JP2007156587A - 電源制御方法およびこれを実現するシステム - Google Patents

Abstract

【課題】
リモート電源制御において高いセキュリティレベルを確保すること。また、電源制御をおこなうユーザと割当られるサーバの所属グループその他各種の属性を用いてリモート電源制御の可否を決定して自由度の高いシステム管理をおこなうこと。
【解決手段】
サーバ上に存在して外部からのリモート電源制御要求を処理するBMCまたは同様のハードウェア装置に対してクライアントから直接にリモート電源制御要求をおこなわせず、代わりにクライアントからの電源制御要求を一括集中して受け付ける管理サーバを設置し、この管理サーバが、クライアントから受信した電源制御要求に対してユーザとサーバの所属グループやその他の属性について記述された各種テーブルを参照して認証をおこない認証できた場合にのみクライアントに代わってサーバに対してリモート電源制御要求をおこなう。
【選択図】 図１

Description

本発明はコンピュータシステムのリモート電源制御に関する。

リモート電源制御の要求者をユーザIDとパスワードの組み合わせによって認証し、認証成功の結果をもって直ちに要求された電源制御の実行可否を決定して実行する電源制御技術が存在する。この技術を用いて、複数または単数のサーバを常時待機させておき、クライアントからの利用要求に応じて待機中のサーバの一部または全てのリソースを該クライアントに独占的に利用させ、該クライアントの利用終了後に該クライアントが利用したサーバを待機状態に戻すシステムを構成すると、特開２００３−２０３１８９にあるようにクライアントが利用する際にサーバの電源をオンし、クライアントの利用が終了した際に該サーバの電源オフをおこなうサーバのレンタルシステムを構成可能である。

また、ACPI(Advanced Configuration and Power Interface)、及び、IPMI(Intelligent Platform Management Interface)は既存の技術である。また電子鍵証明書の標準規格としてITU-T(International Telecommunication Union Telecommunication Standardization Sector)が勧告するX.509が存在する。

特開２００３−２０３１８９公報

クライアントの計算機からの要求に応じて一時的に使用する計算機であるブレードサーバをリモートコントロールさせてクライアントにブレードサーバのリソースを利用させる仕組みを大規模化し、多数のクライアントが多数のブレードサーバを利用し、これに伴ってブレードサーバの電源制御がおこなわれるシステム構成において、下記の課題を解決し、クライアント計算機から離れた場所にあるサーバ計算機の電源制御を容易にするものである。

リモート電源制御に用いられるIPMIで規定されたコンポーネントのBMC (Baseboard Management Controller)については、IPMIの仕様書である"- IPMI - Intelligent Platform Management Interface Specification Second Generation v2.0 Document Revision 1.0"の29ページ等で紹介されている。BMCのユーザ認証機能は、ユーザIDとパスワードの組み合わせを記憶しこれと照合してユーザ認証をおこなうといった単純な機能しか有しないハードウェア上の制約があり、認証方式に選択の余地がなく、より高いセキュリティレベルを確保することができない。

また、上記BMCの制約から、電源制御をおこなうユーザと割当られるサーバに対してグルーピングをおこなう、あるいは、複数の属性を持たせる等して割当および電源制御の可否を決定するようなサーバの割当管理方針を導入して、自由度の高いシステム管理をおこなうことができない。

サーバ上に存在して外部からのリモート電源制御要求を処理するBMCまたは同様のハードウェア装置に対してクライアントから直接に制御信号(不正な電源制御要求や電源制御要求を含む)が届かないように機器を設定・設置し、代わりにクライアントからの電源制御要求を一括集中して管理する管理サーバを設置して、この管理サーバ上で電源制御要求を受信して電源制御要求の認証をおこない認証できた場合のみ管理サーバが電源制御を代行する。これにより、サーバのリモート電源制御をおこなう主体を、信頼できる管理サーバに限定することが可能であり、セキュリティを確保することができる。

管理サーバによる電源制御要求の認証に加えて、電源制御をおこなうハードウェア装置側で管理サーバによる電源制御要求を認証してもよい。尚、管理サーバがおこなう認証では、単純にユーザIDとパスワードの組み合わせをユーザ識別子として受け取り認証してもよいが、電源制御要求をおこなったクライアントのユーザ個人の本人性をより高いセキュリティレベルで保証させるために、クライアントにユーザ個人を一意に特定する携帯型の個人認証デバイスを接続し、個人認証デバイス上に搭載されたITU-T勧告のX.509フォーマットに対応した、ユーザ個人を世界的に一意に証明する個人証明書をユーザ識別子とあわせて送信させてユーザ識別子による認証の他に個人証明書の認証をおこなえばユーザIDとパスワード盗難によるユーザの詐称を防止できる。

クライアント計算機から離れた場所にあるサーバ計算機の電源制御を容易に行うことができる。

以下に本発明の実施の形態を説明する。

以下、本発明を実施するための最良の形態を図面に基づいて詳細に説明する。

図１は本発明の一実施例である、クライアントからの要求に対してユーザ認証とリモート電源制御をおこなう管理サーバがブレードサーバを貸し出すシステムの全体構成図である。

