暗号化/復号化機能を有するストレージシステムを制御する計算機
【課題】1以上のE/Dストレージでのボリューム(VOL)間のコピーの負荷を軽減する。
【解決手段】1以上のE/Dストレージ(暗号化/復号化機能を有するストレージシステム)に計算機が接続される。計算機は、コピー元VOL及びコピー先VOLに関するセキュリティ方針に関わる情報を含んだ制御情報を基に、コピー先VOLに関するセキュリティ方針が、コピー元VOLに関するセキュリティ方針と同じか否かの判断を行う。その判断の結果が肯定的であれば、計算機は、コピー元VOLに関する暗号鍵/復号鍵を、コピー先VOLに関わる暗号鍵/復号鍵として、コピー先VOLを有するE/Dストレージ(コピー先ストレージ)に設定する。そして、計算機は、コピー元VOLに記憶されているデータの読出し及び非復号化を、コピー元VOLを有するE/Dストレージに指示し、且つ、読み出されたデータの書込み及び非暗号化をコピー先ストレージに指示する。
【解決手段】1以上のE/Dストレージ(暗号化/復号化機能を有するストレージシステム)に計算機が接続される。計算機は、コピー元VOL及びコピー先VOLに関するセキュリティ方針に関わる情報を含んだ制御情報を基に、コピー先VOLに関するセキュリティ方針が、コピー元VOLに関するセキュリティ方針と同じか否かの判断を行う。その判断の結果が肯定的であれば、計算機は、コピー元VOLに関する暗号鍵/復号鍵を、コピー先VOLに関わる暗号鍵/復号鍵として、コピー先VOLを有するE/Dストレージ(コピー先ストレージ)に設定する。そして、計算機は、コピー元VOLに記憶されているデータの読出し及び非復号化を、コピー元VOLを有するE/Dストレージに指示し、且つ、読み出されたデータの書込み及び非暗号化をコピー先ストレージに指示する。
【発明の詳細な説明】
【技術分野】
【0001】
本発明は、暗号化/復号化機能を有するストレージシステムの制御に関する。
【背景技術】
【0002】
ホストからの書込み対象のデータを暗号化して論理ボリューム(以下、「VOL」と略記)に格納するストレージシステムが知られている(例えば特許文献1)。以下、VOLに書き込まれるデータを暗号化する機能を「暗号化機能」と言い、VOLから読み出された暗号化データ(暗号化されているデータ)を復号化する機能を「復号化機能」と言う。また、暗号化及び/又は復号化を「E/D」と略すことがある。
【0003】
VOL間でのデータコピー(以下、VOLコピー)を行う技術も知られている。VOLコピーでは、コピー元VOLからデータが読み出され、そのデータがコピー先VOLに書き込まれる。
【0004】
VOLコピーとしては、ローカルコピー及びリモートコピーがある(例えば特許文献2及び3)。ローカルコピーとは、1つのストレージシステム内のVOL間でのデータコピーである。リモートコピーとは、第1のストレージシステム内のコピー元VOLから第2のストレージシステム内のコピー先VOLへのデータのコピーである。
【0005】
また、VOLコピーとしては、VOL間でのデータマイグレーションがある(例えば特許文献4)。一般に、データマイグレーションでは、コピーされたデータがコピー元VOLから削除される。
【先行技術文献】
【特許文献】
【0006】
【特許文献1】特許3911964号公報
【特許文献2】特開2008−134988号公報
【特許文献3】特開2008−134986号公報
【特許文献4】特許3641872号公報
【発明の概要】
【発明が解決しようとする課題】
【0007】
コピー元VOLが、E/D機能を有したストレージシステム(以下、E/Dストレージ)内のVOLであり、コピー先VOLが、そのE/Dストレージ又はそれとは別のE/Dストレージ内のVOLであるとする。
【0008】
E/Dストレージは、VOLに書き込まれるデータを暗号したり、VOLから読み出された暗号化データを復号化したりする(前述の特許文献1参照)。
【0009】
このため、コピー元VOLからコピー先VOLへのデータのコピーでは、コピー元VOLから読み出された暗号化データが復号化され、復号化されたデータが再び暗号化されてコピー先VOLに書き込まれることになる。このため、1以上のE/DストレージでのVOLコピーの負荷が高くなってしまう。
【0010】
そこで、本発明の目的は、暗号化/復号化機能を有する1以上のストレージシステムでのボリュームコピーの負荷を軽減することにある。
【課題を解決するための手段】
【0011】
1以上のE/Dストレージに計算機が接続される。計算機は、コピー元VOL及びコピー先VOLに関するセキュリティ方針に関わる情報を含んだ制御情報を基に、コピー先VOLに関するセキュリティ方針が、コピー元VOLに関するセキュリティ方針と同じか否かの判断を行う。その判断の結果が肯定的であれば、計算機は、コピー元VOLに関する暗号鍵/復号鍵を、コピー先VOLに関わる暗号鍵/復号鍵として、コピー先VOLを有するE/Dストレージ(コピー先ストレージ)に設定する。そして、計算機は、コピー元VOLからコピー先VOLへのデータコピーと、非復号化及び非暗号化とを、コピー元ストレージ及び/又はコピー先ストレージに指示する。
【図面の簡単な説明】
【0012】
【図1】図1は、本発明の一実施形態の概要を示す。
【図2】図2Aは、管理サーバ201のハードウェア構成を示す。図2Bは、E/Dストレージ205の構成を示す。
【図3】図3は、管理サーバ201で実行されるコンピュータプログラム及び用いられるデータ、並びに、データセンターの例を示す。
【図4】図4Aは、センターSECテーブル401を示す。図4Bは、SEC/センターテーブル402を示す。図4Cは、サーバ群SECテーブル403を示す。図4Dは、SEC/サーバ群テーブル404を示す。
【図5】図5Aは、センターテーブル501を示す。図5Bは、センター/サーバ群テーブル502を示す。図5Cは、センター/ストレージテーブル503を示す。
【図6】図6Aは、業務サーバ群テーブル601を示す。図6Bは、業務サーバテーブル602を示す。図6Cは、鍵テーブル603を示す。図6Dは、鍵割当テーブル604を示す。
【図7】図7Aは、ストレージテーブル701を示す。図7Bは、E/Dコントローラテーブル702を示す。図7Cは、VOLテーブル703を示す。図7Dは、パステーブル704を示す。
【図8】図8は、コピー元のE/Dストレージ#1が有するコントローラ(CTL)#1が行う処理と、コピー先のE/Dストレージ#100が有するコントローラ(CTL)#100が行う処理の説明図である。
【図9】図9は、コピー制御処理の流れを示す。
【発明を実施するための最良の形態】
【0013】
以下、図面を参照して、本発明の一つの実施形態を説明する。なお、以下の説明でも、論理ボリュームを「VOL」と略記し、暗号化/復号化機能を有するストレージシステムを「E/Dストレージ」と言うことがある。また、以下の説明における「プロセッサ」は、典型的にはCPU等のマイクロプロセッサであるとする。
【0014】
図1は、本発明の一実施形態の概要を示す。
【0015】
コピー元VOL218Pとコピー先VOL218Sがある。コピー元VOL218Pとコピー先VOL218Sが一つのデータセンター208に存在するケースもあれば、コピー元VOL218Pが第1のデータセンター208Aに存在し、コピー先VOL218Sが第2のデータセンター208Bに存在するケースもある。以下、前者のケースを「第1ケース」と言い、後者のケースを「第2ケース」と言う。
【0016】
データセンター208、208A、208Bは、業務サーバ群とE/Dストレージとを有する。
【0017】
具体的には、第1ケースでは、例えば、データセンター208は、1以上(例えば2つ)の業務サーバ群202A、202Bと、E/Dストレージ205とを有する。このケースでは、E/Dストレージ205が有する複数のVOLに、コピー元とコピー先の両方のVOL218P及び218Sが含まれる。業務サーバ群202A、202Bが、ストレージネットワーク221を介して、E/Dストレージ205内のVOLにアクセスする。ストレージネットワークは、第1の通信ネットワーク、例えば、FCプロトコルで通信が行われる通信ネットワーク(例えばSAN(Storage Area Network))である。
【0018】
第2ケースでは、例えば、第1のデータセンター208Aが、1以上(例えば1つの)業務サーバ群202Aと第1のE/Dストレージ205Pとを有し、第2のデータセンター208Bが、1以上(例えば1つの)業務サーバ群202Bと第2のE/Dストレージ205Sとを有する。このケースでは、第1のE/Dストレージ205Pが有する1以上のVOLに、コピー元VOL218Pが含まれ、第2のE/Dストレージ205Sが有する1以上のVOLに、コピー先VOL218Sが含まれる。業務サーバ群202Aが、ストレージネットワーク221Pを介して、第1のE/Dストレージ205P内のVOLにアクセスする。業務サーバ群202Bが、ストレージネットワーク221Sを介して、第2のE/Dストレージ205S内のVOLにアクセスする。
【0019】
業務サーバ群202A(202B)は、少なくとも1つの業務サーバ203A(203B)を有する。業務サーバ203A(203B)は、VOLを指定したI/O要求(ライト要求又はリード要求)を送信することで、VOLにアクセスする。
【0020】
VOL218P、218Sは、実VOLであっても良いし仮想VOLであっても良い。
【0021】
実VOLは、例えば、RAID(Redundant Array of Independent (or Inexpensive) Disks)グループに基づくVOLである。RAIDグループは、複数の物理記憶デバイス(例えば、ハードディスク又はフラッシュメモリ)で構成されており、そのRAIDグループについて定義されたRAIDレベルでデータを格納する。一つのRAIDグループに基づく複数のVOLにコピー元VOL218P及びコピー先VOL218Sが含まれても良いが、それらのVOL218P及び218Sは異なるRAIDグループに基づくことが好ましい。
【0022】
仮想VOLは、例えば、プールを構成するVOL内の記憶領域が動的に割り当てられることで実容量が動的に増加/減少するタイプのVOL(例えばThin Provisioning技術に従うVOL)、或いは、外部のストレージシステム内の記憶資源を基に形成されたVOLであっても良い。
【0023】
E/Dストレージ205、205P、205Sは、1以上のE/Dコントローラ(図では「E/D−CTL」と表記)を有する。E/Dコントローラは、データの暗号化及び復号化を行うコントローラであり、例えば、ハードウェア回路である。E/Dコントローラは、例えば、メモリを有し、そのメモリが、VOL毎に割り当てられる暗号鍵/復号鍵(図では「EK/DK」と表記)を記憶する。図1によれば、E/Dコントローラ204Pに、コピー元VOL218Pに対応した暗号鍵/復号鍵207Pが設定されている。そして、E/Dコントローラ204Sには、VOLコピー(VOL間でのデータのコピー)の際に、コピー先VOL218Sに対応した暗号鍵/復号鍵207Sが設定される。E/Dコントローラ204Pは、コピー元VOLに入出力されるデータを暗号化/復号化するコントローラである。E/Dコントローラ204Sは、コピー先VOL218Sに入出力されるデータを暗号化/復号化するコントローラである。
【0024】
E/Dストレージ205、205P、205Sに、管理ネットワーク(図示せず)を介して、管理サーバ201が接続されている。管理ネットワークは、第2の通信ネットワーク、例えば、IP(Internet Protocol)で通信が行われる通信ネットワーク(例えばLAN(Local
Area Network))である。管理サーバ201は、コピー先VOL218Sに関するセキュリティ方針が、コピー元VOL218Pに関するセキュリティ方針と同じか否かの判断を行う。その判断の結果が否定的であれば、管理サーバ201は、暗号化/復号化コピー(以下、E/Dコピー)を実行させる。一方、その判断の結果が肯定的であれば、管理サーバ201は、非E/Dコピー、すなわち、暗号化及び復号化を行わないVOLコピーを実行させる。
【0025】
具体的には、例えば、管理サーバ201は、管理者からコピー指示を受けたときに(S200)、コピー先VOL218Sを有するデータセンターがコピー元VOL218Pを有するデータセンターと同一か否かの判断を行う(S201)。コピー先及びコピー元のVOLは、コピー指示で指定されている。
【0026】
S201の判断の結果が肯定的であれば(S201:YES)、管理サーバ201は、コピー先VOL218Sにアクセスする業務サーバを含んだ業務サーバ群が、コピー元VOL218Pにアクセスする業務サーバを含んだ業務サーバ群と同一か否かの判断を行う(S202)。
【0027】
S202の判断の結果が肯定的であれば(S202:YES)、コピー先VOL218Sに関するセキュリティ方針が、コピー元VOL218Pに関するセキュリティ方針と同一であるということである。また、S202:YESとなるのは、第1ケースについてである。この場合、管理サーバ201は、暗号化及び復号化が不要なVOLコピー(以下、非E/Dコピー)を行うことを決定する(S203)。具体的には、例えば、管理サーバ201は、E/Dコントローラ204Pに設定されている暗号鍵/復号鍵207Pを、コピー先VOL218Sに関わる暗号鍵/復号鍵207Sとして、E/Dコントローラ204Sに設定する。そして、管理サーバ201は、コピー元VOL218Pからコピー先VOL218Sへの非E/Dコピー(VOLコピーと、非復号化/非暗号化)を、E/Dストレージ205に指示する。これにより、非E/Dコピーが行われる。すなわち、コピー元VOL218Pから、暗号化されているデータ(暗号化データ)が読み出され、その暗号化データが、復号化及び再暗号化されることなく、そのままコピー先VOL218Sに書き込まれる。
【0028】
一方、S201の判断の結果が否定的であれば(S201:NO)、又は、S202の判断の結果が否定的であれば(S202:NO)、管理サーバ201は、暗号化及び復号化が必要なVOLコピー(以下、非E/Dコピー)を行うことを決定する(S204)。具体的には、例えば、管理サーバ201は、コピー先VOL218Sに対応した新たな暗号鍵/復号鍵207SをE/Dコントローラ204Sに設定する。そして、管理サーバ201は、コピー元VOL218Pからコピー先VOL218SへのE/Dコピー(データコピー、暗号化/復号化)を、E/Dストレージ205、又は、E/Dストレージ205P及び/又は205Sに指示する。これにより、E/Dコピーが行われる。すなわち、コピー元VOL218Pから、暗号化データが読み出され、その暗号化データが、復号鍵207Pで復号化されて、復号化されたデータが、暗号鍵207Sで暗号化されて、コピー先VOL218Sに書き込まれる。
【0029】
