JP2017028522A - アクセス管理システム及びアクセス管理方法 - Google Patents

Abstract

【課題】複雑化するネットワーク形態においても、柔軟に利用者を認証し、ネットワークリソースの割当を実現することのできるアクセス管理システム等を提供する。【解決手段】本アクセス管理システムは、第１のネットワーク内のクライアントから、第１のネットワーク外部のサーバへの通信パケット受信するスイッチと、クライアントの認証処理を行うための認証インタフェースと、認証インタフェースによる認証処理の結果、認証が許可された場合に、認証インタフェースからの指示を受信するコントローラであって、指示に基づいてクライアントが認証済みであることを記録する、コントローラと、を備える。スイッチは、例えば、クライアントが未認証のとき、クライアントを認証インタフェースに接続し、クライアントが認証済みのとき、クライアントをサーバに接続する。【選択図】図１

Description

本発明はアクセス管理技術に関する。

近年、クラウドサービスが本格的に利用され、ネットワークでの利用形態が変化してきている。自社運用や社内運用といったオンプレミスでの各種サーバへのアクセスを主としたものから、各種パブリックサービスの利用も含めた、プライベートやパブリッククラウドへのアクセスに変化してきている。ネットワークトポロジー的には、ルータ等のポリシーベースのネットワークから、スイッチベースのＶＬＡＮ（Virtual LAN）化が進んでいる。また、サーバも仮想化が進展し、ネットワーク自体の仮想化もＳＤＮ（Software Defined Network）をベースに始まっている。このような複雑化するネットワーク形態を制御するための技術として、オープンフロー（ＯｐｅｎＦｌｏｗ）などが提案されている（特許文献１参照）。

国際公開第２０１２／０８６８１６号

このように複雑化するネットワーク形態においても、利用者を認証し、ネットワークリソースを割り当てるなどのアクセスを管理することが求められる。

本発明はかかる実情に鑑みてなされたものであり、複雑化するネットワーク形態においても、柔軟に利用者を認証し、ネットワークリソースの割当を実現することのできるアクセス管理システム等を提供しようとするものである。

本発明の所定の実施形態に係るアクセス管理システムは、第１のネットワーク内のクライアントから、第１のネットワーク外部のサーバへの通信パケット受信するスイッチであって、クライアントが未認証のとき、クライアントを認証インタフェースに接続し、クライアントが認証済みのとき、クライアントをサーバに接続する、スイッチと、クライアントの認証処理を行うための認証インタフェースと、認証インタフェースによる認証処理の結果、認証が許可された場合に、認証インタフェースからの指示を受信するコントローラであって、指示に基づいて、クライアントが認証済みであることを記録する、コントローラと、を備える。

また、本発明の所定の実施形態に係るアクセス管理方法は、スイッチと、認証インタフェースと、コントローラとを備えるシステムにおいて、第１のネットワーク内のクライアントから第１のネットワーク外部のサーバへのアクセスを管理する方法を含む。この方法は、スイッチが、第１のネットワーク内のクライアントから、第１のネットワーク外部のサーバへの通信パケット受信すること、クライアントが未認証のとき、スイッチが、クライアントを認証インタフェースに接続すること、クライアントが認証済みのとき、スイッチが、クライアントをサーバに接続すること、認証インタフェースが、クライアントの認証処理を行うこと、認証インタフェースによる認証処理の結果、認証が許可された場合に、コントローラが、認証インタフェースからの指示を受信すること、コントローラが、指示に基づいて、クライアントが認証済みであることを記録すること、を含み得る。

本発明の所定の実施形態に係るプログラムは、上述の方法の各処理の少なくとも一部をコンピュータに実行させるものである。ここでいうコンピュータとは、ホストコンピュータのみならず、ＰＣ（パーソナルコンピュータ）、特定用途の通信機器、その他任意の情報処理装置を含む。かかるプログラムは、ＣＤ−ＲＯＭ等の光学ディスク、磁気ディスク、半導体メモリなどの各種のコンピュータ読み取り可能な記録媒体を通じて、又は、通信ネットワークなどを介してアプリケーション等をダウンロードすることにより、コンピュータにインストール又はロードすることができる。

