既存ファイルサーバへのアクセス可能なクライアントコンピュータを制限する方法及びシステム
【課題】 現実可能かつ容易な方法で、ファイルサーバへアクセス可能なクライアントコンピュータを制限する方法を実現する。
【解決手段】 既存ファイルサーバに接続し、この既存ファイルサーバが公開するフォルダ及びファイルを代行して公開する手段と、公開されたフォルダ及びファイルへアクセス可能なクライアントコンピュータを制限する手段とを備えた接続制限ファイルサーバを、クライアントコンピュータと既存ファイルサーバの間に配置し、接続制限ファイルサーバ経由で既存ファイルサーバへのアクセスを許可する構成とし、前記既存ファイルサーバにアクセス可能なクライアントコンピュータを前記接続制限ファイルサーバにより制限する方法。
【解決手段】 既存ファイルサーバに接続し、この既存ファイルサーバが公開するフォルダ及びファイルを代行して公開する手段と、公開されたフォルダ及びファイルへアクセス可能なクライアントコンピュータを制限する手段とを備えた接続制限ファイルサーバを、クライアントコンピュータと既存ファイルサーバの間に配置し、接続制限ファイルサーバ経由で既存ファイルサーバへのアクセスを許可する構成とし、前記既存ファイルサーバにアクセス可能なクライアントコンピュータを前記接続制限ファイルサーバにより制限する方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、既存のファイルサーバに対し、アクセス可能なクライアントコンピュータ（以下、ＰＣと略記）を制限する方法及びシステムに関するものである。
【背景技術】
【０００２】
従来のファイルサーバの保護で実現されている方法としては、暗号化によって保護する方法や検疫ネットワーク技術を利用した方法がある。
各種製品で実現されている暗号化によって保護する方法（非特許文献１）は、ファイルサーバ上のファイルを暗号化し、特定のアプリケーションが入ったマシン上でしか復号されないことにより、ファイルの内容を保護するものである。しかし、この方法では、特定のアプリケーションが実装されていないマシンでも、暗号化されたファイル自体にはアクセス可能であり、暗号化されたファイルを削除される危険性や、改ざんされる危険性がある。
【０００３】
一方、検疫ネットワーク技術（特許文献１）は、ファイルサーバを含む組織内ネットワークに、特定のアプリケーションやハードウェアが無いＰＣを接続させない技術である。これを用いれば、不正なＰＣからのファイル削除や改ざんの危険性はなくなるが、導入や管理コストが高く、ファイルサーバ保護のために導入することは現実的ではない。
また、ファイルサーバ機能を提供するアプリケーションやＯＳ（オペレーティングシステム）を改良する方法もある。例えば、ｓａｍｂａ（非特許文献２）はオープンソースであり、これらの改良を行うことは可能である。しかし、クローズドでプロプライエタリなアプリケーションやＯＳでは実現が困難である。また、既存のファイルサーバに適用したい場合には、様々なバージョンに個々に対応しなければならず、コストが高で実現困難である。
【０００４】
特許文献２では、新たにプロキシーサーバを用意し、特定のアプリケーションが入ったクライアントのみが行う認証が行われたアクセスは、プロキシーサーバ経由でファイルサーバにアクセスできるようにしている。この方法では、上記の問題は解決できる。
しかし、特許文献２では、クライアント上のアプリケーションで、ファイルサーバへのアクセスを全て確実にプロキシーサーバ経由に変更しなければならない。これは、特にクローズドでプロプライエタリなクライアントＯＳでは、完全に行うことは困難である。また、ファイルサーバへの通信を規定しているＣＩＦＳ／ＳＭＢプロトコルは複雑であり、一部の通信が届かない、もしくは誤った通信で拒否されてしまうと、クライアントＰＣの動作が不安定になってしまうリスクがある。さらに、アクセス拒否をプロキシーサーバが行うとしているが、先に述べたようにＣＩＦＳ／ＳＭＢプロトコルは複雑であり、適切なアクセス拒否の通信を実現することは困難である。このため、特許文献２の方法は現実的ではない。
【先行技術文献】
【非特許文献】
【０００５】
【非特許文献１】共有ファイル暗号化サーバソフトウェア http://www.mdis.co.jp/misty/angouserver/index.htm
【非特許文献２】What is Samba? http://usl.samba.org/samba/what_is_samba.html
【特許文献】
【０００６】
【特許文献１】特開２００８−２３４２５６
【特許文献２】特開２００９−４３０３３
【発明の概要】
【発明が解決しようとする課題】
【０００７】
本発明の目的は、現実可能かつ容易な方法で、ファイルサーバへアクセス可能なＰＣを制限することができる方法及びシステムを提供することである。
【課題を解決するための手段】
【０００８】
上記の目的を達成するため、本発明は、既存のファイルサーバに対してアクセス可能なクライアントコンピュータを制限する方法であって、
