JP2014526809A - ネットワーク管理サービスシステム、制御装置、方法およびプログラム - Google Patents

Abstract

【課題】集中制御型のネットワークにおける遠隔地からのネットワーク保守・管理機能の提供。
【解決手段】ネットワーク管理サービスシステムは、ユーザから通信ポリシの更新を受け付け、ユーザ毎に通信ポリシを管理するポリシ管理装置と、前記ユーザからの要求に応じて、当該ユーザの通信ポリシに対応するパケットの処理規則を生成し、転送ノードに設定する制御装置と、前記制御装置が生成した処理規則を用いてパケットを処理する転送ノードと、を含む。
【選択図】図１

Description

（関連出願についての記載）
本発明は、日本国特許出願：特願２０１１−１９７５１８号（２０１１年９月９日出願）の優先権主張に基づくものであり、同出願の全記載内容は引用をもって本書に組み込み記載されているものとする。
本発明は、ネットワーク管理サービスシステム、制御装置、方法およびプログラムに関し、特に、転送ノードと、転送ノードを集中制御する制御装置およびこの制御装置を含むネットワーク管理サービスシステム、方法およびプログラムに関する。

近年、オープンフロー（ＯｐｅｎＦｌｏｗ）という技術が提案されている（特許文献１、非特許文献１、２参照）。オープンフローは、通信をエンドツーエンドのフローとして捉え、フロー単位で経路制御、障害回復、負荷分散、最適化を行うものである。非特許文献２に仕様化されているオープンフロースイッチは、オープンフローコントローラとの通信用のセキュアチャネルを備え、オープンフローコントローラから適宜追加または書き換え指示されるフローテーブルに従って動作する。フローテーブルには、フロー毎に、パケットヘッダと照合する内容が定められたマッチフィールド（Ｍａｔｃｈ Ｆｉｅｌｄｓ）と、フロー統計情報（Ｃｏｕｎｔｅｒｓ）と、処理内容を定義したインストラクション（Ｉｎｓｔｒｕｃｔｉｏｎｓ）と、の組が定義される（図１８参照）。

例えば、オープンフロースイッチは、パケットを受信すると、フローテーブルから、受信パケットのヘッダ情報に適合するマッチフィールド（図１８参照）を持つエントリを検索する。検索の結果、受信パケットに適合するエントリが見つかった場合、オープンフロースイッチは、フロー統計情報（カウンタ）を更新するとともに、受信パケットに対して、当該エントリのインストラクションフィールドに記述された処理内容（指定ポートからのパケット送信、フラッディング、廃棄等）を実施する。一方、検索の結果、受信パケットに適合するエントリが見つからなかった場合、オープンフロースイッチは、セキュアチャネルを介して、オープンフローコントローラに対してエントリ設定の要求、即ち、受信パケットの処理内容の決定の要求を送信する。オープンフロースイッチは、要求に対応するフローエントリを受け取ってフローテーブルを更新する。このように、オープンフロースイッチは、フローテーブルに格納されたエントリを処理規則として用いてパケット転送を行う。

特許文献１の［００５２］には、オープンフローコントローラが、新規フロー発生時にポリシーファイルを参照してパーミッションチェックを行い、その後に、経路を計算することによりアクセス制御を行っていると記載されている。

特許文献２に、複数の端局装置及び中央端局装置を監視制御するネットワーク監視制御装置とを有し、ネットワーク監視制御装置のメモリ部に、端局装置及び中央端局装置の監視情報を記憶するネットワーク監視制御システムであって、ネットワーク監視制御システムは、一の端局装置に接続する遠隔監視制御装置を有し、遠隔監視制御装置は、端局装置を通じて、ネットワーク監視制御装置のメモリ部にアクセス可能とし、メモリ部に記憶した監視情報を表示出力するマンマシンインタフェース部を有し、メモリ部に記憶した監視情報に基づいて、端局装置及び中央端局装置を監視制御するようにしたネットワーク監視制御システムが開示されている。特許文献２のネットワーク監視制御システムは、このような遠隔監視制御装置を設ける構成により、ネットワーク監視制御装置のない遠隔地からの中央端局装置及び各端局装置の監視制御を実現している。

国際公開第２００８／０９５０１０号 特開２００２−０５１０４０号公報

Ｎｉｃｋ ＭｃＫｅｏｗｎほか７名、"ＯｐｅｎＦｌｏｗ： Ｅｎａｂｌｉｎｇ Ｉｎｎｏｖａｔｉｏｎ ｉｎ Ｃａｍｐｕｓ Ｎｅｔｗｏｒｋｓ"、［ｏｎｌｉｎｅ］、［平成２３（２０１１）年９月１日検索］、インターネット〈URL: http://www.openflow.org/documents/openflow-wp-latest.pdf〉 "ＯｐｅｎＦｌｏｗ Ｓｗｉｔｃｈ Ｓｐｅｃｉｆｉｃａｔｉｏｎ" Ｖｅｒｓｉｏｎ １．１．０ Ｉｍｐｌｅｍｅｎｔｅｄ （Ｗｉｒｅ Ｐｒｏｔｏｃｏｌ ０ｘ０２）［ｏｎｌｉｎｅ］［平成２３（２０１１）年９月１日検索］、インターネット〈URL:http://www.openflow.org/documents/openflow-spec-v1.1.0.pdf〉

上記の特許文献および非特許文献の各開示を、本書に引用をもって繰り込むものとする。以下の分析は、本発明によって与えられたものである。
特許文献２に記載されているような技術を用いて、遠隔地からのネットワーク機器の保守サービスや管理・監視サービスなどの事業を展開している企業がある。特許文献１および非特許文献１、２に記載のオープンフローを用いたネットワークにおいても、ネットワークの利用者が位置する遠隔地から前記ポリシーファイル等の内容を変更して即座にその変更内容に応じたアクセス制御を適用したいという要請がある。

特許文献２では省略されているが、特許文献２の技術では、遠隔監視制御装置を端局装置とを接続するだけでは足りず、遠隔監視制御装置とネットワーク監視制御装置との間の通信を可能にするための様々な設定作業が必要となる。また、このような設定作業は、ネットワークの保守担当者が、各遠隔地の現場に赴き、人手でその設定作業を行っているのが実情である。

特許文献１および非特許文献１、２に記載のオープンフローを用いたネットワークにおいても、特許文献２と事情は変わらず、変更後のポリシーに従って、人手で利用者側の装置と所望のリソース間の通信を実現するための設定作業をしなければならない、という問題点がある。

本発明は、上記した事情に鑑みてなされたものであって、その目的とするところは、特許文献１および非特許文献１、２に記載のオープンフローを用いたネットワークの利用者に対し、遠隔地からのネットワーク保守・管理機能を提供することのできるネットワーク管理サービスシステム、方法およびプログラムを提供することにある。

本発明の第１の視点によれば、ユーザ毎に通信ポリシを管理し、前記ユーザから通信ポリシの更新を受け付けるポリシ管理装置と、前記ユーザからの要求に応じて、前記ユーザに対する通信ポリシに対応するパケットの処理規則を生成し、転送ノードに設定する制御装置と、前記制御装置が生成した処理規則を用いてパケットを処理する転送ノードと、
を含むネットワーク管理サービスシステムが提供される。

