JP2024502770A - ネットワーク仮想化デバイスにおいて顧客管理キーを使用して顧客ｖｃｎネットワーク暗号化を提供するメカニズム - Google Patents
ネットワーク仮想化デバイスにおいて顧客管理キーを使用して顧客ｖｃｎネットワーク暗号化を提供するメカニズム Download PDFInfo
- Publication number
- JP2024502770A JP2024502770A JP2023538778A JP2023538778A JP2024502770A JP 2024502770 A JP2024502770 A JP 2024502770A JP 2023538778 A JP2023538778 A JP 2023538778A JP 2023538778 A JP2023538778 A JP 2023538778A JP 2024502770 A JP2024502770 A JP 2024502770A
- Authority
- JP
- Japan
- Prior art keywords
- vcn
- key
- network
- virtual
- customer
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Pending
Links
- 230000007246 mechanism Effects 0.000 title description 6
- 238000012545 processing Methods 0.000 claims description 45
- 238000000034 method Methods 0.000 claims description 37
- 230000008569 process Effects 0.000 claims description 20
- 230000003068 static effect Effects 0.000 claims description 5
- 239000003990 capacitor Substances 0.000 claims description 3
- 230000006870 function Effects 0.000 abstract description 52
- 238000012546 transfer Methods 0.000 abstract description 4
- 238000001152 differential interference contrast microscopy Methods 0.000 abstract 1
- 238000004891 communication Methods 0.000 description 69
- 238000007726 management method Methods 0.000 description 47
- 238000003860 storage Methods 0.000 description 40
- 238000010586 diagram Methods 0.000 description 25
- 239000002184 metal Substances 0.000 description 21
- 230000006855 networking Effects 0.000 description 18
- 238000005516 engineering process Methods 0.000 description 10
- 238000012986 modification Methods 0.000 description 9
- 230000004048 modification Effects 0.000 description 9
- 238000005538 encapsulation Methods 0.000 description 7
- 238000013519 translation Methods 0.000 description 7
- 238000013507 mapping Methods 0.000 description 6
- 238000012544 monitoring process Methods 0.000 description 6
- 230000004044 response Effects 0.000 description 6
- 230000005540 biological transmission Effects 0.000 description 4
- 238000013478 data encryption standard Methods 0.000 description 4
- 239000011521 glass Substances 0.000 description 4
- 230000003287 optical effect Effects 0.000 description 4
- 230000002093 peripheral effect Effects 0.000 description 4
- 238000013403 standard screening design Methods 0.000 description 4
- 230000000295 complement effect Effects 0.000 description 3
- 230000001010 compromised effect Effects 0.000 description 3
- 230000010076 replication Effects 0.000 description 3
- 230000000007 visual effect Effects 0.000 description 3
- 235000008694 Humulus lupulus Nutrition 0.000 description 2
- 241000699670 Mus sp. Species 0.000 description 2
- 230000001133 acceleration Effects 0.000 description 2
- 239000003795 chemical substances by application Substances 0.000 description 2
- 238000013461 design Methods 0.000 description 2
- 239000004744 fabric Substances 0.000 description 2
- 230000036541 health Effects 0.000 description 2
- 238000002955 isolation Methods 0.000 description 2
- 230000033001 locomotion Effects 0.000 description 2
- 238000011084 recovery Methods 0.000 description 2
- 230000009466 transformation Effects 0.000 description 2
- VYZAMTAEIAYCRO-UHFFFAOYSA-N Chromium Chemical compound [Cr] VYZAMTAEIAYCRO-UHFFFAOYSA-N 0.000 description 1
- 241000238558 Eucarida Species 0.000 description 1
- 238000007792 addition Methods 0.000 description 1
- 230000004931 aggregating effect Effects 0.000 description 1
- 238000004458 analytical method Methods 0.000 description 1
- 230000000903 blocking effect Effects 0.000 description 1
- 238000002591 computed tomography Methods 0.000 description 1
- 238000007796 conventional method Methods 0.000 description 1
- 230000002354 daily effect Effects 0.000 description 1
- 238000013506 data mapping Methods 0.000 description 1
- 238000012217 deletion Methods 0.000 description 1
- 230000037430 deletion Effects 0.000 description 1
- 230000001066 destructive effect Effects 0.000 description 1
- 238000002059 diagnostic imaging Methods 0.000 description 1
- 238000009826 distribution Methods 0.000 description 1
- 230000000694 effects Effects 0.000 description 1
- 230000003203 everyday effect Effects 0.000 description 1
- 230000004424 eye movement Effects 0.000 description 1
- 238000003780 insertion Methods 0.000 description 1
- 230000037431 insertion Effects 0.000 description 1
- 230000010354 integration Effects 0.000 description 1
- 239000004973 liquid crystal related substance Substances 0.000 description 1
- 238000000786 liquid-assisted grinding Methods 0.000 description 1
- 238000002595 magnetic resonance imaging Methods 0.000 description 1
- 238000012423 maintenance Methods 0.000 description 1
- 238000004519 manufacturing process Methods 0.000 description 1
- 238000005259 measurement Methods 0.000 description 1
- 238000010295 mobile communication Methods 0.000 description 1
- 230000008520 organization Effects 0.000 description 1
- 238000005192 partition Methods 0.000 description 1
- 238000002600 positron emission tomography Methods 0.000 description 1
- 230000009467 reduction Effects 0.000 description 1
- 238000006722 reduction reaction Methods 0.000 description 1
- 238000000926 separation method Methods 0.000 description 1
- 239000000758 substrate Substances 0.000 description 1
- 230000008685 targeting Effects 0.000 description 1
- 238000000844 transformation Methods 0.000 description 1
- 238000013024 troubleshooting Methods 0.000 description 1
- 238000002604 ultrasonography Methods 0.000 description 1
- 238000010200 validation analysis Methods 0.000 description 1
- 230000003442 weekly effect Effects 0.000 description 1
Images
Classifications
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
- H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
- H04L9/0894—Escrow, recovery or storing of secret information, e.g. secret key escrow or cryptographic key storage
- H04L9/0897—Escrow, recovery or storing of secret information, e.g. secret key escrow or cryptographic key storage involving additional devices, e.g. trusted platform module [TPM], smartcard or USB
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F9/00—Arrangements for program control, e.g. control units
- G06F9/06—Arrangements for program control, e.g. control units using stored programs, i.e. using an internal store of processing equipment to receive or retain programs
- G06F9/44—Arrangements for executing specific programs
- G06F9/455—Emulation; Interpretation; Software simulation, e.g. virtualisation or emulation of application or operating system execution engines
- G06F9/45533—Hypervisors; Virtual machine monitors
- G06F9/45558—Hypervisor-specific management and integration aspects
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
- H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
- H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
- H04L63/0435—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload wherein the sending and receiving network entities apply symmetric encryption, i.e. same key used for encryption and decryption
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
- H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
- H04L9/0891—Revocation or update of secret information, e.g. encryption key update or rekeying
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
- H04L9/14—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols using a plurality of keys or algorithms
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F9/00—Arrangements for program control, e.g. control units
- G06F9/06—Arrangements for program control, e.g. control units using stored programs, i.e. using an internal store of processing equipment to receive or retain programs
- G06F9/44—Arrangements for executing specific programs
- G06F9/455—Emulation; Interpretation; Software simulation, e.g. virtualisation or emulation of application or operating system execution engines
- G06F9/45533—Hypervisors; Virtual machine monitors
- G06F9/45558—Hypervisor-specific management and integration aspects
- G06F2009/45562—Creating, deleting, cloning virtual machine instances
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F9/00—Arrangements for program control, e.g. control units
- G06F9/06—Arrangements for program control, e.g. control units using stored programs, i.e. using an internal store of processing equipment to receive or retain programs
- G06F9/44—Arrangements for executing specific programs
- G06F9/455—Emulation; Interpretation; Software simulation, e.g. virtualisation or emulation of application or operating system execution engines
- G06F9/45533—Hypervisors; Virtual machine monitors
- G06F9/45558—Hypervisor-specific management and integration aspects
- G06F2009/45575—Starting, stopping, suspending or resuming virtual machine instances
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F9/00—Arrangements for program control, e.g. control units
- G06F9/06—Arrangements for program control, e.g. control units using stored programs, i.e. using an internal store of processing equipment to receive or retain programs
- G06F9/44—Arrangements for executing specific programs
- G06F9/455—Emulation; Interpretation; Software simulation, e.g. virtualisation or emulation of application or operating system execution engines
- G06F9/45533—Hypervisors; Virtual machine monitors
- G06F9/45558—Hypervisor-specific management and integration aspects
- G06F2009/45595—Network integration; Enabling network access in virtual machine instances
Landscapes
- Engineering & Computer Science (AREA)
- Computer Security & Cryptography (AREA)
- Computer Networks & Wireless Communication (AREA)
- Signal Processing (AREA)
- Software Systems (AREA)
- General Engineering & Computer Science (AREA)
- Theoretical Computer Science (AREA)
- Computing Systems (AREA)
- Computer Hardware Design (AREA)
- Physics & Mathematics (AREA)
- General Physics & Mathematics (AREA)
- Data Exchanges In Wide-Area Networks (AREA)
- Computer And Data Communications (AREA)
Abstract
顧客が仮想クラウドネットワークでネットワークキーを制御できるように、スマートＮＩＣなどのネットワークインターフェイスカードを使用して、仮想マシンのためのネットワーク暗号化仮想機能（ＮＥＶＦ）などの暗号化を提供する。ＮＥＶＦは、メモリデバイス（たとえばＳＲＡＭ）および暗号プロセッサ（たとえば暗号コア）を含む。メモリデバイスは暗号キーを格納する。暗号プロセッサは、暗号キーを使用して仮想クラウドネットワーク内の仮想マシンへのおよび仮想マシンからのデータを暗号化する。キー管理サービスを使用して、暗号キーをＮＥＶＦにセキュアに転送することができる。仮想マシンごとに１つのＮＥＶＦを有することで、顧客が仮想クラウドネットワークの暗号キーを管理することを可能にすることができる。
Description
関連出願の相互参照
本願は、２０２０年１２月２３日に出願され「ネットワーク仮想化デバイスにおいて顧客管理キーを使用して顧客ＶＣＮネットワーク暗号化を提供するメカニズム（MECHANISM TO PROVIDE CUSTOMER VCN NETWORK ENCRYPTION USING CUSTOMER-MANAGED KEYS IN NETWORK VIRTUALIZATION DEVICE）」と題された米国出願第１７／１３３，５２６号に基づく利益を主張し、その全内容を引用により本明細書に援用する。
本願は、２０２０年１２月２３日に出願され「ネットワーク仮想化デバイスにおいて顧客管理キーを使用して顧客ＶＣＮネットワーク暗号化を提供するメカニズム（MECHANISM TO PROVIDE CUSTOMER VCN NETWORK ENCRYPTION USING CUSTOMER-MANAGED KEYS IN NETWORK VIRTUALIZATION DEVICE）」と題された米国出願第１７／１３３，５２６号に基づく利益を主張し、その全内容を引用により本明細書に援用する。
本願は、２０２０年１２月２３日に出願され「顧客管理キーを使用した顧客オンプレミスネットワークから顧客仮想クラウドネットワークへのエンドツーエンドネットワーク暗号化（END-TO-END NETWORK ENCRYPTION FROM CUSTOMER ON-PREMISE NETWORK TO CUSTOMER VIRTUAL CLOUD NETWORK USING CUSTOMER-MANAGED KEYS）」と題された米国出願第１７／１３３，５２３号に関連しており、その全内容を引用により本明細書に援用する。
背景
仮想クラウドネットワーク（ＶＣＮ）は、カスタマイズ可能なプライベートネットワークである。ＶＣＮは、従来のデータセンターネットワークと同様に、ネットワーク環境を制御する。これには、プライベートＩＰアドレスの割り当て、サブネットの作成、ルートテーブルの作成、およびファイアウォールの構成が含まれる。１つのテナントが複数のＶＣＮを有することができるので、関連リソースのグループ化および分離が可能である。
仮想クラウドネットワーク（ＶＣＮ）は、カスタマイズ可能なプライベートネットワークである。ＶＣＮは、従来のデータセンターネットワークと同様に、ネットワーク環境を制御する。これには、プライベートＩＰアドレスの割り当て、サブネットの作成、ルートテーブルの作成、およびファイアウォールの構成が含まれる。１つのテナントが複数のＶＣＮを有することができるので、関連リソースのグループ化および分離が可能である。
ＶＣＮ内のデータは、セキュリティのために暗号化することができる。暗号化の目的の１つは、正しいキーを知らなければ暗号文を対応する平文に戻すことが非常に難しい（たとえば計算的に実行不可能である）ように、キーに基づいて平文データを解読不能な暗号文に変換することである。対称暗号システムでは、同じデータの暗号化と復号の両方に同じキーを使用する。いくつかの暗号化アルゴリズムでは、キーの長さは１２８ビット、１９２ビット、または２５６ビットであり得る。いくつかの暗号化標準（たとえばデータ暗号化標準（ＤＥＳ））アルゴリズムでは、メッセージデータをＤＥＳアルゴリズムに３回渡すことによって暗号化する。３ＤＥＳは高度なメッセージセキュリティを提供することができるが、パフォーマンスペナルティを伴う。パフォーマンスペナルティの度合いは、暗号化を実行するプロセッサの速度によって異なり得る。RSA Data Security社が開発したＲＣ４アルゴリズムは、高速データ暗号化の国際標準となっている。ＲＣ４は、ＤＥＳの数倍の速度で動作する可変のキー長のストリーム暗号なので、パフォーマンスへの影響を最小限に抑えつつ大量のデータ転送を暗号化することができる。ネットワークデータの暗号化によってデータのプライバシーが守られるため、権限のない者はネットワーク上を通過中の平文データを見ることはできない。
簡単な概要
本開示は、概して仮想クラウドネットワーク（ＶＣＮ）に関する。より具体的には、限定されるものではないが、ＶＣＮホストが１つ以上の暗号化キーへのアクセスを有することなく、顧客が当該暗号化キーを維持および管理することができる、ＶＣＮのデータを暗号化する技術について説明する。ホストが暗号化キーへのアクセスを有していないことで、ＶＣＮのデータセキュリティレベルを高めることができる。方法、システム、１つ以上のプロセッサによって実行可能なプログラム、コード、または命令を格納する非一時的なコンピュータ読取可能記憶媒体などを含む、さまざまな実施形態が本明細書に記載されている。
本開示は、概して仮想クラウドネットワーク（ＶＣＮ）に関する。より具体的には、限定されるものではないが、ＶＣＮホストが１つ以上の暗号化キーへのアクセスを有することなく、顧客が当該暗号化キーを維持および管理することができる、ＶＣＮのデータを暗号化する技術について説明する。ホストが暗号化キーへのアクセスを有していないことで、ＶＣＮのデータセキュリティレベルを高めることができる。方法、システム、１つ以上のプロセッサによって実行可能なプログラム、コード、または命令を格納する非一時的なコンピュータ読取可能記憶媒体などを含む、さまざまな実施形態が本明細書に記載されている。
特定の実施形態では、顧客が仮想クラウドネットワークのネットワーク暗号化キーを制御できるように、ネットワークインターフェイスカード（たとえばスマートＮＩＣ）を使用して、仮想マシンのためのネットワーク暗号化仮想機能（ＮＥＶＦ）などの暗号化を提供する。ＮＥＶＦは、メモリデバイス（たとえばＳＲＡＭ）および暗号プロセッサ（たとえば暗号コア）を含む。メモリデバイスは暗号キーを格納する。暗号プロセッサは、暗号キーを使用して仮想クラウドネットワーク内の仮想マシンへのおよび仮想マシンからのデータを暗号化する。キー管理サービスを使用して、暗号キーをＮＥＶＦにセキュアに転送する。仮想マシンごとに１つのＮＥＶＦを有することで、顧客が仮想クラウドネットワークの暗号化キーを管理することを可能にすることができる。デバイスの管理者（たとえば、ＮＥＶＦを実行するネットワークインターフェイスカードを有するサーバのホスト）は、暗号化キーへのアクセスを有していない。
特定の実施形態では、システムは、第１の仮想化エンジンおよび第２の仮想エンジンを含む。上記第１の仮想エンジンは、第１の仮想マシンをインスタンス化するように構成されている。上記第１の仮想化エンジンは、第１のメモリデバイスおよび第１の暗号プロセッサを含む。上記第１のメモリデバイスは、第１の暗号キーを格納するように構成されている。上記第１の暗号プロセッサは、上記第１の暗号キーを使用して上記第１の仮想マシンへのおよび上記第１の仮想マシンからのデータを暗号化および復号するように構成されている。上記第２の仮想エンジンは、第２の仮想マシンをインスタンス化するように構成されている。上記第２の仮想化エンジンは、第２のメモリデバイスおよび第２の暗号プロセッサを含む。上記第２のメモリデバイスは、第２の暗号キーを格納するように構成されている。上記第２の暗号プロセッサは、上記第２の暗号キーを使用して上記第２の仮想マシンへのおよび上記第２の仮想マシンからのデータを暗号化および復号するように構成されている。上記第１の仮想化エンジンおよび上記第２の仮想化エンジンは、同じデバイス（たとえばネットワークインターフェイスカード）の一部である。上記デバイスの管理者は、上記第１のキーまたは上記第２のキーへのアクセスを有していない。
特定の実施形態では、上記第１の仮想化エンジンは、キー管理サービスから上記第１のキーを受け取るように、および／または上記第１のキーを上記第１のメモリデバイスに保存するように構成され、上記キー管理サービスは、上記デバイスの管理者が顧客のための上記第１のキーへのアクセスを有することなく、上記第１のキーを上記デバイスに提供し、上記第１のメモリデバイスは、コンデンサおよびトランジスタを含むスタティックランダムアクセスメモリデバイスであり、上記第１の仮想化エンジンおよび上記第２の仮想化エンジンは各々、一度に１つの仮想マシンのみをインスタンス化するように構成され、上記第１の仮想マシンは第１の仮想クラウドネットワークの一部であり、上記第２の仮想マシンは第２の仮想クラウドネットワークの一部であり、上記第１の暗号プロセッサは、上記第１の仮想マシンのためのインラインデータ暗号化を提供するように構成され、上記第１の仮想化エンジンは、上記第１の仮想化マシンのためのデータパケットのネットワークルーティングを提供するように構成され、上記第１の暗号キーは上記第２の暗号キーと同じであり、上記デバイスはネットワークインターフェイスカードであり、上記第１のキーおよび／または上記第２のキーは定期的に更新され、上記第１の仮想化エンジンおよび上記第２の仮想化エンジンは、上記キー管理サービスにクレデンシャルを提供して上記第１のキーを受け取り、上記第１の仮想マシンおよび上記第２の仮想マシンは、サブネットの一部であり、上記第１の仮想マシンおよび上記第２の仮想マシンは、異なる仮想クラウドネットワークの一部であり、上記第１のキーおよび上記第２のキーは同時にリフレッシュされる。
