JP4123088B2 - ストレージネットワーク管理装置及び方法 - Google Patents

Description

【０００１】
【発明の属する技術分野】
本発明は、ネットワークに接続されたストレージ装置と複数の情報処理装置から構成されるシステムに関する。
【０００２】
【従来の技術】
近年、ファイバチャネル（以下「ＦＣ」）のネットワークよりも導入コストが低いＩＰネットワークを用いたネットワークストレージ技術であるＩＰ−ＳＡＮが注目を集めている。しかし、ＩＰネットワークは、セキュリティ上の脅威を与えるクラッキングツールが多く出回る等、セキュリティの確保にコストが掛かる。
【０００３】
従来のＦＣ−ＳＡＮにおけるセキュリティ対策としては、ＬＵＮ（Ｌｏｇｉｃａｌ Ｕｎｉｔ Ｎｕｍｂｅｒ）マスキングが実施されていた。ＬＵＮマスキングとは、ストレージ装置が有する論理ボリューム（Ｌｏｇｉｃａｌ Ｕｎｉｔ。以下、ＬＵと略す）にアクセス可能な計算機をストレージ装置側で制限することで、不正なデータの参照、改ざん、及び消去などを防止する技術である。
【０００４】
ＦＣ−ＳＡＮのＬＵＮマスキング技術をＩＰ−ＳＡＮで実現する場合、ストレージ装置が有するＬＵごとに、当該ＬＵにアクセス可能な計算機をその計算機に割り振られたＩＰアドレスで指定する。しかし、ＩＰネットワークでは同じサブネットに接続された他の計算機が送受信するパケットの盗聴が容易である。したがって、同一のネットワークを二つ以上の部署や業務の計算機が共用している場合、データの機密性が確保できず、ＬＵＮマスキングの設定だけでは十分なセキュリティ対策にならない。したがって、他のセキュリティ技術との併用を考えなければならない。
【０００５】
併用するセキュリティ技術の候補として、ＩＰＳｅｃなどの技術を用いたデータの暗号化が挙げられる。しかし、暗号化処理はＣＰＵへの負荷が高い処理であり、これをＩＰ−ＳＡＮに適用すると、ストレージ装置に対するＩ／Ｏ性能が劣化してしまう。このような性能劣化を改善するために、暗号化処理を専用ハードウェアで実行させてもよいが、導入コストが高くなるので、併用するセキュリティ技術としては採用しがたい。
【０００６】
他のセキュリティ技術の候補として、一つの物理的なネットワークを複数の論理的なネットワークに分割するＶＬＡＮ（Ｖｉｒｔｕａｌ Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）という技術が挙げられる。本技術では、同じ部署が使用する計算機など、データ盗聴が問題にならない一つ以上の計算機をグループ化し、そのグループごとにネットワークを論理的に分割することで、グループ間のデータ盗聴を防止することができる。しかも、ＶＬＡＮは、ほとんどのＬＡＮスイッチで採用されている技術であり、追加の導入コストが発生することもない。従って、ＩＰ−ＳＡＮのセキュリティ対策は、ＬＵＮマスキングとＶＬＡＮの技術を併用することが多くなると考えられる。
【０００７】
又、ＶＬＡＮの設定作業の負荷を軽減する技術が、特許文献１に開示されている。
【０００８】
【特許文献１】
特開２００１−５３７７６号公報
【０００９】
【発明が解決しようとする課題】
しかし、ＬＵＮマスキングの設定作業はストレージ装置で行う一方で、ＶＬＡＮの設定作業はＩＰ−ＳＡＮ内のスイッチに対して行う必要がある。このように、異なる装置に対して設定作業を実施する必要があるため、システムの使用者又は管理者の作業負荷が大きい。
【００１０】
さらに、ＬＵＮマスキングの設定作業では、計算機をＩＰアドレス（或いはドメイン名）で指定するのに対して、ＶＬＡＮの設定作業では、計算機を接続先スイッチのポートを識別するポートＩＤで指定する必要がある。このように、ＬＵＮマスキングとＶＬＡＮの設定作業は、計算機を異なる識別子で指定しなければならないため、設定ミスが発生し易い。
【００１１】
更に、特許文献１に開示された技術は、計算機の接続先スイッチを変更した時のＶＬＡＮの設定作業を自動化するものであって、上記のような問題を解決することはできない。
【００１２】
本発明の目的は、ＶＬＡＮ及びＬＵＮマスキングの設定を容易に行えるシステムを提供することである。
【００１３】
【課題を解決するための手段】
本発明の一実施形態は、以下の通りである。
ストレージ装置、スイッチ及び計算機がネットワークで接続されているストレージシステムの管理方法として、ストレージ装置の記憶領域の識別子と計算機の第一のアドレスに基づき、記憶領域に対する計算機のアクセス制御設定をストレージ装置に対して実行し、計算機の第一のアドレスを第二のアドレスに変換し、計算機の第二のアドレスを計算機が接続しているスイッチのポートの識別子に変換し、そのポートをＶＬＡＮに追加する設定を前記スイッチに対して実行するステップを有する構成とする。
【００１４】
上述の実施形態では、システム管理者が、ＬＵＮマスキング設定と共に、グループを構成する計算機やストレージ装置が属するＶＬＡＮのサブネットアドレスの入力を行うと、計算機やストレージ装置がネットワークに接続された時に、ストレージ管理装置が、自動的にＶＬＡＮの設定を行う構成を有する。
【００１５】
尚、上述した方法は、ストレージ管理装置で実行されても、スイッチで実行されても、ストレージ装置で実行されても良い。
【００１６】
【発明の実施の形態】
以下、本発明の実施形態について図面を用いて説明する。以下の図中、同一の部分には同一の符号を付加する。
【００１７】
最初に、本発明を適用した計算機システムの第一の実施形態を説明する。第一の実施形態では、ＩＰ−ＳＡＮセキュリティ管理を、ストレージ装置の構成管理や監視を行うストレージ管理装置で実施する。
【００１８】
図１は、第一の実施形態の構成例を示した図である。計算機システムは、ストレージ管理装置１、ストレージ装置２、パケットを転送するスイッチ３及びホスト４を有し、各構成要素が通信線２０ａを介して相互に接続されている。
【００１９】
ストレージ装置２は、単体の記憶装置又は複数の記憶装置を有する記憶装置システムである。尚、記憶装置には、ハードディスクドライブやＤＶＤと言った、不揮発性の記憶媒体を用いた装置等が含まれる。又、記憶装置システムでは、ＲＡＩＤ構成が採用されていても良い。ストレージ装置２は、スイッチ３やホスト４と通信線２０ａを介して接続するための物理的なポート（以下「物理ポート」）４１を有する。
ホスト４は一般的な計算機であり、演算部、メモリ、入出力部等を有する。又、ホスト４は、他の装置と通信線２０ａを介して接続するための物理ポートを有する。
