JP2022549628A

JP2022549628A - コンピュータシステムリソースの任意のグループ化

Info

Publication number: JP2022549628A
Application number: JP2022518383A
Authority: JP
Inventors: ハーベスフ，サイラス; カバッリ，マルコ
Original assignee: Google LLC
Current assignee: Google LLC
Priority date: 2019-09-23
Filing date: 2020-09-22
Publication date: 2022-11-28
Anticipated expiration: 2040-09-22
Also published as: WO2021061610A1; US11743126B2; US20220376981A1; US20210297315A1; CN117194044A; JP7502420B2; US20210092016A1; US11438235B2; US11038762B2; CN114365131A; KR20220061244A; EP4035005A1; CN114365131B; US20240022475A1

Abstract

コンピュータシステムリソース（１４０）を任意でグループ分けする方法（３００）は、ユーザ（１１０）に関連付けられるリソースのグループに適用されるべきリソースポリシー（２２２）を受けるステップを含む。リソースポリシーは、リソースのグループのうちの各リソースに割り当てられる固有のユーザ既定ラベル（２１６）を含む。この方法はまた、ユーザ既定ラベルを用いて、複数のリソースの中からリソースのグループを特定するステップを含む。ここで、複数のリソースは、ユーザに関連付けられ、複数の異なるコンピューティング環境に分散されている。この方法は、リソースのグループのうちの特定された各リソースごとに、対応する特定されたリソースが存在するそれぞれのコンピューティング環境にアクセスすることにより、対応する特定されたリソースにリソースポリシーを適用するステップを含む。

Description

本開示は、コンピュータシステムリソースを任意でグループ化することに関する。

背景
コンピューティング環境（たとえばクラウドコンピューティング）を利用するユーザが増加すると、ユーザが別々のコンピューティング環境内のリソースを有するまたは使用する可能性が高くなる。コンピューティング環境についての選択肢の増加は、イノベーションおよび／または費用対効果が高いコンピューティング環境プロバイダをもたらす可能性があるが、残念ながらリソース管理の潜在的な問題を呈している。例として、コンピューティング環境は、プロプライエタリ特徴またはプロバイダごとに異なる特徴を有する場合がある。たとえ小さな相違であっても、ユーザのリソースの構成がすべてのコンピューティングプラットフォームわたって一貫性を欠くことは避けられないであろう。このような一貫性の欠落があると、ユーザは、特にプロバイダを変更するまたはプロバイダを統合すると決断した場合に、ユーザ自身の管理方法で対応し続けることになる可能性がある。

概要
本開示の一局面は、コンピュータシステムリソースを任意でグループ化する方法を提供する。この方法は、データ処理ハードウェアにおいて、ユーザに関連付けられるリソースのグループに適用されるべきリソースポリシーを受けるステップを含む。リソースポリシーは、リソースのグループのうちの各リソースに割り当てられる固有のユーザ既定ラベルを含む。この方法はまた、データ処理ハードウェアが、ユーザ既定ラベルを用いて、複数のリソースの中からリソースのグループを特定するステップを含む。複数のリソースは、ユーザに関連付けられ、データ処理ハードウェアと通信する複数の異なるコンピューティング環境に分散される。この方法は、リソースのグループのうちの特定された各リソースごとに、データ処理ハードウェアが、対応する特定されたリソースが存在するそれぞれのコンピューティング環境にアクセスすることにより、対応する特定されたリソースにリソースポリシーを適用するステップを含む。

本開示の実装形態は、以下の任意の特徴のうちの１つ以上を含み得る。いくつかの実装形態において、固有のユーザ既定ラベルは、キー・バリューペア（key-value pair）を含む。リソースポリシーは、固有のユーザ既定ラベルのキー・バリューペアのうちのキー（key）に対する制約を含み得る。これに加えてまたはこれに代えて、リソースポリシーは、ラベルのキー・バリューペアのうちの値（value）に対する制約を含み得る。任意で、リソースポリシーは、キー・バリューペアのうちのキーに対する第１のポリシーと、キー・バリューペアのうちの値に対する第２のポリシーとを含み得る。

いくつかの例において、リソースポリシーは、アクセスコントロールポリシー、ファイアウォールポリシー、ネットワーキングポリシー、またはクォータポリシーのうちの少なくとも１つを含む。複数のコンピューティング環境は、少なくとも１つのプライベートコンピューティング環境と、少なくとも１つのパブリックコンピューティング環境とを含み得る。データ処理ハードウェアは、オンプレミスコンピューティング環境、プライベートコンピューティング環境、およびパブリッククラウドベースコンピューティング環境と通信するように構成されてもよい。複数のリソースは、仮想マシン、データベース、キー・バリューストア、またはネットワークのうちの少なくとも１つを含み得る。

本開示の別の局面は、コンピューティング環境におけるコンピュータシステムリソースにポリシーを適用する方法を提供する。この方法は、データ処理ハードウェアにおいて、ユーザに関連付けられるリソースのグループに適用されるべきリソースポリシーを受けるステップを含む。リソースポリシーは、リソースのグループのうちの各リソースに割り当てられる固有のユーザ既定ラベルを含む。固有のユーザ既定ラベルはキー・バリューペアを含む。この方法はさらに、データ処理ハードウェアが、固有のユーザ既定ラベルを用いて、複数のリソースの中からリソースのグループを特定するステップを含み、複数のリソースは、ユーザに関連付けられる。この方法はまた、リソースのグループのうちの特定された各リソースごとに、データ処理ハードウェアが、固有のユーザ既定ラベルのキー・バリューペアを管理することにより、対応する特定されたリソースにリソースポリシーを適用するステップを含む。

この局面は、以下の任意の特徴のうちの１つ以上を含み得る。いくつかの構成において、リソースポリシーは、固有のユーザ既定ラベルのキー・バリューペアのうちのキーに対する制約を含む。リソースポリシーは、ラベルのキー・バリューペアのうちの値に対する制約を含み得る。また、リソースポリシーは、キー・バリューペアのうちのキーに対する第１のポリシーと、キー・バリューペアのうちの値に対する第２のポリシーとを含み得る。リソースポリシーは、アクセスコントロールポリシー、ファイアウォールポリシー、ネットワーキングポリシー、またはクォータポリシーのうちの少なくとも１つを含み得る。任意で、複数のリソースは、仮想マシン、データベース、キー・バリューストア、またはネットワークのうちの少なくとも１つを含み得る。

本開示のもう１つの局面は、コンピュータシステムリソースを任意でグループ分けするためのシステムを提供する。このシステムは、データ処理ハードウェアと、データ処理ハードウェアと通信するメモリハードウェアとを備える。メモリハードウェアは、データ処理ハードウェア上で実行されるとデータ処理ハードウェアに動作を実行させる命令を格納する。この動作は、ユーザに関連付けられるリソースのグループに適用されるべきリソースポリシーを受けることを含み、リソースポリシーは、リソースのグループのうちの各リソースに割り当てられる固有のユーザ既定ラベルを含む。上記動作はまた、ユーザ既定ラベルを用いて、複数のリソースの中からリソースのグループを特定することを含む。複数のリソースは、ユーザに関連付けられ、データ処理ハードウェアと通信する複数の異なるコンピューティング環境に分散される。上記動作はまた、リソースのグループのうちの特定された各リソースごとに、対応する特定されたリソースが存在するそれぞれのコンピューティング環境にアクセスすることにより、対応する特定されたリソースにリソースポリシーを適用することを含む。

