JP2009522702A - 簡易ネットワーク管理プロトコルのための認証及び許可を処理するためのシステム及び方法 - Google Patents

Abstract

本発明は、簡易ネットワーク管理プロトコル（ＳＮＭＰ）マネージャを実行するマネージャ装置を含むシステムを提供する。上記システムは、マネージャ装置に接続されたエージェント装置を含む。上記エージェント装置は、管理データへのアクセスを選択的に提供するＳＮＭＰエージェントを実行する。上記ＳＮＭＰマネージャは、ユーザがログイン命令語を発行できるようにする。上記ＳＮＭＰエージェントは、ログイン命令語を処理し、上記ユーザが認証されると、上記ユーザがセッション識別子を用いて上記管理データにアクセスすることを許可する。

Description

本発明は、認証及び許可システム及び方法に関し、特に、簡易ネットワーク管理プロトコル（ＳＮＭＰ）に適合した認証及び許可システム及び方法に関する。

簡易ネットワーク管理プロトコル（Simple Network Management Protocol：ＳＮＭＰ）は、ネットワーク装置間での管理情報の交換を容易にするためのアプリケーションレイヤープロトコルである。ＳＮＭＰは、ネットワーク管理者がネットワーク性能を管理し、ネットワーク問題を探し、解決するとともに、ネットワーク拡張を計画できるようにする。ＳＮＭＰバージョン１（ＳＮＭＰｖ１）及びＳＮＭＰバージョン２ｃ（ＳＮＭＰｖ２ｃ）では、認証されたコミュニティ（community）からの要求が考慮される。各コミュニティは、コミュニティが、例えば、管理データに対する読み取り専用（read-only：ＲＯ）アクセス権、又は読み書き（read-write：ＲＷ）アクセス権を有しているか否かを示すコミュニティプロフィールと関連している。上記管理データは、管理情報基盤（Management Information Base：ＭＩＢ）による構成を有する。ある場合には、上記管理データを“ＭＩＢデータ”とも呼ぶ。

ＳＮＭＰアクセス権は、全てのコミュニティと関連しているため、コミュニティネームだけで侵入者が管理データにアクセスできてしまう。さらに、ＳＮＭＰアクセス権（ＲＯ又はＲＷ）は、全てのコミュニティに対して定義されるとともに、ＭＩＢの観点において全てのオブジェクトに均一に適用される。

したがって、本発明の目的は、コミュニティネームだけで侵入者が管理データにアクセスするできないようにする簡易ネットワーク管理プロトコルのための認証及び許可を処理するシステム及び方法を提供することにある。
また、本発明の目的は、侵入者による不法行為を制限する簡易ネットワーク管理プロトコルのための認証及び許可を処理するシステム及び方法を提供することにある。

上記のような目的を達成するために、一実施形態において、簡易ネットワーク管理プロトコル（Simple Network Management Protocol：ＳＮＭＰ）マネージャを実行するマネージャ装置を含むシステムが提供される。また、上記システムは、マネージャ装置に接続されたエージェント装置も含む。上記エージェント装置は、管理データへのアクセスを選択的に提供するＳＮＭＰエージェントを実行する。ＳＮＭＰマネージャは、ユーザがログイン命令語を発行することができるようにする。ＳＮＭＰエージェントは、ログイン命令語を処理し、ユーザが認証されると、ユーザがセッション識別子（ＩＤ）を用いて管理データにアクセスするように許諾する。

他の実施形態において、簡易ネットワーク管理プロトコル（ＳＮＭＰ）データパケットを格納するデータ記憶媒体が提供され、上記ＳＮＭＰデータパケットは、コミュニティネームデータフィールド及びログイン命令語データフィールドを含む。上記ＳＮＭＰデータパケットは、ユーザＩＤデータフィールド及びパスワードデータフィールドを含む。上記ログイン命令語データフィールドに含まれているログイン命令語は、ＳＮＭＰエージェントがコミュニティネームデータフィールドの値を無視するとともに、認証のためにユーザＩＤデータフィールド及びパスワードデータフィールドの値を処理するようにする。

また他の実施形態において、簡易ネットワーク管理プロトコル（ＳＮＭＰ）データパケットを使用して命令語を発行する方法が提供される。上記方法は、ＳＮＭＰコミュニティネームを無視するステップと、上記命令語と関連したユーザを認証するステップと、をさらに含む。

本発明は、コミュニティネームだけで侵入者が管理データにアクセスしないようにすることができる。また、本発明は、標準ＳＮＭＰバージョン１及びＳＮＭＰバージョン２ｃプロトコル通信のフレームワーク内で、多重レベルのアクセスと結合された新たな認証機能を提供することにより実質的な活用性を提供することができる。

