[go: up one dir, main page]

WO2019064676A1 - 管理装置およびアクセス制御方法 - Google Patents

管理装置およびアクセス制御方法 Download PDF

Info

Publication number
WO2019064676A1
WO2019064676A1 PCT/JP2018/018521 JP2018018521W WO2019064676A1 WO 2019064676 A1 WO2019064676 A1 WO 2019064676A1 JP 2018018521 W JP2018018521 W JP 2018018521W WO 2019064676 A1 WO2019064676 A1 WO 2019064676A1
Authority
WO
WIPO (PCT)
Prior art keywords
slice
shared
subnets
design information
information
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Ceased
Application number
PCT/JP2018/018521
Other languages
English (en)
French (fr)
Inventor
宏司 坪内
榑林　亮介
アシック カーン
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
NTT Docomo Inc
Original Assignee
NTT Docomo Inc
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by NTT Docomo Inc filed Critical NTT Docomo Inc
Publication of WO2019064676A1 publication Critical patent/WO2019064676A1/ja
Anticipated expiration legal-status Critical
Ceased legal-status Critical Current

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/66—Arrangements for connecting between networks having differing types of switching systems, e.g. gateways
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/08—Access security
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W48/00—Access restriction; Network selection; Access point selection
    • H04W48/02—Access restriction performed under specific conditions
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W88/00—Devices specially adapted for wireless communication networks, e.g. terminals, base stations or access point devices
    • H04W88/18—Service support devices; Network management devices

