JP2016095597A - 配備制御プログラム、配備制御装置及び配備制御方法 - Google Patents

Abstract

【課題】仮想計算機が生成された段階から仮想計算機への不正アクセスを抑止する技術を提供する。
【解決手段】コンピュータに、端末装置からの仮想計算機の配備要求を受け付け、受け付けた配備要求に応じて、配備要求を送信した端末装置の固有情報に対応する許可情報を保持し、かつ、保持された許可情報を有する端末装置からのアクセスを選択的に許容する仮想計算機を生成し、固有情報に対応する許可情報を、配備要求を送信した端末装置に送信する処理を実行させる配備制御プログラムにより、上記課題の解決を図る。
【選択図】図１

Description

本発明は、情報処理装置の制御に関する。

物理サーバ及び仮想サーバ等のマシンのセキュリティを確保するためには、マシンと通信制御装置の両方にアクセス制御の設定が行われる。そのため、高いセキュリティを確保するためには、通信ネットワーク内にマシンを追加・削除する度に、運用者は、通信制御装置のアクセス制御の設定の変更を行う。

しかし、マシンの追加・削除が特に頻繁に起きるクラウド環境下でのマシン運用では、アクセス制御の設定変更の回数が多いため運用者が対応できず、セキュリティを十分に確保することができていないことが考えられる。

セキュリティを確保出来ていないと、本来アクセスを禁止するべきマシンへアクセスできるというリスクを生じる。

計算性能の低い端末内のコンピュータ資源を，安全でない利用者端末から，安全でないネットワークを介して，安全に使用できるようにする第１技術がある（例えば、特許文献１）。第１技術では、使用許可証発行装置は，利用者が入力した利用者パスワードを確認し、通信鍵と使用許可証を生成し，それらを、日付／時刻，通信鍵の有効期限とともに利用者端末に送信する。利用者端末は，使用許可証と，利用者識別子および日付／時刻を通信鍵で暗号化したものをサーバへ送る。サーバは，利用者端末から受信した使用許可証をサーバパスワードで復号し，復号した結果をもとに通信鍵の期限を調べ，期限が切れていなければ，受信した利用者識別子と日付／時刻を暗号化したものを復号し，日付／時刻を通信鍵を用いて暗号化したものを利用者端末に送信する。

特開２００５−４４１２号公報

上述した第１技術では、端末とサーバの通信の正当性チェックのために、使用許可証発行装置が割り当てる使用許可証を用いている。

しかしながら、第１技術では、マシン配備直後の、不正アクセスに対するセキュリティを十分に確保することができない。

本発明では、一側面として、仮想計算機が生成された段階から仮想計算機への不正アクセスを抑止する技術を提供する。

本発明の一側面にかかる配備制御プログラムは、コンピュータに、以下の処理を実行させる。すわなち、コンピュータは、端末装置からの仮想計算機の配備要求を受け付ける。コンピュータは、受け付けた配備要求に応じて、配備要求を送信した端末装置の固有情報に対応する許可情報を保持し、かつ、保持された許可情報を有する端末装置からのアクセスを選択的に許容する仮想計算機を生成する。コンピュータは、固有情報に対応する許可情報を、配備要求を送信した端末装置に送信する。

本発明の一側面によれば、仮想計算機が生成された段階から仮想計算機への不正アクセスを抑止することができる。

本実施形態における配備制御装置の一例を示す。 本実施形態におけるクラウドシステム構成を示す。 本実施形態における許可証管理テーブルの一例を示す。 本実施形態におけるエージェントを説明するための図である。 本実施形態（実施例１）におけるマシンＡに対して、複数の端末（端末Ｔ１、端末Ｔ２）がアクセス許可された許可証の例を示す。 本実施形態（実施例１）における、マシンが追加された場合の処理を説明するための図である。 本実施形態（実施例１）における、許可証の一例を示す。 本実施形態（実施例１）におけるアクセス許可を要求する端末が追加される場合の処理を説明するための図である。 本実施形態（実施例１）における、更新前後の許可証の一例を示す。 本実施形態（実施例１）における、許可証発行処理フローを示す。 本実施形態（実施例１）における端末からマシンへアクセスする場合の処理を説明するための図である。 図１１において用いられる許可証の例を示す。 本実施形態（実施例１）における、エージェントが導入された端末から、エージェントが導入されたマシンへの通信の際に、エージェントが実行する判定処理フロー（その１）を示す。 本実施形態（実施例１）における、エージェントが導入された端末から、エージェントが導入されたマシンへの通信の際に、エージェントが実行する判定処理フロー（その２）を示す。 本実施形態（実施例２−１）における、エージェントを導入した状態で配備したマシンに対して、配備後に強制的にエージェントを有効化する場合について説明するための図である。 本実施形態（実施例２−２）における、エージェントを導入した状態で配備したマシンに対して、利用者がエージェントを有効化するかしないかを選択できる場合について説明するための図である。 本実施形態（実施例２−３）における、エージェントの導入されていないマシンを配備し、利用者がエージェント導入のタイミングを選択できる場合について説明するための図である。 本実施形態におけるプログラムを実行するコンピュータのハードウェア環境の構成ブロック図の一例である。

アクセスを許可していない端末による物理サーバ及び仮想サーバ等のマシンへのアクセスを防ぐアクセス制御設定は、通信制御装置とマシンの両方に行われる。そのうち、運用者が行うのは通信制御装置の設定作業である。

通信制御装置（Ｍ台）とマシンで形成される環境下では、マシンを１台追加すると、運用者に、全ての通信制御装置Ｍ台分の設定作業が発生する。例えば、通信制御装置２台を有するあるクラウドセンタでは、１日平均３０台のマシンの追加・削除がある。このクラウドセンタでは、セキュリティ確保をする場合、１日に２×３０＝６０回の設定変更をすることになる。このように、アクセス制御設定に変更があった場合、クラウド環境下の装置全てに設定変更が必要となる（問題１）。

通信制御装置のアクセス制御の設定には専門スキルを要するため、アクセス制御の設定をすることができる運用者が限られる。また、その設定作業は手動で行うため、設定ミスの危険性が常に付きまとう。

マシン利用者は、セキュリティを確保するために、マシン追加・削除の都度、運用者へ通信制御装置のアクセス制御設定の変更を依頼する。しかしながら、クラウド環境下では設定変更の回数が多いため、運用者の手作業で行うのは膨大な時間が必要という問題がある。このように、クラウド環境においてアクセス制御を運用者が行うと膨大な時間がかかる（問題２）。

また、アクセス制御の設定変更は運用者が作業できるタイミングに限られるため、利用者が設定変更を依頼した時に変更されるわけではないという問題もある。このように、利用者が自分のタイミングでセキュリティを確保できない（問題３）。

問題１，２，３の解決策として、クラウド環境下においてマシン貸出を一元管理するマネージャに対し、マシン配備の都度、通信制御装置に対してアクセス制御設定を自動で変更させるということが考えられる。しかし従来の技術では、単純にマネージャを立て、アクセス制御設定を自動で通信制御装置に反映させようとしてもうまくいかない。

