JP2011090550A - コンピュータシステム及びプログラム記録媒体 - Google Patents

Abstract

【課題】コピーペアについての操作の可否を各ユーザ毎に制御し、誤操作によるエラーの発生を抑止すること。
【解決手段】ストレージ装置２０（１），２０（２）には、一つまたは複数のコピーペアが設けられる。管理サーバ１０は、ローカルコピーペアまたはリモートコピーペアについて、各ユーザ毎に操作要求の実行の可否を判断する。操作要求としては、例えば、ペア形成、スプリット、リシンク、リストア、ペア解除等を挙げることができる。
【選択図】図１

Description

本発明は、コンピュータシステム及びプログラム記録媒体に関する。

ホストコンピュータの使用するデータを保護するために、正ボリュームと副ボリュームとでコピーペアを形成し、定期的にまたは不定期に、正ボリュームのデータを副ボリュームにコピーさせる技術が知られている。正ボリュームと副ボリュームとの間のコピーとしては、ローカルコピーと、リモートコピーとが知られている。

ローカルコピーとは、同一ストレージシステム内の正ボリューム及び副ボリュームの間で実行されるコピーである。リモートコピーとは、一方のストレージシステムから他方のストレージシステムにデータがコピーされることを言う。

ユーザからの操作に応じて管理装置からストレージシステムに指示を出すことにより、コピーグループ毎にリモートコピーの作動を制御できるようにした技術は知られている（特許文献１）。

特開２００５−３３２３５４号公報

従来技術では、コピーペアを複数のユーザが管理する場合において、各ユーザ毎にコピーペアの操作権限を制御することができない。例えば、システム全体について責任を負うユーザ、コピーペアについて責任を有するユーザ、アプリケーションプログラムのサービスレベルについて責任を有するユーザ等のように、コンピュータシステムにおける役割のそれぞれ異なる複数のユーザが、一つのコピーペアをそれぞれ管理する場合もある。

この場合、各ユーザの役割に応じて、そのコピーペアを操作できるようにするのが好ましい。しかし、従来技術には、各ユーザ毎に一つのコピーペアの操作を管理するという観点が含まれておらず、使い勝手が悪い。

そこで、本発明の目的は、各ユーザ毎にコピーペアを操作を制御することができるようにしたコンピュータシステム及びプログラム記録媒体を提供することにある。本発明の他の目的は、それぞれ役割の異なる複数ユーザが一つのコピーペアを管理する場合において、各ユーザの役割毎にそのコピーペアに関する操作の可否を制御することができるようにしたコンピュータシステム及びプログラム記録媒体を提供することにある。本発明の更なる目的は、後述する実施形態の記載から明らかになるであろう。

上記課題を解決すべく、本発明の第１観点に従うコンピュータシステムは、ストレージシステムと管理システムとを含むコンピュータシステムであって、ストレージシステムは、コピー元の論理ボリュームであるコピー元ボリュームと、コピー先の論理ボリュームであるコピー先ボリュームとを含んでおり、管理システムは、ストレージシステムと通信回線を介して通信するための通信インターフェース回路と、ストレージシステムを管理するための所定プログラムを記憶するメモリと、メモリから所定プログラムを読み込んで実行するマイクロプロセッサとを含んでおり、マイクロプロセッサは、ユーザから入力される、コピー元ボリュームとコピー先ボリュームとから構成される一つのコピーペアを操作対象とする操作要求を受領し、操作要求を入力させたユーザ毎に、操作要求の実行を許可するか否かを判定し、操作要求の実行が許可される場合には、操作要求に対応する要求をストレージシステムに送信する。

第２観点では、第１観点において、各ユーザには、コピーペアの操作に関する役割が予め設定されており、マイクロプロセッサは、各ユーザの役割に基づいて、操作要求の実行を許可するか否かを判定する。

第３観点では、第２観点において、操作対象のコピーペアに関して予め用意される複数の役割と、各役割毎に実行可能な一つまたは複数の操作要求と、複数のユーザとを対応付けて管理するための管理テーブルが、メモリに記憶されており、マイクロプロセッサは、管理テーブルを用いることにより、各ユーザの役割に基づいて、操作要求の実行を許可するか否かを判定する。

第４観点では、第２観点において、操作要求には、コピー元ボリュームの記憶内容を変更するための所定の操作要求が含まれており、各ユーザには、所定の操作要求の実行が許可されているユーザと、所定の操作要求の実行が禁止されているユーザとが含まれている。

第５観点では、第４観点において、役割には、操作対象のコピーペアに関する全ての操作要求を実行させることのできる第１役割と、全ての操作要求のうち、コピーペアを生成させる要求と、コピーペアを削除させる要求と、スプリット要求と、リシンク要求と、リストア要求とを、実行させることのできる第２役割と、全ての操作要求のうち、スプリット要求と、リシンク要求と、リストア要求とを、実行させることのできる第３役割と、全ての操作要求のうち、スプリット要求と、リシンク要求とを、実行させることのできる第４役割とが含まれる。

第６観点では、第４観点において、操作対象のコピーペアが複数設けられており、各ユーザ毎に、複数のコピーペアのうち第１コピーペアについての役割と、複数のコピーペアのうち第２コピーペアについての役割とを、それぞれ異なるように設定できる。

第７観点では、第６観点において、操作対象のコピーペアには第３コピーペアが含まれており、第３コピーペアは、第１コピーペアまたは第２コピーペアのいずれか一方と関連付けられており、第１コピーペアまたは第２コピーペアのうち第３コピーペアに関連付けられているコピーペアについて実行される操作要求が、第３コピーペアについても実行されるようになっている。

第８観点では、第１観点において、ストレージシステムは複数設けられており、複数のストレージシステムのうち一方のストレージシステムにコピー元ボリュームが設けられ、複数のストレージシステムのうち他方のストレージシステムにコピー先ボリュームが設けられている。

本発明は、コンピュータシステムまたはコンピュータシステムを記録する記録媒体として把握することもできる。さらに、本発明は、上述した各観点の組合せに限らず、それら以外の組合せを含むことができる。

図１は、本実施形態に係るシステムの機能概要を示す説明図。 図２は、コンピュータシステムの全体構成図。 図３は、ユーザ管理テーブルを示す図。 図４は、操作権限管理テーブルを示す図。 図５は、コピーグループ管理テーブルを示す図。 図６は、操作権限の変更履歴を管理するテーブルを示す図。 図７は、ユーザにロールを設定する処理を示すフローチャート。 図８は、ユーザにロールを設定するための管理画面。 図９は、操作権限を設定する処理を示すフローチャート。 図１０は、操作権限を設定するための管理画面。 図１１は、コピーペアの定義とペア形成を行う様子を示す図。 図１２は、バックアップを行う様子を示す図。 図１３は、リストアを行う様子を示す図。 図１４は、ユーザ操作の可否を判別する処理を示すフローチャート。 図１５は、第２実施例に係り、ユーザ管理テーブルを示す図。 図１６は、ロール設定処理のフローチャート。 図１７は、コピーグループとユーザとロールとの関係を示す模式図。

以下、図面に基づいて、本発明の実施の形態を説明する。本実施形態では、後述のように、責任範囲（管理範囲）の異なる複数のユーザが、共通のコピーペアを管理している場合において、各ユーザ毎に実行可能な操作要求を設定することができる。

図１は、本実施例によるコンピュータシステムの全体概要を示す。コンピュータシステムのハードウェア構成は、図２で後述する。コンピュータシステムは、例えば、管理サーバ１０と、第１ストレージ装置２０（１）と、第２ストレージ装置２０（２）と、ホストコンピュータ（以下、ホスト）３０（１），３０（２）と、クライアント端末４０とを備える。特に区別する必要がない場合、ホスト３０（１），３０（２）をホスト３０と、ストレージ装置２０（１），２０（２）をストレージ装置２０と、呼ぶ場合がある。