本発明の第２の視点によれば、ユーザ毎に通信ポリシを管理し、前記ユーザから通信ポリシの更新を受け付けるポリシ管理装置と、設定された処理規則を用いてパケットを処理する転送ノードと、に接続され、前記ユーザからの要求に応じて、前記ユーザに対する通信ポリシに対応するパケットの処理規則を生成し、前記転送ノードに設定する制御装置が提供される。

本発明の第３の視点によれば、ユーザから通信ポリシの更新内容を受け付けて、ユーザ毎に通信ポリシを管理するステップと、前記ユーザからの要求に応じて、前記ユーザに対する通信ポリシに対応するパケットの処理規則を生成し、転送ノードに設定するステップと、前記設定された処理規則を用いて、パケットを処理するステップと、を含むネットワーク管理サービス方法が提供される。本方法は、処理規則によって前記転送ノードを制御するコンピュータという、特定の機械に結びつけられている。

本発明の第４の視点によれば、ユーザから通信ポリシの更新内容を受け付けて、ユーザ毎に通信ポリシを管理する処理と、前記ユーザからの要求に応じて、前記ユーザに対する通信ポリシに対応するパケットの処理規則を生成し、転送ノードに設定する処理と、前記制御装置を構成するコンピュータに実行させるプログラムが提供される。なお、このプログラムは、コンピュータが読み取り可能な記憶媒体に記録することができる。即ち、本発明は、コンピュータプログラム製品として具現することも可能である。

本発明によれば、オープンフローに代表される集中制御型のネットワークにおける遠隔地からのネットワーク保守・管理機能を提供することが可能になる。

本発明の第１の実施形態のネットワーク管理サービスシステムの構成を表した図である。 本実施形態における認証装置に保持される認証情報の一例である。 本実施形態の通信ポリシ記憶部が記憶する通信ポリシ情報の一例である。 本実施形態の通信ポリシ記憶部が記憶するリソース情報の一例である。 本実施形態のポリシ管理装置が図２、図３、図４に示した情報から作成されるユーザＩＤ：ｕｓｅｒ１を持つユーザの通信ポリシである。 本実施形態において、ユーザがポリシ制御部においてポリシを作成するアプリケーションの画面例である。 本実施形態の制御装置１００の詳細構成を表したブロック図である。 本実施形態の一連の動作を表したシーケンス図である。 本実施形態のパケットの転送処理の一連の動作を表したシーケンス図である。 本実施形態のポリシ管理システムの一連の動作を表したシーケンス図である。 第２の実施形態のネットワーク管理サービスシステムの構成を表した図である。 第２の実施形態のローカル制御装置と、ローカルポリシ管理装置とが、ネットワーク管理サービスシステムにある制御装置と、ポリシ管理装置と同期する処理の一連の動作を表したシーケンス図である。 第３の実施形態のネットワーク管理サービスシステムの構成を表した図である。 第４の実施形態のネットワーク管理サービスシステムの構成を表した図である。 第４の実施形態のネットワーク管理サービスシステムの一連の動作を表したシーケンス図である。 第５の実施形態のネットワーク管理サービスシステムの構成を表した図である。 第５の実施形態のネットワーク管理サービスシステムの一連の動作を表したシーケンス図である。 非特許文献２に記載のフローエントリの構成を表した図である。

はじめに本発明の概要について図面を参照して説明する。本発明は、図１に示すように、制御装置１００から設定された処理規則にしたがって、パケットを処理する転送ノード２１０、２２０、２３０と、前記転送ノードに接続されるユーザ端末４００の処理規則を決定するためのポリシを管理するポリシ管理装置３００と、前記ポリシ管理装置３００が管理するユーザ毎のポリシに基づいて、前記転送ノードに接続されるユーザの端末の処理規則を生成し、前記転送ノードに設定する制御装置１００と、により実現できる。なお、この概要に付記した図面参照符号は、理解を助けるための一例として各要素に便宜上付記したものであり、本発明を図示の態様に限定することを意図するものではない。

より具体的には、ポリシ管理装置３００は、通信ポリシとして各ユーザに付与されているアクセス権限を記憶する通信ポリシ記憶部３１０と、前記通信ポリシ記憶部３１０に記憶される各ユーザの通信ポリシに対して、ユーザからの作成や設定変更などを受け付け、その結果を通信ポリシ記憶部３１０や制御装置１００に提供するポリシ制御部３２０とを備える。前記ポリシ制御部３２０は、ユーザ認証の結果に基づき、認証に成功したユーザのアクセス権限に関する情報を制御装置１００に提供する。制御装置１００は、前記ポリシ管理装置３００から受信したアクセス権限に関する情報に基づいて、前記認証に成功したユーザ端末４００とユーザがアクセス可能なリソース５００との間の経路を作成し、該経路上の転送ノードに処理規則を設定する。

以上により、ユーザに与えられたアクセス権限に応じ、アクセス可能なリソース５００を判別し、さらに、フロー毎に経路を設定してアクセスを行わせ、さらに、転送ノードにおけるパケットの転送を実行することが可能になる。さらに、図１の構成によれば、ユーザからのポリシの作成や設定変更を受け付け、その結果に基づいて自動的に処理規則の作成や修正を行い、設定変更が必要となる転送ノードに自動的に再設定することが可能になる。なお、処理規則には、有効期限を設け、転送ノード２１０、２２０および２３０に設定されてから、または、最後に照合規則に適合するパケットを受信してから、前記有効期限が経過した場合に、当該処理規則を削除するようにしてもよい。

［第１の実施形態］
続いて、本発明の第１の実施形態について、詳細に説明する。本発明の第１の実施形態のネットワーク管理サービスシステムは、図１に示した通り、複数の転送ノード２１０〜２３０で構成される企業などのネットワークと、これら転送ノードに処理規則を設定する制御装置１００と、制御装置１００に通信ポリシを通知するポリシ管理装置３００と、を含んだ構成となっている。

なお、図１においては省略されているが、本実施形態では、ユーザの認証処理と、その認証結果を示す認証情報を提供する認証装置が含まれているものとする。認証装置は、例えば、パスワードや生体認証情報等を用いてユーザ端末４００とユーザ認証手続きを行う認証サーバ等であり、ユーザ端末４００からアクセス可能な位置に配設される。認証装置は、ポリシ管理装置３００に対し、ユーザ端末４００とのユーザ認証手続きの結果を示す認証情報を送信する。

図２は、認証装置に保持される認証情報の一例である。例えば、ユーザＩＤがｕｓｅｒ１であるユーザの認証に成功した場合、認証装置は、ポリシ管理装置３００に対し、ｕｓｅｒ１、ＩＰアドレス：１９２．１６８．１００．１、ＭＡＣアドレス：００−００−００−４４−５５−６６という属性、ロールＩＤ：ｒｏｌｅ＿０００１、ｒｏｌｅ＿０００２というｕｓｅｒ１のエントリを認証情報として送信する。同様に、ユーザＩＤがｕｓｅｒ２であるユーザの認証に成功した場合、ポリシ管理装置３００に対し、ｕｓｅｒ２、ＩＰアドレス：１９２．１６８．１００．２、ＭＡＣアドレス：００−００−００−７７−８８−９９という属性、ロールＩＤ：ｒｏｌｅ＿０００２というｕｓｅｒ２のエントリを認証情報として送信する。

