認証システム、認証方法
【課題】サーバクライアント環境において、クライアントからサーバへアクセスを行う場合に、アクセス先ごとのポリシーによりセキュアなサーバアクセスを提供する。
【解決手段】サーバクライアント環境において、クライアントからサーバへアクセスを行う場合、ファイルサーバの場合、共有を目的とした共有領域と、個人での占有を目的とした専用領域を提供する。サーバ前段のオープンフロースイッチは、クライアントからサーバへの通信パス（宛先）を、各種認証サーバと連携した認証ネットワークと、認証サーバと連携しない非認証ネットワークと、に振り分ける振り分け部を有する。また、オープンフロースイッチは、認証サーバからユーザ認証に必要な情報を定期的に入手する認証サーバ連携部を有する。上記振り分け部は、認証サーバ連携部に、クライアントからのアクセスが要求に合致するか問い合わせ、結果に応じてパスの振り分けを行う。
【解決手段】サーバクライアント環境において、クライアントからサーバへアクセスを行う場合、ファイルサーバの場合、共有を目的とした共有領域と、個人での占有を目的とした専用領域を提供する。サーバ前段のオープンフロースイッチは、クライアントからサーバへの通信パス（宛先）を、各種認証サーバと連携した認証ネットワークと、認証サーバと連携しない非認証ネットワークと、に振り分ける振り分け部を有する。また、オープンフロースイッチは、認証サーバからユーザ認証に必要な情報を定期的に入手する認証サーバ連携部を有する。上記振り分け部は、認証サーバ連携部に、クライアントからのアクセスが要求に合致するか問い合わせ、結果に応じてパスの振り分けを行う。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、認証システムに関し、特にオープンフロースイッチを利用した認証システムに関する。
【背景技術】
【０００２】
クライアント端末からサーバへのアクセスの際、サーバ自体、もしくはサーバ前段のスイッチにおいて、クライアント端末のアクセス可否を判断する機能が必要であった。
【０００３】
この際のアクセス許可は、クライアント端末を識別するためのアドレス情報やユーザ情報等を認証サーバに問い合わせる方法、もしくはそれぞれに事前設定を行うことで解決している。
【０００４】
しかし、異なる業務サーバへのアクセスや、一部の高いセキュリティ条件でのみアクセスが許されるサーバへのアクセスに対する認証を、同じ認証条件で実現することは難しく、複数（サーバ毎）の認証情報（パスワードや証明書等）が必要である。
【０００５】
また、なりすまし等の不正なアクセス等が発生した場合、早期に同一条件でのアクセス制限を実施したいが、認証サーバへの制限設定と反映は自動的には行われず、スイッチのフィルタ条件の追加等は、人手による運用で実現している。
【０００６】
図１に、従来の認証システムの構成例を示す。
従来の認証システムは、クライアント１０と、個人用ファイルサーバ（専用領域）２０と、共有ファイルサーバ（共有領域）３０と、認証サーバ４０と、ポリシーサーバ５０と、スイッチ６０を含む。
【０００７】
クライアント１０は、認証サーバ４０にユーザ登録されており、各サーバへのアクセスのため、複数（サーバ毎）の認証情報（パスワードや証明書等）を持っている。クライアント１０は、各サーバへのアクセスの際、認証サーバ４０から認証を受けてからアクセスする。
【０００８】
クライアント１０は、個人フォルダアクセス処理部１１と、共有フォルダアクセス処理部１２を具備する。
【０００９】
個人フォルダアクセス処理部１１は、個人用ファイルサーバ２０へのアクセスのための認証情報を持ち、個人用ファイルサーバ２０へのアクセスの際、認証サーバ４０から認証を受け、個人用ファイルサーバ２０へアクセスするための処理を行う。
【００１０】
共有フォルダアクセス処理部１２は、共有ファイルサーバ３０へアクセスするための処理を行う。なお、共有ファイルサーバ３０へのアクセスの際に認証が必要である場合には、共有フォルダアクセス処理部１２は、共有ファイルサーバ３０へのアクセスのための認証情報を持ち、共有ファイルサーバ３０へのアクセスの際、認証サーバ４０から認証を受ける。
【００１１】
個人用ファイルサーバ２０は、クライアント１０のユーザにより個人的に利用される情報が保管されたファイルサーバである。
【００１２】
共有ファイルサーバ３０は、不特定多数、又はクライアント１０のユーザを含む共有グループのメンバーにより利用される情報が保管されたファイルサーバである。
【００１３】
認証サーバ４０は、クライアント１０から各サーバへのアクセスがあった場合、認証が必要であれば、クライアント１０から認証情報を受信して確認し、認証により、アクセス先のサーバへのアクセス許可を行う。
【００１４】
ポリシーサーバ５０は、複数のネットワーク機器のＱｏＳ（サービス品質）やセキュリティの制御機能を一元的に設定・管理するサーバである。ポリシーサーバ５０は、自サーバ上でネットワークの運用ポリシーが設定された際に、各ネットワーク機器に自動的に設定情報を反映する。
【００１５】
スイッチ６０は、クライアント１０を各サーバとの通信を中継する。
【００１６】
クライアント１０とスイッチ６０は、ネットワーク１００を介して接続されている。
【００１７】
個人用ファイルサーバ２０、共有ファイルサーバ３０、認証サーバ４０、ポリシーサーバ５０、及びスイッチ６０の各々は、ネットワーク２００を介して接続されている。
【００１８】
関連する技術として、特許文献１（特開２００７−２６７３１５号公報）にマルチ認証機能スイッチ装置が開示されている。この関連技術では、複数のネットワーク機器のネットワークへのアクセス時の認証ならびに通信相手の認証において、マルチ認証機能スイッチの認証方式判定手段と代理認証手段等を利用する。認証方式判定手段は、認証方式判定情報保持手段の情報を利用して認証方式の適切性判定を行うとともに、認証情報表現変換手段を利用して認証情報表現を変換することにより、統一的なマルチ認証機能を実現する。代理認証手段は、認証履歴保持手段の認証履歴情報を利用して通信相手を代理認証するとともに代理認証拡張手段内のディジタル署名判定や証明書情報取得に関する機能を利用して代理認証を実現する。
【００１９】
また、特許文献２（特開２００９−２４４９７６号公報）にサービス連携装置、連携サービス競合制御方法、及びプログラムが開示されている。この関連技術では、情報ネットワーク対応機能は、ＡＰＩサービス要求を受信すると、該サービス要求を分析して振り分け機能に転送する。通信ネットワーク対応機能は、ＳＩＰによるセッション開始要求信号を受信すると、振り分け機能と通信ネットワーク対応機能とによるセッションの処理を行う。分析処理機能は、次のセッション候補サービス毎に、識別子毎の信号データ、差分データ、及びユーザ毎の契約情報データが記入されているセッション管理テーブルを参照し、衝突や、競合の状態、サービス内容などを一致検索し、次の候補サービスを実行、あるいは不実行にしてＡＰＩサービス競合制御と状態整合とを行う。
【先行技術文献】
【特許文献】
【００２０】
【特許文献１】特開２００７−２６７３１５号公報
【特許文献２】特開２００９−２４４９７６号公報
【非特許文献】
【００２１】
【非特許文献１】“ＯｐｅｎＦｌｏｗ Ｓｗｉｔｃｈ Ｓｐｅｃｉｆｉｃａｔｉｏｎ Ｖｅｒｓｉｏｎ ０．９．０（Ｗｉｒｅ Ｐｒｏｔｏｃｏｌ ０ｘ９８） Ｊｕｌｙ ２０， ２００９ Ｃｕｒｒｅｎｔ Ｍａｉｎｔａｉｎｅｒ： Ｂｒａｎｄｏｎ Ｈｅｌｌｅｒ（ｂｒａｎｄｏｎｈ＠ｓｔａｎｆｏｒｄ．ｅｄｕ）” ＜ｈｔｔｐ：／／ｗｗｗ．ｏｐｅｎｆｌｏｗｓｗｉｔｃｈ．ｏｒｇ／ｄｏｃｕｍｅｎｔｓ／ｏｐｅｎｆｌｏｗ−ｓｐｅｃ−ｖ０．９．０．ｐｄｆ＞
【発明の概要】
【発明が解決しようとする課題】
【００２２】
本発明の目的は、サーバクライアント環境において、クライアントからサーバへアクセスを行う場合、サーバ前段のオープンフロースイッチが、クライアント端末からサーバへの通信パス（宛先）を、各種認証サーバと連携した認証ネットワークと、認証サーバと連携しない非認証ネットワークとに振り分ける認証システムを提供することである。
【課題を解決するための手段】
【００２３】
本発明の認証システムは、個人用ファイルサーバと、共有ファイルサーバと、認証サーバと、オープンフロースイッチとを含む。個人用ファイルサーバは、個人での占有を目的とした専用領域である。共有ファイルサーバは、共有を目的とした共有領域である。認証サーバは、個人用ファイルサーバへのアクセスに対する認証情報を保持する。オープンフロースイッチは、認証サーバから認証情報を入手し、個人用ファイルサーバへのアクセスに対し、認証情報を用いて、セキュアな証明書による認証でアクセス許可を行った場合、個人用ファイルサーバにパケットを振り分ける。また、オープンフロースイッチは、セキュアな証明書による認証でアクセス許可を行わなかった場合、共有ファイルサーバにパケットを振り分ける。なお、セキュアな証明書とは、暗号技術等を用いて、技術的に安全性が保証された証明書のことである。
【００２４】
