JP2008098792A - コンピュータシステムとの暗号化通信方法及びシステム - Google Patents

Abstract

【課題】
VPN技術を用いた暗号化通信では、端末装置が増えた場合のVPN装置への負荷が大きい。また、暗号化がなされるのは、端末装置とVPN装置の間のみで、エンドtoエンドでの暗号化通信ができないという問題がある。
【解決手段】
端末装置、ブレードを管理する管理サーバを設け、管理サーバが、各端末装置やブレードの認証と、ブレードの選択と、端末装置−ブレード間での暗号化通信路確立を仲介する。端末装置とブレードは、管理サーバを介さず暗号化通信を行う。管理サーバにおける各端末の認証は、検証サーバに依頼する。
【選択図】図１

Description

本発明は、インターネット等の通信網を介して暗号通信を行う技術に関する。特に、ハードディスク装置等の記憶装置を、ネットワークを介して使用するコンピュータシステムを、インターネット等の通信網に接続された装置から利用する技術に関する。

特許文献１には、記憶装置とブレードコンピュータがネットワークを介して接続された構成において、ユーザはネットワークに接続された任意の端末装置を用いてブレードコンピュータにアクセスし、ユーザが個人毎に自由に環境やアプリケーションを設定できるコンピュータとして使用する技術に関して記載されている。ブレードコンピュータとは、ラックに複数枚格納して利用することを前提とした一枚のコンピュータ基板を指し，電子基板にCPUやメモリ等を搭載してコンピュータを構成するものである（以下，ブレードと称す）。

インターネット等の外部ネットワークに接続している外部端末装置が、会社等組織内の内部ネットワークに接続しているブレードにアクセスする場合、外部ネットワークと内部ネットワークとの境界には、ファイアウォールが設置され、外部端末装置のユーザが正しいか否かを判別し、正しいユーザであれば内部ネットワークに接続されたブレードにアクセスできる。しかしながら特許文献１では、外部端末装置と、ブレードとの間の通信を暗号化する方法については、記載されていない。

また一方で、外部端末装置の認証および通信の暗号化を行う技術としては、非特許文献１に例示されるようなVPN（Virtual Private Network：仮想私設網）の技術がある。例えば、インターネット等の外部ネットワークに接続された外部端末装置が、会社等の組織内ネットワークに接続された内部端末装置と、暗号化通信を行う場合について、説明する。

まず、外部端末装置は、インターネットから組織内ネットワークの入り口にあるVPN装置に対して、内部端末装置への接続要求を送信する。ここで、VPN装置は、公開鍵証明書（以下「証明書」と記す）等を用いて、外部端末装置の認証を行い、内部端末装置へアクセス可能な端末装置であることを確認する。また、外部端末装置は、証明書等を用いて、VPN装置の認証を行う。

外部端末装置とVPN装置が互いに認証できたら、外部端末装置とVPN装置で暗号化鍵を共有し、この二者間でやり取りするデータは暗号化鍵を用いて暗号化する。また、VPN装置は、内部端末装置へ接続し、外部端末装置と内部端末装置がやり取りするデータを中継する。

このようにして、外部端末装置は、VPN装置を介して、内部端末装置と通信を行うことができる。また、外部端末装置とVPN装置の間でやり取りされるデータは、暗号化される為、セキュアな通信を行うことができる。

非特許文献１では、このようなVPN技術を提供する機器の機能説明が開示されている。

特開２００５−３２７２３３号公報（第１３頁、図９） NORTEL NETWORKS、" Alteon SSL VPN"、[online]、NORTEL NETWORKS、P.2-3、[平成１７年５月１１日検索]、インターネット＜http://www.nortel.com/products/01/alteon/sslvpn/collateral/nn102960-073103.pdf＞

特許文献１記載のコンピュータシステムにおいて、端末装置とブレードとの間の通信をセキュアな通信にするために、非特許文献１に記載されたVPN技術を用いることが考えられる。しかしながら、従来のVPN技術を用いたセキュア通信方法では、やり取りされる全てのデータを、VPN装置が中継するため、複数の端末装置と、複数のブレードが存在する場合VPN装置の負荷が大きくなる恐れがある。

また、非特許文献１のVPN技術を用いた暗号化通信方法は、端末装置とVPN装置の間の通信を暗号化するものであり、VPN装置とブレード間の暗号化通信については開示していない。このため、VPN装置とブレード間の通信では、平文のデータがやり取りされてしまうという問題がある。

本発明は、上記事情に鑑みてなされたものであり、外部ネットワークに接続した装置と、組織内ネットワークに接続した装置間の通信を、セキュアに行う場合において、通信における負荷を分散させる技術、および／または、端末装置からブレードの間の通信を暗号化することにより、更なるセキュリティの確保を可能とする技術を提供する。

すなわち、本発明は、端末装置とブレードを管理する管理サーバを配した通信システムを提供する。

本発明の通信システムは、以下のステップにより、端末装置とブレードとの間で、セキュア通信を行う。

まず、端末装置は組織内ネットワークの入り口に接続された管理サーバへ接続し、端末装置と管理サーバは互いに証明書を用いた認証を行う。互いに認証に成功したら、端末装置と管理サーバ間でやり取りするデータを暗号化するための暗号化鍵を共有し、端末装置と管理サーバ間の暗号化通信路を確立する。

管理サーバは、ブレードの使用状況を記録したブレード使用状況テーブルを参照し、当該端末装置の通信相手となるブレードを選択する。そして、選択したブレードに対して、当該ブレードの電源投入と、起動と、当該外部通信端末のユーザが使用する情報を，ユーザIDに基づいてストレージから読み込む旨の命令を送信する。このときのブレードは，電源断の状態であっても，管理サーバからの指示に基づいて電源投入と起動指示を受け入れる部分は，通電し，指示の待ち受け状態になっているもの，とする。

当該ブレードは、電源が投入されたら、起動処理を行い、組織内ネットワークに接続されたストレージから、当該外部端末が使用する情報をストレージから読み込む。そして、ブレードは、前記端末装置と管理サーバで実施した暗号化通信路確立ステップと同様のステップを実施することにより、ブレードと管理サーバとの間で暗号化通信路の確立を行う。

その後端末装置は、管理サーバに対して、当該端末装置が使用する情報を読み込んだブレードへの接続要求を送付する。

管理サーバは、端末装置およびブレードをそれぞれ認証済みであることを確認し、確認できたら、端末装置とブレードの間の暗号化通信で使用する暗号化鍵を生成する。そして、管理サーバは、ブレードとの間に確立された暗号化通信路を通じて、端末装置からブレードに対する接続要求と、端末装置とブレード間での暗号化通信に使用するための暗号化鍵を、ブレードへ送付する。

ブレードは、端末装置がブレードに接続可能かどうかを判断し、その結果を管理サーバへ送付する。

端末装置とブレードが接続可能である場合、管理サーバは、端末装置との間に確立された暗号化通信路を通じて、接続可能である旨と、端末装置とブレード間での暗号化通信に使用するための暗号化鍵を、端末装置へ送付する。

この暗号化鍵を用いて、端末装置とブレード部通信端末の間で、暗号化通信路を確立し、セキュアな通信を行う。

なお、ブレードの電源投入および管理サーバとの暗号化通信路確立を、管理サーバからの電源投入命令に応じて行うのではなく、あらかじめ行っていても良い。例えば、複数の端末装置が、同じ環境や情報を共用して使用する場合、あらかじめブレードの電源投入とストレージ読み込み、及び管理サーバとの暗号化通信路確立をしておき、端末装置から接続要求があった場合には、すぐにブレード選択，暗号鍵の生成と送付，そして，端末装置とブレード間の暗号化通信路確立，を行えるようにしておいても良い。

さらに、管理サーバが、端末装置やブレードの認証を行う際に、他の装置である，証明書検証サーバ装置（以下検証サーバと記す）に証明書の検証を依頼しても良い。検証サーバが当該証明書を検証することで、より確実な認証を行うことができる。