通信制御装置は、用途に応じて複数の機器（例えばルータ、スイッチングハブ、ファイアウォール、プロキシ）が存在するが、これらの通信制御装置は全てアクセス制御の設定方法が異なる。また、通信制御装置は複数の製造会社から販売されており、同じ種類の通信制御装置でも製造会社ごとにアクセス制御の設定方法が異なる。そのため、製造会社数をＳで表し、製造会社から販売されている通信制御装置の種類数をＴで表すと、自動化で対応すべき装置の種類はΣTK（K=1, 2, ・・・, S）となる。

一般的な通信ネットワーク環境では、複数の製造会社の通信制御装置を用いることはよくある。そのため、アクセス制御設定を自動化するためには、全ての製造会社の全ての装置に対応したアクセス制御設定が可能であることが求められる。しかしながら、仮に、アクセス制御設定の自動化を、現在までに販売された全ての通信制御装置に対応させたとしても、今後新しい装置が販売された場合にまた対応される必要がある。そのために運用者が手作業でデータを最新化しなければならないという負担が残る。このように、複数の通信制御装置が存在する環境では、通信制御装置の設定を自動化してもデータ最新化のために運用者の負担が残る（問題４）。

また、問題１，２，３の解決策として、運用者が通信制御装置にアクセス制御設定を行うのではなく、利用者がマシンのファイアウォール設定を変更し、所定の端末からのみアクセスを受け付けるようにしてセキュリティを確保することが考えられる。この場合、ファイアウォールは端末のＩＰ（Internet Protocol）アドレスを元にアクセス制御設定を行うため、端末のＩＰアドレスが固定される必要がある。しかし端末のＩＰアドレスが利用者の意図とは別に変更される場合はよくある（例えばＮＡＴ（Network Address Translation）変換、プロキシ、ＤＨＣＰ（Dynamic Host Configuration Protocol））。そのため、マシンのファイアウォールを用いて、特定の端末からのアクセスだけを受け付けるようにするためには、端末のＩＰアドレスが変更されないという限定的な環境の運用に限られるので、一般的なネットワーク環境には適用できない。このように、端末のＩＰアドレスが変更される環境では、ファイアウォールを用いてのセキュリティ確保は適用できない（問題５）。

また、そもそもクラウド環境においてマシンを配備した際、マシンのファイアウォールは設定されていない。そのため、ファイアウォールでセキュリティを確保する方法の場合、マシンを起動しファイアウォールを設定するまでセキュリティを確保することができない。ファイアウォールを設定するまでの間マシンは無防備な状態をさらすことになり、セキュリティ上のリスクとなる。そのため、利用者がマシンを配備した時点からセキュリティを確保できる方法が求められる。このように、利用者がマシンを配備した時点からのセキュリティを確保できない（問題６）。

上述のように、クラウド環境において、複数の通信制御装置が存在し、端末のＩＰアドレスが変更されうる環境において、マシンを配備した利用者が、セキュリティをすぐに自分で確保できない。また、アクセス制御設定に変更があった場合に、環境下全てのマシン・通信制御装置に変更の反映が必要となる。さらに、マシンのセキュリティを確保するためには、マシンに対するアクセスが発生しうる時点よりも前に、マシンのセキュリティを整えていることが望ましい。

図１は、本実施形態における配備制御装置の一例を示す。配備制御装置１は、受付部２、生成部３、送信部４を含む。

受付部２は、端末装置からの仮想計算機の配備要求を受け付ける。受付部２の一例として、クラウド基盤ソフトウェア１７をマネージャ１６として機能させることを実現するＣＰＵ４２が挙げられる。

生成部３は、受け付けた前記配備要求に応じて、配備要求を送信した端末装置の固有情報に対応する許可情報を保持し、かつ、保持された許可情報を有する端末装置からのアクセスを選択的に許容する仮想計算機を生成する。生成部３の一例として、クラウド基盤ソフトウェア１７をマネージャ１６として機能させることを実現するＣＰＵ４２が挙げられる。

送信部４は、固有情報に対応する許可情報を、配備要求を送信した端末装置に送信する送信部送信部４の一例として、クラウド基盤ソフトウェア１７をマネージャ１６として機能させることを実現するＣＰＵが挙げられる。

このように構成することにより、仮想計算機が生成された段階から、仮想計算機生成直後の不正アクセスを抑止することができる。

生成部３は、仮想計算機に、保持された許可情報を有する端末装置からのアクセスを選択的に許容するエージェントプログラムを導入する。

このように構成することにより、仮想計算機は、保持された許可情報を有する端末装置からのアクセスを選択的に許容することができる。

生成部３は、さらに、仮想計算機に導入したエージェントプログラムを有効にした後に、仮想計算機の通信機能を有効にする。

このように構成することにより、仮想計算機が生成された段階から、選択的にアクセスを許容させ、仮想計算機生成直後の不正アクセスを抑止することができる。

生成部３は、配備要求において、エージェントプログラムを有効にした後に、仮想計算機の通信機能を有効することが指定されている場合、仮想計算機に導入したエージェントプログラムを有効にした後に、仮想計算機の通信機能を有効にする。

このように構成することにより、エージェントプログラムを導入済みの仮想計算機を配備し、利用者がエージェントプログラムを有効化するタイミングを選択できる場合、マシン１２を外部ネットワークへ開放する前にエージェントプログラムを有効化できる。そのため、アクセスが許可されていない端末から接続できるようになる前にセキュリティを確保できる。

生成部３は、配備要求において、仮想計算機の通信機能を有効する前にエージェントプログラムを導入することが指定されている場合、仮想計算機にエージェントプログラムを導入する。また、生成部３は、エージェントプログラムに配備要求を送信した端末装置の固有情報に対応する許可情報を仮想計算機に提供する。さらに、生成部３は、仮想計算機に導入したエージェントプログラムを有効にした後に、仮想計算機の通信機能を有効にする。

このように構成することにより、エージェントプログラムを導入していない仮想計算機を配備する場合もエージェントプログラムを導入し、外部ネットワークへ開放する前に仮想計算機にエージェントプログラムを有効化できる。そのため、アクセスが許可されていない端末から接続できるようになる前にセキュリティを確保できる。

配備制御装置１は、さらに、導入部５を含む。導入部５は、配備要求を受け付けた際に、配備要求を送信した端末装置に、許可情報を有する仮想計算機からのアクセスを選択的に許容するエージェントプログラムが導入されていない場合、端末装置にエージェントプログラムを導入する。導入部５の一例として、クラウド基盤ソフトウェア１７をマネージャ１６として機能させることを実現するＣＰＵ４２が挙げられる。

このように構成することにより、配備要求を送信した端末装置は、エージェントプログラムを導入することができる。

配備制御装置１は、さらに、追加部６、第１更新制御部７、第２更新制御部８、提供部９を含む。

追加部６は、配備要求を送信した第１端末装置の固有情報に対応する第１許可情報を有する第１端末装置から送信された、第２端末への許可情報の発行要求に応じて、第１許可情報に、第２端末装置の固有情報に対応する許可情報を追加した第２許可情報を生成する。追加部６の一例として、クラウド基盤ソフトウェア１７をマネージャ１６として機能させることを実現するＣＰＵ４２が挙げられる。

第１更新制御部７は、仮想計算機に対して、生成した第２許可情報を提供して、仮想計算機が保持する第１許可情報を第２許可情報に更新させる。第１更新制御部７の一例として、クラウド基盤ソフトウェア１７をマネージャ１６として機能させることを実現するＣＰＵ４２が挙げられる。

