JP6357335B2 - ネットワーク制御装置、ネットワークシステム、ネットワークシステムの制御方法、及びプログラム - Google Patents

Description

本発明は、ネットワーク制御装置、ネットワークシステム、ネットワークシステムの制御方法、及びプログラムに関する。

近年、企業内ネットワークなどでは、ユーザの部署や役職によってアクセスできる端末等を制御するために、物理的なネットワークを独立させて、そのネットワークに接続することができるユーザを制限することを行っている。また、同様の目的のために、認証サーバが、ユーザ毎のアクセス制御を統合して行う技術が知られている（例えば、特許文献１を参照）。

特開２００３−２４２１１９号公報

しかしながら、上述した技術では、例えば、物理的なネットワークを独立させて、ユーザ毎のネットワークを構築しようとした場合に、ユーザ毎に物理的なネットワークを変更する必要があり、ユーザ毎にネットワークの構築に対応することは困難であった。また、例えば、認証サーバが、ユーザ毎のアクセス制御を統合して行う場合には、認証サーバまでは自由にアクセスできるため、悪意を持つ者から攻撃を受ける可能性があった。
このように、上述した技術では、ユーザ毎に適切な接続のネットワークを構築することは困難であった。

本発明は、上記問題を解決すべくなされたもので、その目的は、ユーザ毎に適切な接続のネットワークを構築することができるネットワーク制御装置、ネットワークシステム、ネットワークシステムの制御方法、及びプログラムを提供することにある。

上記問題を解決するために、本発明の一態様は、設定情報に基づいてパケットの通過を制御可能なスイッチ装置が配置されたネットワークを制御するネットワーク制御装置であって、端末装置が接続される前記スイッチ装置を識別するスイッチ情報と、前記端末装置を識別する端末識別情報と、当該端末装置を利用するユーザがアクセス可能な論理ネットワークのグループを示すグループ情報であって、前記ユーザに対応付けられたグループ情報とを取得する取得部と、前記取得部が取得した前記スイッチ情報と前記グループ情報と前記端末識別情報とに基づいて生成された前記設定情報であって、前記端末装置と前記ネットワークに接続されている他装置との間の通信を制御する前記設定情報を前記スイッチ装置に設定する設定処理部とを備えることを特徴とするネットワーク制御装置である。

また、本発明の一態様は、上記のネットワーク制御装置において、前記スイッチ装置を識別するスイッチ情報と、当該スイッチ装置に接続されている装置を識別する装置識別情報と、当該装置に対応するグループ情報とを関連付けた装置情報を記憶する装置情報記憶部と、前記設定情報を生成する設定情報生成部とを備え、前記取得部は、取得した当該スイッチ情報と、当該端末識別情報と、当該グループ情報とを関連付けて、前記装置情報として前記装置情報記憶部に記憶させ、前記設定情報生成部は、前記装置情報記憶部が記憶する前記装置情報に基づいて、前記端末装置と前記他装置との間の通信を制御する前記設定情報を生成し、前記設定処理部は、前記設定情報生成部が生成した前記設定情報を前記スイッチ装置に設定することを特徴とする。

また、本発明の一態様は、上記のネットワーク制御装置において、前記設定処理部は、前記端末装置の前記グループ情報と一致するグループに所属する前記他装置と、当該端末装置との間の通信を許可するように生成された前記設定情報を前記スイッチ装置に設定することを特徴とする。

また、本発明の一態様は、上記のネットワーク制御装置において、前記装置情報には、前記ユーザに所定の権限を付与するアプリケーションを識別するアプリケーション識別情報が含まれ、前記取得部は、前記端末装置が接続された前記スイッチ装置から、当該スイッチ装置の前記スイッチ情報及び前記端末識別情報を取得するとともに、前記ユーザに所定の権限を付与する権限付与装置から、前記ユーザに前記所定の権限が付与された場合に、前記端末識別情報と、当該ユーザがアクセス可能な論理ネットワークのグループを示すグループ情報と、前記アプリケーション識別情報とを取得し、取得した当該スイッチ情報と、当該端末識別情報と、当該グループ情報と、前記アプリケーション識別情報とを関連付けて、前記装置情報として前記装置情報記憶部に記憶させ、前記設定処理部は、前記端末装置が接続された前記スイッチ装置から、前記取得部が、当該スイッチ装置の前記スイッチ情報及び前記端末識別情報を取得した場合に、前記端末装置と前記権限付与装置との間の通信を許可する前記設定情報を前記スイッチ装置に設定することを特徴とする。

また、本発明の一態様は、ネットワーク上に配置され、設定情報に基づいてパケットの通過を制御可能なスイッチ装置であって、自装置を識別するスイッチ情報と、端末装置を識別する端末識別情報とを送信するスイッチ装置と、前記端末装置を利用するユーザに所定の権限を付与し、当該ユーザに前記所定の権限が付与された場合に、前記端末識別情報と、当該ユーザがアクセス可能な論理ネットワークのグループを示すグループ情報であって、当該ユーザに対応付けられたグループ情報とを送信する権限付与装置と、前記スイッチ装置が配置されたネットワークを制御するネットワーク制御装置であって、前記端末装置が接続される前記スイッチ装置を識別する前記スイッチ情報と、前記端末識別情報と、前記ユーザに対応付けられた前記グループ情報とを取得するネットワーク制御装置とを備え、前記ネットワーク制御装置は、前記端末装置が接続された前記スイッチ装置が送信した当該スイッチ装置の前記スイッチ情報及び前記端末識別情報を取得するとともに、前記権限付与装置が送信した前記端末識別情報及び前記グループ情報を取得し、取得した前記スイッチ情報と前記グループ情報と前記端末識別情報とに基づいて生成された前記設定情報であって、前記端末装置と前記ネットワークに接続されている他装置との間の通信を制御する前記設定情報を前記スイッチ装置に設定することを特徴とするネットワークシステムである。

また、本発明の一態様は、ネットワーク上に配置され、設定情報に基づいてパケットの通過を制御可能なスイッチ装置と、端末装置を利用するユーザに所定の権限を付与する権限付与装置と、前記スイッチ装置が配置されたネットワークを制御するネットワーク制御装置とを備えるネットワークシステムの制御方法であって、前記スイッチ装置が、自装置を識別するスイッチ情報と、前記端末装置を識別する端末識別情報とを送信するステップと、前記権限付与装置が、前記端末装置を利用するユーザに前記所定の権限が付与された場合に、前記端末識別情報と、当該ユーザがアクセス可能な論理ネットワークのグループを示すグループ情報であって、当該ユーザに対応付けられたグループ情報とを送信するステップと、前記ネットワーク制御装置が、前記端末装置が接続される前記スイッチ装置を識別する前記スイッチ情報と、前記端末識別情報と、前記ユーザに対応付けられた前記グループ情報とを取得するステップであって、前記端末装置が接続された前記スイッチ装置が送信した当該スイッチ装置の前記スイッチ情報及び前記端末識別情報を取得するとともに、前記権限付与装置が送信した前記端末識別情報及び前記グループ情報を取得するステップと、前記ネットワーク制御装置が、取得した前記スイッチ情報と前記グループ情報と前記端末識別情報とに基づいて生成された前記設定情報であって、前記端末装置と前記ネットワークに接続されている他装置との間の通信を制御する前記設定情報を前記スイッチ装置に設定するステップとを含むことを特徴とするネットワークシステムの制御方法である。

また、本発明の一態様は、設定情報に基づいてパケットの通過を制御可能なスイッチ装置が配置されたネットワークを制御するネットワーク制御装置のコンピュータに、端末装置が接続される前記スイッチ装置を識別するスイッチ情報と、前記端末装置を識別する端末識別情報と、当該端末装置を利用するユーザがアクセス可能な論理ネットワークのグループを示すグループ情報であって、前記ユーザに対応付けられたグループ情報とを取得する取得ステップと、前記取得ステップによって取得した前記スイッチ情報と前記グループ情報と前記端末識別情報とに基づいて生成された前記設定情報であって、前記端末装置と前記ネットワークに接続されている他装置との間の通信を制御する前記設定情報を前記スイッチ装置に設定する設定処理ステップとを実行させるためのプログラムである。

本発明によれば、ユーザ毎に適切な接続のネットワークを構築することができる。

第１の実施形態によるネットワークシステムの一例を示す機能ブロック図である。 第１の実施形態におけるユーザ情報記憶部のデータ例を示す図である。 第１の実施形態におけるグループ情報記憶部のデータ例を示す図である。 第１の実施形態におけるユーザ・グループ対応記憶部のデータ例を示す図である。 第１の実施形態における端末情報記憶部のデータ例を示す図である。 第１の実施形態におけるグループ組合せ情報記憶部のデータ例を示す図である。 第１の実施形態における物理トポロジ記憶部のデータ例を示す図である。 第１の実施形態によるネットワークシステムの動作の一例を示す第１の図である。 第１の実施形態によるネットワークシステムの動作の一例を示す第２の図である。 第１の実施形態によるＮＷ管理サーバの動作の一例を示すフローチャートである。 第１の実施形態によるＮＷ制御サーバの効果の一例を示す図である。 第１の実施形態によるＮＷ制御サーバの別の効果の一例を示す図である。 第２の実施形態によるＮＷ管理サーバの動作の一例を示すフローチャートである。 第３の実施形態によるネットワークシステムの一例を示す機能ブロック図である。 第３の実施形態における端末情報記憶部のデータ例を示す図である。 第３の実施形態におけるスライス組合せ情報記憶部のデータ例を示す図である。 第３の実施形態におけるスライス情報記憶部のデータ例を示す図である。

以下、本発明の一実施形態によるネットワークシステム及びネットワーク制御装置について、図面を参照して説明する。
［第１の実施形態］
図１は、本実施形態によるネットワークシステム１の一例を示す機能ブロック図である。
図１に示すように、ネットワークシステム１は、ＮＷ（Network：ネットワーク）制御サーバ１０、端末装置２０、スイッチ装置３０（３０−１〜３０−Ｎ）、ポータルサーバ４０、ログインサーバ５０、及び中継サーバ６０を備えている。
なお、スイッチ装置３０−１〜３０−Ｎは、ネットワークシステム１が備える任意のスイッチ装置を示す場合、又は特に区別しない場合には、スイッチ装置３０として説明する。また、図１に示す例では、端末装置２０と、ポータルサーバ４０と、ログインサーバ５０とは、スイッチ装置３０−１を介して物理的に接続されている。

