JP2013065149A - ファイル共有方法 - Google Patents

Abstract

【課題】 従来のCIFSプロトコルやFTPプロトコルを用いる方法では、ネットワークの管理ポリシーの観点から、同一ユーザに対するファイルアクセスにおいて、特定のネットワークからはRead/Writeを許可するが、別のネットワークからはReadのみでWriteは許可しない場合、それを実現することが出来なかった。
【解決手段】 第１のＬＡＮ環境に接続されている端末ＰＣ群から第２のＬＡＮ内のファイルにアクセスする場合に、前記端末ＰＣ群から発行されたＵＲＬに対応する前記ファイルサーバ上のデータ領域を前記Ｗｅｂサーバ上の前記仮想ディレクトリにマウントし、該マウントしたデータ領域を前記端末ＰＣ群から読み取ることにより第２のＬＡＮ環境から第１のＬＡＮ環境にのみファイルを転送可能とする。
【選択図】 図１

Description

本発明は、セキュリティポリシーの異なるネットワーク間でのファイル共有方法に関する。

従来、コンピュータネットワークでのファイル共有、授受の方法としてCIFSやFTPが用いられてきた。CIFSは、ユーザ認証機能や各ファイルにユーザアカウント毎の読み取りや書き込み、削除といったアクセスを個別に許可及び拒否するアクセスコントロール機能がある。FTPは、ユーザアカウントに応じて、アクセスを許可及び拒否するアクセスコントロール機能を設けている。

上記方法に於いて、共有ファイルのセキュリティを考慮すると、例えば、下記特許文献１に記載のように、別途ファイルサーバを用意するものがある。

特開２００２−３４２１４４号公報

しかしながら、従来のCIFSプロトコルやFTPプロトコルを用いる方法では、ネットワークの管理ポリシーの観点から、同一ユーザに対するファイルアクセスにおいて、特定のネットワークからはRead/Writeを許可するが、別のネットワークからはReadのみでWriteは許可しない場合、言い換えるとネットワークごとにファイル共有の方向に制限を設けようとする場合、それを実現することが出来なかった。

本発明は、ファイルアクセス用のWebサーバを中継装置として設けることで上記課題を解決するものである。

本発明に係るファイル共有方法では、ファイアウォールにより分断された第１のＬＡＮ環境と第２のＬＡＮ環境とを備え、第１のＬＡＮ環境には、第２のＬＡＮ環境に接続されたファイルサーバアクセス用のＷｅｂサーバが接続され、第２のＬＡＮ環境には、認証サーバを兼用する前記ファイルサーバが接続され、前記Ｗｅｂサーバと前記ファイルサーバの間のみ通信が許可され、更に、前記Ｗｅｂサーバ上に設定された仮想ディレクトリは、読み取りのみ許可され、書き込み、変更が制限されている環境に於けるファイル共有方法であって、第１のＬＡＮ環境に接続されている端末ＰＣ群から第２のＬＡＮ内のファイルにアクセスする場合に、前記端末ＰＣ群から発行されたＵＲＬに対応する前記ファイルサーバ上のデータ領域を前記Ｗｅｂサーバ上の前記仮想ディレクトリにマウントし、該マウントしたデータ領域を前記端末ＰＣ群から読み取ることにより第２のＬＡＮ環境から第１のＬＡＮ環境にのみファイルを転送可能とする。
ことを特徴とする。

また、本発明に係るファイル共有方法では、第１のＬＡＮ環境と第２のＬＡＮ環境が第１のファイアウォールにより分断され、かつ、第２のＬＡＮ環境と第３のＬＡＮ環境が第２のファイアウォールにより分断され、第１のＬＡＮ環境には、第２のＬＡＮ環境に接続され、電子メールに添付可能なデータを格納するファイルサーバにアクセスする為のＷｅｂサーバが接続され、第２のＬＡＮ環境には、電子メールアプリケーションを実行するターミナルサーバと、認証サーバを兼用する前記ファイルサーバが接続され、更に、前記Ｗｅｂサーバ上に設定された仮想ディレクトリは、読み取りのみ許可され、書き込み、変更が制限されている環境に於けるファイル共有方法であって、前記第１のＬＡＮ環境に接続された第１の端末ＰＣ群からの電子メールの添付データにアクセスする場合は、前記第１の端末ＰＣ群から発行したＵＲＬに対応する前記ファイルサーバ上のデータ領域を前記Ｗｅｂサーバ上の前記仮想ディレクトリにマウントし、該マウントしたデータ領域を前記端末ＰＣ群から読み取ることにより電子メールの添付データを読み取り、前記第３のＬＡＮ環境に接続された第２の端末ＰＣ群からは、リモート接続プロトコルを利用して前記第２ＬＡＮ環境内のファイルサーバに、前記ＵＲＬに対応する所定領域に電子メールの添付データを予め転送可能に設定し、前記第２の端末ＰＣ群から直接読み取り、書き込むことにより第2LAN環境に於いてのみデータが添付された電子メールを送信可能としたことを特徴とする。

