JP2022079638A - 仮想ネットワーク検証サービス - Google Patents

Abstract

【課題】宣言型論理プログラミング言語を利用して、クライアントが仮想ネットワークについてのクエリを制約問題として提示できるようにする、プロバイダネットワーク用の仮想ネットワーク検証サービスを提供する。【解決手段】プロバイダネットワーク環境における仮想ネットワークのネットワーキングプリミティブのためのセマンティクスおよび論理であって、論理プログラミング言語に従って、ルールのセットとしてエンコードすることができる。ルールにおいては、ネットワーキングセキュリティ標準および／またはクライアント定義ルールも、仮想ネットワークの記述を取得してエンコードすることができる。次いで、クエリによって表現された制約問題は、制約ソルバーエンジンを使用して、エンコードされたルールに従って、エンコードされた記述について解決することができ、結果はクライアントに提供され得る。【選択図】図５

Description

多くの企業および他の組織は、（例えば、ローカルネットワークの一部として）同じ場
所に配置されているか、または代わりに（例えば、１つ以上のプライベートまたは公衆の
中間ネットワークを介して接続された）複数の異なる地理的位置に配置されたコンピュー
ティングシステムなど、多数のコンピューティングシステムを相互接続するコンピュータ
ネットワークを操作してコンピュータネットワークの動作をサポートする。例えば、単一
の組織によって、および単一の組織のために運営されるプライベートデータセンターや、
顧客にコンピューティングリソースを提供するビジネスとして企業により運営されるパブ
リックデータセンターなど、多数の相互接続されたコンピューティングシステムを収容す
るデータセンターが普及している。パブリックデータセンター運営者の中には、様々な顧
客が所有するハードウェアにネットワークアクセス、電力および安全な設置設備を提供す
るものもあれば、顧客が使用できるようにされたハードウェアリソースも含む「フルサー
ビス」設備を提供するものもある。

いくつかの実施形態による、プロバイダネットワーク環境における仮想ネットワーク検証サービスを示す図である。 いくつかの実施形態による、例示的な仮想ネットワーク検証サービスの構成要素および動作を示す図である。 いくつかの実施形態による、クライアントが仮想ネットワークについての記述的情報とクエリとを仮想ネットワーク検証サービスへ提供し、仮想ネットワーク検証サービスがクエリを処理して結果をクライアントに提供することを示す図である。 いくつかの実施形態による、クライアントがクエリと仮想ネットワークへのアクセス許可とを仮想ネットワーク検証サービスに提供し、仮想ネットワーク検証サービスが仮想ネットワークから記述的情報を取得し、クエリを処理し、結果をクライアントに提供することを示す図である。 いくつかの実施形態による、仮想ネットワークについての情報をプロバイダネットワークのクライアントに提供するための方法のハイレベルフローチャートである。 いくつかの実施形態による、プロバイダネットワークのクライアントに仮想ネットワークについての情報を提供する方法のフローチャートであり、クライアントは、仮想ネットワーク検証サービスに記述的情報およびクエリを提供する。 いくつかの実施形態による、仮想ネットワークについての情報をプロバイダネットワークのクライアントに提供するための方法であって、この場合にクライアントが仮想ネットワークにアクセスするための記述的情報および許可を仮想ネットワーク検証サービスに提供する方法のフローチャートである。 いくつかの実施形態による、ピア仮想ネットワークを含むプロバイダネットワーク環境における仮想ネットワークの実装形態を示す図である。 いくつかの実施形態による、クライアント用の仮想ネットワークを自動的に合成するための方法のフローチャートである。 いくつかの実施形態による、クライアント用の仮想ネットワークを自動的に合成するための別の方法のフローチャートである。 いくつかの実施形態による、例示的なプロバイダネットワーク環境を示す図である。 いくつかの実施形態による、ＩＰトンネリング技術を使用してネットワーク基板上にオーバーレイネットワークを実装する例示的なデータセンターを示す図である。 いくつかの実施形態による、ストレージ仮想化サービスおよびハードウェア仮想化サービスをクライアントに提供する例示的なプロバイダネットワークのブロック図である。 いくつかの実施形態による、少なくともいくつかのクライアントに仮想ネットワークを提供する例示的なプロバイダネットワークを示す図である。 いくつかの実施形態による、プロバイダネットワーク上の例示的仮想ネットワーク内のサブネットおよびセキュリティグループを示す図である。 いくつかの実施形態で使用され得る例示的なコンピュータシステムを示すブロック図である。

実施形態は、いくつかの実施形態および例示的な図面の例として本明細書に記載されて
いるが、当業者は、記載された実施形態または図面に限定されないことを認識するであろ
う。しかし、図面およびその詳細な説明は、本発明を開示された特定の形態に限定するこ
とを意図するものではなく、むしろ、その意図は、添付の特許請求の範囲によって定義さ
れる主旨および範囲に該当する全ての変更、均等物、および代替物を包含することが理解
されるべきである。本明細書で使用される見出しは、編成目的のみのためであり、そして
説明または請求項の範囲を限定するために使用されることを意味しない。本出願を通して
使用されるように、「可能性がある（ｍａｙ）」という語は、必須の意味（すなわち、必
然的な意味）ではなく、寛容な意味（すなわち、可能性を有するという意味）で使用され
る。同様に、「含む（ｉｎｃｌｕｄｅ）」、「含む（ｉｎｃｌｕｄｉｎｇ）」、および「
含む（ｉｎｃｌｕｄｅｓ）」という語は、含むがそれに限定されないことを意味する。請
求項で使用されるとき、用語「または」は、包括的なまたはとして使用され、排他的なま
たはとしては使用されない。例えば、「ｘ、ｙ、またはｚのうちの少なくとも１つ」とい
う句は、ｘ、ｙ、およびｚのうちの任意の１つ、ならびにそれらの任意の組合せを意味す
る。

プロバイダネットワーク環境において仮想ネットワークを検証するための方法および装
置の様々な実施形態が説明される。宣言型論理プログラミング言語を利用して、プロバイ
ダネットワーク上の仮想ネットワークについての再帰クエリを含むクエリを制約問題とし
て表現し、制約ソルバー（例えば、充足可能性モジュロ理論（ｓａｔｉｓｆｉａｂｉｌｉ
ｔｙ ｍｏｄｕｌｏ ｔｈｅｏｒｙ，ＳＭＴ）ソルバー）エンジンを用いてクエリを解決
することによってクエリに対する結果を提供することを可能にする仮想ネットワーク検証
サービスの実施形態について説明する。いくつかの実施形態で使用され得る例示的な宣言
型論理プログラミング言語はＤａｔａｌｏｇである。他の宣言型論理プログラミング言語
が使用されてもよいことに留意されたい。

クライアントの仮想ネットワーク内でネットワーキングプリミティブをプロビジョニン
グおよび構成するために、クライアントは様々なプロバイダネットワークサービスを使用
することができ、各サービスはそれ自身のアプリケーションプログラミングインターフェ
ース（ａｐｐｌｉｃａｔｉｏｎ ｐｒｏｇｒａｍｍｉｎｇ ｉｎｔｅｒｆａｃｅ，ＡＰＩ
）およびネットワーキングセマンティクスを提供することができる。従来、コードサンプ
ルおよびドキュメンテーションが各サービスに提供され得るが、仮想ネットワークにおけ
るネットワーキングプリミティブ間の相互作用の正式な記述が存在していなかった。実施
形態では、ネットワーキングプリミティブのための仮想ネットワーキングセマンティクス
および論理は、論理プログラミング言語に従って仮想ネットワーキングルールのセットと
して表現およびエンコードされ得る。仮想ネットワーキングルールは、仮想ネットワーク
に実装され得るとともにプロバイダネットワークのサービスおよびＡＰＩによって提供さ
れる様々なネットワーキングプリミティブ間の共通の関係および相互作用を表現するルー
ルを含むことができる。したがって、実施形態は、プロバイダネットワーク環境において
仮想ネットワーキングがどのように機能するかの論理を記述する仮想ネットワーキングル
ールを１つのロケーションまたはファイルに提供することができる。

いくつかの実施形態では、仮想ネットワーキングルールは、ペイメントカード業界デー
タセキュリティ基準（Ｐａｙｍｅｎｔ Ｃａｒｄ Ｉｎｄｕｓｔｒｙ Ｄａｔａ Ｓｅｃ
ｕｒｉｔｙ Ｓｔａｎｄａｒｄ，ＰＣＩ ＤＳＳ）、連邦リスクおよび認可管理プログラ
ム（Ｆｅｄｅｒａｌ Ｒｉｓｋ ａｎｄ Ａｕｔｈｏｒｉｚａｔｉｏｎ Ｍａｎａｇｅｍ
ｅｎｔ Ｐｒｏｇｒａｍ，ＦｅｄＲＡＭＰ）標準、または医療保険の相互運用性と説明責
任に関する法律（Ｈｅａｌｔｈ Ｉｎｓｕｒａｎｃｅ Ｐｏｒｔａｂｉｌｉｔｙ ａｎｄ
Ａｃｃｏｕｎｔａｂｉｌｉｔｙ Ａｃｔ，ＨＩＰＰＡ）標準、またはクライアントの内
部セキュリティ標準などのネットワークセキュリティ標準をエンコードするルールを組み
込んでもよい。いくつかの実施形態では、仮想ネットワーク検証サービスは、クライアン
トの仮想ネットワークが特定の標準に準拠していることを検証するためにクライアントに
よって選択的に使用され得る異なるネットワーキングセキュリティ標準をそれぞれエンコ
ードする仮想ネットワーキングルールの２つ以上の異なるセットを提供し得る。いくつか
の実施形態では、仮想ネットワーク検証サービスは、クライアントの内部セキュリティ標
準、ベストプラクティスまたは他のネットワーキング要件をエンコードするカスタムルー
ルをクライアントが定義できるようにすることができ、したがって、クライアントの特定
の仮想ネットワークへの適用についてクライアントにより定義されるカスタムルールを含
む仮想ネットワーキングルールのセットが実装され得る。

実施形態では、仮想ネットワーク検証サービスは、クライアントの仮想ネットワークに
ついての記述的情報を取得する。記述的情報は、例えば、仮想ネットワークに実装された
ネットワーキングプリミティブのインスタンスを識別し、インスタンスの記述（例えば、
計算インスタンスに割り当てられた役割、リソースインスタンスに付与または拒否された
許可、インスタンスに割り当てられたＩＰアドレスなど）を含み、インスタンス間の関係
（例えば、インスタンス間のネットワークを介したパス）を記述し、外部エンティティ（
例えば、仮想ネットワークの外部のエンティティによってアクセスされ得る計算インスタ
ンス）へのインターフェースまたはアクセスポイントを記述し得る。いくつかの実施形態
では、クライアントは仮想ネットワークから記述的情報を取得し、その記述的情報を仮想
ネットワーク検証サービスに提供することができる。あるいは、いくつかの実施形態では
、クライアントは、仮想ネットワーク検証サービスが仮想ネットワークから記述的情報を
直接取得することを可能にする許可を、仮想ネットワーク検証サービスに与えてもよい。
仮想ネットワーク検証サービスは、宣言的論理プログラミング言語に従って記述的情報を
論理プログラムとしてエンコードすることができる。

仮想ネットワーク検証サービスの実施形態は、ポートスキャン方法および構文チェック
方法などの従来のネットワーク分析方法と比較したときに多大な利点をもたらすことがで
きる。これらの従来の方法とは異なり、仮想ネットワーク検証サービスは、エンコードさ
れた仮想ネットワーキングルールと仮想ネットワーク記述とを通じて、すべてのネットワ
ーキングプリミティブおよびリソースインスタンス、ならびにそれらの複雑な相互関係に
関する知識を有する。スキャン時に稼働しているデバイスに依存し、したがってスキャン
時に存在するデバイス間のネットワークを介したパスしか識別できない場合がある従来の
方法とは異なり、記述的情報は、仮想ネットワークを記述するメタデータを保持する１つ
以上のプロバイダネットワークサービスのＡＰＩへのＤＥＳＣＲＩＢＥコールのみを使用
してクライアントまたはサービスによって取得されることが可能であり、したがって、そ
れぞれのデバイスまたはインスタンスが起動および待機していなくてもネットワークを介
したパスが識別され得る。さらに、ポートスキャン方法では脅威の存在を識別できるが、
脅威の不在は識別できない。構文チェック方法は個々のネットワークデバイスの浅い特性
をチェックし得るが、攻撃ベクトルの有無を識別しない。一方、仮想ネットワーク検証サ
ービスの実施形態は、エンコードされた仮想ネットワーキングルールで表現されるような
ネットワークポリシーからの可能性のあるすべての逸脱を見つけることができ、脅威およ
び攻撃ベクトルの存在および不在の両方を識別することができる。さらに、記述的情報は
、仮想ネットワークを記述するメタデータを保持する１つ以上のプロバイダネットワーク
サービスへのＤＥＳＣＲＩＢＥコールのみを使用してクライアントまたはサービスによっ
て取得されてもよく、したがって、実体的なネットワークおよびＣＰＵ帯域幅を必要とす
るポートスキャン方法などの従来の方法とは異なって、クライアントの仮想ネットワーク
への影響はほとんどまたは全くなく、また、ポートスキャン方法の場合のように、プロバ
イダネットワーク上のあらゆるデバイスへの完全なネットワークアクセスは必要ない。

実施形態では、仮想ネットワーク検証サービスはクライアントからクエリを受信する。
いくつかの実施形態では、クエリは、ＳＱＬに類似しているがネットワーク構成に適用さ
れる表現的クエリ言語で提示され得る。そのようなクエリの非限定的な例は、仮想ネット
ワーク検証サービス（ｖｉｒｔｕａｌ ｎｅｔｗｏｒｋ ｖｅｒｉｆｉｃａｔｉｏｎ ｓ
ｅｒｖｉｃｅ，ＶＮＶＳ）に、インスタンスＡがインスタンスＢにＳＳＨすることができ
るようなインスタンスのすべてのペアのリストを提供するように要求する「ＶＮＶＳクエ
リ－ｉリスト：ｃａｎ－ｓｓｈ（Ａ，Ｂ）」のようなものであり得る。あるいは、いくつ
かの実施形態では、クエリはヒューマンフレンドリーな方法で提示され得る。そのような
クエリの非限定的な例は、「インスタンスＡがインスタンスＢにＳＳＨで入ることができ
るように、インスタンスのすべてのペアのリストを表示する」のようなものであり得る。
いくつかの実施形態において、少なくともいくつかのクエリが、予め定義され、仮想ネッ
トワーク検証サービスへのグラフィカルインターフェースを介して、ユーザインターフェ
ース要素（例えば、メニュー）においてクライアントに提供され得る。

クエリは、生成された論理プログラムについての定理に対応し、制約問題を表現する。
仮想ネットワーク検証サービスは、宣言型論理プログラミング言語に従って制約問題を解
決するように構成された制約ソルバープログラム（制約ソルバーエンジンとも呼ばれる）
を使用して、エンコードされたルールに従って、エンコードされた記述に対するクエリに
よって表される制約問題を解決し、結果をクライアントに提供する。いくつかの実施形態
では、仮想ネットワーク検証サービスは、クエリを提示するためのＡＰＩおよびインター
フェースを提供することができる。いくつかの実施形態では、仮想ネットワーク検証サー
ビスは、クライアントがＡＰＩおよびインターフェースを介して選択することができる標
準クエリのセットを提供することができる。いくつかの実施形態では、仮想ネットワーク
検証サービスは、クライアントがＡＰＩおよびインターフェースを介してカスタムクエリ
を作成および送信することを可能にし得る。

実施形態では、仮想ネットワーク検証サービスは、コンソール上のサービスへのグラフ
ィカルインターフェースまたはコマンドラインインターフェース（ｃｏｍｍａｎｄ ｌｉ
ｎｅ ｉｎｔｅｒｆａｃｅ，ＣＬＩ）を介してクライアントによって使用されて、プロバ
イダネットワーク上のクライアントの仮想ネットワークについての質問（制約を指定する
クエリとして提示される）に対する回答を取得することができる。提示される可能性があ
る質問の例としては、以下が挙げられるが、これらに限定されない。
●仮想ネットワーク内のどのインスタンスにインターネットからアクセス可能であるか
。
●いずれのインスタンスが仮想ネットワーク上の指定されたリソースにアクセスできる
か（例えば、データベース、キャッシュ、ストレージエンドポイント、他のインスタンス
など）。
●仮想ネットワークはネットワーキングセキュリティ標準のベストプラクティスに準拠
しているか。
●仮想ネットワークは、ルールのこのセットにエンコードされているように、自分の会
社のベストプラクティスに準拠しているか。

