JP2018142136A - サービス提供プログラム、サービス提供方法及び制御装置 - Google Patents

Abstract

【課題】プラットフォームに対する不適切なアクセスを抑制できる。【解決手段】サービス提供プログラムは、クラウド内にプラットフォームを構築し、構築した該プラットフォームを利用するサービスを提供する。サービス提供プログラムは、契約者端末１３からのネットワークを介したプラットフォームの構築に関する定義情報の受信に応じて、クラウド内に複数のプラットフォームを構築する処理をコンピュータに実行させる。この際、サービス提供プログラムは、構築される複数のプラットフォームのそれぞれに、共通する１又は複数のアクセス元を除いてアクセスを遮断する初期設定がなされたファイアウォールを含ませる処理をコンピュータに実行させる。【選択図】図４Ａ

Description

本発明は、サービス提供プログラム、サービス提供方法及び制御装置に関する。

近年、クラウドでは、アプリケーションソフトが稼動するためのハードウェアやＯＳ（Operating System）などのプラットフォームを提供するサービスが行われている。このようなサービスは、ＰａａＳ（Platform as a Service）と呼ばれる。例えば、クラウドでは、サービスを利用する事業者からの要求に応じて、仮想的なサーバや、ファイアウォール、ネットワーク等の仮想的なハードウェアを組み合わせた仮想的なシステム環境を含んだプラットフォームを構築する。

特開２０１６−７１８２２号公報

ところで、プラットフォームは、構築されたデフォルト状態では全てのアクセスが可能とされており、不適切なアクセスが行われる虞がある。

１つの側面では、プラットフォームに対する不適切なアクセスを抑制できるサービス提供プログラム、サービス提供方法及び制御装置を提供することを目的とする。

１つの側面では、サービス提供プログラムは、クラウド内にプラットフォームを構築し、構築した該プラットフォームを利用するサービスを提供する。サービス提供プログラムは、複数の情報処理装置からのネットワークを介したプラットフォームの構築に関する定義情報の受信に応じて、クラウド内に複数のプラットフォームを構築する処理をコンピュータに実行させる。この際、サービス提供プログラムは、構築される複数のプラットフォームのそれぞれに、共通する１又は複数のアクセス元を除いてアクセスを遮断する初期設定がなされたファイアウォールを含ませる処理をコンピュータに実行させる。

一実施態様によれば、プラットフォームに対する不適切なアクセスを抑制できる。

図１は、実施例１に係るシステムの構成の一例を示す図である。 図２は、実施例１に係るクラウドの構成の一例を示す図である。 図３は、実施例１に係るプラットフォームを構築する流れの一例を示す図である。 図４Ａは、実施例１に係るプラットフォームに対する通信の許可、不許可の状態の一例を示す図である。 図４Ｂは、実施例１に係る第１ファイアウォールの設定情報の一例を示す図である。 図４Ｃは、実施例１に係る第２ファイアウォールの設定情報の一例を示す図である。 図５Ａは、実施例１に係る操作画面の一例を示す図である。 図５Ｂは、実施例１に係る操作画面の一例を示す図である。 図５Ｃは、実施例１に係る操作画面の一例を示す図である。 図５Ｄは、実施例１に係る操作画面の一例を示す図である。 図６Ａは、実施例１に係るプラットフォームに対する通信の許可、不許可の状態の一例を示す図である。 図６Ｂは、実施例１に係る第１ファイアウォールの設定情報の一例を示す図である。 図６Ｃは、実施例１に係る第２ファイアウォールの設定情報の一例を示す図である。 図７Ａは、実施例１に係るプラットフォームに対する通信の許可、不許可の状態の一例を示す図である。 図７Ｂは、実施例１に係る第１ファイアウォールの設定情報の一例を示す図である。 図７Ｃは、実施例１に係る第２ファイアウォールの設定情報の一例を示す図である。 図８は、実施例１に係るサービス提供処理の一例を示すフローチャートである。 図９は、ハードウェア構成の一例を示す図である。

以下に、本願の開示するサービス提供プログラム、サービス提供方法及び制御装置の実施例を図面に基づいて詳細に説明する。なお、本実施例により、開示技術が限定されるものではない。また、以下に示す各実施例は、矛盾を起こさない範囲で適宜組み合わせても良い。

［システム全体の説明］
最初に、クラウドコンピューティング（以下、「クラウド」と表記する場合がある。）によりサービスを提供するシステムの概略的な構成を説明する。図１は、実施例１に係るシステムの構成の一例を示す図である。システム１は、クラウド１０と、契約者端末１３と、利用者端末１４とを有する。本実施例におけるシステム１においては、クラウド１０と、契約者端末１３と、利用者端末１４とが、ネットワークＮ１を通じてそれぞれ相互に通信可能に接続されている。かかるネットワークＮ１には、有線又は無線を問わず、インターネット（Internet）を始め、ＬＡＮ（Local Area Network）やＶＰＮ（Virtual Private Network）などの任意の種類の通信網を採用できる。

クラウド１０は、複数のサーバ装置１１と、管理装置１２とを有する。例えば、複数のサーバ装置１１及び管理装置１２は、クラウド事業者が管理するデータセンタに配置されている。なお、複数のサーバ装置１１及び管理装置１２は、複数のデータセンタに分散して配置されていてもよい。

クラウド１０は、データセンタに配置された複数のサーバ装置１１、管理装置１２を含む各種のハードウェアやソフトウェアを用いて、コンピュータネットワークをベースとしたコンピュータ資源を提供する。本実施例におけるクラウド１０においては、ハードウェアやＯＳ、ミドルウェアなどのソフトウェアを用いて、アプリケーションソフトを稼動させる動作環境をプラットフォームとして提供するサービスを提供する。例えば、クラウド事業者は、クラウド１０が提供するサービスの利用を希望する事業者と契約を行う。以下では、クラウド事業者と契約を行った事業者を「契約者」と表記する場合がある。クラウド１０は、契約者との契約に応じて、クラウド１０内にプラットフォームを構築し、ネットワークＮ１を介してプラットフォームを契約者に提供する。