以下、本実施形態をより詳細に説明する。なお、以下の説明において、「記憶資源」は、例えば、主記憶及び/又は補助記憶である。主記憶は、例えば揮発性又は不揮発性のメモリであり、補助記憶は、不揮発性の物理記憶デバイス(例えばハードディスク或いはフラッシュメモリ)である。また、以下の説明では、セキュリティ方針を「SEC」と略記する。
【0030】
業務サーバ203A、203Bは、計算機の一つであり、記憶資源と、記憶資源に接続されたプロセッサと、ストレージネットワークを介した通信を行うためのI/F(インターフェース装置)とを有する。プロセッサは、オペレーティングシステム(OS)やアプリケーションなどのコンピュータプログラムを記憶資源から読み出して実行する。プロセッサは、VOLを指定したI/O要求を発行する。
【0031】
管理サーバ201も、計算機の一つであり、図2Aに示すように、記憶資源15と、記憶資源15に接続されたプロセッサ13と、管理ネットワークを介した通信を行うためのI/F17とを有する。
【0032】
E/Dストレージ205(205P、205Sも同様)は、例えば、記憶部32とコントローラ22とに大別することができる。
【0033】
記憶部32は、複数のRAIDグループを有し、各RAIDグループは、複数の物理記憶デバイス(例えばハードディスク或いはフラッシュメモリ)33を有する。
【0034】
コントローラ22は、E/Dストレージ205の動作を制御する装置である。コントローラ22は、例えば下記の要素、
(1)ストレージネットワークを介した通信を制御するフロントエンドインターフェース装置(FE−I/F)29;
(2)管理ネットワークを介した通信を制御する管理インタフェース装置(M−I/F)30;
(3)各物理記憶デバイス33との通信を制御するバックエンドインターフェース装置(BE−I/F)31;
(4)物理記憶デバイス33と業務サーバ203A(203B)との間で授受されるデータを一時的に記憶するキャッシュメモリ26;
(5)E/Dストレージ205を制御するためのデータやコンピュータプログラムを記憶するメモリ(制御メモリ)25;
(6)制御メモリ25からコンピュータプログラムを読み込んで実行するプロセッサ23;
(7)設定されている暗号鍵を用いてデータを暗号化する、及び、設定されている復号鍵を用いて暗号化データを復号化するE/Dコントローラ204、
を有する。
【0035】
E/Dコントローラ204は、例えばハードウェア回路であり、メモリ(及び/又はその他の記憶資源)を有する。そのメモリに、暗号鍵/復号鍵が設定される。E/Dコントローラ204は、例えば、RAIDグループ毎に設けられる。コピー元VOLの基になるRAIDグループとコピー先VOLの基になるRAIDグループは異なる。この場合、コピー元VOLに入出力されるデータを暗号化/復号化するE/Dコントローラと、コピー先VOLに入出力されるデータを暗号化/復号化するE/Dコントローラも異なる。
【0036】
図3は、管理サーバ201で実行されるコンピュータプログラム及び用いられるデータ、並びに、データセンターの例を示す。図では、業務サーバを「BS」と略記し、E/Dストレージを「STORAGE」と記載し、暗号鍵を「EK」と略記し、復号鍵を「DK」と略記している。
【0037】
データセンター#1と#100がある。
【0038】
データセンター#1は、業務サーバ群#1とE/Dストレージ#1を有する。業務サーバ群#1は、業務サーバ#1及び#2で構成されている。業務サーバ#1のI/F(例えばホストバスアダプタのポート)には、識別子として、WWN(World Wide Name)#1が割り当てられており、業務サーバ#2のI/Fには、WWN#2が割り当てられている。E/Dストレージ#1はE/Dストレージ#100に接続されている。E/Dストレージ#1は、VOL#1及び#2と、VOL#1に入出力されるデータを暗号化/復号化するE/Dコントローラ#1と、VOL#2に入出力されるデータを暗号化/復号化するE/Dコントローラ#2とを有する。E/Dコントローラ#1に、暗号鍵#1及び復号鍵#1が設定されている。図3に示す例において、VOL#1がコピー元VOLとされ、VOL#2がコピー先VOLとされた場合、図9を参照して説明する処理により、E/Dコントローラ#2に、E/Dコントローラ#1に設定されている暗号鍵#1/復号鍵#1と同じ暗号鍵#1/復号鍵#1が設定される。なお、暗号鍵/復号鍵は、例えば、暗号方式が共通鍵方式の場合、暗号鍵/復号鍵は一体であり、暗号方式が公開鍵方式の場合、暗号鍵と復号鍵は別々の鍵である。
【0039】
データセンター#100は、業務サーバ群#10とE/Dストレージ#100を有する。業務サーバ群#10は、業務サーバ#100で構成されている。業務サーバ#10のI/Fには、WWN#100が割り当てられている。E/Dストレージ#100は、VOL#100と、VOL#100に入出力されるデータを暗号化/復号化するE/Dコントローラ#100とを有する。図3に示す例において、VOL#1がコピー元VOLとされ、VOL#100がコピー先VOLとされた場合、図9を参照して説明する処理により、E/Dコントローラ#100に、E/Dコントローラ#1に設定されている暗号鍵#1/復号鍵#1とは異なる暗号鍵#100/復号鍵#100が設定される。
【0040】
管理サーバ201で実行されるコンピュータプログラムとしては、例えば、以下のプログラム:
(1)VOLコピーをE/Dストレージに指示するコピー指示プログラム221;
(2)コピー元VOLについてのSECとコピー先VOLについてのSECとを比較するSEC判定プログラム222;
(3)暗号鍵/復号鍵を生成する暗号鍵/復号鍵生成プログラム223;及び
(4)暗号鍵/復号鍵を設定する暗合鍵/復号鍵設定プログラム224、
がある。これらのプログラムは、メモリからプロセッサ13にロードされて実行される。以下、コンピュータプログラムが主語になる場合は、実際にはそのコンピュータプログラムを実行するプロセッサ13によって処理が行われるものとする。なお、これらのプログラムは、プログラムソース301からインストールされる。プログラムソース301は、例えば、サーバ或いは記憶メディア(例えば、CD−ROM)である。プログラムソース301がサーバの場合、ソース301は、配布対象のプログラム等を記憶する記憶資源(例えばメモリ)と、I/Fと、記憶資源に接続されておりプログラムをI/Fを介して配布するプロセッサとを有する。
【0041】
管理サーバ201で参照される情報としては、例えば、以下のテーブル群:
(1)SECに関する情報を表すSEC関連テーブル群231;
(2)データセンターに関する情報を表すセンター関連テーブル群232;
(3)業務サーバに関する情報を表す業務サーバ関連テーブル群233;
(4)E/Dストレージに関する情報を表すストレージ関連テーブル群234、及び
(5)暗号鍵/復号鍵に関する情報を表す鍵関連テーブル群235、
がある。これらのテーブル群は、記憶資源15に記憶される。なお、情報は、テーブル群に限らず、他の種類の情報であっても良い。
【0042】
以下、図4A〜図7Dを参照して、テーブル群231、232、233、234及び235を詳細に説明する。図4A〜図7Dに示すテーブルは、図3に示した例(データセンター、業務サーバ群及びE/Dストレージの構成例)に対応している。
【0043】
図4A〜図4Dに示すテーブルが、SEC関連テーブル群231に含まれているテーブルである。
【0044】
図4Aは、センターSECテーブル401を示す。このテーブル401は、センターSEC毎の定義を表す。具体的には、例えば、このテーブル401には、センターSEC毎に、センターSECのIDと、そのセンターSECについて定められた鍵長を表す情報とが記述されている。なお、「センターSEC」とは、データセンターについてのSECである。
【0045】
図4Bは、SEC/センターテーブル402を示す。このテーブル402は、どのセンターSECがどのデータセンターに適用されているかを表す。具体的には、例えば、このテーブル402には、センターSEC毎に、センターSECのIDと、そのセンターSECが適用されているデータセンターのIDとが記述されている。
【0046】
図4Cは、サーバ群SECテーブル403を示す。このテーブル403は、サーバ群SEC毎の定義を表す。具体的には、例えば、このテーブル403には、サーバ群SEC毎に、サーバ群SECのIDと、そのサーバ群SECについて定められた鍵長を表す情報とが記述されている。また、このテーブル403には、サーバ群SECに適用されているセンターSECのIDも記述されている。なお、「サーバ群SEC」とは、業務サーバ群についてのSECである。また、サーバ群SECについての鍵長は、そのサーバ群SECに適用されているセンターSECについての鍵長以上である。言い換えれば、サーバ群SECについての鍵長の下限が、そのサーバ群SECに適用されているセンターSECについての鍵長である。
【0047】
図4Dは、SEC/サーバ群テーブル404を示す。このテーブル404は、どのサーバ群SECがどの業務サーバ群に適用されているかを表す。具体的には、例えば、このテーブル404には、サーバ群SEC毎に、サーバ群SECのIDと、そのサーバ群SECが適用されている業務サーバ群のIDとが記述されている。
【0048】
図5A〜図5Cに示すテーブルが、センター関連テーブル群232に含まれているテーブルである。
【0049】
図5Aは、センターテーブル501を示す。このテーブル501は、データセンターの名称(例えば場所)を表す。具体的には、例えば、このテーブル501には、データセンター毎に、データセンターのIDと、そのデータセンターの名称とが記述されている。
【0050】
図5Bは、センター/サーバ群テーブル502を示す。このテーブル502は、どのデータセンターにどの業務サーバ群が含まれているかを表す。具体的には、例えば、このテーブル502には、データセンター毎に、データセンターのIDと、そのデータセンターが有する業務サーバ群のIDとが記述されている。
【0051】
図5Cは、センター/ストレージテーブル503を示す。このテーブル503は、どのデータセンターにどのE/Dストレージが含まれているかを表す。具体的には、例えば、このテーブル503には、データセンター毎に、データセンターのIDと、そのデータセンターが有するE/DストレージのIDとが記述されている。
【0052】
図6A〜図6Bに示すテーブルが、業務サーバ関連テーブル群233に含まれているテーブルである。
【0053】
図6Aは、業務サーバ群テーブル601を示す。このテーブル601は、どの業務サーバ群にどのサーバが含まれているかを表す。具体的には、例えば、このテーブル601には、業務サーバ群毎に、業務サーバ群のIDと、その業務サーバ群に含まれているサーバのIDとが記述されている。
【0054】
図6Bは、業務サーバテーブル602を示す。このテーブル602は、どの業務サーバがどんなWWNが割り当てられたI/F(ポート)を有するかを表す。具体的には、例えば、このテーブル602には、業務サーバ毎に、業務サーバのIDと、その業務サーバが有するI/FのWWNとが記述されている。
【0055】
図6C〜図6Dに示すテーブルが、鍵関連テーブル群235に含まれているテーブルである。
【0056】
図6Cは、鍵テーブル603を示す。このテーブル603は、暗号鍵/復号鍵の属性やそれらの鍵を用いる暗号化/復号化の属性を表す。具体的には、例えば、このテーブル603には、暗号鍵/復号鍵毎に、暗号鍵/復号鍵のIDと、その暗号鍵/復号鍵を用いた暗号化/復号化の方式を表す情報と、その暗号鍵/復号鍵の鍵長を表す情報と、暗号鍵それ自体と、復号鍵それ自体とが記述される。
【0057】
図6Dは、鍵割当テーブル604を示す。このテーブル604は、どの暗号鍵/復号鍵がどの業務サーバ群に割り当てられているかを表す。具体的には、例えば、このテーブル604には、暗号鍵/復号鍵毎に、暗号鍵/復号鍵のIDと、その暗号鍵/復号鍵が割り当てられている業務サーバ群のIDとが記述される。
【0058】
図7A〜図7Dに示すテーブルが、ストレージ関連テーブル群234に含まれているテーブルである。
【0059】
図7Aは、ストレージテーブル701を示す。このテーブル701には、例えば、各E/DストレージのIDが記述されている。
【0060】
図7Bは、E/Dコントローラテーブル702を示す。このテーブル702は、どのE/DストレージにどのE/Dコントローラがあるかと、どのE/Dコントローラがどんな暗号鍵/復号鍵を有するかを表す。具体的には、例えば、このテーブル702には、E/Dコントローラ毎に、E/DコントローラのIDと、そのE/Dコントローラを有するE/DストレージのIDと、そのE/Dコントローラが有する暗号鍵/復号鍵とが記述される。なお、暗号鍵/復号鍵に代えて、そのIDが記述されても良い。
【0061】
図7Cは、VOLテーブル703を示す。このテーブル703は、どのVOLがどのE/Dストレージに存在しどのE/Dコントローラによって暗号化/復号化が行われるかを表す。具体的には、例えば、このテーブル703には、VOL毎に、VOLのIDと、そのVOLを有するE/DストレージのIDと、そのVOLに入出力されるデータを暗号化/復号化するE/DコントローラのIDとが記述される。
【0062】
図7Dは、パステーブル704を示す。このテーブル704は、業務サーバからVOLへのパスの構成を表す。具体的には、例えば、このテーブル704には、パス毎に、パスのIDと、そのパスの一端であるI/F(業務サーバが有するI/F)のWWNと、そのパスの他端であるVOLのIDと、そのVOLを有するE/DストレージのIDとが記述される。
【0063】
以上が、図3に示したテーブル群231、232、233、234及び235についての詳細である。なお、本実施形態では、データセンター毎及び業務サーバ毎にSECがあるが、SECは、異なる単位で定義されても良い。
【0064】
図8は、コピー元のE/Dストレージ#1が有するコントローラ(CTL)#1が行う処理と、コピー先のE/Dストレージ#100が有するコントローラ(CTL)#100が行う処理の説明図である。なお、この図は、VOLコピーがリモートコピーである場合の図である。
【0065】
CTL#1(#100)は、ペアテーブル104P(104S)を有する。ペアテーブル104P(104S)は、例えば制御メモリ25に格納されている。ペアテーブル104P(104S)は、どのVOLとどのVOLがペアになっているかを表す情報である。例えば、ペアテーブル104P(104S)は、VOLペア毎に、コピー元のE/DストレージのID、コピー元のVOLのID、コピー先のE/DストレージのID、コピー先のVOLのID、及び、VOLコピーの際に暗号化/復号化を抑止するか否かを表すフラグ(以下、E/D抑止フラグ)を有する。E/D抑止フラグは、暗号化/復号化を抑止する(暗号化/復号化が不要)であれば、ONとされ、暗号化/復号化を抑止しない(暗号化/復号化が必要)であれば、OFFとされる。テーブルに限らず他種の形式の情報が採用されても良い。また、E/DストレージのIDは省略されても良い。