本発明のオープンフロースイッチは、認証サーバ連携部と、振り分け部とを含む。認証サーバ連携部は、個人での占有を目的とした専用領域である個人用ファイルサーバへのアクセスに対する認証情報を保持する認証サーバから認証情報を入手し、個人用ファイルサーバへのアクセスに対し、認証情報を用いて、セキュアな証明書による認証でアクセス許可を行うか判定する。振り分け部は、セキュアな証明書による認証でアクセス許可が行われた場合、個人用ファイルサーバにパケットを振り分け、セキュアな証明書による認証でアクセス許可が行われなかった場合、共有を目的とした共有領域である共有ファイルサーバにパケットを振り分ける。
【００２５】
本発明のオープンフロースイッチにより実施される認証方法では、個人での占有を目的とした専用領域である個人用ファイルサーバへのアクセスに対する認証情報を保持する認証サーバから認証情報を入手する。また、個人用ファイルサーバへのアクセスに対し、認証情報を用いて、セキュアな証明書による認証でアクセス許可を行うか判定する。また、セキュアな証明書による認証でアクセス許可が行われた場合、個人用ファイルサーバにパケットを振り分ける。また、セキュアな証明書による認証でアクセス許可が行われなかった場合、共有を目的とした共有領域である共有ファイルサーバにパケットを振り分ける。
【００２６】
本発明のプログラムは、上記の認証方法における処理を、オープンフロースイッチとして使用される計算機に実行させるためのプログラムである。なお、本発明のプログラムは、記憶装置や記憶媒体に格納することが可能である。
【発明の効果】
【００２７】
アクセス先のサーバ毎のポリシーによりセキュアなサーバアクセスを提供することが可能となる。
【図面の簡単な説明】
【００２８】
【図１】従来の認証システムの構成例を示す図である。
【図２】本発明の認証システムの構成例を示す図である。
【図３】本発明の認証方法の流れを示すフローチャートである。
【発明を実施するための形態】
【００２９】
以下に、本発明の実施形態について添付図面を参照して説明する。
図２に示すように、本発明の認証システムは、クライアント１０と、個人用ファイルサーバ（専用領域）２０と、共有ファイルサーバ（共有領域）３０と、認証サーバ４０と、オープンフロースイッチ７０を含む。
【００３０】
クライアント１０は、認証サーバ４０にユーザ登録されており、各サーバへのアクセスのため、複数（サーバ毎）の認証情報（パスワードや証明書等）を持っている。クライアント１０は、各サーバへのアクセスの際、認証サーバ４０から認証を受けてからアクセスする。
【００３１】
クライアント１０は、個人フォルダアクセス処理部１１と、共有フォルダアクセス処理部１２を具備する。
【００３２】
個人フォルダアクセス処理部１１は、個人用ファイルサーバ２０へのアクセスのための認証情報を持ち、個人用ファイルサーバ２０へのアクセスの際、認証サーバ４０から認証を受け、個人用ファイルサーバ２０へアクセスするための処理を行う。
【００３３】
共有フォルダアクセス処理部１２は、共有ファイルサーバ３０へアクセスするための処理を行う。なお、共有ファイルサーバ３０へのアクセスの際に認証が必要である場合には、共有フォルダアクセス処理部１２は、共有ファイルサーバ３０へのアクセスのための認証情報を持ち、共有ファイルサーバ３０へのアクセスの際、認証サーバ４０から認証を受ける。
【００３４】
個人用ファイルサーバ２０は、クライアント１０のユーザにより個人的に利用される情報が保管されたファイルサーバである。なお、個人用ファイルサーバ２０は、説明の簡略化のため１台しか図示していないが、実際には複数でも良い。
【００３５】
共有ファイルサーバ３０は、不特定多数、又はクライアント１０のユーザを含む共有グループのメンバーにより利用される情報が保管されたファイルサーバである。なお、共有ファイルサーバ３０は、説明の簡略化のため１台しか図示していないが、実際には複数でも良い。
【００３６】
認証サーバ４０は、クライアント１０から各サーバへのアクセスがあった場合、認証が必要であれば、クライアント１０から認証情報を受信して確認し、認証により、アクセス先のサーバへのアクセス許可を行う。
【００３７】
オープンフロースイッチ７０は、オープンフローコントローラ等により設定されたフロー単位の経路情報（フローテーブル）に基づいて、パケットの経路制御やノード制御を行う。ここでは、オープンフロースイッチ７０は、説明の簡略化のため１台しか図示していないが、実際には複数でも良い。なお、オープンフロースイッチの詳細については、非特許文献１に記載されている。
【００３８】
フローとは、所定の規則（ルール）に適合するパケットに対して行うべき所定の処理（アクション）を定義したものである。フローのルールは、ＭＡＣフレームのヘッダ領域に含まれる宛先アドレス（Ｄｅｓｔｉｎａｔｉｏｎ Ａｄｄｒｅｓｓ）、送信元アドレス（Ｓｏｕｒｃｅ Ａｄｄｒｅｓｓ）、宛先ポート（Ｄｅｓｔｉｎａｔｉｏｎ Ｐｏｒｔ）、送信元ポート（Ｓｏｕｒｃｅ Ｐｏｒｔ）のいずれか又は全てを用いた様々な組み合わせにより定義され、区別可能である。なお、上記のアドレスには、ＭＡＣアドレス（Ｍｅｄｉａ Ａｃｃｅｓｓ Ｃｏｎｔｒｏｌ Ａｄｄｒｅｓｓ）やＩＰアドレス（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ Ａｄｄｒｅｓｓ）を含むものとする。また、上記に加えて、入口ポート（Ｉｎｇｒｅｓｓ Ｐｏｒｔ）の情報も、フローのルールとして使用可能である。
【００３９】
本発明では、認証サーバ４０が、オープンフローコントローラに該当する。すなわち、オープンフロースイッチ７０は、認証サーバ４０から、認証に必要な設定情報がフローのルールに含まれたフローエントリを受け取り、フローテーブルに登録する。
【００４０】
オープンフロースイッチ７０は、パケットを受信した際、受信パケットに対し、フローのルールを判定し、ルールの内容が個人用ファイルサーバ２０を利用するものである場合、ルールに対応するアクションとして認証を行う。
【００４１】
上記のルールの内容の例として、宛先アドレスが個人用ファイルサーバ２０であることを基本的な条件とし、更に、パケットのデータにセキュアな証明書が含まれていること、送信元アドレスがクライアント１０であること、宛先ポート及び送信元ポートが所定のアプリケーションプログラム用のポート番号であること等の条件を組み合わせることが考えられる。なお、セキュアな証明書とは、暗号技術等を用いて、技術的に安全性が保証された証明書のことである。
【００４２】
なお、実際には、オープンフロースイッチ７０は、受信パケットが個人用ファイルサーバ２０宛のフローであることを検出した際に、送信元に証明書を要求するようにしても良い。
【００４３】
オープンフロースイッチ７０は、振り分け部７１と、認証サーバ連携部７２を備える。
【００４４】
振り分け部７１は、認証サーバ連携部７２による認証の結果に応じて、クライアント１０から各サーバへのアクセスの通信パス（宛先）を変更し、パケットを、各種認証サーバ４０と連携した認証ネットワークと、認証サーバ４０と連携しない非認証ネットワークとに振り分ける。
【００４５】
ここでは、振り分け部７１は、セキュアな証明書による認証でアクセス許可されたパケットを個人用ファイルサーバ２０に送信し、通常のアカウント認証で簡易アクセス許可されたパケット（又は認証されなかったパケット）を共有ファイルサーバ３０に送信する。
【００４６】
認証サーバ連携部７２は、認証サーバ４０と連携して、認証に必要な設定情報を共有し、認証サーバ４０で行われる認証処理を代行する。なお、実際には、認証サーバ連携部７２は、認証サーバ４０に対してセキュアな証明書による認証を要求・依頼し、応答として認証結果を受け取り、その認証結果に基づいてアクセス許可を行うようにすることも可能である。
【００４７】
ここでは、認証サーバ連携部７２は、クライアント１０から受信したパケットの宛先アドレスが個人用ファイルサーバ２０であれば、セキュアな証明書による認証を行い、アクセス許可を行った場合にのみ、個人用ファイルサーバ２０へのアクセスを許可する。
【００４８】
また、認証サーバ連携部７２は、フローに対して認証を行うようにすることも可能である。例えば、認証サーバ連携部７２は、受信パケットが所定のフローのルールに合致しているか否かを確認し、合致していれば、正式にセキュアな証明書による認証を行うか、或いは、そのままアクセス許可するようにする。
【００４９】
クライアント１０とオープンフロースイッチ７０は、ネットワーク１００を介して接続されている。
【００５０】
個人用ファイルサーバ２０、認証サーバ４０、及びオープンフロースイッチ７０の各々は、ネットワーク２１０を介して接続されている。
【００５１】
共有ファイルサーバ３０、認証サーバ４０、及びオープンフロースイッチ７０の各々は、ネットワーク２２０を介して接続されている。
【００５２】
すなわち、個人用ファイルサーバ２０と共有ファイルサーバ３０は、異なるネットワークに属する。
【００５３】
