JP2017518696A - パブリッククラウドのプライベートネットワーク資源との接続 - Google Patents

Abstract

パブリッククラウドとプライベートネットワーク内のオンプレミス資源との接続の自動的準備。これは、パブリッククラウド内のアプリケーションがプライベートネットワーク内のそのオンプレミス資源にアクセスしようとするときに接続がより容易に行われることを可能にする。本自動的準備は、パブリッククラウドにおいて実行するアプリケーションがオンプレミス資源にアクセスしようとすることを決定したときに開始される。本準備は、オンプレミス資源へのアクセスを提供するブリッジングインフラストラクチャを識別することによって生じる。資格情報（ｃｒｅｄｅｎｔｉａｌ）が、次いで、ブリッジングインフラストラクチャへの接続において後で使用するためにアクセスされる。アプリケーション特有の資格情報が、アプリケーションに安全に提供される。アプリケーション特有の資格情報は、識別されたブリッジングインフラストラクチャに接続するために、パブリッククラウド上のエージェントによって使用可能である。資源特有の資格情報、オンプレミス資源の識別、及び実行ファイルを含む、構成パッケージが、次いで作成される。

Description

本発明は、パブリッククラウドのプライベートネットワーク資源との接続に関する。

[0001]パブリッククラウドホスティングプラットフォームは、データベース及びサービスなど、資源を使用するアプリケーションをホストする。従来、パブリッククラウド上でホストされるそのようなアプリケーションによって使用される資源はまた、パブリッククラウド内に位置する。資源が、プライベートネットワーク内に位置する場合、そのとき、それらの資源は、そのようなアプリケーションによって使用されるために、パブリッククラウドに移動されることになる。しかし、セキュリティ、コンプライアンス又は法律上の理由のために、一部の資源は、パブリッククラウドに移動することはできない。

[0002]プライベートネットワーク上のこれらの資源へのアクセスを可能にするために、ネットワーク管理者は、彼らのファイアウォールにポートを開けてインターネットから彼らのネットワークへのトラフィックを許可する、外部トラフィックを資源に転送するネットワーク非武装地帯（ＤＭＺ：ＤｅＭｉｌｉｔａｒｉｚｅｄ Ｚｏｎｅ）においてプロキシ及び／又はゲートウェイを配備する、又は仮想プライベートネットワーク（ＶＰＮ）を使用してアプリケーションを彼らのプライベートネットワークに接続することをしばしば要求される。

[0003]本明細書で特許請求される主題は、任意の欠点を解決する又は前述のものなどの環境においてのみ機能する実施形態に限定されない。そうではなくて、本背景技術は、本明細書に記載されるいくつかの実施形態が実施され得る１つの例示的技術分野を示すためにのみ提供される。

本発明は、パブリッククラウドのプライベートネットワーク資源との接続を提供する。

[0004]本明細書に記載される少なくともいくつかの実施形態は、パブリッククラウドとプライベートネットワーク内のオンプレミス資源との接続の自動的準備に関する。これは、パブリッククラウド内のアプリケーションがプライベートネットワーク内のオンプレミス資源にアクセスしようとするときに接続がより容易に行われることを可能にする。本自動的準備は、パブリッククラウドにおいて実行するアプリケーションがオンプレミス資源にアクセスしようとすることを決定したときに開始される。オンプレミス資源の例は、データベース、データストア、ウェブサービス、アプリケーションサーバなどを含む。

[0005]本準備は、オンプレミス資源へのアクセスを提供するブリッジングインフラストラクチャを識別することによって生じる。ブリッジングインフラストラクチャは、パブリッククラウドインフラストラクチャの部分であり、これを目的として設計されたサービスによって準備され得る又は割り当てられ得る。このブリッジングインフラストラクチャの選択要素は、必要に応じてオンデマンドで割り当てられ得る又は作成され得る。ブリッジングインフラストラクチャにアクセスするために使用される資格情報が、次いで、ブリッジングインフラストラクチャへの接続において後で使用するためにアクセスされる。送信権利（ｓｅｎｄ ｒｉｇｈｔ）を有するアプリケーション特有の資格情報が、プライベートネットワーク上の資源にアクセスしようとするアプリケーションのアプリケーションランタイムに安全に及び自動的に提供される。アプリケーション特有の資格情報は、識別されたブリッジングインフラストラクチャに接続するために、パブリッククラウド上のアプリケーションのランタイムに組み込まれたエージェントによって使用可能である。資源特有の資格情報、オンプレミス資源の識別及び実行ファイルを含む、構成パッケージが、次いで、作成される。実行ファイルは、資源特有の資格情報を使用してオンプレミス資源とブリッジングインフラストラクチャとの安全な接続を提供するプライベートネットワーク上のプロキシを配備するために、ユーザーによって対話され得る。プロキシは、プライベートネットワーク内部に置かれ、プライベートネットワークからのアウトバウンド通信を使用してブリッジングインフラストラクチャに接続する。したがって、ネットワーク管理者は、ブリッジングインフラストラクチャに接続するためにファイアウォールにポートを開く又はプロキシのＶＰＮ接続を確立する必要がない。

[0006]本明細書に記載される少なくともいくつかの実施形態は、パブリッククラウド内のアプリケーションとオンプレミス資源との間の接続の自動的確立に関する。第１に、ブリッジングインフラストラクチャが、自動的にアクセスされる。ブリッジングインフラストラクチャは、プライベートネットワーク内の第１の制御と対話するように構成される。たとえば、この第１の制御は、プライベートネットワークでホストされるプロキシとして表すことができ、それは、接続の準備において使用される構成パッケージ内の実行ファイルによって配備される。プロキシは、ブリッジングインフラストラクチャに安全に接続し、ブリッジングインフラストラクチャとオンプレミス資源との間でトラフィックを転送する。第２の制御は、パブリッククラウドにおいて実行するアプリケーションに行われる。第２の制御は、少なくとも１つのアプリケーションが、ブリッジングインフラストラクチャを介してプライベートネットワークのオンプレミス資源と安全に接続するために使用され得るように、構築される。

