JP5166517B2 - ネットワーク管理装置 - Google Patents

Description

本発明は、コンピュータネットワーク管理に関する。より具体的には、本発明は、コンピュータネットワーク内の要素をネットワーク技術者のデバイスに接続することを可能にするＵＢＳメモリデバイスを使用して、コンピュータネットワーク内の要素をプロビジョニング及び管理することに関する。

コンピュータネットワークの管理は、多くの組織にとって、ますます複雑で高コストな試みになっている。ネットワークは、多くの場合、広い地理的領域に広がった何百ものひいては何千ものネットワーク要素及びネットワークデバイスからなる。これは、結果として、企業環境におけるネットワーク要素の総所有コストを大幅に増大させている。最初、ネットワークは、規則的に尚且つ管理が容易な形で組織され、例えばデバイスは、論理アドレスを割り振られ、理解できる形で分類される。しかしながら、時間とともに、要素が例えばルータ内の異なるポートに移動したり、或いはネットワーク要素の設定のために最初に明確に定義されたソフトウェアがもはや適用可能又は効果的でなくなったりすることがある。

これらの問題の多くは、ネットワーク要素が容易に識別可能でなく、ネットワーク要素に接続しようとするネットワーク技術者がその機器を識別可能でなければならないという事実に由来する。機器を識別することの問題は、アドレスに１６オクテットを使用し、技術者に長いＩＰアドレスの記憶又は把握を要求するＩＰｖ６の登場とともに拡大している。

説明のため、ネットワークが何千ものスイッチを有すると仮定する。各スイッチは、個別設定を必要とするのが通常であり、これは、技術者のラップトップ型コンピュータからスイッチへケーブルを引くことを伴うと考えられ、これは、更に、ボックスを物理的に移動させ、その間に技術者がスイッチのＩＰアドレス及びその他の要素関連データなどのデータを打ち込み、次いで、ボックスを多くは過密ネットワーク要素クローゼット内であるその場所に戻すことを伴うと考えられる。要素に物理的に接続することの必要性は、ネットワーク要素への接続に必要とされるＲＳ２３２などの所要のインターフェースを欠くことが多いハンドヘルドデバイスの効果的な使用も妨げてきた。

したがって、ネットワーク要素を管理している間に生じる複雑性及び非効率性を低減させ、要素とやり取りするために技術者が費やす時間を短縮することによって、ネットワークを維持する総コストを引き下げることが望ましいと考えられる。また、ポータブルデバイスによって、ネットワークデバイスの管理及びプロビジョニングを促進することも望ましいと考えられる。

本発明の一態様は、一実施形態では２つのＵＳＢストレージデバイス即ち「キー」で構成されるネットワーク管理装置である。ＵＳＢキーの１つは、ルート証明機関データ及び様々なＩＰアドレスを含むネットワークに関連する公開キーデータなどの、特定のプロビジョニングデータを含有している。プロビジョニングデータは、ネットワーク上のネットワーク管理者コンピュータ又はその他の適切なデバイスからプロビジョニング用のＵＳＢキーにアップロードされる。このキーは、公開キーデータ及び証明機関データなどを供給してネットワーク要素（ＵＳＢポートを有する通信ネットワーク上の任意のタイプのデバイス）の準備を整えるために、そのネットワーク要素に挿入される。第１のＵＳＢキーを使用してネットワークデバイスがプロビジョニングされると、管理フェーズを開始することができる。このフェーズでは、ネットワーク要素に第２の管理用ＵＳＢキーが挿入される。ネットワーク要素は、プロビジョニング用キーからのセキュリティデータを使用して、管理用ＵＳＢキーと該キーに含まれるいずれも署名を有するデータとを認証及び検証することができる。例えば、公開キーデータは、署名のチェック及びデータの復号に使用することができる。これは、ネットワーク要素が第２のＵＳＢキー上のデータを信頼できることを保証するためになされ、これは、このデータがネットワーク要素の管理プロセスを開始させるために使用されるゆえに、重要である。