契約者端末１３は、クラウド事業者と契約を行った契約者が使用する情報処理装置である。例えば、契約者は、契約者端末１３を用いて、クラウド１０で稼働させるアプリケーションソフトの開発を行い、開発したアプリケーションソフトをクラウド１０のプラットフォーム上で稼働させてＷｅｂ（World Wide Web）サービスなどの各種の事業を行う。例えば、契約者は、クラウド１０を利用してそれぞれ事業を営むテナントである。契約者端末１３は、例えば、テナントに属する情報処理装置である。

利用者端末１４は、クラウド１０のプラットフォーム上で稼働するアプリケーションソフトによるＷｅｂサービスなどの事業を利用する一般のユーザが使用する情報処理装置である。以下では、テナントがクラウド１０を用いて提供するＷｅｂサービスなどの事業を利用する一般のユーザを「利用者」と表記する場合がある。例えば、利用者は、利用者端末１４を用いて、クラウド１０のプラットフォーム上で稼働するアプリケーションソフトにアクセスし、アプリケーションソフトが提供する各種のサービスを利用する。

なお、図１の例では、契約者端末１３及び利用者端末１４を１つずつ図示したが、契約者端末１３及び利用者端末１４は任意の数とすることができる。また、図１の例では、管理装置１２を１つ図示したが、管理装置１２は複数台とすることができる。

クラウド１０は、複数の契約者に対して、クラウド１０内にプラットフォームを構築し、構築した該プラットフォームを利用するサービスを提供する。例えば、管理装置１２は、各契約者の契約者端末１３からのネットワークＮ１を介したプラットフォームの構築に関する定義情報の受信に応じて、クラウド１０内に複数のプラットフォームを構築する。管理装置１２は、プラットフォームを構築する際、共通する１又は複数のアクセス元を除いてアクセスを遮断する初期設定がなされたファイアウォールを含んでプラットフォームを構築する。これにより、管理装置１２は、共通する１又は複数のアクセス元を除いてプラットフォームに対するアクセスをファイアウォールで遮断できるため、プラットフォームに対する不適切なアクセスを抑制できる。

［システム全体の構成］
次に、クラウド１０の概略的な構成について説明する。なお、本実施例では、説明を簡略化するため、クラウド１０を、１つのデータセンタで実現した場合を例に説明する。図２は、実施例１に係るクラウドの構成の一例を示す図である。図２に示すように、クラウド１０は、複数のサーバ装置１１と、管理装置１２とを有する。

複数のサーバ装置１１及び管理装置１２は、データセンタに設けられたネットワークＮ２で接続され、通信可能とされている。このネットワークＮ２は、インターネットなどの外部のネットワークＮ１と通信可能に接続され、ネットワークＮ１を介して契約者端末１３及び利用者端末１４と通信可能とされている。なお、図２の例では、サーバ装置１１を３つ図示したが、サーバ装置１１は任意の台数とすることができる。また、図２の例では、管理装置１２を１つ図示したが、管理装置１２が複数あってもよい。

サーバ装置１１は、データセンタに設けられた物理サーバであり、例えば、サーバコンピュータである。サーバ装置１１は、仮想化技術を用いて、コンピュータを仮想化した仮想マシンを動作させることができる。図２の例では、サーバ装置１１上に３台の仮想マシンが動作している。仮想マシンは、組み込むミドルウェアに応じて、ファイアウォールや、ロードバランサ、Ｗｅｂサーバ、ＡＰ（application）サーバ、ＤＢ（database）サーバなど、各種のサーバとして機能することができる。

管理装置１２も、データセンタに設けられた物理サーバであり、例えば、サーバコンピュータである。管理装置１２は、サーバ装置１１を制御する。なお、管理装置１２は、何れのかのサーバ装置１１で動作する仮想マシンであってもよい。

管理装置１２は、クラウド１０が提供するサービスの管理・運用を行う。管理装置１２は、契約者端末１３からアクセスが可能とされており、契約者からの要求に応じて、アプリケーションソフトが稼動するためのプラットフォームを構築して提供する。例えば、クラウド１０は、仮想化技術を用いて、ネットワークＮ２を構成するネットワーク機器や、サーバ装置１１を含む各種のハードウェアリソースを仮想化している。管理装置１２は、クラウド１０内の仮想的なハードウェアリソースを組み合わせた仮想的なシステムを含んだプラットフォームを構築する。

［管理装置の構成］
次に、管理装置１２の構成について説明する。図２に示すように、管理装置１２は、記憶部２０と、制御部２１とを有する。なお、管理装置１２は、図２に示す機能部以外にも既知のコンピュータが有する各種の機能部、例えば各種の入力デバイスや音声出力デバイス等の機能部を有してもよい。

記憶部２０は、例えば、ＲＡＭ（Random Access Memory）、フラッシュメモリ（Flash Memory）等の半導体メモリ素子、ハードディスクや光ディスク等の記憶装置によって実現される。記憶部２０は、制御部２１で実行されるＯＳや各種プログラムを記憶する。例えば、記憶部２０は、後述するサービス提供処理を実行するプログラムを記憶する。さらに、記憶部２０は、制御部２１で実行されるプログラムで用いられる各種データを記憶する。例えば、記憶部２０は、初期設定情報３０と、プラットフォーム設定情報３１とを有する。

初期設定情報３０は、プラットフォームを構築する際、プラットフォームの初期設定に関する情報を記憶する。本実施例では、プラットフォームを構築する際、プラットフォームに共通する１又は複数のアクセス元を除いてアクセスを遮断する初期設定を行う。初期設定情報３０は、プラットフォームに対して、初期設定で、アクセスを遮断せずにアクセスを許可する通信の送信元、送信先、通信の種類などの情報を記憶する。例えば、初期設定情報３０は、初期設定で、アクセスを許可する通信として、管理装置１２のアドレスと、構築されるプラットフォームのサーバのうち、通信を許可するサーバの種類又はアドレスと、許可する通信の種類又はポート番号を記憶する。なお、管理装置１２が複数ある場合、初期設定情報３０には、初期設定でプラットフォームに対するアクセスを許可する通信のアクセス元として、各管理装置１２のアドレスを記憶する。例えば、初期設定情報３０は、複数の管理装置１２それぞれについて、管理装置１２のアドレスと、構築されるプラットフォームのサーバのうち、通信を許可するサーバの種類又はアドレスと、許可する通信の種類又はポート番号を記憶する。

