JP4137757B2

JP4137757B2 - ネットワーク変換器及び情報処理システム

Info

Publication number: JP4137757B2
Application number: JP2003343479A
Authority: JP
Inventors: 淳田中
Original assignee: Hitachi Ltd
Current assignee: Hitachi Ltd
Priority date: 2003-10-01
Filing date: 2003-10-01
Publication date: 2008-08-20
Anticipated expiration: 2023-10-01
Also published as: US7386622B2; EP1521417A3; US20090138613A1; EP1521417B1; EP1521417A2; US20050076167A1; US20050086444A1; JP2005110118A; DE602004017099D1

Description

本発明は、ネットワーク変換器及び情報処理システムに関する。

ＬＡＮ（Local Area Network）の通信速度の向上に伴い、情報処理装置と記憶装置との間でｉＳＣＳＩ（internet Small Computer Systems Interface）プロトコルを用いてデータの送受信を行う情報処理システムの構築が急速に進んでいる。ｉＳＣＳＩプロトコルの詳細については、非特許文献１に記載されている。

そこで、このような環境においても、旧来より利用されているファイバチャネルにより情報処理装置と接続される記憶装置を有効に活用する必要が生じている。そこで、ｉＳＣＳＩプロトコル形式のデータとファイバチャネルプロトコル形式のデータとを相互に変換するネットワーク変換器が用いられている。ネットワーク変換器の代表的なものとしては、シスコシステムズ社の「SN5428 Storage Router」がある。当該ネットワーク変換器の設定方法等の詳細については、非特許文献２に記載されている。

このようなネットワーク変換器は、図９に示すように、ｉＳＣＳＩプロトコルとファイバチャネルプロトコルとを相互に変換するプロトコル変換部９０３と、ＷＷＮ（World Wide Name）割当部９０４と拡張命令発行部９０５とを備えている。プロトコル変換部９０３は、情報処理装置９０１からＬＡＮ経由でＩＰパケットを受信し、それをファイバチャネルフレーム（以後、「ＦＣフレーム」と称する）に変換して記憶装置９０８に送信する。

一般に情報処理装置が記憶装置にアクセスする場合、セキュリティの観点より、そのアクセスを制限することが行われている。例えば、ディスク内に存在する論理ボリュームの管理番号であるＬＵＮ（Logical Unit Number）毎に情報処理装置のアクセスを制御するＬＵＮセキュリティがある。ＬＵＮセキュリティでは情報処理装置を識別する識別番号が必要であり、ファイバチャネルの場合は、ＷＷＮ（World Wide Name）を使うことが多い。ＬＵＮセキュリティの詳細については、特開２０００−２７６４０６号公報に詳細が記載されている。

図９のようにＬＡＮを経由したアクセスの場合にも上記ＬＵＮセキュリティを実現する必要があり、記憶装置９０７が情報処理装置９０１を識別する方法が必要となる。前述のシスコシステムズ社の「SN5428 Storage Router」では、ＷＷＮ割当部９０４は、メモリ９０６に記憶されているＷＷＮ管理テーブル９０７に設定されているＷＷＮを各情報処理装置９０１に対して順に割り当てている。そのため、同一の情報処理装置９０１であっても、アクセスを行う度に異なるＷＷＮが割り当てられる可能性があり、記憶装置９０８において、当該ＷＷＮを用いたＬＵＮセキュリティを実現することができない。そのため、ネットワーク中継器９０２は、情報処理装置のｉＳＣＳＩネームをＦＣフレームに挿入する拡張命令発行部９０５を備えている。当該ＦＣフレームは、ファイバチャネルプロトコルに用意されている命令ではないため、これを用いてＬＵＮセキュリティを実現するためには、記憶装置９０８に当該フレームを解析する拡張命令分析部９０９が設けられている必要がある。拡張命令分析部９０９は、当該ＦＣフレームから情報処理装置のｉＳＣＳＩネームを取得し、セキュリティ管理テーブル９１１をもとにＬＵＮセキュリティの制御を行う。
特開２０００−２７６４０６号公報 Julian Satran、外４名、"iSCSI"、[online]、平成１５年１月１９日、米国ＩＥＴＦ（The Internet Engineering Task Force）、[平成１５年９月１１日検索]、インターネット＜URL: http://www.ietf.org/internet-drafts/draft-ietf-ips-iscsi-20.txt＞シスコシステムズ社、"Cisco SN 5428 Storage Router ソフトウェアコンフィギュレーションガイド"、[online]、平成１５年６月２４日、シスコシステムズ社、[平成１５年９月１１日検索]、インターネット＜URL: http://www.cisco.com/japanese/warp/public/3/jp/service/manual_j/rt/5000/28srscg/index.html＞