なお、共有ファイルサーバ３０が、不特定多数により利用され、認証が不要のファイルサーバである場合、すなわち、ネットワーク２１０が認証ネットワークであり、ネットワーク２２０が非認証ネットワークである場合、認証サーバ４０は、ネットワーク２２０に接続されていなくても良い。
【００５４】
また、個人用ファイルサーバ２０、共有ファイルサーバ３０、及び認証サーバ４０は、同一のサーバでも良い。この場合、個人用ファイルサーバ２０は、個人での占有を目的とした専用領域であり、共有ファイルサーバ３０は、共有を目的とした共有領域であるものとする。
【００５５】
［ハードウェアの例示］
クライアント１０の例として、ＰＣ（パソコン）、モバイルノートＰＣ、シンクライアント端末、ワークステーション、携帯電話機、カーナビ（カーナビゲーションシステム）、携帯型ゲーム機、家庭用ゲーム機、ガジェット（電子機器）、双方向テレビ、デジタルチューナー、デジタルレコーダー、情報家電（ｉｎｆｏｒｍａｔｉｏｎ ｈｏｍｅ ａｐｐｌｉａｎｃｅ）、ＯＡ（Ｏｆｆｉｃｅ Ａｕｔｏｍａｔｉｏｎ）機器等が考えられる。クライアント１０は、車両や船舶、航空機等の移動体に搭載されていても良い。
【００５６】
個人用ファイルサーバ２０、共有ファイルサーバ３０、及び認証サーバ４０の例として、ＰＣ、シンクライアントサーバ、ワークステーション、メインフレーム、スーパーコンピュータ等の計算機を想定している。また、個人用ファイルサーバ２０、共有ファイルサーバ３０、及び認証サーバ４０は、物理マシンに限らず、物理マシン上に構築された仮想マシン（Ｖｉｒｔｕａｌ Ｍａｃｈｉｎｅ（ＶＭ））でも良い。すなわち、仮想サーバでも良い。
【００５７】
オープンフロースイッチ７０の例として、Ｌ３スイッチ（ｌａｙｅｒ ３ ｓｗｉｔｃｈ）、Ｌ４スイッチ（ｌａｙｅｒ ４ ｓｗｉｔｃｈ）、Ｌ７スイッチ／アプリケーションスイッチ（ｌａｙｅｒ ７ ｓｗｉｔｃｈ）、或いは、マルチレイヤスイッチ（ｍｕｌｔｉ−ｌａｙｅｒ ｓｗｉｔｃｈ）等が考えられる。オープンフロースイッチ７０は、ルータ、プロキシ、ゲートウェイ、ファイアウォール、基地局、アクセスポイント等でも良い。また、オープンフロースイッチ７０は、物理マシンに限らず、物理マシン上に構築された仮想マシンでも良い。すなわち、仮想スイッチや、ハイパーバイザー（ｈｙｐｅｒｖｉｓｏｒ）等の仮想マシンモニタ（Ｖｉｒｔｕａｌ Ｍａｃｈｉｎｅ Ｍｏｎｉｔｏｒ（ＶＭＭ））でも良い。
【００５８】
図示しないが、クライアント１０、個人用ファイルサーバ２０、共有ファイルサーバ３０、認証サーバ４０、及びオープンフロースイッチ７０の各々は、プログラムに基づいて駆動し所定の処理を実行するプロセッサと、当該プログラムや各種データを記憶するメモリと、ネットワーク通信をするための通信用インタフェースによって実現される。
【００５９】
すなわち、クライアント１０の個人フォルダアクセス処理部１１や共有フォルダアクセス処理部１２、オープンフロースイッチ７０の振り分け部７１や認証サーバ連携部７２は、上記のプロセッサと、上記のメモリと、上記の通信用インタフェースによって実現される。
【００６０】
上記のプロセッサの例として、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）、マイクロプロセッサ（ｍｉｃｒｏｐｒｏｃｅｓｓｏｒ）、マイクロコントローラ、或いは、専用の機能を有する半導体集積回路（Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ（ＩＣ））等が考えられる。
【００６１】
上記のメモリの例として、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）、ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）、ＥＥＰＲＯＭ（Ｅｌｅｃｔｒｉｃａｌｌｙ Ｅｒａｓａｂｌｅ ａｎｄ Ｐｒｏｇｒａｍｍａｂｌｅ Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）やフラッシュメモリ等の半導体記憶装置、ＨＤＤ（Ｈａｒｄ Ｄｉｓｋ Ｄｒｉｖｅ）やＳＳＤ（Ｓｏｌｉｄ Ｓｔａｔｅ Ｄｒｉｖｅ）等の補助記憶装置、又は、ＤＶＤ（Ｄｉｇｉｔａｌ Ｖｅｒｓａｔｉｌｅ Ｄｉｓｋ）等のリムーバブルディスクや、ＳＤメモリカード（Ｓｅｃｕｒｅ Ｄｉｇｉｔａｌ ｍｅｍｏｒｙ ｃａｒｄ）等の記憶媒体（メディア）等が考えられる。
【００６２】
また、上記のプロセッサ及び上記のメモリは、一体化していても良い。例えば、近年では、マイコン等の１チップ化が進んでいる。従って、各々の装置に搭載される１チップマイコンが、プロセッサ及びメモリを備えている事例が考えられる。
【００６３】
上記の通信用インタフェースの例として、ネットワーク通信に対応した基板（マザーボードやＩ／Ｏボード）等の半導体集積回路、ＮＩＣ（Ｎｅｔｗｏｒｋ Ｉｎｔｅｒｆａｃｅ Ｃａｒｄ）等のネットワークアダプタや同様の拡張カード、アンテナ等の通信装置、接続口（コネクタ）等の通信ポート等が考えられる。
【００６４】
ネットワーク１００、ネットワーク２１０、及びネットワーク２２０の例として、インターネット、ＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）、無線ＬＡＮ（Ｗｉｒｅｌｅｓｓ ＬＡＮ）、ＷＡＮ（Ｗｉｄｅ Ａｒｅａ Ｎｅｔｗｏｒｋ）、バックボーン（Ｂａｃｋｂｏｎｅ）、ケーブルテレビ（ＣＡＴＶ）回線、固定電話網、携帯電話網、ＷｉＭＡＸ（ＩＥＥＥ ８０２．１６ａ）、３Ｇ（３ｒｄ Ｇｅｎｅｒａｔｉｏｎ）、専用線（ｌｅａｓｅ ｌｉｎｅ）、ＩｒＤＡ（Ｉｎｆｒａｒｅｄ Ｄａｔａ Ａｓｓｏｃｉａｔｉｏｎ）、Ｂｌｕｅｔｏｏｔｈ（登録商標）、シリアル通信回線、データバス等が考えられる。また、各サーバが仮想マシン（仮想サーバ）である場合、ネットワーク２１０及びネットワーク２２０は、仮想ＬＡＮ（Ｖｉｒｔｕａｌ ＬＡＮ（ＶＬＡＮ））でも良い。
【００６５】
但し、実際には、これらの例に限定されない。
【００６６】
［認証処理］
図３を参照して、本発明の認証処理の詳細について説明する。
【００６７】
（１）ステップＳ１０１
認証サーバ４０は、事前設定により、クライアント１０の情報と、アクセスする個人用ファイルサーバ２０の情報と、クライアント１０のアカウント情報と、証明書による認証ユーザと、その証明書との登録を行う。
【００６８】
（２）ステップＳ１０２
オープンフロースイッチ７０の認証サーバ連携部７２は、事前設定により、クライアント１０の情報と、アクセスするファイルサーバの情報と、クライアント１０のアカウント情報と、証明書による認証ユーザと、その証明書との登録を行う。なお、認証サーバ連携部７２は、最初に認証サーバ４０へアクセスし、認証に必要な事前設定情報を入手するようにしても良い。
【００６９】
（３）ステップＳ１０３
次に、オープンフロースイッチ７０の振り分け部７１は、個人用ファイルサーバ２０へのファイル操作の延長で、クライアント１０からアクセス許可を求められた認証が、通常のアカウント認証か、セキュリティレベルの高い証明書を用いた認証か、を認証サーバ連携部７２へ問い合わせて、クライアント１０からのアクセス先を決定する。
【００７０】
（４）ステップＳ１０４
認証サーバ連携部７２は、セキュアな証明書による認証を行い、アクセス許可を行った場合、セキュリティレベルの高い個人用ファイルサーバ２０へのアクセスを許可する。
【００７１】
このとき、認証サーバ連携部７２は、不正な端末が、事前設定情報と一致するクライアント１０を詐称して、不正に個人用ファイルサーバ２０へアクセスした場合、ファイルアクセスに必要なアカウント情報、及び証明書を用いた認証ができないため、不正アクセスを検知する。
【００７２】
（５）ステップＳ１０５
認証サーバ連携部７２は、セキュアな証明書による認証を行わず、通常のアカウント認証で簡易アクセス許可を行った場合、個人用ファイルサーバ２０よりもセキュリティレベルの低い共有ファイルサーバ３０へのアクセスを許可する。なお、認証サーバ連携部７２は、認証自体を行わなかった場合、いずれのファイルサーバへのアクセスも許可しないか、或いは共有ファイルサーバ３０へのアクセスのみ許可するようにしても良い。
【００７３】
（６）ステップＳ１０６
認証サーバ連携部７２は、定期的に認証サーバ４０へアクセスし、認証に必要な事前設定情報に更新や追加が発生した場合、更新情報を入手する。なお、実際には、認証サーバ４０で認証に必要な事前設定情報に更新や追加が発生した時点で、認証サーバ４０が、自動的に、更新情報を認証サーバ連携部７２に通知するようにしても良い。
【００７４】
＜本発明の要旨＞
サーバクライアント環境において、クライアントからサーバへアクセスを行う場合、例えば、通常のファイルサーバは、共有を目的とした共有領域と、個人での占有を目的とした専用領域を提供する。この際のネットワークへのアクセスは、認証行為によって、初めてアクセスすることが可能である。
【００７５】
サーバ前段のオープンフロースイッチ７０は、通常のネットワークスイッチが有するファイアウォール機能やフィルタリング機能以外に、クライアント端末からサーバへの通信パス（宛先）を、各種認証サーバと連携した認証ネットワークと、認証サーバと連携しない非認証ネットワークと、に振り分ける振り分け部７１を有している。
