JPWO2012081114A1

JPWO2012081114A1 - 仮想計算機管理方法、計算機システム及び計算機

Info

Publication number: JPWO2012081114A1
Application number: JP2012548591A
Authority: JP
Inventors: 慎一徳永; 智斉内田; 高本　良史; 良史高本
Original assignee: Hitachi Ltd
Current assignee: Hitachi Ltd
Priority date: 2010-12-16
Filing date: 2010-12-16
Publication date: 2014-05-22
Anticipated expiration: 2030-12-16
Also published as: US20130283367A1; US9087181B2; WO2012081114A1; JP5524355B2

Abstract

悪意ある管理者等が仮想計算機の実行イメージを取得して、他の計算機上で実行することを抑止できない。そのため、データが容易に取得された、仮想サーバを乗っ取られるという問題がある。複数の計算機を備える計算機システムにおける仮想計算機管理方法であって、計算機は、仮想計算機を管理する仮想化管理部を実現するためのプログラムを格納し、仮想管理部のみがアクセス可能な管理記憶領域を含み、管理記憶領域は仮想計算機の識別情報と、業務プログラムが格納された論理記憶領域の識別情報と、仮想計算機を起動させるための起動認証情報との対応関係を示す起動管理情報を格納し、仮想化管理部が、起動要求を受信した場合、起動管理情報を参照し、仮想計算機に対応する起動認証情報が存在するか否かを判定するステップと、対応する起動認証情報が存在する場合、論理記憶領域から業務プログラムを読み出し、業務プログラムを実行するステップとを含む。

Description

物理計算機上で稼動する仮想計算機の管理方法に関する。特に、仮想計算機の起動処理に関する。

クラウドコンピューティングの普及によって、ユーザは、クラウドサービスを提供するデータセンタに備わる複数の物理計算機（リソース）を利用して業務を実行できる。データセンタでは、一つの物理計算機（リソース）を用いて複数の仮想計算機を構成することができる。

仮想計算機上ではユーザの業務等を実行するＯＳが稼動する。仮想計算機は物理計算機のＨＤＤ等の記憶媒体にイメージファイルとして格納され、当該ＨＤＤの入替え、他の物理計算機へのイメージファイルの移行などによって、当該仮想サーバを他の物理計算機に移動することができる。

したがって、データセンタの管理者等であれば、仮想計算機を別の物理計算機に移動し、当該仮想計算機を起動することができる。

従来の管理方法では、悪意のある管理者等が仮想計算機のイメージファイルを取得して、他の物理計算機上で起動させることができる。すなわち、データ取得、仮想サーバの乗っ取り等が容易にできるという問題がある。

ユーザが意図しないタイミングで仮想計算機が起動するのを抑止する方法として、仮想計算機に割り当てた仮想ＨＢＡに対応するＷＷＮが、起動抑止を意味する値である場合には仮想計算機の起動を抑止する方法が知られている（例えば、特許文献１参照）。

特開２０１０−０３３４０３号公報

しかし、特許文献１に記載の発明は、同一の物理計算機内における仮想計算機の起動を抑止するものであって、他の物理計算機上に移行された場合等に仮想計算機を抑止するものではない。すなわち、仮想計算機の実行イメージを特定の物理計算機上でのみ実行可能とするものではない。

また、データセンタを管理する管理計算機と物理計算機との間の認証処理では、悪意ある管理者等による仮想計算機の起動を抑止することができない。

本発明は、特定の物理計算機上においてのみ仮想計算機を起動可能にし、他の物理計算機上における仮想計算機の起動を抑止することを目的とする。

本発明の代表的な一例を示せば以下の通りである。すなわち、複数の計算機を備える計算機システムにおける仮想計算機管理方法であって、前記複数の計算機は、第１の計算機を含み、前記第１の計算機は、第１のプロセッサと、前記第１のプロセッサに接続される第１のメモリと、前記第１のプロセッサに接続される第１のネットワークインタフェースと、前記第１のプロセッサに接続される第１の記憶媒体とを備え、前記第１のメモリは、前記計算機が備える計算機資源を分割することによって一以上の仮想計算機を生成し、前記仮想計算機を管理する第１の仮想化管理部を実現するためのプログラムを格納し、前記第１の仮想管理部のみがアクセス可能な第１の管理記憶領域を含み、前記第１の記憶媒体は、前記第１の記憶媒体の記憶領域を論理的に分割した論理記憶領域を含み、前記論理記憶領域は、前記仮想計算機上で業務を実行するための業務プログラムを格納し、前記第１の管理記憶領域は、前記仮想計算機の識別情報と、前記業務プログラムが格納された前記第１の記憶媒体の前記論理記憶領域の識別情報と、前記仮想計算機を起動させるための起動認証情報との対応関係を示す第１の起動管理情報を格納し、前記第１の計算機上では、第１の業務プログラムを実行する第１の仮想計算機が生成され、前記方法は、前記第１の仮想化管理部が、前記第１の仮想計算機を起動させるための起動認証情報の生成命令を受信した場合、第１の起動認証情報を生成する第１のステップと、前記第１の仮想化管理部が、前記第１の仮想計算機の識別情報と、前記第１の業務プログラムが格納された前記第１の記憶媒体の前記論理記憶領域の識別情報と、前記生成された第１の起動認証情報との対応関係を前記第１の起動管理情報に格納する第２のステップと、前記第１の仮想化管理部が、前記第１の仮想計算機の識別情報を含む前記第１の仮想計算機の起動要求を受信した場合、前記第１の仮想計算機の識別情報に基づいて前記第１の起動管理情報を参照し、前記第１の仮想計算機に対応する前記第１の起動認証情報が存在するか否かを判定する第３のステップと、前記第１の仮想化管理部が、前記第１の仮想計算機に対応する前記第１の起動認証情報が前記第１の起動管理情報に存在すると判定された場合、前記第１の記憶媒体の前記論理記憶領域から前記第１の業務プログラムを読み出す第４のステップと、前記第１の仮想化管理部が、前記読み出された第１の業務プログラムを実行することによって前記第１の仮想計算機を起動させる第５のステップと、を含むことを特徴とする。

本発明によれば、起動管理情報に、仮想計算機に対応する起動認証情報が存在しない場合には、仮想計算機は起動されない。したがって、悪意ある管理者によって、仮想計算機の実行イメージ等を含む業務プログラムが取得された場合であっても、他の計算機上で当該仮想計算機が起動されないため、セキュリティを向上することができる。

本発明の第１の実施形態の計算機システムの一例を示すブロック図である。本発明の第１の実施形態の仮想化管理部の詳細を示すブロック図である。本発明の第１の実施形態の計算機システムにおける論理的な構成を説明するブロック図である。本発明の第１の実施形態の起動キー管理テーブルの詳細を示す説明図である。本発明の第１の実施形態のＬＵ管理テーブルの詳細を示す説明図である。本発明の第１の実施形態の仮想化管理部がユーザ要求を受信した場合に実行する処理の概要を説明するフローチャートである。本発明の第１の実施形態における起動キーの生成処理の流れを説明するシーケンス図である。本発明の第１の実施形態における起動キーの生成処理の詳細を説明するフローチャートである。本発明の第１の実施形態における起動キーの削除処理の流れを説明するシーケンス図である。本発明の第１の実施形態における起動キーの削除処理の詳細を説明するフローチャートである。本発明の第１の実施形態における仮想サーバの起動処理の流れについて説明するシーケンス図である。本発明の第１の実施形態における仮想サーバの起動キーを用いない場合の起動処理の流れについて説明するシーケンス図である。本発明の第１の実施形態における起動キーの認証処理の詳細を説明するフローチャートである。本発明の第１の実施形態におけるＬＵの認証処理の詳細を説明するフローチャートである。本発明の第１の実施形態における仮想サーバの移行処理の流れについて説明するシーケンス図である。本発明の第１の実施形態の移行元の仮想化管理部が実行する処理の詳細を説明するフローチャートである。本発明の第１の実施形態の移行先の仮想化管理部が実行する処理の詳細を説明するフローチャートである。本発明の第２の実施形態における起動キーの生成処理の詳細を説明するフローチャートである。本発明の第２の実施形態におけるＬＵの認証処理の詳細を説明するフローチャートである。本発明の第２の実施形態の移行元の仮想化管理部が実行する処理の詳細を説明するフローチャートである。本発明の第２の実施形態の移行先の仮想化管理部が実行する処理の詳細を説明するフローチャートである。本発明の第３の実施形態の移行元の仮想化管理部が実行する処理の詳細を説明するフローチャートである。本発明の第３の実施形態の移行先の仮想化管理部が実行する処理の詳細を説明するフローチャートである。

以下、図面に基づいて、本発明の実施形態について説明する。なお、同一の符号を付した場合には、同一の構成又は同一の機能であることを示す。

［第１の実施形態］

図１は、本発明の第１の実施形態の計算機システムの一例を示すブロック図である。

本実施形態の計算機システムは、複数の物理サーバ１００、管理サーバ１２０及びストレージ装置１３０から構成される。

各物理サーバ１００は、ネットワーク１４０を介して管理サーバ１２０と接続される。ネットワーク１４０は、どのような接続方式のネットワークでもよく、例えば、ＩＰネットワーク、ＷＡＮ、ＬＡＮ等が考えられる。なお、物理サーバ１００と管理サーバ１２０とが直接接続されもよい。

