JP2007087059A - 記憶制御システム - Google Patents

Abstract

【解決課題】 通信ネットワークに接続するイニシエータとターゲット間のアクセス設定と、ターゲットに対するＬＵＮセキュリティに対する設定とを、連携させた、記憶制御システムを提供する。
【解決手段】 一つ又は複数のイニシエータを有するホスト装置と、一つ又は複数のターゲットと、記憶領域と、前記ターゲットと前記記憶領域とのアクセス関係を規定するセキュリティ特性と、を備える、記憶制御装置と、前記イニシエータと前記ターゲットとの間のアクセス対応関係が記憶された管理モジュールと、を備え、前記セキュリティ特性が前記記憶制御装置に設定された際、当該記憶制御装置は設定されたセキュリティ特性に基づいて、前記管理モジュールの前記アクセス対応関係を設定するようにした。
【選択図】 図１

Description

本発明は、通信ネットワークを介して、記憶制御装置とホスト装置とが接続され、前記記憶制御装置のターゲットと前記ホスト装置のイニシエータとの間のアクセスを、制御するように構成された、記憶制御システム、及びこのシステムに適用される記憶制御装置に関するものである。

記憶制御装置と、この記憶制御装置に対して上位となるホスト装置などを、ファイバチャネルで接続したストレージエリアネットワーク（ＳＡＮ）が知られている。近年、このＳＡＮが持つ課題、例えば、長距離接続などを解決するために、ファイバチャネルの変わりにＩＰネットワークでＳＡＮを構築するＩＰ−ＳＡＮが提案されている。ＩＰ−ＳＡＮでは、主にｉＳＣＳＩ(インターネットＳＣＳＩ)を通信プロトコルとする通信が可能である。

ＩＰ−ＳＡＮでは、或る通信ネットワークに接続された記憶制御装置は、同一または別な通信ネットワークに接続する不特定のノードからのアクセスを受ける場合がある。したがって、ＩＰ−ＳＡＮでは、ネットワーク上でＩ／Ｏコマンドを発するユニットとしてのイニシエータと、Ｉ／Ｏコマンドを受信するユニットとしてのターゲットとの間のアクセス制御をいかに実現して、セキュリティを高めるかが重要である。

この問題を解決する一例が、特開２００２−６３０６３号公報に記載されている。この公報は、複数のホストコンピュータと複数のストレージ装置が、スイッチを介して接続されたストレージエリア・ネットワーク・システムにおいて、上記ストレージエリア・ネットワークを統合制御する統合管理機構を備え、該統合管理機構はホストコンピュータとストレージ装置とのアクセス経路情報を備えるとともに、該アクセス経路情報に基づき、ホストコンピュータのストレージエリア・ネットワーク管理機構に対して、ストレージ装置に対する管理情報を通知し、スイッチの領域設定機構に対して領域情報を通知し、ストレージ装置のストレージ管理機構に対して上記ホストコンピュータについてのアクセス制限情報を通知することを特徴とするストレージエリア・ネットワーク管理システムを開示している。

また、特開２００１−２６５６５５号公報は、ホストコンピュータ毎にアクセス可能な論理ユニット（ＬＵＮ）を制限するという、不正アクセスを防止するＬＵＮセキュリティ機能を達成するために、記憶領域が１つ以上の論理ユニットに対応している１つ以上の記憶装置と、前記記憶装置へのデータ読み書きを制御する記憶制御装置と、前記論理ユニットを管理するための管理テーブルと、前記管理テーブルを保持するためのメモリを有し、前記管理テーブルは、ホストコンピュータを識別する情報と、ホストコンピュータがアクセス可能な前記論理ユニットを特定する識別番号と、前記論理ユニットの識別番号に対応する仮想的な識別番号の対応を記述しており、前記ホストコンピュータを識別する情報をキーにして前記管理テーブルを参照することにより、ホストコンピュータのアクセス可否が判定できる記憶サブシステムを開示している。
特開２００２−６３０６３号公報 特開２００１−２６５６５５号公報

ｉＳＣＳＩを通信プロトコルとする通信ネットワークにおいては、ＬＵＮセキュリティを実現するために、ｉＳＣＳＩネームで特定のホスト装置（イニシエータ）が識別される。記憶制御装置は、管理端末からユーザインタフェース（例えばＧＵＩなど）を利用して、記憶制御装置内にターゲットを作成するとともに、ターゲットにｉＳＣＳＩネームを付与する。記憶制御装置は、ターゲットに対してアクセスが可能なイニシエータのｉＳＣＳＩネームを、メモリに登録し、ターゲットに対してアクセスを許可する論理ユニットを割り当てる。

ところで、ｉＳＣＳＩプロトコルを用いた、ＩＰ−ＳＡＮのシステムでは、ホスト装置及び記憶制御装置は、接続対象となる相手方を発見（ディスカバリー）する手段を備えていない。さらに、ｉＳＣＳＩネームを同一ネットワーク上の不特定多数のデバイスに通知する機能を備えていない。

ホスト装置（イニシエータ）が記憶制御装置（ターゲット）のＩＰアドレスとＴＣＰポート番号を分かっていれば、ホスト装置は、ターゲットのｉＳＣＳＩネームを取得することができる。しかしながら、記憶制御装置側（ターゲット）がイニシエータのｉＳＣＳＩネームを取得する機能はプロトコルには無い。したがって、記憶制御装置の管理者はホスト装置に設定されているｉＳＣＳＩネームを記憶制御装置に設定する必要がある。ｉＳＣＳＩネームは最大２２３文字からなり、これを人手により設定することは入力間違いを起こすなどの問題を引き起こす可能性がある。

これらを解消するための１つの手段として、ｉＳＮＳサーバサービスの利用が考えられる。ｉＳＮＳサーバは、ｉＳＣＳＩイニシエータとｉＳＣＳＩネームターゲットをディスカバリードメイン（Discovery Domain）と呼ばれるグループに分類できる機能を持ち、分類された情報を、イニシエータやターゲットに伝達するサービスを提供するものである。これにより、イニシエータはアクセス可能なターゲットを知ることができる。このために、ｉＳＣＳＩイニシエータやｉＳＣＳＩターゲットがｉＳＮＳクライアントとしてｉＳＮＳサーバに登録される。クライアントから登録された情報を元に、ｉＳＮＳサーバ管理者は、ディスカバリードメインを作成し、組み合わせたいイニシエータとターゲットとをグルーピングして、これをｉＳＮＳサーバに登録する。これにより、イニシエータは最初からターゲットのＩＰアドレスやＴＣＰポート番号を知らなくても、ｉＳＮＳサーバから通知された情報を基に目的とするターゲットにアクセスすることができる。

ｉＳＮＳサーバサービスにより、イニシエータとターゲットとの間のアクセス関係の設定が容易になされるようになったとしても、記憶制御装置の管理者は、ＬＵＮセキュリティがされたターゲットとイニシエータ間の対応関係の設定を、ｉＳＮＳサーバに対する設定とは別に行う必要があった。この結果、例えば、ｉＳＮＳサーバに対する設定と、記憶制御装置におけるＬＵＮセキュリティの設定とに時間差が生じることがあると、ｉＳＮＳサーバのアクセス設定と記憶制御装置のアクセス設定とが一致しないという問題が生じる。