さらに他の実施形態では、方法は、第１の仮想化エンジンを使用して第１の仮想マシンをインスタンス化することと、第２の仮想化エンジンを使用して第２の仮想マシンをインスタンス化することと、上記第１の仮想化エンジンの第１のメモリデバイスに第１のキーを格納することと、上記第２の仮想化エンジンの第２のメモリデバイスに第２のキーを格納することと、第１の暗号プロセッサを使用して上記第１の仮想マシンのデータを暗号化することとを含み、上記第１の暗号プロセッサは上記第１の仮想化エンジンの一部であり、および／または、第２の暗号プロセッサを使用して上記第２の仮想エンジンのデータを暗号化することを含み、上記第２の暗号プロセッサは上記第２の仮想化エンジンの一部である。上記第１の仮想化エンジンおよび上記第２の仮想化エンジンは、同じデバイスの一部である。上記デバイスの管理者は、上記第１のキーまたは上記第２のキーへのアクセスを有していない。
上記の内容は、他の特徴および実施形態とともに、以下の明細書、特許請求の範囲、および添付の図面を参照することでより明らかになるであろう。
詳細な説明
添付の図面では、同様の構成要素および／または特徴は同じ参照レベルを有し得る。さらに、同様の構成要素同士を区別するダッシュおよび第２のラベルが当該参照ラベルの後に続くことによって同じタイプのさまざまな構成要素が区別され得る。第１の参照ラベルのみが本明細書において用いられる場合、第２の参照ラベルに関わらず、当該記載は、同じ第１の参照ラベルを有する同様の構成要素のいずれか１つに適用可能である。
添付の図面では、同様の構成要素および／または特徴は同じ参照レベルを有し得る。さらに、同様の構成要素同士を区別するダッシュおよび第２のラベルが当該参照ラベルの後に続くことによって同じタイプのさまざまな構成要素が区別され得る。第１の参照ラベルのみが本明細書において用いられる場合、第２の参照ラベルに関わらず、当該記載は、同じ第１の参照ラベルを有する同様の構成要素のいずれか１つに適用可能である。
以下の記載では、説明を目的として、特定の実施形態が十分に理解されるようにするために具体的詳細について述べる。しかしながら、これらの具体的詳細がなくても各種実施形態は実施し得ることは明らかである。図面および説明は限定を意図しているのではない。本明細書において「例示的な」という単語は、「１つの例、場合、または実例の役割を果たす」ことを意味するために使用されている。本明細書において「例示的」であると記載されているいかなる実施形態または設計も、必ずしも他の実施形態または設計よりも好ましいまたは好都合であると解釈されることを意図している訳ではない。
仮想クラウドネットワーク（ＶＣＮ）は、カスタマイズ可能なプライベートネットワークである。ホストは、顧客がＶＣＮをセットアップするためのコンピューティングハードウェアおよび／またはソフトウェアを提供し得る。典型的に、ホストは、ＶＣＮの暗号化がある場合は、その暗号化を管理する。顧客は、ホストのデータ漏洩によって顧客データが危険に晒されることを恐れて、またはホストがどれだけの顧客データにアクセスできるかを懸念して、ホストに暗号化を管理させたくない場合がある。本説明は、顧客管理キーを使用してＶＣＮネットワーク暗号化を提供するメカニズムに関する。顧客管理キーは、スマートＮＩＣで配信することができる。スマートＮＩＣは、通常はＣＰＵが対処し得る処理タスクをオフロードするネットワークインターフェイスカード（たとえばネットワークアダプタ）である。スマートＮＩＣは、暗号化、復号、ルーティング、ファイアウォールなどの機能を実行することができる。
スマートＮＩＣは、専用の暗号アクセラレータおよび／またはＳＲＡＭでネットワーク暗号化仮想機能（ＮＥＶＦ）をサポートするために使用することができる。暗号アクセラレータは、インラインパケット暗号化に使用することができる。ＳＲＡＭは、暗号化キーを格納するために使用することができる。顧客仮想マシン（顧客仮想マシンは顧客ＶＣＮの一部である）に割り当てられたＮＥＶＦは、仮想マシンネットワークトラフィック暗号化のために、および暗号化キーを格納するために、使用することができる。ハイパーバイザは、顧客仮想マシンをＮＥＶＦにマッピングすることができる。暗号化キーは、顧客ＶＣＮインスタンス（たとえば仮想マシン（ＶＭ）および／またはベアメタル（ＢＭ））内のＮＥＶＦにおいてセキュアにプロビジョニングすることができる。
顧客ＶＣＮインスタンス間で交換されるトラフィックは、ＮＥＶＦにおいてプロビジョニングされた暗号化キーで暗号化される。ＶＣＮ内の各インスタンスは、同じ暗号化キーを共有する（たとえば日和見暗号化）。制御プレーンは、ＶＣＮ内の顧客インスタンス（ＶＭおよび／またはＢＭ）のネットワーク暗号化キーをプロビジョニングおよび／または管理することができる。制御プレーンは、顧客仮想機能を認証し、キー管理サービスからの暗号化キーをプロビジョニングするために使用することができる。証明書を使用することで、キー管理サービスおよびＮＩＣは顧客暗号化キーをセキュアに共有することができる。よって、顧客は（たとえばアプリケーションプログラムインターフェイスおよび／またはオペレーティングシステムコマンドを使用して）ネットワーク暗号化キーを管理することができる。いくつかの構成では、ＶＣＮ内のＶＭホスト間で固有のキーが共有される。各ＶＭホストのＮＥＶＦは、キーおよび／またはどのキーを使用するかに関連付けられたメタデータを格納する。
図１を参照して、仮想クラウドネットワークのデータを暗号化するためのシステムの一実施形態の概略図が示されている。ネットワーク仮想化デバイス１００は、第１の仮想化エンジン１０４－１および第２の仮想化エンジン１０４－２を含む。仮想化エンジン１０４は、ベアメタルごとまたは仮想マシンごとに仮想ネットワークインターフェイスカード（ＶＮＩＣ）をインスタンス化して提供する。仮想化エンジン１０４は、ネットワーク暗号化仮想機能（ＮＥＶＦ）とすることができる。ネットワーク仮想化デバイス１００は、専用リソース（たとえばメモリおよび／またはプロセッサ）がアタッチされた物理カード（たとえばスマートＮＩＣ）とすることができる。いくつかの実施形態では、ネットワーク仮想化デバイス１００は、ＳｍａｒｔＴＯＲ、ネットワークアプライアンス、またはサービスホストである。
クラウドサービスプロバイダインフラストラクチャ内のパケットのルーティングおよび／または転送は、ネットワーク仮想化デバイスによって実行することができる。ネットワーク仮想化デバイスは、仮想ネットワークインターフェイスカード（ＶＮＩＣ）、仮想ルータ、仮想ネットワークゲートウェイ、およびネットワーク暗号化仮想機能などの、１つ以上の仮想ネットワーク機能を実現することができる。ネットワーク仮想化デバイスは、ソフトウェア（たとえばプロセッサによって実行されるコードまたは命令）を使用して実現される仮想オブジェクトである。ネットワーク仮想化デバイスは、仮想ルータなどの仮想機能を実行するハードウェアコンポーネントである（たとえば、仮想ルータデバイスは、仮想ルータを実現するコードを実行する物理デバイスである）。たとえば、ＶＮＩＣはスマートＮＩＣによって実行され、スマートＮＩＣはネットワーク仮想化デバイスである。ＶＮＩＣがホストマシンによって実行される場合、ホストマシンはネットワーク仮想化デバイスである。いくつかの実施形態では、仮想ルータはトップオブラック（ＴＯＲ）スイッチによって実行される（ＴＯＲは仮想ルータデバイスである）。スマートＮＩＣはネットワーク仮想化デバイスの一例に過ぎない。
仮想マシン１０８は、あるコンピュータの内部の別個のコンピュータのように動作する、当該あるコンピュータ上のプログラムである。仮想マシンは、仮想化ソフトウェアを使用して作成することができる。仮想マシン１０８はさまざまな仮想機能を実行することができる。
仮想化エンジン１０４は、メモリデバイス１１２および暗号プロセッサ１１６を含む。メモリデバイス１１２は、暗号キーなどのキーを格納するように構成されている。いくつかの実施形態では、メモリデバイス１１２は、コンデンサおよびトランジスタを含むスタティックランダムアクセスメモリ（ＳＲＡＭ）デバイスである。
暗号プロセッサ１１６は、メモリデバイス１１２に格納されたキーを使用して仮想マシン１０８へのおよび仮想マシン１０８からのデータを暗号化および／または復号するように構成されている。送信パケットＴＸは、仮想マシン１０８から送信されるデータパケットである。受信パケットＲＸは、仮想マシン１０８に送信されるデータパケットである。送信パケットＴＸは、暗号プロセッサ１１６によって暗号化される。受信パケットＲＸは、暗号プロセッサ１１６によって復号される。送信パケットＴＸおよび／または受信パケットＲＸは、インライン暗号化／復号を使用して暗号化／復号される。いくつかの実施形態では、仮想化エンジン１０４は、データパケットのネットワークルーティングを提供するように構成されている（たとえば、仮想化エンジン１０４は、送信パケットＴＸのためのルーティングデータを提供する）。
示されている実施形態では、仮想化エンジン１０４は、一度に１つの仮想マシン１０８のみをインスタンス化するように構成されている。これにより、仮想マシン１０８ごとに専用の暗号化リソース（たとえばメモリデバイス１１２および／または暗号プロセッサ１１６）が可能になるので、セキュリティを高めることができる。
示されている実施形態では、第１の仮想化エンジン１０４－１は第１のメモリデバイス１１２－１および第１の暗号プロセッサ１１６－１を含み、第２の仮想化エンジン１０４－２は第２のメモリデバイス１１２－２および第２の暗号プロセッサ１１６－２を含む。したがって、第１の仮想化エンジン１０４－１および第２の仮想化エンジン１０４－２は同じデバイスの一部である。２つの仮想化エンジン１０４がネットワーク仮想化デバイス１００の一部であるとして示されているが、３つ以上の仮想化エンジン１０４がネットワーク仮想化デバイス１００の一部であってもよい（たとえば、３個、５個、１０個、１００個、またはそれ以上の仮想化エンジン１０４がネットワーク仮想化デバイス１００の一部であってもよい）ことが理解されるべきである。
いくつかの実施形態では、ネットワーク仮想化デバイス１００は、ＶＮＩＣ、仮想ルータ、および／またはＮＥＶＦなどの仮想機能を実現するために使用される。ネットワーク仮想化デバイス１００は、サーバ内のカード（たとえばスマートＮＩＣ）とすることができる。ネットワーク仮想化デバイス１００は、１以上の顧客が１つ以上のＶＣＮをセットアップするためにホストによって管理（たとえば所有および／または操作）される。ホストは、ネットワーク仮想化デバイス１００の管理者である。ホスト（たとえば管理者）はメモリデバイス１１２に格納されたキーへのアクセスを有さないように、キーをメモリデバイス１１２に格納する（たとえば暗号化する）ことができる。ホストがキーへのアクセスを有していないことで、ホストのセキュリティが危険に晒されても、顧客のデータセキュリティを保証することができる。
イーサネット（登録商標）ブリッジ１２０は、第１の仮想化エンジン１０４－１がインターネットを介して通信すること、および／または（たとえば第１の仮想マシン１０８－１および第２の仮想マシン１０８－２が同じ仮想クラウドネットワークの一部である場合に）第２の仮想化エンジン１０４－２と通信することを可能にする。ハイパーバイザ１２４は、仮想マシン１０８間でコンピューティングシステムのリソースを共有するためにホストによって使用される。
図２は、キー管理サービス２０８から暗号キー２０４を受け取る複数の仮想化エンジン１０４の一実施形態を示す図である。示されている実施形態では、仮想化エンジン１０４が３つある。３つの仮想化エンジン１０４が示されているが、より多いまたはより少ない仮想化エンジン１０４を使用することができる。仮想化エンジン１０４は各々、１つの（いくつかの実施形態では１つのみの）仮想マシン１０８をインスタンス化する。図２の仮想マシン１０８は、共通の仮想クラウドネットワーク（ＶＣＮ）２１２の一部である。仮想化エンジン１０４は同じＶＣＮ２１２の一部であるため、仮想化エンジン１０４は各々、同じキー（たとえば同じ暗号キー２０４）を受け取り、これにより、仮想化エンジン１０４は暗号化されたデータを使用して互いに（たとえば図１に示されるイーサネットブリッジ１２０を使用して）セキュアに通信することができる。したがって、第１の仮想化エンジン１０４－１は、キー管理サービス２０８から暗号キー２０４を受け取るように構成されている。第１の仮想化エンジン１０４－１は、暗号キー２０４を第１のメモリデバイス１１２－１に保存する。
ＶＣＮ制御プレーン２１６は、クラウドインフラストラクチャリソースを管理、監視、および／または修正するように構成されている。キー管理サービス２０８は、ネットワーク仮想化デバイス１００のホストが暗号キー２０４へのアクセスを有することなく、暗号キー２０４を顧客のための仮想化エンジン１０４に提供することができる。ホスト（たとえばクラウドサービスプロバイダ）が暗号キー２０４へのアクセスを有していないことで、顧客はＶＣＮ２１２のセキュリティを制御する。
ホストがキーへのアクセスを有することなく、キーをメモリデバイス１１２に取り込むために、顧客は、キー管理サービス２０８（たとえばＯＣＩのクラウドキー管理サービス（Cloud Key Management Service））において暗号キー２０４を初期化することができ、および／または、キーへのアクセス許可を仮想化エンジン１０４に与える。クラウドネットワークでは、各リソースにアイデンティティプリンシプル（たとえばＯＣＩのクラウドアイデンティティプリンシプル（Cloud Identity Principle））を割り当てることができ、これにより、リソースを他のクラウドリソースに対して認証するために各リソースにクレデンシャルを与えることができる。仮想化エンジン１０４（たとえばＮＥＶＦ）は、リソースであり、アイデンティティプリンシプルを割り当てることができる。仮想化エンジン１０４は、キー管理サービス２０８に対して認証され得る。仮想化エンジン１０４は、顧客キー（たとえば暗号キー２０４）を要求することができる。
仮想化エンジン１０４は、キー管理サービス２０８に暗号キー２０４を要求する（たとえば、アイデンティティプリンシプルを使用して自身を認証してキーを要求する）ことができる。キー管理システム２０８は、（たとえば仮想化エンジン１０４を認証した後に）キー（および／または更新）を仮想化エンジン１０４にプッシュすることができる。キーの要求またはプッシュは、クラウドネットワークのホストがキーを仮想化エンジン１０４に対して（たとえば仮想化エンジン１０４のＳＲＡＭ内に）プロビジョニングすることなく行われる。キー管理システム２０８と仮想化エンジン１０４との間でセキュリティプロトコルを事前に共有することができるので、キー管理システムは、事前に共有された秘密を用いて仮想化エンジン１０４にデータをルーティングして、仮想化エンジン１０４のメモリにおいてキーを初期化することができる。
仮想クラウドネットワーク２１２内の仮想マシン１０８をサポートする各仮想化エンジン１０４には、同じ暗号キー２０４が配信される。仮想マシン１０８がインスタンス化されると、暗号キー２０４を仮想エンジン１０４に配信することができる。たとえば、顧客がＶＣＮ２１２を作成すると、ＶＣＮ２１２を暗号化するか否かを顧客に尋ねることができる（たとえば、顧客はＶＣＮ２１２の暗号化のボックスにチェックを入れることができる）。仮想マシン１０８のインスタンスが起動されると、基礎となるプロトコルがキー管理サービス２０８から仮想エンジン１０４に移り、暗号キー２０４を仮想エンジン１０４のメモリデバイス１１２に配信する。暗号キー２０４は、定期的に（たとえば、毎時、毎日、毎週など）更新することができる、および／または顧客が更新することができる（たとえば、顧客が更新スケジュールを選択もしくは定義する、および／または暗号キー２０４を直ちに更新することを選択する）。いくつかの実施形態では、顧客は複数のキーを生成し、新しいキーにローテーションする時間になると（たとえば毎日時間Ｔに）、暗号キー２０４が更新される（たとえば、各仮想エンジン１０４は、時間Ｔにキー管理サービス２０８に連絡する）。新しいキーはメモリデバイス１１２において公開される。複数のホストに対してキー同期（たとえば自動同期）を使用することができる（たとえば、各仮想化エンジン１０４の同期カウンタを使用して、新しいキーをメモリデバイス１１２において公開してもよい）。いくつかの実施形態では、暗号キー２０４は、何らかの暗号化スキームに基づいて各仮想化エンジン１０４上でローテーションされる（たとえば、暗号キー２０４はリフレッシュされる）。よって、暗号キー２０４を、ＶＣＮ２１２の一部である各仮想化エンジン１０４に対して、または各仮想化エンジン１０４上で、同時にプッシュおよび／またはリフレッシュすることができる。キー管理サービス２０８はＶＣＮ２１２と１つの暗号化関係を有することができるので、キー管理サービス２０８は異なるデバイスとの関係を維持する必要がない。
顧客がキーを制御するデータを暗号化することによって、データがホストのワイヤ上で暗号化されることを顧客に保証することができる。いくつかの実施形態では、顧客は、トランスポート層セキュリティ（ＴＬＳ）トンネルを使用してホストと通信することができる。しかしながら、ＴＬＳにはバグがあり、セキュリティ問題があり得る。顧客がキー管理サービス２０８を使用してキーを制御できるようにすることによって、ＴＬＳのバグおよびセキュリティ問題を回避または低減することができる。いくつかの実施形態では、ＴＬＳトンネルまたは事前共有キーに基づくカスタムセキュリティプロトコルを、ＮＥＶＦとキー管理サービスとの間のセキュアな通信に使用することができる。
本説明では、暗号キー２０４がＶＣＮ２１２のレベルで配信され管理されるものとして示されているが、サブネットレベルなどの他のレベルでも同様の処理および技術を使用することができる。たとえば、ＶＣＮ２１２のＬ２またはＬ３で暗号化キーを使用することができる。
図３は、異なる暗号キー３０４で複数の顧客をサポートするネットワーク仮想化デバイス１００の一実施形態を示す図である。ネットワーク仮想化デバイス１００は、第１の仮想化エンジン１０４－１、第２の仮想化エンジン１０４－２、第３の仮想化エンジン１０４－３、および第４の仮想化エンジン１０４－４を含む。第１の仮想化エンジン１０４－１は、第１の仮想マシン１０８－１をインスタンス化するように構成されている。第２の仮想化エンジン１０４－２は、第２の仮想マシン１０８－２をインスタンス化するように構成されている。第３の仮想化エンジン１０４－３は、第３の仮想マシン１０８－３をインスタンス化するように構成されている。第４の仮想化エンジン１０４－４は、第４の仮想マシン１０８－４をインスタンス化するように構成されている。
第１の仮想マシン１０８－１および第３の仮想マシン１０８－３は、第１のＶＣＮ３１２－１の一部である。第２の仮想マシン１０８－２および第４の仮想マシン１０８－４は、第２のＶＣＮ３１２－２の一部である。第１のＶＣＮ３１２－１は第１の顧客のためのものである。第２のＶＣＮ３１２－２は第２の顧客のためのものであり、第２の顧客は第１の顧客と同じではない。よって、１つのデバイス上の複数のＮＥＶＦは、異なる仮想クラウドネットワークに属する仮想マシンをサポートするために使用され得る。
第１の仮想化エンジン１０４－１および第３の仮想化エンジン１０４－３は、第１のキー管理サービス２０８－１から第１の暗号キー３０４－１を受け取る。第２の仮想化エンジン１０４－２および第４の仮想化エンジン１０４－４は、第２のキー管理サービス２０８－２から第２の暗号キー３０４－２を受け取る。第２の暗号キー３０４－２は第１の暗号キー３０４－１とは異なる。いくつかの実施形態では、第２のＶＣＮ３１２－２の仮想化エンジン１０４は、第１のＶＣＮ３１２－１の仮想化エンジン１０４と同じキー管理サービスから第２の暗号キー３０４－２を受け取る（たとえば、第２のＶＣＮ３１２－２の仮想化エンジン１０４は、第１のキー管理サービス２０８－１から第２の暗号キー３０４－２を受け取る）。
第１の仮想エンジン１０４－１は、第１の暗号キー３０４－１を第１のメモリデバイス１１２－１に格納する。第２の仮想エンジン１０４－２は、第２の暗号キー３０４－２を第２のメモリデバイス１１２－２に格納する。同様に、第３の仮想化エンジン１０４－３および第４の仮想化エンジン１０４－４は各々、それぞれの暗号キー３０４をメモリデバイス１１２に格納する。ネットワーク仮想化デバイス１００のホストは、第１の暗号キー３０４－１または第２の暗号キー３０４－２へのアクセスを有していない。仮想マシン１０８ごとに１つの仮想化エンジン１０４を有することによって（たとえば、仮想マシン１０８ごとに１つのメモリデバイス１１２などの専用リソースを有することによって）、１つのネットワーク仮想化デバイス１００が複数の顧客のための複数のＶＣＮ３１２をセキュアにサポートすることが可能になる。各顧客がＶＣＮ３１２についての自身の暗号キー３０４を管理するので、各顧客のデータをセキュアに管理することができる。さらに、ホストのデータが危険に晒されてもＶＣＮ３１２のデータが危険に晒されることはないので、さらなるセキュリティ信頼性を顧客に提供することができる。
図４は、仮想クラウドネットワークでデータを暗号化するプロセス４００の一実施形態を示すフローチャートである。プロセス４００は、ステップ４０２で第１の仮想マシンをインスタンス化することで始まる。たとえば、図１に示されるように第１の仮想化エンジン１０４－１が第１の仮想マシン１０８－１をインスタンス化する。ステップ４０４において、第２の仮想マシンをインスタンス化する。たとえば、図１において第２の仮想化エンジン１０４－２が第２の仮想マシン１０８－２をインスタンス化する。図１に示されるように、仮想化エンジン１０４はメモリデバイス１１２および暗号プロセッサ１１６を含む。
第１のキーを第１のメモリデバイスに格納する（ステップ４０６）。たとえば、図２に示されるように、暗号キー２０４を第１の仮想化エンジン１０４－１の第１のメモリデバイス１１２－１に格納する。第１のキーは、キー管理サービスから取り出す（たとえば、キー管理サービスに要求する、またはキー管理サービスによってプッシュする）ことができる。いくつかの実施形態では、仮想クラウドネットワークの顧客は、第１の仮想化エンジン１０４－１のホストがキーへのアクセスを有さないように、第１のキーを制御する。
第２のキーを第２のメモリデバイスに格納する（ステップ４０８）。たとえば、図２に示されるように、暗号キー２０４を第２の仮想化エンジン１０４－２の第２のメモリデバイス１１２－２に格納する。第２のキーは、キー管理サービスから取り出す（たとえば、キー管理サービスに要求する、またはキー管理サービスによってプッシュする）ことができる。いくつかの実施形態では、仮想クラウドネットワークの顧客は、仮想化エンジン１０４のホストが第２のキーへのアクセスを有さないように、第２のキーを制御する。図２に示されるように、第２のキーは第１のキーと同じであってもよい。図３に示されるように、第２のキーは第１のキーとは異なっていてもよい。たとえば、第２の仮想マシンは第１の仮想マシンとは異なる仮想クラウドネットワークの一部であるため、第２のキーは第１のキーとは異なる場合がある。
ステップ４１０において、第１のキーを使用して第１の仮想マシンのデータを暗号化する。たとえば、図１において第１の暗号プロセッサ１１６－１が第１の仮想マシン１０８－１からの送信データＴＸを暗号化する。ステップ４１２において、第２のキーを使用して第２の仮想マシンのデータを暗号化する。たとえば、図１において第２の暗号プロセッサ１１６－２が第２の仮想マシン１０８－２からの送信データＴＸを暗号化する。第１の仮想マシン１０８－１および第２の仮想マシン１０８－２が同じ仮想クラウドネットワークの一部である場合、第１の仮想マシン１０８－１は、同じキーを使用してデータをセキュアに第２の仮想マシン１０８－２に送信および／または第２の仮想マシン１０８－２から受信することができる（たとえば図２参照）。しかしながら、図３に示されるように第１のキーが第２のキーとは異なる場合、第１の仮想マシン１０８－１は、（図３の第１のＶＣＮ３１２－１と第２のＶＣＮ３１２－２との間に何らかの追加の取り決めがない限り）暗号化されたデータを第２の仮想マシン１０８－２に送信および／または第２の仮想マシン１０８－２から受信しない。
第１の仮想化エンジン１０４－１および第２の仮想化エンジン１０４－２は、同じデバイス上にある（たとえば、サーバ内の同じカードの一部である）。仮想化エンジン１０４は１つの仮想マシンのみをインスタンス化するために使用されるので、および／または、仮想化エンジンは１つ以上の専用リソースを有するので、ネットワーク仮想化デバイスのホストが第１のキーまたは第２のキーへのアクセスを有することなく、各仮想マシンへのおよび各仮想マシンからのデータをセキュアに暗号化および／または復号することができる。
図５は、複数の暗号キーを使用して複数の仮想クラウドネットワークのデータ暗号化を行うプロセス５００の一実施形態を示すフローチャートである。プロセス５００は、ステップ５０２で第１の顧客のための仮想マシンの第１のセットをインスタンス化することで始まる。仮想エンジンの第１のセットを使用して、仮想マシンの第１のセットをインスタンス化する。仮想マシンの第１のセットは、第１の仮想クラウドネットワークの一部である。この実施形態では、１セットは２つ以上を含む。たとえば、図３において第１の仮想化エンジン１０４－１および第３の仮想化エンジン１０４－３を使用して第１の仮想マシン１０８－１および第３の仮想マシン１０８－３をインスタンス化し、第１の仮想マシン１０８－１および第３の仮想マシン１０８－３は第１の仮想クラウドネットワーク３１２－１の一部である。
第２の顧客のための仮想マシンの第２のセットをインスタンス化する（ステップ５０４）。仮想エンジンの第２のセットを使用して、仮想マシンの第２のセットをインスタンス化する。仮想マシンの第２のセットは、第２の仮想クラウドネットワークの一部である。たとえば、図３において第２の仮想化エンジン１０４－２および第４の仮想化エンジン１０４－４を使用して第２の仮想マシン１０８－２および第４の仮想マシン１０８－４をインスタンス化し、第２の仮想マシン１０８－２および第４の仮想マシン１０８－４は第２の仮想クラウドネットワーク３１２－２の一部である。
ステップ５０６において、第１のキー、たとえば図３の第１の暗号キー３０４－１を、第１の仮想クラウドネットワークの仮想マシンをインスタンス化するために使用される仮想化エンジンによって受け取る。第２のキー、たとえば図３の第２の暗号キー３０４－２を、第２の仮想クラウドネットワークの仮想マシンをインスタンス化するために使用される仮想化エンジンによって受け取る（ステップ５０８）。第１のキーは第１のキー管理サービスから受け取ることができ、第２のキーは第１のキー管理サービスとは異なる第２のキー管理サービスから受け取ることができる。
第１のキーを使用して第１の顧客のデータを暗号化する（ステップ５１０）。第２のキーを使用して第２の顧客のデータを暗号化する（ステップ５１２）。ホストは第１のキーおよび／または第２のキーへのアクセスを有していない。
サービスとしてのインフラストラクチャ（Infrastructure as a service：ＩａａＳ）は、ある特定のタイプのクラウドコンピューティングである。ＩａａＳは、パブリックネットワーク（たとえばインターネット）を介して仮想化コンピューティングリソースを提供するように構成され得る。ＩａａＳモデルでは、クラウドコンピューティングプロバイダは、インフラストラクチャコンポーネント（たとえば、サーバ、ストレージデバイス、ネットワークノード（たとえばハードウェア）、展開ソフトウェア、プラットフォーム仮想化（たとえばハイパーバイザ層）など）をホストし得る。いくつかの場合において、ＩａａＳプロバイダはまた、それらのインフラストラクチャコンポーネントに付随するさまざまなサービス（たとえば、課金、監視、ロギング、セキュリティ、ロードバランシングおよびクラスタリングなど）を提供し得る。よって、これらのサービスはポリシー駆動型であり得るので、ＩａａＳユーザは、ロードバランシングを駆動するポリシーを実現して、アプリケーションの可用性および性能を維持することが可能であり得る。
いくつかの例では、ＩａａＳ顧客は、インターネットなどのワイドエリアネットワーク（ＷＡＮ）を通じてリソースおよびサービスにアクセスしてもよく、クラウドプロバイダのサービスを利用してアプリケーションスタックの残りの要素をインストールすることができる。たとえば、ユーザは、ＩａａＳプラットフォームにログインして、仮想マシン（ＶＭ）を作成し、各ＶＭ上にオペレーティングシステム（ＯＳ）をインストールし、データベースなどのミドルウェアを展開し、ワークロードおよびバックアップ用のストレージバケットを作成し、さらにはそのＶＭに企業向けソフトウェアをインストールすることができる。そして顧客は、プロバイダのサービスを利用して、ネットワークトラフィックのバランシング、アプリケーション問題のトラブルシューティング、パフォーマンスの監視、ディザスタリカバリの管理などを含むさまざまな機能を実行することができる。
ほとんどの場合、クラウドコンピューティングモデルはクラウドプロバイダの参加を使用する。クラウドプロバイダは、ＩａａＳを提供する（たとえば、オファーする、レンタルする、販売する）ことに特化した第三者サービスであってもよいが、そうでなくてもよい。また、エンティティが、プライベートクラウドを展開することを選択して、エンティティ自身のインフラストラクチャサービスのプロバイダになってもよい。
いくつかの例では、ＩａａＳ展開は、新しいアプリケーションまたは新しいバージョンのアプリケーションを準備されたアプリケーションサーバなどに置くプロセスである。これは、サーバを準備する（たとえば、ライブラリ、デーモンなどをインストールする）プロセスも含み得る。これは、クラウドプロバイダによって、ハイパーバイザ層（たとえば、サーバ、ストレージ、ネットワークハードウェア、および仮想化）の下で管理されることが多い。よって、顧客は、（たとえば、（たとえば、オンデマンドでスピンアップされ得る）セルフサービス仮想マシン上の）ハンドリング（ＯＳ）、ミドルウェア、および／またはアプリケーション展開などを担ってもよい。
いくつかの例では、ＩａａＳプロビジョニングは、使用されるコンピュータまたは仮想ホストを取得すること、さらには、必要なライブラリまたはサービスをそれらにインストールすることを指すことがある。ほとんどの場合、展開はプロビジョニングを含まず、プロビジョニングは最初に実行される必要があり得る。
いくつかの場合において、ＩａａＳプロビジョニングには２つの異なる課題がある。第１に、何かが動作する前にインフラストラクチャの初期セットをプロビジョニングするという最初の課題がある。第２に、すべてがプロビジョニングされた後に既存のインフラストラクチャを発展させる（たとえば、新しいサービスを追加する、サービスを変更する、サービスを削除するなど）という課題がある。いくつかの場合において、これらの２つの課題は、インフラストラクチャの構成を宣言的に定義することを可能にすることによって対処され得る。言い換えれば、インフラストラクチャ（たとえば、どのコンポーネントが必要であり、それらがどのようにやり取りするか）は、１つ以上の構成ファイルによって定義され得る。よって、インフラストラクチャの全体的なトポロジ（たとえば、どのリソースがどのリソースに依存するのか、およびそれらが各々どのように連携するのか）は、宣言的に記述され得る。いくつかの例では、トポロジが定義されると、構成ファイルに記述されている異なるコンポーネントを作成および／または管理するワークフローが生成され得る。