第２更新制御部８は、第１端末装置からの要求に応じて、第１端末装置に第２許可情報を提供して、第１端末装置が保持する第１許可情報を第２許可情報に更新させる。第２更新制御部８の一例として、クラウド基盤ソフトウェア１７をマネージャ１６として機能させることを実現するＣＰＵ４２が挙げられる。

提供部９は、第２端末装置からの要求に応じて、第２端末装置に第２許可情報を提供する。提供部９の一例として、クラウド基盤ソフトウェア１７をマネージャ１６として機能させることを実現するＣＰＵ４２が挙げられる。

このように構成することにより、アクセス許可を受けている端末から新規の端末のクラウドシステムへの追加要求があった場合に、新規の端末をクラウドシステムに追加することができる。したがって、信頼性の高い端末からの、追加要求があった場合に、クラウドシステムに新規端末を追加することができる。

以下では、本実施形態をより詳細に説明する。
図２は、本実施形態におけるクラウドシステム構成を示す。クラウド環境下でのマシンの運用では、仮想マシン（または仮想サーバ）及び物理マシン（物理サーバ）等のマシンを一元管理するマネージャが存在する。マネージャは、ＩａａＳ（Infrastructure as a Service）を構築するためのクラウド基盤ソフトウェアを用いる。

図２において、クラウドシステム１１は、管理装置１６、通信制御装置１５、複数のサーバ（サーバ（マシンＡ）１２ａ、サーバ（マシンＢ）１２ｂ，・・・）を含む。情報処理端末（以下、「端末」と称する。）１９は、通信制御装置１５を介して、クラウドシステム１１と物理的に接続されている。

管理装置１６は、中央処理演算装置（ＣＰＵ）、メモリ、記憶装置、通信インターフェース等を含む情報処理装置である。管理装置１６の記憶装置には、許可証管理テーブル１８が格納されている。記憶装置管理装置１６は、インストールされたクラウド基盤ソフトウェア１７を実行することにより、マネージャ１６として機能する。クラウド基盤ソフトウェア１７は、アクセス可否の判断材料となる許可証の生成・配布機能を含む。

通信制御装置１５は、通信ネットワークの経路を制御したり、アクセス制御を行ったりする、ＣＰＵ、メモリ、記憶装置、通信インターフェース等を含む情報処理装置である。通信制御装置１５は、ルータ、スイッチングハブ、ファイアウォール、プロキシ等の機能を含む。

サーバ１２ａ，１２ｂはそれぞれ、ＣＰＵ、メモリ、記憶装置、通信インターフェース等を含む情報処理装置であり、クラウド基盤ソフトウェア１７により管理されるサーバ群、すなわち、マネージャ１６配下のサーバ群である。以下では、サーバ１２ａ，１２ｂをそれぞれマシン１２ａ，１２ｂと称する。マシン１２ａに関する構成または機能等については、符号ａを付与する。マシン１２ｂに関する構成または機能等については、符号ｂを付与する。また、マシン１２ａ，１２ｂを総称して、マシン１２と称する。マシン１２には、許可証１４（１４ａ，１４ｂ）に基づいて、通信可否を判断するエージェント１３（１３ａ，１３ｂ）が導入されている。

端末１９は、ＣＰＵ、メモリ、記憶装置、通信インターフェース等を含む情報処理装置である。端末１９にも、マシン１２と同様に、許可証１４に基づいて、通信可否を判断するエージェント１３ｃが導入されている。なお、以下では、マシン１９に関する構成または機能等については、符号ｃを付与して表す場合がある。

図２において、マネージャ１６は、端末１９からマシン１２の利用申請を受けた場合、マシン１２へ、申請に対応した許可証１４を配布されたエージェント１３を配備する。また、マネージャ１６は、マシン１２のエージェント１３へ配布された許可証と対応する許可証（実施例では同一の許可証）を、マシンの利用申請を行った端末にも配布する。

エージェント１３は、通信制御装置１５及びマシン１２のアクセス制御機能を代替する。エージェント１３は、アクセス制御の際、そのアクセスを許可してもよいか否かの判断材料として許可証を用いる。

許可証は、ＩＰアドレス（マシン側）、ＭＡＣ（Media Access Control address）アドレス（マシン側及び端末側のＭＡＣアドレス）、許可証の管理番号、通信ポート番号（または通信プロトコル）、通信ポート番号の通信方向の情報を含む。なお、以下では、通信プロトコルを、「プロトコル」と称する。

マネージャ１６は、許可証１４の管理機能を含む。マネージャ１６は、許可証１４をマシン１２へ配布する。端末１９とマシン１２には、エージェント１３が導入される。

図３は、本実施形態における許可証管理テーブルの一例を示す。許可証管理テーブル１８は、「Ｍ＿ＮＵＭ」１８−１、「ＭＡＣアドレス」１８−２、「許可証管理情報」１８−３、「許可証内容」１８−４のデータ項目を含む。

「Ｍ＿ＮＵＭ」１８−１には、許可証を特定するための管理番号が格納される。状況によっては、マネージャが複数存在する場合もあるが、そのような場合でも、Ｍ＿ＮＵＭは全てのマネージャで一意とする。「ＭＡＣアドレス」１８−２には、許可証を作成した田端末のＭＡＣアドレスが格納される。「許可証管理情報」１８−３には、許可証を特定するための管理情報が格納される。「許可証内容」１８−４には、通信の許可により、通信を可能とするアクセス元及びアクセス先の情報、すなわち、許可証の内容が格納される。

「許可証内容」１８−４は、「Ｄ＿ＭＡＣ」１８−５、「Ｄ＿ＩＰ」１８−６、［ａｃｃｅｓｓ．ｘ］１８−７を含む。「Ｄ＿ＭＡＣ」１８−５には、通信許可する側のマシンのＭＡＣアドレスが格納される。「Ｄ＿ＩＰ」１８−６には、通信許可する側のマシンのＩＰ（Internet Protocol）アドレスが格納される。Ｄ＿ＭＡＣとＤ＿ＩＰはマネージャが管理する許可証全てで一意とする。

［ａｃｃｅｓｓ．ｘ］１８−７には、通信要求する側（許可を求める側）である１または複数の端末の情報が格納される。［ａｃｃｅｓｓ．ｘ］１８−７は、「Ｓ＿ＭＡＣ」１８−８、「Ｐ＿ＮＵＭ」１８−９、「Ｐ＿ＶＥＣ」１８−１０を含む。「Ｓ＿ＭＡＣ」１８−８には、通信要求する側（許可を求める側）の端末のＭＡＣアドレスが格納される。「Ｐ＿ＮＵＭ」１８−９には、通信許可された場合に用いる通信方法（通信ポート番号またはプロトコル）が格納される。「Ｐ＿ＶＥＣ」１８−１０には、許可された各通信ポートの通信方向（０：端末からマシン、１：マシンから端末、２：双方向）が格納される。

ここで、マシン１２へのアクセスを許可する端末１９を追加、もしくは通信ポート（またはプロトコル）を追加するごとに、１つのレコードとして［ａｃｃｅｓｓ.ｘ］（Ｓ＿ＭＡＣ，Ｐ＿ＮＵＭ，Ｐ＿ＶＥＣ）の組合せが許可証１４へ追加される。なお、［ａｃｃｅｓｓ.ｘ］は、ｘ番目のアクセス許可レコードを表す。