【0066】
CTL#1及び#100が行う処理として、例えば、「VOLペアの作成」、「暗号鍵/復号鍵の設定」、「ライト処理」、「リード処理」及び「リモートコピー処理」がある。
【0067】
「VOLペアの作成」は、以下の通りである。すなわち、CTL#1(#100)は、管理サーバ201(コピー指示プログラム221)から、暗号化に関する指定を伴ったVOLコピーのペア作成要求を受信する。そして、CTL#1は、その要求で指定されているVOLペアに関する情報を、ペアテーブル104Pに設定する。また、CTL#1は、ペア作成要求が、暗号化/復号化が不要であることを表す情報を含んでいれば、そのVOLペアについてのE/D抑止フラグをONにする。また、CTL#1は、CTL#100に、ペアテーブル104Pに設定した情報(ペア作成要求に従うVOLペアについての情報)と同じ情報をペアテーブル104Sに設定させる。
【0068】
「暗号鍵/復号鍵の設定」は、例えば以下の通りである。すなわち、CTL#1は、管理サーバ201(暗号鍵/復号鍵設定プログラム224)から、鍵設定要求を受信する。その要求は、暗号鍵/復号鍵と、その暗号鍵/復号鍵についてのボリュームIDと、E/DコントローラのIDとを含んでいる。CTL#1は、その要求に応答して、その要求内の暗号鍵/復号鍵とボリュームIDとを、CTL#1のメモリに格納する。具体的には、CTL#1は、鍵設定要求内のボリュームID及びE/DコントローラIDを、VOLテーブル703に格納し、その要求内の暗号鍵/復号鍵及びE/DコントローラIDを、E/Dコントローラ702に格納する。
【0069】
「ライト処理」は、例えば以下の通りである。
(1)CTL#1は、VOL#1とVOL内アドレス(例えばLBA(Logical Block Address))を指定したライト要求とライトデータとを受信する。
(2)CTL#1は、指定されたVOL#1及びVOL内アドレスから、ライトデータを格納すべき物理記憶デバイスを特定する。
(3)CTL#1は、指定されたVOL#1についての暗号鍵を、テーブル703及び702を参照することで特定する。
(4)CTL#1は、特定した暗号鍵でライトデータを暗号化し、その後に、特定した物理記憶デバイスに、暗号化したデータを格納する。
【0070】
「リード処理」は、例えば以下の通りである。
(1)CTL#1は、VOL#1とVOL内アドレスを指定したリード要求を受信する。
(2)CTL#1は、指定されたVOL#1及びVOL内アドレスから、リード要求の送信元の業務ホストに転送すべきデータを格納した物理記憶デバイスを特定する。
(3)CTL#1は、指定されたVOL#1についての復号鍵を、テーブル703及び702を参照することで特定する。
(4)CTL#1は、特定した物理記憶デバイスからデータ(暗号化データ)を読み出し、そのデータを、特定した復号鍵で復号化し、その後に、復号化されたデータをリード要求の送信元の業務ホストに転送する。
【0071】
「リモートコピー処理」は、例えば、「初期化処理」と、「二重化状態の処理」と、「コピー再開処理」とを含む。
【0072】
「初期化処理」は、例えば次の通りである。以下の説明では、コピー元VOL#1とコピー先VOL#100とのペアに対応したE/D抑止フラグを「対象フラグ」と言う。
(A1)CTL#1が、管理サーバ201(コピー指示プログラム221)から、ペア初期化指示を受信する。ペア初期化指示は、コピー元のE/DストレージのID、コピー元VOLのID、コピー先のE/DストレージのID、コピー先VOLのID、及び、コピー時のE/D抑止フラグ(ON又はOFF)を含んでいる。
(A2)CTL#1は、ペア初期化指示内の情報を、ペアテーブル104P(104S)に格納する。
(A3)CTL#1は、初期コピーを開始する。具体的には、初期コピーでは、下記の処理:
(A3−1)CTL#1が、コピー元VOL#1内の暗号化データを読み出す;
(A3−2)CTL#1は、ペアテーブル104P内の対象フラグがOFFであれば、読み出した暗号化データを、コピー元VOLに対応する暗号鍵で復号化し、復号化されたデータを、コピー先のE/Dストレージ#100(CTL#100)へ送信する(対象フラグがONであれば、暗号化データを復号化することなくCTL#100へ送信する);
(A3−3)CTL#100は、ペアテーブル104S内の対象フラグがOFFであれば、受信したデータを、コピー先VOLに対応する復号鍵で暗号化し、暗号化されたデータを、コピー先VOLに格納する(対象フラグがONであれば、受信したデータを暗号化することなくコピー先VOLに格納する);
が行われる。(A3−1)〜(A3−3)の処理は、指定されたVOL(または領域)の全てのアドレス空間について行われる。
(A4)CTL#1は、初期コピーが終わった時点で、VOLペアの状態を二重化状態に遷移させる。
【0073】
「二重化状態の処理」は、例えば次の通りである。
(B1)CTL#1が、コピー元VOL#1に対するライト要求を受信したら、上記ライト処理に伴って受信したライトデータを、CTL#100へ送信する。なお、キャッシュメモリ26上で、ライトデータが暗号化されるのであれば、ペアテーブル104P内の対象フラグがONの場合は、暗号化されたライトデータがそのまま送信され、その対象フラグがOFFの場合、暗号化データが、復号化された後にCTL#100に送信される。
(B2)CTL#100は、ライトデータを受信する。CTL#100は、ペアテーブル104S内の対象フラグがONの場合、暗号化ライトデータをコピー先VOL#100に格納する。一方、CTL#100は、その対象フラグがOFFの場合、当該ライトデータをコピー先VOL#100に対応する暗号鍵で暗号化し、その暗号化データを、コピー先VOL#100に格納する。
【0074】
「コピー再開処理」では、CTL#1が、コピー再開要求を受信した後に、「初期化処理」の(A3)以降を、差分が発生した領域について行う。
【0075】
以上が、「リモートコピー処理」についての説明である。なお、コピー先VOLが、コピー元VOLが存在するE/Dストレージ内にあれば、ローカルコピー処理が行われる。ローカルコピー処理は、リモートコピー処理と実質的に同じである。ローカルコピー処理では、リモートコピー処理でCTL#100が行う処理が、CTL#1によって行われる。
【0076】
管理サーバ201は、管理者からコピー指示を受けたときに、図9に示すコピー制御処理を行う。コピー指示では、例えば、コピー元VOLのIDとコピー先VOLのIDが指定されている。
【0077】
図9は、コピー制御処理の流れを示す。
【0078】
S1001:SEC判定プログラム222が、コピー元に関するデータセンターIDを取得する。具体的には、例えば、SEC判定プログラム222は、コピー指示で指定されているコピー元VOLのIDに対応したストレージIDをVOLテーブル703(図7C参照)から取得する。SEC判定プログラム222は、そのストレージIDに対応したデータセンターIDをセンター/ストレージテーブル503(図5C参照)から取得する。
【0079】
S1002:SEC判定プログラム222が、コピー先に関するデータセンターIDを取得する。具体的には、例えば、SEC判定プログラム222は、コピー指示で指定されているコピー先VOLのIDをキーに、S1001と同様の処理を行うことで、コピー元VOLを有するE/Dストレージを含んだデータセンターのIDを取得する。
【0080】
S1003:SEC判定プログラム222が、コピー元に関する業務サーバ群IDを取得する。具体的には、例えば、SEC判定プログラム222は、コピー指示で指定されているコピー元VOLのIDに対応したWWNをパステーブル704(図7D参照)から取得する。SEC判定プログラム222は、そのWWNに対応した業務サーバIDを業務サーバテーブル602(図6B参照)から取得する。SEC判定プログラム222は、その業務サーバIDに対応した業務サーバ群IDを業務サーバ群テーブル601(図6A参照)から取得する。
【0081】
S1004:SEC判定プログラム222が、コピー元に関する業務サーバ群IDを取得する。具体的には、例えば、SEC判定プログラム222は、コピー指示で指定されているコピー先VOLのIDをキーに、S1003と同様の処理を行うことで、コピー先VOLにアクセスする業務サーバを含んだ業務サーバ群のIDを取得する。
【0082】
S1005:SEC判定プログラム222が、S1001で取得したデータセンターIDとS1002で取得したデータセンターIDとを比較する。この比較の結果、データセンターIDが互いに同一であれば、S1006が行われ、データセンターIDが互いに異なっていれば、S1011が行われる。
【0083】
S1006:SEC判定プログラム222が、S1003で取得した業務サーバ群IDとS1004で取得した業務サーバ群IDとを比較する。この比較の結果、業務サーバ群IDが互いに同一であれば、S1007が行われ、業務サーバ群IDが互いに異なっていれば、S1009が行われる。なお、S1006の前に、S1004で業務サーバ群IDが取得できたか否かが判定され、その判定の結果が否定的であれば、エラー処理が行われても良い。
【0084】
S1007及びS1008は、例えば、図3において、コピー元VOLがVOL#1で、コピー先VOLがVOL#2の場合に行われる。
【0085】
S1007:E/D設定プログラム224は、コピー元VOL#1に対応したE/Dコントローラ#1に設定されている暗号鍵/復号鍵を、コピー先VOL#2に対応したE/Dコントローラ#2にコピーする。具体的には、例えば、E/D設定プログラム224は、鍵割当テーブル604(図6D参照)から、S1003で取得した業務サーバ群ID#1に対応する暗号鍵/復号鍵ID#1を取得する。E/D設定プログラム224は、その暗号鍵/復号鍵ID#1に対応した暗号鍵#1/復号鍵#1を、鍵テーブル603(図6C参照)から取得する。E/D設定プログラム224は、コピー先VOLのID#2に対応したE/DコントローラID#2をVOLテーブル703(図7C参照)から取得する。E/D設定プログラム224は、そのE/DコントローラID#2に対応するE/Dコントローラ#2に、鍵テーブル603から取得された暗号鍵#1/復号鍵#1を設定する。
【0086】
S1008:コピー指示プログラム221は、コピー元VOL#1及びコピー先VOL#2を有するE/Dストレージ#1に、非E/Dコピーを指示する。具体的には、例えば、コピー指示プログラム221は、コピー元VOLのID#1とコピー先VOLのID#2に対応したストレージID#1をVOLテーブル703(図7C参照)から取得する。コピー指示プログラム221は、コピー元VOLのID#1とコピー先VOLのID#2の他にE/D抑止フラグ「ON」を含んだコピー指示を、E/DストレージID#1に対応するE/Dストレージ#1に送信する。これにより、E/Dストレージ#1において、E/D抑止フラグ「ON」がペアテーブル104Pに設定され、復号化や暗号化が行われることなく、コピー元VOL#1からコピー先VOL#2へのローカルコピーが行われる。
【0087】
S1009:E/D設定プログラム224は、コピー元に関する暗号強度を取得する。具体的には、例えば、E/D設定プログラム224は、S1003で取得した業務サーバ群IDに対応した暗号鍵/復号鍵IDを、鍵割当テーブル604から取得する。E/D設定プログラム224は、その暗号鍵/復号鍵IDに対応した暗号強度(鍵長)を、鍵テーブル603から取得する。
【0088】
S1010:E/D設定プログラム224は、コピー先に関する暗号強度を取得する。具体的には、例えば、E/D設定プログラム224は、S1004で取得した業務サーバ群IDに対応したSEC−IDを、SEC/サーバ群テーブル404(図4D参照)から取得する。E/D設定プログラム224は、そのSEC−IDに対応した暗号強度(鍵長)を、サーバ群/SECテーブル403(図4C参照)から取得する。
【0089】
S1011:E/D設定プログラム224は、S1009で取得した暗号強度と、S1010で取得した暗号強度とを比較する。比較の結果が、暗号強度が互いに同一であれば、S1012が行われ、暗号強度が互いに異なっていれば、S1013が行われる。
【0090】
S1012:S1010で取得された暗号強度と同一の暗号強度の暗号鍵/復号鍵が生成され、その暗号鍵/復号鍵が、コピー先VOLに対応したE/Dコントローラ(以下、コピー先E/Dコントローラ)に設定される。具体的には、例えば、E/D生成プログラム223が、ステップ1009で取得した暗号強度と同一の暗号強度の新しい暗号鍵/復号鍵を生成する。E/D生成プログラム223は、その暗号鍵/復号鍵のIDを、鍵テーブル603及び鍵割当テーブル604に格納し、その暗号鍵/復号鍵を、鍵テーブル603及びE/Dコントローラテーブル702に格納する。E/D設定プログラム224は、コピー先VOLに対応したE/DコントローラIDをVOLテーブル703から取得する。E/D設定プログラム224は、そのE/DコントローラIDに対応したコピー先E/Dコントローラに、上記生成した暗号鍵/復号鍵を設定する。
【0091】
S1013:S1009で取得された暗号強度とS1010で取得された暗号強度とのうちの強い方の暗号強度以上の暗号強度の暗号鍵/復号鍵が生成され、その暗号鍵/復号鍵が、コピー先E/Dコントローラに設定される。具体的には、例えば、E/D生成プログラム223が、S1009で取得された暗号強度とS1010で取得された暗号強度とのうちの強い方の暗号強度以上の暗号強度の暗号鍵/復号鍵を生成する。E/D生成プログラム223は、その暗号鍵/復号鍵のIDを、鍵テーブル603及び鍵割当テーブル604に格納し、その暗号鍵/復号鍵を、鍵テーブル603及びE/Dコントローラテーブル702に格納する。E/D設定プログラム224は、コピー先VOLに対応したE/DコントローラIDをVOLテーブル703から取得する。E/D設定プログラム224は、そのE/DコントローラIDに対応したE/Dコントローラに、上記生成した暗号鍵/復号鍵を設定する。
【0092】