より一般的には、クライアントが仮想ネットワーク検証サービスを使用して、仮想ネッ
トワーク内のリソースと仮想ネットワーク内の他のリソースとの間の予想パイプ、ならび
に外部エンティティへの予想パイプが開いていること、および予想パイプが開いたパイプ
のみであること（例えば、外部エンティティが、外部エンティティが達することを許され
るべきではない仮想ネットワーク内のリソースに達することができないこと）を検証する
ことができる。

仮想ネットワーク内のリソースと他のリソースとの間のパイプ、または仮想ネットワー
ク内のリソースと外部エンティティとの間のパイプが開いていることを検証することは、
リソース間、またはリソースと外部エンティティとの間にネットワークを介したパスまた
はルート（例えば、リソースから、外部エンティティが仮想ネットワーク上のリソースに
アクセスすることができるＨＴＴＰＳゲートウェイへのパス）があること（すなわち、ネ
ットワーク接続性があること）を検証することを含み得る。パスは、エンドポイント間の
ネットワーク接続性を提供するネットワークを介した直接パスであってもよく、あるいは
ルート上の１つ以上のホップを通過し、エンドポイント間のネットワーク接続性を提供す
る推移的なパスであってもよい。仮想ネットワークを記述するメタデータを保持する１つ
以上のプロバイダネットワークサービスのＡＰＩへのＤＥＳＣＲＩＢＥコールのみを使用
して仮想ネットワークに対する記述的情報を取得することができ、したがって、それぞれ
のデバイスまたはインスタンスが起動および待機していない場合でもパスを検証すること
ができる。いくつかの実施形態では、仮想ネットワークの記述的情報は、リソースに付与
または拒否される許可（例えば、仮想ネットワーク上のエンドポイントへの１つのリソー
スアクセスを付与または拒否する許可、ＩＰアドレス範囲、または、所定のエンドポイン
ト（ストレージエンドポイントなど）にアクセスできる、またはできないリソースインス
タンスの特定のポートを指定する許可など）を含み得る。これらの実施形態では、仮想ネ
ットワーク内のパスが開いていることを検証することは、そのパスに対する必要な許可が
付与されたことを検証することを含み得る。同様に、予想されるパスが開いたパスのみで
あることを検証することは、仮想ネットワークまたは外部エンティティ内のリソースが、
アクセスするべきではないリソースにアクセスするための許可を有していないと判定する
ことを含み得る。

仮想ネットワーキングルールの適切なセットを有する仮想ネットワーク検証サービスの
実施形態は、例えば、顧客が顧客の仮想ネットワークがペイメントカード業界データセキ
ュリティ標準（ＰＣＩ ＤＳＳ）、連邦リスクおよび認可管理プログラム（ＦｅｄＲＡＭ
Ｐ）標準、または医療保険の相互運用性と説明責任に関する法律（ＨＩＰＰＡ）標準のよ
うなネットワーキングセキュリティ標準に準拠していることを検証するのを助けるために
、または顧客の仮想ネットワークがクライアントの内部セキュリティ標準またはその他の
内部ネットワーキング要件に準拠していることを検証するために、クライアントによって
使用され得る。

仮想ネットワーク検証サービスの実施形態のための別の例示的なアプリケーションは、
ネットワークセキュリティ問題またはソフトウェアバグなどの脆弱性の、仮想ネットワー
クにおける起こり得る影響を識別するためのものである。例えば、仮想ネットワーク内の
特定のインスタンス上で動作している特定のソフトウェアプログラムに脆弱性が発見され
た場合、クライアントは、このインスタンスが仮想ネットワーク内の他のインスタンスと
通信できるすべての方法を特定するためにクエリを作成および送信することができる。結
果は、クライアントが、脆弱性の起こり得る影響を特定し、したがって状況を最もうまく
処理する方法に関して決定を行うことを可能にし得る。例えば、脆弱性を有するインスタ
ンスからミッションクリティカルなデータベースを有するインスタンスへの直接のパスが
ない場合、問題に、通常の保守スケジュールに従って処理される低い優先度を与えること
ができる。脆弱性を有するインスタンスがミッションクリティカルなデータベースを有す
るインスタンスに影響を与える場合、仮想ネットワークの少なくとも一部をシャットダウ
ンして脆弱性に直ちに対処するという決定を行うことができる。

仮想ネットワーク検証サービスの実施形態のための別の例示的なアプリケーションは、
プロバイダネットワーク環境のための仮想ネットワークに対する変更のオフラインテスト
におけるものである。例えば、プロバイダネットワーク環境で仮想ネットワーキングがど
のように機能するかの論理を記述する仮想ネットワーキングルールをテスト環境で使用し
て、仮想ネットワーキングプリミティブの変更を、当該変更が仮想ネットワークにどのよ
うな影響を与え得るかを特定するために、プロバイダネットワークに変更が適用される前
にテストすることができる。

仮想ネットワーク検証サービスの実施形態のための別の例示的な用途は、クライアント
用の仮想ネットワークを自動的に合成することにある。例えば、クライアントは、特定の
ネットワーキングセキュリティ標準に準拠するとともに指定されたネットワーキングプリ
ミティブのセットを含む仮想ネットワークを確立したい場合がある。クライアントが自身
で仮想ネットワークを構築およびテストする必要がないように、仮想ネットワーク検証サ
ービスおよび仮想ネットワーキングルールを使用して制約（クライアント指定プリミティ
ブ、ネットワーキングセキュリティ標準、仮想ネットワーキングがプロバイダネットワー
ク環境内でどのように機能するかの論理を記述する仮想ネットワーキングルール、など）
のすべてを満たす仮想ネットワークを自動的に合成および検証することができる。例えば
、標準によって課せられた制約をクエリとして提示することができ、クエリを解決して、
制約を満たす仮想ネットワーク構成を決定することができ、あるいは仮想ネットワークの
構成が制約に準拠するかどうかを判定することができる。その場合に、制約に準拠する仮
想ネットワークが合成されてもよく、あるいは仮想ネットワークが制約に準拠するように
修正されてもよい。

仮想ネットワーク検証サービスの実施形態の別の例示的な用途は、構成または変更がプ
ロバイダネットワーク上で実装される前に、クライアントが新たな仮想ネットワーク構成
または既存の仮想ネットワークの変更を検証することを可能にすることである。例えば、
仮想ネットワーク構成は、クライアントによって生成または修正されてもよく、その構成
に対する制約はクエリとして提示することが可能であって、構成がプロバイダネットワー
クに実装される前に、クエリを解決して、構成がクエリで提示されたクライアントの制約
に準拠していることを検証してもよい。

図１は、いくつかの実施形態による、プロバイダネットワーク環境における仮想ネット
ワーク検証サービスを示す図である。クライアントにプロバイダネットワーク１００を提
供するサービスプロバイダは、クライアントがプロバイダネットワーク１００上の仮想ネ
ットワーク１１０内のリソースを確立および管理することを可能にするサービスおよびア
プリケーションプログラミングインターフェース（ＡＰＩ）１０２を提供することができ
る。プロバイダネットワーク１００環境における仮想ネットワーク１１０は、それぞれの
クライアントのプロバイダネットワークリソースのセットを含むネットワーク空間であっ
て、クライアントのリソースのためのプロバイダネットワーク１００上の論理的に分離さ
れたセクションとして機能するネットワーク空間として、広く定義され得る（例えば、ア
ドレス範囲またはアドレス空間によって論理的に定義される）。仮想ネットワーク１１０
は、ネットワークプロトコルに従ってプライベートまたはローカルのインターネットプロ
トコル（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ，ＩＰ）アドレス空間、例えばインターネ
ットプロトコルバージョン４（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ ｖｅｒｓｉｏｎ
４，ＩＰｖ４）アドレス範囲またはサブネット内の３２ビットＩＰアドレスを実装するこ
とができる。仮想ネットワーク１１０上のソース（例えば、計算リソース、ストレージリ
ソース、サーバ、ホストデバイスなどのエンドポイント）には、仮想ネットワーク１１０
のアドレス空間内のＩＰアドレス（例えば、３２ビットのＩＰｖ４アドレス）を割り当て
ることができる。プロバイダネットワーク１００上のクライアントの仮想ネットワーク１
１０は、クライアントによって仮想コンピューティングリソースインスタンスとして構成
されたホストデバイス上の仮想マシン（ｖｉｒｔｕａｌ ｍａｃｈｉｎｅ，ＶＭ）などの
クライアントのリソースインスタンスを含む。プロバイダネットワーク上のリソースイン
スタンスの少なくともいくつかは、複数のオペレーティングシステムをホストコンピュー
タ上で同時に、すなわちホストデバイス上のＶＭとして実行することを可能にするハード
ウェア仮想化技術に従って実装することができる。ホストデバイス上のハイパーバイザ、
または仮想マシンモニタ（ｖｉｒｔｕａｌ ｍａｃｈｉｎｅ ｍｏｎｉｔｏｒ，ＶＭＭ）
は、それぞれのホスト上のＶＭに仮想プラットフォームを提示し、ホストデバイス上のＶ
Ｍの実行を監視する。各ＶＭには１つ以上のＩＰアドレスが与えられ、それぞれのホスト
上のＶＭＭは、ホスト上のＶＭのＩＰドレスを認識することができる。

様々なネットワークリソース、構造、および機能性（ネットワーキングプリミティブと
呼ばれる）が、様々なプロバイダネットワークサービス１０２を介してプロバイダネット
ワーク１００のクライアントに提供され得る。クライアントは、少なくとも部分的には様
々なサービスおよびＡＰＩ１０２を使用して、プロバイダネットワーク１００上でクライ
アントの仮想ネットワーク１１０を作成、構成、設定および修正することができる。以下
は、サービス１０２によって提供され得る例示的なネットワーキングプリミティブを列挙
し、限定することを意図しない。
●例えば図１、図１４および図１５に示すような仮想ネットワーク。
●リソースインスタンス（例えば、サービス１０２を使用するクライアントによる、仮
想コンピューティングリソースインスタンスとして構成されたＶＭ（例えば、アプリケー
ションサーバ、Ｗｅｂサーバ、データベースサーバ、アクセスポイント、ゲートウェイ、
ロードバランサー、ロギングサービスなどの特定のプロバイダネットワークサービスのイ
ンスタンス、ネットワーク監視および分析サービス、コードリポジトリサービス、コンテ
ナ管理サービスなど）。
●タグ－いくつかの実施形態では、クライアントは、リソースインスタンスをタグ付け
することによって、クライアントの仮想ネットワーク内の特定のリソースインスタンス（
例えば、ＶＭ）に特定の役割を割り当てることを可能にされ得る。タグは、例えば、ＰＲ
ＯＤやＤＥＶなどのテキスト文字列であり得る。タグは、リソースインスタンスのメタデ
ータに格納され得る。タグは、標準プロバイダネットワーク定義タグおよび／またはクラ
イアント定義タグを含み得る。リソースインスタンスの例示的な役割には、セキュアソケ
ットシェル（Ｓｅｃｕｒｅ Ｓｏｃｋｅｔ Ｓｈｅｌｌ，ＳＳＨ）アクセスインスタンス
、ロギングサービスインスタンス、コードリポジトリインスタンス、本番リソースインス
タンスおよび開発リソースインスタンスが含まれるが、これらに限定されない。
●仮想ネットワークエンドポイント（例えば、計算リソース、ストレージリソース、サ
ーバ、ホストデバイスなどのエンドポイント）。
●仮想ネットワークピアリング接続。いくつかの実施形態では、クライアントはプロバ
イダネットワーク上に２つ以上の仮想ネットワークを確立することができる。仮想ネット
ワークがインターネットなどの外部ネットワークを横断する必要なしにプロバイダネット
ワークを介して安全に通信することを可能にするピアリング接続が、仮想ネットワーク間
で確立されてもよい。
●仮想ネットワークの外部のエンティティから仮想ネットワークのリソースの少なくと
もいくつかへのアクセスを提供するインターネットゲートウェイ。
●例えば、仮想ネットワーク上のリソースインスタンスのグループまたはクラスタ間で
ネットワークトラフィックを分散する仮想化ロードバランサインスタンスである、ロード
バランサ。
●ネットワークアドレス変換（Ｎｅｔｗｏｒｋ Ａｄｄｒｅｓｓ Ｔｒａｎｓｌａｔｉ
ｏｎ，ＮＡＴ）インスタンス。
●ＮＡＴゲートウェイ。
●ネットワークアクセスコントロールリスト（Ｎｅｔｗｏｒｋ Ａｃｃｅｓｓ Ｃｏｎ
ｔｒｏｌ Ｌｉｓｔ，ＡＣＬ）。
●ネットワークインターフェース。
●ルートテーブル。
●サブネット－仮想ネットワークは、必ずしもそうとは限らないが、例えば図１４およ
び図１５に示すように、２つ以上のサブネットワーク、またはサブネットに細分すること
ができる。
●セキュリティグループ－いくつかの実施形態では、プロバイダネットワークは、例え
ば図１５に示すように、クライアントが、サブネット内またはサブネット間で、クライア
ントの仮想ネットワーク内の仮想セキュリティグループを確立および管理することを可能
にし得る。セキュリティグループは、リソースインスタンスを論理的にグループ化したも
のであり、セキュリティグループルールに従ってセキュリティグループ内の１つ以上のリ
ソースインスタンスに到達することを可能にされたトラフィックを制御する仮想ファイア
ウォールとして機能する。
●地域－プロバイダネットワークサービスおよびリソース（例えば、仮想ネットワーク
、ＶＭインスタンス、データストレージ、ゲートウェイ、ロードバランサなど）は、複数
の地理的な場所または地域でサポートされ得る。本明細書で使用されるとき、地域は、プ
ロバイダネットワークサービスをサポートし、その中でクライアントがリソースを起動お
よび構成することができる別個の地理的領域である。サービスおよびＡＰＩにより、クラ
イアントは１つ以上の地域でクライアントのリソースを起動または複製することが可能に
なり得る。
●ゾーン－各地域には、本明細書でゾーンと呼ばれる複数の孤立した場所が含まれ得る
。クライアントのリソースインスタンスは、１つのゾーン内のリソースインスタンスに障
害が発生した場合に、別のゾーン内のインスタンスが要求を処理できるように、地域内の
複数のゾーンに分散させることができる。

いくつかの実施形態では、クライアントは、それぞれのプロバイダネットワークサービ
ス１０２を使用して、上記のネットワーキングプリミティブのうちの１つ以上のインスタ
ンスを含む仮想ネットワーク１１０をプロバイダネットワーク１００上に確立することが
できる。図１は、プロバイダネットワーク１００上の例示的な仮想ネットワーク１１０を
示し、限定することを意図していない。クライアントの仮想ネットワーク１１０は、仮想
ネットワークの機能を実装するリソースインスタンス１１８（例えば、ＶＭ）、例えばア
プリケーションサーバ、ウェブサーバ、データベースサーバなどを含むことができる。リ
ソースインスタンス１１８は、インスタンス１１８Ａおよび１１８Ｂのグループまたはク
ラスタを含むことができ、例えば、インスタンス１１８Ａは本番環境を表すことができ、
インスタンス１１８Ｂは開発環境を表すことができる。いくつかの実施形態では、インス
タンス１１８Ａおよび１１８Ｂは異なるサブネットおよび／またはセキュリティグループ
内にあり得る。

クライアントの仮想ネットワーク１１０はまた、アプリケーションおよびオペレーティ
ングシステムロギングサービス、ネットワーク監視および分析サービス、コードリポジト
リサービス、コンテナ管理サービスなど、クライアントの仮想ネットワーク１１０内に特
定のプロバイダネットワークサービスを実装するサービスインスタンス１１６（例えば、
ＶＭ）を含み得る。

