JP6424820B2 - 機器管理システム、機器管理方法及びプログラム - Google Patents

Description

［関連出願についての記載］
本発明は、日本国特許出願：特願２０１３−１４８３５０号（２０１３年 ７月１７日出願）に基づくものであり、同出願の全記載内容は引用をもって本書に組み込み記載されているものとする。
本発明は、機器管理システム、機器管理方法及びプログラムに関し、特に、ネットワークに接続される端末等の機器の管理のための機器管理システム、機器管理方法及びプログラムに関する。特に、サーバなどの端末に対して、管理用ソフトウェアのインストールを必要とせずに、ネットワークに接続される端末の管理、および端末からのネットワークアクセスを適切に管理・制御することを可能にする。

企業などのネットワーク（例えば、社内ＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）など）では、ネットワークの内外からの不正なアクセスを防止するためのセキュリティ対策が不可欠である。企業ネットワークの管理者は、例えば、ネットワークの適切なアクセス制御やネットワークに接続される端末の管理などを行う必要がある。特に、ネットワークに接続される端末の管理は、ネットワーク管理者によって端末の識別番号（例えば、ＩＰ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）アドレスやＭＡＣ（Ｍｅｄｉａ Ａｃｃｅｓｓ Ｃｏｎｔｒｏｌ）アドレス、資産番号など）や設置場所があらかじめ把握した上でネットワークに接続される場合には、その管理は容易である。

しかし、ネットワーク管理者があらかじめ把握しておらず社員（ネットワークを使うユーザ）によって勝手に接続される端末などは、ネットワーク管理者がその端末の存在を把握することは非常に難しい。そのような端末を管理できない場合、セキュリティ事故の発生時における発生元端末の特定や、資産の棚卸時における端末の確認などの作業において、非常に煩雑で時間のかかる作業となってしまう。昨今では、企業において社員が私有端末を使って仕事をするというＢＹＯＤ（Ｂｒｉｎｇ Ｙｏｕｒ Ｏｗｎ Ｄｅｖｉｃｅ）の導入が増えている。このような企業環境において、ネットワーク管理者が企業ネットワークに接続されるすべての端末をあらかじめ管理した上で接続させるという運用形態は、社員の仕事の円滑さを損なうことに繋がるため、非常に難しい。

特許文献１は、接続権限を有さない不正な端末装置によるネットワークへの不正接続を検知するための不正接続検知システムである。その方法として、特許文献１の［０００９］には、ネットワークへの接続権限を有する正規の端末には専用の監視プログラムを格納し、当該端末のネットワークへの接続時には当該監視プログラムが所定の動作を行ってネットワークを管理する管理サーバに所定の情報を送信するように構成し、当該情報の有無や内容によって接続権限を有さない不正な端末のネットワークへの接続を検知する、と記載されている。

非特許文献１、および２は、オープンフロー（ＯｐｅｎＦｌｏｗ）という技術によるものである（非特許文献１、２参照）。オープンフローは、通信をエンドツーエンドのフローとして捉え、フロー単位で経路制御、障害回復、負荷分散、最適化を行うものである。非特許文献２に仕様化されているオープンフロースイッチは、オープンフローコントローラとの通信用のセキュアチャネルを備え、オープンフローコントローラから適宜追加または書き換え指示されるフローテーブルに従って動作する。フローテーブルには、フロー毎に、パケットヘッダと照合する内容が定められたマッチフィールド（Ｍａｔｃｈ Ｆｉｅｌｄｓ）と、フロー統計情報（Ｃｏｕｎｔｅｒｓ）と、処理内容を定義したインストラクション（Ｉｎｓｔｒｕｃｔｉｏｎｓ）と、の組が定義される（非特許文献２の「５．２ Ｆｌｏｗ Ｔａｂｌｅ」の項参照）。

例えば、オープンフロースイッチは、パケットを受信すると、フローテーブルから、受信パケットのヘッダ情報に適合するマッチフィールドを持つエントリを検索する（非特許文献２の「５．３ Ｍａｔｃｈｉｎｇ」参照）。検索の結果、受信パケットに適合するエントリが見つかった場合、オープンフロースイッチは、フロー統計情報（カウンタ）を更新するとともに、受信パケットに対して、当該エントリのインストラクションフィールドに記述された処理内容（指定ポートからのパケット送信、フラッディング、廃棄等）を実施する。一方、検索の結果、受信パケットに適合するエントリが見つからなかった場合、オープンフロースイッチは、セキュアチャネルを介して、オープンフローコントローラに対してエントリ設定の要求、即ち、受信パケットの処理内容の決定の要求を送信する。オープンフロースイッチは、要求に対応するフローエントリを受け取ってフローテーブルを更新する。このように、オープンフロースイッチは、フローテーブルに格納されたエントリを処理規則として用いてパケット転送を行う。

特許第４００２２７６号公報

Ｎｉｃｋ ＭｃＫｅｏｗｎほか７名、"ＯｐｅｎＦｌｏｗ： Ｅｎａｂｌｉｎｇ Ｉｎｎｏｖａｔｉｏｎ ｉｎ Ｃａｍｐｕｓ Ｎｅｔｗｏｒｋｓ"、［ｏｎｌｉｎｅ］、［平成２５（２０１３）年７月２日検索］、インターネット〈URL: http://www.openflow.org/documents/openflow-wp-latest.pdf〉 "ＯｐｅｎＦｌｏｗ Ｓｗｉｔｃｈ Ｓｐｅｃｉｆｉｃａｔｉｏｎ" Ｖｅｒｓｉｏｎ １．３．１ （Ｗｉｒｅ Ｐｒｏｔｏｃｏｌ ０ｘ０４）、［ｏｎｌｉｎｅ］、［平成２５（２０１３）年７月２日検索］、インターネット〈URL:https://www.opennetworking.org/images/stories/downloads/sdn-resources/onf-specifications/openflow/openflow-spec-v1.3.1.pdf〉

以下の分析は、本発明によって与えられたものである。特許文献１に開示されている技術により、例えば、ネットワーク管理者は、社員が持ち込んだ端末を企業ネットワークに接続した時に、端末内に格納された監視プログラムが当該端末のＩＰアドレスやＭＡＣアドレス、所有者などの管理情報を管理サーバに提供し、ネットワーク管理者は、当該管理サーバを参照することで、企業ネットワークに接続される全ての端末を管理することができる。しかしながら、この場合、ネットワーク管理者は、全社員に対して各社員が持つ端末に管理プログラムを格納するように伝えなければならず、管理が大変である。

また、特許文献１の技術を有効に機能させるためには、各社員に、自身が保有する全端末に監視プログラムを格納させる必要が生じてしまう。特に、社員は、保有するＢＹＯＤに対して監視プログラムを格納することを躊躇する場合も考えられる。ＢＹＯＤの利用に対して、社員のＢＹＯＤに対しても監視プログラムを格納させるという企業の運用ルールも考えられるが、可能であれば、私有端末であるＢＹＯＤは、仕事のための監視プログラムを格納せずに自由に使えることが望ましい。

