JP2008040590A - コンピュータシステムおよびコンピュータへのアクセス制御方法 - Google Patents

Abstract

【課題】
ブレードＰＣへのアクセスが競合した場合、安全性を犠牲にせずに正規のユーザの使用を確保する。
【解決手段】
ブレードＰＣの利用に競合があった場合、所定数の追加の認証情報を入力させることにより、正規のユーザを判別する。追加の認証情報により正規のユーザが判別できた場合のみ、正規のユーザに利用を継続させる。また、利用を継続させるとともに、次回の利用要求時には、正規にユーザが判別可能であった分の追加の認証情報を要求する。
【選択図】 図１

Description

本発明は、リモートディスクトップ等、ネットワークを介してリモートのコンピュータにアクセスするコンピュータシステムの管理に関する技術である。

個々のユーザが利用しているパーソナルコンピュータ（PC)のハードディスクに記憶しているデータやアプリケーションをブレード化してサーバ側に集約してユーザに割り当てる技術がある（例えば、非特許文献１参照。）。

非特許文献１に記載の技術を用いたシステムをブレードＰＣシステムと呼ぶ。ブレードＰＣシステムでは、ブレード化されたＰＣ(以後、ブレードＰＣと呼ぶ。）にアクセスしてきたユーザが正規のユーザであるかを判別する必要がある。

判別方法には、例えば、ログオン時に認証情報を要求するものがある。しかし、認証情報による確認だけでは認証情報が漏れてしまった場合、簡単にアクセスされてしまい、不正なユーザにブレードＰＣを使用されてしまう。

これを防ぐために、認証情報の要求に加え、アクセスがあるたびに予め登録されている正規のユーザに通常のアクセスルートとは異なるルートでアクセスがあったことを通知し、正規のユーザからのアクセスであるか否かをダブルチェックする技術がある（例えば、特許文献１参照。）。

日経コミュニケーション２００５年２月１日号，７２頁〜７３頁 特開２００２−９１９７号公報

ブレードＰＣシステムでは、ユーザは主たる業務をサーバ上のブレードＰＣに配置するため、ユーザは頻繁にそのブレードＰＣにアクセスしなければならない。特に出張等で移動しながらブレードＰＣにアクセスする場合には、ブレードＰＣの起動や終了、アクセスの中断や再開などの処理を頻繁に行うことがある。このため、アクセス時に認証情報による認証処理に加え、ユーザにアクセスの確認をする方法は、正規のユーザにとっては煩雑である。

また、ユーザは、ネットワークを介してどこからでもアクセスするため、携帯電話など常に確認が取れる手段が存在している場合には問題ないが、予め登録可能な固定の確認手段を持っていないユーザは、この技術は用いることはできない。さらに、例えば携帯電話を忘れるなど折り返しの確認を受信する装置もしくはアプリケーションを保持していないときには、正規のユーザであってもブレードＰＣを使用できないことになる。また、正規のユーザを詐称するユーザ（詐称ユーザ）が何度もアクセスしてきた場合、正規のユーザは逐一その詐称ユーザからのアクセスを拒否しなければならない。これを回避するにはアクセスの一時停止か認証情報の変更を行うことが考えられる。しかし、アクセスを一時停止してしまうとユーザ業務ができなくなるし、認証情報がクレジットカードのように変更に時間がかかる場合は早急の対応ができず、いずれも現実的ではない。

一般に、ブレードＰＣシステムでは、ブレードＰＣが使用されている時、同じブレードＰＣに更なるアクセスがあった場合、すなわち、同一ブレードＰＣへのアクセスが競合した場合、先に使用している者が優先されて、後からアクセスしたもののアクセスが拒絶される構成と、逆に後からアクセスしたものが優先され、先に使用しているものが突然使用できなくなる構成とがある。

前者の場合、詐称ユーザが先にブレードＰＣを使用している場合、後からアクセスした正規のユーザは使用できないことになり、後者の場合、正規のユーザが使用中に詐称ユーザがアクセスしてくると、正規のユーザの接続が断たれてしまうことになる。いずれの構成であっても、不都合がある。

認証情報だけによる確認では、認証情報が漏れた場合、現状のブレードＰＣシステムでは、上述のように詐称ユーザにブレードＰＣを使用されてしまい、不正なユーザにブレードＰＣにアクセスされるだけでなく、ブレードＰＣを占有されてしまうことになる。すなわち、ブレードＰＣにアクセスが競合した場合、必ずしも正規のユーザの使用を確保できていない。

本発明は、上記事情に鑑みてなされたもので、ブレードＰＣへのアクセスが競合した場合、安全性を犠牲にせずに正規のユーザの使用を確保可能な技術を提供することを目的とする。

上記課題を解決するために、本発明では、ブレードＰＣへのユーザのアクセスを管理する管理システムにおいて、ブレードＰＣの利用に競合があった場合、所定数の追加の認証情報により正規のユーザを判別して、正規のユーザにブレードリソースを利用させる。また、一旦競合が発生すると、その後は、正規のユーザを判別可能であった追加の認証情報をアクセス時に要求する。

具体的には、複数のコンピュータを備えるブレードサーバと、クライアント端末と、前記クライアント端末から前記ブレードサーバへのアクセスを管理するブレードサーバ管理装置とを備えるブレードシステムであって、前記ブレードサーバ管理装置は、ユーザ毎に認証情報と１以上の追加の認証情報とを保持する認証情報保持手段と、前記認証情報保持手段に保持されている認証情報に合致する認証情報を、前記ブレードサーバを利用する利用要求とともに前記クライアント端末を介して送信してきた場合、当該利用要求を受け付けるアクセス制御手段と、前記アクセス制御手段で前記利用要求を受け付けた際、当該利用要求により接続を要求するブレードサーバが同じ認証情報により既に利用されている競合状態であるか否かを判断する利用状況判断手段と、競合状態であると判断した場合、前記追加の認証情報の送信を要求し、要求した追加の認証情報により判別した正規のユーザの接続を許可し、他のユーザの接続を遮断する起動制御手段と、を備え、前記起動制御手段は、１のユーザから送信された追加の認証情報のみが前記認証情報保持手段に保持されている追加の認証情報に合致した場合、当該合致した追加の認証情報を送信してきたユーザを正規のユーザと判別することを特徴とするブレードシステムを提供する。

本発明によれば、ブレードＰＣへのアクセスが競合した場合、安全性を犠牲にせずに正規のユーザの使用が確保できる。

＜＜第一の実施形態＞＞
以下、本発明の実施形態について図面を用いて説明する。まず、本発明の第一の実施形態を図１から図７を用いて説明する。

図１は、本実施形態のブレードＰＣをリモートから利用するブレードＰＣシステムのシステム構成図である。本システムは、ユーザが利用するＰＣに相当する構成を備えるブレードＰＣ２０と、ユーザがブレードＰＣ２０を利用するためのインタフェースとなるクライアント端末３０と、システム全体を管理するシステム管理装置１０とを備える。システム管理装置１０と、ブレードＰＣ２０とは、管理用通信網１により接続される。また、クライアント端末３０は、管理用通信網１にネットワーク２とスイッチＬ３ＳＷ６０とを介して接続される。また、クライアント端末３０は、ネットワーク２とネットワークスイッチ（ＬＳ２Ｗ）５０とを介してブレードＰＣ２０に接続可能な構成となっている。

なお、ブレードＰＣ２０の数は、本システムを利用するユーザの数である場合を例にあげ、以下、本実施形態を説明するが、ブレードＰＣ２０の数はこれに限られない。

ブレードＰＣ２０は、通常のＰＣと同等の構成を備え、中央処理装置（ＣＰＵ）２３と、ＣＰＵ２３が処理を実行する際必要なデータやプログラムを一時的に保持するワークメモリ２２と、そのブレードＰＣに割り当てられているユーザのデータやアプリケーションを保持するディスク装置２５と、システム管理装置１０と通信を行うインタフェースである第一の通信制御装置２１と、クライアント端末３０と通信を行うインタフェースである第二の通信制御装置２６と、プログラムを格納するプログラムメモリ２４とを備える。プログラムメモリには、ユーザのアクセス状況を監視する監視プログラム２４１が格納される。なお、上記第一の通信制御装置２１と第二の通信制御装置２６とは、１つの通信制御装置として構成してもよい。また、ディスク装置２５は、別装置として存在するストレージ装置上に配置してもよい。