なお、前記認証情報は、ポリシ管理装置３００が該当ユーザに付与されている通信ポリシを決定可能な情報であればよく、図２の例に限定するものではない。例えば、認証に成功したユーザのユーザＩＤや当該ユーザＩＤから導出したロールＩＤ、ＭＡＣアドレス等のアクセスＩＤ、ユーザ端末４００の位置情報、あるいは、これらの組み合わせを認証情報として用いることができる。もちろん、認証情報として、認証に失敗したユーザの情報をポリシ管理装置３００に送信し、ポリシ管理装置３００が当該ユーザからのアクセスを制限する通信ポリシを制御装置１００に送信するようにしてもよい。さらには、認証情報に代えて、単にユーザＩＤ、ロールＩＤまたはユーザ端末４００の位置情報を用いることもできる。

転送ノード２１０〜２３０は、受信パケットと照合する照合規則（図１８のマッチフィールド参照）と前記照合規則に適合するパケットに適用する処理内容とを対応付けた処理規則に従って、受信パケットを処理するスイッチング装置である。このような転送ノード２１０〜２３０としては、図１８に示すフローエントリを処理規則として動作する非特許文献２のオープンフロースイッチを用いることもできる。また、図１の転送ノード２１０には、リソース５００が接続されており、ユーザ端末４００は、転送ノード２１０〜２３０を介して、リソース５００と通信可能となっている。

ポリシ管理装置３００は、通信ポリシ記憶部３１０と、ポリシ制御部３２０とを備えて構成される。ポリシ管理装置３００は、認証装置からの認証情報の受信、ユーザ端末４００からのユーザＩＤ等の受信、制御装置１００からの通信ポリシの送信要求等のタイミングで、該当するユーザの通信ポリシを決定し、制御装置１００に対して送信する。

図３は、通信ポリシ記憶部３１０が記憶する通信ポリシ情報の一例である。図３の例では、ロールＩＤにて識別されるロール毎に、リソースのグループに与えられたリソースグループＩＤと、アクセス権限を設定した通信ポリシ情報が示されている。例えば、ロールＩＤ：ｒｏｌｅ＿０００１を持つユーザは、リソースグループＩＤ：ｒｅｓｏｕｒｃｅ＿ｇｒｏｕｐ＿０００１、ｒｅｓｏｕｒｃｅ＿ｇｒｏｕｐ＿０００２の双方へのアクセスが許可されている。他方、ロールＩＤ：ｒｏｌｅ＿０００２のユーザは、リソースグループＩＤ：ｒｅｓｏｕｒｃｅ＿ｇｒｏｕｐ＿０００１へのアクセスは禁止され、ｒｅｓｏｕｒｃｅ＿ｇｒｏｕｐ＿０００２へのアクセスが許可されている。

また、図４は、通信ポリシ記憶部３１０が記憶するリソース情報の一例である。図４の例では、上記したリソースグループＩＤに属するリソースのリソースＩＤやその詳細属性を対応付けた内容となっている。例えば、リソースグループＩＤ：ｒｅｓｏｕｒｃｅ＿ｇｒｏｕｐ＿０００１で特定されるグループには、ｒｅｓｏｕｒｃｅ＿０００１、ｒｅｓｏｕｒｃｅ＿０００２、ｒｅｓｏｕｒｃｅ＿０００３を持つリソースが含まれ、それぞれのＩＰアドレスやＭＡＣアドレスやサービスに利用するポート番号などを特定できるようになっている。

ポリシ管理装置３００は、上記のような通信ポリシ情報およびリソース情報を参照して、認証装置にて認証を受けたユーザの通信ポリシを決定し、制御装置１００に通知する。例えば、認証装置から受信した認証情報に含まれるロールＩＤにて、図３のポリシ情報から該当するロールＩＤに紐付けられたリソースグループＩＤとそのアクセス権限の内容を特定することができる。そして、図４のリソース情報からリソースグループＩＤに属するリソースの情報を用いて通信ポリシを作成する。

図５は、図２、図３、図４に示した情報から作成され、制御装置１００に提供されるユーザＩＤ：ｕｓｅｒ１を持つユーザの通信ポリシである。図５の送信元フィールドには、図２の認証情報のユーザＩＤ：ｕｓｅｒ１の属性情報の値が設定されている。また、宛先フィールドには、図３のポリシ情報のロールＩＤ：ｒｏｌｅ＿０００１の内容を元に図４のリソース情報から抽出したリソース属性が設定されている。また、アクセス権限フィールドには、図３のポリシ情報のロールＩＤ：ｒｏｌｅ＿０００１のアクセス権限と同じ値が設定されている。また、条件（オプション）フィールドには、図４のリソース情報のリソース属性フィールドに設定されていたサービスとポート番号が設定されている。

また、ポリシ管理装置３００のポリシ制御部３２０は、ユーザからの通信ポリシの作成や設定変更等を受け付け、その結果を制御装置１００へ提供する仕組み（通信ポリシ編集機能）も持つ。図６は、通信ポリシの編集機能を実現するＷｅｂベースのアプリケーションプログラム（ポリシ管理システム）の画面例である。図６の例では、ポリシ一覧タブが表示されており、図３で示したような通信ポリシ情報が表示される。ユーザは、作成または削除したいポリシにマウスカーソルを当てることで、編集対象の項目を選択し、その内容を自由に変更することができる。また、ユーザはテキスト入力欄（図６では、「ここに新しいポリシを入力してください。」と示す。）から新しいポリシを作成することもできる。ユーザは、すべてのポリシ管理作業を終えた時点で「保存」ボタンをクリックすることで、一連のポリシに関する更新情報がポリシ制御部３２０に保存される。ポリシ制御部３２０は、更新された通信ポリシ情報を通信ポリシ記憶部３１０に記録するとともに、更新された通信ポリシ情報およびリソース情報に基づいてユーザの通信ポリシを作成し、制御装置１００に送信する。

図６の例では、ポリシ一覧タブの他にルール一覧タブやユーザ管理タブがある。ルール一覧タブは、各ポリシに基づいて作成された処理規則（ルール）を一覧表示し、任意に作成、修正、削除等の管理作業を行うことができる機能である。また、ユーザ管理タブは、図６のポリシ管理システム（ポリシ制御部３２０の通信ポリシ編集機能）に対してアクセス権のあるユーザの情報を一覧表示し、任意に作成、修正、削除等の管理作業を行うことができる機能である。図６のポリシ管理システムでは、これらの他にどのような管理機能があってもよい。また、市販製品のような他のポリシ管理システムと、本ポリシ管理システムが連携して、他のポリシ管理システムの機能を本ポリシ管理システムが使えるような仕組みであってもよい。

このように、本実施形態のポリシ制御部３２０は、ユーザに自由にポリシの作成や修正、削除等の管理業務を行えるようになっている。このようなポリシ管理の仕組み（ポリシ管理システム）は、上記したようなＷｅｂベースのシステムとしてユーザに提供してもよいし、独立したＰＣ上で動くアプリケーションとして提供してもよいし、ＧＵＩ（Ｇｒａｐｈｉｃａｌ Ｕｓｅｒ Ｉｎｔｅｒｆａｃｅ）を用いたアプリケーションではなく、ＣＬＩ（Ｃｏｍｍａｎｄ Ｌｉｎｅ Ｉｎｔｅｒｆａｃｅ）を提供してもよいし、どのような形態であってもよい。