管理用ＵＳＢキー上のデータカテゴリの１つは、コールバックデータである。このデータは、ネットワーク要素が、ハンドヘルドデバイス、ラップトップ型コンピュータ、タブレット型コンピュータ、又はデスクトップ型ネットワークワークステーションなどのネットワーク管理者デバイス（「管理者デバイス」と総称される）との接続を開始するために使用することができる。コールバックデータは、管理者デバイスのＩＰアドレス、それらのデイバスのためのダイヤルインデータ、ボイスオーバＩＰ（ＶｏＩＰ）データ、インスタントメッセージ（ＩＭ）データ、ｅ−ｍａｉｌアドレスなどを含んでよい。管理者デバイスとの接続を確立するために、ネットワーク要素によって、最も適切なコールバックデータが使用される。接続がなされたら、ネットワーク管理者は、そのネットワーク要素の管理を開始することができる。接続は、（例えばラップトップ型コンピュータ又はＰＤＡとの）無線接続であってもよいし、又は広域ネットワークの場合は異なる地理的位置にあることがあるデスクトップ型ワークステーションコンピュータへのネットワークを通じた有線接続であってもよい。このようにすれば、ネットワーク管理者は、ネットワーク要素に接続する際に、時間及び努力を費やす必要がない。ネットワーク要素に適した「コンタクト情報」を見つける必要性は、時間がかかる煩わしい作業であることが多く、これは、ネットワークが大規模に成長し、時間とともにネットワーク要素が再設定された場合などに、特にあてはまる。ネットワーク要素に管理者デバイスとの接続を自動的に行わせることによって、管理者は、反対方向への接続をなすために必要とされる必須のステップではなく、要素の実際の管理に集中することができる。
本発明は、以下の形態で実現可能である。
[形態１］
ネットワーク管理装置であって、
ネットワークに関連する公開キーデータを有する第１のストレージデバイスであって、前記データは、ルート証明機関データ及び複数のＩＰアドレスを含む、第１のストレージデバイスと、
ネットワークデータ及び命令スクリプトを有する第２のストレージデバイスであって、前記命令スクリプトは、前記第２のストレージデバイスがネットワーク要素に挿入されたときに前記ネットワーク要素の特定の動作を導き、前記第２のストレージデバイス上の前記ネットワークデータ及び前記命令スクリプトは、前記第１のストレージデバイスに格納された前記公開キーデータを使用して署名される、第２のストレージデバイスと、
を備えるネットワーク管理装置。
[形態２］
形態１に記載のネットワーク管理装置であって、
前記第１のストレージデバイスは、更に、ネットワーク属性データを有する、ネットワーク管理装置。
[形態３］
形態１及び２に記載のネットワーク管理装置であって、
前記第１のストレージデバイスは、更に、セキュリティ証明書データを有する、ネットワーク管理装置。
[形態４］
形態１、２、及び３に記載のネットワーク管理装置であって、
前記第１のストレージデバイスは、更に、ＤＮＳサーバ名及びアドレスを有する、ネットワーク管理装置。
[形態５］
形態１、２、３、及び４に記載のネットワーク管理装置であって、
前記第１のストレージデバイスは、更に、ゲートウェイデータを有する、ネットワーク管理装置。
[形態６］
形態１、２、３、４、及び５に記載のネットワーク管理装置であって、
前記第２のストレージデバイスは、更に、コールバックデータを有する、ネットワーク管理装置。
[形態７］
形態６に記載のネットワーク管理装置であって、
前記コールバックデータは、ネットワーク管理コンピュータデバイスと前記ネットワーク要素との間のＩＰ接続を可能にするために、前記コンピュータデバイスのＩＰアドレスを含む、ネットワーク管理装置。
[形態８］
形態６に記載のネットワーク管理装置であって、
前記コールバックデータは、前記ネットワーク要素から前記管理コンピュータデバイスへのボイスオーバＩＰコールを可能にするために、ヴォイスオーバＩＰデータを含む、ネットワーク管理装置。
[形態９］
形態１、２、３、４、５、及び６に記載のネットワーク管理装置であって、
前記第２のストレージデバイスは、更に、要素製造データ、要素タイプ、及びモデルデータを含むネットワーク要素データを有する、ネットワーク管理装置。
[形態１０］
形態９に記載のネットワーク管理装置であって、
前記第２のストレージデバイスは、更に、ネットワーク要素ＩＰアドレス及びプロトコルを有する、ネットワーク管理装置。
[形態１１］
形態９及び１０に記載のネットワーク管理装置であって、