既存ファイルサーバに接続し、この既存ファイルサーバが公開するフォルダ及びファイルを代行して公開する手段と、公開されたフォルダ及びファイルへアクセス可能なクライアントコンピュータを制限する手段とを備えた接続制限ファイルサーバを、クライアントコンピュータと既存ファイルサーバの間に配置し、接続制限ファイルサーバ経由で既存ファイルサーバへのアクセスを許可する構成とし、前記既存ファイルサーバにアクセス可能なクライアントコンピュータを前記接続制限ファイルサーバにより制限する方法。
また、前記既存ファイルサーバのフォルダ及びファイルへのアクセスを制限する手段は、前記接続制限ファイルサーバへのアクセス要求をキャプチャし、そのアクセス要求内の特定の情報を一定期間内に前記接続制限ファイルサーバへ通知する手段からのアクセス要求のみを許可し、前記特定の情報を一定期間内に通知しないクライアントコンピュータからのアクセスは拒否するものであることを特徴とする。
【０００９】
また、クライアントコンピュータと既存ファイルサーバと、これらの間に配置された接続制限ファイルサーバとから構成され、既存のファイルサーバに対してアクセス可能なクライアントコンピュータを制限するシステムであって、
前記クライアントコンピュータが、
前記接続制限ファイルサーバへのアクセス要求をキャプチャし、そのアクセス要求内の特定の情報を一定期間内に前記接続制限ファイルサーバへ通知する通知手段を備え、
前記接続制限ファイルサーバが、
前記既存ファイルサーバが公開するフォルダ及びファイルを代行して公開する手段と、
前記通知手段から一定期間内に前記特定の情報を受信したクライアントコンピュータのアクセス要求に対してのみ前記既存ファイルサーバが公開するフォルダ及びファイルへのアクセスを許可し、前記特定の情報を一定期間内に通知しないクライアントコンピュータからのアクセスは拒否する手段を備えることを特徴とする。
【発明の効果】
【００１０】
本発明によれば、識別アプリケーションが実装されたＰＣであれば、当該ＰＣからのアクセス要求に対し、接続制限ファイルサーバが既存ファイルサーバの公開しているフォルダまたはファイルにアクセスし、その結果をクライアントに返す。一方、識別アプリケーションが実装されたＰＣからのアクセス要求に対しては、接続制限ファイルサーバがＣＩＦＳ／ＳＭＢプロトコルに従ったアクセス拒否を行う。
これにより、既存のファイルサーバに手を加えず、また、実現可能な容易な方法で、識別アプリケーションが実装されていないＰＣから、既存ファイルサーバ上のファイルへのアクセスを禁止することができる。
【図面の簡単な説明】
【００１１】
【図１】本発明の実施の形態を示すシステム構成図である。
【図２】要求登録ＤＢのテーブル構造を示す図である。
【図３】クライアントＰＣに実装された識別アプリケーションの動作を示すフローチャートである。
【図４】ＣＩＦＳ／ＳＭＢプロトコルに準拠したパケット構造を示す図である。
【図５】登録要求の具体的な内容を示す図である。
【図６】接続制限ファイルサーバの要求受信登録部の処理を示すフローチャートである。
【図７】接続制限ファイルサーバのファイルサーバアプリケーションの処理を示すフローチャートである。
【発明を実施するための最良の形態】
【００１２】
以下、本発明を実施する場合の一形態を、図面を参照して具体的に説明する。
図１は、本発明の実施形態を示すシステム構成図である。
本実施形態のシステムは、クライアントＰＣ１００と、既存ファイルサーバ群１２０と、接続制限ファイルサーバ１３０で構成され、これらはネットワーク１４０，１５０で結ばれている。
クライアントＰＣ１００には、接続制限ファイルサーバ１３０を通した既存ファイルサーバ群１２０へのアクセスを可能にするための識別アプリケーション１０１が実装されている。この識別アプリケーション１０１は、クライアントＰＣ１００から、接続制限ファイルサーバ１３０が公開しているフォルダへのアクセス要求のパケットをキャプチャし、後述の処理の中で、接続制限ファイルサーバ１３０への要求処理部１５０に、アクセス要求を送信するものである。
既存ファイルサーバ群１２０は、会社等の組織などで既に利用されているファイルサーバＡ１２１やＢ１２２である。
【００１３】
接続制限ファイルサーバ１３０は、マウント処理部１３１、ファイルシステム１４０、登録処理部１５０、ファイルサーバアプリケーション１６０で構成される。
マウント処理部１３１及びファイルシステム１４０は、既存の技術であり、既存ファイルサーバ群上のファイルサーバ１２１や１２２が公開しているフォルダを、ファイルシステム１４０上にマウントし、後述する接続制限ファイルサーバ１３１上のファイルサーバアプリケーション１６０から既存ファイルサーバ群１２０が公開しているフォルダ及びファイルに対するアクセスを可能にするものである。
接続制限ファイルサーバ１３１上のアプリケーションは、マウントポイント１４１及び１４２にアクセスすることで、既存ファイルサーバ群１２０のファイルサーバ１２１，１２２が公開しているフォルダにアクセスできる。
要求処理部１５０は、要求受信登録部１５１と要求登録ＤＢ１５２で構成される。
要求受信登録部は、クライアントＰＣ１００上の識別アプリケーション１０１が送信したアクセス要求の受信及び処理を行い、要求登録ＤＢ１５２に登録するものである。
