JP5330104B2 - ストレージ装置及び認証方法 - Google Patents

Description

本発明は、ストレージ装置及び認証方法に係り、特に暗号化機能を備えたストレージ装置及び認証方法に関する。

図１は、従来のストレージ装置の一例を説明するブロック図である。図１に示すストレージ装置１は、例えば磁気テープカートリッジ５００を用いるライブラリ装置で形成されており、制御ＬＡＮ（Local Area Network）２を介して暗号鍵管理サーバ３に接続されている。ストレージ装置１は、ドライブ制御部１１及びライブラリ制御部１２を有する。複数の業務サーバ４−１，４−２（２台のみ図示）は、業務ＬＡＮ５を介して暗号鍵管理サーバ３に接続されると共に、ファイバチャネルスイッチ（ＦＣＳ：Fibre Channel Switch）６を介してストレージ装置１に接続されている。業務サーバ４−１上で実行可能なアプリケーション４１−１は、前処理部４２とバックアップソフトウェア４３を有する。業務サーバ４−２上で実行可能なアプリケーション４１−２は、業務サーバ４−１のアプリケーション４１−１と同様に前処理部（図示せず）及びバックソフトウェア（図示せず）を有しても良い。

ストレージ装置１は暗号化機能を備えており、各業務サーバ４−１，４−２は、ストレージ装置１の暗号化機能を用いてデータアクセスを行うことができる。つまり、各業務サーバ４−１，４−２は、ストレージ装置１内の磁気テープカートリッジ５００に書き込むデータを暗号鍵に基づいて暗号化してから書き込むデータライトアクセスと、磁気テープカートリッジ５００から読み出したデータを暗号鍵に基づいて復号化するデータリードアクセスを行うことができる。暗号鍵管理サーバ３は、ストレージ装置１内の暗号化処理又は復号化処理で用いる暗号鍵を管理する。

一例として、業務サーバ４−１がストレージ装置１の暗号化機能を用いてデータアクセスを行う場合について説明する。ステップＳＴ１では、アプリケーション４１−１の前処理部４２が暗号鍵管理サーバ３に暗号鍵配信要求を行う。ステップＳＴ２では、暗号鍵管理サーバ３がアプリケーション４１−１からの要求を認証し、認証が成功すると暗号鍵をストレージ装置１のドライブ制御部１１に配信する。ステップＳＴ３では、アプリケーション４１−１のバックアップソフトウェア４３がストレージ装置１のライブラリ制御部１２に対してロード要求を行い、ステップＳＴ４では、バックアップソフトウェア４３がストレージ装置１のドライブ制御部１１に対してデータパスのリザーブ要求を行う。

ストレージ装置１のライブラリ制御部１２は、ロード要求に応答して要求された磁気テープカートリッジ５００をラック（図示せず）から取り出してドライブ部（図示せず）にロードする。又、ストレージ装置１のドライブ制御部１１は、リザーブ要求に応答して暗号鍵をドライブ部に登録する。これにより、アプリケーション４１−１のバックアップソフトウェア４３は、以後はストレージ装置１に送信したデータを登録された暗号鍵を用いて暗号化してロードされた磁気テープカートリッジ５００に書き込むことができ、又、ロードされた磁気テープカートリッジ５００から読み出して登録された暗号鍵を用いて復号化したデータを受信することができる。

アプリケーション４１−１のバックアップソフトウェア４３がデータパスのリリース要求を行うと、ストレージ装置１のドライブ制御部１１はドライブ部に登録した暗号鍵を削除する。又、アプリケーション４１−１のバックアップソフトウェア４３がアンロード要求を行うと、ストレージ装置１のライブラリ制御部１２はロードされている磁気テープカートリッジ５００をドライブ部からアンロードしてラックへ収納する。

従来のストレージ装置１の場合、業務サーバ４−１からのステップＳＴ４の暗号鍵設定と業務サーバ４−１からのデータアクセスと業務サーバ４−２からのデータアクセスとは、特に同期が取られていない。このため、業務サーバ４−１からの要求に基づいてステップＳＴ３で磁気テープカートリッジ５００がドライブ部にロードされ、且つ、ステップＳＴ４で暗号鍵がドライブ部に登録された後であれば、図１中破線Ｘ１で示すように、元の暗号鍵配信要求を行った業務サーバ４−１以外の例えば業務サーバ４−２からであっても、ドライブ部に登録された暗号鍵を用いてドライブ部にロードされた磁気テープカートリッジ５００に対するデータアクセスが行えてしまう。

特開２００７−２８６９３５号公報

従来の暗号化機能を備えたストレージ装置では、業務サーバ等の異なる装置からのデータアクセスの同期が取られていないため、任意の装置からの要求に応答してストレージ装置内で暗号鍵が登録された状態であれば、他の装置からの要求に応答して登録済みの暗号鍵を用いたデータアクセスが可能になってしまい、データのセキュリティを確保することが難しいという問題があった。

