JP4741292B2 - デバイス管理システム - Google Patents

Description

本発明は、ネットワークを介してサーバに接続するデバイスへのアクセスを管理する技
術に関する。特に、デバイスがサーバに直接接続している場合と同様に当該デバイスを仮想的に利用可能なシステムにおいて、安全かつ簡便に遠隔操作可能とする技術に関する。

インターネットや企業内のイントラネットなどのネットワークを介した通信を行う際に
利用可能となる一人あたりのデータ転送帯域が広帯域化している。企業内部の機器から外部のサーバへのアクセスはもちろん、家庭やホテル、ホットスポット（登録商標）などから企業内部の機器へ数Ｍｂｐｓ〜数十Ｍｂｐｓの帯域でアクセスが可能となっている。インターネットを家庭や街中から利用する場合、常時接続可能で価格も安価になっている。

また、パーソナルコンピュータ（ＰＣ）やＰＤＡ、携帯電話などの情報機器の低価格化が進み、従業員の大半に情報端末を配布し、業務を行わせるようにしている企業が増えている。多くの企業が、迅速な業務遂行の為に、出張先や自宅、移動中などのオフィス外の場所で情報機器を利用し、企業内のＰＣやサーバなどの機器にアクセスすることを許可するようになっている。

このようなアクセスはリモートアクセス機能と呼ばれ、暗号通信を行うバーチャルプライベートネットワーク（ＶＰＮ）機能を持つサーバが社内に設置され、このサーバにより、オフィス外の情報機器との通信において、途中経路上の通信を暗号化するなどの管理が行われている。オフィス外からのリモートアクセスが一般的になるにつれ、オフィスの外からメールサーバやＷＥＢサーバにアクセスし、部分的な業務を遂行するだけでなく、オフィス内に在籍している時に行っているような業務の大半を遠隔地で行うような業務形態にシフトしつつある。

このような業務形態の為に導入される一手法として、サーバクライアント方式と呼ばれるシステム運用の方式が挙げられる。サーバクライアント方式のシステムは、ネットワークコンピューティングシステムやサーバーベースドコンピューティングなどと呼ばれ、主なプログラムやデータをサーバ側に蓄積し、ＰＣやシンクライアントのようなクライアント側から操作するものである。サーバクライアント方式では、演算処理やデータの蓄積は主にサーバ側で行われるため、シンクライアントのようなクライアント側にて個々にＯＳや業務に利用するアプリケーションのバージョンアップやバグフィックス、ウィルス対策やウィルス駆除などを行う必要性や頻度が減少し、全体の管理コストを低減でき、安全性が増す（例えば、特許文献１参照。）。

特開２００５−１２７７５号公報

前述したサーバクライアント方式では、サーバとクライアントとは、物理的に離れた場
所に設置されていても良い。

このようなサーバクライアント方式で、利用者がＣＤ−ＲＯＭドライブやプリンタなどの情報機器に接続される周辺機器（以後、本明細書ではデバイスと呼ぶ）をサーバ上で利用する方法として、サーバに直接当該デバイスを接続して利用する方法がある。この場合、クライアント側には当該デバイスのドライバをインストールしなくても、クライアントは、サーバ側のドライバにより当該デバイスを使用することができる。また、複数のクライアントにより当該デバイスを共有することもできる。しかし、この場合、クライアント側の操作環境にサーバに直接接続されたデバイス（例えば、ＣＤ−ＲＯＭ）のドライバが無いため、ＣＤ−ＲＯＭの取り出しなどの操作は行うことができない。

また、イントラネットなどのネットワーク上に当該デバイスを共有のデバイスとして配置し、クライアント側に当該デバイスのドライバをインストールし、そのドライバにより当該デバイスを使用する方法がある。この場合、ＣＤ−ＲＯＭドライブ上にＣＤ−ＲＯＭを挿入後に、アクセス制限などの措置をとらないと、当該デバイスのドライバを保持している第三者に不正にアクセスされてしまう可能性があり、セキュリティの面での問題がある。特に、サーバがネットワーク上に存在する場合は、複数のクライアントが使用可能な共有デバイスをサーバに仮想的に接続することは、セキュリティ上のリスクを伴うので、認証や暗号化などのセキュリティを十分に高める必要がある。

また、ＣＤ−ＲＯＭドライブのように一般的なデバイスであれば、各クライアントがドライバを有し、サーバおよびクライアントのＯＳがデバイス共有を行う機能を提供している可能性が高いため、本方法にてデバイスの共有を行うことは可能である。しかし、特別な機能を持つドライバを必要とする特殊なデバイスの場合、当該デバイスを共有するための専用の機能が必要であり、一般的にこのような機能をＯＳでは提供しないことが多いため、クライアント側にデバイスのドライバを備えた構成でのデバイスの共有の実現は難しい。

本発明は、上記事情に鑑みてなされたもので、サーバクライアント方式においてデバイ
スを共有する場合、利用者の利便性を損なわず、システム内のセキュリティを向上させる。

このため、本発明は、ネットワークに接続されたデバイスを仮想的にサーバ上で動作させる場合のデバイスのアクセス権限を管理する。

例えば、本発明は、アプリケーションプログラムを実行するサーバと、前記サーバに前記アプリケーションプログラムの実行の指示を与え、当該サーバから実行結果を受け取るクライアントと、前記クライアントを認証する認証サーバとがネットワークで接続されたシステムにおいて、前記クライアントに接続されたデバイスを、前記サーバから制御するデバイス管理システムであって、
前記クライアントは、当該クライアントに接続しているデバイスのデバイスドライバとデータを送受信するとともに前記サーバとの間で当該データを送受信するデバイス管理手段を備え、
前記認証サーバは、当該デバイス管理システム内の各デバイスの利用権限を管理するデバイス情報保持手段を備え、
前記サーバは、当該サーバ内で動作するアプリケーションと、前記デバイス管理手段との間で前記ネットワークを介して行われるデータの送受信を、前記デバイス情報保持手段に保持されている前記利用権限に従って制御する仮想デバイス管理手段を備え、
前記クライアントは、前記サーバにアクセス要求を送信し、
前記サーバが前記アクセス要求を受け取ると、当該サーバが備える仮想デバイス管理手段は、前記デバイス情報保持手段を参照し、前記アクセス要求の送信元のクライアントの利用者が利用権限を有するデバイスが接続されているクライアント装置が備えるデバイス管理手段との間に通信路を形成することにより、前記制御を行い、
前記仮想デバイス管理手段は、
前記サーバが前記アクセス要求を受け取ると、前記デバイス情報保持手段を参照する前に、前記認証サーバに、当該デバイス情報保持手段の情報を更新する更新指示を送信し、
前記認証サーバは、
前記更新指示を受け取ると、前記ネットワークに接続されているクライアントに対し、前記デバイス情報とともに当該デバイスの現在の使用状況を示す情報であるデバイス状態情報の取得を指示し、指示に対して返信された前記デバイス情報および前記デバイス状態情報に従って、前記デバイス情報保持手段の情報を更新し、
前記クライアントが前記デバイス情報および前記デバイス状態情報の取得の指示を受け取ると、当該クライアントが備える前記デバイス管理手段は、当該クライアントに接続されているデバイスの前記デバイス情報および前記デバイス状態情報を取得して前記認証サーバに返信することを特徴とするデバイス管理システムを提供する。

本発明によれば、サーバクライアント方式においてデバイスを共有する場合、利用者の
利便性を損なわず、システム内のセキュリティを向上させることができる。

本発明の実施の形態について、添付図面を参照しながら以下詳細に説明する。

＜＜第一の実施形態＞＞
以下図面を用いて、本発明に係るデバイス管理システムの第一の実施形態を説明する。

図１は、本実施形態のデバイス管理システムの詳細なブロック図である。本実施形態のデバイス管理システムは、認証管理サーバ１０１、ネットワーク１０３、ブレードサーバ１０６を備える情報センタ１０２と、当該情報センタのネットワーク１０３に接続するＰＣ等のクライアント装置とを備える。

情報センタ１０２は、情報機器を管理するセンタで通常入退室を制限され、設置する機器が管理監視されているエリアである。情報センタ１０２の設置場所は、限定されない。例えば、利用者がクライアント装置などの端末を利用する場所に設置されても良いし、離れた場所に設置されていても良い。利用者が端末をオフィスなどで利用する場合、情報センタ１０２は利用者を管理する企業団体の建屋内に設置されてもよい。利用者が一般消費者で自宅やホテル、街頭などからサービス提供企業のサーバを利用する場合、情報センタ１０２はインターネットサービスプロバイダやサーバレンタル企業、アプリケーションサービスプロバイダ等の管理する建屋内に設置されていてもよい。また、利用者自宅やオフィスの一角にサーバを集中させたエリアであっても良い。

認証管理サーバ１０１は、デバイスや利用者の認証と管理とを行うサーバで、情報センタ１０２の管理者が管理する。認証管理サーバ１０１がこれらを実現するために保持する各種のデータについては、後述する。認証管理サーバ１０１は、通信インタフェース、ＣＰＵおよびメモリを備える情報処理装置で実現され、ＣＰＵがメモリに格納されたプログラムを実行することにより、各機能を実現する。なお、各機能を実現するプログラムは、記憶媒体、または、搬送波、デジタル信号、通信線を含む通信媒体を介して、他の装置から取得してもよい。

ブレードサーバ１０６は、内部に複数のサーバもしくはＰＣを有する機器であり、図示しない電源、内部機器とネットワーク１０３とを結線するインタフェース機能、管理装置などを備える。本実施形態では、ＰＣ−Ａ１１０、ＰＣ−Ｂ１１１、ＰＣ−Ｃ１１２を内部に備える場合を例にあげて説明する。もちろん、ブレードサーバ１０６の構成は、これに限られず、これら以外のＰＣやサーバを着脱可能である。

ネットワーク１０３は、認証管理サーバ１０１、ＰＣ−Ａ１１０、ＰＣ−Ｂ１１１、ＰＣ−Ｃ１１２等を相互に接続する。本実施形態では、ＴＣＰ／ＩＰプロトコルを用いて通信を行うネットワークとして以下に説明する。もちろん、それ以外のプロトコルに従った通信を行うものであっても良い。

なお、本実施形態の、ＰＣ−Ａ１１０、ＰＣ−Ｂ１１１、ＰＣ−Ｃ１１２は、ブレードサーバ１０６内部に構成されているが、ブレードサーバ１０６内部やさらには情報センタ１０２内に設置されていなくともネットワーク１０３上に存在していればよい。ＰＣ−Ａ１１０、ＰＣ−Ｂ１１１、ＰＣ−Ｃ１１２は、ＰＣと記述しているが、サーバでもワークステーションでも組み込み機器でも、記憶媒体に格納しているＯＳやアプリケーションをメモリとＣＰＵ上で実行する情報機器であれば特に限定されない。

図１５は、ＰＣ−Ａ１１０のハードウェア構成図である。ＰＣ−Ａ１１０は、ハードディスクドライブやフラッシュメモリなどのストレージ１６０とメモリ１１０ｂとＣＰＵ１１０ａと通信のためのインタフェースである通信インタフェース１１０ｃとを備える。ＰＣ−Ａ１１０においては、メモリに読み込まれたプログラムがＣＰＵにより実行されることにより、各処理部が実現される。なお、各プログラムは、記憶媒体、または通信媒体を介して、他の装置から取得することも可能である。なお、通信媒体とは、搬送波、デジタル信号、通信線を含む。

ＰＣ−Ａ１１０は、利用者の指示に従って、演算を行う。演算結果はＰＣ−Ａ１１０またはブレードサーバ１０６に接続された図示しないディスプレィに表示される。ストレージ１６０には、仮想デバイスマネージャ１２０が管理者によりインストールされている。ＰＣ−Ａ１１０が起動されるとストレージ１６０からＯＳがメモリ１１０ｂに読み込まれ、ＣＰＵ１１０ａにより実行されて利用可能状態になった後、仮想デバイスマネージャ１２０がメモリ１１０ｂに読み込まれ、ＣＰＵ１１０ａにより実行されて仮想デバイスが利用可能になる。

ここで言う仮想デバイスとは、ＰＣ−Ａ１１０にネットワーク１０３などを介して接続されているデバイスを、あたかもＰＣ−Ａ１１０に直接接続されているデバイスであるかのように利用可能とする仕組みである。本仕組みにより、離れた場所に接続されているデバイスが、ＰＣ−Ａ１１０に物理的に接続されているデバイスと同様に利用可能となる。