また、非特許文献１、２に開示されている技術により、例えば、オープンフロースイッチに来るパケットをオープンフローコントローラに伝える際、オープンフローコントローラは、当該パケットの送信元のＩＰアドレスやＭＡＣアドレス、宛先のＩＰアドレスやＭＡＣアドレスなどを知ることができるが、当該パケットの送信元である端末の所有者は分からない。したがって、特許文献１、非特許文献１に開示される技術では、企業ネットワークに接続される全端末を効率良く管理するという点で十分ではなく、改善の余地がある。

本発明の目的とするところは、非特許文献１、２に記載のオープンフローに代表される集中制御型のネットワーク環境において、監視プログラムなどの特別なソフトウェアを端末に導入することなく、ネットワークに接続する端末等を管理することができる機器管理システム、機器管理方法、およびプログラムを提供することにある。

第１の視点によれば、端末を一意に識別する識別情報を、当該識別情報を管理する端末管理装置へ通知する転送ノードと、前記端末の識別情報を利用者に公開し、前記利用者に対して前記端末とは別の第２の端末から、前記端末の利用者であることを登録させ、前記端末と前記利用者とを対応付けて記憶する端末管理装置と、を含む機器管理システムが提供される。

第２の視点によれば、端末を一意に識別する識別情報を、当該識別情報を管理する端末管理装置へ通知する転送ノードと、利用者を一意に特定するためのユーザ認証装置と、前記ユーザ認証装置によって、端末を利用する利用者を特定し、前記端末と前記利用者とを対応付けて記憶する端末管理装置と、含む機器管理システムが提供される。

第３の視点によれば、転送ノードから受信した端末を一意に識別する識別情報をユーザに公開するステップと、前記ユーザに対して前記端末とは別の第２の端末から、前記端末の利用者であることの登録を受け付け、前記端末と前記ユーザとを対応付けて記憶するステップと、を含む機器管理方法が提供される。本方法は、端末とユーザとを対応付けて記憶する端末管理装置という、特定の機械に結びつけられている。

第４の視点によれば、転送ノードから受信した端末を一意に識別する識別情報をユーザに公開する処理と、前記ユーザに対して前記端末とは別の第２の端末から、前記端末の利用者であることの登録を受け付け、前記端末と前記ユーザとを対応付けて記憶する処理と、をコンピュータに実行させるプログラムが提供される。なお、このプログラムは、コンピュータが読み取り可能な（非トランジエントな）記憶媒体に記録することができる。即ち、本発明は、コンピュータプログラム製品として具現することも可能である。

本発明によれば、集中制御型のネットワーク環境において、監視プログラムなどの特別なソフトウェアを端末に導入することなく、ネットワークに接続する端末等を管理することが可能となる。

本発明の一実施形態の構成を示す図である。 本発明の第１の実施形態の機器管理システムの構成を示す図である。 本発明の第１の実施形態で用いる端末の識別情報の例である。 本発明の第１の実施形態の識別情報記憶装置が保持する識別情報テーブルを説明するための図である。 本発明の第１の実施形態のポリシ記憶装置が保持する通信ポリシテーブルを説明するための図である。 本発明の第１の実施形態のポリシ記憶装置が保持する端末グループ情報テーブルを説明するための図である。 本発明の第１の実施形態の端末管理装置が公開する端末の識別情報の一態様を示す図である。 本発明の第１の実施形態の通信制御装置が保持するアクセス制御情報の一例を示す図である。 本発明の第１の実施形態の通信制御装置の構成例を示す図である。 本発明の第１の実施形態の機器管理システムの動作（新規端末の登録）を表したシーケンス図である。 本発明の第１の実施形態の機器管理システムの動作（端末間の通信）を表したシーケンス図である。 本発明の第２の実施形態の機器管理システムの構成を示す図である。 本発明の第２の実施形態の機器管理システムの動作（新規端末の登録）を表したシーケンス図である。 本発明の第３の実施形態の機器管理システムの構成を示す図である。 本発明の第３の実施形態の対応情報記憶装置が保持する対応情報テーブルを説明するための図である。 本発明の第３の実施形態の機器管理システムの動作（新規端末の登録）を表したシーケンス図である。 本発明の各実施形態の転送ノードに設定される処理規則を模式的に表した図である。

はじめに本発明の一実施形態の概要について図面を参照して説明する。なお、この概要に付記した図面参照符号は、理解を助けるための一例として各要素に便宜上付記したものであり、本発明を図示の態様に限定することを意図するものではない。

本発明は、その一実施形態において、図１に示すように、端末管理装置３１０と、端末６００を一意に識別する識別情報７００を、当該識別情報を管理する端末管理装置３１０へ通知する転送ノード２００と、を含む機器管理システムにて実現できる。

より具体的には、端末管理装置３１０は、転送ノード２００から識別情報７００の通知を受けると、当該端末の識別情報７００を利用者に公開する。そして、利用者に対して前記端末６００とは別の第２の端末（例えば、図１の社員（ユーザ）の端末）から、前記端末の利用者であることを登録させ、端末６００と前記利用者とを対応付けて記憶する。

このようにすることで、簡易な手段で、ユーザの私有端末ＢＹＯＤ等を管理することが可能となる。

［第１の実施形態］
続いて、本発明の第１の実施形態について詳細に説明する。図２は、本発明の第１の実施形態の機器管理システムの構成を示す図である。図２を参照すると、処理規則に基づいてパケットを転送する転送ノード２００と、転送ノード２００に処理規則を登録する通信制御装置１００と、通信制御装置１００に通信ポリシを通知する端末管理装置３１０と、端末管理装置３１０に対して端末の所有者情報等を登録するための管理Ｗｅｂサイト３２０と、端末管理装置３１０が通信ポリシを決定するための識別情報記憶装置４００、およびポリシ記憶装置５００と、を含んだ構成が示されている。

転送ノード２００は、受信パケットと照合する照合規則（例えば、図１７のマッチングルール参照）と前記照合規則に適合するパケットに適用する処理内容とを対応付けた処理規則にしたがって、受信パケットを処理するスイッチング装置である。このような転送ノードとしては、図１７に示すフローエントリを処理規則として動作する非特許文献２のオープンフロースイッチを用いることもできる。

また、図２の転送ノード２００には、端末６００が接続されている。端末６００は、転送ノード２００を介して、転送ノード２００と接続される別の転送ノード（図示せず）や端末（図示せず）と通信可能となっている。

端末６００は、サーバやＰＣ（パーソナルコンピュータ）、スマートフォン等に代表されるコンピュータであり、それぞれの端末は、端末自身を一意に特定するための識別情報７００を保有している。識別情報は、例えば、端末名、ＭＡＣアドレス、ＩＰアドレス、およびそれらの組み合わせ等で表される。識別情報は、端末を一意に特定できる情報であればどのようなものであってもよい。また、本実施形態では、端末６００は転送ノード２００と有線で接続されることを前提として説明するが、例えば、タブレット端末やスマートフォン等に代表されるモバイル端末と転送ノード２００とが無線で接続される形態であってもよい。

