実施形態５は、前記計算機から前記特定の論理ボリュームの特定の領域からのデータの読み出しに応じて、前記計算機に前記認証結果情報や前記管理操作命令の承認結果情報を送信する記憶装置である。

本発明の他の実施形態６は、前記計算機から前記特定の論理ボリュームの特定の領域に対するデータの読み出しに応じて、前記計算機に前記ユーザの認証結果情報や前記管理操作命令の結果情報を送信する際に、前記ユーザの認証情報を用いて前記認証の結果を暗号化したものを送信する記憶装置である。

本発明の他の実施形態７は、前記計算機からの指示により、前記ユーザの認証結果情報を消去する記憶装置である。

本発明の他の実施形態８は、ＣＰＵと、メモリと、論理ボリューム群とを備え、前記メモリは、認証プログラムと承認プログラムと、ボリューム制御プログラムと、認証情報テーブルと、承認情報テーブルと、設定情報テーブルとを格納し、前記論理ボリューム群の一は、前記計算機上のユーザの認証情報を格納する管理操作命令書き込み領域と、ユーザの認証結果情報を格納する管理操作結果読み出し領域とを有する記憶装置である。

本発明の他の実施形態９は、記憶装置とネットワークを介して接続される計算機に格納されるコンピュータ・ソフトウエアにおいて、前記計算機上のユーザの認証情報を、該認証情報をもとに、前記ユーザを認証する前記記憶装置上の特定の論理ボリュームの特定の領域に格納するよう送信することを前記計算機に実行させるプログラムからなるコンピュータ・ソフトウエアである。

本発明の他の実施形態１０は、前記プログラムは、前記記憶装置の特定の論理ボリューム又は他の論理ボリュームの特定の領域に格納されたユーザの認証結果情報を読み出すことを前記計算機に実行させるコンピュータ・ソフトウエアである。

本発明の他の実施形態１１は、計算機と、該計算機とネットワークを介して接続される記憶装置とからなる計算機システムのストレージ制御における管理者の認証方法であって、前記計算機は、前記記憶装置上の特定の論理ボリュームの特定の領域にユーザ認証情報を書き込むよう送信し、前記記憶装置は、前記特定の論理ボリュームの特定の領域に格納した前記計算機上のユーザの認証情報をもとに、前記ユーザを認証するストレージ制御における管理者の認証方法である。

実施例のストレージシステムの全体構成例を示す図。 実施例におけるプログラムおよびデータの構成例を示す図。 実施例におけるディスクアレイ装置上の制御ボリュームのアドレス空間の例を示す図。 （ａ）は、実施例におけるホストからディスクアレイ装置に送信するコマンドフレームの例、（ｂ）は、ホストからディスクアレイ装置に送信する認証要求命令あるいは論理ボリュームの管理操作命令のデータ構造の例、（ｃ）は、ホストがディスクアレイ装置から受信するユーザの認証結果あるいは論理ボリュームの管理操作結果のデータ構造の例、（ｄ）は、エラーフラグのデータフォーマットの例を示す図。 実施例における認証情報テーブルの例を示す図。 実施例における承認情報テーブルの例を示す図。 実施例における設定情報テーブルの例を示す図。 実施例におけるホストからディスクアレイ装置に送信するコマンドフレームのディスパッチ処理のフローの例を示す図。 実施例における書き込みコマンド処理のフローの例を示す図。 実施例における読み出しコマンド処理のフローの例を示す図。 実施例におけるセッションＩＤ処理のフローの例を示す図。 実施例におけるユーザの認証処理のフローの例を示す図。 実施例１における管理操作終了要求処理のフローの例を示す図。 実施例における論理ボリュームの管理操作命令処理のフローの例を示す図。 実施例２におけるユーザの認証処理のフローの例を示す図。 実施例２における管理操作終了要求処理のフローの例を示す図。

