JP2023040221A - プロバイダネットワークサービス拡張 - Google Patents
プロバイダネットワークサービス拡張 Download PDFInfo
- Publication number
- JP2023040221A JP2023040221A JP2023002875A JP2023002875A JP2023040221A JP 2023040221 A JP2023040221 A JP 2023040221A JP 2023002875 A JP2023002875 A JP 2023002875A JP 2023002875 A JP2023002875 A JP 2023002875A JP 2023040221 A JP2023040221 A JP 2023040221A
- Authority
- JP
- Japan
- Prior art keywords
- network
- erg
- vcs
- command
- host
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Pending
Links
- 230000004044 response Effects 0.000 claims abstract description 31
- 238000012545 processing Methods 0.000 claims abstract description 23
- 238000000034 method Methods 0.000 claims description 71
- 239000002184 metal Substances 0.000 claims description 9
- 230000000694 effects Effects 0.000 abstract description 4
- 238000007726 management method Methods 0.000 description 36
- 239000000306 component Substances 0.000 description 28
- 238000004891 communication Methods 0.000 description 17
- 230000008569 process Effects 0.000 description 17
- 230000006870 function Effects 0.000 description 15
- 101001062535 Homo sapiens Follistatin-related protein 1 Proteins 0.000 description 14
- 101001122162 Homo sapiens Overexpressed in colon carcinoma 1 protein Proteins 0.000 description 14
- 102100027063 Overexpressed in colon carcinoma 1 protein Human genes 0.000 description 14
- 238000013519 translation Methods 0.000 description 14
- 230000014616 translation Effects 0.000 description 14
- 239000003795 chemical substances by application Substances 0.000 description 12
- 230000002093 peripheral effect Effects 0.000 description 10
- 238000005538 encapsulation Methods 0.000 description 7
- 238000012546 transfer Methods 0.000 description 7
- 230000009466 transformation Effects 0.000 description 7
- 230000008859 change Effects 0.000 description 6
- 238000000844 transformation Methods 0.000 description 6
- 230000005540 biological transmission Effects 0.000 description 5
- 238000010586 diagram Methods 0.000 description 5
- 238000005516 engineering process Methods 0.000 description 5
- 230000004048 modification Effects 0.000 description 5
- 238000012986 modification Methods 0.000 description 5
- 230000006855 networking Effects 0.000 description 5
- 238000013475 authorization Methods 0.000 description 4
- 230000003993 interaction Effects 0.000 description 4
- RZVAJINKPMORJF-UHFFFAOYSA-N Acetaminophen Chemical compound CC(=O)NC1=CC=C(O)C=C1 RZVAJINKPMORJF-UHFFFAOYSA-N 0.000 description 3
- 101100079127 Arabidopsis thaliana NAC082 gene Proteins 0.000 description 3
- 238000013459 approach Methods 0.000 description 3
- 230000008901 benefit Effects 0.000 description 3
- 230000000977 initiatory effect Effects 0.000 description 3
- 238000013507 mapping Methods 0.000 description 3
- 230000002085 persistent effect Effects 0.000 description 3
- 238000012795 verification Methods 0.000 description 3
- 101000637625 Cricetulus griseus GTP-binding protein SAR1b Proteins 0.000 description 2
- 102100032174 GTP-binding protein SAR1a Human genes 0.000 description 2
- 101000637622 Homo sapiens GTP-binding protein SAR1a Proteins 0.000 description 2
- 101000994792 Homo sapiens Ras GTPase-activating-like protein IQGAP1 Proteins 0.000 description 2
- 230000004913 activation Effects 0.000 description 2
- 230000004075 alteration Effects 0.000 description 2
- 230000002457 bidirectional effect Effects 0.000 description 2
- 238000006243 chemical reaction Methods 0.000 description 2
- 230000001934 delay Effects 0.000 description 2
- 238000001514 detection method Methods 0.000 description 2
- 239000000284 extract Substances 0.000 description 2
- 239000000835 fiber Substances 0.000 description 2
- 238000009434 installation Methods 0.000 description 2
- 239000003607 modifier Substances 0.000 description 2
- 238000012544 monitoring process Methods 0.000 description 2
- 230000003287 optical effect Effects 0.000 description 2
- 230000008520 organization Effects 0.000 description 2
- 238000010200 validation analysis Methods 0.000 description 2
- 101150073480 CIS1 gene Proteins 0.000 description 1
- 101100494773 Caenorhabditis elegans ctl-2 gene Proteins 0.000 description 1
- 101100112369 Fasciola hepatica Cat-1 gene Proteins 0.000 description 1
- 101000687808 Homo sapiens Suppressor of cytokine signaling 2 Proteins 0.000 description 1
- 101000687855 Homo sapiens Suppressor of cytokine signaling 3 Proteins 0.000 description 1
- 101100005271 Neurospora crassa (strain ATCC 24698 / 74-OR23-1A / CBS 708.71 / DSM 1257 / FGSC 987) cat-1 gene Proteins 0.000 description 1
- RJKFOVLPORLFTN-LEKSSAKUSA-N Progesterone Chemical compound C1CC2=CC(=O)CC[C@]2(C)[C@@H]2[C@@H]1[C@@H]1CC[C@H](C(=O)C)[C@@]1(C)CC2 RJKFOVLPORLFTN-LEKSSAKUSA-N 0.000 description 1
- 101100110279 Saccharomyces cerevisiae (strain ATCC 204508 / S288c) ATG31 gene Proteins 0.000 description 1
- 102100024784 Suppressor of cytokine signaling 2 Human genes 0.000 description 1
- 102100024283 Suppressor of cytokine signaling 3 Human genes 0.000 description 1
- 230000009471 action Effects 0.000 description 1
- 238000003491 array Methods 0.000 description 1
- 230000009286 beneficial effect Effects 0.000 description 1
- BFAKENXZKHGIGE-UHFFFAOYSA-N bis(2,3,5,6-tetrafluoro-4-iodophenyl)diazene Chemical compound FC1=C(C(=C(C(=C1F)I)F)F)N=NC1=C(C(=C(C(=C1F)F)I)F)F BFAKENXZKHGIGE-UHFFFAOYSA-N 0.000 description 1
- 238000001342 constant potential amperometry Methods 0.000 description 1
- 239000013256 coordination polymer Substances 0.000 description 1
- 239000008358 core component Substances 0.000 description 1
- 238000013461 design Methods 0.000 description 1
- 238000009826 distribution Methods 0.000 description 1
- 230000002708 enhancing effect Effects 0.000 description 1
- 238000001914 filtration Methods 0.000 description 1
- 230000036541 health Effects 0.000 description 1
- 230000003116 impacting effect Effects 0.000 description 1
- 238000002955 isolation Methods 0.000 description 1
- 230000007246 mechanism Effects 0.000 description 1
- 239000000203 mixture Substances 0.000 description 1
- 230000008450 motivation Effects 0.000 description 1
- 230000002035 prolonged effect Effects 0.000 description 1
- 230000001902 propagating effect Effects 0.000 description 1
- 238000009877 rendering Methods 0.000 description 1
- 230000008439 repair process Effects 0.000 description 1
- 230000003362 replicative effect Effects 0.000 description 1
- 238000000545 stagnation point adsorption reflectometry Methods 0.000 description 1
- 238000013403 standard screening design Methods 0.000 description 1
- 230000003068 static effect Effects 0.000 description 1
- 230000001360 synchronised effect Effects 0.000 description 1
- 230000026676 system process Effects 0.000 description 1
- 230000001960 triggered effect Effects 0.000 description 1
- 230000000007 visual effect Effects 0.000 description 1
Images
Classifications
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F9/00—Arrangements for program control, e.g. control units
- G06F9/06—Arrangements for program control, e.g. control units using stored programs, i.e. using an internal store of processing equipment to receive or retain programs
- G06F9/46—Multiprogramming arrangements
- G06F9/50—Allocation of resources, e.g. of the central processing unit [CPU]
- G06F9/5061—Partitioning or combining of resources
- G06F9/5077—Logical partitioning of resources; Management or configuration of virtualized resources
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L61/00—Network arrangements, protocols or services for addressing or naming
- H04L61/50—Address allocation
- H04L61/5061—Pools of addresses
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F12/00—Accessing, addressing or allocating within memory systems or architectures
- G06F12/02—Addressing or allocation; Relocation
- G06F12/08—Addressing or allocation; Relocation in hierarchically structured memory systems, e.g. virtual memory systems
- G06F12/10—Address translation
- G06F12/109—Address translation for multiple virtual address spaces, e.g. segmentation
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F9/00—Arrangements for program control, e.g. control units
- G06F9/06—Arrangements for program control, e.g. control units using stored programs, i.e. using an internal store of processing equipment to receive or retain programs
- G06F9/44—Arrangements for executing specific programs
- G06F9/455—Emulation; Interpretation; Software simulation, e.g. virtualisation or emulation of application or operating system execution engines
- G06F9/45533—Hypervisors; Virtual machine monitors
- G06F9/45558—Hypervisor-specific management and integration aspects
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F9/00—Arrangements for program control, e.g. control units
- G06F9/06—Arrangements for program control, e.g. control units using stored programs, i.e. using an internal store of processing equipment to receive or retain programs
- G06F9/46—Multiprogramming arrangements
- G06F9/48—Program initiating; Program switching, e.g. by interrupt
- G06F9/4806—Task transfer initiation or dispatching
- G06F9/4843—Task transfer initiation or dispatching by program, e.g. task dispatcher, supervisor, operating system
- G06F9/485—Task life-cycle, e.g. stopping, restarting, resuming execution
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L12/00—Data switching networks
- H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
- H04L12/46—Interconnection of networks
- H04L12/4633—Interconnection of networks using encapsulation techniques, e.g. tunneling
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L12/00—Data switching networks
- H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
- H04L12/46—Interconnection of networks
- H04L12/4641—Virtual LANs, VLANs, e.g. virtual private networks [VPN]
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L61/00—Network arrangements, protocols or services for addressing or naming
- H04L61/09—Mapping addresses
- H04L61/25—Mapping addresses of the same type
- H04L61/2503—Translation of Internet protocol [IP] addresses
- H04L61/2514—Translation of Internet protocol [IP] addresses between local and global IP addresses
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L61/00—Network arrangements, protocols or services for addressing or naming
- H04L61/45—Network directories; Name-to-address mapping
- H04L61/4505—Network directories; Name-to-address mapping using standardised directories; using standardised directory access protocols
- H04L61/4511—Network directories; Name-to-address mapping using standardised directories; using standardised directory access protocols using domain name system [DNS]
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L61/00—Network arrangements, protocols or services for addressing or naming
- H04L61/50—Address allocation
- H04L61/5007—Internet protocol [IP] addresses
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F9/00—Arrangements for program control, e.g. control units
- G06F9/06—Arrangements for program control, e.g. control units using stored programs, i.e. using an internal store of processing equipment to receive or retain programs
- G06F9/44—Arrangements for executing specific programs
- G06F9/455—Emulation; Interpretation; Software simulation, e.g. virtualisation or emulation of application or operating system execution engines
- G06F9/45533—Hypervisors; Virtual machine monitors
- G06F9/45558—Hypervisor-specific management and integration aspects
- G06F2009/45562—Creating, deleting, cloning virtual machine instances
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F9/00—Arrangements for program control, e.g. control units
- G06F9/06—Arrangements for program control, e.g. control units using stored programs, i.e. using an internal store of processing equipment to receive or retain programs
- G06F9/44—Arrangements for executing specific programs
- G06F9/455—Emulation; Interpretation; Software simulation, e.g. virtualisation or emulation of application or operating system execution engines
- G06F9/45533—Hypervisors; Virtual machine monitors
- G06F9/45558—Hypervisor-specific management and integration aspects
- G06F2009/45575—Starting, stopping, suspending or resuming virtual machine instances
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F9/00—Arrangements for program control, e.g. control units
- G06F9/06—Arrangements for program control, e.g. control units using stored programs, i.e. using an internal store of processing equipment to receive or retain programs
- G06F9/44—Arrangements for executing specific programs
- G06F9/455—Emulation; Interpretation; Software simulation, e.g. virtualisation or emulation of application or operating system execution engines
- G06F9/45533—Hypervisors; Virtual machine monitors
- G06F9/45558—Hypervisor-specific management and integration aspects
- G06F2009/45587—Isolation or security of virtual machine instances
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F9/00—Arrangements for program control, e.g. control units
- G06F9/06—Arrangements for program control, e.g. control units using stored programs, i.e. using an internal store of processing equipment to receive or retain programs
- G06F9/44—Arrangements for executing specific programs
- G06F9/455—Emulation; Interpretation; Software simulation, e.g. virtualisation or emulation of application or operating system execution engines
- G06F9/45533—Hypervisors; Virtual machine monitors
- G06F9/45558—Hypervisor-specific management and integration aspects
- G06F2009/45595—Network integration; Enabling network access in virtual machine instances
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F2209/00—Indexing scheme relating to G06F9/00
- G06F2209/50—Indexing scheme relating to G06F9/50
- G06F2209/5016—Session
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F2212/00—Indexing scheme relating to accessing, addressing or allocation within memory systems or architectures
- G06F2212/15—Use in a specific computing environment
- G06F2212/152—Virtualized environment, e.g. logically partitioned system
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F2212/00—Indexing scheme relating to accessing, addressing or allocation within memory systems or architectures
- G06F2212/65—Details of virtual memory and virtual address translation
- G06F2212/657—Virtual address space management
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L2101/00—Indexing scheme associated with group H04L61/00
- H04L2101/60—Types of network addresses
- H04L2101/668—Internet protocol [IP] address subnets
Landscapes
- Engineering & Computer Science (AREA)
- Computer Networks & Wireless Communication (AREA)
- Signal Processing (AREA)
- Theoretical Computer Science (AREA)
- Software Systems (AREA)
- Physics & Mathematics (AREA)
- General Engineering & Computer Science (AREA)
- General Physics & Mathematics (AREA)
- Computer Security & Cryptography (AREA)
- Data Exchanges In Wide-Area Networks (AREA)
- Management, Administration, Business Operations System, And Electronic Commerce (AREA)
- Information Transfer Between Computers (AREA)
Abstract
【解決手段】プロバイダネットワークにおいて、仮想コンピューティングサービスは、コントロールプレーンサーバが計算インスタンスを確立するための要求を受信し、第１のネットワークアドレスが割り当てられる第１のアウトバウンドコマンドコミュニケータが、要求に応答して計算インスタンスがターゲットホストで確立されるという表示を取得し、第２のネットワークアドレスをデスティネーションとして示すメッセージを送信する。第２のネットワークアドレスは、クライアントプレミスで確立された第１のネットワークの一部である。メッセージは、ターゲットホストで計算インスタンスを確立するためのコマンドを含む。第１のネットワークアドレスは、クライアントプレミスで確立された第２のネットワーク内のターゲットホストに割り当てられる。【効果】ターゲットホストでのコマンドの処理は、計算インスタンスの確立をもたらす。【選択図】図１
Description
多くの企業および他の組織は、コンピューティングシステムを、同じ場所に配置するか
（例えば、ローカルネットワークの一部として）、またはその代わりに複数の異なる地理
的場所に配置する（例えば、１つ以上のプライベートまたはパブリック中間ネットワーク
を介して接続する）など、多数のコンピューティングシステムを相互接続して、それらの
事業をサポートするコンピュータネットワークを運営する。例えば、単一の組織によって
、および単一の組織に代わって運営されるプライベートデータセンター、ならびに顧客に
コンピューティングリソースを提供するビジネスとしてエンティティにより運営されるパ
ブリックデータセンターなど、かなりの数の相互接続されたコンピューティングシステム
を収容するデータセンターが普及している。パブリックデータセンターオペレータの中に
は、様々な顧客が所有するハードウェアにネットワークアクセス、電力、および安全な設
置設備を提供するものもあれば、顧客による使用に利用可能にされたハードウェアリソー
スも含む「フルサービス」設備を提供するものもある。
（例えば、ローカルネットワークの一部として）、またはその代わりに複数の異なる地理
的場所に配置する（例えば、１つ以上のプライベートまたはパブリック中間ネットワーク
を介して接続する）など、多数のコンピューティングシステムを相互接続して、それらの
事業をサポートするコンピュータネットワークを運営する。例えば、単一の組織によって
、および単一の組織に代わって運営されるプライベートデータセンター、ならびに顧客に
コンピューティングリソースを提供するビジネスとしてエンティティにより運営されるパ
ブリックデータセンターなど、かなりの数の相互接続されたコンピューティングシステム
を収容するデータセンターが普及している。パブリックデータセンターオペレータの中に
は、様々な顧客が所有するハードウェアにネットワークアクセス、電力、および安全な設
置設備を提供するものもあれば、顧客による使用に利用可能にされたハードウェアリソー
スも含む「フルサービス」設備を提供するものもある。
コモディティハードウェアの仮想化テクノロジーの出現により、様々なニーズを有する
多くの顧客に大規模なコンピューティングリソースを管理するという利点がもたらされ、
様々なコンピューティングリソースを複数の顧客が効率的かつ安全に共有することが可能
になった。例えば、仮想化技術では、単一の仮想化ホストによってホストされる１つ以上
の「ゲスト」仮想マシンを各ユーザに提供することにより、単一の物理仮想化ホストを複
数のユーザ間で共有することが可能であり得る。各そのような仮想マシンは、所与のハー
ドウェアコンピューティングリソースの唯一のオペレータであるかのような錯覚をユーザ
に提供すると同時に、様々な仮想マシン間でアプリケーション分離およびセキュリティも
提供する、別個の論理コンピューティングシステムとして機能するソフトウェアシミュレ
ーションを表し得る。同じホスト上でいくつかの異なる仮想マシンをインスタンス化する
ことはまた、データセンターの全体的なハードウェア利用レベルを増加させる助けとなり
、より高い投資の収益をもたらし得る。
多くの顧客に大規模なコンピューティングリソースを管理するという利点がもたらされ、
様々なコンピューティングリソースを複数の顧客が効率的かつ安全に共有することが可能
になった。例えば、仮想化技術では、単一の仮想化ホストによってホストされる１つ以上
の「ゲスト」仮想マシンを各ユーザに提供することにより、単一の物理仮想化ホストを複
数のユーザ間で共有することが可能であり得る。各そのような仮想マシンは、所与のハー
ドウェアコンピューティングリソースの唯一のオペレータであるかのような錯覚をユーザ
に提供すると同時に、様々な仮想マシン間でアプリケーション分離およびセキュリティも
提供する、別個の論理コンピューティングシステムとして機能するソフトウェアシミュレ
ーションを表し得る。同じホスト上でいくつかの異なる仮想マシンをインスタンス化する
ことはまた、データセンターの全体的なハードウェア利用レベルを増加させる助けとなり
、より高い投資の収益をもたらし得る。
計算集約型アプリケーション、メモリ集約型アプリケーションなどの異なるタイプのア
プリケーションのために最適化された多種多様な仮想マシンタイプは、クライアント要求
に応答して、いくつかのクラウドコンピューティングプロバイダネットワークのデータセ
ンターでセットアップされ得る。加えて、仮想コンピューティングサービスの仮想マシン
を使用してデータベースインスタンスがインスタンス化されるいくつかのデータベースサ
ービスなど、そのようなプロバイダネットワークの仮想コンピューティングサービスに依
存する高レベルのサービスはまた、プロバイダネットワーククライアントに利用可能にな
り得る。しかしながら、プロバイダネットワークの外部の顧客プレミスに記憶する必要が
ある非常に大量のデータを処理するアプリケーションなど、いくつかのタイプのアプリケ
ーションでは、プロバイダネットワークのデータセンターに配置されたハードウェアを使
用して仮想化リソースを提供することに限定されたサービスは、例えば、遅延関連および
／または他の理由で最適でない場合がある。
プリケーションのために最適化された多種多様な仮想マシンタイプは、クライアント要求
に応答して、いくつかのクラウドコンピューティングプロバイダネットワークのデータセ
ンターでセットアップされ得る。加えて、仮想コンピューティングサービスの仮想マシン
を使用してデータベースインスタンスがインスタンス化されるいくつかのデータベースサ
ービスなど、そのようなプロバイダネットワークの仮想コンピューティングサービスに依
存する高レベルのサービスはまた、プロバイダネットワーククライアントに利用可能にな
り得る。しかしながら、プロバイダネットワークの外部の顧客プレミスに記憶する必要が
ある非常に大量のデータを処理するアプリケーションなど、いくつかのタイプのアプリケ
ーションでは、プロバイダネットワークのデータセンターに配置されたハードウェアを使
用して仮想化リソースを提供することに限定されたサービスは、例えば、遅延関連および
／または他の理由で最適でない場合がある。
実施形態は、いくつかの実施形態および説明的な図面の例として本明細書に記載される
が、当業者は、実施形態が記載された実施形態または図面に限定されないことを認識する
であろう。図面およびその詳細な説明は、実施形態を開示された特定の形態に限定するこ
とを意図するものではなく、むしろ、その意図は、添付の特許請求の範囲によって定義さ
れる趣旨および範囲内に該当するすべての修正形態、均等物、および代替物を包含するこ
とが理解されるべきである。本明細書で使用される見出しは、編成目的のみのためであり
、本明細書または特許請求の範囲の範囲を限定するために使用されることを意味しない。
本出願を通して使用されるように、「することができる（ｍａｙ）」という語は、必須の
意味（すなわち、必然的な意味）ではなく、許容の意味（すなわち、可能性を有するとい
う意味）で使用される。同様に、「含む（ｉｎｃｌｕｄｅ）」、「含む（ｉｎｃｌｕｄｉ
ｎｇ）」、および「含む（ｉｎｃｌｕｄｅｓ）」という語は、含むがそれに限定されない
ことを意味する。特許請求の範囲で使用されるとき、用語「または」は、包括的なまたは
として使用され、排他的なまたはとしては使用されない。例えば、「ｘ、ｙ、またはｚの
うちの少なくとも１つ」という句は、ｘ、ｙ、およびｚのうちの任意の１つ、ならびにそ
れらの任意の組合せを意味する。
が、当業者は、実施形態が記載された実施形態または図面に限定されないことを認識する
であろう。図面およびその詳細な説明は、実施形態を開示された特定の形態に限定するこ
とを意図するものではなく、むしろ、その意図は、添付の特許請求の範囲によって定義さ
れる趣旨および範囲内に該当するすべての修正形態、均等物、および代替物を包含するこ
とが理解されるべきである。本明細書で使用される見出しは、編成目的のみのためであり
、本明細書または特許請求の範囲の範囲を限定するために使用されることを意味しない。
本出願を通して使用されるように、「することができる（ｍａｙ）」という語は、必須の
意味（すなわち、必然的な意味）ではなく、許容の意味（すなわち、可能性を有するとい
う意味）で使用される。同様に、「含む（ｉｎｃｌｕｄｅ）」、「含む（ｉｎｃｌｕｄｉ
ｎｇ）」、および「含む（ｉｎｃｌｕｄｅｓ）」という語は、含むがそれに限定されない
ことを意味する。特許請求の範囲で使用されるとき、用語「または」は、包括的なまたは
として使用され、排他的なまたはとしては使用されない。例えば、「ｘ、ｙ、またはｚの
うちの少なくとも１つ」という句は、ｘ、ｙ、およびｚのうちの任意の１つ、ならびにそ
れらの任意の組合せを意味する。
プロバイダネットワークの仮想化コンピューティングサービスの操作をプロバイダネッ
トワークのデータセンターの外部である場所に安全に拡張するための方法および装置の様
々な実施形態が説明される。ネットワークは、インターネットおよび／または他のネット
ワークを介してクライアントの分配されたセットにアクセス可能な１つ以上のサービス（
様々なタイプのマルチテナントおよび／またはシングルテナントクラウドベースのコンピ
ューティングまたはストレージサービスなど）を提供するために、会社または公共機関な
どの企業によって設定される。説明された技術を使用して、少なくともいくつかの実施形
態では、仮想化コンピューティングサービスのクライアントは、顧客データセンター、フ
ィールドロケーション（例えば、電気通信会社を運営するクライアントの場合、携帯電話
タワーの近く）、またはプロバイダネットワークデータセンターでセットアップすること
ができる仮想マシンのタイプの少なくともいくつかと同じ特徴および能力を備える仮想マ
シンをホストするためのコロケーション設備に配置されるハードウェアデバイスを利用す
ることができる可能性がある。
トワークのデータセンターの外部である場所に安全に拡張するための方法および装置の様
々な実施形態が説明される。ネットワークは、インターネットおよび／または他のネット
ワークを介してクライアントの分配されたセットにアクセス可能な１つ以上のサービス（
様々なタイプのマルチテナントおよび／またはシングルテナントクラウドベースのコンピ
ューティングまたはストレージサービスなど）を提供するために、会社または公共機関な
どの企業によって設定される。説明された技術を使用して、少なくともいくつかの実施形
態では、仮想化コンピューティングサービスのクライアントは、顧客データセンター、フ
ィールドロケーション（例えば、電気通信会社を運営するクライアントの場合、携帯電話
タワーの近く）、またはプロバイダネットワークデータセンターでセットアップすること
ができる仮想マシンのタイプの少なくともいくつかと同じ特徴および能力を備える仮想マ
シンをホストするためのコロケーション設備に配置されるハードウェアデバイスを利用す
ることができる可能性がある。
少なくともいくつかの実施形態では、プロバイダネットワークの外部に配置されたハー
ドウェアデバイスは、例えば、プロバイダネットワークオペレータによって、様々なカテ
ゴリの仮想マシンをサポートするための、および同じ場所にある他のローカルデバイスと
の低遅延通信をサポートし、顧客のデータおよびアプリケーションのセキュリティを損な
うことなく、プロバイダネットワーク自体のセキュリティを損なうことなく、プロバイダ
ネットワークの任意の他の顧客のセキュリティを損なうことのない様式でこれを行うため
のハードウェア、ソフトウェア、および／またはファームウェア要素の適切な組み合わせ
で事前構成され得る。少なくともいくつかの実施形態では、「拡張リソースグループ」（
ＥＲＧ）という用語は、プロバイダネットワークの外部のプレミスに配置されたリソース
（例えば、ハードウェア、ソフトウェア、ファームウェア、構成メタデータなど）の集合
を指すために使用され得、仮想マシンがプレミスで確立され、利用されることを可能にす
る。拡張リソースグループが確立されるプレミス（例えば、顧客データセンター、フィー
ルドロケーションなど）は、様々な実施形態では、クライアントプレミスと呼ばれ得る。
事実上、仮想化コンピューティングサービス（ＶＣＳ）の顧客の観点から、様々な実施形
態では、ＥＲＧは、ＶＣＳの能力のローカル拡張を表すことができ、これは、インターネ
ットにアクセスしているる任意の所望の物理的場所でセットアップすることができ、ハー
ドウェアデバイスのセットを収容することができる（例えば、物理的スペース、電力など
に関して）。ＶＣＳ自体の観点からは、ＥＲＧは、顧客が選択したプレミスに物理的に配
置される一方で、コアＶＣＳインフラストラクチャと同じプロバイダネットワークデータ
センターに仮想的に配置されると見なすことができる。いくつかの実施形態では、様々な
カテゴリの標準化されたまたはカスタマイズ可能な仮想マシンに加えて、またはその代わ
りに、例えばベアメタルインスタンス、ソフトウェアコンテナなどの他のタイプのプログ
ラム実行環境を、プロバイダネットワークの１つ以上のコンピューティングサービスの助
けを借りてセットアップおよび管理し得る。一実施形態では、ＶＣＳによってサポートさ
れるベアメタルインスタンスは、仮想化を利用することなく、使用されているホストのハ
ードウェアの少なくとも一部分を直接制御するオペレーティングシステムの様々なプロセ
スを含み得る（ただし、ハードウェア機能の小さなサブセットは、場合によっては仮想化
され得る）。そのような実施形態では、仮想化管理専用のハイパーバイザーは必要とされ
ない場合がある。ベアメタルインスタンス自体は、いくつかの実施形態では、仮想マシン
をホストするための機能を含み得る。「計算インスタンス」という用語は、様々な実施形
態では、プロバイダネットワークデータセンターでリソースを使用して、および／または
ＥＲＧを使用して、プロバイダネットワーククライアントに代わってセットアップおよび
管理され得るすべての異なる種類の実行環境（仮想マシン、ベアメタルインスタンス、ソ
フトウェアコンテナなどを含む）を集合的に指すために使用され得る。以下の説明の多く
では、仮想マシンが計算インスタンスの主要な例として考察されるが、ＥＲＧで仮想マシ
ンをセットアップおよび使用するために説明される技術は、様々な実施形態で、他のタイ
プの計算インスタンスと同等の成功を収めて適用することができることに注意されたい。
ドウェアデバイスは、例えば、プロバイダネットワークオペレータによって、様々なカテ
ゴリの仮想マシンをサポートするための、および同じ場所にある他のローカルデバイスと
の低遅延通信をサポートし、顧客のデータおよびアプリケーションのセキュリティを損な
うことなく、プロバイダネットワーク自体のセキュリティを損なうことなく、プロバイダ
ネットワークの任意の他の顧客のセキュリティを損なうことのない様式でこれを行うため
のハードウェア、ソフトウェア、および／またはファームウェア要素の適切な組み合わせ
で事前構成され得る。少なくともいくつかの実施形態では、「拡張リソースグループ」（
ＥＲＧ）という用語は、プロバイダネットワークの外部のプレミスに配置されたリソース
（例えば、ハードウェア、ソフトウェア、ファームウェア、構成メタデータなど）の集合
を指すために使用され得、仮想マシンがプレミスで確立され、利用されることを可能にす
る。拡張リソースグループが確立されるプレミス（例えば、顧客データセンター、フィー
ルドロケーションなど）は、様々な実施形態では、クライアントプレミスと呼ばれ得る。
事実上、仮想化コンピューティングサービス（ＶＣＳ）の顧客の観点から、様々な実施形
態では、ＥＲＧは、ＶＣＳの能力のローカル拡張を表すことができ、これは、インターネ
ットにアクセスしているる任意の所望の物理的場所でセットアップすることができ、ハー
ドウェアデバイスのセットを収容することができる（例えば、物理的スペース、電力など
に関して）。ＶＣＳ自体の観点からは、ＥＲＧは、顧客が選択したプレミスに物理的に配