クライアントの仮想ネットワーク１１０はまた、クライアントネットワーク１８０上の
デバイス１８２および他の外部エンティティ１９０がインターネットなどの中間ネットワ
ーク１５０を介して仮想ネットワーク１１０内のリソースおよびエンドポイントと通信す
ることを可能にするアクセスインスタンスを含み得る。アクセスインスタンスは、例えば
、ロードバランサおよびゲートウェイ（インターネットゲートウェイ、ＮＡＴゲートウェ
イなど）を含み得る。この例に示されるように、いくつかの実施形態では、アクセスイン
スタンスはＨＴＴＰＳアクセスインスタンス１１４およびＳＳＨアクセスインスタンス１
１２を含み得る。ＨＴＴＰＳアクセスインスタンス１１４は、ＨＴＴＰＳプロトコルを使
用して外部エンティティ１９０からリソースインスタンス１１８Ａおよび１１８Ｂにそれ
ぞれアクセスするためのインスタンス１１４Ａおよび１１４Ｂ、ならびにＨＴＴＰＳプロ
トコルを使用してクライアントネットワーク１８０上のデバイス１８２からサービスイン
スタンス１１６にアクセスするためのインスタンス１１４Ｃを含み得る。いくつかの実施
形態では、クライアントは、例えばＳＳＨを使用して、クライアントネットワーク１８０
上のデバイス１８２（例えば、コンソール）から仮想ネットワーク１１０内のリソースイ
ンスタンスにアクセスすることができる。いくつかの実施形態では、ＳＳＨを使用してリ
ソースインスタンスにアクセスするために、クライアントにインスタンスのＩＰアドレス
とキーとが与えられる。クライアントは提供された情報を使用してインスタンスに直接Ｓ
ＳＨ接続することができる。いくつかの実施形態では、ＳＳＨアクセスインスタンス１１
２は、クライアントがＳＳＨプロトコルを使用してクライアントネットワーク１８０上の
デバイス１８２（例えば、コンソール）から仮想ネットワーク１１０上のクライアントの
リソースインスタンスにアクセスすることを可能にするプロキシとして機能し得る。例え
ば、ＳＳＨアクセスインスタンス１１２は、クライアントの仮想ネットワークの公にアク
セス可能なサブネット内にあり得る。クライアントのリソースインスタンスの少なくとも
一部が、公にアクセスできないサブネットにある場合がある。これらのリソースインスタ
ンスは、ＳＳＨアクセスインスタンス１１２に接続されたセキュリティグループからのＳ
ＳＨアクセスを許可するセキュリティグループ内にあり得る。クライアントは、クライア
ントのリソースインスタンスに接続するためにＳＳＨアクセスインスタンス１１２に接続
することができる。

図１に示すように、プロバイダネットワーク１００は、プロバイダネットワーク１００
上の１つ以上のコンピューティングデバイスによって実施される仮想ネットワーク検証サ
ービス１３０を含み得る。いくつかの実施形態では、仮想ネットワーク検証サービス１３
０のインスタンスは、例えば図１に示すようにＳＳＨアクセスインスタンス１１２によっ
て、クライアントの仮想ネットワーク１００上に実装することができる。仮想ネットワー
ク検証サービス１３０は、宣言的論理プログラミング言語（例えば、Ｄａｔａｌｏｇ）を
利用して、クライアントがプロバイダネットワーク上の仮想ネットワークについて再帰ク
エリを含むクエリを制約問題として表現することを可能にし、制約ソルバーエンジンを使
用してクエリを解決することによりクエリに対する結果を提供する。図２は、いくつかの
実施形態による仮想ネットワーク検証サービス１３０を示す。

図１を参照すると、仮想ネットワーク検証サービス１３０において、サービス１０２に
よって提供されるネットワーキングプリミティブのための仮想ネットワーキングセマンテ
ィクスおよび論理は、論理プログラミング言語に従って仮想ネットワーキングルールのセ
ットとして表現およびエンコードされ得る。仮想ネットワーキングルールは、仮想ネット
ワーク１１０に実装されている様々なネットワーキングプリミティブ間の共通の関係およ
び相互作用を表現するルールを含むことができる。仮想ネットワーキングルールは、ネッ
トワーキングセキュリティ標準（例えば、ＰＣＩ、ＦｅｄＲＡＭＰ、ＨＩＰＰＡなど）、
またはクライアントの内部セキュリティ標準もしくは他のネットワーキング要件をエンコ
ードするルールも組み込むことができる。

仮想ネットワーク検証サービス１３０は、クライアントの仮想ネットワーク１１０に対
する記述的情報を取得する。記述的情報は、例えば、仮想ネットワーク１１０に実装され
たネットワーキングプリミティブのインスタンスを識別し、様々なインスタンスの記述（
例えば、インスタンスに割り当てられた役割、インスタンスに付与された、またはインス
タンスに拒否された許可、インスタンスに割り当てられたＩＰアドレスなど）を含み、イ
ンスタンス間の関係（例えば、インスタンス間のパス）を記述し、そして外部エンティテ
ィ１９０へのインターフェースまたはアクセスポイントを記述する。いくつかの実施形態
では、クライアントは、図３に示されるように、仮想ネットワーク１１０から記述的情報
を取得し、その記述的情報を仮想ネットワーク検証サービス１３０に提供することができ
る。あるいは、いくつかの実施形態では、クライアントは、図４に示すように、仮想ネッ
トワーク検証サービス１３０が仮想ネットワーク１１０から記述的情報を直接取得できる
ようにするために、仮想ネットワーク検証サービス１３０に許可を与えてもよい。仮想ネ
ットワーク検証サービス１３０は、宣言的論理プログラミング言語に従って記述的情報を
論理プログラムとしてエンコードすることができる。

仮想ネットワーク検証サービス１３０は、宣言型論理プログラミング言語を利用し、ク
ライアントがプロバイダネットワーク１００上のクライアントの仮想ネットワーク１１０
についてのクエリを、例えばクライアントネットワーク１８０内のクライアントデバイス
１８２上のサービス１３０へのグラフィカルインターフェースまたはコマンドラインイン
ターフェース（ＣＬＩ）を介して、提示できるようにする。いくつかの実施形態において
使用され得る例示的な論理プログラミング言語は、Ｄａｔａｌｏｇである。他の宣言型論
理プログラミング言語が使用されてもよいことに留意されたい。いくつかの実施形態では
、クエリは、ＳＱＬに幾分類似している可能性があるがネットワーク構成に適用される表
現可能なクエリ言語で提示され得る。あるいは、いくつかの実施形態では、クエリは人間
に優しい方法で提示されてもよい。クエリは、生成された論理プログラムに関する定理に
対応し、制約問題を表現する。仮想ネットワーク検証サービス１３０は、制約解決エンジ
ンを使用して、エンコードされたルールに従って、エンコードされた記述に対するクエリ
によって表現された制約問題を解決し、その結果をクライアントに提供する。いくつかの
実施形態では、仮想ネットワーク検証サービス１３０は、クエリを提示するためのＡＰＩ
およびインターフェースを提供することができる。いくつかの実施形態では、仮想ネット
ワーク検証サービス１３０は、クライアントがＡＰＩおよびインターフェースを介して選
択することができる標準クエリのセットを提供することができる。いくつかの実施形態で
は、仮想ネットワーク検証サービス１３０は、クライアントがＡＰＩおよびインターフェ
ースを介してカスタムクエリを作成および送信することを可能にし得る。

以下は、図１に示される例示的な仮想ネットワークに関してクライアントによって提示
され得る例示的なクエリを説明するものであり、限定することを意図するものではない。

仮想ネットワーク１１０のいくつかの実施形態では、仮想ネットワーク１１０上のリソ
ースは、クライアントネットワーク１８０上の指定されたエンドポイントからＳＳＨアク
セスインスタンス１１２を通じてＳＳＨを介してのみアクセス可能であるべきである。し
たがって、クライアントは、仮想ネットワーク１１０内のどのインスタンスも中間ネット
ワーク１５０上のエンドポイントからＳＳＨを介してアクセス可能ではないことを検証し
たい場合がある。これを検証するための例示的なクエリは、次のように表現され得る。
すべてのインスタンス：
！ｉｎｔｅｒｎｅｔ－ｃａｎ－ｓｓｈ－ｔｏ－ｉｎｓｔａｎｃｅ（インスタンス）

クライアントはまた、クライアントネットワーク１８０から、仮想ネットワーク１１０
上のＳＳＨアクセスインスタンス１１２がＳＳＨを介してアクセス可能であることを検証
したい場合もある。前述のように、いくつかの実施形態では、仮想ネットワーク１１０内
のクライアントのインスタンスの少なくともいくつかに特定の役割を割り当てることがで
き、役割は、インスタンスのメタデータに格納されているタグによって示すことができる
。タグは記述的情報に含まれてもよく、したがって仮想ネットワーク１１０のエンコード
された記述に示されてもよい。したがって、いくつかの実施形態では、タグは、例えば、
特定の役割を割り当てられたインスタンスが実際にそれらの役割を実行できることを検証
するために、クエリで使用され得る。クライアントネットワーク１８０から、仮想ネット
ワーク１１０上のＳＳＨアクセスインスタンス１１２がＳＳＨを介してアクセス可能であ
ることを検証するための例示的なクエリは、次のように表現され得る。
すべてのインスタンス：
ａｔｏｍ／ｉｎｓｔａｎｃｅ－ｔａｇ（インスタンス、タグキー／名前、タグ値／Ｓ
ＳＨＡｃｃｅｓｓＩｎｓｔａｎｃｅ）
＜＝＞ＣｌｉｅｎｔＮｅｔｗｏｒｋ－ｃａｎ－ｓｓｈ－ｔｏ－ｉｎｓｔａｎｃｅ（イ
ンスタンス）

上記の式は、制約ソルバーによって評価されると、仮想ネットワーク１１０上のすべて
のインスタンスをチェックし、 ＳＳＨＡｃｃｅｓｓＩｎｓｔａｎｃｅとしてタグ付けさ
れたインスタンスについては、制約ソルバーは、そのインスタンスがクライアントネット
ワーク１８０からＳＳＨを介して到達可能であるかどうかを判定し、そうである場合にＴ
ＲＵＥを返し、そうでない場合にＦＡＬＳＥを返す。

以下は、仮想ネットワーク検証サービス１３０に適切なクエリを提示することによって
クライアントが検証することができる仮想ネットワーク１１０の態様のいくつかの他の例
を列挙したものであり、限定を意図するものではない。
●ＳＳＨを介してクライアントネットワーク１８０からＳＳＨアクセスインスタンス１
１２のみがアクセス可能である。
●リソースインスタンス１１８Ａおよび１１８Ｂは、中間ネットワーク１５０Ｂ（例え
ばインターネット）を介して外部エンティティ１９０によってそれぞれのＨＴＴＰＳアク
セスインスタンス１１４Ａおよび１１４Ｂを通して到達可能である。
●リソースインスタンス１１８Ａおよび１１８Ｂは、要求を認証するために中間ネット
ワーク１５０Ｂに到達することができる。
●リソースインスタンス１１８Ａおよび１１８Ｂは特定のサービスインスタンス１１６
に書き込むことができる。
●特定のサービスインスタンス１１６は、ＨＴＴＰＳアクセスインスタンス１１４Ｃを
介してクライアントネットワーク１８０から到達することができる。
●指定サービスインスタンス１１６は、仮想ネットワーク１１０上の指定エンドポイン
トに到達することができる。
●すべてのインスタンスは、指定されたタグのセットのうちの１つでタグ付けされる。

図２は、いくつかの実施形態による、例示的な仮想ネットワーク検証サービスの構成要
素および動作を示す図である。仮想ネットワーク検証サービス２３０は、プロバイダネッ
トワーク上の１つ以上のコンピューティングデバイスによって実装することができる。い
くつかの実施形態では、仮想ネットワーク検証サービス２３０のインスタンスは、例えば
図１に示すようにＳＳＨアクセスインスタンス１１２によって、クライアントの仮想ネッ
トワーク上に実装することができる。図２に示すように、いくつかの実施形態では、仮想
ネットワーク検証サービス２３０は、サービスエンジン２３４、制約ソルバー２３６エン
ジンおよびＡＰＩ２３２を含むことができる。サービスエンジン２３４は、ルールエンコ
ーディング２５０ロジック、クエリ処理２６０ロジックおよび記述エンコーディング２７
０ロジックを実装してもよいが、それらに限定されない。制約ソルバー２３６は、エンコ
ードされた仮想ネットワーキングルール２３８に基づいてエンコードされた記述２４０に
よって表される仮想ネットワークについての再帰クエリを含むクエリを解決するように構
成された宣言型論理プログラミング言語エンジンである。ＡＰＩ２３２は、クライアント
を含むがこれに限定されない外部エンティティにサービス２１０の機能を公開する。

図２の（１Ａ）および（１Ｂ）において、サービス２３０のルールエンコーディング２
５０論理は、仮想ネットワークに適用されるべき仮想ネットワーキングルール２３８を取
得（１Ａ）およびエンコード（１Ｂ）し得る。エンコードされるルールは、サービスプロ
バイダから、クライアントから、または他の外部のエンティティもしくは情報源から取得
することができる。例示的なエンコードされたルール２３８は、本明細書の後半で提供さ
れる。

実施形態では、仮想ネットワークで使用されるネットワーキングプリミティブのための
仮想ネットワーキングセマンティクスおよび論理は、論理プログラミング言語に従って仮
想ネットワーキングルール２３８のセットとして取得およびエンコードされ得る。仮想ネ
ットワーキングルール２３８は、仮想ネットワークに実装することができるとともにプロ
バイダネットワークのサービスおよびＡＰＩによって提供される様々なネットワーキング
プリミティブ間の共通の関係および相互作用を表現するルールを含むことができる。した
がって、実施形態は、プロバイダネットワーク環境において仮想ネットワーキングがどの
ように機能するかの論理を記述する仮想ネットワーキングルール２３８を１つのロケーシ
ョンまたはファイルに提供することができる。

いくつかの実施形態では、仮想ネットワーク検証サービス２３０は、ペイメントカード
業界データセキュリティ標準（ＰＣＩ ＤＳＳ）、連邦リスクおよび認可管理プログラム
（ＦｅｄＲＡＭＰ）標準、または医療保険の相互運用性と説明責任に関する法律（ＨＩＰ
ＰＡ）標準などのネットワーキングセキュリティ標準のためのルールを取得およびエンコ
ードすることができ、したがって、ネットワーキングセキュリティ標準を検証するための
ルールを含む仮想ネットワーキングルール２３８のセットを実装することができる。いく
つかの実施形態では、仮想ネットワーク検証サービス２３０は、クライアントの仮想ネッ
トワークが特定の標準に準拠していることを検証するためにクライアントによって選択的
に使用され得る異なるネットワーキングセキュリティ標準をそれぞれエンコードする仮想
ネットワーキングルール２３８の２つ以上の異なるセットを提供し得る。いくつかの実施
形態では、仮想ネットワーク検証サービス２３０は、クライアントの内部セキュリティ標
準、ベストプラクティスまたは他のネットワーキング要件をエンコードするカスタムルー
ルをクライアントが定義できるようにし、特定の仮想ネットワークに適用するためのクラ
イアントによって定義されたカスタムルールを含む仮想ネットワーキングルール２３８の
セットが実装され得る。

図２の（２）において、サービス２３０のクエリ処理２６０ロジックは、仮想ネットワ
ーキングルール２３８に従って仮想ネットワークについて解決されるべきクエリをクライ
アントから受信することができる。いくつかの実施形態では、クライアントは、グラフィ
カルインターフェースまたはコマンドラインインターフェース（ＣＬＩ）を介して、プロ
バイダネットワーク上でクライアントの仮想ネットワークについてのクエリをサービスＡ
ＰＩ２３２に提供することができる。いくつかの実施形態では、クエリは、ＳＱＬに類似
しているがネットワーク構成に適用される表現言語で提示され得る。あるいは、いくつか
の実施形態では、クエリはヒューマンフレンドリーな方法で提示されてもよい。例示的な
クエリは、図１を参照して上述されている。

