JP2022094322A - セキュリティセンシティブなコンピューティング・システムに対するａｐｉアクセスのための方法、システム及びコンピュータプログラム - Google Patents

Abstract

【課題】セキュリティセンシティブなコンピューティング・システムにおいてＡＰＩアクセスアクションを制御する方法を提供する。【解決手段】方法は、オペレータアカウント・データベースから利用可能なオペレータアカウントを選択することと、ＡＰＩアクセスアクションの識別子とＡＰＩアクセスアクションを実行するためのユニーク・アクションタグを生成することと、選択されたオペレータアカウントとのマッピングを有する動的アクセスリストをメンテナンスすることと、選択されたオペレータアカウントに対して、ＡＰＩアクセスアクションの権限を認可することと、オペレータがＡＰＩアクセスアクションを実行した後、ユニーク・アクションタグに基づく更なるＡＰＩアクセスアクションを取り消すこと、とを含む。【選択図】図１

Description

本発明は、一般的には、コンピューティング・システムに対するセキュアなアクセスアクションの分野に関し、より具体的には、セキュリティセンシティブなコンピューティング・システムにおいてアプリケーション・プログラミング・インターフェース（ＡＰＩ）アクセスアクションを制御するための方法に関する。

セキュリティセンシティブなコンピューティング・システムにおいてアプリケーション・プログラミング・インターフェース（ＡＰＩ）アクセスアクションを制御するための方法を提供する。

本発明の一態様によれば、セキュリティセンシティブなコンピューティング・システムにおいてアプリケーション・プログラミング・インターフェース（ＡＰＩ）アクセスアクションを制御する方法が提供される。本方法のオペレーションは、実行すべきアクションについて、オペレータアカウント・データベースから利用可能なオペレータアカウントを選択することと、ＡＰＩアクセスアクションの識別子と、ＡＰＩアクセスアクションを実行するためのユニークＡＰＩアクセスキーとを包含する、ユニーク・アクションタグを生成することと、ＡＰＩアクセスアクションの識別子及びユニークＡＰＩアクセスキーと、選択されたオペレータアカウントとのマッピングを有する、動的アクセスリストをメンテナンスすることとを含むことができる。さらに、本方法は、選択されたオペレータアカウントに対して、動的アクセスリスト及びユニーク・アクションタグを介して、マッピングされたＡＰＩアクセスアクションの実行のみに限定されたセキュリティセンシティブなコンピューティング・システムに対するＡＰＩアクセスアクションの権限を認可することと、オペレータがＡＰＩアクセスアクションを実行した後、ユニーク・アクションタグに基づく更なるＡＰＩアクセスアクションを取り消すこととを含むことができる。

本発明の別の態様によれば、セキュリティセンシティブなコンピューティング・システムにおいてアプリケーション・プログラミング・インターフェース（ＡＰＩ）アクセスアクションを制御するためのアクセス制御システムが提供される。アクセス制御システムは、プロセッサに通信可能に結合されたメモリを含むことができ、メモリは、実行すべきＡＰＩアクセスアクションについて、プロセッサが、オペレータアカウント・データベースから利用可能なオペレータアカウントを選択し、ＡＰＩアクセスアクションの識別子と、ＡＰＩアクセスアクションを実行するためのユニークＡＰＩアクセスキーとを包含する、ユニーク・アクションタグを生成することを可能にするプログラムコード部分を格納している。格納されたプログラムコードは、プロセッサが、更に、ＡＰＩアクセスアクションの識別子及びユニークＡＰＩアクセスキーと、選択されたオペレータアカウントとのマッピングを有する、動的アクセスリストをメンテナンスし、選択されたオペレータアカウントに、動的アクセスリスト及びユニーク・アクションタグを介して、マッピングされたＡＰＩアクセスアクションの実行のみに限定されたセキュリティセンシティブなコンピューティング・システムに対するＡＰＩアクセスアクションの権限を認可し、オペレータがＡＰＩアクセスアクションを実行した後、ユニーク・アクションタグに基づく更なるＡＰＩアクセスアクションを取り消すことを可能にすることができる。

さらに、実施形態は、コンピュータ又はいずれかの命令実行システムによって又はそれとの関連で使用されるコンピュータ使用可能又はコンピュータ可読媒体からアクセス可能な、関連したコンピュータプログラム製品の形態を取ることができる。この説明の目的で、コンピュータ使用可能又はコンピュータ可読媒体は、命令実行システム、装置、又はデバイスによって又はそれらとの関連で使用されるプログラムを格納し、伝達し、伝搬し、もしくは輸送し、又はそれらの組合せを行うための手段を収納するあらゆる装置とすることができる。

セキュリティセンシティブなコンピューティング・システムにおいてＡＰＩアクセスアクションを制御するための本発明の方法の実施形態のブロック図を示す。 本発明の実施形態のコンポーネント及び関連する情報フローのブロック図を示す。 本発明の実施形態の情報フローに関与するコンポーネントの第１の部分のブロック図を示す。 本発明の実施形態の情報フローに関与するコンポーネントの第２の部分のブロック図を示す。 セキュリティセンシティブなコンピューティング・システムにおいてＡＰＩアクセスアクションを制御するためのアクセス制御システムの実施形態を示す。 本発明の一態様によるアクセス制御システムを備えるコンピューティング・システムを示す。

この説明の文脈では、以下の慣例、用語、もしくは表現又はそれらの組合せを使用することができる。

「アプリケーション・プログラミング・インターフェース・アクセスアクション」（略して「ＡＰＩアクセスアクション」）という用語は、あらゆる種類のアプリケーション・プログラミング・インターフェースに対する呼び出しを意味することができる。例として、オペレーティングシステム、データベース、設定ファイル、ミドルウェアコンポーネント、もしくはアプリケーションプログラム又はそれらの組合せのＡＰＩが挙げられる。ＡＰＩの基礎となるコンポーネントへのアクセスは、他のプログラムによって実行されることもあり、又はＡＰＩに対するユーザインターフェースによって直接実行されることもある。アクセスアクションは、ＡＰＩの根底にあるコンポーネントに対する、読出しアクセス、書込みアクセス、変更アクセス、もしくは削除アクセス又はそれらの組合せを含むがこれらに限定されない、あらゆる種類の影響を含むことができる。基本的に、あらゆるアクセスアクションは、ＡＰＩの根底にあるコンポーネントに対するアクセスとして理解すべきものであり、そのアクセスはコンポーネントの設定を変更することができる。

「セキュリティセンシティブなコンピューティング・システム」という用語は、アクセスが厳密に制御された高度にセキュアなコンピューティング・システムを意味することができる。多くの場合、こうしたシステムは、ＩＢＭ Ｚシステム・コンプレックスのような、完全ないわゆるメインフレーム・コンピューティング・システムの一部の形態であるセキュア・エンクレーブとして実装される。

「オペレータアカウント」という用語は、セキュリティセンシティブなコンピューティング・システムのオペレータ専用のユーザＩＤ（識別子）を意味することができる。オペレータ・ユーザのアクセス権限は、そのセキュリティセンシティブなコンピューティング・システムのアプリケーション・ユーザのアクセス権をはるかに超える場合がある。これまで（すなわち、従来のシステムでは）、オペレータのアクセス権は、セキュリティセンシティブなコンピューティング・システムに対するセキュリティ上の脅威となる可能性があった。提案する概念は、このギャップを埋める手段となり得る。