これにより、例えば、記憶制御装置にＬＵＮセキュリティが設定されたにも拘わらず、これがｉＳＮＳサーバに反映されていないとすると、ＬＵＮセキュリティ設定前のディスカバリ情報に基づいて、イニシエータから不必要なログインやリトライ要求が記憶制御装置に送られて、記憶制御装置へのアクセス性能を低下させる問題がある。

さらにこのことは、ファブリックを介して、ホスト装置と記憶制御装置が接続される場合でも同様である。すなわち、ホスト装置はファブリックのネームサーバに対して、アクセス可能なノードのポートアドレスを問い合わせて、そのポートアドレスに対してログインを試みる。ホスト装置から見える、記憶装置のターゲットノードに対しては一律にログインが発行されるため、記憶制御装置には既述のＬＵＮセキュリティが設定される。

記憶制御装置は、アクセス許可されていないサーバからのログインをリジェクトするが、サーバは、記憶装置のリジェクトに対してリトライを繰り返す。ファブリックへのゾーニングがＬＵＮセキュリティの設定のタイミングからずれると、既述のログインリトライが繰り返され、記憶制御装置へのアクセス性能が低下する問題がある。

本発明は、通信ネットワークに接続するイニシエータとターゲット間のアクセス設定と、ターゲットに対するＬＵＮセキュリティに対する設定とを、連携させることにより、既述の問題を解決できる、記憶制御システムを提供することを目的とするものである。本発明の他の目的は、記憶制御装置における、アクセス許可設定がイニシエータとターゲット間のアクセス設定に直ちに反映可能な、記憶制御制御システムを提供することにある。

前記目的を達成するために、本発明は、記憶制御装置の処理主体が、ＬＵＮセキュリティを更新・作成するなどの設定を行った時点で、このＬＵＮセキュリティ情報からイニシエータとターゲット間のアクセス関係を生成し、これをｉＳＮＳサーバなどアクセス管理モジュールに反映させることを特徴とするものである。

本発明の第１は、一つ又は複数のイニシエータを有するホスト装置と、一つ又は複数のターゲットと、記憶領域と、前記ターゲットと前記記憶領域とのアクセス関係を規定するセキュリティ特性と、を備える、記憶制御装置と、前記イニシエータと前記ターゲットとの間のアクセス対応関係が記憶された管理モジュールと、を備え、前記セキュリティ特性が前記記憶制御装置に設定された際、当該記憶制御装置は設定されたセキュリティ特性に基づいて、前記管理モジュールの前記アクセス対応関係を設定するようにした、記憶制御システムであることを特徴とするものである。

さらに本発明の第２は、記憶制御装置と、ホスト装置と、前記記憶制御装置の一つ又は複数のターゲットと前記ホスト装置の一つ又は複数のイニシエータとのアクセス対応関係を規定した第１の記憶領域を有する管理モジュールと、が通信ネットワークを介して接続され、前記イニシエータとターゲット間のアクセスを制御する、記憶制御システムであって、前記記憶制御装置は、前記ホスト装置からのアクセスを受けるポートと、前記ポートから出力された情報に対する処理を行うプロセッサと、前記ホスト装置から受信するライトデータ及び／又は前記ホスト装置に送信されるリードデータを記憶するデータ記憶装置と、前記ターゲットと、前記データ記録装置の、一つ又は複数の論理ユニットと、の間の対応関係を定めたＬＵＮセキュリティ特性と、前記イニシエータと前記ターゲットとの対応関係を定めたアクセス管理リストと、を記憶する第２の記憶領域と、を備え、前記プロセッサは、前記アクセス管理リストに基づいて、前記第１の記憶領域の前記アクセス対応関係を設定するようにした、記憶制御システムであることを特徴とするものである。

以上説明したように、本発明は、通信ネットワークに接続するイニシエータとターゲット間のアクセス設定と、ターゲットに対するＬＵＮセキュリティに対する設定とを、連携させることにより、アクセス設定が遅延することによる従来の問題点を解決できる。本発明によれば、記憶制御装置におけるアクセス許可設定がイニシエータとターゲット間のアクセス設定に直ちに反映できる。

次に、本発明の実施形態について説明する。なお、以下に示す実施形態は一例であって、これによって本発明が限定されるものではない。図１は、記憶制御システムの構成を機能ブロックで示したものである。

このシステムは、複数の記憶制御装置１（ａ−ｃ）と、上位装置としての複数のホスト装置２（ａ−ｃ）と、インターネットプロトコル通信ネットワーク３０と、通信ネットワーク３０に対し複数のネットワークノードを接続するためのスイッチ３、管理装置４、記憶制御装置１とホスト２の識別情報の管理および論理的接続関係を管理するｉＳＮＳサーバ５とを有する。なお、ネットワークノードとは、記憶制御装置１、ホスト装置２、管理装置４、ｉＳＮＳサーバ５等ネットワーク３０に接続される機器である。

管理装置４は複数の記憶装置から構成されるトレージシステムを管理するものである。管理装置４は、個々の記憶制御装置を管理できる。便宜上破線からなる楕円で示された、ネットワーク３０は、スイッチ３と、スイッチ３にホスト装置２、記憶制御装置１、ｉＳＮＳサーバ５等を接続する接続線と、の総称である。管理装置４は、ＬＡＮ４ＡによってｉＳＮＳサーバ５及び各記憶制御装置１ａ，１ｃのそれぞれに接続されている。

各記憶制御装置１（ａ−ｃ）は、内蔵するディスク記憶装置を制御し、ホスト装置２からのアクセス要求を実行するコントローラＣＴＬ１０（ａ−ｃ）と、ホストからアクセスされる論理ユニットＬＵ（２２０ａ、２２０ｂ、２２０ｃ、および２２１ａ）を有する。

各ホスト装置２は、ＣＰＵ、メモリ、及びネットワーク３０に接続するためのネットワークコントローラを有する計算機であり、メモリ内にイニシエータを管理するテーブル２１１２（ａ−ｃ）を有する。

図１には、ＩＰネットワークに、複数のホスト装置と、複数の記憶制御装置が接続したシステムが示されている。ｉＳＮＳサーバ５は、ホスト装置内のアクセス単位と記憶制御装置内のアクセス単位と、をネーム（ｉＳＣＳＩネーム）によって管理することにより、ホスト装置内のアクセス単位が許可された、記憶制御装置のアクセス単位に接続できるようにしている。ホスト装置内のアクセス単位は記憶制御装置のアクセス単位に対して、アクセス元となるのでイニシエータに相当し、したがって、記憶制御装置内のアクセス単位がターゲットに相当する。