図３は、端末６００が持つ識別情報７００の例を示す図である。図３を参照すると、端末６００の識別情報７００は、端末名と、ＭＡＣアドレスと、ＩＰアドレスとの対で構成される。図３の例では、端末６００の識別情報７００は、端末名が「ａａａａ」で、ＭＡＣアドレスが「ａａ：ａａ：ａａ：ａａ：ａａ：ａａ」で、ＩＰアドレスが「１．１．１．１」となる。本実施形態では、各端末の識別情報は、ＭＡＣアドレスが必須であり、端末名とＩＰアドレスとは、空であってもよい。

端末管理装置３１０は、端末６００が保有する識別情報７００を記憶する識別情報記憶装置４００と、ユーザの所属等に応じた通信ポリシを記憶するポリシ記憶装置５００及びユーザが端末の所有権を登録するための管理Ｗｅｂサイト３２０とに接続されている。端末６００が転送ノード２００に接続された時、端末管理装置３１０は、通信制御装置１００を介して転送ノード２００から、端末６００が保有する識別情報７００を受け取る。識別情報７００を受け取った端末管理装置３１０は、識別情報記憶装置４００に記憶される識別情報と、ポリシ記憶装置５００に記憶される通信ポリシとを参照して、通信制御装置１００に対して、端末６００がアクセス可能であるか否か等の端末６００のアクセス制御のための情報を提供する。ここで、図２の例では、端末管理装置３１０が、通信制御装置１００を介して、端末６００の識別情報７００を受け取り、識別情報記憶装置４００に記録する構成としているが、転送ノード２００から端末管理装置３１０が、端末６００の識別情報７００を受け取る構成であってもよい。また、通信制御装置１００が端末管理装置３１０を含む構成であってもよい。

識別情報記憶装置４００は、端末６００が転送ノード２００に接続された時、通信制御装置１００を介して、転送ノード２００から転送された端末６００の識別情報７００を受け取り、記録する。図４は、識別情報記憶装置４００が保持する識別情報テーブルの例を示す図である。図４の例の識別情報テーブルは、端末名と、ユーザＩＤと、ＭＡＣアドレスと、ＩＰアドレスと、接続転送ノードと、接続ポートと、を対応付けたエントリを格納可能なテーブルとなっている。例えば、図４の識別情報テーブルの１番目のエントリは、端末名が「ａａａａ」で、ＭＡＣアドレスが「ａａ：ａａ：ａａ：ａａ：ａａ：ａａ」で、ＩＰアドレスが「１．１．１．１」で、接続転送ノードが「ｓｗｉｔｃｈ１」で、接続ポートが「１」の端末の存在を示している。この時点では、端末の所有者が決定されていないため、ユーザＩＤフィールドには値が設定されていない。ユーザＩＤは、ユーザが端末管理装置３１０の管理Ｗｅｂサイト３２０を介して該当端末の所有権を登録した時に設定される。このように、識別情報記憶装置４００の識別情報テーブルには、未知の端末６００が転送ノード２００に接続されると、その転送ノード２００の転送ノード名と、転送ノードの接続ポート番号とを対応付けたエントリが追加されていく。

通信制御装置１００は、処理規則を設定することにより、転送ノード２００を制御する制御装置である。本実施形態の通信制御装置１００は、転送ノード２００に対し、アクセスの許可又は拒否が明示されていないパケットをすべて廃棄するような処理規則を設定する。これにより、例えば、新規に転送ノード２００に接続された端末６００から、当該端末６００の識別情報を公開する管理Ｗｅｂサイト３２０へのアクセスが禁止される。このような通信制御装置１００としては、非特許文献１、２のオープンフローコントローラを用いることができる。本実施形態の通信制御装置１００は、オープンフローの一般的な仕組みとして、転送ノードの名前と転送ノードの接続ポート番号を管理できるものとする。なお、識別情報記憶装置４００は、端末管理装置３１０又は通信制御装置１００の一部として含めてもよい。

ポリシ記憶装置５００は、ユーザの所属等に応じた通信ポリシを記憶する。ポリシ記憶装置５００は、ネットワーク管理者（図示せず）によってあらかじめ登録されるユーザや端末に対するアクセス制御情報を記憶する。このアクセス制御情報は、端末管理装置３１０が、端末に対するアクセス制御内容を決定し、通信制御装置１００に通知する際に利用される。

図５は、ポリシ記憶装置５００が記憶する通信ポリシの例である。図５の例では、ユーザＩＤと、端末グループＩＤと、アクセス権とを対応付けたエントリを格納可能な通信ポリシテーブルが示されている。図５の例では、ユーザＩＤにて識別されるユーザ毎に、端末をグループ毎にまとめた端末グループＩＤと、アクセス権限を設定した通信ポリシ情報とを対応付けて記憶している。例えば、ユーザＩＤ＝ａｌｉｃｅは、リソースグループＩＤがｒｅｓｏｕｒｃｅ＿ｇｒｏｕｐ＿０００１と、ｒｅｓｏｕｒｃｅ＿ｇｒｏｕｐ＿０００２との双方へのアクセスが許可（ａｌｌｏｗ）されている。また、ユーザＩＤ＝ｂｏｂは、リソースグループＩＤがｒｅｓｏｕｒｃｅ＿ｇｒｏｕｐ＿０００１へのアクセスは禁止（ｄｅｎｙ）され、ｒｅｓｏｕｒｃｅ＿ｇｒｏｕｐ＿０００２へのアクセスは許可（ａｌｌｏｗ）されている。ユーザＩＤは、例えば、企業等では社員情報としてデータベース等で管理しているのが一般的であり、その社員情報を元にあらかじめ登録される。

また、図６は、ポリシ記憶装置５００が記憶する端末グループ情報の一例である。図６の例では、上記したリソースグループＩＤに属する端末の端末グループＩＤと、端末名と、端末属性とを対応付けた内容となっている。例えば、端末グループＩＤ＝ｒｅｓｏｕｒｃｅ＿ｇｒｏｕｐ＿０００１で特定されるグループには、端末名がａａａａと、ｂｂｂｂと、ｃｃｃｃとを持つ端末が含まれ、それぞれのＩＰアドレスやＭＡＣアドレスやサービスに利用するポート番号等を特定できるようになっている。

管理Ｗｅｂサイト３２０を介してユーザがユーザ自身の端末の所有者を登録すると、端末管理装置３１０は、上記のような識別情報、通信ポリシ情報及び端末グループ情報を参照して、転送ノード２００に接続された端末６００とその所有者のアクセス権に基づいた端末のアクセス制御内容を決定し、通信制御装置１００に通知する。