[0007]一例では、第２の制御は、オンプレミス資源に宛てられたアプリケーションからのメッセージをその制御がインターセプトし、それを適切なネットワークメッセージ又はトンネリングプロトコルを介してフレーミングし、それをオンプレミス資源に次に転送する第１の制御にブリッジングインフラストラクチャを介してそれをリダイレクトする、アプリケーションランタイムに組み込まれたエージェントとして実現することができる。応答は、逆の経路を辿ってパブリッククラウド上のアプリケーションに戻る。

[0008]本概要は、本特許請求されている主題の主な特徴又は本質的特徴を識別することを意図されておらず、本特許請求されている主題の範囲を判定する際の助けとして使用されることも意図されていない。

[0009]前述の及び他の利点及び特徴が獲得され得る方式を説明するために、様々な実施形態のより具体的な説明が、添付の図面を参照して行われることになる。これらの図面は、単に、サンプルの実施形態を示し、したがって、本発明の範囲の限定として考えられるべきではないという理解の下で、実施形態が、以下のような添付の図面の使用を通してさらなる特異性及び詳細とともに記載及び説明されることになる。

[0010]本明細書に記載されるいくつかの実施形態がその中で使用され得るコンピューティングシステムを抽象的に示す図である。 [0011]本明細書に記載される原理が機能し得る、そして、パブリッククラウド及びブリッジングインフラストラクチャと相互接続されたプライベートネットワークを含む、環境を示す図である。 [0012]ブリッジングインフラストラクチャに関連する３つの時間的ステージを示す図である。 [0013]パブリッククラウドとプライベートネットワーク内のオンプレミス資源との間の接続の準備のための方法の流れ図である。 [0014]パブリッククラウドとプライベートネットワーク内のオンプレミス資源との間の接続の準備に関連するデータフローの特定の一例を示す図である。 [0015]パブリッククラウドからプライベートネットワーク内のオンプレミス資源へのアクセスを確立するための方法の流れ図である。 [0016]アプリケーション及びプライベートクラウド内のオンプレミス資源に接続された後にブリッジングインフラストラクチャを使用するための方法の流れ図である。 [0017]パブリッククラウド内のアプリケーションが、次いで、どのようにブリッジングインフラストラクチャを使用してプライベートネットワーク上の資源にアクセスし得るかのより具体的な一例を示すランタイムプロセスを示す図である。

[0018]本明細書に記載される少なくともいくつかの実施形態は、パブリッククラウドとプライベートネットワーク内のオンプレミス資源との接続の自動的準備に関する。これは、パブリッククラウド内のアプリケーションがプライベートネットワーク内のそのオンプレミス資源にアクセスしようとするときに接続がより容易に行われることを可能にする。本自動的準備は、パブリッククラウドにおいて実行するアプリケーションがオンプレミス資源にアクセスしようとすることを決定したときに開始される。オンプレミス資源の例は、データベース、データストア、ウェブサービス、アプリケーションサーバなどを含む。

[0019]本準備は、オンプレミス資源へのアクセスを提供するブリッジングインフラストラクチャを識別することによって生じる。ブリッジングインフラストラクチャは、パブリッククラウドインフラストラクチャの部分であり、これを目的として設計されたサービスによって準備され得る又は割り当てられ得る。オンプレミス資源のネットワーク識別が、ブリッジングインフラストラクチャのメタデータとして構成される。このブリッジングインフラストラクチャの選択要素は、必要に応じてオンデマンドで割り当てられ得る又は作成され得る。ブリッジングインフラストラクチャにアクセスするために使用される資格情報が、次いで、ブリッジングインフラストラクチャへの接続において後で使用するためにアクセスされる。送信権利を有するアプリケーション特有の資格情報が、プライベートネットワーク上の資源にアクセスすることになるアプリケーションのアプリケーションランタイムに安全に及び自動的に提供される。アプリケーション特有の資格情報は、識別されたブリッジングインフラストラクチャに接続するためにパブリッククラウド上のアプリケーションランタイムに組み込まれたエージェントによって使用可能である。資源特有の資格情報、オンプレミス資源の識別及び実行ファイルを含む、構成パッケージが、次いで、作成される。たとえば、その実行ファイルは、ブリッジングインフラストラクチャの識別及びブリッジングインフラストラクチャにアクセスするために使用することができる受信権利（ｒｅｃｅｉｖｅ ｒｉｇｈｔ）を有するワンタイムパスワードを含むＵＲＩ（Ｕｎｉｆｏｒｍ Ｒｅｓｏｕｒｃｅ Ｉｄｅｎｔｉｆｉｅｒ）によって識別され得る。実行ファイルは、資源特有の資格情報を使用してオンプレミス資源とブリッジングインフラストラクチャとの接続を提供するプライベートネットワーク上のプロキシを配備するためにユーザーによって対話され得る。

[0020]本明細書に記載される少なくともいくつかの実施形態は、パブリッククラウド内アプリケーションとのオンプレミス資源との間の接続の自動的確立に関する。第１に、ブリッジングインフラストラクチャが、自動的にアクセスされる。ブリッジングインフラストラクチャは、プライベートネットワーク内の第１の制御と対話するように構成される。たとえば、この第１の制御は、接続の準備において使用される構成パッケージ内の実行ファイルとして表すことができる。プロキシは、ブリッジングインフラストラクチャに安全に接続し、ブリッジングインフラストラクチャとオンプレミス資源との間でトラフィックを転送する。第２の制御は、パブリッククラウドにおいて実行するアプリケーションに行われる。第２の制御は、少なくとも１つのアプリケーションが、ブリッジングインフラストラクチャを介してプライベートネットワークのオンプレミス資源と安全に接続するために使用され得るように、構築される。

[0021]一例では、第２の制御は、アプリケーションランタイムに組み込まれたエージェントとして実現され得、この制御が、オンプレミス資源に宛てられたアプリケーションからのメッセージをインターセプトし、それを適切なネットワークメッセージ又はトンネリングプロトコルを介してフレーミングし、それらをブリッジングインフラストラクチャを介して第１の制御にリダイレクトし、今度は、第１の制御が、それをオンプレミス資源に転送する。応答は、逆の経路を辿ってパブリッククラウド上のアプリケーションに戻る。