【００１４】
図２は要求登録ＤＢ１５２のテーブル構造を示すものである。
要求登録ＤＢ１５２は、アクセス要求送信元のＩＰアドレス２０１、アクセス要求元のポート番号２０２、既存ファイルサーバへのアクセスのためのＳＭＢ／ＣＩＦＳプロトコル（Server Message Block/Common Internet File System）で利用されるＳＭＢヘッダの一部である、ＴＩＤ２０３、ＰＩＤ２０４、ＵＩＤ２０５、ＭＩＤ３０６で構成される。ＳＭＢヘッダに関しては後述する。
ファイルサーバアプリケーション１６０は、アクセス要求受信部１６１、アクセス返信部１６２とアクセス処理部１７０で構成される。
【００１５】
アクセス要求処理部１６１は、クライアントＰＣ１００からのファイルアクセス要求を受信するものである。
アクセス返信部１６２は、アクセス処理部１７０の結果をクライアントＰＣ１００に返信するものである。
アクセス処理部１７０は、アクセス要求処理部１６１で受けたアクセスを実際に処理し、その結果をアクセス返信部１６２に渡すものである。このアクセス処理部１７０は、アクセス要求認証部１７１を含んでいる。
アクセス要求認証部１７１は、実際のアクセスを行う前に、登録要求ＤＢ１５２を用いて、アクセスを行ってその結果を返すか、アクセスを拒否するかを判断するものである。
ここで、アクセス認証処理部１７１以外については、非特許文献２に挙げられるような従来の技術である。本発明の独自性があるのは、後述するアクセス認証処理部１７１の処理のみである。
また、先に述べたように、本発明ではクライアントＰＣ１００及びそのユーザは、既存ファイルサーバ群１２０へ直接アクセスするのではなく、接続制限ファイルサーバ１３０経由でアクセスする。この接続制限ファイルサーバ１３０経由でのアクセスは、接続制限ファイルサーバ１３０のファイルサーバアプリケーション１６０が、ファイルシステム１４０のマウントポイントのフォルダを公開することで実現する。
【００１６】
次に、各々の具体的な動作を説明する。
図３は、識別アプリケーション１０１の動作を示すフローチャートである。
本実施形態では、先に述べたようにクライアントＰＣ１００及びそのユーザは、接続制限ファイルサーバ１３０に公開されたファイルやフォルダのアクセス要求を行う。クライアントＰＣ１００上の識別アプリケーション１０１は、この要求を行っているパケットをキャプチャする（ステップ３０１）。
次に、識別アプリケーション１０１はキャプチャしたパケットを解析する（ステップ３０２）。ファイルやフォルダへのアクセス要求は、ＣＩＦＳ／ＳＭＢプロトコルに準拠している。キャプチャしたパケット構造は図４のように、Ｅｔｈｅｒｎｅｔヘッダ４０１、ＩＰヘッダ４０２、ＴＣＰヘッダ４０３、ＳＭＢヘッダ４０４、ＳＭＢデータ４０５で構成され、ＩＰヘッダ４０２には送信元ＩＰアドレス４０６が含まれ、ＴＣＰヘッダ４０３には送信元Ｐｏｒｔ番号４０７が含まれ、ＳＭＢヘッダ４０４にはＴＩＤ４０８、ＰＩＤ４０９、ＵＩＤ４１０、ＭＩＤ４１１が含まれているため、これらの情報が正しく取得できるように解析する。
次に、要求受信登録部１５１に渡す登録要求の情報を作成する（ステップ３０３）。
【００１７】
図５に、登録要求５００の情報を示す。登録要求５００は、図４のＩＰヘッダ４０２に含まれる送信元ＩＰアドレス４０６、ＴＣＰヘッダ４０３に含まれる送信元ポート番号４０７、ＳＭＢヘッダ４０４に含まれるＴＩＤ４０８、ＰＩＤ４０９、ＵＩＤ４１０、ＭＩＤ４１１から構成される。
ここで、ＳＭＢヘッダ４０４は、ＣＩＦＳ／ＳＭＢプロトコルのヘッダ情報であり、ＳＭＢデータ４０５は、アクセスしたいパスなどのデータである。ＴＩＤ４０８、ＰＩＤ４０９、ＵＩＤ４１０、ＭＩＤ４１１は、ＣＩＦＳ／ＳＭＢプロトコルにおける識別子である。既存技術のため詳細は省略するが、これらを組み合わせることで、アクセス要求を識別することが可能である。さらに、この登録要求５００の情報に、図５に含まれるほかの情報を加えても良い。その場合には、図２に示した要求登録ＤＢ１５２のテーブルを拡張する必要がある。
ステップ３０３で登録要求を作成した後、識別アプリケーション１０１は、その登録要求を接続制限ファイルサーバ１３０の要求処理部１５０に送信する（ステップ３０４）。
【００１８】
図６は、要求処理部１５０の要求受信登録部１５１の処理を示すフローチャートである。
要求受信登録部１５１は、まず識別アプリケーション１０１から登録要求を受信する（ステップ６０１）。
次に、その登録要求の解析処理を行う（ステップ６０２）。具体的には、登録要求内の図５に示された情報を取り出すための処理を行う。
次に、その解析結果を要求登録ＤＢ１５２へ登録する（ステップ６０３）。
この要求処理部１５０の処理により、クライアントＰＣ１００から接続制限ファイルサーバ１３０へのアクセス要求で送信されたパケットに含まれる情報のうち、図５に示されるような情報が、要求登録ＢＤ１５２に登録されることになる。
【００１９】
図７は、ファイルサーバアプリケーション１６０の処理を示すフローチャートである。
まず、アクセス要求受信部１６０でファイルサーバアプリケーション１６０が公開しているマウントポイントＡ１４１もしくはマウントポイントＢ１４２に対する、クライアントＰＣ１００からのアクセス要求を受信する（ステップ７０１）。
