JP2014123864A - 情報通信機器の管理システム、管理サーバ、情報通信機器、及びコンピュータプログラム - Google Patents

Abstract

【課題】管理サーバが接続されたＬＡＮに直接アクセスできない情報通信機器であっても適切に管理できるようにする。
【解決手段】ＬＡＮ５に接続された情報通信機器７に管理のための情報を含む第１情報１０１を提供するとともに、情報通信機器７の動作情報を示す情報を含む第２情報１０２を収集することにより情報通信機器７を管理する管理システム１であって、ＬＡＮ４に接続された管理サーバ２と、中間サーバ３と、を備えている。中間サーバ３は、管理サーバ２及びＬＡＮ５外にある外部情報通信機器９それぞれからアクセス可能に設けられている。管理サーバ２は、ＬＡＮ４に接続された情報通信機器７に提供されるべき第１情報１０１を、中間サーバ３に送信し、外部情報通信機器９は、第１情報１０１を中間サーバ３から受信する。外部情報通信機器９は、管理サーバ２に提供されるべき第２情報１０２を、中間サーバ３に送信し、管理サーバ２は、第２情報１０２を中間サーバ３から受信する。
【選択図】図３

Description

本発明は、情報通信機器の管理システム、管理サーバ、情報通信機器、及びコンピュータプログラムに関する。

従来より、パーソナルコンピュータ、サーバ、プリンタなどの情報通信機器（ＩＴ資産）を管理サーバで管理することが行われている。

特開２００８−２７８１９３号公報

従来の情報通信機器の管理（ＩＴ資産管理）では、管理対象となる情報通信機器（ＩＴ資産）と管理サーバとが、同一の社内ＬＡＮ（イントラネット）に存在していて、情報通信機器が、管理サーバと直接通信可能な状態にあることが前提となっている。
つまり、管理サーバは、管理対象の情報通信機器に対して、管理のため各種の情報を送信することがあり、情報通信機器も、管理サーバに対して、情報通信機器の動作状況など管理に用いられる各種の情報を送信することがあるため、管理サーバと情報通信機器は直接通信可能である必要がある。

したがって、情報通信機器が、社内ＬＡＮに直接アクセスできず、管理サーバと直接通信できない状況では、適切な管理がされなくなる。
たとえ情報通信機器がインターネットへの接続手段を備えていたとしても、一般的な社内ＬＡＮは、ファイアウォール等によって外部（インターネット）からのアクセスを遮断しているため、情報通信機器は、管理サーバにアクセスすることができない。

このため、たとえば、社外のサテライトオフィスにおける情報通信機器を、社内ＬＡＮに接続させて、管理サーバへのアクセスを可能にするには、サテライトオフィスにおける情報通信機器と社内ＬＡＮとを、専用線又は仮想プライベートネットワーク（ＶＰＮ）で接続する必要があり高コストになっていた。

また、モバイルＰＣのように、社内外を移動可能な情報通信機器が管理対象であると、その情報通信機器が社外に移動したときには、社内ＬＡＮに直接アクセスできず、同様の問題が生じる。

そこで、本発明は、管理サーバが接続されたＬＡＮに直接アクセスできない情報通信機器であっても適切に管理できるようにすることを目的とする。

（１）第１の観点からみた本発明は、ＬＡＮに接続された情報通信機器に管理のための情報を含む第１情報を提供するとともに、前記情報通信機器の動作情報を示す情報を含む第２情報を収集することにより前記情報通信機器を管理する管理システムであって、前記ＬＡＮに接続された管理サーバと、中間サーバと、を備え、前記中間サーバは、前記管理サーバ及び前記ＬＡＮ外にある外部情報通信機器それぞれからアクセス可能に設けられ、前記管理サーバは、前記ＬＡＮに接続された前記情報通信機器に提供されるべき前記第１情報を、前記中間サーバに送信し、前記外部情報通信機器は、前記第１情報を前記中間サーバから受信し、前記外部情報通信機器は、前記管理サーバに提供されるべき前記第２情報を、前記中間サーバに送信し、前記管理サーバは、前記第２情報を前記中間サーバから受信することを特徴とする管理システムである。

上記本発明によれば、外部情報通信機器は、中間サーバから第１情報を受信でき、第２情報を中間サーバに送信すれば、管理サーバは中間サーバから第２情報を受信できる。
したがって、管理サーバは、ＬＡＮに接続された情報通信機器と同様に、外部情報通信機器との間でも情報のやりとりが可能である。この結果、管理サーバは、外部情報通信機器を適切に管理することができる。

（２）前記管理サーバは、前記第１情報を前記中間サーバにファイル単位でアップロードする処理を行い、前記外部情報通信機器は前記中間サーバにアップロードされた前記第１情報をファイル単位でダウンロードする処理を行い、前記外部情報通信機器は、前記第２情報を前記中間サーバにファイル単位でアップロードする処理を行い、前記外部情報通信機器は前記中間サーバにアップロードされた前記第２情報をファイル単位でダウンロードする処理を行うのが好ましい。

（３）前記外部情報通信機器は、前記中間サーバにある第２情報のファイルのうち、前記外部情報通信機器が未取得のファイルを識別し、未取得の第２情報のファイルをダウンロードするのが好ましい。この場合、ダウンロードのための通信負荷を軽減できる。

（４）前記中間サーバは、前記管理サーバ及び前記ＬＡＮ外にある外部情報通信機器それぞれからアクセス可能であるが、前記外部情報通信機器が前記中間サーバを介して前記管理サーバにアクセスすることができないように設けられているのが好ましい。このように、外部情報通信機器が中間サーバを介して管理サーバにアクセスすることができない状況であっても、上記本発明によれば、管理サーバは、外部情報通信機器を適切に管理することができる。

