JP2016540463A5 - - Google Patents

Claims (23)

1. 管理ドメイン内で複数の管理対象サーバ間の通信を許可するアクセス制御ルールを判定する方法であって、
   前記複数の管理対象サーバ間の過去の通信を記述した通信情報を取得するステップと、
   前記取得された通信情報に基づいて、前記複数の管理対象サーバをグループ化することによって、前記複数の管理対象サーバから管理対象サーバのサブセットを各々が含むサーバグループを識別するステップと、
   各サーバグループにおける前記管理対象サーバのサブセットにグループレベルラベルセットを割り当てるステップであって、前記グループレベルラベルセットは、前記サーバグループにおける前記管理対象サーバを記述した１つまたは複数のグループレベルラベルを含む、ステップと、
   各サーバグループ内の個々の管理対象サーバにロールラベルを割り当てるステップであって、個々の管理対象サーバに割り当てられるロールラベルは、前記個々の管理対象サーバに関する情報に基づいて判定される、ステップと、
   前記通信情報において、第１の管理対象サーバと第２の管理対象サーバとの間の通信を識別するステップであって、前記第１の管理対象サーバは、第１のグループレベルラベルおよびロールラベルのペアを割り当てられ、前記第２の管理対象サーバは、第２のグループレベルラベルおよびロールラベルのペアを割り当てられる、ステップと、
   前記第１の管理対象サーバと前記第２の管理対象サーバとの間の通信を許可するアクセス制御ルールを生成するステップであって、前記生成されたアクセス制御ルールは、前記第１のグループレベルラベルおよびロールラベルのペアを割り当てられた他の管理対象サーバと前記第２のグループレベルラベルおよびロールラベルのペアを割り当てられた他の管理対象サーバとの間の通信をさらに許可する、ステップと、
   管理ドメイン全体管理ポリシの一部として前記アクセス制御ルールを記憶するステップと
   を備えたことを特徴とする方法。
2. 前記第１の管理対象サーバと前記第２の管理対象サーバとの間の前記通信を識別するステップは、前記第１の管理対象サーバによって提供され、および前記第２の管理対象サーバによって使用されるサービスを識別するステップを含み、
   前記アクセス制御ルールを生成するステップは、前記サービスを指定する前記アクセス制御ルールを生成するステップを含み、前記アクセス制御ルールは、前記第１のグループレベルラベルおよびロールラベルのペアを指定する提供側部分、ならびに前記第２のグループレベルラベルおよびロールラベルのペアを指定する使用側部分を含むことを特徴とする請求項１に記載の方法。
3. 前記識別された通信は、前記第１の管理対象サーバと前記第２の管理対象サーバとの間の過去の許可されていない通信であり、前記管理ドメイン全体管理ポリシは、前記許可されていない通信を記述するアクセス制御ルールを有してなく、前記アクセス制御ルールを生成するステップは、
   前記許可されていない通信を記述した情報、前記第１の管理対象サーバの前記第１のグループレベルラベルおよびロールラベルのペア、ならびに前記第２の管理対象サーバの前記第２のグループレベルラベルおよびロールラベルのペアに基づいて、前記許可されていない通信が許可可能であるべきと判定するステップと、
   前に許可されていない通信を許可する前記アクセス制御ルールを生成するステップと
   含むことを特徴とする請求項１に記載の方法。
4. 第１の管理対象サーバと前記管理ドメインの外部のデバイスとの間の別の通信を識別するステップと、
   前記第１の管理対象サーバと前記外部デバイスとの間の通信を許可する第２のアクセス制御ルールを生成するステップであって、前記第２のアクセス制御ルールは、前記外部デバイスと前記第１のグループレベルラベルおよびロールラベルのペアを有する他のデバイスとの間の通信をさらに許可するステップと
   をさらに備えたことを特徴とする請求項１に記載の方法。
5. 前記取得された通信情報は、前記複数の管理対象サーバの間で前に転送されたデータの特性を記述し、前記特性は、前記前に転送されたデータのタイミング、期間、頻度、プロトコルタイプ、データサイズ、またはデータ速度のうちの１つまたは複数を含むことを特徴とする請求項１に記載の方法。
6. 前記取得された通信情報は、前記管理対象サーバのサブセットによって実行される処理を記述し、前記ロールラベルを割り当てるステップは、
   前記管理対象サーバによって実行される１つまたは複数の処理に基づいて管理対象サーバに対するロールラベルを判定するステップを含む
   ことを特徴とする請求項１に記載の方法。
7. 前記取得された通信情報は、前記管理対象サーバのサブセットのハードウェアリソースを記述し、
   前記ロールラベルを割り当てるステップは、