第1の発明に係るファイル共有方法によれば、ユーザはLAN2のファイルサーバ上にある転送対象ファイルをLAN1で使用する端末PCに転送できるが、逆にLAN1の端末PCのファイルをLAN2のファイルサーバに転送することはできない。このことにより、セキュリティを維持しつつ、LAN1内でLAN2のファイルサーバに格納されたファイルを参照可能となる。
また、第2の発明に係るファイル共有方法によれば、LAN1の環境では、電子メールへのLAN1内データ添付を制限し、添付されたデータの読み取りのみ許可することができる。したがって、LAN2の環境内の端末PC内のデータのみメール添付が可能となる。このことにより、セキュリティを満たしつつ、メール添付データをLAN1内で参照可能となる。

本発明の第１の実施形態に係るファイル共有方法を説明する為のシステム図である。 本発明の第２の実施形態に係るファイル共有方法を説明する為のシステム図である。 本発明の応用例に於ける構成図である。

本発明係るファイル共有方法について、図面を参照して詳細に説明する。

（第１の実施形態）

図１は、本発明の第１の実施形態に係るファイル共有方法を説明する為のシステム図である。

LAN1ネットワークは、以下のセキュリティポリシーのもと、セキュリティ領域として位置づけられている。
（１）LAN1ネットワーク内のデータは、LAN1以外へオンラインで転送、または持ち出し禁止とする。
（２）ユーザは、LAN1とLAN2上のどちらの端末PCも利用可能である。
但し、端末PCはそれぞれのネットワークで固定利用する。
つまり、LAN1端末PCのLAN2接続は禁止する。
（３）LAN1以外からのデータ受け入れには特に制限はない。

LAN1ネットワーク上には、ファイルサーバアクセス用Webサーバ（以下FSWebサーバ）１０ と端末PC群1（２０）を接続する。LAN2ネットワーク上には、ファイルサーバ４０と端末PC群2（５０）を接続する。

LAN1とLAN2は、ファイアウォール（FW）装置３０を経由して接続し、FSWebサーバ１０とファイルサーバ４０間のみ通信を許可する設定を行っておく。

FSWebサーバ１０上には、ファイルサーバ４０のデータをCIFSプロトコルで直接参照したWeb用仮想ディレクトリを設定する。その際、仮想ディレクトリには、ディレクトリやファイル参照のみを許可し、書き込みやASP、CGIの実行などは無効とする設定を行っておく。

ファイルサーバ４０には、アクセスが必要な利用者用の個別ユーザアカウントを登録し、各々個別パスワードを用いてアクセスする認証方法を設定しておく。つまり、LAN2のファイルサーバ４０は、認証サーバとしても機能する。

まず、LAN1の端末群からLAN2のファイルサーバ上にあるデータを読み取る方法を説明する。

ユーザは、端末PCから自身のユーザアカウントでアクセス可能な領域を示すFSWebサーバのURLをWebブラウザに入力する。FSWebサーバは、入力されたURLに対応するファイルサーバの領域有無を判断し、該当領域が在れば仮想ディレクトリにその領域をマウントし、Webブラウザにユーザ名とパスワードの入力を求める認証画面を表示する。該当領域がなければ、エラー画面を表示する。

ユーザが、認証画面にユーザ名とパスワードを入力すると、FSWebサーバ経由で認証サーバにより認証処理される。認証情報が正しい場合、FSWebサーバは、該当領域の各フォルダやファイルがハイパーリンクされたHTML形式のWebページをWebブラウザに表示する。認証情報が誤りの場合、エラー画面を表示する。

ユーザは表示されたWebページから、ブラウザのファイルダウンロード機能を使用して、自分の端末PCに読み取り対象ファイルをダウンロードできる。

次に、LAN1の端末PC群からLAN2にファイル転送できない理由を説明する。
LAN1とLAN2は、FWにより分断されており、通信は、LAN1のFSWebサーバとLAN2のファイルサーバ間のみ許可している。
また、FSWebサーバにおいて、仮想ディレクトリは読み取りのみ許可し、書き込みや変更を制限している。
以上により、LAN1の端末PC群からLAN2内へのファイル転送の制限を実現している。

