JP3945392B2 - 遠隔管理システム、サーバ及びプログラム - Google Patents

Description

【０００１】
【発明の属する技術分野】
本発明は、サーバが保持している各種の設定情報（現在提供中のサービスとか、セキュリティレベル等を示す情報であって、サーバの動作を定義する情報）を、ネットワークを介して端末から変更する遠隔管理システムに関し、特に、複数台の端末からサーバの設定情報を変更できる遠隔管理システムに関する。
【０００２】
【従来の技術】
サーバが保持している各種の設定情報を、ネットワークを介して端末から変更するということは、従来から行われている。その際、管理者になりすました不正者による不正アクセスを防止することが重要になる。
【０００３】
不正アクセスを防止するための従来の技術としては、パスワードを使用するものが一般的であるが、これ以外にも種々の技術が提案されている。例えば、サーバが通信中の端末に対して不定期に送信するトークンの送出履歴をサーバ及び端末の双方で保持し、次回以降の接続要求時にトークンの送出履歴を照合することによって正当な端末であるか否かを確認する技術も従来から提案されている（例えば、特許文献１参照）。
【０００４】
【特許文献１】
特開平１１−２８９３２８号公報
【０００５】
【発明が解決しようとする課題】
上述した従来の技術によれば、不正アクセスによってサーバの設定情報が改竄される危険性を極めて少ないものにすることができるが、完全に改竄を防止することはできない。例えば、管理者によって設定情報に対してセキュリティを緩めるような変更が行われ、不正アクセス可能なセキュリティホールが発生しまった場合は、不正者による改竄を防止することは困難である。
【０００６】
このような問題を防ぐためには、例えば、サーバの設定情報を変更可能な端末を、信頼できる優秀な管理者によって運用される特定の１台の端末のみに限定するということが考えられる。しかし、設定情報の変更が可能な端末を特定の１台の端末のみに限定してしまうと、緊急時に対応が遅れてしまう場合があるという問題がある。例えば、上記特定端末の設置場所から離れた場所にいる管理者等が、サーバの設定情報を変更しなければならないことを認識した場合、上記特定端末の管理者に連絡を取り、設定変更を行って貰わなければならず、対応が遅れてしまう。従って、複数の端末からサーバの設定情報を変更できるようにすることが望ましいが、多くの端末からサーバの設定情報を変更可能にすると、不慣れな管理者等が行うサーバの設定情報の変更操作によってセキュリティホールが発生し、このセキュリティホールを通して不正者によってサーバの設定情報が改竄されてしまう危険性が高くなってしまう。
【０００７】
そこで、本発明の目的は、サーバの設定情報が不正者によって改竄された場合、直ちにサーバの設定情報を変更前の状態に戻せるようにすることにより、不慣れな管理者等が行うサーバの設定情報の変更操作によってセキュリティホールが発生してしまう危険性が高い、緊急時に迅速にサーバの設定情報を変更できるようにするために複数台の端末からサーバの設定情報を変更可能にしたシステムも安全に運用できるようにすることにある。
【０００８】
【課題を解決するための手段】
本発明にかかる第１の遠隔管理システムは、上記目的を達成するため、
サーバが保持している設定情報を、ネットワークを介して端末から変更する遠隔管理システムであって、
前記サーバが、
前記設定情報を変更可能な複数の端末を、正管理端末と準管理端末とに分けて管理し、
前記正管理端末から前記設定情報の変更を要求する設定変更要求が送られてきた場合は、前記設定変更要求に従って直ちに前記設定情報を変更し、
前記準管理端末から前記設定情報の変更を要求する設定変更要求が送られてきた場合は、前記設定情報のバックアップをとった後、前記設定変更要求に従って前記設定情報を変更し、更に、前記準管理端末の信頼度に応じた監視期間が経過するか或いは前記設定情報に対する改竄を検出するまで、前記設定情報に対する監視処理を行い、前記設定情報に対して改竄が行われたことを検出した場合は、
前記バックアップしてある情報により前記設定情報を復旧する構成を有することを特徴とする。
【０００９】
また、本発明にかかる第２の遠隔管理システムは、監視処理によるサーバの負荷増大をなるべく少なくするため、
第１の遠隔管理システムにおいて、
前記サーバが、前記準管理端末から設定変更要求が送られてきた場合、該設定変更要求を送信した管理者を示す管理者情報を管理し、前記監視期間内に前記管理者情報によって示される管理者以外の管理者から承認通知が送られてきた場合、前記設定情報に対する監視処理を終了する構成を有することを特徴とする。
【００１０】
より具体的には、本発明にかかる第３の遠隔管理システムは、
サーバが保持している設定情報をネットワークを介して端末から更新する遠隔管理システムであって、
前記サーバが、
前記設定情報が格納される設定管理情報データベースと、
前記設定情報を変更可能な各端末それぞれについて、その端末を示す端末情報と、その端末が正管理端末であるのか、準管理端末であるのかを示す端末種別情報とが対応付けて格納された管理端末情報データベースと、
前記設定情報を変更可能な各端末それぞれについて、その端末の信頼度に応じて決まる監視期間が格納された信頼度情報データベースと、
バックアップ情報が格納される監視情報データベースと、
前記正管理端末から前記設定情報の変更を要求する設定変更要求が送られてきた場合は、前記設定変更要求に従って直ちに前記設定管理情報データベースに格納されている前記設定情報を変更し、前記準管理端末から前記設定情報の変更を要求する設定変更要求が送られてきた場合は、前記設定管理情報データベースに格納されている設定情報をバックアップ情報として前記監視情報データベースに格納した後、前記設定変更要求に従って前記設定管理情報データベースに格納されている前記設定情報を変更し、更に、監視開始指示を出力する設定管理部と、
該設定管理部から出力される監視開始指示に応答して、前記準管理端末の信頼度に応じた監視期間が経過するか或いは前記設定情報に対する改竄を検出するまで、前記設定管理情報データベースに格納されている設定情報に対する監視処理を行い、前記設定情報に対して改竄が行われたことを検出した場合は、前記監視情報データベースにバックアップしてある設定情報により前記設定管理情報データベースを復旧するシステム監視部とを備えたことを特徴とする。
【００１１】
また、本発明にかかる第４の遠隔管理システムは、
第３の遠隔管理システムにおいて、
前記設定管理部が、前記準管理端末から設定変更要求が送られてきた場合、該設定変更要求を送信した管理者を示す管理者情報を取得する構成を有し、