また、管理サーバは、第三の組織が運営しても良い。すなわち、管理サーバは、内部通信端末とは別の組織内ネットワークに接続する構成でもよい。

上記態様によれば、端末装置とブレード間の暗号化通信路確立後は、管理サーバを介さずに暗号化通信を行うことができる。このため、従来技術に比べて、管理サーバに対する負荷が軽減される。

また、上記態様によれば、組織内ネットワークを含めた端末装置とブレード間の通信路を通して，暗号化通信が可能となるため、よりセキュアな通信が可能となる。

さらに、上記態様によれば、管理サーバにおいてブレードの選択や状態管理を実現できるため、別途ブレードを管理するためのサーバを設ける必要がなく、サーバ設置のためのコストを軽減できる。

なお，上記態様における端末装置は，管理サーバが管理するネットワークでの通信を終端する通信装置であっても良い。たとえば，端末装置が他のネットワークとの境界に位置するゲートウェイ装置であって，当該ゲートウェイ装置を介して，上記管理サーバが管理するネットワークと他のネットワークとが接続されている構成であっても良い。

本発明によれば，外部ネットワークに接続した装置と、組織内ネットワークに接続した装置間の通信における負荷分散と、更なるセキュリティの確保が可能となる。

以下に、本発明の２つの実施形態について説明する。

＜実施形態１＞
図１は、本発明の実施の一形態に係わる通信システムの構成を例示する図である。

本実施例の通信システムは、インターネット等の外部ネットワーク（インターネットという）１７、インターネット１７に接続された端末装置１１_１〜端末装置１１_N（「端末装置１１」と総称する）と、インターネット１７に接続している組織内ネットワーク１６と、から構成される。インターネット１７と組織内ネットワーク１６とは、図示していないが、ファイアウォールなどの装置を介して接続されていても良い。ファイアウォールである場合、端末装置１１と、管理サーバ１２の間の通信が、ファイアウォールによって遮断されないように設定しておく。また、各ネットワークは有線、無線どちらのネットワークでも構わない。

また、組織内ネットワーク１６には、組織内の利用者が利用するブレード１４_１〜ブレード１４_M（「ブレード１４」と総称する）と、組織内の利用者が利用するデータが保管されているストレージ１５_１〜ストレージ１５_L（「ストレージ１５」と総称する）と、各端末装置１１とブレード１４間での通信を管理する管理サーバ１２と、端末装置１１やブレード１４等の認証処理において証明書を検証する検証サーバ１３、とが接続している。なお、管理サーバ１２，検証サーバ１３，ブレード１４とストレージ１５，のそれぞれの運営組織は，互いに異なっていて良いし，いずれか二つが同じでも，総て同じでもよい。また，管理サーバ１２および／または検証サーバ１３は，さらに、他の組織内ネットワークに接続していても良い。

次に、図１の通信システムを構成する各装置について説明する。

まず、図２を用いて、端末装置１１と、ブレード１４の機能構成を説明する。なお、以下の説明において、これらの装置を区別しないときには単に、「通信端末」と呼ぶ。

通信端末は、処理部２０ａと、記憶部２０ｂと、通信結果の表示やユーザからの指示の受付を行う入出力部２０ｃと、インターネット１７や組織内ネットワーク１６を介して他装置と通信を行うための通信部２０ｄと、を有する。

処理部２０ａは、当該通信端末のネットワーク上の位置を特定するアドレスを登録申請するためのアドレス登録申請部２１と、管理サーバ１２との通信処理を行う対管理サーバ通信処理部２２と、相手方の通信端末との通信処理を行う対端末通信処理部２３と、通信端末の各部を統括的に制御する制御部２４と、を有する。

記憶部２０ｂは、当該ブレード１４の秘密鍵（private key）と公開鍵証明書、または当該端末装置１１を利用するユーザの秘密鍵（private key）と公開鍵証明書（以下「端末装置１１の秘密鍵と公開鍵証明書」または、それぞれ「端末装置１１の秘密鍵」「端末装置１１の証明書」ともいう）を保持する秘密鍵・証明書保持部２５と、通信を暗号化するのに用いる暗号化鍵保持部２６と、を有する。

なお、秘密鍵・証明書保持部２５に保持する秘密鍵と公開鍵証明書は、当該ブレード１４または当該端末装置１１のユーザを、管理サーバ１２が認証する際に用いる。また、当該端末装置１１のユーザの秘密鍵と公開鍵証明書は、あらかじめICカード等の可搬性を有する記憶媒体内に入れておき、当該記憶媒体を端末装置１１の読取装置に挿入することで、当該記憶媒体を端末装置１１の秘密鍵・証明書保持部２５としても良い（上記記憶媒体と読取装置については後に説明する）。

次に、図３を用いて、管理サーバ１２を説明する。

管理サーバ１２は、処理部３０ａと、記憶部３０ｂと、通信結果の表示やユーザからの指示の受付を行う入出力部３０ｃと、組織内ネットワーク１６を介して、他装置またはインターネット１７に接続された他の装置と通信を行うための通信部３０ｄと、を有する。

処理部３０ａは、通信端末からのアドレス登録申請を受けてアドレスをアドレスDB３７に登録したり、通信端末のアドレスを検索したりする、アドレス登録／検索部３１と、ブレードの使用状態をブレード管理DB３８に反映したり、端末装置１１からの接続要求を受けて、当該端末装置１１が使用するブレードの振り分けを行ったりする、ブレード状態管理部３２と、通信端末−通信端末間の通信を暗号化するための暗号化鍵を生成する鍵生成部３３と、通信端末との通信処理を行う対端末通信処理部３４と、検証サーバ１３との通信処理を行う対検証サーバ通信処理部３５と、管理サーバ１２の各部を統括的に制御する制御部３６と、を有する。

記憶部３０ｂは、当該管理サーバを通信端末が認証する際に用いる当該管理サーバ１２の秘密鍵（private key）と公開鍵証明書を保持する秘密鍵・証明書保持部３７と、通信端末のアドレスを管理するためのアドレス管理テーブルＡ０を保持するアドレスDB３８と、ブレードの使用状況を示すブレード使用状況テーブル７０を保持するブレード管理DB３９と、ユーザの使用するデータがストレージのどの部分に保持されるかを示すユーザ使用領域管理テーブル９０を保持するユーザ使用領域管理DB（３Ａ）を有する。ユーザ使用領域管理DB（３Ａ）には、ユーザID１と、ストレージ識別子９２があらかじめ設定されており、どのユーザのデータがどこのストレージに格納されているかが分かるようになっている。

次に、図４を用いて、検証サーバ１３を説明する。

検証サーバ１３は、処理部４０ａと、記憶部４０ｂと、検証結果の表示やユーザからの指示の受付を行う入出力部４０ｃと、組織内ネットワーク１６を介して、他装置またはインターネット１７に接続された他の装置と通信を行うための通信部４０ｄと、を有する。

処理部４０ａは、管理サーバ１２から受け付けた検証要求に対して、要求された証明書を検証する証明書検証部４２と、管理サーバ１２との通信処理を行う対管理サーバ通信処理部４３と、検証サーバ１３の各部を統括的に制御する制御部４４と、を有する。

記憶部４０ｂは、証明書検証部４２が証明書を検証する際に、必要となる，認証機関から取得する証明書や失効情報を保持する証明書保持部４５、を有する。

なお、図２〜図４に例示する端末装置１１、管理サーバ１２、検証サーバ１３の各々の処理部は、例えば、図５に例示するような、CPU５１と、メモリ５２と、ハードディスク等の外部記憶装置５３と、インターネットなどのインターネット１７や組織内ネットワーク１６を介して他装置と通信を行うための通信装置５４と、キーボードやマウス等の入力装置５５と、表示装置やプリンタ等の出力装置５６と、可搬性を有する記憶媒体５８から情報を読み取る読取装置５７と、これらの各装置間を接続する内部通信線５０とを備えた、一般的な電子計算機において、CPU５１がメモリ５２上にロードされた所定のプログラムを実行することにより、具現化できる。

