JP2023514826A - コンピューティング環境内での安全な鍵交換 - Google Patents

Abstract

コンピュータ実装方法が、応答ノード上の応答チャネルから、開始ノード上の開始チャネルで認証応答メッセージを受信して、安全な通信を確立することを含み、ローカル鍵マネージャ（ＬＫＭ）での受信が開始ノード上で実行される。開始ノードおよび応答ノードのセキュリティ・アソシエーションに基づいて状態チェックが実行される。認証応答メッセージの妥当性確認が実行される。選択された暗号化アルゴリズムの識別子が、認証応答メッセージから抽出される。開始チャネルは、状態チェックの成功、妥当性確認の成功、および選択された暗号化アルゴリズムに少なくとも部分的に基づいて、応答チャネルと通信することを要求する。

Description

本発明は、一般に、コンピューティング環境内でセキュリティを提供することに関連しており、特に、コンピューティング環境のノードによる安全な鍵交換（ＳＫＥ：secure key exchange）認証に関連している。

暗号化は、複数のエンドポイントまたはリンクを介して結合されたソース・ノードおよびターゲット・ノードなどの２つの実体間で送信されているデータまたは他の情報あるいはその両方のためのデータ・セキュリティを提供する。暗号化の態様を標準化するために、さまざまな種類の通信プロトコルに関して、さまざまな規格が提供されている。例えば、ファイバ・チャネルに関して、ＦＣ－ＳＰ－２およびＦＣ－ＬＳ－３規格が提供されている。

一例として、ファイバ・チャネル・リンクを暗号化するために使用されるＦＣ－ＳＰ－２規格は、２つのエンドポイント間の相互認証のためのプロトコル、および２つのエンドポイント間の通信セッションにおいて使用される暗号鍵をネゴシエートするためのプロトコルを含んでいる。この規格は、関与している関係者を認証するためのさまざまなメカニズム、および鍵材料が提供または開発されるメカニズムのサポートを提供する。この規格は、複数の認証インフラストラクチャに関して定義され、認証インフラストラクチャの例としては、秘密に基づくもの、証明書に基づくもの、パスワードに基づくもの、および事前共有鍵に基づくものが挙げられる。

一般に、証明書に基づくインフラストラクチャは、エンドポイントの身元が信頼できる認証局によって証明されるため、強力な形態の安全な認証を提供すると考えられている。ＦＣ－ＳＰ－２規格は、複数の証明された実体が公開鍵と秘密鍵の対を使用でき、証明書が、それらの実体を互いに認証するために公開鍵と秘密鍵の対に結び付ける、メカニズムを定義する。この認証は、ファイバ・チャネル認証プロトコル（ＦＣＡＰ：Fibre Channel Authentication protocol）を使用することによって２つの実体間で直接発生し、この認証プロトコルの設計は、例えば、インターネット鍵交換（ＩＫＥ：Internet Key Exchange）プロトコルにおいて定義されているように、証明書および署名を使用する認証に基づく。

しかし、証明書のインラインの交換および妥当性確認は、計算負荷が高く、多大な時間を必要とする。ＦＣＡＰプロトコルは、実体間のすべてのファイバ・チャネル・リンク上でも実行される。ＦＣＡＰプロトコルは、完全性またはセキュリティあるいはその両方が保護されるリンク上で、クライアントのトラフィック・フローの前に実行されることになるため、リンクの初期化時間、したがって、起動してクライアントのワークロードの実行を開始するのにかかる時間に悪影響を与える（時間を長くする）可能性がある。ＩＫＥプロトコルは、中央処理装置によるかなり負荷の高い数学的計算も伴い、多数のストレージ・コントローラのポートに接続された動的スイッチング・ファブリック（dynamic switched fabric）内に多数のファイバ・チャネルの物理ポートを含む大規模な企業のサーバを含んでいる環境では、これらの計算の乗数効果およびＩＫＥプロトコルを完了するための大量のフレーム交換も、システムの初期化に悪影響を与え、重い正常動作において制約を引き起こす。

本発明の実施形態は、コンピューティング環境の応答ノードによる安全な鍵交換（ＳＫＥ）認証応答に基づくホスト・バス・アダプタ（ＨＢＡ：host bus adapter）のチャネルの鍵の読み込みを対象にする。本発明の１つの態様によれば、コンピュータ実装方法が、応答ノード上の応答チャネルから、開始ノード上の開始チャネルで認証応答メッセージを受信して、安全な通信を確立することを含み、ローカル鍵マネージャ（ＬＫＭ：local key manager）での受信が開始ノード上で実行される。開始ノードおよび応答ノードのセキュリティ・アソシエーションに基づいて状態チェックが実行される。認証応答メッセージの妥当性確認が実行される。選択された暗号化アルゴリズムの識別子が、認証応答メッセージから抽出される。開始チャネルは、状態チェックの成功、妥当性確認の成功、および選択された暗号化アルゴリズムに少なくとも部分的に基づいて、応答チャネルと通信することを要求する。

本発明の他の態様は、コンピュータ・システムおよびコンピュータ・プログラム製品において、前述した方法の特徴を実装する。

他の技術的特徴および利点が、本発明の技術によって実現される。本発明の実施形態および態様は、本明細書において詳細に説明され、特許請求される対象の一部と見なされる。さらに良く理解するために、詳細な説明および図面を参照されたい。

本明細書に記載された専有権の詳細は、本明細書の最後にある特許請求の範囲において具体的に指摘され、明確に特許請求される。本発明の各実施形態の前述および他の特徴と長所は、添付の図面と併せて行われる以下の詳細な説明から明らかになる。

本発明の１つまたは複数の実施形態を組み込んで使用するためのコンピューティング環境の例を示す図である。 本発明の１つまたは複数の実施形態を組み込むため、または使用するため、あるいはその両方のための図１のコンピューティング環境のホストの例を示す図である。 本発明の１つまたは複数の実施形態を組み込むため、または使用するため、あるいはその両方のための図１のコンピューティング環境のホストの別の例を示す図である。 本発明の１つまたは複数の実施形態に従って、ローカル鍵マネージャ（ＬＫＭ）の初期化およびホスト・バス・アダプタ（ＨＢＡ）のセキュリティ登録のためのコンピューティング環境のブロック図を示す図である。 本発明の１つまたは複数の実施形態に従って、ＬＫＭの初期化およびＨＢＡのセキュリティ登録のためのプロセスを示す図である。 本発明の１つまたは複数の実施形態に従って、安全な鍵交換（ＳＫＥ）初期化要求を生成するためのコンピューティング環境のブロック図を示す図である。 本発明の１つまたは複数の実施形態に従って、ＳＫＥセキュリティ・アソシエーション（ＳＡ：security association）初期化要求を生成するためのプロセスを示す図である。 本発明の１つまたは複数の実施形態に従って、ターゲット・チャネルのノードでのＳＫＥ ＳＡの処理およびメッセージの生成のためのコンピューティング環境のブロック図を示す図である。 本発明の１つまたは複数の実施形態に従って、ターゲット・チャネルのノードでのＳＫＥ ＳＡの初期化処理およびメッセージの生成のためのプロセスを示す図である。 本発明の１つまたは複数の実施形態に従って、ＳＫＥ ＳＡ初期化応答に基づいてＳＫＥ認証要求を生成するためのコンピューティング環境のブロック図を示す図である。 本発明の１つまたは複数の実施形態に従って、ＳＫＥ ＳＡ初期化応答に基づいてＳＫＥ認証要求を生成するためのプロセスを示す図である。 本発明の１つまたは複数の実施形態に従って、ＳＫＥ認証メッセージの処理のためのコンピューティング環境のブロック図を示す図である。 本発明の１つまたは複数の他の実施形態に従って、ＳＫＥ認証メッセージの処理のためのプロセスを示す図である。 本発明の１つまたは複数の実施形態に従って、ＳＫＥ認証に基づくＨＢＡの鍵読み込みのためのコンピューティング環境のブロック図を示す図である。 本発明の１つまたは複数の実施形態に従って、ＳＫＥ認証に基づくＨＢＡの鍵読み込みのためのプロセスを示す図である。 本発明の１つまたは複数の実施形態に従って、ＳＫＥを使用して安全なデータ転送を提供する、コンピューティング環境内で鍵を更新するためのプロセスを示す図である。 本発明の１つまたは複数の態様を組み込んで使用するためのコンピューティング環境の別の例を示す図である。 図１６Ａのメモリのさらなる詳細を示す図である。 本発明の１つまたは複数の実施形態に従って、クラウド・コンピューティング環境を示す図である。 本発明の１つまたは複数の実施形態に従って、抽象モデル・レイヤを示す図である。

本発明の１つまたは複数の実施形態に従って、データがデータ・センター内を、またはデータ・センターを横断して移動されているときに、データのセキュリティを強化するために、データを交換している身元の認証およびデータの暗号化が使用される。１つの例では、Ｉｎｔｅｒｎａｔｉｏｎａｌ Ｂｕｓｉｎｅｓｓ Ｍａｃｈｉｎｅｓ Ｃｏｒｐｏｒａｔｉｏｎ（ニューヨーク州アーモンク）によって提供されるＦｉｂｒｅ Ｃｈａｎｎｅｌ Ｅｎｄｐｏｉｎｔ Ｓｅｃｕｒｉｔｙ（ＦＣＥＳ）が、ファイバ・チャネルおよびファイバ接続（ＦＩＣＯＮ：Fibre Channel and Fibre Connection）プロトコルを使用してデータを送信中に暗号化するために使用される。ＦＣＥＳは、データを送信中に暗号化する信頼できるストレージ・ネットワークを作成することによって、許可されたホストとストレージ・デバイスとの間でファイバ・チャネル・リンク上を流れているすべでのデータの完全性および機密性を保証するのに役立つ。本発明の１つまたは複数の実施形態では、安全な鍵交換（ＳＫＥ）メッセージングを使用して、ホストとストレージ・デバイスとの間で、セキュリティ・レベルがネゴシエートされて確立される。このプロセスの一部では、エンドポイント（すなわち、ホストおよびストレージ・デバイス）によって正しいレベルのセキュリティが使用されることを保証するために、ＳＫＥ要求メッセージおよびＳＫＥ応答メッセージが生成されて処理される。

本明細書において使用されるとき、「安全な鍵交換」または「ＳＫＥ」という用語は、ネットワーク内の２つのエンドポイントまたはノード間のセキュリティ・アソシエーション（ＳＡ）を作成するために使用されるプロトコルのことを指す。本明細書に記載されたＳＫＥプロトコルの１つまたは複数の実施形態は、インターネット鍵交換（ＩＫＥ）プロトコルの上に構築される。本発明の１つまたは複数の実施形態に従って、各ノード上で実行されているローカル鍵マネージャ（ＬＫＭ）がセキュリティ鍵ライフサイクル・マネージャに接続し、セキュリティ鍵ライフサイクル・マネージャは、関与する関係者のみがアクセス権限を有する共有秘密メッセージ（shared secret messages）を作成するために使用される。本発明の１つまたは複数の実施形態に従って、ＬＫＭは、セキュリティ鍵ライフサイクル・マネージャのクライアントとして機能し、鍵を作成するための鍵管理相互運用プロトコル（ＫＭＩＰ：key management interoperability protocol）要求を発行する。ＳＫＥプロトコルの１つまたは複数の実施形態は、４つのメッセージの交換を含む。「ＳＫＥ ＳＡ初期化（Init）要求」（本明細書では、「ＳＫＥ ＳＡ初期化（initialization）要求」とも呼ばれる）および「ＳＫＥ ＳＡ初期化（Init）応答」（本明細書では、「ＳＫＥ ＳＡ初期化（initialization）応答」とも呼ばれる）と呼ばれる最初の２つのメッセージは、暗号鍵のセットを導き出すために使用されるパラメータを交換する暗号化されていないメッセージである。「ＳＫＥ認証（Auth）要求」（本明細書では、「ＳＫＥ認証（authentication）要求」とも呼ばれる）および「ＳＫＥ認証（Auth）応答」（本明細書では、「ＳＫＥ認証（authentication）応答」とも呼ばれる）と呼ばれる最後の２つのメッセージは、各エンドポイントまたはノードの信頼性を確立し、エンドポイント間の通信を保護するためにどの暗号化アルゴリズムが使用されるかを識別する暗号化されたメッセージである。ファイバ・チャネル環境では、例えば、ＦＣ－ＳＰ－２規格によって定義された形式でのＡＵＴＨ拡張リンク・サービス要求（ＡＵＴＨ ＥＬＳ：AUTH extended link service requests）内で、ＳＫＥメッセージがカプセル化されることができる。

本発明の１つまたは複数の実施形態は、コンピューティング環境内のコンピューティング・ノード間（または同じコンピューティング・ノード上のチャネル間）でセキュア・データが送信されることを可能にするために、ＳＫＥメッセージの処理のためのＬＫＭへのホスト・バス・アダプタ（ＨＢＡ）のセキュリティ登録を提供する。本発明の１つまたは複数の実施形態に従って、コンピューティング・ノード上でＨＢＡの秘密セキュリティ鍵を管理するＬＫＭが、コンピューティング・ノード上で初期化される。ＬＫＭは、コンピューティング・ノードから遠隔の外部鍵マネージャ（ＥＫＭ：external key manager）との接続を確立する。加えて、ＬＫＭを実行しているコンピューティング・ノード上のＨＢＡは、ＬＫＭに登録される。ＬＫＭへのＨＢＡの登録は、ＨＢＡのチャネルが、コンピューティング・ノードに送信されたか、またはコンピューティング・ノードから受信されたＳＫＥメッセージを適切に処理できるようにする。ＬＫＭの初期化が完了した後に、ＬＫＭは、ＨＢＡのセキュリティ機能を認識する。ＬＫＭは、この情報を使用して、コンピューティング環境内のコンピューティング・ノードと他のコンピューティング・ノードとの間のデータ要求のセキュリティを構築して管理する。

本発明の１つまたは複数の実施形態は、コンピューティング環境内のチャネル間のデータ転送にセキュリティをもたらすために、ＳＫＥ ＳＡ初期化（initialization）要求またはＳＫＥ ＳＡ初期化（Init）要求を生成する。ＳＫＥ ＳＡ初期化要求処理は、ＳＫＥ ＳＡ初期化要求を生成しているコンピューティング・ノード上で、ＬＫＭの初期化およびＨＢＡの登録の後に実行される。ＳＫＥ ＳＡ初期化要求は、コンピューティング・ノードのＨＢＡ（本明細書では、「チャネル」とも呼ばれる）から、別のチャネルと通信する（例えば、データを送信する）ための要求を受信することに応答して、コンピューティング・ノード上で実行されているＬＫＭによって生成されることができる。ノード上で実行されている２つの異なるパーティション間でデータを安全に渡す能力を提供するために、他のチャネルが同じノード上に位置することができる。異なるコンピューティング・ノード上に位置するチャネル間でデータを安全に渡す能力を提供するために、他のチャネルが異なるコンピューティング・ノード上に位置することもできる。

別のチャネルと通信するための要求を開始しているチャネルを含んでいるノードは、本明細書では、「開始」ノードまたは「ソース」ノードと呼ばれ、要求のターゲットである他のチャネルを含んでいるノードは、本明細書では、「応答」ノードまたは「ターゲット」ノードと呼ばれる。ソース・ノード上のＬＫＭは、ターゲット・ノード上のチャネルと通信するための要求をＨＢＡまたはチャネルから受信したときに、ＳＡを作成し、その後、要求しているチャネルを介して、要求メッセージ（本明細書では、「ＳＫＥ ＳＡ初期化要求メッセージ」と呼ばれる）をターゲット・ノード上のチャネルに送信する。本発明の１つまたは複数の実施形態に従って、ＳＫＥ ＳＡ初期化要求メッセージは、ソース・ノードとターゲット・ノードとの間の安全な通信を提供する共有鍵を識別する（ＥＫＭによって提供された）共有鍵識別子を含む。システム・ポリシーに基づいて共有鍵の存続期間を制限するために、ＬＫＭによって共有鍵再生成タイマ（shared key rekey timer）が設定されることができる。共有鍵に加えて、ＳＫＥ ＳＡ初期化要求メッセージは、ノード間で送信されたペイロード（例えば、データ）を暗号化および復号するための鍵を導き出すために使用される、ノンスおよび開始チャネルのセキュリティ・パラメータ・インデックス（ＳＰＩ：security parameter index）を含む。

本明細書において使用されるとき、「ノード」または「コンピューティング・ノード」という用語は、ホスト・コンピュータおよびストレージ・アレイのことを指すが、これらに限定されない。ストレージ・アレイは、例えば、制御ユニットまたはストレージ・コントローラあるいはその両方によって実装されることができる。ホスト・コンピュータまたはホストは、例えば、プロセッサ、コンピュータ・システム、または中央電子回路複合体（ＣＥＣ：central electronics complex）、あるいはその組み合わせによって実装されることができる。本明細書において使用されるとき、「コンピューティング環境」という用語は、本明細書に記載された処理のすべてまたはサブセットを実行するために一緒に結合されたノードのグループのことを指す。ＦＩＣＯＮチャネル間（ＣＴＣ：channel to channel）接続の場合、ポートまたはチャネルの各々は、開始側および応答側の両方であることができる。ＦＩＣＯＮチャネルとは対照的に、ホスト上のファイバ・チャネル・プロトコル（ＦＣＰ：Fibre Channel protocol）ストレージ・チャネルは、常にソースまたは開始側であり、制御ユニットまたはストレージ・アレイは、常にターゲットまたは応答側である。

本発明の１つまたは複数の実施形態は、ターゲット・チャネルのノードでのＳＫＥ ＳＡの初期化処理およびメッセージの生成を提供する。ターゲット・チャネルがソース・チャネルからＳＫＥ ＳＡ初期化要求を受信することに応答して、ＳＫＥ ＳＡ初期化応答メッセージの処理および生成が実行される。応答ノードまたはターゲット・ノードでの処理は、ＬＫＭが、（必要に応じて）共有鍵を取得することと、ＬＫＭによって生成されたノンスおよびターゲット・チャネルを表すＳＰＩを、ＳＫＥ ＳＡ初期化応答メッセージを介して開始ノード上のチャネルに送信することとを含む。ＳＫＥ ＳＡ初期化要求メッセージおよびＳＫＥ ＳＡ初期化応答メッセージに関連付けられた処理が完了したときに、開始ノードおよび応答ノードは、ノード間で暗号化されたメッセージを送信するため、および受信したメッセージを復号するために必要な共有鍵情報を有している。

本発明の１つまたは複数の実施形態は、ソース・チャネルのノードでのＳＫＥ ＳＡ初期化応答メッセージの処理およびＳＫＥ認証要求メッセージの生成を提供する。ソース・チャネルがターゲット・チャネルからＳＫＥ ＳＡ初期化応答を受信することに応答して、ＳＫＥ認証要求メッセージの処理および生成が実行される。開始ノードまたはソース・ノードでの処理は、ＳＫＥ ＳＡ初期化応答メッセージの検証およびＳＡに基づくデバイス・グループのチェックを含むことができる。ソース・ノードのＬＫＭは、セッション鍵を生成し、ＳＫＥ認証要求メッセージを構築することができる。ソース・ノードは、ＳＫＥ認証要求メッセージをターゲット・ノードに送信する。

本発明の１つまたは複数の実施形態は、ターゲット・チャネルのノードでのＳＫＥ認証要求メッセージの処理およびＳＫＥ認証応答メッセージの生成を提供する。ターゲット・チャネルがソース・チャネルからＳＫＥ認証要求を受信することに応答して、ＳＫＥ認証応答メッセージの処理および生成が実行される。応答ノードまたはターゲット・ノードでの処理は、ＳＫＥ認証要求メッセージの検証およびＳＡに基づくデバイス・グループのチェックを含むことができる。ターゲット・ノードのＬＫＭは、ＳＫＥ認証要求メッセージを復号し、開始側の署名を検証し、応答側の署名を生成し、暗号化アルゴリズムを選択し、ＳＫＥ認証応答メッセージを構築することができる。ターゲット・ノードは、ＳＫＥ認証応答メッセージをソース・ノードに送信する。

