JP2022522678A - セキュア実行ゲスト所有者環境制御 - Google Patents

Abstract

セキュア・インターフェース・コントロールが、メタデータに基づいて、セキュア・ゲストイメージのインスタンスが実行できるかどうかを決定する、方法、コンピュータ・プログラム製品、およびシステム。セキュア・インターフェース・コントロール（「ＳＣ」）は、コンピューティング・システム内のシステム設定に基づいて、コンピューティング・システム内のイメージを用いて生成されたセキュア・ゲストのインスタンスをハイパーバイザが実行することが許可されるかどうかを示すコントロールを含んだ、所有者のセキュア・ゲストのイメージに結び付けられ、ハイパーバイザによって管理されるメタデータを取得する。ＳＣは、ハイパーバイザによる、インスタンスを起動するコマンドを傍受する。ＳＣは、コンピューティング・システム内のシステム設定の存在または欠如を決定する。ＳＣは、ハイパーバイザがインスタンスを実行することが許可されるかどうかを決定する。そうである場合、ＳＣはハイパーバイザによるインスタンスの起動を可能にする。そうでない場合、ＳＣはコマンドを無視する。

Description

今日のコンピュータ・システムおよび情報移送ネットワークにおいて、暗号学的要素は重要な技術的構成要素である。情報は、記憶されるまたは送信される情報に対する無許可のアクセスを回避するために、暗号学的にセキュリティ保護された形で記憶されまたは送信され得る。いくつかの場合において、純粋なソフトウェア・ベースの技法が用いられることができ、他の場合において、このようなデータ保護を行うために、ハードウェア・サポートおよびセキュリティ固有の要素が用いられ得る。

ハイパーバイザまたは仮想マシン・マネージャは、システム・リソースに対するアクセスを有する様々なゲスト（例えば、仮想マシン、仮想サーバ）を制御することができる。共通のハイパーバイザによって管理される異なるゲストは、異なる所有者によって生成され得る。これらのゲストのうち、いくつかはセキュア・ゲストとすることができる。従来のハイパーバイザは、ホストされるすべてのゲストにわたる完全な制御を有する。特に、ハイパーバイザは、ホストされるゲストのすべてのメモリを検査する、さらには変更する能力を有する。クラウド環境ではこのようなセットアップは、ハイパーバイザおよびその管理者が完全に信頼できることが必要である。

セキュア・ゲストは、（完全には）信頼できないハイパーバイザによってホストされ得るゲストである。このようなゲストのイメージは、ロードされたときに保護されるようになり、ゲストに割り当てられたリソース（例えば、メモリ、ＣＰＵレジスタ）のコンテンツの保護は、ゲストの存続期間にわたって維持されるようになる。ゲストの保護は、少なくとも完全性保護（例えば、ハイパーバイザは、いずれのゲスト状態をも、悪意をもって変更することはできない）、および加えて、初期イメージと、ゲストにおいて実行するコードおよびデータの機密性とを維持することを含み得る。これらのサービスは、安全なエンティティと、別の信頼できないエンティティとの間の任意のインターフェースに適用されることができ、この別の信頼できないエンティティは従来、この他のエンティティによる安全なリソースへのアクセスを可能にしている。

所有者が、所与の技術環境におけるセキュア・ゲストの実行を制御することを可能にする方法をもたらすことによって、従来技術の欠点は克服され、追加の利点がもたらされる。方法は、例えば、コンピューティング・システム内のセキュア・インターフェース・コントロールによってメタデータを取得することであって、セキュア・インターフェース・コントロールは、ハイパーバイザに通信可能に結合され、ハイパーバイザは、１人または複数のゲストを管理し、メタデータは、所有者のセキュア・ゲストのイメージに結び付けられ、ハイパーバイザによって管理され、メタデータは、１つまたは複数のコントロールを備え、１つまたは複数のコントロールの各コントロールは、セキュア・インターフェース・コントロールに、コンピューティング・システム内の１つまたは複数のシステム設定の存在または欠如に基づいて、コンピューティング・システム内のイメージを用いて生成されたセキュア・ゲストのインスタンスをハイパーバイザが実行することが許可されるかどうかを示す、取得することと、セキュア・インターフェース・コントロールによって、ハイパーバイザによる、セキュア・ゲストのイメージからのセキュア・ゲストのインスタンスを起動するコマンドを傍受することと、セキュア・インターフェース・コントロールによって、コンピューティング・システム内の１つまたは複数のシステム設定の存在または欠如を決定することと、セキュア・インターフェース・コントロールによって、１つまたは複数のコントロールと、１つまたは複数のシステム設定の存在または欠如とに基づいて、ハイパーバイザがインスタンスを実行することが許可されるかどうかを決定することと、ハイパーバイザがインスタンスを実行することが許可されるとの決定に基づいて、セキュア・インターフェース・コントロールによって、傍受されたコマンドをハイパーバイザに中継することに基づいて、コンピューティング・システムにおいて、ハイパーバイザによるインスタンスの起動を可能にすることと、ハイパーバイザがインスタンスを実行することが許可されないとの決定に基づいて、セキュア・インターフェース・コントロールによって、コマンドを無視することとを含む。

所有者が、所与の技術環境におけるセキュア・ゲストの実行を制御することを可能にするコンピュータ・プログラム製品をもたらすことによって、従来技術の欠点は克服され、追加の利点がもたらされる。コンピュータ・プログラム製品は、処理回路によって読み出し可能であり、方法を行うための処理回路による実行のための命令を記憶した記憶媒体を備える。方法は、例えば、コンピューティング・システム内の１つまたは複数のプロセッサによってメタデータを取得することであって、１つまたは複数のプロセッサは、ハイパーバイザに通信可能に結合され、ハイパーバイザは、１人または複数のゲストを管理し、メタデータは、所有者のセキュア・ゲストのイメージに結び付けられ、ハイパーバイザによって管理され、メタデータは、１つまたは複数のコントロールを備え、１つまたは複数のコントロールの各コントロールは、１つまたは複数のプロセッサに、コンピューティング・システム内の１つまたは複数のシステム設定の存在または欠如に基づいて、コンピューティング・システム内のイメージを用いて生成されたセキュア・ゲストのインスタンスをハイパーバイザが実行することが許可されるかどうかを示す、取得することと、１つまたは複数のプロセッサによって、ハイパーバイザによる、セキュア・ゲストのイメージからのセキュア・ゲストのインスタンスを起動するコマンドを傍受することと、１つまたは複数のプロセッサによって、コンピューティング・システム内の１つまたは複数のシステム設定の存在または欠如を決定することと、１つまたは複数のプロセッサによって、１つまたは複数のコントロールと、１つまたは複数のシステム設定の存在または欠如とに基づいて、ハイパーバイザがインスタンスを実行することが許可されるかどうかを決定することと、ハイパーバイザがインスタンスを実行することが許可されるとの決定に基づいて、１つまたは複数のプロセッサによって、傍受されたコマンドをハイパーバイザに中継することに基づいて、コンピューティング・システムにおいて、ハイパーバイザによるインスタンスの起動を可能にすることと、ハイパーバイザがインスタンスを実行することが許可されないとの決定に基づいて、１つまたは複数のプロセッサによって、コマンドを無視することとを含む。

所有者が、所与の技術環境におけるセキュア・ゲストの実行を制御することを可能にするためのシステムをもたらすことによって、従来技術の欠点は克服され、追加の利点がもたらされる。システムは、メモリと、メモリと通信する１つまたは複数のプロセッサと、方法を行うために、メモリを通じて１つまたは複数のプロセッサによって実行可能なプログラム命令とを備える。方法は、例えば、システム内の１つまたは複数のプロセッサによってメタデータを取得することであって、１つまたは複数のプロセッサは、ハイパーバイザに通信可能に結合され、ハイパーバイザは、１人または複数のゲストを管理し、メタデータは、所有者のセキュア・ゲストのイメージに結び付けられ、ハイパーバイザによって管理され、メタデータは、１つまたは複数のコントロールを備え、１つまたは複数のコントロールの各コントロールは、１つまたは複数のプロセッサに、コンピューティング・システム内の１つまたは複数のシステム設定の存在または欠如に基づいて、コンピューティング・システム内のイメージを用いて生成されたセキュア・ゲストのインスタンスをハイパーバイザが実行することが許可されるかどうかを示す、取得することと、１つまたは複数のプロセッサによって、ハイパーバイザによる、セキュア・ゲストのイメージからのセキュア・ゲストのインスタンスを起動するコマンドを傍受することと、１つまたは複数のプロセッサによって、コンピューティング・システム内の１つまたは複数のシステム設定の存在または欠如を決定することと、１つまたは複数のプロセッサによって、１つまたは複数のコントロールと、１つまたは複数のシステム設定の存在または欠如とに基づいて、ハイパーバイザがインスタンスを実行することが許可されるかどうかを決定することと、ハイパーバイザがインスタンスを実行することが許可されるとの決定に基づいて、１つまたは複数のプロセッサによって、傍受されたコマンドをハイパーバイザに中継することに基づいて、コンピューティング・システムにおいて、ハイパーバイザによるインスタンスの起動を可能にすることと、ハイパーバイザがインスタンスを実行することが許可されないとの決定に基づいて、１つまたは複数のプロセッサによって、コマンドを無視することとを含む。

また、１つまたは複数の態様に関連して方法およびシステムが述べられ、本明細書で特許請求される。さらにまた、１つまたは複数の態様に関連してサービスが述べられ、本明細書で特許請求され得る。

さらなる特徴は、本明細書で述べられる技法を通して実現される。他の実施形態および態様は本明細書で詳しく述べられ、特許請求される態様の一部と考えられる。例えば、本発明のいくつかの実施形態において、１つまたは複数のプロセッサまたはセキュア・インターフェース・コントロールがメタデータを取得することは、１つまたは複数のプロセッサまたはセキュア・インターフェース・コントロールによって、セキュア・ゲストのイメージに結び付けられたメタデータの一部分を復号することであって、メタデータは完全性が保護され、セキュア・ゲストのブートイメージの暗号化対策を備えた一部分は、秘密鍵を用いて導き出された鍵によって暗号化されている、復号することをさらに含む。

本発明のいくつかの実施形態において、メタデータの暗号化された部分は、１つまたは複数のコントロールを備える。

本発明のいくつかの実施形態において、１つまたは複数のコントロールの各コントロールは、環境的制約を備える。

本発明のいくつかの実施形態において、環境的制約は、ハードウェア測定を行うように構成されたシステム、および非システム固有ホスト鍵を用いるように構成されたシステムからなる群から選択される。

本発明のいくつかの実施形態において、秘密鍵は、セキュア・インターフェース・コントロールによって所有され、セキュア・インターフェース・コントロールによって排他的に用いられる。