図４は、本実施形態におけるエージェントを説明するための図である。マシンＡ、マシンＢ、端末１９には、それぞれ、オペレーティングシステム（ＯＳ）２１ａ，２１ｂ、２１ｃがインストールされている。ＯＳ２１ａ，２１ｂ、２１ｃ上で、アプリケーション処理部２２ａ，２２ｂ，２２ｃ及び通信処理部２４ａ，２４ｂ、２４ｃが起動している。

アプリケーション処理部２２ａ，２２ｂ，２２ｃは、ＳＳＨ（Secure SHell）、ＨＴＴＰ（Hypertext Transfer Protocol）等のアプリケーションプログラムを実行する。

エージェント１３（１３ａ，１３ｂ，１３ｃ）は、端末１９の許可証とマシン１２の許可証とが同一の場合に、その許可証に登録された、通信ポート番号（またはプロトコル）及び通信方向の通信を許可する。

図４に示すように、端末１９とマシンＡ（１２ａ）とは共に、許可証Ａ（１４ａ）を有するから、エージェント１３ａは、端末１９からの通信を許可する。一方、マシンＢ（１２ｂ）が有する許可証は、許可証Ｂ（１４ｂ）であり、端末１９とマシンＢ（１２ｂ）とが有する許可証は異なるから、エージェント１３ｂは、端末１９からの通信を許可しない。

通信処理部２４ａ，１４ｂ，２４ｃは、エージェント１３（１３ａ，１３ｂ，１３ｃ）により許可された通信情報を、アプリケーション処理部２２ａ，２２ｂ，２２ｃに送信する。

このように、通信制御装置の種類、増減に関わらずセキュリティを確保できる。また、端末のＩＰアドレスが変更される環境でも端末を識別してセキュリティを確保できる。

（実施例１）
実施例１におけるクラウドシステムは、図２で示すシステムと同じであり、許可証管理機能を持つマネージャ１６とアクセス制御を行うエージェント１３とを含む。許可証１４は、エージェント１３が、他のマシンまたは端末からのアクセスを許可するか否かを判断するために用いられる。

マネージャ１６にインストールされたクラウド基盤ソフトウェア１７には、許可証管理機能が追加されている。マネージャ１６は、許可証の管理（作成・配布・更新）を行う。

エージェント１３は、マシン１２と端末１９の許可証からアクセス可否を判断し、アクセス制御を行うソフトウェアである。エージェント１３は、マシン１２と端末１９へ導入される。マシン１２へのエージェント１３の導入は、運用側が利用者にマシン１２を提供する際、エージェント１３をインストールしたマシン１２を提供することにより、行われる。端末１９へのエージェント１３の導入は、エージェント１３がマネージャ１６からエージェント１３をダウンロードすることで行われる。マネージャ１６が管理するセグメントとの通信は、エージェント１３を介して行う。

許可証１４は、アクセス制御の情報としてマシン１２と端末１９との間で行う通信のための固有情報及び通信方法について登録された情報ファイルである。許可証１４は、マシン１２と端末１９の双方が保持する。許可証１４は、マシン１２と端末１９との組合せが正しいことを確認するために使う情報と、通信を許可するために用いる情報とを含む。

端末とマシンの組合せが正しいことを確認するために使う情報には、マシンのＭＡＣアドレス（Ｄ＿ＭＡＣ）、マシンのＩＰアドレス（Ｄ＿ＩＰ）、端末のＭＡＣアドレス（Ｓ＿ＭＡＣ）、許可証の管理番号（Ｍ＿ＮＵＭ）を含む。

通信を許可するために用いる情報は、通信ポート番号（またはプロトコル）（Ｐ＿ＮＵＭ）、各通信ポートの通信方向（０：端末からマシン、１：マシンから端末、２： 双方向)（Ｐ＿ＶＥＣ）を含む。

マシン１２へのアクセスを許可する端末１９を追加、もしくは通信ポート（またはプロトコル）を追加するごとに、許可証１４に対して、１つのレコードとして［ａｃｃｅｓｓ．ｘ］（Ｓ＿ＭＡＣ，Ｐ＿ＮＵＭ，Ｐ＿ＶＥＣ）の組合せが追加される。

図５は、本実施形態（実施例１）におけるマシンＡに対して、複数の端末（端末１、端末２）がアクセス許可された許可証の例を示す。図５では、マシンＡに対して、３つのアクセス（ａｃｃｅｓｓ．１、ａｃｃｅｓｓ．２、ａｃｃｅｓｓ．３）が許可されている。

ａｃｃｅｓｓ．１では、端末Ｔ１がＳＳＨを用いてマシンＡにアクセスすることを示している。ａｃｃｅｓｓ．２では、端末Ｔ２がＨＴＴＰを用いてマシンＡにアクセスすることを示している。ａｃｃｅｓｓ．３では、端末Ｔ２が通信ポート番号８０８０を用いてマシンＡにアクセスすることを示している。

なお、マシン１２が通信ネットワーク上より削除された場合、そのマシン１２への接続を許可する許可証はすべて破棄される。具体的には、マネージャ１６が、クラウド基盤ソフトウェア１７の管理対象のマシンから、いずれかのマシンが削除されたことを検出すると、マネージャ１６は許可証管理テーブル１８から、その削除されたマシンのＤ＿ＭＡＣ及びＤ＿ＩＰを含む管理番号（Ｍ＿ＮＵＭ）のレコードを削除する。

図６は、本実施形態（実施例１）における、マシンが追加された場合の処理を説明するための図である。クラウド基盤ソフトウェア１７により、クラウド環境を構築するための情報が、物理マシンまたは仮想マシン等のマシンに配備される。新しくクラウドシステムを構築する場合や、クラウドシステムを拡張する場合、クラウド基盤ソフトウェアが管理する対象に、新たにマシンが追加される。この場合について説明する。

端末Ｔ１は、マネージャ１６へ、クラウドシステムへ新たに追加するマシンＡの利用を申請するための申請情報を送信する（Ｓ１）。この際、端末Ｔ１は、以下に示すように、一例として、通信ポート番号（またはプロトコル）と、通信方向をその申請情報に含める。

端末１とマシンＡの通信に用いるプロトコル：ＳＳＨ
通信方向：端末１からマシンＡ

マネージャ１６は、マシンＡにエージェント１３を導入し、マシンＡを利用可能な状態にする（Ｓ２）。

マネージャ１６は、端末Ｔ１とマシンＡのアクセス制御情報を許可証Ａへ登録する（Ｓ３）。すると、図７に示す許可証Ａが得られる。マネージャ１６は、マシンＡへ許可証Ａを配布する（Ｓ４）。

端末Ｔ１は、マネージャ１６から、許可証Ａとエージェント（エージェントがない場合）を導入する（Ｓ５）。なお、端末Ｔ１は、自分がアクセス許可された許可証Ａをいつでもダウンロードできる。

次に、アクセス許可を受けている端末から新規の端末のクラウドシステムへの追加要求がされる場合について説明する。

図８は、本実施形態（実施例１）におけるアクセス許可を要求する端末が追加される場合の処理を説明するための図である。図９は、本実施形態（実施例１）における、更新前後の許可証の一例を示す。