端末装置２０は、ネットワークシステム１に接続されるコンピュータ装置であり、例えば、パーソナルコンピュータである。端末装置２０は、ユーザが本実施形態のネットワークシステム１を利用した各種サービスを受ける際にユーザによって使用される。なお、本実施形態では、端末装置２０は、ネットワークＮ１に接続し、ログインをする装置である場合の一例について説明する。

スイッチ装置３０は、例えば、ＳＤＮ（Software Defined Networking）スイッチであるオープンフロースイッチなどであり、フロー（設定情報）に基づいてパケットの通過を制御可能なスイッチである。ここで、フローとは、例えば、パケットの条件と、パケットが条件を満足した際のアクションと、参照回数や生存時間などの統計情報との組からなる設定情報である。スイッチ装置３０は、ネットワークＮ１上の各所に予め配置されている。

ポータルサーバ４０は、例えば、Ｗｅｂ（ウェブ）サーバ装置であり、端末装置２０を使用するユーザに各種コンテンツを提供する。なお、本実施形態では、ポータルサーバ４０は、ログインサーバ５０によって、正当なユーザであることが認証された場合に、ユーザに各種コンテンツを提供する。

ログインサーバ５０（認証サーバ装置）は、端末装置２０を使用するユーザのログインを認証して、正当なユーザであることが認証された場合に、ユーザにチケットを発行する。また、なお、ログインサーバ５０は、正当なユーザであることが認証された場合に、認証したユーザの情報（例えば、ユーザが使用している端末装置２０のＩＰ（Internet Protocol）アドレスや、ユーザが所属するグループを示すグループ情報など）を中継サーバ６０に送信する。また、ログインサーバ５０は、例えば、ＬＤＡＰ（Lightweight Directory Access Protocol）の機能を含んでいる。
なお、本実施形態において、ログインサーバ５０は、正当なユーザであることを認証することで、ユーザにネットワークＮ１にアクセス（接続）する権限（所定の権限）を付与する権限付与装置の一例である。
また、ログインサーバ５０は、ログイン記憶部５１と、ログイン制御部５２とを備えている。

ログイン記憶部５１は、ログインサーバ５０の各種処理に利用する情報を記憶する。ログイン記憶部５１は、例えば、ユーザ情報記憶部５１１と、グループ情報記憶部５１２と、ユーザ・グループ対応記憶部５１３とを備えている。

ユーザ情報記憶部５１１は、ユーザを識別するユーザＩＤと、ユーザの正当性を認証するためのパスワードとを関連付けたユーザ情報を記憶している。ここで、図２を参照して、ユーザ情報記憶部５１１のデータ例について説明する。
図２は、本実施形態におけるユーザ情報記憶部５１１のデータ例を示す図である。
この図において、ユーザ情報記憶部５１１は、「ユーザＩＤ」と、「パスワード」とを関連付けて記憶している。ここで、「ユーザＩＤ」は、上述したユーザを識別する識別情報であり、「パスワード」は、上述したパスワードである。
なお、図２に示す例では、「ユーザＩＤ」が“Ｕ００１”に対応する「パスワード」が“ＸＸ１２３ＸＸ”であることを示している。

図１の説明に戻り、グループ情報記憶部５１２は、ユーザが所属するグループ（例えば、企業内の部署や、開発プロジェクトなど）を示すグループ情報を記憶する。グループ情報記憶部５１２は、グループを識別するグループ情報と、グループの名称を示すグループ名とを関連付けて記憶する。ここで、図３を参照して、グループ情報記憶部５１２のデータ例について説明する。
図３は、本実施形態におけるグループ情報記憶部５１２のデータ例を示す図である。
この図において、グループ情報記憶部５１２は、「グループＩＤ」と「グループ名」とを関連付けて記憶する。ここで「グループＩＤ」は、上述したグループ情報の一例である。
図３に示す例では、「グループＩＤ」が“Ｇ０１”であるグループは、「グループ名」が“○○部”であることを示している。

再び、図１の説明に戻り、ユーザ・グループ対応記憶部５１３は、ユーザとグループとの対応を示す対応テーブルを記憶する。ユーザ・グループ対応記憶部５１３は、例えば、ユーザＩＤと、上述したグループ情報のリストとを関連付けて記憶する。ここで、図４を参照して、ユーザ・グループ対応記憶部５１３のデータ例について説明する。
図４は、本実施形態におけるユーザ・グループ対応記憶部５１３のデータ例を示す図である。
この図において、ユーザ・グループ対応記憶部５１３は、「ユーザＩＤ」と「グループリスト」とを関連付けて記憶する。
なお、図４に示す例では、「ユーザＩＤ」が“Ｕ００１”に対応する「グループリスト」が“Ｇ０１、Ｇ０２、Ｇ０５”であることを示している。すなわち、「ユーザＩＤ」が“Ｕ００１”であるユーザが、“Ｇ０１”と、“Ｇ０２”と、“Ｇ０５”との３つのグループに所属していることを示している。

再び、図１の説明に戻り、ログイン制御部５２は、例えば、ＣＰＵ（Central Processing Unit）などを含むプロセッサであり、ログインサーバ５０を統括的に制御する。ログイン制御部５２は、例えば、ユーザが端末装置２０から入力されたユーザＩＤと、パスワードとを取得し、取得したユーザＩＤと、パスワードとの組と、ユーザ情報記憶部５１１が記憶する情報に基づいて、ユーザを認証する。また、ログイン制御部５２は、ユーザの正当性が認証された場合に、ユーザが正当性を証明するチケットを発行するとともに、端末装置２０のＩＰアドレス、グループリストなどを含むユーザ情報を中継サーバ６０に送信する。
また、ログイン制御部５２は、ユーザ認証部５２１と、ログイン情報送信部５２２とを備えている。

ユーザ認証部５２１は、端末装置２０からユーザＩＤとパスワードとを取得し、取得したユーザＩＤと一致する「ユーザＩＤ」に関連付けられてユーザ情報記憶部５１１が記憶する「パスワード」が、取得したパスワードと一致するか否かを判定する。すなわち、ユーザ認証部５２１は、取得したユーザＩＤとパスワードとの組と、ユーザ情報記憶部５１１が記憶する「ユーザＩＤ」と「パスワード」との組とが一致するか否かを判定する。ユーザ認証部５２１は、この２つの組が一致した場合に、端末装置２０を使用するユーザの正当性が証明されたと判定し、上述したチケットを発行する。ここで、チケットとは、ユーザの正当性を証明する認証チケットのことである。

また、ログイン情報送信部５２２は、認証によりユーザの正当性が証明された場合に、認証したユーザＩＤに基づいて、ユーザ・グループ対応記憶部５１３から当該ユーザＩＤに対応するグループリストを取得する。そして、ログイン情報送信部５２２は、ユーザ・グループ対応記憶部５１３から取得したグループリストと、ユーザが使用する端末装置２０のＩＰアドレスと、アプリケーション識別情報と、認証されたユーザの認証結果の有効期間（例えば、Ｅｘｐｉｒｅ時刻など）とを含むログイン情報を、中継サーバ６０を介してＮＷ制御サーバ１０に送信する。ここで、アプリケーション識別情報（例えば、アプリケーションＩＤ）は、ユーザに所定の権限を付与するアプリケーション（ユーザに提供するサービス）を識別する識別情報である。なお、ユーザが使用する端末装置２０のＩＰアドレスは、例えば、端末装置２０からユーザＩＤとパスワードとを取得した際のパケットに含まれていたものが利用される。
また、ログイン情報送信部５２２は、送信したログイン情報に対する応答を、ＮＷ制御サーバ１０から中継サーバ６０を介して受信した場合に、ユーザ認証部５２１が発行したチケットを端末装置２０に送信する。

中継サーバ６０は、ログインサーバ５０とＮＷ制御サーバ１０との間の通信を中継するコンピュータ装置である。なお、ログインサーバ５０と、ＮＷ制御サーバ１０と、中継サーバ６０とは、ネットワークＮ１とは異なり、スイッチ装置３０を介さない専用のネットワークに接続されているものとする。また、ログインサーバ５０と中継サーバ６０との間のインターフェースと、中継サーバ６０とＮＷ制御サーバ１０との間のインターフェースとが、異なっており、中継サーバ６０は、このインターフェースの違いを吸収するように、ログインサーバ５０とＮＷ制御サーバ１０との間の通信を変換して中継する。

ＮＷ制御サーバ１０（ネットワーク制御装置の一例）は、スイッチ装置３０を制御するコンピュータ装置である。ＮＷ制御サーバ１０は、スイッチ装置３０が配置されたネットワークＮ１を制御する。ＮＷ制御サーバ１０は、例えば、ログインサーバ５０から中継サーバ６０を介して取得したログイン情報に含まれるグループリストに基づいて、スイッチ装置３０にフローを設定し、ユーザ毎に異なるネットワークを構築する。
ＮＷ制御サーバ１０は、記憶部１１と、制御部１２とを備えている。

記憶部１１は、ＮＷ制御サーバ１０の各種処理に利用する情報を記憶する。記憶部１１は、例えば、端末情報記憶部１１１と、グループ組合せ情報記憶部１１２と、物理トポロジ記憶部１１３とを備えている。

端末情報記憶部１１１（装置情報記憶部の一例）は、ネットワークＮ１内に配置されているスイッチ装置３０に接続されている端末装置２０を含む各種装置に関する情報を記憶する。端末情報記憶部１１１は、例えば、スイッチ装置３０を識別するスイッチ情報と、装置が接続されているポート番号と、当該スイッチ装置３０に接続されている装置を識別する装置識別情報と、当該装置に対応するグループ情報と、アプリケーション識別情報と、認証結果の有効期間を示す情報とを関連付けた端末情報（装置情報）を記憶する。ここで、図５を参照して、端末情報記憶部１１１のデータ例について説明する。

図５は、本実施形態における端末情報記憶部１１１のデータ例を示す図である。
この図において、端末情報記憶部１１１は、「接続ＳＷ」と、「接続ポート番号」と、「ＭＡＣアドレス」と、「ＩＰアドレス」と、「組合せＩＤ」と、「ＡｐｐＩＤ」と、「削除する時刻」とを関連付けて端末情報として記憶している。ここで、「接続ＳＷ」は、スイッチ装置３０を識別するスイッチ情報であり、「接続ポート番号」は、装置が接続されているスイッチ装置３０のポート番号を示している。また、「ＭＡＣアドレス」及び「ＩＰアドレス」は、スイッチ装置３０に接続されている装置のＭＡＣ（Media Access Control）アドレス及びＩＰアドレスを示している。なお、「ＭＡＣアドレス」及び「ＩＰアドレス」は、上述した装置識別情報の一例である。また、「組合せＩＤ」は、グループの組合せを示す識別情報であり、装置（又は、端末装置２０を使用するユーザ）がアクセス可能な論理ネットワークのグループを示すグループ情報である。グループ情報は、例えば、装置（又は、端末装置２０を使用するユーザ）が所属するグループを示している。また、「ＡｐｐＩＤ」は、上述したアプリケーション識別情報（例えば、アプリケーションＩＤ）を示している。また、「削除する時刻」は、例えば、Ｅｘｐｉｒｅ時刻であり、認証されたユーザの認証結果の有効期限を示している。なお、「削除する時刻」は、例えば、日付と時刻とを示す時刻情報である。