本発明の所定の実施形態によれば、複雑化するネットワーク形態においても、柔軟に利用者を認証し、ネットワークリソースの割当を実現することができる。

第１の実施形態に係るアクセス管理システム１を含むネットワーク構成の一例を示す概略図である。 第１の実施形態におけるアクセス管理処理の流れの一例を示すフローチャートである。 第１の実施形態において、未認証のクライアントＸ４０ｘからの通信に対して行われる処理の概略図である。 第１の実施形態において、未認証のクライアントＸ４０ｘの認証を許可する際の処理の概略図である。 第１の実施形態において、認証済みのクライアントＸ４０ｘからの通信に対して行われる処理の概略図である。 第２の実施形態に係るアクセス管理システム１’を含むネットワーク構成の一例を示す概略図である。 第２の実施形態において、未認証のクライアントＸ４０ｘからの通信に対して行われる処理の概略図である。 第２の実施形態において、未認証のクライアントＸ４０ｘの認証を許可する際の処理の概略図である。 第２の実施形態において、認証済みのクライアントＸ４０ｘからの通信に対して行われる処理の概略図である。

以下、本発明の実施の形態について図面を参照しつつ詳細に説明する。なお、同一の要素には同一の符号を付し、重複する説明を省略することがある。また、以下の実施の形態は、本発明を説明するための例示であり、本発明をその実施の形態のみに限定する趣旨ではない。さらに、本発明は、その要旨を逸脱しない限り、さまざまな変形が可能である。

［第１の実施形態］
図１は、本発明の一実施形態に係るアクセス管理システム１を含むネットワーク構成の一例を示す概略図である。同図に示すとおり、本実施形態において、アクセス管理システム１は、単体のエッジ装置１０により構成される。

エッジ装置１０は、認証機能を持つハードウェアアプライアンスであり、ネットワーク通信経路に設置することで、ネットワーク内部からのアクセスに対する認証ゲートウェイとして機能し、認証済みの通信を通過させ、それ以外の通信を遮断する。

図１に示す実施例において、エッジ装置１０は、少なくとも２つのネットワークポート１０１，１０２を備える。一方のネットワークポート１０１は第１のネットワークＮ１に接続され、他方のネットワークポート１０２は第２のネットワークＮ２に接続される。

認証サーバ３０は、アカウント管理と認証の許可または拒否を判断するためのサーバ装置である。図１において、認証サーバ３０は、サーバ５０側の第２のネットワークＮ２内に設置された場合が図示されているが、これに限られず、認証サーバ３０は、クライアント４０側の第１のネットワークＮ１内に設置されていてもよい。

クライアント４０は、第１のネットワークＮ１内に位置するクライアント装置である。例えば、ＰＣ（パーソナルコンピュータ）、ノート型ＰＣ、タブレット端末、スマートフォン、携帯情報端末（ＰＤＡ）、その他任意の情報機器により構成され得る。

サーバ５０は、第１のネットワークＮ１の外部に位置するサーバコンピュータなど、第２のネットワークＮ２内に位置する任意のコンピュータである。

例えば、本アクセス管理システム１を大学の構内で用いる場合を例示すると、クライアント４０は学生等が使用するＰＣ等の端末装置であり、第１のネットワークＮ１は大学構内のＬＡＮなどである。エッジ装置１０は、大学の構内ＬＡＮから大学外部のネットワークへの通信経路上に設置される。学生が、構内ＬＡＮに接続したクライアント４０から、大学外部のネットワーク（第２のネットワークＮ２に相当する）に接続されるウェブサーバなどのサーバ５０にアクセスしようとするとき、エッジ装置１０は、クライアント４０とサーバ５０間の通信パケットを制御し、認証済みのクライアント４０からの通信を通過させ、それ以外の通信、すなわち、認証していないクライアント４０からサーバ５０への通信を遮断する。