また、物理サーバ１００は、ＳＡＮ等を介して、又は、直接、ストレージ装置１３０と接続される。なお、一つの物理サーバ１００が一つのストレージ装置１３０と接続されてもよいし、複数の物理サーバ１００が一つ又は複数のストレージ装置１３０と接続されてもよい。

管理サーバ１２０は、計算機システム内の物理サーバ１００を管理する。管理サーバ１２０は、少なくとも、プロセッサ（図示省略）、メモリ（図示省略）、記憶媒体（図示省略）、及びネットワークインタフェース（図示省略）を備える。

メモリ（図示省略）上には、仮想サーバ起動管理部１２１及び仮想サーバ移行管理部１２２を実現するためのプログラムが読み出され、プロセッサ（図示省略）によって実行される。

仮想サーバ起動管理部１２１は、仮想サーバ１１７の起動に必要な情報を入力するインタフェースを提供し、また、当該インタフェースに入力された情報を各物理サーバ１００に送信する。

仮想サーバ移行管理部１２２は、仮想サーバ１１７の移行に必要な情報を入力するインタフェースを提供し、また、当該インタフェースに入力された情報を各物理サーバ１００に送信する。

ストレージ装置１３０は、物理サーバ１００の情報を格納する。ストレージ装置１３０は、複数の記憶媒体１３１を備える。なお、ストレージ装置１３０は、複数の記憶媒体１３１からディスクアレイを構成し、ディスクアレイによって構成される論理的な記憶領域を物理サーバ１００に提供してもよい。

物理サーバ１００は、プロセッサ１０１、メモリ１０２、ネットワークインタフェース１０３及びディスクインタフェース１０４を備える。

プロセッサ１０１は、メモリ１０２上に格納されたプログラムを実行する。これによって、物理サーバ１００が備える機能を実現できる。

メモリ１０２は、プロセッサ１０１によって実行されるプログラム及び当該プログラムを実行するために必要な情報を格納する。具体的には、メモリ１０２上には、仮想化管理部１１０を実現するためのプログラムが格納される。

仮想化管理部１１０は、仮想サーバ１１７を生成し、また生成された仮想サーバ１１７を管理する。仮想サーバ１１７上ではゲストＯＳ３０１（図３参照）が実行される。

例えば、仮想化管理部１１０は、物理サーバ１００が備える計算機資源（プロセッサ１０１、メモリ１０２等）を分割し、分割された計算機資源を仮想サーバ１１７に割り当てることによって、仮想サーバ１１７を生成する。なお、仮想サーバ１１７上で実行されるゲストＯＳ３０１（図３参照）等は、仮想サーバ１１７の実行イメージとしてストレージ装置１３０に格納される。

以下、計算機資源を割り当てることを「仮想サーバ１１７の生成」と記載する。

仮想化管理部１１０は、起動キー処理部１１１、仮想サーバ起動部１１２、仮想サーバ移行部１１３、起動キー管理テーブル１１４、ＬＵ管理テーブル１１５及びデコーダ１１６を含む。

起動キー処理部１１１は、起動キーに関する処理を実行する。具体的には、起動キー処理部１１１は、起動キーを生成し、また、起動キーを削除する。ここで、起動キーは、仮想サーバ１１７の起動処理に必要な認証情報である。

仮想サーバ起動部１１２は、仮想サーバ１１７の起動処理を実行する。

仮想サーバ移行部１１３は、物理サーバ１００間で仮想サーバ１１７を移動させるための移行（マイグレーション）処理を実行する。

起動キー管理テーブル１１４は、起動キーと仮想サーバ１１７との対応関係を格納する。起動キー管理テーブル１１４の詳細については図４を用いて後述する。

ＬＵ管理テーブル１１５は、仮想サーバ１１７及び当該仮想サーバ１１７の実行イメージが格納される記憶領域に関する情報を格納する。ＬＵ管理テーブル１１５の詳細については図５を用いて後述する。

デコーダ１１６は、暗号化された情報を復号化する。本実施形態では、デコーダ１１６は、暗号化された起動キーを復号化する。

ネットワークインタフェース１０３は、ネットワーク１４０を介して管理サーバ１２０と接続するためのインタフェースである。

ディスクインタフェース１０４は、ストレージ装置１３０と接続するためのインタフェースである。

図２は、本発明の第１の実施形態の仮想化管理部１１０の詳細を示すブロック図である。

起動キー処理部１１１は、起動キー生成部２０１及び起動キー削除部２０２を備える。

起動キー生成部２０１は、起動キーを生成するための生成処理を実行する。起動キーの生成処理については、図７及び図８を用いて後述する。

起動キー削除部２０２は、起動キーを削除するための削除処理を実行する。起動キーの削除処理については、図９及び図１０を用いて後述する。

なお、起動キー処理部１１１は、起動キー生成部２０１及び起動キー削除部２０２を一つの構成として保持してもよい。

仮想サーバ起動部１１２は、起動キー認証部２１１、ＬＵ認証部２１２、及び起動処理部２１３を備える。

起動キー認証部２１１は、起動処理時に起動キーに基づいて、仮想サーバ１１７の認証処理を実行する。起動キーの認証処理については、図１１Ａ、図１１Ｂ及び図１２を用いて後述する。

ＬＵ認証部２１２は、対象となる仮想サーバ１１７の実行イメージが格納された記憶領域の認証処理を実行する。記憶領域の認証処理については、図１１Ａ、図１１Ｂ及び図１３を用いて後述する。

起動処理部２１３は、仮想サーバ１１７の起動処理を実行する。

なお、仮想サーバ起動部１１２は、起動キー認証部２１１、ＬＵ認証部２１２、及び起動処理部２１３を一つに構成として保持してもよい。

仮想サーバ移行部１１３は、起動キー送信部２２１、起動キー受信部２２２、及び移行処理部２２３を備える。

起動キー送信部２２１は、移行処理時に、移行先の物理サーバ１００に起動キーを送信する。

起動キー受信部２２２は、移行元の物理サーバ１００から送信された起動キーを受信する。

移行処理部２２３は、移行元の物理サーバ１００上において稼動する仮想サーバ１１７を移行先の物理サーバ１００に移行する。

起動キー管理テーブル１１４、ＬＵ管理テーブル１１５、及びデコーダ１１６は、図１と同一の構成であるため説明を省略する。

図３は、本発明の第１の実施形態の計算機システムにおける論理的な構成を説明するブロック図である。

物理サーバ１００のメモリ１０２上では仮想化管理部１１０が実行される。仮想化管理部１１０上では、複数の仮想サーバ１１７が稼動する。さらに、各仮想サーバ１１７上では、ゲストＯＳ３０１が実行される。これによって、ユーザの業務を実行できる。

ストレージ装置１３０は、複数の記憶媒体１３１から構成されるディスクアレイの記憶領域３１０を論理的に分割して複数のＬＵ３１１を生成する。また、ストレージ装置１３０は、ＬＵ３１１を仮想サーバ１１７に提供する。各ＬＵ３１１には、ＬＵ３１１を一意に識別するためのＬＵＩＤ３１２が付与される。

本実施形態では、一つの仮想サーバ１１７に一つのＬＵ３１１が割り当てられているものとする。すなわち、ゲストＯＳ３０１を含む仮想サーバ１１７の実行イメージが、一つのＬＵ３１１に格納される。

仮想化管理部１１０は、起動処理時に、ＬＵ３１１から仮想サーバ１１７の実行イメージを読み出し、読み出された実行イメージを実行することによって仮想サーバ１１７を起動する。

図４は、本発明の第１の実施形態の起動キー管理テーブル１１４の詳細を示す説明図である。

起動キー管理テーブル１１４は、仮想サーバＩＤ４０１及び起動キー４０２を含む。

仮想サーバＩＤ４０１は、物理サーバ１００上で実行される仮想サーバ１１７を一意に識別するための識別子である。

起動キー４０２は、仮想サーバＩＤ４０１に対応する仮想サーバ１１７の起動キーを格納する。

本実施形態における起動キーは、仮想化管理部１１０固有の情報を用いて生成される。例えば、仮想化管理部１１０が稼動する物理サーバ１００のハードウェア情報に基づいて生成される。これによって、他の仮想化管理部１１０上で、仮想サーバ１１７が起動できないようにできる。

本実施形態では、起動キー管理テーブル１１４は、仮想化管理部１１０のみがアクセス可能な記憶領域に格納される。すなわち、管理サーバ１２０、他の物理サーバ１００又はゲストＯＳ３０１からは、起動キー管理テーブル１１４にアクセスできない。