前述の方法によりＬＵＮセキュリティを実現するためには、記憶装置９０８に拡張命令分析部９０９等を新たに設ける必要がある。そこで、このように、従来より利用されているファイバチャネルプロトコルによりデータの送受信を行う記憶装置に新たな部品等を追加することなく、ｉＳＣＳＩプロトコルによりデータの送受信を行う情報処理装置との通信をＬＵＮセキュリティを考慮して行うことが求められている。

本発明は上記課題を鑑みてなされたものであり、ネットワーク変換器、及び情報処理システムを提供することを目的とする。

上記課題を解決するために、本発明に係る情報処理システムは、
情報処理装置と、
複数の論理ボリュームと、前記論理ボリュームごとに前記情報処理装置からのアクセス可否をセキュリティ管理テーブルに記憶するセキュリティ管理テーブル記憶部とを備える記憶装置と、
前記情報処理装置と前記記憶装置とに通信可能に接続されているネットワーク変換器と、
前記記憶装置と前記ネットワーク変換器とに通信可能に接続されている管理端末と
を含んで構成され、
前記ネットワーク変換器は、
第一の通信規約に従い前記情報処理装置より受信するデータを、ファイバチャネルプロトコルで定められる形式のデータに変換し前記記憶装置に送信する第一のプロトコル変換部と、
ファイバチャネルプロトコルに従い前記記憶装置より受信するデータを、前記第一の通信規約で定められる形式のデータに変換し前記情報処理装置に送信する第二のプロトコル変換部と、
前記第一の通信規約において前記情報処理装置および前記記憶装置を識別する番号である第一の識別番号とファイバチャネルプロトコルにおいて前記情報処理装置および前記記憶装置を識別する番号である第二の識別番号との組合せを変換テーブルに記憶する変換テーブル記憶部と、
前記第一の識別番号を前記変換テーブルに記憶されている内容に従い前記第二の識別番号に変換する第一の識別番号変換部と、
前記第二の識別番号を前記変換テーブルに記憶されている内容に従い前記第一の識別番号に変換する第二の識別番号変換部とを備え、
前記管理端末が、
前記セキュリティ管理テーブルに記憶される前記論理ボリュームごとのアクセス可否を前記セキュリティ管理テーブル記憶部に通知するアクセス可否通知部と、
前記情報処理装置および前記記憶装置における、前記第一の識別番号と前記第二の識別番号との組合せを前記変換テーブル記憶部に通知する識別番号変換通知部とを備える。

ここで、第一の通信規約とは、例えばｉＳＣＳＩプロトコルのことであり、第一の識別番号とはｉＳＣＳＩネームのことである。また、第二の識別番号とは、例えば、ファイバチャネルプロトコルにおける情報処理装置および記憶装置の識別番号であるＷＷＮのことである。

ネットワーク変換器及び情報処理システムを提供することができる。

＝＝＝第一の実施の形態＝＝＝
まず、本発明の第一の実施の形態に係るネットワーク変換器２０を含む情報処理システムの全体構成のブロック図を図１に示す。

本実施の形態に係る情報処理システムは、情報処理装置１０、ネットワーク変換器２０，記憶装置３０、管理端末４０を備えている。

＝＝＝情報処理装置＝＝＝
情報処理装置１０は、ＣＰＵ（Central Processing Unit）やメモリを備えたコンピュータである。情報処理装置１０が備えるＣＰＵにより各種プログラムが実行されることにより、様々な機能が実現される。情報処理装置１０は例えば銀行の自動預金預け払いシステムや航空機の座席予約システム等における中枢コンピュータとして利用される。情報処理装置１０はメインフレームコンピュータとすることもできるし、パーソナルコンピュータとすることもできる。

また、情報処理装置１０はネットワーク変換器２０とＬＡＮ経由で通信可能に接続されており、記憶装置３０に対するデータ入出力要求を、ネットワーク変換器２０に送信する。データ入出力要求としては、例えばデータの読み出し要求や書き込み要求などである。なお、情報処理装置１０からネットワーク変換器２０への通信は、ｉＳＣＳＩプロトコルに則り行われるものとする。このように、本実施の形態における情報処理装置１０は、ｉＳＣＳＩプロトコルによる通信を行うことができる従来の情報処理装置１０であればよく、新たに部品等を追加する必要はない。

