JP2023538870A - クラウドシェルのインスタンスにわたってデータを永続化するための技法 - Google Patents

Abstract

セキュアシェルインスタンスにわたってユーザデータを永続化するための技法が提供される。本技法は、コンピュータシステムがブロックボリュームを予約する要求を受信する方法を含み、要求はセッションマネージャサービスから受信される。本方法はまた、ブロックボリュームを予約することと、ブロックボリュームのデータセンタ識別子を識別することと、ブロックボリュームのデータセンタ識別子をセッションマネージャサービスに返すことと、ブロックボリュームをボリューム管理フリートマシンにアタッチすることと、ブロックボリュームを解放する命令をセッションマネージャサービスから受信することと、ブロックボリュームに記憶されたデータを含むブロックボリュームのバックアップを作成することと、ブロックボリュームを解放することとを含む。

Description

関連出願の参照
本出願は、「TECHNIQUES FOR PERSISTING DATA ACROSS INSTANCES OF A CLOUD SHELL」と題される米国特許非仮出願１７／０７８，８３５（２０２０年１０月２３日提出）、「TECHNIQUES FOR UTILIZING MULTIPLE NETWORK INTERFACES FOR A CLOUD SHELL」と題される米国特許非仮出願１６／９９３，９７３（２０２０年８月１４日提出）、および「TECHNIQUES FOR USING SIGNED NONCES TO SECURE CLOUD SHELLS」と題される米国特許非仮出願１６／９９３，９７０（２０２０年８月１４日提出）の利益および優先権を主張するものであり、これらの開示は、あらゆる目的のためにその全体が参照により組み込まれる。

背景
クラウドベースのプラットフォームは、スケーラブルで柔軟なコンピューティングリソースをユーザに提供する。そのようなクラウドベースのプラットフォームは、インフラストラクチャ・アズ・ア・サービス（ＩａａＳ）とも呼ばれ、顧客のデータの周囲のクラウドソリューションのスイート全体、例えば、変換をオーサリングし、データをロードし、データを提示するためのソリューションを提供し得る。ＩａａＳシステムは、ユーザデータへの不正アクセスから保護するためにセキュリティプロトコルを実現し得る。

概要
クラウドシェルのインスタンスにわたるデータの永続化のための技法
セキュアシェルインスタンスにわたってユーザデータを永続化し、復元されたブロックボリュームを使用し、セッション間のインスタンスを終了するための技法が提供される（たとえば、方法、システム、１つ以上のプロセッサによって実行可能なコードまたは命令を記憶する非一時的コンピュータ可読媒体）。

ある実施形態では、ある方法は、コンピュータシステムが、ブロックボリュームを予約する要求を受信することを含み、要求はセッションマネージャサービスから受信される。本方法は、コンピュータシステムが、ブロックボリュームを予約することを含んでもよい。本方法は、コンピュータシステムが、ブロックボリュームのデータセンタ識別子を識別することを含んでもよい。本方法は、コンピュータシステムが、ブロックボリュームのデータセンタ識別子をセッションマネージャサービスに返すことを含んでもよい。本方法は、コンピュータシステムが、ブロックボリュームをアタッチすることを含んでもよい。本方法は、コンピュータシステムが、ブロックボリュームを解放するための命令をセッションマネージャサービスから受信することを含んでもよい。本方法は、コンピュータシステムが、ブロックボリュームに記憶されたデータを含むブロックボリュームのバックアップを作成することを含んでもよい。本方法はまた、コンピュータシステムが、ブロックボリュームを解放することを含んでもよい。

変形例では、要求はユーザ識別子を含んでもよく、ブロックボリュームを予約することは、登録されたブロックボリュームがユーザ識別子に対応するユーザに割り当てられているかどうかを判定することと、登録されたブロックボリュームがユーザに割り当てられていることに従って、登録されたブロックボリュームを予約することと、登録されたブロックボリュームがユーザ識別子に対応するユーザに割り当てられていないことに従って、空のボリュームのプールから空のボリュームを予約することとを含み、空のボリュームはセキュアクラウドシェルとドッキングするように予めフォーマットされる。本方法は、セッションマネージャサービスからブロックボリュームを復元するための要求を受信することと、ブロックボリュームのバックアップを使用して復元ボリュームを作成することとを含んでもよく、復元ボリュームは、ブロックボリュームに記憶されたデータを含み、本方法はさらに、復元ボリュームのデータセンタ識別子をセッションマネージャサービスに返すことを含んでもよい。ブロックボリュームのバックアップは、バックアップの識別子をさらに含んでもよく、復元ボリュームを作成することは、空のボリュームのプールから空のブロックボリュームを予約することを含んでもよく、空のブロックボリュームは、セキュアクラウドシェルとドッキングするように予めフォーマットされており、復元ボリュームを作成することはさらに、バックアップの識別子を使用してブロックボリュームのバックアップを取り出すことと、ブロックボリュームのバックアップを空のブロックボリュームにロードすることによって、空のブロックボリュームを少なくとも部分的にプロビジョニングすることと、空のブロックボリュームのデータセンタ識別子を復元ボリュームのデータセンタ識別子として識別することとを含んでもよい。ブロックボリュームのバックアップを作成することは、ブロックボリュームのディスクイメージを作成することを含んでもよい。ブロックボリュームのバックアップを作成することは、ブロックボリュームのデータをオブジェクトデータに変換することと、オブジェクトストレージシステムにオブジェクトデータを記憶することとを含んでもよい。

ある実施形態では、コンピュータシステムは、１つ以上のプロセッサと、１つ以上のプロセッサと通信するメモリとを含み、メモリは、コンピュータ実行可能命令を記憶するよう構成され、コンピュータ実行可能命令を実行することは、１つ以上のプロセッサに、上記で説明される方法のステップのうちの１つ以上を実行させる。

特定の実施形態では、コンピュータ可読記憶媒体は、実行されると、コンピュータシステムの１つ以上のプロセッサに上述の方法の１つ以上のステップを実行させるコンピュータ実行可能命令を記憶する。

署名されたノンスを使用してクラウドシェルをセキュアにするための技法
署名されたノンスを１つ以上の追加のセキュリティ動作と協調して使用して、１つ以上の端末を動作させるためにクラウドシェルをセキュアにするための技法も提供される（たとえば、方法、システム、１つ以上のプロセッサによって実行可能なコードまたは命令を記憶する非一時的コンピュータ可読媒体）。

第１の態様では、ある方法は、セッションマネージャサービスが、ユーザデバイスをセキュアシェルインスタンスへのセキュア接続に接続する要求を受信することと、セッションマネージャサービスが、ユーザデバイスを承認することと、セッションマネージャサービスが、セキュアシェルインスタンスのシェル識別子によって記述されるセキュアシェルインスタンスを構成することと、セッションマネージャサービスが、ノンストークンを生成することと、セッションマネージャサービスが、ノンストークンに署名して、署名されたノンストークンを生成することと、セッションマネージャサービスが、署名されたノンストークン、シェル識別子、およびルータアドレスをユーザデバイスに提供することとを含む。

ある例では、ユーザデバイスを承認することは、ユーザデバイスからユーザ識別子を含むログイントークンを受信することと、承認サービスに承認システム公開鍵を要求することと、承認システム公開鍵でログイントークンを復号することに少なくとも部分的に基づいてユーザデバイスを認証することと、ユーザ識別子と要求において識別されたリソースのリソース識別子と要求の満了期間とを提供することに少なくとも部分的によって、承認サービスに委任トークンを要求することと、承認サービスから委任トークンを受信することとを含み、承認サービスは、満了期間内において要求において識別されたリソースへのアクセスを承認すると委任トークンを生成するよう構成される。

ある例では、ノンストークンに署名することは、セッションマネージャサービスによって保持される公開／秘密鍵ペアのシステム秘密鍵を使用してノンストークンに署名することと、公開／秘密鍵ペアのシステム公開鍵をルータアドレスにおいてセキュアシェルルータに提供することとを含む。

ある例では、本方法は、さらに、ノンストークンをデータストアに記憶することを含み、ノンストークンはキーシーケンスを含み、本方法はさらに、ノンストークンが有効であるかどうかを、データストアをキーシーケンス上で検索することに少なくとも部分的に基づいて確認することと、セキュアシェルルータがユーザデバイスとセキュアシェルインスタンスとの間にセキュアな接続を確立した後に、データストアからノンストークンを除去することとを含む。

ある例では、本方法は、非アクティビティ期間の後、またはユーザデバイスによるセキュア接続の終了の後に、セキュアシェルインスタンスを終了することをさらに含む。

ある例では、セキュアシェルインスタンスを構成することは、ブロックボリュームを予約することと、ブロックボリュームに対応するドメイン識別子を受信することと、ドメイン識別子を使用してブロックボリューム上にインスタンスを割り当てることとを含み、インスタンスは複数の利用可能なインスタンスから割り当てられ、セキュアシェルインスタンスを構成することはさらに、インスタンスに対応するシェル識別子を受信することと、構成ファイルをインスタンス上にインストールすることとを含み、構成ファイルは、要求に含まれる要求情報を含む。

ある例では、セキュアシェルインスタンスは、要求がドッカーコンテナ上で端末を実行する命令を含むように、ドッカーコンテナを動作させる。

第２の態様では、コンピュータシステムは、１つ以上のプロセッサと、１つ以上のプロセッサと通信するメモリとを含み、メモリは、コンピュータ実行可能命令を記憶するよう構成され、コンピュータ実行可能命令を実行することは、１つ以上のプロセッサに、第１の態様および後続の例の方法の１つ以上のステップを含むステップを実行させる。

第３の態様では、非一時的コンピュータ可読記憶媒体は、実行されると、コンピュータシステムの１つ以上のプロセッサに、第１の態様および後続の例の方法の１つ以上のステップを含むステップを実行させるコンピュータ実行可能命令を記憶する。

クラウドシェルのために複数のネットワークインターフェイスを利用するための技法
異なるＩａａＳサブシステムを隔離する複数の仮想クラウドネットワークと協調して複数のネットワークインターフェイスを使用して、外部デバイスによる不正アクセスに対してクラウドシェルを保護するための技法がさらに提供される（たとえば、方法、システム、１つ以上のプロセッサによって実行可能なコードまたは命令を記憶する非一時的コンピュータ可読媒体）。

第１の態様では、ある方法は、コンピュータシステムによって動作を実行するためのコマンドを受信することを含み、コマンドは、プライマリ仮想ネットワークインターフェイスカード（ｖＮＩＣ）を介してルータから受信され、本方法はさらに、動作を実行することと、動作の出力を生成することと、セカンダリ仮想ネットワークインターフェイスカードを介してシェルサブネットに動作の出力を含むメッセージを送信することとを含み、セカンダリ仮想ネットワークインターフェイスカードは、コンピュータシステムからシェルサブネットへの単方向送信のために構成される。シェルサブネットは、動作の出力をネットワークゲートウェイを介して外部ネットワークに送信するよう構成されてもよい。

ある例では、動作は、ユーザデバイスのユーザによって要求されてもよく、動作の出力を生成することは、ユーザデバイスのために返信メッセージを生成することと、プライマリ仮想ネットワークインターフェイスカードを介してルータに返信メッセージを送信することとを含んでもよい。プライマリ仮想ネットワークインターフェイスカードは、ユーザデバイスに対する返信メッセージを受け入れ、動作の出力を含むメッセージを拒否するよう構成されてもよい。

ある例では、コンピュータシステムは、第１の仮想クラウドネットワーク内の仮想マシンであってもよく、第１の仮想クラウドネットワークは、プライベートルートコンパートメント内に構成される。

ある例では、ルータは、第２の仮想クラウドネットワーク内にあってもよく、第２の仮想クラウドネットワークは、第１の仮想クラウドネットワークとは異なり、プライベートルートコンパートメント内に構成される。

ある例では、シェルサブネットは、第３の仮想クラウドネットワーク内にあってもよく、第３の仮想クラウドネットワークは、第１の仮想クラウドネットワークとは異なり、パブリックルートコンパートメント内に構成される。

ある例では、プライベートルートコンパートメントは、プライベートルートコンパートメントからのネットワークトラフィックに帰され得る第１のブロックのＩＰアドレスに関連付けられてもよい。パブリックルートコンパートメントは、第２のブロックのＩＰアドレスに関連付けられてもよく、第２のブロックのＩＰアドレスは、第１のブロックのＩＰアドレスとは異なる。第２のブロックのＩＰアドレスは、コンピュータシステムの１人以上のユーザからのネットワークトラフィックに帰され得てもよい。

一例では、ネットワークゲートウェイは、コンピュータシステムの１人以上のユーザからのネットワークトラフィックに帰され得るＩＰアドレスのブロックのＩＰアドレスを使用してメッセージを送信するよう構成されたネットワークアドレス変換（ＮＡＴ）ゲートウェイであってもよい。

第２の態様では、コンピュータシステムは、１つ以上のプロセッサと、１つ以上のプロセッサと通信するメモリとを含み、メモリは、コンピュータ実行可能命令を記憶するよう構成され、コンピュータ実行可能命令を実行することは、１つ以上のプロセッサに、第１の態様および後続の例の方法の１つ以上のステップを含むステップを実行させる。

第３の態様では、非一時的コンピュータ可読記憶媒体は、実行されると、コンピュータシステムの１つ以上のプロセッサに、第１の態様および後続の例の方法の１つ以上のステップを含むステップを実行させるコンピュータ実行可能命令を記憶する。

１つ以上の実施形態による、セキュアシェルインスタンスを管理するための例示的なシステムを示す図である。 １つ以上の実施形態による、セキュアシェルインスタンスのためにブロックボリュームを予約するための例示的な技法を示す図である。 １つ以上の実施形態による、セキュアシェルインスタンスからユーザデータを含むブロックボリュームを解放するための例示的な技法を示す図である。 １つ以上の実施形態による、復元されたセキュアシェルインスタンスのためにブロックボリュームを復元するための例示的な技法を示す図である。 １つ以上の実施形態による、ユーザデータを含むブロックボリュームが解放される例示的なデータフローを示すシーケンス図である。 １つ以上の実施形態による、ユーザデータが復元されたセキュアシェルインスタンスに永続化される例示的なデータフローを示すシーケンス図である。 １つ以上の実施形態による、セキュアシェルインスタンスのためにブロックボリュームを解放するための例示的なフローを示す図である。 １つ以上の実施形態による、セキュアシェルインスタンスのためにブロックボリュームを予約するための例示的なフローを示す図である。 １つ以上の実施形態による、セキュアシェルインスタンスのためにブロックボリュームを復元するための例示的なフローを示す図である。 １つ以上の実施形態による、セキュアシェルインスタンスを管理するための例示的なシステムを示す図である。 １つ以上の実施形態による、セキュアシェルセッションを管理するための例示的なシステムを示す図である。 １つ以上の実施形態による、ユーザデバイスをセキュアシェルインスタンスに接続するための例示的なシステムを示す図である。 １つ以上の実施形態による、セキュアシェルインスタンスを単回使用ノンストークンとともに構成するための例示的なシステムを示す図である。 １つ以上の実施形態による、セキュアシェルインスタンスに接続するユーザデバイスを承認するための例示的な技法を示す図である。 １つ以上の実施形態による、ユーザデバイスがセキュアシェルインスタンスに接続される例示的なデータフローを示すシーケンス図である。 １つ以上の実施形態による、承認サービスを使用してユーザデバイスがセキュアシェルインスタンスに接続される例示的なデータフローを示すシーケンス図である。 １つ以上の実施形態による、セキュアシェルセッションを管理するための例示的なフローを示す図である。 １つ以上の実施形態による、セキュアシェルインスタンスを単回使用ノンストークンとともに構成するための例示的なフローを示す図である。 １つ以上の実施形態による、セキュアシェルインスタンスのために複数のネットワークインターフェイスを利用する例示的な技法を示す図である。 １つ以上の実施形態による、セキュアシェルインスタンスの通信を管理するために複数のネットワークインターフェイスを利用する例示的なシステムを示す図である。 １つ以上の実施形態による、複数のネットワークインターフェイスを使用するセキュアシェルインスタンスによる単方向通信のための例示的な技法を示す図である。 １つ以上の実施形態による、セキュアシェルインスタンスとの双方向通信のために第１のネットワークインターフェイスを使用する例示的な技法を示す図である。 １つ以上の実施形態による、セキュアシェルインスタンスとの単方向通信のための例示的な技法を示す図である。 １つ以上の実施形態による、セキュアシェルインスタンスの通信を管理するための例示的リージョナルシステムを示す図である。 １つ以上の実施形態による、セキュアシェルインスタンスのために複数のネットワークインターフェイスを利用するための例示的フローを示す図である。 １つ以上の実施形態による、ネットワークインターフェイスを使用してセキュアシェルインスタンスと双方向通信するための例示的なフローを示す図である。 １つ以上の実施形態による、ネットワークインターフェイスを使用するセキュアシェルインスタンスからの単方向通信のための例示的なフローを示す図である。 少なくとも１つの実施形態による、サービスシステムとしてクラウドインフラストラクチャを実現するための１つのパターンを示すブロック図である。 少なくとも１つの実施形態による、サービスシステムとしてクラウドインフラストラクチャを実現するための別のパターンを示すブロック図である。 少なくとも１つの実施形態による、サービスシステムとしてクラウドインフラストラクチャを実現するための別のパターンを示すブロック図である。 少なくとも１つの実施形態による、サービスシステムとしてクラウドインフラストラクチャを実現するための別のパターンを示すブロック図である。 少なくとも１つの実施形態による、例示的なコンピュータシステムを示すブロック図である。

詳細な説明
以下の説明において、様々な実施形態が記載される。説明を目的として、実施形態についての完全な理解を与えるために、具体的な構成および詳細が述べられる。しかしながら、具体的な詳細がなくとも実施形態が実施され得ることは当業者にとって明らかである。さらにまた、周知の特徴は、記載される実施形態を不明瞭にしないために、省略または簡易化され得る。

クラウドシェルのインスタンスにわたるデータの永続化のための技法
クラウドベースのプラットフォームは、スケーラブルで柔軟なコンピューティングリソースをユーザに提供する。そのようなクラウドベースのプラットフォームは、インフラストラクチャ・アズ・ア・サービス（ＩａａＳ）とも呼ばれ、顧客のデータの周囲のクラウドソリューションのスイート全体、例えば、変換をオーサリングし、データをロードし、データを提示するためのソリューションを提供してもよい。ＩａａＳリソースのユーザは、動作およびデータ転送がセキュアに実行され得るように、セキュアシェルインスタンス内にセキュア端末を作成することを要求してもよい（例えば、WebSocketセキュア（ｗｓｓ）接続を介した双方向暗号化を用いる）。

いくつかの実施形態では、シェルインスタンスは、ドッカーコンテナ（例えば、ホスト）を動作させ得、ユーザデバイスがそのドッカーコンテナ上で端末を動作させることを可能にしてもよい、専用計算インスタンスであり得る。ユーザデバイスは、単一のホストに割り当てられてもよいが、そのホスト上に複数のアクティブ端末を作成してもよい。シェルインスタンスは、非アクティブの期間の後に終了されてもよい。インスタンスはホストを動作させてもよく、ホストは次いでセキュアシェル（例えば、端末）を動作させてもよい。いくつかの実施形態では、インスタンスおよび／またはホストはまた、端末がある期間にわたってホスト上でアクティブになっていないときに終了されてもよい。

いくつかの実施形態では、インスタンスエージェントが、割り当てられたインスタンス上で動作してもよく、WebSocketトラフィックを受信すること、およびそのトラフィックをホスト上で動作するセキュアシェルに送信することを処理してもよい。インスタンスエージェントは、セキュアなWebSocket接続を開き、入力および出力をインスタンス上で動作する端末（例えば、ドッカーコンテナ上で動作するセキュアシェル）にリダイレクトするよう構成されてもよいＨＴＴＰサーバであってもよい。いくつかの実施形態では、エージェントは、ドッカーコンテナの更新されたバージョンを識別してもよく、ドッカーコンテナを開始してもよく、コンテナ内に端末を作成してもよい。いくつかの実施形態では、エージェントはさらに、セキュアシェル構成情報を含むようにドッカーコンテナを特化してもよく、特定の環境変数において通ることに少なくとも部分的によって、ドッカーコンテナ内の端末を実行してもよい。

いくつかの実施形態では、ボリュームマネージャサービスは、同じユーザの終了したインスタンスからその後に構成されたインスタンスにユーザデータを永続化し得る。ボリュームマネージャサービスは、ユーザブロックボリュームを識別し、セキュアシェルインスタンスが利用可能である場合には、それをセキュアシェルインスタンスにアタッチしてもよく、インスタンスのために、インスタンス寿命の終わりにおける終了動作の一部として、ユーザデータのバックアップを生成してもよい。バックアップ動作は、保持期間にわたるユーザデータの保持、オブジェクトストレージにおけるバックアップ、および／またはバックアップイメージ（例えば、ボリュームイメージ）を含んでもよい。ボリュームマネージャシステムは、ユーザブロックボリュームを解放する前にバックアップを作成してもよい。ボリュームマネージャサービスは、セキュアシェルインスタンスについてアイドル時間を確認するためにインスタンスエージェントに問い合わせてもよいセッションマネージャサービスと通信してもよい。セッションマネージャサービスは、アイドル時間がインスタンスの寿命を超えた後にユーザブロックボリュームを解放するようにボリュームマネージャサービスに要求してもよい。場合によっては、セッションマネージャサービスは、保持期間が経過した後にユーザブロックボリュームを解放するようにボリュームマネージャサービスに要求してもよい。保持期間は、ユーザが、ブロックストレージから新たに構成されたブロックボリュームにユーザデータを復元することなく、ユーザブロックボリュームを再アタッチすることによって、新たなセキュアシェルインスタンスを要求するとき、低減されたレイテンシを提供してもよい。

セキュアシェルインスタンスを作成することの一部としてユーザブロックボリュームを復元するために、バックアップユーザデータは、復元プロセスの一部として、オブジェクトストレージ、または他のバックアップストレージフォーマットから、転送されてもよい。例えば、ボリュームマネージャサービスは、空のブロックボリューム（例えば、セキュアシェルインスタンスへのアタッチメントのために少なくとも部分的に事前構成される）を予約してもよく、空のブロックボリュームをプロビジョニングするためにバックアップサービスによってバックアップユーザデータが転送されるよう要求してもよい。ボリュームマネージャサービスは、セキュアシェルインスタンスを構成することの一部として、復元されたユーザブロックボリュームの固有の識別子をセッションマネージャサービスに返してもよく、それによって、ユーザデータを、終了されたインスタンスから、新たな復元されたインスタンスに、永続化する。

いくつかの実施形態では、本明細書で説明する技法は、これらのリソースを作成およびアクセスするためにウェブベースの端末によって使用されてもよいソフトウェア開発者キット（ＳＤＫ）にコンピュータ実行可能命令として組み込まれ得る。このようにして、ＳＤＫも、セキュアなウェブベースの端末を実現するために他のプロバイダによって使用され得る。さらに、本明細書で説明する技法は、ユーザデバイスが、改善されたセキュリティおよびレイテンシで１つ以上の端末を動作させるセキュアシェルに接続することを可能にしてもよい。例えば、バックアップを構成するために手動命令に依存するのではなく、ユーザデータを自動的に永続化することによって、セッションマネージャは、不均等なシステム負荷によって導入される非効率性、ならびにＵＩバックアップシステム要求によって、および（例えば、ユーザがユーザデータにアクセスしていないときに）セキュアシェルインスタンスへのユーザ接続間の期間に対してユーザブロックボリュームを維持することによって導入されるオーバーヘッドを潜在的に改善してもよい。レイテンシは、ユーザによって開始される解放に依存するのではなく、ブロックボリュームストレージ管理を自動化することによって、終了プロセスにおいて低減されてもよい。このようにして、接続要求は、所与のデータセンタまたはＩａａＳ領域における高いシステム需要および低いストレージ可用性の期間中に予約されるべきブロックボリュームについて、より短い待ち時間に遭遇し得る。

図１は、１つ以上の実施形態による、セキュアシェルインスタンスを管理するための例示的なシステム１００を示す。いくつかの実施形態では、システム１００は、ユーザが計算インスタンス（例えば、仮想マシン（ＶＭ）またはドッカー）にセキュアに接続することを可能にしてもよい。セキュアアクセスは、ユーザが、ＩａａＳシステムのＶＭとのリアルタイムデータ転送のために、暗号化された接続（例えば、httpsおよび／またはWebSocket Secure（ｗｓｓ））を介して、分散ストレージ、計算コア等を含むが、それらに限定されない、分散コンピューティングシステムリソース（例えば、インフラストラクチャ・アズ・ア・サービス（ＩａａＳ））に接続することを可能にしてもよい。いくつかの実施形態では、ユーザデバイス１１０は、セキュアシェルインスタンスに対する、署名された要求を生成してもよく、その署名された要求を、セッションマネージャサービス１２０に送信してもよい。セッションマネージャサービス１２０は、署名された要求を満たすことの一部として、ユーザデバイス１１０を検証すること、およびセキュアシェルインスタンスを構成することの一部として、動作を実行してもよい。

いくつかの実施形態では、ユーザデバイス１１０は、グラフィカルユーザインターフェイスコンソールまたはコマンドラインインターフェイス（ＣＬＩ）を含むが、それらに限定されない、ユーザインターフェイスを使用して、署名された要求を生成してもよい。ユーザインターフェイスは、ユーザ公開／秘密鍵ペアを生成してもよい、アイデンティティ承認サービスを含む。場合によっては、ユーザ公開／秘密鍵ペアは、例えば、セッションの初期化時、セキュアＶＭ接続の要求の生成時などに生成される一時的な鍵ペアであってもよい。ユーザデバイス１１０は、ユーザ公開／秘密鍵ペアの秘密鍵を使用して、署名された要求を生成してもよい。

いくつかの実施形態では、セッションマネージャサービス１２０は、セキュアシェルインスタンスを管理および準備することの一部として、１つ以上の承認ステップを実現してもよい。承認は、例えば、（例えば、ユーザデバイス１１０のアイデンティティを検証するステップとして、）署名された要求を受信すること、および公開鍵を要求し、その鍵を使用して、署名された要求の署名を検証することによって、署名された要求を検証することを含んでもよい。

いくつかの実施形態では、セッションマネージャサービス１２０は、セキュアシェルインスタンスを予約および構成することに少なくとも部分的によって、署名された要求を満たしてもよい。場合によっては、セッションマネージャサービス１２０は、ボリュームマネージャサービス１３０と通信して、ブロックボリューム１４０を予約してもよい。ボリュームマネージャサービス１３０は、ブロックボリューム１４０のドメイン識別子をセッションマネージャサービス１２０に返してもよい。いくつかの実施形態では、ドメイン識別子は、予約されたブロックボリューム１４０の地理的領域（例えば、可用性ドメイン（ＡＤ））内の１つ以上のデータセンタを記述してもよい。以下で図面を参照してより詳細に説明するように、ボリュームマネージャサービス１３０は、複数のセキュアシェルセッションにわたってユーザデータを永続化するための１つ以上の技法を容易にしてもよい。例えば、本技法は、場合によっては、セキュアシェルインスタンスからユーザブロックボリュームを解放し、セキュアシェルセッションを終了する前に、ボリュームマネージャサービス１３０によって解放要求を受信することに応答してユーザデータバックアップを生成することを含んでもよい。

いくつかの実施形態では、セッションマネージャサービス１２０は、ブロックボリューム１４０のドメイン識別子（例えば、予約されたブロックボリュームのＡＤ）をインスタンスマネージャサービス１５０に提供してもよい。インスタンスマネージャサービス１５０は、ボリュームマネージャサービスによって提供されるＡＤにおいて計算インスタンスを割り当ててもよい。インスタンスマネージャサービス１５０は、割り当てられたインスタンスについてインスタンス識別子情報（たとえば、クラウドインフラストラクチャＩＤ）をセッションマネージャサービス１２０に提供してもよい。計算インスタンスの割り当ては、ユーザごとおよび／またはコンパートメントごとに行われてもよい（ここで、コンパートメントは、クラウドシステムリソースへのアクセスを制御する論理コンテナであり、サブコンパートメントを含んでもよい）。例えば、セッションマネージャサービス１２０は、異なるコンパートメントにおいてユーザに別個のインスタンスを割り当ててもよい。対照的に、セッションマネージャサービス１２０は、別々のコンテナが同じ計算インスタンスを、コンパートメント当たり１つのコンテナで共有するように、複数のコンテナについて単一の計算インスタンスを割り当ててもよい（ここで、コンテナは、アプリケーションコード、ランタイム、システムツール、システムライブラリ、および設定を含んでもよいパッケージ化されたソフトウェアアプリケーションである）。

いくつかの実施形態では、セッションマネージャサービス１２０は、インスタンス識別子を、ルータ１６０のルータアドレスとともに、ユーザデバイス１１０に提供してもよい。ルータ１６０は、以下でより詳細に説明されるように、ユーザデバイスを（例えば、多重化ウェブソケット接続を介して）セキュアシェルインスタンスに接続するよう構成されてもよい。さらに、ルータはまた、ユーザデバイス１１０をセキュアシェルインスタンスにセキュアに接続することの一部として、ユーザデバイス１１０およびセッションマネージャサービス１２０を検証するよう構成されてもよい。

いくつかの実施形態では、セッションマネージャサービス１２０は、セキュアシェルインスタンスへのユーザデバイス１１０のセキュア接続の承認および検証の一部として、ノンストークンを生成してもよい。いくつかの実施形態では、ノンストークンは、限定はしないが、ヘッダ、有効期間（たとえば、満了前の分単位）、鍵、および／またはランダム文字列（例えば、セット長の英数字シーケンス）を含む情報を含むウェブトークン（例えば、JavaScriptオブジェクト表記「ｊｓｏｎ」ウェブトークン（ｊｗｔトークン））であってもよい。場合によっては、ノンストークンが生成され、インスタンス識別子およびルータアドレスとともにユーザデバイス１１０に提供される。

セキュアシェルインスタンスを構成することの一部として、セッションマネージャサービス１２０は、以下の図を参照してより詳細に説明されるように、利用可能なインスタンス１８０のプールから既存のインスタンスを選択し、構成してもよい。場合によっては、セッションマネージャサービスは、選択されたインスタンスに構成ファイルおよび委任トークンをインストールしてもよい。構成は、限定はしないが、インスタンス識別子、ドメイン識別子、要求詳細（例えば、リソース割り当て、コンパートメント、テナンシ）などを含むパラメータ情報を含んでもよい。委任トークンは、インスタンス上のユーザのシェル環境にインストールされてもよい。トークンは、ユーザが認証されたことの証拠を提供してもよく、ユーザが、再認証の必要なく、自分のアカウントに対してコマンドを実行することを可能にしてもよい。いくつかの実施形態では、ＩａａＳシステムは、委任トークンがユーザのシェル環境にインストールされていないユーザアカウントに対して実行されるＣＬＩコマンドを拒否してもよい。

いくつかの実施形態では、セッションマネージャサービス１２０によってインストールされた構成パラメータは、インスタンス構成ストア１９０に記憶されてもよい。インスタンス構成ストア１９０は、新たなセキュアシェルインスタンスが、セキュアシェルインスタンスの終了に続いて、要求パラメータを用いて復元および／または再構成されることを可能にしてもよい。いくつかの実施形態では、セキュアシェルインスタンスは、ユーザがセキュアシェルインスタンスの使用を完了すると、終了されることになる。いくつかの実施形態では、セッションマネージャサービス１２０は、エージェントの非アクティビティの期間（例えば、アイドル時間）および／またはルータ１６０を介したアクティビティの期間に基づいて、セキュアシェルインスタンスを終了するようにインスタンスマネージャサービス１５０に命令してもよい。アイドル時間は、構成パラメータの一部として提供されてもよい。いくつかの実施形態では、ユーザデバイス１１０のユーザは、セキュアシェルインスタンスが終了されるように要求してもよく、それは、セッションマネージャサービス１２０によって実現されてもよい。

上述のように、例示的なシステム１００は、少なくともユーザデバイスがコンソールおよび／またはコマンドラインインターフェイスからセキュアシェルインスタンスに接続することを可能にすることによって、ＩａａＳシステムの改善されたセキュリティおよび安定性を提供してもよい。ユーザブロックボリュームを維持するのではなく、インスタンス復元動作中にユーザデータを永続化することは、潜在的に損なわれ得るブロックボリュームを維持するのではなく、使用されていないときに読出／書込アクセスなしにデータを保持するシステムサービスからデータを復元することによって、コンテナからのブレークアウトの潜在的な影響を低減してもよい。

例示的システム１００はさらに、ユーザデータ永続化技法を実現することによって、ＩａａＳシステムのセキュリティおよび性能を改善してもよい。例えば、ユーザデータバックアップを生成し、復元要求の受信に応答して復元ボリュームを生成することは、ユーザブロックボリュームを維持することに関連付けられるシステムリソース使用を低減し得る。代わりに、バックアップは、復元されたセキュアシェルセッションのためにデータが要求されるまで、低オーバーヘッドストレージフォーマット（たとえば、ディスクイメージなど）で記憶されてもよい。同様に、ユーザブロックボリュームを維持することは、システム１００が侵害された場合に、あるレベルのリスクを呈し得る。例えば、読出／書込動作を許可しないシステムにおいて、長期ストレージにおいてユーザデータをバックアップとして保持することは、セキュアシェルセッション間でユーザデータへの不正アクセスのリスクを低減し得る。

図２は、１つ以上の実施形態による、セキュアシェルインスタンスのためにブロックボリュームを予約するための例示的な技法２００を示す。上記で図１を参照してより詳細に説明したように、シェルインスタンスを予約および構成することの一部として、セッションマネージャサービス１２０は、図１の例示的なシステム１００の構成サービスと協調して１つ以上の動作を実行してもよい。

いくつかの実施形態では、セッションマネージャサービスは、ユーザ要求を承認および検証することに関して上述したように、セキュアシェルに接続する要求をユーザデバイスから受信してもよい（例えば、動作２０２）。ユーザ要求の受信に応答して、セッションマネージャサービス１２０は、ボリュームマネージャサービス１３０と協調してボリュームを予約してもよい（例えば、動作２０４）。ボリュームを予約することは、ボリュームマネージャサービス１３０が、１つ以上のブロックボリュームがユーザデバイス１１０のユーザにすでに関連付けられ、および／または割り当てられており（たとえば、ユーザブロックボリューム２３０）、セキュアシェルインスタンス２５０をホストするために利用可能であるかどうか、を確認すること（たとえば、動作２０６）を含むが、それに限定されないステップを伴ってもよい。これは、ボリュームマネージャサービス１３０によって管理されるブロックボリュームのレジストリに対してユーザ識別子（例えば、ユーザ名またはログインＩＤ）をチェックすることを含んでもよい。ユーザブロックボリューム２３０が識別された場合、ドメイン識別子情報（例えば、リソースＩＤ、データセンタインフラストラクチャロケータなど）がセッションマネージャサービス１２０に返されて、ボリュームがセキュアシェルインスタンス２５０をホストするために予約されたことを示してもよい（例えば、動作２０８）。

