情報処理装置、復旧装置、ディスク復旧方法
【課題】アプライアンスサーバ１０のディスクを復旧させる場合に、遠隔的に、かつ、より安全に行うことができるようにすること。
【解決手段】認証クライアント３０は、予めネットワークを介して第１認証鍵を取得する。アプライアンスサーバ１０は、認証クライアント３０から第１認証鍵に基づく認証の要求を受けると、上記第１認証鍵と、自装置内で保持する第２認証鍵とが一致するか否かに基づいて認証処理を行う。アプライアンスサーバ１０は、上記認証が成功した場合にはリカバリディスク内のイメージファイルを自装置内のディスクへ書き込み、書き込みが正常に完了すると完了メッセージを認証クライアント３０宛に通知する。認証クライアント３０は、完了メッセージを受けると上記第１認証鍵を削除する。
【解決手段】認証クライアント３０は、予めネットワークを介して第１認証鍵を取得する。アプライアンスサーバ１０は、認証クライアント３０から第１認証鍵に基づく認証の要求を受けると、上記第１認証鍵と、自装置内で保持する第２認証鍵とが一致するか否かに基づいて認証処理を行う。アプライアンスサーバ１０は、上記認証が成功した場合にはリカバリディスク内のイメージファイルを自装置内のディスクへ書き込み、書き込みが正常に完了すると完了メッセージを認証クライアント３０宛に通知する。認証クライアント３０は、完了メッセージを受けると上記第１認証鍵を削除する。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、情報処理装置において、例えばハードディスクを交換した場合のディスク内のデータ復旧（ディスク復旧）技術に関する。
【背景技術】
【０００２】
ハードディスクなどのストレージを備えた情報処理装置においては、例えばハードディスクが故障したときには、リカバリディスクを用いてイメージファイルを交換後のハードディスクへ展開して、ハードディスクの復旧が行われる。リカバリディスクは、例えば、光ディスクなどの可搬型媒体である。このとき、情報処理装置に表示装置や入力装置が接続されている場合、上記データ復旧作業が比較的容易に行われ、それが安全に行われる。一方、情報処理装置に表示装置や入力装置が接続されていない場合には、リカバリディスクを情報処理装置に挿入したときに、ユーザは、そのリカバリディスクがその情報処理装置向けのものかどうかについての情報を、表示装置を通して視認できない。そのため、適切でないイメージファイルがハードディスクへ書き込まれてしまう可能性がある。つまり、情報処理装置に表示装置や入力装置が接続されている場合には、そうでない場合と比較してより安全にデータ復旧が行われる可能性が高い。
一方、ネットワークを介して遠隔的に情報処理装置のハードディスクのディスク復旧を行う方法も知られている。
【０００３】
例えば、クライアント／サーバシステムにおけるクライアント側のハードディスク交換後にクライアントの環境を復旧するための方法として、以下の方法が知られている。すなわち、この先行技術によれば、クライアントは先ず、交換後のハードディスクのシリアルナンバーをサーバに送信する。サーバは、取得したシリアルナンバーを予め格納されている交換前のハードディスクのシリアルナンバーと比較することで、クライアントにおけるハードディスクの交換有無を判定する。ハードディスクの交換有と判定するとサーバは、選択したバックアップ内容をクライアントに転送する。その後、クライアントはハードディスクからの起動を行ってクライアントの環境を復旧する。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特開２００２−２２２１０６号公報
【発明の概要】
【発明が解決しようとする課題】
【０００５】
しかしながら、上述した従来の情報処理装置のディスク復旧方法では、クライアント（情報処理装置）の管理者の判断次第で同一のバックアップ内容（イメージファイルに相当）が何度でも書き込み可能である（つまり、不正コピーが可能になっている）という点で好ましくない。特に、情報処理装置がセキュリティアプライアンス等、表示装置や入力装置が接続されておらず、かつ、高度の信頼性を要する装置である場合には、遠隔的かつ安全にハードディスクの復旧作業が行われることが求められる。
【０００６】
よって、本発明の１つの側面では、情報処理装置のディスクを復旧させる場合に、遠隔的に、かつ、より安全に行うことができるようにした情報処理装置、復旧装置、ディスク復旧方法を提供することを目的とする。
【課題を解決するための手段】
【０００７】
第１の観点は、データを記憶するディスクを備え、復旧装置による遠隔的なディスク復旧の対象となる情報処理装置である。
この情報処理装置は、
復旧装置との間でネットワークを介して送受信を行う送受信部と、
前記復旧装置から第１認証鍵に基づく認証の要求を受けた場合に、当該第１認証鍵と、自装置内で保持する第２認証鍵とが一致するか否かに基づいて認証処理を行う認証処理部と、
前記認証処理部による認証が成功した場合にはイメージファイルを前記ディスクへ書き込み、書き込みが正常に完了すると前記送受信部を介して所定の完了メッセージを前記復旧装置宛に通知する書き込み制御部と、
を備える。
【０００８】
第２の観点は、遠隔的に情報処理装置のディスク復旧を行う復旧装置である。
この復旧装置は、
前記情報処理装置および鍵供給装置との間でネットワークを介して送受信を行う送受信部と、
前記鍵供給装置から前記送受信部を介して第１認証鍵を取得する認証鍵取得部と、
前記送受信部を介して、前記情報処理装置に前記第１認証鍵に基づく認証の要求を行い、当該認証が成功したか否かの通知を前記情報処理装置から受け、前記情報処理装置におけるディスクへのイメージファイルの書き込み完了を示す完了メッセージを受けた場合に前記第１認証鍵を削除する認証処理部と、
を備える。
【０００９】
第３の観点は、情報処理装置のディスク復旧を復旧装置によって行うディスク復旧方法である。
このディスク復旧方法において、
前記復旧装置は、ネットワークを介して鍵供給装置から第１認証鍵を取得し、
前記情報処理装置は、ネットワークを介して前記復旧装置から前記第１認証鍵に基づく認証の要求を受けると、該第１認証鍵と、自装置内で保持する第２認証鍵とが一致するか否かに基づいて認証処理を行い、
前記情報処理装置は、前記認証が成功した場合にはイメージファイルを自装置内のディスクへ書き込み、書き込みが正常に完了すると完了メッセージを前記復旧装置宛に通知し、
前記復旧装置は、前記完了メッセージを受けると前記第１認証鍵を削除する。
【発明の効果】
【００１０】
開示の情報処理装置、復旧装置、ディスク復旧方法によれば、情報処理装置のディスクを復旧させる場合に、遠隔的に、かつ、より安全に行うことができるようになる。
【図面の簡単な説明】
【００１１】
【図１】実施形態におけるシステム構成を示す図。
【図２】実施形態のアプライアンスサーバの構成を示すブロック図。
【図３】実施形態の認証クライアントの構成を示すブロック図。
【図４】実施形態のディスク復旧の準備の概要を説明するための図。
【図５】実施形態の認証クライアントにおける表示例を示す図。
【図６】実施形態のアプライアンスサーバの復旧処理を示すフローチャート。
【図７】実施形態の認証クライアントにおける表示例を示す図。
【発明を実施するための形態】
【００１２】
（１）システム構成
先ず、実施形態のシステムについて図１を参照して説明する。図１は、実施形態におけるシステム構成を示す図である。このシステムは、アプライアンスサーバ１０と、制御装置２０と、認証クライアント３０、ネットワーク中継器４０とを含む。
アプライアンスサーバ１０は、ネットワーク上に配置されて特定の用途のための処理を行う装置である。アプライアンスサーバ１０は、特に限定するものではないが、例えば、ウェブサーバ、キャッシュサーバ、電子メールサーバ、ファイアウォールサーバ、ロードバランサなどである。制御装置２０は、ネットワーク中継器４０を介してアプライアンスサーバ１０と通信可能である。アプライアンスサーバ１０の管理者等は、制御装置２０を使用してネットワーク経由でアプライアンスサーバ１０にアクセスし、アプライアンスサーバ１０の環境設定、状態監視を行うとともにアプライアンスサーバ１０からログを取得できるようになっている。
【００１３】
本実施形態において、アプライアンスサーバ１０は、認証クライアント３０によって遠隔的にハードディスクのデータ復旧を行う対象となる。アプライアンスサーバ１０は、情報処理装置の一例である。認証クライアント３０は、復旧装置の一例である。
アプライアンスサーバ１０は、表示装置や入力装置が接続されていない状態でネットワーク上で運用がなされ、かつ、高度の信頼性を要する用途に使用されうる。そこで、本実施形態のシステムは、アプライアンスサーバ１０内のＨＤＤ(Hard Disk Drive)が故障してディスク交換の必要が生じたときに、認証クライアント３０がネットワークを介して遠隔的、かつ安全にハードディスクのデータ復旧（以下、適宜「ディスク復旧」と表記する。）を行うために構成されている。
【００１４】
（２）アプライアンスサーバ１０の構成
図２は、実施形態のアプライアンスサーバ１０構成を示すブロック図である。