これらのプログラムは、あらかじめ、上記電子計算機内のメモリ５２または外部記憶装置５３に格納されていても良いし、必要なときに、上記電子計算機が利用可能な、着脱可能な記憶媒体５８から、または通信媒体（インターネット１７や組織内ネットワーク１６など、またはそれらの上を伝搬する搬送波やデジタル信号など）を介して他の装置から、導入されてもよい。

また，上記各処理部の一部またはすべてをハードウェアで構成することも可能である。

また、通信端末は、図２に示す機能構成を実現できるものであれば良く，図５に示されるような構成に限定されるものではない。インターネット１７や組織内ネットワーク１６と接続することのできる通信装置５４相当の機能を備えた機器であってもよい。例えば、ルータ、PC、PDAだけでなく、テレビ、冷蔵庫、エアコン、電子レンジなど家庭電気製品も、図５に類似の構成を備えることで、通信端末となりうる。

また、図２に例示するブレード１４の処理部は、例えば図６に例示するような、CPU６１と、メモリ６２と、組織内ネットワーク１６を介して他装置と通信を行うための通信装置６３と、キーボードやマウス等の入力装置からの情報をやり取りする入力インタフェース６４と、表示装置やプリンタ等の出力との情報をやり取りする出力インタフェース６５と、可搬性を有する記憶媒体６７から情報を読み取る読取装置６６と、これらの各装置間を接続する内部通信線６０とを備えた、電子計算機において、CPU６１がメモリ６２上にロードされた所定のプログラムを実行することにより、具現化できる。また、一般的な電子計算機に備えられているハードディスク等の外部記憶装置は、ブレード１４には備えず、ストレージ１５がブレード１４の外部記憶装置の役割を果たす。

これらのプログラムは、あらかじめ、上記電子計算機内のメモリ６２またはストレージ１５に格納されていても良いし、必要なときに、上記ブレード１４が利用可能な、着脱可能な記憶媒体６７から、または通信媒体（組織内ネットワーク１６やインターネット１７、またはそれらの上を伝搬する搬送波やデジタル信号など）を介して他の装置から、導入されてもよい。

また，上記各処理部の一部またはすべてをハードウェアで構成することも可能である。

次に、本実施の形態による通信システムの動作について説明する。

本実施形態の通信システムの動作は、通信端末（端末装置１１またはブレード１４）−管理サーバ間での暗号化通信路確立動作と、端末装置１１−ブレード14間での暗号化通信路確立動作とにわかれる。

まず、通信端末−管理サーバ間での暗号化通信路確立動作について説明する。

図７と図８は、本実施形態の通信端末−管理サーバ間での暗号化通信路確立動作を説明するためのフロー図であり、端末装置１１と管理サーバ１２間で暗号化通信路を確立する場合の例である。

端末装置１１の対管理サーバ通信処理部２２は、管理サーバ１２を認証するために、管理サーバ１２に対して、管理サーバ１２証明書の要求を送信する（図７，ステップ１００１）。これを受信した管理サーバ１２の対端末通信処理部３４は（ステップ１００２）、当該管理サーバの証明書を秘密鍵・証明書保持部３７から取り出し、応答するとともに、相手方の端末装置１１の証明書要求を、端末装置１１に対して送付する（ステップ１００３）。これを受信した端末装置１１の対管理サーバ通信処理部２２は（ステップ１００４）、当該端末装置１１の証明書を、秘密鍵・証明書保持部２５から取り出し、管理サーバ１２に対して送付する（ステップ１００５）。

端末装置１１の対管理サーバ通信処理部２２は、ステップ１００４にて受信した管理サーバ１２の証明書の検証を行い（ステップ１００７）、管理サーバ１２が成りすまししていないことをチェックする。管理サーバ１２の証明書検証に失敗した場合（ステップ１００８でNo）、管理サーバの認証が出来ないため、通信を終了する（ステップ１１０６）。管理サーバ１２の証明書検証に成功した場合（ステップ１００８でYes）、次のステップへ進む。

管理サーバ１２の対端末通信処理部３４は、端末装置１１から証明書を受信し（ステップ１００６）、当該証明書を検証するために、対検証サーバ通信処理部３５を通じて、検証サーバ１３に対して、端末装置１１の証明書の検証要求を送付する（ステップ１００９）。証明書検証サーバ１３は、検証要求を受信し（ステップ１０１０）、検証を要求された証明書の検証を，証明書検証部４２において行う（ステップ１０１１）。

端末装置１１証明書の検証に成功した場合（ステップ１０１２でYes）、検証サーバ１３の対管理サーバ通信処理部４３は、証明書検証に成功した旨の通知を管理サーバ１２へ送付する（ステップ１０１３）。端末装置１１証明書の検証に失敗した場合（ステップ１０１２でNo）、対管理サーバ通信処理部４３は、証明書検証に失敗した旨の通知を管理サーバ１２へ送付する（ステップ１０１４）。管理サーバ１２の対端末通信処理部３４は、対検証サーバ通信処理部３５を介して、検証サーバ１３から検証結果を受信し（ステップ１０１５）、当該検証結果が失敗である場合（ステップ１０１６でNo）は、端末装置１１の認証が出来ないため、通信を終了する（ステップ１１０６）。端末装置１１証明書の検証結果が成功であった場合（ステップ１０１６でYes）は、次のステップへ進む。

端末装置１１と管理サーバ１２が、互いに認証できたら（ステップ１００８でYes、かつ、ステップ１０１６でYes）、端末装置１１の対管理サーバ通信処理部２２と管理サーバ１２の対端末通信処理部３４は、通信路を暗号化するための暗号化通信用鍵（暗号鍵という）を互いに共有する（図８，ステップ１１０１、ステップ１１０２）。暗号鍵を共有したら、端末装置１１と管理サーバ１２との間の暗号化通信路が確立したこととなり（ステップ１１０３）、端末装置１１の対管理サーバ通信処理部２２と、管理サーバ１２の対端末通信処理部３４は、当該暗号鍵を用いて暗号化通信を行う（ステップ１１０４）。

暗号化通信が終了したら、端末装置１１の対管理サーバ通信処理部２２と、管理サーバ１２の対端末通信処理部３４は、暗号化通信路を終了する（ステップ１１０６）。

このようなステップを実行することにより、端末装置１１と管理サーバ１２は、互いに相手方を確認した上で、暗号化通信路を確立することができる。

次に、端末装置１１−ブレード１４間での暗号化通信路確立動作について説明する。

端末装置１１−ブレード１４間での暗号化通信路を確立するためには、あらかじめ各通信端末のアドレス情報を、管理サーバ１２へ登録する必要がある。図９を用いて、アドレス登録動作の説明をする。

図９は、通信端末のアドレスを、管理サーバ１２へ登録する動作を説明するためのフロー図であり、端末装置１１が、管理サーバ１２へアドレス登録する場合の例である。

まず、端末装置１１と管理サーバ１２は、ステップ１００１からステップ１０１６と、ステップ１１０１から１１０３までのステップを実施することにより、互いの間での暗号化通信路を確立する（ステップ２００１）。暗号化通信路確立後、端末装置１１のアドレス登録申請部２１は、当該端末装置１１のアドレスの登録要求を管理サーバ１２へ送付する（ステップ２００２）。管理サーバ１２のアドレス登録／検索部３１は、登録要求を受信したら（ステップ２００３）、端末装置１１のアドレスを、アドレスDB３８に保持するアドレス管理テーブルＡ０へ登録する（ステップ２００４）。

