JP5945512B2 - 計算機システム、及び仮想計算機管理方法 - Google Patents

計算機システム、及び仮想計算機管理方法 Download PDF

Info

Publication number
JP5945512B2
JP5945512B2 JP2013025050A JP2013025050A JP5945512B2 JP 5945512 B2 JP5945512 B2 JP 5945512B2 JP 2013025050 A JP2013025050 A JP 2013025050A JP 2013025050 A JP2013025050 A JP 2013025050A JP 5945512 B2 JP5945512 B2 JP 5945512B2
Authority
JP
Japan
Prior art keywords
server
image data
virtual machine
virtual
tpm
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Expired - Fee Related
Application number
JP2013025050A
Other languages
English (en)
Other versions
JP2014154050A (ja
Inventor
敬太郎 上原
敬太郎 上原
直也 服部
直也 服部
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Hitachi Ltd
Original Assignee
Hitachi Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Hitachi Ltd filed Critical Hitachi Ltd
Priority to JP2013025050A priority Critical patent/JP5945512B2/ja
Priority to US14/178,895 priority patent/US9288155B2/en
Publication of JP2014154050A publication Critical patent/JP2014154050A/ja
Application granted granted Critical
Publication of JP5945512B2 publication Critical patent/JP5945512B2/ja
Expired - Fee Related legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L47/00—Traffic control in data switching networks
    • H04L47/70—Admission control; Resource allocation
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/64—Protecting data integrity, e.g. using checksums, certificates or signatures
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F9/00—Arrangements for program control, e.g. control units
    • G06F9/06—Arrangements for program control, e.g. control units using stored programs, i.e. using an internal store of processing equipment to receive or retain programs
    • G06F9/44—Arrangements for executing specific programs
    • G06F9/455—Emulation; Interpretation; Software simulation, e.g. virtualisation or emulation of application or operating system execution engines
    • G06F9/45533—Hypervisors; Virtual machine monitors
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H04L63/105—Multiple levels of security
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1433—Vulnerability analysis