前記第２のストレージデバイスは、更に、シャットダウンデータを有する、ネットワーク管理装置。
[形態１２］
形態１、２、３、４、５、６、及び９に記載のネットワーク管理装置であって、
前記第１及び第２のストレージデバイスは、ＵＳＢキーである、ネットワーク管理装置。
[形態１３］
形態１、２、３、４、５、６、９、及び１２に記載のネットワーク管理装置であって、
前記第１及び第２のストレージデバイスは、Ｕ３キーである、ネットワーク管理装置。
[形態１４］
ネットワークを管理する方法であって、
ネットワークに関連する公開キー情報を第１のポータブルストレージデバイスに格納することと、
ネットワークデータ及びスクリプトを第２のポータブルストレージデバイスに格納することと、
前記第１のストレージデバイスを使用して、ネットワーク要素をプロビジョニングすることと、
前記第２のストレージデバイス及び管理要素を使用して、前記ネットワーク要素を管理することであって、前記ネットワーク要素は、前記管理要素との接続を開始及び確立する、ことと、
前記第２のストレージデバイスの使用を止めることによって、前記管理要素との接続を切断することと、
を備える方法。
[形態１５］
形態１４に記載の方法であって、
公開キー情報を格納することは、ルート証明機関データ、ＩＰアドレス、ゲートウェイデータ、及びネットワークアクセス情報の１つ又は２つ以上を格納することを含む、方法。
[形態１６］
形態１４及び１５に記載の方法であって、更に、
前記公開キー情報をネットワーク管理ワークステーションから取り出すことを備える方法。
[形態１７］
形態１４、１５、及び１６に記載の方法であって、
ネットワークデータ及びスクリプトを格納することは、更に、前記第２のストレージデバイスにコールバックデータを格納することを含み、前記コールバックデータは、ネットワーク管理デバイスＩＰアドレス、ヴォイスオーバＩＰデータ、インスタントメッセージデータ、及びダイヤルインデータを含む、方法。
[形態１８］
形態１４、１５、１６、及び１７に記載の方法であって、更に、
前記第２のポータブルストレージデバイスに格納された前記データにデジタル署名を適用することを備える方法。
[形態１９］
形態１４、１５、１６、１７、及び１８に記載の方法であって、
ネットワーク要素をプロビジョニングすることは、更に、前記第１のポータブルストレージデバイス上のデータを前記ネットワーク要素で読み出し、前記データを前記ネットワーク要素上で実行することを含み、前記ネットワーク要素は、前記第２のストレージデバイスに格納されたデータを安全に受け入れるように構成される、方法。
[形態２０］
形態１４、１５、１６、１７、１８、及び１９に記載の方法であって、
ネットワーク要素をプロビジョニングすることは、更に、前記ネットワークに関連する公開キー情報を前記ネットワーク要素に提供することを含む、方法。
[形態２１］
形態１４、１５、１６、１７、１８、１９、及び２０に記載の方法であって、
前記第２のストレージデバイスを使用して前記ネットワーク要素を管理することは、更に、前記ネットワーク要素にコールバック情報を提供し、前記要素を前記管理要素に接続可能にすることを含む、方法。
[形態２２］
形態１４、１５、１６、１７、１８、１９、２０、及び２１に記載の方法であって、更に、
前記第２のストレージデバイス上の前記ネットワークデータ及びスクリプトが前記ネットワーク要素によって実行される又は読み出される前に、前記データ及びスクリプトの署名を検証することを備える方法。
[形態２３］
形態１４、１５、１６、１７、１８、１９、２０、２１、及び２２に記載の方法であって、
接続を切断することは、更に、前記ネットワーク要素から前記第２のストレージデバイスを取り除くことを含む、方法。
[形態２４］
形態１４、１５、１６、１７、１８、１９、２０、２１、２２、及び２３に記載の方法であって、
前記第１及び第２のストレージデバイスは、ＵＳＢキーである、方法。
[形態２５］
ネットワーク内の要素を管理する方法であって、
ネットワーク要素に対して技術者デバイスを認証するために、前記ネットワーク要素に第１のＵＳＢキーを挿入することと、
前記第１のＵＳＢキーを使用して、前記要素と前記デバイスとの間に接続を確立することであって、前記ネットワーク要素は、前記デバイスとの前記接続を開始する、ことと、
前記ネットワーク要素に第２のＵＳＢキーを挿入することと、
前記ネットワーク要素を管理する目的で、ネットワーク要素データを取り出すことと、
前記第２のＵＳＢキーを使用して、前記ネットワーク要素を管理することと、
を備える方法。