この局面は、以下の任意の特徴のうちの１つ以上を含み得る。いくつかの実装形態において、固有のユーザ既定ラベルはキー・バリューペアを含む。リソースポリシーは、固有のユーザ既定ラベルのキー・バリューペアのうちのキーに対する制約を含み得る。これに加えてまたはこれに代えて、リソースポリシーは、ラベルのキー・バリューペアのうちの値に対する制約を含み得る。任意で、リソースポリシーは、キー・バリューペアのうちのキーに対する第１のポリシーと、キー・バリューペアのうちの値に対する第２のポリシーとを含み得る。

本開示のさらにもう１つの局面は、コンピュータシステムリソースを任意でグループ分けするためのシステムを提供する。このシステムは、データ処理ハードウェアと、データ処理ハードウェアと通信するメモリハードウェアとを備える。メモリハードウェアは、データ処理ハードウェア上で実行されるとデータ処理ハードウェアに動作を実行させる命令を格納する。この動作は、ユーザに関連付けられるリソースのグループに適用されるべきリソースポリシーを受けることを含む。リソースポリシーは、リソースのグループのうちの各リソースに割り当てられる固有のユーザ既定ラベルを含む。固有のユーザ既定ラベルはキー・バリューペアを含む。この動作はまた、ユーザ既定ラベルを用いて、複数のリソースの中からリソースのグループを特定することを含み、複数のリソースは、ユーザに関連付けられる。この動作はまた、リソースのグループのうちの特定された各リソースごとに、固有のユーザ既定ラベルのキー・バリューペアを管理することにより、対応する特定されたリソースにリソースポリシーを適用することを含む。

本開示の１つ以上の実装形態の詳細が、添付の図面および以下の説明に記載される。他の局面、特徴、および利点は、この説明および図面ならびに請求項から明らかになるであろう。

マルチ環境システムの例の概略図である。マルチ環境システムの例の概略図である。環境マネージャの例の概略図である。環境マネージャの例の概略図である。環境マネージャ層または環境層のいずれかとやり取りするユーザの概略図である。環境マネージャの動作の構成の一例の図である。コンピューティング環境内のリソースにポリシーを適用する動作の構成の一例の図である。本明細書に記載のシステムおよび方法を実現するために使用し得るコンピューティングデバイスの一例の概略図である。

各種図面において同様の参照符号は同様の要素を示す。
詳細な説明
現代の人々（ユーザまたは顧客とも呼ばれる）は、一般的に、複数のコンピューティング環境（たとえばクラウドベースのコンピューティング環境）にわたって実行されるコンピューティングリソースを有する。個々の各コンピューティング環境は、顧客がこのコンピューティング環境内のリソースとやり取りするのを容易にする、自身の固有のインターフェイスを有する場合がある。例として、このインターフェイスは、コンピューティングインスタンスの作成方法またはリソースに対するポリシーの既定方法を容易にする。ユーザは自身のリソースのために２つ以上のコンピューティング環境を利用する場合があるので、これらのコンピューティング環境のためのインターフェイス間の相違は、ユーザのリソースに対する管理能力のばらつきにつながる可能性がある。言い換えると、ユーザは、複数のコンピューティング環境にまたがってリソースを有している場合、管理の限界が原因でまたは特定のコンピューティング環境におけるリソース管理のプロプライエタリ形態が原因で、ユーザのリソースのすべてを同じやり方で（たとえば単一のインターフェイスを用いて）管理することができない場合がある。せいぜい、可能であればユーザ自身の一貫したリソース管理を維持する負担をユーザが負うぐらいである。

図１Ａは、ユーザのリソースのための従来のマルチ環境システム１００、１００ａの一例である。ここで、ユーザ１１０は、ユーザデバイス１１２（たとえばコンピュータ、ラップトップ、タブレット、携帯電話、ウェアラブル、スマートデバイスなど）を用い、ネットワーク１２０を通じて、ユーザのリソース１４０が存在する１つ以上のコンピューティング環境１３０（たとえばクラウドコンピューティング環境）と通信する。ユーザ１１０は、一般的に、１つ以上のコンピューティングリソース１４０を所有するまたは１つ以上のコンピューティングリソース１４０にアクセスするおよび／またはこれを管理する何らかの権利を有するエンティティを意味する。例として、ユーザ１１０は、１つ以上のコンピューティング環境プロバイダ（たとえばクラウドコンピューティングサービスプロバイダ）の顧客である。ユーザ１１０は、ユーザ１１０のさまざまな活動に基づいて、複数のコンピューティング環境１３０に分散したリソース１４０を有する場合がある。いくつかの例において、ユーザ１１０は、１つ以上のコンピューティング環境１３０にわたるリソース１４０とやり取りする数人の従業員を含み得る企業（たとえば組織）を意味する。例として、企業は、リソース１４０を統括するさまざまな営業所、チーム、部門、事業単位、または職務を伴う組織である。言い換えると、ユーザ１１０は、一人の人物または人々のグループを意味する場合がある。

ユーザ１１０のリソース１４０は、一般的に、ネットワーク、サーバ、ストレージ（たとえばデータベース、データストア、キー・バリューストア）、仮想マシン（ＶＭ）等のコンピューティングリソース、またはアプリケーションおよびサービス（たとえばクラスタ）に関連するその他のリソースを意味する。たとえば、図１Ａおよび図１Ｂは、各コンピューティング環境１３０内の、サーバ、ＶＭ、およびデータベース等のリソース１４０、１４０ａ～１４０ｎとやり取りするユーザ１１０を示している。ユーザ１１０は、ユーザデバイス１１２上で実行可能なアプリケーション（たとえばウェブブラウザアプリケーション）を用いてこれらのリソース１４０とやり取りしてもよい。示されている各コンピューティング環境１３０には同様の数のリソース１４０があるが、コンピューティング環境１３０内のリソース１４０の数は、異なっていてもよくおよび／または増減可能であってもよく、そうすることで、コンピューティング環境１３０は、ユーザ１１０の任意の数のリソース１４０を（たとえばコンピューティング環境１３０間で釣り合いが取れていてもいなくても）有することができる。

ユーザ１１０は、リソース１４０に関連する機能をホストする、記憶する、または実行する環境として、いくつかの異なるコンピューティング環境１３０を用いることができる。たとえば、コンピューティング環境１３０のうちの１つ以上は、クラウドコンピューティング環境に対応する。ここで、コンピューティング環境１３０のタイプは異なっていてもよいが、一般的に、コンピューティング環境１３０は、リソース（たとえば最小限の管理作業またはサービスプロバイダとのやり取りを伴うリソース１４０）をプロビジョニングするための簡便でオンデマンドの環境をネットワークアクセスとともに提供しようとする。コンピューティング環境１３０のいくつかの例は、パブリックコンピューティング環境ＰｕｂＥ（たとえばコンピューティング環境１３０、１３０ａ～１３０ｄ）またはプライベートコンピューティング環境ＰｒｉｖＥ（たとえばコンピューティング環境１３０、１３０ｅ）を含む。パブリックコンピューティング環境ＰｕｂＥは、コンピューティング環境１３０内のコンピューティングハードウェア（たとえばデータ処理ハードウェアまたはメモリハードウェア）への共有アクセスとともに一般大衆に提供されるコンピューティング環境１３０を意味する。一方、プライベートコンピューティング環境ＰｒｉｖＥは、コンピューティング環境１３０にアクセスすることを許可された１以上のユーザ１１０のための排他的コンピューティング環境１３０を意味する。いくつかの例において、ユーザ１１０は、セキュリティ上の理由でまたは場合によっては各種データ規定に従うために（たとえばプライベートデータの安全を確保するために）プライベートコンピューティング環境ＰｒｉｖＥを使用する。プライベートコンピューティング環境ＰｒｉｖＥは、コンピューティング環境プロバイダによって特別なカスタマイズにより構成されてもよく、またはパブリックコンピューティング環境ＰｕｂＥ内に作られたリソースパーティションに由来するものでもよい。