図５に示す例では、「接続ＳＷ」が“ＳＷ００１”であるスイッチ装置３０には、「接続ポート番号」が“ＰＯＲＴ１”に、「ＭＡＣアドレス」及び「ＩＰアドレス」が“００：１１：２２：３３：４４：０１”及び“ＸＸＸ．０．０．１”の装置が接続されていることを示している。また、この装置が所属するグループの「組合せＩＤ」は、“ＰＧ００１”であり、「削除する時刻」が“２０１４／０１／０１ ００：００：００”であることを示している。また、「ＡｐｐＩＤ」（アプリケーションＩＤ）が、“ＡＰ０１”であることを示している。
なお、ユーザが使用する端末装置２０の端末情報は、端末装置２０がスイッチ装置３０に接続され、ログインサーバ５０が認証処理を行う際に、端末情報記憶部１１１に記憶される。また、端末情報記憶部１１１には、例えば、ログインサーバ５０など、ネットワークＮ１に固定に常時接続されている装置の端末情報（装置情報）が予め記憶されている。

再び、図１の説明に戻り、グループ組合せ情報記憶部１１２は、グループの組合せを示す組合せＩＤとグループリストとの対応を示す対応テーブルを記憶する。グループ組合せ情報記憶部１１２は、例えば、組合せＩＤと、当該組合せＩＤに対応するグループリストとを関連付けて記憶する。ここで、図６を参照して、グループ組合せ情報記憶部１１２のデータ例について説明する。

図６は、本実施形態におけるグループ組合せ情報記憶部１１２のデータ例を示す図である。
この図において、グループ組合せ情報記憶部１１２は、「組合せＩＤ」と、「グループリスト」とを関連付けて記憶している。なお、「グループリスト」は、「組合せＩＤ」に含まれるグループＩＤの組（リスト）を示している。
図６に示す例では、「組合せＩＤ」が“ＰＧ００１”に対応する「グループリスト」が、“Ｇ０１、Ｇ０２、Ｇ０５”であることを示している。
このようにグループ組合せ情報記憶部１１２のデータを構成することにより、「組合せＩＤ」から対応するグループＩＤの組（リスト）を検索することができる。

再び、図１の説明に戻り、物理トポロジ記憶部１１３は、ネットワークＮ１内において、各スイッチ装置３０が物理的に接続されている物理トポロジを示す情報を記憶する。物理トポロジ記憶部１１３は、例えば、スイッチ装置３０を識別するスイッチ情報と、当該スイッチ装置３０が接続されている経路の始点ノードのスイッチＩＤ及び終点ノードのスイッチＩＤとを関連付けて記憶する。ここで、図７を参照して、物理トポロジ記憶部１１３のデータ例について説明する。

図７は、本実施形態における物理トポロジ記憶部１１３のデータ例を示す図である。
この図において、物理トポロジ記憶部１１３は、ネットワークに接続されているスイッチ装置３０のリストを示すスイッチテーブル（図７（ａ）参照）と、「始点ノード」と、「終点ノード」とを関連付けて記憶する経路テーブル（図７（ｂ）参照）とを有している。
図７（ａ）に示すように、物理トポロジ記憶部１１３は、スイッチテーブルとして、「スイッチＩＤ」を記憶している。ここで、「スイッチＩＤ」は、当該スイッチ装置３０を識別するスイッチ情報である。
また、図７（ｂ）に示すように、物理トポロジ記憶部１１３は、経路テーブルとして、「始点ノード」と、「終点ノード」とを関連付けて記憶している。ここで、「始点ノード」及び「終点ノード」は、上述した当該スイッチ装置３０が接続されている経路の始点ノードのスイッチＩＤ及び終点ノードのスイッチＩＤを示している。
図７に示す例では、「スイッチＩＤ」が“ＳＷ００１”であるスイッチ装置３０がネットワークに接続されており、ネットワークには、「始点ノード」が“ＳＷＸＸＸ”のスイッチ装置３０から「終点ノード」が“ＳＷＹＹＹ”のスイッチ装置３０の通信経路が存在することを示している。

再び、図１の説明に戻り、制御部１２は、例えば、ＣＰＵなどを含むプロセッサであり、ＮＷ制御サーバ１０を統括的に制御する。制御部１２は、例えば、スイッチ装置３０に端末装置２０が接続され、ログイン要求が出された場合に、スイッチ情報と、ポート番号と、端末識別情報（例えば、ＭＡＣアドレス及びＩＰアドレス）とを当該スイッチ装置３０から取得する。また、制御部１２は、例えば、ログインサーバ５０からログイン情報を取得する。制御部１２は、取得したログイン情報に含まれるＩＰアドレスから、ユーザがログインした端末装置２０と、当該ログイン情報に含まれるグループ情報との対応付けを行う。そして、制御部１２は、取得したスイッチ情報と、端末識別情報と、グループ情報とに基づいて、ログインしたユーザに対応するネットワークを構築するフローを生成し、スイッチ装置３０に設定する。
また、制御部１２は、情報取得部１２１と、フロー生成部１２２と、設定処理部１２３とを備えている。

情報取得部１２１（取得部の一例）は、端末装置２０が接続されるスイッチ装置３０のスイッチ情報と、当該端末装置２０の端末識別情報と、当該端末装置２０を利用するユーザがアクセス可能な論理ネットワークのグループを示すグループ情報（例えば、ユーザが所属するグループ情報）と、アプリケーション識別情報とを取得する。情報取得部１２１は、例えば、スイッチ装置３０に端末装置２０が接続され、端末装置２０からログインが行われる際に、スイッチ装置３０から送信されるパケットインに含まれるスイッチ情報と、ポート番号と、端末識別情報とを取得する。情報取得部１２１は、取得したスイッチ情報と、ポート番号と、端末識別情報とを関連付けて端末情報記憶部１１１に記憶させる。ここで、パケットインとは、スイッチ装置３０に設定されているフローの中に、スイッチ装置３０が受信した受信パケットに対応する設定がなかった場合に、スイッチ装置３０が、ＮＷ制御サーバ１０に送信するメッセージのことであり、このパケットインには、受信パケットの内容が含まれている。

また、情報取得部１２１は、ログインサーバ５０が中継サーバ６０を介して送信したログイン情報を取得する。なお、このログイン情報には、グループリストと、ユーザがログインに使用した端末装置２０のＩＰアドレスと、アプリケーション識別情報と、認証されたユーザの認証結果の有効期間（例えば、Ｅｘｐｉｒｅ時刻など）とが含まれる。また、情報取得部１２１は、グループ組合せ情報記憶部１１２を参照して、取得したグループリストに対応する組合せＩＤが、グループ組合せ情報記憶部１１２に存在するか否かを判定する。

情報取得部１２１は、組合せＩＤが、グループ組合せ情報記憶部１１２に存在する場合に、ログイン情報として取得したＩＰアドレスに対応する端末情報記憶部１１１の端末情報に、当該組合せＩＤと、アプリケーション識別情報と、認証結果の有効期間を示す情報とを関連付けて追加記憶させる。
また、情報取得部１２１は、組合せＩＤが、グループ組合せ情報記憶部１１２に存在しない場合に、新規の組合せＩＤとして、グループ組合せ情報記憶部１１２に登録するとともに、端末情報記憶部１１１の端末情報に、当該組合せＩＤと、認証結果の有効期間を示す情報とを関連付けて追加記憶させる。なお、情報取得部１２１は、新規の組合せＩＤとして登録する場合に、新たに付与した組合せＩＤと、取得したグループリストとを関連付けてグループ組合せ情報記憶部１１２に記憶させる。
このように、情報取得部１２１は、端末装置２０が接続されたスイッチ装置３０から、当該スイッチ装置３０のスイッチ情報及び端末識別情報を取得するとともに、ログインサーバ５０から、ユーザの正当性が認証された場合に、端末識別情報と、当該アクセス可能な論理ネットワークのグループを示すグループ情報とを取得する。情報取得部１２１は、取得した当該スイッチ情報と、当該端末識別情報と、当該グループ情報（例えば、組合せＩＤ）と、アプリケーション識別情報とを関連付けて、装置情報として端末情報記憶部１１１に記憶させる。

フロー生成部１２２（設定情報生成部の一例）は、スイッチ装置３０を制御するフローを生成する。フロー生成部１２２は、例えば、端末情報記憶部１１１が記憶する装置情報に基づいて、端末装置２０と他装置との間の通信を制御するフローを生成する。具体的に、フロー生成部１２２は、端末情報記憶部１１１が記憶する装置情報のうち、端末装置２０のグループ情報と一致するグループに所属する他装置と、当該端末装置２０との間の通信を許可するように、各装置が接続されているスイッチ装置３０、または途中の経路に配置されているスイッチ装置３０に対するフローを生成する。なお、フロー生成部１２２は、途中の経路に配置されているスイッチ装置３０を、物理トポロジ記憶部１１３が記憶している情報に基づいて検出し、検出したスイッチ装置３０に対するフローを生成する。
このように、フロー生成部１２２は、情報取得部１２１が取得したスイッチ情報と、グループ情報と、端末識別情報（例えば、ＩＰアドレス）とに基づいて、フローを生成する。

例えば、図１に示す例では、フロー生成部１２２は、スイッチ装置３０−１に対して、端末装置２０とポータルサーバ４０との間の通信を許可するフローを生成する。
また、フロー生成部１２２は、パケットインを受信した場合に、当該スイッチ装置３０に接続されている端末装置２０とログインサーバ５０との間の通信を許可するフローを生成する。例えば、図１に示す例では、端末装置２０とログインサーバ５０との間のスイッチ装置３０−１に対する、端末装置２０とログインサーバ５０との間の通信を許可するフローを生成する。