【００２０】
スイッチ３は、ホスト４やストレージ装置２から転送されるデータを他の装置に転送する装置である。スイッチ３は、ストレージ装置２と接続するための物理ポート４２及びホスト４又は他のスイッチ３と接続するための物理ポート４３を有する。尚、物理ポート４２と４３を物理的に区別する必要は無いが、以下の説明の便宜上、区別しておく。
【００２１】
さらに、ストレージ管理装置１、ストレージ装置２及びスイッチ３は、監視や保守用のデータが流れる通信線２０ｂによっても相互に接続されているものとする。なお、通信線２０ｂを使用せず、監視や保守用データも通信線２０ａを介して相互に授受されてもよい。さらに、本実施形態では、スイッチ３が２台、ホスト４が４台の構成の場合について説明するが、本発明はスイッチやホストの台数が何台であっても問題ない。
【００２２】
尚、ストレージ装置２はｉＳＣＳＩターゲットになることができる。又、ストレージ装置２は制御部を有し、制御部は、ＬＵＮマスキングに関する設定情報をストレージ装置２の外部から受信しＬＵＮマスキングを設定する。
【００２３】
一方、スイッチ３は、制御部を有し、制御部は、ＶＬＡＮに関わる設定情報をスイッチ３の外部から受信しＶＬＡＮ設定を実行する。又、スイッチ３の制御部は、外部装置の要求に応じてフォワーディングデータベースを送信したり、リンクダウンを外部装置に通知する。
【００２４】
ストレージ管理装置１は、一般的な計算機であり、中央演算装置（以下「ＣＰＵ」という）２４、ハードディスク等の２次記憶装置（以下「磁気ディスク」という）２３、主記憶装置メモリ（以下「主メモリ」という）２１、バスやクロスバスイッチなどの通信線２２、表示装置などの出力装置（以下「ディスプレイ」という）２５、キーボードなどの文字入力装置２７及びマウスなどのポインティング装置２６を有する。更に、ストレージ管理装置１は、通信線２０ａ及び２０ｂと接続するためのインターフェースも有する。
【００２５】
主メモリ２１には、ＣＰＵ２４が実行する各種プログラムが格納される。具体的には、システム管理者にグラフィカルなユーザインターフェースを提供する際にＣＰＵ２４で実行されるＧＵＩ制御プログラム１０、ｉＳＣＳＩターゲットからの登録を受信したりｉＳＣＳＩイニシエータ（ホスト）からのｉＳＣＳＩターゲットのディスカバリ要求を受信し応答を返す際に実行されるディスカバリ要求受信プログラム１１、ＡＲＰ（Ａｄｄｒｅｓｓ Ｒｅｓｏｌｕｔｉｏｎ Ｐｒｏｔｏｃｏｌ、ＲＦＣ８２６）を用いて、ストレージ管理装置１がＩＰアドレスとＭＡＣアドレスとの間の変換を行う際に実行されるＡＲＰ送信プログラム１２、スイッチ３からフォワーディングデータベースを取り出し、ＭＡＣアドレスを物理ポートの識別子であるポートＩＤに変換する際に実行されるポートＩＤ取得プログラム１３、ストレージ装置２に対してＬＵＮマスキングの設定をする際に実行されるＬＵＮマスキング設定プログラム１４及びスイッチ３に対してＶＬＡＮの設定をする際に実行されるＶＬＡＮ設定プログラム１５である。
【００２６】
ここで、フォワーディングデータベースとは、スイッチ３が有する、ポートＩＤとそのポートＩＤで示される物理ポート４２（又は４３）と接続される装置のＭＡＣアドレスとの対応関係を示す表である。又、ＩＰアドレスとは、通信線２０のプロトコルにインターネットプロトコルを使用する際に、各装置に割り当てられる識別子である。更に、ＭＡＣアドレスとは、各装置に割り当てられている固有の識別子である。
【００２７】
又、ｉＳＣＳＩイニシエータとは、ｉＳＣＳＩコマンドを主体的に発行する装置で、本実施形態ではホスト４に該当する。又、ｉＳＣＳＩターゲットとは、ｉＳＣＳＩイニシエータが通信の相手とする装置であり、本実施形態では、ストレージ装置２、又はその中に含まれるＬＵ等が該当する。
【００２８】
尚、上述のプログラムは、あらかじめ、または可搬型記録媒体からの読み込み、または他の計算機からのネットワーク経由のダウンロードにより、磁気ディスク２３に格納される。これらのプログラムは、必要に応じて主メモリ２１に転送され、ＣＰＵ２４で実行される。なお、これらのプログラムが専用のハードウェアとして実装されていても良い。
【００２９】
磁気ディスク２３には、ホスト４やストレージ装置２の物理ポートに対応するＩＰアドレス、ＭＡＣアドレス及び当該物理ポートと接続されているスイッチ側の物理ポートのポートＩＤとの対応関係を記憶するアドレステーブル３０、ｉＳＣＳＩイニシエータとｉＳＣＳＩターゲット（これらをあわせて「ｉＳＣＳＩノード」という）から構成されるグループのＩＤと、そのグループが属するＶＬＡＮのサブネットアドレスを記憶するグループテーブル３１、グループを構成するｉＳＣＳＩイニシエータのＩＰアドレスとｉＳＣＳＩターゲットのｉＳＣＳＩネームを記憶するグループメンバテーブル３２、ｉＳＣＳＩターゲットとそれに含まれるＬＵごとにアクセス可能なｉＳＣＳＩイニシエータのＩＰアドレスを記憶するＬＵＮマスキングテーブル３３、ｉＳＣＳＩターゲットの名前とＩＰアドレスの対応関係を記憶するｉＳＣＳＩネームテーブル３４及びスイッチの管理用物理ポートのＩＰアドレスを記憶するスイッチテーブル３５を格納する。
【００３０】
尚、上述のグループは、同じ部署や業務で使用されるホスト４など、セキュリティ上、データの盗聴が問題とならない一つ以上のｉＳＣＳＩイニシエータとそれらが使用するｉＳＣＳＩターゲットから構成されるものとする。
【００３１】
ここで、第一の実施形態のストレージ管理装置１の動作を簡単に説明する。まず、システム管理者は、計算機システム内に設置されたスイッチ３をスイッチテーブル３５に登録しておく。次に、システム管理者はグループをグループテーブル３１に登録する。その後、ストレージ装置２がスイッチに接続されると、ストレージ管理装置１が接続されたストレージ装置２が属するグループを判定し、そのストレージ装置２をグループのメンバに追加すると共に、そのグループに対応するＶＬＡＮにそのストレージ装置２を追加するようスイッチ３に指示する。
【００３２】
次に、システム管理者がＬＵＮマスキングの設定を行うと、ストレージ管理装置１が、ストレージ装置２に対してＬＵＮマスキングの設定を指示をするとともに、ＬＵＮマスキングで指定したホスト４のグループを判定し、そのホスト４をグループのメンバに追加する。その後、そのホスト４がスイッチ３に接続されると、ストレージ管理装置１が、そのホスト４が属するグループのＶＬＡＮにそのホスト４を追加するようスイッチ３に指示する。 次にストレージ管理装置１の磁気ディスク２３に格納された各種テーブルのデータ構造について説明する。