いくつかの例では、インフラストラクチャは、相互接続された多くの要素を有し得る。たとえば、コアネットワークとしても知られている１つ以上の仮想プライベートクラウド（ＶＰＣ）（たとえば、構成可能なおよび／または共有されるコンピューティングリソースの、潜在的にオンデマンドのプール）が存在し得る。いくつかの例では、ネットワークのセキュリティがどのようにセットアップされるかを定義するためにプロビジョニングされる１つ以上のセキュリティグループルール、および１つ以上の仮想マシン（ＶＭ）も存在し得る。ロードバランサ、データベースなどの他のインフラストラクチャ要素もプロビジョニングされ得る。所望されるおよび／または追加されるインフラストラクチャ要素が増えるにつれて、インフラストラクチャは漸進的に進化し得る。
いくつかの例では、さまざまな仮想コンピューティング環境にわたってインフラストラクチャコードの展開を可能にするために、連続的な展開技術が採用されてもよい。これに加えて、記載されている技術は、これらの環境内でインフラストラクチャ管理を可能にし得る。いくつかの例では、サービスチームが、１つ以上の、ただし多くの場合多くの、異なるプロダクション環境（たとえば、時には世界全体に及ぶ、多種多様な地理的場所にわたる）に展開されることが所望されるコードを書き込み得る。しかしながら、いくつかの例では、コードが展開されるインフラストラクチャを最初にセットアップしなければならない。いくつかの例では、プロビジョニングは手動で行うことができ、プロビジョニングツールを利用してリソースをプロビジョニングしてもよく、および／または、インフラストラクチャがプロビジョニングされると、展開ツールは、コードを展開するために利用され得る。
図６は、少なくとも１つの実施形態に係る、ＩａａＳアーキテクチャの例示的なパターンを示すブロック図６００である。サービスオペレータ６０２は、仮想クラウドネットワーク（ＶＣＮ）６０６とセキュアホストサブネット６０８とを含み得るセキュアホストテナンシ６０４に通信可能に結合され得る。いくつかの例では、サービスオペレータ６０２は、１つ以上のクライアントコンピューティングデバイスを使用していてもよい。クライアントコンピューティングデバイスは、Microsoft Windows Mobile（登録商標）などのソフトウェア、および／またはiOS、Windows Phone、Android、BlackBerry 8、Palm OSなどのさまざまなモバイルオペレーティングシステムを実行し、インターネット、電子メール、ショートメッセージサービス（ＳＭＳ）、Blackberry（登録商標）、または他の通信プロトコルに対応する、ポータブルハンドヘルドデバイス（たとえば、iPhone（登録商標）、携帯電話、iPad（登録商標）、コンピューティングタブレット、携帯情報端末（ＰＤＡ））またはウェアラブルデバイス（たとえば、Google Glass（登録商標）ヘッドマウントディスプレイ）であってもよい。これに代えて、クライアントコンピューティングデバイスは、例として、さまざまなバージョンのMicrosoft Windows（登録商標）、Apple Macintosh（登録商標）、および／またはLinux（登録商標）オペレーティングシステムを実行するパーソナルコンピュータおよび／またはラップトップコンピュータを含む汎用パーソナルコンピュータであってもよい。クライアントコンピューティングデバイスは、限定されないがたとえばGoogle Chrome OSなどのさまざまなGNU/Linux（登録商標）オペレーティングシステムを含む、さまざまな市販のUNIX（登録商標）またはUNIX（登録商標）系オペレーティングシステムのうちのいずれかを実行するワークステーションコンピュータであってもよい。これに代えてまたはこれに加えて、クライアントコンピューティングデバイスは、ＶＣＮ６０６および／またはインターネットにアクセスできるネットワークを介して通信可能なその他の電子デバイス、たとえば、シンクライアントコンピュータ、インターネット対応のゲームシステム（たとえば、Kinect（登録商標）ジェスチャ入力デバイスを有するまたは有さないMicrosoft Xboxのゲームコンソール）、および／またはパーソナルメッセージングデバイスであってもよい。
ＶＣＮ６０６は、ローカルピアリングゲートウェイ（ＬＰＧ）６１０を含み得る。ＬＰＧ６１０は、ＳＳＨ ＶＣＮ６１２に含まれるＬＰＧ６１０を介してセキュアシェル（ＳＳＨ）ＶＣＮ６１２に通信可能に結合され得る。ＳＳＨ ＶＣＮ６１２はＳＳＨサブネット６１４を含み得、ＳＳＨ ＶＣＮ６１２は、制御プレーンＶＣＮ６１６に含まれるＬＰＧ６１０を介して制御プレーンＶＣＮ６１６に通信可能に結合され得る。また、ＳＳＨ ＶＣＮ６１２は、ＬＰＧ６１０を介してデータプレーンＶＣＮ６１８に通信可能に結合され得る。制御プレーンＶＣＮ６１６およびデータプレーンＶＣＮ６１８は、ＩａａＳプロバイダによって所有および／または操作され得るサービステナンシ６１９に含まれ得る。
制御プレーンＶＣＮ６１６は、周辺ネットワーク（たとえば、企業イントラネットと外部ネットワークとの間の企業ネットワークの部分）として機能する制御プレーンデミリタライズドゾーン（ＤＭＺ）層６２０を含み得る。ＤＭＺベースのサーバは、制限された責任を有し、セキュリティ侵害を抑制するのを助け得る。これに加えて、ＤＭＺ層６２０は、１つ以上のロードバランサ（ＬＢ）サブネット６２２と、アプリサブネット６２６を含み得る制御プレーンアプリ層６２４と、データベース（ＤＢ）サブネット６３０（たとえばフロントエンドＤＢサブネットおよび／またはバックエンドＤＢサブネット）を含み得る制御プレーンデータ層６２８とを含み得る。制御プレーンＤＭＺ層６２０に含まれるＬＢサブネット６２２は、制御プレーンアプリ層６２４に含まれるアプリサブネット６２６と、制御プレーンＶＣＮ６１６に含まれ得るインターネットゲートウェイ６３４とに通信可能に結合され得、アプリサブネット６２６は、制御プレーンデータ層６２８に含まれるＤＢサブネット６３０と、サービスゲートウェイ６３６と、ネットワークアドレス変換（ＮＡＴ）ゲートウェイ６３８とに通信可能に結合され得る。制御プレーンＶＣＮ６１６は、サービスゲートウェイ６３６およびＮＡＴゲートウェイ６３８を含み得る。
制御プレーンＶＣＮ６１６は、アプリサブネット６２６を含み得るデータプレーンミラーアプリ層６４０を含み得る。データプレーンミラーアプリ層６４０に含まれるアプリサブネット６２６は、計算インスタンス６４４を実行し得る仮想ネットワークインターフェイスコントローラ（ＶＮＩＣ）６４２を含み得る。計算インスタンス６４４は、データプレーンミラーアプリ層６４０のアプリサブネット６２６を、データプレーンアプリ層６４６に含まれ得るアプリサブネット６２６に通信可能に結合し得る。
データプレーンＶＣＮ６１８は、データプレーンアプリ層６４６と、データプレーンＤＭＺ層６４８と、データプレーンデータ層６５０とを含み得る。データプレーンＤＭＺ層６４８は、データプレーンアプリ層６４６のアプリサブネット６２６およびデータプレーンＶＣＮ６１８のインターネットゲートウェイ６３４に通信可能に結合され得るＬＢサブネット６２２を含み得る。アプリサブネット６２６は、データプレーンＶＣＮ６１８のサービスゲートウェイ６３６およびデータプレーンＶＣＮ６１８のＮＡＴゲートウェイ６３８に通信可能に結合され得る。データプレーンデータ層６５０も、データプレーンアプリ層６４６のアプリサブネット６２６に通信可能に結合され得るＤＢサブネット６３０を含み得る。
制御プレーンＶＣＮ６１６およびデータプレーンＶＣＮ６１８のインターネットゲートウェイ６３４は、パブリックインターネット６５４に通信可能に結合され得るメタデータ管理サービス６５２に通信可能に結合され得る。パブリックインターネット６５４は、制御プレーンＶＣＮ６１６およびデータプレーンＶＣＮ６１８のＮＡＴゲートウェイ６３８に通信可能に結合され得る。制御プレーンＶＣＮ６１６およびデータプレーンＶＣＮ６１８のサービスゲートウェイ６３６は、クラウドサービス６５６に通信可能に結合され得る。
いくつかの例では、制御プレーンＶＣＮ６１６またはデータプレーンＶＣＮ６１８のサービスゲートウェイ６３６は、パブリックインターネット６５４を通過することなくクラウドサービス６５６にアプリケーションプログラミングインターフェイス（ＡＰＩ）呼び出しを行い得る。サービスゲートウェイ６３６からクラウドサービス６５６へのＡＰＩ呼び出しは、一方向であり得る。すなわち、サービスゲートウェイ６３６は、クラウドサービス６５６にＡＰＩ呼び出しを行い得、クラウドサービス６５６は、要求されたデータをサービスゲートウェイ６３６に送信し得る。しかしながら、クラウドサービス６５６は、サービスゲートウェイ６３６へのＡＰＩ呼び出しを開始しなくてもよい。
いくつかの例では、セキュアホストテナンシ６０４は、サービステナンシ６１９に直接に接続され得、サービステナンシ６１９は、そうでなければ分離されてもよい。セキュアホストサブネット６０８は、他の態様では分離されたシステムを介して双方向通信を可能にし得るＬＰＧ６１０を通じてＳＳＨサブネット６１４と通信し得る。セキュアホストサブネット６０８をＳＳＨサブネット６１４に接続することで、セキュアホストサブネット６０８にサービステナンシ６１９内の他のエンティティへのアクセスが与えられてもよい。
制御プレーンＶＣＮ６１６は、サービステナンシ６１９のユーザが所望のリソースをセットアップまたはそうでなければプロビジョニングすることを可能にし得る。制御プレーンＶＣＮ６１６においてプロビジョニングされる所望のリソースは、データプレーンＶＣＮ６１８において展開またはそうでなければ使用されてもよい。いくつかの例では、制御プレーンＶＣＮ６１６は、データプレーンＶＣＮ６１８から分離され得、制御プレーンＶＣＮ６１６のデータプレーンミラーアプリ層６４０は、データプレーンミラーアプリ層６４０およびデータプレーンアプリ層６４６に含まれ得るＶＮＩＣ６４２を介して、データプレーンＶＣＮ６１８のデータプレーンアプリ層６４６と通信し得る。
いくつかの例では、システムのユーザまたは顧客は、メタデータ管理サービス６５２に要求を通信し得るパブリックインターネット６５４を通じて、たとえば作成、読出、更新、または削除（ＣＲＵＤ）動作などの要求を行い得る。メタデータ管理サービス６５２は、インターネットゲートウェイ６３４を通じて制御プレーンＶＣＮ６１６に要求を通信し得る。この要求は、制御プレーンＤＭＺ層６２０に含まれるＬＢサブネット６２２によって受信され得る。ＬＢサブネット６２２は、要求が有効であると判断してもよく、この判断に応答して、ＬＢサブネット６２２は、制御プレーンアプリ層６２４に含まれるアプリサブネット６２６に要求を送信し得る。要求が検証され、パブリックインターネット６５４への呼び出しを使用する場合、パブリックインターネット６５４への呼び出しは、パブリックインターネット６５４への呼び出しを行い得るＮＡＴゲートウェイ６３８に送信されてもよい。要求によって格納されることが所望され得るメモリは、ＤＢサブネット６３０に格納され得る。
いくつかの例では、データプレーンミラーアプリ層６４０は、制御プレーンＶＣＮ６１６とデータプレーンＶＣＮ６１８との間の直接通信を容易にし得る。たとえば、構成の変更、更新、または他の適切な修正が、データプレーンＶＣＮ６１８に含まれるリソースに適用されることが所望される場合がある。ＶＮＩＣ６４２を介して、制御プレーンＶＣＮ６１６は、データプレーンＶＣＮ６１８に含まれるリソースと直接通信し得、それによって、構成に対する変更、更新、または他の適切な修正を実行し得る。
いくつかの実施形態では、制御プレーンＶＣＮ６１６およびデータプレーンＶＣＮ６１８は、サービステナンシ６１９に含まれ得る。この場合、システムのユーザまたは顧客は、制御プレーンＶＣＮ６１６またはデータプレーンＶＣＮ６１８のいずれも所有または操作しなくてもよい。代わりに、ＩａａＳプロバイダが、制御プレーンＶＣＮ６１６およびデータプレーンＶＣＮ６１８を所有または操作してもよく、これらの両方がサービステナンシ６１９に含まれてもよい。この実施形態は、ユーザまたは顧客が他のユーザのまたは他の顧客のリソースとやり取りすることを防止し得るネットワークの分離を可能にし得る。また、この実施形態は、システムのユーザまたは顧客が、所望のセキュリティレベルを有さない可能性があるパブリックインターネット６５４に格納のために依存する必要なく、データベースを非公式に格納することを可能にし得る。
他の実施形態では、制御プレーンＶＣＮ６１６に含まれるＬＢサブネット６２２は、サービスゲートウェイ６３６から信号を受信するように構成され得る。この実施形態では、制御プレーンＶＣＮ６１６およびデータプレーンＶＣＮ６１８は、パブリックインターネット６５４を呼び出すことなく、ＩａａＳプロバイダの顧客によって呼び出されるように構成されてもよい。顧客が使用するデータベースはＩａａＳプロバイダによって制御されてもよく、パブリックインターネット６５４から分離され得るサービステナンシ６１９上に格納されてもよいので、ＩａａＳプロバイダの顧客はこの実施形態を所望する場合がある。
図７は、少なくとも１つの実施形態に係る、ＩａａＳアーキテクチャの別の例示的なパターンを示すブロック図７００である。サービスオペレータ７０２（たとえば図６のサービスオペレータ６０２）は、仮想クラウドネットワーク（ＶＣＮ）７０６（たとえば図６のＶＣＮ６０６）およびセキュアホストサブネット７０８（たとえば図６のセキュアホストサブネット６０８）を含み得るセキュアホストテナンシ７０４（たとえば図６のセキュアホストテナンシ６０４）に通信可能に結合され得る。ＶＣＮ７０６は、ＳＳＨ ＶＣＮ７１２に含まれるＬＰＧ６１０を介してセキュアシェル（ＳＳＨ）ＶＣＮ７１２（たとえば図６のＳＳＨ ＶＣＮ６１２）に通信可能に結合され得るローカルピアリングゲートウェイ（ＬＰＧ）７１０（たとえば図６のＬＰＧ６１０）を含み得る。ＳＳＨ ＶＣＮ７１２は、ＳＳＨサブネット７１４（たとえば図６のＳＳＨサブネット６１４）を含み得、ＳＳＨ ＶＣＮ７１２は、制御プレーンＶＣＮ７１６に含まれるＬＰＧ７１０を介して制御プレーンＶＣＮ７１６（たとえば図６の制御プレーンＶＣＮ６１６）に通信可能に結合され得る。制御プレーンＶＣＮ７１６は、サービステナンシ７１９（たとえば図６のサービステナンシ６１９）に含まれ得、データプレーンＶＣＮ７１８（たとえば図６のデータプレーンＶＣＮ６１８）は、システムのユーザまたは顧客によって所有または操作され得る顧客テナンシ７２１に含まれ得る。
制御プレーンＶＣＮ７１６は、ＬＢサブネット７２２（たとえば図６のＬＢサブネット６２２）を含み得る制御プレーンＤＭＺ層７２０（たとえば図６の制御プレーンＤＭＺ層６２０）と、アプリサブネット７２６（たとえば図６のアプリサブネット６２６）を含み得る制御プレーンアプリ層７２４（たとえば図６の制御プレーンアプリ層６２４）と、（たとえば図６のＤＢサブネット６３０と同様の）データベース（ＤＢ）サブネット７３０を含み得る制御プレーンデータ層７２８（たとえば図６の制御プレーンデータ層６２８）とを含み得る。制御プレーンＤＭＺ層７２０に含まれるＬＢサブネット７２２は、制御プレーンアプリ層７２４に含まれるアプリサブネット７２６と、制御プレーンＶＣＮ７１６に含まれ得るインターネットゲートウェイ７３４（たとえば図６のインターネットゲートウェイ６３４）とに通信可能に結合され得、アプリサブネット７２６は、制御プレーンデータ層７２８に含まれるＤＢサブネット７３０と、サービスゲートウェイ７３６（たとえば図６のサービスゲートウェイ）と、ネットワークアドレス変換（ＮＡＴ）ゲートウェイ７３８（たとえば図６のＮＡＴゲートウェイ６３８）とに通信可能に結合され得る。制御プレーンＶＣＮ７１６は、サービスゲートウェイ７３６およびＮＡＴゲートウェイ７３８を含み得る。
制御プレーンＶＣＮ７１６は、アプリサブネット７２６を含み得るデータプレーンミラーアプリ層７４０（たとえば図６のデータプレーンミラーアプリ層６４０）を含み得る。データプレーンミラーアプリ層７４０に含まれるアプリサブネット７２６は、（たとえば図６の計算インスタンス６４４と同様の）計算インスタンス７４４を実行し得る仮想ネットワークインターフェイスコントローラ（ＶＮＩＣ）７４２（たとえば６４２のＶＮＩＣ）を含み得る。計算インスタンス７４４は、データプレーンミラーアプリ層７４０に含まれるＶＮＩＣ７４２とデータプレーンアプリ層７４６に含まれるＶＮＩＣ７４２とを介して、データプレーンミラーアプリ層７４０のアプリサブネット７２６と、データプレーンアプリ層７４６（たとえば図６のデータプレーンアプリ層６４６）に含まれ得るアプリサブネット７２６との間の通信を容易にし得る。
制御プレーンＶＣＮ７１６に含まれるインターネットゲートウェイ７３４は、パブリックインターネット７５４（たとえば図６のパブリックインターネット６５４）に通信可能に結合され得るメタデータ管理サービス７５２（たとえば図６のメタデータ管理サービス６５２）に通信可能に結合され得る。パブリックインターネット７５４は、制御プレーンＶＣＮ７１６に含まれるＮＡＴゲートウェイ７３８に通信可能に結合され得る。制御プレーンＶＣＮ７１６に含まれるサービスゲートウェイ７３６は、クラウドサービス７５６（たとえば図６のクラウドサービス６５６）に通信可能に結合され得る。
いくつかの例では、データプレーンＶＣＮ７１８は、顧客テナンシ７２１に含まれ得る。この場合、ＩａａＳプロバイダは、顧客ごとに制御プレーンＶＣＮ７１６を提供してもよく、ＩａａＳプロバイダは、顧客ごとに、サービステナンシ７１９に含まれる固有の計算インスタンス７４４をセットアップしてもよい。各計算インスタンス７４４は、サービステナンシ７１９に含まれる制御プレーンＶＣＮ７１６と顧客テナンシ７２１に含まれるデータプレーンＶＣＮ７１８との間の通信を可能にし得る。計算インスタンス７４４は、サービステナンシ７１９に含まれる制御プレーンＶＣＮ７１６においてプロビジョニングされるリソースが、顧客テナンシ７２１に含まれるデータプレーンＶＣＮ７１８において展開またはそうでなければ使用されることを可能にし得る。
他の例では、ＩａａＳプロバイダの顧客は、顧客テナンシ７２１に在住するデータベースを有してもよい。この例では、制御プレーンＶＣＮ７１６は、アプリサブネット７２６を含み得るデータプレーンミラーアプリ層７４０を含み得る。データプレーンミラーアプリ層７４０は、データプレーンＶＣＮ７１８に常駐し得るが、データプレーンミラーアプリ層７４０は、データプレーンＶＣＮ７１８に在住しなくてもよい。すなわち、データプレーンミラーアプリ層７４０は、顧客テナンシ７２１へのアクセスを有してもよいが、データプレーンミラーアプリ層７４０は、データプレーンＶＣＮ７１８に存在しなくてもよく、またはＩａａＳプロバイダの顧客によって所有もしくは操作されなくてもよい。データプレーンミラーアプリ層７４０は、データプレーンＶＣＮ７１８への呼び出しを行うように構成されてもよいが、制御プレーンＶＣＮ７１６に含まれる任意のエンティティへの呼び出しを行うように構成されなくてもよい。顧客は、制御プレーンＶＣＮ７１６においてプロビジョニングされるデータプレーンＶＣＮ７１８内のリソースを展開またはそうでなければ使用することを所望する場合があり、データプレーンミラーアプリ層７４０は、顧客のリソースの所望の展開または他の使用を容易にし得る。
いくつかの実施形態では、ＩａａＳプロバイダの顧客は、データプレーンＶＣＮ７１８にフィルタを適用し得る。この実施形態では、顧客は、データプレーンＶＣＮ７１８が何にアクセスできるかを判断し得、顧客は、データプレーンＶＣＮ７１８からのパブリックインターネット７５４へのアクセスを制限してもよい。ＩａａＳプロバイダは、データプレーンＶＣＮ７１８の任意の外部ネットワークまたはデータベースへのアクセスにフィルタを適用することまたはそうでなければ当該アクセスを制御することができなくてもよい。顧客テナンシ７２１に含まれるデータプレーンＶＣＮ７１８上に顧客によってフィルタおよび制御を適用することで、データプレーンＶＣＮ７１８を他の顧客およびパブリックインターネット７５４から分離するのを助けることができる。
いくつかの実施形態では、パブリックインターネット７５４上、制御プレーンＶＣＮ７１６上、またはデータプレーンＶＣＮ７１８上に存在しない場合があるサービスにアクセスするために、クラウドサービス７５６がサービスゲートウェイ７３６によって呼び出され得る。クラウドサービス７５６と制御プレーンＶＣＮ７１６またはデータプレーンＶＣＮ７１８との間の接続は、ライブまたは連続的でなくてもよい。クラウドサービス７５６は、ＩａａＳプロバイダによって所有または操作される異なるネットワーク上に存在してもよい。クラウドサービス７５６は、サービスゲートウェイ７３６から呼び出しを受信するように構成されてもよく、パブリックインターネット７５４から呼び出しを受信しないように構成されてもよい。いくつかのクラウドサービス７５６は、他のクラウドサービス７５６から分離されてもよく、制御プレーンＶＣＮ７１６は、制御プレーンＶＣＮ７１６と同じリージョンにない場合があるクラウドサービス７５６から分離されてもよい。たとえば、制御プレーンＶＣＮ７１６は「リージョン１」に位置してもよく、クラウドサービス「展開６」はリージョン１および「リージョン２」に位置してもよい。展開６への呼び出しが、リージョン１に位置する制御プレーンＶＣＮ７１６に含まれるサービスゲートウェイ７３６によって行われる場合、この呼び出しはリージョン１の展開６に送信されてもよい。この例では、制御プレーンＶＣＮ７１６、またはリージョン１の展開６は、リージョン２の展開６に通信可能に結合されなくてもよく、またはそうでなければリージョン２の展開６と通信していなくてもよい。
図８は、少なくとも１つの実施形態に係る、ＩａａＳアーキテクチャの別の例示的なパターンを示すブロック図８００である。サービスオペレータ８０２（たとえば図６のサービスオペレータ６０２）は、仮想クラウドネットワーク（ＶＣＮ）８０６（たとえば図６のＶＣＮ６０６）およびセキュアホストサブネット８０８（たとえば図６のセキュアホストサブネット６０８）を含み得るセキュアホストテナンシ８０４（たとえば図６のセキュアホストテナンシ６０４）に通信可能に結合され得る。ＶＣＮ８０６は、ＳＳＨ ＶＣＮ８１２に含まれるＬＰＧ８１０を介してＳＳＨ ＶＣＮ８１２（たとえば図６のＳＳＨ ＶＣＮ６１２）に通信可能に結合され得るＬＰＧ８１０（たとえば図６のＬＰＧ６１０）を含み得る。ＳＳＨ ＶＣＮ８１２は、ＳＳＨサブネット８１４（たとえば図６のＳＳＨサブネット６１４）を含み得、ＳＳＨ ＶＣＮ８１２は、制御プレーンＶＣＮ８１６に含まれるＬＰＧ８１０を介して制御プレーンＶＣＮ８１６（たとえば図６の制御プレーンＶＣＮ６１６）に通信可能に結合され得、データプレーンＶＣＮ８１８に含まれるＬＰＧ８１０を介してデータプレーンＶＣＮ８１８（たとえば図６のデータプレーン６１８）に通信可能に結合され得る。制御プレーンＶＣＮ８１６およびデータプレーンＶＣＮ８１８は、サービステナンシ８１９（たとえば図６のサービステナンシ６１９）に含まれ得る。
制御プレーンＶＣＮ８１６は、ロードバランサ（ＬＢ）サブネット８２２（たとえば図６のＬＢサブネット６２２）を含み得る制御プレーンＤＭＺ層８２０（たとえば図６の制御プレーンＤＭＺ層６２０）と、（たとえば図６のアプリサブネット６２６と同様の）アプリサブネット８２６を含み得る制御プレーンアプリ層８２４（たとえば図６の制御プレーンアプリ層６２４）と、ＤＢサブネット８３０を含み得る制御プレーンデータ層８２８（たとえば図６の制御プレーンデータ層６２８）とを含み得る。制御プレーンＤＭＺ層８２０に含まれるＬＢサブネット８２２は、制御プレーンアプリ層８２４に含まれるアプリサブネット８２６と、制御プレーンＶＣＮ８１６に含まれ得るインターネットゲートウェイ８３４（たとえば図６のインターネットゲートウェイ６３４）とに通信可能に結合され得、アプリサブネット８２６は、制御プレーンデータ層８２８に含まれるＤＢサブネット８３０と、サービスゲートウェイ８３６（たとえば図６のサービスゲートウェイ）およびネットワークアドレス変換（ＮＡＴ）ゲートウェイ８３８（たとえば図６のＮＡＴゲートウェイ６３８）とに通信可能に結合され得る。制御プレーンＶＣＮ８１６は、サービスゲートウェイ８３６およびＮＡＴゲートウェイ８３８を含み得る。
データプレーンＶＣＮ８１８は、データプレーンアプリ層８４６（たとえば図６のデータプレーンアプリ層６４６）と、データプレーンＤＭＺ層８４８（たとえば図６のデータプレーンＤＭＺ層６４８）と、データプレーンデータ層８５０（たとえば図６のデータプレーンデータ層６５０）とを含み得る。データプレーンＤＭＺ層８４８は、データプレーンアプリ層８４６の信頼できるアプリサブネット８６０および信頼できないアプリサブネット８６２と、データプレーンＶＣＮ８１８に含まれるインターネットゲートウェイ８３４とに通信可能に結合され得るＬＢサブネット８２２を含み得る。信頼できるアプリサブネット８６０は、データプレーンＶＣＮ８１８に含まれるサービスゲートウェイ８３６と、データプレーンＶＣＮ８１８に含まれるＮＡＴゲートウェイ８３８と、データプレーンデータ層８５０に含まれるＤＢサブネット８３０とに通信可能に結合され得る。信頼できないアプリサブネット８６２は、データプレーンＶＣＮ８１８に含まれるサービスゲートウェイ８３６と、データプレーンデータ層８５０に含まれるＤＢサブネット８３０とに通信可能に結合され得る。データプレーンデータ層８５０は、データプレーンＶＣＮ８１８に含まれるサービスゲートウェイ８３６に通信可能に結合され得るＤＢサブネット８３０を含み得る。
信頼できないアプリサブネット８６２は、テナント仮想マシン（ＶＭ）８６６（１）～（Ｎ）に通信可能に結合され得る１つ以上のプライマリＶＮＩＣ８６４（１）～（Ｎ）を含み得る。各テナントＶＭ８６６（１）～（Ｎ）は、それぞれの顧客テナンシ８７０（１）～（Ｎ）に含まれ得るそれぞれのコンテナエグレスＶＣＮ８６８（１）～（Ｎ）に含まれ得るそれぞれのアプリサブネット８６７（１）～（Ｎ）に通信可能に結合され得る。それぞれのセカンダリＶＮＩＣ８７２（１）～（Ｎ）は、データプレーンＶＣＮ８１８に含まれる信頼できないアプリサブネット８６２とコンテナエグレスＶＣＮ８６８（１）～（Ｎ）に含まれるアプリサブネットとの間の通信を容易にし得る。各コンテナエグレスＶＣＮ８６８（１）～（Ｎ）は、パブリックインターネット８５４（たとえば図６のパブリックインターネット６５４）に通信可能に結合され得るＮＡＴゲートウェイ８３８を含み得る。
制御プレーンＶＣＮ８１６に含まれ、データプレーンＶＣＮ８１８に含まれるインターネットゲートウェイ８３４は、パブリックインターネット８５４に通信可能に結合され得るメタデータ管理サービス８５２（たとえば図６のメタデータ管理システム６５２）に通信可能に結合され得る。パブリックインターネット８５４は、制御プレーンＶＣＮ８１６に含まれ、データプレーンＶＣＮ８１８に含まれるＮＡＴゲートウェイ８３８に通信可能に結合され得る。制御プレーンＶＣＮ８１６に含まれ、データプレーンＶＣＮ８１８に含まれるサービスゲートウェイ８３６は、クラウドサービス８５６に通信可能に結合され得る。
いくつかの実施形態では、データプレーンＶＣＮ８１８は、顧客テナンシ８７０と統合され得る。この統合は、コードの実行時のサポートを望む場合など、いくつかの場合においてＩａａＳプロバイダの顧客にとって有用または望ましいことがある。顧客は、破壊的であり得る、他の顧客リソースと通信し得る、またはそうでなければ望ましくない影響を引き起こし得る、実行すべきコードを提供し得る。これに応答して、ＩａａＳプロバイダは、顧客がＩａａＳプロバイダに与えたコードを実行するか否かを判断してもよい。
いくつかの例では、ＩａａＳプロバイダの顧客は、ＩａａＳプロバイダへの一時的なネットワークアクセスを許可し、ある機能をデータプレーン層アプリ８４６にアタッチするよう要求してもよい。機能を実行するためのコードはＶＭ８６６（１）～（Ｎ）において実行されてもよく、当該コードは、データプレーンＶＣＮ８１８上の他のどこかで動作するように構成されなくてもよい。各ＶＭ８６６（１）～（Ｎ）は１つの顧客テナンシ８７０に接続されてもよい。ＶＭ８６６（１）～（Ｎ）に含まれるそれぞれのコンテナ８７１（１）～（Ｎ）はコードを実行するように構成されてもよい。この場合、二重分離があってもよく（たとえば、コンテナ８７１（１）～（Ｎ）はコードを実行し、コンテナ８７１（１）～（Ｎ）は、信頼できないアプリサブネット８６２に含まれる少なくともＶＭ８６６（１）～（Ｎ）に含まれてもよい）、これは、誤ったコードまたはそうでなければ望ましくないコードがＩａａＳプロバイダのネットワーを損傷すること、または異なる顧客のネットワークを損傷することを防ぐのを助け得る。コンテナ８７１（１）～（Ｎ）は、顧客テナンシ８７０に通信可能に結合されてもよく、顧客テナンシ８７０との間でデータを送信または受信するように構成されてもよい。コンテナ８７１（１）～（Ｎ）は、データプレーンＶＣＮ８１８内の任意の他のエンティティとの間でデータを送信または受信するように構成されなくてもよい。コードの実行が完了すると、ＩａａＳプロバイダはコンテナ８７１（Ｉ）～（Ｎ）をキルするかまたはそうでなければ廃棄してもよい。
いくつかの実施形態では、信頼できるアプリサブネット８６０は、ＩａａＳプロバイダによって所有または操作され得るコードを実行し得る。この実施形態では、信頼できるアプリサブネット８６０は、ＤＢサブネット８３０に通信可能に結合されてもよく、ＤＢサブネット８３０においてＣＲＵＤ動作を実行するように構成されてもよい。信頼できないアプリサブネット８６２は、ＤＢサブネット８３０に通信可能に結合されてもよいが、この実施形態では、信頼できないアプリサブネットは、ＤＢサブネット８３０において読出動作を実行するように構成されてもよい。各顧客のＶＭ８６６（１）～（Ｎ）に含まれ得、顧客からのコードを実行し得るコンテナ８７１（１）～（Ｎ）は、ＤＢサブネット８３０に通信可能に結合されなくてもよい。
他の実施形態では、制御プレーンＶＣＮ８１６およびデータプレーンＶＣＮ８１８は、直接通信可能に結合されなくてもよい。この実施形態では、制御プレーンＶＣＮ８１６とデータプレーンＶＣＮ８１８との間に直接通信がなくてもよい。しかしながら、通信は、少なくとも１つの方法を通して間接的に行われ得る。制御プレーンＶＣＮ８１６とデータプレーンＶＣＮ８１８との間の通信を容易にし得るＬＰＧ８１０が、ＩａａＳプロバイダによって確立されてもよい。別の例では、制御プレーンＶＣＮ８１６またはデータプレーンＶＣＮ８１８は、サービスゲートウェイ８３６を介してクラウドサービス８５６への呼び出しを行い得る。たとえば、制御プレーンＶＣＮ８１６からクラウドサービス８５６への呼び出しは、データプレーンＶＣＮ８１８と通信し得るサービスの要求を含み得る。
図９は、少なくとも１つの実施形態に係る、ＩａａＳアーキテクチャの別の例示的なパターンを示すブロック図９００である。サービスオペレータ９０２（たとえば図６のサービスオペレータ６０２）は、仮想クラウドネットワーク（ＶＣＮ）９０６（たとえば図６のＶＣＮ６０６）およびセキュアホストサブネット９０８（たとえば図６のセキュアホストサブネット６０８）を含み得るセキュアホストテナンシ９０４（たとえば図６のセキュアホストテナンシ６０４）に通信可能に結合され得る。ＶＣＮ９０６は、ＳＳＨ ＶＣＮ９１２に含まれるＬＰＧ９１０を介してＳＳＨ ＶＣＮ９１２（たとえば図６のＳＳＨ ＶＣＮ６１２）に通信可能に結合され得るＬＰＧ９１０（たとえば図６のＬＰＧ６１０）を含み得る。ＳＳＨ ＶＣＮ９１２は、ＳＳＨサブネット９１４（たとえば図６のＳＳＨサブネット６１４）を含み得、ＳＳＨ ＶＣＮ９１２は、制御プレーンＶＣＮ９１６に含まれるＬＰＧ９１０を介して制御プレーンＶＣＮ９１６（たとえば図６の制御プレーンＶＣＮ６１６）に通信可能に結合され得、データプレーンＶＣＮ９１８に含まれるＬＰＧ９１０を介してデータプレーンＶＣＮ９１８（たとえば図６のデータプレーン６１８）に通信可能に結合され得る。制御プレーンＶＣＮ９１６およびデータプレーンＶＣＮ９１８は、サービステナンシ９１９（たとえば図６のサービステナンシ６１９）に含まれ得る。
制御プレーンＶＣＮ９１６は、ＬＢサブネット９２２（たとえば図６のＬＢサブネット６２２）を含み得る制御プレーンＤＭＺ層９２０（たとえば図６の制御プレーンＤＭＺ層６２０）と、アプリサブネット９２６（たとえば図６のアプリサブネット６２６）を含み得る制御プレーンアプリ層９２４（たとえば図６の制御プレーンアプリ層６２４）と、ＤＢサブネット９３０（たとえば図８のＤＢサブネット８３０）を含み得る制御プレーンデータ層９２８（たとえば図６の制御プレーンデータ層６２８）とを含み得る。制御プレーンＤＭＺ層９２０に含まれるＬＢサブネット９２２は、制御プレーンアプリ層９２４に含まれるアプリサブネット９２６と、制御プレーンＶＣＮ９１６に含まれ得るインターネットゲートウェイ９３４（たとえば図６のインターネットゲートウェイ６３４）とに通信可能に結合され得、アプリサブネット９２６は、制御プレーンデータ層９２８に含まれるＤＢサブネット９３０と、サービスゲートウェイ９３６（たとえば図６のサービスゲートウェイ）およびネットワークアドレス変換（ＮＡＴ）ゲートウェイ９３８（たとえば図６のＮＡＴゲートウェイ６３８）とに通信可能に結合され得る。制御プレーンＶＣＮ９１６は、サービスゲートウェイ９３６およびＮＡＴゲートウェイ９３８を含み得る。