本発明のいくつかの実施形態において、秘密鍵を用いて導き出された鍵は、セキュア・インターフェース・コントロールと所有者との間で共有される。

本発明のいくつかの実施形態において、メタデータは、耐衝突性一方向関数を利用して計算された、セキュア・ゲストのブートイメージから導き出された値を備える。

本発明のいくつかの実施形態において、１つまたは複数のコントロールはそれぞれ、所与のシステム設定に対してポジティブ指定またはネガティブ指定を備え、ポジティブ指定は、セキュア・ゲストのインスタンスが所与のシステム設定を備えたコンピューティング・システム内で実行することが許可されたことを示し、ネガティブ指定は、セキュア・ゲストのインスタンスが所与のシステム設定を備えたコンピューティング・システム内で実行することが許可されないことを示す。

本発明のいくつかの実施形態において、メタデータは、セキュア・ゲストのインスタンスにアクセス不可能である。

本発明のいくつかの実施形態において、ハイパーバイザがインスタンスを実行することが許可されるかどうかを決定することは、１つまたは複数のプロセッサ、またはセキュア・インターフェース・コントロールあるいはその両方によって、１つまたは複数のコントロールのうちの、１つまたは複数のシステム設定の設定に関連したコントロールを識別することと、１つまたは複数のプロセッサ、またはセキュア・インターフェース・コントロールあるいはその両方によって、コントロールに基づいて、コントロールが、インスタンスを実行することを可能にするかそれとも制限するかを決定することとをさらに含む。

本発明のいくつかの実施形態において、方法は、１つまたは複数のプロセッサ、またはセキュア・インターフェース・コントロールあるいはその両方によって、インスタンスの実行時の間に１つまたは複数のシステム設定を監視することと、１つまたは複数のプロセッサ、またはセキュア・インターフェース・コントロールあるいはその両方によって、１つまたは複数の設定の少なくとも１つの設定が実行時の間に変化したと決定することと、１つまたは複数のプロセッサ、またはセキュア・インターフェース・コントロールあるいはその両方によって、少なくとも１つの設定に関連した１つまたは複数のコントロールの所与のコントロールを識別することと、１つまたは複数のプロセッサ、またはセキュア・インターフェース・コントロールあるいはその両方によって、少なくとも１つの設定および所与のコントロールに基づいて、ハイパーバイザがインスタンスを実行することが許可されたかどうかを決定することとをさらに含む。ハイパーバイザがインスタンスを実行することが許可されないとの決定に基づいて、１つまたは複数のプロセッサ、またはセキュア・インターフェース・コントロールあるいはその両方によって、ハイパーバイザを通じて、インスタンスを終了させる。

本発明のいくつかの実施形態において、ハイパーバイザによってセキュア・ゲストのイメージからのセキュア・ゲストのインスタンスを起動するコマンドを傍受することは、１つまたは複数のプロセッサ、またはセキュア・インターフェース・コントロールあるいはその両方によって、メタデータに対して完全性チェックを行うことと、完全性チェックの完了に成功したことに基づいて、１つまたは複数のプロセッサ、またはセキュア・インターフェース・コントロールあるいはその両方によって、メタデータ内の１つまたは複数のコントロールを読み出すこととをさらに含む。

１つまたは複数の態様は、本明細書の結びにおける「特許請求の範囲」において、例として具体的に指摘され明瞭に請求される。１つまたは複数の態様の上記および他の目的、特徴、および利点は、以下の詳細な説明を添付の図面と併せ読めば、明らかとなる。

本発明のいくつかの実施形態のいくつかの態様を例示するワークフローの図である。 本発明のいくつかの実施形態の様々な態様を例示する図である。 本発明のいくつかの実施形態のいくつかの態様を例示するワークフローの図である。 クラウド・コンピューティング環境において利用され得るコンピューティング・ノードの一実施形態を示す図である。 本発明の実施形態によるクラウド・コンピューティング環境を示す図である。 本発明の実施形態による抽象化モデル・レイヤを示す図である。

個別の図の全体にわたって類似の参照番号は同一または機能的に同様な要素を指し、また、本明細書に組み込まれその一部となる添付の図面は、本発明をさらに例示し、本発明の詳しい説明と共に、本発明の原理を説明する役割を果たす。当業者には理解されるように、添付の図は理解を容易にするため、および本発明のいくつかの実施形態の態様を例示するために示される。本発明は、図に示される実施形態に限定されない。

当業者には理解されるように、本明細書の全体にわたって言及されるプログラム・コードとは、ソフトウェアおよびハードウェアの両方を含む。例えば、本発明のいくつかの実施形態におけるプログラム・コードは、固定の機能のハードウェアを含み、他の実施形態は、述べられる機能のソフトウェア・ベースの実装形態を利用する。いくつかの実施形態は、両方のタイプのプログラム・コードを組み合わせる。１つまたは複数のプログラムとも呼ばれる、プログラム・コードの一例は、図４でプログラム・モジュール４２の（少なくとも１つの）セットを有するプログラム／ユーティリティ４０として示され、メモリ２８に記憶され得る。

ホスト・ハイパーバイザの制御のもとでゲストとして実行する仮想マシン（ＶＭ）は、そのハイパーバイザがそのゲストに対して仮想化サービスを透過的にもたらすことに依存する。これらのサービスは、安全なエンティティと、別の信頼できないエンティティとの間の任意のインターフェースに適用されることができ、この他のエンティティは従来、この他のエンティティによる安全なリソースへのアクセスを可能にしている。「ゲスト・システム」または「ゲスト」という用語は、例えば、ハイパーバイザ上で仮想マシン（ｖｉｒｔｕａｌ ｍａｃｈｉｎｅ；ＶＭ）内で実行されるオペレーティング・システムを示すことができる。ユーザは、ゲスト・システムに割り当てられ得る。特定の暗号学的鍵は、ゲスト・システムに割り当てられ得ることが可能である。述べられたハイパーバイザは、このような割り当てを行うことにおいて用いられ得る。ゲスト・システムは、例えば、ゲスト・オペレーティング・システムを動作させるまたは実行する仮想マシン、すなわちＶＭとすることができる。

「コンテンツ」という用語は、任意の文字ベースの文字列を示すことができる。文字列は、可読テキストまたは任意の他のバイナリ・データを備え得る。

第１の構成要素が第２の構成要素に暗号学的に結び付けられることを表すために用いられる「暗号学的に結び付けられる」という用語は、第１の構成要素は完全性が保護され、第２の構成要素に含まれたすべてのデータの対策（measure）を含むことを意味する。対策は耐衝突性一方向関数によって作成される。このような対策の例は、暗号学的ハッシュ、メッセージ認証コード、または暗号学的署名あるいはその組み合わせを含むが、それらに限定されない。

本発明の実施形態は、コンピュータによって実施される方法、コンピュータ・プログラム製品、およびコンピュータ・システムを含み、これらは、セキュア実行（ＳＥ）ゲストの所有者が、セキュア・ゲストが特定のホスト環境において実行することを許可するまたは許可しないようにセキュア・インターフェース・コントロールに命令するために、ハードウェア、ファームウェア、またはそれらの組み合わせであるセキュア・インターフェース・コントロールに命令することを可能にする、少なくとも１つの処理回路上で実行されるプログラム・コードまたはプログラム・コードを備えたハードウェアあるいはその両方を含む。本発明の実施形態において、ゲスト所有者の命令は、特定のゲスト・イメージに特有である。従って、所有者は、セキュア・インターフェース・コントロールが、所与のシステムにおいて１つまたは複数の制約を強制できるように、１つまたは複数の環境的制約を各ゲストのセキュアインターフェース・コントロールに通信する。本発明の実施形態において、所有者は、セキュア・ゲストのブートイメージに暗号学的に結び付けられたメタデータを通じて、所与のイメージに対する特定の環境的制約を通信し、セキュア・インターフェース・コントロールは、本発明の実施形態において、所与のセキュア・ゲストに対して、指定された詳細を強制する。本発明のいくつかの実施形態において、セキュア・ゲストに関連付けられたメタデータは、完全性が保護される（例えば、メタデータの少なくとも一部は暗号化され得る）。メタデータは、プログラム・コードが耐衝突性一方向関数（例えば、暗号学的ハッシュ関数）を用いて計算する、セキュア・ゲストのブートイメージからプログラム・コードによって導き出された値を含むことができる。耐衝突性関数は値にセキュリティをもたらし、なぜならそれの適用は、同じ値を導出できる代替イメージの構築を計算上実行不可能にするからである。本発明のいくつかの実施形態において、メタデータは、様々な環境的制約に関連した特定のポジティブおよびネガティブ指定を備える。本発明のいくつかの実施形態において、メタデータは、セキュア・ゲストのインストール・データ（例えば、セキュア実行（ｓｅｃｕｒｅ ｅｘｅｃｕｔｉｏｎ：ＳＥ）ヘッダ）を備える。

本発明の実施形態において、セキュア・インターフェース・コントロールは、システム設定と競合するセキュア・ゲストを実行することから（ホスト）システムを保護する。セキュア・インターフェース・コントロールは、セキュア・ゲストのイメージに暗号学的に結び付けられたメタデータ内のコントロールが、システムに適合しないセキュア・ゲストを指定しているとの決定に基づいてセキュア・ゲストを起動する要求を拒絶することと、セキュア・ゲストを実行した後に技術環境を監視し、技術環境の変化によりセキュア・ゲストがもはや技術環境に適合していないと決定することとの両方によってこの競合を防止する。実行時の間に、セキュア・ゲストが実行している技術環境に対する変化が、コントロールとの競合を作り出した場合（セキュア・ゲストのイメージに暗号学的に結び付けられたメタデータ内のコントロールが初期にセキュア・インターフェース・コントロールがセキュア・ゲストを起動することを許可したとき）、セキュア・インターフェース・コントロールは、ハイパーバイザによってセキュア・ゲストの終了を開始する。例えば、本発明の実施形態において、セキュア・インターフェース・コントロールが、セキュア・ゲストを開始するかどうかを評価するとき、１）セキュア・インターフェース・コントロールは、セキュア・ゲストのイメージに暗号学的に結び付けられたメタデータ内の環境的制約を示す個々のコントロールを読み出す、２）セキュア・インターフェース・コントロールは、コントロールを、開始された場合にイメージがその中で実行するようになるホスト・システムのシステム設定と比較する、３）セキュア・インターフェース・コントロールは、システム設定がメタデータ内の環境コントロールと一致する場合、セキュア・ゲストを開始する、４）セキュア・インターフェース・コントロールは、セキュア・ゲストが実行される技術環境のシステム設定を監視し、実行時の間に、セキュア・インターフェース・コントロールが、システム設定がコントロールと競合する形で変化したと決定した場合、セキュア・インターフェース・コントロールはセキュア・ゲストを終了させる。メタデータ内の環境的制約を備えたコントロール内に具体化され得るシステム設定の例は、１）ハードウェア測定を行うように構成されたシステム、および２）非システム固有ホスト鍵を用いるように構成されたシステムを含むことができるが、それらに限定されない。