＝＝＝ネットワーク変換器＝＝＝
ネットワーク変換器２０は、情報処理装置１０とＬＡＮ経由で通信可能に接続され、記憶装置３０とＳＡＮ（Storage Area Network）経由で通信可能に接続されている。本実施の形態において、ＳＡＮはファイバチャネルプロトコルに従って通信が行われるネットワークである。また、ネットワーク変換器２０は、管理端末４０と通信可能に接続されている。

ネットワーク変換器２０は、ＣＰＵ２１、メモリ２２等を備えている。さらに、ネットワーク変換器２０は、ＣＰＵ２１により制御される第一のプロトコル変換部２３、第二のプロトコル変換部２４、変換テーブル記憶部２５、第一の識別番号変換部２６、第二の識別番号変換部２７等を備えている。

情報処理装置１０及び記憶装置３０の、ｉＳＣＳＩプロトコルとファイバチャネルプロトコルとにおける識別番号の組合せが、メモリ２２の管理テーブル２７に記憶されている。ここで、ｉＳＣＳＩプロトコルにおける識別番号とは、ｉＳＣＳＩネームのことである。また、ファイバチャネルプロトコルにおける識別番号とは、ＷＷＮ（World Wide Name）であるNode_NameとN_Port_Nameのことである。

第一のプロトコル変換部２３は、情報処理装置１０より受信したｉＳＣＳＩプロトコルによる記憶装置３０へのデータ入出力要求を、ファイバチャネルプロトコルのＦＣフレームに変換し記憶装置３０へ送信する。第一のプロトコル変換部２３が、ＩＰパケットをＦＣフレームに変換する際に、第一の識別番号変換部２６は、情報処理装置１０と記憶装置３０のｉＳＣＳＩネームをＷＷＮに変換する。

また、第二のプロトコル変換部２４は、記憶装置３０より受信したファイバチャネルプロトコルによるデータ入出力要求への応答を、ｉＳＣＳＩプロトコルのＩＰパケットに変換し情報処理装置３０へ送信する。第二のプロトコル変換部２４が、ＦＣフレームをＩＰパケットに変換する際に、第二の識別番号変換部２７は、情報処理装置１０と記憶装置３０のＷＷＮをｉＳＣＳＩネームに変換する。

変換テーブル記憶部２５は、管理端末４０より情報処理装置１０及び記憶装置３０のｉＳＣＳＩネームとＷＷＮとの組合せを受信すると、当該組合せを変換テーブル２８に記憶する。

＝＝＝記憶装置＝＝＝
記憶装置３０は、ＳＡＮ経由でネットワーク変換器２０と通信可能に接続されている。記憶装置３０には、複数のディスク３１が備えられ、ディスク３１には論理ボリューム３２が設定されている。なお、論理ボリューム３２には、ＬＵＮ（Logical Unit Number）が付与されている。また、記憶装置３０は、メモリ３４にセキュリティ管理テーブル３５を備えている。セキュリティ管理テーブル３５は、該記憶装置にアクセスする情報処理装置１０または記憶装置３０のＷＷＮごとに、論理ボリュームへのアクセス可否を記憶しているものである。図３は、セキュリティ管理テーブルの例を示している。ＷＷＮの欄には、該記憶装置にアクセスする情報処理装置１０または記憶装置３０のＷＷＮが設定されている。また、ＬＵＮ０〜ＬＵＮｎの欄には、論理ボリュームのＬＵＮごとのアクセス可否が設定されている。ここで、「1」はアクセス許可を、「０」はアクセス拒否を示すものとする。記憶装置３０は、このセキュリティ管理テーブル３５を用いて、ＬＵＮごとのアクセス制御であるＬＵＮセキュリティを実現している。

本実施の形態における記憶装置３０は、ファイバチャネルプロトコルによる通信を行い、ＬＵＮセキュリティが行われている従来の記憶装置３０であればよく、新たに部品等を追加する必要はない。

＝＝＝管理端末＝＝＝
管理端末４０は、ＣＰＵ、入力装置、表示装置、識別番号変換通知部、アクセス可否通知部等を備え、ネットワーク変換器と記憶装置とに通信可能に接続されているコンピュータである。なお、管理端末４０は、複数のネットワーク変換器２０と、複数の記憶装置３０とに接続されているものとしてもよい。また、管理端末４０は、ネットワーク変換器２０または記憶装置３０に内蔵されている形態とすることもできる。

識別番号変換通知部は、変換テーブルに記憶されるｉＳＣＳＩネームとＷＷＮとの組合せをネットワーク変換器２０の変換テーブル記憶部２５に通知する。また、アクセス可否通知部は、セキュリティ管理テーブルに記憶されるＷＷＮごとのＬＵＮアクセス可否を記憶装置３０のセキュリティ管理テーブル記憶部３３に通知する。

