JP2015530763A - アクセス制御システム、アクセス制御方法及びプログラム - Google Patents

Abstract

【課題】オープンフローを用いたネットワークにおけるリソース間のアクセス制御の管理負担の軽減、利便性向上。【解決手段】アクセス制御システムは、受信パケットに適用する処理内容を定めた制御情報を生成し、転送ノードに設定する制御装置と、前記制御情報を参照して、受信パケットを処理する転送ノードと、前記転送ノードに接続するリソースから取得した識別情報を用いて前記リソースを認証する認証装置と、前記認証結果及び前記識別情報を用いて、前記リソースの通信ポリシを決定するポリシ管理装置と、を含む。前記制御装置は、前記通信ポリシに対応する制御情報を生成し、前記転送ノードに設定する。【選択図】図１

Description

（関連出願についての記載）
本発明は、日本国特許出願：特願２０１２−１９０３１６号（２０１２年８月３０日出願）の優先権主張に基づくものであり、同出願の全記載内容は引用をもって本書に組み込み記載されているものとする。
本発明は、アクセス制御システム、アクセス制御方法及びプログラムに関し、特に、転送ノードを集中制御する制御装置が配置されているネットワークのアクセス制御システム、アクセス制御方法及びプログラムに関する。

近年、オープンフロー（ＯｐｅｎＦｌｏｗ）という技術が提案されている（非特許文献１、２参照）。オープンフローは、通信をエンドツーエンドのフローとして捉え、フロー単位で経路制御、障害回復、負荷分散、最適化を行うものである。非特許文献２に仕様化されているオープンフロースイッチは、オープンフローコントローラとの通信用のセキュアチャネルを備え、オープンフローコントローラから適宜追加または書き換え指示されるフローテーブルに従って動作する。フローテーブルには、フロー毎に、パケットヘッダと照合するマッチ条件（Ｍａｔｃｈ Ｆｉｅｌｄｓ）と、フロー統計情報（Ｃｏｕｎｔｅｒｓ）と、処理内容を定義したインストラクション（Ｉｎｓｔｒｕｃｔｉｏｎｓ）と、の組が定義される（非特許文献２の「４．１ Ｆｌｏｗ Ｔａｂｌｅ」の項参照）。

例えば、オープンフロースイッチは、パケットを受信すると、フローテーブルから、受信パケットのヘッダ情報に適合するマッチ条件（非特許文献２の「４．３ Ｍａｔｃｈ Ｆｉｅｌｄｓ」参照）を持つエントリを検索する。検索の結果、受信パケットに適合するエントリが見つかった場合、オープンフロースイッチは、フロー統計情報（カウンタ）を更新するとともに、受信パケットに対して、当該エントリのインストラクションフィールドに記述された処理内容（指定ポートからのパケット送信、フラッディング、廃棄等）を実施する。一方、検索の結果、受信パケットに適合するエントリが見つからなかった場合、オープンフロースイッチは、セキュアチャネルを介して、オープンフローコントローラに対してエントリ設定の要求、即ち、受信パケットを処理するための制御情報の送信要求（Ｐａｃｋｅｔ−Ｉｎメッセージ）を送信する。オープンフロースイッチは、処理内容が定められたフローエントリを受け取ってフローテーブルを更新する。このように、オープンフロースイッチは、フローテーブルに格納されたエントリを制御情報として用いてパケット転送を行う。

特許文献１の［００５２］には、オープンフローコントローラが、新規フロー発生時にポリシーファイルを参照してパーミッションチェックを行い、その後に、経路を計算することによりアクセス制御を行っていると記載されている。

また、特許文献２には、外部ネットワークのサーバに認証要求を転送する必要や管理管轄外の情報端末に対するアクセス制御ポリシを時限的に設定する必要がなく、しかも、管理管轄に属していない情報端末あるいは利用者が対象ネットワークを利用することができるというネットワークアクセス制御システムが開示されている。同文献によると、このネットワークアクセス制御システムは、アクセス要求装置が認証処理装置に直接要求するのではなく、アクセス要求装置の要請を受けて代理要求装置が認証処理装置に自己の認証データで要求し、認証処理装置がその要請を受けて認証処理結果に基づくアクセス制御データをアクセス制御装置に配布する。従って、管理管轄外の情報端末であるアクセス要求装置であっても、このアクセス要求装置が管理管轄内の情報端末である代理要求装置にアクセス要求して代理要求装置、アクセス制御装置及び認証処理装置の処理が実行された後であれば、アクセス要求したアクセス要求装置からのネットワークのアクセスに対してアクセス制御装置の制御が変わってネットワークへアクセスすることができる、と記載されている。

このような特許文献２のネットワークアクセス制御システムによれば、例えば、社員ＩＤといったユーザを一意に特定できる情報を使ってユーザ認証を行い、その認証結果を元にしてユーザの端末とサーバとの間の通信を制御することができる。

国際公開第２００８／０９５０１０号 特許第４８３２５１６号公報

Ｎｉｃｋ ＭｃＫｅｏｗｎほか７名、"ＯｐｅｎＦｌｏｗ： Ｅｎａｂｌｉｎｇ Ｉｎｎｏｖａｔｉｏｎ ｉｎ Ｃａｍｐｕｓ Ｎｅｔｗｏｒｋｓ"、［ｏｎｌｉｎｅ］、［平成２４（２０１２）年７月１３日検索］、インターネット〈URL:http://www.openflow.org/documents/openflow-wp-latest.pdf〉 "ＯｐｅｎＦｌｏｗ Ｓｗｉｔｃｈ Ｓｐｅｃｉｆｉｃａｔｉｏｎ" Ｖｅｒｓｉｏｎ １．１．０ Ｉｍｐｌｅｍｅｎｔｅｄ （Ｗｉｒｅ Ｐｒｏｔｏｃｏｌ ０ｘ０２）、［ｏｎｌｉｎｅ］、［平成２４（２０１２）年７月１３日検索］、インターネット〈URL:http://www.openflow.org/documents/openflow-spec-v1.1.0.pdf〉