次に、アクセス処理部１７０内のアクセス要求認証部１７１において、受信したアクセス要求を解析し、必要な情報を取得する（ステップ７０２）。具体的には、図３のステップ３０２及び３０３と同様に、アクセス要求から図５に示した登録要求ＤＢ１５２のテーブルに利用されている情報を取得する。
次に、ステップ７０２で取得した情報と一致するタプルが、登録要求ＤＢ１５２に登録されているかを判断する（ステップ７０３）。もし、登録されていれば、登録要求ＤＢ１５２から、ステップ７０２で取得した情報と一致するタプルを削除する（ステップ７０４）。そして、アクセス処理部１７０で、ステップ７０１で受信したアクセス要求通りに、マウントポイントへのアクセスを行い（ステップ７０５）、その結果を、アクセス返信部１６２で、クライアントＰＣ１００へ返信する（ステップ７０６）。
【００２０】
一方、ステップ７０３において、ステップ７０２で取得した情報と一致するタプルが、登録要求ＤＢ１５２に登録されていなかった場合は、まず、ステップ７０１でアクセス要求を受信してから一定期間経過したかどうかを判断する（ステップ７０７）。ここで、一定期間経過していなければ、ステップ７０３に戻る。
ステップ７０７で一定期間経過していた場合は、アクセス拒否を示す返信内容を作成し（ステップ７０８）、作成したものをアクセス返信部１６２で、クライアントＰＣ１００へ返信する（ステップ７０９）。
ステップ７０３及びステップ７０７により、アクセス要求受信部１６０で受信したアクセス要求に対応する登録要求が、図４の識別アプリケーション１０１の動作フロー及び図７の要求登録部１５０の要求受信登録部１５１の処理フローを通して、要求登録ＤＢ１５２に一定期間内に登録されなければ、アクセス拒否となる。これにより、識別アプリケーション１０１が実装されていないクライアントＰＣからのアクセスを拒否することが出来る。
【００２１】
一方、識別アプリケーション１０１が実装されたクライアントＰＣ１００からのアクセス要求は、ステップ７０５及びステップ７０６を通して、既存ファイルサーバ群１２０への実際のアクセスが行われ、その結果が返信される。
ここ場合、ファイルサーバ機能に関しては、接続制限ファイルサーバ１６０のアクセス要求認証部１７１だけを加えるのみで、既存ファイルサーバ群１２０に含まれるファイルサーバ１２１，１２２や、アクセス要求認証部１７１以外の部分に手を加える必要が無く、既存のまま利用できる。
【符号の説明】
【００２２】
１００…クライアントＰＣ
１０１…識別アプリケーション
１２０…既存ファイルサーバ群
１２１…既存ファイルサーバＡ
１２２…既存ファイルサーバＢ
１３０…接続制限ファイルサーバ
１３１…マウント処理部
１４０…ファイルシステム
１４１…マウントポイントＡ
１４２…マウントポイントＢ
１５０…要求処理部
１５１…要求受信登録部
１５２…要求登録ＤＢ
１６０…ファイルサーバアプリケーション
１６１…アクセス要求受信部
１６２…アクセス返信部
１７０…アクセス処理部
１７１…アクセス要求認証部
【技術分野】
【０００１】
本発明は、既存のファイルサーバに対し、アクセス可能なクライアントコンピュータ（以下、ＰＣと略記）を制限する方法及びシステムに関するものである。
【背景技術】
【０００２】
従来のファイルサーバの保護で実現されている方法としては、暗号化によって保護する方法や検疫ネットワーク技術を利用した方法がある。
各種製品で実現されている暗号化によって保護する方法（非特許文献１）は、ファイルサーバ上のファイルを暗号化し、特定のアプリケーションが入ったマシン上でしか復号されないことにより、ファイルの内容を保護するものである。しかし、この方法では、特定のアプリケーションが実装されていないマシンでも、暗号化されたファイル自体にはアクセス可能であり、暗号化されたファイルを削除される危険性や、改ざんされる危険性がある。
【０００３】
一方、検疫ネットワーク技術（特許文献１）は、ファイルサーバを含む組織内ネットワークに、特定のアプリケーションやハードウェアが無いＰＣを接続させない技術である。これを用いれば、不正なＰＣからのファイル削除や改ざんの危険性はなくなるが、導入や管理コストが高く、ファイルサーバ保護のために導入することは現実的ではない。
また、ファイルサーバ機能を提供するアプリケーションやＯＳ（オペレーティングシステム）を改良する方法もある。例えば、ｓａｍｂａ（非特許文献２）はオープンソースであり、これらの改良を行うことは可能である。しかし、クローズドでプロプライエタリなアプリケーションやＯＳでは実現が困難である。また、既存のファイルサーバに適用したい場合には、様々なバージョンに個々に対応しなければならず、コストが高で実現困難である。
【０００４】
特許文献２では、新たにプロキシーサーバを用意し、特定のアプリケーションが入ったクライアントのみが行う認証が行われたアクセスは、プロキシーサーバ経由でファイルサーバにアクセスできるようにしている。この方法では、上記の問題は解決できる。