前記システム監視部が、前記監視期間内に前記取得した管理者情報によって示される管理者以外の管理者から承認通知が送られてきた場合、前記設定情報に対する監視処理を終了する構成を有することを特徴とする。
【００１２】
【作用】
サーバは、設定情報を変更可能な複数の端末を、信頼度の高い正管理端末と、正管理端末に比較して信頼度の低い準管理端末とに分けて管理している。そして、正管理端末から設定変更要求が送られてきた場合は、上記設定変更要求に従って、直ちに設定情報を変更する。また、準管理端末から設定変更要求が送られてきた場合は、設定情報のバックアップをとった後、上記設定変更要求に従って設定情報を変更する。更に、上記準管理端末の信頼度に応じた監視期間が経過するか或いは設定情報に対する改竄を検出するまで、設定情報に対する監視処理を行い、上記設定情報に対して改竄が行われたことを検出した場合は、バックアップしてある情報により設定情報を復旧する。
【００１３】
このように、複数台の端末からサーバの設定情報を変更可能にしているので、緊急時に迅速に設定情報を変更することが可能になる。また、準管理端末によって設定情報が変更された場合には、変更前の設定情報をバックアップしておき、その後、上記準管理端末の信頼度に応じた監視期間内に、設定情報に対して改竄が行われたことを検出した場合には、バックアップしてある情報により設定情報を復旧するので、システムを安全に運用することが可能になる。また、信頼度の高い正管理端末によって設定情報が変更された場合には、監視処理を行わないので、監視処理によるシステム負荷の増加を防ぐことができる。
【００１４】
【発明の実施の形態】
次に本発明の実施の形態について図面を参照して詳細に説明する。
【００１５】
図１を参照すると、本発明にかかる遠隔管理システムの一実施例は、正管理端末１１と、準管理端末１２と、一般端末１３と、サーバ３０とから構成されている。なお、準管理端末１２及び一般端末１３は、図１では１台ずつしか図示していないが、実際には複数台存在する。
【００１６】
正管理端末１１、準管理端末１２及び一般端末１３は、ＷＥＢブラウザ等のアプリケーションプログラムにより、インターネットやイントラネット等にネットワーク２０を介してサーバ３０と接続可能となっている。
【００１７】
正管理端末１１及び準管理端末１２は、サーバが保持している各種の設定情報を変更可能な端末であり、一般端末１３は、設定情報を設定不可能な端末である。
【００１８】
サーバ３０は、設定管理部３１と、端末情報データベース（ＤＢ）３２と、信頼度判定部３３と、設定管理情報ＤＢ３４と、信頼度情報ＤＢ３５と、管理端末認証部３６、管理端末情報ＤＢ３７と、管理者認証部３８と、管理者情報ＤＢ３９と、システム監視部４０と、監視情報ＤＢ４１と、記録媒体Ｋ３０とを備えている。
【００１９】
設定管理情報ＤＢ３４には、サーバ３０の動作を定義する設定情報等が格納されている。図２に設定管理情報ＤＢ３４の内容例を示す。同図に示すように、設定管理情報ＤＢ３４には、設定管理項目および設定値から構成される設定情報と、仮登録情報と、設定者情報とが登録される。図２の例は、現在提供中のサービスが「HTTP」、現在停止中のサービスが「TELNET」、設定情報を変更可能な管理者のユーザＩＤが「Admin,User01,User02」、セキュリティレベルが「レベル１」であることを示している。例えば、セキュリティレベルが不慣れな管理者によって変更された場合などに、セキュリティホールが発生する場合がある。
【００２０】
管理端末情報ＤＢ３７には、サーバ３０の設定情報を変更可能な端末の端末情報と、その端末が正管理端末であるのか、準管理端末であるのかを示す端末種別情報とが対応付けて格納されている。図３に管理端末情報ＤＢ３７の内容例を示す。この例は、端末情報「10.0.0.1」の端末が正管理端末、端末情報「10.0.1.0」「10.0.1.1」「10.0.1.2」の端末が準管理端末であることを示している。なお、図３においては、端末情報としてＩＰアドレスを用いているが、端末を識別できる情報であれば、ＭＡＣアドレス等の他の情報を使用しても構わない。
【００２１】
信頼度情報ＤＢ３５には、サーバ３０の設定情報を変更可能な各端末（正管理端末，準管理端末）の信頼度に応じた監視期間が格納されている。図４に信頼度情報ＤＢ３５の内容例を示す。同図に示すように、監視期間は、信頼度が高い端末ほど短く、信頼度が低い端末ほど長くなっている。本実施例では、信頼度の最も高い正管理端末の監視期間だけが「０分」となっている。
【００２２】
管理者情報データベース３９には、サーバ３０の設定情報を変更可能な管理者のユーザＩＤとパスワードとが対応付けて登録されている。図５に管理者情報ＤＢ３９の内容例を示す。
【００２３】
監視情報ＤＢ４１には、準管理端末による設定情報の変更時、変更前の設定情報がバックアップ情報として格納されると共に、上記準管理端末の信頼度に応じた監視期間が格納される。図６に監視情報ＤＢ４１の内容例を示す。
【００２４】
端末情報ＤＢ３２には、設定情報の変更処理を行っている端末（正管理端末或いは準管理端末）の端末情報と端末種別情報とが格納される。図７に端末情報ＤＢ３２の内容例を示す。
【００２５】
設定管理部３１は、端末（正管理端末、準管理端末、或いは一般端末）から接続要求が送られてきたとき、接続要求に含まれている処理種別情報（接続後に行う処理が、設定情報の変更処理なのか、他の管理者が行った設定変更に対する承認処理なのか、監視期間の変更処理なのかを示す情報）に基づいて、概略以下の処理を行う。
【００２６】
処理種別情報が、「設定情報の変更処理」を示している場合には、接続要求元の端末が、正管理端末或いは準管理端末であるか否かを管理端末認証部３６を使用して調べ、正管理端末或いは準管理端末である場合には、上記端末から送られてくる認証情報（管理者のユーザＩＤ及びパスワードを含む）が正しいか否かを管理者認証部３８を使用して調べる。認証情報が正しい場合には、接続要求元から設定変更要求を受け取り、更に、接続要求元の信頼度に応じた監視期間を信頼度判定部３３を使用して調べる。そして、監視期間が「０分」である場合には、設定変更要求に従って設定管理情報ＤＢ３４に格納されている設定情報を変更する。これに対して、監視期間が「０分」でない場合は、システム監視部４０に対して、監視期間を監視情報ＤＢ４１に保存すると共に、設定管理情報ＤＢ３４に格納されている情報のバックアップを監視情報ＤＢ４１に保存することを指示する。そして、バックアップが完了すると、システム監視部４０に対して監視処理の開始を指示する。
【００２７】
