JP4585213B2 - データ保護方法及び認証方法並びにプログラム - Google Patents

Description

本発明は、ユーザ認証に基づいてファイルシステムへアクセスするコンピュータのデータ保護に関する。

コンピュータの記憶装置に格納されたデータを保護する方法としては、管理者がデータにアクセスするユーザに対してアクセス権限を設定することで、アクセス権限のないユーザのアクセスを拒否し、データの保護を行っている。

そして、メンテナンスなどのため、アクセス権限のないユーザ（業者など）がアクセス制限されたデータにアクセスする必要が生じた場合には、その都度、業者などのコンピュータ側のアクセス権限を変更してアクセスを許可するものが知られている（例えば、特許文献１）。
特開２００３−３３０８０２号

しかし、上記従来の技術では、管理者がいないときにはデータに対するアクセス権限を付与することができず、メンテナンス業務などを行うことができない。さらに、データにアクセスする各コンピュータに対して監視プログラムをインストールする必要があるため、データにアクセスするコンピュータの数が増加すると、インストールに加えてアクセス権限の設定などの労力も増加するので、管理者側が柔軟に対応するのが難しくなる。

また、一旦アクセス権限を付与してしまうと、管理者の意図しないファイルへアクセスする可能性が生じ、メンテナンスに不要なファイルが改竄される恐れもある。

そこで本発明は、上記問題点に鑑みてなされたもので、管理者の有無にかかわらず、データのアクセス権限を付与可能にするとともに、管理者の意図しないアクセスがあったとしてもデータを保護することを目的とする。

本発明は、ユーザ毎に予め設定した識別子と認証情報をユーザ情報としてコンピュータに保持し、前記コンピュータがユーザからのアクセス要求を受け付けて、当該アクセス要求に含まれる識別子と認証情報と前記ユーザ情報の識別子と認証情報とを比較して、正当なユーザである場合にコンピュータの記憶装置に格納されたファイルまたはコンピュータに対するアクセス権限を付与する認証方法において、前記コンピュータが、前記ユーザからのアクセス要求を受け付けたときに、前記識別子と認証情報を受け付けて、前記ユーザ情報に保持された前記識別子と認証情報が前記受け付けた識別子と認証情報と一致するときに前記ユーザの正当性を判定する手順と、前記コンピュータは、前記アクセス要求を受け付けた時刻が予め設定した監視期間であるか否かを判定する手順と、前記コンピュータは、前記ユーザの正当性が判定され、かつ、前記アクセス要求を受け付けた時刻が前記監視期間外のときには、前記識別子に対して予め設定された第１のアクセス権限を付与する手順と、前記コンピュータは、前記ユーザの正当性が判定され、かつ、前記アクセス要求を受け付けた時刻が前記監視期間内のときには、前記第１のアクセス権限に代わって前記識別子に対して第２のアクセス権限を設定する手順と、前記コンピュータは、前記アクセス要求を受け付けた時刻が監視期間を終了したときには、前記第２のアクセス権限を第１のアクセス権限に復帰する手順と、を含み、前記識別子に対して予め設定された第１のアクセス権限を付与する手順は、前記識別子毎に、ファイルに対する参照のみ、ファイルに対する参照及び更新またはファイルに対するアクセスの拒否の何れか一つを第１のアクセス権限として予め設定し、前記識別子に対して第２のアクセス権限を設定する手順は、前記識別子に対する認証情報の種類としてパスワード、ＩＣカードまたは生体認証を含み、当該認証情報の種類のそれぞれについて予め格付けを行い、前記認証情報の種類に応じて設定された格付けに対応するアクセス権限を第２のアクセス権限として設定し、監視期間内では動的にアクセス権限を変更する。

また、コンピュータの記憶装置のファイルシステムに格納したファイルに対するユーザからのアクセス要求を受け付け、前記アクセス要求に基づいてファイルの参照または更新を行うデータの保護方法であって、前記コンピュータが、前記ユーザ毎に予め設定した識別子と認証情報をユーザ情報として保持し、前記ユーザからのアクセス要求を受け付けたときに、前記識別子と認証情報を受け付けて、前記ユーザ情報に保持された前記識別子と認証情報が前記受け付けた識別子と認証情報と一致するときに前記ユーザの正当性を判定する手順と、前記コンピュータは、前記アクセス要求を受け付けた時刻が予め設定した監視期間であるか否かを判定する手順と、前記コンピュータは、前記時刻が監視期間となったときには、前記ファイルシステムのスナップショットを取得する手順と、前記コンピュータは、前記ユーザの正当性が判定され、かつ、前記アクセス要求を受け付けた時刻が前記監視期間外のときには、前記識別子に対して予め設定された第１のアクセス権限を付与する手順と、前記コンピュータは、前記ユーザの正当性が判定され、かつ、前記アクセス要求を受け付けた時刻が前記監視期間内のときには、前記識別子に対して第２のアクセス権限を設定する手順と、前記コンピュータは、前記時刻が監視期間の間は、前記第２のアクセス権限のユーザから受け付けた更新要求に応じて、前記ファイルシステムとは異なる領域に設けたテンポラリ格納領域に更新要求のあったファイルを書き込む手順と、前記コンピュータは、前記時刻が監視期間の終了となったときには、前記スナップショットでファイルシステムを更新する手順と、前記コンピュータは、前記スナップショットでファイルシステムを更新した後に、前記テンポラリ格納領域のファイルをファイルシステムに書き込む手順と、前記コンピュータは、前記時刻が監視期間の終了となったときには、前記第２のアクセス権限を前記第１のアクセス権限に復帰する手順と、を含み、前記識別子に対して予め設定された第１のアクセス権限を付与する手順は、前記識別子毎に、ファイルに対する参照のみ、ファイルに対する参照及び更新またはファイルに対するアクセスの拒否の何れか一つを第１のアクセス権限として予め設定し、前記識別子に対して第２のアクセス権限を設定する手順は、前記識別子に対する認証情報の種類としてパスワード、ＩＣカードまたは生体認証を含み、当該認証情報の種類のそれぞれについて予め格付けを行い、前記認証情報の種類に応じて設定された格付けに対応するアクセス権限を第２のアクセス権限として設定し、監視期間の終了時にはファイルシステムを復帰させる。