（５）前記中間サーバは、前記ＬＡＮに接続されたＤＭＺセグメントに設けられているのが好ましい。

（６）前記管理サーバは、許可情報を前記中間サーバに設定可能であり、前記許可情報は、前記中間サーバからの前記第１情報の受信及び前記中間サーバへの前記第２情報の送信が、許可されていることを前記外部情報通信機器に認識させる情報であるのが好ましい。この場合、管理サーバは、中間サーバからの第１情報の受信及び中間サーバへの第２情報の送信の許可／不許可を制御することができる。

（７）前記外部情報通信機器は、前記第１情報を前記管理サーバから受信するとともに、前記第２情報を前記管理サーバに送信することが可能に構成された管理エージェントと、前記第１情報を前記中間サーバから受信するとともに、前記第２情報を前記中間サーバに送信する中継エージェントと、を備え、前記管理エージェントは、前記中継エージェントを前記管理サーバであるとみなして、前記第１情報を前記中継エージェントから受信するとともに、前記第２情報を前記中継エージェントに送信してもよい。
この場合、管理エージェントは、ＬＡＮに接続される情報通信機器に搭載されるものを利用でき好適である。

（８）他の観点からみた本発明は、情報通信機器が接続されたＬＡＮに接続されて、前記情報通信機器に管理のための情報を含む第１情報を提供するとともに、前記情報通信機器の動作情報を示す情報を含む第２情報を収集することにより前記情報通信機器を管理する管理サーバであって、前記ＬＡＮに接続された前記情報通信機器に提供されるべき前記第１情報を、前記ＬＡＮに接続された前記情報通信機器に提供するとともに、前記ＬＡＮ外にある外部情報通信機器がアクセス可能な中間サーバにも送信するよう構成され、前記管理サーバに提供されるべき前記第２情報を、前記ＬＡＮに接続された前記情報通信機器から受信するとともに、前記中間サーバからも受信するよう構成されていることを特徴とする管理サーバである。

（９）他の観点からみた本発明は、前記（７）記載の管理サーバによって管理される情報通信機器であって、前記管理サーバからＬＡＮに接続された内部情報通信機器に提供されるべき第１情報を、前記管理サーバがアクセス可能な中間サーバに前記ＬＡＮ外からアクセスすることで受信するよう構成され、前記管理サーバに提供されるべき第２情報を、前記中間サーバに対して、前記ＬＡＮ外から送信するよう構成されていることを特徴とする情報通信機器である。

（１０）他の観点からみた本発明は、コンピュータを、（８）項記載の管理サーバとして機能させるためのコンピュータプログラムである。

（１１）他の観点からみた本発明は、コンピュータを、（９）項記載の情報通信機器として機能させるためのコンピュータプログラムである。

本発明によれば、管理サーバが接続されたＬＡＮに直接アクセスできない情報通信機器であっても適切に管理できるようにすることができる。

管理システムによって管理されるネットワーク環境を示す図である。 ＬＡＮ内の情報通信機器と管理サーバとの間の情報のやりとりを示す図である。 ＬＡＮ外の情報通信機器と管理サーバとの間の情報のやりとりを示す図である。 （ａ）はゲートウェイ機能の開始シーケンスを示し、（ｂ）はゲートウェイ機能の停止シーケンスを示す。 （ａ）はＧＷクライアントによる中間サーバへのアップロードシーケンスを示し、（ｂ）は第２エージェントによる中間サーバからのダウンロードシーケンスを示す。 （ａ）は第２エージェントによる中間サーバへのアップロードシーケンスを示し、（ｂ）はＧＷクライアントによる中間サーバからのダウンロードシーケンスを示す。 第１変形例における、ＬＡＮ外の情報通信機器と管理サーバとの間の情報のやりとりを示す図である。 第２変形例における中間サーバの設置形態を示す図である。 第３変形例における接続形態を示す図である。

以下、本発明の好ましい実施形態について図面を参照しながら説明する。

［１．システム全体構成］
図１に示すように、実施形態に係る管理システム１は、ＩＴ資産管理システムであり、ＩＴ資産である情報通信機器７，８を管理する。
この管理システム１は、管理サーバ２及び中間サーバ（ゲートウェイ（ＧＷ）サーバ）３を有している。なお、管理サーバ２は、一つである必要はなく、複数あってもよい。

管理サーバ２は、企業内の社内ＬＡＮ５に接続されている。社内ＬＡＮ５には、パーソナルコンピュータ（ＰＣ）７，８などの情報通信機器（内部情報通信機器）が接続されている。管理対象となる情報通信機器７，８は、パーソナルコンピュータに限られず、プリンタ及びサーバなどの各種のＩＴ機器であってもよい。
また、本実施形態の管理システム１は、中間サーバ３を有することにより、社内ＬＡＮ５に接続された情報通信機器７，８だけでなく、社内ＬＡＮ５の外部にある情報通信機器（外部情報通信機器）９も、管理の対象とすることができる。つまり、中間サーバ３は、外部情報通信機器９にとって、管理サーバ２へのゲートウェイ（ＧＷ）として機能する。

管理サーバ２は、情報通信機器を管理する管理サーバ２としての機能を発揮するためのコンピュータプログラム（管理サーバプログラム）を、その記憶部（図示省略）に記憶している。その管理サーバプログラムが、管理サーバ（コンピュータ）２において実行されることで、管理サーバ２としての機能を発揮するための処理が行われる。

管理対象の情報通信機器７，８，９は、コンピュータとして構成され、又は、コンピュータを有して構成されている。
情報通信機器７，８，９は、管理サーバ２による情報通信機器７，８，９の管理のため、管理サーバ２との間で情報（管理情報）をやり取りするためのエージェント２１，２２を備えている。

図１では、エージェント２１，２２として、社内ＬＡＮ５に接続された情報通信機器７用の第１エージェント２１と、社内ＬＡＮ５外の情報通信機器９用の第２エージェント２２と、が示されている。
なお、図１では、社内ＬＡＮ５に接続された情報通信機器８に第２エージェント２２が搭載されているが、これは、社内ＬＡＮ外用の第２エージェント２２を搭載した情報通信機器８を、社内に持ち込んでも使用できることを示している。