置される一方で、コアＶＣＳインフラストラクチャと同じプロバイダネットワークデータ
センターに仮想的に配置されると見なすことができる。いくつかの実施形態では、様々な
カテゴリの標準化されたまたはカスタマイズ可能な仮想マシンに加えて、またはその代わ
りに、例えばベアメタルインスタンス、ソフトウェアコンテナなどの他のタイプのプログ
ラム実行環境を、プロバイダネットワークの１つ以上のコンピューティングサービスの助
けを借りてセットアップおよび管理し得る。一実施形態では、ＶＣＳによってサポートさ
れるベアメタルインスタンスは、仮想化を利用することなく、使用されているホストのハ
ードウェアの少なくとも一部分を直接制御するオペレーティングシステムの様々なプロセ
スを含み得る（ただし、ハードウェア機能の小さなサブセットは、場合によっては仮想化
され得る）。そのような実施形態では、仮想化管理専用のハイパーバイザーは必要とされ
ない場合がある。ベアメタルインスタンス自体は、いくつかの実施形態では、仮想マシン
をホストするための機能を含み得る。「計算インスタンス」という用語は、様々な実施形
態では、プロバイダネットワークデータセンターでリソースを使用して、および／または
ＥＲＧを使用して、プロバイダネットワーククライアントに代わってセットアップおよび
管理され得るすべての異なる種類の実行環境（仮想マシン、ベアメタルインスタンス、ソ
フトウェアコンテナなどを含む）を集合的に指すために使用され得る。以下の説明の多く
では、仮想マシンが計算インスタンスの主要な例として考察されるが、ＥＲＧで仮想マシ
ンをセットアップおよび使用するために説明される技術は、様々な実施形態で、他のタイ
プの計算インスタンスと同等の成功を収めて適用することができることに注意されたい。
仮想化コンピューティングサービス（ＶＣＳ）のリソースは、様々な実施形態では、２
つのカテゴリ、すなわちコントロールプレーンリソースおよびデータプレーンリソースに
大まかに細分され得る。コントロールプレーンリソースは、主に管理目的で、例えば、様
々な顧客向けに分離仮想ネットワークを確立するため、リソース使用状況および状態を監
視するため、要求された仮想マシンが起動される特定の仮想化ホストまたはサーバを特定
するため、必要に応じて追加のハードウェアをプロビジョニングするためなどに、使用す
ることができる。データプレーンリソースは、主に、例えば、クライアントアプリケーシ
ョンを実行する、クライアントアプリケーションデータを記憶および転送するなどの非管
理タスクに使用することができる。様々な実施形態では、ＥＲＧが、顧客が選択した場所
でセットアップされる場合、ＥＲＧのリソースは、プロバイダネットワークのデータセン
ターに配置されるＶＣＳのコントロールプレーンコンポーネントによって管理され得る。
したがって、少なくともいくつかの実施形態では、所与のプレミスでＥＲＧをセットアッ
プおよび使用することは、ＶＣＳのコントロールプレーン能力をローカルに複製すること
を必要としない場合があり、代わりに、プロバイダネットワークのデータセンターからＥ
ＲＧに送信されるコントロールプレーンコマンドのために安全なネットワーク接続をセッ
トアップすることができ、ＥＲＧのリソースは、主にデータプレーン操作に充てられ得る
。
つのカテゴリ、すなわちコントロールプレーンリソースおよびデータプレーンリソースに
大まかに細分され得る。コントロールプレーンリソースは、主に管理目的で、例えば、様
々な顧客向けに分離仮想ネットワークを確立するため、リソース使用状況および状態を監
視するため、要求された仮想マシンが起動される特定の仮想化ホストまたはサーバを特定
するため、必要に応じて追加のハードウェアをプロビジョニングするためなどに、使用す
ることができる。データプレーンリソースは、主に、例えば、クライアントアプリケーシ
ョンを実行する、クライアントアプリケーションデータを記憶および転送するなどの非管
理タスクに使用することができる。様々な実施形態では、ＥＲＧが、顧客が選択した場所
でセットアップされる場合、ＥＲＧのリソースは、プロバイダネットワークのデータセン
ターに配置されるＶＣＳのコントロールプレーンコンポーネントによって管理され得る。
したがって、少なくともいくつかの実施形態では、所与のプレミスでＥＲＧをセットアッ
プおよび使用することは、ＶＣＳのコントロールプレーン能力をローカルに複製すること
を必要としない場合があり、代わりに、プロバイダネットワークのデータセンターからＥ
ＲＧに送信されるコントロールプレーンコマンドのために安全なネットワーク接続をセッ
トアップすることができ、ＥＲＧのリソースは、主にデータプレーン操作に充てられ得る
。
特定の顧客データセンターＣＤＣ１などの特定の場所でＥＲＧを使用し始めたいＶＣＳ
顧客Ｃ１は、少なくともいくつかの実施形態では、以下と同様のワークフローに参加する
ことによってそうすることができる。Ｃ１は、最初に、物理的なＥＲＧ構成タイプのセッ
ト（例えば、標準サイズのサーバのハーフラックを含む「小」ＥＲＧ構成、サーバのフル
ラックを含む「中」ＥＲＧ構成、サーバの２つのフルラックを含む「大」ＥＲＧ構成）の
中から、所望の場所またはプレミスでセットアップされる特定の構成を任意選択で選択し
得る。デフォルトにより、Ｃ１がＥＲＧ構成タイプを明示的に選ぶことを望まない場合、
いくつかの実施形態では、特定の構成タイプ（「小」構成など）がクライアントに対して
選択され得、それにより、Ｃ１から必要とされる労力をさらに削減する。次に、ＥＲＧの
要求は、プログラムインターフェース（例えば、ウェブベースのコンソール、アプリケー
ションプログラミングインターフェース（ＡＰＩ）、コマンドラインツール、グラフィカ
ルユーザインターフェースなど）を介して、ＶＣＳに提出され得る。要求が承認された後
、ＥＲＧのハードウェア（適切なソフトウェア／ファームウェアがプリインストールされ
ている）を所望の場所に輸送し、電源に接続し、インターネットに接続することができる
。
顧客Ｃ１は、少なくともいくつかの実施形態では、以下と同様のワークフローに参加する
ことによってそうすることができる。Ｃ１は、最初に、物理的なＥＲＧ構成タイプのセッ
ト（例えば、標準サイズのサーバのハーフラックを含む「小」ＥＲＧ構成、サーバのフル
ラックを含む「中」ＥＲＧ構成、サーバの２つのフルラックを含む「大」ＥＲＧ構成）の
中から、所望の場所またはプレミスでセットアップされる特定の構成を任意選択で選択し
得る。デフォルトにより、Ｃ１がＥＲＧ構成タイプを明示的に選ぶことを望まない場合、
いくつかの実施形態では、特定の構成タイプ（「小」構成など）がクライアントに対して
選択され得、それにより、Ｃ１から必要とされる労力をさらに削減する。次に、ＥＲＧの
要求は、プログラムインターフェース（例えば、ウェブベースのコンソール、アプリケー
ションプログラミングインターフェース（ＡＰＩ）、コマンドラインツール、グラフィカ
ルユーザインターフェースなど）を介して、ＶＣＳに提出され得る。要求が承認された後
、ＥＲＧのハードウェア（適切なソフトウェア／ファームウェアがプリインストールされ
ている）を所望の場所に輸送し、電源に接続し、インターネットに接続することができる
。
少なくともいくつかの実施形態では、ネットワークマネージャは、１つ以上のトリガ条
件（電力および／またはインターネット接続の検出など）の検出に応答して、ＥＲＧのサ
ーバのうちの１つ以上でインスタンス化され得る。次いで、そのようなＥＲＧネットワー
クマネージャ（ＥＮＭ）は、例えば、Ｃ１からの追加の構成ガイダンスを必要とせず、１
つ以上のプロバイダネットワークデータセンターで、１つ以上のＶＣＳコンポーネント（
例えば、コントロールプレーン要素を含む）との安全なネットワーク接続の自動確立を開
始する（または少なくともその自動確立に参加する）ことができる。ＥＲＧ（ＣＤＣ１で
の）とＶＣＳコンポーネント（プロバイダネットワークデータセンター（複数可）での）
との間に接続が確立された後、様々な実施形態では、Ｃ１は、コマンドを発行して、プロ
バイダネットワークリソースのみを使用する仮想マシンに関して、そのようなコマンドが
発行される方法と同様の様式で、ＥＲＧリソースを使用する仮想マシンをインスタンス化
する（および／または仮想マシンを使用して他の操作を実行する）することができる。Ｃ
１の観点からは、ＶＣＳの機能は、ＣＤＣ１内のローカルリソース（および必要に応じて
プロバイダネットワークデータセンターに配置されたリソース）を使用してここでシーム
レスに利用することができる。ＥＲＧでセットアップされた仮想マシン（ＶＭ）は、様々
な実施形態では、ＣＤＣ１に配置された非ＶＣＳデバイス、および必要に応じてプロバイ
ダネットワークデータセンターでセットアップされる他のＶＭと通信することができる（
例えば、アドレス変換および／または他のカプセル化プロトコル関連処理を実行すること
ができるＥＮＭの助けを借りて）。ＥＲＧでセットアップされる少なくともいくつかのＶ
Ｍ、およびそのようなＶＭをビルディングブロックとして使用する関連付けられたより高
いレベルのサービスは、いくつかの実施形態では、プロバイダネットワークデータセンタ
ーへの接続が一時的に中断される期間の間でさえ機能し続けることができる。特に、低遅
延で、顧客データセンターに記憶される大量のアプリケーションデータにアクセスして処
理することを希望するＶＣＳの顧客の場合（例えば、法令遵守、セキュリティ、または他
の理由で）、アプリケーションデータと同じ場所に配置されたＶＣＳ ＶＭをセットアッ
プする能力は、様々な実施形態では、非常に有益である可能性がある。
件（電力および／またはインターネット接続の検出など）の検出に応答して、ＥＲＧのサ
ーバのうちの１つ以上でインスタンス化され得る。次いで、そのようなＥＲＧネットワー
クマネージャ（ＥＮＭ）は、例えば、Ｃ１からの追加の構成ガイダンスを必要とせず、１
つ以上のプロバイダネットワークデータセンターで、１つ以上のＶＣＳコンポーネント（
例えば、コントロールプレーン要素を含む）との安全なネットワーク接続の自動確立を開
始する（または少なくともその自動確立に参加する）ことができる。ＥＲＧ（ＣＤＣ１で
の）とＶＣＳコンポーネント（プロバイダネットワークデータセンター（複数可）での）
との間に接続が確立された後、様々な実施形態では、Ｃ１は、コマンドを発行して、プロ
バイダネットワークリソースのみを使用する仮想マシンに関して、そのようなコマンドが
発行される方法と同様の様式で、ＥＲＧリソースを使用する仮想マシンをインスタンス化
する（および／または仮想マシンを使用して他の操作を実行する）することができる。Ｃ
１の観点からは、ＶＣＳの機能は、ＣＤＣ１内のローカルリソース（および必要に応じて
プロバイダネットワークデータセンターに配置されたリソース）を使用してここでシーム
レスに利用することができる。ＥＲＧでセットアップされた仮想マシン（ＶＭ）は、様々
な実施形態では、ＣＤＣ１に配置された非ＶＣＳデバイス、および必要に応じてプロバイ
ダネットワークデータセンターでセットアップされる他のＶＭと通信することができる（
例えば、アドレス変換および／または他のカプセル化プロトコル関連処理を実行すること
ができるＥＮＭの助けを借りて）。ＥＲＧでセットアップされる少なくともいくつかのＶ
Ｍ、およびそのようなＶＭをビルディングブロックとして使用する関連付けられたより高
いレベルのサービスは、いくつかの実施形態では、プロバイダネットワークデータセンタ
ーへの接続が一時的に中断される期間の間でさえ機能し続けることができる。特に、低遅
延で、顧客データセンターに記憶される大量のアプリケーションデータにアクセスして処
理することを希望するＶＣＳの顧客の場合（例えば、法令遵守、セキュリティ、または他
の理由で）、アプリケーションデータと同じ場所に配置されたＶＣＳ ＶＭをセットアッ
プする能力は、様々な実施形態では、非常に有益である可能性がある。
当業者が本開示に照らして理解するように、特定の実施形態は、以下、すなわち（ａ）
場所に依存しない様式で、例えば、仮想化されたコンピューティングサービスのクライア
ントによって選択されたプレミスに配置されたリソースを使用しながら、さらにプロバイ
ダネットワークを使用することで可能になるスケーラビリティ、セキュリティ、可用性、
および他の運用上の利点を維持して、多種多様な仮想化コンピューティングアプリケーシ
ョンが実装されることを可能にすること、（ｂ）アプリケーションデータの量、および顧
客データセンターとプロバイダネットワークデータセンターとの間のリンクなどの長距離
を転送する必要のある結果を削減すること、（ｃ）アプリケーションをデータソース／デ
スティネーションの近くに移動することによって、潜在的に大量のデータが入力として消
費されるか、または出力として生成されるアプリケーションの全体的な遅延および応答性
を向上させること、および／または（ｄ）機密性の高いアプリケーションデータのセキュ
リティを向上させることのうちのいくつかまたはすべてを含む様々な利点を達成すること
ができる可能性がある。様々な実施形態では、拡張リソースグループ（ＥＲＧ）の設計お
よび実装の根底にある指針および目標は、とりわけ、（ａ）計算およびデータリソースの
局所性を利用することに基づいて、遅延の短縮された計算を可能にすること、（ｂ）顧客
データが記憶されている場所へのネットワークトラフィックを制限して完全にロギングす
ることにより、顧客データのセキュリティを確保すること、（ｃ）ＥＲＧリソースを使用
して、様々なプロバイダネットワークサービスにファーストクラスのサポート（プロバイ
ダネットワークデータセンターに配置されたリソースを使用して可能であるサポートに相
当する）を提供すること、（ｄ）プロバイダネットワークの独自のデータセンターを潜在
的な敵対アクターから保護すること（例えば、ＥＲＧで運営すること）、および／または
（ｅ）ＥＲＧからプロバイダネットワークへの不完全なネットワーク接続の条件下でも、
ＥＲＧでのサービスの継続的な履行をサポートすること、を含み得る。
場所に依存しない様式で、例えば、仮想化されたコンピューティングサービスのクライア
ントによって選択されたプレミスに配置されたリソースを使用しながら、さらにプロバイ
ダネットワークを使用することで可能になるスケーラビリティ、セキュリティ、可用性、
および他の運用上の利点を維持して、多種多様な仮想化コンピューティングアプリケーシ
ョンが実装されることを可能にすること、（ｂ）アプリケーションデータの量、および顧
客データセンターとプロバイダネットワークデータセンターとの間のリンクなどの長距離
を転送する必要のある結果を削減すること、（ｃ）アプリケーションをデータソース／デ
スティネーションの近くに移動することによって、潜在的に大量のデータが入力として消
費されるか、または出力として生成されるアプリケーションの全体的な遅延および応答性
を向上させること、および／または（ｄ）機密性の高いアプリケーションデータのセキュ
リティを向上させることのうちのいくつかまたはすべてを含む様々な利点を達成すること
ができる可能性がある。様々な実施形態では、拡張リソースグループ（ＥＲＧ）の設計お
よび実装の根底にある指針および目標は、とりわけ、（ａ）計算およびデータリソースの
局所性を利用することに基づいて、遅延の短縮された計算を可能にすること、（ｂ）顧客
データが記憶されている場所へのネットワークトラフィックを制限して完全にロギングす
ることにより、顧客データのセキュリティを確保すること、（ｃ）ＥＲＧリソースを使用
して、様々なプロバイダネットワークサービスにファーストクラスのサポート（プロバイ
ダネットワークデータセンターに配置されたリソースを使用して可能であるサポートに相
当する）を提供すること、（ｄ）プロバイダネットワークの独自のデータセンターを潜在
的な敵対アクターから保護すること（例えば、ＥＲＧで運営すること）、および／または
（ｅ）ＥＲＧからプロバイダネットワークへの不完全なネットワーク接続の条件下でも、
ＥＲＧでのサービスの継続的な履行をサポートすること、を含み得る。
顧客データおよびアプリケーション、ならびにプロバイダネットワークに対して目標と
する高レベルのセキュリティを達成するために、分離仮想ネットワークおよび仮想ネット
ワークインターフェース（ＶＮＩ）の使用を含む、いくつかのネットワーク構成技術（お
よび他のタイプの構成設定）を、異なる実施形態で利用することができる。分離仮想ネッ
トワーク（ＩＶＮ）は、その名前が示すように、様々な実施形態では、ネットワーク構成
設定の少なくともいくつかのタイプに関して、仮想化コンピューティングサービスの残り
のリソースから論理的に分離または切り離されるリソースのセットを含み得る。ＩＶＮは
、様々な目的で、仮想化されたコンピューティングサービスで、または仮想化されたコン
ピューティングサービスによって確立され得る（および、場合によっては、プロバイダネ
ットワークのデータセンターの外部に配置されたＥＲＧに拡張される）。例えば、ＩＶＮ
は、顧客専用のリソースのセットを確保することで特定の顧客向けにセットアップするこ
とができ、リソースのそのセットのネットワーク構成に関してかなりの柔軟性が、顧客に
提供される。ＩＶＮ内で、顧客は、サブネットをセットアップし、所望のプライベートＩ
Ｐアドレスを様々なリソースに割り当て、着信および発信トラフィックを管理するセキュ
リティルールをセットアップするなど、行うことができる。少なくともいくつかの実施形
態では、デフォルトで、１つのＩＶＮ内にセットアップされたプライベートネットワーク
アドレスのセットは、別のＩＶＮから（またはより一般的にはＩＶＮの外部から）アクセ
ス可能でない場合がある。少なくともいくつかの実施形態では、ＶＣＳを非プロバイダネ
ットワークプレミスに拡張するために使用されるセキュリティメカニズムのうちの１つは
、（プロバイダネットワークデータセンターでリソースを使用して）アウトバウンドコマ
ンドコミュニケータ（ＯＣＣ）のインスタンスのプールを含む１つ以上のＩＶＮをセット
アップすることを含み得る。ＶＣＳコントロールプレーンのサーバおよびデバイスから論
理的に（および／または物理的に）切り離されたままにされ得るそのようなコミュニケー
タは、様々な実施形態では、安全なネットワーキングチャネルを使用して、ＶＣＳコント
ロールプレーンからＥＲＧに管理コマンドを送信するために使用され得る。様々な実施形
態では、管理メッセージが、ＥＲＧからセキュアネットワーキングチャネルを介してコン
トロールプレーンに戻されることができないことを確実にするようにＯＣＣを構成するこ
ともでき、したがって、他の顧客に影響を与える可能性のある管理操作が、任意の所与の
顧客のＥＲＧで開始されるのを防止する。少なくともいくつかの実施形態では、個々のＯ
ＣＣインスタンスは、以下でさらに詳細に考察されるように、仮想マシンに接続された１
つ以上の仮想ネットワークインターフェースを備える仮想マシンを含み得る。仮想ネット
ワークインターフェース（ＶＮＩ）は、様々な実施形態では、仮想マシンにプログラムで
接続または関連付けることができるパブリックおよび／またはプライベートＩＰ（インタ
ーネットプロトコル）アドレス、セキュリティ設定などを含むネットワークプロパティの
セットを含み得る。ＯＣＣインスタンス、ＩＶＮ、およびＶＮＩを利用して、ＥＲＧを介
して提供される仮想化コンピューティング能力を確保する様式の詳細を、以下に提供する
。
する高レベルのセキュリティを達成するために、分離仮想ネットワークおよび仮想ネット
ワークインターフェース（ＶＮＩ）の使用を含む、いくつかのネットワーク構成技術（お
よび他のタイプの構成設定）を、異なる実施形態で利用することができる。分離仮想ネッ
トワーク（ＩＶＮ）は、その名前が示すように、様々な実施形態では、ネットワーク構成
設定の少なくともいくつかのタイプに関して、仮想化コンピューティングサービスの残り
のリソースから論理的に分離または切り離されるリソースのセットを含み得る。ＩＶＮは
、様々な目的で、仮想化されたコンピューティングサービスで、または仮想化されたコン
ピューティングサービスによって確立され得る（および、場合によっては、プロバイダネ
ットワークのデータセンターの外部に配置されたＥＲＧに拡張される）。例えば、ＩＶＮ
は、顧客専用のリソースのセットを確保することで特定の顧客向けにセットアップするこ
とができ、リソースのそのセットのネットワーク構成に関してかなりの柔軟性が、顧客に
提供される。ＩＶＮ内で、顧客は、サブネットをセットアップし、所望のプライベートＩ
Ｐアドレスを様々なリソースに割り当て、着信および発信トラフィックを管理するセキュ
リティルールをセットアップするなど、行うことができる。少なくともいくつかの実施形
態では、デフォルトで、１つのＩＶＮ内にセットアップされたプライベートネットワーク
アドレスのセットは、別のＩＶＮから（またはより一般的にはＩＶＮの外部から）アクセ
ス可能でない場合がある。少なくともいくつかの実施形態では、ＶＣＳを非プロバイダネ
ットワークプレミスに拡張するために使用されるセキュリティメカニズムのうちの１つは
、（プロバイダネットワークデータセンターでリソースを使用して）アウトバウンドコマ
ンドコミュニケータ（ＯＣＣ）のインスタンスのプールを含む１つ以上のＩＶＮをセット
アップすることを含み得る。ＶＣＳコントロールプレーンのサーバおよびデバイスから論
理的に（および／または物理的に）切り離されたままにされ得るそのようなコミュニケー
タは、様々な実施形態では、安全なネットワーキングチャネルを使用して、ＶＣＳコント
ロールプレーンからＥＲＧに管理コマンドを送信するために使用され得る。様々な実施形
態では、管理メッセージが、ＥＲＧからセキュアネットワーキングチャネルを介してコン
トロールプレーンに戻されることができないことを確実にするようにＯＣＣを構成するこ
ともでき、したがって、他の顧客に影響を与える可能性のある管理操作が、任意の所与の
顧客のＥＲＧで開始されるのを防止する。少なくともいくつかの実施形態では、個々のＯ
ＣＣインスタンスは、以下でさらに詳細に考察されるように、仮想マシンに接続された１
つ以上の仮想ネットワークインターフェースを備える仮想マシンを含み得る。仮想ネット
ワークインターフェース（ＶＮＩ）は、様々な実施形態では、仮想マシンにプログラムで
接続または関連付けることができるパブリックおよび／またはプライベートＩＰ（インタ
ーネットプロトコル）アドレス、セキュリティ設定などを含むネットワークプロパティの
セットを含み得る。ＯＣＣインスタンス、ＩＶＮ、およびＶＮＩを利用して、ＥＲＧを介
して提供される仮想化コンピューティング能力を確保する様式の詳細を、以下に提供する
。
いくつかの実施形態によれば、システムは、プロバイダネットワークの仮想化コンピュ
ーティングサービス（ＶＣＳ）の１つ以上のコンピューティングデバイスを含み得る。プ
ロバイダネットワークは、１つ以上のデータセンターを含み得る。コンピューティングデ
バイスは、命令を含み得、命令は、プロセッサ上で実行されると、コンピューティングデ
バイスに、第１の分離仮想ネットワーク（ＩＶＮ）内で、拡張リソースグループ（ＥＲＧ
）に関連付けられたアウトバウンドコマンドコミュニケータ（ＯＣＣ）をインスタンス化
させる。ＥＲＧは、いくつかの実施形態では、プロバイダネットワークの１つ以上のデー
タセンターの外部の第１のプレミスに配置された少なくとも第１の仮想化ホストを含み得
る。ＯＣＣは、様々な実施形態では、コマンドがＥＲＧから提出されることを可能にする
ことなく、管理コマンドをＥＲＧに安全に転送する仲介者として機能し得る。例えば、構
成設定は、ＥＲＧからの少なくともいくつかのタイプのネットワークパケットがＯＣＣを
介してＶＣＳのコントロールプレーンに送信されることを防止し得る。命令はまた、実行
されると、コンピューティングデバイスに、（ａ）プロバイダネットワークの１つ以上の
データセンターのリソースを含む第２の分離仮想ネットワークの一部分と、（ｂ）プロバ
イダネットワークの外部の第１のプレミスに配置された１つ以上のリソースとの間に確立
された安全なネットワークチャネル（例えば、ＶＰＮもしくは仮想プライベートネットワ
ークトンネルもしくは接続、またはトラフィックが専用の物理リンクを介して流れる接続
）の表示を、ＯＣＣで取得させ得る。そのような安全なネットワーキングチャネルは、例
えば、プロバイダネットワークのデータセンター内のＥＲＧネットワークマネージャと顧
客ＩＶＮとの間に確立され得る。
ーティングサービス（ＶＣＳ）の１つ以上のコンピューティングデバイスを含み得る。プ
ロバイダネットワークは、１つ以上のデータセンターを含み得る。コンピューティングデ
バイスは、命令を含み得、命令は、プロセッサ上で実行されると、コンピューティングデ
バイスに、第１の分離仮想ネットワーク（ＩＶＮ）内で、拡張リソースグループ（ＥＲＧ
）に関連付けられたアウトバウンドコマンドコミュニケータ（ＯＣＣ）をインスタンス化
させる。ＥＲＧは、いくつかの実施形態では、プロバイダネットワークの１つ以上のデー
タセンターの外部の第１のプレミスに配置された少なくとも第１の仮想化ホストを含み得
る。ＯＣＣは、様々な実施形態では、コマンドがＥＲＧから提出されることを可能にする
ことなく、管理コマンドをＥＲＧに安全に転送する仲介者として機能し得る。例えば、構
成設定は、ＥＲＧからの少なくともいくつかのタイプのネットワークパケットがＯＣＣを
介してＶＣＳのコントロールプレーンに送信されることを防止し得る。命令はまた、実行
されると、コンピューティングデバイスに、（ａ）プロバイダネットワークの１つ以上の
データセンターのリソースを含む第２の分離仮想ネットワークの一部分と、（ｂ）プロバ
イダネットワークの外部の第１のプレミスに配置された１つ以上のリソースとの間に確立
された安全なネットワークチャネル（例えば、ＶＰＮもしくは仮想プライベートネットワ
ークトンネルもしくは接続、またはトラフィックが専用の物理リンクを介して流れる接続
）の表示を、ＯＣＣで取得させ得る。そのような安全なネットワーキングチャネルは、例
えば、プロバイダネットワークのデータセンター内のＥＲＧネットワークマネージャと顧
客ＩＶＮとの間に確立され得る。
ＯＣＣでは、仮想マシン起動コマンド（ＶＣＳクライアントからのプログラム要求に応
答して生成される）は、様々な実施形態では、取得または判定され得る。クライアントか
らのプログラム要求は、少なくともいくつかの実施形態では、安全なネットワークチャネ
ルを含まない経路を介して、クライアントからＶＣＳの制御面で受信し得、例えば、コマ
ンドは、ウェブベースのコンソールで提出され、プロバイダネットワークデータセンター
内にセットアップされた仮想マシンに関して、クライアントによって提出された管理コマ
ンドに使用されるのと同じ種類のパスを介して送信され得る。命令は、実行時、様々な実
施形態では、コンピューティングデバイスに、仮想マシン起動コマンドの表現を、安全な
ネットワークチャネルを介して、第１のＯＣＣから拡張リソースグループに送信させるこ
とができる。少なくともいくつかの実施形態では、第１の仮想化ホストでの表現の処理は
、少なくとも部分的に、第１の仮想化ホストでの仮想マシンのインスタンス化をもたらし
得る。構成設定がコマンドのフローをＶＣＳコントロールプレーンからＥＲＧへのアウト
バウンド方向のみに制限する方法のため、ＥＲＧからコマンドを提出することができない
ため、様々な実施形態では、ＶＣＳおよびその顧客のセキュリティを強化することができ
、それは、ＶＣＳデータセンターまたは他のＥＲＧでの運用に影響を与え得る。仮想マシ
ン起動コマンドに加えて、他の管理コマンド（例えば、ＥＲＧで仮想マシンをシャットダ
ウンするためのコマンド、ＥＲＧで仮想マシンのプロパティを表示または変更するコマン
ドなど）も、ＯＣＣ、およびＥＲＧで確立された安全なネットワークチャネルを使用する
顧客に代わって、ＶＣＳコントロールプレーンから送信され得る。
答して生成される）は、様々な実施形態では、取得または判定され得る。クライアントか
らのプログラム要求は、少なくともいくつかの実施形態では、安全なネットワークチャネ
ルを含まない経路を介して、クライアントからＶＣＳの制御面で受信し得、例えば、コマ
ンドは、ウェブベースのコンソールで提出され、プロバイダネットワークデータセンター
内にセットアップされた仮想マシンに関して、クライアントによって提出された管理コマ
ンドに使用されるのと同じ種類のパスを介して送信され得る。命令は、実行時、様々な実
施形態では、コンピューティングデバイスに、仮想マシン起動コマンドの表現を、安全な
ネットワークチャネルを介して、第１のＯＣＣから拡張リソースグループに送信させるこ
とができる。少なくともいくつかの実施形態では、第１の仮想化ホストでの表現の処理は
、少なくとも部分的に、第１の仮想化ホストでの仮想マシンのインスタンス化をもたらし
得る。構成設定がコマンドのフローをＶＣＳコントロールプレーンからＥＲＧへのアウト
バウンド方向のみに制限する方法のため、ＥＲＧからコマンドを提出することができない
ため、様々な実施形態では、ＶＣＳおよびその顧客のセキュリティを強化することができ
、それは、ＶＣＳデータセンターまたは他のＥＲＧでの運用に影響を与え得る。仮想マシ
ン起動コマンドに加えて、他の管理コマンド（例えば、ＥＲＧで仮想マシンをシャットダ
ウンするためのコマンド、ＥＲＧで仮想マシンのプロパティを表示または変更するコマン
ドなど）も、ＯＣＣ、およびＥＲＧで確立された安全なネットワークチャネルを使用する
顧客に代わって、ＶＣＳコントロールプレーンから送信され得る。
少なくともいくつかの実施形態では、ＯＣＣは、クライアントによって選択されたプレ
ミスでＥＲＧのハードウェア機器が引き渡される時間の前にセットアップされ得る。例え
ば、一実施形態では、ＶＣＳ顧客がプログラム要求を介してＥＲＧを注文する時間と、Ｅ
ＲＧハードウェアがプレミスに引き渡されてセットアップされる時間と、ＥＲＧを確立す
るプログラム要求の受信との間に遅延があり得ることにより、その顧客のＥＲＧのために
特別に指定されたＯＣＣのプロアクティブな構成またはインスタンス化がトリガされ得る
。一意の識別子は、各ＥＲＧ要求に対して生成され得、いくつかの実施形態では、ＥＲＧ
のために指定されたＯＣＣからアクセス可能なメタデータエントリに記憶され得、その識
別子はまた、ＥＲＧの一部として出荷されるハードウェアデバイスのうちの１つに含まれ
得、したがって、ＶＣＳとＥＲＧの間に接続が確立されたときに、ＥＲＧバンが正しいＯ
ＣＣと一致する。少なくともいくつかの実施形態では、ＥＲＧのネットワークマネージャ
は、ＶＣＳとの安全なネットワークチャネル（ＶＰＮトンネルなど）の確立を開始するこ
とができ、ＯＣＣは、安全なネットワークチャネルを確立するための要求の前にインスタ
ンス化することができる。いくつかの実施形態では、ＯＣＣは、プロバイダネットワーク
のデータセンター内の仮想マシンを使用して実装され得る。
ミスでＥＲＧのハードウェア機器が引き渡される時間の前にセットアップされ得る。例え
ば、一実施形態では、ＶＣＳ顧客がプログラム要求を介してＥＲＧを注文する時間と、Ｅ
ＲＧハードウェアがプレミスに引き渡されてセットアップされる時間と、ＥＲＧを確立す
るプログラム要求の受信との間に遅延があり得ることにより、その顧客のＥＲＧのために
特別に指定されたＯＣＣのプロアクティブな構成またはインスタンス化がトリガされ得る
。一意の識別子は、各ＥＲＧ要求に対して生成され得、いくつかの実施形態では、ＥＲＧ
のために指定されたＯＣＣからアクセス可能なメタデータエントリに記憶され得、その識
別子はまた、ＥＲＧの一部として出荷されるハードウェアデバイスのうちの１つに含まれ
得、したがって、ＶＣＳとＥＲＧの間に接続が確立されたときに、ＥＲＧバンが正しいＯ
ＣＣと一致する。少なくともいくつかの実施形態では、ＥＲＧのネットワークマネージャ
は、ＶＣＳとの安全なネットワークチャネル（ＶＰＮトンネルなど）の確立を開始するこ
とができ、ＯＣＣは、安全なネットワークチャネルを確立するための要求の前にインスタ
ンス化することができる。いくつかの実施形態では、ＯＣＣは、プロバイダネットワーク
のデータセンター内の仮想マシンを使用して実装され得る。
少なくともいくつかの実施形態では、サービスプロバイダ環境でのＶＣＳのコントロー
ルプレーンは、仮想化ホスト用に特定の範囲のサービスネットワークアドレスＳＡＲ１を
使用することができる（仮想化ホストがサービスプロバイダのデータセンター内に配置さ
れるか、またはクライアントプレミスにセットアップされたＥＲＧの一部であるかに関係
なく）。プロバイダネットワークデータセンター内では、コントロールプレーンによって
管理されるネットワークは、計算インスタンスをホストするように構成された複数のサー
バを含み得る。以下に説明する仮想ネットワークインターフェース（ＶＮＩ）および／ま
たは他の技術を使用して、少なくとも１つの実施形態では、コントロールプレーンによっ
てＥＲＧのターゲット仮想化ホストＨ１に割り当てられたアドレスＡｄｄｒ１はまた、コ
ントロールプレーンコマンドをＥＲＧに転送するために使用される特定のＯＣＣに割り当
てられ得る。そのような実施形態では、コントロールプレーンの観点から、ＯＣＣ（サー
ビスプロバイダデータセンターでの仮想化ホストと同じネットワーク内で構成され得るか
、またはそれに結合され得る）は、事実上、ホストＨ１を表すことができる。デスティネ
ーションアドレスとしてＡｄｄｒ１を使用して、ＥＲＧで計算インスタンスを起動するた
めの要求を含む第１のメッセージは、少なくともいくつかの実施形態では、コントロール
プレーンからＯＣＣに送信され得る。
ルプレーンは、仮想化ホスト用に特定の範囲のサービスネットワークアドレスＳＡＲ１を
使用することができる（仮想化ホストがサービスプロバイダのデータセンター内に配置さ
れるか、またはクライアントプレミスにセットアップされたＥＲＧの一部であるかに関係
なく）。プロバイダネットワークデータセンター内では、コントロールプレーンによって
管理されるネットワークは、計算インスタンスをホストするように構成された複数のサー
バを含み得る。以下に説明する仮想ネットワークインターフェース（ＶＮＩ）および／ま
たは他の技術を使用して、少なくとも１つの実施形態では、コントロールプレーンによっ
てＥＲＧのターゲット仮想化ホストＨ１に割り当てられたアドレスＡｄｄｒ１はまた、コ
ントロールプレーンコマンドをＥＲＧに転送するために使用される特定のＯＣＣに割り当
てられ得る。そのような実施形態では、コントロールプレーンの観点から、ＯＣＣ（サー
ビスプロバイダデータセンターでの仮想化ホストと同じネットワーク内で構成され得るか
、またはそれに結合され得る）は、事実上、ホストＨ１を表すことができる。デスティネ
ーションアドレスとしてＡｄｄｒ１を使用して、ＥＲＧで計算インスタンスを起動するた
めの要求を含む第１のメッセージは、少なくともいくつかの実施形態では、コントロール
プレーンからＯＣＣに送信され得る。
いくつかの実施形態では、対象となるＥＲＧのネットワークマネージャ（ＥＮＭ）は、
少なくとも第２のネットワークアドレスＡｄｄｒ２が割り当てられている可能性がある１
つ以上のデバイス（例えば、上で考察されたハードウェアカード）で動作している可能性
がある。Ａｄｄｒ２は、例えば、顧客データセンターまたは他のクライアントプレミスで
確立された第１のネットワーク内のアドレスであり、それは、デバイスにクライアントア
ドレス範囲ＣＡＲ１を使用する。Ａｄｄｒ１のコントロールプレーンから第１のメッセー
ジを受信したことに応答して、ＯＣＣは、様々な実施形態では、計算インスタンスを起動
するための要求の少なくとも一部分を含む第２のメッセージを準備し、これを、Ａｄｄｒ
２をデスティネーションアドレスとしてＥＮＭに送信する。第２のメッセージを受信する
と、ＥＮＭが動作するデバイスは、第２のメッセージの少なくとも一部分（例えば、計算
インスタンスが起動されることを示す）をターゲット仮想化ホストＨ１に転送することが
できる。いくつかの実施形態では、少なくとも２つ、すなわち、ネットワークアドレス範
囲ＣＡＲ１を使用する第１のネットワーク、およびＨ１などの様々なホスト／サーバが、
少なくともＳＡＲ１のサブ範囲（コントロールプレーンによって仮想化ホストに使用され
るアドレス範囲）からのアドレスが割り当てられる第２のネットワーク（それは、ＥＮＭ
によってセットアップされたプライベートネットワークであり得る）は、クイアントプレ
ミス（例えば、顧客データセンター）で確立され得る。そのような実施形態では、ターゲ
ット仮想化ホストＨ１は、ＯＣＣに割り当てられたのと同じアドレスＡｄｄｒ１が割り当
てられ得、ＥＮＭは、Ａｄｄｒ１をデスティネーションアドレスとして使用して、起動メ
ッセージをターゲット仮想化ホストに送信し得る。事実上、コントロールプレーンによっ
てデスティネーションアドレスＡｄｄｒ１に最初に指示されたが、ＥＲＧへのパスに沿っ
てデスティネーションとして１つ以上の他のアドレスを使用して送信された可能性がある
、計算インスタンスを起動するコマンド／要求は、再びＥＲＧ内のデスティネーションア
ドレスＡｄｄｒ１に送信され得、したがって、いくつかの実施形態では、少なくとも２つ
のアドレス変換操作がコマンドの送信に関与し得る。ＥＮＭ自体は、いくつかの実施形態
では、クライアントプレミスの両方のネットワークの一部であり得、例えば、ＥＮＭの少
なくとも一部分が動作するデバイスは、ＣＡＲ１が使用されるネットワーク内、およびＨ
１（ＳＡＲ１が使用される）を含むネットワーク内でもそれぞれのアドレスが割り当てら
れ得る。ホストＨ１がＥＮＭによって送信されたメッセージを受信すると、要求された操
作は、実行され得、例えば、計算インスタンスは、Ｈ１で起動され得る。
少なくとも第２のネットワークアドレスＡｄｄｒ２が割り当てられている可能性がある１
つ以上のデバイス（例えば、上で考察されたハードウェアカード）で動作している可能性
がある。Ａｄｄｒ２は、例えば、顧客データセンターまたは他のクライアントプレミスで
確立された第１のネットワーク内のアドレスであり、それは、デバイスにクライアントア
ドレス範囲ＣＡＲ１を使用する。Ａｄｄｒ１のコントロールプレーンから第１のメッセー
ジを受信したことに応答して、ＯＣＣは、様々な実施形態では、計算インスタンスを起動
するための要求の少なくとも一部分を含む第２のメッセージを準備し、これを、Ａｄｄｒ
２をデスティネーションアドレスとしてＥＮＭに送信する。第２のメッセージを受信する
と、ＥＮＭが動作するデバイスは、第２のメッセージの少なくとも一部分（例えば、計算
インスタンスが起動されることを示す）をターゲット仮想化ホストＨ１に転送することが
できる。いくつかの実施形態では、少なくとも２つ、すなわち、ネットワークアドレス範
囲ＣＡＲ１を使用する第１のネットワーク、およびＨ１などの様々なホスト／サーバが、
少なくともＳＡＲ１のサブ範囲（コントロールプレーンによって仮想化ホストに使用され
るアドレス範囲）からのアドレスが割り当てられる第２のネットワーク（それは、ＥＮＭ
によってセットアップされたプライベートネットワークであり得る）は、クイアントプレ
ミス（例えば、顧客データセンター）で確立され得る。そのような実施形態では、ターゲ
ット仮想化ホストＨ１は、ＯＣＣに割り当てられたのと同じアドレスＡｄｄｒ１が割り当
てられ得、ＥＮＭは、Ａｄｄｒ１をデスティネーションアドレスとして使用して、起動メ
ッセージをターゲット仮想化ホストに送信し得る。事実上、コントロールプレーンによっ
てデスティネーションアドレスＡｄｄｒ１に最初に指示されたが、ＥＲＧへのパスに沿っ
てデスティネーションとして１つ以上の他のアドレスを使用して送信された可能性がある
、計算インスタンスを起動するコマンド／要求は、再びＥＲＧ内のデスティネーションア
ドレスＡｄｄｒ１に送信され得、したがって、いくつかの実施形態では、少なくとも２つ
のアドレス変換操作がコマンドの送信に関与し得る。ＥＮＭ自体は、いくつかの実施形態
では、クライアントプレミスの両方のネットワークの一部であり得、例えば、ＥＮＭの少
なくとも一部分が動作するデバイスは、ＣＡＲ１が使用されるネットワーク内、およびＨ
１（ＳＡＲ１が使用される）を含むネットワーク内でもそれぞれのアドレスが割り当てら
れ得る。ホストＨ１がＥＮＭによって送信されたメッセージを受信すると、要求された操
作は、実行され得、例えば、計算インスタンスは、Ｈ１で起動され得る。
少なくともいくつかの実施形態では、ＶＣＳは、仮想マシンカテゴリのセットの表示を
提供することができ、その所望数のインスタンスが、ＶＣＳクライアントの要求に応じて
プロバイダネットワークデータセンターおよび／またはＥＲＧで確立され得る。したがっ
て、例えば、クライアントＣ１は、プロバイダネットワークデータセンターでカテゴリＣ
ａｔ１のＮ個のＶＭを要求し、Ｃ１に代わってセットアップされたＥＲＧで同じカテゴリ
Ｃａｔ１のＭ個のＶＭを要求する場合もある。いくつかの実施形態では、ＶＭの少なくと
もいくつかのカテゴリは、ＥＲＧでのみサポートされ得るか、またはプロバイダネットワ
ークデータセンターでのみサポートされ得る。
提供することができ、その所望数のインスタンスが、ＶＣＳクライアントの要求に応じて
プロバイダネットワークデータセンターおよび／またはＥＲＧで確立され得る。したがっ
て、例えば、クライアントＣ１は、プロバイダネットワークデータセンターでカテゴリＣ
ａｔ１のＮ個のＶＭを要求し、Ｃ１に代わってセットアップされたＥＲＧで同じカテゴリ
Ｃａｔ１のＭ個のＶＭを要求する場合もある。いくつかの実施形態では、ＶＭの少なくと
もいくつかのカテゴリは、ＥＲＧでのみサポートされ得るか、またはプロバイダネットワ
ークデータセンターでのみサポートされ得る。
ＯＣＣは、いくつかの実施形態では、コマンドの表現をＥＲＧに転送する前に、仮想マ
シン構成コマンド（例えば、起動コマンド）に対して１つ以上の変換を実行することがで
きる。例えば、ＯＣＣでＶＣＳコントロールプレーンから取得されたコマンドのバージョ
ンは、いくつかの実施形態では、１つ以上のセキュリティトークン（例えば、コマンドの
結果として実行された操作のリクエスタのアイデンティティを検証するために使用するこ
とができ、リクエスタが、操作を要求するために必要な許可を有するトークン）を含み得
、ＯＣＣは、ＥＲＧに転送されるコマンドのバージョンからトークンを除去するか、また
は除外することができる。少なくともいくつかの実施形態では、最初のセキュリティトー
クンは、変換され得（例えば、ＶＣＳコントロールプレーンで最初に使用されたものとは
異なるキーを使用して署名され）、コマンドがＶＣＳコントロールプレーンによって指示
されるターゲットホストで認証され得る、セキュリティトークンの変換されたバージョン
は、コマンドの転送されたバージョンに含まれ得る。少なくとも１つの実施形態では、そ
れぞれのメッセージ認証コード（例えば、ハッシュベースのメッセージ認証コードまたは
ＨＭＡＣを含む）は、ＯＣＣからＥＲＧに送信されるアウトバウンドコマンドのために生
成され得る。様々な実施形態では、ＯＣＣは、所与のＥＲＧに送信されたすべてのアウト
バウンド通信メッセージをログに記録することができ、ログに記録されたメッセージは、
クライアントによって検査され得、クライアントに代わって、必要に応じてＥＲＧがセッ
トアップされる。いくつかの実施形態では、少なくとも２つの仮想ネットワークインター
フェースは、所与のＯＣＣに関連付けられ得、１つは、ＶＣＳコントロールプレーンから
コマンドを取得するために使用され、もう１つは、安全なネットワークチャネルを使用し
てＥＲＧと通信するために使用される。
シン構成コマンド（例えば、起動コマンド）に対して１つ以上の変換を実行することがで
きる。例えば、ＯＣＣでＶＣＳコントロールプレーンから取得されたコマンドのバージョ
ンは、いくつかの実施形態では、１つ以上のセキュリティトークン（例えば、コマンドの
結果として実行された操作のリクエスタのアイデンティティを検証するために使用するこ
とができ、リクエスタが、操作を要求するために必要な許可を有するトークン）を含み得
、ＯＣＣは、ＥＲＧに転送されるコマンドのバージョンからトークンを除去するか、また
は除外することができる。少なくともいくつかの実施形態では、最初のセキュリティトー
クンは、変換され得（例えば、ＶＣＳコントロールプレーンで最初に使用されたものとは
異なるキーを使用して署名され）、コマンドがＶＣＳコントロールプレーンによって指示
されるターゲットホストで認証され得る、セキュリティトークンの変換されたバージョン
は、コマンドの転送されたバージョンに含まれ得る。少なくとも１つの実施形態では、そ
れぞれのメッセージ認証コード（例えば、ハッシュベースのメッセージ認証コードまたは
ＨＭＡＣを含む）は、ＯＣＣからＥＲＧに送信されるアウトバウンドコマンドのために生
成され得る。様々な実施形態では、ＯＣＣは、所与のＥＲＧに送信されたすべてのアウト
バウンド通信メッセージをログに記録することができ、ログに記録されたメッセージは、
クライアントによって検査され得、クライアントに代わって、必要に応じてＥＲＧがセッ
トアップされる。いくつかの実施形態では、少なくとも２つの仮想ネットワークインター
フェースは、所与のＯＣＣに関連付けられ得、１つは、ＶＣＳコントロールプレーンから
コマンドを取得するために使用され、もう１つは、安全なネットワークチャネルを使用し
てＥＲＧと通信するために使用される。
いくつかの実施形態によれば、システムは、プロバイダネットワークの仮想化コンピュ
ーティングサービス（ＶＣＳ）の拡張リソースグループ（ＥＲＧ）を含み得る。ＥＲＧは
、様々な実施形態では、耐タンパー性ストレージデバイス（例えば、ホストに物理的に接
続される場合にのみ復号化することができる暗号化デバイス）およびトラステッドプラッ
トフォームモジュールを含む少なくとも第１の仮想化ホスト（ＶＨ）を含み得る。プロバ
イダネットワークは、１つ以上のデータセンターを含み得、第１のＶＨは、少なくともい
くつかの実施形態では、プロバイダネットワークの外部のプレミスに配置され得る。コン
ピューティングデバイスは、命令を含み得、命令は、プロセッサ上で実行されると、コン
ピューティングデバイスに、１つ以上のトリガ信号に応答して、ＥＲＧのネットワークマ
ネージャをインスタンス化させる。ＥＲＧネットワークマネージャ（ＥＮＭ）は、様々な
実施形態では、ＶＣＳの第１の分離仮想ネットワーク（ＩＶＮ）の少なくとも一部分など
の１つ以上のＶＣＳリソースとの通信のための安全なネットワークチャネルの構成を開始
することができる。そのようなＩＶＮは、例えば、プロバイダネットワークのデータセン
ターでインスタンス化された第２のＶＨに少なくとも第１の仮想マシン（ＶＭ）を含み得
る。
ーティングサービス（ＶＣＳ）の拡張リソースグループ（ＥＲＧ）を含み得る。ＥＲＧは
、様々な実施形態では、耐タンパー性ストレージデバイス（例えば、ホストに物理的に接
続される場合にのみ復号化することができる暗号化デバイス）およびトラステッドプラッ
トフォームモジュールを含む少なくとも第１の仮想化ホスト（ＶＨ）を含み得る。プロバ
イダネットワークは、１つ以上のデータセンターを含み得、第１のＶＨは、少なくともい
くつかの実施形態では、プロバイダネットワークの外部のプレミスに配置され得る。コン
ピューティングデバイスは、命令を含み得、命令は、プロセッサ上で実行されると、コン
ピューティングデバイスに、１つ以上のトリガ信号に応答して、ＥＲＧのネットワークマ
ネージャをインスタンス化させる。ＥＲＧネットワークマネージャ（ＥＮＭ）は、様々な
実施形態では、ＶＣＳの第１の分離仮想ネットワーク（ＩＶＮ）の少なくとも一部分など
の１つ以上のＶＣＳリソースとの通信のための安全なネットワークチャネルの構成を開始
することができる。そのようなＩＶＮは、例えば、プロバイダネットワークのデータセン
ターでインスタンス化された第２のＶＨに少なくとも第１の仮想マシン（ＶＭ）を含み得
る。
ＥＮＭは、少なくともいくつかの実施形態では、安全なネットワークチャネルを介して
、拡張リソースグループに関連付けられたＯＣＣから、仮想マシン起動コマンドを取得す
ることができる。仮想マシン起動コマンドは、様々な実施形態では、安全なネットワーク
チャネルを含まない経路を介して送信された、クライアントからのプログラム要求に応答
して、（例えば、ＶＣＳコントロールプレーンで）生成され得る。ＥＮＭから、仮想マシ
ン起動コマンドの少なくともあるバージョンは、いくつかの実施形態では、拡張リソース
グループの第１の仮想化ホストに送信され得る。第１の仮想化ホストでの仮想マシン起動
コマンドの処理は、そのような実施形態では、第１の仮想化ホストでの新しい仮想マシン
のインスタンス化をもたらし得る。
、拡張リソースグループに関連付けられたＯＣＣから、仮想マシン起動コマンドを取得す
ることができる。仮想マシン起動コマンドは、様々な実施形態では、安全なネットワーク
チャネルを含まない経路を介して送信された、クライアントからのプログラム要求に応答
して、（例えば、ＶＣＳコントロールプレーンで）生成され得る。ＥＮＭから、仮想マシ
ン起動コマンドの少なくともあるバージョンは、いくつかの実施形態では、拡張リソース
グループの第１の仮想化ホストに送信され得る。第１の仮想化ホストでの仮想マシン起動
コマンドの処理は、そのような実施形態では、第１の仮想化ホストでの新しい仮想マシン
のインスタンス化をもたらし得る。
いくつかのタイプのトリガ信号のいずれも、様々な実施形態では、ＥＮＭのインスタン
ス化につながり得る。例えば、ＥＲＧに含まれる特定のサーバが電源がオンになっている
こと、またはＥＲＧからインターネットへの接続が有効になっていることを示す信号は、
いくつかの実施形態では、ＥＮＭの少なくとも一部分のインスタンス化、初期化、および
／またはスタートアップにつながり得る。
ス化につながり得る。例えば、ＥＲＧに含まれる特定のサーバが電源がオンになっている
こと、またはＥＲＧからインターネットへの接続が有効になっていることを示す信号は、
いくつかの実施形態では、ＥＮＭの少なくとも一部分のインスタンス化、初期化、および
／またはスタートアップにつながり得る。
プロバイダネットワークでＥＲＧとＶＣＳリソースとの間の仲介者として機能すること
に加えて、少なくとも１つの実施形態では、ＥＮＭはまた、ＥＲＧ内にセットアップされ
た仮想マシンと、（ａ）ＥＲＧがセットアップされるプレミスに配置され、（ｂ）ＥＲＧ
の一部ではないリソースとの間の仲介者として機能し得る。例えば、ＶＣＳクライアント
は、ＥＲＧとは別に、ＥＲＧ仮想マシンを使用して処理されるデータが記憶されるサーバ
のセットを有し、ＥＮＭは、そのサーバのセットとＥＲＧ仮想マシンとの間の通信を有効
にし得る。このようなサーバは、少なくともいくつかの実施形態では、非ＶＣＳサーバと
呼ばれ得る。接続性を提供するために、ＥＮＭは、いくつかの実施形態では、ＥＲＧから
非ＶＣＳサーバにアウトバウンドするトラフィックに対して様々なタイプのパケット変換
を実行し、非ＶＣＳサーバからＥＲＧにインバウンドするトラフィックに対して逆変換を
実行し得る。変換は、例えば、異なる実施形態では、ＩＰアドレスマッピング、カプセル
化プロトコル処理などを含み得る。いくつかの実施形態では、ＥＲＧがホストされている