各装置の接続構成を説明する。管理サーバ１０と、各ストレージ装置２０（１），２０（２）と、各ホスト３０（１），３０（２）とは、第１通信経路ＣＮ１０を介して接続されている。管理サーバ１０と、各ホスト３０（１），３０（２）と、クライアント端末４０とは、第２通信経路ＣＮ２０を介して接続されている。

第１通信経路ＣＮ１０は、例えば、ＦＣ＿ＳＡＮ（Fibre Channel_Storage Area Network）やＩＰ＿ＳＡＮ（Internet Protocol_SAN）のように構成することができる。管理用の通信経路である第２通信経路ＣＮ２０は、例えば、ＬＡＮ（Local Area Network）やインターネットのように構成することができる。なお、第１通信経路ＣＮ１０と第２通信経路ＣＮ２０とを統合し、一つの通信経路にする構成でもよい。

「管理システム」としての管理サーバ１０は、例えば、ストレージ管理プログラム１１０と、ユーザ管理テーブル１２０と、操作権限管理テーブル１３０と、コピーグループ管理テーブル１４０と、履歴管理テーブル１５０と、を含む。ストレージ管理プログラム１１０は、クライアント端末４０からの指示に応じて、各ストレージ装置２０（１），２０（２）に要求を送信する。さらに、ストレージ管理プログラム１１０は、各テーブル１２０−１５０を管理する。各テーブル１２０−１５０の詳細は後述する。

第１ストレージ装置２０（１）と第２ストレージ装置２０（２）とは、同一のサイトに設けることもできるし、それぞれ別々のサイトに設けることもできる。各ストレージ装置２０（１），２０（２）は、「ストレージシステム」に該当する。なお、ストレージシステムは少なくとも正ボリュームと副ボリュームを提供し、後述するローカルコピー又はリモートコピーを実現できるのであれば、一つのストレージ装置２０がストレージシステムでもよく、図１のストレージ装置２０（１）及びストレージ装置２０（２）を合わせてストレージシステムとしてもよい。

第１ストレージ装置２０（１）は、例えば、コントローラ２００（１）と、複数の論理ボリューム２６０とを含んで構成される。複数の論理ボリューム２６０のうち一つは正ボリューム（ＰＶＯＬ）であり、他の一つは副ボリューム（ＳＶＯＬ１）である。

正ボリューム２６０（ＰＶＯＬ）は、ホスト３０のアプリケーションプログラム３１０により使用されるデータを記憶する。副ボリューム２６０（ＳＶＯＬ１）は、正ボリューム２６０（ＰＶＯＬ）のデータがコピーされる。正ボリューム２６０（ＰＶＯＬ）と副ボリューム２６０（ＳＶＯＬ１）との間のデータコピーをローカルコピーと呼び、両ボリュームによるコピーペアをローカルコピーペアと呼ぶことができる。

コントローラ２００（１）は、ホスト３０から発行されるＩ／Ｏ（Input/Output）要求に基づいて、正ボリューム２６０（ＰＶＯＬ）にデータを読み書きする。さらに、コントローラ２００（１）は、管理サーバ１０からの指示に応じて、ローカルコピー及びリモートコピーの動作を制御する。さらに、コントローラ２００（１）は、ストレージ装置２０（１）の各種状態を収集して、管理サーバ１０に送信する。各種状態としては、例えば、Ｉ／Ｏ要求の頻度及び量、ＣＰＵ負荷、メモリ消費量、障害の有無等が挙げられる。

第２ストレージ装置２０（２）は、第１ストレージ装置２０（１）と同様に、コントローラ２００（２）と、複数のボリューム２６０とを含んで構成される。複数の論理ボリューム２６０のうち一つは中間ボリューム２６０（Ｓ／ＰＶＯＬ）であり、他の一つは副ボリューム２６０（ＳＶＯＬ２）である。

中間ボリューム２６０（Ｓ／ＰＶＯＬ）は、正ボリューム２６０（ＰＶＯＬ）と副ボリューム２６０（ＳＶＯＬ２）との間に位置し、リモートコピーにおける副ボリュームの役割と、ローカルコピーにおける正ボリュームの役割とを果たす。

コピー元である正ボリューム２６０（ＰＶＯＬ）と、コピー先である中間ボリューム２６０（Ｓ／ＰＶＯＬ）とにより、リモートコピーペアが形成される。コピー元である中間ボリューム２６０（Ｓ／ＰＶＯＬ）と、コピー先である副ボリューム２６０（ＳＶＯＬ２）とにより、第２ストレージ装置２０（２）内のローカルコピーペアが形成される。

リモートコピーの方法には、同期式と非同期式とが知られている。同期式リモートコピーでは、正ボリューム２６０（ＰＶＯＬ）にデータが書き込まれると、直ちにそのデータを中間ボリューム２６０（Ｓ／ＰＶＯＬ）に転送して書き込ませる。

非同期式リモートコピーでは、正ボリューム２６０（ＰＶＯＬ）にデータが書き込まれた後、タイミングを見計らって、そのデータを中間ボリューム２６０（Ｓ／ＰＶＯＬ）に転送し、書き込ませる。同期式または非同期式のいずれの方法を採用してもよい。

コントローラ２００（２）は、上記のリモートコピー及びローカルコピーに関する処理を制御する。さらに、コントローラ２００（２）は、第２ストレージ装置２０（２）内の各種状態を収集して管理サーバ１０に送信する。

ホスト３０は、例えば、いわゆるオープン系のサーバコンピュータ、または、メインフレームマシンのようなコンピュータとして構成される。ホスト３０は、アプリケーションプログラム３１０を備える。アプリケーションプログラム３１０としては、例えば、顧客管理プログラム、売上げ管理プログラム、動画配信プログラム、文書作成プログラム、画像作成プログラム、電子メール管理プログラム等を挙げることができる。

例えば、一方のホスト３０（１）は、第１ストレージ装置２０（１）と一緒にローカルサイトに、他方のホスト３０（２）は、第２ストレージ装置２０（２）と一緒にリモートサイトに、それぞれ設けることができる。

さらに、ホスト３０（１）とホスト３０（２）とがクラスタを構成することにより、いずれか一方のサイトが障害によって停止した場合でも、他方のサイトでアプリケーションプログラム３１０による情報処理サービスを提供することができる。

クライアント端末４０は、管理サーバ１０を使用するコンピュータ端末である。各ユーザは、クライアント端末４０を介して、管理サーバ１０に指示を与える。なお、クライアント端末４０はホスト３０を兼ねても良い。

図２を参照して、ハードウェア構成を説明する。管理サーバ１０は、例えば、マイクロプロセッサ１１と、メモリ１２と、通信インターフェース１３，１４と、を含んで構成される。なお、図中では、マイクロプロセッサをＣＰＵ（Central Processing Unit）と、インターフェースをＩ／Ｆと略記する。

メモリ１２は、例えば、ＲＡＭ（Random Access Memory）、ＲＯＭ（Read Only Memory）、フラッシュメモリデバイス、ハードディスクドライブのような記憶装置である。メモリ１２には、例えば、オペレーティングシステムと、ストレージ管理プログラム１１０と、各テーブル１２０−１５０とが記憶される。マイクロプロセッサ１１は、メモリ１２に記憶されたストレージ管理プログラム１１０を読み込んで実行することにより、後述の処理を実行する。

一方の通信インターフェース１３は、管理用の通信経路ＣＮ２０を介して、各ホスト３０（１），３０（２）及びクライアント端末４０と通信するための回路である。マイクロプロセッサ１１は、通信インターフェース１３及び通信経路ＣＮ２０を介して情報を収集し、かつ、所定の指示を各ホスト３０（１），３０（２）に送信する。

他方の通信インターフェース１４は、第１通信経路ＣＮ１０を介して、各ストレージ装置２０（１），２０（２）及び各ホスト３０（１），３０（２）に接続される。

なお、クライアント端末４０を廃止し、管理サーバ１０にユーザインターフェースを設ける構成でもよい。例えば、ユーザは、管理サーバ１０に接続されるディスプレイ装置及びキーボードを用いて、管理サーバ１０に指示を与えることができる。