符号の説明

１ 記憶装置
２０ 制御ボリューム
３０ 通信ネットワーク
４０ ホスト
５０ Ｉ／Ｏリクエスト処理プログラム
５１ 認証プログラム
５２ 承認プログラム
５３ ボリューム制御プログラム
５４ 認証情報テーブル
５５ 承認情報テーブル
５６ 設定情報テーブル

Claims (12)

1. 計算機と、該計算機とネットワークを介して接続される記憶装置とからなる計算機システムにおいて、
   前記計算機は、前記記憶装置上の特定の論理ボリュームの特定の領域にユーザ認証情報を書き込むよう送信し、前記記憶装置は、前記特定の論理ボリュームの特定の領域に格納した前記計算機上のユーザの認証情報をもとに、前記ユーザを認証することを特徴とする計算機システム。
2. 前記記憶装置は、ユーザ認証結果情報を前記特定の論理ボリューム又は他の論理ボリュームの特定の領域に格納し、前記計算機は、前記特定の論理ボリューム又は他の論理ボリュームの特定の領域に格納されたユーザ認証結果情報を受取る請求項１記載の計算機システム。
3. 計算機とネットワークを介して接続される記憶装置において、
   特定の領域にユーザ認証情報を格納する論理ボリュームを備え、該論理ボリュームの特定の領域に対するデータの書き込みによって格納された前記計算機上のユーザの認証情報をもとに、前記ユーザを認証することを特徴とする記憶装置。
4. 特定の領域に前記ユーザの認証結果情報を格納する論理ボリュームを備える請求項３記載の記憶装置。
5. 前記計算機から前記特定の論理ボリュームの前記特定の領域に対するデータの書き込みによって送信される論理ボリュームの管理操作命令と管理操作対象を前記ユーザの権限に応じて承認する請求項３記載の記憶装置。
6. 前記計算機から前記特定の論理ボリュームの特定の領域からのデータの読み出しに応じて、前記計算機に前記認証結果情報や前記管理操作命令の承認結果情報を送信する請求項３記載の記憶装置。
7. 前記計算機から前記特定の論理ボリュームの特定の領域に対するデータの読み出しに応じて、前記計算機に前記ユーザの認証結果情報や前記管理操作命令の結果情報を送信する際に、前記ユーザの認証情報を用いて前記認証の結果を暗号化したものを送信する請求項３記載の記憶装置。
8. 前記計算機からの指示により、前記ユーザの認証結果情報を消去する請求項３記載の記憶装置。
9. ＣＰＵと、メモリと、論理ボリューム群とを備え、前記メモリは、認証プログラムと承認プログラムと、ボリューム制御プログラムと、認証情報テーブルと、承認情報テーブルと、設定情報テーブルとを格納し、前記論理ボリューム群の一は、前記計算機上のユーザの認証情報を格納する管理操作命令書き込み領域と、ユーザの認証結果情報を格納する管理操作結果読み出し領域とを有する請求項３記載の記憶装置。
10. 記憶装置とネットワークを介して接続される計算機に格納されるコンピュータ・ソフトウエアにおいて、
    前記計算機上のユーザの認証情報を、該認証情報をもとに、前記ユーザを認証する前記記憶装置上の特定の論理ボリュームの特定の領域に格納するよう送信することを前記計算機に実行させるプログラムからなることを特徴とするコンピュータ・ソフトウエア。
11. 前記プログラムは、前記記憶装置の特定の論理ボリューム又は他の論理ボリュームの特定の領域に格納されたユーザの認証結果情報を読み出すことを前記計算機に実行させる請求項１０記載のコンピュータ・ソフトウエア。
12. 計算機と、該計算機とネットワークを介して接続される記憶装置とからなる計算機システムのストレージ制御における管理者の認証方法であって、
    前記計算機は、前記記憶装置上の特定の論理ボリュームの特定の領域にユーザ認証情報を書き込むよう送信し、前記記憶装置は、前記特定の論理ボリュームの特定の領域に格納した前記計算機上のユーザの認証情報をもとに、前記ユーザを認証することを特徴とするストレージ制御における管理者の認証方法。

Images