コンピューティング環境１３０のもう１つの例は、オンプレミスコンピューティング環境１３０である。オンプレミスコンピューティング環境１３０は、一般的に、ユーザ１１０のロケーションでセットアップされるコンピューティング環境１３０を意味する。そのロケーションに基づいたこのタイプのコンピューティング環境１３０は、一般的には私用であるが、構成によってはより一般にアクセス可能であってもよく、または限られた範囲でアクセス可能であってもよい。ユーザ１１０はさまざまな理由でコンピューティング環境１３０を使用する可能性があるので、ユーザ１１０は、さまざまな種類のコンピューティング環境１３０とやり取りする必要がある。例として、図１Ａおよび図１Ｂは、４つのパブリックコンピューティング環境１３０ａ～１３０ｄと、１つのプライベートコンピューティング環境１３０ｅとを示している。たとえユーザ１１０がユーザ自身のプライベートコンピューティング環境ＰｒｉｖＥを持つことを好むことがあっても、それは（たとえばコストの観点で）妥当ではないまたはすべての状況において難しい場合があり、結果として、ユーザ１１０は複数のタイプのコンピューティング環境１３０に関連付けられたリソース１４０を持つことになる可能性がある。

各コンピューティング環境１３０は、コンピューティング環境１３０内に存在するリソース１４０の管理のために、異なる構成を有していてもよい。これらの構成は、コンピューティング環境１３０内での動作についてガイドラインを記述したポリシー１３２を規定してもよい。ポリシー１３２は、インテグリティ（たとえば、リソースインテグリティ、または、コンピューティング環境全体としてのより包括的なインテグリティ）、セキュリティ、プライバシー、財務管理、コスト最適化、性能管理などに対して構成されてもよい。いくつかのポリシー１３２は制約に基づく（たとえばリソース１４０の動作方法を制限する）。言い換えると、制約は、リソースの使用または動作を制限するポリシーを意味する。例として、アクセスコントロールポリシー１３２_ＡＣＰ（ＡＣＰ）は、どのエンティティが１つ以上のリソース１４０にアクセスしてよいかおよび／または１つ以上のリソース１４０をコントロールしてよいかを指定する。ポリシー１３２の他の例は、ファイアウォールポリシー（たとえばネットワークトラフィックを遮断／許可する）、ネットワーキングポリシー（たとえばネットワークアクセスについてのルール）、またはクォータポリシー（たとえばリソース配分／使用を指示する割り当て量（クォータ（quota））を含む。ポリシー１３２は、リソース１４０に固有であってもよく、またはリソース１４０の特徴（たとえばリソース１４０のタイプ、リソース１４０の所有者、リソース１４０の機能など）であってもよく、またはより広範囲に適用されてもよい（たとえばコンピューティング環境１３０に対するユニバーサルポリシー１３２）。いくつかの例において、コンピューティング環境１３０のアドミニストレータは、１つ以上のポリシー１３２を構成する。いくつかの実装形態において、ユーザ１１０は１つ以上のポリシー１３２を構成する（たとえば異なるリソース１４０に対してポリシー１３２をカスタマイズする）。さらに他の例において、ポリシー１３２は、アドミニストレータとユーザ１１０との組み合わせによって設定される。

いくつかの例において、コンピューティング環境１３０は、リソース１４０をリソース識別子（ＩＤ）１３４で管理する。リソースＩＤ１３４は、リソース１４０、（たとえばコンピューティング環境１３０のユーザ１１０またはアドミニストレータによって）リソース１４０に割り当てられた固有識別子（ＵＩＤ）、および／またはリソース１４０のための何らかの形態のラベルまたはタグを含み得る。たとえば、コンピューティング環境１３０の設計者は、コンピューティング環境１３０の構成中および／または（たとえばユーザ１１０への）リソース１４０の割り当て中に、リソースＩＤ１３４を生成する。いくつかの例において、リソースＩＤ１３４は、コンピューティング環境１３０内のリソース１４０のロケーションを含む。ユーザ１１０にとっては不運なことに、各コンピューティング環境１３０は、自身の形式のリソースＩＤ１３４を含むかまたはそれを欠いていることが多い。例として、従来のマルチ環境システム１００ａの図１Ａは、各コンピューティング環境１３０ごとに異なるリソースＩＤシステム（たとえばリソースＩＤ１３４、１３４ｅ）を示している。言い換えると、いくつかのリソースＩＤ１３４は、コンピューティング環境１３０専用の場合がある、または管理の基準の程度が変化する場合がある。単一のコンピューティング環境１３０内でこれらのリソースＩＤ１３４が一致していない可能性があるので、または、複数のコンピューティング環境１３０の中で異なるタイプのリソースＩＤ１３４間の相互互換性の問題があるので、リソースＩＤ１３４によるリソース１４０の全般的な管理は非常に難しいことがある。

少なくともこれらの理由から、リソースＩＤレベルでのユニバーサルポリシー管理は、一般的に不都合である。例として、いくつかのコンピューティング環境１３０は、リソースＩＤ１３４を含むが、リソースＩＤレベルでポリシー１３２が適用されるのを許可しない。他のコンピューティング環境１３０は、リソースＩＤ１３４を有するが、これらのリソースＩＤはコンピューティング環境１３０間の相互互換性がない。加えて、一般的な互換性の問題に加えて、コンピューティング環境１３０がリソースＩＤ１３４を有する場合、これらのコンピューティング環境１３０は、リソースＩＤ１３４の基本的詳細または特徴等のリソースＩＤ１３４の内容に、ポリシー１３２を適用する手段を持っていない。アクセスコントロールのようなポリシー１３２は、実質的に適用されなければ、セキュリティまたはプライバシーの目的で大規模に実現するのが負担になる。これらの問題のうちのいくつかを克服するために、管理層２０２の環境マネージャ２００（マネージャ２００とも呼ぶ）は、リソースＩＤ１３４の構造を管理しこの構造を利用して１つ以上のコンピューティング環境１３０にまたがるポリシー１３２を作成するように構成される。

図１Ｂは、マルチ環境システム１００、１００ｂが層１０２、２０２を含み管理層２０２上のマネージャ２００が環境層２０２上の１つ以上のコンピューティング環境１３０、１３０ａ～１３０ｅを管理することを除いて、図１Ａと同様である。管理層２０２は、複数の異なるコンピューティング環境１３０との相互運用が可能な（すなわち環境層２０２との相互運用が可能な）抽象化層を意味する。例として、マネージャ２００は、ラベラ（labeler）２１０およびポリシーメーカー２２０の機能を実行するためにコンピューティング環境１３０にアクセスすることができる。ここで、環境層１０２は、１つ以上のコンピューティング環境１３０（たとえば異なるコンピューティング環境１３０、１３０ａ～１３０ｅ）を含む層を意味する。図１Ｂは５つのコンピューティング環境１３０ａ～１３０ｅと通信するマネージャ２００を示しているが、マネージャ２００は、さまざまな程度の拡大縮小（たとえばより多くのまたはより少ないコンピューティング環境１３０）を可能にするために任意の数のコンピューティング環境１３０と通信してもよい。