そこで、本発明は、データのセキュリティを確保可能なストレージ装置及び認証方法を提供することを目的とする。

本発明の一観点によれば、アクセス対象となる記録媒体がロードされ、アンロードされるドライブ部と、要求元装置から受信した承認情報と、暗号鍵管理装置から受信した暗号鍵情報に含まれる暗号鍵から任意のアルゴリズムに従って作成された承認情報に基づいて前記要求元装置からのデータアクセスの正当性を判断する暗号鍵制御部と、前記データアクセスの正当性が確認されると前記要求元装置からのアクセス要求に応じて前記ドライブ部にロードされた記録媒体に対して前記暗号鍵を用いたデータアクセスを行う制御部を備え、前記要求元装置から受信した承認情報は、前記暗号鍵管理装置が前記要求元装置からの認証要求に応じて認証が成功すると暗号鍵から前記任意のアルゴリズムに従って作成するユニークなコードを含むストレージ装置が提供される。

本発明の一観点によれば、データアクセスの要求元装置からの認証要求に応じて、暗号鍵管理装置において認証が成功すると暗号鍵から任意のアルゴリズムに従って作成されたユニークなコードを含む承認情報を前記要求元装置に返すと共に前記暗号鍵を含む暗号鍵情報をストレージ装置へ送る工程と、前記要求元装置から前記承認情報を前記ストレージ装置へ送る工程と、前記要求元装置からの前記承認情報と、前記ストレージ装置内で前記暗号鍵管理装置からの前記暗号鍵情報中の暗号鍵から前記任意のアルゴリズムに従って作成した承認情報に基づいて、前記要求元装置からのデータアクセスの正当性を前記ストレージ装置で判断する工程を含む認証方法が提供される。

開示のストレージ装置及び認証方法によれば、データのセキュリティを確保することが可能となる。

従来のストレージ装置の一例を説明するブロック図である。 本発明の一実施例におけるストレージ装置の一例を説明するブロック図である。 ストレージ装置の構造の一例を示す図である。 ストレージ装置の動作を説明するタイムチャートである。 暗号鍵チェーンの構造の一例を説明する図である。 承認情報チェーンの構造の一例を説明する図である。 ドライブ制御プロセスＰ１を説明するフローチャートである。 暗号鍵管理プロセスＰ２を説明するフローチャートである。 ドライブ制御プロセスＰ３を説明するフローチャートである。 ドライブ制御プロセスＰ５を説明するフローチャートである。

開示のストレージ装置及び認証方法では、データアクセスの要求元装置からの認証要求に応じて、暗号鍵管理装置において認証が成功すると暗号鍵から任意のアルゴリズムに従って作成されたユニークなコードを含む承認情報を要求元装置に返すと共に暗号鍵を含む暗号鍵情報をストレージ装置へ送る。要求元装置は、承認情報をストレージ装置へ送る。要求元装置からの承認情報と、ストレージ装置内で暗号鍵管理装置からの暗号鍵情報中の暗号鍵から前記任意のアルゴリズムに従って作成した承認情報に基づいて、要求元装置からのデータアクセスの正当性をストレージ装置で判断する。

データアクセスの正当性が確認されるとストレージ装置内に暗号鍵を登録することで、要求元装置からのアクセス要求に応じて記録媒体に対して登録された暗号鍵を用いたデータアクセスを行うことができる。

要求元装置と暗号鍵管理装置の間の認証だけでなく、要求元装置とストレージ装置の間の認証も暗号鍵管理装置が発行する承認情報を用いて行う。このため、ストレージ装置は同期を取ることなく暗号鍵の利用者の照合を行うことができ、要求元装置からのデータアクセスのセキュリティを確保することができる。

以下に、開示のストレージ装置及び認証方法の各実施例を図面と共に説明する。

図２は、本発明の一実施例におけるストレージ装置の一例を説明するブロック図である。図２中、図１と同一部分には同一符号を付し、その説明は省略する。

図２に示すストレージ装置２１は、例えば磁気テープカートリッジ（以下、単にカートリッジと言う）５００を用いるライブラリ装置で形成されており、制御ＬＡＮ（Local Area Network）２を介して暗号鍵管理サーバ２３に接続されている。暗号鍵管理サーバ２３は、暗号鍵管理装置を形成する。ストレージ装置２１は、ドライブ制御部２１１及び暗号鍵制御部２１２を有する。複数の業務サーバ２４−１，２４−２（２台のみ図示）は、業務ＬＡＮ５を介して暗号鍵管理サーバ２３に接続されると共に、ファイバチャネルスイッチ（ＦＣＳ：Fiber Channel Switch）６を介してストレージ装置２１に接続されている。業務サーバ２４−１上で実行可能なアプリケーション２４１−１は、前処理部２４２とバックアップソフトウェア２４３を有する。業務サーバ２４−２上で実行可能なアプリケーション２４１−２は、業務サーバ２４−１のアプリケーション２４１−１と同様に前処理部（図示せず）及びバックソフトウェア（図示せず）を有しても良い。