図１は、本発明のいくつかの実施形態のいくつかの機能を例示するワークフロー１００である。図１に例示されるように、本発明の実施形態において、セキュア実行を可能にするために、セキュア・ゲストのイメージはメタデータから暗号学的に結び付けられ、これは、セキュア・インターフェース・コントロールに対してのみアクセス可能な秘密ホスト鍵に基づいて、セキュア・インターフェース・コントロール（例えば、信頼できるハードウェアまたはソフトウェア構成要素あるいはその両方、信頼できるファームウェア）に安全に通信される。本発明の実施形態において、セキュア・ゲストの所有者は、セキュア・インターフェース・コントロールの挙動を決定し、いくつかの技術環境においてセキュア・ゲストの実行を許可または禁止する。セキュア・ゲストのセキュリティに対する既存の手法と比べた本発明の実施形態の利点は、セキュア・インターフェース・コントロールによって強制されるのに従って、メタデータにおける細かい制御が、特定のセキュリティの関心事に対処するために、所有者がセキュア・ゲストの実行を制限することを可能とすることである。例えば、所有者は、セキュア・インターフェース・コントロールが、ハードウェア測定を行うように構成されたホスト・システム上、または非システム固有ホスト鍵を用いるように構成されたホスト・システム上あるいはその両方で、セキュア・ゲストを起動できるかどうかを制御することができる。本発明のいくつかの実施形態において、少なくとも１つの処理回路上で実行するまたはハードウェアによってもたらされるあるいはその両方のプログラム・コードは、セキュア・ゲストの実行を制約する。

図１を参照すると、本発明のいくつかの実施形態において、セキュア・インターフェース・コントロール（例えば、ハードウェア、ソフトウェア、ファームウェア、組み合わせなど）は、セキュア・ゲストのイメージに基づいてセキュア・ゲストを起動する要求を傍受する（１０５）。セキュア・インターフェース・コントロールは、セキュア・ゲストの所有者から、開始されることになるセキュア・ゲストに結び付けられたメタデータを取得する（１１０）。本発明のいくつかの実施形態において、メタデータは完全性が保護され、（ＳＥ）所有者によって開始されることになるセキュア・ゲストのブートイメージに暗号学的に結び付けられる。メタデータはコントロールを備え、各コントロールはセキュア・ゲストに対する制限を示し、これらの制限は環境的制約を含む。

図１に戻ると、本発明の実施形態において、セキュア・インターフェース・コントロールは、メタデータに対して完全性チェックを行う（１２０）。セキュア・インターフェース・コントロールが、メタデータは完全性チェックに合格しないと決定した場合、セキュア・コントロール・インターフェースは、所有者（または、セキュア・ゲストのインスタンスに対する他の要求者）にエラーを返す（１２５）。不合格になった完全性チェックに基づいて所有者にエラーを返すことによって、セキュア・インターフェース・コントロールは、セキュア・ゲストの要求された起動を排除する。たとえメタデータが完全性チェックに合格したとしても、セキュア・インターフェース・コントロールは依然としてセキュア・ゲストの起動を打ち切ることができる。

セキュア・インターフェース・コントロールが、メタデータは完全性チェックに合格したと決定した場合、セキュア・インターフェース・コントロールは、メタデータ内のコントロールを取得する（１３０）。セキュア・インターフェース・コントロールは、ホスト・システムのシステム設定を分析して、システム設定がメタデータ内のコントロールに適合するかどうかを決定し、セキュア・ゲストがシステム内で開始されることが許されるかどうかを決定する（１４０）。セキュア・インターフェース・コントロールが、メタデータに基づいて、セキュア・ゲストを開始することは許されないと決定した場合、セキュア・インターフェース・コントロールは、所有者、またはセキュア・ゲストの起動を要求したエンティティあるいはその両方にエラーを返す（１４５）。エラーを返すことによって、セキュア・インターフェース・コントロールは、セキュア・ゲストを開始する試みを打ち切っている。本発明のいくつかの実施形態において、セキュア・インターフェース・コントロールは、セキュア・ゲストを開始する要求を無視する。セキュア・インターフェース・コントロールの構成に依存して、コントロールがシステム設定に適合しないことに基づいて、イメージに結び付けられたメタデータがセキュア・ゲストは所与のシステムにおいて許可されないことを示す場合、セキュア・ゲスト（イメージから）を開始する、ハイパーバイザからのコマンドに対する応答は変わり得る。セキュア・インターフェース・コントロールが、メタデータおよびシステム設定に基づいて、セキュア・ゲストは許可されると決定した場合、セキュア・インターフェース・コントロールは、イメージに基づいて、ハイパーバイザがセキュア・ゲストを起動することを可能にする（１５０）。セキュア・インターフェース・コントロールは、セキュア・ゲストを開始する試みを傍受するので、セキュア・インターフェース・コントロールは、セキュア・ゲストが開始され得る前に、セキュア・ゲストを開始するコマンドを中断する。従って、セキュア・インターフェース・コントロールは、メタデータ内のコントロールに基づいて、システム設定と競合する要求を有効に拒絶する。様々なセキュア・ゲストの防止および許可は、システムのいずれかの他の構成要素がセキュア・ゲストを起動できる前に、セキュア・インターフェース・コントロールによって達成される。例えば、本発明のいくつかの実施形態において、セキュア・ゲストのイメージに結び付けられたメタデータ内のコントロールは、ホスト・システムがハードウェア測定を行うように構成されること、またはホスト・システムが非システム固有ホスト鍵を用いるように構成されること、あるいはその両方に基づいて、セキュア・インターフェース・コントロールにセキュア・ゲストを制約するように命令することができる。

図１に戻ると、上記で論じられたようにセキュア・ゲストの実行時の間に、セキュア・インターフェース・コントロールはシステム設定を監視することができ（１６０）、セキュア・インターフェース・コントロールは、システム設定がコントロールと競合する形で変化したと決定した場合、これは、セキュア・ゲストが環境において実行することが許可されていたことを示すが、セキュア・インターフェース・コントロールは、実行時の間に、セキュア・ゲストを終了させる（またはハイパーバイザにセキュア・ゲストを終了させることあるいはその両方）ができる（１７０）。セキュア・インターフェース・コントロールは、このタイプの変化の出現の場合には、システム設定を監視し続けることができる（１６５）。本発明のいくつかの実施形態において、セキュア・インターフェース・コントロールは、セキュア・ゲストを終了させるようにハイパーバイザに命令する（例えば、強制する）。

図２は、本発明のいくつかの実施形態の様々な態様を含む技術環境２００である。図２の技術環境２００を備える構成要素は、どのように、セキュア・インターフェース・コントロールは、ゲスト所有者が、各所有者に対する固有の暗号化を通じて、ゲスト・イメージの機能性を制御することを可能にするか、およびセキュア・インターフェース・コントロールは、所与のイメージに基づいて、セキュア・ゲストが特定のホスト環境において実行することを可能／無効にするかを例示する。セキュア実行のために、セキュア・ゲスト２１０は、メタデータ２４０に暗号学的に結び付けられ、これは、セキュア・インターフェース・コントロール２３０に対してのみアクセス可能な秘密ホスト鍵に基づいて、セキュア・インターフェース・コントロール２３０（例えば、信頼できるファームウェア、信頼できる構成要素など）に安全に通信される。セキュア・ゲスト２１０の所有者は、セキュア・インターフェース・コントロール２３０を制御して、所有者によって課された環境的制約に基づいて、セキュア・ゲスト２１０の実行を許可または禁止する。例えば、所有者によって課された環境的制約は、セキュア・インターフェース・コントロール２３０を通して、ハードウェア測定を行うように構成されたホスト・システム内、または非システム固有ホスト鍵を用いるように構成されたホスト・システム上あるいはその両方で、セキュア・ゲストの実行を制限し得る。本発明のいくつかの実施形態において、メタデータの複数の部分を暗号化するための鍵は、セキュア・インターフェース・コントロール２３０にのみアクセス可能な秘密鍵を用いて導き出される。セキュア・ゲスト２１０に関連付けられたメタデータ２４０に示される所有者の優先に基づいて、セキュア・インターフェース・コントロール２３０は、システム設定２７０に基づいて、セキュア・ゲスト２１０の起動を制御する。セキュア・インターフェース・コントロール２３０はまた実行時の間にシステム設定２７０を監視し、それにより、セキュア・インターフェース・コントロール２３０は、セキュア・ゲスト２１０が技術環境２００に適合することをコントロール２６０がもはや示さないようにシステム設定２７０が変化した場合、そしてそのとき、ハイパーバイザ２２０にセキュア・ゲスト２１０を終了させることができる。

本発明のいくつかの実施形態において、セキュア・ゲスト２１０（例えば、仮想マシン、仮想サーバ）は、ハイパーバイザ２２０（例えば、仮想マシン・マネージャ）によって制御される。セキュア・インターフェース・コントロール２５０は、セキュア・ゲスト２１０の所有者から、ハイパーバイザ２２０を通じて、セキュア・ゲスト２４０に関連付けられたメタデータを取得する。このメタデータ２４０は、完全性が保護される（およびメタデータ２４０の一部、すなわち、セキュア・ゲスト２５０の秘密も機密性が保護される（すなわち、暗号化される））。本発明のいくつかの実施形態において、メタデータ２４０は、セキュア・ゲスト２１０のブートイメージに暗号学的に結び付けられる。本発明のいくつかの実施形態において、セキュア・ゲスト２５０の秘密は、セキュア・ゲストのインストール・データ（例えば、セキュア実行（ＳＥ）ヘッダ）に含まれ、これはセキュア・インターフェース・コントロール２３０が所有者から取得する。本発明のいくつかの実施形態において、メタデータ２４０は、同じ値を導き出し得る代替イメージを構築することが計算上実行不可能となるように、耐衝突性一方向関数（例えば、暗号学的ハッシュ関数）を用いて計算される、セキュア・ゲスト２１０のブートイメージから導き出された値を含む。

図２に例示されるように、セキュア・ゲスト２４０に結び付けられたメタデータは、秘密２５０を備える。本発明のいくつかの実施形態において、ゲストのメタデータは完全性が保護され、秘密は、セキュア・インターフェース・コントロール２３０によって所有される秘密鍵を用いて導き出された鍵によって暗号化される。鍵によって暗号化されたデータは、所与のゲストのブートイメージの暗号化対策を備えることができる。従って、本発明のいくつかの実施形態において、秘密２５０を含むメタデータ２４０の一部分は、セキュア・インターフェース・コントロール２３０のみが計算できる鍵によって暗号化される。メタデータ２４０は、それ自体がセキュア・ゲスト２１０にアクセス可能である必要はない。

