JP2021022780A - サーバ装置、プログラム、および情報処理方法 - Google Patents

Abstract

【課題】セキュリティを確保しつつシステム管理者がリモートで対象機器の操作を実現するサーバ装置等を提供する。【解決手段】サーバ装置１００は、同一のＬＡＮ内の対象機器および監視サーバの少なくともいずれか一つと通信する第１通信部と、ＬＡＮ外のネットワークと接続し受信を制限し、ＬＡＮ外の管理サーバと通信する第２通信部と、第１通信部を介して対象機器またはＬＡＮにおける監視対象の監視データを取得する第１取得部と、第２通信部を介して監視データを管理サーバに通知する通知部と、管理サーバから対象機器または監視サーバへのアクセスリクエスト情報の受信を第２通信部に許可させて、アクセスリクエスト情報に基づき、第１所定期間リモートアクセスによる受信を第２通信部に許可させて、第１通信部および第２通信部により対象機器または監視サーバと管理サーバとを中継してリモートアクセスを可能にするアクセス制御部と、を備える。【選択図】図３

Description

本発明は、サーバ装置、プログラム、および情報処理方法に関する。

従来、システムの運用を管理する者（以下、「システム管理者」という）が、当該システムにインターネット等を介して接続された端末から、当該システムの運用監視及び操作を行う技術が知られている。

下記特許文献１に開示されている運用管理システムでは、監視サーバと監視対象マシンが管理用ネットワークに接続され、監視対象マシンに配置されたエージェントプログラムにより収集された稼働状況が監視サーバに集められる。また、当該運用管理システムでは、集められた稼働状況により監視サーバが障害を検知してシステム管理者に提示し、システム管理者からの入力により監視サーバが障害への対処情報を該当する監視対象マシンに送信する。

特開２０１９−５７１３９号公報

特許文献１には、システム管理者がリモートで操作等をするために、監視サーバと監視対象マシンとをインターネットを介して通信させることが記載されている。しかしながら、このように監視サーバと監視対象マシンとをインターネットを介して通信させると、当該通信のためのポートを利用して外部の第三者から監視対象マシンに不正侵入される可能性がありセキュリティの観点で問題がある。一方、監視サーバをオンプレミスサーバとしてＬＡＮ内に閉じて監視対象マシンと接続させればセキュリティ上の問題は解決されるものの、システム管理者はリモートで操作ができず運用の観点で問題がある。

そこで、本発明は、セキュリティを確保しつつシステム管理者がリモートで対象機器を操作することを実現可能にするサーバ装置等を提供することを目的とする。

本発明の一態様に係るサーバ装置は、同一のＬＡＮ内の対象機器、および対象機器またはＬＡＮを監視するＬＡＮ内の監視サーバの少なくともいずれか一つと通信する第１通信部と、ＬＡＮ外のネットワークと接続しＬＡＮ外からの受信を制限する第２通信部であって、ＬＡＮ外の管理サーバと通信する第２通信部と、第１通信部を介して、対象機器またはＬＡＮにおける監視対象のデータを示す監視データを、対象機器および監視サーバの少なくともいずれか一つから取得する第１取得部と、第２通信部を介して、監視データを管理サーバに通知する通知部と、管理サーバから対象機器または監視サーバへのリモートアクセスをリクエストするアクセスリクエスト情報を、当該アクセスリクエスト情報を取得するための受信を第２通信部に許可させて、当該第２通信部を介して管理サーバから取得する第２取得部と、アクセスリクエスト情報に基づいて、第１所定期間、リモートアクセスによる受信を第２通信部に許可させて、第１通信部および第２通信部により対象機器または監視サーバと管理サーバとを中継してリモートアクセスを可能にするアクセス制御部と、を備える。

本発明の一態様に係るプログラムは、コンピュータに、同一のＬＡＮ内の対象機器、および対象機器またはＬＡＮを監視するＬＡＮ内の監視サーバの少なくともいずれか一つと通信する第１通信機能と、ＬＡＮ外のネットワークと接続しＬＡＮ外からの受信を制限する第２通信機能であって、ＬＡＮ外の管理サーバと通信する第２通信機能と、第１通信機能を介して、対象機器またはＬＡＮにおける監視対象のデータを示す監視データを、対象機器および監視サーバの少なくともいずれか一つから取得する第１取得機能と、第２通信機能を介して、取得した監視データを管理サーバに通知する通知機能と、管理サーバから対象機器または監視サーバへのリモートアクセスをリクエストするアクセスリクエスト情報を、当該アクセスリクエスト情報を取得するための受信を第２通信機能に許可させて、当該第２通信機能を介して管理サーバから取得する第２取得機能と、アクセスリクエスト情報に基づいて、第１所定期間、リモートアクセスによる受信を第２通信機能に許可させて、第１通信機能および第２通信機能により対象機器または監視サーバと管理サーバとを中継してリモートアクセスを可能にするアクセス制御機能と、を実現させる。

本発明の一態様に係る情報処理方法は、コンピュータが、同一のＬＡＮ内の対象機器、および対象機器またはＬＡＮを監視するＬＡＮ内の監視サーバの少なくともいずれか一つと通信する第１通信ステップと、ＬＡＮ外のネットワークと接続しＬＡＮ外からの受信を制限する第２通信ステップであって、ＬＡＮ外の管理サーバと通信する第２通信ステップと、対象機器またはＬＡＮにおける監視対象のデータを示す監視データを、第１通信ステップを含めて対象機器および監視サーバの少なくともいずれか一つから取得する第１取得ステップと、取得した監視データを、第２通信ステップを含めて管理サーバに通知する通知ステップと、管理サーバから対象機器または監視サーバへのリモートアクセスをリクエストするアクセスリクエスト情報を、当該アクセスリクエスト情報を取得するための受信を許可する第２通信ステップを含めて管理サーバから取得する第２取得ステップと、アクセスリクエスト情報に基づいて、第１所定期間、第１通信ステップおよびリモートアクセスによる受信を許可する第２通信ステップにより対象機器または監視サーバと管理サーバとを中継してリモートアクセスを可能にするアクセス制御ステップと、を含む。

上記の態様によれば、サーバ装置は、ＬＡＮ外の管理サーバとの通信にあたって、ＬＡＮ外からの受信を制限しつつ、管理サーバからリモートアクセス情報を取得する際などには管理サーバからの受信を許可することができる。そして、サーバ装置は、当該管理サーバからのリクエストに応じて対象機器に対する管理サーバからのリモートアクセスを可能にすることができる。

