JP5622088B2

JP5622088B2 - 認証システム、認証方法

Info

Publication number: JP5622088B2
Application number: JP2010182083A
Authority: JP
Inventors: 顕司熊野
Original assignee: NEC Corp
Current assignee: NEC Corp
Priority date: 2010-08-17
Filing date: 2010-08-17
Publication date: 2014-11-12
Anticipated expiration: 2030-08-17
Also published as: JP2012043076A

Description

本発明は、認証システムに関し、特にオープンフロースイッチを利用した認証システムに関する。

クライアント端末からサーバへのアクセスの際、サーバ自体、もしくはサーバ前段のスイッチにおいて、クライアント端末のアクセス可否を判断する機能が必要であった。

この際のアクセス許可は、クライアント端末を識別するためのアドレス情報やユーザ情報等を認証サーバに問い合わせる方法、もしくはそれぞれに事前設定を行うことで解決している。

しかし、異なる業務サーバへのアクセスや、一部の高いセキュリティ条件でのみアクセスが許されるサーバへのアクセスに対する認証を、同じ認証条件で実現することは難しく、複数（サーバ毎）の認証情報（パスワードや証明書等）が必要である。

また、なりすまし等の不正なアクセス等が発生した場合、早期に同一条件でのアクセス制限を実施したいが、認証サーバへの制限設定と反映は自動的には行われず、スイッチのフィルタ条件の追加等は、人手による運用で実現している。

図１に、従来の認証システムの構成例を示す。
従来の認証システムは、クライアント１０と、個人用ファイルサーバ（専用領域）２０と、共有ファイルサーバ（共有領域）３０と、認証サーバ４０と、ポリシーサーバ５０と、スイッチ６０を含む。

クライアント１０は、認証サーバ４０にユーザ登録されており、各サーバへのアクセスのため、複数（サーバ毎）の認証情報（パスワードや証明書等）を持っている。クライアント１０は、各サーバへのアクセスの際、認証サーバ４０から認証を受けてからアクセスする。

クライアント１０は、個人フォルダアクセス処理部１１と、共有フォルダアクセス処理部１２を具備する。

個人フォルダアクセス処理部１１は、個人用ファイルサーバ２０へのアクセスのための認証情報を持ち、個人用ファイルサーバ２０へのアクセスの際、認証サーバ４０から認証を受け、個人用ファイルサーバ２０へアクセスするための処理を行う。

共有フォルダアクセス処理部１２は、共有ファイルサーバ３０へアクセスするための処理を行う。なお、共有ファイルサーバ３０へのアクセスの際に認証が必要である場合には、共有フォルダアクセス処理部１２は、共有ファイルサーバ３０へのアクセスのための認証情報を持ち、共有ファイルサーバ３０へのアクセスの際、認証サーバ４０から認証を受ける。

個人用ファイルサーバ２０は、クライアント１０のユーザにより個人的に利用される情報が保管されたファイルサーバである。

共有ファイルサーバ３０は、不特定多数、又はクライアント１０のユーザを含む共有グループのメンバーにより利用される情報が保管されたファイルサーバである。

認証サーバ４０は、クライアント１０から各サーバへのアクセスがあった場合、認証が必要であれば、クライアント１０から認証情報を受信して確認し、認証により、アクセス先のサーバへのアクセス許可を行う。

ポリシーサーバ５０は、複数のネットワーク機器のＱｏＳ（サービス品質）やセキュリティの制御機能を一元的に設定・管理するサーバである。ポリシーサーバ５０は、自サーバ上でネットワークの運用ポリシーが設定された際に、各ネットワーク機器に自動的に設定情報を反映する。

スイッチ６０は、クライアント１０を各サーバとの通信を中継する。

クライアント１０とスイッチ６０は、ネットワーク１００を介して接続されている。

個人用ファイルサーバ２０、共有ファイルサーバ３０、認証サーバ４０、ポリシーサーバ５０、及びスイッチ６０の各々は、ネットワーク２００を介して接続されている。

関連する技術として、特許文献１（特開２００７−２６７３１５号公報）にマルチ認証機能スイッチ装置が開示されている。この関連技術では、複数のネットワーク機器のネットワークへのアクセス時の認証ならびに通信相手の認証において、マルチ認証機能スイッチの認証方式判定手段と代理認証手段等を利用する。認証方式判定手段は、認証方式判定情報保持手段の情報を利用して認証方式の適切性判定を行うとともに、認証情報表現変換手段を利用して認証情報表現を変換することにより、統一的なマルチ認証機能を実現する。代理認証手段は、認証履歴保持手段の認証履歴情報を利用して通信相手を代理認証するとともに代理認証拡張手段内のディジタル署名判定や証明書情報取得に関する機能を利用して代理認証を実現する。