データプレーンＶＣＮ９１８は、データプレーンアプリ層９４６（たとえば図６のデータプレーンアプリ層６４６）と、データプレーンＤＭＺ層９４８（たとえば図６のデータプレーンＤＭＺ層６４８）と、データプレーンデータ層９５０（たとえば図６のデータプレーンデータ層６５０）とを含み得る。データプレーンＤＭＺ層９４８は、データプレーンアプリ層９４６の信頼できるアプリサブネット９６０（たとえば図８の信頼できるアプリサブネット８６０）および信頼できないアプリサブネット９６２（たとえば図８の信頼できないアプリサブネット８６２）と、データプレーンＶＣＮ９１８に含まれるインターネットゲートウェイ９３４とに通信可能に結合され得るＬＢサブネット９２２を含み得る。信頼できるアプリサブネット９６０は、データプレーンＶＣＮ９１８に含まれるサービスゲートウェイ９３６と、データプレーンＶＣＮ９１８に含まれるＮＡＴゲートウェイ９３８と、データプレーンデータ層９５０に含まれるＤＢサブネット９３０とに通信可能に結合され得る。信頼できないアプリサブネット９６２は、データプレーンＶＣＮ９１８に含まれるサービスゲートウェイ９３６と、データプレーンデータ層９５０に含まれるＤＢサブネット９３０とに通信可能に結合され得る。データプレーンデータ層９５０は、データプレーンＶＣＮ９１８に含まれるサービスゲートウェイ９３６に通信可能に結合され得るＤＢサブネット９３０を含み得る。
信頼できないアプリサブネット９６２は、信頼できないアプリサブネット９６２内に常駐するテナント仮想マシン（ＶＭ）９６６（１）～（Ｎ）に通信可能に結合され得るプライマリＶＮＩＣ９６４（１）～（Ｎ）を含み得る。各テナントＶＭ９６６（１）～（Ｎ）は、それぞれのコンテナ９６７（１）～（Ｎ）においてコードを実行し得、コンテナエグレスＶＣＮ９６８に含まれ得るデータプレーンアプリ層９４６に含まれ得るアプリサブネット９２６に通信可能に結合され得る。それぞれのセカンダリＶＮＩＣ９７２（１）～（Ｎ）は、データプレーンＶＣＮ９１８に含まれる信頼できないアプリサブネット９６２とコンテナエグレスＶＣＮ９６８に含まれるアプリサブネットとの間の通信を容易にし得る。コンテナエグレスＶＣＮは、パブリックインターネット９５４（たとえば図６のパブリックインターネット６５４）に通信可能に結合され得るＮＡＴゲートウェイ９３８を含み得る。
制御プレーンＶＣＮ９１６に含まれ、データプレーンＶＣＮ９１８に含まれるインターネットゲートウェイ９３４は、パブリックインターネット９５４に通信可能に結合され得るメタデータ管理サービス９５２（たとえば図６のメタデータ管理システム６５２）に通信可能に結合され得る。パブリックインターネット９５４は、制御プレーンＶＣＮ９１６に含まれ、データプレーンＶＣＮ９１８に含まれるＮＡＴゲートウェイ９３８に通信可能に結合され得る。制御プレーンＶＣＮ９１６に含まれ、データプレーンＶＣＮ９１８に含まれるサービスゲートウェイ９３６は、クラウドサービス９５６に通信可能に結合され得る。
いくつかの例では、図９のブロック図９００のアーキテクチャによって示されるパターンは、図８のブロック図８００のアーキテクチャによって示されるパターンの例外と見なされてもよく、ＩａａＳプロバイダが顧客と直接通信できない場合（たとえば切断された領域）、ＩａａＳプロバイダの顧客にとって望ましいことがある。顧客ごとにＶＭ９６６（１）～（Ｎ）に含まれるそれぞれのコンテナ９６７（１）～（Ｎ）は、顧客によってリアルタイムでアクセスされ得る。コンテナ９６７（１）～（Ｎ）は、コンテナエグレスＶＣＮ９６８に含まれ得るデータプレーンアプリ層９４６のアプリサブネット９２６に含まれるそれぞれのセカンダリＶＮＩＣ９７２（１）～（Ｎ）への呼び出しを行うように構成されてもよい。セカンダリＶＮＩＣ９７２（１）～（Ｎ）はＮＡＴゲートウェイ９３８に呼び出しを送信し得、ＮＡＴゲートウェイ９３８はこの呼び出しをパブリックインターネット９５４に送信してもよい。この例では、顧客によってリアルタイムでアクセスされ得るコンテナ９６７（１）～（Ｎ）は、制御プレーンＶＣＮ９１６から分離され得、データプレーンＶＣＮ９１８に含まれる他のエンティティから分離され得る。コンテナ９６７（１）～（Ｎ）は、他の顧客からのリソースからも分離されてもよい。
他の例では、顧客は、コンテナ９６７（１）～（Ｎ）を使用してクラウドサービス９５６を呼び出し得る。この例では、顧客は、コンテナ９６７（１）～（Ｎ）において、クラウドサービス９５６にサービスを要求するコードを実行し得る。コンテナ９６７（１）～（Ｎ）はこの要求をセカンダリＶＮＩＣ９７２（１）～（Ｎ）に送信し得、セカンダリＶＮＩＣ９７２（１）～（Ｎ）はその要求をＮＡＴゲートウェイに送信し得、ＮＡＴゲートウェイはその要求をパブリックインターネット９５４に送信し得る。パブリックインターネット９５４は、インターネットゲートウェイ９３４を介して、制御プレーンＶＣＮ９１６に含まれるＬＢサブネット９２２に要求を送信し得る。要求が有効であると判断したことに応答して、ＬＢサブネットはその要求をアプリサブネット９２６に送信し得、アプリサブネット９２６はその要求をサービスゲートウェイ９３６を介してクラウドサービス９５６に送信し得る。
なお、図に示されるＩａａＳアーキテクチャ６００，７００，８００，９００は、図示される以外のコンポーネントを有してもよい。さらに、図示される実施形態は、本開示の実施形態を組み込み得るクラウドインフラストラクチャシステムのいくつかの例に過ぎない。いくつかの他の実施形態では、ＩａａＳシステムは、図示されるよりも多いもしくは少ないコンポーネントを有してもよく、２つ以上のコンポーネントを組み合わせてよく、または、コンポーネントの異なる構成もしくは配置を有してもよい。
特定の実施形態では、本明細書に記載されているＩａａＳシステムは、セルフサービスであり、サブスクリプションベースであり、弾力的にスケーラブルであり、信頼性が高く、可用性が高く、セキュアなやり方で顧客に与えられる、アプリケーション、ミドルウェア、およびデータベースサービス製品一式を含み得る。このようなＩａａＳシステムの一例は、本願の譲受人が提供するオラクルクラウドインフラストラクチャ（Oracle Cloud Infrastructure：ＯＣＩ）である。
図１０は、本開示のさまざまな実施形態が実現され得る例示的なコンピュータシステム１０００を示す。システム１０００は、上述のコンピュータシステムのうちのいずれかを実現するために使用され得る。図示されるように、コンピュータシステム１０００は、バスサブシステム１００２を介していくつかの周辺サブシステムと通信する処理ユニット１００４を含む。これらの周辺サブシステムは、処理加速ユニット１００６と、Ｉ／Ｏサブシステム１００８と、ストレージサブシステム１０１８と、通信サブシステム１０２４とを含み得る。ストレージサブシステム１０１８は、有形のコンピュータ読取可能記憶媒体１０２２およびシステムメモリ１０１０を含む。
バスサブシステム１００２は、コンピュータシステム１０００のさまざまなコンポーネントおよびサブシステムを意図されるように互いに通信させるためのメカニズムを提供する。バスサブシステム１００２は１つのバスとして概略的に示されているが、バスサブシステムの代替の実施形態は複数のバスを利用してもよい。バスサブシステム１００２は、さまざまなバスアーキテクチャのうちのいずれかを用いる、メモリバスまたはメモリコントローラ、周辺バス、およびローカルバスを含むいくつかのタイプのバス構造のうちのいずれかであってもよい。たとえば、そのようなアーキテクチャは、業界標準アーキテクチャ（ＩＳＡ）バス、マイクロチャネルアーキテクチャ（ＭＣＡ）バス、拡張ＩＳＡ（ＥＩＳＡ）バス、ビデオエレクトロニクススタンダーズアソシエーション（ＶＥＳＡ）ローカルバス、およびＩＥＥＥ Ｐ１３８６．１規格に従って製造されるメザニンバスとして実現され得る周辺コンポーネントインターコネクト（ＰＣＩ）バスを含んでもよい。
１つ以上の集積回路（たとえば従来のマイクロプロセッサまたはマイクロコントローラ）として実現され得る処理ユニット１００４は、コンピュータシステム１０００の動作を制御する。１つ以上のプロセッサが処理ユニット１００４に含まれてもよい。これらのプロセッサは、シングルコアプロセッサまたはマルチコアプロセッサを含んでもよい。特定の実施形態では、処理ユニット１００４は、シングルコアプロセッサもしくはマルチコアプロセッサが各処理ユニットに含まれる１つ以上の独立した処理ユニット１０３２および／または１０３４として実現されてもよい。他の実施形態では、処理ユニット１００４はまた、２つのデュアルコアプロセッサを１つのチップに統合することによって形成されるクアッドコア処理ユニットとして実現されてもよい。
さまざまな実施形態では、処理ユニット１００４は、プログラムコードに応答してさまざまなプログラムを実行し得、同時に実行される複数のプログラムまたはプロセスを維持し得る。任意の所与の時間に、実行すべきプログラムコードの一部またはすべてが、プロセッサ１００４および／またはストレージサブシステム１０１８に常駐し得る。適切なプログラミングを通して、プロセッサ１００４は上記のさまざまな機能を提供し得る。コンピュータシステム１０００はこれに加えて、デジタル信号プロセッサ（ＤＳＰ）、特殊目的プロセッサ、および／またはその他を含み得る処理加速ユニット１００６を含んでもよい。
Ｉ／Ｏサブシステム１００８は、ユーザインターフェイス入力デバイスおよびユーザインターフェイス出力デバイスを含み得る。ユーザインターフェイス入力デバイスは、キーボード、マウスまたはトラックボールなどのポインティングデバイス、ディスプレイに組み込まれたタッチパッドまたはタッチスクリーン、スクロールホイール、クリックホイール、ダイヤル、ボタン、スイッチ、キーパッド、音声コマンド認識システム付きの音声入力デバイス、マイク、および他のタイプの入力デバイスを含み得る。ユーザインターフェイス入力デバイスは、たとえば、ユーザが、ジェスチャおよび発話コマンドを使用するナチュラルユーザインターフェイスを通して、Microsoft Xbox（登録商標）３６０ゲームコントローラなどの入力デバイスを制御し、それとやり取りすることを可能にする、Microsoft Kinect（登録商標）モーションセンサなどのモーション感知および／またはジェスチャ認識デバイスを含み得る。ユーザインターフェイス入力デバイスはまた、ユーザからの目の動き（たとえば、写真撮影中および／またはメニュー選択中の「まばたき」）を検出し、目のジェスチャを入力デバイス（たとえばGoogle Glass（登録商標）)への入力として変換する、Google Glass（登録商標）まばたき検出器などのアイジェスチャ認識デバイスを含み得る。これに加えて、ユーザインターフェイス入力デバイスは、ユーザが音声コマンドを通して音声認識システム（たとえばSiri（登録商標）ナビゲータ）とやり取りすることを可能にする音声認識感知デバイスを含み得る。
ユーザインターフェイス入力デバイスはまた、限定されないが、３次元（３Ｄ）マウス、ジョイスティックまたはポインティングスティック、ゲームパッドおよびグラフィックタブレット、ならびにスピーカ、デジタルカメラ、デジタルカムコーダ、ポータブルメディアプレイヤー、ウェブカム、画像スキャナ、指紋スキャナ、バーコードリーダ３Ｄスキャナ、３Ｄプリンタ、レーザレンジファインダ、および視線追跡デバイスなどの聴覚／視覚デバイスを含み得る。これに加えて、ユーザインターフェイス入力デバイスは、たとえば、コンピュータ断層撮影装置、磁気共鳴撮像装置、ポジトロン断層撮影装置、医療用超音波検査装置などの医療用撮像入力デバイスを含み得る。ユーザインターフェイス入力デバイスはまた、たとえば、ＭＩＤＩキーボード、デジタル楽器などの音声入力デバイスを含み得る。
ユーザインターフェイス出力デバイスは、ディスプレイサブシステム、表示灯、または音声出力デバイスなどの非視覚的ディスプレイなどを含み得る。ディスプレイサブシステムは、陰極線管（ＣＲＴ）、液晶ディスプレイ（ＬＣＤ）またはプラズマディスプレイを用いるものなどのフラットパネルデバイス、投影デバイス、タッチスクリーンなどであってもよい。一般的に、「出力デバイス」という語を使用する場合は、コンピュータシステム１０００からユーザまたは他のコンピュータに情報を出力するための可能なすべてのタイプのデバイスおよびメカニズムを含むことを意図している。たとえば、ユーザインターフェイス出力デバイスは、限定されないが、モニタ、プリンタ、スピーカ、ヘッドホン、カーナビゲーションシステム、プロッタ、音声出力デバイス、およびモデムなどの、テキスト、図形、および音声／映像情報を視覚的に伝えるさまざまなディスプレイデバイスを含み得る。
コンピュータシステム１０００は、現在はシステムメモリ１０１０内にあるものとして示されているソフトウェア要素を含むストレージサブシステム１０１８を含み得る。システムメモリ１０１０は、処理ユニット１００４上でロード可能および実行可能なプログラム命令、ならびにこれらのプログラムの実行中に生成されたデータを格納し得る。
コンピュータシステム１０００の構成およびタイプに応じて、システムメモリ１０１０は、揮発性（ランダムアクセスメモリ（ＲＡＭ）など）および／または不揮発性（読出専用メモリ（ＲＯＭ）、フラッシュメモリなど）であってもよい。ＲＡＭは典型的には、処理ユニット１００４に直ちにアクセス可能である、ならびに／または処理ユニット１００４によって現在操作および実行されている、データおよび／またはプログラムモジュールを含む。いくつかの実現例では、システムメモリ１０１０は、スタティックランダムアクセスメモリ（ＳＲＡＭ）またはダイナミックランダムアクセスメモリ（ＤＲＡＭ）などの複数の異なるタイプのメモリを含み得る。いくつかの実現例では、起動中などにコンピュータシステム１０００内の要素間で情報を転送するのを助ける基本的なルーチンを含む基本入出力システム（ＢＩＯＳ）が、典型的にはＲＯＭに格納されてもよい。限定ではなく例として、システムメモリ１０１０はまた、クライアントアプリケーション、ウェブブラウザ、中間層アプリケーション、リレーショナルデータベース管理システム（ＲＤＢＭＳ）などを含み得るアプリケーションプログラム１０１２と、プログラムデータ１０１４と、オペレーティングシステム１０１６とを示している。例として、オペレーティングシステム１０１６は、さまざまなバージョンのMicrosoft Windows（登録商標）、Apple Macintosh（登録商標）、および／またはLinux（登録商標）オペレーティングシステム、さまざまな市販のUNIX（登録商標）またはUNIX（登録商標）系オペレーティングシステム（限定されないがさまざまなGNU/Linux（登録商標）オペレーティングシステム、Google Chrome（登録商標）OSなどを含む）、および／またはiOS、Windows（登録商標）Phone、Android（登録商標）OS、BlackBerry（登録商標）10 OS、およびPalm（登録商標）OSオペレーティングシステムなどのモバイルオペレーティングシステムを含み得る。
ストレージサブシステム１０１８はまた、いくつかの実施形態の機能を提供する基本的なプログラミングおよびデータ構造を格納するための有形のコンピュータ読取可能記憶媒体を提供し得る。プロセッサによって実行されると上記機能を提供するソフトウェア（プログラム、コードモジュール、命令）がストレージサブシステム１０１８に格納され得る。これらのソフトウェアモジュールまたは命令は、処理ユニット１００４によって実行され得る。ストレージサブシステム１０１８はまた、本開示に従って使用されるデータを格納するためのリポジトリを提供し得る。
ストレージサブシステム１０００はまた、コンピュータ読取可能記憶媒体１０２２にさらに接続され得るコンピュータ読取可能記憶媒体リーダ１０２０を含み得る。システムメモリ１０１０とともに、また、オプションとしてシステムメモリ１０１０と組み合わされて、コンピュータ読取可能記憶媒体１０２２は、コンピュータ読取可能情報を一時的におよび／またはより恒久的に含む、格納する、送信する、および取り出すための、遠隔の、ローカルな、固定された、および／またはリムーバブルな記憶装置に記憶媒体を加えたものを包括的に表し得る。
コードまたはコードの一部を含むコンピュータ読取可能記憶媒体１０２２はまた、限定されないが、情報の格納および／または送信のための任意の方法または技術で実現される、揮発性および不揮発性、リムーバブルおよび非リムーバブル媒体などの、記憶媒体および通信媒体を含む、当該技術において周知のまたは使用されている任意の適切な媒体を含み得る。これは、ＲＡＭ、ＲＯＭ、電子的に消去可能プログラマブルＲＯＭ（ＥＥＰＲＯＭ）、フラッシュメモリもしくは他のメモリ技術、ＣＤ－ＲＯＭ、デジタル多用途ディスク（ＤＶＤ）、または他の光学記憶装置、磁気カセット、磁気テープ、磁気ディスク記憶装置もしくは他の磁気記憶装置、または他の有形のコンピュータ読取可能媒体などの、有形のコンピュータ読取可能記憶媒体を含み得る。これはまた、データ信号、データ伝送、または所望の情報を送信するために使用することができ、コンピューティングシステム１０００によってアクセスすることができる任意の他の媒体などの、非有形のコンピュータ読取可能媒体を含み得る。
例として、コンピュータ読取可能記憶媒体１０２２は、非リムーバブル不揮発性磁気媒体に対する読出および書込を行うハードディスクドライブ、リムーバブル不揮発性磁気ディスクに対する読出および書込を行う磁気ディスクドライブ、ならびに、ＣＤ ＲＯＭ、ＤＶＤ、およびBlu-Ray（登録商標）ディスク、または他の光学媒体などのリムーバブル不揮発性光ディスクに対する読出および書込を行う光ディスクドライブを含み得る。コンピュータ読取可能記憶媒体１０２２は、限定されないが、Ｚｉｐ（登録商標）ドライブ、フラッシュメモリカード、ユニバーサルシリアルバス（ＵＳＢ）フラッシュドライブ、セキュアデジタル（ＳＤ）カード、ＤＶＤディスク、デジタルビデオテープなどを含み得る。コンピュータ読取可能記憶媒体１０２２はまた、フラッシュメモリベースのＳＳＤ、エンタープライズフラッシュドライブ、ソリッドステートＲＯＭなどの不揮発性メモリに基づくソリッドステートドライブ（ＳＳＤ）、ソリッドステートＲＡＭ、ダイナミックＲＡＭ、スタティックＲＡＭなどの揮発性メモリに基づくＳＳＤ、ＤＲＡＭベースのＳＳＤ、磁気抵抗ＲＡＭ（ＭＲＡＭ）ＳＳＤ、およびＤＲＡＭとフラッシュメモリベースのＳＳＤとの組み合わせを使用するハイブリッドＳＳＤを含み得る。ディスクドライブおよびこれらに関連付けられたコンピュータ読取可能媒体は、コンピュータ読取可能命令、データ構造、プログラムモジュール、および他のデータの不揮発性ストレージをコンピュータシステム１０００に提供し得る。
通信サブシステム１０２４は、他のコンピュータシステムおよびネットワークに対するインターフェイスを提供する。通信サブシステム１０２４は、他のシステムとコンピュータシステム１０００との間でデータを送受信するためのインターフェイスの役割を果たす。たとえば、通信サブシステム１０２４は、コンピュータシステム１０００がインターネットを介して１つ以上のデバイスに接続することを可能にし得る。いくつかの実施形態では、通信サブシステム１０２４は、（たとえば携帯電話技術、３Ｇ、４ＧもしくはＥＤＧＥ（enhanced data rates for global evolution）などの高度データネットワーク技術、ＷｉＦｉ（登録商標）（ＩＥＥＥ ８０２．１１系規格、または他の移動通信技術、またはそれらの任意の組み合わせを使用して）無線音声および／またはデータネットワークにアクセスするための無線周波数（ＲＦ）トランシーバーコンポーネント、グローバルポジショニングシステム（ＧＰＳ）受信機コンポーネント、および／または他のコンポーネントを含み得る。いくつかの実施形態では、通信サブシステム１０２４は、無線インターフェイスに加えてまたはその代わりに、有線ネットワーク接続性（たとえばイーサネット）を提供し得る。
いくつかの実施形態では、通信サブシステム１０２４はまた、コンピュータシステム１０００を使用し得る１人以上のユーザの代わりに、構造化および／または非構造化データフィード１０２６、イベントストリーム１０２８、イベント更新１０３０などの形態の入力通信を受信してもよい。
例として、通信サブシステム１０２４は、Twitter（登録商標）フィード、Facebook（登録商標）更新、Rich Site Summary（ＲＳＳ）フィードなどのウェブフィード、および／または１つ以上の第三者情報源からのリアルタイム更新などの、ソーシャルネットワークおよび／または他の通信サービスのユーザからのデータフィード１０２６をリアルタイムで受信するように構成されてもよい。
これに加えて、通信サブシステム１０２４はまた、明確な終わりがなく本質的に連続的または無限であってもよい、リアルタイムイベントのイベントストリーム１０２８および／またはイベント更新１０３０を含み得る、連続データストリームの形態のデータを受信するように構成されてもよい。連続データを生成するアプリケーションの例としては、たとえば、センサデータアプリケーション、金融ティッカー、ネットワーク性能測定ツール（たとえばネットワークモニタリングおよびトラフィック管理アプリケーション）、クリックストリーム分析ツール、自動車交通監視などが挙げられ得る。
通信サブシステム１０２４はまた、構造化および／または非構造化データフィード１０２６、イベントストリーム１０２８、イベント更新１０３０などを、コンピュータシステム１０００に結合された１つ以上のストリーミングデータソースコンピュータと通信し得る１つ以上のデータベースに出力するように構成されてもよい。
コンピュータシステム１０００は、ハンドヘルドポータブルデバイス（たとえば、iPhone（登録商標）携帯電話、iPad（登録商標）コンピューティングタブレット、ＰＤＡ）、ウェアラブルデバイス（たとえば、Google Glass（登録商標）ヘッドマウントディスプレイ）、ＰＣ、ワークステーション、メインフレーム、キオスク、サーバラック、またはその他任意のデータ処理システムを含む、さまざまなタイプのうちの１つとすることができる。
コンピュータおよびネットワークには常に変化しているという性質があるので、図に示されるコンピュータシステム１０００の説明は、具体的な一例を意図しているに過ぎない。図に示されるシステムよりも多いまたは少ないコンポーネントを有するその他多数の構成が可能である。たとえば、カスタマイズされたハードウェアが使用されてもよく、および／または特定の要素がハードウェア、ファームウェア、ソフトウェア（アプレットを含む）、もしくは組み合わせで実現されてもよい。さらに、ネットワーク入出力デバイスなどの他のコンピューティングデバイスに対する接続が採用されてもよい。本明細書に提供されている開示および教示に基づいて、当業者は、各種実施形態を実現するための他のやり方および／または方法を理解するであろう。
クラウドサービスという語は、クラウドサービスプロバイダ（ＣＳＰ）によって提供されるシステムおよびインフラストラクチャ（クラウドインフラストラクチャ）を使用してＣＳＰによってユーザまたは顧客がオンデマンドで（たとえばサブスクリプションモデルを介して）利用できるようになるサービスを指すために一般に用いられる。典型的に、ＣＳＰのインフラストラクチャを構成するサーバおよびシステムは、顧客自身のオンプレミスサーバおよびシステムとは別のものである。よって、顧客は、ＣＳＰによって提供されるクラウドサービスを、それらのサービスのための別個のハードウェアおよびソフトウェアリソースを購入する必要なしに利用することができる。クラウドサービスは、加入している顧客がそれらのサービスを提供するのに使用されるインフラストラクチャの調達に投資する必要なしに、アプリケーションおよびコンピューティングリソースへの容易でスケーラブルなアクセスを顧客に提供するように設計されている。
さまざまなタイプのクラウドサービスを提供するいくつかのクラウドサービスプロバイダがある。サービスとしてのソフトウェア（Software-as-a-Service：ＳａａＳ）、サービスとしてのプラットフォーム（Platform-as-a-Service：ＰａａＳ）、サービスとしてのインフラストラクチャ（Infrastructure-as-a-Service：ＩａａＳ）などを含むさまざまな異なるタイプまたはモデルのクラウドサービスがある。
顧客は、ＣＳＰによって提供される１つ以上のクラウドサービスに加入することができる。顧客は、個人、組織、企業などの任意のエンティティとすることができる。顧客がＣＳＰによって提供されるサービスに加入または登録すると、その顧客のテナンシまたはアカウントが作成される。そして、顧客はこのアカウントを介して、アカウントに関連付けられた、加入した１つ以上のクラウドリソースにアクセスすることができる。
上述のように、サービスとしてのインフラストラクチャ（ＩａａＳ）は、ある特定のタイプのクラウドコンピューティングサービスである。ＩａａＳモデルでは、ＣＳＰは、顧客が自身のカスタマイズ可能なネットワークを構築し、顧客リソースを展開するために使用することができるインフラストラクチャ（クラウドサービスプロバイダインフラストラクチャまたはＣＳＰＩと呼ばれる）を提供する。よって、顧客のリソースおよびネットワークは、ＣＳＰによって提供されるインフラストラクチャによって分散環境でホストされている。これは、顧客のリソースおよびネットワークが顧客によって提供されるインフラストラクチャによってホストされている従来のコンピューティングとは異なる。
ＣＳＰＩは、さまざまなホストマシンを含む相互接続された高性能の計算リソースと、メモリリソースと、基幹ネットワークまたはアンダーレイネットワークとも呼ばれる物理ネットワークを形成するネットワークリソースとを含み得る。ＣＳＰＩのリソースは、１つ以上の地理的領域に地理的に分散され得る１つ以上のデータセンターに分散され得る。これらの物理リソースによって仮想化ソフトウェアが実行されて、仮想化分散環境が提供され得る。仮想化は、物理ネットワーク上にオーバーレイネットワーク（ソフトウェアベースネットワーク、ソフトウェア定義ネットワーク、または仮想ネットワークとしても知られている）を作成する。ＣＳＰＩ物理ネットワークは、物理ネットワークの上に１つ以上のオーバーレイネットワークまたは仮想ネットワークを作成するための基礎を提供する。仮想ネットワークまたはオーバーレイネットワークは、１つ以上の仮想クラウドネットワーク（ＶＣＮ）を含み得る。仮想ネットワークは、ソフトウェア仮想化技術（たとえば、ハイパーバイザ、ネットワーク仮想化デバイス（ＮＶＤ）（たとえばスマートＮＩＣ）によって実行される機能、トップオブラック（ＴＯＲ）スイッチ、ＮＶＤによって実行される１つ以上の機能を実現するスマートＴＯＲ、および他のメカニズム）を使用して実現されて、物理ネットワークの上で動作可能なネットワーク抽象化層を作成する。仮想ネットワークは、ピアツーピアネットワーク、ＩＰネットワークなどを含むさまざまな形態を取ることができる。仮想ネットワークは典型的に、レイヤ３ＩＰネットワークまたはレイヤ２ＶＬＡＮのいずれかである。この仮想ネットワーキングまたはオーバーレイネットワーキングの方法は、しばしば仮想レイヤ３ネットワーキングまたはオーバーレイレイヤ３ネットワーキングと呼ばれる。仮想ネットワークのために開発されたプロトコルの例としては、ＩＰ－ｉｎ－ＩＰ（または汎用ルーティングカプセル化（ＧＲＥ））、仮想拡張可能ＬＡＮ（ＶＸＬＡＮ－ＩＥＴＦ ＲＦＣ７３４８）、仮想プライベートネットワーク（ＶＰＮ）（たとえばＭＰＬＳレイヤ３仮想プライベートネットワーク（ＲＦＣ４３６４））、ＶＭｗａｒｅのＮＳＸ、ＧＥＮＥＶＥ（汎用ネットワーク仮想化カプセル化）などが挙げられる。
ＩａａＳの場合、ＣＳＰによって提供されるインフラストラクチャ（ＣＳＰＩ）は、パブリックネットワーク（たとえばインターネット）を介して仮想化コンピューティングリソースを提供するように構成され得る。ＩａａＳモデルでは、クラウドコンピューティングサービスプロバイダは、インフラストラクチャコンポーネント（たとえば、サーバ、ストレージデバイス、ネットワークノード（たとえばハードウェア）、展開ソフトウェア、プラットフォーム仮想化（たとえばハイパーバイザ層）など）をホストし得る。いくつかの場合において、ＩａａＳプロバイダはまた、それらのインフラストラクチャコンポーネントに付随するさまざまなサービス（たとえば、課金、監視、ロギング、セキュリティ、ロードバランシングおよびクラスタリングなど）を提供してもよい。よって、これらのサービスはポリシー駆動型であり得るので、ＩａａＳユーザは、ロードバランシングを駆動するポリシーを実現して、アプリケーションの可用性および性能を維持することが可能であり得る。ＣＳＰＩは、顧客が高可用性のホスト型分散環境で広範なアプリケーションおよびサービスを構築して実行することを可能にするインフラストラクチャおよび一連の補完的なクラウドサービスを提供する。ＣＳＰＩは、顧客のオンプレミスネットワークからなどのさまざまなネットワーク拠点からセキュアにアクセスできる柔軟な仮想ネットワークにおける高性能の計算リソースおよび能力ならびに記憶容量を提供する。顧客がＣＳＰによって提供されるＩａａＳサービスに加入または登録すると、その顧客のために作成されるテナンシは、ＣＳＰＩ内のセキュアな分離されたパーティションとなり、この中で顧客は自身のクラウドリソースを作成、整理、および管理することができる。
顧客は、ＣＳＰＩによって提供される計算リソース、メモリリソース、およびネットワーキングリソースを使用して、自身の仮想ネットワークを構築することができる。これらの仮想ネットワーク上に、計算インスタンスなどの１つ以上の顧客リソースまたはワークロードを展開することができる。たとえば、顧客は、ＣＳＰＩによって提供されるリソースを使用して、仮想クラウドネットワーク（ＶＣＮ）と呼ばれる１つまたは複数のカスタマイズ可能なプライベート仮想ネットワークを構築することができる。顧客は、顧客ＶＣＮ上に、計算インスタンスなどの１つ以上の顧客リソースを展開することができる。計算インスタンスは、仮想マシン、ベアメタルインスタンスなどの形態を取ることができる。よって、ＣＳＰＩは、顧客が高可用性の仮想ホスト型環境で広範なアプリケーションおよびサービスを構築して実行することを可能にするインフラストラクチャおよび一連の補完的なクラウドサービスを提供する。顧客は、ＣＳＰＩによって提供される基礎となる物理リソースを管理または制御しないが、オペレーティングシステム、ストレージ、および展開されたアプリケーションを制御し、場合によっては一部のネットワーキングコンポーネント（たとえばファイアウォール）を限定的に制御する。
ＣＳＰは、顧客およびネットワーク管理者がＣＳＰＩリソースを使用してクラウドに展開されたリソースを構成、アクセス、および管理することを可能にするコンソールを提供してもよい。特定の実施形態では、コンソールは、ＣＳＰＩにアクセスしてＣＳＰＩを管理するために使用することができるウェブベースのユーザインターフェイスを提供する。いくつかの実現例では、コンソールは、ＣＳＰによって提供されるウェブベースのアプリケーションである。
ＣＳＰＩは、シングルテナンシアーキテクチャまたはマルチテナンシアーキテクチャをサポートしてもよい。シングルテナンシアーキテクチャでは、ソフトウェア（たとえばアプリケーション、データベース）またはハードウェアコンポーネント（たとえばホストマシンもしくはサーバ）が、単一の顧客またはテナントにサービスを提供する。マルチテナンシアーキテクチャでは、ソフトウェアまたはハードウェアコンポーネントが、複数の顧客またはテナントにサービスを提供する。よって、マルチテナンシアーキテクチャでは、ＣＳＰＩリソースは複数の顧客またはテナントの間で共有される。マルチテナンシの状況では、各テナントのデータが分離されて他のテナントには見えない状態のままであるように、ＣＳＰＩにおいて予防措置および保護措置が取られる。