アドレステーブル３０、グループテーブル３１、グループメンバテーブル３２、ＬＵＮマスキングテーブル３３、ｉＳＣＳＩネームテーブル３４及びスイッチテーブル３５は、配列構造を成し、１以上のレコードを格納可能である。
【００３３】
図２（ａ）は、アドレステーブル３０のデータ構造例を示す図である。アドレステーブル３０は、ホスト４又はストレージ装置２が有する物理ポート毎に一つのレコードを有する。個々のレコードは、レコードに対応する物理ポートに割り振られたＩＰアドレスが登録されるエントリ３００、レコードに対応する物理ポートに割り振られたＭＡＣアドレスが登録されるエントリ３０１、レコードに対応する物理ポートが接続されているスイッチ３の識別子であるスイッチＩＤが登録されるエントリ３０２及びレコードに対応する物理ポートが接続されているスイッチ側の物理ポートのポートＩＤが登録されるエントリ３０３を有する。
【００３４】
図２（ｂ）は、グループテーブル３１のデータ構造例を示す図である。グループテーブル３１は、グループ毎に対応するレコードを有する。グループテーブル３１の各レコードは、レコードに対応するグループの識別子であるグループＩＤが登録されるエントリ３１０、レコードに対応するグループを構成するｉＳＣＳＩイニシエータ及びｉＳＣＳＩターゲットが所属するＶＬＡＮのサブネットアドレスが登録されるエントリ３１１を有する。尚、本実施形態では、グループＩＤはＶＬＡＮ ＩＤとしても使用されるため、１から４０９６までの整数値をとるものとする。
【００３５】
図２（ｃ）は、グループメンバーテーブル３２のデータ構造例を示す図である。グループメンバテーブル３２は、ｉＳＣＳＩノードごとに対応するレコードを有する。各レコードは、レコードに対応するｉＳＣＳＩノードが属するグループのグループＩＤが登録されるエントリ３２０、レコードに対応するｉＳＣＳＩノードのＩＰアドレスが登録されるエントリ３２１、レコードに対応するｉＳＣＳＩノードがｉＳＣＳＩイニシエータかｉＳＣＳＩターゲットかを区別する情報が登録されるエントリ３２２及びレコードに対応するｉＳＣＳＩノードが通信線２０ａに接続されているか否かを表す接続フラグの情報が登録されるエントリ３２３を有する。
【００３６】
尚、本実施形態では、エントリ３２２に登録される情報は「イニシエータ」か「ターゲット」のどちらかをとるものとする。又、エントリ３２３は、レコードに対応するｉＳＣＳＩノードが通信線２０ａに接続されている場合「１」、接続されていない場合「０」の情報が登録されるものとする。
【００３７】
図３（ａ）は、ＬＵＮマスキングテーブル３３のデータ構造例を示す図である。ＬＵＮマスキングテーブル３３は、ｉＳＣＳＩターゲットに付与されたｉＳＣＳＩネーム毎に対応するレコードを有する。各レコードは、レコードに対応するｉＳＣＳＩネームを記憶するエントリ３３０、レコードに対応するｉＳＣＳＩネームで指定されるｉＳＣＳＩターゲットに含まれるＬＵのＬＵＮが登録されるエントリ３３１及びエントリ３３１に登録されたＬＵにアクセス可能なｉＳＣＳＩイニシエータのＩＰアドレスが登録されるエントリ３３２を有する。
【００３８】
図３（ｂ）は、ｉＳＣＳＩネームテーブル３４のデータ構造例を示す図である。ｉＳＣＳＩネームテーブル３４は、ｉＳＣＳＩターゲットに付与されたｉＳＣＳＩネーム毎に対応するレコードを有する。各レコードは、レコードに対応するｉＳＣＳＩネームが登録されるエントリ３４０、レコードに対応するｉＳＣＳＩネームで指定されるｉＳＣＳＩターゲットのＩＰアドレスが登録されるエントリ３４１及びレコードに対応するｉＳＣＳＩネームで指定されるｉＳＣＳＩターゲットに対応するポート番号が登録されるエントリ３４２を有する。
【００３９】
図３（ｃ）は、スイッチテーブル３５のデータ構造例を示す図である。スイッチテーブル３５は、システムに含まれるスイッチ３ごとに対応するレコードを有する。各レコードは、レコードに対応するスイッチ３を指定するスイッチＩＤが登録されるエントリ３５０及びレコードに対応するスイッチの管理用物理ポートに割り当てられたＩＰアドレスである管理用ＩＰアドレスが登録されるエントリ３５１を有する。
【００４０】
次に、本実施形態で用いられるグラフィカルユーザインタフェース（以下「ＧＵＩ」）について説明する。これらのＧＵＩは、ストレージ管理装置１がＧＵＩ制御プログラム１０を実行することによってディスプレイ２５に表示される。システム管理者等は、文字入力装置２７及びポインティング装置２６を用いて各パラメータを表示されたＧＵＩ上で設定する。
【００４１】
なお、ディスプレイ２５、文字入力装置２７及びポインティング装置２６は、ストレージ管理装置１と別装置であっても良い。例えば、ストレージ管理装置１と通信線２０ｂ或いはシリアルケーブルを介して接続されるコンソール用端末がディスプレイ２５等を有していても良い。この場合、ストレージ管理装置１は、ＧＵＩ制御プログラム１０を実行して画面データをコンソール用端末へ送信し、コンソール用端末がディスプレイ２５にＧＵＩを表示する。
【００４２】
さらに、コンソール用端末は、システム管理者等が文字入力装置２７、ポインティング装置２６を用いて設定した各パラメータをストレージ管理装置１へ送信する。なお、ストレージ管理装置１は、本実施形態で説明するＧＵＩのかわりに、そのＧＵＩと同等の機能を有するコマンドラインインターフェースを備えてもよい。
【００４３】
図４（ａ）は、システム管理者がＬＵＮマスキング設定を行うために使用するＬＵＮマスキング設定画面４００の表示例を示す図である。ＬＵＮマスキング設定画面４００は、ｉＳＣＳＩターゲットのｉＳＣＳＩネームを選択するボタン４０１、ボタン４０１で選択されたｉＳＣＳＩネームを表示する領域４０２、ｉＳＣＳＩターゲット内のＬＵＮを選択するボタン４０３、ボタン４０３で選択されたＬＵＮを表示する領域４０４、ｉＳＣＳＩイニシエータのＩＰアドレスを入力する領域４０５、これらの領域やボタンで指定された情報を登録する際に指定されるボタン４０６、及び登録を取り消す際に指定されるボタン４０７を有する。
【００４４】
以下、ＧＵＩ操作でＬＵＮマスキングが設定される時のストレージ管理装置１の処理について説明する。尚、以下の処理は、ＧＵＩ操作プログラム１０の実行によって行われる。
システム管理者等がポインティングデバイス等を用いてボタン４０６を押下すると、ストレージ管理装置１は、領域４０２、領域４０４及び領域４０５に表示された内容に基づき、ＬＵＮマスキングテーブル３３に新規レコードを追加する。