プラットフォーム設定情報３１は、構築されたプラットフォームに設定された各種の設定に関する情報を記憶する。例えば、プラットフォーム設定情報３１は、構築されたプラットフォームに設定されたアクセス制御に関する情報を記憶する。

制御部２１は、例えば、ＣＰＵ（Central Processing Unit）やＭＰＵ（Micro Processing Unit）等によって、内部の記憶装置に記憶されているプログラムがＲＡＭを作業領域として実行されることにより実現される。また、制御部２１は、例えば、ＡＳＩＣ（Application Specific Integrated Circuit）やＦＰＧＡ（Field Programmable Gate Array）等の集積回路により実現されるようにしてもよい。

この制御部２１は、表示制御部４０と、受信部４１と、構築部４２と、変更部４３とを有し、以下に説明する情報処理の機能や作用を実現又は実行する。なお、制御部２１の内部構成は、図２に示した構成に限られず、後述する情報処理を行う構成であれば他の構成であってもよい。例えば、各処理部は、他のコンピュータとの間で図示しない通信部を通じてデータの送受信を行う。また、例えば、各処理部が、図示しない入力部を通じて管理者による操作を受けてプラットフォームを構築する構成であってもよい。また、表示制御部４０、受信部４１、構築部４２及び変更部４３は、プロセッサなどの電子回路の一例又はプロセッサなどが実行するプロセスの一例である。

表示制御部４０は、各種の情報の表示を制御する。例えば、表示制御部４０は、クラウド１０のサービスを利用するための各種の操作画面の表示を制御する。

契約者には、クラウド１０のサービスを利用する契約を行った際、契約者ＩＤとパスワードが付与され、管理装置１２にアクセスするためのＵＲＬアドレスなどのアドレスが通知される。契約者は、クラウド１０のサービスを利用する際、契約者端末１３を用いて管理装置１２にアクセスする。

表示制御部４０は、アクセスを受け付けると、アクセス元に各種の操作画面の情報を送信してアクセス元に操作画面を表示させる制御を行う。例えば、表示制御部４０は、契約者端末１３からのアクセスに応じて、ログイン画面を契約者端末１３に表示させて、契約者ＩＤ及びパスワードを入力させてログインを受け付ける。表示制御部４０は、ログインが成功すると、操作画面など各種の画面を契約者端末１３に表示させる制御を行う。例えば、表示制御部４０は、プラットフォームの構築を指示する操作画面や、構築したプラットフォームに対して設定を行う操作画面を契約者端末１３に表示させる。

受信部４１は、各種の情報を受信する。例えば、受信部４１は、各種の操作画面に対して受け付けた各種の操作や入力データに関する情報を契約者端末１３から受信する。例えば、受信部４１は、プラットフォームの構築に関する定義情報を受信する。また、例えば、受信部４１は、構築したプラットフォームの設定の変更を指示する指示情報を受信する。定義情報は、構築するサーバの台数や各サーバの種類、ネットワークの構成などのシステム構成の情報を含んだものであってもよい。また、定義情報は、予め定められた複数のシステム構成から、構築するシステム構成を指定する情報であってもよい。例えば、管理装置１２は、構築するサーバの台数や各サーバの種類、ネットワークの構成が異なる複数のシステム構成の情報を記憶部２０に記憶する。定義情報は、複数のシステム構成のうち、プラットフォームとして構築するシステム構成を指定する情報であってもよい。

構築部４２は、プラットフォームの構築に関する定義情報の受信に応じて、クラウド１０内にプラットフォームとして構築する。例えば、構築部４２は、定義情報で指定された台数の仮想マシンをサーバ装置１１に生成する。構築部４２は、生成した仮想マシンに、それぞれＯＳや定義情報で指定された種類に応じたミドルウェアを組み込み、指定された種類に応じた機能を有する仮想マシンを生成する。例えば、構築部４２は、指定された種類に応じて、仮想マシンに組み込むミドルウェアを変えることで、ファイアウォール、ロードバランサ、Ｗｅｂサーバ、ＡＰサーバ、ＤＢサーバなど各種の機能を有する仮想マシンを生成する。構築部４２は、定義情報で指定されたネットワークの構成に従い、仮想的なネットワークを構成し、生成した仮想マシンと組み合わせた仮想的なシステムをプラットフォームとして生成する。

図３は、実施例１に係るプラットフォームを構築する流れの一例を示す図である。管理装置１２は、契約者端末１３からのアクセスを受け付けると（図３（１））、操作画面の情報を送信して操作画面を契約者端末１３に表示させる（図３（２））。そして、管理装置１２は、プラットフォームの構築に関する定義情報を受信すると（図３（３））、プラットフォームを構築する（図３（４））。図３の例は、１台のファイアウォール５０、１台のロードバランサ５１、２台のＷｅｂサーバ５２、５３、２台のＡＰサーバ５４、５５、１台のＤＢサーバ５６がネットワークに接続された仮想的なシステム５７がプラットフォームとして生成されている。なお、図３に示すプラットフォームは、一例であり、これに限定されるものではない。プラットフォームは、定義情報を変えることにより、システムの構成を変えることができる。また、プラットフォームは、同じ構成や異なる構成で複数生成することもできる。例えば、契約者は、事業を実施する運用用のプラットフォームと、新たな機能をテストするためのテスト用のプラットフォームをクラウド１０に生成することもできる。

構築部４２は、プラットフォームを構築する際、初期設定情報３０に基づいて、構築するプラットフォームに初期設定を行う。例えば、構築部４２は、初期設定情報３０に、初期設定を行うアクセス元として記憶されたアクセス元管理装置１２のアドレスからのアクセスを許可し、その他のアドレスからのアクセスを遮断する設定をファイアウォールに対して行う。例えば、構築部４２は、初期設定情報３０に初期設定でアクセスを許可する通信として記憶された通信を許可し、その他の通信を遮断する設定をファイアウォールに対して行う。これにより、例えば、クラウド１０の管理装置１２が１台の場合、構築されたプラットフォームでは、それぞれ共通する１のアクセス元を除いてアクセスを遮断する初期設定がファイアウォールに設定される。クラウド１０の管理装置１２が複数台の場合、構築されたプラットフォームでは、それぞれ共通する複数のアクセス元を除いてアクセスを遮断する初期設定がファイアウォールに設定される。