第１ストレージ装置２０（１）と第２ストレージ装置２０（２）とは、ほぼ同様に構成できる。従って、第１ストレージ装置２０（１）の構成を説明し、第２ストレージ装置２０（２）の説明を省略する。

第１ストレージ装置２０（１）は、コントローラ２００（１）と、一つまたは複数の論理ボリューム２６０を有する。論理ボリューム２６０は、一つまたは複数の記憶装置に基づいて生成される。記憶装置としては、例えば、ハードディスクドライブ、半導体メモリ、光ディスクドライブ、光磁気ディスクドライブ、磁気テープドライブ等の、データを読み書き可能な種々の記憶装置を挙げることができる。

ハードディスク装置を用いる場合、例えば、ＦＣ（Fibre Channel）ディスク、ＳＣＳＩ（Small Computer System Interface）ディスク、ＳＡＴＡディスク、ＡＴＡ（AT Attachment）ディスク、ＳＡＳ（Serial Attached SCSI）ディスク等を用いることができる。また、例えば、フラッシュメモリ、ＦｅＲＡＭ（Ferroelectric Random Access Memory）、ＭＲＡＭ（MagnetoresistiveRandom Access Memory）、相変化メモリ（Ovonic Unified Memory）、ＲＲＡＭ（Resistance RAM）、ＰＲＡＭ（Phase change RAM）等の記憶装置を用いることもできる。さらに、例えば、フラッシュメモリデバイスとハードディスクドライブのように、種類の異なる記憶装置を混在させる構成でもよい。

一つまたは複数の記憶装置の有する物理的記憶領域をグループ化し、そのグループ化された記憶領域に論理的な記憶領域を一つまたは複数設けることができる。その論理的記憶領域は、論理ボリューム２６０と呼ばれる。

コントローラ２００（１）は、例えば、フロントエンドインターフェース２１０（図中、ＦＥＩＦ）と、バックエンドインターフェース２２０（図中、ＢＥＩＦ）と、マイクロプロセッサ２３０（図中、ＭＰ）と、キャッシュメモリ２４０（図中、ＣＭ）と、スイッチ回路２５０（図中、ＳＷ）とを含んで構成される。なお、コントローラ２００（１）は、図示せぬサービスプロセッサ（ＳＶＰと略記される）を介して、管理サーバ１０に接続することもできる。

フロントエンドインターフェース２１０は、第１通信経路ＣＮ１０を介して、ホスト３０（１），３０（２）と管理サーバ１０及び第２ストレージ装置２０（２）と通信するための通信制御回路である。バックエンドインターフェース２２０は、論理ボリューム２６０を構成する各記憶装置と通信するための通信制御回路である。

マイクロプロセッサ２３０は、キャッシュメモリ２４０又は所定の論理ボリューム２６０に記憶されているプログラムを読み込んで実行するものである。キャッシュメモリ２４０は、受信データやプログラム等が記憶される。スイッチ回路２５０は、キャッシュメモリ２４０をマイクロプロセッサ２３０及び各通信インターフェース２１０，２２０に接続させる。なお、プログラム及び各種制御用のテーブル等の情報については必ずしもキャッシュを行うメモリに格納する必要はなく、別なメモリに格納してもよい。なお、コントローラ２００を構成するフロントエンドインターフェース２１０、バックエンドインターフェース２２０、マイクロプロセッサ２３０、キャッシュメモリ２４０、及びスイッチ回路２５０は複数であってもよい。さらに、コントローラ２００は一つの回路基盤である必要はなく、複数の回路基盤や、仮想化装置等の複数の装置の集合であってもよい。

各ホスト３０（１），３０（２）は、マイクロプロセッサ３１と、メモリ３２と、通信インターフェース３３，３４とを含んで構成される。メモリ３２には、例えば、オペレーティングシステムと、アプリケーションプログラム３１０とが記憶される。マイクロプロセッサ３１は、メモリ３５に記憶されたアプリケーションプログラム３１０を読み込んで実行する。

一方の通信インターフェース３３は、各ストレージ装置２０（１），２０（２）と通信するための回路である。他方の通信インターフェース３４は、管理サーバ１０と通信するための回路である。

クライアント端末４０は、マイクロプロセッサ４１と、メモリ４２と、通信インターフェース４３と、ユーザインターフェース４４とを備える。メモリ４２には、例えば、ウェブブラウザのような管理サーバ１０に指示を与えるためのプログラムが記憶される。通信インターフェース４３は、管理サーバ１０と通信するための回路である。ユーザインターフェース４４は、管理サーバ１０からの情報を出力するための装置と、管理サーバ１０に情報を入力するための装置とを含む。情報出力装置としては、例えば、ディスプレイ装置または音声出力装置等を挙げることができる。情報入力装置としては、例えば、キーボード、ポインティングデバイス、マイクロフォン等を挙げることができる。

図３−図６に基づいて、本実施例で使用される情報の構成例を説明する。本実施例では、例えば、「○○テーブル」、「○○データベース」、「○○リスト」、「○○キュー」のような表現を用いて、各種情報について説明することがある。しかし、本実施例で使用される各種情報は、必ずしもテーブル、データベース、リストまたはキューのようなデータ構造である必要はなく、それ以外の構造であってもよい。つまり、本実施例で使用される各種情報は、特定のデータ構造に依存しない。なお、本実施例で使用される各種情報を説明する場合に、例えば、「識別情報」、「識別子」、「ＩＤ」、「名」等の各種表現を用いることがあるが、それら各種表現は互いに置換可能である。

図３は、ユーザ管理テーブル１２０を示す。ユーザ管理テーブル１２０は、複数のユーザを管理するためのテーブルである。各ユーザは、コンピュータシステム内の操作対象資源であるコピーペアを、それぞれの役割に応じて管理する。

ユーザ管理テーブル１２０は、例えば、ユーザＩＤ１２１と、パスワード１２２（図中ＰＷ）と、管理者権限１２３と、ロール１２４とを管理する。

ユーザＩＤ１２１とは、コンピュータシステムを管理する複数のユーザを識別するための識別情報である。パスワード１２２は、ユーザが管理サーバ１０の管理画面にログインするために使用する認証用の情報である。管理者権限１２３とは、他のユーザにロールを設定することのできる権限を示す。管理者権限１２３に”１”が設定されているユーザは、管理者権限を備えており、他のユーザにロールを設定することができる。管理者権限１２３に”０”が設定されているユーザは、管理者権限を備えていないため、他のユーザにロールを設定できない。

本実施例では、最上位ロールであるストレージ管理者に設定されているユーザのみが、他のユーザにロールを設定することができる。ストレージ管理者であるユーザが他のユーザにロールを設定した履歴は、履歴管理テーブル１５０に記録される。

自分よりも下位のロールを有するユーザのロールを変更できる構成としてもよい。例えば、ストレージ管理者は、コピーペア管理者、アプリケーション管理者及びアプリケーションオペレータの各ロールを設定することができ、コピーペア管理者は、アプリケーション管理者及びアプリケーションオペレータの各ロールを設定することができ、アプリケーション管理者は、アプリケーションオペレータのロールのみを設定することができ、アプリケーションオペレータはロールの設定をできないように、構成してもよい。

ロール１２４は、操作対象のコピーペア（またはコンシステンシーグループ）に関する管理責任の範囲を示す。各ロールについて説明する。各ロールの有する権限の詳細は、図４で後述する。

（１）ストレージ管理者
「第１役割」としてのストレージ管理者は、ストレージ装置２０の管理全般についての権限を有する最上位の管理者である。例えば、ストレージ管理者は、ボリュームリソースの管理、各種構成の管理、及び、各種操作に関する権限を有する。より詳しくは、ストレージ管理者は、ストレージ装置２０に複数の論理ボリュームを作成し、複数の論理ボリュームのうち何個の論理ボリュームをコピーペアに使用できるかを決定できる。ストレージ管理者は、自分よりも下位の管理者（ユーザ）に、一部の権限を委譲できる。ストレージ管理者は、後述する下位の各管理者を兼任することもできる。