本発明の１つまたは複数の実施形態は、ターゲット・チャネルのノードでのＳＫＥ認証応答メッセージの処理およびＨＢＡの鍵読み込みを提供する。ソース・チャネルがターゲット・チャネルからＳＫＥ認証応答を受信することに応答して、処理およびＨＢＡの鍵読み込みが実行される。開始ノードまたはソース・ノードでの処理は、ＳＫＥ認証応答メッセージの検証およびＳＡに基づくデバイス・グループのチェックを含むことができる。ソース・ノードのＬＫＭは、ＳＫＥ認証応答メッセージを復号し、応答側の署名を検証し、暗号化アルゴリズムを選択し、ターゲット・チャネルとの将来の通信において選択された暗号化アルゴリズムを使用してサポートするためにソース・チャネルで１つまたは複数のＨＢＡ鍵を読み込むことができる。認証が実行されたことをソース・ノードのＬＫＭに通知したときに、システム・ポリシーに基づいてセッション鍵再生成プロセスを開始するために、セッション鍵再生成タイマが開始されることができる。

本発明の１つまたは複数の実施形態は、共有鍵およびセッション鍵を更新または再生成するためのプロセスを提供する。前述したように、共有鍵が使用されることができる時間の量を制限するために、共有鍵再生成タイマが設定されることができる。共有鍵再生成タイマの期限が切れたときに、新しい共有鍵を生成するためのプロセスが開始される。また、前述したように、セッション鍵が使用されることができる時間の量を制限するために、セッション鍵再生成タイマが設定されることができる。セッション鍵再生成タイマの期限が切れたときに、ソース・ノードとターゲット・ノードとの間の通信において使用するための暗号鍵の新しいセットの導出を開始するために、ＳＫＥ ＳＡ初期化要求メッセージが生成される。

ＥＫＭによって、複数のリンクを共有している信頼できるノード間で、認証が、リンクごとの代わりに１回実行される。ＥＫＭの信頼できる実体として共有鍵（例えば、対称鍵）を受信するための、および共有鍵を使用して実体間でメッセージを暗号化／復号するための、両方の実体の能力が、相互認証を立証する。さらに、実体を接続するすべてのリンク（または選択されたリンク）にわたる安全な通信が、ＥＫＭへの追加のアクセスなしで提供される。代わりに、前に取得された共有鍵が、他のリンクまたはチャネル上の信頼できるノード間の通信において使用され、ＥＫＭを介した信頼できるノードの再認証を必要とせずに、リンクの認証を提供するノードを結合する。

本明細書に記載された１つまたは複数の実施形態に従って、信頼できるノードが、ＨＢＡ間のセキュリティを管理するために、信頼できるノード上でＬＫＭの実行を開始およびアクティブ化する。ＨＢＡは、ＨＢＡ上のチャネルがＳＫＥメッセージを処理できるようにするために、セキュリティ機能およびアドレス情報をＬＫＭに登録する。ＳＫＥ ＳＡの初期化を要求している信頼できるノード（開始ノード）とターゲット・ノードまたは応答ノードとの間で、その信頼できるノード上のＨＢＡチャネルに基づいて、ＳＫＥ ＳＡ初期化要求メッセージが構築されることができる。ＬＫＭは、ＳＫＥ ＳＡ初期化要求を構築するために使用される２つの信頼できるノードのために、デバイス・グループの鍵識別子の識別化またはアクティブ化を管理する。開始ノード上のＬＫＭおよび応答ノード上のＬＫＭは、ＳＫＥ ＳＡ初期化要求メッセージおよびＳＫＥ ＳＡ初期化応答メッセージを介して情報を交換する。交換された情報は、それぞれのノード上のチャネル間で送信されたデータの暗号化および復号に使用される。ＳＫＥ ＳＡ初期化要求メッセージおよびＳＫＥ ＳＡ初期化応答メッセージは、暗号化されていない形式で交換されることができ、ＳＫＥ認証要求メッセージおよびＳＫＥ認証応答メッセージは、暗号化された形式で送信されることができる。ＳＫＥ認証要求メッセージは、ノード間で交換されたデータに使用される暗号化アルゴリズムの提案リストを含むことができ、ＳＫＥ認証応答メッセージは、どの提案が応答ノードによって選択された暗号化アルゴリズムとして受け入れられたかを確認することができる。応答ノードは、選択された暗号化アルゴリズムを使用してデータ転送をいつ開始するべきかを開始ノードに通知することもでき、この暗号化アルゴリズムは、ＳＫＥ認証要求メッセージおよびＳＫＥ認証応答メッセージを送信するために使用される暗号化とは異なる暗号化形式であることができる。共有鍵およびセッション鍵の両方が、プログラム可能なタイマの期限切れに基づいて、更新されるか、または再生成されることができる。

本発明の１つまたは複数の態様を含むためのコンピューティング環境１００の１つの例が、図１を参照して説明される。図１に示された例では、コンピューティング環境は、ストレージ・エリア・ネットワーク（ＳＡＮ：storage area network）１０８を介して一緒に結合された、少なくとも１つのノード（例えば、ホスト１０２）および少なくとも１つの他のノード（例えば、ストレージ・アレイ１１０）を含んでいる。ホスト１０２は、中央処理装置およびメモリを含み、Ｉｎｔｅｒｎａｔｉｏｎａｌ Ｂｕｓｉｎｅｓｓ Ｍａｃｈｉｎｅｓ Ｃｏｒｐｏｒａｔｉｏｎによって提供されるＳｙｓｔｅｍ ｚなどの、ただしこれに限定されないシステムによって実装されることができる。図１に示されたホスト１０２は、ＬＫＭ１０４および１つまたは複数のＨＢＡ１０６を含んでいる。本発明の１つまたは複数の実施形態に従って、ＬＫＭ１０４は、ＨＢＡ１０６の秘密鍵を管理するコンポーネントであり、ＨＢＡ１０６の各々が、データを送信および暗号化する入出力（Ｉ／Ｏ：input/output）インターフェイスを提供する。ストレージ・アレイ１１０は、例えば、ストレージ・デバイス、直接アクセス・ストレージ・デバイス（ＤＡＳＤ：direct access storage device）、またはテープ・デバイスによって実装されることができる。利用されることができるストレージ・デバイスの１つの例としては、Ｉｎｔｅｒｎａｔｉｏｎａｌ Ｂｕｓｉｎｅｓｓ Ｍａｃｈｉｎｅｓ Ｃｏｒｐｏｒａｔｉｏｎによって提供されるＤＳ８０００が挙げられる。図１に示されたストレージ・アレイ１１０は、ＬＫＭ１１２および１つまたは複数のＨＢＡ１１４を含んでいる。ＳＡＮ１０８は、ＦＩＣＯＮならびにファイバ・チャネル・スイッチおよびダイレクタのネットワークによって実装されることができる。ＦＩＣＯＮは、ファイバ・チャネル技術を利用しているホストとストレージ・デバイスとの間の、データ用の既知の通信経路である。

図１に示されたコンピューティング環境は、サービス・ネットワーク１３０を介して１つまたは複数のホスト１０２に結合された１つまたは複数のサポート要素（ＳＥ：support element）１２８も含んでいる。ＳＥ１２８は、プライベート・ネットワーク１２６を介してサーバ・ハードウェア管理コンソール（ＨＭＣ：hardware management console）１２４にも結合される。各サブシステムまたはホスト１０２と通信するためにＳＥ１２８によって使用される内部サーバ・ネットワーク内のサービス・ネットワーク１３０は、例えば、イーサネット（Ｒ）・ネットワークまたは他の既知のローカル・エリア・ネットワーク（ＬＡＮ：local area network）によって実装されることができる。図１に示された実施形態では、プライベート・ネットワーク１２６は、ＳＥ１２８とサーバＨＭＣ１２４の間の通信に使用され、例えば、イーサネット（Ｒ）・ネットワークまたは他の既知のＬＡＮによって実装されることができる。各サーバＨＭＣ１２４は、複数のホスト１０２を管理し、図１に示されているように、例えばＳＥ証明書を使用して、プライベート・ネットワーク１２６を経由してＳＥ１２８と通信することができる。ＳＥ１２８は、サーバによって実装されることができ、サービス・ネットワーク１３０を介してホスト１０２内のＬＫＭ１０４と通信するハードウェアを管理するために使用される。実施形態では、各ＳＥ１２８は、１つのホスト１０２に対応し、ＳＥ証明書を使用して対応するホスト１０２を初期化するための命令を含む。内部ネットワークを介してＳＥ１２８にホスト１０２と通信させることによって、追加の保護レベルをＳＥ証明書にもたらす。本発明の１つまたは複数の実施形態に従って、ホスト１０２は、本明細書に記載されたセキュリティ機能を利用するように顧客によって構成される。

図１に示されているように、サーバＨＭＣ１２４は、ネットワーク１２０を介してストレージ・アレイＨＭＣ１１８およびＥＫＭ１２２に結合される。各ストレージ・アレイＨＭＣ１１８は、複数のストレージ・アレイ１１０を管理するために使用されることができ、図１に示されているように、サービス・ネットワーク１１６を介してストレージ・アレイ１１０と通信することができる。サービス・ネットワーク１１６は、例えば、イーサネット（Ｒ）・ネットワークまたは他の既知のＬＡＮによって実装されることができる。ネットワーク１２０は、広域ネットワーク（ＷＡＮ：wide area network）およびＬＡＮなどの、ただしこれらに限定されない、従来技術において知られた任意のネットワークによって実装されることができる。本発明の１つまたは複数の実施形態に従って、ＥＫＭ１２２は、共有鍵をホスト１０２およびストレージ・アレイ１１０に提供するために使用される。ＥＫＭ１２２は、例えば、セットアップでホスト１０２、ストレージ・アレイ１１０、およびＥＫＭ１２２にインストールされ認証局（図示されていない）によって署名されている証明書を介して、ホスト１０２およびストレージ・アレイ１１０によって信頼される。

図１に示されたホスト１０２内のＨＢＡ１０６およびストレージ・アレイ１１０内のＨＢＡ１１４は、ＳＡＮ１０８を介して通信する。ＳＡＮ１０８は、光トランシーバを使用してデータが交換される光ケーブルを介して接続された、ファイバ・チャネル・ノードを含むことができる。物理リンクの仕様は、例えば、ＦＣ－ＰＩによって定義されることができる。ファイバ・チャネル通信は、ＦＣ－ＳＢ２によって定義されたＦＩＣＯＮ、およびＦＣＰ－４によって定義されたＳＣＳＩ用のファイバ・チャネル・プロトコルなどの、複数のより高いレベルのプロトコルをカプセル化することができる。

図１のブロック図は、コンピューティング環境１００が図１に示されたコンポーネントのすべてを含むことになるということを示すよう意図されていないということが、理解されるべきである。むしろ、コンピューティング環境１００は、図１に示された一部のコンポーネントが結合されるか、または１つまたは複数のコンポーネントによって実行される機能が、異なるコンポーネントまたは複数のコンポーネントによって実行されて、任意の適切なより少ないコンポーネントまたは図１に示されていない追加のコンポーネントを含むことができる。さらに、コンピューティング環境１００に関して本明細書に記載された実施形態は、任意の適切な論理を使用して実装されてよく、論理は、本明細書で参照されるとき、さまざまな実施形態において、任意の適切なハードウェア（例えば、特に、プロセッサ、組み込みコントローラ、または特定用途向け集積回路）、ソフトウェア（例えば、特に、アプリケーション）、ファームウェア、またはハードウェア、ソフトウェア、およびファームウェアの任意の適切な組み合わせを含むことができる。

本明細書では、プロトコル、通信経路、および技術の例が提供されるが、１つまたは複数の態様は、他の種類のプロトコル、通信経路、または技術、あるいはその組み合わせに適用可能である。さらに、他の種類のノードが、本発明の１つまたは複数の態様を採用してよい。さらにノードは、より少ないコンポーネント、より多いコンポーネント、または異なるコンポーネント、あるいはその組み合わせを含んでよい。さらに、互いに結合された２つノードは、両方とも同じ種類のノードまたは異なる種類のノードであってよい。例として、本明細書の例において説明されるように、両方のノードがホストであるか、両方のノードがストレージ・アレイであるか、または１つのノードがホストであり、別のノードがストレージ・アレイである。多くの変形形態が可能である。

一例として、ホストは、プロセッサ、コンピュータ・システム、中央電子回路複合体（ＣＥＣ）などのコンピューティング・デバイスであってよい。本発明の１つまたは複数の態様を含むか、または使用するか、あるいはその両方であってよいコンピュータ・システムの一例が、図２Ａに示されている。

図２Ａを参照すると、１つの例では、コンピュータ・システム２００が汎用コンピューティング・デバイスの形態で示されている。コンピュータ・システム２００は、コンピュータ・システムの一部であるか、またはコンピュータ・システムに結合されるか、あるいはその両方であるが、図２Ａに明示的に示されていない、ＬＫＭ１０４、ＨＢＡ１０６、ＬＫＭ１１２、ＨＢＡ１１４、サービス・ネットワーク１３０、およびサービス・ネットワーク１１６を含むが、これらに限定されない、図１に示されたコンポーネントに加えて、または図１に示されたコンポーネントを含む、あるいはその両方である、複数のコンポーネントを含むか、または複数のコンポーネントに結合されるか、あるいはその両方である。１つの例では、コンピュータ・システム２００は、１つまたは複数のバスまたは他の接続２０８あるいはその両方を介して互いに結合された、１つまたは複数のプロセッサまたはプロセッシング・ユニット２０２（例えば、中央処理装置（ＣＰＵ：central processing units）、処理回路）、メモリ２０４（例えば、システム・メモリ、メイン・メモリ、主記憶装置、中央記憶装置、またはストレージとも呼ばれる）、および１つまたは複数の入出力（Ｉ／Ｏ）インターフェイス２０６を含むが、これらに限定されない。

引き続き図２Ａを参照すると、バス２０８は、メモリ・バスまたはメモリ・コントローラ、ペリフェラル・バス、アクセラレーテッド・グラフィックス・ポート、および任意のさまざまなバス・アーキテクチャを使用するプロセッサまたはローカル・バスを含む、任意の複数の種類のバス構造のうちの１つまたは複数を表す。例として、そのようなアーキテクチャは、ＩＳＡ（Industry Standard Architecture）、ＭＣＡ（Micro Channel Architecture）、ＥＩＳＡ（Enhanced ISA）、ＶＥＳＡ（Video Electronics Standards Association）ローカル・バス、およびＰＣＩ（Peripheral Component Interconnects）を含むが、これらに限定されない。

メモリ２０４は、例えば、プロセッサ２０２のローカル・キャッシュ２１２に結合されてよい、共有キャッシュ２１０などのキャッシュを含んでよい。さらに、メモリ２０４は、１つまたは複数のプログラムまたはアプリケーション２１４、オペレーティング・システム２１６、および１つまたは複数のコンピュータ可読プログラム命令２１８を含んでよい。コンピュータ可読プログラム命令２１８は、本発明の態様の実施形態の機能を実行するように構成されてよい。

コンピュータ・システム２００は、例えばＩ／Ｏインターフェイス２０６を介して、１つまたは複数の外部デバイス２２０、１つまたは複数のネットワーク・インターフェイス２２２、または１つまたは複数のデータ・ストレージ・デバイス２２４、あるいはその組み合わせと通信してもよい。外部デバイスの例としては、ユーザ端末、テープ・ドライブ、ポインティング・デバイス、ディスプレイなどが挙げられる。ネットワーク・インターフェイス２２２は、コンピュータ・システム２００が、ローカル・エリア・ネットワーク（ＬＡＮ）、一般的な広域ネットワーク（ＷＡＮ）、またはパブリック・ネットワーク（例えば、インターネット）、あるいはその組み合わせなどの１つまたは複数のネットワークと通信できるようにし、他のコンピューティング・デバイスまたはシステムとの通信を実現する。

データ・ストレージ・デバイス２２４は、１つまたは複数のプログラム２２６、１つまたは複数のコンピュータ可読プログラム命令２２８、またはデータ、あるいはその組み合わせなどを格納してよい。コンピュータ可読プログラム命令は、本発明の態様の実施形態の機能を実行するように構成されてよい。

コンピュータ・システム２００は、取り外し可能／取り外し不可、揮発性／不揮発性のコンピュータ・システム・ストレージ媒体を含むか、またはそのようなにコンピュータ・システム・ストレージ媒体に結合されるか、あるいはその両方であってよい。例えば、コンピュータ・システム２００は、取り外し不可、不揮発性の磁気媒体（通常は、「ハード・ドライブ」と呼ばれる）、取り外し可能、不揮発性の磁気ディスク（例えば、「フロッピー（Ｒ）・ディスク」）に対する読み取りと書き込みを行うための磁気ディスク・ドライブ、あるいはＣＤ－ＲＯＭ、ＤＶＤ－ＲＯＭ、または他の光媒体などの取り外し可能、不揮発性の光ディスクに対する読み取りと書き込みを行うための光ディスク・ドライブ、あるいはその組み合わせを含むか、またはこれらに結合されるか、あるいはその両方であってよい。他のハードウェア・コンポーネントまたはソフトウェア・コンポーネントあるいはその両方を、コンピュータ・システム２００と併用できるということが理解されるべきである。その例として、マイクロコード、デバイス・ドライバ、冗長プロセッシング・ユニット、外部ディスク・ドライブ・アレイ、ＲＡＩＤシステム、テープ・ドライブ、およびデータ・アーカイブ・ストレージ・システムなどが挙げられるが、これらに限定されない。

コンピュータ・システム２００は、他の多数の汎用または専用のコンピューティング・システム環境または構成で運用されてよい。コンピュータ・システム２００での使用に適し得る周知のコンピューティング・システム、環境、または構成、あるいはその組み合わせの例としては、パーソナル・コンピュータ（ＰＣ：personal computer）システム、サーバ・コンピュータ・システム、シン・クライアント、シック・クライアント、ハンドヘルドまたはラップトップ・デバイス、マイクロプロセッサ・システム、マイクロプロセッサベース・システム、セット・トップ・ボックス、プログラマブル・コンシューマ・エレクトロニクス、ネットワークＰＣ、マイクロコンピュータ・システム、メインフレーム・コンピュータ・システム、および上記のシステムまたはデバイスのいずれかを含む分散クラウド・コンピューティング環境などが挙げられるが、これらに限定されない。

上で示されたように、コンピュータ・システムは、本発明の１つまたは複数の態様を組み込むか、または使用するか、あるいはその両方であってよいホストの１つの例である。本発明の１つまたは複数の態様を組み込むか、または採用するか、あるいはその両方を行うためのホストの別の例は、中央電子回路複合体であり、その例が図２Ｂに示されている。

図２Ｂを参照すると、１つの例では、中央電子回路複合体（ＣＥＣ）２５０は、中央電子回路複合体の一部であるか、または中央電子回路複合体に結合されるか、あるいはその両方であるが、図２Ｂに明示的に示されていない、ローカル鍵マネージャ（ＬＫＭ）１０４、ＨＢＡ１０６、ＬＫＭ１１２、ＨＢＡ１１４、サービス・ネットワーク１３０、およびサービス・ネットワーク１１６を含むが、これらに限定されない、図１に示されたコンポーネントに加えて、または図１に示されたコンポーネントを含む、あるいはその両方である、複数のコンポーネントを含むか、または複数のコンポーネントに結合されるか、あるいはその両方である。１つの例では、ＣＥＣ２５０は、１つまたは複数のプロセッサ（中央処理装置（ＣＰＵ）とも呼ばれる）２６０と入出力サブシステム２６２とに結合されたメモリ２５４（システム・メモリ、メイン・メモリ、主記憶装置、中央記憶装置、ストレージとも呼ばれる）を含むが、これらに限定されない。