Description

本発明は、クラウドコンピューティング上で安全に仮想計算機を配布し、認証する技術に関する。
半導体技術の進歩による計算機資源の高集積化及び高性能化に伴って、計算機リソースの有効活用及び運用コスト削減を目的とした仮想化技術が進展している。さらに、仮想サーバ（Ｖｉｒｔｕａｌ Ｍａｃｈｉｎｅ：ＶＭ）をイメージファイルとして配布するための規格（Ｏｐｅｎ Ｖｉｒｔｕａｌ Ｆｏｒｍａｔ：ＯＶＦ）が浸透し、任意の物理サーバ上で仮想サーバを稼働することが可能となっている。
一方、物理サーバ上で実行されるアプリケーションには、ライセンス等一定の制限の下実行可能なアプリケーションも多数存在する。
前述したようなアプリケーションを実行するＶＭをクラウドシステム上で多数実行する場合に、各ＶＭ上のアプリケーションがライセンス契約にしたがって実行されているかを検証し、また、ＶＭそのものを検証する必要となる。ＶＭそのものを検証するのは、ルートキット又はマルウェア等によってＶＭそのものが改竄され、アプリケーションが不正に実行されているか否かを確認する必要があるためである。
物理サーバが起動時の整合性（Ｉｎｔｅｇｒｉｔｙ）を検証するための方法として、ＴＰＭ（Ｔｒｕｓｔｅｄ Ｐｌａｔｆｏｒｍ Ｍｏｄｕｌｅ）を用いる方法が知られている（特許文献１及び特許文献２参照）。ＴＰＭは、物理サーバのハードウェアに組み込まれたチップであり、Ｔｒｕｓｔｅｄ Ｃｏｍｐｕｔｉｎｇ Ｇｒｏｕｐ（ＴＣＧ）によってハードウェア及びソフトウェアの仕様が開発されている（例えば、特許文献１及び特許文献２参照）。
さらに、ハイパバイザがＶＭ起動時の整合性を検証するために、仮想ＴＰＭを用いて物理ＴＰＭをエミュレーションする技術も知られている（例えば、非特許文献１参照）。
米国特許出願公開第２００９／０２０４９６４号明細書 米国特許出願公開第２０１１／０２０２７６５号明細書
Stefan Berger、外５名、「vTPM: Virtualizing the trusted platform module」、15th USENIX Security Symposium、pp.305-320
アプリベンダは、クラウドを用いてアプリケーションサービスを提供する場合、所定のアプリケーションを実行するＶＭのＯＶＦイメージファイルをクラウドシステム上に配布する。この場合、クラウドシステム上の管理サーバ等が、ＶＭ及びアプリケーションの整合性を検証し、整合性が確認された場合にアプリケーションを実行するＶＭを起動させる。
管理サーバ等は、整合性報告を第三者機関に送信することによって、ＶＭ及びアプリケーションの検証を行う必要がある。また、クラウドシステム上ではユーザの要求に応じてアプリケーションが実行されるため、アプリベンダが当該アプリケーションのライセンス管理を行うための機能が提供されていない。
したがって、クラウドシステムでは、安全なＶＭの起動を実現する必要があり、また、アプリベンダがクラウドシステム上で実行されるアプリケーションの利用状態を把握する必要がある。
本発明は、前述した課題を解決するためになされた発明である。すなわち、クラウドシステム上で、ＶＭ及びアプリケーションの整合性を確保し、かつ、アプリベンダのライセンス管理を実現するシステム及び方法を提供する。
本願において開示される発明の代表的な一例を示せば以下の通りである。すなわち、プロセッサ、前記プロセッサに接続されるメモリ、前記プロセッサに接続されるネットワークインタフェースを有する複数の計算機を備える計算機システムであって、前記計算機システムは、所定のアプリケーションを実行する仮想計算機に割り当てる計算機リソースを有する仮想計算機システムと、前記仮想計算機に関する整合性を検証する検証システムと、を含み、前記仮想計算機システムは、前記仮想計算機に計算機リソースを提供する複数のサーバと、前記複数のサーバ上で稼働する前記仮想計算機を管理する管理計算機と、前記所定のアプリケーションを実行する仮想計算機を生成するためのイメージデータを格納するイメージデータ格納部と、を含み、前記検証システムは、前記仮想計算機に関する整合性を検証する検証サーバを含み、前記仮想計算機システムは、前記イメージデータ、及び当該イメージデータに基づいて生成される前記仮想計算機の起動に要求されるセキュリティ強度が対応づけられたイメージデータ管理情報と、前記サーバ、及び前記サーバに設定されたセキュリティ強度が対応づけられたサーバ管理情報と、を保持し、前記仮想計算機システムを利用するユーザから、前記所定のアプリケーションを実行する仮想計算機を生成するための対象イメージデータの識別情報を含むデプロイ要求を受け付けるデプロイ要求受付部と、前記イメージデータ管理情報及び前記サーバ管理情報に基づいて、前記対象イメージデータに対応づけられた前記セキュリティ強度以上の前記セキュリティ強度が設定された前記サーバを検索するサーバ検索部と、前記検索されたサーバに前記対象イメージデータのデプロイを指示するデプロイ指示部と、前記対象イメージデータを用いて、前記検索されたサーバ上に前記仮想計算機を生成し、前記生成された仮想計算機の起動時に取得され、前記仮想計算機に関する整合性の検証に用いられる第１の整合性報告を前記検証サーバに対して送信する仮想計算機管理部と、を有し、前記仮想計算機管理部は、前記検証サーバから送信される前記第１の整合性報告に対する検証処理の結果を受信し、前記デプロイ要求受付部は、前記受信した第１の整合性報告に対する検証処理の結果に基づいて、前記対象イメージデータのデプロイ結果を出力することを特徴とする。
本発明によれば、仮想計算機システムでは、仮想計算機に関する整合性が検証されるため、安全なアプリケーションサービスを提供することが可能となる。すなわち、セキュアなアプリケーションサービスを提供することできる。
上記した以外の課題、構成及び効果は、以下の実施例の説明により明らかにされる。
本発明の実施例１における計算機システムの構成の一例を示す説明図である。 本発明の実施例１のＶＭ管理サーバのハードウェア構成及びソフトウェア構成の一例を説明するブロック図である。 本発明の実施例１のＴＰＭ搭載物理サーバのハードウェア構成及びソフトウェア構成の一例を示すブロック図である。 本発明の実施例１の物理サーバのハードウェア構成及びソフトウェア構成の一例を示すブロック図である。 本発明の実施例１におけるＴＰＭの構成例を示すブロック図である。 本発明の実施例１のＶＭパッケージの一例を示す説明図である。 本発明の実施例１のＶＭ割当表の一例を示す説明図である。 本発明の実施例１の物理サーバ構成表の一例を示す説明図である。 本発明の実施例１のＶＭパッケージ管理表の一例を示す説明図である。 本発明の実施例１におけるＶＭ管理サーバがデプロイ要求を受信した場合に実行する処理を説明するフローチャートである。 本発明の実施例１の物理サーバ検索部が実行する物理サーバの検索処理の一例を説明するフローチャートである。 本発明の実施例１におけるデプロイ指示部が実行するデプロイ処理を説明するフローチャートである。 本発明の実施例１のＴＰＭ搭載物理サーバが実行するＴｒｕｓｔｅｄ ＶＭの起動処理を説明するフローチャートである。 本発明の実施例１のＴＰＭ搭載物理サーバが実行するＴｒｕｓｔｅｄ ＶＭの起動処理を説明するフローチャートである。 本発明の実施例１の認証サーバが実行する処理を説明するフローチャートである。 本発明の実施例２のＴＰＭ搭載物理サーバのハードウェア構成及びソフトウェア構成の一例を示すブロック図である。 本発明の実施例２におけるＴｒｕｓｔｅｄアプリケーションの認証処理を説明するシーケンス図である。 本発明の実施例３のＶＭパッケージの一例を示す説明図である。 本発明の実施例３の認証サーバが実行する処理を説明するフローチャートである。
以下、図面を用いて実施例について説明する。
図１は、本発明の実施例１における計算機システムの構成の一例を示す説明図である。
本発明の計算機システムは、図１に示すようにクラウドシステム１０００、アプリケーション提供システム４００、及び検証機関システム５００から構成される。クラウドシステム１０００、アプリケーション提供システム４００、及び検証機関システム５００は、ネットワーク２００を介して互いに接続される。なお、本発明はネットワーク２００の種別に限定されず、ＷＡＮ（Ｗｉｄｅ Ａｒｅａ Ｎｅｔｗｏｒｋ）、及びＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）等のいずれを用いてもよい。また、本発明はネットワーク２００の接続方式に限定されず、有線又は無線いずれであってもよい。
また、ネットワーク２００には、ユーザ３１０が使用する端末３００が接続される。ユーザ３１０は端末３００を操作することによって、クラウドサービスを利用することができる。
クラウドシステム１０００は、クラウドサービスを提供するプロバイダの計算機システムである。クラウドサービスでは、ユーザ３１０の希望に応じて、所定のアプリケーションを実行する仮想計算機（ＶＭ）から構成される業務システムが提供される。ユーザ３１０は、提供される業務システムを用いて所定のサービス等を利用する。なお、本発明は、クラウドサービスを用いて提供される業務システムの種類に限定されない。
クラウドシステム１０００は、ＶＭ管理サーバ１１００、複数のＴＰＭ搭載物理サーバ１２００、複数の物理サーバ１３００、及びＶＭパッケージ管理ＤＢ１４００を備える。
ＶＭ管理サーバ１１００、複数のＴＰＭ搭載物理サーバ１２００、複数の物理サーバ１３００、及びＶＭパッケージ管理ＤＢ１４００は、管理ＮＷ１００６を介して互いに接続される。また、ＶＭ管理サーバ１１００、複数のＴＰＭ搭載物理サーバ１２００、複数の物理サーバ１３００、及びＶＭパッケージ管理ＤＢ１４００は、業務ＮＷ１００５を介してネットワーク２００と接続される。
ＶＭ管理サーバ１１００は、ＴＰＭ搭載物理サーバ１２００及び物理サーバ１３００上に生成されるＶＭを管理する計算機である。ＶＭ管理サーバ１１００のハードウェア構成及びソフトウェア構成の詳細については図２を用いて後述する。
複数のＴＰＭ搭載物理サーバ１２００及び複数の物理サーバ１３００は、ＶＭに割り当てる計算機リソースを提供する計算機である。ＴＰＭ搭載物理サーバ１２００は後述するようにセキュリティチップであるＴＰＭ１２７０（図３参照）を備える。一方、物理サーバ１３００はＴＰＭを備えていない。
ＴＰＭ搭載物理サーバ１２００上では、Ｔｒｕｓｔｅｄハイパバイザ１２１０が稼働する。また、ＴＰＭ搭載物理サーバ１２００上には、Ｔｒｕｓｔｅｄハイパバイザ１２１０によって管理される仮想ＴＰＭ用ＶＭ１２２０、及びＴｒｕｓｔｅｄ ＶＭ１２３０が稼働する。
ここで、Ｔｒｕｓｔｅｄハイパバイザ１２１０及びＴｒｕｓｔｅｄ ＶＭ１２３０は、後述する検証処理によって改ざん等が行われていないことが確認されたハイパバイザ及びＶＭを示す。すなわち、Ｔｒｕｓｔｅｄハイパバイザ１２１０及びＴｒｕｓｔｅｄ ＶＭ１２３０は、セキュアなハイパバイザ及びＶＭである。
物理サーバ１３００上では、ハイパバイザ１３１０が稼働する。また、物理サーバ１３００上には、ハイパバイザ１３１０によって管理されるＶＭ１３３０が稼働する。
本実施例では、Ｔｒｕｓｔｅｄハイパバイザ１２１０及びＴｒｕｓｔｅｄ ＶＭ１２３０は、後述するように改ざんされていないことが保証されているため、全ての機能が有効化されている。一方、ハイパバイザ１３１０及びＶＭ１３３０は、一部の機能のみが有効化されている。
ＴＰＭ搭載物理サーバ１２００及び物理サーバ１３００のハードウェア構成及びソフトウェア構成については、図３及び図４を用いて後述する。
なお、ＴＰＭ搭載物理サーバ１２００にはストレージ１５００が接続され、また、物理サーバ１３００にはストレージ１６００が接続される。
ＶＭパッケージ管理ＤＢ１４００は、ＶＭを稼働させるために必要なＶＭパッケージ１４１０を管理するデータベースである。ＶＭパッケージ１４１０は、後述するようにアプリケーション提供システム４００から送信される。
アプリケーション提供システム４００は、所定のアプリケーションを提供するアプリベンダの計算機システムである。アプリケーション提供システム４００は、クラウドシステム１０００に対してＶＭパッケージ１４１０を送信する。また、アプリケーション提供システム４００は、アプリケーションのライセンスを管理する。
アプリケーション提供システム４００は、認証サーバ４１０、ＶＭパッケージ配信サーバ４２０、ライセンスＤＢ４３０、及びＶＭパッケージＤＢ４４０を備える。認証サーバ４１０及びＶＭパッケージ配信サーバ４２０は、ネットワーク４０５を介してネットワーク２００と接続される。
認証サーバ４１０は、クラウドシステム１０００から整合性報告を受信し、整合性報告を検証機関システム５００に転送する。また、認証サーバ４１０が、整合性報告に基づいて、ライセンスＤＢ４３０を更新する。これによって、アプリベンダは、アプリケーションの利用状況を把握することができる。例えば、アプリケーションが実行された処理の回数等を把握することができる。そのため、アプリケーション提供システム４００は、アプリケーションの実行回数に応じた課金等を条件とするアプリケーションのライセンスを適切に管理することができる。
なお、ライセンスＤＢ４３０に格納される情報は、クラウドシステム１０００上のアプリケーションの実行状態を把握可能な情報であればどのような情報でもよい。例えば、ライセンスＤＢ４３０には、ＶＭパッケージ１４１０の識別情報、ユーザ３１０の識別情報、及び整合性報告が対応づけられた情報等が格納される。
ＶＭパッケージ配信サーバ４２０は、ＶＭパッケージＤＢ４４０に格納されるＶＭパッケージ１４１０をクラウドシステム１０００に配信する。これによって、不特定多数のユーザ３１０に対してアプリケーションを提供することが可能となる。
なお、本発明は、ＶＭパッケージ１４１０が配信されるタイミングに限定されない。アプリベンダが配信を希望する場合にＶＭパッケージ１４１０が配信されてもよいし、ユーザ３１０から要求された場合にＶＭパッケージ１４１０が配信されてもよい。本実施例では、予め、ユーザ３１０が希望するアプリケーションを実現するためのＶＭパッケージ１４１０がクラウドシステム１０００に配信されているものとする。
検証機関システム５００は、ＶＭパッケージ１４１０を用いて生成されたＶＭの改ざん、及びアプリケーションの改ざん等を検証する。検証機関システム５００は、検証サーバ５１０、ＩＩＤＢ（Ｉｎｔｅｇｒｉｔｙ Ｉｎｆｏｒｍａｔｉｏｎ ＤａｔａＢａｓｅ）５２０、及びＶＵＬＤＢ（ＶＵＬｎｅｒａｂｉｌｉｔｙ ＤａｔａＢａｓｅ）５３０を備える。なお、検証サーバ５１０は、ネットワーク５０５を介してネットワーク２００と接続される。
ＩＩＤＢ５２０は、検証処理に必要なデータを格納するデータベースである。本実施例ではＩＩＤＢ５２０には、ＶＭパッケージ１４１０を用いて生成されるＶＭのハッシュ値の情報が格納される。