プレミスでＥＲＧから非ＶＣＳへのリソースを管理することを担当するエンティティとは
異なるエンティティは、ＥＲＧからＶＣＳへの通信を管理する責任がある場合があり、す
なわち、単一のＥＮＭは、必ずしも両方のタイプの機能を担当するとは限らない場合があ
る。
に加えて、少なくとも１つの実施形態では、ＥＮＭはまた、ＥＲＧ内にセットアップされ
た仮想マシンと、（ａ）ＥＲＧがセットアップされるプレミスに配置され、（ｂ）ＥＲＧ
の一部ではないリソースとの間の仲介者として機能し得る。例えば、ＶＣＳクライアント
は、ＥＲＧとは別に、ＥＲＧ仮想マシンを使用して処理されるデータが記憶されるサーバ
のセットを有し、ＥＮＭは、そのサーバのセットとＥＲＧ仮想マシンとの間の通信を有効
にし得る。このようなサーバは、少なくともいくつかの実施形態では、非ＶＣＳサーバと
呼ばれ得る。接続性を提供するために、ＥＮＭは、いくつかの実施形態では、ＥＲＧから
非ＶＣＳサーバにアウトバウンドするトラフィックに対して様々なタイプのパケット変換
を実行し、非ＶＣＳサーバからＥＲＧにインバウンドするトラフィックに対して逆変換を
実行し得る。変換は、例えば、異なる実施形態では、ＩＰアドレスマッピング、カプセル
化プロトコル処理などを含み得る。いくつかの実施形態では、ＥＲＧがホストされている
プレミスでＥＲＧから非ＶＣＳへのリソースを管理することを担当するエンティティとは
異なるエンティティは、ＥＲＧからＶＣＳへの通信を管理する責任がある場合があり、す
なわち、単一のＥＮＭは、必ずしも両方のタイプの機能を担当するとは限らない場合があ
る。
一実施形態によると、ＥＲＧはまた、ＥＲＧの仮想化ホストを初期化／ブートすること
を担当するブートストラップマネージャを含み得る。いくつかの実施形態では、ＥＮＭは
、ブートストラップ／初期化タスクを実行することができる。少なくともいくつかの実施
形態では、ＶＭがＥＲＧホストで確立された後、プロバイダネットワークの他のより高い
レベルのサービスの操作は、それらのＶＭを使用して実行され得る。例えば、プロバイダ
ネットワークは、データベースインスタンスがビルディングブロックとしてＶＭを使用し
て構成されるデータベースサービスを含み得、そのようなデータベースインスタンスは、
ＥＲＧでセットアップされたＶＭを使用して構成され得る。
を担当するブートストラップマネージャを含み得る。いくつかの実施形態では、ＥＮＭは
、ブートストラップ／初期化タスクを実行することができる。少なくともいくつかの実施
形態では、ＶＭがＥＲＧホストで確立された後、プロバイダネットワークの他のより高い
レベルのサービスの操作は、それらのＶＭを使用して実行され得る。例えば、プロバイダ
ネットワークは、データベースインスタンスがビルディングブロックとしてＶＭを使用し
て構成されるデータベースサービスを含み得、そのようなデータベースインスタンスは、
ＥＲＧでセットアップされたＶＭを使用して構成され得る。
少なくともいくつかの実施形態では、ＥＲＧの仮想化ホストは、トラステッドプラット
フォームモジュール（ＴＰＭ）などのセキュリティモジュールを含み得、そのようなセキ
ュリティモジュールは、所与のＥＲＧホストで、ＶＭをインスタンス化する（または他の
仮想化関連操作を実行する）前に、ＥＲＧホストの状態（例えば、インストールされたソ
フトウェア状態など）が受け入れ基準を満たすることを検証するために使用され得る。少
なくとも１つの実施形態では、ＥＲＧ仮想化ホストで起動されたＶＭに関連する状態情報
は、仮想化ホストのストレージデバイスに、暗号化された形態で記憶され得る。ＥＲＧの
特定の仮想化ホストに物理的に存在するか、または接続される限り、、復号化することの
みができるストレージデバイスなど、耐タンパー性ストレージデバイスは、いくつかの実
施形態では、採用することができる。結果として、悪意のあるアクターがストレージデバ
イスを物理的に取り除いた場合、暗号化された状態情報は、そのような実施形態では、削
除されたデバイスから復号化することができず、ＥＲＧによってサポートされる仮想化特
徴のセキュリティがさらに強化される。
フォームモジュール（ＴＰＭ）などのセキュリティモジュールを含み得、そのようなセキ
ュリティモジュールは、所与のＥＲＧホストで、ＶＭをインスタンス化する（または他の
仮想化関連操作を実行する）前に、ＥＲＧホストの状態（例えば、インストールされたソ
フトウェア状態など）が受け入れ基準を満たすることを検証するために使用され得る。少
なくとも１つの実施形態では、ＥＲＧ仮想化ホストで起動されたＶＭに関連する状態情報
は、仮想化ホストのストレージデバイスに、暗号化された形態で記憶され得る。ＥＲＧの
特定の仮想化ホストに物理的に存在するか、または接続される限り、、復号化することの
みができるストレージデバイスなど、耐タンパー性ストレージデバイスは、いくつかの実
施形態では、採用することができる。結果として、悪意のあるアクターがストレージデバ
イスを物理的に取り除いた場合、暗号化された状態情報は、そのような実施形態では、削
除されたデバイスから復号化することができず、ＥＲＧによってサポートされる仮想化特
徴のセキュリティがさらに強化される。
いくつかの実施形態では、所与のＥＲＧについて、それらのユーザ／エンティティのみ
がＥＲＧで仮想マシンをセットアップおよび使用することが許可されるように、許可また
はアイデンティティ管理サービスで定義されたユーザまたはエンティティのセットが指定
され得る。所与のＶＭがＥＲＧで起動される（または他のＶＭ関連の操作が実行される）
前に、要求しているユーザまたはエンティティのアイデンティティは、様々な実施形態で
は、例えばＥＮＭ、ＯＣＣ、またはＶＭが起動される仮想化ホストで検証され得る。少な
くとも１つの実施形態では、ＥＲＧでのＶＭの起動をスピードアップするのを助けるため
に、ＶＭイメージのセットは、ＥＲＧのローカルストレージデバイスに記憶またはキャッ
シュされ得、その結果、ＥＲＧで所望のカテゴリのＶＭを起動するために、ネットワーク
を介して大きなイメージを転送する必要がない場合がある。いくつかの実施形態では、イ
メージは、ＥＲＧのコンピューティングデバイスの、ＥＲＧがセットアップされる場所（
例えば、顧客データセンター）への物理的な引き渡しの前にキャッシュされ得る。
がＥＲＧで仮想マシンをセットアップおよび使用することが許可されるように、許可また
はアイデンティティ管理サービスで定義されたユーザまたはエンティティのセットが指定
され得る。所与のＶＭがＥＲＧで起動される（または他のＶＭ関連の操作が実行される）
前に、要求しているユーザまたはエンティティのアイデンティティは、様々な実施形態で
は、例えばＥＮＭ、ＯＣＣ、またはＶＭが起動される仮想化ホストで検証され得る。少な
くとも１つの実施形態では、ＥＲＧでのＶＭの起動をスピードアップするのを助けるため
に、ＶＭイメージのセットは、ＥＲＧのローカルストレージデバイスに記憶またはキャッ
シュされ得、その結果、ＥＲＧで所望のカテゴリのＶＭを起動するために、ネットワーク
を介して大きなイメージを転送する必要がない場合がある。いくつかの実施形態では、イ
メージは、ＥＲＧのコンピューティングデバイスの、ＥＲＧがセットアップされる場所（
例えば、顧客データセンター）への物理的な引き渡しの前にキャッシュされ得る。
例示的なシステム環境
図１は、少なくともいくつかの実施形態による、プロバイダネットワークの仮想化コン
ピューティングサービスの拡張リソースグループが、プロバイダネットワークの外部のプ
レミスに配置されたリソースを使用してセットアップされ得る例示的なシステム環境を例
解する。図のように、システム１００において、仮想化コンピューティングサービス（Ｖ
ＣＳ）１１０のコアコンポーネントは、少なくとも、コントロールプレーンリソース１４
１、データプレーンリソース１４５、およびアウトバウンドコマンドコミュニケータ（Ｏ
ＣＣ）１７７のセットを含み得、これらはすべて、プロバイダネットワークのデータセン
ター１０１内に配置され得る。プロバイダネットワークは、様々な実施形態では、サービ
スプロバイダと呼ばれ得る。図示の実施形態では、ＶＣＳのデータプレーンは、拡張リソ
ースグループ（ＥＲＧ）を使用して、外部の場所（ＶＣＳ顧客／クライアントによって選
択され得るプレミス）に拡張され得る。例えば、ＥＲＧ１３５Ａは、コロケーション設備
１３０（例えば、２つ以上の組織のコンピューティング関連リソースがホストされ得る建
物または部屋などの場所）に確立され得、ＥＲＧ１３５Ｂは、顧客データセンター１３２
Ａにセットアップされ得、ＥＲＧ１３２Ｂは、顧客データセンター１３２Ｂに確立され得
る。
図１は、少なくともいくつかの実施形態による、プロバイダネットワークの仮想化コン
ピューティングサービスの拡張リソースグループが、プロバイダネットワークの外部のプ
レミスに配置されたリソースを使用してセットアップされ得る例示的なシステム環境を例
解する。図のように、システム１００において、仮想化コンピューティングサービス（Ｖ
ＣＳ）１１０のコアコンポーネントは、少なくとも、コントロールプレーンリソース１４
１、データプレーンリソース１４５、およびアウトバウンドコマンドコミュニケータ（Ｏ
ＣＣ）１７７のセットを含み得、これらはすべて、プロバイダネットワークのデータセン
ター１０１内に配置され得る。プロバイダネットワークは、様々な実施形態では、サービ
スプロバイダと呼ばれ得る。図示の実施形態では、ＶＣＳのデータプレーンは、拡張リソ
ースグループ（ＥＲＧ）を使用して、外部の場所（ＶＣＳ顧客／クライアントによって選
択され得るプレミス）に拡張され得る。例えば、ＥＲＧ１３５Ａは、コロケーション設備
１３０（例えば、２つ以上の組織のコンピューティング関連リソースがホストされ得る建
物または部屋などの場所）に確立され得、ＥＲＧ１３５Ｂは、顧客データセンター１３２
Ａにセットアップされ得、ＥＲＧ１３２Ｂは、顧客データセンター１３２Ｂに確立され得
る。
いくつかの実施形態によると、ＶＣＳ１１０のコントロールプレーンリソース１４１は
、クライアントが提出した構成要求（新しい仮想マシンをセットアップする要求、ネット
ワーク設定を変更する要求など）、ＶＣＳのデータプレーンコンポーネントのプロビジョ
ニングおよび状態管理操作などに応答することを担当するＣＰＳ１０２Ａ～１０２Ｃなど
のいくつかのコントロールプレーンサーバ（ＣＰＳ）１０２を含み得る。データプレーン
リソースは、クライアントＣ２に代わってセットアップされたＩＶＮ１１５Ａなどの、い
くつかの分離仮想ネットワーク（ＩＶＮ）１１５を含み得る。先に示したように、ＩＶＮ
１１５は、様々な実施形態では、ネットワーク構成設定の少なくともいくつかのタイプに
関して、仮想化コンピューティングサービスの残りのリソースから論理的に分離または切
り離されるリソースのセットを含み得る。例えば、所与のＩＶＮは、いくつかの実施形態
では、それぞれのセキュリティ設定を有する１つ以上のサブネット、および／またはＩＰ
アドレスのセットを有し得、その個々のサブネットは、１つ以上の仮想化ホスト（ＶＨ）
１１７でセットアップされた個々の仮想マシン１２５（例えば、ＶＭ１２５Ａ）に割り当
てられ得る。図１に示される例示的なシナリオでは、ＩＶＮ１１５Ａは、ＶＨ１１７Ａお
よびＶＨ１１７Ｂでインスタンス化された仮想マシンを含み得、一方、ＩＶＮ１１５Ｂは
、ＶＨ１１７Ｊまたは１１７Ｋでセットアップされた仮想マシンを含み得る。少なくとも
一実施形態では、少なくともいくつかの仮想化ホスト１１７が、マルチテナントモードで
使用され得るため、所与のＶＨが、いくつかの異なるクライアントに代わってセットアッ
プされたＶＭに潜在的に使用され得、いくつかの異なるＩＶＮのＶＭが、１つのＶＨで潜
在的にインスタンス化されることに留意されたい。
、クライアントが提出した構成要求（新しい仮想マシンをセットアップする要求、ネット
ワーク設定を変更する要求など）、ＶＣＳのデータプレーンコンポーネントのプロビジョ
ニングおよび状態管理操作などに応答することを担当するＣＰＳ１０２Ａ～１０２Ｃなど
のいくつかのコントロールプレーンサーバ（ＣＰＳ）１０２を含み得る。データプレーン
リソースは、クライアントＣ２に代わってセットアップされたＩＶＮ１１５Ａなどの、い
くつかの分離仮想ネットワーク（ＩＶＮ）１１５を含み得る。先に示したように、ＩＶＮ
１１５は、様々な実施形態では、ネットワーク構成設定の少なくともいくつかのタイプに
関して、仮想化コンピューティングサービスの残りのリソースから論理的に分離または切
り離されるリソースのセットを含み得る。例えば、所与のＩＶＮは、いくつかの実施形態
では、それぞれのセキュリティ設定を有する１つ以上のサブネット、および／またはＩＰ
アドレスのセットを有し得、その個々のサブネットは、１つ以上の仮想化ホスト（ＶＨ）
１１７でセットアップされた個々の仮想マシン１２５（例えば、ＶＭ１２５Ａ）に割り当
てられ得る。図１に示される例示的なシナリオでは、ＩＶＮ１１５Ａは、ＶＨ１１７Ａお
よびＶＨ１１７Ｂでインスタンス化された仮想マシンを含み得、一方、ＩＶＮ１１５Ｂは
、ＶＨ１１７Ｊまたは１１７Ｋでセットアップされた仮想マシンを含み得る。少なくとも
一実施形態では、少なくともいくつかの仮想化ホスト１１７が、マルチテナントモードで
使用され得るため、所与のＶＨが、いくつかの異なるクライアントに代わってセットアッ
プされたＶＭに潜在的に使用され得、いくつかの異なるＩＶＮのＶＭが、１つのＶＨで潜
在的にインスタンス化されることに留意されたい。
少なくとも１つの実施形態では、ＩＶＮは、内部または管理上の使用のために、ならび
にクライアントが要求した仮想マシンをホストするためにセットアップされ得る。いくつ
かの実施形態では、例えば、ＥＲＧにコマンドを送信するために使用されるＯＣＣ１７７
のうちの１つ以上は、ＩＶＮ内に確立され得る。所与のＯＣＣ１７７は、例えば、いくつ
かの実施形態では、仮想マシン内の１つ以上のプロセスまたは実行スレッドを使用して実
装され得、少なくとも１つの拡張リソースグループ１３５にプログラムで関連付けられ得
る。少なくともいくつかの実施形態では、ＯＣＣの構成設定は、ＶＣＳコントロールプレ
ーン内で発信されるコマンドがＯＣＣを介してＥＲＧに送信され得るが、ＥＲＧ（または
任意の他のソース）で発信されるメッセージがＥＲＧを介してＶＣＳコントロールプレー
ンに送信されないようにセットアップされ得る。例えば、以下で考察されるように、一実
施形態では、ＯＣＣとして使用される仮想マシンに接続された特定の仮想ネットワークイ
ンターフェース（ＶＮＩ）のセキュリティ設定は、メッセージがＶＣＳコントロールプレ
ーンリソース１４１からＯＣＣに送信されることのみを可能にし、逆方向に送信されるこ
とを可能にし得ない。
にクライアントが要求した仮想マシンをホストするためにセットアップされ得る。いくつ
かの実施形態では、例えば、ＥＲＧにコマンドを送信するために使用されるＯＣＣ１７７
のうちの１つ以上は、ＩＶＮ内に確立され得る。所与のＯＣＣ１７７は、例えば、いくつ
かの実施形態では、仮想マシン内の１つ以上のプロセスまたは実行スレッドを使用して実
装され得、少なくとも１つの拡張リソースグループ１３５にプログラムで関連付けられ得
る。少なくともいくつかの実施形態では、ＯＣＣの構成設定は、ＶＣＳコントロールプレ
ーン内で発信されるコマンドがＯＣＣを介してＥＲＧに送信され得るが、ＥＲＧ（または
任意の他のソース）で発信されるメッセージがＥＲＧを介してＶＣＳコントロールプレー
ンに送信されないようにセットアップされ得る。例えば、以下で考察されるように、一実
施形態では、ＯＣＣとして使用される仮想マシンに接続された特定の仮想ネットワークイ
ンターフェース（ＶＮＩ）のセキュリティ設定は、メッセージがＶＣＳコントロールプレ
ーンリソース１４１からＯＣＣに送信されることのみを可能にし、逆方向に送信されるこ
とを可能にし得ない。
高レベルでは、様々な実施形態では、ＥＲＧ１３５は、少なくとも少量のハードウェア
機器をホストすることができ、インターネット接続を有するＶＣＳ顧客が選択した任意の
場所における、ＶＣＳの安全なデータプレーン機能（例えば、プロバイダネットワークデ
ータセンター内にセットアップすることができるものと同一または少なくとも非常に類似
した仮想マシンをインスタンス化する能力）を提供するように設計され得る。以下で考察
されるように、ＥＲＧの１つ以上のタイプまたはカテゴリは、様々な実施形態では、ＶＣ
Ｓで定義され得、顧客は、コロケーションプレミス１３０または顧客データセンター１３
２など、ＥＲＧインスタンスがプロバイダネットワークの外部の所与の場所にセットアッ
プされる特定のカテゴリを選択し得る。ＥＲＧ内に含まれるハードウェアデバイス、関連
付けられたソフトウェアおよびファームウェアの特定のセットは、様々な実施形態では、
プロバイダネットワーク１０１のオペレータによって設定された（および少なくとも場合
によっては事前構成または事前インストールされた）基準を満たすことができる。
機器をホストすることができ、インターネット接続を有するＶＣＳ顧客が選択した任意の
場所における、ＶＣＳの安全なデータプレーン機能（例えば、プロバイダネットワークデ
ータセンター内にセットアップすることができるものと同一または少なくとも非常に類似
した仮想マシンをインスタンス化する能力）を提供するように設計され得る。以下で考察
されるように、ＥＲＧの１つ以上のタイプまたはカテゴリは、様々な実施形態では、ＶＣ
Ｓで定義され得、顧客は、コロケーションプレミス１３０または顧客データセンター１３
２など、ＥＲＧインスタンスがプロバイダネットワークの外部の所与の場所にセットアッ
プされる特定のカテゴリを選択し得る。ＥＲＧ内に含まれるハードウェアデバイス、関連
付けられたソフトウェアおよびファームウェアの特定のセットは、様々な実施形態では、
プロバイダネットワーク１０１のオペレータによって設定された（および少なくとも場合
によっては事前構成または事前インストールされた）基準を満たすことができる。
ＥＲＧを使用して提供される仮想化コンピューティングおよび他の機能の品質（セキュ
リティ、パフォーマンス、可用性などの態様を含む）が、ＶＣＳおよびプロバイダネット
ワークの標準を満たすことを確実にするために、異なる実施形態では、いくつかの技術を
使用することができる。例えば、少なくともいくつかの実施形態では、ＥＶＨ１１８Ａ、
１１８Ｂ、１１８Ｊ、１１８Ｋ、１１８Ｐまたは１１８Ｑなどの強化されたセキュリティ
仮想化ホスト（ＥＶＨ）１１８のセットは、ＥＲＧに含まれ得る。このようなＥＶＨは、
遠隔で生成された仮想化関連の管理コマンドが、例えば、コマンドが最初に発行されたソ
ース（コントロールプレーンリソース１４１など）にメッセージを送り返すことなく、安
全かつ確実に実行することを可能にするように特別に設計されるいくつかのハードウェア
、ソフトウェア、および／またはファームウェア要素を含み得る。いくつかの実施形態で
は、そのような要素は、以下でさらに詳細に考察されるように、トラステッドプラットフ
ォームモジュール（ＴＰＭ）または他のセキュリティモジュールを含むオフロードされた
仮想化管理コンポーネント（ＯＶＭＣ）、耐タンパー性ストレージデバイスであって、ス
トレージデバイスが特定のＥＶＨに物理的に接続されている場合にのみコンテンツを復号
化することができる耐タンパー性ストレージデバイス、低オーバーヘッドの仮想化管理ソ
フトウェアスタックなどを含み得る。少なくともいくつかの実施形態では、以下に考察さ
れるように、ＥＶＨは、アウトバウンドコールを行わず、ＴＬＳ（トランスポート層セキ
ュリティ）セッションを使用して保護されるインバウンドコマンド用のＡＰＩを実装する
ＶＣＳコントロールプレーンエージェントを含み得る。このようなＡＰＩは、様々な実施
形態では、強力な許可、認証、およびアカウンティング関連の制御を有し得る。少なくと
もいくつかの実施形態では、仮想化管理に関連付けられた共有秘密は、ＥＶＨ自体の中に
記憶され得ない。様々な実施形態では、ＶＣＳソフトウェアおよび構成を含むＥＶＨに関
する状態情報は、ＴＰＭまたは同様のセキュリティモジュールに対して封印される１つ以
上の暗号化ドライブに記憶され得、安全で測定されたブートプロセスを使用してドライブ
のコンテンツのロックを解除し得る。少なくともいくつかの実施形態では、同様のＥＶＨ
は、プロバイダネットワークデータセンター内でも使用され得、例えば、１２５Ａなどの
仮想マシンの少なくともいくつかのサブセットは、プロバイダネットワーク内のＥＶＨ上
にセットアップされ得ることに留意されたい。仮想化ホスト（図１のＥＶＨ１１８および
ＶＨ１１７を含む）は、いくつかの実施形態では、仮想化サーバ、または単にサーバと呼
ばれることもある。
リティ、パフォーマンス、可用性などの態様を含む）が、ＶＣＳおよびプロバイダネット
ワークの標準を満たすことを確実にするために、異なる実施形態では、いくつかの技術を
使用することができる。例えば、少なくともいくつかの実施形態では、ＥＶＨ１１８Ａ、
１１８Ｂ、１１８Ｊ、１１８Ｋ、１１８Ｐまたは１１８Ｑなどの強化されたセキュリティ
仮想化ホスト（ＥＶＨ）１１８のセットは、ＥＲＧに含まれ得る。このようなＥＶＨは、
遠隔で生成された仮想化関連の管理コマンドが、例えば、コマンドが最初に発行されたソ
ース（コントロールプレーンリソース１４１など）にメッセージを送り返すことなく、安
全かつ確実に実行することを可能にするように特別に設計されるいくつかのハードウェア
、ソフトウェア、および／またはファームウェア要素を含み得る。いくつかの実施形態で
は、そのような要素は、以下でさらに詳細に考察されるように、トラステッドプラットフ
ォームモジュール（ＴＰＭ）または他のセキュリティモジュールを含むオフロードされた
仮想化管理コンポーネント（ＯＶＭＣ）、耐タンパー性ストレージデバイスであって、ス
トレージデバイスが特定のＥＶＨに物理的に接続されている場合にのみコンテンツを復号
化することができる耐タンパー性ストレージデバイス、低オーバーヘッドの仮想化管理ソ
フトウェアスタックなどを含み得る。少なくともいくつかの実施形態では、以下に考察さ
れるように、ＥＶＨは、アウトバウンドコールを行わず、ＴＬＳ（トランスポート層セキ
ュリティ）セッションを使用して保護されるインバウンドコマンド用のＡＰＩを実装する
ＶＣＳコントロールプレーンエージェントを含み得る。このようなＡＰＩは、様々な実施
形態では、強力な許可、認証、およびアカウンティング関連の制御を有し得る。少なくと
もいくつかの実施形態では、仮想化管理に関連付けられた共有秘密は、ＥＶＨ自体の中に
記憶され得ない。様々な実施形態では、ＶＣＳソフトウェアおよび構成を含むＥＶＨに関
する状態情報は、ＴＰＭまたは同様のセキュリティモジュールに対して封印される１つ以
上の暗号化ドライブに記憶され得、安全で測定されたブートプロセスを使用してドライブ
のコンテンツのロックを解除し得る。少なくともいくつかの実施形態では、同様のＥＶＨ
は、プロバイダネットワークデータセンター内でも使用され得、例えば、１２５Ａなどの
仮想マシンの少なくともいくつかのサブセットは、プロバイダネットワーク内のＥＶＨ上
にセットアップされ得ることに留意されたい。仮想化ホスト（図１のＥＶＨ１１８および
ＶＨ１１７を含む）は、いくつかの実施形態では、仮想化サーバ、または単にサーバと呼
ばれることもある。
少なくともいくつかの実施形態では、所与のＥＲＧ１３５は、１つ以上のコンピューテ
ィングデバイスに実装されたネットワークマネージャを含み得、それは、プロバイダネッ
トワークとのネットワーク接続の確立に参加またはそれを開始し得る。いくつかの実施形
態では、仮想プライベートネットワーク（ＶＰＮ）トンネルまたはＶＰＮ接続などの安全
なネットワークチャネルは、ＥＲＧ１３５（例えば、ＥＲＧのネットワークマネージャ）
とプロバイダネットワークデータセンター内に配置されたリソースとの間に確立され得、
そのようなチャネルは、ＶＣＳからＥＲＧにコマンドを送信するために採用することがで
きる。図１に描写される実施形態では、例えば、それぞれの一方向の安全なネットワーク
チャネル１６６（例えば、１６６Ａ、１６６Ｂ、または１６６Ｃ）を使用して、クライア
ント要求（ＥＲＧで１２５Ｂなどの仮想マシン１２５をインスタンス化する要求を含む）
に応答して、コントロールプレーンリソース１４１で最初に生成されたコマンドを、ＥＶ
Ｈ１１８での最終的な実行のために、ＯＣＣを介してＥＲＧに送信することができる。一
実施形態では、そのようなコマンドに使用される安全なチャネルは、ＥＲＧ１３５（ネッ
トワークマネージャなど）における１つ以上のリソースと、ＥＲＧがその要求に応じて確
立された、クライアントのＩＶＮ１１５内の１つ以上のリソース（仮想マシン１２５また
はＶＰＮゲートウェイなど）との間に設定され得、そのＥＲＧ１３５のために指定された
ＯＣＣ１７７は、セットアップされた後、チャネル（例えば、ＶＰＮ接続識別子またはト
ンネル識別子）の表示（および使用許可）を取得することができる。
ィングデバイスに実装されたネットワークマネージャを含み得、それは、プロバイダネッ
トワークとのネットワーク接続の確立に参加またはそれを開始し得る。いくつかの実施形
態では、仮想プライベートネットワーク（ＶＰＮ）トンネルまたはＶＰＮ接続などの安全
なネットワークチャネルは、ＥＲＧ１３５（例えば、ＥＲＧのネットワークマネージャ）
とプロバイダネットワークデータセンター内に配置されたリソースとの間に確立され得、
そのようなチャネルは、ＶＣＳからＥＲＧにコマンドを送信するために採用することがで
きる。図１に描写される実施形態では、例えば、それぞれの一方向の安全なネットワーク
チャネル１６６（例えば、１６６Ａ、１６６Ｂ、または１６６Ｃ）を使用して、クライア
ント要求（ＥＲＧで１２５Ｂなどの仮想マシン１２５をインスタンス化する要求を含む）
に応答して、コントロールプレーンリソース１４１で最初に生成されたコマンドを、ＥＶ
Ｈ１１８での最終的な実行のために、ＯＣＣを介してＥＲＧに送信することができる。一
実施形態では、そのようなコマンドに使用される安全なチャネルは、ＥＲＧ１３５（ネッ
トワークマネージャなど）における１つ以上のリソースと、ＥＲＧがその要求に応じて確
立された、クライアントのＩＶＮ１１５内の１つ以上のリソース（仮想マシン１２５また
はＶＰＮゲートウェイなど）との間に設定され得、そのＥＲＧ１３５のために指定された
ＯＣＣ１７７は、セットアップされた後、チャネル（例えば、ＶＰＮ接続識別子またはト
ンネル識別子）の表示（および使用許可）を取得することができる。
いくつかの実施形態によると、安全なチャネル１６６にアクセスしているＯＣＣ１７７
は、ＶＣＳコントロールプレーンリソース１４１で生成された管理コマンドの少なくとも
第１のバージョンを取得することができる。管理コマンドは、少なくとも１つの実施形態
では、クライアントからのプログラム要求に応答してＶＣＳコントロールプレーンで生成
された可能性があり、ＯＣＣに関連付けられたＥＲＧに向けられ得る。プログラム要求自
体は、少なくともいくつかの実施形態では、安全なネットワークチャネルを含まない経路
を介して、クライアントからコントロールプレーンデバイスで受信された可能性がある。
ＶＣＳコントロールプレーンで生成されたコマンドの表現は、様々な実施形態では、ＯＣ
Ｃから安全なネットワークチャネルを介して、関連付けられたＥＲＧ１３５に送信され得
、ＥＲＧで実行され得る。１つの例示的なシナリオでは、クライアントは、ＥＲＧで仮想
マシン（ＶＭ１２５Ｂなど）を起動するための要求をプログラムで提出することができ、
対応するＶＭ起動コマンドの第１のバージョンは、ＶＣＳコントロールプレーンリソース
１４１で生成され、適切なＯＣＣ１７７に送信され得、ＯＣＣ１７７は、コマンドの変更
されたバージョンをＥＲＧのネットワークマネージャに送信し得る。次に、ネットワーク
マネージャは、コマンドを、選択されたＥＶＨ１１８に送信することができ、ＥＶＨ１１
８上の１つ以上のプロセスは、要求仮想マシンを起動するためのコマンドを実行すること
ができる。同様のワークフローは、様々な実施形態では、ＶＭを終了させるためのコマン
ド、ＶＭを修正するためのコマンドなどの他のタイプのコマンドに対して実行することが
できる。
は、ＶＣＳコントロールプレーンリソース１４１で生成された管理コマンドの少なくとも
第１のバージョンを取得することができる。管理コマンドは、少なくとも１つの実施形態
では、クライアントからのプログラム要求に応答してＶＣＳコントロールプレーンで生成
された可能性があり、ＯＣＣに関連付けられたＥＲＧに向けられ得る。プログラム要求自
体は、少なくともいくつかの実施形態では、安全なネットワークチャネルを含まない経路
を介して、クライアントからコントロールプレーンデバイスで受信された可能性がある。
ＶＣＳコントロールプレーンで生成されたコマンドの表現は、様々な実施形態では、ＯＣ
Ｃから安全なネットワークチャネルを介して、関連付けられたＥＲＧ１３５に送信され得
、ＥＲＧで実行され得る。１つの例示的なシナリオでは、クライアントは、ＥＲＧで仮想
マシン（ＶＭ１２５Ｂなど）を起動するための要求をプログラムで提出することができ、
対応するＶＭ起動コマンドの第１のバージョンは、ＶＣＳコントロールプレーンリソース
１４１で生成され、適切なＯＣＣ１７７に送信され得、ＯＣＣ１７７は、コマンドの変更
されたバージョンをＥＲＧのネットワークマネージャに送信し得る。次に、ネットワーク
マネージャは、コマンドを、選択されたＥＶＨ１１８に送信することができ、ＥＶＨ１１
８上の１つ以上のプロセスは、要求仮想マシンを起動するためのコマンドを実行すること
ができる。同様のワークフローは、様々な実施形態では、ＶＭを終了させるためのコマン
ド、ＶＭを修正するためのコマンドなどの他のタイプのコマンドに対して実行することが
できる。
いくつかの実施形態では、ＶＣＳコントロールプレーンからＯＣＣで受信されたコマン
ドのバージョンは、例えば、１つ以上のセキュリティ関連トークンなどを削除／置換する
ことによって、ＯＣＣで修正され得、その結果、コマンドの修正されたバージョンの、Ｅ
ＲＧへの送信をもたらす。コマンドの修正されたバージョンは、例えば、ＯＣＣで生成さ
れた１つ以上のセキュリティアーティファクトまたはオブジェクトを含み得、それらは、
様々な実施形態では、コマンドが最終的に実行／実装されるＥＲＧのターゲットホストで
認証され得る。少なくとも１つの実施形態では、ＨＭＡＣ（ハッシュベースのメッセージ
認証コード）などのそれぞれの認証コードは、ＯＣＣで各コマンドに生成され、ＥＲＧに
転送されるメッセージに含まれ得、コマンドを改ざんすることを困難にする。いくつかの
実施形態では、仮想マシンカテゴリの１つ以上のファミリのインスタンスは、プロバイダ
ネットワークデータセンター内の仮想化ホスト１１５で確立され得、同じＶＭカテゴリの
少なくともいくつかのインスタンスは、ＥＲＧでセットアップされ得る。一実施形態では
、１つ以上のＶＭカテゴリのインスタンスを起動するために使用することができる仮想マ
シンイメージは、例えば、プロバイダネットワークからＥＲＧへのネットワークを介して
潜在的に大きなＶＭイメージファイルを送信する必要なしに、新しいＶＭが非常に迅速に
起動され得るように、ＥＲＧ内に含まれるストレージデバイスでキャッシュされ得る。い
くつかの実施形態では、許可されたエンティティ（例えば、ユーザ、グループなど、アイ
デンティティサービスまたは許可サービス内で定義される）は、それらのエンティティの
みが、ＥＲＧでの１つ以上のタイプの操作（ＶＭ起動など）を開始することを許可される
ように、所与のＥＲＧに対して指定され得る。そのような操作を実行する前に、ＶＣＳは
、様々な実施形態では、要求エンティティが適切な許可を与えられていることを（例えば
、ＶＣＳコントロールプレーン、ＯＣＣ、および／またはＥＲＧ自体で）検証することが
できる。少なくともいくつかの実施形態では、ＥＲＧに発行されたすべてのコマンド（ま
たはより一般的には、ＥＲＧに送信されたおよび／またはＥＲＧから送信されたメッセー
ジ）の包括的なログは、例えば、ＶＣＳコントロールプレーン、ＯＣＣ、および／または
ＥＲＧ内のネットワークマネージャで維持され得、そのようなログのコンテンツは、代わ
ってＥＲＧがセットアップされるＶＣＳクライアントに、様々なタイプのプログラムイン
ターフェースを介して提供され得る。
ドのバージョンは、例えば、１つ以上のセキュリティ関連トークンなどを削除／置換する
ことによって、ＯＣＣで修正され得、その結果、コマンドの修正されたバージョンの、Ｅ
ＲＧへの送信をもたらす。コマンドの修正されたバージョンは、例えば、ＯＣＣで生成さ
れた１つ以上のセキュリティアーティファクトまたはオブジェクトを含み得、それらは、
様々な実施形態では、コマンドが最終的に実行／実装されるＥＲＧのターゲットホストで
認証され得る。少なくとも１つの実施形態では、ＨＭＡＣ（ハッシュベースのメッセージ
認証コード）などのそれぞれの認証コードは、ＯＣＣで各コマンドに生成され、ＥＲＧに
転送されるメッセージに含まれ得、コマンドを改ざんすることを困難にする。いくつかの
実施形態では、仮想マシンカテゴリの１つ以上のファミリのインスタンスは、プロバイダ
ネットワークデータセンター内の仮想化ホスト１１５で確立され得、同じＶＭカテゴリの
少なくともいくつかのインスタンスは、ＥＲＧでセットアップされ得る。一実施形態では
、１つ以上のＶＭカテゴリのインスタンスを起動するために使用することができる仮想マ
シンイメージは、例えば、プロバイダネットワークからＥＲＧへのネットワークを介して
潜在的に大きなＶＭイメージファイルを送信する必要なしに、新しいＶＭが非常に迅速に
起動され得るように、ＥＲＧ内に含まれるストレージデバイスでキャッシュされ得る。い
くつかの実施形態では、許可されたエンティティ（例えば、ユーザ、グループなど、アイ
デンティティサービスまたは許可サービス内で定義される）は、それらのエンティティの
みが、ＥＲＧでの１つ以上のタイプの操作（ＶＭ起動など）を開始することを許可される
ように、所与のＥＲＧに対して指定され得る。そのような操作を実行する前に、ＶＣＳは
、様々な実施形態では、要求エンティティが適切な許可を与えられていることを（例えば
、ＶＣＳコントロールプレーン、ＯＣＣ、および／またはＥＲＧ自体で）検証することが
できる。少なくともいくつかの実施形態では、ＥＲＧに発行されたすべてのコマンド（ま
たはより一般的には、ＥＲＧに送信されたおよび／またはＥＲＧから送信されたメッセー
ジ）の包括的なログは、例えば、ＶＣＳコントロールプレーン、ＯＣＣ、および／または
ＥＲＧ内のネットワークマネージャで維持され得、そのようなログのコンテンツは、代わ
ってＥＲＧがセットアップされるＶＣＳクライアントに、様々なタイプのプログラムイン
ターフェースを介して提供され得る。
少なくともいくつかの実施形態では、ＥＲＧ１３５のＥＶＨで動作する仮想マシン１２
５に関して、少なくとも２種類のデータプレーン通信がサポートされ得る。クライアント
Ｃ１の顧客データセンター１３２Ａ、クライアントＣ２の顧客データセンター１３２Ｂ、
またはコロケーション設備１３０などの所与の外部プレミスは、ＶＣＳ機能を実装しない
少なくともいくつかのサーバまたはコンピューティングデバイスを含み得る。例えば、コ
ロケーション設備１３０は、非ＶＣＳサーバ１２３Ａのセットを含み得、データセンター
１３２Ａは、非ＶＣＳサーバ１２３Ｂを含み得、データセンター１３２Ｂは、図示の実施
形態では、非ＶＣＳサーバ１２３Ｃを含み得る。場合によっては、ＥＲＧ１３５をセット
アップする動機の１つは、非ＶＣＳサーバ１２３の所与のセットへの近接を含み得、その
ようなサーバは、例えば、ＥＲＧの仮想マシンを使用して操作されるデータを記憶し得る
か、またはＥＲＧ内で動作している他のアプリケーションと密接に連動することを目的と
したアプリケーションを動作し得るが、ＥＲＧの一部ではない（プロバイダネットワーク
の一部ではない）場合がある。したがって、様々な実施形態では、所与のＥＲＧ１３５は
、ローカルプレミスの低遅延データチャネル１６８（例えば、データセンター１３２Ａの
チャネル１６８Ａ、データセンター１３２Ｂのチャネル１６８Ｂ、およびコロケーション
設備１３０のチャネル１６８Ｃ）を介した非ＶＣＳリソースへの接続を可能にする１つ以
上のリソースを含み得る。いくつかの実施形態では、例えば、ＥＶＨ１１８での仮想化ホ
スト（例えば、ＶＣＳのＩＶＮに関連付けられた範囲のプライベートＩＰアドレスが割り
当てられ得る）と、ＥＲＧホスティングプレミスのサーバ１２３などの非ＶＣＳリソース
との間のトラフィックのために、ネットワークアドレス変換が必要とされ得る。少なくと
も１つの実施形態では、ＥＲＧ１３５のネットワークマネージャは、そのようなトラフィ
ックに対してそのようなアドレス変換および／または他のプロトコル処理（例えば、カプ
セル化プロトコル処理）操作を実行するための仲介者として機能し得る。いくつかの実施
形態では、ＶＣＳコントロールプレーンへの安全なチャネル１６６をセットアップするこ
とに参加する同じネットワークマネージャを使用して、非ＶＣＳリソースへの接続を可能
にすることもでき、他の実施形態では、異なるタイプのトラフィックに対して異なるネッ
トワークマネージャを使用することができる。
５に関して、少なくとも２種類のデータプレーン通信がサポートされ得る。クライアント
Ｃ１の顧客データセンター１３２Ａ、クライアントＣ２の顧客データセンター１３２Ｂ、
またはコロケーション設備１３０などの所与の外部プレミスは、ＶＣＳ機能を実装しない
少なくともいくつかのサーバまたはコンピューティングデバイスを含み得る。例えば、コ
ロケーション設備１３０は、非ＶＣＳサーバ１２３Ａのセットを含み得、データセンター
１３２Ａは、非ＶＣＳサーバ１２３Ｂを含み得、データセンター１３２Ｂは、図示の実施
形態では、非ＶＣＳサーバ１２３Ｃを含み得る。場合によっては、ＥＲＧ１３５をセット
アップする動機の１つは、非ＶＣＳサーバ１２３の所与のセットへの近接を含み得、その
ようなサーバは、例えば、ＥＲＧの仮想マシンを使用して操作されるデータを記憶し得る
か、またはＥＲＧ内で動作している他のアプリケーションと密接に連動することを目的と
したアプリケーションを動作し得るが、ＥＲＧの一部ではない（プロバイダネットワーク
の一部ではない）場合がある。したがって、様々な実施形態では、所与のＥＲＧ１３５は
、ローカルプレミスの低遅延データチャネル１６８（例えば、データセンター１３２Ａの
チャネル１６８Ａ、データセンター１３２Ｂのチャネル１６８Ｂ、およびコロケーション
設備１３０のチャネル１６８Ｃ）を介した非ＶＣＳリソースへの接続を可能にする１つ以
上のリソースを含み得る。いくつかの実施形態では、例えば、ＥＶＨ１１８での仮想化ホ
スト（例えば、ＶＣＳのＩＶＮに関連付けられた範囲のプライベートＩＰアドレスが割り
当てられ得る）と、ＥＲＧホスティングプレミスのサーバ１２３などの非ＶＣＳリソース
との間のトラフィックのために、ネットワークアドレス変換が必要とされ得る。少なくと
も１つの実施形態では、ＥＲＧ１３５のネットワークマネージャは、そのようなトラフィ
ックに対してそのようなアドレス変換および／または他のプロトコル処理（例えば、カプ
セル化プロトコル処理）操作を実行するための仲介者として機能し得る。いくつかの実施
形態では、ＶＣＳコントロールプレーンへの安全なチャネル１６６をセットアップするこ
とに参加する同じネットワークマネージャを使用して、非ＶＣＳリソースへの接続を可能
にすることもでき、他の実施形態では、異なるタイプのトラフィックに対して異なるネッ
トワークマネージャを使用することができる。
少なくともいくつかの実施形態では、所与のＥＲＧ１３５は、ＶＣＳデータセンター内
の少なくともいくつかのリソースを使用して確立された既存のＩＶＮ１１５の論理的拡張
として構成され得る。例えば、図示の実施形態では、ＥＲＧ１３５Ｂは、クライアントＣ
１のＩＶＮ１１５Ａの拡張であり、ＥＲＧ１３５Ａは、クライアントＣ３のＩＶＮ１１５
Ｂの拡張である。したがって、利用可能なＩＰアドレスの範囲、サブネット設定、出力／
入力セキュリティルールなどのようなＩＶＮの様々なネットワーク構成設定もまた、その
ような実施形態では、ＩＶＮを拡張するＥＲＧに適用され得る。様々な実施形態では、１
６７Ａおよび１６７Ｂなどの双方向データチャネルを使用して、ＩＶＮ内のリソースと、
ＩＶＮの拡張として構成されているＥＲＧとの間で非管理パケットまたはデータプレーン
パケットを送信することができる。いくつかの実施形態では、ＥＲＧ１３５Ｃなどのいく
つかのＥＲＧは、ＩＶＮの拡張として構成されない場合があることに留意されたい。この
ようなＥＲＧは、事実上、プロバイダネットワークデータセンターの外部に実装されたＩ
ＶＮと論理的に同等であると見なすことができ、例えば、図示の実施形態では、Ｃ３に代
わってセットアップされたＩＶＮ内で行うことができるのと同様のタイプのネットワーク
構成選択を、ＥＲＧ１３５Ｃ内のクライアントＣ３によって行うことができる。少なくと
もいくつかの実施形態では、同じセットの物理ネットワークリンクおよび／または同じＶ
ＰＮトンネルまたは他の安全な接続は、（ａ）双方向データトラフィック（例えば、論理
双方向データチャネル１６７）、および（ｂ）一方向管理コマンドトラフィック（例えば
、論理一方向コマンドチャネル１６６）の両方に使用され得ることに留意されたい。
の少なくともいくつかのリソースを使用して確立された既存のＩＶＮ１１５の論理的拡張
として構成され得る。例えば、図示の実施形態では、ＥＲＧ１３５Ｂは、クライアントＣ
１のＩＶＮ１１５Ａの拡張であり、ＥＲＧ１３５Ａは、クライアントＣ３のＩＶＮ１１５
Ｂの拡張である。したがって、利用可能なＩＰアドレスの範囲、サブネット設定、出力／
入力セキュリティルールなどのようなＩＶＮの様々なネットワーク構成設定もまた、その
ような実施形態では、ＩＶＮを拡張するＥＲＧに適用され得る。様々な実施形態では、１
６７Ａおよび１６７Ｂなどの双方向データチャネルを使用して、ＩＶＮ内のリソースと、
ＩＶＮの拡張として構成されているＥＲＧとの間で非管理パケットまたはデータプレーン
パケットを送信することができる。いくつかの実施形態では、ＥＲＧ１３５Ｃなどのいく
つかのＥＲＧは、ＩＶＮの拡張として構成されない場合があることに留意されたい。この
ようなＥＲＧは、事実上、プロバイダネットワークデータセンターの外部に実装されたＩ
ＶＮと論理的に同等であると見なすことができ、例えば、図示の実施形態では、Ｃ３に代
わってセットアップされたＩＶＮ内で行うことができるのと同様のタイプのネットワーク
構成選択を、ＥＲＧ１３５Ｃ内のクライアントＣ３によって行うことができる。少なくと
もいくつかの実施形態では、同じセットの物理ネットワークリンクおよび／または同じＶ
ＰＮトンネルまたは他の安全な接続は、（ａ）双方向データトラフィック（例えば、論理
双方向データチャネル１６７）、および（ｂ）一方向管理コマンドトラフィック（例えば
、論理一方向コマンドチャネル１６６）の両方に使用され得ることに留意されたい。
いくつかの実施形態によると、ＶＣＳクライアントは、プログラム要求をＶＣＳに提出
することによって、ＥＲＧをセットアップおよび構成するワークフローを開始することが
できる。そのようなＥＲＧ確立要求に応答して、一実施形態では、アウトバウンドコマン
ドＯＣＣは、例えば、ＥＲＧの物理的機器が適切なプレミスに引き渡される前でさえ、構
成、選択（例えば、既存のＯＣＣのプールから）、またはインスタンス化され得る。その
ようなシナリオでは、ＥＲＧ１３５を備える安全なチャネル１６６（例えば、ＶＰＮトン
ネル）は、ＯＣＣがＥＲＧのために確立または指定された後のある時点でセットアップさ
れ得る。
することによって、ＥＲＧをセットアップおよび構成するワークフローを開始することが
できる。そのようなＥＲＧ確立要求に応答して、一実施形態では、アウトバウンドコマン
ドＯＣＣは、例えば、ＥＲＧの物理的機器が適切なプレミスに引き渡される前でさえ、構
成、選択（例えば、既存のＯＣＣのプールから）、またはインスタンス化され得る。その
ようなシナリオでは、ＥＲＧ１３５を備える安全なチャネル１６６（例えば、ＶＰＮトン
ネル）は、ＯＣＣがＥＲＧのために確立または指定された後のある時点でセットアップさ
れ得る。
いくつかの実施形態では、ＥＲＧのデバイスは、接続を確立し、ＥＲＧの使用を開始す
るためにＶＣＳ顧客からほとんど労力を必要としないような方法で、事前に構成および事
前にインストールされ得る。例えば、一実施形態では、ＥＲＧインスタンスのコンピュー
ティングデバイスのセットが、セットアップされ、電源がオンにされ、インターネットに
接続されるとすぐに、ネットワークマネージャは、デバイスのうちの１つ以上で自動的に
スタートアップし、ＶＣＳデータセンターでリソース（ＯＣＣ１７７、ＶＰＮトンネルを
有効にするためにセットアップされたゲートウェイなど）との接続を開始することができ
る。したがって、電力および／またはインターネット接続が利用可能であるという発見は
、そのような実施形態では、ネットワークマネージャをスタートアップするためのトリガ
信号として機能し得る。ネットワークマネージャは、いくつかの実施形態では、ＥＲＧの
ＥＶＨのうちの１つ以上のブートストラップ操作を開始することも担当し得る。ＥＶＨ上
の仮想マシン１２５のインスタンス化および使用を可能にすることに加えて、ＥＲＧはま
た、いくつかの実施形態では、仮想マシンを利用するプロバイダネットワークサービスの
機能を提供するために使用され得る。例えば、いくつかの実施形態では、プロバイダネッ
トワークのデータベースサービスは、データベースインスタンスをインスタンス化するた
めに、仮想マシンのセットを利用することができ、そのようなデータベースインスタンス
はまた、クライアントの要求に応じてＥＲＧでセットアップされることができる。
るためにＶＣＳ顧客からほとんど労力を必要としないような方法で、事前に構成および事
前にインストールされ得る。例えば、一実施形態では、ＥＲＧインスタンスのコンピュー
ティングデバイスのセットが、セットアップされ、電源がオンにされ、インターネットに
接続されるとすぐに、ネットワークマネージャは、デバイスのうちの１つ以上で自動的に
スタートアップし、ＶＣＳデータセンターでリソース（ＯＣＣ１７７、ＶＰＮトンネルを
有効にするためにセットアップされたゲートウェイなど）との接続を開始することができ
る。したがって、電力および／またはインターネット接続が利用可能であるという発見は
、そのような実施形態では、ネットワークマネージャをスタートアップするためのトリガ
信号として機能し得る。ネットワークマネージャは、いくつかの実施形態では、ＥＲＧの
ＥＶＨのうちの１つ以上のブートストラップ操作を開始することも担当し得る。ＥＶＨ上
の仮想マシン１２５のインスタンス化および使用を可能にすることに加えて、ＥＲＧはま
た、いくつかの実施形態では、仮想マシンを利用するプロバイダネットワークサービスの
機能を提供するために使用され得る。例えば、いくつかの実施形態では、プロバイダネッ
トワークのデータベースサービスは、データベースインスタンスをインスタンス化するた
めに、仮想マシンのセットを利用することができ、そのようなデータベースインスタンス
はまた、クライアントの要求に応じてＥＲＧでセットアップされることができる。
例示的なＥＲＧ仮想化ホスト
図２は、少なくともいくつかの実施形態による、仮想化コンピューティングサービスの
拡張リソースグループに含まれ得る、強化されたセキュリティ仮想化ホストの例示的な概
要を例解する。図示の実施形態では、図１に示されるＥＲＧ１３５と同様のＥＲＧのコン
ピューティングデバイスのコレクション２０５は、ＶＣＳクライアントによって選択され
る場所（例えば、顧客データセンター、コロケーション設備など）に引き渡され得る。コ
レクションの個々のデバイスは、ＶＣＳオペレータによって選択されたソフトウェアおよ
びファームウェアのセットをすでにインストールされていてもよく、少なくともいくつか
の実施形態では、互いに事前にケーブル接続されてもよい。少なくとも１つの実施形態で
は、デバイスのコレクションは、データセンターに通常設置される種類の単一の標準ラッ
ク（またはいくつかの他の数のラック）に適合し得、ラック全体（または複数のラック）
は、ユニットとしてパッケージ化され、ＶＣＳオペレータによって、プロバイダネットワ
ークの外部の指定された場所に提供され得る。図示の実施形態では、ＥＲＧデバイスコレ
クション２０５は、ＥＲＧネットワークマネージャに使用される１つ以上のホスト２０６
を含み得、これは、事実上、ＥＲＧのプライマリ管理者として機能し、ＶＣＳデータセン
ター、およびＥＲＧがインストールされる場所にある非ＶＣＳサーバへの接続を確立する
こと、ＥＲＧの他のデバイスを起動することなどを担当する。いくつかの実施形態では、
コレクション２０５は、１つ以上のストレージサーバ２０７を含み得、これは、例えば、
ＶＣＳからのネットワーク接続を介してイメージを転送する必要なしに、ＥＲＧで顧客が
要求した仮想マシンをインスタンス化するために使用することができる仮想マシンイメー
ジのキャッシュとして使用され得る。コレクションはまた、図示の実施形態では、ＥＶＨ
２１８Ａなどのいくつかの数の強化されたセキュリティ仮想化ホスト（ＥＶＨ）２１８を
含み得る。少なくとも１つの実施形態では、ＥＲＧにおいて、ＥＶＨ、ＥＲＧネットワー
クマネージャのために、および／またはストレージサーバのために同じタイプのコンピュ
ーティングデバイスを使用することができ、すなわち、ネットワークマネージャのために
、および／またはＶＭイメージをキャッシュするために特別なタイプのハードウェアを必
要としない場合があることに留意されたい。
図２は、少なくともいくつかの実施形態による、仮想化コンピューティングサービスの
拡張リソースグループに含まれ得る、強化されたセキュリティ仮想化ホストの例示的な概
要を例解する。図示の実施形態では、図１に示されるＥＲＧ１３５と同様のＥＲＧのコン
ピューティングデバイスのコレクション２０５は、ＶＣＳクライアントによって選択され
る場所（例えば、顧客データセンター、コロケーション設備など）に引き渡され得る。コ
レクションの個々のデバイスは、ＶＣＳオペレータによって選択されたソフトウェアおよ
びファームウェアのセットをすでにインストールされていてもよく、少なくともいくつか
の実施形態では、互いに事前にケーブル接続されてもよい。少なくとも１つの実施形態で
は、デバイスのコレクションは、データセンターに通常設置される種類の単一の標準ラッ
ク（またはいくつかの他の数のラック）に適合し得、ラック全体（または複数のラック）
は、ユニットとしてパッケージ化され、ＶＣＳオペレータによって、プロバイダネットワ
ークの外部の指定された場所に提供され得る。図示の実施形態では、ＥＲＧデバイスコレ
クション２０５は、ＥＲＧネットワークマネージャに使用される１つ以上のホスト２０６
を含み得、これは、事実上、ＥＲＧのプライマリ管理者として機能し、ＶＣＳデータセン
ター、およびＥＲＧがインストールされる場所にある非ＶＣＳサーバへの接続を確立する
こと、ＥＲＧの他のデバイスを起動することなどを担当する。いくつかの実施形態では、