Definitions

  • the present invention relates to a management device and an access control method.
  • Non-Patent Document 1 issued from 3rd Generation Partnership Project (3GPP)
  • 3GPP 3rd Generation Partnership Project
  • NVMN Next Generation Mobile Networks
  • one slice is configured by a plurality of slice subnets to provide a service
  • one slice subnet is divided into a plurality of slices.
  • a configuration for sharing by slices has also been proposed.
  • NFV Network Functions Virtualization
  • ETSI European Telecommunications Standards Institute
  • NF Network Function
  • Slice subnet 2 not shared by slice 1 and slice 2 has the same slice (slice 1) as slice subnet 2 Communication is enabled when a packet addressed to SAP (Service Access Point) of slice subnet 3 not configured is sent.
  • SAP Service Access Point
  • an NF belonging to slice subnet 3 not shared by slice 1 and slice 2 sends a packet destined to SAP of slice subnet 2 that does not constitute the same slice (slice 2) as slice subnet 3: Communication is possible.
  • a slice should be a logical network that can not be accessed from other slices, but as described above, NFs belonging to different slices can access each other, making it difficult to ensure slice security.
  • the present invention has been made to solve the above-described problems, and aims to secure slice security.
  • a management apparatus is a slice and a slice in a network so as to be able to communicate between slice subnets configuring the same slice based on a slice deployment request of a slice that is a virtual network on a network infrastructure.
  • a management apparatus for deploying a slice subnet constituting the design information storage unit storing design information indicating one or more slice subnets constituting the slice in association with identification information for identifying the design information; And whether to newly generate a slice subnet component based on the identification information of design information of the target slice included in the slice deployment request and the design information of the target slice or to use an existing slice subnet component
  • the target stored in the design information storage unit based on the instruction information of
  • a sharing determination unit that determines whether or not one or more slice subnets are shared by a plurality of slices using Rice design information, and the one or more slice subnets are shared by a plurality of slices by the sharing determination unit
  • the slice subnet determined to be shared is configured to be the same as the slice subnet determined to be shared, so as to be connected to the network via the access control apparatus.
  • an access control unit configured to input a setting that enables the access control apparatus to communicate only between slice subnets configuring the same slice.
  • the design information storage unit stores design information indicating one or more slice subnets constituting a slice in association with identification information for identifying the design information, and determines whether or not the sharing is performed. Whether the slice subnet component is newly generated or the existing slice subnet component is used based on identification information of design information of the target slice included in the slice deployment request and design information of the target slice It is determined whether or not one or more slice subnets are shared by a plurality of slices using the design information of the target slice stored in the design information storage unit based on the instruction information of When it is determined that one or more slice subnets are shared by a plurality of slices, the access control unit is determined to be shared.
  • the slice subnet that is determined not to be shared that constitutes the same slice as the slice subnet is changed to be connected to the network via the access control device, and the access control device only changes between the slice subnets that constitute the same slice. Enter the setting that enables communication.
  • slice subnets that are not shared (non-shared) can be communicated only between slice subnets that configure the same slice, communication with non-shared slice subnets that configure different slices is blocked, and slice security can be achieved. Can be secured.
  • slice security can be secured.
  • slices here, slices 1 and 2 are formed for each provided service, and among these, slice 1 is configured by slice subnets 1 and 2, and slice 2 Are configured by slice subnets 1 and 3, the slice subnet 1 is configured to be shared by slice 1 and slice 2.
  • Each slice subnet is configured to include one or more network functional units (hereinafter referred to as "NF") 60 suitable for the requirements for providing services corresponding to slices (slice requirements), and at the slice subnet boundary
  • the deployed NF 60 communicates with the outside of the slice subnet via a connection point (hereinafter referred to as "CP") 80.
  • CP connection point
  • the NW device 50 connects between slice subnets 1 and 2 and between slice subnets 1 and 3.
  • the communication system 1 is provided with a management apparatus 30 for performing the deployment of slices, slice subnets, NF and the like described above (including “newly generated” and “reuse of existing objects” in this case) and access control.
  • the non-shared slice subnet 2 is via the access control device (hereinafter also referred to as "AC") 40A, and the non-shared slice subnet 2 is via AC 40B, Each connection is changed to be connected to the network.
  • the management device 30 inputs settings for enabling communication between the slice subnets constituting the same slice to the ACs 40A and 40B (hereinafter collectively referred to as "AC 40").
  • NS Network Service
  • the communication system 1 includes a computing device 70, an NF 60, an AC 40, an NW device 50, and a management device 30, and the management device 30 is a computing device via the NW device 50. 70, NF 60, AC 40, and communication with the NW device 50.
  • the NF 60 is physically provided in a form that occupies a virtual NF (Virtual NF: hereinafter referred to as “vNF”) 60 v virtually generated in the computing device 70 and a device equivalent to the computing device 70.
  • NF Physical NF: hereinafter referred to as “pNF”
  • pNF Physical NF
  • AC 40 is physically provided in a form that occupies a virtual AC (Virtual AC: hereinafter referred to as “vAC”) 40 v virtually generated in the computing device 70 and a device equivalent to the computing device 70.
  • vAC Virtual AC
  • pAC Physical AC
  • the management apparatus 30 includes a deployment request receiving unit 31, a sharing determination unit 32, an NS deployment unit 33, an access control unit 34, an NS design information DB 35, a deployed NS instance information DB 36, and physical infrastructure information. It comprises DB37.
  • the outline of each functional unit will be described below. Details will be described along with the processing of FIGS. 5 to 7.
  • the deployment request receiving unit 31 is a functional unit that receives a slice deployment request.
  • the sharing determination unit 32 is a functional unit that determines whether one or more slice subnets are shared by a plurality of slices.
  • the NS deployment unit 33 is a functional unit that deploys a slice and a slice subnet that configures the slice based on a slice deployment request, and is accessible to the NF 60, the computing device 70, and the NW device 50 described above.
  • the NS deployment unit 33 accesses the NW device 50 in order to, for example, create / change the network configuration / setting.
  • the access control unit 34 when it is determined by the sharing determination unit 32 that one or more slice subnets are shared by a plurality of slices, the slice subnet determined to be non-shared is passed through the AC 40. It is a functional unit that performs control such as changing the connection so as to be connected to the network as well as setting the AC 40 to enable communication only between slice subnets configuring the same slice.
  • the access control unit 34 is made accessible to the computing device 70, the NW device 50, and the AC 40 described above.
  • the NS design information DB 35 is a database storing NS design information managed by the management device 30.
  • information of NS1 and NS2 constituting the NS10 is stored as design information (NS10 design information) related to the NS10
  • design information (NS1 design) related to the NS1 is stored in the NS10 design information.
  • Information) and design information (NS2 design information) related to NS2 are associated.
  • information of NS1 and NS3 constituting the NS20 is stored as design information (NS20 design information) related to the NS20, and the design information (NS1 design information) related to the NS1 and the NS3 related to the NS20 design information is stored.
  • Design information (NS3 design information) is associated.
  • the deployed NS instance information database 36 is a database storing information on deployed NS instances.
  • the physical infrastructure information DB 37 is a database storing information on physical network infrastructure.
  • FIGS. 5 to 7 various processing examples (processing examples according to the network configuration control method of the present invention) executed by the management apparatus 30 will be described using the flowcharts of FIGS. 5 to 7.
  • a process (FIG. 5) for blocking communication between non-shared NSs when sharing of the deployed NS occurs is described, and is deployed as the second process.
  • a process (FIG. 6) for blocking communication between non-shared NSs before sharing of NSs occurs will be described
  • shared / non-shared information (“shared discrimination information" in the claims)
  • the process (FIG. 7) will be described in which communication between non-shared NSs is blocked before sharing of deployed NSs occurs, based on the NS design information including the above.
  • the first process shown in FIG. 5 is triggered by, for example, the deployment request of the NS 10 from the administrator or the upper apparatus to the management apparatus 30 as a trigger. It is assumed that the NS10 design information and the NS20 design information are stored in advance in the NS design information DB 35 of the management apparatus 30. As shown in FIG. 4, the NS10 design information indicates that the NS10 is configured by NS1 and NS2, and the NS20 design information indicates that the NS20 is configured by NS1 and NS3.
  • the above deployment request includes an instruction to newly create an NS instance based on the NS design information or to use an existing NS instance. However, the NS design information in the first process does not include shared / non-shared information.
  • step S1 the management device 30 receives an NS deployment request, and in the next step S2, determines whether the deployment request includes an instruction to divert an existing NS instance.
  • the process proceeds to step S3, and the management device 30 generates the above new Deploy an NS by creating a new NS instance based on the instructions.
  • step S1 when a deployment request of NS 10 including an instruction to newly generate instances of NS1 and NS2 is received, it is determined that the instruction to divert an existing NS instance is not included in step S2, and the process proceeds to step S3.
  • the management device 30 deploys the NS 10 by newly creating the NS1_instance1 as the NS1 and the NS2_instance1 as the NS2 based on the instruction to newly create the instances of the NS1 and the NS2 and connecting them to the NW device 50.
  • step S2 determines whether an instruction to divert the existing NS instance is included. If it is determined in step S2 that an instruction to divert the existing NS instance is included, the process proceeds to step S4, and the management device 30 uses the existing instance of the NS instance / new based on the deployment request including the instruction to divert. Deploy NS by performing generation. For example, if it is determined in step S1 that an NS20 deployment request including an instruction to divert NS1_instance1 and newly generate NS3 is received, it is determined in step S2 that an instruction to divert an existing NS instance is included, and the process proceeds to step S4.
  • the management device 30 recognizes that the NS1 is shared between the NS 20 and another NS (here, the NS 10), since there is an instruction to divert the NS 1 _ instance 1 related to the NS 1 among the components of the NS 20, and the NS 1 _ instance 1 Based on the instruction to newly generate the NS3, the existing NS1_instance1 is used as the shared NS1, and the NS20 is deployed by newly generating the NS3_instance1 as the NS3.
  • the management device 30 connects the NS instance related to the non-shared (newly generated) NS to the NW device 50 via the AC 40, and the setting that only the NS belonging to the same slice can communicate is said AC 40
  • the management device 30 connects the NS3_instance1 related to the non-shared NS3 among the components of the NS20 to the NW device 50 via AC 40B, and configures only the NS1 and NS3 constituting the same slice (NS20) Inputs settings that can communicate with the AC 40B.
  • the management device 30 searches for the NS instance connected to the existing diverted NS instance, and connects the NS instance obtained by the search to the NW device 50 via the AC 40 in the next step S7.
  • the setting is changed so that only NSs belonging to the same slice can communicate to the AC 40.
  • the management device 30 refers to the deployed NS instance information DB 36, searches for an NS instance connected to the NS1_instance1 related to the shared NS1, and obtains an NS instance obtained by the search. (Here, NS2_instance1) is connected to the NW apparatus 50 via the AC 40A, and a setting that allows only the NS1 and NS2 constituting the same slice (NS10) to communicate is input to the AC 40A.
  • non-shared NSs 2 and 3 are among slice subnets that configure the same slice. Communication is enabled (ie, only between NS2-NS1 and only between NS3-NS1), and communication with non-shared slice subnets constituting different slices (ie, between NS2-NS3) is blocked, and Security can be secured.
  • step S5 in the first process (FIG. 5) and the processes of steps S6 and S7 may be performed in the reverse order or may be performed concurrently.
  • FIG. 6 a process (FIG. 6) will be described in which communication between non-shared NSs is blocked before shared NSs to be deployed occur.
  • the second process illustrated in FIG. 6 is triggered by, for example, the deployment request of the NS 10 from the administrator or the upper apparatus to the management apparatus 30 as a trigger. It is assumed that the NS10 design information and the NS20 design information are stored in advance in the NS design information DB 35 of the management apparatus 30. As shown in FIG. 4, the NS10 design information indicates that the NS10 is configured by NS1 and NS2, and the NS20 design information indicates that the NS20 is configured by NS1 and NS3.
  • the above deployment request includes an instruction to newly create an NS instance based on the NS design information or to use an existing NS instance. Also, the NS design information in the second process does not include shared / non-shared information.
  • step S11 the management apparatus 30 receives an NS deployment request, and in the next step S12, determines whether or not the deployment request includes an instruction to divert an existing NS instance.
  • the process proceeds to step S13, and the management device 30 requests the above deployment request.
  • the NS instance of the target NS is another NS based on the design information of the previously stored target NS linked from the identification information of the design information of the target NS included in and the other NS design information stored in advance.
  • step S14 the management device 30 newly generates an NS instance based on the instruction to generate a new one. Deploy NS and then finish the process.
  • step S13 if it is determined in step S13 that the NS instance of the target NS is shared with other NSs, the process proceeds to step S15, and the management device 30 newly creates an NS instance based on the new creation instruction. The generation is performed to deploy the NS, and then the process proceeds to step S17.
  • step S17 the management device 30 connects an NS instance relating to an unshared NS to the NW device 50 via the AC 40, and inputs to the AC 40 a setting that allows only the NS belonging to the same slice to communicate.
  • step S11 if it is determined in step S11 that a deployment request for NS10 including an instruction to newly generate instances of NS1 and NS2 is received, it is determined in step S12 that an instruction to divert an existing NS instance is not included, and the process proceeds to step S13.
  • the management device 30 may use the pre-stored design information of the NS 10 linked from the identification information of the design information of the target NS (NS 10) included in the deployment request and the design information of other NS stored in advance. Based on this, it is determined whether the component of the NS 10 is shared with other NS.
  • step S15 the management device 30 instructs to newly create an instance of NS1 and NS2.
  • the NS 10 is deployed by newly creating an NS 1 _ instance 1 as the NS 1 and an NS 2 _ instance 1 as the NS 2 and connecting them to the NW device 50.