制御装置１００は、ポリシ制御部３２０から上記した通信ポリシを受信すると、まず、当該通信ポリシの適用対象となるユーザからのパケットについての処理規則の設定要求を送信させる処理規則を作成し、転送ノード２１０〜２３０から選択した転送ノードに設定する。また、制御装置１００は、前記処理規則により、処理規則の設定要求を受けた場合、当該処理規則の設定要求に含まれるパケット情報に基づいて、パケットの転送経路および該転送経路を実現する処理規則を作成し、当該パケット転送経路上の転送ノードに設定する。

図７は、本実施形態の制御装置１００の詳細構成を表したブロック図である。図７を参照すると、制御装置１００は、転送ノード２１０〜２３０との通信を行うノード通信部１１と、制御メッセージ処理部１２と、処理規則管理部１３と、処理規則記憶部１４と、転送ノード管理部１５と、経路・アクション計算部１６と、トポロジ管理部１７と、端末位置管理部１８と、通信ポリシ管理部１９と、通信ポリシ記憶部２０と、を備えて構成される。これらはそれぞれ次のように動作する。

制御メッセージ処理部１２は、転送ノードから受信した制御メッセージを解析して、制御装置１００内の該当する処理手段に制御メッセージ情報を引き渡す。

処理規則管理部１３は、どの転送ノードにどのような処理規則が設定されているかを管理する。具体的には、経路・アクション計算部１６にて作成された処理規則を処理規則記憶部１４に登録し、転送ノードに設定すると共に、転送ノードからの処理規則削除通知などにより、転送ノードにて設定された処理規則に変更が生じた場合にも対応して処理規則記憶部１４の登録情報をアップデートする。

転送ノード管理部１５は、制御装置１００によって制御されている転送ノードの能力（例えば、ポートの数や種類、サポートするアクションの種類など）を管理する。

経路・アクション計算部１６は、通信ポリシ管理部１９から通信ポリシを受信すると、まず、当該通信ポリシに従い、トポロジ管理部１７に保持されているネットワークトポロジを参照し、当該ユーザからのパケットについての処理規則の設定要求を実行させる処理規則を作成する。なお、処理規則の設定先とする転送ノードは、ユーザ端末４００が接続する可能性のあるすべての転送ノードでもよいし、あるいは、通信ポリシに含まれる送信元情報に基づいて端末位置管理部１８から転送ノード（例えば、図１の転送ノード２１０）を選択してもよい。

また、経路・アクション計算部１６は、上記した処理規則に基づき、処理規則の設定要求を受けると、処理規則の設定要求に含まれるパケット情報に基づいて、当該パケットの転送経路および該転送経路を実現する処理規則を作成する。

具体的には、経路・アクション計算部１６は、端末位置管理部１８にて管理されている通信端末の位置情報とトポロジ管理部１７にて構築されたネットワークトポロジ情報に基づいて、パケットの転送経路を計算する。次に、経路・アクション計算部１６は、転送ノード管理部１５から、前記転送経路上の転送ノードのポート情報等を取得して、前記計算した転送経路を実現するために経路上の転送ノードに実行させるアクションと、当該アクションを適用するフローを特定するための照合規則を求める。なお、前記照合規則は、図５の通信ポリシの送信元ＩＰアドレス、宛先ＩＰアドレス、条件（オプション）等を用いて作成することができる。従って、図５の通信ポリシの１番目のエントリの場合、送信元ＩＰアドレス１９２．１６８．１００．１から宛先ＩＰアドレス１９２．１６８．０．１に宛てられたパケットを、次ホップとなる転送ノードやリソース５００が接続されたポートから転送させるアクションを定めた各処理規則が作成される。なお、上記処理規則の設定の際に、処理規則の設定要求を受けたパケットだけでなく、ユーザ端末がアクセス権を有しているリソースへのパケット転送を実現する処理規則を作成するようにしてしまってもよい。

トポロジ管理部１７は、ノード通信部１１を介して収集された転送ノード２１０〜２３０の接続関係に基づいてネットワークトポロジ情報を構築する。

端末位置管理部１８は、通信システムに接続しているユーザ端末の位置を特定するための情報を管理する。本実施形態では、ユーザ端末を識別する情報としてＩＰアドレスを用い、ユーザ端末の位置を特定するための情報として、ユーザ端末が接続している転送ノードの転送ノード識別子とそのポートの情報を使用するものとして説明する。もちろん、これらの情報に代えて、例えば、認証装置からもたらされる情報等を用いて、端末とその位置を特定するものとしても良い。

通信ポリシ管理部１９は、ポリシ管理装置３００から通信ポリシ情報を受信すると、通信ポリシ記憶部２０に格納するとともに、経路・アクション計算部１６に送信する。

以上のような制御装置１００は、非特許文献１、２のオープンフローコントローラをベースに、上記した通信ポリシの受信を契機とした処理規則（フローエントリ）の作成機能を追加することでも実現できる。

図７に示した制御装置１００の各部（処理手段）は、制御装置１００を構成するコンピュータに、そのハードウェアを用いて、上記した各情報を記憶し、上記した各処理を実行させるコンピュータプログラムにより実現することもできる。

続いて、本実施形態の動作について図面を参照して詳細に説明する。図８と、図９とは、本実施形態の一連の動作を表したシーケンス図である。図８を参照すると、まず、ユーザ端末４００が、認証装置にログイン要求すると、認証装置へのパケット転送が行われる（図８のＳ００１）。

認証装置がユーザ認証を行って（図８のＳ００２）、ポリシ管理装置３００に認証情報を送信すると（図８のＳ００３）、ポリシ管理装置３００は、受信した認証情報に基づいて通信ポリシ記憶部３１０を参照し、通信ポリシを決定し（図８のＳ００４）、制御装置１００に送信する（図８のＳ００５）。

制御装置１００は、前記通信ポリシを受信すると、ユーザ端末からのパケットについての処理規則の設定要求を行わせる処理規則を作成し（図８のＳ００６）、前記処理規則を転送ノード２１０〜２３０に送信する（図８のＳ００７）。転送ノード２１０〜２３０は、制御装置１００から送信される処理規則を設定して（図８のＳ００８）、一連の処理を終了する。

以上の動作を前提動作として、その後、ユーザ端末からパケットが送信される場合の処理の動作について、図９を用いて説明する。

図９は、パケットの転送処理の一連の動作を表したシーケンス図である。図９を参照すると、まず、ユーザ端末４００が、リソース５００宛のパケットを送信する（図９のＳ１０１）。ユーザ端末４００から送信されたパケットは、転送ノード２１０〜２３０へ届く。転送ノードは、ユーザ端末４００から送信されたパケットを受け取り、制御装置１００によって設定された処理規則にしたがってパケットの転送を判定し（図９のＳ１０２）、パケットを転送する（図９のＳ１０３）。以上のようにして、ユーザ端末４００とリソース５００間の通信が可能となる。

次に、ユーザが図６で説明した通信ポリシ編集機能を使用して、ポリシの作成や変更を行う場合の一連の動作を説明する。図１０は、通信ポリシ情報の更新が行われる場合の一連の動作を表したシーケンス図である。図１０を参照すると、まず、ユーザ（ユーザ端末４００を使用するユーザ）は、ポリシ管理装置３００のポリシ制御部３２０にアクセスし、通信ポリシ編集機能の利用を要求する。本説明では、通信ポリシ編集機能を利用する際には、認証装置がユーザ認証を行うことを想定して説明する（図１０のＳ２０１）。

