JPH1028144A

JPH1028144A - アクセス制御機能付きネットワーク構成方式

Info

Publication number: JPH1028144A
Application number: JP8182975A
Authority: JP
Inventors: Masatoshi Terada; 真敏寺田; Makoto Kayashima; 信萱島; Takahiko Kawashima; 貴彦河島; Tatsuya Fujiyama; 達也藤山; Minoru Koizumi; 稔小泉; Kazuo Nishimura; 和郎西村; Kazunari Hirayama; 和成平山
Original assignee: Hitachi Ltd
Current assignee: Hitachi Ltd
Priority date: 1996-07-12
Filing date: 1996-07-12
Publication date: 1998-01-27

Abstract

(57)【要約】【課題】セキュリティを高めた大規模なネットワーク
システムおよびアクセス制御において稼動性の高いネッ
トワークシステムを提供する。【解決手段】計算機(term)３が接続された複数のネッ
トワーク(Net)１を中継装置(relay)２を介して接続した
ネットワークにおいて、ユーザが保有する諸属性に応じ
て、ユーザ毎にアクセス可能な計算機３および／または
ネットワーク１等の利用領域を定義する手段を設けた。
利用領域を定義する手段として、中継装置とパスワード
を対応させたユーザ保有認証テーブルと、ユーザとパス
ワードを対応させた中継装置保有認証テーブルと、ユー
ザごとのアクセス領域を示すアクセス制御テーブルと、
ユーザの所属のアクセス領域を示す所属アクセス制御テ
ーブルと、ユーザの役職のアクセス領域を示す役職アク
セス制御テーブルと、ネットワークと次送信先を対応付
けた経路制御情報格納テーブルとを設けた。

Description

【発明の詳細な説明】

【０００１】

【産業上の利用分野】本発明は、ネットワークに接続し
た計算機のセキュリティに係り、特にファイアウォール
相互が連携することによって、アクセス制御機能付きネ
ットワークシステムを構築する方式に関する。

【０００２】

【従来の技術】従来、ネットワークを経由した計算機へ
の侵入に対する防御策として、外部のアクセスに制限を
施す中継装置（ファイアウォール）が提案されている。
ファイアウォールは、送信元と宛先のＩＰ(internet Pr
otocol)アドレスやサービス種別に基づきアクセス制御
を施すと共に、アクセス記録を残す機能を持つものが主
流であり、チェックポイント(CheckPoint)社の製品であ
るＦｉｒｅｗａｌｌ−１等がある。

【０００３】

【発明が解決しようとする課題】インターネットの発展
によって、手元の計算機で世界中で発信している情報を
リアルタイムに入手できるようになった反面、外部から
の侵入者の脅威にさらされることになった。このような
侵入者に対する防御策として、（１）サービス毎にアク
セスできるＩＰアドレスを制限し、（２）アクセス記録
を残すゲートウェイ（狭義のファイアウォール）が提案
されている。狭義のファイアウォールを使用することに
よって、ゲートウェイ自身の稼動環境の整合性の確保、
ならびに管理者の監視する範囲の局所化によって、外部
からの侵入者の脅威を低減することができるようになっ
た。

【０００４】しかしながら、上記従来技術を用いてアク
セス制御を行う場合、アクセス制御の対象がサービス種
別や、ＩＰアドレスのような計算機付属する情報に基づ
くものであるため、ＩＰアドレスが動的に割り当てられ
るような計算機に対しては所望のアクセス制御ができな
かったり、特定のユーザ毎に対して、サービス種別を制
限するといったユーザに基づくアクセス制御ができない
という問題点がある。

【０００５】本発明は、上記問題点の解決を図り、複数
の中継装置（ファイアウォール）相互で連携することに
よって、セキュリティを高めた大規模なネットワークシ
ステムを提供するとともに、アクセス制御においてはそ
の計算機の利用者であるユーザやアプリケーションに基
づいたアクセス制御をすることによって、稼動性の高い
ネットワークシステムを提供することを目的とする。

【０００６】

【課題を解決するための手段】上記目的は、以下に示す
手段を用いることによって達成される。（１）計算機の利用者であるユーザやアプリケーション
に基づいたアクセス制御アクセス制御の対象として、計算機の利用者であるユー
ザやアプリケーションに基づいたアクセス制御を実施す
る。（２）計算機の利用者であるユーザやアプリケーション
の認証アクセス制御を行うに伴い、通信要求がその要求を発行
した本人であるという確認を行う。（３）アクセス制御機能を備えた中継装置におけるデー
タ転送アクセス制御機能を備えた中継装置を介した計算機間通
信において、通信の透過性を提供する。

【０００７】

【作用】本発明のアクセス制御機能付きネットワーク構
成方式では、計算機の利用者であるユーザやアプリケー
ションの認証手段と、計算機の利用者であるユーザやア
プリケーションに基づいたアクセス制御手段と、アクセ
ス制御機能を備えた中継装置におけるデータ転送手段と
を設けている。これによって、大規模なネットワークシ
ステムを構築する場合にも、セキュリティと稼動性を高
めたネットワークを提供することができる。

