JP2010108260A

JP2010108260A - 仮想計算機システム及びその管理方法、プログラム並びに記録媒体

Info

Publication number: JP2010108260A
Application number: JP2008279853A
Authority: JP
Inventors: Atsushi Sakai; 敦酒井
Original assignee: Fujitsu Ltd
Current assignee: Fujitsu Ltd
Priority date: 2008-10-30
Filing date: 2008-10-30
Publication date: 2010-05-13
Anticipated expiration: 2028-10-30
Also published as: JP5223596B2; US20100115512A1; EP2182437A1

Abstract

【課題】複数の仮想計算機サーバを備える場合においてプログラムの改竄を防止することができる仮想計算機システムを提供する。
【解決手段】エージェント４１は、ポリシー管理サーバ４に設けられ、ゲストＯＳ１２の更新を示す更新情報及びゲストＯＳ１２を修正するための修正情報を管理する。エージェント２１は、各々のホストＯＳ１１に設けられる。エージェント２１は、仮想計算機サーバＶＭＳＡの記憶装置に格納されたゲストＯＳイメージを仮想計算機サーバＶＭＳＢの記憶装置１５に移動し、また、更新情報及び修正情報に従って、移動されたゲストＯＳイメージを修正する。
【選択図】図１

Description

本発明は、仮想計算機システム及びその管理方法、プログラム並びに記録媒体に関し、特に、複数の仮想計算機サーバを備える場合においてプログラムの改竄を防止することができる仮想計算機システム及びその管理方法、プログラム並びに記録媒体に関する。

仮想計算機サーバは、ＯＳ（オペレーティングシステム）により構成される複数の仮想計算機を備える。複数の仮想計算機には、各々、特定の役割が割り当てられる。アプリケーションプログラム（以下、アプリケーションという）を実行する仮想計算機即ちＯＳは、ゲストＯＳと呼ばれる。

例えば、複数の仮想計算機サーバをネットワークにより接続する仮想計算機システムにおいて、一方の仮想計算機サーバのゲストＯＳを、他方の仮想計算機サーバに移動させる場合がある。これは仮想計算機又はゲストＯＳのマイグレーションと呼ばれる。仮想計算機のマイグレーションにおいては、ゲストＯＳの改竄を防止して、セキュリティを確保する必要がある。

なお、デジタル画像の改竄を防止する画像入力装置、通信システム等において、デジタル画像に対して所定の演算を実行することにより、改竄検出用情報を生成する手段等を備え、この改善検出用情報をネットワーク上の画像管理装置が管理する画像入力装置、通信システム等が提案されている。

また、情報処理システム及び情報処理方法において、システムを構成するための、ブート用のイメージを含むシステムイメージをロードする手段と、そのシステムイメージを検証するシステム検証手段等を備え、検証済みのブート用イメージにおけるブートストラップコード及びこれによって起動されるＯＳを利用できる情報処理システム及び情報処理方法が提案されている。

さらに、コンピュータネットワークシステムにおいて、インストール時やバージョンアップ時の作業の効率化を向上させるため、マスタのコンピュータ内に各ホストコンピュータのアドレスとＯＳの版数管理情報を登録し、ＯＳの更新処理を即時に行うことができるコンピュータネットワークシステムのＯＳの版数管理方法が提案されている。

さらに、また、ネットワーク接続管理システムにおいて、新規あるいは既存のコンピュータ端末がネットワークに接続される際に、自動的に保護された保守用遠隔ネットワークに接続される。そして、当該ネットワークへの接続を試みたコンピュータ端末の脆弱性やウィルス感染等の安全性の検査等を行い、安全性が確認された場合にコンピュータ端末に接続を許可するネットワーク接続管理システムが提案されている。
特開２００５−２８６８２３号公報特開２００６−１７２３７６号公報特開平９−４４３４２号公報特開２００６−１８７６６号公報

図１４及び図１５は、本発明者が検討した仮想計算機システムにおけるゲストＯＳのマイグレーションを説明する図である。

図１４に示す仮想計算機システムにおいて、複数の仮想計算機サーバ（ＶＭＳ：Virtual Machine Server）１００が、ネットワーク３００により接続される。また、ネットワーク３００に接続された統合管理サーバ（ＴＭＳ：Total Management Server）２００が、ゲストＯＳ１０２のマイグレーションを統合的に管理する。

統合管理サーバ２００は、一方の仮想計算機サーバＶＭＳＡのゲストＯＳ１０２を、他方の仮想計算機サーバＶＭＳＢに移動する（マイグレーションする）。このマイグレーションにより、実際には、仮想計算機サーバＶＭＳＡのハードウェア（ハードウェア資源）１０４が備える磁気ディスク装置に存在するゲストＯＳイメージ１０２’が、仮想計算機サーバＶＭＳＢのハードウェア１０４が備える磁気ディスク装置のような記憶装置１０５に移動される（又は、コピーされる）。ゲストＯＳイメージ１０２’は、記憶装置１０５に存在し起動される前のゲストＯＳ１０２である。なお、図１５は、仮想計算機サーバＶＭＳＢにおけるゲストＯＳイメージ１０２’のみを図示する。

仮想計算機サーバＶＭＳＢにおいて、図１５に示すように、ホストＯＳ１０１が、移動されたゲストＯＳイメージ１０２’の起動命令を仮想計算機モニタ１０３に送信する。これに応じて、仮想計算機モニタ１０３が、記憶装置１０５に移動されたゲストＯＳイメージ１０２’を起動し、結果として、ゲストＯＳ１０２が稼動することになる。この場合、ウィルス等からの攻撃を受けるのは、主として、起動時に記憶装置１０５に格納された状態のゲストＯＳイメージ１０２’と、起動された状態のゲストＯＳ１０２である。

しかし、本発明者の検討によれば、前述した統合的な管理においては、マイグレーションされたゲストＯＳイメージ１０２’それ自体（第一世代）を管理するに過ぎない。従って、ゲストＯＳ１０２のマイグレーションは、短時間（例えば、週単位）で変動するウィルス等、動的に変化する環境からの攻撃には弱い。

例えば、ゲストＯＳ１０２は多種多様な仮想計算機サーバ１００で稼動する。従って、ゲストＯＳイメージ１０２’が、種々のタイミングで種々のウィルス等による攻撃を受けるおそれがある。また、ゲストＯＳ１０２は頻繁に起動され停止される。従って、ゲストＯＳ１０２が、その起動時等に、ウィルス等による攻撃を受けるおそれがある。