図４のフローチャートを用いて、具体的に説明する。
まず、管理端末４０は、入力装置から対象とするネットワーク変換器２０と記憶装置３０との組合せを受信する（Ｓ４０１）。管理端末４０は、選択された記憶装置３０のｉＳＣＳＩネームとＷＷＮとの組合せを入力装置より受信する（Ｓ４０２）。さらに、管理端末４０は、アクセスを許可する情報処理装置１０のｉＳＣＳＩネームとＬＵＮとの組合せを入力装置より受信する（Ｓ４０３）。管理端末４０は、情報処理装置のＷＷＮを自動生成するかどうかを選択する（Ｓ４０４）。ＷＷＮを自動生成する場合、管理端末４０はアクセスを許可する情報処理装置１０に対するＷＷＮを自動生成する（Ｓ４０５）。自動生成の方法は、情報処理装置１０ごとに異なるＷＷＮが割り当てられる方法であれば、定められた範囲の番号を順に割り当ててもよいし、ランダムに割り当ててもよい。ＷＷＮを自動生成しない場合は、管理端末４０は入力装置からアクセスを許可する情報処理装置１０に対するＷＷＮを受信する（Ｓ４０６）。

次に、管理端末４０のアクセス可否通知部は、アクセスを許可する情報処理装置１０のＷＷＮとＬＵＮとの組合せを記憶装置３０のセキュリティ管理テーブル記憶部３３に送信する（Ｓ４０７）。この際に、アクセス可否通知部は、アクセス拒否を制御するＷＷＮと該ＷＷＮに対して全ＬＵＮのアクセスを拒否するようセキュリティ管理テーブル記憶部３３に送信する。ここで、アクセス拒否を制御するＷＷＮとは、例えば「ＦＦＦＦＦＦＦＦ」などである。

セキュリティ管理テーブル記憶部３３は、これを受信すると、受信したＷＷＮとＬＵＮとの組合せに対してアクセスを許可するように、セキュリティ管理テーブル３５に記憶する。つまり、受信したＷＷＮごとに、アクセスを許可するＬＵＮに「１」を設定し、該ＷＷＮについて受信しなかったＬＵＮに「０」を設定する。また、セキュリティ管理テーブル記憶部３３は、アクセス拒否を制御するＷＷＮについては、該ＷＷＮに対して全てのＬＵＮに「０」を設定する。

次に、管理端末４０の識別番号変換通知部は、記憶装置３０のｉＳＣＳＩネームとＷＷＮとの組合せをネットワーク変換器２０の変換テーブル記憶部２５に送信する（Ｓ４０８）。変換テーブル記憶部２５は、これを受信すると、受信したｉＳＣＳＩネームとＷＷＮとの組合せを変換テーブル２８に記憶する。さらに、識別番号変換通知部は、アクセスを許可する情報処理装置１０のｉＳＣＳＩネームとＷＷＮとの組合せを変換テーブル記憶部２５に送信する（Ｓ４０９）。この際に、識別番号変換通知部は、前述したアクセス拒否を制御するＷＷＮも変換テーブル記憶部２５に送信する。変換テーブル記憶部２５は、これを受信すると、受信したｉＳＣＳＩネームとＷＷＮとの組合せを変換テーブル２８に記憶する。また、変換テーブル記憶部２５は、アクセス拒否を制御するＷＷＮを変換テーブル２８に記憶する。これは、図２の変換テーブル２８において、ｉＳＣＳＩネームが「default」、ＷＷＮが「ＦＦＦＦＦＦＦＦ」となっているレコードのことである。

＝＝＝変換処理の流れ＝＝＝
前述のように変換テーブル２８及びセキュリティ管理テーブル３５が記憶されている状態において、情報処理装置１０から受信するｉＳＣＳＩプロトコルのＩＰパケットをＦＣフレームに変換して記憶装置３０に送信する処理を説明する。

まず、図５を用いて概要を説明する。情報処理装置１０から受信するＩＰパケット５００は、ＩＰヘッダ５１０及びｉＳＣＳＩプロトコルデータユニット５２０により構成されている。ＩＰヘッダ５１０には、ＬＡＮでのデータ転送に用いられる送信元ＩＰアドレス５１１および宛先ＩＰアドレス５１２が含まれている。送信元ＩＰアドレスは情報処理装置１０のＩＰアドレスであり、宛先ＩＰアドレスはネットワーク変換器２０のＩＰアドレスである。ｉＳＣＳＩプロトコルデータユニット５２０は、ログインリクエストヘッダ５２１及びログインパラメータ５２２により構成されている。ログインパラメータ５２２には、ｉＳＣＳＩプロトコルにおける送信元を表すイニシエータｉＳＣＳＩネーム５２３、及びｉＳＣＳＩプロトコルにおける宛先を表すターゲットｉＳＣＳＩネーム５２４が含まれている。イニシエータｉＳＣＳＩネーム５２３は情報処理装置１０のｉＳＣＳＩネームであり、ターゲットｉＳＣＳＩネーム５２４は記憶装置３０のｉＳＣＳＩネームである。