【０００８】

【発明の実施の形態】以下に、本発明の実施の形態を図
面を用いて説明する。（１）実施例の全体構成本実施例で対象とするネットワークシステムは、以下の
ような特徴を備えている。（ａ）各通信装置間のデータパケットの配送は、ＴＣＰ
(Transmission ControlProtocol)/ＩＰ(Internet Proto
col)、ＯＳＩ(Open Systems Interconnection)等の配送
機能を使用する。（ｂ）データ転送においては、アクセス制御機能を備え
た中継装置が介在する。

【０００９】次に、本ネットワークシステムの構成につ
いて説明する。図１は、本ネットワークシステムの構成
の一例を示す図である。本発明にかかるネットワークシ
ステムは、端末装置３を収容した複数のネットワーク１
が、中継装置（ファイアウォール）２を介して接続され
て構成されている。このシステムにおいて、中継装置２
a〜２dは、ＴＣＰ／ＩＰ、ＯＳＩプロトコル等を処理可
能でＴＣＰ／ＩＰ、ＯＳＩデータパケットの配送機能を
持ち、かつアクセス制御機能を備えた中継装置である。
なお、本実施例では中継装置をファイアウォールと記述
する。端末装置３a〜３fは、各ユーザサイトに設置され
ている計算機である。ネットワーク１a〜１eは、ＬＡＮ
(Local Area Network)や専用線等のネットワークであ
る。

【００１０】図２に、中継装置２およびユーザサイトの
端末装置３のハードウェア構成を中継装置２を例にとっ
て示す。中継装置２は、装置内のハードウェア間の制御
を行うプロセッサ２１と、プログラムの他、送受信メッ
セージを格納するメモリ２２と、ＬＡＮや専用線との入
出力を制御する回線制御部２３と、装置に接続されたデ
ィスプレイやキーボードを制御する端末入出力制御部２
４とから構成される。中継装置２には、入出力装置とし
てディスプレイやキーボード２５が接続されている。

【００１１】図３に、図２に示したハードウェア構成に
従って作られた中継装置２のソフトウェア構成を示す。
中継装置２のソフトウェアは、格納部２０１に格納され
たデータパケットの転送やフィルタリングするための中
継制御情報およびアクセス制御情報と、前記中継制御情
報に基づいてデータパケットを目的とする端末装置に転
送するための機能ならびに廃棄するためのフィルタリン
グ機能を提供するデータ中継制御部２０２と、外部イン
タフェース制御部として働き、ＬＡＮや専用線の入出力
および端末の入出力を制御する、回線制御部２３および
端末入出力制御部２４に置かれるリンク制御部２０３
と、格納部２０１およびデータ中継制御部２０２ならび
にリンク制御部２０３のプログラム実行のスケジューリ
ングと管理を行うプログラムスケジューラ２０４と、ユ
ーザの利用ログを格納するログ格納部２０６から構成さ
れている。格納部２０１に格納された中継制御情報に
は、端末装置の宛先アドレス情報(端末装置の位置、端
末装置名他)と、宛先アドレスにデータを送付するため
の次送信先アドレス情報が登録されている。また、アク
セス制御情報には、ユーザ名称、ユーザの諸属性(所
属、役職、利用可能なサービス、アクセス可能範囲他)
が登録されている。

【００１２】図４に、図２に示されるハードウェア構成
に従って作られた端末装置３のソフトウェア構成を示
す。端末装置３のソフトウェアは、データパケットを送
受信するための経路情報であるデータ送受信制御情報お
よびデータ送受信情報を格納する格納部３０１と、この
経路情報に基づいて目的とする端末装置との間のデータ
パケットの送受信を制御するデータ送受信制御部３０２
と、ＬＡＮや専用線の入出力および端末の入出力を制御
し、回線制御部２３および端末入出力制御部２４に置か
れる外部インタフェース制御部３０３と、端末装置上で
稼動する複数のアプリケーションプログラム３０４ａ〜
３０４ｂと、格納部３０１とデータ送受信制御部３０２
と外部インタフェース制御部３０３とアプリケーション
プログラム３０４のプログラム実行のスケジューリング
と管理を行うスケジューラ３０５とからなる。

【００１３】（２）通信手順の概要以下、図を用いて通信手順の概要を説明する。図５に、
図１に示したシステムにおいて、端末装置３bから端末
装置３eにアクセスする場合の通信手順のシーケンス例
を示す。本実施例では、目的とする端末装置と通信を開
始するのに先立ち、通信開始を宣言するパケットを用い
て通信通路の確保を行う。接続要求パケットＰ１は、通
信を開始することを宣言するパケットである。端末装置
３bは、通信を開始するに先立ち、目的とする端末装置
を宛先として端末装置３eを第３フィールドＰ１３にお
いて指定した接続要求パケットＰ１を中継装置２cに送
信する（Ｓ１）。

【００１４】中継装置２cでは接続要求パケットＰ１の
ユーザ情報フィールドＰ１５に格納されているユーザ認
証に基づいてユーザ認証を行ったのち、ユーザが中継装
置２cを利用可能か否かを判断する（Ｓ２）。ここで利
用可能であると判断された場合には、目的とする端末装
置に接続要求パケットＰ１を送信するため、次の中継装
置２dに受信した接続要求パケットＰ１を転送する（Ｓ
３）。中継装置２dでは、中継装置２cと同様な手続きを
踏み、中継装置が利用可能であると判断した（Ｓ４）場
合には、目的とする端末装置に接続要求パケットＰ２を
送信する（Ｓ５）。