仮想デバイスマネージャ１２０は、ＰＣ―Ａ１１０にネットワーク１０３を介して接続されているデバイスＡ１５１との間でのデータの送受信を行うための制御を行うソフトウェアである。デバイスＡ１５１を、仮想的に、サーバに直接接続している場合と同様に使用可能にする機能を実現するものである。詳細については、後述のデバイス管理マネージャ１２３の動作とともに後述する。

また、ストレージ１６０には、仮想デバイスマネージャ１２０が送受信したデータおよび仮想デバイスマネージャ１２０で発生したイベントがログ１７０として蓄積される。ログ１７０の詳細については後述する。

ＰＣ−Ｂ１１１及びＰＣ−Ｃ１１２もＰＣ−Ａ１１０と同様の構成を備え、それぞれ内部にストレージ１６１、１６２を備えると共に、仮想デバイスマネージャ１２１、１２２がインストールされ、起動後に動作する。以後、特にＰＣ−Ａ１１０、ＰＣ−Ｂ１１１、ＰＣ−Ｃ１１２を区別する必要がない場合、ＰＣ−Ａ１１０を代表として説明する。

なお、ストレージ１６０〜１６２は、ブレードサーバ１０６内に存在せず、ネットワーク１０３上に存在していてもよい。

次に、クライアント装置としてネットワーク１０３に接続されている機器について説明する。

本実施形態では、クライアント装置として、ＰＣ−Ｄ１１３と、ＰＣ−Ｅ１１４と、ＰＣ−Ｆ１１５と、ハブ１１６と、ファイヤウォール１０５およびインターネット１０４を介して接続するＰＣ−Ｚ１１７とを備える場合を例に挙げて説明する。また、ＰＣ−Ｄ１１３にはデバイスＡ１５１が、ＰＣ−Ｆ１１５にはデバイスＢ１５２が、ハブ１１６にはデバイスＣ１５３およびデバイスＤ１５４が、ＰＣ−Ｚ１１７にはデバイスＺ１５５が接続される場合を例にあげて説明する。各クライアント装置およびデバイスの接続構成はこれに限られない。

ＰＣ−Ｄ１１３は、利用者の指示に従って演算を行い、必要に応じてデバイスを利用し、演算結果を利用者に提示する情報処理装置である。ハードウェア構成、各処理部の実現方法は、上記ＰＣ−Ａ１１０と基本的に同様である。ＰＣ−Ｄ１１３は、ネットワーク１０３に図示しないネットワークインタフェースを介して接続している。ＰＣ−Ｄ１１３は、ハードディスクドライブもしくはフラッシュメモリなどストレージ１６３及び図示しないメモリ及びＣＰＵを備え、利用者の指示によって演算を行う。演算結果は、ＰＣ−Ｄ１１３に接続されている図示しないディスプレィに表示される。利用者からの指示は図示しないキーボードやマウスといったユーザインタフェースを介してＰＣ−Ｄ１１３へ送信される。

また、ＰＣ−Ｄ１１３は、ストレージ１６３にデバイス管理マネージャ１２３がインストールされている。ＰＣ−Ｄ１１３が起動されるとストレージ１６３からＯＳがメモリに読み込まれ、ＣＰＵが実行することにより利用可能状態になった後、デバイス管理マネージャ１２３がメモリに読み込まれ、ＣＰＵが実行することにより、接続されたデバイスＡ１５１がＰＣ−Ａ１１０において仮想デバイスとして利用可能となる。また、ストレージ１６３には、デバイス管理マネージャ１２３が送受信したデータ等がログ１７３として蓄積される。ログ１７３の詳細については後述する。

デバイス管理マネージャ１２３は、ＰＣ−Ｄ１１３が、デバイスＡ１５１を、ブレードサーバ１０６のＰＣ−Ａ１１０の仮想デバイスとして利用するためのソフトウェアである。詳細については、仮想デバイスマネージャ１２０の動作とともに後述する。

ＰＣ−Ｅ１１４、ＰＣ−Ｆ１１５、ＰＣ−Ｚ１１７は基本的にＰＣ−Ｄ１１３と同様の構成を備え、それぞれ、ストレージ１６４、１６５、１６７を備える。また、デバイス管理マネージャ１２４、１２５、１２７が実現される。また、各ストレージには、ログ１７４、１７５、１７７がそれぞれ格納される。

さらに、ハブ１１６は、ＰＣ−Ｄ１１３から表示画面などの一般的なＰＣの機能の一部が削られたものである。すなわち、図示しないネットワークインタフェースを介してネットワーク１０３に接続し、ハードディスクドライブもしくはフラッシュメモリなどストレージ１６６及び図示しないメモリ及びＣＰＵを備え、演算を行う。ハードウェア構成、各処理部の実現方法は、ＰＣ−Ａ１１０と基本的に同様である。デバイス管理マネージャ１２６を実現するとともに、ストレージ１６６にはログ１７６を保持する。以後、特にＰＣ−Ｄ１１３、ＰＣ−Ｅ１１４、ＰＣ−Ｆ１１５、ＰＣ−Ｚ１１７、ハブ１１６を区別する必要がない場合、ＰＣ−Ｄ１１３を代表として説明する。

デバイスＡ１５１は、情報機器に接続される、例えば、ＣＤ−ＲＯＭやプリンタなどの周辺機器である。デバイスＡ１５１は、ＰＣ−Ｄ１１３とデバイス接続用のインタフェースを介して接続されている。デバイス接続用のインタフェースは、例えばユニバーサルシリアルバス（ＵＳＢ）、ワイヤレスＵＳＢ、近距離無線通信インタフェース、赤外線通信インタフェース、シリアルポートインタフェース、パラレルポートインタフェース、ＩＥＥＥ１３９４インタフェース、ＰＳ／２インタフェース（登録商標）、オーディオインタフェースといったデバイスをＰＣに接続するためのインタフェースが考えられる。本実施形態では、インタフェースがＵＳＢである場合を例にあげて説明を行うが、インタフェースはこれに限られない。

また、デバイスＡ１５１は、接続されているＰＣ−Ｄ１１３にインストールされているデバイス管理マネージャ１２３により、仮想デバイスとして本システムで用いられる。以後、デバイス管理マネージャ１２３を、デバイスＡ１５１を管理するデバイス管理マネージャと呼ぶ。

その他、各ＰＣおよびハブに接続されているデバイスＢ１５２、Ｃ１５３、Ｄ１５４もデバイスＡ１５１と同様の周辺機器であり、本実施形態では、一例としてＵＳＢインタフェースを介してＰＣまたはハブに接続されている。以後、特にデバイスＡ１５１、デバイスＢ１５２、デバイスＣ１５３、デバイスＤ１５４を区別する必要がない場合、デバイスＡ１５１を代表として説明する。

次に認証管理サーバ１０１が保持する、ポリシーテーブル１４００、デバイス管理テーブル２００および利用者情報データベース３００について説明する。認証管理サーバ１０１は、仮想デバイスマネージャ１２０とデバイス管理マネージャ１２３とともに、各デバイスへのアクセスを制御する。

ポリシーテーブル１４００は、本システム内で管理者が管理するデバイスに関するアクセスポリシーが登録される。例えば、デバイス毎の利用権限、デバイスが接続されるクライアント装置に応じた利用権限などが登録される。本テーブルは、予め管理者などにより設定される。ポリシーテーブル１４００は、システムの管理者が自由に変更することが可能である。また、ポリシーテーブル１４００を設定しないことにより、自動的にはデバイス情報テーブル２００上のルールを変更できず、手動でのみ変更できるようにシステムを構成することも可能である。管理者は自分の管理するシステムに定めるべきポリシーにしたがってポリシーテーブル１４００を構成する。

図２にポリシーテーブル１４００の一例を示す。本図に示すように、ポリシーテーブル１４００は、ポリシー毎に、ポリシー番号１４０１、デバイス名１４０２、接続アプリケーションのアドレス１４０３、接続アプリケーションのネットワークインタフェースＩＤ１４０４、ベンダＩＤ１４０５、製品ＩＤ１４０６、シリアル番号１４０７、デバイス種別１４０８、排他制御１４０９、利用可否１４１０、利用可能ＩＤ１４１１が記録される。もちろん、その他の項目が記録されていてもよい。

ポリシー番号１４０１は、ポリシーテーブル１４０１に管理者によってポリシーが登録される際、各ポリシーに自動的に付与される識別番号である。本システム上で利用可能な機器やデバイスが増減したとき、ポリシーテーブル１４００に登録されているポリシーに従って後述するデバイス情報テーブル２００のレコードが生成される。複数のポリシーに当てはまる機器やデバイスがシステム上に増減したとき、ポリシーは、予め定められた優先順序で適用される。

デバイス名１４０２、接続アプリケーションのアドレス１４０３、接続アプリケーションのネットワークインタフェースＩＤ１４０４、ベンダＩＤ１４０５、製品ＩＤ１４０６、シリアル番号１４０７、デバイス種別１４０８は、後述するデバイス情報テーブル２００に記載される内容と同様で、機器もしくはデバイスの情報を示している。管理者は各々のポリシーごとに該当するデバイス名、接続アプリケーションのアドレス、接続アプリケーションのネットワークインタフェースＩＤ、ベンダＩＤ、製品ＩＤ、シリアル番号、デバイス種別の条件を設定する。これらの詳細は、デバイス情報テーブル２００の説明において説明する。

排他制御１４０９は、デバイスを利用者が利用するとき、他の利用者からの利用を禁止するか否かを定義する値である。「必須」「可能」「不要」「不問（＊）」の設定が可能である。「不問（＊）」の場合、基本的には不要と同様に扱うが、デバイスの種別、クラスごとに自動設定されるように構成してもよい。ここで、クラスとは、例えば、キーボード、ストレージ等、同一のデバイスドライバ（クラスドライバ）にて動作するデバイス種別のことである。

利用可否１４１０は、デバイスの利用許可を行う際の認証管理サーバ１０１の挙動を示すもので、「可能」「禁止」「警告」の設定が可能である。「可能」が設定されているポリシーは、該当する機器やデバイスを、後述する利用可能ＩＤ１４１１に記載されている利用者に自動的に利用可能とするポリシーである。「禁止」が設定されているポリシーは、該当する機器やデバイスを、後述する利用可能ＩＤ１４１１に記載されている利用者に自動的に利用不可能とするポリシーである。「警告」が設定されているポリシーは、該当する機器やデバイスを、後述する利用可能ＩＤ１４１１に記載されている利用者に警告表示後に自動的に利用可能とするポリシーである。警告表示はポリシーごとに設定可能である。

なお、図中の＊印は不問（定義なし）の意味であり、管理認証サーバ１０１は記述内容と実際の情報とのマッチングを行う。

例えば、図２では、ポリシー番号１４０１が１のポリシーは、デバイス名１４０２、接続アプリケーションのアドレス１４０３、接続アプリケーションのネットワークインタフェースＩＤ１４０４、シリアル番号１４０７、デバイス種別１４０８は不問のポリシーである。すなわち、ベンダＩＤ１４０５が「１００１」で、製品ＩＤ１４０６が「１００１」のデバイスについてのポリシーの問い合わせがあった場合、そのデバイス名、接続アプリケーションのアドレス、接続アプリケーションのネットワークインタフェースＩＤ、シリアル番号、デバイス種別に係わらず、排他制御１４０９は「不要」、利用可否１４１０「可能」、利用可能ＩＤ１４１１は２００００００１、２０００００１０等がデバイス情報テーブル２００に記録される。

また、ポリシー番号１４０１が２のポリシーは、ベンダＩＤが「１１０５」でデバイス種別が「Ｂ Ｌｔｄ．」より始まるデバイスのみに対し、自動的に排他制御「必須」で利用可能ＩＤは２０００００１１と設定されるポリシーである。

そして、ポリシー番号１４０１が３のポリシーは、接続アプリケーションのアドレス１４０３が１９２．１６８．１．１で接続アプリケーションのネットワークインタフェースＩＤ１４０４が「００：００：００：００：００：０１」のクライアント装置に接続されているデバイスに対して、自動的に排他制御１４０９は「不問」で利用可否１４１０については「警告」表示をしてすべてのユーザに利用可能と設定されるポリシーである。

また、ポリシー番号１４０１がｎのポリシーは、すべてのデバイスについて利用が禁止される設定のポリシーである。すなわち、ポリシーテーブル１４００に未登録のデバイスについての登録の依頼があった場合、認証管理サーバ１０１は、ポリシー番号１４０１がｎの欄を参照し、デバイス情報テーブル２００に排他制御１４０９は「不要」、利用可否１４１０は「禁止」と設定する。