クライアント100は、メモリ101、CPU 108、及び、マウスとキーボードと個人認証デバイスを接続することのできるUSB(Universal Serial Bus)インタフェース109、及び、表示装置を接続して画面情報を出力するためのビデオインタフェース 110、及び、NIC 111を備える。またメモリ101上には、リモートコントロールプログラム102、電源制御要求プログラム103、ユーザ識別子生成プログラム104、OS 105が格納されている。

リモートコントロールプログラム102は、割当ブレードサーバの接続先IPアドレス 107を取得して、ブレードサーバ140のメモリ141に格納されCPU 144で実行されるリモートコントロールサービス142に接続をおこないクライアント100のビデオインタフェース 110に接続された表示装置上にブレードサーバ140を制御するための画面を出力し更にUSBインタフェース 109に接続されたマウスとキーボードの操作情報をリモートコントロールサービス142に送信することでクライアント100の利用者にGUI(Graphical User Interface)を介してブレードサーバ140を制御させる。

電源制御プログラム103は、クライアント100のユーザから、ブレードサーバ140に対する電源制御の指示を受け取り、この電源制御の実行を管理サーバ120に要求するものである。ユーザ識別子生成プログラム104は、ユーザに入力させ個人に割当られたユーザ識別子をユーザに入力させて、ユーザ個人を一意に識別することのできるユーザ識別子106を取得してメモリ上に格納するものである。また管理サーバ120がクライアント100にブレードサーバを割当た際にクライアント100に通知するブレードサーバ上のリモートコントロールサービスの接続先IPアドレス情報をテーブル化した割当ブレードサーバの接続先IPアドレス 107をもつ。尚、図１ではクライアント100についてHDD(Hard Disk Drive)を具備しない、いわゆるTHINクライアントとしたが、HDDを具備していてもよい。

管理サーバ120は、メモリ121、CPU 127、及び、マウスとキーボードを接続することのできるUSBインタフェース128、及び、HDDを接続するためのIDE(Integrated Drive Electronics)インタフェース 129とこれに接続されたHDD 130、及び、表示装置を接続して画面情報を出力するためのビデオインタフェース134、及び、NIC 135を備える。またメモリ121上には、電源制御コマンド122、電源制御プログラム 123、ユーザ認証プログラム 124、リクエスト待ち受けプログラム125、OS 126が格納されている。またHDD 130上には、割当管理テーブル131、ユーザ管理テーブル132、ブレードサーバ管理テーブル133が格納されている。

ブレードサーバ140は、メモリ141、CPU 144、BMCの一部機能を省略したmBMC(mini-Baseboard Management Controller) 145、故障検出装置 146、電源制御装置 147、電源 148、NIC 149、HDDを接続するためのIDEインタフェース 150とこれに接続されたHDD 151を具備する。

ここでmBMC 145は、IPMI仕様に準拠しており、外部からの要求に従い電源管理をおこなう。また故障検出装置 146は、ブレードサーバ内に設置された温度センサや電圧センサの信号を監視して異常を監視しており、外部からの問い合わせに対して異常の有無を返信する機能を有する。電源制御装置 147は電源148を制御する機能を有しており、電源 148は外部から供給された電力をブレードサーバ内に給電する。尚、NIC 149とmBMC 145と電源制御装置 147は電源148とは別の図には示していない補助電源から給電されるため、電源148がオフの状態であっても常時機能する。

またメモリ141上にはACPIに準拠して電源制御をおこなうことのできるOS 143、及び、クライアント100上のリモートコントロールプログラム102と通信して、リモートコントロールプログラム102に対してブレードサーバ140を制御するための画面情報を送信し、またクライアント100からクライアント100に接続されたマウスとキーボードの操作情報を受信してその操作を実行することでクライアント100の利用者にブレードサーバ140を制御させるためのリモートコントロールサービス142を備えている。

尚、ブレードサーバ140に、表示装置を接続して画面情報を出力するためのビデオインタフェース、及び、キーボードとマウスを接続するためのインタフェースをも具備させ、電源制御コマンド122、電源制御プログラム123、ユーザ認証プログラム124、リクエスト待ち受けプログラム125、OS 126をメモリ 141上に格納し、HDD 151上に割当管理テーブル131、ユーザ管理テーブル132、ブレードサーバ管理テーブル133を配置して管理サーバ120と同等の構成とすることで、管理サーバ 120として利用することができる。

IPネットワーク160にはクライアント100のNIC 111が、IPネットワーク164にはブレードサーバ140のNIC 149が接続され、IPネットワーク160とIPネットワーク164はファイアウォール161と163、及び、ルータ 162を介して接続される。またルータ 162には管理サーバ120のNIC 135が接続される。クライアント100と管理サーバ120とブレードサーバ140はお互いの間で双方向通信をおこなう事ができる。但し悪意をもつ攻撃者から不正な電文送付等の手段で電源制御の仕組を攻撃されることを防止する目的で、ファイアウォール 161で、IPネットワーク160側から送信されてきたパケットでブレードサーバ群に向かうもののうち電源制御に作用する特徴をもつパケット(たとえばブレードサーバ140のNIC 149に複数のIPアドレスを付与して受信パケットをOS側と電源制御側で分離している場合には電源制御用のIPアドレスを宛先とするパケット)をフィルタリングして破棄する設定をおこなうことができる。尚、IPネットワーク160と、IPネットワーク164と、ルータ162とNIC 135間のネットワークにおける通信方式は無線であっても有線であっても構わない。