S1014:コピー指示プログラム221は、コピー元VOLを有するE/Dストレージとコピー先VOLを有するE/Dストレージに、E/Dコピーを指示する。それらのE/Dストレージが別々であれば、別々のE/DストレージにE/Dコピーが指示され、それらのE/Dストレージが同一であれば、その一つのE/DストレージにE/Dコピーが指示される。前者を例に採ると、図3において、コピー元VOLはVOL#1、コピー先VOLはVOL#100である。この場合、例えば、コピー指示プログラム221は、コピー元VOLのID#1に対応したストレージID#1と、コピー先VOLのID#100に対応したストレージID#100とを、VOLテーブル703(図7C参照)から取得する。コピー指示プログラム221は、コピー元VOLのID#1とコピー先VOLのID#100の他にE/D抑止フラグ「OFF」を含んだコピー指示を、E/DストレージID#1に対応するE/Dストレージ#1と、E/DストレージID#100に対応するE/Dストレージ#100とに送信する。これにより、ペアテーブル104P及び104Sに、それぞれ、VOL#1とVOL#100のペアについてE/D抑止フラグ「OFF」が設定され、コピー元VOL#1からコピー先VOL#100へのリモートコピーが行われる。その際、コピー元VOL#1から読み出された暗号化データは、E/Dコントローラ#1によって、復号鍵#1を用いて復号化される。復号化されたデータがCTL#100に転送される。そのデータが、E/Dコントローラ#100によって、暗号鍵#100を用いて暗号化される。その暗号化されたデータが、コピー先VOL#100に格納される。
【0093】
以上が、コピー制御処理についての説明である。
【0094】
なお、S1012、S1013では、既存の鍵を用いることなく新たな鍵が作られても良いし、既存の鍵を利用して新たな鍵が造られても良い。例えば、E/D生成プログラム223が、コピー先のE/Dストレージについて既に設定されている暗号鍵/復号鍵を用いて、コピー先E/Dコントローラに設定する暗号鍵/復号鍵を生成しても良い。
【0095】
また、S1012では、同一の暗号強度の暗号鍵/復号鍵が生成されることに代えて、コピー元VOLについての暗号鍵/復号鍵が、コピー先E/Dコントローラにコピーされても良い。
【0096】
以上、本発明の好適な幾つかの実施例を説明したが、本発明は、これらの実施例に限定されるものでなく、その要旨を逸脱しない範囲で種々変更可能であることはいうまでもない。
【0097】
例えば、SECが同一か否かは、データセンターが同一か否か、及び/又は、業務サーバ群が同一か否かに代えて又は加えて、暗号強度が同一か否か、及び/又は、暗号鍵/復号鍵が同一か否かが考慮されても良い。
【0098】
また、暗号強度は、鍵長に代えて又は加えて、暗号方式など他の要素で定義されても良い。イニシャルベクターが暗号強度の概念に含まれても良い。つまり、暗号強度が同一か否かの判定の際に、イニシャルベクターが考慮されても良い。
【符号の説明】
【0099】
201…管理サーバ
【技術分野】
【0001】
本発明は、暗号化/復号化機能を有するストレージシステムの制御に関する。
【背景技術】
【0002】
ホストからの書込み対象のデータを暗号化して論理ボリューム(以下、「VOL」と略記)に格納するストレージシステムが知られている(例えば特許文献1)。以下、VOLに書き込まれるデータを暗号化する機能を「暗号化機能」と言い、VOLから読み出された暗号化データ(暗号化されているデータ)を復号化する機能を「復号化機能」と言う。また、暗号化及び/又は復号化を「E/D」と略すことがある。
【0003】
VOL間でのデータコピー(以下、VOLコピー)を行う技術も知られている。VOLコピーでは、コピー元VOLからデータが読み出され、そのデータがコピー先VOLに書き込まれる。
【0004】
VOLコピーとしては、ローカルコピー及びリモートコピーがある(例えば特許文献2及び3)。ローカルコピーとは、1つのストレージシステム内のVOL間でのデータコピーである。リモートコピーとは、第1のストレージシステム内のコピー元VOLから第2のストレージシステム内のコピー先VOLへのデータのコピーである。
【0005】
また、VOLコピーとしては、VOL間でのデータマイグレーションがある(例えば特許文献4)。一般に、データマイグレーションでは、コピーされたデータがコピー元VOLから削除される。
【先行技術文献】
【特許文献】
【0006】
【特許文献1】特許3911964号公報
【特許文献2】特開2008−134988号公報
【特許文献3】特開2008−134986号公報
【特許文献4】特許3641872号公報
【発明の概要】
【発明が解決しようとする課題】
【0007】
コピー元VOLが、E/D機能を有したストレージシステム(以下、E/Dストレージ)内のVOLであり、コピー先VOLが、そのE/Dストレージ又はそれとは別のE/Dストレージ内のVOLであるとする。
【0008】
E/Dストレージは、VOLに書き込まれるデータを暗号したり、VOLから読み出された暗号化データを復号化したりする(前述の特許文献1参照)。
【0009】
このため、コピー元VOLからコピー先VOLへのデータのコピーでは、コピー元VOLから読み出された暗号化データが復号化され、復号化されたデータが再び暗号化されてコピー先VOLに書き込まれることになる。このため、1以上のE/DストレージでのVOLコピーの負荷が高くなってしまう。
【0010】
そこで、本発明の目的は、暗号化/復号化機能を有する1以上のストレージシステムでのボリュームコピーの負荷を軽減することにある。
【課題を解決するための手段】
【0011】
1以上のE/Dストレージに計算機が接続される。計算機は、コピー元VOL及びコピー先VOLに関するセキュリティ方針に関わる情報を含んだ制御情報を基に、コピー先VOLに関するセキュリティ方針が、コピー元VOLに関するセキュリティ方針と同じか否かの判断を行う。その判断の結果が肯定的であれば、計算機は、コピー元VOLに関する暗号鍵/復号鍵を、コピー先VOLに関わる暗号鍵/復号鍵として、コピー先VOLを有するE/Dストレージ(コピー先ストレージ)に設定する。そして、計算機は、コピー元VOLからコピー先VOLへのデータコピーと、非復号化及び非暗号化とを、コピー元ストレージ及び/又はコピー先ストレージに指示する。
【図面の簡単な説明】
【0012】
【図1】図1は、本発明の一実施形態の概要を示す。
【図2】図2Aは、管理サーバ201のハードウェア構成を示す。図2Bは、E/Dストレージ205の構成を示す。
【図3】図3は、管理サーバ201で実行されるコンピュータプログラム及び用いられるデータ、並びに、データセンターの例を示す。
【図4】図4Aは、センターSECテーブル401を示す。図4Bは、SEC/センターテーブル402を示す。図4Cは、サーバ群SECテーブル403を示す。図4Dは、SEC/サーバ群テーブル404を示す。
【図5】図5Aは、センターテーブル501を示す。図5Bは、センター/サーバ群テーブル502を示す。図5Cは、センター/ストレージテーブル503を示す。
【図6】図6Aは、業務サーバ群テーブル601を示す。図6Bは、業務サーバテーブル602を示す。図6Cは、鍵テーブル603を示す。図6Dは、鍵割当テーブル604を示す。
【図7】図7Aは、ストレージテーブル701を示す。図7Bは、E/Dコントローラテーブル702を示す。図7Cは、VOLテーブル703を示す。図7Dは、パステーブル704を示す。
【図8】図8は、コピー元のE/Dストレージ#1が有するコントローラ(CTL)#1が行う処理と、コピー先のE/Dストレージ#100が有するコントローラ(CTL)#100が行う処理の説明図である。
【図9】図9は、コピー制御処理の流れを示す。
【発明を実施するための最良の形態】
【0013】
以下、図面を参照して、本発明の一つの実施形態を説明する。なお、以下の説明でも、論理ボリュームを「VOL」と略記し、暗号化/復号化機能を有するストレージシステムを「E/Dストレージ」と言うことがある。また、以下の説明における「プロセッサ」は、典型的にはCPU等のマイクロプロセッサであるとする。
【0014】
図1は、本発明の一実施形態の概要を示す。
【0015】
コピー元VOL218Pとコピー先VOL218Sがある。コピー元VOL218Pとコピー先VOL218Sが一つのデータセンター208に存在するケースもあれば、コピー元VOL218Pが第1のデータセンター208Aに存在し、コピー先VOL218Sが第2のデータセンター208Bに存在するケースもある。以下、前者のケースを「第1ケース」と言い、後者のケースを「第2ケース」と言う。
【0016】
データセンター208、208A、208Bは、業務サーバ群とE/Dストレージとを有する。
【0017】
具体的には、第1ケースでは、例えば、データセンター208は、1以上(例えば2つ)の業務サーバ群202A、202Bと、E/Dストレージ205とを有する。このケースでは、E/Dストレージ205が有する複数のVOLに、コピー元とコピー先の両方のVOL218P及び218Sが含まれる。業務サーバ群202A、202Bが、ストレージネットワーク221を介して、E/Dストレージ205内のVOLにアクセスする。ストレージネットワークは、第1の通信ネットワーク、例えば、FCプロトコルで通信が行われる通信ネットワーク(例えばSAN(Storage Area Network))である。
【0018】
第2ケースでは、例えば、第1のデータセンター208Aが、1以上(例えば1つの)業務サーバ群202Aと第1のE/Dストレージ205Pとを有し、第2のデータセンター208Bが、1以上(例えば1つの)業務サーバ群202Bと第2のE/Dストレージ205Sとを有する。このケースでは、第1のE/Dストレージ205Pが有する1以上のVOLに、コピー元VOL218Pが含まれ、第2のE/Dストレージ205Sが有する1以上のVOLに、コピー先VOL218Sが含まれる。業務サーバ群202Aが、ストレージネットワーク221Pを介して、第1のE/Dストレージ205P内のVOLにアクセスする。業務サーバ群202Bが、ストレージネットワーク221Sを介して、第2のE/Dストレージ205S内のVOLにアクセスする。
【0019】
業務サーバ群202A(202B)は、少なくとも1つの業務サーバ203A(203B)を有する。業務サーバ203A(203B)は、VOLを指定したI/O要求(ライト要求又はリード要求)を送信することで、VOLにアクセスする。
【0020】
VOL218P、218Sは、実VOLであっても良いし仮想VOLであっても良い。
【0021】
実VOLは、例えば、RAID(Redundant Array of Independent (or Inexpensive) Disks)グループに基づくVOLである。RAIDグループは、複数の物理記憶デバイス(例えば、ハードディスク又はフラッシュメモリ)で構成されており、そのRAIDグループについて定義されたRAIDレベルでデータを格納する。一つのRAIDグループに基づく複数のVOLにコピー元VOL218P及びコピー先VOL218Sが含まれても良いが、それらのVOL218P及び218Sは異なるRAIDグループに基づくことが好ましい。
【0022】
仮想VOLは、例えば、プールを構成するVOL内の記憶領域が動的に割り当てられることで実容量が動的に増加/減少するタイプのVOL(例えばThin Provisioning技術に従うVOL)、或いは、外部のストレージシステム内の記憶資源を基に形成されたVOLであっても良い。
【0023】
E/Dストレージ205、205P、205Sは、1以上のE/Dコントローラ(図では「E/D−CTL」と表記)を有する。E/Dコントローラは、データの暗号化及び復号化を行うコントローラであり、例えば、ハードウェア回路である。E/Dコントローラは、例えば、メモリを有し、そのメモリが、VOL毎に割り当てられる暗号鍵/復号鍵(図では「EK/DK」と表記)を記憶する。図1によれば、E/Dコントローラ204Pに、コピー元VOL218Pに対応した暗号鍵/復号鍵207Pが設定されている。そして、E/Dコントローラ204Sには、VOLコピー(VOL間でのデータのコピー)の際に、コピー先VOL218Sに対応した暗号鍵/復号鍵207Sが設定される。E/Dコントローラ204Pは、コピー元VOLに入出力されるデータを暗号化/復号化するコントローラである。E/Dコントローラ204Sは、コピー先VOL218Sに入出力されるデータを暗号化/復号化するコントローラである。
【0024】
E/Dストレージ205、205P、205Sに、管理ネットワーク(図示せず)を介して、管理サーバ201が接続されている。管理ネットワークは、第2の通信ネットワーク、例えば、IP(Internet Protocol)で通信が行われる通信ネットワーク(例えばLAN(Local
Area Network))である。管理サーバ201は、コピー先VOL218Sに関するセキュリティ方針が、コピー元VOL218Pに関するセキュリティ方針と同じか否かの判断を行う。その判断の結果が否定的であれば、管理サーバ201は、暗号化/復号化コピー(以下、E/Dコピー)を実行させる。一方、その判断の結果が肯定的であれば、管理サーバ201は、非E/Dコピー、すなわち、暗号化及び復号化を行わないVOLコピーを実行させる。
【0025】
具体的には、例えば、管理サーバ201は、管理者からコピー指示を受けたときに(S200)、コピー先VOL218Sを有するデータセンターがコピー元VOL218Pを有するデータセンターと同一か否かの判断を行う(S201)。コピー先及びコピー元のVOLは、コピー指示で指定されている。
【0026】
S201の判断の結果が肯定的であれば(S201:YES)、管理サーバ201は、コピー先VOL218Sにアクセスする業務サーバを含んだ業務サーバ群が、コピー元VOL218Pにアクセスする業務サーバを含んだ業務サーバ群と同一か否かの判断を行う(S202)。
【0027】
S202の判断の結果が肯定的であれば(S202:YES)、コピー先VOL218Sに関するセキュリティ方針が、コピー元VOL218Pに関するセキュリティ方針と同一であるということである。また、S202:YESとなるのは、第1ケースについてである。この場合、管理サーバ201は、暗号化及び復号化が不要なVOLコピー(以下、非E/Dコピー)を行うことを決定する(S203)。具体的には、例えば、管理サーバ201は、E/Dコントローラ204Pに設定されている暗号鍵/復号鍵207Pを、コピー先VOL218Sに関わる暗号鍵/復号鍵207Sとして、E/Dコントローラ204Sに設定する。そして、管理サーバ201は、コピー元VOL218Pからコピー先VOL218Sへの非E/Dコピー(VOLコピーと、非復号化/非暗号化)を、E/Dストレージ205に指示する。これにより、非E/Dコピーが行われる。すなわち、コピー元VOL218Pから、暗号化されているデータ(暗号化データ)が読み出され、その暗号化データが、復号化及び再暗号化されることなく、そのままコピー先VOL218Sに書き込まれる。
【0028】