[0022]コンピューティングシステムのいくらかの導入的論考が、図１に関して記載される。次いで、パブリッククラウドがプライベートネットワーク内の資源を使用することを可能にするためのブリッジングインフラストラクチャの準備及び使用の原理が、その後の図面に関して説明されることになる。

[0023]コンピューティングシステムは、現在、ますます多種多様な形をとる。コンピューティングシステムは、たとえば、ハンドヘルドデバイス、アプライアンス、ラップトップコンピュータ、デスクトップコンピュータ、メインフレーム、分散型コンピューティングシステム、データセンター、又は、ウェアラブル（たとえば、眼鏡）などの従来はコンピューティングシステムとは考えられなかったデバイスでもよい。本説明において及び本特許請求の範囲において、「コンピューティングシステム」という用語は、少なくとも１つの物理的及び有形のプロセッサとプロセッサによって実行され得るコンピュータ実行可能命令をそこに有することが可能な物理的及び有形のメモリとを含む任意のデバイス又はシステム（又はその組合せ）を含むものとして広く定義される。メモリは、任意の形をとることができ、コンピューティングシステムの特質及び形に応じて決まり得る。コンピューティングシステムは、ネットワーク環境に亘って分散されてもよく、複数の構成するコンピューティングシステムを含み得る。

[0024]図１に示すように、その最も基本的な構成において、コンピューティングシステム１００は、通常、少なくとも１つのハードウェアプロセッシングユニット１０２及びメモリ１０４を含む。メモリ１０４は、揮発性、不揮発性、又はその２つの何らかの組合せでもよい、物理的システムメモリでもよい。「メモリ」という用語はまた、本明細書において、物理記憶媒体などの不揮発性大容量記憶装置を指すために使用され得る。コンピューティングシステムが、分散される場合、処理、メモリ及び／又は記憶機能もまた、分散され得る。本明細書において、「実行可能モジュール」又は「実行可能構成要素」という用語は、コンピューティングシステムで実行され得るソフトウェアオブジェクト、ルーチン、又は方法を指し得る。本明細書に記載される異なる構成要素、モジュール、エンジン、及びサービスは、コンピューティングシステムで実行するオブジェクト又はプロセスとして実装され得る（たとえば、別個のスレッドとして）。

[0025]以下の説明では、実施形態が、１つ又は複数のコンピューティングシステムによって実行される動作を参照して説明される。そのような動作が、ソフトウェアにおいて実施される場合、１つ又は複数のプロセッサ（その動作を実行する関連コンピューティングシステムの）が、実行されたコンピュータ実行可能命令の実行に応答してコンピューティングシステムの動作を指示する。たとえば、そのようなコンピュータ実行可能命令は、コンピュータプログラム製品を形成する１つ又は複数のコンピュータ可読媒体で実施され得る。そのような動作の一例は、データの操作を含む。コンピュータ実行可能命令（及び、操作されたデータ）は、コンピューティングシステム１００のメモリ１０４に記憶され得る。コンピューティングシステム１００はまた、コンピューティングシステム１００が、たとえばネットワーク１１０を介して、他のコンピューティングシステムと通信できるようにする通信チャネル１０８を含み得る。コンピューティングシステム１００はまた、ユーザーに視覚的表現を表示するために使用され得るディスプレイを含む。

[0026]本明細書に記載される実施形態は、以下にさらに詳しく論じられるような、たとえば、１つ又は複数のプロセッサ及びシステムメモリなど、コンピュータハードウェアを含む特定用途又は汎用コンピューティングシステムを備え得る又は使用し得る。本明細書に記載される実施形態はまた、コンピュータ実行可能命令及び／又はデータ構造体を運ぶ又は記憶するための物理的及び他のコンピュータ可読媒体を含む。そのようなコンピュータ可読媒体は、汎用又は特定用途コンピューティングシステムによってアクセスされ得る任意の使用可能な媒体でもよい。コンピュータ実行可能命令を記憶するコンピュータ可読媒体は、物理記憶媒体である。コンピュータ実行可能命令を運ぶコンピュータ可読媒体は、伝送媒体である。したがって、例として、そして、限定ではなく、本発明の実施形態は、少なくとも次の２つのはっきりと異なる種類のコンピュータ可読媒体を備え得る：記憶媒体及び伝送媒体。

[0027]コンピュータ可読記憶媒体は、ＲＡＭ、ＲＯＭ、ＥＥＰＲＯＭ、ＣＤ−ＲＯＭもしくは他の光ディスク記憶装置、磁気ディスク記憶装置もしくは他の磁気記憶装置、又は、コンピュータ実行可能命令もしくはデータ構造体の形で所望のプログラムコード手段を記憶するために使用され得る、そして汎用もしくは特定用途コンピューティングシステムによってアクセスされ得る、任意の他の物理的及び有形の記憶媒体を含む。

[0028]「ネットワーク」が、コンピューティングシステム及び／又はモジュール及び／又は他の電子デバイスの間の電子データの移送を可能にする１つ又は複数のデータリンクとして定義される。情報が、ネットワーク又は別の通信接続（ハードワイヤード、ワイヤレス、又は、ハードワイヤードもしくはワイヤレスの組合せのいずれか）を介してコンピューティングシステムに転送又は提供されるとき、コンピューティングシステムは、その接続を伝送媒体として適切に見なす。伝送媒体は、コンピュータ実行可能命令又はデータ構造体の形で所望のプログラムコード手段を運ぶために使用され得る及び汎用又は特定用途コンピューティングシステムによってアクセスされ得る、ネットワーク及び／又はデータリンクを含み得る。前述の組合せはまた、コンピュータ可読媒体の範囲に含まれるべきである。

[0029]さらに、様々なコンピューティングシステム構成要素に到達したとき、コンピュータ実行可能命令又はデータ構造体の形のプログラムコード手段は、伝送媒体から記憶媒体に（又は、その逆に）自動的に転送され得る。たとえば、ネットワーク又はデータリンクを介して受信されるコンピュータ実行可能命令又はデータ構造体は、ネットワークインターフェースモジュール（たとえば、「ＮＩＣ」）内のＲＡＭにおいてバッファリングすることができ、次いで、コンピューティングシステムＲＡＭに及び／又はコンピューティングシステムにある揮発性の低い記憶媒体に最終的に転送され得る。したがって、記憶媒体は、伝送媒体もまた（又は主に）使用するコンピューティングシステム構成要素に含まれ得ることを理解されたい。