幾つかの用語は、特定のシステム構成要素を参照して、下記の詳細な説明及びクレームを介して使用される。当業者には自明であるように、コンピュータ会社は、様々な呼称により構成要素を呼ぶことがある。この文書は、呼称ではなく、機能が異なる構成要素間で区別しようとしない。下記の記載及び添付の特許請求範囲において、“含んでいる”及び“具備している”という用語は、制約のない形式で使用されるため、“含んでいるが、・・・に限定されない”という意味で解釈されるべきである。また、“接続する”という用語は、間接的に、直接的に、光学的に、無線的に、機械的に、のいずれか又は他の接続あるいは通信を意味する。したがって、第１の装置が第２の装置に接続されると、その接続は、例えば、直接的な電気的接続、他の装置や接続を介した間接的な電気的接続、光学的・電気的接続、又は無線的・電気的接続であってもよい。

本発明の一実施形態の代表的な実施が下記のように記載されているが、本システムは、現在知られているか、又は実在する多数の技術を使用して実施され得ると理解されるべきである。本発明は、本明細書に図示および記載された代表的な設計や実施形態も含む、以下に記載された実施形態、図面、及び技術にいかようにも決して限定されるべきではないが、これら等価なものの全範囲に加えて添付の特許請求の範囲内で変更してもよい。

簡易ネットワーク管理プロトコル（Simple Network Management Protocol：以下、“ＳＮＭＰ”と称する）は、管理データへのアクセス又はアップデートのために、トランザクション基盤メカニズム（Transaction-Based Mechanism）を提供する。ＳＮＭＰがセッション基盤プロトコルでないことは自明である。本発明のいくつかの実施形態によると、ＳＮＭＰマネージャ、ＳＮＭＰエージェント、及び認証サーバは、管理データへのアクセス又はアップデートのために、仮想セッションを提供するように構成される。上記仮想セッションを実現するために、本発明の実施形態は、ＳＮＭＰに適合したログイン構造を提供する。上記ログイン手段は、全てのコミュニティというよりむしろ個々のユーザが認証されるようにすることができる。また、本発明の実施形態は、様々な認証レベルが各ユーザ及び／又は各仮想セッションと関連するようにする。上記様々な認証レベルは、ローカルセキュリティポリシーに基づく（すなわち、多くの様々な認証レベルは、個体実現ＳＮＭＰの必要に基づく）。一部の実施形態において、上記認証レベルは、ユーザが使用可能な管理データに対する非包括的な（non-global）アクセス権を受けることができるようにする（すなわち、ユーザは、一部の管理データに対しては、ＲＯアクセス権を与えられることができ、他の管理データに対しては、ＲＷアクセス権を与えられることもできる。）。ここで、“非包括的な（non-global）”アクセス権は、一部の管理データにだけ適用され、他の管理データには適用されないアクセス権を意味する。また、上記認証レベルは、ユーザが一部のＳＮＭＰ命令語（例えば、“ｇｅｔ”命令）を使用することができるようにするが、他の命令語（例えば、“ｓｅｔ”又は“ｔｒａｐ”命令）を使用することができないようにする。一実施形態において、管理データの一部は、管理情報基盤（ＭＩＢ）テーブルの構成を有する。

図１は、本発明の実施形態によるシステム１００を示す。図１に示すように、システム１００は、複数のエージェント装置１０４Ａ〜１０４Ｎに接続する管理装置１０２（例えば、コンピュータ）を含む。一部の実施形態において、管理装置１０２は、例えば、ＳＮＭＰマネージャプログラム１１２を実行させることにより、ネットワーク管理システム（Network Management System：ＮＭＳ）として機能する。ＳＮＭＰマネージャプログラム１１２は、ユーザがＳＮＭＰ命令語（例えば、“Ｇｅｔ”命令、“ＧｅｔＮｅｘｔ”命令、“Ｓｅｔ”命令、“Ｔｒａｐ”命令、又は他のＳＮＭＰ命令）をエージェント装置１０４Ａ〜１０４Ｎに提出できるようにする。

各エージェント装置１０４Ａ〜１０４Ｎは、管理装置１０２が管理データ１０６Ａ〜１０６ＮにアクセスできるようにするＳＮＭＰエージェントプログラム１１４Ａ-１１４Ｎを実行させる（例えば、エージェント装置１０４Ａは、ＳＮＭＰエージェントプログラム１１４Ａを実行し、エージェント装置１０４Ｂは、ＳＮＭＰエージェントプログラム１１４Ｂを実行する）。管理データ１０６Ａ〜１０６Ｎの中の一部は、概念的にＭＩＢテーブルの構成を有する。図示したように、エージェント装置１０４Ａは、管理データ（managed data）１０６Ａと関連し、エージェント装置１０４Ｂは、管理データ１０６Ｂと関連する。管理装置１０２及びエージェント装置１０４Ａ-１０４Ｎは、下記でさらに詳細に説明する汎用コンピュータシステムであってもよい。