図２の（３Ａ）および（３Ｂ）において、サービス２３０の記述エンコーディング２７
０ロジックは、仮想ネットワークの記述を取得（３Ａ）およびエンコード（３Ｂ）するこ
とができる。いくつかの実施形態では、サービス２３０の記述エンコーディング２７０ロ
ジックは、仮想ネットワークについての記述的情報（３Ａ）を取得し、記述エンコーディ
ング２７０ロジックが受け取る各クエリについて、クエリを解決するときに記述２４０が
最新のものであることを保証するためのエンコードされた記述２４０として記述的情報を
エンコード（３Ｂ）する。しかし、いくつかの実施形態では、記述的エンコーディング２
７０ロジックは、仮想ネットワークに関する記述的情報を取得およびエンコードし、エン
コードされた記述２４０を使用して２つ以上のクエリを処理することができる。図２の（
３Ａ）において、サービス２３０の記述エンコーディング２７０ロジックは、クライアン
トの仮想ネットワークに対する記述的情報を取得する。記述的情報は、例えば、仮想ネッ
トワークに実装されているネットワーキングプリミティブのインスタンスを識別し、様々
なインスタンスの記述（例えば、インスタンスに割り当てられた役割、インスタンスに付
与または拒否された許可、インスタンスに割り当てられたＩＰアドレスなど）を含み、イ
ンスタンス間の関係（例えば、インスタンス間のパスなど）を記述し、外部エンティティ
へのインターフェースまたはアクセスポイントを記述する。いくつかの実施形態では、ク
ライアントは、図３に示すように、仮想ネットワークから記述的情報を取得し、その記述
的情報をクエリとともに仮想ネットワーク検証サービス２３０に提供することができる。
あるいは、いくつかの実施形態では、クライアントは、図４に示すように、仮想ネットワ
ーク検証サービス２３０がクエリに応答して仮想ネットワークから記述的情報を直接取得
することを可能にするために仮想ネットワーク検証サービス２３０に許可を与え得る。図
２の（３Ｂ）において、サービス２３０の記述エンコーディング２７０ロジックは、宣言
型論理プログラミング言語に従って、得られた記述的情報を論理プログラムとしてエンコ
ードすることができる。

図２の（４）において、サービス２３０のクエリ処理２６０ロジックは、クエリを制約
ソルバー２３６に提供することができる。制約ソルバー２３６は、エンコードされたルー
ル２３８に従ってエンコードされた記述２４０に対するクエリによって表現された制約問
題を解決し、（５Ａ）において、結果（例えば、クエリによって提示された質問に対する
回答）をクエリ処理２６０に提供する。そして、（５Ｂ）で、フォーマットされた結果を
ＡＰＩ２３２を介してクライアントに提供する。フォーマットされた結果は、テキスト結
果（例えば、「ＹＥＳ」、「ＮＯ」、「ＴＲＵＥ」または「ＦＡＬＳＥ」などのクエリに
よって課された制約に対する回答を表すテキスト、クエリによって提示された制約を満た
すインスタンスのリスト）および／またはグラフィカル結果（例えば、クエリを解決する
ことによって決定された２つ以上のインスタンス間の関係のグラフィカル表現、クエリを
解決することによって識別されたインスタンスを識別する仮想ネットワークのグラフィカ
ル表現など）を含み得る。

図３は、いくつかの実施形態による、クエリを処理して結果をクライアントに提供する
仮想ネットワーク検証サービスに仮想ネットワークおよびクエリについての記述的情報を
提供するクライアントを示す図である。図３の（１）において、例えば図１に示すような
クライアントネットワーク上のクライアントデバイス３８２中のクライアントは、プロバ
イダネットワーク上のクライアントの仮想ネットワーク３１０から記述的情報を取得する
ことができる。例えば、いくつかの実施形態では、仮想ネットワークを記述するメタデー
タを保持するプロバイダネットワークの１つ以上のプロバイダネットワークサービスは、
クライアントが仮想ネットワーク３１０上のインスタンスに対する記述的情報を要求でき
るようにそれぞれのＡＰＩを介してＤＥＳＣＲＩＢＥまたは類似のコールを提供してもよ
い。図３の（２）において、クライアントは、サービスＡＰＩ３３２を介してプロバイダ
ネットワーク検証サービス３３０のサービスエンジン３３４にクエリおよび記述的情報を
提供することができる。図３の（３Ａ）において、サービスエンジン３３４は、取得した
記述的情報を宣言型論理プログラミング言語に従ってエンコードし、クエリおよびエンコ
ードされた記述を制約ソルバー３３６に提供することができる。制約ソルバー３３６は、
エンコードされた仮想ネットワーキングルール３３８に従って、エンコードされた記述に
対するクエリを解決し、（３Ｂ）において結果（例えば、クエリによって提示された質問
に対する回答）をサービスエンジン３３４に提供し、サービスエンジン３３４は結果をフ
ォーマットし、フォーマットされた結果を（４）においてＡＰＩ３３２を介してクライア
ントに提供する。

図４は、いくつかの実施形態による、仮想ネットワークから記述的情報を取得し、クエ
リを処理し、結果をクライアントに提供する仮想ネットワーク検証サービスに対して、ク
エリと仮想ネットワークへのアクセス許可とを提供するクライアントを示す図である。図
４の（１）で、クライアントは、プロバイダネットワークとのクライアントアカウント４
８８を介して、仮想ネットワーク検証サービス４３０に許可を提供して、クライアントの
仮想ネットワーク４１０から記述的情報を取得することができる。例えば、いくつかの実
施形態では、仮想ネットワークを記述するメタデータを保持するプロバイダネットワーク
の１つ以上のプロバイダネットワークサービスは、クライアントが仮想ネットワーク４１
０上のインスタンスに対する記述的情報を要求することを可能にするそれぞれのＡＰＩを
介してＤＥＳＣＲＩＢＥまたは類似のコールを提供してもよい。クライアントは、サービ
ス４３０が仮想ネットワーク４１０用のプロバイダネットワークサービスＡＰＩへのＤＥ
ＳＣＲＩＢＥコールを実行できるようにするために、サービス４３０に許可を与えること
ができる。いくつかの実施形態では、クライアントは、仮想ネットワーク４１０内のイン
スタンスのメタデータに対する読み取り許可のみを与え、メタデータまたは仮想ネットワ
ーク４１０上の他のデータ、または仮想ネットワーク４１０を介してアクセス可能な他の
データに対する書き込みまたは変更特権を与えない。図４の（２）において、クライアン
トは、サービスＡＰＩ４３２を介してプロバイダネットワーク検証サービス４３０のサー
ビスエンジン４３４にクエリを提供することができる。図４の（３）において、クエリに
応答して、サービスエンジン４３４は、例えば、それぞれのＡＰＩを介して仮想ネットワ
ークを記述するメタデータを保持する１つ以上のプロバイダネットワークサービスへのＤ
ＥＳＣＲＩＢＥコールを用いて、クライアントの仮想ネットワーク４１０から記述的情報
を得ることができる。図４の（４Ａ）において、サービスエンジン４３４は、取得された
記述的情報を宣言型論理プログラミング言語に従ってエンコードし、クエリおよびエンコ
ードされた記述を制約ソルバー４３６に提供し得る。制約ソルバー４３６は、エンコード
された仮想ネットワーキングルール４３８に従って、エンコードされた記述についてのク
エリを解決し、（４Ｂ）で結果（例えば、クエリによって提示された質問に対する回答）
をサービスエンジン４３４に提供し、フォーマットされた結果を（５）でＡＰＩ４３２を
介してクライアントに提供する。

図５は、いくつかの実施形態による、仮想ネットワークに関する情報をプロバイダネッ
トワークのクライアントに提供するための方法のハイレベルフローチャートである。１０
００に示されるように、仮想ネットワーキングルールが取得およびエンコードされ得る。
エンコードされるルールは、サービスプロバイダから、クライアントから、または他の外
部のエンティティもしくは情報源から取得することができる。仮想ネットワーキングルー
ルは、プロバイダネットワーク上の仮想ネットワークで使用されるネットワーキングプリ
ミティブのための仮想ネットワーキングセマンティクスおよび論理を表現することができ
る。いくつかの実施形態では、仮想ネットワーキングルールは、ペイメントカード業界デ
ータセキュリティ基準（ＰＣＩ ＤＳＳ）、連邦リスクおよび認可管理プログラム（Ｆｅ
ｄＲＡＭＰ）規格、または医療保険の相互運用性と説明責任に関する法律（ＨＩＰＰＡ）
などのネットワーキングセキュリティ標準のためのルールを表す。いくつかの実施形態で
は、仮想ネットワーキングルールは、クライアントの内部セキュリティ標準または他のネ
ットワーキング要件を表すクライアント定義ルールを含み得る。例示的なエンコードされ
たルールは、本書類において後で提供される。

１０１０に示すように、仮想ネットワーク検証サービスは、クライアントから仮想ネッ
トワークについてのクエリを受信することができる。実施形態では、仮想ネットワーク検
証サービスは、コンソール上のサービスへのグラフィカルインターフェースを介して、ま
たはコマンドラインインターフェース（ＣＬＩ）を介して、クライアントによって使用さ
れて、プロバイダネットワーク上のクライアントの仮想ネットワークについての（再帰的
クエリを含むクエリとして提示される）質問に対する回答を得ることができる。いくつか
の実施形態では、クエリは、ＳＱＬに類似しているがネットワーク構成に適用される表現
言語で提示され得る。あるいは、いくつかの実施形態では、クエリはヒューマンフレンド
リーな方法で提示されてもよい。例示的なクエリは、図１を参照して上述されている。

１０２０に示されるように、仮想ネットワーク検証サービスは、仮想ネットワークにつ
いての記述的情報を取得およびエンコードすることができる。記述的情報は、例えば、仮
想ネットワークに実装されたネットワーキングプリミティブのインスタンスを識別し、イ
ンスタンスの記述（例えば、計算インスタンスに割り当てられた役割、リソースインスタ
ンスに付与または拒否された許可、インスタンスに割り当てられたＩＰアドレスなど）を
含み、インスタンス間の関係（例えば、インスタンス間のパス）を記述し、そして外部エ
ンティティ（例えば、仮想ネットワークの外部のエンティティによってアクセスされ得る
計算インスタンス）へのインターフェースまたはアクセスポイントを記述する。いくつか
の実施形態では、クライアントは、図６に示すように、仮想ネットワークから記述的情報
を取得し、記述的情報を仮想ネットワーク検証サービスに提供することができる。あるい
は、いくつかの実施形態では、クライアントは、図７に示すように、仮想ネットワーク検
証サービスが仮想ネットワークから記述的情報を取得することを可能にするために仮想ネ
ットワーク検証サービスに許可を与えてもよい。仮想ネットワーク検証サービスは、記述
的論理プログラミング言語（例えば、Ｄａｔａｌｏｇ）に従って記述的情報を論理プログ
ラムとしてエンコードすることができる。

１０３０に示されるように、仮想ネットワーク検証サービスは、宣言型論理プログラミ
ング言語（例えば、Ｄａｔａｌｏｇ）制約ソルバーエンジンを使用して、エンコードされ
た仮想ネットワーキングルールに従って、エンコードされた記述に対するクエリを解決し
得る。１０４０に示すように、クエリ解決の結果（例えば、クエリによって提示された質
問に対する回答）をフォーマットしてクライアントに提供することができる。フォーマッ
トされた結果は、テキスト結果（例えば、「ＹＥＳ」、「ＮＯ」、「ＴＲＵＥ」、または
「ＦＡＬＳＥ」などのクエリによって課された制約に対する回答を表すテキスト、クエリ
によって提示された制約を満たすインスタンスのリストなど）および／またはグラフィカ
ル結果（例えば、クエリを解決することによって決定された２つ以上のインスタンス間の
関係のグラフィカル表現、クエリを解決することによって識別されたインスタンスを識別
する仮想ネットワークのグラフィカル表現など）を含み得る。

要素１０４０から要素１０１０に戻る矢印によって示されるように、要素１０１０～１
０４０は、クライアントの仮想ネットワークについての複数のクエリを提示および解決す
るために繰り返し実行され得る。いくつかの実施形態では、例えば、クライアントは、一
連のクエリを含むスクリプトを書いて、そのスクリプトを実行してクエリを仮想ネットワ
ーク検証サービスに提示し、そこから結果を受け取ることができる。図５に示すように、
いくつかの実施形態では、仮想ネットワーク検証サービスは、仮想ネットワークについて
の記述的情報を取得し、仮想ネットワーク検証サービスが受け取る各クエリについて、ク
エリを解決するときに記述が最新のものであることを保証するためのエンコードされた記
述として記述的情報をエンコードすることができる。しかしながら、いくつかの実施形態
では、仮想ネットワーク検証サービスは、仮想ネットワークについての記述的情報を取得
してエンコードし、エンコードされた記述を使用して２つ以上のクエリを処理することが
できる。

図６は、いくつかの実施形態による、仮想ネットワークについての情報をプロバイダネ
ットワークのクライアントに提供する方法のフローチャートであり、クライアントは、記
述的情報およびクエリを仮想ネットワーク検証サービスに提供する。１１００に示される
ように、クライアントは、例えばプロバイダネットワークサービスＡＰＩによって提供さ
れるＤＥＳＣＲＩＢＥコールを使用して、仮想ネットワークから記述的情報を取得する。
１１１０に示すように、クライアントは仮想ネットワーク検証サービスにクエリおよび記
述的情報を送信する。１１２０に示すように、検証サービスは仮想ネットワークについて
の記述的情報をエンコードする。１１３０に示されるように、検証サービスは、制約ソル
バーエンジンを使用して、エンコードされた仮想ネットワークルールに従って、エンコー
ドされた記述に対するクエリを解決する。１１４０に示されるように、仮想ネットワーク
検証サービスは、クエリ解決の結果をクライアントに提供する。

図７は、いくつかの実施形態による、仮想ネットワークについての情報をプロバイダネ
ットワークのクライアントに提供する方法のフローチャートであり、クライアントは、仮
想ネットワークにアクセスするための記述的情報および許可を仮想ネットワーク検証サー
ビスに提供する。１２００に示すように、クライアントは、サービスが仮想ネットワーク
から記述的情報を取得することを可能にする許可、例えば仮想ネットワークを記述するメ
タデータを保持する１つ以上のプロバイダネットワークサービスへのＤＥＳＣＲＩＢＥコ
ールを使用する許可を仮想ネットワーク検証サービスに与える。１２１０に示すように、
クライアントは仮想ネットワーク検証サービスにクエリを送信する。１２２０に示すよう
に、仮想ネットワーク検証サービスは、例えば仮想ネットワークを記述するメタデータを
保持する１つ以上のプロバイダネットワークサービスへのＤＥＳＣＲＩＢＥコールを使用
して、仮想ネットワークから記述的情報を取得する。１２３０に示すように、仮想ネット
ワーク検証サービスは仮想ネットワークについての記述的情報をエンコードする。１２４
０に示すように、仮想ネットワーク検証サービスは、制約ソルバーエンジンを使用して、
ルールに従って、エンコードされた記述に対するクエリを解決する。１２５０に示される
ように、仮想ネットワーク検証サービスは、クエリ解決の結果をクライアントに提供する
。

図８は、いくつかの実施形態による、２つ以上のピア仮想ネットワークを含むプロバイ
ダネットワーク環境におけるクライアントの仮想ネットワーク実装を示す図である。図８
は、本明細書で説明されるように仮想ネットワーク検証サービス２０３０において使用さ
れ得る例示的な仮想ネットワークルールを説明するために部分的に提供される。図８に示
すように、プロバイダネットワーク２０００上のクライアントの仮想ネットワーク実装形
態２０１０は、２つ以上の仮想ネットワーク２０２０を含み得る。図８は、クライアント
の仮想ネットワーク実装形態２０１０における２つの仮想ネットワーク２０２０Ａおよび
２０２０Ｂを示す。いくつかの実施形態では、仮想ネットワーク２０２０Ａおよび２０２
０Ｂはそれぞれ１つ以上のサブネットを含むことができ、セキュリティグループは仮想ネ
ットワーク２０２０Ａおよび２０２０Ｂ内に確立することができる（例えば、図１４およ
び図１５を参照）。ネットワークエンドポイント２０２２Ａおよび２０２２Ｂは、それぞ
れの仮想ネットワーク２０２０Ａおよび２０２０Ｂにおけるネットワーキングプリミティ
ブの様々なインスタンス（例えば、リソースインスタンス）のネットワークインターフェ
ースを表す。仮想ネットワーク２０２０Ａおよび２０２０Ｂ上のインスタンスがインター
ネットなどの外部ネットワーク２０５０を横断する必要なしにプロバイダネットワーク２
０００を介して安全に通信することを可能にするピアリング接続２０２４が、仮想ネット
ワーク２０２０Ａと２０２０Ｂとの間のプロバイダネットワーク２０００を介して確立さ
れる。