本発明は、複数の仮想計算機サーバを備える場合においてプログラムの改竄を防止することができる仮想計算機システム及びその管理方法、プログラム並びに記録媒体を提供することを目的とする。

本発明の一実施態様である仮想計算機システムは、第１の仮想計算機サーバと、第２の仮想計算機サーバと、管理サーバと、管理手段と、更新手段とを備える。第１の仮想計算機サーバは、演算処理装置としてのＣＰＵと記憶装置等のハードウェア資源を含むハードウェアと、各々がＣＰＵ上で動作するＯＳからなる複数の仮想計算機と、複数の仮想計算機の制御を行う仮想計算機モニタとを備える。第２の仮想計算機サーバは、第１の仮想計算機サーバと同様の構成を備える。管理サーバは、第１の仮想計算機サーバ及び第２の仮想計算機サーバとネットワークを介して接続される。管理手段は、管理サーバに設けられ、ＯＳについて、ＯＳの更新を示す更新情報及びＯＳを修正するための修正情報を管理する。更新手段は、第１の仮想計算機サーバ及び第２の仮想計算機サーバに設けられ、ＯＳが第１の仮想計算機サーバの記憶装置に格納された状態であるＯＳイメージを第２の仮想計算機サーバの記憶装置に移動すると共に、管理手段から受信した更新情報及び修正情報に従って、第２の仮想計算機サーバの記憶装置に移動した前記ＯＳイメージを修正する。

本発明の一実施態様である仮想計算機システムの管理方法は、前述の仮想計算機システムにおいて実行され、仮想計算機システムを管理する。

本発明の一実施態様である仮想計算機システムの管理プログラムは、前述の仮想計算機システムにおいて実行されて、前述の仮想計算機システムの管理方法を実現する。

本発明の一実施態様である仮想計算機システムの管理プログラムの記録媒体は、前述の仮想計算機システムの管理プログラムを提供する。

本発明の実施態様の一例である仮想計算機システム及びその管理方法によれば、第１の仮想計算機サーバから第２の仮想計算機サーバに移動（マイグレーション）されたＯＳイメージは、第２の仮想計算機サーバにおいて、管理サーバからの更新情報及び修正情報に従って修正される。

これにより、マイグレーションされたＯＳが、種々の仮想計算機サーバ上で稼動する結果、種々のタイミングで種々のウィルス等による攻撃を受けたとしても、この攻撃に耐えるように予め修正することができる。また、マイグレーションされたＯＳが、頻繁に起動される結果、その起動時等にウィルス等による攻撃を受けたとしても、この攻撃に耐えるように予め修正することができる。

従って、マイグレーションされたＯＳにおいて、短時間で変動するウィルス等、動的に変化する環境からの攻撃への耐性を向上することができる。特に、マイグレーションから再起動までの時間経過に依存するＯＳの脆弱性を、より小さくすることができる。

本発明の一実施態様である仮想計算機システムの管理プログラム及びその記録媒体によれば、前述の仮想計算機システムの管理方法を実現し、前述の効果を得ることができる。

本発明の一実施態様である仮想計算機システムによれば、前述の仮想計算機システムの管理方法を実現し、前述の効果を得ることができる。

図１は、本発明の実施態様の一例である仮想計算機システムの構成を示す図である。

この仮想計算機システムは、複数の仮想計算機サーバ（ＶＭＳ）１と、ポリシー管理サーバ（ＰＭＳ）４と、これらの間を接続するネットワーク３とを備える。複数の仮想計算機サーバ１は、同一の構成を備える。複数の仮想計算機サーバ１を区別する場合には、記号ＶＭＳに符号Ａ等を付して、仮想計算機サーバＶＭＳＡ、ＶＭＳＢ等と表すこととする。

仮想計算機サーバ１は、仮想計算機モニタ（ＶＭＭ：Virtual Machine Monitor 又はHypervisor）１３、複数の仮想計算機（ＶＭ：Virtual Machine ）１１、１２を備える。仮想計算機１１、１２と仮想計算機モニタ１３とが、ハードウェア上で動作する。ハードウェアは、物理ＣＰＵ（Central Processing Unit又は演算処理装置）、記憶装置１５等のハードウェア資源を備える。

仮想計算機サーバ１は、前述したように、複数の仮想計算機１１、１２を備える。即ち、ホストＯＳ（オペレーティングシステム即ち制御プログラム）１１、ゲストＯＳ１２が、各々、仮想計算機１１，１２である。各々の仮想計算機１１、１２は、各々のＯＳ１１〜１２がハードウェアの物理（又は実）ＣＰＵの制御権を獲得して当該物理ＣＰＵ上で実行されることにより実現される。仮想計算機モニタ１３も同様にして実現される。

仮想計算機モニタ１３は、この仮想計算機サーバ１の全体を制御する。即ち、仮想計算機モニタ１３は、複数の仮想計算機１１、１２、即ち、ＯＳ１１、１２のディスパッチ（物理ＣＰＵの制御権の割当て）、ＯＳ１１、１２が実行する特権命令のエミュレーション、物理ＣＰＵ等のハードウェアの制御等を行う。

ホストＯＳ１１は、１個設けられ、仮想計算機（ドメイン）として動作し、仮想計算機モニタ１３から物理ＣＰＵの制御権を割当てられて、仮想計算機システム全体の管理を行う。ホストＯＳ１１は、仮想計算機サーバ１のブート時に起動され、ゲストＯＳ１２の制御（起動及び停止等を含む全ての制御）を行う。ホストＯＳ１１は、同時に、ドライバＯＳ（後述する）としても動作可能である。

ゲストＯＳ１２は、物理Ｉ／Ｏ装置を持たないＯＳである。ゲストＯＳ１２は、通常の（いわゆる）ＯＳと考えてよい。例えば、アプリケーションプログラム（以下、アプリケーション）は、いずれかのゲストＯＳ１２上で実行され動作する。ゲストＯＳ１２は、ドライバＯＳに対してＩ／Ｏ命令の実行を依頼することにより、そのＩ／Ｏ命令の実行が可能となる。