１つの例では、中央電子回路複合体２５０のメモリ２５４は、例えば、１つまたは複数の論理パーティション２６４、論理パーティションを管理するハイパーバイザ２６６、およびプロセッサ・ファームウェア２６８を含んでいる。ハイパーバイザ２６６の１つの例は、Ｉｎｔｅｒｎａｔｉｏｎａｌ Ｂｕｓｉｎｅｓｓ Ｍａｃｈｉｎｅｓ Ｃｏｒｐｏｒａｔｉｏｎによって提供されるプロセッサ・リソース／システム管理機構（ＰＲ／ＳＭ：Processor Resource/System Manager）である。本明細書において使用されるとき、ファームウェアは、例えば、プロセッサのマイクロコードを含む。ファームウェアは、例えば、上位レベルのマシン・コードの実装において使用される、ハードウェア・レベルの命令またはデータ構造あるいはその両方を含む。一実施形態では、ファームウェアは、例えば、信頼できるソフトウェアを含んでいるマイクロコード、または基盤になるハードウェアに固有のマイクロコードとして通常は提供されシステムのハードウェアへのオペレーティング・システムのアクセスを制御する、独自のコードを含む。

各論理パーティション２６４は、別個のシステムとして機能することができる。すなわち、各論理パーティションは、独立してリセットされて、Ｉｎｔｅｒｎａｔｉｏｎａｌ Ｂｕｓｉｎｅｓｓ Ｍａｃｈｉｎｅｓ Ｃｏｒｐｏｒａｔｉｏｎによって提供されるｚ／ＯＳなどのゲスト・オペレーティング・システム２７０または別のオペレーティング・システムを実行し、異なるプログラム２８２と共に動作することができる。論理パーティション内で実行されるオペレーティング・システムまたはアプリケーション・プログラムは、完全なシステム全体にアクセスできるように見えるが、実際は、その一部のみが利用可能である。

メモリ２５４は、論理パーティションに割り当てられ得る物理プロセッサ・リソースであるプロセッサ（例えば、ＣＰＵ）２６０に結合される。例えば、論理パーティション２６４は、１つまたは複数の論理プロセッサを含み、それらの論理プロセッサの各々は、論理パーティションに動的に割り当てられ得る物理プロセッサ・リソース２６０の全部または一部を表す。

さらに、メモリ２５４は、Ｉ／Ｏサブシステム２６２に結合される。Ｉ／Ｏサブシステム２６２は、中央電子回路複合体の一部であるか、または中央電子回路複合体から分離してよい。Ｉ／Ｏサブシステム２６２は、主記憶装置２５４と、中央電子回路複合体に結合された入出力制御ユニット２５６および入出力（Ｉ／Ｏ）デバイス２５８との間の情報の流れを方向付ける。

本明細書ではホストのさまざまな例が説明されるが、他の例も可能である。さらに、ホストは、例として、本明細書ではソース、サーバ、ノード、またはエンドポイント・ノードと呼ばれることがある。さらに、ストレージ・デバイスは、例として、本明細書ではターゲット、ノード、またはエンドポイント・ノードと呼ばれることがある。ストレージ・デバイスの例としては、ストレージ・コントローラまたは制御ユニットが挙げられる。他の例も可能である。

ここで図３を参照すると、本発明の１つまたは複数の実施形態に従って、ＬＫＭの初期化およびＨＢＡのセキュリティ登録のためのコンピューティング環境３００のブロック図が一般的に示されている。図３に示されたコンポーネントは、図１に関して前述したように、ホスト１０２、ＳＡＮ１０８、ストレージ・アレイ１１０、サービス・ネットワーク１３０、ＳＥ１２８、プライベート・ネットワーク１２６、サーバＨＭＣ１２４、ネットワーク１２０、およびＥＫＭ１２２を含んでいる。図３に示されたホスト１０２は、複数の論理パーティション、すなわち、オペレーティング・システム（Ｏ／Ｓ：operating systems）３０２を実行している２つのパーティションおよびＬＫＭ１０４を実行している１つのパーティションを含むパーティションを実行しているサーバによって実装される。図３に示されたホスト１０２は、パーティションを管理するためのハイパーバイザ３０４、およびパーティションと入出力（Ｉ／Ｏ）サブシステム３０６との間のインターフェイスを含んでいる。図３に示されているようなＩ／Ｏサブシステム３０６は、ＨＢＡ１０６へのインターフェイスを提供する。

本発明の１つまたは複数の実施形態に従って、セキュリティがホスト１０２に適用されることを要求している顧客（例えば、ホスト１０２の所有者）によって、ＬＫＭのアクティブ化および開始がトリガーされる。これは、例えば、購入した機能コードを適用している顧客によって、ＳＥ１２８内の機能コードを有効化し、ＳＥ１２８を再起動することによって発生することができる。再起動時に、ＳＥ１２８は、ＬＫＭ１０４を実行するために、ホスト１０２がパーティションを初期化することをトリガーすることができる。ＬＫＭをアクティブ化および開始するためにＳＥ１２８の再起動は必要とされず、別の例では、ＳＥ１２８を再起動せずにＳＥ１２８内の機能コードを有効化することによって、ＬＫＭがアクティブ化および開始される。ＬＫＭ１０４をアクティブ化および初期化するためのトリガー・イベントが、図３に「１」として示されている。ＬＫＭがアクティブ化および初期化された後に、ＬＫＭ１０４は、初期化が完了したことをＩ／Ｏサブシステム３０６に通知する。この通知イベントが、図３に「２」として示されている。図３に示されているように、ＬＫＭ１０４によって通知が開始され、ＬＫＭ１０４は、ＬＫＭの初期化が完了したことをハイパーバイザ３０４に通知し、次にハイパーバイザ３０４が、ＬＫＭの初期化が完了したことをＩ／Ｏサブシステム３０６に通知する。１つまたは複数の実施形態に従って、ＬＫＭ１０４がホスト１０２上で実行された後に、ＬＫＭの初期化が完了する。

本発明の１つまたは複数の実施形態に従って、ＬＫＭの初期化が完了した後に、ＬＫＭ１０４がＥＫＭ１２２に接触し、ＥＫＭ１２２への安全な接続を要求する。本発明の１つまたは複数の実施形態に従って、ＬＫＭ１０４を実行しているホスト１０２は、信頼できる認証局によって証明された信頼できるノードである。１つまたは複数の実施形態に従って、ホスト１０２は、信頼できる認証局からのホストの署名済み証明書と共に、ＥＫＭのインターネット・プロトコル（ＩＰ：Internet Protocol）アドレスまたはホスト名を有している。接続を要求するためのＥＫＭ１２２への接触が、図３に「３」として示されている。図３に示されているように、接続要求は、ハイパーバイザ３０４、Ｉ／Ｏサブシステム３０６、サービス・ネットワーク１３０、サービス要素１２８、プライベート・ネットワーク１２６、サーバＨＭＣ１２４、およびネットワーク１２０という、ＬＫＭ１０４をＥＫＭ１２２に接続している複数のコンポーネントに広がる。本発明の１つまたは複数の実施形態に従って、ＬＫＭ１０４は、ＥＫＭ１２２との接続を確立するための要求をハイパーバイザ３０４に送信し、ハイパーバイザ３０４が、この要求をＩ／Ｏサブシステム３０６に送信し、Ｉ／Ｏサブシステム３０６が、サービス・ネットワーク１３０を介してこの要求をＳＥ１２８に送信する。ＳＥ１２８は、ネットワーク１２０を経由してＥＫＭ１２２へのプロキシ接続（例えば、トランスポート層セキュリティ（ＴＬＳ：transport layer security）セッション）を開くための要求を、プライベート・ネットワーク１２６を介してサーバＨＭＣ１２４に送信する。

１つまたは複数の実施形態に従って、ＥＫＭ１２２からの接続を要求するために、ＫＭＩＰが使用される。ＫＭＩＰメッセージは、信頼できる認証局からの証明書を含むことができ、ＫＭＩＰメッセージは、接続が確立されたことの指示または接続が確立されなかったことの指示のいずれかと共に、ＥＫＭ１２２から返されることができる（図３に「４」として示されている）。１つまたは複数の実施形態に従って、ＥＫＭ１２２が、接続要求においてホスト１０２によって送信された証明書を認識した場合、ＥＫＭ１２２への安全な接続が確立されることができる。１つまたは複数の実施形態に従って、例えば、ネットワーク接続性の問題、構成の問題、またはＥＫＭ１２２が証明書を認識しないこと、あるいはその組み合わせに起因して、ＥＫＭ１２２への安全な接続が確立されない。他のプロトコルおよび安全な通信が使用されてよいため、ＴＬＳおよびＫＭＩＰは例にすぎない。

確立されているＬＫＭ１０４とＥＫＭ１２２との間の接続に基づいて、ＬＫＭ１０４は、ハイパーバイザ３０４を介して、接続が確立されたことをＩ／Ｏサブシステム３０６に通知する。これが、図３に「５」として示されている。図３に「６」として示されているように、Ｉ／Ｏサブシステム３０６は、ＬＫＭ１０４がＳＫＥメッセージを処理する準備ができた（すなわち、他のコンピューティング・ノードとの安全なデータ転送を提供する準備ができた）ということをＨＢＡ１０６に通知する。図３に「７」として示されているように、ＨＢＡ１０６は、セキュリティ能力およびアドレス情報をＬＫＭ１０４に登録する。セキュリティ能力の例としては、認証またはさまざまな種類の暗号化が挙げられるが、これらに限定されない。アドレス情報は、ＨＢＡに割り当てられたファイバ・チャネル・アドレスを含むことができるが、これに限定されない。

図３のブロック図は、コンピューティング環境３００が図３に示されたコンポーネントのすべてを含むことになるということを示すよう意図されていないということが、理解されるべきである。むしろ、コンピューティング環境３００は、図３に示された一部のコンポーネントが結合されるか、または１つまたは複数のコンポーネントによって実行される機能が、異なるコンポーネントまたは複数のコンポーネントによって実行されて、任意の適切なより少ないコンポーネントまたは図３に示されていない追加のコンポーネントを含むことができる。さらに、コンピューティング環境３００に関して本明細書に記載された実施形態は、任意の適切な論理を使用して実装されてよく、論理は、本明細書で参照されるとき、さまざまな実施形態において、任意の適切なハードウェア（例えば、特に、プロセッサ、組み込みコントローラ、または特定用途向け集積回路）、ソフトウェア（例えば、特に、アプリケーション）、ファームウェア、またはハードウェア、ソフトウェア、およびファームウェアの任意の適切な組み合わせを含むことができる。

ここで図４を参照すると、本発明の１つまたは複数の実施形態に従って、ＬＫＭの初期化およびＨＢＡのセキュリティ登録のためのプロセス４００が一般的に示されている。図４に示されている処理の全部または一部が、例えば、図１のホスト１０２上で実行されている図１のＬＫＭ１０４によって実施されることができる。ブロック４０２で、ＬＫＭのパーティションが、図１のホスト１０２などのノード上でアクティブ化されて開始される。ブロック４０４で処理が続行し、ＬＫＭが、ＬＫＭの初期化が完了したことを、図３のＩ／Ｏサブシステム３０６などのノード上のＩ／Ｏサブシステムに通知する。ブロック４０６で、ＬＫＭが、図１のＥＫＭ１２２などのＥＫＭとの接触を開始し、安全な接続を要求する。前述したように、これは、要求を含んでいるＫＭＩＰメッセージおよびＴＬＳセッションを使用して実行されることができる。ブロック４０８で、ＥＫＭとの接続が確立されることができるかどうかが判定される。１つまたは複数の実施形態に従って、この判定は、ブロック４０６で送信された要求に応答してＥＫＭから返されたメッセージに基づいて行われる。

図４のプロセス４００の実施形態に示されているように、ＥＫＭとの接続が確立されなかった場合、ブロック４０６で処理が続行し、別の接続を試みる。ブロック４０８で、ＥＫＭとの接続が確立されたということが決定された場合、ブロック４１０で処理が続行する。ブロック４１０で、ＬＫＭが、ＥＫＭの接続が確立されたということをサブシステムに通知し、ブロック４１２で、Ｉ／Ｏサブシステムが、ＬＫＭがＳＫＥメッセージを処理する準備ができたということを、図１のＨＢＡ１０６などの、ＬＫＭを実行しているノード上のＨＢＡに通知する。ブロック４１４で、ＬＫＭの登録を実行しているノード上のＨＢＡが、セキュリティ能力をＬＫＭに登録する。

図４のプロセス・フロー図は、プロセス４００の動作がいずれかの特定の順序で実行されるということも、プロセス４００の動作のすべてがすべての事例に含まれるということも、示すよう意図されていない。さらに、プロセス４００は、任意の適切な数の追加の動作を含むことができる。

ここで図５を参照すると、本発明の１つまたは複数の実施形態に従って、ＳＫＥ ＳＡ初期化（initialization）要求（本明細書ではＳＫＥ ＳＡ初期化（Init）要求とも呼ばれる）を生成するためのコンピューティング環境５００のブロック図が一般的に示されている。図５に示されたコンピューティング環境５００は、１つまたは複数の接続５０８を介してＥＫＭサーバ５０６（本明細書ではＥＫＭとも呼ばれる）に結合されたホスト５０２およびストレージ・アレイ５０４という２つのノードを含んでいる。一例として、１つまたは複数の接続５０８は、安全なＴＬＳ通信を使用して保護されたイーサネット（Ｒ）接続である。１つまたは複数の接続５０８は、図１および図３に示された要素のすべて、サブセット、または上位セットを含むことができる。ＥＫＭサーバ５０６は、本明細書に記載されたＥＫＭ処理を実行するためのコンピュータ命令を含む。図５に示された実施形態では、ホスト５０２、ストレージ・アレイ５０４、およびＥＫＭサーバ５０６が、ホスト５０２、ストレージ・アレイ５０４、およびＥＫＭサーバ５０６にインストールされた証明書に署名してそれらの間の信用を確立するために使用される認証局（ＣＡ：certification authority）５１０に結合されている。

図５に示されているように、ホスト５０２は、例えば、図１のＳＡＮ１０８などのＳＡＮネットワークを介してストレージ・アレイ５０４と通信するために使用されるＨＢＡ５１８（例えば、ファイバ・チャネル・ポート、またはＦＩＣＯＮチャネル、あるいは他のリンク）に結合されたＬＫＭ５２０を含んでいる。図５に示されていないが、ホスト５０２およびストレージ・アレイ５０４は、接続５０８を介してＥＫＭサーバ５０６に結合された１つまたは複数のイーサネット（Ｒ）・ポートも含むことができる。ＦＩＣＯＮは、ホスト５０２とストレージ・アレイ５０４との間のデータ転送のための既知の通信経路であり、イーサネット（Ｒ）は、既知のローカル・エリア・ネットワーク（ＬＡＮ）である。同様に、この例では、ストレージ・アレイ５０４は、ホスト５０２と通信するために使用されるＨＢＡ５２２（例えば、ファイバ・チャネル・ポートまたはＦＩＣＯＮチャネル）に結合されたＬＫＭ５２８を含んでいる。

図５の矢印５１２で示されているように、ＬＫＭ５２０は、ホスト５０２上のＨＢＡ５１８から要求を受信し、データをストレージ・アレイ５０４上のＨＢＡ５２２に送信する。ＨＢＡ５１８から要求を受信することに応答して、ホスト５０２上のＬＫＭ５２０は、ＳＡがホスト５０２（「開始ノード」）上のＨＢＡ５１８とストレージ・アレイ５０４（「応答ノード」）上のＨＢＡ５２２との間にすでに存在するかどうかを判定する。本発明の１つまたは複数の実施形態に従って、ホスト５０２上のＨＢＡ５１８とストレージ・アレイ５０４上のＨＢＡ５２２との間で、一度に１つの通信経路のみが開かれることができる。したがって、ＳＡが現在存在する場合、これらの２つのチャネル間で通信経路がすでに処理中であるか、またはエラーが発生している（例えば、ホスト５０２上のＨＢＡ５１８からの要求が誤りを含んでおり、間違ったターゲット・ノードまたはターゲット・チャネルあるいはその両方を要求した）。いずれの場合も、要求しているＨＢＡ５１８にエラー・メッセージが返され、要求が拒否される。

ＳＡが存在しない場合、ホスト５０２上のＬＫＭ５２０が、ホスト５０２上のＨＢＡ５１８とストレージ・アレイ５０４上のＨＢＡ５２２との間のＳＡを作成する状態に移行する。ホスト５０２上のＬＫＭ５２０は、ホスト５０２／ストレージ・アレイ５０４の対の共有鍵および共有鍵識別子を含んでいるかどうかを判定する。共有鍵および共有鍵識別子は、例えば、ＬＫＭ５２０によってアクセス可能であるホスト５０２上に位置する揮発性メモリ（例えば、キャッシュ・メモリ）に格納されてよい。ＬＫＭ５２０がホスト５０２／ストレージ・アレイ５０４の対の共有鍵を見つけなかった場合、ＬＫＭ５２０は、図５の矢印５１４で示されているように、ホスト５０２／ストレージ・アレイ５０４の対の共有鍵を取り出し、ＥＫＭサーバ５０６上で（まだ存在していない場合は）ホスト５０２／ストレージ・アレイ５０４の対を含んでいるデバイス・グループを設定するための要求を、ＥＫＭサーバ５０６に送信する。本発明の１つまたは複数の実施形態に従って、これは、複数のステップのプロセスによって実行され、最初にＬＫＭ５２０が、ホスト５０２／ストレージ・アレイ５０４の対のデバイス・グループが存在するかどうかを判定するためにＥＫＭサーバ５０６に問い合わせ、デバイス・グループが存在しないということを決定したときに、デバイス・グループを作成するようにＥＫＭサーバ５０６に要求する。ホスト５０２／ストレージ・アレイ５０４の対のデバイス・グループが存在するということが決定された後に、ＬＫＭ５２０は、デバイス・グループに対応する共有鍵を要求する。

ホスト５０２またはストレージ・アレイ５０４あるいはその両方は、ＥＫＭに対して、それぞれのワールドワイド・ノード・ネーム（ＷＷＮＮ：world-wide node name）によって識別されてよい。ＬＫＭ５２０から要求を受信することに応答して、ＥＫＭサーバ５０６は、ＬＫＭを認証し、要求された場合、ホスト５０２／ストレージ・アレイ５０４の対を含んでいるデバイス・グループを作成する。ＥＫＭサーバ５０６は、ホスト５０２とストレージ・アレイ５０４との間で転送されるメッセージおよびデータを暗号化することおよび復号することにおいて使用するために、ホスト５０２／ストレージ・アレイ５０４の対に固有の共有鍵（本明細書では「共有秘密鍵」とも呼ばれる）も生成する。図５の矢印５２４で示されているように、ＥＫＭサーバ５０６は、共有鍵を、ホスト５０２上の要求しているＬＫＭ５２０に送信する。

ＬＫＭ５２０による共有鍵の受信は、複数のステップのプロセスであってよい。本発明の１つまたは複数の実施形態に従って、最初にＬＫＭ５２０は、ＥＫＭサーバ５０６に対して、指定されたデバイス・グループの共有鍵識別子を要求する。共有鍵識別子は、対応する共有鍵を見つける／決定するためにＥＫＭサーバ５０６によって使用されることができる一意の識別子である。共有鍵識別子を受信することに応答して、ＬＫＭ５２０は、共有鍵を要求するために、共有鍵識別子を含んでいる第２の要求をＥＫＭサーバ５０６に送信する。ＥＫＭサーバ５０６は、共有鍵を返すことによって応答する。本発明の１つまたは複数の実施形態に従って、デバイス・グループ名は、ホスト５０２およびストレージ・アレイ５０４のＷＷＮＮの連結である。本発明の１つまたは複数の実施形態に従って、共有鍵を受信したときに、ＬＫＭ５２０は共有鍵再生成タイマを開始してよく、共有鍵再生成タイマは、鍵再生成または更新が必要とされる前に共有鍵が使用され得る時間の量を制限するために使用される。この時間の量は、交換されているデータの機密の性質、コンピュータ環境内に適切に配置されている他のセキュリティ保護、または許可されていないアクセスの試みの可能性、あるいはその組み合わせなどの、ただしこれらに限定されない、システム・ポリシーに基づいてよい。本発明の１つまたは複数の実施形態に従って、経過した時間の量に加えて、または代替として、共有鍵再生成タイマは、ソース・ノードとターゲット・ノードとの間のデータ交換の数に基づいて期限が切れることができる。図１のサーバＨＭＣ１２４またはストレージ・アレイＨＭＣ１１８などのＨＭＣ上のユーザ・インターフェイスを介して、顧客によってポリシーが構成されることができる。共有鍵再生成タイマの期限が切れたときに、ＬＫＭ５２０は、下記で図１５を参照して説明されているように、ＥＫＭサーバ５０６から新しい共有鍵を取得するためのプロセスを開始する。