「プライベートルーティング」の例示的なルールを以下に示す。これらの例は限定的で
あることを意図しない。これらの例で使用される「ルーティング」は、ファイアウォール
がない場合、ＩＰパケットが１つのエンドポイント２０２２から別のエンドポイント２０
２２に流れ得ることを意味する。仮想ネットワーク実装形態２０１０内の２つのエンドポ
イント２０２２間のルーティングは、「プライベートルーティング」と呼ばれることがあ
る。仮想ネットワーク実装形態２０１０において両方のエンドポイント２０２２が同じ仮
想ネットワーク２０２０にあるか異なる仮想ネットワーク２０２０にあるかによって、ル
ールは異なり得る。以下は、仮想ネットワーク実装形態２０１０においてパケットが２つ
のエンドポイント２０２２間を流れ得るかどうかを判定するための記述的論理プログラミ
ング言語に従う例示的なルールを説明する。
ｒｏｕｔａｂｌｅ－ｐｒｉｖａｔｅ：ｅｎｄｐｏｉｎｔ－＞ｅｎｄｐｏｉｎｔ－＞ｔｙ
ｐｅ
－：ｒｏｕｔａｂｌｅ－ｐｒｉｖａｔｅ Ｅｎｄｐｏｉｎｔ１ Ｅｎｄｐｏｉｎｔ２
＜－ｒｏｕｔａｂｌｅ－ｐｒｉｖａｔｅ－ｏｎｅ－ｗａｙ Ｅｎｄｐｏｉｎｔ１ Ｅ
ｎｄｐｏｉｎｔ２
＜－ｒｏｕｔａｂｌｅ－ｐｒｉｖａｔｅ－ｏｎｅ－ｗａｙ Ｅｎｄｐｏｉｎｔ２ Ｅ
ｎｄｐｏｉｎｔ１

最初の行はエンドポイントのタイプを定義する。Ｅｎｄｐｏｉｎｔ１およびＥｎｄｐｏ
ｉｎｔ２は変数である。（ｒｏｕｔａｂｌｅ－ｐｒｉｖａｔｅ－ｏｎｅ－ｗａｙ Ｅｎｄ
ｐｏｉｎｔ１ Ｅｎｄｐｏｉｎｔ２）および（ｒｏｕｔａｂｌｅ－ｐｒｉｖａｔｅ－ｏｎ
ｅ－ｗａｙ Ｅｎｄｐｏｉｎｔ２ Ｅｎｄｐｏｉｎｔ１）が両方とも真（そうでない場合
は偽）の場合、ルール（ｒｏｕｔａｂｌｅ－ｐｒｉｖａｔｅ Ｅｎｄｐｏｉｎｔ１ Ｅｎ
ｄｐｏｉｎｔ２）は真と評価される。仮想ネットワーク２０２０内のエンドポイント２０
２２間のルーティングのために、ルールｒｏｕｔａｂｌｅ－ｐｒｉｖａｔｅ－ｏｎｅ－ｗ
ａｙは以下のように定義されてもよい。
ｒｏｕｔａｂｌｅ－ｐｒｉｖａｔｅ－ｏｎｅ－ｗａｙ：ｅｎｄｐｏｉｎｔ－＞ｅｎｄｐ
ｏｉｎｔ－＞ｔｙｐｅ
－：ｒｏｕｔａｂｌｅ－ｐｒｉｖａｔｅ－ｏｎｅ－ｗａｙ Ｅｎｄｐｏｉｎｔ１ Ｅｎ
ｄｐｏｉｎｔ２
＜－ｅｎｄｐｏｉｎｔ－ｈａｓ－ｖｉｒｔｕａｌ－ｎｅｔｗｏｒｋ Ｅｎｄｐｏｉｎ
ｔ１ Ｖｎｅｔｗｏｒｋ
＜－ｅｎｄｐｏｉｎｔ－ｈａｓ－ｖｉｒｔｕａｌ－ｎｅｔｗｏｒｋ Ｅｎｄｐｏｉｎ
ｔ２ Ｖｎｅｔｗｏｒｋ

Ｅｎｄｐｏｉｎｔ１およびＥｎｄｐｏｉｎｔ２は変数である。Ｖｎｅｔｗｏｒｋは同じ
変数である（すなわち、同じ仮想ネットワーク２０２０を示す）。このルールは、Ｅｎｄ
ｐｏｉｎｔ１およびＥｎｄｐｏｉｎｔ２の両方が同じ仮想ネットワーク２０２０内にある
場合には真（そうでない場合には偽）と評価される。

ピアリング接続２０２４を介して異なる仮想ネットワーク２０２０内のエンドポイント
２０２２間でルーティングするために、ルールｒｏｕｔａｂｌｅ－ｐｒｉｖａｔｅ－ｏｎ
ｅ－ｗａｙを以下のように定義することができる。「／／」で始まるテキストはコメント
である。
－： ｒｏｕｔａｂｌｅ－ｐｒｉｖａｔｅ－ｏｎｅ－ｗａｙ Ｅｎｄｐｏｉｎｔ１ Ｅ
ｎｄｐｏｉｎｔ２
／／エンドポイントのＩＰを参照する
＜－ｅｎｄｐｏｉｎｔ－ｈａｓ－ｐｒｉｖａｔｅ－ｉｐ Ｅｎｄｐｏｉｎｔ１ Ｉ
ｐ１
＜－ｅｎｄｐｏｉｎｔ－ｈａｓ－ ｐｒｉｖａｔｅ－ｉｐ Ｅｎｄｐｏｉｎｔ１
Ｉｐ２
／／エンドポイントの仮想ネットワークを参照する
＜－ｅｎｄｐｏｉｎｔ－ｈａｓ－ｖｉｒｔｕａｌ－ｎｅｔｗｏｒｋ Ｅｎｄｐｏｉ
ｎｔ１ Ｖｎｅｔｗｏｒｋ１
＜－ｅｎｄｐｏｉｎｔ－ｈａｓ－ｖｉｒｔｕａｌ－ｎｅｔｗｏｒｋ Ｅｎｄｐｏｉ
ｎｔ２ Ｖｎｅｔｗｏｒｋ２
／／ピアリングのＣＩＤＲ（クラスレスドメイン間ルーティング）を参照する
＜－ｐｅｅｒｅｄ－ｃｉｄｒｓ Ｐｃｘ Ｖｎｅｔｗｏｒｋ１ Ｃｉｄｒ１ Ｖｎ
ｅｔｗｏｒｋ２ Ｃｉｄｒ２
／／ソースエンドポイントのルートテーブルを参照する
＜－ｅｎｄｐｏｉｎｔ－ｈａｓ－ｒｔｂ Ｅｎｄｐｏｉｎｔ１ Ｒｔｂ１
／／テーブル内のルートのＣＩＤＲを参照し、そのルートがアクティブであること
を確認する
＜－ａｔｏｍ／ｐｃｘ－ｒｏｕｔｅ Ｒｔｂ１ Ｐｃｘ Ｃｉｄｒ３ ｒｏｕｔｅ
－ｓｔａｔｅ／ａｃｔｉｖｅ
／／３つのＣＩＤＲすべてがそれぞれのＩＰと一致することを確認する
＜－ｃｉｄｒ－ｍａｔｃｈｅｓ－ｐｒｉｖａｔｅ－ｉｐ Ｃｉｄｒ１ Ｉｐ１
＜－ｃｉｄｒ－ｍａｔｃｈｅｓ－ｐｒｉｖａｔｅ－ｉｐ Ｃｉｄｒ２ Ｉｐ２
＜－ｃｉｄｒ－ｍａｔｃｈｅｓ－ｐｒｉｖａｔｅ－ｉｐ Ｃｉｄｒ３ Ｉｐ２

仮想ネットワークの合成
いくつかの実施形態では、仮想ネットワーク検証サービスは、クライアントが仮想ネッ
トワーク自体を構築およびテストする必要がないように、制約、例えばクエリに課される
制約を満たす仮想ネットワークを自動的に合成するのに使用できる。例えば、クライアン
トは、特定のネットワーキングセキュリティ標準および／またはクライアント指定のネッ
トワーキング標準に準拠し、指定されたネットワーキングプリミティブのセットを含む仮
想ネットワークを確立したいと思う場合がある。標準によって課された制約はクエリとし
て提示されることができ、クエリは、制約を満たす仮想ネットワーク構成を決定するため
に、あるいは仮想ネットワークの構成が制約に適合するかどうかを決定するために解決さ
れ得る。制約に適合する仮想ネットワークが合成されてもよく、あるいは仮想ネットワー
クが制約に適合するように修正されてもよい。

図９は、いくつかの実施形態による、クライアント用の仮想ネットワークを自動的に合
成するための方法のフローチャートである。３０００に示されるように、クライアントは
ネットワーキングプリミティブのセットを指定し、そして所望の仮想ネットワークに対す
る制約を指定するクエリのセットを提示する。３０１０に示すように、検証サービスは、
ネットワーキングプリミティブのセットを含む仮想ネットワーク構成であって、仮想ネッ
トワーキングルールのセットに従ってクエリによって指定された制約を満たす仮想ネット
ワーク構成を決定する。３０２０に示されるように、仮想ネットワークは、適切なプロバ
イダネットワークサービスを介して仮想ネットワーク構成に従ってプロバイダネットワー
ク上に生成されてもよい。

図１０は、いくつかの実施形態による、クライアント用の仮想ネットワークを自動的に
合成するための別の方法のフローチャートである。３１００に示すように、クライアント
は、既存の仮想ネットワークを指定し、仮想ネットワークに対する制約を指定するクエリ
のセットを提示する。３１１０に示されるように、検証サービスは、仮想ネットワークが
仮想ネットワーキングルールのセットに従って、クエリによって指定された制約を満たす
かどうかを判定するためにクエリを解決する。３１２０で、既存の仮想ネットワークが制
約を満たす場合には、クライアントに通知することができ、方法は終了する。３１２０で
、既存の仮想ネットワークが制約を満たさない場合には、制約に適合する新たな仮想ネッ
トワークが適切なプロバイダネットワークサービスを通じてプロバイダネットワーク上に
生成され得る。あるいは、いくつかの実施形態では、既存の仮想ネットワークは、制約を
満たすために適切なプロバイダネットワークサービスを通じて修正されてもよい。

例示的なプロバイダネットワーク環境
本項では、図１から図１０を参照して説明した方法および装置の実施形態が実装され得
る例示的なプロバイダネットワーク環境について説明する。しかしながら、これらの例示
的なプロバイダネットワーク環境は限定的であることを意図していない。

図１１は、いくつかの実施形態による、例示的なプロバイダネットワーク環境を示す図
である。プロバイダネットワーク４０００は、プロバイダネットワークまたは１つ以上の
データセンター内のネットワーク内のデバイス上に実装された計算およびストレージリソ
ースを含むがこれらに限定されない仮想化リソースのインスタンス４０１２を購入、レン
タル、または他の方法で取得することを可能にする１つ以上の仮想化サービス４０１０を
介してクライアントにリソース仮想化を提供し得る。プライベートＩＰアドレス４０１６
は、リソースインスタンス４０１２に関連付けられてもよく、プライベートＩＰアドレス
は、プロバイダネットワーク４０００上のリソースインスタンス４０１２の内部ネットワ
ークアドレスである。いくつかの実施形態では、プロバイダネットワーク４０００は、ク
ライアントがプロバイダ４０００から取得し得るパブリックＩＰアドレス４０１４および
／またはパブリックＩＰアドレス範囲（例えば、インターネットプロトコルバージョン４
（ＩＰｖ４）またはインターネットプロトコルバージョン６（ＩＰｖ６）アドレス）も提
供し得る。

従来、プロバイダネットワーク４０００は、仮想化サービス４０１０を介して、サービ
スプロバイダのクライアント（例えば、クライアントネットワーク４０５０Ａを操作する
クライアント）が、クライアントに割り当てられた、またはアロケートされた少なくとも
いくつかのパブリックＩＰアドレス４０１４を、特に、クライアントに割り当てられたリ
ソースインスタンス４０１２に、動的に関連付けることを可能にし得る。プロバイダネッ
トワーク４０００はまた、クライアントが、そのクライアントにアロケートされた１つの
仮想化コンピューティングリソースインスタンス４０１２に以前にマッピングされたパブ
リックＩＰアドレス４０１４を、やはりそのクライアントにアロケートされた別の仮想化
コンピューティングリソースインスタンス４０１２に再マッピングすることを可能にし得
る。サービスプロバイダによって提供された仮想化コンピューティングリソースインスタ
ンス４０１２およびパブリックＩＰアドレス４０１４を使用して、クライアントネットワ
ーク４０５０Ａのオペレータなどのサービスプロバイダのクライアントは、例えば、クラ
イアント固有のアプリケーションを実装し、クライアントのアプリケーションをインター
ネットなどの中間ネットワーク４０４０に提示することができる。次いで、中間ネットワ
ーク４０４０上の他のネットワークエンティティ４０２０は、クライアントネットワーク
４０５０Ａによって公開された宛先パブリックＩＰアドレス４０１４へのトラフィックを
生成することができ、トラフィックはサービスプロバイダのデータセンターにルーティン
グされ、データセンターではネットワーク基板を介して、現在宛先パブリックＩＰアドレ
ス４０１４にマッピングされている仮想化コンピューティングリソースインスタンス４０
１２のプライベートＩＰアドレス４０１６にルーティングされる。同様に、仮想化コンピ
ューティングリソースインスタンス４０１２からの応答トラフィックは、ネットワーク基
板を介して中間ネットワーク４０４０に戻ってソースエンティティ４０２０にルーティン
グされ得る。

本明細書で使用されるプライベートＩＰアドレスは、プロバイダネットワーク内のリソ
ースインスタンスの内部ネットワークアドレスを指す。プライベートＩＰアドレスはプロ
バイダネットワーク内でのみルーティング可能である。プロバイダネットワークの外部か
ら発信されたネットワークトラフィックは、プライベートＩＰアドレスに直接ルーティン
グされず、代わりに、トラフィックはリソースインスタンスにマッピングされているパブ
リックＩＰアドレスを使用する。プロバイダネットワークは、パブリックＩＰアドレスか
らプライベートＩＰアドレスへのマッピング、およびその逆のマッピングを実行するため
のネットワークアドレス変換（ＮＡＴ）または同様の機能を提供するネットワークデバイ
スまたは機器を含むことができる。

本明細書で使用される場合、パブリックＩＰアドレスは、サービスプロバイダまたはク
ライアントによってリソースインスタンスに割り当てられるインターネットルーティング
可能なネットワークアドレスである。パブリックＩＰアドレスにルーティングされたトラ
フィックは、例えば１：１ネットワークアドレス変換（ＮＡＴ）を介して変換され、リソ
ースインスタンスのそれぞれのプライベートＩＰアドレスに転送される。

いくつかのパブリックＩＰアドレスが、プロバイダネットワークインフラストラクチャ
によって特定のリソースインスタンスに割り当てられることが可能であり、これらのパブ
リックＩＰアドレスは、標準パブリックＩＰアドレス、または単に標準ＩＰアドレスと呼
ばれることがある。いくつかの実施形態では、標準ＩＰアドレスからリソースインスタン
スのプライベートＩＰアドレスへのマッピングは、すべてのリソースインスタンスタイプ
に対するデフォルトの起動設定である。

少なくともいくつかのパブリックＩＰアドレスがプロバイダネットワーク４０００のク
ライアントにアロケートされ、またはそれによって取得されることが可能であり、その場
合にクライアントは、アロケートされたパブリックＩＰアドレスを、クライアントにアロ
ケートされた特定のリソースインスタンスに割り当てることができる。これらのパブリッ
クＩＰアドレスは、クライアントパブリックＩＰアドレス、または単にクライアントＩＰ
アドレスと呼ばれることがある。標準ＩＰアドレスの場合のようにプロバイダネットワー
ク４０００によってリソースインスタンスに割り当てられる代わりに、クライアントＩＰ
アドレスは、例えばサービスプロバイダによって提供されるＡＰＩを介してクライアント
によってリソースインスタンスに割り当てられてもよい。標準ＩＰアドレスとは異なり、
クライアントＩＰアドレスはクライアントアカウントに割り当てられ、必要に応じて、ま
たは好みに応じて、各クライアントによって他のリソースインスタンスに再マッピングさ
れ得る。クライアントＩＰアドレスは、特定のリソースインスタンスではなく、クライア
ントのアカウントに関連付けられており、クライアントがクライアントＩＰアドレスを解
放することを選択するまで、クライアントはそのＩＰアドレスを制御する。従来の静的Ｉ
Ｐアドレスとは異なり、クライアントＩＰアドレスは、クライアントのパブリックＩＰア
ドレスをクライアントのアカウントに関連付けられた任意のリソースインスタンスに再マ
ッピングすることによって、リソースインスタンスまたはアベイラビリティゾーンの障害
をマスクすることを可能にする。例えば、クライアントＩＰアドレスは、クライアントＩ
Ｐアドレスを代替のリソースインスタンスに再マッピングすることによって、クライアン
トはクライアントのリソースインスタンスまたはソフトウェアに関する問題を管理するこ
とができる。