例えば、転送ノード２００に端末６００が接続されると、端末管理装置３１０は、識別情報記憶装置４００に、端末６００が保有する識別情報７００を記憶する。管理Ｗｅｂサイト３２０には、図７に示すように転送ノード２００に接続された端末６００が端末接続リストとして自動的に掲載される。次に、ユーザは、この端末接続リストの中からユーザ自身が接続した端末６００を見つけ出し、その所有者（ａｌｉｃｅ）をユーザＩＤに設定し、登録ボタンをクリックして処理を完了する。例えば、ユーザが管理Ｗｅｂサイト３２０にアクセスし、管理Ｗｅｂサイト３２０を通じて、先に転送ノード２００に接続した自身の端末６００を発見し、端末６００の所有権がユーザ（ここでは説明の便宜上、「ａｌｉｃｅ」とする）にあることを登録すると、その内容が管理Ｗｅｂサイト３２０に反映される（図７の端末名「ａａａａ」のユーザＩＤフィールド参照）。

前記登録が完了すると、端末管理装置３１０は、ユーザが所有する端末を元にして、端末グループＩＤとアクセス権を特定することができる。例えば、転送ノード２００に接続された端末６００の端末名がａａａａとし、その所有者がユーザＩＤ＝ａｌｉｃｅとすると、まず、端末管理装置３１０は、図４の識別情報記憶装置４００の識別情報テーブルを参照して、端末６００の識別情報に適合するエントリを検索して、端末名ａａａａのユーザＩＤ＝ａｌｉｃｅを特定する。そして、端末管理装置３１０は、図５のポリシ記憶装置５００の通信ポリシテーブルのユーザＩＤ＝ａｌｉｃｅを参照して、ユーザＩＤ「ａｌｉｃｅ」を持つユーザが端末グループＩＤ＝ｒｅｓｏｕｒｃｅ＿ｇｒｏｕｐ＿０００１へのアクセスが許可（ａｌｌｏｗ）され、かつ、端末グループＩＤ＝ｒｅｓｏｕｒｃｅ＿ｇｒｏｕｐ＿０００２へのアクセスが許可（ａｌｌｏｗ）されるという情報を得る。さらに、端末管理装置３１０は、図６のポリシ記憶装置５００の端末グループ情報テーブルを参照して、端末グループＩＤ＝ｒｅｓｏｕｒｃｅ＿ｇｒｏｕｐ＿０００１及びｒｅｓｏｕｒｃｅ＿ｇｒｏｕｐ＿０００２に所属する端末名と端末属性とを取得する。以上により、ユーザＩＤ＝ａｌｉｃｅが所有する端末名＝ａａａａのアクセス制御に関する情報が特定される。その後、端末管理装置３１０は、通信制御装置１００に対して、前記特定したユーザのアクセス制御に関する情報を通知する。

図８は、図４、図５、６に示した情報から作成され、通信制御装置１００に提供される端末名＝ａａａａを持つ端末のアクセス制御情報の例である。図８の送信元端末名には、図４の識別情報記憶装置４００の識別情報テーブルに記憶される端末名が設定される。また、宛先端末名には、図５のポリシ記憶装置５００の通信ポリシテーブルに規定された端末グループ情報テーブルの端末名が設定される。また、アクセス権には、図５のポリシ記憶装置５００の通信ポリシテーブルを参照して得られた内容（ａｌｌｏｗ／ｄｅｎｙ）が設定される。また、条件（オプション）には、図６のポリシ記憶装置５００の端末グループ情報テーブルの端末属性に設定されている情報が設定される。なお、本実施形態では、図８のアクセス制御情報のうち、送信元端末名と、宛先端末名と、アクセス権とは必須の項目であり、条件（オプション）は任意で付与できる項目である。

ここで、管理Ｗｅｂサイト３２０へは、転送ノード２００に接続された端末６００からはアクセスできない（端末６００を登録しようとしているため）ため、ユーザは、端末６００ではない別の端末を使って管理Ｗｅｂサイト３２０へアクセスし、端末６００の利用者の登録を行う。具体的には、管理Ｗｅｂサイト３２０へのアクセスには、端末管理装置３１０が既に管理対象としている端末からのみアクセスできる。これは、通信制御装置１００によって、転送ノード２００が、アクセスの許可、または拒否が明示されていないパケットを廃棄するよう制御されているためである。このような仕組みによって、本端末認証システムで構成・管理されるネットワークに登録されている端末のみから管理Ｗｅｂサイト３２０にアクセスし、識別情報の一覧を参照することができる。また、本機器管理システムで構成・管理されるネットワークへの接続が許可されている端末から登録作業を行うことで管理Ｗｅｂサイト３２０に掲載された端末の利用者であることを宣言することができる。このように、本実施形態では、柔軟な仕組みを採りながら、セキュリティも確保されている。

また、端末管理装置３１０は、管理者からの通信ポリシの作成や設定変更等や、ユーザからの端末所有者の変更等を受け付け、これらの結果を通信制御装置１００へ通知する仕組み（以下、「編集機能」と称する。）も併せて持つ。編集機能は、例えば、通信ポリシやユーザＩＤ、端末名等の編集機能を実現するアプリケーションプログラム（以下、単に「アプリケーション」とも称する。）によって実現される。管理者及びユーザは、編集機能を利用して、通信ポリシやユーザＩＤ、端末名等をいつでも自由に作成、修正、削除することができる。端末管理装置３１０は、更新された情報を識別情報記憶装置４００及びポリシ記憶装置５００に記録するとともに、更新された情報に基づいて端末のアクセス制御情報を作成し、通信制御装置１００に通知する。

このように、本実施形態の端末管理を利用する管理者及びユーザは、いつでも自由に通信ポリシやユーザＩＤ、端末名等の作成や修正、削除等を行えるようになっている。このような通信ポリシの管理の仕組みは、Ｗｅｂベースのシステムとしてユーザに提供してもよいし、独立したＰＣ上で動くアプリケーションとして提供してもよいし、ＧＵＩ（Ｇｒａｐｈｉｃａｌ Ｕｓｅｒ Ｉｎｔｅｒｆａｃｅ）を用いたアプリケーションではなく、ＣＬＩ（Ｃｏｍｍａｎｄ Ｌｉｎｅ Ｉｎｔｅｒｆａｃｅ）を提供してもよいし、どのような形態であってもよい。

通信制御装置１００は、端末管理装置３１０から上記したアクセス制御に関する情報を受け取ると、まず、当該アクセス制御情報の適用対象となる端末からのパケットについての処理規則の設定要求（例えば、非特許文献２のＰａｃｋｅｔ−Ｉｎメッセージ）を送信させる処理規則を作成し、転送ノード２００に設定する。また、通信制御装置１００は、前記処理規則により、処理規則の設定要求を受けた場合、当該処理規則の設定要求に含まれるパケット情報に基づいて、パケットの転送経路、および当該転送経路を実現する処理規則を作成し、当該パケット転送経路上の転送ノードに設定する。