図２に示すように、アプライアンスサーバ１０は、ＣＰＵ(Central Processing Unit)１１、チップセット１２、ＲＡＭ(Random Access Memory)１３、ＢＩＯＳ−ＲＯＭ１４、電源供給部１５、ＨＤＤ１６、入出力デバイス１７、および、通信インタフェース１８を含む。チップセット１２は、アプライアンスサーバ１０内の各部とデータバスおよび制御バスによって接続されている。
なお、ＨＤＤ１６はディスクの一例である。ＣＰＵ１１は、認証処理部および書き込み制御部の一例である。通信インタフェース１８は、送受信部の一例である。
【００１５】
ＣＰＵ１１は、アプライアンスサーバ１０の用途に応じて設けられる各種のプログラムを実行する。また、ディスク復旧時にＣＰＵ１１は、入出力デバイス１７に含まれる光ディスクドライブにセットされたリカバリディスク（後述する）からプログラムあるいはファイルを読み出し、そのプログラムの実行あるいはデータ処理を行う。
ＲＡＭ１３は、ＣＰＵ１１のメインメモリである。ＲＡＭ１３は、ＣＰＵ１１が実行するプログラムやＣＰＵ１１が参照するデータを一時的に格納するための揮発性記憶装置である。リカバリディスク内のイメージファイルは、ディスク復旧処理時にＲＡＭ１３に展開される。
チップセット１２は、ＣＰＵ１１と他の各部とのインタフェースのための制御回路、各部を制御するためのレジスタを含む。チップセット１２は、例えば汎用インタフェースであるＧＰＩ(General Purpose Interface)に対応してよい。
ＢＩＯＳ−ＲＯＭ１４は、ＢＩＯＳ（Basic Input/Output System）を記憶する。ＢＩＯＳは、ハードウエアとの基本的な入出力処理を行うための基本入出力システム（プログラム）である。
電源供給部１５は、アプライアンスサーバ１０の各部への電源を供給する。電源供給部１５は、アプライアンスサーバ１０の状態（例えばスリープモード等）に応じて給電を制限することがあってよい。
ＨＤＤ１６（以下、適宜「ハードディスク」という。）は不揮発性記憶装置であり、オペレーティングシステム（ＯＳ）やＯＳ上で実行されるプログラムを記憶する。
【００１６】
（３）認証クライアント３０の構成
図３は、実施形態の認証クライアント３０構成を示すブロック図である。
図３に示すように、認証クライアント３０は、ＣＰＵ(Central Processing Unit)３１、チップセット３２、ＲＡＭ(Random Access Memory)３３、ＢＩＯＳ−ＲＯＭ３４、電源供給部３５、ＨＤＤ(Hard Disk Drive)３６、入出力デバイス３７、通信インタフェース３８、および、表示装置３９を含む。チップセット３２は、認証クライアント３０内の各部とデータバスおよび制御バスによって接続されている。例えば、認証クライアント３０は、汎用のパーソナルコンピュータであってよい。
なお、ＣＰＵ３１は、認証鍵取得部および認証処理部の一例である。通信インタフェース３８は、送受信部の一例である。
【００１７】
ＣＰＵ３１は、アプライアンスサーバ１０のディスク復旧の準備、および、ディスク復旧に当たって、認証プログラムを実行する。この認証プログラムを実行してアプライアンスサーバ１０のディスク復旧を行うために、ＣＰＵ３１は、後述するリカバリ認証キーを通信インタフェース３８経由で取得する。ＣＰＵ３１は、後述するリカバリライセンス販売者のウェブサービスを受けるために、ウェブサーバから送信されるＨＴＭＬ(HyperText Markup Language)データを解釈して表示装置３９に表示させるためのウェブブラウザを実行する。
ＲＡＭ３３は、ＣＰＵ３１のメインメモリである。ＲＡＭ１３は、ＣＰＵ３１が実行するプログラムやＣＰＵ３１が参照するデータを一時的に格納するための揮発性記憶装置である。
チップセット３２は、ＣＰＵ３１と他の各部とのインタフェースのための制御回路、各部を制御するためのレジスタを含む。チップセット３２は、例えば汎用インタフェースであるＧＰＩに対応してよい。
ＢＩＯＳ−ＲＯＭ３４は、ＢＩＯＳ（Basic Input/Output System）を記憶する。ＢＩＯＳは、ハードウエアとの基本的な入出力処理を行うための基本入出力システム（プログラム）である。
電源供給部３５は、認証クライアント３０の各部への電源を供給する。電源供給部３５は、認証クライアント３０の状態（例えばスリープモード等）に応じて給電を制限することがあってよい。
ＨＤＤ３６は不揮発性記憶装置であり、オペレーティングシステム（ＯＳ）やＯＳ上で実行されるプログラムを記憶する。
【００１８】
通信インタフェース３８は、インターネットあるいはＬＡＮ(Local Area Network)を介して、アプライアンスサーバ１０および後述するリカバリ許可サーバと通信を行うためのインタフェース回路を含む。通信インタフェース３８は、各サーバと通信可能であればよく、その通信プロトコルは問わない。
表示装置３９は、例えば、マトリクス状に画素単位で配置された薄膜トランジスタを含むＬＣＤ(Liquid Cristal Display)モニタと、その薄膜トランジスタを駆動するための駆動回路とを含み、ＣＰＵ３１から与えられる画像データをモニタ上に表示する。
【００１９】
（４）本実施形態のディスク復旧方法
次に、本実施形態のディスク復旧方法について、図４〜図７を参照して説明する。
【００２０】
（４−１）復旧環境の準備
本実施形態のディスク復旧方法において、先ず、認証クライアント３０による復旧環境の準備が行われる。この復旧環境の準備は、認証クライアント３０が、アプライアンスサーバ１０のハードディスクのデータ復旧を行うのに必要となるリカバリ認証キーを予め取得することを含む。なお、このリカバリ認証キーは、第１認証鍵の一例である。
図４は、本実施形態のディスク復旧方法において復旧環境の準備を説明するための図である。図４は、認証クライアント３０が予め、外部のリカバリライセンスの販売者からリカバリ認証キーを取得する（つまり、リカバリライセンスを購入する）場合の手順を示す。なお、リカバリ認証キーは、アプライアンスサーバ１０のディスク復旧を行うときに、ディスク復旧の対象となるアプライアンスサーバ１０以外の装置に誤って使用されてしまうことを防止するために、ディスク復旧の対象となるアプライアンスサーバ１０に固有の鍵情報となっている。そのような固有の鍵情報は例えば、ディスク復旧の対象となるアプライアンスサーバ１０の固有のハードウエア情報を基に生成される。
なお、図４において、リカバリ許可サーバは、鍵供給装置の一例である。
【００２１】
図４（ａ）において先ず、認証クライアント３０を操作する管理者（リカバリライセンスの購入者）は、リカバリライセンスの販売者が運営するウェブサイト（WEBサイト）にアクセスし、所定の手続を行ってリカバリライセンス情報を購入する（ステップＳ１）。つまり、認証クライアント３０は、リカバリライセンス情報を受信して取得する。このリカバリライセンス情報には、リカバリライセンスの販売者が運用するリカバリ許可サーバのネットワークアドレス、アクセスアカウント、ワンタイムパスワードが含まれている。
次に認証クライアント３０は、リカバリライセンス情報に含まれている上記情報を元に、リカバリ許可サーバに対して認証要求を行う（ステップＳ２）。リカバリ許可サーバは、認証クライアント３０から送信されたアクセスアカウント、ワンタイムパスワードを、自サーバで保持する情報と照合することにより認証処理を行う。その結果、認証が成功すると、リカバリ許可サーバは、認証クライアント３０に対して、認証成功通知メッセージと、リカバリ認証キーとを送信する（ステップＳ３）。
【００２２】
なお、上記ステップＳ２およびＳ３の手続きは逐次、例えば図５に表示例を示すように、認証クライアント３０の表示装置３９で表示されるようにすることが好ましい。この場合、ＣＰＵ３１は、リカバリ許可サーバとの間でなされる通信のログを一時的に格納しておき、逐次表示装置３９に表示させる。これにより、認証クライアント３０の管理者が認証手続の進捗状況を視覚的に確認できる。
【００２３】
最後に認証クライアント３０は、取得したリカバリ認証キーを認証プログラムに設定する（ステップＳ４）。このステップＳ４が完了した時点で、図４（ｂ）に示すように、認証クライアント３０は、ネットワーク中継器４０を介してネットワークに接続することで（ステップＳ５）、アプライアンスサーバ１０のディスク復旧を実行できる環境となる。
【００２４】
（４−２）ディスク復旧の実行
本実施形態のディスク復旧方法では次に、アプライアンスサーバ１０と認証クライアント３０の間でディスク復旧を実行するが、このとき、アプライアンスサーバ１０に対してリカバリディスクを使用する。リカバリディスクはＣＤ(Compact Disc)あるいはＤＶＤ(Digital Versatile Disc)等、アプライアンスサーバ１０に搭載される光ディスクドライブが読み取り可能な記録媒体であればその形態は問わない。このリカバリディスクには、以下に示す（ａ）〜（ｈ）のプログラムおよびファイルが含まれる。
【００２５】
（ａ）起動プログラム：
起動プログラムは、ブートローダやカーネルの起動、各種ドライバ、ライブラリの組み込み、ネットワークのインタフェース設定、光ディスクドライブのマウントなどを実行する。
（ｂ）認証プログラム：