次に、記憶制御装置１の詳細について説明する。図２は記憶制御装置のハードウェア構成を示すブロック図である。記憶制御装置１は、例えばＲＡＩＤ（Redundant Array of Independent Inexpensive Disks）システムであり、記憶装置２３として、アレイ状に配設された複数のディスク型記憶装置を有する１以上の物理ディスク群３９を備える。それら物理ディスク群３９により提供される物理的な記憶領域上には、論理的な記憶領域である１又は複数の論理デバイス（以下、「Logical Device」を略して「ＬＤＥＶ」と表記）３５が設定される。各ＬＤＥＶ３５には、そのＬＤＥＶの識別情報（以下、「ＬＤＥＶ＃」と表記）が割当てられており、且つ、各ＬＤＥＶ＃には、ホスト装置２が指定可能な論理ユニットに対応されている。論理ユニットは番号が付与されて管理されており、以下、「Logical Unit Number」、略して「ＬＵＮ」で表現される。

記憶制御装置は、１又は複数のチャネルアダプタセット３７と、キャッシュメモリ４３と、共有メモリ４７と、１又は複数のディスクアダプタセット４１と、スイッチング制御部４５とを備えている。

各チャネルアダプタセット３７には、複数（典型的には２つ）のチャネルアダプタ３７Ａ、３７Ｂが含まれており、それらアダプタ３７Ａ、３７Ｂは、実質的に同一の構成になっている。これにより、例えば、一方のチャネルアダプタ３７Ａを介してホスト２が所定ＬＤＥＶにアクセスできなくなった場合には、他方のチャネルアダプタ３７Ｂを介して同一の所定ＬＤＥＶにアクセスすることが行われる。これは、ディスクアダプタセット４１についても実質的に同様である。チャネルアダプタ３７Ａ、３７Ｂも実質的に同一の構成である。

チャネルアダプタ３７Ａは、１又は複数（例えば２つ）のｉＳＣＳＩポート３８、３８を備え、ｉＳＣＳＩポート３８を介して１又は複数のホスト２と通信可能に接続される。チャネルアダプタ３７Ａは、ハードウェア回路、ソフトウェア、又はそれらの組み合わせで構成することができ、この記憶制御システム１とホスト２との間のデータ通信を行う。ｉＳＣＳＩポート３８には、インターフェース１２０、バッファ１２１、ローカルメモリ１２３及びプロトコル処理部１２２が備えられる。

インターフェース１２０は、スイッチ３と物理的に接続されるケーブル口を有したものである。バッファ１２１は、ホスト２と記憶制御システム１との間で送受信されるデータが一時的に格納されるメモリである。

ローカルメモリ１２３は、例えば不揮発性メモリであり、ＩＰアドレスと、ｉＳＣＳＩネームと、このｉＳＣＳＩポート３８がアクセス可能なアクセス可能ＬＵＮとを記憶する。プロトコル処理部１２２は、所定内部バス（例えばＰＣＩバス）を介してチャネルプロセッサ４０、４０と通信可能に接続されており、バッファ１２１及びローカルメモリ１２３内の情報に基づいて、ｉＳＣＳＩプロトコルに従うプロトコル処理を実行する。なお、プロトコル処理を実行する機能は、プロトコル処理部１２２に代えてチャネルプロセッサ４０が備えても良い。

また、チャネルアダプタ３７Ａには、各ｉＳＣＳＩポート３８に通信可能に接続される１以上のマイクロプロセッサ（以下、「チャネルプロセッサ」と言う）４０も搭載される。更に、チャネルアダプタ３７Ａには、共有メモリ４７と通信可能に接続されるマイクロプロセッサアダプタ（以下、「ＭＰＡ」と略記）４２と、キャッシュメモリ４３と通信可能に接続されるデータ転送アダプタ（以下、「ＤＴＡ」と略記）４４とが搭載される。チャネルプロセッサ４０が外部プロセッサ（具体的には、ディスクアダプタ４１Ａ、４１Ｂ上の図示しないマイクロプロセッサ）との間で制御情報（例えばプロセッサ間メッセージ）を送受信する場合には、ＭＰＡ４２を介して制御情報が送受信される。

また、ホスト２からＬＤＥＶ３５にライトデータが書き込まれる場合、及び、ＬＤＥＶ３５から読み出されたリードデータが記憶制御システム１からホスト２に出力される場合には、ライトデータ及びリードデータはＤＴＡ４４を通過する。

各チャネルプロセッサ４０は、例えば、共有メモリ４７の制御情報格納領域５０をポーリングしＭＰＡ４２を介して制御情報を取得したり、キャッシュメモリ４３に格納されているリードデータを読み出してホスト２に送信したり、ホスト２から受信した書込み対象のデータ（つまりライトデータ）をキャッシュメモリ４３に格納したりする。

キャッシュメモリ４３は、揮発性又は不揮発性のメモリである。キャッシュメモリ４３には、チャネルアダプタ３７Ａ、３７Ｂからディスクアダプタセット４１のディスクアダプタ４１Ａ、４１Ｂへ渡されるライトデータ、及び、ディスクアダプタ４１Ａ、４１Ｂからチャネルアダプタ３７Ａ、３７Ｂへ渡されるリードデータが一時的に格納される。

共有メモリ４７は、不揮発性のメモリであり、例えば、制御情報格納領域５０と、データテーブル群５１とを備える。制御情報格納領域５０には、上述した制御情報が格納される。

各ディスクアダプタセット４１は、物理ディスク群３９毎に備えられている。ディスクアダプタ４１Ａ、４１Ｂは、図示しない１又は複数のマイクロプロセッサを備えており、そのマイクロプロセッサの処理により、ホスト装置２から指定されたＬＵＮに対応のＬＤＥＶ＃を有するＬＤＥＶ３５に対してデータの読出し又は書込みを行なう。

スイッチング制御部４５は、例えば、高速スイッチング動作によりデータ伝送を行う超高速クロスバスイッチ等のような高速バスとして構成することができる。スイッチング制御部４５は、各チャネルアダプタ３７Ａ、３７Ｂと、各ディスクアダプタ４１Ａ、４１Ｂと、共有メモリ４７と、キャッシュメモリ４３とを相互に通信可能に接続する。上述した各チャネルアダプタ３７Ａ、３７Ｂと、各ディスクアダプタ４１Ａ、４１Ａと、共有メモリ４７と、キャッシュメモリ４３との間のデータ又はコマンドの授受は、スイッチング制御部４５を介して行われる。

記憶制御装置１は、ホスト２からＩ／Ｏ要求を受け、そのＩ／Ｏ要求の内容に基づく処理を実行する。以下、Ｉ／Ｏ要求の処理流れの概要を、ホスト装置２がＩ／Ｏ要求を発行した場合を例にして説明する。Ｉ／Ｏ要求がリード要求を示す場合は次のとおりである。

ホスト装置２から発行されたＩ／Ｏ要求は、ｉＳＣＳＩポート３８のバッファ１２１に格納される。チャネルプロセッサ４０は、その格納されたＩ／Ｏ要求を読出し、そのＩ／Ｏ要求においてリード要求されているデータ（つまりリードデータ）がキャッシュメモリ４３に存在するか否かの判別を行う。

その判別の結果が肯定的の場合、すなわち、リードデータがキャッシュメモリ４３に存在する場合（キャッシュヒットした場合）、チャネルプロセッサ４０は、キャッシュメモリ４３からＤＴＡ４４を介してリードデータを取得し、そのリードデータを、ｉＳＣＳＩポート３８を介してホスト装置２に送信する。