説明の一部を構成するとともに本発明の具体的な実施形態を例示した添付の図面が参照される。

考えられる本発明の２つの構成を示した簡略ネットワーク図である。

本発明の一実施形態にしたがった、ネットワーク要素と技術者デバイスとの間にセキュア接続を確立するためにＵＳＢキーを使用する代表的プロセスの流れ図である。

本発明の一実施形態にしたがった、ネットワーク要素を管理するためにＵＳＢキーに格納されたデータを示したブロック図である。

本発明の一実施形態にしたがった、ネットワーク要素によって用いることができる技術者デバイス「コールバック」データを示したデータ構成図である。

本発明の一実施形態にしたがった、ネットワーク内の要素をプロビジョニング及び管理するためにＵＳＢキーに格納された様々なタイプのデータを示したブロック図である。

本発明の一実施形態にしたがった、ＵＳＢキーをプロビジョニングするため及びＵＳＢキーを使用して技術者デバイスとネットワーク要素との間に接続を確立するためのプロセスの流れ図である。

本発明の一実施形態にしたがった、セキュリティクレデンシャルが用意された後にＵＳＢキーを使用してネットワーク要素を管理するプロセスの流れ図である。

本発明にしたがって、ネットワーク要素の管理及びプロビジョニングのための新規のプロセスとシステムとを用いるネットワークの実施形態が説明される。これらの実施例及び実施形態は、単純に、背景説明を加えるため及び本発明の理解を助けるために提供される。したがって、当業者ならば、本発明が、本明細書で説明される具体的詳細の一部又は全部の詳細を特定しなくても実施可能であることが明らかである。また、本発明を不必要に不明瞭にすることを避けるために、周知の概念、ネットワーク要素、及び技術は詳細に説明されていない。その他の応用及び実施例も可能であり、以下の実施例、例示、及び背景説明は、範囲又は設定のいずれに対しても限定的即ち制限的であると見なされないことが望ましい。これらの実施形態は、当業者が本発明を実施することができるように、十分に詳細に説明されているが、これらの実施例、例示、及び背景説明は、制限的ではなく、本発明の趣旨及び範囲から逸脱することなしに、その他の実施形態を使用すること及び変更を加えることが可能である

メモリ「スティック」とも称されるＵＳＢメモリキー又は類似のデバイスを使用してコンピュータネットワーク内の要素をアクティブに管理及びプロビジョニングするための方法及びシステムが、各種の図面で説明される。ネットワーク要素とネットワーク技術者のコンピュータデバイスとの間の接続を促進するために、ＵＳＢキー又はその他の類似のデバイスが使用される。このようにして、技術者とデバイスとのやり取りが軽減される。説明される実施形態の例示には、ＵＳＢキーが使用されるが、他の実施形態では、ＥＥＰＲＯＭ、Ｕ３キー、又はネットワーク要素に対して容易に挿入及び取り外しが可能なネットワークカードなどの、その他の任意の適切なポータブルメモリデバイスが使用されてよい。

図１Ａは、考えられる本発明の２つの構成を示した簡略ネットワーク図である。ネットワーク要素１０２が、ネットワーク接続１０６を通じてワークステーションコンピュータ１０４に接続される。これらの要素は、図示されていない、より大きなネットワークの一部である。本発明の一部として説明されるプロセス及びデバイスは、管理及びプロビジョニングを必要とするネットワーク要素からなる任意のタイプのデータ通信ネットワークに使用することができる。このようなネットワークは、ホームネットワークのように比較的小さくてもよいし、又は多くの地理的領域に跨る非常に広域のネットワークであってもよい。ネットワーク要素１０２は、位置Ｂのワークステーション１０４の物理的所在と異なる位置Ａの物理的所在を有してよい。明瞭さを期するために、以下の説明では、人物１１２などの「技術者」は、ネットワークの管理者若しくはオペレータとして、又は事業体若しくは組織のデータ通信ネットワーク内の要素の管理及びプロビジョニングを担う組織内の任意の人物として定義される。本明細書で使用される「技術者デバイス」は、通常はデスクトップコンピュータであるワークステーション１０４などのネットワークワークステーションコンピュータであるか、又はネットワーク内の要素を管理及びプロビジョニングするために技術者によって様々な位置で持ち運び及び使用することが可能な、ハンドヘルドＰＤＡ、ラップトップ型即ちノート型コンピュータ、タブレット型コンピュータ、ハンドセットデバイスなどの、ＩＰに即応しえる即ちＩＰ対応のポータブルコンピュータデバイス１１０であってよい。これらの技術者デバイス、とりわけネットワークワークステーションコンピュータは、特別なネットワーク権限を有し、ネットワークデータ及び関連の管理データを安全に格納する。以下の説明で使用されるように、そして明瞭さを期するために、ネットワークは、エンドユーザコンピュータ、プリンタ、様々なタイプのサーバ、スイッチ、ゲートウェイ、ルータ、ストレージネットワーク要素、ネットワークキャッシュ、ファイアウォール、「多目的」ボックス（２つ又は３つ以上のネットワーク要素を内包する）などの、数々のタイプの「要素」からなる。これらの要素は、ネットワーククローゼット又は要素ラックなどの、アクセスが困難な場所にあることが多い。このようなネットワーク要素は、当該分野で周知であり、多岐に渡る様々なその他の要素を含んでよい。広義では、技術者デバイスそのものもネットワーク内の要素であり、本発明の方法及びデバイスを使用して管理及びプロビジョニングすることが可能である。更に、本発明は、多岐に渡る様々なデータ通信ネットワーク、接続形態、及び手法で使用することができる。