  • step S17 the management device 30 connects the NS2_instance1 related to the non-shared NS2 among the components of the NS10 to the NW device 50 via the AC 40A, and only the NS1 and NS2 constituting the same slice (NS10) communicate Load the setting that can be done to AC40A.
  • step S12 If it is determined in step S12 that an instruction to divert an existing NS instance is included, the process proceeds to step S16, and the management device 30 uses the existing or new NS instance based on the deployment request including the instruction to divert.
  • the NS is deployed, and in step S17 described above, the configuration is such that only the NS belonging to the same slice can communicate by connecting the NS instance related to the non-shared NS via the AC 40 to the NW device 50.
  • step S11 it is determined in step S11 that an NS20 deployment request including an instruction to divert NS1_instance1 and newly generate NS3 is received, it is determined that an instruction to divert an existing NS instance is included in step S12, and the process proceeds to step S16.
  • the management device 30 recognizes that the NS1 is shared between the NS 20 and another NS (here, the NS 10), since there is an instruction to divert the NS 1 _ instance 1 related to the NS 1 among the components of the NS 20, and the NS 1 _ instance 1 Based on the instruction to newly generate the NS3, the existing NS1_instance1 is used as the shared NS1, and the NS20 is deployed by newly generating the NS3_instance1 as the NS3. Furthermore, in step S17, the management device 30 connects NS3_instance1 related to non-shared NS3 among the components of NS20 to the NW device 50 via AC 40B, and only NS1 and NS3 that configure the same slice (NS20) can communicate. Load the setting into AC40B.
  • non-shared NSs 2 and 3 are only between slice subnets that configure the same slice. (Ie, only between NS2 and NS1, only between NS3 and NS1), communication between non-shared slice subnets constituting different slices (ie, between NS2 and NS3) is blocked, and slice security Can be secured.
  • the third process shown in FIG. 7 is triggered by, for example, the deployment request of the NS 10 from the administrator or the upper apparatus to the management apparatus 30 as a trigger. It is assumed that the NS10 design information and the NS20 design information are stored in advance in the NS design information DB 35 of the management apparatus 30. As shown in FIG. 8A, the NS10 design information indicates that the NS10 is configured by NS1 and NS2, and the NS20 design information indicates that the NS20 is configured by NS1 and NS3.
  • the NS10 design information indicates that the NS10 is configured by the NS1 and the NS2, and the NS1 design information and the NS2 design information associated with the NS10 design information include shared / non-shared information, and the management apparatus 30 , NS10 design information can be referred to shared / non-shared information.
  • shared / non-shared information indicating “shared” is included in the NS 1 design information.
  • the above deployment request includes an instruction to newly create an NS instance based on the NS design information or to use an existing NS instance.
  • the configuration of the design information including the shared / non-shared information is not limited to the configuration example of FIG. 8A, and for example, the configuration of FIG. 8B may be adopted.
  • the NS10 design information indicates that the NS10 is configured by the NS1 and the NS2, and the NS10 design information indicates shared / non-shared information indicating “NS1 is shared”. It is included.
  • the NS20 design information also includes shared / non-shared information indicating “NS1 is shared”.
  • step S21 the management apparatus 30 receives an NS deployment request, and in the next step S22, determines whether or not the deployment request includes an instruction to divert an existing NS instance.
  • the process proceeds to step S23, and the management device 30 requests the above deployment request.
  • the design information of the target NS stored in advance is acquired from the identification information of the design information of the target NS included in, and the NS instance of the target NS is based on the shared / non-shared information included in the design information of the target NS. It is determined whether it is shared with other NSs.
  • step S24 the management device 30 newly generates an NS instance based on the instruction to generate a new one. Deploy NS and then finish the process.
  • step S23 if it is determined in step S23 that the NS instance of the target NS is shared with other NSs, the process proceeds to step S25, and the management device 30 newly creates an NS instance based on the new creation instruction. The generation is performed to deploy the NS, and then the process proceeds to step S27.
  • step S27 the management device 30 connects an NS instance relating to an unshared NS to the NW device 50 via the AC 40, and inputs to the AC 40 a setting that allows only the NS belonging to the same slice to communicate.
  • step S21 if it is determined in step S21 that a deployment request for NS10 including an instruction to newly generate instances of NS1 and NS2 is received, it is determined in step S22 that an instruction to divert an existing NS instance is not included, and the process proceeds to step S23.
  • the management device 30 acquires the design information of the target NS (NS10) stored in advance from the identification information of the design information of the target NS (NS10) included in the deployment request, and includes the design information of the target NS. Based on the shared / non-shared information, it is determined whether a component of the NS 10 is shared with another NS.
  • the process proceeds to step S25, and the management device 30 newly generates NS1_instance1 as NS1 and NS2_instance1 as NS2 based on the instruction to newly generate the instances of NS1 and NS2, and connects them to the NW device 50, respectively. Deploy the NS10.
  • step S27 the management device 30 connects the NS2_instance1 related to the non-shared NS2 among the components of the NS10 to the NW device 50 via the AC 40A, and only the NS1 and NS2 constituting the same slice (NS10) communicate Load the setting that can be done to AC40A.
  • step S22 If it is determined in step S22 that an instruction to divert an existing NS instance is included, the process proceeds to step S26, and the management device 30 uses the existing or new NS instance based on the deployment request including the instruction to divert.
  • the NS is deployed, and in step S27 described above, the configuration is such that only the NS belonging to the same slice can communicate by connecting the NS instance related to the non-shared NS via the AC 40 to the NW device 50.
  • step S21 that an NS20 deployment request including an instruction to divert NS1_instance1 and newly generate NS3 is received
  • step S22 it is determined in step S22 that an instruction to divert an existing NS instance is included, and the process proceeds to step S26.
  • the management device 30 recognizes that the NS1 is shared between the NS 20 and another NS (here, the NS 10), since there is an instruction to divert the NS 1 _ instance 1 related to the NS 1 among the components of the NS 20, and the NS 1 _ instance 1 Based on the instruction to newly generate the NS3, the existing NS1_instance1 is used as the shared NS1, and the NS20 is deployed by newly generating the NS3_instance1 as the NS3.
  • step S27 the management device 30 connects the NS3_instance1 related to the non-shared NS3 among the components of the NS20 to the NW device 50 via the AC 40B, and only the NS1 and NS3 constituting the same slice (NS20) can communicate. Load the setting into AC40B.
  • Non-shared by the above third process processing to shut off communication between non-shared NS before sharing of deployed NS occurs based on NS design information including shared / non-shared information
  • NS2 and NS3 can communicate only between slice subnets constituting the same slice (that is, only between NS2-NS1 and only between NS3-NS1), and between non-shared slice subnets that constitute different slices (that is, , Between NS2 and NS3), and slice security can be secured.
  • FIG. 1 shows an example in which the access control device 40 is configured of a plurality of devices 40A and 40B, the access control device 40 may be configured of a single device. Further, the access control device 40 may be included in the NW device 50.
  • each functional block may be realized by one physically and / or logically coupled device, or directly and / or indirectly two or more physically and / or logically separated devices. It may be connected by (for example, wired and / or wireless) and realized by the plurality of devices.
  • the management device 30 in the above embodiment may function as a computer that performs the processing of the management device 30 described above.
  • FIG. 9 is a diagram showing an example of the hardware configuration of the management device 30.
  • the above-described management device 30 may be physically configured as a computer device including a processor 1001, a memory 1002, a storage 1003, a communication device 1004, an input device 1005, an output device 1006, a bus 1007 and the like.
  • the term “device” can be read as a circuit, a device, a unit, or the like.
  • the hardware configuration of the management device 30 may be configured to include one or more of the devices illustrated in the figure, or may be configured without including some devices.
  • Each function in the management device 30 causes the processor 1001 to perform an operation by reading predetermined software (program) on hardware such as the processor 1001, the memory 1002, and the communication by the communication device 1004, the memory 1002, and the storage 1003. It is realized by controlling reading and / or writing of data.
  • predetermined software program
  • the processor 1001 operates, for example, an operating system to control the entire computer.
  • the processor 1001 may be configured by a central processing unit (CPU: Central Processing Unit) including an interface with a peripheral device, a control device, an arithmetic device, a register, and the like.
  • CPU Central Processing Unit
  • each functional unit of the management device 30 may be realized including the processor 1001.
  • the processor 1001 also reads a program (program code), a software module, data, and the like from the storage 1003 and / or the communication device 1004 to the memory 1002, and executes various processing according to these.
  • a program a program that causes a computer to execute at least a part of the operations described in the above embodiments is used.
  • each functional unit of the management apparatus 30 may be realized by a control program stored in the memory 1002 and operated by the processor 1001, or may be realized similarly for other functional blocks.
  • the various processes described above have been described to be executed by one processor 1001, but may be executed simultaneously or sequentially by two or more processors 1001.
  • the processor 1001 may be implemented by one or more chips.
  • the program may be transmitted from the network via a telecommunication line.
  • the memory 1002 is a computer readable recording medium, and includes, for example, at least one of a ROM (Read Only Memory), an EPROM (Erasable Programmable ROM), an EEPROM (Electrically Erasable Programmable ROM), and a RAM (Random Access Memory). It may be done.
  • the memory 1002 may be called a register, a cache, a main memory (main storage device) or the like.
  • the memory 1002 may store a program (program code), a software module, etc. that can be executed to implement the method according to an embodiment of the present invention.
  • the storage 1003 is a computer readable recording medium, and for example, an optical disc such as a CD-ROM (Compact Disc ROM), a hard disc drive, a flexible disc, a magneto-optical disc (eg, a compact disc, a digital versatile disc, a Blu-ray A (registered trademark) disk, a smart card, a flash memory (for example, a card, a stick, a key drive), a floppy (registered trademark) disk, a magnetic strip, and the like may be used.
  • the storage 1003 may be called an auxiliary storage device.
  • the above-mentioned storage medium may be, for example, a database including the memory 1002 and / or the storage 1003, a server or any other suitable medium.
  • the communication device 1004 is hardware (transmission / reception device) for performing communication between computers via a wired and / or wireless network, and is also called, for example, a network device, a network controller, a network card, a communication module, or the like.
  • a network device for example, a network controller, a network card, a communication module, or the like.
  • each functional unit of the above-described management device 30 may be realized including the communication device 1004.
  • the input device 1005 is an input device (for example, a keyboard, a mouse, a microphone, a switch, a button, a sensor, and the like) that receives an input from the outside.
  • the output device 1006 is an output device (for example, a display, a speaker, an LED lamp, etc.) that performs output to the outside.
  • the input device 1005 and the output device 1006 may be integrated (for example, a touch panel).
  • each device such as the processor 1001 and the memory 1002 is connected by a bus 1007 for communicating information.
  • the bus 1007 may be configured by a single bus or may be configured by different buses among the devices.
  • the management device 30 includes hardware such as a microprocessor, a digital signal processor (DSP), an application specific integrated circuit (ASIC), a programmable logic device (PLD), and a field programmable gate array (FPGA). It may be configured, and part or all of each functional block may be realized by the hardware. For example, processor 1001 may be implemented in at least one of these hardware.
  • the configuration other than the management device 30 illustrated in FIG. 1 may have the same configuration as that of the communication terminal.
  • the input / output information may be stored in a specific place (for example, a memory), or may be managed by a management table. Information to be input or output may be overwritten, updated or added. The output information may be deleted. The input information or the like may be transmitted to another device.
  • the determination may be performed by a value (0 or 1) represented by one bit, may be performed by a boolean value (Boolean: true or false), or may be compared with a numerical value (for example, a predetermined value). Comparison with the value).
  • notification of predetermined information is not limited to what is explicitly performed, but is performed by implicit (for example, not notifying of the predetermined information) It is also good.
  • Software may be called software, firmware, middleware, microcode, hardware description language, or any other name, and may be instructions, instruction sets, codes, code segments, program codes, programs, subprograms, software modules. Should be interpreted broadly to mean applications, software applications, software packages, routines, subroutines, objects, executables, threads of execution, procedures, functions, etc.
  • software, instructions, etc. may be sent and received via a transmission medium.
  • software may use a wireline technology such as coaxial cable, fiber optic cable, twisted pair and digital subscriber line (DSL) and / or a website, server or other using wireless technology such as infrared, radio and microwave When transmitted from a remote source, these wired and / or wireless technologies are included within the definition of transmission medium.
  • wireline technology such as coaxial cable, fiber optic cable, twisted pair and digital subscriber line (DSL) and / or a website, server or other using wireless technology such as infrared, radio and microwave
  • data, instructions, commands, information, signals, bits, symbols, chips etc may be voltage, current, electromagnetic waves, magnetic fields or particles, optical fields or photons, or any of these May be represented by a combination of
  • information, parameters, and the like described in the present specification may be represented by absolute values, may be represented by relative values from predetermined values, or may be represented by corresponding other information. .
  • Mobile communication terminals may be subscriber stations, mobile units, subscriber units, wireless units, remote units, mobile devices, wireless devices, wireless communication devices, remote devices, mobile subscriber stations, access terminals, mobile terminals, by those skilled in the art. It may also be called a wireless terminal, a remote terminal, a handset, a user agent, a mobile client, a client, or some other suitable term.
  • determining may encompass a wide variety of operations.
  • “Judgment”, “decision” are, for example, judging, calculating, calculating, processing, processing, deriving, investigating, looking up (for example, a table) (Searching in a database or another data structure), ascertaining may be regarded as “decision”, “decision”, etc.
  • “determination” and “determination” are receiving (e.g. receiving information), transmitting (e.g. transmitting information), input (input), output (output), access (accessing) (for example, accessing data in a memory) may be regarded as “judged” or “decided”.
  • the phrase “based on” does not mean “based only on,” unless expressly stated otherwise. In other words, the phrase “based on” means both “based only on” and “based at least on.”