クライアント端末３０は、ブレードＰＣ２０との通信およびネットワーク２を介してのシステム管理装置１０との通信を行う際のインタフェースである通信制御装置３１と、プログラムを格納するプログラムメモリ３２と、中央処理装置（ＣＰＵ）３４と、プログラムメモリ３２に格納されたプログラムをＣＰＵ３４が実行する際のワークエリアであるワークメモリ３３と、ブレードPC２０から受信した画面情報を表示する出力装置であるディスプレイ３５と、データ入力のためのインタフェースとなる入力装置であるキーボード３６およびマウス３７と、出力装置および入力装置を制御するための入出力制御装置３８と、を備える。

クライアント端末３０上のプログラムメモリ３２には、システム管理装置１０と情報を交換する機能を実現するコンソールプログラム３９とブレードＰＣ２０との通信インタフェースを実現する画面制御プログラム４０とが格納される。

システム管理装置１０は、中央処理装置（ＣＰＵ）１４と、管理通信網１を介してユーザが利用しているクライアント端末３０、ブレードＰＣ２０およびＬ２ＳＷ５０と通信するための通信制御装置１１と、ＣＰＵ１４がプログラムを実行する際の演算領域および結果の格納領域として機能するワークメモリ１５と、ユーザ情報やブレードＰＣ２０の構成情報を格納するデータベース１３と、管理に関するプログラムを格納するプログラムメモリ１２と、ブレードＰＣ２０の利用状況などの管理情報を表示する出力装置であるディスプレイ１６、割込み処理に関連する様々な情報を入力するための入力装置であるキーボード１７およびマウス１８、入力装置および出力装置を制御するための入出力制御装置１９と、を備える。

プログラムメモリ１２には、管理用のプログラムが格納される。管理用のプログラムには、クライアントＰＣに接続ざれているＬ２ＳＷ５０を制御するスイッチ制御プログラム１２１、利用者を同定するために必要とする情報をデータベースに登録する個人同定情報登録プログラム１２２、ユーザに対してブレードＰＣ２０の利用を制御するアクセス制御プログラム１２３、およびユーザアクセス監視プログラム１２４がある。

ユーザアクセス監視プログラム１２４は、ＣＰＵ１４がワークメモリ１５にロードして実行することにより、ユーザアクセス監視機能を実現する。ユーザアクセス監視機能は、ブレードＰＣ２０上の監視プログラム２４との通信を行い、ブレードＰＣ２０上でのファイルアクセスやアプリケーションの起動などを把握し、外部からブレードＰＣ２０へのアクセスを監視する。またネットワーク装置（例えばＬ２ＳＷ５０）との通信により、そのネットワーク装置を介してネットワークに流れるデータを監視する。

スイッチ制御プログラム１２１は、ＣＰＵ１４が同様に実行することにより、スイッチ制御機能を実現する。スイッチ制御機能は、Ｌ２ＳＷ５０を制御することにより、クライアント端末３０からブレードＰＣ２０へのアクセスを制御する。

個人同定情報登録プログラム１２２は、ＣＰＵ１４が同様に実行することにより、個人同定情報登録機能を実現する。個人同定情報登録機能は、ユーザから受け付けた認証情報を後述するユーザ認証情報テーブルに登録する。

アクセス制御プログラム１２３は、ＣＰＵ１４が同様に実行することにより、アクセス制御機能を実現する。アクセス制御機能は、クライアント端末３０を介しての、ユーザからのブレードＰＣ２０へのアクセスを制御する。

なお、本実施形態では、管理用のプログラム（１２１〜１２４）を一つの装置に搭載しているが、それぞれのプログラムを個別の管理装置に搭載し、ネットワークを介して各プログラム間でのデータ交換を行う構成であってもよい。

次に、データベース１３内に格納される情報について説明する。データベース１３内に格納される情報には、本実施形態のブレードＰＣシステムを利用するユーザの情報を格納するユーザ情報テーブル２１０と、ブレードＰＣ２０に関する情報を格納するブレードＰＣ管理テーブル２２０と、ユーザの認証情報を保持するユーザ認証情報テーブル３００とがある。

図２（ａ）は、ユーザ情報テーブルの一例を示す図である。本図に示すように、本実施形態のユーザ情報テーブル２１０には、ユーザＩＤ２１１に対応づけて、ユーザ名２１２と、状態２１３と、接続ＰＣＵ２１４と、接続端末２１５と、フラッグ２１６とが登録される。

ユーザＩＤ２１１は、ユーザを一意に指定するための番号であり、認証時に用いる認証情報の一部となるデータである。ユーザ名２１２は、ユーザＩＤ２１１で特定されるユーザの氏名である。

状態２１３は、ユーザＩＤ２１１で特定されるユーザがブレードＰＣ２０を利用しているか否かを示す情報であり、「使用中」、「中断中」、「未使用」のいずれかが格納される。「使用中」の場合は、当該ユーザに割り当てられたブレードＰＣ２０が起動し、当該ユーザがクライアント端末３０を介してアクセスしている状態を示し、「中断中」は、当該ユーザに割り当てられたブレードＰＣは起動しているが、ブレードＰＣ２０とクライアント端末３０との間はコネクションを持っていない状態を示し、「未使用」は、当該ユーザはユーザブレードＰＣ２０を利用していない、すなわち、当該ユーザに割り当てられたブレードＰＣ２０は停止中である状態を示す。

接続ＰＣＵ２１４は、ユーザＩＤ２１１で特定されるユーザに割り当てられたブレードＰＣ２０の装置ＩＤを示す。この値は、後述するブレードＰＣテーブル２２０の装置ＩＤの値を参照している。

接続端末２１５は、ユーザが利用しているクライント端末３０を特定する識別子である。

フラッグ２１６は、ユーザＩＤ２１１で特定されるユーザに割り当てた認証情報について競合した利用状態、すなわち、同じユーザＩＤ２１１を用いて複数のユーザがブレードＰＣ２０へのアクセスを要求する状態、が発生したか否かを記録する。競合した利用状態が発生していない場合、フラッグ２１６には値０が記録される。また、競合した利用状態が発生した場合は、後述する追加情報の使用数が記録される。さらに、競合が発生し、いずれのユーザが正規のユーザであるか判別不可能である場合、−１が記録される。

なお、本実施形態では、ブレードＰＣ２０毎に用いる認証情報は異なるものとする。すなわち、１のユーザに複数のブレードＰＣ２０が割り当てられる場合、そのユーザは、それぞれ異なる認証情報を用いて各ブレードＰＣ２０にアクセスする。例えば、図２（ａ）のユーザ情報テーブル２１０のレコード２１７とレコード２１８との情報はユーザ名２１２が同じ「ＥＥ ＦＦ」のユーザが、２つのユーザＩＤ２１１「１０１１２」とユーザＩＤ２１１「１１１１３」とを有することを示す。ユーザ名２１２が「ＥＥ ＦＦ」のユーザは、それぞれのユーザＩＤ２１１を用いて、２つのブレードＰＣ２０を利用することができる。

図２（ｂ）は、本実施形態のブレードＰＣ管理テーブル２２０の一例を示す図である。本図に示すようにブレードＰＣ管理テーブル２２０には、装置ＩＤ２２１に対応づけて、配置場所２２２と、ＭＡＣ（Ｍｅｄｉａ Ａｃｃｅｓｓ Ｃｏｎｔｒｏｌ）２２３と、接続ＳＷ２２４と、ポート２２５と、利用状態２２６とが登録される。

装置ＩＤ２２１は、各ＰＣブレード２０を一意に識別するものである。配置場所２２２は、ＰＣブレード２０が配備されている位置を同定する情報である。例えば、ブレードＰＣシステムでは、どのシャーシのどのスロットのブレードであるかを示す情報が格納される。ＭＡＣアドレス２２３は、ユーザが利用しているクライアント端末３０と通信するブレードＰＣ２０の第二の通信制御装置２６を一意に指定するものである。接続ＳＷ２２４は、ブレードＰＣ２０の第二の通信制御装置２６に直接接続されたネットワーク装置を示す情報であり、ポート２２５はその接続しているポートの識別子を示す情報である。利用状態２２６は、ブレードＰＣ２０の最新の利用状態を示す情報であり、「割当済」、「未割当」のいずれかが登録される。装置ＩＤ２１１で特定されるブレードＰＣ２０が任意のユーザに割り当てられている場合、「割当済」が登録され、装置ＩＤ２２１で特定されるブレードＰＣ２０にいずれのユーザも割り当てられていない場合「未割当」が登録される。