本発明によれば、セキュリティを確保しつつシステム管理者がリモートで対象機器を操作することを実現可能にするサーバ装置等を提供することができる。

本実施形態に係る運用管理システムのシステム構成例および概要を説明するための図である。 本実施形態に係る運用管理システムのシステム構成例および概要を説明するための図である。 本実施形態に係るサーバ装置の機能構成の一例を示す図である。 本実施形態に係る所定の基準の一例を示す表である。 本実施形態に係るサーバ装置の動作例を示す図である。 本実施形態に係る運用管理システムの動作例を示す図である。 本実施形態に係る運用管理システムの動作例を示す図である。 本実施形態に係るサーバ装置のハードウェア構成の一例を示す図である。

添付図面を参照して、本発明の好適な実施形態（以下、「本実施形態」という）について説明する。なお、各図において、同一の符号を付したものは、同一または同様の構成を有する。

＜１．システム構成および概要＞
本実施形態では、システム管理者Ｕが、本実施形態に係る運用管理システム１を利用して、リモートに設置された機器Ｔ１および機器Ｔ２を含むシステムＳの運用管理をする例を用いて説明するが、これに限る趣旨ではない。なお、当該運用管理の対象である機器Ｔ１と機器Ｔ２とは、以降、「対象機器Ｔ１」と「対象機器Ｔ２」という。また、対象機器Ｔ１と、対象機器Ｔ２とは、特に区別の必要が無い場合は、まとめて「対象機器Ｔ」という。

図１および図２を参照して、本実施形態に係る運用管理システム１のシステム構成例および概要を説明する。

運用管理システム１は、システムＳの運用をシステム管理者Ｕがリモートで管理するために、システムＳの運用を監視したり、発生したインシデントへの対処を行ったり、システムＳに対するシステム管理者Ｕによるリモート操作を実現したりするためのシステムである。

図１および図２に示すように、運用管理システム１は、対象機器Ｔと、対象機器Ｔの動作状況を同一のＬＡＮ内で監視する監視サーバＭと、ＬＡＮ外に設置されリモートで対象機器Ｔを管理するための管理サーバＡと、監視サーバＭと管理サーバＡとを中継するサーバ装置１００とを含む。また、運用管理システム１は、管理サーバＡと接続され、対象機器Ｔの監視結果などをシステム管理者Ｕに対して出力するための端末Ｃを含んでもよい。

対象機器Ｔと監視サーバＭとサーバ装置１００とは、第１ネットワークＮ１を介して互いに通信可能に接続されている。第１ネットワークＮ１は、所定の施設や室内に対して独自に構築された通信網であり、ＬＡＮ（Local Area Network）である。言い換えれば、対象機器Ｔと監視サーバＭとサーバ装置１００とは、同一のＬＡＮ内に設置されている。第１ネットワークＮ１は、有線および／または無線により、対象機器Ｔと監視サーバＭとサーバ装置１００とが互いに通信できるものであれば、任意の通信方式を用いることができる。また、第１ネットワークＮ１は、複数の通信方式を用いるものであってもよい。また、第１ネットワークＮ１は、例えば、Ｗｉ−Ｆｉ（登録商標）規格に準拠した無線ＬＡＮを含み、ルータが中継することで、これらの機器の相互接続を実現させる。

サーバ装置１００と管理サーバＡとは、第２ネットワークＮ２を介して互いに接続されている。第２ネットワークＮ２は、広域通信網のネットワークであり、インターネット、移動体通信網、電話回線を含む。また、第２ネットワークＮ２は、例えば、３Ｇ（第３世代移動通信システム）回線、４Ｇ（第４世代移動通信システム）回線、５Ｇ（第５世代移動通信システム）回線、またはＬＴＥ（登録商標）（Long Term Evolution）回線などを用いた無線通信方式を用いてもよい。また、サーバ装置１００と管理サーバＡとは、第２ネットワークＮ２上に構築されたＶＰＮ（Virtual Private Network）を利用するものであって、ＶＰＮ装置を介して通信してもよい。

監視サーバＭは、システムＳの運用を監視するためにシステムＳに含まれる対象機器Ｔや第１ネットワークＮ１の状況のモニタリングなどが可能な情報処理装置である。監視サーバＭは、システムＳと同じ第１ネットワークＮ１内に設置されている。監視サーバＭは、例えば、システムＳのアプリケーション、ミドルウェア、ＯＳ、ハードウェア、およびネットワークの少なくとも一つを監視する。監視サーバＭは、所定のプログラムを実行することにより、対象機器Ｔの動作状況を監視したり、第１ネットワークＮ１の状況を監視したり、これらの監視結果を出力したりするサーバ機能を実現する。

「監視データ」とは、対象機器Ｔまたは第１ネットワークＮ１における監視対象のデータを示す。監視データは、例えば、対象機器Ｔを構成するハードウェアやソフトウェアに関するログやエラーメッセージなどであってもよい。また、監視データは、例えば、監視対象が対象機器Ｔに搭載されたアプリケーションであれば、当該アプリケーションが出力する各種ファイルやメッセージ、ヒープ領域やインデックスの使用状況などであってもよい。また、監視データは、例えば、監視対象が対象機器ＴのＯＳであれば、メモリ容量の使用率、ＣＰＵ使用率などのリソースの使用状況を示すメトリクス、総プロセス数、またはログインユーザ数などであってもよい。

管理サーバＡは、システムＳの運用を管理するための収集された監視データの分析やシステム管理者Ｕが使用する端末Ｃへの当該分析結果の通知、また、対象機器Ｔへのリモートアクセスなどが可能な情報処理装置である。管理サーバＡの端末Ｃへの通知は、例えば、既存のメッセージソフトに対するメッセージの出力、既存のメールソフトに対するメール送信、システムＳの稼働状況を示す監視データを統合して表示するダッシュボードなどの管理画面上での出力、または電話による発呼など、様々な通知の態様が適用可能である。

サーバ装置１００は、監視サーバＭと管理サーバＡとの通信を中継し、監視サーバＭまたは対象機器Ｔから取得した監視データを加工し、当該加工した監視データを管理サーバＡに通知することが可能な情報処理装置である。また、サーバ装置１００は、上記対象機器Ｔからの監視データの取得において、監視データの収集のために対象機器Ｔに搭載されたエージェントプログラム２００を用いて取得してもよい。

運用管理システム１の概要を、（Ａ）通常の監視時、（Ｂ）システム管理者Ｕによる対象機器Ｔへのリモート操作時という二つの場面に分けて説明する。

図１を参照して、まず上記（Ａ）の場面について説明する。図１に示すように、サーバ装置１００は、上記（Ａ）の場面においてシステムＳが構築されている第１ネットワークＮ１（ＬＡＮ）外からの受信を制限する。サーバ装置１００は、例えば、ファイアウォール機能を備えて当該受信を遮断する。