ＶＵＬＤＢ５３０は、脆弱性に関するデータを格納するデータベースである。検証サーバ５１０は、ＩＩＤＢ５２０及びＶＵＬＤＢ５３０に基づいて、ＶＭの改ざん、ユーザのなりすまし等を検証する。また、検証サーバ５１０は、検証結果をアプリケーション提供システム４００に送信する。
なお、検証サーバ５１０が実行する検証処理は、公知のものを用いればよいため本実施例では詳細な説明を省略する。
本実施例では、アプリケーション提供システム４００を経由して、検証結果がクラウドシステム１０００に送信される。
図２は、本発明の実施例１のＶＭ管理サーバ１１００のハードウェア構成及びソフトウェア構成の一例を説明するブロック図である。
ＶＭ管理サーバ１１００は、ハードウェアとして、ＣＰＵ１１０１、メモリ１１０２、ＴＰＭ（Ｔｒｕｓｔｅｄ Ｐｌａｔｆｏｒｍ Ｍｏｄｕｌｅ）１１０３、ＢＭＣ（Ｂａｓｅｂｏａｒｄ Ｍａｎａｇｅｍｅｎｔ Ｃｏｎｔｒｏｌｌｅｒ）１１０４、及びネットワークインタフェース１１０５を備える。
ＣＰＵ１１０１は、メモリ１１０２に格納されるプログラムを実行する。ＣＰＵ１１０１がプログラムを実行することによって、ＶＭ管理サーバ１１００が有する機能を実現することができる。以下、プログラムを主体に処理を説明する場合、ＣＰＵ１１０１によってプログラムが実行されていることを示す。
メモリ１１０２は、ＣＰＵ１１０１によって実行されるプログラム、及び当該プログラムの実行に必要な情報を格納する。メモリ１１０２に格納されるプログラム及び情報については後述する。
ＴＰＭ１１０３は、セキュアなＶＭ、ＯＳ等の起動を実現するためのチップである。ＴＰＭ１１０３は、乱数生成及びＲＳＡ暗号処理を行う暗号化コプロセッサ、並びに、鍵等の情報を格納する記憶領域を備える。ＴＰＭ１１０３の詳細については、図５を用いて後述する。
ＢＭＣ１１０４は、ＶＭ管理サーバ１１００の管理機能を提供するチップである。ＢＭＣ１１０４によって提供される管理機能には、障害検出機能、電源制御機能、及び障害報告機能等が含まれる。
ネットワークインタフェース１１０５は、ネットワークを介して外部の装置と通信するためのインタフェースである。本実施例では、ネットワークインタフェース１１０５は、業務ＮＷ１００５及び管理ＮＷ１００６に接続される。
ここで、メモリ１１０２に格納されるプログラム及び情報について説明する。
メモリ１１０２には、デプロイ要求受付部１１３０、物理サーバ検索部１１３１、及びデプロイ指示部１１３２を実現するためのプログラムが格納される。また、メモリ１１０２には、ＶＭ割当表１１１０、物理サーバ構成表１１２０、及びＶＭパッケージ管理表１１４０が格納される。
デプロイ要求受付部１１３０は、ユーザ３１０からデプロイ要求を受け付ける。デプロイ要求には、ＶＭパッケージ１４１０の名称等が含まれる。物理サーバ検索部１１３１は、デプロイ要求に基づいて、所定の条件を満たす物理サーバを検索する。デプロイ指示部１１３２は、検索された物理サーバに対して、所定のＶＭパッケージ１４１０のデプロイ指示を送信する。
ＶＭ割当表１１１０は、各物理サーバ上で稼働するＶＭを管理するための情報を格納する。ＶＭ割当表１１１０の詳細については、図７を用いて後述する。物理サーバ構成表１１２０は、クラウドシステム１０００における物理サーバの構成を管理するための情報を格納する。物理サーバ構成表１１２０の詳細については、図８を用いて後述する。
ＶＭパッケージ管理表１１４０は、ＶＭパッケージ管理ＤＢ１４００に格納されるＶＭパッケージ１４１０に関する情報を格納する。ＶＭパッケージ管理表１１４０の詳細については、図９を用いて後述する。
なお、メモリ１１０２に格納されるプログラム及び情報は、図示しないストレージ装置に格納されていてもよい。この場合、ＣＰＵ１１０１が、ストレージ装置からプログラム及び情報を読み出し、読み出されたプログラム及び情報をメモリ１１０２上に展開する。
なお、ＶＭ管理サーバ１１００は、図２に示す各機能部を一つの機能部として備えていてもよい。例えば、デプロイ処理部として備える形態が考えられる。
図３は、本発明の実施例１のＴＰＭ搭載物理サーバ１２００のハードウェア構成及びソフトウェア構成の一例を示すブロック図である。図４は、本発明の実施例１の物理サーバ１３００のハードウェア構成及びソフトウェア構成の一例を示すブロック図である。
ＴＰＭ搭載物理サーバ１２００は、ハードウェアとしてＣＰＵ１２５０、メモリ１２６０、ＴＰＭ１２７０、ＢＭＣ１２８０、及びネットワークインタフェース１２９０を備える。
ＣＰＵ１２５０、メモリ１２６０、ＴＰＭ１２７０、ＢＭＣ１２８０、及びネットワークインタフェース１２９０は、ＣＰＵ１１０１、メモリ１１０２、ＴＰＭ１１０３、ＢＭＣ１１０４、及びネットワークインタフェース１１０５と同一のものであるため説明を省略する。
また、ＴＰＭ搭載物理サーバ１２００は、ＣＲＴＭ（Ｃｏｒｅ Ｒｏｏｔ ｏｆ Ｔｒｕｓｔ Ｍｅａｓｕｒｅｍｅｎｔ）１２４２、Ｂｏｏｔ Ｆｉｒｍｗａｒｅ１２４４、及びＢｏｏｔ Ｍａｎａｇｅｒ１２４７を備える。
ＣＲＴＭ１２４２は、Ｔｒｕｓｔｅｄ Ｂｏｏｔにおいて最初に実行されるコードであり、ＴＰＭ搭載物理サーバ１２００の基盤上のチップに予め格納される。
Ｂｏｏｔ Ｆｉｒｍｗａｒｅ１２４４は、Ｔｒｕｓｔｅｄハイパバイザ１２１０を起動するまでにＴＰＭ搭載物理サーバ１２００を管理するソフトウェアである、例えば、Ｂｏｏｔ Ｆｉｒｍｗａｒｅ１２４４は、ＢＩＯＳが考えられる。
Ｂｏｏｔ Ｍａｎａｇｅｒ１２４７は、ハイパバイザ及びＯＳ等を起動するためのソフトウェアである。Ｂｏｏｔ Ｍａｎａｇｅｒ１２４７は、ＣＰＵ１２５０によってストレージ１５００等からメモリ１２６０上に読み出され、ＣＰＵ１２５０によって実行される。
Ｔｒｕｓｔｅｄハイパバイザ１２１０は、ＴＰＭ１２７０を用いた起動されたハイパバイザである。Ｔｒｕｓｔｅｄハイパバイザ１２１０は、Ｋｅｒｎｅｌ Ｌｏａｄｅｒ１２１１を含み、仮想ＴＰＭ用ＶＭ１２２０、及び複数のＴｒｕｓｔｅｄ ＶＭ１２３０を管理する。
Ｔｒｕｓｔｅｄ ＶＭ１２３０は、所定のアプリケーションを実行するＶＭである。Ｔｒｕｓｔｅｄ ＶＭ１２３０は、Ｔｒｕｓｔｅｄ ＯＳ１２３５、Ｔｒｕｓｔｅｄアプリケーション１２３６、及びフロントエンドＴＰＭドライバ（ＦＥ−ＴＰＭＤ）１２３２を備える。
また、Ｔｒｕｓｔｅｄ ＶＭ１２３０には、仮想ＴＰＭ（ｖＴＰＭ）１２３１が割り当てられる。なお、Ｔｒｕｓｔｅｄ ＶＭ１２３０は、図示しない仮想ＣＰＵ、仮想メモリ、及び仮想ネットワークインタフェース等も割り当てられる。
Ｔｒｕｓｔｅｄ ＯＳ１２３５及びＴｒｕｓｔｅｄアプリケーション１２３６は、ＦＥ−ＴＰＭＤ１２３２を介してｖＴＰＭ１２３１を操作する。
仮想ＴＰＭ用ＶＭ１２２０は、ｖＴＰＭを実現するためのＶＭであり、ｖＴＰＭマネージャ１２３３、ＴＰＭドライバ１２２１、及びバックエンドＴＰＭドライバ（ＢＥ−ＴＰＭＤ）１２２２を備える。
ｖＴＰＭマネージャ１２３３は、ｖＴＰＭ１２３１に対する操作をエミュレーションする。ｖＴＰＭマネージャ１２３３は、ＦＥ−ＴＰＭＤ１２３２を介した操作をＢＥ−ＴＰＭＤ１２２２を介して受け付ける。さらに、ｖＴＰＭマネージャ１２３３は、ＴＰＭドライバ１２２１を介して、ＴＰＭ１２７０を操作する。
なお、本実施例では、仮想ＴＰＭ用ＶＭ１２２０がＴＰＭ１２７０のエミュレーションを行うが、本発明はこれに限定されない。例えば、Ｔｒｕｓｔｅｄハイパバイザ１２１０がＴＰＭ１２７０のエミュレーションを行ってもよい。この場合、Ｔｒｕｓｔｅｄハイパバイザ１２１０がＴＰＭドライバ１２２１、及びｖＴＰＭマネージャ１２３３を備える。
物理サーバ１３００は、ハードウェアとしてＣＰＵ１３５０、メモリ１３６０、ＢＭＣ１３８０、及びネットワークインタフェース１３９０を備える。
ＣＰＵ１３５０、メモリ１３６０、ＢＭＣ１３８０、及びネットワークインタフェース１３９０は、ＣＰＵ１１０１、メモリ１１０２、ＢＭＣ１１０４、及びネットワークインタフェース１１０５と同一のものであるため説明を省略する。
また、ＴＰＭ搭載物理サーバ１２００は、Ｂｏｏｔ Ｆｉｒｍｗａｒｅ１３４４、及びＢｏｏｔ Ｍａｎａｇｅｒ１３４７を備える。Ｂｏｏｔ Ｆｉｒｍｗａｒｅ１３４４、及びＢｏｏｔ Ｍａｎａｇｅｒ１３４７は、Ｂｏｏｔ Ｆｉｒｍｗａｒｅ１２４４、及びＢｏｏｔ Ｍａｎａｇｅｒ１２４７と同一であるため説明を省略する。
ハイパバイザ１３１０は、通常の起動方法を用いて起動されたハイパバイザである。ハイパバイザ１３１０は、Ｋｅｒｎｅｌ Ｌｏａｄｅｒ１３１１を含み、複数のＶＭ１３３０を管理する。
ＶＭ１３３０は、所定のアプリケーションを実行するＶＭである。ＶＭ１３３０は、ＯＳ１３３５、及びアプリケーション１３３６を備える。
ＶＭ１３３０は、図示しない仮想ＣＰＵ、仮想メモリ、及び仮想ネットワークインタフェース等も割り当てられる。ただし、ＶＭ１３３０には、ｖＴＰＭ１２３１が割り当てられていない。
図５は、本発明の実施例１におけるＴＰＭ１２７０の構成例を示すブロック図である。
ＴＰＭ１２７０は、暗号化コプロセッサ１２７１、Ｏｐｔ−ｉｎ１２７２、ＮＶＲＡＭ１２７３、Ｅｎｄｏｒｓｅｍｅｎｔ Ｋｅｙ１２７４、ＰＣＲ１２７５、Ｐｏｗｅｒ Ｄｅｔｅｃｔｉｏｎ１２７６、Ｅｘｅｃｕｔｉｏｎ Ｅｎｇｉｎｅ１２７７、Ｐｒｏｇｒａｍ Ｃｏｄｅ１２７８、及びＩ／Ｏ１２７９を備える。
暗号化コプロセッサ１２７１は、ランダムデータの生成、非対称鍵（公開鍵及び秘密鍵）の生成、及びデータの暗号化等を行う。暗号化コプロセッサ１２７１は、乱数生成部、ＳＨＡ−１演算部、及びＲＳＡ演算部を備える。また、暗号化コプロセッサ１２７１は、ＤＳＡ（Ｄｉｇｉｔａｌ Ｓｉｇｎａｔｕｒｅ Ａｌｇｏｒｉｔｈｍ）演算部、及び楕円曲線演算部を備えていてもよい。
Ｏｐｔ−ｉｎ１２７２は、ＴＰＭ１２７０の状態を管理する。具体的には、ＴＰＭ１２７０の電源ＯＮ／ＯＦＦ、有効化／無効化、及び起動／停止等の状態を制御する。
ＮＶＲＡＭ１２７３は、ＴＰＭ１２７０の状態、ＴＰＭ１２７０固有の識別情報等を格納する。また、ＮＶＲＡＭ１２７３は、Ｅｎｄｏｒｓｅｍｅｎｔ Ｋｅｙ１２７４を格納する。ここで、Ｅｎｄｏｒｓｅｍｅｎｔ Ｋｅｙ１２７４は、公開鍵及び秘密鍵のペアを表す。
ＰＣＲ１２７５は、ＴｒｕｓｔｅｄＢｏｏｔ時の物理サーバの構成に関する予測値（ブートコンポーネントに関するハッシュ値）を格納するレジスタである。ブートコンポーネントに関するハッシュ値は、ブートコンポーネントの状態、構成等を示す計測値に基づいて算出される。なお、ＴＰＭ１２７０は、複数のＰＣＲ１２７５を備える。
Ｐｏｗｅｒ Ｄｅｔｅｃｔｉｏｎ１２７６は、ＴＰＭ１２７０の電源を管理する。Ｅｘｅｃｕｔｉｏｎ Ｅｎｇｉｎｅ１２７７は、Ｉ／Ｏ１２７９を介して受信したＴＰＭコマンドを実行するためのＰｒｏｇｒａｍ Ｃｏｄｅ１２７８を実行する。ここで、Ｐｒｏｇｒａｍ Ｃｏｄｅ１２７８は、ＴＰＭ１２７０の各種処理を実現するためのプログラムコードである。Ｉ／Ｏ１２７９は、ＴＰＭ１２７０と外部の装置とを接続する。
なお、本発明のＴＰＭ１２７０は図５に示す構成に限定されず、少なくともＰＣＲ１２７５を備えていればよい。
次に、ＶＭパッケージ１４１０について説明する。
図６は、本発明の実施例１のＶＭパッケージ１４１０の一例を示す説明図である。
ＶＭパッケージ１４１０は、複数のＯＶＦイメージファイル１４１１、複数のＯＶＦ署名１４１２、及びパッケージ署名１４１５を含む。
ＯＶＦイメージファイル１４１１は、所定のアプリケーションを実行するＶＭを生成するためのイメージファイルである。
複数のＯＶＦ署名１４１２は、ＯＶＦイメージファイル１４１１の改ざん等（ＯＶＦイメージファイル１４１１の整合性）を検証するために用いられるデジタル署名である。本実施例では、一つのＯＶＦイメージファイル１４１１に対して一つのＯＶＦ署名１４１２が対応づけられる。
また、本実施例では、ＶＭパッケージ１４１０には、ＴＰＭ搭載物理サーバ１２００又は物理サーバ１３００上に生成されるＶＭ、及びＶＭ上で実行されるアプリケーションの種類毎に、複数種類のＯＶＦイメージファイル１４１１が含まれる。また、ＶＭパッケージ１４１０には、仮想ＴＰＭ用ＶＭ１２２０を生成するためのＯＶＦイメージファイル１４１１も含まれる。
パッケージ署名１４１５は、ＶＭパッケージ１４１０自体の整合性を検証するために用いられるデジタル署名である。
次に、ＶＭ管理サーバ１１００が保持するテーブルについて説明する。
図７は、本発明の実施例１のＶＭ割当表１１１０の一例を示す説明図である。
ＶＭ割当表１１１０は、ＶＭ ＩＤ１１１１、ＯＶＦ種別１１１２、物理サーバＩＤ１１１３、割当リソース１１１４、及び通信先ＶＭ ＩＤ１１１７を含む。
ＶＭ ＩＤ１１１１は、クラウドシステム１０００内で稼働するＶＭを一意に識別するための識別子である。
ＯＶＦ種別１１１２は、ＶＭ ＩＤ１１１１に対応するＶＭを生成するために用いられたＯＶＦイメージファイル１４１１の種別を識別するための情報である。
図７に示す例では、Ｔｒｕｓｔｅｄ認証用ＶＭ、Ｔｒｕｓｔｅｄ実行用ＶＭ、認証用ＶＭ、及び実行用ＶＭの四つの種類のＯＶＦイメージファイル１４１１が存在する。
Ｔｒｕｓｔｅｄ認証用ＶＭ及び認証用ＶＭは、検証機関システム５００との間でアプリケーションの認証処理を実行するＶＭである。Ｔｒｕｓｔｅｄ実行用ＶＭ及び実行用ＶＭは、アプリケーションを実行するＶＭである。また、Ｔｒｕｓｔｅｄ認証用ＶＭ及びＴｒｕｓｔｅｄ実行用ＶＭは整合性が保証されたセキュアなＶＭであり、認証用ＶＭ及び実行用ＶＭは整合性が保証されていないＶＭである。
実施例１では、アプリケーションの起動後に行われる認証処理を考慮しないものとする。実施例２において、アプリケーションの起動後の認証処理について説明する。
物理サーバＩＤ１１１３は、ＶＭ ＩＤ１１１１に対応するＶＭが稼働する物理サーバを一意に識別するための識別子である。
割当リソース１１１４は、ＶＭ ＩＤ１１１１に対応するＶＭに割り当てられる計算機リソースに関する情報である。割当リソース１１１４は、割当ＣＰＵコア１１１５、及び割当メモリ量１１１６を含む。割当ＣＰＵコア１１１５は、ＶＭに割り当てられたＣＰＵコアの数である。割当メモリ量１１１６は、ＶＭに割り当てられたメモリ容量である。
なお、割当リソース１１１４には、ＣＰＵのクロック数、及びネットワーク帯域等の情報が格納されてもよい。
通信先ＶＭ ＩＤ１１１７は、ＶＭ ＩＤ１１１１に対応するＶＭが通信する他のＶＭを一意に識別するための識別子である。
図８は、本発明の実施例１の物理サーバ構成表１１２０の一例を示す説明図である。
物理サーバ構成表１１２０は、物理サーバＩＤ１１２１、ＣＰＵコア数１１２２、ＣＰＵ性能１１２３、メモリ量１１２４、ＴＰＭ搭載１１２５、管理ＩＰアドレス１１２６を含む。
物理サーバＩＤ１１２１は、物理サーバを一意に識別するための識別子であり、物理サーバＩＤ１１１３と同一の情報である。
ＣＰＵコア数１１２２は、物理サーバＩＤ１１２１に対応する物理サーバが備えるＣＰＵのコア数である。ＣＰＵ性能１１２３は、物理サーバＩＤ１１２１に対応する物理サーバが備えるＣＰＵの性能である。本実施例では、ＣＰＵのクロック数がＣＰＵ性能として格納される。メモリ量１１２４は、物理サーバＩＤ１１２１に対応する物理サーバが備えるメモリの容量である。