ボリュームマネージャサービス１３０は、ユーザブロックボリューム２３０がセキュアシェルインスタンス２５０にアタッチするために利用可能でないことを見出し得る。いくつかの実施形態では、ボリュームマネージャサービス１３０は、ユーザがまだ割り当てられていない場合がある、所与のデータセンタおよび／またはＩａａＳ領域で利用可能なブロックボリューム１４０のうちの１つ以上を含んでもよい、空のブロックボリューム２４０を予約してもよい。同様に、ボリュームマネージャサービス１３０は、セッションマネージャサービス１２０が後続の動作において実現するためのリソース識別子情報を提供してもよい。例えば、セッションマネージャサービス１２０は、ボリュームマネージャサービス１３０によって返されるブロックボリューム１４０においてインスタンスを割り当ててもよい（例えば、動作２１０）。

いくつかの実施形態では、インスタンスを割り当てることは、ドメイン識別子をインスタンスマネージャサービス１５０に提供することを含んでもよい。図１を参照してより詳細に説明されるように、インスタンスマネージャサービス１５０は、セキュアシェルインスタンスとしての使用のために少なくとも部分的に事前構成されてもよいいくつかの利用可能なインスタンス（例えば、図１のインスタンス１８０）の一部として維持される既存のインスタンスを選択し、予約してもよい。インスタンスマネージャサービス１５０は、セッションマネージャサービス１２０にインスタンス識別子（例えば、インスタンスＩＤ）を返してもよく、これは、セッションマネージャサービス１２０が後続の動作において、選択されたインスタンスを識別することを可能にしてもよい。いくつかの実施形態では、接続要求を実現するときにインスタンスを作成および構成するのではなく、既存のインスタンスを選択し、予約することは、接続要求を処理する際のシステムレイテンシを潜在的に低減し得る。

図３は、１つ以上の実施形態による、セキュアシェルインスタンスからユーザデータを含むブロックボリュームを解放するための例示的な技法３００を示す。図１のシステム１００の１つ以上のサブシステム（例えば、セッションマネージャサービス１２０、ボリュームマネージャサービス１３０、およびインスタンスマネージャサービス１５０）は、セキュアシェルインスタンス（例えば、図２のセキュアシェルインスタンス２５０）を終了および／または復元することに関連付けられる動作を実行してもよい。例えば、ユーザデバイス（例えば、図１のユーザデバイス１１０）のユーザがセキュアシェルインスタンスから切断することを要求するときに、セキュアシェルセッションを終了させることは、以下で説明されるように、セキュアシェルインスタンスからユーザブロックボリュームをデタッチすること、ならびに１つ以上の追加および／または代替動作を含んでもよい。

いくつかの実施形態では、セッションマネージャサービス１２０は、インスタンスエージェント３５０にアイドル時間を要求する（例えば、動作３０２）。上述のように、インスタンスエージェント３５０は、セキュアなWebSocket接続を開き、入力および出力をインスタンス上で動作する端末（例えば、ドッカーコンテナ上で動作するセキュアシェル）にリダイレクトするよう構成されてもよいＨＴＴＰサーバであってもよい。いくつかの実施形態では、エージェントは、ドッカーコンテナの更新されたバージョンを識別してもよく、ドッカーコンテナを開始してもよく、コンテナ内に端末を作成してもよい。いくつかの実施形態では、エージェントはさらに、セキュアシェル構成情報を含むようにドッカーコンテナを特化してもよく、特定の環境変数において通ることに少なくとも部分的によって、ドッカーコンテナ内の端末を実行してもよい。

いくつかの実施形態では、セッションマネージャサービス１２０は、閾値時間を超える最後の接続からある期間が経過した後、および／またはセキュアシェルインスタンスを切断もしくは終了するためのユーザ要求の後、セキュアシェルインスタンスを終了するよう構成されてもよい。いくつかの実施形態では、セッションマネージャサービス１２０は、インスタンスエージェント３５０によって返されたアイドル時間がセキュアシェルインスタンスの構成された寿命を超えた後、セキュアシェルインスタンスを終了する要求をインスタンスマネージャサービス１５０に送信してもよい（例えば、動作３０４）。それに応答して、インスタンスマネージャサービス１５０は、（例えば、インスタンスエージェント３５０と協調して）セキュアシェルインスタンスを終了するための追加の動作を実施してもよい。

終了動作の一部として、ボリュームマネージャサービス１３０は、ブロックボリュームを解放する要求を受信してもよい（例えば、動作３０８）。いくつかの実施形態では、ブロックボリューム（例えば、図１のブロックボリューム１４０）は、ユーザデバイス（例えば、図１のユーザデバイス１１０）のユーザにとって有益であってもよい、セキュアシェルセッション中に生成および／または記憶されたユーザデータを含んでもよい。このようにして、ボリュームマネージャサービス１３０は、ブロックボリュームのバックアップを作成すること（例えば、動作３１０）を含むがこれに限定されない、セキュアシェルインスタンスの終了を容易にするための１つ以上の動作を実施してもよい。

いくつかの実施形態では、ボリュームマネージャサービス１３０は、バックアップサービス３４０を使用してバックアップを作成してもよい。バックアップサービスは、ブロックストレージサービス３４２、オブジェクトストレージサービス３４４、ボリュームイメージサービス３４６などを含むがこれらに限定されない外部ＩａａＳリソースを含んでもよい。いくつかの実施形態では、ボリュームマネージャサービス１３０は、バックアップを作成するのではなく、保持期間中にユーザブロックボリュームを維持してもよい。保持期間は、バックアップの作成を要求することなくユーザブロックボリュームを再アタッチすることによって、またはブロックストレージから新たに構成されたブロックボリュームにユーザデータを復元することによって、ユーザが新たなセキュアシェルインスタンスを要求するときにレイテンシを低減してもよい。

いくつかの実施形態では、ボリュームマネージャサービス１３０は、バックアップがオブジェクトストレージシステムへの転送のためにフォーマットされるように、オブジェクトストレージサービス３４４を使用してバックアップを作成してもよい。ブロックボリュームストレージとは対照的に、オブジェクトストレージは、データをチャンクオブジェクトとしてデータストアに記憶することを可能にすることによって、ＩａａＳシステムオーバーヘッドを潜在的に低減し、ユーザブロックボリュームを維持するために必要とされるリソースを低減してもよい。いくつかの実施形態では、オブジェクトストレージサービス３４４は、セキュアシェルセッション復元プロセスにレイテンシを導入し得る追加のデータフォーマット変換動作を導入するにもかかわらず、バックアップが、システムリソースに関して、より低いコストのために、ユーザデータを記憶することを可能にしてもよい。

いくつかの実施形態では、ボリュームマネージャサービス１３０は、（例えば、ボリュームイメージサービス３４６を使用して）ボリュームイメージを作成することによってバックアップを作成してもよい。ボリュームイメージ（例えば、ブロックボリュームのディスクイメージ）は、コンピュータファイルとして、ボリュームの内容および構造を含んでもよい。ボリュームイメージは、元のブロックボリュームの構造を保存するブロックのマニフェストとともにコピーを生成することによって作成されてもよい。場合によっては、ボリュームイメージは、ブロックボリュームに対して圧縮されて、イメージのサイズをブロックボリュームに記憶されたデータのサイズに潜在的に縮小してもよい（例えば、ブロックボリューム内の余剰または未使用の予約された容量を省略する）。ボリュームイメージは、ユーザデータが、複数のブロックおよび／またはチャンクオブジェクトをプロビジョニングすることを含む復元手順ではなく、単一のファイルから復元されることを可能にしてもよい。したがって、それは、セキュアシェルセッション間でユーザデータのためにブロックボリュームを維持しないことに少なくとも部分的に起因して、潜在的に低減されたレイテンシおよび低減されたリソース需要を伴うシステム復元動作を可能にしてもよい。

図４は、１つ以上の実施形態による、復元されたセキュアシェルインスタンスのためにブロックボリュームを復元するための例示的な技法４００を示す。図１のシステム１００の１つ以上のサブシステム（例えば、セッションマネージャサービス１２０、ボリュームマネージャサービス１３０、およびインスタンスマネージャサービス１５０）は、セキュアシェルインスタンス（例えば、図２のセキュアシェルインスタンス２５０）を終了および／または復元することに関連付けられる動作を実行してもよい。セキュアシェルインスタンスを復元することは、新たなセキュアシェルインスタンスを空のブロックボリュームとともに作成することと、空のブロックボリュームにバックアップデータをプロビジョニングすること（空のブロックボリュームの「ハイドレーション」とも呼ばれる）とを含んでもよい。

いくつかの実施形態では、セッションマネージャサービス１２０は、上記で図１を参照してより詳細に説明されるように、セキュアシェルインスタンスに接続する要求をユーザデバイス１１０から受信してもよい（例えば、動作４０２）。技法４００の復元動作では、ユーザ要求は、セッションマネージャサービス１２０が、初期構成および／またはセキュアシェルインスタンスへの接続ではなく、終了動作（例えば、図３の技法３００）を要求した後セキュアシェルインスタンスに再接続するための要求を含んでもよい。

いくつかの実施形態では、セッションマネージャサービス１２０は、上記で図２を参照してさらに詳細に説明されるように、セキュアシェルインスタンスにアタッチするためにブロックボリューム１４０を予約するようにボリュームマネージャサービスに要求してもよい。ユーザブロックボリュームを検索する代わりに、前述のように、ボリュームマネージャサービス１３０は、空のブロックボリューム２４０を予約してもよい（例えば、動作４０４）。空のブロックボリューム２４０は、例えば、ブロックボリュームのプールの一部として、セキュアシェルインスタンスにアタッチするために、事前構成されてもよい。

ボリュームマネージャサービス１３０は、空のブロックボリューム２４０にバックアップユーザデータ４３０をプロビジョニングしてもよい（例えば、動作４０６）。図２を参照してより詳細に説明されるように、バックアップユーザデータ４３０は、ブロックストレージおよびオブジェクトストレージを含むが、それらに限定されない、いくつかの異なるデータフォーマットで、例えば、ディスクイメージとして（例えば、単一ファイルとして）記憶されてもよく、または複数のデータサブユニット（例えば、ブロック、オブジェクト等）に分散されてもよい。いくつかの実施形態では、ボリュームマネージャサービス１３０は、予約された空のブロックボリュームがバックアップサービス（例えば、図３のバックアップサービス３４０）を使用してバックアップユーザデータ４３０をプロビジョニングされることを要求してもよい。いくつかの実施形態では、バックアップサービスは、分散ストレージシステム（例えば、クラウドストレージシステム）を介したバックアップユーザデータ４３０（例えば、ブロック）の転送を容易にしてもよい。いくつかの実施形態では、空のブロックボリューム２４０をプロビジョニングすることは、上記で図３を参照してより詳細に説明したように、（例えば、バックアップがオブジェクトデータとして記憶される場合、）バックアップユーザデータ４３０をオブジェクトデータからブロックデータに再フォーマットすることを含んでもよい。

いくつかの実施形態では、ボリュームマネージャサービス１３０は、バックアップユーザデータ４３０がプロビジョニングされる空のブロックボリュームのデータセンタ（例えば、ＡＤ）識別子を識別してもよい（例えば、動作４０８）。データセンタ識別子を識別することは、バックアップユーザデータ４３０が記憶されるシステムを識別してもよい、ＩａａＳインフラストラクチャ（例えば、データセンタ）内の空のブロックボリューム２４０のハードウェアアドレスを確認することを含んでもよい。識別されると、ボリュームマネージャサービス１３０は、データセンタ識別子をセッションマネージャサービス１２０に返してもよい（例えば、動作４１０）。セッションマネージャサービス１２０は、上記で図１～図２を参照してより詳細に説明したように、セキュアシェルインスタンスを構成および作成することの一部として、データセンタ識別子を使用してインスタンスマネージャサービス（例えば、図１のインスタンスマネージャサービス１５０）に提供してもよい。

図５は、１つ以上の実施形態による、ユーザデータを含むブロックボリュームが解放される例示的なデータフロー５００を示すシーケンス図を示す。ユーザデバイス１１０のユーザは、セキュアシェルインスタンスに接続するように要求し、セッションマネージャサービス１２０は、ボリュームを予約するようにボリュームマネージャサービスに要求する。セッションマネージャサービス１２０は、セキュアシェルインスタンスを終了すると判断した後、ボリュームマネージャサービス１３０にブロックボリュームを解放するように要求する。

データフロー５００では、ユーザデバイス１１０（これは、図１のユーザデバイス１１０の例であってもよい）は、図１～図２を参照してより詳細に説明されるように、セキュアシェルインスタンスに接続するための要求を提出してもよく、それは、セッションマネージャサービス１２０によって受信されてもよい。要求を受信すると、セッションマネージャサービス１２０は、上記で図を参照してより詳細に説明されるように、シェルインスタンスを構成してもよい。シェルインスタンスを構成することは、ボリュームを予約すること、セキュアシェルインスタンスを構成する目的で作成されるいくつかの利用可能なインスタンスからインスタンスを割り当てること、および割り当てられたインスタンス上に構成ファイルをインストールすることを含むが、それらに限定されない、複数の動作を含んでもよい。

ボリュームを予約することは、図２および図４を参照してより詳細に説明されるように、ボリュームマネージャサービス１３０にブロックボリュームを予約することを要求することを含む１つ以上の動作を含んでもよい。例えば、ブロックボリュームを予約することは、ユーザデータを含むユーザブロックボリューム（例えば、図２のユーザブロックボリューム２３０）について既存のブロックボリュームを検索することと、ユーザブロックボリュームのデータセンタ識別子をセッションマネージャサービス１２０に返すこととを含んでもよい。場合によっては、ユーザブロックボリュームがボリュームマネージャサービス１３０によって見つからない場合のように、ボリュームマネージャサービスは、予約されたブロックボリューム（例えば、図２の空のブロックボリューム２４０）のデータセンタ識別子（たとえば、ＡＤ識別子）を識別し、返してもよい。

シェルインスタンスを構成することは、セッションマネージャサービス１２０が、インスタンスマネージャサービスからシェルインスタンス識別子（たとえば、ＩａａＳリソース識別子）を受信することを含んでもよい。図１～図２を参照してより詳細に説明されるように、インスタンスは、予約されたボリュームがそれにアタッチされてもよい、少なくとも部分的に事前構成されたインスタンスのプールから予約されてもよい。予約されたボリュームをアタッチすることは、例えば、ボリュームマネージャサービス１３０にボリュームをアタッチすることを要求する、１つ以上の動作を含んでもよい。セッションマネージャサービス１２０による要求に応答して、ボリュームマネージャサービス１３０は、ボリュームをアタッチし、確認をセッションマネージャサービス１２０に返してもよい。

セッションマネージャサービス１２０が、セキュアシェルインスタンスがアイドルである、および／またはユーザデバイス１１０のユーザがセキュアシェルインスタンスを終了するように要求する、と判断すると、セッションマネージャサービス１２０は、図３を参照してより詳細に説明されるように、ブロックボリュームを解放するようにボリュームマネージャサービス１３０に要求してもよい。ブロックボリュームを解放することの一部として、ボリュームマネージャサービスは、ブロックボリュームに含まれるユーザデータのバックアップを作成してもよい。ボリュームマネージャサービスは、バックアップ動作の一部として、バックアップ識別子をバックアップサービス３４０から受信してもよい。いくつかの実施形態では、バックアップ動作は、図３を参照してより詳細に説明されるように、バックアップサービスによって実行されてもよい。

ブロックボリュームを解放することは、ブロックボリュームからユーザデータを削除して（例えば、再フォーマットして）、記憶容量をブロックボリュームの将来の構成のために可用性に戻すことを含んでもよい。ブロックボリュームを解放することの一部として、ボリュームマネージャサービス１３０は、ブロックボリュームがセッションマネージャサービス１２０に解放されたことを確認してもよい。

図６は、１つ以上の実施形態による、復元されたセキュアシェルインスタンスにユーザデータが永続化される例示的なデータフロー６００を示すシーケンス図を示す。ユーザデバイス１１０のユーザは、セキュアシェルインスタンスへの接続および／または再接続を要求し、セッションマネージャサービス１２０は、ユーザボリュームを復元するようにボリュームマネージャサービス１３０に要求してもよい。ボリュームマネージャサービス１３０は、復元ボリュームをプロビジョニングするために、バックアップサービス３４０と協調してもよい。

データフロー６００において、セッションマネージャサービス１２０は、ユーザデバイス１１０から接続要求を受信してもよい。図３を参照してより詳細に説明されるように、ユーザデバイス１１０が以前にセキュアシェルインスタンスに接続され、そのインスタンスからのデータがバックアップに記憶されているとき、セッションマネージャサービス１２０は、復元要求をボリュームマネージャサービス１３０に送信してもよい。復元要求は、ユーザデバイス１１０のユーザおよび／またはバックアップユーザデータを記述する情報（例えば、ユーザ識別子、ユーザ名、最終セッション識別子、バックアップ識別子など）を識別すること含んでもよい。

ボリュームマネージャサービス１３０は、既存のユーザブロックボリューム（例えば、図２のユーザブロックボリューム２３０）を検索する代わりに、空のブロックボリューム（例えば、図２の空のブロックボリューム２４０）を予約してもよい。図２を参照して説明した動作とは対照的に、ボリュームマネージャサービス１３０は、ユーザバックアップデータ（例えば、図４のユーザバックアップデータ４３０）を復元するためのプロビジョニングプロセスの一部として、バックアップ識別子をバックアップサービス３４０に提供してもよい。

復元ボリュームをプロビジョニングすることは、バックアップサービス３４０によってバックアップストレージシステムから空のブロックボリュームにバックアップデータを転送することを含んでもよい。これは、ユーザブロックボリュームを再生するためにデータの構造を復元することを含んでもよい。ボリュームマネージャサービス１３０は、空のブロックボリュームのデータセンタ識別子をバックアップサービス３４０に提供してもよく、バックアップサービスは、空のボリュームにバックアップデータをプロビジョニングしてもよい。いくつかの実施形態では、ボリュームマネージャサービス１３０は、バックアップデータ識別子をバックアップサービス３４０に提供し、対応するユーザバックアップデータを受信し、データを予約されたブロックボリュームに復元することによって、プロビジョニング動作を実行してもよい。

プロビジョニングされると、ボリュームマネージャサービス１３０は、復元ボリューム識別子をセッションマネージャサービス１２０に提供してもよく、それは、空のブロックボリュームのデータセンタ識別子に対応してもよい。この識別子を使用して、セッションマネージャサービス１２０は、事前構成されたインスタンスのプールからインスタンスを予約すること、および予約されたインスタンスに復元ボリュームをアタッチするようにボリュームマネージャサービス１３０に要求することを含むが、それらに限定されない、図２を参照してより詳細に説明されるような動作を実行してもよい。ボリュームマネージャサービス１３０は、場合によっては、セッションマネージャサービス１２０に確認を返すことによって復元ボリュームのアタッチメントを確認してもよい。

図７は、１つ以上の実施形態による、セキュアシェルインスタンスのためにブロックボリュームを解放するための例示的なフローを示す図である。フローの動作は、ハードウェア回路として実現され、および／または図１のボリュームマネージャサービス１３０などのコンピュータシステムの非一時的コンピュータ可読媒体上にコンピュータ可読命令として記憶され得る。実現されると、命令は、コンピュータシステムのプロセッサによって実行可能な回路またはコードを含むモジュールを表す。そのような命令の実行は、本明細書で説明される特定の動作を実行するようコンピュータシステムを構成する。各回路またはコードは、プロセッサと組み合わせて、それぞれの動作を実行する。動作は、ある特定の順序で示されているが、特定の順序は必要ではなく、１つ以上の動作は省略され、スキップされ、および／または並べ替えられてもよいことを理解されたい。

ある例では、フロー７００は、コンピュータシステムがブロックボリュームを予約する要求を受信する動作７０２を含む。図２を参照してより詳細に説明されるように、要求は、セキュアシェルインスタンス（例えば、図２のセキュアシェルインスタンス２５０）に接続するための、ユーザデバイス（例えば、図１のユーザデバイス１１０）からの要求に応答して、セッションマネージャサービス（例えば、図１のセッションマネージャサービス１２０）によって生成されてもよい。要求は、ユーザデバイス１１０に関連付けられたユーザ識別子（例えば、ユーザ名、ログインＩＤ、セッションＩＤ、ネットワークアドレスなど）を含んでもよい。

ある例では、フロー７００は、コンピュータシステムがブロックボリュームを予約する動作７０４を含む。ブロックボリュームを予約することは、以下で図８を参照してより詳細に説明されるように、ユーザブロックボリューム（例えば、図２のユーザブロックボリューム２３０）が、ボリュームマネージャサービスが接続されるＩａａＳシステムのブロックボリュームストレージシステムによって維持されているかどうかを、ボリュームマネージャサービスが確認することを含んでもよい。そうでない場合、ボリュームマネージャサービスは、空のブロックボリューム（例えば、図２の空のブロックボリューム２４０）を予約してもよい。

ある例では、フロー７００は、コンピュータシステムがブロックボリュームのデータセンタ識別子を識別する動作７０６を含む。データセンタ識別子は、ブロックボリューム（例えば、図１のブロックボリューム１４０）を維持するＩａａＳストレージリソース（例えば、ネットワーク化されたストレージインフラストラクチャ）を記述してもよく、ＩａａＳシステムの単一のデータセンタ（例えば、特定の地理的領域における設備）に固有であってもよい。

ある例では、フロー７００は、コンピュータシステムがブロックボリュームのデータセンタ識別子を返す動作７０８を含む。ボリュームマネージャシステムは、動作７０８の一部として識別された予約されたブロックボリュームのデータセンタ識別子をセッションマネージャサービスに提供してもよい。セッションマネージャサービスは、次に、図１～図２を参照してより詳細に説明されるように、セキュアシェルインスタンスを構成することの一部として、予約されたブロックボリュームのデータセンタ識別子をインスタンスマネージャサービス（例えば、図１のインスタンスマネージャサービス１５０）に提供してもよい。

ある例では、フロー７００は、コンピュータシステムがブロックボリュームをアタッチする動作７１０を含む。ボリュームマネージャサービスは、セキュアシェルインスタンスを作成する際に使用するためにインスタンスマネージャサービスによって選択された、部分的に事前構成されたインスタンス（例えば、図１のインスタンス１８０）のプールから割り当てられたインスタンスに、予約されたブロックボリュームをアタッチしてもよい。

ある例では、フロー７００は、コンピュータシステムがブロックボリュームを解放する命令を受信する動作７１２を含む。ボリュームマネージャサービスは、セッションマネージャサービスが、セキュアシェルインスタンスについて、セキュアシェルインスタンスの寿命を超えるアイドル時間を確認した後に、図３を参照してより詳細に説明されるように、セッションマネージャサービスから要求を受信してもよい。いくつかの実施形態では、ユーザデバイスのユーザは、セキュアシェルインスタンスを終了するように要求してもよい。セッションマネージャサービスは、コアＩａａＳリソースおよびユーザデータを潜在的に保護するために、セキュアシェルインスタンスを終了すること、例えば、セキュアシェルインスタンスを（例えば、ドッカーコンテナとして）ドッカーから切断すること、インスタンスを削除すること、およびブロックボリュームから計算リソースを関連付け解除することに関連付けられる複数の動作のうちの１つとして、予約されたブロックボリュームを解放するように、ボリュームマネージャサービスに要求してもよい。

いくつかの実施形態では、保持時間が、ユーザブロックボリュームデータが維持および／または保持されてもよいセキュアシェル終了に続いてもよい。ユーザブロックボリュームデータの保持は、例えば、オブジェクトストレージなどのバックアップからユーザデータを復元することなく、ユーザブロックボリュームデータを新たなセキュアシェルインスタンスにアタッチすることによって、新たなセキュアシェルインスタンスを初期化することに関連付けられるレイテンシを低減してもよい。いくつかの実施形態では、保持時間は、数時間または数日間、例えば、１２時間、２４時間、３６時間、４８時間、７２時間などを含んでもよい。いくつかの実施形態では、保持時間は、アイドル時間の終了から計算されてもよく、セキュアシェルインスタンスタイムアウトがインスタンスの終了をトリガするようにしてもよいが、ユーザブロックボリュームは、アイドルタイムアウト後、保持期間（例えば、７２時間）が経過するまで、保持されてもよい。

ある例では、フロー７００は、コンピュータシステムがブロックボリュームのバックアップを作成する動作７１４を含む。ボリュームマネージャサービスは、ブロックボリュームの解放の一部として、バックアップの作成を要求してもよい。バックアップは、図３を参照してさらに詳細に説明されるように、ブロックストレージ、オブジェクトストレージおよび／またはボリュームイメージとして、含むが、それらに限定されない、異なるフォーマットで、作成されてもよい。バックアップデータ（例えば、図４のユーザバックアップデータ４３０）は、ボリュームマネージャサービスが通信するＩａａＳコアサービスであってもよいバックアップサービス（例えば、図３のバックアップサービス３４０）によって作成されてもよい。

ある例において、フロー７００は、コンピュータシステムがブロックボリュームを解放する動作７１６を含む。ボリュームマネージャサービスは、ボリュームを再フォーマットすること（例えば、ブロックボリュームに記憶されたデータをクリアすること）、および他の使用のために利用可能であるとブロックボリュームとともに以前に識別されたストレージリソースを関連付け解除することに、少なくとも部分的によって、ブロックボリュームを解放してもよい。セキュアシェルインスタンスを終了した後の保持時間中のように、ユーザブロックボリュームを維持するのとは対照的に、ブロックボリュームを解放することは、ユーザがセキュアシェルインスタンスに接続されていない期間中にユーザブロックボリュームを維持することに専用のリソースを潜在的に低減することによって、本明細書で説明されるＩａａＳシステムが、低減された計算オーバーヘッドで動作することを可能にしてもよい。

図８は、１つ以上の実施形態による、セキュアシェルインスタンスのためにブロックボリュームを予約するための例示的なフローを示す図である。フローの動作は、ハードウェア回路として実現され、および／または図１のボリュームマネージャサービス１３０などのコンピュータシステムの非一時的コンピュータ可読媒体上にコンピュータ可読命令として記憶され得る。実現されると、命令は、コンピュータシステムのプロセッサによって実行可能な回路またはコードを含むモジュールを表す。そのような命令の実行は、本明細書で説明される特定の動作を実行するようコンピュータシステムを構成する。各回路またはコードは、プロセッサと組み合わせて、それぞれの動作を実行する。動作は、ある特定の順序で示されているが、特定の順序は必要ではなく、１つ以上の動作は省略され、スキップされ、および／または並べ替えられてもよいことを理解されたい。

一例では、フロー８００は、ブロックボリュームを予約する要求を受信したこと（例えば、図７の動作７０２）に応答してボリュームマネージャサービスによって実行されてもよい１つ以上の動作を含む。したがって、フロー８００は、動作７０２を含み、それによって、ボリュームマネージャサービスは、セッションマネージャサービス（例えば、図１のセッションマネージャサービス１２０）からブロックボリュームを予約する要求を受信する。

ある例において、フロー８００は、コンピュータシステムが、登録されたブロックボリュームが割り当てられているかどうかを判定する動作８０４を含む。登録されたブロックボリュームは、ユーザデバイス（例えば、図１のユーザデバイス１１０）のユーザに関連付けられるブロックボリュームであってもよい。したがって、動作８０４は、ユーザブロックボリューム（例えば、図２のユーザブロックボリューム２３０）が、ボリュームマネージャサービスが接続されているＩａａＳシステムのブロックボリュームストレージシステムによって維持されているかどうかを、ボリュームマネージャサービスが確認することを含んでもよい。

ある例では、フロー８００は、コンピュータシステムが、登録されたブロックボリュームが割り当てられていることに応じて、その登録されたブロックボリュームを予約する動作８０６を含む。動作８０４がユーザブロックボリュームのデータセンタ識別子を返す場合、ボリュームマネージャサービスは、セキュアシェルインスタンスへのアタッチメントのためにユーザブロックボリュームを予約してもよい。

ある例では、フロー８００は、コンピュータシステムが、登録されたブロックボリュームが割り当てられていないことに応じて、空のボリュームを予約する動作８０８を含む。動作８０６とは対照的に、ユーザブロックボリュームが利用不可であるとき、ボリュームマネージャサービスは、空のブロックボリューム（例えば、図２の空のブロックボリューム２４０）を予約してもよい。空のブロックボリュームは、セキュアな計算インスタンスへのアタッチメントのために１つ以上の設定および／または構成パラメータを用いて少なくとも部分的に事前構成されてもよい。

図９は、１つ以上の実施形態による、セキュアシェルインスタンスのためにブロックボリュームを復元するための例示的なフロー９００を示す。フローの動作は、ハードウェア回路として実現され、および／または図１のボリュームマネージャサービス１３０などのコンピュータシステムの非一時的コンピュータ可読媒体上にコンピュータ可読命令として記憶され得る。実現されると、命令は、コンピュータシステムのプロセッサによって実行可能な回路またはコードを含むモジュールを表す。そのような命令の実行は、本明細書で説明される特定の動作を実行するようコンピュータシステムを構成する。各回路またはコードは、プロセッサと組み合わせて、それぞれの動作を実行する。動作は、ある特定の順序で示されているが、特定の順序は必要ではなく、１つ以上の動作は省略され、スキップされ、および／または並べ替えられてもよいことを理解されたい。

ある例では、フロー９００は、コンピュータシステムがブロックボリュームを復元する要求を受信する動作９０２を含む。図４を参照してより詳細に説明されるように、ボリュームマネージャサービスは、ユーザデバイス（例えば、図１のユーザデバイス１１０）のユーザがセキュアシェルインスタンス（例えば、図２のセキュアシェルインスタンス２５０）に再接続することを要求した後に、セッションマネージャサービス（例えば、図１のセッションマネージャサービス１２０）からブロックボリュームを復元するための要求を受信してもよい。いくつかの実施形態では、要求は、ユーザ識別子を含んでもよく、それによってボリュームマネージャサービスは、以下で説明する１つ以上のバックアップ復元動作を実現してもよい。

ある例において、フロー９００は、コンピュータシステムが空のボリュームのプールから空のブロックボリュームを予約する動作９０４を含む。図８のフロー８００を参照して説明される動作とは対照的に、ボリュームマネージャサービスは、ユーザブロックボリュームがＩａａＳデータストレージシステムによって維持されているかどうかを確認することなく、空のブロックボリューム（例えば、図２の空のブロックボリューム２４０）を予約することに、少なくとも部分的によって、動作９０２の復元要求を実現してもよい。例えば、図７を参照してより詳細に説明されるように、バックアップが作成されると、ボリュームマネージャサービスは、図８を参照して説明される動作を実行することなく、空のブロックボリュームを予約してもよい。

代替として、ボリュームマネージャシステムは、ユーザブロックボリュームがＩａａＳデータストレージシステムによって維持されているかどうかを確認することによって、図８を参照して説明される動作を実現してもよい。このようにして、ボリュームマネージャサービスは、空のブロックボリュームを予約するのではなく、ユーザブロックボリュームデータセンタ識別子を返してもよい。

ある例において、フロー９００は、コンピュータシステムがユーザバックアップデータを要求する動作９０６を含む。ボリュームマネージャサービスは、ユーザデータバックアップ（例えば、図４のユーザデータバックアップ４３０）が、動作９０４の予約された空のブロックボリュームに転送されるよう、要求してもよい。要求は、データのバックアップおよび復元動作を容易にするコアＩａａＳサービスであってもよいバックアップサービス（例えば、図３のバックアップサービス３４０）からなされてもよい。

ある例では、フロー９００は、コンピュータシステムが空のブロックボリュームをプロビジョニングする動作９０８を含む。図４を参照してより詳細に説明されるように、空のブロックボリュームをプロビジョニングすることは、バックアップ動作（例えば、図７の動作７１４）に先行する、ユーザブロックボリューム（例えば、図２のユーザブロックボリューム２３０）の構造を再作成するための動作を含んでもよい。

ある例では、フロー９００は、コンピュータシステムが空のブロックボリュームのデータセンタ識別子を識別する動作９１０を含む。ボリュームマネージャサービスは、復元ボリュームがセキュアシェルインスタンスにアタッチされてもよいように、空のブロックボリュームのデータセンタ識別子を復元ボリュームのデータセンタ識別子として識別してもよい。データセンタ識別子は、空のブロックボリュームが維持されるデータセンタ（例えば、ＩａａＳインフラストラクチャ）に対応する固有の識別子であってもよい。

ある例では、フロー９００は、コンピュータシステムが復元ボリュームのデータセンタ識別子を返す動作９１２を含む。データセンタ識別子は、上記で図１～図２を参照してより詳細に説明したように、セキュアシェルインスタンスの構成のために、ボリュームマネージャサービスによってセッションマネージャサービスに返されてもよい。

署名されたノンスを用いてクラウドシェルをセキュアにするための技法
クラウドベースのプラットフォームは、スケーラブルで柔軟なコンピューティングリソースをユーザに提供する。そのようなクラウドベースのプラットフォームは、インフラストラクチャ・アズ・ア・サービス（ＩａａＳ）とも呼ばれ、顧客のデータの周囲のクラウドソリューションのスイート全体、例えば、変換をオーサリングし、データをロードし、データを提示するためのソリューションを提供してもよい。ＩａａＳリソースのユーザは、動作およびデータ転送がセキュアに実行され得るように、セキュアシェルインスタンス内にセキュア端末を作成することを要求してもよい（例えば、WebSocket セキュアまたはｗｓｓ接続を介した双方向暗号化を用いる）。

いくつかの実施形態では、シェルインスタンスは、ドッカーコンテナ（例えば、ホスト）を動作させ得、ユーザデバイスがそのドッカーコンテナ上で端末を動作させることを可能にしてもよい、専用計算インスタンスであり得る。ユーザデバイスは、単一のホストに割り当てられてもよいが、そのホスト上に複数のアクティブ端末を作成してもよい。シェルインスタンスは、非アクティブの期間の後に終了されてもよい。インスタンスはホストを動作させてもよく、ホストは次いでセキュアシェル（例えば、端末）を動作させてもよい。いくつかの実施形態では、インスタンスおよび／またはホストはまた、端末がある期間にわたってホスト上でアクティブになっていないときに終了されてもよい。

いくつかの実施形態では、インスタンスエージェントが、割り当てられたインスタンス上で動作してもよく、WebSocketトラフィックを受信すること、およびそのトラフィックをホスト上で動作するセキュアシェルに送信することを処理してもよい。インスタンスエージェントは、セキュアなWebSocket接続を開き、入力および出力をインスタンス上で動作する端末（例えば、ドッカーコンテナ上で動作するセキュアシェル）にリダイレクトするよう構成されてもよいＨＴＴＰサーバであってもよい。いくつかの実施形態では、エージェントは、ドッカーコンテナの更新されたバージョンを識別してもよく、ドッカーコンテナを開始してもよく、コンテナ内に端末を作成してもよい。いくつかの実施形態では、エージェントはさらに、セキュアシェル構成情報を含むようにドッカーコンテナを特化してもよく、特定の環境変数において通ることに少なくとも部分的によって、ドッカーコンテナ内の端末を実行してもよい。

