JP2014011674A - ストレージシステム管理プログラム及びストレージシステム管理装置 - Google Patents

Abstract

【課題】異なるサーバやユーザといった異なるアクセスグループからのアクセスに対するセキュリティを容易に確保するストレージシステム管理プログラム及びストレージシステム管理装置を提供する。
【解決手段】ＬＡＮスイッチ３２、３４を介して仮想サーバ１１１とパケットの送受信を行うストレージ４に隣接するＬＡＮスイッチ３４のストレージ４に接続するストレージ接続ポート３４１を特定し、仮想サーバ１１１に隣接するＬＡＮスイッチ３２の仮想サーバ１１１に接続するサーバ接続ポート３２１を特定し、ストレージ接続ポート３４１及びサーバ接続ポート３２１に対して、仮想サーバ１１１とストレージ４との間のパケットの送受信に対する許可設定を行う。
【選択図】図２

Description

本発明は、ストレージシステム管理プログラム及びストレージシステム管理装置に関する。

使用するサーバの台数の増加やサーバの仮想化技術が発達するに伴い、共有ストレージを用いた環境が増加してきている。このような共有ストレージを用いたシステムの技術として、ＳＡＮ（Storage Area Network）がある。そして、近年ＳＡＮの技術として、ＦＣ（Fibre Channel）−ＳＡＮとＩＰ（Internet Protocol）−ＳＡＮが提案されている。

ＦＣ−ＳＡＮは、ファイバチャンネルプロトコルを用いてストレージとサーバとの間を接続する。これに対して、ＩＰ−ＳＡＮは、既存のＩＰネットワークを利用して、インターネットプロトコルを用いてストレージとサーバ間を接続する。ＩＰ−ＳＡＮで用いられる通信規格としては、ｉＳＣＳＩ（internet Small Computer System Interface）などがある。また、ＩＰ−ＳＡＮでは、ＮＡＳ（Network Attached Storage）が用いられる場合もある。

近年、ＩＰ−ＳＡＮの利用が拡大するにしたがい、ＩＰ−ＳＡＮを利用したシステムにおいて、ストレージに格納されたデータへの異なるサーバからのアクセスに対するセキュリティを確保することへの要望が高まってきている。例えば、サーバＡとサーバＢとを異なるユーザが使用する環境で、ＩＰ−ＳＡＮでは、サーバＡとサーバＢとは同一のネットワークを共有することが一般的である。この場合、サーバＡもサーバＢも、ストレージのＮＩＣ（Network Interface Card）に対して同じネットワークに属する形態となる。そのため、サーバＡとサーバＢとの間には、意図しないデータの漏洩や盗聴のリスクが存在することになる。

なお、このようなＩＰ−ＳＡＮに対して、ＩＰアドレス、ポート番号及びＭＡＣアドレスを関連付けて管理する従来技術がある。また、クライアントから送信されるパケットに含まれる発信元のＩＰアドレスとポートのＭＡＣアドレスとの組合せが記憶している組合せと異なる場合、そのパケットをルータへ送信しないようにフィルタリングする従来技術がある。

特開２００６−１４６７６７号公報 特開２００１−３６５６１号公報

ここで、意図しないデータの漏洩や盗聴のリスクを回避する方法としては、例えば、サーバ毎もしくはサーバを管理するユーザ毎などのアクセス管理の対象となるグループ（以下では、「アクセスグループ」という。）毎にネットワークを分離する方法が考えられる。しかし、ＩＰ−ＳＡＮの環境では、ストレージとサーバとを接続するストレージネットワークは、ＴＣＰ（Transmission Control Protocol）／ＩＰのネットワークを利用するため、ネットワーク的に各サーバを分離することは困難である。

具体的には、ストレージネットワークを分離した場合、複数のアクセスグループによって共有されるストレージのＮＩＣは複数のストレージネットワークに属することになる。そのため、ＩＰ−ＳＡＮを用いたシステムにおいてストレージネットワークを分離するには、ストレージ側でＶＬＡＮ（Virtual Local Area Network）への対応などが必要となる。しかし、現状ではＶＬＡＮに対応したストレージはそれほど普及していない。そのため、ストレージネットワークを分離させることで、複数のアクセスグループからのアクセスに対するセキュリティを確保することは困難である。

例えば、ネットワークの分離の方法としてＦＣ−ＳＡＮではアクセスパスを自動的に設定する自動ゾーニング設定を行うことができる。しかし、ＩＰ−ＳＡＮにおいてはこのような自動ゾーニング設定を行うことは困難である。

また、ＩＰアドレスやポート番号を関連付けて管理する従来技術を用いても、異なるアクセスグループからのアクセスに対するセキュリティを確保することは困難である。また、ＩＰアドレスとポートのＭＡＣアドレスの組合せによってフィルタリングを行う従来技術では、あるサーバからの間違ったアクセスを制限することはできるが、異なるアクセスグループからのアクセスに対するセキュリティを確保することは困難である。

１つの側面では、本発明は、異なるサーバやユーザといった異なるアクセスグループからのアクセスに対するセキュリティを容易に確保するストレージシステム管理プログラム及びストレージシステム管理装置を提供することを目的とする。

一態様のストレージシステム管理プログラム及びストレージシステム管理装置は、データ伝送装置を介して複数の情報処理装置とパケットの送受信を行うストレージ装置に隣接するデータ伝送装置の前記ストレージ装置に接続する第一ポートを特定し、前記複数の情報処理装置の中の所定の情報処理装置に隣接するデータ伝送装置の前記所定の情報処理装置に接続する第二ポートを特定し、前記第一ポート及び前記第二ポートに対して、前記所定の情報処理装置と前記ストレージ装置との間のパケットの送受信に対する許可設定を行う処理をコンピュータに実行させる。