[0030]コンピュータ実行可能命令は、たとえば、プロセッサで実行されるときに汎用コンピューティングシステム、特定用途コンピューティングシステム、又は特定用途処理デバイスにある特定の機能又はグループの機能を実行させる命令及びデータを備える。コンピュータ実行可能命令は、たとえば、アセンブリ言語などの中間フォーマット命令など、プロセッサによる直接実行の前に何らかの変換（コンパイルなど）を受けるバイナリ又は命令、あるいはソースコードでもよい。本主題は、構造的特徴及び／又は方法論的動作に特有の言語で説明されるが、添付の特許請求の範囲において定義される本主題は、記載される特徴又は前述の動作に必ずしも限定されないことを理解されたい。そうではなくて、記載される特徴及び動作は、本特許請求の範囲を実装する例示的形として開示される。

[0031]本発明は、パーソナルコンピュータ、デスクトップコンピュータ、ラップトップコンピュータ、メッセージプロセッサ、ハンドヘルドデバイス、マルチプロセッサシステム、マイクロプロセッサベースの又はプログラマブル家庭用電化製品、ネットワークＰＣ、ミニコンピュータ、メインフレームコンピュータ、携帯電話、ＰＤＡ、ページャ、ルータ、スイッチ、データセンター、ウェアラブル（眼鏡など）などを含む、多数のタイプのコンピューティングシステム構成を有するネットワークコンピューティング環境において実施され得ることが、当業者には理解されよう。本発明はまた、ネットワークを介してリンクされた（ハードワイヤードデータリンク、ワイヤレスデータリンク、又は、ハードワイヤード及びワイヤレスデータリンクの組合せのいずれかによって）ローカル及び遠隔コンピューティングシステムが、両方ともタスクを実行する、分散型システム環境において実施され得る。分散型システム環境では、プログラムモジュールは、ローカル及び遠隔メモリ記憶装置の両方に置かれ得る。

[0032]本明細書に記載の原理によれば、パブリッククラウドでホストされたアプリケーションは、そのアプリケーションが、そのプライベートネットワークでローカルに実行する場合と同じように、遠隔プライベートネットワーク上の資源と通信する。さらに、そのような接続は、ごくわずかなジェスチャで構成され得る。アプリケーションがホストされるランタイムにエージェントを組み込ませることによって、そのような接続は、１）関連ブリッジングインフラストラクチャでの遠隔資源の論理的表現の作成と、２）ブリッジングインフラストラクチャに自動的に接続するプライベートネットワーク上のその遠隔資源のプロキシのインストレーションと、３）遠隔資源のトラフィックをインターセプトするためのアプリケーションランタイムにおけるエージェントの自動的構成及びブリッジングインフラストラクチャへの方向付けとを含む、文字通り少しの構成ジェスチャで確立され得る。本機構の１つの固有の機能は、ウェブ又はモバイル層などのアプリケーショングループ（又は層（ｔｉｅｒ））全体が、安全なプライベートネットワーク上のデータベースなどの他のクリティカル層を維持しながら任意のコード又は構成変更なしにプライベートネットワークからパブリッククラウドに移動され得るということである。

[0033]本説明及び以下の特許請求の範囲において、「クラウドコンピューティング」は、構成可能コンピューティング資源（たとえば、ネットワーク、サーバ、ストレージ、アプリケーション、及びサービス）の共用プールへのオンデマンドネットワークアクセスを可能にするためのモデルとして定義される。「クラウドコンピューティング」の定義は、適切に配置されるときそのようなモデルから得られ得るその他の多数の利点のいずれにも限定されない。

[0034]たとえば、クラウドコンピューティングは、現在、構成可能コンピューティング資源の共用プールへのユビキタスの及び便利なオンデマンドアクセスを提供するために市場において使用される。さらに、構成可能コンピューティング資源の共用プールは、仮想化を介して速やかに準備し、少ない経営努力又はサービスプロバイダ対話でリリースし、次いで、それに応じて調整することができる。

[0035]クラウドコンピューティングモデルは、オンデマンドセルフサービス、ブロードネットワークアクセス、資源プーリング、高速弾力性（ｒａｐｉｄ ｅｌａｓｔｉｃｉｔｙ）、度数制（ｍｅａｓｕｒｅｄ ｓｅｒｖｉｃｅ）などのような様々な特徴で構成され得る。クラウドコンピューティングモデルはまた、たとえば、ソフトウェア・アズ・ア・サービス（「ＳａａＳ：Ｓｏｆｔｗａｒｅ ａｓ ａ Ｓｅｒｖｉｃｅ」）、プラットフォーム・アズ・ア・サービス（「ＰａａＳ：Ｐｌａｔｆｏｒｍ ａｓ ａ Ｓｅｒｖｉｃｅ」）、及び、インフラストラクチャ・アズ・ア・サービス（「ＩａａＳ：Ｉｎｆｒａｓｔｒｕｃｔｕｒｅ ａｓ ａ Ｓｅｒｖｉｃｅ」）などの様々なサービスモデルの形で現れ得る。クラウドコンピューティングモデルはまた、プライベートクラウド、コミュニティクラウド、パブリッククラウド、ハイブリッドクラウドなどのような異なる配備モデルを使用して配備され得る。本説明において及び本特許請求において、「クラウドコンピューティング環境」は、クラウドコンピューティングがその中で使用される環境である。

[0036]図２は、本明細書で説明される原理がその中で機能し得る環境２００を示す。環境２００は、パブリッククラウド２１０及びプライベートネットワーク２２０を含む。パブリッククラウド２１０は、様々なアプリケーション２１１をそこで動作させる。たとえば、パブリッククラウド２１０は、アプリケーション２１１Ａ、２１１Ｂ及び２１１Ｃをそこで動作させるものとして示されるが、省略記号２１１Ｄは、パブリッククラウド２１０によって動作させられるアプリケーションの数の柔軟性を表す。アプリケーション２１１Ａは、本明細書で説明される基本的例として使用されることになるので、それは、少し大きく示される。パブリッククラウド２１０は、複数の顧客を有するクラウドコンピューティングモデルを実装することができ、したがって、「パブリック」という用語を有する。