（２）コピーペア管理者
「第２役割」としてのコピーペア管理者は、ストレージ装置２０のレプリケーション構成の管理及び操作に関する権限を有する。コピーペア管理者としての権限は、ストレージ管理者から委譲される。コピーペア管理者は、コピーペア作成のために予め用意されたボリュームの中から、正ボリュームと副ボリュームとを選択して、コピーペアを作成することができる。

（３）アプリケーション管理者
「第３役割」としてのアプリケーション管理者は、アプリケーションプログラム３１０のサービスレベル及びデータ保護についての責任を有する。アプリケーション管理者は、管理対象のアプリケーションプログラム３１０が使用するボリュームについて、バックアップ及びリストアを行う権限を有する。アプリケーション管理者は、コピーペア管理者によって定義されたレプリケーション構成（コピーペアの構成）の範囲内で、バックアップ及びリストアについての操作を行うことができる。

（４）アプリケーションオペレータ
「第４役割」としてのアプリケーションオペレータは、管理対象のアプリケーションプログラム３１０に関して繰り返し発生するメンテナンス（例えば、バージョンアップ、パッチ適用等）を行う権限を有する。アプリケーションオペレータとしての権限は、アプリケーション管理者から委譲される。アプリケーションオペレータは、アプリケーションプログラム３１０の使用するボリュームのバックアップを取得することができる。しかし、アプリケーションオペレータは、アプリケーションプログラム３１０の使用するボリュームへのリストア操作は許可されていない。

本実施例では、ユーザのロールとして、上記４つを例示する。これに限らず、新たなロールを設定可能な構成としてもよい。例えば、バックアップ管理のみを担当するバックアップ管理者というロールを新たに設定し、アプリケーションオペレータと同様の権限を与える構成としてもよい。また、前述の説明では、ストレージ管理の視点からは、アプリケーションオペレータはアプリケーション管理者の下位の管理者であり、アプリケーション管理者はコピーペア管理者の下位の管理者であり、コピーペア管理者はストレージ管理者の下位の管理者とした。しかし、上位・下位の関係は他の例示であってもよい。例えば、管理サーバ１０がアプリケーションプログラム３１０の管理も兼用するのであれば、アプリケーション管理者は、ストレージ管理者には実行が禁止されている管理操作を実行することができる場合がある。また、コピーペア管理者、アプリケーション管理者、及びアプリケーションオペレータ同士は上位・下位の関係が無く、ストレージ管理者の下位の管理者という位置付けであってもよい。

図４は、操作権限管理テーブル１３０を示す。操作権限管理テーブル１３０は、操作対象のコピーペアについての操作権限を各ロール毎に管理する。操作権限管理テーブル１３０は、ユーザ管理テーブル１２０と共に、「操作対象のコピーペアに関して予め用意される複数の役割と、各役割毎に実行可能な一つまたは複数の操作要求と、複数のユーザとを対応付けて管理するための管理テーブル」の一例を構成する。

操作権限管理テーブル１３０は、例えば、ロール１３１と、ストレージ設定１３２と、レプリケーション定義１３３と、レプリケーション操作１３４とを管理する。ロール１３１は、図３で述べたロール１２４と同一である。

ストレージ設定１３２は、ストレージ装置２０内にコピーペア用の論理ボリューム２６０を生成等することができる権限を示す。ストレージ設定１３２に”可”の設定されているロールは、コピーペア用の論理ボリューム２６０をストレージ装置２０内に生成することができる。

レプリケーション定義１３３とは、コピーペアを定義できる権限を示す。レプリケーション定義１３３には、作成１３３１と、削除１３３２とが含まれる。

作成１３３１は、コピーペアを作成できる権限を示す。ストレージ設定１３２の権限を用いて予め用意されている論理ボリューム２６０の中から正ボリューム及び副ボリュームを選択し、かつ、正ボリュームから副ボリュームに初期コピーさせることにより、コピーペアを生成することができる。削除１３３２は、コピーペアを削除することのできる権限を示す。コピーペアを削除すると、そのコピーペアを形成していた各ボリュームは、通常のボリュームに戻り、レプリケーション用のボリュームプール内に保存される。

レプリケーション操作１３４とは、コピーペアを操作できる権限を示す。レプリケーション操作１３４には、スプリット１３４１と、リシンク１３４２と、リストア１３４３とが含まれる。

スプリット１３４１とは、正ボリュームから副ボリュームへのデータコピー、または、副ボリュームから正ボリュームへのデータコピーを停止させるための操作である。スプリット後に、ホスト３０がコピー元のボリューム（正ボリュームまたは副ボリューム）のデータを更新させると、コピー先ボリューム（副ボリュームまたは正ボリューム）とコピー元ボリュームとの間に差分データが発生する。なお、レプリケーションの実現形式がＣｏｐｙ−Ｏｎ−Ｗｒｉｔｅ方式による、仮想的な副ボリュームを提供する形式である場合は、スプリット前にデータコピーを行わない。しかし、スプリット操作が、副ボリュームに正ボリュームのある時点のデータを生成することを示す操作であることは共通である。

リシンク１３４２とは、正ボリュームから副ボリュームに差分データをコピーして、副ボリュームに記憶されているデータと正ボリュームに記憶されているデータとを一致させるための操作である。なお、レプリケーションの実現形式がＣｏｐｙ−Ｏｎ−Ｗｒｉｔｅ方式の場合は、リシンク操作は存在しなくてもよい。

リストア１３４３とは、副ボリュームから正ボリュームに差分データをコピーして、正ボリュームに記憶されているデータと副ボリュームに記憶されているデータとを一致させるための操作である。なお、レプリケーションの実現形式がＣｏｐｙ−Ｏｎ−Ｗｒｉｔｅ方式である場合も考慮すると、リストア操作は正ボリュームのデータを副ボリュームが仮想的または実際に格納するある時点の正ボリュームのデータに戻す操作であるとも言える。

データをバックアップする場合は、リシンク１３４２を行った後で、スプリット１３４１を行う。バックアップデータを用いて、ボリュームを復旧させる場合は、リストア１３４３を行った後で、スプリット１３４１を実行させる。なお、ボリュームの復旧において、スプリットを省略してもよい。

各ロール１３１に許可されている操作要求について説明する。最上位ロールであるストレージ管理者には、全ての操作要求の実行が許可されている。２番目のロールであるコピーペア管理者には、ストレージ設定１３２以外の各操作要求１３３，１３４の実行が許可されている。３番目のロールであるアプリケーション管理者には、レプリケーション操作１３４のみが許可されており、ストレージ設定１３２及びレプリケーション定義１３３は許可されていない。最下位のロールであるアプリケーションオペレータには、レプリケーション操作１３４のうちスプリット１３４１とリシンク１３４２のみが許可されており、リストア１３４３は許可されていない。

アプリケーションオペレータは、アプリケーションプログラム３１０に関連する正ボリュームのバックアップを適宜取得することはできる。しかし、アプリケーションオペレータには、バックアップデータを用いて正ボリュームの記憶内容を所定時点の記憶内容に復旧すること、すなわちリストア１３４３は許可されていない。

リシンク（バックアップ）の場合は、アプリケーションプログラム３１０の稼働状況とは独立して行うことができ、さらに、リシンク操作を間違った場合でも、アプリケーションプログラム３１０に与える影響は少ない。正ボリュームの記憶内容は正しく保持されているためである。

これに対し、リストアの場合は、アプリケーションプログラム３１０の稼働状況を考慮しながら実行する必要がある。アプリケーションプログラム３１０は、正ボリュームを使用して所定の情報処理を行うため、正ボリュームの記憶内容が突然バックアップデータに変更されると、アプリケーションプログラム３１０に与える影響が大きい。さらに、誤操作によって正ボリュームの記憶内容が破壊されてしまうと、アプリケーションプログラム３１０は、所定の情報処理を正しく実行できなくなる可能性がある。そこで、本実施例では、アプリケーションオペレータにリストア操作の権限を与えず、リシンク操作及びスプリット操作の権限のみを許可している。