また、特許文献２（特開２００９−２４４９７６号公報）にサービス連携装置、連携サービス競合制御方法、及びプログラムが開示されている。この関連技術では、情報ネットワーク対応機能は、ＡＰＩサービス要求を受信すると、該サービス要求を分析して振り分け機能に転送する。通信ネットワーク対応機能は、ＳＩＰによるセッション開始要求信号を受信すると、振り分け機能と通信ネットワーク対応機能とによるセッションの処理を行う。分析処理機能は、次のセッション候補サービス毎に、識別子毎の信号データ、差分データ、及びユーザ毎の契約情報データが記入されているセッション管理テーブルを参照し、衝突や、競合の状態、サービス内容などを一致検索し、次の候補サービスを実行、あるいは不実行にしてＡＰＩサービス競合制御と状態整合とを行う。

特開２００７−２６７３１５号公報特開２００９−２４４９７６号公報

"ＯｐｅｎＦｌｏｗＳｗｉｔｃｈＳｐｅｃｉｆｉｃａｔｉｏｎＶｅｒｓｉｏｎ０．９．０（ＷｉｒｅＰｒｏｔｏｃｏｌ０ｘ９８）Ｊｕｌｙ２０，２００９ＣｕｒｒｅｎｔＭａｉｎｔａｉｎｅｒ：ＢｒａｎｄｏｎＨｅｌｌｅｒ（ｂｒａｎｄｏｎｈ＠ｓｔａｎｆｏｒｄ．ｅｄｕ）" ＜ｈｔｔｐ：／／ｗｗｗ．ｏｐｅｎｆｌｏｗｓｗｉｔｃｈ．ｏｒｇ／ｄｏｃｕｍｅｎｔｓ／ｏｐｅｎｆｌｏｗ−ｓｐｅｃ−ｖ０．９．０．ｐｄｆ＞

本発明の目的は、サーバクライアント環境において、クライアントからサーバへアクセスを行う場合、サーバ前段のオープンフロースイッチが、クライアント端末からサーバへの通信パス（宛先）を、各種認証サーバと連携した認証ネットワークと、認証サーバと連携しない非認証ネットワークとに振り分ける認証システムを提供することである。

本発明の認証システムは、個人用ファイルサーバと、共有ファイルサーバと、認証サーバと、オープンフロースイッチとを含む。個人用ファイルサーバは、個人での占有を目的とした専用領域である。共有ファイルサーバは、共有を目的とした共有領域である。認証サーバは、個人用ファイルサーバへのアクセスに対する認証情報を保持する。オープンフロースイッチは、認証サーバから認証情報を入手し、個人用ファイルサーバへのアクセスに対し、認証情報を用いて、セキュアな証明書による認証でアクセス許可を行った場合、個人用ファイルサーバにパケットを振り分ける。また、オープンフロースイッチは、セキュアな証明書による認証でアクセス許可を行わなかった場合、共有ファイルサーバにパケットを振り分ける。なお、セキュアな証明書とは、暗号技術等を用いて、技術的に安全性が保証された証明書のことである。

本発明のオープンフロースイッチは、認証サーバ連携部と、振り分け部とを含む。認証サーバ連携部は、個人での占有を目的とした専用領域である個人用ファイルサーバへのアクセスに対する認証情報を保持する認証サーバから認証情報を入手し、個人用ファイルサーバへのアクセスに対し、認証情報を用いて、セキュアな証明書による認証でアクセス許可を行うか判定する。振り分け部は、セキュアな証明書による認証でアクセス許可が行われた場合、個人用ファイルサーバにパケットを振り分け、セキュアな証明書による認証でアクセス許可が行われなかった場合、共有を目的とした共有領域である共有ファイルサーバにパケットを振り分ける。

本発明のオープンフロースイッチにより実施される認証方法では、個人での占有を目的とした専用領域である個人用ファイルサーバへのアクセスに対する認証情報を保持する認証サーバから認証情報を入手する。また、個人用ファイルサーバへのアクセスに対し、認証情報を用いて、セキュアな証明書による認証でアクセス許可を行うか判定する。また、セキュアな証明書による認証でアクセス許可が行われた場合、個人用ファイルサーバにパケットを振り分ける。また、セキュアな証明書による認証でアクセス許可が行われなかった場合、共有を目的とした共有領域である共有ファイルサーバにパケットを振り分ける。