一態様によれば、異なるサーバやユーザといった異なるアクセスグループからのアクセスに対するセキュリティを容易に確保することができるという効果を奏する。

図１は、ＩＰ−ＳＡＮのブロック図である。 図２は、実施例１に係る運用管理サーバの詳細を表すブロック図である。 図３は、管理用テーブルの一例の図である。 図４は、ネットワーク設定から運用までの全体の処理のフローチャートである。 図５は、セキュリティの自動設定の処理のフローチャートである。 図６は、実施例２に係る運用管理サーバ及びＬＡＮスイッチの詳細を表すブロック図である。 図７は、ＭＡＣアドレステーブルの一例の図である。 図８は、実施例２におけるポート特定の処理のフローチャートである。 図９は、運用管理サーバのハードウェア構成図である。

以下に、本願の開示するストレージシステム管理プログラム及びストレージシステム管理装置の実施例を図面に基づいて詳細に説明する。なお、以下の実施例により本願の開示するストレージシステム管理プログラム及びストレージシステム管理装置が限定されるものではない。

図１は、ストレージシステムのブロック図である。図１に示すように、サーバ１１〜１３、運用管理サーバ２、ＬＡＮ（Local Area Network）スイッチ３１〜３５及びストレージ４を有している。本実施例では、各機器はＬＬＤＰ（Link Layer Discovery Protocol）に対応している。ＬＬＤＰは、自装置情報を広報することにより隣接装置の把握や接続状態の確認などを行うことを目的とした隣接探索プロトコルである。

本実施例では、仮想サーバ１１１がストレージ４を使用しており、仮想サーバ１１２及び１１３は使用してない場合で説明する。また、サーバ１２がストレージ４を使用しており、サーバ１３はストレージ４を使用していない場合で説明する。

本実施例に係るストレージシステムは、サーバ１１〜１３とストレージ４とがＬＡＮスイッチ３２〜３４を介して接続されている。また、運用管理サーバ２とサーバ１１とは、スイッチ３１を介してパケットの送受信を行う。さらに、運用管理サーバ２とストレージ４とは、スイッチ３１、３３及び３４を介してパケットの送受信を行う。ここで、図１では、３台のサーバを記載しているが、ネットワーク上に配置されているサーバの台数に特に制限は無い。また、サーバが接続されるＬＡＮスイッチにも特に制限は無い。また、図１では１台のストレージ４のみを記載しているが、ストレージも複数台配置されていてもよい。以下では、ある機器が、ＬＡＮスイッチなどの他の機器を介さずに特定の機器に接続されている場合、「ある機器は特定の機器に隣接している」という。また、ある機器に隣接している機器及び他の機器を介してある機器に接続されている機器をあわせて、「ある機器に接続されている機器」という。すなわち、サーバ１１〜１３は、ＬＡＮスイッチ３２に隣接しており、また、ＬＡＮスイッチ３１〜３４及びストレージ４と接続されているといえる。

サーバ１１は、仮想サーバ１１１〜１１３を有している。仮想サーバ１１１〜１１３は、各々が仮想ネットワークカードを持ち、仮想ネットワークカードにはそれぞれ異なるＭＡＣアドレスが振られている。そして、仮想サーバ１１１〜１１３は、サーバ１１に搭載されたネットワークカードを用いてＬＡＮスイッチ３２〜３４を介してストレージ４と通信することができる。仮想サーバ１１１〜１１３についても、説明の便宜上、サーバ１１に隣接されているＬＡＮスイッチ３１に隣接しているという。また、仮想サーバ１１１〜１１３は、ＬＡＮスイッチ３１〜３４及びストレージ４と接続されているという。また、サーバ１１は、ＬＡＮスイッチ３２に接続するネットワークカードとは別にＬＡＮスイッチ３１に接続するネットワークカードを有している。仮想サーバ１１１〜１１３及びサーバ１１〜１３が、「情報処理装置」の一例にあたる。

運用管理サーバ２は、管理ソフトを実行し、ストレージシステムの管理を行う。運用管理サーバ２の機能については、後で詳細に説明する。運用管理サーバ２は、本実施例では、サーバ１１に対する運用管理用のネットワークをストレージネットワークと分けているが、ストレージネットワークと同じネットワークを用いてサーバ１１を管理することも可能である。運用管理サーバ２が、ストレージシステム管理装置の一例にあたる。また、運用管理サーバ２が実行する管理ソフトが、ここで、管理ソフトとは、本実施例に係るストレージシステム管理プログラムの機能を含むソフトウェアの一例に当たる。

ＬＡＮスイッチ３１〜３４は、Ｌ２（Layer 2）スイッチである。ＬＡＮスイッチ３１〜３４は、ｉＳＣＳＩ規格などに準拠したプロトコルを用いて通信を行う。

ＬＡＮスイッチ３２〜３４は、ＬＬＤＰ情報を保持している。ＬＡＮスイッチ３２〜３４は、ＬＬＤＰに対応している。そこで、ＬＡＮスイッチ３２〜３４は、隣接する機器からＬＬＤＢ情報を取得する。ＬＬＤＰ情報とは、自装置に隣接している機器のＭＡＣアドレスとその機器が接続しているポートとの対応を示す情報を含む。ＬＡＮスイッチ３１〜３４が、「データ管理装置」の一例にあたる。

図２は、実施例１に係る運用管理サーバの詳細を表すブロック図である。図２に示すように、本実施例に係る運用管理サーバ２は、ＭＡＣアドレス管理部２１、ポート特定部２２、サーバ接続ポート設定部２３及びストレージ接続ポート設定部２４を有している。図２では、説明の便宜上、仮想サーバ１１１、ＬＡＮスイッチ３２及びＬＡＮスイッチ３４、並びに、ストレージ４のみを表示している。