認証プログラムは、認証クライアント３０からの認証要求を処理し、ディスク復旧の開始を行うプログラムである。このプログラムは、ディスク復旧の開始／終了の成功／失敗の認証結果を認証クライアント３０へ返し、失敗の場合、失敗時のコードも合わせて返す。
（ｃ）イメージ復号プログラム：
イメージ復号プログラムは、暗号化された圧縮イメージファイルをＲＡＭ１３（メモリ）へ展開させるためのプログラムである。
（ｄ）イメージ展開プログラム：
イメージ展開プログラムは、ＲＡＭ１３（メモリ）に展開された圧縮イメージファイルをアプライアンスサーバ１０のハードディスクへ展開させるためのプログラムである。
（ｅ）イメージ整合性チェックファイル：
イメージ整合性チェックファイルには、チェックサム値が含まれている。
（ｆ）イメージ整合性チェックプログラム
イメージ整合性チェックプログラムは、アプライアンスサーバ１０のハードディスクへのイメージファイルの展開が正常に実行できたかをチェックするためのプログラムである。
（ｇ）終了プログラム：
終了プログラムは、認証プログラムにリカバリ完了メッセージを送信させ、認証プログラムを終了させ、アプライアンスサーバ１０のシャットダウンを実行するプログラムである。
（ｈ）イメージファイル：
イメージファイルは、ディスクイメージファイルが例えばlzopやgzipなどの所定の方式で圧縮され、かつ３ＤＥＳ(Triple DES(Data Encryption Standard))あるいはＡＥＳ(Advanced Encryption Standard)などの共通鍵暗号方式で暗号化されたファイルである。
【００２６】
以下、図６を参照してアプライアンスサーバ１０のディスク復旧の実行処理について説明する。図６は、アプライアンスサーバ１０のディスク復旧の実行処理において、アプライアンスサーバ１０と認証クライアント３０で行われる処理を示すフロー図である。なお、以下の処理において、認証クライアント３０で行われる処理は、認証クライアント３０のＣＰＵ３１が認証プログラムを実行することで行われる処理である。
【００２７】
先ず、アプライアンスサーバ１０に対してリカバリディスクを挿入することにより（ステップＳ１０のＹＥＳ）、アプライアンスサーバ１０のディスク復旧が開始される。なお、この時点では、認証クライアント３０において認証プログラムが起動した状態としておく（ステップＳ２０）。リカバリディスクが挿入されると、アプライアンスサーバ１０のＣＰＵ１１は、リカバリディスクに含まれる起動プログラムを読み出して実行する（ステップＳ３０）。この起動プログラムが実行されると、ＣＰＵ１１は以下の処理を行う。
【００２８】
［起動プログラムによるＣＰＵ１１の処理］
・ＣＰＵ１１は、ブートローダやカーネルの起動、各種ドライバ、ライブラリの組み込み、ネットワークのインタフェース設定、光ディスクドライブのマウントなどを実行する。
・ＣＰＵ１１は、アプライアンスサーバ１０のハードウエア固有の情報(ベンダー情報、ＢＩＯＳ版数、ＣＰＵタイプ、メモリ容量、ディスクサイズなど)を取得し、自サーバがリカバリ対象のサーバであるか確認する。起動プログラムには上記ハードウエア固有の情報が含まれており、ＣＰＵ１１は、このプログラム上のデータと、自サーバから読み出したデータとが一致するか否かをチェックする。そしてＣＰＵ１１は、そのチェック結果に基づく確認結果コードを確認結果ファイルへ書き込む。
・ＣＰＵ１１は、ＵＳＢ(Universal Serial Bus)などの外部インタフェースが使用不可であるか否か確認する。通常ＢＩＯＳの設定で外部インタフェースが使用不可となっているが、仮に使用可の状態であるとするとセキュリティ上好ましくないためである。そしてＣＰＵ１１は、その確認結果に基づく確認結果コードを確認結果ファイルへ書き込む。
・ＣＰＵ１１は、ハードディスクのマスタブートレコードの内容をチェックし、既にディスク復旧がなされたか否かをチェックする。そしてＣＰＵ１１は、そのチェック結果に基づく確認結果コードを確認結果ファイルへ書き込む。
・ＣＰＵ１１は、ネットワークインターフェースを起動し、ＤＨＣＰ(Dynamic Host Configuration Protocol)クライアント機能によってネットワークアドレスを取得する。ＤＨＣＰクライアント機能でネットワークアドレスが取得できない場合には、ＣＰＵ１１は、リカバリディスク内に格納されている固定のネットワークアドレスを取得してもよい。
【００２９】
次に、アプライアンスサーバ１０のＣＰＵ１１は、ディスク復旧処理にて利用する各種プログラム（認証プログラム、イメージ復号プログラム、イメージ展開プログラム、イメージ整合性チェックプログラムおよび終了プログラム）をリカバリディスクから読み出してＲＡＭ１３にロードし、それらを起動し（ステップＳ４０）、認証待ちの状態（つまり、認証クライアント３０からの認証要求を待機する状態）となる。このとき、認証待ちの状態になったことをＬＥＤ(Light Emitting Device)による発光、あるいはビープ音の生成などにより、視覚的あるいは聴覚的に、周囲（例えば、ディスク復旧の作業者あるいはサーバ等の管理者）に報知するように設定しておくことが好ましい。
この後、認証クライアント３０は、認証プログラムの実行に伴ってアプライアンスサーバ１０に対して認証要求を行う（ステップＳ５０）。認証クライアント３０は、この認証要求を、リカバリ許可サーバから予め取得したリカバリ認証キーを含むようにして行う。この認証要求が行われた後のアプライアンスサーバ１０のＣＰＵ１１における処理は以下のとおりである。
【００３０】
［認証プログラムによるＣＰＵ１１の処理］
・ＣＰＵ１１は、アプライアンスサーバ１０のハードウエア固有の情報を元に認証キーを生成する。なお、この生成される認証キーは、第２認証鍵の一例である。認証要求において認証クライアント３０から受信するリカバリ認証キーは、ハードウエア固有の情報を元に作成されたものであるが、本処理における認証キーの作成手順（ハードウエア固有の情報を元にキーを作成するときの演算式など）はそれと同一とする。すると、受信したリカバリ認証キーと、ＣＰＵ１１が生成した認証キーとは一致するはずであるから、この一致／不一致に基づいて認証処理を行うことができる。ＣＰＵ１１は、その認証結果に応じたコードを確認結果ファイルへ書き込む。
・ＣＰＵ１１は、これまで書き込まれた確認結果ファイルの内容をチェックして、チェック結果がＮＧ（エラー）となるコードが書き込まれていれば、その確認結果ファイルを認証クライアント３０へ送信してディスク復旧の処理を中断する。チェック結果がＮＧ（エラー）の場合とは、以下の（Ｅ１）〜（Ｅ３）のいずれかの場合である。
【００３１】
（Ｅ１）認証キーが一致しない場合（ハードウエア固有の情報に基づく認証キーが一致しないことから、アプライアンスサーバ１０が適切なリカバリ対象でないと考えられる。）
（Ｅ２）ＵＳＢ等の外部インタフェースが使用可能状態である場合（セキュリティ上問題であるため、ディスク復旧を続行させない。）
（Ｅ３）認証クライアント３０から受信したリカバリ認証キーが適切なデータでない場合
【００３２】
アプライアンスサーバ１０のＣＰＵ１１は、認証が成功すると、その認証成功とリカバリ開始の通知を認証クライアント３０に対して行う（ステップＳ６０）。なお、認証クライアント３０のＣＰＵ３１は、アプライアンスサーバ１０から受信した確認結果コードをチェックして、既にディスク復旧がなされたことが判明した場合には、その旨を表示装置３９に表示し、ディスク復旧を継続するか否かの意思確認を管理者に促すように設定してもよい。処理を続行することを示す操作入力があった場合には、認証クライアント３０は、アプライアンスサーバ１０へディスク復旧の処理を継続する処理継続要求を行ってもよい。そしてアプライアンスサーバ１０は、処理継続要求を受けた場合には、中断していた処理を続行する。
【００３３】
次に、アプライアンスサーバ１０のＣＰＵ１１は、イメージ復号プログラムにより以下の処理を実行する（ステップＳ７０）。
【００３４】
［イメージ復号プログラムによるＣＰＵ１１の処理］
・ＣＰＵ１１は、リカバリディスク内にある暗号化されたイメージファイルをＲＡＭ１３（メモリ）に展開（すなわち、復号化）する（ステップＳ８０）。この時の復号キーは、アプライアンスサーバ１０のハードウエア固有の情報を元に算出するハッシュ値、あるいはアプライアンスサーバ１０のハードウエア固有の情報を元に既に算出し保持している認証キー（リカバリ認証キーと同じキー）とする。また、イメージファイルの暗号化方式は問わないが、例えば３ＤＥＳあるいはＡＥＳなどの共通鍵暗号方式で暗号化されている。したがって、リカバリディスク内にあるイメージファイルは、リカバリ対象となる固有のアプライアンスサーバのみが復号でき、他の装置は復号できないようになっている。
・ＣＰＵ１１は、リカバリディスク内にある暗号化されたイメージ整合性チェックファイルを、上記復号キーにより復号化し、イメージ整合性チェックファイル内に格納されたイメージファイルのチェックサム値を抽出する（ステップＳ９０）。
【００３５】