物理ネットワークでは、ネットワークエンドポイント（「エンドポイント」）とは、物理ネットワークに接続され、自身が接続されているネットワークと双方向に通信するコンピューティングデバイスまたはシステムを指す。物理ネットワーク内のネットワークエンドポイントは、ローカルエリアネットワーク（ＬＡＮ）、ワイドエリアネットワーク（ＷＡＮ）、または他のタイプの物理ネットワークに接続され得る。物理ネットワーク内の従来のエンドポイントの例としては、モデム、ハブ、ブリッジ、スイッチ、ルータ、および他のネットワーキングデバイス、物理コンピュータ（またはホストマシン）などが挙げられる。物理ネットワーク内の各物理デバイスは、当該デバイスと通信するために使用され得る固定ネットワークアドレスを有する。この固定ネットワークアドレスは、レイヤ２アドレス（たとえばＭＡＣアドレス）、固定レイヤ３アドレス（たとえばＩＰアドレス）などであり得る。仮想化環境または仮想ネットワークでは、エンドポイントは、物理ネットワークのコンポーネントによってホストされている（たとえば物理ホストマシンによってホストされている）仮想マシンなどのさまざまな仮想エンドポイントを含み得る。仮想ネットワーク内のこれらのエンドポイントは、オーバーレイレイヤ２アドレス（たとえばオーバーレイＭＡＣアドレス）およびオーバーレイレイヤ３アドレス（たとえばオーバーレイＩＰアドレス）などのオーバーレイアドレスによってアドレス指定される。ネットワークオーバーレイは、ネットワーク管理者がソフトウェア管理を用いて（たとえば、仮想ネットワークの制御プレーンを実現するソフトウェアを介して）ネットワークエンドポイントに関連付けられたオーバーレイアドレスを移動できるようにすることによって、柔軟性を可能にする。したがって、物理ネットワークとは異なり、仮想ネットワークでは、ネットワーク管理ソフトウェアを用いてオーバーレイアドレス（たとえばオーバーレイＩＰアドレス）をあるエンドポイントから別のエンドポイントに移動することができる。仮想ネットワークは物理ネットワークの上に構築されているので、仮想ネットワーク内のコンポーネント間の通信は、仮想ネットワークおよび基礎となる物理ネットワークの両方を伴う。このような通信を容易にするために、ＣＳＰＩのコンポーネントは、仮想ネットワーク内のオーバーレイアドレスを基幹ネットワーク内の実際の物理アドレスにマッピングする、またはその反対にマッピングするマッピングを学習して格納するように構成されている。そして、これらのマッピングは、通信を容易にするために使用される。仮想ネットワーク内のルーティングを容易にするために顧客トラフィックはカプセル化される。
したがって、物理アドレス（たとえば物理ＩＰアドレス）は物理ネットワーク内のコンポーネントに関連付けられ、オーバーレイアドレス（たとえばオーバーレイＩＰアドレス）は仮想ネットワーク内のエンティティに関連付けられる。物理ＩＰアドレスおよびオーバーレイＩＰアドレスは、いずれも実ＩＰアドレスの一種である。これらは、複数の実ＩＰアドレスにマッピングされる仮想ＩＰアドレスとは別のものである。仮想ＩＰアドレスは、仮想ＩＰアドレスと複数の実ＩＰアドレスとの間の１対多マッピングを提供する。
クラウドインフラストラクチャまたはＣＳＰＩは、世界中の１つ以上のリージョン内の１つ以上のデータセンターにおいて物理的にホストされている。ＣＳＰＩは、物理ネットワークまたは基幹ネットワーク内のコンポーネントと、物理ネットワークコンポーネントの上に構築された仮想ネットワーク内にある仮想化コンポーネント（たとえば、仮想ネットワーク、計算インスタンス、仮想マシンなど）とを含み得る。特定の実施形態では、ＣＳＰＩは、レルム、リージョン、および可用性ドメインにおいて編成されホストされている。リージョンは典型的には、１つ以上のデータセンターを含むローカライズされた地理的地域である。リージョンは一般的に互いに独立しており、広大な距離で（たとえば国またはさらには大陸間で）で分離され得る。たとえば、第１のリージョンはオーストラリアにあり、別のリージョンは日本にあり、さらに別のリージョンはインドにある、などであってもよい。ＣＳＰＩリソースは、各リージョンが自身の独立したＣＳＰＩリソースのサブセットを有するように、リージョン間で分割される。各リージョンは、計算リソース（たとえば、ベアメタルサーバ、仮想マシン、コンテナおよび関連のインフラストラクチャなど）、ストレージリソース（たとえば、ブロックボリュームストレージ、ファイルストレージ、オブジェクトストレージ、アーカイブストレージ）、ネットワーキングリソース（たとえば、仮想クラウドネットワーク（ＶＣＮ）、ロードバランシングリソース、オンプレミスネットワークへの接続）、データベースリソース、エッジネットワーキングリソース（たとえばＤＮＳ）、ならびにアクセス管理および監視リソースなどの、一連のコアインフラストラクチャサービスおよびリソースを提供し得る。各リージョンは一般的に、当該リージョンをレルム内の他のリージョンに接続する複数のパスを有する。
一般に、近くにあるリソースの使用は遠くにあるリソースの使用よりも高速であるため、アプリケーションは、それが最も頻繁に使用されるリージョンに展開される（すなわち、そのリージョンに関連付けられたインフラストラクチャ上に展開される）。また、大規模な気象系または地震などのリージョン全体の事象のリスクを軽減するための冗長性、法的管轄区域、税領域、および他のビジネス基準または社会的基準などのさまざまな要件を満たすための冗長性などのさまざまな理由で、異なるリージョンにアプリケーションが展開され得る。
リージョン内のデータセンターは、さらに編成され、可用性ドメイン（ＡＤ）に細分化され得る。可用性ドメインは、あるリージョン内に位置する１つ以上のデータセンターに対応してもよい。リージョンは、１つ以上の可用性ドメインで構成され得る。このような分散環境では、ＣＳＰＩリソースは、仮想クラウドネットワーク（ＶＣＮ）のようにリージョン固有である、または計算インスタンスのように可用性ドメイン固有である。
あるリージョン内のＡＤは、互いに分離され、フォールトトレラントであり、同時に障害が起きることはほとんどないように構成されている。これは、あるリージョン内の１つのＡＤにおける障害が同じリージョン内の他のＡＤの可用性に影響を与える可能性がほとんどないように、ネットワーキング、物理ケーブル、ケーブルパス、ケーブルエントリポイントなどの重要なインフラストラクチャリソースをＡＤが共有しないことによって達成される。同じリージョン内のＡＤが低遅延・広帯域ネットワークによって互いに接続され得ることにより、他のネットワーク（たとえば、インターネット、顧客のオンプレミスネットワークなど）への高可用性接続を提供することができ、複数のＡＤにおいて高可用性およびディザスタリカバリの双方のための複製システムを構築することができる。クラウドサービスは、複数のＡＤを使用して、高可用性を確保し、リソース障害から保護する。ＩａａＳプロバイダによって提供されるインフラストラクチャが発展するにつれて、より多くのリージョンおよびＡＤが追加の容量とともに追加され得る。可用性ドメイン間のトラフィックは、通常は暗号化される。
特定の実施形態では、リージョンはレルムにグループ化される。レルムは、リージョンの論理集合である。レルムは互いに分離されており、データを共有しない。同じレルム内のリージョンは互いに通信し得るが、異なるレルム内のリージョン互いに通信できない。ＣＳＰの顧客のテナンシまたはアカウントは、１つのレルムに存在し、そのレルムに属する１つ以上のリージョンにまたがることができる。典型的には、顧客がＩａａＳサービスに加入すると、レルム内の顧客指定リージョン（「ホーム」リージョンと呼ばれる）において、その顧客のためのテナンシまたはアカウントが作成される。顧客は、自身のテナンシをレルム内の１つ以上の他のリージョンに拡張することができる。顧客は、自身のテナンシが存在するレルム内にないリージョンにはアクセスできない。
ＩａａＳプロバイダは複数のレルムを提供することができ、各レルムは特定の一組の顧客またはユーザを対象とする。たとえば、商用顧客に商用レルムが提供され得る。別の例として、特定の国またはその国の顧客にレルムが提供され得る。さらに別の例として、政府に政府レルムが提供される、などであり得る。たとえば、政府レルムは特定の政府を対象とし得、商用レルムよりも高いセキュリティレベルを有し得る。たとえば、オラクルクラウドインフラストラクチャ（ＯＣＩ）は、現在、商用リージョンのためのレルム、ならびに政府クラウドリージョンのための２つのレルム（たとえばＦｅｄＲＡＭＰ認定済みおよびＩＬ５認定済み）を提供している。
特定の実施形態では、ＡＤは１つ以上のフォルトドメインに細分化され得る。フォルトドメインは、アンチアフィニティを提供するためのＡＤ内のインフラストラクチャリソースのグループ化である。フォルトドメインは、計算インスタンスが１つのＡＤ内の同じ物理ハードウェア上に存在しないように、当該インスタンスを分散させることができる。これはアンチアフィニティとして知られている。フォルトドメインとは、単一障害点を共有するハードウェアコンポーネントのセット（コンピュータ、スイッチ、およびその他）を指す。計算プールは、フォルトドメインに論理的に分割される。このため、１つのフォルトドメインに影響を与えるハードウェア障害または計算ハードウェア保守イベントは、他のフォルトドメイン内のインスタンスには影響を与えない。実施形態に応じて、各ＡＤのフォルトドメイン数は異なり得る。たとえば、特定の実施形態では、各ＡＤは３つのフォルトドメインを含む。フォルトドメインは、ＡＤ内の論理データセンターとして機能する。
顧客がＩａａＳサービスに加入すると、ＣＳＰＩからのリソースがその顧客に対してプロビジョニングされ、その顧客のテナンシに関連付けられる。顧客は、これらのプロビジョニングされたリソースを使用して、プライベートネットワークを構築し、これらのネットワーク上にリソースを展開することができる。ＣＳＰＩによってクラウド内にホストされている顧客ネットワークは、仮想クラウドネットワーク（ＶＣＮ）と呼ばれる。顧客は、自身に割り当てられたＣＳＰＩリソースを使用して１つ以上の仮想クラウドネットワーク（ＶＣＮ）をセットアップすることができる。ＶＣＮとは、仮想またはソフトウェア定義プライベートネットワークである。顧客のＶＣＮにおいて展開される顧客リソースは、計算インスタンス（たとえば、仮想マシン、ベアメタルインスタンス）および他のリソースを含み得る。これらの計算インスタンスは、アプリケーション、ロードバランサ、データベースなどのさまざまな顧客ワークロードを表し得る。ＶＣＮ上に展開される計算インスタンスは、インターネットなどのパブリックネットワークを介して公的にアクセス可能なエンドポイント（「パブリックエンドポイント」）と通信することができ、同じＶＣＮまたは他のＶＣＮ（たとえば、顧客の他のＶＣＮ、もしくは顧客に属さないＶＣＮ）内の他のインスタンスと通信することができ、顧客のオンプレミスデータセンターまたはネットワークと通信することができ、サービスエンドポイントおよび他のタイプのエンドポイントと通信することができる。
ＣＳＰは、ＣＳＰＩを使用してさまざまなサービスを提供してもよい。いくつかの例では、ＣＳＰＩの顧客自身がサービスプロバイダのように振る舞い、ＣＳＰＩリソースを使用してサービスを提供してもよい。サービスプロバイダは、識別情報（たとえば、ＩＰアドレス、ＤＮＳ名およびポート）によって特徴付けられるサービスエンドポイントを公開してもよい。顧客のリソース（たとえば計算インスタンス）は、特定のサービスについての特定のサービスによって公開されたサービスエンドポイントにアクセスすることによって、その特定のサービスを消費することができる。これらのサービスエンドポイントは一般に、ユーザが、エンドポイントに関連付けられたパブリックＩＰアドレスを使用して、インターネットなどのパブリック通信ネットワークを介して公的にアクセス可能なエンドポイントである。公的にアクセス可能なネットワークエンドポイントは、パブリックエンドポイントと呼ばれることもある。
特定の実施形態では、サービスプロバイダは、サービスのエンドポイント（サービスエンドポイントと呼ばれることもある）を介して当該サービスを公開してもよい。そして、サービスの顧客は、このサービスエンドポイントを使用してサービスにアクセスすることができる。特定の実現例では、サービスのために提供されるサービスエンドポイントには、そのサービスを消費するつもりの複数の顧客がアクセスすることができる。他の実現例では、ある顧客のみがある専用のサービスエンドポイントを使用してサービスにアクセスできるように、その専用のサービスエンドポイントがその顧客に提供されてもよい。
特定の実施形態では、ＶＣＮが作成されると、当該ＶＣＮは、当該ＶＣＮに割り当てられるプライベートオーバーレイＩＰアドレスの範囲（たとえば、１０．０／１６）であるプライベートオーバーレイ・クラスレスドメイン間ルーティング（ＣＩＤＲ）アドレス空間に関連付けられる。ＶＣＮは、関連付けられたサブネット、ルートテーブル、およびゲートウェイを含む。ＶＣＮは、１つのリージョン内に常駐するが、そのリージョンの可用性ドメインの１つまたは複数またはすべてにまたがることができる。ゲートウェイは、ＶＣＮのために構成され、ＶＣＮとＶＣＮ外部の１つ以上のエンドポイントとの間のトラフィックの通信を可能にする仮想インターフェイスである。異なるタイプのエンドポイント間の通信を可能にするように、１つ以上の異なるタイプのゲートウェイがＶＣＮのために構成されてもよい。
ＶＣＮは、１つ以上のサブネットなどの１つ以上のサブネットワークに細分化され得る。よって、サブネットは、ＶＣＮ内に作成可能な構成単位または下位区分である。ＶＣＮは１つまたは複数のサブネットを有し得る。ＶＣＮ内の各サブネットは、そのＶＣＮ内の他のサブネットと重複せず、当該ＶＣＮのアドレス空間内のアドレス空間サブセットを表すオーバーレイＩＰアドレスの連続範囲（たとえば、１０．０．０．０／２４および１０．０．１．０／２４）に関連付けられる。
各計算インスタンスは、当該計算インスタンスがＶＣＮのサブネットに参加することを可能にする仮想ネットワークインターフェイスカード（ＶＮＩＣ）に関連付けられる。ＶＮＩＣは、物理ネットワークインターフェイスカード（ＮＩＣ）の論理的表現である。一般的に、ＶＮＩＣは、エンティティ（たとえば計算インスタンス、サービス）と仮想ネットワークとの間のインターフェイスである。ＶＮＩＣはサブネットに存在し、１つ以上の関連付けられたＩＰアドレスと、関連付けられたセキュリティルールまたはポリシーとを有する。ＶＮＩＣは、スイッチ上のレイヤ２ポートに相当する。ＶＮＩＣは、計算インスタンスと、ＶＣＮ内のサブネットとにアタッチされている。計算インスタンスに関連付けられたＶＮＩＣは、計算インスタンスがＶＣＮのサブネットの一部であることを可能にし、計算インスタンスが、計算インスタンスと同じサブネット上にあるエンドポイントと通信する（たとえばパケットを送受信する）こと、ＶＣＮ内の異なるサブネット内のエンドポイントと通信すること、またはＶＣＮ外部のエンドポイントと通信することを可能にする。よって、計算インスタンスに関連付けられたＶＮＩＣは、計算インスタンスがＶＣＮの内部および外部のエンドポイントにどのように接続するかを決定する。計算インスタンスのＶＮＩＣは、その計算インスタンスが作成されてＶＣＮ内のサブネットに追加されると、作成されて当該計算インスタンスに関連付けられる。計算インスタンスのセットを含むサブネットの場合、サブネットは、計算インスタンスのセットに対応するＶＮＩＣを含み、各ＶＮＩＣはコンピュータインスタンスのセット内の計算インスタンスにアタッチされている。
各計算インスタンスには、当該計算インスタンスに関連付けられたＶＮＩＣを介してプライベートオーバーレイＩＰアドレスが割り当てられる。このプライベートオーバーレイＩＰアドレスは、計算インスタンスが作成されると計算インスタンスに関連付けられたＶＮＩＣに割り当てられ、計算インスタンスとの間のトラフィックをルーティングするために使用される。所与のサブネット内のすべてのＶＮＩＣは、同じルートテーブル、セキュリティリスト、およびＤＨＣＰオプションを使用する。上述のように、ＶＣＮ内の各サブネットは、そのＶＣＮ内の他のサブネットと重複せず、当該ＶＣＮのアドレス空間内のアドレス空間サブセットを表すオーバーレイＩＰアドレスの連続範囲（たとえば、１０．０．０．０／２４および１０．０．１．０／２４）に関連付けられる。ＶＣＮの特定のサブネット上のＶＮＩＣの場合、当該ＶＮＩＣに割り当てられるプライベートオーバーレイＩＰアドレスは、サブネットに割り当てられたオーバーレイＩＰアドレスの連続範囲からのアドレスである。
特定の実施形態では、計算インスタンスに、プライベートオーバーレイＩＰアドレスに加えて、パブリックサブネットにある場合はたとえば１つ以上のパブリックＩＰアドレスなどの追加のオーバーレイＩＰアドレスがオプションとして割り当てられてもよい。これら複数のアドレスは、同じＶＮＩＣ上で、または計算インスタンスに関連付けられた複数のＶＮＩＣ上で割り当てられる。しかしながら、各インスタンスは、インスタンス起動中に作成され、インスタンスに割り当てられたオーバーレイプライベートＩＰアドレスに関連付けられているプライマリＶＮＩＣを有する。このプライマリＶＮＩＣは削除することができない。セカンダリＶＮＩＣと呼ばれる追加のＶＮＩＣを、プライマリＶＮＩＣと同じ可用性ドメイン内の既存のインスタンスに追加することができる。すべてのＶＮＩＣは、インスタンスと同じ可用性ドメイン内にある。セカンダリＶＮＩＣは、プライマリＶＮＩＣと同じＶＣＮ内のサブネットにあり得、または、同じＶＣＮもしくは異なるＶＣＮ内の異なるサブネットにあり得る。
計算インスタンスは、パブリックサブネットにある場合、パブリックＩＰアドレスがオプションとして割り当てられてもよい。サブネットは、当該サブネットを作成するときに、パブリックサブネットまたはプライベートサブネットのいずれかとして指定することができる。プライベートサブネットとは、当該サブネット内のリソース（たとえば計算インスタンス）および関連付けられたＶＮＩＣがパブリックオーバーレイＩＰアドレスを有することができないことを意味する。パブリックサブネットとは、サブネット内のリソースおよび関連付けられたＶＮＩＣがパブリックＩＰアドレスを有することができることを意味する。顧客は、サブネットがリージョンまたはレルム内の１つの可用性ドメインに存在するか複数の可用性ドメインにわたって存在するかを指定することができる。
上述のように、ＶＣＮは１つ以上のサブネットに細分化されてもよい。特定の実施形態では、ＶＣＮのために構成された仮想ルータ（ＶＣＮ ＶＲまたは単にＶＲと呼ばれる）がＶＣＮのサブネット間の通信を可能にする。ＶＣＮ内のサブネットの場合、ＶＲは、サブネット（すなわち、そのサブネット上の計算インスタンス）がＶＣＮ内部の他のサブネット上のエンドポイントおよびＶＣＮ外部の他のエンドポイントと通信することを可能にする、そのサブネットの論理ゲートウェイを表す。ＶＣＮ ＶＲは、ＶＣＮ内のＶＮＩＣと、ＶＣＮに関連付けられた仮想ゲートウェイ（「ゲートウェイ」）との間のトラフィックをルーティングするように構成された論理エンティティである。ゲートウェイは、図１に関して以下にさらに説明される。ＶＣＮ ＶＲは、レイヤ３／ＩＰレイヤの概念である。一実施形態では、ＶＣＮに対して１つのＶＣＮ ＶＲがあり、ＶＣＮ ＶＲは、ＩＰアドレスによってアドレス指定される無制限の数のポートを潜在的に有し、ＶＣＮのサブネットごとに１つのポートがある。このように、ＶＣＮ ＶＲは、ＶＣＮ ＶＲがアタッチされているＶＣＮ内のサブネットごとに異なるＩＰアドレスを有する。ＶＲはまた、ＶＣＮのために構成されたさまざまなゲートウェイに接続されている。特定の実施形態では、サブネットのオーバーレイＩＰアドレス範囲からの特定のオーバーレイＩＰアドレスが、そのサブネットのＶＣＮ ＶＲのポートのために確保されている。たとえば、アドレス範囲１０．０／１６および１０．１／１６がそれぞれ関連付けられている２つのサブネットを有するＶＣＮを考える。アドレス範囲１０．０／１６を有するＶＣＮ内の第１のサブネットの場合、この範囲からのアドレスが、そのサブネットのＶＣＮ ＶＲのポートのために確保されている。いくつかの例では、当該範囲からの第１のＩＰアドレスはＶＣＮ ＶＲのために確保されていてもよい。たとえば、オーバーレイＩＰアドレス範囲１０．０／１６を有するサブネットの場合、ＩＰアドレス１０．０．０．１がそのサブネットのＶＣＮ ＶＲのポートのために確保されていてもよい。アドレス範囲１０．１／１６を有する同じＶＣＮ内の第２のサブネットの場合、ＶＣＮ ＶＲは、ＩＰアドレス１０．１．０．１を有するその第２のサブネットのポートを有してもよい。ＶＣＮ ＶＲは、ＶＣＮ内のサブネットごとに異なるＩＰアドレスを有する。
いくつかの他の実施形態では、ＶＣＮ内の各サブネットは、ＶＲに関連付けられた、確保されたまたはデフォルトのＩＰアドレスを使用してサブネットによってアドレス指定可能な、自身の関連付けられたＶＲを有してもよい。確保されたまたはデフォルトのＩＰアドレスは、たとえば、そのサブネットに関連付けられたＩＰアドレスの範囲からの第１のＩＰアドレスであってもよい。サブネット内のＶＮＩＣは、このデフォルトのまたは確保されたＩＰアドレスを使用して、サブネットに関連付けられたＶＲと通信（たとえばパケットを送受信）することができる。このような実施形態では、ＶＲは、そのサブネットのイングレス／エグレスポイントである。ＶＣＮ内のサブネットに関連付けられたＶＲは、ＶＣＮ内の他のサブネットに関連付けられた他のＶＲと通信することができる。ＶＲは、ＶＣＮに関連付けられたゲートウェイと通信することもできる。サブネットのＶＲ機能は、サブネット内のＶＮＩＣのＶＮＩＣ機能を実行する１つ以上のＮＶＤ上で動作している、または当該ＮＶＤによって実行される。
ルートテーブル、セキュリティルール、およびＤＨＣＰオプションが、ＶＣＮのために構成されてもよい。ルートテーブルは、ＶＣＮの仮想ルートテーブルであり、ゲートウェイまたは特別に構成されたインスタンスを経由してＶＣＮ内部のサブネットからＶＣＮ外部の宛先にトラフィックをルーティングするためのルールを含む。ＶＣＮとの間でどのようにパケットを転送/ルーティングするかを制御するために、ＶＣＮのルートテーブルをカスタマイズすることができる。ＤＨＣＰオプションとは、インスタンスをブートアップすると当該インスタンスに自動的に与えられる構成情報を指す。
ＶＣＮのために構成されたセキュリティルールは、ＶＣＮのためのオーバーレイファイアウォールルールを表す。セキュリティルールは、イングレスおよびエグレスルールを含み、ＶＣＮ内のインスタンスに出入りすることが許可されるトラフィックのタイプを（たとえばプロトコルおよびポートに基づいて）指定することができる。顧客は、所与のルールがステートフルであるかステートレスであるかを選択することができる。たとえば、顧客は、ソースＣＩＤＲ０．０．０．０／０および宛先ＴＣＰポート２２を有するステートフルなイングレスルールをセットアップすることによって、任意の場所からインスタンスのセットへの着信ＳＳＨトラフィックを許可することができる。セキュリティルールは、ネットワークセキュリティグループまたはセキュリティリストを使用して実現することができる。ネットワークセキュリティグループは、そのグループ内のリソースのみに適用されるセキュリティルールのセットからなる。一方、セキュリティリストは、当該セキュリティリストを使用する任意のサブネット内のすべてのリソースに適用されるルールを含む。デフォルトセキュリティルールを有するデフォルトセキュリティリストがＶＣＮに与えられてもよい。ＶＣＮのために構成されたＤＨＣＰオプションは、ＶＣＮ内のインスタンスをブートアップすると当該インスタンスに自動的に与えられる構成情報を提供する。
特定の実施形態では、ＶＣＮの構成情報は、ＶＣＮ制御プレーンによって決定され格納される。ＶＣＮの構成情報は、たとえば、ＶＣＮに関連付けられたアドレス範囲、ＶＣＮ内のサブネットおよび関連付けられた情報、ＶＣＮに関連付けられた１つ以上のＶＲ、ＶＣＮ内の計算インスタンスおよび関連付けられたＶＮＩＣ、ＶＣＮに関連付けられたさまざまな仮想化ネットワーク機能（たとえば、ＶＮＩＣ、ＶＲ、ゲートウェイ）を実行するＮＶＤ、ＶＣＮのステート情報、および他のＶＣＮ関連情報、に関する情報を含み得る。特定の実施形態では、ＶＣＮ配信サービスは、ＶＣＮ制御プレーンによって格納された構成情報またはその一部をＮＶＤに公開する。配信された情報を使用して、ＮＶＤによって格納され使用される情報（たとえば、転送テーブル、ルーティングテーブルなど）を更新して、ＶＣＮ内の計算インスタンスとの間でパケットを転送し得る。
特定の実施形態では、ＶＣＮおよびサブネットの作成はＶＣＮ制御プレーン（ＣＰ）によって処理され、計算インスタンスの起動は計算制御プレーンによって処理される。計算制御プレーンは、計算インスタンスの物理リソースの割り当てを担い、次にＶＣＮ制御プレーンを呼び出してＶＮＩＣを作成し、ＶＮＩＣを計算インスタンスにアタッチする。ＶＣＮ ＣＰはまた、パケット転送およびルーティング機能を実行するように構成されたＶＣＮデータプレーンに、ＶＣＮデータマッピングを送信する。
顧客は、ＣＳＰＩによってホストされているリソースを使用して１つ以上のＶＣＮを作成してもよい。顧客ＶＣＮ上に展開される計算インスタンスは、異なるエンドポイントと通信し得る。これらのエンドポイントは、ＣＳＰＩによってホストされているエンドポイントおよびＣＳＰＩ外部のエンドポイントを含み得る。
ＣＳＰＩを使用してクラウドベースのサービスを実現するためのさまざまな異なるアーキテクチャが図１１、図１２、図１３、図１４および図１５に示されており、以下に説明される。図１１は、特定の実施形態に係る、ＣＳＰＩによってホストされているオーバーレイまたは顧客ＶＣＮを示す分散環境１１００のハイレベル図である。図１１に示される分散環境は、オーバーレイネットワーク内の複数のコンポーネントを含む。図１１に示される分散環境１１００は一例に過ぎず、特許請求の範囲に記載されている実施形態の範囲を不当に限定することを意図していない。多くの変形例、代替例、および修正例が可能である。たとえば、いくつかの実現例では、図１１に示される分散環境は、図１に示されるよりも多いもしくは少ないシステムもしくはコンポーネントを有してもよく、２つ以上のシステムを組み合わせてもよく、またはシステムの異なる構成もしくは配置を有してもよい。
図１１の例に示されるように、分散環境１１００は、顧客が加入して仮想クラウドネットワーク（ＶＣＮ）を構築するために使用することができるサービスおよびリソースを提供するＣＳＰＩ１１０１を含む。特定の実施形態では、ＣＳＰＩ１１０１は、加入している顧客にＩａａＳサービスを提供する。ＣＳＰＩ１１０１内のデータセンターは、１つ以上のリージョンに編成されてもよい。リージョンの一例である「リージョンＵＳ」１１０２が図１１に示されている。顧客は、リージョン１１０２のために顧客ＶＣＮ１１０４を構成している。顧客は、ＶＣＮ１１０４上にさまざまな計算インスタンスを展開してもよく、計算インスタンスは仮想マシンまたはベアメタルインスタンスを含み得る。インスタンスの例としては、アプリケーション、データベース、ロードバランサなどが挙げられる。
図１１に示される実施形態では、顧客ＶＣＮ１１０４は２つのサブネット、すなわち「サブネット－１」および「サブネット－２」を含み、各サブネットは自身のＣＩＤＲ ＩＰアドレス範囲を有する。図１１において、サブネット－１のオーバーレイＩＰアドレス範囲は１０．０／１６であり、サブネット－２のアドレス範囲は１０．１／１６である。ＶＣＮ仮想ルータ１１０５は、ＶＣＮ１１０４のサブネット間の通信およびＶＣＮ外部の他のエンドポイントとの通信を可能にするＶＣＮの論理ゲートウェイを表す。ＶＣＮ ＶＲ１１０５は、ＶＣＮ１１０４内のＶＮＩＣとＶＣＮ１１０４に関連付けられたゲートウェイとの間のトラフィックをルーティングするように構成されている。ＶＣＮ ＶＲ１１０５は、ＶＣＮ１１０４の各サブネットにポートを提供する。たとえば、ＶＲ１１０５は、ＩＰアドレス１０．０．０．１を有するポートをサブネット－１に提供し、ＩＰアドレス１０．１．０．１を有するポートをサブネット－２に提供してもよい。
各サブネット上に複数の計算インスタンスが展開されてもよく、計算インスタンスは仮想マシンインスタンスおよび／またはベアメタルインスタンスとすることができる。サブネット内の計算インスタンスは、ＣＳＰＩ１１０１内の１つ以上のホストマシンによってホストされてもよい。計算インスタンスは、当該計算インスタンスに関連付けられたＶＮＩＣを介してサブネットに参加する。たとえば、図１１に示されるように、計算インスタンスＣ１は、当該計算インスタンスに関連付けられたＶＮＩＣを介してサブネット－１の一部である。同様に、計算インスタンスＣ２は、Ｃ２に関連付けられたＶＮＩＣを介してサブネット－１の一部である。同様に、仮想マシンインスタンスまたはベアメタルインスタンスであり得る複数の計算インスタンスがサブネット－１の一部であってもよい。各計算インスタンスには、その関連付けられたＶＮＩＣを介して、プライベートオーバーレイＩＰアドレスおよびＭＡＣアドレスが割り当てられる。たとえば、図１１において、計算インスタンスＣ１はオーバーレイＩＰアドレス１０．０．０．２およびＭＡＣアドレスＭ１を有し、計算インスタンスＣ２はプライベートオーバーレイＩＰアドレス１０．０．０．３およびＭＡＣアドレスＭ２を有する。計算インスタンスＣ１およびＣ２を含むサブネット－１内の各計算インスタンスは、サブネット－１のＶＣＮ ＶＲ１１０５のポートのＩＰアドレスであるＩＰアドレス１０．０．０．１を使用するＶＣＮ ＶＲ１１０５へのデフォルトルートを有する。
サブネット－２上には、仮想マシンインスタンスおよび／またはベアメタルインスタンスを含む複数の計算インスタンスを展開することができる。たとえば、図１１に示されるように、計算インスタンスＤｌおよびＤ２は、それぞれの計算インスタンスに関連付けられたＶＮＩＣを介してサブネット－２の一部である。図１１に示される実施形態では、計算インスタンスＤ１はオーバーレイＩＰアドレス１０．１．０．２およびＭＡＣアドレスＭＭ１を有し、計算インスタンスＤ２はプライベートオーバーレイＩＰアドレス１０．１．０．３およびＭＡＣアドレスＭＭ２を有する。計算インスタンスＤ１およびＤ２を含むサブネット－２内の各計算インスタンスは、サブネット－２のＶＣＮ ＶＲ１１０５のポートのＩＰアドレスであるＩＰアドレス１０．１．０．１を使用するＶＣＮ ＶＲ１１０５へのデフォルトルートを有する。
ＶＣＮ Ａ１１０４はまた、１つ以上のロードバランサを含んでもよい。たとえば、ロードバランサは、サブネットに対して提供されてもよく、サブネット上の複数の計算インスタンス間でトラフィックをロードバランシングするように構成されてもよい。ロードバランサはまた、ＶＣＮ内のサブネット間でトラフィックをロードバランシングするように提供されてもよい。
ＶＣＮ１１０４上に展開される特定の計算インスタンスは、さまざまな異なるエンドポイントと通信することができる。これらのエンドポイントは、ＣＳＰＩ１２００によってホストされているエンドポイントおよびＣＳＰＩ１２００の外部のエンドポイントを含み得る。ＣＳＰＩ１１０１によってホストされているエンドポイントは、特定の計算インスタンスと同じサブネット上のエンドポイント（たとえば、サブネット－１内の２つの計算インスタンス間の通信）、異なるサブネット上であるが同じＶＣＮ内のエンドポイント（たとえば、サブネット－１内の計算インスタンスとサブネット－２内の計算インスタンスとの間の通信）、同じリージョン内の異なるＶＣＮ内のエンドポイント（たとえば、サブネット－１内の計算インスタンスと、同じリージョン１１０６もしくは１１１０内のＶＣＮ内のエンドポイントとの間の通信、サブネット－１内の計算インスタンスと、同じリージョン内のサービスネットワーク１１１０内のエンドポイントとの間の通信）、または異なるリージョン内のＶＣＮ内のエンドポイント（たとえば、サブネット－１内の計算インスタンスと、異なるリージョン１１０８内のＶＣＮ内のエンドポイントとの間の通信）を含み得る。ＣＳＰＩ１１０１によってホストされているサブネット内の計算インスタンスはまた、ＣＳＰＩ１１０１によってホストされていない（すなわちＣＳＰＩ１１０１の外部の）エンドポイントと通信し得る。これらの外部エンドポイントは、顧客のオンプレミスネットワーク１１１６内のエンドポイント、他のリモートクラウドホスト型ネットワーク１１１８内のエンドポイント、インターネットなどのパブリックネットワークを介してアクセス可能なパブリックエンドポイント１１１４、および他のエンドポイントを含む。
