WO2013132909A1 - ホスト提供システム及び通信制御方法 - Google Patents

ホスト提供システム及び通信制御方法 Download PDF

Info

Publication number
WO2013132909A1
WO2013132909A1 PCT/JP2013/051429 JP2013051429W WO2013132909A1 WO 2013132909 A1 WO2013132909 A1 WO 2013132909A1 JP 2013051429 W JP2013051429 W JP 2013051429W WO 2013132909 A1 WO2013132909 A1 WO 2013132909A1
Authority
WO
WIPO (PCT)
Prior art keywords
storage
communication data
communication
access
instance
Prior art date
Application number
PCT/JP2013/051429
Other languages
English (en)
French (fr)
Inventor
五十嵐　健
真菜 金子
佐々木　誠
識 今井
Original Assignee
株式会社エヌ・ティ・ティ・ドコモ
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 株式会社エヌ・ティ・ティ・ドコモ filed Critical 株式会社エヌ・ティ・ティ・ドコモ
Priority to US14/383,375 priority Critical patent/US9584481B2/en
Priority to EP13757511.4A priority patent/EP2824872B1/en
Publication of WO2013132909A1 publication Critical patent/WO2013132909A1/ja

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0227—Filtering policies
    • H04L63/0263—Rule management
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0227—Filtering policies
    • H04L63/0236—Filtering by address, protocol, port number or service, e.g. IP-address or URL
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L45/00—Routing or path finding of packets in data switching networks
    • H04L45/302—Route determination based on requested QoS
    • H04L45/308—Route determination based on user's profile, e.g. premium users
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L45/00—Routing or path finding of packets in data switching networks
    • H04L45/72—Routing based on the source address
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0272—Virtual private networks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L49/00—Packet switching elements
    • H04L49/35—Switches specially adapted for specific applications
    • H04L49/354—Switches specially adapted for specific applications for supporting virtual local area networks [VLAN]