次にストレージ管理装置１は、グループテーブル３１の各レコードについて、領域４０５に入力されたＩＰアドレスがエントリ３１１に登録されたサブネットアドレスに属するか調べ、サブネットに属する場合、グループメンバテーブル３２にレコードを追加する。ここで、追加されるレコードのエントリ３２０にはグループテーブル３１の当該レコードのエントリ３１０のグループＩＤ、エントリ３２１には領域４０５の内容、エントリ３２２には「イニシエータ」、エントリ３２３には「０」が各々登録される。
【００４５】
領域４０５に入力されたＩＰアドレスがグループテーブル３１のあるレコードのサブネットに属する場合は、ストレージ管理装置１はさらに、領域４０２に入力されたｉＳＣＳＩネームを持つｉＳＣＳＩターゲットがグループメンバテーブル３２に登録されているか調べ、未登録であれば、グループメンバテーブル３２にレコードを追加する。この場合、追加されるレコードのエントリ３２０にはグループテーブル３１の当該レコードのエントリ３１０のグループＩＤ、エントリ３２１には領域４０１の内容、エントリ３２２には「ターゲット」、エントリ３２３には「０」が各々登録される。
【００４６】
最後に、ストレージ管理装置１は、ＬＵＮマスキング設定プログラム１４を実行して、ストレージ装置２に対してＬＵＮマスキングの設定を指示する。具体的には、ストレージ管理装置１は、ＬＵＮマスキングテーブル３３に登録された情報をストレージ装置２へ送信し、送信された情報に基づいてＬＵＮマスキングを設定、具体的には、指定されたＩＰアドレスで指定されるホスト４から、指定されたiSCSIネームのターゲットへのアクセスを許可する設定をするように、ストレージ装置２の制御部へ指示を送る。
【００４７】
図４（ｂ）は、システム管理者が、グループを登録するために使用するグループ登録画面４２０の表示例を示す図である。グループ登録画面４２０は、システム管理者が新規グループＩＤの入力を行う領域４２１、グループを構成するｉＳＣＳＩノードが所属するＶＬＡＮのサブネットアドレスを入力する領域４２２、これらの領域やボタンで指定された情報を登録する際に指定されるボタン４２３、及び登録を取り消す際に指定されるボタン４２４を有する。
【００４８】
以下、ＧＵＩ操作により、グループが登録される際のストレージ管理装置１の処理について説明する。尚、本処理も、ストレージ管理装置１がＧＵＩ制御プログラム１０を実行することで行われる。
システム管理者等がグループ登録画面４２０のボタン４２３をポインティングデバイス等で指定すると、ストレージ管理装置１はまず、グループテーブル３１にレコードを追加する。追加されるレコードのエントリ３１０には領域４２１の内容、エントリ３１１には領域４２２の内容が登録される。
【００４９】
次にストレージ管理装置１は、ＬＵＮマスキングテーブル３３から、領域４２２のサブネットに属するＩＰアドレスを持つレコードを選択する。そして、ストレージ管理装置１は、選択されたレコードの情報に従って、ｉＳＣＳＩイニシエータのレコードとｉＳＣＳＩターゲットのレコードをグループメンバテーブル３２に追加する。ここで、追加されるｉＳＣＳＩイニシエータのレコードのエントリ３２０には領域４２１の内容、エントリ３２１にはエントリ３３２に登録されたＩＰアドレス、エントリ３２２には「イニシエータ」、エントリ３２３には「０」が登録される。又、追加されるｉＳＣＳＩターゲットのレコードのエントリ３２０には領域４２１の内容、エントリ３２１にはエントリ３３０のｉＳＣＳＩネーム、エントリ３２２には「ターゲット」、エントリ３２３には「０」が登録される。
【００５０】
図５は、システム管理者等が計算機システムに存在するスイッチの管理用ポートを登録するスイッチ登録画面４４０の表示例を示す図である。スイッチ登録画面４４０は、スイッチＩＤを入力する領域４４１、そのスイッチの管理用ポートのＩＰアドレスを入力する領域４４２、これらの領域やボタンで指定された情報を登録する際に使用されるボタン４４３、及び登録を取り消す際に使用されるボタン４４４を有する。
【００５１】
以下、システム管理者等がＧＵＩを用いてスイッチを登録する際の、ストレージ管理装置１の処理について説明する。
システム管理者等がポインティングデバイス等を用いてボタン４４３を指定すると、ストレージ管理装置１は、これらの領域やボタンで指定されたパラメータに基づき、スイッチテーブル３５に新規レコードを追加する。
【００５２】
次に、本実施形態における各装置間の通信シーケンスについて説明する。なお、ストレージ管理装置１とスイッチ３ａとを接続する通信線２０ａは、デフォルトのＶＬＡＮであるＶＬＡＮ ＩＤが０のＶＬＡＮに属するように設定されているとする。さらに、他のスイッチ３が接続されたスイッチ３の物理ポートにはＶＬＡＮトランクの設定をしておくものとする。
【００５３】
図６（ａ）は、ストレージ装置２の物理ポートがスイッチ３に接続された時の例として、ストレージ装置２の物理ポート４１が、スイッチ３ａの物理ポート４２に接続された時の双方の装置間での通信シーケンス例を示す図である。
まず、ストレージ装置２がリンク確立を検出すると、ストレージ装置２は、ディスカバリサービスに対してｉＳＣＳＩターゲットを登録する。ディスカバリサービスとは、ｉＳＣＳＩイニシエータが利用可能なｉＳＣＳＩターゲットのリストを取得するためのサービスであり、ＩＥＴＦではＳＬＰ（Ｓｅｒｖｉｃｅ Ｌｏｃａｔｉｏｎ Ｐｒｏｔｏｃｏｌ、ＲＦＣ２６０８）やｉＳＮＳ（ｉｎｔｅｒｎｅｔ Ｓｉｍｐｌｅ Ｎａｍｅ Ｓｅｒｖｉｃｅ）を使った実装が提案されている。
【００５４】
本実施形態では、ストレージ管理装置１がＳＬＰのディレクトリエージェントとして動作するものとする。なお、ｉＳＮＳを使用する場合にも本発明は適用可能である。ＳＬＰが用いられる場合、ｉＳＣＳＩターゲットの登録は、サービス広告パケットの送信によって行われる。このサービス広告パケットには、ｉＳＣＳＩターゲットのｉＳＣＳＩネーム、ＩＰアドレス、及びポート番号などが含まれる。なお、この時点で、物理ポート４１と物理ポート４２を接続する通信線２０ａは、デフォルトのＶＬＡＮ（ＶＬＡＮ ＩＤ＝０）に属する（Ｓ６０１）。
【００５５】
ｉＳＣＳＩターゲットからサービス広告を受信したストレージ管理装置１は、そのサービス広告の内容に基づきｉＳＣＳＩネームテーブル３４にレコードを追加した後、アドレステーブル更新処理を実行する（Ｓ６０２からＳ６０５）。