管理データ１０６Ａ〜１０６Ｎにアクセスするか、又は修正するユーザに対する前提条件として、認証サーバ１０８は、上記ユーザを認証しなければならない。例えば、一部の実施形態において、認証命令（Authentication Instructions）１１０を遂行することにより、認証サーバ１０８はログイン命令語が提供されるユーザ識別子（ＩＤ）及びパスワードを認証する。ユーザＩＤ及びパスワードを認証すると、認証命令１１０は、ユーザを認証レベルと関連させる。上述したように、様々な認証レベルは、ローカルセキュリティポリシーに基づく。例えば、１つの会社がユーザのために第１の認証レベルのセットを選択すると、他の会社は、ユーザのために第２の認証レベルのセットを選択することができる。認証レベルは、使用可能な管理データに対する包括的な（global）ＲＯアクセス権、使用可能な管理データに対する包括的なＲＷアクセス権、使用可能な管理データに対する非包括的な（non-global）ＲＯアクセス権、使用可能な管理データに対する非包括的なＲＷアクセス権、全てのＳＮＭＰ命令語へのアクセス、又は一部のＳＮＭＰ命令語へのアクセス、及び一部のＳＮＭＰ命令語へのアクセスを含み、他の命令語は、含まない。しかしながら、これに限定されない。認証レベルは、所定の方式で結合されることができる。例えば、書き込み専用（write only：ＷＯ）認証レベルは、一部のユーザのために追加されることもある。このレベルは、権利がない（unpriviledged）ユーザが暗号化パスワードを書き込み専用メモリに設定することができるようにするが、メモリを読み出すことができないようにすることにより、他の人が使用中である暗号化アルゴリズムの細部内容を推定することを防止することができる。

上述したように、一部の実施形態は、ＳＮＭＰバージョン１及びＳＮＭＰバージョン２ｃのような１つ以上のＳＭＰバージョンに適合したログイン構造を実現する。上記ログイン構造を実現するために、ＳＮＭＰメッセージパケットは、管理装置１０２からエージェント装置１０４Ａ〜１０４Ｎの中の１つに送信される。例えば、ＳＮＭＰマネージャプログラム１１２は、ユーザがログインの成功後に管理データを見るか、又は修正できるようにするだけではなく、ユーザがログインのためのデータを入力できるようにする適切なアプリケーションウィンドーを提供する。

図２は、本発明の実施形態によるメッセージパケット２００を示す。図２に示すように、メッセージパケット２００は、メッセージヘッダ２０２及びプロトコルデータユニット（Protocol Data Unit：以下、“ＰＤＵ”と称する）２０４を含む。メッセージヘッダ２０２は、ＳＮＭＰバージョン番号（ＮＯ．）（例えば、ＳＮＭＰバージョン１又はＳＮＭＰバージョン２ｃ）を含むバージョンデータフィールド２０６及びコミュニティネーム値を含むコミュニティネームデータフィールド２０８を含む。ＳＮＭＰメッセージの一部の従来の構成要素が省略されてもよく、例えば、要求タイプがメッセージヘッダ２０２で省略される。

ＰＤＵ２０４は、ユーザＩＤデータフィールド２１０、パスワードデータフィールド２１２、ログイン／ログアウト命令語データフィールド２１４、及びユーザセッションＩＤデータフィールド２１６を含む。各フィールド２１０、２１２、２１４、及び２１６は、例えば、オブジェクト識別子（Object IDentifier：ＯＩＤ）及びＯＩＤ値で構成されることができる。ユーザＩＤデータフィールド２１０は、ユーザと関連したユーザＩＤ値（例えば、ユーザネーム、ユーザ番号、又は他の識別子）を含む。パスワードデータフィールド２１２は、ユーザと関連したパスワードを含む。ログイン／ログアウト命令語データフィールド２１４は、ログイン命令語又はログアウト命令語のようなエージェント装置１０４Ａ〜１０４Ｎにより識別される値を含む。ユーザセッションＩＤデータフィールド２１６は、ユーザのログインの成功後の全てのユーザ命令語と関連したユーザセッション識別子を含む。

ログイン及びログアウト命令語がエージェント装置１０４Ａ-１０４Ｎの中のいずれの装置にも提出できるが、ログイン命令語を受信したエージェント装置１０４Ａの機能を例を挙げて示す。ユーザがログイン命令語を発行すると、エージェント装置１０４ＡのＳＮＭＰエージェント１１４Ａは、メッセージパケット２００が提供されるコミュニティネーム値を無視し、認証のために、ログイン命令語が提供されるユーザＩＤ値及びパスワード値を認証サーバ１０８に伝達する。また、エージェント装置１０４ＡのＳＮＭＰエージェント１１４Ａは、自身の管理データ１０６Ａでログインテーブルを定義し、管理する。したがって、エージェント装置１０４Ａがログイン命令語を受信すると、ＳＮＭＰエージェントプログラム１１４Ａは、管理データ１０６ＡでＭＩＢログインテーブルを生成するか、又はアップデートする。また、ＭＩＢログインテーブルは、ユーザ認証の結果に基づいてアップデートできる。