図３は、ユーザ認証情報テーブル３００の一例を示す図である。本図に示すように、本実施形態のユーザ認証情報テーブル３００には、ユーザＩＤ３０１に対応づけて、ユーザ名３０２と、パスワード３０３と、問合せワード（１）３０４と、問合せワード（２）３０５とが登録される。

ユーザＩＤ３０１とユーザ名３０２とは、ユーザを一意に指定するものであり、ユーザ情報テーブル２１０の同名の項目で使用されているものと同じである。すなわち、ユーザ情報テーブル２１０に登録されているユーザの場合、ユーザ情報テーブル２１０のユーザＩＤ２１１とユーザ名２１２との組と同じＩＤと名前がそれぞれユーザＩＤ３０１とユーザ名３０２とに登録される。

パスワード３０３は、予めユーザが登録した認証情報である。ユーザＩＤ３０１とパスワード３０３との組が合致した場合、認証成功と判断される。

問合せワード（１）３０４、問合せワード（２）３０５は、それぞれ、予めユーザが登録する追加の認証情報である。通常、ＰＣブレード２０を使用する時は、ユーザＩＤ３０１とパスワード３０３とによりユーザの正当性を認証する。別な方法として、パスワードの代わりに第三者が発行する証明書の情報をユーザから通知してもらうことで、正当性を認証してもよい。これらの情報が漏洩し、詐称ユーザと正規のユーザとが競合した場合、第二、第三の認証情報として、問合せワード（１）３０４、問合せワード（２）３０５とが用いられる。パスワード３０４と、問合せワード（１）３０４および問合せワード（２）３０５とは、ユーザが個人同定情報登録プログラム１２２を用いて登録する。ただし、運用管理者が設定するよう構成してもよい。

なお、本ユーザ認証情報テーブル３００には、図示しないが、各問合せワードには、それぞれインデックスとして１から始まる連番が付与されている。インデックスは、後述するように、１のユーザに対し複数の問合せワードが登録されているとき、いずれの問合せワードを利用するか特定するためのものである。また、問合せワードの数は、本実施形態では２である場合を例に説明するが、これに限られない。

次に、追加の認証情報の入力をユーザに促すために、システム管理装置１０がクライアント端末３０に送信する画面データによりクライント端末３０の出力装置３５に表示される追加認証情報入力画面６００の画面例について説明する。本画面は、クライアント端末３０のコンソール機能によって表示される。表示に必要な情報については、システム管理装置１０上のアクセス制御機能から適宜クライアント端末３０に通知される。

図４は、本実施形態の追加情報入力画面６００の一例を説明するための図である。本図に示すように、追加情報入力画面６００は、メッセージを表示するメッセージ表示欄６０４と、入力を要求する追加の認証情報のインデックスを表示させるインデックス表示欄６０５と、追加の認証情報の入力を受け付ける認証情報入力欄６０１と、認証情報入力欄６０１に入力された追加の認証情報の確定とシステム管理装置１０への送信の意思とを受け付ける送信ボタン６０２と、入力終了の意思を受け付ける終了ボタン６０３とを備える。

メッセージ表示欄６０４には、予め登録されているメッセージの中から追加情報入力画面６００を送信する状況に応じたメッセージが表示される。本実施形態では、追加の認証情報の入力を促す場面として、ユーザから利用要求を受け付け、ユーザを認証する際に、利用要求を送信してきたユーザのユーザＩＤ２１１に対応づけて登録されているフラッグ２１６が１以上であり、今までに競合が発生した記録がある場合と、ユーザの認証を終え、当該ユーザに割り当てられているブレードＰＣ２０を起動させる際、競合が発生している場合とがある。

前者の場合には、認証情報が不正に利用された記録があることを通知するとともに追加の認証情報の入力を促すメッセージを表示させる要求をコンソール機能に通知し、クライント端末３０上に表示させる。一方後者の場合は、現在競合が発生していることを通知するとともに追加の認証情報の入力を促すメッセージを表示させる要求をコンソール機能に通知し、クライアント端末３０上に表示させる。

次に、上記各機能により実現される処理について説明する。

まず、アクセス制御機能が実現するアクセス制御処理を説明する。アクセス制御機能は、ユーザが利用要求を送信してきたとき、ユーザの正当性を判別し、正当と判断された場合のみアクセスを許可する。図５は、アクセス制御機能によるアクセス制御処理の処理フローである。

アクセス制御機能は、起動後、通信タイムアウト時間などのアクセス制御プログラム１２３を動作させるために必要な情報(動作情報）を収集する（ステップ４０１）。そして、動作情報を収集し終えるとユーザからの要求待ち状態となる（ステップ４０２）。

アクセス制御機能は、所定時間毎に、ユーザからの利用要求および認証情報の受信の有無を確認する（ステップ４０３）。受信していない場合、要求待ち状態となる（ステップ４０２）。

一方、ユーザからの利用要求と認証情報とを受け付けると、受け付けた認証情報が正しい認証情報であるか否かを判別する（ステップ４０４）。ここでは、アクセス制御機能は、受け取った認証情報に含まれるユーザＩＤとパスワードとの組が、ユーザ認証情報テーブル３００のユーザＩＤ３０１と問合せパスワード３０３とに格納されている組と合致するか否かを判別し、合致した場合、正しい認証情報と判断し、合致しない場合不正な認証情報と判断する。

認証情報が不正と判断した場合、アクセス制御機能は、ユーザに対してブレードＰＣ２０にアクセスできないことを通知する（ステップ４０５）。

認証情報が正しいと判断した場合、アクセス制御機能は、当該認証情報に関し、過去に競合状態が発生したか否かを判別する（ステップ４０６）。ここでは、アクセス制御機能は、ユーザ情報テーブル２１０を参照し、認証情報に含まれるユーザＩＤに合致するユーザＩＤ２１１のフラグ２１６の値を確認する。

確認の結果、フラグ２１６の値が０であれば、アクセス制御機能は、ユーザからの利用要求を受付け、起動制御処理を行い（ステップ４１０）、起動制御処理後、ユーザからの利用要求待ち状態に戻る（ステップ４０２）。起動制御処理の詳細については後述する。

フラグ２１６の値が１以上である場合（ステップ４１３）、アクセス制御機能は、追加の認証を利用要求送信元のユーザに要求する（ステップ４１４）。このとき、アクセス制御機能は、上述の追加情報入力画面６００を表示させる要求をクライアント端末３０のコンソール機能に送信してユーザに入力を促す。なお、フラグ２１６の値が１以上の場合は、上述のように、過去に競合が発生し、ユーザが追加の認証情報を用いてブレードＰＣ２０にアクセスしたことがあるということである。

そして、ユーザから送信されたユーザＩＤと問合せワードとを受け付け、受け付けたユーザＩＤと問合せワードとの組が、ユーザＩＤ３０１と問合せワード（１）３０４との組に合致するか否かを判別し、合致した場合、認証成功と判断する（ステップ４１５）。

また、ステップ４１３においてフラグ２１６の値が２である場合は、ステップ４１４、４１５の処理と同様の処理をフラグ２１６の値の回数繰り返す。ただし、ステップ４１５において、ユーザから送信されるユーザＩＤと問合せワードとの組を、ユーザＩＤ３０１と問合せワード（２）３０５との組と対比して合致の有無を判別し、合致した場合、認証成功と判断する。

本実施形態では、問合せワードの登録数が２であるため、上記のようにステップ４１４、４１５の処理は、２回まで繰り返す。しかし、一般には、フラグ２１６に格納されている値の数だけ繰り返す。この場合、例えば、カウンタｎを導入し、ステップ４１３において、カウンタｎを１に初期化し、カウンタｎに合致するインデックスを有する問合せワードによりステップ４１４、４１５を行い、認証が成功した場合、カウンタを１増加させ、カウンタｎがフラグ２１６に格納されている数を超えるまで、ステップ４１４、４１５の処理を繰り返すよう構成すればよい。

ステップ４１５で認証が成功した場合、アクセス制御機能は、ユーザからの利用要求を受け付け、起動制御処理を行い（ステップ４１０）、その後、ユーザからの利用要求待ち状態に戻る(ステップ４０２）。

一方、ステップ４１５で認証が成功しなかった場合、アクセス制御機能は、アクセス不可であることを通知し（ステップ４０５）、その後、ユーザからの利用要求待ち状態に戻る（ステップ４０２）。