【００１５】端末装置３eでは、ユーザ認証を実行した
（Ｓ６）後、接続要求パケットＰ１の応答として、コー
ドフィールドＰ２３に正常コード「コネクション確立
可」を設定した接続確認パケットＰ２を送信元である端
末装置２bに送信する（Ｓ７）。これによって、端末装
置２bと端末装置２eとの間の通信路が確立され、データ
通信状態に入り、データパケットＰ３を転送することが
できる（Ｓ８）。

【００１６】図６は、端末装置２bが目的とする端末装
置と通信を開始するのに先立ち、通信開始処理を行うた
めの制御フローである。目的とする端末装置３eを宛先
として宛先端末装置名Ｐ１３で指定した接続要求パケッ
トＰ１を中継装置２cに送信する（Ｓ１０）。折り返
し、通信路の確立応答パケットである接続制御パケット
Ｐ２を受信すると、接続制御パケットＰ２のコードフィ
ールドＰ２３を参照し（Ｓ１１）、正常であればデータ
転送状態（Ｓ１２）へ、正常でなければ通信終了状態
（Ｓ１３）へ入る。

【００１７】図７に、中継装置２cが端末装置間の通信
開始処理を行うための制御フローを示す。中継装置２c
は、目的とする端末装置３eを宛先として指定した接続
要求パケットＰ１を受信すると（Ｓ２１）、接続要求パ
ケットＰ１に格納されているユーザ情報フィールドＰ１
５を参照して、ユーザの認証を行う（Ｓ２２）。ユーザ
認証の結果に異常がなければ、次にユーザのアクセス許
容範囲と、送信元ならびに宛先端末装置との整合性を確
認する操作を行う（Ｓ２３）。アクセス許容範囲なら
ば、次に中継処理動作として、接続要求パケットＰ１の
宛先端末装置名フィールドＰ１３と自端末装置名との比
較を行う（Ｓ２４）。中継装置２cは中継装置であるの
で、宛先端末装置名フィールドＰ１３の内容と自端末装
置名が一致しないので、後述する中継経路制御テーブル
４５０を参照し次中継先装置を決定し（Ｓ２７）、接続
要求パケットＰ１を転送する（Ｓ２８）。接続要求パケ
ットＰ１の応答である接続制御パケットＰ２を受信した
場合には、受信した接続制御パケットＰ２を、接続要求
パケットＰ１の送信元である端末装置２bに転送する
（Ｓ２９）。また、接続制御パケットＰ２のコードフィ
ールドＰ２３を参照し（Ｓ３０）、正常であればデータ
転送状態（Ｓ３１）へ、正常でなければ通信終了状態
（Ｓ３２）へ入る。

【００１８】ステップＳ２２でユーザ認証の結果に異常
があれば、コードフィールドＰ２３にエラーコード「ユ
ーザ認証異常」を設定した接続制御パケットＰ２を接続
要求パケットＰ１の送信元である端末装置２bに送信し
（Ｓ３５）、通信終了状態（Ｓ３６）へ入る。

【００１９】ステップＳ２３でアクセス許容範囲外の要
求ならば、コードフィールドＰ２３にエラーコード「ア
クセス許容範囲外」を設定した接続制御パケットＰ２を
接続要求パケットＰ１の送信元である端末装置２bに送
信し（Ｓ３３）、通信終了状態（Ｓ３４）へ入る。

【００２０】この制御フローは、宛先装置における操作
も含まれている。ステップＳ２４で、宛先端末装置名フ
ィールドＰ１３の内容と自端末装置名が一致する場合、
この制御フローでは、自端末装置が宛先端末装置と判断
し、コードフィールドＰ２３に正常コード「コネクショ
ン確立可」を設定した接続制御パケットＰ３を接続要求
パケットＰ１の送信元である端末装置２bに転送し（Ｓ
２５）、データ転送状態（Ｓ２６）へ入る。

【００２１】図８に、本実施例で使用するパケットフォ
ーマットの構成例を示す。図８（Ａ）は通信開始を要求
する接続要求パケットＰ１の構成を、図８（Ｂ）は接続
確認パケットＰ２の構成を、図８（Ｃ）はデータ転送パ
ケットＰ３の構成を示している。各パケットは、第１フ
ィールドにパケットの種別を、第２フィールドに操作方
法を、第３フィールド以降にデータが書き込まれてい
る。通信開始を要求する接続要求パケットＰ１は、パケ
ットの種別を示す第１フィールドＰ１１には「CONNEC
T」が、操作方法を示す第２フィールドＰ１２には「re
q」が、転送されるデータである第３フィールドＰ１３
以降には、フィールドＰ１３に「宛先端末装置名」が、
フィールドＰ１４に「サービス名」が、フィールドＰ１
５に「ユーザ情報」が設定される。ユーザ情報フィール
ドＰ１５には、ユーザ認証情報、送信元端末装置名等が
格納される。

【００２２】通信開始の応答を示す接続制御パケットＰ
２には、それぞれ第１フィールドＰ２１に「CONNECT」
が、フィールドＰ２２に「conf」が、フィールドＰ２３
に「コード」が設定される。コードフィールドＰ２３に
は、通信開始操作の状態を示す情報として、「コネクシ
ョン確立可」、「ユーザ認証異常」、「アクセス許容範
囲外」等のコードの他、そのコードを発信した中継装置
もしくは、宛先端末装置の名称等の情報が格納される。