上記特許文献及び非特許文献の開示を、本書に引用をもって繰り込むものとする。以下の分析は、本発明によって与えられたものである。特許文献１及び非特許文献１、２に記載のオープンフローを用いたネットワークに、サーバ等のリソースが複数接続され、これらリソース間で通信が発生することがある。この場合、新規通信が発生する毎に、オープンフローコントローラがフローエントリを設定する方法も考えられるが、なるべくリソース間の通信に関する設定に掛かる管理負担やオープンフローコントローラの負荷を軽減したいという要請がある。

例えば、特許文献２のシステムでは、ユーザが持つＩＤ（たとえば、社員ＩＤ）を元にして、そのユーザのユーザ端末のアクセス制御を実現しているため、この種のＩＤを持たないリソース間のアクセス制御にそのまま適用することはできない。このようなリソース間のアクセス制御を実現するには、例えば、管理者がそのサーバに設定されたＩＰ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）アドレスやＭＡＣ（Ｍｅｄｉａ Ａｃｃｅｓｓ Ｃｏｎｔｒｏｌ）アドレスを上記ＩＤとして用いて、アクセス制御ルールを作成することになる。しかしながら、この場合、管理対象とするすべてのリソースのＩＰアドレス及びＭＡＣアドレスを把握していなければ、管理者が当該リソースからアクセス可能／不可能な範囲を網羅したアクセス制御ルールを作成できないという問題点がある。

また、上記方式の場合、リソースが持つＩＰアドレスやＭＡＣアドレスに変更が生じた場合、その都度、アクセス制御ルールを変更する必要があり、管理が非常に煩雑になるという問題点がある。従って、特許文献２に開示されたアプローチは、特許文献１及び非特許文献１、２に記載のオープンフローを用いたネットワークにおけるリソース間のアクセス制御には向いていない。

本発明の目的は、特許文献１及び非特許文献１、２に記載のオープンフローを用いたネットワークにおける、上記サーバに代表されるリソース間のアクセス制御の管理負担の軽減、利便性向上に貢献できるアクセス制御システム、アクセス制御方法及びプログラムを提供することにある。

第１の視点によれば、受信パケットに適用する処理内容を定めた制御情報を生成し、転送ノードに設定する制御装置と、前記制御情報を参照して、受信パケットを処理する転送ノードと、前記転送ノードに接続するリソースから取得した識別情報を用いて前記リソースを認証する認証装置と、前記認証結果及び前記識別情報を用いて、前記リソースの通信ポリシを決定するポリシ管理装置と、を含み、前記制御装置が、前記通信ポリシに対応する制御情報を生成し、前記転送ノードに設定するアクセス制御システムが提供される。

第２の視点によれば、受信パケットに適用する処理内容を定めた制御情報を生成し、転送ノードに設定する制御装置と、前記制御情報を参照して、受信パケットを処理する転送ノードと、を含む通信システムに接続された装置が、前記転送ノードに接続するリソースから取得した識別情報を用いて前記リソースを認証するステップと、前記認証結果及び前記識別情報を用いて、前記リソースの通信ポリシを決定するステップと、前記通信ポリシに対応する制御情報を生成し、前記転送ノードに設定するステップと、を含むアクセス制御方法が提供される。本方法は、リソースの認証、通信ポリシの決定、制御情報の生成・設定を行う一以上の装置という、特定の機械に結びつけられている。

第３の視点によれば、受信パケットに適用する処理内容を定めた制御情報を生成し、転送ノードに設定する制御装置と、前記制御情報を参照して、受信パケットを処理する転送ノードと、を含む通信システムに接続された装置に搭載されたコンピュータに、前記転送ノードに接続するリソースから取得した識別情報を用いて前記リソースを認証する処理と、前記認証結果及び前記識別情報を用いて、前記リソースの通信ポリシを決定する処理と、前記通信ポリシに対応する制御情報を生成し、前記転送ノードに設定する処理と、を実行させるプログラムが提供される。なお、このプログラムは、コンピュータが読み取り可能な（非トランジエントな）記憶媒体に記録することができる。即ち、本発明は、コンピュータプログラム製品として具現することも可能である。

本発明によれば、特許文献１及び非特許文献１、２に記載のオープンフローを用いたネットワークにおけるリソース間のアクセス制御の管理負担の軽減、利便性向上に貢献することが可能となる。

本発明の一実施形態の構成を示す図である。 本発明の第１の実施形態のアクセス制御システムの構成を示す図である。 本発明の第１の実施形態のリソースの識別情報の一例を示す図である。 本発明の第１の実施形態の識別情報記憶装置に保持されるリソース識別情報の一例を示す図である。 本発明の第１の実施形態のポリシ記憶装置に保持される通信ポリシの一例を示す図である。 本発明の第１の実施形態のポリシ記憶装置に保持されるリソース情報の一例を示す図である。 本発明の第１の実施形態の制御装置に提供される通信ポリシの一例を示す図である。 本発明の第１の実施形態の制御装置の詳細構成を表したブロック図である。 本発明の第１の実施形態の動作を表したシーケンス図である。 図９の続図である。 本発明の第１の実施形態の制御装置によって生成される制御情報の一例を示す図である。

はじめに本発明の一実施形態の概要について図面を参照して説明する。なお、この概要に付記した図面参照符号は、理解を助けるための一例として各要素に便宜上付記したものであり、本発明を図示の態様に限定することを意図するものではない。