図１２は、いくつかの実施形態による、ＩＰトンネリング技術を使用してネットワーク
基板上にオーバーレイネットワークを実装する例示的なデータセンターを示す図である。
プロバイダデータセンター４１００は、ルータ、スイッチ、ネットワークアドレス変換装
置（ＮＡＴ）などのネットワーキングデバイス４１１２を含むネットワーク基板を含むこ
とができる。いくつかの実施形態は、トンネルを使用してカプセル化されたパケットがネ
ットワーク基板４１１０を通過することができるオーバーレイネットワークを提供するた
めにインターネットプロトコル（ＩＰ）トンネリング技術を使用することができる。ＩＰ
トンネリング技術は、ネットワーク上にオーバーレイネットワーク（例えば、図１２のデ
ータセンター４１００内のローカルネットワーク）を作成するためのマッピングおよびカ
プセル化システムを提供することができ、オーバーレイ層（パブリックＩＰアドレス）お
よびネットワーク基板４１１０層（プライベートＩＰアドレス）に別のネームスペースを
提供することができる。オーバーレイ層内のパケットは、それらのトンネル基板ターゲッ
ト（プライベートＩＰアドレス）が何であるべきかを決定するために、（例えばマッピン
グサービス４１３０によって提供される）マッピングディレクトリに対してチェックされ
得る。ＩＰトンネリング技術は、仮想ネットワークトポロジ（オーバーレイネットワーク
）を提供し、クライアントがパケットを送信したいＩＰアドレスを提供するときに、ＩＰ
オーバーレイアドレスがどこにあるかを知っているマッピングサービス（例えば、マッピ
ングサービス４１３０）と通信することによってＩＰアドレスが仮想空間内で実行される
ように、クライアントに提示されるインターフェース（例えば、サービスＡＰＩ）がオー
バーレイネットワークに付加される。

いくつかの実施形態では、ＩＰトンネリング技術は、ＩＰオーバーレイアドレス（パブ
リックＩＰアドレス）をサブストレートＩＰアドレス（プライベートＩＰアドレス）にマ
ッピングし、２つのネームスペース間のトンネルにおいてパケットをカプセル化し、カプ
セル化がパケットから除去される正しいエンドポイントにトンネルを介してパケットを配
信することができる。図１２では、ホスト４１２０Ａ上の仮想マシン（ＶＭ）４１２４Ａ
から中間ネットワーク４１５０上のデバイスへの例示的なオーバーレイネットワークトン
ネル４１３４Ａと、ホスト４１２０Ｂ上のＶＭ４１２４Ｂとホスト４１２０Ｃ上のＶＭ４
１２４Ｃとの間の例示的なオーバーレイネットワークトンネル４１３４Ｂとが示されてい
る。いくつかの実施形態では、パケットは送信前にオーバーレイネットワークパケットフ
ォーマットでカプセル化されてもよく、オーバーレイネットワークパケットは受信後に除
去されてもよい。他の実施形態では、オーバーレイネットワークパケットにおいてパケッ
トをカプセル化する代わりに、オーバーレイネットワークアドレス（パブリックＩＰアド
レス）を送信前にパケットの基板アドレス（プライベートＩＰアドレス）に埋め込み、受
信時にパケットアドレスから除去してもよい。一例として、オーバーレイネットワークは
、パブリックＩＰアドレスとして３２ビットのＩＰｖ４（インターネットプロトコルバー
ジョン４）アドレスを使用して実装され、ＩＰｖ４アドレスは、プライベートＩＰアドレ
スとしてサブストレートネットワーク上で使用される１２８ビットのＩＰｖ６（インター
ネットプロトコルバージョン６）アドレスの一部として埋め込まれ得る。

図１２を参照すると、実施形態が実装され得る少なくともいくつかのネットワークは、
複数のオペレーティングシステムがホストコンピュータ（例えば、図１２のホスト４１２
０Ａおよび４１２０Ｂ）上で同時に動作することを可能にする、すなわち、ホスト４１２
０上の仮想マシン（ＶＭ）４１２４のような、ハードウェア仮想化技術を含み得る。ＶＭ
４１２４は、例えば、ネットワークプロバイダのクライアントにレンタルまたはリースさ
れ得る。ホスト４１２０上のハイパーバイザまたは仮想マシンモニタ（ＶＭＭ）４１２２
は、ホスト上のＶＭ４１２４に仮想プラットフォームを提示し、ＶＭ４１２４の実行を監
視する。各ＶＭ４１２４は、１つ以上のプライベートＩＰアドレスを与えられてもよく、
ホスト４１２０上のＶＭＭ４１２２は、ホスト上のＶＭ４１２４のプライベートＩＰアド
レスを認識してもよい。マッピングサービス４１３０は、すべてのネットワークＩＰプレ
フィックス、およびローカルネットワーク上でＩＰアドレスを提供しているルータまたは
他のデバイスのＩＰアドレスを認識してもよい。これは、複数のＶＭ４１２４にサービス
を提供するＶＭＭ４１２２のＩＰアドレスを含む。マッピングサービス４１３０は、例え
ばサーバシステム上に集中させることができ、あるいは２つ以上のサーバシステムまたは
ネットワーク上の他のデバイスの間に分散させることができる。ネットワークは、例えば
、マッピングサービス技術およびＩＰトンネリング技術を使用して、例えば、データセン
ター４１００ネットワーク内の異なるホスト４１２０上のＶＭ４１２４間でデータパケッ
トをルーティングすることができ、内部ゲートウェイプロトコル（Ｉｎｔｅｒｉｏｒ Ｇ
ａｔｅｗａｙ Ｐｒｏｔｏｃｏｌ，ＩＧＰ）を使用してこのようなローカルネットワーク
内でルーティング情報を交換し得ることに留意されたい。

さらに、プロバイダデータセンター４１００ネットワーク（自律システム（ａｕｔｏｎ
ｏｍｏｕｓ ｓｙｓｔｅｍ，ＡＳ）と呼ばれることもある）などのネットワークは、マッ
ピングサービス技術、ＩＰトンネリング技術およびルーティングサービス技術を使用して
、ＶＭ４１２４からインターネットデスティネーションに、およびインターネットソース
からＶＭ４１２４に、パケットをルーティングすることができる。インターネット上のソ
ースとデスティネーションとの間のインターネットルーティングには、通常、外部ゲート
ウェイプロトコル（ＥＧＰ）または境界ゲートウェイプロトコル（ＢＧＰ）が使用される
ことに留意されたい。図１２は、いくつかの実施形態による、リソース仮想化技術を提供
し、インターネットトランジットプロバイダに接続するエッジルータ４１１４を介して完
全なインターネットアクセスを提供するネットワークを実装する例示的なプロバイダデー
タセンター４１００を示す。プロバイダデータセンター４１００は、例えば、ハードウェ
ア仮想化サービスを介して仮想コンピューティングシステム（ＶＭ４１２４）を実装する
能力、およびストレージ仮想化サービスを介してストレージリソース４１１８上に仮想化
データストア４１１６を実装する能力をクライアントに提供し得る。

データセンター４１００ネットワークは、例えばデータセンター４１００内のホスト４
１２０上のＶＭ４１２４からインターネットデスティネーションに、およびインターネッ
トソースからＶＭ４１２４にパケットをルーティングするために、仮想化リソースとの間
を行き来するトラフィックをルーティングするＩＰトンネリング技術、マッピングサービ
ス技術およびルーティングサービス技術を実装することができる。インターネットソース
およびデスティネーションは、例えば、中間ネットワーク４１４０に接続されたコンピュ
ーティングシステム４１７０と、（例えば、ネットワーク４１５０をインターネットトラ
ンジットプロバイダに接続するエッジルータ４１１４を介して）中間ネットワーク４１４
０に接続するローカルネットワーク４１５０に接続されたコンピューティングシステム４
１５２とを含むことができる。プロバイダデータセンター４１００ネットワークはまた、
例えばデータセンター４１００内のホスト４１２０上のＶＭ４１２４から同じホスト上の
、またはデータセンター４１００内の他のホスト４１２０上の他のＶＭ４１２４へと、デ
ータセンター４１００内のリソース間でパケットをルーティングしてもよい。

データセンター４１００を提供するサービスプロバイダはまた、データセンター４１０
０と同様のハードウェア仮想化技術を含むとともに中間ネットワーク４１４０にも接続さ
れ得る追加のデータセンター４１６０を、提供し得る。パケットは、データセンター４１
００から他のデータセンター４１６０へ、例えば、データセンター４１００内のホスト４
１２０上のＶＭ４１２４から他の類似のデータセンター４１６０内の他のホスト上の他の
ＶＭへ、およびその逆に転送することができる。

上記は、複数のオペレーティングシステムがホスト上の仮想マシン（ＶＭ）としてホス
トコンピュータ上で同時に動作することを可能にするハードウェア仮想化技術を説明して
いるが、ＶＭはネットワークプロバイダのクライアントにレンタルまたはリースされても
よく、同様に、ストレージリソース４１１８などの他のコンピューティングリソースをネ
ットワークプロバイダのクライアントに仮想化リソースとして提供するために使用されて
もよい。

図１３は、いくつかの実施形態による、ストレージ仮想化サービスおよびハードウェア
仮想化サービスをクライアントに提供する例示的なプロバイダネットワークのブロック図
である。ハードウェア仮想化サービス４２２０は、複数の計算リソース４２２４（例えば
、ＶＭ）をクライアントに提供する。計算リソース４２２４は、例えば、プロバイダネッ
トワーク４２００のクライアントに（例えば、クライアントネットワーク４２５０を実装
するクライアントに）レンタルまたはリースすることができる。各計算リソース４２２４
は、１つ以上のプライベートＩＰアドレスを与えられてもよい。プロバイダネットワーク
４２００は、計算リソース４２２４のプライベートＩＰアドレスからパブリックインター
ネットデスティネーションに、およびパブリックインターネットソースから計算リソース
４２２４にパケットをルーティングするように構成され得る。

プロバイダネットワーク４２００は、例えばローカルネットワーク４２５６を介して中
間ネットワーク４２４０に結合されたクライアントネットワーク４２５０、中間ネットワ
ーク４２４０およびプロバイダネットワーク４２００に結合されたハードウェア仮想化サ
ービス４２２０を介して仮想コンピューティングシステム４２９２を実装する能力を提供
し得る。いくつかの実施形態では、ハードウェア仮想化サービス４２２０は、１つ以上の
ＡＰＩ４２０２、例えばウェブサービスインターフェースを提供することができ、それを
介してクライアントネットワーク４２５０は例えばコンソール４２９４を介してハードウ
ェア仮想化サービス４２２０によって提供される機能にアクセスできる。いくつかの実施
形態では、プロバイダネットワーク４２００において、クライアントネットワーク４２５
０の各仮想コンピューティングシステム４２９２は、リース、レンタルまたは他の方法で
クライアントネットワーク４２５０に提供される計算リソース４２２４に対応し得る。

仮想コンピューティングシステム４２９２および／または別のクライアントデバイス４
２９０、またはコンソール４２９４の、インスタンスから、クライアントは、例えば１つ
以上のＡＰＩ４２０２を介してストレージ仮想化サービス４２１０の機能にアクセスして
、プロバイダネットワーク４２００によって提供される仮想データストア４２１６からデ
ータにアクセスし、仮想データストア４２１６にデータを格納することができる。いくつ
かの実施形態では、少なくともいくつかのデータ、例えば頻繁にアクセスされるまたは重
要なデータをローカルにキャッシュすることができ、１つ以上の通信チャネルを介して仮
想化データストアサービス４２１０と通信することができる仮想化データストアゲートウ
ェイ（図示世せず）をクライアントネットワーク４２５０に設けて、一次データストア（
仮想化データストア４２１６）が保持されるように、ローカルキャッシュから新たなまた
は修正されたデータをアップロードすることができる。いくつかの実施形態では、ユーザ
は、仮想コンピューティングシステム４２９２を介して、および／または別のクライアン
トデバイス４２９０上で、ローカル仮想化ストレージ４２９８としてユーザに見える仮想
データストア４２１６のボリュームをマウントおよびアクセスすることができる。

図１３には示されていないが、仮想化サービスはまた、ＡＰＩ４２０２を介してプロバ
イダネットワーク４２００内のリソースインスタンスからアクセスされてもよい。例えば
、クライアント、機器サービスプロバイダ、または他のエンティティは、プロバイダネッ
トワーク４２００上のそれぞれの仮想ネットワーク内からＡＰＩ４２０２を介して仮想化
サービスにアクセスして、仮想ネットワーク内または別の仮想ネットワーク内の１つ以上
のリソースインスタンスのアロケーションを要求し得る。ネットワーク。

図１４は、いくつかの実施形態による、プロバイダネットワーク上の仮想ネットワーク
を少なくともいくつかのクライアントに提供する例示的なプロバイダネットワークを示す
図である。例えば、プロバイダネットワーク４３００上のクライアントの仮想ネットワー
ク４３６０は、クライアントネットワーク４３５０上のそれらの既存のインフラストラク
チャ（例えば、デバイス４３５２）を論理的に分離されたリソースインスタンスのセット
（例えば、ＶＭ４３２４Ａおよび４３２４Ｂならびにストレージ４３１８Ａおよび４３１
８Ｂ）に接続し、セキュリティサービス、ファイアウォール、侵入検知システムなどの管
理機能を拡張して、それらのリソースインスタンスを含めることを可能にする。

クライアントの仮想ネットワーク４３６０は、プライベート通信チャネル４３４２を介
してクライアントネットワーク４３５０に接続することができる。プライベート通信チャ
ネル４３４２は、例えば、ネットワークトンネリング技術または中間ネットワーク４３４
０を介した他の何らかの技術に従って実装されるトンネルであり得る。中間ネットワーク
は、例えば、共有ネットワークまたはインターネットなどの公衆ネットワークとすること
ができる。あるいは、プライベート通信チャネル４３４２は、仮想ネットワーク４３６０
とクライアントネットワーク４３５０との間の直接の専用接続を介して実装されてもよい
。

公衆ネットワークは、複数のエンティティへのオープンアクセスおよびそれらの間の相
互接続性を提供するネットワークとして広く定義され得る。インターネット、またはワー
ルドワイドウェブ（Ｗｏｒｌｄ Ｗｉｄｅ Ｗｅｂ，ＷＷＷ）は公衆ネットワークの一例
である。共有ネットワークは、アクセスが一般に制限されていない公衆ネットワークとは
対照的に、アクセスが２つ以上のエンティティに制限されるネットワークとして広く定義
され得る。共有ネットワークは、例えば、１つ以上のローカルエリアネットワーク（ＬＡ
Ｎ）および／またはデータセンターネットワーク、または相互接続されて広域ネットワー
ク（ｗｉｄｅ ａｒｅａ ｎｅｔｗｏｒｋ，ＷＡＮ）を形成する２つ以上のＬＡＮもしく
はデータセンターネットワークを含み得る。共有ネットワークの例には、企業ネットワー
クおよび他の企業ネットワークが含まれ得るが、これらに限定されない。共有ネットワー
クは、ローカルエリアをカバーするネットワークからグローバルネットワークまで、範囲
内のどこにあってもよい。共有ネットワークは、少なくともいくつかのネットワークイン
フラストラクチャをパブリックネットワークと共有することができ、共有ネットワークは
、パブリックネットワークを含むことができる１以上の他のネットワークに、他のネット
ワークと共有ネットワークとの間の制御されるアクセスによって結合することができるこ
とに留意されたい。共有ネットワークは、インターネットなどの公衆ネットワークとは対
照的に、プライベートネットワークと見なすこともできる。いくつかの実施形態では、共
有ネットワークまたは公衆ネットワークのいずれかが、プロバイダネットワークとクライ
アントネットワークとの間の中間ネットワークとして機能し得る。