図９は、本実施形態の通信制御装置１００の詳細構成を表したブロック図である。図９を参照すると、通信制御装置１００は、転送ノード２００との通信を行うノード通信部１１と、制御メッセージ処理部１２と、処理規則管理部１３と、処理規則記憶部１４と、転送ノード管理部１５と、経路・アクション計算部１６と、トポロジ管理部１７と、端末位置管理部１８と、通信ポリシ管理部１９と、通信ポリシ記憶部２０と、を備えて構成される。これらはそれぞれ次のように動作する。

制御メッセージ処理部１２は、転送ノードから受信した制御メッセージを解析して、通信制御装置１００内の該当する処理手段に制御メッセージ情報を引き渡す。

処理規則管理部１３は、どの転送ノードにどのような処理規則が設定されているかを管理する。具体的には、経路・アクション計算部１６にて作成された処理規則を処理規則記憶部１４に登録し、転送ノードに設定すると共に、転送ノードからの処理規則削除通知などにより、転送ノードにて設定された処理規則に変更が生じた場合にも対応して処理規則記憶部１４の登録情報をアップデートする。

転送ノード管理部１５は、通信制御装置１００によって制御されている転送ノードの能力（例えば、ポートの数や種類、サポートするアクションの種類など）を管理する。

経路・アクション計算部１６は、通信ポリシ管理部１９から通信ポリシを受信すると、まず、当該通信ポリシに従い、トポロジ管理部１７に保持されているネットワークトポロジを参照し、当該ユーザからのパケットについての処理規則の設定要求を実行させる処理規則を作成する。なお、処理規則の設定先とする転送ノードは、ユーザ端末が接続する可能性のあるすべての転送ノードでもよいし、あるいは、通信ポリシに含まれる送信元情報に基づいて端末位置管理部１８から転送ノード（例えば、図１の転送ノード２００）を選択してもよい。

また、経路・アクション計算部１６は、上記した処理規則に基づき、処理規則の設定要求を受けると、処理規則の設定要求に含まれるパケット情報に基づいて、当該パケットの転送経路および該転送経路を実現する処理規則を作成する。

具体的には、経路・アクション計算部１６は、端末位置管理部１８にて管理されている通信端末の位置情報とトポロジ管理部１７にて構築されたネットワークトポロジ情報に基づいて、パケットの転送経路を計算する。次に、経路・アクション計算部１６は、転送ノード管理部１５から、前記転送経路上の転送ノードのポート情報等を取得して、前記計算した転送経路を実現するために経路上の転送ノードに実行させるアクションと、当該アクションを適用するフローを特定するための照合規則を求める。なお、前記照合規則は、図８のアクセス制御情報の送信元端末のアドレス、宛先端末のアドレス、条件（オプション）等を用いて作成することができる。したがって、図８のアクセス制御情報の１番目のエントリの場合、送信元端末名：ａａａａから宛先端末名：ｂｂｂｂに宛てられたパケットを、経路上の次の転送ノードが接続されたポートから転送させるアクションを定めた各処理規則が作成される。なお、上記処理規則の設定の際に、処理規則の設定要求を受けたパケットだけでなく、端末がアクセス権を有しているその他リソースへのパケット転送を実現する処理規則を作成するようにしてしまってもよい。

トポロジ管理部１７は、ノード通信部１１を介して収集された転送ノード２００の接続関係に基づいてネットワークトポロジ情報を構築する。

端末位置管理部１８は、通信システムに接続しているリソースの位置を特定するための情報を管理する。本実施形態では、リソースを識別する情報としてリソース名を用い、リソースの位置を特定するための情報として、リソースが接続している転送ノードの転送ノード識別子とそのポートの情報を使用するものとして説明する。もちろん、これらの情報に代えて、例えば、認証機能を持つ装置（図示せず）からもたらされる情報等を用いて、リソースとその位置を特定するものとしても良い。

通信ポリシ管理部１９は、端末管理装置３１０からアクセス制御に関する情報を受信すると、通信ポリシ記憶部２０に格納するとともに、経路・アクション計算部１６に送信する。

以上のような通信制御装置１００は、非特許文献１、２のオープンフローコントローラをベースに、上記した通信ポリシの受信を契機とした処理規則（フローエントリ）の作成機能を追加することでも実現できる。

図９に示した通信制御装置１００の各部（処理手段）は、通信制御装置１００を構成するコンピュータに、そのハードウェアを用いて、上記した各情報を記憶し、上記した各処理を実行させるコンピュータプログラムにより実現することもできる。

続いて、本実施形態の動作について図面を参照して詳細に説明する。図１０と、図１１とは、本実施形態の一連の動作（新規端末の登録）を表したシーケンス図である。ここでは一例として、ユーザａｌｉｃｅが所有する端末６００が新たに転送ノード２００に接続され、ユーザｂｏｂが所有する端末ｂｂｂｂへパケットを送信する際の処理手順を示す。なお、説明の便宜上、ユーザｂｏｂが所有する端末ｂｂｂｂは、転送ノード２００に既に接続されているものとする。

図１０を参照すると、まず、ユーザａｌｉｃｅが端末６００を転送ノード２００に接続すると（図１０のＳ００１）、端末６００が保有する識別情報７００が転送ノード２００、通信制御装置１００、端末管理装置３１０を介して識別情報記憶装置４００に送信される（図１０のＳ００２）。識別情報記憶装置４００は、すべての端末の識別情報を管理Ｗｅｂサイト３２０に送信し公開する（図１０のＳ００３）。この時、管理Ｗｅｂサイト３２０が識別情報記憶装置４００に対してすべての端末の識別情報を取得する仕組みであってもよい。

ユーザａｌｉｃｅは、端末６００を転送ノード２００に接続した後、別の登録済み端末にて、管理Ｗｅｂサイト３２０にアクセスし、端末６００の所有者にａｌｉｃｅを登録する（図１０のＳ００４）。管理Ｗｅｂサイト３２０は、端末６００の所有者を決定し（図１０のＳ００５）、端末６００の識別情報の所有者にａｌｉｃｅを登録して識別情報記憶装置４００に記憶する（図１０のＳ００６）。また、管理Ｗｅｂサイト３２０は、端末管理装置３１０に対し、すべての端末の識別情報を送信する（図１０のＳ００７）。また、管理Ｗｅｂサイト３２０は、ポリシ記憶装置５００に対し、保持されているすべての通信ポリシを端末管理装置３１０に送信させる（図１０のＳ００８）。ここで、端末管理装置３１０に全識別情報を送信する処理（図１０のＳ００７）と、端末管理装置３１０に全通信ポリシを送信する処理（図１０のＳ００８）とは、どちらが先に実行されてもよいし、同時に処理されてもよい。

端末管理装置３１０は、管理Ｗｅｂサイト３２０から全識別情報と、全通信ポリシとを受け取り、ユーザａｌｉｃｅが所有する端末６００に対するアクセス制御情報を決定し（図１０のＳ００９）、通信制御装置１００に前記アクセス制御情報を送信する（図１０のＳ０１０）。例えば、端末管理装置３１０は、図８に示すようなアクセス制御情報を作成して、通信制御装置１００に送信する。