ネットワーク変換器２０は、ＩＰパケット５００をＦＣフレーム５３０に変換する。ＦＣフレーム５３０は、ＦＣヘッダ５４０およびＰＬＯＧＩパラメータ５５０により構成されている。ＦＣヘッダ５４０には、ファイバチャネルでのデータ転送に用いられるネイティブアドレスである、宛先ネイティブアドレス５４１（D_ID）及び送信元ネイティブアドレス５４２（S_ID）が含まれている。ネイティブアドレスは、例えば、情報処理装置１０や記憶装置３０などがファイバチャネルのファブリックにログインした際などに割り当てられる。ＰＬＯＧＩパラメータ５５０には、送信元である情報処理装置１０のN_Port_Name５５１及びNode_Name５５２が含まれている。つまり、ネットワーク変換器２０は、情報処理装置１０のイニシエータｉＳＣＳＩネーム５２３を変換テーブル２８をもとにＷＷＮに変換し、ＦＣフレーム５３０のN_Port_Name５５１及びNode_Name５５２に設定する。記憶装置３０は、ＦＣフレーム５３０を受信すると、N_Port_Name５５１及びNode_Name５５２をもとに、当該情報処理装置１０からのアクセス可否を判断することができる。

次に、図６を用いて詳細の説明を行う。まず、情報処理装置１０は、ｉＳＣＳＩのログインリクエストであるＩＰパケット５００をネットワーク変換器に送信する（Ｓ６０１）。

ネットワーク変換器２０の第一の識別番号変換部２６は、ＩＰパケット５００に含まれているイニシエータｉＳＣＳＩネーム５２３に対応する情報処理装置１０のＷＷＮを変換テーブル２８より取得する（Ｓ６０２）。ここで、第一の識別番号変換部２６は、イニシエータｉＳＣＳＩネーム５２３が変換テーブル２８に記憶されていない場合は、ｉＳＣＳＩネームが「default」となっている、アクセス拒否を制御するＷＷＮ「ＦＦＦＦＦＦＦＦ」を取得する。次に、ネットワーク変換器２０の第一のプロトコル変換部２３は、情報処理装置１０をファイバチャネルのファブリックにログインさせる（Ｓ６０３）。これにより、第一のプロトコル変換部２３は情報処理装置１０のネイティブアドレスを取得する（Ｓ６０４）。

次に、第一の識別番号変換部２６は、ＩＰパケット５００に含まれているターゲットｉＳＣＳＩネーム５２４に対応する記憶装置３０のＷＷＮを変換テーブル２８より取得する（Ｓ６０５）。第一のプロトコル変換部２３は、記憶装置３０のＷＷＮをもとに、記憶装置３０のネイティブアドレスを取得する（Ｓ６０６）。なお、ＷＷＮからネイティブアドレスへの変換およびネイティブアドレスからＷＷＮへの変換は、ファイバチャネルのネームサーバに問い合わせる等の方法により取得することができる。第一のプロトコル変換部２３は、前述のようにして得られた情報処理装置１０および記憶装置３０のネイティブアドレスと、情報処理装置１０のＷＷＮを用いて、ＦＣフレーム５３０を構成し記憶装置３０に送信する（Ｓ６０７）。

記憶装置３０は、ＦＣフレーム５３０を受信すると、情報処理装置１０のＷＷＮとネイティブアドレスとの組合せを、図７に示すログイン情報記憶テーブル７０１に記憶し、ログイン完了通知であるＡＣＣフレームをネットワーク変換器２０に送信する（Ｓ７０８）。

ネットワーク変換器２０の第二のプロトコル変換部２４は、ＡＣＣフレームを受信すると、ＡＣＣフレームに含まれている情報処理装置１０および記憶装置３０のネイティブアドレスをもとに、情報処理装置１０および記憶装置３０のＷＷＮを取得する（Ｓ６０９）。次に、ネットワーク変換器２０の第二の識別番号変換部２７は、情報処理装置１０および記憶装置３０のＷＷＮに対応するｉＳＣＳＩネームを変換テーブル２８より取得する（Ｓ６１０）。第二のプロトコル変換部２４は、情報処理装置１０および記憶装置３０のｉＳＣＳＩネームを含むｉＳＣＳＩのログインレスポンスであるＩＰパケットを構成し、情報処理装置１０に送信する（Ｓ６１１）。