次にデバイス情報テーブル２００について説明する。デバイス情報テーブル２００は、本システムに接続されている各デバイスのアクセスを管理するために必要な情報を管理するものである。登録される各レコードは、デバイス管理マネージャ１２３から、自身が管理しているデバイスを本システム内で共有可能にする要求（以後、デバイス接続要求と呼ぶ。）とともに送信されるデバイスを特定する各種の情報（以後、デバイス情報と呼ぶ。）に、ポリシーテーブル１４００に登録されているポリシーを加えたものに従って生成される。仮想デバイスマネージャ１２０は、デバイス情報テーブル２００を用いて、各デバイスの利用の可否を制御する。

デバイス管理マネージャ１２３からは、デバイスが接続された際、または、取り外された際、デバイス情報として、送信元のクライアント装置をネットワーク１０３上で特定する情報（本実施形態では、ＩＰアドレスとＭＡＣアドレス）と、当該デバイスを特定する情報（本実施形態では、ベンダＩＤと製品ＩＤとシリアル番号）と、接続されたか、または、取り外されたかを示す情報とが少なくとも送信される。認証管理サーバ１０１は、ポリシーテーブル１４００に従って、レコードを生成し、デバイス情報テーブル２００に登録する。

また、クライアント装置自体がネットワーク１０３から切り離される場合、当該クライアント装置を特定する情報と、切り離されたことを示す情報とが認証管理サーバ１０１に送信される。

認証管理サーバ１０１は、例えば、デバイスが増減した時、クライアント装置が切り離された時、システムを利用する利用者が増減したとき、ネットワークの構成が変更されたときなどの、認証管理サーバ１０１が管理するシステムの構成に変更があったとき、ポリシーテーブル１４００のレコードに変更があったとき、管理者からデバイス情報テーブル２００の更新の指示を受け付けたとき、デバイス情報テーブル２００を更新する。また、後述するように、ステータスについては、所定期間毎に更新される。

図３は、デバイス情報テーブル２００の一例を示す図である。本図に示すように、デバイス情報テーブル２００は、デバイスＩＤ２０１、デバイス名２０２、接続アプリケーションのアドレス２０３、接続アプリケーションのネットワークインタフェースＩＤ２０４、ベンダＩＤ２０５、製品ＩＤ２０６、シリアル番号２０７、デバイス種別２０８、排他制御２０９、ステータス２１０、利用可能ＩＤ２１１、利用ユーザＩＤ２１２を備える。

デバイスＩＤ２０１は、管理する各デバイスを一意に識別するためのもので、新たに登録の要求がある毎に自動的に作成される。また、認証管理サーバ１０１やデバイス管理マネージャ１２３の起動や終了、デバイスの挿抜などのたびに変更される可能性のある一時的なＩＤである。

デバイス名２０２は、デバイスを呼び易くするための名称であり、予め管理者または利用者が設定する。管理者が設定する場合は、ポリシーテーブル１４００にデバイス名を登録しておき、デバイス情報テーブル２００のレコードを生成する際にポリシーテーブル１４００から抽出して登録される。一方、利用者が設定する場合は、デバイス情報に含めて認証管理サーバ１０１に通知される。

接続アプリケーションのアドレス２０３は、デバイスが接続されているクライアント装置（デバイスＡ１５１の例ではＰＣ−Ｄ１１３）のＩＰアドレスが記録される。これらは、デバイス情報として通知される。このアドレスは上記クライアント装置がサブネット間を移動するなどした場合、利用中であっても適宜変更される可能性がある。

ネットワークインタフェースＩＤ２０４は、デバイスが接続されているクライアント装置（デバイスＡ１５１の例ではＰＣ−Ｄ１１３）のネットワークインタフェースのＩＤを示す番号が記録される。本実施形態のようにネットワークがＴＣＰ／ＩＰプロトコルを利用している場合、ネットワークインタフェースＩＤとしてＭＡＣアドレスが使われる。ネットワークインタフェースＩＤ２０４は、接続アプリケーションのアドレスと異なり、機器に固有のものであり、機器が変更にならなければ変更されない。

ベンダＩＤ２０５、製品ＩＤ２０６、シリアル番号２０７は、デバイス自体に予め付与されているデバイスの識別番号で、クライアント装置（デバイスＡ１５１の例ではＰＣ−Ｄ１１３）にデバイスが接続された際、デバイス情報として取得される。これらの情報は、デバイス情報としてクライアント装置から認証管理サーバ１０１に送信される。各デバイスは、ベンダＩＤ、製品ＩＤ、シリアル番号の組により識別される。ベンダＩＤ及び製品ＩＤは、ベンダ及び製品ごとに一意に付けられるＩＤである。また、シリアル番号は、製品一つ一つに個別に付けられる番号である。

デバイス種別２０８は、利用者の理解の為にベンダや管理者が付ける名称である。ベンダが付す場合は、デスクリプタのようなデバイス情報から抽出され、デバイス情報に含めて通知される。一方、管理者が付す場合は、ポリシーデータベース１４００に予め登録される。

排他制御２０９は、デバイスを利用者が利用するとき、他の利用者からの利用を禁止するか否かを示す定義情報である。排他制御２０９が「必須」となっている場合、デバイスの利用に関して排他制御がなされ、デバイスの利用開始から利用者が利用を終了するまで、当該デバイスは他の利用者のアクセスから守られる。排他制御２０９が「可能」となっている場合、デバイスへ情報を送受信している期間のみデバイスは他の利用者の利用から守られる。排他制御２０９が「不要」となっている場合は、排他制御は行われない。本情報は、ポリシーテーブル１４００から抽出され、登録される。

ステータス２１０は、デバイスの利用状況を示す情報である。本情報は、認証管理サーバ１０１が所定時間毎に各接続クライアント装置にポーリングを行い、取得する。ステータス２１０が「占有中」となっている場合、利用者が排他処理をしながら当該デバイスを利用している状態を示す。ステータス２１０が「利用中」となっている場合、利用者が排他処理は行わずに当該デバイスを利用している状態を示す。ステータス２１０が「通信中」となっている場合、利用者が、通信中のみ排他制御を利用し、通信が終了次第速やかに占有状態を解消する状況を示す。ステータス２１０が「不明」となっている場合、例えば、認証管理サーバ１０１への通知無しにデバイス管理マネージャ１２３が通信できなくなった状態を示す。ステータス２１０が「不明」状態になった場合、一定時間を過ぎると認証管理サーバ１０１は、該当するデバイス管理マネージャ１２３の停止と当該デバイス管理マネージャ１２３がインストールされているＰＣ−Ｄ１１３に接続されていたデバイスＡ１５１を停止するよう制御する。ステータス２１０が「切断」となっている場合、仮想デバイスマネージャ１２０は、デバイス管理マネージャ１２３と通信は出来ているが、デバイス管理マネージャ１２３と当該デバイスＡ１５１との間の通信が出来ない状態を示す。また、ステータス２１０が「未使用」となっている場合は、どのクライアント装置も使用していない状態を示す。

利用可能ＩＤ２１１は、当該デバイスへ接続が許可される利用者もしくはグループのＩＤが記録される。本情報は、ポリシーテーブル１４００から抽出される。複数の利用者もしくはグループに当該デバイスへの接続が許可されている場合は、全ての許可されている利用者もしくはグループのＩＤが登録される。利用可能ＩＤ２１１は、未定義、すなわち、いずれのＩＤも登録されていない状態であってもよい。未定義の場合、いずれの利用者もしくはグループも、接続が許可される。

利用ユーザＩＤ２１２は、現在、当該デバイスを利用している利用者のＩＤが記録される。本情報は、認証管理サーバ１０１が所定時間毎に各接続機器にポーリングを行い、取得する。

次に、認証管理サーバ１０１が保持する利用者情報データベース３００について説明する。本データベース３００は、利用者がネットワーク１０３に接続されている情報センタ１０２外の機器から、情報センタ１０２内の機器への接続を要求した場合、接続を要求する利用者が許可可能な利用者権限を保持しているか否かを判定（認証）するために利用される。本データベースは、予め管理者により登録される。

図４は、認証管理サーバ１０１が保持する利用者情報データベース３００の一例である。本図に示すように、利用者情報データベース３００には、利用者ＩＤ３０１、利用者名３０２、所属グループ３０３、証明書３０４、有効期間３０５、証明書認証可否３０６、暗号ハッシュ方式３０７、パスワード３０８、パスワード認証可否３０９の各項目が、ユーザごとに登録される。

利用者ＩＤ３０１は利用者を識別するためのＩＤであり、利用者ごとに予め付与される。利用者の利用権利が変更されなければ通常変更はされない。利用者名３０２は、利用者の名称を示す文字列である。利用者名３０２は、利用情報を表示する際に用いられる。所属グループ３０３は、利用者の所属するグループを示す情報である。本実施形態では、各種の利用権限はグループ単位で割り当てられるよう構成されている。所属グループ３０３は、各利用者が与えられている権限に該当するグループが示される。一人の利用者が複数のグループに所属、すなわち、所属グループ３０３に複数のグループが登録されていてもよい。また、所属グループは未定義であってもよい。未定義の場合、当該利用者には、いずれの利用権限が与えられていないこととなる。

証明書３０４は、利用者の認証に用いる公開鍵証明書を特定する情報である。証明書３０４として記録されている公開鍵証明書は、その有効性が認証管理サーバにおいて検証可能になっているものである必要がある。例えば、認証管理サーバ１０１内に認証局を持ち、その認証局が発行を行うよう構成してもよい。

有効期間３０５は、利用者が、ブレードサーバ１０６内のＰＣやデバイスを利用する権利を持つ期間である。有効期間３０５が未定義の場合、利用者はＰＣを利用する権利がない。有効期間は年、月、日などを用いた期間の設定のほかに毎週月曜日、毎日８時４５分から１７時１５分といった期間の設定も可能である。有効期間３０５は、証明書３０４に示される公開鍵証明書の有効期限とは独立に設定できる。

証明書認証可否３０６は、証明書認証を認めるか否かを示す情報である。暗号ハッシュ方式３０７は、認める公開鍵インフラストラクチャを利用して認証する場合の暗号ハッシュの方式の記載である。暗号ハッシュ方式３０７が未定義の場合は、認証管理サーバから暗号ハッシュの方式についての制限はない。この場合であっても、クライアント（利用者が使用するＰＣ等）等に実装されていない方式では認証は行えない。パスワード３０８は、パスワードを利用して認証が行われる場合のパスワードである。パスワード３０８として、ハッシュ値や暗号化などが施された情報が記録される。パスワード認証可否３０９は、パスワードを利用して認証することが可能か不可能かを示す情報である。

ブレードサーバ１０６が認証管理サーバ１０１に認証情報を確認して認証を得るのは、利用者情報データベース３００に基づいたパスワードや公開鍵インフラストラクチャを用いた認証をへて、利用者がブレードサーバ１０６内のＰＣを利用可能な権限を取得した場合である。

本実施形態では、認証は、１）アクセスしてきた利用者が、ブレードサーバ１０６へのアクセスする権限を有する者であるか否か、そして、２）ブレードサーバ１０６内のＰＣ―Ａ１１０が割り当てられた後、当該ＰＣ―Ａ１１０の資源（プログラムや仮想デバイス）を利用する権限を有する者であるか否か、の２段階で行われる。いずれの場合も、利用者は利用者認証用情報を少なくとも含む認証要求をブレードサーバ１０６またはＰＣ−Ａ１１０に送信し、認証要求を受け取ったブレードサーバ１０６またはＰＣ−Ａ１１０は、認証管理サーバ１０１にアクセスし、利用者情報データベース３００に登録されているレコードと照合し、認証を行う。ここで、利用者認証用情報とは、利用者ＩＤおよびパスワード、もしくは、利用者毎に登録された公開鍵情報に対応する署名のことを言う。

次に、情報センタ１０２内の各ＰＣの利用状況の管理に用いられるＰＣ利用管理テーブル４００ついて説明する。図５は、ブレードサーバ１０６が保持する、ＰＣ利用管理テーブル４００の一例である。

ＰＣ利用管理テーブル４００には、情報センタ１０２内の各ＰＣ毎に、ＰＣ名４０１、ネットワーク名４０２、ＩＰアドレス４０３、ＭＡＣアドレス４０４、利用元端末４０５、利用元ネットワーク名４０６、利用元ＩＰアドレス４０７、利用元ＭＡＣアドレス４０８、利用者ＩＤ４０９、ステータス４１０、接続開始時刻４１１、接続終了時刻４１２、動作確認時刻４１３が登録される。