Definitions

  • the present invention relates to a host providing system and a communication control method.
  • Iaas Intelligent as a Service
  • Iaas Intelligent as a Service
  • a technique is known in which a plurality of virtual instances are configured on one physical server and the virtual instances are provided to the user as virtual host computers (see, for example, Non-Patent Document 1).
  • a function for selecting, starting, and managing a virtual instance having performance according to a request from a user is provided for each physical server.
  • a physical server is provided with a control function for controlling data communication between virtual instances. This control function blocks data communication between virtual instances provided to different users, and blocks access to storage allocated to virtual instances provided to other users.
  • An instance refers to a collection of resources such as a CPU, memory, and storage.
  • the instance that can be handled in the above-described technology is only a virtual instance.
  • an overhead caused by virtualizing the instance is generated.
  • performance degradation due to this overhead occurs.
  • a physical instance is an instance configured solely on one physical server. Since physical instances are directly connected to a network for communication between instances, if appropriate management and control of communication from physical instances is not performed, the user of the malicious physical instance
  • the physical instances of other users and the storage allocated to the physical instances can be accessed via the network, and security is not ensured. Therefore, there has been a demand for a technique for ensuring security by appropriately controlling communication between physical instances and access to storage.
  • the present invention has been made in view of the above-described problems, and appropriately controls communication from a physical instance in a system that provides a single physical server to a single physical server via a network. It is an object of the present invention to provide a host providing system and a communication control method capable of ensuring security.
  • a host providing system provides an instance including a predetermined hardware resource as a host computer via a first network to a user terminal in response to a request from the user terminal.
  • a host providing system that includes a plurality of physical servers that can be used and can communicate with each other via a second network, and that provides a physical instance that is physically configured independently to the physical server as a physical host.
  • Communication data accepting means for accepting communication data destined for another instance from one physical instance via the second network, and information indicating the transmission source included in the communication data accepted by the communication data accepting means And the information indicating the user associated with each of the information indicating the destination match.
  • the determination means determines whether communication is possible or not, and if the communication permission is determined by the determination means, the communication to the transmission destination is permitted and communication data is sent to the transmission destination, and the communication permission is not determined.
  • a communication control method provides a first network to an instance of a predetermined hardware resource as a host computer in response to a request from a user terminal.
  • a host providing system that includes a plurality of physical servers that can be used via a second network and that can communicate with each other via a second network, and that provides a physical instance that is physically configured independently on the physical server as a physical host
  • a determination step for determining whether or not communication is possible based on whether or not information indicating a user associated with each piece of information indicating a transmission destination matches, and if communication permission is determined in the determination step, communication to the transmission destination is permitted.
  • a communication data control step is also included in which communication data is transmitted to the transmission destination and communication permission is not determined,
  • whether or not communication is possible is determined based on whether or not the information indicating the transmission source included in the communication data from the physical instance matches the information indicating the user associated with the information indicating the transmission destination.
  • Communication data is controlled based on this. As a result, only communication between instances of the same user is permitted, and communication from the physical instance is appropriately controlled, so that security in the system can be ensured.
  • the determination unit refers to a table in which information indicating a transmission source or a transmission destination is associated with port identification information of a port that receives the communication data and user identification information of the user, Port identification information associated with information indicating the transmission source is extracted as first port identification information, and user identification information associated with the first port identification information is extracted as first user identification information.
  • the port identification information associated with the information indicating the transmission destination is extracted as the second port identification information, and the user identification information associated with the second port identification information is extracted as the second user identification information. Whether or not communication is possible may be determined based on whether or not the first user identification information matches the second user identification information.
  • the received communication data is communication data between physical instances of the same user.
  • the determining means includes at least one of the information indicating the transmission source and the transmission destination of the communication data among predetermined authentication rules set in advance for each port that receives the communication data. Whether or not communication data can be communicated may be determined by further determining whether or not the authentication rule set for the port to which one physical instance is connected is applicable.
  • the determination step includes a predetermined authentication rule in which at least one of the information indicating the transmission source and the transmission destination of the communication data is set in advance for each port that receives the communication data. Whether or not communication data can be communicated may be determined by further determining whether or not the authentication rule set for the port to which one physical instance is connected is applicable.
  • the determination result it is determined whether at least one of the information indicating the transmission source and the information indicating the transmission destination included in the communication data from the physical instance conforms to the predetermined authentication rule, and based on the determination result.
  • Communication data is controlled. Since a condition necessary for permitting communication can be set as an authentication rule, only communication data that should be permitted to be transmitted is permitted to be transmitted to the communication destination, and communication data that should not be permitted to be transmitted is not transmitted to the communication destination. Thereby, since communication from a physical instance is appropriately controlled, security in the system can be ensured.
  • a plurality of virtual instances can be configured virtually, the virtual instances can be provided as virtual hosts to a user terminal via a first network, One or more virtual instance servers that can communicate with other servers via the network, and the communication data control unit identifies a virtual network that is virtually allocated and configured uniquely to one user in the second network A virtual network identifier may be added to the communication data.
  • the virtual network identifier for identifying the virtual network configured virtually for one user is the communication data from the physical instance. Therefore, communication from the physical instance to the virtual instance can be appropriately controlled in the system.
  • a host providing system includes a plurality of storages associated with each instance, and is a storage group accessible via the second network, and access from the instance to the storage, and identifies the instance.
  • Access accepting means for accepting access including an IP address to be accessed and a storage identifier for identifying the storage to be accessed; storage attribute storing means for storing the storage identifier in association with the IP address of the instance to which the storage is assigned; Whether the IP address included in the access received by the access receiving unit corresponds to the IP address associated with the storage identifier of the storage to be accessed in the storage attribute storage unit is determined.
  • the access permission determination unit and the access permission determination unit determine that the IP address included in the access corresponds to the IP address associated with the storage identifier, the access to the storage is permitted and the access is made to the storage If the IP address included in the access is determined not to correspond to the IP address associated with the storage identifier, access to the storage is not permitted and the access is not sent to the storage. And a control means.
  • the host providing system includes a plurality of storages associated with each instance, and a storage group accessible via the second network and a storage identifier for identifying the storage.
  • Storage attribute storage means that associates and stores the IP address of the instance to which the storage is allocated, and the communication control method is an access to the storage from the instance, and an IP address for identifying the instance and
  • An access accepting step for accepting an access including a storage identifier for identifying a storage to be accessed, and an IP address included in the access accepted in the access accepting step are stored in the storage attribute storage means as an access target
  • the access enable / disable determining step for determining whether or not the IP address associated with the storage identifier corresponds to the IP address associated with the storage identifier, the IP address included in the access is changed to the IP address associated with the storage identifier.
  • the access to the storage is permitted and the access is sent to the storage. If it is determined that the IP address included in the access does not correspond to the IP address associated with the storage identifier May further include an access control step in which access to the storage is not permitted and the access is not sent to the storage.
  • access is permitted only when the IP address included in the access from the physical instance to the storage corresponds to the IP address of the physical instance to which the storage is allocated, and in other cases, the access is permitted. Not allowed. As a result, access from an instance other than the physical instance to which the storage is assigned is prevented, so that security in the storage is appropriately ensured.
  • the first authentication rule among the authentication rules is a number in which the transmission source port number indicates a server in the DHCP protocol included in the communication data received by the communication data receiving unit.
  • the destination port number is a number indicating a client in the DHCP protocol, and the determination means cannot communicate the communication data when the communication data corresponds to the first authentication rule. It is good also as determining.
  • the second authentication rule of the authentication rules is a number indicating that the transmission source port number indicates a client in the DHCP protocol included in the communication data received by the communication data receiving means.
  • the destination port number is a number indicating a server in the DHCP protocol, and the determination means determines the communication permission of the communication data when the communication data corresponds to the second authentication rule. It is good to do.
  • a physical instance that is a transmission source of communication data is permitted to request an IP address from a DHCP server.
  • the third authentication rule of the authentication rules includes the source MAC address and the source IP address included in the communication data received by the communication data receiving unit, respectively.
  • Communication permission may be determined.
  • the validity of the transmission source physical instance is appropriately determined. Therefore, for example, communication using a spoofed source IP address is prevented.
  • security can be ensured by appropriately controlling communication from a physical instance in a system that provides a physical instance configured independently to one physical server via a network. It becomes.
  • FIG. 1 It is a figure which shows the connection relation of the physical instance in a management network, and a network storage group. It is a block diagram which shows the functional structure of a storage access management part. It is a figure which shows the example of a structure of the storage attribute memory
  • FIG. 1 is a block diagram showing the overall configuration of the host providing system 1.
  • Host providing system 1 available to over a public network N P (first network) to the user terminal T U instances of a predetermined hardware resources as the host computer in response to a request from the user terminal T U It is a system to provide.
  • the host providing system 1 includes a plurality of first servers (physical servers) that can communicate with each other via the management network N C (second network), and is physically configured independently on the first server. can be provided to the user terminal T U physical instances as physical hosts.
  • the host providing system 1 includes a request reception node 2, a host selection node 3, a host information aggregation node 4, a physical host management node 5, an NW storage group 6, a first server 7, and a second server 8 (virtual instance server). Is provided. These nodes and servers can communicate with each other through the management network N C.
  • the management network N C are connected communicably maintenance terminal T S, system maintenance person, by accessing the various nodes and servers via a maintenance terminal T S, maintenance and management of the system Can be implemented.
  • the first server 7 and the second server 8 is communicatively connected to the public network N P.
  • the public network N P, the user terminal T U and is communicably connected to the user is an instance user, it is configured in the first server 7 and the second server 8 via the user terminal T U You can access the instance. Accordingly, the user terminal T U can utilize instance as a host computer.
  • the first server 7 is a physical server for configuring the physical instance 71 independently of the first server 7.
  • First server 7 one can provide to the user terminal T U of one physical instance 71 as a physical host.
  • the physical instance 71 includes hardware 72, an OS 73, middleware 74, and an application 75.
  • the second server 8 may provide a plurality of virtual instances 85 a physical server which virtually configuration to the second server 8, the user terminal T U multiple virtual instances 85 as a virtual host.
  • the virtual instance 85 includes an OS 86, middleware 87, and an application 88.
  • the second server 8 further includes a virtual host management node 81, hardware 82, a host OS 83, and a hypervisor 84.
  • the virtual host management node 81 is a node that manages a plurality of virtual hosts, and stores virtual host information including information indicating the usage status of the virtual hosts in the host information aggregation node 4.
  • the virtual host management node 81 acquires an instance activation request from the host selection node 3
  • the virtual host management node 81 causes the hypervisor 84 to activate one of the plurality of virtual instances 85 as a virtual host.
  • the hypervisor 84 is a functional unit that performs selection, management, activation, and the like of the virtual instance 85 to be provided as a virtual host. Further, the hypervisor 84 blocks data communication between the virtual instances 85 provided to different users, and blocks access to the storage allocated to the virtual instances provided to other users.
  • NW storage group 6 is a set of storage devices provided with the host to the user terminal T U, by the physical host 71 and the virtual host 85 is accessed for data read and write.
  • each of the various nodes 2-5 is constructed respectively distributed to the management network N C as a single device, as a plurality of nodes are configured together in apparatus 1 Also good.
  • two first servers 7 are managed by a single physical host management node 5. However, the number of first servers 7 and physical host management nodes 5 that manage them are shown. The number of is not limited to the number shown in FIG.
  • Request receiving node 2 may accept the instance startup request from the user terminal T U from the user terminal T U, a node sends an instance start request received in the host selected node 3.
  • the instance activation request includes instance type information indicating whether the instance related to the activation request is a virtual instance or a physical instance, and hardware performance required for the instance such as the number of CPUs, memory capacity, and disk capacity. The required performance information is included.
  • the host selection node 3 selects the instances 71 and 85 to be provided as a host and manages the selected instance according to the instance type information and requested performance information included in the instance activation request acquired from the request reception node 2 5,81 is selected. Then, the host selection node 3 sends an activation request for activating the selected instances 71 and 85 as a host computer to the host management nodes 5 and 81.
  • the host information aggregation node 4 receives host information related to the host status, and stores the received host information in a predetermined storage means.
  • the host information includes physical host information from the physical host management node 5 and virtual host information from the virtual host management node 81, and includes usage status information indicating the usage status of the host, an instance type, and whether the host is in use. And information regarding the specifications indicating the performance of the host.
  • the physical host management node 5 notifies the host information aggregation node 4 of host information indicating the state of the physical host under control (physical instance 71).
  • the physical host management node 5 activates the physical host (physical instance 7) selected by the host selection node 3 based on the instance activation request sent from the host selection node 3.
  • FIG. Figure 2 is a diagram schematically showing a plurality of first server 7 connected to each other through the management network N C.
  • the management network N C includes physical host network switch 9 (second network).
  • the first server 7 A1 of three, 7 A2, 7 B is connected to the network N C for management via the physical host network switch 9.
  • the first server 7 A1 the user terminal T UA of the user A provides a physical instance 71 A1 as a physical host, and is connected to the port # Port1001 physical host network switch 9.
  • the physical instance 71 A1 has an IP address “IP-A1” and a MAC address “MAC-A1”.
  • the first server 7 A2 is the user terminal T UA of the user A provides a physical instance 71 A2 as a physical host, and is connected to the port # Port1002 physical host network switch 9.
  • the physical instance 71 A2 has an IP address “IP-A2” and a MAC address “MAC-A2”.
  • the first server 7 B provides the physical instance 71 B as a physical host to the user terminal T UB of the user B, and is connected to the port #Port 1003 of the physical host network switch 9.
  • the physical instance 71 B has an IP address “IP-B1” and a MAC address “MAC-B1”.
  • the physical host network switch 9 is shown as a single device. However, as shown by a broken line in FIG. 2, the physical host network switch 9 may be configured as three network switches provided for each port.
  • FIG. 3 is a block diagram showing a functional configuration of the physical host network switch 9.
  • the physical host network switch 9 includes a communication data reception unit 91 (communication data reception unit), an authentication rule storage unit 92, a determination unit 93 (determination unit), and a communication data control unit 94 (communication data control unit). ).
  • Communication data receiving unit 91 from one physical instance 71, the communication data of which destination is another instance, a part that receives via the management network N C.
  • the communication data includes at least one of a MAC address and an IP address indicating a transmission source of the communication data and an IP address indicating a transmission destination.
  • the communication data reception unit 91 sends the received communication data to the determination unit 93.
  • the authentication rule storage unit 92 is a part that stores authentication rules related to communication data that should be allowed to be communicated.
  • FIG. 4 is a diagram schematically illustrating a physical instance information table used for generating an authentication rule.
  • the physical instance information table stores various types of information related to physical instances, and is provided in the physical host management node 5 shown in FIG. 1, for example. Further, the physical instance information table may be provided in any of the other nodes 2, 3, 4 or other nodes not shown.
  • the physical instance information table is also directly referred to in the determination process in the determination unit 93.
  • the physical instance information table is associated with an instance ID that identifies the physical instance 71, an interface ID, a data path ID, a port ID (port identification information), and a user terminal provided with the physical instance T U of the user ID, and stores the IP address and MAC address.
  • the interface ID is an ID unique to the physical instance.
  • the data path ID is an ID of a switch to which a physical server that configures the physical instance is connected.
  • the port ID is a port ID of the switch.
  • Each record of the physical instance information table for example, by the physical host management node 5 may be set when the physical instance 71 is activated to provide the user terminal T U as a physical host.
  • the data stored in the physical instance information table can be used for setting an authentication rule in the authentication rule storage unit 92.
  • FIG. 5 is a VLAN information table stored in the physical host management node 5 or any other node together with the physical instance information table.
  • the VLAN information table stores a VLAN ID (virtual network identifier) in association with the user ID.
  • VLAN ID is physically in the management network N C which is one of a network, to configure the network that is logically separated for each user virtually is an identifier for identifying a virtual network.
  • the communication data behaves so as to be communicated in a virtual network configured uniquely for the user.
  • FIG. 6 is a diagram schematically illustrating a configuration of the authentication rule storage unit 92 and an example of stored data.