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Security & Cryptography (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Mobile Radio Communication Systems (AREA)

Abstract

同じスライスを構成するスライスサブネット間で通信可能となるよう、スライスおよびスライスサブネットを配備する管理装置(30)は、スライスを構成する１つ以上のスライスサブネットを示す設計情報を予め記憶し、スライスサブネット構成要素を新規生成するか流用するかの指示情報に基づき、対象スライスの設計情報を用いて、１つ以上のスライスサブネットが複数のスライスにより共有されるか否かを判断する共有判断部と、共有されると判断されたスライスサブネット（NS1）と同じスライスを構成する非共有のスライスサブネット（NS2、NS3）を、アクセス制御装置(40)経由でネットワークに接続されるよう接続変更するとともに、アクセス制御装置(40)に、同じスライスを構成するスライスサブネット間のみで通信可能とする設定を投入するアクセス制御部と、を備える。

Description

管理装置およびアクセス制御方法
　本発明は、管理装置およびアクセス制御方法に関する。
　３ＧＰＰ（3rd　Generation　Partnership　Project）から発行された非特許文献１では、システムを論理的なネットワーク（スライス）に分割し、サービスごとにスライスを割り当てることが考えられている。また、Next　Generation　Mobile　Networks（NGMN）　Allianceから発行された非特許文献２では、１つのスライスを複数のスライスサブネットで構成し、サービスを提供することが提案されており、１つのスライスサブネットを複数のスライスで共有する構成も提案されている。さらに、従来より、ETSI（European　Telecommunications　Standards　Institute）のNFV（Network　Functions　Virtualization）方式におけるNetwork　Serviceによりリソース層を構成する技術が提案されているが、ここでのNetwork　Serviceを上記のスライスサブネットとして利用することが考えられる。
３ＧＰＰ　ＴＳ２３．５０１ "Description　of　Network　Slicing　Concept"、NGMN　Alliance、2016年1月13日発行
　図１０に示すように、スライス１をスライスサブネット１および２により構成し、スライス２をスライスサブネット１および３により構成することで、スライスサブネット１をスライス１とスライス２とで共有する構成を想定した場合、単一のスライスにおけるスライスサブネット間を接続するため、スライスサブネット１と２の間、および、スライスサブネット１と３の間はそれぞれ、例えばＬ２装置（スイッチ）、Ｌ３装置（ルータ）等のネットワーク装置（以下では「ＮＷ装置」という）により接続される。
　しかし、このような構成で、スライス１とスライス２とで共有されていないスライスサブネット２に属するネットワーク機能（Network　Function、以下「NF」と称する）が、スライスサブネット２と同じスライス（スライス１）を構成しないスライスサブネット３のSAP（Service　Access　Point）を宛先としたパケットを送出した場合、通信が可能となる。同様に、スライス１とスライス２とで共有されていないスライスサブネット３に属するNFが、スライスサブネット３と同じスライス（スライス２）を構成しないスライスサブネット２のSAPを宛先としたパケットを送出した場合、通信が可能となる。
　本来、スライスは他のスライスからアクセスできない論理ネットワークであるべきところ、上記のように異なるスライスに属するNF同士が互いにアクセスできてしまい、スライスのセキュリティを確保することが困難であった。
　本発明は、上記課題を解決するために成されたものであり、スライスのセキュリティを確保することを目的とする。
　本発明の一実施形態に係る管理装置は、ネットワークインフラ上の仮想ネットワークであるスライスのスライス配備要求に基づいて、同じスライスを構成するスライスサブネット間で通信可能となるよう、ネットワークにスライスおよび該スライスを構成するスライスサブネットを配備する管理装置であって、スライスを構成する１つ以上のスライスサブネットを示す設計情報を、該設計情報を識別するための識別情報に対応付けて記憶した設計情報記憶部と、前記スライス配備要求に含まれた、対象スライスの設計情報の識別情報、および、該対象スライスの設計情報を基にスライスサブネット構成要素を新規生成するか既存のスライスサブネット構成要素を流用するかの指示情報に基づいて、前記設計情報記憶部に記憶された前記対象スライスの設計情報を用いて、１つ以上のスライスサブネットが複数のスライスにより共有されるか否かを判断する共有判断部と、前記共有判断部により１つ以上のスライスサブネットが複数のスライスにより共有されると判断された場合に、共有されると判断されたスライスサブネットと同じスライスを構成する共有されないと判断されたスライスサブネットを、アクセス制御装置経由で前記ネットワークに接続されるよう接続変更するとともに、前記アクセス制御装置に、同じスライスを構成するスライスサブネット間のみで通信可能とする設定を投入するアクセス制御部と、を備える。
　このような管理装置では、設計情報記憶部が、スライスを構成する１つ以上のスライスサブネットを示す設計情報を、該設計情報を識別するための識別情報に対応付けて記憶しており、共有判断部が、スライス配備要求に含まれた、対象スライスの設計情報の識別情報、および、該対象スライスの設計情報を基にスライスサブネット構成要素を新規生成するか既存のスライスサブネット構成要素を流用するかの指示情報に基づいて、上記設計情報記憶部に記憶された前記対象スライスの設計情報を用いて、１つ以上のスライスサブネットが複数のスライスにより共有されるか否かを判断し、共有判断部により１つ以上のスライスサブネットが複数のスライスにより共有されると判断された場合に、アクセス制御部が、共有されると判断されたスライスサブネットと同じスライスを構成する共有されないと判断されたスライスサブネットを、アクセス制御装置経由でネットワークに接続されるよう接続変更するとともに、上記アクセス制御装置に、同じスライスを構成するスライスサブネット間のみで通信可能とする設定を投入する。これにより、共有されない（非共有の）スライスサブネットは、同じスライスを構成するスライスサブネット間のみで通信可能となり、異なるスライスを構成する非共有のスライスサブネットとの間の通信が遮断され、スライスのセキュリティを確保することができる。
　本発明によれば、スライスのセキュリティを確保することができる。
発明の実施形態に係る通信システムの論理構成を示す図である。 発明の実施形態に係る通信システムの物理構成を示す図である。 管理装置の機能ブロック構成図である。 管理装置に記憶されたＮＳ設計情報の一例を示す図である。 第１の処理例を示すフロー図である。 第２の処理例を示すフロー図である。 第３の処理例を示すフロー図である。 （ａ）および（ｂ）は、共有／非共有情報を含むＮＳ設計情報の例を示す図である。 管理装置のハードウェア構成の一例を示す図である。 １つのスライスサブネットを複数のスライスで共有する構成例を示す図である。
　以下、図面を参照しながら、本発明に係る実施形態を説明する。まず、図１および図２を参照して、本発明に係る管理装置が含まれる通信システム１の論理構成および物理構成を説明する。
　図１に示すように、論理構成として通信システム１では、提供されるサービスごとにスライス（ここではスライス１、２）が形成され、このうちスライス１をスライスサブネット１および２により構成し、スライス２をスライスサブネット１および３により構成することで、スライスサブネット１をスライス１とスライス２とで共有する構成とされている。各スライスサブネットは、スライスに対応したサービスを提供するための要件（スライスの要件）に適した１つ以上のネットワーク機能部（以下「ＮＦ」という）６０を含んで構成され、スライスサブネットの境界に配備されたＮＦ６０は、接続点（Connection　Point：以下「ＣＰ」という）８０を介して該スライスサブネットの外部と通信する。また、１つのスライスにおけるスライスサブネット間を接続するため、スライスサブネット１と２の間、および、スライスサブネット１と３の間は、ＮＷ装置５０により接続されている。
　また、通信システム１には、上述したスライス、スライスサブネット、ＮＦ等の配備（本件では「新規生成」および「既存物の流用」を含む）およびアクセス制御を行う管理装置３０が設けられ、詳細は後述するが、管理装置３０により実行される処理により、非共有のスライスサブネット２はアクセス制御装置（Access　Controller：以下「ＡＣ」ともいう）４０Ａ経由で、非共有のスライスサブネット２はＡＣ４０Ｂ経由で、それぞれネットワークに接続されるよう接続変更される。さらに、管理装置３０は、ＡＣ４０Ａ、４０Ｂ（以下「ＡＣ４０」と総称する）に、同じスライスを構成するスライスサブネット間のみで通信可能とする設定を投入する。
　なお、以下では、ETSIのNFV方式におけるNetwork　Service（以下「ＮＳ」と称する）を用いた呼称を用いるものとし、スライスサブネット１～３それぞれについては、ＮＳ１～３と称し、スライス１についてはＮＳ１０と称し、スライス２についてはＮＳ２０と称する。
　図２に示すように、物理構成として通信システム１は、計算装置７０、ＮＦ６０、ＡＣ４０、ＮＷ装置５０、および管理装置３０を含んで構成され、管理装置３０は、ＮＷ装置５０経由で、計算装置７０、ＮＦ６０、ＡＣ４０、ＮＷ装置５０との間で通信を行う。また、ＮＦ６０は、計算装置７０において仮想的に生成された仮想的なＮＦ（Virtual　NF：以下「ｖＮＦ」という）６０ｖ、および、計算装置７０相当の装置を占有する形式で設けられた物理的なＮＦ（Physical　NF：以下「ｐＮＦ」という）６０ｐのいずれか又は両方の態様で構成される。同様に、ＡＣ４０は、計算装置７０において仮想的に生成された仮想的なＡＣ（Virtual　AC：以下「ｖＡＣ」という）４０ｖ、および、計算装置７０相当の装置を占有する形式で設けられた物理的なＡＣ（Physical　AC：以下「ｐＡＣ」という）４０ｐのいずれか又は両方の態様で構成される。