ストレージ装置２１は暗号化機能を備えており、各業務サーバ２４−１，２４−２は、ストレージ装置２１の暗号化機能を用いてデータアクセスを行うことができる。つまり、各業務サーバ２４−１，２４−２は、ストレージ装置２１内のカートリッジ５００に書き込むデータを暗号鍵に基づいて暗号化してから書き込むデータライトアクセスと、カートリッジ５００から読み出したデータを暗号鍵に基づいて復号化するデータリードアクセスを行うことができる。暗号鍵管理サーバ２３は、ストレージ装置２１内の暗号化処理又は復号化処理で用いる暗号鍵を管理する暗号鍵管理部２３１を有する。暗号鍵管理部２３１は、例えばソフトウェアにより形成されている。

図３は、ストレージ装置２１の構造の一例を示す図である。図３中、実線の矢印は命令やデータの流れを示し、破線の矢印はカートリッジ５００のロード又はアンロードに伴うハードウェアの動きを示す。

図３に示すように、ストレージ装置２１は、ライブラリ制御部２２１、ロボット制御部２２２、ドライブ部２２３及びラック（又は、ロッカー）２２４を有する。ライブラリ制御部２２１は、ドライブ制御部２１１、及び鍵管理サーバ２３から配信されてきた暗号鍵を管理する暗号鍵制御部２１２を有する。ドライブ制御部２１１及び暗号鍵制御部２１２は夫々機能ブロックを示し、例えばソフトウェアにより形成される。ロボット制御部２２２は、ラック２２４に収納されているカートリッジ５００を取り出してドライブ部２２３にロードするロード動作と、ドライブ部２２３にロードされているカートリッジ５００をアンロードしてラック２２４に収納するアンロード動作を行う周知のファームウェアで形成される。ドライブ部２２３は、ロードされているカートリッジ５００のテープにデータを書き込む（ライトする）と共に、テープに記録されているデータを読み出す（リードする）ヘッド等のリード及びライト手段を備えた周知の構造を有する。尚、説明の便宜上、ロボット制御部２２２が制御するロボット自体は周知であるため、その構成の図示及び説明は省略する。

尚、図３では、記録媒体の一例としてカートリッジ５００が用いられているが、記録媒体は磁気テープカートリッジに限定されるものではなく、例えば磁気、光、又は光磁気ディスク等の記録媒体やそのような記録媒体を収納したカートリッジを用いても良いことは言うまでもない。又、ドライブ部２２３が複数の異なる種類の記録媒体（例えば、磁気テープと磁気ディスク）をロード・アンロード可能な構造を有する場合には、ストレージ装置２１が用いる記録媒体は同じ種類に限定されない。つまり、ドライブ部２２３は、ストレージ装置２１内に複数設けられていても良い。

図４は、ストレージ装置２１の動作を説明するタイムチャートである。一例として、要求元装置を形成する業務サーバ２４−１がストレージ装置２１の暗号化機能を用いてデータアクセスを行う場合について説明する。図４中、「前処理部」で示されている処理は前処に理部２４２に関連した処理であり、「バックアップソフトウェア」で示されている処理はバックアップソフトウェア２４３に関連した処理である。

図４において、ステップＳ１では、アプリケーション２４１−１の前処理部２４２が暗号鍵管理サーバ２３に暗号鍵配信要求を含む認証要求を行う。暗号鍵配信要求には、業務サーバ２４−１のアプリケーション２４１−１の利用者識別子（ＩＤ）と、暗号鍵を特定するためのカートリッジ５００のボリューム名等の暗号鍵特定情報が含まれる。ステップＳ２では、暗号鍵管理サーバ２３の暗号鍵管理部２３１がアプリケーション２４１−１からの要求を認証し、認証が成功すると業務サーバ２４−１の前処理部２４２に認証を確認する応答を返す。この認証を確認する応答には、利用者識別子（ＩＤ）と、承認情報が含まれる。業務サーバ２４−１に返される承認情報は、暗号鍵管理部２３１が暗号鍵から作成するユニークなコードである。又、承認情報が鍵管理サーバ２３と業務サーバ２４−１の間で盗聴されないように、鍵管理サーバ２３と業務サーバ２４−１の間の通信路をＳＳＨ（Secure SHell）等の手法でセキュア化することが望ましい。ステップＳ３では、上記認証が成功すると暗号鍵管理サーバ２３の暗号鍵管理部２３１が暗号鍵情報をストレージ装置２１のドライブ制御部２１１に配信する。ストレージ装置２１のドライブ制御部２１１に配信される暗号鍵情報には、暗号鍵に加え、利用者識別子（ＩＤ）及び暗号鍵を特定するためのカートリッジ５００のボリューム名等の暗号鍵特定情報が含まれる。ステップＳ２，Ｓ３を実行する順序は特に限定されず、並行に実行されても良い。