メタデータ２４０はセキュア・ゲスト２１０のイメージに結び付けられ、秘密２５０はセキュア・ゲストのイメージに暗号学的に結び付けられるが、それはゲストの一部ではない。むしろ、本明細書で述べられるように、それはセキュア・インターフェース・コントロール（例えば、ファームウェア、信頼できる構成要素、ソフトウェア、ハードウェアなど）に、独立して移送される（例えば、図１の１１０）。本発明の実施形態において、秘密２５０は、ゲスト・メタデータの一部として安全なチャネルを通して（すなわち、暗号化されて）移送され、ゲストに暗号学的に結び付けられる。本発明のいくつかの実施形態において、メタデータ２４０は、ゲストに暗号学的に結び付けられ（例えば、ゲスト・イメージの署名を含む）、それにより１人のゲストのメタデータは、他のゲストのメタデータとして誤用され得ない。従って、セキュア・インターフェース・コントロール２３０は、ゲスト・イメージと、メタデータ／秘密とが一緒に属することを検証することができる（例えば、図１、１２０）。セキュア・インターフェース・コントロール２３０に（例えば、独立して、安全なチャネルを通して）移送されたメタデータ２４０は、完全性および機密性が保護される。

秘密２５０を含むことに加えて、メタデータ２４０はまたコントロール２６０を含み、これはセキュア・インターフェース・コントロール２３０が、ハイパーバイザ２２０がセキュア・ゲスト２１０を起動／実行することを可能にするおよび禁止するために利用する。セキュア・ゲスト２１０が、技術環境２００において起動すること（および、いくつかの場合において、実行を継続すること）を許されるかどうかは、メタデータ２４０内のコントロール２６０を、システム設定２７０と比較することに基づいて、セキュア・インターフェース・コントロール２３０によって決定される。セキュア・インターフェース・コントロール２３０は、システム設定２７０に基づいて、技術環境２００との不適合性を示すメタデータ２４０（例えば、コントロール２６０）によって記述される制限に基づいて、ハイパーバイザ２２０がセキュア・ゲスト２１０を起動することを可能にせず、実行時の間に、ハイパーバイザ２２０にセキュア・ゲスト２１０を終了させることができる。本発明のいくつかの実施形態において、メタデータ２４０は、コントロールがポジティブの場合は、所与の技術環境の態様との適合性を、またはコントロールがネガティブの場合は、所与の技術環境における実行に対する制約を示すコントロール２６０を含む。従前のシステム設定２７０の値に基づいてセキュア・ゲスト２１０が前もって起動された後に、システム設定２７０が変化したとき、セキュア・インターフェース・コントロール２３０は、実行時の間に、セキュア・インターフェース・コントロール２３０が、変化後のシステム設定２７０がコントロール２６０に適合しないと決定し、それによりコントロール２６０がセキュア・ゲスト２１０は技術環境２００において実行することが制約されることを示すことを理由として、ハイパーバイザ２２０にセキュア・ゲスト２１０を終了させることができる。

本発明の実施形態において、セキュア・ゲスト２１０のイメージに結び付けられたメタデータ２４０内のコントロール２６０は、１つまたは複数の環境的制約を示す。本発明のいくつかの実施形態において、コントロール２６０の所与のコントロールの設定に応じて、セキュア・ゲスト２１０は、関連のある環境的制約が満たされる場合（例えば、システム設定２７０によって）に、開始されることができ、または開始され得ない。例えば、このようなコントロールがネガティブのとき、セキュア・インターフェース・コントロール２３０は、関連した環境的制約が満たされるとき、（例えば、ハイパーバイザ２２０によって）セキュア・ゲストの開始を抑止することができる。そうでなければコントロールがポジティブの場合、関連した環境的制約が満たされるとき、セキュア・インターフェース・コントロール２３０は、（例えば、ハイパーバイザ２２０によって）セキュア・ゲスト２１０の開始を許可することができる。セキュア・ゲスト２１０に対してメタデータ２４０を評価するとき、セキュア・インターフェース・コントロール２３０は、コントロール２６０を読み出すことができ、各コントロールに対して、セキュア・ゲスト２１０は、システム設定２７０に基づいて、コンピューティング環境２００が各コントロールに対する関連した環境的制約を満たすかどうかを決定する。

図３は、本発明のいくつかの実施形態の様々な態様を例示するワークフロー３００である。図３に例示されるように、本発明の様々な実施形態の態様は、セキュア実行ゲストの所有者がセキュア・インターフェース・コントロールに対して、特定のホスト環境において所有者のセキュア・ゲストが実行することを許可するまたは許可しないように命令することを可能にする。ゲスト所有者の決定は、特定のゲスト・イメージに固有のものとすることができ、ゲスト所有者は、セキュア・ゲストに暗号学的に結び付けられたメタデータを利用して、一般に、システムによって（すなわち、セキュア・インターフェース・コントロールによって）強制されるように、決定をシステムに通信する。

図３に戻ると、本発明の実施形態において、コンピューティング・システム内のセキュア・インターフェース・コントロールはハイパーバイザに通信可能に結合され、ハイパーバイザは１人または複数のゲストを管理するとして、セキュア・インターフェース・コントロールは、ハイパーバイザによって開始されることになるセキュア・ゲストのイメージに結び付けられたメタデータを取得し、メタデータは１つまたは複数のコントロールを備え、１つまたは複数のコントロールの各コントロールは、セキュア・インターフェース・コントロールに、セキュア・ゲストが特定の技術環境において実行することが許可されるかどうかを示す（３１０）。メタデータ自体は、セキュア・ゲストに対してアクセス不可能とすることができる。メタデータを取得することの一部として、本発明のいくつかの実施形態において、セキュア・インターフェース・コントロールは、セキュア・ゲストのイメージに結び付けられたメタデータの一部分を復号する。メタデータは完全性が保護され、本発明のいくつかの実施形態において、この部分はセキュア・ゲストのブートイメージの暗号化対策を備えた秘密鍵を用いて導き出された鍵によって暗号化されている。秘密鍵は、セキュア・インターフェース・コントロールによって所有され、セキュア・インターフェース・コントロールによって排他的に用いられ得る。秘密鍵を用いて導き出された鍵は、セキュア・インターフェース・コントロールと所有者との間で（例えば、それらのみで）共有され得る。本発明のいくつかの実施形態において、メタデータは、耐衝突性一方向関数を利用して計算された、セキュア・ゲストのブートイメージから導き出された値を含む。

図２に例示されるように、１つまたは複数のコントロール（例えば、図２、２６０）は、メタデータ（例えば、図２、２４０）の一部である。本発明のいくつかの実施形態において、１つまたは複数のコントロールは、メタデータの暗号化された部分に含まれる。セキュア・インターフェース・コントロールは、セキュア・ゲストのイメージに結び付けられた、メタデータのこの部分を復号することができ、メタデータは完全性が保護され、暗号化された部分は、セキュア・ゲストのブートイメージの暗号化対策を備え、暗号化された部分は、秘密鍵を用いて導き出された鍵によって暗号化される。本発明のいくつかの実施形態において、秘密鍵は、セキュア・ゲストのブートイメージの暗号化対策を備えた秘密鍵を用いて導き出された鍵による。コントロールはそれぞれ、様々なシステム設定に対してポジティブ指定またはネガティブ指定を備え、ポジティブ指定は、セキュア・ゲストが所与のシステム設定に基づいて実行することが許可されることを示し、ネガティブ指定は、ゲストが所与のシステム設定に基づいて実行することが許可されないことを示す。

図３を参照すると、セキュア・インターフェース・コントロールは、イメージに基づいて、セキュア・ゲストを開始するコマンドを傍受する（３２０）。本発明のいくつかの実施形態において、コマンドは、ホスト・システムのゲスト実行を管理するハイパーバイザ（例えば、安全ではないエンティティ）による。セキュア・インターフェース・コントロールは、１つまたは複数のコントロールに基づいて、セキュア・ゲストが、システム設定によって規定されるのに従って、技術環境において実行することが許可されるかどうかを決定する（３３０）。本発明のいくつかの実施形態において、セキュア・ゲストが実行することが許可されるかどうかを決定するために、セキュア・インターフェース・コントロールは、１つまたは複数のコントロールにおいて、システム設定の１つまたは複数に関連したコントロールを識別する（３３４）。セキュア・インターフェース・コントロールは、システム設定に基づいて、コントロールがセキュア・ゲストを実行することを可能にするかそれとも制限するかを決定する（３３６）。

セキュア・ゲストが実行することが許可されるとの決定に基づいて、セキュア・インターフェース・コントロールは、ハイパーバイザが、コンピューティング・システム内で、イメージに基づいて、セキュア・ゲストの実行を始めることを可能にする（３４０）。セキュア・ゲストが実行することが許可されないとの決定に基づいて、セキュア・インターフェース・コントロールは、セキュア・ゲストを開始するコマンドを無視する（３４５）。コマンドを無視することによって、セキュア・コントロール・インターフェースは、ハイパーバイザがセキュア・ゲストの実行を始めることを防止する。

本発明のいくつかの実施形態において、セキュア・インターフェース・コントロールは、セキュア・ゲストの実行時の間に、設定に変更がなされたと決定する（３５０）。セキュア・インターフェース・コントロールは、１つまたは複数のコントロールに基づいて、システム設定によって定義されるように（変更に基づいて）、セキュア・ゲストが技術環境内で実行することが許可されるかどうかを決定する（３３０）。セキュア・ゲストが実行することが許可されるかどうかを決定するために、本発明のいくつかの実施形態において、セキュア・インターフェース・コントロールは、１つまたは複数のコントロールにおいて、システム設定の１つまたは複数に関連したコントロールを識別する（３３４）。セキュア・インターフェース・コントロールは、システム設定に基づいて、コントロールが、セキュア・ゲストが実行することを可能にするかそれとも制限するかを決定する（３３６）。セキュア・ゲストが実行することが許可されるとの決定に基づいて、セキュア・インターフェース・コントロールは、コンピューティング・システム内で、イメージに基づいて、ハイパーバイザがセキュア・ゲストの実行を継続することを可能にする（３４０）。セキュア・ゲストが実行することが許可されないとの決定に基づいて、セキュア・インターフェース・コントロールは、ハイパーバイザにセキュア・ゲストを終了させる（３３５）。