いくつかの実施形態では、セッションマネージャサービスは、ブラウザからユーザのリソースへのコマンドラインアクセスを提供し得る。セッションマネージャサービスは、特定のユーザアカウントをサポートするように割り当てられ、および／または特化され得る、いくつかの利用可能な計算インスタンスを提供してもよい。利用可能な計算インスタンスを（例えば、セキュアシェル要求を受信する前にデフォルトパラメータとともに構成された１つ以上の計算インスタンスを作成することによって）提供することは、セッションマネージャサービスが（例えば、５秒、１０秒、３０秒、６０秒以内などにインスタンスを作成および特化することによって）システム応答のレイテンシを改善することを可能にしてもよい。セッションマネージャサービスはまた、ユーザが、複数の動作において検証された後に最終的に承認されるセキュアな接続を通して、特化されたインスタンス上でＩａａＳインフラストラクチャリソースを（例えば、知的所有権下にあるおよび／または他のユニックスコマンドを介して）使用することを可能にしてもよい、ウェブベースの端末を提供してもよい。

いくつかの実施形態では、本明細書で説明する技法は、これらのリソースの作成およびそれらのリソースに対するアクセスのためにウェブベースの端末によって使用されてもよいソフトウェア開発者キット（ＳＤＫ）にコンピュータ実行可能命令として組み込まれ得る。このようにして、ＳＤＫも、セキュアなウェブベースの端末を実現するために他のプロバイダによって使用され得る。さらに、本明細書で説明する技法は、ユーザデバイスが、改善されたセキュリティおよびレイテンシで１つ以上の端末を動作させるセキュアシェルに接続することを可能にしてもよい。例えば、セキュアシェルにセキュアに接続する要求時に新たなインスタンスを作成するのではなく、複数の利用可能なインスタンスからセキュアシェルインスタンスを選択し構成することによって、セッションマネージャは、インスタンスの事前構成によって導入されるシステムレイテンシを潜在的に改善してもよい。

さらに、１つ以上の端末をセキュアにするための１つ以上の技法を実現することは、本明細書で説明するシステムの動作および性能を改善し得る。たとえば、セッションマネージャサービスおよびユーザデバイスの両方によって署名されてもよいノンストークンを、署名をチェックする動作（例えば、セキュアシェルインスタンスへのユーザデバイスの接続を容易にするルータによって実現される）とともに提供することは、改善されたセキュリティを提供し得、セキュアシェルインスタンス上で動作する端末を介したデータおよび／またはＩａａＳリソースへの不正アクセスを防止し得る。さらに、ノンストークンの有効性が未使用のノンストークンのデータベースに関連して判断されてもよい単回使用プロトコルを実現することは、ノンストークンの再使用を防止し得る。加えて、マルチステップセキュリティプロトコルも、セッションマネージャサービスが、無許可および／または非認証ユーザデバイスによるログイントークン（例えば、ユーザデバイスを認証した後にアイデンティティ承認サービスによって生成されるトークン）の再使用を防止することを可能にしてもよい、追加のユーザ認証およびリソース承認保護を提供してもよい。加えて、ドッカーコンテナシステム内にセキュアシェルを構成することは、セキュアシェルに関連するデータを隔離し、それによって、潜在的に、侵害に対する外部データの暴露を低減することによって、セキュリティを改善してもよい。

図１０は、１つ以上の実施形態による、セキュアシェルインスタンスを管理するための例示的なシステム１０００を示す。いくつかの実施形態では、システム１０００は、ユーザが計算インスタンス（例えば、仮想マシンまたは「ＶＭ」またはドッカーコンテナ）にセキュアに接続することを可能にしてもよい。セキュアアクセスは、ユーザが、ＩａａＳシステムのＶＭとのリアルタイムデータ転送のために、暗号化された接続（例えば、httpsおよび／またはWebSocket Secure「WSS」）を介して、分散ストレージ、計算コア等を含むが、それらに限定されない、分散コンピューティングシステムリソース（例えば、インフラストラクチャ・アズ・ア・サービスまたは「ＩａａＳ」）に接続することを可能にしてもよい。いくつかの実施形態では、ユーザデバイス１０１０は、セキュアシェルインスタンスに対する、署名された要求を生成してもよく、その署名された要求を、セッションマネージャサービス１０２０に送信してもよい。セッションマネージャサービス１０２０は、署名された要求を満たすことの一部として、ユーザデバイス１０１０を検証すること、およびセキュアシェルインスタンスを構成することの一部として、動作を実行してもよい。

いくつかの実施形態では、ユーザデバイス１０１０は、グラフィカルユーザインターフェイスコンソールまたはコマンドラインインターフェイス（ＣＬＩ）を含むが、それらに限定されない、ユーザインターフェイスを使用して、署名された要求を生成してもよい。ユーザインターフェイスは、ユーザ公開／秘密鍵ペアを生成してもよい、アイデンティティ承認サービスを含む。場合によっては、ユーザ公開／秘密鍵ペアは、例えば、セッションの初期化時、セキュアＶＭ接続の要求の生成時などに生成される一時的な鍵ペアであってもよい。ユーザデバイス１０１０は、ユーザ公開／秘密鍵ペアの秘密鍵を使用して、署名された要求を生成してもよい。

いくつかの実施形態では、セッションマネージャサービス１０２０は、セキュアシェルインスタンスを管理および準備することの一部として、１つ以上の承認ステップを実現してもよい。承認は、例えば、（例えば、ユーザデバイス１０１０のアイデンティティを検証するステップとして、）署名された要求を受信すること、および（たとえば承認サービスに）公開鍵を要求し、その鍵を使用して、署名された要求の署名を検証することによって、署名された要求を検証することを含んでもよい。追加または代替として、公開鍵は、以下で図２９を参照してより詳細に説明されるように、承認サービスによって提供されるログイントークンに含まれてもよい。

いくつかの実施形態では、セッションマネージャサービス１０２０は、セキュアシェルインスタンスを予約および構成することに少なくとも部分的によって、署名された要求を満たしてもよい。場合によっては、セッションマネージャサービス１０２０は、ボリュームマネージャサービス１０３０と通信して、ブロックボリューム１０４０を予約してもよい。ボリュームマネージャサービス１０３０は、ブロックボリューム１０４０のドメイン識別子をセッションマネージャサービス１０２０に返してもよい。いくつかの実施形態では、ドメイン識別子は、予約されたブロックボリューム１０４０の地理的領域（例えば、可用性ドメイン、すなわち「ＡＤ」）内の１つ以上のデータセンタを記述してもよい。

いくつかの実施形態では、セッションマネージャサービス１０２０は、ブロックボリューム１０４０のドメイン識別子（例えば、予約されたブロックボリュームのＡＤ）をインスタンスマネージャサービス１０５０に提供してもよい。インスタンスマネージャサービス１０５０は、ボリュームマネージャサービスによって提供されるＡＤにおいて計算インスタンスを割り当ててもよい。インスタンスマネージャサービス１０５０は、割り当てられたインスタンスについてインスタンス識別子情報（たとえば、クラウドインフラストラクチャＩＤ）をセッションマネージャサービス１０２０に提供してもよい。計算インスタンスの割り当ては、ユーザごとおよび／またはコンパートメントごとに行われてもよい（ここで、コンパートメントは、クラウドシステムリソースへのアクセスを制御する論理コンテナであり、サブコンパートメントを含んでもよい）。例えば、セッションマネージャサービス１０２０は、異なるコンパートメントにおいてユーザに別個のインスタンスを割り当ててもよい。対照的に、セッションマネージャサービス１０２０は、別々のコンテナが同じ計算インスタンスを、コンパートメント当たり１つのコンテナで共有するように、複数のコンテナについて単一の計算インスタンスを割り当ててもよい（ここで、コンテナは、アプリケーションコード、ランタイム、システムツール、システムライブラリ、および設定を含んでもよいパッケージ化されたソフトウェアアプリケーションである）。

いくつかの実施形態では、セッションマネージャサービス１０２０は、インスタンス識別子を、ルータ１０６０のルータアドレスとともに、ユーザデバイス１０１０に提供してもよい。ルータ１０６０は、以下でより詳細に説明されるように、ユーザデバイスを（例えば、多重化ウェブソケット接続を介して）セキュアシェルインスタンスに接続するよう構成されてもよい。さらに、ルータはまた、以下で説明されるように、ユーザデバイス１０１０をセキュアシェルインスタンスにセキュアに接続することの一部として、ユーザデバイス１０１０およびセッションマネージャサービス１０２０を検証するよう構成されてもよい。

いくつかの実施形態では、セッションマネージャサービス１０２０は、セキュアシェルインスタンスへのユーザデバイス１０１０のセキュア接続の承認および検証の一部として、ノンストークンを生成してもよい。いくつかの実施形態では、ノンストークンは、限定はしないが、ヘッダ、有効期間（たとえば、満了前の分単位）、鍵、および／またはランダムもしくは擬似ランダム文字列（例えば、セット長の英数字シーケンス、乱数または擬似乱数など）を含む情報を含むウェブトークン（例えば、JavaScriptオブジェクト表記法「ｊｓｏｎ」ウェブトークンまたは「ｊｗｔ」トークン）であってもよい。場合によっては、ノンストークンが生成され、インスタンス識別子およびルータアドレスとともにユーザデバイス１０１０に提供される。

いくつかの実施形態では、セッションマネージャサービス１０２０は、ノンストークンをノンスおよび識別子ストア１０７０に記憶してもよい。ノンスおよび識別子ストア１０７０は、以下で図１３を参照してより詳細に説明されるように、ノンステーブルを記憶する分散データストア（たとえば、クラウドストレージ）であってもよく、ノンステーブルは、セッションマネージャサービス１０２０が、たとえば、ノンストークンを追跡し、ノンストークンがユーザデバイス１０１０からの単一の要求に対して有効であることを保証することによって、セキュアシェルインスタンスへのユーザデバイスのアクセスをさらにセキュアにすることを可能にしてもよい。同様に、ノンスおよび識別子ストア１０７０はまた、以下で図１１、図１４および図１６を参照してより詳細に説明されるように、ユーザ要求の履行中にユーザデバイス１０１０を検証するために使用されてもよい、ユーザ鍵ペアのユーザ公開鍵を含む、承認サービスによって提供されるログイントークンを記憶してもよい。

セキュアシェルインスタンスを構成することの一部として、セッションマネージャサービス１０２０は、以下の図を参照してより詳細に説明されるように、利用可能なインスタンス１０８０のプールから既存のインスタンスを選択し、構成してもよい。場合によっては、セッションマネージャサービスは、選択されたインスタンスに構成ファイルおよび委任トークンをインストールしてもよい。構成は、限定はしないが、インスタンス識別子、ドメイン識別子、要求詳細（例えば、リソース割り当て、コンパートメント、テナンシ）などを含むパラメータ情報を含んでもよい。委任トークンは、ユーザデバイス１０１０が、インスタンスのレベルでの追加の承認なしにＩａａＳシステムリソースにアクセスすることを可能にしてもよい。

いくつかの実施形態では、セッションマネージャサービス１０２０によってインストールされた構成パラメータは、インスタンス構成ストア１０９０に記憶されてもよい。インスタンス構成ストア１０９０は、新たなセキュアシェルインスタンスが、セキュアシェルインスタンスの終了に続いて、要求パラメータを用いて復元および／または再構成されることを可能にしてもよい。いくつかの実施形態では、セキュアシェルインスタンスは、ユーザがセキュアシェルインスタンスの使用を完了すると、終了されることになる。いくつかの実施形態では、セッションマネージャサービス１０２０は、エージェントの非アクティビティの期間（例えば、アイドル時間）および／またはルータ１０６０を介したアクティビティの期間に基づいて、セキュアシェルインスタンスを終了するようにインスタンスマネージャサービス１０５０に命令してもよい。アイドル時間は、構成パラメータの一部として提供されてもよい。いくつかの実施形態では、ユーザデバイス１０１０のユーザは、セキュアシェルインスタンスが終了されるように要求してもよく、それは、セッションマネージャサービス１０２０によって実現されてもよい。

上述のように、例示的なシステム１０００は、少なくともユーザデバイスがコンソールおよび／またはコマンドラインインターフェイスからセキュアシェルインスタンスに接続することを可能にすることによって、ＩａａＳシステムの改善されたセキュリティおよび安定性を提供してもよい。例えば、単回使用ノンストークンおよびインスタンスを使用することは、（ソフトウェアが、承認された限度外のデータおよび／またはリソースにアクセスする）ブレークアウトのリスクを潜在的に含み得る。単回使用ノンストークンは、例えば、ユーザデバイスの秘密鍵によって署名されてもよく、これは、別のユーザがセキュアシェルインスタンスにアクセスすることを防止し得る。別の例として、単回使用インスタンスは、同じインスタンスを使用する後のユーザデバイスを潜在的に危うくし得るインスタンスを再利用するのではなく、インスタンスがもはや使用されなくなった後にインスタンスを交換することによって、コンテナからのブレークアウトの潜在的な影響を低減してもよい。

図１１は、１つ以上の実施形態による、セキュアシェルセッションを管理するための例示的なシステム１１００を示す。図１０で説明したシステム（例えば、例示的なシステム１００）を参照すると、例示的なシステム１１００は、構成要素（例えば、図１０のボリュームマネージャサービス１３０、インスタンスマネージャサービス１５０、インスタンス１８０など）のうちの１つ以上を含んでもよい。いくつかの実施形態では、例示的システム１１００は、ユーザデバイスとセキュアシェルインスタンスとの間のセキュア接続を提供することの一部として、１つ以上の承認およびセキュリティプロトコルを実現してもよい。

いくつかの実施形態では、セッションマネージャサービス１２０は、ユーザデバイス１１０から署名された要求を受信してもよく（例えば、動作１１０２）、署名された要求は、ユーザデバイス１１０によって生成され得る。いくつかの実施形態では、ユーザは、「コンソール」インターフェイスとも称される、コマンドラインインターフェイス（ＣＬＩ）および／またはグラフィカルユーザインターフェイス（ＧＵＩ）を介して、セキュアシェルを要求してもよい。場合によっては、システム１１００は、セッションマネージャサービス１２０とのアイデンティティおよび承認情報の通信を容易にしてもよいＧＵＩ／ＣＬＩログインサービス１１２０を含む。たとえば、セキュアシェル要求は、ユーザセッションに関連付けられる公開／秘密鍵ペアの一部としてＧＵＩ／ＣＬＩログインサービス１１２０によって生成された秘密鍵によって署名されてもよい。たとえば、ユーザログインおよび／またはアイデンティティ検証は、秘密鍵を用いてセキュアシェル要求に署名するために使用されてもよい一時的な公開／秘密鍵ペアを生成することを含んでもよい。公開鍵は、ユーザデバイス１１０のアクセスを承認し、ログイントークン（たとえば、アクセストークン）を生成することの一部として、承認サービス１１３０に提供されてもよく、ログイントークン（たとえば、アクセストークン）は、署名された要求を承認するためにセッションマネージャサービス１２０に提供されてもよい（たとえば、動作１１０４）。

いくつかの実施形態では、承認サービス１１３０は、ユーザデバイスに対するアイデンティティ承認を、ユーザ名／パスワードアカウント詳細に基づいて実行し、特定のＩａａＳリソースおよび／または階層リソースレイヤ（例えば、ＩａａＳリソースに関連付けられるサブコンパートメントを含むルートコンパートメント）へのアクセスを承認してもよい。承認サービス１１３０は、ＧＵＩ／ＣＬＩログインサービス１１２０と、ログイン／承認の最初のステップ中に直接通信してもよく、そこからＧＵＩ／ＣＬＩログインサービス１１２０は、セッションマネージャサービス１２０にログイントークンを提供してもよい。以下で図１４および図１６を参照してより詳細に説明するように、セッションマネージャサービス１２０は、セキュアシェルへのアクセスを承認することの一部として追加の動作（たとえば、動作１１０４）を実施してもよい。

いくつかの実施形態では、セッションマネージャサービス１２０は、セキュアシェルインスタンス１１４０を作成する際に使用のためのシェルインスタンスを予約してもよい（例えば、動作１１０６）。以下で図１２～図４を参照してより詳細に説明するように、シェルインスタンスを予約することは、限定はしないが、ボリュームを予約することと、予約されたボリュームにインスタンスを割り当てることと、割り当てられたインスタンスを構成することとを含む、１つ以上の動作を含んでもよい。セッションマネージャサービス１２０は、シェルインスタンスを予約することの一部として、シェルインスタンス識別子を受信してもよく、承認サービス１１３０に委任トークンを要求することの一部として、限定はしないが、シェルインスタンス識別子、ユーザデバイス１１０に関連付けられるユーザ識別子、および満了時間（たとえば、有効期間）を含む情報を提供してもよい（たとえば、動作１１０８）。

承認サービス１１３０は、ユーザデバイス１１０がセキュアシェルインスタンス１１４０にセキュアに接続することを可能にするための手法として、委任トークンを生成し、それをセッションマネージャサービス１２０に提供してもよい（例えば、動作１１１０）。いくつかの実施形態では、セッションマネージャサービス１２０は、承認サービスから受信された委任トークンをインストールすることによって、予約されたシェルインスタンスを構成してもよい（例えば、動作１１１２）。図１３を参照してより詳細に説明されるように、セキュアシェルインスタンス１１４０を構成することは、インスタンスの構成を実現すること（たとえば、署名された要求の１つ以上の局面を含む構成ファイルをインストールすること）を含んでもよい。

承認サービス１１３０からの委任トークンの受信に続いて、セッションマネージャサービス１２０は、セキュアシェルトークンをＧＵＩ／ＣＬＩログインサービス１１２０に提供してもよい（例えば、動作１１１４）。以下の段落を参照してより詳細に説明されるように、ノンストークンの生成、署名、および／または記憶を含むが、それらに限定されない、付加的な検証およびアクセス制御動作が、セッションマネージャサービス１２０によって実現されてもよい。いくつかの実施形態では、セキュアシェルトークンは、追加のアクセス制御要素を含んでもよく、委任トークンを含むメタデータと関連付けられてもよい。

いくつかの実施形態では、セッションマネージャサービス１２０はまた、シェルインスタンス識別子をセキュアシェルルータ１１５０に提供してもよい（例えば、動作１１１６）。いくつかの実施形態では、セキュアシェルルータは、図１０のルータ１６０の例であってもよい。セキュアシェルルータ１１５０は、シェルインスタンス識別子を記憶してもよく、以下で図１２を参照してより詳細に説明するように、セキュアシェルインスタンス１１４０への接続中にユーザデバイス１１０を検証することの一部としてセキュアシェル識別子を使用してもよい。

図１２は、１つ以上の実施形態による、ユーザデバイスをセキュアシェルインスタンスに接続するための例示的なシステム１２００を示す。図１１を参照して説明した技法と同様に、セッションマネージャサービス１２０は、セキュアシェルインスタンス１１４０への接続の一部として、セキュアシェルルータ１１５０へのユーザデバイス１１０の接続を容易にしてもよい。

いくつかの実施形態では、セッションマネージャサービス１２０は、図１１を参照してより詳細に説明されるように、（例えば、図１１のＧＵＩ／ＣＬＩログインサービス１１２０を介して、）セキュアシェルインスタンスを作成するよう、ユーザデバイス１１０から署名された要求を受信してもよい。要求は、セッションマネージャサービス１２０に、セキュアシェルインスタンスのためにホストを作成させる要求を含んでもよい（例えば、動作１２０２）。ホストは、ＩａａＳリソースにおいて実現されるクラウドリソースコンテナおよび／またはボリュームを参照してもよい。要求は、図１１を参照して説明した、セキュリティ、承認情報を含んでもよく、したがって、システム１２００の動作および要素は、上述した１つ以上の要素および／または動作（例えば、委任トークンを生成する図１１の承認サービス１１３０）を含んでもよい。

いくつかの実施形態では、セッションマネージャサービス１２０は、セキュアシェルインスタンスのためにホストを構成してもよい（例えば、動作１２０４）。以下、図１３を参照して、ホストの構成に含まれる１つ以上の構成動作について、より詳細に説明する。いくつかの実施形態では、セッションマネージャサービス１２０は、上記で図１０を参照してさらに詳細に説明されるように、ボリュームマネージャサービス１３０およびインスタンスマネージャサービス１５０を含むが、それらに限定されない、１つ以上のマネージャサービス１２３０を使用して、インスタンスを予約および割り当ててもよい。

ユーザデバイス１１０のセキュアシェルインスタンス１１４０に対するセキュアアクセスを作成することの一部として、セッションマネージャサービス１２０は、ノンストークン、シェル識別子、およびルータアドレスを生成し、ユーザデバイス１１０に提供してもよい（例えば、動作１２０６）。図１０を参照してより詳細に説明されるように、ノンストークンは、所定の数の文字および／または数字（例えば、文字と数字の８つの文字列）を有するランダム文字列を含んでもよいウェブトークン（たとえば、ＪＷＴトークン）を含んでもよい。シェル識別子は、図１１を参照して説明されたセキュアシェルトークンに含まれてもよい。ルータアドレスは、セキュアシェルルータ１１５０を識別してもよく、ユーザデバイスがセキュア接続（例えば、WebSocketセキュア、すなわち「ＷＳＳ」接続）を介してセキュアシェルルータ１１５０に接続するように要求することを可能にしてもよい。

いくつかの実施形態では、セッションマネージャサービス１２０は、例えば、セッションマネージャサービス１２０で識別された鍵ペアの秘密鍵を使用して、ノンストークンに署名してもよい。図１４を参照してより詳細に説明されるように、追加の検証手順は、セッションマネージャサービス１２０がノンストークンに署名することによって生成されたシステム署名されたノンスの検証を含んでもよい。そのために、セッションマネージャサービス１２０は、システム署名されたノンスをシェルインスタンス識別子とともにユーザデバイス１１０および／またはセキュアシェルルータに提供してもよい。いくつかの実施形態では、セッションマネージャサービス１２０がシステム署名されたノンスをユーザデバイス１１０に提供すると、ユーザデバイス１１０は、システム署名されたノンスに署名し、二重署名されたノンスをセキュアシェルルータ１１５０に提供してもよい。

セキュアシェルルータ１１５０は、ユーザデバイス１１０から接続要求を受信してもよく、それは、ユーザ署名されたノンストークンを含んでもよい（たとえば、動作１２０８）。ユーザ署名されたノンストークンは、システム署名されたノンスと同様に、ユーザデバイス１１０によって保持される秘密鍵でノンストークンに署名することによって生成されてもよい。上述のように、ユーザ秘密鍵は、ＧＩＵ／ＣＬＩログインサービスによって生成される鍵ペア（例えば、一時公開／秘密鍵ペア）の一部を形成してもよく、公開鍵は、セッションマネージャサービス１２０および／またはセキュアシェルルータ１１５０に提供されてもよい。

接続要求を許可することの一部として、セキュアシェルルータ１１５０は、ユーザおよびシステム署名を検証してもよい（たとえば、動作１２１０）。セキュアシェルルータ１１５０は、（例えば、ノンストークンが有効期間を含む場合）ノンストークンが満了していないかどうかをチェックすることに少なくとも部分的によって、ノンストークンを検証してもよい。検証は、セッションマネージャサービス１２０からの要求によって実現されてもよい（たとえば、セッションマネージャサービス１２０は、ノンスが有効であるかどうかを確認してもよく、有効性の指示を提供してもよい）。セキュアシェルルータ１１５０はまた、以下で図１３を参照してより詳細に説明するように、ノンストークンが接続要求のために以前に使用されていないことを検証してもよい。

いくつかの実施形態では、セキュアシェルルータ１１５０は、少なくとも部分的に、それぞれユーザデバイス１１０およびセッションマネージャサービス１２０のための公開鍵を使用して、ユーザおよびシステム署名ノンストークンを復号することによって、署名のうちの１つ以上を検証してもよい。いくつかの実施形態では、ユーザデバイス１１０がシステム署名されたノンストークンに署名する場合のように、セキュアシェルルータ１１５０は、ユーザ公開鍵を使用して二重署名されたノンストークンを復号し、システム公開鍵を使用してシステム署名を復号することによって、ユーザ署名を検証してもよい。このようにして復号することは、セキュアシェルルータ１１５０がノンス値を確認し、ノンストークンを検証することを可能にしてもよい。いくつかの実施形態では、検証は、例えば、復号されたノンストークンを比較して、ノンストークンが一致するかどうかを確認することによって達成されてもよい。

ノンストークンならびにユーザおよびシステム署名の検証に続いて、セキュアシェルルータ１１５０は、ユーザデバイス１１０をセキュアシェルインスタンス１１４０に接続してもよい（例えば、動作１２１２）。上記で図１０を参照してより詳細に説明されるように、セキュアシェルルータ１１５０は、ウェブブラウザ（または他のクライアントアプリケーション）とセキュアシェルインスタンス１１４０をホストするウェブサーバとの間の対話（例えば、全二重通信）を、暗号化されたメッセージを介して可能にしてもよい、WebSocket Secure（ｗｓｓ）接続を提供してもよい。

図１３は、１つ以上の実施形態による、セキュアシェルインスタンスを単回使用ノンストークンとともに構成するための例示的なシステム１３００を示す。上で図１１～図３を参照してより詳細に説明したように、シェルインスタンスを予約および構成することの一部として、セッションマネージャサービス１２０は、例示的なシステム１３００の構成サービスと協調して１つ以上の動作を実行してもよい。

いくつかの実施形態では、セッションマネージャサービスは、ユーザ要求を承認および検証することに関して上述したように、セキュアシェルに接続する要求をユーザデバイスから受信してもよい（例えば、動作１３０２）。ユーザ要求の受信に応答して、セッションマネージャサービス１２０は、ボリュームマネージャサービス１３０と協調してボリュームを予約してもよい（例えば、動作１３０４）。ボリュームを予約することは、ボリュームマネージャサービス１３０が、１つ以上のブロックボリュームがユーザデバイス１１０のユーザにすでに関連付けられ、および／または割り当てられており（たとえば、ユーザブロックボリューム１３３０）、セキュアシェルインスタンス１１４０をホストするために利用可能であるかどうか、を確認すること（たとえば、動作１３０６）を含むが、それに限定されないステップを伴ってもよい。これは、ボリュームマネージャサービス１３０によって管理されるブロックボリュームのレジストリに対してユーザ識別子（例えば、ユーザ名またはログインＩＤ）をチェックすることを含んでもよい。ユーザブロックボリューム１３３０が識別された場合、ドメイン識別子情報（例えば、リソースＩＤ、データセンタインフラストラクチャロケータなど）がセッションマネージャサービス１２０に返されて、ボリュームがセキュアシェルインスタンス１１４０をホストするために予約されたことを示してもよい（例えば、動作１３０８）。

ボリュームマネージャサービス１３０は、ユーザブロックボリューム１３３０がセキュアシェルインスタンス１１４０をホストするために利用可能でないことを見出す場合がある。いくつかの実施形態では、ボリュームマネージャサービスは、ユーザがまだ割り当てられていない場合がある、所与のデータセンタで利用可能なブロックボリューム１４０のうちの１つ以上を含んでもよい、空のブロックボリューム１３４０を予約してもよい。同様に、ボリュームマネージャサービス１３０は、セッションマネージャサービス１２０が後続の動作において実現するためのリソース識別子情報を提供してもよい。例えば、セッションマネージャサービス１２０は、ボリュームマネージャサービス１３０によって返されるブロックボリューム１４０においてインスタンスを割り当ててもよい（例えば、動作１３１０）。

いくつかの実施形態では、インスタンスを割り当てることは、ドメイン識別子をインスタンスマネージャサービス１５０に提供することを含んでもよい。図１０を参照してより詳細に説明されるように、インスタンスマネージャサービス１５０は、セキュアシェルインスタンスとしての使用のために再構成されてもよいいくつかの利用可能なインスタンスの一部として維持される既存のインスタンスを選択し、予約してもよい。インスタンスマネージャサービス１５０は、セッションマネージャサービス１２０にインスタンス識別子（例えば、インスタンスＩＤ）を返してもよく、これは、セッションマネージャサービス１２０が後続の動作において、選択されたインスタンスを識別することを可能にしてもよい。いくつかの実施形態では、接続要求を実現するときにインスタンスを作成および構成するのではなく、既存のインスタンスを選択し、予約することは、接続要求を処理する際のシステムレイテンシを潜在的に低減し得る。

セッションマネージャサービス１２０は、構成ファイルをインストールすることに少なくとも部分的によって、選択されたインスタンスを構成してもよい（例えば、動作１３１２）。構成ファイルは、ＩａａＳリソース詳細（例えば、コンパートメント、ルートコンパートメント、ドメイン識別子など）および／または使用詳細を識別して、ユーザ接続要求の完了を容易にしてもよい。委任トークンは、上記で図１１を参照してより詳細に説明されるように、承認サービス（例えば、図１１の承認サービス１１２０）によって生成されてもよい。委任トークンをセキュアシェルインスタンス１１４０上にインストールすることは、ユーザデバイス１１０が、各リソースおよび／または要求についての承認サービスへの追加の要求を伴わずに、セキュアシェルインスタンス１１４０を介して直接ＩａａＳシステムリソースにアクセスすることを可能にしてもよい。

例示的なシステム１３００は、図１２を参照してより詳細に説明される追加の検証動作を含んでもよい。たとえば、セッションマネージャサービス１２０は、ノンス検証プロトコルの一部として単回使用ノンス手法を実現することの一部として、ノンストークン（たとえば、一時的ＪＷＴトークン）を生成し、署名し、ノンスおよび識別子ストア１７０に記憶してもよい（たとえば、動作１３１４）。たとえば、ノンスおよび識別子ストア１７０は、以下で図１４を参照してより詳細に説明するように、１つ以上の検証動作を実施するときにノンストークンをセキュアシェルインスタンス１１４０に帰属させるための手法として、ノンストークンのリスト（例えば、ノンスが発行され有効かどうかを追跡するために使用されてもよいノンス「キー」シーケンス）を含むノンステーブルを含んでもよく、各ノンスについて、関連付けられるインスタンス識別子情報を含んでもよい。場合によっては、ノンストークンは一時的であってもよいので、ノンステーブルは、限定はしないが、発行時間、有効期間などを含むタイミング情報を含んでもよい。このようにして、接続要求を満たすことの一部として、ノンストークンが見出され、その有効性が確認されてもよい。いくつかの実施形態では、ユーザデバイス１１０がセキュアシェルインスタンス１１４０に接続された後（例えば、図１２の動作１２１４）、対応するノンストークンは、ノンスおよび識別子ストア１７０内のノンステーブルから除去されてもよい。そのような場合、セッションマネージャサービス１２０は、ノンストークンが単回使用であることを可能にしてもよく、それは、（例えば、有効なノンストークンを使用する「スプーフィング」による）セキュアシェルインスタンス１１４０への不正アクセスのリスクを低減し得る。

図１４は、１つ以上の実施形態による、セキュアシェルインスタンスに接続するユーザデバイスを承認するための例示的な技法１４００を示す。上記で説明したシステムに関連して、１つ以上のアクセス制御動作が、ユーザデバイス１１０とセキュアシェルインスタンス１１４０との間にセキュア接続を作成することの一部として、実現されてもよい。セキュアシェルセッションを管理することに関して説明される動作は、例えば、ユーザＩＤログイン制御、委任トークン、および／または署名検証を伴う署名されたノンストークンを使用する、前述の図を参照して説明される動作のうちの１つ以上を含んでもよい。

いくつかの実施形態では、セッションマネージャサービス１２０は、ユーザデバイス１１０によって作成および署名される、セキュアシェルインスタンス１１４０を作成するための署名された要求を受信する。図１１を参照してより詳細に説明されるように、要求は、要求に署名するためにユーザデバイス１１０によって使用される鍵ペアを生成してもよい、ＧＵＩ／ＣＬＩログインサービス１１２０から受信されてもよい。

セッションマネージャサービス１２０は、図１１を参照してより詳細に説明されるように、ユーザログインまたはＩａａＳ ＩＤ認証を使用してユーザ要求を認証してもよい（たとえば、動作１４１０）。たとえば、ユーザのアイデンティティは、承認サービス（たとえば、承認サービス１１３０）によって、ユーザ名／パスワードをデータセンタ識別子または他のＩａａＳリソースアクセスパラメータと組み合わせて承認することに少なくとも部分的により、認証されてもよい。承認サービスは、ＧＵＩ／ＣＬＩログインサービス１１２０によって生成された鍵ペアのユーザ公開鍵を含むログイントークンを生成してもよい。承認サービスは、承認サービスの秘密鍵でログイントークンに署名した後、ログイントークンをユーザデバイスおよび／またはＧＵＩ／ＣＬＩログインサービス１１２０に提供してもよい。このようにして、セッションマネージャサービス１２０は、承認サービスに承認サービス公開鍵を要求することによって、ユーザデバイス１１０からの署名された要求およびユーザアイデンティティの両方を認証してもよい。いくつかの実施形態では、セッションマネージャサービス１２０はまた、ログイントークンからユーザ公開鍵を抽出してもよく、ユーザ公開鍵を使用して、署名された要求上の署名を検証してもよい。

いくつかの実施形態では、セッションマネージャサービス１２０は、セキュアシェルインスタンス１１４０を承認してもよい（例えば、動作１４２０）。図１１を参照してより詳細に説明されるように、セキュアシェルインスタンス１１４０を承認することは、承認サービスに委任トークンを要求することを含んでもよい。場合によっては、委任トークンは、ユーザＩＤ、インスタンス識別子、および要求が満了したかどうか（例えば、一時的鍵ペアが依然として有効である、および／または要求自体が満了しているかどうか）の組合せに少なくとも部分的に基づいて、ＩａａＳシステムリソースへのアクセスを承認することに応答して、発行されてもよい。委任トークンを受信することは、セキュアシェルインスタンス１１４０とユーザデバイス１１０との間のセキュア接続が確立されると、セッションマネージャサービス１２０が、さらなる認証および／または承認を伴わずに、ＩａａＳシステムリソース（例えば、計算リソース、コアサービス、ストレージリソースなど）にアクセスするようにセキュアシェルインスタンス１１４０を構成することを、可能にしてもよい。

いくつかの実施形態では、セッションマネージャサービス１２０は、ノンストークンを生成し、ノンストークンおよび他の情報をユーザデバイス１１０および／またはＧＵＩ／ＣＬＩログインサービス１１２０に提供してもよい。いくつかの実施形態では、セッションマネージャサービス１２０は、システム署名されたノンストークンをセキュアシェルルータ１１５０に提供する。いくつかの実施形態では、セッションマネージャサービスは、署名検証の一部として、システム署名されたノンストークンをユーザデバイス１１０に提供する（例えば、動作１４３０）。ユーザデバイス１１０は、システム署名されたノンスに署名し、二重署名されたノンスを生成してもよい。その際、セッションマネージャサービス１２０は、システム署名されたノンストークンに署名するために使用される秘密鍵にマッチする公開鍵を提供してもよい。セキュアシェルルータ１１５０は、ユーザデバイス１１０からユーザ署名されたノンストークンを受信してもよく、要求を認証するために署名を検証してもよい。いくつかの実施形態では、署名を検証することは、ユーザ署名およびシステム署名を検証するために、それぞれ、ユーザ公開鍵およびシステム公開鍵を使用して、二重に署名されたノンスを復号することを含んでもよい。検証は、復号されたノンスを、例えばノンストークンのデータベース（例えば、図１０のノンスおよび識別子ストア１７０）に記憶されたシステム生成ノンスと比較することを含んでもよい。いくつかの実施形態では、署名を検証することは、ユーザ署名されたノンストークンおよびシステム署名されたノンストークンを復号することと、一致を確認するために、それらノンストークンに含まれるノンス文字列を比較することとを含んでもよい。