情報通信機器７，８，９は、それぞれ、第１エージェント２１又は第２エージェント２２としての機能を発揮するためのコンピュータプログラム（第１エージェントプログラム又は第２エージェントプログラム）を、その記憶部（図示省略）に記憶している。そのエージェントプログラムが、情報通信機器７，８，９のコンピュータにおいて実行されることで、第１エージェント２１又は第２エージェント２１としての機能を発揮するための処理が行われる。

社内ＬＡＮ５には、ＤＭＺ（DeMilitarized Zone）セグメント１１が設けられている。ＤＭＺセグメント１１は、社内ＬＡＮ５と、社内ＬＡＮ外ネットワークであるインターネット１３と、の間に設けられるセグメントである。ＤＭＺセグメント１１は、例えば、社内ＬＡＮ５との間に設置された第１のファイアウォール１５と、インターネット１３との間に設置された第２のファイアウォール１６と、に囲まれたネットワーク範囲として構成される。

第１のファイアウォール１５及び第２のファイアウォール１６は、社内ＬＡＮ５に接続された情報通信機器７，８が、外部ネットワークであるインターネット１３にアクセスするのは許可するが、インターネット１３側の情報通信機器９が社内ＬＡＮ５へアクセスするのは遮断するように通信を制御する。

ただし、第１のファイアウォール１５は、社内ＬＡＮ５側から、ＤＭＺセグメント１１にアクセスするのは許可する。また、第２のファイアウォール１６は、インターネット側から、ＤＭＺセグメント１１にアクセスするのは許可する。
なお、一般的に、ＤＭＺセグメント１１は、Ｗｅｂサーバ及びメールサーバが設置されるセグメントである。

ゲートウェイ機能を有する中間サーバ３は、前述のようなＤＭＺセグメント１１内に設けられている。したがって、中間サーバ３には、社内ＬＡＮ５側及びインターネット側１３それぞれからアクセス可能である。換言すると、中間サーバ３には、社内ＬＡＮ５に接続された管理サーバ２及びインターネット１３に接続された情報通信機器（外部情報通信機器）９それぞれからアクセス可能である。ただし、外部情報通信機器９は、アクセス可能な中間サーバ３を介しても、管理サーバ２にアクセスすることはできない。

図２は、管理サーバ２と内部情報通信機器７との間の情報のやり取りを示している。
内部情報通信機器７との間の情報のやりとりのため、管理サーバ２は、内部情報通信機器７によってダウンロードされるダウンロード情報（第１情報）１０１が保存されるダウンロードサイトフォルダ（ダウンロード情報保存領域）２５を有している。管理サーバ２は、管理のため情報通信機器に提供されるべきダウンロード情報（第１情報)１０１を生成し、ダウンロードサイトフォルダ２５に保存する。
また、管理サーバ２は、管理のため情報通信機器から管理サーバ２に提供されるべきアップロード情報（第２情報）１０２を受け付けるアップロードサーバ２６も有している。

さらに、管理サーバ２は、ダウンロード情報１０１及びアップロード情報１０２を外部情報通信機器８，９とやりとりするためのＧＷクライアント２７を有している。ＧＷクライアント２７は、直接的には、中間サーバ３との間で通信を行う。つまり、ＧＷクライアント２７は、中間サーバ３との間の通信を制御する通信制御部である。

内部情報通信機器７に搭載された第１エージェント２１は、図２に示すように、定期的に管理サーバ２にアクセスして、ダウンロードサイトフォルダ２５に保存されている１又は複数のダウンロード情報（第１情報）１０１をダウンロードする。
ダウンロード情報（第１情報）１０１としては、例えば、管理のための各種ポリシー情報、各種設定ファイル、バージョンアップモジュール、デバイス利用申請の承認情報、ＳＰＭＳ（セキュリティ・パッチマネージメントサービス）情報、メッセージ、情報通信機器へ配布されるソフトウェアなどがある。
各種のダウンロード情報（第１情報）は、それぞれ、ファイル形式の情報として構成されている。

また、内部情報通信機器７に搭載された第１エージェント２１は、図２に示すように、定期的に管理サーバ２にアクセスして、１又は複数のアップロード情報（第２情報）１０２を、管理サーバ２にアップロードする。
アップロード情報（第２情報）１０２としては、例えば、インベントリ情報、操作ログ、レポート、デバイスファイルリストなどがある。アップロード情報１０２には、操作ログなど、情報通信機器７の動作状況を示す情報が含まれる。
各種のアップロード情報（第２情報）は、それぞれ、ファイル形式の情報として構成されている。

社内ＬＡＮ５に接続された内部情報通信機器７は、前述のように、管理サーバ２に直接アクセスして通信することができるため、管理サーバ２との間でのダウンロード情報１０１及びアップロード情報１０２のやりとりに問題はない。
内部情報通信機器７の第１エージェント２１と管理サーバ２との間の情報１０１，１０２のやりとりは、ＬＡＮ５において利用可能な一般的なファイル転送プロトコル（ＦＴＰなど）が用いられる。

一方、社内ＬＡＮ５外の外部情報通信機器９は、管理サーバ２への直接アクセスが制限されているため、内部情報通信機器７のようにダウンロード及びアップロードを行うことができない。
そこで、外部情報通信機器９に搭載された第２エージェント２２は、社外からもインターネット１３経由でアクセス可能なＤＭＺセグメント１１に設置された中間サーバ３との間で、ダウンロード情報１０１及びアップロード情報１０２のやりとりを行う。