本発明は、その一実施形態において、受信パケットに適用する処理内容を定めた制御情報を生成し、転送ノード（図１の２００）に設定する制御装置（図１の１００）と、前記制御情報を参照して、受信パケットを処理する転送ノード（図１の２００）と、前記転送ノードに接続するリソースから取得した識別情報を用いて前記リソースを認証する認証装置（図１の６００）と、前記認証結果及び前記識別情報を用いて、前記リソースの通信ポリシを決定するポリシ管理装置（図１の３１０）と、を含む構成にて実現できる。

より具体的には、前記制御装置（図１の１００）は、ポリシ管理装置（図１の３１０）にて前記リソースの通信ポリシが決定されると、前記通信ポリシに対応する制御情報を生成し、前記転送ノード（図１の２００）に設定する。

以上により、リソース間の通信設定が完了する。そして、一旦設定が完了すれば、リソース間の通信は制御情報によってフローベース制御されることになる。また設定後、リソースが持つＩＰアドレスやＭＡＣアドレスに変更が生じたとしても、認証装置（図１の６００）において、正しい認証処理がなされるよう修正を行えばよいため、管理が煩雑になるという問題も生じ難い。

また、前記認証装置（図１の６００）がリソースの認証を行うタイミングは、リソースの接続時とすることができる。このようにすれば、新しいリソースが転送ノードに接続される都度、その識別情報に基づいて自動的に通信ポリシの決定と制御情報の設定が完了することになる。

なお、制御情報に有効期限を設け、転送ノード（図１の２００）が、使われていない制御情報等を整理する構成とすることもできる。例えば、設定後所定時間の経過（ハードタイムアウト）や、最後にその制御情報に適合するパケットを受信してから所定時間の経過（アイドルタイムアウト）等の条件が成立したときに、転送ノード（図１の２００）が制御情報を削除する形態等が考えられる。

［第１の実施形態］
続いて、本発明の第１の実施形態について図面を参照して詳細に説明する。図２は、本発明の第１の実施形態のアクセス制御システムの構成を示す図である。図２を参照すると、転送ノード２００と、転送ノード２００を制御する制御装置１００と、制御装置１００に通信ポリシを通知するポリシ管理装置３１０と、リソースの認証を行う認証装置６００と、識別情報記憶装置７００と、を含んだ構成が示されている。

転送ノード２００は、受信パケットと照合するマッチ条件と前記マッチ条件に適合するパケットに適用する処理内容（アクション）とを対応付けた制御情報に従って、受信パケットを処理するスイッチング装置である。このような転送ノードとしては、オープンフローコントローラから設定されたフローエントリを制御情報として用いて動作する非特許文献２のオープンフロースイッチを用いることもできる。また、図２の転送ノード２００には、リソース４１０と４２０とが接続されており、リソース４１０と４２０とは、転送ノード２００を介して通信可能となっている。また、図２の例では、転送ノードは１台であるものとしているが、複数接続されていてもよい。

リソース４１０、４２０は、サーバやＰＣ（Ｐｅｒｓｏｎａｌ Ｃｏｍｐｕｔｅｒ）等に代表されるコンピュータであり、それぞれのリソースは、リソース自身を一意に特定するための識別情報５１０、５２０を保有している。識別情報は、例えば、コンピュータ名やＭＡＣアドレスと任意の文字列による組み合わせ等で表される。識別情報は、リソースを一意に特定できる文字列であればどのようなものであってもよい。また、本実施形態では、リソース４１０、４２０は、転送ノード２００と有線で接続される機器であるものとして説明するが、転送ノード２００と無線で接続されるタブレット端末やスマートフォン等のモバイル端末であってもよい。

図３は、リソースが持つ識別情報の例を示す図である。図３の上段は、リソース４１０の識別情報５１０の例を示し、図３の下段は、リソース４２０の識別情報５２０の例を示している。それぞれの情報は同じ形式であり、リソース名と、ＭＡＣアドレスと、ＩＰアドレスとの対で構成される。例えば、リソース４１０の識別情報５１０は、リソース名が「ａａａ」で、ＭＡＣアドレスが「ａａ：ａａ：ａａ：ａａ：ａａ：ａａ」で、ＩＰアドレスが「１．１．１．１」となっている。各リソースの識別情報は、リソース名が必須であり、ＭＡＣアドレスとＩＰアドレスは任意である。例えば、図３のリソース４２０の識別情報５２０は、リソース名「ｂｂｂ」のみで構成されている。

認証装置６００は、識別情報記憶装置７００に保持されている各リソースの識別情報を参照して、リソースの認証を行い、その結果をポリシ管理装置３１０に送信する。本実施形態では、認証装置６００は、リソース４１０、４２０が転送ノード２００に接続された時、転送ノード２００を介して、リソース４１０、４２０からそれぞれ保有する識別情報５１０、５２０を受け取る。そして、認証装置６００は、識別情報記憶装置７００に保持されているリソースの識別情報と、前記リソースから受け取った識別情報とを照合して、それぞれのリソースがネットワークに接続できる正当なリソースであるか否かを判定（認証）する。そして、認証装置６００は、その結果をポリシ管理装置３１０に送信する。なお、図２の例では、認証装置６００と識別情報記憶装置７００とを別個に設けているが、認証装置６００に備えられたハードディスク等の記憶装置を識別情報記憶装置７００として用いることもできる。