次に、図１を参照して、エッジ装置１０の内部構成の概略について説明する。

エッジ装置１０は、パケットの転送処理を行うスイッチ１１０と、スイッチ１１０の動作を制御するコントローラ１２０と、クライアント４０がユーザＩＤ及びパスワードの入力操作等を行う認証インタフェース１３０とを含んで構成される。

エッジ装置１０は、例えば、オープンフロー（ＯｐｅｎＦｌｏｗ）プロトコルを使ってパケットの制御を実現する。このとき、スイッチ１１０とコントローラ１２０は、いわゆるオープンフロースイッチ及びオープンフローコントローラにより構成される。しかしながら、エッジ装置１０はオープンフロープロトコルによって構成されるものに限定されるものではなく、スイッチ１１０とコントローラ１２０もそれぞれ、オープンフロースイッチ及びオープンフローコントローラに限定されるものではない。

スイッチ１１０は、いわゆるネットワークスイッチとしての機能を備えるものであり、コンピュータネットワークにおいて通信の接続先を切り替えることができる。スイッチ１１０は、ハードウェアないしソフトウェアのいずれによっても構成可能である。一般に、ソフトウェアスイッチの方が柔軟に構成可能であるのに対し、ハードウェアスイッチの方は処理が高速に行われる。

また、本実施形態において、スイッチ１１０は、パケットの取り扱いルールを定義したテーブル１１５を持ち、テーブル１１５に定義されたルールに従って、パケットの転送や破棄等の操作が行われる。なお、テーブル１１５に定義された個々のルールは、エントリと呼ばれることがある。

例えば、スイッチ１１０は、パケットを受信すると、受信したパケットのヘッダ情報等を参照して、受信パケットに適合するルールを持つエントリをテーブル１１５から検索する。適合するエントリがあれば、受信パケットに対して、当該エントリに記述された処理内容を実施する。

テーブル１１５には、例えば、あるノードから別のノードへの通信単位でパケットの取り扱いに関するルールがエントリとして定義されている。本実施形態では、個々のクライアント４０毎に、エントリが生成される。各エントリは、パケットヘッダと照合するためのヘッダフィールドと、通信に関する統計情報を記録するための統計情報フィールドと、パケットの転送や破棄等の処理内容を定義するためのアクションフィールドとを含む。

コントローラ１２０は主に、テーブル１１５の初期設定や更新処理を行う。例えば、スイッチ１１０及びその他のコンポーネントからの処理依頼に基づいてテーブル１１５にルールを追加ないし削除等することによって、更新処理が行われる。なお、その他のコンポーネントとは、例えば認証インタフェース１３０などを含む。

認証インタフェース１３０は、クライアント４０に対してユーザＩＤ及びパスワード入力等の認証用のインタフェースを提供する。また、認証インタフェース１３０は、クライアント４０から入力された情報をもとに認証サーバ３０に問い合わせを行う。その後、認証結果に従って、コントローラ１２０にテーブル１１５を更新するよう通知する。

なお、本実施形態は、スイッチ１１０と、コントローラ１２０と、認証インタフェース１３０とを、物理的に１つの筐体内に収容したエッジ装置１０として構成し、エッジ装置１０を単体で利用するだけで、アクセス管理を行えるようにしたことに特徴を有する。例えば、エッジ装置１０を無線アクセスポートに取り付けるだけで、アクセス管理を行うことができる。このとき、スイッチ１１０をソフトウェアスイッチにより構成すれば、エッジ装置１０をチップ化することも可能となり、より低コストでアクセス管理システムを構成することができる。

次に、本実施形態におけるアクセス管理処理の流れを説明する。

図２は、本実施形態におけるアクセス管理処理の流れの一例を示すフローチャートである。第１のネットワークＮ１内に位置するクライアント４０が、第１のネットワークＮ１の外部に位置するサーバ５０にアクセスしようとするとき、その通信経路上に設置されたエッジ装置１０のスイッチ１１０が、クライアント４０からサーバ５０への通信パケットを受信する（ステップＳ２１）。