図３は、本発明の実施形態によるＭＩＢログインテーブル３００を示す図である。図３に示すように、ログインテーブル３００は、ユーザＩＤ３１４Ａ〜３１４Ｎのリスト３１２及び対応するパスワード３２４Ａ〜３２４Ｎのリスト３２２を記憶する（すなわち、ユーザＩＤ３１４Ａは、パスワード３２４Ａに対応し、ユーザＩＤ３１４Ｂは、パスワード３２４Ｂに対応する）。ログインテーブル３００は、ユーザセッション識別子３０４Ａ〜３０４Ｎのリスト３０２を用いてインデックスされる。例えば、ユーザＩＤ“ｕｓｅｒ_１”３１４Ａ及びこれに関連したパスワード“ｐａｓｓｗｏｒｄ_１”３２４Ａは、ユーザセッション識別子“ｓｅｓｓｉｏｎ ＩＤ_１”３０４Ａによりインデックスされる。一部の実施形態において、ログインテーブル３００は、動的な行（row）の生成及び削除を支援する。例えば、ＳＮＭＰエージェントプログラム１１４Ａは、ログインテーブル３００の行を修正するために、“ＣｒｅａｔｅＡｎｄＷａｉｔ”又は“ＣｒｅａｔｅＡｎｄＧｏ”技術を実現することもできる。動的な行の生成及び削除は、ＳＮＭＰでよく知られており、当業者にとって自明である。一実施形態において、ログイン及びセッション生成は、ＭＩＢログインテーブルにおいて、行の生成と関連している。同様に、一実施形態において、ログアウト及びセッション終了は、ＭＩＢログインテーブルからの行の削除と関連している。

ログインテーブル３００の１つの行（row）がアクティブにされると、ＳＮＭＰエージェントプログラム１１４Ａは、対応するユーザＩＤ及びパスワードをエージェント装置１０４Ａに対してローカルに又は遠隔で位置することができる認証サーバ１０８に伝達する。ユーザの認証に成功すると、認証サーバ１０８は、ユーザ認証レベルをエージェント装置１０４Ａに提供する。その後に、ユーザは、上記認証レベルに基づいて、ＳＮＭＰ要求をエージェント装置１０４Ａに発行することができる。一部の実施形態において、ユーザからの全ての後続要求は、セッション識別子をコミュニティネームデータフィールド（例えば、コミュニティネームデータフィールド２０８）に含ませる。許可されない命令語を実行するための試み（“ログインした”ユーザによる）は、ＳＮＭＰエージェントプログラム１１４Ａにより拒絶される。

ＳＮＭＰエージェントプログラム１１４Ａは、ユーザがログアウトするまで、認証されたコミュニティ（すなわち、セッションＩＤ）からの全ての要請を受け入れる。ログアウトは、ユーザ命令語により開始されることもでき、又は所定の非活動（inactivity）期間（例えば、１５分）後にアクティブにされることもできる。これは、グローバルタイムアウト期間を定義するか、又は後にログインセッションが満了しなければならない持続期間のような他のＭＩＢ変数を付加することによりなされることができる。この技術は、システムが所定の非活動期間を有せず、様々な間隔で様々なユーザをタイムアウトすることができる。満了の場合に関係なく、ＳＮＭＰエージェントプログラム１１４Ａは、ログアウト命令に対応するセッションＩＤをログインテーブル３００から削除する。コミュニティネームとしてセッションＩＤを用いる全ての後続要求は、再ログインが成功するまで拒絶される。

ＳＮＭＰバージョン１（ＳＮＭＰｖ１）及びＳＮＭＰバージョン２ｃ（ＳＮＭＰｖ２ｃ）認証の保安は、コミュニティネームが明瞭なテキストで送信されない場合に向上することができる。したがって、一部の実施形態において、コミュニティネームストリングは、公開キー（public key）を用いて暗号化される。例えば、上記公開キーは、ＳＮＭＰメッセージパケットＰＤＵ（例えば、ＰＤＵ２４）に提供されるオブジェクト識別子（ＯＩＤ）から得られることができる。このような方法で、侵入者は、有効に発行されたＳＮＭＰ命令語をリプレーすることもできるが、正確な値をコミュニティネームフィールドに配置することにより、任意の又は悪意的な命令語を発行することはできない。

コミュニティネームフィールドの内容を暗号化するための公開キーを計算する場合に時間を考慮することもできる。例えば、“特定の時期（epoch）”（１９７０年１月１日）後に経過した１５分単位の時間間隔の数を用いて、コミュニティネームフィールドを暗号化するための公開キー（ＳＮＭＰ ＰＤＵのＯＩＤに加えて）を生成することができる。この場合に、暗号化されたコミュニティストリングは、１つの１５分間隔（interval）に対してのみ有効であり、したがって、侵入者による不法行為は、制限される。