ある例では、セキュアシェルルータ１１４０は、セッションマネージャサービス１２０に接続し、ノンストークンを受信すると、ノンストークンから満了を抽出してもよい。ノンスの寿命は、設定可能であってもよい（例えば、満了時間は、５分、または任意の他の数の秒、分、もしくは時間であってもよい）。ノンストークンが満了した場合、セキュアシェルルータ１１５０は、セキュア接続を確立するのではなく、エラーを返してもよい。ノンストークンが満了していない場合、セキュアシェルルータ１１５０は、（たとえば、署名検証によって）ノンストークンを検証してもよく、無効である場合、セキュアシェルルータ１１５０は、同じエラーを返してもよい。いくつかの実施形態では、セキュアシェルルータ１１５０は、同じノンストークンの再使用を防止するために、有効なノンストークンを無効にしてもよい。３つのアクセス制御動作が成功裏に終了した後、セキュアシェルルータ１１５０は、（たとえば、ｗｓｓ接続を介して）ユーザデバイス１１０をセキュアシェルインスタンス１１４０に接続してもよい。

図１５は、１つ以上の実施形態による、ユーザデバイスがセキュアシェルインスタンスに接続される例示的なデータフロー１５００を示すシーケンス図を示す。ユーザデバイス１１０のユーザは、ＧＵＩおよび／またはＣＬＩを通してセキュアシェルインスタンスに接続するように要求し、セッションマネージャサービス１２０は、ＩａａＳリソースを調整し、インスタンスを構成し、ユーザデバイス１１０を検証するために使用されるノンスをセキュアシェルルータ１１５０に提供する。

データフロー１５００では、ユーザデバイス１１０（これは、図１０のユーザデバイス１１０の例であってもよい）は、セキュアシェルインスタンスに接続する要求を提出してもよい。図１１を参照してより詳細に説明されるように、要求は、ＧＵＩ／ＣＬＩログインサービス（例えば、図１１のＧＵＩ／ＣＬＩログインサービス１１１０）を通して提出されてもよく、セッションマネージャサービス１２０によって受信されてもよい。要求は、ＧＵＩ／ＣＬＩログインサービスによって生成された公開／秘密鍵ペアの秘密鍵によって署名されてもよい。鍵ペアは一時的であってもよく、鍵ペアの有効性は、上記で図１４、および下記で図１６を参照してより詳細に説明されるように、署名された要求の検証パラメータの１つとしての役割を果たしてもよい。

署名された要求を受信すると、セッションマネージャサービス１２０は、上記図を参照してより詳細に説明されるように、シェルインスタンスを構成してもよい。シェルインスタンスを構成することは、ボリュームを予約すること、セキュアシェルインスタンスを構成する目的で作成されるいくつかの利用可能なインスタンスからインスタンスを割り当てること、および割り当てられたインスタンス上に、委任トークンを含んでもよい構成ファイルをインストールすることを含むが、それらに限定されない、複数の動作を含んでもよい。以下で図１６を参照してより詳細に説明するように、ユーザアイデンティティを認証し、セキュアシェルインスタンスを介したＩａａＳシステムリソースへのアクセスを承認するために、１つ以上の動作が含まれてもよい。

シェルインスタンスを構成することは、セッションマネージャサービス１２０が、インスタンスマネージャサービスからシェルインスタンス識別子（たとえば、ＩａａＳリソース識別子）を受信することを含んでもよい。シェルインスタンス識別子を用いて、セッションマネージャサービス１２０は、ノンストークンを生成してもよく、セキュアシェルルータ１１５０（これは、図１１のセキュアシェルルータ１１５０の例であってもよい）に対応するルータアドレスを受信してもよい。セッションマネージャサービス１２０は、セッションマネージャサービス１２０によって保持される公開／秘密鍵ペアの秘密鍵を使用してノンストークンに署名してもよい。セッションマネージャサービス１２０は、システム署名されたノンス、シェルインスタンス識別子、およびルータアドレスをユーザデバイス１１０に（例えば、ＧＵＩ／ＣＬＩログインサービスを介して）提供してもよく、これは、ユーザデバイスがセキュアシェルインスタンスに接続することの一部として、セキュアシェルルータ１１５０をアドレス指定することを可能にしてもよい。いくつかの実施形態では、セッションマネージャサービス１２０は、署名されていないノンストークンをユーザデバイス１１０に提供してもよい。そのような場合、セッションマネージャサービス１２０は、システム署名されたノンストークンを生成するためにノンストークンに署名してもよい。

セッションマネージャサービス１２０から情報（たとえば、ノンストークン、シェルインスタンス識別子、およびルータアドレス）を受信すると、ユーザデバイス１１０は、（例えば、要求に署名するために使用される鍵ペアの秘密鍵を使用して）ノンストークンに署名してもよい。次いで、ユーザデバイス１１０は、（たとえば、ルータアドレスにおいて）セキュアシェルルータ１１５０に接続してもよく、ユーザ署名されたノンストークンおよびシェルインスタンス識別子を提供してもよい。いくつかの実施形態では、ユーザ署名されたノンストークンは、ユーザ署名およびシステム署名の両方を含み、それによって、単一の二重署名されたノンストークンを使用して、ユーザデバイス１１０およびセッションマネージャサービス１２０の両方の署名検証を可能にする。

ユーザデバイス１１０から受信された要求を検証するために、セキュアシェルルータ１１５０は、要求に関連付けられたシェル識別子と、システム署名されたノンスとを、セッションマネージャサービス１２０に要求してもよい。それに応答して、セッションマネージャサービス１２０は、シェルインスタンス識別子およびシステム署名されたノンスをセキュアシェルルータ１１５０に提供してもよい。いくつかの実施形態では、セッションマネージャサービス１２０がシステム署名されたノンスをユーザデバイス１１０に提供する場合のように、セキュアシェルルータ１１５０は、セッションマネージャサービス１２０にシステム署名されたノンスを要求しなくてもよい。

図１４を参照してより詳細に説明されるように、セキュアシェルルータは、ユーザ公開鍵およびシステム公開鍵を使用して署名されたノンストークンを復号することによって署名をチェックしてもよい。検証はまた、ユーザデバイス１１０およびセッションマネージャサービス１２０の両方から受信されたシェルインスタンス識別子を比較することを含んでもよい。

署名を検証すると、セキュアシェルルータ１１５０は、暗号化された接続（たとえばｗｓｓ接続）によってユーザデバイス１１０をセキュアシェルインスタンス（例えば、図１１のセキュアシェルインスタンス１１４０）に接続してもよい。いくつかの実施形態では、セッションマネージャサービス１２０がノンストークンおよび対応するシェルインスタンス識別子をデータストアに記憶するときと同様に、セッションマネージャサービス１２０またはセキュアシェルルータ１１５０は、たとえば署名されたノンストークンを検証し、ユーザデバイス１１０をセキュアシェルインスタンスに接続した後、ノンストークンについてのエントリをデータストアから除去してもよい。

図１６は、１つ以上の実施形態による、ユーザデバイスが承認サービス１１３０を使用してセキュアシェルインスタンスに接続される例示的なデータフロー１６００を示すシーケンス図を示す。承認サービス１１３０は、例えば、ログイン身元証明を承認することによってＩａａＳリソースへのアクセスを承認するために使用されてもよい、一般的なユーザアイデンティティ承認サービスを含んでもよいが、それに限定されない。承認サービス１１３０の関与は、上記で図１４を参照してより詳細に説明したように、１つ以上の予備アイデンティティ検証およびアクセス承認動作を含んでもよい。

データフロー１６００では、セッションマネージャサービス１２０は、前述の図を参照して説明されるように、ユーザデバイス１１０から署名された要求を受信する。署名された要求を受信すると、セッションマネージャサービス１２０は、承認サービスに承認サービス公開鍵を要求してもよい。承認サービス公開鍵は、署名された要求とともに受信されたログイントークンを復号して（例えば、ログイントークンは、対応する公開鍵とペアにされた承認サービス秘密鍵によって署名されていてもよい）、ユーザ識別子情報（例えば、ユーザ名／パスワードの組み合わせ、要求識別子情報など）を識別するために、使用されてもよい。承認サービス１１３０は、公開鍵をセッションマネージャサービス１２０に提供してもよく、セッションマネージャサービスは、次いで、ログイントークンからの識別子情報を使用してユーザアイデンティティの認証を要求してもよい。承認サービス１１３０は、ユーザアイデンティティを確認してもよい。

ユーザデバイス１１０のアイデンティティの認証を受信すると、セッションマネージャサービス１２０は、承認サービス１１３０に委任トークンを要求してもよい。図１１を参照してより詳細に説明されるように、委任トークンは、ユーザデバイスが、署名された要求を満たすように構成されたセキュアシェルインスタンスを介してＩａａＳシステムリソースに接続することを承認されることを示すために、セッションマネージャサービスによって使用されてもよい。セキュアシェルを介してＩａａＳシステムリソースに接続するためのユーザの承認は、ユーザデバイス１１０が要求されている特定のリソースに接続することを承認されるかどうかを承認サービス１１３０が判定してもよいように、署名された要求に含まれるＩａａＳリソース情報を提供することを含んでもよい。

ユーザデバイス１１０を承認すると、承認サービス１１３０は、委任トークンを生成し、セッションマネージャサービス１２０に提供してもよい。セッションマネージャサービス１２０は、委任トークンをセキュアシェルインスタンス（例えば、図１１のセキュアシェルインスタンス１１４０）上にインストールしてもよい。セキュアシェルインスタンスを構成することは、上記で説明されるように、追加および／または代替動作を含んでもよい。

図１５を参照して説明されるように、セッションマネージャサービス１２０は、ノンストークンを生成し、セッションマネージャサービス１２０の公開／秘密鍵ペアのシステム秘密鍵を使用してノンストークンに署名して、署名されたノンストークンを生成し、署名されたノンストークンを、シェルインスタンス識別子およびセキュアシェルルータ１１５０に対応するルータアドレス（たとえば、「ルータエンドポイント」）とともにユーザデバイス１１０に提供してもよい。ユーザデバイス１１０は、検証プロセスの一部として、システム署名されたノンストークンに署名し、ユーザ署名されたノンストークンを含む要求（例えば、WebSocket Secureまたは「ｗｓｓ」接続を確立する要求）をセキュアシェルルータに送信してもよい。セッションマネージャサービスによっても署名された、ユーザ署名されたノンスは、要求を検証するためにセキュアシェルルータ１１５０によって使用されてもよい。いくつかの実施形態では、図１５を参照してより詳細に説明されるように、セッションマネージャサービス１２０は、ユーザ署名されたノンスおよびシステム署名されたノンスの両方が検証のためにセキュアシェルルータ１１５０に提供されるように、無署名のノンスをユーザデバイス１１０に送信してもよい。

セキュアシェルルータ１１５０は、上記で図１５を参照してより詳細に説明したように、署名を検証してもよい。システム署名およびユーザ署名を検証し、ノンストークンおよびシェルインスタンス識別子を認証すると、セキュアシェルルータは、ユーザデバイスをセキュアシェルインスタンスに接続してもよい。

図１７は、１つ以上の実施形態による、セキュアシェルセッションを管理するための例示的なフロー１７００を示す。フローの動作は、ハードウェア回路として実現され、および／または図１０のセッションマネージャサービス１２０などのコンピュータシステムの非一時的コンピュータ可読媒体上にコンピュータ可読命令として記憶され得る。実現されると、命令は、コンピュータシステムのプロセッサによって実行可能な回路またはコードを含むモジュールを表す。そのような命令の実行は、本明細書で説明される特定の動作を実行するようコンピュータシステムを構成する。各回路またはコードは、プロセッサと組み合わせて、それぞれの動作を実行する。動作は、ある特定の順序で示されているが、特定の順序は必要ではなく、１つ以上の動作は省略され、スキップされ、および／または並べ替えられてもよいことを理解されたい。

ある例では、フロー１７００は、コンピュータシステムがユーザデバイス（例えば、図１０のユーザデバイス１１０）をセキュアシェルインスタンス（例えば、図１１のセキュアシェルインスタンス１１４０）に接続する要求を受信する動作１７０２を含む。図１１および図１５を参照してより詳細に説明されるように、要求は、ユーザデバイスおよび／またはログインサービス（例えば、図１１のＧＵＩ／ＣＬＩログインサービス１１１０）によって生成され、実現のためにセッションマネージャサービスに提供される、署名された要求であってもよい。要求は、図１１および図１６を参照してより詳細に説明されるように、ＧＵＩ／ＣＬＩログインサービスによって生成された秘密鍵によって署名されてもよく、ユーザデバイスのアイデンティティを認証するために使用されてもよい。

ある例では、フロー１７００は、コンピュータシステムがユーザデバイスにセキュアシェルインスタンスへのアクセスを承認する動作１７０４を含む。図１８を参照してより詳細に説明されるように、ユーザデバイスを承認することは、外部承認サービス（例えば、図１１の承認サービス１１３０）を伴う１つ以上の動作を含んでもよい。承認サービスは、（例えば、ユーザ名／パスワードなどのユーザ識別子を検証することによる）ユーザの認証を提供してもよく、要求に記述されたＩａａＳリソースへのアクセスを承認してもよい。

ある例では、フロー１７００は動作１７０６を含み、コンピュータシステムは、セキュアシェルインスタンスのシェル識別子によって記述されるセキュアシェルインスタンスを構成する。いくつかの実施形態では、セキュアシェルインスタンスを構成することは、ブロックボリュームを予約することと、ブロックボリュームにインスタンスを割り当てることと、インスタンス上に構成ファイルおよび委任トークンをインストールすることとを含んでもよいが、これらに限定されない。任意選択で、ブロックボリュームを予約することは、ユーザデバイスが既にブロックボリューム（例えば、図１３のユーザブロックボリューム１３３０）に関連付けられているか、またはまだブロックボリュームに関連付けられていないかをチェックすることを含んでもよく、関連付けられていない場合、空のブロックボリューム（例えば、図１３の空のブロックボリューム１３４０）を予約してもよい。任意選択で、インスタンスを割り当てることは、複数の利用可能なインスタンスからインスタンスを選択することを含んでもよい。例えば、構成ファイルをインストールすることによって再構成されてもよい１つ以上のデフォルト構成で、複数の利用可能なインスタンスを維持することは、セッションマネージャサービスが要求に対してより迅速に（すなわち、より低いレイテンシで）応答することを可能にしてもよい。いくつかの実施形態では、ブロックボリュームを予約し、インスタンスを割り当てることは、ボリュームマネージャサービス（例えば、図１０のボリュームマネージャサービス１３０）およびインスタンスマネージャサービス（例えば、図１０のインスタンスマネージャサービス１５０）と通信することを含んでもよい。

ある例では、フロー１７００は、コンピュータシステムがノンストークンを生成する動作１７０８を含む。ノンストークンは、１つ以上のタイプの情報を含むウェブトークン（例えば、JSON Web TokenまたはＪＷＴトークン）であってもよい。任意選択で、ノンストークンは、ノンスが使用に有効であるかどうかを追跡するために使用されてもよいキーシーケンスを含む。例えば、セッションマネージャサービスは、ノンストークンをデータストア（例えば、図１０のノンスおよび識別子ストア１０７０）に記憶してもよい。いくつかの実施形態では、ノンストークンは、要求を検証するために使用されてもよい、文字および／または数字のランダムなシーケンス（例えば、１７個の英数字）を含む。

ある例において、フロー１７００は、コンピュータシステムがノンストークンに署名して、署名されたノンストークンを生成する、動作１７１０を含む。図１２を参照してより詳細に説明するように、システムは、公開／秘密鍵ペアの秘密鍵（たとえば、非対称暗号化）を使用してノンストークンに署名してもよい。このようにして、署名されたノンストークンは、ユーザデバイス（例えば、図１０のユーザデバイス１０１０）への送信時に暗号化されてもよい。

例えば、フロー１７００は動作１７１２を含み、コンピュータシステムは、署名されたノンストークンと、シェル識別子と、ルータアドレスとをユーザデバイスに与える。図１５を参照してより詳細に説明したように、ユーザデバイスは、セキュア接続要求（例えば、ＷＳＳ接続要求）をセキュアシェルルータ（例えば、図１１のセキュアシェルルータ１１５０）に送信してもよい。ユーザデバイスは、ノンストークンに秘密鍵（例えば、要求に署名するために使用されるのと同じ鍵）で署名してもよく、秘密鍵とペアにされた公開鍵をルータアドレスにおいてセキュアシェルルータに提供してもよい。ユーザデバイスはまた、接続要求の一部として、セキュアシェルルータにシェル識別子を提供してもよい。任意選択で、コンピュータシステムは、セキュアシェルルータによって実現される追加の検証パラメータとして、ルータアドレスにおいてセキュアシェルルータにシェル識別子を提供してもよい。

図１８は、１つ以上の実施形態による、セキュアシェルインスタンスを単回使用ノンストークンとともに構成するための例示的なフロー１８００を示す。フローの動作は、ハードウェア回路として実現され、および／または図１０のセッションマネージャサービスシステム１０２０などのコンピュータシステムの非一時的コンピュータ可読媒体上にコンピュータ可読命令として記憶され得る。実現されると、命令は、コンピュータシステムのプロセッサによって実行可能な回路またはコードを含むモジュールを表す。そのような命令の実行は、本明細書で説明される特定の動作を実行するようコンピュータシステムを構成する。各回路またはコードは、プロセッサと組み合わせて、それぞれの動作を実行する。動作は、ある特定の順序で示されているが、特定の順序は必要ではなく、１つ以上の動作は省略され、スキップされ、および／または並べ替えられてもよいことを理解されたい。

ある例では、フロー１８００は、図１７の動作１７０２に続いて開始し、コンピュータシステムは、セキュアシェルインスタンスを作成する要求をユーザデバイスから受信する。具体的には、コンピュータシステム（例えば、図１０のセッションマネージャサービス１０２０）は、セッションマネージャサービスが図１７で説明される動作を進めることを可能にすることの一部として、承認サービス（例えば、図１１の承認サービス１１３０）と通信している、要求が受信されたユーザデバイスを認証および／または承認するための１つ以上の動作を実現してもよい。

ある例において、フロー１８００は、コンピュータシステムがユーザ識別子を含むログイントークンを受信する動作１８０４を含む。図１６を参照してより詳細に説明されるように、セッションマネージャサービスは、承認サービスに対して、ユーザデバイスのアイデンティティ（たとえば、署名された要求において表されるとおり）を認証し、要求において識別されたＩａａＳリソースへのユーザデバイスのアクセスを承認するように、要求してもよい。ユーザアイデンティティを認証することの一部として、セッションマネージャサービスは、ユーザデバイスからログイントークンを受信してもよい。ログイントークンは、ユーザ情報（例えば、ユーザ名／パスワード、ログイン身元証明、ログインセッションの満了情報など）、ならびにユーザデバイスによって要求および／またはノンストークンに署名するために使用されるユーザ秘密鍵とペアにされたユーザ公開鍵を含んでもよい。ログイントークンは、承認サービスによって保持される秘密鍵によって署名されてもよい。

ある例において、フロー１８００は、コンピュータシステムが承認サービスに公開鍵を要求する動作１８０６を含む。ログイントークンに署名するために使用される公開鍵は、提供してもよい。セッションマネージャサービスは、ユーザデバイスを認証することの一部として、ログイントークンを復号するために承認サービスに公開鍵を要求してもよい。例えば、ログイントークンは、ユーザデバイスを認証するために使用されるユーザ識別子情報（例えば、デバイス識別子またはセッション識別子情報）を提供してもよい。

ある例では、フロー１８００は、コンピュータシステムがユーザデバイスを認証する動作１８０８を含む。いくつかの実施形態では、セッションマネージャサービスは、ログイントークンからユーザ識別子情報を抽出してもよく、ユーザ識別子情報を、要求とともに提供される情報と比較してもよい。

ある例において、フロー１８００は、コンピュータシステムが委任トークンを要求する動作１８１０を含む。図１１を参照してより詳細に説明されるように、委任トークンは、ユーザデバイスがセキュアシェルインスタンスに接続するためのユーザ要求において識別されるＩａａＳリソースにアクセスすることを承認された後に、承認サービスによって生成され、セッションマネージャサービスに提供されてもよい。たとえば、セッションマネージャサービスは、委任トークンが生成されるかどうかを承認サービスが判断してもよいことに少なくとも部分的に基づいて、ユーザ識別子情報、インスタンス識別子情報、満了情報などを提供してもよい。

ある例において、フロー１８００は、コンピュータシステムが委任トークンを受信する動作１８１２を含む。セッションマネージャサービスは、例えば、上で図１１を参照してより詳細に説明されたように、例えば、セキュアシェルインスタンスを構成することの一部として、たとえば、セキュアシェルインスタンス上に委任トークンをインストールすることによって、承認サービスによる追加の承認なしに、セキュアシェルルータがユーザデバイスにＩａａＳリソースへのアクセスを許可することを可能にするために、委任トークンを使用してもよい。

以下の項は、開示される実現例の実施形態を説明する：
第１項．方法であって、
セッションマネージャサービスが、ユーザデバイスをセキュアシェルインスタンスへのセキュア接続に接続する要求を受信するステップと、
セッションマネージャサービスが、ユーザデバイスを承認するステップと、
セッションマネージャサービスが、セキュアシェルインスタンスのシェル識別子によって記述されるセキュアシェルインスタンスを構成するステップと、
セッションマネージャサービスが、ノンストークンを生成するステップと、
セッションマネージャサービスが、ノンストークンに署名して、署名されたノンストークンを生成するステップと、
セッションマネージャサービスが、署名されたノンストークン、シェル識別子、およびルータアドレスをユーザデバイスに提供するステップとを含む、方法。

第２項．ユーザデバイスを承認することは、
ユーザデバイスからユーザ識別子を含むログイントークンを受信するステップと、
承認サービスに承認システム公開鍵を要求するステップと、
承認システム公開鍵を用いてログイントークンを復号することに少なくとも部分的に基づいてユーザデバイスを認証するステップと、
ユーザ識別子、要求において識別されたリソースのリソース識別子、および要求の満了期間を提供することに少なくとも部分的によって、承認サービスに委任トークンを要求するステップと、
承認サービスから委任トークンを受信するステップとを含み、承認サービスは、満了期間内において要求において識別されたリソースへのアクセスを承認すると、委任トークンを生成するよう構成される、第１項に記載の方法。

第３項．ノンストークンに署名することは、
セッションマネージャサービスによって保持される公開／秘密鍵ペアのシステム秘密鍵を使用してノンストークンに署名するステップと、
ルータアドレスにおいてセキュアシェルルータに公開／秘密鍵ペアのシステム公開鍵を提供するステップとを含む、第１項に記載の方法。

第４項．さらに、
ノンストークンをデータストアに記憶するステップを含み、ノンストークンはキーシーケンスを含み、さらに、
ノンストークンが有効であるかどうかを、データストアをキーシーケンス上で検索することに少なくとも部分的に基づいて確認するステップと、
セキュアシェルルータがユーザデバイスとセキュアシェルインスタンスとの間にセキュアな接続を確立した後に、データストアからノンストークンを除去するステップとを含む、第１項に記載の方法。

第５項．さらに、
非アクティビティ期間の後、またはユーザデバイスによるセキュア接続の終了の後に、セキュアシェルインスタンスを終了することを含む、第１項に記載の方法。

第６項．セキュアシェルインスタンスを構成するステップは、
ブロックボリュームを予約するステップと、
ブロックボリュームに対応するドメイン識別子を受信するステップと、
ドメイン識別子を使用してブロックボリュームにインスタンスを割り当てるステップとを含み、インスタンスは、複数の利用可能なインスタンスから割り当てられ、セキュアシェルインスタンスを構成するステップはさらに、
インスタンスに対応するシェル識別子を受信するステップと、
インスタンス上に構成ファイルをインストールするステップとを含み、構成ファイルは、要求に含まれる要求情報を含む、第１項に記載の方法。

第７項．セキュアシェルインスタンスは、要求がドッカーコンテナ上で端末を実行する命令を含むように、ドッカーコンテナを動作させる、第１項に記載の方法。

第８項．コンピュータシステムであって、
１つ以上のプロセッサと、
１つ以上のプロセッサと通信するメモリとを含み、メモリは、コンピュータ実行可能命令を記憶するよう構成され、コンピュータ実行可能命令を実行することは、１つ以上のプロセッサに、ステップを実行させ、前記ステップは、
セッションマネージャサービスが、ユーザデバイスをセキュアシェルインスタンスへのセキュア接続に接続する要求を受信するステップと、
セッションマネージャサービスが、ユーザデバイスを承認するステップと、
セッションマネージャサービスが、セキュアシェルインスタンスのシェル識別子によって記述されるセキュアシェルインスタンスを構成するステップと、
セッションマネージャサービスが、ノンストークンを生成するステップと、
セッションマネージャサービスが、ノンストークンに署名して、署名されたノンストークンを生成するステップと、
セッションマネージャサービスが、署名されたノンストークン、シェル識別子、およびルータアドレスをユーザデバイスに提供するステップとを含む、コンピュータシステム。

第９項．ユーザデバイスを承認することは、
ユーザデバイスからユーザ識別子を含むログイントークンを受信するステップと、
承認サービスに承認システム公開鍵を要求するステップと、
承認システム公開鍵を用いてログイントークンを復号することに少なくとも部分的に基づいてユーザデバイスを認証するステップと、
ユーザ識別子、要求において識別されたリソースのリソース識別子、および要求の満了期間を提供することに少なくとも部分的によって、承認サービスに委任トークンを要求するステップと、
承認サービスから委任トークンを受信するステップとを含み、承認サービスは、満了期間内において要求において識別されたリソースへのアクセスを承認すると、委任トークンを生成するよう構成される、第８項に記載のシステム。

第１０項．ノンストークンに署名することは、
セッションマネージャサービスによって保持される公開／秘密鍵ペアのシステム秘密鍵を使用してノンストークンに署名するステップと、
ルータアドレスにおいてセキュアシェルルータに公開／秘密鍵ペアのシステム公開鍵を提供するステップとを含む、第８項に記載のシステム。

第１１項．コンピュータ実行可能命令は、実行されると、さらに、コンピュータシステムの１つ以上のプロセッサに、ステップを実行させ、前記ステップは、
ノンストークンをデータストアに記憶するステップを含み、ノンストークンはキーシーケンスを含み、前記ステップはさらに、
ノンストークンが有効であるかどうかを、データストアをキーシーケンス上で検索することに少なくとも部分的に基づいて確認するステップと、
セキュアシェルルータがユーザデバイスとセキュアシェルインスタンスとの間にセキュアな接続を確立した後に、データストアからノンストークンを除去するステップとを含む、第８項に記載のシステム。

第１２項．コンピュータ実行可能命令は、実行されると、さらに、コンピュータシステムの１つ以上のプロセッサに、ステップを実行させ、前記ステップは、
非アクティビティ期間の後、またはユーザデバイスによるセキュア接続の終了の後に、セキュアシェルインスタンスを終了することを含む、第８項に記載のシステム。

第１３項．セキュアシェルインスタンスを構成するステップは、
ブロックボリュームを予約するステップと、
ブロックボリュームに対応するドメイン識別子を受信するステップと、
ドメイン識別子を使用してブロックボリュームにインスタンスを割り当てるステップとを含み、インスタンスは、複数の利用可能なインスタンスから割り当てられ、セキュアシェルインスタンスを構成するステップはさらに、
インスタンスに対応するシェル識別子を受信するステップと、
インスタンス上に構成ファイルおよび委任トークンをインストールするステップとを含み、構成ファイルは、要求に含まれる要求情報を含む、第８項に記載のシステム。

第１４項．セキュアシェルインスタンスは、要求がドッカーコンテナ上で端末を実行する命令を含むように、ドッカーコンテナを動作させる、第８項に記載のシステム。

第１５項．実行されると、コンピュータシステムの１つ以上のプロセッサに、ステップを実行させるコンピュータ実行可能命令を記憶する、非一時的コンピュータ可読記憶媒体であって、前記ステップは、
セッションマネージャサービスが、ユーザデバイスをセキュアシェルインスタンスへのセキュア接続に接続する要求を受信するステップと、
セッションマネージャサービスが、ユーザデバイスを承認するステップと、
セッションマネージャサービスが、セキュアシェルインスタンスのシェル識別子によって記述されるセキュアシェルインスタンスを構成するステップと、
セッションマネージャサービスが、ノンストークンを生成するステップと、
セッションマネージャサービスが、ノンストークンに署名して、署名されたノンストークンを生成するステップと、
セッションマネージャサービスが、署名されたノンストークン、シェル識別子、およびルータアドレスをユーザデバイスに提供するステップとを含む、非一時的コンピュータ可読記憶媒体。

第１６項．ユーザデバイスを承認することは、
ユーザデバイスからユーザ識別子を含むログイントークンを受信するステップと、
承認サービスに承認システム公開鍵を要求するステップと、
承認システム公開鍵を用いてログイントークンを復号することに少なくとも部分的に基づいてユーザデバイスを認証するステップと、
ユーザ識別子、要求において識別されたリソースのリソース識別子、および要求の満了期間を提供することに少なくとも部分的によって、承認サービスに委任トークンを要求するステップと、
承認サービスから委任トークンを受信するステップとを含み、承認サービスは、満了期間内において要求において識別されたリソースへのアクセスを承認すると、委任トークンを生成するよう構成される、第１５項に記載の非一時的コンピュータ可読記憶媒体。

第１７項．ノンストークンに署名することは、
セッションマネージャサービスによって保持される公開／秘密鍵ペアのシステム秘密鍵を使用してノンストークンに署名するステップと、
ルータアドレスにおいてセキュアシェルルータに公開／秘密鍵ペアのシステム公開鍵を提供するステップとを含む、第１５項に記載の非一時的コンピュータ可読記憶媒体。

第１８項．コンピュータ実行可能命令は、実行されると、さらに、コンピュータシステムの１つ以上のプロセッサに、ステップを実行させ、前記ステップは、
ノンストークンをデータストアに記憶するステップを含み、ノンストークンはキーシーケンスを含み、前記ステップはさらに、
ノンストークンが有効であるかどうかを、データストアをキーシーケンス上で検索することに少なくとも部分的に基づいて確認するステップと、
セキュアシェルルータがユーザデバイスとセキュアシェルインスタンスとの間にセキュアな接続を確立した後に、データストアからノンストークンを除去するステップとを含む、第１５項に記載の非一時的コンピュータ可読記憶媒体。

第１９項．コンピュータ実行可能命令は、実行されると、さらに、コンピュータシステムの１つ以上のプロセッサに、ステップを実行させ、前記ステップは、
非アクティビティ期間の後、またはユーザデバイスによるセキュア接続の終了の後に、セキュアシェルインスタンスを終了することを含む、第１５項に記載の非一時的コンピュータ可読記憶媒体。

第２０項．セキュアシェルインスタンスを構成するステップは、
ブロックボリュームを予約するステップと、
ブロックボリュームに対応するドメイン識別子を受信するステップと、
ドメイン識別子を使用してブロックボリュームにインスタンスを割り当てるステップとを含み、インスタンスは、複数の利用可能なインスタンスから割り当てられ、セキュアシェルインスタンスを構成するステップはさらに、
インスタンスに対応するシェル識別子を受信するステップと、
インスタンス上に構成ファイルをインストールするステップとを含み、構成ファイルは、要求に含まれる要求情報を含む、第１５項に記載の非一時的コンピュータ可読記憶媒体。

クラウドシェルのために複数のネットワークインターフェイスを利用するための技法
クラウドベースのプラットフォームは、スケーラブルで柔軟なコンピューティングリソースをユーザに提供する。そのようなクラウドベースのプラットフォームは、インフラストラクチャ・アズ・ア・サービス（ＩａａＳ）とも呼ばれ、顧客のデータの周囲のクラウドソリューションのスイート全体、例えば、変換をオーサリングし、データをロードし、データを提示するためのソリューションを提供してもよい。ＩａａＳリソースのユーザは、（例えば、WebSocketセキュア（ｗｓｓ）接続を介した双方向暗号化を用いて）動作およびデータ転送がセキュアに実行され得るように、セキュアシェルインスタンス（例えば、仮想クラウドネットワーク（ＶＣＮ）上で動作する仮想マシン）内にセキュア端末を作成することを要求してもよい。

セキュアな通信の態様は、セキュアシェルインスタンスとの間のネットワークトラフィックを制御することを含んでもよい。ネットワークトラフィック制御は、複数のインスタンスと通信状態にあってもよく、ＩａａＳシステムのデータおよび計算リソースへのアクセスならびに／またはそれに対する制御を有してもよい、１つ以上のＩａａＳサービス（例えば、コアクラウドサービス）から、セキュアシェルインスタンスを隔離するための、１つ以上の技法ならびに／または手法を含んでもよい。ネットワークトラフィック制御は、セキュアシェルインスタンスに出入りするネットワーク通信に対する方向制限を実現することを含んでもよい。方向制限は、次いで、外部システムからのあるインバウンドトラフィックをブロックし、ＩａａＳサービスへのアウトバウンドトラフィックをブロックしてもよい。セキュアシェルインスタンスを隔離することは、例えば、コアＩａａＳサービスをセキュアシェルインスタンスから隔離するよう、複数の仮想クラウドネットワークを実現することを含んでもよく、両方ともネットワーク通信サービスから隔離される。

説明のための例として、ユーザは、ユーザデバイスを介して（例えば、ブラウザのグラフィカルユーザインターフェイスおよび／またはコマンドラインインターフェイスを使用して）セキュアシェルインスタンスにコマンドを提出してもよい。セキュアシェルインスタンスは、プライマリ仮想ネットワークインターフェイスカード（ｖＮＩＣ）とともに構成されてもよく、１つ以上のセキュリティルールは、それを、イングレスのみ（セキュアシェルインスタンスへのインバウンドネットワークトラフィックに関して単方向）として定義してもよい。コマンドは、セキュアシェルインスタンスに出力を生成させてもよく、これは、出力を（例えば、インターネットを介して）外部アドレスに送信する命令を含んでもよい。セキュアシェルインスタンスは、プライマリｖＮＩＣではなくセカンダリｖＮＩＣを介して出力を送信してもよい。プライマリｖＮＩＣと同様に、セカンダリｖＮＩＣは、セカンダリｖＮＩＣを通るネットワークトラフィックをエグレスのみ（セキュアシェルインスタンスからのアウトバウンドトラフィックに関して単方向）として制限するセキュリティルールを用いて構成されてもよい。このようにして、承認されたネットワークトラフィックは、プライマリｖＮＩＣを介してセキュアシェルインスタンスに到着してもよく、セカンダリｖＮＩＣを介してセキュアシェルインスタンスを離れてもよい。さらに、セキュアシェルインスタンスは、それぞれＩａａＳサービスおよびネットワーク通信サービスを実行してもよいサービスＶＣＮおよびネットワーク隔離ＶＣＮの両方から隔離された計算隔離ＶＣＮ上で実行されてもよい。