許可証Ａを保有する端末Ｔ１は、マネージャ１６に、図９（Ａ）に示すように既に作成されている許可証Ａに、端末Ｔ２からのアクセスを許可する内容を追加するように要求する（Ｓ１１）。このとき、端末Ｔ１は、以下に示すように、その依頼時に端末Ｔ２の情報（端末Ｔ２のＭＡＣ、通信ポート番号、通信方向）を伝える。

端末Ｔ２のＭＡＣアドレス： Ｂ０：ＡＣ：ＦＡ：３２：Ａ１：ＤＦ
端末Ｔ２が用いる通信プロトコル：ＨＴＴＰ

マネージャ１６は、図９（Ｂ）に示すように、許可証Ａに、端末Ｔ２の情報を追加することにより、許可証Ｘを作成する（Ｓ１２）。

マネージャ１６は、許可証Ａを持つマシンＡに許可証Ｘを配布し、マシンＡの許可証Ａを許可証Ｘに更新する（Ｓ１３）。

許可証Ａを持つ端末Ｔ１は、マネージャ１６から、許可証Ｘをダウンロードし、許可証Ａを許可証Ｘに更新する（Ｓ１４）。

端末Ｔ２は、マネージャ１６から、エージェント１６と許可証Ｘとをダウンロードする（Ｓ１５）。

図１０は、本実施形態（実施例１）における、マネージャの許可証発行処理フローを示す。マネージャ１６は、情報を受信する（Ｓ２１）。マネージャ１６は、その受信した情報が、クラウドシステムへ新たに追加するマシンの利用申請であるか否かを判定する（Ｓ２１）。ここで、利用申請は、例えば仮想マシンの配備要求であってもよい。

受信した情報が、クラウドシステムへ新たに追加されるマシンの利用申請である場合（Ｓ２２で「Ｙｅｓ」）、マネージャ１６は、マシンにエージェント１３を追加し、マシンを利用可能な状態にする（Ｓ２３）。マシンにエージェントを追加し、マシンを利用可能な状態にする。ここで、追加されるマシンが物理マシンの場合には、マネージャ１６は、エージェント１３をその物理マシンに送信すると、その物理マシンはそのエージェントをインストールする。追加されるマシンが仮想マシンの場合には、マネージャ１６は、仮想マシンを生成して、指定された物理マシンにその生成した仮想マシンを配備し、その仮想マシンにエージェント１３を提供する。

マネージャ１６は、新たに追加されるマシンの固有情報（Ｄ＿ＭＡＣ、Ｄ＿ＩＰ）と、そのマシンへのアクセスを許可する端末の固有情報（Ｓ＿ＭＡＣ）と指定された通信方法（Ｐ＿ＮＵＭ、Ｐ＿ＶＥＣ）に基づいて、許可証を生成する（Ｓ２４）。

マネージャ１６は、新たに追加されるマシンに、生成した許可証を配布する（Ｓ２５）。さらに、マネージャ１６は、エージェントがインストールされた端末からの要求に応じて、許可証を提供する（Ｓ２６）。このとき、端末にエージェントがインストールされていない場合、マネージャは、許可証だけでなく、エージェント１３も端末に提供する。

受信した情報が、クラウドシステムを構築するいずれかのマシンへのアクセスを許可する端末の追加を依頼する依頼情報である場合（Ｓ２２で「Ｎｏ」、Ｓ２７で「Ｙｅｓ」）、マネージャ１６は、そのマシンへのアクセスについての許可証に、追加依頼の対象の端末の情報を追加して、許可証を更新する（Ｓ２８）。

マネージャ１６は、更新した許可証に対応するマシンに、その更新した許可証を配布する（Ｓ２９）。また、マネージャ１６は、追加依頼をした端末からの要求に応じて、許可証をその端末に提供する（Ｓ３０）。さらに、マネージャ１６は、追加依頼により追加された端末からの要求に応じて、エージェント１３と、その更新した許可証を、その追加された端末に提供する（Ｓ３１）。

図１１は、本実施形態（実施例１）における端末からマシンへアクセスする場合の処理を説明するための図である。図１２は、図１１において用いられる許可証の例を示す。まずは、図１２（Ａ）に示す許可証Ａを持つ端末Ｔ１から、その許可証Ａと同一の許可証Ａを持つマシンＡへのアクセスが行われる場合について説明する。

（Ａ１）端末Ｔ１は、マシンＡへ通信するために、マシンＡのエージェントへ接続する。その際に、端末Ｔ１のエージェント１３ｃは、端末Ｔ１が保持する許可証Ａの内容（許可証）情報をマシンＡへ送信する。

（Ａ２）マシンＡのエージェント１３ａは、端末Ｔ１から送信された許可証情報を確認する。ここでは、マシンＡのエージェント１３ａは、端末Ｔ１から送信された許可証情報を確認し、その中にマシンＡが持つ許可証Ａと同一の許可証が存在することを確認する。

（Ａ３）マシンＡのエージェント１３ａは、通信に用いるアプリケーションに対して端末Ｔ１が許可証Ａに記載された通信プロトコル（例：ＳＳＨ）でアクセスすることを許可する。

次に、図１２（Ｂ）に示す許可証Ｂを持たない端末Ｔ１から許可証Ｂを持つマシンBへのアクセスが行われる場合について説明する。

（Ｂ１）端末Ｔ１は、マシンＢへ通信するために、マシンＢのエージェント１３ｂへ接続する。その際に、端末Ｔ１のエージェント１３ｃは端末Ｔ１が保持する許可証Ａの内容（許可証）情報をマシンＢへ送信する。

（Ｂ２）マシンＢのエージェント１３ｂは、端末Ｔ１から送信された許可証情報を確認する。ここでは、マシンＢのエージェント１３ｂは、端末Ｔ１から送信された許可証情報を確認し、その中にマシンＢが持つ許可証Ｂと同一の許可証が存在しないことを確認する。

（Ｂ３）マシンＢのエージェント１３ｂは、通信に用いるアプリケーションへの端末Ｔ１によるアクセスを拒絶する。

図１３及び図１４は、本実施形態（実施例１）における、エージェントが導入された端末から、エージェントが導入されたマシンへの通信の際に、エージェントが実行する判定処理フローを示す。

端末側のエージェントＴＡは、端末がこれから送信しようとする通信情報に含まれるヘッダ情報から通信先情報（ＭＡＣアドレス、ＩＰアドレス）を取得する（Ｓ４１）。

エージェントＴＡは、Ｓ４１で、ヘッダ情報から取得した通信先情報（ＭＡＣアドレス、ＩＰアドレス）が、当該エージェントＴＡが有する許可証に登録された通信先情報（Ｄ＿ＭＡＣ、Ｄ＿ＩＰ）と一致するか否かを判定する（Ｓ４２）。

ヘッダ情報から取得した通信先情報（ＭＡＣアドレス、ＩＰアドレス）が、当該エージェントＴＡが有する許可証に登録された通信先情報（Ｄ＿ＭＡＣ、Ｄ＿ＩＰ）と一致しない場合（Ｓ４２で「Ｎｏ」）、エージェントＴＡは、次の処理を行う。すなわち、エージェントＴＡは、何の処理もせず、そのまま通信を遮断する（Ｓ４３）。