したがって、本発明は、管理者は識別子と認証情報をメンテナンス作業などを行う部外者に予め付与しておき、監視期間の設定みを行えばよいので、部外者によるメンテナンス作業の開始時にファイルへのアクセス許可を与える識別子（アカウントＩＤ）の貸与やファイルシステムのアクセス権の設定変更などを行う必要がなくなり、管理者が不在であっても自動的にアクセス権限を変更することでデータの安全性を確保でき、管理に要する労力を大幅に低減しながら、極めて高い安全性を確保することが可能となるのである。

また、所定の監視期間内に生じたファイルの更新は、監視期間の開始時点へ自動的に復帰するので、管理者が不在となる夜間や休日にファイルの改竄など管理者の意図しないアクセスが行われたとしても、これら意図しないアクセスの影響を受けることがなく、データを確実に保護することが可能となる。

以下、本発明の一実施形態を添付図面に基づいて説明する。

図１は、本発明をＮＡＳ(Network Attached Storage)１に適用した場合のシステムの全体的な構成を示すブロック図で、図２はＮＡＳ１のソフトウェア構成を示すブロック図である。

ＮＡＳ１は、ディスク装置３、４、５と、これらディスク装置３〜５を制御するコントローラ１０を含んで構成されている。また、ＮＡＳ１は、ネットワーク６を介してＮＡＳ１を管理する管理用クライアントコンピュータ７や、ＮＡＳ１に対してデータの書き込み（更新）や読み出し（参照）を要求するクライアントコンピュータ８に接続されている。

管理用クライアントコンピュータ７は、ＮＡＳ１に格納されるデータ（ファイル）へアクセス（参照または更新）するユーザのアクセス権限の設定や、ＮＡＳ１のファイルやディレクトリ毎のアクセス権の設定を行うとともに、後述するデータ保護の設定を行う。なお、ディスク装置３〜５は、予め設定したファイルシステムが構築されている。

なお、管理用クライアントコンピュータ７及びクライアントコンピュータ８には、図示はしないがＣＰＵ、メモリ、ネットワーク６に接続されるインターフェース、表示装置や入力装置が備えられる。

ＮＡＳ１のコントローラ１０は後述する制御プログラムの動作によって、クライアントコンピュータ８からのユーザ認証を行った後、ファイルの参照要求、更新要求などに応じてディスク装置３に対するデータの入出力を制御するとともに、後述のデータ保護処理を実行する。

図１において、ＮＡＳ１のコントローラ１０には、ＣＰＵ１１、メモリ１２、データ転送コントローラ１３、ネットワークインターフェース１４及びストレージ用のインターフェース１５が設けられている。なお、メモリ１２にデータキャッシュ（図示省略）を設けても良く、あるいは、データキャッシュをデータ転送コントローラ１３側に設けても良い。

メモリ１２には制御プログラム（図２参照）がロードされており、ＣＰＵ１１が制御プログラムを呼び出して実行することによって後述する各種処理が行われる。

データ転送コントローラ１３は、ＣＰＵ１１、ネットワークインターフェース１４、ストレージインターフェース１５及びメモリ１２の間でデータを転送する。

図２は、コントローラ１０で実行される制御プログラムの機能ブロックを示す。ＮＡＳ＿ＯＳ２１は、各制御プログラムの実行管理を行い、後述するファイルサーバ部２２、データ保護部２３、スナップショット部２４の各制御プログラムはＮＡＳ＿ＯＳ２１の管理下で稼動し、クライアントコンピュータ８からの認証要求に応じてユーザ認証を行い、認証を完了したユーザのアカウントＩＤからの参照要求または更新要求に応じて、ディスク装置３のファイルの参照（読み出し）、更新（書き込み）を行うとともに、予め設定したデータ保護監視時間内であれば、アカウントＩＤのアクセス権限を動的に変更してアクセス制限を実行して、データの保護（ファイルの改ざん防止）を行う。

ファイルサーバ部２２は、クライアントコンピュータ８からの認証要求に応じて、要求のあったユーザのアカウントＩＤと、予め設定したユーザのアカウントＩＤをパスワードに基づいて認証を行う。その後、認証が完了したユーザ（アカウントＩＤ）からの参照要求または更新要求を受け付けて、ディスク装置３に対して参照、更新を行う（ファイルアクセス受付処理）。なお、ユーザのアカウントＩＤとパスワードなどを含むユーザ情報２５はディスク装置４に格納され、管理用クライアントコンピュータ７（または、管理者権限のクライアントコンピュータ８）から設定されたものである。

まず、全体的な動作について説明する。

ファイルサーバ部２２は、管理用クライアントコンピュータ７などから設定したデータ保護監視時間（またはデータ保護監視期間）に該当するか否かを判定し、データ保護監視時間（以下、監視時間とする）であれば、データ保護部２３からアクセス要求（認証要求、参照要求、更新要求）があったクライアントコンピュータ８のユーザのアカウントＩＤについて、アカウントの格付け情報を要求する。なお、データ保護監視時間は、例えば、夜間あるいは休日などなどのように管理者が不在の時間帯または期間として設定されるものである。

そして、ファイルサーバ部２２は、監視時間中はデータ保護部２３から受け取ったアカウントＩＤの格付け情報に基づいて、後述するように、ファイルの参照要求または更新要求に対してアクセス制限を実行する。このアクセス制限は、監視時間が終了すると解除され、再び通常の処理に復帰する。