しかし、特許文献２では、クライアント上のアプリケーションで、ファイルサーバへのアクセスを全て確実にプロキシーサーバ経由に変更しなければならない。これは、特にクローズドでプロプライエタリなクライアントＯＳでは、完全に行うことは困難である。また、ファイルサーバへの通信を規定しているＣＩＦＳ／ＳＭＢプロトコルは複雑であり、一部の通信が届かない、もしくは誤った通信で拒否されてしまうと、クライアントＰＣの動作が不安定になってしまうリスクがある。さらに、アクセス拒否をプロキシーサーバが行うとしているが、先に述べたようにＣＩＦＳ／ＳＭＢプロトコルは複雑であり、適切なアクセス拒否の通信を実現することは困難である。このため、特許文献２の方法は現実的ではない。
【先行技術文献】
【非特許文献】
【０００５】
【非特許文献１】共有ファイル暗号化サーバソフトウェア http://www.mdis.co.jp/misty/angouserver/index.htm
【非特許文献２】What is Samba? http://usl.samba.org/samba/what_is_samba.html
【特許文献】
【０００６】
【特許文献１】特開２００８−２３４２５６
【特許文献２】特開２００９−４３０３３
【発明の概要】
【発明が解決しようとする課題】
【０００７】
本発明の目的は、現実可能かつ容易な方法で、ファイルサーバへアクセス可能なＰＣを制限することができる方法及びシステムを提供することである。
【課題を解決するための手段】
【０００８】
上記の目的を達成するため、本発明は、既存のファイルサーバに対してアクセス可能なクライアントコンピュータを制限する方法であって、
既存ファイルサーバに接続し、この既存ファイルサーバが公開するフォルダ及びファイルを代行して公開する手段と、公開されたフォルダ及びファイルへアクセス可能なクライアントコンピュータを制限する手段とを備えた接続制限ファイルサーバを、クライアントコンピュータと既存ファイルサーバの間に配置し、接続制限ファイルサーバ経由で既存ファイルサーバへのアクセスを許可する構成とし、前記既存ファイルサーバにアクセス可能なクライアントコンピュータを前記接続制限ファイルサーバにより制限する方法。
また、前記既存ファイルサーバのフォルダ及びファイルへのアクセスを制限する手段は、前記接続制限ファイルサーバへのアクセス要求をキャプチャし、そのアクセス要求内の特定の情報を一定期間内に前記接続制限ファイルサーバへ通知する手段からのアクセス要求のみを許可し、前記特定の情報を一定期間内に通知しないクライアントコンピュータからのアクセスは拒否するものであることを特徴とする。
【０００９】
また、クライアントコンピュータと既存ファイルサーバと、これらの間に配置された接続制限ファイルサーバとから構成され、既存のファイルサーバに対してアクセス可能なクライアントコンピュータを制限するシステムであって、
前記クライアントコンピュータが、
前記接続制限ファイルサーバへのアクセス要求をキャプチャし、そのアクセス要求内の特定の情報を一定期間内に前記接続制限ファイルサーバへ通知する通知手段を備え、
前記接続制限ファイルサーバが、
前記既存ファイルサーバが公開するフォルダ及びファイルを代行して公開する手段と、
前記通知手段から一定期間内に前記特定の情報を受信したクライアントコンピュータのアクセス要求に対してのみ前記既存ファイルサーバが公開するフォルダ及びファイルへのアクセスを許可し、前記特定の情報を一定期間内に通知しないクライアントコンピュータからのアクセスは拒否する手段を備えることを特徴とする。
【発明の効果】
【００１０】
本発明によれば、識別アプリケーションが実装されたＰＣであれば、当該ＰＣからのアクセス要求に対し、接続制限ファイルサーバが既存ファイルサーバの公開しているフォルダまたはファイルにアクセスし、その結果をクライアントに返す。一方、識別アプリケーションが実装されたＰＣからのアクセス要求に対しては、接続制限ファイルサーバがＣＩＦＳ／ＳＭＢプロトコルに従ったアクセス拒否を行う。
これにより、既存のファイルサーバに手を加えず、また、実現可能な容易な方法で、識別アプリケーションが実装されていないＰＣから、既存ファイルサーバ上のファイルへのアクセスを禁止することができる。
【図面の簡単な説明】
【００１１】
【図１】本発明の実施の形態を示すシステム構成図である。
【図２】要求登録ＤＢのテーブル構造を示す図である。
【図３】クライアントＰＣに実装された識別アプリケーションの動作を示すフローチャートである。
【図４】ＣＩＦＳ／ＳＭＢプロトコルに準拠したパケット構造を示す図である。
【図５】登録要求の具体的な内容を示す図である。
【図６】接続制限ファイルサーバの要求受信登録部の処理を示すフローチャートである。
【図７】接続制限ファイルサーバのファイルサーバアプリケーションの処理を示すフローチャートである。
【発明を実施するための最良の形態】
【００１２】
以下、本発明を実施する場合の一形態を、図面を参照して具体的に説明する。
図１は、本発明の実施形態を示すシステム構成図である。
本実施形態のシステムは、クライアントＰＣ１００と、既存ファイルサーバ群１２０と、接続制限ファイルサーバ１３０で構成され、これらはネットワーク１４０，１５０で結ばれている。