また、ステップ４１３においてフラグ２１６の値が−１以下である場合は、アクセス制御機能はアクセス不可であることを通知し（ステップ４０５）、その後ユーザからの利用要求待ち状態に戻る（ステップ４０２）。

なお、アクセス制御機能がユーザから利用要求を受けた場合のアクセス制御処理を説明したが、ユーザから停止要求や中断要求を受け付けた場合も同様にユーザ情報テーブル２１０を参照してそれぞれの要求元のユーザの認証を行い、認証が成功したユーザからの要求に応じた処理を行うよう構成することができる。

次に、ステップ４１０の起動制御処理について説明する。図６は、本実施形態の起動制御処理の処理フローである。

アクセス制御機能は、利用要求を送信してきたユーザの利用状況を把握するために、ユーザ情報テーブル２１０のユーザＩＤ２１１に対応づけて登録されている状態２１３の内容を判別する（ステップ５０１、５０２）。

状態２１３が「利用中」以外の場合、すなわち、「未利用」または「中断中」の場合、当該ユーザＩＤ２１１で特定されるユーザは、現在ブレードＰＣ２０を利用していないと判断し、受け取った利用要求は通常の利用要求として利用要求処理を行う（ステップ５０３）。

ここで、利用要求処理として、アクセス制御機能が行う処理は以下のとおりである。送信されたユーザＩＤに予め対応付けられているブレードＰＣ２０を割り当て、割り当てたブレードＰＣ２０を起動させる。そして、ブレードＰＣ管理テーブル２２０の、起動させたブレードＰＣ２０の装置ＩＤ２２１に対応づけて登録される利用状態２２６を「割当済」とする。ユーザ情報テーブル２１０の利用要求送信元ユーザのユーザＩＤ２１１に対応づけて登録されるユーザの状態２１３を「接続中」とし、接続ＰＣＵ２１４に割り当てたブレードＰＣ２０の識別子である装置ＩＤ２２１を，接続端末２１５に要求送信元のユーザが利用しているクライアント端末３０の識別子を登録する。

以上の利用要求処理を終えると、アクセス制御機能は、利用可能になったことを示す情報を利用要求送信元のユーザが利用しているクライアント端末３０に通知し（ステップ５１２）、処理を終了する。

一方、ステップ５０２において、状態２１３が「利用中」の場合は、利用要求を送信してきたユーザが使用している認証情報と同じ認証情報を用いて既にブレードＰＣ２０を割り当てられ、使用しているユーザがいることを意味する。すなわち、当該認証情報について、競合が発生していることを意味する。従って、アクセス制御機能は、競合が発生しているブレードＰＣ２０の情報を収集する（ステップ５０４）。ここでは、先にその認証情報を用いてブレードＰＣシステムを利用しているユーザに割り当てられているブレードＰＣ２０（対象ブレードＰＣ２０）を特定するため、ユーザ情報テーブル２１０のユーザＩＤ２１１に対応づけて登録されている接続ＰＣＵ２１４を取得する。また、競合するユーザが利用しているクライアント端末３０を特定するために、接続端末２１６も取得する。さらに、ブレードＰＣ管理テーブル２２０の、取得した接続ＰＣＵ２１４が装置ＩＤ２２１として登録されているデータの接続ＳＷ２２４とポート２２５とを取得する。

アクセス制御機能は、対象ブレードＰＣ２０に接続するスイッチＳＷ２２４のポート２２５を閉塞する（ステップ５０５）。ここでは、取得した接続ＳＷ２２４に取得したポート２２５を介して送受信されるパケットを破棄する指示を出すようスイッチ制御プログラム１２１をＣＰＵ１４が実行することにより実現するスイッチ制御機能を制御する。

そして、アクセス制御機能は、競合する両ユーザが利用しているクライアント端末３０それぞれに追加の認証情報の入力要請を通知する（ステップ５０６）。本通知は、上記の追加認証情報入力画面６００を表示させる要求をクライアント端末３０のコンソール機能に送信することにより行う。

アクセス制御機能は、ユーザ認証情報テーブル３００を参照して、競合する複数のクライアント端末３０からそれぞれ受け取った追加の認証情報を照合する（ステップ５０７）。ここでは、問合せワード（１）３０４として登録されている認証情報が、追加の認証情報として送信された情報と合致するか否かを判別する。

なお、本実施形態では、追加の認証情報をいくつ用いたかをカウントするカウンタｍを導入し、ステップ５０６の処理に先立ち、カウンタｍに初期値１を代入する。アクセス制御機能は、ユーザ認証情報テーブル３００においてカウンタｍに対応するインデックスを有する追加の認証情報を用いて、以下の照合を行う。

ステップ５０７において、送信されてきた認証情報の中で、問合せワード（１）３０４に合致しないものがある場合であって、現在使用中のユーザが送信してきた追加の認証情報が登録されている問合せワード（１）３０４と合致した場合（ステップ５０８）、すなわち、使用中のユーザが正規のユーザと判別された場合、ステップ５０５で行ったスイッチＬ２ＳＷ５０のアクセス制御を解除する（ステップ５１０）。ここでは、アクセス制御機能は、スイッチ制御機能に、Ｌ２ＳＷ５０に設定したフィルタリング条件を解除させる。

その後、アクセス制御機能は、セキュリティ監視レベルを強化する（ステップ５１１）。ここでは、ユーザアクセス監視機能に、そのブレードＰＣ２０に対するファイルアクセスのログを取る、ブレードＰＣ２０と外部装置とのデータの送受信を監視するなどの処理を行わせる。

なお、本実施形態ではブレードＰＣ２０へのアクセスの監視を強化しているが、スイッチアクセス制御機能に、該当ブレードＰＣ２０以外のサーバへのアクセスを制限させる、ブレードＰＣ２０上でのファイルアクセスの権限を限定させる、などアクセス可能範囲を限定してもよい。また、この時のカウンタｍの値を、ユーザ情報テーブル２１０のフラッグ２１６に記録する。そして、アクセス制御機能は、使用中のユーザが利用しているクライアント端末３０には継続利用が可能であることを意味する情報を、利用要求送信元のクライアント端末３０には、利用不可であることを意味する情報を通知し（ステップ５１２）、処理を終了する。

ステップ５０８において、現在使用中のユーザが送信してきた追加の認証情報が問合せワード（１）３０４と合致しない場合であって、新たに利用要求を送信してきたユーザが送信してきた追加の認証情報が登録されている問合せワード（１）３０４と合致した場合（ステップ５０９）、すなわち、利用要求を新たに送信してきたユーザが正規のユーザと判別された場合、アクセス制御機能は、スイッチ制御機能に、利用要求を送信してきたクライアント端末３０からのアクセスのみ受け付けるようＬ２ＳＷ５０の制御を変更させる（ステップ５１３）。さらに、ユーザ管理テーブル２１０の接続端末２１５に登録されているクライアント端末３０の識別子を、利用要求送信元のユーザが利用しているクライアント端末３０の識別子に置き換える。そして、ステップ５１１へ進む。

ステップ５１１において、上述同様、セキュリティレベルを強化する処理を行い、ユーザ情報テーブル２１０のフラッグ２１６にこの時のカウンタｍの値を記録した後、アクセス制御機能は、利用要求送信元のクライアント端末３０には継続利用が可能であることを意味する情報を、使用中のユーザが利用しているクライアント端末３０には、利用不可であることを意味する情報を通知し（ステップ５１２）、処理を終了する。

ステップ５０９において、新たに利用要求を送信してきたユーザが送信していた追加の認証情報が合致しない場合は、予め定めた回数、認証情報の入力を促し、照合を繰り返す（ステップ５１４）。

予め定めた回数繰り返したにも係わらず、合致することがない場合は、アクセス制御機能は、いずれのユーザからのアクセスも受け付けないよう制御する（ステップ５１５）。ここでは、該当するブレードＰＣ２０へのアクセスに関する要求を棄却するようユーザ情報テーブル２１０のフラッグ２１６に−１を代入する。そして、利用要求送信元のクライアント端末３０および使用中のユーザが利用しているクライアント端末３０の両者に利用不可であることを意味する情報を通知し（ステップ５１２）、処理を終了する。