本発明のプログラムは、上記の認証方法における処理を、オープンフロースイッチとして使用される計算機に実行させるためのプログラムである。なお、本発明のプログラムは、記憶装置や記憶媒体に格納することが可能である。

アクセス先のサーバ毎のポリシーによりセキュアなサーバアクセスを提供することが可能となる。

従来の認証システムの構成例を示す図である。本発明の認証システムの構成例を示す図である。本発明の認証方法の流れを示すフローチャートである。

以下に、本発明の実施形態について添付図面を参照して説明する。
図２に示すように、本発明の認証システムは、クライアント１０と、個人用ファイルサーバ（専用領域）２０と、共有ファイルサーバ（共有領域）３０と、認証サーバ４０と、オープンフロースイッチ７０を含む。

個人用ファイルサーバ２０は、クライアント１０のユーザにより個人的に利用される情報が保管されたファイルサーバである。なお、個人用ファイルサーバ２０は、説明の簡略化のため１台しか図示していないが、実際には複数でも良い。

共有ファイルサーバ３０は、不特定多数、又はクライアント１０のユーザを含む共有グループのメンバーにより利用される情報が保管されたファイルサーバである。なお、共有ファイルサーバ３０は、説明の簡略化のため１台しか図示していないが、実際には複数でも良い。

オープンフロースイッチ７０は、オープンフローコントローラ等により設定されたフロー単位の経路情報（フローテーブル）に基づいて、パケットの経路制御やノード制御を行う。ここでは、オープンフロースイッチ７０は、説明の簡略化のため１台しか図示していないが、実際には複数でも良い。なお、オープンフロースイッチの詳細については、非特許文献１に記載されている。

フローとは、所定の規則（ルール）に適合するパケットに対して行うべき所定の処理（アクション）を定義したものである。フローのルールは、ＭＡＣフレームのヘッダ領域に含まれる宛先アドレス（ＤｅｓｔｉｎａｔｉｏｎＡｄｄｒｅｓｓ）、送信元アドレス（ＳｏｕｒｃｅＡｄｄｒｅｓｓ）、宛先ポート（ＤｅｓｔｉｎａｔｉｏｎＰｏｒｔ）、送信元ポート（ＳｏｕｒｃｅＰｏｒｔ）のいずれか又は全てを用いた様々な組み合わせにより定義され、区別可能である。なお、上記のアドレスには、ＭＡＣアドレス（ＭｅｄｉａＡｃｃｅｓｓＣｏｎｔｒｏｌＡｄｄｒｅｓｓ）やＩＰアドレス（ＩｎｔｅｒｎｅｔＰｒｏｔｏｃｏｌＡｄｄｒｅｓｓ）を含むものとする。また、上記に加えて、入口ポート（ＩｎｇｒｅｓｓＰｏｒｔ）の情報も、フローのルールとして使用可能である。

本発明では、認証サーバ４０が、オープンフローコントローラに該当する。すなわち、オープンフロースイッチ７０は、認証サーバ４０から、認証に必要な設定情報がフローのルールに含まれたフローエントリを受け取り、フローテーブルに登録する。

オープンフロースイッチ７０は、パケットを受信した際、受信パケットに対し、フローのルールを判定し、ルールの内容が個人用ファイルサーバ２０を利用するものである場合、ルールに対応するアクションとして認証を行う。

上記のルールの内容の例として、宛先アドレスが個人用ファイルサーバ２０であることを基本的な条件とし、更に、パケットのデータにセキュアな証明書が含まれていること、送信元アドレスがクライアント１０であること、宛先ポート及び送信元ポートが所定のアプリケーションプログラム用のポート番号であること等の条件を組み合わせることが考えられる。なお、セキュアな証明書とは、暗号技術等を用いて、技術的に安全性が保証された証明書のことである。

なお、実際には、オープンフロースイッチ７０は、受信パケットが個人用ファイルサーバ２０宛のフローであることを検出した際に、送信元に証明書を要求するようにしても良い。

オープンフロースイッチ７０は、振り分け部７１と、認証サーバ連携部７２を備える。

振り分け部７１は、認証サーバ連携部７２による認証の結果に応じて、クライアント１０から各サーバへのアクセスの通信パス（宛先）を変更し、パケットを、各種認証サーバ４０と連携した認証ネットワークと、認証サーバ４０と連携しない非認証ネットワークとに振り分ける。

ここでは、振り分け部７１は、セキュアな証明書による認証でアクセス許可されたパケットを個人用ファイルサーバ２０に送信し、通常のアカウント認証で簡易アクセス許可されたパケット（又は認証されなかったパケット）を共有ファイルサーバ３０に送信する。