通信制御装置１００は、端末管理装置３１０から受け取ったアクセス制御情報に基づいて、端末６００が送信及び受信するパケットについての処理規則の設定要求を行わせる処理規則を作成し（図１０のＳ０１１）、前記処理規則を転送ノード２００に送信する（図１０のＳ０１２）。転送ノード２００は、通信制御装置１００から前記処理規則を受け取り、前記処理規則を設定して（図１０のＳ０１３）、一連の処理を終了する。

以上の動作を前提動作として、その後、端末６００（端末名ａａａａ）から端末名ｂｂｂｂへパケットが送信される場合の処理の動作について、図１１を用いて説明する。図１１は、パケットの転送処理の一連の動作（端末間の通信）を表したシーケンス図である。図１１を参照すると、まず、端末６００が、端末名ｂｂｂｂ宛のパケットを送信する（図１１のＳ１０１）。端末６００から送信されたパケットは、転送ノード２００へ届く。転送ノード２００は、端末６００から送信されたパケットを受け取り、通信制御装置１００によって設定された処理規則にしたがってパケットの転送を判定し（図１１のＳ１０２）、パケットを転送する（図１１のＳ１０３）。以上のようにして、端末６００と端末名ｂｂｂｂとの間の通信が可能となる。なお、図１１には記載しないが、図１１のＳ１０２において、パケットの転送を判定し、パケットを廃棄するという判定結果となった場合は、転送ノード２００において端末６００から端末名ｂｂｂｂへのパケットは廃棄され、通信は確立されない。

以上のように、第１の実施形態によれば、あらかじめ管理者がすべての端末を把握することなく、ユーザによって新たにネットワークに接続される端末の所有者を登録してもらうことになる。そして、この端末に対し、あらかじめ決められたアクセス制御情報にしたがった適切な通信制御が可能となる。これらの結果、ネットワーク管理者等の管理業務の負荷を軽減することが可能となる。

［第２の実施形態］
続いて、上記した第１の実施形態の機器管理システムに新たにユーザ認証装置を加えた本発明の第２の実施形態について説明する。図１２は、本発明の第２の実施形態の構成を表した図である。処理規則に基づいてパケットを転送する転送ノード２００と、転送ノード２００に処理規則を登録する通信制御装置１００と、通信制御装置１００に通信ポリシを通知する端末管理装置３１０と、端末管理装置３１０に対して端末の所有者情報等を登録するための管理Ｗｅｂサイト３２０と、端末管理装置３１０が通信ポリシを決定するための識別情報記憶装置４００と、ポリシ記憶装置５００とは、上記した第１の実施形態の構成と同様である。第２の実施形態では、新たにユーザ認証装置８００が管理Ｗｅｂサイト３２０に接続されている。

ユーザ認証装置８００は、管理Ｗｅｂサイト３２０にログインするために必要なユーザ認証を実施する。ユーザ認証としては、例えば、ＩＤとパスワードの入力を求める方法を採用できる。これにより、ユーザの所有者情報の入力の手間を軽減し、さらに、端末の所有者の確からしさを向上させることができる。

次に、第２の実施形態の動作について説明する。上記した第１の実施形態と同様の動作については、その説明を省略する。以下、動作上の相違点を中心に説明する。

図１３は、本発明の第２の実施形態の一連の動作を表したシーケンス図である。ユーザａｌｉｃｅが端末６００を転送ノード２００に接続し（図１３のＳ２０１）、端末６００が保有する識別情報７００が転送ノード２００、通信制御装置１００、端末管理装置３１０を介して識別情報記憶装置４００に送信される（図１３のＳ２０２）ところまでの動作は、第１の実施形態と同様である。第２の実施形態では、その後、ユーザがユーザ認証装置８００にアクセスし、ユーザ認証を行う（図１３のＳ２０４）。

ユーザ認証装置８００は、認証に成功した場合、管理Ｗｅｂサイト３２０へ認証成功を通知し（図１３のＳ２０５）、管理Ｗｅｂサイト３２０は、ユーザ認証が行われた際のユーザ名を端末の所有者として登録する（図１３のＳ２０６）。ユーザ認証は、ＩＤとパスワードによる認証であってもよいし、社員証等によるカードを用いた認証であってもよいし、他にどのような認証の方法であってもよい。また、ユーザ認証装置８００は、管理Ｗｅｂサイト３２０や端末管理装置３１０に含まれてもよい。

その後、管理Ｗｅｂサイト３２０は、端末６００の識別情報の所有者としてユーザ名「ａｌｉｃｅ」を登録して識別情報記憶装置４００に記憶する（図１３のＳ２０７）。また、管理Ｗｅｂサイト３２０は、端末管理装置３１０に対しすべての端末の識別情報を送信し（図１３のＳ２０８）、さらに、ポリシ記憶装置５００から端末管理装置３１０に全通信ポリシを送信させる（図１３のＳ２０９）。

端末管理装置３１０は、管理Ｗｅｂサイト３２０から全識別情報と、全通信ポリシとを受け取り、ユーザａｌｉｃｅが所有する端末６００に対するアクセス制御情報を決定し（図１３のＳ２１０）、通信制御装置１００に前記決定したアクセス制御情報を送信する（図１３のＳ２１１）。また、通信制御装置１００は、端末管理装置３１０からアクセス制御情報を受け取り、端末６００が送信又は受信するパケットについての処理規則の設定要求を行わせる処理規則を作成し（図１３のＳ２１２）、前記処理規則を転送ノード２００に送信する（図１３のＳ２１３）。転送ノード２００は、通信制御装置１００から前記処理規則を受け取り、前記処理規則を設定して（図１３のＳ２１４）、一連の処理を終了する。

以上のように、第２の実施形態によれば、ユーザ認証装置８００が、ユーザ認証によって端末の所有者を特定することで、ユーザによる所有者情報の入力の手間が軽減され、さらに、端末の所有者の確からしさを向上させることが可能となる。

［第３の実施形態］
続いて、上記した第１の実施形態の端末認証システムに新たに対応情報記憶装置を加えた本発明の第３の実施形態について説明する。図１４は、本発明の第３の実施形態の構成を表した図である。処理規則に基づいてパケットを転送する転送ノード２００と、転送ノード２００に処理規則を登録する通信制御装置１００と、通信制御装置１００に通信ポリシを通知する端末管理装置３１０と、端末管理装置３１０に対して端末の所有者情報等を登録するための管理Ｗｅｂサイト３２０と、端末管理装置３１０が通信ポリシを決定するための識別情報記憶装置４００と、ポリシ記憶装置５００とを備える点は、上記した第１の実施形態の構成と同様である。第３の実施形態では、新たに対応情報記憶装置９００が通信制御装置１００と接続されている。

対応情報記憶装置９００は、ネットワーク管理者等によって、端末とその端末を使用するユーザＩＤとを対応付けた情報をあらかじめ記憶させておく装置である。これにより、対応情報記憶装置９００に存在する端末であれば、ユーザはユーザ自身で管理Ｗｅｂサイト３２０を介して端末の利用者登録等の作業をする必要なく、自動的に端末をネットワークに接続することができる。