コレクション２０５は、１つ以上のストレージサーバ２０７を含み得、これは、例えば、
ＶＣＳからのネットワーク接続を介してイメージを転送する必要なしに、ＥＲＧで顧客が
要求した仮想マシンをインスタンス化するために使用することができる仮想マシンイメー
ジのキャッシュとして使用され得る。コレクションはまた、図示の実施形態では、ＥＶＨ
２１８Ａなどのいくつかの数の強化されたセキュリティ仮想化ホスト（ＥＶＨ）２１８を
含み得る。少なくとも１つの実施形態では、ＥＲＧにおいて、ＥＶＨ、ＥＲＧネットワー
クマネージャのために、および／またはストレージサーバのために同じタイプのコンピュ
ーティングデバイスを使用することができ、すなわち、ネットワークマネージャのために
、および／またはＶＭイメージをキャッシュするために特別なタイプのハードウェアを必
要としない場合があることに留意されたい。
少なくともいくつかの実施形態では、ＥＲＧの所与のＥＶＨ、例えばＥＶＨ２１８Ａは
、ストレージデバイス２５５のセット、オフロードされた仮想化マネージャコンポーネン
ト（ＯＶＭＣ）２６９、およびオペレーティングシステム（ＯＳ）のストリップダウンバ
ージョン２６５を含み得る。ストレージデバイス２５５は、例えば、ＥＶＨで起動された
任意の仮想マシンの状態情報を含むＥＶＨの状態情報が、例えば、暗号化された形式で記
憶され得る少なくとも１つの耐タンパー性デバイス２５６を含み得る。少なくとも１つの
実施形態では、耐タンパー性ストレージデバイス２５６は、デバイスに記憶された暗号化
データが、デバイスが特定のＥＶＨ（例えば、ＥＶＨ ２１８Ａ）に物理的に接続される
場合にのみ復号化することができるように構成され得、例えば、デバイスに記憶されるデ
ータの暗号化されたバージョンを復号化するために、ＥＶＨのＴＰＭ（トラステッドプラ
ットフォームモジュール）などのセキュリティモジュールに記憶される情報を読み取る、
および／または分析する必要がある場合がある。オフロードされた仮想化マネージャコン
ポーネント２６９は、図３の文脈で以下で考察されるように、いくつかの実施形態では、
セキュリティモジュールを含み得る。ＯＶＭＣは、例えば、いくつかの実施形態では、Ｐ
ＣＩ（ペリフェラルコンポーネントインターコネクト）などの周辺インターフェースを介
してＥＶＨ２１８のメモリに接続されたハードウェアカードを含み得る。名前が示すよう
に、ＯＶＭＣは、仮想マシンを管理する作業のいくつかをＥＶＨのプライマリプロセッサ
（例えば、ＣＰＵ）からオフロードし得、これにより、ＥＶＨのリソースの多くを、クラ
イアントが要求した仮想マシンで利用可能にする。いくつかの実施形態では、複数のＯＶ
ＭＣ（例えば、複数のＰＣＩ接続カード）は、２１８ＡなどのＥＶＨに含まれ得る。一実
施形態では、ＯＶＭＣは、ネットワーキング関連の仮想化管理タスクおよび／または他の
入力出力（Ｉ／Ｏ）関連の仮想化管理タスクを実行することができる。少なくとも１つの
実施形態では、ＯＶＭＣ２６９と同様の周辺カードを使用して、ＥＲＧのネットワークマ
ネージャの機能の少なくとも一部分を実装することができる。
、ストレージデバイス２５５のセット、オフロードされた仮想化マネージャコンポーネン
ト（ＯＶＭＣ）２６９、およびオペレーティングシステム（ＯＳ）のストリップダウンバ
ージョン２６５を含み得る。ストレージデバイス２５５は、例えば、ＥＶＨで起動された
任意の仮想マシンの状態情報を含むＥＶＨの状態情報が、例えば、暗号化された形式で記
憶され得る少なくとも１つの耐タンパー性デバイス２５６を含み得る。少なくとも１つの
実施形態では、耐タンパー性ストレージデバイス２５６は、デバイスに記憶された暗号化
データが、デバイスが特定のＥＶＨ（例えば、ＥＶＨ ２１８Ａ）に物理的に接続される
場合にのみ復号化することができるように構成され得、例えば、デバイスに記憶されるデ
ータの暗号化されたバージョンを復号化するために、ＥＶＨのＴＰＭ（トラステッドプラ
ットフォームモジュール）などのセキュリティモジュールに記憶される情報を読み取る、
および／または分析する必要がある場合がある。オフロードされた仮想化マネージャコン
ポーネント２６９は、図３の文脈で以下で考察されるように、いくつかの実施形態では、
セキュリティモジュールを含み得る。ＯＶＭＣは、例えば、いくつかの実施形態では、Ｐ
ＣＩ（ペリフェラルコンポーネントインターコネクト）などの周辺インターフェースを介
してＥＶＨ２１８のメモリに接続されたハードウェアカードを含み得る。名前が示すよう
に、ＯＶＭＣは、仮想マシンを管理する作業のいくつかをＥＶＨのプライマリプロセッサ
（例えば、ＣＰＵ）からオフロードし得、これにより、ＥＶＨのリソースの多くを、クラ
イアントが要求した仮想マシンで利用可能にする。いくつかの実施形態では、複数のＯＶ
ＭＣ（例えば、複数のＰＣＩ接続カード）は、２１８ＡなどのＥＶＨに含まれ得る。一実
施形態では、ＯＶＭＣは、ネットワーキング関連の仮想化管理タスクおよび／または他の
入力出力（Ｉ／Ｏ）関連の仮想化管理タスクを実行することができる。少なくとも１つの
実施形態では、ＯＶＭＣ２６９と同様の周辺カードを使用して、ＥＲＧのネットワークマ
ネージャの機能の少なくとも一部分を実装することができる。
図２に描写される実施形態では、ＯＳ２６５は、コントロールプレーンエージェント（
ＣＰＡ）プロセス２６７を含み得る。ＣＰＡ２６７は、上で考察された種類のアウトバウ
ンドコマンドコミュニケータ（ＯＣＣ）を介して、プロバイダネットワークデータセンタ
ーでのＶＣＳコントロールプレーンから送信された管理コマンド２６６を受信することが
できる。コマンド２６６は、図示の実施形態では、ＣＰＡアプリケーションプログラミン
グインターフェース（ＣＰＡ ＡＰＩ）２７８に従ってフォーマットされ得る。事実上、
ＣＰＡ ＡＰＩ２７８は、ＣＰＡまたはＥＶＨ２１８の他のコンポーネントの特定の実装
詳細に関係なく、ＶＣＳコントロールプレーンの要求に応じてＥＶＨ２１８で実装される
操作のタイプを管理する契約を表すことができる。例えば、代わりにＥＲＧがセットアッ
プされるクライアントによって要求された仮想マシンを起動するためのコマンドは、ＣＰ
Ａ２６７に送信され得る。少なくともいくつかのＣＰＡ ＡＰＩコールは、図示の実施形
態では、応答を提出者に送信することを必要としない場合がある。アウトバウンドメッセ
ージは、いくつかのそのような実施形態では、ＣＰＡによってＥＶＨから送信されない場
合がある。
ＣＰＡ）プロセス２６７を含み得る。ＣＰＡ２６７は、上で考察された種類のアウトバウ
ンドコマンドコミュニケータ（ＯＣＣ）を介して、プロバイダネットワークデータセンタ
ーでのＶＣＳコントロールプレーンから送信された管理コマンド２６６を受信することが
できる。コマンド２６６は、図示の実施形態では、ＣＰＡアプリケーションプログラミン
グインターフェース（ＣＰＡ ＡＰＩ）２７８に従ってフォーマットされ得る。事実上、
ＣＰＡ ＡＰＩ２７８は、ＣＰＡまたはＥＶＨ２１８の他のコンポーネントの特定の実装
詳細に関係なく、ＶＣＳコントロールプレーンの要求に応じてＥＶＨ２１８で実装される
操作のタイプを管理する契約を表すことができる。例えば、代わりにＥＲＧがセットアッ
プされるクライアントによって要求された仮想マシンを起動するためのコマンドは、ＣＰ
Ａ２６７に送信され得る。少なくともいくつかのＣＰＡ ＡＰＩコールは、図示の実施形
態では、応答を提出者に送信することを必要としない場合がある。アウトバウンドメッセ
ージは、いくつかのそのような実施形態では、ＣＰＡによってＥＶＨから送信されない場
合がある。
ＶＭ起動コマンドに応答して、ＣＰＡ２６７は、いくつかの実施形態では、ＶＩＰ２６
８－１などの交換可能な仮想化中間プロセス（ＶＩＰ）２６８を起動することができる。
最初に、図示の実施形態では、ＶＩＰプロセス２６８－１は、ＣＰＡ２６７によって発行
されたＡＰＩ要求またはコマンドを受信するように構成されるＡＰＩハンドラスレッド２
７０－１を含み得る。次に、ＣＰＡ２６７は、実際にＶＭを起動するためのコマンドを発
行することができ、ＶＩＰ２６８－１の新しい子スレッド２６３－１を起動して、要求さ
れたＶＭを実装することができる。ＶＭスレッド２６３－１の起動をもたらすコマンドに
は、例えば、使用する起動可能なＶＭイメージ、ＶＭのリソース要件、ＯＶＭＣを使用し
て、特にＶＭに対してＣＰＡによって以前に実行されたネットワーク構成操作の結果など
を示すパラメータが含まれ得る。ＶＭをインスタンス化するためのコマンドは、図示の実
施形態では、ＶＩＰ ＡＰＩ２７９と呼ばれる第２の内部ＡＰＩを介して提出することが
できる。ＣＰＡ ＡＰＩがＶＣＳコントロールプレーンとＣＰＡとの間の契約を表すのと
同様に、様々な実施形態では、ＶＩＰ ＡＰＩは、エンティティ（例えば、ＶＩＰ）の特
定の実装詳細またはプロセス／スレッド構造に関係なく、ＶＭを起動および終了させるこ
とを担当するエンティティによって処理される要求のタイプを示す別の契約を表すことが
できる。所与のＶＩＰ２６８の存続期間は、いくつかの実施形態では、対応するＶＭスレ
ッド２６３の存続期間と一致し得、例えば、ＶＭが終了するとき、ＶＩＰもまた終了し得
る。ＶＭの存続期間中、ＣＰＡは、ＡＰＩハンドラスレッド２７０－１を介してＶＩＰと
通信することができ、例えば、様々なタイプのＶＭ関連操作を要求するＶＩＰ ＡＰＩ
２７９に従ってフォーマットされたメッセージを提出し、様々なタイプのＶＭ関連クエリ
を提出すること、および対応する応答を受信することを行うことができる。いくつかの実
施形態では、ＥＲＧで起動される少なくともいくつかのＶＭのリソース要件（例えば、Ｃ
ＰＵ、メモリ、ストレージ、および／またはメモリ要件）は、非常に低く、および／また
はＶＭの予想される存続期間は、非常に短い場合があり、そのようなＶＭは、「マイクロ
ＶＭ」と呼ばれることがある。一実施形態では、ＯＳ２６５のストリップダウンバージョ
ンは、Ｌｉｎｕｘカーネルベースの仮想マシン（ＫＶＭ）および他の仮想化特徴を活用し
て、そのような軽量マイクロＶＭをほぼネイティブの速度で実行することができる仮想マ
シンモニターを含み得る。仮想マシンモニターは、ユーザスペースプロセスとして動作し
、ゲストオペレーティングシステムに最小限のデバイスエミュレーションを提供し（例え
ば、ブロックおよびネットワークデバイスを含む標準のＰＣデバイスモデル）、より速い
スタートアップ、およびメモリフットプリントの削減を達成するための必須ではない機能
（例えば、ＶＧＡ（ビデオグラフィックスアレイ）および他のレガシーデバイスエミュレ
ータ）を含まない場合がある。仮想マシン監視プロセスは、いくつかの実施形態では、Ｃ
ＰＡ ＡＰＩ２７８と同様のＡＰＩを公開し、マイクロＶＭサンドボックス化を実施し、
仮想化関連要求の速度制限を処理することができる。
８－１などの交換可能な仮想化中間プロセス（ＶＩＰ）２６８を起動することができる。
最初に、図示の実施形態では、ＶＩＰプロセス２６８－１は、ＣＰＡ２６７によって発行
されたＡＰＩ要求またはコマンドを受信するように構成されるＡＰＩハンドラスレッド２
７０－１を含み得る。次に、ＣＰＡ２６７は、実際にＶＭを起動するためのコマンドを発
行することができ、ＶＩＰ２６８－１の新しい子スレッド２６３－１を起動して、要求さ
れたＶＭを実装することができる。ＶＭスレッド２６３－１の起動をもたらすコマンドに
は、例えば、使用する起動可能なＶＭイメージ、ＶＭのリソース要件、ＯＶＭＣを使用し
て、特にＶＭに対してＣＰＡによって以前に実行されたネットワーク構成操作の結果など
を示すパラメータが含まれ得る。ＶＭをインスタンス化するためのコマンドは、図示の実
施形態では、ＶＩＰ ＡＰＩ２７９と呼ばれる第２の内部ＡＰＩを介して提出することが
できる。ＣＰＡ ＡＰＩがＶＣＳコントロールプレーンとＣＰＡとの間の契約を表すのと
同様に、様々な実施形態では、ＶＩＰ ＡＰＩは、エンティティ（例えば、ＶＩＰ）の特
定の実装詳細またはプロセス／スレッド構造に関係なく、ＶＭを起動および終了させるこ
とを担当するエンティティによって処理される要求のタイプを示す別の契約を表すことが
できる。所与のＶＩＰ２６８の存続期間は、いくつかの実施形態では、対応するＶＭスレ
ッド２６３の存続期間と一致し得、例えば、ＶＭが終了するとき、ＶＩＰもまた終了し得
る。ＶＭの存続期間中、ＣＰＡは、ＡＰＩハンドラスレッド２７０－１を介してＶＩＰと
通信することができ、例えば、様々なタイプのＶＭ関連操作を要求するＶＩＰ ＡＰＩ
２７９に従ってフォーマットされたメッセージを提出し、様々なタイプのＶＭ関連クエリ
を提出すること、および対応する応答を受信することを行うことができる。いくつかの実
施形態では、ＥＲＧで起動される少なくともいくつかのＶＭのリソース要件（例えば、Ｃ
ＰＵ、メモリ、ストレージ、および／またはメモリ要件）は、非常に低く、および／また
はＶＭの予想される存続期間は、非常に短い場合があり、そのようなＶＭは、「マイクロ
ＶＭ」と呼ばれることがある。一実施形態では、ＯＳ２６５のストリップダウンバージョ
ンは、Ｌｉｎｕｘカーネルベースの仮想マシン（ＫＶＭ）および他の仮想化特徴を活用し
て、そのような軽量マイクロＶＭをほぼネイティブの速度で実行することができる仮想マ
シンモニターを含み得る。仮想マシンモニターは、ユーザスペースプロセスとして動作し
、ゲストオペレーティングシステムに最小限のデバイスエミュレーションを提供し（例え
ば、ブロックおよびネットワークデバイスを含む標準のＰＣデバイスモデル）、より速い
スタートアップ、およびメモリフットプリントの削減を達成するための必須ではない機能
（例えば、ＶＧＡ（ビデオグラフィックスアレイ）および他のレガシーデバイスエミュレ
ータ）を含まない場合がある。仮想マシン監視プロセスは、いくつかの実施形態では、Ｃ
ＰＡ ＡＰＩ２７８と同様のＡＰＩを公開し、マイクロＶＭサンドボックス化を実施し、
仮想化関連要求の速度制限を処理することができる。
異なる実施形態では、所与の要求されたＶＭに使用される特定のＥＶＨ２１８を選択す
る際に、いくつかのＶＭ配置要因を考慮に入れることができ、例えば、ホスト上で現在動
作しているＶＭの数を、考慮することができ、ＥＶＨのオーバーサブスクリプション設定
、および／または代わってＶＭが起動されるクライアントのオーバーサブスクリプション
プリファレンスを考慮することなどを行うことができる。いくつかの実施形態では、特定
のＶＭ起動の任意の要求がＥＶＨでのＣＰＡ２６７に送信される前に、いくつかの予備構
成操作がＥＶＨ２１８で（例えば、ＥＲＧネットワークマネージャによって）実行され得
、例えば、以下で考察される種類の１つ以上の仮想ネットワークインターフェースは、Ｅ
ＶＨのＶＭによる最終的な使用のために、ＯＶＭＣ２６９を使用して構成することができ
る。
る際に、いくつかのＶＭ配置要因を考慮に入れることができ、例えば、ホスト上で現在動
作しているＶＭの数を、考慮することができ、ＥＶＨのオーバーサブスクリプション設定
、および／または代わってＶＭが起動されるクライアントのオーバーサブスクリプション
プリファレンスを考慮することなどを行うことができる。いくつかの実施形態では、特定
のＶＭ起動の任意の要求がＥＶＨでのＣＰＡ２６７に送信される前に、いくつかの予備構
成操作がＥＶＨ２１８で（例えば、ＥＲＧネットワークマネージャによって）実行され得
、例えば、以下で考察される種類の１つ以上の仮想ネットワークインターフェースは、Ｅ
ＶＨのＶＭによる最終的な使用のために、ＯＶＭＣ２６９を使用して構成することができ
る。
ＶＭを起動するための新しいコマンドがＣＰＡ２６７で受信されると、ＶＭスレッド
２６３－１の起動に関して上記に示されたＣＰＡワークフローは、図示の実施形態では、
繰り返され得、例えば、ＶＭ別構成操作は、ＶＩＰを起動する前に、ＣＰＡによって実行
され得、ＶＩＰのスレッドの１つを、要求されたＶＭに使用することができる。ラベルＶ
ＩＰ２６８－１００００によって示唆されるように、図示の実施形態では、所与のＥＶＨ
２１８で多数（例えば、数万）のＶＭを作成することができる。ＥＶＨで同時に動作する
ためにインスタンス化することができるＶＭの実際の数は、ＥＶＨで利用可能な全体的な
リソースの組み合わせ、インストールされるソフトウェア／ハードウェアスタックのバー
ジョン、有効なリソースオーバーサブスクリプションポリシー／複数のリソースオーバー
サブスクリプションポリシーなどに応じて、異なる実施形態では、様々であり得、例とし
て図２に示す１００００の数よりも大きい場合もあり、または小さい場合もある。ＶＭ２
６３－１の親ＶＩＰ２６８－１は、交換可能であるため、ＥＶＨ２１８Ａで描写される実
施形態では、所望のレベルのリソースオーバーサブスクリプションを実装することが可能
であり得、例えば、ＥＶＨで動作するＶＭのセットの総メモリ使用量は、利用可能なメモ
リの量を超える可能性がある。ＶＭを終了させるための要求がＶＣＳコントロールプレー
ンで受信されると、対応するコマンドは、ＡＰＩ呼び出しを介してＣＰＡに送信され得、
スレッドが、対象となるＶＭに使用されるＶＩＰは、図示の実施形態では、終了し得る。
すなわち、少なくとも１つの実施形態では、動作しているＶＭの数と動作しているＶＩＰ
の数との間に１対１の関係があり得る。他の実施形態では、図２に示されるプロセスアー
キテクチャのバリエーションを採用することができ、例えば、所与のＶＩＰは、それぞれ
のスレッドとして複数のＶＭを生成することができ、複数のＣＰＡをＶＨでセットアップ
することなど行うことができる。いくつかの実施形態では、ＶＩＰおよび／またはＶＭに
使用される別個のプロセスは、交換可能ではない場合がある。少なくともいくつかの実施
形態では、図２に示されるものとは異なるアプローチを使用して、仮想マシンを管理する
ことができ、例えば、示される種類のコントロールプレーンエージェントの代わりに、よ
り大きなフットプリントを有するハイパーバイザーを使用することができる。
２６３－１の起動に関して上記に示されたＣＰＡワークフローは、図示の実施形態では、
繰り返され得、例えば、ＶＭ別構成操作は、ＶＩＰを起動する前に、ＣＰＡによって実行
され得、ＶＩＰのスレッドの１つを、要求されたＶＭに使用することができる。ラベルＶ
ＩＰ２６８－１００００によって示唆されるように、図示の実施形態では、所与のＥＶＨ
２１８で多数（例えば、数万）のＶＭを作成することができる。ＥＶＨで同時に動作する
ためにインスタンス化することができるＶＭの実際の数は、ＥＶＨで利用可能な全体的な
リソースの組み合わせ、インストールされるソフトウェア／ハードウェアスタックのバー
ジョン、有効なリソースオーバーサブスクリプションポリシー／複数のリソースオーバー
サブスクリプションポリシーなどに応じて、異なる実施形態では、様々であり得、例とし
て図２に示す１００００の数よりも大きい場合もあり、または小さい場合もある。ＶＭ２
６３－１の親ＶＩＰ２６８－１は、交換可能であるため、ＥＶＨ２１８Ａで描写される実
施形態では、所望のレベルのリソースオーバーサブスクリプションを実装することが可能
であり得、例えば、ＥＶＨで動作するＶＭのセットの総メモリ使用量は、利用可能なメモ
リの量を超える可能性がある。ＶＭを終了させるための要求がＶＣＳコントロールプレー
ンで受信されると、対応するコマンドは、ＡＰＩ呼び出しを介してＣＰＡに送信され得、
スレッドが、対象となるＶＭに使用されるＶＩＰは、図示の実施形態では、終了し得る。
すなわち、少なくとも１つの実施形態では、動作しているＶＭの数と動作しているＶＩＰ
の数との間に１対１の関係があり得る。他の実施形態では、図２に示されるプロセスアー
キテクチャのバリエーションを採用することができ、例えば、所与のＶＩＰは、それぞれ
のスレッドとして複数のＶＭを生成することができ、複数のＣＰＡをＶＨでセットアップ
することなど行うことができる。いくつかの実施形態では、ＶＩＰおよび／またはＶＭに
使用される別個のプロセスは、交換可能ではない場合がある。少なくともいくつかの実施
形態では、図２に示されるものとは異なるアプローチを使用して、仮想マシンを管理する
ことができ、例えば、示される種類のコントロールプレーンエージェントの代わりに、よ
り大きなフットプリントを有するハイパーバイザーを使用することができる。
例示的なオフロードされた仮想化管理コンポーネントカード
図３は、少なくともいくつかの実施形態による、仮想化ホストのオフロードされた仮想
化管理コンポーネントカードの例示的な要素を例解する。前述のように、様々な実施形態
では、そのようなカードを使用して、少なくともいくつかのタイプの仮想化管理タスクを
実行し、仮想化ホスト（例えば、ＥＲＧのＶＭまたはプロバイダネットワーク内のＶＭに
使用されるホスト）の処理および他のリソースを解放することができる。図のように、オ
フロードされた仮想化管理コンポーネント（ＯＶＭＣ）カード３０２（図２のＯＶＭＣ２
６９と特徴および能力が同様の）は、オフロードプロセッサ３１７Ａおよび３１７Ｂ（Ｏ
ＶＭＣカードが接続および使用される仮想化ホストの一次ＣＰＵとは区別される）のそれ
ぞれのセットを有する一対のシステムオンチップを含み得る。図示の実施形態では、ＳＯ
Ｃのうちの一方（例えば、３１５）をブートコントローラに使用することができ、他方は
、主にまたは具体的にネットワーク処理オフロードに使用することができる。仮想化関連
担当の他の分散は、異なる実施形態で実装され得る。セキュアブートＲＯＭ３２５は、い
くつかの実施形態では、ブートコントローラによる仮想化ホスト自体のマルチフェーズブ
ート操作の初期フェーズに使用することができる。ＯＶＭＣカード３０２はまた、セキュ
リティモジュール（トラステッドプラットフォームモジュール（ＴＰＭ）など）３３０を
含み得、それはまた、前述のように、いくつかの実施形態では、ブート手順中および／ま
たはブート後状態検証のために広範囲に使用され得る。少なくともいくつかの実施形態で
は、仮想化ホストのプレインストールされたソフトウェア／ファームウェアの表現がセキ
ュリティモジュールに含まれ得る。少なくともいくつかの実施形態では、ＶＣＳオペレー
タによって選択された特定のソフトウェアスタックのみが、セキュリティモジュール３３
０がインストールされるホストにインストール可能であり得、そのため、インストールを
修正しようとする任意の試みは、失敗する可能性があり、仮想化ホストのセキュリティが
さらに強化される。
図３は、少なくともいくつかの実施形態による、仮想化ホストのオフロードされた仮想
化管理コンポーネントカードの例示的な要素を例解する。前述のように、様々な実施形態
では、そのようなカードを使用して、少なくともいくつかのタイプの仮想化管理タスクを
実行し、仮想化ホスト（例えば、ＥＲＧのＶＭまたはプロバイダネットワーク内のＶＭに
使用されるホスト）の処理および他のリソースを解放することができる。図のように、オ
フロードされた仮想化管理コンポーネント（ＯＶＭＣ）カード３０２（図２のＯＶＭＣ２
６９と特徴および能力が同様の）は、オフロードプロセッサ３１７Ａおよび３１７Ｂ（Ｏ
ＶＭＣカードが接続および使用される仮想化ホストの一次ＣＰＵとは区別される）のそれ
ぞれのセットを有する一対のシステムオンチップを含み得る。図示の実施形態では、ＳＯ
Ｃのうちの一方（例えば、３１５）をブートコントローラに使用することができ、他方は
、主にまたは具体的にネットワーク処理オフロードに使用することができる。仮想化関連
担当の他の分散は、異なる実施形態で実装され得る。セキュアブートＲＯＭ３２５は、い
くつかの実施形態では、ブートコントローラによる仮想化ホスト自体のマルチフェーズブ
ート操作の初期フェーズに使用することができる。ＯＶＭＣカード３０２はまた、セキュ
リティモジュール（トラステッドプラットフォームモジュール（ＴＰＭ）など）３３０を
含み得、それはまた、前述のように、いくつかの実施形態では、ブート手順中および／ま
たはブート後状態検証のために広範囲に使用され得る。少なくともいくつかの実施形態で
は、仮想化ホストのプレインストールされたソフトウェア／ファームウェアの表現がセキ
ュリティモジュールに含まれ得る。少なくともいくつかの実施形態では、ＶＣＳオペレー
タによって選択された特定のソフトウェアスタックのみが、セキュリティモジュール３３
０がインストールされるホストにインストール可能であり得、そのため、インストールを
修正しようとする任意の試みは、失敗する可能性があり、仮想化ホストのセキュリティが
さらに強化される。
加えて、ＯＶＭＣカード３０２は、様々な実施形態では、いくつかのストレージ、電力
、および接続性に関連するコンポーネントを含み得る。例えば、１つ以上のフラッシュデ
バイス／インターフェース（またはＳＳＤ）３３５をオフロードカード内に組み込むこと
ができる。これらのデバイスは、例えば、様々な仮想化管理コンポーネント、仮想マシン
コンポーネントなどに対応するファームウェアおよび／またはソフトウェアを記憶するた
めに使用され得る。ＰＣＩ－Ｅインターフェース３４０は、様々な実施形態では、ＣＰＡ
およびＶＩＰなどのプロセスと通信するために、および／またはＳＯＣ間の通信のために
使用され得る。他の実施形態では、ＱｕｉｃｋＰａｔｈインターコネクト（ＱＰＩ）また
はＵｌｔｒａＰａｔｈインターコネクト（ＵＰＩ）のバリアントなど、他のタイプのイン
ターコネクトおよび対応するインターフェースを使用することができる。ネットワークイ
ンターフェース３４５は、いくつかの実施形態では、仮想化ホストと仮想化コンピューテ
ィングサービスのコントロールプレーンとの間の通信、および少なくとも１つの実施形態
では、ホスト上で起動された仮想マシンと少なくとも１つ以上のネットワークエンドポイ
ントとの間のデータプレーン通信のために使用され得る。ＯＶＭＣカード３０２はまた、
いくつかの実施形態では、例えば、長時間の停電の場合に、少なくともいくつかの目標と
なる時間または日数の間、ＯＶＭＣを機能させ続けるのに十分な電源３６０を含み得る。
いくつかの実装形態では、スーパーキャパシタベースの電源が使用され得る。
、および接続性に関連するコンポーネントを含み得る。例えば、１つ以上のフラッシュデ
バイス／インターフェース（またはＳＳＤ）３３５をオフロードカード内に組み込むこと
ができる。これらのデバイスは、例えば、様々な仮想化管理コンポーネント、仮想マシン
コンポーネントなどに対応するファームウェアおよび／またはソフトウェアを記憶するた
めに使用され得る。ＰＣＩ－Ｅインターフェース３４０は、様々な実施形態では、ＣＰＡ
およびＶＩＰなどのプロセスと通信するために、および／またはＳＯＣ間の通信のために
使用され得る。他の実施形態では、ＱｕｉｃｋＰａｔｈインターコネクト（ＱＰＩ）また
はＵｌｔｒａＰａｔｈインターコネクト（ＵＰＩ）のバリアントなど、他のタイプのイン
ターコネクトおよび対応するインターフェースを使用することができる。ネットワークイ
ンターフェース３４５は、いくつかの実施形態では、仮想化ホストと仮想化コンピューテ
ィングサービスのコントロールプレーンとの間の通信、および少なくとも１つの実施形態
では、ホスト上で起動された仮想マシンと少なくとも１つ以上のネットワークエンドポイ
ントとの間のデータプレーン通信のために使用され得る。ＯＶＭＣカード３０２はまた、
いくつかの実施形態では、例えば、長時間の停電の場合に、少なくともいくつかの目標と
なる時間または日数の間、ＯＶＭＣを機能させ続けるのに十分な電源３６０を含み得る。
いくつかの実装形態では、スーパーキャパシタベースの電源が使用され得る。
いくつかの実施形態では、オフロードされた仮想化マネージャコンポーネントに対して
、同じカード上の別個のＳＯＣが必要とされない場合がある。例えば、一実施形態では、
ブートコントローラ機能およびネットワークオフロードタスクを実行することが可能であ
る単一のＳＯＣを利用することができる。他の実施形態では、ブートコントローラに使用
されるものとは別のカードを使用して、ネットワーク処理タスクを実行することができる
。図３に示されるオフロードカードコンポーネントのセットは、包括的であることを意図
しておらず、いくつかの実施形態では、タイマーなどのいくつかの他のコンポーネントを
カードに組み込むことができる。様々な実装形態において、図６に示されるコンポーネン
トの少なくともいくつかは必要とされない場合がある。
、同じカード上の別個のＳＯＣが必要とされない場合がある。例えば、一実施形態では、
ブートコントローラ機能およびネットワークオフロードタスクを実行することが可能であ
る単一のＳＯＣを利用することができる。他の実施形態では、ブートコントローラに使用
されるものとは別のカードを使用して、ネットワーク処理タスクを実行することができる
。図３に示されるオフロードカードコンポーネントのセットは、包括的であることを意図
しておらず、いくつかの実施形態では、タイマーなどのいくつかの他のコンポーネントを
カードに組み込むことができる。様々な実装形態において、図６に示されるコンポーネン
トの少なくともいくつかは必要とされない場合がある。
アウトバウンドコマンドコミュニケータでの仮想ネットワークインターフェースの例示的
な使用
様々な実施形態では、仮想ネットワークインターフェース（ＶＮＩ）（「弾性ネットワ
ークインターフェース」とも呼ばれ得る）は、ＶＣＳ（図１のＶＣＳ１１０と同様）およ
び／またはＶＣＳ拡張リソースグループ（図１のＥＲＧ１３５と同様）で構成され得、物
理ネットワークカードを必ずしも再構成することなく、ＩＰ（インターネットプロトコル
）アドレスなどのネットワーク関連属性を、仮想マシン間で比較的簡単に転送することが
可能である。そのような属性転送は、例えば、仮想ネットワークインターフェースを、１
つの仮想マシン（例えば、アウトバウンドコマンドコミュニケータ（ＯＣＣ）として使用
される仮想マシン）からプログラムで切断し、別の仮想マシンにプログラムで接続するこ
とによって実現することができる。図４は、少なくともいくつかの実施形態による、拡張
リソースグループに関連付けられたアウトバウンドコマンドコミュニケータにプログラム
で接続され得る仮想ネットワークインターフェースの例示的な属性を例解する。図のよう
に、４９１Ａまたは４９１Ｂなどの１つ以上のＶＮＩは、図示の実施形態では、例えば、
仮想マシンが動作するホストの特定のハードウェアネットワークインターフェースカード
（ＮＩＣ）とは独立して、プログラム操作４９３を介して所与の仮想マシン４９０に接続
（またはそこから切断）され得る。
な使用
様々な実施形態では、仮想ネットワークインターフェース（ＶＮＩ）（「弾性ネットワ
ークインターフェース」とも呼ばれ得る）は、ＶＣＳ（図１のＶＣＳ１１０と同様）およ
び／またはＶＣＳ拡張リソースグループ（図１のＥＲＧ１３５と同様）で構成され得、物
理ネットワークカードを必ずしも再構成することなく、ＩＰ（インターネットプロトコル
）アドレスなどのネットワーク関連属性を、仮想マシン間で比較的簡単に転送することが
可能である。そのような属性転送は、例えば、仮想ネットワークインターフェースを、１
つの仮想マシン（例えば、アウトバウンドコマンドコミュニケータ（ＯＣＣ）として使用
される仮想マシン）からプログラムで切断し、別の仮想マシンにプログラムで接続するこ
とによって実現することができる。図４は、少なくともいくつかの実施形態による、拡張
リソースグループに関連付けられたアウトバウンドコマンドコミュニケータにプログラム
で接続され得る仮想ネットワークインターフェースの例示的な属性を例解する。図のよう
に、４９１Ａまたは４９１Ｂなどの１つ以上のＶＮＩは、図示の実施形態では、例えば、
仮想マシンが動作するホストの特定のハードウェアネットワークインターフェースカード
（ＮＩＣ）とは独立して、プログラム操作４９３を介して所与の仮想マシン４９０に接続
（またはそこから切断）され得る。
任意の所与のＶＮＩ４９１の例示的な属性４９５の一般化されたリストが図４に示され
、少なくともいくつかの実施形態では、それらのすべてが必ずしもすべてのＶＮＩに使用
され得るわけではない。いくつかの実施形態では、図４に示される属性またはプロパティ
のサブセットのみを実装することができ、実装された属性フィールドのすべてに入力する
必要はない（すなわち、属性のいくつかを空白またはヌルのままにすることができる）。
様々なＶＮＩの属性４９５を含むフィールド／エントリを含むそれぞれのレコードは、い
くつかの実施形態では、永続的なメタデータストア、例えば、プロバイダネットワークま
たはＶＣＳの様々なコントロールプレーンまたは管理コンポーネントからアクセス可能で
あるストアに記憶され得る。
、少なくともいくつかの実施形態では、それらのすべてが必ずしもすべてのＶＮＩに使用
され得るわけではない。いくつかの実施形態では、図４に示される属性またはプロパティ
のサブセットのみを実装することができ、実装された属性フィールドのすべてに入力する
必要はない（すなわち、属性のいくつかを空白またはヌルのままにすることができる）。
様々なＶＮＩの属性４９５を含むフィールド／エントリを含むそれぞれのレコードは、い
くつかの実施形態では、永続的なメタデータストア、例えば、プロバイダネットワークま
たはＶＣＳの様々なコントロールプレーンまたは管理コンポーネントからアクセス可能で
あるストアに記憶され得る。
例えば、プログラム要求に応答して、新しいＶＮＩが作成されると、図示の実施形態で
は、新しいインターフェース識別子４０１がそのために生成され得る。いくつかの実装形
態では、説明フィールド４０２は、ＶＮＩ、例えば、「ＥＲＧ Ｅ－１１４２のＯＣＣ４
８５のためのインターフェース６５４」の作成を要求したクライアントによって記入され
得る。前で考察されたように、いくつかの実施形態では、ＶＮＩが使用されるＶＣＳは、
複数の分離仮想ネットワーク（ＩＶＮ）を含み得る。属性４９５は、そのような実施形態
では、ＩＶＮ識別子４０３（ＶＮＩが構成されるＩＶＮを示す）を含み得る。
は、新しいインターフェース識別子４０１がそのために生成され得る。いくつかの実装形
態では、説明フィールド４０２は、ＶＮＩ、例えば、「ＥＲＧ Ｅ－１１４２のＯＣＣ４
８５のためのインターフェース６５４」の作成を要求したクライアントによって記入され
得る。前で考察されたように、いくつかの実施形態では、ＶＮＩが使用されるＶＣＳは、
複数の分離仮想ネットワーク（ＩＶＮ）を含み得る。属性４９５は、そのような実施形態
では、ＩＶＮ識別子４０３（ＶＮＩが構成されるＩＶＮを示す）を含み得る。
異なる実施形態では、いくつかのタイプのネットワークアドレス指定関連フィールドの
いずれかが、ＶＮＩの属性のセット内に含まれ得る。いくつかの実施形態では、１つ以上
のプライベートＩＰアドレス４０５を、例えば、指定することができる。そのようなプラ
イベートＩＰアドレスは、本明細書では非パブリックアドレスとも呼ばれ、様々な実施形
態では、プロバイダネットワークおよびＥＲＧなどのその拡張内のルーティングに内部的
に使用することができ、プロバイダネットワークおよびそのＥＲＧの外部から（または他
のＩＶＮ内から）直接アクセス可能でない場合がある。いくつかの実施形態では、ＶＮＩ
に関連付けられた少なくともいくつかの非パブリックＩＰアドレスは、ＩＰアドレスでは
ない可能性があり、つまり、プロバイダネットワークの専用プロトコルに従ってフォーマ
ットされたアドレスを使用することができるか、または別のパブリックドメインプロトコ
ルに従ってフォーマットされたアドレスを使用することができる。一般に、いくつかの実
施形態では、ゼロ個以上のパブリックＩＰアドレス４１５もＶＮＩに関連付けられ得、こ
れらのＩＰアドレスは、プロバイダネットワークおよびその拡張の外部、例えば、ＥＲＧ
がセットアップされているプレミスの非ＶＣＳサーバ、パブリックインターネットの様々
なルータなどに表示される場合がある。いくつかの実施形態では、ＶＮＩが使用されるＩ
ＶＮ内のクライアントによってセットアップされるサブネットの識別子など、１つ以上の
サブネット識別子４２５（例えば、Ｃｌａｓｓｌｅｓｓ Ｉｎｔｅｒ－Ｄｏｍａｉｎ Ｒ
ｏｕｔｉｎｇまたはＣＩＤＲ形式で表現される）を、属性４９５内に含めることができる
。一実施形態では、ＶＮＩに関連付けられたアドレス（複数可）を伝播することを担当す
るドメインネームサーバ（ＤＮＳ）の識別、または他のＤＮＳ関連情報４２７もまた、属
性４９５に含まれ得る。
いずれかが、ＶＮＩの属性のセット内に含まれ得る。いくつかの実施形態では、１つ以上
のプライベートＩＰアドレス４０５を、例えば、指定することができる。そのようなプラ
イベートＩＰアドレスは、本明細書では非パブリックアドレスとも呼ばれ、様々な実施形
態では、プロバイダネットワークおよびＥＲＧなどのその拡張内のルーティングに内部的
に使用することができ、プロバイダネットワークおよびそのＥＲＧの外部から（または他
のＩＶＮ内から）直接アクセス可能でない場合がある。いくつかの実施形態では、ＶＮＩ
に関連付けられた少なくともいくつかの非パブリックＩＰアドレスは、ＩＰアドレスでは
ない可能性があり、つまり、プロバイダネットワークの専用プロトコルに従ってフォーマ
ットされたアドレスを使用することができるか、または別のパブリックドメインプロトコ
ルに従ってフォーマットされたアドレスを使用することができる。一般に、いくつかの実
施形態では、ゼロ個以上のパブリックＩＰアドレス４１５もＶＮＩに関連付けられ得、こ
れらのＩＰアドレスは、プロバイダネットワークおよびその拡張の外部、例えば、ＥＲＧ
がセットアップされているプレミスの非ＶＣＳサーバ、パブリックインターネットの様々
なルータなどに表示される場合がある。いくつかの実施形態では、ＶＮＩが使用されるＩ
ＶＮ内のクライアントによってセットアップされるサブネットの識別子など、１つ以上の
サブネット識別子４２５（例えば、Ｃｌａｓｓｌｅｓｓ Ｉｎｔｅｒ－Ｄｏｍａｉｎ Ｒ
ｏｕｔｉｎｇまたはＣＩＤＲ形式で表現される）を、属性４９５内に含めることができる
。一実施形態では、ＶＮＩに関連付けられたアドレス（複数可）を伝播することを担当す
るドメインネームサーバ（ＤＮＳ）の識別、または他のＤＮＳ関連情報４２７もまた、属
性４９５に含まれ得る。
いくつかの実施形態では、属性４９５は、セキュリティ関連プロパティ４３５を含み得
る。いくつかのプロバイダネットワークは、ＶＮＩが接続される可能性のある計算インス
タンスで許可される着信および／または発信トラフィックのタイプについて、ユーザが、
例えばファイアウォール関連ルールを含むルールを指定することを可能にし得る。そのよ
うなルールは、「セキュリティグループ」と呼ばれ、セキュリティグループ（複数可）フ
ィールド４４５を介して特定され得る。いくつかの実施形態では、そのようなルールを使
用して様々なポートおよびプロトコル制限を実施することができ、複数のルールを各ＶＮ
Ｉに関連付けることができる。例えば、クライアントは、セキュリティグループを使用し
て、ＨＴＴＰおよびＨＴＴＰ発信または着信トラフィックのみが許可されることを確実に
すること、トラフィックが許可されるＴＣＰまたはＵＤＰポートのセットを制限すること
、様々なポリシーに従って着信および発信トラフィックをフィルタリングするなどを行い
得る。いくつかの実施形態では、上で考察された種類のＯＣＣに接続されたＶＮＩのセキ
ュリティグループおよび／または他のセキュリティ設定を使用して、ＶＣＳコントロール
プレーンで発行されるコマンドが、ＯＣＣに送信されることを可能にしながら、ＯＣＣか
らＶＣＳコントロールプレーンへのトラフィックの流れを防ぐことができる。いくつかの
実装形態では、どのユーザまたはエンティティがＶＣＳの仮想マシンなどのコンピューテ
ィングプラットフォームへのＶＮＩの接続を要求することを許可されるかを示すアタッチ
ャリスト４４７が指定され得る。場合によっては、個別のデタッチャリストを使用して、
どのエンティティがＶＮＩを切断することができるかを指定し得、一方、アタッチャリス
ト４４７などの単一のリストを使用して、許可されたアタッチャおよびデタッチャを特定
し得る。ＶＮＩのＩＰアドレス（例えば、パブリックＩＰアドレス４１５および／または
プライベートＩＰアドレス４０５）を設定または修正することを許可されるユーザまたは
エンティティのコレクションは、ＩＰアドレスセッターリスト４４９で提供され得、ＶＮ
Ｉを所有する（または様々な他のフィールドを変更することができる）ユーザまたはエン
ティティのセットは、いくつかの実施形態では、所有者／修正者フィールド４５３で指定
され得る。例えば、フィールド４５３で特定される所有者／修正者は、いくつかの実装形
態では、アタッチャリスト４４７またはＩＰアドレスセッターリストを変更することを許
可され得、したがって、ＶＮＩを接続または切断するか、またはそのＩＰアドレス（複数
可）を修正することを許可されるエンティティのセットを変更する。「リスト」という用
語は、フィールド４４７、４４９、および４５３に使用されているが、様々な実施形態で
は、リスト以外の論理データ構造（例えば、配列、ハッシュテーブル、セットなど）を使
用して、様々なセキュリティ特権、役割、および／または能力が付与されたエンティティ
のグループを表すことができる。
る。いくつかのプロバイダネットワークは、ＶＮＩが接続される可能性のある計算インス
タンスで許可される着信および／または発信トラフィックのタイプについて、ユーザが、
例えばファイアウォール関連ルールを含むルールを指定することを可能にし得る。そのよ
うなルールは、「セキュリティグループ」と呼ばれ、セキュリティグループ（複数可）フ
ィールド４４５を介して特定され得る。いくつかの実施形態では、そのようなルールを使
用して様々なポートおよびプロトコル制限を実施することができ、複数のルールを各ＶＮ
Ｉに関連付けることができる。例えば、クライアントは、セキュリティグループを使用し
て、ＨＴＴＰおよびＨＴＴＰ発信または着信トラフィックのみが許可されることを確実に
すること、トラフィックが許可されるＴＣＰまたはＵＤＰポートのセットを制限すること
、様々なポリシーに従って着信および発信トラフィックをフィルタリングするなどを行い
得る。いくつかの実施形態では、上で考察された種類のＯＣＣに接続されたＶＮＩのセキ
ュリティグループおよび／または他のセキュリティ設定を使用して、ＶＣＳコントロール
プレーンで発行されるコマンドが、ＯＣＣに送信されることを可能にしながら、ＯＣＣか
らＶＣＳコントロールプレーンへのトラフィックの流れを防ぐことができる。いくつかの
実装形態では、どのユーザまたはエンティティがＶＣＳの仮想マシンなどのコンピューテ
ィングプラットフォームへのＶＮＩの接続を要求することを許可されるかを示すアタッチ
ャリスト４４７が指定され得る。場合によっては、個別のデタッチャリストを使用して、
どのエンティティがＶＮＩを切断することができるかを指定し得、一方、アタッチャリス
ト４４７などの単一のリストを使用して、許可されたアタッチャおよびデタッチャを特定
し得る。ＶＮＩのＩＰアドレス（例えば、パブリックＩＰアドレス４１５および／または
プライベートＩＰアドレス４０５）を設定または修正することを許可されるユーザまたは
エンティティのコレクションは、ＩＰアドレスセッターリスト４４９で提供され得、ＶＮ
Ｉを所有する（または様々な他のフィールドを変更することができる）ユーザまたはエン
ティティのセットは、いくつかの実施形態では、所有者／修正者フィールド４５３で指定
され得る。例えば、フィールド４５３で特定される所有者／修正者は、いくつかの実装形
態では、アタッチャリスト４４７またはＩＰアドレスセッターリストを変更することを許
可され得、したがって、ＶＮＩを接続または切断するか、またはそのＩＰアドレス（複数
可）を修正することを許可されるエンティティのセットを変更する。「リスト」という用
語は、フィールド４４７、４４９、および４５３に使用されているが、様々な実施形態で
は、リスト以外の論理データ構造（例えば、配列、ハッシュテーブル、セットなど）を使
用して、様々なセキュリティ特権、役割、および／または能力が付与されたエンティティ
のグループを表すことができる。
いくつかの実施形態では、プロバイダネットワークの仮想化コンピューティングサービ
スのユーザは、プログラムで仮想マシン（ＶＭ）を終了させることを許可され得る。例え
ば、クライアントは、ＶＭをセットアップし、ＶＮＩをＶＭに接続し、ＶＭで所望の計算
のセットを実行し、所望の計算が完了したときにインスタンスを終了させるための要求を
発行することができる。そのような実施形態では、「ＤｅｌｅｔｅＯｎＴｅｒｍｉｎａｔ
ｅ」設定４５１を使用して、ＶＭが終了したときに接続されたＶＮＩに何が起こるかを指
定することができる。終了するＶＭに接続されたＶＮＩに対してＤｅｌｅｔｅＯｎＴｅｒ
ｍｉｎａｔｅが「ｔｒｕｅ」に設定されている場合、ＶＮＩは、削除される可能性がある
（例えば、ＶＮＩの属性４９５を含む永続レコードは、それが記憶されていたリポジトリ
から削除される可能性がある）。ＤｅｌｅｔｅＯｎＴｅｒｍｉｎａｔｅが「ｆａｌｓｅ」
に設定されている場合、ＶＮＩが保持される可能性があるため、例えば、いくつかのＶＭ
または他のコンピューティングプラットフォームに再度接続される可能性がある。一実施
形態では、ＶＮＩがＶＭに接続される場合、ＶＮＩ属性４９５とは別の接続レコードを作
成して、その関係を表すことができ、ＤｅｒｔｅＯｎＴｅｒｍｉｎａｔｅプロパティは、
ＶＮＩ自体に関連付けられる代わりに、または関連付けられることに加えて、接続レコー
ドに関連付けられ得る。そのような実施形態では、ＶＮＩの属性４９５は、ＶＮＩが現在
関与している接続の各々の接続レコードまたは複数の接続レコードへのリファレンスまた
はポインタを含むことができ、「ＤｅｌｅｔｅＯｎＴｅｒｍｉｎａｔｅ」の異なる値を各
接続レコードに設定することができる。
スのユーザは、プログラムで仮想マシン（ＶＭ）を終了させることを許可され得る。例え
ば、クライアントは、ＶＭをセットアップし、ＶＮＩをＶＭに接続し、ＶＭで所望の計算
のセットを実行し、所望の計算が完了したときにインスタンスを終了させるための要求を
発行することができる。そのような実施形態では、「ＤｅｌｅｔｅＯｎＴｅｒｍｉｎａｔ
ｅ」設定４５１を使用して、ＶＭが終了したときに接続されたＶＮＩに何が起こるかを指
定することができる。終了するＶＭに接続されたＶＮＩに対してＤｅｌｅｔｅＯｎＴｅｒ
ｍｉｎａｔｅが「ｔｒｕｅ」に設定されている場合、ＶＮＩは、削除される可能性がある
（例えば、ＶＮＩの属性４９５を含む永続レコードは、それが記憶されていたリポジトリ
から削除される可能性がある）。ＤｅｌｅｔｅＯｎＴｅｒｍｉｎａｔｅが「ｆａｌｓｅ」
に設定されている場合、ＶＮＩが保持される可能性があるため、例えば、いくつかのＶＭ
または他のコンピューティングプラットフォームに再度接続される可能性がある。一実施
形態では、ＶＮＩがＶＭに接続される場合、ＶＮＩ属性４９５とは別の接続レコードを作
成して、その関係を表すことができ、ＤｅｒｔｅＯｎＴｅｒｍｉｎａｔｅプロパティは、
ＶＮＩ自体に関連付けられる代わりに、または関連付けられることに加えて、接続レコー
ドに関連付けられ得る。そのような実施形態では、ＶＮＩの属性４９５は、ＶＮＩが現在
関与している接続の各々の接続レコードまたは複数の接続レコードへのリファレンスまた
はポインタを含むことができ、「ＤｅｌｅｔｅＯｎＴｅｒｍｉｎａｔｅ」の異なる値を各
接続レコードに設定することができる。
一実施形態では、属性４９５は、ＶＮＩが接続されているコンピューティングプラット
フォームに送信されるネットワークパケットに対してソースおよび／またはデスティネー
ションチェックを実行するかどうかの表示４６５などのルーティング関連情報を含むこと
ができる。ソース／デスティネーションチェック設定が「ｆａｌｓｅ」または「オフ」に
設定される場合、ルーティング判定は、パケットのソースおよびデスティネーションＩＰ
アドレスに基づいて行うことができ、例えば、パケットは、１つのサブネットから別のサ
ブネットに転送され、設定が「真」または「オン」である場合、いくつかの実施形態では
、コンピューティングプラットフォームは、ルーティングを実行しない可能性がある。し
たがって、ソース／デスティネーションフィールド４６５を使用して、いくつかの実施形
態では、ＶＮＩが接続されるコンピューティングプラットフォームが、それが最終デステ
ィネーションではないパケットに対してルーティングまたはゲートウェイ機能を実行する
かどうか、またはそのようなパケットを無視するかどうかを制御し得る。ルートテーブル
エントリなどの他のタイプのルーティング関連情報はまた、または代わりに、他の実施形
態では、属性４９５に含まれ得る。請求書関連情報は、いくつかの実装形態では、属性４
９５に含まれ得、例えば、ＶＮＩに関連付けられるネットワークトラフィックに対して請
求されるエンティティまたはユーザを特定する。
フォームに送信されるネットワークパケットに対してソースおよび／またはデスティネー
ションチェックを実行するかどうかの表示４６５などのルーティング関連情報を含むこと
ができる。ソース／デスティネーションチェック設定が「ｆａｌｓｅ」または「オフ」に
設定される場合、ルーティング判定は、パケットのソースおよびデスティネーションＩＰ
アドレスに基づいて行うことができ、例えば、パケットは、１つのサブネットから別のサ
ブネットに転送され、設定が「真」または「オン」である場合、いくつかの実施形態では
、コンピューティングプラットフォームは、ルーティングを実行しない可能性がある。し
たがって、ソース／デスティネーションフィールド４６５を使用して、いくつかの実施形
態では、ＶＮＩが接続されるコンピューティングプラットフォームが、それが最終デステ
ィネーションではないパケットに対してルーティングまたはゲートウェイ機能を実行する
かどうか、またはそのようなパケットを無視するかどうかを制御し得る。ルートテーブル
エントリなどの他のタイプのルーティング関連情報はまた、または代わりに、他の実施形
態では、属性４９５に含まれ得る。請求書関連情報は、いくつかの実装形態では、属性４
９５に含まれ得、例えば、ＶＮＩに関連付けられるネットワークトラフィックに対して請
求されるエンティティまたはユーザを特定する。
インターフェースステータスフィールド４６８は、ＶＮＩの現在の状態、例えば、ＶＮ
Ｉが「利用可能」、「無効」、または「修復中」であるかどうかを示すために使用され得
る。同様に、接続ステータスフィールド４６９は、いくつかの実施形態では、ＶＮＩが現
在接続されているか、切断されているか、または接続または切断されているプロセスにあ
るかどうかを示すために使用され得る。一実装形態では、上記のように、接続のレコード
は、対応する接続操作が実行されるときに作成され得、ＶＮＩの現在の接続の識別子また
は複数の識別子は、接続ＩＤフィールド４７１に記憶され得る。ＶＮＩが現在接続されて
いる仮想マシンの識別子は、接続先インスタンスフィールド４７３に記憶され得、いくつ
かの実施形態では、接続を要求したユーザまたはエンティティは、接続所有者フィールド
４７５を介して特定され得る。一実施形態では、ＶＮＩのＩＰアドレスに向けられた／そ
こから向けられたトラフィックに現在使用可能な物理ネットワークインターフェースカー
ド（ＮＩＣ）または複数のＮＩＣの識別子のリストは、例えば、ＭＡＣアドレス（複数可