次に、アプライアンスサーバ１０のＣＰＵ１１は、イメージ展開プログラムにより、ＲＡＭ１３（メモリ）にある圧縮イメージファイルをハードディスクに展開（すなわち、伸長）する（ステップＳ１００）。その後、ＣＰＵ１１は、イメージ整合性チェックプログラムを実行してハードディスクへのイメージファイルの展開が正常に実行できたかをチェックする。このチェックは、ハードディスクのチェックサム値を算出し、このチェックサム値と、ステップＳ９０で得られたイメージ整合性チェックファイル内のチェックサム値とが一致するか否かに基づいて行われる、ハードディスク内のデータの検証処理である（ステップＳ１１０）。この検証処理は、イメージファイルに改竄がないか、あるいは、ハードディスクへの展開動作が正常であったかをチェックする目的で行われる。
【００３６】
次に、アプライアンスサーバ１０のＣＰＵ１１は、終了プログラムを実行する（ステップＳ１２０）。ハードディスクのデータの検証処理の結果、ハードディスク内のデータが問題ないと判定した場合には、この終了プログラムの実行により、アプライアンスサーバ１０からリカバリ完了メッセージが認証クライアント３０へ送信されるとともに（ステップＳ１３０）、アプライアンスサーバ１０がシャットダウンされる。
認証クライアント３０において、リカバリ完了メッセージを受信すると、ＣＰＵ３１がリカバリ認証キーを削除する（ステップＳ１４０）。このリカバリ認証キーの削除によって、認証クライアント３０の管理者によって何度もディスク復旧を行うといった、ライセンスに反した不正コピーが防止される。
【００３７】
なお、図６に示した手続きは逐次、例えば図７に例示するように、認証クライアント３０の表示装置３９で表示されるようにすることが好ましい。この場合、ＣＰＵ３１は、アプライアンスサーバ１０との間でなされる通信のログを一時的に格納しておき、逐次表示装置３９に表示させる。これにより、認証クライアント３０の管理者がディスク復旧手続の進捗状況を視覚的に確認できる。
【００３８】
以上説明したように、本実施形態のディスク復旧方法によれば、認証クライアント３０は、ネットワークを介してリカバリライセンスの販売者が運用するリカバリ許可サーバからリカバリ認証キーを取得する。アプライアンスサーバ１０は、認証クライアント３０からリカバリ認証キーに基づく認証の要求を受けると、リカバリ認証キーと、自装置内で保持あるいは生成する認証キーとが一致するか否かに基づいて認証処理を行い、認証が成功した場合にはイメージファイルを自装置内のディスクへ書き込む。認証クライアント３０は、書き込みが正常に完了したことを示す完了メッセージを受けるとリカバリ認証キーを削除する。このとき、リカバリ認証キーと、アプライアンスサーバ１０で保持あるいは生成される認証キーとは共に、アプライアンスサーバ１０のハードウエア固有の情報に基づいた認証キーであり、この認証キーに基づいて認証処理を行うため、リカバリ対象でない別のサーバに誤ってイメージファイルを書き込むことが防止される。また、アプライアンスサーバ１０が取得したリカバリ認証キーは、ディスク復旧処理が完了すると削除されるため、このリカバリ認証キーを別のサーバに使用するイメージファイルの不正コピーが防止される。そのため、本実施形態のディスク復旧方法によって、アプライアンスサーバ１０に対する遠隔的なディスク復旧が安全に行われる。
【００３９】
このディスク復旧方法によれば、認証クライアント３０による認証要求を契機としてイメージファイルのアプライアンスサーバ１０へのハードディスクへの書き込みが行われ、その書き込み完了を示す完了メッセージが認証クライアント３０へ通知される。そのため、アプライアンスサーバ１０に表示装置や入力装置が接続されていない場合であっても、遠隔的に書き込みの実行がされたか否か確認できる。
【００４０】
また、リカバリディスクに格納されるイメージファイルは、アプライアンスサーバ１０のハードウエア固有の情報を元に作成される暗号キーで予め暗号化しておき、メモリへ展開するときに、共通鍵の復号キーで復号することが好ましい。これにより、ハードウエア固有の情報が正しくなければイメージファイルはメモリに展開されないことになり、さらに安全性が向上する。
【００４１】
以上、本発明の実施形態について詳細に説明したが、本発明の情報処理装置、復旧装置、ディスク復旧方法は上記実施形態に限定されず、本発明の主旨を逸脱しない範囲において、種々の改良や変更をしてもよいのは勿論である。例えば、図１に示したシステムにおいて、上記実施形態では、認証クライアント３０がアプライアンスサーバ１０のディスク復旧を行う場合について説明したが、通常時にアプライアンスサーバ１０の運用を行っている制御装置２０がアプライアンスサーバ１０のディスク復旧を行ってもよい。
【００４２】
以上の各実施形態に関し、さらに以下の付記を開示する。
【００４３】
（付記１）
情報処理装置であって、
データを記憶するディスクと、
復旧装置との間でネットワークを介して送受信を行う送受信部と、
前記復旧装置から第１認証鍵に基づく認証の要求を受けた場合に、当該第１認証鍵と、自装置内で保持する第２認証鍵とが一致するか否かに基づいて認証処理を行う認証処理部と、
前記認証処理部による認証が成功した場合にはイメージファイルを前記ディスクへ書き込み、書き込みが正常に完了すると前記送受信部を介して所定の完了メッセージを前記復旧装置宛に通知する書き込み制御部と、
を備えた情報処理装置。
【００４４】
（付記２）
前記書き込み制御部は、自装置のハードウエア固有の情報を元に復号鍵を生成し、暗号化された前記イメージファイルを前記復号鍵で復号した後に前記ディスクへ書き込むことを特徴とする、付記１に記載された情報処理装置。
【００４５】
（付記３）
遠隔的に情報処理装置のディスク復旧を行う復旧装置であって、
前記情報処理装置および鍵供給装置との間でネットワークを介して送受信を行う送受信部と、
前記鍵供給装置から前記送受信部を介して第１認証鍵を取得する認証鍵取得部と、
前記送受信部を介して、前記情報処理装置に前記第１認証鍵に基づく認証の要求を行い、当該認証が成功したか否かの通知を前記情報処理装置から受け、前記情報処理装置におけるディスクへのイメージファイルの書き込み完了を示す完了メッセージを受けた場合に前記第１認証鍵を削除する認証処理部と、
を備えた復旧装置。
【００４６】
（付記４）
情報処理装置のディスク復旧を復旧装置によって行うディスク復旧方法であって、
前記復旧装置は、ネットワークを介して鍵供給装置から第１認証鍵を取得し、
前記情報処理装置は、ネットワークを介して前記復旧装置から前記第１認証鍵に基づく認証の要求を受けると、該第１認証鍵と、自装置内で保持する第２認証鍵とが一致するか否かに基づいて認証処理を行い、
前記情報処理装置は、前記認証が成功した場合にはイメージファイルを自装置内のディスクへ書き込み、書き込みが正常に完了すると完了メッセージを前記復旧装置宛に通知し、
前記復旧装置は、前記完了メッセージを受けると前記第１認証鍵を削除する、
ことを含むディスク復旧方法。
【００４７】
（付記５）
前記情報処理装置は、自装置のハードウエア固有の情報を元に復号鍵を生成し、暗号化された前記イメージファイルを前記復号鍵で復号した後に前記ディスクへ書き込むことを特徴とする、付記４に記載されたディスク復旧方法。
【符号の説明】
【００４８】
１０…アプライアンスサーバ
１１…ＣＰＵ
１２…チップセット
１３…ＲＡＭ（メモリ）
１４…ＢＩＯＳ−ＲＯＭ
１５…電源供給部
１６…ＨＤＤ（ハードディスク）
１７…入出力デバイス
１８…通信インタフェース
２０…制御装置
３０…認証クライアント
３１…ＣＰＵ
３２…チップセット
３３…ＲＡＭ
３４…ＢＩＯＳ−ＲＯＭ
３５…電源供給部
３６…ＨＤＤ
３７…入出力デバイス
３８…通信インタフェース
３９…表示装置
４０…ネットワーク中継器
【技術分野】
【０００１】
本発明は、情報処理装置において、例えばハードディスクを交換した場合のディスク内のデータ復旧（ディスク復旧）技術に関する。
【背景技術】
【０００２】
ハードディスクなどのストレージを備えた情報処理装置においては、例えばハードディスクが故障したときには、リカバリディスクを用いてイメージファイルを交換後のハードディスクへ展開して、ハードディスクの復旧が行われる。リカバリディスクは、例えば、光ディスクなどの可搬型媒体である。このとき、情報処理装置に表示装置や入力装置が接続されている場合、上記データ復旧作業が比較的容易に行われ、それが安全に行われる。一方、情報処理装置に表示装置や入力装置が接続されていない場合には、リカバリディスクを情報処理装置に挿入したときに、ユーザは、そのリカバリディスクがその情報処理装置向けのものかどうかについての情報を、表示装置を通して視認できない。そのため、適切でないイメージファイルがハードディスクへ書き込まれてしまう可能性がある。つまり、情報処理装置に表示装置や入力装置が接続されている場合には、そうでない場合と比較してより安全にデータ復旧が行われる可能性が高い。
一方、ネットワークを介して遠隔的に情報処理装置のハードディスクのディスク復旧を行う方法も知られている。
【０００３】
例えば、クライアント／サーバシステムにおけるクライアント側のハードディスク交換後にクライアントの環境を復旧するための方法として、以下の方法が知られている。すなわち、この先行技術によれば、クライアントは先ず、交換後のハードディスクのシリアルナンバーをサーバに送信する。サーバは、取得したシリアルナンバーを予め格納されている交換前のハードディスクのシリアルナンバーと比較することで、クライアントにおけるハードディスクの交換有無を判定する。ハードディスクの交換有と判定するとサーバは、選択したバックアップ内容をクライアントに転送する。その後、クライアントはハードディスクからの起動を行ってクライアントの環境を復旧する。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特開２００２−２２２１０６号公報