ステップ５０７において、現在使用中のユーザが送信してきた追加の認証情報と新たに利用要求を送信してきたユーザが送信してきた追加の認証情報とが共に登録されている問合せワード（２）３０４と合致する場合、アクセス制御機能は、他の追加認証情報が存在しないかを判別する（ステップ５１６）。例えば、本実施形態では、ユーザ認証情報テーブル３００に追加の認証情報を２つ用意している。このため、さらに１回、同様の追加認証情報の入力を受け付け、ユーザを認証することが可能である。ここでは、カウンタｍとユーザ認証情報テーブル３００の認証情報のインデックスの最大値Ｎとを比較し、カウンタｍがインデックスの最大値Ｎより小さい値であれば、追加の認証情報が存在すると判断する。そして、カウンタｎを１インクリメントし、ステップ５０６へ戻る。

一方、ステップ５１６において、追加の認証情報が存在しないと判別した場合、すなわち、カウンタｍがインデックスの最大値Ｎ以上となった場合、ユーザへのアクセスを停止する（ステップ５１７）。ここでは、該当するブレードＰＣ２０へのアクセスに関する要求を棄却するようユーザ情報テーブル２１０のフラッグ２１６に−１を代入する。そして、利用要求送信元のクライアント端末３０および使用中のユーザが利用しているクライアント端末３０の両者に利用不可であることを意味する情報を通知し（ステップ５１２）、処理を終了する。

以上、本実施形態のブレードＰＣシステムにおける、競合時の処理について説明した。上述のように、本実施形態によれば、認証情報が漏れる等により、同一の認証情報を用いてブレードＰＣ２０の利用が競合した場合、正規のユーザと認められるユーザのみ利用を継続することができる。

ただし、アクセス制御機能は、競合が発生した場合、正規のユーザに利用を継続させるが、パスワード等、既存の認証情報を変更するよう促す。アクセス制御機能の認証情報変更の要求に応じて、個人同定情報登録機能が、ユーザからの認証情報、問合せワードなどの追加の認証情報といった認証に必要な新たな情報を受け付けユーザ認証情報テーブル３００に登録した場合、アクセス制御機能は、ユーザ情報テーブル２１０のフラッグ２１６を０とする。これにより、正規のユーザは、新たな認証情報を用い、この認証情報のみでブレードＰＣ２０にアクセスすることが可能となる。

従って、本実施形態によれば、競合状態が発生した場合、セキュリティを強化し、その後の利用要求時には、正規のユーザが判別可能なだけの認証情報の入力を要求するため、安全性も保たれる。

上記第一の実施形態では、ユーザＩＤ毎に１のブレードＰＣ２０が割り当てられている場合を例に挙げて説明したが、本発明を適用する実施形態はこれに限られない。アクセス毎に、空いているブレードＰＣ２０を割り当てるよう構成してもよい。システム内にストレージ装置を備え、そこに、各ユーザの環境を実現するデータを保存し、ブレードＰＣ２０が割り当てられる毎にそこからデータを読み出し、割り当てられたブレードＰＣ２０上でユーザのＰＣ環境を実現する場合にも同様に適用される。

＜＜第二の実施形態＞＞
次に本発明の第二の実施形態を説明する。競合が発生した場合、正規のユーザのみが使用を継続可能となるよう制御される点は第一の実施形態と同様である。本実施形態では、競合発生後、正規のユーザが利用できる時間が限定されるものである。以下、本実施形態について、第一の実施形態と異なる構成のみを説明する。

図７は、本実施形態のブレードＰＣシステムのシステム構成図である。本実施形態のシステム構成は、基本的に第一の実施形態と同様である。ただし、アクセス制御プログラム１２３−２により実現される機能が、第一の実施形態の同名のプログラムにより実現される機能と多少異なる。また、本実施形態のシステム管理装置１０は、さらに制限時間監視プログラム８０１を備える。

また、本実施形態のユーザ情報テーブル２１０−２は、第一の実施形態のユーザ情報テーブル２１０に登録される項目に加え、さらに、フラッグ時間９０２を備える。本実施形態のユーザ情報テーブル２１０−２の一例を図８に示す。フラッグ時間９０２としてフラッグ２１６に０以外の値が格納された時刻が登録される。これは、ブレードＰＣ２０への競合が発生したことをシステム管理装置１０が認識した時刻である。

本実施形態のアクセス制御プログラム１２３−２は、ワークメモリ１５にロードされ、ＣＰＵ１４により実現されることにより、アクセス制御機能を実現する。その詳細は、後述する。

本実施形態の制限時間監視プログラム８０１は、ワークメモリ１５にロードされ、ＣＰＵ１４により実行されることにより制限時間監視機能を実現する。制限時間監視機能は、競合状態が発生してからの時間を監視し、予め定めた制限時間を超えているか否かを判別する。

本実施形態のアクセス制御機能が実現するアクセス制御処理の処理フローを図９に示す。

本実施形態のアクセス制御処理の処理フローは、基本的に第一の実施形態と同様である。本図において、第一の実施形態と同様の処理は、同じステップ番号を付す。ただし、ステップ４０１で収集する情報に、第一の実施形態で収集する情報に加え、利用制限時間Ｔがある。利用制限時間Ｔは、競合が発生したことをシステム管理措装置１０が認識した時刻から、正規のユーザに利用を許可する時間であり、予め管理者等により設定される。本実施形態では、安全な運用を確保するため、正規のユーザは利用制限時間Ｔ内に認証情報を更新することを義務付けられる。

また、本実施形態では、ステップ４１３において、本実施形態のアクセス制御機能は、フラッグ２１６の値が１以上であると判別した場合、利用要求を受け付けた時刻とフラッグ時間９０２として登録されている時刻との差分Ｔ１を計算し、計算した差分Ｔ１が上記利用制限時間Ｔ以下であるか判別する（ステップ１００１）。利用制限時間Ｔ以下であれば、追加の認証を行う。一方、差分Ｔ１が制限時間Ｔを超えている場合、アクセス制御機能は、アクセス不可であることを利用要求元のクライアント端末３０に通知する。ここでは、アクセス不可であることと同時に、認証情報を変更することを促すメッセージをクライアント端末３０に送信する。クライアント端末３０のディスプレイ３５に表示される画面例を図１０に示す。

本画面例は、メッセージ表示欄１１０１と、終了の意思を受け付ける終了ボタン１１０２とを備える。ユーザから終了ボタン１１０２の押下を受け付けると、アクセス制御機能は、表示を終了させる。本シーケンスでは、パスワード変更は利用要求とは別なタイミングで変更させているが、このタイミングで個人道程情報登録機能にパスワード変更を促すようにする形態でもよい。

次に、本実施形態の制限時間監視機能による制限時間監視処理について説明する。図１１は、本実施形態の制限時間監視処理の処理フローである。なお、本実施形態の制限時間監視処理は、ブレードＰＣシステムの起動時に開始するよう構成してもよいし、少なくとも一人以上のユーザのユーザ情報テーブル２１０のフラッグ２１６の値が０でなくなった時に開始するよう構成してもよい。

制限時間監視機能は、起動すると初期設定を行う（ステップ１２０１）。ここでは、制限時間監視機能は、利用制限時間Ｔと制限通知時間Ｔ２とを取得する。制限通知時間Ｔ２は、利用制限時間Ｔ内の時間であって、競合が発生して安全が必ずしも確保されていない状態であり、認証情報を変更することが望ましい状態であることを正規のユーザに通知する時間である。利用制限時間Ｔ以内の時間であってもよいし、利用制限時間Ｔに達するまでの時間の割合、例えば、利用制限時刻を２４時間とし、１２時間後に通知したいときには、制限通知時刻を５０％といった値としてもよい。

制限時間監視機能は、所定時間毎にユーザの状態を確認する。ここでは、時間の経過を計測し、予め定めた時間が経過したことを検出すると（ステップ１２０２）、ユーザ情報テーブル２１０−２のフラッグ２１６の値が０でないユーザが存在するか否かを判別する（ステップ１２０３）。

存在する場合、制限時間監視機能は、状態２１３に格納されている情報を判別する（ステップ１２０４）。「未使用」以外、すなわち、「使用中」または「中断中」である場合、現在時刻とフラッグ時間９０２との差分T３を計算し、得られた差分Ｔ３と上記利用制限時間Ｔと制限通知時間Ｔ２との関係を判別する（ステップ１２０５）。