スイッチ１１０は、通信パケットを受信したことに応答して、テーブル１１５を参照し、クライアント４０が認証済みであるか否かを判別する（ステップＳ２２）。具体的には、テーブル１１５に記録されているエントリを参照して、クライアント４０に関するエントリが登録されていれば、当該エントリに定義されている処理内容に沿って処理が行われる。図２に記載の実施例では、クライアント４０が認証済みの場合（ステップＳ２２：ＹＥＳ）、テーブル１１５に登録されているエントリに従って、サーバ５０へのアクセスが許可され、サーバ５０に接続される（ステップＳ２６）。

他方、クライアント４０が認証済みでなく、クライアント４０に関するエントリが登録されていない場合（ステップＳ２２：ＮＯ）、スイッチ１１０は、クライアント４０を認証インタフェース１３０に接続し、認証インタフェース１３０においてクライアント４０の認証処理が行われる（ステップＳ２３）。

認証インタフェース１３０は、例えば、ＩＤ及びパスワードを入力させるための画面をクライアント４０に表示させ、クライアント４０のユーザが入力した情報を受信する。認証インタフェース１３０は、クライアント４０から受信したユーザ情報を認証サーバ３０に転送し、認証サーバ３０に認証処理を実行させる。

認証インタフェース１３０は、認証サーバ３０から受け取った認証結果に基づいて、クライアント４０からサーバ５０への通信を許可するか否かを判断する。認証インタフェース１３０は、通信を許可すると判断したとき（ステップＳ２４：ＹＥＳ）、コントローラ１２０に対して、クライアント４０に関するエントリをテーブル１１５に追加するよう通知する。コントローラ１２０は、当該通知に応答して、クライアント４０に関するエントリをテーブル１１５に追加する（ステップＳ２５）。その後、認証が許可されたクライアント４０は、テーブル１１５に登録されているエントリに従って、サーバ５０へのアクセスが許可され、サーバ５０に接続される（ステップＳ２６）。

また、認証インタフェース１３０は、ステップＳ２４において、クライアント４０から入力されたユーザ情報に誤りがある等の理由により、通信を許可しないと判断したとき（ステップＳ２４：ＮＯ）、エッジ装置１０が受信した通信パケットが破棄され、クライアント４０からサーバ５０へのアクセスが拒否される。

このように、未認証のクライアント４０がサーバ５０へアクセスしようとするとき、まずエッジ装置１０の認証インタフェース１３０にアクセスし認証処理を行う。この際、ユーザＩＤ及びパスワード等の入力された認証情報をもとにエッジ装置１０が認証サーバ３０に認証処理を依頼する。認証されたクライアント４０またはすでに認証済みのクライアント４０からの通信は、エッジ装置１０が遮断することなくサーバ５０へのアクセスが可能になる。

次に、図３乃至図５を参照して、本実施形態において、クライアントＸ４０ｘからサーバＡ５０ａへの通信に対して実施される処理の概略を説明する。

図３は、本実施形態において、未認証のクライアントＸ４０ｘからの通信に対して行われる処理の概略図である。

初期状態、すなわち、認証済みのクライアントが１つも存在しない状態において、エッジ装置１０のテーブル１１５には、「すべてのパケットを破棄」するというエントリが登録されている。

このとき、未認証のクライアントＸ４０ｘからサーバＡ５０ａへの接続要求パケットをエッジ装置１０が受信すると、当該エッジ装置１０内のスイッチ１１０は、テーブル１１５を検索する。ここでは、「すべてのパケットを破棄」というエントリが適用されるので、エントリに従ってパケットを破棄し、クライアントＸ４０ｘとサーバＡ５０ａ間の接続確立に失敗する（Ｓ３１）。