以上のように、第1の実施例によれば、ユーザはLAN2のファイルサーバ上にある転送対象ファイルをLAN1で使用する端末PCに転送できるが、逆にLAN1の端末PCのファイルをLAN2のファイルサーバに転送できない。
このことにより、前述のセキュリティポリシーを満たしつつ、LAN1内でLAN2のファイルサーバに格納されたファイルを参照可能となる。

（第２の実施形態）

図２は、本発明の第２の実施形態に係るファイル共有方法を説明する為のシステム図である。

メールアプリケーションのみデータセンタLAN内のターミナルサーバを利用する環境において、接続ネットワークに応じて、電子メールへのファイル添付を制限する以下のセキュリティポリシーが設けられている。
（１） LAN1内データは、LAN1外のネットワークに転送およびオンラインでの持ち出しを禁止する。
（２） 電子メールの送受信は、LAN1およびLAN2上の端末PCからターミナルサーバにリモートアクセスし、電子メールアプリケーションにて実施する。
（３） 電子メールに添付可能なファイルは、データセンタ内のファイルサーバのファイルのみである。
（４） LAN2は、LAN2上の端末PCからデータセンタ内ファイルサーバに転送することで、メール添付を許可する。

LAN1ネットワーク上には、ファイルサーバアクセス用Webサーバ（以下FSWebサーバ） と端末PC群1を接続する。LAN2ネットワーク上には、端末PC群2を接続する。データセンタLANネットワーク上には、電子メール送受信用ターミナルサーバと添付データ保管用のファイルサーバを接続する。

LAN1とデータセンタLANは、FW装置1を経由して接続し、FSWebサーバとファイルサーバ間の通信許可設定と、端末PC群1とターミナルサーバ間のサーバデスクトップへのリモート接続プロトコルを許可する設定のみ行なっておく。LAN2とデータセンタLANは、FW装置2を経由して接続し、端末PC群2とファイルサーバ間の通信許可設定と、端末PC群2とターミナルサーバ間のサーバデスクトップへのリモート接続プロトコルを許可する設定のみ行っておく。データセンタLANとインターネットとはFW装置3経由で接続し、メールデータを送受信するために必要な通信のみ許可する設定を行う。

FSWebサーバ上には、ファイルサーバのデータをCIFSプロトコルで直接参照したWeb用仮想ディレクトリを設定する。その際、仮想ディレクトリには、ディレクトリやファイル参照のみを許可し、書き込みやASP、CGIの実行などは無効とする設定を行っておく。

ファイルサーバには、アクセスが必要な利用者用の個別ユーザアカウントを登録し、各々個別パスワードを用いてアクセスする認証方式を設定しておく。つまり、データセンタLANのファイルサーバは、認証サーバとしても機能する。
さらにターミナルサーバへのログイン時の認証も当該サーバを利用する。

ユーザが電子メールデータにアクセスする方法を説明する。
ユーザは、LAN1またはLAN2内の端末からデータセンタ内のターミナルサーバにログインし、ターミナルサーバのデスクトップにて電子メールアプリケーションを起動、メールの送受信を行っている。メール添付データは、データセンタ内ファイルサーバに格納される。LAN1からは、ユーザは、端末PCから自身のユーザアカウントでアクセス可能な領域を示すFSWebサーバのURLをWebブラウザに入力する。FSWebサーバは、入力されたURLに対応するファイルサーバの領域有無を判断し、該当領域が在れば仮想ディレクトリにその領域をマウントし、Webブラウザにユーザ名とパスワードの入力を求める認証画面を表示する。該当領域がなければ、エラー画面を表示する。

ユーザが、認証画面にユーザ名とパスワードを入力すると、FSWebサーバ経由で認証サーバにより認証処理される。認証情報が正しい場合、FSWebサーバは、該当領域の各フォルダやファイルがハイパーリンクされたHTML形式のWebページをWebブラウザに表示する。認証情報が誤りの場合、エラー画面を表示する。

ユーザは表示されたWebページから、ブラウザのファイルダウンロード機能を使用して、自分の端末PCに読み取り対象ファイルをダウンロードできる。

LAN2からは、FW装置2で、端末PC群2とファイルサーバ間の接続を許可しているため、LAN2内の端末PC群2から直接データセンタLAN内にファイル転送可能である。

次に、LAN1の端末PC群からデータセンタ内ファイルサーバにファイル転送できない理由を説明する。
LAN1とデータセンタLANは、FW装置１（３１）により分断されており、ターミナルサーバ以外の通信は、LAN1のFSWebサーバとデータセンタLANのファイルサーバ間のみ許可している。また、FSWebサーバにおいて、仮想ディレクトリは読み取りのみ許可し、書き込みや変更を制限している。
以上の方法で、LAN1の端末PC群１からデータセンタ内へのファイル転送の制限を実現している。