図2は管理サーバ 120のHDD 130上にあるブレードサーバ管理テーブル133の詳細な例である。ブレードサーバ管理テーブル133はブレードサーバの管理番号と、ブレードサーバのIPアドレスと、ブレードサーバの所属グループの各列をもつ。ブレードサーバの管理番号の列には、ブレードサーバを一意に識別する情報が、ブレードサーバのIPアドレスの列にはブレードサーバのNICに付与されているIPアドレスのうち、クライアント 100上のリモートコントロールプログラム 102がリモートコントロールサービス 142と通信する際の接続先IPアドレスが、またブレードサーバの所属グループの列には、各ブレードサーバが所属するグループをあらわすグループ識別子が登録されている。ここで各ブレードサーバは必ず1つのグループに所属している。

グルーピングすることにより、複数のユーザの所属する部署、課などユーザの属性に応じて使用する計算機を管理することができる。また、各ブレードサーバの性能に差異がある場合に、例えばグループ１に属するブレードサーバは高性能、グループ２に属するブレードサーバは低性能という分類を行ったり、ブレードサーバに格納しているアプリケーションに差異がある場合に、例えばグループ１に属するブレードサーバはグラフィック用アプリケーションが搭載されているグラフィック専用マシン、グループ２に属するブレードサーバはワープロソフトや、表計算ソフトが搭載された事務処理用マシンという分類を行うことができる。

このように使用するブレードサーバをグルーピングし、これと関連づけて電源管理を行うことで、電源管理を行うユーザや管理者が、自分の属するグループ以外のブレードサーバの電源を誤って操作してしまうことが無くなる。

図3は管理サーバ 120のHDD 130上にあるユーザ管理テーブル 132の詳細な例である。ユーザ管理テーブル 132は、ユーザ識別子と、ユーザの所属グループと、ユーザの権限の各列をもつ。ユーザ識別子の列にはクライアントからブレードサーバを利用する権利をもつすべてのユーザに対してユーザを一意に識別可能なユーザ識別子が登録されている。またユーザの所属グループの列には、同じ行のユーザ識別子の列に登録されているユーザ識別子に対応するユーザに対して電源管理を許可するブレードサーバのグループを指定するグループ識別子が登録されている。またユーザの権限の列には、電源制御に関して同じ行のユーザ識別子の列に登録されたユーザ識別子に対応するユーザの権限が登録されている。ユーザ権限には一般ユーザと管理者の2種類が存在し、一般ユーザの権限をもつユーザは、自分の所属グループのいずれかと同じグループに所属しているブレードサーバのうち、割当管理テーブル 131の割当可能なユーザ識別子として自分のユーザ識別子が記載されているブレードサーバに対してのみ電源制御を要求することができるが、管理者の権限をもつユーザは自分の所属グループと同じグループに所属するブレードサーバであればどのブレードサーバについても電源制御を要求することができる。

図４は割当管理テーブル 131の詳細な例である。割当管理テーブルは、ブレードサーバの管理番号、割当可能なユーザのユーザ識別子、割当ステータス、電源ステータス、故障有無の各列をもつ。ブレードサーバの管理番号の列にはブレードサーバを一意に特定する管理番号が、割当可能なユーザのユーザ識別子の列には当該ブレードサーバに割当ることのできるユーザのユーザ識別子が登録されている。当該ブレードサーバに割当可能なユーザは複数でもよく、その場合にはそれぞれのユーザのユーザ識別子が登録される。図４では管理番号５のブレードサーバが、複数のユーザa,b,cに割り当て可能であることを示す。

但し、ブレードサーバの割当は1つのブレードサーバを1人のユーザに占有させることを意味しており、割当可能なユーザのうち1人に当該ブレードサーバが割当られている間は他のユーザが当該ブレードサーバを重複して割当られることはない。逆に1人のユーザが複数のブレードサーバを割当られて利用することは可能である。図４では、ユーザaが管理番号１，３，５のブレードサーバを割り当て可能であることを示す。

尚、ユーザ識別子の列にユーザ識別子ではなくNULLが登録されている場合には、当該ブレードサーバはどのユーザに対しても割当がおこなわれない。割当ステータスの列には、当該ブレードサーバが管理サーバによってクライアントに割当済(割当不可)、未割当(割当可能)をあらわす情報が格納される。電源ステータスの列にはブレードサーバの電源の状態(オンまたはオフまたは不明=何らかの理由で情報取得不可)をあらわす情報が格納される。また故障有無の列にはブレードサーバの故障検出装置 146が異常を検出していれば有、検出していなければ無の状態が格納される。尚、電源ステータスと故障有無の列の情報は、管理サーバのリクエスト待ち受けプログラム 125がそれぞれブレードサーバのmBMC 145、故障検出装置 146に問い合わせをおこなって、定期的に更新するため、管理サーバの管理者はこの情報を実態にあわせて手動で変更する必要はない。