  • the authentication rule storage unit 92 for each port ID of the port for receiving the communication data, the user terminal T U users provided a physical instance 71 connected to the port, the authentication rule and communication data Is stored in association with the processing contents when the above corresponds to the authentication rule.
  • Authentication rules are stored with a reference order.
  • a determination unit 93 to be described later determines whether or not communication data can be communicated with reference to authentication rules set in the higher order. Specific determination processing based on the authentication rule will be described later.
  • the hypervisor 84 attaches a VLAN ID assigned to each user at the time of data transmission to the communication data, so that the virtual instance 85 Managed data communication between them.
  • data communication between the physical instance 71 and the virtual instance 85 is possible by adding the VLAN ID to the communication data from the physical instance 71.
  • tag VLAM method a method of configuring a logical network that is logically separated into a plurality of physical networks in this way.
  • the determination unit 93 determines whether communication is possible depending on whether the information indicating the transmission source included in the communication data received by the communication data reception unit 91 matches the information indicating the user associated with each of the information indicating the transmission destination. It is a part to judge. Specifically, the determination unit 93 refers to a physical instance information table in which information (IP address, MAC address) indicating a transmission source or a transmission destination is associated with a port ID and a user ID of a port that receives the communication data.
  • information IP address, MAC address
  • the port ID associated with the information indicating the transmission source is extracted as the first port ID
  • the user ID associated with the first port ID is extracted as the first user ID
  • the information indicating the transmission destination is extracted as the second port ID
  • the user ID associated with the second port ID is extracted as the second user ID
  • the first user ID and the second user ID are extracted. Whether or not communication is possible is determined based on whether or not. It should be noted that user authentication between port IDs is performed similarly between virtual and physical.
  • the determination unit 93 sets in advance at least one of the information indicating the transmission source and the transmission destination of the communication data for each port that receives the communication data at the time of data transmission from the physical instance connected to the port.
  • whether or not communication data can be communicated is determined by further determining whether or not the authentication rules set for the port to which one physical instance is connected.
  • information indicating a transmission source and a transmission destination of communication data is queried in descending order from the priority “10040” of the authentication rule. If the rule matches, the process for the rule is executed. If it does not match the rule, the next priority authentication rule is inquired.
  • the communication data control unit 94 is a part that, when the communication permission is determined for the communication data by the determination unit 93, permits communication to the transmission destination of the communication data and sends the communication data to the communication destination.
  • the port 9 A1 when the communication data from the physical instance 71 A1 to physical instance 71 A2 is communication permission determination, the communication data received at port 9 A1 to physical instance 71 A2 via the port 9 A2 Send it out.
  • the communication data control unit 94 performs control so that communication with the transmission destination is not permitted and the communication data is not transmitted to the transmission destination.
  • the determination unit 93 in the port 9 A1 determines from the communication data the MAC address “MAC-A1 of the transmission source. ”And the IP address“ IP-A1 ”, the destination MAC address“ MAC-A2 ”, and the IP address“ IP-A2 ”. Subsequently, the determination unit 93 refers to the physical instance information table, extracts the port ID “Port 1001 ” associated with the transmission source address, and extracts the user ID “A” associated with this port ID. Then, the port ID “Port 1002 ” associated with the destination address is extracted, and the user ID “A” associated with this port ID is extracted. And since both extracted user ID corresponds, the determination part 93 determines communication permission with respect to the said communication data.
  • the determination unit 93 refers to the authentication rules set in the authentication rule storage unit 92 in association with the port ID: #Port 1001 in descending order from the priority “10040”. Then, since the MAC address and IP address extracted from the communication data match “source MAC address: MAC-A1 and source IP address: IP-A1” of the reference authentication rule “10020”, the determination unit 93 It is determined that the communication related to the communication data corresponds to the authentication rule. Then, the communication data control unit 94 permits communication of the communication data to the physical instance 71 A2 and sends the communication data to the port 9 A2 (port ID: # Port1002).
  • the determination unit 93 determines the MAC address “MAC-A1” of the transmission source and the IP address “IP” from the communication data. -A1 ", the destination MAC address" MAC-A2 "and the IP address” IP-A2 "are extracted, the port ID" Port 1001 "and the port ID associated with the source address in the physical instance information table The user ID “A” associated with the port ID, the port ID “Port 1002 ” associated with the destination address, and the user ID “A” associated with this port ID are extracted. Then, when the extracted user IDs coincide with each other, the determination unit 93 determines whether to permit communication with the physical instance 71 A2 for the communication data.
  • communication data is permitted only when the user of the physical instance 71 of the transmission source and the transmission destination matches, and the legitimacy of the transmission source is appropriately determined by the determination on the address of the transmission source. Therefore, for example, communication using a spoofed source IP address is prevented.
  • the determination unit 93 in the port 9 B determines from the communication data the MAC address “MAC-B 1 of the transmission source. And the IP address “IP-B1”, the destination MAC address “MAC-A1”, and the IP address “IP-A1”. Subsequently, the determination unit 93 refers to the physical instance information table, extracts the port ID “Port 1003 ” associated with the transmission source address, and extracts the user ID “B” associated with this port ID.
  • the port ID “Port 1001 ” associated with the destination address is extracted, and the user ID “A” associated with this port ID is extracted. And since both extracted user IDs differ, the determination part 93 does not perform communication permission determination with respect to the said communication data. Then, the communication data control unit 94 does not permit communication of the communication data to the physical instance 71 A1 and does not transmit the communication data to the port 9 A1 (port ID: # Port1001). In this determination, in the communication from the physical instance 71 connected to the port that has received the communication data to the other instance, only the communication to the other instance provided by the user provided with the physical instance is permitted. It becomes. Therefore, communication with an instance assigned to another user other than the user provided with the physical instance is prevented.
  • the determination unit 93 refers to the physical instance information table, extracts the port ID “Port 1002 ” associated with the transmission source address, and extracts the user ID “A” associated with the port ID. Then, the port ID “Port 1001 ” associated with the destination address is extracted, and the user ID “A” associated with this port ID is extracted. And since both extracted user ID corresponds, the determination part 93 determines communication permission with respect to the said communication data.
  • the determination unit 93 refers to the authentication rules set in the authentication rule storage unit 92 in association with the port ID: #Port 1003 in descending order from the priority “10040”.
  • the communication data does not correspond to the rules of priority “10040” and “10030”, and the MAC address and IP address extracted from the communication data are the authentication rule “source MAC address” of priority “10020”. : MAC-B1 and transmission source IP address: IP-B1 ”, the communication disapproval of the priority“ 10010 ”having the lowest priority is applied, and the determination unit 93 performs communication for communication of the communication data. Do not make a permission decision.
  • the communication data control unit 94 does not permit communication of the communication data to the physical instance 71 A1 and does not transmit the communication data to the port 9 A1 (port ID: # Port1001). In such a determination, communication by impersonation of an IP address or MAC address is appropriately prevented.
  • the physical instance 71 A1 issues an IP address issue request to the DHCP server.
  • the determination unit 93 determines communication permission for the communication data, as in the first example. .
  • the determination unit 93 refers to the authentication rules set in the authentication rule storage unit 92 in association with the port ID: #Port 1001 in descending order from the priority “10040”.
  • the communication data does not correspond to the rule of priority “10040”, but corresponds to the authentication rule “source L4 port number 68 and destination L4 port number 67” of priority “10030”. Determines communication permission of the communication data.
  • the source L4 port number “68” is a client in the DHCP protocol
  • the source L4 port number “67” is a server in the DHCP protocol.
  • the transmission source physical instance impersonates the DHCP server, when communication data of “transmission source L4 port number 67 and transmission destination L4 port number 68” is transmitted, the authentication rule of priority “10040” is set. As a result, the determination unit 93 disallows communication of the communication data.
  • the communication data control unit 94 adds the VLANID identifying a virtual network that is configured uniquely assigned to virtually the one user in the management network N C (virtual network identifier) in the communication data. For example, when the communication data to a virtual instance 85 that is configured to the second server 8 from physical instance 71 A1 via the port 9 A1 is sent, the port 9 communicating data control unit 94 in the A1 is VLAN information table In FIG. 5, the VLAN ID “VID A ” associated with the user ID “A” is assigned to the communication data. Thereby, as described above, data communication between the physical instance 71 and the virtual instance becomes possible. Further, in the communication from the virtual instance 85 to the physical instance 71, the determination unit 93 may adopt as an authentication rule that the VLAN ID assigned to the user of the physical instance is included in the communication data.
  • the physical host network switch 9 shown in FIG. 2 can be configured by one or a plurality of computers, for example.
  • FIG. 7 is a hardware configuration diagram of the physical host network switch 9.
  • the computer that constitutes the physical host network switch 9 physically includes an auxiliary device such as a CPU 101, a RAM 102 and a ROM 103 that are main storage devices, a communication module 104 that is a data transmission / reception device, a hard disk, and a flash memory.
  • the computer system includes a storage device 105, an input device 106 such as a keyboard as an input device, and an output device 107 such as a display.
  • an input device 106 such as a keyboard as an input device
  • an output device 107 such as a display.
  • the storage access management unit 60 described later with reference to FIGS. 8 and 9 also has the same hardware configuration as that of the physical host network switch 9.
  • the communication data receiving unit 91 receives from one physical instance 71, the communication data of which destination is another instance, via the management network N C (S1). Subsequently, the determination unit 93 refers to the physical instance information table, extracts the port ID associated with the information (IP address, MAC address) indicating the transmission source as the first port ID, and extracts the first port ID.
  • the user ID associated with the user ID is extracted as the first user ID
  • the port ID associated with the information indicating the transmission destination is extracted as the second port ID
  • the user associated with the second port ID is extracted.
  • the ID is extracted as the second user ID (S2).
  • the determination unit 93 determines whether or not the first user ID and the second user ID match (S3). If it is determined that the first user ID and the second user ID match, the processing procedure proceeds to step S4. On the other hand, if it is not determined that the first user ID and the second user ID match, the processing procedure proceeds to step S5.
  • step S4 the communication data control unit 94 permits communication with the transmission destination of the communication data (S4).
  • step S5 the communication data control unit 94 disallows communication to the transmission destination of the communication data (S5).
  • the determination process shown in FIG. 8 is performed at each port 9 both when transmitting and receiving communication data. At the time of transmission of communication data, it is further determined whether or not communication is possible at each port 9 by the processing shown in FIG. That is, at the time of data transmission, communication data is communicated by determining communication permission in both the determination process shown in FIG. 8 and the determination process shown in FIG. On the other hand, when data is received, if communication permission is determined in the determination process shown in FIG. 8, data communication is performed.
  • FIG. 9 the content of the determination process performed at the time of data transmission will be described.
  • the communication data receiving unit 91 receives communication data from one physical instance 71 (S6). Subsequently, the determination unit 93 extracts the source IP address, MAC address, L4 port number, and destination L4 port number from the communication data (S7).
  • the determination unit conforms to the authentication rule stored in the authentication rule storage unit 92 based on the source IP address, MAC address, L4 port number, and destination L4 port number extracted in step S7. It is determined whether or not (S8). If it is determined that the authentication rule is met (S9), the processing procedure proceeds to step S10. On the other hand, if it is determined that the authentication rule is not met (S4), the processing procedure proceeds to step S11. In step S10, the communication data control unit 94 permits communication with the transmission destination of the communication data. On the other hand, in step S11, the communication data control unit 94 performs control so that communication with the transmission destination is not permitted and communication data is not sent to the transmission destination (S11).
  • step S12 the communication data control unit 94 refers to the VLAN information table and extracts the VLAN ID associated with the transmission source user ID (S12). Then, the communication data control unit 94 adds the extracted VLAN ID to the communication data, and sends the communication data to the destination port 9 (S13).
  • the host providing system 1 includes a network storage unit 6 is a set of accessible plurality of storage via the management network N C from each instance.
  • the network storage group 6 includes a storage access management unit 60 for managing access to the storage.
  • FIG. 11 is a block diagram showing a functional configuration of the storage access management unit 60.
  • the storage access management unit 60 includes an access reception unit 61 (access reception unit), a storage attribute storage unit 62 (storage attribute storage unit), an access permission determination unit 63 (access permission determination unit), and access control.
  • Unit 64 access control means.
  • the access accepting unit 61 is a part that accepts access to the storage from the instance. This access includes an IP address that identifies the access source instance and a storage ID (storage identifier) that identifies the storage to be accessed.
  • the storage attribute storage unit 62 stores the storage ID in association with the IP address of the instance to which the storage is assigned. In the present embodiment, one storage is allocated for each instance. That is, only one instance can access one storage.
  • FIG. 12 is a diagram illustrating a configuration of the storage attribute storage unit 62 and an example of stored data. As shown in FIG. 12, the storage attribute storage unit 62 stores the IP address of the instance assigned to the storage in association with the storage ID. Further, the storage attribute storage unit 62 may further store a user and an access source instance type (physical instance or virtual instance) in association with each other. For example, data such as an IP address “IP-A1”, a user “A”, and an instance type “physical” are stored as storage attributes of the storage ID “I A1 ”. The determination process using the information regarding the storage attribute will be described later.
  • the access permission determination unit 63 determines whether or not the IP address included in the access received by the access reception unit 61 corresponds to the IP address associated with the storage ID of the storage to be accessed in the storage attribute storage unit 62. This is a part for determining.
  • the access control unit 64 performs access to the storage when the access permission determination unit 63 determines that the IP address included in the access corresponds to the IP address associated with the storage ID in the storage attribute storage unit 62. Allow and send access to the storage. In addition, when it is determined that the IP address included in the access does not correspond to the IP address associated with the storage ID in the storage attribute storage unit 62, the access control unit 64 disallows access to the storage. Control that access is not sent to storage.
  • the determination process by the access permission determination unit 63 and the control process by the access control unit 64 will be described by way of specific examples.
  • access to the storage ID “I A1 ” from the physical instance 71 A1 provided to the user A is received by the storage access management unit 60.
  • This access includes the source MAC address “MAC-A1”, the IP address “IP-A1”, and the storage ID “I A1 ” of the storage to be accessed.
  • the access permission determination unit 63 extracts the IP address “IP-A1” associated with the storage ID “I A1 ” in the storage attribute storage unit 62.
  • the accessibility determination unit 63 determines that the source IP address “IP-A1” included in the access corresponds to the IP address extracted from the storage attribute storage unit 62. Therefore, the access control unit 64 permits access to the storage identified by the storage ID “I A1 ” and sends data related to the access.
  • access to the storage ID “I A1 ” from the physical instance 71 B provided to the user B is received by the storage access management unit 60.
  • This access includes the MAC address “MAC-B1” of the transmission source, the IP address “IP-B1”, and the storage ID “I A1 ” of the storage to be accessed.
  • the access permission determination unit 63 extracts the IP address “IP-A1” associated with the storage ID “I A1 ” in the storage attribute storage unit 62.
  • the accessibility determination unit 63 determines that the source IP address “IP-B1” included in the access does not correspond to the IP address extracted from the storage attribute storage unit 62. Therefore, the access control unit 64 does not permit access from the physical instance 71 B to the storage identified by the storage ID “I A1 ”, and controls the data related to the access not to be sent to the storage.
  • an access to the storage ID “I A1 ” in which the IP address of the transmission source is disguised as the IP address “IP-A1” of the user A is received from the physical instance 71 B provided to the user B.
  • the access is blocked by the physical host network switch 9 before reaching the storage access management unit 60 due to incompatibility with the authentication rule (see FIG. 6) regarding the source IP address with the priority “10020”.
  • step S20 is the determination process described with reference to FIGS. Note that by setting the storage so that it can communicate with all users, it is possible to permit communication by user authentication between ports in FIG.
  • the access receiving unit 61 receives access to the storage from the instance (S21). Subsequently, the access permission determination unit 63 extracts the transmission source IP address and the storage ID of the storage to be accessed from the received access (S22). Then, the access permission determination unit 63 determines whether the IP address included in the access received by the access reception unit 61 corresponds to the IP address associated with the storage ID of the storage to be accessed in the storage attribute storage unit 62. It is determined whether or not (S23).
  • step S24 If it is determined that the IP address included in the access matches the IP address extracted from the storage attribute storage unit 62 (S24), the processing procedure proceeds to step S25. On the other hand, if it is determined that they do not match (S24), the processing procedure proceeds to step S26.
  • step S ⁇ b> 25 when the access control unit 64 determines that the IP address included in the access corresponds to the IP address associated with the storage ID in the storage attribute storage unit 62, Access to the storage is permitted and data related to the access is sent to the storage (S25).
  • step S26 when the access control unit 64 determines in step S26 that the access permission determination unit 63 does not correspond to the IP address associated with the storage ID in the storage attribute storage unit 62. Is controlled so that access to the storage is not permitted and the access is not sent to the storage (S26).
  • the host providing system 1 and the communication control method of the present embodiment determine whether the information indicating the transmission source included in the communication data from the physical instance 71 matches the information indicating the user associated with the information indicating the transmission destination. Whether or not communication is possible is determined, and communication data is controlled based on the determination result. As a result, only communication between instances of the same user is permitted, and communication from the physical instance is appropriately controlled, so that security in the system can be ensured.
  • access is permitted only when the IP address included in the access from the physical instance 71 to the storage corresponds to the IP address of the physical instance 71 to which the storage is allocated, and access is not permitted otherwise. .
  • access from instances other than the physical instance 71 to which the storage is assigned is prevented, so that security in the storage is appropriately ensured.
  • 1 ... host providing system 2 ... request receiving node, 3 ... host selection node, 4 ... host aggregation node 5 ... physical host management node, 6 ... network storage group, 7,7 A1, 7 A2, 7 B ...