ステップＳ４では、暗号鍵を受信したストレージ装置２１のドライブ制御部２１１が利用者識別子（ＩＤ）、暗号鍵を特定するためのカートリッジ５００のボリューム名等の暗号鍵特定情報、暗号鍵から作成されるユニークなコード（承認情報）、及び暗号鍵（暗号鍵データ）を含む暗号鍵情報を暗号鍵チェーンにキューイングするドライブ制御プロセスＰ１を実行し、暗号鍵管理サーバ２３の暗号鍵管理部２３１に暗号鍵受信情報、即ち、暗号鍵の受信を確認する応答を返す。ドライブ制御部２１１が暗号鍵情報の暗号鍵から承認情報を作成するのに用いるアルゴリズムは、暗号鍵管理サーバ２３内の暗号鍵管理部２３１が暗号鍵から承認情報を作成するのに用いるアルゴリズムと同じであれば良く、アルゴリズム自体は特に限定されないので承認情報は任意のアルゴリズムに従って作成可能である。

図５は、暗号鍵チェーンの構造の一例を説明する図である。暗号鍵チェーンの暗号鍵情報は、次の暗号鍵が格納されているライブラリ制御部２１２内の位置（例えば、ストレージ装置２１内のメモリのアドレス）を示すネクストポインタ、１つ前の暗号鍵が格納されているライブラリ制御部２１２内の位置を示すバックポインタ、利用者識別子（ＩＤ）、暗号鍵特定情報、暗号鍵管理装置からの暗号鍵情報中の暗号鍵から前記任意のアルゴリズムに従って作成した承認情報、及び暗号鍵（暗号鍵データ）を含む。

ステップＳ５では、アプリケーション２４１−１の前処理部２４２がストレージ装置２１の暗号鍵制御部２１２に、アプリケーション２４−１の利用者識別子（ＩＤ）、承認情報、及びＷＷＮ（World Wide Name）等の入出力（Ｉ／Ｏ：Input and Output）要求を発行する要求元（この場合、業務サーバ２４−１）を特定するための装置情報を含む利用者識別情報を配信する。ステップＳ６では、ストレージ装置２１の暗号鍵制御部２１２が利用者識別情報を承認情報チェーンにキューイングする暗号鍵管理プロセスＰ２を実行し、業務サーバ２４−１のアプリケーション２４１−１の前処理部２４２に承認情報の受信を確認する応答を返す。

図６は、承認情報チェーンの構造の一例を説明する図である。承認情報チェーンの利用者識別情報は、次の利用者識別子（ＩＤ）が格納されているライブラリ制御部２１２内の位置（例えば、ストレージ装置２１内のメモリのアドレス）を示すネクストポインタ、１つ前の利用者識別子（ＩＤ）が格納されているライブラリ制御部２１２内の位置を示すバックポインタ、利用者識別子（ＩＤ）、承認情報、及びＷＷＮを含む。

このように、ストレージ装置２１では、複数の暗号鍵の要求順番を暗号鍵チェーンで管理し、暗号鍵からユニークなコード（承認情報）を作成して承認情報チェーンで管理することで、ストレージ装置２１の外部装置に対して暗号鍵を隠蔽している。

ステップＳ７では、アプリケーション２４１−１のバックアップソフトウェア２４３がストレージ装置２１のドライブ制御部２１１に対してロード要求及びリザーブ要求を含む認証要求を行う。ストレージ装置２１のドライブ制御部２１１は、ロード要求及びリザーブ要求に応答してドライブ制御プロセスＰ３を実行する。ドライブ制御プロセスＰ３は、ロード要求に含まれる要求元のＷＷＮに対応する利用者識別情報を、暗号鍵制御部２１２で管理されている承認情報チェーンから取得する。又、ドライブ制御プロセスＰ３は、取得された利用者識別情報の利用者識別子（ＩＤ）及び承認情報（ユニークなコード）と一致する暗号鍵がドライブ制御部２１１で管理されている暗号鍵チェーンに存在する場合には、当該暗号鍵を暗号鍵チェーンから取得すると共に、当該暗号鍵を含む暗号鍵情報を暗号鍵チェーンから外す（即ち、削除する）。更に、ドライブ制御プロセスＰ３は、リザーブ要求に応じて暗号鍵チェーンから外した暗号鍵をドライブ部２２３に登録（又は、設定）してドライブ制御部２１１に対するデータパスを設定（リザーブ）する。

一方、ストレージ装置２１のロボット制御部２２２は、ロード要求に含まれるアクセスアドレスに応じたカートリッジ５００をラック２２４から取り出すと共にドライブ部２２３にロードする。カートリッジ５００がドライブ部２２３にロードされると、ステップＳ８ではドライブ制御部２１１がロード要求を含む認証要求に対する応答を業務サーバ２４−１のアプリケーション２４１−１のバックアップソフトウェア２４３に返す。これにより、アプリケーション２４１−１のバックアップソフトウェア２４３は、ストレージ装置２１に対してライト要求やリード要求等のＩ／Ｏ要求を行ってドライブ部２２３にロードされたカートリッジ５００に対してデータのリード又はライトを行える状態となる。