）フィールド４７７の形態で維持され得る。いくつかの実装形態では、ＶＮＩのＩＰアド
レスに流れるまたはそこから流れるトラフィックの量に関する統計などの監視情報４７９
もまた、属性４９５の間で保持され得る。ＶＮＩ多重化または親子階層がサポートされる
少なくとも１つの実施形態では、ＶＮＩの子または分岐ＶＮＩへのポインタ４８１が含ま
れ得る。図４に示されない他のフィールドは、様々な実施形態では、含まれ得る。
Ｉが「利用可能」、「無効」、または「修復中」であるかどうかを示すために使用され得
る。同様に、接続ステータスフィールド４６９は、いくつかの実施形態では、ＶＮＩが現
在接続されているか、切断されているか、または接続または切断されているプロセスにあ
るかどうかを示すために使用され得る。一実装形態では、上記のように、接続のレコード
は、対応する接続操作が実行されるときに作成され得、ＶＮＩの現在の接続の識別子また
は複数の識別子は、接続ＩＤフィールド４７１に記憶され得る。ＶＮＩが現在接続されて
いる仮想マシンの識別子は、接続先インスタンスフィールド４７３に記憶され得、いくつ
かの実施形態では、接続を要求したユーザまたはエンティティは、接続所有者フィールド
４７５を介して特定され得る。一実施形態では、ＶＮＩのＩＰアドレスに向けられた／そ
こから向けられたトラフィックに現在使用可能な物理ネットワークインターフェースカー
ド（ＮＩＣ）または複数のＮＩＣの識別子のリストは、例えば、ＭＡＣアドレス（複数可
）フィールド４７７の形態で維持され得る。いくつかの実装形態では、ＶＮＩのＩＰアド
レスに流れるまたはそこから流れるトラフィックの量に関する統計などの監視情報４７９
もまた、属性４９５の間で保持され得る。ＶＮＩ多重化または親子階層がサポートされる
少なくとも１つの実施形態では、ＶＮＩの子または分岐ＶＮＩへのポインタ４８１が含ま
れ得る。図４に示されない他のフィールドは、様々な実施形態では、含まれ得る。
一実施形態では、図４に示されるフィールドのいくつかは、他のオブジェクトへのリフ
ァレンスまたはポインタによって置き換えることができる。例えば、ＶＮＩのセキュリテ
ィ情報は、別個のセキュリティオブジェクトに記憶され得、属性４９５は、セキュリティ
オブジェクトへのリファレンスを含み得る。同様に、ＶＮＩへのコンピューティングプラ
ットフォームの各接続は、接続オブジェクトによって表すことができ、属性４９５は、い
くつかの実装形態では、適切な接続オブジェクトへのポインタを含み得る。
ァレンスまたはポインタによって置き換えることができる。例えば、ＶＮＩのセキュリテ
ィ情報は、別個のセキュリティオブジェクトに記憶され得、属性４９５は、セキュリティ
オブジェクトへのリファレンスを含み得る。同様に、ＶＮＩへのコンピューティングプラ
ットフォームの各接続は、接続オブジェクトによって表すことができ、属性４９５は、い
くつかの実装形態では、適切な接続オブジェクトへのポインタを含み得る。
図５は、少なくともいくつかの実施形態による、仮想化コンピューティングサービスの
コントロールプレーンで生成されたコマンドを拡張リソースグループに送信するために使
用され得る例示的なパスを例解する。上記で導入した種類のいくつかの分離仮想ネットワ
ーク（ＩＶＮ）は、少なくともいくつかの実施形態では、ＶＣＳ顧客に代わってセットア
ップされたものや、プロバイダネットワークで管理目的でセットアップされたものを含む
パスに沿ってトラバースすることができる。図示の実施形態では、クライアント要求に応
答して、計算インスタンス（仮想マシン、ベアメタルインスタンス、および／または別の
タイプのアプリケーション実行環境など）を起動するためのコマンドを、仮想化コンピュ
ーティングサービスの１つ以上のコントロールプレーンサーバ５０２（例えば、５０２Ａ
または５０２Ｂ）で生成することができる。いくつかの実施形態では、コントロールプレ
ーンサーバ５０２は、ＶＣＳコントロールプレーンＩＶＮ５１０内に確立され得る。サー
ビスネットワークアドレス範囲（ＳＮＡＲ）５９１を使用して、ＶＣＳの個々のホストに
ＩＰアドレスを割り当てることができ、ここで、図示の実施形態では、様々なタイプの計
算インスタンスをセットアップすることができる。少なくともいくつかの実施形態では、
内部コマンドを生成することによるクライアント要求への応答、リソースプロビジョニン
グ、可用性管理などのような管理タスクのためのアルゴリズムを実行し、ホスティングに
は使用されない、コントロールプレーンの少なくともいくつかのコンピューティングデバ
イスは、ＳＮＡＲ５９１の一部ではないアドレスが割り当てられ得、計算インスタンスが
プロバイダネットワークデータセンター内でセットアップされるネットワークとは別のネ
ットワークの一部として構成することができることに留意されたい。ＶＣＳコントロール
プレーンの観点からは、拡張リソースグループ（ＥＲＧ）内にたまたま配置されるホスト
は、少なくともネットワークアドレス割り当てなどのいくつかのタイプの構成判定に関し
て、あたかも、ホストが、図示の実施形態では、プロバイダネットワークのデータセンタ
ーに存在するかのように扱われ得る。例えば、ＶＣＳコントロールプレーン内で、１つ以
上の計算インスタンスがセットアップされるホストは、ホストがどこにたまたま物理的に
配置されるかに関係なく、様々な実施形態では、１つ以上のＳＮＡＲアドレスに割り当て
られるか、または関連付けられ得る。いくつかの実施形態では、計算インスタンスに使用
されるホストの個々のアドレスに関連付けられた特定のＳＮＡＲアドレスを示すメタデー
タは、ＶＣＳコントロールプレーンに記憶され得る。ＥＲＧホストが、そのネットワーク
構成がＶＣＳコントロールプレーンによって直接制御されない可能性がある外部プレミス
に配置されるため、計算インスタンス起動コマンド（および／またはＶＣＳコントロール
プレーンで生成された他の構成コマンド）は、ＥＲＧホストに向かう途中で、異なる実施
形態では、様々な方式で変換する必要があり得る。そのような変換はまた、様々な実施形
態では、ＶＣＳ、および代わってＥＲＧがセットアップされるクライアントのセキュリテ
ィ要件が満たされることを確実にし得る。前述のように、クライアント要求（例えば、Ｅ
ＲＧでインスタンスを起動するための要求など）がＶＣＳコントロールプレーンで（例え
ば、ＶＣＳのパブリックアプリケーションプログラミングインターフェースを介して）受
信されるパスは、少なくともいくつかの実施形態では、対応するコマンドをＶＣＳコント
ロールプレーンからＥＲＧへ送信するために使用されるパスとは異なる場合がある。
コントロールプレーンで生成されたコマンドを拡張リソースグループに送信するために使
用され得る例示的なパスを例解する。上記で導入した種類のいくつかの分離仮想ネットワ
ーク（ＩＶＮ）は、少なくともいくつかの実施形態では、ＶＣＳ顧客に代わってセットア
ップされたものや、プロバイダネットワークで管理目的でセットアップされたものを含む
パスに沿ってトラバースすることができる。図示の実施形態では、クライアント要求に応
答して、計算インスタンス（仮想マシン、ベアメタルインスタンス、および／または別の
タイプのアプリケーション実行環境など）を起動するためのコマンドを、仮想化コンピュ
ーティングサービスの１つ以上のコントロールプレーンサーバ５０２（例えば、５０２Ａ
または５０２Ｂ）で生成することができる。いくつかの実施形態では、コントロールプレ
ーンサーバ５０２は、ＶＣＳコントロールプレーンＩＶＮ５１０内に確立され得る。サー
ビスネットワークアドレス範囲（ＳＮＡＲ）５９１を使用して、ＶＣＳの個々のホストに
ＩＰアドレスを割り当てることができ、ここで、図示の実施形態では、様々なタイプの計
算インスタンスをセットアップすることができる。少なくともいくつかの実施形態では、
内部コマンドを生成することによるクライアント要求への応答、リソースプロビジョニン
グ、可用性管理などのような管理タスクのためのアルゴリズムを実行し、ホスティングに
は使用されない、コントロールプレーンの少なくともいくつかのコンピューティングデバ
イスは、ＳＮＡＲ５９１の一部ではないアドレスが割り当てられ得、計算インスタンスが
プロバイダネットワークデータセンター内でセットアップされるネットワークとは別のネ
ットワークの一部として構成することができることに留意されたい。ＶＣＳコントロール
プレーンの観点からは、拡張リソースグループ（ＥＲＧ）内にたまたま配置されるホスト
は、少なくともネットワークアドレス割り当てなどのいくつかのタイプの構成判定に関し
て、あたかも、ホストが、図示の実施形態では、プロバイダネットワークのデータセンタ
ーに存在するかのように扱われ得る。例えば、ＶＣＳコントロールプレーン内で、１つ以
上の計算インスタンスがセットアップされるホストは、ホストがどこにたまたま物理的に
配置されるかに関係なく、様々な実施形態では、１つ以上のＳＮＡＲアドレスに割り当て
られるか、または関連付けられ得る。いくつかの実施形態では、計算インスタンスに使用
されるホストの個々のアドレスに関連付けられた特定のＳＮＡＲアドレスを示すメタデー
タは、ＶＣＳコントロールプレーンに記憶され得る。ＥＲＧホストが、そのネットワーク
構成がＶＣＳコントロールプレーンによって直接制御されない可能性がある外部プレミス
に配置されるため、計算インスタンス起動コマンド（および／またはＶＣＳコントロール
プレーンで生成された他の構成コマンド）は、ＥＲＧホストに向かう途中で、異なる実施
形態では、様々な方式で変換する必要があり得る。そのような変換はまた、様々な実施形
態では、ＶＣＳ、および代わってＥＲＧがセットアップされるクライアントのセキュリテ
ィ要件が満たされることを確実にし得る。前述のように、クライアント要求（例えば、Ｅ
ＲＧでインスタンスを起動するための要求など）がＶＣＳコントロールプレーンで（例え
ば、ＶＣＳのパブリックアプリケーションプログラミングインターフェースを介して）受
信されるパスは、少なくともいくつかの実施形態では、対応するコマンドをＶＣＳコント
ロールプレーンからＥＲＧへ送信するために使用されるパスとは異なる場合がある。
いくつかの実施形態では、ＶＣＳ拡張サービスと呼ばれる内部サービスを確立して、Ｖ
ＣＳコントロールプレーンからＥＲＧへの管理コマンドの安全な送信を含む、ＶＣＳ Ｅ
ＲＧの管理のいくつかの態様を処理することができる。そのような内部サービスは、ＶＣ
Ｓ拡張サービスと呼ばれ得、それ自体が、少なくともいくつかの実施形態では、１つ以上
の分離仮想ネットワーク（ＩＶＮ５３０など）を含み得る。アウトバウンドコマンドコミ
ュニケータ（ＯＣＣ）５２２（それ自体は、いくつかの実施形態では、ＶＣＳ拡張サービ
スのホスト５１７にセットアップされた仮想マシンを使用して実装され得る）は、事実上
、少なくとも２つのネットワーク、すなわち、図示の実施形態では、ＶＣＳコントロール
プレーンＩＶＮ５１０（プロバイダネットワークのデータセンターで計算インスタンスを
起動するために使用することができる、ＳＮＡＲからのアドレスを有するホスト／サーバ
を含み得る）およびＶＣＳ拡張サービスＩＶＮ５３０の一部として構成されるか、または
それに結合され得る。いくつかの実施形態では、ＯＣＣ５２２は、図５のＶＮＩ５２３Ａ
および５２３Ｂなどの少なくとも２つの仮想ネットワークインターフェース（図４の文脈
で説明されるＶＮＩと特徴および機能が類似するＶＮＩ）にプログラムで接続され得る。
５２３ＡなどのＶＮＩのうちの１つは、ＶＣＳコントロールプレーンが、ＥＲＧに向けら
れるコマンドを送信することを可能にするように構成され得、一方、５２３Ｂなどの別の
ＶＮＩは、コマンドの少なくともバージョンをデスティネーションＥＲＧに向かって転送
するためにＯＣＣによって使用され得る。少なくともいくつかの実施形態では、ＶＮＩ５
２３Ａの構成設定は、コマンドがＶＮＩを介してＶＣＳコントロールプレーンから送信さ
れ得るが、コマンドがＶＮＩを介してＶＣＳコントロールプレーンに向けられ得ないこと
を確実にし得る。そのような構成設定は、図５に示されるパスの他のコンポーネントのい
ずれも、様々な実施形態では、ＶＣＳコントロールプレーンで望ましくない操作を開始す
ることができないことを確実にするのに役立ち得る。少なくともいくつかの実施形態では
、５２３ＡなどのＶＮＩを使用して、ＯＣＣ５２２は、（少なくとも）、ＯＣＣ５２２が
コントロールプレーンコマンドの仲介者として機能するターゲットＥＲＧホスト５２９に
割り当てられるのと同じネットワークアドレス（ＳＮＡＲの一部）が割り当てられ得る。
したがって、ＶＣＳコントロールプレーンの観点から、ＯＣＣにメッセージを送信するこ
とは、そのような実施形態では、ＥＲＧホストにメッセージを送信することと（デスティ
ネーションネットワークアドレス指定に関して）同等であり得る。ＯＣＣ５２２は、ＶＣ
Ｓコントロールプレーンからのコマンドを含むそのようなメッセージを受信すると、少な
くとも１つの実施形態では、ＥＮＭのアドレスをデスティネーションとして、変換された
メッセージ（コントロールプレーンのコマンドを含む、または示す）を生成し、それをＥ
ＮＭで送信することができる。ＥＮＭが、変換されたバージョンを最終的に受信すると、
ＥＮＭは、次に、様々な実施形態では、最初のコマンドを抽出し、コマンドが最初にＶＣ
Ｓコントロールプレーンで生成されたＥＲＧホストに転送することができる。様々な実施
形態では、ＯＣＣ５２２が実行されるホスト５１７に割り当てられたネットワークアドレ
スは、ＯＣＣ自体に割り当てられたネットワークアドレスとは異なり、ＳＮＡＲ５９１（
計算インスタンスが起動され得るホストのＶＣＳコントロールプレーンで使用されるアド
レス範囲）の一部でもあり得る。
ＣＳコントロールプレーンからＥＲＧへの管理コマンドの安全な送信を含む、ＶＣＳ Ｅ
ＲＧの管理のいくつかの態様を処理することができる。そのような内部サービスは、ＶＣ
Ｓ拡張サービスと呼ばれ得、それ自体が、少なくともいくつかの実施形態では、１つ以上
の分離仮想ネットワーク（ＩＶＮ５３０など）を含み得る。アウトバウンドコマンドコミ
ュニケータ（ＯＣＣ）５２２（それ自体は、いくつかの実施形態では、ＶＣＳ拡張サービ
スのホスト５１７にセットアップされた仮想マシンを使用して実装され得る）は、事実上
、少なくとも２つのネットワーク、すなわち、図示の実施形態では、ＶＣＳコントロール
プレーンＩＶＮ５１０（プロバイダネットワークのデータセンターで計算インスタンスを
起動するために使用することができる、ＳＮＡＲからのアドレスを有するホスト／サーバ
を含み得る）およびＶＣＳ拡張サービスＩＶＮ５３０の一部として構成されるか、または
それに結合され得る。いくつかの実施形態では、ＯＣＣ５２２は、図５のＶＮＩ５２３Ａ
および５２３Ｂなどの少なくとも２つの仮想ネットワークインターフェース（図４の文脈
で説明されるＶＮＩと特徴および機能が類似するＶＮＩ）にプログラムで接続され得る。
５２３ＡなどのＶＮＩのうちの１つは、ＶＣＳコントロールプレーンが、ＥＲＧに向けら
れるコマンドを送信することを可能にするように構成され得、一方、５２３Ｂなどの別の
ＶＮＩは、コマンドの少なくともバージョンをデスティネーションＥＲＧに向かって転送
するためにＯＣＣによって使用され得る。少なくともいくつかの実施形態では、ＶＮＩ５
２３Ａの構成設定は、コマンドがＶＮＩを介してＶＣＳコントロールプレーンから送信さ
れ得るが、コマンドがＶＮＩを介してＶＣＳコントロールプレーンに向けられ得ないこと
を確実にし得る。そのような構成設定は、図５に示されるパスの他のコンポーネントのい
ずれも、様々な実施形態では、ＶＣＳコントロールプレーンで望ましくない操作を開始す
ることができないことを確実にするのに役立ち得る。少なくともいくつかの実施形態では
、５２３ＡなどのＶＮＩを使用して、ＯＣＣ５２２は、（少なくとも）、ＯＣＣ５２２が
コントロールプレーンコマンドの仲介者として機能するターゲットＥＲＧホスト５２９に
割り当てられるのと同じネットワークアドレス（ＳＮＡＲの一部）が割り当てられ得る。
したがって、ＶＣＳコントロールプレーンの観点から、ＯＣＣにメッセージを送信するこ
とは、そのような実施形態では、ＥＲＧホストにメッセージを送信することと（デスティ
ネーションネットワークアドレス指定に関して）同等であり得る。ＯＣＣ５２２は、ＶＣ
Ｓコントロールプレーンからのコマンドを含むそのようなメッセージを受信すると、少な
くとも１つの実施形態では、ＥＮＭのアドレスをデスティネーションとして、変換された
メッセージ（コントロールプレーンのコマンドを含む、または示す）を生成し、それをＥ
ＮＭで送信することができる。ＥＮＭが、変換されたバージョンを最終的に受信すると、
ＥＮＭは、次に、様々な実施形態では、最初のコマンドを抽出し、コマンドが最初にＶＣ
Ｓコントロールプレーンで生成されたＥＲＧホストに転送することができる。様々な実施
形態では、ＯＣＣ５２２が実行されるホスト５１７に割り当てられたネットワークアドレ
スは、ＯＣＣ自体に割り当てられたネットワークアドレスとは異なり、ＳＮＡＲ５９１（
計算インスタンスが起動され得るホストのＶＣＳコントロールプレーンで使用されるアド
レス範囲）の一部でもあり得る。
少なくともいくつかの実施形態では、ＯＣＣ５２２はまた、ＶＣＳコントロールプレー
ンから受信されたコマンドに関して、１つ以上の追加のセキュリティ関連操作を実行する
ことができる。例えば、コマンドの１つ以上のセキュリティ関連アーティファクト／オブ
ジェクト（ＶＣＳコントロールプレーンで最初に生成されたベアラトークンなど）は、デ
スティネーションＥＲＧに向かって送信されるメッセージで削除、置換、および／または
修正される場合がある。一実施形態では、例えば、ＯＣＣで受信されたコントロールプレ
ーンコマンドのバージョンは、１つ以上の暗号署名されたトークンを含み得、デスティネ
ーションＥＲＧに向けて送信されたコマンドのアウトバウンドバージョンは、ＯＣＣによ
って再署名されたトークンを含み得る。いくつかの実施形態では、クライアント要求に応
答してＶＣＳコントロールプレーンで生成される所与の管理コマンドについて、（ａ）Ｖ
ＣＳコントロールプレーンとＯＣＣとの間、および（ｂ）ＯＣＣと、スティネーションホ
ストへのパス上の１つ以上のリソースとの間で異なるＴＬＳセッションを確立することが
できる。様々な実施形態では、そのようなタイプのセキュリティ関連操作は、ＯＣＣで実
行され得、ＶＣＳコントロールプレーンで発信されたセキュリティ関連データまたはメタ
データがデスティネーションＥＲＧに到達しないことを確実にすることを試み、したがっ
てそのようなセキュリティ関連のデータ／メタデータの誤用の可能性を低減する。
ンから受信されたコマンドに関して、１つ以上の追加のセキュリティ関連操作を実行する
ことができる。例えば、コマンドの１つ以上のセキュリティ関連アーティファクト／オブ
ジェクト（ＶＣＳコントロールプレーンで最初に生成されたベアラトークンなど）は、デ
スティネーションＥＲＧに向かって送信されるメッセージで削除、置換、および／または
修正される場合がある。一実施形態では、例えば、ＯＣＣで受信されたコントロールプレ
ーンコマンドのバージョンは、１つ以上の暗号署名されたトークンを含み得、デスティネ
ーションＥＲＧに向けて送信されたコマンドのアウトバウンドバージョンは、ＯＣＣによ
って再署名されたトークンを含み得る。いくつかの実施形態では、クライアント要求に応
答してＶＣＳコントロールプレーンで生成される所与の管理コマンドについて、（ａ）Ｖ
ＣＳコントロールプレーンとＯＣＣとの間、および（ｂ）ＯＣＣと、スティネーションホ
ストへのパス上の１つ以上のリソースとの間で異なるＴＬＳセッションを確立することが
できる。様々な実施形態では、そのようなタイプのセキュリティ関連操作は、ＯＣＣで実
行され得、ＶＣＳコントロールプレーンで発信されたセキュリティ関連データまたはメタ
データがデスティネーションＥＲＧに到達しないことを確実にすることを試み、したがっ
てそのようなセキュリティ関連のデータ／メタデータの誤用の可能性を低減する。
いくつかの実施形態では、ＶＣＳ拡張サービスＩＶＮ５３０、および／または個々の仮
想化ホスト５１７は、マルチテナント様式で使用することができる。例えば、複数のＶＣ
ＳクライアントのＥＲＧにコントロールプレーンコマンドを送信するために使用されるい
くつかの異なるＯＣＣ５２２は、一実施形態では、同じ拡張サービスＩＶＮ５３０の一部
として構成され得る。いくつかの実施形態では、異なるクライアントの複数のＯＣＣを所
与のホスト５１７で確立することができ、または単一のＯＣＣを使用して、複数のクライ
アントのＥＲＧにコマンドを送信することができる。いくつかの実施形態では、単一のＯ
ＣＣを使用して複数のＥＲＧホストにコマンドを送信することができ、他の実施形態では
、ＥＲＧホストごとに１つのＯＣＣを使用することができる（複数の計算インスタンスが
所与のＥＲＧホストに潜在的にセットアップされ得ることに留意されたい）。少なくとも
いくつかの実施形態では、ＯＣＣは、ＶＣＳコントロールプレーンで発行されたコマンド
に対して１つ以上の変換またはカプセル化操作を実行することができる。例えば、あるシ
ナリオでは、ＶＣＳコントロールプレーンコマンドは、ＩＰアドレスＡ．Ｂ．Ｃ．Ｄ（Ｓ
ＮＡＲアドレスの１つ）を有するホストを使用して、特定のＥＲＧ５４１Ａで特定の顧客
Ｃ１に代わって計算インスタンスを起動することを示し得る。ＯＣＣ（それ自体は、上記
のいくつかの実施形態では、アドレスＡ．Ｂ．Ｃ．Ｄも割り当てられている可能性がある
）は、コマンドが最終的に送信され、ホストで実装される前に、コマンドがＥＲＧ５４１
ＡのＥＲＧネットワークマネージャ５２８に送信されなければならないことを判定し得る
。ＯＣＣはまた、そのような実施形態では、ＥＮＭ５２８が異なるＩＰアドレスＫ．Ｌ．
Ｍ．Ｎ（Ｋ．Ｌ．Ｍ．Ｎは、ターゲットホストが配置される外部プレミス５３５Ａで使用
される顧客のネットワークアドレス範囲（ＣＮＡＲ）５９３の一部である）を使用してア
クセスされることを判定する場合がある。いくつかの実施形態では、ＯＣＣは、コマンド
の変換バージョン／カプセル化バージョンを含むメッセージを生成することができ、メッ
セージのデスティネーションアドレスは、Ｋ．Ｌ．Ｍ．Ｎとして示される。メッセージは
、図示の実施形態では、１つ以上の追加のＶＮＩ（ＶＮＩ５２３Ｃおよび５２３Ｄなど）
、および顧客Ｃ１のＩＶＮ５１５への中間のＩＶＮ間ゲートウェイ５４０を介して送信さ
れ得る。ＩＶＮ間ゲートウェイ５４０は、いくつかの実施形態では、仮想マシンまたは計
算インスタンスを使用して実装することができ、そこでパケット処理ソフトウェアを実行
することができる。少なくともいくつかの実施形態では、メッセージまたはコマンドの１
つ以上の他の操作／変換は、ＩＶＮ間ゲートウェイ５４０で実行され得、例えば、ＥＲＧ
５４１Ａでメッセージをその意図されたデスティネーションに向けて送信するために必要
なアドレス変換操作を含む。
想化ホスト５１７は、マルチテナント様式で使用することができる。例えば、複数のＶＣ
ＳクライアントのＥＲＧにコントロールプレーンコマンドを送信するために使用されるい
くつかの異なるＯＣＣ５２２は、一実施形態では、同じ拡張サービスＩＶＮ５３０の一部
として構成され得る。いくつかの実施形態では、異なるクライアントの複数のＯＣＣを所
与のホスト５１７で確立することができ、または単一のＯＣＣを使用して、複数のクライ
アントのＥＲＧにコマンドを送信することができる。いくつかの実施形態では、単一のＯ
ＣＣを使用して複数のＥＲＧホストにコマンドを送信することができ、他の実施形態では
、ＥＲＧホストごとに１つのＯＣＣを使用することができる（複数の計算インスタンスが
所与のＥＲＧホストに潜在的にセットアップされ得ることに留意されたい）。少なくとも
いくつかの実施形態では、ＯＣＣは、ＶＣＳコントロールプレーンで発行されたコマンド
に対して１つ以上の変換またはカプセル化操作を実行することができる。例えば、あるシ
ナリオでは、ＶＣＳコントロールプレーンコマンドは、ＩＰアドレスＡ．Ｂ．Ｃ．Ｄ（Ｓ
ＮＡＲアドレスの１つ）を有するホストを使用して、特定のＥＲＧ５４１Ａで特定の顧客
Ｃ１に代わって計算インスタンスを起動することを示し得る。ＯＣＣ（それ自体は、上記
のいくつかの実施形態では、アドレスＡ．Ｂ．Ｃ．Ｄも割り当てられている可能性がある
）は、コマンドが最終的に送信され、ホストで実装される前に、コマンドがＥＲＧ５４１
ＡのＥＲＧネットワークマネージャ５２８に送信されなければならないことを判定し得る
。ＯＣＣはまた、そのような実施形態では、ＥＮＭ５２８が異なるＩＰアドレスＫ．Ｌ．
Ｍ．Ｎ（Ｋ．Ｌ．Ｍ．Ｎは、ターゲットホストが配置される外部プレミス５３５Ａで使用
される顧客のネットワークアドレス範囲（ＣＮＡＲ）５９３の一部である）を使用してア
クセスされることを判定する場合がある。いくつかの実施形態では、ＯＣＣは、コマンド
の変換バージョン／カプセル化バージョンを含むメッセージを生成することができ、メッ
セージのデスティネーションアドレスは、Ｋ．Ｌ．Ｍ．Ｎとして示される。メッセージは
、図示の実施形態では、１つ以上の追加のＶＮＩ（ＶＮＩ５２３Ｃおよび５２３Ｄなど）
、および顧客Ｃ１のＩＶＮ５１５への中間のＩＶＮ間ゲートウェイ５４０を介して送信さ
れ得る。ＩＶＮ間ゲートウェイ５４０は、いくつかの実施形態では、仮想マシンまたは計
算インスタンスを使用して実装することができ、そこでパケット処理ソフトウェアを実行
することができる。少なくともいくつかの実施形態では、メッセージまたはコマンドの１
つ以上の他の操作／変換は、ＩＶＮ間ゲートウェイ５４０で実行され得、例えば、ＥＲＧ
５４１Ａでメッセージをその意図されたデスティネーションに向けて送信するために必要
なアドレス変換操作を含む。
図５に示されるように、Ｃ１のＩＶＮは、少なくともいくつかの実施形態では、プロバ
イダネットワーク内のホストで確立されたいくつかの数の仮想マシン５２５を含み得る。
メッセージは、顧客ＩＶＮ５２５に入った後、例えば、図示の実施形態では、１つ以上の
ＶＰＮトンネル５６１を使用して、デスティネーションＥＲＧ５４１ＡでＥＮＭに送信さ
れ得る。プロバイダネットワークとＥＲＧとの間の安全な接続のためにＶＰＮトンネルを
使用する代わりに、いくつかの実施形態では、専用の物理リンク（ＥＲＧ ５４１ＢをＩ
ＶＮ５１５に接続する専用リンク５６２など）が使用され得、および／または他のタイプ
のネットワークが使用され得ることに留意されたい。専用の物理リンク５６２は、いくつ
かの実施形態では、直接接続リンクと呼ばれ得る。ＥＲＧ５４１がプロバイダネットワー
クの外部の外部プレミス（プレミス５３５Ａまたは５３５Ｂなど）で最初にセットアップ
されるとき、ＥＲＧのＥＮＭは、少なくともいくつかの実施形態では、ＶＰＮトンネル５
６１の確立、および／または専用リンク５６２を介した接続の確立を開始し得、ＥＲＧに
使用される特定の安全なチャネルに関する情報は、ＯＣＣ５２２に提供され得る。図５に
示されていない１つ以上の中間デバイスは、ＶＰＮトンネルの確立、および／または専用
の物理リンクを介した接続に関与し得、例えば、ＶＰＮゲートウェイは、顧客ＩＶＮ５１
でセットアップされ得、および／またはエッジルータまたは他のエッジデバイスは、専用
の物理リンクを介した接続の仲介者として機能し得ることに留意されたい。
イダネットワーク内のホストで確立されたいくつかの数の仮想マシン５２５を含み得る。
メッセージは、顧客ＩＶＮ５２５に入った後、例えば、図示の実施形態では、１つ以上の
ＶＰＮトンネル５６１を使用して、デスティネーションＥＲＧ５４１ＡでＥＮＭに送信さ
れ得る。プロバイダネットワークとＥＲＧとの間の安全な接続のためにＶＰＮトンネルを
使用する代わりに、いくつかの実施形態では、専用の物理リンク（ＥＲＧ ５４１ＢをＩ
ＶＮ５１５に接続する専用リンク５６２など）が使用され得、および／または他のタイプ
のネットワークが使用され得ることに留意されたい。専用の物理リンク５６２は、いくつ
かの実施形態では、直接接続リンクと呼ばれ得る。ＥＲＧ５４１がプロバイダネットワー
クの外部の外部プレミス（プレミス５３５Ａまたは５３５Ｂなど）で最初にセットアップ
されるとき、ＥＲＧのＥＮＭは、少なくともいくつかの実施形態では、ＶＰＮトンネル５
６１の確立、および／または専用リンク５６２を介した接続の確立を開始し得、ＥＲＧに
使用される特定の安全なチャネルに関する情報は、ＯＣＣ５２２に提供され得る。図５に
示されていない１つ以上の中間デバイスは、ＶＰＮトンネルの確立、および／または専用
の物理リンクを介した接続に関与し得、例えば、ＶＰＮゲートウェイは、顧客ＩＶＮ５１
でセットアップされ得、および／またはエッジルータまたは他のエッジデバイスは、専用
の物理リンクを介した接続の仲介者として機能し得ることに留意されたい。
少なくともいくつかの実施形態では、ＥＲＧ５４１のデバイスは、外部プレミス５３５
の１つ以上のラック内にセットアップすることができる。所与のラックは、例えば、スイ
ッチ５２７、ＥＮＭ５２８、およびＶＣＳコントロールプレーンで生成されたコマンドに
応答して計算インスタンスがセットアップされ得るホスト５２９のセット（例えば、５２
９Ａ、５２９Ｂ、…）を含み得る。少なくともいくつかの実施形態では、ＥＮＭ５２８は
、外部プレミスの少なくとも２つのネットワークの一部として構成され得るか、またはそ
れに属することができる。ネットワークのうちの１つは、いくつかの実施形態では、ＥＲ
Ｇのホスト５２９の少なくともサブセットを含むプライベートネットワーク５３１Ｂであ
り得る。このプライベートネットワーク５３１Ｂ内で、個々のホストは、ＶＣＳサービス
ネットワークアドレス範囲（ＳＮＡＲ）５９１内からネットワークアドレスが割り当てら
れ得る（例えば、ホスト初期化操作の一部としてＥＮＭ５２８によって）。そのため、Ｅ
ＮＭ５２８が、ＶＣＳコントロールプレーンで生成されたコマンドを受信すると、ＳＮＡ
Ｒ内のアドレスＡ．Ｂ．Ｃ．Ｄを有するホストでコマンドが実行されることを示し、ＥＮ
Ｍは、少なくともいくつかの実施形態では、プライベートネットワーク５３１Ｂを使用し
て、実行のコマンドを、意図されたホストに向ける。ＥＮＭ５２８はまた、図示の実施形
態では、顧客構成ネットワーク５３１Ａのメンバーであり得、それは、クライアントの０
個以上の非ＶＣＳホスト５４２を含み得る。クライアント構成ネットワーク５３１Ａ内の
デバイスは、少なくともいくつかの実施形態では、顧客のネットワークアドレス範囲ＣＮ
ＡＲ５９３からのアドレスが割り当てられ得る。したがって、例えば、ネットワーク５３
１Ａのコンポーネントとして、ＥＮＭ５２８はまた、ＣＮＡＲ５９３からアドレスＫ．Ｌ
．Ｍ．Ｎが割り当てられ得、このアドレスは、ＥＮＭでＶＣＳコントロールプレーンコマ
ンドを受信するために使用され得る。
の１つ以上のラック内にセットアップすることができる。所与のラックは、例えば、スイ
ッチ５２７、ＥＮＭ５２８、およびＶＣＳコントロールプレーンで生成されたコマンドに
応答して計算インスタンスがセットアップされ得るホスト５２９のセット（例えば、５２
９Ａ、５２９Ｂ、…）を含み得る。少なくともいくつかの実施形態では、ＥＮＭ５２８は
、外部プレミスの少なくとも２つのネットワークの一部として構成され得るか、またはそ
れに属することができる。ネットワークのうちの１つは、いくつかの実施形態では、ＥＲ
Ｇのホスト５２９の少なくともサブセットを含むプライベートネットワーク５３１Ｂであ
り得る。このプライベートネットワーク５３１Ｂ内で、個々のホストは、ＶＣＳサービス
ネットワークアドレス範囲（ＳＮＡＲ）５９１内からネットワークアドレスが割り当てら
れ得る（例えば、ホスト初期化操作の一部としてＥＮＭ５２８によって）。そのため、Ｅ
ＮＭ５２８が、ＶＣＳコントロールプレーンで生成されたコマンドを受信すると、ＳＮＡ
Ｒ内のアドレスＡ．Ｂ．Ｃ．Ｄを有するホストでコマンドが実行されることを示し、ＥＮ
Ｍは、少なくともいくつかの実施形態では、プライベートネットワーク５３１Ｂを使用し
て、実行のコマンドを、意図されたホストに向ける。ＥＮＭ５２８はまた、図示の実施形
態では、顧客構成ネットワーク５３１Ａのメンバーであり得、それは、クライアントの０
個以上の非ＶＣＳホスト５４２を含み得る。クライアント構成ネットワーク５３１Ａ内の
デバイスは、少なくともいくつかの実施形態では、顧客のネットワークアドレス範囲ＣＮ
ＡＲ５９３からのアドレスが割り当てられ得る。したがって、例えば、ネットワーク５３
１Ａのコンポーネントとして、ＥＮＭ５２８はまた、ＣＮＡＲ５９３からアドレスＫ．Ｌ
．Ｍ．Ｎが割り当てられ得、このアドレスは、ＥＮＭでＶＣＳコントロールプレーンコマ
ンドを受信するために使用され得る。
要約すると、図５に図示される実施形態では、ＶＣＳコントロールプレーンで最初に生
成され、１つ以上の他の仲介者を含むパスを介して送信されるコマンドは、最終的に、Ｅ
ＮＭで、顧客構成ネットワーク５３１Ａの一部であるネットワークアドレスを介して受信
され得る。パスに沿って、例えば、様々な実施形態では、ネットワークアドレス変換、カ
プセル化、カプセル化解除などを含む１つ以上の変換操作が、最初のコマンドに対して実
行され得る。複数のＶＮＩが接続されたＯＣＣ、ＩＶＮからＩＶＮへのゲートウェイなど
、各々がネットワークトラフィックに関してそれぞれの独立したセキュリティ操作を実装
することができるいくつかの仲介者を使用すると、様々な実施形態では、不正なエンティ
ティが、ＶＣＳおよび／またはＥＲＧで望ましくない操作を実行することができる可能性
を低減することに役立ち得る。最初のコマンドを含むまたは表すメッセージがＥＮＭで受
信された後、ＥＮＭは、図示の実施形態では、最初のコマンドを抽出し、プライベートネ
ットワーク５３１Ｂを使用して、ターゲットホストにコマンドを送信することができる。
ターゲットホストで、コマンドは、実行され得る（例えば、起動コマンドの場合、ターゲ
ットホストでの１つ以上の計算インスタンスのインスタンス化をもたらす）。ＶＣＳコン
トロールプレーンの観点から、先に示したように、ホスト５２９は、図示の実施形態では
、プロバイダネットワーク内に配置されたホストが扱われるのと同じ方式で（少なくとも
ネットワーキングのいくつかの態様に関して）扱われ得る。所与のＥＲＧ内で、例えば、
ネットワークトラフィックは、様々な実施形態では、プロバイダネットワークに配置され
たホスト内を流れる方式と同様に、ホスト５２９間を流れることができ、例えば、高速の
高帯域幅のホスト間ネットワークリンクがサポートされ得る。ＥＲＧは事実上、顧客のＩ
ＶＮ５１５の拡張を表し得るため、ＥＲＧ内の計算インスタンスに割り当てられたネット
ワークアドレスは、少なくともいくつかの実施形態では、（例えば、顧客によって）ＩＶ
Ｎ５１５で使用されるアドレスの範囲（例えば、ＣＮＡＲまたはＳＮＡＲとは異なる範囲
）から選択することができることに留意されたい。
成され、１つ以上の他の仲介者を含むパスを介して送信されるコマンドは、最終的に、Ｅ
ＮＭで、顧客構成ネットワーク５３１Ａの一部であるネットワークアドレスを介して受信
され得る。パスに沿って、例えば、様々な実施形態では、ネットワークアドレス変換、カ
プセル化、カプセル化解除などを含む１つ以上の変換操作が、最初のコマンドに対して実
行され得る。複数のＶＮＩが接続されたＯＣＣ、ＩＶＮからＩＶＮへのゲートウェイなど
、各々がネットワークトラフィックに関してそれぞれの独立したセキュリティ操作を実装
することができるいくつかの仲介者を使用すると、様々な実施形態では、不正なエンティ
ティが、ＶＣＳおよび／またはＥＲＧで望ましくない操作を実行することができる可能性
を低減することに役立ち得る。最初のコマンドを含むまたは表すメッセージがＥＮＭで受
信された後、ＥＮＭは、図示の実施形態では、最初のコマンドを抽出し、プライベートネ
ットワーク５３１Ｂを使用して、ターゲットホストにコマンドを送信することができる。
ターゲットホストで、コマンドは、実行され得る（例えば、起動コマンドの場合、ターゲ
ットホストでの１つ以上の計算インスタンスのインスタンス化をもたらす）。ＶＣＳコン
トロールプレーンの観点から、先に示したように、ホスト５２９は、図示の実施形態では
、プロバイダネットワーク内に配置されたホストが扱われるのと同じ方式で（少なくとも
ネットワーキングのいくつかの態様に関して）扱われ得る。所与のＥＲＧ内で、例えば、
ネットワークトラフィックは、様々な実施形態では、プロバイダネットワークに配置され
たホスト内を流れる方式と同様に、ホスト５２９間を流れることができ、例えば、高速の
高帯域幅のホスト間ネットワークリンクがサポートされ得る。ＥＲＧは事実上、顧客のＩ
ＶＮ５１５の拡張を表し得るため、ＥＲＧ内の計算インスタンスに割り当てられたネット
ワークアドレスは、少なくともいくつかの実施形態では、（例えば、顧客によって）ＩＶ
Ｎ５１５で使用されるアドレスの範囲（例えば、ＣＮＡＲまたはＳＮＡＲとは異なる範囲
）から選択することができることに留意されたい。
いくつかの実施形態では、ＥＮＭ５２８は、図２に示されるオフロードされた仮想化管
理コンポーネント（ＯＶＭＣ）２６９と同様に、周辺インターフェースを介してホストま
たはサーバに接続されたハードウェアカードを少なくとも部分的に使用して実装され得る
。他の実施形態では、ＥＮＭ実装に関して他のアプローチをとることができ、例えば、オ
ペレーティングシステムプロセスまたはスレッドとして実装することができる。少なくと
も１つの実施形態では、ＥＮＭ５２８は、必ずしもホスト５２９のいくつかと同じラック
内に同じ場所に配置され得ず、例えば、ＥＲＧホストのいくつかのセットに使用されるも
のとは別個のラックまたは他の物理的コンテナが、１つ以上のＥＮＭに使用され得る。少
なくとも１つの実施形態では、ＥＮＭは、ＥＲＧのホストに関して少なくともいくつかの
ＤＨＣＰ（動的ホスト構成プロトコル）操作を実行することができる（例えば、ＥＮＭは
、ＤＨＣＰサーバとして機能することができる）。いくつかの実施形態では、図５の文脈
で考察された１つ以上の操作は、ＶＣＳコントロールプレーンコマンドをＥＲＧホストに
送信するワークフローの一部として必ずしも実行され得ず、例えば、仲介者の異なる組み
合わせが使用され得るか、または変換の異なる組み合わせがメッセージまたはコマンドに
適用され得る。
理コンポーネント（ＯＶＭＣ）２６９と同様に、周辺インターフェースを介してホストま
たはサーバに接続されたハードウェアカードを少なくとも部分的に使用して実装され得る
。他の実施形態では、ＥＮＭ実装に関して他のアプローチをとることができ、例えば、オ
ペレーティングシステムプロセスまたはスレッドとして実装することができる。少なくと
も１つの実施形態では、ＥＮＭ５２８は、必ずしもホスト５２９のいくつかと同じラック
内に同じ場所に配置され得ず、例えば、ＥＲＧホストのいくつかのセットに使用されるも
のとは別個のラックまたは他の物理的コンテナが、１つ以上のＥＮＭに使用され得る。少
なくとも１つの実施形態では、ＥＮＭは、ＥＲＧのホストに関して少なくともいくつかの
ＤＨＣＰ（動的ホスト構成プロトコル）操作を実行することができる（例えば、ＥＮＭは
、ＤＨＣＰサーバとして機能することができる）。いくつかの実施形態では、図５の文脈
で考察された１つ以上の操作は、ＶＣＳコントロールプレーンコマンドをＥＲＧホストに
送信するワークフローの一部として必ずしも実行され得ず、例えば、仲介者の異なる組み
合わせが使用され得るか、または変換の異なる組み合わせがメッセージまたはコマンドに
適用され得る。
例示的なＥＲＧネットワークマネージャ
ＥＲＧで１つ以上のコンピューティングデバイスを使用して実装された拡張リソースグ
ループネットワークマネージャ（ＥＮＭ）（図１の文脈で導入されたＥＲＧ１３５と機能
および特徴が同様の）は、様々な実施形態では、いくつかの異なる種類の操作を担当し得
る。図６は、少なくともいくつかの実施形態による、拡張リソースグループネットワーク
マネージャの例示的な要素を例解する。ＥＮＭ６０５のプロバイダネットワーク接続マネ
ージャ６０３は、図示の実施形態では、プロバイダネットワークデータセンターのリソー
スへの／リソースからの１つ以上の安全な通信チャネルの確立を開始するか、またはその
確立に参加することができる。少なくともいくつかの実施形態では、例えば、ＶＰＮトン
ネルを安全なチャネルに使用することができる。
ＥＲＧで１つ以上のコンピューティングデバイスを使用して実装された拡張リソースグ
ループネットワークマネージャ（ＥＮＭ）（図１の文脈で導入されたＥＲＧ１３５と機能
および特徴が同様の）は、様々な実施形態では、いくつかの異なる種類の操作を担当し得
る。図６は、少なくともいくつかの実施形態による、拡張リソースグループネットワーク
マネージャの例示的な要素を例解する。ＥＮＭ６０５のプロバイダネットワーク接続マネ
ージャ６０３は、図示の実施形態では、プロバイダネットワークデータセンターのリソー
スへの／リソースからの１つ以上の安全な通信チャネルの確立を開始するか、またはその
確立に参加することができる。少なくともいくつかの実施形態では、例えば、ＶＰＮトン
ネルを安全なチャネルに使用することができる。
ＥＮＭ６０５のローカルプレミス接続マネージャ６０７は、事実上、図示の実施形態で
は、ＥＲＧのＶＣＳ管理仮想マシンと、ＥＲＧがセットアップされる場所に存在する非Ｖ
ＣＳリソースとの間のエッジデバイスとして機能し得る。少なくともいくつかの実施形態
では、１つ以上のパブリックＩＰアドレスをＥＲＧに指定することができ、ＥＲＧの外部
のリソースがＥＲＧ内のＶＭと通信することを可能にする。ローカルプレミス接続マネー
ジャは、例えば、少なくともいくつかの実施形態では、パブリックからプライベートへの
ＩＰアドレスマッピング、ならびにプライベートからパブリックへのＩＰアドレスマッピ
ングを実装することを担当し得る。例えば、デスティネーションＶＭが、ＥＲＧ内のプラ
イベートＩＰアドレスが割り当てられるデスティネーションアドレスとしてパブリックＩ
Ｐアドレスを使用してＥＲＧ内のＶＭにアドレス指定されるパケットの場合、パブリック
からプライベートへのアドレス変換が実行され、同様に、対応するプライベートからパブ
リックへのＩＰアドレス変換は、逆方向に流れるパケットに対して実行され得る。ＥＲＧ
のインバウンド／アウトバウンドデータプレーントラフィックのための他のカプセル化プ
ロトコルパケット処理は、異なる実施形態では、実行され得る。いくつかの実施形態では
、ＥＮＭは、例えば、以下でさらに詳細に考察されるように、ＥＲＧホストを含むプライ
ベートネットワークをセットアップすることを支援するために、少なくともいくつかのＤ
ＨＣＰ機能を実行することができる。
は、ＥＲＧのＶＣＳ管理仮想マシンと、ＥＲＧがセットアップされる場所に存在する非Ｖ
ＣＳリソースとの間のエッジデバイスとして機能し得る。少なくともいくつかの実施形態
では、１つ以上のパブリックＩＰアドレスをＥＲＧに指定することができ、ＥＲＧの外部
のリソースがＥＲＧ内のＶＭと通信することを可能にする。ローカルプレミス接続マネー
ジャは、例えば、少なくともいくつかの実施形態では、パブリックからプライベートへの
ＩＰアドレスマッピング、ならびにプライベートからパブリックへのＩＰアドレスマッピ
ングを実装することを担当し得る。例えば、デスティネーションＶＭが、ＥＲＧ内のプラ
イベートＩＰアドレスが割り当てられるデスティネーションアドレスとしてパブリックＩ
Ｐアドレスを使用してＥＲＧ内のＶＭにアドレス指定されるパケットの場合、パブリック
からプライベートへのアドレス変換が実行され、同様に、対応するプライベートからパブ
リックへのＩＰアドレス変換は、逆方向に流れるパケットに対して実行され得る。ＥＲＧ
のインバウンド／アウトバウンドデータプレーントラフィックのための他のカプセル化プ
ロトコルパケット処理は、異なる実施形態では、実行され得る。いくつかの実施形態では
、ＥＮＭは、例えば、以下でさらに詳細に考察されるように、ＥＲＧホストを含むプライ
ベートネットワークをセットアップすることを支援するために、少なくともいくつかのＤ
ＨＣＰ機能を実行することができる。
ＥＮＭ６０５のコントロールプレーンコマンドフォワーダ６１２は、図示の実施形態で
は、例えば、ＶＣＳコントロールプレーンから管理コマンド（ＥＲＧにセットアップされ
たＯＣＣを介して送信された）を受信し、コマンドのコンテンツを分析し、ＥＲＧの選択
されたセキュリティ強化仮想化ホスト（ＥＶＨ）におけるＶＣＳコントロールプレーンエ
ージェントなど適切なデスティネーションにコマンドを転送する役割を果たすことを担当
し得る。いくつかの実装形態では、コマンドフォワーダ６１２は、コマンドを転送する前
に、受信したコマンドに対して１つ以上のバリデーション／ベリフィケーション操作を実
行し、および／またはコマンドの受信したバージョンに１つ以上の変換を適用することが
できる。
は、例えば、ＶＣＳコントロールプレーンから管理コマンド（ＥＲＧにセットアップされ
たＯＣＣを介して送信された）を受信し、コマンドのコンテンツを分析し、ＥＲＧの選択
されたセキュリティ強化仮想化ホスト（ＥＶＨ）におけるＶＣＳコントロールプレーンエ
ージェントなど適切なデスティネーションにコマンドを転送する役割を果たすことを担当
し得る。いくつかの実装形態では、コマンドフォワーダ６１２は、コマンドを転送する前
に、受信したコマンドに対して１つ以上のバリデーション／ベリフィケーション操作を実
行し、および／またはコマンドの受信したバージョンに１つ以上の変換を適用することが
できる。
ＥＮＭ６０５のＥＲＧホストブートストラップマネージャ６１７は、図示の実施形態で
は、ＥＲＧのＥＶＨおよび／または他のリソース（仮想マシンのブートイメージをキャッ
シュするために使用されるストレージサーバなど）をブートストラップ／初期化／スター
トアップすることを担当し得る。少なくともいくつかの実施形態では、図６に示されるＥ
ＮＭのすべての要素が同じコンピューティングデバイスで実行され得るわけではなく、代
わりに、要素のうちの１つ以上は、分散ＥＮＭアーキテクチャが使用される一実施形態に
おいて、それぞれのコンピューティングデバイスで実行され得ることに留意されたい。少
なくともいくつかの実施形態では、図６に示されるＥＮＭ要素のうちの１つ以上は、ＥＶ
Ｈでインスタンス化された仮想マシンを使用して実装され得る。いくつかの実施形態では
、ＥＮＭ６０５は、図６に示される要素とは異なる要素の組み合わせを含み得る。
は、ＥＲＧのＥＶＨおよび／または他のリソース（仮想マシンのブートイメージをキャッ
シュするために使用されるストレージサーバなど）をブートストラップ／初期化／スター
トアップすることを担当し得る。少なくともいくつかの実施形態では、図６に示されるＥ
ＮＭのすべての要素が同じコンピューティングデバイスで実行され得るわけではなく、代
わりに、要素のうちの１つ以上は、分散ＥＮＭアーキテクチャが使用される一実施形態に
おいて、それぞれのコンピューティングデバイスで実行され得ることに留意されたい。少
なくともいくつかの実施形態では、図６に示されるＥＮＭ要素のうちの１つ以上は、ＥＶ
Ｈでインスタンス化された仮想マシンを使用して実装され得る。いくつかの実施形態では
、ＥＮＭ６０５は、図６に示される要素とは異なる要素の組み合わせを含み得る。
例示的な仮想マシンおよびＥＲＧのファミリ
ＶＭ（プロバイダネットワークデータセンターリソースを使用して、またはＥＲＧを使
用してセットアップされるＶＭ）の確立を要求するとき、ＶＣＳクライアントは、いくつ
かの実施形態では、様々なサポートされるＶＭタイプまたはカテゴリから選択することが
できる場合がある。同様に、少なくとも１つの実施形態では、機能の異なる組み合わせを
有する様々なＥＲＧタイプもサポートされ得、そこから、クライアントは、彼らのニーズ
に最も適合するＥＲＧタイプを選択し得る。図７は、少なくともいくつかの実施形態によ
る、仮想化コンピューティングサービスでサポートされ得る仮想マシンおよび拡張リソー
スグループの例示的なファミリを例解する。
ＶＭ（プロバイダネットワークデータセンターリソースを使用して、またはＥＲＧを使
用してセットアップされるＶＭ）の確立を要求するとき、ＶＣＳクライアントは、いくつ
かの実施形態では、様々なサポートされるＶＭタイプまたはカテゴリから選択することが
できる場合がある。同様に、少なくとも１つの実施形態では、機能の異なる組み合わせを
有する様々なＥＲＧタイプもサポートされ得、そこから、クライアントは、彼らのニーズ
に最も適合するＥＲＧタイプを選択し得る。図７は、少なくともいくつかの実施形態によ
る、仮想化コンピューティングサービスでサポートされ得る仮想マシンおよび拡張リソー
スグループの例示的なファミリを例解する。
図１の文脈で導入されたＶＣＳ１１０と同様のＶＣＳのサポートされた仮想マシンタイ
プ７０５の標準化されたセットは、いくつかの実施形態では、汎用ＶＭファミリ７１０、
計算最適化ＶＭファミリ７２０、メモリ最適化ＶＭカテゴリ７３０、ストレージ最適化Ｖ
Ｍファミリ７４０などのファミリに細分され得る。所与のＶＭがクライアントによって使
用されるアプリケーションの推定ニーズに応じて、適切なファミリからＶＭタイプを選択
することができる。異なるＶＭタイプの相対的なリソース能力は、ＶＣＳによって選択ま
たは定義されたユニット、例えば、コンピューティングの場合、特定のクロック速度で動
作する特定の既知のプロセッサとほぼ同等の性能である仮想ＣＰＵなどのユニットを使用
して表現することができる。ファミリは、定性的な考慮事項に基づいて選択することがで
き（例えば、アプリケーションミックスは、より多くのメモリを消費するか、またはより
多くの計算を消費するか？）、ファミリ内の特定のＶＭタイプ（例えば、汎用ファミリで
は、小７１２対中７１４対大７１６）は、所望の性能レベル、コストなどの考慮事項に基
づいて選択することができる。ＣＯ小ＶＭ ７２２、ＣＯ中ＶＭ７２４、またはＣＯ大Ｖ
Ｍ７２６などの計算最適化ＶＭ７２０は、図示の実施形態では、例えば、汎用ＶＭよりも
多くのおよび／または高速のプロセッサまたはコアを備えるホストを使用して実装され得
る。ＭＯ小ＶＭ７３２、ＭＯ中ＶＭ７３４、またはＭＯ大ＶＭ７３６などのメモリ最適化
ＶＭ７３０では、コンピューティング能力に対するメモリの量（例えば、仮想ＣＰＵあた
りのメモリのギガバイト数）は、コンピューティング最適化ＶＭ７２０または汎用ＶＭよ
りも高い場合がある。同様に、ＳＯ小ＶＭ７４２、ＳＯ中ＶＭ７４４、およびＳＯ大ＶＭ
７４６を含むストレージ最適化ファミリ７４０では、ローカルストレージと計算能力の比
率（例えば、仮想ＣＰＵあたりのローカルソリッドステートデバイス（ＳＳＤ）ストレー
ジのギガバイトの数）は、他のファミリよりも高い場合がある。図示の実施形態では、マ
イクロＶＭ（ｍＶＭ）の事前定義されたファミリ７７０は、その各々がその全体的なリソ
ース要件に基づいてマイクロＶＭとして適格であり得、また、サポートされ得る。図のよ
うに、ｍＶＭ小カテゴリ７７２、ｍＶＭ中カテゴリ７７４、および／またはｍＶＭ大カテ
ゴリ７７６をマイクロＶＭファミリに含めることができる。少なくともいくつかの実施形
態では、クライアントはまた、例えば、事前定義されたタイプのうちの１つと一致しない
、処理、ストレージ、およびメモリリソースのいくつかの組み合わせを特定することによ