認証装置は、ユーザ認証を行い（図１０のＳ２０２）、ユーザの認証情報をポリシ管理装置３００のポリシ制御部３２０へ送信する（図１０のＳ２０３）。

ポリシ制御部３２０は、ユーザの認証情報を受け取ると、ポリシ管理装置３００の通信ポリシ記憶部３１０から、該当ユーザに関連する全ポリシを検索し（図１０のＳ２０４）、その検索結果をユーザへ表示する（図１０のＳ２０５；図６参照）。ユーザは、例えば、図６のポリシ編集機能を利用して、任意のポリシの変更、ポリシの削除、新規ポリシの作成等を行った後、ポリシ制御部３２０に対して、ポリシの更新依頼を行う（図１０のＳ２０６）。ポリシの更新依頼とは、具体的には、例えば、図６の画面上のポリシ変更ボタンをユーザがクリックする、といった動作によって実現される。

前記ポリシの更新依頼を受け取ったポリシ制御部３２０は、通信ポリシ情報を更新し（図１０のＳ２０７）、その結果を通信ポリシ記憶部３１０へ記録する。さらに、ポリシ制御部３２０は、制御装置１００に対し、更新したポリシに関連する処理規則の更新依頼を送信する（図１０のＳ２０８）。なお、図１０の例では、通信ポリシ記憶部３１０への記録を先に行っているが、制御装置１００への更新依頼を送信を先に行っても良い。即ち、更新された通信ポリシ情報を通信ポリシ記憶部３１０へ記録するタイミングは、ポリシ管理装置３００が制御装置１００に対し更新依頼を送信する前であってもよいし、後であってもよいし、同時であってもよい。

制御装置１００は、ポリシ管理装置３００から処理規則の更新依頼を受け取ると、更新された通信ポリシに用いて処理規則を再作成し（図１０のＳ２０９）、転送ノード２１０〜２３０へ送信する（図１０のＳ２１０）。

転送ノード２１０〜２３０は、制御装置１００から送信される処理規則を設定して（図１０のＳ２１１）、一連の処理を終了する。

以上のようにして、ユーザは、ポリシ管理装置３００のポリシ制御部３２０が提供するポリシ編集機能を利用することで、ポリシの作成、修正、削除といった管理作業をＷｅｂベースで実行することが可能となる。また、前記ポリシの作成、修正、削除の内容は、制御装置１００を通じて、各転送ノードに設定されている処理規則に自動的に反映される。例えば、前記ポリシ編集機能を利用して、あるロールについて、アクセス権限をアクセス可（ａｌｌｏｗ）から、アクセス不可（ｄｅｎｙ）に変更すると、その内容を実現するように、転送ノード２１０〜２３０に、当該ユーザからのパケットの廃棄等を実行させる処理規則が自動的に設定される。

以上のように、本実施形態によれば、ネットワークの有識者が現地に赴き、人手で当該ネットワーク機器の設定を行う作業を不要にし、ネットワークの管理業務を削減することが可能となる。

［第２の実施形態］
続いて、本発明の第２の実施形態について説明する。図１１は、本発明の第２の実施形態のネットワーク管理サービスシステムの構成を表した図である。以下、上記した第１の実施形態の構成および動作の相違点を中心に説明する。

図１１を参照すると、本発明の第２の実施形態のネットワーク管理サービスシステムの構成が示されている。複数の転送ノード２１０〜２３０と、これら転送ノードに処理規則を設定する制御装置１００Ａと、制御装置１００Ａに通信ポリシを通知するポリシ管理装置３００Ａと、を含む構成は、本発明の第１の実施形態と同様である。第２の実施形態では、第１の実施形態の構成と比較して、転送ノード２１０〜２３０で構成される企業等のネットワーク上に、これら転送ノードに設定される処理規則を設定するローカル制御装置１０１と、ローカル制御装置１０１に通信ポリシを通知するローカルポリシ管理装置３０１とが追加されている。

ローカル制御装置１０１は、ネットワーク管理サービスシステムの制御装置１００Ａと同期し、転送ノード２１０〜２３０に設定される処理規則を管理する。また、ローカルポリシ管理装置３０１は、ネットワーク管理サービスシステムのポリシ管理装置３００Ａと同期し、ユーザの通信ポリシを管理する。

以下本実施形態では、ローカル制御装置１０１とローカルポリシ管理装置３０１とが、制御装置１００Ａとポリシ管理装置３００Ａと同期しながら動作するものとして説明するが、ローカル制御装置１０１およびローカルポリシ管理装置３０１は、企業等のネットワーク上で制御装置１００Ａやポリシ管理装置３００Ａとは独立して動作することも可能である。ローカル制御装置１０１およびローカルポリシ管理装置３０１がどちらの形態で動作するかをユーザが自由に選択できるようにしてもよい。

以下、第２の実施形態における動作の詳細を説明する。図１２は、ローカル制御装置１０１と、ローカルポリシ管理装置３０１とが、制御装置１００Ａと、ポリシ管理装置３００Ａと同期する処理の一連の動作を表したシーケンス図である。ユーザ認証の処理手順については、第１の実施形態と同様であるため、説明を省略する。

まず、ユーザは、ローカルポリシ管理装置３０１が持つポリシ編集機能を通じて、ポリシの更新依頼を行う（図１２のＳ３０１）。ローカルポリシ管理装置３０１は、ユーザからのポリシ更新依頼を受けて、通信ポリシ情報を更新する（図１２のＳ３０２）。

さらに、ローカルポリシ管理装置３０１は、ローカル制御装置１０１に対し、更新したポリシに関連する処理規則の更新依頼を送信する（図１２のＳ３０３）。

ローカル制御装置１０１は、ローカルポリシ管理装置３０１から処理規則の更新依頼を受け取ると、更新された通信ポリシに用いて処理規則を作成する（図１２のＳ３０４）。

ローカルポリシ管理装置３０１は、ローカル制御装置１０１へ処理規則の変更依頼を送信した後、ポリシ管理装置３００Ａに対し、変更のあった通信ポリシ情報を送信する（図１２のＳ３０５）。

ポリシ管理装置３００Ａのポリシ制御部３２０Ａは、通信ポリシ記憶部３１０に、ローカルポリシ管理装置３０１から受信した通信ポリシ情報を登録する（図１２のＳ３０６）。

また、ローカル制御装置１０１は、制御装置１００Ａに対し、処理規則の更新を完了した後、変更のあった処理規則を送信する（図１２のＳ３０７）。

制御装置１００Ａは、ローカル制御装置１０１から受け取った処理規則を、転送ノード２１０〜２３０へ設定する。なお、転送ノード２１０〜２３０への処理規則の設定は、ローカル制御装置１０１が処理規則の更新（図１２のＳ３０４）の後に行ってもよいし、上述のように、制御装置１００Ａが行ってもよい。

また、ユーザからのポリシ変更の受け付けは、ポリシ管理装置３００Ａが行い、制御装置１００Ａの処理結果を、ローカルポリシ管理装置３０１と、ローカル制御装置１０１とが受け取るという同期方法であってもよい。