設定処理部１２３は、フロー生成部１２２が生成したフローを各スイッチ装置３０に送信し、フローを各スイッチ装置３０に設定する。すなわち、設定処理部１２３は、情報取得部１２１が取得したスイッチ情報とグループ情報と端末識別情報とに基づいて生成されたフロー（設定情報）であって、端末装置２０とネットワークＮ１に接続されている他装置との間の通信を制御するフローをスイッチ装置３０に設定する。設定処理部１２３は、例えば、端末装置２０が接続されたスイッチ装置３０から、情報取得部１２１が、当該スイッチ装置３０のスイッチ情報及び端末識別情報を取得した場合に、端末装置２０とログインサーバ５０との間の通信を許可するフローをスイッチ装置３０に設定する。また、設定処理部１２３は、パケットインを受信した場合に、当該スイッチ装置３０に接続されている端末装置２０とログインサーバ５０との間の通信を許可するフローをスイッチ装置３０に設定する。

次に、本実施形態によるネットワークシステム１及びＮＷ制御サーバ１０の動作について、図面を参照して説明する。
ここではまず、図８及び図９を参照して、本実施形態におけるネットワークシステム１の動作について説明する。
図８は、本実施形態によるネットワークシステム１の動作の一例を示す第１の図である。また、図９は、本実施形態によるネットワークシステム１の動作の一例を示す第２の図である。
ここでは、端末装置２０を使用するユーザが、ポータルサーバ４０にアクセスしようとして、端末装置２０からログインする場合の一例について説明する。なお、図８及び図９に示す例では、端末装置２０（端末装置２０を使用するユーザ）と、ポータルサーバ４０とが同じグループに所属しているものとして説明する。

図８及び図９に示すように、ネットワークシステム１では、まず、端末装置２０が、スイッチ装置３０−１に接続され、ログイン要求をログインサーバ５０に対して送信する（ステップＳ１０１）。なお、この状態において、スイッチ装置３０−１は、端末装置２０と他装置との間の通信を許可していないものとする。

スイッチ装置３０−１は、ログイン要求を受信した場合に、パケットインをＮＷ制御サーバ１０に送信する（ステップＳ１０２）。すなわち、スイッチ装置３０−１は、ログイン要求を受信した場合に、自装置に設定されているフローを確認し、スイッチ装置３０が受信したログイン要求のパケットに対応する設定がされていないため、パケットインをＮＷ制御サーバ１０に送信する（ステップＳ１０２）。なお、このパケットインには、スイッチ装置３０−１のスイッチ情報、接続ポート番号、及び端末識別情報（例えば、ＩＰアドレス及びＭＡＣアドレス）が含まれている。

次に、ＮＷ制御サーバ１０は、パケットインを受信して、ＩＰアドレスとＭＡＣアドレスとを関連付ける（ステップＳ１０３）。すなわち、ＮＷ制御サーバ１０の情報取得部１２１は、パケットインに含まれるスイッチ装置３０−１のスイッチ情報、接続ポート番号、ＩＰアドレス、及びＭＡＣアドレスを取得し、取得したこれらの情報を関連付けて、端末情報記憶部１１１に記憶させる。

次に、ＮＷ制御サーバ１０は、端末装置２０とログインサーバ５０との接続を許可するフローを設定する（ステップＳ１０４）。すなわち、フロー生成部１２２は、受信したパケットインに応じて、端末装置２０とログインサーバ５０との間の通信（接続）を許可するフローを生成する。そして、設定処理部１２３は、フロー生成部１２２が生成した当該フローをスイッチ装置３０−１に設定する。
これにより、端末装置２０とログインサーバ５０との間の通信が可能になり、端末装置２０は、ログインサーバ５０に認証アクセス要求を送信する（ステップＳ１０５）。

次に、ログインサーバ５０は、端末装置２０を使用しているユーザの認証処理を実行する（ステップＳ１０６）。すなわち、ログインサーバ５０のユーザ認証部５２１は、端末装置２０から、ユーザＩＤと、パスワードとを取得するとともに、ユーザ情報記憶部５１１が記憶しているユーザ情報の中に、取得したユーザＩＤ及びパスワードの組が存在するか否かを判定する。ユーザ認証部５２１は、ユーザ情報記憶部５１１が記憶しているユーザ情報の中に、取得したユーザＩＤ及びパスワードの組が存在する場合に、正当なユーザであると認証する。そして、ユーザ認証部５２１は、ユーザの正当性を証明するチケットを発行する（ステップＳ１０７）。なお、ユーザ認証部５２１は、チケットを発行する際に、当該認証結果の有効期間を示す「削除する時刻」を決定する。

また、ログインサーバ５０は、ＩＰアドレス、グループ情報、及び「削除する時刻」を含むログイン情報を送信する（ステップＳ１０８）。すなわち、ログインサーバ５０のログイン情報送信部５２２は、認証処理の際に取得したユーザＩＤに対応するグループリストをグループ情報記憶部５１２からグループ情報として読み出す。ログイン情報送信部５２２は、認証処理の際に取得した端末装置２０のＩＰアドレスと、グループ情報記憶部５１２から読み出したグループリスト（グループ情報）と、「削除する時刻」とを含むログイン情報を中継サーバ６０に送信する。

次に、中継サーバ６０は、ＩＰアドレス、グループ情報、及び「削除する時刻」を含むログイン情報をＮＷ制御サーバ１０に転送する（ステップＳ１０９）。ここで、中継サーバ６０は、ログインサーバ５０から受信したログイン情報を、ＮＷ制御サーバ１０への通信インターフェースに変換してＮＷ制御サーバ１０に転送する。

ＮＷ制御サーバ１０は、グループ情報を登録する（ステップＳ１１０）。すなわち、ＮＷ制御サーバ１０の情報取得部１２１は、ログイン情報を取得し、グループ組合せ情報記憶部１１２を参照して、取得したログイン情報に含まれるグループリストに対応する組合せＩＤをグループ組合せ情報記憶部１１２から読み出す。そして、情報取得部１２１は、ログイン情報として取得したＩＰアドレスに対応する端末情報記憶部１１１の端末情報に、当該組合せＩＤと、「削除する時刻」とを関連付けて追加記憶させる。

次に、ＮＷ制御サーバ１０は、ポータルサーバ４０との接続を許可するフローを設定する（ステップＳ１１１）。すなわち、ＮＷ制御サーバ１０のフロー生成部１２２は、端末情報記憶部１１１が記憶している端末情報に基づいて、端末装置２０とポータルサーバ４０との通信（接続）を許可するフローを生成する。つまり、端末装置２０とポータルサーバ４０とは、同じグループに所属しているので、端末装置２０とポータルサーバ４０との通信（接続）を許可するフローを生成する。そして、設定処理部１２３は、フロー生成部１２２が生成したフローをスイッチ装置３０−１に設定する。
これにより、端末装置２０とポータルサーバ４０との間の通信が可能になる。

また、一方で、ＮＷ制御サーバ１０は、中継サーバ６０に、ログイン情報の受信に対する応答送信をし（ステップＳ１１２）、中継サーバ６０は、この応答送信をログインサーバ５０に転送する（ステップＳ１１３）。
次に、ログインサーバ５０は、発行したチケットを端末装置２０に送信する（ステップＳ１１４）。

次に、端末装置２０は、アクセス画面要求をポータルサーバ４０に送信する（ステップＳ１１５）。すなわち、端末装置２０は、ログインサーバ５０から受信したチケットをクッキー（cookie）に格納して、アクセス画面の要求を送信する。
次に、ポータルサーバ４０は、アクセス画面を端末装置２０に送信する（ステップＳ１１６）。すなわち、ポータルサーバ４０は、受信したチケットにより、ユーザの正当性を確認した後、要求されたアクセス画面（コンテンツ）を端末装置２０に送信する。

次に、図１０を参照して、本実施形態によるＮＷ制御サーバ１０の動作について説明する。
図１０は、本実施形態によるＮＷ制御サーバ１０の動作の一例を示すフローチャートである。
なお、この図に示す例は、上述した図８及び図９と同様に、端末装置２０を使用するユーザが、ポータルサーバ４０にアクセスしようとして、端末装置２０からログインする場合の一例であり、端末装置２０（端末装置２０を使用するユーザ）と、ポータルサーバ４０とが同じグループに所属しているものとして説明する。

図１０において、まず、ＮＷ制御サーバ１０は、パケットインにより、スイッチ情報（接続ＳＷ）、接続ポート番号、ＭＡＣアドレス、及びＩＰアドレスを取得する（ステップＳ２０１）。すなわち、情報取得部１２１は、スイッチ装置３０−１から送信されたパケットインに含まれるスイッチ情報（接続ＳＷ）、接続ポート番号、ＭＡＣアドレス、及びＩＰアドレスを取得する。

次に、情報取得部１２１は、スイッチ情報（接続ＳＷ）、接続ポート番号、ＭＡＣアドレス、及びＩＰアドレスを端末情報記憶部１１１に記憶させる（ステップＳ２０２）。情報取得部１２１は、例えば、取得したスイッチ情報（接続ＳＷ）、接続ポート番号、ＭＡＣアドレス、及びＩＰアドレスを関連付けて、端末情報として、端末情報記憶部１１１に記憶させる。

次に、設定処理部１２３は、取得したＩＰアドレスに対応する端末装置２０と、ログインサーバ５０との通信を許可するフローをスイッチ装置３０−１に設定する（ステップＳ２０３）。すなわち、フロー生成部１２２が、端末装置２０とログインサーバ５０との間の通信を許可するフローを生成し、設定処理部１２３が、フロー生成部１２２が生成した当該フローをスイッチ装置３０−１に設定する。

次に、情報取得部１２１は、ログインサーバ５０から、認証された端末装置２０のＩＰアドレス、グループ情報（例えば、グループリスト）、及び「削除する時刻」を取得する（ステップＳ２０４）。すなわち、情報取得部１２１は、ログインサーバ５０から受信したログイン情報に含まれるこれらの情報（ＩＰアドレス、グループ情報、及び「削除する時刻」）を取得する。なお、情報取得部１２１は、ＩＰアドレス、グループ情報、及び「削除する時刻」の他に、ログインサーバ５０から受信したログイン情報に含まれるアプリケーション識別情報を取得してもよい。

次に、情報取得部１２１は、取得したグループ情報（ここではグループリスト）に基づくグループの組み合わせがあるか否かを判定する（ステップＳ２０５）。すなわち、情報取得部１２１は、グループ組合せ情報記憶部１１２を参照して、取得したログイン情報に含まれるグループリストに対応する組合せＩＤが、グループ組合せ情報記憶部１１２に存在するか否かを判定する。情報取得部１２１は、組合せＩＤが、グループ組合せ情報記憶部１１２に存在する場合（ステップＳ２０５：ＹＥＳ）に、処理をステップＳ２０７に進める。また、情報取得部１２１は、組合せＩＤが、グループ組合せ情報記憶部１１２に存在しない場合（ステップＳ２０５：ＮＯ）に、処理をステップＳ２０６に進める。