ＭＡＣアドレス管理部２１は、システム管理者などの操作者（以下、単に「操作者」という。）から管理対象の管理用ＩＰアドレスの登録を受ける。管理対象とは、例えば、本実施例では、サーバ１１〜１３、仮想サーバ１１１〜１１３、ＬＡＮスイッチ３２〜３４及びストレージ４などである。そして、ＭＡＣアドレス管理部２１は、管理用ＩＰアドレスを有する機器がストレージネットワークで用いるネットワークカードの識別情報及びそのネットワークカードのＭＡＣアドレスを取得する。例えば、ＭＡＣアドレス管理部２１は、ＳＮＭＰ（Simple Network Management Protocol）やＴＥＬＮＥＴ（Telecommunication Network）を用いることで各種情報を管理用ＩＰアドレスを有する機器から取得する。また、ＭＡＣアドレス管理部２１が情報を取得するネットワークカードとしては、仮想ネットワークカードも含む。そして、ＭＡＣアドレス管理部２１は、取得した情報を用いて各ネットワークカードに対応するＭＡＣアドレスを表す管理用テーブルを作成する。図３は、管理用テーブルの一例の図である。管理用テーブル２００には、例えば、図３に示すように、仮想ネットワークカードを含むネットワークカードの識別情報と対応させて各ネットワークカードにおけるＭＡＣアドレスが記載されている。

ポート特定部２２は、システム管理者などの操作者からストレージ４と仮想サーバ１１１との間のセキュリティを設定する指示を受ける。この時、ポート特定部２２は、仮想サーバ１１１がストレージ４へのアクセスに使用する仮想ネットワークカードの識別情報の入力を操作者から受ける。この識別情報は、例えば、仮想サーバの仮想ネットワークカードに振られたＩＰアドレスや名前などである。これに対して、セキュリティを設定する対象が、仮想サーバでないサーバの場合には、ポート特定部２２は、ネットワークカードの識別子を取得する。また、ポート特定部２２は、ストレージ４が仮想サーバ１１１からのアクセスに使用されるネットワークカードの識別子の入力を操作者から受ける。この識別情報は、例えば、ストレージのネットワークカードに振られたＩＰアドレスや名前などである。

そして、ポート特定部２２は、ＭＡＣアドレス管理部２１が有する管理テーブルから、仮想サーバ１１１の仮想ネットワークカードの識別情報に対応するＭＡＣアドレスを取得する。また、ポート特定部２２は、ＭＡＣアドレス管理部２１が有する管理テーブルから、ストレージ４のネットワークカードの識別情報に対応するＭＡＣアドレスを取得する。

さらに、ポート特定部２２は、ＬＡＮスイッチ３２〜３４が保持しているＬＬＤＰ情報を取得する。そして、ポート特定部２２は、管理対象として指定された機器のＭＡＣアドレスを用いて、取得したＬＬＤＰ情報から指定された機器に隣接するＬＡＮスイッチ及び指定された機器が接続するポートを特定する。本実施例では、ポート特定部２２は、ＬＡＮスイッチ３２を仮想サーバ１１１に隣接するＬＡＮスイッチとして特定し、さらにＬＡＮスイッチ３２のポートの中で仮想サーバ１１１に接続されているポート３２１を特定する。また、ポート特定部２２は、ＬＡＮスイッチ３４をストレージ４に隣接するＬＡＮスイッチとして特定し、さらにＬＡＮスイッチ３４のポートの中でストレージ４に接続されているポート３４１を特定する。以下では、仮想サーバ１１１に隣接するＬＡＮスイッチ３２のポートの中で仮想サーバ１１１に接続するポート３２１を「サーバ接続ポート３２１」という。このサーバ接続ポート３２１が、「第二ポート」の一例にあたる。また、ストレージ４に隣接するＬＡＮスイッチ３４のポートの中でストレージ４に接続するポート３４１を「ストレージ接続ポート３４１」という。このストレージ接続ポート３４１が、「第一ポート」の一例にあたる。

次に、ポート特定部２２は、ＬＡＮスイッチ３２のサーバ接続ポート３２１の識別情報をサーバ接続ポート設定部２３に通知する。さらに、ポート特定部２２は、ＬＡＮスイッチ３４のストレージ接続ポート３４１の識別情報をストレージ接続ポート設定部２４に通知する。

サーバ接続ポート設定部２３は、ＬＡＮスイッチ３２のサーバ接続ポート３２１の識別情報をポート特定部２２から受信する。そして、サーバ接続ポート設定部２３は、ＬＡＮスイッチ３２のサーバ接続ポート３２１に対して、仮想サーバ１１１の仮想のネットワークカードのＭＡＣアドレスからのデータのみの受信を許可する設定を行う。具体的には、サーバ接続ポート設定部２３は、ＬＡＮスイッチ３２が有するＡＣＬ（Access Control List）に、サーバ接続ポート３２１に対してどのような操作を許可するかを登録することで、サーバ接続ポート３２１に対する設定を行う。

さらに、サーバ接続ポート設定部２３は、仮想サーバ１１１の仮想のネットワークカードのＭＡＣアドレスのみをサーバ接続ポート３２１からのデータの送信先として許可する設定を行う。この設定においても、サーバ接続ポート設定部２３は、ＬＡＮスイッチ３２が有するＡＣＬに、サーバ接続ポート３２１に対してどのような操作を許可するかを登録することで、サーバ接続ポート３２１に対する設定を行う。