ＴＰＭ搭載１１２５は、物理サーバＩＤ１１２１に対応する物理サーバがＴＰＭ１２７０を備えるか否かを示す情報である。ＴＰＭ１２７０を備える物理サーバの場合、ＴＰＭ搭載１１２５には「有」が格納され、ＴＰＭ１２７０の備えていない物理サーバの場合、ＴＰＭ搭載１１２５には「無」が格納される。
これによって、ＴＰＭ搭載１１２５が「有」の場合、物理サーバＩＤ１１２１に対応するサーバはＴＰＭ搭載物理サーバ１２００であり、ＴＰＭ搭載１１２５が「無」の場合、物理サーバＩＤ１１２１に対応するサーバは物理サーバ１３００であることが分かる。
本実施例では、ＴＰＭ搭載１１２５は、物理サーバに設定されたセキュリティ強度に関連するカラムである。したがって、ＴＰＭ搭載１１２５の代わりに、設定セキュリティ強度１１２５というカラムを用いてもよい。この場合、設定セキュリティ強度１１２５には、図９の要求セキュリティ強度１１４０５と同様に値が格納される。
管理ＩＰアドレス１１２６は、管理ＮＷ１１０６内における物理サーバＩＤ１１２１に対応する物理サーバのＩＰアドレスである。
図９は、本発明の実施例１のＶＭパッケージ管理表１１４０の一例を示す説明図である。
ＶＭパッケージ管理表１１４０は、ＶＭパッケージＩＤ１１４０１、ＶＭパッケージ名１１４０２、ＯＶＦ ＩＤ１１４０３、ＯＶＦ種別１１４０４、要求セキュリティ強度１１４０５、要求リソース１１４０６、及び宛先アドレス１１４１０を含む。
ＶＭパッケージＩＤ１１４０１は、ＶＭパッケージ管理ＤＢ１４００内に含まれるＶＭパッケージ１４１０を一意に識別するための識別子である。ＶＭパッケージ名１１４０２は、ＶＭパッケージＩＤ１１４０１に対応するＶＭパッケージ１４１０の名称である。ＶＭパッケージ名１１４０２は、アプリケーションを提供するベンダによって設定される名称である。
ＯＶＦ ＩＤ１１４０３は、パッケージＩＤ１１４０１に対応するＶＭパッケージ１４１０に含まれるＯＶＦイメージファイル１４１１の識別子である。ＯＶＦ種別１１４０４は、ＯＶＦ ＩＤ１１４０３に対応するＯＶＦイメージファイル１４１１の種別を識別するための情報である。ＯＶＦ種別１１４０４は、ＯＶＦ種別１１１２と同一の情報である。
要求セキュリティ強度１１４０５は、ＯＶＦ ＩＤ１１４０３に対応するＯＶＦイメージファイル１４１１のデプロイ時に要求されるセキュリティ強度を示す情報である。本実施例では、ＴＰＭ搭載物理サーバ１２００にデプロイするＯＶＦイメージファイル１４１１の場合、要求セキュリティ強度１１４０５には「１」が格納される。また、物理サーバ１３００にデプロイするＯＶＦイメージファイル１４１１の場合、要求セキュリティ強度１１４０５には「０」が格納される。なお、要求セキュリティ強度１１４０５に格納される値は、「０」又は「１」に限定されない。
要求リソース１１４０６は、ＯＶＦ ＩＤ１１４０３に対応するＯＶＦイメージファイル１４１１を用いて生成されるＶＭに必要な計算機リソースの情報である。要求リソース１１４０６は、要求ＣＰＵ性能１１４０７、要求メモリ量１１４０８、及び要求仮想ＮＷ数１１４０９を含む。
要求ＣＰＵ性能１１４０７は、ＯＶＦイメージファイル１４１１を用いて生成されるＶＭに必要なＣＰＵの性能に関する情報である。要求メモリ量１１４０８は、ＯＶＦイメージファイル１４１１を用いて生成されるＶＭに必要なメモリの容量に関する情報である。要求仮想ＮＷ数１１４０９は、ＯＶＦイメージファイル１４１１を用いて生成されるＶＭに必要な仮想ネットワークの数に関する情報である。
宛先アドレス１１４１０は、ＶＭパッケージＩＤ１１４０１に対応するＶＭパッケージ１４１０を提供するアプリケーション提供システム４００のＩＰアドレスである。本実施例では、デプロイ処理の実行時に、宛先アドレス１１４１０に対応するＩＰアドレス宛に整合性報告が送信される。
以下、本実施例における処理の詳細についてフローチャートを用いて説明する。
図１０は、本発明の実施例１におけるＶＭ管理サーバ１１００がデプロイ要求を受信した場合に実行する処理を説明するフローチャートである。
ＶＭ管理サーバ１１００は、ユーザ３１０からデプロイ要求を受信すると処理を開始する（ステップＳ２０００）。具体的には、デプロイ要求受付部１１３０が、ネットワーク２００及び業務ＮＷ１００５を介して、端末３００から送信されたデプロイ要求を受信する。
なお、デプロイ要求には、デプロイ対象となるＶＭパッケージ１４１０を特定するための情報が含まれる。例えば、ＶＭパッケージ１４１０の識別子、又はＶＭパッケージ１４１０の名称等が含まれる。本実施例では、デプロイ要求には、ＶＭパッケージ１４１０の名称が含まれているものとする。
以下の説明において、指定されたＶＭパッケージ１４１０に含まれるＯＶＦイメージファイル１４１１を対象ＯＶＦイメージファイル１４１１とも記載する。
ＶＭ管理サーバ１１００は、受信したデプロイ要求に基づいて、物理サーバの検索処理を実行する（ステップＳ２１００）。具体的には、物理サーバ検索部１１３１が、対象ＯＶＦイメージファイル１４１１毎に、デプロイ条件を満たす物理サーバを検索する。ここで、デプロイ条件とは、対象ＯＶＦイメージファイル１４１１をデプロイするための条件を示す。
なお、物理サーバの検索処理の詳細については、図１１を用いて後述する。
ＶＭ管理サーバ１１００は、物理サーバの検索処理の結果に基づいて、全ての対象ＯＶＦイメージファイル１４１１のデプロイが可能であるか否かを判定する（ステップＳ２２００）。
全ての対象ＯＶＦイメージファイル１４１１のデプロイができないと判定された場合、ＶＭ管理サーバ１１００は、ユーザ３１０に対してデプロイが失敗した旨を応答し（ステップＳ２５００）、処理を終了する。具体的には、デプロイ要求受付部１１３０が、業務ＮＷ１００５及びネットワーク２００を介して、端末３００に対してデプロイが失敗した旨を通知する。
全ての対象ＯＶＦイメージファイル１４１１のデプロイが可能であると判定された場合、ＶＭ管理サーバ１１００は、デプロイ処理を実行する（ステップＳ２３００）。具体的には、デプロイ指示部１１３２が、検索された物理サーバに対して、対象ＯＶＦイメージファイル１４１１をデプロイする。なお、デプロイ処理の詳細については、図１２を用いて後述する。
ＶＭ管理サーバ１１００は、ユーザ３１０に対してデプロイ処理の結果を応答し（ステップＳ２４００）、処理を終了する。具体的には、デプロイ要求受付部１１３０が業務ＮＷ１００５及びネットワーク２００を介して、端末３００に対してデプロイ処理の結果を通知する。
図１１は、本発明の実施例１の物理サーバ検索部１１３１が実行する物理サーバの検索処理の一例を説明するフローチャートである。
物理サーバ検索部１１３１は、デプロイ要求受付部１１３０から呼び出されると処理を開始する（ステップＳ２１００）。
物理サーバ検索部１１３１は、受信したデプロイ要求に基づいてＶＭパッケージ管理表１１４０を参照し、対象ＯＶＦイメージファイル１４１１を一つ選択する（ステップＳ２１０１）。
具体的には、物理サーバ検索部１１３１は、ＶＭパッケージ管理表１１４０を参照し、デプロイ要求に含まれるＶＭパッケージ１４１０の名称と一致するＶＭパッケージ名１１４２のエントリを検索する。さらに、物理サーバ検索部１１３１は、当該エントリのＯＶＦ ＩＤ１１４０３を参照し、一つのＯＶＦ ＩＤ１１４０３を選択する。
物理サーバ検索部１１３１は、物理サーバ構成表１１２０を参照し、処理対象の物理サーバを一つ選択する（ステップＳ２１０２）。本実施例では、物理サーバ検索部１１３１は、物理サーバ構成表１１２０の上のエントリから順に選択する。なお、計算機リソースの性能に基づいてエントリが選択されてもよい。例えば、ＣＰＵコア数１１２２の値が大きい順に選択する方法が考えられる。
物理サーバ検索部１１３１は、選択された物理サーバが選択された対象ＯＶＦイメージファイル１４１１のデプロイに必要な要求セキュリティ強度を満たすか否かを判定する（ステップＳ２１０３）。具体的には、以下のような処理が実行される。
物理サーバ検索部１１３１は、ＶＭパッケージ管理表１１４０を参照し、選択された対象ＯＶＦイメージファイル１４１１に対応するエントリの要求セキュリティ強度１１４０５の値が「０」より大きいか否かを判定する。
要求セキュリティ強度１１４０５の値が「０」以下、すなわち、要求セキュリティ強度１１４０５の値が「０」であると判定された場合、物理サーバ検索部１１３１は、選択された物理サーバが選択された対象ＯＶＦイメージファイル１４１１のデプロイに必要な要求セキュリティ強度を満たすと判定する。
要求セキュリティ強度１１４０５の値が「０」より大きい、すなわち、要求セキュリティ強度１１４０５の値が「１」であると判定された場合、物理サーバ検索部１１３１は、物理サーバ構成表１１２０を参照し、選択された物理サーバに対応するエントリのＴＰＭ搭載１１２５が「有」であるか否かを判定する。
ＴＰＭ搭載１１２５が「有」でないと判定された場合、物理サーバ検索部１１３１は、選択された物理サーバが選択された対象ＯＶＦイメージファイル１４１１のデプロイに必要な要求セキュリティ強度を満たさないと判定する。
ＴＰＭ搭載１１２５が「有」であると判定された場合、物理サーバ検索部１１３１は、選択された物理サーバが選択された対象ＯＶＦイメージファイル１４１１のデプロイに必要な要求セキュリティ強度を満たすと判定する。
以上がステップＳ２１０３の処理である。
ステップＳ２１０３において選択された物理サーバが選択された対象ＯＶＦイメージファイル１４１１のデプロイに必要な要求セキュリティ強度を満たすと判定された場合、物理サーバ検索部１１３１は、選択された物理サーバにおける割当可能な計算機リソース量を算出する（ステップＳ２１０４）。さらに、物理サーバ検索部１１３１は、計算機リソースの算出結果に基づいて対象ＯＶＦイメージファイル１４１１のデプロイに必要な計算機リソースを確保できるか否かを判定する（ステップＳ２１０５）。具体的には、以下のような処理が実行される。
物理サーバ検索部１１３１は、ＶＭ割当表１１１０を参照して、物理サーバＩＤ１１１３が選択された物理サーバの識別子（物理サーバＩＤ１１２１）と一致するエントリを抽出する。
物理サーバ検索部１１３１は、抽出された全てのエントリの割当ＣＰＵコア１１１５の合計値を算出する。物理サーバ検索部１１３１は、選択された物理サーバのＣＰＵコア数１１２２から算出された合計値を減算することによって、割当可能なＣＰＵコア数を算出する。
なお、選択されたＯＶＦイメージファイル１４１１のＯＶＦ種別１１１２が「Ｔｒｕｓｔｅｄ認証」又は「Ｔｒｕｓｔｅｄ実行」の場合、物理サーバ検索部１１３１は、前述した合計値に仮想ＴＰＭ用ＶＭ１２２０に必要なＣＰＵコア数を加算する。物理サーバ検索部１１３１は、当該合計値を用いて割当可能なＣＰＵコア数を算出する。
物理サーバ検索部１１３１は、抽出された全てのエントリの割当メモリ量１１１６の合計値を算出する。物理サーバ検索部１１３１は、選択された物理サーバのメモリ量１１２４から算出された合計値を減算することによって、割当可能なメモリ量を算出する。
なお、選択されたＯＶＦイメージファイル１４１１のＯＶＦ種別１１１２が「Ｔｒｕｓｔｅｄ認証」又は「Ｔｒｕｓｔｅｄ実行」の場合、物理サーバ検索部１１３１は、前述した合計値に仮想ＴＰＭ用ＶＭ１２２０に必要なメモリ量を加算する。物理サーバ検索部１１３１は、当該合計値を用いて割当可能なメモリ量を算出する。
物理サーバ検索部１１３１は、算出された割当可能なＣＰＵコアと、ＣＰＵ性能１１２３の値とを乗算して、乗算値が要求ＣＰＵ性能１１４７より大きいか否かを判定する。
乗算値が要求ＣＰＵ性能１１４７以下の場合、物理サーバ検索部１１３１は、ＯＶＦイメージファイル１４１１のデプロイに必要な計算機リソース量を確保できないと判定する。
乗算値が要求ＣＰＵ性能１１４７より大きい場合、物理サーバ検索部１１３１は、割当可能なメモリ量が要求メモリ量１１４８より大きいか否かを判定する。
割当可能なメモリ量が要求メモリ量１１４８以下の場合、物理サーバ検索部１１３１は、対象ＯＶＦイメージファイル１４１１のデプロイに必要な計算機リソース量を確保できないと判定する。
割当可能なメモリ量が要求メモリ量１１４８より大きい場合、物理サーバ検索部１１３１は、対象ＯＶＦイメージファイル１４１１のデプロイに必要な計算機リソース量を確保できると判定する。
以上がステップＳ２１０４及びステップＳ２１０５の処理である。
ステップＳ２１０５において対象ＯＶＦイメージファイル１４１１のデプロイに必要な計算機リソース量を確保できないと判定された場合、物理サーバ検索部１１３１は、ステップＳ２１０８に進む。
ステップＳ２１０５において対象ＯＶＦイメージファイル１４１１のデプロイに必要な計算機リソース量を確保できると判定された場合、物理サーバ検索部１１３１は、ＶＭパッケージ１４１０に含まれる全ての対象ＯＶＦイメージファイル１４１１の処理が完了したか否かを判定する（ステップＳ２１０６）。このとき、物理サーバ検索部１１３１は、選択された対象ＯＶＦイメージファイル１４１１の識別子と選択された物理サーバの識別子とを対応づけたデプロイ情報を生成又は更新する。また、デプロイ情報には、対象ＯＶＦイメージファイル１４１１を用いたＶＭの生成に必要な情報、すなわち、割当リソース１１１４に格納される情報も含まれる。
ＶＭパッケージ１４１０に含まれる全ての対象ＯＶＦイメージファイル１４１１の処理が完了していないと判定された場合、物理サーバ検索部１１３１は、ステップＳ２１０１に戻り、同様の処理を実行する。
ＶＭパッケージ１４１０に含まれる全ての対象ＯＶＦイメージファイル１４１１の処理が完了していると判定された場合、物理サーバ検索部１１３１は、デプロイ情報を含む処理開始指示を出力し（ステップＳ２１０７）、処理を終了する。
なお、デプロイ情報には、対象ＯＶＦイメージファイル１４１１の要求セキュリティ強度１１４０５の値も含まれる。
ステップＳ２１０３において選択された物理サーバが要求セキュリティ強度を満たさないと判定された場合、又は、対象ＯＶＦイメージファイル１４１１のデプロイに必要な計算機リソース量を確保できないと判定された場合、物理サーバ検索部１１３１は、選択可能な物理サーバが存在するか否かを判定する（ステップＳ２１０８）。
すなわち、物理サーバ構成表１１２０に含まれる全てのエントリについて処理が完了したか否かが判定される。物理サーバ構成表１１２０に含まれる全てのエントリについて処理が完了している場合、選択可能な物理サーバが存在しないと判定される。
選択可能な物理サーバが存在すると判定された場合、物理サーバ検索部１１３１は、ステップＳ２１０２に戻り同様の処理を実行する。
選択可能な物理サーバが存在しないと判定された場合、物理サーバ検索部１１３１は、デプロイ要求受付部１１３０に対して検索の失敗を応答し（ステップＳ２１０９）、処理を終了する。
い。