ステップＳ２０６において、情報取得部１２１は、取得したグループ情報に基づく組合せＩＤを、グループ組合せ情報記憶部１１２に登録する。すなわち、情報取得部１２１は、新規の組合せＩＤと、グループリストとを関連付けてグループ組合せ情報記憶部１１２に記憶させる。

また、ステップＳ２０７において、情報取得部１２１は、取得したＩＰアドレスに対応する端末情報記憶部１１１の端末情報に、組合せＩＤ、及び「削除する時刻」を記憶させる。すなわち、情報取得部１２１は、ログイン情報として取得したＩＰアドレスに対応する端末情報記憶部１１１の端末情報に、当該組合せＩＤと、「削除する時刻」とを関連付けて追加記憶させる。なお、情報取得部１２１は、端末情報記憶部１１１に、アプリケーション識別情報を含めて追加記憶させてもよい。

次に、フロー生成部１２２は、端末装置２０の組合せＩＤに対応するグループ情報と一致するグループに所属する他装置（ここでは、ポータルサーバ４０）と、端末装置２０との間の通信を許可するフローを生成する（ステップＳ２０８）。すなわち、フロー生成部１２２は、端末情報記憶部１１１から端末装置２０の組合せＩＤを取得し、取得した組合せＩＤに対応するグループＩＤをグループ組合せ情報記憶部１１２から取得する。フロー生成部１２２は、取得したグループＩＤを含む組合せＩＤを、グループ組合せ情報記憶部１１２から全て検索し、さらに、検索した組合せＩＤを含む端末情報（装置情報）を端末情報記憶部１１１から全て検索する。フロー生成部１２２は、検索した端末情報（装置情報）に対応する他装置（例えば、ポータルサーバ４０）と、端末装置２０との間の通信を許可するフローを生成する。なお、フロー生成部１２２は、途中の経路に配置されているスイッチ装置３０を、物理トポロジ記憶部１１３が記憶している情報に基づいて検出し、検出したスイッチ装置３０に対するフローを生成する。例えば、フロー生成部１２２は、スイッチ装置３０−１に対するフローを生成する。

次に、設定処理部１２３は、フロー生成部１２２が生成したフローをスイッチ装置３０に設定する（ステップＳ２０９）。例えば、設定処理部１２３は、フロー生成部１２２が生成した端末装置２０とポータルサーバ４０との間の通信を許可するフローをスイッチ装置３０−１に設定する。

以上説明したように、本実施形態によるＮＷ制御サーバ１０は、フロー（設定情報）に基づいてパケットの通過を制御可能なスイッチ装置３０が配置されたネットワークＮ１を制御するネットワーク制御装置であって、情報取得部１２１（取得部）と、設定処理部１２３とを備えている。情報取得部１２１は、端末装置２０が接続されるスイッチ装置３０を識別するスイッチ情報と、端末装置２０を識別する端末識別情報（例えば、ＩＰアドレス、ＭＡＣアドレスなど）と、当該端末装置２０を利用するユーザがアクセス可能な論理ネットワークのグループを示すグループ情報（例えば、ユーザが所属するグループを示すグループ情報）とを取得する。そして、設定処理部１２３は、情報取得部１２１が取得したスイッチ情報とグループ情報と端末識別情報とに基づいて生成されたフローであって、端末装置２０とネットワークＮ１に接続されている他装置（例えば、ポータルサーバ４０）との間の通信を制御するフローをスイッチ装置３０に設定する。
これにより、本実施形態によるＮＷ制御サーバ１０は、ユーザ毎に、スイッチ装置３０によるネットワークの接続を変更するので、ユーザ毎に適切な接続のネットワークを構築することができる。

ここで、図１１を参照して、本実施形態によるＮＷ制御サーバ１０の効果の具体例について説明する。
図１１は、本実施形態によるＮＷ制御サーバ１０の効果の一例を示す図である。
この図において、スイッチ装置（３０−１、３０−２）を有する居室用ネットワークＮ１１と、開発用ネットワークＮ１２とが、スイッチ装置３０−３を介して接続されて、ネットワークＮ１が構築されている。ここで、居室用ネットワークＮ１１は、グループ“○○部”（Ｇ１）に所属するサーバ装置（４１、４２）、及び端末装置（２０−１、２０−２）が接続される。また、開発用ネットワークＮ１２は、グループ“××プロジェクト”（Ｇ２）に所属するサーバ装置４３が接続される。また、端末装置２０−１は、グループ“○○部”（Ｇ１）及びグループ“××プロジェクト”（Ｇ２）に所属するユーザＵ１が利用する装置であり、端末装置２０−２は、グループ“○○部”（Ｇ１）に所属するユーザＵ２が利用する装置である。

図１１に示す例では、ＮＷ制御サーバ１０は、ユーザＵ１が利用する端末装置２０−１に対して、パケットがスイッチ装置３０−１〜３０−３を通過できるようにフローを設定する。そのため、端末装置２０−１は、グループ“○○部”（Ｇ１）に所属する居室用ネットワークＮ１１の各装置、及びグループ“××プロジェクト”（Ｇ２）に所属するサーバ装置４３の両方との間の通信が可能である。すなわち、端末装置２０−１は、例えば、端末装置２０−２、及びサーバ装置（４１、４２）だけでなく、サーバ装置４３に対しても通信することができる。

また、ＮＷ制御サーバ１０は、ユーザＵ２が利用する端末装置２０−２に対して、パケットがスイッチ装置（３０−１、３０−２）を通過できるようにフローを設定するとともに、スイッチ装置３０−３を通過できないようにフローを設定する。そのため、端末装置２０−１は、グループ“○○部”（Ｇ１）に所属する居室用ネットワークＮ１１の各装置との間の通信が可能であるが、グループ“××プロジェクト”（Ｇ２）に所属するサーバ装置４３との間の通信は、不可能である。すなわち、端末装置２０−１は、例えば、サーバ装置４３に対しても通信することができない。

このように、ＮＷ制御サーバ１０は、ユーザＵ１が利用する端末装置２０−１に対しては、居室用ネットワークＮ１１と、開発用ネットワークＮ１２との両方を利用できるネットワークを構築し、ユーザＵ２が利用する端末装置２０−２に対しては、居室用ネットワークＮ１１のみを利用できるネットワークを構築する。よって、ＮＷ制御サーバ１０は、ユーザ毎に適切な接続のネットワークを構築することができる。
また、上述した図１１に示すように、ユーザＵ２が利用する端末装置２０−２は、スイッチ装置３０−３の設定により、サーバ装置４３に物理的に接続することができない。すなわち、グループに所属しない（権限のない）ユーザは、物理的なネットワークレベルで接続することができない。このため、本実施形態によるＮＷ制御サーバ１０は、悪意を持つ者からの攻撃を未然に防ぐことができ、セキュリティを向上させることができる。

また、本実施形態では、ＮＷ制御サーバ１０は、端末情報記憶部１１１（装置情報記憶部）と、フローを生成するフロー生成部１２２（設定情報生成部）とを備えている。ここで、端末情報記憶部１１１は、スイッチ装置３０を識別するスイッチ情報と、当該スイッチ装置３０に接続されている装置を識別する装置識別情報（端末識別情報）と、当該装置に対応するグループ情報とを関連付けた装置情報（端末情報）を記憶する。情報取得部１２１は、取得した当該スイッチ情報と、当該端末識別情報と、当該グループ情報とを関連付けて、装置情報として端末情報記憶部１１１に記憶させる。フロー生成部１２２は、端末情報記憶部１１１が記憶する装置情報に基づいて、端末装置２０と他装置との間の通信を制御するフローを生成する。そして、設定処理部１２３は、フロー生成部１２２が生成したフローをスイッチ装置３０に設定する。
これにより、本実施形態によるＮＷ制御サーバ１０は、端末情報記憶部１１１を利用した簡易な手段により、フローを生成することができるとともに、ユーザ毎に、より適切にアクセス制限されたネットワークを構築することができる。

また、本実施形態では、上述した装置情報には、ユーザに所定の権限を付与するアプリケーションを識別するアプリケーション識別情報が含まれる。情報取得部１２１は、スイッチ情報及び端末識別情報と、端末識別情報と、グループ情報と、アプリケーション識別情報とを取得し、取得した当該スイッチ情報と、当該端末識別情報と、当該グループ情報と、アプリケーション識別情報とを関連付けて、装置情報として端末情報記憶部１１１に記憶させる。
これにより、本実施形態によるＮＷ制御サーバ１０は、例えば、複数のサービス（アプリケーション）のユーザに対して、各サービスで規定されるユーザのアクセス権限に応じて、それらの権限を重ね合わせたユーザ単位での論理ネットワークを構築することができる。

図１２は、本実施形態によるＮＷ制御サーバ１０の別の効果の一例を示す図である。
この図において、サーバ装置４４及びサーバ装置４５は、例えば、社内認証システム（アプリケーション“ＡＰ０１”）によってサービスが提供される（権限が付与される）“管理職用ネットワーク”（論理ネットワークＮ１３）に含まれる。また、サーバ装置４５〜サーバ装置４７は、例えば、社内認証システム（アプリケーション“ＡＰ０１”）によってサービスが提供される（権限が付与される）“○○部署用ネットワーク”（論理ネットワークＮ１４）に含まれる。また、サーバ装置４７及びサーバ装置４８は、例えば、ネットワーク利用申請システム（アプリケーション“ＡＰ０２”）によってサービスが提供される（権限が付与される）“運用保守用ネットワーク”（論理ネットワークＮ１５）に含まれる。

図１２に示す例では、ユーザＵ３が、端末装置２０−３を利用して、社内認証システム（アプリケーション“ＡＰ０１”）により権限を付与されてネットワークに接続した場合には、ユーザＵ３は、論理ネットワークＮ１３と論理ネットワークＮ１４との両方にアクセスできる。すなわち、この場合、ＮＷ制御サーバ１０は、端末装置２０−３から、社内認証システムによって許可された論理ネットワークＮ１３に所属するサーバ装置（４４、４５）及び論理ネットワークＮ１４に所属するサーバ装置（４５〜４７）に接続（アクセス）させるフローをスイッチ装置３０に設定する。
このように、本実施形態によるＮＷ制御サーバ１０は、同一のサービス内（アプリケーション内）で、論理ネットワークを重ね合わせたネットワークをユーザ毎に構築することができる。