ここで、本実施例では、受信を許可するＭＡＣアドレスや送信先として許可するＭＡＣアドレスを指定したが、アクセス制御の内容はこれに限らず、ポートにおいてアクセスを制御できる情報であれば他の情報を用いてアクセス制御を行ってもよい。例えば、サーバ接続ポート設定部２３は、ＬＡＮスイッチ３２のサーバ接続ポート３２１に対して、仮想サーバ１１１へ送信するデータとしてストレージ４のネットワークカードのＭＡＣアドレスからのデータのみを許可する設定を行ってもよい。

ここで、サーバ接続ポート設定部２３は、サーバ接続ポート３２１のデータの受信元の制限及びサーバ接続ポート３２１からデータを送信する場合の送信先の制限を行っている。ただし、求められるセキュリティの強さに応じて制限内容を変更してもよい。例えば、サーバ接続ポート設定部２３は、サーバ接続ポート３２１のデータの受信元の制限だけを行ってもよい。また、サーバ接続ポート設定部２３は、サーバ接続ポート３２１からデータを送信する場合の送信先の制限だけを行ってもよい。

さらに、上述したように、他のアクセス制御として、サーバ接続ポート３２１から仮想サーバ１１１へ送信するデータの送信元の制限などの他の制限を用いている場合、それらの他の制限との組合せで制限内容を変更してもよい。

ストレージ接続ポート設定部２４は、ＬＡＮスイッチ３４のストレージ接続ポート３４１の識別情報をポート特定部２２から受信する。そして、ストレージ接続ポート設定部２４は、ＬＡＮスイッチ３４のストレージ接続ポート３４１に対して、ストレージ４のネットワークカードのＭＡＣアドレスからのデータのみの受信を許可する設定を行う。具体的には、ストレージ接続ポート設定部２４は、ＬＡＮスイッチ３４が有するＡＣＬに、ストレージ接続ポート３４１に対してどのような操作を許可するかを登録することで、ストレージ接続ポート３４１に対する設定を行う。

さらに、ストレージ接続ポート設定部２４は、ＬＡＮスイッチ３４のストレージ接続ポート３４１に対して、ストレージ４へ送信するデータとしてストレージ４を使用する全てのサーバのＭＡＣアドレスからのデータを許可する設定を行う。本実施例では、ストレージ接続ポート設定部２４は、仮想サーバ１１１、仮想サーバ１１２及びサーバ１２のネットワークカードのＭＡＣアドレスからのデータを許可する設定を、ＬＡＮスイッチ３４のストレージ接続ポート３４１に対して行う。さらに、ストレージ接続ポート設定部２４は、ストレージ４のＭＡＣアドレスのみをストレージ接続ポート３４１からのデータの送信先として許可する設定を行う。これらの設定も同様に、ストレージ接続ポート設定部２４は、ＬＡＮスイッチ３４が有するＡＣＬに、ストレージ接続ポート３４１に対してどのような操作を許可するかを登録することで、ストレージ接続ポート３４１に対する設定を行う。

ストレージ接続ポート設定部２４は、ストレージ接続ポート３４１のデータの受信元の制限、ストレージ接続ポート３４１からストレージ４へ送信するデータの送信元の制限、及びストレージ接続ポート３４１からデータを送信する場合の送信先の制限を行っている。ただし、セキュリティの強さの要望に応じて制限を変更してもよい。例えば、ストレージ接続ポート設定部２４は、ストレージ接続ポート３４１のデータの受信元の制限だけを行ってもよい。また、ストレージ接続ポート設定部２４は、ストレージ接続ポートのデータの受信元の制限及びストレージ接続ポート３４１から仮想サーバ１１１へ送信するデータの送信元の制限を行ってもよい。さらに、ストレージ接続ポート設定部２４は、ストレージ接続ポート３４１のデータの受信元の制限及びストレージ接続ポート３４１からデータを送信する場合の送信先の制限を行ってもよい。

以上により、運用管理サーバ２による仮想サーバ１１１とストレージ４との間のセキュリティの設定は完了する。この後、仮想サーバ１１１とストレージ４とは、ＬＡＮスイッチ３２及び３４のＡＣＬの設定にしたがって通信を行う。

そして、サーバ接続ポート３２１のデータの受信元を仮想サーバ１１１のみに制限することで、仮想サーバ１１２や１１３からのデータがサーバ接続ポート３２１から出力されないようになる。したがって、不必要なデータの出力を防止できセキュリティを強化できる。さらに、サーバ接続ポート３２１からデータを送信する場合の送信先を仮想サーバ１１１のみに制限することで、他のサーバからのデータを不正に受信することを防止できる。また、ストレージ接続ポート３４１におけるストレージ４に対するセキュリティにおいても同様の効果を奏する。

また、その他の制限として上述したように、サーバ接続ポート３２１から仮想サーバ１１１へ送信するデータの送信元をストレージ４のみに制限することも考えられる。こうすることで、ＬＡＮスイッチ３２に接続している他の機器からのデータが、仮想サーバ１１１に送られることを防止できる。これにより、例えば、ＬＡＮスイッチ３２に接続している他の機器の情報を仮想サーバ１１１で不正に受信することを防止できる。

次に、図４を参照して、本実施例に係るストレージシステムにおけるネットワーク設定から運用までの全体の処理の流れについて説明する。図４は、ネットワーク設定から運用までの全体の処理のフローチャートである。

操作者は、ストレージ４、ＬＡＮスイッチ３１〜３４及びサーバ１１〜１３を使用するためのネットワーク設定などを行う（ステップＳ１０１）。例えば、操作者は、仮想サーバ１１１〜１１３の設定や、サーバ１１〜１３、ＬＡＮスイッチ３２〜３４、及び仮想サーバ１１１〜１１３に対してＩＰアドレスや管理用ＩＰアドレスの割り当てなどを行う。