ＬＫＭ５２０が有効な共有鍵および共有鍵識別子を含んでいるか、または取得することに応答して、ＬＫＭ５２０は、チャネル間の安全な通信のために、共有鍵識別子ならびにＬＫＭ５２０によって作成されたノンスおよびセキュリティ・パラメータ・インデックス（ＳＰＩ）を含んでいるＳＫＥ ＳＡ初期化要求メッセージを生成する。ＬＫＭ５２０は、乱数発生器を使用してノンスおよびＳＰＩを作成する。ノンスは、暗号通信において一度だけ使用されることができる任意の数値である。ＳＰＩは、暗号化されたファイバ・チャネル・データ・フレームの平文部分に追加される識別化タグである。フレームの受信側は、このフィールドを使用して、データ・ペイロードを暗号化するために使用される鍵材料の妥当性を確認してよい。ＳＫＥ ＳＡ初期化要求メッセージは、データがストレージ・アレイ５０４上のＨＢＡ５２２に送信されることを要求したＨＢＡ５１８またはチャネルに送信される。これが、図５の矢印５１６で示されている。要求している（または開始）ＨＢＡ５１８は、図５の矢印５２６で示されているように、例えばＳＡＮネットワークを介して、ＳＫＥ ＳＡ初期化要求メッセージを、ストレージ・アレイ５０４上のターゲットＨＢＡ５２２に送信する。本発明の１つまたは複数の実施形態に従って、ＳＫＥ ＳＡ初期化要求メッセージが、平文として（すなわち、暗号化されずに）送信される。

図５のブロック図は、コンピューティング環境５００が図５に示されたコンポーネントのすべてを含むことになるということを示すよう意図されていないということが、理解されるべきである。むしろ、コンピューティング環境５００は、図５に示された一部のコンポーネントが結合されるか、または１つまたは複数のコンポーネントによって実行される機能が、異なるコンポーネントまたは複数のコンポーネントによって実行されて、任意の適切なより少ないコンポーネントまたは図５に示されていない追加のコンポーネントを含むことができる。例えば、１つまたは複数の追加のノード（例えば、ホストまたはストレージ・アレイあるいはその両方）が存在してよい。さらに、コンピューティング環境５００に関して本明細書に記載された実施形態は、任意の適切な論理を使用して実装されてよく、論理は、本明細書で参照されるとき、さまざまな実施形態において、任意の適切なハードウェア（例えば、特に、プロセッサ、組み込みコントローラ、または特定用途向け集積回路）、ソフトウェア（例えば、特に、アプリケーション）、ファームウェア、またはハードウェア、ソフトウェア、およびファームウェアの任意の適切な組み合わせを含むことができる。

ここで図６を参照すると、本発明の１つまたは複数の実施形態に従って、ＳＫＥ ＳＡ初期化要求を生成するためのプロセス６００が一般的に示されている。プロセス６００の全部または一部が、例えば、図５のＬＫＭ５２０などのＬＫＭによって実行されることができる。ブロック６０２でプロセス６００が開始し、ＬＫＭが、別のチャネル（応答チャネル）との安全な通信の初期化を要求しているチャネル（開始チャネル）からメッセージを受信する。例えば、開始チャネルは、図１のＨＢＡ１０６であることができ、応答チャネルは、図１のＨＢＡ１１４であることができる。ブロック６０４で、開始ＨＢＡがＬＫＭに登録されたかどうかが判定される。開始ＨＢＡがＬＫＭに登録されなかった場合、ブロック６０８で処理が続行し、（例えば、ＬＫＭが開始ＨＢＡのセキュリティ能力を決定できないため）要求を拒否する。

ブロック６０４で、開始ＨＢＡがＬＫＭに登録されたということが決定された場合、ブロック６０６で処理が続行する。ブロック６０６で、開始チャネルと応答チャネルとの間にＳＡがすでに存在するかどうかが判定される。ＳＡがすでに存在する場合、ブロック６０８で処理が続行し、要求を拒否する。

ブロック６０６で、開始ノードと応答ノードとの間にＳＡがまだ存在しないということが決定された場合、ブロック６１０で処理が続行し、ＳＡを作成する。ブロック６１０で、開始チャネル／応答チャネルの対のためのＳＡ状態が作成された後に、ブロック６１２で処理が続行し、開始ノード／応答ノードの対のデバイス・グループの鍵または共有鍵が存在するかどうかを判定する。開始ノード／応答ノードの対の共有鍵が存在する場合、ブロック６１４で処理が続行し、既存の共有鍵を使用する。ブロック６１６で、ＬＫＭによってＳＫＥ ＳＡ初期化要求メッセージが構築される。１つまたは複数の実施形態に従って、ＳＫＥ ＳＡ初期化要求メッセージは、チャネル間の安全な通信のために、共有鍵の識別子、ならびにＬＫＭによって作成されたノンスおよびＳＰＩを含む。ブロック６１８で、ＳＫＥ ＳＡ初期化要求メッセージが開始チャネルに送信される。次に、開始チャネルが、ＳＫＥ ＳＡ初期化要求メッセージを応答ノード上の応答チャネルに送信する。

ブロック６１２で、開始ノード／応答ノードの対の共有鍵が存在しないということが決定された場合、ブロック６２０で処理が続行する。ブロック６２０で、開始ノード／応答ノードの対のデバイス・グループが存在するかどうかが判定される。デバイス・グループが存在するかどうかの判定は、ＬＫＭが、開始ノード／応答ノードの対のデバイス・グループが存在するかどうかをＥＫＭに問い合わせることと、デバイス・グループが存在する場合、ＥＫＭが対応する共有鍵の識別子（共有鍵識別子）で応答するか、またはデバイス・グループが存在しない場合、エラー・メッセージで応答することとを含むことができる。デバイス・グループが存在するということが決定された場合、ブロック６２２で処理が続行し、開始ノード／応答ノードの対の共有鍵を作成し、ブロック６２４で、共有鍵が開始ノードに格納される。ＬＫＭからの要求に応答して、ＥＫＭによって共有鍵が作成されることができる。本発明の１つまたは複数の実施形態に従って、開始ノードが電源を切られるかまたは再起動された場合に共有鍵が保存されないように、共有鍵および共有鍵識別子が揮発性メモリに格納される。本発明の１つまたは複数の実施形態に従って、共有鍵は、例えば、共有鍵が使用されたセキュリティ・アソシエーションの数、または共有鍵が作成されてから経過した時間の量、あるいはその両方に基づくが、これらに限定されない、制限された存続期間を有する。共有鍵が格納された後に、ブロック６１６で処理が続行し、ＬＫＭがＳＫＥ ＳＡ初期化要求メッセージを構築する。

ブロック６２０で、開始ノード／応答ノードの対のデバイス・グループが存在しないということが決定された場合、ブロック６２６が実行され、開始ノード／応答ノードの対のデバイス・グループの対が作成される。ＬＫＭからの単一の（または複数の）要求に応答して、ＥＫＭによってデバイス・グループおよび共有鍵が作成されることができる。デバイス・グループが作成された後に、ブロック６２２で処理が続行し、開始ノード／応答ノードの対の共有鍵を作成する。

図６のプロセス・フロー図は、プロセス６００の動作がいずれかの特定の順序で実行されるということも、プロセス６００の動作のすべてがすべての事例に含まれるということも、示すよう意図されていない。さらに、プロセス６００は、任意の適切な数の追加の動作を含むことができる。

ここで図７を参照すると、本発明の１つまたは複数の実施形態に従って、ターゲット・チャネルのノードでのＳＫＥ ＳＡの初期化処理およびメッセージの生成のためのコンピューティング環境７００のブロック図が一般的に示されている。図７に示されたコンピューティング環境７００は、図５に示されたコンピューティング環境５００に類似しており、ターゲットＨＢＡ５２２のストレージ・アレイ５０４でのＳＫＥ ＳＡ初期化要求メッセージの処理が追加されている。

図７の矢印５２６で示されているように、ストレージ・アレイ５０４上のＨＢＡ５２２が、ホスト５０２上のＨＢＡ５１８からＳＫＥ ＳＡ初期化要求メッセージを受信する。ＳＫＥ ＳＡ初期化要求メッセージを受信することに応答して、ＨＢＡ５２２は、（図７の矢印７０８で示されているように）ＳＫＥ ＳＡ初期化要求メッセージをストレージ・アレイ５０４に位置しているＬＫＭ５２８に送信する。メッセージを受信することに応答して、ストレージ・アレイ５０４上のＬＫＭ５２８は、ＳＡがホスト５０２上のＨＢＡ５１８とストレージ・アレイ５０４上のＨＢＡ５２２との間にすでに存在するかどうかを判定する。ＳＡがすでに存在する場合、ＨＢＡ５２２にエラー・メッセージが返され、要求が拒否される。

ＳＡが存在しない場合、ストレージ・アレイ５０４上のＬＫＭ５２８が、ホスト５０２上のＨＢＡ５１８とストレージ・アレイ５０４上のＨＢＡ５２２との間のＳＡを作成する状態に移行する。ストレージ・アレイ５０４上のＬＫＭ５２８は、ＳＫＥ ＳＡ初期化要求に含まれている共有鍵識別子に対応する共有鍵を含んでいるかどうかを判定する。共有鍵およびそれに対応する共有鍵識別子は、例えば、ＬＫＭ５２８によってアクセス可能であるストレージ・アレイ５０４上に位置する揮発性メモリ（例えば、キャッシュ・メモリ）に格納されてよい。ＬＫＭ５２８がホスト５０２／ストレージ・アレイ５０４の対の共有鍵を見つけなかった場合、ＬＫＭ５２８は、図７の矢印７０２によって示されているように、ＳＫＥ ＳＡ初期化要求メッセージで受信された共有鍵識別子に対応する共有鍵を取り出すための要求をＥＫＭサーバ５０６に送信する。ＬＫＭ５２８から要求を受信することに応答して、ＥＫＭサーバ５０６は、ＬＫＭ５２８を認証し、図７の矢印７０４で示されているように、共有鍵をストレージ・アレイ５０４上のＬＫＭ５２８に送信する。本発明の１つまたは複数の実施形態に従って、共有鍵を受信したときに、ＬＫＭ５２８は共有鍵再生成タイマを開始してよく、共有鍵再生成タイマは、鍵再生成または更新が必要とされる前に共有鍵が使用され得る時間の量を制限するために使用される。この時間の量は、システム・ポリシーに基づいてよい。異なるノードが異なるポリシーを有してよいため、ＬＫＭ５２８上の共有鍵再生成タイマによって示される時間の量は、ＬＫＭ５２０上の共有鍵再生成タイマによって示される時間の量と異なってよい。本発明の１つまたは複数の実施形態に従って、時間の量に加えて、または代替として、共有鍵再生成タイマは、ソース・ノードとターゲット・ノードとの間のデータ交換の数に基づいて期限が切れることができる。共有鍵再生成タイマの期限が切れたときに、ＬＫＭ５２８は、図１５を参照して下記で説明されているように、ＥＫＭサーバ５０６から新しい共有鍵を取得するためのプロセスを開始する。

ＬＫＭ５２８が有効な共有鍵を含んでいるか、または取得することに応答して、ＬＫＭ５２８は、チャネル間の安全な通信のために、ＬＫＭ５２８によって作成されたノンスおよびセキュリティ・パラメータ・インデックス（ＳＰＩ）を含んでいるＳＫＥ ＳＡ初期化応答メッセージを生成する。図７の矢印７１０で示されているように、ＳＫＥ ＳＡ初期化応答メッセージがＨＢＡ５２２に送信される。応答（またはターゲット）ＨＢＡ５２２は、図７の矢印７０６で示されているように、ＳＫＥ ＳＡ初期化応答メッセージを、ホスト５０２上の開始ＨＢＡ５１８に送信する。本発明の１つまたは複数の実施形態に従って、ＳＫＥ ＳＡ初期化応答メッセージが、平文として（すなわち、暗号化されずに）送信される。

図７のブロック図は、コンピューティング環境７００が図７に示されたコンポーネントのすべてを含むことになるということを示すよう意図されていないということが、理解されるべきである。むしろ、コンピューティング環境７００は、図７に示された一部のコンポーネントが結合されるか、または１つまたは複数のコンポーネントによって実行される機能が、異なるコンポーネントまたは複数のコンポーネントによって実行されて、任意の適切なより少ないコンポーネントまたは図７に示されていない追加のコンポーネントを含むことができる。例えば、１つまたは複数の追加のノード（例えば、ホストまたはストレージ・アレイあるいはその両方）が存在してよい。さらに、コンピューティング環境７００に関して本明細書に記載された実施形態は、任意の適切な論理を使用して実装されてよく、論理は、本明細書で参照されるとき、さまざまな実施形態において、任意の適切なハードウェア（例えば、特に、プロセッサ、組み込みコントローラ、または特定用途向け集積回路）、ソフトウェア（例えば、特に、アプリケーション）、ファームウェア、またはハードウェア、ソフトウェア、およびファームウェアの任意の適切な組み合わせを含むことができる。

ここで図８を参照すると、本発明の１つまたは複数の実施形態に従って、ターゲット・チャネルのノードでのＳＫＥ ＳＡの初期化処理およびメッセージの生成のためのプロセス８００が一般的に示されている。プロセス８００の全部または一部が、例えば、図７のＬＫＭ５２８などのＬＫＭによって実行されることができる。ブロック８０２でプロセス８００が開始し、ＬＫＭが、開始チャネルと応答チャネルとの間の安全な通信の初期化を要求しているＳＫＥ ＳＡ初期化要求メッセージを受信する。例えば、開始チャネルは、図１のＨＢＡ１０６であることができ、応答チャネルは、図１のＨＢＡ１１４であることができる。ブロック８０４で、応答ＨＢＡが応答ノード上のＬＫＭに登録されたかどうかが判定される。応答ＨＢＡがＬＫＭに登録されなかった場合、ブロック８０８で処理が続行し、（例えば、ＬＫＭが応答ＨＢＡのセキュリティ能力を決定できないため）要求を拒否する。

ブロック８０４で、応答ＨＢＡがＬＫＭに登録されたということが決定された場合、ブロック８０６で処理が続行する。ブロック８０６で、開始チャネルが位置しているノード（開始ノード）と応答チャネルが位置しているノード（応答ノード）との間にＳＡがすでに存在するかどうかが判定される。ＳＡがすでに存在する場合、ブロック８０８で処理が続行し、要求を拒否する。

ブロック８０６で、開始ノードと応答ノードとの間にＳＡがまだ存在しないということが決定された場合、ブロック８１０で処理が続行し、ＳＡを作成する。ブロック８１０で、開始ノード／応答ノードの対のためのＳＡ状態が作成された後に、ブロック８１２で処理が続行し、開始ノード／応答ノードの対の共有鍵が応答ＬＫＭに存在するかどうかを判定する。開始ノード／応答ノードの対の共有鍵が応答ＬＫＭに存在することができる場合、ブロック８２０で処理が続行する。ブロック８２０で、応答チャネルのためのノンスおよびＳＰＩが生成され、ブロック８２２で、開始チャネルと応答チャネルとの間の暗号化および復号に使用される鍵が、応答ノードで導出される。この鍵は、応答側のノンスおよびＳＰＩ、開始側のノンスおよびＳＰＩ、ならびに共有鍵を使用して生成されることができる。

鍵の導出は、開始側と応答側との間で確立されたＳＫＥ ＳＥ初期化メッセージ交換のＳＡペイロードにおいてネゴシエートされる疑似ランダム関数（ＰＲＦ：pseudo random function）パラメータに基づくことができる。「ＰＲＦ＋」は、認証および暗号化モードにおいて使用する鍵を生成するための基本的演算子であることができる。鍵の生成は、複数のステップにわたって発生することができる。例えば、第１のステップとして、「ＳＫＥＹＳＥＥＤ」と呼ばれるシーディング鍵（seeding key）が生成され、ＳＫＥＹＳＥＥＤ ＝ ｐｒｆ（Ｎｉ ｜ Ｎｒ， Ｓｅｃｒｅｔ＿Ｋｅｙ）のように定義されることができ、ここで、ＮｉおよびＮｒはノンスであり、Ｓｅｃｒｅｔ＿Ｋｅｙは、ＥＫＭサーバ５０６などのＥＫＭから取得された共有秘密鍵である。第２のステップとして、一連の７つの鍵が生成されることができる。ＳＫＥの場合、例えば、ソルトを必要とする方法によってそのＳＫＥ ＳＡが保護されると仮定して、５つの鍵および２つのソルトが存在することができる。ソルトは、データ、パスワード、またはパスフレーズをハッシュする一方向性関数への追加入力として使用されることができるランダムなデータである。ソルトは、鍵材料の一部として生成されることができる。例えば、複数バイトのソルトが、ハッシュベース・メッセージ認証コード（ＨＭＡＣ：hash-based message authentication code）に入力される初期化ベクトル（ＩＶ：initialization vector）の一部として使用されることができる。さらなる例として、３２バイトの鍵および４バイトのソルトが、以下を使用して生成されることができる。
｛ＳＫ＿ｄ ｜ ＳＫ＿ｅｉ ｜ Ｓａｌｔ＿ｅｉ ｜ ＳＫ＿ｅｒ ｜ Ｓａｌｔ＿ｅｒ ｜ ＳＫ＿ｐｉ ｜ ＳＫ＿ｐｒ｝ ＝
ｐｒｆ＋ （ＳＫＥＹＳＥＥＤ， Ｎｉ ｜ Ｎｒ ｜ ＳＰＩｉ ｜ ＳＰＩｒ）
ここで、
入力
・Ｎｉ、Ｎｒは、それぞれのＳＫＥ＿ＳＡ＿Ｉｎｉｔメッセージからの１６バイトのノンスであることができる。
・ＳＰＩｉおよびＳＰＩｒは、それぞれのＳＫＥ＿ＳＡ＿ＩｎｉｔメッセージのＳＫＥヘッダーからの８バイトの親ＳＡ ＳＰＩ値であることができ、認証に使用されることができる。
出力
・ＳＫ＿ｄは、第３のステップで（子ＳＡの）データ転送鍵を生成するために使用される別のシーディング鍵である。
・ＳＫ＿ｅｉ、Ｓａｌｔ＿ｅｉ、ＳＫ＿ｅｒ、およびＳａｌｔ＿ｅｒは、ＳＫＥ＿Ａｕｔｈメッセージおよび親ＳＡの下のその後のすべてのメッセージを暗号化するために使用される鍵およびソルトである。
・ＳＫ＿ｐｉおよびＳＫ＿ｐｒは、ＳＫＥ＿Ａｕｔｈメッセージ内のＡＵＴＨペイロードの認証データを生成するために使用される鍵である。

認証のみの場合、これらは、必要とされることがある鍵のすべてである。ユーザ・データの暗号化の場合、第３のステップがデータ転送鍵およびソルトを生成する。第３のステップは、ＰＲＦの新しい再帰呼び出しから開始して、子ＳＡの鍵およびソルトを導出することができる。

ブロック８２４で、チャネル間の安全な通信のために、共有鍵の識別子、ならびに応答ノードでＬＫＭによって作成されたノンスおよびＳＰＩを含んでいるＳＫＥ ＳＡ初期化応答メッセージが、応答ノードでＬＫＭによって構築される。ブロック８２６で、ＳＫＥ ＳＡ初期化応答メッセージが応答チャネルに送信され、応答チャネルが、ＳＫＥ ＳＡ初期化応答メッセージを、例えばＳＡＮネットワークを介して開始ノード上の開始チャネルに送信する。