　次に、図３を用いて、管理装置３０の機能ブロック構成を説明する。図３に示すように、管理装置３０は、配備要求受付部３１、共有判断部３２、ＮＳ配備部３３、アクセス制御部３４、ＮＳ設計情報ＤＢ３５、配備済みＮＳインスタンス情報ＤＢ３６、および、物理インフラ情報ＤＢ３７を含んで構成される。以下、各機能部の概要を説明する。詳細は、図５～図７の処理とともに説明する。
　配備要求受付部３１は、スライス配備要求を受け付ける機能部である。
　共有判断部３２は、１つ以上のスライスサブネットが複数のスライスにより共有されるか否かを判断する機能部である。
　ＮＳ配備部３３は、スライス配備要求に基づいてスライスおよび該スライスを構成するスライスサブネットを配備する機能部であり、前述したＮＦ６０、計算装置７０、ＮＷ装置５０にアクセス可能とされている。ＮＳ配備部３３は、例えばネットワーク構成・設定を生成・変更等するためにＮＷ装置５０にアクセスする。
　アクセス制御部３４は、詳細は後述するが、共有判断部３２により１つ以上のスライスサブネットが複数のスライスにより共有されると判断された場合に、非共有と判断されたスライスサブネットを、ＡＣ４０経由でネットワークに接続されるよう接続変更するとともに、上記ＡＣ４０に、同じスライスを構成するスライスサブネット間のみで通信可能とする設定を投入する、といった制御を行う機能部である。アクセス制御部３４は、前述した計算装置７０、ＮＷ装置５０、ＡＣ４０にアクセス可能とされている。
　ＮＳ設計情報ＤＢ３５は、管理装置３０において管理されるＮＳ設計情報を記憶したデータベースである。例えば、図４に示すように、ＮＳ１０に係る設計情報（ＮＳ１０設計情報）として、該ＮＳ１０を構成するＮＳ１、ＮＳ２の情報が記憶され、該ＮＳ１０設計情報には、ＮＳ１に係る設計情報（ＮＳ１設計情報）およびＮＳ２に係る設計情報（ＮＳ２設計情報）が関連付けられている。同様に、ＮＳ２０に係る設計情報（ＮＳ２０設計情報）として、該ＮＳ２０を構成するＮＳ１、ＮＳ３の情報が記憶され、該ＮＳ２０設計情報には、ＮＳ１に係る設計情報（ＮＳ１設計情報）およびＮＳ３に係る設計情報（ＮＳ３設計情報）が関連付けられている。
　配備済みＮＳインスタンス情報ＤＢ３６は、配備済みのＮＳインスタンスに関する情報を記憶したデータベースである。
　物理インフラ情報ＤＢ３７は、物理的なネットワークインフラに関する情報を記憶したデータベースである。
　以下、図５～図７のフロー図を用いて、管理装置３０により実行される各種の処理例（本発明のネットワーク構成制御方法に係る処理例）を説明する。以下では、第１の処理として、配備されるＮＳの共有が生じた時点で非共有ＮＳ間の通信を遮断する構成とする処理（図５）を説明し、第２の処理として、配備されるＮＳの共有が生じる前に非共有ＮＳ間の通信を遮断する構成とする処理（図６）を説明し、第３の処理として、共有／非共有情報（特許請求の範囲における「共有判別情報」に相当）を含んだＮＳ設計情報に基づいて、配備されるＮＳの共有が生じる前に非共有ＮＳ間の通信を遮断する構成とする処理（図７）を説明する。
　図５に示す第１の処理は、例えば、管理者又は上位装置から管理装置３０に対し、ＮＳ１０の配備要求がされたことをトリガーとして開始される。ＮＳ１０設計情報、およびＮＳ２０設計情報は事前に管理装置３０のＮＳ設計情報ＤＢ３５に記憶されているものとする。図４に示すようにＮＳ１０設計情報は、該ＮＳ１０がＮＳ１およびＮＳ２により構成され、ＮＳ２０設計情報は、該ＮＳ２０がＮＳ１およびＮＳ３により構成されることを示す。上記の配備要求には、ＮＳ設計情報を基にＮＳインスタンスを新規生成するか、既存のＮＳインスタンスを流用するかの指示が含まれる。但し、第１の処理におけるＮＳ設計情報は共有／非共有情報を含まない。
　ステップＳ１において、管理装置３０は、ＮＳの配備要求を受け付け、次のステップＳ２において、該配備要求に、既存のＮＳインスタンスを流用する指示が含まれるか否かを判断する。ここで、既存のＮＳインスタンスを流用する指示が含まれないと判断された場合（即ち、ＮＳインスタンスを新規生成する指示のみが含まれる場合）、ステップＳ３へ進み、管理装置３０は、上記新規生成する指示に基づきＮＳインスタンスを新規生成することでＮＳを配備する。例えば、ステップＳ１で、ＮＳ１およびＮＳ２のインスタンスを新規生成する指示を含むＮＳ１０の配備要求を受け付けた場合、ステップＳ２では既存のＮＳインスタンスを流用する指示が含まれないと判断され、ステップＳ３へ進み、管理装置３０は、上記ＮＳ１およびＮＳ２のインスタンスを新規生成する指示に基づき、ＮＳ１としてNS1_instance1を、ＮＳ２としてNS2_instance1を、それぞれ新規生成してＮＷ装置５０に接続することで、ＮＳ１０を配備する。
　一方、ステップＳ２において、既存のＮＳインスタンスを流用する指示が含まれると判断された場合、ステップＳ４へ進み、管理装置３０は、上記流用する指示を含む配備要求に基づきＮＳインスタンスの既存流用・新規生成を行うことでＮＳを配備する。例えば、ステップＳ１で、NS1_instance1を流用しＮＳ３を新規生成する指示を含むＮＳ２０の配備要求を受け付けた場合、ステップＳ２では既存のＮＳインスタンスを流用する指示が含まれると判断され、ステップＳ４へ進み、管理装置３０は、ＮＳ２０の構成要素のうちＮＳ１に係るNS1_instance1を流用する指示があるため、ＮＳ１がＮＳ２０と他のＮＳ（ここではＮＳ１０）との間で共有されることを認識し、上記NS1_instance1を流用しＮＳ３を新規生成する指示に基づき、共有されるＮＳ１として既存のNS1_instance1を流用し、ＮＳ３としてNS3_instance1を新規生成することで、ＮＳ２０を配備する。
　次のステップＳ５では、管理装置３０は、共有されていない（新規生成した）ＮＳに係るＮＳインスタンスをＡＣ４０経由でＮＷ装置５０に接続し、同じスライスに所属するＮＳのみが通信できる設定を該ＡＣ４０に投入する。例えば、上記ＮＳ２０の配備については、管理装置３０は、ＮＳ２０の構成要素のうち非共有のＮＳ３に係るNS3_instance1をＡＣ４０Ｂ経由でＮＷ装置５０に接続し、同じスライス（ＮＳ２０）を構成するＮＳ１とＮＳ３のみが通信できる設定をＡＣ４０Ｂに投入する。
　次のステップＳ６では、管理装置３０は、既存流用したＮＳインスタンスに接続しているＮＳインスタンスを検索し、次のステップＳ７で、検索で得られたＮＳインスタンスをＡＣ４０経由でＮＷ装置５０に接続するよう変更し、同じスライスに所属するＮＳのみが通信できる設定を該ＡＣ４０に投入する。例えば、上記ＮＳ１０の配備については、管理装置３０は、配備済みＮＳインスタンス情報ＤＢ３６を参照して、共有されるＮＳ１に係るNS1_instance1に接続しているＮＳインスタンスを検索し、検索で得られたＮＳインスタンス（ここではNS2_instance1）をＡＣ４０Ａ経由でＮＷ装置５０に接続し、同じスライス（ＮＳ１０）を構成するＮＳ１とＮＳ２のみが通信できる設定をＡＣ４０Ａに投入する。
　以上の第１の処理（配備されるＮＳの共有が生じた時点で非共有ＮＳ間の通信を遮断する構成とする処理）により、非共有のＮＳ２、３は、同じスライスを構成するスライスサブネット間のみ（即ち、ＮＳ２－ＮＳ１間のみ、ＮＳ３－ＮＳ１間のみ）で通信可能となり、異なるスライスを構成する非共有のスライスサブネットとの間（即ち、ＮＳ２－ＮＳ３間）の通信が遮断され、スライスのセキュリティを確保することができる。
　なお、第１の処理（図５）におけるステップＳ５の処理と、ステップＳ６およびＳ７の処理とは、順序を逆にして実行してもよいし、同時並行で実行してもよい。
　次に、第２の処理として、配備されるＮＳの共有が生じる前に非共有ＮＳ間の通信を遮断する構成とする処理（図６）を説明する。
　図６に示す第２の処理は、例えば、管理者又は上位装置から管理装置３０に対し、ＮＳ１０の配備要求がされたことをトリガーとして開始される。ＮＳ１０設計情報、およびＮＳ２０設計情報は事前に管理装置３０のＮＳ設計情報ＤＢ３５に記憶されているものとする。図４に示すようにＮＳ１０設計情報は、該ＮＳ１０がＮＳ１およびＮＳ２により構成され、ＮＳ２０設計情報は、該ＮＳ２０がＮＳ１およびＮＳ３により構成されることを示す。上記の配備要求には、ＮＳ設計情報を基にＮＳインスタンスを新規生成するか、既存のＮＳインスタンスを流用するかの指示が含まれる。また、第２の処理におけるＮＳ設計情報は共有／非共有情報を含まない。
　ステップＳ１１において、管理装置３０は、ＮＳの配備要求を受け付け、次のステップＳ１２において、該配備要求に、既存のＮＳインスタンスを流用する指示が含まれるか否かを判断する。ここで、既存のＮＳインスタンスを流用する指示が含まれないと判断された場合（即ち、ＮＳインスタンスを新規生成する指示のみが含まれる場合）、ステップＳ１３へ進み、管理装置３０は、上記配備要求に含まれた対象ＮＳの設計情報の識別情報から紐付けられる予め記憶された対象ＮＳの設計情報、および、予め記憶された他のＮＳの設計情報に基づき、対象ＮＳのＮＳインスタンスが他のＮＳとの間で共有されるか否かを判断する。ここで、対象ＮＳのＮＳインスタンスが他のＮＳとの間で共有されないと判断された場合は、ステップＳ１４へ進み、管理装置３０は、上記新規生成する指示に基づきＮＳインスタンスを新規生成することでＮＳを配備し、その後、処理を終了する。
　一方、ステップＳ１３で、対象ＮＳのＮＳインスタンスが他のＮＳとの間で共有されると判断された場合は、ステップＳ１５へ進み、管理装置３０は、上記新規生成する指示に基づきＮＳインスタンスを新規生成することでＮＳを配備し、その後、ステップＳ１７へ進む。ステップＳ１７では、管理装置３０は、共有されていないＮＳに係るＮＳインスタンスをＡＣ４０経由でＮＷ装置５０に接続し、同じスライスに所属するＮＳのみが通信できる設定を該ＡＣ４０に投入する。例えば、ステップＳ１１で、ＮＳ１およびＮＳ２のインスタンスを新規生成する指示を含むＮＳ１０の配備要求を受け付けた場合、ステップＳ１２では既存のＮＳインスタンスを流用する指示が含まれないと判断され、ステップＳ１３へ進み、管理装置３０は、上記配備要求に含まれた対象ＮＳ（ＮＳ１０）の設計情報の識別情報から紐付けられる予め記憶されたＮＳ１０の設計情報、および、予め記憶された他のＮＳの設計情報に基づき、ＮＳ１０の構成要素が他のＮＳとの間で共有されるか否かを判断する。ここでは、ＮＳ１０の構成要素のうちＮＳ１が他のＮＳ（ＮＳ２０）との間で共有されると判断され、ステップＳ１５へ進み、管理装置３０は、上記ＮＳ１およびＮＳ２のインスタンスを新規生成する指示に基づき、ＮＳ１としてNS1_instance1を、ＮＳ２としてNS2_instance1を、それぞれ新規生成してＮＷ装置５０に接続することで、ＮＳ１０を配備する。さらに、ステップＳ１７では、管理装置３０は、ＮＳ１０の構成要素のうち共有されていないＮＳ２に係るNS2_instance1をＡＣ４０Ａ経由でＮＷ装置５０に接続し、同じスライス（ＮＳ１０）を構成するＮＳ１とＮＳ２のみが通信できる設定をＡＣ４０Ａに投入する。