本発明の実施形態は、コンピュータによって実施される方法、コンピュータ・プログラム製品、およびコンピュータ・システムを含み、コンピューティング・システム内のセキュア・インターフェース・コントロールは、ファームウェア、ハードウェア、およびソフトウェアの任意の１つまたはそれらの組み合わせとすることができるとして、セキュア・インターフェース・コントロールは、所有者によって開始されることになるセキュア・ゲストのイメージに結び付けられ、ハイパーバイザによって管理されるメタデータを取得する。ハイパーバイザは１人または複数のゲストを管理し、メタデータは１つまたは複数のコントロールを備える。１つまたは複数のコントロールの各コントロールは、セキュア・インターフェース・コントロールに、イメージを用いて生成されたセキュア・ゲストが、システム設定に基づいて、セキュア・インターフェース・コントロールによって起動される（または維持される）ことが許可されるかどうかを示す。例えば、本発明のいくつかの実施形態において、コンピューティング・システム内のセキュア・インターフェース・コントロール（ソフトウェア、ハードウェア、またはファームウェアあるいはその組み合わせなど）のプログラム・コードは、所有者のセキュア・ゲストのイメージに結び付けられ、ハイパーバイザによって管理されるメタデータを取得し、セキュア・インターフェース・コントロールは、ハイパーバイザに通信可能に結合され、ハイパーバイザは１人または複数のゲストを管理し、１つまたは複数のコントロールの各コントロールは、セキュア・インターフェース・コントロールに、コンピューティング・システム内の１つまたは複数のシステム設定の存在または欠如に基づいて、コンピューティング・システム内のイメージを用いて生成されたセキュア・ゲストのインスタンスをハイパーバイザが実行することが許可されるかどうかを示す。プログラム・コードは、ハイパーバイザによる、セキュア・ゲストのイメージからのセキュア・ゲストのインスタンスを起動するコマンドを傍受する。プログラム・コードは、コンピューティング・システム内の１つまたは複数のシステム設定の存在または欠如を決定する。プログラム・コードは、１つまたは複数のコントロールと、１つまたは複数のシステム設定の存在または欠如とに基づいて、ハイパーバイザがインスタンスを実行することが許可されるかどうかを決定する。ハイパーバイザがインスタンスを実行することが許可されるとの決定に基づいて、プログラム・コードは、傍受されたコマンドをハイパーバイザに中継することに基づいて、コンピューティング・システムにおいて、ハイパーバイザによるインスタンスの起動を可能にする。ハイパーバイザがインスタンスを実行することが許可されないとの決定に基づいて、プログラム・コードはコマンドを無視する。

本発明のいくつかの実施形態において、プログラム・コードがメタデータを取得したとき、プログラム・コードは、セキュア・ゲストのイメージに結び付けられたメタデータの一部分を復号し、メタデータは完全性が保護され、セキュア・ゲストのブートイメージの暗号化対策を備えた一部分は、秘密鍵を用いて導き出された鍵によって暗号化されている。本発明のいくつかの実施形態において、メタデータの暗号化された部分は、１つまたは複数のコントロールを備える。１つまたは複数のコントロールの各コントロールは、環境的制約を備えることができる。本発明のいくつかの実施形態において、環境的制約は、ハードウェア測定を行うように構成されたシステム、および非システム固有ホスト鍵を用いるように構成されたシステムからなる群から選択される。

本発明のいくつかの実施形態において、秘密鍵は、セキュア・インターフェース・コントロールによって所有され、セキュア・インターフェース・コントロールによって排他的に用いられる。

本発明のいくつかの実施形態において、秘密鍵を用いて導き出された鍵は、セキュア・インターフェース・コントロールと所有者との間で共有される。

本発明のいくつかの実施形態において、メタデータは、耐衝突性一方向関数を利用して計算された、セキュア・ゲストのブートイメージから導き出された値を備える。

本発明のいくつかの実施形態において、１つまたは複数のコントロールはそれぞれ、所与のシステム設定に対してポジティブ指定またはネガティブ指定を備え、ポジティブ指定は、セキュア・ゲストのインスタンスが所与のシステム設定を備えたコンピューティング・システム内で実行することが許可されたことを示し、ネガティブ指定は、セキュア・ゲストのインスタンスが所与のシステム設定を備えたコンピューティング・システム内で実行することが許可されないことを示す。

本発明のいくつかの実施形態において、メタデータは、セキュア・ゲストのインスタンスにアクセス不可能である。

本発明のいくつかの実施形態において、ハイパーバイザがインスタンスを実行することが許可されるかどうかを、プログラム・コードが決定することは、１つまたは複数のコントロールのうちの、１つまたは複数のシステム設定の設定に関連したコントロールを、プログラム・コードが識別することと、コントロールに基づいて、コントロールが、インスタンスを実行することを可能にするかそれとも制限するかを、プログラム・コードが決定することとをさらに含む。

本発明のいくつかの実施形態において、プログラム・コードは、インスタンスの実行時の間に、１つまたは複数のシステム設定を監視する。プログラム・コードは、１つまたは複数の設定の少なくとも１つの設定が、実行時の間に変化したことを決定する。プログラム・コードは、少なくとも１つの設定に関連した１つまたは複数のコントロールの所与のコントロールを識別する。プログラム・コードは、少なくとも１つの設定および所与のコントロールに基づいて、ハイパーバイザがインスタンスを実行することが許可されたかどうかを決定する。ハイパーバイザがインスタンスを実行することが許可されないとの決定に基づいて、プログラム・コードは、ハイパーバイザを通じて、インスタンスを終了させることができる。

本発明のいくつかの実施形態において、プログラム・コードが、ハイパーバイザによってセキュア・ゲストのイメージからのセキュア・ゲストのインスタンスを起動するコマンドを傍受することは、プログラム・コードが、メタデータに対して完全性チェックを行うことと、完全性チェックの完了に成功したことに基づいて、プログラム・コードが、メタデータ内の１つまたは複数のコントロールを読み出すこととをさらに含む。

次に図４を参照すると、コンピューティング・ノードの例の概略図であり、これはクラウド・コンピューティング・ノード１０とすることができる。クラウド・コンピューティング・ノード１０は、適切なクラウド・コンピューティング・ノードの単なる一例であり、本明細書で述べられる本発明の実施形態の使用または機能の範囲に関して何らかの限定を示唆するものではない。それに関わらず、クラウド・コンピューティング・ノード１０は、本明細書の上記で記述された機能の任意のものが実施されることまたは行うことあるいはその両方の能力を有する。本発明の実施形態において、セキュア・ゲスト２１０（図２）、セキュア・インターフェース・コントロール２３０（図２）、またはハイパーバイザ２２０（図２）あるいはその組み合わせは、それぞれ、クラウド・コンピューティング・ノード１０（図４）、およびクラウド・コンピューティング・ノード１０でなければ、クラウド・コンピューティング・ノード１０の態様を含む１つまたは複数の汎用コンピューティング・ノード上で実行するものと理解され得る。

クラウド・コンピューティング・ノード１０にはコンピュータ・システム／サーバ１２があり、これは数多くの他の汎用または専用コンピューティング・システム環境もしくは構成と共に動作できる。コンピュータ・システム／サーバ１２と共に用いるのに適し得る、よく知られたコンピューティング・システム、環境、または構成あるいはその組み合わせの例は、パーソナル・コンピュータ・システム、サーバ・コンピュータ・システム、シン・クライアント、シック・クライアント、ハンドヘルドまたはラップトップ・デバイス、マルチプロセッサ・システム、マイクロプロセッサ・ベースのシステム、セット・トップ・ボックス、プログラマブルな民生用電子機器、ネットワークＰＣ、ミニコンピュータ・システム、メインフレーム・コンピュータ・システム、および上記のシステムまたはデバイスの任意のものを含んだ分散型クラウド・コンピューティング環境などを含むがそれらに限定されない。

コンピュータ・システム／サーバ１２は、コンピュータ・システムによって実行される、プログラム・モジュールなどの、コンピュータ・システム実行可能命令との一般的な関連において述べられ得る。一般にプログラム・モジュールは、特定のタスクを行う、または特定の抽象データ・タイプを実施する、ルーチン、プログラム、オブジェクト、コンポーネント、ロジック、データ構造体などを含み得る。コンピュータ・システム／サーバ１２は、通信ネットワークを通して結び付けられたリモート処理デバイスによってタスクが行われる分散型クラウド・コンピューティング環境において実施され得る。分散型クラウド・コンピューティング環境において、プログラム・モジュールは、メモリ記憶デバイスを含むローカルおよびリモート・コンピュータ・システム記憶媒体内に配置され得る。

図４に示されるように、クラウド・コンピューティング・ノード１０として利用され得るコンピュータ・システム／サーバ１２は、汎用コンピューティング・デバイスの形で示される。コンピュータ・システム／サーバ１２の構成要素は、１つまたは複数のプロセッサまたは処理ユニット１６、システム・メモリ２８、およびシステム・メモリ２８を含む様々なシステム構成要素をプロセッサ１６に結合するバス１８を含み得るが、それらに限定されない。

バス１８は、メモリ・バスまたはメモリ・コントローラ、ペリフェラル・バス、およびアクセラレイテッド・グラフィックス・ポート、および多様なバス・アーキテクチャのいずれかを用いたプロセッサまたはローカル・バスを含む、いくつかのタイプのバス構造のいずれかの１つまたは複数を表す。例として限定せずに、このようなアーキテクチャは、業界標準アーキテクチャ（ＩＳＡ）バス、マイクロ・チャネル・アーキテクチャ（ＭＣＡ）バス、拡張ＩＳＡ（ＥＩＳＡ）バス、ビデオ・エレクトロニクス・スタンダーズ・アソシエーション（ＶＥＳＡ）ローカル・バス、およびペリフェラル・コンポーネント・インターコネクト（ＰＣＩ）バスを含む。

コンピュータ・システム／サーバ１２は、通常多様なコンピュータ・システム可読媒体を含む。このような媒体は、コンピュータ・システム／サーバ１２によってアクセス可能な任意の入手可能な媒体とすることができ、これは共に揮発性および不揮発性媒体、リムーバブルおよび非リムーバブル媒体を含む。

システム・メモリ２８は、ランダム・アクセス・メモリ（ＲＡＭ）３０またはキャッシュ・メモリ３２あるいはその両方などの、揮発性メモリの形のコンピュータ・システム可読媒体を含むことができる。コンピュータ・システム／サーバ１２はさらに、リムーバブル／非リムーバブル、揮発性／不揮発性コンピュータ・システム記憶媒体を含み得る。例のみとして、記憶システム３４には、非リムーバブル、不揮発性磁気媒体（図示されず、通常「ハード・ドライブ」と呼ばれる）からの読み出しおよびそれへの書き込みがもたらされ得る。図示されないが、リムーバブル、不揮発性磁気ディスク（例えば「フロッピ・ディスク（登録商標）」）からの読み出しおよびそれへの書き込みのための磁気ディスク・ドライブ、およびＣＤ－ＲＯＭ、ＤＶＤ－ＲＯＭ、または他の光媒体などのリムーバブル、不揮発性光ディスクからの読み出しまたはそれへの書き込みのための光ディスク・ドライブがもたらされ得る。このような場合、それぞれは１つまたは複数のデータ媒体インターフェースによってバス１８に接続され得る。以下でさらに示され、述べられるようにメモリ２８は、本発明の実施形態の機能を実行するように構成されたプログラム・モジュールの（例えば少なくとも１つの）セットを有する少なくとも１つのプログラム製品を含み得る。

プログラム・モジュール４２の（少なくとも１つの）セットを有する、プログラム／ユーティリティ４０は、例としておよび限定せずに、オペレーティング・システム、１つまたは複数のアプリケーション・プログラム、他のプログラム・モジュール、およびプログラム・データと共に、メモリ２８に記憶され得る。オペレーティング・システム、１つまたは複数のアプリケーション・プログラム、他のプログラム・モジュール、およびプログラム・データ、またはそれらの何らかの組み合わせのそれぞれは、ネットワーク化環境の実装形態を含むことができる。プログラム・モジュール４２は一般に、本明細書で述べられる本発明の実施形態の機能または方法論あるいはその両方を実行する。