って、自分たち自身のＶＭタイプを定義および使用することができる場合がある。いくつ
かの実施形態では、プロバイダネットワークデータセンターでセットアップすることがで
きるＶＭタイプのいずれかのインスタンスは、ＥＲＧでもセットアップすることができ、
他の実施形態では、ＶＭタイプのそれぞれの異なるセットは、ＥＲＧおよびプロバイダネ
ットワークデータセンターでサポートされ得る。少なくともいくつかの実施形態では、前
述のように、ベアメタルインスタンスは、例えば、図７に示されるＶＭのタイプに加えて
、ＶＣＳまたはそのＥＲＧのホストでセットアップされ得る。
プ７０５の標準化されたセットは、いくつかの実施形態では、汎用ＶＭファミリ７１０、
計算最適化ＶＭファミリ７２０、メモリ最適化ＶＭカテゴリ７３０、ストレージ最適化Ｖ
Ｍファミリ７４０などのファミリに細分され得る。所与のＶＭがクライアントによって使
用されるアプリケーションの推定ニーズに応じて、適切なファミリからＶＭタイプを選択
することができる。異なるＶＭタイプの相対的なリソース能力は、ＶＣＳによって選択ま
たは定義されたユニット、例えば、コンピューティングの場合、特定のクロック速度で動
作する特定の既知のプロセッサとほぼ同等の性能である仮想ＣＰＵなどのユニットを使用
して表現することができる。ファミリは、定性的な考慮事項に基づいて選択することがで
き（例えば、アプリケーションミックスは、より多くのメモリを消費するか、またはより
多くの計算を消費するか？）、ファミリ内の特定のＶＭタイプ（例えば、汎用ファミリで
は、小７１２対中７１４対大７１６）は、所望の性能レベル、コストなどの考慮事項に基
づいて選択することができる。ＣＯ小ＶＭ ７２２、ＣＯ中ＶＭ７２４、またはＣＯ大Ｖ
Ｍ７２６などの計算最適化ＶＭ７２０は、図示の実施形態では、例えば、汎用ＶＭよりも
多くのおよび／または高速のプロセッサまたはコアを備えるホストを使用して実装され得
る。ＭＯ小ＶＭ７３２、ＭＯ中ＶＭ７３４、またはＭＯ大ＶＭ７３６などのメモリ最適化
ＶＭ７３０では、コンピューティング能力に対するメモリの量（例えば、仮想ＣＰＵあた
りのメモリのギガバイト数）は、コンピューティング最適化ＶＭ７２０または汎用ＶＭよ
りも高い場合がある。同様に、ＳＯ小ＶＭ７４２、ＳＯ中ＶＭ７４４、およびＳＯ大ＶＭ
７４６を含むストレージ最適化ファミリ７４０では、ローカルストレージと計算能力の比
率（例えば、仮想ＣＰＵあたりのローカルソリッドステートデバイス（ＳＳＤ）ストレー
ジのギガバイトの数）は、他のファミリよりも高い場合がある。図示の実施形態では、マ
イクロＶＭ（ｍＶＭ）の事前定義されたファミリ７７０は、その各々がその全体的なリソ
ース要件に基づいてマイクロＶＭとして適格であり得、また、サポートされ得る。図のよ
うに、ｍＶＭ小カテゴリ７７２、ｍＶＭ中カテゴリ７７４、および／またはｍＶＭ大カテ
ゴリ７７６をマイクロＶＭファミリに含めることができる。少なくともいくつかの実施形
態では、クライアントはまた、例えば、事前定義されたタイプのうちの１つと一致しない
、処理、ストレージ、およびメモリリソースのいくつかの組み合わせを特定することによ
って、自分たち自身のＶＭタイプを定義および使用することができる場合がある。いくつ
かの実施形態では、プロバイダネットワークデータセンターでセットアップすることがで
きるＶＭタイプのいずれかのインスタンスは、ＥＲＧでもセットアップすることができ、
他の実施形態では、ＶＭタイプのそれぞれの異なるセットは、ＥＲＧおよびプロバイダネ
ットワークデータセンターでサポートされ得る。少なくともいくつかの実施形態では、前
述のように、ベアメタルインスタンスは、例えば、図７に示されるＶＭのタイプに加えて
、ＶＣＳまたはそのＥＲＧのホストでセットアップされ得る。
いくつかの実施形態では、いくつかのＥＲＧカテゴリ７５５は、ＶＣＳオペレータによ
って定義され得、クライアントが、プロバイダネットワークの外部の場所で彼らに代わっ
てセットアップされたＥＲＧの機能の特定の組み合わせを選択することを可能にする。Ｅ
ＲＧタイプ（小ＥＲＧ７５８、中ＥＲＧ７５９および大ＥＲＧ７６０）は、図示の実施形
態では、いくつかの側面のいずれかに従って互いに異なり得る。例えば、いくつかの実施
形態では、物理的なフットプリント（ＥＲＧデバイスのコレクションを含むラックに必要
なフロアスペースＰＦ１、ＰＦ２、またはＰＦ３）がＥＲＧタイプごとに異なる場合があ
り、電力需要（ＰＤ１、ＰＤ２、またはＰＤ３）が異なる場合があり、計算能力（ＣＣ１
、ＣＣ２、ＣＣ３）が異なる場合があり、および／またはキャッシュされたＶＭイメージ
のセットＣＩＳ１、ＣＩＳ２、またはＣＩＳ３が異なるＥＲＧタイプ間で異なる場合があ
る。少なくとも１つの実施形態では、ＥＲＧを要求するとき、クライアントは、ＶＣＳに
よってサポートされる特定のＥＲＧタイプと必ずしも一致しない仕様（物理的フットプリ
ント、電力需要、計算能力、キャッシュされたＶＭイメージなどに関して）を提供し得る
。１つのそのようなシナリオでは、ＶＣＳオペレータは、ＥＲＧ仕様を受け入れ、対応す
る機器を引き渡すか、サポートされたＥＲＧ構成に最も近いものをクライアントに表示す
る（必要に応じてクライアントが注文することができる）。一実施形態では、単一のタイ
プのＥＲＧのみが、ＶＣＳオペレータによってサポートされ得る。
って定義され得、クライアントが、プロバイダネットワークの外部の場所で彼らに代わっ
てセットアップされたＥＲＧの機能の特定の組み合わせを選択することを可能にする。Ｅ
ＲＧタイプ（小ＥＲＧ７５８、中ＥＲＧ７５９および大ＥＲＧ７６０）は、図示の実施形
態では、いくつかの側面のいずれかに従って互いに異なり得る。例えば、いくつかの実施
形態では、物理的なフットプリント（ＥＲＧデバイスのコレクションを含むラックに必要
なフロアスペースＰＦ１、ＰＦ２、またはＰＦ３）がＥＲＧタイプごとに異なる場合があ
り、電力需要（ＰＤ１、ＰＤ２、またはＰＤ３）が異なる場合があり、計算能力（ＣＣ１
、ＣＣ２、ＣＣ３）が異なる場合があり、および／またはキャッシュされたＶＭイメージ
のセットＣＩＳ１、ＣＩＳ２、またはＣＩＳ３が異なるＥＲＧタイプ間で異なる場合があ
る。少なくとも１つの実施形態では、ＥＲＧを要求するとき、クライアントは、ＶＣＳに
よってサポートされる特定のＥＲＧタイプと必ずしも一致しない仕様（物理的フットプリ
ント、電力需要、計算能力、キャッシュされたＶＭイメージなどに関して）を提供し得る
。１つのそのようなシナリオでは、ＶＣＳオペレータは、ＥＲＧ仕様を受け入れ、対応す
る機器を引き渡すか、サポートされたＥＲＧ構成に最も近いものをクライアントに表示す
る（必要に応じてクライアントが注文することができる）。一実施形態では、単一のタイ
プのＥＲＧのみが、ＶＣＳオペレータによってサポートされ得る。
例示的なプログラム相互作用
様々な実施形態では、ＶＣＳクライアントは、図１の文脈で導入されたＥＲＧ１３５と
同様のＥＲＧをセットアップおよび使用することに関連付けられた要求を送信するために
、いくつかのプログラムインターフェースを使用することができる。図８は、少なくとも
いくつかの実施形態による、仮想化コンピューティングサービスの拡張リソースグループ
に関する例示的なプログラム相互作用を例解する。ＶＣＳ８１２は、例えば、アプリケー
ションプログラミングインターフェース（ＡＰＩ）、ウェブベースのコンソール、グラフ
ィカルユーザインターフェース、コマンドラインツールなど、図示の実施形態では、１つ
以上のプログラムインターフェース８７７を実装することができ、それらの任意の組み合
わせは、ＶＣＳと相互作用するためにＶＣＳクライアント８１０によって使用され得る。
様々な実施形態では、ＶＣＳクライアントは、図１の文脈で導入されたＥＲＧ１３５と
同様のＥＲＧをセットアップおよび使用することに関連付けられた要求を送信するために
、いくつかのプログラムインターフェースを使用することができる。図８は、少なくとも
いくつかの実施形態による、仮想化コンピューティングサービスの拡張リソースグループ
に関する例示的なプログラム相互作用を例解する。ＶＣＳ８１２は、例えば、アプリケー
ションプログラミングインターフェース（ＡＰＩ）、ウェブベースのコンソール、グラフ
ィカルユーザインターフェース、コマンドラインツールなど、図示の実施形態では、１つ
以上のプログラムインターフェース８７７を実装することができ、それらの任意の組み合
わせは、ＶＣＳと相互作用するためにＶＣＳクライアント８１０によって使用され得る。
クライアント８１０は、例えば、プログラムインターフェース８７７を介してＳｅｔｕ
ｐＥＲＧ要求８１４を提出して、ＶＣＳ自体のデータセンターの外部の指定された場所で
拡張リソースグループを構成することを要求することができる。ＥＲＧの複数のカテゴリ
がサポートされる実施形態（図７の文脈で考察されたＥＲＧタイプ７５５と同様）では、
セットアップされる特定のタイプのＥＲＧは、要求８１４のパラメータ（示されるＥＲＧ
カテゴリパラメータなど）を介して示され得る。他のパラメータは、例えば、ＥＲＧが確
立される場所、ＥＲＧデバイス／機器のコレクションが引き渡されるべき期間などの制約
などを示し得る。ＳｅｔｕｐＥＲＧ要求８１４に応答して、プロバイダネットワークで実
行される様々な予備タスクを含むワークフローは、いくつかの実施形態では、開始され得
、セットアップ開始８１５などの応答メッセージがクライアントに送信され得る。少なく
とも１つの実施形態では、アウトバウンドコマンドコミュニケータ（ＯＣＣ）インスタン
ス（上で考察された種類のＶＣＳ拡張サービス内の仮想マシンなど）は、予備タスクワー
クフローの一部として、要求されたＥＲＧに対してインスタンス化または指定され得る。
そのようなＯＣＣは、いくつかの実施形態では、事実上、ＥＲＧネットワークマネージャ
からの連絡がくることを積極的に待つことができる。もちろん、ＥＲＧネットワークマネ
ージャは、少なくともいくつかの実施形態では、ＥＲＧ機器が対象の外部ロケーションに
引き渡され、電源がオンにされ、インターネットに接続されるまでなど、ＯＣＣとの通信
することを試みることができない場合があり、それは、ＳｅｔｕｐＥＲＧ要求がＶＣＳ８
１２で処理された後、ある程度の時間生じ得る。いくつかの実施形態では、ＶＣＳのＯＣ
Ｃマネージャ８９２は、ＯＣＣインスタンスをインスタンス化すること、および／または
どの特定のＯＣＣインスタンスが所与のＥＲＧに使用されるかを判定することを担当し得
る。少なくとも１つの実施形態では、所与のＯＣＣインスタンスは、例えば、マルチテナ
ント操作モードで、１つ以上のＶＣＳクライアントのいくつかの異なるＥＲＧに使用する
ことができる。
ｐＥＲＧ要求８１４を提出して、ＶＣＳ自体のデータセンターの外部の指定された場所で
拡張リソースグループを構成することを要求することができる。ＥＲＧの複数のカテゴリ
がサポートされる実施形態（図７の文脈で考察されたＥＲＧタイプ７５５と同様）では、
セットアップされる特定のタイプのＥＲＧは、要求８１４のパラメータ（示されるＥＲＧ
カテゴリパラメータなど）を介して示され得る。他のパラメータは、例えば、ＥＲＧが確
立される場所、ＥＲＧデバイス／機器のコレクションが引き渡されるべき期間などの制約
などを示し得る。ＳｅｔｕｐＥＲＧ要求８１４に応答して、プロバイダネットワークで実
行される様々な予備タスクを含むワークフローは、いくつかの実施形態では、開始され得
、セットアップ開始８１５などの応答メッセージがクライアントに送信され得る。少なく
とも１つの実施形態では、アウトバウンドコマンドコミュニケータ（ＯＣＣ）インスタン
ス（上で考察された種類のＶＣＳ拡張サービス内の仮想マシンなど）は、予備タスクワー
クフローの一部として、要求されたＥＲＧに対してインスタンス化または指定され得る。
そのようなＯＣＣは、いくつかの実施形態では、事実上、ＥＲＧネットワークマネージャ
からの連絡がくることを積極的に待つことができる。もちろん、ＥＲＧネットワークマネ
ージャは、少なくともいくつかの実施形態では、ＥＲＧ機器が対象の外部ロケーションに
引き渡され、電源がオンにされ、インターネットに接続されるまでなど、ＯＣＣとの通信
することを試みることができない場合があり、それは、ＳｅｔｕｐＥＲＧ要求がＶＣＳ８
１２で処理された後、ある程度の時間生じ得る。いくつかの実施形態では、ＶＣＳのＯＣ
Ｃマネージャ８９２は、ＯＣＣインスタンスをインスタンス化すること、および／または
どの特定のＯＣＣインスタンスが所与のＥＲＧに使用されるかを判定することを担当し得
る。少なくとも１つの実施形態では、所与のＯＣＣインスタンスは、例えば、マルチテナ
ント操作モードで、１つ以上のＶＣＳクライアントのいくつかの異なるＥＲＧに使用する
ことができる。
図示の実施形態では、ＶＣＳ８１２は、ＥＲＧが引き渡され、所望の場所で初期化され
た後、ＥＲＧＯｎｌｉｎｅメッセージ８１６をクライアント８１０に送信することができ
、クライアントがＥＲＧの使用を開始することができることを示す。いくつかの実施形態
では、暗黙の通信を使用して、明示的なメッセージではなく、要求されたＥＲＧが使用す
る準備ができていることをクライアントに通知することができ、例えば、コンソール内の
要求されたＥＲＧのエントリは、ＥＲＧが使用に利用可能になったことを視覚アイコンを
介して示すことができる。少なくともいくつかの実施形態では、ＥＲＧＯｎｌｉｎｅメッ
セージと同等のものがクライアントに送信される前に、１つ以上の前提条件が満たされな
ければならない場合があり、例えば、ＯＣＣインスタンスが管理コマンドをＥＲＧに送信
するために使用することができる安全な通信チャネルを確立する必要がある場合、少なく
ともいくつかの最小数の仮想化ホストを正常にブートする必要がある場合、などがある。
た後、ＥＲＧＯｎｌｉｎｅメッセージ８１６をクライアント８１０に送信することができ
、クライアントがＥＲＧの使用を開始することができることを示す。いくつかの実施形態
では、暗黙の通信を使用して、明示的なメッセージではなく、要求されたＥＲＧが使用す
る準備ができていることをクライアントに通知することができ、例えば、コンソール内の
要求されたＥＲＧのエントリは、ＥＲＧが使用に利用可能になったことを視覚アイコンを
介して示すことができる。少なくともいくつかの実施形態では、ＥＲＧＯｎｌｉｎｅメッ
セージと同等のものがクライアントに送信される前に、１つ以上の前提条件が満たされな
ければならない場合があり、例えば、ＯＣＣインスタンスが管理コマンドをＥＲＧに送信
するために使用することができる安全な通信チャネルを確立する必要がある場合、少なく
ともいくつかの最小数の仮想化ホストを正常にブートする必要がある場合、などがある。
ＶＣＳクライアント８１０は、図示の実施形態では、プログラムインターフェース８７
７を使用して、指定されたＥＲＧ（例えば、パラメータＥＲＧＩＤによって示される）と
して１つ以上の仮想マシンを起動するための要求８１７を提出することができる。要求８
１７は、少なくともいくつかの実施形態では、対応するコマンド（複数可）をＥＲＧに送
信するために使用される一方向経路とは異なる経路によって、ＶＣＳコントロールプレー
ンに送信され得る。ＶＭ（複数可）を起動するためのコマンドがＯＣＣからＥＲＧに送信
された後、起動が開始されたことを示すメッセージ８２１は、いくつかの実施形態では、
クライアントに送り返され得る。少なくともいくつかの実施形態では、ＬａｕｎｃｈＩｎ
ｉｔｉａｔｅｄメッセージ８２１は、ＶＭ（複数可）を起動するためのコマンドがＥＲＧ
に送信されたことを単に示し得、ＥＲＧのＥＶＨでＶＭを起動するための作業を実際に実
行するＶＣＳエージェントプロセスは、そのような実施形態では、起動が成功したかどう
かを確認するアウトバウンド管理メッセージを必ずしも送信しない場合があることに留意
されたい。
７を使用して、指定されたＥＲＧ（例えば、パラメータＥＲＧＩＤによって示される）と
して１つ以上の仮想マシンを起動するための要求８１７を提出することができる。要求８
１７は、少なくともいくつかの実施形態では、対応するコマンド（複数可）をＥＲＧに送
信するために使用される一方向経路とは異なる経路によって、ＶＣＳコントロールプレー
ンに送信され得る。ＶＭ（複数可）を起動するためのコマンドがＯＣＣからＥＲＧに送信
された後、起動が開始されたことを示すメッセージ８２１は、いくつかの実施形態では、
クライアントに送り返され得る。少なくともいくつかの実施形態では、ＬａｕｎｃｈＩｎ
ｉｔｉａｔｅｄメッセージ８２１は、ＶＭ（複数可）を起動するためのコマンドがＥＲＧ
に送信されたことを単に示し得、ＥＲＧのＥＶＨでＶＭを起動するための作業を実際に実
行するＶＣＳエージェントプロセスは、そのような実施形態では、起動が成功したかどう
かを確認するアウトバウンド管理メッセージを必ずしも送信しない場合があることに留意
されたい。
いくつかの実施形態では、ＤｅｓｃｒｉｂｅＥＲＧ要求８２３は、クライアント８１０
によって提出され、ＥＲＧのコンテンツおよび／またはステータスに関する情報を取得す
ることができ、要求された情報は、ＥＲＧＩｎｆｏメッセージ８２５の形態で提供され得
る。いくつかの実施形態では、情報は、例えば、ＥＲＧを使用する（例えば、ＥＲＧでＶ
Ｍを起動または終了させる）ことを許可されたエンティティのリスト、ＥＲＧのＥＶＨお
よび／またはＶＭのセット、ＥＲＧ（もしあれば）でのＶＭイメージキャッシュのセット
、ＥＲＧがセットアップされた日付、ＥＲＧ請求書関連データなどを含み得る。
によって提出され、ＥＲＧのコンテンツおよび／またはステータスに関する情報を取得す
ることができ、要求された情報は、ＥＲＧＩｎｆｏメッセージ８２５の形態で提供され得
る。いくつかの実施形態では、情報は、例えば、ＥＲＧを使用する（例えば、ＥＲＧでＶ
Ｍを起動または終了させる）ことを許可されたエンティティのリスト、ＥＲＧのＥＶＨお
よび／またはＶＭのセット、ＥＲＧ（もしあれば）でのＶＭイメージキャッシュのセット
、ＥＲＧがセットアップされた日付、ＥＲＧ請求書関連データなどを含み得る。
少なくともいくつかの実施形態では、クライアント８１０は、例えば、所望の変更を示
すｍｏｄｉｆｙＥＲＧ要求８２８を提出することによって、ＥＲＧの修正を要求すること
ができる。そのような変更には、例えば、ＥＲＧのＥＶＨの数を増やすか、または減らす
ための要求、ＥＲＧを使用することを許可されたユーザ／グループ／エンティティのセッ
トを修正するための要求などが含まれ得る。要求された修正がＶＣＳの適用可能なルール
およびポリシーに基づいて対応することができる場合、図示の実施形態では、変更を実装
するための対応するワークフローを開始することができ、変更ワークフローが進行中であ
ることを示すＭｏｄｉｆｙＩｎｉｔｉａｔｅｄメッセージ８３３をクライアントに送信す
ることができる。一実施形態では、クライアント８１０は、ＥＲＧがもはや必要とされな
いことを示すためのＵｎｃｏｎｆｉｇｕｒｅＥＲＧ要求８４１を提出することができる。
応答として、ＶＣＳは、ＥＲＧへのアクセスを終了させ、ＥＲＧのためにセットアップさ
れた機器をシャットダウンし、取り外し、運び去るためのワークフローを開始することが
でき、いくつかの実施形態では、ＥＲＧＵｎｃｏｎｆｉｇｕｒｅｄメッセージ８４３をク
ライアントに送信して、ワークフローが開始されたこと、およびプログラム要求でもはや
ＥＲＧにアクセス可能でないことを示すことができる。少なくともいくつかの実施形態で
は、図８に示されるものとは異なるプログラム相互作用のセットが、ＥＲＧ関連操作のた
めにサポートされ得る。
すｍｏｄｉｆｙＥＲＧ要求８２８を提出することによって、ＥＲＧの修正を要求すること
ができる。そのような変更には、例えば、ＥＲＧのＥＶＨの数を増やすか、または減らす
ための要求、ＥＲＧを使用することを許可されたユーザ／グループ／エンティティのセッ
トを修正するための要求などが含まれ得る。要求された修正がＶＣＳの適用可能なルール
およびポリシーに基づいて対応することができる場合、図示の実施形態では、変更を実装
するための対応するワークフローを開始することができ、変更ワークフローが進行中であ
ることを示すＭｏｄｉｆｙＩｎｉｔｉａｔｅｄメッセージ８３３をクライアントに送信す
ることができる。一実施形態では、クライアント８１０は、ＥＲＧがもはや必要とされな
いことを示すためのＵｎｃｏｎｆｉｇｕｒｅＥＲＧ要求８４１を提出することができる。
応答として、ＶＣＳは、ＥＲＧへのアクセスを終了させ、ＥＲＧのためにセットアップさ
れた機器をシャットダウンし、取り外し、運び去るためのワークフローを開始することが
でき、いくつかの実施形態では、ＥＲＧＵｎｃｏｎｆｉｇｕｒｅｄメッセージ８４３をク
ライアントに送信して、ワークフローが開始されたこと、およびプログラム要求でもはや
ＥＲＧにアクセス可能でないことを示すことができる。少なくともいくつかの実施形態で
は、図８に示されるものとは異なるプログラム相互作用のセットが、ＥＲＧ関連操作のた
めにサポートされ得る。
例示的なＶＭ起動ワークフロー
図９は、少なくともいくつかの実施形態による、拡張リソースグループで仮想マシンを
起動することに関連付けられた例示的なワークフローを例解する。図９に示される例示的
なシナリオでは、ＥＲＧ９３４は、ＶＣＳクライアントの要求に応じて顧客データセンタ
ー９３０にセットアップされている。クライアントは、データセンター９３０にたまたま
配置され得るデバイス９３２（例えば、ラップトップ、デスクトップなど）を使用して、
仮想マシンを起動するための要求（ＬａｕｎｃｈＶＭ（ＥＲＧＩＤ）要求９７１）を送信
することができ、ワークフローのステップ１に示されるように、ＶＭがＥＲＧ９３４で起
動されることを示す。ＬａｕｎｃｈＶＭ要求が提出されるネットワークパスは、クライア
ントがＶＣＳのパブリックＡＰＩを介して提出する他のＶＣＳ要求に使用されるパスと同
じであり得、そのため、このパスは、ＯＣＣ９１１によってＶＣＳコントロールプレーン
コマンドをＥＲＧに送信するために特別にセットアップされた一方向の安全なチャネルを
含まない場合がある。少なくとも１つの実施形態では、ＶＣＳは、地域データセンター９
１０などのプロバイダネットワークの複数の地域データセンターを使用して実装され得る
。地域データセンターの個々のデータセンターは、例えば、プロバイダネットワークがサ
ービスを提供する様々な大都市圏、州、または国にセットアップすることができる。いく
つかの実施形態では、特定のＶＣＳクライアントがプログラム要求を提出するとき、それ
は、例えば、要求が提出されるソースＩＰアドレスに基づいて、またはクライアントのア
カウントがデフォルトで関連付けられる「ホーム」領域に基づいて、特定の地域データセ
ンターにルーティングされ得る。
図９は、少なくともいくつかの実施形態による、拡張リソースグループで仮想マシンを
起動することに関連付けられた例示的なワークフローを例解する。図９に示される例示的
なシナリオでは、ＥＲＧ９３４は、ＶＣＳクライアントの要求に応じて顧客データセンタ
ー９３０にセットアップされている。クライアントは、データセンター９３０にたまたま
配置され得るデバイス９３２（例えば、ラップトップ、デスクトップなど）を使用して、
仮想マシンを起動するための要求（ＬａｕｎｃｈＶＭ（ＥＲＧＩＤ）要求９７１）を送信
することができ、ワークフローのステップ１に示されるように、ＶＭがＥＲＧ９３４で起
動されることを示す。ＬａｕｎｃｈＶＭ要求が提出されるネットワークパスは、クライア
ントがＶＣＳのパブリックＡＰＩを介して提出する他のＶＣＳ要求に使用されるパスと同
じであり得、そのため、このパスは、ＯＣＣ９１１によってＶＣＳコントロールプレーン
コマンドをＥＲＧに送信するために特別にセットアップされた一方向の安全なチャネルを
含まない場合がある。少なくとも１つの実施形態では、ＶＣＳは、地域データセンター９
１０などのプロバイダネットワークの複数の地域データセンターを使用して実装され得る
。地域データセンターの個々のデータセンターは、例えば、プロバイダネットワークがサ
ービスを提供する様々な大都市圏、州、または国にセットアップすることができる。いく
つかの実施形態では、特定のＶＣＳクライアントがプログラム要求を提出するとき、それ
は、例えば、要求が提出されるソースＩＰアドレスに基づいて、またはクライアントのア
カウントがデフォルトで関連付けられる「ホーム」領域に基づいて、特定の地域データセ
ンターにルーティングされ得る。
図９に描写される実施形態では、地域データセンター９１０内のコントロールプレーン
デバイス９１２は、ＬａｕｎｃｈＶＭ要求９７１を取得し、要求内容を処理し、Ｌａｎｃ
ｈＶＭコマンド９７２の内部バージョンを、ＶＭがインスタンス化される（ワークフロー
のステップ２に示されるように）ＥＲＧに関連付けられたＯＣＣ９１１に送信することが
できる。少なくともいくつかの実施形態では、個々のＥＲＧで仮想マシンを起動すること
を許可されたユーザ／グループ／エンティティを示すデータベース９３１は、ＶＣＳで維
持され得、コントロールプレーンデバイス９１２でのＬａｕｎｃｈＶＭ要求の処理の一部
は、データベース７３１を使用して、リクエスタが、指定されたＥＲＧで指定されたタイ
プのＶＭを起動することを許可されることを検証することを含み得る。一実施形態では、
ＯＣＣ９１１は、クライアントによって提出された要求および／またはＬａｕｎｃｈＶＭ
コマンドの内部バージョンを処理／検証することに参加することができる。
デバイス９１２は、ＬａｕｎｃｈＶＭ要求９７１を取得し、要求内容を処理し、Ｌａｎｃ
ｈＶＭコマンド９７２の内部バージョンを、ＶＭがインスタンス化される（ワークフロー
のステップ２に示されるように）ＥＲＧに関連付けられたＯＣＣ９１１に送信することが
できる。少なくともいくつかの実施形態では、個々のＥＲＧで仮想マシンを起動すること
を許可されたユーザ／グループ／エンティティを示すデータベース９３１は、ＶＣＳで維
持され得、コントロールプレーンデバイス９１２でのＬａｕｎｃｈＶＭ要求の処理の一部
は、データベース７３１を使用して、リクエスタが、指定されたＥＲＧで指定されたタイ
プのＶＭを起動することを許可されることを検証することを含み得る。一実施形態では、
ＯＣＣ９１１は、クライアントによって提出された要求および／またはＬａｕｎｃｈＶＭ
コマンドの内部バージョンを処理／検証することに参加することができる。
ＶＭ起動に関する処理および／または検証操作が正常に完了した後、図示の実施形態で
は、ワークフローのステップ３の一部として、コマンドの変換されたバージョンが、ＯＣ
Ｃ９１１から安全な一方向チャネル９７３を介してＥＲＧ９３４のＥＲＧネットワークマ
ネージャ（ＥＮＭ）９３５に送信される。ＯＣＣで実行される操作の一部として、いくつ
かの実施形態では、１つ以上のセキュリティトークンをコマンドで削除または置換するこ
とができ、ＨＭＡＣなどのメッセージ認証コードをコマンドに対して作成することができ
、コマンドのエントリをＯＣＣ９１１によるログで記憶することなどを行うことができる
。
は、ワークフローのステップ３の一部として、コマンドの変換されたバージョンが、ＯＣ
Ｃ９１１から安全な一方向チャネル９７３を介してＥＲＧ９３４のＥＲＧネットワークマ
ネージャ（ＥＮＭ）９３５に送信される。ＯＣＣで実行される操作の一部として、いくつ
かの実施形態では、１つ以上のセキュリティトークンをコマンドで削除または置換するこ
とができ、ＨＭＡＣなどのメッセージ認証コードをコマンドに対して作成することができ
、コマンドのエントリをＯＣＣ９１１によるログで記憶することなどを行うことができる
。
ＥＮＭ９３５は、図示の実施形態（ワークフローのステップ４）では、要求された仮想
マシンのために選択された特定のＥＶＨ９３７で、受信したコマンドをＶＣＳコントロー
ルプレーンエージェント９３５に転送することができる。いくつかの実施形態では、ＥＮ
Ｍおよび／またはエージェント９３５は、ＶＭのリクエスタが、ＥＲＧにローカルなデー
タベース９３８に示される許可されたランチャの中にあることを再検証することができる
。少なくとも１つの実施形態では、ＥＮＭおよび／またはエージェントはまた、ＯＣＣか
ら受信したコマンドを示すログエントリを記憶することができる。どの特定のＥＶＨ９３
７を使用するかに関する判定は、異なる実施形態では、いくつかのアプローチのいずれか
を使用して行うことができる。一実施形態では、クライアントは、例えば、最初のＬａｎ
ｕｃｈＶＭ要求において、指定されたＥＲＧでのＶＭに使用される特定のＥＶＨを示すこ
とができる場合がある。他の実施形態では、ＶＣＳコントロールプレーンデバイス９１２
で動作している１つ以上の配置マネージャは、要求されたＶＭを起動すべき特定のＥＶＨ
９３７を選択することができる。いくつかの実施形態では、ＯＣＣ９１１および／または
ＥＮＭ９３５は、要求されたＶＭのために特定のＥＶＨを選択することを担当し得る。Ｌ
ａｕｎｃｈＶＭコマンドがＥＶＨ９３７でＶＣＳコントロールプレーンエージェント９３
５に送信された後、要求されたタイプの新しいＶＭ９２２は、例えば、図２の文脈で以前
に考察されたものと同様の技術を使用して、図示の実施形態では、インスタンス化され得
る。様々な実施形態では、図９に示されるものと同様のメッセージパターンは、他のタイ
プの要求および対応するコマンドに使用され得、例えば、クライアントは、ＥＲＧに向け
られた対応するＶＣＳコントロールプレーン発行の終了コマンドに使用されるものとは異
なる経路を使用して、ＥＲＧでＶＭを終了させるための要求を提出することができる。い
くつかの実施形態では、図９に示されるものとは異なるワークフローを使用して、ＥＲＧ
で仮想マシンを起動することができ、および／または他のタイプのクライアント送信要求
を履行することに関与するメッセージに異なる経路を使用することができる。
マシンのために選択された特定のＥＶＨ９３７で、受信したコマンドをＶＣＳコントロー
ルプレーンエージェント９３５に転送することができる。いくつかの実施形態では、ＥＮ
Ｍおよび／またはエージェント９３５は、ＶＭのリクエスタが、ＥＲＧにローカルなデー
タベース９３８に示される許可されたランチャの中にあることを再検証することができる
。少なくとも１つの実施形態では、ＥＮＭおよび／またはエージェントはまた、ＯＣＣか
ら受信したコマンドを示すログエントリを記憶することができる。どの特定のＥＶＨ９３
７を使用するかに関する判定は、異なる実施形態では、いくつかのアプローチのいずれか
を使用して行うことができる。一実施形態では、クライアントは、例えば、最初のＬａｎ
ｕｃｈＶＭ要求において、指定されたＥＲＧでのＶＭに使用される特定のＥＶＨを示すこ
とができる場合がある。他の実施形態では、ＶＣＳコントロールプレーンデバイス９１２
で動作している１つ以上の配置マネージャは、要求されたＶＭを起動すべき特定のＥＶＨ
９３７を選択することができる。いくつかの実施形態では、ＯＣＣ９１１および／または
ＥＮＭ９３５は、要求されたＶＭのために特定のＥＶＨを選択することを担当し得る。Ｌ
ａｕｎｃｈＶＭコマンドがＥＶＨ９３７でＶＣＳコントロールプレーンエージェント９３
５に送信された後、要求されたタイプの新しいＶＭ９２２は、例えば、図２の文脈で以前
に考察されたものと同様の技術を使用して、図示の実施形態では、インスタンス化され得
る。様々な実施形態では、図９に示されるものと同様のメッセージパターンは、他のタイ
プの要求および対応するコマンドに使用され得、例えば、クライアントは、ＥＲＧに向け
られた対応するＶＣＳコントロールプレーン発行の終了コマンドに使用されるものとは異
なる経路を使用して、ＥＲＧでＶＭを終了させるための要求を提出することができる。い
くつかの実施形態では、図９に示されるものとは異なるワークフローを使用して、ＥＲＧ
で仮想マシンを起動することができ、および／または他のタイプのクライアント送信要求
を履行することに関与するメッセージに異なる経路を使用することができる。
ＥＲＧでの追加のプロバイダネットワークサービスの例示的な使用
いくつかの実施形態では、仮想化コンピューティングサービスが実装されるプロバイダ
ネットワークはまた、ＶＣＳ仮想マシンをビルディングブロックとして利用する他のより
高いレベルのネットワークアクセス可能なサービスへのアクセスを提供し得、例えば、デ
ータベースのインスタンスは、仮想マシンを使用して実装され得、ネットワークアクセス
可能なデータベースサービスのクライアントが使用するために提供され得る。様々な実施
形態では、そのようなより高いレベルのサービスはまた、例えば、サービスの特徴を実装
するためにＥＲＧ内にセットアップされたローカルＶＭを使用して、ＥＲＧで利用可能に
され得る。加えて、ＶＣＳ仮想マシンに直接依存しないプロバイダネットワークの他のサ
ービスはまた、いくつかの実施形態では、そのようなサービスが、プロバイダネットワー
クデータセンター内でセットアップされたＶＭからアクセス可能である方式と同様の様式
で、ＥＲＧでセットアップされたＶＭからアクセスされ得る。図１０は、少なくともいく
つかの実施形態による、仮想化コンピューティングサービスの拡張リソースグループでの
追加のプロバイダネットワークサービスの使用の例を例解する。
いくつかの実施形態では、仮想化コンピューティングサービスが実装されるプロバイダ
ネットワークはまた、ＶＣＳ仮想マシンをビルディングブロックとして利用する他のより
高いレベルのネットワークアクセス可能なサービスへのアクセスを提供し得、例えば、デ
ータベースのインスタンスは、仮想マシンを使用して実装され得、ネットワークアクセス
可能なデータベースサービスのクライアントが使用するために提供され得る。様々な実施
形態では、そのようなより高いレベルのサービスはまた、例えば、サービスの特徴を実装
するためにＥＲＧ内にセットアップされたローカルＶＭを使用して、ＥＲＧで利用可能に
され得る。加えて、ＶＣＳ仮想マシンに直接依存しないプロバイダネットワークの他のサ
ービスはまた、いくつかの実施形態では、そのようなサービスが、プロバイダネットワー
クデータセンター内でセットアップされたＶＭからアクセス可能である方式と同様の様式
で、ＥＲＧでセットアップされたＶＭからアクセスされ得る。図１０は、少なくともいく
つかの実施形態による、仮想化コンピューティングサービスの拡張リソースグループでの
追加のプロバイダネットワークサービスの使用の例を例解する。
図示の実施形態では、プロバイダネットワーク１００１は、少なくとも仮想化コンピュ
ーティングサービス（ＶＣＳ）（図１のＶＣＳ１１０と機能および特徴が類似している）
、ストレージサービス１０３０、およびデータベースサービス１０４２を含む。ＶＣＳの
一部分１０１０は、プロバイダネットワークデータセンターに配置されたリソースを使用
して実装され得、ＶＣＳの拡張は、１つ以上の非ＶＣＳサーバ１０２３も含む顧客データ
センター１０３２内に配置されたＥＲＧ１０３５などのプロバイダネットワークの外部の
場所にセットアップされ得る。
ーティングサービス（ＶＣＳ）（図１のＶＣＳ１１０と機能および特徴が類似している）
、ストレージサービス１０３０、およびデータベースサービス１０４２を含む。ＶＣＳの
一部分１０１０は、プロバイダネットワークデータセンターに配置されたリソースを使用
して実装され得、ＶＣＳの拡張は、１つ以上の非ＶＣＳサーバ１０２３も含む顧客データ
センター１０３２内に配置されたＥＲＧ１０３５などのプロバイダネットワークの外部の
場所にセットアップされ得る。
図１０に描写される例示的なシナリオでは、以前に考察された種類の分離仮想ネットワ
ーク（ＩＶＮ）１０１５が、ＶＣＳクライアントのために確立されている。ＩＶＮ１０１
５は、ＶＣＳのプロバイダネットワークデータセンター部分１０１０内の複数の仮想マシ
ン（ＶＭ１０１７Ａおよび１０１７Ｂなど）、および顧客データセンター１０３２に配置
されたＥＲＧ１０３５内の複数の仮想マシン（１０１８Ｊおよび１０１８Ｋなど）を含む
。ＶＭのいずれかで実行されているプログラムは、図示の実施形態では、他のプロバイダ
ネットワークサービスのリソースを利用することができる。例えば、ストレージサービス
１０３０のストレージインスタンス１０２２は、プロバイダネットワーク内のＶＭ１０１
７Ｂから、およびＥＲＧ１０３５内のＶＭ１０１８Ｋからアクセスされ得、同様に、デー
タベースサービス１０４０のデータベースインスタンス１０４２は、プロバイダネットワ
ーク内のＶＭ１０１７Ａから、およびＥＲＧ内のＶＭ１０１８Ｊからアクセスされ得る。
図示の実施形態では、ＥＲＧ１０３５内のＶＭは、他のプロバイダネットワークサービス
へのアクセスを提供され得、それは、プロバイダネットワーク内でインスタンス化された
ＶＭに提供されるアクセスと論理的に同等である。ＥＲＧ１０３５自体の中で、ＶＣＳ仮
想マシン上に構築されるサービス（すなわち、ＶＭをビルディングブロックとして使用す
るサービス）の構成および使用は、ＥＲＧの外部のリソースにアクセスする必要なく、図
示の実施形態では、ローカルに実行され得る。例えば、ＤＢサービス１０４０のデータベ
ースインスタンスがＶＣＳの仮想マシンを含む一実施形態では、新しいデータベースイン
スタンスは、ＥＲＧ ＶＭ１０１８Ｊを使用して、別のＥＲＧ ＶＭ１０１８ＫからのＤ
Ｂインスタンスの要求に応答して、ＥＲＧ内にローカルに作成され得る。したがって、図
示の実施形態では、代わってＥＲＧ１０３５がセットアップされたＶＣＳ顧客にとって、
１０１８Ｊおよび１０１８ＫなどのＥＲＧベースの仮想マシンは、プロバイダネットワー
ク内でインスタンス化される１０１７Ａおよび１０１７ＢなどのＶＭと機能的に同等であ
るように見える場合があり、ただし、ＶＣＳのコントロールプレーンコンポーネントは、
プロバイダネットワークデータセンター内に実装されており、ＥＲＧでは複製されない。
少なくともいくつかの実施形態では、万一、ＥＲＧとプロバイダネットワークデータセン
ターとの間の接続が中断された場合、ＥＲＧで既にインスタンス化されたＶＭ、およびＥ
ＲＧでセットアップされた他のサービス（上述のデータベースサービスなど）のリソース
インスタンスは、少なくとも一定期間は機能し続けることができ、そのため、クライアン
トがＥＲＧを使用するために、プロバイダネットワークデータセンターへの継続的な接続
は必要ない場合がある。
ーク（ＩＶＮ）１０１５が、ＶＣＳクライアントのために確立されている。ＩＶＮ１０１
５は、ＶＣＳのプロバイダネットワークデータセンター部分１０１０内の複数の仮想マシ
ン（ＶＭ１０１７Ａおよび１０１７Ｂなど）、および顧客データセンター１０３２に配置
されたＥＲＧ１０３５内の複数の仮想マシン（１０１８Ｊおよび１０１８Ｋなど）を含む
。ＶＭのいずれかで実行されているプログラムは、図示の実施形態では、他のプロバイダ
ネットワークサービスのリソースを利用することができる。例えば、ストレージサービス
１０３０のストレージインスタンス１０２２は、プロバイダネットワーク内のＶＭ１０１
７Ｂから、およびＥＲＧ１０３５内のＶＭ１０１８Ｋからアクセスされ得、同様に、デー
タベースサービス１０４０のデータベースインスタンス１０４２は、プロバイダネットワ
ーク内のＶＭ１０１７Ａから、およびＥＲＧ内のＶＭ１０１８Ｊからアクセスされ得る。
図示の実施形態では、ＥＲＧ１０３５内のＶＭは、他のプロバイダネットワークサービス
へのアクセスを提供され得、それは、プロバイダネットワーク内でインスタンス化された
ＶＭに提供されるアクセスと論理的に同等である。ＥＲＧ１０３５自体の中で、ＶＣＳ仮
想マシン上に構築されるサービス（すなわち、ＶＭをビルディングブロックとして使用す
るサービス）の構成および使用は、ＥＲＧの外部のリソースにアクセスする必要なく、図
示の実施形態では、ローカルに実行され得る。例えば、ＤＢサービス１０４０のデータベ
ースインスタンスがＶＣＳの仮想マシンを含む一実施形態では、新しいデータベースイン
スタンスは、ＥＲＧ ＶＭ１０１８Ｊを使用して、別のＥＲＧ ＶＭ１０１８ＫからのＤ
Ｂインスタンスの要求に応答して、ＥＲＧ内にローカルに作成され得る。したがって、図
示の実施形態では、代わってＥＲＧ１０３５がセットアップされたＶＣＳ顧客にとって、
１０１８Ｊおよび１０１８ＫなどのＥＲＧベースの仮想マシンは、プロバイダネットワー
ク内でインスタンス化される１０１７Ａおよび１０１７ＢなどのＶＭと機能的に同等であ
るように見える場合があり、ただし、ＶＣＳのコントロールプレーンコンポーネントは、
プロバイダネットワークデータセンター内に実装されており、ＥＲＧでは複製されない。
少なくともいくつかの実施形態では、万一、ＥＲＧとプロバイダネットワークデータセン
ターとの間の接続が中断された場合、ＥＲＧで既にインスタンス化されたＶＭ、およびＥ
ＲＧでセットアップされた他のサービス（上述のデータベースサービスなど）のリソース
インスタンスは、少なくとも一定期間は機能し続けることができ、そのため、クライアン
トがＥＲＧを使用するために、プロバイダネットワークデータセンターへの継続的な接続
は必要ない場合がある。
プロバイダネットワークサービス拡張の方法
図１１は、少なくともいくつかの実施形態による、拡張リソースグループを確立し、仮
想マシンを拡張リソースグループでセットアップすることを可能にするために、プロバイ
ダネットワークで実行され得る操作の態様を例解するフロー図である。図のように、要素
１１０１において、プロバイダネットワークの外部のプレミスでセットアップすることが
できる、プロバイダネットワークの仮想化コンピューティングサービスの拡張リソースグ
ループ（ＥＲＧ）カテゴリ（例えば、「小」ＥＲＧ、「大」ＥＲＧなど）のファミリの表
示は、任意選択で、例えば、ＶＣＳのプログラムインターフェースを介して提供すること
ができる。ＥＲＧは、例えば、ＶＣＳの顧客に代わって、ＶＣＳ管理計算インスタンス（
仮想マシンおよびベアメタルインスタンスなどを含む）を、インターネットにアクセス可
能な任意の場所（顧客のデータセンター、コロケーション設備、電気通信会社、エネルギ
ー会社などの組織のリモートフィールドロケーション）でセットアップして、安全に管理
することを可能にし得る。所与のＥＲＧは、例えば、少なくともいくつかの実施形態では
、１つ以上の強化されたセキュリティ仮想化ホスト（ＥＨ）などの事前構成された強化さ
れたリソースのそれぞれのセットを含み得る。
図１１は、少なくともいくつかの実施形態による、拡張リソースグループを確立し、仮
想マシンを拡張リソースグループでセットアップすることを可能にするために、プロバイ
ダネットワークで実行され得る操作の態様を例解するフロー図である。図のように、要素
１１０１において、プロバイダネットワークの外部のプレミスでセットアップすることが
できる、プロバイダネットワークの仮想化コンピューティングサービスの拡張リソースグ
ループ（ＥＲＧ）カテゴリ（例えば、「小」ＥＲＧ、「大」ＥＲＧなど）のファミリの表
示は、任意選択で、例えば、ＶＣＳのプログラムインターフェースを介して提供すること
ができる。ＥＲＧは、例えば、ＶＣＳの顧客に代わって、ＶＣＳ管理計算インスタンス（
仮想マシンおよびベアメタルインスタンスなどを含む）を、インターネットにアクセス可
能な任意の場所（顧客のデータセンター、コロケーション設備、電気通信会社、エネルギ
ー会社などの組織のリモートフィールドロケーション）でセットアップして、安全に管理
することを可能にし得る。所与のＥＲＧは、例えば、少なくともいくつかの実施形態では
、１つ以上の強化されたセキュリティ仮想化ホスト（ＥＨ）などの事前構成された強化さ
れたリソースのそれぞれのセットを含み得る。
少なくとも１つの実施形態では、ＶＣＳコントロールプレーンコマンドをプロバイダネ
ットワークデータセンターからＥＲＧに安全に送信するためのアウトバウンドコマンドコ
ミュニケータ（ＯＣＣ）インスタンスをセットアップすることができる。例えば、一実施
形態では、１つ以上のプロバイダネットワークデータセンターでＥＲＧ管理のために特別
にセットアップされた特定の分離仮想ネットワーク（ＩＶＮ）内で、クライアントによっ
て要求された特定のＥＲＧに割り当てられたアウトバウンドコマンドコミュニケータイン
スタンスＯＣＣ１を確立することができる（要素１１０４）。いくつかの実施形態では、
ＶＣＳ計算インスタンスを使用して、ＯＣＣの機能の少なくとも一部分を実装することが
できる。ＯＣＣ１は、一実施形態では、ＥＲＧのプログラム要求がＶＣＳで受信されると
き、例えば、クライアントによって示された外部場所でのＥＲＧリソースの配信／展開の
前に確立され得る。
ットワークデータセンターからＥＲＧに安全に送信するためのアウトバウンドコマンドコ
ミュニケータ（ＯＣＣ）インスタンスをセットアップすることができる。例えば、一実施
形態では、１つ以上のプロバイダネットワークデータセンターでＥＲＧ管理のために特別
にセットアップされた特定の分離仮想ネットワーク（ＩＶＮ）内で、クライアントによっ
て要求された特定のＥＲＧに割り当てられたアウトバウンドコマンドコミュニケータイン
スタンスＯＣＣ１を確立することができる（要素１１０４）。いくつかの実施形態では、
ＶＣＳ計算インスタンスを使用して、ＯＣＣの機能の少なくとも一部分を実装することが
できる。ＯＣＣ１は、一実施形態では、ＥＲＧのプログラム要求がＶＣＳで受信されると
き、例えば、クライアントによって示された外部場所でのＥＲＧリソースの配信／展開の
前に確立され得る。
ＯＣＣ１では、（ａ）プロバイダネットワークのデータセンター内のクライアントリソ
ースのいくつかのセットと（ｂ）ＥＲＧとの間の通信のために確立された安全なネットワ
ークチャネルの表示が、図示の実施形態では、取得され得る（要素１１０７）。チャネル
は、例えば、ＥＲＧのネットワークマネージャとプロバイダネットワークデータセンター
内のクライアントＩＶＮとの間にセットアップされたＶＰＮトンネル、および／またはク
ライアントのトラフィックのために指定された専用の物理リンクを介して確立された接続
を含み得る。安全なチャネルが確立された後、ＥＲＧ操作に関するプログラム要求（例え
ば、ＥＲＧで計算インスタンスを起動するための要求）は、様々な実施形態では、ＥＲＧ
がその代わりにセットアップされるクライアントによって、ＶＣＳコントロールプレーン
デバイス（例えば、プロバイダネットワークデータセンター内のサーバで動作しているＡ
ＰＩハンドラ）に送信することができる。
ースのいくつかのセットと（ｂ）ＥＲＧとの間の通信のために確立された安全なネットワ
ークチャネルの表示が、図示の実施形態では、取得され得る（要素１１０７）。チャネル
は、例えば、ＥＲＧのネットワークマネージャとプロバイダネットワークデータセンター
内のクライアントＩＶＮとの間にセットアップされたＶＰＮトンネル、および／またはク
ライアントのトラフィックのために指定された専用の物理リンクを介して確立された接続
を含み得る。安全なチャネルが確立された後、ＥＲＧ操作に関するプログラム要求（例え
ば、ＥＲＧで計算インスタンスを起動するための要求）は、様々な実施形態では、ＥＲＧ
がその代わりにセットアップされるクライアントによって、ＶＣＳコントロールプレーン
デバイス（例えば、プロバイダネットワークデータセンター内のサーバで動作しているＡ
ＰＩハンドラ）に送信することができる。
様々な実施形態によると、クライアント要求に応答してＶＣＳコントロールプレーンで
生成された仮想マシン起動コマンド（または他の管理コマンド）がＥＲＧに送信されると
いう判定が、ＯＣＣ１でなされ得る（要素１１１０）。コマンドが実行されるＥＨのアド
レスＡｄｄｒ１は、プロバイダネットワークのデータセンター内に配置された少なくとも
いくつかのホストのＶＣＳコントロールプレーンによって使用されるアドレス範囲の一部
である可能性がある。１つの例示的なシナリオでは、ＯＣＣ１は、それに関連付けられた
１つ以上の仮想ネットワークインターフェースを有し得、そのようなコマンドの表示は、
ＶＣＳコントロールプレーンに関連付けられ、ＯＣＣ１に接続された特定の仮想ネットワ
ークインターフェースＶＮＩ１を介してＯＣＣ１で取得され得る。ＯＣＣ１自体は、前に
考察されたように（例えば、ＶＮＩ１のアドレスを設定することによって）少なくともい
くつかの実施形態では、ターゲットホストＥＨのアドレスが割り当てられ得る。少なくと
もいくつかの実施形態では、ＶＣＳコントロールプレーンコマンドの生成につながったク
ライアント要求は、ＯＣＣ１とＥＲＧとの間にセットアップされた安全なネットワークチ
ャネルを含まないパスを使用して、ＶＣＳコントロールプレーンで受信され得ることに留
意されたい。少なくとも１つの実施形態では、ＶＮＩ１のセキュリティ設定は、メッセー
ジがＯＣＣ１からＶＣＳコントロールプレーンに送信されることを許可しない場合がある
。
生成された仮想マシン起動コマンド（または他の管理コマンド）がＥＲＧに送信されると
いう判定が、ＯＣＣ１でなされ得る（要素１１１０）。コマンドが実行されるＥＨのアド
レスＡｄｄｒ１は、プロバイダネットワークのデータセンター内に配置された少なくとも
いくつかのホストのＶＣＳコントロールプレーンによって使用されるアドレス範囲の一部
である可能性がある。１つの例示的なシナリオでは、ＯＣＣ１は、それに関連付けられた
１つ以上の仮想ネットワークインターフェースを有し得、そのようなコマンドの表示は、
ＶＣＳコントロールプレーンに関連付けられ、ＯＣＣ１に接続された特定の仮想ネットワ
ークインターフェースＶＮＩ１を介してＯＣＣ１で取得され得る。ＯＣＣ１自体は、前に
考察されたように（例えば、ＶＮＩ１のアドレスを設定することによって）少なくともい
くつかの実施形態では、ターゲットホストＥＨのアドレスが割り当てられ得る。少なくと
もいくつかの実施形態では、ＶＣＳコントロールプレーンコマンドの生成につながったク
ライアント要求は、ＯＣＣ１とＥＲＧとの間にセットアップされた安全なネットワークチ
ャネルを含まないパスを使用して、ＶＣＳコントロールプレーンで受信され得ることに留
意されたい。少なくとも１つの実施形態では、ＶＮＩ１のセキュリティ設定は、メッセー
ジがＯＣＣ１からＶＣＳコントロールプレーンに送信されることを許可しない場合がある
。
ＯＣＣ１は、図示の実施形態では、安全なチャネルを使用して、コマンドの変換された
バージョン（例えば、ＥＲＧでのセキュリティアーティファクトの誤用の可能性を低減す
るためにいくつかのセキュリティアーティファクトが除去／置換／再署名された）をＥＲ
Ｇに送信することができる（要素１１１３）。一実施形態では、コマンドの変換されたバ
ージョンは、例えば、図５の文脈で考察されたものと同様の１つ以上の追加の仲介者を含
むパスを介して、最初にＥＲＧのネットワークマネージャ（ＥＮＭ）に送信され得る。コ
マンドを含むメッセージをＥＮＭに配信するために使用されるアドレスは、いくつかの実
施形態では、外部プレミスにセットアップされた第１のネットワークのアドレス範囲、例
えば、ＶＣＳコントロールプレーン内で使用されるアドレスとは関係なくクライアントに
よって選択されたアドレス範囲の一部であり得る。コマンドは、ＥＮＭによってＥＨに転
送される場合がある。いくつかの実施形態では、１つ以上のアドレス変換は、コマンドを
ＥＲＧに伝達するために使用されるメッセージ（複数可）が横断するパスに沿って実行さ
れ得る。いくつかの実施形態では、ＶＣＳコントロールプレーンコマンドは、ＥＲＧ内の