プロバイダネットワーク４３００上のクライアントに対して仮想ネットワーク４３６０
を確立するために、１つ以上のリソースインスタンス（例えば、ＶＭ４３２４Ａおよび４
３２４Ｂならびにストレージ４３１８Ａおよび４３１８Ｂ）を仮想ネットワーク４３６０
に割り当てることができる。他のリソースインスタンス（例えば、ストレージ４３１８Ｃ
およびＶＭ４３２４Ｃ）は、他のクライアント使用のためにプロバイダネットワーク４３
００上で利用可能なままであり得ることに留意されたい。ある範囲のパブリックＩＰアド
レスも仮想ネットワーク４３６０にアロケートすることができる。さらに、プロバイダネ
ットワーク４３００の１つ以上のネットワーキングデバイス（ルータ、スイッチなど）を
仮想ネットワーク４３６０にアロケートすることができる。プライベート通信チャネル４
３４２は、仮想ネットワーク４３６０のプライベートゲートウェイ４３６２とクライアン
トネットワーク４３５０のゲートウェイ４３５６との間に確立されてもよい。

いくつかの実施形態では、プライベートゲートウェイ４３６２に加えて、またはその代
わりに、仮想ネットワーク４３６０は、プライベート通信チャネル４３４２を介する代わ
りに、またはそれに加えて、仮想ネットワーク４３６０内のリソースが中間ネットワーク
４３４０を介してエンティティ（例えば、ネットワークエンティティ４３４４）と直接通
信でき、その逆もできるようにするパブリックゲートウェイ４３６４を含み得る。

仮想ネットワーク４３６０は、必ずというわけではないが、２つ以上のサブネットワー
クまたはサブネット４３７０に細分することができる。例えば、プライベートゲートウェ
イ４３６２およびパブリックゲートウェイ４３６４の両方を含む実装形態では、仮想ネッ
トワーク４３６０は、プライベートゲートウェイ４３６２を通じて到達可能なリソース（
この例ではＶＭ４３２４Ａおよびストレージ４３１８Ａ）を含むサブネット４３７０Ａと
、パブリックゲートウェイ４３６４を介して到達可能なリソース（この例では、ＶＭ４３
２４Ｂおよびストレージ４３１８Ｂ）を含むサブネット４３７０Ｂとに細分することがで
きる。

クライアントは、仮想ネットワーク４３６０内の特定のリソースインスタンスに特定の
クライアントパブリックＩＰアドレスを割り当てることができる。中間ネットワーク４３
４０上のネットワークエンティティ４３４４はその後、クライアントによって公開された
パブリックＩＰアドレスにトラフィックを送信することができ、トラフィックは、プロバ
イダネットワーク４３００によって、関連付けられたリソースインスタンスにルーティン
グされる。リソースインスタンスからの戻りトラフィックは、プロバイダネットワーク４
３００によってルーティングされ、中間ネットワーク４３４０を介してネットワークエン
ティティ４３４４に戻される。リソースインスタンスとネットワークエンティティ４３４
４との間のトラフィックをルーティングすることは、リソースインスタンスのパブリック
ＩＰアドレスとプライベートＩＰアドレスとの間で変換するためのネットワークアドレス
変換を必要とし得ることに留意されたい。

いくつかの実施形態は、図１４に示されるように、クライアントがクライアントの仮想
ネットワーク４３６０内のパブリックＩＰアドレスをクライアントの外部ネットワーク４
３５０上のデバイスに再マッピングすることを可能にし得る。パケットが（例えば、ネッ
トワークエンティティ４３４４から）受信されると、ネットワーク４３００は、パケット
によって示されたデスティネーションＩＰアドレスが外部ネットワーク４３５０上のエン
ドポイントに再マッピングされたと判断し、プライベート通信チャネル４３４２を介して
、または中間ネットワーク４３４０を介して、パケットのそれぞれのエンドポイントへの
ルーティングを処理する。応答トラフィックは、エンドポイントからプロバイダネットワ
ーク４３００を介してネットワークエンティティ４３４４にルーティングされてもよく、
あるいはクライアントネットワーク４３５０によってネットワークエンティティ４３４４
に直接ルーティングされてもよい。ネットワークエンティティ４３４４の観点からは、あ
たかもネットワークエンティティ４３４４がプロバイダネットワーク４３００上のクライ
アントのパブリックＩＰアドレスと通信しているように見える。しかしながら、ネットワ
ークエンティティ４３４４は実際にはクライアントネットワーク４３５０上のエンドポイ
ントと通信している。

図１４は、中間ネットワーク４３４０上およびプロバイダネットワーク４３００の外部
にあるネットワークエンティティ４３４４を示しているが、ネットワークエンティティは
、プロバイダネットワーク４３００上のエンティティとすることができる。例えば、プロ
バイダネットワーク４３００によって提供されるリソースインスタンスのうちの１つは、
クライアントによって公開されたパブリックＩＰアドレスにトラフィックを送信するネッ
トワークエンティティであり得る。

図１５は、いくつかの実施形態による、プロバイダネットワーク上の例示的な仮想ネッ
トワーク内のサブネットおよびセキュリティグループを示す図である。いくつかの実施形
態では、図１４のプロバイダネットワーク４３００などのプロバイダネットワークは、ク
ライアントが、サブネット４４１４内またはサブネット４４１４間で、クライアントの仮
想ネットワーク４４１０内の仮想セキュリティグループ４４１６を確立および管理するこ
とを可能にし得る。セキュリティグループ４４１６は、リソースインスタンス４４１８の
論理グループであり、セキュリティグループルールに従ってセキュリティグループ４４１
６内の１つ以上のリソースインスタンス４４１８に到達することを可能にされたトラフィ
ックを制御する仮想ファイアウォールとして機能する。クライアントは、仮想ネットワー
ク４４１０内に１つ以上のセキュリティグループ４４１６を確立し、仮想ネットワーク４
４１０内の各リソースインスタンス４４１８をセキュリティグループ４４１６の１つ以上
に関連付けることができる。いくつかの実施形態では、クライアントは、セキュリティグ
ループ４４１６に関連付けられたリソースインスタンス４４１８に到達することを可能に
されたインバウンドトラフィックを制御する各セキュリティグループ４４１６のルールを
確立および／または変更することができる。

図１５に示す例示的な仮想ネットワーク４４１０では、仮想ネットワーク４４１０は２
つのサブネット４４１４Ａおよび４４１４Ｂに細分される。仮想ネットワーク４４１０へ
のアクセスは、ゲートウェイ４４３０によって制御される。各サブネット４４１４は、そ
れぞれのサブネット４４１４上のリソースインスタンス４４１８へ（および、からの）ト
ラフィックをルーティングするように動作する少なくとも１つのルータ４４１２を含むこ
とができる。いくつかの実施形態では、ネットワークアクセス制御リスト（ａｃｃｅｓｓ
ｃｏｎｔｒｏｌ ｌｉｓｔ，ＡＣＬ）を使用して、ルータ４４１２のサブネット４４１
４へのアクセスを制御することができる。図１５に示す例では、リソースインスタンス４
４１８Ａ～４４１８Ｅはサブネット４４１４Ａ上にあり、リソースインスタンス４４１８
Ｆ～４４１８Ｊはサブネット４４１４Ｂ上にある。クライアントは、４つのセキュリティ
グループ４４１６Ａ～４４１６Ｄを確立している。図１５に示されるように、セキュリテ
ィグループは、サブネット４４１４Ａ上のリソースインスタンス４４１８Ａおよび４４１
８Ｂとサブネット４４１４Ｂ上のリソースインスタンス４４１８Ｆとを含むセキュリティ
グループ４４１６Ａがそうであるように、サブネット４４１４間に広がってもよい。さら
に、リソースインスタンス４４１８は、セキュリティグループ４４１６Ａおよび４４１６
Ｂに含まれるリソースインスタンス４４１８Ａと同様に、２つ以上のセキュリティグルー
プ４４１６に含まれてもよい。

本開示の実施形態は、以下の節を考慮して説明され得る。
１．メモリに結合されたプロセッサを含むコンピュータシステムであって、メモリは仮
想ネットワーク検証サービスの命令を含み、命令は、実行時にシステムに、
クライアントデバイスを介してクライアントから、仮想ネットワークであってプロバ
イダネットワーク内でインスタンス化され仮想マシンを含む仮想ネットワークについての
、クエリであって制約問題として表現されるクエリを受信させ、
クエリに応答して、
クライアントの仮想ネットワークに対する記述的情報を取得させ、
宣言的論理プログラミング言語に従って記述的情報をエンコードして、仮想ネット
ワークのエンコードされた記述を生成させ、
制約ソルバープログラムであって宣言型論理プログラミング言語に従って制約問題
を解決するように構成された制約ソルバープログラムを使用して、エンコードされた仮想
ネットワーキングルールに従ってクエリを解決させ、
クエリ解決の結果をクライアントデバイスに提供させる、システム。
２．メモリは、実行時にシステムにプロバイダネットワークのアプリケーションプログ
ラムインターフェースから記述的情報を取得させる命令をさらに含む、条項１に記載のシ
ステム。
３．実行時にシステムに記述的情報を取得させる命令は、実行時にシステムに、
１つ以上のプロバイダネットワークサービスから仮想ネットワークの記述的情報を取得
するための許可をクライアントから受け取らせ、
１つ以上のプロバイダネットワークサービスから、プロバイダネットワーク上の仮想ネ
ットワークに対する記述的情報を取得させる命令をさらに含む、条項１に記載のシステム
。
４．記述的情報は、仮想ネットワーク内で実装されたネットワーキングプリミティブの
インスタンスを識別する情報、仮想ネットワーク内の仮想マシンの記述、仮想ネットワー
ク内の仮想マシン間の関係の記述、または仮想ネットワークの外部のエンティティへのイ
ンターフェースの記述のうちの１つ以上を含む条項１に記載のシステム。
５．仮想ネットワーキングルールは、仮想ネットワークに実装されたネットワーキング
プリミティブのための仮想ネットワーキングセマンティクスおよび論理をエンコードする
ルール、１つ以上のネットワーキングセキュリティ標準をエンコードするルール、または
クライアントのネットワーキング要件をエンコードするクライアント定義ルールのうちの
１つ以上を含む、条項１に記載のシステム。
６．クエリは、仮想ネットワーク内の仮想マシンと仮想ネットワーク内の他の仮想マシ
ンとの間のパスが開いていることを検証するか、仮想ネットワーク内の仮想マシンと仮想
ネットワークの外部の１つ以上のエンティティとの間のパスが開いていることを検証する
か、または仮想ネットワーク内の仮想マシンが、仮想マシンにアクセスすべきでないエン
ティティによってアクセス可能ではないことを検証するように提示される、条項１に記載
のシステム。
７．結果が、クエリ解決の結果のテキスト表現、またはクエリ解決の結果のグラフィッ
ク表現のうちの１つ以上を含む、条項１に記載のシステム。
８．方法であって、
プロバイダネットワーク上の１つ以上のデバイスによって実装された仮想ネットワーク
検証サービスによって、
プロバイダネットワーク上でクライアントの仮想ネットワークについてのクエリを受
信し、クエリは制約問題を表すことと、
仮想ネットワークの記述的情報を取得することと、
宣言型論理プログラミング言語に従って記述的情報をエンコードして仮想ネットワー
クのエンコードされた記述を生成することと、
制約ソルバーエンジンを使用して、エンコードされた仮想ネットワーキングルールに
従って、エンコードされた記述に対するクエリを解決することと、
クエリ解決の結果をクライアントに提供することと、を実行することを含む、方法。
９．記述的情報はクライアントから取得される、条項８に記載の方法。
１０．記述的情報を取得することは、
１つ以上のプロバイダネットワークサービスから仮想ネットワークの記述的情報を取得
するための許可をクライアントから取得することと、
１つ以上のプロバイダネットワークサービスからプロバイダネットワーク上の仮想ネッ
トワークに対する記述的情報を取得することと、を含む、条項８に記載の方法。
１１．記述的情報は、仮想ネットワークに実装されたネットワーキングプリミティブの
インスタンスを識別する情報、仮想ネットワーク内の仮想マシンの記述、仮想ネットワー
ク内の仮想マシン間の関係の記述、または仮想ネットワークの外部のエンティティへのイ
ンターフェースの記述のうちの１つ以上を含む、条項８に記載の方法。
１２．仮想ネットワーキングルールは、仮想ネットワークに実装されたネットワーキン
グプリミティブのための仮想ネットワーキングセマンティクスおよび論理をエンコードす
るルール、１つ以上のネットワーキングセキュリティ標準をエンコードするルール、また
はクライアントのネットワーキング要件をエンコードするクライアント定義ルールのうち
の１つ以上を含む、条項８に記載の方法。
１３．クライアントからエンコードされた仮想ネットワーキングルールを受信すること
をさらに含み、エンコードされた仮想ネットワーキングルールは、クライアントによって
定義された仮想ネットワークに対するベストプラクティスを指定するルールを含み、クエ
リは、仮想ネットワークがベストプラクティスに準拠することを検証するように提示され
る、条項８に記載の方法。
１４．クエリは、仮想ネットワーク内の仮想マシンと仮想ネットワーク内の別の仮想マ
シンとの間のパスが開いていることを検証するか、仮想ネットワーク内の仮想マシンと仮
想ネットワークの外部の１つ以上のエンティティとの間のパスが開いていることを検証す
るか、または仮想ネットワーク内の仮想マシンが、仮想マシンにアクセスすべきでないエ
ンティティによってアクセス可能ではないことを検証するように提示される、条項８に記
載の方法。
１５．クエリ解決の結果をクライアントに提供することは、クエリ解決の結果のテキス
ト表現をクライアントに提供すること、またはクエリ解決の結果のグラフィック表現をク
ライアントに提供することを含む、条項８に記載の方法。
１６．クエリを受信することと、記述的情報を取得することと、仮想ネットワーク検証
サービスへのアプリケーションプログラミングインターフェースに従ってクエリ解決の結
果を提供することと、をさらに含む、条項８に記載の方法。
１７．クライアントの仮想ネットワークは２つのピア仮想ネットワークを含み、クエリ
は、第１のピア仮想ネットワーク内の仮想マシンがプロバイダネットワークを介したピア
仮想ネットワーク間のピア接続を介して第２のピア仮想ネットワーク内の別の仮想マシン
と通信できることを検証するように提示される、条項８に記載の方法。
１８．プログラム命令を格納した非一時的コンピュータ可読記憶媒体であって、前記プ
ログラム命令は１つ以上のコンピュータによって実行されると前記１つ以上のコンピュー
タに、
プロバイダネットワーク上におけるクライアントの仮想ネットワークについての１つ以
上のクエリであって制約問題として表現されるクエリを受け取らせ、
仮想ネットワークの記述的情報を取得させ、
宣言的論理プログラミング言語に従って記述的情報をエンコードして仮想ネットワーク
のエンコードされた記述を生成させ、
制約ソルバーエンジンを使用して、エンコードされた仮想ネットワーキングルールに従
って、エンコードされた記述に対する１つ以上のクエリを解決させ、
１つ以上のクエリの解決の結果をクライアントに提供させる、非一時的コンピュータ可
読記憶媒体。
１９．記述的情報は、クライアントから、または仮想ネットワークを記述するメタデー
タを保持する１つ以上のプロバイダネットワークサービスから取得される、条項１８に記
載の非一時的コンピュータ可読記憶媒体。
２０．記述的情報は、仮想ネットワーク内で実装されたネットワーキングプリミティブ
のインスタンスを識別する情報、仮想ネットワーク内の仮想マシンの記述、仮想ネットワ
ーク内の仮想マシン間の関係の記述、または仮想ネットワークの外部のエンティティへの
インターフェースの記述のうちの１つ以上を含む、条項１８に記載の非一時的コンピュー
タ可読記憶媒体。
２１．仮想ネットワーキングルールは、仮想ネットワークに実装されたネットワーキン
グプリミティブのための仮想ネットワーキングセマンティクスおよび論理をエンコードす
るルール、１つ以上のネットワーキングセキュリティ標準をエンコードするルール、また
はクライアントのネットワーキング要件をエンコードするクライアント定義ルールのうち
の１つ以上を含む、条項１８に記載の非一時的コンピュータ可読記憶媒体。

例示的なシステム
いくつかの実施形態では、本明細書に記載のプロバイダネットワーク環境において仮想
ネットワークを検証するための方法および装置の一部または全部を実装するシステムは、
１つ以上のコンピュータアクセス可能媒体を含む、またはこれにアクセスするように構成
された、例えば、図１６に示すコンピュータシステム５０００などの汎用コンピュータシ
ステムを含み得る。図示の実施形態では、コンピュータシステム５０００は、入出力（Ｉ
／Ｏ）インターフェース５０３０を介してシステムメモリ５０２０に結合された１つ以上
のプロセッサ５０１０を含む。コンピュータシステム５０００は、Ｉ／Ｏインターフェー
ス５０３０に結合されたネットワークインターフェース５０４０をさらに含む。