尚、管理サーバの管理者は、ブレードサーバ管理テーブル133、ユーザ管理テーブル 132、割当管理テーブル 131を閲覧・編集できるので、たとえば、割当管理テーブル 131の故障有無の列が有となって故障の疑いのあるブレードサーバを発見した場合、割当可能なユーザ識別子を一時的にNULLに書き換え、ブレードサーバの問題が解決したあとで、割当管理テーブル 131のユーザ識別子を書き換え前の状態に戻すことで故障の疑いのあるブレードサーバにユーザが割当られることを予防できる。また管理サーバの管理者は、存在するサーバ数よりも利用希望者が多くなることが見込まれる場合に、割当テーブル 131を書き換えて、特定のグループに属するユーザに優先的にサーバを割り当てるように設定を変更する、といった動的なシステム管理をおこなうことができる。

クライアント100のユーザは、ユーザ識別子生成プログラム 104を実行してユーザ識別子 106をメモリ101上に格納したあとで、電源制御要求プログラム103を実行して図5にあるGUI画面500を呼び出すことができる。GUI画面500は、情報表示・選択パネル501、電源オンボタン502、シャットダウンボタン503、強制電源オフボタン504、リセットボタン505、メッセージ表示エリア 507を具備する。また情報表示・選択パネル501はユーザに割当可能なブレードサーバについてそれぞれ、ブレードサーバの管理番号、割当ステータス、電源ステータス、故障有無の情報を表示する部位を有する。

尚、情報表示・選択パネル501に例示したブレードサーバの管理番号、割当ステータス、電源ステータス、故障有無の情報の表示内容は、ブレードサーバ管理テーブル 133とユーザ管理テーブル 132と割当管理テーブル 131の内容が、それぞれ図2、図3、図4で例示した状態である場合にユーザ識別子aをもつユーザがGUI画面500を呼び出した際に出力されるものである。この内容からユーザ識別子aをもつユーザが管理番号1および3に対応するブレードサーバに割当られていて独占的に利用できる状態であることが判る。電源制御要求プログラム 103は、ユーザ識別子106を定期的に管理サーバ 120に送信してこれらの情報を問い合わせて情報表示・選択パネル 501に表示される表示情報を更新する。

また、情報表示・選択パネルは、ユーザが、電源オンボタン502、またはシャットダウンボタン503、または強制電源オフ504、またはリセットボタン505を押下して電源操作する際に、電源操作の対象とするブレードサーバを指定するため、複数の選択項目からただ1つを排他的に選択させるユーザインタフェースであるラジオボタン506を有する。尚、電源オンボタン502はブレードサーバの電源オンを指示するものであり、シャットダウンボタン503はブレードサーバ上のOSを正常に終了処理させた後に電源オフすることを指示するものであり、強制電源オフボタン504はブレードサーバ上で稼動しているOSの正常な終了処理をおこなわず直ちに電源オフすることを指示するものであり、リセットボタン505は、ブレードサーバ上で稼動しているOSの正常な終了処理をおこなわずにハードウェアの初期化の実行を指示するものである。

クライアント100上でユーザが電源制御要求をおこなった場合に、クライアント100と管理サーバ120がおこなう処理を表したものが図6である。まずクライアント100上にある電源制御要求プログラム 103のGUI画面500上で、ユーザが電源オンボタン502、またはシャットダウンボタン503、または強制電源オフボタン504、またはリセットボタン505を押下すると、電源制御要求プログラム 103が、押下されたボタンに応じた電源制御の種別情報と、ラジオボタン506で選択された、電源操作の対象となるブレードサーバを一意に特定するブレードサーバ管理番号と、電源制御を要求したユーザ個人を一意に特定するユーザ識別子 106を含む電源制御要求の電文を作成して管理サーバに送信 602する。管理サーバ上のリクエスト待ち受けプログラム125は、この電源制御要求の電文を受信する603と、電文に埋め込まれたユーザ識別子 106を取り出してユーザ認証 604に渡す。ユーザ認証604は、渡されたユーザ識別子 106が、ユーザ管理テーブル 132のユーザ識別子の列に存在するか否かの照会をおこない、このユーザ識別子の列に渡されたユーザ識別子が存在すればユーザ認証成功、存在しなければユーザ認証失敗と判定605する。

ユーザがクライアントにアクセスするための識別子であるクライアントユーザ識別子と、ユーザがブレードサーバにアクセスするための識別子であるユーザ識別子は同じ識別子であっても良いが、異なる識別子にすることにより、管理者は管理者の使用するクライアント識別子を用いて、他のユーザが使用する他のユーザ識別子に対応したブレードサーバの制御をすることができる。

上記ユーザ認証604は更に高いセキュリティレベルを確保するために拡張することが可能である。たとえば、電子証明書などの個人証明書を搭載した個人認証デバイスを各ユーザに配布し、この個人認証デバイスをUSBインタフェース109に接続して、クライアント100上のユーザ識別子生成プログラム103が、個人認証デバイスに格納された個人証明書を取得してこれをユーザ識別子とし、電源制御要求を受信した管理サーバのリクエスト待ち受けプログラムが、受信した個人証明書を認証局に問い合わせてユーザ個人が偽証されていないかを確認する等の手段をとることで、より高いセキュリティレベルを確保できる。