なお、登録するアドレス情報には、登録要求を行う対象（ここでは、端末装置１１のユーザ）を特定する情報（以下、端末装置のユーザの場合は「ユーザID」、ブレードの場合は「ブレードID」という）と、登録要求を行う対象（ここでは、当該通信端末）のネットワーク上での位置を特定する情報、例えばIPアドレスが含まれる。これらの情報を、それぞれアドレス管理テーブルＡ０の、ユーザID／ブレードID（Ａ１）部と、IPアドレス（Ａ２）へ、対応付けて登録する。

ユーザIDおよびブレードIDには、ドメイン内で固定のものを使えばよい。例えば、通信端末名や、通信端末のMACアドレスを使うことができる。また、会社内のような閉じたドメインでは、通信端末のユーザのメールアドレスや、通信端末のSIP-URIや、通信端末のFQDN（完全修飾ドメイン名、Fully Qualified Domain Name）のような情報を使うこともできる。また、管理サーバ１２は、ユーザIDおよびブレードIDを、当該端末装置１１の証明書およびブレード１４の証明書に、関連付けて管理する。例えば、当該端末装置１１の証明書およびブレード１４の証明書に、ユーザIDおよびブレードIDを記載することにより、関連付けても良い。

登録完了後、端末装置１１に対して、登録完了通知を送付する（ステップ２００５）。端末装置１１が、登録完了通知を受信したら（ステップ２００６）、端末装置１１と管理サーバ１２は、暗号化通信路の終了処理を実行する。上記ステップを実行することにより、端末装置１１のアドレスを、管理サーバ１２に登録することができる。

端末装置１１が、ブレード１４と暗号化通信を行う場合は、あらかじめ双方の通信端末のアドレスを、管理サーバ１２へ登録する。すなわち、ブレード１４も、図９と同様のステップを実行することにより、当該ブレード１４のアドレスを管理サーバへ登録する。

ただし，ブレード１４は組織内ネットワーク１６内で固定的に設置されることが多いので，それぞれが登録処理を行わなくてもよく，管理者が，あらかじめアドレスを割り当てて，管理サーバ１２に登録しておいても良い。

さらに、通信端末は、管理サーバ１２に登録したアドレスを削除することもできる。削除する場合は、図８に示す処理において「登録」を「削除」と置き換えた処理を行う。

また、アドレス登録は、当該通信端末に割り当てられたアドレスが変わった場合には、再度図８の登録処理を実行する必要がある。例えば、通信端末が別途設置されたDHCPサーバなどから動的にアドレス割り当てを受けている場合に、通信端末の電源をOFF、ONしたり、通信端末をリセットしたりすると、アドレスが変わる可能性がある。また、通信端末が、ネットワークとの接続を終了し、移動先で、別のネットワークに接続する場合には、アドレスが変わる可能性がある。このような場合には、再度図８の登録処理を行うことにより、最新のアドレスを管理サーバ１２へ登録する。

次に、端末装置１１が、管理サーバ１２を介して、ブレード１４と暗号化通信路を確立する動作を説明する。

図１０と図１１は、端末装置１１とブレード１４間で、暗号化通信路を確立する動作を説明するためのフロー図である。

まず、管理サーバ１２と端末装置１１は、予め、ステップ１００１からステップ１０１６と、ステップ１１０１から１１０３までのステップを実施することにより、端末装置１１−管理サーバ間での暗号化通信路を確立する（ステップ３００１）。そして、端末装置１１のアドレスをまだ登録していない場合，あるいは登録アドレスが変わっている場合は、ステップ２００２からステップ２００６までのステップを実施することにより、端末装置１１のアドレスを管理サーバ１２へ登録する（ステップ３００２）。

端末装置１１からのアドレス登録処理を受けて、管理サーバ１２のブレード状態管理部３２は、図１２に示すようなブレード使用状況テーブル７０を参照し、当該端末装置１１が使用するブレードの選択と、テーブルの更新を行う（ステップ３００３）。すなわち、ブレード使用状況テーブル７０は、管理サーバ１２のブレード管理DB３９に保持され、ブレード識別情報７１と、当該ブレードが使用されているかどうかを示す使用状況７２と、当該ブレードが使用されている場合はそれを使用している使用ユーザ７3と、が記載されている。

管理サーバ１２のコンピュータ状態管理部３２は、ブレード使用状況テーブル７０に記載されているブレード識別情報７１のうち、使用状況７２が「未使用（停止中）」のものを接続先ブレードとして選択する。そして、選択したブレード識別情報７１に対応する使用状況７２欄を、「割り当て済み」に更新し、使用端末装置７３欄に当該端末装置１１のユーザIDを記載する。

そして、管理サーバ１２のブレード状態管理部３２は、ステップ３００３で選択したブレード１４に対して、電源投入、起動と、当該端末装置１１のユーザのデータをストレージ１５から読み込む旨の指示を送付する（ステップ３００４）。なお、本データ読み込み指示は、ステップ３００２で登録された当該端末装置１１のユーザIDをキーにして、ユーザ使用領域管理テーブル９０を検索して得た、当該ユーザIDに対応したストレージ識別子９２を元に行う。

ブレード１４は、管理サーバ１２から電源投入の支持を受け、電源が投入されたら、当該端末装置１１のユーザのデータをストレージ１５から読み込む（ステップ３００５）。そして、データの読み込みが完了したら、ブレード１４と管理サーバ１２は、図７のステップ１００１からステップ１０１６と、図８のステップ１１０１から１１０３までのステップを実施することにより、暗号化通信路を確立し（ステップ３００６）、図９のステップ２００２からステップ２００６までのステップを実施することにより、ブレード１４のアドレスを管理サーバ１２へ登録する（ステップ３００７）。すなわち、ブレード１４がストレージ１５から読み込んだデータに含まれるブレードIDと、ブレード14のIPアドレスを、管理サーバ１２へ登録する。なお、ブレード１４のIPアドレスは、ストレージ１５から読み込むデータにあらかじめ設定しても良いし、別途用意するDHCPサーバから動的にIPアドレスを取得しても良い。

そして、端末装置１１の対管理サーバ通信処理部２２は、ブレード１４への接続要求を、管理サーバ１２に対して送信する（ステップ３００８）。なお、接続要求には、接続相手であるブレード１４のブレードIDが含まれる。ブレードIDは、ストレージ１５から読み込むユーザのデータに含まれるものであり、当該ユーザの使用するブレードIDは一意に設定される。また、ユーザは（すなわち，端末装置１１は）あらかじめ自身のブレードIDを知っているものとする。

ここで、ステップ３００８において実施する接続要求は、ブレード１４のアドレス登録終了後（ステップ３００７）の後に実施するのではなく、ステップ３００２の端末装置１１のアドレス登録の直後に実施しても良い。すなわち、管理サーバ１２は、端末装置１１からブレード１４への接続要求を受けてから、ブレードの振り分け（ステップ３００３）以降の処理を実施する形態でも良い。

接続要求を受信した管理サーバ１２の対端末通信処理部３４は、端末装置１１とブレード１４の間の暗号化通信路に利用する暗号化鍵を、鍵生成部３３を介して生成する（ステップ３００９）。そして、管理サーバ１２の対端末通信処理部３４は、端末装置１１からブレード１４への接続要求、およびステップ３００９で生成した暗号化通信用鍵を、ブレード１４へ送信する（ステップ３０１０）。暗号化通信用鍵は，例えば，特開２００５−３０３４８５号公報に開示されている方法（端末装置１１とブレード１４が管理サーバ１２に暗号化通信のために利用可能な設定情報を登録し，管理サーバ１２が登録された設定情報から共通するものを選択し，選択した設定情報に従って暗号化鍵を生成する方法）に従って，生成すればよい。