ＰＣ名４０１は、情報センタ１０２内のＰＣを識別するＰＣの名称である。これは、管理者が重複の無いよう予め定めて登録する。ネットワーク名４０２は、ネットワーク上でＰＣを識別する際に利用される名称である。これは、管理者が重複の無いように予め定めて登録する。各ＰＣについて、ネットワーク名４０２とＰＣ名４０１とは同じ名称が付与されても異なる名称が付与されてもよい。

ＩＰアドレス４０３は、それぞれのＰＣに付与されたＩＰアドレスである。ＭＡＣアドレス４０４は、それぞれのＰＣ上のネットワークインタフェースに一意に定められているアドレスである。

利用元端末４０５は、現時点でこの情報センタ１０２内のＰＣを遠隔操作しているクライアント装置の名称である。この名称も、管理者が重複の無いよう予め定めて登録する。管理者は名称を自由に設定、変更することができる。当該情報センタ１０２内のＰＣがクライアント装置によって利用されていない場合、利用元端末４０５は未定義となる。利用元ネットワーク名４０６は、ネットワーク１０３上で利用元を識別する際に利用される名称である。管理者が重複の無いよう予め定めて登録する。なお、利用元端末４０５および利用元ネットワーク名とは同じ名称であってもよい。

利用元ＩＰアドレス４０７は、クライアント装置のＩＰアドレスである。利用元ＭＡＣアドレス４０８は、クライアント装置のネットワークインタフェースに一意に定められたアドレスである。

利用者ＩＤ４０９は、クライアント装置を利用している利用者の利用者ＩＤである。クライアント装置が使用されていない場合、利用者ＩＤ４０９は未定義となる。

ステータス４１０は、当該ＰＣが稼動中か否かを示す情報である。ステータス４１０に記録される情報には、「稼動中」、「確認中」、「待機中」の３種類がある。ステータス４１０が「稼動中」であるＰＣは、利用者ＩＤ４０９に登録されているＩＤを有する利用者が利用元端末４０５に特定されているクライアント装置を介して利用中であることを示す。ステータス４１０が「確認中」である場合、認証管理サーバ１０１においてクライアント装置がＰＣを利用しているか否かを確認中である状態、または、確認が完了していない状態であることを示す。ステータス４１０が「待機中」であるＰＣは、クライアント装置がＰＣの利用を待機している状態、すなわち、クライアント装置がＰＣを利用していない状態であることを示している。

接続開始時刻４１１は、利用者ＩＤ４０９で特定される利用者が利用元端末４０５で特定されるクライアント装置を介してＰＣの操作を開始した時刻を示す。接続終了時刻４１２は、利用者ＩＤ４０９で特定される利用者が利用元端末４０５で特定されるクライアント装置を介して行うＰＣの操作を終了した時刻を示す。動作確認時刻４１３は、仮想デバイスマネージャ１２０から認証管理サーバ１０１に対してチャネルの生成、消滅等の発生した際に行われた通信の最終時刻を示す。

ブレードサーバ１０６は、構成する各ＰＣの利用状況に変更がある度に、本データベースを更新する。

次に、本実施形態のデバイス管理システムにおいて、デバイスを共有可能な状態に設定し、設定後にデバイスを共有する処理（以後、デバイス共有処理と呼ぶ。）について説明する。ここでは、利用者がクライアント装置であるＰＣ−Ｄ１１３を利用して情報センタ１０２内のブレードサーバ１０６を構成する機器のうちＰＣ−Ａ１１０を遠隔操作し、ＰＣ−Ｄ１１３に接続されているデバイスＡ１５１を共有可能とする場合を例にあげて説明する。もちろん、他の利用者端末、他のブレードサーバ１０６を構成する機器、他のデバイスであっても、デバイス共有処理の手順は同様である。

図６は、上記例におけるデバイス共有処理の処理フローである。

利用者はＰＣ−Ｄ１１３に起動指示を行う（５０１）。利用者からの起動指示を受け付けたＰＣ−Ｄ１１３は、ストレージ１６３からＯＳやアプリケーションをロードし起動する（５０２）。ここで、ＯＳやアプリケーションは、ネットワーク上に存在するストレージからロードしても良い。このとき、デバイス管理マネージャ１２３も起動される。

ステップ５０２で起動されたデバイス管理マネージャ１２３は、ＰＣ−Ｄ１１３に接続されているデバイスＡ１５１の情報を取得する（５０３）。接続されているデバイスの情報の取得は、起動時に、ホスト（本実施形態では、ＰＣ―Ｄ１１３）側からの要求に応えてデバイス側からホストにデバイス全体の情報に関するデータであるデスクリプタの情報が送信されることにより行なわれる（５０４）。デスクリプタには、例えば、デバイスの種別をあらわすコード、デバイスのクラスのコード、当該デバイスの製造ベンダのＩＤ、製品ＩＤ、シリアル番号などが含まれる。ＰＣ−Ｄ１１３ではステップ５０３で取得したデバイスの情報のデータに基づいてデバイスＡ１５１を駆動するデバイスドライバが読み込まれ、動作する。デバイス管理マネージャ１２３は、管理するデバイス（ここでは、デバイスＡ１５１）のドライバもしくはフィルタドライバの機能を実現することにより、本デバイスを本システム内で共有可能な状態とし、当該デバイスに送受信される情報を制御する。

デバイス管理マネージャ１２３は、ＰＣ−Ｄ１１３に接続されているデバイスＡ１５１の動作を確認した後、デバイス接続要求とともにステップ５０３において取得したデバイスＡ１５１のデバイスの情報から抽出したデバイス情報を認証管理サーバ１０１に送信する（５０４）。認証管理サーバ１０１では、デバイス接続要求およびデバイス情報を受信すると、ポリシーテーブル１４００内のデータと照合し、デバイス接続要求のあったデバイスに関するポリシーをデバイス情報管理テーブル２００に登録する。

一方、ＰＣ−Ｄ１１３の起動が完了すると、ＰＣ−Ｄ１１３は、起動が完了した旨をディスプレィに表示する（５０６）。利用者は、起動が完了したことを確認すると、情報センタ１０２内のブレードサーバ１０６を構成するＰＣの利用を開始するよう指示を行う。本実施形態では、利用開始の指示は、利用者ＩＤおよびパスワードの入力である。

ＰＣ−Ｄ１１３は、利用者から利用開始の指示を受け付ける（５０７）と、ブレードサーバ１０６を利用する要求（以後、サーバ利用開始要求と呼ぶ。）として、受け付けた利用者認証用情報をブレードサーバ１０６に送信する（５０８）。

ブレードサーバ１０６は、サーバ利用開始要求を受け取ると、利用者がブレードサーバ１０６の適切な利用権限を持つかどうかの認証を行う（５０９）。具体的には、ブレードサーバ１０６は、利用開始要求に含まれる利用者ＩＤおよびパスワードを認証管理サーバ１０１に送信し、認証を依頼する（５１０）。認証管理サーバ１０１では、受け取った利用者認証用情報を利用者情報データベースと照合し、認証を行い、結果をブレードサーバ１０６に返信する。ここでは、利用者がブレードサーバ１０６自体にアクセス権限を有する者であるか否かを認証する。

ブレードサーバ１０６が、認証管理サーバ１０１から認証成功の返信を受けた場合、ブレードサーバ１０６は、アクセスしてきた利用者がブレードサーバ１０６の利用を許可されたものと判断し、ブレードサーバ１０６を構成するＰＣの中から、当該利用者が利用すべきＰＣを決定する。ＰＣは、利用順序に応じて適切に割り当てられるか、予め利用者に１対１などに割り付けられるか、利用者に割り当てられた何らかの権限に応じて割り付けられるか、のいずれの形態であってもよい。いずれの形態を取るかは管理者が決定する。ここでは、ブレードサーバ１０６が、アクセスしてきた利用者にＰＣ−Ａ１１０を割り当てたものとして、説明する。他のＰＣを割り当てた場合も、処理は同様である。

ブレードサーバ１０６は、ＰＣ−Ｄ１１３に割り当てるＰＣをＰＣ−Ａ１１０と決定すると、ＰＣ―Ａ１１０の起動状況の確認を行う（５１１）。ＰＣ−Ａ１１０が起動していない場合、ＰＣ―Ａ１１０を起動する要求をＰＣ−Ａ１１０に行う（５１２）。送信した要求に従ってＰＣ―Ａ１１０が起動すると（５１３）、ＰＣ―Ａ１１０は、起動完了を示す情報をブレードサーバ１０６に通知する（５１４）。なお、ＰＣ−Ａ１１０が既に起動している場合、例えば、ＰＣ―Ａ１１０がサーバ機能を持ち、複数人が同時に利用できる環境であり、常時通電されている場合など、ステップ５１１からのＰＣの起動操作は不要である。

なお、ＰＣの稼動状況は、ＰＣ利用管理テーブル４００にアクセスし、該当するＰＣ名４０１のステータス４１０を確認することにより行う。起動後、割り当てたクライアント装置を、該当するＰＣ名４０１の利用元端末４０５として追記する。

一方、ＰＣ−Ａ１１０が起動すると、ＰＣ−Ａ１１０内にインストールされている仮想デバイスマネージャ１２０は、利用可能なデバイスを確認する（５１５）。具体的には、仮想デバイスマネージャ１２０は、認証管理サーバ１０１に、仮想デバイスマネージャ１２０が稼動するＰＣ（ここでは、ＰＣ−Ａ１１０）が利用可能なデバイスの調査の要求（以後、利用可能デバイス調査要求と呼ぶ。）を送信する（５１６）。

利用可能デバイス調査要求を受け取った認証管理サーバ１０１は、デバイスの調査と確認とを行う（５１７）。具体的には、利用可能デバイス調査要求を受け取った認証管理サーバ１０１は、まず、新規デバイスが新たに登録されているか否かを確認し、既に保持しているデバイス情報テーブル２００の更新を行う（５１８）。認証管理サーバ１０１は、利用可能デバイス調査要求を受けて、現時点でデバイス情報テーブル２００に登録されている各デバイスについて、当該デバイスが接続されているそれぞれのＰＣまたはハブなどのクライアント装置のデバイス管理マネージャに向けて、登録されている各デバイスが依然として利用可能か否かの問い合わせを行う（５１９）。

認証管理サーバ１０１から問合せを受けた各クライアント装置のデバイス管理マネージャは、現時点での問合せを受けたデバイスの利用の可否を認証管理サーバ１０１に返信する（５２０）。なお、各デバイス管理マネージャは、利用の可否を示す情報として、当該デバイスが既に切断されていた場合は、切断されていることを、接続されている場合は、各デバイスの「占有中」、「利用中」、「通信中」といった現在のステータスを返信する。認証管理サーバ１０１は各デバイス管理マネージャから受け取った情報を用いて、デバイス情報テーブル２００を更新する。切断されているとの情報を受けた場合は、当該デバイスに関するレコードを削除する。

そして、認証管理サーバ１０１は、デバイス情報テーブル２００に登録されているデバイスを現時点での利用可能デバイスとして、問合せ元の仮想デバイスマネージャ１２０に送信する（５２１）。

次に、仮想デバイスマネージャ１２０は、デバイス情報テーブル２００の情報に基づき、デバイスを共有する処理を行う。現時点では、仮想デバイスマネージャ１２０は、利用者の認証を行っていない状態なので、利用可能デバイスのチェックを行う際にデバイス情報テーブルにおいて利用可能ＩＤの制限のあるデバイスについては共有処理を行うことができない。従って、仮想デバイスマネージャ１２０は、デバイス情報テーブル２００に登録されているデバイスであって、利用可能ＩＤ２１１が未定義のデバイスを抽出し、これらの利用可能なデバイスとの間で、チャネルを生成するなどの通信準備を行う（５２２、５２３）。

なお、認証管理サーバ１０１は、仮想デバイスマネージャ１２０から利用可能デバイス調査要求を受けた場合（５１６）、各デバイス管理マネージャ１２３に問い合わせを行わず、その時点でデバイス情報テーブル２００に登録されているデバイスであって、利用可能ＩＤ２１１が未定義のデバイスを抽出し、問合せ元の仮想デバイスマネージャ１２０に返信するよう構成してもよい（５２１）。この場合、ステップ５１７〜５２０の処理は行われない。

なお、チャネルの生成は、仮想デバイスマネージャ１２０が、ステップ５２１で利用可能デバイスとして受け取った各デバイスが接続されているクライアント装置が備えるデバイス管理マネージャとの間で、お互いのＩＰアドレスと認証管理サーバ１０１から与えられた情報とを元に相互認証、鍵交換を行い、暗号通信路を形成することにより行なわれる（５２３）。