また、ユーザＵ４が、端末装置２０−４を利用して、ネットワーク利用申請システム（アプリケーション“ＡＰ０２”）により権限を付与されてネットワークに接続した場合には、ユーザＵ４は、論理ネットワークＮ１５にアクセスできる。すなわち、この場合、ＮＷ制御サーバ１０は、端末装置２０−４から、ネットワーク利用申請システムによって許可された論理ネットワークＮ１５に所属するサーバ装置（４７、４８）に接続（アクセス）させるフローをスイッチ装置３０に設定する。
さらに、ユーザＵ３が、端末装置２０−３を利用して、ネットワーク利用申請システム（アプリケーション“ＡＰ０２”）により権限を付与されてネットワークに接続した場合には、ユーザＵ３は、論理ネットワークＮ１３及び論理ネットワークＮ１４に加えて論理ネットワークＮ１５にもアクセスできるようになる。すなわち、この場合、ＮＷ制御サーバ１０は、端末装置２０−３から、ネットワーク利用申請システムによって許可された論理ネットワークＮ１５に所属するサーバ装置（４７、４８）に接続（アクセス）させるフローをスイッチ装置３０に追加で設定する。

これにより、ユーザＵ３が、サービス（アプリケーション）の異なる論理ネットワーク（論理ネットワークＮ１３及びＮ１４と、論理ネットワークＮ１５と）を重ね合わせたネットワークを構築することができる。
このように、本実施形態によるＮＷ制御サーバ１０は、例えば、複数のサービス（アプリケーション）のユーザに対して、各サービスで規定されるユーザのアクセス権限に応じて、それらの権限を重ね合わせたユーザ単位での論理ネットワークを構築することができる。

また、本実施形態では、設定処理部１２３は、端末装置２０のグループ情報と一致するグループに所属する他装置と、当該端末装置２０との間の通信を許可するように生成されたフロー（設定情報）をスイッチ装置３０に設定する。
これにより、本実施形態によるＮＷ制御サーバ１０は、端末装置２０と同一のグループに所属する他装置との間の通信を、ユーザごとに許可することができる。

また、本実施形態では、情報取得部１２１は、端末装置２０が接続されたスイッチ装置３０から、当該スイッチ装置３０のスイッチ情報及び端末識別情報を取得する。そして、情報取得部１２１は、ユーザの正当性を認証するログインサーバ５０（権限付与装置）から、ユーザの正当性が認証された場合に、端末識別情報と、当該ユーザがアクセス可能な論理ネットワークのグループを示すグループ情報とを取得する。すなわち、ログインサーバ５０は、ユーザに所定の権限（例えば、ネットワークＮ１に接続する権限）を付与するログインサーバ５０から、ユーザに所定の権限が付与された場合に、端末識別情報と、当該ユーザがアクセス可能な論理ネットワークのグループを示すグループ情報とを取得する。設定処理部１２３は、端末装置２０が接続されたスイッチ装置３０から、情報取得部１２１が、当該スイッチ装置３０のスイッチ情報及び端末識別情報を取得した場合に、端末装置２０とログインサーバ５０との間の通信を許可するフローをスイッチ装置３０に設定する。
これにより、ログインサーバ５０によりユーザの正当性が確認された上で、スイッチ装置３０を制御するので、本実施形態によるＮＷ制御サーバ１０は、ユーザの正当性を確保しつつ、ユーザ毎に、より適切にアクセス制限されたネットワークを構築することができる。

また、本実施形態によれば、ネットワークシステム１は、ネットワーク上に配置され、フローに基づいてパケットの通過を制御可能なスイッチ装置３０と、ログインサーバ５０と、スイッチ装置３０が配置されたネットワークを制御するＮＷ制御サーバ１０とを備えている。スイッチ装置３０は、自装置を識別するスイッチ情報と、端末装置２０を識別する端末識別情報とを送信する。ログインサーバ５０は、端末装置２０を利用するユーザの正当性を認証し、当該ユーザの正当性が認証された場合に、端末識別情報と、当該ユーザがアクセス可能な論理ネットワークのグループを示すグループ情報とを送信する。すなわち、ログインサーバ５０は、端末装置２０を利用するユーザに所定の権限を付与し、当該ユーザに所定の権限が付与された場合に、端末識別情報と、当該ユーザがアクセス可能な論理ネットワークのグループを示すグループ情報とを送信する。そして、ＮＷ制御サーバ１０は、端末装置２０が接続されたスイッチ装置３０が送信した当該スイッチ装置３０のスイッチ情報及び端末識別情報を取得するとともに、ログインサーバ５０が送信した端末識別情報及びグループ情報を取得する。また、ＮＷ制御サーバ１０は、取得したスイッチ情報とグループ情報と端末識別情報とに基づいて生成されたフローであって、端末装置２０とネットワークに接続されている他装置との間の通信を制御するフローをスイッチ装置３０に設定する。
これにより、本実施形態によるネットワークシステム１は、上述したＮＷ制御サーバ１０と同様に、ユーザ毎に適切な接続のネットワークを構築することができる。

また、本実施形態によるネットワークシステム１の制御方法は、第１のステップと、第２の送信ステップと、取得ステップと、設定処理ステップとを含んでいる。第１のステップにおいて、スイッチ装置３０が、自装置を識別するスイッチ情報と、端末装置２０を識別する端末識別情報とを送信する。第２の送信ステップにおいて、ログインサーバ５０が、端末装置２０を利用するユーザの正当性が認証された場合に、端末識別情報と、当該ユーザがアクセス可能な論理ネットワークのグループを示すグループ情報とを送信する。取得ステップにおいて、ＮＷ制御サーバ１０が、端末装置２０が接続されたスイッチ装置３０が送信した当該スイッチ装置３０のスイッチ情報及び端末識別情報を取得するとともに、ログインサーバ５０が送信した端末識別情報及びグループ情報を取得する。設定処理ステップにおいて、ＮＷ制御サーバ１０が、取得したスイッチ情報とグループ情報と端末識別情報とに基づいて生成されたフローであって、端末装置２０とネットワークに接続されている他装置との間の通信を制御するフローをスイッチ装置３０に設定する。
これにより、本実施形態によるネットワークシステム１の制御方法は、上述したＮＷ制御サーバ１０と同様に、ユーザ毎に適切な接続のネットワークを構築することができる。

［第２の実施形態］
次に、図面を参照して、第２の実施形態によるネットワークシステム１及びＮＷ制御サーバ１０について説明する。
上述した第１の実施形態では、ログインサーバ５０による認証処理の後に、全てのスイッチ装置３０に対してフローを設定する場合を説明したが、本実施形態では、スイッチ装置３０がパケットを受信した際に出力するパケットインに応じて、フローを設定する場合の一例を説明する。
なお、ネットワークシステム１及びＮＷ制御サーバ１０は、図１に示す第１の実施形態と同様であるので、ここではその説明を省略する。

次に、本実施形態によるネットワークシステム１及びＮＷ制御サーバ１０の動作について、図面を参照して説明する。
なお、ネットワークシステム１の基本的な動作は、図８及び図９に示す第１の実施形態と同様であるので、その説明を省略する。ここでは、図１３を参照して、本実施形態によるＮＷ制御サーバ１０の動作について説明する。

図１３は、本実施形態によるＮＷ制御サーバ１０の動作の一例を示すフローチャートである。
なお、この図に示す例は、上述した図８及び図９と同様に、端末装置２０を使用するユーザが、ポータルサーバ４０にアクセスしようとして、端末装置２０からログインする場合の一例であり、端末装置２０（端末装置２０を使用するユーザ）と、ポータルサーバ４０とが同じグループに所属しているものとして説明する。

図１３において、まず、ＮＷ制御サーバ１０は、パケットインを受信したか否かを判定する（ステップＳ３０１）。すなわち、ＮＷ制御サーバ１０の情報取得部１２１は、スイッチ装置３０からのパケットインを受信したか否かを判定する。情報取得部１２１は、パケットインを受信した場合（ステップＳ３０１：ＹＥＳ）に、処理をステップＳ３０２に進め、パケットインを受信していない場合（ステップＳ３０１：ＮＯ）に、処理をステップＳ３０１に戻す。

ステップＳ３０２において、情報取得部１２１は、端末装置２０が端末情報記憶部１１１に記憶されているか否かを判定する。すなわち、情報取得部１２１は、パケットインを送信したスイッチ装置３０に接続されている端末装置２０の端末情報が、端末情報記憶部１１１に記憶されているか否かを判定する。情報取得部１２１は、端末装置２０の端末情報が、端末情報記憶部１１１に記憶されている場合（ステップＳ３０２：ＹＥＳ）に、処理をステップＳ３１０に進める。また、情報取得部１２１は、端末装置２０の端末情報が、端末情報記憶部１１１に記憶されていない場合（ステップＳ３０２：ＮＯ）に、処理をステップＳ３０３に進める。

続く、ステップＳ３０３からステップＳ３０９までの処理は、上述した図１０に示すステップＳ２０１からステップＳ２０７までの処理と同様であるので、ここではその説明を省略する。なお、ステップＳ３０９までの処理の後、ＮＷ制御サーバ１０は、処理をステップＳ３０１に戻す。

また、端末装置２０の端末情報が、端末情報記憶部１１１に記憶されている場合の処理であるステップＳ３１０において、設定処理部１２３は、端末情報記憶部１１１が記憶する組合せＩＤに基づいてパケットインを送信したスイッチ装置３０を制御するフローを設定する。すなわち、フロー生成部１２２が、端末情報記憶部１１１が記憶する組合せＩＤに基づいてパケットインを送信したスイッチ装置３０を制御するフローを生成する。そして、設定処理部１２３は、フロー生成部１２２が生成したフローを、パケットインを送信したスイッチ装置３０に設定し、処理をステップＳ３０１に戻す。

以上説明したように、本実施形態によるＮＷ制御サーバ１０及びネットワークシステム１では、設定処理部１２３は、スイッチ装置３０からの要求（例えば、パケットインなど）に応じて、スイッチ装置３０にフローを設定する。
これにより、本実施形態によるＮＷ制御サーバ１０及びネットワークシステム１は、実際に通信に使用する位置に配置されているスイッチ装置３０に対して、フローを設定する。そのため、本実施形態によるＮＷ制御サーバ１０及びネットワークシステム１は、フローを生成及び設定する処理量（演算量）を低減することができる。よって、本実施形態によるＮＷ制御サーバ１０及びネットワークシステム１は、処理量を低減しつつ、ユーザ毎に適切な接続のネットワークを構築することができる。