（１）対象機器Ｔ２は、監視データを出力する。（２）サーバ装置１００は、第１ネットワークＮ１を介して、対象機器Ｔ２から出力された監視データを取得する。また、サーバ装置１００は、エージェントプログラム２００を用いて対象機器Ｔ２から監視データを取得してもよい。

（３）サーバ装置１００は、上記（２）で取得した監視データをフィルタリングやマスキングなどにより加工する。（４）サーバ装置１００は、第２ネットワークＮ２を介して、当該加工した監視データを管理サーバＡに通知する。

（５）管理サーバＡは、上記（４）で通知された監視データを分析して、システム管理者Ｕが使用する端末Ｃに当該分析の結果を出力する。管理サーバＡは、例えば、対象機器ＴのＣＰＵ使用率をグラフ化して端末Ｃに表示させてもよい。また、管理サーバＡは、例えば、監視データに基づいて対象機器Ｔにインシデントが発生しているか否か分析してもよい。管理サーバＡは、当該分析の結果対象機器Ｔにインシデントが発生していると判定した場合は、当該インシデントに関するアラートメッセージを端末Ｃに表示させてもよい。

図２を参照して、つぎに上記（Ｂ）の場面について説明する。図２に示すように、システム管理者Ｕは、端末Ｃに出力された対象機器Ｔ２の動作状況に対する処置として対象機器Ｔ２をリモート操作するために、サーバ装置１００に対して対象機器Ｔ２へのリモートアクセスをリクエストする。

システム管理者Ｕは、具体的には、端末Ｃに出力されたＵＩから、管理サーバＡが管理するアクセスリクエスト情報に対して上記リクエストの旨を登録する。ここで「アクセスリクエスト情報」とは、管理サーバＡから対象機器Ｔまたは監視サーバＭへのリモートアクセスをリクエストする情報である。アクセスリクエスト情報は、例えば、アクセス対象の対象機器Ｔまたは監視サーバＭを識別するための識別情報、リモートアクセスをリクエストしているか否かを示すフラグ情報（例えば、リモートアクセスＯＮ／ＯＦＦなど）などを含んでもよい。

（１）サーバ装置１００は、第２ネットワークＮ２を介してサイクリックまたはイベントドリブンでアクセスリクエスト情報を管理サーバＡから取得する。（２）サーバ装置１００は、当該取得にあたって一時的にＬＡＮ外の管理サーバＡからの受信を許可する。サーバ装置１００は、当該取得したアクセスリクエスト情報において上記リクエストの旨を検出すると、管理サーバＡから対象機器Ｔ２へのリモートアクセスのためのセッションを確立させ、これらの機器を中継して当該リモートアクセスを可能にする。サーバ装置１００は、上記セッションの確立および中継にあたって、第１所定期間ＬＡＮ外の管理サーバＡからの受信を許可する。

「第１所定期間」とは、サーバ装置１００が管理サーバＡからの受信を許可するための期間をいう。第１所定期間は、例えば、管理サーバＡからの上記アクセスリクエストを検出してから管理サーバＡから上記リモートアクセスの終了リクエストを受信し当該リモートアクセスのセッションを停止するまでの期間であってもよい。第１所定期間は、他の例として、予め設定した特定の時間（例えば、３０分間、１時間など）であってもよい。

（３）システム管理者Ｕは、端末Ｃに出力されたＵＩから、管理サーバＡから対象機器Ｔ２にリモートアクセスして対象機器Ｔ２への上記処置を行う。（４）サーバ装置１００は、管理サーバＡから受信したリモートアクセスを対象機器Ｔ２に中継する。（５）対象機器Ｔ２は、当該中継により管理サーバＡからリモートアクセスされて、システム管理者Ｕから上記処置をされる。

サーバ装置１００は、第１ネットワークＮ１と第２ネットワークＮ２と間の通信を中継するため、ゲートウェイ機能を備えてもよいし、外部のゲートウェイ装置を制御してもよい。

管理サーバＡから対象機器Ｔへのリモートアクセスにあたっては、例えば、ＴＥＬＮＥＴなどの通信プロトコル、もしくはＳＳＨ（Secure Shell）またはＶＮＣ（Virtual Network Computing）などのリモートアクセスツールをそれぞれ用いて実現してもよい。

上記構成によれば、サーバ装置１００は、ＬＡＮ外の管理サーバＡとの通信にあたって、ＬＡＮ外からの受信を制限しつつ、管理サーバＡからリモートアクセス情報を取得する際などには管理サーバＡからの受信を許可することができる。そして、サーバ装置１００は、管理サーバＡ（システム管理者Ｕ）からのリクエストに応じて対象機器Ｔ２に対する管理サーバＡからのリモートアクセスを可能にすることができる。したがって、上記構成によれば、サーバ装置１００は、セキュリティを確保しつつ対象機器Ｔ２をシステム管理者Ｕがリモートで操作することを実現可能にする。

＜２．機能構成＞
図３を参照して、本実施形態に係るサーバ装置１００の機能構成を説明する。図３に示すように、サーバ装置１００は、通信部１１０と、制御部１２０と、記憶部１３０と、を備える。

通信部１１０は、第１通信部１１１と、第２通信部１１２と、を含む。通信部１１０は、第１ネットワークＮ１や第２ネットワークＮ２を介して、対象機器Ｔ、監視サーバＭ、管理サーバＡ、その他のサーバまたは外部システムなどと通信する。通信部１１０は、管理サーバＡから対象機器Ｔへのリモートアクセスにあたって、例えば、ポートフォワーディングによって中継してもよい。また、通信部１１０における管理サーバＡと対象機器Ｔとの中継は、例えば、ＮＡＴ（Network Address Translation）やＮＡＰＴ（Network Address Port Translation）（ＩＰマスカレード）などの技術を用いてもよい。

第１通信部１１１は、第１ネットワークＮ１と接続し、第１ネットワークＮ１内の対象機器Ｔおよび対象機器Ｔを監視する第１ネットワークＮ１内の監視サーバＭの少なくともいずれか一つと通信する。

第２通信部１１２は、第２ネットワークＮ２と接続し、第１ネットワークＮ１外からの受信を制限する。また、第２通信部１１２は、第１ネットワークＮ１外の管理サーバＡと通信する。また、第２通信部１１２は、アクセス制御部１２４などからの制御に応じて一時的に第１ネットワークＮ１外からの受信を許可する。