クライアントＰＣ１００には、接続制限ファイルサーバ１３０を通した既存ファイルサーバ群１２０へのアクセスを可能にするための識別アプリケーション１０１が実装されている。この識別アプリケーション１０１は、クライアントＰＣ１００から、接続制限ファイルサーバ１３０が公開しているフォルダへのアクセス要求のパケットをキャプチャし、後述の処理の中で、接続制限ファイルサーバ１３０への要求処理部１５０に、アクセス要求を送信するものである。
既存ファイルサーバ群１２０は、会社等の組織などで既に利用されているファイルサーバＡ１２１やＢ１２２である。
【００１３】
接続制限ファイルサーバ１３０は、マウント処理部１３１、ファイルシステム１４０、登録処理部１５０、ファイルサーバアプリケーション１６０で構成される。
マウント処理部１３１及びファイルシステム１４０は、既存の技術であり、既存ファイルサーバ群上のファイルサーバ１２１や１２２が公開しているフォルダを、ファイルシステム１４０上にマウントし、後述する接続制限ファイルサーバ１３１上のファイルサーバアプリケーション１６０から既存ファイルサーバ群１２０が公開しているフォルダ及びファイルに対するアクセスを可能にするものである。
接続制限ファイルサーバ１３１上のアプリケーションは、マウントポイント１４１及び１４２にアクセスすることで、既存ファイルサーバ群１２０のファイルサーバ１２１，１２２が公開しているフォルダにアクセスできる。
要求処理部１５０は、要求受信登録部１５１と要求登録ＤＢ１５２で構成される。
要求受信登録部は、クライアントＰＣ１００上の識別アプリケーション１０１が送信したアクセス要求の受信及び処理を行い、要求登録ＤＢ１５２に登録するものである。
【００１４】
図２は要求登録ＤＢ１５２のテーブル構造を示すものである。
要求登録ＤＢ１５２は、アクセス要求送信元のＩＰアドレス２０１、アクセス要求元のポート番号２０２、既存ファイルサーバへのアクセスのためのＳＭＢ／ＣＩＦＳプロトコル（Server Message Block/Common Internet File System）で利用されるＳＭＢヘッダの一部である、ＴＩＤ２０３、ＰＩＤ２０４、ＵＩＤ２０５、ＭＩＤ３０６で構成される。ＳＭＢヘッダに関しては後述する。
ファイルサーバアプリケーション１６０は、アクセス要求受信部１６１、アクセス返信部１６２とアクセス処理部１７０で構成される。
【００１５】
アクセス要求処理部１６１は、クライアントＰＣ１００からのファイルアクセス要求を受信するものである。
アクセス返信部１６２は、アクセス処理部１７０の結果をクライアントＰＣ１００に返信するものである。
アクセス処理部１７０は、アクセス要求処理部１６１で受けたアクセスを実際に処理し、その結果をアクセス返信部１６２に渡すものである。このアクセス処理部１７０は、アクセス要求認証部１７１を含んでいる。
アクセス要求認証部１７１は、実際のアクセスを行う前に、登録要求ＤＢ１５２を用いて、アクセスを行ってその結果を返すか、アクセスを拒否するかを判断するものである。
ここで、アクセス認証処理部１７１以外については、非特許文献２に挙げられるような従来の技術である。本発明の独自性があるのは、後述するアクセス認証処理部１７１の処理のみである。
また、先に述べたように、本発明ではクライアントＰＣ１００及びそのユーザは、既存ファイルサーバ群１２０へ直接アクセスするのではなく、接続制限ファイルサーバ１３０経由でアクセスする。この接続制限ファイルサーバ１３０経由でのアクセスは、接続制限ファイルサーバ１３０のファイルサーバアプリケーション１６０が、ファイルシステム１４０のマウントポイントのフォルダを公開することで実現する。
【００１６】
次に、各々の具体的な動作を説明する。
図３は、識別アプリケーション１０１の動作を示すフローチャートである。
本実施形態では、先に述べたようにクライアントＰＣ１００及びそのユーザは、接続制限ファイルサーバ１３０に公開されたファイルやフォルダのアクセス要求を行う。クライアントＰＣ１００上の識別アプリケーション１０１は、この要求を行っているパケットをキャプチャする（ステップ３０１）。
次に、識別アプリケーション１０１はキャプチャしたパケットを解析する（ステップ３０２）。ファイルやフォルダへのアクセス要求は、ＣＩＦＳ／ＳＭＢプロトコルに準拠している。キャプチャしたパケット構造は図４のように、Ｅｔｈｅｒｎｅｔヘッダ４０１、ＩＰヘッダ４０２、ＴＣＰヘッダ４０３、ＳＭＢヘッダ４０４、ＳＭＢデータ４０５で構成され、ＩＰヘッダ４０２には送信元ＩＰアドレス４０６が含まれ、ＴＣＰヘッダ４０３には送信元Ｐｏｒｔ番号４０７が含まれ、ＳＭＢヘッダ４０４にはＴＩＤ４０８、ＰＩＤ４０９、ＵＩＤ４１０、ＭＩＤ４１１が含まれているため、これらの情報が正しく取得できるように解析する。
次に、要求受信登録部１５１に渡す登録要求の情報を作成する（ステップ３０３）。
【００１７】
図５に、登録要求５００の情報を示す。登録要求５００は、図４のＩＰヘッダ４０２に含まれる送信元ＩＰアドレス４０６、ＴＣＰヘッダ４０３に含まれる送信元ポート番号４０７、ＳＭＢヘッダ４０４に含まれるＴＩＤ４０８、ＰＩＤ４０９、ＵＩＤ４１０、ＭＩＤ４１１から構成される。