また、中間サーバ３は、外部情報通信機器９によってダウンロードされるべきダウンロード情報（第１情報）１０１を、管理サーバ２から取得する。つまり、中間サーバ３には、管理サーバ２のダウンロードサイトフォルダ２５のコンテンツ（ファイル）が、ミラーリングされる。ミラーリングのため、中間サーバ３は、管理サーバ２と同様に、ダウンロードサイトフォルダ（ダウンロード情報保存領域）３１を備えている。
さらに、中間サーバ３は、外部情報通信機器９からアップロードされたアップロード情報（第２情報）１０２を保存し、管理サーバ２へ与えることができる。

このように、外部情報通信機器９は、中間サーバ３を中継させることで管理サーバ２にあるダウンロード情報１０１をダウンロード（中継ダウンロード）し、中間サーバ３を中継させることでアップロード情報１０２を管理サーバ２にアップロード（中継アップロード）することができる。
管理サーバ２と中間サーバ３との間の情報のやりとりは、管理サーバ２に搭載されたＧＷクライアント２７によって制御される。なお、ＧＷクライアント２７としての機能もコンピュータプログラムによって実現される。

中間サーバ（ＧＷサーバ）３は、ＷｅｂＤＡＶ（Web-based Distributed Authoring and Versioning）サーバ（ＷｅｂＤＡＶをサポートするＷｅｂサーバ）として構成されている。ＷｅｂＤＡＶは、ＨＴＴＰ（Hypertext Transfer Protocol）を拡張したプロトコルである。

ＷｅｂＤＡＶでは、Ｗｅｂサーバ（ＷｅｂＤＡＶサーバ）上のファイル・フォルダ管理を、ＨＴＴＰだけで行える。
つまり、ＷｅｂＤＡＶでは、ＨＴＴＰによって、Ｗｅｂサーバ（ＷｅｂＤＡＶサーバ）からのファイルのダウンロードだけでなく、Ｗｅｂサーバ（ＷｅｖＤＡＶサーバ）へのアップロード、Ｗｅｂサーバ（ＷｅｂＤＡＶサーバ）上でのファイル作成・削除、Ｗｅｂサーバ（ＷｅｂＤＡＶサーバ）上のファイル一覧の取得が行える。
一般的に、ＨＴＴＰは、ＷｅｂブラウザによるＷｅｂサーバへのアクセスに用いられることから、ファイアウォールにおいて制限されないプロトコルである。

中間サーバ（ＧＷサーバ）３として、ＷｅｂＤＡＶサーバが用いられていることで、管理サーバ２のＧＷクライアント２７及び外部情報通信機器９の第２エージェント２２は、中間サーバ３からの情報（ファイル）のダウンロード、中間サーバ２からのアップロード、及び中間サーバ３上におけるその他のファイル操作を、ファイアウォール１５，１６で制限されないのが一般的であるＨＴＴＰリクエストを中間サーバ３に送信することで行うことができる。
したがって、中間サーバ３を設けることに伴って、ファイアウォール１５，１６のセキュリティレベルを下げる必要がない。

また、無関係なコンピュータからの中間サーバ３へのアクセス防止のため、管理サーバ２及び情報通信機器８，９からの中間サーバ３へのアクセスには、認証が要求される。中間サーバ３へのアクセス認証には、３つの認証が行われる、第１の認証は、ＩＤ／パスワードによる認証である。管理サーバ２のＧＷクライアント２７及び情報通信機器８，９の第２エージェント２２は、中間サーバ３へのアクセスのため、特定のＩＤ／パスワードの使用が要求される。

第２の認証は、中間サーバ３へ送信されるＨＴＴＰリクエストヘッダーフィールド「User-Agent」の値が、特定の値であることである。管理サーバ２のＧＷクライアント２７及び情報通信機器８，９の第２エージェントが送信するＨＴＴＰリクエストヘッダーフィールド「User-Agent」の値としては、一般的なＷｅｂブラウザを示す値とは異なる値が設定されているため、誤って（又は悪意を持って)、Ｗｅｂブラウザによって中間サーバ３との間で情報がやり取りされるのを防止できる。

第３の認証は、ユーザコードによる認証である。管理システム１では、ユーザ（企業）ごとの固有のコード（ユーザコード）が付与されている。あるユーザの中間サーバ３へのアクセスの際には、中間サーバ３は、そのユーザのユーザコードを要求することにより、他のユーザの第２エージェントなどが誤ってアクセスするのを防止することができる。

［２．ゲートウェイ機能の開始／停止］
図４は、中間サーバ３のゲートウェイ機能の開始／停止の仕方を示している。中間サーバ３のゲートウェイ機能は、管理サーバ２のＧＷクライアント２７によって開始／停止（有効化／無効化）できるため、中間サーバ３のゲートウェイ機能を働かせるか否かを、管理サーバ２側（管理者側）で操作することができる。

中間サーバ３のゲートウェイ機能が有効になると、外部情報通信機器９は、中間サーバ３からのダウンロード情報１０１のダウンロード及び中間サーバ３へのアップロード情報のアップロードが可能となる。
一方、中間サーバ３のゲートウェイ機能が無効になると、外部情報通信機器９は、中間サーバ３からのダウンロード情報１０１のダウンロード及び中間サーバ３へのアップロード情報のアップロードが行えなくなる。

図４（ａ）に示すように、ゲートウェイ機能の開始（有効化）は、管理サーバ２に対してゲートウェイ機能開始入力が管理者からなされることで実行される。ゲートウェイ機能開始入力を受け付けたＧＷクライアント２７は、中間サーバ３に対して、ゲートウェイ機能開始要求処理（ステップＳ１１）を行う。なお、ゲートウェイ機能開始要求処理の実行は、管理者からの入力によらず、ＧＷクライアント２７が自律的に行ってもよい。

ゲートウェイ機能開始要求処理（ステップＳ１１）は、具体的には、中間サーバ３に対して許可ファイル（Ａｌｌｏｗファイル；許可情報）１０３を作成することを要求するＨＴＴＰリクエスト（許可ファイル作成要求）を、ＧＷクライアント２７から中間サーバ３に送信することで行われる。許可ファイル作成要求であるＨＴＴＰリクエストを受けた中間サーバ３は、許可ファイルを作成する。許可ファイル１０３は、中間サーバ３のダウンロードサイトフォルダ（許可ファイル記憶領域）３１に作成される。なお、許可ファイルは空ファイルでよい。このように、管理サーバ２は、許可ファイルを中間サーバ３に設定できる。