図４は、本実施形態において、未認証のクライアントＸ４０ｘの認証を許可する際の処理の概略図である。

まず、クライアントＸ４０ｘがエッジ装置１０の認証インタフェース１３０にアクセスし、ユーザＩＤ及びパスワード等のユーザ情報を入力すると（Ｓ４１）、認証インタフェース１３０は認証サーバ３０に対して認証処理を依頼する（Ｓ４２）。認証インタフェース１３０は、認証サーバ３０から取得した情報をもとに通信許可と判断した場合、コントローラ１２０に対して「クライアントＸの通信を許可」するというエントリをテーブル１１５に追加する要求を通知する（Ｓ４３）。コントローラ１２０は通知された要求にしたがって、「クライアントＸの通信を許可」するというエントリをスイッチ１１０のテーブル１１５に追加する（Ｓ４４）。

なお、Ｓ４１におけるクライアント４０から認証インタフェース１３０へのアクセスは、クライアント４０が認証インタフェース１３０のＵＲＬを直接指定することで可能である。また、「ウェブサイトへアクセスしようとしているパケットの宛先を認証インタフェース１３０へ変更」するというエントリをテーブル１１５に予め定義しておけば、クライアント４０が第１のネットワークＮ１の外部に位置するウェブサーバにアクセスしようとしたとき、例えば、エッジ装置１０内のスイッチ１１０がＨＴＴＰ通信のパケットを受信したときに、当該エントリのルールが適用され、強制的に認証インタフェース１３０へ誘導させることが可能である。また、クライアント４０がエッジ装置１０を介してＬＡＮ（ローカルエリアネットワーク）やＷｉＦｉ（Ｗｉｒｅｌｅｓｓ Ｆｉｄｅｌｉｔｙ）にアクセスしようとしたとき等に、強制的に認証インタフェース１３０に接続させるものとしてもよい。

図５は、本実施形態において、認証済みのクライアントＸ４０ｘからの通信に対して行われる処理の概略図である。

認証済みのクライアントＸ４０ｘからサーバＡ５０ａへの接続要求パケットをエッジ装置１０が受信すると、当該エッジ装置１０内のスイッチ１１０は、テーブル１１５を検索し、受信したパケットに適合するルールを持つエントリを検索する。その結果、図５に示す例では、「クライアントＸの通信を許可」というエントリが適用される。したがって、パケットはサーバＡ５０ａへ転送されクライアントＸ４０ｘとサーバＡ５０ａ間の接続が確立する（Ｓ５１）。

なお、本実施形態において、テーブル１１５を書き換えたり、初期化したりすることによって、認証済みのクライアント４０を、再び認証が必要な状態に戻すことができる。例えば、所定期間ごとにテーブル１１５を初期化すれば、初期化後最初のクライアント４０からのアクセスに対して、認証処理を要するものとすることができる。

第１の実施形態によれば、既存のネットワーク環境にエッジ装置１０を導入することにより、高機能なアクセス管理を実現することができる。例えば、会社の会議室や学校、図書館、病院など、様々なネットワーク環境に適用可能である。

また、第１の実施形態によれば、例えば、ユーザＩＤとパスワード等により認証された正当なユーザにネットワークの利用を許可することができる。また、ユーザ毎に個別にエントリを設けることができるので、利用可能なネットワークリソースをユーザ毎に限定できるなど、個人ベースでアクセスポリシーを組み込むことができる。さらに、いつ誰が利用していたのかを記録することにより、アクセスの履歴を管理できる。すなわち、ユーザ認証をベースにクライアントに最適なネットワークリソースの割当をＳＤＮ（Software Defined Network）ベースで制御することができる。

［第２の実施形態］
図６は、本発明の他の実施形態に係るアクセス管理システム１’を含むネットワーク構成の一例を示す概略図である。同図に示すとおり、本実施形態において、アクセス管理システム１’は、エッジ装置１０と制御装置２０とを含んで構成される。すなわち、第１の実施形態は、エッジ装置１０を単体で利用する構成であったのに対し、第２の実施形態は、エッジ装置１０と制御装置２０とを連携させる構成である。図６は、エッジ装置１０が１つの場合を例示しているが、アクセス管理システム１’は、１または複数のエッジ装置１０により構成可能であり、１つの制御装置２０で１または複数のエッジ装置１０をまとめて一元的に管理することができる。