なお、仮想計算機サーバ１は、ホストＯＳ１１及びゲストＯＳ１２以外にも、ドライバＯＳを備える。ドライバＯＳは、物理（又は実）入出力装置（Ｉ／Ｏ装置）を制御するＯＳである。物理Ｉ／Ｏ装置は、複数の種類、例えば記憶装置１５、ネットワーク３等を備える。ドライバＯＳは、複数の種類の物理Ｉ／Ｏ装置毎に、設けられる。物理Ｉ／Ｏ装置の制御はドライバＯＳが実行する。ドライバＯＳは、ホストＯＳ１１上やゲストＯＳ１２上でも動作可能である。ドライバＯＳがゲストＯＳ１２上で動作する場合、そのゲストＯＳ１２は、見かけ上ドライバＯＳとなる。

記憶装置１５は、ゲストＯＳイメージ（ゲストドメインイメージ）を格納する。記憶装置１５は、例えば磁気ディスク装置である。記憶装置１５は、磁気ディスク装置以外の不揮発性の記憶装置であっても良い。

図１の例においては、仮想計算機サーバＶＭＳＡから仮想計算機サーバＶＭＳＢへ、後述するように、ゲストＯＳ（ゲストＯＳイメージ）１２が移動される（マイグレーションされる）。また、ゲストＯＳ１２上で実行されるアプリケーションも、ゲストＯＳ１２と同様に、仮想計算機サーバＶＭＳＡから仮想計算機サーバＶＭＳＢへマイグレーションされる。

このマイグレーションのために、複数の仮想計算機サーバ１の各々が、ホストＯＳ１１に設けられるエージェント２１を備える。また、ポリシー管理サーバ４が、エージェント４１と、ＯＳベンダ等修正情報５と、ＯＳ検証ベンダ修正情報６とを備える。

なお、ゲストＯＳ１２は、いずれの仮想計算機サーバ１の間においてマイグレーションされても良い。また、図１の例においては、ゲストＯＳ１２のマイグレーションについて説明するが、本発明は、これに限られること無く、ホストＯＳ１１、ドライバＯＳ、これらにより実行される各種のプログラムのマイグレーションに対して適用することができる。

ポリシー管理サーバ４において、エージェント４１は、ＯＳベンダ等修正情報５及びＯＳ検証ベンダ修正情報６に基づいて、ゲストＯＳ１２の版数等の更新情報及び修正情報を取得する（作成する）。取得した更新情報及び修正情報は、ネットワーク３を介して、ポリシー管理サーバ４から各々の仮想計算機サーバ１に送信される。

エージェント４１は、ゲストＯＳ１２の更新を追跡し、また、ゲストＯＳ１２の更新状況を管理する。更新の追跡のために、エージェント４１は、ゲストＯＳ１２のベンダ（開発業者）のウェブサイト等からゲストＯＳ１２の更新を追跡し、更新を仮想計算機サーバ１に適用する。また、エージェント４１は、この適用を確認するプログラムを作成する。また、ゲストＯＳ１２の更新状況の管理のために、エージェント４１は、ゲストＯＳ１２の更新ポリシーを管理し、ゲストＯＳ１２の更新状況を管理する。また、エージェント４１は、更新ポリシーに従って、仮想計算機サーバ１からのゲストＯＳ１２についての更新の有無の問合せに対して応答する。エージェント４１については、図２〜図６を参照して後述する。

ＯＳベンダ等修正情報５は、ゲストＯＳ１２の種類毎に、例えば、ＯＳ版数、修正情報、アプリケーション版数を含む情報である。ＯＳ検証ベンダ修正情報６は、ゲストＯＳ１２の種類毎に、例えば、修正プログラム情報、検証情報を含む情報である。なお、ＯＳベンダ等修正情報５及びＯＳ検証ベンダ修正情報６のいずれが、ＯＳ版数、修正情報、アプリケーション版数、修正プログラム情報、検証情報のいずれを含んでいても良い。ＯＳベンダ等修正情報５及びＯＳ検証ベンダ修正情報６に基づいて、後述する最新版数テーブル４１３１及び最新状態検証テーブル４１６１が作成できれば良い。例えば、ＯＳベンダ等修正情報５及びＯＳ検証ベンダ修正情報６は１個の情報であっても良い。換言すれば、最新版数テーブル４１３１及び最新状態検証テーブル４１６１を作成するための情報は、ＯＳベンダ等修正情報５及びＯＳ検証ベンダ修正情報６により与えられる。

ＯＳベンダ等修正情報５及びＯＳ検証ベンダ修正情報６は、前述したように、例えばインターネットを介してベンダのウェブサイト等から通知される。なお、ＯＳベンダ等修正情報５及びＯＳ検証ベンダ修正情報６は、例えばインターネットを介してベンダのホームページ等からダウンロードするようにしても良く、また、記録媒体に格納されて入力されるようにしても良い。

各々のホストＯＳ１１において、エージェント２１は、ポリシー管理サーバ４を介して、仮想計算機サーバ１の各種ＯＳの更新を追跡し、また、更新状況を管理する。具体的には、ＯＳの更新を追跡する手段、更新情報を仮想計算機モニタ１３から適用するプログラムもしくは、適用を確認するプログラムの作成手段等により生成する。エージェント２１については、図７〜図１３を参照して、後述する。

以下、ポリシー管理サーバ（ＰＭＳ）４が備えるエージェント４１及びその処理について、図２〜図６を参照して説明する。

図２は、ポリシー管理サーバ（ＰＭＳ）４のエージェント４１の構成の一例を示す図である。

エージェント４１は、管理者制御Ｉ／Ｆ部４１１、全体制御部４１２、ＯＳ最新版数監視部４１３、マイグレーション管理部４１４、ＰＭＳ−ＶＭＳ通信部４１５、最新状態検証情報作成部４１６を備える。

全体制御部４１２は、エージェント４１の全体を制御する。ＰＭＳ−ＶＭＳ通信部４１５は、ポリシー管理サーバ４と仮想計算機サーバ１との間の通信を行う。

管理者制御Ｉ／Ｆ部４１１は、入出力インタフェースであり、仮想計算機システム又はポリシー管理サーバ４の管理者が使用する。これにより、管理者は、種々の指示をエージェント４１に入力し、また、エージェント４１から種々の出力を得る。例えば、管理者は、管理者制御Ｉ／Ｆ部４１１から、仮想計算機サーバＶＭＳＡから仮想計算機サーバＶＭＳＢへのゲストＯＳ１２の生成（移動）の指示を入力する。この指示は、後述する修正関連情報生成命令である。この指示は、ＰＭＳ−ＶＭＳ通信部４１５を介して、仮想計算機サーバＶＭＳＡ及び仮想計算機サーバＶＭＳＢへ送信される。