アクセス制限の概要は、アカウントＩＤの運用状態に基づく格付けにより、監視時間中のアカウント格付け（アクセス許可種別）を、予め設定したポリシー情報２６に基づいて、アクセス禁止（以下、禁止とする）、制限付きアクセス可（以下、制限付きとする）、無制限の３つに大別する。

そして、監視時間中では、アカウント格付けが「制限付き」または「無制限」のアカウントＩＤについてアクセスを受け付けるが、監視時間終了時には制限付きのアカウントＩＤが行ったファイルの更新は破棄して監視時間の開始時の状態に戻す。そして、アカウント格付けが無制限のアカウントＩＤが行ったファイルの更新についてのみ、ファイルシステムへ反映させて監視時間を終了するのである。このため、ディスク装置３には、図２で示すように、監視時間中にアカウント格付けが無制限のユーザが行った更新ファイルを保存するフルアクセス用のテンポラリ格納領域３３が確保されている。

データ保護部２３は、監視時間が開始すると、まず、予め設定されたファイルシステムのスナップショットを取得し（スナップショット部２４にスナップショットの取得を要求）、監視時間の開始時点のデータとして所定の領域（ここでは、図２のディスク装置３のスナップショット記憶領域３２）に格納する。

そして、データ保護部２３は、所定時間毎にスナップショットを取得し、監視時間中のデータの変化を監視する。

監視時間が終了する時点では、データ保護部２３は、監視時間の開始時点のスナップショットでファイルシステムを更新し、ファイルシステムの状態を監視時間の開始時点に戻す。その後、ディスク装置３のテンポラリ格納領域３３にされていた無制限ユーザが更新したファイルを、ファイルシステムに書き込んで更新し、監視時間を終了する。

これにより、アカウント格付けが制限付きのユーザが、監視時間中に行ったファイルの更新については、監視時間の開始時点の状態に戻されてしまうため、一切反映されない。これに対して、アカウント格付けが無制限のユーザが行ったファイルの更新は、スナップショットを監視時間の開始時点に戻した後に、テンポラリ格納領域３３から書き込まれるため、監視時間中のファイルの更新を正確に反映できるのである。

したがって、夜間や休日にメンテナンスを行う業者などには、アカウント格付けが制限付きのアカウントＩＤを貸与し、夜間または休日に業務を行う社内のユーザに対しては、アカウント格付けが無制限のアカウントＩＤを付与しておく。これにより、管理者の有無にかかわらず、社外の業者等はメンテナンス中にファイルのアクセスを行って所定のメンテナンスを行うことができ、この際行ったファイルの更新は、一切反映されることはないので、社内のデータを確実に保護することができる。一方、夜間や休日に業務を行う社員は、無制限のアカウントＩＤを利用することで、上記業者によるメンテナンス中にファイルの更新を行っても、監視時間終了時には確実にファイルシステムに反映されることになり、確実に業務を遂行することができるのである。

次に、コントローラ１０で実行される各制御プログラムについて以下に説明する。

図３は、上記図２で示したユーザ情報２５の内容の一例を示す説明図である。

ファイルサーバ部２２で行うユーザ認証及びデータ保護部２３で行われるアカウント格付け処理は、ユーザ情報２５に基づいて行われる。このユーザ情報２５は、管理用クライアントコンピュータ７などから管理者によって設定され、パスワードの変更はクライアントコンピュータ８のユーザも行うことができるものである。

ユーザ情報２５には、管理者が設定したユーザ毎のアカウントＩＤと、管理者またはユーザが設定した任意の文字数のパスワードが対となって格納される。なお、パスワードはハッシュ関数などにより符号化される。これらアカウントＩＤとパスワードに付随して、アカウントＩＤの登録日、パスワードの変更回数、認証方法、前回の認証日時、パスワード設定時の警告回数が格納される。

認証方法は、クライアントコンピュータ８のキーボードなどから入力したアカウントＩＤとパスワードの文字列で行うものを図中ＰＡＳＳとし、クライアントコンピュータ８の入力装置としてＩＣカードリーダへ挿入したＩＣカードから入力を行うものを図中ＩＣとする。

また、警告回数は、ユーザが入力したパスワードの不一致などでＮＡＳ１がクライアントコンピュータ８に警告を送信した回数を示す。

さらに、アカウントＩＤの登録日から本日までのパスワードの変更回数の月単位の平均値を、パスワードの変更頻度として求めておく。

データ保護部２３では、上記のようにアカウントＩＤとパスワードに対応付けられたユーザの情報に基づいて、後述するように、アカウントＩＤの信頼度、換言すればユーザ毎のセキュリティの高さを判定し、アカウントの格付け情報を生成する。

データ保護部２３では、アカウントの格付け情報を生成する基準となるポリシーを、ディスク装置４に予め設定したポリシー情報２６から読み込んで、ユーザ情報２５とポリシー情報２６に基づいて、アカウントＩＤ毎の格付けを行う。

このポリシー情報２６としては、アカウントＩＤ毎の格付けを、上述のように全てのアクセスを禁止する最も低位の格付けをレベルＬＶ１とし、一部のアクセスのみを許可する「制限付き」の格付けをレベルＬＶ２、全てのアクセスを許可する「無制限」の格付けをレベルＬＶ３として、格付けを３種に分ける場合について図４、図５を参照しながら説明する。

図４は、監視時間の開始時にデータ保護部２３で行われるアカウント格付け処理の一例を示すフローチャートで、図５はポリシー情報２６の一例を示す説明図である。

まず、Ｓ１ではポリシー情報２６に予め設定されたアカウント格付けの定義である、ポリシー定義を読み込み、Ｓ２ではユーザ情報２５から１レコード読み込み、Ｓ３でＥＯＦ（End Of File）であるか否かを判定する。

ＥＯＦでなければＳ４にて、読み込んだユーザ情報をポリシー定義に基づいて、格付けの決定を行う。

格付けの決定は、認証方法のセキュリティ、パスワードの管理状態、アクセスの頻度などに基づいて、アカウントの信頼度の高さに応じて決定される。格付けの定義を格納するポリシー情報２６は、例えば、図５で示すように予め設定されている。