相互認証の方法の一例として、認証管理サーバ１０１が、デバイス管理マネージャ１２３についてはデバイス情報送受信時に、また仮想デバイスマネージャ１２０については利用デバイス返信時に、それぞれプリシェアードキー（事前共有鍵）を安全に送付しておき、その事前共有鍵を元に認証を行う方式が挙げられる。相互認証の方式は特に本方法に限らず、チャネルの生成を行っている相手が、特定のデバイス管理マネージャと仮想デバイスマネージャとであることが確認できれば良い。

相互認証が終了した後、仮想デバイスマネージャ１２０とデバイス管理マネージャとの間でＩＤ情報およびデータをやり取りするための暗号用の鍵が交換される。以降、ここで交換された暗号用の鍵を用いてデバイス管理マネージャと仮想デバイスマネージャ１２０とが通信を行う。このため、第三者にはＩＤ情報およびデータをやり取りする通信は盗聴不可能になる。この暗号用の鍵は、固定値でもよいが、１回の利用ごともしくは一定の期間で破棄され、新たな暗号用の鍵が生成されるようにしてもよい。

本実施形態では、このように仮想デバイスマネージャ１２０とデバイス管理マネージャ１２３との間でチャネルが生成された場合、当該デバイス管理マネージャ１２３が管理するデバイスが共有可能な状態となったと呼ぶ。このような第三者に盗聴不可能な通信路（チャネル）により、ＰＣ―Ａ１１０は、ＰＣ−Ａ１１０にデバイスＡ１５１が直接接続された場合と同様に、デバイスＡ１５１を制御することができる。

すなわち、本実施形態において、「デバイスの共有」とは、ＰＣ−Ａ１１０にデバイスＡ１５１が直接接続された時と同様にＰＣ−Ａ１１０が処理を行うことができるようＰＣ−Ａ１１０が動作することである。例えば、ＰＣ−Ｄ１１３に接続されているデバイスＡ１５１について「デバイスの共有」が実現された場合、デバイスＡ１５１からデバイス管理マネージャ１２３、仮想デバイスマネージャ１２０を介してＰＣ−Ａ１１０がデバイスＡ１５１内に設定されている通信方式やデスクリプタを読み出したり、リセットしたりすることができる。

なお、ＰＣ−Ａ１１０において、デバイスＡ１５１を過去に利用したことがない場合、必要なデバイスドライバをインストールする。一般的には、デバイスの共有が行われた際、ＰＣ−Ａ１１０上で動作しているオペレーティングシステムが新しく追加されたデバイスを自動的に認識し、当該デバイスの動作に必要なデバイスドライバのインストール作業を行う。このようなインストール作業は、ＰＣ−Ａ１１０において初めて使用するデバイスがＰＣ−Ａ１１０と他の機器との間で共有された際に発生し、過去に使用したデバイスであれば、既に必要なドライバがＰＣ−Ａ１１０にインストールされているため、発生しない。

なお、ＰＣ−Ａ１１０上で動作しているオペレーティングシステムが上記のような自動的にデバイスを認識し、必要なデバイスドライバのインストールを行う機能を持たない場合は、管理者または利用者が手動でデバイスドライバのインストールを行い、デバイスが利用可能となるようＰＣ−Ａ１１０の設定を変更する。

また、複数の利用者がデバイスＡ１５１を共有している場合、各利用者がそれぞれ独立にリセットを指示したり、通信したりする場合がある。このような場合は、デバイス管理マネージャ１２３は、リセットを受け付けないような手順に変更したり、すでにデバイスＡ１５１より取得し、デバイス管理マネージャ１２３内に保存していた情報を代わりに送信したりするよう構成する。具体的には、仮想デバイスマネージャ１２０からの特定の通信に対し、予め定められた応答を行う。

なお、ここで生成されたチャネルの情報は、認証管理サーバ１０１に送信され（５９１）、認証管理サーバ１０１では、受け取った情報を用いてデバイス情報テーブル２００を更新する（５９２）。

以上の処理によりＰＣ−Ａ１１０がＰＣ―Ｄ１１３の利用者により利用可能となる。

次に、利用者がＰＣ−Ｄ１１３を介してＰＣ−Ａ１１０の利用を要求する。すなわち、ＰＣ−Ｄ１１３は利用者からＰＣ−Ａ１１０を利用する指示を受け付けると、ＰＣ―Ｄ１１３はＰＣを利用する要求（以後、ＰＣ利用要求と呼ぶ、）を生成し、それをＰＣ−Ａ１１０に送信する（５２４）。このＰＣ利用要求には、利用者を特定する情報、例えば、利用者ＩＤ、パスワードなどが含まれる。

ＰＣ−Ａ１１０は、ＰＣ利用要求を受け取り、ログイン処理を行う（５２５）。ログイン処理は、まず、ＰＣ−Ａ１１０は、利用要求に含まれる利用者を特定する情報を認証管理サーバ１０１に送信する。認証管理サーバ１０１は、受け取った利用者を特定する情報と利用者情報データベース３００に格納されている情報とを対比し、利用者の認証を行い、結果をＰＣ―Ａ１１０に返信する。なお、予め、利用者情報データベース３００の中の項目のうち、ログイン時の利用者認証に必要な項目のみＰＣ−Ａ１１０も保持し、ログイン時の認証をＰＣ―Ａ１１０において行うよう構成してもよい。

次に、仮想デバイスマネージャ１２０は、利用可能デバイスのチェックを行う。ここでは、仮想デバイスマネージャ１２０は、ログインした利用者についての利用可能デバイスを抽出する。利用可能デバイスを抽出する手順は、上記５１６で説明したものと基本的に同様である。ログインした利用者のＩＤも問い合わせ時に認証管理サーバ１０１に送信し、当該利用者のＩＤが利用可能ＩＤとして登録されているもののみの返信を受けてもよい。

認証管理サーバ１０１は、上述の処理と同様に、デバイス情報テーブル２００に登録されているデバイス全てについて、当該デバイスが接続されているクライアント装置のデバイス管理マネージャに最新の情報を問い合わせ、返信を受け、デバイス情報テーブル２００を更新した後、問合せ元の仮想デバイスマネージャ１２０に返信する（５２９〜５３２）。なお、上述同様、認証管理サーバ１０１は、利用可能デバイス調査要求に応じ、デバイス情報テーブル２００を参照し、現時点で当該利用者に利用可能なものとして登録されているデバイスを、問合せ元の仮想デバイスマネージャ１２０に返信するよう構成してもよい（５３２）。

初回の利用可能デバイスのチェック（５１６〜５２１）では、利用者が特定されていなかったので、利用可能ＩＤが限定されているデバイスについては、共有処理、すなわち、通信路を設定することができなかった。しかし、利用者のログイン（５２５）以降は、利用可能ＩＤの中に利用者のＩＤもしくは利用者の所属するグループのＩＤが入っているデバイスは利用が可能になる。従って、この時点で新たに利用が可能となったデバイスとの間で、上述と同様、通信路（チャネル）を開設する（５３３〜５３４）。

なお、利用可能デバイスとの通信準備（５３３）の段階で、利用可能デバイスの一覧をＰＣ−Ａ１１０の画面、ＰＣ−Ｄ１１３、または、情報センタ１０２内の管理者が確認可能な画面に表示するよう構成してもよい。この場合、これらの画面には、現在共有されているデバイスと、接続可能なデバイスなどのリストが表示されることとなる。仮想デバイスマネージャ１２０が保持している前回終了時刻にデバイス共有リストにあり、現在利用可能なデバイスは利用者の指示無しにチャネルの生成を行うこと、すなわち、デバイスの共有を行うことができる。デバイスの共有を行うことが可能なデバイスについての共有設定を、利用者の指示無しに行うか否かは、管理者または利用者により設定できるよう構成することが可能である。

生成されたチャネルの情報は、認証管理サーバ１０１に送信される（５９３）。認証管理サーバ１０１では、受け取ったチャネルの情報に従ってデバイス情報テーブル２００を更新する（５９４）。その後、ＰＣ−Ａ１１０の利用が開始される（５３５）。

ここで、利用可能デバイスのチェック、利用可能デバイス調査要求、デバイスの調査と確認、デバイス利用可不可問合せ、デバイス情報取得、デバイス情報送信利用可能デバイス返信（５２６〜５３４）、チャネル生成情報の送信５９３、およびテーブルの更新５９４は、ＰＣの利用（５３５）の間中適宜繰り返し実行され、認証管理サーバ１０１の持つデバイス情報テーブルは常に最新の状態に更新され続ける。

ここで、利用者がログインした後の仮想デバイスマネージャ１２０による利用可能デバイスのチェックは、定期的に行うことが望ましい。仮想デバイスマネージャ１２０は、定期的にデバイス情報テーブル２００を確認し、ステータスの変更による共有の可否の変化を確認する。

一方デバイス情報テーブル２００は、デバイス管理マネージャ１２０により、デバイスの接続状況の変化、ステータスの変化など、デバイスに関する状態の変化が発生する毎に、変化後の状態を示す情報とともに更新するよう認証管理サーバ１０１に通知がなされる。

以上の処理を経て、デバイス管理マネージャ１２３と仮想デバイスマネージャ１２０とが動作し、通信することによりデバイスＡ１５１は、ＰＣ−Ａ１１０のデバイスとして動作することが出来る。すなわち、デバイスＡ１５１について、デバイスの共有が実現する。

次に、本実施形態のデバイス管理システムにおけるデバイス共有終了時の処理について説明する。図７は、本実施形態のデバイス共有処理終了時の処理フローである。

本図に示す通り、利用者はＰＣ−Ｄ１１３を利用してＰＣ−Ａ１１０を遠隔操作し、デバイスＡ１５１の利用を終了し、他の利用者にデバイスＡ１５１を解放する。

利用者は、ＰＣ−Ｄ１１３に対しデバイス利用終了指示を行う（６０１）。ＰＣ−Ｄ１１３は、利用者よりデバイス利用終了の指示を受け取ると、仮想デバイスマネージャ１２０にデバイス利用終了の要求（以後、デバイス利用終了要求と呼ぶ。）を送信する（６０２）。仮想デバイスマネージャ１２０は、デバイス利用終了要求を受け取ると、利用終了デバイスのチェックを行う（６０３）。具体的には、仮想デバイスマネージャ１２０は、ＰＣ−Ａ１１０において、デバイスの利用を終了してよいかどうか判断する。

例えば、ＰＣ−Ａ１１０上のアプリケーションや他のクライアント装置がデバイス利用終了要求の対象デバイスを利用中である場合、利用は終了できない。この場合は、これらのアプリケーションや他のクライアント装置がデバイス利用終了要求の対象デバイスの利用を終了するまで終了処理を待つ。この場合、ＰＣ−Ｄ１１３に指示されたデバイスの終了はできない旨を通知する。ＰＣ−Ｄ１１３は受け取った通知を利用者に表示などにより通知する。

なお、この通知は必ずしも行う必要はなく、例えば、所定時間以上待機後であっても利用終了が行えない場合のみ通知するよう構成してもよい。もちろん、利用終了デバイスのチェック（６０３）において、利用終了が可能な場合は、デバイスを特定する情報とともに、当該デバイスの利用を終了した旨の通知である利用終了デバイス送信を、認証管理サーバ１０１に行う（６０４）。

次に、認証管理サーバ１０１は、利用終了デバイス送信を受けて、デバイスの調査と確認を行う（６０５）。具体的には、デバイス利用終了要求元のデバイス管理マネージャ１２３に、指示されたデバイスの利用が終了したことを示す情報であるデバイス解放情報送信を行う（６０６）。

デバイス管理マネージャ１２３は、デバイスの調査と確認を行う（６０７）。ここでは、デバイスからの応答の有無を調べるなどの調査が行われる。応答がなければ、デバイス情報テーブル２００の該当するデバイスのステータスを「不明」とする。

一方、デバイスから通常の応答が得られた場合は、デバイス管理マネージャ１２３は、仮想デバイスマネージャ１２０との間に確立されていたチャネルを破棄し（６０８）、チャネルの破棄に成功した場合、認証管理サーバ１０１にチャネルの破棄を終えたことを示す情報であるチャネル破棄情報を送信する（６０９）。

認証管理サーバ１０１は、チャネル破棄情報を受け、デバイス情報テーブル２００の更新（６１０）を行う。すなわち、この時点で、認証管理サーバ１０１は、チャネルが破棄されたデバイスについて、デバイス情報テーブル２００のステータス２１０を、例えば、「占有中」、「利用中」、「通信中」などから、「未使用」に変更する。