ステップ１２０５での判別の結果、現在時刻とフラッグ時間９１２との差分Ｔ３が制限通知時刻Ｔ３以上で利用制限時刻Ｔ以内であれば、制限時間監視機能は、正規のユーザに対しアクセスができなくなることを通知する（ステップ１２０６）。ここでは、正規のユーザが使用しているクライアント端末３０に向けて、予め定めたメッセージをイベント通知として送信する。

イベント通知を受け取ったクライアント端末３０の表示装置３５に表示される画面１３００の一例を図１２に示す。本図に示すように、画面１３００は、表示されるメッセージを表示するメッセージ表示欄１３０１と、フラッグ時間９１２から利用制限時間Ｔ後の日時を利用制限日時として表示する利用制限日時表示欄１３０２と、本画面の表示を終了させる意思を受け付ける「終了」ボタン１３０３とを備える。

一方ステップ１２０５において、現在時刻とフラッグ時間９１２との差分Ｔ３が利用制限時間Ｔを超えている場合（ステップ１２０７）、制限時間監視機能は、いずれのユーザからのアクセスも受け付けないよう制御する（ステップ１２０８）。本処理は、第一の実施形態においてアクセス制御プログラムがユーザからのアクセスを停止させる処理と同様である。そして、ユーザ情報テーブル２１０のフラッグ２１６に−１を代入する。その後、正規のユーザが利用しているクライアント端末３０にアクセスを停止したことを意味する情報をイベント通知として通知し（ステップ１２０９）、ステップ１２０２に戻る。

なお、ステップ１２０３でフラッグ２１６の値が０以上のものがない場合、状態２１３に「未使用」が格納されている場合もステップ１２０２に戻る。

以上により、本実施形態では、たとえ正規のユーザであっても競合が発生したような、必ずしも安全性が確保されていない状態では一定時間以上使用をできないよう制限する。すなわち、本実施形態によれば、第一の実施形態で得られる効果に加え、ユーザが不安定な状態のまま使い続けることを防止することができる。

＜＜第三の実施形態＞＞
次に、本発明の第三の実施形態を説明する。本実施形態では、正規のユーザのみブレードＰＣ２０にアクセス可能とする排他制御を、スイッチであるＬ２ＳＷを用いずに行う。本実施形態は基本的に第一および第二の実施形態と同様であるため、以下においては、異なる構成のみ説明する。ここでは、第二の実施形態を例に取り、異なる構成を説明する。

図１３は、本実施形態のブレードＰＣシステムのシステム構成図である。本実施形態のシステム管理装置１０は、スイッチ制御プログラムの代わりにブレードアクセス制御プログラム１４０１を備える。また、本実施形態のブレードＰＣ２０は、アクセスプログラム１４０２をさらに備える。

ブレードアクセス制御プログラム１４０１は、ＣＰＵ１４により実行され、ブレードアクセス制御機能を実現する。ブレードアクセス制御機能は、クライアント端末３０からブレードＰＣ２０へのアクセスを制御する。

アクセスプログラム１４０２は、ＣＰＵ２３により実行され、アクセス機能を実現する。アクセス機能は、ブレードＰＣ２０上の第一の通信制御装置２１、第二の通信制御装置２６を介して送受信される入出力コマンドおよび入出力データをフィルタリンクするための設定を行う。通常は、ブレードＰＣ２０には、アクセス機能により、一般的なセキュリティレベルを保持したフィルタリング設定がされているものとする。例えば、入力のＴＣＰパケットでポート８０番に対してのパケットを受け付けないといったものである。

本実施形態において、利用要求等の要求を受け付けた時の動作は、基本的に第二の実施形態と同じである。但し、第二の実施形態では、利用要求を受け付けた時に利用要求元のユーザに割り当てられているブレードＰＣ２０が既に利用中である場合、システム管理装置１０上のスイッチ制御プログラム１２１がスイッチＬ２ＳＷ５０の対象ブレードＰＣ２０の接続ポートを閉塞する（ステップ５０５）。しかし、本実施形態では、同様の状態で利用要求を受け付けた場合、ブレードアクセス制御機能が利用中のブレードＰＣ２０のアクセス機能に対して閉塞要求を行う。

ブレードＰＣ２０上のアクセス機能は、システム管理装置１０のブレードアクセス制御機能から閉塞の指示を受け取ると、クライアント端末３０が利用しているポート番号からのデータの入出力をフィルタリングする、または、システム管理装置１０を除いた全ての端末等からのアクセスを遮断するよう制御する。

その後は、第一、第二の実施形態同様、競合したユーザの中から正規のユーザを特定する処理を行う。

また、第一および第二の実施形態では、使用中のユーザ側が正規のユーザであることが特定された場合、スイッチ制御機能がＬ２ＳＷ５０に設定したアクセス制御を解除する。しかし、本実施形態では、ブレードアクセス制御機能が該当するブレードＰＣ２０上のアクセス機能に対して、接続許可可能なクライアント端末３０のＩＰアドレスを通知する。使用中のユーザ側が正規のユーザである場合は、当該ユーザが利用していたクライアント端末３０のＩＰアドレスが通知される。

通知を受けたブレードＰＣ２０上のアクセス機能は、ユーザのクライアント端末３０の画面制御機能が使用するポートに指定されたＩＰアドレスからのパケットのみを受信可能なように設定する。なお、このとき、システム管理装置１０からのパケットは受け取るよう設定してもよい。

一方、新規に利用要求を送信したユーザが正規のユーザと特定された場合、第二の実施形態では、スイッチ制御機能にＬ２ＳＷ５０の制御を変更させている。しかし、本実施形態では、ブレードアクセス制御機能が当該ブレードＰＣ２０上のアクセス機能に対して接続を許可するクライアント端末３０、すなわち、この場合は、正規のユーザと特定された利用要求を新たに送信してきたユーザが利用しているクライアント端末３０のＩＰアドレスを通知する。通知を受けたアクセス機能は、クライアント端末３０の画面制御機能が使用するポートを、通知を受けたＩＰアドレスからのパケットのみ受信可能なように設定する。このとき、システム管理装置１０からのパケットは受信可能なように設定してもよい。

以上のように、本実施形態では、ブレードＰＣ２０に接続するＬ２ＳＷがアクセス制御機能を有していなくても、ブレードＰＣ２０上で受信するパケットのフィルタリングを行うことができる。本実施形態では、ブレードＰＣ２０のこの機能を利用して排他制御を実現し、競合が発生した場合、正規のユーザのみ使用可能なように制御を行うことができる。

＜＜第四の実施形態＞＞
次に、本発明の第四の実施形態を説明する。本実施形態では、ブレードＰＣ２０上でアクセス制御を行う。各ブレードＰＣ２０が、自身に割り当てられたユーザＩＤのみを認識している。

図１４は、本実施形態のブレードＰＣシステムのシステム構成図である。本図に示すように本実施形態のブレードＰＣシステムは、ブレードＰＣ２０と、クライアント端末３０と、両者が接続するネットワーク２とを備える。第一から第三の実施形態と異なり、システム管理装置１０を有しない。

クライアント端末３０の構成は、第一から第三の実施形態と同様であるため、ここでは、説明しない。

本実施形態のブレードＰＣ２０の構成は、基本的に第一から第三の実施形態と同様である。しかし、本実施形態は、システム管理装置１０を有しないシステム構成であるため、システム管理装置１０と通信を行うための第一の通信制御装置２１は有しない。また、プログラムメモリ２４内には、ユーザ監視プログラム１５０２と、ブレード制御プログラム１５０１とが格納される。

また、ディスク装置２５には、ユーザ認証情報テーブル３００が格納される。さらに、ユーザ情報テーブル２１０に代えて、ユーザＩＤに対応づけてクライアント端末３０の識別子と、ログオン時刻と、ログオフ時刻とを記録するユーザ情報一時記録テーブルを保持する。なお、本実施形態では、ブレードＰＣ２０は既に立ち上がっているものとし、ユーザからは、クライアント端末３０を介してログオン要求が送信されるものとする。

ユーザ監視プログラム１５０２は、ワークメモリ２２にロードされ、ＣＰＵ２３が実行することにより、ユーザ監視機能を実現する。ユーザ監視機能は、ユーザのログオン、ログオフ、中断、強制切断などを検出し、ユーザの状態を監視する。ユーザがログオンしたことを検出すると、ログオンしたユーザのＩＤに対応付けて、当該ユーザが利用しているクライアント端末３０を特定する識別子（接続端末２１５）とともにログオン時刻をユーザ情報一時記録テーブルに記録する。また、ログオフ、中断、強制切断等を検出した場合は、さらにログオフ等の時刻も対応付けて記録する。なお、ログオフを検出した際、ユーザＩＤに対応づけて登録されているデータを消去するよう構成してもよい。