一方、S201の判断の結果が否定的であれば(S201:NO)、又は、S202の判断の結果が否定的であれば(S202:NO)、管理サーバ201は、暗号化及び復号化が必要なVOLコピー(以下、非E/Dコピー)を行うことを決定する(S204)。具体的には、例えば、管理サーバ201は、コピー先VOL218Sに対応した新たな暗号鍵/復号鍵207SをE/Dコントローラ204Sに設定する。そして、管理サーバ201は、コピー元VOL218Pからコピー先VOL218SへのE/Dコピー(データコピー、暗号化/復号化)を、E/Dストレージ205、又は、E/Dストレージ205P及び/又は205Sに指示する。これにより、E/Dコピーが行われる。すなわち、コピー元VOL218Pから、暗号化データが読み出され、その暗号化データが、復号鍵207Pで復号化されて、復号化されたデータが、暗号鍵207Sで暗号化されて、コピー先VOL218Sに書き込まれる。
【0029】
以下、本実施形態をより詳細に説明する。なお、以下の説明において、「記憶資源」は、例えば、主記憶及び/又は補助記憶である。主記憶は、例えば揮発性又は不揮発性のメモリであり、補助記憶は、不揮発性の物理記憶デバイス(例えばハードディスク或いはフラッシュメモリ)である。また、以下の説明では、セキュリティ方針を「SEC」と略記する。
【0030】
業務サーバ203A、203Bは、計算機の一つであり、記憶資源と、記憶資源に接続されたプロセッサと、ストレージネットワークを介した通信を行うためのI/F(インターフェース装置)とを有する。プロセッサは、オペレーティングシステム(OS)やアプリケーションなどのコンピュータプログラムを記憶資源から読み出して実行する。プロセッサは、VOLを指定したI/O要求を発行する。
【0031】
管理サーバ201も、計算機の一つであり、図2Aに示すように、記憶資源15と、記憶資源15に接続されたプロセッサ13と、管理ネットワークを介した通信を行うためのI/F17とを有する。
【0032】
E/Dストレージ205(205P、205Sも同様)は、例えば、記憶部32とコントローラ22とに大別することができる。
【0033】
記憶部32は、複数のRAIDグループを有し、各RAIDグループは、複数の物理記憶デバイス(例えばハードディスク或いはフラッシュメモリ)33を有する。
【0034】
コントローラ22は、E/Dストレージ205の動作を制御する装置である。コントローラ22は、例えば下記の要素、
(1)ストレージネットワークを介した通信を制御するフロントエンドインターフェース装置(FE−I/F)29;
(2)管理ネットワークを介した通信を制御する管理インタフェース装置(M−I/F)30;
(3)各物理記憶デバイス33との通信を制御するバックエンドインターフェース装置(BE−I/F)31;
(4)物理記憶デバイス33と業務サーバ203A(203B)との間で授受されるデータを一時的に記憶するキャッシュメモリ26;
(5)E/Dストレージ205を制御するためのデータやコンピュータプログラムを記憶するメモリ(制御メモリ)25;
(6)制御メモリ25からコンピュータプログラムを読み込んで実行するプロセッサ23;
(7)設定されている暗号鍵を用いてデータを暗号化する、及び、設定されている復号鍵を用いて暗号化データを復号化するE/Dコントローラ204、
を有する。
【0035】
E/Dコントローラ204は、例えばハードウェア回路であり、メモリ(及び/又はその他の記憶資源)を有する。そのメモリに、暗号鍵/復号鍵が設定される。E/Dコントローラ204は、例えば、RAIDグループ毎に設けられる。コピー元VOLの基になるRAIDグループとコピー先VOLの基になるRAIDグループは異なる。この場合、コピー元VOLに入出力されるデータを暗号化/復号化するE/Dコントローラと、コピー先VOLに入出力されるデータを暗号化/復号化するE/Dコントローラも異なる。
【0036】
図3は、管理サーバ201で実行されるコンピュータプログラム及び用いられるデータ、並びに、データセンターの例を示す。図では、業務サーバを「BS」と略記し、E/Dストレージを「STORAGE」と記載し、暗号鍵を「EK」と略記し、復号鍵を「DK」と略記している。
【0037】
データセンター#1と#100がある。
【0038】
データセンター#1は、業務サーバ群#1とE/Dストレージ#1を有する。業務サーバ群#1は、業務サーバ#1及び#2で構成されている。業務サーバ#1のI/F(例えばホストバスアダプタのポート)には、識別子として、WWN(World Wide Name)#1が割り当てられており、業務サーバ#2のI/Fには、WWN#2が割り当てられている。E/Dストレージ#1はE/Dストレージ#100に接続されている。E/Dストレージ#1は、VOL#1及び#2と、VOL#1に入出力されるデータを暗号化/復号化するE/Dコントローラ#1と、VOL#2に入出力されるデータを暗号化/復号化するE/Dコントローラ#2とを有する。E/Dコントローラ#1に、暗号鍵#1及び復号鍵#1が設定されている。図3に示す例において、VOL#1がコピー元VOLとされ、VOL#2がコピー先VOLとされた場合、図9を参照して説明する処理により、E/Dコントローラ#2に、E/Dコントローラ#1に設定されている暗号鍵#1/復号鍵#1と同じ暗号鍵#1/復号鍵#1が設定される。なお、暗号鍵/復号鍵は、例えば、暗号方式が共通鍵方式の場合、暗号鍵/復号鍵は一体であり、暗号方式が公開鍵方式の場合、暗号鍵と復号鍵は別々の鍵である。
【0039】
データセンター#100は、業務サーバ群#10とE/Dストレージ#100を有する。業務サーバ群#10は、業務サーバ#100で構成されている。業務サーバ#10のI/Fには、WWN#100が割り当てられている。E/Dストレージ#100は、VOL#100と、VOL#100に入出力されるデータを暗号化/復号化するE/Dコントローラ#100とを有する。図3に示す例において、VOL#1がコピー元VOLとされ、VOL#100がコピー先VOLとされた場合、図9を参照して説明する処理により、E/Dコントローラ#100に、E/Dコントローラ#1に設定されている暗号鍵#1/復号鍵#1とは異なる暗号鍵#100/復号鍵#100が設定される。
【0040】
管理サーバ201で実行されるコンピュータプログラムとしては、例えば、以下のプログラム:
(1)VOLコピーをE/Dストレージに指示するコピー指示プログラム221;
(2)コピー元VOLについてのSECとコピー先VOLについてのSECとを比較するSEC判定プログラム222;
(3)暗号鍵/復号鍵を生成する暗号鍵/復号鍵生成プログラム223;及び
(4)暗号鍵/復号鍵を設定する暗合鍵/復号鍵設定プログラム224、
がある。これらのプログラムは、メモリからプロセッサ13にロードされて実行される。以下、コンピュータプログラムが主語になる場合は、実際にはそのコンピュータプログラムを実行するプロセッサ13によって処理が行われるものとする。なお、これらのプログラムは、プログラムソース301からインストールされる。プログラムソース301は、例えば、サーバ或いは記憶メディア(例えば、CD−ROM)である。プログラムソース301がサーバの場合、ソース301は、配布対象のプログラム等を記憶する記憶資源(例えばメモリ)と、I/Fと、記憶資源に接続されておりプログラムをI/Fを介して配布するプロセッサとを有する。
【0041】
管理サーバ201で参照される情報としては、例えば、以下のテーブル群:
(1)SECに関する情報を表すSEC関連テーブル群231;
(2)データセンターに関する情報を表すセンター関連テーブル群232;
(3)業務サーバに関する情報を表す業務サーバ関連テーブル群233;
(4)E/Dストレージに関する情報を表すストレージ関連テーブル群234、及び
(5)暗号鍵/復号鍵に関する情報を表す鍵関連テーブル群235、
がある。これらのテーブル群は、記憶資源15に記憶される。なお、情報は、テーブル群に限らず、他の種類の情報であっても良い。
【0042】
以下、図4A〜図7Dを参照して、テーブル群231、232、233、234及び235を詳細に説明する。図4A〜図7Dに示すテーブルは、図3に示した例(データセンター、業務サーバ群及びE/Dストレージの構成例)に対応している。
【0043】
図4A〜図4Dに示すテーブルが、SEC関連テーブル群231に含まれているテーブルである。
【0044】
図4Aは、センターSECテーブル401を示す。このテーブル401は、センターSEC毎の定義を表す。具体的には、例えば、このテーブル401には、センターSEC毎に、センターSECのIDと、そのセンターSECについて定められた鍵長を表す情報とが記述されている。なお、「センターSEC」とは、データセンターについてのSECである。
【0045】
図4Bは、SEC/センターテーブル402を示す。このテーブル402は、どのセンターSECがどのデータセンターに適用されているかを表す。具体的には、例えば、このテーブル402には、センターSEC毎に、センターSECのIDと、そのセンターSECが適用されているデータセンターのIDとが記述されている。
【0046】
図4Cは、サーバ群SECテーブル403を示す。このテーブル403は、サーバ群SEC毎の定義を表す。具体的には、例えば、このテーブル403には、サーバ群SEC毎に、サーバ群SECのIDと、そのサーバ群SECについて定められた鍵長を表す情報とが記述されている。また、このテーブル403には、サーバ群SECに適用されているセンターSECのIDも記述されている。なお、「サーバ群SEC」とは、業務サーバ群についてのSECである。また、サーバ群SECについての鍵長は、そのサーバ群SECに適用されているセンターSECについての鍵長以上である。言い換えれば、サーバ群SECについての鍵長の下限が、そのサーバ群SECに適用されているセンターSECについての鍵長である。
【0047】
図4Dは、SEC/サーバ群テーブル404を示す。このテーブル404は、どのサーバ群SECがどの業務サーバ群に適用されているかを表す。具体的には、例えば、このテーブル404には、サーバ群SEC毎に、サーバ群SECのIDと、そのサーバ群SECが適用されている業務サーバ群のIDとが記述されている。
【0048】
図5A〜図5Cに示すテーブルが、センター関連テーブル群232に含まれているテーブルである。
【0049】
図5Aは、センターテーブル501を示す。このテーブル501は、データセンターの名称(例えば場所)を表す。具体的には、例えば、このテーブル501には、データセンター毎に、データセンターのIDと、そのデータセンターの名称とが記述されている。
【0050】
図5Bは、センター/サーバ群テーブル502を示す。このテーブル502は、どのデータセンターにどの業務サーバ群が含まれているかを表す。具体的には、例えば、このテーブル502には、データセンター毎に、データセンターのIDと、そのデータセンターが有する業務サーバ群のIDとが記述されている。
【0051】
図5Cは、センター/ストレージテーブル503を示す。このテーブル503は、どのデータセンターにどのE/Dストレージが含まれているかを表す。具体的には、例えば、このテーブル503には、データセンター毎に、データセンターのIDと、そのデータセンターが有するE/DストレージのIDとが記述されている。
【0052】
図6A〜図6Bに示すテーブルが、業務サーバ関連テーブル群233に含まれているテーブルである。
【0053】
図6Aは、業務サーバ群テーブル601を示す。このテーブル601は、どの業務サーバ群にどのサーバが含まれているかを表す。具体的には、例えば、このテーブル601には、業務サーバ群毎に、業務サーバ群のIDと、その業務サーバ群に含まれているサーバのIDとが記述されている。
【0054】
図6Bは、業務サーバテーブル602を示す。このテーブル602は、どの業務サーバがどんなWWNが割り当てられたI/F(ポート)を有するかを表す。具体的には、例えば、このテーブル602には、業務サーバ毎に、業務サーバのIDと、その業務サーバが有するI/FのWWNとが記述されている。
【0055】
図6C〜図6Dに示すテーブルが、鍵関連テーブル群235に含まれているテーブルである。
【0056】
図6Cは、鍵テーブル603を示す。このテーブル603は、暗号鍵/復号鍵の属性やそれらの鍵を用いる暗号化/復号化の属性を表す。具体的には、例えば、このテーブル603には、暗号鍵/復号鍵毎に、暗号鍵/復号鍵のIDと、その暗号鍵/復号鍵を用いた暗号化/復号化の方式を表す情報と、その暗号鍵/復号鍵の鍵長を表す情報と、暗号鍵それ自体と、復号鍵それ自体とが記述される。
【0057】
図6Dは、鍵割当テーブル604を示す。このテーブル604は、どの暗号鍵/復号鍵がどの業務サーバ群に割り当てられているかを表す。具体的には、例えば、このテーブル604には、暗号鍵/復号鍵毎に、暗号鍵/復号鍵のIDと、その暗号鍵/復号鍵が割り当てられている業務サーバ群のIDとが記述される。
【0058】
図7A〜図7Dに示すテーブルが、ストレージ関連テーブル群234に含まれているテーブルである。
【0059】
図7Aは、ストレージテーブル701を示す。このテーブル701には、例えば、各E/DストレージのIDが記述されている。
【0060】
図7Bは、E/Dコントローラテーブル702を示す。このテーブル702は、どのE/DストレージにどのE/Dコントローラがあるかと、どのE/Dコントローラがどんな暗号鍵/復号鍵を有するかを表す。具体的には、例えば、このテーブル702には、E/Dコントローラ毎に、E/DコントローラのIDと、そのE/Dコントローラを有するE/DストレージのIDと、そのE/Dコントローラが有する暗号鍵/復号鍵とが記述される。なお、暗号鍵/復号鍵に代えて、そのIDが記述されても良い。
【0061】
図7Cは、VOLテーブル703を示す。このテーブル703は、どのVOLがどのE/Dストレージに存在しどのE/Dコントローラによって暗号化/復号化が行われるかを表す。具体的には、例えば、このテーブル703には、VOL毎に、VOLのIDと、そのVOLを有するE/DストレージのIDと、そのVOLに入出力されるデータを暗号化/復号化するE/DコントローラのIDとが記述される。
【0062】
図7Dは、パステーブル704を示す。このテーブル704は、業務サーバからVOLへのパスの構成を表す。具体的には、例えば、このテーブル704には、パス毎に、パスのIDと、そのパスの一端であるI/F(業務サーバが有するI/F)のWWNと、そのパスの他端であるVOLのIDと、そのVOLを有するE/DストレージのIDとが記述される。
【0063】
以上が、図3に示したテーブル群231、232、233、234及び235についての詳細である。なお、本実施形態では、データセンター毎及び業務サーバ毎にSECがあるが、SECは、異なる単位で定義されても良い。
【0064】
図8は、コピー元のE/Dストレージ#1が有するコントローラ(CTL)#1が行う処理と、コピー先のE/Dストレージ#100が有するコントローラ(CTL)#100が行う処理の説明図である。なお、この図は、VOLコピーがリモートコピーである場合の図である。