［第３の実施形態］
次に、図面を参照して、第３の実施形態によるネットワークシステム１ａ及びＮＷ制御サーバ１０ａについて説明する。
上述した第１の実施形態では、ネットワークＮ１内で固有（ユニーク）に設定（付与）されるグループの組合せを利用して、スイッチ装置３０を制御する場合について説明したが、本実施形態では、グループがアプリケーションごとに異なる設定がされた場合の一例について説明する。本実施形態では、グループの代わりにネットワークＮ１内で固有（ユニーク）に付与されるスライスの組合せを利用して、スイッチ装置３０を制御する場合の一例について説明する。なお、ユーザが所属するグループを示すグループ情報には、本実施形態におけるスライス及びスライスの組合せも含まれる。

図１４は、本実施形態によるネットワークシステム１ａの一例を示す機能ブロック図である。
図１４に示すように、ネットワークシステム１ａは、ＮＷ制御サーバ１０ａ、端末装置２０、スイッチ装置３０（３０−１〜３０−Ｎ）、ポータルサーバ４０、ログインサーバ５０、及び中継サーバ６０を備えている。
また、ＮＷ制御サーバ１０ａは、記憶部１１ａと、制御部１２とを備え、記憶部１１ａは、端末情報記憶部１１１ａと、スライス組合せ情報記憶部１１２ａと、物理トポロジ記憶部１１３と、スライス情報記憶部１１４とを備えている。
なお、この図において、図１に示す構成と同一の構成については同一の符号を付し、その説明を省略する。

本実施形態では、ＮＷ制御サーバ１０ａの記憶部１１ａの構成が異なる点と、この記憶部１１ａの構成の違いによる制御部１２の処理の一部が異なる点とが、第１の実施形態と異なる。これらの異なる点について以下説明する。

図１５は、本実施形態における端末情報記憶部１１１ａのデータ例を示す図である。
この図において、端末情報記憶部１１１ａ（装置情報記憶部の一例）は、「接続ＳＷ」と、「接続ポート番号」と、「ＭＡＣアドレス」と、「ＩＰアドレス」と、「組合せＩＤ」と、「ＡｐｐＩＤ」と、「削除する時刻」とを関連付けて端末情報として記憶している。ここで、「組合せＩＤ」は、スライスの組合せを示しており、本実施形態では、グループの組合せの代わりに、スライスの組合せが利用される。

また、スライス組合せ情報記憶部１１２ａは、スライスの組合せを示す組合せＩＤとスライスリストとの対応を示す対応テーブルを記憶する。スライス組合せ情報記憶部１１２ａは、例えば、組合せＩＤと、当該組合せＩＤに対応するスライスリストとを関連付けて記憶する。
図１６は、本実施形態におけるスライス組合せ情報記憶部１１２ａのデータ例を示す図である。
この図において、スライス組合せ情報記憶部１１２ａは、「組合せＩＤ」と、「スライスリスト」とを関連付けて記憶している。なお、「スライスリスト」は、「組合せＩＤ」に含まれるスライスＩＤの組（リスト）を示している。
このようにスライス組合せ情報記憶部１１２ａのデータを構成することにより、「組合せＩＤ」から対応するスライスＩＤの組（リスト）を検索することができる。

また、スライス情報記憶部１１４は、スライスと、アプリケーション及びグループとを対応を示す対応テーブルを記憶する。スライス情報記憶部１１４は、例えば、スライスを識別するスライス情報と、アプリケーションを識別するアプリケーション識別情報と、グループを識別するグループ情報とを関連付けて記憶する。ここで、図１７を参照して、スライス情報記憶部１１４のデータ例について説明する。
図１７は、本実施形態におけるスライス情報記憶部１１４のデータ例を示す図である。
この図において、スライス情報記憶部１１４は、「スライスＩＤ」と、「ＡｐｐＩＤ」と、「Ａｐｐ名」と、「グループＩＤ」と、「グループ名」とを関連付けて記憶している。なお、「スライスＩＤ」は、上述したスライス情報を示し、「ＡｐｐＩＤ」及び「Ａｐｐ名」は、アプリケーション識別情報を示している。また、「グループＩＤ」及び「グループ名」は、グループ情報を示している。

図１７に示す例では、「スライスＩＤ」が“Ｓ０１”であるスライスに対応する「ＡｐｐＩＤ」及び「Ａｐｐ名」が、“ＡＰ０１”及び“○○アプリ”であり、「グループＩＤ」及び「グループ名」が、“Ｇ０１”及び“○○部”であることを示している。
このようにスライス情報記憶部１１４のデータを構成することにより、「ＡｐｐＩＤ」及び「グループＩＤ」から「スライスＩＤ」を検索することができる。
なお、図１７の２行目のデータに示すように、「スライスＩＤ」と「グループＩＤ」とを同一のものを使用してもよい。

また、本実施形態における情報取得部１２１及びフロー生成部１２２は、グループの「組合せＩＤ」及び「グループＩＤ」の代わりに、スライスの「組合せＩＤ」及び「スライスＩＤ」を用いる点を除いて、第１の実施形態と同様である。
本実施形態における情報取得部１２１は、例えば、「ＡｐｐＩＤ」及び「グループリスト」をログインサーバ５０から取得し、取得した「ＡｐｐＩＤ」及び「グループリスト」を、スライス情報記憶部１１４を検索して、スライスＩＤのリストに変換する。情報取得部１２１は、変換したスライスＩＤのリストに基づくスライスの「組合せＩＤ」を端末情報記憶部１１１ａに記憶させる。

以上説明したように、本実施形態におけるＮＷ制御サーバ１０ａは、グループとは別にネットワークＮ１内で固有（ユニーク）に付与されるスライスの組合せに基づいて、スイッチ装置３０を制御する。
これにより、本実施形態におけるＮＷ制御サーバ１０ａ及びネットワークシステム１ａは、ネットワークＮ１内でグループＩＤがユニークでない場合であっても、ユーザ毎に適切な接続のネットワークを構築することができる。なお、ネットワークＮ１内でグループＩＤがユニークでない場合とは、例えば、アプリケーションごとにグループＩＤが異なる場合や、複数のログインサーバ５０が存在し、アプリケーションごとに異なるログインサーバ５０を利用する場合などである。

なお、本発明は、上記の各実施形態に限定されるものではなく、本発明の趣旨を逸脱しない範囲で変更可能である。
例えば、上記の各実施形態において、スイッチ装置３０は、オープンフロースイッチである場合の一例を説明したが、これに限定されるものではなく、設定情報に基づいてパケットの通過を制御可能なスイッチであれば、他の方式のスイッチであってもよい。
また、上記の各実施形態において、ネットワークシステム１（１ａ）は、中継サーバを備える例を説明したが、これに限定されるものではない。例えば、ログインサーバ５０とＮＷ制御サーバ１０（１０ａ）との間でインターフェースの変換が必要ない場合には、ネットワークシステム１（１ａ）は、中継サーバを備えずに構成してもよい。

また、上記の各実施形態において、ログインサーバ５０及びＮＷ制御サーバ１０（１０ａ）は、それぞれ１つのサーバ装置として構成する例を説明したが、これに限定されるものではない。例えば、ログインサーバ５０及びＮＷ制御サーバ１０（１０ａ）は、複数のサーバ装置により構成されてもよい。また、ＮＷ制御サーバ１０（１０ａ）は、ログインサーバ５０の一部又は全部を含んで構成されてもよい。

また、上記の各実施形態において、ネットワークシステム１（１ａ）は、権限付与装置の一例として、ログインサーバ５０を備える例を説明したが、これに限定されるものではない。例えば、ネットワークシステム１（１ａ）は、ワークフローや承認システムにおけるユーザに所定の権限を与えるサーバ装置を、権限付与装置として備えてもよい。この場合、ワークフローや承認システムの承認処理により、例えば、課長代行などの職制権限を一時的にユーザに付与し、課長が所属するグループに対応するネットワークに一時的に、接続可能にするなど、ユーザ毎のネットワークを動的に変更することが可能になる。

また、上記の各実施形態において、ＮＷ制御サーバ１０（１０ａ）は、スイッチ装置３０にフローを送信する度に、フローを生成する例を説明したが、予め生成したフローを記憶部１１（１１ａ）に記憶させておいてもよい。
また、上記の実施形態において、グループ情報として、グループの組合せ、又はスライスの組合せを端末情報記憶部１１１（１１１ａ）に記憶させる例を説明したが、グループリスト、又はスライスリストを端末情報記憶部１１１（１１１ａ）に記憶させる構成としてもよい。

また、上記の各実施形態において、端末情報記憶部１１１（１１１ａ）が、アプリケーション識別情報（アプリケーションＩＤ）を記憶する一例を説明したが、アプリケーション識別情報（アプリケーションＩＤ）を記憶しない構成であってもよい。この場合、端末情報記憶部１１１（１１１ａ）には、各アプリケーションにより権限が付与される毎に、アプリケーション識別情報を含まない端末情報（装置情報）が追加される。すなわち、端末情報記憶部１１１（１１１ａ）には、１つの端末装置２０に対して、アプリケーション毎に複数の端末情報（装置情報）が記憶される。ＮＷ制御サーバ１０（１０ａ）は、端末装置２０に対応する複数の端末情報（装置情報）に含まれるグループ情報に基づいて、当該端末装置２０と他装置との間の通信を制御するフローを各スイッチ装置３０に設定する。
こうすることで、ＮＷ制御サーバ１０（１０ａ）は、例えば、複数のアプリケーションのユーザに対して、各アプリケーションで規定されるユーザのアクセス権限に応じて、それらの権限を重ね合わせたユーザ単位での論理ネットワークを構築することができる。

上述のように、複数のアプリケーションにより権限が付与される場合に、情報取得部１２１は、複数のアプリケーションに対応するグループ情報をまとめた新たなグループ情報（例えば、組合せ情報）を生成し、生成した新たなグループ情報を端末情報記憶部１１１（１１１ａ）に記憶させてもよい。この場合、端末情報記憶部１１１（１１１ａ）には、生成した新たなグループ情報（例えば、組合せ情報）を含む端末情報（装置情報）であって、アプリケーション識別情報を含まない１つの端末情報（装置情報）が記憶される。なお、ここでの組合せ情報は、グループ組合せ情報、又はスライス組合せ情報のことである。