ＯＳ最新版数監視部４１３は、ＯＳの更新を追跡する追跡手段である。ＯＳ最新版数監視部４１３は、例えば、インターネットを介してベンダのサイトからゲストＯＳ１２又はアプリケーションの変更の通知を受信して、当該サイトからＯＳベンダ等修正情報５及びＯＳ検証ベンダ修正情報６を取得して、これらに基づいて、最新版数テーブル４１３１を作成する。最新版数テーブル４１３１は、ゲストＯＳ１２の更新を示す更新情報である。また、ＯＳ最新版数監視部４１３は、当該変更の通知を受信した旨を、全体制御部４１２を介して最新状態検証情報作成部４１６に通知する。

最新状態検証情報作成部４１６は、ＯＳの状況を管理する状況管理手段である。最新状態検証情報作成部４１６は、例えば、ＯＳ最新版数監視部４１３からの通知を受信して、ＯＳ最新版数監視部４１３からＯＳベンダ等修正情報５及びＯＳ検証ベンダ修正情報６を取得して、これらに基づいて、最新状態検証テーブル４１６１を作成する。最新状態検証テーブル４１６１は、ゲストＯＳ１２を修正するための修正情報である。

以上により、エージェント４１は、ゲストＯＳ１２について、更新情報及び修正情報を管理する。なお、前述したように、エージェント４１は、ゲストＯＳ１２に加えて、アプリケーションについて、アプリケーションの更新を示す更新情報及びアプリケーションを修正するための修正情報とを管理する。

マイグレーション管理部４１４は、ゲストＯＳ１２についてのマイグレーションを管理する。このために、マイグレーション管理部４１４は、最新情報管理テーブル４１４１、最新状態保持テーブル４１４２、アクセスポリシーテーブル４１４３を作成する。テーブル４１４１〜４１４３は、一体となってマイグレーション管理情報を構成する。

図３は、ポリシー管理サーバ４の最新版数テーブル４１３１及び最新状態検証テーブル４１６１の構成の一例を示す図である。

最新版数テーブル４１３１は、ゲストＯＳ１２の種類毎に、ゲストＯＳ１２の版数、ゲストＯＳ１２の修正情報、ゲストＯＳ１２上で実行されるアプリケーションの版数を格納する。ゲストＯＳ１２の種類は、ＯＳ（Ａ）等のＯＳ名であり、例えば、Ｗｉｎｄｏｗｓ（登録商標）等である。ゲストＯＳ１２の版数は、ゲストＯＳ１２が改版された場合における当該改版の数である。ゲストＯＳ１２の修正情報は、ゲストＯＳ１２が改版された場合において、古い版数のゲストＯＳ１２を修正して新しい版数のゲストＯＳ１２とするための修正情報である。ゲストＯＳ１２上で実行されるアプリケーションの版数は、アプリケーションが改版された場合における当該改版の数である。アプリケーションとしては、例えばＷｏｒｄ等がある。

最新状態検証テーブル４１６１は、ゲストＯＳ１２の種類毎に、ゲストＯＳ１２の版数、ゲストＯＳ１２の修正プログラム情報、検証情報を格納する。ゲストＯＳ１２の修正プログラム情報は、ゲストＯＳ１２が改版された場合において、古い版数のゲストＯＳ１２（Ｐ１）と、新しい版数のゲストＯＳ１２（Ｐ２）とを含む。ゲストＯＳ１２（Ｐ１）及びゲストＯＳ１２（Ｐ２）は、修正情報により指示される。修正プログラム情報は、実施には、ゲストＯＳ１２（Ｐ１）及びゲストＯＳ１２（Ｐ２）の存在するアドレスをポイントするポインタである。検証情報は、ゲストＯＳ１２（Ｐ１）のハッシュ（ハッシュ値とも言う、以下同じ）及びゲストＯＳ１２（Ｐ２）のハッシュである。ゲストＯＳ１２（Ｐ１）のハッシュは、前述したように、例えばベンダから通知される。ゲストＯＳ１２（Ｐ２）のハッシュは、例えばゲストＯＳ１２をマイグレーションして更新した後に、当該更新されたゲストＯＳ１２をハッシュすることにより、生成される。

図４は、ＯＳ及びアプリケーションの修正プログラム又は検証データの作成のフローを示す図である。

最新状態検証情報作成部４１６が、ＯＳ最新版数監視部４１３より、修正発生通知を受ける（ステップＳ１１）。修正発生通知は、ソフトウェア種類（ゲストＯＳ１２の種類）及びその版数を含む。最新状態検証情報作成部４１６は、ＰＭＳ-ＶＭＳ通信部４１５を介して、仮想計算機サーバ（ＶＭＳ）１に対して、修正プログラム情報に基づいて、ゲストＯＳ１２（Ｐ２）のような改版後のプログラムを提供し、当該仮想計算機（ＶＭ）用の新規修正プログラムの作成を指示する（ステップＳ１２）。新規修正プログラムは、例えば、ゲストＯＳ１２（Ｐ１）とゲストＯＳ１２（Ｐ２）との差分（パッチ）を、ゲストＯＳ１２（Ｐ１）に当てるためのプログラムである。

仮想計算機サーバ１は、対象のゲストＯＳ１２の修正のための環境を作成し、差分を取得し、新規修正プログラムを作成し、修正を実行し（新規修正プログラムを実行し）、検証データを作成する（ステップＳ１３）。この後、仮想計算機サーバ１は、新規修正プログラムと検証データとを、ＰＭＳ-ＶＭＳ通信部４１５を介して、最新状態検証情報作成部４１６に送信する（ステップＳ１４）。最新状態検証情報作成部４１６は、自己のデータベースである最新状態検証テーブル４１６１において、当該ゲストＯＳ１２の検証情報のフィールドにこれらの情報を保存する（ステップＳ１５）。