中間サーバ３のゲートウェイ機能が有効化されると、ＧＷクライアント２７は、管理サーバ２のダウンロードサイトフォルダ２５にあるダウンロード情報の中間サーバ３へのアップロードの定期実行を開始するとともに（ステップＳ１２）、中間サーバ３にあるアップロード情報のダウンロードの定期実行を開始する（ステップＳ１３）。

図４（ｂ）に示すように、ゲートウェイ機能の停止（無効化）は、管理サーバ２に対してゲートウェイ機能停止入力が管理者からなされることで実行される。ゲートウェイ機能停止入力を受け付けたＧＷクライアント２７は、中間サーバ３に対して、ゲートウェイ機能停止要求処理（ステップＳ２１）を行う。なお、ゲートウェイ機能停止要求処理の実行は、管理者からの入力によらず、ＧＷクライアント２７が自律的に行ってもよい。

ゲートウェイ機能停止要求処理（ステップＳ２１）は、具体的には、中間サーバ３に対して許可ファイル（Ａｌｌｏｗファイル）１０３を削除することを要求するＨＴＴＰリクエスト（許可ファイル削除要求）を、ＧＷクライアント２７から中間サーバ３に送信することで行われる。許可ファイル削除要求であるＨＴＴＰリクエストを受けた中間サーバ３は、ダウンロードサイトフォルダ３１にある許可ファイル１０３を削除する。

中間サーバ３のゲートウェイ機能が無効化されると、ＧＷクライアント２７は、管理サーバ２のダウンロードサイトフォルダ２５にあるダウンロード情報の中間サーバ３へのアップロードの定期実行を停止するとともに（ステップＳ２２）、中間サーバ３にあるアップロード情報のダウンロードの定期実行を停止する（ステップＳ２３）。

本実施形態では、中間サーバ３のダウンロードサイトフォルダ３１に許可ファイル１０３が存在すれば、ゲートウェイ機能が有効になっていることを示し、ダウンロードサイトフォルダ３１に許可ファイル１０３が存在しなければ、ゲートウェイ機能が無効になっていることを示す。つまり、許可ファイルは、ゲートウェイ機能が許可されていることを外部情報通信機器９に認識させるための情報である。外部情報通信機器９は、中間サーバにおける許可ファイル１０３の有無で、ゲートウェイ機能の有効／無効を判断することができる。

［３．中継ダウンロード］
図５は、管理サーバ２にあるダウンロード情報（ダウンロードファイル）１０１を、中間サーバ３を介して、外部情報通信機器９にダウンロード（中継ダウンロード）させる処理を示している。中継ダウンロードのための処理は、ＧＷクライアント２７及び第２エージェント２２それぞれにおいて、独自に定期的に実行される。

中継ダウンロードのため、図５（ａ）に示すように、管理サーバ２のＧＷクライアント２７は、中間サーバ３へダウンロード情報１０１をアップロード（ミラーリング）する。
具体的には、まず、ＧＷクライアント２７は、中間サーバ３のダウンロードサイトフォルダ３１にあるファイルの一覧を要求するＨＴＴＰリクエスト（ファイル一覧要求）を、中間サーバ３に送信する（ステップＳ３１ａ）。
すると、中間サーバ３は、要求されたファイルの一覧をＨＴＴＰレスポンスとして、ＧＷクライアント２７に返信する（ステップＳ３１ｂ）。

中間サーバ３におけるファイル一覧を取得したＧＷクライアント２７は、管理サーバ２のダウンロードサイトフォルダ２５にあるファイル（ダウンロード情報）１０１群と、中間サーバ３のダウンロードサイトフォルダ３１にあるファイル群（ダウンロード情報）１０１群と、を比較し、両者の差分となっている１又は複数のファイル（ダウンロード情報）１０１を求める。
そして、ＧＷクライアント２７は、差分となっているファイル（ダウンロード情報）１０１を、ファイル単位で中間サーバ３にアップロードするＨＴＴＰリクエスト（アップロード要求）を、中間サーバ３に送信する（ステップＳ３２）。なお、中間サーバ３に不要なファイルがあれば、それを削除するＨＴＴＰリクエスト（削除要求）も中間サーバ３に送信される。

差分ファイルのアップロード（及び削除）によって、管理サーバ２のダウンロードサイトフォルダ２５の内容が、中間サーバ３のダウンロードサイトフォルダ２５にミラーリング（同期）される。
ミラーリングに際し、ＧＷクライアント２７と中間サーバ３との間で差分ファイルだけやりとりすることで、処理負荷及び通信負荷を軽減することができる。

続いて、ＧＷクライアント２７は、ミラーリングできたファイルの一覧を作成し、中間サーバ３にアップロードするＨＴＴＰリクエスト（ファイル一覧アップロード要求）を、中間サーバ３に送信する（ステップＳ３３）。

図５（ｂ）に示すように、外部情報通信機器９の第２エージェント２２は、中間サーバ３からダウンロード情報１０１をダウンロードするために、まず、中間サーバ３における許可ファイル１０３の存在を確認する。具体的には、第２エージェント２２は、中間サーバ３のダウンロードサイトフォルダ３１における許可ファイル１０３の存在を確認するためのＨＴＴＰリクエスト（許可ファイル存在確認要求）を、中間サーバ３に送信する（ステップＳ３５ａ）。
許可ファイル存在確認要求であるＨＴＴＰリクエストに対するＨＴＴＰレスポンス（ステップＳ３５ｂ）が、許可ファイル１０３の存在を示していれば、第２エージェント２２は、中間サーバ３のゲートウェイ機能が有効であると判断する。
一方、許可ファイル１０３が存在していなければ、第２エージェント２２は、中間サーバ３のゲートウェイ機能が無効であると判断し、ダウンロードのための処理を終了する。