構築部４２は、構築したプラットフォーム毎に、プラットフォームに設定された各種の設定に関する情報をプラットフォーム設定情報３１に記憶する。例えば、構築部４２は、構築したプラットフォームのファイアウォールに対して設定したアクセス制御に関する設定情報をプラットフォーム設定情報３１に記憶する。

図４Ａは、実施例１に係るプラットフォームに対する通信の許可、不許可の状態の一例を示す図である。図４Ａの例は、通信の許可、不許可の初期設定の状態の一例を示している。図４Ａの例では、１台の第１ファイアウォール６０、１台のＷｅｂサーバ６１、１台のＡＰサーバ６２、１台のＭＮＧ（Management）サーバ６３がネットワークに接続された仮想的なシステム６４がプラットフォームとして生成されている。また、図４Ａの例では、第２ファイアウォール７０、１台のスプリング（Spring）サーバ７１がネットワークに接続された仮想的なシステム７２がプラットフォームとして生成されている。

ＭＮＧサーバ６３は、Ｗｅｂサーバ６１やＡＰサーバ６２を制御・管理するサーバであり、利用者には非公開とされる。スプリングサーバ７１は、例えば、Ｗｅｂサーバ６１やＡＰサーバ６２などへのデータの入出力に用いるサーバであり、利用者には非公開とされる。第１ファイアウォール６０は、ＩＰ（Internet Protocol）アドレスが「１０．０．０．１」であるものとする。また、ＭＮＧサーバ６３は、ＩＰアドレスが「１０．０．０．３」であるものとする。第２ファイアウォール７０は、ＩＰアドレスが「１０．０．２．１」であるものとする。

図４Ｂは、実施例１に係る第１ファイアウォールの設定情報の一例を示す図である。図４Ｂには、図４Ａの第１ファイアウォール６０に設定された、通信を許可、不許可とする条件の設定情報が示されている。設定情報は、「優先順位」、「拒否／許可」、「送信元ＩＰ」、「送信先ＩＰ」、「送信先ポート」の各項目を有する。図４Ａに示す設定情報は、一例であり、その他の項目が追加されてもよい。

優先順位の項目は、設定された条件の優先順位を記憶する領域である。設定された条件は、優先順位の値が小さいものが優先して有効とされる。拒否／許可の項目は、設定された条件が、通信を許可する条件であるか、通信を不許可する条件であるかを記憶する領域である。拒否／許可の項目には、通信を許可する条件の場合、「許可」が設定され、通信を不許可する条件の場合、「拒否」が設定される。送信元ＩＰの項目は、通信の送信元となるＩＰアドレスを記憶する領域である。送信先ＩＰの項目は、通信の送信先となるＩＰアドレスを記憶する領域である。送信先ポートの項目は、通信の送信先となるポート番号を記憶する領域である。

図４Ｂに示す設定情報では、優先順位「１」として、プラットフォームの構築を制御する管理装置１２のアドレスからＩＰアドレスが「１０．０．０．３／３２」、送信先のポート番号が「８０」の通信が許可されている。送信先のポート番号が「８０」の通信は、通信の種類がｈｔｔｐである。また、図４Ｂに示す設定情報では、優先順位「２」として、プラットフォームの構築を制御する管理装置１２のアドレスからＩＰアドレスが「１０．０．０．３／３２」、送信先のポート番号が「４４３」の通信が許可されている。送信先のポート番号が「４４３」の通信は、通信の種類がｈｔｔｐｓである。また、図４Ｂに示す設定情報では、許可した通信以外の通信を遮断する設定がされている。例えば、図４Ｂに示す設定情報では、優先順位「３」として、全て（ＡＬＬ）の送信元からの全て（ＡＬＬ）の送信先への全て（ＡＬＬ）のポート番号の通信が不許可されている。

図４Ｃは、実施例１に係る第２ファイアウォールの設定情報の一例を示す図である。図４Ｃには、図４Ａの第２ファイアウォール７０に設定された、通信を許可、不許可とする条件の設定情報が示されている。

図４Ｃに示す設定情報では、初期設定で許可する通信が無いため、優先順位「１」として、全て（ＡＬＬ）の送信元からの全て（ＡＬＬ）の送信先への全て（ＡＬＬ）のポート番号の通信が不許可されている。

第１ファイアウォール６０は、優先順位の高いものから順に、通信が図４Ｂに示した設定情報の条件を満たすか判定し、条件を満たした場合、拒否／許可の項目の設定に従い、通信を許可又は不許可とする。また、第１ファイアウォール６０は、複数の条件を満たした場合、優先順位の高い条件に従い、通信を許可又は不許可とする。例えば、図４Ｂの例では、管理装置１２のアドレスからＩＰアドレスが「１０．０．０．３／３２」、送信先のポート番号が「８０」の通信は、優先順位「１」と「３」の条件を満たすが、優先順位「１」が優先されて通信が許可される。また、図４Ｂの例では、管理装置１２のアドレスからＩＰアドレスが「１０．０．０．３／３２」、送信先のポート番号が「４４３」の通信は、優先順位「２」と「３」の条件を満たすが、優先順位「２」が優先されて通信が許可される。その他の通信は、優先順位「３」の条件を満たすため、通信が不許可され、遮断される。

第２ファイアウォール７０は、優先順位の高いものから順に、通信が図４Ｃに示した設定情報の条件を満たすか判定し、条件を満たした場合、拒否／許可の項目の設定に従い、通信を許可又は不許可とする。例えば、図４Ｃの例では、優先順位「１」の条件により、全ての通信が不許可され、遮断される。

これにより、図４Ａに示すように、管理装置１２は、第１ファイアウォール６０を介して、ＭＮＧサーバ６３とポート番号が「８０」及び「４４３」の通信を行うことができる。一方、管理装置１２は、Ｗｅｂサーバ６１及びＡＰサーバ６２へのアクセスが第１ファイアウォール６０により遮断される。

また、契約者端末１３及び利用者端末１４は、Ｗｅｂサーバ６１、ＡＰサーバ６２及びＭＮＧサーバ６３へのアクセスが第１ファイアウォール６０により遮断される。

また、管理装置１２、契約者端末１３及び利用者端末１４は、スプリングサーバ７１へのアクセスが第２ファイアウォール７０により遮断される。

管理装置１２は、構築したプラットフォーム毎に、プラットフォームに設定された各種の設定に関する情報をプラットフォーム設定情報３１に記憶する。例えば、管理装置１２は、図４Ｂ及び図４Ｃに示したアクセス制御に関する設定情報をプラットフォーム設定情報３１に記憶する。