ブレード制御プログラム１５０１は、ＣＰＵ２３が実行することにより、ブレード制御機能を実現する。ブレード制御機能は、基本的に第三の実施形態のシステム管理装置１０上のアクセス制御機能とブレードＰＣ２０上のアクセス機能とを合わせた機能と同様の機能を実現する。すなわち、クライアント端末３０からのアクセスを制御する。競合が発生した場合、追加の認証情報の入力を要請し、正規のユーザを判別し、正規のユーザが使用を継続できるよう制御する。また、その後入力すべき認証情報の数を決定する。なお、ブレード制御機能は、競合の発生の有無は、ユーザ情報一時記録テーブルの記録内容で判別する。すなわち、既にログオン時刻が記録され、ログオフ時刻が記録されていない場合、競合が発生したものと判別する。

以上説明したように、本実施形態によれば、システム管理装置１０が存在しなくとも、競合が発生した場合、正規のユーザが使用を継続できるよう制御することができ、また、他の実施形態同様、安全性も維持できる。

＜＜第五の実施形態＞＞
本発明の第五の実施形態を説明する。本実施形態のブレードＰＣシステムは、基本的に第四の実施形態のブレードＰＣシステムと同様の構成を有する。本実施形態では、一般のＰＣが備えるログオン機能はそのままで、本発明の制御、すなわち、競合が発生した場合、正規のユーザが継続使用でき、セキュリティを強化する制御を行う。

クライアント端末３０は、第一から第四の実施形態と同様の構成を有する。ブレードＰＣ２０は、第四の実施形態と同様の構成を有する。すなわち、本実施形態のブレードＰＣ２０のディスク装置２５には、第四の実施形態と同様に、ユーザ認証情報テーブル３００が格納される。

ただし、本実施形態のブレードＰＣ２０のプログラムメモリ２４内には、ログオン監視プログラム１６０２と、ログオン制御プログラム１６０１とが格納される。

なお、ブレードＰＣ２０は、通常のＰＣと同様に認証情報としてユーザＩＤとパスワードとによりログオンできるものとし、ログオン直後に任意の処理を実現できるものとする。

ログオン監視プログラム１６０２は、ＣＰＵ２３がワークメモリ２２にロードして実行することにより、ログオン監視機能を実現する。ログオン監視機能は、ユーザのログオン状態を監視する。なお、ユーザからのログオン要求を受け付けると、第四の実施形態と同様にユーザＩＤに対応づけてクライアント端末３０の識別子とログオン時刻、ログオフ時刻とを、ユーザ情報一時記録テーブルとして記録する。ログオン監視機能の処理の詳細は後述する。

ログオン制御プログラム１６０１は、ＣＰＵ２３がワークメモリ２２にロードして実行することにより、ログオン制御機能を実現する。ログオン制御機能は、ユーザのログオン時の処理を行う。ログオン制御プログラムは、クライアント端末３０を介してユーザからログオン要求を受け付けた場合、起動する。処理の詳細は後述する。

次に、ログオン監視機能が実現するログオン監視処理について説明する。図１６は、本実施形態のログオン監視処理の処理フローである。

ログオン監視機能は、待機状態でクライアント端末３０からログオン要求を受け付けると（ステップ１７０１）、ログオン情報内に含まれるユーザＩＤを含む認証情報を抽出する。認証情報の正当性を第一から第三の実施形態と同様の手順で判断後、正当と確認された場合、ログオン要求を送信してきたユーザＩＤによる使用状況を確認する（ステップ１７０２）。ここでは、抽出したユーザＩＤと同一のユーザＩＤが、ユーザ情報一時記録テーブルにログオン状態として記録されているか否かを判別する。

ログイン状態で記録されていない場合、すなわち、記録がない場合、または、ログオフ時刻も記録されている場合、受け取ったユーザＩＤとログイン時刻とをユーザ情報一時記録テーブルに記録する（ステップ１７０３）。

一方、ステップ１７０２においてログオン状態として記録されていると判別された場合、ログオン監視機能は、競合が発生したものと判断し、ログオン中であるとユーザ情報一時記録テーブルに登録されているユーザを強制的に切断（強制切断）する（ステップ１７０５）。このとき、強制切断した時刻をユーザ情報一時記録テーブルに追記する。

その後、第三の実施形態と同様に、ログオン中のユーザが使用しているクライアント端末３０からのアクセスをフィルタリングし、第一から第三の実施形態と同様に、競合したユーザの中から正規のユーザを特定する処理を行う。そして、正規のユーザが特定された場合、特定されたユーザのクライアント端末３０画面制御機能が使用するポートに指定されたＩＰアドレスからのパケットのみを受信可能なように設定する（ステップ１７０６）。

その後、第一から第三の実施形態同様、セキュリティレベルの強化を行う（ステップ１７０７）。そして、待機状態に戻る。

次に、上記ステップ１７０７において、セキュリティレベルが強化された場合、すなわち、通常のユーザＩＤおよびパスワードに加え、所定数の問合せワードの入力が要求される場合の、本実施形態のログオン制御機能が実現するログオン制御処理について説明する。図１７は、本実施形態のログオン制御処理の処理フローである。

通常のログオンのための認証処理を行った後、ログオン制御機能は、追加の認証情報の入力を受け付けるためのダイアログボックスを表示させる画面データを認証情報送信元のクライアント端末３０に送信することにより、追加の認証情報を要求する（ステップ１８０１）。画面データは、例えば、第一の実施形態で説明した追加情報入力画面６００であってもよい。

規定回数内で正しい追加の認証情報が得られ、認証が成功した場合（ステップ１８０２）、ログオン制御機能は、同じユーザＩＤのユーザが既にユーザ情報一時記録テーブルに登録されているか否かを判断する（ステップ１８０３）。既に登録されている場合は、競合が再度発生したことになるため、安全性が確保できないと判断し、既に接続しているクライアント端末３０も含め、全てのセッションをログオフさせ（ステップ１８０４）、以後、ログオン制御機能がいずれのユーザからのアクセスに対しても許可を出さないようアクセス制御を変更し、処理を終了する。

一方、ステップ１８０３において、競合が発生していない場合は、ログオン制御機能は、通常どおりログオンし（ステップ１８０６）、処理を終了する。

また、ステップ１８０２において、規定回数内で認証が成功しなかった場合は、ログオン制御機能は、ログオン要求元のユーザが使用しているクライアント端末３０のＩＰアドレスに関連するネットワークセグメントからのアクセスを禁止するようアクセス制御を変更し（ステップ１８０５）、処理を終了する。

以上説明したように、本実施形態によれば、既存のコンピュータのログオン処理を変更することなくプログラムを追加するだけで競合時のアクセス制御を行うことができる。

第一の実施形態のシステム構成図である。 第一の実施形態のユーザ情報およびブレードＰＣの情報が格納されるテーブルの一例を示す図である。 第一の実施形態のユーザ認証情報テーブルの一例を示す図である。 第一の実施形態の追加情報入力画面の一例を示す図である。 第一の実施形態のアクセス制御処理の処理フローである。 第一の実施形態の起動制御処理の処理フローである。 第二の実施形態のシステム構成図である。 第二の実施形態のユーザ情報テーブルの一例を示す図である。 第二の実施形態のアクセス制御処理の処理フローである。 第二の実施形態の認証情報変更を促す画面の一例である。 第二の実施形態の制限時間監視処理の処理フローである。 第二の実施形態の認証情報変更を促す画面の一例である。 第三の実施形態のシステム構成図である。 第四の実施形態のシステム構成図である。 第五の実施形態のシステム構成図である。 第五の実施形態のログオン監視処理の処理フローである。 第五の実施形態のログオン制御処理の処理フローである。