一方、上記判別の結果が否定的の場合、すなわち、リードデータがキャッシュメモリ４３に存在しない場合（キャッシュミスした場合）、チャネルプロセッサ４０は、所定ＬＤＥＶ３５内のリードデータをいったんキャッシュメモリ４３にリードすることをディスクアダプタ４３Ａのマイクロプロセッサ（以下、「ディスクプロセッサ」と言う）に指示するための制御情報を、ＭＰＡ４２を介して共有メモリ４７に格納する。ディスクプロセッサがその制御情報を読み出すことにより、ディスクプロセッサによって、所定ＬＤＥＶ３５からリードデータがリードされてキャッシュメモリ４３に格納される。その後、チャネルプロセッサ４０は、そのリードデータをキャッシュメモリ４３から取得してホスト装置２に送信する。

次にＩ／Ｏ要求がライト要求を示す場合は次のとおりである。ホスト装置２から出力された、ライトデータを含んだＩ／Ｏ要求は、ｉＳＣＳＩポート３８のバッファ１２１に格納される。チャネルプロセッサ４０は、その格納されたＩ／Ｏ要求を読出し、キャッシュメモリ４３上の所定領域（以下、所定キャッシュスロット）にデータが存在するか否かの判別を行う。

その判別の結果が肯定的の場合、すなわち、データが所定のキャッシュスロットに存在する場合（キャッシュヒットした場合）、チャネルプロセッサ４０は、上記読み出したＩ／Ｏ要求に含まれているライトデータを、上記所定のキャッシュスロット内のデータに上書きする。

一方、上記判別の結果が否定的の場合、すなわち、データが所定のキャッシュスロットに存在しない場合（キャッシュミスした場合）、チャネルプロセッサ４０は、上記読み出したＩ／Ｏ要求から特定されるＬＤＥＶからデータをいったんキャッシュメモリ４３にリードすることをドライブ制御部４１に指示する。それにより、ディスクアダプタ４１によって、そのデータ記憶領域からデータがリードされて所定のキャッシュスロットに格納されたならば、チャネルプロセッサ４０は、上記所定のキャッシュスロットに格納されたデータに、上記読み出したＩ／Ｏ要求に含まれているライトデータを上書きする。

このようにして、キャッシュメモリ４３にライトデータが書き込まれたときは、当該ライト要求は終了したものとして、記憶制御システム３０からホスト装置２に終了報告が返される。なお、キャッシュメモリ４３にライトデータが書き込まれた時点では、一般に、そのデータは所定ＬＤＥＶ３５には反映されておらず、その後に、ディスクプロセッサによって、キャッシュメモリ４３からライトデータが読み出され所定ＬＤＥＶに書き込まれる。

図３は、ｉＳＮＳサーバ５の構成例を示すものである。ｉＳＮＳサーバ５は、全体制御を司るＣＰＵ５００、ＣＰＵ５００が実行する制御プログラムおよび制御データを格納するメモリ５０１、ネットワーク３０に接続するためのネットワークコントローラ５０２、ＣＰＵ５００とメモリ５０１間のデータおよびプログラムの転送や、ネットワークコントローラ５０２とメモリ５０１間のデータ転送を制御するブリッジ５０４を有する。メモリ５０１は、制御データ領域511、制御プログラム領域５１２を有する。

制御データ領域５１１は、ＣＰＵ５００が制御プログラムを実行する際に参照する各種テーブル等を格納する領域である。制御データ領域５１１には、ｉＳＣＳＩにおけるイニシエータおよびターゲットの名前（ｉＳＣＳＩネーム）、及びイニシエータとターゲット間の接続関係（ディスカバリードメイン）が登録される管理テーブル５１１１が格納されている。

制御プログラム領域５１２は、ＣＰＵ５００が実行する制御プログラムを格納する領域である。制御プログラム領域５１２には、制御プログラムを実行するための環境となる基本プログラムであるオペレーティングシステムプログラム５１２０、ＴＣＰ／ＩＰプロトコルを用いてネットワーク３０を用いたデータの送受信を実行するＴＣＰ／ＩＰプログラム５１２１、ネットワーク３０に接続するｉＳＣＳＩノード（すなわちホスト２およびストレージ）のネーム管理およびｉＳＣＳイニシエータとｉＳＣＳＩターゲット間の対応関係を制御するネーム管理プログラム５１２２、ｉＳＣＳＩプロトコル仕様に基づき各イニシエータおよびターゲットのネーム管理のための通信を行う通信プログラム５１２３が格納されている。ｉＳＮＳサーバ（iSCSI Name Server）５に代えて、ｉＳＮＳ以外のネームサーバ仕様でも良い。

ホスト装置２のイニシエータと記憶制御装置１のターゲットは、ネームサーバ５のクライアントとして、それらのデバイス情報がサーバの管理テーブル５１１１(図３)に登録される。図４は、デバイス情報テーブルの一例を示す。デバイス情報テーブルには、デバイス（イニシエータ又はターゲット）のデバイスネーム（ｉＳＣＳＩネーム）、デバイスのＩＰアドレス及びＴＣＰポート番号、タイプ（イニシエータ／ターゲットの種別）、ＥＳＩ（Entity State Inquiry）の有無、ＳＣＮ（State Change Notification 状態変更通知）などの制御情報が登録される。ＡＡＡＡＡはホスト装置２のイニシエータＡのｉＳＣＳＩネームであり、ＢＢＢＢＢは記憶制御装置１のターゲットＢのｉＳＣＳＩネームである。ドメインビットマップは、後述の図８（６）に示すディスカバリードメインのエントリ対して、そのデバイスが登録されているか否かを示すフラグである。コントロールは、ｉＳＮＳサーバの管理権限の有無を示すフラグである。

管理テーブル５１１１として、さらに、ディスカバリードメイン（Discovery Domain）リストテーブルがサーバの制御データ領域に登録されている。ディスカバリードメインとは、イニシエータと、ターゲットとの接続関係を規定した情報である。図５はディスカバリードメインリストテーブルの一例であり、ドメインＸというグループに、ホスト装置ＡのイニシエータＡと、記憶制御装置ＣのターゲットＣが割り当てられ、ドメインＹというグループに、ホスト装置ＢのイニシエータＢと、記憶制御装置ＤのターゲットＤとが割り当てられていることを示している。これを図示すると図６のようになる。イニシエータＡは同一ドメイン（グループ）のターゲットＣに接続可能であり、異ドメイン（異グループ）のターゲットＤには接続できない。イニシエータＢはターゲットＤに接続可能となる。

ホスト装置ＡがｉＳＮＳサーバに対して、接続されるターゲットを求める処理としてのディスカバリを行うと、ｉＳＮＳサーバはディスカバリードメインリストテーブル及びデバイステーブルを参照して、イニシエータＡに接続されるべきターゲットＣのＩＰアドレスやｉＳＣＳＩネームがイニシエータＡに通知される。