次に、操作者は、運用管理サーバ２で実行される管理ソフトに管理対象の機器を登録する（ステップＳ１０２）。本実施例では、操作者は、例えば、仮想サーバ１１１、１１２、サーバ１３、ＬＡＮスイッチ３２〜３４及びストレージ４などの管理用ＩＰアドレスを管理ソフトに登録する。

そして、操作者は、どのサーバとどのストレージとの間のセキュリティを設定するかのセキュリティ設定を運用管理サーバ２の管理ソフトに指示する（ステップＳ１０３）。本実施例では、操作者は、仮想サーバ１１１とストレージ４との間のセキュリティ設定を指示する。

運用管理サーバ２は、仮想サーバ１１１とストレージ４との間のセキュリティ設定を実行する（ステップＳ１０４）。このセキュリティ設定の処理については、次に詳細に説明する。

セキュリティ設定完了後、操作者は、ＩＰ−ＳＡＮを用いてストレージ４の資源を仮想サーバ１１１で使用する運用を開始する（ステップＳ１０５）。

次に、図５を参照して、運用管理サーバ２によるセキュリティの自動設定の処理の流れについて説明する。図５は、セキュリティの自動設定の処理のフローチャートである。

ポート特定部２２は、ＭＡＣアドレス管理部２１が保持する管理テーブルから管理対象として指定されたストレージ４のネットワークカードのＭＡＣアドレスを取得する。そして、ポート特定部２２は、各ＬＡＮスイッチ３２〜３４が保持しているＬＬＤＰ情報を取得する。そして、ポート特定部２２は、ストレージ４のネットワークカードのＭＡＣアドレスを用いて、取得したＬＬＤＰ情報からストレージ４に隣接するＬＡＮスイッチ３４及びＬＡＮスイッチ３４のストレージ接続ポート３４１を検出する（ステップＳ２０１）。そして、ポート特定部２２は、検出したＬＡＮスイッチ３４のストレージ接続ポート３４１の識別情報をストレージ接続ポート設定部２４に通知する。

さらに、ポート特定部２２は、ＭＡＣアドレス管理部２１が保持する管理テーブルから管理対象として指定された仮想サーバ１１１の仮想ネットワークカードのＭＡＣアドレスを取得する。そして、ポート特定部２２は、仮想サーバ１１１の仮想ネットワークカードのＭＡＣアドレスを用いて、取得したＬＬＤＰ情報から仮想サーバ１１１に隣接するＬＡＮスイッチ３２及びＬＡＮスイッチ３２のサーバ接続ポート３２１を検出する（ステップＳ２０２）。そして、ポート特定部２２は、検出したＬＡＮスイッチ３２のサーバ接続ポート３２１の識別情報をサーバ接続ポート設定部２３に通知する。

そして、サーバ接続ポート設定部２３及びストレージ接続ポート設定部２４は、ストレージ接続ポート３４１及びサーバ接続ポート３２１に対するセキュリティの設定を実施する（ステップＳ２０３）。例えば、ストレージ接続ポート設定部２４は、ストレージ接続ポート３４１に対して、ストレージ接続ポート３４１のデータの受信元をストレージ４のみに制限する。また、ストレージ接続ポート設定部２４は、ストレージ接続ポート３４１に対して、ストレージ接続ポート３４１からデータを送信する場合の送信先をストレージ４のみに制限する。サーバ接続ポート設定部２３は、サーバ接続ポート３２１に対して、サーバ接続ポート３２１のデータの受信元を仮想サーバ１１１のみに制限する。また、サーバ接続ポート設定部２３は、サーバ接続ポート３２１に対して、サーバ接続ポート３２１からデータを送信する場合の送信先を仮想サーバ１１１のみに制限する。

ここで、図５では、説明の便宜上、ステップＳ２０１でストレージ接続ポートを検出し、ステップＳ２０２でサーバ接続ポートを検出するとしたが、この順番はどちらでもよく、また並行して処理が行われてもよい。

運用管理サーバ２は、図５で示すような処理を実行するストレージシステム管理プログラムを有している。このストレージシステム管理プログラムは、運用管理サーバ２が有する記憶装置に格納されてもよい。また、その他にも、ストレージシステム管理プログラムをＣＤ（Compact Disk）やＤＶＤ（Digital Versatile Disk）などに格納しておき、運用管理サーバ２がＣＤやＤＶＤに格納されたストレージシステム管理プログラムを読み出して実行してもよい。

以上に説明したように、本実施例に係るストレージシステム管理プログラム及びストレージシステム管理装置は、ＩＰ−ＳＡＮ環境においてストレージとそのストレージを使用するサーバに隣接するＬＡＮスイッチのストレージ接続ポート及びサーバ接続ポートにセキュリティを設定する。これにより、異なるサーバやユーザといった異なるアクセスグループとストレージとの間の通信に対するセキュリティを容易に確保することができる。これにより、ｉＳＣＳＩ／ＮＡＳなどを使用したＩＰ−ＳＡＮ環境でのサーバとストレージのペアに対するアクセスパスにおいて、ＦＣ／ＦＣｏＥ（Fiber Channel over Ethernet（登録商標））でのゾーニング相当のセキュリティ設定を行うことができる。そして、このようなセキュリティ設定を行うことで、アクセスグループ間のセキュリティが確保されるので、データの漏洩や盗聴のリスクを抑えることができる。

次に実施例２について説明する。本実施例に係るストレージシステム管理プログラム及びストレージシステム管理装置は、ＬＬＤＰに対応していないシステムであることが実施例１の場合と異なるものである。本実施例に係るストレージシステムは、図１の構成と同様の構成を有している。そして、本実施例においても、仮想サーバ１１１とストレージ４との通信におけるセキュリティの設定を行うことが操作者から指定された場合で説明する。また、図６は、実施例２に係る運用管理サーバ及びＬＡＮスイッチの詳細を表すブロック図である。以下では、実施例１と同様の機能を有する各部については説明を省略する。