図１Ａには、ネットワーク要素１０２に挿入可能なＵＳＢキー１０８も示されている。多くのネットワーク要素は、ＵＳＢポート、又はその他のタイプのポータブルメモリデバイスに対して機能することができるその他のタイプのポートを有する。ひとたび挿入され、セキュリティ・クレデンシャルが確立されると、要素１０２は、図示されるように無線接続を通じて、技術者１１２によって操作されるモバイル技術者デバイスと、又は有線接続を通じてワークステーション１０４と、通信することができる。再度特筆すべきは、図１Ａが概略図であること、本発明の利点が例えば管理を必要とする何百もの又は何千もの要素を有しえるネットワーク内ではっきり見いだせること、そしてネットワーク要素１０２が数々のその他の要素とともにネットワーククローゼット内のラック内にあってよいことである。別の実施例では、要素１０２は、ワークステーション１０４とは異なる地理学的位置にあってよい。

図１Ｂは、本発明の一実施形態にしたがった、ネットワーク要素と技術者デバイスとの間にセキュア接続を確立するためにＵＳＢキーを使用する代表的プロセスの流れ図である。ステップ１０２では、ワークステーション１０４などのネットワークワークステーションからＵＳＢキーにデータがダウンロードされる。データは、ラップトップ型コンピュータなどのポータブル技術者デバイス１１０からダウンロードされてもよい。ダウンロードされるデータは、以下で、より詳細に説明され、セキュリティ・クレデンシャルデータ及びネットワーク要素属性データを含む。ステップ１０４では、ネットワーク要素にＵＳＢキーが挿入される。要素がＵＳＢをサポートしていない場合は、Ｆｉｒｅｗｉｒｅ（ＩＥＥＥ１３９４）デバイス及びＵ３キーなどの、その他のタイプのポータブルストレージデバイスが使用されてよい。ステップ１０６では、ネットワーク要素とネットワークワークステーション又はモバイル技術者デバイスとの間にセキュア接続が確立される。このセキュア接続を形成するプロセスの１つが、図５で説明される。ステップ１０８では、ネットワーク技術者は、ネットワーク要素の管理を開始する。

説明される実施形態では、ネットワーク内の一部又は全部の要素をアクティブに管理するために、ＵＳＢキーが使用される。図２は、本発明の一実施形態にしたがった、ネットワーク要素を管理するためにＵＳＢキーに格納されたデータを示したブロック図である。メモリ領域２００には、数々のタイプのデータが格納されてよい。説明される実施形態では、データは、個々のネットワーク要素に基づいて組織化される。各要素について、例えばＮｏｒｔｅｌ、Ｃｉｓｃｏなどのメーカ名又はプロバイダ名が格納される。上述されたようなネットワーク要素タイプ２０４（サーバ、ルータ、スイッチ、ネットワークキャッシュなど）も保存される。モデル情報２０６（例えばＣｉｓｃｏルータの場合は７２００ＶＸＲ）、シリアル番号又は一般的なデフォルトシリアル番号２０８、及び要素ネットワークＩＰアドレス２１０などの、要素に関連するその他の様々なデータも格納される。これらのデータ項目は、特定のネットワーク要素を識別する。含ませられるその他のデータには、要素を動作させる様々な又は１つのプロトコルを記述する要素プロトコルデータ２１２がある。別の実施形態では、ネットワーク要素と技術者デバイスとの間の接続を無効にする又はシャットダウンするための接続シャットダウンデータ２１４もある。説明される実施形態では、各ネットワーク要素は、署名２１６を有する。メモリ領域２００内のデータセットは、ネットワーク内の、又はＵＳＢキーによってプロビジョニング及び管理することができる要素に対応した要素サブセット内の、各ネットワーク要素に対して提供される。例えば、ＵＳＢキーは、特定の位置にあるネットワーク要素のみを管理可能であってよく、したがって、ネットワーク内のそれらの要素のためのデータセット２００のみを有する。もちろん、データの順序は可変であり、図２に説明された又は図示されたデータの順序にしたがう必要はない。図４で説明されるように、更なるデータが含まれてもよい。その他の実施形態では、本発明の方法及びシステムの使用を妨げることなしに、図２に示されたよりも少ないデータが格納されてよい。