情報処理装置１０は、ｉＳＣＳＩのログインレスポンスを受信すると、アクセス対象のＬＵＮを指定したＳＣＳＩコマンドを含んで構成されるＩＰパケットを構成し、ネットワーク変換器２０に送信する（Ｓ６１２）。

ネットワーク変換器２０の第一の識別番号変換部２６は、ＩＰパケットに含まれているイニシエータｉＳＣＳＩネームおよびターゲットｉＳＣＳＩネームに対応する情報処理装置１０および記憶装置３０のＷＷＮを変換テーブル２８より取得する（Ｓ６１３）。次にネットワーク変換器２０の第一のプロトコル変換部２３は、情報処理装置１０および記憶装置３０のＷＷＮをもとに、情報処理装置１０および記憶装置３０のネイティブアドレスを取得する（Ｓ６１４）。第一のプロトコル変換部２３は、情報処理装置１０のネイティブアドレスとアクセス対象のＬＵＮを含むＦＣフレームを構成し、記憶装置３０に送信する（Ｓ６１５）。

記憶装置３０は、ＦＣフレームに含まれている情報処理装置１０のネイティブアドレスをもとに、ログイン情報記憶テーブル７０１から情報処理装置１０のＷＷＮを取得し、該ＷＷＮとアクセス対象のＬＵＮをもとに、情報処理装置１０のアクセス可否を検査する（Ｓ６１６）。記憶装置３０は、ＳＣＳＩコマンドの処理結果を入れたＦＣフレームを構成し、ネットワーク変換器２０に送信する（Ｓ６１７）。

ネットワーク変換器２０の第二のプロトコル変換部２４は、ＦＣフレームを受信すると、該ＦＣフレームに含まれている情報処理装置１０および記憶装置３０のネイティブアドレスをもとに、情報処理装置１０および記憶装置３０のＷＷＮを取得する（Ｓ６１８）。次にネットワーク変換器２０の第二の識別番号変換部２７は、情報処理装置１０および記憶装置３０のＷＷＮに対応するｉＳＣＳＩネームを変換テーブル２８より取得する（Ｓ６１９）。第二のプロトコル変換部２４は、情報処理装置１０および記憶装置３０のｉＳＣＳＩネームを用いてＳＣＳＩコマンドの処理結果であるＩＰパケットを構成し、情報処理装置１０に送信する（Ｓ６２０）。

情報処理装置１０が、ＳＣＳＩコマンドの処理結果であるＩＰパケットを受信すると（Ｓ６２１）、ｉＳＣＳＩにおけるログインからＳＣＳＩコマンド実行の一連の処理が完了する。なお、一連の処理において情報処理装置１０が行う処理は、ｉＳＣＳＩプロトコルにおける通常の処理であるため、ネットワーク変換器２０を用いることにより、情報処理装置１０に新たに部品等を追加する必要はない。同様に、記憶装置３０が行う処理は、ファイバチャネルプロトコルにおける通常の処理であるため、ネットワーク変換器２０を用いることにより、記憶装置３０に新たに部品等を追加する必要はない。

このように、前述のネットワーク変換器２０を用いることにより、従来より利用されているファイバチャネルプロトコルによりデータの送受信を行う記憶装置３０に新たな部品等を追加することなく、ｉＳＣＳＩプロトコルによりデータの送受信を行う情報処理装置１０との通信をＬＵＮセキュリティを考慮して行うことができる。そのため、現存の資産を有効に活用した情報処理システムを構築することが可能となる。

また、管理端末４０の識別番号変換通知部は、記憶装置３０および記憶装置３０がアクセスを許可する情報処理装置１０のみにおける、ｉＳＣＳＩネームとＷＷＮとの組合せをネットワーク変換器２０に送信する。つまり、管理端末４０は、アクセスを許可しない情報処理装置１０におけるｉＳＣＳＩネームとＷＷＮとの組合せを生成する必要がなく、情報処理装置１０から記憶装置３０に対する不正なアクセスを防ぐことができる。また、変換テーブル２８およびセキュリティ管理テーブル３５には、アクセスを許可する情報処理装置１０のみが記憶されていればよく、メモリ資源を節約することができる。