コンピュータ・システム／サーバ１２はまた、キーボード、ポインティング・デバイス、ディスプレイ２４などの１つまたは複数の外部デバイス１４、ユーザがコンピュータ・システム／サーバ１２と対話することを可能にする１つまたは複数のデバイス、またはコンピュータ・システム／サーバ１２が１つまたは複数の他のコンピューティング・デバイスと通信することを可能にする任意のデバイス（例えばネットワーク・カード、モデムなど）あるいはその組み合わせと、通信することができる。このような通信は、入力／出力（Ｉ／Ｏ）インターフェース２２を経由して生じることができる。さらにコンピュータ・システム／サーバ１２は、ネットワーク・アダプタ２０を経由して、ローカル・エリア・ネットワーク（ＬＡＮ）、汎用広域ネットワーク（ＷＡＮ）、またはパブリック・ネットワーク（例えばインターネット）あるいはその組み合わせなどの、１つまたは複数のネットワークと通信することができる。示されるように、ネットワーク・アダプタ２０は、バス１８を通じてコンピュータ・システム／サーバ１２の他の構成要素と通信する。図示されないが、コンピュータ・システム／サーバ１２と共に、他のハードウェアまたはソフトウェア構成要素あるいはその両方が用いられ得ることが理解されるべきである。例は、マイクロコード、デバイス・ドライバ、冗長処理ユニット、外部ディスク・ドライブ・アレイ、ＲＡＩＤシステム、テープ・ドライブ、およびデータ・アーカイブ記憶システムなどを含むが、それらに限定されない。

本開示はクラウド・コンピューティングについての詳しい説明を含むが、本明細書に記載される教示の実施は、クラウド・コンピューティング環境に限定されないことが理解されるべきである。むしろ本発明の実施形態は、現在知られているまたは後に開発される任意の他のタイプのコンピューティング環境と共に実施される能力を有する。

クラウド・コンピューティングは、最小の管理努力またはサービスのプロバイダとの対話により迅速に用意され、リリースされ得る、構成可能なコンピューティング・リソース（例えばネットワーク、ネットワーク帯域幅、サーバ、処理、メモリ、ストレージ、アプリケーション、仮想マシン、およびサービス）の共有されたプールへの便利な、オンデマンド・ネットワーク・アクセスを可能にするためのサービス供給のモデルである。このクラウド・モデルは、少なくとも５つの特徴、少なくとも３つのサービス・モデル、および少なくとも４つの展開モデルを含み得る。

特徴は以下の通りである。

オンデマンド・セルフサービス：クラウド消費者は、サービスのプロバイダとの人的対話を必要とせずに、自動的に必要に応じて、サーバ時間およびネットワーク・ストレージなどの、コンピューティング能力を一方的に用意することができる。

広いネットワーク・アクセス：能力はネットワークを通して使用可能であり、標準の機構を通じてアクセスされ、これは異種のシンまたはシック・クライアント・プラットフォーム（例えば携帯電話、ラップトップ、およびＰＤＡ）による使用を促進する。リソース・プーリング：プロバイダのコンピューティング・リソースは、異なる物理および仮想リソースが需要に従って動的に割り当ておよび再割り当てされながら、マルチ・テナント・モデルを用いて複数の消費者にサービスするようにプールされる。消費者は一般に、もたらされるリソースの正確な位置に対する制御または知識をもたないが、抽象化のより高いレベルにおいて位置を指定する（例えば国、州、またはデータセンタ）ことが可能になり得るという点で、位置からの独立性の感覚がある。迅速な融通性：能力は、いくつかの場合において自動的に、速やかにスケール・アウト、および速やかにスケール・インするように迅速にリリースされるように、迅速におよび弾力的に用意され得る。消費者には、用意するために使用可能な能力は無限であるように見え、任意の時点で任意の量において購入され得る。

対策されたサービス：クラウド・システムは、サービスのタイプ（例えばストレージ、処理、帯域幅、およびアクティブ・ユーザ・アカウント）に対して適した、何らかのレベルの抽象化における計量能力を活用することによって、リソース使用を自動的に制御および最適化する。リソース使用量は監視され、制御され、および報告されて、利用されるサービスのプロバイダおよび消費者の両方に対して透明性をもたらす。

サービス・モデルは以下の通りである。

サービスとしてのソフトウェア（ＳａａＳ）：消費者にもたらされる能力は、クラウド・インフラストラクチャ上で実行するプロバイダのアプリケーションを使用することである。アプリケーションは、ウェブ・ブラウザ（例えばウェブ・ベースの電子メール）などのシン・クライアント・インターフェースを通して、様々なクライアント・デバイスからアクセス可能である。限られたユーザ固有のアプリケーション構成設定を可能性のある例外として、消費者は、ネットワーク、サーバ、オペレーティング・システム、ストレージ、さらには個々のアプリケーション能力を含む、基礎をなすクラウド・インフラストラクチャを管理または制御しない。

サービスとしてのプラットフォーム（ＰａａＳ）：消費者にもたらされる能力は、プロバイダによってサポートされるプログラミング言語およびツールを用いて作り出された、消費者により作り出されたまたは取得されたアプリケーションを、クラウド・インフラストラクチャ上に展開することである。消費者は、ネットワーク、サーバ、オペレーティング・システム、またはストレージを含む基礎をなすクラウド・インフラストラクチャを管理または制御しないが、展開されたアプリケーション、および場合によっては環境構成をホストするアプリケーションに対する制御を有する。

サービスとしてのインフラストラクチャ（ＩａａＳ）：消費者にもたらされる能力は、処理、ストレージ、ネットワーク、および他の基本的なコンピューティング・リソースを用意することであり、消費者は任意のソフトウェアを展開および実行することができ、これはオペレーティング・システムおよびアプリケーションを含むことができる。消費者は、基礎をなすクラウド・インフラストラクチャを管理または制御しないが、オペレーティング・システム、ストレージ、展開されたアプリケーションに対する制御、および場合によっては選ばれたネットワーク化構成要素（例えばホスト・ファイアウォール）の限られた制御を有する。

展開モデルは以下の通りである。

プライベート・クラウド：クラウド・インフラストラクチャは、専ら組織のために運用される。これは組織またはサード・パーティによって管理されることができ、構内または構外に存在し得る。

コミュニティ・クラウド：クラウド・インフラストラクチャは、いくつかの組織によって共有され、共通の関心（例えばミッション、セキュリティ要件、ポリシー、およびコンプライアンス配慮）を有する特定のコミュニティをサポートする。これは組織またはサード・パーティによって管理されることができ、構内または構外に存在し得る。

パブリック・クラウド：クラウド・インフラストラクチャは、一般大衆または大きな業界グループに対して使用可能とされ、クラウド・サービスを販売する組織によって所有される。

ハイブリッド・クラウド：クラウド・インフラストラクチャは、固有のエンティティのままであるが、データおよびアプリケーション可搬性（例えばクラウドの間の負荷バランスのためのクラウド・バースティング）を可能にする標準化されたまたは独自開発の技術によって一緒に結び付けられた、２つ以上のクラウド（プライベート、コミュニティ、またはパブリック）の合成である。

クラウド・コンピューティング環境は、ステートレス性、低いカップリング、モジュール性、およびセマンティック相互運用性に焦点を当てて方向付けられたサービスである。クラウド・コンピューティングの中心は、相互接続されたノードのネットワークを含むインフラストラクチャである。

次に図５を参照すると、例示的クラウド・コンピューティング環境５０が示される。示されるように、クラウド・コンピューティング環境５０は、例えば携帯情報端末（ＰＤＡ）または携帯電話５４Ａ、デスクトップ・コンピュータ５４Ｂ、ラップトップ・コンピュータ５４Ｃ、または自動車コンピュータ・システム５４Ｎあるいはその組み合わせなどの、クラウド消費者によって用いられるローカル・コンピューティング・デバイスがそれと通信することができる、１つまたは複数のクラウド・コンピューティング・ノード１０を含む。ノード１０は互いに通信することができる。それらは、本明細書において上記で述べられたようなプライベート、コミュニティ、パブリック、またはハイブリッド・クラウド、またはそれらの組み合わせなどの、１つまたは複数のネットワークにおいて物理的または仮想的にグループ化（図示せず）され得る。これはクラウド・コンピューティング環境５０が、クラウド消費者はそのためにローカル・コンピューティング・デバイス上にリソースを維持する必要がない、サービスとしてのインフラストラクチャ、プラットフォーム、またはソフトウェアあるいはその組み合わせを提供することを可能にする。図５に示されるコンピューティング・デバイス５４Ａ～Ｎのタイプは例示のためのみであること、ならびにコンピューティング・ノード１０およびクラウド・コンピューティング環境５０は、任意のタイプのネットワークまたはネットワーク・アドレス指定可能な接続（例えばウェブ・ブラウザを用いた）あるいはその両方を通して、任意のタイプのコンピュータ化されたデバイスと通信できることが理解される。

次に図６を参照すると、クラウド・コンピューティング環境５０（図５）によってもたらされる、機能抽象化レイヤのセットが示される。前もって、図６に示される構成要素、レイヤ、および機能は、例示のためのみであり、本発明の実施形態はそれらに限定されないことが理解されるべきである。示されるように、以下のレイヤおよび対応する機能がもたらされる。

ハードウェアおよびソフトウェア・レイヤ６０は、ハードウェアおよびソフトウェア構成要素を含む。ハードウェア構成要素の例は、メインフレーム６１、ＲＩＳＣ（縮小命令セット・コンピュータ）アーキテクチャ・ベースのサーバ６２、サーバ６３、ブレード・サーバ６４、記憶デバイス６５、ならびにネットワークおよびネットワーク化構成要素６６を含む。いくつかの実施形態において、ソフトウェア構成要素は、ネットワーク・アプリケーション・サーバ・ソフトウェア６７およびデータベース・ソフトウェア６８を含む。

仮想化レイヤ７０は抽象化レイヤをもたらし、それから以下の仮想エンティティの例、すなわち仮想サーバ７１、仮想ストレージ７２、仮想プライベート・ネットワークを含む仮想ネットワーク７３、仮想アプリケーションおよびオペレーティング・システム７４、ならびに仮想クライアント７５がもたらされ得る。

一例において管理レイヤ８０は、以下に述べられる機能をもたらすことができる。リソース供給８１は、クラウド・コンピューティング環境内でタスクを行うために利用されるコンピューティング・リソースおよび他のリソースの動的調達をもたらす。計量および価格設定８２は、クラウド・コンピューティング環境内でリソースが利用されるのに従ってコスト追跡、およびこれらのリソースの消費に対する請求書作成または送付をもたらす。一例においてこれらのリソースは、アプリケーション・ソフトウェア・ライセンスを含むことができる。セキュリティは、クラウド消費者およびタスクに対する識別情報検証、ならびにデータおよび他のリソースに対する保護をもたらす。ユーザ・ポータル８３は、消費者およびシステム管理者のために、クラウド・コンピューティング環境へのアクセスをもたらす。サービス・レベル管理８４は、要求されるサービス・レベルが満たされるように、クラウド・コンピューティング・リソース割り振りおよび管理をもたらす。サービス・レベル・アグリーメント（ＳＬＡ）計画および履行８５は、ＳＬＡに従って将来の要求が予想されるクラウド・コンピューティング・リソースの事前準備および調達をもたらす。