そのような構成は、全体としてセキュアシェルインスタンスおよびＩａａＳシステムの両方について改善されたセキュリティを提供し得る。部分的に、改善されたセキュリティがもたらされ得、なぜならば、セキュアシェルインスタンスは、プライマリｖＮＩＣを介してサービスＶＣＮにメッセージを送信する能力が制限され得、ネットワーク隔離ＶＣＮおよびセカンダリｖＮＩＣを介して外部ネットワークからメッセージを受信する能力が制限され得るからである。このようにして、インターネット（または他のネットワーク）からの無許可のネットワークトラフィックは、セキュアシェルインスタンスにアクセスすることができない場合があり、セキュアシェルインスタンスは、承認なしにコアＩａａＳリソースにアクセスすることができない場合がある。

図１９は、１つ以上の実施形態による、セキュアシェルインスタンスのために複数のネットワークインターフェイスを利用する例示的な技法１９００を示す。仮想クラウドネットワーク間の通信の方向制御は、構成ＩａａＳリソースの改善されたセキュリティを提供し得、セキュリティリスクがコアＩａａＳリソースに到達することを制限および／または防止し得る。そのために、例示的な技法１９００は、分散コンピューティングシステム（たとえば、クラウドネットワーク）において仮想システムとして実現されてもよい１つ以上のシステム構成要素を使用して、システム通信の流れを制御するための複数の手法を含んでもよい。いくつかの実施形態では、それらの手法は、仮想クラウドネットワーク（ＶＣＮ）上で動作する仮想マシン（ＶＭ）の例であってもよい、セキュアシェルインスタンス１９５０との通信の発信元および／または宛先を制御するために実現されてもよい。いくつかの実施形態では、セキュアシェルインスタンスは、以下で図２０を参照してさらに詳細に説明されるように、１つ以上の仮想ネットワークインターフェイスカード（ｖＮＩＣ）を介して、分散コンピューティングシステムの他の構成要素（例えば、ルータ、サブネット等）と通信する。

いくつかの実施形態では、例示的な技法１９００は、動作を実行するためのコマンドを受信することを含む（例えば、動作１９０２）。いくつかの実施形態では、コマンドは、ユーザデバイス１９２０から生成および／または送信される。ユーザデバイス１９２０は、パーソナルコンピュータ、デジタルワークステーション、タブレット、スマートフォンなど、ネットワーク（例えば、インターネットおよび／またはプライベートネットワーク）にアクセスするよう構成された任意の形態の電気デバイスを含んでもよい。コマンドは、（たとえば、ＩａａＳプロバイダのブラウザインターフェイスを介して）ユーザデバイス１９２０のユーザによって生成される任意のタイプの命令を含んでもよい。たとえば、コマンドは、計算タスク、記憶タスク（例えば、入出力動作、記憶されたデータの移動、データ変換など）、構成タスク（例えば、セキュアシェルインスタンス１９５０の動作パラメータにアクセスするコマンド）などを含んでもよい。いくつかの実施形態では、ユーザデバイス１９２０は、コマンドを適切なサブシステムおよび／またはクラウドネットワークリソースに向けるシステムサービス（例えば、ブラウザインターフェイスおよび／またはコマンドラインインターフェイスサービス）と通信してもよい。そのような構成は、ネットワーク隔離および／またはネットワーク隔離を介した改善されたシステムセキュリティを提供してもよい。たとえば、以下で図２０を参照してより詳細に説明するように、ＶＣＮにおいてＩａａＳサービスのテナンシとは異なるテナンシ上でセカンダリｖＮＩＣを使用することによって、ユーザ発信ネットワークトラフィックを識別可能にしてもよい（たとえば、ソースＩＰアドレスは、ＩａａＳサービスのそれとは異なるＩＰアドレスプールに由来してもよい）。

いくつかの実施形態では、動作１９０２で受信されたコマンドは、クラウドシェルルータ１９３０に送信される。クラウドシェルルータは、以下で図２０を参照してより詳細に説明されるように、仮想クラウドネットワークに実現される仮想ルータであってもよい。クラウドシェルルータ１９３０は、コマンドを適切な宛先側（例えば、セキュアシェルインスタンス１９５０）に向けて送信してもよく（例えば、動作１９０４）、それは、別個の仮想クラウドネットワークに実現されてもよい。いくつかの実施形態では、例示的な技法１９００の異なる動作を実行する別々のサブシステムを別々の仮想クラウドネットワークにおいて実現することは、コアクラウドリソースおよび／またはユーザデータのための改善されたセキュリティを提供し得る。いくつかの実施形態では、クラウドシェルルータ１９３０は、プライマリ仮想ネットワークアクセスカード１９４０（ｖＮＩＣ）を介してセキュアシェルインスタンス１９５０と通信してもよい。いくつかの実施形態では、プライマリｖＮＩＣ１９４０は、セキュアシェルインスタンス１９５０が実現される仮想マシンのためのネットワークインターフェイス構成を表してもよい。したがって、プライマリｖＮＩＣ１９４０は、セキュリティルールとならんで、１つ以上の動作パラメータ（たとえば、ＭＡＣアドレス）とともに構成されてもよく、それは、以下で図を参照してより詳細に説明するように、プライマリｖＮＩＣ１９４０がセキュアシェルインスタンス１９５０との間で通信を選択的にルーティングすることを可能にしてもよい。

いくつかの実施形態では、セキュアシェルインスタンス１９５０は、コマンド内に示される動作を実行してもよい（例えば、動作１９０６）。上記で説明したように、セキュアシェルインスタンス１９５０は、データベース動作、計算動作などを含む１つ以上のタイプの動作を実行するよう構成された仮想マシン（ＶＭ）であり得る。たとえば、セキュアシェルインスタンス１９５０は、コマンドを実行して、（例えば、あるデータセンタに記憶されたデータを別のデータセンタに移動するため、パブリックネットワークを介してデータを外部サーバに送信するためなど、）分散コンピュータシステムのコンパートメントにおいてユーザＩａａＳリソースおよび／またはデータの１つ以上の態様を修正してもよい。

いくつかの実施形態では、セキュアシェルインスタンス１９５０は、コマンドに含まれる動作を実行した結果として返信メッセージを生成してもよい（例えば、動作１９０８）。返信メッセージは、（例えば、パブリックネットワーク上またはプライベートネットワーク上の）コアＩａａＳサービスまたは外部サーバではなく、ユーザデバイス１９２０のユーザおよび／またはユーザデバイス１９２０に向けられてもよい。いくつかの実施形態では、返信メッセージは、セキュアシェルインスタンス１９５０によって実行される動作を参照して結果情報を提供するように生成されてもよい。例えば、セキュアシェルインスタンス１９５０は、動作が成功裏に完了したこと、アボートされたこと、失敗したこと、再スケジュールされたことなどを示すよう、返信メッセージを生成してもよい。返信メッセージは、ステータス情報、および返信メッセージの一部として要求される具体的なデータ（例えば、チェックビット、メモリ位置など）を含んでもよい。

いくつかの実施形態では、セキュアシェルインスタンス１９５０は、返信メッセージをクラウドシェルルータ１９３０に送信してもよい（例えば、動作１９１０）。セキュアシェルインスタンス１９５０は、プライマリｖＮＩＣ１９４０を介して返信メッセージを送信してもよい。以下で図２０を参照してより詳細に説明されるように、プライマリｖＮＩＣ１９４０は、返信メッセージをクラウドシェルルータ１９３０に送信するが、セキュアシェルインスタンス１９５０から受信された他のタイプのメッセージを拒否するよう構成されてもよい。

いくつかの実施形態では、セキュアシェルインスタンス１９５０は、動作の出力を生成してもよい（例えば、動作１９１２）。動作の出力は、ネットワーク（例えば、パブリックネットワークおよび／またはプライベートネットワーク）を介してセキュアシェルインスタンス１９５０と通信する外部システムへの通信、データ、および／または命令を含んでもよいが、それらに限定されない。セキュアシェルインスタンス１９５０は、たとえば、ユーザデバイス１９２０からのコマンドに含まれる動作が外部ネットワークを介してデータを転送することを含む場合に、出力を生成するように命令されてもよい。データを転送する場合、セキュアシェルインスタンス１９５０は、ＩａａＳシステムの内部ネットワークを介して、命令をＩａａＳシステムのデータ管理サービスに送信してもよい。

コマンドを実行することの一部として、例えば、コマンドがデータを転送するか、またはメッセージを外部サーバに送信することであるとき、セキュアシェルインスタンス１９５０は、動作の出力を含むメッセージの送信（例えば、動作１９１４）をシェルサブネット１９７０に対して行ってもよい。セキュアシェルインスタンス１９５０は、セカンダリｖＮＩＣ１９６０を介してシェルサブネット１９７０と通信してもよい。プライマリｖＮＩＣ１９４０と同様に、セカンダリｖＮＩＣ１９６０は、セキュアシェルインスタンス１９４０へのデータおよびメッセージのフローを制御するために、１つ以上の動作パラメータ（たとえば、異なるＭＡＣアドレス）および入出力パラメータ（たとえば、セキュリティルール）を用いて構成されてもよい。以下で図２０を参照してより詳細に説明されるように、セカンダリｖＮＩＣ１９６０は、単方向であるように構成されて、セキュアシェルインスタンス１９５０からシェルサブネット１９７０への発信メッセージのみ（たとえば、エグレスのみの構成）を可能にしてもよい。いくつかの実施形態では、セカンダリｖＮＩＣ１９６０についての、単方向の、エグレスのみの構成は、セキュアシェルインスタンス１９５０が、非ユーザデバイスによる侵入および／または不正アクセスによる干渉の外部リスクに対して改善されたセキュリティで動作することを可能にしてもよい。

いくつかの実施形態では、シェルサブネット１９７０は、動作の出力を外部ネットワーク１９８０に送信してもよい（たとえば、動作１９１６）。いくつかの実施形態では、外部ネットワーク１９８０はパブリックネットワークである。場合によっては、セキュアシェルインスタンス１９５０および／またはシェルサブネット１９７０をパブリックネットワークに接続することは、悪意のあるシステムがセキュアシェルインスタンス１９５０および／またはコアクラウドリソースにアクセスすることを試みる可能性に起因して、セキュリティリスクを導入し得る。例えば、セキュアシェルインスタンス１９５０を加えることは、コアクラウドリソースへのアクセスを提供し得、コアクラウドリソースは、次いで、クラウドサービス領域内において複数のユーザについてユーザデータへのアクセスを許可し得る。この理由で、シェルサブネット１９７０は、以下で図２０を参照してより詳細に説明されるように、ネットワークアドレス変換（ＮＡＴ）ゲートウェイを介して外部ネットワーク１９８０と通信してもよい。

したがって、例示的技法１９００は、セキュアシェルインスタンスを外部ネットワーク１９８０に接続することによって呈されるセキュリティ脅威のリスクを潜在的に低減するために、ユーザデバイス１９２０と、セキュアシェルインスタンス１９５０と、外部ネットワーク１９８０との間の通信がどのように管理され得るかを実証する。いくつかの実施形態では、例示的技法１９００は、いくつかのタイプの情報についてメッセージの単方向伝送を提供し、一方、返信メッセージがセキュアシェルインスタンス１９５０からユーザデバイス１９２０に返送されることを可能にする。そのような制御を実現することは、セキュアシェルインスタンス１９５０がアクセスを有する、記憶されたユーザデータのために、改善されたセキュリティを提供してもよく、セキュアシェルインスタンス１９５０をコアクラウドサービスから隔離してもよい。

図２０は、１つ以上の実施形態による、セキュアシェルインスタンスの通信を管理するために複数のネットワークインターフェイスを利用する例示的なシステム２０００を示す。上記で図１９を参照して説明された様々な動作は、セキュアシェルインスタンス１９５０およびコアクラウドリソースのセキュリティを潜在的に改善するために１つ以上の追加の特徴を含んでもよい、例示的なシステム２０００によって実現されてもよい。

いくつかの実施形態では、クラウドシェルルータ１９３０、セキュアシェルインスタンス１９５０、およびシェルサブネット１９７０は、別個の仮想クラウドネットワーク（ＶＣＮ）内の仮想システムとして実現されてもよい。さらに、別個のＶＣＮは、複数のルートコンパートメント（「テナンシ」とも呼ばれる）において実現されてもよい。図２０に示すように、クラウドシェルルータ１９３０はサービスＶＣＮ２０１０に実現され、セキュアシェルインスタンス１９５０は計算隔離ＶＣＮ２０２０に実現され、両方ともプライベートルートコンパートメント２０３０に実現される。対照的に、シェルサブネット１９７０は、パブリックルートコンパートメント２０５０内のネットワーク隔離ＶＣＮ２０４０に実現されてもよい。概して、プライベートルートコンパートメント２０３０およびパブリックルートコンパートメント２０５０は、プライベートルートコンパートメント２０３０内のシステムリソースがパブリックルートコンパートメント２０５０のシステムリソースによってアクセスされ得ないように、ＩａａＳシステムにおいて実現されるデータおよび計算リソースの、異なるおよび／または別個の論理コンテナを構成してもよい。プライベートルートコンパートメント２０３０およびパブリックルートコンパートメント２０５０は、異なる区別可能なブロックのＩＰアドレスに関連付けられてもよく、これは、パブリックルートコンパートメント２０５０またはプライベートルートコンパートメント２０３０からのようなＩａａＳシステムからのメッセージの発信元の判断を可能にしてもよい。

いくつかの実施形態では、パブリックルートコンパートメント２０５０およびパブリックルートコンパートメント２０５０内に実現される構成システム（例えば、ネットワーク隔離ＶＣＮ２０４０内のシェルサブネット１９７０）は、ユーザ出力動作（例えば、図１９の動作１９１６のメッセージ）で識別されるＩＰアドレスのブロックからＩＰアドレスを割り当てられてもよい。対照的に、プライベートルートコンパートメント２０３０およびプライベートルートコンパートメント内に実現される構成システム（例えば、サービスＶＣＮ２０１０内のクラウドシェルルータ１９３０）は、ＩａａＳシステム通信動作（例えば、外部ネットワーク１９８０などの外部ネットワークとの通信）で識別されるＩＰアドレスのブロックからのＩＰアドレスを割り当てられてもよい。通信元がＩａａＳシステム自体またはＩａａＳシステムのユーザのいずれかに帰し得る別個のブロックのＩＰアドレスを使用することは、（例えば、複数のデータセンタ、領域などにわたる）ＩａａＳネットワーク全体のセキュリティを改善し得る。たとえば、いくつかのＩａａＳシステムは、ある領域内の複数のデータセンタ（ドメインとも呼ばれる）において実現されてもよく、グローバルＩａａＳシステムは、プライベートおよび／またはパブリックネットワークを介して互いに通信している複数の領域を含んでもよい。ユーザソース通信をシステムソース通信から区別することは、コアサービスに到達することから大規模なシステムトラフィックタイプ攻撃（例えば、分散型サービス拒否、またはＤＤＯＳ攻撃）のリスクを低減し得る。

説明のための例として、シェルサブネット１９７０からの通信は、シェルサブネット１９７０のＩＰアドレスによってユーザデバイス１９２０のユーザ（潜在的に匿名化されているが）に帰し得る場合がある。したがって、ＩａａＳシステムのコアクラウドサービスから発信されたことになっているシェルサブネット１９７０からのメッセージは、たとえば、一致しないソースＩＰアドレスおよびソース識別子（たとえば、ユーザ名）に関して、受信機ポイントにおいて拒否され得る。別の例では、パブリックルートコンパートメントへの発信ユーザトラフィックを隔離することは、ＩａａＳシステムへの侵入源を判断するための改善されたフォレンジック情報を提供してもよい。例えば、ソースのＩＰアドレスをパブリックルートコンパートメント２０５０に追跡することによって、調査は、損なわれたユーザインスタンスを識別することが可能であってもよく、コアＩａａＳサービスが損なわれていないことを潜在的に明らかにしてもよい。

いくつかの実施形態では、ユーザデバイス１９２０（例えば、セキュアシェルクライアントを実行するブラウザおよび／またはコマンドラインインターフェイス）は、クラウドシェルルータ１９３０と接続してもよい。ユーザデバイス１９２０は、外部ネットワーク１９８０（例えば、パブリックネットワーク）を介してクラウドシェルルータに接続してもよい。外部ネットワーク１９８０は、例えば、インターネット、暗号化されたネットワークなどを含んでもよい。ユーザデバイス１９２０は、インターネットゲートウェイ２０６０（たとえば、「ＮＥＴ」ゲートウェイ）を介してクラウドシェルルータ１９３０と通信してもよい。インターネットゲートウェイ２０６０は、サービスＶＣＮ２０１０と外部ネットワーク１９８０との間のネットワークトラフィックのための経路を提供するためにサービスＶＣＮ２０１０に追加される仮想ルータであり得る。

いくつかの実施形態では、サービスＶＣＮ２０１０はまた、セキュアシェルインスタンス１９５０およびその関連付けられたデータ（例えば、ブロックボリューム、オブジェクトストレージなど）の作成、管理、終了、およびクリーンアップを促進してもよい、セキュアセッションマネージャサービス、ボリュームマネージャサービス、インスタンスマネージャサービス、および／またはウェブサーバを含むが、それらに限定されない、追加のＩａａＳコアサービスを実現する。

いくつかの実施形態では、セキュアシェルインスタンス１９５０は、プライマリ仮想ネットワークインターフェイスカード（ｖＮＩＣ）１９４０を介してクラウドシェルルータ１９３０と通信する。ｖＮＩＣは、インスタンスがＶＣＮに接続することを可能にすることができ、インスタンスがＶＣＮの内部および外部の他のシステムとどのように接続するかを判断してもよい。上記で図１９を参照して説明したように、プライマリｖＮＩＣ１９４０は、（たとえば、セキュリティルールを使用して）クラウドシェルルータとセキュアシェルインスタンス１９５０との間のトラフィックを管理するよう構成されてもよい。

セキュリティルールは、プライマリｖＮＩＣ１９４０の中または外に許可されるイングレスまたはエグレストラフィックのタイプを指定してもよい。たとえば、プライマリｖＮＩＣ１９４０は、クラウドシェルルータ１９３０からセキュアシェルインスタンス１９５０への信号を受け入れるが、セキュアシェルインスタンス１９５０からの出力メッセージを拒否するよう構成されてもよい。いくつかの実施形態では、プライマリｖＮＩＣ１９４０は、たとえば、ユーザデバイス１９２０からのメッセージに含まれる返信メッセージに対する要求に対する応答として、ユーザデバイス１９２０にアドレス指定されたセキュアシェルインスタンス１９５０からの返信メッセージを受け入れ得る。プライマリｖＮＩＣ１９４０は、セキュアシェルインスタンス１９５０にアタッチされてもよく、セキュリティルール（たとえば、イングレス／エグレス制御）は、起動時のセキュアシェルインスタンス１９５０の構成の一部であってもよく、および／またはセキュアシェルインスタンス１９５０のデフォルト特徴であってもよい。

いくつかの実施形態では、セキュアシェルインスタンス１９５０は、サービスＶＣＮ２０１０の構成サブシステム（例えば、セッションマネージャサービス）によって提供される構成ファイルを伴ってユーザデバイス１９２０のユーザに特化された仮想マシン（例えば、「ＶＭ」とも呼ばれる、物理的なホストコンピュータ内で動作するフルコンピュータのソフトウェアベースのエミュレーション）であり得る。いくつかの実施形態では、セキュアシェルインスタンス１９５０は、デフォルトパラメータとともに構成された１つ以上の事前生成されたインスタンスを含むインスタンスプール２０２２から選択され得る。デフォルトパラメータは、プライマリｖＮＩＣ１９４０のためのトラフィック管理ルールを定義するセキュリティルールを含んでもよい。

いくつかの実施形態では、セキュアシェルインスタンス１９５０は、セカンダリｖＮＩＣ１９６０を含む。セカンダリｖＮＩＣ１９６０は、インスタンスプール２０２２からの事前生成されたインスタンスの構成中にセキュアシェルインスタンス１９５０にアタッチされてもよい。代替的に、インスタンスプール２０２２内の事前生成されたインスタンスは、セカンダリｖＮＩＣ１９６０を含むように事前構成されてもよい。いくつかの実施形態では、セカンダリｖＮＩＣは、エグレスのみのセキュリティルール（例えば、通信をセキュアシェルインスタンス１９５０からシェルサブネット１９７０への単一の方向にのみ制限するためのトラフィックフローに対する制御）を含む。以下、図面を参照してより詳細に説明する。上述のように、このようにネットワークトラフィックを制限することは、セキュアシェルインスタンス１９５０およびサービスＶＣＮ２０１０のために追加のおよび／または改善されたセキュリティを提供し得る。

いくつかの実施形態では、シェルサブネット１９７０は、ネットワーク隔離ＶＣＮ２０４０に実現された１つ以上の仮想ルータを介して外部ネットワーク１９８０および／またはプライベートＩａａＳネットワーク２０８２と通信するよう構成されてもよい。いくつかの実施形態では、シェルサブネット１９７０は、セキュアシェルインスタンス１９５０からセカンダリｖＮＩＣ１９６０を介して受信された出力トラフィックを、ネットワークアドレス変換（ＮＡＴ）ゲートウェイ２０７０を使用して外部ネットワーク１９８０に送信してもよい。ＮＡＴゲートウェイ２０７０は、ネットワークアドレス変換を実行するよう構成された仮想ルータであり得る。ＮＡＴゲートウェイは、パブリックＩＰアドレスを伴わないクラウドリソースに、それらのリソースを着信インターネット接続にさらすことなく、インターネットへのアクセスを与えてもよい。例えば、セキュアシェルインスタンス１９５０およびシェルサブネット１９７０は、悪意のある攻撃からの侵入のリスクを潜在的に低減するためのセキュリティ対策として、外部ネットワーク１９８０へのアクセスを欠く場合がある。そのような場合、ＮＡＴゲートウェイ２０７０は、セキュアシェルインスタンス１９５０またはシェルサブネット１９７０で直接識別されないＩＰアドレス（例えば、パブリックルートコンパートメント２０５０に帰し得るＩＰアドレスのパブリックブロックからのものである）を使用してインターネットへの接続を提供してもよい。

いくつかの実施形態では、コアＩａａＳリソースへの要求を含むセキュアシェルインスタンス１９５０からの出力は、シェルサブネット１９７０によってサービス（ＳＶＣ）ゲートウェイ２０７２にルーティングされてもよい。サービスゲートウェイ２０７２は、ＶＣＮホストまたはＩａａＳをパブリックインターネットに公開することなく、ＶＣＮホストがＩａａＳサービス（データベースリソース、オブジェクトストレージ、メタデータ管理など）にプライベートにアクセスすることを可能にし得る、ネットワーク隔離ＶＣＮ２０４０にアタッチされた仮想ルータであり得る。したがって、サービスゲートウェイ２０７２は、シェルサブネット１９７０が、当該領域および／または他の領域においてＩａａＳコアサービスと通信するよう構成された内部ネットワーク２０８２（たとえば、「プライベートネットワーク」）を介して出力トラフィックを送信することを可能にしてもよい。

図２１は、１つ以上の実施形態による、複数のネットワークインターフェイスを使用するセキュアシェルインスタンスによる単方向通信のための例示的な技法２１００を示す。セキュアシェルインスタンス１９５０の構成は、１つ以上の追加の仮想ネットワークインターフェイスカード（ｖＮＩＣ）をセキュアシェルインスタンス１９５０に追加することを含んでもよい。ｖＮＩＣは、セキュアシェルインスタンス１９５０が、ユーザデバイス（例えば、図１９のユーザデバイス１９２０）から命令および／またはコマンドを受信するために使用されてもよい通信経路とは別個の通信経路を介して出力メッセージを送信することを可能にしてもよい。いくつかの実施形態では、ｖＮＩＣは、以下でより詳細に説明されるように、セキュアシェルインスタンス１９５０との通信の方向制御を定義するようセキュリティルールを用いて構成されてもよい。

図２０を参照してより詳細に説明されるように、プライマリｖＮＩＣ１９４０は、セキュアシェルインスタンス１９５０とクラウドシェルルータ１９３０との間の通信を容易にするよう構成されてもよい。いくつかの実施形態では、セキュアシェルインスタンス１９５０は、計算隔離仮想クラウドネットワーク（ＶＣＮ）で動作してもよく、クラウドシェルルータ１９３０は、サービスＶＣＮで動作してもよい。いくつかの実施形態では、セキュアシェルインスタンス１９５０は、プライマリｖＮＩＣ１９４０をデフォルト構成として含んでもよい。いくつかの実施形態では、プライマリｖＮＩＣ１９４０は、セキュアシェルインスタンス１９５０との通信に対してイングレスのみの制限を定義するセキュリティルールを用いて構成されてもよい。イングレスのみの制限は、セキュアシェルインスタンス１９５０によって受信され得る通信のタイプを制限してもよく、および／または通信がセキュアシェルインスタンス１９５０によって受信され得るソースを制限してもよい。

いくつかの実施形態では、プライマリｖＮＩＣ１９４０は、コアクラウドリソース（たとえば、ホワイトリストＩａａＳシステム構成要素）からの着信通信を可能にするよう構成されてもよい。たとえば、クラウドシェルルータ１９３０は、コマンドをセキュアシェルインスタンス１９５０に送信してもよい（たとえば、動作２１１０）。セキュアシェルインスタンス１９５０は、クラウドシェルルータ１９３０からの通信を許可するよう構成されてもよいプライマリｖＮＩＣ１９４０を介してコマンドを受信してもよい（たとえば、動作２１１２）。セキュアシェルインスタンス１９５０は、次いで、コマンドに示される動作を実行してもよく、図１９を参照して説明される出力を生成してもよい（例えば、動作２１１４）。

いくつかの実施形態では、セカンダリｖＮＩＣ１９６０は、セキュアシェルインスタンス１９５０からシェルサブネット１９７０を介して外部ネットワーク（例えば、図１９の外部ネットワーク１９８０）への出力の送信を容易にするよう、通信のためのエグレスポイントとして働くように構成されてもよい。図２０を参照してより詳細に説明されるように、シェルサブネット１９７０は、外部ネットワークから生じる悪意のある攻撃による侵入のリスクを低減することによってセキュリティを潜在的に改善するために、ネットワーク隔離ＶＣＮにおいて動作してもよい。いくつかの実施形態では、セカンダリｖＮＩＣ１９６０は、セキュアシェルインスタンスの（例えば、図２０のインスタンスプール２０２２における）事前生成されたインスタンスとしてのセットアップ中に、構成されてもよい。いくつかの実施形態では、セカンダリｖＮＩＣ１９６０は、（例えば、セッションマネージャサービス、インスタンスマネージャサービス、および／または他のコアクラウドリソースによるような）セキュアシェルインスタンス１９５０の特化中に、構成されてもよい。セカンダリｖＮＩＣ１９６０は、たとえばシェルサブネット１９７０にアドレス指定された、セキュアシェルインスタンス１９５０からの発信メッセージを許可するよう、セキュリティルールを用いて構成されてもよい。たとえば、セキュアシェルサブネット１９５０は、出力をセカンダリｖＮＩＣ１９６０を介して送信してもよく（たとえば、動作２１１６）、出力を含むメッセージをシェルサブネット１９７０に向けてもよい（たとえば、動作２１１８）。このようにして、例示的な技法２１００は、プライマリｖＮＩＣ１９４０をセキュアシェルインスタンス１９５０への通信のためのイングレスポイントとして実現することと、セカンダリｖＮＩＣ１９６０をセキュアシェルインスタンス１９５０からの通信のための別個のエグレスポイントとして実現することとを含んでもよい。

図２２は、１つ以上の実施形態による、セキュアシェルインスタンスとの双方向通信のために第１のネットワークインターフェイスを使用する例示的な技法２２００を示す。セキュアシェルインスタンス１９５０は、セキュアな通信を提供し、潜在的に侵害のリスクを低減するための定義された手法に従うとしても、プライマリ仮想ネットワークアクセスカード１９４０（ｖＮＩＣ）およびセカンダリｖＮＩＣ１９６０の両方を介してメッセージを送信するよう、（例えば、セットアップおよび／または特化中に）構成されてもよい。

いくつかの実施形態では、プライマリｖＮＩＣ１９４０は、セキュアシェルインスタンス１９５０からのすべての発信メッセージに対するブランケット禁止を定義するセキュリティルールを含んでもよい（例えば、例外なしのイングレスのみのルール）。対照的に、セキュリティルールは、通信のタイプ、通信の宛先、またはセキュリティルールに対する他の例外を定義してもよい。たとえば、プライマリｖＮＩＣ１９４０は、セキュアシェルインスタンス１９５０からクラウドシェルルータ１９３０への、ユーザデバイス（例えば、図１９のユーザデバイス１９２０）にアドレス指定された返信メッセージの送信を可能にするよう構成されてもよい。そのような返信メッセージは、動作のステータス情報（例えば、完了、アボート、終了等）を含んでもよく、コマンドの一部としてユーザデバイスによる他の返信情報要求を含んでもよい。

説明のための例として、セキュアシェルインスタンス１９５０は、メッセージのタイプおよび／または宛先に応じて、２つの異なる経路によってメッセージを送信してもよい。この例では、クラウドシェルルータ１９３０は、コマンドをセキュアシェルルータに送信し（例えば、動作２２１０）、セキュアシェルインスタンス１９５０は、プライマリｖＮＩＣ１９４０を介してクラウドシェルルータ１９３０からコマンドを受信する（例えば、動作２２１２）。セキュアシェルインスタンス１９５０は、コマンドによって示される動作を実行してもよく、出力および返信メッセージを生成してもよい（例えば、動作２２１４）。上記で図２１を参照して説明したように、セキュアシェルインスタンス１９５０は、出力を、セカンダリｖＮＩＣ１９６０を介してシェルサブネット１９７０にアドレス指定されたメッセージとして送信してもよい（たとえば、動作２２１６）。対照的に、セキュアシェルインスタンス１９５０は、返信メッセージを、プライマリｖＮＩＣ１９４０を介して、異なる経路によって、クラウドシェルルータ１９３０に送り返してもよい（たとえば、動作２２１８）。

返信メッセージを許可するようにプライマリｖＮＩＣ１９４０を構成することは、例示的な技法２２００を実現するシステムに追加のセキュリティを提供してもよい。例えば、ステータス情報を含む返信メッセージが、セキュアシェルインスタンス１９５０によるリソース使用を追跡および管理するために、コアクラウドサービスによって使用されてもよい。さらに、セキュアシェルインスタンス１９５０を、シェルサブネット１９７０ではなく、クラウドシェルルータ１９３０に返信メッセージを送信するよう構成することは、シェルサブネット１９７０が仮に危険にさらされ、少なくとも部分的に、外部システムが、セキュアシェルインスタンス１９５０の所有者に取って代わることを可能にするフィードバックを受信することができない場合に、セキュアシェルインスタンスが外部システムによって勝手に使用されるリスクを潜在的に低減させ得る。

図２３は、１つ以上の実施形態による、セキュアシェルインスタンスとの単方向通信のための例示的な技法２３００を示す。上記で図２１～図４を参照して説明されたセキュリティルールの帰結は、セキュアシェルインスタンス１９５０が、それが実行する動作からの出力に関して実現するよう構成されてもよい通信のタイプおよび態様において制限されてもよいことを含んでもよい。

いくつかの実施形態では、プライマリ仮想ネットワークインターフェイスカード１９４０（ｖＮＩＣ）は、セキュアシェルインスタンス１９５０からの出力メッセージがプライマリｖＮＩＣ１９４０を介して送信されることを許可しないセキュリティルールを用いて構成されてもよい。これは、計算隔離仮想クラウドネットワーク（ＶＣＮ）（例えば、図２０の計算隔離ＶＣＮ２０２０）上で動作してもよいセキュアシェルインスタンス１９５０から、サービスＶＣＮ（例えば、図２０のサービスＶＣＮ２０１０）上で動作しているコアクラウドサービスへのアクセスを制御するよう実現されてもよい。上記で図２２を参照してより詳細に説明したように、いくつかのタイプのメッセージが許可されてもよいが（たとえば返信メッセージ）、追加のおよび／または代替のタイプの出力メッセージ（例えば、実行コマンド、データ変換命令、入出力動作命令など）。したがって、プライマリｖＮＩＣ１９４０によって許可される通信のタイプを制限することは、セキュアシェルインスタンス１９５０によってサービスＶＣＮまたはコアクラウドサービスを侵害するリスクを潜在的に低減し得る。

説明のための例では、プライマリｖＮＩＣ１９４０は、セキュアシェルインスタンス１９５０からの出力メッセージに関してイングレスのみであるように構成されてもよい。したがって、セキュアシェルインスタンス１９５０がユーザデバイス（例えば、図１９のユーザデバイス１９２０）からのコマンドを実行し、出力を生成するとき（たとえば、動作２３１０）、クラウドシェルルータ１９３０にアドレス指定された出力の送信は、プライマリｖＮＩＣ１９４０によって拒否されてもよい（たとえば、動作２３１２）。プライマリｖＮＩＣ１９４０による拒否は、出力メッセージがクラウドシェルルータ１９３０および／またはサービスＶＣＮの任意の他の構成要素システムに送信されることを防止する、任意の数の論理動作を記述してもよい。たとえば、セキュリティルールは、アドレス（たとえば、ＭＡＣアドレス）によって特定の宛先をブラックリストに載せてもよい。

いくつかの実施形態では、セカンダリｖＮＩＣ１９６０は、セキュアシェルインスタンス１９５０がセカンダリｖＮＩＣ１９６０を介してネットワークトラフィックを受信することを許可しないセキュリティルールを用いて構成されてもよい。これは、インターネットと通信してもよく、したがって、外部システムによる攻撃のリスクがあり得るシェルサブネット１９７０によるセキュアシェルインスタンス１９５０へのアクセスを制御するために実現されてもよい。セカンダリｖＮＩＣ１９６０を構成することの一部として実現されるセキュリティルールは、シェルサブネット１９７０または任意の他のＩａａＳシステムからセキュアシェルインスタンスへのすべてのインバウンド通信に対するブランケット制限を含んでもよい。代替的に、通信、ソース、または特定のメッセージのタイプが、セカンダリｖＮＩＣ１９６０を構成すること（たとえば、ホワイトリスト化）の一部として許可されてもよい。