   前記管理対象サーバのハードウェアリソースに基づいて、管理対象サーバに対するロールラベルを判定するステップを含む
   ことを特徴とする請求項１に記載の方法。
8. 前記割り当てられたグループレベルラベルセットおよび前記割り当てられたロールラベルのうちの少なくとも１つを管理者が確認することを要求するステップと、
   前記管理者からの訂正に応じて前記グループレベルラベルセットおよび前記ロールラベルのうちの少なくとも１つを修正するステップと
   をさらに備えたことを特徴とする請求項１に記載の方法。
9. 前記サーバグループを識別するステップは、
   前記複数の管理対象サーバのうちの管理対象サーバを表すノード、および前記管理対象サーバ間の通信を表す前記ノード間のエッジを有するグラフを構築するステップと、
   前記グラフを前記識別されたサーバグループに対応するサブグラフに区分化するステップと
   を含むことを特徴とする請求項１に記載の方法。
10. 前記グループにおける前記管理対象サーバのサブセットに前記グループレベルラベルセットを割り当てるステップは、
    前記サーバグループにおける管理対象サーバを記述した複数の次元を有する前記グループレベルラベルを割り当てるステップであって、前記複数の次元は、前記サーバグループにおける前記管理対象サーバの論理アプリケーションを記述したアプリケーションの次元、または前記サーバグループにおける前記管理対象サーバのライフサイクルステージを記述した環境の次元のうちの少なくとも１つを含む、ステップと、
    前記管理対象サーバに条件付きヒューリスティックを適用して、前記アプリケーションの次元または前記環境の次元のうちの少なくとも１つに対する値を判定するステップと
    を含み、
    前記グループレベルラベルセットは、前記アプリケーションの次元または前記環境の次元のうちの少なくとも１つに対する前記判定された値に応じて、前記グループにおける前記管理対象サーバのサブセットに割り当てられる
    ことを特徴とする請求項１に記載の方法。
11. 前記取得された通信情報は、前記複数の管理対象サーバ間の前に転送されたデータのルーティング情報を記述することを特徴とする請求項１に記載の方法。
12. 管理ドメイン内で複数の管理対象サーバ間の通信を許可するアクセス制御ルールを判定するためのステップを実行するよう１つまたは複数のプロセッサによって実行可能なコンピュータプログラムモジュールを記憶した非一時的コンピュータ可読記憶媒体であって、前記ステップは、
    前記複数の管理対象サーバ間の過去の通信を記述した通信情報を取得するステップと、
    前記取得された通信情報に基づいて、前記複数の管理対象サーバをグループ化することによって、前記複数の管理対象サーバから管理対象サーバのサブセットを各々が含むサーバグループ識別するステップと、
    各サーバグループにおける前記管理対象サーバのサブセットにグループレベルラベルセットを割り当てるステップであって、前記グループレベルラベルセットは、前記サーバグループにおける前記管理対象サーバを記述した１つまたは複数のグループレベルラベルを含む、ステップと、
    各サーバグループ内の個々の管理対象サーバにロールラベルを割り当てるステップであって、個々の管理対象サーバに割り当てられるロールラベルは、前記個々の管理対象サーバに関する情報に基づいて判定される、ステップと、
    前記通信情報において、第１の管理対象サーバと第２の管理対象サーバとの間の通信を識別するステップであって、前記第１の管理対象サーバは、第１のグループレベルラベルおよびロールラベルのペアを割り当てられ、前記第２の管理対象サーバは、第２のグループレベルラベルおよびロールラベルのペアを割り当てられる、ステップと、
    前記第１の管理対象サーバと前記第２の管理対象サーバとの間の通信を許可するアクセス制御ルールを生成するステップであって、前記生成されたアクセス制御ルールは、前記第１のグループレベルラベルおよびロールラベルのペアを割り当てられた他の管理対象サーバと前記第２のグループレベルラベルおよびロールラベルのペアを割り当てられた他の管理対象サーバとの間の通信をさらに許可する、ステップと、
    管理ドメイン全体管理ポリシの一部として前記アクセス制御ルールを記憶するステップと
    を備えたことを特徴とする非一時的コンピュータ可読記憶媒体。
13. 前記第１の管理対象サーバと前記第２の管理対象サーバとの間の前記通信を識別するステップは、前記第１の管理対象サーバによって提供され、および前記第２の管理対象サーバによって使用されるサービスを識別するステップを含み、
    前記アクセス制御ルールを生成するステップは、前記サービスを指定する前記アクセス制御ルールを生成するステップを含み、前記アクセス制御ルールは、前記第１のグループレベルラベルおよびロールラベルのペアを指定する提供側部分、ならびに前記第２のグループレベルラベルおよびロールラベルのペアを指定する使用側部分を含むことを特徴とする請求項１２に記載のコンピュータ可読記憶媒体。