これを受信したブレード１４の対管理サーバ通信処理部２２は、当該端末装置１１が当該ブレード１４に接続可能かどうか（busyでないか否か）を判断し（ステップ３０１１）、当該接続可否判定結果を管理サーバ１２へ送信する（ステップ３０１２）。管理サーバ１２の対端末通信処理部３４は、当該接続可否判定結果と、判定結果が通信可能な場合にはステップ３００９で生成した暗号化通信用鍵とを、端末装置１１へ送信する（ステップ３０１３）。そして、管理サーバ１２の対端末通信処理部３４は、ブレード使用状況テーブル７０を更新する（ステップ３０１４）。具体的には、当該ブレード１４に対応する使用状況７２欄を、「使用中」に更新する。

端末装置１１の対管理サーバ通信処理部２２は、判定結果を受信したら、端末装置１１の対端末通信処理部２３と、ブレード１４の対端末通信処理部２３は、３０１０及びステップ３０１３でそれぞれ受信した暗号化鍵を用いて、暗号化通信路を確立する（ステップ３０１５）。

端末装置１１の対端末通信処理部２３は、ブレード１４との間で確立された暗号化通信路を利用し、ブレード１４への処理を要求する（図１１，ステップ３１０１）。ブレード１４は、対端末通信処理部２３を介してこの処理要求を受け取り、それに応じた処理を実行する。そして、ブレード１４の対端末通信処理部２３は、端末装置１１との間で確立された暗号化通信路を利用して、要求された処理の実行結果，またはその画面出力情報などを、端末装置１１へ送信する（ステップ３１０２）。端末装置１１は、対端末通信処理部２３を介して受信した処理結果またはその出力情報を処理して、入出力部２０ｃを通して画面等へ出力する。

端末装置１１は、ブレード１４との間で確立した暗号化通信路が不要になったら、暗号化通信路を終了（削除）することができる。以下で、端末装置１１が、ブレード１４との間で確立した暗号化通信路を、終了する動作を説明する。

図１３は、端末装置１１とブレード１４間で確立した暗号化通信路の終了動作を説明するためのフロー図である。

まず、端末装置１１の対管理サーバ通信処理部２２は、管理サーバ１２に対して、ブレード１４との暗号化通信路の終了要求を送信する（ステップ４００１）。これを受信した管理サーバ１２の対端末通信処理部３４は、ブレード状態管理部３２を介してブレード使用状況テーブル７０を参照し、当該端末装置１１が当該ブレード１４を使用中であることを確認する(ステップ４００２)。

管理サーバ１２の対端末通信処理部３４は、ブレード１４に対して、端末装置１１とブレード１４の間で確立されている暗号化通信路の終了要求を送信し（ステップ４００３）、これを受信したブレード１４の対管理サーバ通信処理部２２は、終了応答を応答する（ステップ４００４）。管理サーバ１２の対端末通信処理部３４は、ブレード１４から終了応答を受信したら、端末装置１１に対して、終了応答を送信する（ステップ４００５）。

端末装置１１の対端末通信処理部２３と、ブレード１４の対端末通信処理部２３は、暗号化通信路確立のために使用していた情報（たとえば，暗号化通信用鍵とIPアドレス）を破棄し、暗号化通信路を終了させる（ステップ４００６）。

管理サーバ１２のブレード状態管理部３２は、ブレード１４に対して、電源切断の指示を送付する（ステップ４００７）。ブレード１４は、電源切断指示を受け、ストレージ１５へデータの書き戻しを行い、電源を切断する（ステップ４００８）。

また、管理サーバ１２のブレード状態管理部３２は、ブレード使用状況テーブル７０の更新を行う（ステップ４００９)。具体的には、ブレード使用状況テーブル７０の当該ブレード識別情報７１に対応する、使用状況７２を、「未使用（停止中）」に変更し、使用ユーザ７３欄から、当該端末装置のユーザIDを消去する。

以上のステップを実行することによって、端末装置１１は、ブレード１４との暗号化通信路を終了することができる。

図１０と図１１のフロー図で例示するように、管理サーバ１２は、端末装置１１のユーザとブレード１４を、それぞれ認証し、これらの正当性が確認できた場合に、端末装置１１とブレード１４間の暗号化通信路を確立できる。そして、端末装置１１−ブレード１４間の暗号化通信路が確立された後は、管理サーバ１２を介すこと無く、端末装置１１とブレード１４の間で暗号化通信を行うことができるため、管理サーバ１２へ負荷をかけることなく、セキュア通信を行うことができる。さらに、端末装置１１とブレード１４の間の通信全体を暗号化可能となるため、よりセキュアな通信が可能となる。

また、管理サーバ１２において、ブレード１４の選択や状態管理を実現できるため、ブレード１４を管理するための，他のサーバを設ける必要がなく、サーバ設置のためのコストを軽減につながる。

＜実施形態２＞
第二の実施形態を説明する。

本実施形態２と実施形態１の違いは、仮想ブレードIDというものを設ける点である。端末装置１１は、管理サーバ１２に対して、ブレード１４に対する接続要求を送信する際に、当該接続要求に含む端末装置１１のユーザに対応するブレードIDに代わり、仮想ブレードに割り当てた仮想ブレードIDを記述する。複数の端末装置１１のユーザが、同一の仮想ブレードIDを使用する。そして管理サーバ１２において、仮想ブレードIDから実際の各ユーザに対応するブレードIDへの変換を行う。

本実施形態において、端末装置１１が、管理サーバ１２を介して、ブレード１４と暗号化通信路を確立する動作を説明する。

図１４と図１５は、端末装置１１とブレード１４間で、暗号化通信路を確立する動作を説明するためのフロー図である。

まず、管理サーバ１２のアドレス登録／検索部３１は、アドレスDB３８に保持されるアドレス管理テーブルＡ０に、仮想ブレードのアドレスを登録する（ステップ５００１）。すなわち、ユーザID／ブレードID（Ａ１）欄に仮想ブレードIDを、IPアドレス（Ａ２）欄に仮想のIPアドレスを登録する。この仮想ブレードIDは各端末装置１１にも通知されているものとする。

端末装置１１と管理サーバ１２は、ステップ１００１からステップ１０１６と、ステップ１１０１から１１０３までのステップを実施することにより、端末装置１１−管理サーバ１２間での暗号化通信路を確立する（ステップ５００２）。そして、端末装置１１のアドレスをまだ登録していない場合，あるいは登録アドレスが変わっている場合は、ステップ２００２からステップ２００６までのステップを実施することにより、端末装置１１のアドレスを管理サーバ１２へ登録する（ステップ５００３）。

端末装置１１の対管理サーバ通信処理部２２は、仮想ブレードへの接続要求を、管理サーバ１２に対して送信する（ステップ５００４）。なお、接続要求には、仮想ブレードの仮想ブレードIDが含まれる。

端末装置１１からの接続要求を受けて、管理サーバ１２のブレード状態管理部３２は、図１６に示すようなブレード使用状況テーブル８０を参照し、当該端末装置１１が使用するブレードの選択と、テーブルの更新を行う（ステップ５００５）。

ブレード使用状況テーブル８０は、管理サーバ１２のブレード管理DB３９に保持され、仮想ブレードの仮想ブレードID８１と、当該仮想ブレードIDに対する接続要求がなされた場合に選択可能なブレードを示すブレード識別情報８２と、当該ブレードが使用されているかどうかを示す使用状況８３と、当該ブレードが使用されている場合はそれを使用している使用ユーザ８４と、ストレージ１５から読み込んだ当該ユーザが使用するデータに含まれるブレードID（読み込み済みブレードID８５）と、が記載されている。

管理サーバ１２のコンピュータ状態管理部３２は、接続要求に記載された仮想ブレードIDをキーにして、本ブレード使用状況テーブル８０を参照し、仮想ブレードID８１欄から対応する仮想ブレードIDを検索する。そして、当該仮想ブレードIDに対応するブレード識別情報８２のうち、使用状況８３が「未使用（停止中）」のものを接続先ブレードとして選択する。選択したブレード識別情報８２の使用状況８３欄を、「割り当て済み」に更新し、使用端末装置８４欄に当該端末装置１１のユーザIDを記載する。