例えば、格付けレベルＬＶ１の場合、認証方法がＰＡＳＳ、パスワードの長さが１０文字未満、パスワードの変更頻度が月に１回以下、警告回数が５回を超える、未使用期間が３０日を超える、これらの条件のいずれかひとつを満たす場合には、アカウントＩＤの信頼度が低いと判断して、最低の格付けレベルＬＶ１を設定し、監視時間内のアクセスを拒否する。

２番目の格付けのレベルＬＶ２の場合、認証方法がＰＡＳＳ、パスワードの長さが１０文字以上、パスワードの変更頻度が月に２回以上、警告回数が５回以下、未使用期間が３０日以下、これらの条件をすべて満たす場合には、アカウントＩＤの信頼度が比較的高いと判断して、格付けレベルＬＶ２を設定し、監視時間内のアクセスを制限付きで許可する。なお、この格付けレベルＬＶ２では、上述の制限付きであるため、ファイルシステム上のファイルの更新は可能ではあるものの、監視時間の終了時にスナップショットにより上書きされるので、ファイルの更新が反映されることはない。

次に、最高の格付けレベルＬＶ３の場合、認証方法がＩＣカードであれば、この格付けレベルＬＶ３を付与し、監視時間内のアクセスを無制限で許可し、ファイルの更新を反映させる。

Ｓ５では、以上のように決定された格付け情報を出力する。なお、アカウントの格付け情報の出力は、メモリ１２上またはディスク装置３上の所定の領域にアカウントＩＤと格付けレベル及びアクセス許可を対にして格納される。

上記Ｓ１〜Ｓ５を、ユーザ情報２５の最後のレコードまで繰り返し、格付け情報の出力は図６で示すように、各アカウントＩＤに対応した格付けレベルとアクセス許可の種類が生成される。

次に、図７は、監視時間中にデータ保護部２３で行われるアカウント格付け情報提供処理の一例を示すフローチャートである。このフローチャートは、監視時間中にファイルサーバ部２２がクライアントコンピュータ８から認証要求を受けると、データ保護部２３に対してアカウントＩＤの格付け情報を問い合わせることで実行される。

まず、Ｓ１１では、ファイルサーバ部２２から問い合わせのあったアカウントＩＤを読み込む。Ｓ１２では、アカウントＩＤをキーとして上記Ｓ５で出力した格付け情報を検索し、Ｓ１３、Ｓ１４では該当するアカウントＩＤがあれば格付けレベルＬＶとアクセス許可を出力し、ファイルサーバ部２２へ該当するアカウントＩＤの格付け情報を引き渡す。

次に、図８を参照しながら、ファイルサーバ部２２で行われるアクセス要求受付処理の一例について説明する。なお、図８のフローチャートは所定の周期で繰り返して実行される。

まず、Ｓ２１では、クライアントコンピュータ８からのアクセス要求を受け付け、Ｓ２２では、現在時刻を取得する。そして、Ｓ２３では、現在時刻が所定の監視時間内であるか否かを判定する。監視時間内であればＳ２４へ進み、監視時間外であればＳ２６に進む。なお、アクセス要求には、アカウントＩＤ、アクセスの種類（参照または更新）、ディレクトリパス及びファイル名を含む。

Ｓ２４では、上記図７のアカウント格付け情報提供処理をデータ保護部２３に要求し、格付けレベルとアクセス許可を取得する。

次に、Ｓ２５では、取得した格付けレベルが最低のＬＶ１であるか否かを判定し、ＬＶ１であれば監視時間中はアクセスが禁止されているため、Ｓ３１に進んでアクセスを拒否する。

一方、格付けレベルが最低でない場合、つまり、ＬＶ２またはＬＶ３であればＳ２６に進んで、アクセス要求を行ったアカウントＩＤの認証を行う。この認証処理は通常の認証処理であり、ユーザ情報２５に格納されたアカウントＩＤとパスワードが、クライアントコンピュータ８から入力されたアカウントＩＤとパスワードに一致すれば認証を完了してＳ２７からＳ２８に進み、一致しなければ認証失敗であるためＳ３１に進む。

Ｓ２８は、アクセス要求を行ったアカウントＩＤが、アクセス要求を行ったファイルについてアクセス権を有するか否かを判定する。ファイルシステム側でファイル毎に設定されたアクセス権は、例えば、アカウントＩＤ（またはアカウントＩＤに対応付けられたユーザーグループ（root、guestなど））毎に、参照のみ、参照及び更新、拒否のいずれかが設定され、これらのファイルシステム側のアクセス権を満たすか否かを判定し、アクセス権があればＳ２９に進んで、後述のアクセス処理を行う一方、アクセス権がなければＳ３１へ進む。

Ｓ２９では、要求したファイルに対するアクセスをファイルシステムに対して行った後、Ｓ３０ではアクセスの記録をログファイルに出力し、Ｓ３１ではアクセスの結果をクライアントコンピュータ８に応答する。

なお、Ｓ３１の応答は、ユーザ認証が完了し、アクセス権限があればファイルのアクセス結果を応答し、ユーザ認証が失敗またはアクセス権限がない場合には拒否を通知し、さらに、監視時間内であれば、格付けレベルＬＶ１であれば、監視時間中のためアクセス拒否であることを通知する。

次に、上記Ｓ２９で行われるファイルシステムへのアクセス処理について、図９のサブルーチンを参照しながら説明する。

Ｓ５１では、クライアントコンピュータ８からのアクセス要求が参照であるか否かを判定し、参照であればＳ５２へ進んで監視時間内であるか否かを判定する。監視時間内であればＳ５３に進む一方、監視時間外であれば通常のアクセス処理を行うため、Ｓ５７に進んでファイルシステム内から要求されたファイルを検索する。