【0065】
CTL#1(#100)は、ペアテーブル104P(104S)を有する。ペアテーブル104P(104S)は、例えば制御メモリ25に格納されている。ペアテーブル104P(104S)は、どのVOLとどのVOLがペアになっているかを表す情報である。例えば、ペアテーブル104P(104S)は、VOLペア毎に、コピー元のE/DストレージのID、コピー元のVOLのID、コピー先のE/DストレージのID、コピー先のVOLのID、及び、VOLコピーの際に暗号化/復号化を抑止するか否かを表すフラグ(以下、E/D抑止フラグ)を有する。E/D抑止フラグは、暗号化/復号化を抑止する(暗号化/復号化が不要)であれば、ONとされ、暗号化/復号化を抑止しない(暗号化/復号化が必要)であれば、OFFとされる。テーブルに限らず他種の形式の情報が採用されても良い。また、E/DストレージのIDは省略されても良い。
【0066】
CTL#1及び#100が行う処理として、例えば、「VOLペアの作成」、「暗号鍵/復号鍵の設定」、「ライト処理」、「リード処理」及び「リモートコピー処理」がある。
【0067】
「VOLペアの作成」は、以下の通りである。すなわち、CTL#1(#100)は、管理サーバ201(コピー指示プログラム221)から、暗号化に関する指定を伴ったVOLコピーのペア作成要求を受信する。そして、CTL#1は、その要求で指定されているVOLペアに関する情報を、ペアテーブル104Pに設定する。また、CTL#1は、ペア作成要求が、暗号化/復号化が不要であることを表す情報を含んでいれば、そのVOLペアについてのE/D抑止フラグをONにする。また、CTL#1は、CTL#100に、ペアテーブル104Pに設定した情報(ペア作成要求に従うVOLペアについての情報)と同じ情報をペアテーブル104Sに設定させる。
【0068】
「暗号鍵/復号鍵の設定」は、例えば以下の通りである。すなわち、CTL#1は、管理サーバ201(暗号鍵/復号鍵設定プログラム224)から、鍵設定要求を受信する。その要求は、暗号鍵/復号鍵と、その暗号鍵/復号鍵についてのボリュームIDと、E/DコントローラのIDとを含んでいる。CTL#1は、その要求に応答して、その要求内の暗号鍵/復号鍵とボリュームIDとを、CTL#1のメモリに格納する。具体的には、CTL#1は、鍵設定要求内のボリュームID及びE/DコントローラIDを、VOLテーブル703に格納し、その要求内の暗号鍵/復号鍵及びE/DコントローラIDを、E/Dコントローラ702に格納する。
【0069】
「ライト処理」は、例えば以下の通りである。
(1)CTL#1は、VOL#1とVOL内アドレス(例えばLBA(Logical Block Address))を指定したライト要求とライトデータとを受信する。
(2)CTL#1は、指定されたVOL#1及びVOL内アドレスから、ライトデータを格納すべき物理記憶デバイスを特定する。
(3)CTL#1は、指定されたVOL#1についての暗号鍵を、テーブル703及び702を参照することで特定する。
(4)CTL#1は、特定した暗号鍵でライトデータを暗号化し、その後に、特定した物理記憶デバイスに、暗号化したデータを格納する。
【0070】
「リード処理」は、例えば以下の通りである。
(1)CTL#1は、VOL#1とVOL内アドレスを指定したリード要求を受信する。
(2)CTL#1は、指定されたVOL#1及びVOL内アドレスから、リード要求の送信元の業務ホストに転送すべきデータを格納した物理記憶デバイスを特定する。
(3)CTL#1は、指定されたVOL#1についての復号鍵を、テーブル703及び702を参照することで特定する。
(4)CTL#1は、特定した物理記憶デバイスからデータ(暗号化データ)を読み出し、そのデータを、特定した復号鍵で復号化し、その後に、復号化されたデータをリード要求の送信元の業務ホストに転送する。
【0071】
「リモートコピー処理」は、例えば、「初期化処理」と、「二重化状態の処理」と、「コピー再開処理」とを含む。
【0072】
「初期化処理」は、例えば次の通りである。以下の説明では、コピー元VOL#1とコピー先VOL#100とのペアに対応したE/D抑止フラグを「対象フラグ」と言う。
(A1)CTL#1が、管理サーバ201(コピー指示プログラム221)から、ペア初期化指示を受信する。ペア初期化指示は、コピー元のE/DストレージのID、コピー元VOLのID、コピー先のE/DストレージのID、コピー先VOLのID、及び、コピー時のE/D抑止フラグ(ON又はOFF)を含んでいる。
(A2)CTL#1は、ペア初期化指示内の情報を、ペアテーブル104P(104S)に格納する。
(A3)CTL#1は、初期コピーを開始する。具体的には、初期コピーでは、下記の処理:
(A3−1)CTL#1が、コピー元VOL#1内の暗号化データを読み出す;
(A3−2)CTL#1は、ペアテーブル104P内の対象フラグがOFFであれば、読み出した暗号化データを、コピー元VOLに対応する暗号鍵で復号化し、復号化されたデータを、コピー先のE/Dストレージ#100(CTL#100)へ送信する(対象フラグがONであれば、暗号化データを復号化することなくCTL#100へ送信する);
(A3−3)CTL#100は、ペアテーブル104S内の対象フラグがOFFであれば、受信したデータを、コピー先VOLに対応する復号鍵で暗号化し、暗号化されたデータを、コピー先VOLに格納する(対象フラグがONであれば、受信したデータを暗号化することなくコピー先VOLに格納する);
が行われる。(A3−1)〜(A3−3)の処理は、指定されたVOL(または領域)の全てのアドレス空間について行われる。
(A4)CTL#1は、初期コピーが終わった時点で、VOLペアの状態を二重化状態に遷移させる。
【0073】
「二重化状態の処理」は、例えば次の通りである。
(B1)CTL#1が、コピー元VOL#1に対するライト要求を受信したら、上記ライト処理に伴って受信したライトデータを、CTL#100へ送信する。なお、キャッシュメモリ26上で、ライトデータが暗号化されるのであれば、ペアテーブル104P内の対象フラグがONの場合は、暗号化されたライトデータがそのまま送信され、その対象フラグがOFFの場合、暗号化データが、復号化された後にCTL#100に送信される。
(B2)CTL#100は、ライトデータを受信する。CTL#100は、ペアテーブル104S内の対象フラグがONの場合、暗号化ライトデータをコピー先VOL#100に格納する。一方、CTL#100は、その対象フラグがOFFの場合、当該ライトデータをコピー先VOL#100に対応する暗号鍵で暗号化し、その暗号化データを、コピー先VOL#100に格納する。
【0074】
「コピー再開処理」では、CTL#1が、コピー再開要求を受信した後に、「初期化処理」の(A3)以降を、差分が発生した領域について行う。
【0075】
以上が、「リモートコピー処理」についての説明である。なお、コピー先VOLが、コピー元VOLが存在するE/Dストレージ内にあれば、ローカルコピー処理が行われる。ローカルコピー処理は、リモートコピー処理と実質的に同じである。ローカルコピー処理では、リモートコピー処理でCTL#100が行う処理が、CTL#1によって行われる。
【0076】
管理サーバ201は、管理者からコピー指示を受けたときに、図9に示すコピー制御処理を行う。コピー指示では、例えば、コピー元VOLのIDとコピー先VOLのIDが指定されている。
【0077】
図9は、コピー制御処理の流れを示す。
【0078】
S1001:SEC判定プログラム222が、コピー元に関するデータセンターIDを取得する。具体的には、例えば、SEC判定プログラム222は、コピー指示で指定されているコピー元VOLのIDに対応したストレージIDをVOLテーブル703(図7C参照)から取得する。SEC判定プログラム222は、そのストレージIDに対応したデータセンターIDをセンター/ストレージテーブル503(図5C参照)から取得する。
【0079】
S1002:SEC判定プログラム222が、コピー先に関するデータセンターIDを取得する。具体的には、例えば、SEC判定プログラム222は、コピー指示で指定されているコピー先VOLのIDをキーに、S1001と同様の処理を行うことで、コピー元VOLを有するE/Dストレージを含んだデータセンターのIDを取得する。
【0080】
S1003:SEC判定プログラム222が、コピー元に関する業務サーバ群IDを取得する。具体的には、例えば、SEC判定プログラム222は、コピー指示で指定されているコピー元VOLのIDに対応したWWNをパステーブル704(図7D参照)から取得する。SEC判定プログラム222は、そのWWNに対応した業務サーバIDを業務サーバテーブル602(図6B参照)から取得する。SEC判定プログラム222は、その業務サーバIDに対応した業務サーバ群IDを業務サーバ群テーブル601(図6A参照)から取得する。
【0081】
S1004:SEC判定プログラム222が、コピー元に関する業務サーバ群IDを取得する。具体的には、例えば、SEC判定プログラム222は、コピー指示で指定されているコピー先VOLのIDをキーに、S1003と同様の処理を行うことで、コピー先VOLにアクセスする業務サーバを含んだ業務サーバ群のIDを取得する。
【0082】
S1005:SEC判定プログラム222が、S1001で取得したデータセンターIDとS1002で取得したデータセンターIDとを比較する。この比較の結果、データセンターIDが互いに同一であれば、S1006が行われ、データセンターIDが互いに異なっていれば、S1011が行われる。
【0083】
S1006:SEC判定プログラム222が、S1003で取得した業務サーバ群IDとS1004で取得した業務サーバ群IDとを比較する。この比較の結果、業務サーバ群IDが互いに同一であれば、S1007が行われ、業務サーバ群IDが互いに異なっていれば、S1009が行われる。なお、S1006の前に、S1004で業務サーバ群IDが取得できたか否かが判定され、その判定の結果が否定的であれば、エラー処理が行われても良い。
【0084】
S1007及びS1008は、例えば、図3において、コピー元VOLがVOL#1で、コピー先VOLがVOL#2の場合に行われる。
【0085】
S1007:E/D設定プログラム224は、コピー元VOL#1に対応したE/Dコントローラ#1に設定されている暗号鍵/復号鍵を、コピー先VOL#2に対応したE/Dコントローラ#2にコピーする。具体的には、例えば、E/D設定プログラム224は、鍵割当テーブル604(図6D参照)から、S1003で取得した業務サーバ群ID#1に対応する暗号鍵/復号鍵ID#1を取得する。E/D設定プログラム224は、その暗号鍵/復号鍵ID#1に対応した暗号鍵#1/復号鍵#1を、鍵テーブル603(図6C参照)から取得する。E/D設定プログラム224は、コピー先VOLのID#2に対応したE/DコントローラID#2をVOLテーブル703(図7C参照)から取得する。E/D設定プログラム224は、そのE/DコントローラID#2に対応するE/Dコントローラ#2に、鍵テーブル603から取得された暗号鍵#1/復号鍵#1を設定する。
【0086】
S1008:コピー指示プログラム221は、コピー元VOL#1及びコピー先VOL#2を有するE/Dストレージ#1に、非E/Dコピーを指示する。具体的には、例えば、コピー指示プログラム221は、コピー元VOLのID#1とコピー先VOLのID#2に対応したストレージID#1をVOLテーブル703(図7C参照)から取得する。コピー指示プログラム221は、コピー元VOLのID#1とコピー先VOLのID#2の他にE/D抑止フラグ「ON」を含んだコピー指示を、E/DストレージID#1に対応するE/Dストレージ#1に送信する。これにより、E/Dストレージ#1において、E/D抑止フラグ「ON」がペアテーブル104Pに設定され、復号化や暗号化が行われることなく、コピー元VOL#1からコピー先VOL#2へのローカルコピーが行われる。
【0087】
S1009:E/D設定プログラム224は、コピー元に関する暗号強度を取得する。具体的には、例えば、E/D設定プログラム224は、S1003で取得した業務サーバ群IDに対応した暗号鍵/復号鍵IDを、鍵割当テーブル604から取得する。E/D設定プログラム224は、その暗号鍵/復号鍵IDに対応した暗号強度(鍵長)を、鍵テーブル603から取得する。
【0088】
S1010:E/D設定プログラム224は、コピー先に関する暗号強度を取得する。具体的には、例えば、E/D設定プログラム224は、S1004で取得した業務サーバ群IDに対応したSEC−IDを、SEC/サーバ群テーブル404(図4D参照)から取得する。E/D設定プログラム224は、そのSEC−IDに対応した暗号強度(鍵長)を、サーバ群/SECテーブル403(図4C参照)から取得する。
【0089】
S1011:E/D設定プログラム224は、S1009で取得した暗号強度と、S1010で取得した暗号強度とを比較する。比較の結果が、暗号強度が互いに同一であれば、S1012が行われ、暗号強度が互いに異なっていれば、S1013が行われる。
【0090】
S1012:S1010で取得された暗号強度と同一の暗号強度の暗号鍵/復号鍵が生成され、その暗号鍵/復号鍵が、コピー先VOLに対応したE/Dコントローラ(以下、コピー先E/Dコントローラ)に設定される。具体的には、例えば、E/D生成プログラム223が、ステップ1009で取得した暗号強度と同一の暗号強度の新しい暗号鍵/復号鍵を生成する。E/D生成プログラム223は、その暗号鍵/復号鍵のIDを、鍵テーブル603及び鍵割当テーブル604に格納し、その暗号鍵/復号鍵を、鍵テーブル603及びE/Dコントローラテーブル702に格納する。E/D設定プログラム224は、コピー先VOLに対応したE/DコントローラIDをVOLテーブル703から取得する。E/D設定プログラム224は、そのE/DコントローラIDに対応したコピー先E/Dコントローラに、上記生成した暗号鍵/復号鍵を設定する。
【0091】
S1013:S1009で取得された暗号強度とS1010で取得された暗号強度とのうちの強い方の暗号強度以上の暗号強度の暗号鍵/復号鍵が生成され、その暗号鍵/復号鍵が、コピー先E/Dコントローラに設定される。具体的には、例えば、E/D生成プログラム223が、S1009で取得された暗号強度とS1010で取得された暗号強度とのうちの強い方の暗号強度以上の暗号強度の暗号鍵/復号鍵を生成する。E/D生成プログラム223は、その暗号鍵/復号鍵のIDを、鍵テーブル603及び鍵割当テーブル604に格納し、その暗号鍵/復号鍵を、鍵テーブル603及びE/Dコントローラテーブル702に格納する。E/D設定プログラム224は、コピー先VOLに対応したE/DコントローラIDをVOLテーブル703から取得する。E/D設定プログラム224は、そのE/DコントローラIDに対応したE/Dコントローラに、上記生成した暗号鍵/復号鍵を設定する。