説明のための例では、セカンダリｖＮＩＣ１９６０は、セキュアシェルインスタンス１９５０への通信に関してエグレスのみであるように構成されてもよい。この例では、外部ネットワーク要求がシェルサブネット１９７０において受信されてもよい（たとえば、動作２３１４）。外部ネットワーク要求は、シェルサブネット１９７０がセキュアシェルインスタンス１９５０にコマンドを送信する（例えば、セキュアシェルインスタンス１９５０にアタッチされたブロックボリュームシステムに記憶されるデータを読み出す）ための命令であってもよい。この例ではエグレスのみ用に構成されるセカンダリｖＮＩＣ１９６０は、単方向通信に限定されてもよく、セキュアシェルインスタンス１９５０がセカンダリｖＮＩＣを介して出力メッセージを送信することを可能にするが、シェルサブネット１９７０からの外部ネットワーク要求は拒否してもよい（たとえば、動作２３１６）。

いくつかの実施形態では、セカンダリｖＮＩＣ１９６０は、任意の着信メッセージを、他の発信元から受信される場合であっても、同様に拒否してもよい。たとえば、セカンダリｖＮＩＣ１９６０のＭＡＣアドレスは、セカンダリｖＮＩＣ１９６０を直接アドレス指定しようと試み得る外部システムによって発見されるかもしれない。エグレスのみのセキュリティ構成は、セキュアシェルインスタンス１９５０をそのような試みから同様に保護し得る。

図２４は、１つ以上の実施形態による、リージョナルクラウドシステムにおいてセキュアシェルインスタンスの通信を管理するための例示的システム２４００を図示する。前の図を参照して説明された技法は、リージョナルＩａａＳシステムにおいて実現されてもよい。リージョナルＩａａＳシステムは、複数のドメイン２４１０を含んでもよく、ドメインは、ＩａａＳシステムを動作させるように構成されたコンピュータハードウェア（例えば、サーバ、ネットワークインフラストラクチャ等）の物理的インストールであるデータセンタに対応するＩａａＳ識別子であってもよい。例示的なシステム２４００のいくつかの構成要素はリージョナルであってもよいが、他の構成要素はドメイン特定であってもよい。リージョナルシステムを実現することは、潜在的に、システムオーバーヘッドを低減し、複数の通信ポイント（例えば、イングレスポイントおよびエグレスポイント）の使用に起因するシステムリソースに対する需要を低減してもよい。さらに、統合された通信リソースを実現することは、セキュアシェルインスタンスおよびコアクラウドサービスへのアクセスポイントの数を制限することによって、改善されたセキュリティを提供してもよい。

いくつかの実施形態では、図２０を参照してより詳細に説明されるように、例示的システム２４００は、異なるブロックのＩＰアドレスと関連付けられる、２つ以上のルートコンパートメントを含んでもよい。例えば、プライベートルートコンパートメント２４２０は、リージョナルジャンプホスト仮想クラウドネットワーク（ＶＣＮ）２４３０、リージョナルサービスＶＣＮ２４４０、およびリージョナル計算隔離ＶＣＮ２４５０を含んでもよい。同様に、パブリックルートコンパートメント２４６０は、リージョナルネットワークアドレス変換（ＮＡＴ）ゲートウェイ２４８０を介して外部ネットワーク（例えば、図１９の外部ネットワーク１９８０）に接続し、リージョナルサービスゲートウェイ２４８２を介してコアクラウドサービスに接続するよう構成された、リージョナルネットワーク隔離ＶＣＮ２４７０を含んでもよい。

いくつかの実施形態では、ジャンプホストＶＣＮ２４３０は、プライベートルートコンパートメント２４２０の構成ネットワークと外部ネットワーク（例えば、インターネット、プライベートユーザネットワークなど）との間のネットワークトラフィックを可能にしてもよいリージョナルネットワークゲートウェイ２４３２（ＮＥＴ）を含んでもよい。たとえば、コマンドは、リージョナルネットワークゲートウェイ２４３２を介してユーザデバイス１９２０から受信されてもよい。いくつかの実施形態では、ジャンプホストＶＣＮ２４３０は、リージョナルサービスＶＣＮ２４４０上で動作するリージョナルルータサブネット２４４２にコマンドを送信するよう構成されてもよい。リージョナルルータサブネット２４４２は、インスタンス２４５４のプール内で動作するセキュアシェルインスタンス（例えば、図１９のセキュアシェルインスタンス１９５０）にアドレス指定されたプールサブネット２４５２にコマンドを向けることができる。いくつかの実施形態では、各ドメイン２４１０は、プールサブネット２４５２上で動作するインスタンスのプール２４５４を含んでもよい。プール２４５４は、次いで、ＩａａＳセキュアシェルサービスのユーザのために作成されたセキュアシェルに関連付けられた複数のセキュアシェルインスタンスを含んでもよい。各セキュアシェルインスタンスは、前述の図を参照してより詳細に説明されるように、複数の仮想ネットワークインターフェイスカード（ｖＮＩＣ）を含んでもよい。

いくつかの実施形態では、計算隔離ＶＣＮ２４５０内のプールサブネット２４５２上で動作するインスタンスからの出力メッセージは、ネットワーク隔離ＶＣＮ２４７０上で動作するリージョナルシェルサブネット２４７２に向けられてもよい。対照的に、ユーザデバイスにアドレス指定された返信メッセージは、サービスＶＣＮ２４４０上で動作するルータサブネット２４４２に向けられてもよい。リージョナルサブネットは、適切なゲートウェイを介してメッセージを外部の宛先に向けてもよい。

図２５は、１つ以上の実施形態による、セキュアシェルインスタンスのために複数のネットワークインターフェイスを利用するための例示的なフロー２５００を示す。フローの動作は、ハードウェア回路として実現され、および／または図１９のセキュアセルインスタンス１９５０などのコンピュータシステムの非一時的コンピュータ可読媒体上にコンピュータ可読命令として記憶され得る。実現されると、命令は、コンピュータシステムのプロセッサによって実行可能な回路またはコードを含むモジュールを表す。そのような命令の実行は、本明細書で説明される特定の動作を実行するようコンピュータシステムを構成する。各回路またはコードは、プロセッサと組み合わせて、それぞれの動作を実行する。動作は、ある特定の順序で示されているが、特定の順序は必要ではなく、１つ以上の動作は省略され、スキップされ、および／または並べ替えられてもよいことを理解されたい。

ある例では、フロー２５００は、コンピュータシステムがプライマリ仮想ネットワークインターフェイスカード（ｖＮＩＣ）を介して動作を実行するコマンドを受信する動作２５０２を含む。図１９および図２１～図４を参照してより詳細に上述したように、プライマリｖＮＩＣ（例えば、図１９のプライマリｖＮＩＣ１９４０）は、セキュリティルールを伴うセキュアクラウドインスタンス（例えば、図１９のセキュアクラウドインスタンス１９５０）の作成および／または特化中に構成されてもよい。セキュリティルールは、プライマリｖＮＩＣが１つ以上のタイプのネットワークトラフィックに関してイングレスのみであるように構成されてもよいように、セキュアシェルインスタンスへのネットワークトラフィックを制御してもよい。たとえば、プライマリｖＮＩＣは、セキュアシェルインスタンスがプライマリｖＮＩＣを介して着信トラフィックを受信してもよいが、プライマリｖＮＩＣを介して発信トラフィックを送信し得ないように、セキュアシェルインスタンスと外部システム（例えば、コアクラウドサービス、外部ネットワークデバイスなど）との間のネットワークトラフィックを制限するよう構成されてもよい。

ある例において、フロー２５００は、コンピュータシステムが動作を実行する動作２５０４を含む。セキュアシェルインスタンスは、上記で図２０を参照してより詳細に説明されるように、仮想クラウドネットワーク（ＶＣＮ）上でホストされる仮想マシン（ＶＭ）であってもよい。したがって、セキュアシェルインスタンスは、計算リソース（例えば、コア、スレッドなど）を含んでもよく、データストレージ（たとえば、ブロックボリュームなど）を含んでもよい。場合によっては、セキュアシェルインスタンスは、例えば、暗号化された接続（例えば、WebSocket Secure接続）を介して、ユーザデバイス（例えば、図１９のユーザデバイス１９２０）のユーザをセキュアシェルインスタンスにセキュアに接続するように作成されたセキュアシェル（例えば、端末、バッシュシェル等）を介して受信されたコマンドを実行するよう構成されてもよい。

ある例において、フロー２５００は、コンピュータシステムが動作の出力を生成する動作２５０６を含む。いくつかの実施形態では、出力は、データの移動、要求された情報の送信、および／またはセキュアシェルインスタンスからの他のタイプの出力を含んでもよい。そのような出力が機密情報を含む場合があることを考慮すると、ネットワークトラフィック制御を実現することは、出力を無許可の宛先に誤って向けるリスクを潜在的に低減し得る。

一例では、フロー２５００は、コンピュータシステムが、動作の出力を含むメッセージを、セカンダリ仮想ネットワークインターフェイスカード（例えば、図１９の第２のｖＮＩＣ１９６０）を介してシェルサブネットに送信する動作２５０８を含む。セカンダリｖＮＩＣは、たとえば、セキュアシェルインスタンスからシェルサブネット（たとえば、シェルサブネット１９７０）に出力を送信することについて、ネットワークトラフィックに対する単方向制限を定義するセキュリティルールを用いて構成されてもよい。図２０を参照してより詳細に説明されるように、シェルサブネットおよびセキュアシェルインスタンスは、互いに隔離された異なるＶＣＮにおいて動作してもよく、これは、通信セキュリティを潜在的に改善し得る。

図２６は、１つ以上の実施形態による、ネットワークインターフェイスを使用してセキュアシェルインスタンスと双方向通信するための例示的なフロー２６００を示す。フローの動作は、ハードウェア回路として実現され、および／または図１９のセキュアセルインスタンス１９５０などのコンピュータシステムの非一時的コンピュータ可読媒体上にコンピュータ可読命令として記憶され得る。実現されると、命令は、コンピュータシステムのプロセッサによって実行可能な回路またはコードを含むモジュールを表す。そのような命令の実行は、本明細書で説明される特定の動作を実行するようコンピュータシステムを構成する。各回路またはコードは、プロセッサと組み合わせて、それぞれの動作を実行する。動作は、ある特定の順序で示されているが、特定の順序は必要ではなく、１つ以上の動作は省略され、スキップされ、および／または並べ替えられてもよいことを理解されたい。

ある例において、フロー２６００は、図２５の動作２５０４に続いて開始し、コンピュータシステムは動作を実行する。特に、コンピュータシステム（例えば、図１９のセキュアシェルインスタンス１９５０）は、図２６で説明した動作を参照して説明される動作出力の通信に関連付けられる１つ以上の動作を実現してもよい。

ある例では、フロー２６００は、コンピュータシステムがユーザデバイスのために返信メッセージを生成する動作２６０２を含む。図１９および図２２を参照してより詳細に説明されるようにセキュアシェルインスタンスは、動作を実行することの一部として、返信メッセージを生成してもよい。返信メッセージは、ユーザデバイス（例えば、図１９のユーザデバイス１９２０）に対するメッセージであってもよい。たとえば、返信メッセージは、ユーザデバイスから受信されたコマンドの一部として含まれてもよい、確認、ステータス、またはチェックビットであってもよい。

一例では、フロー２６００は、コンピュータシステムがプライマリ仮想ネットワークインターフェイスカード（例えば、図１９のプライマリｖＮＩＣ１９４０）を介してルータに返信メッセージを送信する動作２６０４を含む。図２２を参照してより詳細に説明されるように、プライマリｖＮＩＣは、単方向ネットワークトラフィックのために構成されてもよく、インバウンドトラフィックがセキュアシェルインスタンスに到達することを可能にするが、セキュアシェルインスタンスからＩａａＳサービス（例えば、図１９のクラウドシェルルータ１９３０）へのアウトバウンドトラフィックは可能にしない。いくつかの実施形態では、プライマリｖＮＩＣは、返信メッセージが、サービスＶＣＮ（例えば、図２０のサービスＶＣＮ２０１０）内で動作する１つ以上の要素を介してユーザデバイスに送信されるよう、クラウドシェルルータに送信されることを可能にするよう構成されてもよい。

図２７は、１つ以上の実施形態による、ネットワークインターフェイスを使用してセキュアシェルインスタンスと双方向通信するための例示的なフロー２７００を示す。フローの動作は、ハードウェア回路として実現され、および／または図１９のセキュアセルインスタンス１９５０などのコンピュータシステムの非一時的コンピュータ可読媒体上にコンピュータ可読命令として記憶され得る。実現されると、命令は、コンピュータシステムのプロセッサによって実行可能な回路またはコードを含むモジュールを表す。そのような命令の実行は、本明細書で説明される特定の動作を実行するようコンピュータシステムを構成する。各回路またはコードは、プロセッサと組み合わせて、それぞれの動作を実行する。動作は、ある特定の順序で示されているが、特定の順序は必要ではなく、１つ以上の動作は省略され、スキップされ、および／または並べ替えられてもよいことを理解されたい。

ある例において、フロー２７００は、コンピュータシステムがセカンダリ仮想ネットワークインターフェイスカード（ｖＮＩＣ）を介して外部ネットワーク要求を受信する動作２７０２を含む。前述の段落を参照してより詳細に説明されるように、セカンダリｖＮＩＣ（例えば、図１９のセカンダリｖＮＩＣ１９６０）は、（例えば、セキュアシェルインスタンスのセットアップ中のセキュリティルールの構成を介して）セキュアシェルインスタンスからの単方向ネットワークトラフィックのために構成されてもよい。したがって、外部ネットワーク要求がセカンダリｖＮＩＣに到達する場合、その要求は不正であるか、またはセカンダリｖＮＩＣに誤ってアドレス指定された可能性がある。

ある例において、フロー２７００は、コンピュータシステムが外部ネットワーク要求を拒否する動作２７０４を含む。セカンダリｖＮＩＣは、場合によっては、着信ネットワーク要求を拒否するよう構成されてもよい。たとえば、セカンダリｖＮＩＣの構成に含まれるセキュリティルールは、セカンダリｖＮＩＣを例外なく単方向として定義してもよい。

ある例において、フロー２７００は、コンピュータシステムがエラーメッセージを返す動作２７０６を含む。いくつかの実施形態では、エラーメッセージを返すことは、ＩａａＳセキュリティサービスによる潜在的な使用のために外部ネットワーク要求を記述する識別子情報（例えば、ユーザ名、ログイン身元証明、ＩＰアドレスなど）を記憶することを伴ってもよい。たとえば、無許可のインバウンドネットワークトラフィックの監査は、１つ以上のＩａａＳサービスおよび／またはユーザインスタンスが損なわれている可能性があるかどうかを識別するのに役立ち得る。いくつかの実施形態では、エラーメッセージは、たとえば、無許可のインバウンド要求が（エグレスのみである）セカンダリｖＮＩＣにおいて受信されたという通知として、ＩａａＳセキュリティサービスに直接向けられてもよい。

以下の項は、開示される実現例の実施形態を説明する：
第１項．方法であって、
コンピュータシステムが、プライマリ仮想ネットワークインターフェイスカード（ｖＮＩＣ）を介してルータから受信される、コンピュータシステムによって動作を実行するためのコマンドを受信するステップと、
コンピュータシステムが、動作を実行するステップと、
コンピュータシステムが、動作の出力を生成するステップと、
コンピュータシステムが、セカンダリ仮想ネットワークインターフェイスカードを介してシェルサブネットに動作の出力を含むメッセージを送信するステップとを含み、セカンダリ仮想ネットワークインターフェイスカードは、コンピュータシステムからシェルサブネットへの単方向送信のために構成され、
シェルサブネットは、動作の出力をネットワークゲートウェイを介して外部ネットワークに送信するよう構成される、方法。

第２項．動作は、ユーザデバイスのユーザによって要求され、動作の出力を生成するステップは、
ユーザデバイスのために返信メッセージを生成するステップと、
プライマリ仮想ネットワークインターフェイスカードを介してルータに返信メッセージを送信するステップとを含み、プライマリ仮想ネットワークインターフェイスカードは、
ユーザデバイスに対する返信メッセージを受け入れるよう構成され、
動作の出力を含むメッセージを拒否するよう構成される、第１項に記載の方法。

第３項．前記コンピュータシステムは、第１の仮想クラウドネットワーク内の仮想マシンであり、第１の仮想クラウドネットワークは、プライベートルートコンパートメント内に構成される、第１項に記載の方法。

第４項．ルータは、第２の仮想クラウドネットワーク内にあり、第２の仮想クラウドネットワークは、第１の仮想クラウドネットワークとは異なり、プライベートルートコンパートメント内に構成される、第３項に記載の方法。

第５項．シェルサブネットは、第３の仮想クラウドネットワーク内にあり、第３の仮想クラウドネットワークは、第１の仮想クラウドネットワークとは異なり、パブリックルートコンパートメント内に構成される、第３項に記載の方法。

第６項．プライベートルートコンパートメントは、プライベートルートコンパートメントからのネットワークトラフィックに帰され得る第１のブロックのＩＰアドレスに関連付けられ、
パブリックルートコンパートメントは、第２のブロックのＩＰアドレスに関連付けられ、第２のブロックのＩＰアドレスは、第１のブロックのＩＰアドレスとは異なり、
第２のブロックのＩＰアドレスは、コンピュータシステムの１人以上のユーザからのネットワークトラフィックに帰され得る、第５項に記載の方法。

第７項．ネットワークゲートウェイは、ネットワークアドレス変換（ＮＡＴ）ゲートウェイであり、コンピュータシステムの１人以上のユーザからのネットワークトラフィックに帰され得るＩＰアドレスのブロックのＩＰアドレスを使用してメッセージを送信するよう構成される、第１項に記載の方法。

第８項．コンピュータシステムであって、
１つ以上のプロセッサと、
１つ以上のプロセッサと通信するメモリとを含み、メモリは、コンピュータ実行可能命令を記憶するよう構成され、コンピュータ実行可能命令を実行することは、１つ以上のプロセッサに、ステップを実行させ、前記ステップは、
コンピュータシステムが、プライマリ仮想ネットワークインターフェイスカード（ｖＮＩＣ）を介してルータから受信される、コンピュータシステムによって動作を実行するためのコマンドを受信するステップと、
コンピュータシステムが、動作を実行するステップと、
コンピュータシステムが、動作の出力を生成するステップと、
コンピュータシステムが、セカンダリ仮想ネットワークインターフェイスカードを介してシェルサブネットに動作の出力を含むメッセージを送信するステップとを含み、セカンダリ仮想ネットワークインターフェイスカードは、コンピュータシステムからシェルサブネットへの単方向送信のために構成され、
シェルサブネットは、動作の出力をネットワークゲートウェイを介して外部ネットワークに送信するよう構成される、コンピュータシステム。

第９項．動作は、ユーザデバイスのユーザによって要求され、動作の出力を生成するステップは、
ユーザデバイスのために返信メッセージを生成するステップと、
プライマリ仮想ネットワークインターフェイスカードを介してルータに返信メッセージを送信するステップとを含み、プライマリ仮想ネットワークインターフェイスカードは、
ユーザデバイスに対する返信メッセージを受け入れるよう構成され、
動作の出力を含むメッセージを拒否するよう構成される、第８項に記載のシステム。

第１０項．前記コンピュータシステムは、第１の仮想クラウドネットワーク内の仮想マシンであり、第１の仮想クラウドネットワークは、プライベートルートコンパートメント内に構成される、第８項に記載のシステム。

第１１項．ルータは、第２の仮想クラウドネットワーク内にあり、第２の仮想クラウドネットワークは、第１の仮想クラウドネットワークとは異なり、プライベートルートコンパートメント内に構成される、第１０項に記載のシステム。

第１２項．シェルサブネットは、第３の仮想クラウドネットワーク内にあり、第３の仮想クラウドネットワークは、第１の仮想クラウドネットワークとは異なり、パブリックルートコンパートメント内に構成される、第１０項に記載のシステム。

第１３項．プライベートルートコンパートメントは、プライベートルートコンパートメントからのネットワークトラフィックに帰され得る第１のブロックのＩＰアドレスに関連付けられ、
パブリックルートコンパートメントは、第２のブロックのＩＰアドレスに関連付けられ、第２のブロックのＩＰアドレスは、第１のブロックのＩＰアドレスとは異なり、
第２のブロックのＩＰアドレスは、コンピュータシステムの１人以上のユーザからのネットワークトラフィックに帰され得る、第１２項に記載のシステム。

第１４項．ネットワークゲートウェイは、ネットワークアドレス変換（ＮＡＴ）ゲートウェイであり、コンピュータシステムの１人以上のユーザからのネットワークトラフィックに帰され得るＩＰアドレスのブロックのＩＰアドレスを使用してメッセージを送信するよう構成される、第８項に記載のシステム。

第１５項．実行されると、コンピュータシステムの１つ以上のプロセッサにステップを実行させるコンピュータ実行可能命令を記憶する、コンピュータ可読記憶媒体であって、前記ステップは、
コンピュータシステムが、プライマリ仮想ネットワークインターフェイスカード（ｖＮＩＣ）を介してルータから受信される、コンピュータシステムによって動作を実行するためのコマンドを受信するステップと、
コンピュータシステムが、動作を実行するステップと、
コンピュータシステムが、動作の出力を生成するステップと、
コンピュータシステムが、セカンダリ仮想ネットワークインターフェイスカードを介してシェルサブネットに動作の出力を含むメッセージを送信するステップとを含み、セカンダリ仮想ネットワークインターフェイスカードは、コンピュータシステムからシェルサブネットへの単方向送信のために構成され、
シェルサブネットは、動作の出力をネットワークゲートウェイを介して外部ネットワークに送信するよう構成される、コンピュータ可読記憶媒体。

第１６項．動作は、ユーザデバイスのユーザによって要求され、動作の出力を生成するステップは、
ユーザデバイスのために返信メッセージを生成するステップと、
プライマリ仮想ネットワークインターフェイスカードを介してルータに返信メッセージを送信するステップとを含み、プライマリ仮想ネットワークインターフェイスカードは、
ユーザデバイスに対する返信メッセージを受け入れるよう構成され、
動作の出力を含むメッセージを拒否するよう構成される、第１５項に記載のコンピュータ可読記憶媒体。

第１７項．前記コンピュータシステムは、第１の仮想クラウドネットワーク内の仮想マシンであり、第１の仮想クラウドネットワークは、プライベートルートコンパートメント内に構成される、第１５項に記載のコンピュータ可読記憶媒体。

第１８項．ルータは、第２の仮想クラウドネットワーク内にあり、第２の仮想クラウドネットワークは、第１の仮想クラウドネットワークとは異なり、プライベートルートコンパートメント内に構成される、第１７項に記載のコンピュータ可読記憶媒体。

第１９項．シェルサブネットは、第３の仮想クラウドネットワーク内にあり、第３の仮想クラウドネットワークは、第１の仮想クラウドネットワークとは異なり、パブリックルートコンパートメント内に構成される、第１７項に記載のコンピュータ可読記憶媒体。

第２０項．プライベートルートコンパートメントは、プライベートルートコンパートメントからのネットワークトラフィックに帰され得る第１のブロックのＩＰアドレスに関連付けられ、
パブリックルートコンパートメントは、第２のブロックのＩＰアドレスに関連付けられ、第２のブロックのＩＰアドレスは、第１のブロックのＩＰアドレスとは異なり、
第２のブロックのＩＰアドレスは、コンピュータシステムの１人以上のユーザからのネットワークトラフィックに帰され得る、第１９項のコンピュータ可読記憶媒体。

上述のように、サービスとしてのインフラストラクチャ（ＩａａＳ）は、１つの特定のタイプのクラウドコンピューティングである。ＩａａＳは、パブリックネットワーク（たとえば、インターネット）を介して、仮想化されたコンピューティングリソースを提供するよう構成され得る。ＩａａＳモデルでは、クラウドコンピューティングプロバイダは、インフラストラクチャ構成要素（例えば、サーバ、ストレージデバイス、ネットワークノード（例えば、ハードウェア）、展開ソフトウェア、プラットフォーム仮想化（例えば、ハイパーバイザ層）など）をホストし得る。場合によっては、ＩａａＳプロバイダはまた、それらのインフラストラクチャ構成要素に付随するよう、様々なサービス（例えば、課金、監視、ロギング、セキュリティ、負荷分散およびクラスタリングなど）を供給してもよい。したがって、これらのサービスはポリシー駆動型であってもよいので、ＩａａＳユーザは、アプリケーションの可用性および性能を維持するために負荷分散を駆動するためにポリシーを実現することが可能であってもよい。

いくつかの事例では、ＩａａＳ顧客は、インターネット等のワイドエリアネットワーク（ＷＡＮ）を通してリソースおよびサービスにアクセスしてもよく、クラウドプロバイダのサービスを使用して、アプリケーションスタックの残りの要素をインストールしてもよい。たとえば、ユーザは、ＩａａＳプラットフォームにログインして、仮想マシン（ＶＭ）を作成し、各ＶＭにオペレーティングシステム（ＯＳ）をインストールし、データベースなどのミドルウェアを展開し、ワークロードおよびバックアップのためにストレージバケットを作成し、さらには企業ソフトウェアをそのＶＭにインストールし得る。次いで、顧客は、プロバイダのサービスを使用して、ネットワークトラフィックの均衡化、アプリケーション問題のトラブルシューティング、パフォーマンスの監視、災害復旧の管理などを含む様々な機能を実行し得る。

ほとんどの場合、クラウドコンピューティングモデルは、クラウドプロバイダの参加を必要とすることになる。クラウドプロバイダは、ＩａａＳの提供（例えば、申し出、レンタル、販売）に特化した第三者サービスであってもよいが、その必要はない。エンティティも、プライベートクラウドを展開することを選択し、インフラストラクチャサービスの独自のプロバイダになるかもしれない。

いくつかの例では、ＩａａＳ展開は、新たなアプリケーションまたはアプリケーションの新たなバージョンを準備されたアプリケーションサーバなどに置くプロセスである。それはまた、サーバを準備する（例えば、ライブラリ、デーモンなどをインストールする）プロセスも、含んでもよい。これは、多くの場合、クラウドプロバイダによって、ハイパーバイザ層（例えば、サーバ、ストレージ、ネットワークハードウェア、および仮想化）の下で管理される。したがって、顧客は、（たとえば、（たとえば、オンデマンドで起動されてもよい）セルフサービス仮想マシン上での）ハンドリング（ＯＳ）、ミドルウェア、および／またはアプリケーション展開などを担ってもよい。

いくつかの例では、ＩａａＳプロビジョニングは、使用のためにコンピュータまたは仮想ホストを取得すること、および必要とされるライブラリまたはサービスをそれらにインストールすることさえも指してもよい。ほとんどの場合、展開はプロビジョニングを含まず、プロビジョニングは最初に実行される必要があってもよい。

場合によっては、ＩａａＳプロビジョニングには２つの異なる問題がある。第１に、何かが動作する前にインフラストラクチャの初期セットをプロビジョニングするという最初の課題がある。第２に、あらゆるものがプロビジョニングされると、既存のインフラストラクチャを発展させる（例えば、新たなサービスの追加、サービスの変更、サービスの削除など）という課題がある。場合によっては、これらの２つの課題は、インフラストラクチャの構成が宣言的に定義されることを可能にすることによって対処されてもよい。言い換えれば、インフラストラクチャ（例えば、どのような構成要素が必要とされるか、およびそれらがどのように対話するか）は、１つ以上の構成ファイルによって定義され得る。したがって、インフラストラクチャの全体的なトポロジー（例えば、どのようなリソースがどのリソースに依存するか、およびそれらが各々どのように協働するか）は、宣言的に記述され得る。いくつかの例では、トポロジーが定義されると、構成ファイルに記述される異なる構成要素を作成および／または管理するワークフローを生成し得る。

いくつかの例では、インフラストラクチャは、多くの相互接続された要素を有してもよい。たとえば、コアネットワークとしても知られている１つ以上の仮想プライベートクラウド（ＶＰＣ）（例えば、構成可能および／または共有されるコンピューティングリソースの、潜在的にオンデマンドのプール）があり得る。いくつかの例では、ネットワークのセキュリティがどのようにセットアップされるかを定義するためにプロビジョニングされる１つ以上のセキュリティグループルール、および１つ以上の仮想マシン（ＶＭ）も、あり得る。ロードバランサ、データベースなどの他のインフラストラクチャ要素もプロビジョニングされてもよい。ますます多くのインフラストラクチャ要素が所望および／または追加されるにつれて、インフラストラクチャは漸進的に進化し得る。

いくつかの例では、様々な仮想コンピューティング環境にわたるインフラストラクチャコードの展開を可能にするために、連続展開技法が採用されてもよい。加えて、説明される技法は、これらの環境内でインフラストラクチャ管理を可能にし得る。いくつかの例では、サービスチームが、１つ以上の、ただし多くの場合、多くの、異なる生産環境（例えば、時として世界全体に及ぶ、種々の異なる地理的場所にわたる）に展開されることが望まれるコードを書き込み得る。しかしながら、いくつかの例では、コードが展開されるインフラストラクチャは、最初にセットアップされなければならない。いくつかの事例では、プロビジョニングは、手動で行われ得、プロビジョニングツールを利用してリソースをプロビジョニングしてもよく、および／または、インフラストラクチャがプロビジョニングされると、展開ツールを利用してコードを展開してもよい。

図２８は、少なくとも１つの実施形態による、ＩａａＳアーキテクチャの例示的なパターンを示すブロック図２８００である。サービスオペレータ２８０２は、仮想クラウドネットワーク（ＶＣＮ）２８０６およびセキュアホストサブネット２８０８を含み得るセキュアホストテナンシ２８０４に通信可能に結合され得る。いくつかの例では、サービスオペレータ２８０２は、１つ以上のクライアントコンピューティングデバイスを用いていてもよく、それらは、ポータブルハンドヘルドデバイス（たとえば、iPhone（登録商標）、セルラー電話、iPad（登録商標）、コンピューティングタブレット、携帯情報端末（ＰＤＡ））またはウェアラブルデバイス（たとえばGoogle Glass（登録商標）頭部装着型ディスプレイ）であってもよく、Microsoft Windows Mobile（登録商標）などのソフトウェア、および／もしくは、iOS、Windows Phone、 Android、BlackBerry 8、Palm OSなどのさまざまなモバイルオペレーティングシステムを実行し、インターネット、電子メール、ショートメッセージサービス（ＳＭＳ）、Blackberry（登録商標）、または他のイネーブルにされた通信プロトコルである。代替的に、クライアントコンピューティングデバイスは、例として、様々なバージョンのMicrosoft Windows（登録商標）、Apple Macintosh（登録商標）、および／もしくはLinux （登録商標）オペレーティングシステムを実行するパーソナルコンピュータならびに／またはラップトップコンピュータを含む汎用パーソナルコンピュータとし得る。クライアントコンピューティングデバイスは、例えばGoogle（登録商標） Chrome OSなどの様々GNU/Linuxオペレーティングシステムを含むがこれに限定されない、様々な市販のUNIX（登録商標）またはUNIXのようなオペレーティングシステムのいずれかを実行するワークステーションコンピュータとし得る。代替として、または加えて、クライアントコンピューティングデバイスは、ＶＣＮ２８０６および／またはインターネットにアクセスし得るネットワークを介して通信することが可能な、シンクライアントコンピュータ、インターネット対応ゲームシステム（例えば、Kinect（登録商標）ジェスチャー入力装置を有するかまたは有さないMicrosoft Xboxゲームコンソール）、および／またはパーソナルメッセージングデバイス等の任意の他の電子デバイスであってもよい。

ＶＣＮ２８０６はローカルピアリングゲートウェイ（ＬＰＧ）２８１０を含み得、それは、ＳＳＨ ＶＣＮ２８１２に含まれるＬＰＧ２８１０を介してセキュアシェル（ＳＳＨ）ＶＣＮ２８１２に通信可能に結合され得る。ＳＳＨ ＶＣＮ２８１２は、ＳＳＨサブネット２８１４を含み得、ＳＳＨ ＶＣＮ２８１２は、制御プレーンＶＣＮ２８１６に含まれるＬＰＧ２８１０を介して制御プレーンＶＣＮ２８１６に通信可能に結合され得る。また、ＳＳＨ ＶＣＮ２８１２は、ＬＰＧ２８１０を介してデータプレーンＶＣＮ２８１８に通信可能に結合され得る。制御プレーンＶＣＮ２８１６およびデータプレーンＶＣＮ２８１８は、ＩａａＳプロバイダによって所有および／または運用され得るサービステナンシ２８１９に含まれ得る。

制御プレーンＶＣＮ２８１６は、周辺ネットワーク（例えば、企業イントラネットと外部ネットワークとの間の企業ネットワークの部分）として機能する制御プレーンデミリタライズドゾーン（ＤＭＺ）層２８２０を含み得る。ＤＭＺベースのサーバは、制限された責任を有し、セキュリティ侵害が含まれるように保つのを助けてもよい。さらに、ＤＭＺ層２８２０は、１つ以上のロードバランサ（ＬＢ）サブネット２８２２と、アプリサブネット２８２６を含み得る制御プレーンアプリ層２８２４と、データベース（ＤＢ）サブネット２８３０（例えば、フロントエンドＤＢサブネットおよび／またはバックエンドＤＢサブネット）を含み得る制御プレーンデータ層２８２８とを含み得る。制御プレーンＤＭＺ層２８２０に含まれるＬＢサブネット２８２２は、制御プレーンアプリ層２８２４に含まれるアプリサブネット２８２６と、制御プレーンＶＣＮ２８１６に含まれ得るインターネットゲートウェイ２８３４とに通信可能に結合され得、アプリサブネット２８２６は、制御プレーンデータ層２８２８に含まれるＤＢサブネット２８３０と、サービスゲートウェイ２８３６と、ネットワークアドレス変換（ＮＡＴ）ゲートウェイ２８３８とに通信可能に結合され得る。制御プレーンＶＣＮ２８１６は、サービスゲートウェイ２８３６およびＮＡＴゲートウェイ２８３８を含み得る。

制御プレーンＶＣＮ２８１６は、アプリサブネット２８２６を含み得るデータプレーンミラーアプリ層２８４０を含み得る。データプレーンミラーアプリ層２８４０に含まれるアプリサブネット２８２６は、計算インスタンス２８４４を実行し得る仮想ネットワークインターフェイスコントローラ（ＶＮＩＣ）２８４２を含み得る。計算インスタンス２８４４は、データプレーンミラーアプリ層２８４０のアプリサブネット２８２６を、データプレーンアプリ層２８４６に含まれ得るアプリサブネット２８２６に、通信可能に結合し得る。

データプレーンＶＣＮ２８１８は、データプレーンアプリ層２８４６と、データプレーンＤＭＺ層２８４８と、データプレーンデータ層２８５０とを含み得る。データプレーンＤＭＺ層２８４８は、データプレーンアプリ層２８４６のアプリサブネット２８２６およびデータプレーンＶＣＮ２８１８のインターネットゲートウェイ２８３４に通信可能に結合され得るＬＢサブネット２８２２を含み得る。アプリサブネット２８２６は、データプレーンＶＣＮ２８１８のサービスゲートウェイ２８３６およびデータプレーンＶＣＮ２８１８のＮＡＴゲートウェイ２８３８に通信可能に結合され得る。データプレーンデータ層２８５０も、データプレーンアプリ層２８４６のアプリサブネット２８２６に通信可能に結合され得るＤＢサブネット２８３０を含み得る。