また、処理種別情報が、「承認処理」を示している場合は、接続要求元の端末が、正管理端末或いは準管理端末であるか否かを管理端末認証部３６を使用して調べ、正管理端末或いは準管理端末である場合には、上記端末から送られてくる認証情報が正しいか否かを管理者認証部３８を使用して調べる。認証情報が正しい場合は、端末から承認通知を受け取る。そして、承認者が正管理端末の管理者である場合には、直ちに、設定情報の変更を承認し、システム監視部４０による監視処理を終了させる。これに対して、認証者が準管理端末の管理者である場合には、設定変更を行った管理者と承認を行った管理者とが別の管理者であることを確認した後、設定変更を承認し、システム監視部４０による監視処理を終了させる。
【００２８】
また、処理種別情報が「監視期間の変更処理」である場合には、接続要求元の端末が正管理端末であるか否かを管理端末認証部３６を使用して調べ、正管理端末である場合には、上記端末から送られてくる認証情報が正しいか否かを管理者認証部３８を使用して調べる。認証情報が正しい場合には、上記端末から監視期間変更要求を受け取ると、信頼度判定部３３を使用して信頼度情報ＤＢ３５に格納されている監視期間を変更する。
【００２９】
管理端末認証部３６は、設定管理部３１から端末情報が渡されたとき、その端末の端末種別情報を管理端末情報ＤＢ３７から取得し、設定管理部３１に返却する機能を有する。
【００３０】
管理者認証部３８は、設定管理部３１から認証情報が渡されたとき、その認証情報が正しいか否かを管理者情報ＤＢ３９を参照して判定し、判定結果を設定管理部３１に返す機能を有する。
【００３１】
信頼度判定部３３は、設定管理部３１から端末情報が渡されたとき、その端末の信頼度に応じた監視期間を信頼度情報ＤＢ３５から取得し、設定管理部３１に返却する機能や、設定管理部３１からの指示に従って、信頼度情報ＤＢ３５に格納されている情報を変更する機能を有する。
【００３２】
システム監視部４０は、設定管理部３１からの監視開始指示に応答して、設定情報を変更した準管理端末に信頼度に応じた監視期間が経過するか或いは設定管理情報ＤＢ３４に格納されている設定情報に対する改竄を検出するまで、設定情報に対する監視処理を行い、上記設定情報に対して改竄が行われたことを検出した場合、監視情報ＤＢ４１にバックアップしてある変更前の設定情報により、設定管理情報ＤＢ３４を復旧する機能を有する。
【００３３】
記録媒体Ｋ３０は、ディスク、半導体メモリ、その他の記録媒体であり、コンピュータからなるサーバ３０を遠隔管理システムの一部として機能させるためのプログラムが記録されている。このプログラムは、サーバ３０によって読み取られ、その動作を制御することで、サーバ３０上に設定管理部３１、信頼度判定部３３、管理端末認証部３６、管理者認証部３８、システム監視部４０を実現する。
【００３４】
正管理端末１１、準管理端末１２及び一般端末１３は、例えば、パーソナルコンピュータ等によって実現されるものである。
【００３５】
図８は、正管理端末１１の構成例を示すブロック図であり、制御部１１１と、
送受信部１１２と、キーボード等の入力部１１３と、ＬＣＤ等の表示部１１４と、記録媒体Ｋ１１とを備えている。
【００３６】
送受信部１１２は、ネットワーク２０を介してデータをやり取りする機能を有する。
【００３７】
制御部１１１は、サーバ３０から送られてくるログイン画面や、各種管理画面を表示部１１４に表示する機能や、管理者がログイン画面や管理画面を用いて入力した情報をサーバ３０に送信する機能を有する。
【００３８】
記録媒体Ｋ１１は、ディスク、半導体メモリ、その他の記録媒体であり、パーソナルコンピュータ等のコンピュータを正管理端末１１として機能させるためのプログラムが記録されている。このプログラムは、正管理端末１１によって読み取られ、その動作を制御することで、正管理端末１１上に制御部１１１、送受信部１１２を実現する。
【００３９】
また、準管理端末１２も正管理端末１１と同様の構成、機能を有する。
【００４０】
【実施例の動作の説明】
次に本実施例の動作について詳細に説明する。
【００４１】
先ず、サーバ３０内の設定管理情報ＤＢ３４に格納されている設定情報を変更する場合の動作を説明する。
【００４２】
正管理端末１１或いは準管理端末１２の管理者は、設定管理情報ＤＢ３４中の設定情報を変更する場合、先ず、自端末からサーバ３０へ接続要求を送信する。
その際、管理者は、接続要求に処理種別情報として「設定情報の変更処理」を含ませる。
【００４３】
サーバ３０内の設定管理部３１は、接続要求を受信すると、図９のフローチャートに示すように、接続要求に含まれている処理種別情報を認識する（ステップＡ１）。この場合、処理種別情報は、「設定情報の変更処理」となっているので、設定管理部３１は、図１０のフローチャートに示す処理を行う（ステップＡ２がＹｅｓ、Ａ４）。
【００４４】
図１０を参照すると、設定管理部３１は、先ず、接続要求元の端末からＩＰアドレス等の端末を特定するための端末情報を取得する（ステップＢ１）。
【００４５】
その後、設定管理部３１は、ステップＢ１で取得した端末情報を管理端末認証部３６に渡す。これにより、管理端末認証部３６は、管理端末情報ＤＢ３７（図３参照）を検索し、上記端末情報によって示される端末の端末種別情報を取得し、設定管理部３１に返却する。設定管理部３１は、返却された端末種別情報が、一般端末を示している場合（ステップＢ２がＮｏ）は、切断処理を行い（ステップＢ１７）、その処理を終了する。これに対して、管理端末認証部３６から返却された端末種別情報が、正管理端末、或いは準管理端末を示している場合（ステップＢ２がＹｅｓ）は、端末情報ＤＢ３２にステップＢ１で取得した端末情報を格納すると共に、ログイン画面を接続要求元の端末に送信する（ステップＢ３）。
【００４６】
サーバ３０からログイン画面が送られてきた端末は、表示部にログイン画面を表示し、その表示を見た管理者は、ログイン画面を利用して認証情報（ユーザＩＤ及びパスワードを含む）をサーバ３０に送信する。
【００４７】
サーバ３０内の設定管理部３１は、端末から認証情報が送られてくると（ステップＢ４）、それを管理者認証部３８に渡す。これにより、管理者認証部３８は、管理者情報ＤＢ３９（図５参照）を使用して管理者認証を行い、認証結果を設定管理部３１に返却する。
【００４８】
設定管理部３１は、管理者認証部３８から返却された認証結果が、認証失敗である場合（ステップＢ５がＮｏ）には、ステップＢ３で端末情報ＤＢ３２に格納した端末情報を削除した後、切断処理を行う（ステップＢ１６、Ｂ１７）。これに対して、管理者認証に成功した場合（ステップＡ５がＹｅｓ）は、設定管理部３１は、設定情報変更用の管理画面を端末に送信する（ステップＢ６）。この設定情報変更用の管理画面には、設定管理情報ＤＢ３４の内容が含まれており、端末の管理者が現時点におけるサーバ３０の設定情報を確認できるようになっている。