　また、ステップＳ１２で、既存のＮＳインスタンスを流用する指示が含まれると判断された場合、ステップＳ１６へ進み、管理装置３０は、上記流用する指示を含む配備要求に基づきＮＳインスタンスの既存流用・新規生成を行うことでＮＳを配備し、前述したステップＳ１７で、共有されていないＮＳに係るＮＳインスタンスをＡＣ４０経由でＮＷ装置５０に接続し、同じスライスに所属するＮＳのみが通信できる設定を該ＡＣ４０に投入する。例えば、ステップＳ１１で、NS1_instance1を流用しＮＳ３を新規生成する指示を含むＮＳ２０の配備要求を受け付けた場合、ステップＳ１２では既存のＮＳインスタンスを流用する指示が含まれると判断され、ステップＳ１６へ進み、管理装置３０は、ＮＳ２０の構成要素のうちＮＳ１に係るNS1_instance1を流用する指示があるため、ＮＳ１がＮＳ２０と他のＮＳ（ここではＮＳ１０）との間で共有されることを認識し、上記NS1_instance1を流用しＮＳ３を新規生成する指示に基づき、共有されるＮＳ１として既存のNS1_instance1を流用し、ＮＳ３としてNS3_instance1を新規生成することで、ＮＳ２０を配備する。さらに、ステップＳ１７で、管理装置３０は、ＮＳ２０の構成要素のうち非共有のＮＳ３に係るNS3_instance1をＡＣ４０Ｂ経由でＮＷ装置５０に接続し、同じスライス（ＮＳ２０）を構成するＮＳ１とＮＳ３のみが通信できる設定をＡＣ４０Ｂに投入する。
　以上の第２の処理（配備されるＮＳの共有が生じる前に非共有ＮＳ間の通信を遮断する構成とする処理）により、非共有のＮＳ２、３は、同じスライスを構成するスライスサブネット間のみ（即ち、ＮＳ２－ＮＳ１間のみ、ＮＳ３－ＮＳ１間のみ）で通信可能となり、異なるスライスを構成する非共有のスライスサブネットとの間（即ち、ＮＳ２－ＮＳ３間）の通信が遮断され、スライスのセキュリティを確保することができる。
　次に、第３の処理として、共有／非共有情報を含んだＮＳ設計情報に基づいて、配備されるＮＳの共有が生じる前に非共有ＮＳ間の通信を遮断する構成とする処理（図７）を説明する。
　図７に示す第３の処理は、例えば、管理者又は上位装置から管理装置３０に対し、ＮＳ１０の配備要求がされたことをトリガーとして開始される。ＮＳ１０設計情報、およびＮＳ２０設計情報は事前に管理装置３０のＮＳ設計情報ＤＢ３５に記憶されているものとする。図８（ａ）に示すようにＮＳ１０設計情報は、該ＮＳ１０がＮＳ１およびＮＳ２により構成され、ＮＳ２０設計情報は、該ＮＳ２０がＮＳ１およびＮＳ３により構成されることを示す。ＮＳ１０設計情報は、該ＮＳ１０がＮＳ１およびＮＳ２により構成されることを示し、該ＮＳ１０設計情報に関連付けられたＮＳ１設計情報およびＮＳ２設計情報には、共有／非共有情報が含まれ、管理装置３０は、ＮＳ１０設計情報から共有／非共有情報を参照可能となる。ここでは、ＮＳ１０の構成要素のうちＮＳ１が、後述する配備予定のＮＳ２０と共有されるため、ＮＳ１設計情報に「共有」を示す共有／非共有情報が含まれている。上記の配備要求には、ＮＳ設計情報を基にＮＳインスタンスを新規生成するか、既存のＮＳインスタンスを流用するかの指示が含まれる。なお、共有／非共有情報を含む設計情報の構成は、上記図８（ａ）の構成例に限定されるものではなく、例えば図８（ｂ）の構成を採用してもよい。図８（ｂ）の構成例では、ＮＳ１０設計情報は、該ＮＳ１０がＮＳ１およびＮＳ２により構成されることを示し、該ＮＳ１０設計情報には、「ＮＳ１が共有される」を示す共有／非共有情報が含まれている。また、ＮＳ２０設計情報にも同様に、「ＮＳ１が共有される」を示す共有／非共有情報が含まれている。
　ステップＳ２１において、管理装置３０は、ＮＳの配備要求を受け付け、次のステップＳ２２において、該配備要求に、既存のＮＳインスタンスを流用する指示が含まれるか否かを判断する。ここで、既存のＮＳインスタンスを流用する指示が含まれないと判断された場合（即ち、ＮＳインスタンスを新規生成する指示のみが含まれる場合）、ステップＳ２３へ進み、管理装置３０は、上記配備要求に含まれた対象ＮＳの設計情報の識別情報から、予め記憶された対象ＮＳの設計情報を取得し、該対象ＮＳの設計情報に含まれる共有／非共有情報に基づき、対象ＮＳのＮＳインスタンスが他のＮＳとの間で共有されるか否かを判断する。ここで、対象ＮＳのＮＳインスタンスが他のＮＳとの間で共有されないと判断された場合は、ステップＳ２４へ進み、管理装置３０は、上記新規生成する指示に基づきＮＳインスタンスを新規生成することでＮＳを配備し、その後、処理を終了する。
　一方、ステップＳ２３で、対象ＮＳのＮＳインスタンスが他のＮＳとの間で共有されると判断された場合は、ステップＳ２５へ進み、管理装置３０は、上記新規生成する指示に基づきＮＳインスタンスを新規生成することでＮＳを配備し、その後、ステップＳ２７へ進む。ステップＳ２７では、管理装置３０は、共有されていないＮＳに係るＮＳインスタンスをＡＣ４０経由でＮＷ装置５０に接続し、同じスライスに所属するＮＳのみが通信できる設定を該ＡＣ４０に投入する。例えば、ステップＳ２１で、ＮＳ１およびＮＳ２のインスタンスを新規生成する指示を含むＮＳ１０の配備要求を受け付けた場合、ステップＳ２２では既存のＮＳインスタンスを流用する指示が含まれないと判断され、ステップＳ２３へ進み、管理装置３０は、上記配備要求に含まれた対象ＮＳ（ＮＳ１０）の設計情報の識別情報から、予め記憶された対象ＮＳ（ＮＳ１０）の設計情報を取得し、該対象ＮＳの設計情報に含まれる共有／非共有情報に基づき、ＮＳ１０の構成要素が他のＮＳとの間で共有されるか否かを判断する。ここでは、ＮＳ１０の構成要素のうちＮＳ１に係るＮＳ１設計情報に「共有」を示す共有／非共有情報が含まれているため、ＮＳ１０の構成要素が他のＮＳとの間で共有されると判断され、ステップＳ２５へ進み、管理装置３０は、上記ＮＳ１およびＮＳ２のインスタンスを新規生成する指示に基づき、ＮＳ１としてNS1_instance1を、ＮＳ２としてNS2_instance1を、それぞれ新規生成してＮＷ装置５０に接続することで、ＮＳ１０を配備する。さらに、ステップＳ２７では、管理装置３０は、ＮＳ１０の構成要素のうち共有されていないＮＳ２に係るNS2_instance1をＡＣ４０Ａ経由でＮＷ装置５０に接続し、同じスライス（ＮＳ１０）を構成するＮＳ１とＮＳ２のみが通信できる設定をＡＣ４０Ａに投入する。
　また、ステップＳ２２で、既存のＮＳインスタンスを流用する指示が含まれると判断された場合、ステップＳ２６へ進み、管理装置３０は、上記流用する指示を含む配備要求に基づきＮＳインスタンスの既存流用・新規生成を行うことでＮＳを配備し、前述したステップＳ２７で、共有されていないＮＳに係るＮＳインスタンスをＡＣ４０経由でＮＷ装置５０に接続し、同じスライスに所属するＮＳのみが通信できる設定を該ＡＣ４０に投入する。例えば、ステップＳ２１で、NS1_instance1を流用しＮＳ３を新規生成する指示を含むＮＳ２０の配備要求を受け付けた場合、ステップＳ２２では既存のＮＳインスタンスを流用する指示が含まれると判断され、ステップＳ２６へ進み、管理装置３０は、ＮＳ２０の構成要素のうちＮＳ１に係るNS1_instance1を流用する指示があるため、ＮＳ１がＮＳ２０と他のＮＳ（ここではＮＳ１０）との間で共有されることを認識し、上記NS1_instance1を流用しＮＳ３を新規生成する指示に基づき、共有されるＮＳ１として既存のNS1_instance1を流用し、ＮＳ３としてNS3_instance1を新規生成することで、ＮＳ２０を配備する。さらに、ステップＳ２７で、管理装置３０は、ＮＳ２０の構成要素のうち非共有のＮＳ３に係るNS3_instance1をＡＣ４０Ｂ経由でＮＷ装置５０に接続し、同じスライス（ＮＳ２０）を構成するＮＳ１とＮＳ３のみが通信できる設定をＡＣ４０Ｂに投入する。
　以上の第３の処理（共有／非共有情報を含んだＮＳ設計情報に基づいて、配備されるＮＳの共有が生じる前に非共有ＮＳ間の通信を遮断する構成とする処理）により、非共有のＮＳ２、３は、同じスライスを構成するスライスサブネット間のみ（即ち、ＮＳ２－ＮＳ１間のみ、ＮＳ３－ＮＳ１間のみ）で通信可能となり、異なるスライスを構成する非共有のスライスサブネットとの間（即ち、ＮＳ２－ＮＳ３間）の通信が遮断され、スライスのセキュリティを確保することができる。
　以上説明した第１～第３の処理のいずれによっても、図１に示す異なるスライスを構成する非共有のスライスサブネットの間（即ち、ＮＳ２－ＮＳ３間）の通信が遮断され、スライスのセキュリティを確保することができる。
　なお、図１には、アクセス制御装置４０が複数の装置４０Ａ、４０Ｂにより構成される例を示したが、アクセス制御装置４０は単一の装置により構成してもよい。また、アクセス制御装置４０がＮＷ装置５０に含まれた構成であってもよい。
　また、上記の実施形態の説明で用いたブロック図は、機能単位のブロックを示している。これらの機能ブロック（構成部）は、ハードウェア及び／又はソフトウェアの任意の組み合わせによって実現される。また、各機能ブロックの実現手段は特に限定されない。すなわち、各機能ブロックは、物理的及び／又は論理的に結合した１つの装置により実現されてもよいし、物理的及び／又は論理的に分離した２つ以上の装置を直接的及び／又は間接的に(例えば、有線及び／又は無線)で接続し、これら複数の装置により実現されてもよい。
　例えば、上記の実施形態における管理装置３０は、上述した管理装置３０の処理を行うコンピュータとして機能してもよい。図９は、管理装置３０のハードウェア構成の一例を示す図である。上述の管理装置３０は、物理的には、プロセッサ１００１、メモリ１００２、ストレージ１００３、通信装置１００４、入力装置１００５、出力装置１００６、バス１００７などを含むコンピュータ装置として構成されてもよい。
　なお、以下の説明では、「装置」という文言は、回路、デバイス、ユニットなどに読み替えることができる。管理装置３０のハードウェア構成は、図に示した各装置を１つ又は複数含むように構成されてもよいし、一部の装置を含まずに構成されてもよい。
　管理装置３０における各機能は、プロセッサ１００１、メモリ１００２などのハードウェア上に所定のソフトウェア（プログラム）を読み込ませることで、プロセッサ１００１が演算を行い、通信装置１００４による通信、メモリ１００２及びストレージ１００３におけるデータの読み出し及び／又は書き込みを制御することで実現される。