図４は、識別情報記憶装置７００に保持されている識別情報（リソース識別情報）の構成を示す図である。図４を参照すると、リソース名と、ロールＩＤと、ＭＡＣアドレスと、ＩＰアドレスと、接続スイッチと、接続ポートとを対応付けたリソース識別情報が示されている。例えば、図４のリソース名ａａａを持つリソースは、ＭＡＣアドレスがａａ：ａａ：ａａ：ａａ：ａａ：ａａで、ＩＰアドレスが１．１．１．１で、接続スイッチがｓｗｉｔｃｈ１で、接続ポートが１であることが確認された場合に、認証成功となり、ｒｏｌｅ＿０００１のロールＩＤが与えられる。同様に、リソース名がｄｄｄのリソース、ＩＰアドレスが４．４．４．４で、接続ポートが２であることが確認された場合に、認証成功となり、ｒｏｌｅ＿０００４のロールＩＤが与えられる。なお、図４の例では、ＭＡＣアドレス、ＩＰアドレス、接続スイッチ、接続ポートは、任意項目であり、値が設定されている場合にのみ、認証処理に用いられることになる。このため、リソース名がｄｄｄのリソースの認証時には、ＭＡＣアドレスや接続スイッチの値は使用されないことになる。

ポリシ管理装置３１０は、ポリシ記憶装置３２０に保持されている情報を参照して、接続してきたリソースの通信ポリシを決定し、その結果を制御装置１００に送信する。本実施形態では、ポリシ管理装置３１０は、認証装置６００からの認証情報及び識別情報の受信又は制御装置１００からの通信ポリシの送信要求等のタイミングで、該当するリソースの通信ポリシを決定する。なお、図２の例では、ポリシ管理装置３１０とポリシ記憶装置３２０とを別個に設けているが、ポリシ管理装置３１０に備えられたハードディスク等の記憶装置をポリシ記憶装置３２０として用いることもできる。

図５は、ポリシ記憶装置３２０に保持されている通信ポリシの一例を示す図である。図５の例では、ロールＩＤにて識別されるロール毎に、リソースのグループに与えられたリソースグループＩＤと、アクセス権限とを設定したエントリを格納するテーブルが示されている。例えば、ロールＩＤ：ｒｏｌｅ＿０００１を持つユーザは、リソースグループＩＤ：ｒｅｓｏｕｒｃｅ＿ｇｒｏｕｐ＿０００１、ｒｅｓｏｕｒｃｅ＿ｇｒｏｕｐ＿０００２の双方へのアクセスが許可されている。他方、ロールＩＤ：ｒｏｌｅ＿０００２のユーザは、リソースグループＩＤ：ｒｅｓｏｕｒｃｅ＿ｇｒｏｕｐ＿０００１へのアクセスは禁止され、ｒｅｓｏｕｒｃｅ＿ｇｒｏｕｐ＿０００２へのアクセスが許可されている。

また、図６は、ポリシ記憶装置３２０に保持されているリソース情報の一例を示す図である。図６の例では、上記したリソースグループＩＤに属するリソースのリソースＩＤやその詳細属性を対応付けた内容となっている。例えば、リソースグループＩＤ：ｒｅｓｏｕｒｃｅ＿ｇｒｏｕｐ＿０００１で特定されるグループには、ｒｅｓｏｕｒｃｅ＿０００１、ｒｅｓｏｕｒｃｅ＿０００２、ｒｅｓｏｕｒｃｅ＿０００３を持つリソースが含まれ、それぞれのリソース名、ＩＰアドレスやＭＡＣアドレスやサービスに利用するポート番号などを特定できるようになっている。

ポリシ管理装置３１０は、上記のような通信ポリシ及びリソース情報を参照して、認証装置６００にて認証を受けたリソースの通信ポリシを決定し、制御装置１００に通知する。例えば、認証装置６００から受信した認証情報に含まれるロールＩＤにて、図５のポリシ情報から該当するロールＩＤに紐付けられたリソースグループＩＤと、そのアクセス権限の内容を特定することができる。そして、図６のリソース情報からリソースグループＩＤに属するリソースの情報を用いて、あるリソースからアクセス可能なリソースやアクセスが禁止されているリソースを特定することができる。

図７は、図４、図５、図６に示した情報から作成され、制御装置１００に提供される通信ポリシの例である。図７の１番目のエントリの送信元リソース名欄には、今回ネットワークに接続したリソース名「ａａａ」が設定されている。また、宛先リソース名欄には、当該リソースのロールＩＤに基づきアクセス可能またはアクセス不可能であるリソース名（「ｂｂｂ」、「ｐｐｐ」、「ｑｑｑ」、「ｓｓｓ」）が設定されている。また、アクセス権限欄には、図５のポリシ情報のロールＩＤ：ｒｏｌｅ＿０００１のアクセス権限と同じ値が設定されている。また、条件（オプション）欄には、図６のリソース情報のリソース属性欄に設定されていたサービスとポート番号が設定されている。なお、図７の条件（オプション）フィールドは任意に設定できる項目であり、適宜省略することができる。

また、ポリシ管理装置３１０は、ユーザからの通信ポリシの作成や設定変更等を受け付け、その結果を制御装置１００へ提供する仕組み（以下、通信ポリシ編集機能と称す）を持つ。通信ポリシ編集機能は、例えば、通信ポリシの編集機能を実現するアプリケーションプログラムであり、ユーザは、通信ポリシを自由に作成、修正、削除することができる。ポリシ管理装置３１０は、更新された通信ポリシ情報をポリシ記憶装置３２０に記録するとともに、更新された通信ポリシ情報、およびリソース情報に基づいてリソースの通信ポリシを作成し、制御装置１００に送信する。