【００４９】
サーバ３０から設定情報変更用の管理画面が送られてきた端末は、それを表示部に表示し、管理者は、管理画面を操作し、設定情報変更用の管理情報をサーバ３０に送信する。設定情報変更用の管理情報には、管理者が行った操作に応じた属性情報（登録、削除、追加、参照、終了）が含まれており、サーバ３０は、属性情報「登録」「削除」「追加」を含んでいる管理情報を設定変更要求と認識し、属性情報「終了」を含んでいる管理情報を設定終了要求と認識し、属性情報「参照」を含んでいる管理情報を設定参照要求と認識する。
【００５０】
設定管理部３１は、端末からの設定情報変更用の管理情報を受信すると（ステップＢ７）、それに含まれている属性情報に基づいて、上記管理情報が設定変更要求なのか、設定終了要求なのか、設定参照要求なのかを判定する（ステップＢ８、Ｂ１５）。
【００５１】
そして、設定終了要求であると判定した場合（ステップＢ１５がＹｅｓ）は、
ステップＢ３で端末情報ＤＢ３２に格納した端末情報を削除すると共に、切断処理を行う（ステップＢ１６、Ｂ１７）。
【００５２】
また、設定参照要求であると判定した場合（ステップＢ１５がＮｏ）は、現時点の設定管理情報ＤＢ３４の内容を端末に送信した後（ステップＢ１８）、管理情報の受信待ち状態となる（ステップＢ７）。
【００５３】
また、設定変更要求であると判定した場合（ステップＢ８がＹｅｓ）は、設定管理部３１は、端末情報ＤＢ３２に格納されている端末情報を信頼度判定部３３に渡す。これにより、信頼度判定部３３は、信頼度情報ＤＢ３５（図４参照）を検索し、上記端末情報によって示される端末の信頼度に応じた監視期間を取得し、設定管理部３１に返却する。
【００５４】
設定管理部３１は、設定変更要求の送信元の端末の信頼度に応じた監視期間を取得すると（ステップＢ９）、監視処理が必要であるか否かを判定する（ステップＢ１０）。本実施例では、前述したように、正管理端末の監視期間のみが「０分」となっているので、設定変更要求元が正管理端末である場合のみ、ステップＢ１０で監視処理が不要と判定される。
【００５５】
そして、監視処理が不要であると判定した場合（ステップＢ１０がＹｅｓ）は、設定管理部３１は、端末から送られてきている設定変更要求に従って、設定管理情報ＤＢ３４に格納されている設定情報を変更する（ステップＢ１４）。
【００５６】
これに対して、監視処理が必要であると判定した場合（ステップＢ１０がＮｏ）は、設定管理部３１は、システム監視部４０に対して設定情報の保存（バックアップ）を指示すると共に、ステップＢ９で取得した監視期間を渡す（ステップＢ１１）。これにより、システム監視部４０は、設定管理情報ＤＢ３４に格納されている情報を監視情報ＤＢ４１にバックアップすると共に、設定管理部３１から渡された監視期間を監視情報ＤＢ４１に格納する（図６参照）。なお、設定管理情報ＤＢ３４に格納されている情報を監視情報ＤＢ４１に格納する際、暗号化して格納するようにしても良い。
【００５７】
その後、設定管理部３１は、端末から送られてきている設定変更要求に従って、設定管理情報ＤＢ３４に格納されている設定情報を更新すると共に、設定管理情報ＤＢ３４に仮登録情報及び設定者情報を登録する（ステップＢ１２）。ここで、仮登録情報は、設定情報が仮登録の状態であり、監視処理が必要であることを示す情報である。また、設定者情報は、設定情報を変更した管理者を示す情報であり、本実施例では、管理者のユーザＩＤを使用する。ステップＢ１２の処理が終了すると、設定管理部３１は、システム監視部４０に対して監視処理の開始を指示すると共に、電子メールを用いて正管理端末及び準管理端末へ設定情報が変更されたことを通知し（ステップＢ１３）、その後、ステップＢ１５の処理を行う。
【００５８】
システム監視部４０は、設定管理部３１から監視処理開始が指示されると、図１１のフローチャートに示すように、監視情報ＤＢ４１にバックアップされている設定情報を取得する（ステップＣ１）、この時、設定情報が暗号化されていれば、復号する。
【００５９】
その後、システム監視部４０は、ステップＣ１で監視情報ＤＢ４１から取得した設定情報が、設定管理情報ＤＢ３４に格納されている設定情報と一致しているか否かを調べることにより、設定管理情報ＤＢ３４中の設定情報が改竄されているか否かを判定する（ステップＣ２）。
【００６０】
そして、設定情報が改竄されていると判断した場合、即ち監視情報ＤＢ４１にバックアップされている設定情報と設定管理情報ＤＢ３４に格納されている設定情報とが不一致の場合（ステップＣ２がＹｅｓ）は、監視情報ＤＢ４１にバックアップされている情報を読み出し、設定管理情報ＤＢ３４の内容を設定変更前の状態に復元する（ステップＣ３、Ｃ４）。その後、システム監視部４０は、設定管理情報ＤＢ３４に登録されている仮登録情報と設定者情報とを削除し（ステップＣ５）、処理を終了する。
【００６１】
これに対して、設定情報が改竄されていないと判断した場合、即ち監視情報ＤＢ４１にバックアップされている設定情報と設定管理情報ＤＢ３４に格納されている設定情報とが一致している場合（ステップＣ２がＮｏ）は、他の管理者によって設定情報の変更が承認されているか否かを調べる（ステップＣ６）。後述するように、他の管理者によって設定情報の変更が承認された場合には、設定管理情報ＤＢ３４中の仮登録情報及び設定者情報が削除されるので、ステップＣ６では、仮登録情報及び設定者情報が削除されているか否かに基づいて、他の管理者によって設定情報の変更が承認されているか否かを判断する。
【００６２】
そして、他の管理者によって承認されていると判断した場合（ステップＣ６がＹｅｓ）は、監視情報ＤＢ４１にバックアップされている情報を全て削除した後（ステップＣ７）、処理終了となる。
【００６３】
これに対して、他の管理者によって承認されていないと判断した場合（ステップＣ６がＮｏ）は、監視情報ＤＢ４１から監視期間を取得し（ステップＣ８）、監視処理を開始してから上記監視期間が経過しているか否かを判断する（ステップＣ９）。
【００６４】
そして、監視期間が経過していない場合（ステップＣ９がＮｏ）には、ステップＣ１の処理に戻る。これに対して、監視期間が経過している場合（ステップＣ９がＹｅｓ）には、設定管理情報ＤＢ３４に格納されている仮登録情報及び設定者情報を削除すると共に、監視情報ＤＢ４１にバックアップされている情報を削除し（ステップＣ１０、Ｃ７）、その後、処理終了となる。
【００６５】
次に、他の管理者が行った設定情報の変更を承認する場合の動作を説明する。