[0037]プライベートネットワーク２２０は、その中に動作するオンプレミス資源２２１を有する。たとえば、オンプレミス資源２２１は、資源２２１Ａ及び２２１Ｂを含むものとして示されるが、省略記号２２１Ｃは、プライベートネットワーク２２０内で動作する非常に様々な資源が存在し得ることを表す。資源２２１Ａは、本明細書で説明される基本的例として使用されることになるので、それは、少し大きく示される。アクセスされ得る資源の例は、たとえば、データベース、サーバ、ストレージ、ファイル、ディレクトリなどを含む。プライベートネットワーク２２０内の資源２２１Ａにアクセスするためにパブリッククラウド２１０内のアプリケーション２１１Ａによって使用されることになるブリッジングインフラストラクチャ２３０もまた存在する。矢印２３１から２３８は、ブリッジングインフラストラクチャ２３０の使用に関連する例示的データの流れを表し、図７と併せて以下でさらに説明されることになる。

[0038]図３に示すように、ブリッジングインフラストラクチャに関連する３つの時間的ステージ３００が存在する。準備ステージ３１０には、接続ステージ３２０が続き、その後に使用ステージ３３０が続く。準備ステージ３１０の目的は、接続ステージ３２０の実行をより容易に、さらに自動的にすることである。実際には、接続ステージ３２０は、使用ステージ３３０の直前まで延期することができ、使用ステージ３３０の時には、パブリッククラウドが、オンプレミス資源２２１Ａと通信するために、ブリッジングインフラストラクチャ２３０を実際に使用する。

[0039]図４は、パブリッククラウドとプライベートネットワーク内のオンプレミス資源との接続を自動的に準備するための方法４００の流れ図である。方法４００は、図３の準備ステージ３１０の一例である。方法４００は、図２のネットワーク環境２００において実行され得るので、図４の方法４００は、図２をたびたび参照してここで説明される。

[0040]方法４００は、パブリッククラウドにおいて実行するアプリケーションが、プライベートネットワークのオンプレミス資源にアクセスしようと決定した（動作４０１）ときに、開始される。たとえば、プライベートネットワーク２２０内のユーザーは、パブリッククラウド２１０のアプリケーション２１１Ａがプライベートネットワーク２１０の資源２２１Ａにアクセスすることになると決定し得る。たとえば、アプリケーション２１１Ａは、情報を供する又は要求を処理するために、プライベートネットワーク２２０内に置かれた資源２２１Ａへのアクセスを必要とし得る。遠隔資源にアクセスしようとするそのようなインテントは、アプリケーション開発中にアプリケーション２１１Ａの開発者によって指示又は構成され得る。別法として、このインテントは、管理者によってアプリケーション２１１Ａの配備又は構成中に決定され得る。

[0041]方法４００は、ユーザーが制御（たとえば、ハイパーリンク）と対話したときに線４１０の下の内容を自動的に実行することによって実行される。具体的には、オンプレミス資源へのアクセスを提供するブリッジング構造体が、識別される（動作４１１）。これは、ハイパーリンク内の引数（ａｒｇｕｍｅｎｔ）として含まれ得る。したがって、ウェブサイトは、ユーザーがウェブサイトにオンプレミス資源の識別を提供したときに、ブリッジングインフラストラクチャを割り当てることができる。ブリッジングインフラストラクチャに接続するために使用される資格情報が、次いで、アクセスされる（動作４１２）。これは、アプリケーション特有の資格情報２５１が、パブリッククラウド２１０内のアプリケーション２１１Ａに提供されるステップ（動作４１３）を含む。たとえば、図２では、資源特有の資格情報２４１が、ブリッジングインフラストラクチャ２３０をオンプレミス資源２２１Ａと接続する第１の制御２４２を確立するために使用され得る。アプリケーション特有の資格情報２４２が、ブリッジングインフラストラクチャ２３０をアプリケーション２１１Ａと接続する第２の制御２５２を確立するために使用され得る。

[0042]さらに、方法４００は、資源特有の資格情報、制御２４２のための実行ファイル及びオンプレミス資源の識別を含む、構成パッケージを作成するステップ（動作４１４）を含む。制御２４２のための実行ファイルは、ユーザーによる制御の選択時に実行されるように構成され、資源特有の資格情報を使用してプライベートネットワーク上のオンプレミス資源とブリッジングインフラストラクチャとの接続を提供する。言い換えれば、実行ファイルは、第１の制御２４２を確立するために使用され得る。

[0043]したがって、方法４００の完了時に、環境２００のプライベートネットワーク２２０は、資源特有の資格情報２４１と、資源２２１Ａとブリッジングインフラストラクチャ２３０との接続を確立するために相互に作用され得る（資源特有の資格情報２４１を有することとの関連で）制御２４２とを有する。さらに、パブリッククラウド２１０は、アプリケーション特有の資格情報２５１と、アプリケーション２１１Ａとブリッジングインフラストラクチャ２３０との間の接続を確立するためにパブリッククラウドによって使用され得る（アプリケーション特有の資格情報２５１を有することに関連して）制御２５２とを有する。

[0044]本方法は、各オンプレミス資源の異なるブリッジングインフラストラクチャを確立するためにプライベートネットワーク２２０内の異なる資源について複数回実行され得る。各資源について異なる資源特有の制御が存在し得る。いくつかの実施形態では、複数のアプリケーションが、同じオンプレミス資源を使用しようとする場合、対応する制御２４２が、パブリッククラウド内で実行する複数のアプリケーションのオンプレミス資源に接続するために使用され得る。オンプレミス資源に接続する各アプリケーションについて異なるアプリケーション特有の制御もまた存在し得る。いくつかの実施形態では、複数のアプリケーションが、同じオンプレミス資源を使用することになる場合、それらは、同じ制御２５２を共用し得る。省略記号２２５は、同様のブリッジングインフラストラクチャが、パブリッククラウド２１０と他のプライベートネットワークとの間に同様に確立され得ることを表す。