なお、上述したネットワークシステム１（１ａ）が備える各構成は、内部に、コンピュータシステムを有している。そして、上述したネットワークシステム１（１ａ）が備える各構成の機能を実現するためのプログラムをコンピュータ読み取り可能な記録媒体に記録して、この記録媒体に記録されたプログラムをコンピュータシステムに読み込ませ、実行することにより上述したネットワークシステム１（１ａ）が備える各構成における処理を行ってもよい。ここで、「記録媒体に記録されたプログラムをコンピュータシステムに読み込ませ、実行する」とは、コンピュータシステムにプログラムをインストールすることを含む。ここでいう「コンピュータシステム」とは、ＯＳや周辺機器等のハードウェアを含むものとする。
また、「コンピュータシステム」は、インターネットやＷＡＮ、ＬＡＮ、専用回線等の通信回線を含むネットワークを介して接続された複数のコンピュータ装置を含んでもよい。また、「コンピュータ読み取り可能な記録媒体」とは、フレキシブルディスク、光磁気ディスク、ＲＯＭ、ＣＤ−ＲＯＭ等の可搬媒体、コンピュータシステムに内蔵されるハードディスク等の記憶装置のことをいう。このように、プログラムを記憶した記録媒体は、ＣＤ−ＲＯＭ等の非一過性の記録媒体であってもよい。

また、記録媒体には、当該プログラムを配信するために配信サーバからアクセス可能な内部又は外部に設けられた記録媒体も含まれる。なお、プログラムを複数に分割し、それぞれ異なるタイミングでダウンロードした後にネットワークシステム１（１ａ）が備える各構成で合体される構成や、分割されたプログラムのそれぞれを配信する配信サーバが異なっていてもよい。さらに「コンピュータ読み取り可能な記録媒体」とは、ネットワークを介してプログラムが送信された場合のサーバやクライアントとなるコンピュータシステム内部の揮発性メモリ（ＲＡＭ）のように、一定時間プログラムを保持しているものも含むものとする。また、上記プログラムは、上述した機能の一部を実現するためのものであってもよい。さらに、上述した機能をコンピュータシステムに既に記録されているプログラムとの組み合わせで実現できるもの、いわゆる差分ファイル（差分プログラム）であってもよい。

また、上述した機能の一部又は全部を、ＬＳＩ（Large Scale Integration）等の集積回路として実現してもよい。上述した各機能は個別にプロセッサ化してもよいし、一部、又は全部を集積してプロセッサ化してもよい。また、集積回路化の手法はＬＳＩに限らず専用回路、又は汎用プロセッサで実現してもよい。また、半導体技術の進歩によりＬＳＩに代替する集積回路化の技術が出現した場合、当該技術による集積回路を用いてもよい。

１、１ａ ネットワークシステム
１０、１０ａ ＮＷ制御サーバ
１１、１１ａ 記憶部
１２ 制御部
２０、２０−１、２０−２、２０−３、２０−４ 端末装置
３０、３０−１、３０−Ｎ スイッチ装置
４０ ポータルサーバ
４１、４２、４３、４４、４５、４６、４７、４８ サーバ装置
５０ ログインサーバ
５１ ログイン記憶部
５２ ログイン制御部
６０ 中継サーバ
１１１、１１１ａ 端末情報記憶部
１１２ グループ組合せ情報記憶部
１１２ａ スライス組合せ情報記憶部
１１３ 物理トポロジ記憶部
１１４ スライス情報記憶部
１２１ 情報取得部
１２２ フロー生成部
１２３ 設定処理部
５１１ ユーザ情報記憶部
５１２ グループ情報記憶部
５１３ ユーザ・グループ対応記憶部
５２１ ユーザ認証部
５２２ ログイン情報送信部
Ｎ１ ネットワーク
Ｕ１、Ｕ２、Ｕ３、Ｕ４ ユーザ

Claims (7)

1. 設定情報に基づいてパケットの通過を制御可能なスイッチ装置が配置されたネットワークを制御するネットワーク制御装置であって、
   端末装置が接続される前記スイッチ装置を識別するスイッチ情報と、前記端末装置を識別する端末識別情報と、当該端末装置を利用するユーザがアクセス可能な論理ネットワークのグループを示すグループ情報であって、前記ユーザに対応付けられたグループ情報とを取得する取得部と、
   前記取得部が取得した前記スイッチ情報と前記グループ情報と前記端末識別情報とに基づいて生成された前記設定情報であって、前記端末装置と前記ネットワークに接続されている他装置との間の通信を制御する前記設定情報を前記スイッチ装置に設定する設定処理部と
   を備えることを特徴とするネットワーク制御装置。
2. 前記スイッチ装置を識別するスイッチ情報と、当該スイッチ装置に接続されている装置を識別する装置識別情報と、当該装置に対応するグループ情報とを関連付けた装置情報を記憶する装置情報記憶部と、
   前記設定情報を生成する設定情報生成部と
   を備え、
   前記取得部は、
   取得した当該スイッチ情報と、当該端末識別情報と、当該グループ情報とを関連付けて、前記装置情報として前記装置情報記憶部に記憶させ、
   前記設定情報生成部は、
   前記装置情報記憶部が記憶する前記装置情報に基づいて、前記端末装置と前記他装置との間の通信を制御する前記設定情報を生成し、
   前記設定処理部は、
   前記設定情報生成部が生成した前記設定情報を前記スイッチ装置に設定する
   ことを特徴とする請求項１に記載のネットワーク制御装置。
3. 前記設定処理部は、
   前記端末装置の前記グループ情報と一致するグループに所属する前記他装置と、当該端末装置との間の通信を許可するように生成された前記設定情報を前記スイッチ装置に設定する
   ことを特徴とする請求項１又は請求項２に記載のネットワーク制御装置。
4. 前記装置情報には、前記ユーザに所定の権限を付与するアプリケーションを識別するアプリケーション識別情報が含まれ、
   前記取得部は、
   前記端末装置が接続された前記スイッチ装置から、当該スイッチ装置の前記スイッチ情報及び前記端末識別情報を取得するとともに、前記ユーザに所定の権限を付与する権限付与装置から、前記ユーザに前記所定の権限が付与された場合に、前記端末識別情報と、当該ユーザがアクセス可能な論理ネットワークのグループを示すグループ情報と、前記アプリケーション識別情報とを取得し、取得した当該スイッチ情報と、当該端末識別情報と、当該グループ情報と、前記アプリケーション識別情報とを関連付けて、前記装置情報として前記装置情報記憶部に記憶させ、
   前記設定処理部は、
   前記端末装置が接続された前記スイッチ装置から、前記取得部が、当該スイッチ装置の前記スイッチ情報及び前記端末識別情報を取得した場合に、前記端末装置と前記権限付与装置との間の通信を許可する前記設定情報を前記スイッチ装置に設定する
   ことを特徴とする請求項２に記載のネットワーク制御装置。
5. ネットワーク上に配置され、設定情報に基づいてパケットの通過を制御可能なスイッチ装置であって、自装置を識別するスイッチ情報と、端末装置を識別する端末識別情報とを送信するスイッチ装置と、
   前記端末装置を利用するユーザに所定の権限を付与し、当該ユーザに前記所定の権限が付与された場合に、前記端末識別情報と、当該ユーザがアクセス可能な論理ネットワークのグループを示すグループ情報であって、当該ユーザに対応付けられたグループ情報とを送信する権限付与装置と、
   前記スイッチ装置が配置されたネットワークを制御するネットワーク制御装置であって、前記端末装置が接続される前記スイッチ装置を識別する前記スイッチ情報と、前記端末識別情報と、前記ユーザに対応付けられた前記グループ情報とを取得するネットワーク制御装置と
   を備え、
   前記ネットワーク制御装置は、
   前記端末装置が接続された前記スイッチ装置が送信した当該スイッチ装置の前記スイッチ情報及び前記端末識別情報を取得するとともに、前記権限付与装置が送信した前記端末識別情報及び前記グループ情報を取得し、
   取得した前記スイッチ情報と前記グループ情報と前記端末識別情報とに基づいて生成された前記設定情報であって、前記端末装置と前記ネットワークに接続されている他装置との間の通信を制御する前記設定情報を前記スイッチ装置に設定する
   ことを特徴とするネットワークシステム。
6. ネットワーク上に配置され、設定情報に基づいてパケットの通過を制御可能なスイッチ装置と、端末装置を利用するユーザに所定の権限を付与する権限付与装置と、前記スイッチ装置が配置されたネットワークを制御するネットワーク制御装置とを備えるネットワークシステムの制御方法であって、
   前記スイッチ装置が、自装置を識別するスイッチ情報と、前記端末装置を識別する端末識別情報とを送信するステップと、
   前記権限付与装置が、前記端末装置を利用するユーザに前記所定の権限が付与された場合に、前記端末識別情報と、当該ユーザがアクセス可能な論理ネットワークのグループを示すグループ情報であって、当該ユーザに対応付けられたグループ情報とを送信するステップと、
   前記ネットワーク制御装置が、前記端末装置が接続される前記スイッチ装置を識別する前記スイッチ情報と、前記端末識別情報と、前記ユーザに対応付けられた前記グループ情報とを取得するステップであって、前記端末装置が接続された前記スイッチ装置が送信した当該スイッチ装置の前記スイッチ情報及び前記端末識別情報を取得するとともに、前記権限付与装置が送信した前記端末識別情報及び前記グループ情報を取得するステップと、
   前記ネットワーク制御装置が、取得した前記スイッチ情報と前記グループ情報と前記端末識別情報とに基づいて生成された前記設定情報であって、前記端末装置と前記ネットワークに接続されている他装置との間の通信を制御する前記設定情報を前記スイッチ装置に設定するステップと
   を含むことを特徴とするネットワークシステムの制御方法。
7. 設定情報に基づいてパケットの通過を制御可能なスイッチ装置が配置されたネットワークを制御するネットワーク制御装置のコンピュータに、
   端末装置が接続される前記スイッチ装置を識別するスイッチ情報と、前記端末装置を識別する端末識別情報と、当該端末装置を利用するユーザがアクセス可能な論理ネットワークのグループを示すグループ情報であって、前記ユーザに対応付けられたグループ情報とを取得する取得ステップと、
   前記取得ステップによって取得した前記スイッチ情報と前記グループ情報と前記端末識別情報とに基づいて生成された前記設定情報であって、前記端末装置と前記ネットワークに接続されている他装置との間の通信を制御する前記設定情報を前記スイッチ装置に設定する設定処理ステップと
   を実行させるためのプログラム。

Images