契約者は、プラットフォームが初期設定状態の場合、契約者端末１３から管理装置１２にアクセスしてログインを行い、操作画面を操作して管理装置１２を介してＭＮＧサーバ６３の制御を行う。

管理装置１２は、プラットフォームが構築されると、構築されたプラットフォームに関する情報を契約者に提供する。例えば、表示制御部４０は、操作画面に、構築したプラットフォームに関する情報を表示させる制御を行う。

図５Ａは、実施例１に係る操作画面の一例を示す図である。操作画面１００には、各種の情報を表示するメイン領域１０１と、上部にメニュー領域１０２とが設けられている。メイン領域１０１には、お知らせを表示するお知らせ領域１０３と、プラットフォームのシステムの状況を表示するステータス領域１０４が表示されている。

ステータス領域１０４には、プラットフォームのシステム構成が表示される。図５Ａの例では、システムを構成する各サーバの種類と、各サーバの接続関係が表示される。また、ステータス領域１０４には、プラットフォームにおける重大な問題（Critical）、警告（Warning）、未知の問題（Unknown）の発生回数が表示される。また、ステータス領域１０４には、各サーバの起動、停止の指示が可能とされている。

また、メニュー領域１０２には、「ＴＯＰ」、「モニタリング」、「アプリ開発」、「環境設定」、「ドキュメント」の各領域が設けられている。図５Ａの例は、メニュー領域１０２の「ＴＯＰ」が選択された状態を示している。

管理装置１２は、操作画面からプラットフォームに対するアクセス制御の設定の変更が可能とされている。契約者は、プラットフォームに対するアクセス制御の設定の変更する場合、操作画面のメニュー領域１０２の「環境設定」を選択し、「環境設定」のメニューに、サブメニューとして表示される「アクセス制御」を選択する。

図５Ｂは、実施例１に係る操作画面の一例を示す図である。図５Ｂの例は、サブメニューとして表示された「アクセス制御」を選択した際に表示される操作画面の一例を示している。

表示制御部４０は、「アクセス制御」を選択されると、ファイアウォールに対してアクセスの遮断又は許可を設定するための設定画面を表示させる。例えば、表示制御部４０は、プラットフォーム設定情報３１からプラットフォームのファイアウォールに対して設定したアクセス制御に関する設定情報を読み出し、操作画面１００のメイン領域１０１に設定画面１１０を表示させる。設定画面１１０には、ファイアウォールにおいてアクセス制御を行う対象のサーバを選択する選択領域１１１が設けられている。選択領域１１１は、選択された際に、プラットフォームのシステムを構成するサーバが表示され、表示されたサーバからアクセス制御を行うサーバを選択可能とされている。図５Ｂの例は、選択領域１１１でＭＮＧサーバ６３が選択された状態を示している。表示制御部４０は、プラットフォーム設定情報３１から、選択領域１１１で選択されたサーバに対して設定されたアクセス制御の設定情報を読み出し、メイン領域１０１に設定画面を表示させる。この際、表示制御部４０は、初期設定情報３０に記憶された初期設定を非表示として設定画面１１０を表示させる。図５Ｂの例は、図４Ａ、図４Ｂに示す第１ファイアウォール６０に対してアクセスの遮断又は許可を設定するための設定画面１１０を表示させた状態を示している。図５Ｂに示すように、設定画面１１０には、図４Ｂで優先順位「１」、「２」とされた、管理装置１２のアドレスからＭＮＧサーバ６３へのアクセスを許可する初期設定が表示されない。また、図５Ｂに示すように、設定画面１１０には、優先順位「３」とされた全てのアドレスからのアクセスを不許可とする設定が表示されている。

ここで、管理装置１２は、クラウド１０が提供するサービスの管理・運用を行う装置である。このため、管理装置１２のＩＰアドレスなどの情報が漏れることはセキュリティ上好ましくない。そこで、管理装置１２は、設定画面１１０において、プラットフォームに対して、初期設定としてアクセス可能とする管理装置１２のアドレスを非表示とする。これにより、管理装置１２は、管理装置１２のＩＰアドレスなどの情報が漏洩することを抑制できる。

また、管理装置１２は、設定画面１１０において、初期設定情報３０に記憶された初期設定を非表示とする。これにより、管理装置１２は、誤って初期設定が削除されることを抑制できる。

設定画面１１０は、新規ルールの作成を指示する新規ルール作成ボタン１１２が設けられ、新規ルール作成ボタン１１２を選択して、アクセスの遮断又は許可する設定を追加することが可能とされている。また、設定画面１１０は、アクセスの遮断又は許可する設定の編集や削除が可能とされている。

図５Ｃは、実施例１に係る操作画面の一例を示す図である。図５Ｃの例は、選択領域１１１でＡＰサーバ６２が選択され、新規にアクセスを許可する４つの設定を追加した状態の操作画面の一例を示している。追加された設定は、アクションで「設定」を選択することにより、編集可能とされている。図５Ｄは、実施例１に係る操作画面の一例を示す図である。図５Ｄは、図５Ｃに示す設定画面１１０で新規ルール作成ボタン１１２が選択された状態の操作画面の一例を示している。設定画面１１０は、新規ルール作成ボタン１１２が選択されると、行が追加され、アクセスの遮断又は許可する設定を追加することができる。また、設定画面１１０には、新規ルール作成ボタン１１２に代えて、新規ルールの作成の中止を指示する新規作成から戻るボタン１１３が表示され、新規ルールの作成の中止することができる。

図２の説明に戻る。受信部４１は、各種の操作画面に対して受け付けた各種の操作の情報を契約者端末１３から受信する。例えば、受信部４１は、設定画面１１０からプラットフォームに対するアクセス制御の設定の変更を指示する指示情報を受信する。

変更部４３は、構築したプラットフォームの設定の変更を指示する指示情報の受信に応じて、プラットフォームの設定を変更する。例えば、変更部４３は、アクセス制御の設定の変更を指示する指示情報に応じて、プラットフォームのファイアウォールに対してアクセスの遮断又は許可を設定する。これにより、プラットフォームは、アクセスが遮断又は許可される条件が変更される。