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computer Security & Cryptography (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Business, Economics & Management (AREA)
  • General Business, Economics & Management (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Small-Scale Networks (AREA)

Abstract

　ホスト提供システムは、物理インスタンス７１からの通信データに含まれる送信元を示す情報及び送信先を示す情報の各々に対応付けられるユーザを示す情報が一致するか否かにより通信可否を判定し、判定結果に基づき通信データを制御する物理ホストネットワークスイッチを含む。これにより、同一ユーザのインスタンス間の通信のみが許可されることとなり、物理インスタンスからの通信が適切に制御されるので、システムにおけるセキュリティの担保が可能となる。

Description

ホスト提供システム及び通信制御方法
　本発明は、ホスト提供システム及び通信制御方法に関する。
　近年において、情報システムの構築及び稼働に必要なリソースを、インターネットを介して提供するサービスが行われている。このようなサービスは、例えば、Ｉａａｓ（Ｉｎｆｒａｓｔｒｕｃｔｕｒｅ　ａｓ　ａ　Ｓｅｒｖｉｃｅ）と称される。１台の物理サーバに複数の仮想インスタンスを構成し、仮想インスタンスを仮想ホストコンピュータとしてユーザに提供する技術が知られている（例えば、非特許文献１参照）。この技術では、ユーザからの要求に応じた性能を有する仮想インスタンスを選択、起動及び管理するための機能が、物理サーバごとに設けられている。また、この技術では、仮想インスタンス間のデータ通信を制御する制御機能が物理サーバに設けられる。この制御機能は、互いに異なるユーザに提供された仮想インスタンス間のデータ通信を遮断したり、他のユーザに提供された仮想インスタンスに割り当てられたストレージへのアクセスを遮断したりする。なお、インスタンスは、例えば、ＣＰＵ、メモリ及びストレージといったリソースのまとまりを称するものである。
"ｏｐｅｎ　ｓｔａｃｋ"、［ｏｎｌｉｎｅ］、［２０１２年２月１７日検索］、インターネット＜URL: http://openstack.org/＞
　上述した技術において扱うことができるインスタンスは、仮想インスタンスのみである。仮想インスタンスでは、インスタンスを仮想化して構成したことに起因するオーバーヘッドが発生する。ユーザにより使用されるアプリケーションの種類によっては、このオーバーヘッドに起因した性能劣化が生じる。このため、仮想インスタンスでは性能劣化を生じてしまうようなアプリケーションをＩａａｓといったサービスにおいて稼働させるために、物理インスタンスの提供に関する要請があった。物理インスタンスは、一の物理サーバに単独で構成されるインスタンスである。物理インスタンスは、インスタンス間の通信のためのネットワークに直接に接続されるので、物理インスタンスからの通信を適切な管理及び制御が実施されない場合には、悪意ある物理インスタンスのユーザは、当該物理インスタンス及びネットワークを介して、他のユーザの物理インスタンスや、その物理インスタンスに割り当てられたストレージに対してアクセスすることができてしまい、セキュリティが担保されない。従って、物理インスタンス間の通信及びストレージへのアクセスを適切に制御することによりセキュリティを担保するための技術が求められていた。
　そこで、本発明は、上記問題点に鑑みてなされたものであり、ネットワークを介して一の物理サーバに単独で構成される物理インスタンスを提供するシステムにおいて、物理インスタンスからの通信を適切に制御することによりセキュリティを担保可能なホスト提供システム及び通信制御方法を提供することを目的とする。
　上記課題を解決するために、本発明の一形態に係るホスト提供システムは、ユーザ端末からの要求に応じて所定のハードウエアリソースからなるインスタンスをホストコンピュータとして当該ユーザ端末に第１のネットワークを介して利用可能に提供し、第２のネットワークを介して互いに通信可能な複数の物理サーバを含み、物理サーバに単独で物理的に構成される物理インスタンスを物理ホストとして提供するホスト提供システムであって、一の物理インスタンスから、他のインスタンスを送信先とする通信データを第２のネットワークを介して受け付ける通信データ受付手段と、通信データ受付手段により受け付けられた通信データに含まれる送信元を示す情報及び送信先を示す情報の各々に対応付けられるユーザを示す情報が一致するか否かにより通信可否を判定する判定手段と、判定手段により通信許可判定された場合には、送信先に対する通信を許可すると共に送信先に通信データを送出し、通信許可判定されなかった場合には、送信先に対する通信を不許可として送信先に通信データを送出しない、通信データ制御手段と、を備える。
　また、上記課題を解決するために、本発明の一形態に係る通信制御方法は、ユーザ端末からの要求に応じて所定のハードウエアリソースからなるインスタンスをホストコンピュータとして当該ユーザ端末に第１のネットワークを介して利用可能に提供し、第２のネットワークを介して互いに通信可能な複数の物理サーバを含み、物理サーバに単独で物理的に構成される物理インスタンスを物理ホストとして提供するホスト提供システムにおける、インスタンス間の通信を制御する通信制御方法であって、一の物理インスタンスから、他のインスタンスを送信先とする通信データを第２のネットワークを介して受け付ける通信データ受付ステップと、通信データ受付ステップにおいて受け付けられた通信データに含まれる送信元を示す情報及び送信先を示す情報の各々に対応付けられるユーザを示す情報が一致するか否かにより通信可否を判定する判定ステップと、判定ステップにおいて通信許可判定された場合には、送信先に対する通信を許可すると共に送信先に通信データを送出し、通信許可判定されなかった場合には、送信先に対する通信を不許可として送信先に通信データを送出しない、通信データ制御ステップと、を有する。
　上記形態によれば、物理インスタンスからの通信データに含まれる送信元を示す情報及び送信先を示す情報に対応付けられるユーザを示す情報が一致するか否かにより通信可否が判定され、判定結果に基づき通信データが制御される。これにより、同一ユーザのインスタンス間の通信のみが許可されることとなり、物理インスタンスからの通信が適切に制御されるので、システムにおけるセキュリティの担保が可能となる。
　別の形態に係るホスト提供システムでは、判定手段は、送信元又は送信先を示す情報に、当該通信データを受け付けるポートのポート識別情報及びユーザのユーザ識別情報が対応付けられたテーブルを参照し、送信元を示す情報に対応付けられたポートの識別情報を第１のポート識別情報として抽出し、該第１のポート識別情報に対応付けられたユーザ識別情報を第１のユーザ識別情報として抽出し、送信先を示す情報に対応付けられたポートの識別情報を第２のポート識別情報として抽出し、該第２のポート識別情報に対応付けられたユーザ識別情報を第２のユーザ識別情報として抽出し、第１のユーザ識別情報と第２のユーザ識別情報とが一致するか否かにより通信可否を判定してもよい。
　上記形態によれば、受け付けられた通信データが同一ユーザの物理インスタンス間の通信データであるか否かが適切に判定される。
　さらに別の形態に係るホスト提供システムでは、判定手段は、通信データの送信元及び送信先を示す情報のうちの少なくとも一つが、通信データを受け付けるポートごとに予め設定された所定の認証ルールのうちの、一の物理インスタンスが接続されたポートに対して設定された認証ルールに該当するか否かを更に判定することにより、通信データの通信可否を判定してもよい。
　さらに別の形態に係る通信制御方法では、判定ステップは、通信データの送信元及び送信先を示す情報のうちの少なくとも一つが、通信データを受け付けるポートごとに予め設定された所定の認証ルールのうちの、一の物理インスタンスが接続されたポートに対して設定された認証ルールに該当するか否かを更に判定することにより、通信データの通信可否を判定してもよい。
　上記形態によれば、物理インスタンスからの通信データに含まれる送信元を示す情報及び送信先を示す情報のうちの少なくとも一つが所定の認証ルールに適合するか否かが判定され、判定結果に基づき通信データが制御される。通信の許可に必要な条件を認証ルールとして設定できるので、通信を許可すべき通信データのみが通信を許可され通信先に送出され、通信を許可すべきでない通信データは、通信先に送出されない。これにより、物理インスタンスからの通信が適切に制御されるので、システムにおけるセキュリティの担保が可能となる。
　さらに別の形態に係るホスト提供システムでは、複数の仮想インスタンスを仮想的に構成可能であって該仮想インスタンスを仮想ホストとして第１のネットワークを介してユーザ端末に提供可能であって、第２のネットワークを介して他のサーバと通信可能な仮想インスタンス用サーバを１以上含み、通信データ制御部は、第２のネットワークにおいて仮想的に一のユーザに固有に割り当てられて構成された仮想ネットワークを識別する仮想ネットワーク識別子を通信データに付加してもよい。
　上記形態によれば、当該システムが複数の仮想インスタンスが構成されたサーバを含む場合において、一のユーザのための仮想的に構成された仮想ネットワークを識別する仮想ネットワーク識別子が物理インスタンスからの通信データに付加されるので、物理インスタンスから仮想インスタンスへの通信を当該システムにおいて適切に制御できる。
　さらに別の形態に係るホスト提供システムは、各インスタンスに対応付けられた複数のストレージからなり、第２のネットワークを介してアクセス可能なストレージ群と、インスタンスからストレージに対するアクセスであって、インスタンスを識別するＩＰアドレス及びアクセス対象のストレージを識別するストレージ識別子を含むアクセスを受け付けるアクセス受付手段と、ストレージ識別子に、当該ストレージを割り当てられたインスタンスのＩＰアドレスを対応付けて記憶しているストレージ属性記憶手段と、アクセス受付手段により受け付けられたアクセスに含まれるＩＰアドレスが、ストレージ属性記憶手段においてアクセスの対象のストレージのストレージ識別子に対応付けられたＩＰアドレスに該当するか否かを判定するアクセス可否判定手段と、アクセス可否判定手段により、アクセスに含まれるＩＰアドレスが、ストレージ識別子に対応付けられたＩＰアドレスに該当すると判定された場合には、ストレージに対するアクセスを許可すると共にアクセスを該ストレージに送出し、アクセスに含まれるＩＰアドレスが、ストレージ識別子に対応付けられたＩＰアドレスに該当しないと判定された場合には、該ストレージに対するアクセスを不許可として該アクセスを該ストレージに送出しない、アクセス制御手段と、を更に含むこととしてもよい。
　さらに別の形態に係る通信制御方法では、ホスト提供システムは、各インスタンスに対応付けられた複数のストレージからなり、第２のネットワークを介してアクセス可能なストレージ群と、ストレージを識別するストレージ識別子に、当該ストレージを割り当てられたインスタンスのＩＰアドレスを対応付けて記憶しているストレージ属性記憶手段と、を含み、当該通信制御方法は、インスタンスからストレージに対するアクセスであって、インスタンスを識別するＩＰアドレス及びアクセス対象のストレージを識別するストレージ識別子を含むアクセスを受け付けるアクセス受付ステップと、アクセス受付ステップにおいて受け付けられたアクセスに含まれるＩＰアドレスが、ストレージ属性記憶手段においてアクセスの対象のストレージのストレージ識別子に対応付けられたＩＰアドレスに該当するか否かを判定するアクセス可否判定ステップと、アクセス可否判定ステップにおいて、アクセスに含まれるＩＰアドレスが、ストレージ識別子に対応付けられたＩＰアドレスに該当すると判定された場合には、ストレージに対するアクセスを許可すると共にアクセスを該ストレージに送出し、アクセスに含まれるＩＰアドレスが、ストレージ識別子に対応付けられたＩＰアドレスに該当しないと判定された場合には、該ストレージに対するアクセスを不許可として該アクセスを該ストレージに送出しない、アクセス制御ステップと、を更に有することとしてもよい。
　上記形態によれば、物理インスタンスからストレージへのアクセスに含まれるＩＰアドレスが、当該ストレージを割り当てられた物理インスタンスのＩＰアドレスに該当する場合にのみアクセスが許可され、それ以外の場合にはアクセスが許可されない。これにより、当該ストレージを割り当てられた物理インスタンス以外のインスタンスからのアクセスが防止されるので、ストレージにおけるセキュリティが適切に担保される。
　さらに別の形態に係るホスト提供システムでは、認証ルールのうちの第１の認証ルールは、通信データ受付手段により受け付けられた通信データに含まれる、送信元のポート番号がＤＨＣＰプロトコルにおけるサーバを示す番号であって、送信先のポート番号がＤＨＣＰプロトコルにおけるクライアントを示す番号であること、であって、判定手段は、通信データが第１の認証ルールに該当する場合に、該通信データの通信を不可と判定することとしてもよい。
　上記形態によれば、通信データの送信元となる物理ホストがＤＨＣＰサーバになりすますことが適切に防止される。
　さらに別の形態に係るホスト提供システムでは、認証ルールのうちの第２の認証ルールは、通信データ受付手段により受け付けられた通信データに含まれる、送信元のポート番号がＤＨＣＰプロトコルにおけるクライアントを示す番号であって、送信先のポート番号がＤＨＣＰプロトコルにおけるサーバを示す番号であること、であって、判定手段は、通信データが第２の認証ルールに該当する場合に、該通信データの通信許可判定することとしてもよい。
　上記形態によれば、通信データの送信元となる物理インスタンスがＤＨＣＰサーバにＩＰアドレスを要求することが許可される。
　さらに別の形態に係るホスト提供システムでは、認証ルールのうちの第３の認証ルールは、通信データ受付手段により受け付けられた通信データに含まれる、送信元のＭＡＣアドレス及び送信元のＩＰアドレスがそれぞれ、通信データを受け付けたポートに接続された物理インスタンスのＭＡＣアドレス及びＩＰアドレスに該当すること、であって、判定手段は、通信データが第３の認証ルールに該当する場合に、該通信データの通信許可判定することとしてもよい。
　この形態では、通信データを受け付けたポートに接続された物理インスタンスから他のインスタンスへの通信において、送信元の物理インスタンスの正当性が適切に判定される。従って、例えば、偽装された送信元ＩＰアドレスによる通信が防止される。
　本発明の一側面によれば、ネットワークを介して一の物理サーバに単独で構成される物理インスタンスを提供するシステムにおいて、物理インスタンスからの通信を適切に制御することによりセキュリティを担保することが可能となる。
ホスト提供システムの全体構成を示すブロック図である。 管理用ネットワークを介して互いに接続された複数の第１のサーバ７を模式的に示す図である。 物理ホストネットワークスイッチの機能的構成を示すブロック図である。 認証ルールの生成に用いられる物理インスタンス情報テーブルを模式的に示す図である。 ＶＬＡＮ情報テーブルを模式的に示す図である。 認証ルール記憶部の構成及び記憶されているデータの例を模式的に示す図である。 物理ホストネットワークスイッチのハードウエア構成図である。 通信制御方法におけるホスト提供システムの処理内容を示すフローチャートである。 通信制御方法におけるホスト提供システムの処理内容を示すフローチャートである。 管理用ネットワークにおける物理インスタンスとネットワークストレージ群との接続関係を示す図である。 ストレージアクセス管理部の機能的構成を示すブロック図である。 ストレージ属性記憶部の構成及び記憶されているデータの例を示す図である。 ホスト提供システムにおけるストレージに対するアクセスの制御方法において実施される処理内容を示すフローチャートである。
　本発明に係るホスト提供システム及び通信制御方法の実施形態について図面を参照して説明する。なお、可能な場合には、同一の部分には同一の符号を付して、重複する説明を省略する。
　図１は、ホスト提供システム１の全体構成を示すブロック図である。ホスト提供システム１は、ユーザ端末ＴＵからの要求に応じて所定のハードウエアリソースからなるインスタンスをホストコンピュータとして当該ユーザ端末ＴＵにパブリックネットワークＮＰ（第１のネットワーク）を介して利用可能に提供するシステムである。また、ホスト提供システム１は、管理用ネットワークＮＣ（第２のネットワーク）を介して互いに通信可能な複数の第１のサーバ（物理サーバ）を含み、第１のサーバに単独で物理的に構成される物理インスタンスを物理ホストとしてユーザ端末ＴＵに提供できる。
　ホスト提供システム１は、リクエスト受付ノード２、ホスト選択ノード３、ホスト情報集約ノード４、物理ホスト管理ノード５、ＮＷストレージ群６、第１のサーバ７及び第２のサーバ８（仮想インスタンス用サーバ）を備える。これらのノードおよびサーバは、管理用ネットワークＮＣを介して互いに通信可能である。
　管理用ネットワークＮＣには保守者端末ＴＳが通信可能に接続されており、システムの保守者は、保守者端末ＴＳを介して各種ノード及びサーバにアクセスすることにより、システムの保守及び管理を実施できる。