いくつかの例において、ラベラ２１０は、ユーザ１１０のリソース１４０のラベル構造２１２を規定するように構成される。ここで、ラベル構造２１２は、リソース１４０の名前空間を意味する。ラベル構造２１２のいくつかの例は、キー・バリューペア２１４のような連想アレイを含む。キー・バリューペア２１４は、キーインデックス（すなわちキー２１４、２１４_Ｋ）を特定のデータ値（すなわち値２１４、２１４_Ｖ）にマッピングするラベル構造２１２である。キー２１４_Ｋおよび値２１４_Ｖの両方が全体として特定のラベル２１６を規定してもよい。より一般的に言えば、ラベル２１６（図２Ａ）は、名前空間内の固有のユーザ定義文字列を意味する。マネージャ２００の一部として、ラベラ２１０は、マネージャ２００と通信する任意の数のコンピューティング環境１３０（たとえばすべてのコンピューティング環境１３０）にわたってラベル構造２１２（またはより具体的には所与のラベル２１６）を適用および／または管理することができる。例として、図１Ｂは、環境層１０２の各コンピューティング環境１３０内のラベル構造２１２、２１２ａ～２１２ｅを点線で示す。言い換えると、ユーザ１１０は（たとえばラベラ２１０を通して）、ユーザ１１０が各コンピューティング環境１３０においてそのようなラベル構造２１２を管理しなくても、自身のリソース１４０に適用することができる標準ラベル構造２１２を生成してもよい。いくつかの例において、ユーザ１１０は、マネージャ２００において、ラベル構造２１２を（たとえばユーザ１１０のすべてのリソース１４０に）広く適用するか、または、ユーザ１１０のすべてのリソース１４０のサブセットに（たとえば１つのリソース１４０またはリソース１４０のグループに）より選択的に適用するかを、管理する。ユーザデバイス１１２は、ユーザ１１０がマネージャ２００とやり取りできるようにするために、ユーザインターフェイスを実現するアプリケーションを実行してもよい。いくつかの実装形態において、ポリシーメーカー２２０は、リソースポリシー２２２を生成するように構成される。ここで、ポリシー１３２がリソース１４０に影響を及ぼす場合、（たとえば、図１Ｂに示すように）これをリソースポリシー２２２と呼ぶことができる。いくつかの例において、マネージャ２００は、ラベル構造２１２に従って形成された所与のラベル２１６に対して１つ以上のリソースポリシー２２２、２２２ａ～２２２ｅをポリシーメーカー２２０に生成させることにより、１つ以上のコンピューティング環境１３０にわたってラベル構造２１２の作成を推進する。この方法を用いると、リソース１４０を、ラベルレベルで作用するリソースポリシー２２２を通して制御することができる。さらに、マネージャ２００は、ユーザ１１０のリソース１４０がラベル２１６を用いてラベル付けまたは更新されると、ユーザ１１０のためのリソースポリシー２２２を中央制御してもよい。中央制御により、マネージャ２００は、ハイブリッドコンピューティング環境１３０が頻繁に成長または変化する場合であっても、これらのコンピューティング環境１３０にわたって一貫した管理経験を提供することができる。

図２Ａを参照して、いくつかの例において、ユーザ１１０は、マネージャ２００を使用してラベル２１６を（たとえばラベラ２１０で）生成し、リソースポリシー２２２を送ってリソース１４０を制御する。ここで、ユーザ１１０は、いくつかのリソース１４０に同一ラベル２１６または同一セットのラベル２１６を割り当てることにより、任意のグループ２３０、２３０ａ～２３０ｄを形成する。リソース１４０のグループ２３０について、次に、グループ２３０を、マネージャ２００のポリシーメーカー２２０が生成したリソースポリシー２２２を通して制御することができる。この方法を用いて、ラベル２１６をリソース階層（すなわちグルーピング２３０の階層）の上に重ね、マネージャ２００が、コントロール（たとえばアクセスコントロールポリシー１３２_ＡＣＰ）を、この階層全体のリソースポリシー２２２として生成できるようにしてもよい。さらに、異なるラベル２１６によって形成された別々のグループ２３０が、グループ２３０の役割または目的に応える別々のコントロールに対応していてもよい。

たとえば、図２Ａにおいて、ユーザ１１０は組織である。組織として、ユーザ１１０は、この組織の異なる単位または機能のためのリソース１４０を有する場合がある。たとえば、２人の従業員で形成されたテストチームは、組織のテストを実施するためにオンプレミスコンピューティング環境１３０内のリソース１４０、１４０ａ～１４０ｆを使用する。同様に、６人の従業員の製造チームは、プライベートコンピューティング環境ＰｒｉｖＥ内のリソース１４０、１４０ｇ～１４０ｊを有する／使用する。ここで、組織１１０は、マネージャ２００を用いて、これらの異なるチームのためのアクセスコントロールポリシー１３２_ＡＣＰを規定する。例として、ユーザ１１０は、「動作＝テスト」という同一のラベル２１６、２１６ａをリソース１４０ａ～１４０ｆに割り当てることにより、テストチームを第１のグループ２３０、２３０ａにグループ分けする。ここで、「動作」という文字はラベル２１６ａのキー２１４_Ｋを意味し、「テスト」という文字はラベル２１６ａの値２１４_Ｖを意味する。「動作＝テスト」というラベル２１６ａに対し、ユーザ１１０は、マネージャ２００を用いて、従業員Ａおよび従業員Ｂという２人の従業員で形成されたテストチーム固有の第１のリソースポリシー２２２、２２２ａを生成する。言い換えると、第１のリソースポリシー２２２ａは、従業員Ａおよび従業員Ｂがリソース１４０ａ～１４０ｆ（すなわち「動作＝テスト」でラベル付けされたリソース１４０ａ～１４０ｆ）にアクセスできるように制御されることを、規定する。

６人の従業員で形成された製造チームの場合、ユーザ１１０は、マネージャ２００を用いて、製造リソース１４０ｇ～１４０ｊに「動作＝製造」というラベル２１６ｂを割り当てることにより、製造グループ２３０、２３０ｂを形成する。ここで、ラベラ２１０は（たとえばユーザ１１０の入力により）、「動作」という同一のキー２１４_Ｋを「製造」という異なる値２１４_Ｖに割り当てることにより、テスト動作と製造動作とを区別する。製造グループ２３０ｂの場合、マネージャ２００は、製造グループ２３０ｂに適用されるべき第２のリソースポリシー２２２、２２２ｂを受け、このポリシーは、６人の従業員のうちの４人がグループ２３０ｂ内のすべてのリソース１４０ｇ～１４０ｊ（すなわち製造チームに属するすべてのリソース１４０ｇ～１４０ｊ）にアクセスできるように制御することができる。さらに一歩進むと、ユーザ１１０は、組織として、異なる製造リソース１４０（たとえば米国製造リソース１４０ｇ～１４０ｈおよび欧州製造リソース１４０ｉ～１４０ｊ）を使用する、米国での製造および欧州での製造を行う場合がある。ポリシー１３２をこれらの製造のサブ単位に適用できるようにするために、ユーザ１１０は、「Ｌｏｃ＝ＵＳ」という第３のラベル２１６、２１６ｃで米国製造リソース１４０ｇ～１４０ｈをラベル付けすることによって第３のグループ２３０、２３０ｃを形成し、「Ｌｏｃ＝ＥＵＲ」という第４のラベル２１６、２１６ｄで欧州製造リソース１４０ｉ～１４０ｊをラベル付けすることによって第４のグループ２３０、２３０ｄを形成する。ここで、第３のラベル２１６ｃおよび第４のラベル２１６ｄをリソースポリシー２２２、２２２ｃ～２２２ｄに割り当てることにより、マネージャ２００は、第５の従業員がリソース１４０ｇ～１４０ｈにアクセスできるようにし、第６の従業員がリソース１４０ｉ～１４０ｊにアクセスできるようにする。言い換えると、第５の従業員は、特殊な米国製造工場で、米国製造リソース１４０ｇ～１４０ｈへのアクセス権を、他の製造リソース１４０ｉ～１４０ｊへのアクセス権を受けることなく、受けてもよい。同じことが第６の従業員にも当てはまる。第６の従業員は、特殊な欧州製造工場で、欧州製造リソース１４０ｉ～１４０ｊへのアクセス権を、他の製造リソース１４０ｇ～１４０ｈ（たとえば米国製造リソース１４０ｇ～１４０ｈ）へのアクセス権を受けることなく、受けてもよい。この例において、すべての製造リソース１４０ｇ～１４０ｊへのアクセス権を受ける４人の従業員は、米国または欧州のいずれかの設備とインターフェイスししたがってグローバルアクセスを必要とする製造エンジニアであってもよい。