ＬＬＤＰに対応していない場合、ＬＡＮスイッチ３２〜３４がＬＬＤＰ情報を保持しないため、ポート特定部２２は、ＬＬＤＰ情報を用いて仮想サーバ１１１及びストレージ４に隣接するＬＡＮスイッチを特定することができない。そこで、ポート特定部２２は、実施例１とは異なる方法で仮想サーバ１１１及びストレージ４に隣接するＬＡＮスイッチを特定し、サーバ接続ポート及びストレージ接続ポートを特定することになる。

ＬＡＮスイッチ３２〜３４は、各ポートに接続されている機器及び繋がっている機器のＭＡＣアドレスを、それらの機器との通信を行うことで取得し、どのポートにどの機器が接続されているかを学習する。そして、ＬＡＮスイッチ３２〜３４は、学習した情報を各ポートとそのポートに接続されている機器との対応を表すＭＡＣアドレステーブルに登録する。例えば、本実施例では、図６に示すように、ＬＡＮスイッチ３２は、ＭＡＣアドレステーブル３２２を有しており、ＬＡＮスイッチ３４は、ＭＡＣアドレステーブル３４２を有している。ここでは、ＬＡＮスイッチ３２及び３４しか図示していないが、他のＬＡＮスイッチも同様にＭＡＣアドレステーブルを有している。

図７は、ＭＡＣアドレステーブルの一例の図である。ＭＡＣアドレステーブル３００には、ＬＡＮスイッチが有する各ポートに接続されている機器のＭＡＣアドレスが各ポートの識別情報に対応させて登録されている。

ポート特定部２２は、セキュリティの設定の実施の指示を受けると、ＬＡＮスイッチ３２〜３４の各々が有するＭＡＣアドレステーブルの情報を取得する。例えば、図６では、ポート特定部２２は、ＬＡＮスイッチ３２からＭＡＣアドレステーブル３２２の情報を取得する。また、ポート特定部２２は、ＬＡＮスイッチ３４からＭＡＣアドレステーブル３４２の情報を取得する。

そして、ポート特定部２２は、取得した各ＭＡＣアドレステーブルに登録されている情報をまとめて自己の記憶領域に格納する。

そして、ポート特定部２２は、管理対象として指定された仮想サーバ１１１の仮想ネットワークカードの識別情報に対応するＭＡＣアドレスを、ＭＡＣアドレス管理部２１が有する管理テーブルから取得する。また、ポート特定部２２は、管理対象として指定されたストレージ４のネットワークカードの識別情報に対応するＭＡＣアドレスを、ＭＡＣアドレス管理部２１が有する管理テーブルから取得する。

そして、ポート特定部２２は、ＬＡＮスイッチ３２〜３４のＭＡＣアドレステーブルに登録されている情報を用いて、仮想サーバ１１１の仮想ネットワークカードのＭＡＣアドレスを保持しているＬＡＮスイッチのポートのリストを作成する。

ポート特定部２２は、作成したリストに含まれるポートが１つの場合には、そのポートが仮想サーバ１１１に隣接するＬＡＮスイッチのサーバ接続ポートであると特定する。

これに対して、作成したリストに含まれるポートが２つ以上の場合、ポート特定部２２は、リストの各ポートに学習されているＭＡＣアドレスの個数を比較する。そして、ポート特定部２２は、学習されているＭＡＣアドレスの個数が最小のポートが１つの場合、そのポートが仮想サーバ１１１に隣接するＬＡＮスイッチのサーバ接続ポートであると特定する。

これは、ある機器から離れるにしたがい、その機器に接続しているポートに他の機器からの接続が増えていくと考えられるからである。例えば、図１では、ＬＡＮスイッチ３２における仮想サーバ１１１に接続しているポートは、仮想サーバ１１１〜１１３の３つのＭＡＣアドレスを学習している。ＬＡＮスイッチ３３及び３４における仮想サーバ１１１に接続しているポートは、仮想サーバ１１１〜１１３の３つのＭＡＣアドレスに加えて、サーバ１２及びサーバ１３のＭＡＣアドレスを学習している。このように、仮想サーバ１１１に隣接するＬＡＮスイッチ３２における仮想サーバ１１１に接続するポートは、他のＬＡＮスイッチにおける仮想サーバ１１１に接続するポートに比べて学習しているＭＡＣアドレスが少なくなる。そのため、この場合、ポート特定部２２は、ＬＡＮスイッチ３２は仮想サーバ１１１に隣接していると判断でき、サーバ接続ポートを特定できる。

一方、学習されているＭＡＣアドレスの個数が最小のポート（以下では、「最小ポート」という。）が複数ある場合、ポート特定部２２は、各最小ポートに対してＬＡＮスイッチ間で行う通信の設定がなされているか否かを判定する。そして、ポート特定部２２は、ＬＡＮスイッチ間で行う通信の設定がなされていない最小ポートを仮想サーバ１１１に隣接するＬＡＮスイッチのサーバ接続ポートであると特定する。