「ユニーク・アクションタグ」という用語は、選択されたオペレータが１回限りのＡＰＩアクセスアクションを実行できるようにするための、潜在的には時間依存性の（すなわち、事前定義された期間のみ有効な）ワンタイム識別子を意味することができる。１回限りのＡＰＩアクセスアクションが実行されると、ユニーク・アクションタグはその有効性を失うものとすることができる。すなわち、同じ種類の２回目のＡＰＩアクセスアクションを取り消すことができる。

「ユニークＡＰＩアクセスキー」という用語は、特定のＡＰＩに対するアクセスを可能にするデジタルコードを意味することができる。

「動的アクセスリスト」という用語は、特定のＡＰＩに対する１回限りのＡＰＩアクセスアクションについてユニーク・アクションタグとオペレータとをマッピングする、データベース又はテーブルを意味することができる。

「選択されたオペレータアカウント」という用語は、エラー修正又はその他の必要な又は推奨される保守タスクを実行するために、１回限りのＡＰＩアクセスアクションの権限が与えられるべく選択されたユーザＩＤを意味することができる。

「ＡＰＩアクセスアクションの権限」という用語は、選択されたオペレータがそれぞれのＡＰＩに対する時間制限付きのアクセス権を有することができることを意味することができる。

「更なるＡＰＩアクセスアクションを取り消す」という用語は、ユニークＡＰＩアクセスキーを使用することができ、かつ、潜在的な問題を解決することができた又は保守タスクを実行することができた後に、取り消しが行われることを意味することができる。ユニークＡＰＩアクセスキーをユニーク・アクションタグと組み合わせて２回目に再利用する方法はない。これにより、高度にセキュアなコンピューティング・システムのシステムセキュリティをさらに向上させることができる。

「セキュア・アプライアンス」という用語は、例えばセキュア・エンクレーブとして実装された、本発明者らの高度にセキュアなコンピューティング・システムの一部を意味することができる。多くの場合、こうしたシステムは、いわゆるメインフレームコンピュータシステムの形態で実装される。

「セキュア・エンクレーブ」という用語は、より大きなコンピューティング・コンプレックスの一部としての、高度にセキュアな、そして多くの場合プライベートなコンピューティング環境を意味することができる。すべてのアクセス及びアカウントは、典型的にはセキュリティキー機構によってセキュアにされる。

「システムログファイル」という用語は、コンピュータ・システム上で生じたアクティビティのリストを意味することができる。アクティビティのリストには、タイムタグを付すことができる。さらに、行われたアクティビティと組み合わせて、関与したユーザ又はサブコンポーネントをリスト化することもできる。

セキュリティセンシティブなコンピューティング・システムにおいてアプリケーション・プログラミング・インターフェース（ＡＰＩ）アクセスアクションを制御するための提案する方法は、複数の利点、貢献及び技術的効果を提供することができる。

提案する概念の核心は、選択的な１回限りのアクション、並びに、解決されたアクションタグに基づいて決定することができる動的に生成されたアクセス制御リストに基づいた、必要なアクションを一度だけ実行することができるシステム管理者の選択的なグループに対する割当てにあるということができる。ひとたび特定のオペレータに権限が与えられ、当面のタスク、すなわちＡＰＩに対するアクセスアクションが終了すると、ＡＰＩに対する２回目のアクセスを取り消すことができる。

したがって、提案する概念は、結局のところ、高度にセキュアなシステムを伴うＩＴ環境で役立つように使用することができ、そこでは、オペレーション・チームは、直接の（すなわち制御されていない）アクセス、すなわちｓｓｈ（セキュアシェル）アクセスの形態のアクセスは有さず、オペレーティングシステム・インターフェースに対する直接のアクセスは有さず（事前定義されたＡＰＩを介したアクセスのみ）、アクションに対する高度に制御されたアクセスのみが専用オペレータに与えられ、すべてのＡＰＩ呼び出しは、制御された監視可能な環境で監査され、実行されることになる。

要するに、オペレーション・チームに与えられた権限をさらに制限して、高度にセキュアなコンピューティング環境が、その固有の自己監視サブシステムによってさらに巧みに自己制御されるようにすることができる。

所与のＡＰＩアクセスアクションに対して、そのＡＰＩアクセスアクションが実行された後で無効になる得るユニーク・アクションタグを使用することで、ＡＰＩアクセスアクションが実行された後の、ある種のセルフロックを提供することができる。また、オペレータによるＡＰＩアクセスアクションの意図が成功したことを保証することもできる。

そうでない場合でも、所与のシステムの問題をできるだけすばやく解決するために、事前定義された規則及び手順（設定可能）に基づいて、ＡＰＩに対するアクセス権を自動的に拡張することもできる。

以下の段落では、本方法並びに関連システムに適用可能な追加の実施形態を説明する。

本方法の一実施形態によれば、選択されたオペレータアカウントは、オペレータアカウントのグループであってもよい。したがって、ＡＰＩへのアクセスアクションを行うのにふさわしいオペレータの選択を、スキル又はその他のグループ定義特性に基づいて、実際の利用可能性（例えば、休暇中ではなく「勤務中」であること）に基づいて行うことができる。クラウドコンピューティング環境では、オペレータ又はオペレータのグループの選択は、特定のクラウドコンピューティングシステムを使用しているクライアントに基づいて行うこともできる。

本方法の別の実施形態によれば、ＡＰＩアクセスアクションは、ＡＰＩアクセスアクションのグループであってもよい。これには、同じＡＰＩに対する異なるタイプのアクセスアクション、並びに、異なるＡＰＩに対する同じ又は異なるアクセスアクションであるＡＰＩアクセスアクションも含まれる。誤動作しているシステム機能が単一のＡＰＩアクセスアクションでは修復できない場合、アクセス制御システムの事前定義された設定（又は構成）に基づいて、追加のＡＰＩアクセスアクションを実行するための権限をトリガすることができる。したがって、オペレータに対するＡＰＩアクセスアクションの完全な選択及び割当てプロセスを完全に最初から再始動する必要はない。それゆえ、本方法の別の実施形態によれば、ＡＰＩアクセスアクションのグループは、異なるＡＰＩを参照することができる。

本方法の一実施形態によれば、セキュリティセンシティブなシステムは、セキュア・エンクレーブの形態のセキュア・アプライアンスとして実装することができる。このようなアプライアンス又はシステムは、あらゆるコンポーネント又はその関連ＡＰＩに対するオープンアクセスを防止する、高度に保護されたシステムとして、最初から設計することができる。高度にセキュアな制御されたユーザ又は他のシステムにのみ、こうしたセキュア・アプライアンスに対するアクセスを許可する又は権限を与えることができる。しかしながら、それでもなお、一般的なオペレータにも、システムＡＰＩへのアクセスが許可される場合がある。この穴を塞ぐために、本明細書で提案されるセキュリティシステムが手段となり得る。

別の実施形態によれば、本方法は、ＡＰＩアクセスアクションの要件を決定するために、システムログファイル（又は複数のシステムログファイス）を監視及び解析することも含む。これは、セキュア・アプライアンスのＡＰＩに対するアクセスの要件が決定されると動的アクセス制御及びアクションレゾルバをトリガすることができる、ロギング及び解析システムによって実行することができる。