【００２３】通信状態で使用されるデータパケットＰ３
には、それぞれ第１フィールドＰ３１に「DATA」が、第
２フィールドＰ３２に「null」が、第３フィールドＰ３
３に「データ」が設定される。

【００２４】図９に、端末装置２bから端末装置２eにア
クセスする場合の通信手順のシーケンスの他の実施例で
ある変形例を示す。図５に示したシーケンス例では、接
続要求パケットＰ１を中継装置が順次転送する構成であ
ることから、中継装置同士が信頼関係になければならな
い。一方、この実施例でのシーケンス例では中継装置同
士が信頼関係にない場合を対象としている。

【００２５】まず、目的とする端末装置と通信を開始す
るのに先立ち、通信開始を宣言するパケットを用いて通
信通路の確保を行う。接続要求パケットＰ１は通信を開
始することを宣言するパケットである。端末装置２b
は、通信を開始するに先立ち、目的とする端末装置３e
を宛先として指定した接続要求パケットＰ１を中継装置
２cに送信する（Ｓ４０）。中継装置２cでは、接続要求
パケットＰ１のユーザ情報フィールドＰ１５に格納され
ているユーザ認証に基づいてユーザ認証を行ったのち、
ユーザが中継装置２cを利用可能か否かを判断する（Ｓ
４１）。ここで利用可能であると判断された場合には、
接続制御パケットＰ２を送信元端末装置２bに送信する
（Ｓ４２）。

【００２６】端末装置２bは、中継装置２cからの接続制
御パケットＰ２を受信すると再度目的とする端末装置３
eを宛先として指定した接続要求パケットＰ１を中継装
置２cに送信し、中継装置２cではこれを次の中継装置２
dに転送する（Ｓ４３）。

【００２７】中継装置２dでは、中継装置２cと同様な手
続きを踏み、利用可能であると判断した（Ｓ４４）場合
には、接続制御パケットＰ２を送信元端末装置２bに送
信する（Ｓ４５）。

【００２８】送信元端末装置２bは、接続制御パケット
Ｐ２を受信すると再度目的とする端末装置を宛先として
指定した接続要求パケットＰ１を中継装置２cに送信
し、２cと２dはこのパケットＰ１を目的の端末装置３e
に転送する（Ｓ４６）。

【００２９】宛先の端末装置３eでは、接続要求パケッ
トＰ１のユーザ情報フィールドＰ１５に格納されている
ユーザ認証に基づいてユーザ認証を行い（Ｓ４７）、接
続要求パケットＰ１の応答として、接続制御パケットＰ
３を送信元端末装置２bに送信する（Ｓ４８）。これに
よって、送信元端末装置２bと宛先端末装置２eとの間の
通信路が確立され、データ通信状態に入り、データパケ
ットＰ３を送ることができる（Ｓ４９）。このように繰
り返し通信路確立要求を実施することによって、各中継
装置毎に送信元端末装置２bとのユーザ認証を行うこと
になるので、中継装置同士が信頼関係にない場合にも、
この発明のサービスを提供することができる。

【００３０】図１０に、図９に示したシーケンスに基づ
く中継装置２cが端末装置間の通信開始処理を行うため
の制御フローを示す。中継装置２cは目的とする端末装
置を宛先として指定した接続要求パケットＰ１を受信す
ると（Ｓ５０）、データ中継状態を確認する処理に入る
（Ｓ５１）。接続要求Ｐ１は、中継装置２cが受信する
初めての要求であり、状態は初期状態にあるため、接続
要求パケットに格納されているユーザ情報フィールドＰ
１５を参照して、ユーザの認証処理へ進む（Ｓ５４）。

【００３１】ユーザ認証の結果に異常がなければ、次に
ユーザのアクセス許容範囲と、送信元ならびに宛先端末
装置との整合性を確認する操作を行う（Ｓ５５）。アク
セス許容範囲ならば、ステップＳ２８で、コードフィー
ルドに正常コード「コネクション中継可」を設定した接
続制御パケットＰ２を接続要求パケットＰ１の送信元端
末装置２bに転送し（Ｓ５６）、データ転送状態（Ｓ５
７）へ入る。

【００３２】次に、接続要求パケットＰ１を受信すると
（Ｓ５０）、状態を確認するステップＳ５１ではデータ
転送状態(データ中継状態)にあるため、すでに接続要求
パケットＰ１を受信していると判断し、中継経路制御テ
ーブルを参照し次中継装置を決定し（Ｓ５２）、接続要
求パケットＰ１を転送する（Ｓ５３）。ステップＳ５４
でユーザ認証の結果に異常があれば、コードフィールド
Ｐ２３にエラーコード「ユーザ認証異常」を設定した接
続制御パケットＰ２を接続要求パケットＰ１の送信元端
末装置２bに送信し（Ｓ６０）、通信終了状態（Ｓ６
１）へ入る。