そして、管理サーバ１２のブレード状態管理部３２は、ステップ５００５で選択したブレード１４に対して、電源投入と、起動と、当該端末装置１１のユーザのデータをストレージ１５から読み込む旨の指示を送付する（ステップ５００６）。なお、本データ読み込み指示は、ステップ５００３で登録された当該端末装置１１のユーザIDをキーにしてユーザ使用領域管理テーブル９０を検索し、当該ユーザIDに対応したストレージ識別子９２を元に行う。

ブレード１４は、管理サーバ１２から電源投入の支持を受け、電源が投入されたら、当該端末装置１１のユーザのデータをストレージ１５から読み込む（ステップ５００７）。そして、データの読み込みが完了したら、ブレード１４と管理サーバ１２は、図７のステップ１００１からステップ１０１６と、図８のステップ１１０１から１１０３までのステップを実施することにより、暗号化通信路を確立し（ステップ５００８）、図９のステップ２００２からステップ２００６までのステップを実施することにより、ブレード１４のアドレスを管理サーバ１２へ登録する（ステップ５００９）すなわち、ブレード１４がストレージ１５から読み込んだデータに含まれるブレードIDと、ブレード１４のIPアドレスを、管理サーバ１２へ登録する。なお、ブレード１４のIPアドレスは、ストレージ１５から読み込むデータにあらかじめ設定しても良いし、別途用意するDHCPサーバから動的にIPアドレスを取得しても良い。

管理サーバ１２のブレード状態管理部３２は、ステップ５００９で登録されたブレード１４のアドレス情報のうち、ブレードIDを、当該ブレード識別情報８２に対応する読み込み済みブレードID８５欄に記載する（ステップ５０１０）。

そして、管理サーバ１２の対端末通信処理部３４は、端末装置１１とブレード１４の間の暗号化通信路に利用する暗号化鍵を、鍵生成部３３を介して生成する（ステップ５０１１）。管理サーバ１２の対端末通信処理部３４は、端末装置１１からブレード１４への接続要求、およびステップ５０１１で生成した暗号化通信用鍵を、ブレード１４へ送信する（ステップ５０１２）。暗号化通信用鍵は，実施形態１での説明と同様に，例えば，特開２００５−３０３４８５号公報に開示されている方法に従って，生成すればよい。

これを受信したブレード１４の対管理サーバ通信処理部２２は、当該端末装置１１が当該ブレード１４に接続可能かどうかを判断し（ステップ５０１３）、当該接続可否判定結果を管理サーバ１２へ送信する（ステップ５０１４）。管理サーバ１２の対端末通信処理部３４は、当該接続可否判定結果と、判定結果が通信可能な場合にはステップ５０１１で生成した暗号化通信用鍵とを、端末装置１１へ送信する（ステップ５０１５）。そして、管理サーバ１２の対端末通信処理部３４は、ブレード使用状況テーブル７０を更新する（ステップ５０１６）。具体的には、当該ブレード１４に対応する使用状況８３欄を、「使用中」に更新する。

端末装置１１の対管理サーバ通信処理部２２は、判定結果を受信したら、端末装置１１の対端末通信処理部２３と、ブレード１４の対端末通信処理部２３は、５０１２及びステップ５０１５でそれぞれ受信した暗号化鍵を用いて、暗号化通信路を確立する（ステップ５０１７）。

端末装置１１の対端末通信処理部２３は、ブレード１４との間で確立された暗号化通信路を利用し、ブレード１４への処理を要求する（図１５，ステップ５１０１）。ブレード１４は、対端末通信処理部２３を介してこの処理要求を受け取り、それに応じた処理を実行する。そして、ブレード１４の対端末通信処理部２３は、端末装置１１との間で確立された暗号化通信路を利用して、要求された処理の実行結果，またはその画面出力情報などを、端末装置１１へ送信する（ステップ５１０２）。端末装置１１は、対端末通信処理部２３を介して受信した処理結果またはその出力情報を処理して、入出力部２０ｃを通して画面等へ出力する。

端末装置１１は、ブレード１４との間で確立した暗号化通信路が不要になったら、暗号化通信路を終了することができる。本実施形態において、端末装置１１が、ブレード１４との間で確立した暗号化通信路を、終了する動作を説明する。

図１７は、端末装置１１とブレード１４間で確立した暗号化通信路の終了動作を説明するためのフロー図である。

まず、端末装置１１の対管理サーバ通信処理部２２は、管理サーバ１２に対して、ブレード１４との暗号化通信路の終了要求を送信する（ステップ６００１）。なお、本終了要求には、仮想ブレードの仮想ブレードIDが記載されている。

これを受信した管理サーバ１２の対端末通信処理部３４は、ブレード状態管理部３２を介してブレード使用状況テーブル８０を参照し、仮想ブレードIDに対応するコンピュータ識別情報８２のうち、当該端末装置１１が使用中であるブレード識別情報８２を選択する（ステップ６００２）。

管理サーバ１２の対端末通信処理部３４は、ステップ４００２で選択したブレード１４に対して、端末装置１１とブレード１４の間で確立されている暗号化通信路の終了要求を送信し（ステップ６００３）、これを受信したブレード１４の対管理サーバ通信処理部２２は、終了応答を応答する（ステップ６００４）。管理サーバ１２の対端末通信処理部３４は、ブレード１４から終了応答を受信したら、端末装置１１に対して、終了応答を送信する（ステップ６００５）。

端末装置１１の対端末通信処理部２３と、ブレード１４の対端末通信処理部２３は、暗号化通信路確立のために使用していた情報（たとえば，暗号化通信用鍵とIPアドレス）を破棄し、暗号化通信路を終了させる（ステップ６００６）。

管理サーバ１２のブレード状態管理部３２は、ブレード１４に対して、電源切断の指示を送付する（ステップ６００７）。ブレード１４は、電源切断指示を受け、ストレージ１５へデータの書き戻しを行い、電源を切断する（ステップ６００８）。

また、管理サーバ１２のブレード状態管理部３２は、ブレード使用状況テーブル８０の更新を行う（ステップ６００９)。具体的には、ブレード使用状況テーブル８０の当該ブレード識別情報７１に対応する、使用状況８３を、「未使用（停止中）」に変更し、使用ユーザ８４欄から、当該端末装置のユーザIDを消去し、読み込み済みブレードID８５欄から、当該ブレード１４のブレードIDを消去する。

以上のステップを実行することによって、端末装置１１は、ブレード１４との暗号化通信路を終了することができる。

図１４と図１５のフロー図で例示するように、管理サーバ１２は、端末装置１１のユーザとブレード１４を、それぞれ認証し、これらの正当性が確認できた場合に、端末装置１１とブレード１４間の暗号化通信路を確立できる。そして、端末装置１１−ブレード１４間の暗号化通信路が確立された後は、管理サーバ１２を介すこと無く、端末装置１１とブレード１４の間で暗号化通信を行うことができるため、管理サーバ１２へ負荷をかけることなく、セキュア通信を行うことができる。また、端末装置１１とブレード１４の間の通信全体を暗号化可能となるため、よりセキュアな通信が可能となる。

さらに、本実施形態においては、仮想ブレードの仮想ブレードIDを用いることによって、ブレード１４の実際のブレードIDが、ネットワーク上に流れることがなく、セキュリティを高めることが可能となる。例えば、悪意のある第三者が、ブレードIDをキーにしてブレード１４へ攻撃する可能性が考えられるが、仮想ブレードIDを用いる場合は、これに対応するブレードが実際には存在しないため、攻撃の対象とすることができない。

本実施形態においては、ユーザの利用する端末装置１１がブレード１４と通信を開始する際に、ユーザが利用する情報をストレージ１５からブレード１４に読み込んでいるが、これに限るものではない。予め、各ユーザの使用するデータが各ブレード１４に記憶されていれば、ストレージ１５はなくても良い。

この場合、ブレード使用状況テーブル８０の、使用ユーザ８４と、読み込み済みブレードID８５には、当該ユーザIDと、当該ユーザに対応するブレードIDが記載されていることになる。