本方法の一実施形態によれば、ＡＰＩアクセスアクションは、セキュリティセンシティブなコンピューティング・システムの構成（すなわち、その少なくとも１つのリソース又はコンポーネント）の変更、及び、セキュリティセンシティブなコンピューティング・システムの別のコンポーネントの有効化を含む群の中から選択された少なくとも１つとすることができる。これは、セキュリティセンシティブなコンピューティング・システムのスリープしている（すなわち非アクティブな）コンポーネント、例えば、追加のプロセッサ・コア、記憶容量がより大きい更なるメモリ、又はより高いメモリ帯域幅などを利用可能にすることを含むこともできる。

本方法の一実施形態によれば、更なるＡＰＩアクセスアクションを取り消すことは、更なるＡＰＩアクセスアクションを取り消す前に、ＡＰＩアクセスアクションの完了を監視することを含むこともできる。したがって、権限を与えられたＡＰＩアクセスアクションを一度だけ実行することができる。ひとたび特定のアクセスアクションが完了すると、同じアクセストークンに基づいた２回目のＡＰＩアクションが不可能になり得る。それゆえ、オペレータがアクセスタグを後の（特に権限のない）使用のために秘密裏に保存することは不可能であり、むしろ意味をなさない。後の、すなわち２回目の使用は、いずれにしても取り消されることになる。

本発明の一実施形態によれば、本方法は、以前のアクセスアクションが実用的な解決（working solution）に到達しなかった場合、ユニーク・アクションタグによって制御されるアクセスをＡＰＩの追加セットに拡張することを含むこともできる。これは、解決すべき問題又は実行すべきタスクが、単一のＡＰＩアクセスアクションだけでは完了しない場合に、特に有用であり得る。それゆえ、成功したＡＰＩアクセスアクションの完了マークは設定されないであろう。その結果、事前定義された規則及び手順に基づいて、当面のタスクを解決するために必要なＡＰＩ及び潜在的なアクションの拡張を自動的に許可することができる。

本発明の一実施形態によれば、本方法は、選択されたオペレータアカウントに通知を送ることを含むこともできる。これに関して、通知は、必要なＡＰＩアクセスアクションに関する詳細（一般的には、より多くの詳細）を含むことができる。詳細は、追加の背景情報、特定の指示、追加で必要なリソース、前もって行うべきアクション（最悪の場合、コンピューティング・システムのシャットダウン又はアクティブユーザへの警告）又はバックアップ・アクティビティを含むことができる。

以下の段落では、図面の詳細な説明を示す。図中の指示はすべて模式的なものである。最初に、セキュリティセンシティブなコンピューティング・システムにおいてＡＰＩアクセスアクションを制御するための本発明の実施形態のブロック図を示す。その後、更なる実施形態、並びに、セキュリティセンシティブなコンピューティング・システムにおいてＡＰＩアクセスアクションを制御するためのアクセス制御システムの実施形態について説明する。

図１は、セキュリティセンシティブなコンピューティング・システムにおいてアプリケーション・プログラミング・インターフェース（ＡＰＩ）アクセスアクションを制御するための方法１００の実施形態のブロック図を示す。方法１００は、実行すべきアクションについて、オペレータアカウント・データベースから利用可能なオペレータアカウントを選択すること（１０２）と、ＡＰＩアクセスアクションの識別子とＡＰＩアクセスアクションを実行するためのユニークＡＰＩアクセスキーとを包含するユニーク・アクションタグを生成すること（１０４）とを含む。

方法１００は、さらに、ＡＰＩアクセスアクションの識別子及びユニークＡＰＩアクセスキーと選択されたオペレータアカウントとのマッピングを有する、動的アクセスリストをメンテナンスすること（１０６）を含む。ユニークＡＰＩアクセスキーは、ユニーク・アクションタグとは異なることに留意されたい。

さらに、方法１００は、選択されたオペレータアカウントに対して、動的アクセスリスト及びユニーク・アクションタグを介して、マッピングされたＡＰＩアクセスアクションの実行のみに限定されたセキュリティセンシティブなコンピューティング・システムに対するＡＰＩアクセスアクションの権限を認可すること（１０８）も含む。これに関して、マッピングは、動的アクセス制御リストから知ることができることに留意されたい。

最後に、方法１００は、オペレータが実行したユニーク・アクションタグに基づく更なるＡＰＩアクセスアクションを取り消すこと（１１０）を含む。したがって、選択されたオペレータは、割り当てられたタスク、すなわちユニーク・アクションタグによって識別された専用のＡＰＩアクセスアクションを一度だけ実行することができる。

図２は、本発明の実施形態のコンポーネント及び関連する情報フローのブロック図２００を示す。フローは、例えばメインフレーム（ＭＦ）コンピュータ・システム上で実行されるセキュア・アプライアンス２０２のオペレーションによって生成することができるログ２０８から開始する。ログファイル２０８は、連続的に取得する（２１０）ことができ、これをロギング及び解析システム２１２で解析することができる。エラー又は保守要件が判定されると、動的アクセス制御及びアクションレゾルバ２１６に通知が送られる（２１４）。

動的アクセス制御及びアクションレゾルバ２１６は、利用可能なオペレータのリスト（２２０、勤務中のオペレータ、もしくは、当面のタスクを実行する能力があるもしくは全般的な権限を与えられたオペレータ、又はその両方のリスト）にアクセスし（２１８）、選択されたオペレータ２２２のうちの少なくとも１人にアクセスを認可する（２２４）ことができる。利用可能なオペレータ２２２のうち少なくとも１人は、勤務中のオペレータのリスト２２０に勤務中として登録されている。また、動的アクセス制御及びアクションレゾルバ２１６は、選択されたオペレータに、ＡＰＩ２０４を介して許可されたアクションを実行して（２３２）潜在的なエラーを解決する又は必要な保守タスクを完了するよう、通知する（２２８）。ＡＰＩに対するアクセスは、選択されたオペレータ２２２のＡＰＩアクセスアクションの認可を受け取る（２３０）ＡＰＩアクセス管理コンポーネント２０６によって制御される。

ＡＰＩアクセスアクションが完了すると、そのことを、ＡＰＩアクセス管理コンポーネント２０６によって動的アクセス制御及びアクションレゾルバ２１６に信号送信（２３４）することができ、ＡＰＩ２０４に対する更なるアクセスが、動的アクセスリスト２２６（及び関連する制御コンポーネント）及びＡＰＩアクセス管理コンポーネント２０６を介して、取り消される（２３６、２３８）。動的アクセス制御及びアクションレゾルバ２１６は、ＡＰＩアクセスアクションの完了について、セキュア・アプライアンス２０２又はそのコンポーネントの１つ（例えば、ＡＰＩアクセス管理コンポーネント２０６又はログファイル２０８の１つ）を能動的にしてもよいことに留意されたい。

ＡＰＩ２０４、ログファイル２０８、及びＡＰＩアクセス管理コンポーネント２０６は、すべてセキュア・アプライアンス２０２の一部であることに留意されたい。さらに、ロギング及び解析システム２１２は、エラー又は必要な保守アクションについてログファイルを解析する以外に、判定されたエラー又は必要な保守アクションに基づいて、実行しなければならない特定のＡＰＩアクセスアクションを決定又は判定することができる。