ブロック８１２で、開始ノード／応答ノードの対の共有鍵が存在しないということが決定された場合、ブロック８１６で処理が続行する。ブロック８１６で、開始ノード／応答ノードの対のデバイス・グループが存在するかどうかが判定される。デバイス・グループが存在するかどうかの判定は、ＬＫＭが、開始ノード／応答ノードの対のデバイス・グループが存在するかどうかをＥＫＭに問い合わせることと、デバイス・グループが存在する場合、ＥＫＭが対応する共有鍵の識別子で応答するか、またはデバイス・グループが存在しない場合、エラー・メッセージで応答することとを含むことができる。デバイス・グループが存在するということが決定された場合、ブロック８１８で処理が続行し、ＥＫＭから開始ノード／応答ノードの対の共有鍵を取得し、ブロック８２０で処理が続行し、応答側のＳＰＩおよびノンスを生成する。本発明の１つまたは複数の実施形態に従って、応答ノードが電源を切られるか、または再起動された場合に共有鍵が保存されないように、応答ノードで共有鍵および共有鍵識別子が揮発性メモリに格納される。

ブロック８１６で、開始ノード／応答ノードの対のデバイス・グループが応答ＬＫＭに存在しないということが決定された場合、ブロック８１４が実行され、開始ノード／応答ノードの対がデバイス・グループに参加する。ブロック８１８で処理が続行する。

図８のプロセス・フロー図は、プロセス８００の動作がいずれかの特定の順序で実行されるということも、プロセス８００の動作のすべてがすべての事例に含まれるということも、示すよう意図されていない。さらに、プロセス８００は、任意の適切な数の追加の動作を含むことができる。

図９は、本発明の１つまたは複数の実施形態に従って、ＳＫＥ ＳＡ初期化応答に基づいてＳＫＥ認証（authentication）要求（本明細書では「ＳＫＥ認証（Auth）要求」とも呼ばれる）を生成するためのコンピューティング環境９００のブロック図を示している。図９に示されたコンピューティング環境９００は、図５および７に示されたコンピューティング環境５００、７００に類似しており、ストレージ・アレイ５０４のためのホスト５０２でのＳＫＥ認証要求メッセージの構築が追加されている。

図９の矢印５２６で示されているように、ホスト５０２上のＨＢＡ５１８が、ＳＫＥ ＳＡ初期化要求メッセージをストレージ・アレイ５０４上のＨＢＡ５２２に送信する。図９の矢印７０６で示されているように、ストレージ・アレイ５０４上のＨＢＡ５２２が、ホスト５０２上のＨＢＡ５１８によって受信されたＳＫＥ ＳＡ初期化応答メッセージを送信する。ＳＫＥ ＳＡ初期化応答メッセージを受信することに応答して、ＨＢＡ５１８は、（図９の矢印９０２で示されているように）ＳＫＥ ＳＡ初期化応答メッセージをホスト５０２に位置しているＬＫＭ５２０に送信する。メッセージを受信することに応答して、ホスト５０２上のＬＫＭ５２０は、ＳＫＥ ＳＡ初期化応答メッセージを検証し、開始ノードおよび応答ノードのデバイス・グループが有効なＳＡの対を形成していることを確認する。ホスト５０２上のＬＫＭ５２０は、暗号鍵のセットを導出し、ＳＫＥ認証要求メッセージを構築する。暗号鍵のセットは、例えば、前述したようなプロセスを使用して導出されることができる。ＳＫＥ認証要求メッセージは、ストレージ・アレイ５０４上のＨＢＡ５２２によってもサポートされている暗号化アルゴリズムを選択するのを支援するために、ＨＢＡ５１８によってサポートされるセキュリティ能力に基づく提案リストを含むことができる。ＳＫＥ認証要求メッセージのペイロードは、提案リストに基づいて選択された暗号化アルゴリズムと同じである必要はない、異なる暗号化規格を使用して暗号化されることができる。暗号化がＨＢＡ５１８またはＨＢＡ５２２によって直接サポートされない一部の実施形態では、提案リストの選択肢が、暗号化なし、認証のみであってよい。ＳＫＥ認証要求メッセージは、データがストレージ・アレイ５０４上のＨＢＡ５２２に送信されることを要求したＨＢＡ５１８またはチャネルに送信される。これが、図９の矢印９０４で示されている。要求している（または開始）ＨＢＡ５１８は、図９の矢印９０６で示されているように、例えばＳＡＮネットワークを介して、ＳＫＥ認証要求メッセージを、ストレージ・アレイ５０４上のターゲットＨＢＡ５２２に送信する。

図９のブロック図は、コンピューティング環境９００が図９に示されたコンポーネントのすべてを含むことになるということを示すよう意図されていないということが、理解されるべきである。むしろ、コンピューティング環境９００は、図９に示された一部のコンポーネントが結合されるか、または１つまたは複数のコンポーネントによって実行される機能が、異なるコンポーネントまたは複数のコンポーネントによって実行されて、任意の適切なより少ないコンポーネントまたは図９に示されていない追加のコンポーネントを含むことができる。例えば、１つまたは複数の追加のノード（例えば、ホストまたはストレージ・アレイあるいはその両方）が存在してよい。さらに、コンピューティング環境９００に関して本明細書に記載された実施形態は、任意の適切な論理を使用して実装されてよく、論理は、本明細書で参照されるとき、さまざまな実施形態において、任意の適切なハードウェア（例えば、特に、プロセッサ、組み込みコントローラ、または特定用途向け集積回路）、ソフトウェア（例えば、特に、アプリケーション）、ファームウェア、またはハードウェア、ソフトウェア、およびファームウェアの任意の適切な組み合わせを含むことができる。

ここで図１０を参照すると、本発明の１つまたは複数の実施形態に従って、ＳＫＥ認証要求を生成するためのプロセス１０００が一般的に示されている。プロセス１０００の全部または一部が、例えば、図９のＬＫＭ５２０などのＬＫＭによって実行されることができる。プロセス１０００は、ブロック１００２で開始し、ＬＫＭがＳＫＥ ＳＡ初期化メッセージを受信する。ブロック１００４で、ＬＫＭが、ＳＫＥ ＳＡ初期化メッセージがＳＫＥ ＳＡ初期化応答メッセージであるかどうかを判定することができ、ＳＫＥ ＳＡ初期化応答メッセージである場合、プロセス１０００がブロック１００６に進む。ブロック１００６で、ＬＫＭがＳＡ状態をチェックし、チャネルが開始側であるかどうかを判定することができる。一部の実施形態では、ＨＢＡ５１８などのチャネルは、開始ノードが応答ノードでもあるループバック動作モードで、自分自身と通信してよい。ループバック・モードは、ＳＡモードが開始側および応答側の両方に設定されて、テストのために、または特殊なＦＩＣＯＮ動作モードとして、あるいはその両方に使用されることができる。ＳＡ状態が開始側である場合、ブロック１００８で、ＬＫＭがメッセージ・シーケンスのチェックを実行し、開始ノードおよび応答ノードの対に関連付けられたＳＡ状態マシン（SA state machine）で受信された最後のメッセージがＬＫＭ開始メッセージだったことを検証することができる。ブロック１０１０で、受信された最後のメッセージがＬＫＭ開始メッセージだったこと、したがって、予期しないメッセージ・シーケンスではないということを確認することに基づいて、ＬＫＭは、ＳＫＥ ＳＡ初期化応答メッセージのペイロード・タイプをチェックし、ＳＫＥ ＳＡ初期化応答メッセージのペイロード・タイプが通知メッセージ・タイプであるかどうかを判定することができる。通知メッセージ・タイプは、認証シーケンスにおけるさらなる進行を妨げる、応答ノードでの故障または他の条件を示すことができる。例えば、ＬＫＭ５２８などの応答ノードのＬＫＭは、通信エラー、鍵アクセス・エラー、シーケンス・エラー、または他のそのような条件を有することがある。

ブロック１００４での検証結果として、ＳＫＥ ＳＡ初期化メッセージがＳＫＥ ＳＡ初期化応答メッセージでない場合、エラー・ハンドラ１０１２が呼び出されることができる。ブロック１００６でＳＡ状態が不適合なＳＡ状態である場合、ブロック１００８で予期しないメッセージ・シーケンスが検出された場合、またはブロック１０１０でペイロード・タイプが通知メッセージ・タイプである場合にも、エラー・ハンドラ１０１２が呼び出されることができる。エラー・ハンドラ１０１２は、エラー条件が一時的条件だった場合、ブロック１００２で受信されたＳＫＥ ＳＡ初期化メッセージを拒否し、回復プロセスの一部として再試行シーケンスをサポートしてよい。共有鍵エラーまたはセキュリティ・アソシエーション・エラーなどの一部の条件下で、エラー・ハンドラ１０１２は、例えば、ＥＫＭサーバ５０６に対して、開始ノードと応答ノードとの間の共有鍵の新しい要求を行うことによって通信シーケンスを再初期化する回復プロセスを実行してよい。再試行が失敗した場合、または再試行が実行されない条件下で、通信シーケンスをサポートするために確保されているリソースが解放される。

ブロック１０１０で、ＳＫＥ ＳＡ初期化応答メッセージが通知メッセージ・タイプでないということを確認した後に、プロセス１０００がブロック１０１４に進む。ブロック１０１４で、ＬＫＭが、ＳＫＥ ＳＡ初期化応答メッセージのＳＡペイロードに基づいて暗号鍵のセットを導出することができる。鍵の導出は、例えば、図８のプロセス８００を参照して前述したようなステップを使用して実行されることができる。ブロック１０１６で、ＬＫＭが、ＳＫＥ ＳＡ初期化応答メッセージから抽出された１つまたは複数のパラメータに少なくとも部分的に基づいて、開始側の署名を計算することができる。例えば、開始側の署名は、応答側のノンス、共有鍵、開始側の識別子、および暗号鍵のセットからの少なくとも１つの鍵に基づくことができる。例えば、ＳＫＥ ＳＡ初期化応答メッセージは、前述したように、ＳＰＩおよびノンスの値を含んでよい。ＬＫＭは、入力に基づいてＨＭＡＣを計算することができ、応答ノードは、開始ノードのさらなる認証として、開始側の署名を独立して計算してもよい。

ＨＢＡ５１８などの開始チャネルは、セキュリティ能力をホストのＬＫＭに報告することができ、これらのセキュリティ能力は、ブロック１０１８で、開始チャネルによってサポートされる１つまたは複数のセキュリティ能力に基づいて提案リストを構築するために、ＬＫＭによって使用される。例えば、この能力は、開始ノードによってサポートされる暗号化アルゴリズムのリストを含むことができる。暗号化アルゴリズムは、例えば、計算複雑度または優先性を定めるために使用される別の指標に基づいて優先性を定義する、優先度リストとして格納されてよい。優先度リストは、ある期間にわたって異なる暗号化アルゴリズムが選択されることを保証し、セキュリティをさらに強化するために、時間と共に変化してよい。例えば、提案リスト内の優先度を定めるために、ＰＲＦが使用されることができる。

ブロック１０２０で、ＬＫＭが、暗号鍵のセットおよび提案リストに少なくとも部分的に基づいてＳＫＥ認証要求メッセージを構築し、暗号鍵のうちの１つまたは複数が、提案リストと共にＳＫＥ認証要求メッセージに含まれる開始側の署名を計算するために使用される。開始ノードは、既定の暗号化アルゴリズムを使用してＳＫＥ認証要求メッセージのペイロードを暗号化することができる。ブロック１０２２で、ＬＫＭが、暗号化されたペイロードを含むＳＫＥ認証要求メッセージを開始チャネルに送信し、開始チャネルが、ＳＫＥ認証要求メッセージを応答ノードの応答チャネルに送信する。

図１０のプロセス・フロー図は、プロセス１０００の動作がいずれかの特定の順序で実行されるということも、プロセス１０００の動作のすべてがすべての事例に含まれるということも、示すよう意図されていない。さらに、プロセス１０００は、任意の適切な数の追加の動作を含むことができる。

図１１は、本発明の１つまたは複数の実施形態に従って、ＳＫＥ認証要求に基づいてＳＫＥ認証（authentication）応答（本明細書では「ＳＫＥ認証（Auth）応答」とも呼ばれる）を生成するためのコンピューティング環境１１００のブロック図を示している。図１１に示されたコンピューティング環境１１００は、図５、図７、および図９に示されたコンピューティング環境５００、７００、９００に類似しており、ホスト５０２のためのストレージ・アレイ５０４でのＳＫＥ認証応答メッセージの構築が追加されている。

図１１の矢印５２６で示されているように、ホスト５０２上のＨＢＡ５１８が、ＳＫＥ ＳＡ初期化要求メッセージをストレージ・アレイ５０４上のＨＢＡ５２２に送信する。図１１の矢印７０６で示されているように、ストレージ・アレイ５０４上のＨＢＡ５２２が、ホスト５０２上のＨＢＡ５１８によって受信されたＳＫＥ ＳＡ初期化応答メッセージを送信する。ＳＫＥ ＳＡ初期化応答メッセージを受信することに応答して、ホスト５０２は、ＳＫＥ認証要求メッセージ（矢印９０６）をストレージ・アレイ５０４に送信する。ＳＫＥ認証要求メッセージを受信することに応答して、ＨＢＡ５２２は、（図１１の矢印１１０２で示されているように）ＳＫＥ認証要求メッセージをストレージ・アレイ５０４に位置しているＬＫＭ５２８に送信する。メッセージを受信することに応答して、ストレージ・アレイ５０４上のＬＫＭ５２８は、ＳＫＥ認証要求メッセージを検証し、他の期待される状態およびシーケンス値と共に、開始ノードおよび応答ノードのデバイス・グループが有効なＳＡの対を形成していることを確認する。ＬＫＭ５２８は、ＳＫＥ認証要求メッセージのペイロードを復号し、妥当性確認チェックを実行する。ＬＫＭ５２８は、署名チェックを実行し、開始ノードをさらに認証することができる。ＳＫＥ認証要求メッセージは、ストレージ・アレイ５０４上のＨＢＡ５２２によってもサポートされている暗号化アルゴリズムを選択するのを支援するために、ＨＢＡ５１８によってサポートされるセキュリティ能力に基づく提案リストを含むことができる。ＳＫＥ認証要求メッセージのペイロードは、提案リストに基づいて選択された暗号化アルゴリズムと同じである必要はない、異なる暗号化規格を使用して暗号化されることができる。提案リストから、ＨＢＡ５２２と互換性がある暗号化アルゴリズムが選択された後に、ＬＫＭ５２８は、選択された暗号化アルゴリズムを識別し、例えば、ＳＫＥ認証要求メッセージのペイロードを暗号化するために使用された暗号化アルゴリズムと同じ暗号化アルゴリズムを使用してペイロードを暗号化する、ＳＫＥ認証応答メッセージを構築することができる。

ＳＫＥ認証応答メッセージが、ＨＢＡ５２２またはチャネルに送信される。これが、図１１の矢印１１０４で示されている。ストレージ・アレイ５０４上の応答ＨＢＡ５２２は、図１１の矢印１１０６で示されているように、例えばＳＡＮネットワークを介して、ＳＫＥ認証応答メッセージを、ホスト５０２上の開始ＨＢＡ５１８に送信する。

図１１のブロック図は、コンピューティング環境１１００が図１１に示されたコンポーネントのすべてを含むことになるということを示すよう意図されていないということが、理解されるべきである。むしろ、コンピューティング環境１１００は、図１１に示された一部のコンポーネントが結合されるか、または１つまたは複数のコンポーネントによって実行される機能が、異なるコンポーネントまたは複数のコンポーネントによって実行されて、任意の適切なより少ないコンポーネントまたは図１１に示されていない追加のコンポーネントを含むことができる。例えば、１つまたは複数の追加のノード（例えば、ホストまたはストレージ・アレイあるいはその両方）が存在してよい。さらに、コンピューティング環境１１００に関して本明細書に記載された実施形態は、任意の適切な論理を使用して実装されてよく、論理は、本明細書で参照されるとき、さまざまな実施形態において、任意の適切なハードウェア（例えば、特に、プロセッサ、組み込みコントローラ、または特定用途向け集積回路）、ソフトウェア（例えば、特に、アプリケーション）、ファームウェア、またはハードウェア、ソフトウェア、およびファームウェアの任意の適切な組み合わせを含むことができる。

図１２は、本発明の１つまたは複数の他の実施形態に従って、ＳＫＥ認証メッセージの処理のためのプロセス１２００を示している。プロセス１２００の全部または一部が、例えば、図１１のＬＫＭ５２８などのＬＫＭによって実行されることができる。プロセス１２００は、ブロック１２０２で開始し、ＬＫＭがＳＫＥ認証メッセージを受信する。ＬＫＭは、妥当性確認チェックとして、ＳＫＥ認証メッセージがＳＫＥ認証要求メッセージであるかどうかを判定することができ、ＬＫＭは、ＳＫＥ認証要求メッセージ・タイプおよびＳＫＥ認証応答メッセージ・タイプの両方をサポートしてよい。

ブロック１２０４で、開始ノードおよび応答ノードのＳＡに基づいて、状態チェックが実行されることができる。状態チェックの例としては、共有鍵を使用して開始ノードおよび応答ノードの対のＳＡが存在することを確認することが挙げられる。ＳＡモードのチェックは、ＳＡのモードが応答側に設定されたことを確認することができる。ブロック１２０４での状態チェックは、ＬＫＭ５２８の最後に受信されたメッセージの状態および最後に送信されたメッセージの状態が期待値に一致することを検証することを含んでもよい。例えば、応答ノードから送信された最後のメッセージがＳＫＥ ＳＡ初期化応答メッセージであり、受信された最後のメッセージがＳＫＥ ＳＡ初期化要求メッセージであったことを確認するために、メッセージ・シーケンス状態マシン（message sequence state machine）がチェックされることができる。

ブロック１２０４で、状態に問題がない（例えば、すべての期待値が検証された）場合、ブロック１２０６で、メッセージが通知メッセージ・タイプであるかどうかを判定するために、ＳＫＥ認証要求メッセージのペイロード・タイプがチェックされることができる。通知メッセージ・タイプは、認証シーケンスにおけるさらなる進行を妨げる、開始ノードでの故障または他の条件を示すことができる。例えば、ＬＫＭ５２０などの開始ノードのＬＫＭは、通信エラー、鍵アクセス・エラー、シーケンス・エラー、または他のそのような条件を有することがある。通知メッセージ・タイプ・インジケータは、ＳＫＥ認証要求メッセージのペイロード内で暗号化されずに出現することができる。

ブロック１２０６で、メッセージのペイロードが通知メッセージ・タイプでない場合、ブロック１２０８で、メッセージのペイロードが復号されることができる。復号後に、ブロック１２１０で、妥当性確認チェックがさらに実行されることができる。ＳＫＥ認証要求メッセージの妥当性確認チェックは、例えば、ペイロードを復号することに基づいて、ペイロードの１つまたは複数のメッセージ・ヘッダー・パラメータおよび識別子をチェックすることを含むことができる。メッセージ・ヘッダー内でチェックされることができるパラメータは、バージョンおよびペイロード長を含んでよい。ＳＫＥ ＳＡ初期化要求メッセージに基づいて、メッセージ内で識別されたワールドワイド・ノード・ネームまたはワールドワイド・ポート・ネームが期待値に一致するということを確認するために、ＳＫＥ認証要求メッセージの復号されたペイロードがチェックされることができる。

ブロック１２１２で、ＬＫＭ５２８が開始側の署名を計算することができ、ブロック１２１４で、開始側の署名がチェックされることができる。開始側の署名は、以前に決定された値またはＳＫＥ ＳＡ初期化要求メッセージなどの以前のメッセージから抽出された値に基づいて計算されることができる。例えば、開始側の署名は、応答側のノンス、共有鍵、開始側の識別子、および暗号鍵のセットからの少なくとも１つの鍵に基づいて、ＬＫＭ５２８で計算されることができる。計算された開始側の署名は、ＳＫＥ認証要求メッセージで受信された開始側の署名と比較されることができ、開始側の署名は、さらなる妥当性確認として、復号後にＳＫＥ認証要求メッセージのペイロードから抽出されてよい。