一方、Ｓ５３の判定で監視時間内であればアカウントの格付けがＬＶ３の無制限であるか否かを判定し、ＬＶ３であればＳ５４に進んで、要求されたファイルをテンポラリ格納領域３３から検索する。そして、Ｓ５５では、テンポラリ格納領域３３に要求されたファイルがあったか否かを判定し、テンポラリ格納領域３３に該当するファイルがない場合には、Ｓ５６で監視時間開始時点のスナップショットから検索する。

また、上記Ｓ５３でアカウントの格付けがＬＶ３ではない場合、つまり制限付きのＬＶ２の場合には、監視時間中のファイルの更新を反映させないので、Ｓ５７へ進んでファイルシステム内を検索する。

上記Ｓ５４、Ｓ５６、Ｓ５７のいずれかで検索した結果をＳ５８で取得し、上記図８のＳ３１の処理で、取得したファイルをクライアントコンピュータ８に出力（応答）する。

参照要求では、監視時間中でアカウントの格付けがＬＶ３の無制限のときのみ、テンポラリ格納領域３３から要求されたファイルを検索し、さらに、テンポラリ格納領域３３に要求されたファイルがないときにはスナップショットから検索を行う。一方、アカウントの格付けＬＶ２の制限付きの場合には、監視時間中は無制限のアカウント格付けレベルＬＶ３のユーザに更新されることのないファイルシステムから要求されたファイルを検索する。

次に、Ｓ５１でアクセス要求が参照でなかった場合には、Ｓ５９に進んでアクセス要求が更新であるか否かを判定し、更新であればＳ６０に進み、そうでなければそのまま処理を終了する。

更新であればＳ６０へ進んで監視時間内であるか否かを判定する。監視時間内であればＳ６１に進む一方、監視時間外であれば通常のアクセス処理を行うため、Ｓ６３に進んでファイルシステム内から要求されたファイルを格納する。

一方、Ｓ６１の判定で監視時間内であればアカウントの格付けがＬＶ３の無制限であるか否かを判定し、ＬＶ３であればＳ６２へ進んで、要求されたファイルをテンポラリ格納領域３３へ格納する。

また、上記Ｓ６１でアカウントの格付けがＬＶ３ではない場合、つまり制限付きのＬＶ２の場合には、監視時間中のファイルの更新を反映させないので、Ｓ６３へ進んでファイルシステム内を検索する。

上記Ｓ６２、Ｓ６３のいずれかでファイルを格納し、上記図８のＳ３１の処理で、格納が完了したことをクライアントコンピュータ８に通知（応答）する。

更新要求では、監視時間中でアカウントの格付けがＬＶ３の無制限のときのみ、テンポラリ格納領域３３にファイルを格納する。一方、アカウントの格付けＬＶ２の制限付きの場合には、監視時間終了後に監視時間開始時点のスナップショットで更新されるファイルシステムから要求されたファイルを検索する。

次に、データ保護部２３で行われるデータ保護処理について図１０を参照しながら説明する。

Ｓ７１で現在時刻を取得した後、Ｓ７２で監視開始時刻になったか否かを判定し、開始時刻に達していればＳ７３に進む一方、達していなければＳ７１に戻る。

Ｓ７３ではスナップショット部２４に対して、ディスク装置３のファイルシステムのスナップショットを取得するよう要求する。スナップショット部２４は、この要求に応じて監視時間開始時点のスナップショットＳＮ１を取得し、スナップショット記憶領域３２へ記憶する。

その後、Ｓ７４で所定の待機時間をおいた後に、Ｓ７５で現在時刻を取得した後、Ｓ７６で現在時刻が監視時間の終了時刻に達したか否かを判定し、終了時刻であればＳ７６に進む一方、終了時刻に達していなければＳ７３へ戻って再びスナップショットの取得要求を行う。上記Ｓ７３〜Ｓ７６のループにより、所定時間毎にファイルシステムのスナップショットを取得し、スナップショット記憶領域３２へ蓄積される。

終了時刻に達すると、Ｓ７７で監視時間開始時点のスナップショットを読み込んで、ファイルシステムを更新する。これにより、ファイルシステムの内容は監視時間開始時点に復帰することができる。

次に、Ｓ７８では、アカウント格付けレベルＬＶ３がファイルの更新を行ったテンポラリ格納領域３３の内容をファイルシステムに書き込む。これにより、監視時間中でもフルアクセスが可能なアカウント格付けレベルＬＶ３のユーザが行ったファイルの更新を、ファイルシステムに反映させることができるのである。なお、テンポラリ格納領域３３の内容をファイルシステムに書き込んだ後には、テンポラリ格納領域３３の内容はクリアされる。

上記処理によるクライアントコンピュータ８からのアクセス要求と、ディスク装置３のファイルシステム、テンポラリ格納領域３３、スナップショット記憶領域３２のデータの流れについて、図１１を参照しながら説明する。

まず、監視時間外のＳ１００では、クライアントコンピュータ８からのアクセス要求に応じて、ファイルシステムに対して参照または更新が行われる。

監視時間が開始されると、まず、開始時点のファイルシステムのスナップショットＳＮ１を取得してスナップショット記憶領域３２へ格納する（Ｓ１０１）。その後、所定の周期でスナップショットが取得され、スナップショット記憶領域３２にＳＮ２……ＳＮｎとして蓄積される（Ｓ１０２）。

一方、監視時間になると、クライアントコンピュータ８の各ユーザのアカウントＩＤは、予め設定したポリシー情報２６に応じては格付けレベルＬＶ１〜ＬＶ３に動的に変更され、最も下位の格付けレベルＬＶ１はアクセス禁止となり、制限付きの格付けレベルＬＶ２と、無制限の格付けレベルＬＶ３のみがアクセス可能となる。