ヘッダ情報から取得した通信先情報（ＭＡＣアドレス、ＩＰアドレス）が、当該エージェントＴＡが有する許可証に登録された通信先情報（Ｄ＿ＭＡＣ、Ｄ＿ＩＰ）と一致する場合（Ｓ４２で「Ｙｅｓ」）、エージェントＴＡは、次の処理を行う。すなわち、エージェントＴＡは、自身が保持する許可証から、マシンへのアクセスが許可された端末のＭＡＣアドレス（Ｓ＿ＭＡＣ）を全て取得する（Ｓ４４）。

エージェントＴＡは、許可証から取得したＭＡＣアドレス（Ｓ＿ＭＡＣ）のうち、当該エージェントＴＡがインストールされた端末のＭＡＣアドレスと同じＭＡＣアドレスがあるか否かを判定する（Ｓ４５）。

許可証から取得したＭＡＣアドレス（Ｓ＿ＭＡＣ）のうち、エージェントＴＡがインストールされた端末のＭＡＣアドレスと同じＭＡＣアドレスがない場合（Ｓ４５で「Ｎｏ」）、エージェントＴＡは、次の処理を行う。すなわち、エージェントＴＡは、これから行おうとする通信は許可証を不正に利用するものと判定して、その通信を遮断する（Ｓ４６）。

許可証から取得したＭＡＣアドレス（Ｓ＿ＭＡＣ）のうち、エージェントＴＡがインストールされた端末のＭＡＣアドレスと同じＭＡＣアドレスがある場合（Ｓ４５で「Ｙｅｓ」）、エージェントＴＡは、次の処理を行う。すなわち、エージェントＴＡは、通信情報と共に、許可証を通信先へ送信する（Ｓ４７）。このとき、エージェントＴＡは、ヘッダ部とデータ部から形成される通信情報のうちのデータ部に、エージェントＴＡがインストールされた端末のＭＡＣアドレスをセットする。

マシンは、端末から送信された通信情報及び許可証を受信する（Ｓ４８）。すると、マシン側のエージェントＭＡは、その受信した許可証と同一の許可証を保持しているか否かを判定する（Ｓ４９）。

端末から送信された許可証と同一の許可証を有していない場合（Ｓ４９で「Ｎｏ」）、エージェントＭＡは、その端末は当該マシンへのアクセス権限を有していないと判定し、その端末との通信を遮断する（Ｓ５０）。

端末から送信された許可証と同一の許可証を有している場合（Ｓ４９で「Ｙｅｓ」）、エージェントＭＡは、次の処理を行う。すなわち、エージェントＭＡは、受信した通信情報から取得したＭＡＣアドレスと同じＭＡＣアドレスが、当該マシンへのアクセスが許可された端末（Ｓ＿ＭＡＣ）として許可証に登録されているか否かを判定する（Ｓ５１）。ここで、受信した通信情報から取得したＭＡＣアドレスとは、Ｓ４７で通信情報のうちのデータ部にセットされた送信元の端末のＭＡＣアドレスである。なお、送信元の端末のＭＡＣアドレスの取得方法は、これに限定されない。例えば、ホストチェック機能をもつサーバを用いて、受信した通信情報のＭＡＣアドレスを検出するようにしてもよい。

受信した通信情報から取得したＭＡＣアドレスと同じＭＡＣアドレスが、当該マシンへのアクセスが許可された端末（Ｓ＿ＭＡＣ）として許可証に登録されていない場合（Ｓ５１で「Ｎｏ」）、エージェントＭＡは、次の処理を行う。すなわち、エージェントＭＡは、許可証を有する正規の端末のＭＡＣアドレスを偽装した端末からの通信と判定して、その端末との通信を遮断する（Ｓ５２）。

受信した通信情報から取得したＭＡＣアドレスと同じＭＡＣアドレスが、当該マシンへのアクセスが許可された端末（Ｓ＿ＭＡＣ）として許可証に登録されている場合（Ｓ５１で「Ｙｅｓ」）、エージェントＭＡは、次の処理を行う。すなわち、そのエージェントＭＡを有しているマシンのＭＡＣアドレスおよびＩＰアドレスと同じＭＡＣアドレスおよびＩＰアドレスが、許可証の通信先マシン情報（ＭＡＣアドレス、ＩＰアドレス）と一致するか否かを判定する（Ｓ５３）。

エージェントＭＡを有しているマシンのＭＡＣアドレスおよびＩＰアドレスと同じＭＡＣアドレスおよびＩＰアドレスが、許可証の通信先マシン情報（ＭＡＣアドレス、ＩＰアドレス）と一致しない場合（Ｓ５３で「Ｎｏ」）、エージェントＭＡは、次の処理を行う。すなわち、エージェントＭＡは、許可証が不正にキャプチャされたと判定して、通信を遮断する（Ｓ５４）。

エージェントＭＡを有しているマシンのＭＡＣアドレスおよびＩＰアドレスと同じＭＡＣアドレスおよびＩＰアドレスが、許可証の通信先マシン情報（ＭＡＣアドレス、ＩＰアドレス）と一致する場合（Ｓ５３で「Ｙｅｓ」）、エージェントは、次の処理を行う。すなわち、エージェントＭＡは、その許可証を送信した端末が、許可証に登録されたプロトコルで、当該マシンにアクセスすることを許可する。これにより、端末とマシンとの間で通信が確立する。

（実施例２）
次に、エージェントの導入・有効化のタイミングについて説明する。上述した第１技術では、端末とサーバの通信の正当性チェックのために、許可証割り当て装置が割り当てる許可証を用いている。しかし、第１技術では下記の２点の問題を解決できない。

（ｉ）許可証があれば、別の端末からアクセスできる仕組みのため、コピーした許可証による別端末からの不正アクセスを防げない。
（ｉｉ）運用者レスでセキュリティを確保する場合の必須事項であるマシン配備直後のセキュリティを確保できない。

本実施形態では、端末とマシンそれぞれへエージェントを導入し、アクセス制御を行うため、上記の問題に対処できる。すなわち、上記（ｉ）について、アクセス制御における許可証の確認フェーズで、端末が正当なアクセス権を持つか特定するため、その問題は解決できる。

（ｉｉ）について、マシンの配備後にセキュリティの確保ができるまで、マネージャ側がクラウドシステム内のネットワークを外部に開放しないように制御する。

本実施形態では、エージェントを所定のタイミングで導入・有効化することでセキュリティが確保される。このエージェントの導入・有効化するタイミングとして、次の場合を考える。
（ａ）エージェントの導入済みマシンを配備する場合で、かつ
（ａ−１）配備後に強制的にエージェントを有効化する場合、または
（ａ−２）利用者がエージェントを有効化するかしないか選択できる場合
（ｂ）エージェントの導入されていないマシンを配備し、利用者がエージェント導入のタイミングを選択できる場合
以下では、上記（ａ−１）、（ａ−２）、及び（ｂ）に対して、図を用いて流れを説明する。

図１５は、本実施形態（実施例２−１）における、エージェントを導入した状態で配備したマシンに対して、配備後に強制的にエージェントを有効化する場合について説明するための図である。

端末１９は、マネージャ１６へマシン１２の配備を依頼する（Ｓ６１）。マネージャ１６は、マシン（エージェント１３を導入済）１２を配備する（Ｓ６２）。マネージャ１６は、端末１９とマシン１２、マネージャ１６の情報を用いて許可証を作成する（Ｓ６３）。マネージャ１６は、マシン１２へ許可証を配布する（Ｓ６４）。