以下の説明では、ＯＶＦイメージファイル１４１１のデプロイに必要な計算機リソース量を確保できると判定された物理サーバを対象物理サーバとも記載する。
図１２は、本発明の実施例１におけるデプロイ指示部１１３２が実行するデプロイ処理を説明するフローチャートである。
デプロイ指示部１１３２は、物理サーバ検索部１１３１から処理開始指示を受信すると処理を開始する（ステップＳ２３００）。
デプロイ指示部１１３２は、デプロイ情報を参照して、対象ＯＶＦイメージファイル１４１１を一つ選択する（ステップＳ２３０１）。
デプロイ指示部１１３２は、選択された対象ＯＶＦイメージファイル１４１１に対応づけられた要求セキュリティ強度の値が「０」より大きいか否かを判定する（ステップＳ２３０２）。すなわち、Ｔｒｕｓｔｅｄ ＶＭ１２３０のデプロイ処理であるか否かが判定される。
対象ＯＶＦイメージファイル１４１１に対応づけられた要求セキュリティ強度の値が「０」より大きいと判定された場合、デプロイ指示部１１３２は、対象物理サーバにＴｒｕｓｔｅｄ ＶＭの起動指示を送信する（ステップＳ２３０３）。さらに、デプロイ指示部１１３２は、対象物理サーバに対象ＯＶＦイメージファイル１４１１を送信する（ステップＳ２３０４）。この場合、ＴＰＭ搭載物理サーバ１２００が対象物理サーバとなる。
このとき、デプロイ指示部１１３２は、仮想ＴＰＭ用ＶＭ１２２０を生成するためのＯＶＦイメージファイル１４１１を対象物理サーバに送信する。また、デプロイ指示部１１３２は、対象ＯＶＦイメージファイル１４１１を提供するアプリケーション提供システム４００の宛先アドレス１１４１０もＴＰＭ搭載物理サーバ１２００に送信する。
なお、仮想ＴＰＭ用ＶＭ１２２０を生成するためのＯＶＦイメージファイル１４１１は、選択された対象ＯＶＦイメージファイル１４１１が含まれるＶＭパッケージ管理ＤＢ１４００から取得されるものとする。ただし、本発明はこれに限定されず、Ｔｒｕｓｔｅｄハイパバイザ１２１０が全てのＶＭパッケージ１４１０に共通する仮想ＴＰＭ用ＶＭ１２２０を生成するための情報を保持していてもよい。
ＴＰＭ搭載物理サーバ１２００は、Ｔｒｕｓｔｅｄ ＶＭ１２３０の起動指示及びＯＶＦイメージファイル１４１１を受信した後、Ｔｒｕｓｔｅｄ ＶＭ１２３０の起動処理を実行する。Ｔｒｕｓｔｅｄ ＶＭ１２３０の起動処理については図１３Ａ及び図１３Ｂを用いて後述する。
デプロイ指示部１１３２は、対象物理サーバから整合性報告の検証結果を受信し（ステップＳ２３０５）、当該検証結果が整合性がある旨を示す検証結果であるか否かを判定する（ステップＳ２３０６）。
整合性がある旨を示す検証結果であると判定された場合、デプロイ指示部１１３２は、ステップＳ２３１０に進む。
整合性がない旨を示す検証結果であると判定された場合、デプロイ指示部１１３２は、デプロイ結果として「ＮＧ」を出力し（ステップＳ２３０７）、処理を終了する。
このとき、デプロイ指示部１１３２は、Ｔｒｕｓｔｅｄ ＶＭ１２３０の起動指示を送信したＴＰＭ搭載物理サーバ１２００、及びＶＭ１３３０の起動指示を送信した物理サーバ１３００に、起動処理の中止を送信するものとする。
ステップＳ２３０２において対象ＯＶＦイメージファイル１４１１に対応づけられた要求セキュリティ強度の値が「０」である場合、すなわち、通常のＶＭ１３３０のデプロイ処理である場合、デプロイ指示部１１３２は、対象物理サーバにＶＭの起動指示を送信する（ステップＳ２３０８）。さらに、デプロイ指示部１１３２は、対象物理サーバに対象ＯＶＦイメージファイル１４１１を送信する（ステップＳ２３０９）。この場合、物理サーバ１３００が対象物理サーバとなる。
物理サーバ１３００は、ＶＭの起動指示及びＯＶＦイメージファイル１４１１を受信した後、ハイパバイザ１３１０がＶＭ１３３０を生成し、生成されたＶＭ１３３０上にＯＳ１３３５を起動させる。なお、ＶＭ１３３０の生成方法、ＯＳ１３３５の起動方法は公知の技術を用いればよいため詳細な説明は省略する。
ステップＳ２３０９の処理の後、又は、ステップＳ２３０６において整合性がある旨を示す検証結果であると判定された場合、デプロイ指示部１１３２は、デプロイ情報に含まれる全てのＯＶＦイメージファイル１４１１について処理が完了したか否かを判定する（ステップＳ２３１０）。
デプロイ情報に含まれる全てのＯＶＦイメージファイル１４１１について処理が完了していないと判定された場合、デプロイ指示部１１３２は、ステップＳ２３０１に戻り、同様の処理を実行する。
デプロイ情報に含まれる全てのＯＶＦイメージファイル１４１１について処理が完了したと判定された場合、デプロイ指示部１１３２は、デプロイ結果として「ＯＫ」を出力し（ステップＳ２３１１）、処理を終了する。
前述したように、本実施例では、Ｔｒｕｓｔｅｄ ＶＭ１２３０をデプロイする場合に、要求セキュリティ強度１１４０５が所定の値以上である物理サーバが検索される。すなわち、ＴＰＭ搭載物理サーバ１２００が検索される。これによって、ＶＭの改ざん、及びユーザのなりすまし等を未然に防ぐことができ、また、不正なアプリケーションの実行、及び不正なアプリケーションの拡散等を防ぐことができる。
図１３Ａ及び図１３Ｂは、本発明の実施例１のＴＰＭ搭載物理サーバ１２００が実行するＴｒｕｓｔｅｄ ＶＭ１２３０の起動処理を説明するフローチャートである。
ＴＰＭ搭載物理サーバ１２００は、ＶＭ管理サーバ１１００からＴｒｕｓｔｅｄ ＶＭ１２３０の起動指示及び対象ＯＶＦイメージファイル１４１１を受信すると、Ｔｒｕｓｔｅｄ ＶＭ１２３０の起動処理を開始する（ステップＳ３０００）。
まず、ＴＰＭ搭載物理サーバ１２００が起動しているか否かが判定される（ステップＳ３００１）。具体的には、ＢＭＣ１１０４が、電源ＯＮの状態である否かを判定する。電源ＯＮの状態である場合には、ＴＰＭ搭載物理サーバ１２００が起動していると判定される。
ＴＰＭ搭載物理サーバ１２００が起動していると判定された場合、ステップＳ３００３の処理から開始される。
一方、ＴＰＭ搭載物理サーバ１２００が起動していないと判定された場合には、ＢＭＣ１１０４は、ＴＰＭ搭載物理サーバ１２００の電源をＯＮの状態にする。ＴＰＭ搭載物理サーバ１２００は、電源がＯＮの状態になるとＴｒｕｓｔｅｄ Ｂｏｏｔ処理を実行する（ステップＳ３００２）。具体的には、以下のような処理が実行される。
ＣＰＵ１２５０がＣＲＴＭ１２４２のハッシュ値を取得し、ＣＲＴＭ１２４２のハッシュ値をＰＣＲ１２７５に書き込む。その後、ＣＰＵ１２５０は、ＣＲＴＭ１２４２を実行する。さらに、ＣＲＴＭ１２４２を実行するＣＰＵ１２５０は、Ｂｏｏｔ Ｆｉｒｍｗａｒｅ１２４４のハッシュ値を取得し、Ｂｏｏｔ Ｆｉｒｍｗａｒｅ１２４４のハッシュ値をＰＣＲ１２７５に書き込む。その後、ＣＰＵ１２５０は、Ｂｏｏｔ Ｆｉｒｍｗａｒｅ１２４４を起動する。
Ｂｏｏｔ Ｆｉｒｍｗａｒｅ１２４４は、Ｂｏｏｔ Ｍａｎａｇｅｒ１２４７のハッシュ値を取得し、Ｂｏｏｔ Ｍａｎａｇｅｒ１２４７のハッシュ値をＰＣＲ１２７５に書き込む。その後、Ｂｏｏｔ Ｆｉｒｍｗａｒｅ１２４４は、Ｂｏｏｔ Ｍａｎａｇｅｒ１２４７を起動する。
以上がステップＳ３００２の処理である。
次に、ＴＰＭ搭載物理サーバ１２００は、Ｔｒｕｓｔｅｄハイパバイザ１２１０が起動しているか否かを判定する（ステップＳ３００３）。例えば、Ｔｒｕｓｔｅｄ Ｂｏｏｔ処理の途中であるか否かが判定される。
Ｔｒｕｓｔｅｄハイパバイザ１２１０が起動していると判定された場合、ＴＰＭ搭載物理サーバ１２００は、ステップＳ３００５に進む。
Ｔｒｕｓｔｅｄハイパバイザ１２１０が起動していないと判定された場合、ＴＰＭ搭載物理サーバ１２００は、Ｔｒｕｓｔｅｄ Ｂｏｏｔ処理を継続する（ステップＳ３００４）。具体的には、以下のような処理が実行される。
Ｂｏｏｔ Ｍａｎａｇｅｒ１２４７が、Ｋｅｒｎｅｌ Ｌｏａｄｅｒ１２１１を読み出し、読み出されたＫｅｒｎｅｌ Ｌｏａｄｅｒ１２１１のハッシュ値を取得し、Ｋｅｒｎｅｌ Ｌｏａｄｅｒ１２１１のハッシュ値をＰＣＲ１２７５に書き込む。その後、Ｂｏｏｔ Ｍａｎａｇｅｒ１２４７は、Ｋｅｒｎｅｌ Ｌｏａｄｅｒ１２１１を実行する。
Ｋｅｒｎｅｌ Ｌｏａｄｅｒ１２１１は、Ｔｒｕｓｔｅｄハイパバイザ１２１０のイメージを読み出し、読み出されたＴｒｕｓｔｅｄハイパバイザ１２１０のイメージのハッシュ値を取得し、Ｔｒｕｓｔｅｄハイパバイザ１２１０のイメージのハッシュ値をＰＣＲ１２７５に格納する。その後、Ｋｅｒｎｅｌ Ｌｏａｄｅｒ１２１１は、Ｔｒｕｓｔｅｄハイパバイザ１２１０を起動する。
以上がステップＳ３００４の処理である。
次に、ＴＰＭ搭載物理サーバ１２００は、仮想ＴＰＭ用ＶＭ１２２０が起動しているか否かを判定する（ステップＳ３００５）。具体的には、Ｔｒｕｓｔｅｄハイパバイザ１２１０が、仮想ＴＰＭ用ＶＭ１２２０が起動しているか否かを判定する。
仮想ＴＰＭ用ＶＭ１２２０が起動していると判定された場合、ＴＰＭ搭載物理サーバ１２００は、ステップＳ３００７に進む。
仮想ＴＰＭ用ＶＭ１２２０が起動していないと判定された場合、ＴＰＭ搭載物理サーバ１２００は、Ｔｒｕｓｔｅｄ Ｂｏｏｔ処理を継続する（ステップＳ３００６）。具体的には、以下のような処理が実行される。
Ｔｒｕｓｔｅｄハイパバイザ１２１０が、仮想ＴＰＭ用ＶＭ１２２０を生成するためのＯＶＦイメージファイル１４１１を読み出し、読み出されたＯＶＦイメージファイル１４１１のハッシュ値を取得し、ＯＶＦイメージファイル１４１１のハッシュ値をＰＣＲ１２７５に書き込む。
その後、Ｔｒｕｓｔｅｄハイパバイザ１２１０は、読み出されたＯＶＦイメージファイル１４１１を用いて仮想ＴＰＭ用ＶＭ１２２０を生成し、生成された仮想ＴＰＭ用ＶＭ１２２０を起動する。なお、仮想ＴＰＭ用ＶＭ１２２０の生成方法、及び起動方法は公知の技術を用いればよいため説明を省略する。
以上がステップＳ３００６の処理である。
次に、ＴＰＭ搭載物理サーバ１２００は、ｖＴＰＭ１２３１を生成する（ステップＳ３００７）。ＴＰＭ搭載物理サーバ１２００は、受信した対象ＯＶＦイメージファイル１４１１を用いて所定のＴｒｕｓｔｅｄ ＶＭ１２３０を生成する（ステップＳ３００８）。
具体的には、Ｔｒｕｓｔｅｄハイパバイザ１２１０が、仮想ＴＰＭ用ＶＭ１２２０を制御してｖＴＰＭ１２３１を生成する。Ｔｒｕｓｔｅｄハイパバイザ１２１０は、ｖＴＰＭ１２３１、及び、所定の計算機リソースを割り当てることによってＴｒｕｓｔｅｄ ＶＭ１２３０を生成する。
この時点では、計算機リソースが割り当てられた状態であり、Ｔｒｕｓｔｅｄ ＶＭ１２３０上ではＴｒｕｓｔｅｄ ＯＳ１２３５、及びＴｒｕｓｔｅｄアプリケーション１２３６は稼働していない。なお、ｖＴＰＭ１２３１の生成方法は公知の技術を用いればよいため説明を省略する。
ＴＰＭ搭載物理サーバ１２００は、受信したＯＶＦイメージファイル１４１１に対応するＯＶＦ署名１４１２を用いて、当該ＯＶＦイメージファイル１４１１を検証する（ステップＳ３００９）。
このとき、ＴＰＭ搭載物理サーバ１２００は、ＶＭパッケージ管理ＤＢ１４００から、受信したＯＶＦイメージファイル１４１１に対応するＯＶＦ署名１４１２を取得する。なお、ＯＶＦ署名１４１２を用いたＯＶＦイメージファイル１４１１の検証処理は公知の技術を用いればよいため説明を省略する。
ステップＳ３００９の検証処理の結果がエラーである場合、ＴＰＭ搭載物理サーバ１２００は、ＶＭ管理サーバ１１００に不正である旨の検証結果を出力し、処理を終了する。ステップＳ３００９の検証処理の結果がエラーでない場合、ＴＰＭ搭載物理サーバ１２００はステップＳ３０１０に進む。
ＴＰＭ搭載物理サーバ１２００は、受信したＯＶＦイメージファイル１４１１のハッシュ値を取得し、ＯＶＦイメージファイル１４１１のハッシュ値をＰＣＲ１２７５に書き込む（ステップＳ３０１０）。
具体的には、Ｔｒｕｓｔｅｄハイパバイザ１２１０が、受信したＯＶＦイメージファイル１４１１のハッシュ値を取得し、取得されたＯＶＦイメージファイル１４１１のハッシュ値をＰＣＲ１２７５に書き込む。
ＴＰＭ搭載物理サーバ１２００は、受信したＯＶＦイメージファイル１４１１を提供するアプリケーション提供システム４００に、整合性報告を送信する（ステップＳ３０１１）。
具体的には、Ｔｒｕｓｔｅｄハイパバイザ１２１０が、受信した宛先アドレス１１４１０に対応するＩＰアドレス宛に、整合性報告を送信する。整合性報告には、ＰＣＲ１２７５に格納されるハッシュ値が含まれる。
なお、整合性報告には、生成されたＴｒｕｓｔｅｄ ＶＭ１２３０に割り当てられたｖＴＰＭ１２３１の鍵情報が含まれてもよい。ここで、ｖＴＰＭ１２３１の鍵情報は、ｖＴＰＭ１２３１におけるＥｎｄｏｒｓｅｍｅｎｔ Ｋｅｙ１２７４に対応するものである。
なお、アプリケーション提供システム４００が実行する処理については、図１４を用いて後述する。
ＴＰＭ搭載物理サーバ１２００は、アプリケーション提供システム４００から整合性報告の結果を受信すると（ステップＳ３０１２）、当該整合性報告の結果が整合性がある旨を示す結果であるか否かを判定する（ステップＳ３０１３）。
整合性報告の結果が不正である旨を示す結果であると判定された場合、ＴＰＭ搭載物理サーバ１２００は、整合性報告の結果を応答し（ステップＳ３０１６）、処理を終了する。
整合性報告の結果が整合性がある旨を示す結果であると判定された場合、ＴＰＭ搭載物理サーバ１２００は、受信したＯＶＦイメージファイル１４１１を用いて、Ｔｒｕｓｔｅｄ ＯＳ１２３５を起動する（ステップＳ３０１４）。
Ｔｒｕｓｔｅｄ ＯＳ１２３５の起動処理は様々な形態が考えられる。本実施例では例えば以下のような起動処理が実行される。
Ｔｒｕｓｔｅｄハイパバイザ１２１０が、仮想的なＢＩＯＳのハッシュ値を取得し、仮想的なＢＩＯＳのハッシュ値をｖＴＰＭ１２３１のＰＣＲ１２７５に書き込む。その後、Ｔｒｕｓｔｅｄハイパバイザ１２１０が、仮想的なＢＩＯＳを起動する。仮想的なＢＩＯＳは、Ｔｒｕｓｔｅｄハイパバイザ１２１０によってエミュレーションされたＢＩＯＳである。このとき、ｖＴＰＭ１２３１へのハッシュ値の書き込みは、仮想ＴＰＭ用ＶＭ１２２０によってエミュレーションされる。
その後、仮想的なＢＩＯＳは仮想的なカーネルローダを呼び出し、仮想的なカーネルローダは、Ｔｒｕｓｔｅｄ ＯＳ１２３５を起動する。このとき、仮想的なＢＩＯＳは仮想的なカーネルローダのハッシュ値を取得し、仮想的なカーネルローダは、Ｔｒｕｓｔｅｄ ＯＳ１２３５のハッシュ値を取得する。仮想的なＢＩＯＳ及び仮想的なカーネルローダは、それぞれ、取得されたハッシュ値をｖＴＰＭ１２３１のＰＣＲに書き込む。このとき、ｖＴＰＭ１２３１のＰＣＲへのハッシュ値の書き込みは、仮想ＴＰＭ用ＶＭ１２２０によってエミュレーションされ、ＰＣＲ１２７５に書き込まれる。
以上がＴｒｕｓｔｅｄ ＯＳ１２３５の起動処理の一例である。
次に、ＴＰＭ搭載物理サーバ１２００は、受信したＯＶＦイメージファイル１４１１を用いて、Ｔｒｕｓｔｅｄアプリケーション１２３６を起動する（ステップＳ３０１５）。