【0092】
S1014:コピー指示プログラム221は、コピー元VOLを有するE/Dストレージとコピー先VOLを有するE/Dストレージに、E/Dコピーを指示する。それらのE/Dストレージが別々であれば、別々のE/DストレージにE/Dコピーが指示され、それらのE/Dストレージが同一であれば、その一つのE/DストレージにE/Dコピーが指示される。前者を例に採ると、図3において、コピー元VOLはVOL#1、コピー先VOLはVOL#100である。この場合、例えば、コピー指示プログラム221は、コピー元VOLのID#1に対応したストレージID#1と、コピー先VOLのID#100に対応したストレージID#100とを、VOLテーブル703(図7C参照)から取得する。コピー指示プログラム221は、コピー元VOLのID#1とコピー先VOLのID#100の他にE/D抑止フラグ「OFF」を含んだコピー指示を、E/DストレージID#1に対応するE/Dストレージ#1と、E/DストレージID#100に対応するE/Dストレージ#100とに送信する。これにより、ペアテーブル104P及び104Sに、それぞれ、VOL#1とVOL#100のペアについてE/D抑止フラグ「OFF」が設定され、コピー元VOL#1からコピー先VOL#100へのリモートコピーが行われる。その際、コピー元VOL#1から読み出された暗号化データは、E/Dコントローラ#1によって、復号鍵#1を用いて復号化される。復号化されたデータがCTL#100に転送される。そのデータが、E/Dコントローラ#100によって、暗号鍵#100を用いて暗号化される。その暗号化されたデータが、コピー先VOL#100に格納される。
【0093】
以上が、コピー制御処理についての説明である。
【0094】
なお、S1012、S1013では、既存の鍵を用いることなく新たな鍵が作られても良いし、既存の鍵を利用して新たな鍵が造られても良い。例えば、E/D生成プログラム223が、コピー先のE/Dストレージについて既に設定されている暗号鍵/復号鍵を用いて、コピー先E/Dコントローラに設定する暗号鍵/復号鍵を生成しても良い。
【0095】
また、S1012では、同一の暗号強度の暗号鍵/復号鍵が生成されることに代えて、コピー元VOLについての暗号鍵/復号鍵が、コピー先E/Dコントローラにコピーされても良い。
【0096】
以上、本発明の好適な幾つかの実施例を説明したが、本発明は、これらの実施例に限定されるものでなく、その要旨を逸脱しない範囲で種々変更可能であることはいうまでもない。
【0097】
例えば、SECが同一か否かは、データセンターが同一か否か、及び/又は、業務サーバ群が同一か否かに代えて又は加えて、暗号強度が同一か否か、及び/又は、暗号鍵/復号鍵が同一か否かが考慮されても良い。
【0098】
また、暗号強度は、鍵長に代えて又は加えて、暗号方式など他の要素で定義されても良い。イニシャルベクターが暗号強度の概念に含まれても良い。つまり、暗号強度が同一か否かの判定の際に、イニシャルベクターが考慮されても良い。
【符号の説明】
【0099】
201…管理サーバ
【特許請求の範囲】
【請求項1】
1以上のストレージシステムに接続された計算機であって、
前記ストレージシステムは、暗号鍵/復号鍵と論理ボリュームとを有し、前記論理ボリュームに格納されるデータを前記暗号鍵で暗号化し、前記論理ボリュームから読み出された暗号化データを前記復号鍵で復号化し、
コピー元の論理ボリュームであるコピー元ボリュームが、前記1以上のストレージシステムのうちの或るストレージシステムにあり、
コピー先の論理ボリュームであるコピー先ボリュームが、前記コピー元ボリュームを有する前記或るストレージシステム又はそれとは別のストレージシステムにあり、
前記コピー先ボリュームを有するストレージシステムであるコピー先ストレージは、前記コピー元ボリュームを有するストレージシステムであるコピー元ストレージと同じ又は異なるストレージシステムであり、
前記復号鍵は、復号化用の鍵としても用いられる前記暗号鍵、又は、前記暗号鍵とは別の鍵であり、
前記計算機は、
記憶資源と、
前記記憶資源に接続されたプロセッサと
を備え、
前記記憶資源は、前記コピー元ボリューム及び前記コピー先ボリュームに関するセキュリティ方針に関わる情報を含んだ制御情報を記憶し、
前記プロセッサは、以下の(A)〜(C)の処理:
(A)前記制御情報を基に、前記コピー先ボリュームに関するセキュリティ方針が、前記コピー元ボリュームに関するセキュリティ方針と同じか否かの判断を行う;
(B)前記判断の結果が肯定的であれば、前記コピー元ボリュームに関する暗号鍵/復号鍵を前記コピー先ボリュームに関わる暗号鍵/復号鍵として前記コピー先ストレージに設定する;
(C)前記コピー元ボリュームから前記コピー先ボリュームへのデータコピーと、非復号化及び非暗号化とを、前記コピー元ストレージ及び/又は前記コピー先ストレージに指示する;
を行う、
計算機。
【請求項2】
1以上の計算機システムがあり、
前記計算機システムは、少なくとも1つのストレージシステムと、そのストレージシステムに接続された少なくとも1つのホスト群とを有し、
前記ホスト群は、少なくとも1つのホストを有し、
前記制御情報は、
どの計算機システムがどのホスト群とどのストレージシステムの識別情報とを有するかを表すシステム構成情報と、
どのホスト群がどのホストを有するかを表すホスト群構成情報と、
どのホストからどの論理ボリュームにアクセスされるかを表すパス情報と、
ホスト群に関する暗号強度を表すセキュリティ関連情報と
を含み、
前記暗号強度は、暗号化/復号化の強度であり、
前記プロセッサは、前記(A)の処理において、
(A−1)前記システム構成情報を基に、前記コピー先ストレージを有する計算機システムが前記コピー元ストレージを有する計算機システムと同じか否かの第1の判断を行い;
(A−2)前記第1の判断の結果が肯定的の場合に、前記ホスト群構成情報及び前記パス情報を基に、前記コピー先ボリュームにアクセスするホストを有したホスト群であるコピー先ホスト群が、前記コピー元ボリュームにアクセスするホストを有したホスト群であるコピー元ホスト群と同じか否かの第2の判断を行い、
前記プロセッサは、前記第2の判断の結果が肯定的の場合に、前記(B)及び(C)の処理を行い、
前記プロセッサは、前記第1の判断の結果又は前記第2の判断の結果が否定的の場合に、前記セキュリティ関連情報を基に、前記コピー元ホスト群に関する暗号強度と前記コピー先ホスト群に関する暗号強度が同じか否かの第3の判断を行い、
前記プロセッサは、前記第3の判断の結果が否定的の場合に、以下の(D)及び(E)の処理:
(D)前記コピー元ホスト群に関する暗号強度と前記コピー先ホスト群に関する暗号強度とのうちの強い方の暗号強度以上の暗号強度の暗号鍵/復号鍵を生成して前記コピー先ストレージに設定する;
(E)前記コピー元ボリュームから前記コピー先ボリュームへのデータコピーと、復号化及び暗号化とを、前記コピー元ストレージ及び/又は前記コピー先ストレージに指示する;
を行う、
請求項1記載の計算機。
【請求項3】
前記プロセッサは、前記第3の判断の結果が肯定的の場合に、前記(B)及び(C)の処理を行う、
請求項2記載の計算機。
【請求項4】
前記プロセッサは、前記(D)の処理において、既存の暗号鍵/復号鍵を用いて、前記強い方の暗号強度以上の暗号強度の暗号鍵/復号鍵を生成する、
請求項2又は3記載の計算機。
【請求項5】
前記プロセッサは、前記第3の判断の結果が肯定的の場合に、以下の(F)及び(G)の処理:
(F)前記コピー先ホスト群に関する暗号強度以上の暗号強度の暗号鍵/復号鍵を生成して前記コピー先ストレージに設定する;
(G)前記コピー元ボリュームに記憶されているデータの読出し及び復号化を前記コピー元ストレージに指示し、且つ、前記読み出されたデータの書込み及び暗号化を前記コピー先ストレージ指示する;
を行う、
請求項2記載の計算機。
【請求項6】
前記プロセッサは、前記(F)の処理において、既存の暗号鍵/復号鍵を用いて、前記コピー先ホスト群に関する暗号強度以上の暗号強度の暗号鍵/復号鍵を生成する、
請求項5記載の計算機。
【請求項7】
前記プロセッサは、前記(A)の処理において、
(A−1)前記コピー先ストレージを有する計算機システムが前記コピー元ストレージを有する計算機システムと同じか否かの第1の判断を行い;
(A−2)前記第1の判断の結果が肯定的の場合に、前記コピー先ボリュームにアクセスするホストを有したホスト群であるコピー先ホスト群が、前記コピー元ボリュームにアクセスするホストを有したホスト群であるコピー元ホスト群と同じか否かの第2の判断を行い、
前記第2の判断の結果が肯定的であれば、前記(A)の処理での判断の結果が肯定的である、
請求項1記載の計算機。
【請求項8】
前記プロセッサは、前記(A)の処理において、
(A−1)前記システム構成情報を基に、前記コピー先ストレージを有する計算機システムが前記コピー元ストレージを有する計算機システムと同じか否かの第1の判断を行い;
(A−3)前記第1の判断の結果が否定的の場合に、コピー先ホスト群に関する暗号強度がコピー元ホスト群に関する暗号強度と同じか否かの第3の判断を行い、
前記暗号強度は、暗号化/復号化の強度であり、
前記コピー先ホスト群が、前記コピー先ボリュームにアクセスするホストを有したホスト群であり、
前記コピー元ホスト群が、前記コピー元ボリュームにアクセスするホストを有したホスト群であり、
前記第3の判断の結果が肯定的であれば、前記(A)の処理での判断の結果が肯定的である、
請求項1記載の計算機。
【請求項9】
前記プロセッサは、前記(A)の処理での判断の結果が否定的であれば、コピー先ホスト群に関する暗号強度がコピー元ホスト群に関する暗号強度と同じか否かの第3の判断を行い、
前記暗号強度は、暗号化/復号化の強度であり、
前記コピー先ホスト群が、前記コピー先ボリュームにアクセスするホストを有したホスト群であり、
前記コピー元ホスト群が、前記コピー元ボリュームにアクセスするホストを有したホスト群であり、
前記プロセッサは、前記第3の判断の結果が否定的の場合に、以下の(D)及び(E)の処理:
(D)前記コピー元ホスト群に関する暗号強度と前記コピー先ホスト群に関する暗号強度とのうちの強い方の暗号強度に従う暗号鍵/復号鍵を生成して前記コピー先ストレージに設定する;
(E)前記コピー元ボリュームから前記コピー先ボリュームへのデータコピーと、非復号化及び非暗号化とを、前記コピー元ストレージ及び/又は前記コピー先ストレージに指示する;
請求項1、7又は8記載の計算機。
【請求項10】
前記プロセッサは、前記(D)の処理において、既存の暗号鍵/復号鍵を用いて、前記コピー先ホスト群に関する暗号強度以上の暗号強度の暗号鍵/復号鍵を生成する、
請求項8記載の計算機。
【請求項11】
前記プロセッサは、前記(A)の処理での判断の結果が否定的であれば、コピー先ホスト群に関する暗号強度がコピー元ホスト群に関する暗号強度と同じか否かの第3の判断を行い、
前記暗号強度は、暗号化/復号化の強度であり、
前記コピー先ホスト群が、前記コピー先ボリュームにアクセスするホストを有したホスト群であり、
前記コピー元ホスト群が、前記コピー元ボリュームにアクセスするホストを有したホスト群であり、
前記プロセッサは、前記第3の判断の結果が否定的の場合に、以下の(F)及び(G)の処理:
(F)前記コピー先ホスト群に関する暗号強度に従う暗号鍵/復号鍵を生成して前記コピー先ストレージに設定する;
(G)前記コピー元ボリュームから前記コピー先ボリュームへのデータコピーと、非復号化及び非暗号化とを、前記コピー元ストレージ及び/又は前記コピー先ストレージに指示する、
請求項1、7乃至10のうちのいずれかに記載の計算機。
【請求項12】
前記プロセッサは、前記(F)の処理において、既存の暗号鍵/復号鍵を用いて、前記コピー先ホスト群に関する暗号強度以上の暗号強度の暗号鍵/復号鍵を生成する、
請求項11記載の計算機。
【請求項13】
ホスト群に関する暗号強度は、そのホスト群を有する計算機システムに関する暗号強度以上の暗号強度である、
請求項2乃至6、及び、8乃至12のうちのいずれかに記載の計算機。
【請求項14】
1以上のストレージシステムと、
前記1以上のストレージシステムに接続された計算機と
を備え、
前記ストレージシステムは、暗号鍵/復号鍵と論理ボリュームとを有し、前記論理ボリュームに格納されるデータを前記暗号鍵で暗号化し、前記論理ボリュームから読み出された暗号化データを前記復号鍵で復号化し、
コピー元の論理ボリュームであるコピー元ボリュームが、前記1以上のストレージシステムのうちの或るストレージシステムにあり、
コピー先の論理ボリュームであるコピー先ボリュームが、前記コピー元ボリュームを有する前記或るストレージシステム又はそれとは別のストレージシステムにあり、
前記コピー先ボリュームを有するストレージシステムであるコピー先ストレージは、前記コピー元ボリュームを有するストレージシステムであるコピー元ストレージと同じ又は異なるストレージシステムであり、
前記復号鍵は、復号化用の鍵としても用いられる前記暗号鍵、又は、前記暗号鍵とは別の鍵であり、
前記計算機は、
記憶資源と、
前記記憶資源に接続されたプロセッサと
を備え、
前記記憶資源は、前記コピー元ボリューム及び前記コピー先ボリュームに関するセキュリティ方針に関わる情報を含んだ制御情報を記憶し、
前記プロセッサは、以下の(A)〜(C)の処理:
(A)前記制御情報を基に、前記コピー先ボリュームに関するセキュリティ方針が、前記コピー元ボリュームに関するセキュリティ方針と同じか否かの判断を行う;
(B)前記判断の結果が肯定的であれば、前記コピー元ボリュームに関する暗号鍵/復号鍵を前記コピー先ボリュームに関わる暗号鍵/復号鍵として前記コピー先ストレージに設定する;
(C)前前記コピー元ボリュームから前記コピー先ボリュームへのデータコピーと、非復号化及び非暗号化とを、前記コピー元ストレージ及び/又は前記コピー先ストレージに指示する;
を行い、
前記コピー元ストレージが、前記コピー元ボリュームに記憶されているデータを読み出し、そのデータを復号化せず、
前記コピー先ストレージが、前記読み出されたデータを、暗号化せずに、前記コピー先ボリュームに書き込む、
計算機システム。
【請求項15】
1以上のストレージシステムに接続された計算機で実行されるコンピュータプログラムあって、
前記ストレージシステムは、暗号鍵/復号鍵と論理ボリュームとを有し、前記論理ボリュームに格納されるデータを前記暗号鍵で暗号化し、前記論理ボリュームから読み出された暗号化データを前記復号鍵で復号化し、
コピー元の論理ボリュームであるコピー元ボリュームが、前記1以上のストレージシステムのうちの或るストレージシステムにあり、