【００３３】ステップＳ５５でアクセス許容範囲外の要
求ならば、コードフィールドＰ２３にエラーコード「ア
クセス許容範囲外」を設定した接続制御パケットＰ２を
接続要求パケットＰ１の送信元端末装置２bに送信し
（Ｓ５８）、通信終了状態へ入る（Ｓ５９）。

【００３４】（２）ユーザ認証以下、通信手順において実施されるユーザ認証の概要を
説明する。本実施例では、パスワード認証方法を用いて
説明する。なお、認証方法については、公開鍵を用いた
認証機構、独自認証機構等、さまざまな認証機構が存在
するが、本実施例では、どの認証機構にも対応すること
ができる。図１１に、ユーザ（user１）が保有する各中
継装置を利用するための認証情報を格納したテーブルを
示す。ユーザ保有認証情報テーブル４００は、中継装置
を示す中継装置名４０１と、各中継装置で認証するため
に必要なパスワード情報が記述されている認証情報４０
２とから構成される。この場合、ユーザ（user１）が利
用可能な中継装置は２aのみであり、そのパスワードは"
test"である。ユーザ（user１）が中継装置２aを介して
通信を行う際、接続要求パケットＰ１のユーザ情報フィ
ールドＰ１５に、この認証情報を設定する。

【００３５】図１２に、中継装置２aが保有するユーザ
の認証情報を格納したテーブル４１０を示す。中継装置
保有認証情報テーブル４１０は、ユーザ名４１１と、各
ユーザのパスワード情報４１２が記述されている。この
例では、ユーザ（user１）のパスワードは”test”に設
定され、ユーザ（user２）のパスワードは”abcdx”に
設定され、ユーザ（user３）のパスワードは”poisd”
に設定され、ユーザ（user４）のパスワードは”odksc
i”に設定されている。この場合、ユーザuser１〜user
４が中継装置２aを介して通信を行う際、接続要求パケ
ットＰ１のユーザ情報フィールドＰ１５に、テーブルに
記載されている認証情報が格納されているならば、その
ユーザは本人と認められ(Ｓ２２,Ｓ５４)、次のアクセ
ス制御の処理へと進む(Ｓ２３,Ｓ５５)。

【００３６】（３）アクセス制御通信手順において実施されるアクセス制御の概要を説明
する。図１３に、中継装置２aが保有するユーザのアク
セス制御情報を格納したテーブル４２０を示す。中継装
置保有ユーザのアクセス制御テーブル４２０は、ユーザ
ごとにユーザ名４２１と、ユーザの所属部署４２２と、
ユーザの役職４２３と、ユーザがアクセス可能な送信元
ネットワーク４２４と、ユーザがアクセス可能な宛先ネ
ットワーク４２５と、ユーザが利用可能なサービス４２
６が記述されている。この例では、ユーザ（user１）
は、ネットワーク１aまたはネットワーク１bから、ネッ
トワーク１aまたはネットワーク１bへアクセスすること
ができ、さらに、ユーザ（user１）が利用可能なサービ
スは、ファイル転送のみである。同様に、ユーザ（user
２）は、ネットワーク１cまたはネットワーク１eから、
ネットワーク１cまたはネットワーク１eへアクセスする
ことができ、さらに、ユーザ(user２)が利用可能なサー
ビスは、サービス欄４２６に”＊”が示されているよう
に、どのサービスでも受けることができる。同様に、ユ
ーザ(user３)は,送信元欄４２４および送信先欄４２５
に”＊”が示されているように、どのネットワークから
どのネットワークへもでもアクセスすることができ、利
用できるサービスは、仮想端末サービスである。ユーザ
(user４)は、送信元欄４２４および送信先欄４２５なら
びにサービス欄４２６に”＊”が示されているように、
どのネットワークからどのネットワークへもでもアクセ
スすることができ、かつどのサービスでも利用すること
ができる。なお、テーブルに記載されているアスタリス
ク”*”は、どのネットワーク、どのサービスでも受け
付けることを意味する。またマイナス”−”は、この項
目が該当しないことを意味する。以上のように、ユーザ
が利用可能なネットワーク上の領域が、送信元欄４２
４，宛先欄４２５、サービス欄４２６に定義される。

【００３７】図１４に、中継装置２aが保有する部署の
アクセス制御情報を格納したテーブル４３０を示す。中
継装置が保有する部署のアクセス制御テーブル４３０
は、部署ごとに、部署名４３１と、アクセス可能な宛先
ネットワーク４３２と、アクセス可能な送信元ネットワ
ーク４３３と、利用可能なサービス４３４が記述されて
いる。この例では、部署「企画」は、ネットワーク１b
またはネットワーク１dから、ネットワーク1b，ネット
ワーク1c，ネットワーク1d，ネットワーク1eへアクセス
でき、仮想端末サービスのみを使用することができる。
すなわち、各部署が利用可能なネットワーク上の領域
が、宛先欄４３２、送信元欄４３３、サービス欄４３４
に定義される。このように、ネットワーク上の領域は、
ユーザを対象としてだけではなく、ひとつの属性を対象
として領域を定義することも可能である。なお、テーブ
ルに記載されているアスタリスク”*”は、どのネット
ワーク、どのサービスでも受け付けることを意味する。
またマイナス”−”は、この項目が該当しないことを意
味する。