図５は、本発明の第１の実施形態のＬＵ管理テーブル１１５の詳細を示す説明図である。

ＬＵ管理テーブル１１５は、仮想サーバＩＤ５０１及びＬＵＩＤ５０２を含む。

仮想サーバＩＤ５０１は、物理サーバ１００上で稼動する仮想サーバ１１７を一意に識別するための識別子であり、仮想サーバＩＤ４０１と同一の情報である。

ＬＵＩＤ５０２は、ＬＵ３１１を一意に識別するための識別子である。

なお、仮想化管理部１１０は、起動キー管理テーブル１１４とＬＵ管理テーブル１１５とを組み合わせて一つのテーブルとして情報を保持してもよい。

図６は、本発明の第１の実施形態の仮想化管理部１１０がユーザ要求を受信した場合に実行する処理の概要を説明するフローチャートである。

仮想化管理部１１０は、管理サーバ１２０から送信されたユーザ要求を受信する（ステップ６０１）。

仮想化管理部１１０は、受信したユーザ要求が起動キーの生成要求であるか否かを判定する（ステップ６０２）。

受信したユーザ要求が起動キーの生成要求であると判定された場合、仮想化管理部１１０は、起動キーの生成処理を実行する（ステップ６０６）。なお、起動キーの生成処理の詳細は、図７及び図８を用いて後述する。

受信したユーザ要求が起動キーの生成要求でないと判定された場合、仮想化管理部１１０は、受信したユーザ要求が起動キーの削除要求であるか否かを判定する（ステップ６０３）。

受信したユーザ要求が起動キーの削除要求であると判定された場合、仮想化管理部１１０は、起動キーの削除処理を実行する（ステップ６０７）。なお、起動キーの削除処理の詳細は、図９及び図１０を用いて後述する。

受信したユーザ要求が起動キーの削除要求でないと判定された場合、仮想化管理部１１０は、受信したユーザ要求が仮想サーバ１１７の起動要求であるか否かを判定する（ステップ６０４）。

受信したユーザ要求が仮想サーバ１１７の起動要求であると判定された場合、仮想化管理部１１０は、仮想サーバ１１７の起動処理を実行する（ステップ６０８）。なお、仮想サーバ１１７の起動処理の詳細は、図１１Ａ、図１１Ｂ、図１２及び図１３を用いて後述する。

受信したユーザ要求が仮想サーバ１１７の起動要求でないと判定された場合、仮想化管理部１１０は、受信したユーザ要求が仮想サーバ１１７の移行要求であるか否かを判定する（ステップ６０５）。

受信したユーザ要求が仮想サーバ１１７の移行要求であると判定された場合、仮想化管理部１１０は、仮想サーバ１１７の移行処理を実行する（ステップ６０９）。なお、仮想サーバ１１７の移行処理の詳細は、図１４、図１５及び図１６を用いて後述する。

受信したユーザ要求が仮想サーバ１１７の移行要求でないと判定された場合、仮想化管理部１１０は、処理を終了する。なお、仮想化管理部１１０は、受信したユーザ要求に応じた他の処理を実行してもよい。

以下、ユーザ要求に対応する処理の詳細について説明する。まず、起動キーの生成処理について説明する。

図７は、本発明の第１の実施形態における起動キーの生成処理の流れを説明するシーケンス図である。

管理者又はユーザが、起動キーの生成要求を管理サーバ１２０に入力する（ステップ７０１）。なお、当該生成要求には、仮想サーバＩＤが含まれる。

なお、起動キーの生成要求を入力する契機としては、ユーザに新たに仮想サーバ１１７を割り当てる場合、又は、すでにユーザに割り当てられている仮想サーバ１１７に対して起動キーを新たに生成する場合等が考えられる。

管理サーバ１２０は、仮想サーバＩＤが含まれる起動キーの生成要求を仮想化管理部１１０に送信する。なお、管理サーバ１２０は、各物理サーバ１００上で稼動する仮想サーバ１１７に関する情報を格納するテーブル（図示省略）を保持しており、当該テーブルを参照することによって、起動キーの生成要求を送信する物理サーバ１００を特定できる。

仮想化管理部１１０は、管理サーバ１２０から起動キーの生成要求を受信すると（ステップ７０２）、起動キーを生成する（ステップ７０３）。

仮想化管理部１１０は、生成された起動キーに基づいて、起動キー管理テーブル１１４に更新する（ステップ７０４）。

仮想化管理部１１０は、起動キーの生成処理が完了した旨を示す完了通知を管理サーバ１２０に送信する（ステップ７０５）。

当該完了通知は、管理サーバ１２０によって管理者又はユーザに通知される。

図８は、本発明の第１の実施形態における起動キーの生成処理の詳細を説明するフローチャートである。

仮想化管理部１１０は、管理サーバ１２０から起動キーの生成要求を受信すると（ステップ８０１）、起動キー処理部１１１を呼び出す。呼び出された起動キー処理部１１１は起動キー生成部２０１を実行する。以下の処理は、起動キー生成部２０１によって実行される。

まず、起動キー生成部２０１は、起動キーを生成する（ステップ８０２）。

起動キーの生成方法は、例えば、仮想化管理部１１０固有の情報からハッシュ値を取得し、当該ハッシュ値に基づいて起動キーを生成する方法が考えられる。なお、本発明は、起動キーの生成方法に限定されず、どのような方法を用いてもよい。

次に、起動キー生成部２０１は、生成された起動キーを暗号化する（ステップ８０３）。本実施形態では、起動キーは、仮想化管理部１１０固有の情報を用いて暗号化される。

暗号化方法は、ＲＳＡ暗号等の公開鍵暗号方式を用いる方法が考えられる。なお、本発明は、暗号化の方法に限定されない。

起動キー生成部２０１は、暗号化された起動キーに基づいて起動キー管理テーブル１１４に更新する（ステップ８０４）。

具体的には、起動キーの生成要求に含まれる仮想サーバＩＤに対応するエントリが起動キー管理テーブル１１４に存在する場合には、起動キー生成部２０１は、当該エントリの起動キー４０２のカラムを更新する。また、起動キーの生成要求に含まれる仮想サーバＩＤに対応するエントリが起動キー管理テーブル１１４存在しない場合には、新たにエントリを追加する。

起動キー生成部２０１は、起動キーの生成処理の完了通知を管理サーバ１２０に送信し（ステップ８０５）、処理を終了する。

本発明では、仮想化管理部１１０固有の情報を用いて、起動キーが生成され、さらに、当該起動キーが暗号化される。これによって、仮想サーバ１１７の実行イメージが不正に取得された場合であっても、他の仮想化管理部１１０では、起動キーを復号化できず、さらに、起動キーが異なるため仮想サーバ１１７を起動できない。したがって、セキュリティを高めることができる。

次に、起動キーの削除処理について説明する。

図９は、本発明の第１の実施形態における起動キーの削除処理の流れを説明するシーケンス図である。

管理者又はユーザが、起動キーの削除要求を管理サーバ１２０に入力する（ステップ９０１）。なお、当該削除要求には、仮想サーバＩＤが含まれる。

起動キーの削除要求を入力する契機としては、ユーザに割り当てられている仮想サーバ１１７を削除する場合等が考えられる。

管理サーバ１２０は、仮想サーバＩＤが含まれる起動キーの削除要求を仮想化管理部１１０に送信する。なお、管理サーバ１２０は、各物理サーバ１００上で稼動する仮想サーバ１１７に関する情報を格納するテーブル（図示省略）を保持しており、当該テーブルを参照することによって、起動キーの削除要求を送信する物理サーバ１００を特定できる。

仮想化管理部１１０は、管理サーバ１２０から起動キーの削除要求を受信すると（ステップ９０２）、起動キーを検索する（ステップ９０３）。

仮想化管理部１１０は、検索された起動キーに対応する情報を起動キー管理テーブル１１４から削除する（ステップ９０４）。

仮想化管理部１１０は、起動キーの削除が完了した旨を示す完了通知を管理サーバ１２０に送信する（ステップ９０５）。

図１０は、本発明の第１の実施形態における起動キーの削除処理の詳細を説明するフローチャートである。

仮想化管理部１１０は、管理サーバ１２０から起動キーの削除要求を受信すると（ステップ１００１）、起動キー処理部１１１を呼び出す。呼び出された起動キー処理部１１１は起動キー削除部２０２を実行する。以下の処理は、起動キー削除部２０２によって実行される。

まず、起動キー削除部２０２は、受信した起動キーの削除要求に含まれる仮想サーバＩＤに基づいて、起動キー管理テーブル１１４から起動キーを検索する（ステップ１００２）。具体的には、起動キー削除部２０２は、起動キー管理テーブル１１４から、起動キーの削除要求に含まれる仮想サーバＩＤと一致するエントリを検索する。

起動キー削除部２０２は、検索された起動キーを起動キー管理テーブル１１４から削除する（ステップ１００３）。具体的には、起動キー削除部２０２は、起動キーの削除要求に含まれる仮想サーバＩＤと一致するエントリを起動キー管理テーブル１１４から削除する。

起動キー削除部２０２は、起動キーの削除処理の完了通知を管理サーバ１２０に送信し（ステップ１００４）、処理を終了する。

次に、仮想サーバの起動処理について説明する。

図１１Ａは、本発明の第１の実施形態における仮想サーバの起動処理の流れについて説明するシーケンス図である。

管理者又はユーザが、仮想サーバ１１７の起動要求を管理サーバ１２０に入力する（ステップ１１０１）。なお、当該起動要求には、仮想サーバＩＤが含まれる。

以下、起動させる仮想サーバ１１７を対象仮想サーバ１１７とも記載する。

管理サーバ１２０は、仮想サーバＩＤが含まれる仮想サーバの起動要求を仮想化管理部１１０に送信する。なお、管理サーバ１２０は、各物理サーバ１００上で稼動する仮想サーバ１１７に関する情報を格納するテーブル（図示省略）を保持しており、当該テーブルを参照することによって、仮想サーバ１１７の起動要求を送信する物理サーバ１００を特定できる。