図５（Ａ）は、ポリシー管理サーバ４が備えるゲストＯＳ１２についてのテーブル４１４１〜４１４３の一例を示す。

最新情報管理テーブル４１４１は、ゲストＯＳ１２の種類毎に、ゲストＯＳ１２の版数、ゲストＯＳ１２の修正情報、ゲストＯＳ１２上で実行されるアプリケーションの種類、前記アプリケーションの版数、アクセスポリシーファイル識別子を格納する。アプリケーションの種類は、アプリケーションの名前である。アクセスポリシー識別子は、ゲストＯＳ１２のアクセスポリシーが格納されたファイルを一意に識別するための識別子（ＩＤ、以下同じ）である。

最新状態保持テーブル４１４２は、ドメイン識別子毎に、仮想計算機サーバ、ゲストＯＳ１２の種類、ゲストＯＳ１２の版数を格納する。ドメイン識別子は、ドメイン（仮想計算機１２即ちゲストＯＳ１２）を一意に識別するための識別子である。仮想計算機サーバは、ＶＭＳＡ等の仮想計算機サーバ１の名前である。ゲストＯＳ１２の種類は、当該仮想計算機サーバ１上で動作するゲストＯＳ１２の名前である。ゲストＯＳ１２の版数は、当該ゲストＯＳ１２の版数である。

アクセスポリシーテーブル４１４３は、アクセスポリシー識別子毎に、ネットワーク、ディスクを格納する。ネットワークは、当該ゲストＯＳ１２のイメージ（ゲストＯＳイメージ）に対してアクセスを許容する特定の仮想計算機サーバ１の名前である。ディスクは、当該ゲストＯＳイメージが格納されている記憶装置１５の名前である。

最新状態保持テーブル４１４２は、ゲストＯＳ１２の種類により、最新情報管理テーブル４１４１の当該ゲストＯＳ１２の最新情報とリンクされる。最新情報管理テーブル４１４１は、アクセスポリシー識別子により、当該ゲストＯＳ１２のアクセスポリシーテーブル４１４３とリンクされる。

図５（Ｂ）は、ポリシー管理サーバ（ＰＭＳ）４のゲストＯＳ１２のポリシーの設定処理フローを示す。

管理者が、管理者制御Ｉ/Ｆ部４１１よりポリシー設定命令を入力する（ステップＳ２１）。これに応じて、管理者制御Ｉ/Ｆ部４１１から、全体制御部４１２を介して、マイグレーション管理部４１４にポリシーが設定される（ステップＳ２２）。即ち、テーブル４１４１〜４１４３が作成される。最新情報管理テーブル４１４１及び最新状態保持テーブル４１４２は、最新版数テーブル４１３１（及び最新状態検証テーブル４１６１）に基づいて作成される。このために、マイグレーション管理部４１４は、全体制御部４１２を介して、これらのテーブル４１３１及び４１６１を取得する。アクセスポリシーテーブル４１４３の内容は、例えば、ステップＳ２１において管理者制御Ｉ/Ｆ部４１１よりポリシー設定命令と共に入力される。この後、管理者制御Ｉ/Ｆ部４１１が、管理者に設定完了を通知する（ステップＳ２３）。

図６は、仮想計算機サーバ１におけるゲストＯＳ１２のマイグレーション処理の処理フローを示す。

例えば、ポリシー管理サーバ（ＰＭＳ）４が、仮想計算機サーバ１及びゲストＯＳ１２を指定して、ゲストＯＳ１２についてのドメイン生成命令を発行する（ステップＳ３１）。このために、例えば、管理者が、管理者制御Ｉ/Ｆ部４１１から当該ドメイン生成命令の発行に必要なデータを入力する。これに応じて、当該ドメイン生成命令が、ポリシー管理サーバ４から仮想計算機サーバ１のエージェント２１に送信される（ステップＳ３２）。

仮想計算機サーバ１のエージェント２１が、ポリシー管理サーバ４に、ゲストＯＳ１２のドメインポリシーの提供を依頼する（ステップＳ３３）。ポリシー管理サーバ４が、ゲストＯＳ１２の版数をチェックして、このチェック結果に基づいて、その版数のゲストＯＳ１２のドメインポリシーを、仮想計算機サーバ１のエージェント２１に提供する（ステップＳ３４）。

ドメインポリシーの提供を受けた仮想計算機サーバ１のエージェント２１は、現在のゲストＯＳ１２の版数を判断する（ステップＳ３５）。現在のゲストＯＳ１２が最新版である場合、仮想計算機サーバ１のエージェント２１は、ゲストＯＳ１２の版数が最新版であるので、当該ゲストＯＳ１２をそのまま起動して（ステップＳ３６）、処理を終了する。

現在のゲストＯＳ１２が最新版でない場合、仮想計算機サーバ１のエージェント２１は、更に、ゲストＯＳ１２の起動前に当該ゲストＯＳ１２を修正するか否かを判断する（ステップＳ３７）。

起動前に修正する場合、仮想計算機サーバ１において、エージェント２１からの依頼に応じて、仮想計算機モニタ１３が、ゲストＯＳ１２の起動前にゲストＯＳ１２の修正を実行して（ステップＳ３８）、処理を終了する。起動前に修正しない場合、仮想計算機サーバ１において、エージェント２１からの依頼に応じて、仮想計算機モニタ１３が、ハードウェアの利用を制限して（即ち、資源を制限して）、ゲストＯＳ１２を起動し、ゲストＯＳ１２の修正完了を確認後に前記制限を解除して（ステップＳ３９）、処理を終了する。なお、ゲストＯＳ１２の修正完了処理、及び、確認後の前記制限の解除処理は、省略するようにしても良い。

次に、仮想計算機サーバ１のホストＯＳ１１が備えるエージェント２１及びその処理について、図７〜図１３を参照して説明する。

図７は、仮想計算機サーバ１のエージェント２１の構成の一例を示す図である。

エージェント２１は、修正関連情報生成部２１１、全体制御部２１２、ＯＳ状態更新部２１３、マイグレーション管理部２１４、ＶＭＳ−ＰＭＳ通信部２１５、最新ブート検証情報登録部２１６からなる。