データ伝送装置間で行う通信の設定がなされたポートとは、例えば以下のようなポートである。すなわち、パケットを全て通過させる設定がなされたトランクポート。ループ構成を回避するための通信プロトコルであるＳＴＰ（Spanning Tree Protocol）の対象ポート。ＬＡＮスイッチとＬＡＮスイッチとを複数の通信線で結んで帯域を広くするための設定であるリンクアグリゲーションに使用されるポート。ＬＬＤＰの機能を有するポートに対向するポート。このような条件を用いた理由は、これらの条件はＬＡＮスイッチ間の通信で用いられる可能性が高いので、これらの条件に当てはまるポートは、ＬＡＮスイッチ間を接続するポートである可能性が高いからである。ポート特定部２２は、最小ポートのうちこれらの条件に当てはまらないポートを、仮想サーバ１１１に隣接するＬＡＮスイッチのサーバ接続ポートであると特定する。ここで、本実施例では、ＬＡＮスイッチ間で行う通信の設定として、トランクポート、ＳＴＰの対象ポート、リンクアグリゲーションに使用されるポート及びＬＬＤＰの対向ポートという条件を用いたが、この中から条件を選んで使用してもよい。また、機器に隣接するＬＡＮスイッチのサーバ接続ポートを特定するための条件であれば、これら以外の条件を用いてもよい。

また、ポート特定部２２は、ＬＡＮスイッチ３２〜３４のＭＡＣアドレステーブルに登録されている情報を用いて、ストレージ４に隣接するＬＡＮスイッチ３４のストレージ接続ポートを特定する。ここで、ポート特定部２２は、上述したサーバ接続ポートの特定と同様の手順でストレージ接続ポートの特定を行う。

そして、ポート特定部２２は、仮想サーバ１１１に隣接するＬＡＮスイッチ３２のサーバ接続ポートの情報をサーバ接続ポート設定部２３に送信する。また、ポート特定部２２は、ストレージ４に隣接するＬＡＮスイッチ３４のストレージ接続ポートの情報をストレージ接続ポート設定部２４に送信する。

次に、図８を参照して本実施例に係るポート特定の処理の流れについて説明する。図８は、実施例２におけるポート特定の処理のフローチャートである。図８は、ストレージ４を使用するサーバに隣接するＬＡＮスイッチのサーバ接続ポートを特定する場合の処理を示している。ここでは、サーバを特定せずに説明する。

ポート特定部２２は、セキュリティを設定するサーバのネットワークカードの識別情報を取得する。そして、ポート特定部２２は、ＭＡＣアドレス管理部２１が有する管理テーブルを用いて、サーバがストレージ４へのアクセスに使用するネットワークカードのＭＡＣアドレスを特定する（ステップＳ３０１）。以下では、サーバがストレージ４へのアクセスに使用するネットワークカードのＭＡＣアドレスを、単に「サーバのＭＡＣアドレス」という。

また、ポート特定部２２は、ＬＡＮスイッチ３２〜３４からそれぞれが有するＭＡＣアドレステーブルに記載された情報を取得する。そして、ポート特定部２２は、各ＭＡＣアドレステーブルに記載された情報を用いて、サーバのＭＡＣアドレスを保持するポートのリストを作成する（ステップＳ３０２）。

次に、ポート特定部２２は、作成したリストに含まれるポートが１つか否かを判定する（ステップＳ３０３）。１つの場合（ステップＳ３０３：肯定）、ポート特定部２２は、リストに記載されたポートをサーバ接続ポートとして検出する（ステップＳ３０４）。

これに対して、リストに含まれるポートが２つ以上の場合（ステップＳ３０３：否定）、ポート特定部２２は、保持するＭＡＣアドレスの個数が最小のポートをリストから特定する（ステップＳ３０５）。

次に、ポート特定部２２は、保持するＭＡＣアドレスの個数が最小のポートが１つか否かを判定する（ステップＳ３０６）。保持するＭＡＣアドレスの個数が最小のポートが１つの場合（ステップＳ３０６：肯定）、ポート特定部２２は、特定したポートをサーバ接続ポートとして検出する（ステップＳ３０７）。

これに対して、保持するＭＡＣアドレスの個数が最小のポートが複数の場合（ステップＳ３０６：否定）、ポート特定部２２は、特定した各ポートのうちＬＡＮスイッチ間の通信の設定が行われていないポートをサーバ接続ポートとして検出する（ステップＳ３０８）。

以上に説明したように、本実施例に係るストレージシステム管理プログラム及びストレージシステム管理装置は、ＬＬＤＰに対応していないストレージシステムであっても、隣接するデータ伝送装置を特定することができ、機器に直接繋がっているポートを特定することができる。これにより、ＬＬＤＰに対応していないＩＰ−ＳＡＮを用いてストレージシステムであっても、異なるサーバやユーザといった異なるアクセスグループとストレージとの間の通信に対するセキュリティを容易に確保することができる。

（ハードウェア構成）
図９は、運用管理サーバのハードウェア構成図である。上述した各実施例に係る運用管理サーバ２は、図９に示すハードウェア構成を有する。

運用管理サーバ２は、メモリ９０１、ＨＤＤ（Hard Disk Drive）９０２、ドライブ装置９０３、ＣＰＵ（Central Processing Unit）９０４、表示制御部９０５、入力装置９０６、通信制御部９０７及び表示装置９０８を有している。

メモリ９０１、ＨＤＤ９０２、ドライブ装置９０３、表示制御部９０５、入力装置９０６及び通信制御部９０７は、ＣＰＵ９０４とバスで接続されている。

各実施例に係るストレージシステム管理プログラムは、ＨＤＤ９０２に格納されていてもよいし、ＣＤやＤＶＤに格納されているストレージ管理プログラムをドライブ装置９０３で読み込んでもよい。ここでは、ストレージシステム管理プログラムは、ＨＤＤ９０２に格納されているものとする。

表示制御部９０５は、ＣＰＵ９０４からの命令を受けて、モニタなどの表示装置９０８にデータを表示させる。例えば、表示制御部９０５は、管理ソフトの入力画面などを表示装置９０８に表示させる。