仮想化管理部１１０は、管理サーバ１２０から仮想サーバ１１７の起動要求を受信すると（ステップ１１０２）、該当する起動キーが存在するか否かを検索する（ステップ１１０３）。すなわち、起動キーの認証処理が実行される。

次に、仮想化管理部１１０は、該当するＬＵが存在するか否かを検索する（ステップ１１０４）。すなわち、ＬＵの認証処理が実行される。

仮想化管理部１１０は、仮想サーバ１１７の起動要求に含まれる仮想サーバＩＤに対応する対象仮想サーバ１１７を起動する（ステップ１１０５）。

具体的には、ＬＵの認証処理が完了した後、仮想化管理部１１０は、ＬＵ３１１から仮想サーバ１１７の実行イメージを読み出し、読み出された仮想サーバ１１７の実行イメージを実行する。

仮想化管理部１１０は、仮想サーバの起動処理が完了した旨を示す完了通知を管理サーバ１２０に送信する（ステップ１１０６）。

図１１Ｂは、本発明の第１の実施形態における仮想サーバ１１７の起動キーを用いない場合の起動処理の流れについて説明するシーケンス図である。

図１１Ｂに示すように、起動キーを用いない場合は、ステップ１１０３の起動キーの認証処理が実行されない。

他の処理については同一であるため説明を省略する。

図１２は、本発明の第１の実施形態における起動キーの認証処理の詳細を説明するフローチャートである。

仮想化管理部１１０は、管理サーバ１２０から起動キーの起動要求を受信すると仮想サーバ起動部１１２を呼び出す。呼び出された仮想サーバ起動部１１２は、起動キー認証部２１１を実行する。以下の処理は、起動キー認証部２１１によって実行される。

起動キー認証部２１１は、受信した仮想サーバの起動要求から仮想サーバＩＤを抽出する（ステップ１２０１）。

起動キー認証部２１１は、抽出された仮想サーバＩＤに基づいて起動キー管理テーブル１１４を参照し、起動キーを検索する（ステップ１２０２）。具体的には、起動キー認証部２１１は、起動キー管理テーブル１１４から、抽出された仮想サーバＩＤと一致するエントリを検索する。

起動キー認証部２１１は、検索の結果、抽出された仮想サーバＩＤに対応する起動キーが存在するか否かを判定する（ステップ１２０３）。すなわち、起動キー管理テーブル１１４に、抽出された仮想サーバＩＤと一致するエントリが存在するか否かが判定される。

抽出された仮想サーバＩＤに対応する起動キーが存在しないと判定された場合、起動キー認証部２１１は、仮想サーバ起動部１１２に認証が失敗した旨を通知し（ステップ１２０６）、処理を終了する。すなわち、仮想サーバ１１７は起動されない。

抽出された仮想サーバＩＤに対応する起動キーが存在すると判定された場合、起動キー認証部２１１は、起動キー管理テーブル１１４から起動キーを読み出し、読み出された起動キーが復号化できるか否かを判定する（ステップ１２０７）。

具体的には、デコーダ１１６が実行され、読み出された起動キーが復号化できるか否かが判定される。

ここで、起動キーは仮想化管理部１１０固有の情報に基づいて暗号化されているため、仮想化管理部１１０が異なると起動キーを復号化することできない。すなわち、起動キーが不正に取得された場合であっても、取得された起動キーが復号化できない場合には、仮想サーバ１１７の起動が抑止される。

読み出された起動キーが復号化できないと判定された場合、起動キー認証部２１１は、仮想サーバ起動部１１２に認証が失敗した旨を通知し（ステップ１２０６）、処理を終了する。すなわち、仮想サーバ１１７は起動されない。

読み出された起動キーが復号化できると判定された場合、起動キー認証部２１１は、仮想サーバ起動部１１２に起動キーの認証処理が完了した旨を通知し（ステップ１２０５）、処理を終了する。

以上のように、本実施形態では、仮想サーバ１１７に対応する起動キーが存在しない場合には、仮想サーバ１１７が起動されない。

図１３は、本発明の第１の実施形態におけるＬＵの認証処理の詳細を説明するフローチャートである。

仮想サーバ起動部１１２は、起動キーの認証処理が完了した旨の通知を受信すると、ＬＵ認証部２１２を実行する。以下の処理は、ＬＵ認証部２１２によって実行される。

ＬＵ認証部２１２は、受信した仮想サーバの起動要求から仮想サーバＩＤを抽出する（ステップ１３０１）。

ＬＵ認証部２１２は、抽出された仮想サーバＩＤに基づいてＬＵ管理テーブル１１５を参照し、抽出された仮想サーバＩＤに対応するＬＵ３１１を検索する（ステップ１３０２）。具体的には、ＬＵ認証部２１２は、ＬＵ管理テーブル１１５から、抽出された仮想サーバＩＤに一致するエントリを検索する。

ＬＵ認証部２１２は、検索の結果、抽出された仮想サーバＩＤに対応するＬＵ３１１が存在するか否かを判定する（ステップ１３０３）。すなわち、ＬＵ管理テーブル１１５に、抽出された仮想サーバＩＤと一致するエントリが存在するか否かが判定される。

抽出された仮想サーバＩＤに対応するＬＵ３１１が存在しないと判定された場合、ＬＵ認証部２１２は、仮想サーバ起動部１１２に認証が失敗した旨を通知し（ステップ１３０６）、処理を終了する。すなわち、仮想サーバ１１７は起動されない。

抽出された仮想サーバＩＤに対応するＬＵ３１１が存在すると判定された場合、ＬＵ認証部２１２は、仮想サーバ起動部１１２にＬＵの認証処理が完了した旨を通知し（ステップ１３０５）、処理を終了する。

次に、仮想サーバの移行処理について説明する。

図１４は、本発明の第１の実施形態における仮想サーバ１１７の移行処理の流れについて説明するシーケンス図である。

仮想サーバの移行処理では、移行元の物理サーバ１００の仮想化管理部１１０と、移行先の物理サーバ１００の仮想化管理部１１０とが連携して処理を実行する。

以下、移行元の物理サーバ１００の仮想化管理部１１０を仮想化管理部１１０−１と、移行先の物理サーバ１００の仮想化管理部１１０を仮想化管理部１１０−２と記載する。

管理者又はユーザが、仮想サーバＩＤ及び移行先の物理サーバ１００の識別情報を管理サーバ１２０に入力して、仮想サーバ１１７の移行要求の送信する（ステップ１４０１）。

なお、仮想サーバ１１７の移行要求を入力する契機としては、計画的移行、障害発生などが考えられる。

管理サーバ１２０は、仮想サーバ１１７の移行要求を、仮想化管理部１１０−１及び仮想化管理部１１０−２に送信する。

なお、管理サーバ１２０は、各物理サーバ１００上で稼動する仮想サーバ１１７に関する情報を格納するテーブル（図示省略）を保持しており、当該テーブルを参照することによって、仮想サーバ１１７の移行要求を送信する物理サーバ１００を特定できる。また、管理サーバ１２０は、物理サーバ１００の識別情報を管理するテーブル（図示省略）を保持しており、当該テーブルを参照することによって仮想サーバ１１７の移行要求を送信する物理サーバ１００を特定できる。

なお、仮想化管理部１１０−１と仮想化管理部１１０−２との間の通信方法は以下のようなものが考えられる。

例えば、管理サーバ１２０は、仮想化管理部１１０−１と仮想化管理部１１０−２との間を接続する通信経路を生成し、当該通信経路を用いて、仮想化管理部１１０−１と仮想化管理部１１０−２とが互いに情報を送受信する方法が考えられる。

また、管理サーバ１２０を経由して、仮想化管理部１１０−１と仮想化管理部１１０−２とが情報を送受信してもよい。この場合、仮想化管理部１１０−１と仮想化管理部１１０−２との間で送受信する情報は暗号化することが望ましい。

図１４の説明に戻る。

仮想化管理部１１０−１は、管理サーバ１２０から仮想サーバ１１７の移行要求を受信すると（ステップ１４０２）、移行する仮想サーバ１１７に関連する情報を、移行先の仮想化管理部１１０−２に送信する（ステップ１４０４）。

以下、移行する仮想サーバ１１７に関連する情報を移行情報と記載する。移行情報には、移行する仮想サーバ１１７の構成情報、及び移行する仮想サーバ１１７の実行イメージ等が含まれる。なお、移行情報には、他の情報が含まれてもよい。

仮想化管理部１１０−２は、管理サーバ１２０から仮想サーバ１１７の移行要求を受信する（ステップ１４０３）。また、仮想化管理部１１０−２は、仮想化管理部１１０−１から移行情報を受信する（ステップ１４０５）。