ここで、制限付きの格付けレベルＬＶ２の参照または更新要求は、ファイルシステムに対して行われる（Ｓ１０３）。

これに対して、無制限の格付けレベルＬＶ３の更新要求は、ファイルシステムではなくフルアクセス用のテンポラリ格納領域３３に対して行われる（Ｓ１０４）。格付けレベルＬＶ３の参照要求は、まず、テンポラリ格納領域３３に対して行われ、該当するファイルがない場合には、監視時間開始時点のスナップショットＳＮ１から検索し、参照される（Ｓ１０５）。

したがって、監視時間中では、制限付きの格付けレベルＬＶ２と、無制限の格付けレベルＬＶ３は、同一のＮＡＳ１に対してアクセス要求を行うものの、アクセスする領域が異なるのである。

そして、監視時間が終了すると、まず、ファイルシステムは監視時間開始時点のスナップショットＳＮ１で更新され、監視時間開始時点の状態に復帰する（Ｓ１０６）。

次に、監視時間中に格付けレベルＬＶ３のユーザが行ったファイルの更新結果を、テンポラリ格納領域３３からファイルシステムに書き込み、無制限の格付けレベルＬＶ１を持つアカウントＩＤのユーザが行った更新結果のみをファイルシステムへ反映させるのである。

以上のように、データ保護を行う監視期間では、通常のアカウントＩＤを動的に変更して、更新結果を残す格付けレベルＬＶ３と、更新結果を破棄する格付けレベルＬＶ２及びアクセスを禁止する格付けレベルＬＶ１によりディスク装置３に格納されたデータに対するアクセス権限を変更する。

したがって、メンテナンスのために夜間や休日など管理者が不在の期間に、業者などの部外者が作業を行う必要がある場合には、監視時間中には制限付きの格付けレベルＬＶ２に対応するアカウントＩＤを貸与しておく。

一方、メンテナンスと同じ時間帯に通常の業務を行うユーザに対しては、監視時間中に無制限の格付けレベルＬＶ３となるアカウントＩＤを付与しておく。

メンテナンスを行う業者は、制限付きの格付けレベルＬＶ２により、ファイルシステムに対してアクセスを行うことができるので、正常にメンテナンス作業を行うことができる。そして、万一、誤ってファイルシステムのファイルを更新あるいは消去してしまったとしても、監視時間終了後にはスナップショットＳＮ１により、ファイルシステムは自動的に監視時間開始時点の状態に復帰することができるので、過誤によるファイルの更新はもちろん、不正な更新や消去をファイルシステムに残すことができないため、安全性を極めて高いものとすることができる。

特に、部外者へアカウントＩＤを貸与して、後に管理者不在のときに不正なアクセスを行ったとしても、ファイルシステムは監視時間開始時点に必ず復帰する訳であるから、ファイルを提供するＮＡＳ１の安全性を向上させることができる。

一方、メンテナンス作業と同時間帯に業務を行うユーザのアカウントＩＤを無制限の格付けレベルＬＶ３に対応させておけば、このユーザは監視時間開始時点のファイルシステムのスナップショットと、更新ファイルを格納するテンポラリ格納領域３３にのみアクセスし、監視時間中はファイルシステムにアクセスを行うことがないため、メンテナンス作業による影響を全く受けることがなく、かつ、業務を通常通り行うことができるので、可用性を著しく向上させることができる。

そして、管理者は、アカウントＩＤと格付けレベルＬＶ１〜ＬＶ３の対応関係と、監視時間または監視期間の設定のみを行えばよいので、部外者によるメンテナンス作業の開始時にアクセス許可を与えるアカウントＩＤの貸与やファイルシステムのアクセス権の設定変更などを行う必要がなくなり、予めメンテナンス作業を行う部外者に所定のアカウントＩＤを貸与しておけば、管理者が不在であっても自動的にアクセス権限を変更することができ、管理に要する労力を大幅に低減しながら、メンテナンス作業と通常の業務を両立させ、かつ、極めて高い安全性を確保することが可能となるのである。したがって、夜間や休日などのメンテナンス作業の際に、管理者が不在の場合にアクセス権限を与えることができない、という課題を解決することができる。

また、部外者に貸与したアカウントＩＤが管理者の不在時に悪用された場合に、ファイルの改竄、破壊を防ぐという課題に対して、監視時間の終了時にファイルシステムを監視時間開始時点へ復帰するので、アカウントＩＤの不正利用による影響を排除することができ、データを確実に保護することが可能となる。

また、パスワードの変更頻度やパスワードの文字数などが少なく、セキュリティに対する意識の低いユーザのアカウントＩＤについては、夜間や休日などの監視時間中のアクセス権限を動的に変更し、格付けレベルＬＶ１の低いアクセス禁止とすることにより、セキュリティレベルの低いアカウントＩＤが、管理者の不在期間などにおいて不正アクセスに利用されるのを防ぐという課題を解決することができる。

逆に、パスワードの変更頻度が高く、パスワードの文字数も多く、セキュリティに対する意識の高いユーザのアカウントＩＤについては、夜間や休日などの監視時間中のアクセス権限を動的に変更し、格付けレベルの高いアクセス権限とすることにより、管理者の不在時でも業務の遂行を可能にし、セキュリティの確保と利便性を両立させることができる。

また、監視時間中は、所定時間おきにスナップショットを取得し、蓄積するようにしたので、万一不正なアクセスや意図しないアクセスがあった場合には、変更の履歴を時系列で追うことができる。

なお、上記実施形態においては、アカウントＩＤ毎の認証方法やパスワードの変更頻度などに基づいて、監視時間中の格付けレベルを決定したが、管理者がアカウントＩＤ毎に格付けレベルを設定してもよい。

また、上記実施形態においては、ユーザのアカウントＩＤ毎に、監視時間中のアクセス権限を変更する格付けレベルを設定したが、これに限定されるものではなく、例えば、部門単位、ネットワーク単位、ユーザのグループ単位で格付けレベルを設定するようにポリシー情報２６を設定するようにしてもよい。