また、ユーザが使用するクライアントのMAC（Media Access Control）アドレスやIP（Internet Protocol）アドレスなどの識別情報を、電源制御を行うユーザ認証に使用したり、各クライアントに固有のマシンIDを付与し、このマシンIDを電源制御を行うユーザ認証に使用することで、ユーザ識別子だけでなく、そのユーザが使用しているクライアントからの電源制御要求でなければ、電源制御が行えなくなり、ユーザのなりすましに対応したより高いセキュリティレベルを確保することができる。

管理サーバ上のリクエスト待ち受けプログラム125は、ユーザの認証に失敗した場合は、電源制御要求に対する結果コード(失敗)をクライアントに送信 606して終了 607する。一方、ユーザの認証に成功した場合は、電源制御要求の電文から、押下されたボタンに応じた電源制御の種別情報と、電源操作の対象とするブレードサーバを一意に特定することのできるブレードサーバ管理番号を取り出して、要求された電源制御を対象ブレードサーバに対して実行することができるか否か、管理サーバがもつ割当管理テーブル 131、ユーザ管理テーブル 132、ブレードサーバ管理テーブル 133を確認して電源制御要求の要求受理/要求拒否の判断 608をおこなう。

要求受理/要求拒否の判断608において管理サーバ上のリクエスト待ち受けプログラム125は、ユーザ管理テーブル132に記載された電源制御要求をおこなったユーザの所属グループにブレードサーバ管理テーブル133に記載された電源制御対象となるブレードサーバの所属グループが含まれていなければ電源制御要求を拒否する。一方、ユーザ管理テーブル132に記載された電源制御要求をおこなったユーザの所属グループにブレードサーバ管理テーブル133に記載された電源制御対象となるブレードサーバの所属グループが含まれている場合、電源制御要求をおこなったユーザの権限を、ユーザ識別子を検索キーとしてユーザ管理テーブル132から取得し、管理者であれば電源制御要求は仮受理し、一般ユーザであれば電源制御対象となるブレードサーバに割当可能なユーザ識別子を割当管理テーブル131から取得して、電源制御要求をおこなったユーザのユーザ識別子と一致する場合には電源制御要求は仮受理し、それ以外の場合には電源制御要求は拒否する。

更にリクエスト待ち受けプログラム125は、上記で仮受理した電源制御要求に対して、電源制御要求をおこなったユーザの権限と電源制御の種別とブレードサーバの割当管理テーブル131の状態から受理するか否かを決定する。まず、電源制御要求をおこなったユーザが管理者の権限をもつ場合には、電源オン、シャットダウン、強制電源オフ、リセットのいずれの電源制御要求であっても要求受理する。一方、電源制御要求をおこなったユーザが一般ユーザの場合、電源オンの要求に対しては、割当ステータスが未割当でなおかつ電源状態がオフでなおかつ故障有無が無の状態である場合にのみ、シャットダウン、強制電源オフ、リセットの要求に対しては、割当ステータスが割当済でなおかつ電源状態がオンでなおかつ故障有無が無の状態である場合にのみ要求受理し、それ以外の場合には要求拒否とする。

管理サーバ上のリクエスト待ち受けプログラム125は、上記で要求拒否の判断をした場合には、電源制御をおこなわず、結果コード(失敗)をクライアントに送信して終了する。一方で、要求受理の判断をした場合には、電源制御プログラム 123に要求された電源制御処理を実行 610させる。その後、電源制御プログラム 123が電源制御をおこなった結果を取得して電源制御に成功したか失敗したかを判断 611し、失敗した場合には電源制御要求に対する結果コード(失敗)をクライアントに送信 606して終了 607する。

一方で電源制御に成功した場合にはテーブル更新処理 612をおこなう。このテーブル更新 612では、電源オンに成功した場合には割当管理テーブル 131の割当ステータスを割当に更新し、シャットダウンまたは強制電源オフに成功した場合には割当管理テーブル 131の割当ステータスを未割当に変更する。その後、リクエスト待ち受けプログラム125は結果コード(成功)、及び、電源オンにより新規に割当られた場合には、ブレードサーバ管理テーブル 133から割当られたブレードサーバの管理番号とIPアドレスをクライアントに送信して終了 614する。クライアント100上にある電源制御要求プログラム 103は、電源制御リクエストを作成して管理サーバに送信 602したあと、管理サーバから電源制御の結果を受信 615し、テーブル更新 616で新規に割当られたブレードサーバがある場合にはそのIPアドレスをブレードサーバの接続先IPアドレス 107に追加し、電源制御の結果に対応するメッセージをGUI画面 500上にあるメッセージ表示エリア 507に出力 617して終了 618する。

図７は管理サーバ120の管理者がブレードサーバ140の電源を手動で制御するために、OS 126が提供するCUI(Character User Interface)上で電源制御コマンド122を実行 701した場合の電源制御処理フローをあらわすものである。まず、管理サーバ120上で電源制御コマンド 122が実行 701されると、電源制御コマンドは実行者の実行権限の情報をOS 126から取得し702、実行者がOS 126の管理者の権限をもつか否かの判断をおこなう 703。ここで実行者がOS 126の管理者権限をもたない場合には、電源制御コマンドを実行する権限がないと見なし、電源制御コマンド 122はOS 126が提供するCUI上にエラーを出力 704して終了 705する。一方で703において、実行者がOS 126の管理者権限をもつ場合には、電源制御コマンド122は、ユーザが電源制御コマンドを実行する権限をもつと見なして、電源制御プログラム123に電源制御処理をおこなわせて 706、この結果が失敗だった場合にはエラーをOS 126が提供するCUI上に出力して終了 709し、成功だった場合には成功メッセージをOS 126が提供するCUI上に出力 711して終了 712する。