【００６６】
各管理端末の管理者は、設定管理部３１から送られてくる電子メールにより他の管理者によってサーバ３０の設定情報が変更されたことを知り、他の管理者が行った設定情報の変更を承認する場合には、先ず、自端末からサーバ３０に接続要求を送信する。その際、管理者は、接続要求に処理種別情報として「承認処理」を含ませる。
【００６７】
サーバ３０内の設定管理部３１は、接続要求を受信すると、図９のフローチャートに示すように、接続要求に含まれている処理種別情報を認識する（ステップＡ１）。この場合、処理種別情報は、「承認処理」となっているので、設定管理部３１は、図１２のフローチャートに示す処理を行う（ステップＡ３がＹｅｓ、Ａ５）。
【００６８】
図１２を参照すると、設定管理部３１は、先ず、接続要求元の端末からＩＰアドレス等の端末情報を取得する（ステップＤ１）。次に、設定管理部３１は、接続要求元の端末情報を端末情報ＤＢ３２に格納すると共に、フラグをFALSEとする（ステップＤ２）。
【００６９】
その後、設定管理部３１は、ステップＤ１で取得した端末情報を管理端末認証部３６に渡し、上記端末情報によって示される端末の端末種別を取得する（ステップＤ３、Ｄ１７）。
【００７０】
そして、端末種別が正管理端末であった場合（ステップＤ３がＹｅｓ）は、フラグをTRUEとした後、端末にログイン画面を送信する（ステップＤ４、Ｄ５）。
また、端末種別が準管理端末であった場合（ステップＤ１７がＹｅｓ）は、直ちにログイン画面を端末に送信する（ステップＤ５）。また、端末種別が一般端末であった場合（ステップＤ１７がＮｏ）は、回線を切断すると共に、端末情報ＤＢ３２中の端末情報を削除し（ステップＤ１６）、その後、処理終了となる。
【００７１】
サーバ３０からログイン画面が送られてきた端末は、表示部にログイン画面を表示し、その表示を見た管理者は、ログイン画面を利用して認証情報（ユーザＩＤ及びパスワードを含む）をサーバ３０に送信する。
【００７２】
サーバ３０内の設定管理部３１は、端末から認証情報が送られてくると（ステップＤ６）、それを管理者認証部３８に渡す。これにより、管理者認証部３８は、管理者情報ＤＢ３９（図５参照）を使用して管理者認証を行い、認証結果を設定管理部３１に返却する。
【００７３】
設定管理部３１は、管理者認証部３８から返却された認証結果が、認証失敗である場合（ステップＤ７がＮｏ）には、終了処理を行う（ステップＤ１６）。これに対して、管理者認証に成功した場合（ステップＤ７がＹｅｓ）は、設定管理部３１は、承認用の管理画面を端末に送信する（ステップＤ８）。この承認用の管理画面には、設定管理情報ＤＢ３４の内容が含まれており、端末の管理者が現時点におけるサーバ３０の設定情報を確認できるようになっている。
【００７４】
サーバ３０から承認用の管理画面が送られてきた端末は、それを表示部に表示し、管理者は、管理画面を操作し、承認用の管理情報をサーバ３０に送信する。
承認用の管理情報には、管理者が行った操作に応じた属性情報（承認、終了）が含まれており、サーバ３０は、属性情報「承認」を含んでいる管理情報を承認通知と認識し、属性情報「終了」を含んでいる管理情報を終了要求と認識する。ここで、管理者は、他の管理者が行った設定情報の変更を承認する場合には、属性情報「承認」を含んだ管理情報をサーバ３０に送信した後、属性情報「終了」を含んだ管理情報をサーバ３０に送信する。これに対して、他の管理者が行った設定情報の変更を承認しない場合には、属性情報「終了」を含む管理情報のみをサーバ３０に送信する。
【００７５】
設定管理部３１は、端末からの承認用の管理情報を受信すると（ステップＤ９）、それに含まれている属性情報に基づいて、上記管理情報が承認通知なのか、終了要求なのかを判定する（ステップＤ１０、Ｄ１５）。
【００７６】
そして、終了要求であると判定した場合（ステップＤ１５がＹｅｓ）は、終了処理を行う（ステップＤ１６）。
【００７７】
これに対して、承認通知であると判断した場合（ステップＤ１０がＹｅｓ）は、設定情報の変更が既に承認されているか否かを調べる（ステップＤ１１）。ここで、他の管理者によって設定情報の変更が承認されている場合や、監視期間が経過している場合には、設定管理情報ＤＢ３４中の仮登録情報及び設定者情報が削除されているので、ステップＤ１１では、仮登録情報及び設定者情報の有無を調べることにより、既に承認されているか否かを調べる。
【００７８】
そして、既に承認されている場合（ステップＤ１１がＹｅｓ）は、ステップＤ１５の処理を行う。
【００７９】
これに対して承認されていない場合（ステップＤ１１がＮｏ）は、フラグがTRUEであるか否かを調べる（ステップＤ１２）。
【００８０】
そして、フラグがTRUEの場合、即ち承認通知の送信元の端末が正管理端末である場合（ステップＤ１２がＹｅｓ）には、設定管理情報ＤＢ３４に登録されている仮登録情報及び設定者情報や、監視情報ＤＢ４１にバックアップされている情報を削除した後（ステップＤ１３）、ステップＤ１５の処理を行う。
【００８１】
これに対して、フラグがFALSEの場合、即ち承認通知の送信元の端末が準管理端末である場合（ステップＤ１２がＮｏ）には、設定管理情報ＤＢ３４に設定者情報として登録されているユーザＩＤと、ステップＤ６で取得した認証情報中のユーザＩＤとが同一であるか否かを調べる（ステップＤ１４）。
【００８２】
そして、ユーザＩＤが同一でない場合、即ち、設定情報の変更を行った管理者と、承認を行った管理者とが異なる場合（ステップＤ１４がＮｏ）は、仮登録情報、設定者情報、バックアップ情報を削除した後（ステップＤ１３）、ステップＤ１５の処理を行う。これに対して、ユーザＩＤが同一の場合（ステップＤ１４がＹｅｓ）は、ステップＤ１３をスキップし、ステップＤ１５の処理を行う。
【００８３】
次に、信頼度情報ＤＢ３５に格納されている各端末の監視期間を変更する場合の処理について説明する。
【００８４】
正管理端末１１の管理者は、信頼度情報ＤＢ３５に格納されている各端末の信頼度に応じた監視期間を変更する場合、サーバ３０に接続要求を送信する。その際、管理者は、接続要求に処理種別情報として「監視期間の変更処理」を含ませる。
【００８５】
サーバ３０内の設定管理部３１は、接続要求が送られてくると、図９のフローチャートに示すように、接続要求に含まれている処理種別情報を認識する（ステップＡ１）。この場合、接続要求には、処理種別情報「監視期間の変更処理」が含まれているので、設定管理部３１は、図１３のフローチャートに示す処理を実行する（ステップＡ３がＮｏ、ステップＡ６）。
【００８６】
図１３のフローチャートを参照すると、設定管理部３１は、先ず、接続要求元の端末情報を取得する（ステップＥ１）。