ブロック１２１４で、開始側の署名のチェックが合格した場合、ブロック１２１６で、応答側の署名が計算されることができる。応答側の署名は、開始側のノンス、共有鍵、応答側の識別子、および暗号鍵のセットからの少なくとも１つの鍵に基づいて計算されることができる。応答側の署名を計算することにおいて使用される１つまたは複数の値は、ＳＫＥ ＳＡ初期化要求メッセージなどの以前のメッセージから抽出された値に基づいてよい。

ブロック１２１８で、ＳＫＥ認証要求メッセージで受信された提案リスト、および応答ノードによってサポートされている最高の優先度の暗号化アルゴリズムの能力に基づいて、開始チャネルと応答チャネルとの間のデータを暗号化するための暗号化アルゴリズムが選択される。開始ノードおよび応答ノードによってサポートされる暗号化アルゴリズムを提案リストから選択することにおいてＬＫＭ５２８を支援するために、ＨＢＡ５２２の能力がＬＫＭ５２８に報告されることができる。ブロック１２２０で、アルゴリズムの選択が可能ではないということが決定され、応答ノードが提案リストからの暗号化アルゴリズムをどれもサポートしない場合、ブロック１２２２で、ＳＫＥ認証要求メッセージが拒否される。ブロック１２０４での予期しない状態、ブロック１２０６で検出された通知メッセージ・タイプ、ブロック１２１０での妥当性確認チェックの失敗、またはブロック１２１４での署名チェックの失敗に基づいて、ブロック１２２２で、ＳＫＥ認証要求メッセージが拒否されることもできる。ＳＫＥ認証要求メッセージの拒否は再試行の選択肢をサポートすることができ、その場合、応答ノードは、代替のＳＫＥ認証要求メッセージを受け入れる準備ができている。通信セッションがキャンセルされ、関連する値が消去される前にサポートされる再試行の既定の数が存在してよい。

ブロック１２２０で、暗号化アルゴリズムの選択が可能である場合、ブロック１２２４で、ＬＫＭ５２８がＳＫＥ認証応答メッセージを構築する。ＳＫＥ認証応答メッセージの構築は、状態チェックの成功、妥当性確認の成功、および提案リストから暗号化アルゴリズムのうちの１つを選択することに、少なくとも部分的に基づくことができる。ＳＫＥ認証応答メッセージのペイロードは、ブロック１２１６で計算された応答側の署名、およびブロック１２１８での選択に基づいて選択された暗号化アルゴリズムのインジケータを含むことができる。ＳＫＥ認証応答メッセージのペイロードは、例えば、ＳＫＥ認証要求メッセージのペイロードを暗号化するために使用された暗号化アルゴリズムと同じ暗号化アルゴリズムを使用して暗号化される。ＳＫＥ認証応答メッセージは、提案リストとは無関係に暗号化される。

ブロック１２２６で、ＬＫＭ完了メッセージが構築される。ＬＫＭ完了メッセージは、選択された暗号化アルゴリズムを使用して開始チャネルと応答チャネルとの間の暗号化された通信を可能にするために、１つまたは複数のセッション鍵、開始側のＳＰＩ、および応答側のＳＰＩを含むことができる。データ転送鍵とも呼ばれるセッション鍵は、選択された暗号化アルゴリズムおよびシーディング鍵として以前に導出された暗号鍵のセットのうちの１つまたは複数に基づいて計算されることができる。セッション鍵は、開始ノードおよび応答ノードの両方によって選択された暗号化アルゴリズムの知識と組み合わせて、開始チャネルと応答チャネルとの間のデータ転送の暗号化および復号をサポートすることができる。ＬＫＭ完了メッセージは、ＳＡ状態を完了に設定してもよく、認証プロセスに関連付けられた除去動作をさらにトリガーしてよい。加えて、セッション鍵再生成タイマが再開されてよい。セッション鍵再生成タイマは、図１５に関して下で説明されるように、鍵再生成プロセスをトリガーすることができる。セッション鍵再生成タイマは、期限切れになる時間の量およびターゲット・ノードとソース・ノードとの間に発生する交換の数のうちの１つまたは両方に基づいて、期限が切れることができる。

ブロック１２２８で、ＳＫＥ認証応答メッセージおよびＬＫＭ完了メッセージが、ＬＫＭ５２８からＨＢＡ５２２に送信される。ＨＢＡ５２２がＳＫＥ認証応答メッセージをＨＢＡ５１８に送信した後に、選択された暗号化アルゴリズムを使用してＨＢＡ５１８と通信するために、ＬＫＭ完了メッセージがＨＢＡ５２２の再構成をトリガーすることができる。

図１２のプロセス・フロー図は、プロセス１２００の動作がいずれかの特定の順序で実行されるということも、プロセス１２００の動作のすべてがすべての事例に含まれるということも、示すよう意図されていない。さらに、プロセス１２００は、任意の適切な数の追加の動作を含むことができる。

図１３は、本発明の１つまたは複数の実施形態に従って、ＳＫＥ認証応答に基づくＨＢＡの鍵読み込みのためのコンピューティング環境１３００のブロック図を示している。図１３に示されたコンピューティング環境１３００は、図５、図７、図９、および図１１に示されたコンピューティング環境５００、７００、９００、１１００に類似しており、暗号化されたリンク経路の確立を終了するためのホスト５０２でのＳＫＥ認証応答メッセージの処理が追加されている。

図１３の矢印５２６で示されているように、ホスト５０２上のＨＢＡ５１８が、ＳＫＥ ＳＡ初期化要求メッセージをストレージ・アレイ５０４上のＨＢＡ５２２に送信する。図１３の矢印７０６で示されているように、ストレージ・アレイ５０４上のＨＢＡ５２２が、ホスト５０２上のＨＢＡ５１８によって受信されたＳＫＥ ＳＡ初期化応答メッセージを送信する。ＳＫＥ ＳＡ初期化応答メッセージを受信することに応答して、ホスト５０２は、ＳＫＥ認証要求メッセージ（矢印９０６）をストレージ・アレイ５０４に送信する。ＳＫＥ認証要求メッセージを受信することに応答して、ＨＢＡ５２２は、ＳＫＥ認証応答メッセージ（矢印１１０６）でＨＢＡ５１８に応答する。

ＳＫＥ認証応答メッセージを受信することに応答して、ＨＢＡ５１８は、（図１３の矢印１３０２で示されているように）ＳＫＥ認証応答メッセージをホスト５０２に位置しているＬＫＭ５２０に送信する。メッセージを受信することに応答して、ホスト５０２上のＬＫＭ５２０は、ＳＫＥ認証応答が受信されたことを検証し、他の期待される状態およびシーケンス値と共に、開始ノードおよび応答ノードのデバイス・グループが有効なＳＡの対を形成していることを確認する。ＬＫＭ５２０は、ＳＫＥ認証応答メッセージペイロードを復号し、妥当性確認チェックを実行する。ＬＫＭ５２０は、署名チェックを実行し、応答ノードをさらに認証することができる。ＳＫＥ認証応答メッセージは、ＳＫＥ認証要求メッセージの提案リストで以前に送信された暗号化アルゴリズムのうちの１つに対応する選択された暗号化アルゴリズムを含むことができる。一部の実施形態では、選択された暗号化アルゴリズムは、暗号化なし、認証のみであってよい。ＳＫＥ認証応答メッセージのペイロードは、提案リストに基づいて選択された暗号化アルゴリズムと同じである必要はない、異なる暗号化規格を使用して暗号化されることができる。提案リストからＨＢＡ５１８およびＨＢＡ５２２と互換性がある暗号化アルゴリズム選択された後に、ＬＫＭ５２０は、この選択を揮発性メモリにローカルに格納することができる。ＬＫＭ５２０は、ＨＢＡ５２２との通信の暗号化および復号においてＨＢＡ５１８を支援するために、選択された暗号化アルゴリズム、セッション鍵、およびＳＰＩを識別するＬＫＭ完了メッセージを構築することができる。ＬＫＭ完了メッセージは、矢印１３０４で示されているように、ＨＢＡ５１８に送信されることができる。

ＨＢＡ５１８は、矢印１３０６で示されているように、ＬＫＭ完了メッセージからの情報を使用してＨＢＡ５２２と通信し、ＨＢＡ５１８とＨＢＡ５２２との間で選択された暗号化アルゴリズムを使用する暗号化されたリンク経路の確立を終了するように構成されることができる。

図１３のブロック図は、コンピューティング環境１３００が図１３に示されたコンポーネントのすべてを含むことになるということを示すよう意図されていないということが、理解されるべきである。むしろ、コンピューティング環境１３００は、図１３に示された一部のコンポーネントが結合されるか、または１つまたは複数のコンポーネントによって実行される機能が、異なるコンポーネントまたは複数のコンポーネントによって実行されて、任意の適切なより少ないコンポーネントまたは図１３に示されていない追加のコンポーネントを含むことができる。例えば、１つまたは複数の追加のノード（例えば、ホストまたはストレージ・アレイあるいはその両方）が存在してよい。さらに、コンピューティング環境１３００に関して本明細書に記載された実施形態は、任意の適切な論理を使用して実装されてよく、論理は、本明細書で参照されるとき、さまざまな実施形態において、任意の適切なハードウェア（例えば、特に、プロセッサ、組み込みコントローラ、または特定用途向け集積回路）、ソフトウェア（例えば、特に、アプリケーション）、ファームウェア、またはハードウェア、ソフトウェア、およびファームウェアの任意の適切な組み合わせを含むことができる。

図１４は、本発明の１つまたは複数の実施形態に従って、ＳＫＥ認証応答に基づくＨＢＡのチャネルの鍵読み込みのためのプロセス１４００を示している。プロセス１４００の全部または一部が、例えば、図１３のＬＫＭ５２０などのＬＫＭによって実行されることができる。プロセス１４００は、ブロック１４０２で開始し、ＬＫＭがＳＫＥ認証メッセージを受信する。ブロック１４０４で、ＬＫＭは、妥当性確認チェックとして、ＳＫＥ認証メッセージがＳＫＥ認証応答メッセージであるかどうかを判定することができ、ＬＫＭは、ＳＫＥ認証要求メッセージ・タイプおよびＳＫＥ認証応答メッセージ・タイプの両方をサポートしてよい。

ブロック１４０４で、ＳＫＥ認証応答メッセージが受信されたということを確認した後に、プロセス１４００がブロック１４０６に進む。ブロック１４０６で、開始ノードおよび応答ノードのＳＡに基づいて、状態チェックが実行されることができる。状態チェックの例としては、共有鍵を使用して開始ノードおよび応答ノードの対のＳＡが存在することを確認することが挙げられる。ＳＡモードのチェックは、ＳＡのモードが開始側に設定されたことを確認することができる。ブロック１４０６での状態チェックは、ＬＫＭ５２０の最後に受信されたメッセージの状態および最後に送信されたメッセージの状態が期待値に一致することを検証することを含んでもよい。例えば、開始ノードから送信された最後のメッセージがＳＫＥ認証要求メッセージであり、受信された最後のメッセージがＳＫＥ ＳＡ初期化応答メッセージであったことを確認するために、メッセージ・シーケンス状態マシンがチェックされることができる。

ブロック１４０６で、状態に問題がない（例えば、すべての期待値が検証された）場合、ブロック１４０８で、メッセージが通知メッセージ・タイプであるかどうかを判定するために、ＳＫＥ認証応答メッセージのペイロード・タイプがチェックされることができる。通知メッセージ・タイプは、認証シーケンスにおけるさらなる進行を妨げる、開始ノードでの故障または他の条件を示すことができる。例えば、ＬＫＭ５２８などの応答ノードのＬＫＭは、通信エラー、鍵アクセス・エラー、シーケンス・エラー、または他のそのような条件を有することがある。通知メッセージ・タイプ・インジケータは、ＳＫＥ認証応答メッセージのペイロード内で暗号化されずに出現することができる。

ブロック１４０８で、メッセージのペイロードが通知メッセージ・タイプでない場合、ブロック１４１０で、メッセージのペイロードが復号されることができる。復号後に、ブロック１４１２で、妥当性確認チェックがさらに実行されることができる。ＳＫＥ認証応答メッセージの妥当性確認チェックは、例えば、ペイロードを復号することに基づいて、ペイロードの１つまたは複数のメッセージ・ヘッダー・パラメータおよび識別子をチェックすることを含むことができる。メッセージ・ヘッダー内でチェックされることができるパラメータは、バージョンおよびペイロード長を含んでよい。ＬＫＭ開始メッセージに基づいて、メッセージ内で識別されたワールドワイド・ノード・ネームまたはワールドワイド・ポート・ネームが期待値に一致するということを確認するために、ＳＫＥ認証応答メッセージの復号されたペイロードがチェックされることができる。

ブロック１４１４で、ＬＫＭ５２０が応答側の署名を計算することができ、ブロック１４１６で、応答側の署名がチェックされることができる。応答側の署名は、開始側のノンス、共有鍵、応答側の識別子、および暗号鍵のセットからの少なくとも１つの鍵に基づいて計算されることができる。応答側の署名を計算することにおいて使用される１つまたは複数の値は、ＳＫＥ ＳＡ初期化応答メッセージなどの以前のメッセージから抽出された値に基づいてよい。計算された応答側の署名は、ＳＫＥ認証応答メッセージで受信された応答側の署名と比較されることができ、応答側の署名は、さらなる妥当性確認として、復号後にＳＫＥ認証応答メッセージのペイロードから抽出されてよい。ブロック１４１６で、署名の妥当性確認チェックが失敗した場合、ブロック１４１８で、ＳＫＥ認証応答メッセージが拒否される。ブロック１４０４での予期しないメッセージ、ブロック１４０６での予期しない状態、ブロック１４０８で検出された通知メッセージ・タイプ、またはブロック１４１２での妥当性確認チェックの失敗（例えば、失敗した妥当性確認結果）に基づいて、ブロック１４１８で、ＳＫＥ認証応答メッセージが拒否されることもできる。ＳＫＥ認証応答メッセージの拒否は再試行の選択肢をサポートすることができ、その場合、開始ノードは、代替のＳＫＥ認証応答メッセージを受け入れる準備ができている。通信セッションがキャンセルされ、関連する値が消去される前にサポートされる再試行の既定の数が存在してよい。ブロック１４１６で、応答側の署名のチェックが合格した場合、ブロック１４２０で、ＳＫＥ認証応答メッセージからの選択された暗号化アルゴリズムが識別されて保存される。

ブロック１４２２で、ＬＫＭ完了メッセージが構築される。ＬＫＭ完了メッセージは、選択された暗号化アルゴリズムを使用して開始チャネルと応答チャネルとの間の暗号化された通信を可能にするために、１つまたは複数のセッション鍵、開始側のＳＰＩ、および応答側のＳＰＩを含むことができる。データ転送鍵とも呼ばれるセッション鍵は、選択された暗号化アルゴリズムおよびシーディング鍵として以前に導出された暗号鍵のセットのうちの１つまたは複数に基づいて計算されることができる。セッション鍵は、開始ノードおよび応答ノードの両方によって選択された暗号化アルゴリズムの知識と組み合わせて、開始チャネルと応答チャネルとの間のデータ転送の暗号化および復号をサポートすることができる。ＬＫＭ完了メッセージは、ＳＡ状態を完了に設定してもよく、認証プロセスに関連付けられた除去動作をさらにトリガーしてよい。

ブロック１４２４で、セッション鍵再生成タイマが開始される。セッション鍵再生成タイマは、図１５に関して下で説明されるように、鍵再生成プロセスをトリガーすることができる。セッション鍵再生成タイマは、期限切れになる時間の量およびターゲット・ノードとソース・ノードとの間に発生する交換の数のうちの１つまたは両方に基づいて、期限が切れることができる。対応するノードが異なるポリシーを有することがあるため、開始チャネルでのセッション鍵再生成タイマは、応答チャネルでのセッション鍵再生成タイマとは異なる時間に期限が切れてよい。ブロック１４２６で、セッション鍵再生成タイマの開始後に、ＬＫＭ完了メッセージが開始チャネルに送信されることができる。ＬＫＭ完了メッセージの受信時に、ＨＢＡ５１８は、選択された暗号化アルゴリズムに基づいてＨＢＡ５２２との暗号化された通信をサポートするために、鍵を読み込むことができる。その後、セッションの完了または鍵の再生成まで、選択された暗号化アルゴリズムおよびセッション鍵を使用してＨＢＡ５１８とＨＢＡ５２２との間のデータ転送が実行される。

図１４のプロセス・フロー図は、プロセス１４００の動作がいずれかの特定の順序で実行されるということも、プロセス１４００の動作のすべてがすべての事例に含まれるということも、示すよう意図されていない。さらに、プロセス１４００は、任意の適切な数の追加の動作を含むことができる。本発明の一部の実施形態に従って、開始側（例えば、開始ノードまたはソース・ノード）のみによって鍵再生成プロセスが制御される。

ここで図１５を参照すると、本発明の１つまたは複数の実施形態に従って、ＳＫＥを使用して安全なデータ転送を提供するコンピューティング環境内で鍵を更新するためのプロセス１５００が一般的に示されている。プロセス１５００の全部または一部が、例えば、図５のＬＫＭ５２０またはＬＫＭ５２８などのＬＫＭによって実行されることができる。前述したように、本発明の１つまたは複数の実施形態に従って、システム・ポリシーに基づいて、共有鍵再生成タイマおよびセッション鍵再生成タイマが設定される。本発明の１つまたは複数の実施形態に従って、ノードの各々で、ＬＫＭによって鍵再生成タイマが開始され、追跡される。

ブロック１５０２でプロセス１５００が開始し、鍵再生成タイマの期限が切れる。ブロック１５０４で、鍵再生成タイマが共有鍵再生成タイマまたはセッション鍵再生成タイマのいずれであるかが判定される。ブロック１５０４で、共有鍵再生成タイマの期限が切れたということが決定された場合、ブロック１５０６で処理が続行する。前述したように、共有鍵再生成タイマは、図５のＥＫＭ５０６などのＥＫＭから取得された共有鍵が図５のホスト５０２およびストレージ・アレイ５０４などの２つのノード間の通信に有効なままである、時間の量に関連している。本発明の１つまたは複数の実施形態に従って、コンピューティング環境内の各ノードでのＬＫＭは、コンピューティング環境内のノードと他のノードとの間に存在する共有鍵ごとに別々の共有鍵再生成タイマを制御する（例えば、開始して監視する）。各共有鍵再生成タイマは、ノードの対を含んでいるデバイス・グループに関連付けられる（各対は、ＬＫＭが実行されているノードを含んでいる）。加えて、ＬＫＭは、安全な通信のために共有鍵の現在の値およびノードと他のノードとの間に存在する共有鍵ごとの共有鍵識別子を格納する。

ブロック１５０６で、共有鍵再生成タイマに関連付けられたノードの対間にデバイス・グループが存在するかどうかが決定される。デバイス・グループ存在しないということが決定された場合、ブロック１５０８で処理が続行し、図５および図６に関して前述した方法などの方法で、ノードの対間にデバイス・グループを作成する。デバイス・グループが作成された後に、ブロック１５１０で処理が続行する。