　また、第１のサーバ７及び第２のサーバ８は、パブリックネットワークＮＰに通信可能に接続されている。パブリックネットワークＮＰには、ユーザ端末ＴＵが通信可能に接続されており、インスタンス使用者であるユーザは、ユーザ端末ＴＵを介して第１のサーバ７及び第２のサーバ８に構成されたインスタンスにアクセスできる。これにより、ユーザ端末ＴＵは、インスタンスをホストコンピュータとして利用できる。
　各種ノードの説明に先立って、第１のサーバ７及び第２のサーバ８並びにＮＷストレージ群６を説明する。第１のサーバ７は、当該第１のサーバ７に単独で物理インスタンス７１を構成するための物理サーバである。一の第１のサーバ７は、一の物理インスタンス７１を物理ホストとしてユーザ端末ＴＵに提供できる。物理インスタンス７１は、ハードウエア７２、ＯＳ７３、ミドルウエア７４、アプリケーション７５を含んで構成される。
　第２のサーバ８は、複数の仮想インスタンス８５を当該第２のサーバ８に仮想的に構成する物理サーバであって、複数の仮想インスタンス８５を仮想ホストとしてユーザ端末ＴＵに提供できる。仮想インスタンス８５は、ＯＳ８６，ミドルウエア８７、アプリケーション８８を含んで構成される。第２のサーバ８は、仮想ホスト管理ノード８１、ハードウエア８２、ホストＯＳ８３及びハイパーバイザ８４をさらに含む。
　仮想ホスト管理ノード８１は、複数の仮想ホストを管理するノードであって、仮想ホストの使用状態を示す情報を含む仮想ホスト情報をホスト情報集約ノード４に記憶させる。また、仮想ホスト管理ノード８１は、ホスト選択ノード３からインスタンス起動要求を取得すると、ハイパーバイザ８４に複数の仮想インスタンス８５のいずれかを仮想ホストとして起動させる。ハイパーバイザ８４は、仮想ホストとして提供するための仮想インスタンス８５の選択、管理及び起動等を行う機能部である。また、ハイパーバイザ８４は、互いに異なるユーザに提供された仮想インスタンス８５間のデータ通信を遮断したり、他のユーザに提供された仮想インスタンスに割り当てられたストレージへのアクセスを遮断したりする。
　ＮＷストレージ群６は、ユーザ端末ＴＵに対してホストと共に提供される記憶装置の集合であって、物理ホスト７１及び仮想ホスト８５によりデータのリード及びライトのためにアクセスされる。
　なお、図１では、各種ノード２～５の各々は、管理用ネットワークＮＣに分散してそれぞれ単独の装置として構成されているが、複数のノードが１の装置にまとめて構成されることとしてもよい。また、図１では、２つの第１のサーバ７が一の物理ホスト管理ノード５に管理される態様で示されているが、第１のサーバ７の数及びそれを管理する物理ホスト管理ノード５の数は、図１に示した数に限定されず任意である。
　リクエスト受付ノード２は、ユーザ端末ＴＵからのインスタンス起動要求をユーザ端末ＴＵから受け付け、受け付けられたインスタンス起動要求をホスト選択ノード３に送出するノードである。インスタンス起動要求は、当該起動要求に係るインスタンスが仮想インスタンス及び物理インスタンスのいずれであるかを示すインスタンス種別情報、並びにＣＰＵ数、メモリ容量及びディスク容量といった、インスタンスに対して要求されるハードウエアの性能を示す要求性能情報を含む。
　ホスト選択ノード３は、リクエスト受付ノード２から取得したインスタンス起動要求に含まれるインスタンス種別情報及び要求性能情報に応じて、ホストとして提供するインスタンス７１，８５の選択及び選択したインスタンスを管理するホスト管理ノード５，８１を選択する。そして、ホスト選択ノード３は、選択したインスタンス７１，８５をホストコンピュータとして起動するための起動リクエストをホスト管理ノード５，８１に送出する。
　ホスト情報集約ノード４は、ホストの状態に関するホスト情報を受信し、受信したホスト情報を所定の記憶手段に記憶させる。ホスト情報は、物理ホスト管理ノード５からの物理ホスト情報及び仮想ホスト管理ノード８１からの仮想ホスト情報を含み、ホストの使用状態を示す使用状態情報、インスタンスの種別、ホストが使用中であるか否かを示す情報、ホストの性能を示すスペックに関する情報を含むことができる。
　物理ホスト管理ノード５は、制御下の物理ホスト（物理インスタンス７１）の状態を示すホスト情報をホスト情報集約ノード４に通知する。また、物理ホスト管理ノード５は、ホスト選択ノード３から送出されたインスタンス起動要求に基づき、ホスト選択ノード３により選択された物理ホスト（物理インスタンス７）を起動する。
　次に、図２を参照して、物理インスタンスからの通信を制御するための機能部について説明する。図２は、管理用ネットワークＮＣを介して互いに接続された複数の第１のサーバ７を模式的に示す図である。図２に示すように、管理用ネットワークＮＣは、物理ホストネットワークスイッチ９（第２のネットワーク）を含む。図２に示す例では、３台の第１のサーバ７Ａ１，７Ａ２，７Ｂが物理ホストネットワークスイッチ９を介して管理用ネットワークＮＣに接続されている。
　第１のサーバ７Ａ１は、ユーザＡのユーザ端末ＴＵＡに物理インスタンス７１Ａ１を物理ホストとして提供しており、物理ホストネットワークスイッチ９のポート＃Ｐｏｒｔ１００１に接続されている。物理インスタンス７１Ａ１は、ＩＰアドレス「ＩＰ－Ａ１」及びＭＡＣアドレス「ＭＡＣ－Ａ１」を有する。
　第１のサーバ７Ａ２は、ユーザＡのユーザ端末ＴＵＡに物理インスタンス７１Ａ２を物理ホストとして提供しており、物理ホストネットワークスイッチ９のポート＃Ｐｏｒｔ１００２に接続されている。物理インスタンス７１Ａ２は、ＩＰアドレス「ＩＰ－Ａ２」及びＭＡＣアドレス「ＭＡＣ－Ａ２」を有する。
　第１のサーバ７Ｂは、ユーザＢのユーザ端末ＴＵＢに物理インスタンス７１Ｂを物理ホストとして提供しており、物理ホストネットワークスイッチ９のポート＃Ｐｏｒｔ１００３に接続されている。物理インスタンス７１Ｂは、ＩＰアドレス「ＩＰ－Ｂ１」及びＭＡＣアドレス「ＭＡＣ－Ｂ１」を有する。
　なお、図２では、物理ホストネットワークスイッチ９は１台の装置として示されているが、図２において破線で示すように、ポートごとに設けられた３台のネットワークスイッチとして構成されてもよい。
　図３は、物理ホストネットワークスイッチ９の機能的構成を示すブロック図である。図３に示すように、物理ホストネットワークスイッチ９は、通信データ受付部９１（通信データ受付手段）、認証ルール記憶部９２、判定部９３（判定手段）及び通信データ制御部９４（通信データ制御手段）を備える。
　通信データ受付部９１は、一の物理インスタンス７１から、他のインスタンスを送信先とする通信データを、管理用ネットワークＮＣを介して受け付ける部分である。通信データは、当該通信データの送信元を示すＭＡＣアドレス及びＩＰアドレス並びに送信先を示すＩＰアドレスのうちの少なくとも一つを含む。通信データ受付部９１は、受け付けた通信データを判定部９３に送出する。
　認証ルール記憶部９２は、通信を許可すべき通信データに関する認証ルールを記憶している部分である。図４は、認証ルールの生成に用いられる物理インスタンス情報テーブルを模式的に示す図である。物理インスタンス情報テーブルは、物理インスタンスに関する各種情報を記憶しており、例えば、図１に示される物理ホスト管理ノード５に備えられる。また、物理インスタンス情報テーブルは、その他いずれかのノード２，３，４又は図示されないその他のノードに備えられることとしてもよい。なお、物理インスタンス情報テーブルは、判定部９３における判定処理においても直接に参照される。
　図４に示すように、物理インスタンス情報テーブルは、物理インスタンス７１を識別するインスタンスＩＤに対応付けて、インターフェースＩＤ、データパスＩＤ、ポートＩＤ（ポート識別情報）、当該物理インスタンスが提供されるユーザ端末ＴＵのユーザＩＤ、ＩＰアドレス及びＭＡＣアドレスを記憶している。インターフェースＩＤは、物理インスタンスに固有のＩＤである。データパスＩＤは、当該物理インスタンスが構成される物理サーバが接続されているスイッチのＩＤである。ポートＩＤは、スイッチのポートＩＤである。物理インスタンス情報テーブルの各レコードは、例えば、物理ホスト管理ノード５により、物理ホストとしてユーザ端末ＴＵに提供するために当該物理インスタンス７１が起動されたときに設定されてもよい。物理インスタンス情報テーブルに記憶されたデータは、認証ルール記憶部９２における認証ルールの設定に用いられることができる。
　図５は、物理インスタンス情報テーブルに併せて物理ホスト管理ノード５又はその他のいずれかのノードに記憶されているＶＬＡＮ情報テーブルである。ＶＬＡＮ情報テーブルは、ユーザＩＤに対応付けてＶＬＡＮＩＤ（仮想ネットワーク識別子）を記憶している。
　ＶＬＡＮ　ＩＤは、物理的には一のネットワークである管理用ネットワークＮＣにおいて、ユーザごとに論理的に分離されたネットワークを仮想的に構成するために、仮想ネットワークを識別する識別子である。ユーザごとに割り当てられたＶＬＡＮ　ＩＤが通信データに付されることにより、その通信データは、当該ユーザに固有に構成された仮想ネットワーク内において通信されるように振る舞う。
　図６は、認証ルール記憶部９２の構成及び記憶されているデータの例を模式的に示す図である。図６に示すように、認証ルール記憶部９２は、通信データを受け付けるポートのポートＩＤごとに、当該ポートに接続された物理インスタンス７１を提供されたユーザ端末ＴＵのユーザ、認証ルール及び通信データが当該認証ルールに該当した場合の処理内容を対応付けて記憶している。
　認証ルールは、参照順位が付されて記憶されている。後述する判定部９３は、上位に設定された認証ルールから順に参照しながら、通信データの通信可否を判定する。なお、認証ルールに基づく具体的な判定処理については後述する。
　第２のサーバ８（仮想インスタンス用サーバ）において複数の仮想インスタンスのみを扱う従来のシステムでは、ハイパーバイザ８４がデータ送信時においてユーザごとに割り当てられたＶＬＡＮＩＤを通信データに付すことにより、仮想インスタンス８５間のデータ通信を管理していた。本実施形態では、物理インスタンス７１からの通信データにＶＬＡＮ　ＩＤを付加することにより、物理インスタンス７１と仮想インスタンス８５との間のデータ通信が可能となる。なお、このように、論理的に複数に分離された仮想ネットワークを一の物理ネットワークに構成する方式は、いわゆるタグＶＬＡＭ方式と称される。
　判定部９３は、通信データ受付部９１により受け付けられた通信データに含まれる送信元を示す情報及び送信先を示す情報の各々に対応付けられるユーザを示す情報が一致するか否かにより通信可否を判定する部分である。具体的には、判定部９３は、送信元又は送信先を示す情報（ＩＰアドレス、ＭＡＣアドレス）に当該通信データを受け付けるポートのポートＩＤ及びユーザＩＤが対応付けられた物理インスタンス情報テーブルを参照し、送信元を示す情報に対応付けられたポートＩＤを第１のポートＩＤとして抽出し、第１のポートＩＤに対応付けられたユーザＩＤを第１のユーザＩＤとして抽出し、送信先を示す情報に対応付けられたポートＩＤを第２のポートＩＤとして抽出し、第２のポートＩＤに対応付けられたユーザＩＤを第２のユーザＩＤとして抽出し、第１のユーザＩＤと第２のユーザＩＤとが一致するか否かにより通信可否を判定する。なお、ポートＩＤ同士のユーザ認証は仮想・物理間でも同様に行われることとする。
　また、判定部９３は、当該ポートに接続された物理インスタンスからのデータ送信時において、通信データの送信元及び送信先を示す情報のうちの少なくとも一つが、通信データを受け付けるポートごとに予め設定された所定の認証ルールのうちの、一の物理インスタンスが接続されたポートに対して設定された認証ルールに該当するか否かを更に判定することにより、通信データの通信可否を判定する。判定方法としては、通信データの送信元及び送信先を示す情報等を認証ルールの優先度「１００４０」から降順に照会する。ルールと合致した場合はルールに対する処理が実行される。ルールと合致しない場合は次の優先度の認証ルールとの照会を行う。
　通信データ制御部９４は、判定部９３により通信データに対して通信許可判定された場合には、当該通信データの送信先に対する通信を許可すると共に通信先に通信データを送出する部分である。例えば、ポート９Ａ１において、物理インスタンス７１Ａ１から物理インスタンス７１Ａ２への通信データが通信許可判定された場合には、ポート９Ａ１において受信した通信データをポート９Ａ２を介して物理インスタンス７１Ａ２に送出する。一方、通信データ制御部９４は、判定部９３により通信データが通信許可判定されなかった場合には、送信先に対する通信を不許可として送信先に通信データを送出しないよう制御を実施する。
　続いて、図２、図４及び図６を参照しながら判定部９３及び通信データ制御部９４における処理の例を具体的に説明する。
　まず、第１の例を説明する。第１の例では、物理インスタンス７１Ａ１から物理インスタンス７１Ａ２への通信が行われる。まず、物理インスタンス７１Ａ１からの通信データが通信データ受付部９１により受け付けられると、ポート９Ａ１（ポートＩＤ：＃Ｐｏｒｔ１００１）における判定部９３は、通信データから、送信元のＭＡＣアドレス「ＭＡＣ－Ａ１」及びＩＰアドレス「ＩＰ－Ａ１」並びに送信先のＭＡＣアドレス「ＭＡＣ－Ａ２」及びＩＰアドレス「ＩＰ－Ａ２」を抽出する。続いて、判定部９３は、物理インスタンス情報テーブルを参照し、送信元のアドレスに対応付けられたポートＩＤ「Ｐｏｒｔ１００１」を抽出し、このポートＩＤに対応付けられたユーザＩＤ「Ａ」を抽出し、送信先のアドレスに対応付けられたポートＩＤ「Ｐｏｒｔ１００２」を抽出し、このポートＩＤに対応付けられたユーザＩＤ「Ａ」を抽出する。そして、抽出した両ユーザＩＤが一致するので、判定部９３は、当該通信データに対して通信許可判定をする。
　次に、判定部９３は、認証ルール記憶部９２においてポートＩＤ：＃Ｐｏｒｔ１００１に対応付けて設定された認証ルールを優先度「１００４０」から降順に参照する。そして、通信データから抽出したＭＡＣアドレス及びＩＰアドレスが、参照した認証ルール「１００２０」の「送信元ＭＡＣアドレス：ＭＡＣ－Ａ１且つ送信元ＩＰアドレス：ＩＰ－Ａ１」に合致するので、判定部９３は、当該通信データに係る通信は認証ルールに該当すると判定する。そして、通信データ制御部９４は、当該通信データの物理インスタンス７１Ａ２への通信を許可し、当該通信データを、ポート９Ａ２（ポートＩＤ：＃Ｐｏｒｔ１００２）に送出する。
　次に、ポート９Ａ２（ポートＩＤ：＃Ｐｏｒｔ１００２）における通信データ受付部９１において通信データを受け付けると、判定部９３は、通信データから、送信元のＭＡＣアドレス「ＭＡＣ－Ａ１」及びＩＰアドレス「ＩＰ－Ａ１」並びに送信先のＭＡＣアドレス「ＭＡＣ－Ａ２」及びＩＰアドレス「ＩＰ－Ａ２」を抽出し、物理インスタンス情報テーブルにおいて送信元のアドレスに対応付けられたポートＩＤ「Ｐｏｒｔ１００１」及びこのポートＩＤに対応付けられたユーザＩＤ「Ａ」並びに送信先のアドレスに対応付けられたポートＩＤ「Ｐｏｒｔ１００２」及びこのポートＩＤに対応付けられたユーザＩＤ「Ａ」を抽出する。そして、抽出した両ユーザＩＤの一致により、判定部９３は、当該通信データに対して物理インスタンス７１Ａ２への通信許可判定をする。
　かかる判定では、送信元及び送信先の物理インスタンス７１のユーザが一致する場合にのみ通信データが許可され、かつ送信元のアドレスに対する判定により送信元の正当性が適切に判定される。従って、例えば、偽装された送信元ＩＰアドレスによる通信が防止される。
　次に、第２の例を説明する。第２の例では、物理インスタンス７１Ｂから物理インスタンス７１Ａ１への通信が試みられる。まず、物理インスタンス７１Ｂからの通信データが通信データ受付部９１により受け付けられると、ポート９Ｂ（ポートＩＤ：＃Ｐｏｒｔ１００３）における判定部９３は、通信データから、送信元のＭＡＣアドレス「ＭＡＣ－Ｂ１」及びＩＰアドレス「ＩＰ－Ｂ１」並びに送信先のＭＡＣアドレス「ＭＡＣ－Ａ１」及びＩＰアドレス「ＩＰ－Ａ１」を抽出する。続いて、判定部９３は、物理インスタンス情報テーブルを参照し、送信元のアドレスに対応付けられたポートＩＤ「Ｐｏｒｔ１００３」を抽出し、このポートＩＤに対応付けられたユーザＩＤ「Ｂ」を抽出し、送信先のアドレスに対応付けられたポートＩＤ「Ｐｏｒｔ１００１」を抽出し、このポートＩＤに対応付けられたユーザＩＤ「Ａ」を抽出する。そして、抽出した両ユーザＩＤが相違するので、判定部９３は、当該通信データに対して通信許可判定をしない。そして、通信データ制御部９４は、当該通信データの物理インスタンス７１Ａ１への通信を許可せずに、当該通信データを、ポート９Ａ１（ポートＩＤ：＃Ｐｏｒｔ１００１）に送出しない。かかる判定では、通信データを受け付けたポートに接続された物理インスタンス７１から他のインスタンスへの通信において、当該物理インスタンスを提供されたユーザが提供された他のインスタンスへの通信のみが許可されることとなる。従って、当該物理インスタンスを提供されたユーザ以外の他のユーザに割り当てられたインスタンスに対する通信が防止される。
　次に、第３の例を説明する。第３の例では、物理インスタンス７１Ｂから物理インスタンス７１Ａ１への通信が試みられる。さらに、この通信では、ユーザＢが、ユーザＡの物理インスタンス７１Ａ２のＩＰアドレス及びＭＡＣアドレスを偽装しているものとする。この場合には、まず、物理インスタンス７１Ｂからの通信データが通信データ受付部９１により受け付けられると、ポート９Ｂ（ポートＩＤ：＃Ｐｏｒｔ１００３）における判定部９３は、通信データから、偽装された送信元のＭＡＣアドレス「ＭＡＣ－Ａ２」及びＩＰアドレス「ＩＰ－Ａ２」並びに送信先のＭＡＣアドレス「ＭＡＣ－Ａ１」及びＩＰアドレス「ＩＰ－Ａ１」を抽出する。続いて、判定部９３は、物理インスタンス情報テーブルを参照し、送信元のアドレスに対応付けられたポートＩＤ「Ｐｏｒｔ１００２」を抽出し、このポートＩＤに対応付けられたユーザＩＤ「Ａ」を抽出し、送信先のアドレスに対応付けられたポートＩＤ「Ｐｏｒｔ１００１」を抽出し、このポートＩＤに対応付けられたユーザＩＤ「Ａ」を抽出する。そして、抽出した両ユーザＩＤが一致するので、判定部９３は、当該通信データに対して通信許可判定をする。