【発明の概要】
【発明が解決しようとする課題】
【０００５】
しかしながら、上述した従来の情報処理装置のディスク復旧方法では、クライアント（情報処理装置）の管理者の判断次第で同一のバックアップ内容（イメージファイルに相当）が何度でも書き込み可能である（つまり、不正コピーが可能になっている）という点で好ましくない。特に、情報処理装置がセキュリティアプライアンス等、表示装置や入力装置が接続されておらず、かつ、高度の信頼性を要する装置である場合には、遠隔的かつ安全にハードディスクの復旧作業が行われることが求められる。
【０００６】
よって、本発明の１つの側面では、情報処理装置のディスクを復旧させる場合に、遠隔的に、かつ、より安全に行うことができるようにした情報処理装置、復旧装置、ディスク復旧方法を提供することを目的とする。
【課題を解決するための手段】
【０００７】
第１の観点は、データを記憶するディスクを備え、復旧装置による遠隔的なディスク復旧の対象となる情報処理装置である。
この情報処理装置は、
復旧装置との間でネットワークを介して送受信を行う送受信部と、
前記復旧装置から第１認証鍵に基づく認証の要求を受けた場合に、当該第１認証鍵と、自装置内で保持する第２認証鍵とが一致するか否かに基づいて認証処理を行う認証処理部と、
前記認証処理部による認証が成功した場合にはイメージファイルを前記ディスクへ書き込み、書き込みが正常に完了すると前記送受信部を介して所定の完了メッセージを前記復旧装置宛に通知する書き込み制御部と、
を備える。
【０００８】
第２の観点は、遠隔的に情報処理装置のディスク復旧を行う復旧装置である。
この復旧装置は、
前記情報処理装置および鍵供給装置との間でネットワークを介して送受信を行う送受信部と、
前記鍵供給装置から前記送受信部を介して第１認証鍵を取得する認証鍵取得部と、
前記送受信部を介して、前記情報処理装置に前記第１認証鍵に基づく認証の要求を行い、当該認証が成功したか否かの通知を前記情報処理装置から受け、前記情報処理装置におけるディスクへのイメージファイルの書き込み完了を示す完了メッセージを受けた場合に前記第１認証鍵を削除する認証処理部と、
を備える。
【０００９】
第３の観点は、情報処理装置のディスク復旧を復旧装置によって行うディスク復旧方法である。
このディスク復旧方法において、
前記復旧装置は、ネットワークを介して鍵供給装置から第１認証鍵を取得し、
前記情報処理装置は、ネットワークを介して前記復旧装置から前記第１認証鍵に基づく認証の要求を受けると、該第１認証鍵と、自装置内で保持する第２認証鍵とが一致するか否かに基づいて認証処理を行い、
前記情報処理装置は、前記認証が成功した場合にはイメージファイルを自装置内のディスクへ書き込み、書き込みが正常に完了すると完了メッセージを前記復旧装置宛に通知し、
前記復旧装置は、前記完了メッセージを受けると前記第１認証鍵を削除する。
【発明の効果】
【００１０】
開示の情報処理装置、復旧装置、ディスク復旧方法によれば、情報処理装置のディスクを復旧させる場合に、遠隔的に、かつ、より安全に行うことができるようになる。
【図面の簡単な説明】
【００１１】
【図１】実施形態におけるシステム構成を示す図。
【図２】実施形態のアプライアンスサーバの構成を示すブロック図。
【図３】実施形態の認証クライアントの構成を示すブロック図。
【図４】実施形態のディスク復旧の準備の概要を説明するための図。
【図５】実施形態の認証クライアントにおける表示例を示す図。
【図６】実施形態のアプライアンスサーバの復旧処理を示すフローチャート。
【図７】実施形態の認証クライアントにおける表示例を示す図。
【発明を実施するための形態】
【００１２】
（１）システム構成
先ず、実施形態のシステムについて図１を参照して説明する。図１は、実施形態におけるシステム構成を示す図である。このシステムは、アプライアンスサーバ１０と、制御装置２０と、認証クライアント３０、ネットワーク中継器４０とを含む。
アプライアンスサーバ１０は、ネットワーク上に配置されて特定の用途のための処理を行う装置である。アプライアンスサーバ１０は、特に限定するものではないが、例えば、ウェブサーバ、キャッシュサーバ、電子メールサーバ、ファイアウォールサーバ、ロードバランサなどである。制御装置２０は、ネットワーク中継器４０を介してアプライアンスサーバ１０と通信可能である。アプライアンスサーバ１０の管理者等は、制御装置２０を使用してネットワーク経由でアプライアンスサーバ１０にアクセスし、アプライアンスサーバ１０の環境設定、状態監視を行うとともにアプライアンスサーバ１０からログを取得できるようになっている。
【００１３】
本実施形態において、アプライアンスサーバ１０は、認証クライアント３０によって遠隔的にハードディスクのデータ復旧を行う対象となる。アプライアンスサーバ１０は、情報処理装置の一例である。認証クライアント３０は、復旧装置の一例である。
アプライアンスサーバ１０は、表示装置や入力装置が接続されていない状態でネットワーク上で運用がなされ、かつ、高度の信頼性を要する用途に使用されうる。そこで、本実施形態のシステムは、アプライアンスサーバ１０内のＨＤＤ(Hard Disk Drive)が故障してディスク交換の必要が生じたときに、認証クライアント３０がネットワークを介して遠隔的、かつ安全にハードディスクのデータ復旧（以下、適宜「ディスク復旧」と表記する。）を行うために構成されている。
【００１４】
（２）アプライアンスサーバ１０の構成
図２は、実施形態のアプライアンスサーバ１０構成を示すブロック図である。
図２に示すように、アプライアンスサーバ１０は、ＣＰＵ(Central Processing Unit)１１、チップセット１２、ＲＡＭ(Random Access Memory)１３、ＢＩＯＳ−ＲＯＭ１４、電源供給部１５、ＨＤＤ１６、入出力デバイス１７、および、通信インタフェース１８を含む。チップセット１２は、アプライアンスサーバ１０内の各部とデータバスおよび制御バスによって接続されている。
なお、ＨＤＤ１６はディスクの一例である。ＣＰＵ１１は、認証処理部および書き込み制御部の一例である。通信インタフェース１８は、送受信部の一例である。
【００１５】
ＣＰＵ１１は、アプライアンスサーバ１０の用途に応じて設けられる各種のプログラムを実行する。また、ディスク復旧時にＣＰＵ１１は、入出力デバイス１７に含まれる光ディスクドライブにセットされたリカバリディスク（後述する）からプログラムあるいはファイルを読み出し、そのプログラムの実行あるいはデータ処理を行う。
ＲＡＭ１３は、ＣＰＵ１１のメインメモリである。ＲＡＭ１３は、ＣＰＵ１１が実行するプログラムやＣＰＵ１１が参照するデータを一時的に格納するための揮発性記憶装置である。リカバリディスク内のイメージファイルは、ディスク復旧処理時にＲＡＭ１３に展開される。
チップセット１２は、ＣＰＵ１１と他の各部とのインタフェースのための制御回路、各部を制御するためのレジスタを含む。チップセット１２は、例えば汎用インタフェースであるＧＰＩ(General Purpose Interface)に対応してよい。
ＢＩＯＳ−ＲＯＭ１４は、ＢＩＯＳ（Basic Input/Output System）を記憶する。ＢＩＯＳは、ハードウエアとの基本的な入出力処理を行うための基本入出力システム（プログラム）である。
電源供給部１５は、アプライアンスサーバ１０の各部への電源を供給する。電源供給部１５は、アプライアンスサーバ１０の状態（例えばスリープモード等）に応じて給電を制限することがあってよい。
ＨＤＤ１６（以下、適宜「ハードディスク」という。）は不揮発性記憶装置であり、オペレーティングシステム（ＯＳ）やＯＳ上で実行されるプログラムを記憶する。
【００１６】
（３）認証クライアント３０の構成
図３は、実施形態の認証クライアント３０構成を示すブロック図である。
図３に示すように、認証クライアント３０は、ＣＰＵ(Central Processing Unit)３１、チップセット３２、ＲＡＭ(Random Access Memory)３３、ＢＩＯＳ−ＲＯＭ３４、電源供給部３５、ＨＤＤ(Hard Disk Drive)３６、入出力デバイス３７、通信インタフェース３８、および、表示装置３９を含む。チップセット３２は、認証クライアント３０内の各部とデータバスおよび制御バスによって接続されている。例えば、認証クライアント３０は、汎用のパーソナルコンピュータであってよい。
なお、ＣＰＵ３１は、認証鍵取得部および認証処理部の一例である。通信インタフェース３８は、送受信部の一例である。
【００１７】
ＣＰＵ３１は、アプライアンスサーバ１０のディスク復旧の準備、および、ディスク復旧に当たって、認証プログラムを実行する。この認証プログラムを実行してアプライアンスサーバ１０のディスク復旧を行うために、ＣＰＵ３１は、後述するリカバリ認証キーを通信インタフェース３８経由で取得する。ＣＰＵ３１は、後述するリカバリライセンス販売者のウェブサービスを受けるために、ウェブサーバから送信されるＨＴＭＬ(HyperText Markup Language)データを解釈して表示装置３９に表示させるためのウェブブラウザを実行する。