[0045]図５は、ブリッジングインフラストラクチャが、プライベートネットワークにおいてホストされるようにセットアップされた資源プロキシ制御２４２で準備される、例示的環境を示す。この図では、パブリッククラウドは、「Ａｚｕｒｅ（空色）」のラベルを付される。しかし、本明細書で説明される原理は、パブリッククラウドのプロバイダ又は識別にかかわらず、プライベートネットワーク内の資源との接続を可能にするための任意のパブリッククラウドに適用され得る。プライベートネットワークの信頼境界は、「コープネット信頼境界（Ｃｏｒｐｎｅｔ Ｔｒｕｓｔ Ｂｏｕｎｄａｒｙ）」のラベルを付される。パブリッククラウド内のアプリケーションがプライベートネットワーク内の資源にアクセスすることを可能にするための、パブリッククラウドとプライベートネットワークとの接続は、本明細書で、「ハイブリッド接続」と呼ばれる。

[0046]先ず、ユーザーが、プライベートネットワーク上の遠隔資源のネットワークアドレスを指定する論理ハイブリッド接続を作成する。これは、２つの資格情報、オンプレミスプロキシ上の受信権利を有する第１の資格情報（すなわち、資源特有の資格情報）及びパブリッククラウド上のアプリケーションのための送信権利を有する第２の資格情報（すなわち、アプリケーション特有の資格情報）、を自動的に生成する。これはまた、存続期間が短いワンタイムパスワード（ＯＴＰ）を自動的に生成し、プライベートネットワークのための資源プロキシへのリンクにおける質問パラメータとしてパスワードを組み込む（図５の矢印１を参照）。

[0047]ユーザーは、次いで、プライベートネットワークからオンプレミスプロキシへのリンクをクリックし得る（図５の矢印２を参照）。これは、アプリケーションをダウンロードさせる（図５の矢印３を参照）。アプリケーションは、リンクの質問パラメータから存続期間が短いワンタイムパスワード（ＯＴＰ）を抽出し、そのパスワードを使用して、受信権利を有する資格情報を取得する。アプリケーションは、次いで、プライベートネットワーク上にプロキシサービス（図５の「ハイブリッド接続マネージャＣＯアプリケーション」）を構成し、それを受信権利を有する資格情報に提供する。

[0048]プライベートネットワーク上のプロキシサービスが、次いで、自動的に開始する。プロキシサービスは、受信権利を有する資格情報を使用して、どのオンプレミス資源がそれがプロキシに設計されたかを判定し、次いで、それ自体をそのサービスのプロキシとして構成する。図５の矢印４から１０は、これが特定の実装形態についてどのように生じ得るかを示すが、他の手法もまた、これを目的として使用され得る。

[0049]パブリッククラウド上のアプリケーションが、プライベートネットワーク上の遠隔資源を表す所望の論理ハイブリッド接続へのリンクで構成される。送信権利を有する資格情報が、アプリケーションで構成され、そのアプリケーションは、論理ハイブリッド接続に接続する。

[0050]図６は、パブリッククラウドからプライベートネットワーク内のオンプレミス資源へのアクセスを確立するための方法６００の流れ図である。方法６００は、図３の接続ステージ３２０の一環として実行することができ、図２の環境２００との関連において実行され得る。したがって、図６の方法６００は、図２の環境２００をたびたび参照してここで説明される。

[0051]本方法は、パブリッククラウドとプライベートネットワークとの間で動作することになるブリッジングインフラストラクチャに自動的にアクセスするステップ（動作６０１）を含む。たとえば、図２を参照すると、ブリッジングインフラストラクチャ２３０は、第１の制御２４２を使用してプライベートネットワーク２２０内のユーザーシステムと対話するように構成される。第１の制御２４２は、ブリッジングインフラストラクチャのための資源特有の資格情報で構成されるとき、第１の制御２４２が、ブリッジングインフラストラクチャ２３０への安全な接続を自動的に確立するように、構築される。そのような接続が確立されるとき、第１の制御２４２は、ブリッジングインフラストラクチャ２３０がアクセスする準備をされたオンプレミス資源２２１Ａを識別する。さらに、第１の制御２４２は、第２の制御２５２によってブリッジングインフラストラクチャ２３０に転送されたインターセプトされたトラフィックをブリッジングインフラストラクチャ２３０から受信するように構築される。第１の制御２４２は、インターセプトされたトラフィックをブリッジングインフラストラクチャ２３０から資源２２１Ａに転送するようにそれ自体を構成する。第２の制御２５２は、同様に、アプリケーション２１１Ａからの、オンプレミス資源２２１Ａに宛てられたトラフィックを適切なフレーミングメッセージにおいてフレーミングし、それをブリッジングインフラストラクチャ２３０に経路変更して、それをインターセプトするように構成される。さらに、第２の制御２５２は、パブリッククラウド２１０において実行するアプリケーションに提供される（動作６０２）。第２の制御２５２は、アプリケーション２２１Ａが、ブリッジングインフラストラクチャ２３０を介してプライベートネットワークのオンプレミス資源と安全に接続し得るように、構築される。第２の制御２５２は、ブリッジングインフラストラクチャ２３０との接続を常に維持することができ、あるいは、別法として、その接続は、オンデマンドで確立され得る。その接続が、オンデマンドで確立される場合、次いで、アプリケーション２１１Ａは、資源２２１Ａにアクセスしようと試みる（動作６０３）ので、第２の制御２５２は、アプリケーション２１１Ａとオンプレミス資源２２１Ａとの間の通信経路を確定する。

[0052]図７は、プライベートクラウド内のアプリケーション及びオンプレミス資源に接続された後にブリッジングインフラストラクチャを使用するための方法７００の流れ図である。方法７００は、図６の使用ステージ６３０の一例を表す。方法７００は、図２で参照されるいくつかのデータの流れ２３１から２３８をもたらすために図２の環境２００内で実行され得る。したがって、図７の方法７００は、図２の環境２００に関してここで説明されることになる。第２の制御によって実行される動作は、見出し（「第２の制御」）の下の図７の左の列において参照され、７１０代のラベルを付される。第１の制御によって実行される動作は、見出し（「第１の制御」）の下の図７の右の列において参照され、７２０代のラベルを付される。