このように、本実施形態のポリシ管理装置３１０及びポリシ記憶装置３２０によれば、ユーザは、自由に通信ポリシの作成や修正、削除等の管理業務を行えるようになっている。このようなポリシ管理の仕組みは、Ｗｅｂベースのシステムとしてユーザに提供してもよいし、独立したＰＣ上で動くアプリケーションとして提供してもよいし、ＧＵＩ（Ｇｒａｐｈｉｃａｌ Ｕｓｅｒ Ｉｎｔｅｒｆａｃｅ）を用いたアプリケーションではなく、ＣＬＩ（Ｃｏｍｍａｎｄ Ｌｉｎｅ Ｉｎｔｅｒｆａｃｅ）を提供してもよいし、どのような形態であってもよい。

制御装置１００は、ポリシ管理装置３１０から上記したリソースの通信ポリシを受信すると、まず、当該通信ポリシの適用対象となるリソースからのパケットを処理するための制御情報の設定要求（非特許文献２のＰａｃｋｅｔ−Ｉｎメッセージ）を送信させる制御情報を作成し、転送ノード２００に設定する。また、制御装置１００は、前記制御情報により、転送ノード２００から制御情報の設定要求を受けた場合、当該制御情報の設定要求に含まれるパケット情報に基づいて、通信ポリシにて定められた端点間のパケットの転送経路を計算する。そして、制御装置１００は、この転送経路上の転送ノードに転送経路に沿ったパケット転送を実行させる制御情報を作成し、転送経路上の転送ノードに設定する。

図８は、本実施形態の制御装置１００の詳細構成を表したブロック図である。図８を参照すると、制御装置１００は、転送ノード２００との通信を行うノード通信部１１と、制御メッセージ処理部１２と、制御情報管理部１３と、制御情報記憶部１４と、転送ノード管理部１５と、経路・アクション計算部１６と、トポロジ管理部１７と、リソース位置管理部１８と、通信ポリシ管理部１９と、通信ポリシ記憶部２０と、を備えて構成される。これらはそれぞれ次のように動作する。

制御メッセージ処理部１２は、転送ノードから受信した制御メッセージを解析して、制御装置１００内の該当する処理手段に制御メッセージ情報を引き渡す。

制御情報管理部１３は、どの転送ノードにどのような制御情報が設定されているかを管理する。具体的には、経路・アクション計算部１６にて作成された制御情報を制御情報記憶部１４に登録し、転送ノードに設定すると共に、転送ノードからの制御情報削除通知などにより、転送ノードにて設定した制御情報に変更が生じた場合にも対応して制御情報記憶部１４の登録情報をアップデートする。

転送ノード管理部１５は、制御装置１００の制御対象の転送ノードの能力（例えば、ポートの数や種類、サポートするアクションの種類など）を管理する。

経路・アクション計算部１６は、通信ポリシ管理部１９からリソースの通信ポリシを受信すると、まず、トポロジ管理部１７に保持されているネットワークトポロジを参照し、該当リソースからのパケットを受信する転送ノード２００に、当該リソースからのパケットについて制御情報の設定要求を実行させる制御情報を作成し、設定する。

また、経路・アクション計算部１６は、上記した制御情報に基づき、制御情報の設定要求を受けると、当該制御情報の設定要求に含まれるパケット情報に基づいて、当該パケットの転送経路および該転送経路を実現する制御情報を作成する。具体的には、経路・アクション計算部１６は、リソース位置管理部１８にて管理されているリソースの位置情報とトポロジ管理部１７にて構築されたネットワークトポロジ情報に基づいて、リソース間のパケットの転送経路を計算する。次に、経路・アクション計算部１６は、転送ノード管理部１５から、前記転送経路上の転送ノードのポート情報等を取得して、前記計算した転送経路を実現するために経路上の転送ノードに実行させるアクションと、当該アクションを適用するフローを特定するためのマッチ条件を求める。なお、前記マッチ条件は、制御情報の設定要求に含まれるパケット情報や図７の条件（オプション）等を用いて作成することができる。

従って、図７の通信ポリシの１番目のエントリの場合、送信元リソース名：ａａａから宛先リソース名：ｂｂｂに宛てられたパケットを、次ホップとなる転送ノードやリソースが接続されたポートから転送させるアクションを定めた各制御情報が作成される。なお、上記制御情報の設定の際に、制御情報の設定要求を受けたパケットだけでなく、リソースがアクセス権を有しているすべてのリソースへのパケット転送を実現する制御情報を作成し、設定するようにしてもよい（必要に応じて、識別情報記憶装置やポリシ管理装置３１０に宛先リソースの情報等を問い合わせる構成としてもよい。）。

トポロジ管理部１７は、ノード通信部１１を介して収集された転送ノード２００の接続関係に基づいてネットワークトポロジ情報を構築する。

リソース位置管理部１８は、通信システムに接続しているリソースの位置を特定するための情報を管理する。本実施形態では、リソースを識別する情報としてリソース名を用い、リソースの位置を特定するための情報として、リソースが接続している転送ノードの転送ノード識別子とそのポートの情報を使用するものとして説明する。もちろん、これらの情報に代えて、例えば、ポリシ管理装置３１０や認証装置６００からもたらされる情報等を用いて、リソースとその位置を特定するものとしても良い。

通信ポリシ管理部１９は、ポリシ管理装置３１０から通信ポリシを受信すると、通信ポリシ記憶部２０に格納するとともに、経路・アクション計算部１６に送信する。通信ポリシ記憶部２０には、図７に示した通信ポリシが格納され、経路・アクション計算部１６からの要求に応じて、該当するリソースの通信ポリシを提供できるようになっている。

以上のような制御装置１００は、非特許文献１、２のオープンフローコントローラをベースに、上記した通信ポリシの受信を契機とした処理規則（フローエントリ）の作成機能を追加することでも実現できる。

なお、図８に示した制御装置１００の各部（処理手段）は、制御装置１００を構成するコンピュータに、そのハードウェアを用いて、上記した各情報を記憶し、上記した各処理を実行させるコンピュータプログラムにより実現することもできる。