【００８７】
その後、設定管理部３１は、管理端末認証部３６を使用して接続要求元の端末の端末種別を求める（ステップＥ２）。
【００８８】
そして、端末種別が正管理端末でない場合（ステップＥ２がＮｏ）は、回線を切断した後（ステップＥ１１）、処理終了となる。
【００８９】
これに対して、端末種別が正管理端末である場合（ステップＥ２がＹｅｓ）は、正管理端末１１に対してログイン画面を送信する（ステップＥ３）。
【００９０】
正管理端末１１は、サーバ３０からログイン画面が送られてくると、それを表示部に表示し、管理者は、ログイン画面を用いてサーバ３０にユーザＩＤ及びパスワードを含む認証情報を送信する。
【００９１】
設定管理部３１は、正管理端末１１から認証情報が送られてくると、管理者認証部３８を使用して認証処理を行う（ステップＥ４、Ｅ５）。
【００９２】
そして認証に失敗した場合（ステップＥ５がＮｏ）は、ステップＥ１１の終了処理を行う。これに対して、認証に成功した場合（ステップＥ５がＹｅｓ）は、正管理端末１１に対して、監視期間変更用の管理画面を送信する（ステップＥ６）。なお、監視期間変更用の管理画面には、信頼度情報ＤＢ３５の内容が含まれており、管理者が現時点における正管理端末、準管理端末の監視期間を確認できるようになっている。
【００９３】
正管理端末１１は、サーバ３０から監視期間変更用の管理画面が送られてくると、それを表示部に表示し、管理者は、管理画面を操作して監視期間変更用の管理情報をサーバ３０に送信する。監視期間変更用の管理情報には、管理者が行った操作に応じた属性情報（登録、削除、追加、参照、終了）が含まれており、サーバ３０は、属性情報「登録」「削除」「追加」を含んでいる管理情報を監視期間変更要求と認識し、属性情報「終了」を含んでいる管理情報を終了要求と認識し、属性情報「参照」を含んでいる管理情報を監視期間参照要求と認識する。
【００９４】
設定管理部３１は、正管理端末１１からの監視期間変更用の管理情報を受信すると（ステップＥ７）、それに含まれている属性情報に基づいて、上記管理情報が監視期間変更要求なのか、終了要求なのか、監視期間参照要求なのかを判定する（ステップＥ８、Ｅ１０）。
【００９５】
そして、終了要求であると判定した場合（ステップＥ１０がＹｅｓ）は、正管理端末１１との接続を切断した後（ステップＥ１１）、処理終了となる。
【００９６】
また、監視期間参照要求であると判定した場合（ステップＥ１０がＮｏ）は、現時点の信頼度情報ＤＢ３５の内容を正管理端末１１に送信した後（ステップＥ１２）、ステップＥ７の処理に戻る。
【００９７】
また、監視期間変更要求であると判定した場合（ステップＥ８がＹｅｓ）は、監視期間変更要求に従って信頼度情報ＤＢ３５の内容を変更した後（ステップＥ９）、ステップＥ１０に進む。
【００９８】
次に、具体例を挙げて本実施例の動作について詳細に説明する。
【００９９】
今、設定管理情報ＤＢ３４、管理端末情報ＤＢ３７、信頼度情報ＤＢ３５及び管理者情報ＤＢ３９の内容が、それぞれ図２、図３、図４、図５に示すものになっているとする。この状態において、準管理端末１２の管理者が、設定管理情報ＤＢ３４に格納されている設定情報を変更しなければならないことを認識したとすると、自端末１２からサーバ３０に接続要求を送る。なお、接続要求には、処理種別情報として「設定情報の変更処理」が含まれている。
【０１００】
サーバ３０内の設定管理部３１は、準管理端末１２から接続要求が送られてくると、それに含まれている処理種別情報が「設定情報の変更処理」であるので（図９、ステップＡ１、Ａ２がＹｅｓ）、図１０のフローチャートに示す処理を行う（ステップＡ４）。
【０１０１】
図１０を参照すると、設定管理部３１は、先ず準管理端末１２の端末情報を取得する（ステップＢ１）。今、端末情報としてＩＰアドレス「10.0.1.1」を取得したとする。
【０１０２】
その後、設定管理部３１は、ステップＢ１で取得したＩＰアドレス「10.0.1.1」を管理端末認証部３６に渡す。これにより、管理端末認証部３６は、図３に示す管理端末情報ＤＢ３７を参照し、ＩＰアドレス「10.0.1.1」の端末の端末種別情報を取得し、設定管理部３１に返却する。この例の場合、端末種別情報「準管理端末」が設定管理部３１に返却されることになる。
【０１０３】
設定管理部３１は、端末種別が「準管理端末」であることを認識すると、接続要求元の準管理端末１２にログイン画面を送信すると共に、ステップＢ１で取得したＩＰアドレス「10.0.1.1」を端末情報ＤＢ３２に格納する（ステップＢ２がＹｅｓ、Ｂ３）。
【０１０４】
準管理端末１２の管理者は、ログイン画面を利用してサーバ３０に認証情報を送信する。今、例えば、認証情報としてユーザＩＤ「User02」、パスワード「Ｐ２」を含む認証情報が送信されたとする。
【０１０５】
設定管理部３１は、準管理端末１２からの認証情報を受信すると（ステップＢ４）、それを管理者認証部３８に渡す。管理者認証部３８は、設定管理部３１から渡された認証情報と、図５に示す管理者情報ＤＢ３９の内容とに基づいて、管理者認証を行う。この例の場合、管理者情報ＤＢ３９の第３行目にユーザＩＤ「User02」、パスワード「Ｐ２」が格納されているので、認証成功となる。
【０１０６】
設定管理部３１は、認証成功となると（ステップＢ５がＹｅｓ）、設定情報変更用の管理画面を準管理端末１２に送信する（ステップＢ６）。
【０１０７】
準管理端末１２の管理者は、管理画面を操作し、設定情報変更用の管理情報を送る。今、例えば、設定管理項目「サービスの開始」に「FTPの追加」を要求する管理情報をサーバ３０に送信したとする。この時の管理情報の属性は「追加」となる。
【０１０８】
設定管理部３１は、上記管理情報を受信すると、属性情報が「追加」となっているので、上記管理情報を設定変更要求と認識する（ステップＢ８がＹｅｓ）。
【０１０９】
その後、設定管理部３１は、端末情報ＤＢ３２に格納されている準管理端末１２のＩＰアドレス「10.0.1.1」を信頼度判定部３３渡す。これにより、信頼度判定部３３は、上記ＩＰアドレス「10.0.1.1」をキーにして図４に示す信頼度情報ＤＢ３５を検索し、検索結果を設定管理部３１に返す。この例の場合、監視期間「３日」が設定管理部３１に返却される（ステップＢ９）。
【０１１０】
その後、設定管理部３１は、監視期間が「３日」であるので、監視処理が必要であると判断する（ステップＢ１０がＮｏ）。
【０１１１】
その後、設定管理部３１は、システム監視部４０を使用して、設定管理情報ＤＢ３４に格納されている情報を監視情報ＤＢ４１に保存（バックアップ）すると共に、ステップＢ９で取得した監視期間「３日」を監視情報ＤＢ４１に格納する（ステップＢ１１）。この結果、監視情報ＤＢ４１の内容は、図６に示すものとなる。