図２Ｂは、マネージャ２００が、リソースポリシー２２２を、グループ２３０内の各リソース１４０に、そのコンピューティング環境１３０に関係なく適用することを示すことで、マネージャ２００の機能をさらに詳しく説明している。より具体的には、マネージャ２００は、その環境層１０２との互換性を用いて、グループ２３０の各リソース１４０が存在するコンピューティング環境１３０にアクセスし、リソースポリシー２２２を適用することができる。図２Ｂのようないくつかの実装形態において、マネージャ２００は、複数のリソースポリシー２２２ａ～２２２ｃをユーザ１１０から受け、グループ２３０ａ～２３０ｃを形成する固有のユーザ既定ラベル２１６ａ～２１６ｃに適用する。ここで、図２Ｂは、リソース１４０を、図１Ｂの、これらのリソースに関連付けられたコンピューティング環境１３０とともに示す。この例において、ラベル２１６ａを有する第１のグループ２３０ａのリソース１４０ａ～１４０ｅは、第３のコンピューティング環境１３０ｃ内のリソース１４０ａおよび第１のコンピューティング環境１３０ａの４つのリソース１４０ｂ～１４０ｅに対応し、マネージャ２００は、第１のポリシー２２２ａを、これらのコンピューティング環境１３０ａ、１３０ｃの双方の中にあるリソース１４０に適用する。同様に、ラベル２１６ｂを有する第２のグループ２３０ｂのリソース１４０ｅ～１４０ｇは、第１のコンピューティング環境１３０ａ内のリソース１４０ｅ、第４のコンピューティング環境１３０ｄ内のリソース１４０ｆ、および第５のコンピューティング環境１３０ｅ内のリソース１４０ｇに対応する。第２のグループ２３０ｂの場合、マネージャ２００は、第２のポリシー２２２ｂを、これらの３つの環境１３０ａ、１３０ｄ、１３０ｅ内のリソース１４０ｅ～１４０ｇに適用する。第３のグループ２３０ｃの場合、ラベル２１６ｃを有するリソース１４０ｈ～１４０ｊは、第３のコンピューティング環境１３０ｃ内の３つのリソース１４０ｈ～１４０ｊに対応し、マネージャ２００は、第３のポリシー２２２ｃを第３のコンピューティング環境１３０ｃに適用する。

図２Ｂのようないくつかの例において、ポリシー（たとえば第３のポリシー２２２ｃ）は、ラベル２１６を形成するキー・バリューペア２１４のうちの一方または双方に適用される。言い換えると、マネージャ２００は、先に説明したように、ポリシー１３２を、ラベル２１６のキー２１４_Ｋ、ラベル２１６の値２１４_Ｖ、またはラベル２１６全体に適用するように構成される。アクセスコントロールポリシー１３２_ＡＣＰで説明すると、マネージャ２００は、ユーザ１１０から、特定のキー２１４_Ｋおよび／または値２１４_Ｖによるリソース２４０のラベル付け（またはグループ分け）を制御し得る人を制限するリソースポリシー２２２を受けることができる。この方法は、リソース１４０へのアクセス権を有する誰かがそのラベル２１６を有害なやり方で変更することを防止できる。図２Ａの組織を用いた場合、製造チームの技術メンバーは、欧州製造工場の製造従業員が、リソース１４０に割り当てるためのラベル２１６を欧州から米国に変更することを望まない場合がある。そのため、マネージャ２００は、欧州の従業員が「ＥＵＲ」という値２１４_Ｖを変更することを制限するアクセスコントロールポリシーであるリソースポリシー２２２を適用してもよい。これに加えてまたはこれに代えて、リソースポリシー２２２により、同じ従業員がキー２１４_Ｋを「Ｌｏｃ」から「動作」のキー２１４_Ｋに変更することを制限してもよい。

図２Ｃのようないくつかの構成において、ユーザ１１０は、１つのコンピューティング環境１３０ａを、環境管理層２０２では指示されていないラベル構造２１２に基づいてポリシー１３２を実現するように構成する。例として、ユーザ１１０は、特定のコンピューティング環境１３０のリソース１４０を優先的に使用する。これらの例において、ユーザ１１０は、マネージャ２００の管理経験を構成するのではなく、（たとえばこのユーザが頻繁に使用する）１つのコンピューティング環境１３０を、ラベル管理ポリシーを用いてセットアップしてもよい。１つのコンピューティング環境１３０であるものの、ユーザ１１０は、自身のリソース１４０を、ラベル２１６（たとえばキー・バリューペア２１４のラベル構造２１２を有するラベル２１６）をグループ２３０内の各リソース１４０に適用して（たとえばグループ２３０ｂに割り当てられたリソース１４０ｋ～１４０ｐとして示される）１つ以上のグループ２３０に分割することにより、管理してもよい。ユーザ１１０は、固有のユーザ既定ラベル２１６を用いて、リソースポリシー２２２ｃ～２２２ｄをラベル２１６（一般的に、キー２１４_Ｋ、値２１４_Ｖ、またはラベル２１６のいずれか）に割り当てて、（たとえばマネージャ２００と同じやり方で）グループ２３０に対するポリシー１３２を実現してもよい。また、図２Ｃは、ユーザ１１０が、（たとえばマネージャ２００を用いて）管理層２０２で管理する、または（たとえばユーザ自身の自発的な）環境層１０２での管理という選択肢を有し得ることを示している。

図３は、コンピュータシステムリソースを任意でグループ分けする方法３００の動作の構成の一例のフローチャートである。動作３０２において、方法３００は、環境管理システム２００で、ユーザ１１０に関連付けられるリソース１４０のグループ２３０に適用されるべきリソースポリシー２２２を受けることを含む。リソースポリシー２２２は、リソース１４０のグループ２３０のうちの各リソース１４０に割り当てられる固有のユーザ既定ラベル２１６（たとえば１つ以上の固有のユーザ既定ラベル２１６）を含む。動作３０４において、方法３００は、複数のリソース１４０の中からリソース１４０のグループ２３０を特定することを含み、複数のリソース１４０は、ユーザ１１０に関連付けられ、環境管理システム２００と通信する複数の異なるコンピューティング環境１３０に分散されている。動作３０６において、方法３００は、リソース１４０のグループ２３０のうちの特定された各リソース１４０ごとに、対応する特定されたリソースが存在するそれぞれのコンピューティング環境１３０にアクセスすることにより、対応する特定されたリソース１４０にリソースポリシー２２２を適用することを含む。

図４は、コンピューティング環境１３０内のリソース１４０にポリシー１３２を適用する方法４００の動作の構成の一例である。動作４０２において、方法４００は、ユーザ１１０に関連付けられるリソース１４０のグループ２３０に適用されるべきリソースポリシー２２２を受けることを含む。リソースポリシー２２２は、リソース１４０のグループ２３０のうちの各リソース１４０に割り当てられる固有のユーザ既定ラベル２１６（たとえば１つ以上の固有のユーザ既定ラベル２１６）を含む。ここで、固有のユーザ既定ラベル２１６はキー・バリューペア２１４を含む。動作４０４において、方法４００は、固有のユーザ既定ラベル２１６を用いて、ユーザ１１０に関連付けられる複数のリソース１４０の中からリソース１４０のグループ２３０を特定することを含む。動作４０６において、方法４００は、リソース１４０のグループ２３０のうちの特定された各リソース１４０ごとに、固有のユーザ既定ラベル２１６のキー・バリューペア２１４を管理することにより、対応する特定されたリソース１４０にリソースポリシー２２２を適用することを含む。