第２通信部１１２は、上記第１ネットワークＮ１外からの受信を許可するにあたって、例えば、パケットフィルタ型のファイアウォールを用いてもよい。第２通信部１１２は、例えば、送信元のＩＰアドレスが管理サーバＡのＩＰアドレス以外のＩＰアドレスをフィルタリングして、管理サーバＡのＩＰアドレスからのパケットのみ通過させてもよい。また、第２通信部１１２は、パケットフィルタ型のファイアウォールを用いる他の例として、第２通信部１１２からのリクエストへの応答を示す受信のみ通過させてもよい。第２通信部１１２は、例えば、ヘッダ情報にあるＡＣＫフラグ（ＡＣＫ番号）、リクエスト元のポート番号、またはシーケンス番号などで当該応答を示す受信か否かを判定してもよい。

制御部１２０は、第１取得部１２１と、第２取得部１２２と、通知部１２３と、アクセス制御部１２４と、を備える。また、制御部１２０は、例えば、更新部１２５、加工部１２６、抽出部１２７、または特定部１２８を備えてもよい。

第１取得部１２１は、第１通信部１１１を介して、監視データを、対象機器Ｔおよび監視サーバＭの少なくともいずれか一つから取得する。第１取得部１２１における各種情報の取得にあたっては、管理サーバＡに実装されたＡＰＩを利用してもよい。ここで、「ＡＰＩ（Application Programming Interface）」とは、各種情報の参照機能などを個別にサービス化して、外部のアプリケーションから利用するために、ソフトウェアコンポーネントが互いにやり取りするために使用するインタフェースである。

第１取得部１２１は、例えば、上記ＡＰＩを利用して、アクセスリクエスト情報の参照を管理サーバＡに指示する。管理サーバＡは、当該指示に基づいて、アクセスリクエスト情報を参照する。第１取得部１２１は、管理サーバＡの当該参照の結果として、当該ＡＰＩを介してアクセスリクエスト情報を取得してもよい。

第２取得部１２２は、アクセスリクエスト情報を、当該アクセスリクエスト情報を取得するための受信を第２通信部１１２に許可させて、当該第２通信部を介して管理サーバＡから取得する。第２取得部１２２における各種情報の取得にあたっては、上記第１取得部１２１と同様に、監視サーバＭに実装されたＡＰＩを利用してもよい。

第２取得部１２２は、例えば、設定リクエスト情報を、当該設定リクエスト情報を取得するための受信を第２通信部１１２に許可させて、当該第２通信部１１２を介して管理サーバＡから取得してもよい。

「設定リクエスト情報」とは、対象機器Ｔの設定の更新をリクエストする情報である。設定リクエスト情報は、管理サーバＡに保管されている。また、設定リクエスト情報は、例えば、システム管理者Ｕにより端末ＣのＵＩから手動でリクエスト登録されてもよいし、管理サーバＡにより自動でリクエスト登録されてもよい。設定リクエスト情報は、例えば、更新対象の対象機器Ｔを識別するための識別情報、更新対象の設定項目（例えば、ＯＳや特定のアプリケーションが参照する設定ファイルのパラメータなど）を指定するための指定情報、どのように更新するかを示す更新内容などを含んでもよい。

第２取得部１２２は、監視リクエスト情報を、当該監視リクエスト情報を取得するための受信を第２通信部１１２に許可させて、当該第２通信部１１２を介して管理サーバＡから取得してもよい。

「監視リクエスト情報」とは、対象機器Ｔの監視設定の更新をリクエストする情報である。監視リクエスト情報は、管理サーバＡで保管されている。また、監視リクエスト情報は、例えば、システム管理者Ｕにより端末ＣのＵＩから手動でリクエスト登録されてもよいし、管理サーバＡにより自動でリクエスト登録されてもよい。監視リクエスト情報は、例えば、更新対象の対象機器Ｔを識別するための識別情報、更新対象の監視項目（例えば、対象機器Ｔ１のＣＰＵ使用率など）を指定するための指定情報、どのように更新するかを示す更新内容（例えば、監視のＯＮ／ＯＦＦや監視閾値の変更など）などを含んでもよい。

監視リクエスト情報は、システム管理者ごとに設けられていてもよい。この場合、監視リクエスト情報は、各システム管理者のアカウントを識別するためのアカウント識別情報を含んでもよい。このような構成によれば、監視リクエスト情報は、システム管理者ごとに監視項目をカスタマイズすることができる。

通知部１２３は、第２通信部１１２を介して、第１取得部１２１が取得した監視データを管理サーバＡに通知する。通知部１２３の通知の態様は、例えば、監視データのファイルを管理サーバＡに送信してもよいし、監視データを示すメッセージを管理サーバＡのメッセージソフトに送信してもよい。

通知部１２３は、例えば、後述の加工部１２６により加工された監視データを管理サーバＡに通知してもよい。このような構成によれば、通知部１２３は、必要最小限のセキュアな内容に加工された監視データを管理サーバＡに通知することができる。すなわち、このような構成によれば、通知部１２３は、管理サーバＡへの監視データの通知にあたって通信負荷を低減し、かつ監視データのセキュリティを向上させることができる。

通知部１２３は、例えば、後述の特定部１２８により特定された対応方法を管理サーバＡに通知してもよい。通知部１２３の管理サーバＡに対する当該通知の態様は、例えば、当該通知された対応方法を管理サーバＡを介して端末Ｃの画面に出力させてもよいし、音声出力してもよい。このような構成によれば、通知部１２３は、システム管理者Ｕに、対象機器Ｔなどで発生したインシデントに対するファクトベースの対応方法を提案することができる。

アクセス制御部１２４は、アクセスリクエスト情報に基づいて、第１所定期間、上記管理サーバＡから対象機器Ｔへのリモートアクセスによる受信を第２通信部１１２に許可させて、第１通信部１１１および第２通信部１１２により対象機器Ｔまたは監視サーバＭと管理サーバＡとを中継してリモートアクセスを可能にする。

上記構成によれば、アクセス制御部１２４は、ＬＡＮ外からの受信を制限する第２通信部１１２に上記リモートアクセスによる受信を第１所定期間許可させることで当該リモートアクセスを中継して実現可能にすることができる。すなわち、上記構成によれば、アクセス制御部１２４は、セキュリティを確保しつつ管理サーバＡから対象機器Ｔへのリモートアクセスを実現可能することができる。

アクセス制御部１２４は、例えば、第２通信部１１２に上記リモートアクセスのためのセッションを確立させるためのリクエストを管理サーバＡに送信させもよい。アクセス制御部１２４は、当該リクエストに対する応答の受信を第２通信部１１２に許可させて、管理サーバＡからの当該応答を第２通信部１１２に受信させて上記セッションを確立させてもよい。