全体制御部２１２は、エージェント２１の全体を制御する。ＶＭＳ−ＰＭＳ通信部２１５は、仮想計算機サーバ１とポリシー管理サーバ４との間の通信を行う。

修正関連情報生成部２１１は、ＶＭＳ−ＰＭＳ通信部２１５を介して、ゲストＯＳ１２の更新情報を受信する。この後、修正関連情報生成部２１１は、ポリシー管理サーバ４からの修正関連情報生成命令に応じて、当該仮想計算機サーバ１用の修正関連情報を作成する。この修正関連情報は、前述したように、当該修正のためのプログラムや検証データである。この修正関連情報は、ゲストＯＳイメージ１２’の修正に用いられる。ゲストＯＳイメージ１２’は、ゲストＯＳ１２が仮想計算機サーバ１の記憶装置（１５）に格納され起動される前の状態である。

ＯＳ状態更新部２１３は、ゲストＯＳ１２の更新手段である。ＯＳ状態更新部２１３は、マイグレーション管理部２１４からの命令に応じて、該当ゲストＯＳイメージ１２’（又はアプリケーション）の更新を行う。即ち、ＯＳ状態更新部２１３は、ＯＳイメージ１２’を、仮想計算機サーバＶＭＳＢの記憶装置１５に移動する。また、ＯＳ状態更新部２１３は、エージェント４１から受信した更新情報及び修正情報に従って、仮想計算機サーバＶＭＳＢの記憶装置１５に移動したゲストＯＳイメージ１２’を修正する。なお、前述したように、アプリケーションについても、同様である。

マイグレーション管理部２１４は、ポリシー管理サーバ４を介して、マイグレーションに必要な情報（マイグレーション情報）を管理する。また、マイグレーション管理部２１４は、ゲストＯＳ１２の起動時等の監視を行う。

最新ブート検証情報登録部２１６は、ゲストＯＳ１２を検証する検証手段である。最新ブート検証情報登録部２１６は、マイグレーション管理部２１４からの命令に応じて、該当ゲストＯＳ１２のゲストＯＳイメージ１２’の検証情報の設定及びゲストＯＳ１２の検証を行う。

図８は、仮想計算機サーバ１用の修正関連情報の生成処理フローを示す。

仮想計算機サーバＶＭＳＢのエージェント２１の修正関連情報生成部２１１が、ポリシー管理サーバ４から、修正関連情報生成命令を受信する（ステップＳ４１）。これに応じて、修正関連情報生成部２１１は、修正前のゲストＯＳイメージ１２’を、例えば仮想計算機サーバＶＭＳＡからのマイグレーションにより取得し（ステップＳ４２）、ポリシー管理サーバ４から当該ゲストＯＳ１２の修正プログラムを取得する（ステップＳ４３）。そして、修正関連情報生成部２１１が、当該ゲストＯＳ１２を起動し、修正プログラムを実行することにより、ゲストＯＳ１２に修正を当てる（ステップＳ４４）。

この後、修正関連情報生成部２１１が、ゲストＯＳ１２を停止し、ゲストＯＳイメージ１２‘のハッシュを取得する（ステップＳ４５）。これにより、修正関連情報生成部２１１は、移動したゲストＯＳイメージ１２’を修正した場合に、修正したＯＳイメージ１２’のハッシュを取得する。更に、修正関連情報生成部２１１が、修正後のゲストＯＳイメージ１２’と修正前のゲストＯＳイメージ１２‘との差分を取得する（ステップＳ４６）。この後、修正関連情報生成部２１１は、取得したハッシュと差分（差分情報）とを、ポリシー管理サーバ４に通知する（ステップＳ４７）。

以上の処理において、ステップＳ３５〜Ｓ３９において前述したように、エージェント２１は、エージェント４１から更新情報を受信し、移動したＯＳイメージ１２’を修正すべき場合にエージェント４１から修正情報を受信し、受信した修正情報に基づいて移動したＯＳイメージ１２’を修正する。また、エージェント２１は、移動したＯＳイメージ１２’を修正すべき場合に、移動したＯＳイメージ１２’を修正した後に起動するか、又は、ハードウェアの利用を制限して起動する。

図９は、ゲストＯＳイメージ１２’の修正イメージの作成処理を示す。

仮想計算機サーバＶＭＳＢのホストＯＳ１１のエージェント２１が、仮想計算機サーバＶＭＳＡの記憶装置から、更新前のゲストＯＳイメージ１２’を、仮想計算機サーバＶＭＳＢの記憶装置１５にコピーする（＃１）。即ち、ゲストＯＳイメージ１２’の移動（マイグレーション）とは、当該ゲストＯＳイメージ１２’をコピーすることである。

この後、エージェント２１が、コピーしたゲストＯＳイメージ１２’を起動し（＃２）、起動されたゲストＯＳ（更新ゲストＯＳ）１２に修正を適用し（＃３）、更新ゲストＯＳ１２を停止する（＃４）。

この後、エージェント２１が、ゲストＯＳ１２の差分及び更新ゲストＯＳ１２のハッシュを作成し（＃５）、作成した差分及びハッシュをポリシー管理サーバ４へ送信する（＃６）。

図１０は、ゲストＯＳ起動時の監視処理フローを示す。

ポリシー管理サーバ４からの起動命令を受信すると（ステップＳ５１）、これに応じて、仮想計算機サーバ１のエージェント２１のマイグレーション管理部２１４が、ポリシー管理サーバ４から起動すべきゲストＯＳ１２のＩＤ、更新関連情報等を取得する（ステップＳ５２）。

この後、マイグレーション管理部２１４が、ゲストＯＳ１２の更新が必要であるか否かを判断する（ステップＳ５３）。更新が必要である場合、マイグレーション管理部２１４が、ゲストＯＳイメージ１２’の更新を、ＯＳ状態更新部２１３に命令する（ステップＳ５４）。これに応じて、ＯＳ状態更新部２１３はゲストＯＳイメージ１２’を更新する。更新が必要でない場合、ステップＳ５４は省略される。

この後、マイグレーション管理部２１４が、仮想計算機モニタ１３から更新されたゲストＯＳ１２のハッシュ値を取得し（ステップＳ５５）、取得したハッシュ値と更新後のゲストＯＳ１２のハッシュ値とを比較し（ステップＳ５６）。両者が一致するか否かを判断する（ステップＳ５７）。更新後のゲストＯＳ１２のハッシュ値は、ポリシー管理サーバ４から起動すべきゲストＯＳ１２の更新関連情報として与えられる。

ハッシュ値が一致した場合、エージェント２１は、更新されたゲストＯＳ１２を起動して（ステップＳ５８）、処理を終了する。ハッシュ値が一致しない場合、エージェント２１は、更新されたゲストＯＳ１２の起動を中止し（ステップＳ５９）、ポリシー管理サーバ４に障害を通知して（ステップＳ６０）、処理を終了する。