さらに、動的アクセス制御及びアクションレゾルバ２１６は、ここで提示される概念をサポートする機器的（instrumental）アクティビティのリストを実行する。すなわち、ロギング及び解析システム２１２からの通知をリスニングし、通知ごとに必要なアクションを抽出し、勤務中の潜在的なアサイニー（すなわち、オペレータ）を決定し、アクションタグを作成し、アクションタグをオペレータ２２２とともに動的アクセスリスト２２６に登録し、アクションタグを割り当てて選択されたオペレータ２２２を通知し、実行すべきアクションを解決し、ＡＰＩアクセスアクションが開始もしくは完了したかどうか又は開始及び完了したかどうかを検証し、動的アクセスリスト２２６内のＡＰＩアクションタグを無効にして更なるＡＰＩアクセスができなくなるようにする（すなわち取り消す）。

図３は、本発明の概念の実施形態の情報フローに関与するコンポーネントの第１の部分のブロック図３００を示す。図の上部には、関与するコンポーネント、すなわち、管理者のフロントエンドコンポーネント３０２、動的アクセスリスト３０４（図２の動的アクセスリスト２２６と対応）、及び動的アクセス制御及びアクションレゾルバ３０６（図２の動的アクセス制御及びアクションレゾルバ２１６と対応）が挙げられている。

図３の右側には、フローチャートのコネクタＡ、Ｂ、Ｃ、Ｄ、Ｅが示されており、これらは図４のそれぞれの続きのコネクタに接続される。分かり易くするために、全体の情報フローを図３と図４に分けた。

アクター、すなわち選択されたオペレータ２２２（図２と対応）は、図３の左側に示されている。管理者のフロントエンド３０８は、選択されたオペレータ２２２に対する通知（２２８、図２）を常にリスニングしている。それぞれのトリガ信号は、通知器３１０によって生成される。これは動的アクセス制御リスト３０４に関連付けることができる。このことは、動的アクセス制御及びアクションレゾルバ３０６からの通知を取得（３１２）して、セキュア・アプライアンスに対するアサイニーのアクセストークンを求める要求３１４が生成されるようにするアクティビティにも適用することができる。

動的アクセス制御及びアクションレゾルバ３０６は、アクセスアクションの抽出３１８をトリガし、選択されたオペレータを決定する、通知リスナ・コンポーネント３１６を含む。次いで、そのオペレータのためのユニーク・アクションタグが作成される（３２０）。さらに、動的アクセス制御及びアクションサーバ３１６は、ＡＰＩアクセスアクションが事前定義された期間内に実行されるかどうか、監視し（３２２）、判定する。まだ実行されていない場合、プロセスは、事前定義された期間にわたって待機し（３２３）、その後、再び監視３２２が実行される。

ここで図４を参照すると、動的アクセス制御及び実際のサーバ３０６とロギング及び監視コンポーネント４０２との間に、プロセスフロー接続を示すいくつかの情報バブル（information bubbles）が存在することが見てとれ、これらの続きの接続をＡ、Ｂ、Ｃ、Ｄ、Ｅと表す。図４は、本発明の実施形態の、図３及び図４で共同して表される実施形態の情報フローに関与するコンポーネントの第２の部分のブロック図４００を示す。

アクションの抽出３１８のトリガから、Ａを介した、勤務中のオペレータのリスト４０６（図２の２２０に相当）への接続も見てとれる。通知リスナ・プロセス３１６は、必要な保守タスクの潜在的なエラー修正に関してどのＡＰＩアクセスアクションを実行しなければならないかの決定（４０８）の後、Ｂを介してトリガされる。これは、セキュア・アプライアンス４０４のログ４１２の解析４１０に基づく。ここで、図２の参照符号が図３及び４の適切な場所に括弧付きで付記されていることにも言及しておく。

また、セキュア・アプライアンスに対するアサイニー（すなわち選択されたオペレータ）のアクセストークンの要求３１４と、動的アクセスリスト４１６（例えば、図２の２２６に相当するデータベース）からの情報にアクセスするＡＰＩアクセス管理コンポーネント４１４との間のＣを介した接続、並びに、オペレータ２２２とセキュア・アプライアンス４０４のＡＰＩ４１８に対するアクセスとの間の論理的な接続も見てとれる。さらにＤを介した、システムの連続的なヘルスチェック４２０への接続が示されている。さらに、ＡＰＩアクセスアクションが事前定義された期間内に実行されない場合、Ｄを介して、ＡＰＩアクセス管理４１４にも、潜在的なＡＰＩアクセスアクションが取り消されるべきであることが通知される。

完璧を期して、図５は、セキュリティセンシティブなコンピューティング・システムにおいてＡＰＩアクセスアクションを制御するためのアクセス制御システム５００の実施形態を示す。システム５００は、プロセッサ５０４に通信可能に結合されたメモリ５０２を含み、メモリ５０２は、プロセッサ５０４がＡＰＩアクセスアクションについて、特に選択ユニット５０６によって、オペレータアカウント・データベースから利用可能なオペレータアカウントを選択し、特に生成モジュール５０８によって、ＡＰＩアクセスアクションの識別子とＡＰＩアクセスアクションを実行するためのユニークＡＰＩアクセスキーとを包含するユニーク・アクションタグを生成し、特にメンテナンスモジュール５１０によって、ＡＰＩアクセスアクションの識別子及びユニークＡＰＩアクセスキーと、選択されたオペレータアカウントとのマッピングを有する、動的アクセスリストをメンテナンスし、アクセス認可ユニット５１２によって、選択されたオペレータアカウントに対して、動的アクセスリスト及びユニーク・アクションタグを介して、マッピングされたＡＰＩアクセスアクションの実行のみに限定されたセキュリティセンシティブなコンピューティング・システムに対するＡＰＩアクセスアクションの権限を認可し、特に取消モジュール５１４によって、オペレータがＡＰＩアクセスアクションを実行した後、ユニーク・アクションタグに基づく更なるＡＰＩアクセスアクションを取り消すことを可能にする、プログラムコード部分（図示せず）を格納する。

また、アクセス制御システム５００のアクティビティは、メモリ５０２及びプロセッサ５０４とデータ交換するハードウェア・コンポーネントとして完全に実装することもできることに留意されたい。その結果、メモリ５０２と、プロセッサ５０４と、選択ユニット５０６と、生成モジュール５０８と、メンテナンスモジュール５１０と、アクセス認可ユニット５１２と、その取消モジュール５１４とを、データ及び情報交換のために互いに接続することができる。あるいは、アクティブなユニット及びモジュールを、アクセス制御システムの内部バスシステム５１６を介して、データ及び信号の交換のために連結することができる。これにより、エレガントに実装可能な完全なハードウェア実装を作製することができる。

本発明の実施形態は、プログラムコードを格納もしくは実行する又は格納及び実行するのに適したプラットフォームに関わらず、事実上あらゆるタイプのコンピュータと共に実施することができる。図６は、一例として、提案された方法に関連するプログラムコードを実行するのに適したコンピューティング・システム６００を示す。