制御プレーンＶＣＮ２８１６およびデータプレーンＶＣＮ２８１８のインターネットゲートウェイ２８３４は、パブリックインターネット２８５４に通信可能に結合され得るメタデータ管理サービス２８５２に通信可能に結合され得る。パブリックインターネット２８５４は、制御プレーンＶＣＮ２８１６およびデータプレーンＶＣＮ２８１８のＮＡＴゲートウェイ２８３８に通信可能に結合され得る。制御プレーンＶＣＮ２８１６およびデータプレーンＶＣＮ２８１８のサービスゲートウェイ２８３６は、クラウドサービス２８５６に通信可能に結合され得る。

いくつかの例では、制御プレーンＶＣＮ２８１６またはデータプランＶＣＮ２８１８のサービスゲートウェイ２８３６は、パブリックインターネット２８５４を通過することなくクラウドサービス２８５６にアプリケーションプログラミングインターフェイス（ＡＰＩ）呼び出しを行い得る。サービスゲートウェイ２８３６からのクラウドサービス２８５６へのＡＰＩ呼び出しは、一方向であり得、サービスゲートウェイ２８３６は、クラウドサービス２８５６にＡＰＩ呼び出しを行い得、クラウドサービス２８５６は、要求されたデータをサービスゲートウェイ２８３６に送信し得る。しかし、クラウドサービス２８５６は、サービスゲートウェイ２８３６へのＡＰＩ呼び出しを開始しなくてもよい。

いくつかの例では、セキュアホストテナンシ２８０４は、サービステナンシ２８１９に直接接続することができ、サービステナンシは、そうでなければ隔離されてもよい。セキュアホストサブネット２８０８は、他の態様では隔離されたシステムを介して双方向通信を可能にしてもよいＬＰＧ２８１０を通じてＳＳＨサブネット２８１４と通信し得る。セキュアホストサブネット２８０８をＳＳＨサブネット２８１４に接続することは、セキュアホストサブネット２８０８にサービステナンシ２８１９内の他のエンティティへのアクセスを与えてもよい。

制御プレーンＶＣＮ２８１６は、サービステナンシ２８１９のユーザが所望のリソースをセットアップまたは別様にプロビジョニングすることを可能にしてもよい。制御プレーンＶＣＮ２８１６内でプロビジョニングされる所望のリソースは、データプレーンＶＣＮ２８１８内で展開または別様に使用されてもよい。いくつかの例では、制御プレーンＶＣＮ２８１６は、データプレーンＶＣＮ２８１８から隔離され得、制御プレーンＶＣＮ２８１６のデータプレーンミラーアプリ層２８４０は、データプレーンミラーアプリ層２８４０およびデータプレーンアプリ層２８４６に含まれ得るＶＮＩＣ２８４２を介して、データプレーンＶＣＮ２８１８のデータプレーンアプリ層２８４６と通信し得る。

いくつかの例では、システムのユーザまたは顧客は、メタデータ管理サービス２８５２に要求を通信し得るパブリックインターネット２８５４を介して、要求、例えば、作成、読出、更新、または削除（ＣＲＵＤ）動作を行い得る。メタデータ管理サービス２８５２は、インターネットゲートウェイ２８３４を介して制御プレーンＶＣＮ２８１６に要求を通信し得る。この要求は、制御プレーンＤＭＺ層２８２０に含まれるＬＢサブネット２８２２によって受信され得る。ＬＢサブネット２８２２は、要求が有効であると判断してもよく、この判断に応答して、ＬＢサブネット２８２２は、制御プレーンアプリ層２８２４に含まれるアプリサブネット２８２６に要求を送信し得る。要求が検証され、パブリックインターネット２８５４への呼び出しを必要とする場合、パブリックインターネット２８５４への呼び出しは、パブリックインターネット２８５４への呼び出しを行い得るＮＡＴゲートウェイ２８３８に送信されてもよい。要求によって記憶されることが望まれ得るメモリは、ＤＢサブネット２８３０に記憶され得る。

いくつかの例では、データプレーンミラーアプリ層２８４０は、制御プレーンＶＣＮ２８１６とデータプレーンＶＣＮ２８１８との間の直接通信を容易にし得る。たとえば、構成の変更、更新、または他の適切な修正が、データプレーンＶＣＮ２８１８に含まれるリソースに適用されることが望まれる場合がある。ＶＮＩＣ２８４２を介して、制御プレーンＶＣＮ２８１６は、データプレーンＶＣＮ２８１８に含まれるリソースと直接通信し得、それによって、構成に対する変更、更新、または他の好適な修正を実行し得る。

いくつかの実施形態では、制御プレーンＶＣＮ２８１６およびデータプレーンＶＣＮ２８１８は、サービステナンシ２８１９に含まれ得る。この場合、システムのユーザまたは顧客は、制御プレーンＶＣＮ２８１６またはデータプレーンＶＣＮ２８１８のいずれかを所有または操作しなくてもよい。代わりに、ＩａａＳプロバイダは、制御プレーンＶＣＮ２８１６およびデータプレーンＶＣＮ２８１８を所有または動作させてもよく、それらの両方はサービステナンシ２８１９に含まれてもよい。この実施形態は、ユーザまたは顧客が他のユーザまたは他の顧客のリソースと対話することを防止し得るネットワークの隔離を可能にし得る。また、この実施形態は、システムのユーザまたは顧客が、記憶のために、所望のレベルのセキュリティを有さない場合があるパブリックインターネット２８５４に依存する必要なく、データベースをプライベートに記憶することを可能にしてもよい。

他の実施形態では、制御プレーンＶＣＮ２８１６に含まれるＬＢサブネット２８２２は、サービスゲートウェイ２８３６から信号を受信するよう構成され得る。この実施形態では、制御プレーンＶＣＮ２８１６およびデータプレーンＶＣＮ２８１８は、パブリックインターネット２８５４を呼び出すことなく、ＩａａＳプロバイダの顧客によって呼び出されるように構成されてもよい。ＩａａＳプロバイダの顧客は、顧客が使用するデータベースがＩａａＳプロバイダによって制御されてもよく、パブリックインターネット２８５４から隔離されてもよいサービステナンシ２８１９上に記憶されてもよいため、この実施形態を所望し得る。

図２９は、少なくとも１つの実施形態による、ＩａａＳアーキテクチャの別の例示的なパターンを示すブロック図２９００である。サービスオペレータ２９０２（例えば、図２８のサービスオペレータ２８０２）は、仮想クラウドネットワーク（ＶＣＮ）２９０６（例えば、図２８のＶＣＮ２８０６）およびセキュアホストサブネット２９０８（たとえば、図２８のセキュアホストサブネット２８０８）を含み得るセキュアホストテナンシ２９０４（例えば、図２８のセキュアホストテナンシ２８０４）に通信可能に結合され得る。ＶＣＮ２９０６は、ＳＳＨ ＶＣＮ２９１２に含まれるＬＰＧ２８１０を介してセキュアシェル（ＳＳＨ）ＶＣＮ２９１２（例えば、図２８のＳＳＨ ＶＣＮ２８１２）に通信可能に結合され得るローカルピアリングゲートウェイ（ＬＰＧ）２９１０（例えば、図２８のＬＰＧ２８１０）を含み得る。ＳＳＨ ＶＣＮ２９１２は、ＳＳＨサブネット２９１４（たとえば、図２８のＳＳＨサブネット２８１４）を含み得、ＳＳＨ ＶＣＮ２９１２は、制御プレーンＶＣＮ２９１６に含まれるＬＰＧ２９１０を介して制御プレーンＶＣＮ２９１６（例えば、図２８の制御プレーンＶＣＮ２８１６）に通信可能に結合され得る。制御プレーンＶＣＮ２９１６は、サービステナンシ２９１９（例えば、図２８のサービステナンシ２８１９）に含まれ得、データプレーンＶＣＮ２９１８（例えば、図２８のデータプレーンＶＣＮ２８１８）は、システムのユーザまたは顧客によって所有または運用されてもよい顧客テナンシ２９２１に含まれ得る。

制御プレーンＶＣＮ２９１６は、ＬＢサブネット２９２２（たとえば、図２８のＬＢサブネット２８２２）を含み得る制御プレーンＤＭＺ層２９２０（例えば、図２８の制御プレーンＤＭＺ層２８２０）と、アプリサブネット２９２６（例えば、図２８のアプリサブネット２８２６）を含み得る制御プレーンアプリ層２９２４（例えば、図２８の制御プレーンアプリ層２８２４）と、（たとえば、図２８のＤＢサブネット２８３０に類似した）データベース（ＤＢ）サブネット２９３０を含み得る制御プレーンデータ層２９２８（例えば、図２８の制御プレーンデータ層２８２８）とを含み得る。制御プレーンＤＭＺ層２９２０に含まれるＬＢサブネット２９２２は、制御プレーンアプリ層２９２４に含まれるアプリサブネット２９２６と、制御プレーンＶＣＮ２９１６に含まれ得るインターネットゲートウェイ２９３４（例えば、図２８のインターネットゲートウェイ２８３４）とに通信可能に結合され得、アプリサブネット２９２６は、制御プレーンデータ層２９２８に含まれるＤＢサブネット２９３０と、サービスゲートウェイ２９３６（例えば、図２８のサービスゲートウェイ）と、ネットワークアドレス変換（ＮＡＴ）ゲートウェイ２９３８（例えば、図２８のＮＡＴゲートウェイ２８３８）とに通信可能に結合され得る。制御プレーンＶＣＮ２９１６は、サービスゲートウェイ２９３６およびＮＡＴゲートウェイ２９３８を含み得る。

制御プレーンＶＣＮ２９１６は、アプリサブネット２９２６を含み得るデータプレーンミラーアプリ層２９４０（例えば、図２８のデータプレーンミラーアプリ層２８４０）を含み得る。データプレーンミラーアプリ層２９４０に含まれるアプリサブネット２９２６は、計算インスタンス２９４４（例えば、図２８の計算インスタンス２８４４と同様）を実行し得る仮想ネットワークインターフェイスコントローラ（ＶＮＩＣ）２９４２（例えば、２８４２のＶＮＩＣ）を含み得る。計算インスタンス２９４４は、データプレーンミラーアプリ層２９４０に含まれるＶＮＩＣ２９４２とデータプレーンアプリ層２９４６に含まれるＶＮＩＣ２９４２とを介して、データプレーンミラーアプリ層２９４０のアプリサブネット２９２６と、データプレーンアプリ層２９４６（例えば、図２８のデータプレーンアプリ層２８４６）に含まれ得るアプリサブネット２９２６との間の通信を容易にし得る。

制御プレーンＶＣＮ２９１６に含まれるインターネットゲートウェイ２９３４は、パブリックインターネット２９５４（例えば、図２８のパブリックインターネット２８５４）に通信可能に結合され得るメタデータ管理サービス２９５２（例えば、図２８のメタデータ管理サービス２８５２）に通信可能に結合され得る。パブリックインターネット２９５４は、制御プレーンＶＣＮ２９１６に含まれるＮＡＴゲートウェイ２９３８に通信可能に結合され得る。制御プレーンＶＣＮ２９１６に含まれるサービスゲートウェイ２９３６は、クラウドサービス２９５６（例えば、図２８のクラウドサービス２８５６）に通信可能に結合され得る。

いくつかの例では、データプレーンＶＣＮ２９１８は、顧客テナンシ２９２１に含まれ得る。この場合、ＩａａＳプロバイダは、顧客ごとに制御プレーンＶＣＮ２９１６を提供してもよく、ＩａａＳプロバイダは、顧客ごとに、サービステナンシ２９１９に含まれる固有の計算インスタンス２９４４をセットアップしてもよい。各計算インスタンス２９４４は、サービステナンシ２９１９に含まれる制御プレーンＶＣＮ２９１６と顧客テナンシ２９２１に含まれるデータプレーンＶＣＮ２９１８との間の通信を可能にしてもよい。計算インスタンス２９４４は、サービステナンシ２９１９に含まれる制御プレーンＶＣＮ２９１６においてプロビジョニングされるリソースが、顧客テナンシ２９２１に含まれるデータプレーンＶＣＮ２９１８において展開されるかまたは別様に使用されることを可能にしてもよい。

他の例では、ＩａａＳプロバイダの顧客は、顧客テナンシ２９２１に在住するデータベースを有してもよい。この例では、制御プレーンＶＣＮ２９１６は、アプリサブネット２９２６を含み得るデータプレーンミラーアプリ層２９４０を含み得る。データプレーンミラーアプリケーション層２９４０は、データプレーンＶＣＮ２９１８内に存在し得るが、データプレーンミラーアプリケーション層２９４０は、データプレーンＶＣＮ２９１８内に在住しなくてもよい。すなわち、データプレーンミラーアプリケーション層２９４０は、顧客テナンシ２９２１へのアクセスを有してもよいが、データプレーンミラーアプリケーション層２９４０は、データプレーンＶＣＮ２９１８内に存在しなくてもよく、またはＩａａＳプロバイダの顧客によって所有もしくは運用されなくてもよい。データプレーンミラーアプリケーション層２９４０は、データプレーンＶＣＮ２９１８への呼び出しを行うように構成されてもよいが、制御プレーンＶＣＮ２９１６に含まれる任意のエンティティへの呼び出しを行うように構成されなくてもよい。顧客は、制御プレーンＶＣＮ２９１６内にプロビジョニングされるデータプレーンＶＣＮ２９１８内のリソースを展開または別様に使用することを所望してもよく、データプレーンミラーアプリケーション層２９４０は、顧客のリソースの所望の展開または他の使用を容易にし得る。

いくつかの実施形態では、ＩａａＳプロバイダの顧客は、フィルタをデータプレーンＶＣＮ２９１８に適用し得る。この実施形態では、顧客は、データプレーンＶＣＮ２９１８が何にアクセスできるかを判断し得、顧客は、データプレーンＶＣＮ２９１８からパブリックインターネット２９５４へのアクセスを制限してもよい。ＩａａＳプロバイダは、データプレーンＶＣＮ２９１８の任意の外部ネットワークもしくはデータベースへのアクセスをフィルタ処理するかまたは別様に制御することができなくてもよい。顧客テナンシ２９２１に含まれるデータプレーンＶＣＮ２９１８上に顧客によってフィルタおよび制御を適用することは、データプレーンＶＣＮ２９１８を他の顧客およびパブリックインターネット２９５４から隔離するのを助けることができる。

いくつかの実施形態では、クラウドサービス２９５６は、パブリックインターネット２９５４上、制御プレーンＶＣＮ２９１６上、またはデータプレーンＶＣＮ２９１８上に存在しない場合があるサービスにアクセスするために、サービスゲートウェイ２９３６によって呼び出され得る。クラウドサービス２９５６と制御プレーンＶＣＮ２９１６またはデータプレーンＶＣＮ２９１８との間の接続は、ライブまたは連続的でなくてもよい。クラウドサービス２９５６は、ＩａａＳプロバイダによって所有または運営される異なるネットワーク上に存在してもよい。クラウドサービス２９５６は、サービスゲートウェイ２９３６から呼び出しを受信するよう構成されてもよく、パブリックインターネット２９５４から呼び出しを受信しないように構成されてもよい。いくつかのクラウドサービス２９５６は、他のクラウドサービス２９５６から隔離されてもよく、制御プレーンＶＣＮ２９１６は、制御プレーンＶＣＮ２９１６と同じ領域にない場合があるクラウドサービス２９５６から隔離されてもよい。たとえば、制御プレーンＶＣＮ２９１６は「領域１」に位置してもよく、クラウドサービス「展開２８」は領域１および「領域２」に位置してもよい。展開２８への呼び出しが、領域１に位置する制御プレーンＶＣＮ２９１６に含まれるサービスゲートウェイ２９３６によって行われる場合、その呼び出しは、領域１内の展開２８に伝送されてもよい。この例では、制御プレーンＶＣＮ２９１６、または領域１の展開２８は、領域２の展開２８に通信可能に結合されなくてもよく、またはそうでなければ通信していなくてもよい。

図３０は、少なくとも１つの実施形態による、ＩａａＳアーキテクチャの別の例示的なパターンを示すブロック図３０００である。サービスオペレータ３００２（例えば、図２８のサービスオペレータ２８０２）は、仮想クラウドネットワーク（ＶＣＮ）３００６（例えば、図２８のＶＣＮ２８０６）およびセキュアホストサブネット３００８（たとえば、図２８のセキュアホストサブネット２８０８）を含み得るセキュアホストテナンシ３００４（例えば、図２８のセキュアホストテナンシ２８０４）に通信可能に結合され得る。ＶＣＮ３００６は、ＬＰＧ３０１０（例えば、図２８のＬＰＧ２８１０）を含み得、それは、ＳＳＨ ＶＣＮ３０１２（例えば、図２８のＳＳＨ ＶＣＮ２８１２）に含まれるＬＰＧ３０１０を介してＳＳＨ ＶＣＮ３０１２に通信可能に結合され得る。ＳＳＨ ＶＣＮ３０１２は、ＳＳＨサブネット３０１４（たとえば、図２８のＳＳＨサブネット２８１４）を含み得、ＳＳＨ ＶＣＮ３０１２は、制御プレーンＶＣＮ３０１６（例えば、図２８の制御プレーンＶＣＮ２８１６）に含まれるＬＰＧ３０１０を介して制御プレーンＶＣＮ３０１６に通信可能に結合され得、データプレーンＶＣＮ３０１８（例えば、図２８のデータプレーン２８１８）に含まれるＬＰＧ３０１０を介してデータプレーンＶＣＮ３０１８通信可能に結合され得る。制御プレーンＶＣＮ３０１６およびデータプレーンＶＣＮ３０１８は、サービステナンシ３０１９（例えば、図２８のサービステナンシ２８１９）に含まれ得る。

制御プレーンＶＣＮ３０１６は、ロードバランサ（ＬＢ）サブネット３０２２（たとえば、図２８のＬＢサブネット２８２２）を含み得る制御プレーンＤＭＺ層３０２０（例えば、図２８の制御プレーンＤＭＺ層２８２０）と、（たとえば、図２８のアプリサブネット２８２６に類似している）アプリサブネット３０２６を含み得る制御プレーンアプリ層３０２４（例えば、図２８の制御プレーンアプリ層２８２４）と、ＤＢサブネット３０３０を含み得る制御プレーンデータ層３０２８（例えば、図２８の制御プレーンデータ層２８２８）とを含み得る。制御プレーンＤＭＺ層３０２０に含まれるＬＢサブネット３０２２は、制御プレーンアプリ層３０２４に含まれるアプリサブネット３０２６と、制御プレーンＶＣＮ３０１６に含まれ得るインターネットゲートウェイ３０３４（例えば、図２８のインターネットゲートウェイ２８３４）とに通信可能に結合され得、アプリサブネット３０２６は、制御プレーンデータ層３０２８に含まれるＤＢサブネット３０３０に、ならびにサービスゲートウェイ３０３６（例えば、図２８のサービスゲートウェイ）およびネットワークアドレス変換（ＮＡＴ）ゲートウェイ３０３８（例えば、図２８のＮＡＴゲートウェイ２８３８）に通信可能に結合され得る。制御プレーンＶＣＮ３０１６は、サービスゲートウェイ３０３６およびＮＡＴゲートウェイ３０３８を含み得る。

データプレーンＶＣＮ３０１８は、データプレーンアプリ層３０４６（例えば、図２８のデータプレーンアプリ層２８４６）、データプレーンＤＭＺ層３０４８（例えば、図２８のデータプレーンＤＭＺ層２８４８）、およびデータプレーンデータ層３０５０（例えば、図２８のデータプレーンデータ層２８５０）を含み得る。データプレーンＤＭＺ層３０４８は、データプレーンアプリ層３０４６の信頼できるアプリサブネット３０６０および信頼できないアプリサブネット３０６２と、データプレーンＶＣＮ３０１８に含まれるインターネットゲートウェイ３０３４とに通信可能に結合され得るＬＢサブネット３０２２を含み得る。信頼できるアプリサブネット３０６０は、データプレーンＶＣＮ３０１８に含まれるサービスゲートウェイ３０３６と、データプレーンＶＣＮ３０１８に含まれるＮＡＴゲートウェイ３０３８と、データプレーンデータ層３０５０に含まれるＤＢサブネット３０３０とに通信可能に結合され得る。信頼できないアプリサブネット３０６２は、データプレーンＶＣＮ３０１８に含まれるサービスゲートウェイ３０３６と、データプレーンデータ層３０５０に含まれるＤＢサブネット３０３０とに通信可能に結合され得る。データプレーンデータ層３０５０は、データプレーンＶＣＮ３０１８に含まれるサービスゲートウェイ３０３６に通信可能に結合され得るＤＢサブネット３０３０を含み得る。

信頼できないアプリサブネット３０６２は、テナント仮想マシン（ＶＭ）３０６６（１）～（Ｎ）に通信可能に結合され得る１つ以上のプライマリＶＮＩＣ３０６４（１）～（Ｎ）を含み得る。各テナントＶＭ３０６６（１）～（Ｎ）は、それぞれの顧客テナンシ３０７０（１）～（Ｎ）に含まれ得るそれぞれのコンテナエグレスＶＣＮ３０６８（１）～（Ｎ）に含まれ得るそれぞれのアプリサブネット３０６７（１）～（Ｎ）に通信可能に結合され得る。それぞれのセカンダリＶＮＩＣ３０７２（１）～（Ｎ）は、データプレーンＶＣＮ３０１８に含まれる信頼できないアプリサブネット３０６２とコンテナエグレスＶＣＮ３０６８（１）～（Ｎ）に含まれるアプリサブネットとの間の通信を容易にし得る。各コンテナエグレスＶＣＮ３０６８（１）～（Ｎ）は、パブリックインターネット３０５４（例えば、図２８のパブリックインターネット２８５４）に通信可能に結合され得るＮＡＴゲートウェイ３０３８を含み得る。

制御プレーンＶＣＮ３０１６に含まれ、データプレーンＶＣＮ３０１８に含まれるインターネットゲートウェイ３０３４は、パブリックインターネット３０５４に通信可能に結合され得るメタデータ管理サービス３０５２（例えば、図２８のメタデータ管理システム２８５２）に通信可能に結合され得る。パブリックインターネット３０５４は、制御プレーンＶＣＮ３０１６に含まれ、データプレーンＶＣＮ３０１８に含まれるＮＡＴゲートウェイ３０３８に通信可能に結合され得る。制御プレーンＶＣＮ３０１６に含まれ、データプレーンＶＣＮ３０１８に含まれるサービスゲートウェイ３０３６は、クラウドサービス３０５６に通信可能に結合され得る。

いくつかの実施形態では、データプレーンＶＣＮ３０１８は、顧客テナンシ３０７０と統合され得る。この統合は、コードを実行するときにサポートを望む場合がある場合などのいくつかの場合において、ＩａａＳプロバイダの顧客にとって有用または望ましくあり得る。顧客は、破壊的である場合があるか、他の顧客リソースと通信する場合があるか、またはそうでなければ望ましくない影響を引き起こす場合がある、実行すべきコードを与える場合がある。これに応答して、ＩａａＳプロバイダは、顧客によってＩａａＳプロバイダに与えられたコードを実行するかどうかを判断してもよい。

いくつかの例では、ＩａａＳプロバイダの顧客は、ＩａａＳプロバイダへの一時的なネットワークアクセスを許可し、ある機能がデータプレーン層アプリ３０４６にアタッチされるよう要求する場合がある。機能を実行するためのコードは、ＶＭ３０６６（１）～（Ｎ）において実行されてもよく、データプレーンＶＣＮ３０１８上の他のどこかで動作するように構成されなくてもよい。各ＶＭ３０６６（１）～（Ｎ）は、１つの顧客テナンシ３０７０に接続されてもよい。ＶＭ３０６６（１）～（Ｎ）に含まれるそれぞれのコンテナ３０７１（１）～（Ｎ）は、コードを実行するよう構成されてもよい。この場合、二重隔離があり得（例えば、コンテナ３０７１（１）～（Ｎ）は、コードを実行し、コンテナ３０７１（１）～（Ｎ）は、信頼できないアプリサブネット３０６２に含まれる少なくともＶＭ３０６６（１）～（Ｎ）に含まれてもよい）、これは、正しくないかまたはそうでなければ望ましくないコードが、ＩａａＳプロバイダのネットワークを損傷すること、または異なる顧客のネットワークを損傷することを防ぐのを助けてもよい。コンテナ３０７１（１）～（Ｎ）は、顧客テナンシ３０７０に通信可能に結合されてもよく、顧客テナンシ３０７０との間でデータを送信または受信するよう構成されてもよい。コンテナ３０７１（１）～（Ｎ）は、データプレーンＶＣＮ３０１８内の任意の他のエンティティとの間でデータを送信または受信するよう構成されなくてもよい。コードの実行が完了すると、ＩａａＳプロバイダは、コンテナ３０７１（１）～（Ｎ）をキルするかまたは別様に廃棄してもよい。

いくつかの実施形態では、信頼できるアプリサブネット３０６０は、ＩａａＳプロバイダによって所有または操作されてもよいコードを実行してもよい。この実施形態では、信頼できるアプリサブネット３０６０は、ＤＢサブネット３０３０に通信可能に結合されてもよく、ＤＢサブネット３０３０内でＣＲＵＤ動作を実行するよう構成されてもよい。信頼できないアプリサブネット３０６２は、ＤＢサブネット３０３０に通信可能に結合されてもよいが、この実施形態では、信頼できないアプリサブネットは、ＤＢサブネット３０３０内で読出動作を実行するよう構成されてもよい。各顧客のＶＭ３０６６（１）～（Ｎ）に含まれ得、その顧客からのコードを実行してもよいコンテナ３０７１（１）～（Ｎ）は、ＤＢサブネット３０３０と通信可能に結合されなくてもよい。

他の実施形態では、制御プレーンＶＣＮ３０１６およびデータプレーンＶＣＮ３０１８は、直接通信可能に結合されなくてもよい。この実施形態では、制御プレーンＶＣＮ３０１６とデータプレーンＶＣＮ３０１８との間に直接通信がなくてもよい。しかしながら、通信は、少なくとも１つの方法を通して間接的に起こり得る。制御プレーンＶＣＮ３０１６とデータプレーンＶＣＮ３０１８との間の通信を容易にし得るＬＰＧ３０１０が、ＩａａＳプロバイダによって確立されてもよい。別の例では、制御プレーンＶＣＮ３０１６またはデータプレーンＶＣＮ３０１８は、サービスゲートウェイ３０３６を介してクラウドサービス３０５６に呼び出しを行い得る。例えば、制御プレーンＶＣＮ３０１６からのクラウドサービス３０５６への呼び出しは、データプレーンＶＣＮ３０１８と通信し得るサービスの要求を含み得る。

図３１は、少なくとも１つの実施形態による、ＩａａＳアーキテクチャの別の例示的なパターンを示すブロック図３１００である。サービスオペレータ３１０２（例えば、図２８のサービスオペレータ２８０２）は、仮想クラウドネットワーク（ＶＣＮ）３１０６（例えば、図２８のＶＣＮ２８０６）およびセキュアホストサブネット３１０８（たとえば、図２８のセキュアホストサブネット２８０８）を含み得るセキュアホストテナンシ３１０４（例えば、図２８のセキュアホストテナンシ２８０４）に通信可能に結合され得る。ＶＣＮ３１０６は、ＬＰＧ３１１０（例えば、図２８のＬＰＧ２８１０）を含み得、それは、ＳＳＨ ＶＣＮ３１１２（例えば、図２８のＳＳＨ ＶＣＮ２８１２）に含まれるＬＰＧ３１１０を介してＳＳＨ ＶＣＮ３１１２に通信可能に結合され得る。ＳＳＨ ＶＣＮ３１１２は、ＳＳＨサブネット３１１４（たとえば、図２８のＳＳＨサブネット２８１４）を含み得、ＳＳＨ ＶＣＮ３１１２は、制御プレーンＶＣＮ３１１６（例えば、図２８の制御プレーンＶＣＮ２８１６）に含まれるＬＰＧ３１１０を介して制御プレーンＶＣＮ３１１６に通信可能に結合され得、データプレーンＶＣＮ３１１８（例えば、図２８のデータプレーン２８１８）に含まれるＬＰＧ３１１０を介してデータプレーンＶＣＮ３１１８に通信可能に結合され得る。制御プレーンＶＣＮ３１１６およびデータプレーンＶＣＮ３１１８は、サービステナンシ３１１９（例えば、図２８のサービステナンシ２８１９）に含まれ得る。

制御プレーンＶＣＮ３１１６は、ＬＢサブネット３１２２（たとえば、図２８のＬＢサブネット２８２２）を含み得る制御プレーンＤＭＺ層３１２０（例えば、図２８の制御プレーンＤＭＺ層２８２０）と、アプリサブネット３１２６（例えば、図２８のアプリサブネット２８２６）を含み得る制御プレーンアプリ層３１２４（例えば、図２８の制御プレーンアプリ層２８２４）と、ＤＢサブネット３１３０（例えば、図３０のＤＢサブネット３０３０）を含み得る制御プレーンデータ層３１２８（例えば、図２８の制御プレーンデータ層２８２８）とを含み得る。制御プレーンＤＭＺ層３１２０に含まれるＬＢサブネット３１２２は、制御プレーンアプリ層３１２４に含まれるアプリサブネット３１２６と、制御プレーンＶＣＮ３１１６に含まれ得るインターネットゲートウェイ３１３４（例えば、図２８のインターネットゲートウェイ２８３４）とに通信可能に結合され得、アプリサブネット３１２６は、制御プレーンデータ層３１２８に含まれるＤＢサブネット３１３０と、サービスゲートウェイ３１３６（例えば、図２８のサービスゲートウェイ）およびネットワークアドレス変換（ＮＡＴ）ゲートウェイ３１３８（例えば、図２８のＮＡＴゲートウェイ２８３８）とに通信可能に結合され得る。制御プレーンＶＣＮ３１１６は、サービスゲートウェイ３１３６およびＮＡＴゲートウェイ３１３８を含み得る。

データプレーンＶＣＮ３１１８は、データプレーンアプリ層３１４６（例えば、図２８のデータプレーンアプリ層２８４６）、データプレーンＤＭＺ層３１４８（例えば、図２８のデータプレーンＤＭＺ層２８４８）、およびデータプレーンデータ層３１５０（例えば、図２８のデータプレーンデータ層２８５０）を含み得る。データプレーンＤＭＺ層３１４８は、データプレーンアプリ層３１４６の信頼できるアプリサブネット３１６０（例えば、図３０の信頼できるアプリサブネット３０６０）および信頼できないアプリサブネット３１６２（例えば、図３０の信頼できないアプリサブネット３０６２）と、データプレーンＶＣＮ３１１８に含まれるインターネットゲートウェイ３１３４とに通信可能に結合され得るＬＢサブネット３１２２を含み得る。信頼できるアプリサブネット３１６０は、データプレーンＶＣＮ３１１８に含まれるサービスゲートウェイ３１３６と、データプレーンＶＣＮ３１１８に含まれるＮＡＴゲートウェイ３１３８と、データプレーンデータ層３１５０に含まれるＤＢサブネット３１３０とに通信可能に結合され得る。信頼できないアプリサブネット３１６２は、データプレーンＶＣＮ３１１８に含まれるサービスゲートウェイ３１３６と、データプレーンデータ層３１５０に含まれるＤＢサブネット３１３０とに通信可能に結合され得る。データプレーンデータ層３１５０は、データプレーンＶＣＮ３１１８に含まれるサービスゲートウェイ３１３６に通信可能に結合され得るＤＢサブネット３１３０を含み得る。

信頼できないアプリサブネット３１６２は、信頼できないアプリサブネット３１６２内に常駐するテナント仮想マシン（ＶＭ）３１６６（１）～（Ｎ）に通信可能に結合され得るプライマリＶＮＩＣ３１６４（１）～（Ｎ）を含み得る。各テナントＶＭ３１６６（１）～（Ｎ）は、それぞれのコンテナ３１６７（１）～（Ｎ）においてコードを実行し得、コンテナエグレスＶＣＮ３１６８に含まれ得るデータプレーンアプリ層３１４６に含まれ得るアプリサブネット３１２６に通信可能に結合され得る。それぞれのセカンダリＶＮＩＣ３１７２（１）～（Ｎ）は、データプレーンＶＣＮ３１１８に含まれる信頼できないアプリサブネット３１６２とコンテナエグレスＶＣＮ３１６８に含まれるアプリサブネットとの間の通信を容易にし得る。コンテナエグレスＶＣＮは、パブリックインターネット３１５４（例えば、図２８のパブリックインターネット２８５４）に通信可能に結合され得るＮＡＴゲートウェイ３１３８を含み得る。

制御プレーンＶＣＮ３１１６に含まれ、データプレーンＶＣＮ３１１８に含まれるインターネットゲートウェイ３１３４は、パブリックインターネット３１５４に通信可能に結合され得るメタデータ管理サービス３１５２（例えば、図２８のメタデータ管理システム２８５２）に通信可能に結合され得る。パブリックインターネット３１５４は、制御プレーンＶＣＮ３１１６に含まれ、データプレーンＶＣＮ３１１８に含まれるＮＡＴゲートウェイ３１３８に通信可能に結合され得る。制御プレーンＶＣＮ３１１６に含まれ、データプレーンＶＣＮ３１１８に含まれるサービスゲートウェイ３１３６は、クラウドサービス３１５６に通信可能に結合され得る。

いくつかの例では、図３１のブロック図３１００のアーキテクチャによって示されるパターンは、図３０のブロック図３０００のアーキテクチャによって示されるパターンの例外と見なされてもよく、ＩａａＳプロバイダが顧客と直接通信することができない場合（たとえば切断された領域）、それは、ＩａａＳプロバイダの顧客にとって望ましい場合がある。各顧客についてＶＭ３１６６（１）～（Ｎ）に含まれるそれぞれのコンテナ３１６７（１）～（Ｎ）は、顧客によってリアルタイムでアクセスされ得る。コンテナ３１６７（１）～（Ｎ）は、コンテナエグレスＶＣＮ３１６８に含まれ得るデータプレーンアプリ層３１４６のアプリサブネット３１２６に含まれるそれぞれのセカンダリＶＮＩＣ３１７２（１）～（Ｎ）への呼び出しを行うように構成されてもよい。セカンダリＶＮＩＣ３１７２（１）～（Ｎ）はＮＡＴゲートウェイ３１３８に呼び出しを送信し得、ＮＡＴゲートウェイ３１３８はパブリックインターネット３１５４に呼び出しを送信してもよい。この例では、顧客によってリアルタイムでアクセスされ得るコンテナ３１６７（１）～（Ｎ）は、制御プレーンＶＣＮ３１１６から隔離され得、データプレーンＶＣＮ３１１８に含まれる他のエンティティから隔離され得る。コンテナ３１６７（１）～（Ｎ）はまた、他の顧客からのリソースからも隔離されてもよい。