図４ａは、本発明の実施形態による成功した認証過程４００を示す図である。認証過程４００は、矢印１Ａ〜７Ａにより示され、ＳＮＭＰマネージャ４０２、ＳＮＭＰエージェント４０４、及び認証サーバ４０６間の相互作用を示す。まず、ＳＮＭＰマネージャ４０２は、ログイン命令語を発行する（矢印１Ａ）。ＳＮＭＰエージェント４０４は、ログイン命令語を処理する（矢印２Ａ）。一部の実施形態において、ログイン命令語は、ＳＮＭＰエージェント４０４がＳＮＭＰパケット（例えば、パケット２００）のコミュニティネームデータフィールドの値を無視するようにする。ＳＮＭＰエージェント４０４は、ログイン命令語が提供されるユーザＩＤ及びパスワード情報を認証サーバ４０６に伝達する（矢印３Ａ）。認証サーバ４０６は、ユーザＩＤ及びパスワードを認証する（矢印４Ａ）。認証に成功すると、認証サーバ４０６は、ユーザに対する認証レベルをＳＮＭＰエージェント４０４に提供する（矢印５Ａ）。ＳＮＭＰエージェント４０４は、ログインしたユーザのリストをアップデートし、各ユーザに対する認証レベルを追跡する（矢印６Ａ）。例えば、ログインしたユーザ及び認証レベルを追跡するために、ＭＩＢログインテーブルを生成し、アップデートすることができる。最終的に、ＳＮＭＰエージェント４０４は、成功応答をＳＮＭＰマネージャ４０２に送信する（矢印７Ａ）。

図４ｂは、本発明の実施形態による失敗した認証過程４５０を示す図である。認証過程４５０は、矢印１Ｂ-６Ｂにより示され、ＳＮＭＰマネージャ４０２、ＳＮＭＰエージェント４０４、及び認証サーバ４０６間の相互作用を示す。まず、ＳＮＭＰマネージャ４０２は、ログイン命令語を発行する（矢印１Ｂ）。ＳＮＭＰエージェント４０４は、ログイン命令語を処理する（矢印２Ｂ）。一部の実施形態において、ログイン命令語は、ＳＮＭＰエージェント４０４がＳＮＭＰパケット（例えば、パケット２００）のコミュニティネームデータフィールドの値を無視するようにする。ＳＮＭＰエージェント４０４は、ログイン命令語が提供されるユーザＩＤ及びパスワード情報を認証サーバ４０６に伝達する（矢印３Ｂ）。認証サーバ４０６は、ユーザＩＤ及びパスワードの認証を試みるが、失敗する（矢印４Ｂ）。認証サーバ４０６は、認証が失敗したことをＳＮＭＰエージェント４０４に示すか、又はユーザが後続要求を提出する権限を与えられていないことを示す（矢印５Ｂ）。最後に、ＳＮＭＰエージェント４０４は、失敗応答をＳＮＭＰマネージャ４０２に送信する（矢印６Ｂ）。

図５は、本発明の実施形態による方法５００を示す図である。図５に示すように、方法５００は、ステップ５０２から開始される。方法５００は、ステップ５０４で、ログイン命令語が受信されたか否かを判定する。ログイン命令語が受信された場合に、ステップ５２０で、ログイン命令語が提供されるユーザＩＤ及びパスワードを認証サーバに伝達する。この後に、ステップ５２２で、応答が上記認証サーバから受信されたか否かを判定する。応答が上記認証サーバから受信されない場合に、ステップ５１８で、失敗応答をＳＮＭＰマネージャに送信する。

応答が認証サーバから受信された場合、ステップ５２４で、上記認証サーバは上記ユーザが認証に成功したか否かを判定する。上記認証サーバが上記ユーザの認証に成功しなかった場合に、ステップ５１８で、失敗応答をＳＮＭＰマネージャに送信する。上記認証サーバが上記ユーザの認証に成功した場合に、ステップ５２６で、ログインした新たなユーザーエントリーがログインしたユーザのリストに付加される。上記エントリーは、ＳＮＭＰ要求のコミュニティネームフィールドの値であるセッションＩＤ値を含む。ステップ５２６で、認証サーバにより提供される認証レベルも、ログインしたユーザのリストに記録される（すなわち、上記リストは、各ログインしたユーザ及びそのユーザの対応する認証レベルを追跡する）。その後に、ステップ５２８で、成功応答は、ＳＮＭＰマネージャに送信される。