14. 前記識別された通信は、前記第１の管理対象サーバと前記第２の管理対象サーバとの間の過去の許可されていない通信であり、前記管理ドメイン全体管理ポリシは、前記許可されていない通信を記述するアクセス制御ルールを有してなく、前記アクセス制御ルールを生成するステップは、
    前記許可されていない通信を記述した情報、前記第１の管理対象サーバの前記第１のグループレベルラベルおよびロールラベルのペア、ならびに前記第２の管理対象サーバの前記第２のグループレベルラベルおよびロールラベルのペアに基づいて、前記許可されていない通信が許可可能であるべきと判定するステップと、
    前に許可されていない通信を許可する前記アクセス制御ルールを生成するステップと
    含むことを特徴とする請求項１２に記載のコンピュータ可読記憶媒体。
15. 前記ステップは、
    第１の管理対象サーバと前記管理ドメインの外部のデバイスとの間の別の通信を識別するステップと、
    前記第１の管理対象サーバと前記外部デバイスとの間の通信を許可する第２のアクセス制御ルールを生成するステップであって、前記第２のアクセス制御ルールは、前記外部デバイスと前記第１のグループレベルラベルおよびロールラベルのペアを有する他のデバイスとの間の通信をさらに許可するステップと
    さらに備えたことを特徴とする請求項１２に記載のコンピュータ可読記憶媒体。
16. 前記取得された通信情報は、前記管理対象サーバのサブセットによって実行される処理を記述し、前記ロールラベルを割り当てるステップは、
    前記管理対象サーバによって実行される１つまたは複数の処理に基づいて管理対象サーバに対するロールラベルを判定するステップを含む
    ことを特徴とする請求項１２に記載のコンピュータ可読記憶媒体。
17. 前記取得された通信情報は、前記管理対象サーバのサブセットのハードウェアリソースを記述し、
    前記ロールラベルを割り当てるステップは、
    前記管理対象サーバのハードウェアリソースに基づいて、管理対象サーバに対するロールラベルを判定するステップを含む
    ことを特徴とする請求項１２に記載のコンピュータ可読記憶媒体。
18. 前記グループにおける前記管理対象サーバのサブセットに前記グループレベルラベルセットを割り当てるステップは、
    前記サーバグループにおける管理対象サーバを記述した複数の次元を有する前記グループレベルラベルを割り当てるステップであって、前記複数の次元は、前記サーバグループにおける前記管理対象サーバの論理アプリケーションを記述したアプリケーションの次元、または前記サーバグループにおける前記管理対象サーバのライフサイクルステージを記述した環境の次元のうちの少なくとも１つを含む、ステップと、
    前記管理対象サーバに条件付きヒューリスティックを適用して、前記アプリケーションの次元または前記環境の次元のうちの少なくとも１つに対する値を判定するステップと
    を含み、
    前記グループレベルラベルセットは、前記アプリケーションの次元または前記環境の次元のうちの少なくとも１つに対する前記判定された値に応じて、前記グループにおける前記管理対象サーバのサブセットに割り当てられる
    ことを特徴とする請求項１に記載の方法。
19. 管理ドメイン内で複数の管理対象サーバ間の通信を許可するアクセス制御ルールを判定する方法であって、
    前記複数の管理対象サーバ間の過去の通信を記述した通信情報を取得するステップと、
    前記取得された通信情報に基づいて、前記複数の管理対象サーバをグループ化することによって、前記複数の管理対象サーバから管理対象サーバのサブセットを各々が含むサーバグループを識別するステップと、
    各サーバグループにおける前記管理対象サーバのサブセットにグループレベルラベルセットを割り当てるステップであって、前記グループレベルラベルセットは、前記サーバグループにおける前記管理対象サーバを記述した複数の次元を有し、前記複数の次元は、前記サーバグループにおける前記管理対象サーバの論理アプリケーションを記述したアプリケーションの次元を含み、前記アプリケーションは、前記サーバグループにおける前記管理対象サーバに条件付きヒューリスティックを適用することによって判定される、ステップと、
    各サーバグループ内の個々の管理対象サーバにロールラベルを割り当てるステップであって、個々の管理対象サーバに割り当てられるロールラベルは、前記個々の管理対象サーバに関する情報に基づいて判定される、ステップと、
    前記通信情報、グループレベルラベルセット、およびロールラベルに基づいて、前記複数の管理対象サーバ間の通信を許可するアクセス制御ルールを生成するステップと、