ＲＡＭ３３は、ＣＰＵ３１のメインメモリである。ＲＡＭ１３は、ＣＰＵ３１が実行するプログラムやＣＰＵ３１が参照するデータを一時的に格納するための揮発性記憶装置である。
チップセット３２は、ＣＰＵ３１と他の各部とのインタフェースのための制御回路、各部を制御するためのレジスタを含む。チップセット３２は、例えば汎用インタフェースであるＧＰＩに対応してよい。
ＢＩＯＳ−ＲＯＭ３４は、ＢＩＯＳ（Basic Input/Output System）を記憶する。ＢＩＯＳは、ハードウエアとの基本的な入出力処理を行うための基本入出力システム（プログラム）である。
電源供給部３５は、認証クライアント３０の各部への電源を供給する。電源供給部３５は、認証クライアント３０の状態（例えばスリープモード等）に応じて給電を制限することがあってよい。
ＨＤＤ３６は不揮発性記憶装置であり、オペレーティングシステム（ＯＳ）やＯＳ上で実行されるプログラムを記憶する。
【００１８】
通信インタフェース３８は、インターネットあるいはＬＡＮ(Local Area Network)を介して、アプライアンスサーバ１０および後述するリカバリ許可サーバと通信を行うためのインタフェース回路を含む。通信インタフェース３８は、各サーバと通信可能であればよく、その通信プロトコルは問わない。
表示装置３９は、例えば、マトリクス状に画素単位で配置された薄膜トランジスタを含むＬＣＤ(Liquid Cristal Display)モニタと、その薄膜トランジスタを駆動するための駆動回路とを含み、ＣＰＵ３１から与えられる画像データをモニタ上に表示する。
【００１９】
（４）本実施形態のディスク復旧方法
次に、本実施形態のディスク復旧方法について、図４〜図７を参照して説明する。
【００２０】
（４−１）復旧環境の準備
本実施形態のディスク復旧方法において、先ず、認証クライアント３０による復旧環境の準備が行われる。この復旧環境の準備は、認証クライアント３０が、アプライアンスサーバ１０のハードディスクのデータ復旧を行うのに必要となるリカバリ認証キーを予め取得することを含む。なお、このリカバリ認証キーは、第１認証鍵の一例である。
図４は、本実施形態のディスク復旧方法において復旧環境の準備を説明するための図である。図４は、認証クライアント３０が予め、外部のリカバリライセンスの販売者からリカバリ認証キーを取得する（つまり、リカバリライセンスを購入する）場合の手順を示す。なお、リカバリ認証キーは、アプライアンスサーバ１０のディスク復旧を行うときに、ディスク復旧の対象となるアプライアンスサーバ１０以外の装置に誤って使用されてしまうことを防止するために、ディスク復旧の対象となるアプライアンスサーバ１０に固有の鍵情報となっている。そのような固有の鍵情報は例えば、ディスク復旧の対象となるアプライアンスサーバ１０の固有のハードウエア情報を基に生成される。
なお、図４において、リカバリ許可サーバは、鍵供給装置の一例である。
【００２１】
図４（ａ）において先ず、認証クライアント３０を操作する管理者（リカバリライセンスの購入者）は、リカバリライセンスの販売者が運営するウェブサイト（WEBサイト）にアクセスし、所定の手続を行ってリカバリライセンス情報を購入する（ステップＳ１）。つまり、認証クライアント３０は、リカバリライセンス情報を受信して取得する。このリカバリライセンス情報には、リカバリライセンスの販売者が運用するリカバリ許可サーバのネットワークアドレス、アクセスアカウント、ワンタイムパスワードが含まれている。
次に認証クライアント３０は、リカバリライセンス情報に含まれている上記情報を元に、リカバリ許可サーバに対して認証要求を行う（ステップＳ２）。リカバリ許可サーバは、認証クライアント３０から送信されたアクセスアカウント、ワンタイムパスワードを、自サーバで保持する情報と照合することにより認証処理を行う。その結果、認証が成功すると、リカバリ許可サーバは、認証クライアント３０に対して、認証成功通知メッセージと、リカバリ認証キーとを送信する（ステップＳ３）。
【００２２】
なお、上記ステップＳ２およびＳ３の手続きは逐次、例えば図５に表示例を示すように、認証クライアント３０の表示装置３９で表示されるようにすることが好ましい。この場合、ＣＰＵ３１は、リカバリ許可サーバとの間でなされる通信のログを一時的に格納しておき、逐次表示装置３９に表示させる。これにより、認証クライアント３０の管理者が認証手続の進捗状況を視覚的に確認できる。
【００２３】
最後に認証クライアント３０は、取得したリカバリ認証キーを認証プログラムに設定する（ステップＳ４）。このステップＳ４が完了した時点で、図４（ｂ）に示すように、認証クライアント３０は、ネットワーク中継器４０を介してネットワークに接続することで（ステップＳ５）、アプライアンスサーバ１０のディスク復旧を実行できる環境となる。
【００２４】
（４−２）ディスク復旧の実行
本実施形態のディスク復旧方法では次に、アプライアンスサーバ１０と認証クライアント３０の間でディスク復旧を実行するが、このとき、アプライアンスサーバ１０に対してリカバリディスクを使用する。リカバリディスクはＣＤ(Compact Disc)あるいはＤＶＤ(Digital Versatile Disc)等、アプライアンスサーバ１０に搭載される光ディスクドライブが読み取り可能な記録媒体であればその形態は問わない。このリカバリディスクには、以下に示す（ａ）〜（ｈ）のプログラムおよびファイルが含まれる。
【００２５】
（ａ）起動プログラム：
起動プログラムは、ブートローダやカーネルの起動、各種ドライバ、ライブラリの組み込み、ネットワークのインタフェース設定、光ディスクドライブのマウントなどを実行する。
（ｂ）認証プログラム：
認証プログラムは、認証クライアント３０からの認証要求を処理し、ディスク復旧の開始を行うプログラムである。このプログラムは、ディスク復旧の開始／終了の成功／失敗の認証結果を認証クライアント３０へ返し、失敗の場合、失敗時のコードも合わせて返す。
（ｃ）イメージ復号プログラム：
イメージ復号プログラムは、暗号化された圧縮イメージファイルをＲＡＭ１３（メモリ）へ展開させるためのプログラムである。
（ｄ）イメージ展開プログラム：
イメージ展開プログラムは、ＲＡＭ１３（メモリ）に展開された圧縮イメージファイルをアプライアンスサーバ１０のハードディスクへ展開させるためのプログラムである。
（ｅ）イメージ整合性チェックファイル：
イメージ整合性チェックファイルには、チェックサム値が含まれている。
（ｆ）イメージ整合性チェックプログラム
イメージ整合性チェックプログラムは、アプライアンスサーバ１０のハードディスクへのイメージファイルの展開が正常に実行できたかをチェックするためのプログラムである。
（ｇ）終了プログラム：
終了プログラムは、認証プログラムにリカバリ完了メッセージを送信させ、認証プログラムを終了させ、アプライアンスサーバ１０のシャットダウンを実行するプログラムである。
（ｈ）イメージファイル：
イメージファイルは、ディスクイメージファイルが例えばlzopやgzipなどの所定の方式で圧縮され、かつ３ＤＥＳ(Triple DES(Data Encryption Standard))あるいはＡＥＳ(Advanced Encryption Standard)などの共通鍵暗号方式で暗号化されたファイルである。
【００２６】
以下、図６を参照してアプライアンスサーバ１０のディスク復旧の実行処理について説明する。図６は、アプライアンスサーバ１０のディスク復旧の実行処理において、アプライアンスサーバ１０と認証クライアント３０で行われる処理を示すフロー図である。なお、以下の処理において、認証クライアント３０で行われる処理は、認証クライアント３０のＣＰＵ３１が認証プログラムを実行することで行われる処理である。
【００２７】
先ず、アプライアンスサーバ１０に対してリカバリディスクを挿入することにより（ステップＳ１０のＹＥＳ）、アプライアンスサーバ１０のディスク復旧が開始される。なお、この時点では、認証クライアント３０において認証プログラムが起動した状態としておく（ステップＳ２０）。リカバリディスクが挿入されると、アプライアンスサーバ１０のＣＰＵ１１は、リカバリディスクに含まれる起動プログラムを読み出して実行する（ステップＳ３０）。この起動プログラムが実行されると、ＣＰＵ１１は以下の処理を行う。
【００２８】
［起動プログラムによるＣＰＵ１１の処理］
・ＣＰＵ１１は、ブートローダやカーネルの起動、各種ドライバ、ライブラリの組み込み、ネットワークのインタフェース設定、光ディスクドライブのマウントなどを実行する。
・ＣＰＵ１１は、アプライアンスサーバ１０のハードウエア固有の情報(ベンダー情報、ＢＩＯＳ版数、ＣＰＵタイプ、メモリ容量、ディスクサイズなど)を取得し、自サーバがリカバリ対象のサーバであるか確認する。起動プログラムには上記ハードウエア固有の情報が含まれており、ＣＰＵ１１は、このプログラム上のデータと、自サーバから読み出したデータとが一致するか否かをチェックする。そしてＣＰＵ１１は、そのチェック結果に基づく確認結果コードを確認結果ファイルへ書き込む。