具体的には、Ｔｒｕｓｔｅｄ ＯＳ１２３５が、Ｔｒｕｓｔｅｄアプリケーション１２３６のハッシュ値を取得し、Ｔｒｕｓｔｅｄアプリケーション１２３６のハッシュ値をｖＴＰＭ１２３１のＰＣＲに書き込む。その後、Ｔｒｕｓｔｅｄ ＯＳ１２３５がＴｒｕｓｔｅｄアプリケーション１２３６を実行する。
ＴＰＭ搭載物理サーバ１２００は、整合性報告の結果を応答し（ステップＳ３０１６）、処理を終了する。
図１４は、本発明の実施例１の認証サーバ４１０が実行する処理を説明するフローチャートである。
認証サーバ４１０は、ＴＰＭ搭載物理サーバ１２００から整合性報告を受信すると（ステップＳ４００１）、受信した整合性報告を検証機関システム５００に転送する（ステップＳ４００２）。
検証機関システム５００では、検証サーバ５１０が、整合性報告、ＩＩＤＢ５２０、及びＶＵＬＤＢ５３０に基づいて所定の検証処理を実行し、検証結果を出力する。検証サーバ５１０は、出力された検証結果をアプリケーション提供システム４００に送信する。なお、検証処理は公知の技術を用いればよいため説明を省略する。
認証サーバ４１０は、検証結果を受信すると（ステップＳ４００３）、当該検証結果に基づいてライセンスＤＢ４３０を更新する（ステップＳ４００４）。具体的には以下のような処理が実行される。
認証サーバ４１０は、検証結果を解析し、整合性報告の内容が正しい旨の検証結果であるか否かを判定する。
整合性報告の内容が正しい旨の検証結果であると判定された場合、認証サーバ４１０は、ライセンスＤＢ４３０に新たに生成されたＶＭに関する情報を追加する。一方、整合性報告の内容が誤りである旨の検証結果であると判定された場合、認証サーバ４１０は、ライセンスＤＢ４３０を更新することなく次のステップに進む。
認証サーバ４１０は、受信した検証結果をＴＰＭ搭載物理サーバ１２００に対して転送し（ステップＳ４００５）、処理を終了する。
以上で説明したように、整合性報告がアプリケーション提供システム４００に送信される。これによって、アプリケーション提供システムを運用するアプリベンダは、提供するＶＭパッケージ１４１０の利用状況を把握することができる。
実施例１によれば、セキュリティ強度に基づいてデプロイ先の物理サーバが選択されるためＶＭ、ＯＳ、及びアプリケーションの整合性を保証することができる。これによって、安全なクラウドサービスを実現することができる。また、実施例１では、アプリケーション提供システム４００を介して整合性報告が送信される。これによって、アプリケーション提供システム４００が、クラウドシステム１０００上で稼働するアプリケーションの利用状態を把握することができる。
Ｔｒｕｓｔｅｄ ＯＳ１２３５の起動後、Ｔｒｕｓｔｅｄ ＶＭ１２３０とアプリケーション提供システム４００との間では、Ｔｒｕｓｔｅｄアプリケーション１２３６の改ざん等を監視するために認証処理が周期的に実行される。ここで、Ｔｒｕｓｔｅｄアプリケーション１２３６の認証処理では、ライセンス数、アプリケーションの実行状態等の状態が確認される。
この場合、認証処理における通信がボトルネックとなって、ユーザ３１０が要求する性能を発揮できない場合がある。実施例２では、Ｔｒｕｓｔｅｄアプリケーション１２３６の整合性を保証し、かつ、Ｔｒｕｓｔｅｄアプリケーション１２３６の処理性能の低下を抑止するシステムについて説明する。
以下、実施例１との差異を中心に説明する。
計算機システムの構成は、実施例１と同一であるため説明を省略する。また、ＶＭ管理サーバ１１００、及び物理サーバ１３００のハードウェア構成及びソフトウェア構成は、実施例１と同一であるため説明を省略する。
図１５は、本発明の実施例２のＴＰＭ搭載物理サーバ１２００のハードウェア構成及びソフトウェア構成の一例を示すブロック図である。
ＴＰＭ搭載物理サーバ１２００のハードウェア構成は実施例１と同一である。実施例２では、Ｔｒｕｓｔｅｄ認証用ＶＭ２２３０及びＴｒｕｓｔｅｄ実行用ＶＭ２２４０の二つＶＭが存在する点が実施例１と異なる。その他のソフトウェア構成は、実施例１と同一である。
Ｔｒｕｓｔｅｄ認証用ＶＭ２２３０は、アプリケーション提供システム４００との間の通信を行うＶＭである。Ｔｒｕｓｔｅｄ認証用ＶＭ２２３０上では、Ｔｒｕｓｔｅｄチェッカ１２３７が実行される。Ｔｒｕｓｔｅｄチェッカ１２３７は、Ｔｒｕｓｔｅｄアプリケーション１２３６の認証処理を実行するアプリケーションである。
また、Ｔｒｕｓｔｅｄ実行用ＶＭ２２４０は、アプリベンダが提供するアプリケーションであるＴｒｕｓｔｅｄアプリケーション１２３６を実行するＶＭである。
したがって、実施例２のＶＭパッケージ１４１０には、Ｔｒｕｓｔｅｄ認証用ＶＭ２２３０を生成するためのＯＶＦイメージファイル１４１１と、Ｔｒｕｓｔｅｄ実行用ＶＭ２２４０を生成するためのＯＶＦイメージファイル１４１１とが含まれる。
なお、Ｔｒｕｓｔｅｄ実行用ＶＭ２２４０は、Ｔｒｕｓｔｅｄアプリケーション１２３６の認証を行うため、Ｔｒｕｓｔｅｄ認証用ＶＭ２２３０と通信するように設定される。また、ＴＰＭ搭載物理サーバ１２００上では、一つのＴｒｕｓｔｅｄ認証用ＶＭ２２３０と、一つ以上のＴｒｕｓｔｅｄ実行用ＶＭ２２４０が稼働する。
次に、実施例２の各処理について説明する。
ＶＭ管理サーバ１１００が実行する処理は実施例１と同一であるため説明する。実施例２では、Ｔｒｕｓｔｅｄ ＶＭ１２３０の起動処理が異なる。
ステップ３００１からステップＳ３００７までの処理は実施例１の処理と同一である。
ステップＳ３００８では、ＴＰＭ搭載物理サーバ１２００は、Ｔｒｕｓｔｅｄ認証用ＶＭ２２３０及びＴｒｕｓｔｅｄ実行用ＶＭ２２４０を生成する。
ステップＳ３００９からステップＳ３０１３では、ＴＰＭ搭載物理サーバ１２００は、Ｔｒｕｓｔｅｄ認証用ＶＭ２２３０及びＴｒｕｓｔｅｄ実行用ＶＭ２２４０のそれぞれについて整合性報告の送信、及び整合性報告の結果の判定処理を実行する。
ステップＳ３０１３において、Ｔｒｕｓｔｅｄ認証用ＶＭ２２３０及びＴｒｕｓｔｅｄ実行用ＶＭ２２４０の両方のＶＭの整合性報告の結果が整合性がある旨を示す結果であるか否かを判定する。
両方のＶＭの整合性報告の結果が整合性がある旨を示す結果であると判定された場合、ＴＰＭ搭載物理サーバ１２００は、Ｔｒｕｓｔｅｄ認証用ＶＭ２２３０上でＴｒｕｓｔｅｄ ＯＳ１２３５を起動する。その後、ＴＰＭ搭載物理サーバ１２００は、Ｔｒｕｓｔｅｄ実行用ＶＭ２２４０上でＴｒｕｓｔｅｄ ＯＳ１２３５を起動する。
さらに、ＴＰＭ搭載物理サーバ１２００は、Ｔｒｕｓｔｅｄ認証用ＶＭ２２３０上でＴｒｕｓｔｅｄチェッカ１２３７を起動させ、Ｔｒｕｓｔｅｄ実行用ＶＭ２２４０上でＴｒｕｓｔｅｄアプリケーション１２３６を起動させる。
これによって、Ｔｒｕｓｔｅｄ実行用ＶＭ２２４０及びＴｒｕｓｔｅｄ認証用ＶＭ２２３０の整合性が保証される。すなわち、ＶＭ、ＯＳ、及びアプリケーションの改ざん等が行われていないことが保証される。
図１６は、本発明の実施例２におけるＴｒｕｓｔｅｄアプリケーション１２３６の認証処理を説明するシーケンス図である。
ＴＰＭ搭載物理サーバ１２００上では、Ｔｒｕｓｔｅｄ認証用ＶＭ２２３０及びＴｒｕｓｔｅｄ実行用ＶＭ２２４０が稼働する。また、Ｔｒｕｓｔｅｄ認証用ＶＭ２２３０では、Ｔｒｕｓｔｅｄチェッカ１２が実行される。Ｔｒｕｓｔｅｄ実行用ＶＭ２２４０上では、Ｔｒｕｓｔｅｄアプリケーション１２３６が実行される。
Ｔｒｕｓｔｅｄアプリケーション１２３６は、周期的に、認証報告ＡをＴｒｕｓｔｅｄチェッカ１２３７に送信する。
Ｔｒｕｓｔｅｄチェッカ１２３７は、認証報告Ａを受信すると、認証報告Ａに基づいて認証処理を実行し、認証結果をＴｒｕｓｔｅｄアプリケーション１２３６に送信する。認証報告Ａには例えばライセンス番号やアプリケーションの実行回数などが含まれる。
Ｔｒｕｓｔｅｄチェッカ１２３７は、複数の認証報告Ａが含まれる認証報告Ｂを認証サーバ４１０に送信する。
認証サーバ４１０は、認証報告Ｂに基づいて認証処理を実行する。認証サーバ４１０が実行する認証処理は公知のものを用いればよいため詳細な説明を省略する。
このとき、認証サーバ４１０は、少なくとも一つの認証報告Ａに対する認証処理の結果が不正である場合、不正である旨の認証結果をＴｒｕｓｔｅｄチェッカ１２３７に送信する。Ｔｒｕｓｔｅｄチェッカ１２３７は、一度不正であると判定されたＴｒｕｓｔｅｄアプリケーション１２３６に対しては、以降、正当な認証結果を返さないことによって、当該Ｔｒｕｓｔｅｄアプリケーションの不正な実行を防止する。なお、前述した認証処理の判定方法は一例であって、本発明はこれに限定されない。
以上で説明したように、Ｔｒｕｓｔｅｄアプリケーション１２３６とＴｒｕｓｔｅｄチェッカ１２３７との間の通信はメモリ１２６０内の通信である。したがって、頻繁な認証処理における通信が、Ｔｒｕｓｔｅｄアプリケーション１２３６の処理性能に影響しない。
実施例２によれば、アプリケーションの処理性能を低下させることなく、実行中のアプリケーションの認証を行うことができる。
実施例３では、Ｔｒｕｓｔｅｄハイパバイザ１２１０が整合性報告を暗号化して送信する。
以下、実施例１との差異を中心に説明する。
計算機システムの構成は、実施例１と同一であるため説明を省略する。また、ＶＭ管理サーバ１１００、及び物理サーバ１３００のハードウェア構成及びソフトウェア構成は、実施例１と同一であるため説明を省略する。
図１７は、本発明の実施例３のＶＭパッケージ１４１０の一例を示す説明図である。
実施例３におけるＶＭパッケージ１４１０には、新たに公開鍵１４１６が含まれる。公開鍵１４１６は、アプリケーション提供システム４００において生成された公開鍵である。
例えば、ＶＭパッケージ配信サーバ４２０が、予め、公開鍵及び秘密鍵を生成し、生成された公開鍵を含むＶＭパッケージ１４１０をクラウドシステム１０００に配信する。これによって、図１７に示すようなＶＭパッケージ１４１０がＶＭパッケージ管理ＤＢ１４００に登録される。なお、秘密鍵は、ＶＭパッケージ配信サーバ４２０から認証サーバ４１０に出力されるものとする。すなわち、認証サーバ４１０が秘密鍵を保持する。
前述した鍵の管理方法は一例であって、認証サーバ４１０が公開鍵及び秘密鍵を生成してもよい。
次に、実施例２の各処理について説明する。
ＶＭ管理サーバ１１００が実行する処理は実施例１と同一であるため説明する。実施例２では、Ｔｒｕｓｔｅｄ ＶＭ１２３０の起動処理が異なる。
ステップＳ３００１からステップＳ３０１０の処理は、実施例１と同一の処理である。
ステップＳ３０１１において、Ｔｒｕｓｔｅｄハイパバイザ１２１０は、ＯＶＦイメージファイル１４１１に含まれる公開鍵１４１６を用いて、整合性報告を暗号化する。例えば、ＰＣＲ１２７５に格納される全てのハッシュ値が暗号化される。その後、Ｔｒｕｓｔｅｄハイパバイザ１２１０は、暗号化された整合性報告を認証サーバ４１０に送信する。
ステップＳ３０１２からステップＳ３０１６の処理は、実施例１と同一の処理である。
図１８は、本発明の実施例３の認証サーバ４１０が実行する処理を説明するフローチャートである。
認証サーバ４１０は、ＴＰＭ搭載物理サーバ１２００から、暗号化された整合性報告を受信すると（ステップＳ４００１）、秘密鍵を用いて暗号化された整合性報告を復号化する（ステップＳ４１０１）。さらに、認証サーバ４１０は、暗号化された整合性報告を復号化できたか否かを判定する（ステップＳ４１０２）。
暗号化された整合性報告を復号化できたと判定された場合、認証サーバ４１０は、ステップ４００２からステップＳ４００５の処理を実行する。なお、ステップＳ４００２からステップ４００５の処理は実施例１の処理と同一である。
暗号化された整合性報告を復号化できないと判定された場合、認証サーバ４１０は、受信した整合性報告を検証機関システム５００に転送することなく、処理を終了する。
また、実施例３ではＴＰＭ搭載物理サーバ１２００が実行する処理が一部異なる。
ステップＳ３０１２において、ＴＰＭ搭載物理サーバ１２００は、検証結果を受信したか否かを判定する。例えば、予めタイムアウトの時間を設定し、当該時間以上検証結果の応答がない場合、ＴＰＭ搭載物理サーバ１２００は、検証結果を受信していないと判定する。
検証結果を受信したと判定された場合、ＴＰＭ搭載物理サーバ１２００は、ステップＳ３０１３からステップＳ３０１６までの処理を実行する。
検証結果を受信していないと判定された場合、ＴＰＭ搭載物理サーバ１２００は、不正である旨の検証結果を応答し（ステップＳ３０１６）、処理を終了する。
実施例３によれば、不正なアプリケーション提供システム４００による認証等を防ぐことができるため、計算機システムにおけるセキュリティを高める効果がある。
なお、本実施例で例示した種々のソフトウェアは、電磁的、電子的及び光学式等の種々の記録媒体（例えば、非一時的な記憶媒体）に格納可能であり、インターネット等の通信網を通じて、コンピュータにダウンロード可能である。本実施例では、ソフトウェアによる制御を用いた例について説明したが、その一部をハードウェアによって実現することも可能である。
以上、本発明を添付の図面を参照して詳細に説明したが、本発明はこのような具体的構成に限定されるものではなく、添付した請求の範囲の趣旨内における様々な変更及び同等の構成を含むものである。
２００ ネットワーク
３００ 端末
４００ アプリケーション提供システム
４０５ ネットワーク
４１０ 認証サーバ
４２０ ＶＭパッケージ配信サーバ
４３０ ライセンスＤＢ
４４０ ＶＭパッケージＤＢ
５００ 検証機関システム
５０５ ネットワーク
５１０ 検証サーバ
５２０ ＩＩＤＢ
５３０ ＶＵＬＤＢ
１０００ クラウドシステム
１００５ 業務ＮＷ
１００６ 管理ＮＷ
１１００ ＶＭ管理サーバ
１１３０ デプロイ要求受付部
１１３１ 物理サーバ検索部
１１３２ デプロイ指示部
１１４０ ＶＭパッケージ管理表
１２００ ＴＰＭ搭載物理サーバ
１２１０ Ｔｒｕｓｔｅｄハイパバイザ
１２２０ 仮想ＴＰＭ用ＶＭ
１２２１ ＴＰＭドライバ
１２２２ ＦＥ−ＴＰＭＤ
１２３０ Ｔｒｕｓｔｅｄ ＶＭ
１２３１ ｖＴＰＭ
１２３２ ＢＥ−ＴＰＭＤ
１２３３ ｖＴＰＭマネージャ
１２３５ Ｔｒｕｓｔｅｄ ＯＳ
１２３６ Ｔｒｕｓｔｅｄアプリケーション
１２３７ Ｔｒｕｓｔｅｄチェッカ
１２４２ ＣＲＴＭ
１２４４ Ｂｏｏｔ Ｆｉｒｍｗａｒｅ
１２４７ Ｂｏｏｔ Ｍａｎａｇｅｒ
１２５０ ＣＰＵ
１２６０ メモリ
１２７０ ＴＰＭ
１２８０ ＢＭＣ
１２９０ ネットワークインタフェース
１３００ 物理サーバ
１３１０ ハイパバイザ
１３３０ ＶＭ
１３３５ ＯＳ
１３３６ アプリケーション
１３４４ Ｂｏｏｔ Ｆｉｒｍｗａｒｅ
１３４７ Ｂｏｏｔ Ｍａｎａｇｅｒ
１３５０ ＣＰＵ
１３６０ メモリ
１３８０ ＢＭＣ
１３９０ ネットワークインタフェース
１４００ ＶＭパッケージ管理ＤＢ
１４１０ ＶＭパッケージ
１４１１ ＯＶＦイメージファイル
１４１２ ＯＶＦ署名
１４１５ パッケージ署名
１４１６ 公開鍵
１５００ ストレージ
１６００ ストレージ
２２３０ Ｔｒｕｓｔｅｄ認証用ＶＭ
２２４０ Ｔｒｕｓｔｅｄ実行用ＶＭ