[0053]第２の制御は、先ず、オンプレミス資源に宛てられたアプリケーションからの通信をインターセプトする（動作７１１）。たとえば、図２において、第２の制御２５２は、アプリケーション２１１Ａからの通信を受信する（矢印２３１によって表されるように）。この通信は、その資源がパブリッククラウド内からアクセスされる場合と同じに構築されてもよい。したがって、アプリケーション２１１Ａ自体は、その資源が実際にどこに置かれるかに全く依存しなくてもよい。第１の制御２４２、第２の制御２５２及びブリッジングインフラストラクチャ２３０によって確立された通信チャネルの存在は、アプリケーション２１１Ａからすると抽象化されたものでもよい。

[0054]第２の制御は、次いで、適切なフレーミング又はトンネリング機構を使用してアプリケーション２１１Ａから元のメッセージをフレーミングし、オンプレミス資源に第１の制御による経路指定のためにブリッジングインフラストラクチャを介して通信をリダイレクトする（動作７１２）。元のメッセージのフレーミングは、アクセス制御のために又はオンプレミス資源によって元のメッセージを正確に処理するために必要とされ得る任意のメッセージヘッダ又は他の制御情報を保存する。もちろん、この通信は、セキュリティのために暗号化され得る。たとえば、図２では、第２の制御２５２は、ブリッジングインフラストラクチャ２３０を介する通信をリダイレクトするものとして示される（矢印２３２によって表される）。

[0055]第１の制御は、次いで、リダイレクトされた通信をブリッジングインフラストラクチャを介して受信する（動作７２１）。たとえば、図２では、第１の制御２４２は、通信を受信するものとして示される（矢印２３３によって表される）。第１の制御は、次いで、元のメッセージからフレーミングを取り除き、通信をオンプレミス資源にリダイレクトする（動作７２２）。たとえば、図２では、第１の制御２４２は、オンプレミス資源２２１Ａに通信をリダイレクトするものとして示される（矢印２３４によって表される）。オンプレミス資源からの通信への応答がない場合（決定ブロック７３２における「いいえ」）、次いで、方法７００は、終了し得る。

[0056]通信への応答がある場合（決定ブロック７２３における「はい」）、次いで、第１の制御は、その応答を受信し（動作７２４）、選択されたフレーミング機構を使用してそれをフレーミングし、ブリッジングインフラストラクチャを介してその応答を転送する（動作７２５）。たとえば、図２において、第１の制御２４２は、オンプレミス資源２２１Ａから応答を受信し（矢印２３５によって表されるように）、その応答をブリッジングインフラストラクチャ２３０にリダイレクトする（矢印２３６によって表されるように）。

[0057]第２の制御は、ブリッジングインフラストラクチャを介して応答を受信し（動作７１３）、第１の制御によって追加されたフレーミングを取り除き、オンプレミス資源からアプリケーション２１１Ａに元の応答をリダイレクトする（動作７１４）。たとえば、図２では、第２の制御２４２は、ブリッジングインフラストラクチャ２３０を介して応答を受信し（矢印２３７によって表されるように）、アプリケーションに応答をリダイレクトして戻す（矢印２３８によって表されるように）。いくつかの実施形態では、応答は、オンプレミス資源がパブリッククラウド内にあるかプライベートネットワーク内にあるかにかかわらず、同じものに見え、又は同じスキーマを有し得る。

[0058]図８は、パブリッククラウド内のアプリケーションが、次いで、ブリッジングインフラストラクチャを使用してプライベートネットワーク上の資源にどのようにアクセスし得るかのより具体的な例を示すランタイムプロセスを示す。この場合、アプリケーションは、ウェブサイトである。この場合もやはり、アプリケーションは、「Ａｚｕｒｅ」ウェブサイトのラベルを付されるが、本明細書で説明される原理は、任意の特定のパブリッククラウド識別又はプロバイダに限定されず、プライベートネットワーク資源を要求するアプリケーションプロバイダ又は識別に限定されない。どんな場合にも、アプリケーションは、遠隔資源（パブリッククラウドから直接到達することができない）を、それが近くに位置するかのように、そして、それが直接アクセス可能であるかのように、アドレス指定する。

[0059]アプリケーションがホストされるパブリッククラウドプラットフォームは、エージェントをアプリケーションランタイムに組み込む。エージェント（図８のハイブリッド接続エージェント）は、アプリケーションがリンクされる先の論理ハイブリッド接続、及び、それが表す遠隔資源のアドレス／ポート情報を決定する。エージェントは、遠隔資源に宛てられたアプリケーションからのすべてのトラフィックをインターセプトし、元のメッセージのフレーミングのためにＮｅｔＴｃｐＲｅｌａｙＢｉｎｄｉｎｇを使用し、それをハイブリッド接続に送信する。ＮｅｔＴｃｐＲｅｌａｙＢｉｎｄｉｎｇが、この特定の例では使用されるが、他のフレーミング機構又はトンネリングプロトコルが、使用され得る。

[0060]ハイブリッド接続は、アプリケーションによって送信されたすべての要求を遠隔資源へのさらなる転送のためにプライベートネットワークでホストされた資源プロキシ（図８の「ハイブリッド接続マネージャサービス」）に転送する。さらに、ハイブリッド接続は、遠隔資源によって送信されたすべての応答をアプリケーションに転送する。

[0061]プライベートネットワーク上のプロキシサービスは、アウトバウンドネットワーク接続（たとえば、ＴＣＰ、ＨＴＴＰ、ＨＴＴＰＳ又はＷｅｂＳｏｃｋｅｔを介する）を使用してパブリッククラウドからの接続要求をリッスンする。パブリッククラウド上のアプリケーションからの接続要求は、次いで、プライベートネットワーク上の資源に転送され、応答は、パブリッククラウド上のアプリケーションに返される。プロキシは、元のメッセージを資源に転送する前に、元のメッセージからＮｅｔＴｃｐＲｅｌａｙＢｉｎｄｉｎｇのフレーミングを取り除き、資源からの応答をアプリケーションに返すときにそのフレーミングを逆に追加する。