作業負荷レイヤ９０は、クラウド・コンピューティング環境が利用され得る機能性の例をもたらす。このレイヤからもたらされ得る作業負荷および機能の例は、マッピングおよびナビゲーション９１、ソフトウェア開発およびライフサイクル管理９２、仮想教室教育配信９３、データ分析処理９４、トランザクション処理９５、およびセキュア・インターフェース・コントロール９６を通じた、環境要因に基づく、セキュア・ゲストの実行の制御を含む。

本発明は、統合の任意の可能な技術的詳細レベルにおける、システム、方法、またはコンピュータ・プログラム製品あるいはその組み合わせとすることができる。コンピュータ・プログラム製品は、プロセッサに本発明の態様を実行させるためのコンピュータ可読プログラム命令をその上に有する、コンピュータ可読記憶媒体を含み得る。

コンピュータ可読記憶媒体は、命令実行デバイスによる使用のための命令を保持および記憶することができる有形のデバイスとすることができる。コンピュータ可読記憶媒体は、例えば電子的記憶デバイス、磁気記憶デバイス、光記憶デバイス、電磁的記憶デバイス、半導体記憶デバイス、または上記の任意の適切な組み合わせとすることができるが、それらに限定されない。コンピュータ可読記憶媒体のより具体的な例の非網羅的なリストは、ポータブル・コンピュータ・ディスケット、ハード・ディスク、ランダム・アクセス・メモリ（ＲＡＭ）、読み出し専用メモリ（ＲＯＭ）、消去可能プログラマブル読み出し専用メモリ（ＥＰＲＯＭまたはフラッシュ・メモリ）、スタティック・ランダム・アクセス・メモリ（ＳＲＡＭ）、ポータブル・コンパクト・ディスク読み出し専用メモリ（ＣＤ－ＲＯＭ）、デジタル多用途ディスク（ＤＶＤ）、メモリ・スティック、フロッピ・ディスク、パンチカードまたはその上に記録された命令を有する溝状の隆起構造などの機械的エンコード型デバイス、および上記の任意の適切な組み合わせを含む。本明細書で用いられるコンピュータ可読記憶媒体とは、電波または他の自由に伝搬する電磁波、導波路または他の伝送媒体を通して伝搬する電磁波（例えば光ファイバ・ケーブルを通過する光パルス）、または線材を通して送信される電気信号など、それ自体が一時的信号であると解釈されるものではない。

本明細書で述べられるコンピュータ可読プログラム命令は、コンピュータ可読記憶媒体からそれぞれのコンピューティング／処理デバイスに、またはネットワーク、例えばインターネット、ローカル・エリア・ネットワーク、広域ネットワークまたは無線ネットワークあるいはその組み合わせを経由して外部コンピュータまたは外部記憶デバイスに、ダウンロードされ得る。ネットワークは、銅の伝送ケーブル、光伝送ファイバ、無線伝送、ルータ、ファイアウォール、スイッチ、ゲートウェイ・コンピュータまたはエッジ・サーバあるいはその組み合わせを備え得る。各コンピューティング／処理デバイス内のネットワーク・アダプタ・カードまたはネットワーク・インターフェースは、ネットワークからコンピュータ可読プログラム命令を受信し、コンピュータ可読プログラム命令を、それぞれのコンピューティング／処理デバイス内のコンピュータ可読記憶媒体における記憶のために転送する。

本発明の動作を実行するためのコンピュータ可読プログラム命令は、アセンブラ命令、命令セット・アーキテクチャ（ＩＳＡ）命令、マシン命令、マシン依存型命令、マイクロコード、ファームウェア命令、状態設定データ、集積回路のための構成データ、あるいはＳｍａｌｌｔａｌｋ、Ｃ＋＋などのオブジェクト指向プログラミング言語、および「Ｃ」プログラミング言語または同様なプログラミング言語などの手続き型プログラミング言語を含む、１つまたは複数のプログラミング言語の任意の組み合わせで書かれた、ソース・コードまたはオブジェクト・コードとすることができる。コンピュータ可読プログラム命令は、スタンド・アロン・ソフトウェア・パッケージとして、専らユーザのコンピュータ上で、部分的にユーザのコンピュータ上で、部分的にユーザのコンピュータ上および部分的にリモート・コンピュータ上で、あるいは専らリモート・コンピュータまたはサーバ上で、実行することができる。後者のシナリオにおいて、リモート・コンピュータは、ローカル・エリア・ネットワーク（ＬＡＮ）または広域ネットワーク（ＷＡＮ）を含む、任意のタイプのネットワークを通してユーザのコンピュータに接続されることができ、あるいは外部コンピュータへの接続がなされ得る（例えばインターネット・サービス・プロバイダを用いてインターネットを通して）。いくつかの実施形態において、例えばプログラマブル・ロジック回路、フィールド・プログラマブル・ゲート・アレイ（ＦＰＧＡ）、またはプログラマブル・ロジック・アレイ（ＰＬＡ）を含む電子回路は、本発明の態様を行うために、コンピュータ可読プログラム命令の状態情報を利用して電子回路を個人化することによって、コンピュータ可読プログラム命令を実行し得る。

本明細書において本発明の態様は、本発明の実施形態による方法、装置（システム）、およびコンピュータ・プログラム製品の、フローチャート図またはブロック図あるいはその両方を参照して述べられる。フローチャート図またはブロック図あるいはその両方の各ブロック、およびフローチャート図またはブロック図あるいはその両方におけるブロックの組み合わせは、コンピュータ可読プログラム命令によって実施され得ることが理解されるであろう。

これらのコンピュータ可読プログラム命令は、マシンを生じるように、汎用コンピュータ、専用コンピュータ、または他のプログラマブル・データ処理装置のプロセッサにもたらされることができ、それにより、コンピュータのプロセッサまたは他のプログラマブル・データ処理装置によって実行する命令は、フローチャートまたはブロック図あるいはその両方のブロックにおいて指定された機能／動作を実施するための手段を作り出す。これらのコンピュータ可読プログラム命令はまた、特定のやり方で機能するようにコンピュータ、プログラマブル・データ処理装置、または他のデバイスあるいはその組み合わせに指示することができる、コンピュータ可読記憶媒体に記憶されることができ、それにより命令が記憶されたコンピュータ可読記憶媒体は、フローチャートまたはブロック図あるいはその両方のブロックにおいて規定された機能／動作の態様を実施する命令を含んだ製品を備える。

コンピュータ可読プログラム命令はまた、コンピュータ、他のプログラマブル・データ処理装置、または他のデバイス上にロードされて、コンピュータによって実施されるプロセスを生じるように、一連の動作ステップが、コンピュータ、他のプログラマブル装置、または他のデバイス上で行われるようにさせることができ、それにより、コンピュータ、他のプログラマブル装置、または他のデバイス上で実行する命令は、フローチャートまたはブロック図あるいはその両方のブロックにおいて指定された機能／動作を実施する。

図におけるフローチャートおよびブロック図は、本発明の様々な実施形態による、システム、方法、およびコンピュータ・プログラム製品の可能な実装形態のアーキテクチャ、機能、および動作を例示する。この関連において、フローチャートまたはブロック図内の各ブロックは、指定された論理機能を実施するための１つまたは複数の実行可能命令を備える、モジュール、セグメント、または命令の一部分を表すことができる。いくつかの代替的実装形態において、ブロック内に記された機能は、図に記されたものとは異なる順序で生じ得る。例えば連続して示される２つのブロックは、実際は、実質的に並行して実行されることができ、またはブロックは時には関わる機能に応じて、逆の順序で実行され得る。またブロック図またはフローチャート図あるいはその両方の各ブロック、およびブロック図またはフローチャート図あるいはその両方におけるブロックの組み合わせは、指定された機能または動作を行う、または専用ハードウェアおよびコンピュータ命令の組み合わせを実行する、専用ハードウェア・ベースのシステムによって実施され得ることが留意されるであろう。

本明細書で用いられる専門用語は、特定の実施形態を述べるためのみであり、限定するものではない。本明細書で用いられる単数形「ａ」、「ａｎ」、および「ｔｈｅ」は、文脈が異なる解釈を明らかに示す場合を除き、複数形も含むものである。さらに本明細書で用いられるとき、用語「備える（ｃｏｍｐｒｉｓｅｓ）」または「備える（ｃｏｍｐｒｉｓｉｎｇ）」あるいはその両方は、記載された特徴、整数値、ステップ、動作、要素、または構成要素あるいはその組み合わせの存在を明記するものであるが、１つまたは複数の他の特徴、整数値、ステップ、動作、要素、構成要素、またはそれらのグループあるいはその組み合わせの存在または追加を除外するものではないことが理解されるであろう。

以下の「特許請求の範囲」における対応する構造、材料、動作、およびすべての手段またはステップおよび機能要素の等価物は、具体的に特許請求されるものとして、他の特許請求される要素との組み合わせにおいて機能を行うための、構造、材料、または動作を含むことが意図される。１つまたは複数の実施形態の説明は、例示および説明のために示されたが、網羅的であること、または開示された形に限定されることを意図するものではない。当業者には、多くの変更および変形が明らかになるであろう。実施形態は、様々な態様、および実際の応用例を最もよく説明するように、ならびに他の当業者が、企図される特定の使用に適するように様々な変更を有する様々な実施形態を理解することを可能にするように選ばれ、述べられた。

Claims (20)