本実施形態において、制御装置２０は、第１の実施形態におけるエッジ装置１０に内蔵されたコントローラ１２０及び認証インタフェース１３０に対応する機能を、１台のハードウェアアプライアンスにしたものであり、ネットワークを介してエッジ装置１０内のスイッチ１１０と接続される。このとき、制御装置２０は、クライアント４０側の第１のネットワークＮ１またはサーバ５０側の第２のネットワークＮ２のいずれの側に接続されてもよい。

また、本実施例において、制御装置２０は、オープンフロー（ＯｐｅｎＦｌｏｗ）プロトコルを使って、ネットワークを介して接続されたエッジ装置１０の動作を制御する機能を持つものとする。しかしながら、制御装置２０とエッジ装置１０は、オープンフロープロトコルによって制御されるものに限定されるものではない。

次に、図６を参照して、本実施形態におけるエッジ装置１０及び制御装置２０の内部構成の概略について説明する。

本実施形態において、エッジ装置１０は少なくともスイッチ１１０を備える。本実施形態において、エッジ装置１０は、コントローラ１２０及び認証インタフェース１３０を備える必要はない。しかし、図６に示す実施例では、エッジ装置１０として、第１の実施形態と同じように、スイッチ１１０の他に、コントローラ１２０と認証インタフェース１３０とを物理的に１つの筐体に収容したものを採用した上で、コントローラ１２０と認証インタフェース１３０を無効状態としている。これにより、第１の実施形態と同じエッジ装置１０を、第１の実施形態で説明したような単体でアクセス管理する用途のみならず、第２の実施形態で説明するような制御装置２０と連携してアクセス管理する用途にも用いることができる。

制御装置２０は、エッジ装置１０内のスイッチ１１０を制御するコントローラ２２０と、クライアント４０がユーザＩＤ及びパスワードの入力操作等を行う認証インタフェース２３０とを含んで構成される。図６に示す実施例において、制御装置２０は、コントローラ２２０と認証インタフェース２３０とを、物理的に１つの筐体に収容して構成される。

コントローラ２２０は、第１の実施形態におけるエッジ装置１０内のコントローラ１２０に対応する機能を持つが、本実施形態ではさらに、制御装置２０に接続された１又は複数のエッジ装置１０を同時に制御することができる。

認証インタフェース２３０は、第１の実施形態におけるエッジ装置１０内の認証インタフェース１３０に対応する機能を持つが、制御装置２０に接続された１又は複数のエッジ装置１０の配下にあるクライアント４０からの認証を処理することができる。

本実施形態においても第１の実施形態と同じように、エッジ装置１０は認証していないクライアント４０からサーバ５０への通信を遮断する。クライアント４０は制御装置２０の認証インタフェース２３０にアクセスし認証処理を行う。この際、ユーザＩＤ及びパスワード等の入力された認証情報をもとにコントローラ２２０が認証サーバ３０に認証処理を依頼する。認証されたクライアント４０またはすでに認証済みのクライアント４０からの通信は、エッジ装置１０が遮断することなくサーバ５０へのアクセスが可能になる。

次に、図７乃至図９を参照して、本実施形態において、クライアントＸ４０ｘからサーバＡ５０ａへの通信に対して実施される処理の概略を説明する。なお、本実施形態におけるアクセス管理処理の流れは、図２として示したフローチャート及びその説明のうち、コントローラ１２０及び認証インタフェース１３０をそれぞれ、コントローラ２２０及び認証インタフェース２３０に読み替えたものであるから、ここでは説明を省略する。