許可ファイル１０３が中間サーバ３に存在していた場合、第２エージェント２２は、中間サーバ３のダウンロードサイトフォルダ３１にあるファイルの一覧を要求するＨＴＴＰリクエスト（ファイル一覧要求）を、中間サーバ３に送信する（ステップＳ３６ａ）。
すると、中間サーバ３は、要求されたファイルの一覧をＨＴＴＰレスポンスとして、第２エージェント２２に返信する（ステップＳ３６ｂ）。

中間サーバ３におけるファイル一覧を取得した第２エージェント２２は、中間サーバ３のダウンロードサイトフォルダ３１にあるファイル群（ダウンロード情報）１０１群と、外部情報通信機器９が有するファイル（ダウンロード情報）１０１群と、を比較し、ダウンロードすべきファイル（未取得のファイル；差分ファイル）を求める。
そして、第２エージェント２２は、ダウンロードすべき１又は複数のファイル（ダウンロード情報）１０１を、ファイル単位でダウンロードをするためのＨＴＴＰリクエスト（ダウンロード要求）を、中間サーバ３に送信する（ステップＳ３７ａ）。
中間サーバ３は、ダウンロード要求であるＨＴＴＰリクエストに対するＨＴＴＰレスポンスによって、要求された１又は複数のファイル（ダウンロード情報）１０１を、ファイル単位で第２エージェント２２に送信する（ステップＳ３７ｂ）。
以上の処理によって、外部情報通信機器９の第２エージェント２２は、ダウンロード情報１０１を取得することができる。
なお、中間サーバ３と第２エージェント２２との間で差分ファイルだけやりとりすることで、処理負荷及び通信負荷を軽減することができる。

［４．中継アップロード］
図６は、外部情報通信機器９の第２エージェント２２が、アップロード情報（アップロードファイル）１０２を、中間サーバ３を介して、管理サーバ２（のアップロードサーバ２６）にアップロード（中継アップロード）させる処理を示している。中継アップロードのための処理は、第２エージェント２２及びＧＷクラインと２７それぞれにおいて、独自に定期的に実行される。

中継アップロードのため、図６（ａ）に示すように、外部情報通信機器９の第２エージェント２２は、中間サーバへアップロード情報１０２をアップロードする。
具体的には、まず、第２エージェント２２は、中間サーバ３における許可ファイル１０３の存在を確認する。この確認は、第２エージェント２２が、中間サーバ３のダウンロードサイトフォルダ３１における許可ファイル１０３の存在を確認するためのＨＴＴＰリクエスト（許可ファイル存在確認要求）を、中間サーバ３に送信することで行われる（ステップＳ４１ａ）。

許可ファイル存在確認要求であるＨＴＴＰリクエストに対するＨＴＴＰレスポンス（ステップＳ４１ｂ）が許可ファイル１０３が存在していないことを示していれば、第２エージェント２２は、中間サーバ３のゲートウェイ機能が無効であると判断し、ダウンロードのための処理を終了する。
許可ファイル１０３が中間サーバ３に存在していた場合、第２エージェント２２は、アップロード情報をファイル単位で中間サーバ３にアップロードするＨＴＴＰリクエスト（アップロード要求）を、中間サーバ３に送信する（ステップＳ４２）。これにより、アップロード情報が、中間サーバ３に保存される。

図６（ｂ）に示すように、管理サーバ２のＧＷクライアント２７は、中間サーバ３からアップロード情報１０２をダウンロードするために、まず、中間サーバ３に保存されているアップロード情報（アップロードファイル）１０２の一覧を要求するＨＴＴＰリクエスト（ファイル一覧要求）を、中間サーバ３に送信する（ステップＳ５１ａ）。
すると、中間サーバ３は、要求されたアップロード情報１０２のファイルの一覧をＨＴＴＰレスポンスとして、ＧＷクライアント２７に返信する（ステップＳ５１ｂ）。

中間サーバ３におけるアップロード情報のファイル一覧を取得したＧＷクライアント２７は、中間サーバ３にあるアップロード情報１０２のファイル群と、管理サーバ２６に既に取得したアップロード情報１０２ファイル群と、を比較し、管理サーバ２が取得（ダウンロード）すべきファイル（未取得ファイル；差分ファイル）を求める。
そして、ＧＷクライアント２７は、取得すべき１又は複数のファイル（アップロード情報）１０２を、ファイル単位でダウンロードするためのＨＴＴＰリクエスト（ダウンロード要求）を、中間サーバ３に送信する（ステップＳ５２ａ）。
中間サーバ３は、ダウンロード要求であるＨＴＴＰリクエストに対するＨＴＴＰレスポンスによって、要求された１又は複数のファイル（アップロード情報）１０２を、ファイル単位でＧＷクライアント２７に送信する（ステップＳ５２ｂ）。

アップロード情報を取得したＧＷクライアント２７は、取得したアップロード情報１０２を、管理サーバ２のアップロードサーバ２６に与える。これにより、アップロードサーバ２６は、外部情報通信機器９からのアップロード情報を取得することができる。
なお、ＧＷクライアント２７との間で差分ファイルだけやりとりすることで、処理負荷及び通信負荷を軽減することができる。

なお、図５に示す中継ダウンロード及び図６に示す中継アップロードは、第２エージェント２２を有する外部情報通信機器８が、社内ＬＡＮに接続された場合にも実行される。

［５．第１変形例］
図７は、第１変形例を示している。第１変形例では、外部情報通信機器９には、内部情報通信機器７と同様に第１エージェント（管理エージェント）２１が搭載されている。第１エージェント２１は、管理サーバ２との間でダウンロード情報１０１及びアップロード情報１０２のやり取りを行うものであり、中間サーバ３との間でダウンロード情報１０１及びアップロード情報１０２のやり取りを行うために必要な機能を有していない。