同じサブネット上の計算インスタンス間の通信は、ソース計算インスタンスおよび宛先計算インスタンスに関連付けられたＶＮＩＣを使用して容易になる。たとえば、サブネット－１内の計算インスタンスＣ１が、サブネット－１内の計算インスタンスＣ２にパケットを送信したい場合がある。ソース計算インスタンスから送出され、その宛先が同じサブネット内の別の計算インスタンスであるパケットの場合、当該パケットはまず、ソース計算インスタンスに関連付けられたＶＮＩＣによって処理される。ソース計算インスタンスに関連付けられたＶＮＩＣによって実行される処理は、パケットヘッダからパケットの宛先情報を決定すること、ソース計算インスタンスに関連付けられたＶＮＩＣのために構成された任意のポリシー（たとえばセキュリティリスト）を識別すること、パケットのネクストホップを決定すること、必要に応じて任意のパケットカプセル化／デカプセル化機能を実行すること、そして、パケットの意図された宛先への通信を容易にすることを目的としてパケットをネクストホップに転送／ルーティングすることを含み得る。宛先計算インスタンスがソース計算インスタンスと同じサブネットにある場合、ソース計算インスタンスに関連付けられたＶＮＩＣは、宛先計算インスタンスに関連付けられたＶＮＩＣを識別し、処理のためにパケットをそのＶＮＩＣに転送するように構成されている。そして、宛先計算インスタンスに関連付けられたＶＮＩＣは、実行され、パケットを宛先計算インスタンスに転送する。
サブネット内の計算インスタンスから同じＶＣＮの異なるサブネット内のエンドポイントにパケットを通信する場合、当該通信は、ソース計算インスタンスおよび宛先計算インスタンスに関連付けられたＶＮＩＣと、ＶＣＮ ＶＲとによって容易になる。たとえば、図１１のサブネット－１内の計算インスタンスＣ１がサブネット－２内の計算インスタンスＤ１にパケットを送信したい場合、当該パケットはまず、計算インスタンスＣ１に関連付けられたＶＮＩＣによって処理される。計算インスタンスＣ１に関連付けられたＶＮＩＣは、ＶＣＮ ＶＲのデフォルトルートまたはポート１０．０．０．１を使用してパケットをＶＣＮ ＶＲ１１０５にルーティングするように構成されている。ＶＣＮ ＶＲ１１０５は、ポート１０．１．０．１を使用してパケットをサブネット－２にルーティングするように構成されている。そして、パケットは、Ｄ１に関連付けられたＶＮＩＣによって受信および処理され、ＶＮＩＣはパケットを計算インスタンスＤ１に転送する。
ＶＣＮ１１０４内の計算インスタンスからＶＣＮ１１０４の外部のエンドポイントにパケットを通信する場合、当該通信は、ソース計算インスタンスに関連付けられたＶＮＩＣと、ＶＣＮ ＶＲ１１０５と、ＶＣＮ１１０４に関連付けられたゲートウェイとによって容易になる。１つ以上のタイプのゲートウェイがＶＣＮ１１０４に関連付けられてもよい。ゲートウェイは、ＶＣＮと別のエンドポイントとの間のインターフェイスであり、当該別のエンドポイントはＶＣＮの外部にある。ゲートウェイは、レイヤ３／ＩＰレイヤの概念であり、ＶＣＮがＶＣＮ外部のエンドポイントと通信することを可能にする。よって、ゲートウェイは、ＶＣＮと他のＶＣＮまたはネットワークとの間のトラフィックフローを容易にする。異なるタイプのエンドポイントとの異なるタイプの通信を容易にするように、さまざまな異なるタイプのゲートウェイがＶＣＮのために設定され得る。ゲートウェイに応じて、通信はパブリックネットワーク（たとえばインターネット）を介してもよく、またはプライベートネットワークを介してもよい。これらの通信にはさまざまな通信プロトコルが使用され得る。
たとえば、計算インスタンスＣ１は、ＶＣＮ１１０４の外部のエンドポイントと通信したい場合がある。パケットはまず、ソース計算インスタンスＣ１に関連付けられたＶＮＩＣによって処理され得る。ＶＮＩＣ処理は、パケットの宛先がＣｌのサブネット－１の外部にあると判断する。Ｃ１に関連付けられたＶＮＩＣは、パケットをＶＣＮ１１０４のＶＣＮ ＶＲ１１０５に転送し得る。そして、ＶＣＮ ＶＲ１１０５はパケットを処理し、当該処理の一部として、パケットの宛先に基づいて、ＶＣＮ１１０４に関連付けられた特定のゲートウェイをパケットのネクストホップとして決定する。そして、ＶＣＮ ＶＲ１１０５は、この特定の識別されたゲートウェイにパケットを転送し得る。たとえば、宛先が顧客のオペプレミスネットワーク内のエンドポイントである場合、パケットは、ＶＣＮ ＶＲ１１０５によって、ＶＣＮ１１０４のために構成された動的ルーティングゲートウェイ（ＤＲＧ）ゲートウェイ１１２２に転送され得る。そして、パケットがゲートウェイからネクストホップに転送されることにより、意図された最終宛先へのパケットの通信が容易になり得る。
さまざまな異なるタイプのゲートウェイがＶＣＮのために構成され得る。ＶＣＮのために構成され得るゲートウェイの例が図１１に示されており、以下に説明される。図１１の実施形態に示されるように、動的ルーティングゲートウェイ（ＤＲＧ）１１２２が顧客ＶＣＮ１１０４に追加または関連付けられてもよく、顧客ＶＣＮ１１０４と別のエンドポイントとの間のプライベートネットワークトラフィック通信のためのパスを提供する。当該別のエンドポイントは、顧客のオンプレミスネットワーク１１１６、ＣＳＰＩ１１０１の異なるリージョン内のＶＣＮ１１０８、またはＣＳＰＩ１１０１によってホストされていない他のリモートクラウドネットワーク１１１８であり得る。顧客オンプレミスネットワーク１１１６は、顧客のリソースを使用して構築された顧客ネットワークまたは顧客データセンターであってもよい。顧客オンプレミスネットワーク１１１６へのアクセスは、一般に厳しく制限される。顧客オンプレミスネットワーク１１１６と、ＣＳＰＩ１１０１によってクラウド内に展開またはホストされる１つ以上のＶＣＮ１１０４との両方を有する顧客の場合、当該顧客は、自身のオンプレミスネットワーク１１１６および自身のクラウドベースのＶＣＮ１１０４が互いに通信可能であることを所望する場合がある。これによって、顧客は、ＣＳＰＩ１１０１によってホストされている自身のＶＣＮ１１０４と自身のオンプレミスネットワーク１１１６とを含む拡張ハイブリッド環境を構築することができる。ＤＲＧ１１２２がこの通信を可能にする。このような通信を可能にするために、通信チャネル１１２４がセットアップされる。当該チャネルの一方のエンドポイントは顧客オンプレミスネットワーク１１１６内にあり、他方のエンドポイントはＣＳＰＩ１１０１内にあり顧客ＶＣＮ１１０４に接続される。通信チャネル１１２４は、インターネットなどのパブリック通信ネットワーク、またはプライベート通信ネットワークを介することができる。インターネットなどのパブリック通信ネットワークを介するＩＰｓｅｃ ＶＰＮ技術、パブリックネットワークの代わりにプライベートネットワークを使用するオラクルのFastConnect技術などのさまざまな異なる通信プロトコルが使用されてもよい。通信チャネル１１２４の１つのエンドポイントを形成する顧客オンプレミスネットワーク１１１６内のデバイスまたは機器は、図１１に示されるＣＰＥ１１２６などの顧客構内機器（ＣＰＥ）と呼ばれる。ＣＳＰＩ１１０１側では、エンドポイントは、ＤＲＧ１１２２を実行するホストマシンであってもよい。
特定の実施形態では、リモートピアリング接続（ＲＰＣ）をＤＲＧに追加することができ、これによって顧客は、１つのＶＣＮを異なるリージョン内の別のＶＣＮとピアリングすることができる。このようなＲＰＣを使用して、顧客ＶＣＮ１１０４は、ＤＲＧ１１２２を使用して別のリージョン内のＶＣＮ１１０８に接続することができる。また、ＤＲＧ１１２２を使用して、マイクロソフト（登録商標）Azureクラウド、アマゾン（登録商標）ＡＷＳクラウドなどの、ＣＳＰＩ１１０１によってホストされていない他のリモートクラウドネットワーク１１１８と通信し得る。
図１１に示されるように、ＶＣＮ１１０４上の計算インスタンスがインターネットなどのパブリックネットワークを介してアクセス可能なパブリックエンドポイント１１１４と通信することを可能にするインターネットゲートウェイ（ＩＧＷ）１１２０が、顧客ＶＣＮ１１０４のために構成され得る。ＩＧＷ１１１２０は、ＶＣＮをインターネットなどのパブリックネットワークに接続するゲートウェイである。ＩＧＷ１１２０は、ＶＣＮ１１０４などのＶＣＮ内のパブリックサブネット（パブリックサブネット内のリソースはパブリックオーバーレイＩＰアドレスを有する）がインターネットなどのパブリックネットワーク１１１４上でパブリックエンドポイント１１１２に直接アクセスすることを可能にする。ＩＧＷ１１２０を使用して、ＶＣＮ１１０４内のサブネットから、またはインターネットから、接続を開始することができる。
ネットワークアドレス変換（ＮＡＴ）ゲートウェイ１１２８が顧客のＶＣＮ１１０４のために構成され得、専用のパブリックオーバーレイＩＰアドレスを有さない顧客のＶＣＮ内のクラウドリソースがインターネットにアクセスすることを可能にし、それらのリソースを直接着信インターネット接続（たとえばＬ４～Ｌ７接続）に曝すことなくそのようにアクセスすることを可能にする。これによって、ＶＣＮ１１０４内のプライベートサブネット－１などのＶＣＮ内のプライベートサブネットが、インターネット上でパブリックエンドポイントにプライベートアクセスすることが可能になる。ＮＡＴゲートウェイでは、接続はプライベートサブネットからパブリックインターネットにのみ開始することができ、インターネットからプライベートサブネットに開始することはできない。
特定の実施形態では、サービスゲートウェイ（ＳＧＷ）１１２６が顧客ＶＣＮ１１０４のために構成され得、ＶＣＮ１１０４とサービスネットワーク１１１０内にサポートされているサービスエンドポイントとの間のプライベートネットワークトラフィックのパスを提供する。特定の実施形態では、サービスネットワーク１１１０は、ＣＳＰによって提供されてもよく、さまざまなサービスを提供してもよい。このようなサービスネットワークの一例は、顧客が使用できるさまざまなサービスを提供するオラクルのサービスネットワーク（Services Network）である。たとえば、顧客ＶＣＮ１１０４のプライベートサブネット内の計算インスタンス（たとえばデータベースシステム）は、パブリックＩＰアドレスまたはインターネットへのアクセスを必要とすることなく、サービスエンドポイント（たとえばオブジェクトストレージ（Object Storage））にデータをバックアップすることができる。特定の実施形態では、ＶＣＮはＳＧＷを１つのみ有することができ、接続はＶＣＮ内のサブネットからのみ開始することができ、サービスネットワーク１１１０からは開始することができない。ＶＣＮを別のＶＣＮとピアリングすると、この他方のＶＣＮ内のリソースは典型的にはＳＧＷにアクセスできない。また、FastConnectまたはVPN ConnectでＶＣＮに接続されているオンプレミスネットワーク内のリソースは、そのＶＣＮのために構成されたサービスゲートウェイを使用することができる。
特定の実現例では、ＳＧＷ１１２６は、サービスクラスレスドメイン間ルーティング（ＣＩＤＲ）ラベルの概念を使用する。当該ラベルは、関心のあるサービスまたはサービスのグループについてのすべてのリージョナルパブリックＩＰアドレス範囲を表す文字列である。顧客は、ＳＧＷおよびサービスへのトラフィックを制御するための関連するルートルールを構成する際にサービスＣＩＤＲラベルを使用する。顧客は、サービスのパブリックＩＰアドレスが将来変更されてもセキュリティルールを調整する必要なしに、セキュリティルールを構成する際にサービスＣＩＤＲラベルをオプションとして利用することができる。
ローカルピアリングゲートウェイ（ＬＰＧ）１１３２は、顧客ＶＣＮ１１０４に追加可能であり、ＶＣＮ１１０４が同じリージョン内の別のＶＣＮとピアリングすることを可能にするゲートウェイである。ピアリングとは、トラフィックがインターネットなどのパブリックネットワークをトラバースすることなく、または顧客のオンプレミスネットワーク１１１６を通してトラフィックをルーティングすることなく、ＶＣＮがプライベートＩＰアドレスを使用して通信することを意味する。好ましい実施形態では、ＶＣＮは、ＶＣＮが確立するピアリングごとに別個のＬＰＧを有する。ローカルピアリングまたはＶＣＮピアリングは、異なるアプリケーション間またはインフラストラクチャ管理機能間のネットワーク接続性を確立するために使用される一般的なやり方である。
サービスネットワーク１１１０内のサービスのプロバイダなどのサービスプロバイダは、異なるアクセスモデルを使用してサービスへのアクセスを提供してもよい。パブリックアクセスモデルによれば、サービスは、インターネットなどのパブリックネットワークを介して顧客ＶＣＮ内の計算インスタンスによって公的にアクセス可能なパブリックエンドポイントとして公開されてもよく、および／または、ＳＧＷ１１２６を介して非公式にアクセス可能であってもよい。特定のプライベートアクセスモデルによれば、サービスは、顧客のＶＣＮ内のプライベートサブネット内のプライベートＩＰエンドポイントとしてアクセス可能になる。これは、プライベートエンドポイント（ＰＥ）アクセスと呼ばれ、サービスプロバイダがそのサービスを顧客のプライベートネットワーク内のインスタンスとして公開することを可能にする。プライベートエンドポイントリソースは、顧客のＶＣＮ内のサービスを表す。各ＰＥは、顧客のＶＣＮ内で顧客によって選択されたサブネット内のＶＮＩＣ（ＰＥ－ＶＮＩＣと呼ばれ、１つ以上のプライベートＩＰを有する）として現れる。よって、ＰＥは、ＶＮＩＣを使用してプライベートな顧客ＶＣＮサブネット内でサービスを提示する方法を提供する。エンドポイントはＶＮＩＣとして公開されるので、ルーティングルール、セキュリティリストなどのＶＮＩＣに関連付けられたすべての特徴がＰＥ ＶＮＩＣに利用可能となる。
サービスプロバイダは、自身のサービスを登録することによって、ＰＥを通じたアクセスを可能にすることができる。プロバイダは、ポリシーを、顧客テナンシへのサービスの可視性を制限するサービスに関連付けることができる。プロバイダは、特にマルチテナントサービスの場合、１つの仮想ＩＰアドレス（ＶＩＰ）の下で複数のサービスを登録することができる。同じサービスを表す複数のそのようなプライベートエンドポイントが（複数のＶＣＮ内に）あってもよい。
そして、プライベートサブネット内の計算インスタンスは、ＰＥ ＶＮＩＣのプライベートＩＰアドレスまたはサービスＤＮＳ名を使用して、サービスにアクセスすることができる。顧客ＶＣＮ内の計算インスタンスは、顧客ＶＣＮ内のＰＥのプライベートＩＰアドレスにトラフィックを送信することによって、サービスにアクセスすることができる。プライベートアクセスゲートウェイ（ＰＡＧＷ）１１３０は、顧客サブネットプライベートエンドポイントとの間のすべてのトラフィックのイングレス／エグレスポイントとして機能するサービスプロバイダＶＣＮ（たとえばサービスネットワーク１１１０内のＶＣＮ）にアタッチされ得るゲートウェイリソースである。ＰＡＧＷ１１３０は、プロバイダが、内部ＩＰアドレスリソースを利用することなくＰＥ接続の数をスケーリングすることを可能にする。プロバイダは、１つのＶＣＮに登録された任意の数のサービスに対して１つのＰＡＧＷを構成するだけでよい。プロバイダは、サービスを、１以上の顧客の複数のＶＣＮ内のプライベートエンドポイントとして表すことができる。顧客から見ると、ＰＥ ＶＮＩＣは、顧客のインスタンスにアタッチされているのではなく、顧客がやり取りしたいサービスにアタッチされているように見える。プライベートエンドポイントに向かうトラフィックは、ＰＡＧＷ１１３０を介してサービスにルーティングされる。これらは、顧客からサービスへのプライベート接続（Ｃ２Ｓ接続）と呼ばれる。
また、ＰＥ概念を用いて、トラフィックがFastConnect/ＩＰＳｅｃリンクおよび顧客ＶＣＮ内のプライベートエンドポイントを通過することを可能にすることによって、サービスのプライベートアクセスを顧客のオンプレミスネットワークおよびデータセンターに拡張することができる。また、トラフィックがＬＰＧ１１３２と顧客のＶＣＮ内のＰＥとの間を通過することを可能にすることによって、サービスのプライベートアクセスを顧客のピアリングしたＶＣＮに拡張することができる。
顧客は、サブネットレベルでＶＣＮ内のルーティングを制御することができるので、ＶＣＮ１１０４などの顧客のＶＣＮ内のどのサブネットが各ゲートウェイを使用するかを指定することができる。ＶＣＮのルートテーブルを使用して、トラフィックが特定のゲートウェイを通じてＶＣＮから出ることが許可されているか否かを判断する。たとえば、特定の場合において、顧客ＶＣＮ１１０４内のパブリックサブネットのルートテーブルは、ＩＧＷ１１２０を通じて非ローカルトラフィックを送信してもよい。同じ顧客ＶＣＮ１１０４内のプライベートサブネットのルートテーブルは、ＳＧＷ１１２６を通じてＣＳＰサービスに向かうトラフィックを送信してもよい。残りのすべてのトラフィックはＮＡＴゲートウェイ１１２８を介して送信されてもよい。ルートテーブルは、ＶＣＮから出るトラフィックのみを制御する。
ＶＣＮに関連付けられたセキュリティリストは、インバウンド接続を介してゲートウェイを介してＶＣＮに入ってくるトラフィックを制御するために使用される。サブネット内のすべてのリソースは、同じルートテーブルおよびセキュリティリストを使用する。セキュリティリストは、ＶＣＮのサブネット内のインスタンスに出入りすることが許可されている特定のタイプのトラフィックを制御するために使用されてもよい。セキュリティリストルールは、イングレス（インバウンド）およびエグレス（アウトバウンド）ルールを含み得る。たとえば、イングレスルールは、許可されたソースアドレス範囲を指定してもよく、エグレスルールは、許可された宛先アドレス範囲を指定してもよい。セキュリティルールは、特定のプロトコル（たとえば、ＴＣＰ、ＩＣＭＰ）、特定のポート（たとえば、ＳＳＨのための２２、ウィンドウズ（登録商標）ＲＤＰのための３３８９）などを指定してもよい。特定の実現例では、インスタンスのオペレーティングシステムが、セキュリティリストルールと一致する自身のファイアウォールルールを実施してもよい。ルールはステートフルであってもよく（たとえば、接続が追跡され、応答トラフィックのための明確なセキュリティリストルールなしで応答が自動的に許可される）、またはステートレスであってもよい。
顧客ＶＣＮからの（すなわち、ＶＣＮ１１０４上に展開されたリソースまたは計算インスタンスによる）アクセスは、パブリックアクセス、プライベートアクセス、または専用アクセスと分類され得る。パブリックアクセスとは、パブリックＩＰアドレスまたはＮＡＴを使用してパブリックエンドポイントにアクセスするアクセスモデルを指す。プライベートアクセスは、プライベートＩＰアドレスを有するＶＣＮ１１０４内の顧客ワークロード（たとえばプライベートサブネット内のリソース）が、インターネットなどのパブリックネットワークをトラバースすることなくサービスにアクセスすることを可能にする。特定の実施形態では、ＣＳＰＩ１１０１は、プライベートＩＰアドレスを有する顧客ＶＣＮワークロードが、サービスゲートウェイを使用してサービス（のパブリックサービスエンドポイント）にアクセスすることを可能にする。よって、サービスゲートウェイは、顧客のＶＣＮと顧客のプライベートネットワークの外部に常駐するサービスのパブリックエンドポイントとの間に仮想リンクを確立することによって、プライベートアクセスモデルを提供する。
これに加えて、ＣＳＰＩは、FastConnectパブリックピアリングなどの技術を使用して、専用のパブリックアクセスを提供してもよい。当該アクセスでは、顧客オンプレミスインスタンスは、FastConnect接続を使用して、かつインターネットなどのパブリックネットワークをトラバースすることなく、顧客ＶＣＮ内の１つ以上のサービスにアクセスすることができる。ＣＳＰＩはまた、FastConnectプライベートピアリングを使用して、専用のプライベートアクセスを提供してもよい。当該アクセスでは、プライベートＩＰアドレスを有する顧客オンプレミスインスタンスは、FastConnect接続を使用して顧客のＶＣＮワークロードにアクセスすることができる。FastConnectは、パブリックインターネットを使用して顧客のオンプレミスネットワークをＣＳＰＩおよびそのサービスに接続する代わりとなるネットワーク接続性である。FastConnectは、インターネットベースの接続と比較して、より高い帯域幅オプションおよびより信頼性が高く一貫したネットワーキング体験を有する専用のプライベート接続を作成する、容易で、柔軟で、経済的な方法を提供する。
図１１およびそれに付随する上記の説明は、例示的な仮想ネットワークにおけるさまざまな仮想化コンポーネントを説明している。上述のように、仮想ネットワークは、基礎となる物理ネットワークまたは基幹ネットワーク上に構築される。図１２は、特定の実施形態に係る、仮想ネットワークの基礎を提供するＣＳＰＩ１２００内の物理ネットワークにおける物理コンポーネントの簡略化されたアーキテクチャ図を示す。図示のように、ＣＳＰＩ１２００は、クラウドサービスプロバイダ（ＣＳＰ）によって提供されるコンポーネントおよびリソース（たとえば、計算リソース、メモリリソース、およびネットワーキングリソース）を含む分散環境を提供する。これらのコンポーネントおよびリソースを使用して、加入している顧客、すなわち、ＣＳＰによって提供される１つ以上のサービスに加入している顧客にクラウドサービス（たとえばＩａａＳサービス）を提供する。顧客が加入しているサービスに基づいて、ＣＳＰＩ１２００のリソース（たとえば、計算リソース、メモリリソース、およびネットワーキングリソース）のサブセットが顧客に対してプロビジョニングされる。そして顧客は、ＣＳＰＩ１２００によって提供される物理的な計算リソース、メモリリソース、およびネットワーキングリソースを使用して、自身のクラウドベースの（すなわちＣＳＰＩホスト型の）カスタマイズ可能なプライベート仮想ネットワークを構築することができる。上述のように、これらの顧客ネットワークは仮想クラウドネットワーク（ＶＣＮ）と呼ばれる。顧客は、これらの顧客ＶＣＮ上に、計算インスタンスなどの１つ以上の顧客リソースを展開することができる。計算インスタンスは、仮想マシン、ベアメタルインスタンスなどの形態を取ることができる。ＣＳＰＩ１２００は、顧客が高可用性のホスト型環境で広範なアプリケーションおよびサービスを構築して実行することを可能にするインフラストラクチャおよび一連の補完的なクラウドサービスを提供する。
図１２に示される例示的な実施形態では、ＣＳＰＩ１２００の物理コンポーネントは、１つ以上の物理ホストマシンまたは物理サーバ（たとえば１２０２，１２０６，１２０８）と、ネットワーク仮想化デバイス（ＮＶＤ）（たとえば１２１０，１２１２）と、トップオブラック（ＴＯＲ）スイッチ（たとえば１２１４，１２１６）と、物理ネットワーク（たとえば１２１８）と、物理ネットワーク１２１８内のスイッチとを含む。物理ホストマシンまたはサーバは、ＶＣＮの１つ以上のサブネットに参加するさまざまな計算インスタンスをホストし、実行し得る。計算インスタンスは、仮想マシンインスタンスおよびベアメタルインスタンスを含み得る。たとえば、図１１に示されるさまざまな計算インスタンスは、図１２に示される物理ホストマシンによってホストされてもよい。ＶＣＮ内の仮想マシン計算インスタンスは、１つのホストマシンによって実行されてもよく、または複数の異なるホストマシンによって実行されてもよい。また、物理ホストマシンは、仮想ホストマシン、コンテナベースのホストまたは機能などをホストしてもよい。図１１に示されるＶＮＩＣおよびＶＣＮ ＶＲは、図１２に示されるＮＶＤによって実行されてもよい。図１１に示されるゲートウェイは、図１２に示されるホストマシンおよび／またはＮＶＤによって実行されてもよい。
ホストマシンまたはサーバは、ホストマシン上で仮想化環境を作成し可能にするハイパーバイザ（仮想マシンモニタまたはＶＭＭとも呼ばれる）を実行し得る。仮想化または仮想化環境は、クラウドベースのコンピューティングを容易にする。１つ以上の計算インスタンスが、ホストマシン上のハイパーバイザによってそのホストマシン上で作成され、実行され、管理され得る。ホストマシン上のハイパーバイザは、ホストマシンの物理コンピューティングリソース（たとえば、計算リソース、メモリリソース、およびネットワーキングリソース）を、ホストマシンによって実行されるさまざまな計算インスタンス間で共有することを可能にする。
たとえば、図１２に示されるように、ホストマシン１２０２および１２０８はハイパーバイザ１２６０および１２６６をそれぞれ実行する。これらのハイパーバイザは、ソフトウェア、ファームウエア、またはハードウェア、またはそれらの組み合わせを使用して実現されてもよい。典型的には、ハイパーバイザは、ホストマシンのオペレーティングシステム（ＯＳ）上にあるプロセスまたはソフトウェア層であり、ＯＳはホストマシンのハードウェアプロセッサ上で実行される。ハイパーバイザは、ホストマシンの物理コンピューティングリソース（たとえば、プロセッサ／コア、メモリリソース、ネットワーキングリソースなどの処理リソース）を、ホストマシンによって実行されるさまざまな仮想マシン計算インスタンス間で共有することを可能にすることによって、仮想化環境を提供する。たとえば、図１２では、ハイパーバイザ１２６０は、ホストマシン１２０２のＯＳ上にあってもよく、ホストマシン１２０２のコンピューティングリソース（たとえば、処理リソース、メモリリソース、およびネットワーキングリソース）を、ホストマシン１２０２によって実行される計算インスタンス（たとえば仮想マシン）間で共有することを可能にする。仮想マシンは自身のオペレーティングシステム（ゲストオペレーティングシステムと呼ばれる）を有することができ、当該オペレーティングシステムはホストマシンのＯＳと同じであってもよく、または異なっていてもよい。ホストマシンによって実行される仮想マシンのオペレーティングシステムは、同じホストマシンによって実行される別の仮想マシンのオペレーティングシステムと同じであってもよく、または異なっていてもよい。よって、ハイパーバイザは、ホストマシンの同じコンピューティングリソースを共有しながら、複数のオペレーティングシステムを互いに並行して実行することを可能にする。図１２に示されるホストマシンは、同じタイプのハイパーバイザを有してもよく、または異なるタイプのハイパーバイザを有してもよい。
計算インスタンスは、仮想マシンインスタンスまたはベアメタルインスタンスとすることができる。図１２では、ホストマシン１２０２上の計算インスタンス１２６８およびホストマシン１２０８上の計算インスタンス１２７４は、仮想マシンインスタンスの一例である。ホストマシン１２０６は、顧客に提供されるベアメタルインスタンスの一例である。
特定の例では、ホストマシン全体が単一の顧客に対してプロビジョニングされてもよく、そのホストマシンによってホストされている１つ以上の計算インスタンス（仮想マシンまたはベアメタルインスタンスのいずれか）のすべてがその同じ顧客に属する。他の例では、ホストマシンは複数の顧客（すなわち複数のテナント）間で共有されてもよい。このようなマルチテナンシシナリオでは、ホストマシンは、異なる顧客に属する仮想マシン計算インスタンスをホストしてもよい。これらの計算インスタンスは、異なる顧客の異なるＶＣＮのメンバであってもよい。特定の実施形態では、ベアメタル計算インスタンスは、ハイパーバイザなしのベアメタルサーバによってホストされている。ベアメタル計算インスタンスがプロビジョニングされる場合、単一の顧客またはテナントは、当該ベアメタルインスタンスをホストしているホストマシンの物理ＣＰＵ、メモリ、およびネットワークインターフェイスの制御を維持し、ホストマシンは他の顧客またはテナントと共有されない。
上述したように、ＶＣＮの一部である各計算インスタンスは、計算インスタンスがＶＣＮのサブネットのメンバになることを可能にするＶＮＩＣに関連付けられる。計算インスタンスに関連付けられたＶＮＩＣは、計算インスタンスとの間のパケットまたはフレームの通信を容易にする。計算インスタンスが作成されると、ＶＮＩＣが当該計算インスタンスに関連付けられる。特定の実施形態では、ホストマシンによって実行される計算インスタンスの場合、その計算インスタンスに関連付けられたＶＮＩＣは、ホストマシンに接続されたＮＶＤによって実行される。たとえば、図１２では、ホストマシン１２０２は、ＶＮＩＣ１２７６に関連付けられた仮想マシン計算インスタンス１２６８を実行し、ＶＮＩＣ１２７６は、ホストマシン１２０２に接続されたＮＶＤ１２１０によって実行される。別の例として、ホストマシン１２０６によってホストされているベアメタルインスタンス１２７２は、ホストマシン１２０６に接続されたＮＶＤ１２１２によって実行されるＶＮＩＣ１２８０に関連付けられる。さらに別の例として、ＶＮＩＣ１２８４は、ホストマシン１２０８によって実行される計算インスタンス１２７４に関連付けられ、ＶＮＩＣ１２８４は、ホストマシン１２０８に接続されたＮＶＤ１２１２によって実行される。
ホストマシンによってホストされている計算インスタンスの場合、そのホストマシンに接続されたＮＶＤも、計算インスタンスがメンバであるＶＣＮに対応するＶＣＮ ＶＲを実行する。たとえば、図１２に示される実施形態では、ＮＶＤ１２１０は、計算インスタンス１２６８がメンバであるＶＣＮに対応するＶＣＮ ＶＲ１２７７を実行する。ＮＶＤ１２１２も、ホストマシン１２０６および１２０８によってホストされている計算インスタンスに対応するＶＣＮに対応する１つ以上のＶＣＮ ＶＲ１２８３を実行し得る。
ホストマシンは、当該ホストマシンを他のデバイスに接続することを可能にする１つ以上のネットワークインターフェイスカード（ＮＩＣ）を含み得る。ホストマシン上のＮＩＣは、当該ホストマシンを別のデバイスに通信可能に接続することを可能にする１つ以上のポート（またはインターフェイス）を提供し得る。たとえば、ホストマシン上およびＮＶＤ上に設けられた１つ以上のポート（またはインターフェイス）を使用して、当該ホストマシンを当該ＮＶＤに接続してもよい。また、ホストマシンを別のホストマシンなどの他のデバイスに接続してもよい。
たとえば、図１２では、ホストマシン１２０２は、ホストマシン１２０２のＮＩＣ１２３２によって提供されるポート１２３４とＮＶＤ１２１０のポート１２３６との間に延在するリンク１２２０を使用してＮＶＤ１２１０に接続されている。ホストマシン１２０６は、ホストマシン１２０６のＮＩＣ１２４４によって提供されるポート１２４６とＮＶＤ１２１２のポート１２４８との間に延在するリンク１２２４を使用してＮＶＤ１２１２に接続されている。ホストマシン１２０８は、ホストマシン１２０８のＮＩＣ１２５０によって提供されるポート１２５２とＮＶＤ１２１２のポート１２５４との間に延在するリンク１２２６を使用してＮＶＤ１２１２に接続されている。
そしてＮＶＤは、通信リンクを介して、物理ネットワーク１２１８（スイッチファブリックとも呼ばれる）に接続されているトップオブラック（ＴＯＲ）スイッチに接続されている。特定の実施形態では、ホストマシンとＮＶＤとの間のリンク、およびＮＶＤとＴＯＲスイッチとの間のリンクは、イーサネットリンクである。たとえば、図１２では、ＮＶＤ１２１０および１２１２は、リンク１２２８および１２３０を使用してＴＯＲスイッチ１２１４および１２１６にそれぞれ接続されている。特定の実施形態では、リンク１２２０，１２２４，１２２６，１２２８および１２３０はイーサネットリンクである。ＴＯＲに接続されているホストマシンおよびＮＶＤの集合体はラックと呼ばれることもある。