図５は、本明細書に記載のシステム（たとえばマネージャ２００）および方法（たとえば方法３００および／または方法４００）を実現するために使用し得る一例としてのコンピューティングデバイス５００の概略図である。コンピューティングデバイス５００は、ラップトップ、デスクトップ、ワークステーション、パーソナルデジタルアシスタント、サーバ、ブレードサーバ、メインフレーム、およびその他の適切なコンピュータ等の、各種形態のデジタルコンピュータを表わすことを意図している。ここに示されている構成要素、それらの接続および関係、ならびにそれらの機能は、具体例を意図しているだけであって、本明細書において記載および／またはクレームされている発明の実装を限定することを意図している訳ではない。

コンピューティングデバイス５００は、プロセッサ５１０（たとえばデータ処理ハードウェア）と、メモリ５２０（たとえばメモリハードウェア）と、記憶装置５３０と、メモリ５２０および高速拡張ポート５５０に接続する高速インターフェイス／コントローラ５４０と、低速バス５７０および記憶装置５３０に接続する低速インターフェイス／コントローラ５６０とを含む。構成要素５１０、５２０、５３０、５４０、５５０、および５６０の各々は、各種バスを用いて相互接続され、共通のマザーボード上に実装されてもよく、または必要に応じて他の方法で実装されてもよい。プロセッサ５１０は、コンピューティングデバイス５００内で実行するために命令を処理することができ、命令は、高速インターフェイス５４０に結合されたディスプレイ５８０等の外部入出力装置上のグラフィカルユーザインターフェイス（ＧＵＩ）のためのグラフィック情報を表示するためにメモリ５２０内または記憶装置５３０上に格納された命令を含む。他の実装形態において、複数のメモリおよび複数のタイプのメモリとともに、複数のプロセッサおよび／または複数のバスが必要に応じて使用されてもよい。また、複数のコンピューティングデバイス５００が接続されてもよく、各デバイスは（たとえばサーババンク、ブレードサーバのグループ、またはマルチプロセッサシステムとして）必要な動作の一部を提供する。

メモリ５２０は、コンピューティングデバイス５００内で情報を非一時的に格納する。メモリ５２０は、コンピュータ読取可能媒体、揮発性メモリユニット、または不揮発性メモリユニットであってもよい。非一時的なメモリ５２０は、コンピューティングデバイス５００が使用するプログラム（たとえば命令のシーケンス）またはデータ（たとえばプログラム状態情報）を一時的または永続的に格納するために使用される物理デバイスであってもよい。不揮発性メモリの例は、フラッシュメモリおよび読出専用メモリ（ＲＯＭ）／プログラマブル読出専用メモリ（ＰＲＯＭ）／消去可能プログラマブル読出専用メモリ（ＥＰＲＯＭ）／電子的消去可能プログラマブル読出専用メモリ（ＥＥＰＲＯＭ）（たとえば典型的にはブートプログラム等のファームウェアに使用される）を含むが、これらに限定されない。揮発性メモリの例は、ランダムアクセスメモリ（ＲＡＭ）、ダイナミックランダムアクセスメモリ（ＤＲＡＭ）、スタティックランダムアクセスメモリ（ＳＲＡＭ）、相変化メモリ（ＰＣＭ）、およびディスクまたはテープを含むが、これらに限定されない。

記憶装置５３０は、コンピューティングデバイス５００に大容量記憶を提供することができる。いくつかの実装形態において、記憶装置５３０はコンピュータ読取可能媒体である。各種の異なる実装形態において、記憶装置５３０は、フロッピー（登録商標）ディスクデバイス、ハードディスクデバイス、光ディスクデバイス、またはテープデバイス、フラッシュメモリもしくはその他同様のソリッドステートメモリデバイス、またはストレージエリアネットワークもしくはその他の構成におけるデバイスを含むデバイスのアレイであってもよい。その他の実装形態では、コンピュータプログラムプロダクトが情報キャリアにおいて有形に実現される。コンピュータプログラムプロダクトは、実行されたときに上記方法のような方法を１つ以上実行する命令を含む。情報キャリアは、メモリ５２０、記憶装置５３０、またはプロセッサ５１０上のメモリ等のコンピュータまたはマシン読取可能媒体である。

高速コントローラ５４０はコンピューティングデバイス５００について帯域幅を多用する動作を管理し、低速コントローラ５６０はより少ない帯域幅を使用する動作を管理する。このような機能の割り当ては例示にすぎない。いくつかの実装形態において、高速コントローラ５４０は、メモリ５２０およびディスプレイ５８０に（たとえばグラフィックスプロセッサまたはアクセラレータを通して）結合され、かつ、さまざまな拡張カード（図示せず）を受け入れることができる高速拡張ポート５５０に結合されている。いくつかの実装形態において、低速コントローラ５６０は、記憶装置５３０および低速拡張ポート５７０に結合されている。さまざまな通信ポート（たとえばＵＳＢ、ブルートゥース（登録商標）、イーサネット（登録商標）、ワイヤレスイーサネット）を含み得る低速拡張ポート５７０は、キーボード、ポインティングデバイス、スキャナ等の１つ以上の入出力デバイス、またはスイッチもしくはルータ等のネットワーキングデバイスに、たとえばネットワークアダプタを通して結合されてもよい。

コンピューティングデバイス５００は、図に示されるように、いくつかの異なる形態で実現することができる。たとえば、標準的なサーバ５００ａとして実現されてもよく、またはそのようなサーバ５００ａのグループ内で複数実現されてもよく、またはラップトップコンピュータ５００ｂとして実現されてもよく、またはラックサーバシステム５００ｃの一部として実現されてもよい。

本明細書に記載されているシステムおよび技術のさまざまな実装形態は、デジタル電子および／または光学回路、集積回路、特別に設計されたＡＳＩＣ（特定用途向け集積回路）、コンピュータハードウェア、ファームウェア、ソフトウェア、および／またはそれらの組み合わせで実現することができる。これらのさまざまな実装形態は、プログラム可能なシステム上で実行可能および／または翻訳可能な１つ以上のコンピュータプログラムにおける実装形態を含み得るものであり、上記プログラム可能なシステムは、記憶システムからデータおよび命令を受信し記憶システムにデータおよび命令を送信するように結合された専用または汎用であってもよい少なくとも１つのプログラム可能なプロセッサと、少なくとも１つの入力装置と、少なくとも１つの出力装置とを含む。

（プログラム、ソフトウェア、ソフトウェアアプリケーションまたはコードとしても知られている）これらのコンピュータプログラムは、プログラム可能なプロセッサのための機械命令を含み、ハイレベルの手続き型プログラミング言語および／またはオブジェクト指向プログラミング言語で実現されてもよく、および／またはアセンブリ言語／機械言語で実現されてもよい。本明細書で使用される「機械読取可能な媒体」および「コンピュータ読取可能な媒体」という用語は、機械命令を機械読取可能な信号として受信する機械読取可能な媒体を含む、機械命令および／またはデータをプログラム可能なプロセッサに提供するために使用される任意のコンピュータプログラムプロダクト、非一時的なコンピュータ読取可能媒体、装置および／またはデバイス（たとえば磁気ディスク、光ディスク、メモリ、プログラマブルロジックデバイス（ＰＬＤ））を意味する。「機械読取可能な信号」という用語は、機械命令および／またはデータをプログラム可能なプロセッサに提供するために使用される任意の信号を意味する。