[0062]したがって、本明細書で説明される原理は、パブリッククラウド内のアプリケーションがオンプレミス資源に接続できるようにするブリッジングインフラストラクチャを準備、接続及び使用するための便利な高度に自動化された機構を提供する。本発明は、その趣旨又は本質的特質を逸脱することなしに他の特定の形で実施され得る。記載された実施形態は、あらゆる点に単に例示であり、限定ではないものとして考えられるものとする。したがって、本発明の範囲は、前述の説明によってではなくて、添付の特許請求の範囲によって示される。本特許請求の範囲と同等の意味及び範囲内にあるすべての変更は、それらの範囲内に包含されるものとする。

Claims (10)

1. パブリッククラウドとプライベートネットワーク内のオンプレミス資源との接続を自動的に準備するための方法であって、
   前記パブリッククラウドにおいて実行するアプリケーションが前記プライベートネットワークのオンプレミス資源にアクセスしようとすることを決定する動作と、
   前記決定する動作に応答して、
   前記オンプレミス資源へのアクセスを提供するブリッジングインフラストラクチャを識別する動作、
   前記ブリッジングインフラストラクチャに接続するために使用される資格情報にアクセスする動作、
   アプリケーション特有の資格情報を前記パブリッククラウド上の前記アプリケーションに安全に提供する動作であり、前記アプリケーション特有の資格情報が、前記識別されたブリッジングインフラストラクチャに接続するために前記パブリッククラウド上のエージェントによって使用可能な動作、並びに、
   資源特有の資格情報、制御のための実行ファイル及び前記オンプレミス資源の前記識別を含む構成パッケージを作成する動作であり、前記制御のための前記実行ファイルが、ユーザーによる選択時に実行されるように構成され、前記資源特有の資格情報を使用して前記プライベートネットワーク上のオンプレミス資源と前記ブリッジングインフラストラクチャとの接続を提供する動作
   を自動的に実行する動作と
   を含む、方法。
2. 前記プライベートネットワーク内の前記オンプレミス資源が、前記プライベートネットワーク内の第１のオンプレミス資源であり、前記ブリッジングインフラストラクチャが、第１のブリッジングインフラストラクチャであり、前記資格情報が、第１の資格情報であり、前記アプリケーション特有の資格情報が、第１のアプリケーション特有の資格情報であり、前記資源特有の資格情報が、第１の資源特有の資格情報であり、
   前記パブリッククラウドにおいて実行する前記アプリケーションがプライベートネットワークの第２のオンプレミス資源にアクセスしようすることを決定する動作と、
   前記パブリッククラウドにおいて実行する前記アプリケーションが前記プライベートネットワークの前記第２のオンプレミス資源にアクセスしようとすることを決定する前記動作に応答して、
   アクセスを前記第２のオンプレミス資源に提供する第２のブリッジングインフラストラクチャを識別する動作、
   前記第２のブリッジングインフラストラクチャに接続するために使用される第２の資格情報にアクセスする動作、
   第２のアプリケーション特有の資格情報を前記パブリッククラウド上の前記アプリケーションに安全に提供する動作であって、前記第２のアプリケーション特有の資格情報が、前記第２のブリッジングインフラストラクチャに接続するために前記パブリッククラウド上のエージェントによって使用可能である動作、及び、
   第２の資源特有の資格情報及び前記第２のオンプレミス資源の前記識別を含む構成パッケージを作成する動作であって、前記制御のための前記実行ファイルの前記実行が、前記第２の資源特有の資格情報を使用して前記プライベートネットワーク上の第２のオンプレミス資源と前記第２のブリッジングインフラストラクチャとの接続を提供する動作
   を自動的に実行する動作と
   をさらに含む、請求項１に記載の方法。
3. 前記オンプレミス資源がサーバである、請求項１に記載の方法。
4. 前記オンプレミス資源がデータベースである、請求項１に記載の方法。
5. 前記オンプレミス資源がストレージである、請求項１に記載の方法。
6. 前記パブリッククラウドにおいて実行するアプリケーションが前記プライベートネットワークのオンプレミス資源にアクセスしようとすることを決定する前記動作が、
   ウェブサイトにナビゲートし、前記オンプレミス資源が前記パブリッククラウドに使用可能にされることになることをそのウェブサイトに示す動作
   を含む、請求項１に記載の方法。
7. 前記決定する動作が、
   前記ブリッジングインフラストラクチャ及びオンプレミス資源に固有の、そして前記資源特有の資格情報を得るために選択可能な制御を受信する動作
   をさらに含む、請求項６に記載の方法。
8. 前記決定する動作が、
   前記ユーザーが前記制御を選択し、それによって、前記自動的に実行する動作を開始する動作
   をさらに含む、請求項７に記載の方法。
9. 前記制御がハイパーリンクである、請求項７に記載の方法。
10. コンピューティングシステムの１つ又は複数のプロセッサによって実行されるときに、パブリッククラウドにおいて実行するアプリケーションがプライベートネットワークのオンプレミス資源にアクセスしようとするという決定に応答して前記コンピューティングシステムに前記パブリッククラウドと前記プライベートネットワーク内のオンプレミス資源との接続を自動的に準備させるように構築されたコンピュータ実行可能命令を有する１つ又は複数のコンピュータ可読記憶媒体を備える、コンピュータプログラム製品であって、
    前記オンプレミス資源へのアクセスを提供するブリッジングインフラストラクチャを識別する動作、
    前記ブリッジングインフラストラクチャに接続するために使用される資格情報にアクセスする動作、
    アプリケーション特有の資格情報を前記パブリッククラウド上の前記アプリケーションに安全に提供する動作であり、前記アプリケーション特有の資格情報が、前記識別されたブリッジングインフラストラクチャに接続するために前記パブリッククラウド上のエージェントによって使用可能な動作、並びに、
    資源特有の資格情報、制御のための実行ファイル及び前記オンプレミス資源の前記識別を含む構成パッケージを作成する動作であり、前記制御のための前記実行ファイルが、ユーザーによる選択時に実行されるように構成され、前記資源特有の資格情報を使用して前記プライベートネットワーク上のオンプレミス資源と前記ブリッジングインフラストラクチャとの接続を提供する動作
    である、コンピュータプログラム製品。

Images