上記構成によれば、アクセス制御部１２４は、ＬＡＮ外からの受信を制限する第２通信部１１２に上記セッションを確立させるためのリクエストを管理サーバＡに送信させて当該リクエストへの応答の受信を許可させることで当該セッションを確立させることができる。すなわち、上記構成によれば、アクセス制御部１２４は、セキュリティを確保しつつ管理サーバＡから対象機器Ｔへのリモートアクセスのセッション確立を実現可能にすることができる。

アクセス制御部１２４は、通信部１１０のポートフォワーディングにより上記リモートアクセスを可能にしてもよい。このような構成によれば、アクセス制御部１２４は、ＬＡＮ側のアドレスしか持たないＬＡＮ内部の対象機器Ｔの特定のポート番号への外部の管理サーバＡからの受信を実現可能にする。

更新部１２５は、第２取得部１２２が取得した設定リクエスト情報に基づいて、第１通信部１１１を介して、対象機器Ｔの設定を更新する。このような構成によれば、更新部１２５は、リモートアクセスによらずに、リモートの管理サーバＡからのリクエストに応じて対象機器Ｔの設定を更新させることができる。

更新部１２５は、第２取得部１２２が取得した監視リクエスト情報に基づいて、第１通信部１１１を介して、監視サーバＭにおける対象機器Ｔの監視設定を更新する。このような構成によれば、更新部１２５は、リモートアクセスによらずに、リモートの管理サーバＡからのリクエストに応じて監視サーバＭの監視設定を更新させることができる。

加工部１２６は、第１取得部１２１が取得した監視データを、（１）秘匿化、（２）分類モデルによる分類、（３）所定の基準による分類、および（４）所定の条件による選別の少なくとも一つにより加工する。

加工部１２６における上記（１）の秘匿化は、例えば、監視データに示されたパスワード情報や個人情報などの機密性の高い情報に対して特定の文字（例えば、アスタリスクや数字の「９」、記号の「□」など）でマスキングしてもよい。また、当該秘匿化は、例えば、監視データに示された文字列をハッシュ値に変換したり、暗号化したりしてもよい。

加工部１２６における上記（１）の秘匿化は、また、後述の上記（２）および（３）の分類などに置き換えることでマスキングしてもよい。当該マスキングは、例えば、監視データが後述の図４に示すＮｏ．１９の監視項目の「メモリ使用量」でその数値「〇〇ＧＢ」により「警告」に分類された場合は、当該数値を分類「警告」または全体に対する割合を示す数値「全容量の９０％」に置き換えて加工してもよい。

加工部１２６における上記（２）の分類モデルによる分類は、例えば、監視データを入力して構築する分類モデルにより監視データを分類する方法などを用いることが考えらえる。加工部１２６は、例えば、監視データに示された各監視項目のメトリクス（測定値）の特徴量を入力して分類モデルを構築してもよい。加工部１２６は、具体的には、まず、監視データに含まれるメトリクスを説明変数、「正常」、「注意」又は「警告」などの分類クラスを目的変数としてそれぞれの特徴量を抽出する。加工部１２６は、当該抽出された特徴量を組み合わせて学習データとする。加工部１２６は、つぎに、当該学習データを用いて機械学習（例えば、ＳＶＭ（Support Vector Machine）などの学習技法）により分類器を学習させて分類クラスを定義する分類モデルを構築する。加工部１２６は、当該構築された分類モデルを記憶部１３０に記憶させる。加工部１２６は、つぎに、第１取得部１２１が取得した監視データを、当該監視データに含まれるメトリクスの特徴量に基づき、記憶部１３０に記憶された分類モデルを用いて「正常」、「注意」又は「警告」などの分類クラスに分類する。

図４を参照して、上記（３）の所定の基準による分類の一例を説明する。当該所定の基準は、例えば、監視項目ごとに設定された監視閾値でもよい。当該監視閾値は、例えば、図４に示すように、Ｎｏ．９に示す監視項目「ＣＰＵ使用率」の場合は、分類ごとに「正常」は「７０％未満」、「注意」は「７０〜９０％未満」、「警告」は「９０％以上」と設定される。加工部１２６は、当該監視閾値に基づき、第１取得部１２１が取得した監視データに含まれるＣＰＵ使用率を、「正常」、「注意」または「警告」に分類する。

加工部１２６における上記（４）の所定の条件による選別は、例えば、監視データに対して、予め設定した所定の条件（フィルタリングルール）に基づいて、管理サーバＡに通知する対象か否かを選別してもよい。当該選別は、例えば、監視データが特定のアプリケーションのログであった場合には、当該アプリケーションのエラーを示す文字列（例えば、「ＥＲＲＯＲ」など）が含まれている場合には、当該ログを管理サーバＡに通知する対象として選んでもよい。

抽出部１２７は、監視データに含まれる対象機器Ｔまたは第１ネットワークＮ１のインシデントに関する所定の単語を抽出する。ここで、「所定の単語」とは、例えば、「対象機器Ｔ１」、「メモリ障害発生」、「通信帯域の負荷が高い」、「再起動」、「切り替え」、「シャットダウン」、などの対象機器Ｔや第１ネットワークＮ１を含むシステムＳの稼働状況に関する単語であってもよい。また、ここで「対象機器Ｔまたは第１ネットワークＮ１のインシデントに関する所定の単語」とは、所定の単語のうち、対象機器Ｔまたは第１ネットワークＮ１のインシデントに関するものをいう。

特定部１２８は、抽出部１２７により抽出された所定の単語および対応履歴情報に基づいて、当該所定の単語に関する対応方法を特定する。ここで、「対応履歴情報」とは、第２所定期間において実施された対象機器Ｔまたは第１ネットワークＮ１のインシデントへの対応方法を示す情報である。対応履歴情報は、例えば、インシデントが発生した対象機器Ｔまたは第１ネットワークＮ１を識別するための識別情報、当該インシデントの発生日時、当該インシデントの内容、当該インシデントに対して実施された対応方法、当該対応方法を実施した日時を示す対応日時、当該対応方法を実施した対応者を識別するための情報などを含んでもよい。また、ここで「第２所定期間」とは、過去に実施された対象機器Ｔなどのインシデントへの対応方法を対応履歴情報として記録してきた期間をいう。

特定部１２８は、例えば、上記抽出された所定の単語が「対象機器Ｔ１」、「アプリケーションＢ」および「メモリ不足」であった場合、対応履歴情報から、ずれやゆらぎなどのノイズを吸収するあいまい検索を含めてこれらの単語が合致する対応履歴を抽出する。特定部１２８は、例えば、第２所定期間に発生した対象機器Ｔ１に搭載されたアプリケーションＢのヒープ領域不足エラーのインシデントの対応履歴をこれらの単語が合致する対応履歴として抽出する。特定部１２８は、当該抽出した対応履歴の対応方法「アプリケーションＢのヒープ領域の最大サイズを物理メモリの〇〇％まで増やすようコマンドで再設定」を、上記所定の単語に関する対応方法として特定する。