本明細書に記載のプロセスおよび論理フローは、１つ以上のコンピュータプログラムを実行することで入力データに対して動作し出力を生成することにより機能を果たす１つ以上のプログラム可能なプロセッサによって実行することができる。プロセスおよび論理フローは、専用ロジック回路たとえばＦＰＧＡ（フィールドプログラマブルゲートアレイ）またはＡＳＩＣ（特定用途向け集積回路）によって実行することもできる。コンピュータプログラムの実行に適したプロセッサは、例として、汎用および専用双方のマイクロプロセッサ、ならびに任意の種類のデジタルコンピュータの任意の１つ以上のプロセッサを含む。一般的に、プロセッサは、読出専用メモリまたはランダムアクセスメモリまたはこれらの双方から命令およびデータを受ける。コンピュータの不可欠な要素は、命令を実行するためのプロセッサと、命令およびデータを格納するための１つ以上のメモリデバイスとである。一般的に、コンピュータは、データを格納するための１つ以上の大容量記憶装置、たとえば磁気ディスク、光磁気ディスク、または光ディスクも含む、または、データを受けるためもしくはデータを伝送するためもしくはこれら双方のために上記大容量記憶装置に作動的に結合される。しかしながら、コンピュータはそのような装置を有している必要はない。コンピュータプログラム命令およびデータを格納するのに適したコンピュータ読取可能媒体は、すべての形態の不揮発性メモリ、媒体およびメモリデバイスを含み、これらは、例として、半導体メモリデバイス、たとえばＥＰＲＯＭ、ＥＥＰＲＯＭ、およびフラッシュメモリデバイスや、磁気ディスク、たとえば内部ハードディスクまたはリムーバブルディスクや、光磁気ディスクや、ＣＤＲＯＭおよびＤＶＤ－ＲＯＭディスクを含む。プロセッサおよびメモリは、専用論理回路が補充されてもよくまたは専用論理回路に組み込まれてもよい。

ユーザとの対話を提供するために、本開示の１つ以上の局面をディスプレイデバイスを有するコンピュータ上で実現してもよく、ディスプレイデバイスは、情報をユーザに対して表示するための、たとえばＣＲＴ（陰極線管）、ＬＣＤ（液晶ディスプレイ）モニタ、またはタッチスクリーンであり、コンピュータはまた、任意でキーボードおよびポインティングデバイス、たとえばマウスまたはトラックボールを有し、それによってユーザは入力をコンピュータに与えることができる。ユーザとの対話を提供するために他の種類のデバイスも使用することができ、たとえば、ユーザに提供されるフィードバックは、任意の形態の感覚フィードバック、たとえば視覚フィードバック、聴覚フィードバックまたは触覚フィードバックであってもよく、ユーザからの入力は、音響入力、音声入力または触覚入力を含む任意の形態で受けることができる。加えて、コンピュータは、ユーザが使用するデバイスに文書を送信しこのデバイスから文書を受信することにより、たとえば、ユーザのクライアントデバイス上のウェブブラウザに、このウェブブラウザから受けた要求に応じてウェブページを送信することにより、ユーザとの対話を行ってもよい。

いくつかの実装形態について説明した。しかしながら、本開示の精神および範囲から逸脱することなく各種修正が行われ得ることが理解されるであろう。したがって、その他の実装形態が以下の特許請求の範囲に含まれる。