【００７６】
また、オープンフロースイッチ７０は、認証サーバからユーザ認証に必要な情報を定期的に入手する認証サーバ連携部７２を有する。上記の振り分け部７１は、認証サーバ連携部７２にクライアントからのアクセスが要求に合致するか照合して、通信パスの振り分けを行う。
【００７７】
詐称やアタック等の不正アクセスの場合は、通常のファイアウォールでガードされる。詐称等ガードを抜ける場合でも、影響は非認証ネットワークに留められ、認証ネットワークへ影響を与えることなくアクセスが可能である。
【００７８】
本発明を実現するためには、認証サーバ連携機能と振り分け機能を有するオープンフロースイッチ７０と、認証に必要なフローを設定する認証サーバ４０と、認証によるサーバアクセスが可能なクライアント１０並びにサーバ（個人用ファイルサーバ２０や共有ファイルサーバ３０等）とが必要である。
【００７９】
オープンフロースイッチ７０は、認証サーバ４０による追加更新に動的に追従するための認証サーバ連携部７２と、認証結果によって通信パスを選択する振り分け部７１を有することで、クライアント１０からのアクセスをダイナミックにセキュアな環境へ遷移可能なシステムを提供する。
【００８０】
＜実施例＞
以下に、具体例を使って説明する。
【００８１】
あるユーザのファイルサーバへのアクセスは、共有領域を使う場合と、個人領域を使う場合がある。共有領域へのアクセスにはアカウントとそのパスワードで認証を得る方式を用いる。個人領域へのアクセスには、よりセキュリティレベルを高めるため、認証サーバ発行の証明書を用いて認証を得る方式を用いる。
【００８２】
この場合、オープンフロースイッチ７０の認証サーバ連携部７２へ、クライアント１０の情報と、アクセスするファイルサーバの情報と、クライアント１０のアカウント情報と、証明書による認証ユーザと、その証明書と、について事前に設定を行う。
【００８３】
同様に、認証サーバ４０にも、クライアント１０の情報と、アクセスするファイルサーバの情報と、クライアント１０のアカウント情報と、証明書による認証ユーザと、その証明書と、について事前に設定を行う。
【００８４】
次に、ファイルサーバへのファイル操作の延長で、オープンフロースイッチ７０の振り分け部７１は、アクセス許可を求められた認証が、通常のアカウント認証か、セキュリティレベルの高い証明書を用いた認証か、を認証サーバ連携部７２へ問い合わせてクライアント１０からのアクセス先を決定する。
【００８５】
このとき、セキュアな証明書により認証を行わず、アカウント認証で簡易アクセスを行った場合、一段セキュリティレベルの低い共有領域へのアクセスを許可する。これにより、個人領域のアクセスはよりセキュリティ性が高く、あるグループで共有するような、一般的な共有領域のアクセスも提供することが可能となる。
【００８６】
また、認証に必要な上記事前設定情報に更新や追加が発生した場合、認証サーバ連携部７２は、定期的に認証サーバ４０へアクセスし、更新情報を入手する。
【００８７】
もし、不正な端末が、事前設定情報と一致するクライアント１０を詐称して、不正にファイルサーバへアクセスした場合、認証サーバ連携部７２は、ファイルアクセスに必要なアカウント情報及び証明書を用いた認証ができないため、不正アクセスを検知可能である。
【００８８】
この場合、オープンフロースイッチ７０の振り分け部７１は、そのクライアント１０のアドレス情報から不正アクセスの個体（不正端末）を見出し、個体からのアクセスについて一時的に自己フィルタを行い、管理者等により解除されるまで不正アクセスからファイルサーバへの操作を制限することが可能となる。
【００８９】
これにより、オープンフロースイッチ７０は、認証サーバにより許可された通信のみのセキュアなネットワークを確立することが可能となる。クライアント１０は、サーバごとの接続のためのそれぞれの認証情報が必要で、認証ネットワークにあるサーバへのアクセスを行うだけでセキュアなネットワークへ導くことが可能である。
【００９０】
なお、上記の実施例では、サーバとしてファイルサーバの例を使っているが、認証サーバとの連携を行うサーバであれば、ファイルサーバ以外のサーバでも良い。
【００９１】
＜本発明の特徴＞
本発明は、クライアントサーバシステムにおいて、クライアント端末からサーバへのアクセスをオープンフロースイッチにて振り分ける方式に関する。
【００９２】
サーバクライアント環境において、クライアントからサーバへアクセスを行う場合、サーバ前段のオープンフロースイッチは、クライアント端末からサーバへの通信パス（宛先）を、各種認証サーバと連携した認証ネットワークと、認証サーバと連携しない非認証ネットワークと、に振り分ける機能を有して、アクセス先ごとのポリシーによりセキュアなサーバアクセスを提供することが可能となる。
【００９３】
以上、本発明の実施形態を詳述してきたが、実際には、上記の実施形態に限られるものではなく、本発明の要旨を逸脱しない範囲の変更があっても本発明に含まれる。
【符号の説明】
【００９４】
１０… クライアント（クライアント端末）
１１… 個人フォルダアクセス処理部
１２… 共有フォルダアクセス処理部
２０… 個人用ファイルサーバ（専用領域）
３０… 共有ファイルサーバ（共有領域）
４０… 認証サーバ
５０… ポリシーサーバ
６０… スイッチ
７０… オープンフロースイッチ
７１… 振り分け部
７２… 認証サーバ連携部
【技術分野】
【０００１】
本発明は、認証システムに関し、特にオープンフロースイッチを利用した認証システムに関する。
【背景技術】
【０００２】
クライアント端末からサーバへのアクセスの際、サーバ自体、もしくはサーバ前段のスイッチにおいて、クライアント端末のアクセス可否を判断する機能が必要であった。
【０００３】
この際のアクセス許可は、クライアント端末を識別するためのアドレス情報やユーザ情報等を認証サーバに問い合わせる方法、もしくはそれぞれに事前設定を行うことで解決している。
【０００４】
しかし、異なる業務サーバへのアクセスや、一部の高いセキュリティ条件でのみアクセスが許されるサーバへのアクセスに対する認証を、同じ認証条件で実現することは難しく、複数（サーバ毎）の認証情報（パスワードや証明書等）が必要である。
【０００５】
また、なりすまし等の不正なアクセス等が発生した場合、早期に同一条件でのアクセス制限を実施したいが、認証サーバへの制限設定と反映は自動的には行われず、スイッチのフィルタ条件の追加等は、人手による運用で実現している。
【０００６】
図１に、従来の認証システムの構成例を示す。
従来の認証システムは、クライアント１０と、個人用ファイルサーバ（専用領域）２０と、共有ファイルサーバ（共有領域）３０と、認証サーバ４０と、ポリシーサーバ５０と、スイッチ６０を含む。
【０００７】
クライアント１０は、認証サーバ４０にユーザ登録されており、各サーバへのアクセスのため、複数（サーバ毎）の認証情報（パスワードや証明書等）を持っている。クライアント１０は、各サーバへのアクセスの際、認証サーバ４０から認証を受けてからアクセスする。
【０００８】
クライアント１０は、個人フォルダアクセス処理部１１と、共有フォルダアクセス処理部１２を具備する。
【０００９】
個人フォルダアクセス処理部１１は、個人用ファイルサーバ２０へのアクセスのための認証情報を持ち、個人用ファイルサーバ２０へのアクセスの際、認証サーバ４０から認証を受け、個人用ファイルサーバ２０へアクセスするための処理を行う。
【００１０】
共有フォルダアクセス処理部１２は、共有ファイルサーバ３０へアクセスするための処理を行う。なお、共有ファイルサーバ３０へのアクセスの際に認証が必要である場合には、共有フォルダアクセス処理部１２は、共有ファイルサーバ３０へのアクセスのための認証情報を持ち、共有ファイルサーバ３０へのアクセスの際、認証サーバ４０から認証を受ける。
【００１１】
個人用ファイルサーバ２０は、クライアント１０のユーザにより個人的に利用される情報が保管されたファイルサーバである。
【００１２】
共有ファイルサーバ３０は、不特定多数、又はクライアント１０のユーザを含む共有グループのメンバーにより利用される情報が保管されたファイルサーバである。
【００１３】
認証サーバ４０は、クライアント１０から各サーバへのアクセスがあった場合、認証が必要であれば、クライアント１０から認証情報を受信して確認し、認証により、アクセス先のサーバへのアクセス許可を行う。
【００１４】
ポリシーサーバ５０は、複数のネットワーク機器のＱｏＳ（サービス品質）やセキュリティの制御機能を一元的に設定・管理するサーバである。ポリシーサーバ５０は、自サーバ上でネットワークの運用ポリシーが設定された際に、各ネットワーク機器に自動的に設定情報を反映する。
【００１５】
スイッチ６０は、クライアント１０を各サーバとの通信を中継する。
【００１６】
クライアント１０とスイッチ６０は、ネットワーク１００を介して接続されている。
【００１７】