認証管理サーバ１０１、デバイス管理マネージャ１２３および仮想デバイスマネージャ１２０は、図６および図７を用いて説明した一連の動作において送信もしくは受信したデータを、それぞれログ１９１、１７３、１７０としてストレージ１９０、１６３、１６０に記録する。

次に、図６の処理を終え、デバイスＡ１５１が共有可能となりＰＣ−Ａ１１０のデバイスとして動作させることができるようになった後の、デバイス管理マネージャ１２３と仮想デバイスマネージャ１２０との間のデータの送受信制御の詳細について説明する。

図８は、デバイス管理マネージャ１２３および仮想デバイスマネージャ１２０と、ＰＣ−Ａ１１０およびＰＣ―Ｄ１１３のデバイスドライバおよびアプリケーションとの関係（ソフトウェアスタック）を説明するための図である。

ＰＣ−Ｄ１１３に接続されているデバイスＡ１５１をＰＣ−Ｄ１１３上で動作しているアプリケーション１２１１から操作し、コマンドを送受信する場合、通常、デバイスドライバインタフェース１２１２を介し、複数のドライバ１２１３〜１２１５を経由する必要がある。ここで、ドライバ１２１３、ドライバ１２１４は、デバイスＡ１５１が接続している接続インタフェースのドライバ等であり、ドライバ１２１３は最も上位のドライバでドライバ１２１４、ドライバ１２１５の順に下位のデバイス単位のドライバとなる。

デバイス管理マネージャ１２３は、フィルタドライバ１２１０を備える。フィルタドライバ１２１０は、ドライバ１２１３〜１２１５の上位フィルタドライバ（アッパーフィルタドライバ）もしくは下位フィルタドライバ（ローワーフィルタドライバ）として動作し、図示する矢印の経路にてドライバ１２１３〜１２１５を利用してデバイスＡ１５１とのデータの送受信を行う。すなわち、フィルタドライバ１２１０は、デバイスＡ１５１と、ドライバ１２１５およびドライバ１２１４を介してデータの送受信を行う。

なお、フィルタドライバ１２１０はフィルタドライバとして記載しているが、ドライバ１２１３〜１２１５の機能の一部もしくは全部を持っていてもよく、その場合は一種のデバイスドライバとして振舞う。

デバイス管理マネージャ１２３と仮想デバイスマネージャ１２０とは、デバイス管理マネージャ１２３が備える通信モジュール１２０９と仮想デバイスマネージャ１２０が備える通信モジュール１２０６との間で、ネットワーク１０３を介してデータの送受信を行うことにより、通信を行う。

仮想デバイスマネージャ１２０はデバイスドライバ１２０５を備え、デバイスドライバ１２０５は、ＰＣ−Ａ１１０内で動作するアプリケーション１２００等とデバイスＡ１５１との間でデータ送受信を行う際の情報のやり取りを行う。

アプリケーション１２００とデバイスドライバ１２０５との間のデータの送受信は、図示する矢印のようにアプリケーション１２００から直接行われる、デバイスドライバインタフェース１２０１を介して行われる、または、ドライバ１２０２〜１２０４を介して行われる。

ＧＵＩ１２０７及び１２０８は、それぞれ仮想デバイスマネージャ１２０及びデバイス管理マネージャ１２３のグラフィカルユーザインタフェースで、ユーザへの情報提供やユーザからの情報の入力を受け取る役目を果たす。

以上のように、仮想デバイスマネージャ１２０は、ＰＣ−Ａ１１０内のアプリケーションから、本実施形態のデバイス管理システム内に存在するデバイスに対するデータの送受信を行う入り口となる。仮想デバイスマネージャ１２０は、内部にデバイスドライバ１２０５と通信モジュール１２０６を備え、ネットワーク１０３を介してデバイス管理マネージャ１２３および認証管理サーバ１０１と通信を行う機能を備える。

また、デバイス管理マネージャ１２３は、ＰＣ−Ｄ１１３に接続されたデバイスＡ１５１から本実施形態のデバイス管理システム内に存在するＰＣ等と送受信を行うための入り口となる、デバイス管理マネージャ１２３は、内部にフィルタドライバ１２１０と通信モジュール１２０９とを備え、ネットワーク１０３を介して仮想デバイスマネージャ１２０および認証管理サーバ１１０と通信を行う機能を備える。

次に、図６に示したチャネルの生成（５２３及び５３４）が終了し、仮想デバイスマネージャ１２０がデバイスＡ１５１をコントロール可能になった後に、デバイスＡ１５１を利用する命令が仮想デバイスマネージャ１２０に与えられた場合の動作を説明する。図９は、本実施形態のデバイス管理システムにおけるデバイス利用時の、デバイス管理マネージャ１２３および仮想デバイスマネージャ１２０の動作を説明するフローである。ここでは、仮想デバイスマネージャ１２０側からトリガがかかった場合の処理について説明する。

図６に示したチャネルの生成（５２３及び５３４）が終了し、仮想デバイスマネージャ１２０がデバイスＡ１５１をコントロール可能になった後に、デバイスＡ１５１を利用する命令が仮想デバイスマネージャ１２０に与えられると（開始７００）、仮想デバイスマネージャ１２０は、デバイスＡ１５１が動作するかどうかを確認する（７０１）。具体的には、仮想デバイスマネージャ１２０は、デバイス管理マネージャ１２３に所定のコマンドを送信し、デバイスＡ１５１のステータスの取得の可否、通信可能な状態であるか否かを問い合わせる。または、通信経路が確保されている状態であるかを確認する。そして、デバイス管理マネージャ１２３からの返信内容により判断する。

動作していない場合、デバイスＡ１５１が不正な状態にあることを認証管理サーバ１０１に通知し、認証サーバ１０１および仮想デバイスマネージャ１２０各々がログ１９１、１７０に記載する（７０２）。仮想デバイスマネージャ１２０は、ログ１７０への記載を終えると、与えられた命令に対する処理を不正終了する（７１６）。この際、仮想デバイスマネージャ１２０は、不正終了を示すエラーメッセージを利用者に通知してもよい。さらに、不正な状態にあることの通知を受けた際、自動的にデバイスＡ１５１との通信の終了処理を行うよう構成してもよい。また、動作確認の試行は複数回行い、複数回行ったとしても不正な状態であるとの通知が続く場合、７０２に進むよう構成してもよい。

一方、ステップ７０１においてデバイスＡ１５１の動作が確認された場合、仮想デバイスマネージャ１２０は認証管理サーバ１０１およびデバイス管理マネージャ１２３に必要に応じて生存確認の為の通知を行う（７０３）。本処理により認証管理サーバ１０１およびデバイス管理マネージャ１２３はデバイスＡ１５１とのチャネルが確立していることの確認が可能になる。

次に、仮想デバイスマネージャ１２０は、デバイスＡ１５１を利用するトリガとなる指示（例えばＰＣ−Ａ１１０から）を受けたか否かを判別する（７０４）。トリガとなる指示がないと判別された場合、ステップ７０１に戻る。

一方、トリガとなる指示があったと判別された場合、仮想デバイスマネージャ１２０において、デバイスインタフェースプロトコルにのっとったトランザクションを生成する（７０５）。そして、生成されたトランザクションはネットワークプロトコルに規定されたプロトコルに変換されてデバイス管理マネージャ１２３に送信される（７０６）。

次に、仮想デバイスマネージャ１２０は、デバイス管理マネージャ１２３にトランザクション（データ）が正しく到達しているか、正しく到達していない場合その回数が予め指定した回数を超えていないかを判断する。

具体的には、まず、仮想デバイスマネージャ１２０は、デバイス管理マネージャ１２３にデータが正しく到達していない回数が指定回数に達しているか否かを判別する（７０７）。

指定回数に達している場合、仮想デバイスマネージャ１２０は、通信が不正な状態にあると判断し、これを認証管理サーバ１０１に通知するとともに、ログ１７０に記録する。通信が不正な状態にあるとの情報は、認証管理サーバ１０１のログ１９１でも記録するよう構成してもよい。仮想デバイスマネージャ１２０は、ログ１７０への記載が終了した後、不正終了する（７０９）。仮想デバイスマネージャ１２０は、エラーを利用者に通知してもよいし、自動的にデバイスＡ１５１との通信の終了処理に入っても良い。

一方、ステップ７０７において回数が指定回数に達していない場合、仮想デバイスマネージャ１２０は、デバイス管理マネージャ１２３に正しくデータが届いているか否かのチェックを行う（７１０）。具体的には、送信したデータに対するレスポンスにより、不正と判断された場合、あるいは、所定の時刻までにレスポンスがない場合、正しく到達していないと判断する。そして、正しく到達していないと判断された場合、正しく到達していない回数を１インクリメントし、ステップ７０７に戻る。

ステップ７１０において正しくデータが届いている場合、仮想デバイスマネージャ１２０は、送信してないトランザクションがあるか否かを確認する（７１１）。そして、未送信のトランザクションがある場合、ステップ７０６に戻り、処理を繰り返す。

未送信のトランザクションがない場合、仮想デバイスマネージャ１２０は、受信すべきトランザクションがあるか否かのチェックを行う（７１２）。これは、両者間の通信路を設定した際に予め定められたデータ量分のデータの送信が終わったか否かにより判断する。

受信すべきトランザクションがある場合、仮想デバイスマネージャ１２０は、受信したデータをデバイスインタフェースプロトコルに変換する（７１３）。次に抽出したデータをデバイスドライバに送信し（７１４）、ステップ７１２へ戻る。

一方、ステップ７１２において受信すべきトランザクションがない場合、仮想デバイスマネージャ１２０は、処理を終了する（７１５）。

なお、上記処理において、処理が不正終了した場合（ステップ７１６、７０９）、認証管理サーバ１０１、デバイス管理マネージャ１２３および仮想デバイスマネージャ１２０は、処理が不正終了した時点で、適切に利用できるデバイスを再確認し、認証管理サーバ１０１内のデバイス情報管理テーブル２００を更新する。すなわち、仮想デバイスドライバ１２０は、デバイスが再確認できれば、再び正常な通信を行い、チャネルの生成が可能であれば生成し、デバイス情報テーブル２００のステータスを「占有中」、「通信中」、「利用中」とする。

次に、図６に示したチャネルの生成（５２３及び５３４）が終了し、デバイス管理マネージャ１２３がデバイスＡ１５１をコントロール可能になった後に、デバイスＡ１５１がデバイス管理マネージャ１２３に対し、情報を送信する場合の動作を説明する。図１０は、本実施形態のデバイス管理システムにおけるデバイス利用時のデバイス管理マネージャ１２３および仮想デバイスマネージャ１２０の動作を説明するフローである。ここでは、デバイスＡ１５１側からトリガがかかった場合の処理について説明する。

図６に示したチャネルの生成（５２３及び５３４）が終了し、デバイス管理マネージャ１２３がデバイスＡ１５１をコントロール可能になった後に、デバイスＡ１５１がデバイス管理マネージャ１２３へ情報を送信すると（開始８００）、デバイス管理マネージャ１２３は、デバイスＡ１５１が動作するかどうかを確認する（８０１）。動作確認は、図９の処理と同様である。

動作していない場合、デバイスＡ１５１が不正な状態にあることを認証管理サーバ１０１に通知し、認証サーバ１０１およびデバイス管理マネージャ１２３各々がログ１９１、１７３に記載する（８０２）。デバイス管理マネージャ１２３は、ログ１７３への記載を終えると、不正終了する（８１６）。この際、デバイス管理マネージャ１２３は、不正終了を示すエラーメッセージを利用者に通知してもよい。さらに、不正な状態にあることの通知を受けた際、自動的にデバイスＡ１５１との通信の終了処理を行うように構成してもよい。また、動作確認の試行は複数回行い、複数回行ったとしても不正な状態であるとの通知が続く場合、８０２に進むよう構成してもよい。

一方、ステップ８０１においてデバイスＡ１５１の動作が確認された場合、デバイス管理マネージャ１２３は、認証管理サーバ１０１及び仮想デバイスマネージャ１２０に必要に応じて生存確認の為の通知を行う（８０３）。本処理により認証管理サーバ１０１及び仮想デバイスマネージャ１２０はデバイスＡ１５１とのチャネルが確立していることの確認が可能になる。

次に、デバイス管理マネージャ１２３は、デバイスＡ１５１を利用するトリガとなる指示を（例えばＰＣ−Ａ１１０から）受けたか否かを判別する（８０４）。トリガとなる指示がないと判別された場合、ステップ８０１に戻る。