認証サーバ連携部７２は、認証サーバ４０と連携して、認証に必要な設定情報を共有し、認証サーバ４０で行われる認証処理を代行する。なお、実際には、認証サーバ連携部７２は、認証サーバ４０に対してセキュアな証明書による認証を要求・依頼し、応答として認証結果を受け取り、その認証結果に基づいてアクセス許可を行うようにすることも可能である。

ここでは、認証サーバ連携部７２は、クライアント１０から受信したパケットの宛先アドレスが個人用ファイルサーバ２０であれば、セキュアな証明書による認証を行い、アクセス許可を行った場合にのみ、個人用ファイルサーバ２０へのアクセスを許可する。

また、認証サーバ連携部７２は、フローに対して認証を行うようにすることも可能である。例えば、認証サーバ連携部７２は、受信パケットが所定のフローのルールに合致しているか否かを確認し、合致していれば、正式にセキュアな証明書による認証を行うか、或いは、そのままアクセス許可するようにする。

クライアント１０とオープンフロースイッチ７０は、ネットワーク１００を介して接続されている。

個人用ファイルサーバ２０、認証サーバ４０、及びオープンフロースイッチ７０の各々は、ネットワーク２１０を介して接続されている。

共有ファイルサーバ３０、認証サーバ４０、及びオープンフロースイッチ７０の各々は、ネットワーク２２０を介して接続されている。

すなわち、個人用ファイルサーバ２０と共有ファイルサーバ３０は、異なるネットワークに属する。

なお、共有ファイルサーバ３０が、不特定多数により利用され、認証が不要のファイルサーバである場合、すなわち、ネットワーク２１０が認証ネットワークであり、ネットワーク２２０が非認証ネットワークである場合、認証サーバ４０は、ネットワーク２２０に接続されていなくても良い。

また、個人用ファイルサーバ２０、共有ファイルサーバ３０、及び認証サーバ４０は、同一のサーバでも良い。この場合、個人用ファイルサーバ２０は、個人での占有を目的とした専用領域であり、共有ファイルサーバ３０は、共有を目的とした共有領域であるものとする。

［ハードウェアの例示］
クライアント１０の例として、ＰＣ（パソコン）、モバイルノートＰＣ、シンクライアント端末、ワークステーション、携帯電話機、カーナビ（カーナビゲーションシステム）、携帯型ゲーム機、家庭用ゲーム機、ガジェット（電子機器）、双方向テレビ、デジタルチューナー、デジタルレコーダー、情報家電（ｉｎｆｏｒｍａｔｉｏｎｈｏｍｅａｐｐｌｉａｎｃｅ）、ＯＡ（ＯｆｆｉｃｅＡｕｔｏｍａｔｉｏｎ）機器等が考えられる。クライアント１０は、車両や船舶、航空機等の移動体に搭載されていても良い。

個人用ファイルサーバ２０、共有ファイルサーバ３０、及び認証サーバ４０の例として、ＰＣ、シンクライアントサーバ、ワークステーション、メインフレーム、スーパーコンピュータ等の計算機を想定している。また、個人用ファイルサーバ２０、共有ファイルサーバ３０、及び認証サーバ４０は、物理マシンに限らず、物理マシン上に構築された仮想マシン（ＶｉｒｔｕａｌＭａｃｈｉｎｅ（ＶＭ））でも良い。すなわち、仮想サーバでも良い。

オープンフロースイッチ７０の例として、Ｌ３スイッチ（ｌａｙｅｒ３ｓｗｉｔｃｈ）、Ｌ４スイッチ（ｌａｙｅｒ４ｓｗｉｔｃｈ）、Ｌ７スイッチ／アプリケーションスイッチ（ｌａｙｅｒ７ｓｗｉｔｃｈ）、或いは、マルチレイヤスイッチ（ｍｕｌｔｉ−ｌａｙｅｒｓｗｉｔｃｈ）等が考えられる。オープンフロースイッチ７０は、ルータ、プロキシ、ゲートウェイ、ファイアウォール、基地局、アクセスポイント等でも良い。また、オープンフロースイッチ７０は、物理マシンに限らず、物理マシン上に構築された仮想マシンでも良い。すなわち、仮想スイッチや、ハイパーバイザー（ｈｙｐｅｒｖｉｓｏｒ）等の仮想マシンモニタ（ＶｉｒｔｕａｌＭａｃｈｉｎｅＭｏｎｉｔｏｒ（ＶＭＭ））でも良い。