入力装置９０６は、例えばキーボードなどであり、操作者は入力装置９０６を使用して運用管理サーバ２に対して入力を行う。

通信制御部９０７は、ＬＡＮスイッチなどと繋がるネットワークに接続されている。そして、通信制御部９０７は、ストレージ４との間で通信を行う。

ＣＰＵ９０４及びメモリ９０１は、図２に示したＭＡＣアドレス管理部２１、ポート特定部２２、サーバ接続ポート設定部２３及びストレージ接続ポート設定部２４などの機能を実現する。具体的には、ＣＰＵ９０４は、図２に示したＭＡＣアドレス管理部２１、ポート特定部２２、サーバ接続ポート設定部２３及びストレージ接続ポート設定部２４などの機能を実現するストレージシステム管理プログラムをＨＤＤ９０２から読み込む。そして、ＣＰＵ９０４は、メモリ９０１上に上述した各種機能を実現するプロセスを展開し、実行する。

２ 運用管理サーバ
４ ストレージ
１１〜１３ サーバ
２１ ＭＡＣアドレス管理部
２２ ポート特定部
２３ サーバ接続ポート設定部
２４ ストレージ接続ポート設定部
３１〜３４ ＬＡＮスイッチ
１１１〜１１３ 仮想サーバ
３２１ サーバ接続ポート
３４１ ストレージ接続ポート

Claims (8)

1. データ伝送装置を介して複数の情報処理装置とパケットの送受信を行うストレージ装置に隣接するデータ伝送装置の前記ストレージ装置に接続する第一ポートを特定し、
   前記複数の情報処理装置の中の所定の情報処理装置に隣接するデータ伝送装置の前記所定の情報処理装置に接続する第二ポートを特定し、
   前記第一ポート及び前記第二ポートに対して、前記所定の情報処理装置と前記ストレージ装置との間のパケットの送受信に対する許可設定を行う
   処理をコンピュータに実行させることを特徴とするストレージシステム管理プログラム。
2. 前記所定の情報処理装置と前記ストレージ装置との間のパケットの送受信に対するセキュリティ設定として、
   前記ストレージ装置のＭＡＣアドレスを送信元とするパケットのみの受信を許可する設定を前記第一ポートに対して行い、
   前記所定の情報処理装置のＭＡＣアドレスを送信元とするパケットの受信を許可する設定を前記第二ポートに対して行う
   処理をコンピュータに実行させることを特徴とする請求項１に記載のストレージシステム管理プログラム。
3. 前記所定の情報処理装置と前記ストレージ装置との間のパケットの送受信に対する許可設定として、
   前記複数の情報処理装置のＭＡＣアドレスを送信元とするパケットのみの前記ストレージ装置への送信を許可する設定を前記第一ポートに対して行い、
   前記ストレージ装置のＭＡＣアドレスを送信元とするパケットのみの前記所定の情報処理装置への送信を許可する設定を前記第二ポートに対して行う
   処理をコンピュータに実行させることを特徴とする請求項１又は請求項２に記載のストレージシステム管理プログラム。
4. 前記所定の情報処理装置と前記ストレージ装置との間のパケットの送受信に対する許可設定として、
   前記ストレージ装置へのパケットの送信のみを許可する設定を前記第一ポートに対して行い、
   前記所定の情報処理装置へのパケットの送信のみを許可する設定を前記第二ポートに対して行う
   処理をコンピュータに実行させることを特徴とする請求項１〜３のいずれか一つに記載のストレージシステム管理プログラム。
5. 前記所定の情報処理装置は仮想サーバであり、
   前記第二ポートは、前記所定の情報処理装置を含む複数の仮想サーバによって共有されており
   前記所定の情報処理装置である仮想サーバに割り当てられたＭＡＣアドレスを送信元とするパケットのみの受信を許可する設定を前記第二ポートに対して行う
   ことを特徴とする請求項１〜４のいずれか一つに記載のストレージシステム管理プログラム。
6. 前記データ伝送装置は複数あり、且つ各前記データ伝送装置は自装置が有する各ポートに接続している前記情報処理装置及び前記ストレージ装置のＭＡＣアドレスを記憶しており、
   前記所定の情報処理装置のＭＡＣアドレスを記憶している前記データ伝送装置を抽出し、抽出したデータ伝送装置の中で記憶しているＭＡＣアドレスの数が最小のデータ伝送装置の前記所定の情報処理装置と接続しているポートを前記第二ポートとして特定する
   ことを特徴とする請求項１〜５のいずれか一つに記載のストレージシステム管理プログラム。
7. 記憶しているＭＡＣアドレスの数が最小のデータ伝送装置が複数ある場合、記憶しているＭＡＣアドレスの数が最小の各データ伝送装置の前記所定の情報処理装置のＭＡＣアドレスに接続されたそれぞれポートにおいてデータ伝送装置間で行う通信の設定が行われているか否かを判定し、データ伝送装置間で行う通信の設定が行われていないポートを前記第二ポートとして特定する
   ことを特徴とする請求項６に記載のストレージシステム管理プログラム。
8. データ伝送装置を介して複数の情報処理装置とパケットの送受信を行うストレージ装置に隣接するデータ伝送装置の前記ストレージ装置に接続する第一ポート、及び前記複数の情報処理装置の中の所定の情報処理装置に隣接するデータ伝送装置の前記所定の情報処理装置に接続する第二ポートを特定するポート特定部と、
   前記第一ポートに対して、前記所定の情報処理装置と前記ストレージ装置との間のパケットの送受信に対する許可設定を行う第１セキュリティ設定部と、
   前記第二ポートに対して、前記所定の情報処理装置と前記ストレージ装置との間のパケットの送受信に対する許可設定を行う第２セキュリティ設定部と
   を備えたことを特徴とするストレージシステム管理装置。

Images