変更部４３は、変更された各種の設定に関する情報をプラットフォーム設定情報３１に記憶する。例えば、変更部４３は、変更されたアクセス制御に関する設定情報をプラットフォーム設定情報３１に記憶する。

契約者は、プラットフォームで稼働させるアプリケーションソフトを開発する場合、設定画面１１０から、プラットフォームに対してアプリケーションソフトを開発する端末のアクセスを許可する設定を行う。例えば、契約者端末１３を用いて、クラウド１０で稼働させるアプリケーションソフトの開発を行う場合、契約者は、プラットフォームに対して、契約者端末１３のアクセスを許可する設定を行う。

図６Ａは、実施例１に係るプラットフォームに対する通信の許可、不許可の状態の一例を示す図である。図６Ａの例は、図４Ａの例を開発段階の設定に変更した場合を示している。図６Ｂは、実施例１に係る第１ファイアウォールの設定情報の一例を示す図である。図６Ｂには、図６Ａの第１ファイアウォール６０に設定された、通信を許可、不許可とする条件の設定情報が示されている。図６Ｃは、実施例１に係る第２ファイアウォールの設定情報の一例を示す図である。図６Ｃには、図６Ａの第２ファイアウォール７０に設定された、通信を許可、不許可とする条件の設定情報が示されている。

図６Ｂに示す設定情報では、優先順位「３」として、契約者端末１３のアドレスからＩＰアドレスが「１０．０．０．０／２４」、送信先のポート番号が「８０」への通信を許可する設定が追加されている。また、図６Ｂに示す設定情報では、優先順位「４」として、契約者端末１３のアドレスからＩＰアドレスが「１０．０．０．０／２４」、送信先のポート番号が「４４３」への通信を許可する設定が追加されている。また、図６Ｂに示す設定情報では、全て（ＡＬＬ）の送信元からの全て（ＡＬＬ）の送信先への全て（ＡＬＬ）のポート番号の通信が不許可の設定が優先順位「５」に変更されている。

また、図６Ｃに示す設定情報では、優先順位「１」として、契約者端末１３のアドレスからＩＰアドレスが「１０．０．２．０／２４」、送信先のポート番号が「２２」への通信を許可する設定が追加されている。送信先のポート番号が「２２」の通信は、通信の種類がｓｓｈである。また、図６Ｃに示す設定情報では、全て（ＡＬＬ）の送信元からの全て（ＡＬＬ）の送信先への全て（ＡＬＬ）のポート番号の通信が不許可の設定が優先順位「２」に変更されている。

これにより、図６Ａに示すように、管理装置１２は、第１ファイアウォール６０を介して、ＭＮＧサーバ６３とポート番号が「８０」及び「４４３」の通信を行うことができる。一方、管理装置１２は、Ｗｅｂサーバ６１及びＡＰサーバ６２へのアクセスが第１ファイアウォール６０により遮断される。

また、契約者端末１３は、Ｗｅｂサーバ６１、ＡＰサーバ６２及びＭＮＧサーバ６３とポート番号が「８０」及び「４４３」の通信を行うことができる。一方、利用者端末１４は、Ｗｅｂサーバ６１、ＡＰサーバ６２及びＭＮＧサーバ６３へのアクセスが第１ファイアウォール６０により遮断される。

また、契約者端末１３は、スプリングサーバ７１とポート番号が「２２」の通信を行うことができる。一方、管理装置１２及び利用者端末１４は、スプリングサーバ７１へのアクセスが第２ファイアウォール７０により遮断される。

これにより、契約者は、プラットフォームを用いてアプリケーションソフトの開発を行うことができる。

契約者は、開発したアプリケーションソフトをプラットフォームで稼働させて事業を開始する場合、設定画面１１０から、プラットフォームに対して利用者からのアクセスを許可する設定を行う。例えば、契約者は、利用者端末１４のアクセスを許可する設定を行う。

図７Ａは、実施例１に係るプラットフォームに対する通信の許可、不許可の状態の一例を示す図である。図７Ａの例は、図６Ａの例を、開発したアプリケーションソフトを稼働させて事業を開始する稼働段階の設定に変更した場合を示している。図７Ｂは、実施例１に係る第１ファイアウォールの設定情報の一例を示す図である。図７Ｂには、図７Ａの第１ファイアウォール６０に設定された、通信を許可、不許可とする条件の設定情報が示されている。図７Ｃは、実施例１に係る第２ファイアウォールの設定情報の一例を示す図である。図７Ｃには、図７Ａの第２ファイアウォール７０に設定された、通信を許可、不許可とする条件の設定情報が示されている。

図７Ｂに示す設定情報では、優先順位「３」が、全てのアドレスからＩＰアドレスが「１０．０．０．０／２４」、送信先のポート番号が「８０」への通信を許可する設定に変更されている。また、図７Ｂに示す設定情報では、優先順位「４」が、全てのアドレスからＩＰアドレスが「１０．０．０．０／２４」、送信先のポート番号が「４４３」への通信を許可する設定に変更されている。

図７Ｃに示す設定情報は、図６Ｃから変化が無く、優先順位「１」として、契約者端末１３のアドレスからＩＰアドレスが「１０．０．２．０／２４」、送信先のポート番号が「２２」への通信を許可する設定が記憶されている。また、図７Ｃに示す設定情報では、優先順位「２」として、全て（ＡＬＬ）の送信元からの全て（ＡＬＬ）の送信先への全て（ＡＬＬ）のポート番号の通信が不許可の設定が記憶されている。

これにより、図７Ａに示すように、管理装置１２、契約者端末１３及び利用者端末１４は、第１ファイアウォール６０を介して、Ｗｅｂサーバ６１、ＡＰサーバ６２及びＭＮＧサーバ６３とポート番号が「８０」及び「４４３」の通信を行うことができる。

また、契約者端末１３は、スプリングサーバ７１とポート番号が「２２」の通信を行うことができる。一方、管理装置１２及び利用者端末１４は、スプリングサーバ７１へのアクセスが第２ファイアウォール７０により遮断される。

これにより、契約者は、開発したアプリケーションソフトをプラットフォームで稼働させて利用者に対してサービスを提供する事業を行うことができる。

［処理の流れ］
次に、管理装置１２が、クラウド１０内にプラットフォームを構築するサービス提供処理の流れについて説明する。図８は、実施例１に係るサービス提供処理の一例を示すフローチャートである。このサービス提供処理は、所定のタイミング、例えば、受信部４１がプラットフォームの構築に関する定義情報を受信したタイミングで実行される。