あるいは、図４に示したデバイスリストテーブルにＳＣＮが登録されていると、ターゲット及び／又はイニシエータがｉＳＮＳサーバで、新たなディスカバリードメインに登録された際、又は当該ターゲットが所属するドメイングループに変更があった際、同じドメイングループに属するノード（イニシエータ及びターゲット）にディスカバリードメインの登録内容が通知される。これによりホスト装置のイニシエータは自身がアクセスできるターゲットのネームやアドレスを知ることができる。これはターゲットについても同じである。イニシエータは、ｉＳＣＳＩネームに基づいて、このイニシエータと同じドメイングループとして定義されたターゲットにアクセスすることができる。なお、ＳＣＮが登録されていても、ｉＳＮＳサーバへのディスカバリードメインが登録されることなく、記憶制御装置にＬＵＮセキュリティがさきに設定されると、ｉＳＮＳサーバのアクセス制限と記憶制御装置のアクセス制限とが一致しないことになる。これを改善するのが本発明である。

図４に示す、デバイスリストテーブルは、イニシエータ及びターゲットがｉＳＮＳサーバにアクセスした際に、このサーバの制御データ領域に登録される。ディスカバリードメインリストテーブルは、ｉＳＮＳサーバの管理者によって作成される。ディスカバリードメインリストテーブルは、ｉＳＮＳサーバの管理者がユーザーインタフェース（例えばＧＵＩ）を用いたプロパティ画面に基づいて作成及び登録される。また、後述のとおり、記憶制御装置にＬＵＮセキュリティが設定されると、記憶制御装置はＬＵＮセキュリティからイニシエータとターゲットとの対応関係を読み出し、これを図５のディスカバリドメインテーブルに登録する。

次に、記憶制御装置のＬＵＮセキュリティについて説明する。図７は、記憶制御装置内に対して設定されるＬＵＮセキュリティを示す機能ブロック図であり、ポート１Ａ，１Ｂ，２Ａ，２Ｂの各ポート３８に所定のターゲット１・・・５が割り当てられている。ホストグループ（ＨＧ）１・・・５はターゲットとＬＵＮ(論理ユニット)２２０との対応関係を規定するための管理単位である。ホストグループに特定の論理ユニットが対応している。一例では、ポート２Ａがターゲット３（ＨＧ３）とターゲット４（ＨＧ４）にマッピングされている。ターゲット３には論理ユニットＬＵ２が割り当てられている。ターゲット４には、論理ユニットＬＵ３と論理ユニットＬＵ５とが割り当てられている。

ＬＵＮセキュリティは、記憶制御装置の共有メモリ４７の制御情報格納領域５０に設定される各種制御テーブルによって実現される。図８（１）はターゲットネットワーク情報テーブルであり、このテーブルには、ターゲットが所属するポートのネットワーク情報（ＩＰアドレス／ＴＣＰポート♯、ｉＳＮＳサーバアドレス）が定義されている。

図８（２）は、ターゲットリストテーブルである。記憶制御装置に設定されるターゲットは、このターゲットにアクセス許可されるイニシエータと関連させるために、ホストグループ（ＨＧ）として生成される。一つのホストグループには一つのターゲットのｉＳＣＳＩネームが対応している。さらに、ターゲットが属するポートが定義される。図８（２）と図７とから、ポート１ＡからターゲットＢＢＢＢＢ（ＨＧ♯１）とターゲットＣＣＣＣ（ＨＧ♯２）が見えるようにポートにホストグループがマッピングされている。なお、図８（２）のＤＤ＝００は、ホストグループが未設置である事を示している。

図８（３）はイニシエータリストテーブルを示すものである。イニシエータのターゲットに対するアクセス許可は、ホストグループのビットマップをセットすることで決められる。例えば、イニシエータＡＡＡＡＡは、ポート１ＡのターゲットＢＢＢＢＢ（ＨＧ♯１）とターゲットＣＣＣＣＣ（ＨＧ♯２）にアクセス可能なようにホストグループビットマップが設定される。図８（４）はアクセスリストテーブルを示す。各ホストグループには、アクセス可能な論理ユニットナンバ（ＬＵＮ）が定義されている。なお、ＡＡＡＡＡ、ＢＢＢＢＢ、ＣＣＣＣＣは、イニシエータ又はターゲットのｉＳＣＳＩネームである。

次に、イニシエータが特定のターゲットにアクセスする動作を具体的に説明する。例えば、イニシエータＡＡＡＡＡが、ターゲットＢＢＢＢＢにログインする時、ターゲットはログインコマンドに含まれるｉＳＣＳＩネームと、そのコネクション情報であるＩＰアドレスとＴＣＰポート番号をイニシエータｉＳＣＳＩネーム−ネットワークコネクション変換テーブルに記憶する。図８（５）はこの変換テーブルを示す。ログイン以降、記憶制御装置がイニシエータを識別することは、この変換テーブルによって行う。この変換テーブルのホストグループの情報（ＨＧ♯）はイニシエータリストテーブル（図８（３））を参照することによって明らかとなる。

記憶制御装置のポートに接続されたチャネルアダプタのチャネルプロセッサ４０は、イニシエータリストテーブルを参照し、イニシエータのｉＳＣＳＩネームがイニシエータリストテーブルに登録されていることを確認した場合は、イニシエータに「許可」を応答し、登録されていない場合には「拒否」を応答する。この時、記憶制御装置は、イニシエータｉＳＣＳＩネーム−ネットワークコネクション変換テーブルを生成する。記憶制御装置は、ログイン以降のＳＣＳＩコマンドに対して、アクセスリストテーブルの対応するデバイス（ＬＵＮ）情報でイニシエータに応答する。

イニシエータがターゲットにログインすると、記憶制御装置は、イニシエータのｉＳＣＳＩネームを特定でき、イニシエータリストテーブルからホストグループを特定でき、当該ホストグループが登録されたアクセスリストテーブルにより、このホストグループに割り当てられている論理ユニット（ＬＵＮ）を特定できる。なお、アクセスリストテーブルにおいて、一つのホストグループに一つの論理デバイス（ＬＵ）が対応するようにしても良い。

次に、記憶制御装置がセキュリティ設定を行う動作について、説明する。先ず、図８（６）に示すディスカバリードメインリストテーブルにドメインネームを登録し、各ドメインネームに、イニシエータとターゲットとの分類の管理単位となるエントリ♯（ＤＤ）を定義する。なお、図８の（３）のイニシエータリストテーブル、イニシエータネーム−ネットワーク変換テーブル（５）、ディスカバリードメインリストテーブル（６）は、ストレージのプロセッサ（チャネルプロセッサ）によって作成され、共有メモリに登録される。これらの制御テーブルの情報は、最初にｉＳＮＳサーバに設定されて、これを記憶制御装置が制御テーブルの情報を取り込み、ＬＵＮセキュリティを設定する際、記憶制御装置側で更新し、これを記憶制御装置からｉＳＮＳサーバ側に反映させても良い。

記憶制御装置１は、ディスカバリードメイン情報からドメインネームに属するターゲットに、対応するエントリを登録する。即ち、図８（２）のターゲットリストテーブルのターゲットＢＢＢＢＢにＤＤ♯（０１）が、ターゲットＣＣＣＣＣにＤＤ♯（０２）が登録される。次いで、記憶制御装置１は、ディスカバリードメイン情報からドメインネームに属するイニシエータに、このドメインネームに割り当てられたエントリに対応するように、イニシエータリストテーブル（図８（３））のドメインビットマップを登録する。