＝＝＝第二の実施の形態＝＝＝
次に、本発明の第二の実施の形態に係るネットワーク変換器２０を含む情報処理システムの全体構成のブロック図を図８に示す。

本実施の形態に係る情報処理システムは、記憶装置１（８０１）、ネットワーク変換器１（８０２）、ネットワーク変換器２（８０３）、及び記憶装置２（８０４）を含んで構成されている。記憶装置１（８０１）とネットワーク変換器１（８０２）とはＳＡＮにより通信可能に接続されている。同様に、記憶装置２（８０４）とネットワーク変換器２（８０３）とはＳＡＮにより通信可能に接続されている。また、ネットワーク変換器１（８０２）とネットワーク変換器２（８０３）とはＬＡＮにより通信可能に接続されている。なお、各記憶装置（８０１，８０４）は第一の実施の形態における記憶装置３０と同じ構成であり、各ネットワーク変換器（８０２，８０３）は第一の実施の形態におけるネットワーク変換器２０と同じ構成である。

このような情報処理システムにおいては、記憶装置１（８０１）と記憶装置２（８０２）との間におけるファイバチャネルプロトコルによるＬＵＮセキュリティを考慮したデータ送受信を、ＬＡＮを経由して行うことができる。記憶装置１（８０１）が記憶装置２（８０２）にデータの書き込み要求を送信する場合を例として説明する。まず、記憶装置１（８０１）は記憶装置２（８０４）のＬＵＮへの書き込み要求のＦＣフレームをネットワーク変換器１（８０２）に送信する（Ｓ８０１）。ネットワーク変換器１（８０２）は各記憶装置（８０１，８０４）のＷＷＮをｉＳＣＳＩネームに変換したＩＰパケットをネットワーク変換器２（８０３）に送信する。ネットワーク変換器２（８０３）は各記憶装置（８０１，８０４）のｉＳＣＳＩネームをＷＷＮに変換したＦＣフレームを記憶装置２（８０４）に送信する（Ｓ８０４）。記憶装置２（８０４）は、受信したＦＣフレームをもとに、記憶装置１（８０１）から該ＬＵＮへのアクセス可否を判断した上で書き込み処理を実行することができる。

なお、一連の処理において各記憶装置（８０１，８０４）が行う処理は、ファイバチャネルプロトコルにおける通常の処理であるため、各ネットワーク変換器（８０２，８０３）を用いることにより、各記憶装置（８０１，８０４）に新たに部品等を追加する必要はない。

このように、前述のネットワーク変換器を用いることにより、ファイバチャネルプロトコルによりデータの送受信を行う記憶装置間において、ＬＵＮセキュリティを考慮したデータ送受信をＬＡＮを経由して行うことができる。つまり、災害復旧（ディザスタリカバリ）の一手段として、ファイバチャネルによりデータの送受信を行う記憶装置間でデータのバックアップを行う場合などにおいて、ＳＡＮよりも安価に遠距離のネットワークを構築可能なＬＡＮを用いることができる。

以上、第一の実施の形態および第二の実施の形態について説明したが、上記実施例は本発明の理解を容易にするためのものであり、本発明を限定して解釈するためのものではない。本発明は、その趣旨を逸脱することなく、変更、改良され得ると共に、本発明にはその等価物も含まれる。

例えば、第一の実施形態および第二の実施の形態においては、ＬＵＮセキュリティはNode_NameおよびN_Port_Nameの両方を用いて行われるものとしたが、Node_NameまたはN_Port_Nameのいずれか一方を用いて行われるものとしてもよい。その場合には、変換テーブルにはＬＵＮセキュリティで用いられるNode_NameまたはN_Port_Nameのいずれか一方が記憶されていればよい。

また、第一の実施の形態および第二の実施の形態においては、第一の通信規約をｉＳＣＳＩプロトコルとしたが、第一の通信規約はｉＳＣＳＩプロトコル以外の通信規約であってもよい。この場合は、該通信規約において情報処理装置１０および記憶装置３０を識別する番号とＷＷＮとの組合せが変換テーブル２８に記憶されていればよい。

第一の実施の形態における情報処理システム全体を表すブロック図である。第一の実施の形態における変換テーブルを示す図である。第一の実施の形態におけるセキュリティ管理テーブルを示す図である。第一の実施の形態における管理端末のフローチャートである。第一の実施の形態におけるｉＳＣＳＩのログイン処理を行う際のＩＰパケットからＦＣフレームへの変換を示す図である。第一の実施の形態におけるｉＳＣＳＩのログインからＬＵＮセキュリティを考慮したＳＣＳＩコマンドの実行までのフローチャートである。第一の実施の形態におけるログイン情報記憶テーブルを示す図である。第二の実施の形態における情報処理システム全体を表すブロック図である。従来のネットワーク変換器を含む情報処理システム全体図を表すブロック図である。