図示しないが、クライアント１０、個人用ファイルサーバ２０、共有ファイルサーバ３０、認証サーバ４０、及びオープンフロースイッチ７０の各々は、プログラムに基づいて駆動し所定の処理を実行するプロセッサと、当該プログラムや各種データを記憶するメモリと、ネットワーク通信をするための通信用インタフェースによって実現される。

すなわち、クライアント１０の個人フォルダアクセス処理部１１や共有フォルダアクセス処理部１２、オープンフロースイッチ７０の振り分け部７１や認証サーバ連携部７２は、上記のプロセッサと、上記のメモリと、上記の通信用インタフェースによって実現される。

上記のプロセッサの例として、ＣＰＵ（ＣｅｎｔｒａｌＰｒｏｃｅｓｓｉｎｇＵｎｉｔ）、マイクロプロセッサ（ｍｉｃｒｏｐｒｏｃｅｓｓｏｒ）、マイクロコントローラ、或いは、専用の機能を有する半導体集積回路（ＩｎｔｅｇｒａｔｅｄＣｉｒｃｕｉｔ（ＩＣ））等が考えられる。

上記のメモリの例として、ＲＡＭ（ＲａｎｄｏｍＡｃｃｅｓｓＭｅｍｏｒｙ）、ＲＯＭ（ＲｅａｄＯｎｌｙＭｅｍｏｒｙ）、ＥＥＰＲＯＭ（ＥｌｅｃｔｒｉｃａｌｌｙＥｒａｓａｂｌｅａｎｄＰｒｏｇｒａｍｍａｂｌｅＲｅａｄＯｎｌｙＭｅｍｏｒｙ）やフラッシュメモリ等の半導体記憶装置、ＨＤＤ（ＨａｒｄＤｉｓｋＤｒｉｖｅ）やＳＳＤ（ＳｏｌｉｄＳｔａｔｅＤｒｉｖｅ）等の補助記憶装置、又は、ＤＶＤ（ＤｉｇｉｔａｌＶｅｒｓａｔｉｌｅＤｉｓｋ）等のリムーバブルディスクや、ＳＤメモリカード（ＳｅｃｕｒｅＤｉｇｉｔａｌｍｅｍｏｒｙｃａｒｄ）等の記憶媒体（メディア）等が考えられる。

また、上記のプロセッサ及び上記のメモリは、一体化していても良い。例えば、近年では、マイコン等の１チップ化が進んでいる。従って、各々の装置に搭載される１チップマイコンが、プロセッサ及びメモリを備えている事例が考えられる。

上記の通信用インタフェースの例として、ネットワーク通信に対応した基板（マザーボードやＩ／Ｏボード）等の半導体集積回路、ＮＩＣ（ＮｅｔｗｏｒｋＩｎｔｅｒｆａｃｅＣａｒｄ）等のネットワークアダプタや同様の拡張カード、アンテナ等の通信装置、接続口（コネクタ）等の通信ポート等が考えられる。

ネットワーク１００、ネットワーク２１０、及びネットワーク２２０の例として、インターネット、ＬＡＮ（ＬｏｃａｌＡｒｅａＮｅｔｗｏｒｋ）、無線ＬＡＮ（ＷｉｒｅｌｅｓｓＬＡＮ）、ＷＡＮ（ＷｉｄｅＡｒｅａＮｅｔｗｏｒｋ）、バックボーン（Ｂａｃｋｂｏｎｅ）、ケーブルテレビ（ＣＡＴＶ）回線、固定電話網、携帯電話網、ＷｉＭＡＸ（ＩＥＥＥ８０２．１６ａ）、３Ｇ（３ｒｄＧｅｎｅｒａｔｉｏｎ）、専用線（ｌｅａｓｅｌｉｎｅ）、ＩｒＤＡ（ＩｎｆｒａｒｅｄＤａｔａＡｓｓｏｃｉａｔｉｏｎ）、Ｂｌｕｅｔｏｏｔｈ（登録商標）、シリアル通信回線、データバス等が考えられる。また、各サーバが仮想マシン（仮想サーバ）である場合、ネットワーク２１０及びネットワーク２２０は、仮想ＬＡＮ（ＶｉｒｔｕａｌＬＡＮ（ＶＬＡＮ））でも良い。

但し、実際には、これらの例に限定されない。

［認証処理］
図３を参照して、本発明の認証処理の詳細について説明する。

（１）ステップＳ１０１
認証サーバ４０は、事前設定により、クライアント１０の情報と、アクセスする個人用ファイルサーバ２０の情報と、クライアント１０のアカウント情報と、証明書による認証ユーザと、その証明書との登録を行う。