管理サーバ120上にある電源制御プログラム 123 がブレードサーバ140上のmBMC 145、及びOS 143に対してリモート電源制御をおこなう処理の流れを表したものが図8である。まず、電源制御プログラム 123は、リクエスト待ち受けプログラム 125または電源制御コマンド 122からの電源制御の指示をIPMIコマンドに変換するIPMIコマンド生成処理 802をおこなう。ここで生成されるIPMIコマンドはIPMIの仕様書"- IPMI - Intelligent Platform Management Interface Specification Second Generation v2.0 Document Revision 1.0"の358ページ等に記載されているシャーシ制御コマンドであり、このシャーシ制御コマンドの要求内容として、電源オン要求に対しては電源オンを指示する”Power Up”、強制電源オフ要求に対しては電源オフを指示する”Power Down”、リセット要求に対してはリセットを指示する”Hard Reset”、 シャットダウン要求に対してはシャットダウンを指示する”Soft Shutdown”が指定される。電源制御プログラム 123 は、生成したIPMIコマンドをブレードサーバ上のmBMC 145に送信するIPMIコマンド送信 803を実行する。ブレードサーバ140上のmBMC 145は、このIPMIコマンドを受信して電源制御の処理を開始する 804。ブレードサーバ140上のmBMC 145は、受信したIPMIコマンドの内容が、OSの終了処理を実行した上で電源オフを実行する必要のある”Soft shutdown”であるか否かを確認する 805。

ここで”Soft Shutdown”要求である場合mBMC 145はOSにシャットダウン開始を指示するため、ACPIを利用して電源ボタン押下イベントをOS 143に通知する。この電源ボタン押下イベントはACPIの仕様書である"Advanced Configuration and Power Interface Specification Revision 3.0"の63ページで紹介されているとおり、通常ユーザが4秒間より長く電源ボタンを押下した場合に通知されるものであるが、ここではmBMC 145がOS 143に”Soft shutdown”を実行させるために通知している。OS 143はこのイベントを検知し、電源ボタン押下イベントに対する処理としてOS 143の電源制御の設定においてあらかじめ管理者に選択させたシャットダウン処理を実行し 808、電源オフしても安全となった時点でmBMCに対して電源オフの処理を指示 809した上で停止する 810。

一方、”Soft shutdown”要求を受けた806で電源ボタン押下イベントをOSに通知したmBMCはOSからの電源断の指示を待ち、OSから電源断の指示あり次第、電源制御装置 147に電源オフの信号を送信してブレードサーバ 140の電源 148からの給電を切断する。また、条件分岐805において、電源制御プログラムから送付されたIPMIコマンドが”Soft shutdown”でない場合、mBMCは要求された内容に応じた信号を電源制御装置 147に送信して要求を実行させる。その後、ブレードサーバ140上のmBMC 145は実行した電源制御の結果を管理サーバ120上にある電源制御プログラム 123に送信 815して終了 816する。また管理サーバ120上にある電源制御プログラム 123は、mBMC 145から電源制御の結果を受信 817して処理を終了 818する。

BMCのユーザ認証機能は、ユーザIDとパスワードの組み合わせを記憶しこれと照合してユーザ認証をおこなうといった単純な機能しか有しないハードウェア上の制約がある、また、ブレードサーバのBMCのみで電源制御要求の認証を行うと、BMCに直接電源制御要求を行う不正アクセスに対処できない、これに対し本実施例によれば、クライアントからの電源制御要求を信頼できる管理サーバで一括して受信し、管理サーバが電源制御要求を認証してからブレードサーバに対するリモート電源制御を実行することで、電源制御要求に対して十分な認証を行うことができる。

また、さらにセキュリティレベルを上げるために、ブレードサーバ140のBMC145の認証機能により、管理サーバ120の認証をおこなうこともできる。管理サーバ120がブレードサーバに電源制御コマンドを送信する際に、この電源制御コマンドと共に、管理サーバ120を示す識別情報を送信する。BMC145は予め定められた管理サーバからの電源制御コマンドのみを受け付ける。管理サーバ120の識別情報は、管理サーバのIPアドレスやMACアドレスを使用することができる。

本実施例では、管理サーバは、ブレードサーバと同一拠点にあることを想定しているが、管理サーバがブレードサーバとは離れた拠点に有るような場合でも、管理サーバを認証することでセキュリティが向上する。また、管理サーバが複数有るような場合でも、それぞれの管理サーバの認証を行うことで、柔軟な電源管理を行うことができる。

ブレードサーバのBMCの認証機能は簡易なものであるため、このような２重の認証を行う構成をとることで、クライアントを使用するユーザの認証は管理サーバがしっかりと行い、管理サーバの認証はブレードサーバのBMCが簡易に行うことができる。

なお、本実施例ではBMCの簡易な認証を利用することを想定しているが、BMCのような管理コントローラであっても、しっかりとした堅固な認証を行うことができる場合は、この認証を使用することができる。