また、上記実施形態においては、認証方法としてアカウントＩＤとパスワードの入力やＩＣカードの例を示したが、指紋や顔などの生体認証を用いても良く、これらの生体認証を用いるアカウントＩＤについては格付けレベルを最も高いものとしてもよい。つまりアカウントＩＤの所有者になりすましにくい認証方法（認証情報の種類）について格付けレベルを上げるようにすれば良く、例えば、パスワードの入力、ＩＣカード、生体認証の順にＬＶ１からＬＶ３の格付けレベルを付与すればよい。すなわち、認証情報の信頼度（ユーザ本人の偽装のしにくさ）が高いのものについて格付けレベルを高く（アクセス範囲またはアクセス携帯を広く）設定し、認証情報の信頼度が低いものほど格付けレベルを低く設定することができる。

また、上記実施形態においては、ＮＡＳ１に本発明を適用した例を示したが、ファイルサーバ、クライアントコンピュータに適用しても良い。

また、上記実施形態においては、スナップショット記憶領域３２とテンポラリ格納領域３３を同一のディスク装置３に設定したが、任意のディスク装置に設定することができる。

また、上記実施形態においては、ファイルサーバ部２２とデータ保護部２３を同一のコントローラ１０上で実行する例を示したが、データ保護部２３を他のコンピュータで実行するようにしても良い。

また、上記実施形態においては、ファイルに対するアクセス権限を動的に変更する場合を示したが、これに限定されるものではなく、コンピュータのリソース（光ディスク装置等のドライブやプリンタなどの出力機器）やネットワークのリソース（サーバやプリンタなどの出力機器、スキャナなどの入力機器）に対するアクセス権限を、監視期間中には動的に変更するようにしても良い。

また、上記実施形態においては、ファイルを格納する記憶装置としてディスク装置３を用いる例を示したが、これに限定されるものではなく、ファイルの更新が可能な光ディスク装置や半導体メモリを用いても良い。

システムの全体的な構成を示すブロック図。 ＮＡＳのコントローラで実行されるソフトウェア構成を示すロック図。 ユーザ情報の内容の一例を示す説明図。 監視時間の開始時にデータ保護部で行われるアカウント格付け処理の一例を示すフローチャート。 ポリシー情報２６の一例を示す説明図。 格付け情報の出力の一例を示す説明図。 監視時間中にデータ保護部２３で行われるアカウント格付け情報提供処理の一例を示すフローチャート。 ファイルサーバ部で行われるアクセス要求受付処理の一例を示すフローチャート。 図８のＳ２９で行われるファイルシステムへのアクセス処理を示すフローチャート。 データ保護部２３で行われるデータ保護処理の一例を示すフローチャート。 アクセス要求と、ディスク装置のファイルシステム、テンポラリ格納領域、スナップショット記憶領域のデータの流れと時間の関係を示すタイムチャート。

符号の説明

１ ＮＡＳ
３、４、５ ディスク装置
６ ネットワーク
７ 管理用クライアントコンピュータ
８ クライアントコンピュータ
１０ コントローラ
２２ ファイルサーバ部
２３ データ保護部
２４ スナップショット部

Claims (9)