コンピューティング・システム６００は、適切なコンピュータ・システムの一例に過ぎず、コンピュータ・システム６００が本明細書で上述した機能のいずれかを実装することもしくは実行すること又はその両方が可能であるか否かに関わらず、本明細書に記載された本発明の実施形態の使用又は機能の範囲に関して、いかなる制限も示唆することを意図していない。コンピュータ・システム６００には、多数の他の汎用又は専用コンピューティング・システム環境又は構成と共に動作可能なコンポーネントが存在する。コンピュータ・システム／サーバ６００と共に使用するのに適した周知のコンピューティング・システム、環境、もしくは構成又はそれらの組合せの例には、パーソナルコンピュータシステム、サーバコンピュータシステム、シンクライアント、シッククライアント、ハンドヘルド又はラップトップデバイス、マルチプロセッサシステム、マイクロプロセッサベースのシステム、セットトップボックス、プログラム可能な民生電子機器、ネットワークＰＣ、ミニコンピュータシステム、メインフレームコンピュータシステム、及び上記のシステム又はデバイスのいずれかを含む分散型クラウドコンピューティング環境などが含まれるが、これらに限定されない。コンピュータ・システム／サーバ６００は、プログラムモジュールなどのコンピュータ・システム実行可能な命令がコンピュータ・システム６００によって実行されるという一般的な文脈で説明することができる。一般に、プログラムモジュールは、特定のタスクを実行する、又は特定の抽象データ型を実装するルーチン、プログラム、オブジェクト、コンポーネント、ロジック、データ構造などを含むことができる。コンピュータ・システム／サーバ６００は、通信ネットワークを介してリンクされた遠隔処理装置によってタスクが実行される分散型クラウドコンピューティング環境で実施されてもよい。分散型クラウドコンピューティング環境では、プログラムモジュールは、メモリ記憶装置を含む、ローカル及び遠隔のコンピュータ・システム・ストレージ媒体の両方に配置されてもよい。

図に示されるように、コンピュータ・システム／サーバ６００は、汎用コンピューティング・デバイスの形態で示される。コンピュータ・システム／サーバ６００のコンポーネントは、１つ又は複数のプロセッサ又は処理ユニット６０２、システム・メモリ６０４、及びシステム・メモリ６０４を含む種々のシステム・コンポーネントをプロセッサ６０２に結合するバス６０６を含むことができるが、これらに限定されない。バス６０６は、メモリ・バス又はメモリ・コントローラ、周辺バス、アクセラレーテッド・グラフィックス・ポート、及び種々のバス・アーキテクチャのいずれかを用いるプロセッサ又はローカル・バスを含む幾つかのタイプのバス構造のうちのいずれかの１つ又は複数を表す。限定ではなく例として、このようなアーキテクチャは、Ｉｎｄｕｓｔｒｙ Ｓｔａｎｄａｒｄ Ａｒｃｈｉｔｅｃｔｕｒｅ（ＩＳＡ）バス、Ｍｉｃｒｏ Ｃｈａｎｎｅｌ Ａｒｃｈｉｔｅｃｔｕｒｅ（ＭＣＡ）バス、Ｅｎｈａｎｃｅｄ ＩＳＡ（ＥＩＳＡ）バス、Ｖｉｄｅｏ Ｅｌｅｃｔｒｏｎｉｃｓ Ｓｔａｎｄａｒｄｓ Ａｓｓｏｃｉａｔｉｏｎ（ＶＥＳＡ）ローカル・バス、及びＰｅｒｉｐｈｅｒａｌ Ｃｏｍｐｏｎｅｎｔ Ｉｎｔｅｒｃｏｎｎｅｃｔ（ＰＣＩ）バスを含む。コンピュータ・システム／サーバ６００は、典型的には種々のコンピュータ・システム可読媒体を含む。このような媒体は、コンピュータ・システム／サーバ６００によってアクセス可能なあらゆる利用可能媒体とすることができ、揮発性媒体及び不揮発性媒体両方、並びに取外し可能媒体及び取外し不能媒体の両方を含む。

システム・メモリ６０４は、ランダム・アクセス・メモリ（ＲＡＭ）１０３０もしくはキャッシュ・メモリ６１０又はその両方等の揮発性メモリの形態のコンピュータ・システム可読媒体を含むことができる。コンピュータ・システム／サーバ６００は、その他の取外し可能／取外し不能な揮発性／不揮発性コンピュータ・システム・ストレージ媒体をさらに含むことができる。単なる例として、取外し不能の不揮発性磁気媒体（図示されておらず、典型的には「ハード・ドライブ」と呼ばれる）との間の読出し及び書込みのために、ストレージ・システム６１２を設けることができる。図示されていないが、取外し可能な不揮発性磁気ディスク（例えば、「フロッピー・ディスク」）との間の読出し及び書込みのための磁気ディスク・ドライブ、並びに、ＣＤ－ＲＯＭ、ＤＶＤ－ＲＯＭ又はその他の光媒体等の取外し可能な不揮発性光ディスクとの間の読出し及び書込みのための光ディスク・ドライブを設けることができる。このような例においては、各々は、１つ又は複数のデータ媒体インタフェースによってバス６０６に接続することができる。以下でさらに示され、説明されるように、メモリ６０４は、本発明の実施形態の機能を実行するように構成されたプログラムモジュールの組（例えば、少なくとも１つ）を有する少なくとも１つのプログラム製品を含むことができる。

プログラムモジュール６１６の組（少なくとも１つ）を有するプログラム／ユーティリティを、限定ではなく例として、オペレーティングシステム、１つ又は複数のアプリケーションプログラム、他のプログラムモジュール、及びプログラムデータと共にメモリ６０４内に格納することができる。オペレーティングシステム、１つ又は複数のアプリケーションプログラム、他のプログラムモジュール、及びプログラムデータ、又はそれらの幾つかの組合せの各々は、ネットワーキング環境の実装を含むことができる。プログラムモジュール６１６は、一般に、本明細書において説明される本発明の実施形態の機能もしくは方法又はその両方を実行する。

コンピュータ・システム／サーバ６００は、キーボード、ポインティング・デバイス、ディスプレイ６２０、ディスク・ドライブ等の１つ又は複数の外部デバイス６１８、ユーザがコンピュータ・システム／サーバ６００と対話することを可能にする１つ又は複数のデバイス、もしくは、コンピュータ・システム／サーバ６００が１つ又は複数の他のコンピューティング・デバイスと通信することを可能にするいずれかのデバイス（例えば、ネットワークカード、モデムなど）、又はそれらの組合せと通信することもできる。このような通信は、入力／出力（Ｉ／Ｏ）インタフェース６１４を経由して行うことができる。さらにまた、コンピュータ・システム／サーバ６００は、ローカル・エリア・ネットワーク（ＬＡＮ）、汎用広域ネットワーク（ＷＡＮ）、もしくはパブリック・ネットワーク（例えば、インターネット）又はそれらの組合せ等の１つ又は複数のネットワークと、ネットワーク・アダプタ６２２を介して通信することができる。図示されるように、ネットワーク・アダプタ６２２は、バス６０６を介してコンピュータ・システム／サーバ６００の他のコンポーネントと通信する。図示されないが、コンピュータ・システム／サーバ６００と共に他のハードウェア・コンポーネントもしくはソフトウェア・コンポーネント又はその両方を使用することができることを理解されたい。例として、これらに限定されるものではないが、マイクロコード、デバイス・ドライバ、冗長処理ユニット、外部ディスク・ドライブ・アレイ、ＲＡＩＤシステム、テープ・ドライブ、及びデータ・アーカイブ・ストレージ・システムなどが挙げられる。

さらに、セキュリティセンシティブなコンピューティング・システムにおいてＡＰＩアクセスアクションを制御するためのアクセスコントロールシステム５００をバスシステム６０６に取り付けることができる。