図５は、コピーグループ管理テーブル１４０を示す。コピーグループ管理テーブルは、操作対象資源としてのコピーペアを管理する。後述のように、互いに関連する複数のコピーペアから一つのグループを作成することもできる。そのグループをコンシステンシーグループと呼ぶ。

詳しくは、コピーグループとは、複数のコピーペアをグルーピングしたもので、一括操作を効率的に行うために使用される。各種操作はコピーペア単位に行われる。これに対し、コンシステンシーグループとは、コピーグループに付与される属性で、特定のコピーペアへの操作をグループ全体に適用することができる。

つまり、コンシステンシーグループはコピーグループでもあり、グループ内の複数のコピーペアの副ボリュームについて以下に説明するコンシステンシを満たすようにグループ内の複数のコピーペアの各々をスプリットできることを保証する。
（１）ホストが順序関係を保って最初のデータＡとその次のデータＢを正ボリュームへ書き込む場合、ホストはストレージ装置からデータＡの書き込み完了が到着したのを待ってからデータＢを正ボリュームへ書き込む。
（２）（１）の条件を満たした書き込みについては、スプリット後は、データＡが全て副ボリュームに格納される場合に限って、データＢの一部または全てのデータが副ボリュームに格納される。
なお、以後の説明で「コピーグループ」について説明した項目はコンシステンシーグループに対しても適用可能である。

コピーグループ管理テーブル１４０は、例えば、グループＩＤ１４１と、正ボリューム情報１４２と、副ボリューム情報１４３と、状態１４４とを管理する。なお、図４には記載されていないが、コピーグループ管理テーブル１４０は、正ボリューム情報１４２及び副ボリューム情報１４３で特定されるコピーペアの識別子も管理する。グループＩＤ１４１は、各コピーペアが所属するコピーグループを識別するための情報である。

正ボリューム情報１４２は、コピーペアを構成する正ボリュームを特定するための情報である。正ボリューム情報１４２は、例えば、論理ボリューム２６０を識別するための情報１４２１と、ストレージ装置２０を識別するための情報１４２２とを備える。同様に、副ボリューム情報１４３は、コピーペアを構成する副ボリュームを特定するための情報である。副ボリューム情報１４３は、例えば、論理ボリューム２６０を識別するための情報１４３１と、ストレージ装置２０を識別するための情報１４３２とを備える。

状態１４４は、コピーペアの状態を示す。コピーペアの状態としては、”ペア”、”サスペンド”、”コピー中（ＰＶＯＬ→ＳＶＯＬ）”、”コピー中（ＳＶＯＬ→ＰＶＯＬ）”が挙げられる。”ペア”とは、正ボリュームの記憶内容と副ボリュームの記憶内容とが同期している状態を示す。”サスペンド”とは、正ボリュームと副ボリュームとの同期が解除された状態、または所定の時点の正ボリュームのデータを副ボリュームに格納した状態を示す。”コピー中（ＰＶＯＬ→ＳＶＯＬ）”とは、正ボリュームから副ボリュームにデータをコピーしている状態を示す。”コピー中（ＳＶＯＬ→ＰＶＯＬ）”とは、副ボリュームから正ボリュームにデータをコピーしている状態を示す。

図６は、履歴管理テーブル１５０を示す。履歴管理テーブル１５０は、各ユーザのロールの変更履歴を管理する。履歴管理テーブル１５０は、例えば、日時１５１と、実行ユーザ１５２と、対象ユーザ１５３と、操作内容１５４とを管理する。

日時１５１とは、ロールが設定（または、ロールの変更。以下同様）された日時を示す情報である。実行ユーザ１５２とは、対象ユーザ１５３にロールを設定したユーザを特定するための情報である。本実施例では、ストレージ管理者のみが他のユーザにロールを設定することができる。対象ユーザ１５３とは、ロールの設定されたユーザを特定するための情報である。操作内容１５４とは、対象ユーザに設定されたロール等の情報を示す。操作内容１５４として、例えば、設定されたロールの名称、操作対象の資源（コピーペア）を特定する情報等を挙げることができる。

図７を参照してロール設定処理を説明する。以下に述べる各処理は、管理サーバ１０のマイクロプロセッサ１１がストレージ管理プログラム１１０を読み込んで実行することにより実現される。以下、便宜上、動作の主体を管理サーバ１０として説明する。なお、図７以外の管理サーバ１０で説明した事項についても同様に、マイクロプロセッサ１１がストレージ管理プログラム１１０を読み込んで実行することによって実現される。

図３で述べたように、管理者権限１２３を有する特定のユーザは、他のユーザにロールを設定することができる。ストレージ管理者のロールに設定されているユーザ（単に、ストレージ管理者と呼ぶ）は、クライアント端末４０を介して管理サーバ１０にアクセスし、管理サーバ１０にパスワード及びユーザＩＤを入力する。

管理サーバ１０は、ユーザＩＤ及びパスワードがユーザ管理テーブル１２０に登録されているか否かを判定することにより、ユーザ認証を行う（Ｓ１０）。管理サーバ１０は、ログインを希望するユーザが、管理者権限を有するか否かも判定する。

ユーザ認証に成功すると、管理サーバ１０は、ユーザ管理画面５００をクライアント端末４０に送信し、クライアント端末４０に表示させる（Ｓ１１）。管理権限を有するユーザは、ユーザ管理画面５００を用いて、他のユーザにロールを設定する。管理サーバ１０は、ユーザからの操作入力を受領し（Ｓ１２）、その可否を判定する（Ｓ１３）。

即ち、管理サーバ１０は、管理者権限を有するユーザにより入力された、他のユーザへのロール設定が、許可されるか否かを判定する（Ｓ１３）。例えば、後述する他の実施例のように、各コピーペア毎にロールを設定できる場合、管理サーバ１０は、指定されたコピーペアについて、指定されたユーザに指定されたロールを設定可能か否かを判定することができる。

または、ユーザに設定されているロールの変更を予め禁止できる構成の場合、その禁止されたユーザへのロール設定について、Ｓ１３で判断することができる。

または、Ｓ１３を廃止する構成としてもよい。例えば、Ｓ１０において、ログインを希望するユーザが、特定のコピーペア（またはコンシステンシーグループ）に関する管理者権限を有するユーザであることを確認できる場合、Ｓ１３及びＳ１５のエラー処理を廃止することができる。

ここでは、管理サーバ１０は、ユーザ管理テーブル１２０の更新前に、ユーザ管理テーブル１２０の更新の可否を判定する場合を説明する（Ｓ１３）。ユーザ管理テーブル１２０の更新が許可される場合（S13:YES）、管理サーバ１０は、ユーザ管理テーブル１２０を更新させる（Ｓ１４）。ユーザ管理テーブル１２０の更新を許可できない場合（S13:NO）、管理サーバ１０は、エラー処理を行う（Ｓ１５）。エラー処理では、例えば、「そのロール設定は禁止されています。ご確認ください。」等のエラーメッセージを、クライアント端末４０に表示させる。

なお、ユーザ管理画面５００にログインしたユーザが、自分に許されている操作のみをできるように、ユーザ管理画面５００を構成することもできる。そのユーザの操作できない項目は、ユーザ管理画面５００に表示させないか、あるいは、薄く表示して操作できないように構成する。上記の画面構成方法は、後述する他の管理画面でも同様に行うことができる。

図８は、ユーザ管理画面５００を示す。ユーザ管理画面５００は、例えば、ユーザＩＤ表示部５０１と、ロール設定部５０２とを備える。ユーザＩＤ表示部５０１は、コンピュータシステムを管理する各ユーザのＩＤを表示するための領域である。

ロール設定部５０２は、各ユーザに設定されているロールの名称を表示するための領域である。ロール設定部５０２は、例えば、いわゆるプルダウンメニュー５０３を備えることができる。管理者権限を有するユーザは、プルダウンメニュー５０３の中から所望のロールを一つ選択する。