図７は、本実施形態において、未認証のクライアントＸ４０ｘからの通信に対して行われる処理の概略図である。

同図に示す例において、初期状態のエッジ装置１０のテーブル１１５には、「制御装置２０との通信を許可」と「すべてのパケットを破棄」という２つのエントリが登録されている。このとき、認証済みのクライアント４０は１つも存在しない状態であるが、どのクライアント４０からも制御装置２０へのアクセスは可能である。

このとき、未認証のクライアントＸ４０ｘからサーバＡ５０ａへの接続要求パケットをエッジ装置１０が受信すると、当該エッジ装置１０のスイッチ１１０は、テーブル１１５を検索する。ここでは、「すべてのパケットを破棄」というエントリが適用され、エントリに従ってパケットを破棄し、クライアントＸ４０ｘとサーバＡ５０ａ間の接続確立に失敗する（Ｓ７１）。

図８は、本実施形態において、未認証のクライアントＸ４０ｘの認証を許可する際の処理の概略図である。

クライアントＸ４０ｘが制御装置２０の認証インタフェース２３０にアクセスし、ユーザＩＤ及びパスワード等の認証情報を入力すると（Ｓ８１）、認証インタフェース２３０は認証サーバ３０に対して認証処理を依頼する（Ｓ８２）。認証インタフェース２３０は、認証サーバ３０から取得した情報をもとに通信許可と判断した場合、コントローラ２２０に対して「クライアントＸの通信を許可」するというエントリをエッジ装置１０内のスイッチ１１０のテーブル１１５に追加する要求を通知する（Ｓ８３）。コントローラ２２０は通知された要求にしたがって、「クライアントＸの通信を許可」するというエントリをスイッチ１１０のテーブル１１５に追加する（Ｓ８４）。

なお、Ｓ８１におけるクライアント４０から認証インタフェース２３０へのアクセスは、クライアント４０が認証インタフェース２３０のＵＲＬを直接指定することで可能である。また、クライアント４０が、第１のネットワークＮ１の外部に位置するサーバにアクセスしようとしたときや、エッジ装置１０を介してＬＡＮやＷｉＦｉにアクセスしようとしたとき等に、認証インタフェース２３０に接続させるものとしてもよい。

図９は、本実施形態において、認証済みのクライアントＸ４０ｘからの通信に対して行われる処理の概略図である。

認証済みのクライアントＸ４０ｘからサーバＡ５０ａへの接続要求パケットをエッジ装置１０が受信すると、受信したエッジ装置１０内のスイッチ１１０はテーブル１１５を検索し、受信したパケットに適合するルールを持つエントリを検索する。その結果、図９に示す例では、「クライアントＸの通信を許可」というエントリが適用される。したがって、パケットはサーバＡ５０ａへ転送されクライアントＸ４０ｘとサーバＡ５０ａ間の接続が確立する（Ｓ９１）。

第２の実施形態によれば、第１の実施形態と同様の効果の他に、第１の実施形態よりも多数のクライアント４０のアクセスを管理することができる。すなわち、第２の実施形態によれば、１つの制御装置２０ないしコントローラと認証インタフェースが、１又は複数のエッジ装置１０のスイッチ１１０を管理することができるので、第１のネットワークＮ１に接続されるクライアントの数に応じてエッジ装置１０を増減させることにより、柔軟に多数のクライアント４０のアクセスを管理することができる。

なお、本発明は、上記した実施の形態に限定されるものではなく、本発明の要旨を逸脱しない範囲内において、他の様々な形で実施することができる。このため、上記実施形態はあらゆる点で単なる例示にすぎず、限定的に解釈されるものではない。例えば、上述の各処理ステップは処理内容に矛盾を生じない範囲で処理ステップの一部を省略したり、各処理ステップの順番を任意に変更して又は並列に実行することができる。

例えば、上述の実施形態では、コントローラ１２０または２２０がエッジ装置１０内のスイッチ１１０を制御する例を示したが、コントローラ１２０または２２０が制御するスイッチはこれに限られず、ネットワーク上の種々のスイッチを制御することができる。例えば、パブリッククラウドやプライベートクライド内のオープンフロースイッチやテーブルを制御してもよい。これにより、ユーザのプロファイルをベースとしてクライアントやデバイスを基点としてオンプレミス（スイッチや仮想サーバ）、プライベートクラウド、パブリッククラウドからキャリアクラスまで、一貫したフロー制御を実現することができる。