以上のようにして、例えば、制御装置１００Ａやポリシ管理装置３００Ａが故障等により使用不可になった場合や、制御装置１００Ａと転送ノード２１０〜２３０間のネットワークに障害が発生した場合においても、いずれか一方が他方に業務の継続依頼を発行することによって、ユーザにネットワーク管理業務を継続させることが可能となる。その理由は、制御装置１００Ａとポリシ管理装置３００Ａとそれぞれ同期して動作するローカル制御装置１０１とローカルポリシ管理装置３０１をユーザ側のネットワーク上に配置したことにある。また、ユーザから見てインターネットや広域ネットワークを利用しないで済むため、ポリシの作成や処理規則の作成等の処理速度を大幅に向上することも可能となる。また本実施形態では、これらによって、ネットワーク管理サービスシステム全体の信頼性の向上も達成されている。

［第３の実施形態］
続いて、本発明の第３の実施形態について説明する。図１３は、本発明の第３の実施形態のネットワーク管理サービスシステムの構成を表した図である。以下、上記した第１の実施形態の構成および動作の相違点を中心に説明する。

図１３に示すとおり、複数の転送ノード２１０〜２３０と、これら転送ノードに処理規則を設定する制御装置１００Ｂと、制御装置１００Ｂに通信ポリシを通知するポリシ管理装置３００Ｂと、を含む構成は、本発明の第１の実施形態と同様である。第３の実施形態では、第１の実施形態の構成と比較して、制御装置１００Ｂ側に、転送ノード（補助転送ノード）２４０と、リソース（補助リソース）５１０とが追加されている。

転送ノード２４０は、転送ノード２１０〜２３０と同様の装置であり、リソース５１０は、リソース５００と同様のサーバやデータベース等のシステムリソースである。

なお、制御装置１００Ｂと、ポリシ管理装置３００Ｂとの動作は、転送ノード２４０とリソース５１０とを利用可能である点を除き、第１の実施形態と同様であるため、説明を省略する。

このような第３の実施形態の構成によって、例えば、転送ノード２１０〜２３０と、リソース５００とが提供するサービスと、転送ノード２４０と、リソース５１０とが提供するサービスとをひとつの制御装置１００Ｂとポリシ管理装置３００Ｂとで管理することが可能になる。

これらの転送ノードとリソースは、それぞれ物理的に異なる場所に配置されるが、ユーザから見てあたかもひとつの場所へアクセスしているようになる。これによって、例えば、転送ノードやリソースに高負荷や障害が発生し、ユーザへサービスが提供できなくなるような事態が起こった場合でも、転送ノードとリソースのユーザからのアクセス先を変更することで、シームレスにサービスを提供し続けることが可能になる。

［第４の実施形態］
続いて、本発明の第４の実施形態について説明する。図１４は、本発明の第４の実施形態のネットワーク管理サービスシステムの構成を表した図である。以下、上記した第１の実施形態の構成および動作の相違点を中心に説明する。

図１４に示すとおり、複数の転送ノード２１０〜２３０と、これら転送ノードに処理規則を設定する制御装置１００と、制御装置１００に通信ポリシを通知するポリシ管理装置３００Ｃと、を含む構成は、本発明の第１の実施形態と同様である。

第４の実施形態では、第１の実施形態の構成と比較して、ポリシ管理装置３００Ｃが保有するユーザ毎の通信ポリシ情報を元にして、リソースのアクセス権を作成するリソース処理規則生成部６００が追加されている。

リソース処理規則生成部６００は、ポリシ管理装置３００Ｃの通信ポリシ記憶部３１０から、ユーザ毎の通信ポリシ情報を受け取り、それら通信ポリシ情報を元にしてリソースに対するアクセス可否をリソースに対するアクセス権として、リソース用処理規則を作成し、それらをリソース５００Ｃに設定する。

例えば、リソース処理規則生成部６００は、図５に示した通信ポリシの例を元にして、リソース用処理規則を生成する。図５の２行目「送信元が１９２．１６８．１００．１で、宛先が１９２．１６８．０．１で、アクセス権限がａｌｌｏｗで、条件（オプション）が８０／ｔｃｐ」である通信ポリシを元にして、ＩＰアドレスが「１９２．１６８．０．１」を持つリソースに対して、送信元が「１９２．１６８．１００．１」で条件（オプション）が「８０／ｔｃｐ」の場合にアクセスを許可するリソース用処理規則を作成し、その処理規則を該当するリソースへ送信し設定する。

ここで、リソース用処理規則の作成は、ポリシ管理装置３００Ｃが保有する通信ポリシ情報に基づいて作成してもよいし、制御装置１００が生成した処理規則に基づいて作成してもよい。

ここで、リソース側では、例えば、リソースがサーバの場合、ｉｐｔａｂｌｅｓなどのパケットフィルタリング機能を用いて、その機能に上記リソース用処理規則を設定してもよいし、市販のアクセス権管理システムに上記リソース用処理規則を送信し、そのアクセス権管理システムが各種リソースのアクセス権を設定するような仕組みであってもよい。

また、リソース処理規則生成部６００は、制御装置１００またはポリシ管理装置３００Ｃの一機能として実現することも可能である。

以下、第４の実施形態における動作の詳細を説明する。図１５は、第４の実施形態のネットワーク管理サービスシステムの一連の動作を表したシーケンス図である。図１５を参照すると、ユーザが認証装置を通じてユーザ認証を行いその結果をポリシ管理装置３００Ｃへ送信し、ポリシ管理装置３００Ｃが該当ユーザの通信ポリシを決定しその結果を制御装置１００に送信し、制御装置１００が該当ユーザの通信ポリシを用いて処理規則を生成し、その結果を転送ノード２１０〜２３０に設定するまで処理（図１５のＳ４０１からＳ４０８まで）は、第１の実施形態と同様であるため、説明を省略する。

ポリシ管理装置３００Ｃのポリシ制御部３２０Ｃは、ユーザ認証に成功した該当ユーザの通信ポリシをリソース処理規則生成部６００へ送信する（図１５のＳ４０９）。

リソース処理規則生成部６００は、ポリシ管理装置３００Ｃから受け取った該当ユーザの通信ポリシに基づいて、リソース用の処理規則を生成し（図１５のＳ４１０）、そのリソース用処理規則をリソース５００Ｃへ送信する（図１５のＳ４１１）。

リソース５００Ｃは、リソース処理規則生成部６００から受け取った該当ユーザのリソース用処理規則を設定して（図１５のＳ４１２）、一連の処理を終了する。ここで、ポリシ管理装置３００Ｃが通信ポリシをリソース処理規則生成部６００へ送信するタイミングは、ポリシ管理装置３００Ｃが転送ノードに設定する処理規則を制御装置１００に送信するタイミングの後であってもよいし、先であってもよいし、同時であってもよい。

以上のように、本実施形態によれば、リソース処理規則生成部６００がリソース５００Ｃにおけるアクセス権であるリソース用処理規則を生成して、リソース５００Ｃへ直接設定することで、転送ノード２１０〜２３０におけるパケット処理の一部をリソース（サーバ）側で任意に負担されることができ、リソースを含めたネットワーク全体のパケット処理の分散を行うことが可能となる。

また、本実施形態によれば、転送ノード２１０〜２３０において、特定のユーザ端末からリソースに対するアクセスを拒否する処理規則がある場合、その処理規則と同等のアクセスを拒否する処理規則をリソース側にも設定することで、二重のアクセス拒否の対策を実施することができ、セキュリティや信頼性を高めることが可能となる。

［第５の実施形態］
続いて、本発明の第５の実施形態について説明する。図１６は、本発明の第５の実施形態のネットワーク管理サービスシステムの構成を表した図である。以下、上記した第１の実施形態の構成および動作の相違点を中心に説明する。