説明される実施形態では、ネットワーク技術者は、ネットワーク要素１０２がネットワークワークステーション１０４又はＩＰ対応のポータブル技術者デバイス１１０とコンタクトを取るのに十分なデータをネットワーク要素１０２にダウンロードする又は移行させるために、ＵＳＢキー１０８を使用する。技術者がネットワーク要素に接続しなければならないのではなく、ネットワーク要素が技術者デバイスへの接続を開始する。これは、ネットワークの管理を、より柔軟に尚且つ容易にすることができる。鍵となる要因の１つは、このようにすれば、（任意の管理又はプロビジョニングの作業を始める前に）単純に接続を確立するための技術者と要素とのやり取りが軽減されることにある。例えば、技術者は、要素に接続するために、その要素のＩＰアドレス又はその他の要素特有データを参照したり、記憶したり、その他の技術者を呼び出したりして最終的に入力する必要がない。

ネットワーク内の全ての要素は、物理的所在を有する。例えば、要素は、特定の地理的位置を有し、１つの既知の位置に物理的に位置している。しかしながら、各要素は、「ネットワーク」所在も有し、これは、物理的位置に縛られない即ち制限されないという意味で仮想位置と称してよく、ネットワーク接続形態内のどこであってもよい。説明される実施形態では、要素が技術者デバイスとの接続を確立することによって、ネットワーク要素の物理的所在は、ある視点から見ると、ネットワーク所在に変換される。

説明される実施形態において、図２に説明されたデータに加えてＵＳＢキー上にある別のデータカテゴリは、技術者デバイスがワークステーションであれモバイルデバイスであれその技術者デバイスとのセキュア接続を確立するためにネットワーク要素によって使用されるデータである。図３は、本発明の一実施形態にしたがった、ネットワーク要素によって用いることができる技術者デバイス「コールバック」データを示したデータ構成図である。図３に示された実施例では、技術者デバイスのグループを構成する２つのネットワークワークステーションと２つのモバイルデバイスとがある。その他の実施例では、技術者デバイスは、これよりも多くても又は少なくてもよく（例えばＶＷＡＮは、何十ものポータブル技術者デバイスを有してよく）、各デバイスは、そのネットワークワークステーション又はモバイルデバイスのための、ＩＰアドレス及びｅ−ｍａｉｌアドレス３０４とダイヤルインデータ及び電話番号３０６とを含む、図示されたデータ３０２の一部又は全部を有する。その他の実施形態では、デバイスに対してヴォイスオーバＩＰ（ＶｏＩＰ）コールを行うためのデータ３１０及びインスタントメッセージ（ＩＭ）データ３１２を含む、ネットワーク要素が技術者デバイスに接続するために必要とすると考えられるデータのような、その他のタイプの接続許可データ即ちコールバックデータが含まれてよい。その他の実施例は、セキュアＷｅｂセッション即ちコマンドシェルセッションの確立に関する情報を含む。技術者は、例えば、もし使用可能であればネットワーク要素上のユーザインターフェース、そしてコールバックの方法を使用して、そのネットワーク要素をどのワークステーション又はモバイルデバイスに接続することが望ましいかを選択することができる。別の実施形態では、予め選択された特定の技術者デバイス及びコールバックプロセスがデフォルトである。別の実施形態では、ＵＳＢキーは、１つのワークステーション又は１つのモバイルデバイスのコールバック情報のみを格納されてよく、これを、自動的に使用される。これは、ネットワーク内におけるＵＳＢキーの使用を（例えば地理的境界に基づいて）制限したい場合に好都合である。一実施形態では、技術者は、ネットワーク要素がどのワークステーション又はモバイルデバイスに接続することが望ましいかの選択肢を有してよい。

説明される実施形態では、図３に示されたような、ＵＳＢキーに格納された証明書／認証データ３０８を使用して、ネットワーク要素と技術者デバイスとの間で自動的な証明及び認証がなされる。別の実施形態では、ＵＳＢキーが要素に挿入され、要素がそのＵＳＢキー（即ち新しいハードウェアデバイス）の存在を検出すると、ネットワーク要素に対する自動的なログオンがなされる。ネットワーク要素のセキュリティのため、その要素は、ＵＳＢキー上のデータを読み取る前又はＵＳＢキー上のデータによって任意の動作を実施する前に、キー上のデータ３０８を用いて適切な暗号化スキームによってキーを認証する。ＵＳＢキーが初めて使用される場合は、ネットワーク要素とキーとの間でデータの交換がなされる前に、より高いレベルのセキュリティが必要とされると考えられる。認証に際して、ＵＳＢキーから要素のローカルストレージへデータが移行される。