仮想化管理部１１０−２は、受信した移行情報に基づいて、仮想サーバ１１７を生成する。また、仮想化管理部１１０−２は、仮想サーバ１１７の実行イメージをＬＵ３１１に格納する。

なお、移行先の物理サーバ１００に移行元の仮想サーバ１１７と同一構成の仮想サーバ１１７が生成されている場合には、新たに仮想サーバ１１７を生成しなくともよい。この場合、移行先の物理サーバ１００上に生成された仮想サーバ１１７と仮想サーバＩＤとを対応づければよい。

次に、仮想化管理部１１０−１は、移行する仮想サーバ１１７に対応する起動キーを起動キー管理テーブル１１４から読み出し、読み出された起動キーを仮想化管理部１１０−２に送信する（ステップ１４０６）。

仮想化管理部１１０−１は、起動キーの送信後、起動キー管理テーブル１１４及びＬＵ管理テーブル１１５を更新する（ステップ１４０８）。具体的には、仮想化管理部１１０−１は、起動キー管理テーブル１１４及びＬＵ管理テーブル１１５から移行した仮想サーバ１１７に対応するエントリを削除する。

仮想化管理部１１０−２は、起動キーを受信すると（ステップ１４０７）、起動キー管理テーブル１１４及びＬＵ管理テーブル１１５を更新する（ステップ１４０９）。具体的には、起動キー管理テーブル１１４及びＬＵ管理テーブル１１５に、移行された仮想サーバ１１７に対応するエントリを追加する。

仮想化管理部１１０−１は、仮想サーバ１１７の移行処理が完了した旨を示す完了通知を管理サーバ１２０に送信する（ステップ１４１０）。

なお、当該完了通知を送信するタイミングとしては、仮想化管理部１１０−２から仮想サーバ１１７の設定が完了した旨を受信した後に送信する。また、仮想化管理部１１０−２が、当該完了通知を管理サーバ１２０に送信してもよい。

図１５は、本発明の第１の実施形態の移行元の仮想化管理部１１０−１が実行する処理の詳細を説明するフローチャートである。

仮想化管理部１１０−１は、管理サーバ１２０から、仮想サーバＩＤを含む仮想サーバ１１７の移行要求を受信すると（ステップ１５０１）、仮想サーバ移行部１１３を起動する。以下の処理は、仮想サーバ移行部１１３によって実行される。

まず、仮想サーバ移行部１１３は、移行処理部２２３を実行する。

移行処理部２２３は、移行する仮想サーバ１１７の実行イメージが格納されるＬＵ３１１を検索する（ステップ１５０２）。

具体的には、移行処理部２２３は、仮想サーバ１１７の移行要求から仮想サーバＩＤを抽出する。移行処理部２２３は、抽出された仮想サーバＩＤに基づいてＬＵ管理テーブル１１５を参照し、抽出された仮想サーバＩＤと一致するエントリを検索する。

また、移行処理部２２３は、移行する仮想サーバ１１７の構成情報も取得する。

次に、移行処理部２２３は、検索されたＬＵ３１１に格納される仮想サーバ１１７の実行イメージを読み出し、移行先の仮想化管理部１１０−２に当該読み出された仮想サーバ１１７の実行イメージを含む移行情報を送信する（ステップ１５０３）。

以上の処理が完了すると、仮想サーバ移行部１１３は、次に、起動キー送信部２２１を実行する。

まず、起動キー送信部２２１は、移行する仮想サーバ１１７に対応する起動キーを検索する（ステップ１５０４）。

具体的には、起動キー送信部２２１は、仮想サーバ１１７の移行要求から仮想サーバＩＤを抽出する。起動キー送信部２２１は、抽出された仮想サーバＩＤに基づいて起動キー管理テーブル１１４を参照し、抽出された仮想サーバＩＤと一致するエントリを検索する。

起動キー送信部２２１は、起動キー管理テーブル１１４から起動キーを読み出し、読み出された起動キーを復号化する（ステップ１５０５）。なお、復号化にはデコーダ１１６が用いられる。

起動キー送信部２２１は、復号化された起動キーを移行先の仮想化管理部１１０−２に送信する（ステップ１５０６）。

以上の処理が完了すると、仮想サーバ移行部１１３は、ＬＵ管理テーブル１５０７から移行した仮想サーバ１１７に対応するエントリを削除し（ステップ１５０７）、また、起動キー管理テーブル１１４から移行した仮想サーバ１１７に対応するエントリを削除する（ステップ１５０８）。

仮想サーバ移行部１１３は、仮想サーバ１１７の移行処理の完了通知を管理サーバ１２０に送信し（ステップ１５０９）、処理を終了する。

図１６は、本発明の第１の実施形態の移行先の仮想化管理部１１０−２が実行する処理の詳細を説明するフローチャートである。

移行先の仮想化管理部１１０−２は、管理サーバ１２０から、仮想サーバＩＤを含む仮想サーバ１１７の移行要求を受信すると（ステップ１６０１）、仮想サーバ移行部１１３を実行する。以下の処理は、仮想サーバ移行部１１３によって実行される。

仮想サーバ移行部１１３は、移行元の仮想化管理部１１０−１から仮想サーバ１１７の実行イメージを含む移行情報を受信すると（ステップ１６０２）、移行処理部２２３を実行する。移行処理部２２３は、受信した移行情報に含まれる仮想サーバ１１７の実行イメージをＬＵ３１１に格納する。

移行処理部２２３は、仮想サーバ１１７の移行要求に含まれる仮想サーバＩＤと、仮想サーバ１１７の実行イメージが格納されるＬＵ３１１のＬＵＩＤとを対応づけて、ＬＵ管理テーブル１１５に登録する（ステップ１６０３）。

次に、仮想サーバ移行部１１３は、起動キー受信部２２２を実行することによって、仮想化管理部１１０−１から移行する仮想サーバ１１７の起動キーを受信する（ステップ１６０４）。なお、受信した起動キーは復号化された起動キーである。

仮想サーバ移行部１１３は、起動キーを暗号化する（ステップ１６０５）。暗号化の方法は、ステップ８０３と同一の方法も用いることが考えられる。

仮想サーバ移行部１１３は、仮想サーバ１１７の移行要求に含まれる仮想サーバＩＤと、暗号化された起動キーとを対応づけて起動キー管理テーブル１１４に登録する（ステップ１６０６）。

仮想サーバ移行部１１３は、移行完了を仮想化管理部１１０−１に通知し（ステップ１６０７）、処理を終了する。

以上のように、移行先の仮想化管理部１１０においても、起動キーは暗号化される。したがって、他の仮想化管理部１１０は、当該起動キーを復号化できないため、仮想サーバ１１７を起動できない。

本発明の第１の実施形態によれば、仮想化管理部１１０は、仮想サーバ１１７の起動に必要な起動キーを保持するときのみ、当該仮想サーバ１１７を起動できる。これによって、対応する起動キーを保持しない仮想化管理部１１０上における仮想サーバ１１７の起動が抑止される。したがって、悪意のある管理者等が他の物理サーバ１００上で仮想サーバ１１７の実行イメージを起動することを抑止できる。

また、起動キーは、仮想化管理部１１０のみがアクセス可能な記憶領域に格納されるため、管理サーバ１２０等の外部から取得できない。

さらに、仮想化管理部１１０が起動キーを保持していても、復号化できない場合には、仮想サーバ１１７の起動が抑止される。これによって、よりセキュリティを向上できる。

［第２の実施形態］

第２の実施形態では、起動キーを用いてさらにＬＵに格納された仮想サーバ１１７の実行イメージを暗号化する点が異なる。以下第１の実施形態との差異を中心に説明する。

第２の実施形態の計算機システム、物理サーバ１００、管理サーバ１２０及びストレージ装置１３０の構成は、第１の実施形態と同一であるため説明を省略する。

第２の実施形態では、起動キーの生成処理、起動キーの認証処理及びＬＵの認証処理が異なる。

図１７は、本発明の第２の実施形態における起動キーの生成処理の詳細を説明するフローチャートである。

ステップ８０１〜ステップ８０５は、第１の実施形態と同一の処理であるため説明を省略する。第２の実施形態では、ステップ８０２の後に新たな処理が実行される。

起動キー生成部２０１によって起動キーが生成された後、起動キー処理部１１１は、生成された起動キーを用いて、仮想サーバ１１７の実行イメージが格納されるＬＵ３１１を暗号化する（ステップ１７０１）。例えば、起動キーを暗号鍵としてＬＵ３１１を暗号化する方法が考えられる。

その後、起動キー生成部２０１が処理を継続する。

図１８は、本発明の第２の実施形態におけるＬＵの認証処理の詳細を説明するフローチャートである。

ステップ１３０１〜ステップ１３０５は、第１の実施形態と同一の処理であるため説明を省略する。第２の実施形態では、ステップ１３０３の後に新たな処理が実行される。

ステップ１３０３において、抽出された仮想サーバＩＤに対応するＬＵ３１１が存在すると判定された場合、ＬＵ認証部２１２は、起動キー管理テーブル１１４から起動キーを読み出し、読み出された起動キーを用いて対応するＬＵ３１１を復号化する（ステップ１８０１）。