・ＣＰＵ１１は、ＵＳＢ(Universal Serial Bus)などの外部インタフェースが使用不可であるか否か確認する。通常ＢＩＯＳの設定で外部インタフェースが使用不可となっているが、仮に使用可の状態であるとするとセキュリティ上好ましくないためである。そしてＣＰＵ１１は、その確認結果に基づく確認結果コードを確認結果ファイルへ書き込む。
・ＣＰＵ１１は、ハードディスクのマスタブートレコードの内容をチェックし、既にディスク復旧がなされたか否かをチェックする。そしてＣＰＵ１１は、そのチェック結果に基づく確認結果コードを確認結果ファイルへ書き込む。
・ＣＰＵ１１は、ネットワークインターフェースを起動し、ＤＨＣＰ(Dynamic Host Configuration Protocol)クライアント機能によってネットワークアドレスを取得する。ＤＨＣＰクライアント機能でネットワークアドレスが取得できない場合には、ＣＰＵ１１は、リカバリディスク内に格納されている固定のネットワークアドレスを取得してもよい。
【００２９】
次に、アプライアンスサーバ１０のＣＰＵ１１は、ディスク復旧処理にて利用する各種プログラム（認証プログラム、イメージ復号プログラム、イメージ展開プログラム、イメージ整合性チェックプログラムおよび終了プログラム）をリカバリディスクから読み出してＲＡＭ１３にロードし、それらを起動し（ステップＳ４０）、認証待ちの状態（つまり、認証クライアント３０からの認証要求を待機する状態）となる。このとき、認証待ちの状態になったことをＬＥＤ(Light Emitting Device)による発光、あるいはビープ音の生成などにより、視覚的あるいは聴覚的に、周囲（例えば、ディスク復旧の作業者あるいはサーバ等の管理者）に報知するように設定しておくことが好ましい。
この後、認証クライアント３０は、認証プログラムの実行に伴ってアプライアンスサーバ１０に対して認証要求を行う（ステップＳ５０）。認証クライアント３０は、この認証要求を、リカバリ許可サーバから予め取得したリカバリ認証キーを含むようにして行う。この認証要求が行われた後のアプライアンスサーバ１０のＣＰＵ１１における処理は以下のとおりである。
【００３０】
［認証プログラムによるＣＰＵ１１の処理］
・ＣＰＵ１１は、アプライアンスサーバ１０のハードウエア固有の情報を元に認証キーを生成する。なお、この生成される認証キーは、第２認証鍵の一例である。認証要求において認証クライアント３０から受信するリカバリ認証キーは、ハードウエア固有の情報を元に作成されたものであるが、本処理における認証キーの作成手順（ハードウエア固有の情報を元にキーを作成するときの演算式など）はそれと同一とする。すると、受信したリカバリ認証キーと、ＣＰＵ１１が生成した認証キーとは一致するはずであるから、この一致／不一致に基づいて認証処理を行うことができる。ＣＰＵ１１は、その認証結果に応じたコードを確認結果ファイルへ書き込む。
・ＣＰＵ１１は、これまで書き込まれた確認結果ファイルの内容をチェックして、チェック結果がＮＧ（エラー）となるコードが書き込まれていれば、その確認結果ファイルを認証クライアント３０へ送信してディスク復旧の処理を中断する。チェック結果がＮＧ（エラー）の場合とは、以下の（Ｅ１）〜（Ｅ３）のいずれかの場合である。
【００３１】
（Ｅ１）認証キーが一致しない場合（ハードウエア固有の情報に基づく認証キーが一致しないことから、アプライアンスサーバ１０が適切なリカバリ対象でないと考えられる。）
（Ｅ２）ＵＳＢ等の外部インタフェースが使用可能状態である場合（セキュリティ上問題であるため、ディスク復旧を続行させない。）
（Ｅ３）認証クライアント３０から受信したリカバリ認証キーが適切なデータでない場合
【００３２】
アプライアンスサーバ１０のＣＰＵ１１は、認証が成功すると、その認証成功とリカバリ開始の通知を認証クライアント３０に対して行う（ステップＳ６０）。なお、認証クライアント３０のＣＰＵ３１は、アプライアンスサーバ１０から受信した確認結果コードをチェックして、既にディスク復旧がなされたことが判明した場合には、その旨を表示装置３９に表示し、ディスク復旧を継続するか否かの意思確認を管理者に促すように設定してもよい。処理を続行することを示す操作入力があった場合には、認証クライアント３０は、アプライアンスサーバ１０へディスク復旧の処理を継続する処理継続要求を行ってもよい。そしてアプライアンスサーバ１０は、処理継続要求を受けた場合には、中断していた処理を続行する。
【００３３】
次に、アプライアンスサーバ１０のＣＰＵ１１は、イメージ復号プログラムにより以下の処理を実行する（ステップＳ７０）。
【００３４】
［イメージ復号プログラムによるＣＰＵ１１の処理］
・ＣＰＵ１１は、リカバリディスク内にある暗号化されたイメージファイルをＲＡＭ１３（メモリ）に展開（すなわち、復号化）する（ステップＳ８０）。この時の復号キーは、アプライアンスサーバ１０のハードウエア固有の情報を元に算出するハッシュ値、あるいはアプライアンスサーバ１０のハードウエア固有の情報を元に既に算出し保持している認証キー（リカバリ認証キーと同じキー）とする。また、イメージファイルの暗号化方式は問わないが、例えば３ＤＥＳあるいはＡＥＳなどの共通鍵暗号方式で暗号化されている。したがって、リカバリディスク内にあるイメージファイルは、リカバリ対象となる固有のアプライアンスサーバのみが復号でき、他の装置は復号できないようになっている。
・ＣＰＵ１１は、リカバリディスク内にある暗号化されたイメージ整合性チェックファイルを、上記復号キーにより復号化し、イメージ整合性チェックファイル内に格納されたイメージファイルのチェックサム値を抽出する（ステップＳ９０）。
【００３５】
次に、アプライアンスサーバ１０のＣＰＵ１１は、イメージ展開プログラムにより、ＲＡＭ１３（メモリ）にある圧縮イメージファイルをハードディスクに展開（すなわち、伸長）する（ステップＳ１００）。その後、ＣＰＵ１１は、イメージ整合性チェックプログラムを実行してハードディスクへのイメージファイルの展開が正常に実行できたかをチェックする。このチェックは、ハードディスクのチェックサム値を算出し、このチェックサム値と、ステップＳ９０で得られたイメージ整合性チェックファイル内のチェックサム値とが一致するか否かに基づいて行われる、ハードディスク内のデータの検証処理である（ステップＳ１１０）。この検証処理は、イメージファイルに改竄がないか、あるいは、ハードディスクへの展開動作が正常であったかをチェックする目的で行われる。
【００３６】
次に、アプライアンスサーバ１０のＣＰＵ１１は、終了プログラムを実行する（ステップＳ１２０）。ハードディスクのデータの検証処理の結果、ハードディスク内のデータが問題ないと判定した場合には、この終了プログラムの実行により、アプライアンスサーバ１０からリカバリ完了メッセージが認証クライアント３０へ送信されるとともに（ステップＳ１３０）、アプライアンスサーバ１０がシャットダウンされる。
認証クライアント３０において、リカバリ完了メッセージを受信すると、ＣＰＵ３１がリカバリ認証キーを削除する（ステップＳ１４０）。このリカバリ認証キーの削除によって、認証クライアント３０の管理者によって何度もディスク復旧を行うといった、ライセンスに反した不正コピーが防止される。
【００３７】
なお、図６に示した手続きは逐次、例えば図７に例示するように、認証クライアント３０の表示装置３９で表示されるようにすることが好ましい。この場合、ＣＰＵ３１は、アプライアンスサーバ１０との間でなされる通信のログを一時的に格納しておき、逐次表示装置３９に表示させる。これにより、認証クライアント３０の管理者がディスク復旧手続の進捗状況を視覚的に確認できる。
【００３８】
以上説明したように、本実施形態のディスク復旧方法によれば、認証クライアント３０は、ネットワークを介してリカバリライセンスの販売者が運用するリカバリ許可サーバからリカバリ認証キーを取得する。アプライアンスサーバ１０は、認証クライアント３０からリカバリ認証キーに基づく認証の要求を受けると、リカバリ認証キーと、自装置内で保持あるいは生成する認証キーとが一致するか否かに基づいて認証処理を行い、認証が成功した場合にはイメージファイルを自装置内のディスクへ書き込む。認証クライアント３０は、書き込みが正常に完了したことを示す完了メッセージを受けるとリカバリ認証キーを削除する。このとき、リカバリ認証キーと、アプライアンスサーバ１０で保持あるいは生成される認証キーとは共に、アプライアンスサーバ１０のハードウエア固有の情報に基づいた認証キーであり、この認証キーに基づいて認証処理を行うため、リカバリ対象でない別のサーバに誤ってイメージファイルを書き込むことが防止される。また、アプライアンスサーバ１０が取得したリカバリ認証キーは、ディスク復旧処理が完了すると削除されるため、このリカバリ認証キーを別のサーバに使用するイメージファイルの不正コピーが防止される。そのため、本実施形態のディスク復旧方法によって、アプライアンスサーバ１０に対する遠隔的なディスク復旧が安全に行われる。
【００３９】
このディスク復旧方法によれば、認証クライアント３０による認証要求を契機としてイメージファイルのアプライアンスサーバ１０へのハードディスクへの書き込みが行われ、その書き込み完了を示す完了メッセージが認証クライアント３０へ通知される。そのため、アプライアンスサーバ１０に表示装置や入力装置が接続されていない場合であっても、遠隔的に書き込みの実行がされたか否か確認できる。