具体的には、ストレージ管理装置１はまず、通信線２０ａ経由でＡＲＰ要求をブロードキャスト送信する。この時点で、ストレージ管理装置１とスイッチ３ａとを接続する通信線２０ａと物理ポート４１と物理ポート４２とを接続する通信線２０ａは同一のＶＬＡＮに属しているため、このブロードキャストパケットは物理ポート４１に到達する（Ｓ６０２）。
【００５６】
ブロードキャストパケットを受信したストレージ装置２は、物理ポート４１のＭＡＣアドレスを含むＡＲＰ応答をストレージ管理装置１に送信する。これにより、ストレージ管理装置１がｉＳＣＳＩターゲットのＩＰアドレスに対応するＭＡＣアドレスを得る（Ｓ６０３）。
次に、ストレージ管理装置１は、スイッチ３ａから通信線２０ｂ経由でフォワーディングデータベースを取り出し、ＭＡＣアドレスに対応するポートＩＤ（物理ポート４２のポートＩＤ）を得る。
【００５７】
その後、ストレージ管理装置１は、上述のようにして得られた物理ポート４１のＩＰアドレス、ＭＡＣアドレス及び接続先物理ポート４２のポートＩＤとの対応関係をアドレステーブル３０に記憶する（Ｓ６０４、Ｓ６０５）。
【００５８】
最後に、ストレージ管理装置１は、ＶＬＡＮ追加処理を実行する。このＶＬＡＮ追加処理では、ストレージ管理装置１はまず、Ｓ６０１で受信したサービス広告パケットに含まれていたｉＳＣＳＩターゲットのｉＳＣＳＩネームをキーにグループメンバテーブル３２を検索し、ｉＳＣＳＩターゲットが属するグループのグループＩＤを得る。そして、このグループＩＤをＶＬＡＮ ＩＤとして持つＶＬＡＮに物理ポート４２が属するように、ストレージ管理装置１は、通信線２０ｂ経由でスイッチ３ａに対してＶＬＡＮの設定の指示を行う（Ｓ６０６、Ｓ６０７）。
【００５９】
図６（ｂ）は、ホスト４がスイッチ３に接続された時の例として、ホスト４ａがスイッチ３ａに接続された時の通信シーケンス例を示す図である。
尚、本通信シーケンスは、最初にホスト４ａがストレージ管理装置１に対して利用可能なｉＳＣＳＩターゲットを取得するためのサービス要求を送信すること（Ｓ６１１）と、最後にストレージ管理装置１が、通信線２０ａ経由でホストａに利用可能なｉＳＣＳＩターゲットを送信すること（Ｓ６１８）以外のステップは、図６（ａ）と同様である。また、ホスト４ｃ又は４ｄがスイッチ３ｂに接続された時の通信シーケンスは、ホスト４とスイッチ３ａの間にスイッチ３ｂが入る以外、図６（ａ）と同様である。
【００６０】
図６（ｃ）は、ストレージ装置２の物理ポート又はホスト４の物理ポートがスイッチから切断された時の例として、ホスト４ａがスイッチ３ａから切断された時の通信シーケンス例を示す図である。
ホスト４ａとのリンクの切断を検出したスイッチ３ａは、ＳＮＭＰ Ｔｒａｐなどの手段を用いて、通信線２０ｂ経由でストレージ管理装置１にリンクダウン通知を送信する。このリンクダウン通知にはリンクダウンした物理ポートのポートＩＤが含まれているものとする（Ｓ６２１）。
【００６１】
リンクダウン通知を受信したストレージ管理装置１は、そのリンクダウン通知からポートＩＤとソースＩＰアドレス（送信元のスイッチのＩＰアドレス）の情報を取り出す。そして、ストレージ管理装置１は、ソースＩＰアドレスをキーにスイッチテーブル３５を検索し、合致したレコードからスイッチＩＤを取り出す。更にストレージ管理装置１は、取り出したポートＩＤとスイッチＩＤとの組をキーにアドレステーブル３０を検索し、合致したレコードのＩＰアドレスを後述のＶＬＡＮ削除処理で使うために主メモリ２１の任意の領域に待避した上で、そのレコードを削除する（Ｓ６２２）。
【００６２】
最後に、ストレージ管理装置１は、ＶＬＡＮ削除処理を実行する。このＶＬＡＮ削除処理では、ストレージ管理装置１は、リンクが切断されたホスト４、或いはストレージ装置２の物理ポートをＶＬＡＮから削除するＶＬＡＮ設定要求を、スイッチ３ａに通信線２０ｂ経由で送信する（Ｓ６２３、Ｓ６２４）。
【００６３】
次に、図６で説明したアドレステーブル更新処理、ＶＬＡＮ追加処理及びＶＬＡＮ削除処理の詳細な処理手順について説明する。
【００６４】
図７は、ストレージ管理装置１におけるアドレステーブル取得処理の動作手順を示すフローチャートである。
サービス広告パケット又はサービス要求パケットを受信したストレージ管理装置１は、サービス要求受信プログラム１１を実行して、受信したサービス広告パケット、或いはサービス要求パケットからパケット送信元のＩＰアドレスを取り出す（Ｓ７０１）。
【００６５】
次に、ストレージ管理装置１は、ＡＲＰ送信プログラム１２を実行して、Ｓ７０１で得たＩＰアドレスのＭＡＣアドレスを問い合わせるためのＡＲＰ要求を組み立て、通信線２０ａにブロードキャスト送信する（Ｓ７０２）。Ｓ７０２のＡＲＰ要求に対応するＡＲＰ応答を受信したストレージ管理装置１は、ＡＲＰ送信プログラム１２を実行して、そのＡＲＰ応答からＭＡＣアドレスを取り出す（Ｓ７０３）。
【００６６】
次に、ストレージ管理装置１は、ポートＩＤ取得プログラム１３を実行して、スイッチテーブル３５の先頭レコードを取り出し（Ｓ７０４）、当該レコードの管理用ＩＰアドレス宛てに、フォワーディングデータベースの取得要求を通信線２０ｂ経由で送信する。このフォワーディングデータベースの取得要求は、例えば、ＳＮＭＰ（Ｓｉｍｐｌｅ Ｎｅｔｗｏｒｋ Ｍａｎａｇｅｍｅｎｔ Ｐｒｏｔｏｃｏｌ） Ｇｅｔを用いて、ＭＩＢ−２（Ｍａｎａｇｅｍｅｎｔ Ｉｎｆｏｒｍａｔｉｏｎ Ｂａｓｅ−２、ＲＦＣ１２１３）のｉｐＮｅｔＴｏＭｅｄｉａＴａｂｌｅを取得することにより実現できる（Ｓ７０５）。
【００６７】
その後、ストレージ管理装置１は、取得したフォワーディングデータベースを、Ｓ７０３で得たＭＡＣアドレスをキーに検索する（Ｓ７０６）。検索の結果該当するエントリが存在したら（Ｓ７０７）、ストレージ管理装置１は、Ｓ７０１で得たＩＰアドレス、Ｓ７０３で得たＭＡＣアドレス、Ｓ７０４で取り出したレコードのスイッチＩＤ、及びＳ７０７で得たエントリのポートＩＤを用いて、アドレステーブル３０に新規レコードを追加する（Ｓ７０８）。
【００６８】
もし、Ｓ７０７で該当するエントリが存在しなかったら、ストレージ管理装置１は、スイッチテーブル３５の全てのレコードに関してＳ７０５からＳ７０７を繰り返す（Ｓ７０９、Ｓ７１０）。
【００６９】
図８は、ストレージ管理装置１で行われるＶＬＡＮ追加処理の動作を示すフローチャートである。
最初に、ストレージ管理装置１は、ＶＬＡＮ設定プログラム１５を実行して、図７のＳ７０１で受信したサービス広告パケット、或いはサービス要求パケットから、それぞれｉＳＣＳＩターゲットのｉＳＣＳＩネーム、或いはｉＳＣＳＩイニシエータのＩＰアドレスを取り出す（Ｓ８０１）。