ステップ５０４に戻って、ログイン命令語が受信されない場合、ステップ５０６で、上記コミュニティネームデータフィールドの値が上記ＳＮＭＰ要求から抽出される。一部の実施形態において、ログイン命令語が受信されない場合に、ステップ５０６で、ＳＮＭＰ命令語又は要求が受信される。その後に、方法５００は、ステップ５０８で、コミュニティネームがログインしたユーザのセッションＩＤと一致するか否かを判定する。上記コミュニティネームがログインしたユーザのセッションＩＤと一致しない場合に、ステップ５１８で、失敗応答は、ＳＮＭＰマネージャに送信される。上記コミュニティネームがログインしたユーザのセッションＩＤと一致する場合に、ステップ５１０で、ログインしたユーザの認証レベルを探す。その後に、ステップ５１２で、上記ログインしたユーザが受信された命令語を発行するように許可されたか否かを判定する。上記ログインしたユーザが上記受信された命令語の発行が許可されない場合、ステップ５１８で、失敗応答をＳＮＭＰマネージャに送信する。上記ログインしたユーザが受信された命令語を発行するように許可された場合に、ステップ５１４で、上記命令語を適切なアプリケーションに伝達する（例えば、ＭＩＢにアクセスする要求を処理するＳＮＭＰエージェント）。その後に、方法５００は、ステップ５１６で、上記命令語を処理するアプリケーションの応答が成功したか否かを判定する。上記命令語を処理するアプリケーションの応答が成功しない場合、ステップ５１８で、失敗応答をＳＮＭＰマネージャに送信する。一部の実施形態において、上記理由の中のいずれか１つによりＳＮＭＰマネージャに送信された失敗応答は、上記失敗の理由を示す指示子を含むこともできる。ステップ５１６で、上記命令語を処理するアプリケーションの応答に成功する場合には、ステップ５２８で、成功応答をＳＮＭＰマネージャに送信する。

上述したＳＮＭＰログインシステム又はそのシステムの一部及び方法は、必要とされる作業負荷を処理するのに十分な処理能力、メモリリソース、及びネットワーク処理能力を有する汎用コンピュータ上で実現されることもできる。

図６は、本発明の実施形態によるＳＮＭＰマネージャ、ＳＮＭＰエージェント、又は認証サーバを実現するために適切なコンピュータシステム６００の構成を示すブロック図である。コンピュータシステム６００は、第２の記憶部６０４、読み出し専用メモリ（ＲＯＭ）６０６、ランダムアクセスメモリ（ＲＡＭ）６０８（一部の実施形態では、非揮発性ＲＡＭ（ＮＶＲＡＭ））、入力／出力（Ｉ／Ｏ）装置６１０、及びネットワーク接続装置６１２を含むメモリ装置と通信中であるプロセッサ６０２（中央処理装置（ＣＰＵ）とも称する。）を含む。上記プロセッサは、１つ以上のＣＰＵチップで実現されることができる。

第２の記憶部６０４は、一般的に、１つ以上のディスクドライブ又はテープドライブを含み、データの非揮発性記憶のために使用され、ＲＡＭ６０８が全ての作業データを保存するのに十分に大きくない場合に、オーバーフローデータ記憶装置として使用される。第２の記憶部６０４は、ＲＡＭ６０８にロードされたプログラムが実行のために選択される際に、そのプログラムを格納するのに使用されてもよい。一部のＳＮＭＰエージェントは、第２の記憶部６０４を含んでいないコンピュータシステム６００に設置されてもよい。ＲＯＭ６０６は、命令及びプログラム実行の間に読み出されるデータを格納するのに使用される。一部の実施形態において、ＲＯＭ６０６は、第２の記憶部のメモリ容量より小さいメモリ容量を有する非揮発性メモリ装置である。ＲＡＭ６０８は、揮発性データ及び命令を格納するのに使用される。一般的に、ＲＯＭ６０６及びＲＡＭ６０８へのアクセスは、第２の記憶部６０４へのアクセスより速い。

Ｉ／Ｏ装置６１０は、プリンタ、ビデオモニタ、液晶表示装置（ＬＣＤ）、タッチスクリーンディスプレイ、キーボード、キーパッド、スイッチ、ダイヤル、マウス、トラックボール、音声認識器、カードリーダー、ペーパーテープリーダー、又はよく知られている他の入力装置を含む。ネットワーク接続装置６１２は、モデム、モデムバンク、イーサネット（登録商標）カード、ユニバーサルシリアルバス（Universal Serial Bus：ＵＳＢ）インターフェースカード、直列インターフェース、赤外線（infra red：ＩＲ）インターフェース、トークンリングカード、光ファイバー分散データインターフェース（Fiber Distributed Data interface：ＦＤＤＩ）カード、無線ローカルエリアネットワーク（Wireless Local Area Network：ＷＬＡＮ）カード、符号分割多重接続（ＣＤＭＡ）及び／又は移動通信用グローバルシステム（ＧＳＭ）無線送受信器カード、及びよく知られている他のネットワーク装置の形態をとることもできる。このネットワーク接続装置６１２は、プロセッサ６０２がインターネット又は１つ以上のイントラネットと通信することができるようにする。このようなネットワーク接続を介して、上述した方法を遂行する間に、プロセッサ６０２は、情報をネットワークから受信するか、又は情報をネットワークに出力することができる。プロセッサ６０２を用いて遂行される一連の命令として表されるそのような情報は、例えば、キャリアで実現されるコンピュータデータ信号の形態でネットワークから受信され、ネットワークに出力できる。