本発明の種々の実施形態の説明は、例証の目的で提示したものであるが、網羅的であることも、又は開示された実施形態に限定することも意図しない。説明した実施形態の範囲から逸脱することなく、多くの修正及び変形が当業者には明らかであろう。本明細書で用いる用語は、実施形態の原理、実際的な用途、もしくは市場において見いだされる技術に優る技術的改善を最も良く説明するように、又は当業者が本明細書で開示される実施形態を理解することを可能にするように、選択されたものである。

本発明は、システム、方法、もしくはコンピュータプログラム製品又はそれらの組合せとすることができる。コンピュータプログラム製品は、本発明の態様をプロセッサに実行させるためのコンピュータ可読プログラム命令を有する１つ又は複数のコンピュータ可読ストレージ媒体を含むことができる。

媒体は、伝搬媒体用の、電子、磁気、光学、電磁、赤外線、半導体システムとすることができる。コンピュータ可読媒体の例としては、半導体又はソリッドステートメモリ、磁気テープ、リムーバブルコンピュータディスケット、ランダム・アクセス・メモリ（ＲＡＭ）、リードオンリーメモリ（ＲＯＭ）、硬質磁気ディスク、光ディスクなどが挙げられる。光ディスクの現在例としては、Ｃｏｍｐａｃｔ Ｄｉｓｋ－Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ（ＣＤ－ＲＯＭ）、Ｃｏｍｐａｃｔ Ｄｉｓｋ－Ｒｅａｄ／Ｗｒｉｔｅ（ＣＤ－Ｒ／Ｗ）、ＤＶＤ、及びＢｌｕ－Ｒａｙ－Ｄｉｓｋが挙げられる。

コンピュータ可読ストレージ媒体は、命令実行デバイスによる使用のために命令を保持及び格納することができる有形デバイスとすることができる。コンピュータ可読ストレージ媒体は、例えば、電子ストレージデバイス、磁気ストレージデバイス、光ストレージデバイス、電磁気ストレージデバイス、半導体ストレージデバイス、又は上記のものの任意の適切な組合せとすることができるがこれらに限定されない。コンピュータ可読ストレージ媒体のより具体的な例の非網羅的なリストは、ポータブル・コンピュータ・ディスケット、ハードディスク、ランダム・アクセス・メモリ（ＲＡＭ）、読み出し専用メモリ（ＲＯＭ）、消去可能プログラム可能読み出し専用メモリ（ＥＰＲＯＭ又はフラッシュメモリ）、静的ランダム・アクセス・メモリ（ＳＲＡＭ）、ポータブル・コンパクトディスク読み出し専用メモリ（ＣＤ－ＲＯＭ）、デジタル多目的ディスク（ＤＶＤ）、メモリスティック、フロッピーディスク、記録された命令を有するパンチカードもしくは溝内に隆起した構造等の機械式コード化デバイス、及び上記のものの任意の適切な組合せを含む。コンピュータ可読ストレージ媒体は、本明細書で用いられる場合、無線波もしくは他の自由に伝搬する電磁波、導波路もしくは他の伝送媒体を通って伝搬する電磁波（例えば光ファイバケーブルを通る光パルス）、又は電線を通って伝送される電気信号のような一時的な信号自体と解釈すべきではない。

本明細書で説明されるコンピュータ可読プログラム命令は、コンピュータ可読ストレージ媒体からそれぞれのコンピューティング／処理デバイスにダウンロードすることも、又は、例えばインターネット、ローカル・エリア・ネットワーク、広域ネットワークもしくは無線ネットワーク又はそれらの組合せを経由して、外部コンピュータもしくは外部ストレージデバイスにダウンロードすることもできる。ネットワークは、銅伝送ケーブル、光伝送ファイバ、無線伝送、ルータ、ファイアウォール、スイッチ、ゲートウェイ・コンピュータもしくはエッジサーバ又はそれらの組合せを含むことができる。各コンピューティング／処理デバイス内のネットワーク・アダプタ・カード又はネットワーク・インタフェースは、ネットワークからコンピュータ可読プログラム命令を受け取り、そのコンピュータ可読プログラム命令をそれぞれのコンピューティング／処理デバイス内のコンピュータ可読ストレージ媒体にストレージのために転送する。

本発明の動作を実行するためのコンピュータ可読プログラム命令は、アセンブラ命令、命令セット・アーキテクチャ（ＩＳＡ）命令、機械語命令、機械依存命令、マイクロコード、ファームウェア命令、状態設定データ、状態設定データ、又は、Ｓｍａｌｌｔａｌｋ、もしくはＣ＋＋などのオブジェクト指向プログラミング言語及び「Ｃ」プログラミング言語もしくは類似のプログラミング言語のような従来の手続き型プログラミング言語を含む１つもしくは複数のプログラミング言語の任意の組合せで記述されたソースコードもしくはオブジェクトコードのいずれかとすることができる。コンピュータ可読プログラム命令は、完全にユーザのコンピュータ上で実行される場合もあり、一部がユーザのコンピュータ上で独立型ソフトウェア・パッケージとして実行される場合もあり、一部がユーザのコンピュータ上で実行され、一部が遠隔コンピュータ上で実行される場合もあり、又は完全に遠隔コンピュータもしくはサーバ上で実行される場合もある。後者のシナリオにおいては、遠隔コンピュータは、ローカル・エリア・ネットワーク（ＬＡＮ）もしくは広域ネットワーク（ＷＡＮ）を含むいずれかのタイプのネットワークを通じてユーザのコンピュータに接続される場合もあり、又は外部コンピュータへの接続が行われる場合もある（例えば、インターネット・サービス・プロバイダを用いたインターネットを通じて）。幾つかの実施形態において、例えばプログラム可能論理回路、フィールドプログラム可能ゲートアレイ（ＦＰＧＡ）、又はプログラム可能論理アレイ（ＰＬＡ）を含む電子回路は、本発明の態様を実施するために、コンピュータ可読プログラム命令の状態情報を利用して電子回路を個別化することにより、コンピュータ可読プログラム命令を実行することができる。

本発明の態様は、本明細書において、本発明の実施形態による方法、装置（システム）、及びコンピュータプログラム製品のフローチャート図もしくはブロック図又はその両方を参照して説明される。フローチャート図もしくはブロック図又はその両方の各ブロック、並びにフローチャート図もしくはブロック図又はその両方のブロックの組合せは、コンピュータ可読プログラム命令によって実装することができることが理解されるであろう。

これらのコンピュータ可読プログラム命令を、汎用コンピュータ、専用コンピュータ、又は他のプログラム可能データ処理装置のプロセッサに与えてマシンを製造し、それにより、コンピュータ又は他のプログラム可能データ処理装置のプロセッサによって実行される命令が、フローチャートもしくはブロック図又はその両方の１つ又は複数のブロック内で指定された機能／動作を実装するための手段を作り出すようにすることができる。これらのコンピュータ可読プログラム命令を、コンピュータ、プログラム可能データ処理装置、もしくは他のデバイス又はそれらの組合せを特定の方式で機能させるように指示することができるコンピュータ可読ストレージ媒体内に格納し、それにより、その中に格納された命令を有するコンピュータ可読媒体が、フローチャートもしくはブロック図又はその両方の１つ又は複数のブロックにおいて指定された機能／動作の態様を実装する命令を含む製品を含むようにすることもできる。