ＥＮＭまたは他のリソースに送信される前に、必ずしも変換される必要はない。
バージョン（例えば、ＥＲＧでのセキュリティアーティファクトの誤用の可能性を低減す
るためにいくつかのセキュリティアーティファクトが除去／置換／再署名された）をＥＲ
Ｇに送信することができる（要素１１１３）。一実施形態では、コマンドの変換されたバ
ージョンは、例えば、図５の文脈で考察されたものと同様の１つ以上の追加の仲介者を含
むパスを介して、最初にＥＲＧのネットワークマネージャ（ＥＮＭ）に送信され得る。コ
マンドを含むメッセージをＥＮＭに配信するために使用されるアドレスは、いくつかの実
施形態では、外部プレミスにセットアップされた第１のネットワークのアドレス範囲、例
えば、ＶＣＳコントロールプレーン内で使用されるアドレスとは関係なくクライアントに
よって選択されたアドレス範囲の一部であり得る。コマンドは、ＥＮＭによってＥＨに転
送される場合がある。いくつかの実施形態では、１つ以上のアドレス変換は、コマンドを
ＥＲＧに伝達するために使用されるメッセージ（複数可）が横断するパスに沿って実行さ
れ得る。いくつかの実施形態では、ＶＣＳコントロールプレーンコマンドは、ＥＲＧ内の
ＥＮＭまたは他のリソースに送信される前に、必ずしも変換される必要はない。
ＥＲＧでは、いくつかの実施形態では、コマンドの変換されたバージョンは、ＥＨ内で
インスタンス化されたＶＣＳコントロールプレーンエージェントで取得され得る。少なく
とも１つの実施形態では、ＥＨは、外部プレミスでセットアップされた第２のネットワー
ク内でアドレスＡｄｄｒ１が割り当てられ得る。いくつかの実施形態では、ＥＮＭは、外
部プレミスでの両方のネットワーク、すなわち、クライアントによって構成されたもの、
およびＶＣＳコントロールプレーンで使用される範囲からのアドレスがホストに割り当て
られる第２のネットワークの一部であり得る。ＥＨでのエージェントは、例えば、新しい
計算インスタンスを起動することができ、既存の計算インスタンスを終了することができ
るなど、要求されたアクションをＥＶＨで実行させることができる（要素１１１６）。図
示の実施形態では、クライアントによって提出された追加の要求に関して同様のワークフ
ローを実行することができ、例えば、要素１１１０～１１１３に対応する操作は、ＥＲＧ
が操作可能である限り、様々なクライアント要求に対して繰り返され得る。クライアント
はまた、様々な実施形態では、ＥＲＧ自体の構成に関する様々な要求、例えば、図８の文
脈で考察されたように、ＥＲＧを表示、変更、または終了させるための要求をＶＣＳコン
トロールプレーンに提出することができ、ＶＣＳは、要求された操作を実行することがで
きる。
インスタンス化されたＶＣＳコントロールプレーンエージェントで取得され得る。少なく
とも１つの実施形態では、ＥＨは、外部プレミスでセットアップされた第２のネットワー
ク内でアドレスＡｄｄｒ１が割り当てられ得る。いくつかの実施形態では、ＥＮＭは、外
部プレミスでの両方のネットワーク、すなわち、クライアントによって構成されたもの、
およびＶＣＳコントロールプレーンで使用される範囲からのアドレスがホストに割り当て
られる第２のネットワークの一部であり得る。ＥＨでのエージェントは、例えば、新しい
計算インスタンスを起動することができ、既存の計算インスタンスを終了することができ
るなど、要求されたアクションをＥＶＨで実行させることができる（要素１１１６）。図
示の実施形態では、クライアントによって提出された追加の要求に関して同様のワークフ
ローを実行することができ、例えば、要素１１１０～１１１３に対応する操作は、ＥＲＧ
が操作可能である限り、様々なクライアント要求に対して繰り返され得る。クライアント
はまた、様々な実施形態では、ＥＲＧ自体の構成に関する様々な要求、例えば、図８の文
脈で考察されたように、ＥＲＧを表示、変更、または終了させるための要求をＶＣＳコン
トロールプレーンに提出することができ、ＶＣＳは、要求された操作を実行することがで
きる。
図１２は、少なくともいくつかの実施形態による、仮想化コンピューティングサービス
の拡張リソースグループで実行され得る操作の態様を例解するフロー図である。要素１２
０１に示されるように、プロバイダネットワークのＶＣＳの拡張リソースグループ（ＥＲ
Ｇ）（例えば、プリインストールされたソフトウェア／ファームウェアを有する強化され
たセキュリティサーバまたはホストの１つ以上のラックまたは他のコンテナ）は、物理的
に配信され得、ＥＲＧに提出されたプログラム要求に応答して、ある場所にセットアップ
される。機器がセットアップされる場所は、少なくともいくつかの実施形態では、顧客デ
ータセンター、コロケーション設備、または電気通信会社またはエネルギー会社などの組
織の遠隔作業場所など、プロバイダネットワーク自体のデータセンターの外部のプレミス
を含み得る。
の拡張リソースグループで実行され得る操作の態様を例解するフロー図である。要素１２
０１に示されるように、プロバイダネットワークのＶＣＳの拡張リソースグループ（ＥＲ
Ｇ）（例えば、プリインストールされたソフトウェア／ファームウェアを有する強化され
たセキュリティサーバまたはホストの１つ以上のラックまたは他のコンテナ）は、物理的
に配信され得、ＥＲＧに提出されたプログラム要求に応答して、ある場所にセットアップ
される。機器がセットアップされる場所は、少なくともいくつかの実施形態では、顧客デ
ータセンター、コロケーション設備、または電気通信会社またはエネルギー会社などの組
織の遠隔作業場所など、プロバイダネットワーク自体のデータセンターの外部のプレミス
を含み得る。
１つ以上のトリガ信号（ＥＲＧの１つ以上のデバイスでスイッチがオンになっているこ
と、および／またはＥＲＧからインターネットへの接続が有効になっているという表示と
同じくらい簡素であり得る）に応答して、少なくともＥＲＧネットワークマネージャ（Ｅ
ＮＭ）の一部分は、いくつかの実施形態では、ＥＲＧの１つ以上のリソースを使用して、
インスタンス化または開始され得る（要素１２０４）。一実施形態では、ＥＮＭの機能の
少なくとも一部分は、ハードウェアカード（例えば、ＰＣＩカード）に実装され得る。Ｅ
ＮＭは、他の実施形態では、ＥＲＧの１つ以上のコンピューティングデバイスまたはホス
トでの実行の１つ以上のプロセスまたはスレッドを含み得る。ＥＮＭは、図示の実施形態
では、ＥＲＧの他のホスト／サーバの少なくともいくつかをブートストラップするか、ま
たはさもなければ初期化することができる。少なくともいくつかの実施形態では、ＥＮＭ
は、例えば、ＶＣＳコントロールプレーンのホストネットワークアドレス範囲からブート
ストラップされているホストにアドレスを割り当てることを含む、１つ以上のＤＨＣＰ機
能を実行することができる。ＥＮＭ自体は、いくつかの実施形態では、２つのネットワー
ク、すなわち、代わりにＥＲＧが配信された顧客によってセットアップされた１つのネッ
トワーク、および計算インスタンスを確立することができるＥＲＧホストを含む第２の（
プライベート）ネットワークのメンバーとして構成することができる。
と、および／またはＥＲＧからインターネットへの接続が有効になっているという表示と
同じくらい簡素であり得る）に応答して、少なくともＥＲＧネットワークマネージャ（Ｅ
ＮＭ）の一部分は、いくつかの実施形態では、ＥＲＧの１つ以上のリソースを使用して、
インスタンス化または開始され得る（要素１２０４）。一実施形態では、ＥＮＭの機能の
少なくとも一部分は、ハードウェアカード（例えば、ＰＣＩカード）に実装され得る。Ｅ
ＮＭは、他の実施形態では、ＥＲＧの１つ以上のコンピューティングデバイスまたはホス
トでの実行の１つ以上のプロセスまたはスレッドを含み得る。ＥＮＭは、図示の実施形態
では、ＥＲＧの他のホスト／サーバの少なくともいくつかをブートストラップするか、ま
たはさもなければ初期化することができる。少なくともいくつかの実施形態では、ＥＮＭ
は、例えば、ＶＣＳコントロールプレーンのホストネットワークアドレス範囲からブート
ストラップされているホストにアドレスを割り当てることを含む、１つ以上のＤＨＣＰ機
能を実行することができる。ＥＮＭ自体は、いくつかの実施形態では、２つのネットワー
ク、すなわち、代わりにＥＲＧが配信された顧客によってセットアップされた１つのネッ
トワーク、および計算インスタンスを確立することができるＥＲＧホストを含む第２の（
プライベート）ネットワークのメンバーとして構成することができる。
安全なネットワークチャネル（例えば、ＶＰＮ接続／トンネルおよび／または専用の物
理リンクを使用する接続）は、例えば、ＥＮＭからＶＣＳコントロールプレーンにインタ
ーネット経由で提出された要求によって開始されたワークフローの結果として、様々な実
施形態では、ＥＮＭとＶＣＳの１つ以上のリソースとの間で確立／構成され得る（要素１
２０７）。少なくともいくつかの実施形態では、ＶＣＳコントロールプレーンからＥＲＧ
に管理コマンドを送信／転送するために特別にセットアップされたアウトバウンドコマン
ドコミュニケータインスタンスＯＣＣ１は、安全なチャネルを使用するためのアクセスが
認められ得る。少なくとも１つの実施形態では、前述のように、ＯＣＣ１は、ＶＣＳコン
トロールプレーンからコマンドを受信するためにのみ使用される１つのＶＮＩ、および安
全なチャネルを介してコマンド（修正される可能性のあるバージョン）をＥＲＧに送信す
るために使用することができる別のＶＮＩを含む、複数の仮想ネットワークインターフェ
ース（ＶＮＩ）が接続された仮想マシンを含み得る。
理リンクを使用する接続）は、例えば、ＥＮＭからＶＣＳコントロールプレーンにインタ
ーネット経由で提出された要求によって開始されたワークフローの結果として、様々な実
施形態では、ＥＮＭとＶＣＳの１つ以上のリソースとの間で確立／構成され得る（要素１
２０７）。少なくともいくつかの実施形態では、ＶＣＳコントロールプレーンからＥＲＧ
に管理コマンドを送信／転送するために特別にセットアップされたアウトバウンドコマン
ドコミュニケータインスタンスＯＣＣ１は、安全なチャネルを使用するためのアクセスが
認められ得る。少なくとも１つの実施形態では、前述のように、ＯＣＣ１は、ＶＣＳコン
トロールプレーンからコマンドを受信するためにのみ使用される１つのＶＮＩ、および安
全なチャネルを介してコマンド（修正される可能性のあるバージョン）をＥＲＧに送信す
るために使用することができる別のＶＮＩを含む、複数の仮想ネットワークインターフェ
ース（ＶＮＩ）が接続された仮想マシンを含み得る。
安全なチャネルが確立された後、代わりにＥＲＧがセットアップされたＶＣＳクライア
ント（および／またはＥＲＧへのアクセスが許可される他のユーザ／グループ）は、様々
な実施形態では、プログラム要求（ＥＲＧ仮想化ホストで計算インスタンスを起動するた
めの要求など）を送信することを開始し得る。ＥＲＧのＥＮＭは、図示の実施形態では、
ＯＣＣ１からコントロールプレーンコマンド（例えば、代わりにＥＲＧがセットアップさ
れるクライアントによって提出された要求に応答して、ＶＣＳコントロールプレーンで生
成された起動ＶＭコマンド）のバージョンを受信し得る（要素１２１０）。図５に示され
るものと同様のパスが、いくつかの実施形態では、１つ以上のメッセージ変換、アドレス
変換などを含むコマンドに使用され得る。少なくとも１つの実施形態では、コマンドがＥ
ＮＭによって受信されるネットワークアドレスは、上記の顧客構成ネットワークの一部で
あり得る。ＥＮＭは、ＥＲＧのホストでコントロールプレーンエージェントにコマンドを
転送し、そこでコマンドを実装することができる（例えば、ＶＭをインスタンス化するた
めのクライアント要求に応答してコマンドが生成された場合、ホストでの、クライアント
によって要求された新しいＶＭの起動をもたらす）（要素１２１３）。ホストは、様々な
実施形態では、ＥＲＧでセットアップされたプライベートネットワークの一部であり得、
第２のネットワーク内で、他のホストのためのＶＣＳコントロールプレーン内で使用され
る範囲からネットワークアドレスが割り当てられ得る。ＶＣＳコントロールプレーンで生
成された追加のコマンドが受信される場合、ＥＮＭは、それらを適切な仮想化ホストに転
送することができ、図示の実施形態では、要素１２１０および１２１３に対応する操作を
繰り返す。
ント（および／またはＥＲＧへのアクセスが許可される他のユーザ／グループ）は、様々
な実施形態では、プログラム要求（ＥＲＧ仮想化ホストで計算インスタンスを起動するた
めの要求など）を送信することを開始し得る。ＥＲＧのＥＮＭは、図示の実施形態では、
ＯＣＣ１からコントロールプレーンコマンド（例えば、代わりにＥＲＧがセットアップさ
れるクライアントによって提出された要求に応答して、ＶＣＳコントロールプレーンで生
成された起動ＶＭコマンド）のバージョンを受信し得る（要素１２１０）。図５に示され
るものと同様のパスが、いくつかの実施形態では、１つ以上のメッセージ変換、アドレス
変換などを含むコマンドに使用され得る。少なくとも１つの実施形態では、コマンドがＥ
ＮＭによって受信されるネットワークアドレスは、上記の顧客構成ネットワークの一部で
あり得る。ＥＮＭは、ＥＲＧのホストでコントロールプレーンエージェントにコマンドを
転送し、そこでコマンドを実装することができる（例えば、ＶＭをインスタンス化するた
めのクライアント要求に応答してコマンドが生成された場合、ホストでの、クライアント
によって要求された新しいＶＭの起動をもたらす）（要素１２１３）。ホストは、様々な
実施形態では、ＥＲＧでセットアップされたプライベートネットワークの一部であり得、
第２のネットワーク内で、他のホストのためのＶＣＳコントロールプレーン内で使用され
る範囲からネットワークアドレスが割り当てられ得る。ＶＣＳコントロールプレーンで生
成された追加のコマンドが受信される場合、ＥＮＭは、それらを適切な仮想化ホストに転
送することができ、図示の実施形態では、要素１２１０および１２１３に対応する操作を
繰り返す。
ＥＮＭは、いくつかの実施形態では、ＶＣＳコントロールプレーンからＥＲＧホストに
コマンドを転送することに加えて、いくつかの他の種類の機能を実行することができる。
必要に応じて、例えば、ＥＮＭはまた、パブリックからプライベートまたはプライベート
からパブリックへのアドレス変換、他のカプセル化関連操作などを実行して、ＥＲＧで起
動された計算インスタンスと、ＥＲＧが展開される外部プレミスでのデバイスとの間でト
ラフィックが流れることを可能にする（要素１２１６）。
コマンドを転送することに加えて、いくつかの他の種類の機能を実行することができる。
必要に応じて、例えば、ＥＮＭはまた、パブリックからプライベートまたはプライベート
からパブリックへのアドレス変換、他のカプセル化関連操作などを実行して、ＥＲＧで起
動された計算インスタンスと、ＥＲＧが展開される外部プレミスでのデバイスとの間でト
ラフィックが流れることを可能にする（要素１２１６）。
様々な実施形態では、図１１および／または図１２に示される操作のいくつかは、図に
示されるものとは異なる順序で実行され得るか、または順次ではなく並行して実行され得
ることに留意されたい。さらに、図１１および／または図１２に示される操作のいくつか
は、１つ以上の実装形態では、必要とされない場合がある。
示されるものとは異なる順序で実行され得るか、または順次ではなく並行して実行され得
ることに留意されたい。さらに、図１１および／または図１２に示される操作のいくつか
は、１つ以上の実装形態では、必要とされない場合がある。
ユースケース
仮想化コンピューティングサービスなどのプロバイダネットワークのネットワークアク
セス可能なサービスのデータプレーンを、プロバイダネットワークの外部のプレミスに論
理的かつ安全に拡張する上記の技術は、様々なシナリオで非常に有用であり得る。スケー
ラビリティ、可用性、信頼性、セキュリティ、手頃な価格などの特徴のためにプロバイダ
ネットワークリソース（様々な能力レベルの仮想マシンなど）を利用する多くの組織は、
選択した場所、例えば、顧客データセンター、コロケーション設備、および／または一時
的なフィールドワークサイト内で同様のリソースを利用したいと思う場合がある。場合に
よっては、そのような場所が、その場所に記憶され得る大量のアプリケーションデータへ
のアクセスのため、好まれることがあり、プロバイダネットワーククライアントは、イン
ターネットを介してプロバイダネットワーク自体のデータセンターにそのような大量のデ
ータを転送することに関連付けられたコストおよび／または遅延を回避することを好む場
合があり、可能ならば、データが顧客自身のプレミスから出ないことを確実にすることを
望む場合がある。クライアントは、インターネットへの接続が信頼性が低いか、または高
価である可能性のある遠隔地（例えば、石油掘削装置、携帯電話の塔、科学データ収集セ
ンサーアレイなどの近く）で、仮想マシン、および／または仮想マシンをビルディングブ
ロックとして使用するサービスを使用する必要がある場合があり得る。例えば、いくつか
の組織は、オフィスまたは他の物理的な場所に多数のエンジニア／設計者を有し、エンジ
ニア／設計者の超低遅延距離内で仮想マシンを使用して実行するために、レンダリングま
たは他の計算集約型操作が必要になる場合がある。インターネット接続が可能な任意の所
望の場所でローカル機器を使用して、プロバイダネットワークデータセンターで提供され
るものと同じ能力をサポートする能力により、プロバイダネットワーククライアントが効
率的かつ安全に実行することができるアプリケーションの範囲が大幅に拡大し得る。
仮想化コンピューティングサービスなどのプロバイダネットワークのネットワークアク
セス可能なサービスのデータプレーンを、プロバイダネットワークの外部のプレミスに論
理的かつ安全に拡張する上記の技術は、様々なシナリオで非常に有用であり得る。スケー
ラビリティ、可用性、信頼性、セキュリティ、手頃な価格などの特徴のためにプロバイダ
ネットワークリソース（様々な能力レベルの仮想マシンなど）を利用する多くの組織は、
選択した場所、例えば、顧客データセンター、コロケーション設備、および／または一時
的なフィールドワークサイト内で同様のリソースを利用したいと思う場合がある。場合に
よっては、そのような場所が、その場所に記憶され得る大量のアプリケーションデータへ
のアクセスのため、好まれることがあり、プロバイダネットワーククライアントは、イン
ターネットを介してプロバイダネットワーク自体のデータセンターにそのような大量のデ
ータを転送することに関連付けられたコストおよび／または遅延を回避することを好む場
合があり、可能ならば、データが顧客自身のプレミスから出ないことを確実にすることを
望む場合がある。クライアントは、インターネットへの接続が信頼性が低いか、または高
価である可能性のある遠隔地（例えば、石油掘削装置、携帯電話の塔、科学データ収集セ
ンサーアレイなどの近く）で、仮想マシン、および／または仮想マシンをビルディングブ
ロックとして使用するサービスを使用する必要がある場合があり得る。例えば、いくつか
の組織は、オフィスまたは他の物理的な場所に多数のエンジニア／設計者を有し、エンジ
ニア／設計者の超低遅延距離内で仮想マシンを使用して実行するために、レンダリングま
たは他の計算集約型操作が必要になる場合がある。インターネット接続が可能な任意の所
望の場所でローカル機器を使用して、プロバイダネットワークデータセンターで提供され
るものと同じ能力をサポートする能力により、プロバイダネットワーククライアントが効
率的かつ安全に実行することができるアプリケーションの範囲が大幅に拡大し得る。
例示的なコンピュータシステム
少なくともいくつかの実施形態では、本明細書に記載のサービス拡張技術のタイプをサ
ポート（例えば、プロバイダネットワークのデータセンターの外部の選択された場所での
仮想化されたコンピューティングサービスの拡張リソースグループのセットアップおよび
使用）するために使用されるコントロールプレーンおよびデータプレーンコンポーネント
のうちの１つ以上実装するサーバは、１つ以上のコンピュータアクセス可能なメディアを
含むか、またはそれにアクセスするように構成される汎用コンピュータシステムを含み得
る。図１３は、そのようなコンピューティングデバイス９０００を例解する。例解された
実施形態では、コンピューティングデバイス９０００は、入力／出力（Ｉ／Ｏ）インター
フェース９０３０を介してシステムメモリ９０２０（不揮発性および揮発性メモリモジュ
ールの両方を含み得る）に結合された１つ以上のプロセッサ９０１０を含む。コンピュー
ティングデバイス９０００は、Ｉ／Ｏインターフェース９０３０に結合されたネットワー
クインターフェース９０４０をさらに含む。
少なくともいくつかの実施形態では、本明細書に記載のサービス拡張技術のタイプをサ
ポート（例えば、プロバイダネットワークのデータセンターの外部の選択された場所での
仮想化されたコンピューティングサービスの拡張リソースグループのセットアップおよび
使用）するために使用されるコントロールプレーンおよびデータプレーンコンポーネント
のうちの１つ以上実装するサーバは、１つ以上のコンピュータアクセス可能なメディアを
含むか、またはそれにアクセスするように構成される汎用コンピュータシステムを含み得
る。図１３は、そのようなコンピューティングデバイス９０００を例解する。例解された
実施形態では、コンピューティングデバイス９０００は、入力／出力（Ｉ／Ｏ）インター
フェース９０３０を介してシステムメモリ９０２０（不揮発性および揮発性メモリモジュ
ールの両方を含み得る）に結合された１つ以上のプロセッサ９０１０を含む。コンピュー
ティングデバイス９０００は、Ｉ／Ｏインターフェース９０３０に結合されたネットワー
クインターフェース９０４０をさらに含む。
様々な実施形態では、コンピューティングデバイス９０００は、１つのプロセッサ９０
１０を含む単一プロセッサシステム、またはいくつかのプロセッサ９０１０（例えば、２
、４、８、または別の好適な数）を含むマルチプロセッサシステムであり得る。プロセッ
サ９０１０は、命令を実行することが可能である任意の好適なプロセッサであり得る。例
えば、様々な実施形態では、プロセッサ９０１０は、ｘ８６、ＰｏｗｅｒＰＣ、ＳＰＡＲ
Ｃ、もしくはＭＩＰＳ ＩＳＡ、または任意の他の好適なＩＳＡなどの任意の様々な命令
セットアーキテクチャ（ＩＳＡ）を実装する汎用または組み込みプロセッサであり得る。
マルチプロセッサシステムでは、プロセッサ９０１０の各々は、一般的に、必ずしもそう
ではないが同じＩＳＡを実装し得る。いくつかの実装形態では、グラフィックスプロセッ
シングユニット（ＧＰＵ）が、従来のプロセッサの代わりに、またはそれに加えて使用さ
れ得る。
１０を含む単一プロセッサシステム、またはいくつかのプロセッサ９０１０（例えば、２
、４、８、または別の好適な数）を含むマルチプロセッサシステムであり得る。プロセッ
サ９０１０は、命令を実行することが可能である任意の好適なプロセッサであり得る。例
えば、様々な実施形態では、プロセッサ９０１０は、ｘ８６、ＰｏｗｅｒＰＣ、ＳＰＡＲ
Ｃ、もしくはＭＩＰＳ ＩＳＡ、または任意の他の好適なＩＳＡなどの任意の様々な命令
セットアーキテクチャ（ＩＳＡ）を実装する汎用または組み込みプロセッサであり得る。
マルチプロセッサシステムでは、プロセッサ９０１０の各々は、一般的に、必ずしもそう
ではないが同じＩＳＡを実装し得る。いくつかの実装形態では、グラフィックスプロセッ
シングユニット（ＧＰＵ）が、従来のプロセッサの代わりに、またはそれに加えて使用さ
れ得る。
システムメモリ９０２０は、プロセッサ（複数可）９０１０によってアクセス可能な命
令およびデータを記憶するように構成され得る。少なくともいくつかの実施形態では、シ
ステムメモリ９０２０は、揮発性部分および不揮発性部分の両方を含み得、他の実施形態
では、揮発性メモリのみを使用し得る。様々な実施形態では、システムメモリ９０２０の
揮発性部分は、スタティックランダムアクセスメモリ（ＳＲＡＭ）、シンクロナスダイナ
ミックＲＡＭ、または任意の他のタイプのメモリなどの任意の好適なメモリ技術を使用し
て実装され得る。システムメモリの不揮発性部分（例えば、１つ以上のＮＶＤＩＭＭを含
み得る）の場合、いくつかの実施形態では、ＮＡＮＤフラッシュデバイスを含むフラッシ
ュベースのメモリデバイスを使用することができる。少なくともいくつかの実施形態では
、システムメモリの不揮発性部分は、スーパーキャパシタまたは他の電力貯蔵デバイス（
例えば、バッテリ）などの電源を含み得る。様々な実施形態では、メモリスタベースの抵
抗変化型アクセスメモリ（ＲｅＲＡＭ）、３次元ＮＡＮＤ技術、強誘電体ＲＡＭ、磁気抵
抗ＲＡＭ（ＭＲＡＭ）、または様々なタイプの相変化メモリ（ＰＣＭ）のいずれかを、少
なくともシステムメモリの非揮発性部分に使用し得る。例解された実施形態では、上記の
これらの方法、技術、およびデータなど、１つ以上の所望の機能を実装するプログラム命
令およびデータが、コード９０２５およびデータ９０２６としてシステムメモリ９０２０
内に記憶されて示される。
令およびデータを記憶するように構成され得る。少なくともいくつかの実施形態では、シ
ステムメモリ９０２０は、揮発性部分および不揮発性部分の両方を含み得、他の実施形態
では、揮発性メモリのみを使用し得る。様々な実施形態では、システムメモリ９０２０の
揮発性部分は、スタティックランダムアクセスメモリ（ＳＲＡＭ）、シンクロナスダイナ
ミックＲＡＭ、または任意の他のタイプのメモリなどの任意の好適なメモリ技術を使用し
て実装され得る。システムメモリの不揮発性部分（例えば、１つ以上のＮＶＤＩＭＭを含
み得る）の場合、いくつかの実施形態では、ＮＡＮＤフラッシュデバイスを含むフラッシ
ュベースのメモリデバイスを使用することができる。少なくともいくつかの実施形態では
、システムメモリの不揮発性部分は、スーパーキャパシタまたは他の電力貯蔵デバイス（
例えば、バッテリ）などの電源を含み得る。様々な実施形態では、メモリスタベースの抵
抗変化型アクセスメモリ（ＲｅＲＡＭ）、３次元ＮＡＮＤ技術、強誘電体ＲＡＭ、磁気抵
抗ＲＡＭ（ＭＲＡＭ）、または様々なタイプの相変化メモリ（ＰＣＭ）のいずれかを、少
なくともシステムメモリの非揮発性部分に使用し得る。例解された実施形態では、上記の
これらの方法、技術、およびデータなど、１つ以上の所望の機能を実装するプログラム命
令およびデータが、コード９０２５およびデータ９０２６としてシステムメモリ９０２０
内に記憶されて示される。
一実施形態では、Ｉ／Ｏインターフェース９０３０は、プロセッサ９０１０、システム
メモリ９０２０、および様々なタイプの永続および／または揮発性記憶デバイスなどの、
ネットワークインターフェース９０４０または他の周辺インターフェースを含むデバイス
内の任意の周辺デバイスの間のＩ／Ｏトラフィックを調整するように構成され得る。いく
つかの実施形態では、Ｉ／Ｏインターフェース９０３０は、１つのコンポーネント（例え
ば、システムメモリ９０２０）からのデータ信号を別のコンポーネント（例えば、プロセ
ッサ９０１０）による使用に好適なフォーマットに変換するために必要な任意のプロトコ
ル、タイミング、または他のデータ変換を実行し得る。いくつかの実施形態では、Ｉ／Ｏ
インターフェース９０３０は、例えば、周辺コンポーネント相互接続（ＰＣＩ）バス規格
またはユニバーサルシリアルバス（ＵＳＢ）規格のバリアントなど、様々なタイプの周辺
バスを通して接続されたデバイスへのサポートを含み得る。いくつかの実施形態では、Ｉ
／Ｏインターフェース９０３０の機能は、例えば、ノースブリッジおよびサウスブリッジ
などの２つ以上の別々のコンポーネントに分割され得る。また、いくつかの実施形態では
、システムメモリ９０２０へのインターフェースなど、Ｉ／Ｏインターフェース９０３０
の機能のいくつかまたは全部を、プロセッサ９０１０に直接組み込むことができる。
メモリ９０２０、および様々なタイプの永続および／または揮発性記憶デバイスなどの、
ネットワークインターフェース９０４０または他の周辺インターフェースを含むデバイス
内の任意の周辺デバイスの間のＩ／Ｏトラフィックを調整するように構成され得る。いく
つかの実施形態では、Ｉ／Ｏインターフェース９０３０は、１つのコンポーネント（例え
ば、システムメモリ９０２０）からのデータ信号を別のコンポーネント（例えば、プロセ
ッサ９０１０）による使用に好適なフォーマットに変換するために必要な任意のプロトコ
ル、タイミング、または他のデータ変換を実行し得る。いくつかの実施形態では、Ｉ／Ｏ
インターフェース９０３０は、例えば、周辺コンポーネント相互接続（ＰＣＩ）バス規格
またはユニバーサルシリアルバス（ＵＳＢ）規格のバリアントなど、様々なタイプの周辺
バスを通して接続されたデバイスへのサポートを含み得る。いくつかの実施形態では、Ｉ
／Ｏインターフェース９０３０の機能は、例えば、ノースブリッジおよびサウスブリッジ
などの２つ以上の別々のコンポーネントに分割され得る。また、いくつかの実施形態では
、システムメモリ９０２０へのインターフェースなど、Ｉ／Ｏインターフェース９０３０
の機能のいくつかまたは全部を、プロセッサ９０１０に直接組み込むことができる。
ネットワークインターフェース９０４０は、コンピューティングデバイス９０００と、
例えば図１～図１２に例解されるような他のコンピュータシステムまたはデバイスなどの
１つのネットワークまたは複数のネットワーク９０５０に接続された他のデバイス９０６
０との間でデータを交換することを可能にするように構成され得る。様々な実施形態では
、ネットワークインターフェース９０４０は、例えば、イーサネットネットワークのタイ
プなど、任意の好適な有線または無線の一般データネットワークを介した通信をサポート
することができる。さらに、ネットワークインターフェース９０４０は、アナログ音声ネ
ットワークもしくはデジタルファイバ通信ネットワークなどの電気通信／電話ネットワー
クを介した、ファイバーチャネルＳＡＮなどのストレージエリアネットワークを介した、
または任意の他の好適なタイプのネットワークおよび／もしくはプロトコルを介した通信
をサポートすることができる。
例えば図１～図１２に例解されるような他のコンピュータシステムまたはデバイスなどの
１つのネットワークまたは複数のネットワーク９０５０に接続された他のデバイス９０６
０との間でデータを交換することを可能にするように構成され得る。様々な実施形態では
、ネットワークインターフェース９０４０は、例えば、イーサネットネットワークのタイ
プなど、任意の好適な有線または無線の一般データネットワークを介した通信をサポート
することができる。さらに、ネットワークインターフェース９０４０は、アナログ音声ネ
ットワークもしくはデジタルファイバ通信ネットワークなどの電気通信／電話ネットワー
クを介した、ファイバーチャネルＳＡＮなどのストレージエリアネットワークを介した、
または任意の他の好適なタイプのネットワークおよび／もしくはプロトコルを介した通信
をサポートすることができる。
いくつかの実施形態では、システムメモリ９０２０は、図１～図１２の文脈で考察され
た方法および装置を実装するために使用されるプログラム命令およびデータの少なくとも
サブセットを記憶するように構成されたコンピュータアクセス可能媒体の一実施形態を表
すことができる。しかしながら、他の実施形態では、プログラム命令および／またはデー
タは、異なるタイプのコンピュータアクセス可能媒体上で受信、送信、または記憶されて
もよい。一般的に言えば、コンピュータアクセス可能媒体は、磁気または光学媒体などの
非一時的記憶媒体またはメモリ媒体、例えばＩ／Ｏインターフェース９０３０を介してコ
ンピューティングデバイス９０００に結合されたディスクまたはＤＶＤ／ＣＤを含み得る
。非一時的コンピュータアクセス可能記憶媒体はまた、システムメモリ９０２０または別
のタイプのメモリとしてコンピューティングデバイス９０００のいくつかの実施形態に含
まれ得る、ＲＡＭ（例えば、ＳＤＲＡＭ、ＤＤＲ ＳＤＲＡＭ、ＲＤＲＡＭ、ＳＲＡＭな
ど）、ＲＯＭなどの任意の揮発性媒体または不揮発性媒体も含み得る。いくつかの実施形
態では、複数の非一時的なコンピュータ可読記憶媒体は、１つ以上のプロセッサ上でまた
はそれらにわたって実行されると、上記の方法および技術の少なくともサブセットを実装
するプログラム命令を集合的に記憶することができる。コンピュータアクセス可能媒体は
、ネットワークインターフェース９０４０を介して実装され得るような、ネットワークお
よび／または無線リンクなどの通信媒体を介して伝達される、電気信号、電磁気信号、ま
たはデジタル信号などの伝送媒体または信号をさらに含み得る。図１３に例解されるもの
などの複数のコンピューティングデバイスの部分またはすべてを使用して、様々な実施形
態では、記載の機能を実装することができ、例えば、様々な異なるデバイスおよびサーバ
で動作するソフトウェアコンポーネントが連携して機能を提供し得る。いくつかの実施形
態では、記載の機能の部分は、汎用コンピュータシステムを使用して実装されることに加
えて、またはその代わりに、ストレージデバイス、ネットワークデバイス、または専用コ
ンピュータシステムを使用して実装され得る。本明細書で使用される際、「コンピューテ
ィングデバイス」という用語は、少なくともこれらのタイプのデバイスのすべてを指すが
、これらのタイプのデバイスに限定されるものではない。
た方法および装置を実装するために使用されるプログラム命令およびデータの少なくとも
サブセットを記憶するように構成されたコンピュータアクセス可能媒体の一実施形態を表
すことができる。しかしながら、他の実施形態では、プログラム命令および／またはデー
タは、異なるタイプのコンピュータアクセス可能媒体上で受信、送信、または記憶されて
もよい。一般的に言えば、コンピュータアクセス可能媒体は、磁気または光学媒体などの
非一時的記憶媒体またはメモリ媒体、例えばＩ／Ｏインターフェース９０３０を介してコ
ンピューティングデバイス９０００に結合されたディスクまたはＤＶＤ／ＣＤを含み得る
。非一時的コンピュータアクセス可能記憶媒体はまた、システムメモリ９０２０または別
のタイプのメモリとしてコンピューティングデバイス９０００のいくつかの実施形態に含
まれ得る、ＲＡＭ（例えば、ＳＤＲＡＭ、ＤＤＲ ＳＤＲＡＭ、ＲＤＲＡＭ、ＳＲＡＭな
ど）、ＲＯＭなどの任意の揮発性媒体または不揮発性媒体も含み得る。いくつかの実施形
態では、複数の非一時的なコンピュータ可読記憶媒体は、１つ以上のプロセッサ上でまた
はそれらにわたって実行されると、上記の方法および技術の少なくともサブセットを実装
するプログラム命令を集合的に記憶することができる。コンピュータアクセス可能媒体は
、ネットワークインターフェース９０４０を介して実装され得るような、ネットワークお
よび／または無線リンクなどの通信媒体を介して伝達される、電気信号、電磁気信号、ま
たはデジタル信号などの伝送媒体または信号をさらに含み得る。図１３に例解されるもの
などの複数のコンピューティングデバイスの部分またはすべてを使用して、様々な実施形
態では、記載の機能を実装することができ、例えば、様々な異なるデバイスおよびサーバ
で動作するソフトウェアコンポーネントが連携して機能を提供し得る。いくつかの実施形
態では、記載の機能の部分は、汎用コンピュータシステムを使用して実装されることに加
えて、またはその代わりに、ストレージデバイス、ネットワークデバイス、または専用コ
ンピュータシステムを使用して実装され得る。本明細書で使用される際、「コンピューテ
ィングデバイス」という用語は、少なくともこれらのタイプのデバイスのすべてを指すが
、これらのタイプのデバイスに限定されるものではない。
本開示の実施形態は、以下の条項に鑑みて説明され得る。
１．システムであって、
プロバイダネットワークの仮想化コンピューティングサービスの１つ以上のコンピューテ
ィングデバイスであって、プロバイダネットワークは、１つ以上のデータセンターを含み
、１つ以上のデータセンターに配置された仮想化コンピューティングサービスの仮想化ホ
ストのセットは、第１のネットワークアドレス範囲内のそれぞれのネットワークアドレス
が割り当てられ、
１つ以上のコンピューティングデバイスは、命令を含み、命令は、１つ以上のプロセッ
サ上またはそれらにわたって実行されると、１つ以上のコンピューティングデバイスに、
拡張リソースグループに関連付けられたアウトバウンドコマンドコミュニケータで仮
想マシン起動コマンドを取得することであって、アウトバウンドコミュニケータは、第１
のネットワークアドレス範囲内の第１のネットワークアドレスを有し、拡張リソースグル
ープは、１つ以上のデータセンターの外部のプレミスに配置された１つ以上の仮想化ホス
トを含み、仮想マシン起動コマンドは、第１のネットワークアドレスの表示を含む、取得
することと、
安全なネットワークチャネルを介して、拡張リソースグループに、仮想マシン起動コマ
ンドを示し、第１のネットワークアドレスを示すメッセージを送信することであって、メ
ッセージのデスティネーションアドレスは、プレミスで使用される第２のネットワークア
ドレス範囲の一部であり、ターゲット仮想化ホストは、拡張リソースグループで確立され
たプライベートネットワーク内の第１のネットワークアドレスが割り当てられ、ターゲッ
ト仮想化ホストでの仮想マシン起動コマンドの処理は、ターゲット仮想化ホストでの仮想
マシンのインスタンス化をもたらす、送信することと、を行わせる、１つ以上のコンピュ
ーティングデバイスを含む、システム。
２．安全なネットワークチャネルは、１つ以上のデータセンターと拡張リソースグルー
プとの間に確立され、安全なネットワークチャネルは、（ａ）ＶＰＮトンネル、または（
ｂ）プレミスとプロバイダネットワークとの間の専用の物理リンクのうちの１つ以上を含
む、条項１に記載のシステム。
３．１つ以上のコンピューティングデバイスは、命令をさらに含み、命令は、１つ以上
のプロセッサ上またはそれらにわたって実行されると、１つ以上のコンピューティングデ
バイスに、
拡張リソースグループを確立するための要求がプログラムインターフェースを介して提
出されていることを判定することであって、アウトバウンドコマンドコミュニケータは、
拡張リソースグループを確立するための要求に応答して確立される、判定することをさら
に行わせる、条項１～２のいずれか１つに記載のシステム。
４．１つ以上のコンピューティングデバイスは、命令をさらに含み、命令は、１つ以上
のプロセッサ上またはそれらにわたって実行されると、１つ以上のコンピューティングデ
バイスに、
安全なネットワークチャネルを確立するための要求が受信されることを判定する前に、
アウトバウンドコマンドコミュニケータをインスタンス化することをさらに行わせる、条
項１～３のいずれか１つに記載のシステム。
５．アウトバウンドコマンドコミュニケータは、別の仮想化ホスト上の仮想マシンで実
行され、他の仮想化ホストは、第１のネットワークアドレス範囲内の第２のネットワーク
アドレスが割り当てられる、条項１～４のいずれか１つに記載のシステム。
６．方法であって、
プロバイダネットワークの１つ以上のコンピューティングデバイスによって、
プロバイダネットワークのコンピューティングサービスのコントロールプレーンで、計
算インスタンスを確立するための要求を受信することと、
プロバイダネットワークの第１のアウトバウンドコマンドコミュニケータで、要求に応
答して、計算インスタンスがターゲットホストで確立されるという表示を取得することで
あって、ターゲットホストは、クライアントプレミスに配置されたプロバイダネットワー
クの第１の拡張リソースグループの一部であり、第１のネットワークアドレスは、コント
ロールプレーンでターゲットホストに関連付けられ、第１のアウトバウンドコマンドコミ
ュニケータは、少なくとも第１のネットワークアドレスが割り当てられる、取得すること
と、
第２のネットワークアドレスをデスティネーションとして示すメッセージを送信するこ
とであって、第２のネットワークアドレスは、クライアントプレミスで確立された第１の
ネットワークの一部であり、メッセージは、ターゲットホストで計算インスタンスを確立
するためのコマンドを含み、第１のネットワークアドレスは、クライアントプレミスで確
立された第２のネットワーク内のターゲットホストに割り当てられ、ターゲットホストで
のコマンドの処理は、計算インスタンスの確立をもたらす、送信することと、を実行する
ことを含む、方法。
７．計算インスタンスは、仮想マシンを含む、条項６に記載の方法。
８．プロバイダネットワークの１つ以上のコンピューティングデバイスによって、
プログラムインターフェースを介して、プロバイダネットワーク内のホストでサポート
される仮想マシンカテゴリのセットの表示を提供することであって、計算インスタンスは
、セットの特定の仮想マシンカテゴリに属する、提供することを実行することをさらに含
む、条項６～７のいずれか１つに記載の方法。
９．第１のアウトバウンドコマンドコミュニケータで取得された、計算インスタンスが
確立されるという表示は、第１のセキュリティアーティファクトを含み、方法は、プロバ
イダネットワークの１つ以上のコンピューティングデバイスによって、
第２のネットワークアドレスに送信されるメッセージに、第２のセキュリティアーティ
ファクトを含めることであって、第２のセキュリティアーティファクトは、第１のアウト
バウンドコマンドコミュニケータで生成される、含めることを実行することをさらに含む
、条項６～８に記載の方法。
１０．プロバイダネットワークの１つ以上のコンピューティングデバイスによって、
第１のアウトバウンドコマンドコミュニケータを第１の仮想ネットワークインターフェ
ースおよび第２の仮想ネットワークインターフェースにプログラムで接続することであっ
て、第１の仮想ネットワークインターフェースは、コントロールプレーンから、計算イン
スタンスが確立されるという表示を取得するために使用され、第２の仮想ネットワークイ
ンターフェースは、メッセージが第１の拡張リソースグループに送信される安全なネット
ワークチャネルにアクセスするために使用される、プログラムで接続することを実行する
ことをさらに含む、条項６～９に記載の方法。
１１．安全なネットワークチャネルは、（ａ）仮想プライベートネットワーク（ＶＰＮ
）トンネル、または（ｂ）クライアントプレミスとプロバイダネットワークとの間の専用
の物理リンクのうちの１つ以上を含む、条項１０に記載の方法。
１２．第１のアウトバウンドコマンドコミュニケータは、少なくとも部分的に仮想マシ
ンを使用して実装される、条項６～１０のいずれか１つに記載の方法。
１３．第１の拡張リソースグループは、プロバイダネットワークのコンピューティング
サービスの第１のクライアントに代わって確立され、第１のアウトバウンドコマンドコミ
ュニケータは、コンピューティングサービスの分離仮想ネットワーク内に構成され、分離
仮想ネットワークは、コンピューティングサービスの第２のクライアントに代わって確立
された第２の拡張リソースグループと通信するために確立された少なくとも第２のアウト
バウンドコマンドコミュニケータを含む、条項６～１０または１２のいずれか１つに記載
の方法。
１４．第１の拡張リソースグループは、プロバイダネットワークのコンピューティング
サービスのクライアントに代わって確立され、方法は、１つ以上のコンピューティングデ
バイスによって、
計算インスタンスに、クライアントに代わってプロバイダネットワーク内に確立された
分離仮想ネットワークのネットワークアドレス範囲からネットワークアドレスを割り当て
ることを実行することをさらに含む、条項６～１０または１２～１３のいずれか１つに記
載の方法。
１５．計算インスタンスを確立するための要求は、プロバイダネットワークのコンピュ
ーティングサービスのパブリックアプリケーションプログラミングインターフェースに関
連付けられた第１のネットワークパスを介して受信され、メッセージは、第２のネットワ
ークパスを介して第２のネットワークアドレスに送信される、条項６～１０または１２～
１４のいずれか１つに記載の方法。
１６．システムであって、
サービスプロバイダ環境の１つ以上のコンピューティングデバイス上で実行されるコン
トロールプレーンと、
サービスプロバイダ環境の第１のネットワークに結合されたアウトバウンドコマンドコ
ミュニケータであって、第１のネットワークは、ネットワークアドレスの範囲を使用し、
アウトバウンドコマンドコミュニケータは、ネットワークアドレスの範囲内の第１のネッ
トワークアドレスが割り当てられ、サービスプロバイダ環境の第１のネットワークは、計
算インスタンスをホストするように構成された複数のサーバを含む、アウトバウンドコマ
ンドコミュニケータと、を含み、
コントロールプレーンは、
計算インスタンスを起動するための要求を含む第１のメッセージを、第１のネットワ
ークアドレスに送信するように構成されており、
アウトバウンドコマンドコミュニケータは、
第１のメッセージを受信することと、
第２のネットワークアドレスが割り当てられたデバイスに第２のメッセージを送信す
ることであって、第２のメッセージは、計算インスタンスを起動するための要求の少なく
とも一部分を含み、第２のネットワークアドレスは、顧客データセンターで確立された第
２のネットワークの一部であり、デバイスは、顧客データセンター内に確立された第３の
ネットワークに結合されたターゲットサーバに、第２のメッセージを送信するように構成
されており、第３のネットワークは、ネットワークアドレスの範囲の少なくとも一部分を
使用し、ターゲットサーバは、第１のネットワークアドレスが割り当てられる、送信する
ことと、を行うように構成されている、システム。
１７．第２のメッセージは、（ａ）ＶＰＮトンネル、または（ｂ）顧客データセンター
とサービスプロバイダ環境との間の専用の物理リンクのうちの１つ以上を介して、第２の
ネットワークアドレスに送信される、条項１６に記載のシステム。
１８．計算インスタンスは、ベアメタル計算インスタンスを含む、条項１６～１７に記
載のシステム。
１９．アウトバウンドコマンドコミュニケータは、
第２のネットワークアドレスに送信される第２のメッセージに、ターゲットサーバによ
って認証され得るセキュリティオブジェクトを含めるように、さらに構成されている、条
項１６～１８のいずれか１つに記載のシステム。
２０．第２のネットワークアドレスが割り当てられたデバイスは、第２のネットワーク
および第３のネットワークの両方に結合されており、デバイスは、
第２のメッセージのデスティネーションを第１のネットワークアドレスにさせることと
、
第２のメッセージをターゲットサーバに送信することと、を行うようにさらに構成され
ている、条項１６～１９のいずれか１つに記載のシステム。
２１．システムであって、
ネットワークマネージャと、
プロバイダネットワークの仮想化コンピューティングサービスの拡張リソースグループ
の１つ以上のコンピューティングデバイスであって、拡張リソースグループは、耐タンパ
ー性ストレージデバイスおよびトラステッドプラットフォームモジュールを含む仮想化ホ
ストを少なくとも含み、仮想化ホストは、プロバイダネットワークの外部のプレミスに配
置され、プレミスで構成された第１のネットワークは、ネットワークアドレスの第１の範
囲を含み、プロバイダネットワークの１つ以上のデータセンターに配置された仮想化コン
ピューティングサービスの仮想化ホストは、ネットワークアドレスの第２の範囲からそれ
ぞれのネットワークアドレスが割り当てられる、１つ以上のコンピューティングデバイス
と、を含み、
ネットワークマネージャは、命令を含み、命令は、１つ以上のプロセッサ上またはそれ
らにわたって実行されると、ネットワークマネージャに、
安全なネットワークチャネルを介して、拡張リソースグループに関連付けられたアウト
バウンドコマンドコミュニケータから送信された、仮想マシン起動コマンドを含むメッセ
ージを取得することであって、仮想マシン起動コマンドは、仮想化されたコンピューティ
ングサービスのパブリックアプリケーションプログラミングインターフェースを介して提
出された要求に応答して生成され、ネットワークマネージャに割り当てられたメッセージ
のデスティネーションアドレスは、ネットワークアドレスの第１の範囲内にある、取得す
ることと、
仮想マシン起動コマンドをネットワークマネージャから拡張リソースグループの仮想化
ホストに送信することであって、仮想化ホストでの仮想マシン起動コマンドの処理は、仮
想化ホストでの仮想マシンのインスタンス化をもたらし、拡張リソースグループで確立さ
れたプライベートネットワーク内で、仮想化ホストは、第２の範囲のアドレスが割り当て
られる、送信することと、を行わせる、システム。
２２．ネットワークマネージャの少なくとも一部分は、（ａ）拡張リソースグループの
特定のデバイスでの電源投入信号、または（ｂ）拡張リソースグループの特定のデバイス
がインターネットにアクセスしているという表示のうちの１つ以上に応答して開始される
、条項２１に記載のシステム。
２３．ネットワークマネージャは、命令をさらに含み、命令は、１つ以上のプロセッサ
上またはそれらにわたって実行されると、ネットワークマネージャに、
仮想マシンで生成されたネットワークパケットに対して１つ以上の変換操作を実行する
ことと、
ネットワークパケットの変換されたバージョンをネットワークエンドポイントに送信す
ることであって、ネットワークエンドポイントは、（ａ）プロバイダネットワークの一部
ではなく、および（ｂ）拡張リソースグループの一部ではない、送信することと、を行わ
せる、条項２１～２２のいずれか１つに記載のシステム。
２４．ネットワークマネージャは、命令をさらに含み、命令は、１つ以上のプロセッサ
上またはそれらにわたって実行されると、ネットワークマネージャに、
仮想化ホストでブートストラップ操作を開始させる、条項２１～２３のいずれか１つに
記載のシステム。
２５．ネットワークマネージャの少なくとも一部分は、拡張リソースグループの周辺カ
ードに実装される、条項２１～２４のいずれか１つに記載のシステム。
２６．方法であって、
プロバイダネットワークの拡張リソースグループのネットワークマネージャで、拡張リ
ソースグループのホストで計算インスタンスを起動するためのコマンドを含むメッセージ
を取得することであって、ホストは、プロバイダネットワークの外部のプレミスに配置さ
れ、メッセージは、プレミスで構成された第１のネットワークの第１のアドレス範囲内の
アドレスでネットワークマネージャによって取得される、取得することと、
ネットワークマネージャからホストにコマンドを送信して、ホストに計算インスタンス
をインスタンス化させることであって、プレミスで構成された第２のネットワーク内で、
ホストは、第２のアドレス範囲内のアドレスが割り当てられ、第２のアドレス範囲の１つ
以上のアドレスは、プロバイダネットワークのコントロールプレーンによってプロバイダ
ネットワーク内のそれぞれのホストに割り当てられる、送信することと、を含む方法。
２７．
計算インスタンスをインスタンス化する前に、ホストのセキュリティモジュールを使用
して、ホストが受け入れ基準を満たしていることを確認することをさらに含む、条項２６