プロセッサ６０２を用いて実行されるデータ又は命令を含むことができるこのような情報は、コンピュータデータ基底帯域信号又はキャリアで実現される信号の形態でネットワークから受信され、ネットワークに出力されることができる。上記基底帯域信号又はネットワーク接続装置６１２により生成されるキャリアで実現される信号は、電導体の表面、同軸ケーブル、導波路、光媒体（例えば、光ファイバー）、又は空気中や自由空間を介して伝搬されることができる。基底帯域信号又はキャリアで実現される信号に含まれている情報は、様々なシーケンスに従って、情報の処理及び生成又は情報の送信及び受信に適合した形態で整列される。基底帯域信号又はキャリアで実現される信号、又は現在使用されているか、後で開発される送信媒体と称される他のタイプの信号は、当業者によく知られている幾つかの方法に従って生成されることもある。

プロセッサ６０２は、ハードディスク、フロッピー（登録商標）ディスク、光ディスク（このディスクを第２の記憶部６０４と見なすことができる）、ＲＯＭ６０６、ＲＡＭ６０８、又はネットワーク接続装置６１２からアクセスする命令、コード、コンピュータプログラム、及びスクリプトを実行する。

ＳＮＭＰバージョン３は、実質的な保安機能を提供する。しかしながら、一部の装置において、ＳＮＭＰバージョン３は、過度な処理を要求することもある。上述した実施形態は、標準ＳＮＭＰバージョン１及びＳＮＭＰバージョン２ｃプロトコル通信のフレームワーク内で多重レベルのアクセスと結合された新たな認証機能を提供することにより実質的な活用性を提供する。

本発明は幾つかの実施形態を提供しているが、開示されたシステム及び方法は、本発明の趣旨や範囲を外れずに、多くの他の特定の形態で実現されることもできることを理解すべきである。本例示は、説明のためのものであり、限定的なものでないと見なされ、目的は、本開示に提供された詳細なものに限定されず、添付された特許請求の範囲及びそれに対応するものの全範囲内で修正されることができる。例えば、様々な構成要素又は構成部品は、他のシステム内で組み合わせられるか、又は統合されてもよく、あるいは、一部の特徴が省略されるか、又は実現されないこともある。

また、様々な実施形態で個別的なもの又は別個のもので説明され、例示された技術、システム、サブシステム、及び方法は、本発明の範囲を外れずに、他のシステム、モジュール、技術、又は方法と組み合わせられるか、又は統合されてもよい。相互に直接結合されるか、または相互に通信するもので図示されるか、論議された他のアイテムは、特定のインターフェース又は装置を介して結合されてもよく、これにより、上記アイテムが相互に直接結合されたと見なされないことがあるが、電気的でも、機械的でも、又は他の方式でも、相互に間接的に結合され、通信中であることもある。変化、代替、及び変更の例は、当業者により確認されることができ、本発明の趣旨及び範囲を外れないでなされることができる。

本発明の実施形態によるシステムを示す図である。 本発明の実施形態によるメッセージパケットを示す図である。 本発明の実施形態による管理情報基盤（ＭＩＢ）ログインテーブルを示す図である。 本発明の実施形態による成功した認証過程を示す図である。 本発明の実施形態による失敗した認証過程を示す図である。 本発明の実施形態による方法を示す図である。 本発明の実施形態によるＳＮＭＰマネージャ、ＳＮＭＰエージェント、及び／又は認証サーバを実現するのに適切なコンピュータシステムの構成を示すブロック図である。

符号の説明

１００ システム
１０２ 管理装置
１０４Ａ〜１０４Ｎ エージェント装置
１０６Ａ〜１０６Ｎ 管理データ
１０８ 認証サーバ
１１０ 認証命令
１１２ ＳＮＭＰマネージャプログラム
１１４Ａ〜１１４Ｎ ＳＮＭＰエージェントプログラム

Claims (20)