他の例では、顧客は、コンテナ３１６７（１）～（Ｎ）を使用してクラウドサービス３１５６を呼び出し得る。この例では、顧客は、コンテナ３１６７（１）～（Ｎ）内において、クラウドサービス３１５６にサービスを要求するコードを実行してもよい。コンテナ３１６７（１）～（Ｎ）はこの要求をセカンダリＶＮＩＣ３１７２（１）～（Ｎ）に送信し得、セカンダリＶＮＩＣ３１７２（１）～（Ｎ）はその要求をＮＡＴゲートウェイに送信し、ＮＡＴゲートウェイはその要求をパブリックインターネット３１５４に送信し得る。パブリックインターネット３１５４は、インターネットゲートウェイ３１３４を介して、制御プレーンＶＣＮ３１１６に含まれるＬＢサブネット３１２２に要求を送信し得る。要求が有効であると判定することに応答して、ＬＢサブネットはその要求をアプリサブネット３１２６に送信し得、アプリサブネット３１２６はその要求をサービスゲートウェイ３１３６を介してクラウドサービス３１５６に送信し得る。

図示されるＩａａＳアーキテクチャ２８００、２９００、３０００、３１００は、図示される以外の構成要素を有してもよいことを諒解されたい。さらに、図示される実施形態は、本開示の実施形態を組み込んでもよいクラウドインフラストラクチャシステムのいくつかの例にすぎない。いくつかの他の実施形態では、ＩａａＳシステムは、図示されるよりも多いまたは少ない構成要素を有してもよく、２つ以上の構成要素を組み合わせてもよく、または構成要素の異なる構成または配置を有してもよい。

ある実施形態では、本明細書に説明されるＩａａＳシステムは、セルフサービスであり、サブスクリプションベースであり、弾性的にスケーラブルであり、信頼性があり、高い可用性があり、セキュアな態様で顧客に配信される、アプリケーション、ミドルウェア、およびデータベースサービス提供の一式を含んでもよい。そのようなＩａａＳシステムの例は、本譲受人によって提供されるOracle Cloud Infrastructure（ＯＣＩ）である。

図３２は、本開示の様々な実施形態が実現されてもよい例示的なコンピュータシステム３２００を示す。システム３２００は、上記で説明されるコンピュータシステムのうちのいずれかを実現するために使用されてもよい。図に示されるように、コンピュータシステム３２００は、バスサブシステム３２０２を介していくつかの周辺サブシステムと通信する処理ユニット３２０４を含む。これらの周辺サブシステムは、処理加速ユニット３２０６、Ｉ／Ｏサブシステム３２０８、ストレージサブシステム３２１８、および通信サブシステム３２２４を含んでもよい。ストレージサブシステム３２１８は、有形のコンピュータ可読記憶媒体３２２２およびシステムメモリ３２１０を含む。

バスサブシステム３２０２は、コンピュータシステム３２００のさまざまなコンポーネントおよびサブシステムに、意図されるように互いに通信させるための機構を提供する。バスサブシステム３２０２は、単一のバスとして概略的に示されるが、バスサブシステムの代替実施形態は、複数のバスを利用してもよい。バスサブシステム３２０２は、さまざまなバスアーキテクチャのうちのいずれかを用いるメモリバスまたはメモリコントローラ、周辺バスおよびローカルバスを含むいくつかのタイプのバス構造のうちのいずれかであってもよい。たとえば、そのようなアーキテクチャは、業界標準アーキテクチャ（ＩＳＡ）バス、マイクロチャネルアーキテクチャ（ＭＣＡ）バス、拡張ＩＳＡ（ＥＩＳＡ）バス、ビデオ・エレクトロニクス・スタンダーズ・アソシエーション（ＶＥＳＡ）ローカルバス、およびＩＥＥＥ Ｐ１３８６．１規格に従って製造される中二階バスとして実現され得る周辺コンポーネントインターコネクト（ＰＣＩ）バスを含んでもよい。

処理ユニット３２０４は、１つ以上の集積回路（例えば、従来のマイクロプロセッサまたはマイクロコントローラ）として実現することができ、コンピュータシステム３２００の動作を制御する。１つ以上のプロセッサが処理ユニット３２０４に含まれてもよい。これらのプロセッサは、シングルコアプロセッサまたはマルチコアプロセッサを含んでもよい。特定の実施形態では、処理ユニット３２０４は、シングルコアプロセッサもしくはマルチコアプロセッサが各処理ユニットに含まれる１つ以上の独立した処理ユニット３２３２および／または３２３４として実現されてもよい。他の実施形態では、処理ユニット３２０４はまた、２つのデュアルコアプロセッサを単一のチップに統合することによって形成されるクワッドコア処理ユニットとして実現されてもよい。

様々な実施形態では、処理ユニット３２０４は、プログラムコードに応答して様々なプログラムを実行することができ、複数の同時に実行されるプログラムまたはプロセスを維持することができる。任意の所与の時間に、実行されるべきプログラムコードの一部またはすべてが、プロセッサ３２０４、および／またはストレージサブシステム３２１８に常駐することができる。好適なプログラミングを通して、プロセッサ３２０４は、上記で説明される種々の機能性を提供することができる。コンピュータシステム３２００は、デジタル信号プロセッサ（ＤＳＰ）、特殊目的プロセッサなどを含み得る処理加速ユニット３２０６をさらに含んでもよい。

Ｉ／Ｏサブシステム３２０８は、ユーザインターフェイス入力デバイスおよびユーザインターフェイス出力デバイスを含んでもよい。ユーザインターフェイス入力デバイスは、キーボード、マウスまたはトラックボールなどのポインティングデバイス、ディスプレイに組み込まれたタッチパッドまたはタッチスクリーン、スクロールホイール、クリックホイール、ダイヤル、ボタン、スイッチ、キーパッド、音声コマンド認識システムを伴う音声入力デバイス、マイクロフォン、および他のタイプの入力デバイスを含んでもよい。ユーザインターフェイス入力デバイスは、例えば、ユーザが、ジェスチャおよび発話コマンドを使用して、ナチュラルユーザインターフェイスを通して、Microsoft Xbox（登録商標）３６０ゲームコントローラ等の入力デバイスを制御し、それと相互作用することを可能にする、Microsoft Kinect（登録商標）モーションセンサ等のモーション感知および／またはジェスチャ認識デバイスを含んでもよい。ユーザインターフェイス入力デバイスは、ユーザから目の動き（たとえば、写真を撮っている間および／またはメニュー選択を行なっている間の「まばたき」）を検出し、アイジェスチャを入力デバイス（たとえばGoogle Glass（登録商標））への入力として変換するGoogle Glass（登録商標）瞬き検出器などのアイジェスチャ認識デバイスも含んでもよい。加えて、ユーザインターフェイス入力デバイスは、ユーザが音声コマンドを介して音声認識システム（たとえばSiri（登録商標）ナビゲータ）と対話することを可能にする音声認識感知デバイスを含んでもよい。

ユーザインターフェイス入力デバイスは、三次元（３Ｄ）マウス、ジョイスティックまたはポインティングスティック、ゲームパッドおよびグラフィックタブレット、ならびにスピーカ、デジタルカメラ、デジタルカムコーダ、ポータブルメディアプレーヤ、ウェブカム、画像スキャナ、指紋スキャナ、バーコードリーダ３Ｄスキャナ、３Ｄプリンタ、レーザレンジファインダ、および視線追跡デバイスなどの聴覚／視覚デバイスも含んでもよいが、それらに限定されるものではない。加えて、ユーザインターフェイス入力デバイスは、例えば、コンピュータ断層撮影、磁気共鳴撮像、ポジトロン断層撮影、医療用超音波検査装置等の医療用撮像入力デバイスを含んでもよい。ユーザインターフェイス入力デバイスはまた、例えば、ＭＩＤＩキーボード、デジタル楽器等の音声入力デバイスを含んでもよい。

ユーザインターフェイス出力デバイスは、ディスプレイサブシステム、インジケータライト、または音声出力デバイス等の非視覚的ディスプレイを含んでもよい。ディスプレイサブシステムは、陰極線管（ＣＲＴ）、液晶ディスプレイ（ＬＣＤ）またはプラズマディスプレイを使用するものなどのフラットパネルデバイス、投影デバイス、タッチスクリーンなどであってもよい。一般に、「出力デバイス」という語の使用は、コンピュータシステム３２００からユーザまたは他のコンピュータに情報を出力するためのすべての考えられ得るタイプのデバイスおよび機構を含むよう意図される。たとえば、ユーザインターフェイス出力デバイスは、モニタ、プリンタ、スピーカ、ヘッドフォン、自動車ナビゲーションシステム、プロッタ、音声出力デバイスおよびモデムなどの、テキスト、グラフィックスならびに音声／映像情報を視覚的に伝えるさまざまな表示デバイスを含んでもよいが、それらに限定されるものではない。

コンピュータシステム３２００は、現在のところシステムメモリ３２１０内に位置しているものとして示されているソフトウェア要素を含むストレージサブシステム３２１８を備えてもよい。システムメモリ３２１０は、処理ユニット３２０４上でロード可能および実行可能なプログラム命令、ならびにこれらのプログラムの実行中に生成されるデータを記憶してもよい。

コンピュータシステム３２００の構成およびタイプに応じて、システムメモリ３２１０は、揮発性（ランダムアクセスメモリ（ＲＡＭ）など）および／または不揮発性（読み出し専用メモリ（ＲＯＭ）、フラッシュメモリなど）であってもよい。ＲＡＭは、典型的には、処理ユニット３２０４に即座にアクセス可能である、ならびに／もしくは処理ユニット３２０４によって現在操作および実行されている、データならびに／またはプログラムモジュールを含む。いくつかの実現例では、システムメモリ３２１０は、スタティックランダムアクセスメモリ（ＳＲＡＭ）またはダイナミックランダムアクセスメモリ（ＤＲＡＭ）など、複数の異なるタイプのメモリを含んでもよい。いくつかの実現例では、起動中などにコンピュータシステム３２００内の要素間で情報を転送するのに役立つ基本的なルーチンを含むベーシックインプット／アウトプットシステム（ＢＩＯＳ）が、典型的には、ＲＯＭに記憶されてもよい。限定ではなく例として、システムメモリ３２１０はまた、クライアントアプリケーション、ウェブブラウザ、中間層アプリケーション、リレーショナルデータベース管理システム（ＲＤＢＭＳ）などを含んでもよいアプリケーションプログラム３２１２、プログラムデータ３２１４、およびオペレーティングシステム３２１６も示す。例として、オペレーティングシステム３２１６は、様々なバージョンのMicrosoft Windows（登録商標）、Apple Macintosh（登録商標）、および／もしくはLinux（登録商標）オペレーティングシステム、様々な市販のUNIX（登録商標）もしくはUNIX様オペレーティングシステム（様々なGNU/Linuxオペレーティングシステム、Google Chrome（登録商標）ＯＳなどを含むが、これらに限定されない）、ならびに／またはiOS, Windows（登録商標）Phone, Android（登録商標）ＯＳ、BlackBerry（登録商標）１０ＯＳ、およびPalm（登録商標）ＯＳオペレーティングシステムなどのモバイルオペレーティングシステムを含んでもよい。

記憶サブシステム３２１８はまた、いくつかの実施形態の機能性を提供する基本的なプログラミングおよびデータ構造を記憶するための有形のコンピュータ可読記憶媒体も提供してもよい。プロセッサによって実行されると上述の機能を提供するソフトウェア（プログラム、コードモジュール、命令）が、ストレージサブシステム３２１８に格納されてもよい。これらのソフトウェアモジュールまたは命令は、処理ユニット３２０４によって実行されてもよい。ストレージサブシステム３２１８はまた、本開示に従って使用されるデータを記憶するためのリポジトリを提供してもよい。

ストレージサブシステム３２００はまた、コンピュータ可読記憶媒体３２２２にさらに接続され得るコンピュータ可読記憶媒体リーダ３２２０を含み得る。システムメモリ３２１０とともに、およびオプションとして、システムメモリ３２１０と組み合わせて、コンピュータ可読記憶媒体３２２２は、コンピュータ可読情報を、一時的および／またはより恒久的に収容、記憶、伝送、および検索するために、遠隔の、ローカルな、固定された、および／またはリムーバブルなストレージデバイスに記憶媒体を加えたものを包括的に表してもよい。

コードまたはコードの一部を含むコンピュータ可読記憶媒体３２２２はまた、限定はしないが、情報の記憶および／または伝送のための任意の方法または技術で実現される揮発性および不揮発性の、リムーバブルおよび非リムーバブル媒体などの、記憶媒体ならびに通信媒体を含む、当該技術において公知であるかまたは用いられる任意の適切な媒体を含むことができる。これは、ＲＡＭ、ＲＯＭ、電子的に消去可能プログラマブルＲＯＭ（ＥＥＰＲＯＭ）、フラッシュメモリもしくは他のメモリ技術、ＣＤ－ＲＯＭ、デジタル多用途ディスク（ＤＶＤ）、または他の光学記憶装置、磁気カセット、磁気テープ、磁気ディスク記憶装置もしくは他の磁気記憶装置、または他の有形のコンピュータ可読媒体等の有形のコンピュータ可読記憶媒体を含んでもよい。これはまた、データ信号、データ伝送、または所望の情報を伝送するために使用することができ、コンピューティングシステム３２００によってアクセスすることができる、任意の他の媒体等の非有形のコンピュータ可読媒体を含むことができる。

例として、コンピュータ可読記憶媒体３２２２は、非リムーバブル不揮発性磁気媒体に対して読み書きするハードディスクドライブ、リムーバブル不揮発性磁気ディスクに対して読み書きする磁気ディスクドライブ、ＣＤ ＲＯＭ、ＤＶＤおよびBlu-Ray（登録商標）ディスクなどの、リムーバブル不揮発性光ディスクに対して読み書きする光ディスクドライブ、または他の光学媒体を含んでもよい。コンピュータ可読記憶媒体３２２２は、Ｚｉｐ（登録商標）ドライブ、フラッシュメモリカード、ユニバーサルシリアルバス（ＵＳＢ）フラッシュドライブ、セキュアデジタル（ＳＤ）カード、ＤＶＤディスク、デジタルビデオテープなどを含んでもよいが、これらに限定されない。コンピュータ可読記憶媒体３２２２はまた、フラッシュメモリベースのＳＳＤ、エンタープライズフラッシュドライブ、ソリッドステートＲＯＭなどの不揮発性メモリに基づくソリッドステートドライブ（ＳＳＤ）、ソリッドステートＲＡＭ、ダイナミックＲＡＭ、スタティックＲＡＭなどの揮発性メモリに基づくＳＳＤ、ＤＲＡＭベースのＳＳＤ、磁気抵抗ＲＡＭ（ＭＲＡＭ）ＳＳＤ、およびＤＲＡＭとフラッシュメモリベースのＳＳＤとの組み合わせを使用するハイブリッドＳＳＤも含んでもよい。ディスクドライブおよびそれらに関連付けられるコンピュータ可読媒体は、コンピュータ可読命令、データ構造、プログラムモジュール、および他のデータの不揮発性記憶をコンピュータシステム３２００に提供してもよい。

通信サブシステム３２２４は、他のコンピュータシステムおよびネットワークに対するインターフェイスを提供する。通信サブシステム３２２４は、他のシステムとコンピュータシステム３２００との間のデータの送受のためのインターフェイスとして働く。例えば、通信サブシステム３２２４は、コンピュータシステム３２００がインターネットを介して１つ以上のデバイスに接続することを可能にしてもよい。いくつかの実施形態では、通信サブシステム３２２４は、（たとえば、セルラー電話技術、３Ｇ、４ＧもしくはＥＤＧＥ（グローバル進化のための高速データレート）などの先進データネットワーク技術、ＷｉＦｉ（ＩＥＥＥ８０２．１１ファミリー規格、もしくは他のモバイル通信技術、またはそれらのいずれかの組み合わせを用いて）無線音声および／もしくはデータネットワークにアクセスするための無線周波数（ＲＦ）送受信機コンポーネント、グローバルポジショニングシステム（ＧＰＳ）受信機コンポーネント、ならびに／または他のコンポーネントを含んでもよい。いくつかの実施形態では、通信サブシステム３２２４は、無線インターフェイスに加えて、またはその代わりに、有線ネットワーク接続性（例えば、イーサネット（登録商標））を提供することができる。

いくつかの実施形態では、通信サブシステム３２２４はまた、コンピュータシステム３２００を使用してもよい１人以上のユーザの代わりに、構造化されたおよび／または構造化されていないデータフィード３２２６、イベントストリーム３２２８、イベント更新３２３０等の形式で入力通信を受信してもよい。

例として、通信サブシステム３２２４は、Twitter（登録商標）フィード、Facebook（登録商標）更新、Rich Site Summary（ＲＳＳ）フィードなどのウェブフィード、および／もしくは１つ以上の第三者情報源からのリアルタイム更新などの、ソーシャルネットワークならびに／または他の通信サービスのユーザからリアルタイムでデータフィード３２２６を受信するよう構成されてもよい。

加えて、通信サブシステム３２２４はまた、連続データストリームの形式でデータを受信するよう構成されてもよく、これは、明示的な終端を伴わない、本質的に連続的または無限であってもよい、リアルタイムイベントのイベントストリーム３２２８および／またはイベント更新３２３０を含んでもよい。連続データを生成するアプリケーションの例としては、たとえば、センサデータアプリケーション、金融株式相場表示板、ネットワーク性能測定ツール（たとえば、ネットワーク監視およびトラフィック管理アプリケーション）、クリックストリーム解析ツール、自動車交通監視などが含まれてもよい。

通信サブシステム３２２４はまた、構造化されたおよび／または構造化されていないデータフィード３２２６、イベントストリーム３２２８、イベント更新３２３０などを、コンピュータシステム３２００に結合される１つ以上のストリーミングデータソースコンピュータと通信してもよい１つ以上のデータベースに出力するよう構成されてもよい。

コンピュータシステム３２００は、ハンドヘルドポータブルデバイス（例えば、iPhone（登録商標）携帯電話、iPad（登録商標）コンピューティングタブレット、ＰＤＡ）、ウェアラブルデバイス（例えば、Google Glass（登録商標）ヘッドマウントディスプレイ）、ＰＣ、ワークステーション、メインフレーム、キオスク、サーバラック、または任意の他のデータ処理システムを含む、種々のタイプの１つとすることができる。

常に変化するコンピュータおよびネットワークの性質のため、図に示されるコンピュータシステム３２００の記載は、単に具体的な例として意図される。図に描写されるシステムより多いまたは少ないコンポーネントを有する、多くの他の構成が可能である。たとえば、カスタマイズされたハードウェアも使用されるかもしれず、および／または、特定の要素が、ハードウェア、ファームウェア、ソフトウェア（アプレットを含む）、または組み合わせで実現されるかもしれない。さらに、ネットワーク入力／出力デバイス等の他のコンピューティングデバイスへの接続が採用されてもよい。本明細書に提供される開示および教示に基づいて、当業者は、種々の実施形態を実現するために、他の態様および／または方法を理解するであろう。

本開示の特定の実施形態について説明してきたが、様々な修正、変更、代替構成、および均等物も本開示の範囲内に包含される。本開示の実施形態は、ある特定のデータ処理環境内での動作に限定されず、複数のデータ処理環境内で自由に動作することができる。加えて、本開示の実施形態は、特定の一連のトランザクションおよびステップを使用して説明されているが、本開示の範囲は、説明された一連のトランザクションおよびステップに限定されないことが、当業者に明白となるはずである。上述した実施形態のさまざまな特徴および局面は、個別にまたはともに用いられてもよい。

さらに、本開示の実施形態は、ハードウェアおよびソフトウェアの特定の組み合わせを使用して説明されたが、ハードウェアおよびソフトウェアの他の組み合わせも本開示の範囲内であることを認識されたい。本開示の実施形態は、ハードウェアのみで、またはソフトウェアのみで、またはそれらの組合せを使用して実現されてもよい。本明細書に記載されたさまざまなプロセスは、同じプロセッサまたは任意の組み合わせの異なるプロセッサ上で実現され得る。したがって、構成要素またはモジュールが特定の動作を実行するように構成されるとして記載されている場合、そのような構成は、たとえば、動作を実行する電子回路を設計すること、プログラミング可能な電子回路（マイクロプロセッサなど）をプログラミングして動作を実行すること、またはそれらの任意の組み合わせによって達成され得る。プロセスは、プロセス間通信のための従来の技術を含むがこれに限定されないさまざまな技術を用いて通信することができ、異なる対のプロセスが異なる技術を用いてもよく、同じ対のプロセスが異なる時間に異なる技術を用いてもよい。

したがって、明細書および図面は、限定的な意味ではなく例示的な意味で見なされるべきである。しかしながら、特許請求の範囲に記載された、より広範な精神および範囲から逸脱することなく、追加、削減、削除、ならびに他の修正および変更がなされ得ることは明らかであろう。したがって、特定の開示の実施形態を説明してきたが、これらは限定を意図するものではない。さまざまな修正および均等物が、特許請求の範囲内にある。

開示された実施形態を説明する文脈における（特に特許請求の範囲の文脈における）文言「ある（a）」および「ある（an）」および「その（the）」ならびに同様の指示対象の使用は、本明細書において別段の指示がない限り、または文脈によって明らかに矛盾しない限り、単数形および複数形の両方を包含すると解釈されるべきである。文言「備える（comprising）」、「有する（having）」、「含む（including）」、および「含有する（containing）」は、特に断らない限り、非限定的な文言（すなわち、「～を含むがそれに限定されない」を意味する）として解釈されるべきである。「接続される」という文言は、何かが介在する場合であっても、部分的または全体的に内部に含まれる、取り付けられる、または共に合わせられるものとして解釈されるべきである。本明細書における値の範囲の記載は、本明細書において別段の指示がない限り、単に、その範囲内に入る各別個の値を個々に言及する簡潔な方法としての役割を果たすことを意図しており、各別個の値は、あたかもそれが本明細書において個々に記載されているかのように本明細書に組み込まれる。本明細書に記載されるすべての方法は、本明細書に別段の指示がない限り、または文脈によって明らかに矛盾しない限り、任意の好適な順序で実施され得る。本明細書で提供される任意のおよびすべての例、または例示的な言葉（例えば、「など」）の使用は、単に、本開示の実施形態をよりよく説明することを意図するものであり、別段の請求がない限り、本開示の範囲を限定するものではない。本明細書におけるいかなる文言も、任意の請求されていない要素を本開示の実施に不可欠であることを示すものとして解釈されるべきではない。

句「Ｘ、Ｙ、またはＺの少なくとも１つ」などの離接的文言は、特に別段の記載がない限り、項目、用語などがＸ、Ｙ、もしくはＺ、またはそれらの任意の組合せ（例えば、Ｘ、Ｙ、および／またはＺ）のいずれかであってもよいことを提示するために一般に使用される文脈内で理解されることが意図される。したがって、そのような離接的文言は、概して、ある実施形態が、Ｘの少なくとも１つ、Ｙの少なくとも１つ、またはＺの少なくとも１つが各々存在することを必要とすることを包含するよう意図せず、および包含するべきではない。

本開示を実施するために公知の最良の形態を含む、本開示の好ましい実施形態が本明細書に記載されている。これらの好ましい実施形態の変形例は、前述の説明を読めば当業者には明らかになるであろう。当業者は、適宜、そのような変形例を採用することができるはずであり、本開示は、本明細書に具体的に説明されるものとは別様に実践されてもよい。したがって、本開示は、適用可能な法によって許可されるように、特許請求の範囲に記載される主題のすべての修正物および均等物を含む。さらに、そのすべての可能な変形物における上記の要素の任意の組み合わせは、本明細書において別段の指示がない限り、本開示によって包含される。

本明細書に引用される刊行物、特許出願、および特許を含むすべての引用文献は、あたかも各引用文献が個々にかつ具体的に引用により援用されるよう示され、その全体がここに記載されるのと同程度に、ここに引用により援用される。

上記の明細書では、本開示の局面についてその具体的な実施形態を参照して説明しているが、本開示はそれに限定されるものではないということを当業者は認識するであろう。上記の開示のさまざまな特徴および局面は、個々にまたは一緒に用いられてもよい。さらに、実施形態は、本明細書の、より広い精神および範囲から逸脱することなく、本明細書に説明されるものを超えて、任意の数の環境および用途において利用され得る。したがって、明細書および図面は、限定的ではなく例示的であると見なされるべきである。

Claims (20)

1. 方法であって、
   コンピュータシステムが、ブロックボリュームを予約する要求を受信することを含み、前記要求はセッションマネージャサービスから受信され、前記方法はさらに、
   前記コンピュータシステムが、前記ブロックボリュームを予約することと、
   前記コンピュータシステムが、前記ブロックボリュームのデータセンタ識別子を識別することと、
   前記コンピュータシステムが、前記ブロックボリュームの前記データセンタ識別子を前記セッションマネージャサービスに返すことと、
   前記コンピュータシステムが、前記ブロックボリュームをアタッチすることと、
   前記コンピュータシステムが、前記ブロックボリュームを解放する命令を前記セッションマネージャサービスから受信することと、
   前記コンピュータシステムが、前記ブロックボリュームに記憶されたデータを含む前記ブロックボリュームのバックアップを作成することと、
   前記コンピュータシステムが、前記ブロックボリュームを解放することとを含む、方法。
2. 前記要求はユーザ識別子を含み、前記ブロックボリュームを予約することは、
   前記ユーザ識別子に対応するユーザに、登録されたブロックボリュームが割り当てられているか否かを判定することと、
   登録されたブロックボリュームが前記ユーザに割り当てられていることに応じて、前記登録されたブロックボリュームを予約することと、
   登録されたブロックボリュームが前記ユーザ識別子に対応するユーザに割り当てられていないことに応じて、空のボリュームのプールから空のボリュームを予約することとを含み、前記空のボリュームはセキュアクラウドシェルとドッキングするように予めフォーマットされる、請求項１に記載の方法。
3. 前記方法はさらに、
   前記セッションマネージャサービスから、前記ブロックボリュームを復元する要求を受信することと、
   前記ブロックボリュームの前記バックアップを用いて復元ボリュームを作成することとを含み、前記復元ボリュームは、前記ブロックボリュームに記憶されたデータを含み、前記方法はさらに、
   前記復元ボリュームのデータセンタ識別子を前記セッションマネージャサービスに返すことを含む、請求項１に記載の方法。
4. 前記ブロックボリュームの前記バックアップは、前記バックアップの識別子をさらに含み、前記復元ボリュームを作成することは、
   空のボリュームのプールから空のブロックボリュームを予約することを含み、前記空のブロックボリュームはセキュアクラウドシェルとドッキングするように予めフォーマットされ、前記復元ボリュームを作成することはさらに、
   前記バックアップの前記識別子を用いて前記ブロックボリュームの前記バックアップを検索することと、
   前記空のブロックボリューム上に前記ブロックボリュームの前記バックアップをロードすることに少なくとも部分的によって、前記空のブロックボリュームをプロビジョニングすることと、
   前記空のブロックボリュームの前記データセンタ識別子を前記復元ボリュームの前記データセンタ識別子として識別することとを含む、請求項３に記載の方法。
5. 保持期間中に前記ブロックボリュームを保持することをさらに含む、請求項１に記載の方法。
6. 前記ブロックボリュームの前記バックアップを作成することは、前記ブロックボリュームのディスクイメージを作成することを含む、請求項１に記載の方法。
7. 前記ブロックボリュームの前記バックアップを作成することは、
   前記ブロックボリュームのデータをオブジェクトデータに変換することと、
   前記オブジェクトデータをオブジェクトストレージシステムに記憶することとを含む、請求項１に記載の方法。
8. コンピュータシステムであって、
   １つ以上のプロセッサと、
   前記１つ以上のプロセッサと通信するメモリとを含み、前記メモリは、コンピュータ実行可能命令を記憶するよう構成され、前記コンピュータ実行可能命令を実行することは、前記１つ以上のプロセッサに、ステップを実行させ、前記ステップは、
   コンピュータシステムが、ブロックボリュームを予約する要求を受信することを含み、前記要求はセッションマネージャサービスから受信され、前記ステップはさらに、
   前記コンピュータシステムが、前記ブロックボリュームを予約することと、
   前記コンピュータシステムが、前記ブロックボリュームのデータセンタ識別子を識別することと、
   前記コンピュータシステムが、前記ブロックボリュームの前記データセンタ識別子を前記セッションマネージャサービスに返すことと、
   前記コンピュータシステムが、前記ブロックボリュームをアタッチすることと、
   前記コンピュータシステムが、前記ブロックボリュームを解放する命令を前記セッションマネージャサービスから受信することと、
   前記コンピュータシステムが、前記ブロックボリュームに記憶されたデータを含む前記ブロックボリュームのバックアップを作成することと、
   前記コンピュータシステムが、前記ブロックボリュームを解放することとを含む、コンピュータシステム。
9. 前記要求はユーザ識別子を含み、前記ブロックボリュームを予約することは、
   前記ユーザ識別子に対応するユーザに、登録されたブロックボリュームが割り当てられているか否かを判定することと、
   登録されたブロックボリュームが前記ユーザに割り当てられていることに応じて、前記登録されたブロックボリュームを予約することと、
   登録されたブロックボリュームが前記ユーザ識別子に対応するユーザに割り当てられていないことに応じて、空のボリュームのプールから空のボリュームを予約することとを含み、前記空のボリュームはセキュアクラウドシェルとドッキングするように予めフォーマットされる、請求項８に記載のコンピュータシステム。
10. 前記コンピュータ実行可能命令を実行することは、さらに、前記１つ以上のプロセッサにステップを実行させ、前記ステップは、
    前記セッションマネージャサービスから、前記ブロックボリュームを復元する要求を受信することと、
    前記ブロックボリュームの前記バックアップを用いて復元ボリュームを作成することとを含み、前記復元ボリュームは、前記ブロックボリュームに記憶されたデータを含み、前記ステップはさらに、
    前記復元ボリュームのデータセンタ識別子を前記セッションマネージャサービスに返すことを含む、請求項８に記載のコンピュータシステム。
11. 前記ブロックボリュームの前記バックアップは、前記バックアップの識別子をさらに含み、前記復元ボリュームを作成することは、
    空のボリュームのプールから空のブロックボリュームを予約することを含み、前記空のブロックボリュームはセキュアクラウドシェルとドッキングするように予めフォーマットされ、前記復元ボリュームを作成することはさらに、
    前記バックアップの前記識別子を用いて前記ブロックボリュームの前記バックアップを検索することと、
    前記空のブロックボリューム上に前記ブロックボリュームの前記バックアップをロードすることに少なくとも部分的によって、前記空のブロックボリュームをプロビジョニングすることと、
    前記空のブロックボリュームの前記データセンタ識別子を前記復元ボリュームの前記データセンタ識別子として識別することとを含む、請求項１０に記載のコンピュータシステム。
12. 前記コンピュータ実行可能命令を実行することはさらに、前記１つ以上のプロセッサに、保持期間中に前記ブロックボリュームを保持することを含むステップを実行させる、請求項８に記載のコンピュータシステム。
13. 前記ブロックボリュームの前記バックアップを作成することは、前記ブロックボリュームのディスクイメージを作成することを含む、請求項８に記載のコンピュータシステム。
14. 前記ブロックボリュームの前記バックアップを作成することは、
    前記ブロックボリュームのデータをオブジェクトデータに変換することと、
    前記オブジェクトデータをオブジェクトストレージシステムに記憶することとを含む、請求項８に記載のコンピュータシステム。
15. 実行されると、コンピュータシステムの１つ以上のプロセッサにステップを実行させるコンピュータ実行可能命令を記憶する、コンピュータ可読記憶媒体であって、前記ステップは、
    コンピュータシステムが、ブロックボリュームを予約する要求を受信することを含み、前記要求はセッションマネージャサービスから受信され、前記ステップはさらに、
    前記コンピュータシステムが、前記ブロックボリュームを予約することと、
    前記コンピュータシステムが、前記ブロックボリュームのデータセンタ識別子を識別することと、
    前記コンピュータシステムが、前記ブロックボリュームの前記データセンタ識別子を前記セッションマネージャサービスに返すことと、
    前記コンピュータシステムが、前記ブロックボリュームをアタッチすることと、
    前記コンピュータシステムが、前記ブロックボリュームを解放する命令を前記セッションマネージャサービスから受信することと、
    前記コンピュータシステムが、前記ブロックボリュームに記憶されたデータを含む前記ブロックボリュームのバックアップを作成することと、
    前記コンピュータシステムが、前記ブロックボリュームを解放することとを含む、コンピュータ可読記憶媒体。
16. 前記要求はユーザ識別子を含み、前記ブロックボリュームを予約することは、
    前記ユーザ識別子に対応するユーザに、登録されたブロックボリュームが割り当てられているか否かを判定することと、
    登録されたブロックボリュームが前記ユーザに割り当てられていることに応じて、前記登録されたブロックボリュームを予約することと、
    登録されたブロックボリュームが前記ユーザ識別子に対応するユーザに割り当てられていないことに応じて、空のボリュームのプールから空のボリュームを予約することとを含み、前記空のボリュームはセキュアクラウドシェルとドッキングするように予めフォーマットされる、請求項１５に記載のコンピュータ可読記憶媒体。
17. 前記コンピュータ実行可能命令を実行することは、さらに、前記１つ以上のプロセッサにステップを実行させ、前記ステップは、
    前記セッションマネージャサービスから、前記ブロックボリュームを復元する要求を受信することと、
    前記ブロックボリュームの前記バックアップを用いて復元ボリュームを作成することとを含み、前記復元ボリュームは、前記ブロックボリュームに記憶されたデータを含み、前記ステップはさらに、
    前記復元ボリュームのデータセンタ識別子を前記セッションマネージャサービスに返すことを含む、請求項１５に記載のコンピュータ可読記憶媒体。
18. 前記ブロックボリュームの前記バックアップは、前記バックアップの識別子をさらに含み、前記復元ボリュームを作成することは、
    空のボリュームのプールから空のブロックボリュームを予約することを含み、前記空のブロックボリュームはセキュアクラウドシェルとドッキングするように予めフォーマットされ、前記復元ボリュームを作成することはさらに、
    前記バックアップの前記識別子を用いて前記ブロックボリュームの前記バックアップを検索することと、
    前記空のブロックボリューム上に前記ブロックボリュームの前記バックアップをロードすることに少なくとも部分的によって、前記空のブロックボリュームをプロビジョニングすることと、
    前記空のブロックボリュームの前記データセンタ識別子を前記復元ボリュームの前記データセンタ識別子として識別することとを含む、請求項１７に記載のコンピュータ可読記憶媒体。
19. 前記コンピュータ実行可能命令を実行することはさらに、前記１つ以上のプロセッサに、保持期間中に前記ブロックボリュームを保持することを含むステップを実行させる、請求項１５に記載のコンピュータ可読記憶媒体。
20. 前記ブロックボリュームの前記バックアップを作成することは、
    前記ブロックボリュームのデータをオブジェクトデータに変換することと、
    前記オブジェクトデータをオブジェクトストレージシステムに記憶することとを含む、請求項１５に記載のコンピュータ可読記憶媒体。

Images