【００７０】
そして、ストレージ管理装置１は、Ｓ８０１で取り出したｉＳＣＳＩネーム、或いはＩＰアドレスをキーにグループメンバテーブル３２を検索し、グループＩＤを得る（Ｓ８０２）。
次に、ストレージ管理装置１は、Ｓ８０２で得たグループＩＤをキーにグループメンバテーブル３２を再度検索する（Ｓ８０３）。その結果、グループＩＤを検索する際にキーとしたｉＳＣＳＩターゲット或いはｉＳＣＳＩイニシエータがグループ内の最初のｉＳＣＳＩノードである場合、すなわち、Ｓ８０３の検索で得た全てのレコードのエントリ３２３の接続フラグの値が０の場合（Ｓ８０４）、ストレージ管理装置１は、Ｓ８０２で得たグループＩＤをＶＬＡＮ ＩＤとして持つＶＬＡＮの作成要求を通信線２０ｂ経由でスイッチへ送信する（Ｓ８０５）。
【００７１】
Ｓ８０５の処理の終了後又はＳ８０４でいずれかのレコードのエントリ３２３の値が１であった場合、ストレージ管理装置１は、作成された（あるいは既存の）ＶＬＡＮへ、図７のＳ７０７で得たポートＩＤを追加するＶＬＡＮ追加要求を通信線２０ｂ経由で送信する。尚、このＶＬＡＮ作成要求及びＶＡＬＮ追加要求の宛先は、図７のＳ７０４、或いはＳ７１０で取り出したレコードの管理用ＩＰアドレス３５１である（Ｓ８０６）。
【００７２】
その後、必要であれば、ストレージ管理装置１は、スイッチの設定を保存、有効化するパケットをスイッチ３へ送信してもよい。最後に、ストレージ管理装置１は、Ｓ８０２の検索条件に合致したレコードのエントリ３２３の値を１に変更する（Ｓ８０７）。
【００７３】
図９は、ストレージ管理装置１におけるＶＬＡＮ削除処理の動作を示すフローチャートである。
最初に、ストレージ管理装置１は、ＶＬＡＮ設定プログラム１５を実行して、図６（ｃ）のＳ６２２で待避したＩＰアドレスをキーにｉＳＣＳＩネームテーブル３４を検索する（Ｓ９０１）。Ｓ９０１の検索でレコードが見つかった場合（Ｓ９０２）、ストレージ管理装置１は、通信線２０から切断されたのはｉＳＣＳＩターゲットと判断し、当該レコードのｉＳＣＳＩネーム３４０を取り出し、そのｉＳＣＳＩネームをキーにグループメンバテーブル３２を検索する（Ｓ９０３）。
【００７４】
一方、Ｓ９０１の検索でレコードが見つからなかった場合（Ｓ９０２）、ストレージ管理装置１は、通信線２０から切断されたのはｉＳＣＳＩイニシエータと判断し、検索に使用したＩＰアドレスをキーにグループメンバテーブル３２を検索する（Ｓ９０４）。
【００７５】
Ｓ９０３又はＳ９０４の検索でレコードが見つからなかった場合（Ｓ９０５）、ストレージ管理装置１は処理を終了する。一方、Ｓ９０５でレコードが見つかった場合、ストレージ管理装置１は、発見されたレコードからグループＩＤを取り出す。そして、ストレージ管理装置１は、取り出したグループＩＤをＶＬＡＮＩＤとして持つＶＬＡＮから図６（ｃ）のＳ６２１のリンクダウン通知に含まれていたポートＩＤを削除するＶＬＡＮ解除要求を、通信線２０ｂ経由でスイッチに送信する（Ｓ９０６）。
【００７６】
そして、ストレージ管理装置１は、Ｓ９０３又はＳ９０４の検索で見つかったレコードのエントリ３２３を０に変更する（Ｓ９０７）。
次に、ストレージ管理装置１は、先の処理で取り出したグループＩＤをキーにグループメンバテーブル３２を再検索する（Ｓ９０８）。その結果、当該ｉＳＣＳＩターゲット又はｉＳＣＳＩイニシエータがグループ内の最後のｉＳＣＳＩノードである場合、すなわち、Ｓ９０８の検索で得た全てのレコードの接続フラグ３２３が０の場合のみ（Ｓ９０９）、ストレージ管理装置１は、グループＩＤに対応するＶＬＡＮの削除要求をネットワーク２０ｂ経由でスイッチへ送信する（Ｓ９１０）。
【００７７】
その後、必要であれば、ストレージ管理装置１は、スイッチの設定を保存、有効化するパケットをスイッチ３に送信してもよい。なお、Ｓ９０６のＶＬＡＮ解除要求及びＳ９１０のＶＬＡＮ削除要求の宛先は、図６（ｃ）のＳ６２２で得たスイッチテーブル３５のレコードの管理用ＩＰアドレス３５１である。
【００７８】
以上で説明した第一の実施形態によると、システム管理者が、ＬＵＮマスキング設定と共に、グループを構成するホスト４やストレージ装置２が属するＶＬＡＮのサブネットアドレスの入力を行うだけで、ホスト４やストレージ装置２がネットワークに接続された時に、ストレージ管理装置１が、自動的にＶＬＡＮの設定の指示を行う。これにより、システム管理者は、ＩＰ−ＳＡＮのセキュリティ対策に伴う運用負荷を大幅に軽減することが可能となる。
【００７９】
次に、第二の実施形態について説明する。但し、第一の実施形態と相違する部分に限って説明する。第二の実施形態では、上述したＩＰ−ＳＡＮセキュリティ管理が、スイッチ３’で実施される。
【００８０】
図１０は、ストレージ装置２、スイッチ３’ａ、３ｂ、ホスト４ａ、４ｂ、４ｃ及び４ｄが通信線２０ａを介して相互に接続されている計算機システムの構成を示す図である。ストレージ装置２、スイッチ３’ａ及びスイッチ３ｂは、管理用のデータが流れる通信線２０ｂによっても相互に接続されている。以下、スイッチ３’ａでＩＰ−ＳＡＮセキュリティ管理方法が実施されるものとする。
【００８１】
スイッチ３’ａは、ネットワークからのデータ受信、ネットワーク又はデータ転送部５１へのデータ送信を行うデータ送受信部５０、二つのデータ送受信部５０の間でデータを転送するバス又はクロスバースイッチであるデータ転送部５１、フォワーディングデータベース格納部５２、フォワーディングデータベース格納部５２の内容に基づきデータ送受信部５０のデータ送信先を制御するデータ転送制御部５３、ＧＵＩ制御部１０’、ディスカバリ要求受信部１１’、ＡＲＰ送信部１２’、ポートＩＤ取得部１３’、ＬＵＮマスキング設定部１４’、ＶＬＡＮ設定部１５’及び主メモリ２１を有する。
【００８２】
なお、本実施形態では、スイッチ３’ａが二つのデータ送受信部５０を備えるものとしているが、一つ、或いは三つ以上のデータ送受信部５０を備えてもよい。又、本実施形態では、ＧＵＩ制御部１０’等をハードウエアとして実現しているが、第一の実施形態と同様に主メモリ２１に格納されたソフトウエアプログラムとしてその機能を実現しても良い。
又、スイッチへの設定情報の入力は、管理用ネットワークを介して管理端末から行う。
【００８３】
主メモリには、アドレステーブル３０、グループテーブル３１、グループメンバテーブル３２、ＬＵＮマスキングテーブル３３、ｉＳＣＳＩネームテーブル３４及びスイッチテーブル３５が格納される。スイッチテーブル３５には、スイッチ３’ａ以外のスイッチ３の管理用ＩＰアドレスが登録される。