1. 簡易ネットワーク管理プロトコルのための認証及び許可を処理するシステムであって、
   簡易ネットワーク管理プロトコル（ＳＮＭＰ）マネージャを実行するように動作することができるマネージャ装置と、
   前記ＳＮＭＰマネージャと通信中であり、ＳＮＭＰマネージャのために管理データへのアクセスを選択的に提供するＳＮＭＰエージェントを実行するように動作することができるエージェント装置と、を含み、
   前記ＳＮＭＰマネージャは、ログイン命令語をＳＮＭＰエージェントに発行し、前記ＳＮＭＰエージェントは、前記ログイン命令語を処理し、前記ログイン命令語が認証されると、管理データへのアクセスを許可することを特徴とするシステム。
2. 前記ＳＮＭＰエージェントは、ＳＮＭＰマネージャが送信したＳＮＭＰメッセージに含まれているセッション識別子に基づいて前記管理データにアクセスし、前記ＳＮＭＰエージェントは、前記ログイン命令語が提供されるコミュニティネームを無視することを特徴とする請求項１に記載のシステム。
3. 認証サーバをさらに含み、前記ＳＮＭＰエージェントは、前記ログイン命令語が提供されるユーザ識別子及びパスワードを前記認証サーバに伝達し、前記認証サーバは、前記ユーザ識別子及び前記パスワードに基づいてユーザに対する認証を試みることを特徴とする請求項１に記載のシステム。
4. 前記ＳＮＭＰエージェントは、少なくとも１つのユーザ識別子及び関連したパスワードを含むテーブルを生成し、各ユーザ識別子と関連したパスワードは、別途のセッション識別子でインデックスされることを特徴とする請求項３に記載のシステム。
5. 前記ユーザが認証されると、前記認証サーバは、前記ユーザに対する認証レベルを前記ＳＮＭＰエージェントに提供することを特徴とする請求項３に記載のシステム。
6. 前記ＳＮＭＰエージェントは、ログインしたユーザのリスト及び各ユーザの認証レベルを追跡することを特徴とする請求項５に記載のシステム。
7. 前記認証レベルは、前記管理データに対する非包括的（non-global）読み取り専用（ＲＯ）アクセス権を提供することを特徴とする請求項５に記載のシステム。
8. 前記認証レベルは、前記管理データに対する非包括的（non-global）読み書き（ＲＷ）アクセス権を提供することを特徴とする請求項５に記載のシステム。
9. 前記認証レベルは、所定のＳＮＭＰ命令語の使用を制限することを特徴とする請求項５に記載のシステム。
10. ログイン後に、後続要求は、この要求のコミュニティネームデータフィールドにセッション識別子を付加することにより提出されることを特徴とする請求項１に記載のシステム。
11. 簡易ネットワーク管理プロトコル（ＳＮＭＰ）データパケットを格納する記憶媒体において、前記ＳＮＭＰデータパケットは、
    コミュニティネームデータフィールドと、
    ログイン命令語データフィールドと、
    ユーザ識別子データフィールドと、
    パスワードデータフィールドと、を含み、
    前記ログイン命令語データフィールドに含まれているログイン命令語は、ＳＮＭＰエージェントが前記コミュニティネームデータフィールドの値を無視するようにし、認証のために、前記ユーザ識別子データフィールド及び前記パスワードデータフィールドの値を処理するようにすることを特徴とする記憶媒体。
12. 前記ＳＮＭＰデータパケットは、セッション識別子データフィールドをさらに含み、前記ユーザ識別子データフィールド及び前記パスワードデータフィールドの値が認証されると、前記セッション識別子データフィールドの値を前記コミュニティネームデータフィールドへの付加により有効なセッション要求が認識されることを特徴とする請求項１１に記載の記憶媒体。
13. 簡易ネットワーク管理プロトコル（ＳＮＭＰ）のための認証及び許可を処理する方法であって、
    簡易ネットワーク管理プロトコル（ＳＮＭＰ）データパケットを用いて命令語を発行するステップと、
    ＳＮＭＰコミュニティネームを無視するステップと、
    前記命令語と関連したユーザを認証するステップと、
    を含むことを特徴とする方法。
14. 前記ユーザを認証するステップは、前記命令語が提供されるユーザ識別子及びこれに関連したパスワードを認証するステップを含むことを特徴とする請求項１３に記載の方法。
15. 前記ユーザが認証されると、前記ユーザに対する認証レベルを提供するステップをさらに含むことを特徴とする請求項１３に記載の方法。
16. 前記ユーザに対する認証レベルを提供するステップは、管理データに対する非包括的アクセス権を提供するステップを含むことを特徴とする請求項１５に記載の方法。
17. 前記ユーザに対する認証レベルを提供するステップは、少なくとも１つのＳＮＭＰ命令語の使用を制限するステップを含むことを特徴とする請求項１５に記載の方法。
18. ログインしたユーザのリストをアップデートし、各ログインしたユーザと関連した認証レベルを追跡するステップをさらに含むことを特徴とする請求項１３に記載の方法。
19. ログインの成功後に、セッション識別子をＳＮＭＰ要求のコミュニティネームデータフィールドに付加することにより前記ＳＮＭＰ要求を発行するステップをさらに含むことを特徴とする請求項１３に記載の方法。
20. メッセージパケットプロトコルデータユニット（ＰＤＵ）に提供されるオブジェクト識別子から派生した公開キーを用いて、前記コミュニティネームデータフィールドの値を暗号化するステップをさらに含むことを特徴とする請求項１９に記載の方法。

Images