ブロック１５０６で、ノードの対間にデバイス・グループが存在するということが決定された場合、ブロック１５１０で処理が続行する。ブロック１５１０で、新しい共有鍵が作成される。本発明の１つまたは複数の実施形態に従って、ＬＫＭが、ノードの対を含んでいるデバイス・グループの新しい共有鍵に対する要求を、図５のＥＫＭサーバ５０６などのＥＫＭに送信する。この要求を受信することに応答して、ＥＫＭは、デバイス・グループの新しい鍵を作成し、この新しい鍵をデバイス・グループの共有鍵識別子に関連付ける。ＥＫＭは、新しい鍵を、要求しているＬＫＭに送信する。ＬＫＭによる共有鍵の受信は、ＥＫＭに対して更新された鍵を要求することに続いて（または代替として、新しい鍵が作成されたという通知をＥＫＭから受信することに応答して）、ＬＫＭが、現在の鍵（すなわち、更新された鍵）を要求するために、共有鍵識別子を含んでいる第２の要求をＥＫＭに送信するという、複数のステップのプロセスであってよい。ＥＫＭは、共有鍵識別子に対応する共有鍵の値を、要求しているＬＫＭに返すことによって応答する。ブロック１５１２で、更新された鍵が、ＬＫＭによって現在の共有鍵として格納される。本発明の１つまたは複数の実施形態に従って、ＬＫＭは、ＬＫＭが実行されているノード上のチャネルと他のノード上の他のチャネルとの間の現在の通信セッションまたはＳＡを追跡する。現在の通信セッションの各々は、セッションが終了するか、またはセッション鍵再生成タイマの期限が切れるまで、前の共有鍵（すなわち、新しい共有鍵が作成される前に使用されていた共有鍵）を使用し続ける。ＬＫＭが、現在の通信セッションが前の共有鍵をもはや使用していないということを決定した後に、ブロック１５１４で、前の共有鍵が取り消される。本発明の１つまたは複数の実施形態に従って、ＬＫＭは、ＳＡを使用している現在の通信セッションの状態に関する情報を格納した。

ブロック１５０４で、セッション鍵再生成タイマの期限が切れたということが決定された場合、ブロック１５１６で処理が続行する。前述したように、セッション鍵再生成タイマは、セッション鍵（複数の鍵を含んでよい）が図５のＨＢＡ５１８およびＨＢＡ５２２などの２つのチャネル間の通信セッションに有効なままである、時間の量に関連している。本発明の１つまたは複数の実施形態に従って、コンピューティング環境内の各ノードでのＬＫＭは、コンピューティング環境内のノード上のチャネルと他のノード上のチャネルとの間の処理中である通信セッションごとに別々のセッション鍵再生成タイマを制御する（例えば、開始して監視する）。各セッション鍵再生成タイマは、チャネルの対に関連付けられる（各対は、ＬＫＭが実行されているノード上のチャネルを含んでいる）。

ブロック１５１６で、ＬＫＭが、期限が切れたセッション鍵再生成タイマに関連付けられたチャネルの対が位置しているノードに関連付けられた現在の共有鍵にアクセスする。ブロック１５１８で、ＬＫＭが、図５および図６に関して前述した方法などの方法で、ＳＫＥ ＳＡ初期化要求メッセージを構築する。ブロック１５２０で、ＳＫＥ ＳＡ初期化要求メッセージが、セッション鍵の再ネゴシエーションを開始するために、他のノード上のチャネルに送信される。本発明の１つまたは複数の実施形態に従って、再ネゴシエーションは、チャネルの対間でＳＫＥ ＳＡ初期化要求メッセージ、ＳＫＥ ＳＡ初期化応答メッセージ、ＳＫＥ認証要求メッセージ、およびＳＫＥ認証応答メッセージを交換することを含む。

鍵を更新または再生する能力を提供することは、セキュリティの別の層をシステムにもたらす。本発明の一部の実施形態に従って、共有鍵は、セッション鍵より少ない頻度で更新される。

図１５のプロセス・フロー図は、プロセス１５００の動作がいずれかの特定の順序で実行されるということも、プロセス１５００の動作のすべてがすべての事例に含まれるということも、示すよう意図されていない。さらに、プロセス１５００は、任意の適切な数の追加の動作を含むことができる。

本明細書ではさまざまな実施形態が説明されたが、他の変形形態および実施形態が可能である。

本発明の１つまたは複数の態様は、コンピュータ技術に密接に関係しており、コンピュータ内の処理を容易にし、その性能を改善する。１つの例では、ノード間のリンクを認証することにおいて性能強化が実現される。これらのリンクは、リンクによって結合されたノード間でメッセージを安全に送信するために使用される。１つまたは複数の態様は、リンクの初期化時間を短縮するか、コンピュータ環境内の生産性を向上させるか、コンピュータ環境内のセキュリティを強化するか、またはシステム性能を向上させるか、あるいはその組み合わせを行う。

エミュレーション環境を含むが、これに限定されない、さらに他の種類のコンピューティング環境が、本発明の１つまたは複数の態様を組み込んで使用してもよく、その例が、図１６Ａを参照して説明される。この例では、コンピューティング環境３５は、例えば、１つまたは複数のバス４３または他の接続あるいはその両方を介して互いに結合された、ネイティブ中央処理装置（ＣＰＵ）３７、メモリ３９、および１つまたは複数の入出力デバイスまたはインターフェイスあるいはその両方４１を含む。例として、コンピューティング環境３５は、Ｉｎｔｅｒｎａｔｉｏｎａｌ Ｂｕｓｉｎｅｓｓ Ｍａｃｈｉｎｅｓ Ｃｏｒｐｏｒａｔｉｏｎ（ニューヨーク州アーモンク）によって提供されるＰｏｗｅｒＰＣプロセッサ、あるいはＩｎｔｅｒｎａｔｉｏｎａｌ Ｂｕｓｉｎｅｓｓ Ｍａｃｈｉｎｅｓ Ｃｏｒｐｏｒａｔｉｏｎ、Ｉｎｔｅｌ、または他の企業によって提供されるアーキテクチャに基づく他のマシン、あるいはその組み合わせを含んでよい。

ネイティブ中央処理装置３７は、環境内で処理中に使用される１つまたは複数の汎用レジスタまたは１つまたは複数の専用レジスタあるいはその両方などの、１つまたは複数のネイティブ・レジスタ４５を含む。これらのレジスタは、いずれかの特定の時点での環境の状態を表す情報を含む。

さらに、ネイティブ中央処理装置３７は、メモリ３９に格納された命令およびコードを実行する。１つの特定の例では、中央処理装置は、メモリ３９に格納されたエミュレータ・コード４７を実行する。このコードは、あるアーキテクチャで構成されたコンピューティング環境が、別のアーキテクチャをエミュレートできるようにする。例えば、エミュレータ・コード４７は、ｚ／Ａｒｃｈｉｔｅｃｔｕｒｅ以外のアーキテクチャに基づくマシン（ＰｏｗｅｒＰＣプロセッサ、あるいは他のサーバまたはプロセッサなど）が、ｚ／Ａｒｃｈｉｔｅｃｔｕｒｅをエミュレートし、ｚ／Ａｒｃｈｉｔｅｃｔｕｒｅに基づいて開発されたソフトウェアおよび命令を実行できるようにする。

エミュレータ・コード４７に関連する詳細が、図１６Ｂを参照してさらに説明される。メモリ３９に格納されたゲスト命令４９は、ネイティブＣＰＵ３７のアーキテクチャ以外のアーキテクチャにおいて実行されるように開発された（例えば、マシン命令と相互関係がある）ソフトウェア命令を含む。例えば、ゲスト命令４９は、ｚ／Ａｒｃｈｉｔｅｃｔｕｒｅプロセッサ上で実行するように設計されてよいが、代わりに、例えばインテル・プロセッサであってよい、ネイティブＣＰＵ３７上でエミュレートされる。１つの例では、エミュレータ・コード４７は、メモリ３９から１つまたは複数のゲスト命令４９を取得するため、および取得された命令のローカル・バッファリングを任意選択的に提供するための命令フェッチ・ルーチン５１を含む。エミュレータ・コード４７は、取得されたゲスト命令の種類を決定するため、およびゲスト命令を、１つまたは複数の対応するネイティブ命令５５に変換するための命令変換ルーチン５３も含む。この変換は、例えば、ゲスト命令によって実行される機能を識別すること、およびこの機能を実行するためのネイティブ命令を選択することを含む。

さらに、エミュレータ・コード４７は、ネイティブ命令の実行を引き起こすためのエミュレーション制御ルーチン５７を含む。エミュレーション制御ルーチン５７は、ネイティブＣＰＵ３７に、１つまたは複数のすでに取得されたゲスト命令をエミュレートするネイティブ命令のルーチンを実行させ、そのような実行の終了時に、次のゲスト命令またはゲスト命令のグループの取得をエミュレートするために、制御を命令フェッチ・ルーチンに返してよい。ネイティブ命令５５の実行は、データをメモリ３９からレジスタに読み込むこと、データをレジスタからメモリに再び格納すること、あるいは変換ルーチンによって決定された何らかの種類の算術演算または論理演算を実行することを含んでよい。

例えば、各ルーチンは、メモリに格納されてネイティブ中央処理装置３７によって実行されるソフトウェアにおいて実装される。他の例では、ルーチンまたは動作のうちの１つまたは複数は、ファームウェア、ハードウェア、ソフトウェア、またはこれらの何らかの組み合わせにおいて実装される。エミュレートされたプロセッサのレジスタは、ネイティブＣＰＵのレジスタ４５を使用して、またはメモリ３９内の位置を使用することによって、エミュレートされてよい。実施形態では、ゲスト命令４９、ネイティブ命令５５、およびエミュレータ・コード３７は、同じメモリ内に存在してよく、または異なるメモリ・デバイス間で分配されてよい。

１つまたは複数の態様がクラウド・コンピューティングに関連してよい。

本開示にはクラウド・コンピューティングに関する詳細な説明が含まれているが、本明細書において示された内容の実装は、クラウド・コンピューティング環境に限定されないと理解されるべきである。本発明の実施形態は、現在既知であるか、または今後開発される任意の他の種類のコンピューティング環境と組み合わせて実装できる。

クラウド・コンピューティングは、構成可能な計算リソース（例えば、ネットワーク、ネットワーク帯域幅、サーバ、処理、メモリ、ストレージ、アプリケーション、仮想マシン、およびサービス）の共有プールへの便利なオンデマンドのネットワーク・アクセスを可能にするためのサービス提供モデルであり、管理上の手間またはサービス・プロバイダとのやりとりを最小限に抑えて、これらのリソースを迅速にプロビジョニングおよび解放することができる。このクラウド・モデルは、少なくとも５つの特徴、少なくとも３つのサービス・モデル、および少なくとも４つのデプロイメント・モデルを含んでよい。

特徴は、次のとおりである。

オンデマンドのセルフ・サービス：クラウドの利用者は、サーバの時間およびネットワーク・ストレージなどの計算能力を一方的に、サービス・プロバイダとの人間的なやりとりを必要とせず、必要に応じて自動的にプロビジョニングすることができる。

幅広いネットワーク・アクセス：クラウドの能力は、ネットワークを経由して利用可能であり、標準的なメカニズムを使用してアクセスできるため、異種のシン・クライアントまたはシック・クライアント・プラットフォーム（例えば、携帯電話、ラップトップ、およびＰＤＡ）による利用を促進する。

リソース・プール：プロバイダの計算リソースは、プールされ、マルチテナント・モデルを使用して複数の利用者に提供される。さまざまな物理的および仮想的リソースが、要求に従って動的に割り当ておよび再割り当てされる。場所に依存しないという感覚があり、利用者は通常、提供されるリソースの正確な場所に関して管理することも知ることもないが、さらに高い抽象レベルでは、場所（例えば、国、州、またはデータセンター）を特定できる場合がある。

迅速な順応性：クラウドの能力は、迅速かつ柔軟に、場合によっては自動的にプロビジョニングされ、素早くスケールアウトし、迅速に解放されて素早くスケールインすることができる。プロビジョニングに使用できる能力は、利用者には、多くの場合、任意の量をいつでも無制限に購入できるように見える。

測定されるサービス：クラウド・システムは、計測機能を活用することによって、サービスの種類（例えば、ストレージ、処理、帯域幅、およびアクティブなユーザのアカウント）に適した抽象レベルで、リソースの使用を自動的に制御および最適化する。リソースの使用状況は監視、制御、および報告することができ、利用されるサービスのプロバイダと利用者の両方に透明性が提供される。

サービス・モデルは、次のとおりである。

ＳａａＳ（Software as a Service）：利用者に提供される能力は、クラウド・インフラストラクチャ上で稼働しているプロバイダのアプリケーションの利用である。それらのアプリケーションは、Ｗｅｂブラウザ（例えば、Ｗｅｂベースの電子メール）などのシン・クライアント・インターフェイスを介して、さまざまなクライアント・デバイスからアクセスできる。利用者は、ネットワーク、サーバ、オペレーティング・システム、ストレージ、または個々のアプリケーション機能を含む基盤になるクラウド・インフラストラクチャを、限定的なユーザ固有のアプリケーション構成設定を行う可能性を除き、管理することも制御することもない。

ＰａａＳ（Platform as a Service）：利用者に提供される能力は、プロバイダによってサポートされるプログラミング言語およびツールを使用して作成された、利用者が作成または取得したアプリケーションをクラウド・インフラストラクチャにデプロイすることである。利用者は、ネットワーク、サーバ、オペレーティング・システム、またはストレージを含む基盤になるクラウド・インフラストラクチャを管理することも制御することもないが、デプロイされたアプリケーション、および場合によってはアプリケーション・ホスティング環境の構成を制御することができる。

ＩａａＳ（Infrastructure as a Service）：利用者に提供される能力は、処理、ストレージ、ネットワーク、および他の基本的な計算リソースのプロビジョニングであり、利用者は、オペレーティング・システムおよびアプリケーションを含むことができる任意のソフトウェアをデプロイして実行できる。利用者は、基盤になるクラウド・インフラストラクチャを管理することも制御することもないが、オペレーティング・システム、ストレージ、デプロイされたアプリケーションを制御することができ、場合によっては、選択されたネットワーク・コンポーネント（例えば、ホスト・ファイアウォール）を限定的に制御できる。

デプロイメント・モデルは、次のとおりである。

プライベート・クラウド：このクラウド・インフラストラクチャは、組織のためにのみ運用される。この組織またはサード・パーティによって管理することができ、オンプレミスまたはオフプレミスに存在することができる。

コミュニティ・クラウド：このクラウド・インフラストラクチャは、複数の組織によって共有され、関心事（例えば、任務、セキュリティ要件、ポリシー、およびコンプライアンスに関する考慮事項）を共有している特定のコミュニティをサポートする。これらの組織またはサード・パーティによって管理することができ、オンプレミスまたはオフプレミスに存在することができる。

パブリック・クラウド：このクラウド・インフラストラクチャは、一般ユーザまたは大規模な業界団体が使用できるようになっており、クラウド・サービスを販売する組織によって所有される。

ハイブリッド・クラウド：このクラウド・インフラストラクチャは、データとアプリケーションの移植を可能にする標準化された技術または独自の技術（例えば、クラウド間の負荷分散を調整するためのクラウド・バースト）によって固有の実体を維持したまま互いに結合された２つ以上のクラウド（プライベート、コミュニティ、またはパブリック）の複合体である。

クラウド・コンピューティング環境は、ステートレス性、低結合性、モジュール性、および意味的相互運用性に重点を置いたサービス指向の環境である。クラウド・コンピューティングの中心になるのは、相互接続されたノードのネットワークを含んでいるインフラストラクチャである。

ここで図１７を参照すると、例示的なクラウド・コンピューティング環境５０が示されている。図示されているように、クラウド・コンピューティング環境５０は、クラウドの利用者によって使用されるローカル・コンピューティング・デバイス（例えば、パーソナル・デジタル・アシスタント（ＰＤＡ：personal digital assistant）または携帯電話５４Ａ、デスクトップ・コンピュータ５４Ｂ、ラップトップ・コンピュータ５４Ｃ、または自動車コンピュータ・システム５４Ｎ、あるいはその組み合わせなど）が通信できる１つまたは複数のクラウド・コンピューティング・ノード５２を含んでいる。ノード５２は、互いに通信してよい。ノード５２は、１つまたは複数のネットワーク内で、本明細書において前述されたプライベート・クラウド、コミュニティ・クラウド、パブリック・クラウド、またはハイブリッド・クラウド、あるいはこれらの組み合わせなどに、物理的または仮想的にグループ化されてよい（図示されていない）。これによって、クラウド・コンピューティング環境５０は、クラウドの利用者がローカル・コンピューティング・デバイス上でリソースを維持する必要のないインフラストラクチャ、プラットフォーム、またはＳａａＳ、あるいはその組み合わせをサービスとして提供できる。図１７に示されたコンピューティング・デバイス５４Ａ～Ｎの種類は、例示のみが意図されており、コンピューティング・ノード５２およびクラウド・コンピューティング環境５０は、任意の種類のネットワークまたはネットワーク・アドレス指定可能な接続（例えば、Ｗｅｂブラウザを使用した接続）あるいはその両方を経由して任意の種類のコンピュータ化したデバイスと通信することができると理解される。

ここで図１８を参照すると、クラウド・コンピューティング環境５０（図１７）によって提供される機能的抽象レイヤのセットが示されている。図１８に示されたコンポーネント、レイヤ、および機能は、例示のみが意図されており、本発明の実施形態がこれらに限定されないということが、あらかじめ理解されるべきである。図示されているように、次のレイヤおよび対応する機能が提供される。

ハードウェアおよびソフトウェア・レイヤ６０は、ハードウェア・コンポーネントおよびソフトウェア・コンポーネントを含む。ハードウェア・コンポーネントの例としては、メインフレーム６１、ＲＩＳＣ（Reduced Instruction Set Computer）アーキテクチャベースのサーバ６２、サーバ６３、ブレード・サーバ６４、ストレージ・デバイス６５、ならびにネットワークおよびネットワーク・コンポーネント６６が挙げられる。一部の実施形態では、ソフトウェア・コンポーネントは、ネットワーク・アプリケーション・サーバ・ソフトウェア６７およびデータベース・ソフトウェア６８を含む。

仮想化レイヤ７０は、仮想サーバ７１、仮想ストレージ７２、仮想プライベート・ネットワークを含む仮想ネットワーク７３、仮想アプリケーションおよびオペレーティング・システム７４、ならびに仮想クライアント７５などの仮想的実体を提供できる抽象レイヤを備える。

一例を挙げると、管理レイヤ８０は、以下で説明される機能を提供してよい。リソース・プロビジョニング８１は、クラウド・コンピューティング環境内でタスクを実行するために利用される計算リソースおよび他のリソースの動的調達を行う。計測および価格設定８２は、クラウド・コンピューティング環境内でリソースが利用される際のコスト追跡、およびそれらのリソースの利用に対する請求書またはインボイスの送付を行う。一例を挙げると、それらのリソースは、アプリケーション・ソフトウェア・ライセンスを含んでよい。セキュリティは、クラウドの利用者およびタスクのＩＤ検証を行うとともに、データおよび他のリソースの保護を行う。ユーザ・ポータル８３は、クラウド・コンピューティング環境へのアクセスを利用者およびシステム管理者に提供する。サービス・レベル管理８４は、必要なサービス・レベルを満たすように、クラウドの計算リソースの割り当てと管理を行う。サービス水準合意（ＳＬＡ：Service Level Agreement）計画および実行８５は、今後の要求が予想されるクラウドの計算リソースの事前準備および調達を、ＳＬＡに従って行う。

ワークロード・レイヤ９０は、クラウド・コンピューティング環境が利用できる機能の例を示している。このレイヤから提供されてよいワークロードおよび機能の例としては、マッピングおよびナビゲーション９１、ソフトウェア開発およびライフサイクル管理９２、仮想クラスルーム教育の配信９３、データ解析処理９４、トランザクション処理９５、および認証処理９６が挙げられる。

本発明の態様は、任意の可能な技術的詳細統合レベルで、システム、方法、またはコンピュータ・プログラム製品、あるいはその組み合わせであってよい。コンピュータ・プログラム製品は、プロセッサに本発明の態様を実行させるためのコンピュータ可読プログラム命令を含んでいるコンピュータ可読ストレージ媒体を含んでよい。