Claims

方法（３００）であって、前記方法は、
データ処理ハードウェア（５１０）において、ユーザ（１１０）に関連付けられるリソース（１４０）のグループに適用されるべきリソースポリシー（２２２）を受けるステップを含み、前記リソースポリシー（２２２）は、前記リソース（１４０）のグループのうちの各リソース（１４０）に割り当てられる固有のユーザ既定ラベル（２１６）を含み、前記方法はさらに、
前記データ処理ハードウェア（５１０）が、前記固有のユーザ既定ラベル（２１６）を用いて、複数のリソース（１４０）の中から前記リソース（１４０）のグループを特定するステップを含み、前記複数のリソース（１４０）は、前記ユーザ（１１０）に関連付けられ、前記データ処理ハードウェア（５１０）と通信する複数の異なるコンピューティング環境（１３０）に分散され、前記方法はさらに、
前記リソース（１４０）のグループのうちの特定された各リソース（１４０）ごとに、前記データ処理ハードウェア（５１０）が、対応する特定されたリソース（１４０）が存在するそれぞれの前記コンピューティング環境（１３０）にアクセスすることにより、前記対応する特定されたリソース（１４０）に前記リソースポリシー（２２２）を適用するステップを含む、方法（３００）。
前記固有のユーザ既定ラベル（２１６）は、キー・バリューペア（２１４）を含む、請求項１に記載の方法（３００）。
前記リソースポリシー（２２２）は、前記固有のユーザ既定ラベル（２１６）の前記キー・バリューペア（２１４）のうちのキー（２１４）に対する制約をさらに含む、請求項２に記載の方法（３００）。
前記リソースポリシー（２２２）は、前記固有のユーザ既定ラベル（２１６）の前記キー・バリューペア（２１４）のうちの値（２１４）に対する制約をさらに含む、請求項２または３に記載の方法（３００）。
前記リソースポリシー（２２２）は、前記キー・バリューペア（２１４）のうちのキー（２１４）に対する第１のポリシー（２２２ａ）と、前記キー・バリューペア（２１４）のうちの値（２１４）に対する第２のポリシー（２２２ｂ）とを含む、請求項２～４のいずれか１項に記載の方法（３００）。
前記リソースポリシー（２２２）は、アクセスコントロールポリシー（１３２ＡＣＰ）、ファイアウォールポリシー、ネットワーキングポリシー、またはクォータポリシーのうちの少なくとも１つを含む、請求項１～５のいずれか１項に記載の方法（３００）。
前記複数のコンピューティング環境（１３０）は、少なくとも１つのプライベートコンピューティング環境（１３０）と、少なくとも１つのパブリックコンピューティング環境（１３０）とを含む、請求項１～６のいずれか１項に記載の方法（３００）。
前記データ処理ハードウェア（５１０）は、オンプレミスコンピューティング環境（１３０）、プライベートコンピューティング環境（１３０）、およびパブリッククラウドベースコンピューティング環境（１３０）と通信するように構成される、請求項１～７のいずれか１項に記載の方法（３００）。
前記複数のリソース（１４０）は、仮想マシン、データベース、キー・バリューストア、またはネットワーク（１２０）のうちの少なくとも１つを含む、請求項１～８のいずれか１項に記載の方法（３００）。
方法（４００）であって、前記方法は、
データ処理ハードウェア（５１０）において、ユーザ（１１０）に関連付けられるリソース（１４０）のグループに適用されるべきリソースポリシー（２２２）を受けるステップを含み、前記リソースポリシー（２２２）は、前記リソース（１４０）のグループのうちの各リソース（１４０）に割り当てられる固有のユーザ既定ラベル（２１６）を含み、前記固有のユーザ既定ラベル（２１６）はキー・バリューペア（２１４）を含み、前記方法はさらに、
前記データ処理ハードウェア（５１０）が、前記固有のユーザ既定ラベル（２１６）を用いて、複数のリソース（１４０）の中から前記リソース（１４０）のグループを特定するステップを含み、前記複数のリソース（１４０）は、前記ユーザ（１１０）に関連付けられ、前記方法はさらに、
前記リソース（１４０）のグループのうちの特定された各リソース（１４０）ごとに、前記データ処理ハードウェア（５１０）が、前記固有のユーザ既定ラベル（２１６）の前記キー・バリューペア（２１４）を管理することにより、対応する特定されたリソース（１４０）に前記リソースポリシー（２２２）を適用するステップを含む、方法（４００）。
前記リソースポリシー（２２２）は、前記固有のユーザ既定ラベル（２１６）の前記キー・バリューペア（２１４）のうちのキー（２１４）に対する制約をさらに含む、請求項１０に記載の方法（４００）。
前記リソースポリシー（２２２）は、前記固有のユーザ既定ラベル（２１６）の前記キー・バリューペア（２１４）のうちの値（２１４）に対する制約をさらに含む、請求項１０または１１に記載の方法（４００）。
前記リソースポリシー（２２２）は、前記キー・バリューペア（２１４）のうちのキー（２１４）に対する第１のポリシー（２２２ａ）と、前記キー・バリューペア（２１４）のうちの値（２１４）に対する第２のポリシー（２２２ｂ）とを含む、請求項１０～１２のいずれか１項に記載の方法（４００）。
前記リソースポリシー（２２２）は、アクセスコントロールポリシー（１３２ＡＣＰ）、ファイアウォールポリシー、ネットワーキングポリシー、またはクォータポリシーのうちの少なくとも１つを含む、請求項１０～１３のいずれか１項に記載の方法（４００）。
前記複数のコンピューティングリソース（１４０）は、仮想マシン、データベース、キー・バリューストア、またはネットワーク（１２０）のうちの少なくとも１つを含む、請求項１０～１４のいずれか１項に記載の方法（４００）。
システム（１００）であって、
データ処理ハードウェア（５１０）と、
前記データ処理ハードウェア（５１０）と通信するメモリハードウェア（５２０）とを備え、前記メモリハードウェア（５２０）は、前記データ処理ハードウェア（５１０）上で実行されると前記データ処理ハードウェア（５１０）に動作を実行させる命令を格納し、前記動作は、
ユーザ（１１０）に関連付けられるリソース（１４０）のグループに適用されるべきリソースポリシー（２２２）を受けることを含み、前記リソースポリシー（２２２）は、前記リソース（１４０）のグループのうちの各リソース（１４０）に割り当てられる固有のユーザ既定ラベル（２１６）を含み、前記動作はさらに、
前記ユーザ既定ラベル（２１６）を用いて、複数のリソース（１４０）の中から前記リソース（１４０）のグループを特定することを含み、前記複数のリソース（１４０）は、前記ユーザ（１１０）に関連付けられ、前記データ処理ハードウェア（５１０）と通信する複数の異なるコンピューティング環境（１３０）に分散され、前記動作はさらに、
前記リソース（１４０）のグループのうちの特定された各リソース（１４０）ごとに、対応する特定されたリソース（１４０）が存在するそれぞれの前記コンピューティング環境（１３０）にアクセスすることにより、前記対応する特定されたリソース（１４０）に前記リソースポリシー（２２２）を適用することを含む、システム（１００）。
前記固有のユーザ既定ラベル（２１６）はキー・バリューペア（２１４）を含む、請求項１６に記載のシステム（１００）。
前記リソースポリシー（２２２）は、前記固有のユーザ既定ラベル（２１６）の前記キー・バリューペア（２１４）のうちのキー（２１４）に対する制約をさらに含む、請求項１７に記載のシステム（１００）。
前記リソースポリシー（２２２）は、前記固有のユーザ既定ラベル（２１６）の前記キー・バリューペア（２１４）のうちの値（２１４）に対する制約をさらに含む、請求項１７または１８に記載のシステム（１００）。
前記リソースポリシー（２２２）は、前記キー・バリューペア（２１４）のうちのキー（２１４）に対する第１のポリシー（２２２ａ）と、前記キー・バリューペア（２１４）のうちの値（２１４）に対する第２のポリシー（２２２ｂ）とを含む、請求項１７～１９のいずれか１項に記載のシステム（１００）。
前記リソースポリシー（２２２）は、アクセスコントロールポリシー（１３２ＡＣＰ）、ファイアウォールポリシー、ネットワーキングポリシー、またはクォータポリシーのうちの少なくとも１つを含む、請求項１６～２０のいずれか１項に記載のシステム（１００）。
前記複数のコンピューティング環境（１３０）は、少なくとも１つのプライベートコンピューティング環境（１３０）と、少なくとも１つのパブリックコンピューティング環境（１３０）とを含む、請求項１６～２１のいずれか１項に記載のシステム（１００）。
前記データ処理ハードウェア（５１０）は、オンプレミスコンピューティング環境（１３０）、プライベートコンピューティング環境（１３０）、およびパブリッククラウドベースコンピューティング環境（１３０）と通信するように構成される、請求項１６～２２のいずれか１項に記載のシステム（１００）。
前記複数のリソース（１４０）は、仮想マシン、データベース、キー・バリューストア、またはネットワーク（１２０）のうちの少なくとも１つを含む、請求項１６～２３のいずれか１項に記載のシステム（１００）。
システム（１００）であって、
データ処理ハードウェア（５１０）と、
前記データ処理ハードウェア（５１０）と通信するメモリハードウェア（５２０）とを備え、前記メモリハードウェア（５２０）は、前記データ処理ハードウェア（５１０）上で実行されると前記データ処理ハードウェア（５１０）に動作を実行させる命令を格納し、前記動作は、
ユーザ（１１０）に関連付けられるリソース（１４０）のグループに適用されるべきリソースポリシー（２２２）を受けることを含み、前記リソースポリシー（２２２）は、前記リソース（１４０）のグループのうちの各リソース（１４０）に割り当てられる固有のユーザ既定ラベル（２１６）を含み、前記固有のユーザ既定ラベル（２１６）はキー・バリューペア（２１４）を含み、前記動作はさらに、
前記固有のユーザ既定ラベル（２１６）を用いて、複数のリソース（１４０）の中から前記リソース（１４０）のグループを特定することを含み、前記複数のリソース（１４０）は、前記ユーザ（１１０）に関連付けられ、前記動作はさらに、
前記リソース（１４０）のグループのうちの特定された各リソース（１４０）ごとに、前記固有のユーザ既定ラベル（２１６）の前記キー・バリューペア（２１４）を管理することにより、対応する特定されたリソース（１４０）に前記リソースポリシー（２２２）を適用することを含む、システム（１００）。
前記リソースポリシー（２２２）は、前記固有のユーザ既定ラベル（２１６）の前記キー・バリューペア（２１４）のうちのキー（２１４）に対する制約をさらに含む、請求項２５に記載のシステム（１００）。
前記リソースポリシー（２２２）は、前記固有のユーザ既定ラベル（２１６）の前記キー・バリューペア（２１４）のうちの値（２１４）に対する制約をさらに含む、請求項２５または２６に記載のシステム（１００）。
前記リソースポリシー（２２２）は、前記キー・バリューペア（２１４）のうちのキー（２１４）に対する第１のポリシー（２２２ａ）と、前記キー・バリューペア（２１４）のうちの値（２１４）に対する第２のポリシー（２２２ｂ）とを含む、請求項２５～２７のいずれか１項に記載のシステム（１００）。
前記リソースポリシー（２２２）は、アクセスコントロールポリシー（１３２ＡＣＰ）、ファイアウォールポリシー、ネットワーキングポリシー、またはクォータポリシーのうちの少なくとも１つを含む、請求項２５～２８のいずれか１項に記載のシステム（１００）。
前記複数のコンピューティングリソース（１４０）は、仮想マシン、データベース、キー・バリューストア、またはネットワーク（１２０）のうちの少なくとも１つを含む、請求項２５～２９のいずれか１項に記載のシステム（１００）。