符号の説明

１：管理用通信網、２：ネットワーク、１０：システム管理装置、１１：通信制御装置、１２：プログラムメモリ、１２１：スイッチ制御プログラム、１２２：個人同定情報登録プログラム、１２３：アクセス制御プログラム、１２４：ユーザアクセス監視プログラム、１３：管理情報データベース、１４：中央処理装置、１５：ワークメモリ、１６：ディスプレイ、１７：キーボード、１８：マウス、１９：入出力装置、２０：ブレードＰＣ、２１：第一の通信制御装置、２２：ワークメモリ、２３：ＣＰＵ、２４：プログラムメモリ、２４１：監視プログラム、２５：ディスク装置、２６：第二の通信制御装置、３０：クライアント端末、３１：通信制御装置、３２：プログラムメモリ、３３：ワークメモリ、３４：ＣＰＵ、３５：ディスプレイ、３６：キーボード、３７：マウス、３８：入出力装置、３９：コンソールプログラム、４０：画面制御プログラム、５０：ネットワーク装置、６０：ネットワーク装置

Claims (11)

1. 複数のコンピュータを備えるサーバと、クライアント端末と、前記クライアント端末から前記サーバへのアクセスを管理するサーバ管理装置とを備えるコンピュータシステムであって、
   前記サーバ管理装置は、
   ユーザ毎に認証情報と１以上の追加の認証情報とを保持する認証情報保持手段と、
   前記認証情報保持手段に保持されている認証情報に合致する認証情報を、前記サーバを利用する利用要求とともに前記クライアント端末を介して送信してきた場合、当該利用要求を受け付けるアクセス制御手段と、
   前記アクセス制御手段で前記利用要求を受け付けた際、当該利用要求により接続を要求するサーバが同じ認証情報により既に利用されている競合状態であるか否かを判断する利用状況判断手段と、
   競合状態であると判断した場合、前記追加の認証情報の送信を要求し、要求した追加の認証情報により判別した正規のユーザの接続を許可し、他のユーザの接続を遮断する起動制御手段と、を備え、
   前記起動制御手段は、
   １のユーザから送信された追加の認証情報のみが前記認証情報保持手段に保持されている追加の認証情報に合致した場合、当該合致した追加の認証情報を送信してきたユーザを正規のユーザと判別すること
   を特徴とするコンピュータシステム。
2. 請求項１記載のコンピュータシステムであって、
   前記起動制御手段は、複数のユーザから送信された追加の認証情報が前記認証情報保持手段に保持されている前記追加の認証情報に合致した場合であって、前記認証情報保持手段に未使用の追加の認証情報がある場合、当該合致した追加の認証情報を送信した複数のユーザに異なる追加の認証情報の送信を要求し、正規のユーザを判別すること
   を特徴とするコンピュータシステム。
3. 請求項２記載のコンピュータシステムであって、
   前記起動制御手段は、競合状態であると判断された認証情報に対応づけて正規のユーザが判別できるまでに要求した追加の認証情報の数を前記認証情報保持手段に記録し、
   前記アクセス制御手段は、前記起動制御手段が記録した追加の認証情報の数が１以上の場合、前記認証情報に加え、前記要求した追加の認証情報の数の認証情報を前記クライアント端末に要求し、全てが合致した場合、要求を受け付けること
   を特徴とするコンピュータシステム。
4. 請求項３記載のコンピュータシステムであって、
   前記アクセス制御手段は、前記起動制御手段が記録した要求した追加の認証情報の数が１以上である場合、前記クライアント端末に認証情報の変更を要求し、要求に応じて新たな認証情報および追加の認証情報が登録された場合、前記起動制御手段が記録した要求した認証情報の数を０とすること
   を特徴とするコンピュータシステム。
5. 請求項１から４のいずれか１項記載のコンピュータシステムであって、
   前記起動制御手段は、正規のユーザが判別できなかった場合、判別できなかったことを示す情報を前記認証情報に対応づけて前記認証情報保持手段に保持し、
   前記アクセス制御手段は、ユーザが前記認証情報保持手段に保持されている認証情報に合致する認証情報を送信してきた場合であっても、当該認証情報に対応づけて前記判別できなかったことを示す情報が保持されている場合、ユーザからの利用要求を受け付けないこと
   を特徴とするコンピュータシステム。
6. 請求項１から５のいずれか１項記載のコンピュータシステムであって、
   前記起動制御手段は、競合状態であると判断した場合、競合状態が発生した認証情報に対応づけて利用制限時間を前記認証情報保持手段に記録し、
   前記アクセス制御手段は、前記認証情報保持手段に保持されている認証情報に合致する認証情報が前記利用要求とともに送信された場合であっても、送信された時刻が当該認証情報に対応付けて記録されている利用制限時間を超えている場合は、前記利用要求を受け付けないこと
   を特徴とするコンピュータシステム。
7. 請求項１から６いずれか１項記載のコンピュータシステムであって、
   前記クライアント端末と前記サーバとの間に設けられるスイッチと、
   前記スイッチを制御するスイッチ制御手段と、をさらに備え、
   前記スイッチ制御手段は、
   前記起動制御手段が競合状態であると判断した場合、既に接続しているクライアント端末からのアクセスを停止させ、正規のユーザと判断されたユーザが使用しているクライアント端末からのアクセスを許可するよう前記スイッチを制御すること
   を特徴とするコンピュータシステム。
8. 請求項１から６いずれか１項記載のコンピュータシステムであって、
   前記クライアント端末から前記サーバへのアクセスを制御するサーバアクセス制御手段をさらに備え、
   前記サーバアクセス制御手段は、
   前記起動制御手段が競合状態であると判断した場合、既に接続しているクライアント端末からのアクセスを停止させ、正規のユーザと判断されたユーザが使用しているクライアント端末からのアクセスを許可すること
   を特徴とするコンピュータシステム。
9. 複数のコンピュータを備えるサーバと、クライアント端末と、を備えるコンピュータシステムであって、
   前記サーバは、
   ユーザ毎に認証情報と１以上の追加の認証情報とを保持する認証情報保持手段と、
   前記認証情報保持手段に保持されている認証情報に合致する認証情報を利用要求とともに前記クライアント端末を介して送信してきた場合、当該利用要求を受け付ける要求受付手段と、
   前記要求受付手段で前記利用要求を受け付けた際、同じ認証情報により既に利用されている競合状態であるか否かを判断する利用状況判断手段と、
   競合状態であると判断した場合、前記追加の認証情報の送信を要求し、要求した追加の認証情報により判別した正規のユーザの接続を許可し、他のユーザの接続を遮断する起動制御手段と、を備え、
   前記起動制御手段は、
   １のユーザから送信された追加の認証情報のみが前記認証情報保持手段に保持されている追加の認証情報に合致した場合、当該合致した追加の認証情報を送信してきたユーザを正規のユーザと判別すること
   を特徴とするコンピュータシステム。
10. 複数のコンピュータを備えるサーバと、クライアント端末と、を備えるコンピュータシステムにおける前記クライアント端末から前記サーバへのアクセスを制御するアクセス制御方法であって、
    予め登録されている認証情報に合致する認証情報を、前記サーバを利用する利用要求とともに前記クライアント端末を介して送信してきた場合、当該利用要求を受け付ける要求受付ステップと、
    前記利用要求を受け付けた際、当該利用要求により接続を要求するサーバが同じ認証情報により既に利用されている競合状態であるか否かを判断する利用状況判断ステップと、
    競合状態であると判断した場合、予め登録されている追加の認証情報の送信を要求し、要求した追加の認証情報により判別した正規のユーザの接続を許可し、他のユーザの接続を遮断する起動制御ステップと、を備え、
    前記起動制御ステップでは、
    １のユーザから送信された追加の認証情報のみが予め登録されている追加の認証情報に合致した場合、当該合致した追加の認証情報を送信してきたユーザを正規のユーザと判別すること
    を特徴とするアクセス制御方法。
11. コンピュータを、
    予め登録されている認証情報に合致する認証情報を、前記サーバを利用する利用要求とともに前記クライアント端末を介して送信してきた場合、当該利用要求を受け付けるアクセス制御手段と、
    前記アクセス制御手段で前記利用要求を受け付けた際、当該利用要求により接続を要求するサーバが同じ認証情報により既に利用されている競合状態であるか否かを判断する利用状況判断手段と、
    競合状態であると判断した場合、予め登録されている追加の認証情報の送信を要求し、１のユーザから送信された追加の認証情報のみが前記追加の認証情報に合致した場合、当該合致した追加の認証情報を送信してきたユーザを正規のユーザと判別し、当該正規のユーザの接続を許可し、他のユーザの接続を遮断する起動制御手段と、して機能させ、
    複数のコンピュータを備えるサーバと、クライアント端末とを備えるコンピュータシステムにおいて、前記クライアント端末から前記サーバへのアクセスを管理するプログラム。

Images