１，１’：アクセス管理システム
１０：エッジ装置
２０：制御装置
３０：認証サーバ
４０：クライアント
５０：サーバ
１０１，１０２：ネットワークポート
１１０：スイッチ
１１５：テーブル
１２０，２２０：コントローラ
１３０，２３０：認証インタフェース
Ｎ１，Ｎ２：ネットワーク

Claims (7)

1. 第１のネットワーク内のクライアントから、第１のネットワーク外部のサーバへの通信パケット受信するスイッチであって、前記クライアントが未認証のとき、前記クライアントを認証インタフェースに接続し、前記クライアントが認証済みのとき、前記クライアントを前記サーバに接続する、スイッチと、
   前記クライアントの認証処理を行うための認証インタフェースと、
   前記認証インタフェースによる認証処理の結果、認証が許可された場合に、前記認証インタフェースからの指示を受信するコントローラであって、前記指示に基づいて、前記クライアントが認証済みであることを記録する、コントローラと、
   を備えるアクセス管理システム。
2. 前記スイッチは、クライアントが認証済みであることを記録するためのテーブルを備え、前記テーブルに基づいて、クライアントが認証済みであるか否かを判断し、
   前記コントローラは、前記認証インタフェースの指示に基づいて、前記テーブルに記録されている内容を書き換える、
   請求項１記載のアクセス管理システム。
3. 前記スイッチと、前記認証インタフェースと、前記コントローラとを、物理的に１つの筐体に備えたことを特徴とする、請求項１又は２記載のアクセス管理システム。
4. 前記スイッチを複数備え、
   前記認証インタフェース及び前記コントローラが、前記複数のスイッチをまとめて管理することを特徴とする、請求項１又は２記載のアクセス管理システム。
5. 前記スイッチと、前記認証インタフェースと、前記コントローラとを、物理的に１つの筐体に備えたエッジ装置であって、前記認証インタフェース及び前記コントローラを無効状態とした、エッジ装置を、１又は複数備え、
   前記認証インタフェース及び前記コントローラを物理的に１つの筐体に備えた制御装置を備え、
   前記制御装置が、前記１又は複数のエッジ装置が備えるスイッチをまとめて管理することを特徴とする、請求項１又は２記載のアクセス管理システム。
6. スイッチと、認証インタフェースと、コントローラとを備えるアクセス管理システムにおいて、第１のネットワーク内のクライアントから第１のネットワーク外部のサーバへのアクセスを管理する方法であって、
   前記スイッチが、第１のネットワーク内のクライアントから、第１のネットワーク外部のサーバへの通信パケット受信すること、
   前記クライアントが未認証のとき、前記スイッチが、前記クライアントを前記認証インタフェースに接続すること、
   前記クライアントが認証済みのとき、前記スイッチが、前記クライアントを前記サーバに接続すること、
   前記認証インタフェースが、前記クライアントの認証処理を行うこと、
   前記認証インタフェースによる認証処理の結果、認証が許可された場合に、前記コントローラが、前記認証インタフェースからの指示を受信すること、
   前記コントローラが、前記指示に基づいて、前記クライアントが認証済みであることを記録すること、
   を含む方法。
7. コンピュータに、
   第１のネットワーク内のクライアントから、第１のネットワーク外部のサーバへの通信パケット受信させること、
   前記クライアントが未認証のとき、前記クライアントを認証インタフェースに接続すること、
   前記クライアントが認証済みのとき、前記クライアントを前記サーバに接続すること、
   前記認証インタフェースによる認証処理の結果、認証が許可された場合に、前記認証インタフェースからの指示に基づいて、前記クライアントが認証済みであることを記録すること、
   を実行させるためのプログラム。

Images