ステップＳ９では、アプリケーション２４１−１のバックアップソフトウェア２４３は、ストレージ装置２１に対してライト要求やリード要求等の入出力（Ｉ／Ｏ：Input and Output）要求を行う。ライト要求の場合、ストレージ装置２１に送信されたデータは、ドライブ制御部２１１の制御下でドライブ部２２３に登録された暗号鍵を用いて暗号化されてロードされたカートリッジ５００内のテープに書き込まれる。一方、リード要求の場合、ロードされたカートリッジ５００から読み出されたデータは、ドライブ制御部２１の制御下でドライブ部２２３に登録された暗号鍵を用いて復号化された後に業務サーバ２４−１に送信される。ステップＳ１０では、ストレージ装置２１のドライブ制御部２１１がＩ／Ｏ要求に対する応答をアプリケーション２４１−１のバックアップソフトウェア２４３に返す。ライト要求の場合、バックアップソフトウェア２４３に返される応答にはライト完了報告が含まれ、リード要求の場合、バックアップソフトウェア２４３に返される応答にはリード完了報告及びカートリッジ５００から読み出されたデータが含まれる。

ステップＳ１１では、アプリケーション２４１−１のバックアップソフトウェア２４３がストレージ装置２１のドライブ制御部２１１に対してアンロード要求及びリリース要求を含む認証要求を行う。ストレージ装置２１のドライブ制御部２１１は、アンロード要求及びリリース要求に応答してドライブ制御プロセスＰ５を実行する。ドライブ制御プロセスＰ５は、アンロード要求に含まれる要求元のＷＷＮに対応する利用者識別情報を、暗号鍵制御部２１２で管理されている承認情報チェーンから取得する。又、ドライブ制御プロセスＰ５は、取得された利用者識別情報の利用者識別子（ＩＤ）及び承認情報（ユニークなコード）と一致する暗号鍵がドライブ部２２３に登録（又は、設定）されていると、リリース要求に応じて登録されている暗号鍵を削除（又は、リセット）してドライブ制御部２１１に対するデータパスを解除（リリース）する。

一方、ストレージ装置２１のロボット制御部２２２は、アンロード要求に含まれるアクセスアドレスに応じたカートリッジ５００をドライブ部２２３からアンロードしてラック２２４に収納する。カートリッジ５００がラック２２４に収納されると、ステップＳ１２ではドライブ制御部２１１がアンロード要求を含む認証要求に対する応答を業務サーバ２４−１のアプリケーション２４１−１のバックアップソフトウェア２４３に返す。これにより、アプリケーション２４１−１のバックアップソフトウェア２４３は、上記ステップＳ１を実行可能な状態に戻る。

ストレージ装置２１の場合、業務サーバ２４−１からのデータアクセスと業務サーバ２４−２からのデータアクセスとは、特に同期が取られていない。このため、ステップＳ７での業務サーバ２４−１からの認証要求に基づいてカートリッジ５００がドライブ部２２３にロードされ、且つ、暗号鍵がドライブ部２２３に登録された後に、図２中破線Ｘ２で示すように、元の暗号鍵配信要求を行った業務サーバ２４−１以外の例えば業務サーバ２４−２から認証要求が発生する可能性がある。しかし、業務サーバ２４−２が上記ステップＳ１の認証要求を行って上記ステップＳ５の承認情報の配信を行っていないと、ストレージ装置２１では暗号鍵に対する正規の利用者識別子（ＩＤ）も取得できないので、業務サーバ２４−２からの認証要求は承認されず、ドライブ部２２３に暗号鍵が登録されていてもこの暗号鍵を用いてドライブ部２２３にロードされたカートリッジ５００に対するデータアクセスを行うことはできない。つまり、ドライブ部２２３に登録済みの暗号鍵を用いた業務サーバ２４−２からのアクセス要求は、ストレージ装置２１のライブラリ制御部２２１により拒否され、データのセキュリティを確保することが可能となる。

このように、業務サーバ２４−１のアプリケーション２４１−１と鍵管理サーバ２３との間の認証だけでなく、アプリケーション２４１−１とストレージ装置２１との間の認証も鍵管理サーバ２３が発行する承認情報を用いて行える。このため、ストレージ装置２１は同期を取ることなく暗号鍵の利用者の照合を行うことができ、暗号鍵が登録済みのドライブ部２２３にロードされているカートリッジ５００に対して例えば業務サーバ２４−２のアプリケーション２４１−２等からの誤ったデータアクセス、或いは、不正のデータアクセスを防止することができる。更に、暗号鍵管理装置からの暗号鍵情報中の暗号鍵から前記任意のアルゴリズムに従って作成した承認情報を用いることで、ドライブ部２２３にロードされているカートリッジ５００の正当性を確認することもできる。

次に、図４におけるプロセスＰ１〜Ｐ３，Ｐ５の処理を、図７〜図１０と共により詳細に説明する。

図７は、ドライブ制御プロセスＰ１を説明するフローチャートである。ストレージ装置２１のドライブ制御部２１１は、ステップＰ１−１において、鍵管理サーバ２３から受信したデータが暗号鍵であるか否かを判定する。ステップＰ１−１の判定結果がＹＥＳであると、ステップＰ１−２は、暗号鍵管理装置からの暗号鍵情報中の暗号鍵から前記任意のアルゴリズムに従って承認情報を作成し、暗号鍵と承認情報を暗号鍵情報として暗号鍵チェーンにキューイングし、暗号鍵管理サーバ２３の暗号鍵管理部２３１に暗号鍵受信情報、即ち、暗号鍵の受信を確認する応答を返す。ステップＰ１−２の後、又は、ステップＰ１−１の判定結果がＮＯであると、ドライブ制御プロセスＰ１は終了する。