図１９は、本発明の第２の実施形態の移行元の仮想化管理部１１０−１が実行する処理の詳細を説明するフローチャートである。

ステップ１５０１〜ステップ１５０２、及びステップ１５０４〜ステップ１５０９の処理は、第１の実施形態と同一であるため説明を省略する。

第２の実施形態では、ＬＵ３１１が検索された後（ステップ１５０２）、起動キーが検索される（ステップ１５０４）。これは、暗号化されたＬＵ３１１を復号化するためである。

ステップ１５０５の後、移行処理部２２３は、復号化された起動キーを用いて、移行する仮想サーバ１１７の実行イメージが格納されたＬＵ３１１を復号化する（ステップ１９０１）。

移行処理部２２３は、復号化されたＬＵ３１１に格納される仮想サーバ１１７の実行イメージを読み出し、読み出された仮想サーバ１１７の実行イメージを含む移行情報を移行先の仮想化管理部１１０−２に送信する（ステップ１９０２）。

なお、移行処理部２２３は、暗号化された仮想サーバ１１７の実行イメージそのものを移行先の仮想化管理部１１０−２に送信してもよい。

図２０は、本発明の第２の実施形態の移行先の仮想化管理部１１０−２が実行する処理の詳細を説明するフローチャートである。

ステップ１６０１、ステップ１６０２、ステップ１６０４、及びステップ１６０５〜ステップ１６０７の処理は、第１の実施形態と同一であるため説明を省略する。

移行処理部２２３は、仮想サーバ１１７の実行イメージ、復号化された起動キーを受信した後（ステップ１６０２、ステップ１６０４）、受信した起動キーを用いて、仮想サーバ１１７の実行イメージが格納されたＬＵ３１１を暗号化する（ステップ２００１）。

移行処理部２２３は、仮想サーバ１１７の移行要求に含まれる仮想サーバＩＤと、仮想サーバ１１７の実行イメージが格納されるＬＵ３１１のＬＵＩＤとを対応づけて、ＬＵ管理テーブル１１５に登録する（ステップ２００２）。

第２の実施形態によれば、仮想化管理部１１０が起動キーを用いて仮想サーバ１１７の実行イメージそのもの暗号化することによって、さらにセキュリティを向上させることができる。

［第３の実施形態］

第３の実施形態では、移行処理において、移行元の仮想化管理部１１０が、移行先の仮想化管理部１１０に起動キーの生成命令を送信する点が異なる。すなわち、移行処理時に、移行先の仮想化管理部１１０に起動キーは送信されず、当該移行先の仮想化管理部１１０が新たに起動キーを生成する。以下、第１の実施形態との差異を中心に説明する。

第３の実施形態の計算機システム、物理サーバ１００、管理サーバ１２０及びストレージ装置１３０の構成は、第１の実施形態と同一であるため説明を省略する。

図２１は、本発明の第３の実施形態の移行元の仮想化管理部１１０−１が実行する処理の詳細を説明するフローチャートである。

ステップ１５０１〜ステップ１５０３、及び、ステップ１５０７〜ステップ１５０９は第１の実施形態と同一の処理であるため説明を省略する。

仮想サーバ１１７の実行イメージが送信された後（ステップ１５０３）、起動キー送信部２２１は、仮想化管理部１１０−２に起動キーの生成命令を送信する（ステップ２１０１）。なお、当該生成命令には、起動キーを生成するための情報が含まれてもよい。

図２２は、本発明の第３の実施形態の移行先の仮想化管理部１１０−２が実行する処理の詳細を説明するフローチャートである。

ステップ１６０１〜ステップ１６０３、及び、ステップ１６０５〜ステップ１６０７は、第１の実施形態と同一の処理であるため説明を省略する。

仮想サーバ移行部１１３は、起動キー受信部２２２を実行することによって、起動キーの生成要求を受信すると（ステップ２２０１）、起動キー処理部１１１を呼び出し、起動キーの生成を要求する。

呼び出された起動キー処理部１１１は、起動キー生成部２０１を実行することによって、起動キーを生成する（ステップ２２０２）。なお、起動キーの生成方法は、ステップ８０２と同一の方法を用いる。

起動キー処理部１１１は、生成された起動キーと共に、起動キーの生成が完了した旨を仮想サーバ移行部１１３に通知する。当該通知を受信した仮想サーバ移行部１１３は、処理を再開する。

本発明の第３の実施形態によれば、移行処理時に起動キーが送信されないため、通信傍受等の方法を用いて起動キーが取得される危険性がなくなり、よりセキュリティを向上できる。

なお、本発明は、第１の実施形態、第２の実施形態、及び第３の実施形態を組み合わせてもよい。

以上、本発明を添付の図面を参照して詳細に説明したが、本発明はこのような具体的構成に限定されるものではなく、添付した請求の範囲の趣旨内における様々な変更及び同等の構成を含むものである。