一方、トリガとなる指示があったと判別された場合、デバイス管理マネージャ１２３において、デバイスインタフェースプロトコルにのっとったトランザクションを生成する（８０５）。そして、生成されたトランザクションはネットワークプロトコルで定義されたパケットに変換されて仮想デバイスマネージャ１２０に送信される（８０６）。

次に、デバイス管理マネージャ１２３は、仮想デバイスマネージャ１２０に正しくトランザクション（データ）が到達しているか、正しく到達していない場合、その回数が予め指定した回数を超えていないかを判断する。

具体的には、まず、デバイス管理マネージャ１２３は、仮想デバイスマネージャ１２０にデータが正しく到達していない回数が指定回数に達しているか否かを判別する（８０７）。

指定回数に達している場合、デバイス管理マネージャ１２３は、通信が不正な状態にあると判断し、これを認証管理サーバに通知するとともに、ログ１７３に記録する。通信が不正な状態にあるとの情報は、認証管理サーバ１０１のログ１９１でも記録するよう構成してもよい。デバイス管理マネージャ１２３は、ログ１７３への記載が終了した後、不正終了する（８０９）。デバイス管理マネージャ１２３は、エラーを利用者に通知してもよいし、自動的にデバイスＡ１５１との通信の終了処理に入っても良い。

一方、ステップ８０７において回数が指定回数に達しない場合、デバイス管理マネージャ１２３は、仮想デバイスマネージャ１２０に正しくデータが届いているか否かのチェックを行う（８１０）。ここで、正しく到達していないと判断された場合、正しく到達していない回数を１インクリメントし、ステップ８０７に戻る。

ステップ８１０において正しくデータが届いている場合、デバイス管理マネージャ１２３は、送信してないトランザクションが残っているか否かのチェックを行う（８１１）。そして、未送信のトランザクションが残っている場合、ステップ８０６に戻り、処理を繰り返す。

未送信のトランザクションが残っていない場合、デバイス管理マネージャ１２３は、受信すべきトランザクションがあるか否かのチェックを行う（８１２）。

受信すべきトランザクションがある場合、デバイス管理マネージャ１２３は、受信したデータをデバイスインタフェースプロトコルに変換する（８１３）。そして、抽出したデータをデバイスドライバに送信し（８１４）、ステップ８１２へ戻る。

一方、ステップ８１２において受信すべきトランザクションがない場合、デバイス管理マネージャ１２３は、処理を終了する（８１５）。

なお、上記処理において、処理が不正終了した場合（ステップ８１６、８０９）、認証管理サーバ１０１、デバイス管理マネージャ１２３および仮想デバイスマネージャ１２０は、処理が不正終了した時点で、適切に利用できるデバイスを再確認し、認証管理サーバ１０１内のデバイス情報管理テーブル２００を更新する。すなわち、デバイス管理マネージャ１２０は、デバイスが再確認できれば、再び正常な通信を行い、チャネルの生成が可能であればチャネルを生成し、デバイス情報管理テーブル２００のステータスを「占有中」、「通信中」、「利用中」とする。

以上の動作によって認証管理サーバ１０１及び仮想デバイスマネージャ１２０及びデバイス管理マネージャ１２３により蓄積されたログ１９１、１７０、１７３は、ネットワーク管理者により、認証管理サーバ１０１もしくはその他の管理機器にインストールされた管理アプリケーションによって表示される。

図１１に管理アプリケーションにより表示されるログ管理画面の一例を示す。本図に示した管理ログは、認証管理サーバ１０１、仮想デバイスマネージャ１２０およびデバイス管理マネージャ１２３内に保存されたログ１９１、１７０、１７３を、認証管理サーバ１０１が収集し、自身のストレージ１９０もしくはメモリに蓄積したものを表示したものである。

この表示のためのアプリケーション（管理アプリケーション）は、認証管理サーバ１０１以外にあっても良い。その場合、認証管理サーバ１０１からの許諾を受けて表示が行われる。情報センタ１０２およびブレードサーバ１０６が複数存在する構成では、管理アプリケーションは、認証管理サーバ１０１以外の認証管理サーバとその管理するアプリケーションとからログを収集し、集めたログを合わせたものを表示しても良い。

デバイス管理画面１０００は、管理アプリケーションが表示するデバイスの管理を行うための画面である。デバイス管理画面１０００には、蓄積された各ログ１９１、１７０、１７３の、番号１００１、時刻１００２、デバイスＩＤ１００３、デバイス名１００４、アドレス（ソース）１００５、ネットワークインタフェースＩＤ（ソース）１００６、アプリケーションＩＤ１００７、アドレス（ホスト）１００８、ネットワークインタフェースＩＤ（ホスト）１００９、アプリケーションＩＤ１０１０、ベンダＩＤ１０１１、製品ＩＤ１０１２、シリアル番号１０１３、デバイス名１０１４、利用ユーザＩＤ１０１５、情報１０１６、備考１０１７の各項目が表示される。

番号１００１は、ログを管理するための番号であり、ログが蓄積される毎に自動的に付与される。時刻１００２は、ログが記録された日時である。情報１０１６は、ログ１７０、１７３、１９１にログとして記録されたイベントの内容が詳細に表示される。

アドレス（ソース）１００５、アドレス（ホスト）１００８は、ソース及びホスト（ディスティネーション）のアドレスを示す。ネットワークインタフェースＩＤ（ソース）１００６及びネットワークインタフェースＩＤ（ホスト）１００９は、ソース及びホスト（ディスティネーション）のネットワークインタフェースＩＤを示す。備考１０１７には、情報１０１６にて表示しきれない情報、例えば、管理者に注意を促す情報、情報１０１６を補足する情報が表示される。

その他の項目は図２〜４を用いて説明したデバイス情報テーブル２００、利用者情報データベース３００、ＰＣ利用管理テーブル４００の同名の項目と同じものである。

また、認証管理サーバ１０１は、デバイス管理画面１０００に表示される各情報を検索する機能を持った管理アプリケーションを搭載している。デバイス管理画面１０００に示す情報を管理アプリケーションが表示することにより、どの機器やデバイスがどのような状態であるのかを瞬時に把握することができ、システム全体の利便性が向上する。例えば、不正な認証が起こった場合の情報のみを検索して表示し、監視することにより、不正アクセスを発見し、その対策を講じることができる。また、適切にデバイスを利用できない場合の情報のみを検索して表示し、監視することにより、システム内で発生しているトラブルを早期発見し、対応することができる。さらに、管理アプリケーションによりログ全体を一覧することと比較して表示を見やすくすることにより、管理者のオペレーションミスを減らすことができる。これらにより、システム全体のセキュリティが向上するという効果が得られる。

次に、仮想デバイスマネージャ１２０が生成し表示させるデバイス管理画面の詳細について説明する。図１２は、仮想デバイスマネージャ１２０のデバイス管理画面の一例である。

本図に示すように、デバイス管理画面９００は、認証管理サーバ表示部９０１と、接続ＰＣハブ表示部９０２、９０５、９０８、９１１と、デバイス表示部９０３、９０６、９０９、９１２と、接続切断指示部９０４、９０７、９１０、９１３とを備える。

仮想デバイスマネージャ１２０は、起動されると予め指定されている認証管理サーバ１０１に、利用可能なデバイス情報を取得するよう要求を送る。

認証管理サーバ１０１において、利用者の認証に成功した後、デバイス管理マネージャ１２３からデバイス管理情報が仮想デバイスマネージャ１２０に送付される。受け取ったデバイス管理情報に従って、仮想デバイスマネージャ１２０は、利用可能なデバイスの情報などを管理する。

図１２において認証管理サーバ表示部９０１には、仮想デバイスマネージャ１２０が通信している認証管理サーバ１０１が表示される。図１２に示す例では仮想デバイスマネージャ１２０が認証管理サーバ１０１と通信に成功している様子が表示されている。ここで、１９２．１６８．０．１と表示されているのは、認証管理サーバ１０１のアドレスである。

ステータス９２０には、認証管理サーバ１０１のステータスが表示される。ここでは、ステータスとして利用可能ユーザＩＤは何か、利用者名は何かなどが表示されている。図１２の例ではユーザＡが認証されている様子が表示されている。

接続ＰＣハブ表示部９０２、９０５、９０８、９１１は、接続されているＰＣ、ハブの情報が表示される。また、利用者が現在使用中のデバイスが色分けされ表示されている。

デバイス表示部９０３、９０６、９０９、９１２には、デバイスの名称やステータス、利用者ＩＤなどの情報が表示され、利用者がどのデバイスを使用可能なのかといった情報が分かり易く表示される。

接続切断指示部９０４、９０７、９１０、９１３には、デバイスの利用や専有化、利用停止、予約など、利用者が指示を与えることの出来る選択肢を表示させる。仮想デバイスマネージャ１２０は、予約ボタンの押下を受け付けることにより、現在他者が利用中のデバイスの利用予約を行う。そして、デバイスが利用可能となった場合、認証管理サーバ１０１もしくはデバイス管理マネージャ１２３に利用可能となった旨の通知を行う。通知を受けたデバイス管理マネージャ１２３は、利用者に利用可能のなった旨の通知を行う。図１２の例では、利用者が利用できるデバイスはハッチングで示され、また利用者が行うことが可能な操作は太字のボタンで示され、操作しやすくなるように配慮されている。

以上、ＰＣ−Ｄ１１３を用いてブレードサーバ１０６内のＰＣ−Ａ１１０を利用するサーバクライアント方式について説明を行った。

すでに説明した例と同様にネットワーク１０３及びインターネット１０４に接続されたクライアント装置から、ブレードサーバ１０６内のいずれかのＰＣを利用し、また、デバイスＡ１５１〜デバイスＺ１５５を使うことが可能である。

ここで、ハブ１１６は、ＰＣとしての機能は持たないが、内部に管理マネージャ１２６およびストレージ１７６を持つ組み込み機器である。ＰＣ−Ｅ１１４のようにデバイスを接続していないＰＣを利用する場合も、ＰＣ−Ｄ１１３の例と同様に他のＰＣ等に接続されているデバイスを使用することが可能である。また、ハブ１１６のように複数台のデバイスを接続していても同様である。

さらに、インターネット１０４及びファイヤウォール１０５を介したＰＣ−Ｚ１１７を利用してネットワーク１０３上のＰＣやデバイスを利用する場合も、基本的に同様である。ただし、この場合、ＰＣ−Ｚ１１７は、インターネット１０４上の通信を暗号化する暗号化アプリケーション１９０を内部に持ち、暗号化して通信を行うことが望ましい。

上記のように、本実施形態に示したデバイス管理システムは、管理されたデバイスに関して仮想デバイスマネージャ１２０とデバイス管理マネージャ１２３と認証管理サーバ１０１とによりクライアント装置を介してネットワーク１０３に接続されたデバイスを管理することにより、システム内でのデバイスの共有を、安全で利用者に使い勝手良く実現することができる。

また、本実施形態によれば、他のクライアント装置に接続されているデバイスであっても、あたかもサーバに直接接続されたデバイスであるかのように使用することが可能となる。すなわち、デバイスが、他のクライアント装置に接続されている場合であっても、そのデバイスを使用するために、各クライアント装置には特別な構成が必要とならない。従って、デバイスを、仮想的にサーバに接続する場合も、直接サーバに接続する場合も、同じ構成をとることが可能となり、システム全体の製造コストを低減できる。

また、本実施形態によれば、認証管理サーバ１０１により、デバイスの許可、不許可を管理し、許可されないデバイスは仮想デバイスとして利用できないような設定とすることができる。このため、ネットワーク１０３上に接続されるデバイスの適切な管理を行うことが出来、サーバクライアントシステムにおいて、遠隔地にあるサーバとの間で、デバイスを共有する場合の安全性を高めることができる。

さらに、デバイスを共有可能な状態にする手順において認証を行い、デバイスを利用者が利用できるかどうかをルール付けることにより、利用者が手元で操作するＰＣ、シンクライアントなどの端末と遠隔地にあるサーバとの間でデバイスを共有する安全かつ簡便な手段を提供できるため、システム利用時のセキュリティが向上するとともに、利用者の利便性も向上する。

本実施形態では、上述のように、主なプログラムやデータをサーバ側に蓄積し、クライアント側は主にサーバに操作指示を与えるだけの構成を有するサーバクライアントシステムである。従って、操作側のクライアント装置内に残る機密情報を低減するといった特徴を残しつつ、クライアント利用時のセキュリティ及び利便性を向上させた情報処理システムを提供できる。