次いで、記憶制御装置１は、ターゲットリストテーブル（図８（２））で、特定のエントリ（ＤＤ♯）に対応するホストグループを識別し、このホストグループに対応するように、イニシエータリストテーブル（図８（３））のホストグループビットマップを有効にする。

このイニシエータリストテーブルに記載されているように、記憶制御装置は、イニシエータＡＡＡＡＡがターゲットＢＢＢＢＢ及びＣＣＣＣＣのホストグループに対応するように、イニシエータビットマップを有効にする。イニシエータビットマップの１ビット目がホストグループ００に対応し、２ビット目がホストグループ０１に対応し、３ビット目がホストグループ０２に対応し、・・・・最終ビットがホストグループＦＦに対応する。

ホストグループビットマップが、０１１００００・・・・００００に登録されることによって、イニシエータＡＡＡＡＡがターゲットＢＢＢＢＢ及びＣＣＣＣＣに対応する。これによって、イニシエータＡＡＡＡＡは、ＬＵＮセキュリティの設定が行われた、ターゲットＢＢＢＢＢ(ホストグループ：０１)とターゲットＣＣＣＣＣ(ホストグループ：０２)にのみにアクセス可能となる。

次に、記憶制御装置に、既述のＬＵＮセキュリティの設定が行われた時、記憶制御装置からｉＳＮＳサーバへ通知される、ディスカバリードメインの構成変更情報を基に、ｉＳＮＳサーバがディスカバリードメインの構成情報の設定或いは更新を行う動作を図９に基づいて説明する。

先ず、ホスト装置(イニシエータ)及び記憶制御装置（ターゲット）は、ｉＳＮＳサーバに対して，ＴＣＰ／ＩＰコネクションを確立し、イニシエータはｉＳＣＳＩネームを（ＡＡＡＡＡＡ）を、ターゲットは、ｉＳＣＳＩネーム（ＢＢＢＢＢ，ＣＣＣＣＣ）をｉＳＮＳサーバのデバイスリストテーブル（図４）に登録しているデバイスリストテーブルにある、その他のパラメータもｉＳＮＳサーバに登録される（９００）。

次に、図１に示すように、管理装置４が記憶制御装置１ａに、ＬＵＮセキュリティ（図８の制御テーブル）の設定或いは更新を行うと、記憶制御装置１ａのコントローラＣＴＬは、図８の制御テーブルからディスカバリードメイン情報を作成し（９０２）、これをｉＳＮＳサーバに通知する（９０６）。

記憶制御装置がディスカバリードメイン情報を作成するのは次のとおりである。ターゲットネームとイニシエータネームとは、ターゲットリストテーブル（図８（２））のホストグループ（ＨＧ♯）と、イニシエータリストテーブル（図８（３）をキーにして、グルーピングされる。ターゲットリストテーブル（図８（２））のエントリ（ＤＤ）からディスカバリードメインリストテーブルのドメインネームが決定される。

すなわち、イニシエータ（ＡＡＡＡＡ）とターゲット（ＢＢＢＢＢ）とがドメイン（ドメインネーム：０００１）も分類された、ディスカバリードメイン情報が形成される。記憶制御装置がター下とリストテーブル（図８（２））の全てのエントリについて、この処理を行うことによって（９０４）、全てのドメイングループについてディスカバリードメイン情報を作成できる。記憶制御装置１からディスカバリードメイン情報の通知を受けたｉＳＮＳサーバは、管理テーブル５１１１に記録されているディスカバリードメインを更新修正する。

図１０（１）はｉＳＮＳサーバに通知された、ドメイン００１のディスカバリードメイン情報であり、図１０（２）は、ドメイン０００２のディスカバリードメイン情報である。イニシエータがｉＳＮＳサーバにターゲットの情報をディスカバリすると、ｉＳＮＳサーバはターゲットのｉＳＣＳＩネーム、ＩＰアドレス等をイニシエータに通知する。イニシエータは、この通知情報に基づいて、目的とするターゲットであり、ＬＵＮセキュリティが設定されたターゲットに選択的にアクセスすることになる。

図１１は、記憶制御装置からｉＳＮＳサーバへのアクセス方法について説明したフローチャートである。記憶制御装置がｉＳＮＳサーバへのアクセスには、管理系のパス（図１4Ａ）を経由する方法とデータ系のパス（３０）を経由する方法がある。記憶制御装置１のコントローラは、管理系パスが接続状態か否かを判断し（１１００）、これが否定判定される場合は、データ系パスを用いてｉＳＮＳにアクセスする（１１０２）。データバスが非接続状態にある場合には、データ系パスと管理系パスのどちらかが回復するまで、パスの状態を監視する。

記憶制御装置のプロセッサ４０は、管理系パス及びデータ系パスがともに接続状態にある（１１０４）のときには、管理系パスとデータ系パスのデータ送信についての負荷計測を行い（１１０６，１１０８）、負荷の少ないパスを利用して（１１１０，１１１２，１１１４）、イニシエータのターゲットに対するアクセス設定情報をｉＳＮＳサーバに送信する。この結果、ｉＳＮＳサーバに記憶制御装置のセキュリティ特性が記憶制御装置から自動的に新規設定或いは更新設定される。負荷は、記憶制御装置１に記憶している管理系パスとデータ系パスのそれぞれにおける通信回数と通信データ量のログから単位時間当たりのパス使用頻度である。

記憶制御装置は、セキュリティの設定・変更があった時、即ち、図８の制御テーブルが新たに設定或いは更新された場合、キャッシュメモリの所定領域に、記憶制御装置のアクセス特性をｉＳＮＳサーバに設定しなければならないことを示す制御フラグをセットする。記憶制御装置は、自身のセキュリティ情報をｉＳＮＳサーバの制御テーブルに反映し終えた場合は、この制御フラグをリセットする。記憶制御装置は、この制御フラグを常時監視することにより、自身のＬＵＮセキュリティに変更があった場合は、これを迅速にｉＳＮＳサーバに反映させることができる。特に、通信負荷の低いパスを利用して、記憶制御装置は制御情報をｉＳＮＳサーバに設定できるので、ｉＳＮＳサーバへのディスカバリードメインを設定する事に遅延がないようにできる。さらに、記憶制御装置１からディスカバリードメイン情報の通知を受けたｉＳＮＳサーバ５は、ディスカバリードメイン情報を更新修正しなければならないことを示す制御フラグをセットし、更新修正し終えたときにリセットする。ｉＳＮＳサーバは、この制御フラグを常時監視することにより、 通知を受けたディスカバリードメインの更新修正を迅速に行う。

次に他の実施形態について説明する。この実施形態では、既述の実施形態に代えて、記憶制御装置がｉＳＮＳサーバを内蔵している。記憶制御装置のプロセッサは、所定のポートにアクセスする他のターゲットやイニシエータを、ｉＳＮＳサーバのクライアントとして扱い、イニシエータやターゲットからのｉＳＮＳ要求を、記憶制御装置内のアクセス設定情報と合わせ一元管理しても良い。