1. ユーザ毎に予め設定した識別子と認証情報をユーザ情報としてコンピュータに保持し、前記コンピュータがユーザからのアクセス要求を受け付けて、当該アクセス要求に含まれる識別子と認証情報と前記ユーザ情報の識別子と認証情報とを比較して、正当なユーザである場合にコンピュータの記憶装置に格納されたファイルまたはコンピュータに対するアクセス権限を付与する認証方法において、
   前記コンピュータが、前記ユーザからのアクセス要求を受け付けたときに、前記識別子と認証情報を受け付けて、前記ユーザ情報に保持された前記識別子と認証情報が前記受け付けた識別子と認証情報と一致するときに前記ユーザの正当性を判定する手順と、
   前記コンピュータは、前記アクセス要求を受け付けた時刻が予め設定した監視期間であるか否かを判定する手順と、
   前記コンピュータは、前記ユーザの正当性が判定され、かつ、前記アクセス要求を受け付けた時刻が前記監視期間外のときには、前記識別子に対して予め設定された第１のアクセス権限を付与する手順と、
   前記コンピュータは、前記ユーザの正当性が判定され、かつ、前記アクセス要求を受け付けた時刻が前記監視期間内のときには、前記第１のアクセス権限に代わって前記識別子に対して第２のアクセス権限を設定する手順と、
   前記コンピュータは、前記アクセス要求を受け付けた時刻が監視期間を終了したときには、前記第２のアクセス権限を第１のアクセス権限に復帰する手順と、
   を含み、
   前記識別子に対して予め設定された第１のアクセス権限を付与する手順は、
   前記識別子毎に、ファイルに対する参照のみ、ファイルに対する参照及び更新またはファイルに対するアクセスの拒否の何れか一つを第１のアクセス権限として予め設定し、
   前記識別子に対して第２のアクセス権限を設定する手順は、
   前記識別子に対する認証情報の種類としてパスワード、ＩＣカードまたは生体認証を含み、当該認証情報の種類のそれぞれについて予め格付けを行い、前記認証情報の種類に応じて設定された格付けに対応するアクセス権限を第２のアクセス権限として設定することを特徴とする認証方法。
2. 前記第２のアクセス権限は、前記認証情報の種類がパスワードであれば当該第２のアクセス権を参照のみとし、前記認証情報の種類がＩＣカードまたは生体認証であれば当該第２のアクセス権を参照及び更新に設定することを特徴とする請求項１に記載の認証方法。
3. 前記第２のアクセス権限は、前記認証情報の種類が前記パスワードの場合、当該パスワードの更新頻度と所定の基準値を比較し、前記更新頻度が前記基準値未満のときには第１の格付けレベルを設定し、前記更新頻度が前記基準値以上のときには第２の格付けレベルを設定することを特徴とする請求項２に記載の認証方法。
4. 前記第２のアクセス権限は、前記第１の格付けレベルとしてアクセス拒否を設定し、前記第２の格付けレベルとして制限付きのアクセス権限を設定することを特徴とする請求項３に記載の認証方法。
5. ユーザ毎に予め設定した識別子と認証情報をユーザ情報としてコンピュータに保持し、前記コンピュータがユーザからのアクセス要求を受け付けて、当該アクセス要求に含まれる識別子と認証情報と前記ユーザ情報の前記識別子と認証情報を比較して、正当なユーザである場合にコンピュータには格納されたファイルまたはコンピュータに対するアクセス権限を付与するプログラムであって、
   前記ユーザからのアクセス要求を受け付けたときに、前記識別子と認証情報を受け付けて、前記ユーザ情報に保持された前記識別子と認証情報が前記受け付けた識別子と認証情報と一致するときに前記ユーザの正当性を判定する処理と、
   前記アクセス要求を受け付けた時刻が予め設定した監視期間であるか否かを判定する処理と、
   前記ユーザの正当性が判定され、かつ、前記アクセス要求を受け付けた時刻が前記監視期間外のときには、前記識別子に対して予め設定された第１のアクセス権限を付与する処理と、
   前記ユーザの正当性が判定され、かつ、前記アクセス要求を受け付けた時刻が前記監視期間内のときには、前記第１のアクセス権限に代わって前記識別子に対して第２のアクセス権限を設定する処理と、
   前記アクセス要求を受け付けた時刻が監視期間を終了したときには、前記第２のアクセス権限を第１のアクセス権限に復帰する処理と、
   をコンピュータに実行させ、
   前記識別子に対して予め設定された第１のアクセス権限を付与する処理は、
   前記識別子毎に、ファイルに対する参照のみ、ファイルに対する参照及び更新またはファイルに対するアクセスの拒否の何れか一つを第１のアクセス権限として予め設定し、
   前記識別子に対して第２のアクセス権限を設定する処理は、
   前記識別子に対する認証情報の種類としてパスワード、ＩＣカードまたは生体認証を含み、当該認証情報の種類のそれぞれについて予め格付けを行い、前記認証情報の種類に応じて設定された格付けに対応するアクセス権限を第２のアクセス権限として設定することを特徴とする認証プログラム。
6. 前記第２のアクセス権限は、前記認証情報の種類がパスワードであれば当該第２のアクセス権を参照のみ、または参照及び更新とし、前記認証情報の種類がＩＣカードまたは生体認証であれば当該第２のアクセス権を無制限に設定することを特徴とする請求項５に記載の認証プログラム。
7. 前記第２のアクセス権限は、前記認証情報の種類が前記パスワードの場合、当該パスワードの更新頻度と所定の基準値を比較し、前記更新頻度が前記基準値未満のときには第１の格付けレベルを設定し、前記更新頻度が前記基準値以上のときには第２の格付けレベルを設定することを特徴とする請求項６に記載の認証プログラム。
8. 前記第２のアクセス権限は、前記第１の格付けレベルとしてアクセス拒否を設定し、前記第２の格付けレベルとして制限付きのアクセス権限を設定することを特徴とする請求項７に記載の認証プログラム。
9. コンピュータの記憶装置のファイルシステムに格納したファイルに対するユーザからのアクセス要求を受け付け、前記アクセス要求に基づいてファイルの参照または更新を行うデータの保護方法であって、
   前記コンピュータが、前記ユーザ毎に予め設定した識別子と認証情報をユーザ情報として保持し、前記ユーザからのアクセス要求を受け付けたときに、前記識別子と認証情報を受け付けて、前記ユーザ情報に保持された前記識別子と認証情報が前記受け付けた識別子と認証情報と一致するときに前記ユーザの正当性を判定する手順と、
   前記コンピュータは、前記アクセス要求を受け付けた時刻が予め設定した監視期間であるか否かを判定する手順と、
   前記コンピュータは、前記時刻が監視期間となったときには、前記ファイルシステムのスナップショットを取得する手順と、
   前記コンピュータは、前記ユーザの正当性が判定され、かつ、前記アクセス要求を受け付けた時刻が前記監視期間外のときには、前記識別子に対して予め設定された第１のアクセス権限を付与する手順と、
   前記コンピュータは、前記ユーザの正当性が判定され、かつ、前記アクセス要求を受け付けた時刻が前記監視期間内のときには、前記第１のアクセス権限に代わって前記識別子に対して第２のアクセス権限を設定する手順と、
   前記コンピュータは、前記時刻が監視期間の間は、前記第２のアクセス権限のユーザから受け付けた更新要求に応じて、前記ファイルシステムとは異なる領域に設けたテンポラリ格納領域に更新要求のあったファイルを書き込む手順と、
   前記コンピュータは、前記時刻が監視期間の終了となったときには、前記スナップショットでファイルシステムを更新する手順と、
   前記コンピュータは、前記スナップショットでファイルシステムを更新した後に、前記テンポラリ格納領域のファイルをファイルシステムに書き込む手順と、
   前記コンピュータは、前記時刻が監視期間の終了となったときには、前記第２のアクセス権限を前記第１のアクセス権限に復帰する手順と、
   を含み、
   前記識別子に対して予め設定された第１のアクセス権限を付与する手順は、
   前記識別子毎に、ファイルに対する参照のみ、ファイルに対する参照及び更新またはファイルに対するアクセスの拒否の何れか一つを第１のアクセス権限として予め設定し、
   前記識別子に対して第２のアクセス権限を設定する手順は、
   前記識別子に対する認証情報の種類としてパスワード、ＩＣカードまたは生体認証を含み、当該認証情報の種類のそれぞれについて予め格付けを行い、前記認証情報の種類に応じて設定された格付けに対応するアクセス権限を第２のアクセス権限として設定することを特徴とするデータの保護方法。

Images