図９を参照して、操作権限設定処理を説明する。操作権限設定処理では、以下に述べるように、各ロールで実行可能な操作を設定することができる。

管理サーバ１０は、操作権限管理画面５１０へのログインを希望するユーザを認証する（Ｓ２０）。なお、ユーザ認証は図７及び図８で説明した処理・画面の全て又は一部と同様である。ユーザ認証に成功すると、管理サーバ１０は、図１０に示す操作権限管理画面５１０をクライアント端末４０に送信して表示させる（Ｓ２１）。操作権限管理画面５１０の構成は後述する。

管理サーバ１０は、ユーザからの操作入力を受領し（Ｓ２２）、その操作（操作権限の変更）を許可するか否かを判定する（Ｓ２３）。操作権限の変更を許可する場合（S23:YES）、管理サーバ１０は、操作権限管理テーブル１３０を更新させる（Ｓ２４）。操作権限の変更を許可しない場合（S23:NO）、管理サーバ１０は、エラー処理を実行する（Ｓ２５）。エラー処理では、例えば、「その変更は禁止されています。」のようなエラーメッセージをクライアント端末４０に送信して表示させる。なお、上述の通り、ユーザが変更できない項目は、画面５１０に表示させないか、または、表示はするが操作できないように構成することができる。

図１０は、操作権限管理画面５１０を示す。操作権限管理画面５１０は、例えば、ロール表示部５１１と、ストレージ設定表示部５１２と、レプリケーション定義表示部５１３と、レプリケーション操作表示部５１４とを備える。

ロール表示部５１１は、各ロールの名称を表示する領域である。ストレージ設定表示５１２は、ストレージ設定を行うことができる権限の有無を表示する領域である。レプリケーション定義表示部５１３は、レプリケーション定義に関する要求を表示するための領域である。レプリケーション操作表示部５１４は、レプリケーション操作に関する要求を表示するための領域である。

レプリケーション定義表示部５１３は、作成要求表示部５１３１と、削除要求表示部５１３２とを含む。レプリケーション操作表示部５１４は、スプリット要求表示部５１４１と、リシンク要求表示部５１４２と、リストア要求表示部５１４３とを含む。

操作権限の変更を希望するユーザは、所望のロールの所望の要求（５１２，５１３１，５１３２，５１４１−５１４３）を選択し、”可”または”不可”のいずれかに設定する。

本実施例では、各ロールで可能な操作要求は事前に設定されており、ユーザが変更できないように固定されている場合を説明する。しかし、図９，図１０で述べたように、例えば、管理者権限を有するユーザは、各ロールで許可される操作要求を変更させることができるように構成してもよい。その場合、管理者権限を有するユーザは、新たな操作要求を追加することもできる。

図１１−図１４を参照して、コピーペアに関する一連の処理を説明する。図１１は、コピーペアの定義とペア形成とを示すフローチャートである。ストレージ管理者は、管理サーバ１０にログインし、ストレージ設定を行う（Ｓ３０）。即ち、ストレージ管理者は、正ボリューム及び副ボリュームを複数ずつ生成し、ボリュームプールに登録させる。

管理サーバ１０は、操作権限管理テーブル１３０を用いて、ストレージ管理者がストレージ設定を行う権限を有するか否かを判定する（Ｓ３１）。権限の有無を判定する処理の詳細は、図１４で後述する。ストレージ管理者の操作権限を確認すると、管理サーバ１０は、ストレージ管理者からの指示に基づいてストレージ設定を実施する（Ｓ３２）。

次に、コピーペア管理者は、管理サーバ１０にログインし、管理サーバ１０にペア形成を指示する（Ｓ４０）。管理サーバ１０は、コピーペア管理者をユーザ認証し、コピーペア管理者がペア形成要求の発行権限を有するか否かを判定する（Ｓ４１）。

管理サーバ１０は、コピーペア管理者の操作権限を確認すると、ストレージ装置２０にペア形成を指示する（Ｓ４２）。ストレージ装置２０は、管理サーバ１０からのペア形成要求に従って、ストレージ装置のメモリまたはキャッシュメモリに格納されたコピーペアテーブルを更新する（Ｓ４３）。なお、コピーペアテーブルは、ローカルコピー又はリモートコピーでコピーする正ボリュームの識別子と副ボリュームの識別子の対が登録される情報である。

これにより、指定された正ボリュームと指定された副ボリュームとによりコピーペアが形成される。続いて、ストレージ装置２０は、コピーペアテーブルに従って、正ボリュームから副ボリュームへ初期コピーを行う。初期コピーとは、正ボリュームのデータを副ボリュームにコピーして、両ボリュームに記憶されるデータを一致させるための処理である。

図１２のフローチャートを参照して、バックアップを取得する処理を説明する。アプリケーションオペレータは、管理サーバ１０にログインし、バックアップの取得（リシンク要求の発行）を管理サーバ１０に指示する（Ｓ５０）。

管理サーバ１０は、アプリケーションオペレータについてユーザ認証し、アプリケーションオペレータがバックアップ取得の権限を有するか否かを判定する（Ｓ５１）。管理サーバ１０は、アプリケーションオペレータの権限を確認すると、ストレージ装置２０にリシンク要求を発行して、バックアップの作成を指示する（Ｓ５２）。

ストレージ装置２０は、管理サーバ１０からのリシンク要求に従って、正ボリュームのデータを副ボリュームにコピーさせる（Ｓ５３）。上述した初期コピーの完了後に、正ボリュームに記憶されているデータと副ボリュームに記憶されているデータとは一致している。その後、コピーペアをスプリットさせて、ホスト３０が正ボリュームのデータを更新すると、正ボリュームと副ボリュームとの間で差分データが発生する。この差分データは、ストレージ装置２０内で管理される。従って、ストレージ装置２０は、正ボリュームから副ボリュームに差分データをコピーし、正ボリュームのデータと副ボリュームのデータとを一致させる。これにより、正ボリュームの所定時点におけるバックアップが作成される。その後、ストレージ装置２０は、正ボリュームと副ボリュームとをスプリットさせて、差分データの管理を再開する（Ｓ５４）。なお、Ｓ５１の権限判定は、少なくともスプリット操作について判定すればよい。これは既にリシンク済みのコピーペアを操作する場合や、リシンクが必要ないＣｏｐｙ−Ｏｎ−Ｗｒｉｔｅ方式のコピーを対象とする場合が例である。しかし、Ｓ５１の権限判定は、リシンク操作についても判定しても良い。

図１３のフローチャートを参照して、リストア処理を説明する。アプリケーション管理者は、管理サーバ１０にログインし、リストアの実行を管理サーバ１０に要求する（Ｓ６０）。管理サーバ１０は、アプリケーション管理者のユーザ認証を行い、さらに、アプリケーション管理者がリストアの実行権限を有するか否かを判定する（Ｓ６１）。

管理サーバ１０は、アプリケーション管理者の権限を確認すると、ストレージ装置２０にリストア要求を送信する（Ｓ６２）。ストレージ装置２０は、管理サーバ１０からのリストア要求に従って、副ボリュームと正ボリュームとの間の差分データを、副ボリュームから正ボリュームにコピーさせる（Ｓ６３）。なお、Ｓ６３はより抽象的に述べると、正ボリュームに格納したデータを副ボリュームのデータに変更する、という事である。

これにより、正ボリュームの記憶内容は、副ボリュームの記憶内容に一致する。差分データのコピー完了後、ストレージ装置２０は、正ボリュームと副ボリュームとをスプリットさせてサスペンド状態に移行させる。なお、Ｓ６１の権限判定は、少なくともリストア操作について判定すればよいが、権限判定はリシンク操作についても判定しても良い。

図１３の下側には、アプリケーションオペレータがリストア操作を行おうとした場合の様子が示されている。アプリケーションオペレータは管理サーバ１０にログインし、リストアの実行を管理サーバ１０に要求する（Ｓ７０）。

管理サーバ１０は、アプリケーションオペレータの権限を確認する（Ｓ７１）。上述の通り、本実施例では、アプリケーションオペレータにリストアを実行させる権限は与えられていない。