そこで、第１変形例に係る外部情報通信機器９には、第１エージェント２１とは別に、中間サーバ３との間でダウンロード情報１０１及びアップロード情報１０２のやり取りを行う第３エージェント（ＧＷエージェント；中継エージェント）２３が設けられている。

第３エージェント２３は、「管理サーバ２の振り」をする。この結果、第１エージェント２１は、第３エージェント２３が管理サーバ２であるかのように認識して、ダウンロード情報１０１，アップロード情報１０２のやりとりを行う。
また、第３エージェントは、中間サーバ３にアクセスして、第１エージェント２１との間でやりとりした情報１０１，１０２を、中間サーバ３にアップロード／ダウンロードする。

なお、情報通信機器９は、第３エージェントとしての機能を発揮するためのコンピュータプログラム（第３エージェントプログラム）を、その記憶部（図示省略）に記憶している。第３エージェントプログラムが、情報通信機器９のコンピュータにおいて実行されることで、第３エージェント２３としての機能を発揮するための処理が行われる。

第３エージェント２３は、外部情報通信機器９の記憶領域に、ダウンロード情報のミラーリング用のダウンロードサイトフォルダ４１を形成する。
第３エージェント２３は、中間サーバ３のダウンロードサイトフォルダ３１のミラーリングを行う。
第３エージェント２３によるミラーリングは、図５（ｂ）における第２エージェント２２のダウンロード処理とほぼ同様である。
つまり、第３エージェント２３は、中間サーバ３に対して、許可ファイルの有無を確認し（ステップＳ３５ａ，Ｓ３５ｂ）、ダウンロードサイトフォルダ４１のファイル一覧を取得し（ステップＳ３６ａ，３６ｂ）、取得すべきファイルのダウンロードを行う（ステップＳ３７ａ，３７ｂ）。

さらに、第３エージェント２３は、中間サーバ３から取得したファイル（ダウンロード情報）１０１を、外部情報通信機器９のダウンロードサイトフォルダ４１に保存する。
以上の処理によって、中間サーバ３のダウンロードサイトフォルダ３１のコンテンツ（ファイル）１０１が、外部情報通信機器９のダウンロードサイトフォルダ４１にミラーリングされる。
したがって、第１エージェント２１は、ダウンロードサイトフォルダ４１を、管理サーバ２のダウンロードサイトフォルダ２５であると認識して、ファイル（ダウンロード情報）１０１をダウンロードすることができる。

また、第１エージェント２１は、第３エージェント２３が管理サーバ２（のアップロードサーバ２６）であると認識して、アップロード情報（第２情報）を、第３エージェント２３へ送信（アップロード）する。
第３エージェント２３は、第１エージェント２１から送信されたアップロード情報１０２を、中間サーバ３へアップロードする。
第３エージェント２３から中間サーバ３へのアップロードは、図６（ａ）における第２エージェント２２のアップロード処理と同様である。
つまり、第３エージェント２３は、中間サーバ３に対して、許可ファイルの有無を確認し（ステップＳ４１ａ，Ｓ４１ｂ）、その後、アップロード情報のアップロードを行う（ステップＳ４２）。これにより、外部情報通信機器９からのアップロード情報が、中間サーバ３に保存される。

なお、第１変形例に係る第１エージェント２１に、第３エージェント２３を管理サーバ２であると認識させるため、第１変形例に係る第１エージェント２１においては、ダウンロード情報１０１及びアップロード情報１０２のやり取りを行う対象機器のＩＰアドレスとして、管理サーバ２を示すＩＰアドレスではなく、外部情報通信機器９自身を示すＩＰアドレス（ループバックアドレス）が設定される。
これにより、本来は、管理サーバ２との間で情報１０１，１０２のやり取りを行う第１エージェント２１は、第３エージェント２３（外部情報通信機器９自身）を管理サーバ２であるとみなして、第３エージェント２３との間で情報１０１，１０２のやりとりを行うことができる。

以上のように、第１変形例に係る第１エージェント２１は、内部情報通信機器７に搭載された第１エージェント２１と同じものを使用して、ＩＰアドレスの設定を変更するだけでよい。したがって、第１エージェント２１を搭載して社内ＬＡＮ５内で使用されていた内部情報通信機器７に、第３エージェント２３を追加的に搭載（インストール）することで、外部情報通信機器としても使用することができるようになる。

［６．第２変形例］
図８は、第２変形例を示している。第２変形例は、中間サーバ３の設置場所に関する変形例であり、中間サーバ３は、インターネット１３に接続されている。第２変形例においても、社内ＬＡＮ５には、ファイアウォール１７が設置されており、社内ＬＡＮ５外の外部情報通信機器９は、インターネット１３経由で、管理サーバ２にアクセスすることはできない。
ただし、管理サーバ２及び外部情報通信機器９のいずれも、中間サーバ３にアクセスすることはできる。
この第２変形例においても、前述したのと同様の中継ダウンロード及び中継アップロードが可能である。

［７．第３変形例］
図９は、第３変形例を示している。第３変形例は、管理サーバ２及び情報通信機器９のそれぞれから中間サーバ３にアクセス可能としつつも、情報通信機器９が中間サーバ３を介して管理サーバ２にアクセスすることができないようにするのを、ファイアウォールを用いずに実現した例である。

第３変形例では、図９（ａ）に示すように、管理サーバ２と中間サーバ３とが通信可能に（論理的又は物理的に）接続されているときには、中間サーバ３と情報通信機器９とは通信不能となるように（論理的又は物理的に）切断されている。
一方、図９（ｂ）に示すように、中間サーバ３と情報通信機器９とが通信可能に（論理的に又は物理的に）接続されているときには、管理サーバ２と中間サーバ３とは通信不能となるように（論理的に又は物理的に）切断されている。
中間サーバ３が、管理サーバ２及び情報通信機器９の双方と同時に通信可能に接続されることはないものとする。