【０１１２】
その後、設定管理部３１は、ステップＢ７で受信した管理情報に従って、設定管理情報ＤＢ３４中の設定情報を変更すると共に、仮登録情報「FTPの追加」及び設定者情報「User02」を設定管理情報ＤＢ３４に登録する(ステップＢ１２)。この結果、設定管理情報ＤＢ３４の内容は、図１４に示すものとなる。
【０１１３】
その後、設定管理部３１は、システム監視部４０に対して監視処理の開始を指示すると共に、電子メールを用いて正管理端末、準管理端末にサーバ３０の設定情報が変更されたことを知らせる（ステップＢ１３）。
【０１１４】
また、準管理端末１２の管理者は、設定情報の変更が終了すると、属性「終了」を含む管理情報をサーバ３０へ送信する。設定管理部３１は、上記管理情報を受信すると（ステップＢ７）、それに含まれている属性が「終了」であることから、上記管理情報を設定終了要求と認識し（ステップＢ１５がＹｅｓ）、端末情報ＤＢ３２に格納されている準管理端末１２のＩＰアドレス「10.0.1.1」を削除すると共に、準管理端末１２との間の接続を切断する（ステップＢ１６、Ｂ１７）。
【０１１５】
システム監視部４０は、設定管理部３１によって監視開始が指示されると、監視期間の「３日」が経過するか、或いは準管理端末１２の管理者以外の管理者から設定情報の変更が承認されるまで（図１１のステップ９がＹｅｓとなるか、ステップＣ６がＹｅｓとなるまで）、設定管理情報ＤＢ３４に格納されている設定情報に対する改竄を監視する（ステップＣ２）。そして、監視期間「３日」が経過するか、或いは他の管理者によって設定情報の変更が承認されると、設定管理情報ＤＢ３４に登録されている仮登録情報及び設定者情報を削除すると共に、監視情報ＤＢ４１に登録されているバックアップ情報を削除する（ステップＣ１０、Ｃ７）。この結果、設定管理情報ＤＢ３４の内容は、図１５に示すものとなる。設定情報に対する改竄を検出した場合（ステップＣ２がＹｅｓ）は、監視情報ＤＢ４１にバックアップしてある設定情報により、設定管理情報ＤＢ３４を復元する（ステップＣ３、Ｃ４）。
【０１１６】
【発明の他の実施例】
図１に示した実施例においては、端末情報と、端末の信頼度に応じた監視期間とが対応付けて登録された信頼度情報ＤＢ３５を使用して監視期間を決定するようにしたが、信頼度情報ＤＢ３５の代わりに、図１６に示すような管理者のユーザＩＤと、管理者の信頼度に応じた監視期間とが対応付けて登録された信頼度情報ＤＢ３５ａや、図１７に示すように端末情報と管理者のユーザＩＤとの組み合わせに対応付けて、その組み合わせの信頼度に応じた監視期間が登録された信頼度情報ＤＢ３５ｂを使用して監視期間を決定するようにしても良い。
【０１１７】
信頼度情報ＤＢ３５の代わりに、図１６に示すような、管理者の信頼度に応じた監視期間が登録された信頼度情報ＤＢ３５ａを使用する場合には、図１０のステップＢ９において監視期間を取得する際、設定管理部３１は、ステップＢ４で受信した認証情報中のユーザＩＤを信頼度判定部３３に渡し、信頼度判定部３３は、信頼度情報ＤＢ３５ａから上記ユーザＩＤに対応して登録されている監視期間を取得し、設定管理部３１に返却する。また、ステップＢ１１において監視期間を監視情報ＤＢ４１に登録する際には、上記したようにして取得した管理者の信頼度に応じた監視期間を登録する。
【０１１８】
また、信頼度情報ＤＢ３５の代わりに、図１７に示すような、管理者と端末との組み合わせに対応付けて、その組み合わせの信頼度に応じた監視期間が登録されている信頼度情報ＤＢ３５ｂを使用する場合には、図１０のステップＢ９において監視期間を取得する際、設定管理部３１は、ステップＢ１で取得した端末情報とステップＢ４で受信した認証情報中のユーザＩＤとを信頼度判定部３３に渡し、信頼度判定部３３は、信頼度情報ＤＢ３５ｂから上記端末情報とユーザＩＤとの組に対応付けて登録されている監視期間を取得し、設定管理部３１に返却する。また、ステップＢ１１において、監視期間を監視情報ＤＢ４１に登録する際には、上記したようにして取得した、端末情報とユーザＩＤとの組に対応した監視期間を登録する。
【０１１９】
【発明の効果】
本発明の第１の効果は、緊急時に迅速にサーバの設定情報を変更できるようにするために複数台の端末からサーバの設定情報を変更可能にしたシステムも安全に運用できるという点である。その理由は、信頼度の高くない準管理端末によって設定情報が変更された場合には、変更前の設定情報をバックアップしておき、その後、上記準管理端末の信頼度に応じた監視期間内に、設定情報に対して改竄が行われたことを検出した場合には、バックアップしてある情報により設定情報を復旧するからである。
【０１２０】
本発明の第２の効果は、監視処理による負荷をなるべく少なくすることができるという点である。その理由は、信頼度の高い正管理端末からの設定変更要求に対しては監視処理を行わず、また、監視期間内であっても、設定情報を変更した管理者以外の管理者が、設定情報の変更を承認した場合は、監視処理を終了するようにしているからである。
【図面の簡単な説明】
【図１】本発明の一実施例のブロック図である。
【図２】設定管理情報ＤＢ３４の内容例を示す図である。
【図３】管理端末情報ＤＢ３７の内容例を示す図である。
【図４】信頼度情報ＤＢ３５の内容例を示す図である。
【図５】管理者情報ＤＢ３９の内容例を示す図である。
【図６】監視情報ＤＢ４１の内容例を示す図である。
【図７】端末情報ＤＢ３２の内容例を示す図である。
【図８】正管理端末１１の構成例を示すブロック図である。
【図９】サーバ３０の処理の概要を示すフローチャートである。
【図１０】設定情報を変更する際のサーバ３０の処理例を示すフローチャートである。
【図１１】システム監視部４０の処理例を示す流れ図である。
【図１２】他の管理者が行った設定情報の変更を承認する際のサーバ３０の処理例を示すフローチャートである。
【図１３】監視期間を変更する際のサーバ３０の処理例を示すフローチャートである。
【図１４】システム監視部４０によって監視が行われている期間における設定管理情報ＤＢ３４の内容例を示す図である。
【図１５】システム監視部４０による監視が終了した後の設定管理情報ＤＢ３４の内容例を示す図である。
【図１６】本発明の他の実施例で使用する信頼度情報ＤＢ３５ａの内容例を示す図である。
【図１７】本発明のその他の実施例で使用する信頼度情報ＤＢ３５ｂの内容例を示す図である。
【符号の説明】
１１…正管理端末
１１１…制御部
１１２…送受信部
１１３…入力部
１１４…表示部
Ｋ１１…記録媒体
１２…準管理端末
１３…一般端末
２０…ネットワーク
３０…サーバ