マネージャ１６は、マシン１２のエージェント１３を有効化する（Ｓ６５）。マネージャ１６は、マシン１２を外部ネットワークへ開放し、ネットワーク経由で外部からマシン１２へアクセスできるようにする（Ｓ６６）。

端末１９は、マネージャ１６からエージェント１３を取得する（Ｓ６７）。端末１９は、マネージャ１６から許可証を取得する（Ｓ６８）。端末１９は、端末１９のエージェント１３を通じてマシン１２へアクセスする（Ｓ６９）。端末１９とマシン１２双方のエージェントはそれぉれ、アクセスの正当性をチェックする（Ｓ７０）。

実施例２−１によれば、Ｓ６５において、マシン１２を外部ネットワークへ開放する前にエージェントを有効化するため、アクセスが許可されていない端末からアクセスできるようになる前にセキュリティを確保できる。

図１６は、本実施形態（実施例２−２）における、エージェントを導入した状態で配備したマシンに対して、利用者がエージェントを有効化するかしないかを選択できる場合について説明するための図である。

端末１９は、マネージャ１６へマシン１２の配備を依頼する（Ｓ８１）。このとき、ユーザはエージェントを有効化するタイミング（ネットワーク開放前・後）を指定できるものとする。

マネージャ１６は、マシン（エージェント１３が導入されている）１２を配備する（Ｓ８２）。マネージャ１６は、端末１９とマシン１２、マネージャ１３の情報を用いて許可証を作成する（Ｓ８３）。マネージャ１６は、マシン１２へ許可証を配布する（Ｓ８４）。

Ｓ８１で、エージェント１３の有効化のタイミングを「ネットワーク開放前」と指定した場合、マネージャ１６は、マシン１２のエージェント１３を有効化する（Ｓ８５）。マネージャ１６は、マシン１２を外部ネットワークへ開放し、ネットワーク経由で外部からマシン１２へアクセスできるようにする（Ｓ８６）。

Ｓ８１で、エージェント１３の有効化のタイミングを「ネットワーク開放後」と指定した場合、ユーザは、マシン１２のエージェント１３を、以降任意のタイミングで有効化できるものとする（Ｓ８７）。エージェントを有効化する場合、端末１９はマネージャ１６にマシンのエージェントの有効化を依頼する。その依頼を受けると、マネージャ１６は、マシン１２のエージェント１３を有効化する。

端末１９は、マネージャ１６からエージェント１３を取得する（Ｓ８８）。端末１９は、マネージャ１６から許可証を取得する（Ｓ８９）。

（マシンのエージェントが有効化されている場合）、端末１９は、端末１９のエージェント１３を通じてマシン１２へアクセスする。（マシンのエージェントが有効化されていない場合）、端末１９は、通常のアクセス方法（ＳＳＨなど）でマシン１２へアクセスする。（Ｓ９０）
（マシン１２のエージェント１３が有効化されている場合）、端末１９とマシン１２双方のエージェント１３は、アクセスの正当性をチェックする。（マシン１２のエージェント１３が有効化されていない場合）、端末１９とマシン１２のエージェント１３は、アクセスの正当性をチェックしない（Ｓ９１）。

実施例２−２によれば、エージェント１３を導入済みのマシン１２を配備し、利用者がエージェント１３を有効化するタイミングを選択できる場合、Ｓ８５で、そのマシン１２を外部ネットワークへ開放する前にエージェント１３を有効化できる。そのため、アクセスが許可されていない端末から接続できるようになる前にセキュリティを確保できる。

図１７は、本実施形態（実施例２−３）における、エージェントの導入されていないマシンを配備し、利用者がエージェント導入のタイミングを選択できる場合について説明するための図である。

端末１９は、マネージャ１６へマシン１２の配備を依頼する（Ｓ１０１）。このとき、ユーザは、エージェント１３を導入するタイミング（ネットワーク開放前・後）を指定できるものとする。マネージャ１６は、マシン（エージェントは導入されていない）１２を配備する（Ｓ１０２）。

Ｓ１０１でエージェント１３の導入のタイミングを「ネットワーク開放前」と指定した場合、マネージャ１６は、マシン１２へエージェント１３を導入する（Ｓ１０３）。マネージャ１６は、端末１９とマシン１２、マネージャ１６の情報を用いて許可証を作成する（Ｓ１０４）。マネージャ１６は、マシン１２へ許可証を配布する（Ｓ１０５）。

Ｓ１０３で、エージェント１３を導入した場合、マネージャ１６はエージェント１３を有効化する（Ｓ１０６）。

マネージャ１６は、マシン１２を外部ネットワークへ開放し、ネットワーク経由で外部からマシン１２へアクセスできるようにする（Ｓ１０７）。

Ｓ１０１で、エージェント導入のタイミングを「ネットワーク開放後」と指定した場合、マシン１２のエージェント１３を、以降任意のタイミングで導入できるものとする。エージェントを導入する場合、端末１９はマネージャ１６に、マシン１２へのエージェント１３の導入を依頼する。依頼を受けると、マネージャ１６は、マシン１２へエージェントを導入し有効化する（Ｓ１０８）。

端末１９は、マネージャ１６からエージェント１３を取得する（Ｓ１０９）。端末１９は、マネージャ１６から許可証を取得する（Ｓ１１０）。

マシンにエージェントが導入・有効化されている場合、端末１９は、端末１９のエージェント１３を通じてマシン１２へアクセスする。（マシン１２にエージェント１３が導入されていない場合）、端末１９は、通常のアクセス方法（ＳＳＨなど）でマシン１２へアクセスする（Ｓ１１１）。

実施例２−３によれば、エージェント１３を導入していないマシンを配備する場合も、Ｓ１０３でエージェント１３を導入し、Ｓ１０６で、マシン１２を外部ネットワークへ開放する前にエージェント１６を有効化できるため、アクセスが許可されていない端末から接続できるようになる前にセキュリティを確保できる。

図１８は、本実施形態におけるプログラムを実行するコンピュータのハードウェア環境の構成ブロック図の一例である。コンピュータ４０は、マシン１２、マネージャ１６が稼動する管理装置、または端末１９として機能する。コンピュータ４０は、ＣＰＵ４２、ＲＯＭ４３、ＲＡＭ４６、通信Ｉ／Ｆ４４、記憶装置４７、出力Ｉ／Ｆ４１、入力Ｉ／Ｆ４５、読み取り装置４８、バス４９、出力機器５１、入力機器５２によって構成されている。

ここで、ＣＰＵは、中央演算装置を示す。ＲＯＭは、リードオンリメモリを示す。ＲＡＭは、ランダムアクセスメモリを示す。Ｉ／Ｆは、インターフェースを示す。バス４９には、ＣＰＵ４２、ＲＯＭ４３、ＲＡＭ４６、通信Ｉ／Ｆ４４、記憶装置４７、出力Ｉ／Ｆ４１、入力Ｉ／Ｆ４５、及び読み取り装置４８が接続されている。読み取り装置４８は、可搬型記録媒体を読み出す装置である。出力機器５１は、出力Ｉ／Ｆ４１に接続されている。入力機器５２は、入力Ｉ／Ｆ４５に接続にされている。