なお、上記の実施形態では、サーバやクライアントにあたる情報機器を共にＰＣとして説明を行ったが、一方及び両方がサーバ、Ｐｅｒｓｏｎａｌ Ｄｉｇｉｔａｌ Ａｓｓｉｓｔａｎｔｓ（ＰＤＡ）、ワークステーション、高機能複写機、現金自動支払機（ＡＴＭ）、携帯電話、デジタルスチルカメラ、音楽再生（録音）装置、販売時点商品管理システム、街角端末、Ｉｎｔｅｌｌｉｇｅｎｔ Ｔｒａｎｓｐｏｒｔ Ｓｙｓｔｅｍｓ（ＩＴＳ）用送信機、券売機、決済端末、自動販売機、入退室管理装置、ゲーム機、公衆電話、注文取り用携帯端等であってもよい。これらの場合も同様の効果が得られる。

＜＜第二の実施形態＞＞
次に、本発明を適用した第二の実施形態について説明する。本実施形態は、基本的に上述の第一の実施形態と同じである。ただし、第一の実施形態では、デバイスは、ＰＣまたはハブなどを介してネットワーク１０３に接続されているが、本実施形態では、デバイスが直接ネットワーク１０３に接続される。このため、本実施形態のデバイスは、デバイス管理マネージャ等を内部に備える。

図１３は、本実施形態のデバイス管理システムの詳細なブロック図である。本図において、図１に示す第一の実施形態の同名の機器は、基本的に同様の構成を有するものである。本実施形態では、さらに、デバイスＸ１１０１がネットワーク１０３に接続されている。

デバイスＸ１１０１は、ＣＤ−ＲＯＭなどのストレージデバイス、または、キーボード、ディスプレィなどのヒューマンインタフェースデバイス等の周辺機器である。本図に示すように、本実施形態のデバイスＸ１１０１は、第一の実施形態のハブ１１６の機能を内部に包含している。すなわち、デバイスＸ１１０１は、図示しないネットワークインタフェースを介してネットワーク１０３に接続し、ハードディスクドライブもしくはフラッシュメモリなどストレージ１１６６及び図示しないメモリ及びＣＰＵを備え、演算を行うハブ１１１６を備える。デバイスＸ１１０１は、ハブ１１１６において、デバイス管理マネージャ１１２６を実現する。また、ストレージ１１６６にはログ１１７６を保持する。

従って、本実施形態のデバイスＸ１１０１は、第一の実施形態の各デバイス同様、ブレードサーバ１０６内のＰＣなどの仮想デバイスとして利用者は利用することが出来る。さらに、第一の実施形態のハブ１１６同様、デバイス管理マネージャ１１２６により、本デバイス管理システム内で、適切な管理を受けることができる。

すなわち、本実施形態に示したデバイス管理システムは、第一の実施形態に示したデバイス管理システムの特徴に加え、さらにデバイスＸ１１０１のようにハブ１１６の機能を持つデバイスをネットワーク１０３に直接接続できる利便性を持つ。

この利便性により、本実施形態に示したデバイス管理システムは、第一の実施形態に示したデバイス管理システムの効果に加え、利用者がデバイスを接続するハブやＰＣを限定せずとも、ネットワーク１０３上にデバイスＸ１１０１を差し込むことにより、すなわち、ネットワーク１０３が有するインタフェースにデバイスＸ１１０１を直接接続することにより、ネットワーク上のＰＣからデバイスＸを利用することが可能となる。また、デバイスを接続するハブやＰＣが不要となる。従って、高い安全性を維持しながら、利用者の利便性がさらに高まる。そして、システム構成のコストが低減する。

＜＜第三の実施形態＞＞
次に、本発明を適用した第三の実施形態について説明する。本実施形態は、基本的に上述の第二の実施形態と同じである。

図１４は、本実施形態のデバイス管理システムの詳細なブロック図である。本図に示すように、本実施形態のデバイス管理システムは、第二の実施形態のデバイス管理システムと同様、ＣＤ−ＲＯＭなどのストレージデバイス、または、キーボード、ディスプレィなどのヒューマンインタフェースデバイス等の周辺機器であり、図示しないネットワークインタフェースを介してネットワーク１０３に接続し、ハードディスクドライブもしくはフラッシュメモリなどストレージ１１６６及び図示しないメモリ及びＣＰＵを備え、演算を行うハブ１１１６を備えるデバイスＹ１２０１を備える。

本実施形態のデバイスＹ１２０１は、さらに、ハブ１１１６内部に、人体通信用認証装置１２０６を備え、デバイスＹ１２０１内のハブ１１１６の外部に人体通信用送受信機１２０３を備える。

利用者は、図示しない人体通信用送受信機を着用し、デバイスＹ１２０１の人体通信用送受信機１２０３に触れる。認証情報は、認証管理サーバ１０１、人体通信用認証装置１２０６、人体通信用送受信機１２０３、利用者の着用した図示しない人体通信用送受信機の順にこれらの機器の間で送受信され、利用者の認証が行われる。

本実施形態では、認証が成功した場合のみ、デバイスＹ１２０１がネットワーク１０３上のＰＣのデバイスとして利用可能になる。

上記のように、本実施形態に示したデバイス管理システムは、第二の実施形態に示したデバイス管理システムの特徴を持ちながら、さらにデバイスＹ１２０１のように人体通信用認証装置及び人体通信用送受信機を持つデバイスをネットワーク１０３に直接接続できる利便性を持つ。

この利便性により、本実施形態に示したデバイス管理システムは、第二の実施形態に示したデバイス管理システムの特徴を持ちながら、利用者が認証するデバイスに触れるだけでデバイスをネットワーク１０３上のＰＣのデバイスとして利用することが可能となり、さらに安全性および利用者の利便性が高まる。

図１は、第一の実施形態のデバイス管理システムのブロック図である。 図２は、第一の実施形態のポリシーテーブルの一例である。 図３は、第一の実施形態のデバイス情報テーブルの一例を示す図である。 図４は、第一の実施形態の認証管理サーバが保持する利用者情報データベースの一例である。 図５は、第一の実施形態のブレードサーバが保持する、ＰＣ利用管理テーブルの一例である。 図６は、第一の実施形態のデバイス共有処理の処理フローである。 図７は、第一の実施形態のデバイス共有処理終了時の処理フローである。 図８は、第一の実施形態のデバイス管理マネージャ、仮想デバイスマネージャの動作を説明するための図である。 図９は、第一の実施形態のデバイス利用時の動作を説明するフローである。 図１０は、第一の実施形態のデバイス利用時の動作を説明するフローである。 図１１は、管理アプリケーションにより表示されるログ管理画面の一例である。 図１２は、第一の実施形態の仮想デバイスマネージャのデバイス管理画面の一例である。 図１３は、第二の実施形態のデバイス管理システムのブロック図である。 図１４は、第三の実施形態のデバイス管理システムのブロック図である。 図１５は、第一の実施形態のＰＣ−Ａのハードウェア構成図である。

符号の説明

１０１：認証管理サーバ、１０２：情報センタ、１０３：ネットワーク、１０４：インターネット、１０５：ファイヤウォール、１０６：ブレードサーバ、１１０：ＰＣ−Ａ、１１１：ＰＣ−Ｂ、１１２：ＰＣ−Ｃ、１１３：ＰＣ−Ｄ、１１４：ＰＣ−Ｅ、１１５：ＰＣ−Ｆ、１１６：ハブ、１１７：ＰＣ−Ｚ、１２０：仮想デバイスマネージャ、１２１：仮想デバイスマネージャ、１２２：仮想デバイスマネージャ、１２３：デバイス管理マネージャ、１２４：デバイス管理マネージャ、１２５：デバイス管理マネージャ、１２６：デバイス管理マネージャ、１２７：デバイス管理マネージャ、１５１：デバイスＡ、１５２：デバイスＢ、１５３：デバイスＣ、１５４：デバイスＤ、１５５：デバイスＺ、１６０：ストレージ、１６１：ストレージ、１６２：ストレージ、１６３：ストレージ、１６４：ストレージ、１６５：ストレージ、１６７：ストレージ、１７０：ログ、１７１：ログ、１７２：ログ、１７３：ログ、１７４：ログ、１７５：ログ、１７６：ログ、１７７：ログ

Claims (4)

1. アプリケーションプログラムを実行するサーバと、前記サーバに前記アプリケーションプログラムの実行の指示を与え、当該サーバから実行結果を受け取るクライアントと、前記クライアントを認証する認証サーバとがネットワークで接続されたシステムにおいて、前記クライアントに接続されたデバイスを、前記サーバから制御するデバイス管理システムであって、
   前記クライアントは、
   当該クライアントに接続しているデバイスのデバイスドライバとデータを送受信するとともに前記サーバとの間で当該データを送受信するデバイス管理手段を備え、
   前記認証サーバは、
   当該デバイス管理システム内の各デバイスの利用権限を管理するデバイス情報保持手段を備え、
   前記サーバは、
   当該サーバ内で動作するアプリケーションと、前記デバイス管理手段との間で前記ネットワークを介して行われるデータの送受信を、前記デバイス情報保持手段に保持されている前記利用権限に従って制御する仮想デバイス管理手段を備え、
   前記クライアントは、前記サーバにアクセス要求を送信し、
   前記サーバが前記アクセス要求を受け取ると、当該サーバが備える仮想デバイス管理手段は、前記デバイス情報保持手段を参照し、前記アクセス要求の送信元のクライアントの利用者が利用権限を有するデバイスが接続されているクライアント装置が備えるデバイス管理手段との間に通信路を形成することにより、前記制御を行い、
   前記仮想デバイス管理手段は、
   前記サーバが前記アクセス要求を受け取ると、前記デバイス情報保持手段を参照する前に、前記認証サーバに、当該デバイス情報保持手段の情報を更新する更新指示を送信し、
   前記認証サーバは、
   前記更新指示を受け取ると、前記ネットワークに接続されているクライアントに対し、前記デバイス情報とともに当該デバイスの現在の使用状況を示す情報であるデバイス状態情報の取得を指示し、指示に対して返信された前記デバイス情報および前記デバイス状態情報に従って、前記デバイス情報保持手段の情報を更新し、
   前記クライアントが前記デバイス情報および前記デバイス状態情報の取得の指示を受け取ると、当該クライアントが備える前記デバイス管理手段は、当該クライアントに接続されているデバイスの前記デバイス情報および前記デバイス状態情報を取得して前記認証サーバに返信することを特徴とするデバイス管理システム。
2. 請求項１に記載のデバイス管理システムであって、
   前記デバイス情報保持手段は、
   各デバイスについて排他制御の必要の有無および各デバイスの現在の使用状況をさらに保持し、
   前記仮想デバイス管理手段は、
   前記サーバが前記アクセス要求を受けた際、当該利用要求の要求元が利用権限を有するデバイスが前記排他制御が必要なものであって、前記使用状況が他の利用者に占有されていることを示すものである場合、前記使用状況が当該占有が終わったことを示すものに更新されてから、当該デバイスが接続されているクライアントの前記デバイス管理手段との間に通信路を形成することを特徴とするデバイス管理システム。
3. 請求項１または２に記載のデバイス管理システムであって、
   前記クライアントは、
   前記デバイス情報とともに、当該デバイスを利用する要求であるデバイス利用要求を前記サーバに送信し、
   前記仮想デバイス管理手段は、
   当該仮想デバイス管理手段を備える前記サーバが前記アクセス要求を受信すると、当該アクセス要求で特定されるデバイスの動作を確認する動作確認指示を前記通信路を介して当該デバイスが接続されているクライアントが備えるデバイス管理手段に送信する動作確認指示手段と、
   前記通信路を用いた通信が正常に行われているか否かを監視する通信状態監視手段と、
   前記動作確認指示に対する返信が、動作状態が不正であることを示すものである場合、または、前記通信状態監視手段において、前記通信が正常に行われていないことが前記監視により検出された場合、前記認証サーバにその旨通知する不正通知手段と
   をさらに備えることを特徴とするデバイス管理システム。
4. 請求項３に記載のデバイス管理システムであって、
   前記デバイス管理手段、前記仮想デバイス管理手段、および、前記認証サーバは、それぞれ、送受信したデータおよびイベントをログとして記録するログ保持手段を備え、
   前記認証サーバは、
   自身のログ保持手段に記録されたログと、前記デバイス管理手段のログ保持手段に記録されたログと、前記仮想デバイス管理手段のログ保持手段に記録されたログとを、収集して表示する表示手段をさらに備え、
   前記不正通知手段から不正な状態である旨の通知を受けた場合、当該通知を、前記認証サーバのログ保持手段に保持することを特徴とするデバイス管理システム。

Images