【００３８】図１５に、部署のアクセス制御情報に従い
構成することができるアクセス可能な領域を示す。この
図は、上記の各テーブルによって定義される各部のアク
セス可能領域を示している。総務のアクセス可能領域４
０aは，ネットワーク１a,ネットワーク１bであり、開発
と設計のアクセス可能領域４０cは、ネットワーク１b,
ネットワーク１c,ネットワーク１eであり、企画のアク
セス可能領域４０bはネットワーク１b,ネットワーク１
c,ネットワーク１d,ネットワーク１eとなる。

【００３９】このように、本実施例では、ユーザが保有
する諸属性に応じて、ユーザ毎にアクセス可能な端末装
置、ネットワーク等の利用領域を定義することができる
とともに、属性を対象としてアクセス可能領域を定義す
ることも可能である。このようにネットワーク上に構成
された利用領域は、ネットワーク構成に依存することな
く、ユーザ毎、所属毎、役職毎の論理的なネットワーク
を形成することができる。

【００４０】図１６に、部署の構成を階層化した場合の
アクセス可能な領域を示す。この例では、工場Aネット
５２bに接続する工場A総務５１bと、工場Bネット５２c
に接続する工場A総務５１cは、工場A総務をひとりのユ
ーザ、もしくはひとつの部署属性値として定義すること
によって、同一の作業が可能な利用可能な領域５３、す
なわち、論理ネットワークを構成することができる。工
場Bネット５２cに接続する工場B総務５１d、研究所ネッ
ト５２aに接続する研究所総務５１aは、工場A総務５１
b,５１cとの相互の情報交換に使用するサービスは特定
のサービスに固定されているので、サービスそのものを
制限することによって、利用可能な領域５３とは、異な
る性質を持つ領域、すなわち、工場A総務５１b,５１c、
工場B総務５１d、研究所総務５１aにおいて、同一の作
業が可能な利用可能な領域５４、すなわち、論理ネット
ワークを構成することができる。

【００４１】このような属性値、性質のことなる個別の
ネットワークを構成することによって、透過的なネット
ワーク環境を提供しつつ、個々のアクセス方針、セキュ
リティ方針を満足したネットワークを構成することがで
きる。

【００４２】図１７に、中継装置２aが保有する役職の
アクセス制御情報を格納したテーブル４４０を示す。中
継装置が保有する役職のアクセス制御テーブル４４０
は、役職名４４１ごとにアクセス可能なネットワーク範
囲を示す宛元種別４４２と、アクセス可能な宛先ネット
ワークを示すremote宛先４４３と、役職が利用可能なサ
ービス４４４とが記述されている。宛元種別４４２は、
アクセス可能なネットワーク範囲を示し、その記述”lo
cal”は送信元の端末装置が接続しているネットワーク
のみで利用可能なことを示し、”remote”は送信元の端
末装置が接続しているネットワーク以外も利用可能なこ
とを示している。remote宛先４４３は、宛元種別４４２
に”remote”が設定されている場合のみ有効であり、ア
クセス可能な宛先ネットワークを示す。この例では、役
職「部長」は、送信元の端末装置が接続しているネット
ワークおよび信元の端末装置が接続しているネットワー
ク以外から利用可能であり、どのネットワークに対して
も利用可能であり、かつ、すべてのサービスが利用可能
である。なお、テーブルに記載されているアスタリス
ク”*”は、どのネットワーク、どのサービスでも受け
付けることを意味する。またマイナス”−”は、この項
目が該当しないことを意味する。

【００４３】以下、ユーザのアクセス制御テーブル４２
０、部署のアクセス制御テーブル４３０ならびに役職の
アクセス制御テーブル４４０の関係を説明する。ユーザ
(user１）は、総務に所属しており、役職は部長であ
る。ユーザ(user１）は、ユーザのアクセス制御テーブ
ル４２０のユーザ(user１）の項４２７aからネットワー
クネットワーク１a,ネットワーク１bを利用可能で、利
用サービスはファイル転送のみである。次に部署のアク
セス制御テーブル４３０の部署総務の項４３７aからユ
ーザ(user１）は、ネットワーク１a,ネットワーク１bを
利用可能で、利用サービスはＤＢアクセスのみである。
さらに、役職のアクセス制御テーブル４４０の役職部長
の項４４５aからlocal,remoteのネットワーク利用が可
能で、利用サービスに制限はない。

【００４４】アクセス制御機構は、これらのアクセス制
御の不整合を、論理和による手法、論理積による手法、
属性優先度の手法のいずれかにより解決する。たとえ
ば、論理和の場合、ユーザ(user１）は、ネットワーク
１a,ネットワーク１bからネットワーク１a,ネットワー
ク１bへのアクセスが可能で、利用サービスはファイル
転送とＤＢアクセスとなる。なお、論理和の場合、アス
タリスク”*”は対象から除外される。論理積の場合、
ユーザ(user１）はネットワーク１a,ネットワーク１bか
らネットワーク１a,ネットワーク１bへのアクセスが可
能であるが、利用可能なサービスが存在しないので、実
際にはネットワーク１a,ネットワーク１b内のアクセス
しかできない。また、属性優先度の場合、ユーザのみで
判断するという操作をすれば、ネットワーク（Net-１）
１a,ネットワーク１bを利用可能で、利用サービスはフ
ァイル転送のみとなる。