コンピュータ可読プログラム命令を、コンピュータ、他のプログラム可能データ処理装置又は他のデバイス上にロードして、一連のオペレーション・ステップをコンピュータ、他のプログラム可能データ処理装置又は他のデバイス上で行わせてコンピュータ実装のプロセスを生成し、それにより、コンピュータ、他のプログラム可能装置又は他のデバイス上で実行される命令が、フローチャートもしくはブロック図又はその両方の１つ又は複数のブロックにおいて指定された機能／動作を実装するようにすることもできる。

図面内のフローチャート及びブロック図は、本開示の種々の実施形態による、システム、方法、及びコンピュータプログラム製品の可能な実装の、アーキテクチャ、機能及びオペレーションを示す。この点に関して、フローチャート又はブロック図内の各ブロックは、指定された論理機能を実装するための１つ又は複数の実行可能命令を含む、モジュール、セグメント、又は命令の一部を表すことができる。幾つかの代替的な実装において、ブロック内に記された機能は、図中に記された順序とは異なる順序で行われることがある。例えば、連続して示された２つのブロックは、関与する機能に応じて、実際には実質的に同時に実行されることもあり、又はこれらのブロックはときとして逆順で実行されることもある。ブロック図もしくはフローチャート図又はその両方の各ブロック、及びブロック図もしくはフローチャート図又はその両方の中のブロックの組合せは、指定された機能又は動作を実行する専用ハードウェア・ベースのシステムによって実装することもでき、又は専用ハードウェアとコンピュータ命令との組合せを実行することもできることにも留意されたい。

本明細書で用いられる用語は、特定の実施形態を説明することのみを目的としたものであり、本発明を限定することを意図したものではない。本明細書で使用される単数形「ａ」、「ａｎ」及び「ｔｈｅ」は、前後関係から明らかに別の意味を示さない限り、複数形態も含むことを意図する。更に、本明細書内で使用する場合に、「備える、含む」もしくは「備えている、含んでいる」又はその両方の用語は、そこに述べた特徴、整数、ステップ、オペレーション、要素もしくはコンポーネント又はそれらの組合せの存在を明示しているが、１つ又は複数のその他の特徴、整数、ステップ、オペレーション、要素、コンポーネントもしくはそれらの群又はそれらの組合せの存在又は付加を排除するものではないことは理解されるであろう。

以下の特許請求の範囲における全ての「手段又はステップと機能との組み合わせ（ミーンズ又はステップ・プラス・ファンクション）」要素の対応する構造、材料、動作、及び均等物は、その機能を、明確に特許請求された他の請求要素との組み合わせで実行するためのあらゆる構造、材料、又は動作を含むことが意図されている。本発明の説明は、例証及び説明を目的として提示されたものであるが、網羅的であること又は本発明を開示された形態に限定することを意図したものではない。本発明の範囲及び思想から逸脱しない多くの修正及び変形が当業者には明らかであろう。実施形態は、本発明の原理及び実際の用途を最も良く説明するようにまた企図される特定の用途に適するような種々の修正を伴う種々の実施形態に関して本発明を当業者が理解するのを可能にするように、選択しかつ説明したものである。

いくつかの追加定義を以下に示す。

本発明：出願時の請求項又は特許審査後に最終的に発行される場合の請求項のいずれかによってカバーされる「本発明」という用語によって説明される主題の絶対的な指示として解釈すべきではない。「本発明」という用語は、本明細書のどの開示が潜在的に新規であると考えられるかについて読者が一般的な感覚を得るために使用されているが、「本発明」という用語の使用によって示されるこの理解は暫定的なものであり、特許審査の過程で、関連情報が現れれたとき及び請求項が潜在的に補正されときに、変更される。

実施形態：上記の「本発明」の定義を参照のこと。「実施形態」という用語にも同様の注意が適用される。

及び／又は：包括的であること、又は、例えば、Ａ、Ｂ「及び／又は」Ｃは、Ａ又はＢ又はＣの少なくとも１つが真であり、適用可能であることを意味する。

含む（Ｉｎｃｌｕｄｉｎｇ／ｉｎｃｌｕｄｅ／ｉｎｃｌｕｄｅｓ）：特に明示しない限り、「含むが、必ずしも限定しない」ことを意味する。

ユーザ／サブスクライバ：（ｉ）単一の個人、（ｉｉ）ユーザ又はサブスクライバとして行動するのに十分な知能を持つ人工知能の実体、もしくは（ｉｉｉ）関連するユーザ又はサブスクライバのグループ、又は（ｉ）～（ｉｉｉ）の組合せを含むが、必ずしもこれらに限定されない

データ通信：無線通信、有線通信、無線部分と有線部分を有する通信経路など、現在知られている、又は将来開発されるあらゆる種類のデータ通信方式であり、データ通信は、（ｉ）直接データ通信、（ｉｉ）間接データ通信、もしくは（ｉｉｉ）データ通信の全過程においてフォーマット、パケット化状態、媒体、暗号化状態、もしくはプロトコル又はそれらの組合せが一定であるデータ通信、又は（ｉ）～（ｉｉｉ）の組合せに必ずしも限定されない。

受け取る／提供する／送る／入力／出力／報告：別段の定めがない限り、これらの言葉は、（ｉ）客体と主体との間の関係に関する特定の度合いの直接さ、もしくは（ｉｉ）客体と主体との間に介在する中間的な構成要素、動作もしくは事物又はそれらの組合せの不在、又は（ｉ）及び（ｉｉ）の両方を含意するものと解釈されるべきではない。

人が実質的に介入しない：人がほとんど、あるいは全く入力しなくても、自動的に（多くの場合、ソフトウェアなどの機械論理のオペレーションによって）生じるプロセス。「人が実質的に介入しない」例としては、（ｉ）コンピュータが複雑な処理を行っているときに、系統電力の停止により人間がコンピュータを代替電源に切り替え、処理が中断されないようにする場合、（ｉｉ）コンピュータが資源集約型の処理を行おうとしているときに、人間がその資源集約型の処理を本当に行うべきかどうかを確認する場合（この場合、確認のプロセスを切り離して考えると実質的な人間の介入があるが、資源集約型の処理では、人間が行う必要のある単純なＹｅｓ－Ｎｏ形式の確認があるにせよ、実質的な人間の介入はない）、及び（ｉｉｉ）機械論理を用いて、コンピュータが重要な決定（例えば、悪天候を予測して全ての飛行機を着陸させる決定）を行ったが、その重要な決定を実行する前に、コンピュータは人間から単純なＹｅｓ－Ｎｏ形式の確認を得なければならない場合、が挙げられる。

自動：人が全く介入しない。

含む・備える（ｃｏｍｐｒｉｓｅｓ／ｃｏｍｐｒｉｓｉｎｇ）：本明細書中（特に特許請求の範囲以外）で使用されている場合、この用語は、（本明細書中で定義されている）「含む（ｉｎｃｌｕｄｅ）」という用語及びその様々な活用形と完全に同義であることが意図されている。特許請求の範囲で使用されている「含む・備える（ｃｏｍｐｒｉｓｅ）」という用語（及びその様々な活用形）には、特許請求の範囲の解釈と一致する通常の解釈が与えらる。