1. コンピュータによって実施される方法であって、
   コンピューティング・システム内のセキュア・インターフェース・コントロールによってメタデータを取得することであって、前記セキュア・インターフェース・コントロールは、ハイパーバイザに通信可能に結合され、前記ハイパーバイザは、１人または複数のゲストを管理し、前記メタデータは、所有者のセキュア・ゲストのイメージに結び付けられ、前記ハイパーバイザによって管理され、前記メタデータは、１つまたは複数のコントロールを備え、前記１つまたは複数のコントロールの各コントロールは、前記セキュア・インターフェース・コントロールに、前記コンピューティング・システム内の１つまたは複数のシステム設定の存在または欠如に基づいて、前記コンピューティング・システム内の前記イメージを用いて生成されたセキュア・ゲストのインスタンスを前記ハイパーバイザが実行することが許可されるかどうかを示す、前記取得することと、
   前記セキュア・インターフェース・コントロールによって、前記ハイパーバイザによる、前記セキュア・ゲストの前記イメージからの前記セキュア・ゲストの前記インスタンスを起動するコマンドを傍受することと、
   前記セキュア・インターフェース・コントロールによって、前記コンピューティング・システム内の前記１つまたは複数のシステム設定の前記存在または前記欠如を決定することと、
   前記セキュア・インターフェース・コントロールによって、前記１つまたは複数のコントロールと、前記１つまたは複数のシステム設定の前記存在または前記欠如とに基づいて、前記ハイパーバイザが前記インスタンスを実行することが許可されるかどうかを決定することと、
   前記ハイパーバイザが前記インスタンスを実行することが許可されるとの決定に基づいて、前記セキュア・インターフェース・コントロールによって、前記傍受されたコマンドを前記ハイパーバイザに中継することに基づいて、前記コンピューティング・システムにおいて、前記ハイパーバイザによる前記インスタンスの起動を可能にすることと、
   前記ハイパーバイザが前記インスタンスを実行することが許可されないとの決定に基づいて、前記セキュア・インターフェース・コントロールによって、前記コマンドを無視することと
   を含む方法。
2. 前記メタデータを取得することは、
   前記セキュア・インターフェース・コントロールによって、前記セキュア・ゲストの前記イメージに結び付けられた前記メタデータの一部分を復号することであって、前記メタデータは完全性が保護され、前記セキュア・ゲストのブートイメージの暗号化対策を備えた前記一部分は、秘密鍵を用いて導き出された鍵によって暗号化されている、前記復号すること
   をさらに含む、請求項１に記載のコンピュータによって実施される方法。
3. 前記メタデータの前記暗号化された部分は、前記１つまたは複数のコントロールを備える、請求項１または２に記載のコンピュータによって実施される方法。
4. 前記１つまたは複数のコントロールの各コントロールは、環境的制約を備える、請求項１ないし３のいずれか一項に記載のコンピュータによって実施される方法。
5. 前記環境的制約は、ハードウェア測定を行うように構成されたシステム、および非システム固有ホスト鍵を用いるように構成されたシステムからなる群から選択される、請求項４に記載のコンピュータによって実施される方法。
6. 前記秘密鍵は、前記セキュア・インターフェース・コントロールによって所有され、前記セキュア・インターフェース・コントロールによって排他的に用いられる、請求項２に記載のコンピュータによって実施される方法。
7. 前記秘密鍵を用いて導き出された前記鍵は、前記セキュア・インターフェース・コントロールと前記所有者との間で共有される、請求項６に記載のコンピュータによって実施される方法。
8. 前記メタデータは、耐衝突性一方向関数を利用して計算された、前記セキュア・ゲストのブートイメージから導き出された値を備える、請求項１ないし７のいずれか一項に記載のコンピュータによって実施される方法。
9. 前記１つまたは複数のコントロールはそれぞれ、所与のシステム設定に対してポジティブ指定またはネガティブ指定を備え、前記ポジティブ指定は、前記セキュア・ゲストの前記インスタンスが前記所与のシステム設定を備えた前記コンピューティング・システム内で実行することが許可されたことを示し、前記ネガティブ指定は、前記セキュア・ゲストの前記インスタンスが前記所与のシステム設定を備えた前記コンピューティング・システム内で実行することが許可されないことを示す、請求項１ないし８のいずれか一項に記載のコンピュータによって実施される方法。
10. 前記メタデータは、前記セキュア・ゲストの前記インスタンスにはアクセス不可能である、請求項１ないし９のいずれか一項に記載のコンピュータによって実施される方法。
11. 前記ハイパーバイザが前記インスタンスを実行することが許可されるかどうかを決定することは、
    前記セキュア・インターフェース・コントロールによって、前記１つまたは複数のコントロールのうちの、前記１つまたは複数のシステム設定の設定に関連したコントロールを識別することと、
    前記セキュア・インターフェース・コントロールによって、前記コントロールに基づいて、前記コントロールが、前記インスタンスを実行することを可能にするかそれとも制限するかを決定することと
    をさらに含む、請求項１ないし１０のいずれか一項に記載のコンピュータによって実施される方法。
12. 前記セキュア・インターフェース・コントロールによって、前記インスタンスの実行時の間に前記１つまたは複数のシステム設定を監視することと、
    前記セキュア・インターフェース・コントロールによって、前記１つまたは複数の設定の少なくとも１つの設定が前記実行時の間に変化したと決定することと、
    前記セキュア・インターフェース・コントロールによって、前記少なくとも１つの設定に関連した前記１つまたは複数のコントロールの所与のコントロールを識別することと、
    前記セキュア・インターフェース・コントロールによって、前記少なくとも１つの設定および前記所与のコントロールに基づいて、前記ハイパーバイザが前記インスタンスを実行することが許可されたかどうかを決定することと
    をさらに含む、請求項１ないし１１のいずれか一項に記載のコンピュータによって実施される方法。
13. 前記ハイパーバイザが前記インスタンスを実行することが許可されないとの決定に基づいて、前記セキュア・インターフェース・コントロールによって、前記ハイパーバイザを通じて、前記インスタンスを終了させること
    をさらに含む、請求項１２に記載のコンピュータによって実施される方法。
14. 前記ハイパーバイザによって前記セキュア・ゲストの前記イメージからの前記セキュア・ゲストの前記インスタンスを起動する前記コマンドを傍受することは、
    セキュア・インターフェース・コントロールによって、前記メタデータに対して完全性チェックを行うことと、
    前記完全性チェックが成功裏に完了したことに基づいて、前記セキュア・インターフェース・コントロールによって、前記メタデータ内の前記１つまたは複数のコントロールを読み出すことと
    をさらに含む、請求項１ないし１３のいずれか一項に記載のコンピュータによって実施される方法。
15. コンピュータ・プログラム製品であって、
    １つまたは複数のプロセッサによって読み出し可能であり、方法を行うための前記１つまたは複数のプロセッサによる実行のための命令を記憶したコンピュータ可読記憶媒体を備え、前記方法は、
    コンピューティング・システム内の１つまたは複数のプロセッサによってメタデータを取得することであって、前記１つまたは複数のプロセッサは、ハイパーバイザに通信可能に結合され、前記ハイパーバイザは、１人または複数のゲストを管理し、前記メタデータは、所有者のセキュア・ゲストのイメージに結び付けられ、前記ハイパーバイザによって管理され、前記メタデータは、１つまたは複数のコントロールを備え、前記１つまたは複数のコントロールの各コントロールは、前記１つまたは複数のプロセッサに、前記コンピューティング・システム内の１つまたは複数のシステム設定の存在または欠如に基づいて、前記コンピューティング・システム内の前記イメージを用いて生成されたセキュア・ゲストのインスタンスを前記ハイパーバイザが実行することが許可されるかどうかを示す、前記取得することと、
    前記１つまたは複数のプロセッサによって、前記ハイパーバイザによる、前記セキュア・ゲストの前記イメージからの前記セキュア・ゲストの前記インスタンスを起動するコマンドを傍受することと、
    前記１つまたは複数のプロセッサによって、前記コンピューティング・システム内の前記１つまたは複数のシステム設定の前記存在または前記欠如を決定することと、
    前記１つまたは複数のプロセッサによって、前記１つまたは複数のコントロールと、前記１つまたは複数のシステム設定の前記存在または前記欠如とに基づいて、前記ハイパーバイザが前記インスタンスを実行することが許可されるかどうかを決定することと、
    前記ハイパーバイザが前記インスタンスを実行することが許可されるとの決定に基づいて、前記１つまたは複数のプロセッサによって、前記傍受されたコマンドを前記ハイパーバイザに中継することに基づいて、前記コンピューティング・システムにおいて、前記ハイパーバイザによる前記インスタンスの起動を可能にすることと、
    前記ハイパーバイザが前記インスタンスを実行することが許可されないとの決定に基づいて、前記１つまたは複数のプロセッサによって、前記コマンドを無視することと
    を含む、コンピュータ・プログラム製品。
16. 前記メタデータを取得することは、
    前記１つまたは複数のプロセッサによって、前記セキュア・ゲストの前記イメージに結び付けられた前記メタデータの一部分を復号することであって、前記メタデータは完全性が保護され、前記セキュア・ゲストのブートイメージの暗号化対策を備えた前記一部分は、秘密鍵を用いて導き出された鍵によって暗号化されている、前記復号すること
    をさらに含む、請求項１５に記載のコンピュータ・プログラム製品。
17. 前記メタデータの前記暗号化された部分は、前記１つまたは複数のコントロールを備える、請求項１６に記載のコンピュータ・プログラム製品。
18. 前記１つまたは複数のコントロールの各コントロールは、環境的制約を備える、請求項１５ないし１７のいずれか一項に記載のコンピュータ・プログラム製品。
19. 前記環境的制約は、ハードウェア測定を行うように構成されたシステム、および非システム固有ホスト鍵を用いるように構成されたシステムからなる群から選択される、請求項１８に記載のコンピュータ・プログラム製品。
20. コンピュータ・システムであって、
    メモリと、
    前記メモリと通信する１つまたは複数のプロセッサと、
    方法を行うために、前記メモリを通じて前記１つまたは複数のプロセッサによって実行可能なプログラム命令と
    を備え、前記方法は、
    前記コンピューティング・システム内の１つまたは複数のプロセッサによってメタデータを取得することであって、前記１つまたは複数のプロセッサは、ハイパーバイザに通信可能に結合され、前記ハイパーバイザは、１人または複数のゲストを管理し、前記メタデータは、所有者のセキュア・ゲストのイメージに結び付けられ、前記ハイパーバイザによって管理され、前記メタデータは、１つまたは複数のコントロールを備え、前記１つまたは複数のコントロールの各コントロールは、前記１つまたは複数のプロセッサに、前記コンピューティング・システム内の１つまたは複数のシステム設定の存在または欠如に基づいて、前記コンピューティング・システム内の前記イメージを用いて生成されたセキュア・ゲストのインスタンスを前記ハイパーバイザが実行することが許可されるかどうかを示す、前記取得することと、
    前記１つまたは複数のプロセッサによって、前記ハイパーバイザによる、前記セキュア・ゲストの前記イメージからの前記セキュア・ゲストの前記インスタンスを起動するコマンドを傍受することと、
    前記１つまたは複数のプロセッサによって、前記コンピューティング・システム内の前記１つまたは複数のシステム設定の前記存在または前記欠如を決定することと、
    前記１つまたは複数のプロセッサによって、前記１つまたは複数のコントロールと、前記１つまたは複数のシステム設定の前記存在または前記欠如とに基づいて、前記ハイパーバイザが前記インスタンスを実行することが許可されるかどうかを決定することと、
    前記ハイパーバイザが前記インスタンスを実行することが許可されるとの決定に基づいて、前記１つまたは複数のプロセッサによって、前記傍受されたコマンドを前記ハイパーバイザに中継することに基づいて、前記コンピューティング・システムにおいて、前記ハイパーバイザによる前記インスタンスの起動を可能にすることと、
    前記ハイパーバイザが前記インスタンスを実行することが許可されないとの決定に基づいて、前記１つまたは複数のプロセッサによって、前記コマンドを無視することと
    を含む、コンピュータ・システム。

Images