　プロセッサ１００１は、例えば、オペレーティングシステムを動作させてコンピュータ全体を制御する。プロセッサ１００１は、周辺装置とのインターフェース、制御装置、演算装置、レジスタなどを含む中央処理装置（ＣＰＵ：Central　Processing　Unit）で構成されてもよい。例えば、管理装置３０の各機能部は、プロセッサ１００１を含んで実現されてもよい。
　また、プロセッサ１００１は、プログラム（プログラムコード）、ソフトウェアモジュール、データ等を、ストレージ１００３及び／又は通信装置１００４からメモリ１００２に読み出し、これらに従って各種の処理を実行する。プログラムとしては、上述の実施形態で説明した動作の少なくとも一部をコンピュータに実行させるプログラムが用いられる。例えば、管理装置３０の各機能部は、メモリ１００２に格納され、プロセッサ１００１で動作する制御プログラムによって実現されてもよく、他の機能ブロックについても同様に実現されてもよい。上述の各種処理は、１つのプロセッサ１００１で実行される旨を説明してきたが、２以上のプロセッサ１００１により同時又は逐次に実行されてもよい。プロセッサ１００１は、１以上のチップで実装されてもよい。なお、プログラムは、電気通信回線を介してネットワークから送信されても良い。
　メモリ１００２は、コンピュータ読み取り可能な記録媒体であり、例えば、ＲＯＭ（Read　Only　Memory）、ＥＰＲＯＭ（Erasable　Programmable　ＲＯＭ）、ＥＥＰＲＯＭ（Electrically　Erasable　Programmable　ＲＯＭ）、ＲＡＭ（Random　Access　Memory）などの少なくとも１つで構成されてもよい。メモリ１００２は、レジスタ、キャッシュ、メインメモリ（主記憶装置）などと呼ばれてもよい。メモリ１００２は、本発明の一実施形態に係る方法を実施するために実行可能なプログラム（プログラムコード）、ソフトウェアモジュールなどを保存することができる。
　ストレージ１００３は、コンピュータ読み取り可能な記録媒体であり、例えば、ＣＤ－ＲＯＭ（Compact　Disc　ＲＯＭ）などの光ディスク、ハードディスクドライブ、フレキシブルディスク、光磁気ディスク(例えば、コンパクトディスク、デジタル多用途ディスク、Ｂｌｕ－ｒａｙ（登録商標）ディスク)、スマートカード、フラッシュメモリ(例えば、カード、スティック、キードライブ)、フロッピー（登録商標）ディスク、磁気ストリップなどの少なくとも１つで構成されてもよい。ストレージ１００３は、補助記憶装置と呼ばれてもよい。上述の記憶媒体は、例えば、メモリ１００２及び／又はストレージ１００３を含むデータベース、サーバその他の適切な媒体であってもよい。
　通信装置１００４は、有線及び／又は無線ネットワークを介してコンピュータ間の通信を行うためのハードウェア（送受信デバイス）であり、例えばネットワークデバイス、ネットワークコントローラ、ネットワークカード、通信モジュールなどともいう。例えば、上述の管理装置３０の各機能部は、通信装置１００４を含んで実現されてもよい。
　入力装置１００５は、外部からの入力を受け付ける入力デバイス（例えば、キーボード、マウス、マイクロフォン、スイッチ、ボタン、センサなど）である。出力装置１００６は、外部への出力を実施する出力デバイス（例えば、ディスプレイ、スピーカー、LEDランプなど）である。なお、入力装置１００５及び出力装置１００６は、一体となった構成（例えば、タッチパネル）であってもよい。
　また、プロセッサ１００１、メモリ１００２などの各装置は、情報を通信するためのバス１００７で接続される。バス１００７は、単一のバスで構成されてもよいし、装置間で異なるバスで構成されてもよい。
　また、管理装置３０は、マイクロプロセッサ、デジタル信号プロセッサ（ＤＳＰ：Digital　Signal　Processor）、ＡＳＩＣ（Application　Specific　Integrated　Circuit）、ＰＬＤ（Programmable　Logic　Device）、ＦＰＧＡ（Field　Programmable　Gate　Array）などのハードウェアを含んで構成されてもよく、当該ハードウェアにより、各機能ブロックの一部又は全てが実現されてもよい。例えば、プロセッサ１００１は、これらのハードウェアの少なくとも１つで実装されてもよい。なお、図１に示す管理装置３０以外の装置についても、上記通信端末と同様の構成であってもよい。
　以上、本実施形態について詳細に説明したが、当業者にとっては、本実施形態が本明細書中に説明した実施形態に限定されるものではないということは明らかである。本実施形態は、特許請求の範囲の記載により定まる本発明の趣旨及び範囲を逸脱することなく修正及び変更態様として実施することができる。したがって、本明細書の記載は、例示説明を目的とするものであり、本実施形態に対して何ら制限的な意味を有するものではない。
　本明細書で説明した各態様／実施形態の処理手順、シーケンス、フローチャートなどは、矛盾の無い限り、順序を入れ替えてもよい。例えば、本明細書で説明した方法については、例示的な順序で様々なステップの要素を提示しており、提示した特定の順序に限定されない。
　入出力された情報などは特定の場所(例えば、メモリ)に保存されてもよいし、管理テーブルで管理してもよい。入出力される情報などは、上書き、更新、または追記され得る。出力された情報などは削除されてもよい。入力された情報などは他の装置へ送信されてもよい。
　判定は、１ビットで表される値（０か１か）によって行われてもよいし、真偽値（Boolean：trueまたはfalse）によって行われてもよいし、数値の比較（例えば、所定の値との比較）によって行われてもよい。
　本明細書で説明した各態様／実施形態は単独で用いてもよいし、組み合わせて用いてもよいし、実行に伴って切り替えて用いてもよい。また、所定の情報の通知（例えば、「Ｘであること」の通知）は、明示的に行うものに限られず、暗黙的（例えば、当該所定の情報の通知を行わない）ことによって行われてもよい。
　ソフトウェアは、ソフトウェア、ファームウェア、ミドルウェア、マイクロコード、ハードウェア記述言語と呼ばれるか、他の名称で呼ばれるかを問わず、命令、命令セット、コード、コードセグメント、プログラムコード、プログラム、サブプログラム、ソフトウェアモジュール、アプリケーション、ソフトウェアアプリケーション、ソフトウェアパッケージ、ルーチン、サブルーチン、オブジェクト、実行可能ファイル、実行スレッド、手順、機能などを意味するよう広く解釈されるべきである。
　また、ソフトウェア、命令などは、伝送媒体を介して送受信されてもよい。例えば、ソフトウェアが、同軸ケーブル、光ファイバケーブル、ツイストペア及びデジタル加入者回線（ＤＳＬ）などの有線技術及び／又は赤外線、無線及びマイクロ波などの無線技術を使用してウェブサイト、サーバ、又は他のリモートソースから送信される場合、これらの有線技術及び／又は無線技術は、伝送媒体の定義内に含まれる。
　本明細書で説明した情報、信号などは、様々な異なる技術のいずれかを使用して表されてもよい。例えば、上記の説明全体に渡って言及され得るデータ、命令、コマンド、情報、信号、ビット、シンボル、チップなどは、電圧、電流、電磁波、磁界若しくは磁性粒子、光場若しくは光子、又はこれらの任意の組み合わせによって表されてもよい。
　また、本明細書で説明した情報、パラメータなどは、絶対値で表されてもよいし、所定の値からの相対値で表されてもよいし、対応する別の情報で表されてもよい。
　移動通信端末は、当業者によって、加入者局、モバイルユニット、加入者ユニット、ワイヤレスユニット、リモートユニット、モバイルデバイス、ワイヤレスデバイス、ワイヤレス通信デバイス、リモートデバイス、モバイル加入者局、アクセス端末、モバイル端末、ワイヤレス端末、リモート端末、ハンドセット、ユーザエージェント、モバイルクライアント、クライアント、またはいくつかの他の適切な用語で呼ばれる場合もある。
　本明細書で使用する「判断(determining)」、「決定(determining)」という用語は、多種多様な動作を包含する場合がある。「判断」、「決定」は、例えば、判定(judging)、計算(calculating)、算出(computing)、処理(processing)、導出(deriving)、調査(investigating)、探索(looking　up)（例えば、テーブル、データベースまたは別のデータ構造での探索）、確認(ascertaining)した事を「判断」「決定」したとみなす事などを含み得る。また、「判断」、「決定」は、受信(receiving)（例えば、情報を受信すること）、送信(transmitting)(例えば、情報を送信すること)、入力(input)、出力(output)、アクセス(accessing)（例えば、メモリ中のデータにアクセスすること）した事を「判断」「決定」したとみなす事などを含み得る。また、「判断」、「決定」は、解決(resolving)、選択(selecting)、選定(choosing)、確立(establishing)、比較(comparing)などした事を「判断」「決定」したとみなす事を含み得る。つまり、「判断」「決定」は、何らかの動作を「判断」「決定」したとみなす事を含み得る。
　本明細書で使用する「に基づいて」という記載は、別段に明記されていない限り、「のみに基づいて」を意味しない。言い換えれば、「に基づいて」という記載は、「のみに基づいて」と「に少なくとも基づいて」の両方を意味する。
　「含む（include）」、「含んでいる（including）」、およびそれらの変形が、本明細書あるいは特許請求の範囲で使用されている限り、これら用語は、用語「備える(comprising)」と同様に、包括的であることが意図される。さらに、本明細書あるいは特許請求の範囲において使用されている用語「または（or）」は、排他的論理和ではないことが意図される。
　本明細書において、文脈または技術的に明らかに１つのみしか存在しない装置である場合以外は、複数の装置をも含むものとする。本開示の全体において、文脈から明らかに単数を示したものではなければ、複数のものを含むものとする。
　１…通信システム、３０…管理装置、３１…配備要求受付部、３２…共有判断部、３３…ＮＳ配備部、３４…アクセス制御部、３５…ＮＳ設計情報ＤＢ、３６…配備済みＮＳインスタンス情報ＤＢ、３７…物理インフラ情報ＤＢ、４０…アクセス制御装置、５０…ＮＷ装置、６０…ＮＦ、７０…計算装置、８０…ＣＰ、１００１…プロセッサ、１００２…メモリ、１００３…ストレージ、１００４…通信装置、１００５…入力装置、１００６…出力装置、１００７…バス。