図１６に示すように、複数の転送ノード２１０〜２３０と、これら転送ノードに処理規則を設定する制御装置１００Ｄと、制御装置１００Ｄに通信ポリシを通知するポリシ管理装置３００と、を含む構成は、本発明の第１の実施形態と同様である。第５の実施形態では、第１の実施形態の構成と比較して、転送ノード２１０〜２３０の稼働状況やネットワークトポロジの変更等を監視する監視装置７００が追加されている。

監視装置７００は、転送ノード２１０〜２３０の稼働状況（故障）や転送ノードの追加や削除等による物理的なネットワークトポロジの変更等を常時監視し、上記のような変化が生じた場合に、制御装置１００Ｄに対し、その内容を通知する。

制御装置１００Ｄは、監視装置７００から前記通知を受信すると、ポリシ管理装置３００の通信ポリシ記憶部３１０に記憶される通信ポリシにしたがって、処理規則を再生成し、転送ノード２１０〜２３０、または新しく追加された転送ノードに、前記再生成した処理規則を設定する。

監視装置７００は、ポリシ管理装置３００や制御装置１００Ｄと連動して動作してもよいし、ポリシ管理装置３００や制御装置１００Ｄとは独立して動作してもよい。また、監視装置７００は、ポリシ管理装置３００や制御装置１００Ｄの一機能として含めて動作させてもよい。

以下、第５の実施形態における動作の詳細を説明する。図１７は、第５の実施形態のネットワーク管理サービスシステムの一連の動作を表したシーケンス図である。ここでは、監視装置７００が転送ノード２１０〜２３０を監視しており、転送ノード２１０が故障したことを監視装置７００が検知して、それに応じて処理規則を再設定するまでの一連の処理の流れを説明する。

まず、監視装置７００は、転送ノード２１０〜２３０を常時監視している（図１７のＳ５０１）。監視の方法は、転送ノード２１０〜２３０からＬＬＤＰ（ＬｉｎｋＬａｙｅｒＤｉｓｃｏｖｅｒｙＰｒｏｔｏｃｏｌ）を受信する仕組みを用いてもよいし、市販されているネットワーク管理システム等の転送ノード監視機能と連動してもよいし、どのような仕組みであってもよい。

監視装置７００は、転送ノード２１０〜２３０を監視中に、転送ノード２２０で故障が発生したことを検知すると（図１７のＳ５０２）、制御装置１００Ｄに対し、転送ノード２２０に故障が発生したことを通知する（図１７のＳ５０３）。

制御装置１００Ｄは、監視装置７００から転送ノード２２０の故障の通知を受け取ると、制御装置１００Ｄの内部で管理しているネットワークトポロジの構成を更新する（図１７のＳ５０４）。

さらに、制御装置１００Ｄは、更新したネットワークトポロジに応じた処理規則を再生成するため、ポリシ管理装置３００に通信ポリシの確認依頼を送信する（図１７のＳ５０５）。

ポリシ管理装置３００は、制御装置１００Ｄから通信ポリシの確認依頼を受け取ると、通信ポリシ記憶部３１０に記憶される通信ポリシに変更がないか否かを確認し（図１７のＳ５０６）、その結果を制御装置１００Ｄに送信する（図１７のＳ５０７）。

通信ポリシの結果を送信する際、通信ポリシ記憶部３１０の通信ポリシに変更があった場合、ポリシ管理装置３００は、制御装置１００Ｄに対し、確認結果とともに、その変更のあった通信ポリシを送信する。

制御装置１００Ｄは、ポリシ管理装置３００から通信ポリシの通知を受け取ると、その通信ポリシにしたがって、処理規則を再生成し（図１７のＳ５０８）、再生成した処理規則を転送ノード２１０、２３０に送信する（図１７のＳ５０９）。

転送ノード２１０、２３０は、制御装置１００Ｄから受け取った処理規則を再設定して（図１７のＳ５１０）、一連の処理を終了する。

以上のようにして、監視装置７００が転送ノード２１０〜２３０の稼働状態やネットワークトポロジの変更、転送ノードの追加や削除等を常時監視し、前記故障等の異常を検知した場合、制御装置１００Ｄへ転送ノードの異常の通知が行われる。

制御装置１００Ｄおよびポリシ管理装置３００は、その通知を受けて動的に処理規則を再生成して転送ノードに再設定することが可能となる。これにより、転送ノードで構成されるネットワークの異常をユーザからのクレーム等による通知を受けてから対処するのではなく、転送ノードの異常が発生すると同時に動的にネットワーク管理サービスシステムが対応することで、ネットワークの信頼性を高めることが可能となる。

また、前記転送ノードの異常を検知した場合、制御装置１００Ｄが、ポリシ管理装置３００に対し、異常発生直後の通信ポリシの再確認を依頼するようにしてもよい。この場合、前記ポリシ管理装置は、前記依頼に基づいて、通信ポリシの内容を確認し、前記異常発生直後の通信ポリシの内容が転送ノードの異常発生直前の通信ポリシの内容と異なる場合、その相違部分となる通信ポリシを前記制御装置に送信する。制御装置１００Ｄは、前記ポリシ管理装置３００から受け取った通信ポリシに基づき処理規則を生成し、前記転送ノードに設定する。

以上、本発明の各実施形態を説明したが、本発明は、上記した実施形態に限定されるものではなく、本発明の基本的技術的思想を逸脱しない範囲で、更なる変形・置換・調整を加えることができる。例えば、上記した各実施形態では、制御装置１００と、ポリシ管理装置３００と、通信ポリシ記憶部３１０と、ポリシ制御部３２０と、ローカル制御装置１０１と、ローカルポリシ管理装置３０１と、リソース処理規則生成部６００と、監視装置７００とをそれぞれ独立して設けるものとして説明したが、これらを適宜統合した構成も採用可能である。

また、上記した実施形態では、図２〜図５を示してユーザにロールＩＤを付与してアクセス制御を行うものとして説明したが、ユーザ毎に付与されているユーザＩＤや、ＭＡＣアドレス等のアクセスＩＤ、ユーザ端末４００の位置情報などを用いてアクセス制御を行うことも可能である。

また、上記した実施形態では、ユーザ端末４００が、転送ノード２１０〜２３０を介して認証装置と認証手続きを行うものとして説明したが、ユーザ端末４００が直接認証装置と通信し、認証手続きを実施する構成も採用可能である。

なお、上記の特許文献および非特許文献の各開示を、本書に引用をもって繰り込むものとする。本発明の全開示（請求の範囲を含む）の枠内において、さらにその基本的技術思想に基づいて、実施形態の変更・調整が可能である。また、本発明の請求の範囲の枠内において種々の開示要素（各請求項の各要素、各実施例の各要素、各図面の各要素等を含む）の多様な組み合わせ、ないし選択が可能である。すなわち、本発明は、請求の範囲を含む全開示、技術的思想にしたがって当業者であればなし得るであろう各種変形、修正を含むことは勿論である。特に、本書に記載した数値範囲については、当該範囲内に含まれる任意の数値ないし小範囲が、別段の記載のない場合でも具体的に記載されているものと解釈されるべきである