図１１は、ＯＳイメージの修正のフローを示す図である。

エージェント２１のＯＳ状態更新部２１３が、マイグレーション管理部２１４から、ＯＳイメージ１２’の修正の指示を受信する（ステップＳ７１）。

これに応じて、ＯＳ状態更新部２１３が、ポリシー管理サーバ４からゲストＯＳイメージ１２’の修正プログラムを受信し（ステップＳ７２）、修正の対象であるソフトウェア即ちゲストＯＳイメージ１２’に対して、受信した修正プログラムを適用する（ステップＳ７３）。これにより、ゲストＯＳイメージ１２’が修正される。この後、ＯＳ状態更新部２１３が、マイグレーション管理部２１４に対して、適用完了を通知する（ステップＳ７４）。

図１２は、ブート情報の登録処理フローを示す。

最新ブート検証情報登録部２１６が、マイグレーション管理部２１４から、ゲストＯＳイメージ１２’の修正の指示を受信する（ステップＳ８１）。これに応じて、最新ブート検証情報登録部２１６が、ポリシー管理サーバ４から、修正済みのゲストＯＳ１２用の検証データを受信し（ステップＳ８２）、対象ソフトウェアであるゲストＯＳ１２に対する修正済みデータを、最新ブート検証情報登録部２１６が備える検証ＤＢに登録する（ステップＳ８３）。この後、最新ブート検証情報登録部２１６が、マイグレーション管理部２１４に対して、適用完了を通知する（ステップＳ８４）。

図１３は、ＯＳイメージの修正の検証のフローを示す図である。

最新ブート検証情報登録部２１６が、マイグレーション管理部２１４から、ＯＳイメージ１２’の修正の確認の命令を受信する（ステップＳ９１）。これに応じて、最新ブート検証情報登録部２１６が、ポリシー管理サーバ４から修正済みのゲストＯＳ１２用の検証データを受信する（ステップＳ９２）。

この後、最新ブート検証情報登録部２１６が、ゲストＯＳ１２が既に起動している場合、仮想計算機モニタ１３に対して、当該ゲストＯＳ１２のハッシュ値の取得を命令する（ステップＳ９３）。これに応じて、仮想計算機モニタ１３は、ゲストＯＳ１２のハッシュ値を最新ブート検証情報登録部２１６に通知（報告）する（ステップＳ９４）。

この後、最新ブート検証情報登録部２１６が、通知されたハッシュ値と検証データとを比較して（ステップＳ９５）、マイグレーション管理部２１４に対して、比較した結果を報告する（ステップＳ９６）。

仮想計算機システムの構成の一例を示す図である。ポリシー管理サーバのエージェントの構成の一例を示す図である。ポリシー管理サーバのＯＳ最新版数テーブル及びＯＳ最新状態検証テーブルの構成の一例を示す図である。ＯＳ及びアプリケーションの修正プログラム又は検証データの作成のフローを示す図である。ポリシー管理サーバのゲストＯＳの管理テーブルの構成例及びポリシー設定のフローを示す図である。ドメインの生成のフローを示す図である。仮想計算機サーバのエージェントの構成の一例を示す図である。仮想計算機用修正関連情報の生成のフローを示す図である。ＯＳイメージの修正イメージの作成の動作を示す図である。ゲストＯＳ起動時のＯＳイメージの監視のフローを示す図である。ＯＳイメージの修正のフローを示す図である。ブート情報登録のフローを示す図である。ＯＳイメージの修正の検証のフローを示す図である。本発明者が検討したゲストＯＳのマイグレーションの説明図である。本発明者が検討したゲストＯＳのマイグレーションの説明図である。

符号の説明

１仮想計算機サーバ
３ネットワーク
４ポリシー管理サーバ
５ＯＳベンダ等修正情報
６ＯＳ検証ベンダ修正情報
１１ホストＯＳ
１２ゲストＯＳ
１３仮想計算機モニタ
１５磁気ディスク装置
２１、４１エージェント
２１１修正関連情報生成部
２１２全体制御部
２１３ＯＳ状態更新部
２１４マイグレーション管理部
２１５ＶＭＳ−ＰＭＳ通信部
２１６最新ブート検証情報登録部
４１１管理者制御Ｉ／Ｆ部
４１２全体制御部
４１３ＯＳ最新版数監視部
４１４マイグレーション管理部
４１５ＰＭＳ−ＶＭＳ通信部
４１６最新状態検証情報作成部