（２）ステップＳ１０２
オープンフロースイッチ７０の認証サーバ連携部７２は、事前設定により、クライアント１０の情報と、アクセスするファイルサーバの情報と、クライアント１０のアカウント情報と、証明書による認証ユーザと、その証明書との登録を行う。なお、認証サーバ連携部７２は、最初に認証サーバ４０へアクセスし、認証に必要な事前設定情報を入手するようにしても良い。

（３）ステップＳ１０３
次に、オープンフロースイッチ７０の振り分け部７１は、個人用ファイルサーバ２０へのファイル操作の延長で、クライアント１０からアクセス許可を求められた認証が、通常のアカウント認証か、セキュリティレベルの高い証明書を用いた認証か、を認証サーバ連携部７２へ問い合わせて、クライアント１０からのアクセス先を決定する。

（４）ステップＳ１０４
認証サーバ連携部７２は、セキュアな証明書による認証を行い、アクセス許可を行った場合、セキュリティレベルの高い個人用ファイルサーバ２０へのアクセスを許可する。

このとき、認証サーバ連携部７２は、不正な端末が、事前設定情報と一致するクライアント１０を詐称して、不正に個人用ファイルサーバ２０へアクセスした場合、ファイルアクセスに必要なアカウント情報、及び証明書を用いた認証ができないため、不正アクセスを検知する。

（５）ステップＳ１０５
認証サーバ連携部７２は、セキュアな証明書による認証を行わず、通常のアカウント認証で簡易アクセス許可を行った場合、個人用ファイルサーバ２０よりもセキュリティレベルの低い共有ファイルサーバ３０へのアクセスを許可する。なお、認証サーバ連携部７２は、認証自体を行わなかった場合、いずれのファイルサーバへのアクセスも許可しないか、或いは共有ファイルサーバ３０へのアクセスのみ許可するようにしても良い。

（６）ステップＳ１０６
認証サーバ連携部７２は、定期的に認証サーバ４０へアクセスし、認証に必要な事前設定情報に更新や追加が発生した場合、更新情報を入手する。なお、実際には、認証サーバ４０で認証に必要な事前設定情報に更新や追加が発生した時点で、認証サーバ４０が、自動的に、更新情報を認証サーバ連携部７２に通知するようにしても良い。

＜本発明の要旨＞
サーバクライアント環境において、クライアントからサーバへアクセスを行う場合、例えば、通常のファイルサーバは、共有を目的とした共有領域と、個人での占有を目的とした専用領域を提供する。この際のネットワークへのアクセスは、認証行為によって、初めてアクセスすることが可能である。

サーバ前段のオープンフロースイッチ７０は、通常のネットワークスイッチが有するファイアウォール機能やフィルタリング機能以外に、クライアント端末からサーバへの通信パス（宛先）を、各種認証サーバと連携した認証ネットワークと、認証サーバと連携しない非認証ネットワークと、に振り分ける振り分け部７１を有している。

また、オープンフロースイッチ７０は、認証サーバからユーザ認証に必要な情報を定期的に入手する認証サーバ連携部７２を有する。上記の振り分け部７１は、認証サーバ連携部７２にクライアントからのアクセスが要求に合致するか照合して、通信パスの振り分けを行う。

詐称やアタック等の不正アクセスの場合は、通常のファイアウォールでガードされる。詐称等ガードを抜ける場合でも、影響は非認証ネットワークに留められ、認証ネットワークへ影響を与えることなくアクセスが可能である。

本発明を実現するためには、認証サーバ連携機能と振り分け機能を有するオープンフロースイッチ７０と、認証に必要なフローを設定する認証サーバ４０と、認証によるサーバアクセスが可能なクライアント１０並びにサーバ（個人用ファイルサーバ２０や共有ファイルサーバ３０等）とが必要である。

オープンフロースイッチ７０は、認証サーバ４０による追加更新に動的に追従するための認証サーバ連携部７２と、認証結果によって通信パスを選択する振り分け部７１を有することで、クライアント１０からのアクセスをダイナミックにセキュアな環境へ遷移可能なシステムを提供する。

＜実施例＞
以下に、具体例を使って説明する。

あるユーザのファイルサーバへのアクセスは、共有領域を使う場合と、個人領域を使う場合がある。共有領域へのアクセスにはアカウントとそのパスワードで認証を得る方式を用いる。個人領域へのアクセスには、よりセキュリティレベルを高めるため、認証サーバ発行の証明書を用いて認証を得る方式を用いる。