１１ ノード通信部
１２ 制御メッセージ処理部
１３ 処理規則管理部
１４ 処理規則記憶部
１５ 転送ノード管理部
１６ 経路・アクション計算部
１７ トポロジ管理部
１８ 端末位置管理部
１９ 通信ポリシ管理部
２０ 通信ポリシ記憶部
１００、１００Ａ、１００Ｂ、１００Ｄ 制御装置
１０１ ローカル制御装置
２１０、２２０、２３０、２４０ 転送ノード
３００、３００Ａ、３００Ｂ、３００Ｃ ポリシ管理装置
３０１ ローカルポリシ管理装置
３１０ 通信ポリシ記憶部
３２０、３２０Ａ、３２０Ｃ ポリシ制御部
４００ ユーザ端末
５００、５００Ｃ、５１０ リソース
６００ リソース処理規則生成部
７００ 監視装置

Claims (18)

1. ユーザから通信ポリシの更新を受け付け、ユーザ毎に通信ポリシを管理するポリシ管理装置と、
   前記ユーザからの要求に応じて、当該ユーザの通信ポリシに対応するパケットの処理規則を生成し、転送ノードに設定する制御装置と、
   前記制御装置が生成した処理規則を用いてパケットを処理する転送ノードと、
   を含むネットワーク管理サービスシステム。
2. 前記制御装置は、インターネットを介して前記ユーザからの前記処理規則の生成要求を受け付け、前記ユーザの通信ポリシに対応するパケットの処理規則を生成し、前記転送ノードに設定する請求項１のネットワーク管理サービスシステム。
3. 前記制御装置は、各ユーザに付与されたロール情報と、ロール毎のリソースへのアクセス権限とを用いて、ユーザの通信ポリシを生成し、該通信ポリシに対応するパケットの処理規則を生成する請求項１または２のネットワーク管理サービスシステム。
4. さらに、
   前記転送ノードが物理的に存在する場所と同じ場所に、
   前記制御装置と同じ処理を実行可能なローカル制御装置と、
   前記ポリシ管理装置と同じ処理を実行可能なローカルポリシ管理装置と、
   を備えることを特徴とする請求項１から３いずれか一のネットワーク管理サービスシステム。
5. 前記ローカル制御装置は、前記ユーザからの要求に応じて、前記ユーザの通信ポリシに対応するパケットの処理規則を生成し、転送ノードに設定するとともに、当該処理規則を前記制御装置へ送信して、前記制御装置と、前記ローカル制御装置との間で処理規則を同期すること、
   を特徴とする請求項４のネットワーク管理サービスシステム。
6. 前記ローカルポリシ管理装置は、ユーザ毎の通信ポリシを前記ポリシ管理装置へ送信して、前記ポリシ管理装置と、前記ローカルポリシ管理装置との間で通信ポリシを同期すること、
   を特徴とする請求項４または５のネットワーク管理サービスシステム。
7. 前記ローカル制御装置と、前記ローカルポリシ管理装置とは、どちらか一方、または、両方で異常が発生した場合、前記制御装置と、前記ポリシ管理装置とに、ユーザ毎の通信ポリシの管理と、前記通信ポリシに応じた処理規則の生成処理とを依頼すること、
   を特徴とする請求項４から６いずれか一のネットワーク管理サービスシステム。
8. 前記制御装置と、前記ポリシ管理装置とは、どちらか一方、または、両方で障害が発生した場合、前記ローカル制御装置と、前記ローカルポリシ管理装置とに、ユーザ毎の通信ポリシの管理と、前記通信ポリシに応じた処理規則の生成処理とを依頼すること、
   を特徴とする請求項４から７いずれか一のネットワーク管理サービスシステム。
9. さらに、前記制御装置および前記ポリシ管理装置が物理的に存在する場所と同じ場所に、前記制御装置が生成した処理規則を受けて、パケットを処理する補助転送ノードと、
   前記転送ノードに接続される補助リソースと、
   を備えることを特徴とする請求項１から８いずれか一のネットワーク管理サービスシステム。
10. さらに、前記転送ノード、および、リソースに異常が発生した場合、前記制御装置は、前記補助転送ノードに前記補助リソースまでの通信を実現する処理規則を設定し、ユーザ端末から前記補助リソースへの通信を許可すること、
    を特徴とする請求項９のネットワーク管理サービスシステム。
11. さらに、前記ポリシ管理装置が保有するユーザ毎の通信ポリシを用いて、リソースに対するアクセス権を表す処理規則を生成し、前記リソースに前記処理規則に従ったアクセス制御を行わせるリソース処理規則生成部を備えること、
    を特徴とする請求項１から１０いずれか一のネットワーク管理サービスシステム。
12. さらに、前記転送ノードの稼働状態、および、前記転送ノードのネットワーク構成を監視する監視装置を備えることを特徴とする請求項１から１１いずれか一のネットワーク管理サービスシステム。
13. 前記監視装置は、前記転送ノードの異常を検知した場合、前記ポリシ管理装置に対し、異常発生直後の通信ポリシの再確認を依頼し、
    前記ポリシ管理装置は、前記依頼に基づいて、通信ポリシの内容を確認し、前記異常発生直後の通信ポリシの内容が前記転送ノードの異常発生直前の通信ポリシの内容と異なる場合、その相違部分となる通信ポリシを前記制御装置に送信し、
    前記制御装置は、前記ポリシ管理装置から通信ポリシを受けて、当該通信ポリシに基づき処理規則を生成し、前記転送ノードに設定すること、
    を特徴とする請求項１２のネットワーク管理サービスシステム。
14. 前記監視装置は、さらに、前記転送ノードの異常を検知した場合、前記制御装置に対し、前記転送ノードの異常発生を通知し、
    前記制御装置は、前記監視装置からの通知に基づいて、前記制御装置が保有する前記転送ノードのネットワーク構成情報の再確認を行い、前記保有するネットワーク構成情報の更新を動的に行うこと、
    を特徴とする請求項１２または１３のネットワーク管理サービスシステム。
15. 前記ポリシ管理装置と、前記制御装置とが第１の場所に配置され、
    前記転送ノードが前記第１の場所とは異なる第２の場所に配置され、
    ユーザ端末とユーザ認証を行う認証装置および前記ポリシ管理装置との間をインターネットを介して接続し、前記制御装置と前記転送ノードとの間を広域ネットワークを介して接続すること、
    を特徴とする請求項１から１４いずれか一のネットワーク管理サービスシステム。
16. ユーザから通信ポリシの更新を受け付け、ユーザ毎に通信ポリシを管理するポリシ管理装置と、設定された処理規則を用いてパケットを処理する転送ノードと、に接続され、
    前記ユーザからの要求に応じて、当該ユーザの通信ポリシに対応するパケットの処理規則を生成し、前記転送ノードに設定する制御装置。
17. ユーザから通信ポリシの更新内容を受け付けて、ユーザ毎に通信ポリシを管理するステップと、
    前記ユーザからの要求に応じて、当該ユーザの通信ポリシに対応するパケットの処理規則を生成し、転送ノードに設定するステップと、
    前記設定された処理規則を用いて、パケットを処理するステップと、
    を含むネットワーク管理サービス方法。
18. ユーザから通信ポリシの更新内容を受け付けて、ユーザ毎に通信ポリシを管理する処理と、
    前記ユーザからの要求に応じて、当該ユーザの通信ポリシに対応するパケットの処理規則を生成し、転送ノードに設定する処理と、
    前記制御装置を構成するコンピュータに実行させるプログラム。

Images