モジュール／サブモジュール：ある種の機能を果たすために動作するハードウェア、ファームウェア、もしくはソフトウェア又はそれらの組合せの任意の組であり、モジュールが、（ｉ）ローカルに近接した単一のものである、（ｉｉ）広域に分散している、（ｉｉｉ）より大きいピースのソフトウェアコード内で近接した単一のものである、（ｉｖ）単一ピースのソフトウェアコード内に配置されている、（ｖ）単一のストレージデバイス、メモリ、又は媒体に配置されている、（ｖｉ）機械的に接続されている、（ｖｉｉ）電気的に接続されている、もしくは（ｖｉｉｉ）データ通信で接続されている、又はそれらの組合せ、のいずれであるかは問わない。

コンピュータ：著しいデータ処理能力もしくは機械可読命令読み出し能力又はその両方を備えたあらゆるデバイスであって、デスクトップコンピュータ、メインフレームコンピュータ、ラップトップコンピュータ、フィールドプログラマブルゲートアレイ（ＦＰＧＡ）ベースのデバイス、スマートフォン、パーソナルデジタルアシスタント（ＰＤＡ）、ボディ装着型又は挿入型コンピュータ、埋め込みデバイススタイルのコンピュータ、特定用途向け集積回路（ＡＳＩＣ）ベースのデバイスなどが含まれるが、これらに限定されない。

Claims (21)

1. アプリケーション・プログラミング・インターフェース（ＡＰＩ）アクセスアクションを制御するための方法であって、
   オペレータアカウント・データベースから利用可能なオペレータアカウントを選択することと、
   前記ＡＰＩアクセスアクションの識別子と、前記ＡＰＩアクセスアクションを実行するためのユニークＡＰＩアクセスキーとを包含する、ユニーク・アクションタグを生成することと、
   前記ＡＰＩアクセスアクションの識別子及び前記ユニークＡＰＩアクセスキーと、選択されたオペレータアカウントとのマッピングを有する、動的アクセスリストをメンテナンスすることと、
   前記選択されたオペレータアカウントに対して、前記動的アクセスリスト及び前記ユニーク・アクションタグを介して、マッピングされたＡＰＩアクセスアクションの実行のみに限定されたセキュリティセンシティブなコンピューティング・システムに対するＡＰＩアクセスアクションの権限を認可することと、
   前記オペレータが前記ＡＰＩアクセスアクションを実行した後、前記ユニーク・アクションタグに基づく更なるＡＰＩアクセスアクションを取り消すことと、
   を含む方法。
2. 前記選択されたオペレータアカウントが、オペレータアカウントのグループである、請求項１に記載の方法。
3. 前記ＡＰＩアクセスアクションが、ＡＰＩアクセスアクションのグループである、請求項１又は請求項２のいずれかに記載の方法。
4. 前記ＡＰＩアクセスアクションのグループが、異なるＡＰＩを参照する、請求項３に記載の方法。
5. 前記セキュリティセンシティブなコンピューティング・システムが、セキュア・エンクレーブの形態のセキュア・アプライアンスとして実装される、請求項１から請求項４までのいずれか１項に記載の方法。
6. ＡＰＩアクセスアクションの要件を判定するために、システムログファイルを監視及び解析すること
   をさらに含む、請求項１から請求項５までのいずれか１項に記載の方法。
7. 前記ＡＰＩアクセスアクションが、前記セキュリティセンシティブなコンピューティング・システムの構成の変更、及び、前記セキュリティセンシティブなコンピューティング・システムのコンポーネントの有効化を含む群の中から少なくとも選択される、請求項６に記載の方法。
8. 前記更なるＡＰＩアクセスアクションを取り消すことが、
   前記更なるＡＰＩアクセスアクションを取り消す前に、前記ＡＰＩアクセスアクションの完了を監視すること
   をさらに含む、請求項１から請求項７までのいずれか１項に記載の方法。
9. 以前のアクセスアクションが実用的な解決に到達しなかった場合、前記ユニーク・アクションタグによって制御されるアクセスをＡＰＩの追加セットに拡張すること
   をさらに含む、請求項１から請求項８までのいずれか１項に記載の方法。
10. 前記選択されたオペレータアカウントに、前記ＡＰＩアクセスアクションに関する詳細を含む通知を送ること
    をさらに含む、請求項１から請求項９までのいずれか１項に記載の方法。
11. アプリケーション・プログラミング・インターフェース（ＡＰＩ）アクセスアクションを制御するためのアクセス制御システムであって、
    プロセッサ・セットと、
    機械可読ストレージデバイスと、
    前記機械可読ストレージデバイスに格納されたコンピュータコードと、
    を含み、前記コンピュータコードは、前記プロセッサ・セットに、
    オペレータアカウント・データベースから利用可能なオペレータアカウントを選択することと、
    前記ＡＰＩアクセスアクションの識別子と、前記ＡＰＩアクセスアクションを実行するためのユニークＡＰＩアクセスキーとを包含する、ユニーク・アクションタグを生成することと、
    前記ＡＰＩアクセスアクションの識別子及び前記ユニークＡＰＩアクセスキーと、選択されたオペレータアカウントとのマッピングを有する、動的アクセスリストをメンテナンスすることと、
    前記選択されたオペレータアカウントに対して、前記動的アクセスリスト及び前記ユニーク・アクションタグを介して、マッピングされたＡＰＩアクセスアクションの実行のみに限定されたセキュリティセンシティブなコンピューティング・システムに対するＡＰＩアクセスアクションの権限を認可することと、
    前記オペレータが前記ＡＰＩアクセスアクションを実行した後、前記ユニーク・アクションタグに基づく更なるＡＰＩアクセスアクションを取り消すことと、
    を含むオペレーションを行わせる命令及びデータを含む、
    システム。
12. 前記選択されたオペレータアカウントが、オペレータアカウントのグループである、請求項１１に記載のシステム。
13. 前記ＡＰＩアクセスアクションが、ＡＰＩアクセスアクションのグループである、請求項１１又は請求項１２に記載のシステム。
14. 前記ＡＰＩアクセスアクションのグループが、異なるＡＰＩを参照する、請求項１３に記載のシステム。
15. 前記セキュリティセンシティブなコンピューティング・システムが、セキュア・エンクレーブの形態のセキュア・アプライアンスとして実装される、請求項１１から請求項１４までのいずれか１項に記載のシステム。
16. 前記オペレーションが、
    ＡＰＩアクセスアクションの要件を判定するために、システムログファイルを監視及び解析すること
    をさらに含む、請求項１１から請求項１５までのいずれか１項に記載のシステム。
17. 前記ＡＰＩアクセスアクションが、前記セキュリティセンシティブなコンピューティング・システムの構成の変更、及び、前記セキュリティセンシティブなコンピューティング・システムのコンポーネントの有効化を含む群の中から少なくとも選択される、請求項１６に記載のシステム。
18. 前記更なるＡＰＩアクセスアクションを取り消すことが、
    前記更なるＡＰＩアクセスアクションを取り消す前に、前記ＡＰＩアクセスアクションの完了を監視すること
    をさらに含む、請求項１１から請求項１７までのいずれか１項に記載のシステム。
19. 前記オペレーションが、
    以前のアクセスアクションが実用的な解決に到達しなかった場合、前記ユニーク・アクションタグによって制御されるアクセスをＡＰＩの追加セットに拡張すること
    をさらに含む、請求項１１から請求項１８までのいずれか１項に記載のシステム。
20. プロセッサ・セットに請求項１から請求項１０までのいずれか１項に記載の方法を行わせるコンピュータコードを含む、コンピュータプログラム。
21. 請求項２０に記載のコンピュータプログラムを格納した、機械可読ストレージデバイス。

Images