符号の説明

１０情報処理装置２０ネットワーク変換器
２１ＣＰＵ２２メモリ
２３第一のプロトコル変換部２４第二のプロトコル変換部
２５変換テーブル記憶部
２６第一の識別番号変換部２７第二の識別番号変換部
２８変換テーブル３０記憶装置
３１ディスク３２論理ボリューム
３３セキュリティ管理テーブル記憶部３４メモリ
３５セキュリティ管理テーブル４０管理端末
５００ＩＰパケット５１０ＩＰヘッダ
５１１送信元ＩＰアドレス５１２宛先ＩＰアドレス
５２０ｉＳＣＳＩプロトコルデータユニット
５２１ログインリクエストヘッダ５２２ログインパラメータ
５２３イニシエータｉＳＣＳＩネーム５２４ターゲットｉＳＣＳＩネーム
５３０ＦＣフレーム５４０ＦＣヘッダ
５４１宛先ネイティブアドレス５４２送信元ネイティブアドレス
５５０ＰＬＯＧＩパラメータ
５５１ N_Port_Name ５５２ Node_Name
７０１ログイン情報記憶テーブル８０１記憶装置１
８０２ネットワーク変換器１８０３ネットワーク変換器２
８０４記憶装置２９０１情報処理装置
９０２ネットワーク変換器９０３プロトコル変換部
９０４ＷＷＮ割当部９０５拡張命令発行部
９０６メモリ９０７ＷＷＮ管理テーブル
９０８記憶装置９０９拡張命令分析部
９１０メモリ９１１セキュリティ管理テーブル
９１２ディスク

Claims

情報処理装置と、
複数の論理ボリュームと、前記論理ボリュームごとに前記情報処理装置からのアクセス可否をセキュリティ管理テーブルに記憶するセキュリティ管理テーブル記憶部とを備える記憶装置と、
前記情報処理装置と前記記憶装置とに通信可能に接続されているネットワーク変換器と、
前記記憶装置と前記ネットワーク変換器とに通信可能に接続されている管理端末と
を含んで構成される情報処理システムであって、
前記ネットワーク変換器が、
第一の通信規約に従い前記情報処理装置より受信するデータを、ファイバチャネルプロトコルで定められる形式のデータに変換し前記記憶装置に送信する第一のプロトコル変換部と、
ファイバチャネルプロトコルに従い前記記憶装置より受信するデータを、前記第一の通信規約で定められる形式のデータに変換し前記情報処理装置に送信する第二のプロトコル変換部と、
前記第一の通信規約において前記情報処理装置および前記記憶装置を識別する番号である第一の識別番号とファイバチャネルプロトコルにおいて前記情報処理装置および前記記憶装置を識別する番号である第二の識別番号との組合せを変換テーブルに記憶する変換テーブル記憶部と、
前記第一の識別番号を前記変換テーブルに記憶されている内容に従い前記第二の識別番号に変換する第一の識別番号変換部と、
前記第二の識別番号を前記変換テーブルに記憶されている内容に従い前記第一の識別番号に変換する第二の識別番号変換部とを備え、
前記管理端末が、
前記セキュリティ管理テーブルに記憶される前記論理ボリュームごとのアクセス可否を前記セキュリティ管理テーブル記憶部に通知するアクセス可否通知部と、
前記情報処理装置および前記記憶装置における、前記第一の識別番号と前記第二の識別番号との組合せを前記変換テーブル記憶部に通知する識別番号変換通知部とを備えることを特徴とする情報処理システム。
請求項１に記載の情報処理システムであって、
前記管理端末の前記識別番号変換通知部は、前記記憶装置および前記記憶装置がアクセスを許可する前記情報処理装置のみにおける、前記第一の識別番号と前記第二の識別番号との組合せを前記変換テーブル記憶部に通知することを特徴とする情報処理システム。
請求項１または２に記載の情報処理システムであって、
前記第一の通信規約がｉＳＣＳＩプロトコルであり、前記第一の識別番号がｉＳＣＳＩネームであることを特徴とする情報処理システム。
請求項３に記載の情報処理システムであって、
前記第二の識別番号がNode_Nameであることを特徴とする情報処理システム。
請求項３に記載の情報処理システムであって、
前記第二の識別番号がN_Port_Nameであることを特徴とする情報処理システム。
請求項３に記載の情報処理システムであって、
前記第二の識別番号がNode_NameとN_Port_Nameとの組合せであることを特徴とする情報処理システム。