に記載の方法。
２８．ホストは、ストレージデバイスを含み、方法は、
計算インスタンスの状態情報の暗号化されたバージョンをストレージデバイスに記憶す
ることであって、暗号化されたバージョンの復号化は、ストレージデバイスがホストに物
理的に接続されることを必要とする、記憶することをさらに含む、条項２６～２７のいず
れか１つに記載の方法。
２９．拡張リソースグループは、計算インスタンスイメージキャッシュを含み、計算イ
ンスタンスをインスタンス化することは、
キャッシュから取得した特定の計算インスタンスイメージを利用することを含む、条項
２６～２８のいずれか１つに記載の方法。
３０．
拡張リソースグループ内の計算インスタンスの起動を要求することを許可された１つ以
上のエンティティの表示を取得することと、
計算インスタンスをインスタンス化する前に、計算インスタンスが１つ以上のエンティ
ティのうちのエンティティによって要求されたことを確認することと、をさらに含む、条
項２６～２９のいずれか１つに記載の方法。
３１．ネットワークマネージャの少なくとも一部分は、周辺インターフェースを介して
拡張リソースグループのホストに接続されたカードに実装される、条項２６～３０のいず
れか１つに記載の方法。
３２．ホストは、拡張リソースグループのラック内に組み込まれ、ネットワークマネー
ジャの少なくとも一部分は、ラック内に組み込まれていない１つ以上のデバイスに実装さ
れる、条項２６～３１のいずれか１つに記載の方法。
３３．１つ以上のトリガ信号に応答して、ネットワークマネージャをインスタンス化す
ることと、
ネットワークマネージャによって、プロバイダネットワークの少なくとも一部分と通信
するための安全なネットワークチャネルの構成を開始することと、をさらに含む、条項２
６～３２のいずれか１つに記載の方法。
３４．１つ以上のトリガ信号は、（ａ）拡張リソースグループの特定のデバイスでの電
源投入信号、または（ｂ）拡張リソースグループの特定のデバイスがインターネットにア
クセスしているという表示のうちの１つ以上を含む、条項３３に記載の方法。
３５．
ネットワークマネージャによって、ホストでブートストラップ操作を開始することをさら
に含む、条項２６～３３のいずれか１つに記載の方法。
３６．システムであって、
プロバイダネットワークの拡張リソースグループの１つ以上のコンピューティングデバ
イスであって、拡張リソースグループの少なくともホストは、プロバイダネットワークの
外部のプレミスに配置され、
１つ以上のコンピューティングデバイスは、命令を含み、命令は、１つ以上のプロセッ
サ上またはそれらにわたって実行されると、１つ以上のコンピューティングデバイスに、
拡張リソースグループのネットワークマネージャで、計算インスタンスを起動するため
のコマンドを含むメッセージを取得することであって、メッセージは、プレミスで構成さ
れた第１のネットワークの第１のアドレス範囲内のアドレスで、ネットワークマネージャ
によって取得される、取得することと、
ネットワークマネージャからホストにコマンドを送信することであって、コマンドの処
理は、ホストでの計算インスタンスのインスタンス化をもたらし、プレミスで構成された
第２のネットワーク内で、ホストは、第２のアドレス範囲内のアドレスが割り当てられ、
第２のアドレス範囲の１つ以上のアドレスは、プロバイダネットワークのコントロールプ
レーンによって、プロバイダネットワーク内のそれぞれのホストに割り当てられる、送信
することと、を行わせる、１つ以上のコンピューティングデバイスを含む、システム。
３７．１つ以上のコンピューティングデバイスは、命令をさらに含み、命令は、１つ以
上のプロセッサ上またはそれらにわたって実行されると、１つ以上のコンピューティング
デバイスに、
計算インスタンスのインスタンス化の前に、ホストのセキュリティモジュールを使用し
て、ホストが受け入れ基準を満たしていることを確認させる、条項３６に記載のシステム
。
３８．１つ以上のコンピューティングデバイスは、命令をさらに含み、命令は、１つ以
上のプロセッサ上またはそれらにわたって実行されると、１つ以上のコンピューティング
デバイスに、
計算インスタンスの状態情報の暗号化されたバージョンをストレージデバイスに記憶す
ることであって、暗号化されたバージョンの復号化は、ストレージデバイスがホストに物
理的に接続されることを必要とする、記憶することをさらに行わせる、条項３６～３７の
いずれか１つに記載のシステム。
３９．拡張リソースグループは、計算インスタンスイメージキャッシュを含み、計算イ
ンスタンスをインスタンス化することは、
キャッシュから取得した特定の計算インスタンスイメージを利用することを含む、条項
３６～３８のいずれか１つに記載のシステム。
４０．メッセージは、（ａ）プレミスをプロバイダネットワークに接続する専用の物理
リンク、または（ｂ）仮想プライベートネットワーク（ＶＰＮ）トンネルのうちの１つ以
上を介して、ネットワークマネージャで取得される、条項３６～３９のいずれか１つに記
載のシステム。
１．システムであって、
プロバイダネットワークの仮想化コンピューティングサービスの１つ以上のコンピューテ
ィングデバイスであって、プロバイダネットワークは、１つ以上のデータセンターを含み
、１つ以上のデータセンターに配置された仮想化コンピューティングサービスの仮想化ホ
ストのセットは、第１のネットワークアドレス範囲内のそれぞれのネットワークアドレス
が割り当てられ、
１つ以上のコンピューティングデバイスは、命令を含み、命令は、１つ以上のプロセッ
サ上またはそれらにわたって実行されると、１つ以上のコンピューティングデバイスに、
拡張リソースグループに関連付けられたアウトバウンドコマンドコミュニケータで仮
想マシン起動コマンドを取得することであって、アウトバウンドコミュニケータは、第１
のネットワークアドレス範囲内の第１のネットワークアドレスを有し、拡張リソースグル
ープは、１つ以上のデータセンターの外部のプレミスに配置された１つ以上の仮想化ホス
トを含み、仮想マシン起動コマンドは、第１のネットワークアドレスの表示を含む、取得
することと、
安全なネットワークチャネルを介して、拡張リソースグループに、仮想マシン起動コマ
ンドを示し、第１のネットワークアドレスを示すメッセージを送信することであって、メ
ッセージのデスティネーションアドレスは、プレミスで使用される第２のネットワークア
ドレス範囲の一部であり、ターゲット仮想化ホストは、拡張リソースグループで確立され
たプライベートネットワーク内の第１のネットワークアドレスが割り当てられ、ターゲッ
ト仮想化ホストでの仮想マシン起動コマンドの処理は、ターゲット仮想化ホストでの仮想
マシンのインスタンス化をもたらす、送信することと、を行わせる、１つ以上のコンピュ
ーティングデバイスを含む、システム。
２．安全なネットワークチャネルは、１つ以上のデータセンターと拡張リソースグルー
プとの間に確立され、安全なネットワークチャネルは、（ａ）ＶＰＮトンネル、または（
ｂ）プレミスとプロバイダネットワークとの間の専用の物理リンクのうちの１つ以上を含
む、条項１に記載のシステム。
３．１つ以上のコンピューティングデバイスは、命令をさらに含み、命令は、１つ以上
のプロセッサ上またはそれらにわたって実行されると、１つ以上のコンピューティングデ
バイスに、
拡張リソースグループを確立するための要求がプログラムインターフェースを介して提
出されていることを判定することであって、アウトバウンドコマンドコミュニケータは、
拡張リソースグループを確立するための要求に応答して確立される、判定することをさら
に行わせる、条項１～２のいずれか１つに記載のシステム。
４．１つ以上のコンピューティングデバイスは、命令をさらに含み、命令は、１つ以上
のプロセッサ上またはそれらにわたって実行されると、１つ以上のコンピューティングデ
バイスに、
安全なネットワークチャネルを確立するための要求が受信されることを判定する前に、
アウトバウンドコマンドコミュニケータをインスタンス化することをさらに行わせる、条
項１～３のいずれか１つに記載のシステム。
５．アウトバウンドコマンドコミュニケータは、別の仮想化ホスト上の仮想マシンで実
行され、他の仮想化ホストは、第１のネットワークアドレス範囲内の第２のネットワーク
アドレスが割り当てられる、条項１～４のいずれか１つに記載のシステム。
６．方法であって、
プロバイダネットワークの１つ以上のコンピューティングデバイスによって、
プロバイダネットワークのコンピューティングサービスのコントロールプレーンで、計
算インスタンスを確立するための要求を受信することと、
プロバイダネットワークの第１のアウトバウンドコマンドコミュニケータで、要求に応
答して、計算インスタンスがターゲットホストで確立されるという表示を取得することで
あって、ターゲットホストは、クライアントプレミスに配置されたプロバイダネットワー
クの第１の拡張リソースグループの一部であり、第１のネットワークアドレスは、コント
ロールプレーンでターゲットホストに関連付けられ、第１のアウトバウンドコマンドコミ
ュニケータは、少なくとも第１のネットワークアドレスが割り当てられる、取得すること
と、
第２のネットワークアドレスをデスティネーションとして示すメッセージを送信するこ
とであって、第２のネットワークアドレスは、クライアントプレミスで確立された第１の
ネットワークの一部であり、メッセージは、ターゲットホストで計算インスタンスを確立
するためのコマンドを含み、第１のネットワークアドレスは、クライアントプレミスで確
立された第２のネットワーク内のターゲットホストに割り当てられ、ターゲットホストで
のコマンドの処理は、計算インスタンスの確立をもたらす、送信することと、を実行する
ことを含む、方法。
７．計算インスタンスは、仮想マシンを含む、条項６に記載の方法。
８．プロバイダネットワークの１つ以上のコンピューティングデバイスによって、
プログラムインターフェースを介して、プロバイダネットワーク内のホストでサポート
される仮想マシンカテゴリのセットの表示を提供することであって、計算インスタンスは
、セットの特定の仮想マシンカテゴリに属する、提供することを実行することをさらに含
む、条項６～７のいずれか１つに記載の方法。
９．第１のアウトバウンドコマンドコミュニケータで取得された、計算インスタンスが
確立されるという表示は、第１のセキュリティアーティファクトを含み、方法は、プロバ
イダネットワークの１つ以上のコンピューティングデバイスによって、
第２のネットワークアドレスに送信されるメッセージに、第２のセキュリティアーティ
ファクトを含めることであって、第２のセキュリティアーティファクトは、第１のアウト
バウンドコマンドコミュニケータで生成される、含めることを実行することをさらに含む
、条項６～８に記載の方法。
１０．プロバイダネットワークの１つ以上のコンピューティングデバイスによって、
第１のアウトバウンドコマンドコミュニケータを第１の仮想ネットワークインターフェ
ースおよび第２の仮想ネットワークインターフェースにプログラムで接続することであっ
て、第１の仮想ネットワークインターフェースは、コントロールプレーンから、計算イン
スタンスが確立されるという表示を取得するために使用され、第２の仮想ネットワークイ
ンターフェースは、メッセージが第１の拡張リソースグループに送信される安全なネット
ワークチャネルにアクセスするために使用される、プログラムで接続することを実行する
ことをさらに含む、条項６～９に記載の方法。
１１．安全なネットワークチャネルは、（ａ）仮想プライベートネットワーク（ＶＰＮ
）トンネル、または（ｂ）クライアントプレミスとプロバイダネットワークとの間の専用
の物理リンクのうちの１つ以上を含む、条項１０に記載の方法。
１２．第１のアウトバウンドコマンドコミュニケータは、少なくとも部分的に仮想マシ
ンを使用して実装される、条項６～１０のいずれか１つに記載の方法。
１３．第１の拡張リソースグループは、プロバイダネットワークのコンピューティング
サービスの第１のクライアントに代わって確立され、第１のアウトバウンドコマンドコミ
ュニケータは、コンピューティングサービスの分離仮想ネットワーク内に構成され、分離
仮想ネットワークは、コンピューティングサービスの第２のクライアントに代わって確立
された第２の拡張リソースグループと通信するために確立された少なくとも第２のアウト
バウンドコマンドコミュニケータを含む、条項６～１０または１２のいずれか１つに記載
の方法。
１４．第１の拡張リソースグループは、プロバイダネットワークのコンピューティング
サービスのクライアントに代わって確立され、方法は、１つ以上のコンピューティングデ
バイスによって、
計算インスタンスに、クライアントに代わってプロバイダネットワーク内に確立された
分離仮想ネットワークのネットワークアドレス範囲からネットワークアドレスを割り当て
ることを実行することをさらに含む、条項６～１０または１２～１３のいずれか１つに記
載の方法。
１５．計算インスタンスを確立するための要求は、プロバイダネットワークのコンピュ
ーティングサービスのパブリックアプリケーションプログラミングインターフェースに関
連付けられた第１のネットワークパスを介して受信され、メッセージは、第２のネットワ
ークパスを介して第２のネットワークアドレスに送信される、条項６～１０または１２～
１４のいずれか１つに記載の方法。
１６．システムであって、
サービスプロバイダ環境の１つ以上のコンピューティングデバイス上で実行されるコン
トロールプレーンと、
サービスプロバイダ環境の第１のネットワークに結合されたアウトバウンドコマンドコ
ミュニケータであって、第１のネットワークは、ネットワークアドレスの範囲を使用し、
アウトバウンドコマンドコミュニケータは、ネットワークアドレスの範囲内の第１のネッ
トワークアドレスが割り当てられ、サービスプロバイダ環境の第１のネットワークは、計
算インスタンスをホストするように構成された複数のサーバを含む、アウトバウンドコマ
ンドコミュニケータと、を含み、
コントロールプレーンは、
計算インスタンスを起動するための要求を含む第１のメッセージを、第１のネットワ
ークアドレスに送信するように構成されており、
アウトバウンドコマンドコミュニケータは、
第１のメッセージを受信することと、
第２のネットワークアドレスが割り当てられたデバイスに第２のメッセージを送信す
ることであって、第２のメッセージは、計算インスタンスを起動するための要求の少なく
とも一部分を含み、第２のネットワークアドレスは、顧客データセンターで確立された第
２のネットワークの一部であり、デバイスは、顧客データセンター内に確立された第３の
ネットワークに結合されたターゲットサーバに、第２のメッセージを送信するように構成
されており、第３のネットワークは、ネットワークアドレスの範囲の少なくとも一部分を
使用し、ターゲットサーバは、第１のネットワークアドレスが割り当てられる、送信する
ことと、を行うように構成されている、システム。
１７．第２のメッセージは、（ａ）ＶＰＮトンネル、または（ｂ）顧客データセンター
とサービスプロバイダ環境との間の専用の物理リンクのうちの１つ以上を介して、第２の
ネットワークアドレスに送信される、条項１６に記載のシステム。
１８．計算インスタンスは、ベアメタル計算インスタンスを含む、条項１６～１７に記
載のシステム。
１９．アウトバウンドコマンドコミュニケータは、
第２のネットワークアドレスに送信される第２のメッセージに、ターゲットサーバによ
って認証され得るセキュリティオブジェクトを含めるように、さらに構成されている、条
項１６～１８のいずれか１つに記載のシステム。
２０．第２のネットワークアドレスが割り当てられたデバイスは、第２のネットワーク
および第３のネットワークの両方に結合されており、デバイスは、
第２のメッセージのデスティネーションを第１のネットワークアドレスにさせることと
、
第２のメッセージをターゲットサーバに送信することと、を行うようにさらに構成され
ている、条項１６～１９のいずれか１つに記載のシステム。
２１．システムであって、
ネットワークマネージャと、
プロバイダネットワークの仮想化コンピューティングサービスの拡張リソースグループ
の１つ以上のコンピューティングデバイスであって、拡張リソースグループは、耐タンパ
ー性ストレージデバイスおよびトラステッドプラットフォームモジュールを含む仮想化ホ
ストを少なくとも含み、仮想化ホストは、プロバイダネットワークの外部のプレミスに配
置され、プレミスで構成された第１のネットワークは、ネットワークアドレスの第１の範
囲を含み、プロバイダネットワークの１つ以上のデータセンターに配置された仮想化コン
ピューティングサービスの仮想化ホストは、ネットワークアドレスの第２の範囲からそれ
ぞれのネットワークアドレスが割り当てられる、１つ以上のコンピューティングデバイス
と、を含み、
ネットワークマネージャは、命令を含み、命令は、１つ以上のプロセッサ上またはそれ
らにわたって実行されると、ネットワークマネージャに、
安全なネットワークチャネルを介して、拡張リソースグループに関連付けられたアウト
バウンドコマンドコミュニケータから送信された、仮想マシン起動コマンドを含むメッセ
ージを取得することであって、仮想マシン起動コマンドは、仮想化されたコンピューティ
ングサービスのパブリックアプリケーションプログラミングインターフェースを介して提
出された要求に応答して生成され、ネットワークマネージャに割り当てられたメッセージ
のデスティネーションアドレスは、ネットワークアドレスの第１の範囲内にある、取得す
ることと、
仮想マシン起動コマンドをネットワークマネージャから拡張リソースグループの仮想化
ホストに送信することであって、仮想化ホストでの仮想マシン起動コマンドの処理は、仮
想化ホストでの仮想マシンのインスタンス化をもたらし、拡張リソースグループで確立さ
れたプライベートネットワーク内で、仮想化ホストは、第２の範囲のアドレスが割り当て
られる、送信することと、を行わせる、システム。
２２．ネットワークマネージャの少なくとも一部分は、（ａ）拡張リソースグループの
特定のデバイスでの電源投入信号、または（ｂ）拡張リソースグループの特定のデバイス
がインターネットにアクセスしているという表示のうちの１つ以上に応答して開始される
、条項２１に記載のシステム。
２３．ネットワークマネージャは、命令をさらに含み、命令は、１つ以上のプロセッサ
上またはそれらにわたって実行されると、ネットワークマネージャに、
仮想マシンで生成されたネットワークパケットに対して１つ以上の変換操作を実行する
ことと、
ネットワークパケットの変換されたバージョンをネットワークエンドポイントに送信す
ることであって、ネットワークエンドポイントは、（ａ）プロバイダネットワークの一部
ではなく、および（ｂ）拡張リソースグループの一部ではない、送信することと、を行わ
せる、条項２１～２２のいずれか１つに記載のシステム。
２４．ネットワークマネージャは、命令をさらに含み、命令は、１つ以上のプロセッサ
上またはそれらにわたって実行されると、ネットワークマネージャに、
仮想化ホストでブートストラップ操作を開始させる、条項２１～２３のいずれか１つに
記載のシステム。
２５．ネットワークマネージャの少なくとも一部分は、拡張リソースグループの周辺カ
ードに実装される、条項２１～２４のいずれか１つに記載のシステム。
２６．方法であって、
プロバイダネットワークの拡張リソースグループのネットワークマネージャで、拡張リ
ソースグループのホストで計算インスタンスを起動するためのコマンドを含むメッセージ
を取得することであって、ホストは、プロバイダネットワークの外部のプレミスに配置さ
れ、メッセージは、プレミスで構成された第１のネットワークの第１のアドレス範囲内の
アドレスでネットワークマネージャによって取得される、取得することと、
ネットワークマネージャからホストにコマンドを送信して、ホストに計算インスタンス
をインスタンス化させることであって、プレミスで構成された第２のネットワーク内で、
ホストは、第２のアドレス範囲内のアドレスが割り当てられ、第２のアドレス範囲の１つ
以上のアドレスは、プロバイダネットワークのコントロールプレーンによってプロバイダ
ネットワーク内のそれぞれのホストに割り当てられる、送信することと、を含む方法。
２７．
計算インスタンスをインスタンス化する前に、ホストのセキュリティモジュールを使用
して、ホストが受け入れ基準を満たしていることを確認することをさらに含む、条項２６
に記載の方法。
２８．ホストは、ストレージデバイスを含み、方法は、
計算インスタンスの状態情報の暗号化されたバージョンをストレージデバイスに記憶す
ることであって、暗号化されたバージョンの復号化は、ストレージデバイスがホストに物
理的に接続されることを必要とする、記憶することをさらに含む、条項２６～２７のいず
れか１つに記載の方法。
２９．拡張リソースグループは、計算インスタンスイメージキャッシュを含み、計算イ
ンスタンスをインスタンス化することは、
キャッシュから取得した特定の計算インスタンスイメージを利用することを含む、条項
２６～２８のいずれか１つに記載の方法。
３０．
拡張リソースグループ内の計算インスタンスの起動を要求することを許可された１つ以
上のエンティティの表示を取得することと、
計算インスタンスをインスタンス化する前に、計算インスタンスが１つ以上のエンティ
ティのうちのエンティティによって要求されたことを確認することと、をさらに含む、条
項２６～２９のいずれか１つに記載の方法。
３１．ネットワークマネージャの少なくとも一部分は、周辺インターフェースを介して
拡張リソースグループのホストに接続されたカードに実装される、条項２６～３０のいず
れか１つに記載の方法。
３２．ホストは、拡張リソースグループのラック内に組み込まれ、ネットワークマネー
ジャの少なくとも一部分は、ラック内に組み込まれていない１つ以上のデバイスに実装さ
れる、条項２６～３１のいずれか１つに記載の方法。
３３．１つ以上のトリガ信号に応答して、ネットワークマネージャをインスタンス化す
ることと、
ネットワークマネージャによって、プロバイダネットワークの少なくとも一部分と通信
するための安全なネットワークチャネルの構成を開始することと、をさらに含む、条項２
６～３２のいずれか１つに記載の方法。
３４．１つ以上のトリガ信号は、（ａ）拡張リソースグループの特定のデバイスでの電
源投入信号、または（ｂ）拡張リソースグループの特定のデバイスがインターネットにア
クセスしているという表示のうちの１つ以上を含む、条項３３に記載の方法。
３５．
ネットワークマネージャによって、ホストでブートストラップ操作を開始することをさら
に含む、条項２６～３３のいずれか１つに記載の方法。
３６．システムであって、
プロバイダネットワークの拡張リソースグループの１つ以上のコンピューティングデバ
イスであって、拡張リソースグループの少なくともホストは、プロバイダネットワークの
外部のプレミスに配置され、
１つ以上のコンピューティングデバイスは、命令を含み、命令は、１つ以上のプロセッ
サ上またはそれらにわたって実行されると、１つ以上のコンピューティングデバイスに、
拡張リソースグループのネットワークマネージャで、計算インスタンスを起動するため
のコマンドを含むメッセージを取得することであって、メッセージは、プレミスで構成さ
れた第１のネットワークの第１のアドレス範囲内のアドレスで、ネットワークマネージャ
によって取得される、取得することと、
ネットワークマネージャからホストにコマンドを送信することであって、コマンドの処
理は、ホストでの計算インスタンスのインスタンス化をもたらし、プレミスで構成された
第２のネットワーク内で、ホストは、第２のアドレス範囲内のアドレスが割り当てられ、
第２のアドレス範囲の１つ以上のアドレスは、プロバイダネットワークのコントロールプ
レーンによって、プロバイダネットワーク内のそれぞれのホストに割り当てられる、送信
することと、を行わせる、１つ以上のコンピューティングデバイスを含む、システム。
３７．１つ以上のコンピューティングデバイスは、命令をさらに含み、命令は、１つ以
上のプロセッサ上またはそれらにわたって実行されると、１つ以上のコンピューティング
デバイスに、
計算インスタンスのインスタンス化の前に、ホストのセキュリティモジュールを使用し
て、ホストが受け入れ基準を満たしていることを確認させる、条項３６に記載のシステム
。
３８．１つ以上のコンピューティングデバイスは、命令をさらに含み、命令は、１つ以
上のプロセッサ上またはそれらにわたって実行されると、１つ以上のコンピューティング
デバイスに、
計算インスタンスの状態情報の暗号化されたバージョンをストレージデバイスに記憶す
ることであって、暗号化されたバージョンの復号化は、ストレージデバイスがホストに物
理的に接続されることを必要とする、記憶することをさらに行わせる、条項３６～３７の
いずれか１つに記載のシステム。
３９．拡張リソースグループは、計算インスタンスイメージキャッシュを含み、計算イ
ンスタンスをインスタンス化することは、
キャッシュから取得した特定の計算インスタンスイメージを利用することを含む、条項
３６～３８のいずれか１つに記載のシステム。
４０．メッセージは、（ａ）プレミスをプロバイダネットワークに接続する専用の物理
リンク、または（ｂ）仮想プライベートネットワーク（ＶＰＮ）トンネルのうちの１つ以
上を介して、ネットワークマネージャで取得される、条項３６～３９のいずれか１つに記
載のシステム。
結論
様々な実施形態は、コンピュータアクセス可能媒体上で前述の説明に従って実装された
命令および／またはデータを受信、送信、または記憶することをさらに含むことができる
。一般的に言えば、コンピュータアクセス可能媒体は、磁気または光媒体、例えば、ディ
スクまたはＤＶＤ／ＣＤ－ＲＯＭ、ＲＡＭ（例えば、ＳＤＲＡＭ、ＤＤＲ、ＲＤＲＡＭ、
ＳＲＡＭなど）、ＲＯＭなどの揮発性または不揮発性媒体などのストレージ媒体またはメ
モリ媒体、ならびにネットワークおよび／または無線リンクなどの通信媒体を介して伝達
される、電気信号、電磁気信号、またはデジタル信号などの伝送媒体または信号を含むこ
とができる。
様々な実施形態は、コンピュータアクセス可能媒体上で前述の説明に従って実装された
命令および／またはデータを受信、送信、または記憶することをさらに含むことができる
。一般的に言えば、コンピュータアクセス可能媒体は、磁気または光媒体、例えば、ディ
スクまたはＤＶＤ／ＣＤ－ＲＯＭ、ＲＡＭ（例えば、ＳＤＲＡＭ、ＤＤＲ、ＲＤＲＡＭ、
ＳＲＡＭなど）、ＲＯＭなどの揮発性または不揮発性媒体などのストレージ媒体またはメ
モリ媒体、ならびにネットワークおよび／または無線リンクなどの通信媒体を介して伝達
される、電気信号、電磁気信号、またはデジタル信号などの伝送媒体または信号を含むこ
とができる。
図面に例解され、本明細書に記載されるような様々な方法は、方法の例示的な実施形態
を表す。方法は、ソフトウェア、ハードウェア、またはそれらの組み合わせで実装するこ
とができる。方法の順序は、変更されてもよく、様々な要素は、追加、並べ替え、結合、
省略、修正などされてもよい。
を表す。方法は、ソフトウェア、ハードウェア、またはそれらの組み合わせで実装するこ
とができる。方法の順序は、変更されてもよく、様々な要素は、追加、並べ替え、結合、
省略、修正などされてもよい。
本開示の利益を有する当業者に明らかであるように、様々な修正および変更がなされ得
る。そのような修正および変更をすべて包含し、したがって上記の説明を限定的な意味で
はなく例示的な意味で見なすことを意図する。
る。そのような修正および変更をすべて包含し、したがって上記の説明を限定的な意味で
はなく例示的な意味で見なすことを意図する。
Claims (15)
- システムであって、
プロバイダネットワークの仮想化コンピューティングサービスの１つ以上のコンピュー
ティングデバイスであって、前記プロバイダネットワークは、１つ以上のデータセンター
を含み、前記１つ以上のデータセンターに配置された前記仮想化コンピューティングサー
ビスの仮想化ホストのセットは、第１のネットワークアドレス範囲内のそれぞれのネット
ワークアドレスが割り当てられ、
前記１つ以上のコンピューティングデバイスは、命令を含み、前記命令は、１つ以上の
プロセッサ上またはそれらにわたって実行されると、前記１つ以上のコンピューティング
デバイスに、
拡張リソースグループに関連付けられたアウトバウンドコマンドコミュニケータで仮想
マシン起動コマンドを取得することであって、前記アウトバウンドコミュニケータは、前
記第１のネットワークアドレス範囲内の第１のネットワークアドレスを有し、前記拡張リ
ソースグループは、前記１つ以上のデータセンターの外部のプレミスに配置された１つ以
上の仮想化ホストを含み、前記仮想マシン起動コマンドは、前記第１のネットワークアド
レスの表示を含む、取得することと、
安全なネットワークチャネルを介して、前記拡張リソースグループに、前記仮想マシン
起動コマンドを示し、前記第１のネットワークアドレスを示すメッセージを送信すること
であって、前記メッセージのデスティネーションアドレスは、前記プレミスで使用されて
いる第２のネットワークアドレス範囲の一部であり、ターゲット仮想化ホストは、前記拡
張リソースグループで確立されたプライベートネットワーク内の前記第１のネットワーク
アドレスが割り当てられ、前記ターゲット仮想化ホストでの前記仮想マシン起動コマンド
の処理は、前記ターゲット仮想化ホストでの仮想マシンのインスタンス化をもたらす、送
信することと、を行わせる、１つ以上のコンピューティングデバイスを含む、システム。 - 前記安全なネットワークチャネルは、前記１つ以上のデータセンターと前記拡張リソー
スグループとの間に確立され、前記安全なネットワークチャネルは、（ａ）ＶＰＮトンネ
ル、または（ｂ）前記プレミスと前記プロバイダネットワークとの間の専用の物理リンク
のうちの１つ以上を含む、請求項１に記載のシステム。 - 前記１つ以上のコンピューティングデバイスは、命令をさらに含み、前記命令は、前記
１つ以上のプロセッサ上またはそれらにわたって実行されると、前記１つ以上のコンピュ
ーティングデバイスに、
前記拡張リソースグループを確立するための要求がプログラムインターフェースを介し
て提出されていることを判定することであって、前記アウトバウンドコマンドコミュニケ
ータは、前記拡張リソースグループを確立するための前記要求に応答して確立される、判
定することをさらに行わせる、請求項１に記載のシステム。 - 前記１つ以上のコンピューティングデバイスは、命令をさらに含み、前記命令は、前記
１つ以上のプロセッサ上またはそれらにわたって実行されると、前記１つ以上のコンピュ
ーティングデバイスに、
前記安全なネットワークチャネルを確立するための要求が受信されることを判定する前
に、前記アウトバウンドコマンドコミュニケータをインスタンス化することをさらに行わ
せる、請求項１に記載のシステム。 - 前記アウトバウンドコマンドコミュニケータは、別の仮想化ホスト上の仮想マシンで実
行され、前記他の仮想化ホストは、前記第１のネットワークアドレス範囲内の第２のネッ
トワークアドレスが割り当てられる、請求項１に記載のシステム。 - 方法であって、
プロバイダネットワークの１つ以上のコンピューティングデバイスによって、
前記プロバイダネットワークのコンピューティングサービスのコントロールプレーンで
、計算インスタンスを確立するための要求を受信することと、
前記プロバイダネットワークの第１のアウトバウンドコマンドコミュニケータで、前記
要求に応答して前記計算インスタンスがターゲットホストで確立されるという表示を取得
することであって、前記ターゲットホストは、クライアントプレミスに配置された前記プ
ロバイダネットワークの第１の拡張リソースグループの一部であり、第１のネットワーク
アドレスは、前記コントロールプレーンでの前記ターゲットホストに関連付けられ、前記
第１のアウトバウンドコマンドコミュニケータは、少なくとも前記第１のネットワークア
ドレスが割り当てられる、取得することと、
第２のネットワークアドレスをデスティネーションとして示すメッセージを送信するこ
とであって、前記第２のネットワークアドレスは、前記クライアントプレミスで確立され
た第１のネットワークの一部であり、前記メッセージは、前記ターゲットホストで前記計
算インスタンスを確立するためのコマンドを含み、前記第１のネットワークアドレスは、
前記クライアントプレミスで確立された第２のネットワーク内の前記ターゲットホストに
割り当てられ、前記ターゲットホストでの前記コマンドの処理は、前記計算インスタンス
の確立をもたらす、送信することと、を実行することを含む、方法。 - 前記第１のアウトバウンドコマンドコミュニケータで取得された、前記計算インスタン
スが確立されるという前記表示は、第１のセキュリティアーティファクトを含み、前記方
法は、前記プロバイダネットワークの前記１つ以上のコンピューティングデバイスによっ
て、
前記第２のネットワークアドレスに送信される前記メッセージに、第２のセキュリティ
アーティファクトを含めることであって、前記第２のセキュリティアーティファクトは、
前記第１のアウトバウンドコマンドコミュニケータで生成される、含めることを実行する
ことをさらに含む、請求項６に記載の方法。 - 前記プロバイダネットワークの前記１つ以上のコンピューティングデバイスによって、
前記第１のアウトバウンドコマンドコミュニケータを第１の仮想ネットワークインター
フェースおよび第２の仮想ネットワークインターフェースにプログラムで接続することで
あって、前記第１の仮想ネットワークインターフェースは、前記コントロールプレーンか
ら、前記第１の計算インスタンスが確立されるという前記表示を取得するために使用され
、前記第２の仮想ネットワークインターフェースは、前記メッセージが前記第１の拡張リ
ソースグループに送信される安全なネットワークチャネルにアクセスするために使用され
る、プログラムで接続することを実行することをさらに含む、請求項６に記載の方法。 - 前記第１の拡張リソースグループは、前記プロバイダネットワークのコンピューティン
グサービスの第１のクライアントに代わって確立され、前記アウトバウンドコマンドコミ
ュニケータは、前記コンピューティングサービスの第１の分離仮想ネットワーク内に構成
され、前記第１の分離仮想ネットワークは、前記コンピューティングサービスの第２のク
ライアントに代わって確立された第２の拡張リソースグループと通信するために確立され
た少なくとも第２のアウトバウンドコマンドコミュニケータを含む、請求項６に記載の方
法。 - 前記第１の拡張リソースグループは、前記プロバイダネットワークのコンピューティン
グサービスのクライアントに代わって確立され、前記方法は、前記１つ以上のコンピュー
ティングデバイスによって、
前記計算インスタンスに、前記クライアントに代わって前記プロバイダネットワーク内
に確立された分離仮想ネットワークのネットワークアドレス範囲からネットワークアドレ
スを割り当てることを実行することをさらに含む、請求項６に記載の方法。 - 前記計算インスタンスを確立するための前記要求は、前記プロバイダネットワークのコ
ンピューティングサービスのパブリックアプリケーションプログラミングインターフェー
スに関連付けられた第１のネットワークパスを介して受信され、前記メッセージは、第２
のネットワークパスを介して、前記第２のネットワークアドレスに送信される、請求項６
に記載の方法。 - システムであって、
サービスプロバイダ環境の１つ以上のコンピューティングデバイス上で実行されるコン
トロールプレーンと、
前記サービスプロバイダ環境の第１のネットワークに結合されたアウトバウンドコマン
ドコミュニケータであって、前記第１のネットワークは、ネットワークアドレスの範囲を
使用し、前記アウトバウンドコマンドコミュニケータは、ネットワークアドレスの前記範
囲内の第１のネットワークアドレスが割り当てられ、前記サービスプロバイダ環境の前記
第１のネットワークは、計算インスタンスをホストするように構成された複数のサーバを
含む、アウトバウンドコマンドコミュニケータと、を含み、
前記コントロールプレーンは、
計算インスタンスを起動するための要求を含む第１のメッセージを、前記第１のネッ
トワークアドレスに送信するように構成されており、
前記アウトバウンドコマンドコミュニケータは、
前記第１のメッセージを受信することと、
第２のネットワークアドレスが割り当てられたデバイスに第２のメッセージを送信す
ることであって、前記第２のメッセージは、前記計算インスタンスを起動するための前記
要求の少なくとも一部分を含み、前記第２のネットワークアドレスは、顧客データセンタ
ーで確立された第２のネットワークの一部であり、前記デバイスは、前記顧客データセン
ター内に確立された第３のネットワークに結合されたターゲットサーバに、前記第２のメ
ッセージを送信するように構成されており、前記第３のネットワークは、ネットワークア
ドレスの前記範囲の少なくとも一部分を使用し、前記ターゲットサーバは、前記第１のネ
ットワークアドレスが割り当てられる、送信することと、を行うように構成されている、
システム。 - 前記計算インスタンスは、ベアメタル計算インスタンスを含む、請求項１２に記載のシ
ステム。 - 前記アウトバウンドコマンドコミュニケータは、
前記第２のネットワークアドレスに送信される前記第２のメッセージに、前記ターゲッ
トサーバによって認証され得るセキュリティオブジェクトを含めるように、さらに構成さ
れている、請求項１２に記載のシステム。 - 前記第２のネットワークアドレスが割り当てられた前記デバイスは、前記第２のネット
ワークおよび前記第３のネットワークの両方に結合されており、前記デバイスは、
前記第２のメッセージのデスティネーションを前記第１のネットワークアドレスにさせ
ることと、
前記第２のメッセージを前記ターゲットサーバに送信することと、を行うようにさらに構
成されている、請求項１２に記載のシステム。
Applications Claiming Priority (6)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| US16/196,736 US10833949B2 (en) | 2018-11-20 | 2018-11-20 | Extension resource groups of provider network services |
| US16/196,723 US20200159555A1 (en) | 2018-11-20 | 2018-11-20 | Provider network service extensions |
| US16/196,723 | 2018-11-20 | ||
| US16/196,736 | 2018-11-20 | ||
| PCT/US2019/062243 WO2020106740A1 (en) | 2018-11-20 | 2019-11-19 | Provider network service extensions |
| JP2021526284A JP7212158B2 (ja) | 2018-11-20 | 2019-11-19 | プロバイダネットワークサービス拡張 |
Related Parent Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2021526284A Division JP7212158B2 (ja) | 2018-11-20 | 2019-11-19 | プロバイダネットワークサービス拡張 |
Publications (1)
| Publication Number | Publication Date |
|---|---|
| JP2023040221A true JP2023040221A (ja) | 2023-03-22 |
Family
ID=68835383
Family Applications (2)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2021526284A Active JP7212158B2 (ja) | 2018-11-20 | 2019-11-19 | プロバイダネットワークサービス拡張 |
| JP2023002875A Pending JP2023040221A (ja) | 2018-11-20 | 2023-01-12 | プロバイダネットワークサービス拡張 |
Family Applications Before (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2021526284A Active JP7212158B2 (ja) | 2018-11-20 | 2019-11-19 | プロバイダネットワークサービス拡張 |
Country Status (5)
| Country | Link |
|---|---|
| EP (1) | EP3884628A1 (ja) |
| JP (2) | JP7212158B2 (ja) |
| KR (1) | KR102441860B1 (ja) |
| CN (2) | CN115185699A (ja) |
| WO (1) | WO2020106740A1 (ja) |
Family Cites Families (9)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| DE10164304B4 (de) * | 2001-12-28 | 2004-05-13 | Wacker Construction Equipment Ag | Kabelrolle mit Frequenzumformereinrichtung |
| US8532108B2 (en) * | 2009-09-30 | 2013-09-10 | Alcatel Lucent | Layer 2 seamless site extension of enterprises in cloud computing |
| US9331938B2 (en) * | 2012-04-13 | 2016-05-03 | Nicira, Inc. | Extension of logical networks across layer 3 virtual private networks |
| SG11201505650QA (en) * | 2013-01-22 | 2015-08-28 | Amazon Tech Inc | Instance host configuration |
| US9553809B2 (en) * | 2013-04-16 | 2017-01-24 | Amazon Technologies, Inc. | Asymmetric packet flow in a distributed load balancer |
| US9686121B2 (en) * | 2013-09-23 | 2017-06-20 | Amazon Technologies, Inc. | Client-premise resource control via provider-defined interfaces |
| US9485323B1 (en) * | 2013-09-23 | 2016-11-01 | Amazon Technologies, Inc. | Managing pooled client-premise resources via provider-defined interfaces |
| US9424067B2 (en) * | 2014-12-11 | 2016-08-23 | Amazon Technologies, Inc. | Managing virtual machine instances utilizing an offload device |
| US10037221B2 (en) * | 2015-12-28 | 2018-07-31 | Amazon Technologies, Inc. | Management of virtual desktop instance pools |
-
2019
- 2019-11-19 WO PCT/US2019/062243 patent/WO2020106740A1/en unknown
- 2019-11-19 KR KR1020217014592A patent/KR102441860B1/ko active IP Right Grant
- 2019-11-19 CN CN202210996225.1A patent/CN115185699A/zh active Pending
- 2019-11-19 JP JP2021526284A patent/JP7212158B2/ja active Active
- 2019-11-19 CN CN201980075042.2A patent/CN113039757B/zh active Active
- 2019-11-19 EP EP19817550.7A patent/EP3884628A1/en active Pending
-
2023
- 2023-01-12 JP JP2023002875A patent/JP2023040221A/ja active Pending
Also Published As
| Publication number | Publication date |
|---|---|
| WO2020106740A1 (en) | 2020-05-28 |
| KR102441860B1 (ko) | 2022-09-08 |
| KR20210072816A (ko) | 2021-06-17 |
| CN115185699A (zh) | 2022-10-14 |
| CN113039757B (zh) | 2022-08-30 |
| JP7212158B2 (ja) | 2023-01-24 |
| JP2022507398A (ja) | 2022-01-18 |
| EP3884628A1 (en) | 2021-09-29 |
| CN113039757A (zh) | 2021-06-25 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| US11469964B2 (en) | Extension resource groups of provider network services | |
| US11500670B2 (en) | Computing service with configurable virtualization control levels and accelerated launches | |
| US11088944B2 (en) | Serverless packet processing service with isolated virtual network integration | |
| US10785029B2 (en) | Systems and methods for pairing on-premise clusters to clouds using identity service providers | |
| US11372802B2 (en) | Virtual RDMA switching for containerized applications | |
| JP6771650B2 (ja) | クラウドコンピューティングシステムにおいて仮想マシンが物理サーバにアクセスするための方法、装置、およびシステム | |
| US20200159555A1 (en) | Provider network service extensions | |
| JP6333967B2 (ja) | クラウドコンピューティング環境における分散ロック管理 | |
| US20190392150A1 (en) | Network-accessible computing service for micro virtual machines | |
| US11563799B2 (en) | Peripheral device enabling virtualized computing service extensions | |
| US11188374B2 (en) | Data mobility for immobile storage services | |
| US11520530B2 (en) | Peripheral device for configuring compute instances at client-selected servers | |
| US11296981B2 (en) | Serverless packet processing service with configurable exception paths | |
| CN114365087A (zh) | 用于在客户端选择的服务器上配置计算实例的外围设备 | |
| JP7212158B2 (ja) | プロバイダネットワークサービス拡張 | |
| US10848418B1 (en) | Packet processing service extensions at remote premises | |
| US11824943B1 (en) | Managed connectivity between cloud service edge locations used for latency-sensitive distributed applications | |
| US11573719B2 (en) | PMEM cache RDMA security | |
| US20230418650A1 (en) | System and method for sharing secret with an agent running in a virtual computing instance |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| A521 | Request for written amendment filed |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20230120 |
|
| A621 | Written request for application examination |
Free format text: JAPANESE INTERMEDIATE CODE: A621 Effective date: 20230120 |
|
| A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20240312 |
|
| A521 | Request for written amendment filed |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20240611 |