構築部４２は、受信した定義情報に応じて、クラウド１０内にプラットフォームを構築する（ステップＳ１０）。例えば、構築部４２は、定義情報で指定された台数の仮想マシンをサーバ装置１１に生成する。そして、構築部４２は、生成した仮想マシンに、それぞれＯＳや定義情報で指定された種類に応じたミドルウェアを組み込み、指定された種類に応じた機能を有する仮想マシンを生成する。構築部４２は、定義情報で指定されたネットワークの構成に従い、仮想的なネットワークを構成し、生成した仮想マシンと組み合わせた仮想的なシステムをプラットフォームとして生成する。

構築部４２は、初期設定情報３０に基づいて、構築したプラットフォームにアクセス制御の初期設定を行い（ステップＳ１１）、処理を終了する。例えば、構築部４２は、初期設定情報３０に、初期設定を行うアクセス元として記憶されたアクセス元管理装置１２のアドレスからのアクセスを許可し、その他のアドレスからのアクセスを遮断する設定をファイアウォールに対して行う。

本実施例によれば、管理装置１２は、複数の契約者端末１３からのネットワークを介したプラットフォームの構築に関する定義情報の受信に応じて、クラウド１０内に複数のプラットフォームを構築する。管理装置１２は、構築される複数のプラットフォームのそれぞれに、共通する１又は複数のアクセス元を除いてアクセスを遮断する初期設定がなされたファイアウォールを含ませる。これにより、管理装置１２は、プラットフォームに対する不適切なアクセスを抑制できる。

また、管理装置１２は、共通する１又は複数のアクセス元を、プラットフォームの構築を制御する管理装置１２のアドレスとする。これにより、管理装置１２は、管理装置１２以外からのプラットフォームに対するアクセスを抑制できる。

また、管理装置１２は、プラットフォームで稼働させるアプリケーションソフトの開発段階において共通する１又は複数のアクセス元を、アプリケーションソフトの開発元のアドレスに更新する。管理装置１２は、開発したアプリケーションソフトをプラットフォームで稼働させる稼働段階において全てのアクセスが可能な状態にファイアウォールの設定を更新する。これにより、開発段階において、開発元がプラットフォームにアクセスしてアプリケーションソフトを開発できる。また、稼働段階において、一般のユーザがプラットフォームにアクセスできる。

また、管理装置１２は、ファイアウォールに対してアクセスの遮断又は許可を設定するための設定画面１１０を表示する際、初期設定を非表示にする。これにより、管理装置１２は、初期設定の情報が漏えいすることを抑制できる。また、管理装置１２は、初期設定が変更されることを抑制できる。

また、管理装置１２は、テナントに属する情報処理装置である契約者端末１３から定義情報を受信する。これにより、管理装置１２は、テナント毎に、定義情報に応じたプラットフォームを構築できる。

さて、これまで本発明の実施例について説明したが、本発明は上述した実施例以外にも、種々の異なる形態にて実施されてよいものである。

例えば、上記の実施例では、開発段階及び稼働段階で契約者がファイアウォールのアクセス制御を変更する場合を説明したが、これに限定されるものではない。例えば、管理装置１２は、契約者から開発に用いる開発端末のアドレスの登録を受付けて記憶する。そして、管理装置１２は、開発段階への切り替え指示に応じて、開発端末をアクセス可能にファイアウォールのアクセス制御を変更してもよい。また、管理装置１２は、稼働段階への切り替え指示に応じて、全てのアドレスをアクセス可能にファイアウォールのアクセス制御を変更してもよい。

また、上記の実施例では、ファイアウォールにおいて、通信の送信元、送信先、通信の種類により通信の許可、拒否を判定する場合を説明したが、これに限定されるものではない。例えば、ファイアウォールにおいて、通信の送信元のみで、通信の許可、拒否を判定してもよい。この場合、初期設定情報３０には、通信を許可するアクセス元のアドレスが記憶されていればよい。

また、上記の実施例では、初期設定として、管理装置１２からの通信を許可する設定を初期設定情報３０に設定した場合を説明したが、これに限定されるものではない。例えば、管理装置１２以外に、構築した初期状態のプラットフォームに対して通信を許可する端末がある場合、当該端末のアドレスを初期設定情報３０に記憶させてもよい。

また、上記の実施例では、設定画面１１０に初期設定を非表示にする場合を説明したが、これに限定されるものではない。例えば、表示制御部４０は、設定画面１１０に初期設定の一部を非表示にするようにしてもよい。例えば、表示制御部４０は、管理装置１２のアドレスなど、セキュリティに影響を与える部分を非表示にするようにしてもよい。また、表示制御部４０は、プラットフォームに対して通信を許可する端末が複数ある場合、一部の端末の設定を設定画面１１０に非表示にするようにしてもよい。例えば、表示制御部４０は、管理装置１２以外にもプラットフォームに対して通信を許可する端末が初期設定情報３０に登録されている場合、管理装置１２の設定のみを設定画面１１０に非表示にするようにしてもよい。また、設定画面１１０に初期設定を表示するか、非表示とするかを設定可能としてもよい。例えば、初期設定情報３０は、通信を許可するアクセス制御の条件毎に、表示又は非表示の設定を記憶する。表示制御部４０は、初期設定情報３０で非表示が設定されたアクセス制御の条件を設定画面１１０に非表示してもよい。

また、上記の実施例では、通信を許可する初期設定を初期設定情報３０に記憶させる場合を説明したが、これに限定されるものではない。例えば、初期設定として、管理装置１２からの通信を許可する場合、管理装置１２は、自身を含む管理装置１２のアドレスからの通信が許可されるようにファイアウォールに対してアクセス制御の初期設定を行ってもよい。この場合、管理装置１２は、設定画面１１０に、自身を含む管理装置１２のアドレスを送信元とする設定を非表示とする表示制御を行えばよい。

また、本実施例において説明した各処理のうち、自動的に行われるものとして説明した処理の全部又は一部を手動的に行うこともできる。あるいは、手動的に行われるものとして説明した処理の全部又は一部を公知の方法で自動的に行うこともできる。この他、上記文書中や図面中で示した処理手順、制御手順、具体的名称、各種のデータやパラメータを含む情報については、特記する場合を除いて任意に変更することができる。