図８は、暗号鍵管理プロセスＰ２を説明するフローチャートである。ストレージ装置２１の暗号鍵管理部２１２は、ステップＰ２−１において、業務サーバ２４−１から受信したデータが利用者識別情報であるか否かを判定する。利用者識別情報には、利用者識別子（ＩＤ）、承認情報及びＷＷＮが含まれる。ステップＰ２−１の判定結果がＹＥＳであると、ステップＰ２−２は、利用者識別情報を承認情報チェーンにキューイングする承認情報チェーン処理を行う。ステップＰ２−２の後、又は、ステップＰ２−１の判定結果がＮＯであると、暗号鍵管理プロセスＰ２は終了する。

図９は、ドライブ制御プロセスＰ３を説明するフローチャートである。ストレージ装置２１のドライブ制御部２１１は、ステップＰ３−１において、受信した要求がロード要求及びリザーブ要求を含む認証要求であるか否かを判定する。ステップＰ３−１の判定結果がＮＯであるとドライブ制御プロセスＰ３は終了するが、判定結果がＹＥＳであると処理はステップＰ３−２へ進む。ステップＰ３−２は、ロード要求に含まれる要求元のＷＷＮをキーにして暗号鍵制御部２１２で管理されている承認情報チェーンを検索し、ＷＷＮに対応する利用者識別情報を取得すると共に、取得された利用者識別情報の利用者識別子（ＩＤ）及び承認情報（ユニークなコード）と一致する暗号鍵がドライブ制御部２１１で管理されている暗号鍵チェーンに存在するか否かを判定する。ステップＰ３−２の判定結果がＮＯであるとドライブ制御プロセスＰ３は終了し、判定結果がＹＥＳであると処理はステップＰ３−３へ進む。ステップＰ３−３は、取得された利用者識別情報の利用者識別子（ＩＤ）及び承認情報（ユニークなコード）と一致する暗号鍵を暗号鍵チェーンから取得すると共に、当該暗号鍵を含む暗号鍵情報を暗号鍵チェーンから外す（削除する）暗号鍵取得処理を行う。ステップＰ３−４は、リザーブ要求に応じて暗号鍵チェーンから外した暗号鍵をドライブ部２２３に登録（又は、設定）してドライブ制御部２１１に対するデータパスを設定（リザーブ）する暗号鍵登録処理を行い、ドライブ制御プロセスＰ３は終了する。

図１０は、ドライブ制御プロセスＰ５を説明するフローチャートである。ストレージ装置２１のドライブ制御部２１１は、ステップＰ５−１において、受信した要求がアンロード要求及びリリース要求を含む認証要求であるか否かを判定する。ステップＰ５−１の判定結果がＮＯであるとドライブ制御プロセスＰ５は終了するが、判定結果がＹＥＳであるとであると処理はステップＰ５−２へ進む。ステップＰ５−２は、アンロード要求に含まれる要求元のＷＷＮをキーにして暗号鍵制御部２１２で管理されている承認情報チェーンを検索し、ＷＷＮに対応する利用者識別情報を取得すると共に、取得された利用者識別情報の利用者識別子（ＩＤ）及び承認情報（ユニークなコード）と一致する暗号鍵がドライブ部２２３に登録（又は、設定）されているか否かを判定する。ステップＰ５−２の判定結果がＮＯであると処理は後述するステップＰ５−４へ進み、判定結果がＹＥＳであると処理はステップＰ５−３へ進む。ステップＰ５−３は、リリース要求に応じてドライブ部２２３に登録されている暗号鍵を削除（又は、リセット）する暗号鍵削除処理を行う。ステップＰ５−４は、ドライブ制御部２１１に対するデータパスを解除（リリース）するデータパス解除処理を行い、ドライブ制御プロセスＰ５は終了する。

尚、ロード要求又はリザーブ要求の後、一定期間業務サーバ２４−１からＩ／Ｏ要求がない場合には、ドライブ部２２３にロードされているカートリッジ５００をロボット制御部２２２の制御下で自動的にアンロードしてラック２２４に収納するようにしても良い。この場合、ドライブ部２２３に登録されている暗号鍵は、カートリッジ５００のアンロードに応じて削除すれば良い。