３１…設定管理部
３２…端末情報ＤＢ
３３…信頼度判定部
３４…設定管理情報ＤＢ
３５、３５ａ、３５ｂ…信頼度情報ＤＢ
３６…管理端末認証部
３７…管理端末情報ＤＢ
３８…管理者認証部
３９…管理者情報ＤＢ
４０…システム監視部
４１…監視情報ＤＢ
Ｋ３０…記録媒体

Claims (9)

1. サーバが保持している設定情報を、ネットワークを介して端末から変更する遠隔管理システムであって、
   前記サーバが、
   前記設定情報を変更可能な複数の端末を、正管理端末と準管理端末とに分けて管理し、
   前記正管理端末から前記設定情報の変更を要求する設定変更要求が送られてきた場合は、前記設定変更要求に従って直ちに前記設定情報を変更し、
   前記準管理端末から前記設定情報の変更を要求する設定変更要求が送られてきた場合は、前記設定情報のバックアップをとった後、前記設定変更要求に従って前記設定情報を変更し、更に、前記準管理端末の信頼度に応じた監視期間が経過するか或いは前記設定情報に対する改竄を検出するまで、前記設定情報に対する監視処理を行い、前記設定情報に対して改竄が行われたことを検出した場合は、
   前記バックアップしてある情報により前記設定情報を復旧する構成を有することを特徴とする遠隔管理システム。
2. 請求項１記載の遠隔管理システムにおいて、
   前記サーバが、前記準管理端末から設定変更要求が送られてきた場合、該設定変更要求を送信した管理者を示す管理者情報を管理し、前記監視期間内に前記管理者情報によって示される管理者以外の管理者から承認通知が送られてきた場合、前記設定情報に対する監視処理を終了する構成を有することを特徴とする遠隔管理システム。
3. サーバが保持している設定情報をネットワークを介して端末から更新する遠隔管理システムであって、
   前記サーバが、
   前記設定情報が格納される設定管理情報データベースと、
   前記設定情報を変更可能な各端末それぞれについて、その端末を示す端末情報と、その端末が正管理端末であるのか、準管理端末であるのかを示す端末種別情報とが対応付けて格納された管理端末情報データベースと、
   前記設定情報を変更可能な各端末それぞれについて、その端末の信頼度に応じて決まる監視期間が格納された信頼度情報データベースと、
   バックアップ情報が格納される監視情報データベースと、
   前記正管理端末から前記設定情報の変更を要求する設定変更要求が送られてきた場合は、前記設定変更要求に従って直ちに前記設定管理情報データベースに格納されている前記設定情報を変更し、前記準管理端末から前記設定情報の変更を要求する設定変更要求が送られてきた場合は、前記設定管理情報データベースに格納されている設定情報をバックアップ情報として前記監視情報データベースに格納した後、前記設定変更要求に従って前記設定管理情報データベースに格納されている前記設定情報を変更し、更に、監視開始指示を出力する設定管理部と、
   該設定管理部から出力される監視開始指示に応答して、前記準管理端末の信頼度に応じた監視期間が経過するか或いは前記設定情報に対する改竄を検出するまで、前記設定管理情報データベースに格納されている設定情報に対する監視処理を行い、前記設定情報に対して改竄が行われたことを検出した場合は、前記監視情報データベースにバックアップしてある設定情報により前記設定管理情報データベースを復旧するシステム監視部とを備えたことを特徴とする遠隔管理システム。
4. 請求項３記載の遠隔管理システムにおいて、
   前記設定管理部が、前記準管理端末から設定変更要求が送られてきた場合、該設定変更要求を送信した管理者を示す管理者情報を取得する構成を有し、
   前記システム監視部が、前記監視期間内に前記取得した管理者情報によって示される管理者以外の管理者から承認通知が送られてきた場合、前記設定情報に対する監視処理を終了する構成を有することを特徴とする遠隔管理システム。
5. 請求項１乃至４記載の何れか１つの遠隔管理システムにおいて、
   前記準管理端末の信頼度に応じた監視期間の代わりに、前記設定変更要求を送信した前記準管理端末の管理者の信頼度に応じた監視期間を使用することを特徴とする遠隔管理システム。
6. 請求項１乃至４記載の何れか１つの遠隔管理システムにおいて、
   前記準管理端末の信頼度に応じた監視期間の代わりに、前記準管理端末と管理者との組み合わせに応じた監視期間を使用することを特徴とする遠隔管理システム。
7. ネットワークを介して端末から設定情報が変更されるサーバであって、
   前記設定情報を変更可能な複数の端末を、正管理端末と準管理端末とに分けて管理し、
   前記正管理端末から前記設定情報の変更を要求する設定変更要求が送られてきた場合は、前記設定変更要求に従って直ちに前記設定情報を変更し、
   前記準管理端末から前記設定情報の変更を要求する設定変更要求が送られてきた場合は、前記設定情報のバックアップをとった後、前記設定変更要求に従って前記設定情報を変更し、更に、前記準管理端末の信頼度に応じた監視期間が経過するか或いは前記設定情報に対する改竄を検出するまで、前記設定情報に対する監視処理を行い、前記設定情報に対して改竄が行われたことを検出した場合は、
   前記バックアップしてある情報により前記設定情報を復旧する構成を有することを特徴とするサーバ。
8. 請求項７記載のサーバにおいて、
   前記準管理端末から設定変更要求が送られてきた場合、該設定変更要求を送信した管理者を示す管理者情報を管理し、前記監視期間内に前記管理している管理者情報によって示される管理者以外の管理者から承認通知が送られてきた場合、
   前記設定情報に対する監視処理を終了する構成を有することを特徴とするサーバ。
9. コンピュータを、ネットワークを介して端末から設定情報が変更されるサーバとして機能させるためのプログラムであって、
   前記コンピュータを、
   前記設定情報を変更可能な複数の端末を、正管理端末と準管理端末とに分けて管理し、
   前記正管理端末から前記設定情報の変更を要求する設定変更要求が送られてきた場合は、前記設定変更要求に従って直ちに前記設定情報を変更し、
   前記準管理端末から前記設定情報の変更を要求する設定変更要求が送られてきた場合は、前記設定情報のバックアップをとった後、前記設定変更要求に従って前記設定情報を変更し、更に、前記準管理端末の信頼度に応じた監視期間が経過するか或いは前記設定情報に対する改竄を検出するまで、前記設定情報に対する監視処理を行い、前記設定情報に対して改竄が行われたことを検出した場合は、
   前記バックアップしてある情報により前記設定情報を復旧する手段として機能させるためのプログラム。

Images