記憶部１３０は、監視データと、アクセスリクエスト情報と、設定リクエスト情報と、監視リクエスト情報と、対応履歴情報と、を記憶する。記憶部１３０は、データベースマネジメントシステム（ＤＢＭＳ）を利用して各情報を記憶してもよいし、ファイルシステムを利用して各情報を記憶してもよい。ＤＢＭＳを利用する場合は、上記情報ごとにテーブル（例えば、アクセスリクエストテーブル等）を設けて、当該テーブル間を関連付けて各情報を管理してもよい。

＜３．動作例＞
図５〜図７を参照して、サーバ装置１００または運用管理システム１の動作例を説明する。なお、以下に示す図５〜図７の動作例の処理の順番は一例であって、適宜、変更されてもよい。また、図５〜図７に示す処理は、第１通信部１１１により対象機器Ｔまたは監視サーバＭとサーバ装置１００との間の第１ネットワークＮ１を介した通信が確立されていることを前提とする。また、図５〜図７に示す処理は、第２通信部１１２によりサーバ装置１００と管理サーバＡとの間の第２ネットワークＮ２を介した通信が管理サーバＡからサーバ装置１００への受信が制限された状態で確立されていることを前提とする。

図５は、サーバ装置１００における、監視データの取得および管理サーバＡへの通知と、管理サーバＡから対象機器Ｔへのリモートアクセスの中継とに関する処理の流れを示すフロー図である。

図５に示すように、サーバ装置１００の第１取得部１２１は、第１通信部１１１を介して、対象機器Ｔまたは第１ネットワークＮ１における監視データを、対象機器Ｔおよび前監視サーバＭの少なくともいずれか一つから取得する（Ｓ１０）。通知部１２３は、第２通信部１１２を介して、上記第１取得部１２１により取得された監視データを管理サーバＡに通知する（Ｓ１１）。

第２取得部１２２は、管理サーバＡから対象機器Ｔまたは監視サーバＭへのリモートアクセスをリクエストするアクセスリクエスト情報を、当該アクセスリクエスト情報を取得するための受信を第２通信部１１２に許可させて、当該第２通信部１１２を介して管理サーバＡから取得する（Ｓ１２）。

アクセス制御部１２４は、第２取得部１２２により取得されたアクセスリクエスト情報に基づいて、管理サーバＡ（システム管理者Ｕ）から対象機器Ｔまたは監視サーバＭへのリモートアクセスをリクエストされているか否かを判定する（Ｓ１３）。アクセス制御部１２４は、管理サーバＡから対象機器Ｔまたは監視サーバＭへのリモートアクセスをリクエストされている場合（Ｓ１３のＹｅｓ）、第１所定期間、当該リモートアクセスによる管理サーバＡからの受信を第２通信部１１２に許可させる（Ｓ１４）。アクセス制御部１２４は、第１通信部１１１および第２通信部１１２により管理サーバＡから対象機器Ｔまたは監視サーバＭへのリモートアクセスを中継する（Ｓ１５）。

図６は、運用管理システム１における、監視サーバＭが生成した監視データをサーバ装置１００が管理サーバＡに中継して、管理サーバＡで当該監視データを分析して出力する際の相互作用の例を示すシーケンス図である。

図６に示すように、監視サーバＭは、対象機器Ｔに対する監視の結果として、監視データを生成する（Ｓ２０）。監視サーバＭは、サーバ装置１００に、第１ネットワークＮ１を介して当該生成した監視データを送信する（Ｓ２１）。

サーバ装置１００は、監視サーバＭから送信された監視データを取得する（Ｓ２２）。サーバ装置１００は、当該取得した監視データを、秘匿化（マスキング）や所定の条件による選別（フィルタリング）などにより加工する（Ｓ２３）。サーバ装置１００は、当該加工した監視データを管理サーバＡに送信する（Ｓ２４）。

管理サーバＡは、サーバ装置１００から送信された上記加工された監視データを取得する（Ｓ２５）。管理サーバＡは、当該取得した監視データを分析する（Ｓ２６）。管理サーバＡは、当該分析の結果に基づいて分析レポートを生成して端末Ｃに出力する（Ｓ２７）。

図７は、運用管理システム１における、管理サーバＡから監視サーバＭへのリモートアクセスのリクエストに応じてサーバ装置１００が管理サーバＡと監視サーバＭとを中継して当該リモートアクセスを可能にする際の相互作用の例を示すシーケンス図である。

図７に示すように、サーバ装置１００は、サイクリックに、管理サーバＡから監視サーバＭへのリモートアクセスをリクエストするアクセスリクエスト情報の参照を管理サーバＡのＡＰＩを介して管理サーバＡに指示する（Ｓ３０）。管理サーバＡは、当該指示に応じて、アクセスリクエスト情報を参照する（Ｓ３１）。管理サーバＡは、上記ＡＰＩを介してサーバ装置１００に当該参照の結果を送信する（Ｓ３２）。サーバ装置１００は、当該参照の結果の受信を許可して、上記ＡＰＩを介して当該参照の結果としてアクセスリクエスト情報を取得する（Ｓ３３）。

サーバ装置１００は、当該取得したアクセスリクエスト情報に基づき、管理サーバＡから監視サーバＭへのリモートアクセスがリクエストされている場合、ｏｐｔ（Option）タグのエリア内にある処理を実行する。具体的には、サーバ装置１００は、管理サーバＡからの受信を第１所定期間許可するよう受信設定を変更する（Ｓ３４）。サーバ装置１００は、管理サーバＡから監視サーバＭへのリモートアクセスを開始させるための開始リクエストを管理サーバＡに送信する（Ｓ３５）。管理サーバＡは、当該送信された開始リクエストに対する応答をサーバ装置１００に送信する（Ｓ３６）。サーバ装置１００は、当該応答を受信すると、上記リモートアクセスの中継を開始する。

上記サーバ装置１００と管理サーバＡとの間の開始リクエストとその応答は、説明を簡単にするため一組のインタラクションのみ図７に記載しているが、これに限定されない。当該開始リクエストとその応答は、例えば、上記リモートアクセスのためのセッションを確立するためのリクエストやその応答、暗号化通信などのためのネゴシエーションを含んでもよく、サーバ装置１００と管理サーバＡとの間における複数組のインタラクションが含まれてもよい。