【００４０】
また、リカバリディスクに格納されるイメージファイルは、アプライアンスサーバ１０のハードウエア固有の情報を元に作成される暗号キーで予め暗号化しておき、メモリへ展開するときに、共通鍵の復号キーで復号することが好ましい。これにより、ハードウエア固有の情報が正しくなければイメージファイルはメモリに展開されないことになり、さらに安全性が向上する。
【００４１】
以上、本発明の実施形態について詳細に説明したが、本発明の情報処理装置、復旧装置、ディスク復旧方法は上記実施形態に限定されず、本発明の主旨を逸脱しない範囲において、種々の改良や変更をしてもよいのは勿論である。例えば、図１に示したシステムにおいて、上記実施形態では、認証クライアント３０がアプライアンスサーバ１０のディスク復旧を行う場合について説明したが、通常時にアプライアンスサーバ１０の運用を行っている制御装置２０がアプライアンスサーバ１０のディスク復旧を行ってもよい。
【００４２】
以上の各実施形態に関し、さらに以下の付記を開示する。
【００４３】
（付記１）
情報処理装置であって、
データを記憶するディスクと、
復旧装置との間でネットワークを介して送受信を行う送受信部と、
前記復旧装置から第１認証鍵に基づく認証の要求を受けた場合に、当該第１認証鍵と、自装置内で保持する第２認証鍵とが一致するか否かに基づいて認証処理を行う認証処理部と、
前記認証処理部による認証が成功した場合にはイメージファイルを前記ディスクへ書き込み、書き込みが正常に完了すると前記送受信部を介して所定の完了メッセージを前記復旧装置宛に通知する書き込み制御部と、
を備えた情報処理装置。
【００４４】
（付記２）
前記書き込み制御部は、自装置のハードウエア固有の情報を元に復号鍵を生成し、暗号化された前記イメージファイルを前記復号鍵で復号した後に前記ディスクへ書き込むことを特徴とする、付記１に記載された情報処理装置。
【００４５】
（付記３）
遠隔的に情報処理装置のディスク復旧を行う復旧装置であって、
前記情報処理装置および鍵供給装置との間でネットワークを介して送受信を行う送受信部と、
前記鍵供給装置から前記送受信部を介して第１認証鍵を取得する認証鍵取得部と、
前記送受信部を介して、前記情報処理装置に前記第１認証鍵に基づく認証の要求を行い、当該認証が成功したか否かの通知を前記情報処理装置から受け、前記情報処理装置におけるディスクへのイメージファイルの書き込み完了を示す完了メッセージを受けた場合に前記第１認証鍵を削除する認証処理部と、
を備えた復旧装置。
【００４６】
（付記４）
情報処理装置のディスク復旧を復旧装置によって行うディスク復旧方法であって、
前記復旧装置は、ネットワークを介して鍵供給装置から第１認証鍵を取得し、
前記情報処理装置は、ネットワークを介して前記復旧装置から前記第１認証鍵に基づく認証の要求を受けると、該第１認証鍵と、自装置内で保持する第２認証鍵とが一致するか否かに基づいて認証処理を行い、
前記情報処理装置は、前記認証が成功した場合にはイメージファイルを自装置内のディスクへ書き込み、書き込みが正常に完了すると完了メッセージを前記復旧装置宛に通知し、
前記復旧装置は、前記完了メッセージを受けると前記第１認証鍵を削除する、
ことを含むディスク復旧方法。
【００４７】
（付記５）
前記情報処理装置は、自装置のハードウエア固有の情報を元に復号鍵を生成し、暗号化された前記イメージファイルを前記復号鍵で復号した後に前記ディスクへ書き込むことを特徴とする、付記４に記載されたディスク復旧方法。
【符号の説明】
【００４８】
１０…アプライアンスサーバ
１１…ＣＰＵ
１２…チップセット
１３…ＲＡＭ（メモリ）
１４…ＢＩＯＳ−ＲＯＭ
１５…電源供給部
１６…ＨＤＤ（ハードディスク）
１７…入出力デバイス
１８…通信インタフェース
２０…制御装置
３０…認証クライアント
３１…ＣＰＵ
３２…チップセット
３３…ＲＡＭ
３４…ＢＩＯＳ−ＲＯＭ
３５…電源供給部
３６…ＨＤＤ
３７…入出力デバイス
３８…通信インタフェース
３９…表示装置
４０…ネットワーク中継器
【特許請求の範囲】
【請求項１】
情報処理装置であって、
復旧装置との間でネットワークを介して送受信を行う送受信部と、
前記復旧装置から第１認証鍵に基づく認証の要求を受けた場合に、当該第１認証鍵と、自装置内で保持する第２認証鍵とが一致するか否かに基づいて認証処理を行う認証処理部と、
前記認証処理部による認証が成功した場合にはイメージファイルを前記ディスクへ書き込み、書き込みが正常に完了すると前記送受信部を介して所定の完了メッセージを前記復旧装置宛に通知する書き込み制御部と、
を備えた情報処理装置。
【請求項２】
前記書き込み制御部は、自装置のハードウエア固有の情報を元に復号鍵を生成し、暗号化された前記イメージファイルを前記復号鍵で復号した後に前記ディスクへ書き込むことを特徴とする、請求項１に記載された情報処理装置。
【請求項３】
遠隔的に情報処理装置のディスク復旧を行う復旧装置であって、
前記情報処理装置および鍵供給装置との間でネットワークを介して送受信を行う送受信部と、
前記鍵供給装置から前記送受信部を介して第１認証鍵を取得する認証鍵取得部と、
前記送受信部を介して、前記情報処理装置に前記第１認証鍵に基づく認証の要求を行い、当該認証が成功したか否かの通知を前記情報処理装置から受け、前記情報処理装置におけるディスクへのイメージファイルの書き込み完了を示す完了メッセージを受けた場合に前記第１認証鍵を削除する認証処理部と、
を備えた復旧装置。
【請求項４】
情報処理装置のディスク復旧を復旧装置によって行うディスク復旧方法であって、
前記復旧装置は、ネットワークを介して鍵供給装置から第１認証鍵を取得し、
前記情報処理装置は、ネットワークを介して前記復旧装置から前記第１認証鍵に基づく認証の要求を受けると、該第１認証鍵と、自装置内で保持する第２認証鍵とが一致するか否かに基づいて認証処理を行い、
前記情報処理装置は、前記認証が成功した場合にはイメージファイルを自装置内のディスクへ書き込み、書き込みが正常に完了すると完了メッセージを前記復旧装置宛に通知し、
前記復旧装置は、前記完了メッセージを受けると前記第１認証鍵を削除する、
ことを含むディスク復旧方法。
【請求項１】
情報処理装置であって、
復旧装置との間でネットワークを介して送受信を行う送受信部と、
前記復旧装置から第１認証鍵に基づく認証の要求を受けた場合に、当該第１認証鍵と、自装置内で保持する第２認証鍵とが一致するか否かに基づいて認証処理を行う認証処理部と、
前記認証処理部による認証が成功した場合にはイメージファイルを前記ディスクへ書き込み、書き込みが正常に完了すると前記送受信部を介して所定の完了メッセージを前記復旧装置宛に通知する書き込み制御部と、
を備えた情報処理装置。
【請求項２】
前記書き込み制御部は、自装置のハードウエア固有の情報を元に復号鍵を生成し、暗号化された前記イメージファイルを前記復号鍵で復号した後に前記ディスクへ書き込むことを特徴とする、請求項１に記載された情報処理装置。
【請求項３】
遠隔的に情報処理装置のディスク復旧を行う復旧装置であって、
前記情報処理装置および鍵供給装置との間でネットワークを介して送受信を行う送受信部と、
前記鍵供給装置から前記送受信部を介して第１認証鍵を取得する認証鍵取得部と、
前記送受信部を介して、前記情報処理装置に前記第１認証鍵に基づく認証の要求を行い、当該認証が成功したか否かの通知を前記情報処理装置から受け、前記情報処理装置におけるディスクへのイメージファイルの書き込み完了を示す完了メッセージを受けた場合に前記第１認証鍵を削除する認証処理部と、
を備えた復旧装置。
【請求項４】
情報処理装置のディスク復旧を復旧装置によって行うディスク復旧方法であって、
前記復旧装置は、ネットワークを介して鍵供給装置から第１認証鍵を取得し、
前記情報処理装置は、ネットワークを介して前記復旧装置から前記第１認証鍵に基づく認証の要求を受けると、該第１認証鍵と、自装置内で保持する第２認証鍵とが一致するか否かに基づいて認証処理を行い、
前記情報処理装置は、前記認証が成功した場合にはイメージファイルを自装置内のディスクへ書き込み、書き込みが正常に完了すると完了メッセージを前記復旧装置宛に通知し、
前記復旧装置は、前記完了メッセージを受けると前記第１認証鍵を削除する、
ことを含むディスク復旧方法。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【公開番号】特開２０１２−１９４７８８（Ｐ２０１２−１９４７８８Ａ）
【公開日】平成２４年１０月１１日（２０１２．１０．１１）
【国際特許分類】
【出願番号】特願２０１１−５８２９４（Ｐ２０１１−５８２９４）
【出願日】平成２３年３月１６日（２０１１．３．１６）
【出願人】（０００００５２２３）富士通株式会社 (25,993)
【Ｆターム（参考）】
【公開日】平成２４年１０月１１日（２０１２．１０．１１）
【国際特許分類】
【出願日】平成２３年３月１６日（２０１１．３．１６）
【出願人】（０００００５２２３）富士通株式会社 (25,993)
【Ｆターム（参考）】
[ Back to top ]