個人用ファイルサーバ２０、共有ファイルサーバ３０、認証サーバ４０、ポリシーサーバ５０、及びスイッチ６０の各々は、ネットワーク２００を介して接続されている。
【００１８】
関連する技術として、特許文献１（特開２００７−２６７３１５号公報）にマルチ認証機能スイッチ装置が開示されている。この関連技術では、複数のネットワーク機器のネットワークへのアクセス時の認証ならびに通信相手の認証において、マルチ認証機能スイッチの認証方式判定手段と代理認証手段等を利用する。認証方式判定手段は、認証方式判定情報保持手段の情報を利用して認証方式の適切性判定を行うとともに、認証情報表現変換手段を利用して認証情報表現を変換することにより、統一的なマルチ認証機能を実現する。代理認証手段は、認証履歴保持手段の認証履歴情報を利用して通信相手を代理認証するとともに代理認証拡張手段内のディジタル署名判定や証明書情報取得に関する機能を利用して代理認証を実現する。
【００１９】
また、特許文献２（特開２００９−２４４９７６号公報）にサービス連携装置、連携サービス競合制御方法、及びプログラムが開示されている。この関連技術では、情報ネットワーク対応機能は、ＡＰＩサービス要求を受信すると、該サービス要求を分析して振り分け機能に転送する。通信ネットワーク対応機能は、ＳＩＰによるセッション開始要求信号を受信すると、振り分け機能と通信ネットワーク対応機能とによるセッションの処理を行う。分析処理機能は、次のセッション候補サービス毎に、識別子毎の信号データ、差分データ、及びユーザ毎の契約情報データが記入されているセッション管理テーブルを参照し、衝突や、競合の状態、サービス内容などを一致検索し、次の候補サービスを実行、あるいは不実行にしてＡＰＩサービス競合制御と状態整合とを行う。
【先行技術文献】
【特許文献】
【００２０】
【特許文献１】特開２００７−２６７３１５号公報
【特許文献２】特開２００９−２４４９７６号公報
【非特許文献】
【００２１】
【非特許文献１】“ＯｐｅｎＦｌｏｗ Ｓｗｉｔｃｈ Ｓｐｅｃｉｆｉｃａｔｉｏｎ Ｖｅｒｓｉｏｎ ０．９．０（Ｗｉｒｅ Ｐｒｏｔｏｃｏｌ ０ｘ９８） Ｊｕｌｙ ２０， ２００９ Ｃｕｒｒｅｎｔ Ｍａｉｎｔａｉｎｅｒ： Ｂｒａｎｄｏｎ Ｈｅｌｌｅｒ（ｂｒａｎｄｏｎｈ＠ｓｔａｎｆｏｒｄ．ｅｄｕ）” ＜ｈｔｔｐ：／／ｗｗｗ．ｏｐｅｎｆｌｏｗｓｗｉｔｃｈ．ｏｒｇ／ｄｏｃｕｍｅｎｔｓ／ｏｐｅｎｆｌｏｗ−ｓｐｅｃ−ｖ０．９．０．ｐｄｆ＞
【発明の概要】
【発明が解決しようとする課題】
【００２２】
本発明の目的は、サーバクライアント環境において、クライアントからサーバへアクセスを行う場合、サーバ前段のオープンフロースイッチが、クライアント端末からサーバへの通信パス（宛先）を、各種認証サーバと連携した認証ネットワークと、認証サーバと連携しない非認証ネットワークとに振り分ける認証システムを提供することである。
【課題を解決するための手段】
【００２３】
本発明の認証システムは、個人用ファイルサーバと、共有ファイルサーバと、認証サーバと、オープンフロースイッチとを含む。個人用ファイルサーバは、個人での占有を目的とした専用領域である。共有ファイルサーバは、共有を目的とした共有領域である。認証サーバは、個人用ファイルサーバへのアクセスに対する認証情報を保持する。オープンフロースイッチは、認証サーバから認証情報を入手し、個人用ファイルサーバへのアクセスに対し、認証情報を用いて、セキュアな証明書による認証でアクセス許可を行った場合、個人用ファイルサーバにパケットを振り分ける。また、オープンフロースイッチは、セキュアな証明書による認証でアクセス許可を行わなかった場合、共有ファイルサーバにパケットを振り分ける。なお、セキュアな証明書とは、暗号技術等を用いて、技術的に安全性が保証された証明書のことである。
【００２４】
本発明のオープンフロースイッチは、認証サーバ連携部と、振り分け部とを含む。認証サーバ連携部は、個人での占有を目的とした専用領域である個人用ファイルサーバへのアクセスに対する認証情報を保持する認証サーバから認証情報を入手し、個人用ファイルサーバへのアクセスに対し、認証情報を用いて、セキュアな証明書による認証でアクセス許可を行うか判定する。振り分け部は、セキュアな証明書による認証でアクセス許可が行われた場合、個人用ファイルサーバにパケットを振り分け、セキュアな証明書による認証でアクセス許可が行われなかった場合、共有を目的とした共有領域である共有ファイルサーバにパケットを振り分ける。
【００２５】
本発明のオープンフロースイッチにより実施される認証方法では、個人での占有を目的とした専用領域である個人用ファイルサーバへのアクセスに対する認証情報を保持する認証サーバから認証情報を入手する。また、個人用ファイルサーバへのアクセスに対し、認証情報を用いて、セキュアな証明書による認証でアクセス許可を行うか判定する。また、セキュアな証明書による認証でアクセス許可が行われた場合、個人用ファイルサーバにパケットを振り分ける。また、セキュアな証明書による認証でアクセス許可が行われなかった場合、共有を目的とした共有領域である共有ファイルサーバにパケットを振り分ける。
【００２６】
本発明のプログラムは、上記の認証方法における処理を、オープンフロースイッチとして使用される計算機に実行させるためのプログラムである。なお、本発明のプログラムは、記憶装置や記憶媒体に格納することが可能である。
【発明の効果】
【００２７】
アクセス先のサーバ毎のポリシーによりセキュアなサーバアクセスを提供することが可能となる。
【図面の簡単な説明】
【００２８】
【図１】従来の認証システムの構成例を示す図である。
【図２】本発明の認証システムの構成例を示す図である。
【図３】本発明の認証方法の流れを示すフローチャートである。
【発明を実施するための形態】
【００２９】
以下に、本発明の実施形態について添付図面を参照して説明する。
図２に示すように、本発明の認証システムは、クライアント１０と、個人用ファイルサーバ（専用領域）２０と、共有ファイルサーバ（共有領域）３０と、認証サーバ４０と、オープンフロースイッチ７０を含む。
【００３０】
クライアント１０は、認証サーバ４０にユーザ登録されており、各サーバへのアクセスのため、複数（サーバ毎）の認証情報（パスワードや証明書等）を持っている。クライアント１０は、各サーバへのアクセスの際、認証サーバ４０から認証を受けてからアクセスする。
【００３１】
クライアント１０は、個人フォルダアクセス処理部１１と、共有フォルダアクセス処理部１２を具備する。
【００３２】
個人フォルダアクセス処理部１１は、個人用ファイルサーバ２０へのアクセスのための認証情報を持ち、個人用ファイルサーバ２０へのアクセスの際、認証サーバ４０から認証を受け、個人用ファイルサーバ２０へアクセスするための処理を行う。
【００３３】
共有フォルダアクセス処理部１２は、共有ファイルサーバ３０へアクセスするための処理を行う。なお、共有ファイルサーバ３０へのアクセスの際に認証が必要である場合には、共有フォルダアクセス処理部１２は、共有ファイルサーバ３０へのアクセスのための認証情報を持ち、共有ファイルサーバ３０へのアクセスの際、認証サーバ４０から認証を受ける。
【００３４】
個人用ファイルサーバ２０は、クライアント１０のユーザにより個人的に利用される情報が保管されたファイルサーバである。なお、個人用ファイルサーバ２０は、説明の簡略化のため１台しか図示していないが、実際には複数でも良い。
【００３５】
共有ファイルサーバ３０は、不特定多数、又はクライアント１０のユーザを含む共有グループのメンバーにより利用される情報が保管されたファイルサーバである。なお、共有ファイルサーバ３０は、説明の簡略化のため１台しか図示していないが、実際には複数でも良い。
【００３６】
認証サーバ４０は、クライアント１０から各サーバへのアクセスがあった場合、認証が必要であれば、クライアント１０から認証情報を受信して確認し、認証により、アクセス先のサーバへのアクセス許可を行う。
【００３７】
オープンフロースイッチ７０は、オープンフローコントローラ等により設定されたフロー単位の経路情報（フローテーブル）に基づいて、パケットの経路制御やノード制御を行う。ここでは、オープンフロースイッチ７０は、説明の簡略化のため１台しか図示していないが、実際には複数でも良い。なお、オープンフロースイッチの詳細については、非特許文献１に記載されている。
【００３８】
フローとは、所定の規則（ルール）に適合するパケットに対して行うべき所定の処理（アクション）を定義したものである。フローのルールは、ＭＡＣフレームのヘッダ領域に含まれる宛先アドレス（Ｄｅｓｔｉｎａｔｉｏｎ Ａｄｄｒｅｓｓ）、送信元アドレス（Ｓｏｕｒｃｅ Ａｄｄｒｅｓｓ）、宛先ポート（Ｄｅｓｔｉｎａｔｉｏｎ Ｐｏｒｔ）、送信元ポート（Ｓｏｕｒｃｅ Ｐｏｒｔ）のいずれか又は全てを用いた様々な組み合わせにより定義され、区別可能である。なお、上記のアドレスには、ＭＡＣアドレス（Ｍｅｄｉａ Ａｃｃｅｓｓ Ｃｏｎｔｒｏｌ Ａｄｄｒｅｓｓ）やＩＰアドレス（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ Ａｄｄｒｅｓｓ）を含むものとする。また、上記に加えて、入口ポート（Ｉｎｇｒｅｓｓ Ｐｏｒｔ）の情報も、フローのルールとして使用可能である。