また、図示した各装置の各構成要素は機能概念的なものであり、必ずしも物理的に図示の如く構成されていることを要しない。すなわち、各装置の分散・統合の具体的形態は図示のものに限られない。つまり、その全部又は一部を、各種の負荷や使用状況等に応じて、任意の単位で機能的又は物理的に分散・統合して構成することができる。例えば、管理装置１２の機能を複数のサーバに分散して実装させるような構成であってもよい。さらに、各装置にて行なわれる各処理機能は、その全部又は任意の一部が、ＣＰＵ及び当該ＣＰＵにて解析実行されるプログラムにて実現され、あるいは、ワイヤードロジックによるハードウェアとして実現され得る。

［システム］
さて、これまで開示のシステムに関する各実施例について説明したが、各実施例における管理装置１２のハードウェア構成の一例について説明する。各装置で行われる各種処理機能は、ＣＰＵ（又はＭＰＵ、ＭＣＵ（Micro Controller Unit）等のマイクロ・コンピュータ）上で、その全部又は任意の一部を実行するようにしてもよい。また、各種処理機能は、ＣＰＵ（又はＭＰＵ、ＭＣＵ等のマイクロ・コンピュータ）で解析実行されるプログラム上、又はワイヤードロジックによるハードウェア上で、その全部又は任意の一部を実行するようにしてもよいことは言うまでもない。上記の各実施例で説明した各種の処理は、予め用意されたプログラムをコンピュータで実行することで実現できる。そこで、以下では、ハードウェア構成の一例として、上記の各実施例と同様の機能を有するプログラムを実行するコンピュータの一例を説明する。

図９は、ハードウェア構成の一例を示す図である。管理装置１２は、図９に示すコンピュータ７０００と同様のハードウェア構成により実現できる。図９に示すように、コンピュータ７０００は、各種演算処理を実行するプロセッサ７００１と、入出力装置７００２と、通信装置７００３とを有する。また、コンピュータ７０００は、各種情報を一時記憶するＲＡＭ７００４と、ハードディスク装置７００５とを有する。また、各装置７００１〜７００５は、バス７００６に接続される。

ハードディスク装置７００５には、上記各実施例で示した表示制御部４０、受信部４１、構築部４２及び変更部４３の各処理部と同様の機能を有するサービス提供プログラムが記憶される。また、ハードディスク装置７００５には、初期設定情報３０及びプラットフォーム設定情報３１が記憶される。ハードディスク装置７００５には、サービス提供プログラムを実現するための各種データが記憶される。

プロセッサ７００１は、ハードディスク装置７００５に記憶された各プログラムを読み出して、ＲＡＭ７００４に展開して実行することで、各種の処理を行う。また、これらのプログラムは、コンピュータ７０００を上記各実施例で示した表示制御部４０、受信部４１、構築部４２及び変更部４３として機能させることができる。なお、上記の各プログラムは、必ずしもハードディスク装置７００５に記憶されている必要はない。例えば、コンピュータ７０００が読み取り可能な記憶媒体に記憶されたプログラムを、コンピュータ７０００が読み出して実行するようにしてもよい。

１ システム
１０ クラウド
１１ サーバ装置
１２ 管理装置
１３ 契約者端末
１４ 利用者端末
２０ 記憶部
２１ 制御部
３０ 初期設定情報
３１ プラットフォーム設定情報
４０ 表示制御部
４１ 受信部
４２ 構築部
４３ 変更部

Claims (7)

1. クラウド内にプラットフォームを構築し、構築した該プラットフォームを利用するサービスを提供するサービス提供プログラムにおいて、
   複数の情報処理装置からのネットワークを介したプラットフォームの構築に関する定義情報の受信に応じて、前記クラウド内に複数のプラットフォームを構築し、
   構築される前記複数のプラットフォームのそれぞれは、共通する１又は複数のアクセス元を除いてアクセスを遮断する初期設定がなされたファイアウォールを含む、
   処理をコンピュータに実行させることを特徴とするサービス提供プログラム。
2. 前記共通する１又は複数のアクセス元は、前記プラットフォームの構築を制御する制御装置に対応するアドレスである
   ことを特徴とする請求項１に記載のサービス提供プログラム。
3. 前記プラットフォームで稼働させるアプリケーションソフトの開発段階において前記共通する１又は複数のアクセス元を、前記アプリケーションソフトの開発元のアドレスに更新し、開発した前記アプリケーションソフトを前記プラットフォームで稼働させる稼働段階において全てのアクセスが可能な状態に前記ファイアウォールの設定を更新する
   処理をコンピュータにさらに実行させることを特徴とする請求項１又は２に記載のサービス提供プログラム。
4. 前記ファイアウォールに対してアクセスの遮断又は許可を設定するための設定画面を表示する際、前記初期設定を非表示にする
   処理をコンピュータにさらに実行させることを特徴とする請求項１〜３の何れか１つに記載のサービス提供プログラム。
5. 前記複数の情報処理装置は、異なるテナントに属する情報処理装置である
   ことを特徴とする請求項１〜４の何れか１つに記載のサービス提供プログラム。
6. クラウド内にプラットフォームを構築し、構築した該プラットフォームを利用するサービスを提供するサービス提供方法において、
   複数の情報処理装置からのネットワークを介したプラットフォームの構築に関する定義情報の受信に応じて、前記クラウド内に複数のプラットフォームを構築し、
   構築される前記複数のプラットフォームのそれぞれは、共通する１又は複数のアクセス元を除いてアクセスを遮断する初期設定がなされたファイアウォールを含む、
   処理をコンピュータが実行することを特徴とするサービス提供方法。
7. クラウド内にプラットフォームを構築し、構築した該プラットフォームを利用するサービスを提供するクラウドの制御装置において、
   複数の情報処理装置からのネットワークを介したプラットフォームの構築に関する定義情報を受信する受信部と、
   前記受信部により受信した定義情報に応じて、前記クラウド内に、共通する１又は複数のアクセス元を除いてアクセスを遮断する初期設定がなされたファイアウォールを含む、複数のプラットフォームを構築する構築部と、
   を有することを特徴とする制御装置。

Images