従って、管理サーバ１０は、リストア要求を発行せずに、エラー処理を実行する（Ｓ７２）。エラー処理では、例えば、「あなたにはリストア操作の権限が与えられていません。」のようなエラーメッセージをクライアント端末４０に送信して表示させる。
なお、図１１−図１３のユーザ認証は、図７及び図９で説明したユーザ認証と一部または全て同様である。

図１４は、ユーザの操作権限を判定するための処理を示す。本処理は、上述のＳ３１，Ｓ４１，Ｓ５１，Ｓ６１，Ｓ７１に対応する。

なお、本処理では、ユーザＩＤ及びパスワードに基づくユーザ認証の記載は、省略している。さらに、説明の便宜上、図１４のフローチャートには、操作権限を判別した後に実行されるステップ（Ｓ８６）も含まれている。

管理サーバ１０は、ログインしたユーザのユーザＩＤに基づいてユーザ管理テーブル１２０を参照し（Ｓ８０）、ユーザに設定されているロールを特定する（Ｓ８１）。管理サーバ１０は、Ｓ８１で特定されたロールに基づいて操作権限管理テーブル１３０を参照し（Ｓ８２）、ユーザに許可されている操作（操作要求）を確認する（Ｓ８３）。

管理サーバ１０は、ユーザの要求する操作がそのユーザに許可されているか否かを判定する（Ｓ８４）。ユーザの要求する操作が許可されている場合（S84:YES）、管理サーバ１０は、ユーザの要求する操作に対応する要求を、ストレージ装置２０に送信させる（Ｓ８５）。

ストレージ装置２０は、管理サーバ１０から受信した要求に従って、コピーペアに関する処理を実行し、その実行結果を管理サーバ１０に返信する。管理サーバ１０は、ストレージ装置２０から実行結果を受領すると、その実行結果をクライアント端末４０に送信して表示させる（Ｓ８６）。なお、上述の通り、Ｓ８６は、操作の可否を判別した後に実行されるものなので、本処理から省くこともできる。

ユーザの要求する操作が許可されていない場合（S84:NO）、管理サーバ１０は、エラー処理を実行する（Ｓ８７）。管理サーバ１０は、例えば、エラーメッセージをクライアント端末４０に送信して表示させる。

このように構成される本実施例では、一つのコピーペアについて実行可能な操作を各ユーザ毎に設定して管理できる。従って、ユーザの使い勝手を向上させることができ、さらに、コピーペアの誤操作による重大な障害が発生するのを未然に防止して、システムの信頼性を高めることができる。

さらに、本実施例では、ユーザ管理テーブル１２０を管理サーバ１０に記憶させるため、コピーペアが複数のストレージ装置２０に跨って構成される場合でも、そのコピーペアに関する操作権限を管理サーバ１０が統合的に管理することができる。

例えば、図１に示すように、第１ストレージ装置２０（１）の有する論理ボリューム２６０（ＰＶＯＬ）と第２ストレージ装置２０（２）の有する論理ボリューム２６０（Ｓ／ＰＶＯＬ）との間でリモートコピーを行う場合でも、管理サーバ１０は、そのリモートコピーペアに関する実行制限を制御することができる。

さらに、本実施例では、各ユーザ毎に許可されている操作要求を管理するために、ロールという概念を用いるため、各ユーザ毎に各操作要求の実行可否をそれぞれ個別に設定する必要がない。本実施例では、各ロール毎に操作要求の実行可否を予め定義しておき（図４）、各ユーザにロールを対応付ける（図３）。従って、コピーペアの操作に関して各ユーザに許可される実行権限を、比較的簡単に設定できる。

図１５−図１７を参照して第２実施例を説明する。本実施例は、第１実施例の変形例に該当するため、第１実施例との相違点を中心に説明する。本実施例では、操作対象の資源であるコピーペアをグループ化して、各ユーザに対応付ける。つまり、本実施例では、複数のコピーグループ毎に、各ユーザのロールを設定できるようになっている。

図１５は、ユーザ管理テーブル１２０Ａを示す。本実施例のユーザ管理テーブル１２０Ａは、図３に示すユーザ管理テーブル１２０と同様に、ユーザＩＤ１２１と、パスワード１２２と、管理者権限１２３Ａと、ロール１２４Ａとを備える。さらに、本実施例のユーザ管理テーブル１２０Ａは、グループＩＤ１２５Ａを備える。

グループＩＤ１２５Ａとは、複数のコピーペアを含むコピーグループを識別するための情報である。

本実施例では、複数のコピーグループを設けることができ、さらに、各ユーザを複数のコピーグループに対応付けることができる。そこで、ユーザ管理テーブル１２０Ａでは、一つのユーザＩＤ１２１に、複数のグループＩＤ１２５Ａを対応付けている。

さらに、本実施例では、各ユーザには、各コピーグループ毎にそれぞれロールを設定することができる。そこで、ユーザ管理テーブル１２０Ａでは、一つのユーザＩＤ１２１に、複数のロール１２４Ａと、複数の管理者権限１２３Ａとを対応付けている。

図１５に示す例では、ユーザ（ＵＩＤ００１）は、一方のコピーグループ（ＧＩＤ０１０）については、上位ロールであるストレージ管理者に設定されているが、他方のコピーグループ（ＧＩＤ０２０）については、下位ロールであるアプリケーションオペレータに設定されている。また例えば、他のユーザ（ＵＩＤ００４）は、一方のコピーグループ（ＧＩＤ０１０）についてはアプリケーションオペレータに設定されているが、他方のコピーグループ（ＧＩＤ０２０）についてはストレージ管理者に設定されている。

図１６は、ロール設定処理のフローチャートである。本処理は、図７のフローチャートと同様に、Ｓ１０−Ｓ１５の各ステップを備える。但し、本処理では、コピーグループ毎に、各ユーザのロールをそれぞれ設定できるようにしている（Ｓ１２Ａ）。

図１７は、各ユーザと、各コピーグループと、各ロールとの関係を模式的に示す。図１７の中央には、複数のユーザＵＡ−ＵＤが表示されている。各ユーザは、それぞれ複数のコピーグループＣＧＡ，ＣＧＢに対応付けられている。

一方のコピーグループＣＧＡは、一つのコピーペアのみから構成される。これに対し、他方のコピーグループＣＧＢは、互いに関連する複数のコピーペアを含んで構成される。

各ユーザＵＡ−ＵＤは、各コピーグループＣＧＡ，ＣＧＢ毎にそれぞれ異なるロールを有する。例えば、ユーザＵＡは、一方のコピーグループＣＧＡについてはストレージ管理者に設定されているが、他方のコピーグループＣＧＢについてはアプリケーションオペレータに設定されている。

同様に、ユーザＵＢは、一方のコピーグループＣＧＡについてはコピーペア管理者に設定されているが、他方のコピーグループＣＧＢについてはアプリケーション管理者に設定されている。ユーザＵＣは、一方のコピーグループＣＧＡについてはアプリケーション管理者に設定されているが、他方のコピーグループＣＧＢについてはコピーペアに設定されている。ユーザＵＤは、一方のコピーグループＣＧＡについてはアプリケーションオペレータに設定されているが、他方のコピーグループＣＧＢについてはストレージ管理者に設定されている。なお、図１７では、コピーグループＣＧＡとユーザ及びロールの関係は実線で表現し、コピーグループＣＧＢとユーザ及びロールの関係は点線で表現している。

このように構成される本実施例も第１実施例と同様の効果を奏する。さらに、本実施例では、複数のコピーグループ毎にユーザのロールを設定することができる。このため、本実施例では、同一のユーザについて、各コピーグループ毎に異なるロールを設定することもできるし、各コピーグループに共通するロールを設定することもできる。例えば、同一ユーザについて、ローカルコピーペアのリストアは許可するが、リモートコピーペアのリストアは許可しない等のように設定することができる。従って、第１実施例に比べて、より一層使い勝手が向上する。