管理サーバＡにおいて、上記リモートアクセスをして、システム管理者Ｕが端末ＣのＵＩから監視サーバＭをリモート操作する（Ｓ３７）。サーバ装置１００は、当該リモートアクセスを監視サーバＭに中継する（Ｓ３８）。監視サーバＭは、当該リモートアクセスにより、システム管理者Ｕからリモート操作される（Ｓ３９）。

システム管理者Ｕが端末ＣのＵＩを介して上記リモートアクセスを終了する指示を管理サーバＡに入力すると、管理サーバＡは、サーバ装置１００に、当該リモートアクセスを終了させるための終了リクエストをサーバ装置１００に送信する（Ｓ４０）。サーバ装置１００は、当該送信された終了リクエストに対する応答をサーバ装置１００に送信する（Ｓ４１）。サーバ装置１００は、当該応答を送信すると、上記リモートアクセスの中継を終了する。

上記サーバ装置１００と管理サーバＡとの間の終了リクエストとその応答は、説明を簡単にするため一組のインタラクションのみ図７に記載しているが、これに限定されない。当該終了リクエストとその応答は、例えば、上記リモートアクセスのためのセッションを停止するためのリクエストやその応答などを含んでもよく、サーバ装置１００と管理サーバＡとの間における複数組のインタラクションが含まれてもよい。

サーバ装置１００は、第１所定期間管理サーバＡからの受信を許可するよう変更された受信設定を、元の設定に戻すよう変更する（Ｓ４２）。

＜４．ハードウェア構成＞
図８を参照して、上述してきたサーバ装置１００および端末をコンピュータ８００により実現する場合のハードウェア構成の一例を説明する。なお、それぞれの装置の機能は、複数台の装置に分けて実現することもできる。

図８に示すように、コンピュータ８００は、プロセッサ８０１と、メモリ８０３と、記憶装置８０５と、入力Ｉ／Ｆ部８０７と、データＩ／Ｆ部８０９と、通信Ｉ／Ｆ部８１１、および表示装置８１３を含む。

プロセッサ８０１は、メモリ８０３に記憶されているプログラムを実行することによりコンピュータ８００における様々な処理を制御する。例えば、サーバ装置１００の制御部１２０が備える各機能部などは、メモリ８０３に一時記憶された上で、主にプロセッサ８０１上で動作するプログラムとして実現可能である。

メモリ８０３は、例えばＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）等の記憶媒体である。メモリ８０３は、プロセッサ８０１によって実行されるプログラムのプログラムコードや、プログラムの実行時に必要となるデータを一時的に記憶する。

記憶装置８０５は、例えばハードディスクドライブ（ＨＤＤ）やフラッシュメモリ等の不揮発性の記憶媒体である。記憶装置８０５は、オペレーティングシステムや、上記各構成を実現するための各種プログラムを記憶する。この他、記憶装置８０５は、監視データ、アクセスリクエスト情報、設定リクエスト情報、監視リクエスト情報、または対応履歴情報を登録するテーブルと、当該テーブルを管理するＤＢを記憶することも可能である。このようなプログラムやデータは、必要に応じてメモリ８０３にロードされることにより、プロセッサ８０１から参照される。

入力Ｉ／Ｆ部８０７は、ユーザからの入力を受け付けるためのデバイスである。入力Ｉ／Ｆ部８０７の具体例としては、キーボードやマウス、タッチパネル、各種センサ、ウェアラブル・デバイス等が挙げられる。入力Ｉ／Ｆ部８０７は、例えばＵＳＢ（Ｕｎｉｖｅｒｓａｌ Ｓｅｒｉａｌ Ｂｕｓ）等のインタフェースを介してコンピュータ８００に接続されても良い。

データＩ／Ｆ部８０９は、コンピュータ８００の外部からデータを入力するためのデバイスである。データＩ／Ｆ部８０９の具体例としては、各種記憶媒体に記憶されているデータを読み取るためのドライブ装置等がある。データＩ／Ｆ部８０９は、コンピュータ８００の外部に設けられることも考えられる。その場合、データＩ／Ｆ部８０９は、例えばＵＳＢ等のインタフェースを介してコンピュータ８００へと接続される。

通信Ｉ／Ｆ部８１１は、コンピュータ８００の外部の装置と有線または無線により、インターネットＮを介したデータ通信を行うためのデバイスである。通信Ｉ／Ｆ部８１１は、コンピュータ８００の外部に設けられることも考えられる。その場合、通信Ｉ／Ｆ部８１１は、例えばＵＳＢ等のインタフェースを介してコンピュータ８００に接続される。

表示装置８１３は、各種情報を表示するためのデバイスである。表示装置８１３の具体例としては、例えば液晶ディスプレイや有機ＥＬ（Ｅｌｅｃｔｒｏ−Ｌｕｍｉｎｅｓｃｅｎｃｅ）ディスプレイ、ウェアラブル・デバイスのディスプレイ等が挙げられる。表示装置８１３は、コンピュータ８００の外部に設けられても良い。その場合、表示装置８１３は、例えばディスプレイケーブル等を介してコンピュータ８００に接続される。また、入力Ｉ／Ｆ部８０７としてタッチパネルが採用される場合には、表示装置８１３は、入力Ｉ／Ｆ部８０７と一体化して構成することが可能である。

なお、本実施形態は、本発明を説明するための例示であり、本発明をその実施の形態のみに限定する趣旨ではない。また、本発明は、その要旨を逸脱しない限り、さまざまな変形が可能である。さらに、当業者であれば、以下に述べる各要素を均等なものに置換した実施の形態を採用することが可能であり、かかる実施の形態も本発明の範囲に含まれる。

［変形例］
なお、本発明を上記実施形態に基づいて説明してきたが、以下のような場合も本発明に含まれる。

上記実施形態に係るサーバ装置１００における各構成の少なくとも一部は、対象機器Ｔまたは監視サーバＭに搭載するエージェントプログラム２００が備えてもよい。例えば、エージェントプログラム２００に、サーバ装置１００の制御部１２０の各機能部のうち、第１取得部１２１、更新部１２５、加工部１２６、抽出部１２７および特定部１２８の少なくとも一つを備えさせてもよい。

１…運用管理システム、１００… サーバ装置、１１０…通信部、１２０…制御部、１２１…第１取得部、１２２…第２取得部、１２３…通知部、１２４…アクセス制御部、１２５…更新部、１２６…加工部、１２７…抽出部、１２８…特定部、１３０…記憶部、２００…エージェントプログラム、８００…コンピュータ、８０１…プロセッサ、８０３…メモリ、８０５…記憶装置、８０７…入力Ｉ／Ｆ部、８０９…データＩ／Ｆ部、８１１…通信Ｉ／Ｆ部、８１３…表示装置、Ａ…管理サーバ、Ｃ…端末、Ｍ…監視サーバ、Ｓ…システム、Ｔ、Ｔ１、Ｔ２…対象機器、Ｕ…システム管理者。