コンピュータ可読ストレージ媒体は、命令実行デバイスによって使用するための命令を保持および格納できる有形のデバイスであることができる。コンピュータ可読ストレージ媒体は、例えば、電子ストレージ・デバイス、磁気ストレージ・デバイス、光ストレージ・デバイス、電磁ストレージ・デバイス、半導体ストレージ・デバイス、またはこれらの任意の適切な組み合わせであってよいが、これらに限定されない。コンピュータ可読ストレージ媒体のさらに具体的な例の非網羅的リストは、ポータブル・コンピュータ・ディスケット、ハード・ディスク、ランダム・アクセス・メモリ（ＲＡＭ：random access memory）、読み取り専用メモリ（ＲＯＭ：read-only memory）、消去可能プログラマブル読み取り専用メモリ（ＥＰＲＯＭ：erasable programmable read-only memoryまたはフラッシュ・メモリ）、スタティック・ランダム・アクセス・メモリ（ＳＲＡＭ：static random access memory）、ポータブル・コンパクト・ディスク読み取り専用メモリ（ＣＤ－ＲＯＭ：compact disc read-only memory）、デジタル・バーサタイル・ディスク（ＤＶＤ：digital versatile disk）、メモリ・スティック、フロッピー（Ｒ）・ディスク、命令が記録されているパンチカードまたは溝の中の隆起構造などの機械的にエンコードされるデバイス、およびこれらの任意の適切な組み合わせを含む。本明細書において使用されるとき、コンピュータ可読ストレージ媒体は、それ自体が、電波または他の自由に伝搬する電磁波、導波管または他の送信媒体を伝搬する電磁波（例えば、光ファイバ・ケーブルを通過する光パルス）、あるいはワイヤを介して送信される電気信号などの一過性の信号であると解釈されるべきではない。

本明細書に記載されたコンピュータ可読プログラム命令は、コンピュータ可読ストレージ媒体からそれぞれのコンピューティング・デバイス／処理デバイスへ、またはネットワーク（例えば、インターネット、ローカル・エリア・ネットワーク、広域ネットワーク、または無線ネットワーク、あるいはその組み合わせ）を介して外部コンピュータまたは外部ストレージ・デバイスへダウンロードされることができる。このネットワークは、銅伝送ケーブル、光伝送ファイバ、無線送信、ルータ、ファイアウォール、スイッチ、ゲートウェイ・コンピュータ、またはエッジ・サーバ、あるいはその組み合わせを備えてよい。各コンピューティング・デバイス／処理デバイス内のネットワーク・アダプタ・カードまたはネットワーク・インターフェイスは、コンピュータ可読プログラム命令をネットワークから受信し、それらのコンピュータ可読プログラム命令を各コンピューティング・デバイス／処理デバイス内のコンピュータ可読ストレージ媒体に格納するために転送する。

本発明の動作を実行するためのコンピュータ可読プログラム命令は、アセンブラ命令、命令セット・アーキテクチャ（ＩＳＡ：instruction-set-architecture）命令、マシン命令、マシン依存命令、マイクロコード、ファームウェア命令、状態設定データ、集積回路のための構成データ、あるいは、Ｓｍａｌｌｔａｌｋ（Ｒ）、Ｃ＋＋などのオブジェクト指向プログラミング言語、および「Ｃ」プログラミング言語または同様のプログラミング言語などの手続き型プログラミング言語を含む１つまたは複数のプログラミング言語の任意の組み合わせで記述されたソース・コードまたはオブジェクト・コードであってよい。コンピュータ可読プログラム命令は、ユーザのコンピュータ上で全体的に実行すること、ユーザのコンピュータ上でスタンドアロン・ソフトウェア・パッケージとして部分的に実行すること、ユーザのコンピュータ上およびリモート・コンピュータ上でそれぞれ部分的に実行すること、あるいはリモート・コンピュータ上またはサーバ上で全体的に実行することができる。後者のシナリオでは、リモート・コンピュータは、ローカル・エリア・ネットワーク（ＬＡＮ）または広域ネットワーク（ＷＡＮ）を含む任意の種類のネットワークを介してユーザのコンピュータに接続されてよく、または接続は、（例えば、インターネット・サービス・プロバイダを使用してインターネットを介して）外部コンピュータに対して行われてよい。一部の実施形態では、本発明の態様を実行するために、例えばプログラマブル・ロジック回路、フィールドプログラマブル・ゲート・アレイ（ＦＰＧＡ：field-programmable gate arrays）、またはプログラマブル・ロジック・アレイ（ＰＬＡ：programmable logic arrays）を含む電子回路は、コンピュータ可読プログラム命令の状態情報を利用して電子回路をカスタマイズすることによって、コンピュータ可読プログラム命令を実行してよい。

本発明の態様は、本明細書において、本発明の実施形態に従って、方法、装置（システム）、およびコンピュータ・プログラム製品のフローチャート図またはブロック図あるいはその両方を参照して説明される。フローチャート図またはブロック図あるいはその両方の各ブロック、ならびにフローチャート図またはブロック図あるいはその両方に含まれるブロックの組み合わせが、コンピュータ可読プログラム命令によって実装され得るということが理解されるであろう。

これらのコンピュータ可読プログラム命令は、コンピュータまたは他のプログラム可能なデータ処理装置のプロセッサを介して実行される命令が、フローチャートまたはブロック図あるいはその両方の１つまたは複数のブロックにおいて指定される機能／動作を実施する手段を作り出すべく、汎用コンピュータ、専用コンピュータ、または他のプログラム可能なデータ処理装置のプロセッサに提供されてマシンを作り出すものであってよい。これらのコンピュータ可読プログラム命令は、命令が格納されたコンピュータ可読ストレージ媒体がフローチャートまたはブロック図あるいはその両方の１つまたは複数のブロックにおいて指定される機能／動作の態様を実施する命令を含んでいる製品を備えるように、コンピュータ可読ストレージ媒体に格納され、コンピュータ、プログラム可能なデータ処理装置、または他のデバイス、あるいはその組み合わせに特定の方式で機能するように指示できるものであってもよい。

コンピュータ可読プログラム命令は、また、コンピュータ上、他のプログラム可能な装置上、または他のデバイス上で実行される命令が、フローチャートまたはブロック図あるいはその両方の１つまたは複数のブロックにおいて指定される機能／動作を実施するように、コンピュータ実装プロセスを作出するべく、コンピュータ、他のプログラム可能なデータ処理装置、または他のデバイスに読み込まれて、それによって、一連の動作可能なステップを、コンピュータ上、他のプログラム可能な装置上、または他のデバイス上で実行させてもよい。

図内のフローチャートおよびブロック図は、本発明のさまざまな実施形態に従って、システム、方法、およびコンピュータ・プログラム製品の可能な実装のアーキテクチャ、機能、および動作を示す。これに関連して、フローチャートまたはブロック図内の各ブロックは、指定された論理機能を実装するための１つまたは複数の実行可能な命令を備える、モジュール、セグメント、または命令の部分を表してよい。一部の代替の実装では、ブロックに示された機能は、図に示された順序とは異なる順序で発生してよい。例えば、連続して示された２つのブロックは、実際には、関与する機能に応じて、実質的に同時に実行されるか、または場合によっては逆の順序で実行されてよい。ブロック図またはフローチャート図あるいはその両方の各ブロック、ならびにブロック図またはフローチャート図あるいはその両方に含まれるブロックの組み合わせは、指定された機能または動作を実行するか、または専用ハードウェアとコンピュータ命令の組み合わせを実行する専用ハードウェアベースのシステムによって実装され得るということにも留意されたい。

上に加えて、顧客の環境の管理を提供するサービス・プロバイダによって、１つまたは複数の態様が提供されること、提示されること、デプロイされること、管理されること、サービス提供されることなどが行われてよい。例えば、サービス・プロバイダは、１人または複数の顧客のために１つまたは複数の態様を実行するコンピュータ・コードまたはコンピュータ・インフラストラクチャあるいはその両方を作成すること、維持すること、サポートすることなどを行うことができる。その見返りとして、サービス・プロバイダは、例えばサブスクリプションまたは料金契約あるいはその両方の下で、顧客から支払いを受け取ってよい。追加または代替として、サービス・プロバイダは、１つまたは複数のサード・パーティへの広告コンテンツの販売から支払いを受け取ってよい。

１つの態様では、１つまたは複数の実施形態を実行するために、アプリケーションがデプロイされてよい。１つの例として、アプリケーションのデプロイは、１つまたは複数の実施形態を実行するように動作可能なコンピュータ・インフラストラクチャを提供することを含む。

さらに別の態様として、コンピュータ可読コードをコンピューティング・システムに統合することを含むコンピューティング・インフラストラクチャがデプロイされてよく、このコンピューティング・インフラストラクチャでは、コンピューティング・システムと組み合わせたコードが、１つまたは複数の実施形態を実行できる。

さらに別の態様として、コンピュータ可読コードをコンピュータ・システムに統合することを含んでいる、コンピューティング・インフラストラクチャを統合するためのプロセスが提供されてよい。コンピュータ・システムは、コンピュータ可読媒体を備え、このコンピュータ可読媒体では、コンピュータ媒体が１つまたは複数の実施形態を含む。コンピュータ・システムと組み合わせたコードは、１つまたは複数の実施形態を実行できる。

上ではさまざまな実施形態が説明されたが、それらは単なる例である。例えば、１つまたは複数の実施形態を組み込んで使用するために、他のアーキテクチャのコンピューティング環境が使用されることができる。さらに、さまざまな命令、コマンド、または動作が使用されてよい。さらに、他のセキュリティ・プロトコル、送信プロトコル、または規格、あるいはその組み合わせが採用されてよい。多くの変形形態が可能である。

さらに、他の種類のコンピューティング環境が、恩恵を受けることができ、使用されることができる。一例として、プログラム・コードの格納または実行あるいはその両方を行うのに適した、システム・バスを介して直接的または間接的にメモリ素子に結合された少なくとも２つのプロセッサを含んでいる、データ処理システムを使用できる。これらのメモリ素子は、例えば、プログラム・コードの実際の実行時に使用されるローカル・メモリ、バルク・ストレージ、および実行時にバルク・ストレージからコードが取得されなければならない回数を減らすために少なくとも一部のプログラム・コードを一時的に格納するキャッシュ・メモリを含む。

入出力デバイスまたはＩ／Ｏデバイス（キーボード、ディスプレイ、ポインティング・デバイス、ＤＡＳＤ、テープ、ＣＤ、ＤＶＤ、サム・ドライブ、および他の記憶媒体などを含むが、これらに限定されない）は、直接的に、または介在するＩ／Ｏコントローラを通じて、システムに結合できる。ネットワーク・アダプタがシステムに結合され、介在するプライベート・ネットワークまたはパブリック・ネットワークを通じて、データ処理システムを、他のデータ処理システムまたはリモート・プリンタまたはストレージ・デバイスに結合できるようにしてもよい。モデム、ケーブル・モデム、およびイーサネット（Ｒ）・カードは、使用可能なネットワーク・アダプタのうちの、ごくわずかの種類にすぎない。

本明細書で使用される用語は、特定の実施形態を説明することのみを目的としており、制限することを意図していない。本明細書において使用されるとき、単数形「ａ」、「ａｎ」、および「ｔｈｅ」は、特に明示的に示されない限り、複数形も含むことが意図されている。「備える（ｃｏｍｐｒｉｓｅ）」または「備えている（ｃｏｍｐｒｉｓｉｎｇ）」あるいはその両方の用語は、本明細書で使用される場合、記載された機能、整数、ステップ、動作、要素、またはコンポーネント、あるいはその組み合わせの存在を示すが、１つまたは複数の他の機能、整数、ステップ、動作、要素、コンポーネント、またはこれらのグループ、あるいはその組み合わせの存在または追加を除外していないということが、さらに理解されるであろう。

以下の特許請求の範囲内のすべての手段またはステップおよび機能要素の対応する構造、材料、動作、および等価なものは、もしあれば、具体的に請求されるとき、他の請求される要素と組み合わせて機能を実行するための任意の構造、材料、または動作を含むことが意図されている。１つまたは複数の実施形態の説明は、例示および説明の目的で提示されているが、網羅的であることは意図されておらず、開示された形態に限定されない。多くの変更および変形形態が、当業者にとって明らかであろう。さまざまな態様および実際的な適用を最も適切に説明するため、および他の当業者が、企図されている特定の用途に適しているようなさまざまな変更を伴う多様な実施形態を理解できるようにするために、実施形態が選択されて説明された。

Claims (20)

1. コンピューティング環境内の処理を容易にするためのコンピュータ・プログラム製品であって、前記コンピュータ・プログラム製品が、
   １つまたは複数の処理回路によって読み取り可能な、動作を実行するための命令を格納しているコンピュータ可読ストレージ媒体を備え、前記動作が、
   応答ノード上の応答チャネルから、開始ノード上の開始チャネルで認証応答メッセージを受信して、安全な通信を確立することであって、ローカル鍵マネージャ（ＬＫＭ）での前記受信が前記開始ノード上で実行される、前記確立することと、
   前記開始ノードおよび前記応答ノードのセキュリティ・アソシエーションに基づいて状態チェックを実行することと、
   前記認証応答メッセージの妥当性確認を実行することと、
   選択された暗号化アルゴリズムの識別子を、前記認証応答メッセージから抽出することと、
   前記開始チャネルに対して、状態チェックの成功、妥当性確認の成功、および前記選択された暗号化アルゴリズムに少なくとも部分的に基づいて、前記応答チャネルと通信するよう要求することとを含む、コンピュータ・プログラム製品。
2. 前記応答チャネルと前記開始チャネルとの間の通信がストレージ・エリア・ネットワーク（ＳＡＮ）を介する、請求項１に記載のコンピュータ・プログラム製品。
3. 前記動作が、
   以前に受信された初期化メッセージから抽出された１つまたは複数のパラメータに少なくとも部分的に基づいて応答側の署名を計算することと、
   さらなる妥当性確認として、前記応答側の署名を、前記認証応答メッセージから抽出された署名と比較することとをさらに含む、請求項１に記載のコンピュータ・プログラム製品。
4. 前記応答側の署名が、開始側のノンス、共有鍵、応答側の識別子、および暗号鍵のセットからの少なくとも１つの鍵に基づいて計算される、請求項３に記載のコンピュータ・プログラム製品。
5. 前記動作が、前記認証応答メッセージのペイロードを復号することをさらに含み、前記認証応答メッセージの妥当性確認が、前記ペイロードを復号することに基づいて１つまたは複数のメッセージ・ヘッダー・パラメータおよび前記ペイロードの識別子をチェックすることを含む、請求項１に記載のコンピュータ・プログラム製品。
6. 前記状態チェックが、前記開始ノードのセキュリティ・アソシエーション状態を検証することをさらに含む、請求項１に記載のコンピュータ・プログラム製品。
7. 前記状態チェックが、前記ＬＫＭの最後に受信されたメッセージの状態および最後に送信されたメッセージの状態を検証することをさらに含む、請求項１に記載のコンピュータ・プログラム製品。
8. 前記動作が、失敗した妥当性確認結果に基づいて、または前記認証応答メッセージが、前記応答ノードでのエラー条件を示す通知タイプ・メッセージを含むということの決定に基づいて、前記認証応答メッセージを拒否することをさらに含む、請求項１に記載のコンピュータ・プログラム製品。
9. 前記ＬＫＭがコンピュータ・システムの論理パーティションを実行する、請求項１に記載のコンピュータ・プログラム製品。
10. 前記応答ノードがホスト・コンピュータまたはストレージ・アレイである、請求項１に記載のコンピュータ・プログラム製品。
11. 前記動作が、前記選択された暗号化アルゴリズムを使用して前記開始チャネルと応答チャネルとの間の暗号化された通信を可能にするために、１つまたは複数のセッション鍵、開始側のセキュリティ・パラメータ・インデックス（ＳＰＩ）、および応答側のＳＰＩを含んでいるＬＫＭ完了メッセージを構築することをさらに含む、請求項１に記載のコンピュータ・プログラム製品。
12. 前記動作が、外部鍵マネージャに対して鍵再生成プロセスをトリガーする鍵再生成タイマを開始することをさらに含む、請求項１１に記載のコンピュータ・プログラム製品。
13. 前記動作が、セキュリティ・アソシエーション状態を完了に設定することと、前記鍵再生成タイマの開始後に、前記ＬＫＭ完了メッセージを前記開始チャネルに送信することとをさらに含む、請求項１２に記載のコンピュータ・プログラム製品。
14. コンピューティング環境内の処理を容易にするコンピュータ実装方法であって、前記コンピュータ実装方法が、
    応答ノード上の応答チャネルから、開始ノード上の開始チャネルで認証応答メッセージを受信して、安全な通信を確立することであって、ローカル鍵マネージャ（ＬＫＭ）での前記受信が前記開始ノード上で実行される、前記確立することと、
    前記開始ノードおよび前記応答ノードのセキュリティ・アソシエーションに基づいて状態チェックを実行することと、
    前記認証応答メッセージの妥当性確認を実行することと、
    選択された暗号化アルゴリズムの識別子を、前記認証応答メッセージから抽出することと、
    前記開始チャネルに対して、状態チェックの成功、妥当性確認の成功、および前記選択された暗号化アルゴリズムに少なくとも部分的に基づいて、前記応答チャネルと通信するよう要求することとを含む、コンピュータ実装方法。
15. 以前に受信された初期化メッセージから抽出された１つまたは複数のパラメータに少なくとも部分的に基づいて応答側の署名を計算することであって、前記応答側の署名が、開始側のノンス、共有鍵、応答側の識別子、および暗号鍵のセットからの少なくとも１つの鍵に基づいて計算される、前記計算することと、
    さらなる妥当性確認として、前記応答側の署名を、前記認証応答メッセージから抽出された署名と比較することとをさらに含む、請求項１４に記載のコンピュータ実装方法。
16. 前記認証応答メッセージのペイロードを復号することをさらに含み、前記認証応答メッセージの妥当性確認が、前記ペイロードを復号することに基づいて１つまたは複数のメッセージ・ヘッダー・パラメータおよび前記ペイロードの識別子をチェックすることを含む、請求項１４に記載のコンピュータ実装方法。
17. 前記状態チェックが、前記開始ノードのセキュリティ・アソシエーション状態を検証することをさらに含み、前記状態チェックが、前記ＬＫＭの最後に受信されたメッセージの状態および最後に送信されたメッセージの状態を検証することをさらに含む、請求項１４に記載のコンピュータ実装方法。
18. 前記選択された暗号化アルゴリズムを使用して前記開始チャネルと応答チャネルとの間の暗号化された通信を可能にするために、１つまたは複数のセッション鍵、開始側のセキュリティ・パラメータ・インデックス（ＳＰＩ）、および応答側のＳＰＩを含んでいるＬＫＭ完了メッセージを構築することと、
    外部鍵マネージャに対して鍵再生成プロセスをトリガーする鍵再生成タイマを開始することとをさらに含む、請求項１４に記載のコンピュータ実装方法。
19. コンピューティング環境内の処理を容易にするためのコンピュータ・システムであって、前記コンピュータ・システムが、
    開始ノードと、
    前記開始ノードに結合された複数のチャネルとを備えており、前記コンピュータ・システムが動作を実行するように構成されており、前記動作が、
    応答ノード上の応答チャネルから、前記開始ノード上の開始チャネルで認証応答メッセージを受信して、安全な通信を確立することであって、ローカル鍵マネージャ（ＬＫＭ）での前記受信が前記開始ノード上で実行される、前記確立することと、
    前記開始ノードおよび前記応答ノードのセキュリティ・アソシエーションに基づいて状態チェックを実行することと、
    前記認証応答メッセージの妥当性確認を実行することと、
    選択された暗号化アルゴリズムの識別子を、前記認証応答メッセージから抽出することと、
    前記開始チャネルに対して、状態チェックの成功、妥当性確認の成功、および前記選択された暗号化アルゴリズムに少なくとも部分的に基づいて、前記応答チャネルと通信するよう要求することとを含む、コンピュータ・システム。
20. 前記開始ノードがホスト・コンピュータであり、前記ＬＫＭが、前記ホスト・コンピュータの論理パーティション内で実行され、前記応答ノードがストレージ・アレイである、請求項１９に記載のコンピュータ・システム。

Images