ここで、ＳＭＢヘッダ４０４は、ＣＩＦＳ／ＳＭＢプロトコルのヘッダ情報であり、ＳＭＢデータ４０５は、アクセスしたいパスなどのデータである。ＴＩＤ４０８、ＰＩＤ４０９、ＵＩＤ４１０、ＭＩＤ４１１は、ＣＩＦＳ／ＳＭＢプロトコルにおける識別子である。既存技術のため詳細は省略するが、これらを組み合わせることで、アクセス要求を識別することが可能である。さらに、この登録要求５００の情報に、図５に含まれるほかの情報を加えても良い。その場合には、図２に示した要求登録ＤＢ１５２のテーブルを拡張する必要がある。
ステップ３０３で登録要求を作成した後、識別アプリケーション１０１は、その登録要求を接続制限ファイルサーバ１３０の要求処理部１５０に送信する（ステップ３０４）。
【００１８】
図６は、要求処理部１５０の要求受信登録部１５１の処理を示すフローチャートである。
要求受信登録部１５１は、まず識別アプリケーション１０１から登録要求を受信する（ステップ６０１）。
次に、その登録要求の解析処理を行う（ステップ６０２）。具体的には、登録要求内の図５に示された情報を取り出すための処理を行う。
次に、その解析結果を要求登録ＤＢ１５２へ登録する（ステップ６０３）。
この要求処理部１５０の処理により、クライアントＰＣ１００から接続制限ファイルサーバ１３０へのアクセス要求で送信されたパケットに含まれる情報のうち、図５に示されるような情報が、要求登録ＢＤ１５２に登録されることになる。
【００１９】
図７は、ファイルサーバアプリケーション１６０の処理を示すフローチャートである。
まず、アクセス要求受信部１６０でファイルサーバアプリケーション１６０が公開しているマウントポイントＡ１４１もしくはマウントポイントＢ１４２に対する、クライアントＰＣ１００からのアクセス要求を受信する（ステップ７０１）。
次に、アクセス処理部１７０内のアクセス要求認証部１７１において、受信したアクセス要求を解析し、必要な情報を取得する（ステップ７０２）。具体的には、図３のステップ３０２及び３０３と同様に、アクセス要求から図５に示した登録要求ＤＢ１５２のテーブルに利用されている情報を取得する。
次に、ステップ７０２で取得した情報と一致するタプルが、登録要求ＤＢ１５２に登録されているかを判断する（ステップ７０３）。もし、登録されていれば、登録要求ＤＢ１５２から、ステップ７０２で取得した情報と一致するタプルを削除する（ステップ７０４）。そして、アクセス処理部１７０で、ステップ７０１で受信したアクセス要求通りに、マウントポイントへのアクセスを行い（ステップ７０５）、その結果を、アクセス返信部１６２で、クライアントＰＣ１００へ返信する（ステップ７０６）。
【００２０】
一方、ステップ７０３において、ステップ７０２で取得した情報と一致するタプルが、登録要求ＤＢ１５２に登録されていなかった場合は、まず、ステップ７０１でアクセス要求を受信してから一定期間経過したかどうかを判断する（ステップ７０７）。ここで、一定期間経過していなければ、ステップ７０３に戻る。
ステップ７０７で一定期間経過していた場合は、アクセス拒否を示す返信内容を作成し（ステップ７０８）、作成したものをアクセス返信部１６２で、クライアントＰＣ１００へ返信する（ステップ７０９）。
ステップ７０３及びステップ７０７により、アクセス要求受信部１６０で受信したアクセス要求に対応する登録要求が、図４の識別アプリケーション１０１の動作フロー及び図７の要求登録部１５０の要求受信登録部１５１の処理フローを通して、要求登録ＤＢ１５２に一定期間内に登録されなければ、アクセス拒否となる。これにより、識別アプリケーション１０１が実装されていないクライアントＰＣからのアクセスを拒否することが出来る。
【００２１】
一方、識別アプリケーション１０１が実装されたクライアントＰＣ１００からのアクセス要求は、ステップ７０５及びステップ７０６を通して、既存ファイルサーバ群１２０への実際のアクセスが行われ、その結果が返信される。
ここ場合、ファイルサーバ機能に関しては、接続制限ファイルサーバ１６０のアクセス要求認証部１７１だけを加えるのみで、既存ファイルサーバ群１２０に含まれるファイルサーバ１２１，１２２や、アクセス要求認証部１７１以外の部分に手を加える必要が無く、既存のまま利用できる。
【符号の説明】
【００２２】
１００…クライアントＰＣ
１０１…識別アプリケーション
１２０…既存ファイルサーバ群
１２１…既存ファイルサーバＡ
１２２…既存ファイルサーバＢ
１３０…接続制限ファイルサーバ
１３１…マウント処理部
１４０…ファイルシステム
１４１…マウントポイントＡ
１４２…マウントポイントＢ
１５０…要求処理部
１５１…要求受信登録部
１５２…要求登録ＤＢ
１６０…ファイルサーバアプリケーション
１６１…アクセス要求受信部
１６２…アクセス返信部
１７０…アクセス処理部
１７１…アクセス要求認証部
【特許請求の範囲】
【請求項１】
既存のファイルサーバに対してアクセス可能なクライアントコンピュータを制限する方法であって、