説明される実施形態では、要素に対してトラブルシューティング、状態チェック、又はその他の診断を実施するために、管理用のキーより前に、別のセキュリティ・クレデンシャルＵＳＢキーがネットワーク要素に挿入される。ネットワーク要素は、セキュリティＵＳＢキー上の証明書に署名するために使用された秘密キーに対応する公開キーを有する。一実施形態では、要素は、例えば、特定の形で署名された情報が信頼できることを伝える信頼リストも与えられている。各種の実施形態では、ＲＳＡ又はＤＳＳの暗号化スキームを使用することができる。

ネットワークデバイスからＵＳＢキーが取り外されると、技術者は、ネットワーク要素からログオフする。これは、ネットワーク要素から任意のＵＳＢキーを取り外す際に使用されたのと同じ方式で扱うことができる。

説明される実施形態では、ＵＳＢメモリデバイスは、安全な方式でプロビジョニング及び設定され、図２及び図３で説明されたような数々のデータカテゴリを含有している。図４は、本発明の一実施形態にしたがった、ネットワーク内の要素をプロビジョニング及び管理するためにＵＳＢキーに格納された様々なタイプのデータを示したブロック図である。データは、ネットワーク要素及び技術者デバイスのＩＰアドレス４０４、ＤＮＳサーバ名及びアドレス４０６、メールサーバデータ４０８、ゲートウェイデータ４１０、ルート証明書情報４１２、及び要素ＩＤなどの要素依存情報４０８などの、ネットワーク属性４０２を含む。データは、また、ＤＨＣＰサーバからなどのように、更なるプロビジョニング情報を得るためのソース４１６も含有してよい。その他のデータカテゴリは、後述される、ネットワークアクセス情報４１８、ファームウェア情報４２０、セキュリティ証明書／クレデンシャル４２２、及びスクリプト４２４を含む。セキュリティ・クレデンシャル４２２は、信頼リストを提供するルート証明書を含んでよく、この信頼リストは、基本的に、ＵＳＢキーが信頼することができる証明機関のリストである。ルート証明書は、公開キーも提供することができる。当該分野で知られるように、とある事業体は、その事業体内で使用するためのルート証明書を発行することによって、それ自身が証明機関であることが可能である。例えば、多国籍企業などの大規模な事業体は、セキュリティ上の様々な役割で使用されるルート証明書（例えばＩＤバッジ）を既に有していてよく、そのルート証明書は、本発明のＵＳＢキー・プロビジョニングシステムを実装するために使用することができる。また、バックアップルート証明書があってもよい。一実施形態では、情報を暗号化するために、共有秘密キー（ビットストリームの形態をとるのが通常である）が使用される。共有秘密キーは、ルート証明書の機能に類似しているが、ルート証明書の全てのリソースを有するのではないのが通常である。

図５は、本発明の一実施形態にしたがった、ＵＳＢキーをプロビジョニングするため及びＵＳＢキーを使用して技術者デバイスとネットワーク要素との間に接続を確立するためのプロセスの流れ図である。図示されるとともに本明細書で説明される方法のステップは、示された順序で実施される必要はない（うえに、一部の実装形態では実施されない）。この方法の一部の実装形態は、説明されたものよりも多い又は少ないステップを含んでもよい。ステップ５０２では、ネットワークワークステーション又はその他のソースからセキュリティＵＳＢキーに、ネットワークセキュリティ属性が格納される。ステップ５０４では、セキュリティＵＳＢキーは、技術者が管理及びトラブルシューティングなどを望むネットワーク要素に挿入される。ＵＳＢキー上のデータへのアクセスが安全であることが保証される（キーの認証及び検証がなされる）と、ステップ５０６において、ネットワーク要素は、ＵＳＢキー上のセキュリティ・クレデンシャルデータにアクセスし、そのデータをネットワーク要素のローカルストレージに格納する。例えば、セキュリティ・クレデンシャルは、証明書からなってよく、説明される実施形態では、最初に暗号化されている又はハッシュ値にされている。ステップ５０８では、ネットワーク要素は、例えば公開キーを使用してセキュリティ保証書を復号する。

図６は、本発明の一実施形態にしたがった、セキュリティ・クレデンシャルが用意された後にＵＳＢキーを使用してネットワーク要素を管理するプロセスの流れ図である。ステップ６０２では、ネットワーク要素は、そのＵＳＢポートの１つにＵＳＢキーが挿入されたことを検出する。一実施形態では、ステップ６０４において、ネットワーク要素は、図３で説明されたコールバックデータをＵＳＢキーからダウンロードする。ステップ６０６では、ネットワーク要素は、コールバックデータ３０４，３０６を使用して技術者デバイスに接続する。上述されたように、これは、デバイスのＩＰアドレス、ｅ−ｍａｉｌアドレス、又は幾つかの既知の技術の任意の１つを使用してなされてよい。ステップ６０８では、技術者デバイスは、図２で説明されたようなネットワーク要素関連データをそのストレージ領域から取り出す。ステップ６１０では、技術者は、ネットワーク要素の管理に進むことができる。