また、上記BMCの制約から、電源制御をおこなうユーザと割当られるサーバに対してグルーピングをおこなう、あるいは、複数の属性を持たせる等して割当および電源制御の可否を決定するようなサーバの割当管理方針を導入して、自由度の高いシステム管理をおこなうことができる。

また上記管理サーバがリモート電源制御する際に、単にユーザを認証するだけでなく、登録されたユーザ情報、所属するグループ、ブレードサーバの電源状態、ブレードサーバ故障の有無から電源制御の可否を決定させることが可能となるため、システム管理者にとってサーバ割当方針の設定の自由度があがる。

上述した実施形態は、本発明の趣旨を逸脱しない範囲で適宜変更や組み合わせ可能である。

本発明の実施形態に係るシステム構成図の例である。 本実施形態における管理サーバの具備するブレードサーバ管理テーブルを表す図の例である。 本実施形態における管理サーバの具備するユーザ管理テーブルを表す図の例である。 本実施形態における管理サーバの具備する割当管理テーブルを表す図の例である。 本実施形態における電源制御要求プログラムのGUI画面を表す図の例である。 本実施形態における電源制御の流れ図の例である。 本実施形態における電源制御の流れ図の例である。 本実施形態における電源制御の流れ図の例である

符号の説明

１００ クライアント
１２０ 管理サーバ
１４０ ブレードサーバ
１３１ 割当て管理テーブル
１３２ ユーザ管理テーブル
１３３ ブレードサーバ管理テーブル
１４５ ｍＢＭＣ
１４７ 電源制御装置
１４８ 電源
５００ 電源制御要求プログラムのＧＵＩ画面

Claims (15)