Claims (9)

1. 同一のＬＡＮ内の対象機器、および前記対象機器または前記ＬＡＮを監視する前記ＬＡＮ内の監視サーバの少なくともいずれか一つと通信する第１通信部と、
   前記ＬＡＮ外のネットワークと接続し前記ＬＡＮ外からの受信を制限する第２通信部であって、前記ＬＡＮ外の管理サーバと通信する第２通信部と、
   前記第１通信部を介して、前記対象機器または前記ＬＡＮにおける監視対象のデータを示す監視データを、前記対象機器および前記監視サーバの少なくともいずれか一つから取得する第１取得部と、
   前記第２通信部を介して、前記監視データを前記管理サーバに通知する通知部と、
   前記管理サーバから前記対象機器または前記監視サーバへのリモートアクセスをリクエストするアクセスリクエスト情報を、当該アクセスリクエスト情報を取得するための受信を前記第２通信部に許可させて、当該第２通信部を介して前記管理サーバから取得する第２取得部と、
   前記アクセスリクエスト情報に基づいて、第１所定期間、前記リモートアクセスによる受信を前記第２通信部に許可させて、前記第１通信部および前記第２通信部により前記対象機器または前記監視サーバと前記管理サーバとを中継して前記リモートアクセスを可能にするアクセス制御部と、を備える、
   サーバ装置。
2. 前記アクセス制御部は、
   前記第２通信部に前記リモートアクセスのためのセッションを確立させるためのリクエストを前記管理サーバに送信させ、前記リクエストに対する応答の受信を前記第２通信部に許可させて、前記管理サーバからの前記応答を前記第２通信部に受信させて前記セッションを確立させる、
   請求項１に記載のサーバ装置。
3. 前記第２取得部は、前記対象機器の設定の更新をリクエストする設定リクエスト情報を、当該設定リクエスト情報を取得するための受信を前記第２通信部に許可させて、当該第２通信部を介して前記管理サーバから取得し、
   前記設定リクエスト情報に基づいて、前記第１通信部を介して、前記対象機器の設定を更新する更新部、を備える、
   請求項１または２に記載のサーバ装置。
4. 前記第２取得部は、前記対象機器の監視設定の更新をリクエストする監視リクエスト情報を、当該監視リクエスト情報を取得するための受信を前記第２通信部に許可させて、前記第２通信部を介して前記管理サーバから取得し、
   前記更新部は、前記監視リクエスト情報に基づいて、前記第１通信部を介して、前記監視サーバにおける前記対象機器の監視設定を更新する、
   請求項３に記載のサーバ装置。
5. 前記第１通信部と前記第２通信部とを含む通信部を備え、
   前記アクセス制御部は、前記通信部のポートフォワーディングにより前記リモートアクセスを可能にする、
   請求項１から４のいずれか一項に記載のサーバ装置。
6. 前記第１取得部が取得した前記監視データを、秘匿化、前記監視データを入力して構築された分類モデルによる分類、所定の基準による分類および所定の条件による選別の少なくとも一つにより加工する加工部を備え、
   前記通知部は、前記加工部により加工された監視データを前記管理サーバに通知する、
   請求項１から５のいずれか一項に記載のサーバ装置。
7. 第２所定期間において実施された前記対象機器または前記ＬＡＮにおけるインシデントへの対応方法を示す対応履歴情報を記憶する記憶部と、
   前記監視データに含まれる前記インシデントに関する所定の単語を抽出する抽出部と、
   前記抽出部により抽出された前記所定の単語および前記対応履歴情報に基づいて、当該所定の単語に関する前記対応方法を特定する特定部と、備え、
   前記通知部は、前記特定部により特定された前記対応方法を前記管理サーバに通知する、
   請求項１から６のいずれか一項に記載のサーバ装置。
8. コンピュータに、
   同一のＬＡＮ内の対象機器、および前記対象機器または前記ＬＡＮを監視する前記ＬＡＮ内の監視サーバの少なくともいずれか一つと通信する第１通信機能と、
   前記ＬＡＮ外のネットワークと接続し前記ＬＡＮ外からの受信を制限する第２通信機能であって、前記ＬＡＮ外の管理サーバと通信する第２通信機能と、
   前記第１通信機能を介して、前記対象機器または前記ＬＡＮにおける監視対象のデータを示す監視データを、前記対象機器および前記監視サーバの少なくともいずれか一つから取得する第１取得機能と、
   前記第２通信機能を介して、前記取得した前記監視データを前記管理サーバに通知する通知機能と、
   前記管理サーバから前記対象機器または前記監視サーバへのリモートアクセスをリクエストするアクセスリクエスト情報を、当該アクセスリクエスト情報を取得するための受信を前記第２通信機能に許可させて、当該第２通信機能を介して前記管理サーバから取得する第２取得機能と、
   前記アクセスリクエスト情報に基づいて、第１所定期間、前記リモートアクセスによる受信を前記第２通信機能に許可させて、前記第１通信機能および前記第２通信機能により前記対象機器または前記監視サーバと前記管理サーバとを中継して前記リモートアクセスを可能にするアクセス制御機能と、を実現させる、
   プログラム。
9. コンピュータが、
   同一のＬＡＮ内の対象機器、および前記対象機器または前記ＬＡＮを監視する前記ＬＡＮ内の監視サーバの少なくともいずれか一つと通信する第１通信ステップと、
   前記ＬＡＮ外のネットワークと接続し前記ＬＡＮ外からの受信を制限する第２通信ステップであって、前記ＬＡＮ外の管理サーバと通信する第２通信ステップと、
   前記対象機器または前記ＬＡＮにおける監視対象のデータを示す監視データを、前記第１通信ステップを含めて前記対象機器および前記監視サーバの少なくともいずれか一つから取得する第１取得ステップと、
   前記取得した前記監視データを、前記第２通信ステップを含めて前記管理サーバに通知する通知ステップと、
   前記管理サーバから前記対象機器または前記監視サーバへのリモートアクセスをリクエストするアクセスリクエスト情報を、当該アクセスリクエスト情報を取得するための受信を許可する前記第２通信ステップを含めて前記管理サーバから取得する第２取得ステップと、
   前記アクセスリクエスト情報に基づいて、第１所定期間、前記第１通信ステップおよび前記リモートアクセスによる受信を許可する前記第２通信ステップにより前記対象機器または前記監視サーバと前記管理サーバとを中継して前記リモートアクセスを可能にするアクセス制御ステップと、を含む、
   情報処理方法。