【００８４】
次に、第二の実施形態における通信シーケンスについて説明する。
図１１は、ホスト４ａがスイッチ３’ａに接続された時の通信シーケンス例を示す図である。
ホスト４ａがスイッチ３’ａに接続された後、ホスト４ａはまず、サービス要求をスイッチ３ａに送信する（Ｓ１１０１）。そのサービス要求を受信したスイッチ３’ａは、ＡＲＰ送信部１２を用いてホスト４ａにＡＲＰ要求を送信して、ホスト４ａのＭＡＣアドレスを得る（Ｓ１１０２，Ｓ１１０３）。
【００８５】
次にスイッチ３’ａは、データ転送制御部５３を用いて、フォワーディングデータベース格納部５２からフォワーディングデータベースの内容を読み出す。更に、スイッチ３’ａのポートＩＤ取得部１３は、このようにして得たフォワーディングデータベースをＳ１１０３で得たＭＡＣアドレスをキーに検索する。ＭＡＣアドレスに対応するエントリが見つかった場合、スイッチ３ａ’は、ホスト４ａが自身に直接（他のスイッチを介さずに）接続されている装置であると判断し、検索されたエントリからポートＩＤを得る（Ｓ１１０４）。
【００８６】
そして、ＶＬＡＮ設定部１５が、前記サービス要求の送信元ＩＰアドレスをキーにグループテーブル３１を検索し、その結果得たレコードのグループＩＤ３１０を取り出す。さらに、データ転送制御部５３に対して、前記グループＩＤをＶＬＡＮ ＩＤに持つＶＬＡＮに、Ｓ１１０４で得たポートＩＤを追加するＶＬＡＮ設定を要求する。その後、データ転送制御部５３は、受信したＶＬＡＮ設定の内容をデータ送受信部５０に通知し、データ送受信部５０がＶＬＡＮの処理ができるようになる（Ｓ１１０５）。最後に、スイッチ３’ａのディスカバリ要求受信部１１は、ホスト４ａにサービス応答を返信する（Ｓ１１０６）。
【００８７】
なお、Ｓ１１０４でエントリが見つからなかった場合、スイッチ３’ａは、第一の実施形態と同様の処理を行う。例えば、ホスト４ｃがスイッチ３ｂと接続された時の通信シーケンスは、ホスト４ａがホスト４ｃである点、スイッチ３ａがスイッチ３ｂである点及びストレージ管理装置１がスイッチ３’ａである点を除き、図６（ｂ）と同様である。
【００８８】
次に、第三の実施形態を説明する。本実施形態では、上述したＩＰ−ＳＡＮセキュリティ管理を、ストレージ装置２が実施する。本実施形態では、ストレージ装置２は、主メモリ２１と磁気ディスク２３を備える。主メモリ２１にＧＵＩ制御プログラム１０、ディスカバリ要求受信プログラム１１、ＡＲＰ送信プログラム１２、ポートＩＤ取得プログラム１３、ＬＵＮマスキング設定プログラム１４及びＶＬＡＮ設定プログラム１５が格納される。磁気ディスク２３に、アドレステーブル３０、グループテーブル３１、グループメンバテーブル３２、ＬＵＮマスキングテーブル３３、ｉＳＣＳＩネームテーブル３４及びスイッチテーブル３５が格納される。本実施形態の動作手順は、ストレージ管理装置１がストレージ装置２に変更される以外は、第一の実施形態と同様である。
【００８９】
【発明の効果】
本発明により、ＩＰ−ＳＡＮにおけるＬＵＮマスキングとＶＬＡＮの設定を一元化できるため、システム管理者の設定作業負荷が軽減され、かつミス発生率も低減できる。結果として、ＩＰ−ＳＡＮの運用コストを削減可能である。
【図面の簡単な説明】
【図１】第一の実施形態におけるシステム構成例を示す図である。
【図２】各テーブルのデータ構造例を示す図である。
【図３】各テーブルのデータ構造例を示す図である。
【図４】グループ登録画面の表示例を示す図である。
【図５】ＬＵＮマスキング設定画面、スイッチ登録画面の表示例を示す図である。
【図６】第一の実施形態における通信シーケンス例を示す図である。
【図７】アドレステーブル更新処理の動作を示すフローチャートである。
【図８】ＶＬＡＮ追加処理の動作を示すフローチャートである。
【図９】ＶＬＡＮ削除処理の動作を示すフローチャートである。
【図１０】第二の実施形態のシステム構成例を示す図である。
【図１１】第二の実施形態における通信シーケンス例を示す図である。
【符号の説明】
１…ストレージ管理装置、２…ストレージ装置、３…スイッチ、４…ホスト、２０…通信線、２１…主メモリ、２２…通信線、２３…磁気ディスク、２４…ＣＰＵ、２５…ディスプレイ、２６…ポインティング装置、２７…文字入力装置、４１、４２、４３…物理ポート。

Claims (13)

1. 計算機、ストレージ装置及びスイッチを有するストレージネットワークを管理する管理装置であって、
   制御部、前記スイッチと接続されるインターフェース及び管理者が使用する入力インターフェースを有し、
   前記スイッチに前記計算機又は前記ストレージ装置が接続された場合、
   前記インターフェースを介して前記スイッチに接続された前記計算機又は前記ストレージ装置から得られる前記計算機又は前記ストレージ装置の第一の識別子の情報及び第二の識別子の情報、前記インターフェースを介して前記スイッチから得られる前記スイッチに接続される前記計算機又は前記ストレージ装置の前記第二の識別子と前記計算機又は前記ストレージ装置が接続される前記スイッチのインターフェースを識別する第三の識別子との対応関係の情報、並びに前記入力インターフェースを介して前記管理者が入力した所定のグループを構成する前記計算機又は前記ストレージ装置を識別するための前記第一の識別子に関する情報に基づいて、前記所定のグループに属する前記スイッチの前記第三の識別子を特定し、
   前記入力インターフェースから前記ストレージ装置が有する記憶領域と前記記憶領域を使用可能な前記計算機を示す前記第一の識別子に関する情報が入力された場合、前記ストレージ装置に前記入力された情報を送信してセキュリティの設定を指示するとともに、前記第一の識別子に対応する前記スイッチの前記第三の識別子及び前記第三の識別子が属する前記グループの情報を抽出し、前記スイッチに前記抽出した情報を送信して前記グループに対応する仮想ＬＡＮの設定を指示することを特徴とする管理装置。
2. 前記第一の識別子はインターネットプロトコル（ＩＰ）アドレス、前記第二の識別子はＭＡＣアドレス、前記第三の識別子はポートＩＤ、前記第一の識別子に関する情報とはサブネットアドレスであることを特徴とする請求項１記載の管理装置。
3. 前記ＭＡＣアドレスを前記計算機にＡＲＰコマンドを送信することによって取得し、前記ＭＡＣアドレスと前記ポートＩＤとの対応関係を前記スイッチからＳＮＭＰのＧｅｔコマンドを用いて取得することを特徴とする請求項２記載の管理装置。