【００３９】
本発明では、認証サーバ４０が、オープンフローコントローラに該当する。すなわち、オープンフロースイッチ７０は、認証サーバ４０から、認証に必要な設定情報がフローのルールに含まれたフローエントリを受け取り、フローテーブルに登録する。
【００４０】
オープンフロースイッチ７０は、パケットを受信した際、受信パケットに対し、フローのルールを判定し、ルールの内容が個人用ファイルサーバ２０を利用するものである場合、ルールに対応するアクションとして認証を行う。
【００４１】
上記のルールの内容の例として、宛先アドレスが個人用ファイルサーバ２０であることを基本的な条件とし、更に、パケットのデータにセキュアな証明書が含まれていること、送信元アドレスがクライアント１０であること、宛先ポート及び送信元ポートが所定のアプリケーションプログラム用のポート番号であること等の条件を組み合わせることが考えられる。なお、セキュアな証明書とは、暗号技術等を用いて、技術的に安全性が保証された証明書のことである。
【００４２】
なお、実際には、オープンフロースイッチ７０は、受信パケットが個人用ファイルサーバ２０宛のフローであることを検出した際に、送信元に証明書を要求するようにしても良い。
【００４３】
オープンフロースイッチ７０は、振り分け部７１と、認証サーバ連携部７２を備える。
【００４４】
振り分け部７１は、認証サーバ連携部７２による認証の結果に応じて、クライアント１０から各サーバへのアクセスの通信パス（宛先）を変更し、パケットを、各種認証サーバ４０と連携した認証ネットワークと、認証サーバ４０と連携しない非認証ネットワークとに振り分ける。
【００４５】
ここでは、振り分け部７１は、セキュアな証明書による認証でアクセス許可されたパケットを個人用ファイルサーバ２０に送信し、通常のアカウント認証で簡易アクセス許可されたパケット（又は認証されなかったパケット）を共有ファイルサーバ３０に送信する。
【００４６】
認証サーバ連携部７２は、認証サーバ４０と連携して、認証に必要な設定情報を共有し、認証サーバ４０で行われる認証処理を代行する。なお、実際には、認証サーバ連携部７２は、認証サーバ４０に対してセキュアな証明書による認証を要求・依頼し、応答として認証結果を受け取り、その認証結果に基づいてアクセス許可を行うようにすることも可能である。
【００４７】
ここでは、認証サーバ連携部７２は、クライアント１０から受信したパケットの宛先アドレスが個人用ファイルサーバ２０であれば、セキュアな証明書による認証を行い、アクセス許可を行った場合にのみ、個人用ファイルサーバ２０へのアクセスを許可する。
【００４８】
また、認証サーバ連携部７２は、フローに対して認証を行うようにすることも可能である。例えば、認証サーバ連携部７２は、受信パケットが所定のフローのルールに合致しているか否かを確認し、合致していれば、正式にセキュアな証明書による認証を行うか、或いは、そのままアクセス許可するようにする。
【００４９】
クライアント１０とオープンフロースイッチ７０は、ネットワーク１００を介して接続されている。
【００５０】
個人用ファイルサーバ２０、認証サーバ４０、及びオープンフロースイッチ７０の各々は、ネットワーク２１０を介して接続されている。
【００５１】
共有ファイルサーバ３０、認証サーバ４０、及びオープンフロースイッチ７０の各々は、ネットワーク２２０を介して接続されている。
【００５２】
すなわち、個人用ファイルサーバ２０と共有ファイルサーバ３０は、異なるネットワークに属する。
【００５３】
なお、共有ファイルサーバ３０が、不特定多数により利用され、認証が不要のファイルサーバである場合、すなわち、ネットワーク２１０が認証ネットワークであり、ネットワーク２２０が非認証ネットワークである場合、認証サーバ４０は、ネットワーク２２０に接続されていなくても良い。
【００５４】
また、個人用ファイルサーバ２０、共有ファイルサーバ３０、及び認証サーバ４０は、同一のサーバでも良い。この場合、個人用ファイルサーバ２０は、個人での占有を目的とした専用領域であり、共有ファイルサーバ３０は、共有を目的とした共有領域であるものとする。
【００５５】
［ハードウェアの例示］
クライアント１０の例として、ＰＣ（パソコン）、モバイルノートＰＣ、シンクライアント端末、ワークステーション、携帯電話機、カーナビ（カーナビゲーションシステム）、携帯型ゲーム機、家庭用ゲーム機、ガジェット（電子機器）、双方向テレビ、デジタルチューナー、デジタルレコーダー、情報家電（ｉｎｆｏｒｍａｔｉｏｎ ｈｏｍｅ ａｐｐｌｉａｎｃｅ）、ＯＡ（Ｏｆｆｉｃｅ Ａｕｔｏｍａｔｉｏｎ）機器等が考えられる。クライアント１０は、車両や船舶、航空機等の移動体に搭載されていても良い。
【００５６】
個人用ファイルサーバ２０、共有ファイルサーバ３０、及び認証サーバ４０の例として、ＰＣ、シンクライアントサーバ、ワークステーション、メインフレーム、スーパーコンピュータ等の計算機を想定している。また、個人用ファイルサーバ２０、共有ファイルサーバ３０、及び認証サーバ４０は、物理マシンに限らず、物理マシン上に構築された仮想マシン（Ｖｉｒｔｕａｌ Ｍａｃｈｉｎｅ（ＶＭ））でも良い。すなわち、仮想サーバでも良い。
【００５７】
オープンフロースイッチ７０の例として、Ｌ３スイッチ（ｌａｙｅｒ ３ ｓｗｉｔｃｈ）、Ｌ４スイッチ（ｌａｙｅｒ ４ ｓｗｉｔｃｈ）、Ｌ７スイッチ／アプリケーションスイッチ（ｌａｙｅｒ ７ ｓｗｉｔｃｈ）、或いは、マルチレイヤスイッチ（ｍｕｌｔｉ−ｌａｙｅｒ ｓｗｉｔｃｈ）等が考えられる。オープンフロースイッチ７０は、ルータ、プロキシ、ゲートウェイ、ファイアウォール、基地局、アクセスポイント等でも良い。また、オープンフロースイッチ７０は、物理マシンに限らず、物理マシン上に構築された仮想マシンでも良い。すなわち、仮想スイッチや、ハイパーバイザー（ｈｙｐｅｒｖｉｓｏｒ）等の仮想マシンモニタ（Ｖｉｒｔｕａｌ Ｍａｃｈｉｎｅ Ｍｏｎｉｔｏｒ（ＶＭＭ））でも良い。
【００５８】
図示しないが、クライアント１０、個人用ファイルサーバ２０、共有ファイルサーバ３０、認証サーバ４０、及びオープンフロースイッチ７０の各々は、プログラムに基づいて駆動し所定の処理を実行するプロセッサと、当該プログラムや各種データを記憶するメモリと、ネットワーク通信をするための通信用インタフェースによって実現される。
【００５９】
すなわち、クライアント１０の個人フォルダアクセス処理部１１や共有フォルダアクセス処理部１２、オープンフロースイッチ７０の振り分け部７１や認証サーバ連携部７２は、上記のプロセッサと、上記のメモリと、上記の通信用インタフェースによって実現される。
【００６０】
上記のプロセッサの例として、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）、マイクロプロセッサ（ｍｉｃｒｏｐｒｏｃｅｓｓｏｒ）、マイクロコントローラ、或いは、専用の機能を有する半導体集積回路（Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ（ＩＣ））等が考えられる。
【００６１】
上記のメモリの例として、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）、ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）、ＥＥＰＲＯＭ（Ｅｌｅｃｔｒｉｃａｌｌｙ Ｅｒａｓａｂｌｅ ａｎｄ Ｐｒｏｇｒａｍｍａｂｌｅ Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）やフラッシュメモリ等の半導体記憶装置、ＨＤＤ（Ｈａｒｄ Ｄｉｓｋ Ｄｒｉｖｅ）やＳＳＤ（Ｓｏｌｉｄ Ｓｔａｔｅ Ｄｒｉｖｅ）等の補助記憶装置、又は、ＤＶＤ（Ｄｉｇｉｔａｌ Ｖｅｒｓａｔｉｌｅ Ｄｉｓｋ）等のリムーバブルディスクや、ＳＤメモリカード（Ｓｅｃｕｒｅ Ｄｉｇｉｔａｌ ｍｅｍｏｒｙ ｃａｒｄ）等の記憶媒体（メディア）等が考えられる。
【００６２】
また、上記のプロセッサ及び上記のメモリは、一体化していても良い。例えば、近年では、マイコン等の１チップ化が進んでいる。従って、各々の装置に搭載される１チップマイコンが、プロセッサ及びメモリを備えている事例が考えられる。
【００６３】
上記の通信用インタフェースの例として、ネットワーク通信に対応した基板（マザーボードやＩ／Ｏボード）等の半導体集積回路、ＮＩＣ（Ｎｅｔｗｏｒｋ Ｉｎｔｅｒｆａｃｅ Ｃａｒｄ）等のネットワークアダプタや同様の拡張カード、アンテナ等の通信装置、接続口（コネクタ）等の通信ポート等が考えられる。
【００６４】