物理ネットワーク１２１８は、ＴＯＲスイッチが互いに通信することを可能にする通信ファブリックを提供する。物理ネットワーク１２１８は多層ネットワークとすることができる。特定の実現例では、物理ネットワーク１２１８はスイッチの多層Ｃｌｏｓネットワークであり、ＴＯＲスイッチ１２１４および１２１６は、多層およびマルチノード物理スイッチングネットワーク１２１８のリーフレベルノードを表す。２層ネットワーク、３層ネットワーク、４層ネットワーク、５層ネットワーク、および一般的に「ｎ」層ネットワークを含むがこれらに限定されない異なるＣｌｏｓネットワーク構成が可能である。Ｃｌｏｓネットワークの一例が図１５に示されており、以下に説明される。
ホストマシンとＮＶＤとの間には、１対１構成、多対１構成、１対多構成などのさまざまな異なる接続構成が可能である。１対１構成の実現例では、各ホストマシンが自身の別個のＮＶＤに接続されている。たとえば、図１２では、ホストマシン１２０２は、ホストマシン１２０２のＮＩＣ１２３２を介してＮＶＤ１２１０に接続されている。多対１構成では、複数のホストマシンが１つのＮＶＤに接続されている。たとえば、図１２では、ホストマシン１２０６および１２０８は、それぞれＮＩＣ１２４４および１２５０を介して同じＮＶＤ１２１２に接続されている。
１対多構成では、１つのホストマシンが複数のＮＶＤに接続されている。図１３は、ホストマシンが複数のＮＶＤに接続されているＣＳＰＩ１３００内の一例を示す。図１３に示されるように、ホストマシン１３０２は、複数のポート１３０６および１３０８を含むネットワークインターフェイスカード（ＮＩＣ）１３０４を含む。ホストマシン１３００は、ポート１３０６およびリンク１３２０を介して第１のＮＶＤ１３１０に接続され、ポート１３０８およびリンク１３２２を介して第２のＮＶＤ１３１２に接続されている。ポート１３０６および１３０８はイーサネットポートであってもよく、ホストマシン１３０２とＮＶＤ１３１０および１３１２との間のリンク１３２０および１３２２はイーサネットリンクであってもよい。そしてＮＶＤ１３１０は第１のＴＯＲスイッチ１３１４に接続され、ＮＶＤ１３１２は第２のＴＯＲスイッチ１３１６に接続されている。ＮＶＤ１３１０および１３１２とＴＯＲスイッチ１３１４および１３１６との間のリンクは、イーサネットリンクであってもよい。ＴＯＲスイッチ１３１４および１３１６は、多層物理ネットワーク１３１８内の層－０スイッチングデバイスを表す。
図１３に示される配置は、物理スイッチネットワーク１３１８からホストマシン１３０２への２つの別個の物理ネットワークパス、すなわち、ＴＯＲスイッチ１３１４をトラバースしてＮＶＤ１３１０およびホストマシン１３０２に至る第１のパス、ならびにＴＯＲスイッチ１３１６をトラバースしてＮＶＤ１３１２およびホストマシン１３０２に至る第２のパスを提供する。これら別個のパスは、ホストマシン１３０２の改善された可用性（高可用性と呼ばれる）を提供する。一方のパスに問題がある（たとえば一方のパスのリンクがダウンした）場合、またはデバイスに問題がある（たとえば特定のＮＶＤが機能していない）場合、他方のパスがホストマシン１３０２との間の通信に使用されてもよい。
図１３に示される構成では、ホストマシンは、ホストマシンのＮＩＣによって提供される２つの異なるポートを使用して２つの異なるＮＶＤに接続されている。他の実施形態では、ホストマシンは、複数のＮＶＤへのホストマシンの接続を可能にする複数のＮＩＣを含み得る。
再び図１２を参照して、ＮＶＤは、１つ以上のネットワークおよび／またはストレージ仮想化機能を実行する物理デバイスまたはコンポーネントである。ＮＶＤは、１つ以上の処理ユニット（たとえば、ＣＰＵ、ネットワーク処理ユニット（ＮＰＵ）、ＦＰＧＡ、パケット処理パイプラインなど）と、キャッシュを含むメモリと、ポートとを有するいずれのデバイスであってもよい。さまざまな仮想化機能は、ＮＶＤの１つ以上の処理ユニットによって実行されるソフトウェア／ファームウエアによって実行されてもよい。
ＮＶＤは、さまざまな異なる形態で実現され得る。たとえば、特定の実施形態では、ＮＶＤは、内蔵プロセッサを搭載したスマートＮＩＣまたはインテリジェントＮＩＣと呼ばれるインターフェイスカードとして実現される。スマートＮＩＣは、ホストマシン上のＮＩＣとは別個のデバイスである。図１２では、ＮＶＤ１２１０はホストマシン１２０２に接続されたスマートＮＩＣとして実現されてもよく、ＮＶＤ１２１２はホストマシン１２０６および１２０８に接続されたスマートＮＩＣとして実現されてもよい。
しかしながら、スマートＮＩＣは、ＮＶＤの一実現例に過ぎない。さまざまな他の実現例が可能である。たとえば、いくつかの他の実現例では、ＮＶＤまたはＮＶＤによって実行される１つ以上の機能が、ＣＳＰＩ１２００の１つ以上のホストマシン、１つ以上のＴＯＲスイッチ、および他のコンポーネントに組み込まれてもよく、またはそれらによって実行されてもよい。たとえば、ＮＶＤはホストマシンにおいて具体化され、ＮＶＤによって実行される機能は当該ホストマシンによって実行されてもよい。別の例として、ＮＶＤはＴＯＲスイッチの一部であってもよく、またはＴＯＲスイッチは、パブリッククラウドに使用されるさまざまな複雑なパケット変換をＴＯＲスイッチが実行することを可能にするＮＶＤによって実行される機能を実行するように構成されてもよい。ＮＶＤの機能を実行するＴＯＲは、スマートＴＯＲと呼ばれることもある。ベアメタル（ＢＭ）インスタンスではなく仮想マシン（ＶＭ）インスタンスが顧客に提供されるさらに他の実現例では、ＮＶＤによって提供される機能は、ホストマシンのハイパーバイザの内部で実現されてもよい。いくつかの他の実現例では、ＮＶＤの機能の一部は、一連のホストマシン上で動作する集中型サービスにオフロードされてもよい。
図１２に示されるようにスマートＮＩＣとして実現される場合などの特定の実施形態では、ＮＶＤは、当該ＮＶＤを１つ以上のホストマシンおよび１つ以上のＴＯＲスイッチに接続することを可能にする複数の物理ポートを含んでもよい。ＮＶＤ上のポートは、ホスト向きポート（「サウスポート（south port）」とも呼ばれる）またはネットワーク向きもしくはＴＯＲ向きポート（「ノースポート（north port）」とも呼ばれる）と分類され得る。ＮＶＤのホスト向きポートは、ＮＶＤをホストマシンに接続するために使用されるポートである。図１２のホスト向きポートの例としては、ＮＶＤ１２１０上のポート１２３６、ならびにＮＶＤ１２１２上のポート１２４８および１２５４が挙げられる。ＮＶＤのネットワーク向きポートは、ＮＶＤをＴＯＲスイッチに接続するために使用されるポートである。図１２のネットワーク向きポートの例としては、ＮＶＤ１２１０上のポート１２５６、およびＮＶＤ１２１２上のポート１２５８が挙げられる。図１２に示されるように、ＮＶＤ１２１０は、ＮＶＤ１２１０のポート１２５６からＴＯＲスイッチ１２１４に延在するリンク１２２８を使用してＴＯＲスイッチ１２１４に接続されている。同様に、ＮＶＤ１２１２は、ＮＶＤ１２１２のポート１２５８からＴＯＲスイッチ１２１６に延在するリンク１２３０を使用してＴＯＲスイッチ１２１６に接続されている。
ＮＶＤは、ホスト向きポートを介してホストマシンからパケットおよびフレーム（たとえば、ホストマシンによってホストされている計算インスタンスによって生成されたパケットおよびフレーム）を受信し、必要なパケット処理を実行した後、ＮＶＤのネットワーク向きポートを介して当該パケットおよびフレームをＴＯＲスイッチに転送し得る。ＮＶＤは、ＮＶＤのネットワーク向きポートを介してＴＯＲスイッチからパケットおよびフレームを受信し得、必要なパケット処理を実行した後、ＮＶＤのホスト向きポートを介して当該パケットおよびフレームをホストマシンに転送し得る。
特定の実施形態では、ＮＶＤとＴＯＲスイッチとの間に複数のポートおよび関連付けられたリンクがあってもよい。これらのポートおよびリンクを集約して、複数のポートまたはリンクのリンクアグリゲータグループ（ＬＡＧと呼ばれる）を形成してもよい。リンクを集約することで、２つのエンドポイント間の（たとえばＮＶＤとＴＯＲスイッチとの間の）複数の物理リンクを１つの論理リンクとして扱うことが可能になる。所与のＬＡＧ内のすべての物理リンクは、同じ速度で全二重モードで動作し得る。ＬＡＧは、２つのエンドポイント間の接続の帯域幅および信頼性を高めるのに役立つ。ＬＡＧ内の物理リンクのうちの１つがダウンすると、ＬＡＧ内の他の物理リンクのうちの１つにトラフィックが動的かつ透過的に再び割り当てられる。集約された物理リンクは、個々の各リンクよりも高い帯域幅を達成する。ＬＡＧに関連付けられた複数のポートは、１つの論理ポートとして扱われる。トラフィックをＬＡＧの複数の物理リンク間でロードバランシングすることができる。２つのエンドポイント間に１つ以上のＬＡＧが構成されてもよい。２つのエンドポイントは、ＮＶＤとＴＯＲスイッチとの間、ホストマシンとＮＶＤとの間などであってもよい。
ＮＶＤは、ネットワーク仮想化機能を実現または実行する。これらの機能は、ＮＶＤによって実行されるソフトウェア／ファームウエアによって実行される。ネットワーク仮想化機能の例としては、限定されないが、パケットのカプセル化およびデカプセル化機能、ＶＣＮネットワークを作成するための機能、ＶＣＮセキュリティリスト（ファイアウォール）機能などのネットワークポリシーを実現するための機能、ＶＣＮ内の計算インスタンスとの間のパケットのルーティングおよび転送を容易にする機能などが挙げられる。特定の実施形態では、パケットを受信すると、ＮＶＤは、パケットを処理し、パケットをどのように転送またはルーティングするかを判断するためのパケット処理パイプラインを実行するように構成されている。このパケット処理パイプラインの一部として、ＮＶＤは、ＶＣＮ内の計算インスタンスに関連付けられたＶＮＩＣの実行、ＶＣＮに関連付けられた仮想ルータ（ＶＲ）の実行、仮想ネットワーク内の転送またはルーティングを容易にするためのパケットのカプセル化およびデカプセル化、特定のゲートウェイ（たとえばローカルピアリングゲートウェイ）の実行、セキュリティリストの実現、ネットワークセキュリティグループ、ネットワークアドレス変換（ＮＡＴ）機能（たとえばホスト単位でのパブリックＩＰからプライベートＩＰへの変換）、スロットル機能、および他の機能など、オーバーレイネットワークに関連付けられた１つ以上の仮想機能を実行し得る。
特定の実施形態では、ＮＶＤ内のパケット処理データパスは複数のパケットパイプラインを含み、その各々が一連のパケット変換ステージで構成されてもよい。特定の実現例では、パケットを受信すると、当該パケットはパースされ、１つのパイプラインに分類される。そしてパケットは、パケットがドロップされるまたはＮＶＤのインターフェイスを介して送出されるまで、ステージからステージへと線形的に処理される。これらのステージは、基本的な機能パケット処理ビルディングブロック（たとえば、ヘッダの検証、スロットルの実施、新しいレイヤ２ヘッダの挿入、Ｌ４ファイアウォールの実施、ＶＣＮカプセル化／デカプセル化など）を提供するので、既存のステージを構成することによって新しいパイプラインを構築することができ、新しいステージを作成してそれらを既存のパイプラインに挿入することによって新しい機能を追加することができる。
ＮＶＤは、ＶＣＮの制御プレーンおよびデータプレーンに対応する制御プレーン機能およびデータプレーン機能の両方を実行し得る。制御プレーン機能は、データをどのように転送するかを制御するネットワークを構成する（たとえば、ルートおよびルートテーブルをセットアップする、ＶＮＩＣを構成するなど）ために使用される機能を含む。特定の実施形態では、すべてのオーバーレイと基板とのマッピングを一元的に計算し、当該マッピングをＮＶＤに、ならびにＤＲＧ、ＳＧＷ、ＩＧＷ等のさまざまなゲートウェイなどの仮想ネットワークエッジデバイスに公開するＶＣＮ制御プレーンが提供される。同じメカニズムを使用してファイアウォールルールも公開されてもよい。特定の実施形態では、ＮＶＤは、そのＮＶＤに関連しているマッピングのみを取得する。データプレーン機能は、制御プレーンを使用してセットアップされた構成に基づいてパケットを実際にルーティング／転送するための機能を含む。ＶＣＮデータプレーンは、顧客のネットワークパケットが基幹ネットワークをトラバースする前に当該パケットをカプセル化することによって実現される。カプセル化／デカプセル化機能はＮＶＤ上で実現される。特定の実施形態では、ＮＶＤは、ホストマシンに出入りするすべてのネットワークパケットを傍受し、ネットワーク仮想化機能を実行するように構成されている。
上述のように、ＮＶＤは、ＶＮＩＣおよびＶＣＮ ＶＲを含むさまざまな仮想化機能を実行する。ＮＶＤは、ＶＮＩＣに接続された１つ以上のホストマシンによってホストされている計算インスタンスに関連付けられたＶＮＩＣを実行し得る。たとえば、図１２に示されるように、ＮＶＤ１２１０は、ＮＶＤ１２１０に接続されたホストマシン１２０２によってホストされている計算インスタンス１２６８に関連付けられたＶＮＩＣ１２７６のための機能を実行する。別の例として、ＮＶＤ１２１２は、ホストマシン１２０６によってホストされているベアメタル計算インスタンス１２７２に関連付けられたＶＮＩＣ１２８０を実行し、ホストマシン１２０８によってホストされている計算インスタンス１２７４に関連付けられたＶＮＩＣ１２８４を実行する。ホストマシンは、異なる顧客に属する異なるＶＣＮに属する計算インスタンスをホストし得、ホストマシンに接続されたＮＶＤは、計算インスタンスに対応するＶＮＩＣを実行し得る（すなわち、ＶＮＩＣに関連する機能を実行し得る）。
ＮＶＤはまた、計算インスタンスのＶＣＮに対応するＶＣＮ仮想ルータを実行する。たとえば、図１２に示される実施形態では、ＮＶＤ１２１０は、計算インスタンス１２６８が属するＶＣＮに対応するＶＣＮ ＶＲ１２７７を実行する。ＮＶＤ１２１２は、ホストマシン１２０６および１２０８によってホストされている計算インスタンスが属する１つ以上のＶＣＮに対応する１つ以上のＶＣＮ ＶＲ１２８３を実行する。特定の実施形態では、そのＶＣＮに対応するＶＣＮ ＶＲは、そのＶＣＮに属する少なくとも１つの計算インスタンスをホストするホストマシンに接続されたすべてのＮＶＤによって実行される。ホストマシンが、異なるＶＣＮに属する計算インスタンスをホストする場合、そのホストマシンに接続されたＮＶＤは、それらの異なるＶＣＮに対応するＶＣＮ ＶＲを実行し得る。
ＶＮＩＣおよびＶＣＮ ＶＲに加えて、ＮＶＤは、さまざまなソフトウェア（たとえばデーモン）を実行し、ＮＶＤによって実行されるさまざまなネットワーク仮想化機能を容易にする１つ以上のハードウェアコンポーネントを含み得る。簡単にするために、これらのさまざまなコンポーネントは、図１２に示される「パケット処理コンポーネント」としてグループ化されている。たとえば、ＮＶＤ１２１０はパケット処理コンポーネント１２８６を含み、ＮＶＤ１２１２はパケット処理コンポーネント１２８８を含む。たとえば、ＮＶＤのパケット処理コンポーネントは、ＮＶＤのポートおよびハードウェアインターフェイスとやり取りすることによって、ＮＶＤによって受信されＮＶＤを使用して通信されるすべてのパケットを監視し、ネットワーク情報を格納するように構成されたパケットプロセッサを含み得る。ネットワーク情報は、たとえば、ＮＶＤによって処理される異なるネットワークフローを識別するネットワークフロー情報、およびフローごとの情報（たとえばフローごとの統計）を含み得る。特定の実施形態では、ネットワークフロー情報はＶＮＩＣ単位で格納され得る。パケットプロセッサは、パケットごとの操作を実行するだけでなく、ステートフルＮＡＴおよびＬ４ファイアウォール（ＦＷ）を実現し得る。別の例として、パケット処理コンポーネントは、ＮＶＤによって格納された情報を１つ以上の異なる複製ターゲットストアに複製するように構成された複製エージェントを含み得る。さらに別の例として、パケット処理コンポーネントは、ＮＶＤのロギング機能を実行するように構成されたロギングエージェントを含み得る。パケット処理コンポーネントはまた、ＮＶＤの性能および健全性を監視するための、さらに場合によっては、ＮＶＤに接続された他のコンポーネントのステートおよび健全性を監視するソフトウェアを含み得る。
図１１は、ＶＣＮと、ＶＣＮ内のサブネットと、サブネット上に展開される計算インスタンスと、計算インスタンスに関連付けられたＶＮＩＣと、ＶＣＮのＶＲと、ＶＣＮのために構成されたゲートウェイのセットとを含む、例示的な仮想ネットワークまたはオーバーレイネットワークのコンポーネントを示す。図１１に示されるオーバーレイコンポーネントは、図１２に示される物理コンポーネントのうちの１つ以上によって実行またはホストされてもよい。たとえば、ＶＣＮ内の計算インスタンスは、図１２に示される１つ以上のホストマシンによって実行またはホストされてもよい。ホストマシンによってホストされている計算インスタンスの場合、その計算インスタンスに関連付けられたＶＮＩＣは、典型的には、そのホストマシンに接続されたＮＶＤによって実行される（すなわち、ＶＮＩＣ機能は、そのホストマシンに接続されたＮＶＤによって提供される）。ＶＣＮのＶＣＮ ＶＲ機能は、そのＶＣＮの一部である計算インスタンスをホストまたは実行するホストマシンに接続されたすべてのＮＶＤによって実行される。ＶＣＮに関連付けられたゲートウェイは、１つ以上の異なるタイプのＮＶＤによって実行されてもよい。たとえば、特定のゲートウェイはスマートＮＩＣによって実行されてもよく、他のゲートウェイは１つ以上のホストマシンまたはＮＶＤの他の実現例によって実行されてもよい。
上述のように、顧客ＶＣＮ内の計算インスタンスはさまざまな異なるエンドポイントと通信してもよく、当該エンドポイントは、ソース計算インスタンスと同じサブネット内にあり得るか、異なるサブネットであるがソース計算インスタンスと同じＶＣＮ内にあり得るか、または、ソース計算インスタンスのＶＣＮの外部のエンドポイントを有し得る。これらの通信は、計算インスタンスに関連付けられたＶＮＩＣと、ＶＣＮ ＶＲと、ＶＣＮに関連付けられたゲートウェイとを使用して容易になる。
ＶＣＮ内の同じサブネット上の２つの計算インスタンス間の通信の場合、当該通信は、ソース計算インスタンスおよび宛先計算インスタンスに関連付けられたＶＮＩＣを使用して容易になる。ソース計算インスタンスおよび宛先計算インスタンスは、同じホストマシンによってホストされてもよく、または異なるホストマシンによってホストされてもよい。ソース計算インスタンスから送出されるパケットは、ソース計算インスタンスをホストするホストマシンから、そのホストマシンに接続されたＮＶＤに転送されてもよい。ＮＶＤ上で、パケットはパケット処理パイプラインを使用して処理され、これは、ソース計算インスタンスに関連付けられたＶＮＩＣの実行を含み得る。パケットの宛先エンドポイントは同じサブネット内にあるので、ソース計算インスタンスに関連付けられたＶＮＩＣを実行すると、パケットは、宛先計算インスタンスに関連付けられたＶＮＩＣを実行するＮＶＤに転送され、ＮＶＤは次に、パケットを処理して宛先計算インスタンスに転送する。ソース計算インスタンスおよび宛先計算インスタンスに関連付けられたＶＮＩＣは、（たとえば、ソース計算インスタンスおよび宛先計算インスタンスの両方が同じホストマシンによってホストされている場合は）同じＮＶＤ上で実行されてもよく、または（たとえば、ソース計算インスタンスおよび宛先計算インスタンスが異なるＮＶＤに接続された異なるホストマシンによってホストされている場合は）異なるＮＶＤ上で実行されてもよい。ＶＮＩＣは、ＮＶＤによって格納されたルーティング／転送テーブルを使用して、パケットのネクストホップを決定してもよい。
サブネット内の計算インスタンスから同じＶＣＮ内の異なるサブネット内のエンドポイントにパケットを通信する場合、ソース計算インスタンスから送出されるパケットは、ソース計算インスタンスをホストするホストマシンから、そのホストマシンに接続されたＮＶＤに通信される。ＮＶＤ上で、パケットはパケット処理パイプラインを使用して処理され、これは、１つ以上のＶＮＩＣ、およびＶＣＮに関連付けられたＶＲの実行を含み得る。たとえば、パケット処理パイプラインの一部として、ＮＶＤは、ソース計算インスタンスに関連付けられたＶＮＩＣに対応する機能を実行するか呼び出す（ＶＮＩＣを実行するとも呼ばれる）。ＶＮＩＣによって実行される機能は、パケット上のＶＬＡＮタグに注目することを含み得る。パケットの宛先がサブネットの外部にあるので、次にＶＣＮ ＶＲ機能がＮＶＤによって呼び出されて実行される。そして、ＶＣＮ ＶＲは、宛先計算インスタンスに関連付けられたＶＮＩＣを実行するＮＶＤにパケットをルーティングする。そして、宛先計算インスタンスに関連付けられたＶＮＩＣは、パケットを処理し、パケットを宛先計算インスタンスに転送する。ソース計算インスタンスおよび宛先計算インスタンスに関連付けられたＶＮＩＣは、（たとえば、ソース計算インスタンスおよび宛先計算インスタンスの両方が同じホストマシンによってホストされている場合は）同じＮＶＤ上で実行されてもよく、または（たとえば、ソース計算インスタンスおよび宛先計算インスタンスが異なるＮＶＤに接続された異なるホストマシンによってホストされている場合は）異なるＮＶＤ上で実行されてもよい。
パケットの宛先がソース計算インスタンスのＶＣＮの外部にある場合、ソース計算インスタンスから送出されるパケットは、ソース計算インスタンスをホストするホストマシンから、そのホストマシンに接続されたＮＶＤに通信される。ＮＶＤは、ソース計算インスタンスに関連付けられたＶＮＩＣを実行する。パケットの宛先エンドポイントがＶＣＮの外部にあるので、次にパケットはそのＶＣＮのＶＣＮ ＶＲによって処理される。ＮＶＤは、ＶＣＮ ＶＲ機能を呼び出し、その結果、パケットが、ＶＣＮに関連付けられた適切なゲートウェイを実行するＮＶＤに転送されてもよい。たとえば、宛先が顧客のオンプレミスネットワーク内のエンドポイントである場合、パケットは、ＶＣＮ ＶＲによって、ＶＣＮのために構成されたＤＲＧゲートウェイを実行するＮＶＤに転送されてもよい。ＶＣＮ ＶＲは、ソース計算インスタンスに関連付けられたＶＮＩＣを実行するＮＶＤと同じＮＶＤ上で実行されてもよく、または異なるＮＶＤによって実行されてもよい。ゲートウェイは、スマートＮＩＣ、ホストマシン、または他のＮＶＤ実現例であり得るＮＶＤによって実行されてもよい。そして、パケットは、ゲートウェイによって処理され、意図された宛先エンドポイントへのパケットの通信を容易にするネクストホップに転送される。たとえば、図１２に示される実施形態では、計算インスタンス１２６８から送出されるパケットは、（ＮＩＣ１２３２を使用して）リンク１２２０を介してホストマシン１２０２からＮＶＤ１２１０に通信されてもよい。ＮＶＤ１２１０上では、ＶＮＩＣ１２７６がソース計算インスタンス１２６８に関連付けられたＶＮＩＣであるため、ＶＮＩＣ１２７６が呼び出される。ＶＮＩＣ１２７６は、パケット内のカプセル化情報を調べ、意図された宛先エンドポイントへのパケットの通信を容易にすることを目的としてパケットを転送するためのネクストホップを決定し、次に、決定したネクストホップにパケットを転送するように構成されている。
ＶＣＮ上に展開される計算インスタンスは、さまざまな異なるエンドポイントと通信することができる。これらのエンドポイントは、ＣＳＰＩ１２００によってホストされているエンドポイントおよびＣＳＰＩ１２００の外部のエンドポイントを含み得る。ＣＳＰＩ１２００によってホストされているエンドポイントは、同じＶＣＮ内の、または顧客のＶＣＮもしくは顧客に属さないＶＣＮであり得る他のＶＣＮ内のインスタンスを含み得る。ＣＳＰＩ１２００によってホストされているエンドポイント間の通信は、物理ネットワーク１２１８を介して実行されてもよい。計算インスタンスはまた、ＣＳＰＩ１２００によってホストされていない、またはＣＳＰＩ１２００の外部にあるエンドポイントと通信し得る。これらのエンドポイントの例としては、顧客のオンプレミスネットワークもしくはデータセンター内のエンドポイント、またはインターネットなどのパブリックネットワークを介してアクセス可能なパブリックエンドポイントが挙げられる。ＣＳＰＩ１２００の外部のエンドポイントとの通信は、さまざまな通信プロトコルを使用してパブリックネットワーク（たとえばインターネット）（図１２には図示せず）またはプライベートネットワーク（図１２には図示せず）を介して実行されてもよい。
図１２に示されるＣＳＰＩ１２００のアーキテクチャは一例に過ぎず、限定することを意図していない。代替の実施形態では変形例、代替例、および修正例が可能である。たとえば、いくつかの実現例では、ＣＳＰＩ１２００は、図１２に示されるよりも多いもしくは少ないシステムもしくはコンポーネントを有してもよく、２つ以上のシステムを組み合わせてもよく、またはシステムの異なる構成もしくは配置を有してもよい。図１２に示されるシステム、サブシステム、および他のコンポーネントは、それぞれのシステムの１つ以上の処理ユニット（たとえば、プロセッサ、コア）によって実行されるソフトウェア（たとえば、コード、命令、プログラム）で、ハードウェアを使用して、またはそれらの組み合わせで、実現されてもよい。ソフトウェアは非一時的な記憶媒体上に（たとえばメモリデバイス上に）に格納されてもよい。
図１４は、特定の実施形態に係る、マルチテナンシをサポートするためのＩ／Ｏ仮想化を提供するためのホストマシンとＮＶＤとの間の接続性を示す。図１４に示されるように、ホストマシン１４０２は、仮想化環境を提供するハイパーバイザ１４０４を実行する。ホストマシン１４０２は２つの仮想マシンインスタンス、すなわち、顧客／テナント＃１に属するＶＭ１ １４０６および顧客／テナント＃２に属するＶＭ２ １４０８を実行する。ホストマシン１４０２は、リンク１４１４を介してＮＶＤ１４１２に接続されている物理ＮＩＣ１４１０を含む。計算インスタンスの各々は、ＮＶＤ１４１２によって実行されるＶＮＩＣにアタッチされている。図１４の実施形態では、ＶＭ１ １４０６はＶＮＩＣ－ＶＭ１ １４２０にアタッチされ、ＶＭ２ １４０８はＶＮＩＣ－ＶＭ２ １４２２にアタッチされている。
図１４に示されるように、ＮＩＣ１４１０は２つの論理ＮＩＣ、すなわち、論理ＮＩＣ Ａ１４１６および論理ＮＩＣ Ｂ１４１８を含む。各仮想マシンは、自身の論理ＮＩＣにアタッチされ、自身の論理ＮＩＣとともに動作するように構成されている。たとえば、ＶＭ１ １４０６は論理ＮＩＣ Ａ１４１６にアタッチされ、ＶＭ２ １４０８は論理ＮＩＣ Ｂ１４１８にアタッチされている。ホストマシン１４０２は、複数のテナントによって共有される１つの物理ＮＩＣ１４１０しか含んでいないが、論理ＮＩＣにより、各テナントの仮想マシンは、自身のホストマシンおよびＮＩＣを有していると信じている。
特定の実施形態では、各論理ＮＩＣには、自身のＶＬＡＮ ＩＤが割り当てられる。よって、テナント＃１の論理ＮＩＣ Ａ１４１６には特定のＶＬＡＮ ＩＤが割り当てられ、テナント＃２の論理ＮＩＣ Ｂ１４１８には異なるＶＬＡＮ ＩＤが割り当てられる。ＶＭ１ １４０６からパケットが通信されると、テナント＃１に割り当てられたタグがハイパーバイザによってパケットにアタッチされ、次にパケットがリンク１４１４を介してホストマシン１４０２からＮＶＤ１４１２に通信される。同様に、ＶＭ２ １４０８からパケットが通信されると、テナント＃２に割り当てられたタグがハイパーバイザによってパケットにアタッチされ、次にパケットがリンク１４１４を介してホストマシン１４０２からＮＶＤ１４１２に通信される。したがって、ホストマシン１４０２からＮＶＤ１４１２に通信されるパケット１４２４は、特定のテナントおよび関連付けられたＶＭを識別する、関連付けられたタグ１４２６を有する。ＮＶＤ上で、ホストマシン１４０２からパケット１４２４を受信した場合、当該パケットに関連付けられたタグ１４２６を使用して、当該パケットをＶＮＩＣ－ＶＭ１ １４２０によって処理するかＶＮＩＣ－ＶＭ２ １４２２によって処理するかを判断する。そしてパケットは、対応するＶＮＩＣによって処理される。図１４に示される構成は、各テナントの計算インスタンスが、自身のホストマシンおよびＮＩＣを有していると信じることを可能にする。図１４に示されるセットアップは、マルチテナンシをサポートするためのＩ／Ｏ仮想化を提供する。
図１５は、特定の実施形態に係る物理ネットワーク１５００の簡略化されたブロック図を示す。図１５に示される実施形態は、Ｃｌｏｓネットワークとして構築されている。Ｃｌｏｓネットワークは、高い二分割帯域幅および最大リソース利用を維持しながら接続冗長性を提供するように設計された特定のタイプのネットワークトポロジである。Ｃｌｏｓネットワークは、一種の非ブロッキングの、多段または多層スイッチングネットワークであり、段または層の数は、２，３，４，５などとすることができる。図１５に示される実施形態は、層１，２および３を含む３層ネットワークである。ＴＯＲスイッチ１５０４はＣｌｏｓネットワーク内の層－０スイッチを表す。１つ以上のＮＶＤがＴＯＲスイッチに接続されている。層－０スイッチは、物理ネットワークのエッジデバイスとも呼ばれる。層－０スイッチは、リーフスイッチとも呼ばれる層－１スイッチに接続されている。図１５に示される実施形態では、「ｎ」個の層－０ ＴＯＲスイッチのセットが「ｎ」個の層－１スイッチのセットに接続され、ともにポッドを形成する。あるポッド内の各層－０スイッチは、当該ポッド内のすべての層－１スイッチに相互接続されるが、ポッド間のスイッチの接続性はない。特定の実現例では、２つのポッドはブロックと呼ばれる。各ブロックは、「ｎ」個の層－２スイッチ（スパインスイッチと呼ばれることもある）のセットによってサービスを提供されるか、または当該セットに接続されている。いくつかのブロックが物理ネットワークトポロジ内にあり得る。そして層－２スイッチは、「ｎ」個の層－３スイッチ（スーパースパインスイッチと呼ばれることもある）に接続されている。物理ネットワーク１５００を介したパケットの通信は典型的に、１つ以上のレイヤ３通信プロトコルを使用して実行される。典型的に、ＴＯＲ層を除く物理ネットワークのすべての層はｎウェイ冗長であり、したがって高可用性を実現することができる。物理ネットワークのスケーリングを有効にするために物理ネットワーク内のスイッチの相互の可視性を制御するポリシーを、ポッドおよびブロックに対して指定してもよい。
Ｃｌｏｓネットワークの特徴は、ある層－０スイッチから別の層－０スイッチに（または、層－０スイッチに接続されたＮＶＤから層－０スイッチに接続された別のＮＶＤに）到達するための最大ホップカウントが固定されていることである。たとえば、３層のＣｌｏｓネットワークでは、あるＮＶＤから別のＮＶＤにパケットが到達するために最大で７個のホップが必要であり、ソースＮＶＤおよびターゲットＮＶＤはＣｌｏｓネットワークのリーフ層に接続されている。同様に、４層のＣｌｏｓネットワークでは、あるＮＶＤから別のＮＶＤにパケットが到達するために最大で９個のホップが必要であり、ソースＮＶＤおよびターゲットＮＶＤはＣｌｏｓネットワークのリーフ層に接続されている。よって、Ｃｌｏｓネットワークアーキテクチャはネットワーク全体の遅延を一定に保つ。これは、データセンター内およびデータセンター間の通信に重要である。Ｃｌｏｓトポロジは水平方向にスケーリングされ、費用対効果が高い。さまざまな層により多くのスイッチ（たとえば、より多くのリーフスイッチおよびスパインスイッチ）を追加することによって、かつ、隣接層におけるスイッチ間のリンク数を増やすことによって、ネットワークの帯域幅／スループット容量を容易に増加させることができる。
特定の実施形態では、ＣＳＰＩ内の各リソースには、クラウド識別子（ＣＩＤ）と呼ばれる固有の識別子が割り当てられる。この識別子は、リソースの情報の一部として含まれ、たとえばコンソールを介してまたはＡＰＩを通じてリソースを管理するために使用することができる。ＣＩＤの例示的なシンタックスは、
ocid1.<RESOURCE TYPE>.<REALM>.[REGION][.FUTURE USE].<UNIQUE ID>
である。式中、
「ocid1」は、ＣＩＤのバージョンを示すリテラル文字列である。
ocid1.<RESOURCE TYPE>.<REALM>.[REGION][.FUTURE USE].<UNIQUE ID>
である。式中、
「ocid1」は、ＣＩＤのバージョンを示すリテラル文字列である。
「resource type」は、リソースのタイプ（たとえば、インスタンス、ボリューム、ＶＣＮ、サブネット、ユーザ、グループなど）である。