【００４５】ユーザ（user２）は、役職が課長である。
この場合、所属のアクセス制御は制御対象から除外され
る。論理和による手法の場合、ユーザ(user２）は、ネ
ットワーク１c,ネットワーク１eからネットワーク１c,
ネットワーク１eへのアクセスが可能で、利用サービス
は仮想端末のみとなる。論理積の場合も、ユーザ(user
２）は、ネットワーク１c,ネットワーク１eからネット
ワーク１c,ネットワーク１eへのアクセスが可能で、利
用サービスは仮想端末のみとなる。

【００４６】ユーザ（user３）は、企画に所属してお
り、役職は部長である。論理和による手法の場合、ユー
ザ(user３）はネットワーク１b,ネットワーク１dからネ
ットワーク１b,ネットワーク１c,ネットワーク（Net-
４）１d,ネットワーク１eへのアクセスが可能で、利用
サービスは仮想端末のみとなる。論理積の場合も、ユー
ザ(user３）は、ネットワーク１b,ネットワーク１dから
ネットワーク１b,ネットワーク１c,ネットワーク１d,ネ
ットワーク（Net-５）１eへのアクセスが可能で、利用
サービスは仮想端末のみとなる。

【００４７】ユーザ(user４）は、企画に所属してお
り、役職は一般である。論理和による手法の場合、ユー
ザ(user４）は、ネットワーク１b,ネットワーク１dから
ネットワークb,ネットワーク１c,ネットワーク１d,ネッ
トワーク１eへのアクセスが可能で、利用サービスは仮
想端末のみとなる。論理積の場合、ユーザ(user４）
は、ネットワーク１b,ネットワーク１d内のアクセスし
かできない。

【００４８】（４）データ中継通信手順において実施されるデータ中継制御の概要を説
明する。図１８に、中継装置２bが保有するデータ中継
用の経路制御情報を格納したテーブル４５０を示す。経
路制御テーブル４５０は、宛先端末装置が接続している
ネットワーク名４５１と、宛先ネットワークに対応する
次の送信先端末装置名４５２が記述されている。端末装
置３cが端末装置３eに接続要求パケットＰ１を送信する
場合、中継装置２bは、宛先端末装置がネットワーク１e
に接続していることから、次の送信先端末装置として中
継装置２cを選択し（Ｓ２７，Ｓ５２）、接続要求パケ
ットＰ１を中継することになる。

【００４９】（５）データ暗号化データ通信の際の暗号化に使用する暗号鍵の交換は、以
下の方法を用いることにより実施することができる。接
続要求パケットＰ１のユーザ情報フィールドＰ１５に、
送信元端末装置が使用する暗号鍵を格納し、また接続確
認パケットＰ２のコードフィールドＰ２３に目的とする
端末装置が使用する暗号鍵を格納する。通信開始時に、
端末装置間で交換した暗号鍵を用いて、データ転送状態
では、データの暗号化をすることにより、より安全性の
高いネットワークシステムとすることができる。

【００５０】（６）中継装置の管理（ａ）制御情報の登録、更新本実施例では、ユーザの諸属性、アクセス制御情報、ユ
ーザ認証情報を、各中継装置、通信を行う装置毎に定義
している。これらの情報の登録・更新は、各装置毎に管
理端末から実施するしたり、全体を中継装置、通信を行
う端末装置を一括管理する管理装置を用いて実施するこ
とができる。

【００５１】（ｂ）制御情報の一括管理ユーザの諸属性、アクセス制御情報、ユーザ認証情報
を、ディレクトサーバ等の情報サーバに登録しておき、
ユーザ認証時、アクセス制御内容の確認時に問い合わせ
により情報取得することも可能である。

【００５２】（ｃ）利用ログの取得図１９に、中継装置で取得されるユーザの利用ログが格
納されたテーブルを示す。ユーザの利用ログテーブル４
６０には、ユーザ名４６１と、使用した送信元端末装置
４６２と、使用した宛先端末装置４６３と、ユーザが利
用したサービス４６４と、サービスの開始と終了を示す
状態４６５と、ログが収集された中継装置において、そ
の接続が許可されたか否かを示すアクセス可否４６６
と、そのサービスの開始と終了の時刻を示す時刻４６７
が記述されている。

【００５３】本実施例によれば、次のような効果があ
る。（１）ユーザの諸属性に応じて、ユーザ毎に利用可能な
領域を定義できるので、ネットワークの安全性を向上す
ることができる。

【００５４】

【発明の効果】以上説明したように、本発明によれば、
大規模なネットワークシステムを構築した場合にも、セ
キュリティを高めた大規模なネットワークシステムを提
供するとともに、アクセス制御においてはその端末装置
の利用者であるユーザやアプリケーションに基づいたア
クセス制御をすることにより、稼動性の高いネットワー
クシステムを提供することができるという効果がある。