以上の実施例を含む実施形態に関し、更に以下の付記を開示する。
（付記１）
アクセス対象となる記録媒体がロードされ、アンロードされるドライブ部と、
要求元装置から受信した承認情報と、暗号鍵管理装置から受信した暗号鍵情報に含まれる暗号鍵から任意のアルゴリズムに従って作成された承認情報に基づいて前記要求元装置からのデータアクセスの正当性を判断する暗号鍵制御部と、
前記データアクセスの正当性が確認されると前記要求元装置からのアクセス要求に応じて前記ドライブにロードされた記録媒体に対して前記暗号鍵を用いたデータアクセスを行う制御部を備え、
前記要求元装置から受信した承認情報は、前記暗号鍵管理装置が前記要求元装置からの認証要求に応じて認証が成功すると暗号鍵から前記任意のアルゴリズムに従って作成するユニークなコードを含む、ストレージ装置。
（付記２）
前記暗号鍵管理装置から受信する前記暗号鍵情報は、前記要求元装置の利用者識別子、暗号鍵を特定するための暗号鍵特定情報、前記承認情報及び前記暗号鍵を含み、
前記制御部は、
前記暗号鍵情報を暗号鍵チェーンにキューイングするドライブ制御部と、
利用者識別子、前記承認情報及び要求元を特定するための装置情報を含む利用者識別情報を前記要求元装置から受信し、前記利用者識別情報を承認情報チェーンにキューイングする暗号鍵管理部を有する、付記１記載のストレージ装置。
（付記３）
前記ドライブ制御部は、前記要求元装置からのロード要求に含まれる要求元の装置情報に対応する利用者識別情報を前記承認情報チェーンから取得し、取得された利用者識別情報の利用者識別子及び承認情報と一致する暗号鍵が前記暗号鍵チェーンに存在すると当該暗号鍵を暗号鍵チェーンから取得すると共に、当該暗号鍵を含む暗号鍵情報を暗号鍵チェーンから外すと共に、前記要求元装置からのリザーブ要求に応じて前記暗号鍵チェーンから外した暗号鍵を前記ドライブ部に登録してデータパスを設定する、付記２記載のストレージ装置。
（付記４）
前記ドライブ制御部は、前記要求元装置からのアンロード要求に含まれる要求元装置の装置情報に対応する利用者識別情報を前記承認情報チェーンから取得し、取得された利用者識別情報の利用者識別子及び承認情報と一致する暗号鍵が前記ドライブ部に登録されているとリリース要求に応じて前記ドライブ部に登録されている暗号鍵を削除して前記データパスを解除する、付記３記載のストレージ装置。
（付記５）
複数の記録媒体を収納するラックと、
前記要求元装置からのロード要求に含まれる利用者情報に基づいて、前記利用者情報に対応する記録媒体を前記ラックから取り出して前記ドライブ部にロードすると共に、前記要求元装置からのアンロード要求に含まれる利用者情報に基づいて、前記利用者情報に対応する記録媒体を前記ドライブ部からアンロードして前記ラックに収納する、付記２乃至４のいずれか１項記載のストレージ装置。
（付記６）
前記ドライブ部は、ロードされた前記記録媒体にデータを書き込むと共に、前記記録媒体に記録されているデータを読み出すリード及びライト手段を有し、
前記データアクセスは、データを前記ドライブ部に登録された暗号鍵に基づいて暗号化してから前記記録媒体に書き込むデータライトアクセスと、前記記録媒体から読み出したデータを前記ドライブ部に登録された暗号鍵に基づいて復号化するデータリードアクセスを含む、付記１乃至５のいずれか１項記載のストレージ装置。
（付記７）
データアクセスの要求元装置からの認証要求に応じて、暗号鍵管理装置において認証が成功すると暗号鍵から任意のアルゴリズムに従って作成されたユニークなコードを含む承認情報を前記要求元装置に返すと共に前記暗号鍵を含む暗号鍵情報をストレージ装置へ送る工程と、
前記要求元装置から前記承認情報を前記ストレージ装置へ送る工程と、
前記要求元装置からの前記承認情報と、前記ストレージ装置内で前記暗号鍵管理装置からの前記暗号鍵情報中の暗号鍵から前記任意のアルゴリズムに従って作成した承認情報に基づいて、前記要求元装置からのデータアクセスの正当性を前記ストレージ装置で判断する工程を含む、認証方法。
（付記８）
前記データアクセスの正当性が確認されると前記ストレージ装置内に前記暗号鍵を登録し、前記要求元装置からのアクセス要求に応じて記録媒体に対して登録された暗号鍵を用いたデータアクセスを行う工程を更に含む、付記７記載の認証方法。
（付記９）
前記ストレージ装置が前記鍵管理装置から受信する前記暗号鍵情報は、前記要求元装置の利用者識別子、暗号鍵を特定するための暗号鍵特定情報、前記承認情報、及び前記暗号鍵を含み、
前記ストレージ装置において前記受信した暗号鍵情報を暗号鍵チェーンにキューイングする工程と、
前記要求元装置から前記利用者識別子、前記承認情報、及び要求元を特定するための装置情報を含む利用者識別情報を配信する工程と、
前記ストレージ装置において前記利用者識別情報を承認情報チェーンにキューイングする工程を更に含む、付記７又は８記載の認証方法。
（付記１０）
前記ストレージ装置において前記要求元装置からのロード要求に含まれる前記要求元装置の装置情報に対応する利用者識別情報を前記承認情報チェーンから取得し、取得された利用者識別情報の利用者識別子及び承認情報と一致する暗号鍵が前記暗号鍵チェーンに存在すると当該暗号鍵を暗号鍵チェーンから取得すると共に、当該暗号鍵を含む暗号鍵情報を暗号鍵チェーンから外す工程と、
前記ストレージ装置において前記要求元装置からのリザーブ要求に応じて前記暗号鍵チェーンから外した暗号鍵を登録してデータパスを設定する工程を更に含む、付記９記載の認証方法。
（付記１１）
前記ストレージ装置において前記要求元装置からのアンロード要求に含まれる前記要求元装置の装置情報に対応する利用者識別情報を前記承認情報チェーンから取得し、取得された利用者識別情報の利用者識別子及び承認情報と一致する暗号鍵が登録されているとリリース要求に応じて登録されている暗号鍵を削除して前記データパスを解除する工程を更に含む、付記１０記載の認証方法。
（付記１２）
前記データアクセスは、登録された暗号鍵に基づいてデータを暗号化してから前記記録媒体に書き込むデータライトアクセスと、前記記録媒体から読み出したデータを前記登録された暗号鍵に基づいて復号化するデータリードアクセスを含む、付記８乃至１１のいずれか１項記載のストレージ装置。