「realm」は、リソースが存在するレルムである。例示的な値は、商用レルムの「ｃ１」、政府クラウドレルムの「ｃ２」、または連邦政府クラウドレルムの「ｃ３」などである。各レルムは自身のドメイン名を有し得る。
「region」は、リソースが存在するリージョンである。リージョンがリソースに適用されない場合、この部分は空白であってもよい。
「future use」は、将来使用するために確保されている。
「unique ID」は、ＩＤの固有部分である。フォーマットはリソースまたはサービスのタイプによって異なり得る。
「unique ID」は、ＩＤの固有部分である。フォーマットはリソースまたはサービスのタイプによって異なり得る。
本開示の特定の実施形態を説明したが、さまざまな修正例、代替例、代替構成、および均等物も本開示の範囲内に包含される。本開示の実施形態は、特定の具体的なデータ処理環境内の動作に制限されず、複数のデータ処理環境内で自由に動作することができる。これに加えて、特定の一連のトランザクションおよびステップを用いて本開示の実施形態を説明したが、本開示の範囲は説明された一連のトランザクションおよびステップに限定されないことは、当業者に明らかであるはずである。上述した実施形態のさまざまな特徴および態様は、個別にまたは共同で使用されてもよい。
さらに、ハードウェアとソフトウェアとの特定の組み合わせを用いて本開示の実施形態を説明したが、ハードウェアとソフトウェアとの他の組み合わせも本開示の範囲内にあることが認識されるべきである。本開示の実施形態は、ハードウェアのみで、またはソフトウェアのみで、またはそれらの組み合わせを用いて、実現されてもよい。本明細書に記載されているさまざまなプロセスは、同じロセッサまたは任意の組み合わせの異なるプロセッサ上で実現することができる。したがって、コンポーネントまたはモジュールが特定の動作を実行するように構成されると記載されている場合、そのような構成は、たとえば、その動作を実行するように電子回路を設計することによって、その動作を実行するようにプログラム可能な電子回路（マイクロプロセッサなど）をプログラムすることによって、またはそれらの任意の組み合わせによって、達成することができる。プロセスは、プロセス間通信のための従来技術を含むさまざまな技術を用いて通信することができるが、これに限定されず、プロセスの異なるペアが異なる技術を使用してもよく、またはプロセスの同じペアが異なる時間に異なる技術を使用してもよい。
したがって、明細書および図面は、限定的ではなく例示的であるとみなされるべきである。しかしながら、特許請求の範囲に記載されたより広義の精神および範囲から逸脱することなく、追加、削減、削除、ならびに他の修正および変更をそれらに対して行ってもよいことが明らかであろう。ゆえに、本開示の特定の実施形態を説明したが、これらは限定することを意図していない。さまざまな修正および均等物が添付の特許請求の範囲に含まれる。
開示されている実施形態を説明する文脈における（特に、添付の特許請求の範囲の文脈における）「ａ」および「ａｎ」および「ｔｈｅ」という語、ならびに同様の指示対象の使用は、本明細書において特に明記しない限り、または文脈上明らかに矛盾のない限り、単数および複数の両方を含むと解釈されるべきである。「備える」、「有する」、「含む」、および「含有する」という語は、特に記載されていない限り、非限定的な語であると解釈されるべきである（すなわち、「…を含むがこれらに限定されない」ことを意味する）。「接続される」という語は、何かが介在している場合であっても、一部または全部が含まれている、取り付けられている、または結合されていると解釈されるべきである。本明細書における値の範囲の記載は、本明細書において特に明記しない限り、その範囲内に含まれる個別の各値に個々に言及することを省略する方法であることが意図されているに過ぎず、個別の各値は本明細書において個別に記載されているかのように本明細書に組み込まれる。本明細書に記載されている方法はすべて、本明細書において特に明記しない限り、または文脈上明らかに矛盾のない限り、任意の適切な順序で実行することができる。本明細書に提供されているあらゆる例、または例示的な言い回し（たとえば「～など」）の使用は、本開示の実施形態をより明らかにすることを意図しているに過ぎず、特にクレームされていない限り、本開示の範囲を限定するものではない。明細書中のすべての言い回しは、クレームされていない要素が本開示を実施するのに必須の要素であることを示す言い回しであると解釈されるべきではない。
「Ｘ、Ｙ、またはＺのうちの少なくとも１つ」というフレーズなどの離接的な言い回しは、特に具体的に明記されていない限り、項目、用語などがＸ、Ｙ、もしくはＺ、またはそれらの任意の組合せ（たとえば、Ｘ、Ｙ、および／もしくはＺ）のいずれかであり得ることを提示するために一般的に使用される文脈内で理解されることが意図されている。ゆえに、このような離接的な言い回しは、概して、特定の実施形態が、Ｘのうちの少なくとも１つ、Ｙのうちの少なくとも１つ、またはＺのうちの少なくとも１つが各々存在することが必要であることを含意することを意図しておらず、またそのように含意すべきではない。
本開示を実施するために知られている最良の形態を含む、本開示の好ましい実施形態が本明細書に記載されている。上記の説明を読むと、これらの好ましい実施形態の変形例が当業者に明らかになるであろう。当業者は、このような変形例を適宜採用することができるはずであり、本開示は、本明細書に具体的に記載されている以外の方法で実施されてもよい。したがって、本開示は、適用される法律によって許可される、本明細書に添付された特許請求の範囲に記載されている主題のすべての修正例および均等物を含む。さらに、そのすべての可能な変形例における上述の要素の任意の組み合わせは、本明細書に特に示されていない限り、本開示に包含される。
本明細書において引用されている刊行物、特許出願、および特許を含むすべての参考文献は、各文献が引用により援用されることが個別にかつ具体的に示され、その全体が本明細書に記載された場合と同じ程度に、引用により本明細書に援用される。
上記の明細書では、本開示の態様をその具体的な実施形態を参照して説明しているが、当業者は、本開示がそれらに限定されないことを認識するであろう。上述した開示のさまざまな特徴および態様は、個別にまたは共同で使用されてもよい。さらに、実施形態は、本明細書のより広義の精神および範囲から逸脱することなく、本明細書に説明されているものを超える任意の数の環境および用途で利用することができる。したがって、明細書および図面は、限定的ではなく例示的であると見なされるべきである。
Claims (20)
- システムであって、
第１の仮想マシンをインスタンス化するように構成された第１の仮想化エンジンを含み、前記第１の仮想化エンジンは、
第１のキーを格納するように構成された第１のメモリデバイスを含み、前記第１のキーは暗号キーであり、前記第１の仮想化エンジンはさらに、
前記第１のキーを使用して前記第１の仮想マシンへのおよび／または前記第１の仮想マシンからのデータを暗号化および／または復号するように構成された第１の暗号プロセッサを含み、前記システムはさらに、
第２の仮想マシンをインスタンス化するように構成された第２の仮想化エンジンを含み、前記第２の仮想化エンジンは、
第２のキーを格納するように構成された第２のメモリデバイスを含み、前記第２のキーは暗号キーであり、前記第２の仮想化エンジンはさらに、
前記第２のキーを使用して前記第２の仮想マシンへのおよび／または前記第２の仮想マシンからのデータを暗号化および／または復号するように構成された第２の暗号プロセッサを含み、
前記第１の仮想化エンジンおよび前記第２の仮想化エンジンはデバイスの一部であり、
前記デバイスのホストは前記第１のキーおよび前記第２のキーへのアクセスを有していない、システム。 - 前記第１の仮想化エンジンは、キー管理サービスから前記第１のキーを受け取り、前記第１のキーを前記第１のメモリデバイスに保存するように構成されている、請求項１に記載のシステム。
- 前記キー管理サービスは、前記デバイスの前記ホストが顧客のための前記第１のキーへのアクセスを有することなく、前記第１のキーを前記デバイスに提供する、請求項２に記載のシステム。
- 前記第１の仮想化エンジンは、前記キー管理サービスにクレデンシャルを提供して前記第１のキーを受け取る、請求項１または２のいずれか１項に記載のシステム。
- 前記第１のメモリデバイスは、コンデンサおよびトランジスタを含むスタティックランダムアクセスメモリデバイスである、請求項１～４のいずれか１項に記載のシステム。
- 前記第１の仮想化エンジンおよび前記第２の仮想化エンジンは各々、一度に１つの仮想マシンのみをインスタンス化するように構成されている、請求項１～５のいずれか１項に記載のシステム。
- 前記第１の仮想マシンは第１の仮想クラウドネットワークの一部であり、前記第２の仮想マシンは第２の仮想クラウドネットワークの一部である、請求項１～６のいずれか１項に記載のシステム。
- 前記第１の暗号プロセッサは、前記第１の仮想マシンのためのインラインデータ暗号化を提供するように構成されている、請求項１～７のいずれか１項に記載のシステム。
- 前記第１の仮想化エンジンは、前記第１の仮想化マシンのためのデータパケットのネットワークルーティングを提供するように構成されている、請求項１～８のいずれか１項に記載のシステム。
- 前記第１のキーは前記第２のキーと同じである、請求項１～９のいずれか１項に記載のシステム。
- 前記デバイスはネットワークインターフェイスカードである、請求項１～１０のいずれか１項に記載のシステム。
- 前記第１のキーは定期的に更新される、請求項１～１１のいずれか１項に記載のシステム。
- 前記第１の仮想マシンおよび前記第２の仮想マシンは、サブネットの一部である、請求項１～１２のいずれか１項に記載のシステム。
- 前記第１の仮想マシンおよび前記第２の仮想マシンは、異なる仮想クラウドネットワークの一部である、請求項１～１２のいずれか１項に記載のシステム。
- 前記第１のキーおよび前記第２のキーは同時にリフレッシュされる、請求項１～１４のいずれか１項に記載のシステム。
- 方法であって、
第１の仮想化エンジンを使用して第１の仮想マシンをインスタンス化することと、
第２の仮想化エンジンを使用して第２の仮想マシンをインスタンス化することと、
前記第１の仮想化エンジンの第１のメモリデバイスに第１のキーを格納することと、
前記第２の仮想化エンジンの第２のメモリデバイスに第２のキーを格納することと、
第１の暗号プロセッサおよび前記第１のキーを使用して前記第１の仮想マシンのデータを暗号化することとを含み、前記第１の暗号プロセッサは前記第１の仮想化エンジンの一部であり、前記方法はさらに、
第２の暗号プロセッサおよび前記第２のキーを使用して前記第２の仮想エンジンのデータを暗号化することを含み、
前記第２の暗号プロセッサは前記第２の仮想化エンジンの一部であり、
前記第１の仮想化エンジンおよび前記第２の仮想化エンジンはデバイスの一部であり、
前記デバイスのホストは前記第１のキーまたは前記第２のキーへのアクセスを有していない、方法。 - 前記第１のキーは前記第２のキーとは異なる、請求項１６に記載の方法。
- 前記第１のメモリデバイスは、前記第１の仮想マシンのみのためのキーを格納するように構成されている、請求項１６または１７のいずれか１項に記載の方法。
- １つ以上のプロセッサによって実行可能な複数の命令を格納する非一時的なコンピュータ読取可能メモリであって、前記複数の命令は、前記１つ以上のプロセッサによって実行されると前記１つ以上のプロセッサに処理を実行させる命令を含み、前記処理は、
第１の仮想化エンジンを使用して第１の仮想マシンをインスタンス化することと、
第２の仮想化エンジンを使用して第２の仮想マシンをインスタンス化することと、
前記第１の仮想化エンジンの第１のメモリデバイスに第１のキーを格納することと、
前記第２の仮想化エンジンの第２のメモリデバイスに第２のキーを格納することと、
第１の暗号プロセッサおよび前記第１のキーを使用して前記第１の仮想マシンのデータを暗号化することとを含み、前記第１の暗号プロセッサは前記第１の仮想化エンジンの一部であり、前記処理はさらに、
第２の暗号プロセッサおよび前記第２のキーを使用して前記第２の仮想エンジンのデータを暗号化することを含み、
前記第２の暗号プロセッサは前記第２の仮想化エンジンの一部であり、
前記第１の仮想化エンジンおよび前記第２の仮想化エンジンはデバイスの一部であり、
前記デバイスのホストは前記第１のキーまたは前記第２のキーへのアクセスを有していない、非一時的なコンピュータ読取可能メモリ。 - 前記複数の命令は、前記１つ以上のプロセッサによって実行されると、前記第１の仮想化エンジンのメモリデバイスに暗号キーを格納することを含む処理を前記１つ以上のプロセッサに実行させる命令をさらに含む、請求項１９に記載の非一時的なコンピュータ読取可能メモリ。
Applications Claiming Priority (3)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| US17/133,526 US11856097B2 (en) | 2020-12-23 | 2020-12-23 | Mechanism to provide customer VCN network encryption using customer-managed keys in network virtualization device |
| US17/133,526 | 2020-12-23 | ||
| PCT/US2021/063714 WO2022140142A1 (en) | 2020-12-23 | 2021-12-16 | Mechanism to provide customer vcn network encryption using customer-managed keys in network virtualization device |
Publications (1)
| Publication Number | Publication Date |
|---|---|
| JP2024502770A true JP2024502770A (ja) | 2024-01-23 |
Family
ID=79686960
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2023538778A Pending JP2024502770A (ja) | 2020-12-23 | 2021-12-16 | ネットワーク仮想化デバイスにおいて顧客管理キーを使用して顧客ｖｃｎネットワーク暗号化を提供するメカニズム |
Country Status (5)
| Country | Link |
|---|---|
| US (1) | US11856097B2 (ja) |
| EP (1) | EP4268425A1 (ja) |
| JP (1) | JP2024502770A (ja) |
| CN (1) | CN116803053A (ja) |
| WO (1) | WO2022140142A1 (ja) |
Families Citing this family (10)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US11689455B2 (en) | 2020-05-28 | 2023-06-27 | Oracle International Corporation | Loop prevention in virtual layer 2 networks |
| US11765080B2 (en) | 2020-12-30 | 2023-09-19 | Oracle International Corporation | Layer-2 networking span port in a virtualized cloud environment |
| US11671355B2 (en) | 2021-02-05 | 2023-06-06 | Oracle International Corporation | Packet flow control in a header of a packet |
| US20220263754A1 (en) * | 2021-02-13 | 2022-08-18 | Oracle International Corporation | Packet flow in a cloud infrastructure based on cached and non-cached configuration information |
| US11777897B2 (en) | 2021-02-13 | 2023-10-03 | Oracle International Corporation | Cloud infrastructure resources for connecting a service provider private network to a customer private network |
| JP2024507147A (ja) * | 2021-02-13 | 2024-02-16 | オラクル・インターナショナル・コーポレイション | クラウドインフラストラクチャにおけるキャッシュされたフロー情報の無効化 |
| US11675804B2 (en) * | 2021-08-18 | 2023-06-13 | Jpmorgan Chase Bank, N.A. | Systems and methods for universal data ingestion |
| US20230078179A1 (en) * | 2021-09-10 | 2023-03-16 | Arista Networks, Inc. | High frequency rotation of cryptographic data |
| US11579783B1 (en) * | 2022-03-09 | 2023-02-14 | Vim Inc. | Multi-tenant storage |
| US20230353358A1 (en) * | 2022-04-27 | 2023-11-02 | Dell Products L.P. | Disaggregated key management in a distributed system |
Family Cites Families (23)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US8923307B2 (en) * | 2003-07-14 | 2014-12-30 | Broadcom Corporation | Method and system for an integrated dual port gigabit ethernet controller chip |
| US8898452B2 (en) | 2005-09-08 | 2014-11-25 | Netapp, Inc. | Protocol translation |
| US8503468B2 (en) * | 2008-11-05 | 2013-08-06 | Fusion-Io, Inc. | PCI express load sharing network interface controller cluster |
| US8739177B2 (en) * | 2010-06-21 | 2014-05-27 | Intel Corporation | Method for network interface sharing among multiple virtual machines |
| US8954704B2 (en) * | 2011-08-12 | 2015-02-10 | International Business Machines Corporation | Dynamic network adapter memory resizing and bounding for virtual function translation entry storage |
| US20140019745A1 (en) * | 2012-07-12 | 2014-01-16 | David S. Dodgson | Cryptographic isolation of virtual machines |
| US9197551B2 (en) | 2013-03-15 | 2015-11-24 | International Business Machines Corporation | Heterogeneous overlay network translation for domain unification |
| US9934057B2 (en) * | 2014-04-21 | 2018-04-03 | Oracle International Corporation | Shadow VNICs for the control and observability of IO virtual functions |
| US9979704B2 (en) | 2014-12-17 | 2018-05-22 | Cisco Technology, Inc. | End-to-end security for virtual private service chains |
| US9578008B2 (en) * | 2015-05-11 | 2017-02-21 | Intel Corporation | Technologies for secure bootstrapping of virtual network functions |
| US10326744B1 (en) | 2016-03-21 | 2019-06-18 | EMC IP Holding Company LLC | Security layer for containers in multi-tenant environments |
| US10693732B2 (en) | 2016-08-03 | 2020-06-23 | Oracle International Corporation | Transforming data based on a virtual topology |
| US10771439B2 (en) * | 2017-06-28 | 2020-09-08 | Microsoft Technology Licensing, Llc | Shielded networks for virtual machines |
| US10614028B2 (en) | 2017-09-14 | 2020-04-07 | Microsoft Technology Licensing, Llc | Network traffic routing in distributed computing systems |
| US11687654B2 (en) * | 2017-09-15 | 2023-06-27 | Intel Corporation | Providing isolation in virtualized systems using trust domains |
| US10721072B2 (en) | 2017-09-29 | 2020-07-21 | Xilinx, Inc. | Network interface device and method |
| US10545883B2 (en) | 2017-09-29 | 2020-01-28 | Intel Corporation | Verification bit for one-way encrypted memory |
| US10708247B2 (en) * | 2018-09-27 | 2020-07-07 | Intel Corporation | Technologies for providing secure utilization of tenant keys |
| US11044238B2 (en) * | 2018-10-19 | 2021-06-22 | International Business Machines Corporation | Secure communications among tenant virtual machines in a cloud networking environment |
| LU101362B1 (en) * | 2019-08-26 | 2021-03-12 | Microsoft Technology Licensing Llc | Computer device including process isolated containers with assigned virtual functions |
| US11934330B2 (en) | 2020-05-08 | 2024-03-19 | Intel Corporation | Memory allocation for distributed processing devices |
| JP2023535150A (ja) | 2020-07-14 | 2023-08-16 | オラクル・インターナショナル・コーポレイション | レイヤ２ネットワーク内のインターフェイスベースのａｃｌ |
| US20220164451A1 (en) | 2020-11-23 | 2022-05-26 | Verizon Patent And Licensing Inc. | Smart network interface card-based inline secure communication service |
-
2020
- 2020-12-23 US US17/133,526 patent/US11856097B2/en active Active
-
2021
- 2021-12-16 CN CN202180091825.7A patent/CN116803053A/zh active Pending
- 2021-12-16 WO PCT/US2021/063714 patent/WO2022140142A1/en active Application Filing
- 2021-12-16 JP JP2023538778A patent/JP2024502770A/ja active Pending
- 2021-12-16 EP EP21844467.7A patent/EP4268425A1/en active Pending
Also Published As
| Publication number | Publication date |
|---|---|
| EP4268425A1 (en) | 2023-11-01 |
| US11856097B2 (en) | 2023-12-26 |
| US20220200801A1 (en) | 2022-06-23 |
| CN116803053A (zh) | 2023-09-22 |
| WO2022140142A1 (en) | 2022-06-30 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| US11856097B2 (en) | Mechanism to provide customer VCN network encryption using customer-managed keys in network virtualization device | |
| US11848918B2 (en) | End-to-end network encryption from customer on-premise network to customer virtual cloud network using customer-managed keys | |
| US20230041806A1 (en) | Location-independent programming data plane for packet processing | |
| US11671355B2 (en) | Packet flow control in a header of a packet | |
| US20240154904A1 (en) | Dynamic ip routing in a cloud environment | |
| US20230031821A1 (en) | Overlay network based techniques for enabling communication between on-premises and cloud hosted data centers | |
| US11637770B2 (en) | Invalidating cached flow information in a cloud infrastructure | |
| US20230224223A1 (en) | Publishing physical topology network locality for general workloads | |
| US20230246956A1 (en) | Invalidating cached flow information in a cloud infrastructure | |
| US20220417138A1 (en) | Routing policies for graphical processing units | |
| US20240126581A1 (en) | Implementing communications within a container environment | |
| US20240054004A1 (en) | Dual top-of-rack switch implementation for dedicated region cloud at customer | |
| US20230222007A1 (en) | Publishing physical topology network locality information for graphical processing unit workloads | |
| US20230412496A1 (en) | Geometric based flow programming | |
| WO2023136965A1 (en) | Publishing physical topology network locality for general workloads | |
| WO2024039520A1 (en) | Dual top-of-rack switch implementation for dedicated region cloud at customer | |
| WO2024039522A1 (en) | Network architecture for dedicated region cloud at customer | |
| WO2022271990A1 (en) | Routing policies for graphical processing units | |
| EP4360280A1 (en) | Routing policies for graphical processing units | |
| WO2023136964A1 (en) | Publishing physical topology network locality information for graphical processing unit workloads | |
| WO2024039519A1 (en) | Multiple top-of-rack (tor) switches connected to a network virtualization device | |
| WO2024039521A1 (en) | Providing fault-resistance services in a dedicated region cloud at customer |