Claims (14)

  1. プロセッサ、前記プロセッサに接続されるメモリ、前記プロセッサに接続されるネットワークインタフェースを有する複数の計算機を備える計算機システムであって、
    前記計算機システムは、
    所定のアプリケーションを実行する仮想計算機に割り当てる計算機リソースを有する仮想計算機システムと、
    前記仮想計算機に関する整合性を検証する検証システムと、を含み、
    前記仮想計算機システムは、
    前記仮想計算機に計算機リソースを提供する複数のサーバと、
    前記複数のサーバ上で稼働する前記仮想計算機を管理する管理計算機と、
    前記所定のアプリケーションを実行する仮想計算機を生成するためのイメージデータを格納するイメージデータ格納部と、を含み、
    前記検証システムは、前記仮想計算機に関する整合性を検証する検証サーバを含み、
    前記仮想計算機システムは、
    前記イメージデータ、及び当該イメージデータに基づいて生成される前記仮想計算機の起動に要求されるセキュリティ強度が対応づけられたイメージデータ管理情報と、
    前記サーバ、及び前記サーバに設定されたセキュリティ強度が対応づけられたサーバ管理情報と、を保持し、
    前記仮想計算機システムを利用するユーザから、前記所定のアプリケーションを実行する仮想計算機を生成するための対象イメージデータの識別情報を含むデプロイ要求を受け付けるデプロイ要求受付部と、
    前記イメージデータ管理情報及び前記サーバ管理情報に基づいて、前記対象イメージデータに対応づけられた前記セキュリティ強度以上の前記セキュリティ強度が設定された前記サーバを検索するサーバ検索部と、
    前記検索されたサーバに前記対象イメージデータのデプロイを指示するデプロイ指示部と、
    前記対象イメージデータを用いて、前記検索されたサーバ上に前記仮想計算機を生成し、前記生成された仮想計算機の起動時に取得され、前記仮想計算機に関する整合性の検証に用いられる第１の整合性報告を前記検証サーバに対して送信する仮想計算機管理部と、
    を有し、
    前記仮想計算機管理部は、前記検証サーバから送信される前記第１の整合性報告に対する検証処理の結果を受信し、
    前記デプロイ要求受付部は、前記受信した第１の整合性報告に対する検証処理の結果に基づいて、前記対象イメージデータのデプロイ結果を出力することを特徴とする計算機システム。
  2. 請求項１に記載の計算機システムであって、
    前記計算機システムは、前記イメージデータ格納部に格納する前記イメージデータを配布するアプリケーション提供システムを含み、
    前記アプリケーション提供システムは、
    前記イメージデータによって生成される仮想計算機上で実行されるアプリケーションの整合性を検証し、また、前記アプリケーションの利用状態を監視する認証サーバと、
    前記アプリケーションの利用状況を示す情報を格納するライセンスデータ格納部と、を含み、
    前記仮想計算機管理部は、前記第１の整合性報告を前記認証サーバに送信し、
    前記認証サーバは、
    前記受信した第１の整合性報告を前記検証サーバに転送し、
    前記受信した第１の整合性報告、及び前記検証サーバから受信した前記第１の整合性報告に対する検証処理の結果に基づいて、前記ライセンスデータ格納部に格納される情報を更新し、
    前記受信した第１の整合性報告に対する検証処理の結果を前記仮想計算機管理部に転送することを特徴とする計算機システム。
  3. 請求項２に記載の計算機システムであって、
    前記アプリケーション提供システムは、秘密鍵及び公開鍵を保持し、
    前記公開鍵と対応づけられた前記イメージデータが前記イメージデータ格納部に登録され、
    前記仮想計算機管理部は、
    前記公開鍵を用いて前記第１の整合性報告を暗号化し、
    前記暗号化された第１の整合性報告を前記認証サーバに送信し、
    前記認証サーバは、
    前記秘密鍵を用いて前記暗号化された第１の整合性報告を復号化できるか否かを判定し、
    前記秘密鍵を用いて前記暗号化された第１の整合性報告を復号化できると判定された場合、前記復号化された第１の整合性報告を前記検証サーバに転送することを特徴とする計算機システム。
  4. 請求項２に記載の計算機システムであって、
    前記イメージデータは、前記アプリケーションを実行する実行用仮想計算機を生成するための第１のイメージデータと、前記実行用仮想計算機上で実行される前記アプリケーションの整合性を検証するための通信を行う認証用仮想計算機を生成する第２のイメージデータと、を含み、
    前記イメージデータ格納部には、一つ以上の前記第１のイメージデータ、及び一つ以上の前記第２のイメージデータを含むソフトウェアが格納され、
    前記デプロイ要求に含まれる前記対象イメージデータの識別情報は、前記ソフトウェアの識別情報であり、
    前記サーバ検索部は、
    前記ユーザから指定された前記ソフトウェアに含まれる前記第１のイメージデータに対応づけられた前記セキュリティ強度以上の前記セキュリティ強度が設定された第１のサーバを検索し、
    前記ユーザから指定されたソフトウェアに含まれる前記第２のイメージデータに対応づけられた前記セキュリティ強度以上の前記セキュリティ強度が設定された第２のサーバを検索し、
    前記デプロイ指示部は、
    前記検索された第１のサーバに、前記ユーザから指定されたソフトウェアに含まれる第１のイメージデータのデプロイを指示し、
    前記検索された第２のサーバに、前記ユーザから指定されたソフトウェアに含まれる第２のイメージデータのデプロイを指示し、
    前記第１のイメージデータによって生成された前記実行用仮想計算機は、第１の期間毎に、前記アプリケーションの実行状態を示す情報を含む第２の整合性報告を前記第２のイメージデータによって生成された前記認証用仮想計算機に送信し、
    前記第２のイメージデータによって生成された前記認証用仮想計算機は、
    前記第１の期間より長い第２の期間毎に、複数の前記第２の整合性報告を含む第３の整合性報告を前記認証サーバに送信し、
    前記認証サーバから受信した前記第３の整合性報告に対する検証結果に基づいて、前記第２の整合性報告の応答を送信することを特徴とする計算機システム。
  5. 請求項２に記載の計算機システムであって、
    前記イメージデータ管理情報は、さらに、前記イメージデータを用いて生成される前記仮想計算機に必要な計算機リソースに関する情報が対応づけられ、
    前記複数のサーバは、ＴＰＭを備える第３のサーバを含み、
    前記サーバ検索部は、
    前記対象イメージデータに対応づけられたセキュリティ強度が前記ＴＰＭを用いた前記仮想計算機の起動処理が必要であることを示す値である場合に、前記サーバ管理情報を参照して、前記第３のサーバを検索し、
    前記第３のサーバにおける割当可能な計算機リソース量を算出し、
    前記イメージデータ管理情報及び前記算出された割当可能な計算機リソース量に基づいて、前記検索された第３のサーバ上に前記対象イメージデータを用いて前記仮想計算機が生成可能であるか否かを判定し、
    前記検索された第３のサーバ上に前記対象イメージデータを用いて前記仮想計算機が生成可能であると判定された場合、前記対象イメージデータを用いて前記仮想計算機を生成するためのデプロイ情報を出力することを特徴とする計算機システム。
  6. 請求項５に記載の計算機システムであって、
    前記仮想計算機管理部は、前記検索された第３のサーバ上に前記ＴＰＭをエミュレーションするための仮想ＴＰＭ用仮想計算機を生成し、
    前記仮想ＴＰＭ用仮想計算機は、前記対象イメージデータを用いて生成される仮想計算機に割り当てる仮想ＴＰＭを生成し、
    前記仮想計算機管理部は、
    前記対象イメージデータ、前記生成された仮想ＴＰＭ、及び前記検索された第３のサーバの計算機リソースに基づいて、前記仮想計算機を生成し、
    前記生成された仮想計算機は、前記第１の整合性報告に対する検証処理の結果に基づいて、前記所定のアプリケーションの実行を開始することを特徴とする計算機システム。
  7. 請求項６に記載の計算機システムであって、
    前記検索された第３のサーバは、前記仮想ＴＰＭに、前記イメージデータを用いた前記仮想計算機の起動処理時に実行されるプログラムの状態を示す値を書き込み、
    前記仮想ＴＰＭ用仮想計算機は、前記仮想ＴＰＭに対して書き込まれた前記値を前記ＴＰＭに書き込み、
    前記仮想計算機管理部は、前記ＴＰＭに書き込まれた値を含む前記第１の整合性報告を送信することを特徴とする計算機システム。
  8. プロセッサ、前記プロセッサに接続されるメモリ、前記プロセッサに接続されるネットワークインタフェースを有する複数の計算機を備える計算機システムにおける仮想計算機管理方法であって、
    前記計算機システムは、所定のアプリケーションを実行する仮想計算機に割り当てる計算機リソースを有する仮想計算機システム、及び前記仮想計算機に関する整合性を検証する検証システムを含み、
    前記仮想計算機システムは、
    前記仮想計算機に計算機リソースを提供する複数のサーバと、
    前記複数のサーバ上で稼働する前記仮想計算機を管理する管理計算機と、
    前記所定のアプリケーションを実行する仮想計算機を生成するためのイメージデータを格納するイメージデータ格納部と、を含み、
    前記検証システムは、
    前記仮想計算機の整合性を検証する検証サーバと、
    前記仮想計算機の整合性を検証するための情報を格納する検証用データ格納部と、を含み、
    前記仮想計算機システムは、
    前記イメージデータ、及び当該イメージデータに基づいて生成される前記仮想計算機の起動に要求されるセキュリティ強度が対応づけられたイメージデータ管理情報と、
    前記サーバ、及び前記サーバに設定されたセキュリティ強度が対応づけられたサーバ管理情報と、を保持し、
    前記方法は、
    前記管理計算機が、前記仮想計算機システムを利用するユーザから、所定のアプリケーションを実行する前記仮想計算機を生成するための対象イメージデータの識別情報を含むデプロイ要求を受け付ける第１のステップと、
    前記管理計算機が、前記イメージデータ管理情報及び前記サーバ管理情報に基づいて、前記対象イメージデータに対応づけられた前記セキュリティ強度以上の前記セキュリティ強度が設定された前記サーバを検索する第２のステップと、
    前記管理計算機が、前記検索されたサーバに前記対象イメージデータのデプロイを指示する第３のステップと、
    前記デプロイの指示を受信したサーバが、前記対象イメージデータを用いて前記仮想計算機を生成し、前記生成された仮想計算機の起動時に取得され、前記仮想計算機に関する整合性の検証に用いられる第１の整合性報告を前記検証サーバに対して送信する第４のステップと
    前記デプロイの指示を受信したサーバが、前記検証サーバから送信される前記第１の整合性報告に対する検証処理の結果を受信する第５のステップと、
    前記デプロイの指示を受信したサーバが、前記受信した第１の整合性報告に対する検証処理の結果を前記管理計算機に送信する第６のステップと、
    前記管理計算機が、前記受信した第１の整合性報告に対する検証処理の結果に基づいて、前記対象イメージデータのデプロイ結果を前記ユーザに対して出力する第７のステップと、を含むことを特徴とする仮想計算機管理方法。
  9. 請求項８に記載の仮想計算機管理方法であって、
    前記計算機システムは、前記イメージデータ格納部に格納する前記イメージデータを配布するアプリケーション提供システムを含み、
    前記アプリケーション提供システムは、
    前記イメージデータによって生成される仮想計算機上で実行されるアプリケーションの整合性を検証し、また、前記アプリケーションの利用状態を監視する認証サーバと、
    前記アプリケーションの利用状況を示す情報を格納するライセンスデータ格納部と、を含み、
    前記第４のステップは、
    前記デプロイの指示を受信したサーバが、前記第１の整合性報告を前記認証サーバに送信する第８のステップと、
    前記認証サーバが、前記受信した第１の整合性報告を前記検証サーバに転送する第９のステップと、
    前記認証サーバが、前記受信した第１の整合性報告、及び前記検証サーバから受信した前記第１の整合性報告に対する検証処理の結果に基づいて、前記ライセンスデータ格納部に格納される情報を更新する第１０のステップと、
    前記認証サーバが、前記受信した第１の整合性報告に対する検証処理の結果を前記デプロイの指示を受信したサーバに転送する第１１のステップと、を含むことを特徴とする仮想計算機管理方法。
  10. 請求項９に記載の仮想計算機管理方法であって、
    前記アプリケーション提供システムは、秘密鍵及び公開鍵を保持し、
    前記公開鍵と対応づけられた前記イメージデータが前記イメージデータ格納部に登録され、
    前記第８のステップは、
    前記デプロイの指示を受信したサーバが、前記公開鍵を用いて前記第１の整合性報告を暗号化するステップと、
    前記デプロイの指示を受信したサーバが、前記暗号化された第１の整合性報告を前記検証サーバに送信するステップと、を含み、
    前記第９のステップは、
    前記認証サーバが、前記秘密鍵を用いて前記暗号化された第１の整合性報告を復号化できるか否かを判定するステップと、
    前記認証サーバが、前記秘密鍵を用いて前記暗号化された第１の整合性報告を復号化できると判定された場合、前記復号化された第１の整合性報告を前記検証サーバに転送するステップと、を含むことを特徴とする仮想計算機管理方法。
  11. 請求項９に記載の仮想計算機管理方法であって、
    前記イメージデータは、前記アプリケーションを実行する実行用仮想計算機を生成するための第１のイメージデータ、及び前記実行用仮想計算機上で実行される前記アプリケーションの整合性を検証するための通信を行う認証用仮想計算機を生成する第２のイメージデータを含み、
    前記イメージデータ格納部には、一つ以上の前記第１のイメージデータ、及び一つ以上の前記第２のイメージデータを含むソフトウェアが格納され、
    前記第１のステップでは、前記ソフトウェアの識別情報を含む前記デプロイ要求を受け付け、
    前記第２のステップは、
    前記管理計算機が、前記ユーザから指定された前記ソフトウェアに含まれる前記第１のイメージデータに対応づけられた前記セキュリティ強度以上の前記セキュリティ強度が設定された第１のサーバを検索するステップと、
    前記管理計算機が、前記ユーザから指定された前記ソフトウェアに含まれる前記第２のイメージデータに対応づけられた前記セキュリティ強度以上の前記セキュリティ強度が設定された第２のサーバを検索するステップと、を含み、
    前記第３のステップは、
    前記管理計算機が、前記検索された第１のサーバに、前記ユーザから指定されたソフトウェアに含まれる第１のイメージデータのデプロイを指示するステップと、
    前記管理計算機が、前記検索された第２のサーバに、前記ユーザから指定されたソフトウェアに含まれる第２のイメージデータのデプロイを指示するステップと、を含み、
    前記方法は、
    前記第１のイメージデータによって生成された前記実行用仮想計算機が、第１の期間毎に、前記アプリケーションの実行状態を示す情報を含む第２の整合性報告を前記第２のイメージデータによって生成された前記認証用仮想計算機に送信するステップと、
    前記第２のイメージデータによって生成された前記認証用仮想計算機が、前記第１の期間より長い第２の期間毎に、複数の前記第２の整合性報告を含む第３の整合性報告を前記認証サーバに送信するステップと、
    前記第２のイメージデータによって生成された前記認証用仮想計算機が、前記認証サーバから受信した前記第３の整合性報告に対する検証処理の結果に基づいて、前記第２の整合性報告の応答を送信するステップと、を含むことを特徴とする仮想計算機管理方法。
  12. 請求項９に記載の仮想計算機管理方法であって、
    前記イメージデータ管理情報は、さらに、前記イメージデータを用いて生成される前記仮想計算機に必要な計算機リソースに関する情報が対応づけられ、
    前記複数のサーバは、ＴＰＭを備える第３のサーバを含み、
    前記第２のステップは、
    前記対象イメージデータに対応づけられたセキュリティ強度が前記ＴＰＭを用いた前記仮想計算機の起動処理が必要であることを示す値である場合に、前記サーバ管理情報を参照して、前記第３のサーバを検索するステップと、
    前記第３のサーバにおける割当可能な計算機リソース量を算出するステップと、
    前記イメージデータ管理情報及び前記算出された割当可能な計算機リソース量に基づいて、前記検索された第３のサーバ上に前記対象イメージデータを用いて前記仮想計算機が生成可能であるか否かを判定するステップと、
    前記検索された第３のサーバ上に前記対象イメージデータを用いて前記仮想計算機が生成可能であると判定された場合、前記対象イメージデータを用いて前記仮想計算機を生成するためのデプロイ情報を出力するステップと、を含むことを特徴とする仮想計算機管理方法。
  13. 請求項１２に記載の仮想計算機管理方法であって、
    前記第４のステップは、
    前記第３のサーバが、前記ＴＰＭをエミュレーションするための仮想ＴＰＭ用仮想計算機を生成する第１２のステップと、
    前記仮想ＴＰＭ用仮想計算機が、前記対象イメージデータを用いて生成される仮想計算機に割り当てる仮想ＴＰＭを生成する第１３のステップと、
    前記第３のサーバが、前記対象イメージデータ、前記生成された仮想ＴＰＭ、及び前記検索された第３のサーバの計算機リソースに基づいて、前記仮想計算機を生成する第１４のステップと、
    前記生成された仮想計算機が、前記第１の整合性報告に対する検証処理の結果に基づいて、前記所定のアプリケーションの実行を開始する第１５のステップと、を含むことを特徴とする仮想計算機管理方法。
  14. 請求項１３に記載の仮想計算機管理方法であって、
    前記第１４のステップは、
    前記検索された第３のサーバが、前記仮想ＴＰＭに、前記イメージデータを用いた前記仮想計算機の起動処理時に実行されるプログラムの状態を示す値を書き込むステップと、
    前記仮想ＴＰＭ用仮想計算機が、前記仮想ＴＰＭに対して書き込まれた前記値を前記ＴＰＭに書き込むステップと、を含み、
    前記第８のステップでは、前記ＴＰＭに書き込まれた値を含む前記第１の整合性報告が送信されることを特徴とする仮想計算機管理方法。
JP2013025050A 2013-02-13 2013-02-13 計算機システム、及び仮想計算機管理方法 Expired - Fee Related JP5945512B2 (ja)