Claims (5)

  1. 　ネットワークインフラ上の仮想ネットワークであるスライスのスライス配備要求に基づいて、同じスライスを構成するスライスサブネット間で通信可能となるよう、ネットワークにスライスおよび該スライスを構成するスライスサブネットを配備する管理装置であって、
    　スライスを構成する１つ以上のスライスサブネットを示す設計情報を、該設計情報を識別するための識別情報に対応付けて記憶した設計情報記憶部と、
    　前記スライス配備要求に含まれた、対象スライスの設計情報の識別情報、および、該対象スライスの設計情報を基にスライスサブネット構成要素を新規生成するか既存のスライスサブネット構成要素を流用するかの指示情報に基づいて、前記設計情報記憶部に記憶された前記対象スライスの設計情報を用いて、１つ以上のスライスサブネットが複数のスライスにより共有されるか否かを判断する共有判断部と、
    　前記共有判断部により１つ以上のスライスサブネットが複数のスライスにより共有されると判断された場合に、共有されると判断されたスライスサブネットと同じスライスを構成する共有されないと判断されたスライスサブネットを、アクセス制御装置経由で前記ネットワークに接続されるよう接続変更するとともに、前記アクセス制御装置に、同じスライスを構成するスライスサブネット間のみで通信可能とする設定を投入するアクセス制御部と、
    　を備える管理装置。
  2. 　前記共有判断部は、複数のスライス配備要求が受け付けられた時点で、１つ以上のスライスサブネットが複数のスライスにより共有されるか否かを判断する、
    　請求項１に記載の管理装置。
  3. 　前記共有判断部は、一のスライス配備要求が受け付けられた時点で、１つ以上のスライスサブネットが複数のスライスにより共有されるか否かを判断する、
    　請求項１に記載の管理装置。
  4. 　前記設計情報は、該設計情報を含んだスライス配備要求に係るスライスを構成する１つ以上のスライスサブネットが複数のスライスにより共有されるか否かを示す共有判別情報を含み、
    　前記共有判断部は、前記共有判別情報に基づいて、１つ以上のスライスサブネットが複数のスライスにより共有されるか否かを判断する、
    　請求項１～３の何れか一項に記載の管理装置。
  5. 　ネットワークインフラ上の仮想ネットワークであるスライスのスライス配備要求に基づいて、同じスライスを構成するスライスサブネット間で通信可能となるよう、ネットワークにスライスおよび該スライスを構成するスライスサブネットを配備するとともに、スライスを構成する１つ以上のスライスサブネットを示す設計情報を、該設計情報を識別するための識別情報に対応付けて予め記憶した管理装置、によって実行されるアクセス制御方法であって、
    　前記スライス配備要求に含まれた、対象スライスの設計情報の識別情報、および、該対象スライスの設計情報を基にスライスサブネット構成要素を新規生成するか既存のスライスサブネット構成要素を流用するかの指示情報に基づいて、予め記憶された前記対象スライスの設計情報を用いて、１つ以上のスライスサブネットが複数のスライスにより共有されるか否かを判断するステップと、
    　１つ以上のスライスサブネットが複数のスライスにより共有されると判断された場合に、共有されると判断されたスライスサブネットと同じスライスを構成する共有されないと判断されたスライスサブネットを、アクセス制御装置経由で前記ネットワークに接続されるよう接続変更するとともに、前記アクセス制御装置に、同じスライスを構成するスライスサブネット間のみで通信可能とする設定を投入するステップと、
    　を備えるアクセス制御方法。
PCT/JP2018/018521 2017-09-26 2018-05-14 管理装置およびアクセス制御方法 Ceased WO2019064676A1 (ja)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2017185209A JP2021010040A (ja) 2017-09-26 2017-09-26 管理装置およびアクセス制御方法
JP2017-185209 2017-09-26

Publications (1)

Publication Number Publication Date
WO2019064676A1 true WO2019064676A1 (ja) 2019-04-04

Family

ID=65901602

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2018/018521 Ceased WO2019064676A1 (ja) 2017-09-26 2018-05-14 管理装置およびアクセス制御方法

Country Status (2)

Country Link
JP (1) JP2021010040A (ja)
WO (1) WO2019064676A1 (ja)

Families Citing this family (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
EP4325793A1 (en) * 2022-08-17 2024-02-21 Ntt Docomo, Inc. Communication system and method for providing a virtual network function

Non-Patent Citations (3)

* Cited by examiner, † Cited by third party
Title
"5G security recommendations Package #2: Network Slicing", NGMN ALLIANCE, 27 April 2016 (2016-04-27), XP055587888 *
CHATRAS BRUNO ET AL.: "NFV enabling network slicing for 5G", 2017 20TH CONFERENCE ON INNOVATIONS IN CLOUDS, INTERNET AND NETWORKS (ICIN), 9 March 2017 (2017-03-09), pages 219 - 225, XP033085379, ISSN: 2472-8144 *
OLLI MAMMELA ET AL.: "Towards Micro-Segmentation in 5G Network Security", EUCNC 2016, June 2016 (2016-06-01), XP055587890 *

Also Published As

Publication number Publication date
JP2021010040A (ja) 2021-01-28

Similar Documents

Publication Publication Date Title
EP3226512B1 (en) Secure subscriber identity module service
EP3664372B1 (en) Network management method and related device
US20220248210A1 (en) METHODS AND/OR SYSTEMS FOR ACTIVATION AND/OR CONFIGURATION OF AN ELECTRONIC SUBSCRIBER IDENTITY MODULE (eSIM)
EP3373517B1 (en) Configuration method and device for virtual network function
CN112771928B (zh) 一种卫星回传信息的确定方法及装置
US20210400051A1 (en) Escalating User Privileges in Cloud Computing Environments
WO2016119631A1 (zh) 一种接入云服务的方法及接入设备
CN103229478A (zh) 一种确定虚拟机漂移的方法和装置
EP3624499B1 (en) Communication control method and communication system
CN110780912A (zh) 利用分段支持的分层生成树软件补丁
US20190182733A1 (en) Communication control device and communication control method
CN107707557B (zh) 匿名访问方法、装置、网络设备及可读存储介质
WO2019064678A1 (ja) 管理装置およびネットワーク構成制御方法
JPWO2019035292A1 (ja) ネットワークアクセス方法及び通信システム
US11593296B2 (en) Edge component redirect for IoT analytics groups
CN111131131B (zh) 一种漏洞扫描方法、装置、服务器及可读存储介质
CN111404951B (zh) 一种云网络的租户创建方法、计算机设备及存储介质
WO2019064676A1 (ja) 管理装置およびアクセス制御方法
JP2016119722A (ja) 通信基地局およびその制御方法
WO2019035287A1 (ja) 通信制御方法および通信システム
WO2019064677A1 (ja) 管理装置およびネットワーク構成制御方法
JP7357061B2 (ja) オーソリゼーション装置
US12088548B2 (en) Systems and methods for edge device discovery
US12432113B2 (en) Service level enforcement in distributed system based on impact of enforcement actions
WO2019035263A1 (ja) 通信端末および通信方法

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 18860928

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 18860928

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: JP