　次に、判定部９３は、認証ルール記憶部９２においてポートＩＤ：＃Ｐｏｒｔ１００３に対応付けて設定された認証ルールを優先度「１００４０」から降順に参照する。そして、当該通信データは、優先度「１００４０」及び「１００３０」のルールに該当せず、さらに、通信データから抽出したＭＡＣアドレス及びＩＰアドレスが、優先度「１００２０」の認証ルール「送信元ＭＡＣアドレス：ＭＡＣ－Ｂ１且つ送信元ＩＰアドレス：ＩＰ－Ｂ１」にも該当しないので、最も優先度の低い優先度「１００１０」の通信不許可が適用され、判定部９３は、当該通信データの通信に対して許可判定をしない。そして、通信データ制御部９４は、当該通信データの物理インスタンス７１Ａ１への通信を許可せずに、当該通信データを、ポート９Ａ１（ポートＩＤ：＃Ｐｏｒｔ１００１）に送出しない。かかる判定では、ＩＰアドレスやＭＡＣアドレスを偽装したなりすましによる通信が適切に防止される。
　次に、第４の例を説明する。第４の例では、物理インスタンス７１Ａ１からＤＨＣＰサーバに対して、ＩＰアドレスの払い出し要求が行われる。この場合には、まず、物理インスタンス７１Ａ１からの通信データが通信データ受付部９１により受け付けられると、第１の例と同様に、判定部９３は、当該通信データに対して通信許可判定をする。
　次に、判定部９３は、認証ルール記憶部９２においてポートＩＤ：＃Ｐｏｒｔ１００１に対応付けて設定された認証ルールを優先度「１００４０」から降順に参照する。そして、当該通信データは、優先度「１００４０」のルールに該当せず、優先度「１００３０」の認証ルール「送信元Ｌ４ポート番号６８且つ送信先Ｌ４ポート番号６７」に該当するので、判定部９３は、当該通信データの通信許可判定をする。なお、送信元Ｌ４ポート番号の「６８」は、ＤＨＣＰプロトコルにおけるクライアントであり、送信元Ｌ４ポート番号の「６７」は、ＤＨＣＰプロトコルにおけるサーバである。これにより、物理インスタンス７１Ａ１は、ＩＰアドレスの払い出し要求を実施できる。
　ここで、送信元の物理インスタンスがＤＨＣＰサーバになりすますために、「送信元Ｌ４ポート番号６７且つ送信先Ｌ４ポート番号６８」の通信データを送出した場合には、優先度「１００４０」の認証ルールに該当することとなり、判定部９３は、当該通信データの通信を不許可とする。
　また、通信データ制御部９４は、管理用ネットワークＮＣにおいて仮想的に一のユーザに固有に割り当てられて構成された仮想ネットワークを識別するＶＬＡＮＩＤ（仮想ネットワーク識別子）を通信データに付加する。例えば、物理インスタンス７１Ａ１からポート９Ａ１を介して第２のサーバ８に構成された仮想インスタンス８５に通信データが送出される場合には、ポート９Ａ１における通信データ制御部９４は、ＶＬＡＮ情報テーブル（図５参照）においてユーザＩＤ「Ａ」に対応付けられているＶＬＡＮＩＤの「ＶＩＤＡ」を当該通信データに付与する。これにより、前述のとおり、物理インスタンス７１と仮想インスタンスとの間のデータ通信が可能となる。また、仮想インスタンス８５から物理インスタンス７１への通信において、判定部９３は、当該物理インスタンスのユーザに割り当てられたＶＬＡＮ　ＩＤが通信データに含まれていることを認証ルールとして採用することとしてもよい。
　図２に示した物理ホストネットワークスイッチ９は、例えば、１つまたは複数のコンピュータにより構成できる。図７は、物理ホストネットワークスイッチ９のハードウエア構成図である。物理ホストネットワークスイッチ９を構成するコンピュータは、物理的には、図７に示すように、ＣＰＵ１０１、主記憶装置であるＲＡＭ１０２及びＲＯＭ１０３、データ送受信デバイスである通信モジュール１０４、ハードディスク、フラッシュメモリ等の補助記憶装置１０５、入力デバイスであるキーボード等の入力装置１０６、ディスプレイ等の出力装置１０７などを含むコンピュータシステムとして構成されている。図３に示した各機能は、図７に示すＣＰＵ１０１、ＲＡＭ１０２等のハードウエア上に所定のコンピュータソフトウェアを読み込ませることにより、ＣＰＵ１０１の制御のもとで通信モジュール１０４、入力装置１０６、出力装置１０７を動作させるとともに、ＲＡＭ１０２や補助記憶装置１０５におけるデータの読み出し及び書き込みを行うことで実現される。また、図８及び図９を参照して後述するストレージアクセス管理部６０も、物理ホストネットワークスイッチ９と同様のハードウエア構成を有する。
　次に、図８，９を参照して、ホスト提供システム１における通信制御方法において実施される処理内容を説明する。
　まず、通信データ受付部９１は、一の物理インスタンス７１から、他のインスタンスを送信先とする通信データを、管理用ネットワークＮＣを介して受け付ける（Ｓ１）。続いて、判定部９３は、物理インスタンス情報テーブルを参照し、送信元を示す情報（ＩＰアドレス、ＭＡＣアドレス）に対応付けられたポートＩＤを第１のポートＩＤとして抽出し、第１のポートＩＤに対応付けられたユーザＩＤを第１のユーザＩＤとして抽出し、送信先を示す情報に対応付けられたポートＩＤを第２のポートＩＤとして抽出し、第２のポートＩＤに対応付けられたユーザＩＤを第２のユーザＩＤとして抽出する（Ｓ２）。
　次に、判定部９３は、第１のユーザＩＤと第２のユーザＩＤとが一致するか否かを判定する（Ｓ３）。第１のユーザＩＤと第２のユーザＩＤとが一致すると判定された場合には、処理手順はステップＳ４に進められる。一方、第１のユーザＩＤと第２のユーザＩＤとが一致すると判定されなかった場合には、処理手順はステップＳ５に進められる。
　ステップＳ４において、通信データ制御部９４は、当該通信データの送信先に対する通信を許可する（Ｓ４）。一方、ステップＳ５では、通信データ制御部９４は、当該通信データの送信先に対する通信を不許可とする（Ｓ５）。
　図８に示した判定処理は、各ポート９において、通信データの送信時及び受信時のいずれにおいても実施される。通信データの送信時には、更に、図９に示す処理により各ポート９において通信の可否が判定される。即ち、データの送信時には、図８に示した判定処理及び図９に示した判定処理の両方において、通信許可判定されることにより、通信データの通信が実施される。一方、データの受信時には、図８に示した判定処理において通信許可判定がされた場合に、データの通信が実施される。以下、図９を参照して、データの送信時に実施される判定処理内容を説明する。
　まず、通信データ受付部９１は、一の物理インスタンス７１からの通信データを受け付ける（Ｓ６）。続いて、判定部９３は、通信データから、送信元のＩＰアドレス、ＭＡＣアドレス及びＬ４ポート番号並びに送信先のＬ４ポート番号を抽出する（Ｓ７）。
　次に、判定部は、ステップＳ７において抽出された送信元のＩＰアドレス、ＭＡＣアドレス及びＬ４ポート番号並びに送信先のＬ４ポート番号に基づいて、認証ルール記憶部９２に記憶された認証ルールに適合するか否かを判定する（Ｓ８）。ここで、認証ルールに適合すると判定された場合には（Ｓ９）、処理手順はステップＳ１０に進められる。一方、認証ルールに適合しないと判定された場合には（Ｓ４）、処理手順はステップＳ１１に進められる。ステップＳ１０において、通信データ制御部９４は、当該通信データの送信先に対する通信を許可する。一方、ステップＳ１１において、通信データ制御部９４は、送信先に対する通信を不許可として送信先に通信データを送出しないよう制御を実施する（Ｓ１１）。
　ステップＳ１２において、通信データ制御部９４は、ＶＬＡＮ情報テーブルを参照して、送信元のユーザＩＤに対応付けられたＶＬＡＮＩＤを抽出する（Ｓ１２）。そして、通信データ制御部９４は、抽出したＶＬＡＮＩＤを通信データに付加して、送信先のポート９に通信データを送出する（Ｓ１３）。
　次に、図１０～１２を参照して、ネットワークストレージ群６のストレージに対するアクセスを管理するためのストレージアクセス管理部６０の機能について説明する。
　図１０に示すように、ホスト提供システム１は、各インスタンスから管理用ネットワークＮＣを介してアクセス可能な複数のストレージの集合であるネットワークストレージ群６を有する。ネットワークストレージ群６は、ストレージに対するアクセスを管理するためのストレージアクセス管理部６０を含む。
　図１１は、ストレージアクセス管理部６０の機能的構成を示すブロック図である。図１１に示すように、ストレージアクセス管理部６０は、アクセス受付部６１（アクセス受付手段）、ストレージ属性記憶部６２（ストレージ属性記憶手段）、アクセス可否判定部６３（アクセス可否判定手段）及びアクセス制御部６４（アクセス制御手段）を備える。
　アクセス受付部６１は、インスタンスからストレージに対するアクセスを受け付ける部分である。このアクセスは、アクセスの送信元のインスタンスを識別するＩＰアドレス及びアクセス対象のストレージを識別するストレージＩＤ（ストレージ識別子）を含む。
　ストレージ属性記憶部６２は、ストレージＩＤに、当該ストレージを割り当てられたインスタンスのＩＰアドレスを対応付けて記憶している部分である。本実施形態では、一のインスタンスごとに一のストレージが割り当てられる。すなわち、一のストレージに対してアクセスできるインスタンスは一つに限られることとなる。図１２は、ストレージ属性記憶部６２の構成及び記憶されているデータの例を示す図である。図１２に示すように、ストレージ属性記憶部６２は、ストレージＩＤに対応付けて、当該ストレージに割り当てられたインスタンスのＩＰアドレスを記憶している。また、ストレージ属性記憶部６２は、ユーザ、アクセス元のインスタンスのタイプ（物理インスタンス又は仮想インスタンス）を更に対応付けて記憶していることとしてもよい。例えば、ストレージＩＤ「ＩＡ１」のストレージ属性としてＩＰアドレス「ＩＰ－Ａ１」、ユーザ「Ａ」及びインスタンスタイプ「物理」といったデータが記憶されている。このストレージ属性に関する情報を用いた判定処理については後述する。
　アクセス可否判定部６３は、アクセス受付部６１により受け付けられたアクセスに含まれるＩＰアドレスが、ストレージ属性記憶部６２においてアクセスの対象のストレージのストレージＩＤに対応付けられたＩＰアドレスに該当するか否かを判定する部分である。
　アクセス制御部６４は、アクセス可否判定部６３により、アクセスに含まれるＩＰアドレスが、ストレージ属性記憶部６２においてストレージＩＤに対応付けられたＩＰアドレスに該当すると判定された場合には、ストレージに対するアクセスを許可すると共にアクセスを当該ストレージに送出する。また、アクセス制御部６４は、アクセスに含まれるＩＰアドレスが、ストレージ属性記憶部６２においてストレージＩＤに対応付けられたＩＰアドレスに該当しないと判定された場合には、当該ストレージに対するアクセスを不許可としてそのアクセスをストレージに送出しないように制御する。
　アクセス可否判定部６３による判定処理及びアクセス制御部６４による制御処理を具体例により説明する。
　まず、第１の例を説明する。第１の例では、ユーザＡに提供された物理インスタンス７１Ａ１からのストレージＩＤ「ＩＡ１」に対するアクセスがストレージアクセス管理部６０により受け付けられる。このアクセスは、送信元のＭＡＣアドレス「ＭＡＣ－Ａ１」及びＩＰアドレス「ＩＰ－Ａ１」並びにアクセス対象のストレージのストレージＩＤ「ＩＡ１」を含む。このようなアクセスが受け付けられると、アクセス可否判定部６３は、ストレージ属性記憶部６２においてストレージＩＤ「ＩＡ１」に対応付けられているＩＰアドレス「ＩＰ－Ａ１」を抽出する。そして、アクセス可否判定部６３は、アクセスに含まれる送信元のＩＰアドレス「ＩＰ－Ａ１」が、ストレージ属性記憶部６２から抽出したＩＰアドレスに該当すると判定する。従って、アクセス制御部６４は、ストレージＩＤ「ＩＡ１」により識別されるストレージに対するアクセスを許可し、アクセスに係るデータを送出する。
　次に、第２の例を説明する。第２の例では、ユーザＢに提供された物理インスタンス７１ＢからのストレージＩＤ「ＩＡ１」に対するアクセスがストレージアクセス管理部６０により受け付けられる。このアクセスは、送信元のＭＡＣアドレス「ＭＡＣ－Ｂ１」及びＩＰアドレス「ＩＰ－Ｂ１」並びにアクセス対象のストレージのストレージＩＤ「ＩＡ１」を含む。このようなアクセスが受け付けられると、アクセス可否判定部６３は、ストレージ属性記憶部６２においてストレージＩＤ「ＩＡ１」に対応付けられているＩＰアドレス「ＩＰ－Ａ１」を抽出する。そして、アクセス可否判定部６３は、アクセスに含まれる送信元のＩＰアドレス「ＩＰ－Ｂ１」が、ストレージ属性記憶部６２から抽出したＩＰアドレスに該当しないと判定する。従って、アクセス制御部６４は、ストレージＩＤ「ＩＡ１」により識別されるストレージに対する物理インスタンス７１Ｂからのアクセスを許可せず、そのアクセスに係るデータがストレージに対して送出されないよう制御する。
　次に、第３の例を説明する。第３の例では、ユーザＢに提供された物理インスタンス７１Ｂから、送信元のＩＰアドレスがユーザＡのＩＰアドレス「ＩＰ－Ａ１」に偽装されたストレージＩＤ「ＩＡ１」に対するアクセスが受け付けられる。この場合には、当該アクセスは、ストレージアクセス管理部６０に到達する以前に、優先度「１００２０」の送信元ＩＰアドレスに関する認証ルール（図６参照）に対する不適合により、物理ホストネットワークスイッチ９により遮断される。
　次に、図１３を参照して、ホスト提供システム１におけるストレージに対するアクセスの制御方法において実施される処理内容を説明する。
　ステップＳ２０の処理は、図８，９を参照して説明した判定処理である。なお、ストレージは全てのユーザと通信できるように設定しておくことで図８におけるポート同士のユーザ認証で通信を許可するとこができる。続くステップＳ２１において、アクセス受付部６１は、インスタンスからストレージに対するアクセスを受け付ける（Ｓ２１）。続いて、アクセス可否判定部６３は、受け付けたアクセスから、送信元ＩＰアドレス及びアクセス対象のストレージのストレージＩＤ等を抽出する（Ｓ２２）。そして、アクセス可否判定部６３は、アクセス受付部６１により受け付けられたアクセスに含まれるＩＰアドレスが、ストレージ属性記憶部６２においてアクセスの対象のストレージのストレージＩＤに対応付けられたＩＰアドレスに該当するか否かを判定する（Ｓ２３）。ここで、アクセスに含まれるＩＰアドレスがストレージ属性記憶部６２から抽出したＩＰアドレスに適合すると判定された場合には（Ｓ２４）、処理手順はステップＳ２５に進められる。一方、適合しないと判定された場合には（Ｓ２４）、処理手順はステップＳ２６に進められる。
　ステップＳ２５において、アクセス制御部６４は、アクセス可否判定部６３により、アクセスに含まれるＩＰアドレスが、ストレージ属性記憶部６２においてストレージＩＤに対応付けられたＩＰアドレスに該当すると判定された場合には、ストレージに対するアクセスを許可すると共にアクセスに係るデータを当該ストレージに送出する（Ｓ２５）。
　一方、ステップＳ２６において、アクセス制御部６４は、アクセス可否判定部６３により、アクセスに含まれるＩＰアドレスが、ストレージ属性記憶部６２においてストレージＩＤに対応付けられたＩＰアドレスに該当しないと判定された場合には、当該ストレージに対するアクセスを不許可としてそのアクセスをストレージに送出しないように制御する（Ｓ２６）。
　本実施形態のホスト提供システム１及び通信制御方法によれば、物理インスタンス７１からの通信データに含まれる送信元を示す情報及び送信先を示す情報に対応付けられるユーザを示す情報が一致するか否かにより通信可否が判定され、判定結果に基づき通信データが制御される。これにより、同一ユーザのインスタンス間の通信のみが許可されることとなり、物理インスタンスからの通信が適切に制御されるので、システムにおけるセキュリティの担保が可能となる。
　また、物理インスタンス７１からストレージへのアクセスに含まれるＩＰアドレスが、当該ストレージを割り当てられた物理インスタンス７１のＩＰアドレスに該当する場合にのみアクセスが許可され、それ以外の場合にはアクセスが許可されない。これにより、当該ストレージを割り当てられた物理インスタンス７１以外のインスタンスからのアクセスが防止されるので、ストレージにおけるセキュリティが適切に担保される。
　以上、本発明をその実施形態に基づいて詳細に説明した。しかし、本発明は上記実施形態に限定されるものではない。本発明は、その要旨を逸脱しない範囲で様々な変形が可能である。
　１…ホスト提供システム、２…リクエスト受付ノード、３…ホスト選択ノード、４…ホスト情報集約ノード、５…物理ホスト管理ノード、６…ネットワークストレージ群、７，７Ａ１，７Ａ２，７Ｂ…第１のサーバ、８…第２のサーバ、９…物理ホストネットワークスイッチ、９Ａ１，９Ａ２，９Ｂ…ポート、６０…ストレージアクセス管理部、６１…アクセス受付部、６２…ストレージ属性記憶部、６３…アクセス可否判定部、６４…アクセス制御部、７１，７１Ａ１，７１Ａ２，７１Ｂ…物理インスタンス、８１…仮想ホスト管理ノード、８４…ハイパーバイザ、８５…仮想インスタンス、９１…通信データ受付部、９２…認証ルール記憶部、９３…判定部、９４…通信データ制御部、ＮＣ…管理用ネットワーク、ＮＰ…パブリックネットワーク、ＴＵ，ＴＵＡ，ＴＵＢ…ユーザ端末。