ネットワーク１００、ネットワーク２１０、及びネットワーク２２０の例として、インターネット、ＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）、無線ＬＡＮ（Ｗｉｒｅｌｅｓｓ ＬＡＮ）、ＷＡＮ（Ｗｉｄｅ Ａｒｅａ Ｎｅｔｗｏｒｋ）、バックボーン（Ｂａｃｋｂｏｎｅ）、ケーブルテレビ（ＣＡＴＶ）回線、固定電話網、携帯電話網、ＷｉＭＡＸ（ＩＥＥＥ ８０２．１６ａ）、３Ｇ（３ｒｄ Ｇｅｎｅｒａｔｉｏｎ）、専用線（ｌｅａｓｅ ｌｉｎｅ）、ＩｒＤＡ（Ｉｎｆｒａｒｅｄ Ｄａｔａ Ａｓｓｏｃｉａｔｉｏｎ）、Ｂｌｕｅｔｏｏｔｈ（登録商標）、シリアル通信回線、データバス等が考えられる。また、各サーバが仮想マシン（仮想サーバ）である場合、ネットワーク２１０及びネットワーク２２０は、仮想ＬＡＮ（Ｖｉｒｔｕａｌ ＬＡＮ（ＶＬＡＮ））でも良い。
【００６５】
但し、実際には、これらの例に限定されない。
【００６６】
［認証処理］
図３を参照して、本発明の認証処理の詳細について説明する。
【００６７】
（１）ステップＳ１０１
認証サーバ４０は、事前設定により、クライアント１０の情報と、アクセスする個人用ファイルサーバ２０の情報と、クライアント１０のアカウント情報と、証明書による認証ユーザと、その証明書との登録を行う。
【００６８】
（２）ステップＳ１０２
オープンフロースイッチ７０の認証サーバ連携部７２は、事前設定により、クライアント１０の情報と、アクセスするファイルサーバの情報と、クライアント１０のアカウント情報と、証明書による認証ユーザと、その証明書との登録を行う。なお、認証サーバ連携部７２は、最初に認証サーバ４０へアクセスし、認証に必要な事前設定情報を入手するようにしても良い。
【００６９】
（３）ステップＳ１０３
次に、オープンフロースイッチ７０の振り分け部７１は、個人用ファイルサーバ２０へのファイル操作の延長で、クライアント１０からアクセス許可を求められた認証が、通常のアカウント認証か、セキュリティレベルの高い証明書を用いた認証か、を認証サーバ連携部７２へ問い合わせて、クライアント１０からのアクセス先を決定する。
【００７０】
（４）ステップＳ１０４
認証サーバ連携部７２は、セキュアな証明書による認証を行い、アクセス許可を行った場合、セキュリティレベルの高い個人用ファイルサーバ２０へのアクセスを許可する。
【００７１】
このとき、認証サーバ連携部７２は、不正な端末が、事前設定情報と一致するクライアント１０を詐称して、不正に個人用ファイルサーバ２０へアクセスした場合、ファイルアクセスに必要なアカウント情報、及び証明書を用いた認証ができないため、不正アクセスを検知する。
【００７２】
（５）ステップＳ１０５
認証サーバ連携部７２は、セキュアな証明書による認証を行わず、通常のアカウント認証で簡易アクセス許可を行った場合、個人用ファイルサーバ２０よりもセキュリティレベルの低い共有ファイルサーバ３０へのアクセスを許可する。なお、認証サーバ連携部７２は、認証自体を行わなかった場合、いずれのファイルサーバへのアクセスも許可しないか、或いは共有ファイルサーバ３０へのアクセスのみ許可するようにしても良い。
【００７３】
（６）ステップＳ１０６
認証サーバ連携部７２は、定期的に認証サーバ４０へアクセスし、認証に必要な事前設定情報に更新や追加が発生した場合、更新情報を入手する。なお、実際には、認証サーバ４０で認証に必要な事前設定情報に更新や追加が発生した時点で、認証サーバ４０が、自動的に、更新情報を認証サーバ連携部７２に通知するようにしても良い。
【００７４】
＜本発明の要旨＞
サーバクライアント環境において、クライアントからサーバへアクセスを行う場合、例えば、通常のファイルサーバは、共有を目的とした共有領域と、個人での占有を目的とした専用領域を提供する。この際のネットワークへのアクセスは、認証行為によって、初めてアクセスすることが可能である。
【００７５】
サーバ前段のオープンフロースイッチ７０は、通常のネットワークスイッチが有するファイアウォール機能やフィルタリング機能以外に、クライアント端末からサーバへの通信パス（宛先）を、各種認証サーバと連携した認証ネットワークと、認証サーバと連携しない非認証ネットワークと、に振り分ける振り分け部７１を有している。
【００７６】
また、オープンフロースイッチ７０は、認証サーバからユーザ認証に必要な情報を定期的に入手する認証サーバ連携部７２を有する。上記の振り分け部７１は、認証サーバ連携部７２にクライアントからのアクセスが要求に合致するか照合して、通信パスの振り分けを行う。
【００７７】
詐称やアタック等の不正アクセスの場合は、通常のファイアウォールでガードされる。詐称等ガードを抜ける場合でも、影響は非認証ネットワークに留められ、認証ネットワークへ影響を与えることなくアクセスが可能である。
【００７８】
本発明を実現するためには、認証サーバ連携機能と振り分け機能を有するオープンフロースイッチ７０と、認証に必要なフローを設定する認証サーバ４０と、認証によるサーバアクセスが可能なクライアント１０並びにサーバ（個人用ファイルサーバ２０や共有ファイルサーバ３０等）とが必要である。
【００７９】
オープンフロースイッチ７０は、認証サーバ４０による追加更新に動的に追従するための認証サーバ連携部７２と、認証結果によって通信パスを選択する振り分け部７１を有することで、クライアント１０からのアクセスをダイナミックにセキュアな環境へ遷移可能なシステムを提供する。
【００８０】
＜実施例＞
以下に、具体例を使って説明する。
【００８１】
あるユーザのファイルサーバへのアクセスは、共有領域を使う場合と、個人領域を使う場合がある。共有領域へのアクセスにはアカウントとそのパスワードで認証を得る方式を用いる。個人領域へのアクセスには、よりセキュリティレベルを高めるため、認証サーバ発行の証明書を用いて認証を得る方式を用いる。
【００８２】
この場合、オープンフロースイッチ７０の認証サーバ連携部７２へ、クライアント１０の情報と、アクセスするファイルサーバの情報と、クライアント１０のアカウント情報と、証明書による認証ユーザと、その証明書と、について事前に設定を行う。
【００８３】
同様に、認証サーバ４０にも、クライアント１０の情報と、アクセスするファイルサーバの情報と、クライアント１０のアカウント情報と、証明書による認証ユーザと、その証明書と、について事前に設定を行う。
【００８４】
次に、ファイルサーバへのファイル操作の延長で、オープンフロースイッチ７０の振り分け部７１は、アクセス許可を求められた認証が、通常のアカウント認証か、セキュリティレベルの高い証明書を用いた認証か、を認証サーバ連携部７２へ問い合わせてクライアント１０からのアクセス先を決定する。
【００８５】
このとき、セキュアな証明書により認証を行わず、アカウント認証で簡易アクセスを行った場合、一段セキュリティレベルの低い共有領域へのアクセスを許可する。これにより、個人領域のアクセスはよりセキュリティ性が高く、あるグループで共有するような、一般的な共有領域のアクセスも提供することが可能となる。
【００８６】
また、認証に必要な上記事前設定情報に更新や追加が発生した場合、認証サーバ連携部７２は、定期的に認証サーバ４０へアクセスし、更新情報を入手する。
【００８７】
もし、不正な端末が、事前設定情報と一致するクライアント１０を詐称して、不正にファイルサーバへアクセスした場合、認証サーバ連携部７２は、ファイルアクセスに必要なアカウント情報及び証明書を用いた認証ができないため、不正アクセスを検知可能である。
【００８８】
この場合、オープンフロースイッチ７０の振り分け部７１は、そのクライアント１０のアドレス情報から不正アクセスの個体（不正端末）を見出し、個体からのアクセスについて一時的に自己フィルタを行い、管理者等により解除されるまで不正アクセスからファイルサーバへの操作を制限することが可能となる。
【００８９】
これにより、オープンフロースイッチ７０は、認証サーバにより許可された通信のみのセキュアなネットワークを確立することが可能となる。クライアント１０は、サーバごとの接続のためのそれぞれの認証情報が必要で、認証ネットワークにあるサーバへのアクセスを行うだけでセキュアなネットワークへ導くことが可能である。
【００９０】
なお、上記の実施例では、サーバとしてファイルサーバの例を使っているが、認証サーバとの連携を行うサーバであれば、ファイルサーバ以外のサーバでも良い。
【００９１】
＜本発明の特徴＞
本発明は、クライアントサーバシステムにおいて、クライアント端末からサーバへのアクセスをオープンフロースイッチにて振り分ける方式に関する。
【００９２】
サーバクライアント環境において、クライアントからサーバへアクセスを行う場合、サーバ前段のオープンフロースイッチは、クライアント端末からサーバへの通信パス（宛先）を、各種認証サーバと連携した認証ネットワークと、認証サーバと連携しない非認証ネットワークと、に振り分ける機能を有して、アクセス先ごとのポリシーによりセキュアなサーバアクセスを提供することが可能となる。
【００９３】
以上、本発明の実施形態を詳述してきたが、実際には、上記の実施形態に限られるものではなく、本発明の要旨を逸脱しない範囲の変更があっても本発明に含まれる。
【符号の説明】
【００９４】
１０… クライアント（クライアント端末）
１１… 個人フォルダアクセス処理部