本発明の別の実施形態では、ネットワーク要素を識別するため及びネットワーク要素をプロビジョニングするために、ＵＳＢキーに格納されたスクリプトプログラムが使用されてよい。このようなスクリプトは、ネットワーク環境の差に応じて様々なフォーマットにエンコードされる。別の実施形態では、外部検証及び外部認証のために、認証サーバが使用される。この実施形態では、認証が外部から管理される。

本明細書では、本発明の実施形態及び応用が図示及び説明されているが、本発明の概念、範囲、及び趣旨の範囲内で多くの変更及び修正が可能であり、当業者にならば、本応用の熟読後にこれらの変更が明らかになるであろう。したがって、説明された実施形態は、例示的で尚且つ非限定的であると見なされ、本発明は、本明細書に記載された詳細に制限されず、添付の特許請求の範囲及びそれらの等価の範囲内で変更可能である。

Claims (12)

1. ネットワーク管理装置であって、
   ネットワークに関連する公開キーデータを有する第１のストレージデバイスであって、前記公開キーデータは、ネットワーク管理用コンピュータからアップロードされたルート証明機関データ及び複数のＩＰアドレスを含み、前記第１のストレージデバイスがネットワーク要素に挿入されたときに、前記公開キーデータを用いて前記ネットワーク要素にプロビジョニングさせる、第１のストレージデバイスと、
   ネットワークデータ及び命令スクリプトを有する第２のストレージデバイスであって、前記命令スクリプトは、前記第２のストレージデバイスがネットワーク要素に挿入されたときに前記ネットワーク要素の特定の動作を導き、前記公開キーデータを、前記第２のストレージデバイス上の前記ネットワークデータ及び前記命令スクリプトの署名のチェック及びデータの復号に用いる、第２のストレージデバイスと、
   を備え、
   前記第２のストレージデバイスは、更に、コールバックデータを有する、ネットワーク管理装置。
2. 請求項１に記載のネットワーク管理装置であって、
   前記コールバックデータは、ネットワーク管理コンピュータデバイスと前記ネットワーク要素との間のＩＰ接続を可能にするために、前記ネットワーク管理コンピュータデバイスのＩＰアドレスを含む、ネットワーク管理装置。
3. 請求項１に記載のネットワーク管理装置であって、
   前記コールバックデータは、前記ネットワーク要素から前記ネットワーク管理コンピュータデバイスへのボイスオーバＩＰコールを可能にするために、ボイスオーバＩＰデータを含む、ネットワーク管理装置。
4. 請求項１から３までのいずれか一項に記載のネットワーク管理装置であって、
   前記第２のストレージデバイスは、更に、要素製造データ、要素タイプ、及びモデルデータを含むネットワーク要素データを有する、ネットワーク管理装置。
5. 請求項４に記載のネットワーク管理装置であって、
   前記第２のストレージデバイスは、更に、ネットワーク要素ＩＰアドレス及びプロトコルを有する、ネットワーク管理装置。
6. 請求項４又は５に記載のネットワーク管理装置であって、
   前記第２のストレージデバイスは、更に、シャットダウンデータを有する、ネットワーク管理装置。
7. 請求項１から６までのいずれか一項に記載のネットワーク管理装置であって、
   前記第１及び第２のストレージデバイスは、ＵＳＢキーである、ネットワーク管理装置。
8. 請求項１から７までのいずれか一項に記載のネットワーク管理装置であって、
   前記第１及び第２のストレージデバイスは、Ｕ３キーである、ネットワーク管理装置。
9. 請求項１から８までのいずれか一項に記載のネットワーク管理装置であって、
   前記第１のストレージデバイスは、更に、ネットワーク属性データを有する、ネットワーク管理装置。
10. 請求項１から９までのいずれか一項に記載のネットワーク管理装置であって、
    前記第１のストレージデバイスは、更に、セキュリティ証明書データを有する、ネットワーク管理装置。
11. 請求項１から１０までのいずれか一項に記載のネットワーク管理装置であって、
    前記第１のストレージデバイスは、更に、ＤＮＳサーバ名及びアドレスを有する、ネットワーク管理装置。
12. 請求項１から１１までのいずれか一項に記載のネットワーク管理装置であって、
    前記第１のストレージデバイスは、更に、ゲートウェイデータを有する、ネットワーク管理装置。

Images