【図面の簡単な説明】

【図１】ネットワークシステムの構成。

【図２】装置のハードウェア構成。

【図３】中継装置のソフトウェア構成。

【図４】端末装置のソフトウェア構成。

【図５】通信手順のシーケンス。

【図６】送信元端末装置の通信手順の制御フロー図。

【図７】中継装置の通信手順の制御フロー図。

【図８】パケットフォーマット。

【図９】通信手順のシーケンス。

【図１０】中継装置の通信手順の制御フロー図。

【図１１】ユーザが保有する認証情報格納テーブル。

【図１２】中継装置が保有する認証情報格納テーブル。

【図１３】ユーザのアクセス制御情報格納テーブル。

【図１４】所属のアクセス制御情報格納テーブル。

【図１５】所属に基づくネットワークドメイン。

【図１６】所属の階層化に基づくネットワークドメイ
ン。

【図１７】役職のアクセス制御情報格納テーブル。

【図１８】中継装置が保有する経路制御情報格納テーブ
ル。

【図１９】ログ情報格納テーブル。

【符号の説明】

１ネットワーク２中継装置３端末装置４００ユーザが保有する認証情報格納テーブル４１０中継装置が保有する認証情報格納テーブル４２０ユーザのアクセス制御情報格納テーブル４２１ユーザ名格納フィールド４２２ユーザの所属部署格納フィールド４２３ユーザの役職格納フィールド４２４利用可能な送信元ネットワーク４２５利用可能な宛先ネットワーク４２６利用可能なサービス４３０所属のアクセス制御情報格納テーブル４４０役職のアクセス制御情報格納テーブル４５０中継装置が保有する経路制御情報格納テーブル４６０ログ情報格納テーブル

───────────────────────────────────────────────────── フロントページの続き (72)発明者藤山達也神奈川県川崎市麻生区王禅寺1099番地株式会社日立製作所システム開発研究所内 (72)発明者小泉稔神奈川県川崎市麻生区王禅寺1099番地株式会社日立製作所システム開発研究所内 (72)発明者西村和郎神奈川県横浜市戸塚区戸塚町5030番地株式会社日立製作所ソフトウェア開発本部内 (72)発明者平山和成神奈川県横浜市戸塚区戸塚町5030番地株式会社日立製作所ソフトウェア開発本部内

Claims

【特許請求の範囲】

【請求項１】少なくとも一の計算機が接続された複数
のネットワークを中継装置を介して接続したネットワー
ク構成方式において、ユーザが保有する諸属性に応じ
て、ユーザ毎にアクセス可能な計算機および／またはネ
ットワーク等の利用領域を定義することができる手段を
設けたことを特徴とするアクセス制御機能付きネットワ
ーク構成方式。
【請求項２】アクセス制御機能を中継装置または通信
を行う計算機に配置した手段に設けた請求項１記載のア
クセス制御機能付きネットワーク構成方式。
【請求項３】ユーザが保有する諸属性として、ユーザ
の名前、役職、所属を設定する手段を設けた請求項１記
載のアクセス制御機能付きネットワーク構成方式。
【請求項４】諸属性毎にアクセス制御情報を設定する
手段を設けた請求項３記載のアクセス制御機能付きネッ
トワーク構成方式。
【請求項５】アクセス制御情報として、アクセス可
能、不可能を設定する手段を設けた請求項４記載のアク
セス制御機能付きネットワーク構成方式。
【請求項６】ユーザが保有する属性に優先度を付けて
アクセス制御を実施する手段を設けた請求項１記載のア
クセス制御機能付きネットワーク構成方式。
【請求項７】ユーザが保有する諸属性を組み合わせて
アクセス制御を実施する手段を設けた請求項１記載のア
クセス制御機能付きネットワーク構成方式。
【請求項８】登録されているアクセス制御情報を満た
さない利用の場合には、その利用が制限される手段を設
けた請求項２記載のアクセス制御機能付きネットワーク
構成方式。
【請求項９】登録されているアクセス制御情報を満た
さない利用の場合には、データ通信用の通信路を確立す
ることができない手段を設けた請求項８記載のアクセス
制御機能付きネットワーク構成方式。
【請求項１０】通信を開始する際、ユーザを識別する
情報を中継装置または通信を行う計算機に送信し、中継
装置または通信を行う計算機では送信されたユーザ情報
に基づきユーザを認証する手段を設けた請求項２記載の
アクセス制御機能付きネットワーク構成方式。
【請求項１１】中継装置または通信を行う計算機に、
ユーザの利用ログを取得する手段を設けた請求項２記載
のアクセス制御機能付きネットワーク構成方式。
【請求項１２】ユーザの諸属性、アクセス制御情報、
ユーザ認証情報を各中継装置、通信を行う装置毎に定義
する手段を設けた請求項２記載のアクセス制御機能付き
ネットワーク構成方式。
【請求項１３】ユーザの諸属性、アクセス制御情報、
ユーザ認証情報は、情報を管理するサーバに定義し、問
い合わせにより取得する手段を設けた請求項２記載のア
クセス制御機能付きネットワーク構成方式。
【請求項１４】ユーザの諸属性、アクセス制御情報、
ユーザ認証情報の登録・更新は、各装置毎に実施する方
法と管理装置から一括実施する方法をとることができる
手段を設けた請求項１１記載のアクセス制御機能付きネ
ットワーク構成方式。
【請求項１５】ユーザが利用可能な範囲で通信の際に
使用する中継装置を選択できる手段を設けた請求項１記
載のアクセス制御機能付きネットワーク構成方式。
【請求項１６】ユーザが利用可能な中継装置を探し出
すことのできる手段を設けた請求項１４記載のアクセス
制御機能付きネットワーク構成方式。