同じ記憶制御装置内のターゲットである場合は、ネットワークを介することなく、プロセッサがアクセス設定情報を保持する共有メモリにアクセスすることで、内部のｉＳＮＳサーバにアクセスすることができる。ターゲットとしては、他の記憶制御装置のターゲット及び同じ記憶制御装置内のターゲットが含まれる。記憶制御装置内にｉＳＮＳサーバを内蔵する場合には、既述の外部のｉＳＮＳサーバを省略しても良いし、記憶制御装置の内蔵ｉＳＮＳサーバと併用しても良い。以下、このことを詳説する。

図１２は、この実施形態に係るターゲットネットワーク情報テーブルを示している。既述の実施形態のターゲットネットワーク情報テーブルに"Server","Listen"の項目が追加されている。図１３は、ターゲット情報テーブルに対応するその他の制御テーブルを示している。この実施形態では、図７のブロック図のポート２ＡにｉＳＮＳサーバ機能を接続している。

図１２のターゲットネットワーク情報テーブルにおいて、"Server"が"Enable"になっていることは、対応するポートのｉＳＮＳサーバが有効であることを示し、ここではｉＳＮＳサーバとしてのＩＰアドレスは、記憶制御装置のターゲットのＩＰアドレスと同じ１９２．１６８．０．２２０を使用する。その時のｉＳＮＳサーバのＴＣＰポート番号として、"Listen"に示す"３２０５"を使用する。これにより、このポートへのアクセスがｉＳＣＳＩターゲットとしてなのか、ｉＳＮＳサーバとしてなのかを区別する。これらの機能は、明細書の図２に示すプロトコル処理部１２２により実現される。また、記憶制御装置は，ｉＳＮＳサーバとして登録された、イニシエータとターゲットをディスカバリードメインに登録するためのユーザＩ／Ｆを提供する。

このｉＳＮＳサーバ機能は、他のストレージ（ターゲット）やホスト（イニシエータ）からの登録も受け付ける。このため、いくつかのテーブルは記憶制御装置内に存在しないイニシエータやターゲットであることを識別する情報が必要となる。ターゲットリストテーブルにおいて、ホストグループの００は、記憶制御装置外のデバイスであると定義する。外部のストレージのターゲットからのｉＳＮＳ登録要求を受けた場合には、ＨＧ♯００で登録する。ディスカバリードメインリストテーブルにおいて、Ｅｎｔｒｙ♯００はどのドメインにも属さないことを示す。これは既述の実施形態でも同様である。

イニシエータやターゲットは一旦ｉＳＮＳサーバに自身を登録した後で、ｉＳＮＳサーバ上でディスカバリードメインを定義される場合があるので、イニシエータやターゲットがはじめてｉＳＮＳサーバに登録された時は、この属性となる。後から、ｉＳＮＳサーバ上でディスカバリードメインが定義された時は、定義された内容に基づきイニシエータリストテーブルのドメインビットマップおよびターゲットのＤＤの項目を更新する。

アクセスリストテーブルでは、ターゲットが外部ストレージである場合、つまり記憶制御装置がｉＳＮＳサーバとしてのみ管理しているデバイスの場合はＣＵ：ＬＤＥＶをＦＦ：ＦＦで示すと定義する。外部ストレージのターゲットが登録された場合でも、ターゲットリストテーブル上にターゲットネームを登録するため、登録されているターゲットが記憶制御装置管理のものか、外部ストレージによるものかを判断するのにＣＵ：ＤＥＶ♯ＦＦを使用し、外部ストレージの場合はＬＵＮセキュリティ設定の管理対象外とする。

外部ストレージやホストの場合、ポート２ＡのｉＳＮＳサーバに対し、イニシエータまたはターゲットはＴＣＰコネクションを確立し、ｉＳＮＳ登録を行う。登録される情報は、ＩＰアドレス／ＴＣＰポート番号、ＩＳＣＳＩネームなどである。これらを、記憶制御装置が提供するユーザＩ／Ｆ(例えばＧＵＩ）によって、ディスカバリードメインの定義
を行うことができる。

例えば、ポート２Ｂがポート２ＡのｉＳＮＳサーバに登録される場合、ポート２Ｂは、ターゲットネットワークテーブル上、ポート２ＡのｉＳＮＳサーバに指定されている。ディスク制御装置の設定により、例えばポート２Ｂにターゲットを生成した時、各テーブルは必要な更新が行われているので、ターゲット（ポート２Ｂ）がｉＳＮＳサーバ（ポート２Ａ）にＴＣＰコネクションの確立とｉＳＮＳ登録の発行を省略しても良い。

記憶制御装置のターゲット設定時、設定したターゲットのターゲットネットワークテーブル上で指定されているｉＳＮＳサーバＩＰアドレス（ポート２Ｂの場合、１９２．１６８．１００．２２０）を、同じテーブルの"Server"が"Enable"となっているポートで一致するものがあった場合（この場合、ポート２ＡのｉＳＮＳサーバアドレスが一致）は、ＴＣＰコネクションの確立およびｉＳＮＳ登録を省略する。記憶制御装置にｉＳＮＳサーバを内蔵した場合における、記憶制御装置へのセキュリティ設定の動作は図９と同様である。

ディスク制御装置がｉＳＮＳサーバを内蔵することによって、管理者がディスク制御装置へＬＵＮセキュリティの設定を行うと、それが直ちにｉＳＮＳサーバのディスカバリードメインに反映することができる。

次に本発明の第３の実施例について説明する。この実施形態が既述の実施形態と異なる点は、管理モジュールとしてｉＳＮＳサーバではなく、ファブリックを用いた点である。図１４はこの実施形態を示すものである。符号１３０はスイッチであり、ポート♯０にはサーバ１ａのポート（ＷＷＮ１）が接続され、ポート２♯２にはサーバ１ｂのポート（ＷＷＮ２）が接続されている。

ポート♯１には記憶制御装置１ａのポート（ＷＷＮ３）が接続されている。記憶制御装置１ａには、ホストグループ（ＨＧ♯０）とサーバ（ＷＷＮ１）とのグループに論理ユニットＬＵ０がマッピングされている。記憶制御装置１ａは、このＬＵＮセキュリティから、スイッチのポートとサーバとのアクセス特性関係を生成し、これをスイッチ内のネームサーバに登録する。符号１３２はネームサーバ１３２の制御テーブルを示すものであり、図１４の矢印１４Ａのように、ポートＰ♯０（スイッチ）とＷＷＮ１（サーバ）との組と、ポートＰ♯１（スイッチ）とＷＷＮ３（サーバ）との組とがゾーニング設定されている事を示している。

サーバ（ＷＷＮ１）からスイッチにログインがされた時、記憶制御装置１ａは、サーバ（ＷＷＮ１）のポート♯１からターゲットＷＷＮ３へのアクセスをアクセプトする。サーバＷＷＮ２がスイッチ１３０にアクセスしても、サーバＷＷＮ２のアクセス先となる記憶制御装置が設定されていないので、サーバＷＷＮ２からスイッチ１３０のアクセスは、記憶制御装置1aを介することなくリジェクトされる。

図１５は記憶制御装置がスイッチへアクセス情報を登録する過程を示すフローチャートである。管理装置４が記憶制御装置１ａへアクセス許可情報を設定する（図１３のＳ１）と、記憶制御装置１ａはスイッチがネットワーク４Ａに接続されているか否かを検討する（１４０２，１４０４）。