この場合、オープンフロースイッチ７０の認証サーバ連携部７２へ、クライアント１０の情報と、アクセスするファイルサーバの情報と、クライアント１０のアカウント情報と、証明書による認証ユーザと、その証明書と、について事前に設定を行う。

同様に、認証サーバ４０にも、クライアント１０の情報と、アクセスするファイルサーバの情報と、クライアント１０のアカウント情報と、証明書による認証ユーザと、その証明書と、について事前に設定を行う。

次に、ファイルサーバへのファイル操作の延長で、オープンフロースイッチ７０の振り分け部７１は、アクセス許可を求められた認証が、通常のアカウント認証か、セキュリティレベルの高い証明書を用いた認証か、を認証サーバ連携部７２へ問い合わせてクライアント１０からのアクセス先を決定する。

このとき、セキュアな証明書により認証を行わず、アカウント認証で簡易アクセスを行った場合、一段セキュリティレベルの低い共有領域へのアクセスを許可する。これにより、個人領域のアクセスはよりセキュリティ性が高く、あるグループで共有するような、一般的な共有領域のアクセスも提供することが可能となる。

また、認証に必要な上記事前設定情報に更新や追加が発生した場合、認証サーバ連携部７２は、定期的に認証サーバ４０へアクセスし、更新情報を入手する。

もし、不正な端末が、事前設定情報と一致するクライアント１０を詐称して、不正にファイルサーバへアクセスした場合、認証サーバ連携部７２は、ファイルアクセスに必要なアカウント情報及び証明書を用いた認証ができないため、不正アクセスを検知可能である。

この場合、オープンフロースイッチ７０の振り分け部７１は、そのクライアント１０のアドレス情報から不正アクセスの個体（不正端末）を見出し、個体からのアクセスについて一時的に自己フィルタを行い、管理者等により解除されるまで不正アクセスからファイルサーバへの操作を制限することが可能となる。

これにより、オープンフロースイッチ７０は、認証サーバにより許可された通信のみのセキュアなネットワークを確立することが可能となる。クライアント１０は、サーバごとの接続のためのそれぞれの認証情報が必要で、認証ネットワークにあるサーバへのアクセスを行うだけでセキュアなネットワークへ導くことが可能である。

なお、上記の実施例では、サーバとしてファイルサーバの例を使っているが、認証サーバとの連携を行うサーバであれば、ファイルサーバ以外のサーバでも良い。

＜本発明の特徴＞
本発明は、クライアントサーバシステムにおいて、クライアント端末からサーバへのアクセスをオープンフロースイッチにて振り分ける方式に関する。

サーバクライアント環境において、クライアントからサーバへアクセスを行う場合、サーバ前段のオープンフロースイッチは、クライアント端末からサーバへの通信パス（宛先）を、各種認証サーバと連携した認証ネットワークと、認証サーバと連携しない非認証ネットワークと、に振り分ける機能を有して、アクセス先ごとのポリシーによりセキュアなサーバアクセスを提供することが可能となる。

以上、本発明の実施形態を詳述してきたが、実際には、上記の実施形態に限られるものではなく、本発明の要旨を逸脱しない範囲の変更があっても本発明に含まれる。

１０… クライアント（クライアント端末）
１１… 個人フォルダアクセス処理部
１２… 共有フォルダアクセス処理部
２０… 個人用ファイルサーバ（専用領域）
３０… 共有ファイルサーバ（共有領域）
４０… 認証サーバ
５０… ポリシーサーバ
６０… スイッチ
７０… オープンフロースイッチ
７１… 振り分け部
７２… 認証サーバ連携部