コピー先の論理ボリュームであるコピー先ボリュームが、前記コピー元ボリュームを有する前記或るストレージシステム又はそれとは別のストレージシステムにあり、
前記コピー先ボリュームを有するストレージシステムであるコピー先ストレージは、前記コピー元ボリュームを有するストレージシステムであるコピー元ストレージと同じ又は異なるストレージシステムであり、
前記復号鍵は、復号化用の鍵としても用いられる前記暗号鍵、又は、前記暗号鍵とは別の鍵であり、
前記コンピュータプログラムは、
前記コピー元ボリューム及び前記コピー先ボリュームに関するセキュリティ方針に関わる情報を含んだ制御情報を基に、前記コピー先ボリュームに関するセキュリティ方針が、前記コピー元ボリュームに関するセキュリティ方針と同じか否かの判断を行い、
前記判断の結果が肯定的であれば、前記コピー元ボリュームに関する暗号鍵/復号鍵を前記コピー先ボリュームに関わる暗号鍵/復号鍵として前記コピー先ストレージに設定し、
前記コピー元ボリュームから前記コピー先ボリュームへのデータコピーと、非復号化及び非暗号化とを、前記コピー元ストレージ及び/又は前記コピー先ストレージに指示する、
ことをコンピュータに実行させるためのコンピュータプログラム。
【請求項1】
1以上のストレージシステムに接続された計算機であって、
前記ストレージシステムは、暗号鍵/復号鍵と論理ボリュームとを有し、前記論理ボリュームに格納されるデータを前記暗号鍵で暗号化し、前記論理ボリュームから読み出された暗号化データを前記復号鍵で復号化し、
コピー元の論理ボリュームであるコピー元ボリュームが、前記1以上のストレージシステムのうちの或るストレージシステムにあり、
コピー先の論理ボリュームであるコピー先ボリュームが、前記コピー元ボリュームを有する前記或るストレージシステム又はそれとは別のストレージシステムにあり、
前記コピー先ボリュームを有するストレージシステムであるコピー先ストレージは、前記コピー元ボリュームを有するストレージシステムであるコピー元ストレージと同じ又は異なるストレージシステムであり、
前記復号鍵は、復号化用の鍵としても用いられる前記暗号鍵、又は、前記暗号鍵とは別の鍵であり、
前記計算機は、
記憶資源と、
前記記憶資源に接続されたプロセッサと
を備え、
前記記憶資源は、前記コピー元ボリューム及び前記コピー先ボリュームに関するセキュリティ方針に関わる情報を含んだ制御情報を記憶し、
前記プロセッサは、以下の(A)〜(C)の処理:
(A)前記制御情報を基に、前記コピー先ボリュームに関するセキュリティ方針が、前記コピー元ボリュームに関するセキュリティ方針と同じか否かの判断を行う;
(B)前記判断の結果が肯定的であれば、前記コピー元ボリュームに関する暗号鍵/復号鍵を前記コピー先ボリュームに関わる暗号鍵/復号鍵として前記コピー先ストレージに設定する;
(C)前記コピー元ボリュームから前記コピー先ボリュームへのデータコピーと、非復号化及び非暗号化とを、前記コピー元ストレージ及び/又は前記コピー先ストレージに指示する;
を行う、
計算機。
【請求項2】
1以上の計算機システムがあり、
前記計算機システムは、少なくとも1つのストレージシステムと、そのストレージシステムに接続された少なくとも1つのホスト群とを有し、
前記ホスト群は、少なくとも1つのホストを有し、
前記制御情報は、
どの計算機システムがどのホスト群とどのストレージシステムの識別情報とを有するかを表すシステム構成情報と、
どのホスト群がどのホストを有するかを表すホスト群構成情報と、
どのホストからどの論理ボリュームにアクセスされるかを表すパス情報と、
ホスト群に関する暗号強度を表すセキュリティ関連情報と
を含み、
前記暗号強度は、暗号化/復号化の強度であり、
前記プロセッサは、前記(A)の処理において、
(A−1)前記システム構成情報を基に、前記コピー先ストレージを有する計算機システムが前記コピー元ストレージを有する計算機システムと同じか否かの第1の判断を行い;
(A−2)前記第1の判断の結果が肯定的の場合に、前記ホスト群構成情報及び前記パス情報を基に、前記コピー先ボリュームにアクセスするホストを有したホスト群であるコピー先ホスト群が、前記コピー元ボリュームにアクセスするホストを有したホスト群であるコピー元ホスト群と同じか否かの第2の判断を行い、
前記プロセッサは、前記第2の判断の結果が肯定的の場合に、前記(B)及び(C)の処理を行い、
前記プロセッサは、前記第1の判断の結果又は前記第2の判断の結果が否定的の場合に、前記セキュリティ関連情報を基に、前記コピー元ホスト群に関する暗号強度と前記コピー先ホスト群に関する暗号強度が同じか否かの第3の判断を行い、
前記プロセッサは、前記第3の判断の結果が否定的の場合に、以下の(D)及び(E)の処理:
(D)前記コピー元ホスト群に関する暗号強度と前記コピー先ホスト群に関する暗号強度とのうちの強い方の暗号強度以上の暗号強度の暗号鍵/復号鍵を生成して前記コピー先ストレージに設定する;
(E)前記コピー元ボリュームから前記コピー先ボリュームへのデータコピーと、復号化及び暗号化とを、前記コピー元ストレージ及び/又は前記コピー先ストレージに指示する;
を行う、
請求項1記載の計算機。
【請求項3】
前記プロセッサは、前記第3の判断の結果が肯定的の場合に、前記(B)及び(C)の処理を行う、
請求項2記載の計算機。
【請求項4】
前記プロセッサは、前記(D)の処理において、既存の暗号鍵/復号鍵を用いて、前記強い方の暗号強度以上の暗号強度の暗号鍵/復号鍵を生成する、
請求項2又は3記載の計算機。
【請求項5】
前記プロセッサは、前記第3の判断の結果が肯定的の場合に、以下の(F)及び(G)の処理:
(F)前記コピー先ホスト群に関する暗号強度以上の暗号強度の暗号鍵/復号鍵を生成して前記コピー先ストレージに設定する;
(G)前記コピー元ボリュームに記憶されているデータの読出し及び復号化を前記コピー元ストレージに指示し、且つ、前記読み出されたデータの書込み及び暗号化を前記コピー先ストレージ指示する;
を行う、
請求項2記載の計算機。
【請求項6】
前記プロセッサは、前記(F)の処理において、既存の暗号鍵/復号鍵を用いて、前記コピー先ホスト群に関する暗号強度以上の暗号強度の暗号鍵/復号鍵を生成する、
請求項5記載の計算機。
【請求項7】
前記プロセッサは、前記(A)の処理において、
(A−1)前記コピー先ストレージを有する計算機システムが前記コピー元ストレージを有する計算機システムと同じか否かの第1の判断を行い;
(A−2)前記第1の判断の結果が肯定的の場合に、前記コピー先ボリュームにアクセスするホストを有したホスト群であるコピー先ホスト群が、前記コピー元ボリュームにアクセスするホストを有したホスト群であるコピー元ホスト群と同じか否かの第2の判断を行い、
前記第2の判断の結果が肯定的であれば、前記(A)の処理での判断の結果が肯定的である、
請求項1記載の計算機。
【請求項8】
前記プロセッサは、前記(A)の処理において、
(A−1)前記システム構成情報を基に、前記コピー先ストレージを有する計算機システムが前記コピー元ストレージを有する計算機システムと同じか否かの第1の判断を行い;
(A−3)前記第1の判断の結果が否定的の場合に、コピー先ホスト群に関する暗号強度がコピー元ホスト群に関する暗号強度と同じか否かの第3の判断を行い、
前記暗号強度は、暗号化/復号化の強度であり、
前記コピー先ホスト群が、前記コピー先ボリュームにアクセスするホストを有したホスト群であり、
前記コピー元ホスト群が、前記コピー元ボリュームにアクセスするホストを有したホスト群であり、
前記第3の判断の結果が肯定的であれば、前記(A)の処理での判断の結果が肯定的である、
請求項1記載の計算機。
【請求項9】
前記プロセッサは、前記(A)の処理での判断の結果が否定的であれば、コピー先ホスト群に関する暗号強度がコピー元ホスト群に関する暗号強度と同じか否かの第3の判断を行い、
前記暗号強度は、暗号化/復号化の強度であり、
前記コピー先ホスト群が、前記コピー先ボリュームにアクセスするホストを有したホスト群であり、
前記コピー元ホスト群が、前記コピー元ボリュームにアクセスするホストを有したホスト群であり、
前記プロセッサは、前記第3の判断の結果が否定的の場合に、以下の(D)及び(E)の処理:
(D)前記コピー元ホスト群に関する暗号強度と前記コピー先ホスト群に関する暗号強度とのうちの強い方の暗号強度に従う暗号鍵/復号鍵を生成して前記コピー先ストレージに設定する;
(E)前記コピー元ボリュームから前記コピー先ボリュームへのデータコピーと、非復号化及び非暗号化とを、前記コピー元ストレージ及び/又は前記コピー先ストレージに指示する;
請求項1、7又は8記載の計算機。
【請求項10】
前記プロセッサは、前記(D)の処理において、既存の暗号鍵/復号鍵を用いて、前記コピー先ホスト群に関する暗号強度以上の暗号強度の暗号鍵/復号鍵を生成する、
請求項8記載の計算機。
【請求項11】
前記プロセッサは、前記(A)の処理での判断の結果が否定的であれば、コピー先ホスト群に関する暗号強度がコピー元ホスト群に関する暗号強度と同じか否かの第3の判断を行い、
前記暗号強度は、暗号化/復号化の強度であり、
前記コピー先ホスト群が、前記コピー先ボリュームにアクセスするホストを有したホスト群であり、
前記コピー元ホスト群が、前記コピー元ボリュームにアクセスするホストを有したホスト群であり、
前記プロセッサは、前記第3の判断の結果が否定的の場合に、以下の(F)及び(G)の処理:
(F)前記コピー先ホスト群に関する暗号強度に従う暗号鍵/復号鍵を生成して前記コピー先ストレージに設定する;
(G)前記コピー元ボリュームから前記コピー先ボリュームへのデータコピーと、非復号化及び非暗号化とを、前記コピー元ストレージ及び/又は前記コピー先ストレージに指示する、
請求項1、7乃至10のうちのいずれかに記載の計算機。
【請求項12】
前記プロセッサは、前記(F)の処理において、既存の暗号鍵/復号鍵を用いて、前記コピー先ホスト群に関する暗号強度以上の暗号強度の暗号鍵/復号鍵を生成する、
請求項11記載の計算機。
【請求項13】
ホスト群に関する暗号強度は、そのホスト群を有する計算機システムに関する暗号強度以上の暗号強度である、
請求項2乃至6、及び、8乃至12のうちのいずれかに記載の計算機。
【請求項14】
1以上のストレージシステムと、
前記1以上のストレージシステムに接続された計算機と
を備え、
前記ストレージシステムは、暗号鍵/復号鍵と論理ボリュームとを有し、前記論理ボリュームに格納されるデータを前記暗号鍵で暗号化し、前記論理ボリュームから読み出された暗号化データを前記復号鍵で復号化し、
コピー元の論理ボリュームであるコピー元ボリュームが、前記1以上のストレージシステムのうちの或るストレージシステムにあり、
コピー先の論理ボリュームであるコピー先ボリュームが、前記コピー元ボリュームを有する前記或るストレージシステム又はそれとは別のストレージシステムにあり、
前記コピー先ボリュームを有するストレージシステムであるコピー先ストレージは、前記コピー元ボリュームを有するストレージシステムであるコピー元ストレージと同じ又は異なるストレージシステムであり、
前記復号鍵は、復号化用の鍵としても用いられる前記暗号鍵、又は、前記暗号鍵とは別の鍵であり、
前記計算機は、
記憶資源と、
前記記憶資源に接続されたプロセッサと
を備え、
前記記憶資源は、前記コピー元ボリューム及び前記コピー先ボリュームに関するセキュリティ方針に関わる情報を含んだ制御情報を記憶し、
前記プロセッサは、以下の(A)〜(C)の処理:
(A)前記制御情報を基に、前記コピー先ボリュームに関するセキュリティ方針が、前記コピー元ボリュームに関するセキュリティ方針と同じか否かの判断を行う;
(B)前記判断の結果が肯定的であれば、前記コピー元ボリュームに関する暗号鍵/復号鍵を前記コピー先ボリュームに関わる暗号鍵/復号鍵として前記コピー先ストレージに設定する;
(C)前前記コピー元ボリュームから前記コピー先ボリュームへのデータコピーと、非復号化及び非暗号化とを、前記コピー元ストレージ及び/又は前記コピー先ストレージに指示する;
を行い、
前記コピー元ストレージが、前記コピー元ボリュームに記憶されているデータを読み出し、そのデータを復号化せず、
前記コピー先ストレージが、前記読み出されたデータを、暗号化せずに、前記コピー先ボリュームに書き込む、
計算機システム。
【請求項15】
1以上のストレージシステムに接続された計算機で実行されるコンピュータプログラムあって、
前記ストレージシステムは、暗号鍵/復号鍵と論理ボリュームとを有し、前記論理ボリュームに格納されるデータを前記暗号鍵で暗号化し、前記論理ボリュームから読み出された暗号化データを前記復号鍵で復号化し、
コピー元の論理ボリュームであるコピー元ボリュームが、前記1以上のストレージシステムのうちの或るストレージシステムにあり、
コピー先の論理ボリュームであるコピー先ボリュームが、前記コピー元ボリュームを有する前記或るストレージシステム又はそれとは別のストレージシステムにあり、
前記コピー先ボリュームを有するストレージシステムであるコピー先ストレージは、前記コピー元ボリュームを有するストレージシステムであるコピー元ストレージと同じ又は異なるストレージシステムであり、
前記復号鍵は、復号化用の鍵としても用いられる前記暗号鍵、又は、前記暗号鍵とは別の鍵であり、
前記コンピュータプログラムは、
前記コピー元ボリューム及び前記コピー先ボリュームに関するセキュリティ方針に関わる情報を含んだ制御情報を基に、前記コピー先ボリュームに関するセキュリティ方針が、前記コピー元ボリュームに関するセキュリティ方針と同じか否かの判断を行い、
前記判断の結果が肯定的であれば、前記コピー元ボリュームに関する暗号鍵/復号鍵を前記コピー先ボリュームに関わる暗号鍵/復号鍵として前記コピー先ストレージに設定し、
前記コピー元ボリュームから前記コピー先ボリュームへのデータコピーと、非復号化及び非暗号化とを、前記コピー元ストレージ及び/又は前記コピー先ストレージに指示する、
ことをコンピュータに実行させるためのコンピュータプログラム。
【図1】
【図2】
【図3】
【図4】
【図5】
【図6】
【図7】
【図8】
【図9】
【図2】
【図3】
【図4】
【図5】
【図6】
【図7】
【図8】
【図9】
【公開番号】特開2010−257045(P2010−257045A)
【公開日】平成22年11月11日(2010.11.11)
【国際特許分類】
【出願番号】特願2009−103972(P2009−103972)
【出願日】平成21年4月22日(2009.4.22)
【出願人】(000005108)株式会社日立製作所 (27,607)
【Fターム(参考)】
【公開日】平成22年11月11日(2010.11.11)
【国際特許分類】
【出願日】平成21年4月22日(2009.4.22)
【出願人】(000005108)株式会社日立製作所 (27,607)
【Fターム(参考)】
[ Back to top ]