また、図１４のステップ５００５と、ステップ５００６（電源投入処理を除く）と、ステップ５００７を省略することにより、端末装置１１とブレード１４間での暗号化通信路を確立できる。また、端末装置１１とブレード１４間での暗号化通信路を終了する際には，図１７のステップ６００２と、ステップ６００８を省略することができる。

また、管理サーバ１２において、ブレード１４の選択や状態管理を実現できるため、別途ブレード１４を管理するためのサーバを設ける必要がなく、サーバ設置のためのコストを軽減につながる。

本実施形態１および実施形態２では、端末装置１１を指定した通信を例示しているが、端末装置１１を利用するユーザを通信相手として指定してもよい。端末装置１１を利用するユーザを通信相手として指定する場合には、ユーザの持つ公開鍵証明書とユーザIDを、あらかじめ可搬性を有する記憶媒体５８に入れておき、記憶媒体５８を端末装置１１の読取装置５７に挿入することで、ユーザの属性を端末装置１１が読み取り、記憶するように構成すればよい。当該構成により、端末装置１１は、利用しているユーザを特定し、通信相手としての指定を受け付けることができるようになる。そして、ユーザが、可搬性を有する記憶媒体５８を、読み取り装置５７から抜いた場合には、ユーザの属性は、端末装置１１から削除されるように構成すれば，個人情報漏洩防止の観点からも好ましい。

ユーザの属性が端末装置１１に記憶されたら、図９のアドレス登録処理を行って、ユーザIDと端末装置１１のアドレスを管理サーバ１２に登録し、削除されたら、図９の「登録」を「削除」と置き換えた処理を行えば、管理サーバ１２は、他の端末装置１１からの接続要求時に、ユーザが端末装置１１を利用中であるか否かが判定でき、端末装置１１を利用中の場合には、ユーザがどの端末装置１１を利用しているかを、接続要求者に気にさせることなく接続することができる。

本発明の２つの実施形態における通信システムの構成を例示する。 端末装置１１、ブレード１４の概略構成を例示する。 管理サーバ１２の概略構成を例示する。 検証サーバ１３の概略構成を例示する。 端末装置１１、管理サーバ１２、検証サーバ１３の各々のハードウェア構成を例示する。 ブレード１４のハードウェア構成を例示する。 端末装置１１と管理サーバ１２が、暗号化通信路を確立するために、互いに認証するまでの処理手順を例示する。 端末装置１１と管理サーバ１２が、暗号化通信路を確立し、それを終了させるまでの処理手順を例示する。 端末装置１１が管理サーバ１２に、端末装置１１のアドレスを登録する処理手順を例示する。 実施形態１において、端末装置１１が、管理サーバ１２を介して、ブレード１４と暗号化通信路を確立するまでの処理手順を例示する。 実施形態１において、端末装置１１が、管理サーバ１２を介して、ブレード１４と暗号化通信路を確立し、その暗号化通信路を使用して処理を実施するまでの処理手順を例示する。 実施形態１において、管理サーバ１２が保持するブレード使用状況テーブルの内容を例示する。 実施形態１において、端末装置１１が、管理サーバ１２を介して、ブレード１４と暗号化通信路を終了するまでの処理手順を例示する。 実施形態２において、端末装置１１が、管理サーバ１２を介して、ブレード１４と暗号化通信路を確立するまでの処理手順を例示する。 実施形態２において、端末装置１１が、管理サーバ１２を介して、ブレード１４と暗号化通信路を確立し、その暗号化通信路を使用して処理を実施するまでの処理手順を例示する。 実施形態２において、管理サーバ１２が保持するブレード使用状況テーブルの内容を例示する。 実施形態２において、端末装置１１が、管理サーバ１２を介して、ブレード１４と暗号化通信路を終了するまでの処理手順を例示する。 実施形態１および２において、管理サーバ１２が保持するユーザ使用領域管理テーブルの内容を例示する。 実施形態１および2において、管理サーバ１２が保持するアドレス管理テーブルの内容を例示する。

符号の説明

１１：端末装置、１２：管理サーバ、１３：検証サーバ、１４：ブレード、１５：ストレージ、２０ａ、３０ａ、４０ａ：処理部、２０ｂ、３０ｂ、４０ｂ：記憶部、２０ｃ、３０ｃ、４０ｃ：入出力部、２０ｄ、３０ｄ、４０ｄ：通信部、２１：アドレス登録申請部、２２、４３：対管理サーバ通信処理部、２３、３４：対端末通信処理部、２５、３７：秘密鍵・証明書保持部、２６：暗号化鍵保持部、２４、３６、４４：制御部、３１：アドレス登録／検索部、３２：ブレード状態管理部、３３：鍵生成部、３５：対検証サーバ通信処理部、３８：アドレスDB、３９：ブレード管理DB、３A：ユーザ使用領域管理DB、４２：証明書検証部、４５：証明書保持部、７０、８０：ブレード使用状況テーブル、７１、８２：ブレード識別情報、７２、８３：使用状況、７３、８４：使用ユーザ、８１：仮想ブレードID、８５：読み込み済みブレードID、９１：ユーザID、９２：ストレージ識別子、９３：ストレージ名、９４：論理ユニット、A１：ユーザID／ブレードID、A２：IPアドレス。

Claims (10)