以上、開示のストレージ装置及び認証方法を実施例により説明したが、本発明は上記実施例に限定されるものではなく、本発明の範囲内で種々の変形及び改良が可能であることは言うまでもない。

２ 制御ＬＡＮ
５ 業務ＬＡＮ
６ ＦＣＳ
２１ ストレージ装置
２３ 暗号鍵管理サーバ
２４−１，２４−２ 業務サーバ
２１１ ドライブ制御部
２１２ 暗号鍵制御部
２３１ 暗号鍵管理部
２４１−１，２４１−２ アプリケーション
２４２ 前処理部
２４３ バックアップソフトウェア

Claims (5)

1. アクセス対象となる記録媒体がロードされ、アンロードされるドライブ部と、
   要求元装置から受信した承認情報と、暗号鍵管理装置から受信した暗号鍵情報に含まれる暗号鍵から任意のアルゴリズムに従って作成された承認情報に基づいて前記要求元装置からのデータアクセスの正当性を判断する暗号鍵制御部と、
   前記データアクセスの正当性が確認されると前記要求元装置からのアクセス要求に応じて前記ドライブ部にロードされた記録媒体に対して前記暗号鍵を用いたデータアクセスを行う制御部を備え、
   前記要求元装置から受信した承認情報は、前記暗号鍵管理装置が前記要求元装置からの認証要求に応じて認証が成功すると暗号鍵から前記任意のアルゴリズムに従って作成するユニークなコードを含む、ストレージ装置。
2. 前記暗号鍵管理装置から受信する前記暗号鍵情報は、前記要求元装置の利用者識別子、暗号鍵を特定するための暗号鍵特定情報、前記承認情報及び前記暗号鍵を含み、
   前記制御部は、
   前記暗号鍵情報を暗号鍵チェーンにキューイングするドライブ制御部と、
   利用者識別子、前記承認情報及び要求元を特定するための装置情報を含む利用者識別情報を前記要求元装置から受信し、前記利用者識別情報を承認情報チェーンにキューイングする暗号鍵管理部を有する、請求項１記載のストレージ装置。
3. 前記ドライブ制御部は、前記要求元装置からのロード要求に含まれる要求元の装置情報に対応する利用者識別情報を前記承認情報チェーンから取得し、取得された利用者識別情報の利用者識別子及び承認情報と一致する暗号鍵が前記暗号鍵チェーンに存在すると当該暗号鍵を暗号鍵チェーンから取得すると共に、当該暗号鍵を含む暗号鍵情報を暗号鍵チェーンから外すと共に、前記要求元装置からのリザーブ要求に応じて前記暗号鍵チェーンから外した暗号鍵を前記ドライブ部に登録してデータパスを設定する、請求項２記載のストレージ装置。
4. 前記ドライブ制御部は、前記要求元装置からのアンロード要求に含まれる要求元装置の装置情報に対応する利用者識別情報を前記承認情報チェーンから取得し、取得された利用者識別情報の利用者識別子及び承認情報と一致する暗号鍵が前記ドライブ部に登録されているとリリース要求に応じて前記ドライブ部に登録されている暗号鍵を削除して前記データパスを解除する、請求項３記載のストレージ装置。
5. データアクセスの要求元装置からの認証要求に応じて、暗号鍵管理装置において認証が成功すると暗号鍵から任意のアルゴリズムに従って作成されたユニークなコードを含む承認情報を前記要求元装置に返すと共に前記暗号鍵を含む暗号鍵情報をストレージ装置へ送る工程と、
   前記要求元装置から前記承認情報を前記ストレージ装置へ送る工程と、
   前記要求元装置からの前記承認情報と、前記ストレージ装置内で前記暗号鍵管理装置からの前記暗号鍵情報中の暗号鍵から前記任意のアルゴリズムに従って作成した承認情報に基づいて、前記要求元装置からのデータアクセスの正当性を前記ストレージ装置で判断する工程を含む、認証方法。

Images