コピーペア数が多数である場合は、コピーグループを対象とした場合のほうがより容易に設定できる。なぜならば、コピーグループは一つの操作単位であるため、コピーグループ毎にあるユーザに割り当てられたロールを変更できたほうが設定項目を少なくできるからである。しかし、第２実施例は、コピーグループの代わりにコピーペアを対象としても良く、コピーグループの場合と併用してもよい。
なお、各ロールに対して操作可能としたコピーペア操作が固定である場合は、ストレージ管理プログラム１１０に操作可能なコピーペアを条件分岐で判断を埋め込むことで、捜査権限管理テーブル１３０を用いずに本発明を実現しても良い。

なお、本発明は、上述した実施形態に限定されない。当業者であれば、例えば、上記各実施例を適宜組み合わせる等のように、本発明の範囲内で、種々の追加や変更等を行うことができる。

１０：管理サーバ、２０（１），２０（２）：ストレージ装置、３０（１），３０（２）：ホストコンピュータ、４０：クライアント端末、１１０：ストレージ管理プログラム、１２０，１２０Ａ：ユーザ管理テーブル、１３０：操作権限管理テーブル。

Claims (15)

1. ストレージシステムと管理システムとを含むコンピュータシステムであって、
   前記ストレージシステムは、
   コピー元の論理ボリュームであるコピー元ボリュームと、
   コピー先の論理ボリュームであるコピー先ボリュームとを含んでおり、
   前記管理システムは、
   前記ストレージシステムと通信回線を介して通信するための通信インターフェース回路と、
   前記ストレージシステムを管理するための所定プログラムを記憶するメモリと、
   前記メモリから前記所定プログラムを読み込んで実行するマイクロプロセッサとを含んでおり、
   前記マイクロプロセッサは、
   ユーザから入力される、前記コピー元ボリュームと前記コピー先ボリュームとから構成される一つのコピーペアを操作対象とする操作要求を受領し、
   前記操作要求を入力させたユーザ毎に、前記操作要求の実行を許可するか否かを判定し、
   前記操作要求の実行が許可される場合には、前記操作要求に対応する要求を前記ストレージシステムに送信する、
   コンピュータシステム。
2. 前記各ユーザには、前記コピーペアの操作に関する役割が予め設定されており、
   前記マイクロプロセッサは、前記各ユーザの役割に基づいて、前記操作要求の実行を許可するか否かを判定する、
   請求項１に記載のコンピュータシステム。
3. 前記操作対象のコピーペアに関して予め用意される複数の役割と、前記各役割毎に実行可能な一つまたは複数の操作要求と、複数のユーザとを対応付けて管理するための管理テーブルが、前記メモリに記憶されており、
   前記マイクロプロセッサは、前記管理テーブルを用いることにより、前記各ユーザの役割に基づいて、前記操作要求の実行を許可するか否かを判定する、
   請求項２に記載のコンピュータシステム。
4. 前記操作要求には、前記コピー元ボリュームの記憶内容を変更するための所定の操作要求が含まれており、
   前記各ユーザには、前記所定の操作要求の実行が許可されているユーザと、前記所定の操作要求の実行が禁止されているユーザとが含まれている、
   請求項２に記載のコンピュータシステム。
5. 前記役割には、
   前記操作対象のコピーペアに関する全ての操作要求を実行させることのできる第１役割と、
   前記全ての操作要求のうち、前記コピーペアを生成させる要求と、前記コピーペアを削除させる要求と、スプリット要求と、リシンク要求と、リストア要求とを、実行させることのできる第２役割と、
   前記全ての操作要求のうち、前記スプリット要求と、前記リシンク要求と、前記リストア要求とを、実行させることのできる第３役割と、
   前記全ての操作要求のうち、前記スプリット要求と、前記リシンク要求とを、実行させることのできる第４役割と、が含まれている、
   請求項４に記載のコンピュータシステム。
6. 操作対象のコピーペアが複数設けられており、
   前記各ユーザ毎に、前記複数のコピーペアのうち第１コピーペアについての役割と、前記複数のコピーペアのうち第２コピーペアについての役割とを、それぞれ異なるように設定することができる、
   請求項４に記載のコンピュータシステム。
7. 前記操作対象のコピーペアには第３コピーペアが含まれており、
   前記第３コピーペアは、前記第１コピーペアまたは前記第２コピーペアのいずれか一方と関連付けられており、
   前記第１コピーペアまたは前記第２コピーペアのうち前記第３コピーペアに関連付けられているコピーペアについて実行される操作要求が、前記第３コピーペアについても実行されるようになっている、
   請求項６に記載のコンピュータシステム。
8. 前記ストレージシステムは複数設けられており、
   前記複数のストレージシステムのうち一方のストレージシステムに前記コピー元ボリュームが設けられ、
   前記複数のストレージシステムのうち他方のストレージシステムに前記コピー先ボリュームが設けられている、
   請求項１に記載のコンピュータシステム。
9. コピー元ボリューム及びコピー先ボリュームを含むストレージシステムに通信回線を介して接続されるコンピュータに、
   ユーザから入力される、前記コピー元ボリュームと前記コピー先ボリュームとから構成される一つのコピーペアを操作対象とする操作要求を受領する要求受領機能と、
   前記操作要求を入力させたユーザ毎に、前記操作要求の実行を許可するか否かを判定する判定機能と、
   前記操作要求の実行が許可される場合には、前記操作要求に対応する要求を前記ストレージシステムに発行する要求発行機能と、
   を実現させるためのプログラムを記録したコンピュータ読取り可能な記録媒体。
10. 前記各ユーザには、前記コピーペアの操作に関する役割が予め設定されており、
    前記判定機能は、前記各ユーザの役割に基づいて、前記操作要求の実行を許可するか否かを判定する、
    請求項９に記載のコンピュータ読取り可能な記録媒体。
11. 前記判定機能は、
    前記操作対象のコピーペアに関して予め用意される複数の役割と、前記各役割毎に実行可能な一つまたは複数の操作要求と、複数のユーザとを対応付けて管理するための管理テーブルを用いることにより、
    前記各ユーザの役割に基づいて、前記操作要求の実行を許可するか否かを判定する、
    請求項１０に記載のコンピュータ読取り可能な記録媒体。
12. 前記操作要求には、前記コピー元ボリュームの記憶内容を変更するための所定の操作要求が含まれており、
    前記各ユーザには、前記所定の操作要求の実行が許可されているユーザと、前記所定の操作要求の実行が禁止されているユーザとが含まれている、
    請求項１０に記載のコンピュータ読取り可能な記録媒体。
13. 前記役割には、
    前記操作対象のコピーペアに関する全ての操作要求を実行させることのできる第１役割と、
    前記全ての操作要求のうち、前記コピーペアを生成させる要求と、前記コピーペアを削除させる要求と、スプリット要求と、リシンク要求と、リストア要求とを、実行させることのできる第２役割と、
    前記全ての操作要求のうち、前記スプリット要求と、前記リシンク要求と、前記リストア要求とを、実行させることのできる第３役割と、
    前記全ての操作要求のうち、前記スプリット要求と、前記リシンク要求とを、実行させることのできる第４役割と、が含まれている、
    請求項１２に記載のコンピュータ読取り可能な記録媒体。
14. 操作対象のコピーペアが複数設けられており、
    前記各ユーザ毎に、前記複数のコピーペアのうち第１コピーペアについての役割と、前記複数のコピーペアのうち第２コピーペアについての役割とを、それぞれ異なるように設定することができる、
    請求項１２に記載のコンピュータ読取り可能な記録媒体。
15. 前記操作対象のコピーペアには第３コピーペアが含まれており、
    前記第３コピーペアは、前記第１コピーペアまたは前記第２コピーペアのいずれか一方と関連付けられており、
    前記第１コピーペアまたは前記第２コピーペアのうち前記第３コピーペアに関連付けられているコピーペアについて実行される操作要求が、前記第３コピーペアについても実行されるようになっている、
    請求項１２に記載のコンピュータ読取り可能な記録媒体。

Images