Claims

複数の計算機を備える計算機システムにおける仮想計算機管理方法であって、
前記複数の計算機は、第１の計算機を含み、
前記第１の計算機は、第１のプロセッサと、前記第１のプロセッサに接続される第１のメモリと、前記第１のプロセッサに接続される第１のネットワークインタフェースと、前記第１のプロセッサに接続される第１の記憶媒体とを備え、
前記第１のメモリは、
前記計算機が備える計算機資源を分割することによって一以上の仮想計算機を生成し、前記仮想計算機を管理する第１の仮想化管理部を実現するためのプログラムを格納し、
前記第１の仮想管理部のみがアクセス可能な第１の管理記憶領域を含み、
前記第１の記憶媒体は、前記第１の記憶媒体の記憶領域を論理的に分割した論理記憶領域を含み、
前記論理記憶領域は、前記仮想計算機上で業務を実行するための業務プログラムを格納し、
前記第１の管理記憶領域は、前記仮想計算機の識別情報と、前記業務プログラムが格納された前記第１の記憶媒体の前記論理記憶領域の識別情報と、前記仮想計算機を起動させるための起動認証情報との対応関係を示す第１の起動管理情報を格納し、
前記第１の計算機上では、第１の業務プログラムを実行する第１の仮想計算機が生成され、
前記方法は、
前記第１の仮想化管理部が、前記第１の仮想計算機を起動させるための起動認証情報の生成命令を受信した場合、第１の起動認証情報を生成する第１のステップと、
前記第１の仮想化管理部が、前記第１の仮想計算機の識別情報と、前記第１の業務プログラムが格納された前記第１の記憶媒体の前記論理記憶領域の識別情報と、前記生成された第１の起動認証情報との対応関係を前記第１の起動管理情報に格納する第２のステップと、
前記第１の仮想化管理部が、前記第１の仮想計算機の識別情報を含む前記第１の仮想計算機の起動要求を受信した場合、前記第１の仮想計算機の識別情報に基づいて前記第１の起動管理情報を参照し、前記第１の仮想計算機に対応する前記第１の起動認証情報が存在するか否かを判定する第３のステップと、
前記第１の仮想化管理部が、前記第１の仮想計算機に対応する前記第１の起動認証情報が前記第１の起動管理情報に存在すると判定された場合、前記第１の記憶媒体の前記論理記憶領域から前記第１の業務プログラムを読み出す第４のステップと、
前記第１の仮想化管理部が、前記読み出された第１の業務プログラムを実行することによって前記第１の仮想計算機を起動させる第５のステップと、
を含むことを特徴とする仮想計算機管理方法。
前記第１のステップは、さらに、前記生成された第１の起動認証情報を暗号化するステップを含み、
前記第２のステップでは、前記第１の仮想計算機の識別情報と、前記第１の業務プログラムが格納された前記論理記憶領域の識別情報と、前記暗号化された第１の起動認証情報との対応関係を前記第１の起動管理情報に格納することを特徴とする請求項１に記載の仮想計算機管理方法。
前記第３のステップは、前記第１の仮想計算機に対応する前記暗号化された第１の起動認証情報が存在するか否かを判定するステップを含み、
前記第４のステップは、
前記第１の仮想計算機に対応する前記暗号化された第１の起動認証情報が存在すると判定された場合に、前記暗号化された第１の起動認証情報を復号化できるか否かを判定するステップと、
前記暗号化された第１の起動認証情報を復号化できると判定された場合、前記第１の記憶媒体の前記論理記憶領域から前記第１の業務プログラムを読み出すステップと、を含むことを特徴とする請求項２に記載の仮想計算機管理方法。
前記複数の計算機は、第２の計算機を含み、
前記第２の計算機は、第２のプロセッサと、前記第２のプロセッサに接続される第２のメモリと、前記第２のプロセッサに接続される第２のネットワークインタフェースと、前記第２のプロセッサに接続される第２の記憶媒体とを備え、
前記第２のメモリは、
前記仮想計算機を生成し、生成された前記仮想計算機を管理する第２の仮想化管理部を実現するためのプログラムを格納し、
前記第２の仮想管理部のみがアクセスでき、前記仮想計算機の識別情報と、前記業務プログラムが格納された前記第２の記憶媒体の前記論理記憶領域の識別情報と、前記仮想計算機を起動させるための起動認証情報との対応関係を示す第２の起動管理情報を格納する第２の管理記憶領域を含み、
前記第２の記憶媒体は、前記第２の記憶媒体の記憶領域を論理的に分割した論理記憶領域を含み、
前記方法は、さらに、
前記第１の仮想化管理部が、前記第１の仮想計算機を前記第２の計算機へ移行させるための移行要求を受信した場合に、前記移行要求に含まれる前記第１の仮想計算機の識別情報を抽出する第６のステップと、
前記第１の仮想化管理部が、前記抽出された第１の仮想計算機の識別情報に基づいて前記第１の起動管理情報を参照して、前記第１の記憶媒体の前記論理記憶領域から、前記第１の業務プログラムから読み出す第７のステップと、
前記第１の仮想化管理部が、前記第１の仮想計算機の識別情報、及び、前記読み出された第１の業務プログラムを前記第２の計算機に送信する第８のステップと、
前記第１の仮想化管理部が、前記抽出された第１の仮想計算機の識別情報に基づいて前記第１の起動管理情報から、前記暗号化された第１の起動認証情報を取得する第９のステップと、
前記第１の仮想化管理部が、前記暗号化された第１の起動認証情報を復号化し、前記復号化された第１の起動認証情報を前記第２の計算機に送信する第１０のステップと、
前記第１の仮想化管理部が、前記第１の起動管理情報から、前記第１の仮想計算機の識別情報と、前記第１の業務プログラムが格納された前記論理記憶領域の識別情報と、前記暗号化された第１の起動認証情報との対応関係を削除する第１１のステップと、
前記第２の仮想化管理部が、前記第１の仮想計算機の識別情報、前記第１の業務プログラム、及び、前記復号化された第１の起動認証情報を受信した場合に、前記第１の業務プログラムを前記第２の記憶媒体の前記論理記憶領域に格納し、前記復号化された第１の起動認証情報を暗号化する第１２のステップと、
前記第２の仮想化管理部が、前記第１の仮想計算機の識別情報と、前記第１の業務プログラムが格納された前記論理記憶領域の識別情報と、前記暗号化された第１の起動認証情報との対応関係を第２の起動管理情報に格納する第１３のステップと、
を含むことを特徴とする請求項２に記載の仮想計算管理方法。
前記複数の計算機は、第２の計算機を含み、
前記第２の計算機は、第２のプロセッサと、前記第２のプロセッサに接続される第２のメモリと、前記第２のプロセッサに接続される第２のネットワークインタフェースと、前記第２のプロセッサに接続される第２の記憶媒体とを備え、
前記第２のメモリは、
前記仮想計算機を生成し、前記生成された仮想計算機を管理する第２の仮想化管理部を実現するためのプログラムを格納し、
前記第２の仮想管理部のみがアクセスでき、前記仮想計算機の識別情報と、前記業務プログラムが格納された前記第２の記憶媒体の前記論理記憶領域の識別情報と、前記仮想計算機を起動させるための起動認証情報との対応関係を示す第２の起動管理情報を格納する第２の管理記憶領域を含み、
前記方法は、さらに、
前記第１の仮想化管理部が、前記第１の仮想計算機を前記第２の計算機へ移行させるための移行要求を受信した場合に、前記移行要求に含まれる前記第１の仮想計算機の識別情報を抽出する第１４のステップと、
前記第１の仮想化管理部が、前記抽出された第１の仮想計算機の識別情報に基づいて前記第１の起動管理情報を参照して、前記第１の記憶媒体の前記論理記憶領域から、前記第１の業務プログラムを読み出す第１５のステップと、
前記第１の仮想化管理部が、前記第１の仮想計算機の識別情報、及び、前記読み出された第１の業務プログラムを前記第２の計算機に送信する第１６のステップと、
前記第１の仮想化管理部が、前記第１の起動管理情報から、前記第１の仮想計算機の識別情報と、前記第１の業務プログラムが格納された前記論理記憶領域の識別情報と、前記暗号化された第１の起動認証情報との対応関係を削除する第１７のステップと、
前記第２の仮想化管理部が、前記第１の仮想計算機の識別情報、及び前記第１の業務プログラムを受信した場合に、前記第１の業務プログラムを前記第２の記憶媒体の前記論理記憶領域に格納し、前記第１の仮想計算機を起動させるための第２の起動認証情報を生成する第１８のステップと、
前記第２の仮想化管理部が、前記第１の仮想計算機の識別情報、前記第１の業務プログラムが格納された前記論理記憶領域の識別情報と、前記生成された第２の起動認証情報との対応関係を前記第２の起動管理情報に格納する第１９のステップと、を含むことを特徴とする請求項２に記載の仮想計算管理方法。
前記第１のステップでは、前記第１の仮想化管理部の識別情報を用いて、前記第１の起動認証情報を生成することを特徴とする請求項１に記載の仮想計算機管理方法。
第１のステップは、さらに、前記生成された第１の起動認証情報を用いて前記第１の業務プログラムが格納された前記第１の記憶媒体の前記論理記憶領域を暗号化するステップを含むことを特徴とする請求項１に記載の仮想計算機管理方法。
複数の計算機を備える計算機システムであって、
前記複数の計算機は、第１の計算機を含み、
前記第１の計算機は、第１のプロセッサと、前記第１のプロセッサに接続される第１のメモリと、前記第１のプロセッサに接続される第１のネットワークインタフェースと、前記第１のプロセッサに接続される第１の記憶媒体とを備え、
前記第１のメモリは、
前記計算機が備える計算機資源を分割することによって一以上の仮想計算機を生成し、前記仮想計算機を管理する第１の仮想化管理部を実現するためのプログラムを格納し、
前記第１の仮想管理部のみがアクセス可能な第１の管理記憶領域を含み、
前記第１の記憶媒体は、前記第１の記憶媒体の記憶領域を論理的に分割した論理記憶領域を含み、
前記論理記憶領域は、前記仮想計算機上で業務を実行するための業務プログラムを格納し、
前記第１の管理記憶領域は、前記仮想計算機の識別情報と、前記業務プログラムが格納された前記論理記憶領域の識別情報と、前記仮想計算機を起動させるための起動認証情報との対応関係を示す第１の起動管理情報を格納し、
前記第１の計算機上では、第１の業務プログラムを実行する第１の仮想計算機が生成され、
前記第１の計算機は、
前記第１の仮想計算機を起動させるための起動認証情報の生成命令を受信した場合、第１の起動認証情報を生成し、
前記第１の仮想計算機の識別情報と、前記第１の業務プログラムが格納された前記第１の記憶媒体の前記論理記憶領域の識別情報と、前記生成された第１の起動認証情報との対応関係を前記第１の起動管理情報に格納し、
前記第１の仮想計算機の識別情報を含む前記第１の仮想計算機の起動要求を受信した場合、前記第１の仮想計算機の識別情報に基づいて前記第１の起動管理情報を参照し、前記第１の仮想計算機に対応する前記第１の起動認証情報が存在するか否かを判定し、
前記第１の仮想計算機に対応する前記第１の起動認証情報が前記第１の起動管理情報に存在すると判定された場合、前記第１の記憶媒体の前記論理記憶領域から前記第１の業務プログラムを読み出し、