図１５は、対応情報記憶装置９００に記憶される端末とユーザＩＤとの対応関係の例を示す図である。図１５を参照すると、対応情報記憶装置９００で記憶する対応情報テーブルは、端末名とユーザＩＤとの組で構成される。例えば、図１５の対応情報テーブルの上から１番目のエントリは、「端末名＝ａａａａの端末は、ユーザＩＤ＝ａｌｉｃｅが所有者である」と読む。ネットワーク管理者等は、このような端末名とユーザＩＤとをあらかじめ対応付けた情報を対応情報記憶装置９００に登録しておく。なお、対応情報テーブルは、端末名とユーザＩＤとの他に、ＭＡＣアドレス、ＩＰアドレス、接続転送ノード、接続ポート等、任意の情報を付記してもよい。また、対応情報記憶装置９００は、通信制御装置１００に含まれてもよいし、識別情報記憶装置４００に含まれてもよい。

次に、第３の実施形態の動作について説明する。上記した第１の実施形態と同様の動作については、その説明を省略する。以下、動作上の相違点を中心に説明する。

図１６は、本発明の第３の実施形態の一連の動作を表したシーケンス図である。ユーザａｌｉｃｅが端末６００を転送ノード２００に接続すると（図１６のＳ３０１）、端末６００が保有する識別情報７００が転送ノード２００を介して通信制御装置１００に送信される（図１６のＳ３０２）。通信制御装置１００は、識別情報７００を受け取った後、対応情報記憶装置９００に、端末名とユーザＩＤとの対応情報を要求して受け取り（図１６のＳ３０３）、端末６００の所有者判定を行う（図１６のＳ３０４）。

通信制御装置１００は、識別情報７００の端末の所有者が対応情報に存在するか否かを確認し、存在する場合は、端末管理装置３１０へ当該端末とその所有者に関する通信ポリシを要求する（図１６のＳ３０５）。端末管理装置３１０は、通信制御装置１００からの通信ポリシの要求を受け取り、ポリシ記憶装置５００から関連するすべての通信ポリシを受け取る（図１６のＳ３０６）。さらに、端末管理装置３１０は、前記通信ポリシに基づいて、当該端末とその所有者のアクセス制御情報を決定し（図１６のＳ３０７）、その結果を通信制御装置１００へ通知する（図１６のＳ３０８）。

通信制御装置１００は、端末管理装置３１０からアクセス制御情報を受け取り、端末６００が送受信するパケットについての処理規則の設定要求を行わせる処理規則を作成し（図１６のＳ３０９）、前記処理規則を転送ノード２００に送信する（図１６のＳ３１０）。転送ノード２００は、通信制御装置１００から前記処理規則を受け取り、前記処理規則を設定して（図１６のＳ３１１）、一連の処理を終了する。

なお、通信制御装置１００が所有者判定を行った結果（図１６のＳ３０４）、端末に該当する所有者が存在しない場合は、所有者の決定は行われず、ユーザが管理Ｗｅｂサイト３２０を通じて、第１の実施形態と同様にユーザからの端末の所有者の登録を待つことになる。ユーザが当該端末の所有者を登録した後の処理は、第１の実施形態と同様である。

以上のように、第３の実施形態によれば、対応情報記憶装置９００が、あらかじめ端末と所有者（ユーザＩＤ）との対応情報を記憶し、通信制御装置１００が端末接続後に端末の所有者判定を行うことで、ユーザによる所有者情報の入力の手間を軽減し、さらに、端末の所有者の確からしさを向上させることが可能となる。

以上、本発明の各実施形態を説明したが、本発明は、上記した実施形態に限定されるものではなく、本発明の基本的技術的思想を逸脱しない範囲で、更なる変形・置換・調整を加えることができる。例えば、各実施形態では、便宜上、端末とその利用者という関係で説明したが、この関係は、例えば、サーバ、およびネットワーク機器とその管理者という関係であってもよい。端末とその利用者という関係は、主に利用者視点だが、サーバ及びネットワーク機器とその管理者という関係は、主にサーバやネットワークの管理者視点となる。どちらの視点であっても、本発明の各実施形態で説明した構成や動作は同じである。

例えば、上記した各実施形態では、通信制御装置１００と、端末管理装置３１０と、管理Ｗｅｂサイト３２０と、識別情報記憶装置４００と、ポリシ記憶装置５００と、ユーザ認証装置８００と、対応情報記憶装置９００とをそれぞれ独立して設けるものとして説明したが、これらを適宜統合した構成も採用可能である。

また、上記した実施形態では、図２〜図７を示して端末にユーザＩＤを付与してアクセス制御を行うものとして説明したが、端末毎に付与されている端末名や、ＭＡＣアドレス等のアクセスＩＤ、端末の位置情報などを用いてアクセス制御を行うことも可能である。

また例えば、第２の実施形態のユーザ認証装置と第３の実施形態の対応情報記憶装置とを備える第４の実施形態を構成することもできる。この場合、通信制御装置１００が所有者判定を行った結果（図１６のＳ３０４）、端末に該当する所有者が存在しない場合に、ユーザ認証装置を用いた利用者登録を受け付けることになる。

最後に、本発明の好ましい形態を要約する。
［第１の形態］
（上記第１の視点による機器管理システム参照）
［第２の形態］
第１の形態の機器管理システムにおいて、
前記端末管理装置は、管理Ｗｅｂサイトを介して、前記転送ノードから通知されたすべての端末の識別情報を公開し、前記利用者に端末の利用者であることを表す利用者名を登録させ、前記端末と前記利用者名とを１対１で対応付けて記憶する機器管理システム。
［第３の形態］
第１又は第２の形態の機器管理システムにおいて、
前記端末管理装置は、少なくとも、利用者に対して、
前記端末管理装置が記憶している端末と、利用者名との対応付けが完了している前記第２の端末からの公開された端末の識別情報の送信要求と、
前記公開された端末の識別情報に対する利用者名の登録と、を許可する機器管理システム。
［第４の形態］
第１〜第３のいずれか一の形態の機器管理システムにおいて、
さらに、
前記端末管理装置が記憶する利用者と端末との対応付けを示す情報と、前記利用者及び前記端末の少なくともいずれかに適用する通信ポリシとを用いて、パケットの処理規則を生成し、当該処理規則を前記転送ノードに登録する通信制御装置を含む機器管理システム。
［第５の形態］
端末を一意に識別する識別情報を、当該識別情報を管理する端末管理装置へ通知する転送ノードと、
利用者を一意に特定するためのユーザ認証装置と、
前記ユーザ認証装置によって、端末を利用する利用者を特定し、前記端末と前記利用者とを対応付けて記憶する端末管理装置と、を含む機器管理システム。
［第６の形態］
第５の形態の機器管理システムにおいて、
前記ユーザ認証装置は、ユーザＩＤ及びパスワードによる認証を行い、認証成功後、前記端末管理装置に対して、前記端末の利用者として当該ユーザＩＤを通知し、前記端末管理装置は、前記端末と当該利用者とを対応付けて記憶する機器管理システム。
［第７の形態］
第１〜第６のいずれか一の形態の機器管理システムにおいて、
さらに、端末を一意に識別する識別情報とその端末の利用者名とを対応付けた対応情報をあらかじめ記憶する対応情報記憶装置を含み、
前記端末管理装置は、新規に受け取った識別情報を受け取り、前記新規識別情報が、前記対応情報記憶装置が記憶する対応情報に存在するか否かを確認し、前記新規識別情報が前記対応情報記憶装置に記憶されていない場合に、管理Ｗｅｂサイトを介して、該当する端末の識別情報を公開し、前記利用者に前記端末の利用者であることを表す利用者名を登録させ、前記端末と前記利用者名とを対応付けて前記対応情報記憶装置に記憶する機器管理システム。
［第８の形態］
第１〜第７のいずれか一の形態の機器管理システムにおいて、
前記端末を一意に識別する識別情報に代えて、前記端末管理装置は、サーバ又はネットワーク機器を一意に識別する識別情報を公開し、前記サーバ又はネットワーク機器の管理者であることを登録させ、前記サーバ又はネットワーク機器と前記管理者とを対応付けて記憶する機器管理システム。
［第９の形態］
（上記第２の視点による機器管理方法参照）
［第１０の形態］
（上記第３の視点による機器管理プログラム参照）
なお、上記した第９、第１０の形態は、第１の形態と同様に、第２〜第８の形態に展開することが可能である。