既存ファイルサーバに接続し、この既存ファイルサーバが公開するフォルダ及びファイルを代行して公開する手段と、公開されたフォルダ及びファイルへアクセス可能なクライアントコンピュータを制限する手段とを備えた接続制限ファイルサーバを、クライアントコンピュータと既存ファイルサーバの間に配置し、接続制限ファイルサーバ経由で既存ファイルサーバへのアクセスを許可する構成とし、前記既存ファイルサーバにアクセス可能なクライアントコンピュータを前記接続制限ファイルサーバにより制限する方法。
【請求項２】
前記既存ファイルサーバのフォルダ及びファイルへのアクセスを制限する手段は、前記接続制限ファイルサーバへのアクセス要求をキャプチャし、そのアクセス要求内の特定の情報を一定期間内に前記接続制限ファイルサーバへ通知する手段からのアクセス要求のみを許可し、前記特定の情報を一定期間内に通知しないクライアントコンピュータからのアクセスは拒否するものであることを特徴とする請求項１に記載の既存ファイルサーバにアクセス可能なクライアントコンピュータを制限する方法。
【請求項３】
クライアントコンピュータと既存ファイルサーバと、これらの間に配置された接続制限ファイルサーバとから構成され、既存のファイルサーバに対してアクセス可能なクライアントコンピュータを制限するシステムであって、
前記クライアントコンピュータが、
前記接続制限ファイルサーバへのアクセス要求をキャプチャし、そのアクセス要求内の特定の情報を一定期間内に前記接続制限ファイルサーバへ通知する通知手段を備え、
前記接続制限ファイルサーバが、
前記既存ファイルサーバが公開するフォルダ及びファイルを代行して公開する手段と、
前記通知手段から一定期間内に前記特定の情報を受信したクライアントコンピュータのアクセス要求に対してのみ前記既存ファイルサーバが公開するフォルダ及びファイルへのアクセスを許可し、前記特定の情報を一定期間内に通知しないクライアントコンピュータからのアクセスは拒否する手段を備えることを特徴とする既存のファイルサーバに対してアクセス可能なクライアントコンピュータを制限するシステム。
【請求項１】
既存のファイルサーバに対してアクセス可能なクライアントコンピュータを制限する方法であって、
既存ファイルサーバに接続し、この既存ファイルサーバが公開するフォルダ及びファイルを代行して公開する手段と、公開されたフォルダ及びファイルへアクセス可能なクライアントコンピュータを制限する手段とを備えた接続制限ファイルサーバを、クライアントコンピュータと既存ファイルサーバの間に配置し、接続制限ファイルサーバ経由で既存ファイルサーバへのアクセスを許可する構成とし、前記既存ファイルサーバにアクセス可能なクライアントコンピュータを前記接続制限ファイルサーバにより制限する方法。
【請求項２】
前記既存ファイルサーバのフォルダ及びファイルへのアクセスを制限する手段は、前記接続制限ファイルサーバへのアクセス要求をキャプチャし、そのアクセス要求内の特定の情報を一定期間内に前記接続制限ファイルサーバへ通知する手段からのアクセス要求のみを許可し、前記特定の情報を一定期間内に通知しないクライアントコンピュータからのアクセスは拒否するものであることを特徴とする請求項１に記載の既存ファイルサーバにアクセス可能なクライアントコンピュータを制限する方法。
【請求項３】
クライアントコンピュータと既存ファイルサーバと、これらの間に配置された接続制限ファイルサーバとから構成され、既存のファイルサーバに対してアクセス可能なクライアントコンピュータを制限するシステムであって、
前記クライアントコンピュータが、
前記接続制限ファイルサーバへのアクセス要求をキャプチャし、そのアクセス要求内の特定の情報を一定期間内に前記接続制限ファイルサーバへ通知する通知手段を備え、
前記接続制限ファイルサーバが、
前記既存ファイルサーバが公開するフォルダ及びファイルを代行して公開する手段と、
前記通知手段から一定期間内に前記特定の情報を受信したクライアントコンピュータのアクセス要求に対してのみ前記既存ファイルサーバが公開するフォルダ及びファイルへのアクセスを許可し、前記特定の情報を一定期間内に通知しないクライアントコンピュータからのアクセスは拒否する手段を備えることを特徴とする既存のファイルサーバに対してアクセス可能なクライアントコンピュータを制限するシステム。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【公開番号】特開２０１０−２７１７６４（Ｐ２０１０−２７１７６４Ａ）
【公開日】平成２２年１２月２日（２０１０．１２．２）
【国際特許分類】
【出願番号】特願２００９−１２０７２８（Ｐ２００９−１２０７２８）
【出願日】平成２１年５月１９日（２００９．５．１９）
【公序良俗違反の表示】
（特許庁注：以下のものは登録商標）
１．ＥＴＨＥＲＮＥＴ
【出願人】（０００２３３０５５）日立ソフトウエアエンジニアリング株式会社 (1,610)
【Ｆターム（参考）】
【公開日】平成２２年１２月２日（２０１０．１２．２）
【国際特許分類】
【出願日】平成２１年５月１９日（２００９．５．１９）
【公序良俗違反の表示】
（特許庁注：以下のものは登録商標）
１．ＥＴＨＥＲＮＥＴ
【出願人】（０００２３３０５５）日立ソフトウエアエンジニアリング株式会社 (1,610)
【Ｆターム（参考）】
[ Back to top ]