記憶装置４７としては、ハードディスク、フラッシュメモリ、磁気ディスクなど様々な形式の記憶装置を使用することができる。記憶装置４７またはＲＯＭ４３には、本実施形態に係るプリグラムが格納されている。ＲＡＭ４６には、情報が一時的に記憶される。

ＣＰＵ４２は、記憶装置４７またはＲＯＭ４３から本実施形態の処理に係るプログラムを読み出し、当該プログラムを実行する。例えば、コンピュータ４０がマネージャ１６として機能する場合、ＣＰＵ４２は、受付部２、生成部３、送信部４、導入部５、追加部６、第１更新制御部７、第２更新制御部８、提供部９として機能する。

上記実施形態で説明した処理を実現するプログラムは、プログラム提供者側から通信ネットワーク５０、および通信Ｉ／Ｆ４４を介して、例えば記憶装置４７に格納されてもよい。また、上記実施形態で説明した処理を実現するプログラムは、市販され、流通している可搬型記憶媒体に格納されていてもよい。この場合、この可搬型記憶媒体は読み取り装置４８にセットされて、ＣＰＵ４２によってそのプログラムが読み出されて、実行されてもよい。可搬型記憶媒体としてはＣＤ−ＲＯＭ、フレキシブルディスク、光ディスク、光磁気ディスク、ＩＣカード、ＵＳＢメモリ装置など様々な形式の記憶媒体を使用することができる。このような記憶媒体に格納されたプログラムが読み取り装置４８によって読み取られる。

また、入力機器５２には、キーボード、マウス、電子カメラ、ウェブカメラ、マイク、スキャナ、センサ、タブレットなどを用いることが可能である。また、出力機器５１には、ディスプレイ、プリンタ、スピーカなどを用いることが可能である。また、ネットワーク５０は、インターネット、ＬＡＮ、ＷＡＮ、専用線、有線、無線等の通信網であってよい。

本実施形態によれば、利用者がマシンを配備した瞬間からセキュリティを確保できる。また、同じ許可証を保持するマシンに対してだけ端末から通信を確立できるようになり、クラウド環境下でのマシン運用において利用者が自分でセキュリティを確保できる。

また、通信制御装置でアクセス制御を行う場合、通信制御装置のアクセス制御設定を参照してアクセス許可／拒否を決定する場合がある。この場合、アクセス数が増加するとアクセス制御設定の参照時に負荷が高まり通信のボトルネックとなる。それに対して、本実施形態では、アクセス制御を個々のエージェントが行うことでアクセス制御設定を削減でき、負荷の高まりを減らして通信制御装置のボトルネック化を防ぐことができる。

なお、本発明は、以上に述べた実施の形態に限定されるものではなく、本発明の要旨を逸脱しない範囲内で種々の構成または実施形態を取ることができる。

１ 配備制御装置
２ 受付部
３ 生成部
４ 送信部
５ 導入部
６ 追加部
７ 第１更新制御部
８ 第２更新制御部
９ 提供部
１１ クラウドシステム
１２（１２ａ，１２ｂ） マシン
１３（１３ａ，１３ｂ，１３ｃ） エージェント
１４（１４ａ，１４ｂ，１４ｃ） 許可証
１５ 通信制御装置
１６ マネージャ
１７ クラウド基盤ソフトウェア
１８ 許可証管理テーブル
１９ 端末

Claims (9)

1. コンピュータに、
   端末装置からの仮想計算機の配備要求を受け付け、
   受け付けた前記配備要求に応じて、前記配備要求を送信した端末装置の固有情報に対応する許可情報を保持し、かつ、保持された前記許可情報を有する端末装置からのアクセスを選択的に許容する前記仮想計算機を生成し、
   前記固有情報に対応する許可情報を、前記配備要求を送信した端末装置に送信する
   処理を実行させることを特徴とする配備制御プログラム。
2. 前記仮想計算機の生成において、
   該仮想計算機に、前記保持された許可情報を有する端末装置からのアクセスを選択的に許容するエージェントプログラムを導入する
   ことを特徴とする請求項１に記載の配備制御プログラム。
3. 前記仮想計算機の生成において、さらに、
   前記仮想計算機に導入した前記エージェントプログラムを有効にした後に、該仮想計算機の通信機能を有効にする
   ことを特徴とする請求項２に記載の配備制御プログラム。
4. 前記配備要求において、前記エージェントプログラムを有効にした後に、該仮想計算機の通信機能を有効することが指定されている場合、前記仮想計算機の生成において、前記仮想計算機に導入した前記エージェントプログラムを有効にした後に、該仮想計算機の通信機能を有効にする
   ことを特徴とする請求項３に記載の配備制御プログラム。
5. 前記配備要求において、前記仮想計算機の通信機能を有効する前に前記エージェントプログラムを導入することが指定されている場合、前記仮想計算機の生成において、前記仮想計算機に前記エージェントプログラムを導入し、前記エージェントプログラムに前記配備要求を送信した端末装置の固有情報に対応する許可情報を前記仮想計算機に提供し、前記仮想計算機に導入した前記エージェントプログラムを有効にした後に、該仮想計算機の通信機能を有効にする
   ことを特徴とする請求項３に記載の配備制御プログラム。
6. 前記コンピュータに、さらに、
   前記配備要求を受け付けた際に、該配備要求を送信した端末装置に、前記許可情報を有する前記仮想計算機からのアクセスを選択的に許容するエージェントプログラムが導入されていない場合、該端末装置に該エージェントプログラムを導入する
   ことを特徴とする請求項１〜５のうちいずれか１項に記載の配備制御プログラム。
7. 前記コンピュータに、さらに、
   前記配備要求を送信した第１端末装置の固有情報に対応する第１許可情報を有する第１端末装置から送信された、第２端末への許可情報の発行要求に応じて、前記第１許可情報に、該第２端末装置の固有情報に対応する許可情報を追加した第２許可情報を生成し、
   前記仮想計算機に対して、生成した前記第２許可情報を提供して、前記仮想計算機が保持する前記第１許可情報を前記第２許可情報に更新させ、
   前記第１端末装置からの要求に応じて、前記第１端末装置に前記第２許可情報を提供して、前記第１端末装置が保持する前記第１許可情報を前記第２許可情報に更新させ、
   前記第２端末装置からの要求に応じて、前記第２端末装置に前記第２許可情報を提供する
   ことを特徴とする請求項１〜６のうちいずれか１項に記載の配備制御プログラム。
8. 端末装置からの仮想計算機の配備要求を受け付ける受付部と、
   受け付けた前記配備要求に応じて、前記配備要求を送信した端末装置の固有情報に対応する許可情報を保持し、かつ、保持された前記許可情報を有する端末装置からのアクセスを選択的に許容する前記仮想計算機を生成する生成部と、
   前記固有情報に対応する許可情報を、前記配備要求を送信した端末装置に送信する送信部と、
   を備えることを特徴とする配備制御装置。
9. コンピュータが、
   端末装置からの仮想計算機の配備要求を受け付け、
   受け付けた前記配備要求に応じて、前記配備要求を送信した端末装置の固有情報に対応する許可情報を保持し、かつ、保持された前記許可情報を有する端末装置からのアクセスを選択的に許容する前記仮想計算機を生成し、
   前記固有情報に対応する許可情報を、前記配備要求を送信した端末装置に送信する、
   ことを特徴とする配備制御方法。

Images