4. 前記スイッチに接続された前記計算機からＳＬＰのパケットを受信することで、前記計算機が前記スイッチに接続されたことを検出することを特徴とする請求項３記載の管理装置。
5. 前記スイッチへ指示される内容とは、前記第三の識別子を、前記グループに対応する仮想ＬＡＮに追加する指示であることを特徴とする請求項１記載の管理装置。
6. 前記グループに対応する仮想ＬＡＮが前記スイッチで設定されていない場合には、前記指示は、前記グループに対応する仮想ＬＡＮを新たに生成する指示であることを特徴とする請求項５記載の管理装置。
7. 前記スイッチから前記計算機又は前記ストレージ装置が取り外された場合、前記取り外された前記計算機又は前記ストレージ装置が属する前記グループに対応する仮想ＬＡＮから前記取り外された前記計算機又は前記ストレージ装置に対応する前記第三の識別子を削除するよう前記スイッチに指示することを特徴とする請求項６記載の管理装置。
8. 前記取り外された前記計算機又は前記ストレージ装置に対応する前記第三の識別子を前記グループに対応する前記仮想ＬＡＮから削除することによって前記グループに所属する前記計算機又は前記ストレージ装置がなくなってしまった場合、前記スイッチに前記仮想ＬＡＮ自体を削除する指示を行うことを特徴とする請求項７記載の管理装置。
9. 計算機とストレージ装置に接続されるスイッチであって、
   制御部、前記ストレージ装置又は前記計算機と接続されるインターフェース及び管理者が使用する入力インターフェースを有し、
   前記インターフェースに前記計算機又は前記ストレージ装置が接続された場合、
   前記制御部は、前記インターフェースを介して前記接続された前記計算機又は前記ストレージ装置から得られる前記計算機又は前記ストレージ装置の第一の識別子の情報及び第二の識別子の情報、該スイッチが有する該スイッチに接続される前記計算機又は前記ストレージ装置の前記第二の識別子と前記計算機又は前記ストレージ装置と接続される該スイッチのインターフェースを識別する第三の識別子との対応関係の情報、並びに前記入力インターフェースを介して前記管理者が入力した所定のグループを構成する前記計算機又は前記ストレージ装置を識別するための、前記第一の識別子に関する情報に基づいて、前記所定のグループに属する前記計算機又は前記ストレージ装置に対応する前記第三の識別子を特定し、
   前記入力インターフェースから前記ストレージ装置が有する記憶領域と前記記憶領域を使用可能な前記計算機を示す前記第一の識別子に関する情報が入力された場合、前記ストレージ装置に前記入力された情報を送信してセキュリティの設定を指示するとともに、前記第一の識別子に対応する前記第三の識別子及び前記第三の識別子が属する前記グループの情報を抽出し、前記グループに対応する仮想ＬＡＮの設定を行うことを特徴とするスイッチ。
10. 計算機に接続されるスイッチと接続されるストレージ装置であって、
    制御部、前記スイッチと接続されるインターフェース、管理者が使用する入力インターフェース及び記憶領域を有し、
    前記スイッチに前記計算機が接続された場合、
    前記インターフェースを介して前記接続された前記計算機から得られる前記計算機の第一の識別子の情報及び第二の識別子の情報、前記インターフェースを介して前記スイッチから得られる前記スイッチに接続される前記計算機の前記第二の識別子と前記計算機と接続される前記スイッチのインターフェースを識別する第三の識別子との対応関係の情報、並びに前記入力インターフェースを介して前記管理者が入力した所定のグループを構成する前記計算機を識別するための、前記第一の識別子に関する情報に基づいて、前記所定のグループに属する前記計算機に対応する前記第三の識別子を特定し、
    前記入力インターフェースから前記記憶領域と前記記憶領域を使用可能な前記計算機を示す前記第一の識別子に関する情報が入力された場合、セキュリティの設定をするとともに、前記第一の識別子に対応する前記第三の識別子及び前記第三の識別子が属する前記グループの情報を抽出し、前記グループに対応する仮想ＬＡＮの設定を前記スイッチに指示することを特徴とするストレージ装置。
11. 計算機、ストレージ装置及びスイッチを有するストレージネットワークを管理する管理方法であって、
    前記スイッチに前記計算機又は前記ストレージ装置が接続された場合、
    前記接続された前記計算機又は前記ストレージ装置から得られる前記計算機又は前記ストレージ装置の第一の識別子の情報及び第二の識別子の情報、前記スイッチから得られる前記スイッチに接続される前記計算機又は前記ストレージ装置の前記第二の識別子と前記計算機又は前記ストレージ装置と接続される前記スイッチのインターフェースを識別する第三の識別子との対応関係の情報、並びに所定のグループを構成する前記計算機及び前記ストレージ装置を識別するための、前記第一の識別子に関する情報に基づいて、前記所定のグループに属する前記計算機又は前記ストレージ装置に対応する前記第三の識別子を特定し、
    前記ストレージ装置が有する記憶領域と前記記憶領域を使用可能な前記計算機を示す前記第一の識別子に関する情報を基に、前記ストレージ装置でセキュリティの設定をするとともに、前記第一の識別子に対応する前記第三の識別子及び前記第三の識別子が属する前記グループの情報を抽出し、前記スイッチで前記グループに対応する仮想ＬＡＮを設定することを特徴とする管理方法。
12. ストレージ装置、スイッチ及び計算機がネットワークで接続されているストレージシステムの管理方法であって、
    前記ストレージ装置の記憶領域の識別子と前記計算機の第一のアドレスに基づき、前記記憶領域の識別子に対するアクセス制御設定を前記ストレージ装置に対して実行し、前記計算機の第一のアドレスを第二のアドレスに変換し、前記計算機の前記第二のアドレスを前記計算機が接続している前記スイッチのポートの識別子に変換し、前記ポートの識別子を仮想ＬＡＮに追加する設定を前記スイッチに対して実行することを特徴とする方法。
13. ストレージ装置、スイッチ及び計算機がネットワークで接続されているストレージシステムの管理方法であって、
    前記ストレージ装置の記憶領域の識別子と計算機の第一のアドレスに基づき、前記記憶領域に対する前記計算機のアクセス制御設定を前記ストレージ装置で実行し、
    前記計算機の第一のアドレスを第二のアドレスに変換し、前記計算機の第二のアドレスを計算機が接続している前記スイッチのポートの識別子に変換し、前記ポートをＶＬＡＮに追加する設定を前記スイッチに対して実行することを特徴とする管理方法。

Images