Claims

演算処理装置と記憶装置とを含むハードウェア資源と、各々が前記演算処理装置上で動作するＯＳからなる複数の仮想計算機と、前記複数の仮想計算機の制御を行う仮想計算機モニタとを備える第１の仮想計算機サーバと、
演算処理装置と記憶装置とを含むハードウェア資源と、各々が前記演算処理装置上で動作するＯＳからなる複数の仮想計算機と、前記複数の仮想計算機の制御を行う仮想計算機モニタとを備える第２の仮想計算機サーバと、
前記第１の仮想計算機サーバ及び第２の仮想計算機サーバとネットワークを介して接続される管理サーバと、
前記管理サーバに設けられ、前記ＯＳについて、前記ＯＳの更新を示す更新情報及び前記ＯＳを修正するための修正情報を管理する管理手段と、
前記第１の仮想計算機サーバ及び第２の仮想計算機サーバに設けられ、前記ＯＳが前記第１の仮想計算機サーバの前記記憶装置に格納された状態であるＯＳイメージを前記第２の仮想計算機サーバの前記記憶装置に移動すると共に、前記管理手段から受信した前記更新情報及び修正情報に従って、前記第２の仮想計算機サーバの前記記憶装置に移動した前記ＯＳイメージを修正する更新手段とを備える
ことを特徴とする仮想計算機システム。
前記第２の仮想計算機サーバの前記更新手段が、前記管理手段から前記更新情報を受信し、移動した前記ＯＳイメージを修正すべき場合に前記管理手段から前記修正情報を受信し、受信した前記修正情報に基づいて移動した前記ＯＳイメージを修正する
ことを特徴とする請求項１に記載の仮想計算機システム。
前記第２の仮想計算機サーバの前記更新手段が、移動した前記ＯＳイメージを修正すべき場合に、移動した前記ＯＳイメージを修正した後に起動するか、又は、前記ハードウェア資源の利用を制限して起動する
ことを特徴とする請求項２に記載の仮想計算機システム。
前記第２の仮想計算機サーバの前記更新手段が、移動した前記ＯＳイメージを修正した場合に、修正した前記ＯＳイメージのハッシュと前記ＯＳイメージの修正前と修正後との差分をと取得し、取得した前記ハッシュ及び差分を前記管理手段に通知する
ことを特徴とする請求項２に記載の仮想計算機システム。
前記第１の仮想計算機サーバが備える前記複数の仮想計算機が、アプリケーションを実行するゲストＯＳと、前記第１の仮想計算機サーバを制御するホストＯＳとを含み、
前記第２の仮想計算機サーバが備える前記複数の仮想計算機が、アプリケーションを実行するゲストＯＳと、前記第２の仮想計算機サーバを制御するホストＯＳとを含み、
前記管理手段が、前記更新情報として、前記ゲストＯＳの版数を管理し、
前記更新手段が、前記第１の仮想計算機サーバ上で動作する前記ホストＯＳ及び前記第２の仮想計算機サーバ上で動作する前記ホストＯＳに設けられる
ことを特徴とする請求項１に記載の仮想計算機システム。
前記管理手段が、更に、前記アプリケーションについて、前記アプリケーションの更新を示す更新情報及び前記アプリケーションを修正するための修正情報とを管理し、
前記更新手段が、前記第１の仮想計算機サーバの前記記憶装置に格納された前記アプリケーションを前記第２の仮想計算機サーバの前記記憶装置に移動すると共に、前記管理手段からの更新情報及び修正情報に基づいて、前記第２の仮想計算機サーバの前記記憶装置に移動した前記アプリケーションを修正する
ことを特徴とする請求項５に記載の仮想計算機システム。
前記管理手段が、更に、
前記ＯＳの更新を追跡する追跡手段と、
前記ＯＳの状況を管理する状況管理手段とを備える
ことを特徴とする請求項１に記載の仮想計算機システム。
演算処理装置と記憶装置とを含むハードウェア資源と、各々が前記演算処理装置上で動作するＯＳからなる複数の仮想計算機と、前記複数の仮想計算機の制御を行う仮想計算機モニタとを備える第１の仮想計算機サーバと、
演算処理装置と記憶装置とを含むハードウェア資源と、各々が前記演算処理装置上で動作するＯＳからなる複数の仮想計算機と、前記複数の仮想計算機の制御を行う仮想計算機モニタとを備える第２の仮想計算機サーバと、
前記第１の仮想計算機サーバ及び第２の仮想計算機サーバとネットワークを介して接続される管理サーバとを備える仮想計算機システムの管理方法であって、
前記管理サーバが、前記ＯＳについて、前記ＯＳの更新を示す更新情報及び前記ＯＳを修正するための修正情報を管理するステップと、
前記第２の仮想計算機サーバが、前記ＯＳが前記第１の仮想計算機サーバの前記記憶装置に格納された状態であるＯＳイメージを前記第２の仮想計算機サーバの前記記憶装置に移動するステップと、
前記第２の仮想計算機サーバが、前記管理サーバから受信した前記更新情報及び修正情報に従って、前記第２の仮想計算機サーバの前記記憶装置に移動した前記ＯＳイメージを修正するステップとを含む
ことを特徴とする仮想計算機システムの管理方法。
演算処理装置と記憶装置とを含むハードウェア資源と、各々が前記演算処理装置上で動作するＯＳからなる複数の仮想計算機と、前記複数の仮想計算機の制御を行う仮想計算機モニタとを備える第１の仮想計算機サーバと、
演算処理装置と記憶装置とを含むハードウェア資源と、各々が前記演算処理装置上で動作するＯＳからなる複数の仮想計算機と、前記複数の仮想計算機の制御を行う仮想計算機モニタとを備える第２の仮想計算機サーバと、
前記第１の仮想計算機サーバ及び第２の仮想計算機サーバとネットワークを介して接続される管理サーバとを備える仮想計算機システムの管理プログラムであって、
前記仮想計算機システムであるコンピュータに、
前記管理サーバが、前記ＯＳについて、前記ＯＳの更新を示す更新情報及び前記ＯＳを修正するための修正情報を管理するステップと、
前記第２の仮想計算機サーバが、前記ＯＳが前記第１の仮想計算機サーバの前記記憶装置に格納された状態であるＯＳイメージを前記第２の仮想計算機サーバの前記記憶装置に移動するステップと、
前記第２の仮想計算機サーバが、前記管理サーバから受信した前記更新情報及び修正情報に従って、前記第２の仮想計算機サーバの前記記憶装置に移動した前記ＯＳイメージを修正するステップとを実行させる
ことを特徴とする仮想計算機システムの管理プログラム。
演算処理装置と記憶装置とを含むハードウェア資源と、各々が前記演算処理装置上で動作するＯＳからなる複数の仮想計算機と、前記複数の仮想計算機の制御を行う仮想計算機モニタとを備える第１の仮想計算機サーバと、
演算処理装置と記憶装置とを含むハードウェア資源と、各々が前記演算処理装置上で動作するＯＳからなる複数の仮想計算機と、前記複数の仮想計算機の制御を行う仮想計算機モニタとを備える第２の仮想計算機サーバと、
前記第１の仮想計算機サーバ及び第２の仮想計算機サーバとネットワークを介して接続される管理サーバとを備える仮想計算機システムの管理プログラムを記録するコンピュータ読み取り可能な記録媒体であって、
前記管理プログラムは、前記仮想計算機システムであるコンピュータに、
前記管理サーバが、前記ＯＳについて、前記ＯＳの更新を示す更新情報及び前記ＯＳを修正するための修正情報を管理するステップと、
前記第２の仮想計算機サーバが、前記ＯＳが前記第１の仮想計算機サーバの前記記憶装置に格納された状態であるＯＳイメージを前記第２の仮想計算機サーバの前記記憶装置に移動するステップと、
前記第２の仮想計算機サーバが、前記管理サーバから受信した前記更新情報及び修正情報に従って、前記第２の仮想計算機サーバの前記記憶装置に移動した前記ＯＳイメージを修正するステップとを実行させる
ことを特徴とする仮想計算機システムの管理プログラムの記録媒体。