    管理ドメイン全体管理ポリシの一部として前記アクセス制御ルールを記憶するステップと
    を備えたことを特徴とする方法。
20. 前記アクセス制御ルールを生成するステップは、
    前記通信情報から、第１の管理対象サーバによって提供され、および第２の管理対象サーバによって使用されるサービスを識別するステップと、
    アクセス制御ルールを生成するステップであって、前記アクセス制御ルールは、前記第１の管理対象サーバに割り当てられる１つまたは複数のラベルを指定する提供側部分を含み、前記アクセス制御ルールはさらに、前記第２の管理対象サーバに割り当てられる１つまたは複数のラベルを指定する使用側部分を含むことを特徴とする請求項１９に記載の方法。
21. 管理ドメイン内で複数の管理対象サーバ間の通信を許可するアクセス制御ルールを判定するためのステップを実行するよう１つまたは複数のプロセッサによって実行可能なコンピュータプログラムモジュールを記憶した非一時的コンピュータ可読記憶媒体であって、前記ステップは、
    前記複数の管理対象サーバ間の過去の通信を記述した通信情報を取得するステップと、
    前記取得された通信情報に基づいて、前記複数の管理対象サーバをグループ化することによって、前記複数の管理対象サーバから管理対象サーバのサブセットを各々が含むサーバグループを識別するステップと、
    各サーバグループにおける前記管理対象サーバのサブセットにグループレベルラベルセットを割り当てるステップであって、前記グループレベルラベルセットは、前記サーバグループにおける前記管理対象サーバを記述した複数の次元を有し、前記複数の次元は、前記サーバグループにおける前記管理対象サーバの論理アプリケーションを記述したアプリケーションの次元を含み、前記アプリケーションは、前記サーバグループにおける前記管理対象サーバに条件付きヒューリスティックを適用することによって判定される、ステップと、
    各サーバグループ内の個々の管理対象サーバにロールラベルを割り当てるステップであって、個々の管理対象サーバに割り当てられるロールラベルは、前記個々の管理対象サーバに関する情報に基づいて判定される、ステップと、
    前記通信情報、グループレベルラベルセット、およびロールラベルに基づいて、前記複数の管理対象サーバ間の通信を許可するアクセス制御ルールを生成するステップと、
    管理ドメイン全体管理ポリシの一部として前記アクセス制御ルールを記憶するステップと
    を備えたことを特徴とする非一時的コンピュータ可読記憶媒体。
22. 前記アクセス制御ルールを生成するステップは、
    前記通信情報から、第１の管理対象サーバによって提供され、および第２の管理対象サーバによって使用されるサービスを識別するステップと、
    アクセス制御ルールを生成するステップであって、前記アクセス制御ルールは、前記第１の管理対象サーバに割り当てられる１つまたは複数のラベルを指定する提供側部分を含み、前記アクセス制御ルールはさらに、前記第２の管理対象サーバに割り当てられる１つまたは複数のラベルを指定する使用側部分を含むことを特徴とする請求項２１に記載のコンピュータ可読記憶媒体。
23. 管理ドメイン内で複数の管理対象サーバ間の通信を許可するアクセス制御ルールを判定するためのシステムであって、
    プロセッサと、
    非一時的コンピュータ可読記憶媒体と
    を備え、前記非一時的コンピュータ可読記憶媒体は、
    前記複数の管理対象サーバ間の過去の通信を記述した通信情報を取得するステップと、
    前記取得された通信情報に基づいて、前記複数の管理対象サーバをグループ化することによって、前記複数の管理対象サーバから管理対象サーバのサブセットを各々が含むサーバグループを識別するステップと、
    各サーバグループにおける前記管理対象サーバの前記サブセットにグループレベルラベルセットを割り当てるステップであって、前記グループレベルラベルセットは、前記サーバグループにおける前記管理対象サーバを記述した１つまたは複数のグループレベルラベルセットを含む、ステップと、
    各サーバグループ内の個々の管理対象サーバにロールラベルを割り当てるステップであって、個々の管理対象サーバに割り当てられるロールラベルは、前記個々の管理対象サーバに関する情報に基づいて判定される、ステップと、
    前記通信情報、グループレベルラベルセット、およびロールラベルに基づいて、前記複数の管理対象サーバ間の通信を許可するアクセス制御ルールを生成するステップと、
    管理ドメイン全体管理ポリシの一部として前記アクセス制御ルールを記憶するステップと
    を備えたステップを実行するように前記プロセッサによって実行可能なコンピュータプログラム命令を記憶したことを特徴とするシステム。