以上のように、第2の実施形態によれば、LAN1では、電子メールへのLAN1内データ添付を制限し、添付されたデータの読み取りのみ許可することができる。したがって、LAN2内の端末PC群内のデータのみメール添付可能となる。
このことにより、前述のセキュリティポリシーを満たしつつ、メール添付データをLAN1内で参照可能となる。

第1および第2の実施形態では、ファイルサーバアクセス用Webサーバ(FSWebサーバ)を用いて、異なるセキュリティポリシーの社内ネットワークにおいて、同一のデータリソースに同一のユーザでアクセス可能とするが、片側のネットワーク内からはRead/Write許可、もう片側からはReadのみ許可といったアクセスの方向性を実現する例を説明したが、図3で示すように、社外ネットワークからのアクセスにも応用可能である。
具体的には、コンピュータウイルスの侵入被害防止のため、社外ネットワークからVPN接続する持ち出し許可PCやモバイル端末から社内データリソースへのアクセスは、読み取りのみとするセキュリティポリシーの実現が可能である。

１０ ＦＳｗｅｂサーバ
２０ 端末ＰＣ群１
３０ ＦＷ装置
３１ ＦＷ装置１
３２ ＦＷ装置２
３３ ＦＷ装置３
４０ ファイルサーバ
５０ 端末ＰＣ群２
６０ ターミナルサーバ
７０ 社外ネットワーク
７１ 持ち出し許可ＰＣ
７２ モバイル端末

Claims (2)

1. ファイアウォールにより分断された第１のＬＡＮ環境と第２のＬＡＮ環境とを備え、第１のＬＡＮ環境には、第２のＬＡＮ環境に接続されたファイルサーバアクセス用のＷｅｂサーバが接続され、第２のＬＡＮ環境には、認証サーバを兼用する前記ファイルサーバが接続され、前記Ｗｅｂサーバと前記ファイルサーバの間のみ通信が許可され、更に、前記Ｗｅｂサーバ上に設定された仮想ディレクトリは、読み取りのみ許可され、書き込み、変更が制限されている環境に於けるファイル共有方法であって、
   第１のＬＡＮ環境に接続されている端末ＰＣ群から第２のＬＡＮ内のファイルにアクセスする場合に、前記端末ＰＣ群から発行されたＵＲＬに対応する前記ファイルサーバ上のデータ領域を前記Ｗｅｂサーバ上の前記仮想ディレクトリにマウントし、該マウントしたデータ領域を前記端末ＰＣ群から読み取ることにより第２のＬＡＮ環境から第１のＬＡＮ環境にのみファイルを転送可能とすることを特徴とするファイル共有方法。
2. 第１のＬＡＮ環境と第２のＬＡＮ環境が第１のファイアウォールにより分断され、かつ、第２のＬＡＮ環境と第３のＬＡＮ環境が第２のファイアウォールにより分断され、第１のＬＡＮ環境には、第２のＬＡＮ環境に接続され、電子メールに添付可能なデータを格納するファイルサーバにアクセスする為のＷｅｂサーバが接続され、第２のＬＡＮ環境には、電子メールアプリケーションを実行するターミナルサーバと、認証サーバを兼用する前記ファイルサーバが接続され、
   更に、前記Ｗｅｂサーバ上に設定された仮想ディレクトリは、読み取りのみ許可され、書き込み、変更が制限されている環境に於けるファイル共有方法であって、
   前記第１のＬＡＮ環境に接続された第１の端末ＰＣ群からの電子メールにアクセスする場合は、前記第１の端末ＰＣ群から発行したＵＲＬに対応する前記ファイルサーバ上のデータ領域を前記Ｗｅｂサーバ上の前記仮想ディレクトリにマウントし、該マウントしたデータ領域を前記端末ＰＣ群から読み取ることにより電子メールを読み取り、
   前記第３のＬＡＮ環境に接続された第２の端末ＰＣ群からは、リモート接続プロトコルを利用して前記第２ＬＡＮ環境内のファイルサーバの、前記ＵＲＬに対応する所定領域に電子メールの添付データを予め転送可能に設定し、前記ファイルサーバ上のデータ領域を前記第２端末ＰＣ群から直接読み取り、書き込むことにより第2LAN環境に於いてのみデータが添付された電子メールを送信可能としたことを特徴とするファイル共有方法。