この場合、管理サーバ２は、図９（ａ）の状態において、中間サーバ３にアクセス可能であり、情報通信機器９は、図９（ｂ）の状態において、中間サーバ３にアクセス可能である。しかし、中間サーバ３が、管理サーバ２及び情報通信機器９の双方と同時に通信可能に接続されることはないため、情報通信機器９は、中間サーバ３を介して、管理サーバ２にアクセスすることはできない。

第３変形例においても、図９（ａ）の状態では、図４、図５（ａ）、図６（ｂ）の処理が行え、図９（ｂ）の状態では、図５（ｂ）、図６（ａ）の処理が行える。

［８．付記］
本発明に関して、今回開示された実施の形態はすべての点で例示であって制限的なものではないと考えられるべきである。本発明の範囲は、上記した意味ではなく、特許請求の範囲と均等の意味及び範囲内でのすべての変更が含まれることが意図される。

１ 管理システム
２ 管理サーバ
３ 中間サーバ
５ ＬＡＮ
７ 内部情報通信機器
９ 外部情報通信機器
１３ インターネット（外部ネットワーク）
２１ 第１エージェント
２２ 第２エージェント
２３ 第３エージェント
２７ ＧＷクライアント
１０１ ダウンロード情報（第１情報）
１０２ アップロード情報（第２情報）
１０３ 許可ファイル（許可情報）

Claims (11)

1. ＬＡＮに接続された情報通信機器に管理のための情報を含む第１情報を提供するとともに、前記情報通信機器の動作情報を示す情報を含む第２情報を収集することにより前記情報通信機器を管理する管理システムであって、
   前記ＬＡＮに接続された管理サーバと、
   中間サーバと、
   を備え、
   前記中間サーバは、前記管理サーバ及び前記ＬＡＮ外にある外部情報通信機器それぞれからアクセス可能に設けられ、
   前記管理サーバは、前記ＬＡＮに接続された前記情報通信機器に提供されるべき前記第１情報を、前記中間サーバに送信し、前記外部情報通信機器は、前記第１情報を前記中間サーバから受信し、
   前記外部情報通信機器は、前記管理サーバに提供されるべき前記第２情報を、前記中間サーバに送信し、前記管理サーバは、前記第２情報を前記中間サーバから受信する
   ことを特徴とする管理システム。
2. 前記管理サーバは、前記第１情報を前記中間サーバにファイル単位でアップロードする処理を行い、前記外部情報通信機器は前記中間サーバにアップロードされた前記第１情報をファイル単位でダウンロードする処理を行い、
   前記外部情報通信機器は、前記第２情報を前記中間サーバにファイル単位でアップロードする処理を行い、前記外部情報通信機器は前記中間サーバにアップロードされた前記第２情報をファイル単位でダウンロードする処理を行う
   請求項１記載の管理システム。
3. 前記外部情報通信機器は、前記中間サーバにある第２情報のファイルのうち、前記外部情報通信機器が未取得のファイルを識別し、未取得の第２情報のファイルをダウンロードする
   請求項２記載の管理システム。
4. 前記中間サーバは、前記管理サーバ及び前記ＬＡＮ外にある外部情報通信機器それぞれからアクセス可能であるが、前記外部情報通信機器が前記中間サーバを介して前記管理サーバにアクセスすることができないように設けられている
   請求項１〜３のいずれか１項に記載の管理システム。
5. 前記中間サーバは、前記ＬＡＮに接続されたＤＭＺセグメントに設けられている
   請求項１〜４のいずれか１項に記載の管理システム。
6. 前記管理サーバは、許可情報を前記中間サーバに設定可能であり、
   前記許可情報は、前記中間サーバからの前記第１情報の受信及び前記中間サーバへの前記第２情報の送信が、許可されていることを前記外部情報通信機器に認識させる情報である
   請求項１〜５のいずれか１項に記載の管理システム。
7. 前記外部情報通信機器は、
   前記第１情報を前記管理サーバから受信するとともに、前記第２情報を前記管理サーバに送信することが可能に構成された管理エージェントと、
   前記第１情報を前記中間サーバから受信するとともに、前記第２情報を前記中間サーバに送信する中継エージェントと、
   を備え、
   前記管理エージェントは、前記中継エージェントを前記管理サーバであるとみなして、前記第１情報を前記中継エージェントから受信するとともに、前記第２情報を前記中継エージェントに送信する
   請求項１〜６のいずれか１項に記載の管理システム。
8. 情報通信機器が接続されたＬＡＮに接続されて、前記情報通信機器に管理のための情報を含む第１情報を提供するとともに、前記情報通信機器の動作情報を示す情報を含む第２情報を収集することにより前記情報通信機器を管理する管理サーバであって、
   前記ＬＡＮに接続された前記情報通信機器に提供されるべき前記第１情報を、前記ＬＡＮに接続された前記情報通信機器に提供するとともに、前記ＬＡＮ外にある外部情報通信機器がアクセス可能な中間サーバにも送信するよう構成され、
   前記管理サーバに提供されるべき前記第２情報を、前記ＬＡＮに接続された前記情報通信機器から受信するとともに、前記中間サーバからも受信するよう構成されている
   ことを特徴とする管理サーバ。
9. 請求項７記載の管理サーバによって管理される情報通信機器であって、
   前記管理サーバからＬＡＮに接続された内部情報通信機器に提供されるべき第１情報を、前記管理サーバがアクセス可能な中間サーバに前記ＬＡＮ外からアクセスすることで受信するよう構成され、
   前記管理サーバに提供されるべき第２情報を、前記中間サーバに対して、前記ＬＡＮ外から送信するよう構成されている
   ことを特徴とする情報通信機器。
10. コンピュータを、請求項８記載の管理サーバとして機能させるためのコンピュータプログラム。
11. コンピュータを、請求項９記載の情報通信機器として機能させるためのコンピュータプログラム。

Images