１２… 共有フォルダアクセス処理部
２０… 個人用ファイルサーバ（専用領域）
３０… 共有ファイルサーバ（共有領域）
４０… 認証サーバ
５０… ポリシーサーバ
６０… スイッチ
７０… オープンフロースイッチ
７１… 振り分け部
７２… 認証サーバ連携部
【特許請求の範囲】
【請求項１】
個人での占有を目的とした専用領域である個人用ファイルサーバと、
共有を目的とした共有領域である共有ファイルサーバと、
前記個人用ファイルサーバへのアクセスに対する認証情報を保持する認証サーバと、
前記認証サーバから前記認証情報を入手し、前記個人用ファイルサーバへのアクセスに対し、前記認証情報を用いて、セキュアな証明書による認証でアクセス許可を行った場合、前記個人用ファイルサーバにパケットを振り分け、前記セキュアな証明書による認証でアクセス許可を行わなかった場合、前記共有ファイルサーバにパケットを振り分けるオープンフロースイッチと
を含む
認証システム。
【請求項２】
請求項１に記載の認証システムであって、
前記オープンフロースイッチは、
前記認証サーバと連携し、前記認証サーバと前記認証情報を共有し、前記認証サーバの代わりに、前記認証情報を用いて、前記セキュアな証明書による認証でアクセス許可を行う認証サーバ連携部と、
前記認証サーバ連携部での認証結果に応じて、パケットの宛先を変更する振り分け部と
を具備する
認証システム。
【請求項３】
請求項２に記載の認証システムであって、
前記認証サーバ連携部は、定期的に前記認証サーバにアクセスし、前記認証サーバでの前記認証情報の動的な変更に追従する
認証システム。
【請求項４】
個人での占有を目的とした専用領域である個人用ファイルサーバへのアクセスに対する認証情報を保持する認証サーバから前記認証情報を入手し、前記個人用ファイルサーバへのアクセスに対し、前記認証情報を用いて、セキュアな証明書による認証でアクセス許可を行うか判定する認証サーバ連携部と、
前記セキュアな証明書による認証でアクセス許可が行われた場合、前記個人用ファイルサーバにパケットを振り分け、前記セキュアな証明書による認証でアクセス許可が行われなかった場合、共有を目的とした共有領域である共有ファイルサーバにパケットを振り分ける振り分け部と
を含む
オープンフロースイッチ。
【請求項５】
請求項４に記載のオープンフロースイッチであって、
前記認証サーバ連携部は、前記認証サーバと連携し、前記認証サーバと前記認証情報を共有し、前記認証サーバの代わりに、前記認証情報を用いて、前記セキュアな証明書による認証でアクセス許可を行い、
前記振り分け部は、前記認証サーバ連携部での認証結果に応じて、パケットの宛先を変更する
オープンフロースイッチ。
【請求項６】
請求項５に記載のオープンフロースイッチであって、
前記認証サーバ連携部は、定期的に前記認証サーバにアクセスし、前記認証サーバでの前記認証情報の動的な変更に追従する
オープンフロースイッチ。
【請求項７】
オープンフロースイッチにより実施される認証方法であって、
個人での占有を目的とした専用領域である個人用ファイルサーバへのアクセスに対する認証情報を保持する認証サーバから前記認証情報を入手することと、
前記個人用ファイルサーバへのアクセスに対し、前記認証情報を用いて、セキュアな証明書による認証でアクセス許可を行うか判定することと、
前記セキュアな証明書による認証でアクセス許可が行われた場合、前記個人用ファイルサーバにパケットを振り分けることと、
前記セキュアな証明書による認証でアクセス許可が行われなかった場合、共有を目的とした共有領域である共有ファイルサーバにパケットを振り分けることと
を含む
認証方法。
【請求項８】
請求項７に記載の認証方法であって、
前記認証サーバと連携し、前記認証サーバと前記認証情報を共有することと、
前記認証サーバの代わりに、前記認証情報を用いて、前記セキュアな証明書による認証でアクセス許可を行うことと、
前記認証結果に応じて、パケットの宛先を変更することと
を更に含む
認証方法。
【請求項９】
請求項８に記載の認証方法であって、
定期的に前記認証サーバにアクセスし、前記認証サーバでの前記認証情報の動的な変更に追従すること
を更に含む
認証方法。
【請求項１０】
請求項７乃至９のいずれか一項に記載の認証方法を、オープンフロースイッチとして使用される計算機に実行させるためのプログラム。
【請求項１】
個人での占有を目的とした専用領域である個人用ファイルサーバと、
共有を目的とした共有領域である共有ファイルサーバと、
前記個人用ファイルサーバへのアクセスに対する認証情報を保持する認証サーバと、
前記認証サーバから前記認証情報を入手し、前記個人用ファイルサーバへのアクセスに対し、前記認証情報を用いて、セキュアな証明書による認証でアクセス許可を行った場合、前記個人用ファイルサーバにパケットを振り分け、前記セキュアな証明書による認証でアクセス許可を行わなかった場合、前記共有ファイルサーバにパケットを振り分けるオープンフロースイッチと
を含む
認証システム。
【請求項２】
請求項１に記載の認証システムであって、
前記オープンフロースイッチは、
前記認証サーバと連携し、前記認証サーバと前記認証情報を共有し、前記認証サーバの代わりに、前記認証情報を用いて、前記セキュアな証明書による認証でアクセス許可を行う認証サーバ連携部と、
前記認証サーバ連携部での認証結果に応じて、パケットの宛先を変更する振り分け部と
を具備する
認証システム。
【請求項３】
請求項２に記載の認証システムであって、
前記認証サーバ連携部は、定期的に前記認証サーバにアクセスし、前記認証サーバでの前記認証情報の動的な変更に追従する
認証システム。
【請求項４】
個人での占有を目的とした専用領域である個人用ファイルサーバへのアクセスに対する認証情報を保持する認証サーバから前記認証情報を入手し、前記個人用ファイルサーバへのアクセスに対し、前記認証情報を用いて、セキュアな証明書による認証でアクセス許可を行うか判定する認証サーバ連携部と、
前記セキュアな証明書による認証でアクセス許可が行われた場合、前記個人用ファイルサーバにパケットを振り分け、前記セキュアな証明書による認証でアクセス許可が行われなかった場合、共有を目的とした共有領域である共有ファイルサーバにパケットを振り分ける振り分け部と
を含む
オープンフロースイッチ。
【請求項５】
請求項４に記載のオープンフロースイッチであって、
前記認証サーバ連携部は、前記認証サーバと連携し、前記認証サーバと前記認証情報を共有し、前記認証サーバの代わりに、前記認証情報を用いて、前記セキュアな証明書による認証でアクセス許可を行い、
前記振り分け部は、前記認証サーバ連携部での認証結果に応じて、パケットの宛先を変更する
オープンフロースイッチ。
【請求項６】
請求項５に記載のオープンフロースイッチであって、
前記認証サーバ連携部は、定期的に前記認証サーバにアクセスし、前記認証サーバでの前記認証情報の動的な変更に追従する
オープンフロースイッチ。
【請求項７】
オープンフロースイッチにより実施される認証方法であって、
個人での占有を目的とした専用領域である個人用ファイルサーバへのアクセスに対する認証情報を保持する認証サーバから前記認証情報を入手することと、
前記個人用ファイルサーバへのアクセスに対し、前記認証情報を用いて、セキュアな証明書による認証でアクセス許可を行うか判定することと、
前記セキュアな証明書による認証でアクセス許可が行われた場合、前記個人用ファイルサーバにパケットを振り分けることと、
前記セキュアな証明書による認証でアクセス許可が行われなかった場合、共有を目的とした共有領域である共有ファイルサーバにパケットを振り分けることと
を含む
認証方法。
【請求項８】
請求項７に記載の認証方法であって、
前記認証サーバと連携し、前記認証サーバと前記認証情報を共有することと、
前記認証サーバの代わりに、前記認証情報を用いて、前記セキュアな証明書による認証でアクセス許可を行うことと、
前記認証結果に応じて、パケットの宛先を変更することと
を更に含む
認証方法。
【請求項９】
請求項８に記載の認証方法であって、
定期的に前記認証サーバにアクセスし、前記認証サーバでの前記認証情報の動的な変更に追従すること
を更に含む
認証方法。
【請求項１０】
請求項７乃至９のいずれか一項に記載の認証方法を、オープンフロースイッチとして使用される計算機に実行させるためのプログラム。
【図１】
【図２】
【図３】
【図２】
【図３】
【公開番号】特開２０１２−４３０７６（Ｐ２０１２−４３０７６Ａ）
【公開日】平成２４年３月１日（２０１２．３．１）
【国際特許分類】
【出願番号】特願２０１０−１８２０８３（Ｐ２０１０−１８２０８３）
【出願日】平成２２年８月１７日（２０１０．８．１７）
【出願人】（０００００４２３７）日本電気株式会社 (19,353)
【Ｆターム（参考）】
【公開日】平成２４年３月１日（２０１２．３．１）
【国際特許分類】
【出願日】平成２２年８月１７日（２０１０．８．１７）
【出願人】（０００００４２３７）日本電気株式会社 (19,353)
【Ｆターム（参考）】
[ Back to top ]