1. 組織内ネットワークに接続している複数のコンピュータ基板と、組織外ネットワークに接続し，前記コンピュータ基板へアクセスする端末装置と、前記コンピュータ基板と前記端末装置とを管理する管理サーバと、から構成される、通信システムであって、
   前記端末装置と管理サーバとは，互いに認証を行い、暗号化通信路を確立する、端末装置−管理サーバ間暗号化通信路確立ステップを実行し、
   前記管理サーバは、いずれかの接続先コンピュータ基板の選択と、前記選択した接続先コンピュータ基板の起動を指示する、コンピュータ基板振り分けステップを実行し、
   前記起動した接続先コンピュータ基板は、前記管理サーバとの間で認証を行い、暗号化通信路を確立する、コンピュータ基板−管理サーバ間暗号化通信路確立ステップを実行し、
   前記端末装置は、前記起動した接続先コンピュータ基板との，前記管理サーバを介さない暗号化通信路を，前記管理サーバを介して確立する、端末装置−コンピュータ基板間暗号化通信路確立ステップを実行する
   ことを特徴とする通信システム。
2. 請求項１に記載の通信システムであって、
   前記管理サーバは、
   前記コンピュータ基板の使用状況を管理するためのコンピュータ基板使用状況テーブルを保持し、
   前記コンピュータ基板振り分けステップにおいて，
   前記コンピュータ基板使用状況テーブルを参照し、使用されていない前記コンピュータ基板を接続先コンピュータ基板として選択し、
   前記端末装置−コンピュータ基板間暗号化通信路確立ステップにおいて、
   前記端末装置は、前記端末装置−管理サーバ間暗号化通信路を介して，前記管理サーバに対して、選択された前記接続先コンピュータ基板への接続要求を送信し、
   前記管理サーバは、前記端末装置と前記接続先コンピュータ基板間での前記暗号化通信路で使用するための暗号化鍵を生成し、
   前記管理サーバは、前記コンピュータ基板−管理サーバ間暗号化通信路を介して，前記接続先コンピュータ基板へ、前記端末装置からの接続要求と、生成した前記暗号化鍵を送信し、
   前記接続先コンピュータ基板は、前記管理サーバから受信した前記接続要求に対して、接続可否の判定と、当該判定結果を，前記コンピュータ基板−管理サーバ間暗号化通信路を介して，前記管理サーバへ送信し、
   前記管理サーバは、前記接続先コンピュータ基板から受信した前記判定結果と、当該判定結果が「接続可能」の旨を示す場合は、前記生成した暗号化鍵とを、前記端末装置−管理サーバ間暗号化通信路を介して，前記端末装置へ送信し、
   前記端末装置は、前記管理サーバから前記生成された暗号化鍵を受信して、前記端末装置−コンピュータ基板間暗号化通信路を確立する
   ことを特徴とする通信システム。
3. 請求項２に記載の通信システムであって、
   前記コンピュータ基板使用状況テーブルは、
   前記コンピュータ基板を識別するコンピュータ基板識別情報と、
   当該コンピュータ基板が使用中かどうかを示す使用状況と、
   当該コンピュータ基板の使用状況が「使用中」または「割り当て済み」の状態の場合は、使用している、または、割り当てられている前記端末装置を使用するユーザ情報と、を保持する
   ことを特徴とする通信システム。
4. 請求項１に記載の通信システムであって、
   前記端末装置と前記コンピュータ基板は，確立した前記端末装置−コンピュータ基板間暗号化通信路を終了させる場合に、
   前記端末装置が、前記端末装置−管理サーバ間暗号化通信路を介して，前記接続先コンピュータ基板のコンピュータ基板ID情報を記述した、前記端末装置−コンピュータ基板間暗号化通信路の終了要求を前記管理サーバへ送信し、
   前記管理サーバは、前記コンピュータ基板−管理サーバ間暗号化通信路を介して，受信した前記終了要求を、当該接続先コンピュータ基板へ送信し、
   前記接続先コンピュータ基板は、前記コンピュータ基板−管理サーバ間暗号化通信路を介して，前記管理サーバから受信した前記終了要求に対する終了応答を、前記管理サーバへ送信し、
   前記管理サーバは、前記端末装置−管理サーバ間暗号化通信路を介して，前記接続先コンピュータ基板から受信した前記終了応答を、前記端末装置へ送信し、
   前記端末装置と、前記接続先コンピュータ基板は、前記生成された暗号鍵を破棄することで、前記端末装置−コンピュータ基板間暗号化通信路を終了する端末装置−コンピュータ基板間暗号化通信路終了ステップを実行し、
   前記管理サーバは、前記前記端末装置−コンピュータ基板間暗号化通信路の終了後に，当該接続先コンピュータ基板に対して、電源切断を指示し、
   当該接続先コンピュータ基板は、前記管理サーバからの前記指示を受けて、前記電源切断を実施するコンピュータ基板電源切断ステップを実行する
   ことを特徴とする通信システム。
5. 請求項４に記載の通信システムに於いて，
   さらに，前記コンピュータ基板に読み込むデータが格納されているストレージ装置を備え、
   前記コンピュータ基板振り分けステップにおいて，
   前記管理サーバは、前記起動の指示として，前記選択した接続先コンピュータ基板に対して、電源投入と、前記端末装置が必要とする情報のストレージからの読み込みと，を指示し、
   前記接続先コンピュータ基板は、前記管理サーバから前記指示された起動において，電源投入と、前記ストレージ装置から，前記端末装置が必要とする情報読み込みを行う
   ことを特徴とする通信システム。
6. 請求項５に記載の通信システムに於いて，
   前記管理サーバは，前記コンピュータ基板電源切断ステップにおいて，当該接続先コンピュータ基板に対して、さらに，前記ストレージ装置への情報の書き戻しとを指示する
   ことを特徴とする通信システム。
7. 請求項２に記載の通信システムであって、
   前記管理サーバは，
   前記コンピュータ基板使用状況テーブルに，一つ以上の前記コンピュータ基板に，仮想コンピュータ基板IDを付与しておき
   前記コンピュータ基板振り分けステップにおいて、
   前記端末装置は、前記管理サーバに対して、前記コンピュータ基板使用状況テーブルに記載されているいずれかの仮想コンピュータ基板IDを接続先として指定する、仮想コンピュータ基板への接続要求を送信し
   前記管理サーバは、前記コンピュータ基板使用状況テーブルを参照して、当該仮想コンピュータ基板IDに対応しており、かつ、使用されていない前記コンピュータ基板を前記接続先コンピュータ基板として選択し、
   前記端末装置−コンピュータ基板間暗号化通信路確立ステップにおいて、
   前記管理サーバは、前記端末装置から受信した接続要求において指定される前記仮想コンピュータ基板IDを、起動した前記接続先コンピュータ基板が備えるコンピュータ基板IDに変換し，変換した前記コンピュータ基板IDを含む前記接続要求を前記コンピュータ基板へ送信する
   ことを特徴とする通信システム。
8. 請求項７に記載の通信システムであって、
   前記コンピュータ基板使用状況テーブルは、
   一つ以上の前記コンピュータ基板に対応する前記仮想コンピュータ基板IDと、
   前記仮想コンピュータ基板IDに対応する前記コンピュータ基板を識別するコンピュータ基板識別情報と、
   当該コンピュータ基板が使用中かどうかを示す使用状況と、
   当該コンピュータ基板の使用状況が「使用中」または「割り当て済み」の状態の場合は、使用している、または、割り当てられている前記端末装置のユーザ情報と、
   割り当てられ、起動した前記コンピュータ基板に読み込まれたコンピュータ基板IDを示す読み込み済みコンピュータ基板IDと、を保持する
   ことを特徴とする通信システム。
9. 請求項８に記載の通信システムであって、
   前記端末装置と前記コンピュータ基板は，確立した前記端末装置−コンピュータ基板間暗号化通信路を終了させる場合に、
   前記端末装置が、前記端末装置−管理サーバ間暗号化通信路を介して，前記コンピュータ基板の前記仮想コンピュータ基板ID情報を記述した、前記端末装置−コンピュータ基板間暗号化通信路の終了要求を管理サーバへ送信し、
   前記管理サーバが、前記コンピュータ基板使用状況テーブルを参照して、前記仮想コンピュータ基板ID及び前記端末装置が記載されている欄の前記読み込み済みコンピュータ基板IDを備える前記コンピュータ基板を、前記終了要求に対応する前記接続先コンピュータ基板として特定し、
   前記管理サーバは、前記コンピュータ基板−管理サーバ間暗号化通信路を介して，特定した前記仮想コンピュータ基板IDに対応するコンピュータ基板へ、前記終了要求を送信し、
   前記接続先コンピュータ基板は、前記コンピュータ基板−管理サーバ間暗号化通信路を介して，前記管理サーバから受信した前記終了要求に対する終了応答を、前記管理サーバへ送信し、
   前記管理サーバは、前記端末装置−管理サーバ間暗号化通信路を介して，前記接続先コンピュータ基板から受信した前記終了応答を、前記端末装置へ送信し、
   前記端末装置と、前記接続先コンピュータ基板は、前記生成された暗号鍵を破棄することで、前記端末装置−コンピュータ基板間暗号化通信路を終了する端末装置−コンピュータ基板間暗号化通信路終了ステップを実行し、
   前記管理サーバは、前記前記端末装置−コンピュータ基板間暗号化通信路の終了後に，当該接続先コンピュータ基板に対して、電源切断を指示し、
   当該接続先コンピュータ基板は、前記管理サーバからの前記指示を受けて、前記電源切断を実施するコンピュータ基板電源切断ステップを実行する
   ことを特徴とする通信システム。
10. 請求項１に記載の通信システムであって、
    証明書の検証を行う検証サーバを備え、
    前記管理サーバは、前記端末装置−管理サーバ間暗号化通信路の確立，および／または、前記コンピュータ基板−管理サーバ間暗号化確立ステップの、前記端末装置および／または前記コンピュータ基板の認証を行う際に、前記端末装置および／または前記コンピュータ基板の証明書検証を、前記検証サーバへ依頼し、
    前記検証サーバは、当該証明書の検証処理を実施した結果を、前記管理サーバへ応答し、
    前記管理サーバは、前記検証サーバから応答された検証結果が、成功だった場合に、当該端末装置および／または前記コンピュータ基板の認証に成功した，と判断する
    ことを特徴とする通信システム。
    

Images