Claims (11)

  1. 　ユーザ端末からの要求に応じて所定のハードウエアリソースからなるインスタンスをホストコンピュータとして当該ユーザ端末に第１のネットワークを介して利用可能に提供し、第２のネットワークを介して互いに通信可能な複数の物理サーバを含み、前記物理サーバに単独で物理的に構成される物理インスタンスを物理ホストとして提供するホスト提供システムであって、
    　一の物理インスタンスから、他のインスタンスを送信先とする通信データを前記第２のネットワークを介して受け付ける通信データ受付手段と、
    　前記通信データ受付手段により受け付けられた通信データに含まれる送信元を示す情報及び送信先を示す情報の各々に対応付けられるユーザを示す情報が一致するか否かにより通信可否を判定する判定手段と、
    　前記判定手段により通信許可判定された場合には、前記送信先に対する通信を許可すると共に前記送信先に前記通信データを送出し、通信許可判定されなかった場合には、前記送信先に対する通信を不許可として前記送信先に前記通信データを送出しない、通信データ制御手段と、
    　を備えるホスト提供システム。
  2. 　前記判定手段は、
    送信元又は送信先を示す情報に、当該通信データを受け付けるポートのポート識別情報及びユーザのユーザ識別情報が対応付けられたテーブルを参照し、
    　前記送信元を示す情報に対応付けられたポートの識別情報を第１のポート識別情報として抽出し、該第１のポート識別情報に対応付けられたユーザ識別情報を第１のユーザ識別情報として抽出し、
    　前記送信先を示す情報に対応付けられたポートの識別情報を第２のポート識別情報として抽出し、該第２のポート識別情報に対応付けられたユーザ識別情報を第２のユーザ識別情報として抽出し、
    　前記第１のユーザ識別情報と前記第２のユーザ識別情報とが一致するか否かにより通信可否を判定する、
    　請求項１に記載のホスト提供システム。
  3. 　前記判定手段は、前記通信データの送信元及び送信先を示す情報のうちの少なくとも一つが、前記通信データを受け付けるポートごとに予め設定された所定の認証ルールのうちの、前記一の物理インスタンスが接続されたポートに対して設定された認証ルールに該当するか否かを更に判定することにより、前記通信データの通信可否を判定する、
    　請求項１または２に記載のホスト提供システム。
  4. 　複数の仮想インスタンスを仮想的に構成可能であって該仮想インスタンスを仮想ホストとして前記第１のネットワークを介してユーザ端末に提供可能であって、前記第２のネットワークを介して他のサーバと通信可能な仮想インスタンス用サーバを１以上含み、
    　前記通信データ制御手段は、前記第２のネットワークにおいて仮想的に一のユーザに固有に割り当てられて構成された仮想ネットワークを識別する仮想ネットワーク識別子を前記通信データに付加する、
    　請求項１～３のいずれか１項に記載のホスト提供システム。
  5. 　各インスタンスに対応付けられた複数のストレージからなり、前記第２のネットワークを介してアクセス可能なストレージ群と、
    　前記インスタンスからストレージに対するアクセスであって、前記インスタンスを識別するＩＰアドレス及びアクセス対象のストレージを識別するストレージ識別子を含むアクセスを受け付けるアクセス受付手段と、
    　前記ストレージ識別子に、当該ストレージを割り当てられたインスタンスのＩＰアドレスを対応付けて記憶しているストレージ属性記憶手段と、
    　前記アクセス受付手段により受け付けられたアクセスに含まれるＩＰアドレスが、前記ストレージ属性記憶手段において前記アクセスの対象のストレージのストレージ識別子に対応付けられたＩＰアドレスに該当するか否かを判定するアクセス可否判定手段と、
    　前記アクセス可否判定手段により、前記アクセスに含まれるＩＰアドレスが、前記ストレージ識別子に対応付けられたＩＰアドレスに該当すると判定された場合には、前記ストレージに対するアクセスを許可すると共に前記アクセスを該ストレージに送出し、前記アクセスに含まれるＩＰアドレスが、前記ストレージ識別子に対応付けられたＩＰアドレスに該当しないと判定された場合には、該ストレージに対するアクセスを不許可として該アクセスを該ストレージに送出しない、アクセス制御手段と、
    　を更に含む請求項１～４のいずれか１項に記載のホスト提供システム。
  6. 　前記認証ルールのうちの第１の認証ルールは、前記通信データ受付手段により受け付けられた通信データに含まれる、送信元のポート番号がＤＨＣＰプロトコルにおけるサーバを示す番号であって、送信先のポート番号がＤＨＣＰプロトコルにおけるクライアントを示す番号であること、であって、
    　前記判定手段は、前記通信データが前記第１の認証ルールに該当する場合に、該通信データの通信を不可と判定する、
    　請求項１～５のいずれか１項に記載のホスト提供システム。
  7. 　前記認証ルールのうちの第２の認証ルールは、前記通信データ受付手段により受け付けられた通信データに含まれる、送信元のポート番号がＤＨＣＰプロトコルにおけるクライアントを示す番号であって、送信先のポート番号がＤＨＣＰプロトコルにおけるサーバを示す番号であること、であって、
    　前記判定手段は、前記通信データが前記第２の認証ルールに該当する場合に、該通信データの通信許可判定する、
    　請求項１～６のいずれか１項に記載のホスト提供システム。
  8. 　前記認証ルールのうちの第３の認証ルールは、前記通信データ受付手段により受け付けられた通信データに含まれる、送信元のＭＡＣアドレス及び送信元のＩＰアドレスがそれぞれ、前記通信データを受け付けたポートに接続された物理インスタンスのＭＡＣアドレス及びＩＰアドレスに該当すること、であって、
    　前記判定手段は、前記通信データが前記第３の認証ルールに該当する場合に、該通信データの通信許可判定する、
    　請求項１～７のいずれか１項に記載のホスト提供システム。
  9. 　ユーザ端末からの要求に応じて所定のハードウエアリソースからなるインスタンスをホストコンピュータとして当該ユーザ端末に第１のネットワークを介して利用可能に提供し、第２のネットワークを介して互いに通信可能な複数の物理サーバを含み、前記物理サーバに単独で物理的に構成される物理インスタンスを物理ホストとして提供するホスト提供システムにおける、前記インスタンス間の通信を制御する通信制御方法であって、
    　一の物理インスタンスから、他のインスタンスを送信先とする通信データを前記第２のネットワークを介して受け付ける通信データ受付ステップと、
    　前記通信データ受付ステップにおいて受け付けられた通信データに含まれる送信元を示す情報及び送信先を示す情報の各々に対応付けられるユーザを示す情報が一致するか否かにより通信可否を判定する判定ステップと、
    　前記判定ステップにおいて通信許可判定された場合には、前記送信先に対する通信を許可すると共に前記送信先に前記通信データを送出し、通信許可判定されなかった場合には、前記送信先に対する通信を不許可として前記送信先に前記通信データを送出しない、通信データ制御ステップと、
    　を有する通信制御方法。
  10. 　前記判定ステップは、前記通信データの送信元及び送信先を示す情報のうちの少なくとも一つが、前記通信データを受け付けるポートごとに予め設定された所定の認証ルールのうちの、前記一の物理インスタンスが接続されたポートに対して設定された認証ルールに該当するか否かを更に判定することにより、前記通信データの通信可否を判定する、
    　請求項９に記載の通信制御方法。
  11. 　前記ホスト提供システムは、
    　各インスタンスに対応付けられた複数のストレージからなり、前記第２のネットワークを介してアクセス可能なストレージ群と、
    　前記ストレージを識別するストレージ識別子に、当該ストレージを割り当てられたインスタンスのＩＰアドレスを対応付けて記憶しているストレージ属性記憶手段と、を含み、
    　当該通信制御方法は、
    　前記インスタンスからストレージに対するアクセスであって、前記インスタンスを識別するＩＰアドレス及びアクセス対象のストレージを識別するストレージ識別子を含むアクセスを受け付けるアクセス受付ステップと、
    　前記アクセス受付ステップにおいて受け付けられたアクセスに含まれるＩＰアドレスが、前記ストレージ属性記憶手段において前記アクセスの対象のストレージのストレージ識別子に対応付けられたＩＰアドレスに該当するか否かを判定するアクセス可否判定ステップと、
    　前記アクセス可否判定ステップにおいて、前記アクセスに含まれるＩＰアドレスが、前記ストレージ識別子に対応付けられたＩＰアドレスに該当すると判定された場合には、前記ストレージに対するアクセスを許可すると共に前記アクセスを該ストレージに送出し、前記アクセスに含まれるＩＰアドレスが、前記ストレージ識別子に対応付けられたＩＰアドレスに該当しないと判定された場合には、該ストレージに対するアクセスを不許可として該アクセスを該ストレージに送出しない、アクセス制御ステップと、
    　を更に有する請求項９または１０に記載の通信制御方法。
PCT/JP2013/051429 2012-03-07 2013-01-24 ホスト提供システム及び通信制御方法 WO2013132909A1 (ja)