Claims

第１ネットワークに接続されている第１サーバと、
前記第１ネットワークよりもセキュアな第２ネットワークに接続されている第２サーバと、
前記第２サーバ宛のパケットを送信するクライアントと、
前記クライアントが前記第２サーバへアクセスするときに使用される認証情報を保持する認証サーバと、
前記認証サーバの指示に従って、前記クライアントからの前記パケットの通信経路を設定するオープンフロースイッチと
を含み、
前記オープンフロースイッチは、
前記クライアントから前記第２サーバへのアクセス要求を受けたときに、前記認証サーバから前記認証情報を取得し、
前記認証情報を用いて、セキュアな証明書による認証で前記第２サーバへのアクセス許可を行った場合、前記パケットの通信経路を前記クライアントから前記第２ネットワークを経由した前記第２サーバまでに設定し、
前記セキュアな証明書による認証で前記第２サーバへのアクセス許可を行わなかった場合、前記パケットの通信経路を前記クライアントから前記第１ネットワークを経由した前記第１サーバまでに設定する
認証システム。
請求項１に記載の認証システムであって、
前記オープンフロースイッチは、
前記認証サーバと連携し、前記認証サーバと前記認証情報を共有し、前記認証サーバの代わりに、前記認証情報を用いて、前記セキュアな証明書による認証でアクセス許可を行う認証サーバ連携部と、
前記認証サーバ連携部での認証結果に応じて、前記パケットの宛先を変更する振り分け部と
を具備する
認証システム。
請求項２に記載の認証システムであって、
前記認証サーバ連携部は、定期的に前記認証サーバにアクセスし、前記認証サーバでの前記認証情報の動的な変更に追従する
認証システム。
認証システムで使用されるオープンフロースイッチであって、
前記認証システムは、
前記オープンフロースイッチに加え、
第１ネットワークに接続されている第１サーバと、
前記第１ネットワークよりもセキュアな第２ネットワークに接続されている第２サーバと、
前記第２サーバ宛のパケットを送信するクライアントと、
前記クライアントが前記第２サーバへアクセスするときに使用される認証情報を保持する認証サーバと、
を備え、
前記オープンフロースイッチは、
前記認証サーバの指示に従って、前記クライアントからの前記パケットの通信経路を設定し、
前記オープンフロースイッチは、
前記クライアントから前記第２サーバへのアクセス要求を受けたときに、前記認証サーバから前記認証情報を入手し、前記認証情報を用いて、セキュアな証明書による認証で前記第２サーバへのアクセス許可を前記クライアントに対して行うか判定する認証サーバ連携部と、
前記セキュアな証明書による認証で前記第２サーバへのアクセス許可が行われた場合、前記パケットの通信経路を前記クライアントから前記第２ネットワークを経由した前記第２サーバまでに設定し、前記セキュアな証明書による認証で前記第２サーバへのアクセス許可が行われなかった場合、前記パケットの通信経路を前記クライアントから前記第１ネットワークを経由した前記第１サーバまでに設定する振り分け部と
を含む
オープンフロースイッチ。
請求項４に記載のオープンフロースイッチであって、
前記認証サーバ連携部は、前記認証サーバと連携し、前記認証サーバと前記認証情報を共有し、前記認証サーバの代わりに、前記認証情報を用いて、前記セキュアな証明書による認証でアクセス許可を行い、
前記振り分け部は、前記認証サーバ連携部での認証結果に応じて、前記パケットの宛先を変更する
オープンフロースイッチ。
請求項５に記載のオープンフロースイッチであって、
前記認証サーバ連携部は、定期的に前記認証サーバにアクセスし、前記認証サーバでの前記認証情報の動的な変更に追従する
オープンフロースイッチ。
認証システムで実施される認証方法であって、
前記認証システムは、
第１ネットワークに接続されている第１サーバと、
前記第１ネットワークよりもセキュアな第２ネットワークに接続されている第２サーバと、
前記第２サーバ宛のパケットを送信するクライアントと、
前記クライアントが前記第２サーバへアクセスするときに使用される認証情報を保持する認証サーバと、
前記認証サーバの指示に従って、前記クライアントからの前記パケットの通信経路を設定するオープンフロースイッチと
を備え、
前記認証方法は、
前記クライアントから前記第２サーバへのアクセス要求を受けたときに、前記認証サーバから前記認証情報を前記オープンフロースイッチが入手することと、
前記認証情報を用いて、セキュアな証明書による認証で前記第２サーバへのアクセス許可を前記クライアントに対して行うか判定することと、
前記セキュアな証明書による認証で前記第２サーバへのアクセス許可が行われた場合、前記パケットの通信経路を前記クライアントから前記第２ネットワークを経由した前記第２サーバまでに設定することと、
前記セキュアな証明書による認証で前記第２サーバへのアクセス許可が行われなかった場合、前記パケットの通信経路を前記クライアントから前記第１ネットワークを経由した前記第１サーバまでに設定することと
を含む
認証方法。
請求項７に記載の認証方法であって、
前記認証サーバと連携し、前記認証サーバと前記認証情報を共有することと、
前記認証サーバの代わりに、前記認証情報を用いて、前記セキュアな証明書による認証でアクセス許可を行うことと、
認証結果に応じて、前記パケットの宛先を変更することと
を更に含む
認証方法。
請求項８に記載の認証方法であって、
定期的に前記認証サーバにアクセスし、前記認証サーバでの前記認証情報の動的な変更に追従すること
を更に含む
認証方法。
請求項７乃至９のいずれか一項に記載の認証方法を、オープンフロースイッチとして使用される計算機に実行させるためのプログラム。