様々な実施形態において、コンピュータシステム５０００は、１つのプロセッサ５０１
０を含む単一プロセッサシステム、またはいくつかのプロセッサ５０１０（例えば、２、
４、８、または他の適切な数）を含むマルチプロセッサシステムであり得る。プロセッサ
５０１０は、命令を実行することができる任意の適切なプロセッサであり得る。例えば、
様々な実施形態において、プロセッサ５０１０は、ｘ８６、ＰｏｗｅｒＰＣ、ＳＰＡＲＣ
、またはＭＩＰＳ ＩＳＡ、または任意の他の適切なＩＳＡなどの任意の様々な命令セッ
トアーキテクチャ（ｉｎｓｔｒｕｃｔｉｏｎ ｓｅｔ ａｒｃｈｉｔｅｃｔｕｒｅ，ＩＳ
Ａ）を実装する汎用または組み込みプロセッサであり得る。マルチプロセッサシステムで
は、プロセッサ５０１０のそれぞれは、必ずしもそうとは限らないが一般的に同じＩＳＡ
を実装することができる。

システムメモリ５０２０は、プロセッサ５０１０によってアクセス可能な命令およびデ
ータを格納するように構成され得る。様々な実施形態において、システムメモリ５０２０
は、スタティックランダムアクセスメモリ（ｓｔａｔｉｃ ｒａｎｄｏｍ ａｃｃｅｓｓ
ｍｅｍｏｒｙ，ＳＲＡＭ）、シンクロナスダイナミックＲＡＭ（ｓｙｎｃｈｒｏｎｏｕ
ｓ ｄｙｎａｍｉｃ ＲＡＭ，ＳＤＲＡＭ）、不揮発性／フラッシュ型メモリ、または任
意の他のタイプのメモリなどの任意の適切なメモリ技術を使用して実装され得る。図示の
実施形態では、プロバイダネットワーク環境においてクライアントのリソースに対してク
ライアント定義ルールを提供するための上述の方法、技法、およびデータなどの１つ以上
の所望の機能を実装するプログラム命令およびデータは、コード５０２５およびデータ５
０２６としてシステムメモリ５０２０内に格納されて示される。

一実施形態では、Ｉ／Ｏインターフェース５０３０は、プロセッサ５０１０、システム
メモリ５０２０、およびネットワークインターフェース５０４０または他の周辺インター
フェースを含むデバイス内の任意の周辺デバイスの間のＩ／Ｏトラフィックを調整するよ
うに構成され得る。いくつかの実施形態では、Ｉ／Ｏインターフェース５０３０は、ある
構成要素（例えば、システムメモリ５０２０）からのデータ信号を別の構成要素（例えば
、プロセッサ５０１０）による使用に適したフォーマットに変換するために必要な任意の
プロトコル、タイミングまたは他のデータ変換を実行し得る。いくつかの実施形態では、
Ｉ／Ｏインターフェース５０３０は、例えば、ペリフェラルコンポーネントインターコネ
クト（Ｐｅｒｉｐｈｅｒａｌ Ｃｏｍｐｏｎｅｎｔ Ｉｎｔｅｒｃｏｎｎｅｃｔ，ＰＣＩ
）バス規格またはユニバーサルシリアルバス（Ｕｎｉｖｅｒｓａｌ Ｓｅｒｉａｌ Ｂｕ
ｓ，ＵＳＢ）規格の変形など、様々なタイプの周辺バスを介して付設されたデバイスのサ
ポートを含むことができる。いくつかの実施形態において、Ｉ／Ｏインターフェース５０
３０の機能は、例えば、ノースブリッジおよびサウスブリッジなどの２つ以上の別々の構
成要素に分割され得る。また、いくつかの実施形態では、システムメモリ５０２０へのイ
ンターフェースなど、Ｉ／Ｏインターフェース５０３０の機能の一部または全部をプロセ
ッサ５０１０に直接組み込むことができる。

ネットワークインターフェース５０４０は、コンピュータシステム５０００と、例えば
図１から図１５に示されるような他のコンピュータシステムまたはデバイスなどのネット
ワーク５０５０に付設された他のデバイス５０６０との間でデータを交換することを可能
にするように構成され得る。様々な実施形態において、ネットワークインターフェース５
０４０は、例えば、イーサネットネットワークの種類など、任意の適切な有線または無線
の一般データネットワークを介した通信をサポートしてもよい。さらに、ネットワークイ
ンターフェース５０４０は、アナログ音声ネットワークまたはデジタルファイバ通信ネッ
トワークなどの電気通信／電話ネットワーク、ファイバチャネルＳＡＮなどのストレージ
エリアネットワーク、または任意の他の適切な種類のネットワークおよび／またはプロト
コルを介した通信をサポートし得る。

いくつかの実施形態では、システムメモリ５０２０は、プロバイダネットワーク環境に
おいて仮想ネットワークを検証するための方法および装置の実施形態を実装するための、
図１～図１０に関して上述したプログラム命令およびデータを格納するように構成された
コンピュータアクセス可能媒体の一実施形態であり得る。しかしながら、他の実施形態で
は、プログラム命令および／またはデータは、異なるタイプのコンピュータアクセス可能
媒体上で受信、送信または記憶されてもよい。一般的に言えば、コンピュータアクセス可
能媒体は、Ｉ／Ｏインターフェース５０３０を介してコンピュータシステム５０００に結
合されたディスクまたはＤＶＤ／ＣＤなどの磁気または光学媒体などの非一時的記憶媒体
またはメモリ媒体を含むことができる。非一時的コンピュータアクセス可能記憶媒体はま
た、システムメモリ５０２０または他のタイプのメモリとしてコンピュータシステム５０
００のいくつかの実施形態に含まれ得る、ＲＡＭ（例えば、ＳＤＲＡＭ、ＤＤＲ ＳＤＲ
ＡＭ、ＲＤＲＡＭ、ＳＲＡＭなど）、ＲＯＭなどのような任意の揮発性または不揮発性媒
体を含み得る。さらに、コンピュータアクセス可能媒体は、ネットワークインターフェー
ス５０４０を介して実装され得るような、ネットワークおよび／または無線リンクなどの
通信媒体を介して伝達される、電気信号、電磁気信号、またはデジタル信号などの伝送媒
体または信号を含み得る。

結論
様々な実施形態は、コンピュータアクセス可能媒体上で前述の説明に従って実装された
命令および／またはデータを受信、送信または記憶することをさらに含むことができる。
一般的に言えば、コンピュータアクセス可能媒体は、ディスクまたはＤＶＤ／ＣＤ－ＲＯ
Ｍなどの磁気または光媒体、ＲＡＭ（例えば、ＳＤＲＡＭ、ＤＤＲ、ＲＤＲＡＭ、ＳＲＡ
Ｍなど）、ＲＯＭなどの揮発性または不揮発性媒体、ならびにネットワークおよび／また
は無線リンクなどの通信媒体を介して伝達される、電気信号、電磁気信号、またはデジタ
ル信号などの伝送媒体または信号を含むことができる。

図面に示され、本明細書に記載されるような様々な方法は方法の例示的な実施形態を表
す。方法は、ソフトウェア、ハードウェア、またはそれらの組み合わせで実装することが
できる。方法の順序は変更されてもよく、様々な要素が追加、並べ替え、結合、省略、修
正などされてもよい。

本開示の恩恵を受ける当業者に明らかであるように、様々な修正および変更がなされ得
る。そのような修正および変更をすべて包含し、したがって上記の説明を限定的な意味で
はなく例示的な意味で見なすことを意図している。

Claims (15)

1. メモリに結合されたプロセッサを含むコンピュータシステムであって、前記メモリは、
   仮想ネットワーク検証サービスのための命令を含み、該命令は、実行に際して前記システ
   ムに、
   クライアントデバイスを介して、クライアントから仮想ネットワークのためのネットワ
   ーキングプリミティブに対する指定仕様を受信させ、
   宣言型論理プログラミング言語に従って、前記指定されたネットワーキングプリミティ
   ブに少なくとも部分的に基づいて、前記仮想ネットワークのためのエンコードされた仮想
   ネットワーキングルールを生成させ、
   前記宣言型論理プログラミング言語に従って、前記指定されたネットワーキングプリミ
   ティブに少なくとも部分的に基づいて、前記仮想ネットワークのエンコードされた記述を
   生成させ、
   前記仮想ネットワークに対するクエリであって、前記仮想ネットワークに対する制約を
   指定する制約問題として表現される前記クエリを、前記クライアントデバイスを介して前
   記クライアントから受信させ、
   前記宣言型論理プログラミング言語に従って、制約問題を解決するように構成される制
   約ソルバープログラムを使用して、前記エンコードされた仮想ネットワーキングルールに
   従って、前記仮想ネットワークの前記エンコードされた記述に対するクエリを解決させ、
   且つ、
   前記仮想ネットワークの前記エンコードされた記述に対する前記クエリの解決の結果に
   基づいて、前記クエリによって指定された制約を満たす前記ネットワークのための構成を
   生成させる、コンピュータシステム。
2. 前記メモリは命令を更に備え、該命令は、実行に際して前記システムに、前記生成され
   た構成に従って、プロバイダネットワーク内で仮想ネットワークをインスタンス化させ、
   前記インスタンス化された仮想ネットワークは、１つ以上の仮想マシンを含む、請求項１
   に記載のシステム。
3. 前記メモリは命令を更に備え、該命令は、実行に際して前記システムに、前記生成され
   た構成に従って、プロバイダネットワーク内で既存の仮想ネットワークを修正させ、前記
   既存の仮想ネットワークは、１つ以上の仮想マシンを含む、請求項１に記載のシステム。
4. 前記エンコードされた仮想ネットワーキングルールは、ルールの中の１つ以上を含み、
   ここで該ルールとは、前記指定されたネットワーキングプリミティブに対して仮想ネット
   ワーキングセマンティクス及び論理をエンコードするルールか、前記クライアントによっ
   て指定された１つ以上のネットワーキングセキュリティ標準をエンコードするルールか、
   又は前記クライアントのネットワーキング要件をエンコードするクライアント定義ルール
   である、請求項１に記載のシステム。
5. 前記クエリは、クエリの中の１つ以上を含み、ここで該クエリとは、前記仮想ネットワ
   ーク内の仮想マシンと前記仮想ネットワーク内の他の仮想マシンとの間のパスが開いてい
   ることを検証するために提示されるクエリか、前記仮想ネットワーク内の仮想マシンと前
   記仮想ネットワークの外部の１つ以上のエンティティとの間のパスが開いていることを検
   証するために提示されるクエリか、又は前記仮想ネットワーク内の仮想マシンが、前記仮
   想マシンにアクセスすべきでないエンティティによってアクセス可能ではないことを検証
   するために提示されるクエリである、請求項１に記載のシステム。
6. 前記仮想ネットワークのための前記ネットワーキングプリミティブに対する前記指定仕
   様及び前記仮想ネットワークに対する前記クエリは、前記仮想ネットワーク検証サービス
   へのアプリケーションプログラミングインターフェースに従って受信される、請求項１に
   記載のシステム。
7. 前記ネットワーキングプリミティブは、１つ以上のプロバイダネットワークサービスを
   介して、プロバイダネットワークのクライアントに提供されるネットワーキングリソース
   、構造、機能性を含む、請求項１に記載のシステム。
8. 方法であって、
   プロバイダネットワーク上の１つ以上のデバイスによって実装された仮想ネットワーク
   検証サービスによって、
   仮想ネットワークのためのネットワーキングプリミティブに対する指定仕様を受信す
   ることと、
   宣言型論理プログラミング言語に従って、前記指定されたネットワーキングプリミテ
   ィブに少なくとも部分的に基づいて、前記仮想ネットワークに対してエンコードされた仮
   想ネットワーキングルールを生成することと、
   前記宣言型論理プログラミング言語に従って、前記指定されたネットワーキングプリ
   ミティブに少なくとも部分的に基づいて、前記仮想ネットワークのエンコードされた記述
   を生成することと、
   前記仮想ネットワークに対するクエリであって、前記仮想ネットワークに対する制約
   を指定する制約問題として表現される前記クエリを受信することと、
   制約ソルバーエンジンを使用して、前記エンコードされた仮想ネットワーキングルー
   ルに従って、前記仮想ネットワークの前記エンコードされた記述に対してクエリを解決す
   ることと、
   前記仮想ネットワークの前記エンコードされた記述に対する前記クエリの解決の結果
   に基づいて、前記クエリによって指定された前記制約を満たす前記仮想ネットワークのた
   めの構成を生成することと、
   を実行することを備える、方法。
9. 前記生成された構成に従って、前記プロバイダネットワーク内で前記仮想ネットワーク
   をインスタンス化することを更に備える方法であって、前記インスタンス化された仮想ネ
   ットワークは、１つ以上の仮想マシンを含む、請求項８に記載の方法。
10. 前記生成された構成に従って、前記プロバイダネットワーク内で既存の仮想ネットワー
    クを修正することを更に備える方法であって、前記既存の仮想ネットワークは、１つ以上
    の仮想マシンを含む、請求項８に記載の方法。
11. 前記エンコードされた仮想ネットワーキングルールは、ルールの中の１つ以上を含み、
    ここで該ルールとは、前記指定されたネットワーキングプリミティブに対して仮想ネット
    ワーキングセマンティクス及び論理をエンコードするルールか、前記クライアントによっ
    て指定された１つ以上のネットワーキングセキュリティ標準をエンコードするルールか、
    又は前記クライアントのネットワーキング要件をエンコードするクライアント定義ルール
    である、請求項８に記載の方法。
12. 前記クエリは、クエリの中の１つ以上を含み、ここで該クエリとは、前記仮想ネットワ
    ーク内の仮想マシンと前記仮想ネットワーク内の他の仮想マシンとの間のパスが開いてい
    ることを検証するために提示されるクエリか、前記仮想ネットワーク内の仮想マシンと前
    記仮想ネットワークの外部の１つ以上のエンティティとの間のパスが開いていることを検
    証するために提示されるクエリか、又は前記仮想ネットワーク内の仮想マシンが、前記仮
    想マシンにアクセスすべきでないエンティティによってアクセス可能ではないことを検証
    するために提示されるクエリである、請求項８に記載の方法。
13. 前記仮想ネットワークのための前記ネットワーキングプリミティブに対する前記指定仕
    様及び前記仮想ネットワークに対する前記クエリは、前記仮想ネットワーク検証サービス
    へのアプリケーションプログラミングインターフェースに従って、前記プロバイダネット
    ワークのクライアントから受信される、請求項８に記載の方法。
14. 前記ネットワーキングプリミティブは、１つ以上のプロバイダネットワークサービスを
    介して、前記プロバイダネットワークのクライアントに提供されるネットワーキングリソ
    ース、構造、機能性を含む、請求項８に記載の方法。
15. プログラム命令を格納する１つ以上の非一時的コンピュータ可読記憶媒体であって、該
    プログラム命令は、１つ以上のプロセッサ上で又は１つ以上のプロセッサにわたって実行
    されると、前記１つ以上のプロセッサに、
    仮想ネットワークのためのネットワークプリミティブに対する指定仕様を受信させ、
    宣言型論理プログラミング言語に従って、前記指定されたネットワーキングプリミティブ
    に少なくとも部分的に基づいて、前記仮想ネットワークに対してエンコードされた仮想ネ
    ットワーキングルールを生成させ、
    前記宣言型論理プログラミング言語に従って、前記指定されたネットワーキングプリミ
    ティブに少なくとも部分的に基づいて、前記仮想ネットワークのエンコードされた記述を
    生成させ、
    前記仮想ネットワークに対するクエリであって、前記仮想ネットワークに対する制約を
    指定する制約問題として表現される前記クエリを受信させ、
    制約ソルバーエンジンを使用して、前記エンコードされた仮想ネットワーキングルール
    に従って、前記仮想ネットワークの前記エンコードされた記述に対してクエリを解決させ
    、且つ、
    前記仮想ネットワークの前記エンコードされた記述に対する前記クエリの解決の結果に
    基づいて、前記クエリによって指定された前記制約を満たす前記仮想ネットワークのため
    の構成を生成させる、１つ以上の非一時的コンピュータ可読記憶媒体。

Images