記憶制御装置１ａは、スイッチ１３０よりネームサーバ１３２の情報を取り込み（１４０６）、このネームサーバ情報に自ポートのＷＷＮがあるか否かをチェックする（１４０８）。自ポートのＷＷＮがある場合には、記憶制御装置のＬＵＮセキュリティに設定されたサーバのＷＷＮがあるか否かがチェックされる（１４１０）。これらが肯定されると、記憶制御装置は、或る一つの単位のＬＵＮセキュリティからディスカバリ情報を生成し（１４１２）、このディスカバリ情報をスイッチに送信する（１４１４）。スイッチのネームサーバはディスカバリ情報から既述のゾーニングを設定する。次いで、記憶制御装置は、全ての単位のＬＵＮセキュリティについて、スイッチへディスカバリ情報の設定が終了したか否かが判定される（１４１６）。

この実施形態によれば、記憶制御装置にアクセス許可の設定を行うことで、自動的にスイッチへディスカバリ情報が設定されるので、上位装置から不必要なログインやリトライ繰り返しによる、記憶制御ステムにおけるアクセス特性の劣化を防止することができる。なお、本発明の管理モジュールには、既述のｉＳＮＳサーバ及びスイッチがそれぞれ対応する

記憶制御システムの構成を機能ブロックで示した図である。 図２は記憶制御装置のハードウェア構成を示すブロック図である。 ｉＳＮＳサーバの機能ブロック図である。 デバイスリストテーブルである。 ディスカバリードメインリストテーブルの一例である。 ディスカバリードメインの構成例である。 記憶制御装置内に対して設定されるＬＵＮセキュリティを示す機能ブロック図である。 記憶制御装置の共有メモリに登録される制御テーブル群である。 記憶制御装置がｉＳＮＳサーバにディスカバリードメインを設定する場合のフローチャート。 イニシエータからターゲットに通知されたディスカバリードメイン情報の例である。 第２の実施例に係る記憶制御装置において、記憶制御装置がｉＳＮＳサーバにアクセスする経路の制御に関するフローチャート。 他の実施形態に係るターゲットネットワーク情報テーブルの一例である。 図１２のターゲットネットワーク情報テーブルに対応する他の制御テーブルの一例である。 第３の実施例に係る記憶制御システムの機能ブロック図。 図１４の動作を説明するフローチャート

符号の説明

１ 記憶制御装置、２ ホスト装置（上位装置）、３ スイッチ、４ 管理装置、５ ｉＳＮＳ サーバ、１０ａ・・１０ｃ コントローラ、３０ 通信ネットワーク、２２０ａ・・２２０ｃ 論理ユニット。

Claims (13)

1. 一つ又は複数のイニシエータを有するホスト装置と、
   一つ又は複数のターゲットと、記憶領域と、前記ターゲットと前記記憶領域とのアクセス関係を規定するセキュリティ特性と、を備える、記憶制御装置と、
   前記イニシエータと前記ターゲットとの間のアクセス対応関係が記憶された管理モジュールと、
   を備え、
   前記セキュリティ特性が前記記憶制御装置に設定された際、当該記憶制御装置は設定されたセキュリティ特性に基づいて、前記管理モジュールの前記アクセス対応関係を設定するようにした、記憶制御システム。
2. 記憶制御装置と、ホスト装置と、前記記憶制御装置の一つ又は複数のターゲットと前記ホスト装置の一つ又は複数のイニシエータとのアクセス対応関係を規定した第１の記憶領域を有する管理モジュールと、が通信ネットワークを介して接続され、前記イニシエータとターゲット間のアクセスを制御する、記憶制御システムであって、
   前記記憶制御装置は、
   前記ホスト装置からのアクセスを受けるポートと、
   前記ポートから出力された情報に対する処理を行うプロセッサと、
   前記ホスト装置から受信するライトデータ及び／又は前記ホスト装置に送信されるリードデータを記憶するデータ記憶装置と、
   前記ターゲットと、前記データ記録装置の、一つ又は複数の論理ユニットと、の間の対応関係を定めたＬＵＮセキュリティ特性と、前記イニシエータと前記ターゲットとの対応関係を定めたアクセス管理リストと、を記憶する第２の記憶領域と、を備え、
   前記プロセッサは、前記アクセス管理リストに基づいて、前記第１の記憶領域の前記アクセス対応関係を設定するようにした、記憶制御システム。
3. 前記第１の記憶領域のアクセス対応関係は、複数のイニシエータをそれぞれ区別する識別情報と、複数のターゲットをそれぞれ区別する識別情報と、互いに対応させた前記イニシエータと前記ターゲットとをグループに分けたドメイン情報と、を含む、請求項２記載の記憶制御システム。
4. 前記識別情報はｉＳＣＳＩプロトコルに於けるｉＳＣＳＩネームであり、前記管理モジュールはｉＳＮＳサーバである請求項３記載の記憶制御システム。
5. 前記第１の記憶領域の前記アクセス対応関係は、前記イニシエータと前記ターゲットのデバイス情報を含むデバイス情報テーブルを含む、請求項２記載の記憶制御システム。
6. 前記管理モジュールは、前記イニシエータのＷＷＮとターゲットのＷＷＮとのアクセス対応関係が前記第１メモリに記憶されたファブリックである、請求項３記載の記憶制御システム。
7. 前記記憶装置が前記管理モジュールにアクセスするのに複数のパスがあり、通信負荷の少ないパスを介して前記記憶装置が前記管理モジュールにアクセスする請求項２記載の記憶制御システム。
8. 前記プロセッサは、前記ＬＵＮセキュリティが設定された特定のターゲットに前記イニシエータが接続するように、前記アクセス特性を設定する、請求項２記載の記憶制御システム。
9. 前記記憶制御装置は、前記ポートと前記論理ユニットとの間に前記ターゲットに対する管理単位を設け、この管理単位とターゲットとの対応関係と、この管理単位と前記論理ユニットとの対応関係と、を前記ＬＵＮセキュリティ特性として前記第２メモリに登録する請求項２記載の記憶制御システム。
10. 前記第１のメモリの対応関係は、複数のイニシエータをそれぞれ区別する識別情報と、複数のターゲットをそれぞれ区別する識別情報と、互いに対応させた前記イニシエータと前記ターゲットとを複数のグループに分けたドメイン情報と、を備え、前記記憶制御装置は、前記ドメイン情報に含まれるグループの各々に識別記号を設定し、この識別機構をキーにして各グループに属するイニシエータに特定の前記管理単位を対応させるようにした、請求項９記載の記憶制御システム。
11. 前記記憶制御装置は、前記識別記号に基づいて前記ドメイン情報を形成し、このドメイン情報を前記管理モジュールに設定した、請求項１０記載の記憶制御システム。
12. 前記ｉＳＮＳサーバが前記記憶制御装置に内蔵されている、請求項４記載の記憶制御システム。
13. 前記ｉＳＮＳサーバに前記記憶制御装置内のターゲットと別な記憶制御装置のターゲットとがアクセス可能である、請求項１１記載の記憶制御システム。
    
    

Images