続いて、本実施形態の動作について図面を参照して詳細に説明する。図９と図１０は、本実施形態の一連の動作を表したシーケンス図である。ここでは、リソース４１０が新たに転送ノード２００に接続され、リソース４１０からリソース４２０へパケットを送信するための設定が自動的に行われる過程を説明する。

図９を参照すると、まず、リソース４１０が転送ノードに接続されると認証装置６００へのパケット転送が行われる（図９のＳ００１）。この時、リソース４１０は、リソース４１０が持つ識別情報５１０の情報を転送ノードを介して認証装置６００へ渡す。

認証装置６００は、リソース４１０の識別情報５１０を受け取り、識別情報記憶装置７００に格納されているリソース識別情報を参照して、ネットワークにリソース４１０を接続させて良いか否かを判定するための認証処理を行う（図９のＳ００２）。

前記認証処理の結果、ネットワークにリソース４１０を接続させて良いと判定した場合（認証ＯＫ）、認証装置６００は、ポリシ管理装置３１０に対し、識別情報記憶装置７００のリソース４１０に該当する情報（認証情報）を送信する（図９のＳ００３）。なお、前記認証処理の結果、認証失敗であった場合、認証装置６００が、制御装置１００に対し、その旨を通知するようにしてもよい。このようにすることで、制御装置１００に、該当するリソースからのパケットを破棄する制御情報を設定させることができる。

ポリシ管理装置３１０は、認証装置６００からリソース４１０の情報を受け取ると、ポリシ記憶装置３２０に保持されている情報を参照してリソース４１０の通信ポリシを決定し（図９のＳ００４）、制御装置１００に送信する（図９のＳ００５）。

制御装置１００は、ポリシ管理装置３１０からリソース４１０に関する通信ポリシを受け取ると、リソース４１０を送信元又は宛先とするパケットについて制御情報の設定要求を行わせる制御情報を作成する（図９のＳ００６）。そして、制御装置１００は、転送ノード２００に対して、前記制御情報の設定を指示する制御メッセージを送信する（図９のＳ００７）。転送ノード２００は、制御装置１００からの制御メッセージに従い、前記制御情報を設定して（図９のＳ００８）、一連の処理を終了する。

続いて、その後、リソース４１０からリソース４２０へパケットが送信される場合の処理の動作について、図１０を用いて説明する。図１０を参照すると、まず、リソース４１０が、リソース４２０宛のパケットを送信する（図１０のＳ１０１）。リソース４１０から送信されたパケットは、転送ノード２００へ届く。転送ノード２００は、図９のＳ００８で設定した制御情報に従い、制御装置１００に制御情報の設定を要求する（図１０のＳ１０３）。

前記制御情報の設定要求を受けた制御装置１００は、トポロジ記憶部１７、リソース位置管理部１８、通信ポリシ記憶部２０に記憶されている情報を参照し、リソース４１０からリソース４２０宛てのパケットの転送経路の計算を行う。さらに、制御装置１００は、計算した転送経路上の転送ノード２００に、リソース４１０からリソース４２０宛てのパケットを転送させる制御情報を作成する（図１０のＳ１０４）。

図１１は、図１０のＳ１０４で作成される制御情報の一例である。図１１の例では、リソース４１０からリソース４２０宛てのパケットをそれぞれのＭＡＣアドレスとＩＰアドレスの組み合わせで特定するマッチ条件と、このマッチ条件に適合するパケットに適用するアクションが設定されている。これにより、転送ノード２００が、リソース４１０からリソース４２０宛てのパケットを受信すると、図１１の制御情報に従い、転送ノード２００の接続ポート２から該当パケットを転送する処理が行われる。これにより、リソース４１０からリソース４２０宛てのパケットがリソース４２０に転送される。

そして、制御装置１００は、転送ノード２００に対して、前記制御情報の設定とリソース４１０から受信したパケットの転送を指示する制御メッセージを送信する（図１０のＳ１０５）。転送ノード２００は、制御装置１００からの制御メッセージに従い、前記制御情報を設定するとともに（図１０のＳ１０６）、リソース４１０から受信したパケットをリソース４２０に送信する（図１０のＳ１０７）。

その後、リソース４１０が、リソース４２０宛てのパケットを送信すると（図１０のＳ２０１）、転送ノード２００は、図１０のＳ１０６で設定した制御情報を参照して、受信したパケットの転送先を判定し（図１０のＳ２０２）、パケットを転送する（図１０のＳ２０３）。以上のようにして、リソース４１０とリソース４２０間の通信が可能となる。

以上のように、本実施形態によれば、新たにネットワークに接続されるリソースについて、予めネットワークの環境に合わせてＩＰアドレスを設定したり、ＭＡＣアドレスを通知したりしなくてもリソース名による認証を行うだけで、必要な通信設定を完了することが可能となる。また、本実施形態によれば、予め定められた通信ポリシ（図５のロール別通信ポリシ）に従って自動的に前記リソースの通信ポリシを決定できるようになり、ネットワーク管理者等の管理業務の負荷を軽減することが可能となる。

以上、本発明の各実施形態を説明したが、本発明は、上記した実施形態に限定されるものではなく、本発明の基本的技術的思想を逸脱しない範囲で、更なる変形・置換・調整を加えることができる。例えば、上記した各実施形態では、制御装置１００と、ポリシ管理装置３１０と、ポリシ記憶装置３２０と、認証装置６００と、識別情報記憶装置７００とをそれぞれ独立して設けるものとして説明したが、これらを適宜統合した構成も採用可能である。