1. 複数のブレードサーバで構成されるサーバと、前記ブレードサーバを操作するクライアントと、前記サーバを管理する管理サーバとを有するシステムにおけるブレードサーバの電源制御方法であって、
   前記管理サーバは、前記ブレードサーバを使用するユーザを識別するブレードサーバユーザ識別子と前記ブレードサーバとの対応関係を示す情報を有し、
   前記クライアントは、前記クライアントを使用するユーザを識別するクライアントユーザ識別子と、前記ブレードサーバを特定する情報とを含む第１の電源制御要求を前記管理サーバに送信し、
   前記第１の電源制御要求を受信した前記管理サーバは、前記クライアントユーザ識別子に対応するブレードサーバユーザ識別子と、前記ブレードサーバを特定する情報とが対応付けられていることを前記対応関係を示す情報により判定し、
   前記ブレードサーバユーザ識別子と前記ブレードサーバを特定する情報とが対応付けられていた場合に前記管理サーバは、前記ブレードサーバを特定する情報に基づいて特定した前記ブレードサーバに第２の電源制御要求を送信し、
   前記第２の電源制御要求を受信した前記ブレードサーバは、受信した前記第２の電源制御要求に基づいて自ブレードサーバの電源を制御する
   ことを特徴とする電源制御方法。
2. 前記ブレードサーバは、管理コントローラを有し、
   前記第２の電源制御要求を前記管理コントローラが受信し、前記管理コントローラが、前記ブレードサーバの電源制御装置を制御し、前記ブレードサーバの電源制御を行う
   ことを特徴とする請求項１記載の電源制御方法。
3. 前記管理サーバは、クライアントユーザ識別子に対応づけられたユーザの権限に関する権限情報を有し、
   前記管理サーバは、前記権限情報に基づいて、前記第１の電源制御要求に含まれる前記クライアントユーザ識別子を有するユーザが権限を有しているかどうかを判定し、
   前記クライアントユーザ識別子を有するユーザが権限を有している場合に、前記ブレードサーバを特定する情報に基づいて特定したブレードサーバに前記第２の電源制御要求を送信する
   ことを特徴とする請求項１又は２に記載の電源制御方法。
4. 前記サーバの複数のブレードサーバは、複数のグループに分類されており、
   前記管理サーバは、前記ブレードサーバと前記ブレードサーバが属するグループとの対応関係を示す情報を有し、前記グループは前記グループに属するブレードサーバの電源制御を許された前記クライアントユーザ識別子と対応づけられており、
   前記管理サーバは、前記ブレードサーバを特定する情報に基づいて特定した前記ブレードサーバが、前記第１の電源制御要求に含まれる前記クライアントユーザ識別子に対応づけられたグループに属している場合に、前記特定したブレードサーバに前記第２の電源制御要求を送信する。
   ことを特徴とする請求項１乃至３に記載の電源制御方法。
5. 前記第１の電源制御要求が、前記ブレードサーバの電源をオフ、または再起動する要求である場合であって、前記ブレードサーバの前記管理コントローラを介して取得した前記ブレードサーバの電源状態がオンである場合に、前記管理サーバは前記第２の電源制御要求を前記特定したブレードサーバに送信する
   ことを特徴とする請求項１乃至４に記載の電源制御方法。
6. 前記ブレードサーバを特定する情報は、前記ブレードサーバのMAC（Media Access Control）アドレスまたはIP（Internet Protocol）アドレスのうちの少なくともいずれかを含む
   ことを特徴とする請求項１乃至５に記載の電源制御方法。
7. 前記第２の電源制御要求には、前記管理サーバを特定する情報が含まれており、
   前記第２の電源制御要求を受信した前記管理コントローラは、前記第２の電源制御要求に含まれる前記管理サーバを特定する情報に基づいて、前記管理コントローラを有する前記ブレードサーバの電源制御要求を実行するかどうかを判定する
   ことを特徴とする請求項２乃至６に記載の電源制御方法。
8. 前記管理サーバは、前記サーバを構成する複数のブレードサーバの一部であることを特徴とする請求項１乃至７に記載の電源制御方法。
9. 複数のブレードサーバで構成されるサーバと、前記ブレードサーバを操作するクライアントと、前記サーバを管理する管理サーバとを有するシステムであって、
   前記クライアントは、
   入力装置に入力された操作情報を前記ブレードサーバに送信するリモート操作部と、
   前記ブレードサーバから受信する画面情報を表示する表示部と、
   前記クライアントを使用するユーザを識別するクライアントユーザ識別子と、前記ブレードサーバを特定する情報とを含む第１の電源制御要求を作成し、前記第１の電源制御要求を送信する電源制御要求発行部と、を有し、
   前記管理サーバは、
   前記ブレードサーバを使用するユーザを識別するブレードサーバユーザ識別子と前記ブレードサーバとの対応関係を示す情報を格納する記憶装置と、
   前記第１の電源制御要求を受信する要求受付部と、
   前記第１の電源制御要求に含まれる前記クライアントユーザ識別子に対応するブレードサーバユーザ識別子と、前記ブレードサーバを特定する情報とが対応づけられていることを、前記対応関係を示す情報により判定する判定処理部と、
   前記ブレードサーバユーザ識別子と前記ブレードサーバを特定する情報とが対応づけられていた場合に、前記ブレードサーバを特定する情報に基づいて特定した前記ブレードサーバに第２の電源制御要求を送信する電源制御コマンド発行部と、を有し、
   前記ブレードサーバは、
   前記クライアントから受信する操作情報を受信し前記ブレードサーバを操作し、前記クライアントに画面情報を送信するリモート操作サービス部と、
   前記ブレードサーバの電源制御装置を制御する管理コントローラと、
   前記第２の電源制御要求に基づいて前記ブレードサーバの電源を制御する電源制御装置と、を有する
   ことを特徴とするシステム。
10. 前記管理サーバは、
    ユーザ識別子に対応づけられたユーザの権限に関する権限情報を有し、
    前記判定処理部は、前記権限情報に基づいて、前記第１の電源制御要求に含まれる前記クライアントユーザ識別子を有するユーザが権限を有しているかどうかを判定し、
    前記電源制御コマンド発行部は、前記クライアントユーザ識別子を有するユーザが実行権限を有している場合に、前記ブレードサーバを特定する情報に基づいて特定したブレードサーバに前記第２の電源制御要求を送信する
    ことを特徴とする請求項９に記載のシステム。
11. 前記サーバの複数のブレードサーバは、複数のグループに分類されており、
    前記管理サーバは、
    前記複数のブレードサーバと前記ブレードサーバが属するグループとの対応関係を示す情報を有し、前記グループは前記グループに属するブレードサーバの電源制御を許された前記クライアントユーザ識別子に対応付けられており、
    前記管理サーバは、前記ブレードサーバを特定する情報に基づいて特定した前記ブレードサーバが、前記第１の電源制御要求に含まれる前記クライアントユーザ識別子に対応づけられたグループに属している場合に、前記特定したブレードサーバに前記第２の電源制御要求を送信する。
    ことを特徴とする請求項９又は１０に記載のシステム。
12. 前記ブレードサーバを特定する情報は、前記ブレードサーバのMAC（Media Access Control）アドレスまたはIP（Internet Protocol）アドレスのうちの少なくともいずれかを含む
    ことを特徴とする請求項９乃至１１に記載のシステム。
13. 前記ブレードサーバの前記管理コントローラは、前記第２の電源制御要求に含まれる前記管理サーバを特定する情報に基づいて、前記管理コントローラを有する前記ブレードサーバの電源制御要求を実行するかどうかを判定する
    ことを特徴とする請求項９乃至１２に記載のシステム。
14. 前記管理サーバは、前記サーバを構成する複数のブレードサーバの一部であることを特徴とする請求項９乃至１３に記載のシステム。
15. ブレードサーバを管理する管理サーバであって、
    前記クライアントを使用するユーザと前記ブレードサーバとの対応関係を示す情報を格納する記憶装置と、
    クライアントを使用するユーザを識別するクライアントユーザ識別子と、前記ブレードサーバを特定する情報とを含む第１の電源制御要求を受信する要求受付部と、
    前記第１の電源制御要求に含まれる前記クライアントユーザ識別子に対応するブレードサーバユーザ識別子と、前記ブレードサーバを特定する情報とが対応づけられていることを、前記対応関係を示す情報により判定する判定処理部と、
    前記ブレードサーバユーザ識別子と前記ブレードサーバを特定する情報とが対応づけられていた場合に、前記ブレードサーバを特定する情報に基づいて特定した前記ブレードサーバに第２の電源制御要求を送信する電源制御コマンド発行部と、
    を有することを特徴とする管理サーバ。
    

Images