Priority Applications (2)

Application Number Priority Date Filing Date Title
US14/383,375 US9584481B2 (en) 2012-03-07 2013-01-24 Host providing system and communication control method
EP13757511.4A EP2824872B1 (en) 2012-03-07 2013-01-24 Host providing system and communication control method

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2012-050696 2012-03-07
JP2012050696A JP5466723B2 (ja) 2012-03-07 2012-03-07 ホスト提供システム及び通信制御方法

Publications (1)

Publication Number Publication Date
WO2013132909A1 true WO2013132909A1 (ja) 2013-09-12

Family

ID=49116396

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2013/051429 WO2013132909A1 (ja) 2012-03-07 2013-01-24 ホスト提供システム及び通信制御方法

Country Status (4)

Country Link
US (1) US9584481B2 (ja)
EP (1) EP2824872B1 (ja)
JP (1) JP5466723B2 (ja)
WO (1) WO2013132909A1 (ja)

Families Citing this family (11)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
EP3214805B1 (en) * 2014-11-28 2020-09-02 Huawei Technologies Co., Ltd. Method and device for transmitting control signalling
US20180054438A1 (en) * 2015-03-02 2018-02-22 Microsoft Technology Licensing, Llc Proxy service for uploading data from a source to a destination
US10187218B2 (en) * 2015-09-15 2019-01-22 Google Llc Systems and methods for processing packets in a computer network
JP2017143497A (ja) * 2016-02-12 2017-08-17 富士通株式会社 パケット転送装置及びパケット転送方法
US10404702B1 (en) * 2016-03-30 2019-09-03 EMC IP Holding Company LLC System and method for tenant network identity-based authentication and authorization for administrative access in a protection storage system
CN107579948B (zh) * 2016-07-05 2022-05-10 华为技术有限公司 一种网络安全的管理系统、方法及装置
CN106911697B (zh) * 2017-02-28 2018-06-01 北京百度网讯科技有限公司 访问权限设置方法、装置、服务器及存储介质
WO2018161010A1 (en) 2017-03-03 2018-09-07 Gentherm Incorporated Dual voltage battery system for a vehicle
CN110198202B (zh) * 2019-06-03 2022-01-28 北京润科通用技术有限公司 一种afdx总线消息数据源的校验方法及装置
CN114911725A (zh) * 2021-02-10 2022-08-16 华为技术有限公司 通信方法、装置及系统
CN115085998B (zh) * 2022-06-09 2024-09-10 任文杰 一种基于大数据的安全访问控制系统

Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2004032205A (ja) * 2002-06-24 2004-01-29 Fujitsu Ltd Ｉｐ電話システム
JP2005175635A (ja) * 2003-12-08 2005-06-30 Nippon Telegr & Teleph Corp <Ntt> ネットワーク間接続制御方法及びシステム装置

Family Cites Families (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP3996288B2 (ja) * 1998-12-07 2007-10-24 株式会社日立製作所 通信ネットワークシステムの管理方法および情報中継装置
US20050182966A1 (en) * 2004-02-17 2005-08-18 Duc Pham Secure interprocess communications binding system and methods
US7443860B2 (en) * 2004-06-08 2008-10-28 Sun Microsystems, Inc. Method and apparatus for source authentication in a communications network
US8407366B2 (en) 2010-05-14 2013-03-26 Microsoft Corporation Interconnecting members of a virtual network
US8880657B1 (en) * 2011-06-28 2014-11-04 Gogrid, LLC System and method for configuring and managing virtual grids
EP2833587A4 (en) * 2012-03-30 2015-12-30 Nec Corp CONTROL DEVICE, COMMUNICATION DEVICE, COMMUNICATION PROCESS AND PROGRAM

Patent Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2004032205A (ja) * 2002-06-24 2004-01-29 Fujitsu Ltd Ｉｐ電話システム
JP2005175635A (ja) * 2003-12-08 2005-06-30 Nippon Telegr & Teleph Corp <Ntt> ネットワーク間接続制御方法及びシステム装置

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
OPEN STACK, 17 February 2012 (2012-02-17), Retrieved from the Internet <URL:http:Hopenstack.org/>>

Also Published As

Publication number Publication date
JP5466723B2 (ja) 2014-04-09
EP2824872A1 (en) 2015-01-14
JP2013187707A (ja) 2013-09-19
EP2824872B1 (en) 2019-01-02
US20150026780A1 (en) 2015-01-22
EP2824872A4 (en) 2015-12-02
US9584481B2 (en) 2017-02-28

Similar Documents

Publication Publication Date Title
JP5466723B2 (ja) ホスト提供システム及び通信制御方法
CN107690800B (zh) 管理动态ip地址分配
US8510447B2 (en) Direct addressability and direct server return
US8767737B2 (en) Data center network system and packet forwarding method thereof
US9756010B2 (en) Resolving network address conflicts
US20100115132A1 (en) Address identifier scaling in converged networks
US20080022120A1 (en) System, Method and Computer Program Product for Secure Access Control to a Storage Device
US9350666B2 (en) Managing link aggregation traffic in a virtual environment
US20170279689A1 (en) Software defined network controller for implementing tenant specific policy
US10693863B2 (en) Methods and systems for single sign-on while protecting user privacy
US20190020656A1 (en) Virtual address for controller in a controller cluster
US10104015B2 (en) Gateway/standalone fibre channel switch system
JP5503678B2 (ja) ホスト提供システム及びホスト提供方法
US20150244824A1 (en) Control Method, Control Device, and Processor in Software Defined Network
JP2016116184A (ja) 網監視装置および仮想ネットワーク管理方法
CN108462683B (zh) 认证方法和装置
JP2016144186A (ja) 通信情報制御装置、中継システム、通信情報制御方法、および、通信情報制御プログラム
US9667540B2 (en) Fiber channel over ethernet (FCoE) frame forwarding system
CN105991466B (zh) 信息备份方法及装置
JP5622088B2 (ja) 認証システム、認証方法
US9571478B2 (en) Conditional request processing
US11271898B2 (en) Hash collision prevention system
US20230198979A1 (en) Routing of session tokens in a distributed extensible system
US20240314192A1 (en) Prioritization of individual channels within multiplexed streams for zero trust network access (ztna)
WO2023062806A1 (ja) データ処理装置

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 13757511

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

WWE Wipo information: entry into national phase

Ref document number: 14383375

Country of ref document: US

WWE Wipo information: entry into national phase

Ref document number: 2013757511

Country of ref document: EP