また、上記した実施形態では、図３〜図７を示してリソースのロールＩＤを割り出してアクセス制御を行うものとして説明したが、ロールＩＤを用いない構成も採用可能である。例えば、リソース毎に付与されているリソース名や、ＭＡＣアドレス等のアクセスＩＤ、リソースの位置情報などについて、アクセス可否を定めた通信ポリシを決めておき、これに基づいて、アクセス制御を行うことも可能である。

また、上記した実施形態では、リソース４１０が、転送ノード２００を介して認証装置６００と認証手続きを行うものとして説明したが、リソース４１０が直接認証装置６００と通信し、認証手続きを実施する構成も採用可能である。

また、上記した実施形態では、リソース４１０の接続時に、リソース４１０からのパケットについて制御情報の設定要求を行わせる制御情報のみを設定しておき（図９参照）、その後、実際の通信フローが発生した段階で制御情報を設定するものとしていたが（図１０参照）、図９のＳ００６〜Ｓ００８の段階で、通信ポリシに基づき、必要な（リソース４１０を起点又は終点とする）経路の計算や制御情報を作成し、転送ノード２００に設定することでもよい。

なお、上記の特許文献および非特許文献の各開示を、本書に引用をもって繰り込むものとする。本発明の全開示（請求の範囲を含む）の枠内において、さらにその基本的技術思想に基づいて、実施形態の変更・調整が可能である。また、本発明の請求の範囲の枠内において種々の開示要素の多様な組み合わせ、ないし選択が可能である。すなわち、本発明は、請求の範囲を含む全開示、技術的思想にしたがって当業者であればなし得るであろう各種変形、修正を含むことは勿論である。

最後に、本発明の好ましい形態を要約する。
［第１の形態］
（上記第１の視点によるアクセス制御システム参照）
［第２の形態］
第１の形態のアクセス制御システムにおいて、
さらに、リソースの識別情報とロールＩＤとを紐付けて記憶する識別情報記憶装置を含み、
前記認証装置は、前記リソースから取得した識別情報と、識別情報記憶装置に記憶されている内容とを照合して認証処理を行い、認証に成功した場合、前記ポリシ管理装置に対し、前記ロールＩＤを送信し、
前記ポリシ管理装置は、前記ロールＩＤ毎に定められたアクセス可否情報を用いて、前記リソースの通信ポリシを決定するアクセス制御システム。
［第３の形態］
第２の形態のアクセス制御システムにおいて、
前記アクセス可否情報には、リソースをグループ化したリソースグループへのアクセス可否が含まれており、
前記ポリシ管理装置は、前記各リソースグループへのアクセス可否を参照して、前記リソースの通信ポリシを決定するアクセス制御システム。
［第４の形態］
第１〜第３いずれか一の形態のアクセス制御システムにおいて、
前記制御装置は、
前記ポリシ管理装置からリソースの通信ポリシを受信すると、前記リソースに接続されている転送ノードに、前記リソースを送信元又は宛先とするパケットについて前記制御装置に対し制御情報の設定要求を行わせる制御情報を設定し、
前記リソースを送信元又は宛先とする通信が発生したときに、前記リソースの通信ポリシに基づいて、前記リソースを送信元又は宛先とするパケットの転送経路上の転送ノードに、前記リソースを送信元又は宛先とするパケットを転送させる制御情報を設定するアクセス制御システム。
［第５の形態］
第１〜第３いずれか一の形態のアクセス制御システムにおいて、
前記制御装置は、前記ポリシ管理装置からリソースの通信ポリシを受信すると、前記リソースの通信ポリシに基づいて、前記リソースを起点又は終点とするリソース間のパケットの転送経路を計算し、前記転送経路上の転送ノードに、前記リソース間のパケットを転送させる制御情報を設定するアクセス制御システム。
［第６の形態］
（上記第２の視点によるアクセス制御方法参照）
［第７の形態］
（上記第３の視点によるプログラム参照）
なお、前記第６、第７の形態は、第１の形態と同様に第２〜第５の形態に展開することが可能である。

なお、上記の特許文献および非特許文献の各開示を、本書に引用をもって繰り込むものとする。本発明の全開示（請求の範囲を含む）の枠内において、さらにその基本的技術思想に基づいて、実施形態ないし実施例の変更・調整が可能である。また、本発明の請求の範囲の枠内において種々の開示要素（各請求項の各要素、各実施形態ないし実施例の各要素、各図面の各要素等を含む）の多様な組み合わせ、ないし選択が可能である。すなわち、本発明は、請求の範囲を含む全開示、技術的思想にしたがって当業者であればなし得るであろう各種変形、修正を含むことは勿論である。特に、本書に記載した数値範囲については、当該範囲内に含まれる任意の数値ないし小範囲が、別段の記載のない場合でも具体的に記載されているものと解釈されるべきである。

１１ ノード通信部
１２ 制御メッセージ処理部
１３ 制御情報管理部
１４ 制御情報記憶部
１５ 転送ノード管理部
１６ 経路・アクション計算部
１７ トポロジ管理部
１８ リソース位置管理部
１９ 通信ポリシ管理部
２０ 通信ポリシ記憶部
１００ 制御装置
２００ 転送ノード
３１０ ポリシ管理装置
３２０ ポリシ記憶装置
４１０、４２０ リソース
５１０、５２０ 識別情報
６００ 認証装置
７００ 識別情報記憶装置

Claims (13)