なお、上記の特許文献および非特許文献の各開示を、本書に引用をもって繰り込むものとする。本発明の全開示（請求の範囲を含む）の枠内において、さらにその基本的技術思想に基づいて、実施形態ないし実施例の変更・調整が可能である。また、本発明の請求の範囲の枠内において種々の開示要素（各請求項の各要素、各実施形態ないし実施例の各要素、各図面の各要素等を含む）の多様な組み合わせ、ないし選択が可能である。すなわち、本発明は、請求の範囲を含む全開示、技術的思想にしたがって当業者であればなし得るであろう各種変形、修正を含むことは勿論である。特に、本書に記載した数値範囲については、当該範囲内に含まれる任意の数値ないし小範囲が、別段の記載のない場合でも具体的に記載されているものと解釈されるべきである。

１１ ノード通信部
１２ 制御メッセージ処理部
１３ 処理規則管理部
１４ 処理規則記憶部
１５ 転送ノード管理部
１６ 経路・アクション計算部
１７ トポロジ管理部
１８ 端末位置管理部
１９ 通信ポリシ管理部
２０ 通信ポリシ記憶部
１００ 通信制御装置
２００ 転送ノード
３１０ 端末管理装置
３２０ 管理Ｗｅｂサイト
４００ 識別情報記憶装置
５００ ポリシ記憶装置
６００ 端末
７００ 識別情報
８００ ユーザ認証装置
９００ 対応情報記憶装置

Claims (9)

1. 端末を一意に識別する識別情報を、当該識別情報を管理する端末管理装置へ通知する転送ノードと、
   前記端末の識別情報を利用者に公開し、前記端末とは別の第２の端末から、前記端末の利用者であることを登録させ、前記端末と前記利用者とを対応付けて記憶する端末管理装置と、
   前記端末管理装置が記憶する利用者と端末との対応付けを示す情報と、前記利用者及び前記端末の少なくともいずれかに適用する通信ポリシとを用いて、パケットの処理規則を生成し、当該処理規則を前記転送ノードに登録する通信制御装置と、
   を含む機器管理システム。
2. 前記端末管理装置は、管理Ｗｅｂサイトを介して、前記転送ノードから通知されたすべての端末の識別情報を公開し、前記利用者に端末の利用者であることを表す利用者名を登録させ、前記端末と前記利用者名とを１対１で対応付けて記憶すること、
   を特徴とする請求項１の機器管理システム。
3. 前記端末管理装置は、少なくとも、利用者に対して、
   前記端末管理装置が記憶している端末と、利用者名との対応付けが完了している前記第２の端末からの公開された端末の識別情報の送信要求と、
   前記公開された端末の識別情報に対する利用者名の登録と、を許可すること、
   を特徴とする請求項１又は２の機器管理システム。
4. さらに、利用者を一意に特定するためのユーザ認証装置を含み、
   前記端末管理装置は、前記ユーザ認証装置によって、端末を利用する利用者を特定し、前記端末と前記利用者とを対応付けて記憶する請求項１から３のいずれか一の機器管理システム。
5. 前記ユーザ認証装置は、ユーザＩＤ及びパスワードによる認証を行い、認証成功後、前記端末管理装置に対して、前記端末の利用者として当該ユーザＩＤを通知し、前記端末管理装置は、前記端末と当該利用者とを対応付けて記憶すること、
   を特徴とする請求項４の機器管理システム。
6. さらに、端末を一意に識別する識別情報とその端末の利用者名とを対応付けた対応情報をあらかじめ記憶する対応情報記憶装置を含み、
   前記端末管理装置は、新規に受け取った識別情報を受け取り、前記新規識別情報が、前記対応情報記憶装置が記憶する対応情報に存在するか否かを確認し、前記新規識別情報が前記対応情報記憶装置に記憶されていない場合に、管理Ｗｅｂサイトを介して、該当する端末の識別情報を公開し、前記利用者に前記端末の利用者であることを表す利用者名を登録させ、前記端末と前記利用者名とを対応付けて前記対応情報記憶装置に記憶する請求項１から５いずれか一の機器管理システム。
7. 前記端末を一意に識別する識別情報に代えて、前記端末管理装置は、サーバ又はネットワーク機器を一意に識別する識別情報を公開し、前記サーバ又はネットワーク機器の管理者であることを登録させ、前記サーバ又はネットワーク機器と前記管理者とを対応付けて記憶する請求項１から６のいずれか一の機器管理システム。
8. 転送ノードから受信した端末を一意に識別する識別情報を利用者に公開するステップと、
   前記端末とは別の第２の端末から、前記端末の利用者であることの登録を受け付け、前記端末と前記利用者とを対応付けて記憶するステップと、
   前記利用者と端末との対応付けを示す情報と、前記利用者及び前記端末の少なくともいずれかに適用する通信ポリシとを用いて、パケットの処理規則を生成し、当該処理規則を前記転送ノードに登録するステップと、
   を含む機器管理方法。
9. 転送ノードから受信した端末を一意に識別する識別情報を利用者に公開する処理と、
   前記端末とは別の第２の端末から、前記端末の利用者であることの登録を受け付け、前記端末と前記利用者とを対応付けて記憶する処理と、
   前記利用者と端末との対応付けを示す情報と、前記利用者及び前記端末の少なくともいずれかに適用する通信ポリシとを用いて、パケットの処理規則を生成し、当該処理規則を前記転送ノードに登録する処理と、
   をコンピュータに実行させるプログラム。

Images