前記読み出された第１の業務プログラムを実行することによって前記第１の仮想計算機を起動することを特徴とする計算機システム。
前記第１の起動認証情報を生成する場合に、さらに、前記生成された第１の起動認証情報を暗号化し、
前記第１の仮想計算機の識別情報と、前記第１の業務プログラムが格納された前記論理記憶領域の識別情報と、前記暗号化された第１の起動認証情報との対応関係を前記第１の起動管理情報に格納することを特徴とする請求項８に記載の計算機システム。
前記第１の仮想計算機に対応する前記第１の起動認証情報が存在するか否かを判定する場合に、前記第１の仮想計算機に対応する前記暗号化された第１の起動認証情報が存在するか否かを判定し、
前記第１の仮想計算機に対応する前記暗号化された第１の起動認証情報が存在すると判定された場合に、前記暗号化された第１の起動認証情報を復号化できるか否かを判定し、
前記暗号化された第１の起動認証情報を復号化できると判定された場合、前記第１の記憶媒体の前記論理記憶領域から前記第１の業務プログラムを読み出すことを特徴とする請求項９に記載の計算機システム。
前記複数の計算機は、第２の計算機を含み、
前記第２の計算機は、第２のプロセッサと、前記第２のプロセッサに接続される第２のメモリと、前記第２のプロセッサに接続される第２のネットワークインタフェースと、前記第２のプロセッサに接続される第２の記憶媒体とを備え、
前記第２のメモリは、
前記仮想計算機を生成し、生成された前記仮想計算機を管理する第２の仮想化管理部を実現するためのプログラムを格納し、
前記第２の仮想管理部のみがアクセスでき、前記仮想計算機の識別情報と、前記業務プログラムが格納された前記論理記憶領域の識別情報と、前記仮想計算機を起動させるための起動認証情報との対応関係を示す第２の起動管理情報を格納する第２の管理記憶領域を含み、
前記第２の記憶媒体は、前記第２の記憶媒体の記憶領域を論理的に分割した論理記憶領域を含み、
前記第１の計算機は、
前記第１の仮想計算機を前記第２の計算機へ移行させるための移行要求を受信した場合に、前記移行要求に含まれる前記第１の仮想計算機の識別情報を抽出し、
前記抽出された第１の仮想計算機の識別情報に基づいて前記第１の起動管理情報を参照して、前記第１の記憶媒体の前記論理記憶領域から、前記第１の業務プログラムから読み出し、
前記第１の仮想計算機の識別情報、及び、前記読み出された第１の業務プログラムを前記第２の計算機に送信し、
前記抽出された第１の仮想計算機の識別情報に基づいて前記第１の起動管理情報から前記暗号化された第１の起動認証情報を取得し、
前記暗号化された第１の起動認証情報を復号化し、前記復号化された第１の起動認証情報を前記第２の計算機に送信し、
前記第１の起動管理情報から、前記第１の仮想計算機の識別情報と、前記第１の業務プログラムが格納された前記論理記憶領域の識別情報と、前記暗号化された第１の起動認証情報との対応関係を削除し、
前記第２の計算機は、
前記第１の仮想計算機の識別情報、前記第１の業務プログラム、及び、前記復号化された第１の起動認証情報を受信した場合に、前記第１の業務プログラムを前記第２の記憶媒体の前記論理記憶領域に格納し、前記復号化された第１の起動認証情報を暗号化し、
前記第１の仮想計算機の識別情報と、前記第１の業務プログラムが格納された前記論理記憶領域の識別情報と、前記暗号化された第１の起動認証情報との対応関係を第２の起動管理情報に格納することを特徴とする請求項９に記載の計算機システム。
前記複数の計算機は、第２の計算機を含み、
前記第２の計算機は、第２のプロセッサと、前記第２のプロセッサに接続される第２のメモリと、前記第２のプロセッサに接続される第２のネットワークインタフェースと、前記第２のプロセッサに接続される第２の記憶媒体とを備え、
前記第２のメモリは、
前記仮想計算機を生成し、前記生成された仮想計算機を管理する第２の仮想化管理部を実現するためのプログラムを格納し、
前記第２の仮想管理部のみがアクセスでき、前記仮想計算機の識別情報と、前記業務プログラムが格納された前記論理記憶領域の識別情報と、前記仮想計算機を起動させるための起動認証情報との対応関係を示す第２の起動管理情報を格納する第２の管理記憶領域を含み、
前記第１の計算機は、
前記第１の仮想計算機を前記第２の計算機へ移行させるための移行要求を受信した場合に、前記移行要求に含まれる前記第１の仮想計算機の識別情報を抽出し、
前記抽出された第１の仮想計算機の識別情報に基づいて前記第１の起動管理情報を参照して、前記第１の記憶媒体の前記論理記憶領域から、前記第１の業務プログラムを読み出し、
前記第１の仮想計算機の識別情報、及び、前記読み出された第１の業務プログラムを前記第２の計算機に送信し、
前記第１の起動管理情報から、前記第１の仮想計算機の識別情報と、前記第１の業務プログラムが格納された前記論理記憶領域の識別情報と、前記暗号化された第１の起動認証情報との対応関係を削除し、
前記第２の計算機は、
前記第１の仮想計算機の識別情報、及び前記第１の業務プログラムを受信した場合に、前記第１の業務プログラムを前記第２の記憶媒体の前記論理記憶領域に格納し、前記第１の仮想計算機を起動させるための第２の起動認証情報を生成し、
前記第１の仮想計算機の識別情報、前記第１の業務プログラムが格納された前記論理記憶領域の識別情報と、前記生成された第２の起動認証情報との対応関係を前記第２の起動管理情報に格納することを特徴とする請求項９に記載の計算機システム。
前記第１の起動認証情報を生成する場合に、前記第１の計算機は、さらに、前記第１の仮想化管理部の識別情報を用いて、前記第１の起動認証情報を生成することを特徴とする請求項８に記載の計算機システム。
前記第１の起動認証情報を生成する場合に、前記第１の計算機は、さらに、前記生成された第１の起動認証情報を用いて、前記第１の業務プログラムが格納された前記第１の記憶媒体の前記論理記憶領域を暗号化することを特徴とする請求項８に記載の計算機システム。
プロセッサと、前記プロセッサに接続されるメモリと、前記プロセッサに接続されるネットワークインタフェースと、前記プロセッサに接続される記憶媒体とを備える計算機であって、
前記メモリは、
前記計算機が備える計算機資源を分割することによって一以上の仮想計算機を生成し、前記仮想計算機を管理する仮想化管理部を実現するためのプログラムを格納し、
前記仮想管理部のみがアクセス可能な管理記憶領域を含み、
前記記憶媒体は、前記記憶媒体の記憶領域を論理的に分割した論理記憶領域を含み、
前記論理記憶領域は、前記仮想計算機上で業務を実行するための業務プログラムを格納し、
前記管理記憶領域は、前記仮想計算機の識別情報と、前記業務プログラムが格納された前記論理記憶領域の識別情報と、前記仮想計算機を起動させるための起動認証情報との対応関係を示す起動管理情報を格納し、
前記計算機は、
前記仮想計算機を起動させるための起動認証情報の生成命令を受信した場合、前記起動認証情報を生成し、
前記仮想計算機の識別情報と、前記業務プログラムが格納された前記記憶媒体の前記論理記憶領域の識別情報と、前記生成された起動認証情報との対応関係を前記第１の起動管理情報に格納し、
前記仮想計算機の識別情報を含む前記仮想計算機の起動要求を受信した場合、前記仮想計算機の識別情報に基づいて前記起動管理情報を参照し、前記仮想計算機に対応する前記起動認証情報が存在するか否かを判定し、
前記起動管理情報に、前記仮想計算機に対応する前記起動認証情報が存在すると判定された場合、前記記憶媒体の前記論理記憶領域から前記業務プログラムを読み出し、
前記読み出された業務プログラムを実行することによって前記仮想計算機を起動することを特徴とする計算機。
前記起動認証情報を生成する場合に、さらに、前記生成された起動認証情報を暗号化し、
前記仮想計算機の識別情報と、前記業務プログラムが格納された前記論理記憶領域の識別情報と、前記暗号化された起動認証情報との対応関係を前記起動管理情報に格納することを特徴とする請求項１５に記載の計算機。
前記仮想計算機に対応する前記起動認証情報が存在するか否かを判定する場合に、前記仮想計算機に対応する前記暗号化された起動認証情報が存在するか否かを判定し、
前記仮想計算機に対応する前記暗号化された起動認証情報が存在すると判定された場合に、前記暗号化された起動認証情報を復号化できるか否かを判定し、
前記暗号化された起動認証情報を復号化できると判定された場合、前記記憶媒体の前記論理記憶領域から前記業務プログラムを読み出すことを特徴とする請求項１６に記載の計算機。
前記計算機は、
前記仮想計算機を他の計算機へ移行させるための移行要求を受信した場合に、前記移行要求に含まれる前記仮想計算機の識別情報を抽出し、
前記抽出された仮想計算機の識別情報に基づいて前記起動管理情報を参照して、前記記憶媒体の前記論理記憶領域から、前記業務プログラムから読み出し、
前記仮想計算機の識別情報、及び、前記読み出された業務プログラムを移行先の計算機に送信し、
前記抽出された仮想計算機の識別情報に基づいて前記起動管理情報を参照して、前記暗号化された起動認証情報を取得し、
前記暗号化された起動認証情報を復号化し、前記復号化された起動認証情報を前記移行先の計算機に送信し、
前記起動管理情報から、前記仮想計算機の識別情報と、前記業務プログラムが格納された前記論理記憶領域の識別情報と、前記暗号化された起動認証情報との対応関係を削除し、
前記他の計算機から、前記仮想計算機の識別情報、前記業務プログラム、及び、前記復号化された起動認証情報を受信した場合に、前記業務プログラムを前記記憶媒体の前記論理記憶領域に格納し、前記復号化された起動認証情報を暗号化し、
前記仮想計算機の識別情報と、前記業務プログラムが格納された前記論理記憶領域の識別情報と、前記暗号化された起動認証情報との対応関係を前記起動管理情報に格納することを特徴とする請求項１６に記載の計算機。
前記計算機は、
前記仮想計算機を他の計算機へ移行させるための移行要求を受信した場合に、前記移行要求に含まれる前記仮想計算機の識別情報を抽出し、
前記抽出された仮想計算機の識別情報に基づいて前記起動管理情報を参照して、前記記憶媒体の前記論理記憶領域から、前記業務プログラムを読み出し、
前記仮想計算機の識別情報、及び、前記読み出された業務プログラムを移行先の計算機に送信し、
前記起動管理情報から、前記仮想計算機の識別情報と、前記業務プログラムが格納された前記論理記憶領域の識別情報と、前記暗号化された起動認証情報との対応関係を削除し、
前記他の計算機から、前記仮想計算機の識別情報、及び前記業務プログラムを受信した場合に、前記業務プログラムを前記記憶媒体の前記論理記憶領域に格納し、前記仮想計算機を起動させるための前記起動認証情報を生成し、
前記仮想計算機の識別情報、前記業務プログラムが格納された前記論理記憶領域の識別情報と、前記生成された起動認証情報との対応関係を前記起動管理情報に格納することを特徴とする請求項１６に記載の計算機。