1. 受信パケットに適用する処理内容を定めた制御情報を生成し、転送ノードに設定する制御装置と、
   前記制御情報を参照して、受信パケットを処理する転送ノードと、
   前記転送ノードに接続するリソースから取得した識別情報を用いて前記リソースを認証する認証装置と、
   前記認証結果及び前記識別情報を用いて、前記リソースの通信ポリシを決定するポリシ管理装置と、を含み、
   前記制御装置が、前記通信ポリシに対応する制御情報を生成し、前記転送ノードに設定するアクセス制御システム。
2. さらに、リソースの識別情報とロールＩＤとを紐付けて記憶する識別情報記憶装置を含み、
   前記認証装置は、前記リソースから取得した識別情報と、前記識別情報記憶装置に記憶されている内容とを照合して認証処理を行い、認証に成功した場合、前記ポリシ管理装置に対し、前記ロールＩＤを送信し、
   前記ポリシ管理装置は、前記ロールＩＤ毎に定められたアクセス可否情報を用いて、前記リソースの通信ポリシを決定する請求項１のアクセス制御システム。
3. 前記アクセス可否情報には、リソースをグループ化したリソースグループへのアクセス可否が含まれており、
   前記ポリシ管理装置は、前記各リソースグループへのアクセス可否を参照して、前記リソースの通信ポリシを決定する請求項２のアクセス制御システム。
4. 前記制御装置は、
   前記ポリシ管理装置からリソースの通信ポリシを受信すると、前記リソースに接続されている転送ノードに、前記リソースを送信元又は宛先とするパケットについて前記制御装置に対し制御情報の設定要求を行わせる制御情報を設定し、
   前記リソースを送信元又は宛先とする通信が発生したときに、前記リソースの通信ポリシに基づいて、前記リソースを送信元又は宛先とするパケットの転送経路上の転送ノードに、前記リソースを送信元又は宛先とするパケットを転送させる制御情報を設定する請求項１から３いずれか一のアクセス制御システム。
5. 前記制御装置は、前記ポリシ管理装置からリソースの通信ポリシを受信すると、前記リソースの通信ポリシに基づいて、前記リソースを起点又は終点とするリソース間のパケットの転送経路を計算し、前記転送経路上の転送ノードに、前記リソース間のパケットを転送させる制御情報を設定する請求項１から３いずれか一のアクセス制御システム。
6. 受信パケットに適用する処理内容を定めた制御情報を生成し、転送ノードに設定する制御装置と、
   前記制御情報を参照して、受信パケットを処理する転送ノードと、を含む通信システムに接続された装置が、
   前記転送ノードに接続するリソースから取得した識別情報を用いて前記リソースを認証するステップと、
   前記認証結果及び前記識別情報を用いて、前記リソースの通信ポリシを決定するステップと、
   前記通信ポリシに対応する制御情報を生成し、前記転送ノードに設定するステップと、を含むアクセス制御方法。
7. 前記転送ノードに接続するリソースから取得した識別情報を用いて前記リソースを認証するステップにおいて、
   前記リソースから取得した識別情報と、リソースの識別情報とロールＩＤとを紐付けて記憶する識別情報記憶装置に記憶されている内容とを照合して認証処理を行い、認証に成功した場合、前記ロールＩＤを特定し、
   前記認証結果及び前記識別情報を用いて、前記リソースの通信ポリシを決定するステップにおいて、
   前記ロールＩＤ毎に定められたアクセス可否情報を用いて、前記リソースの通信ポリシを決定する請求項６のアクセス制御方法。
8. 前記アクセス可否情報には、リソースをグループ化したリソースグループへのアクセス可否が含まれており、
   前記各リソースグループへのアクセス可否を参照して、前記リソースの通信ポリシを決定する請求項７のアクセス制御方法。
9. さらに、前記制御装置が、
   前記リソースの通信ポリシに基づいて、前記リソースに接続されている転送ノードに、前記リソースを送信元又は宛先とするパケットについて前記制御装置に対し制御情報の設定要求を行わせる制御情報を設定するステップと、
   前記リソースを送信元又は宛先とする通信が発生したときに、前記リソースの通信ポリシに基づいて、前記リソースを送信元又は宛先とするパケットの転送経路上の転送ノードに、前記リソースを送信元又は宛先とするパケットを転送させる制御情報を設定するステップと、を含む請求項６から８いずれか一のアクセス制御方法。
10. さらに、前記制御装置が、
    前記リソースの通信ポリシに基づいて、前記リソースを起点又は終点とするリソース間のパケットの転送経路を計算し、前記転送経路上の転送ノードに、前記リソース間のパケットを転送させる制御情報を設定するステップと、を含む請求項６から８いずれか一のアクセス制御方法。
11. 受信パケットに適用する処理内容を定めた制御情報を生成し、転送ノードに設定する制御装置と、
    前記制御情報を参照して、受信パケットを処理する転送ノードと、を含む通信システムに接続された装置に搭載されたコンピュータに、
    前記転送ノードに接続するリソースから取得した識別情報を用いて前記リソースを認証する処理と、
    前記認証結果及び前記識別情報を用いて、前記リソースの通信ポリシを決定する処理と、
    前記通信ポリシに対応する制御情報を生成し、前記転送ノードに設定する処理と、を実行させるプログラム。
12. 前記転送ノードに接続するリソースから取得した識別情報を用いて前記リソースを認証する処理として、
    前記リソースから取得した識別情報と、リソースの識別情報とロールＩＤとを紐付けて記憶する識別情報記憶装置に記憶されている内容とを照合して認証処理を行い、認証に成功した場合、前記ロールＩＤを特定する処理、
    前記認証結果及び前記識別情報を用いて、前記リソースの通信ポリシを決定する処理として、
    前記ロールＩＤ毎に定められたアクセス可否情報を用いて、前記リソースの通信ポリシを決定する処理を実行させる請求項１１のプログラム。
13. 前記アクセス可否情報には、リソースをグループ化したリソースグループへのアクセス可否が含まれており、
    前記各リソースグループへのアクセス可否を参照して、前記リソースの通信ポリシを決定する請求項１２のプログラム。

Images