Priority Applications (2)

Application Number Priority Date Filing Date Title
JP2013025050A JP5945512B2 (ja) 2013-02-13 2013-02-13 計算機システム、及び仮想計算機管理方法
US14/178,895 US9288155B2 (en) 2013-02-13 2014-02-12 Computer system and virtual computer management method

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
JP2013025050A JP5945512B2 (ja) 2013-02-13 2013-02-13 計算機システム、及び仮想計算機管理方法

Publications (2)

Publication Number Publication Date
JP2014154050A JP2014154050A (ja) 2014-08-25
JP5945512B2 true JP5945512B2 (ja) 2016-07-05

Family

ID=51298445

Family Applications (1)

Application Number Title Priority Date Filing Date
JP2013025050A Expired - Fee Related JP5945512B2 (ja) 2013-02-13 2013-02-13 計算機システム、及び仮想計算機管理方法

Country Status (2)

Country Link
US (1) US9288155B2 (ja)
JP (1) JP5945512B2 (ja)

Families Citing this family (43)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US9367339B2 (en) * 2013-07-01 2016-06-14 Amazon Technologies, Inc. Cryptographically attested resources for hosting virtual machines
US9756074B2 (en) * 2013-12-26 2017-09-05 Fireeye, Inc. System and method for IPS and VM-based detection of suspicious objects
US9705920B1 (en) * 2014-01-17 2017-07-11 Amazon Technologies, Inc. Identifying data usage via active data
US10389709B2 (en) * 2014-02-24 2019-08-20 Amazon Technologies, Inc. Securing client-specified credentials at cryptographically attested resources
JP2015184718A (ja) * 2014-03-20 2015-10-22 富士通株式会社 起動管理装置、起動管理方法、及び、起動管理プログラム
US10542049B2 (en) 2014-05-09 2020-01-21 Nutanix, Inc. Mechanism for providing external access to a secured networked virtualization environment
US9961059B2 (en) 2014-07-10 2018-05-01 Red Hat Israel, Ltd. Authenticator plugin interface
US10289814B2 (en) 2014-12-23 2019-05-14 Intel Corporation Licensing in the cloud
US10505742B2 (en) 2015-02-03 2019-12-10 Nec Corporation Virtual network system, control apparatus, control method, and control program
US9542201B2 (en) 2015-02-25 2017-01-10 Quanta Computer, Inc. Network bios management
US10642753B1 (en) 2015-06-30 2020-05-05 Fireeye, Inc. System and method for protecting a software component running in virtual machine using a virtualization layer
US10726127B1 (en) 2015-06-30 2020-07-28 Fireeye, Inc. System and method for protecting a software component running in a virtual machine through virtual interrupts by the virtualization layer
US10395029B1 (en) 2015-06-30 2019-08-27 Fireeye, Inc. Virtual system and method with threat protection
US11113086B1 (en) 2015-06-30 2021-09-07 Fireeye, Inc. Virtual system and method for securing external network connectivity
US10216927B1 (en) 2015-06-30 2019-02-26 Fireeye, Inc. System and method for protecting memory pages associated with a process using a virtualization layer
US10033759B1 (en) 2015-09-28 2018-07-24 Fireeye, Inc. System and method of threat detection under hypervisor control
US9940470B2 (en) * 2015-10-06 2018-04-10 Symantec Corporation Techniques for generating a virtual private container
US9792143B1 (en) * 2015-10-23 2017-10-17 Amazon Technologies, Inc. Platform secure execution modes
US10809998B2 (en) 2016-02-12 2020-10-20 Nutanix, Inc. Virtualized file server splitting and merging
JP6736927B2 (ja) * 2016-03-23 2020-08-05 日本電気株式会社 配備装置、配備方法および配備プログラム
US10133867B1 (en) 2016-03-29 2018-11-20 Amazon Technologies, Inc. Trusted malware scanning
WO2017192116A1 (en) * 2016-05-02 2017-11-09 Hewlett-Packard Development Company, L.P. Authentication using sequence of images
CN106022137B (zh) * 2016-05-10 2018-11-13 北京新云东方系统科技有限责任公司 由tpcm控制power平台可信的实现方法及系统
US11218418B2 (en) 2016-05-20 2022-01-04 Nutanix, Inc. Scalable leadership election in a multi-processing computing environment
US11562034B2 (en) 2016-12-02 2023-01-24 Nutanix, Inc. Transparent referrals for distributed file servers
US11568073B2 (en) 2016-12-02 2023-01-31 Nutanix, Inc. Handling permissions for virtualized file servers
US10728090B2 (en) 2016-12-02 2020-07-28 Nutanix, Inc. Configuring network segmentation for a virtualization environment
US10824455B2 (en) 2016-12-02 2020-11-03 Nutanix, Inc. Virtualized server systems and methods including load balancing for virtualized file servers
US11294777B2 (en) 2016-12-05 2022-04-05 Nutanix, Inc. Disaster recovery for distributed file servers, including metadata fixers
US11288239B2 (en) 2016-12-06 2022-03-29 Nutanix, Inc. Cloning virtualized file servers
US11281484B2 (en) 2016-12-06 2022-03-22 Nutanix, Inc. Virtualized server systems and methods including scaling of file system virtual machines
JP6984138B2 (ja) * 2017-02-20 2021-12-17 日本電気株式会社 サーバ装置、サーバ制御方法、プログラム、サーバシステム
CN106790303B (zh) * 2017-03-23 2019-07-23 西安电子科技大学 云存储中借助第三方完成的数据完整性验证方法
US10783235B1 (en) * 2017-05-04 2020-09-22 Amazon Technologies, Inc. Secure remote access of computing resources
US10684894B2 (en) * 2017-11-10 2020-06-16 Amazon Technologies, Inc. Capacity management in provider networks using dynamic host device instance model reconfigurations
EP3751437A4 (en) * 2018-02-07 2021-06-09 Sony Corporation INFORMATION PROCESSING DEVICE, INFORMATION PROCESSING METHOD AND PROGRAM
US11086826B2 (en) 2018-04-30 2021-08-10 Nutanix, Inc. Virtualized server systems and methods including domain joining techniques
US11194680B2 (en) 2018-07-20 2021-12-07 Nutanix, Inc. Two node clusters recovery on a failure
US11770447B2 (en) 2018-10-31 2023-09-26 Nutanix, Inc. Managing high-availability file servers
US11768809B2 (en) 2020-05-08 2023-09-26 Nutanix, Inc. Managing incremental snapshots for fast leader node bring-up
US20220308907A1 (en) * 2021-03-26 2022-09-29 Red Hat, Inc. Injection and execution of workloads into virtual machines
JP2023003835A (ja) * 2021-06-24 2023-01-17 株式会社日立製作所 ストレージシステム、接続優先度決定方法、及び接続優先度決定プログラム
US11924336B1 (en) * 2021-06-25 2024-03-05 Amazon Technologies, Inc. Cryptographic artifact generation using virtualized security modules

Family Cites Families (25)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US9450966B2 (en) * 2004-11-29 2016-09-20 Kip Sign P1 Lp Method and apparatus for lifecycle integrity verification of virtual machines
US8549592B2 (en) * 2005-07-12 2013-10-01 International Business Machines Corporation Establishing virtual endorsement credentials for dynamically generated endorsement keys in a trusted computing platform
US7814495B1 (en) * 2006-03-31 2010-10-12 V Mware, Inc. On-line replacement and changing of virtualization software
US20090204964A1 (en) 2007-10-12 2009-08-13 Foley Peter F Distributed trusted virtualization platform
US8819675B2 (en) 2007-11-28 2014-08-26 Hitachi, Ltd. Virtual machine monitor and multiprocessor system
JP5210730B2 (ja) 2007-11-28 2013-06-12 株式会社日立製作所 仮想マシンモニタ及びマルチプロセッサシステム
US20110040812A1 (en) 2007-12-20 2011-02-17 Virtual Computer, Inc. Layered Virtual File System
US20090164994A1 (en) 2007-12-20 2009-06-25 Virtual Computer, Inc. Virtual computing management systems and methods
US8276208B2 (en) * 2007-12-31 2012-09-25 Intel Corporation Security-level enforcement in virtual-machine fail-over
US20110061046A1 (en) 2008-12-18 2011-03-10 Virtual Computer, Inc. Installing Software Applications in a Layered Virtual Workspace
US20100175108A1 (en) * 2009-01-02 2010-07-08 Andre Protas Method and system for securing virtual machines by restricting access in connection with a vulnerability audit
EP2389626A4 (en) * 2009-01-23 2012-12-05 Hewlett Packard Development Co VERIFICATION OF VIRTUAL MACHINERY
JP2010218517A (ja) * 2009-03-19 2010-09-30 Hitachi Information Systems Ltd 仮想環境におけるソフトウェアライセンス管理システム及び同ライセンス管理方法
US9703586B2 (en) 2010-02-17 2017-07-11 Microsoft Technology Licensing, Llc Distribution control and tracking mechanism of virtual machine appliances
US20110202765A1 (en) 2010-02-17 2011-08-18 Microsoft Corporation Securely move virtual machines between host servers
JP5552343B2 (ja) * 2010-03-16 2014-07-16 株式会社日本総合研究所 管理装置、管理方法およびプログラム
US8856504B2 (en) * 2010-06-07 2014-10-07 Cisco Technology, Inc. Secure virtual machine bootstrap in untrusted cloud infrastructures
JP5555903B2 (ja) 2010-09-27 2014-07-23 株式会社日立製作所 Ｉ／ｏアダプタ制御方法、計算機及び仮想計算機生成方法
US20120151209A1 (en) * 2010-12-09 2012-06-14 Bae Systems National Security Solutions Inc. Multilevel security server framework
WO2012081114A1 (ja) * 2010-12-16 2012-06-21 株式会社日立製作所 仮想計算機管理方法、計算機システム及び計算機
US8601583B1 (en) * 2011-04-14 2013-12-03 Trend Micro Incorporated Certification of virtual machine images in cloud computing environments
US9619262B2 (en) * 2011-05-31 2017-04-11 Micro Focus Software Inc. Techniques for security auditing of cloud resources
US20120311575A1 (en) * 2011-06-02 2012-12-06 Fujitsu Limited System and method for enforcing policies for virtual machines
US20130097296A1 (en) * 2011-10-18 2013-04-18 Telefonaktiebolaget L M Ericsson (Publ) Secure cloud-based virtual machine migration
US9185114B2 (en) * 2012-12-05 2015-11-10 Symantec Corporation Methods and systems for secure storage segmentation based on security context in a virtual environment

Also Published As

Publication number Publication date
JP2014154050A (ja) 2014-08-25
US20140230024A1 (en) 2014-08-14
US9288155B2 (en) 2016-03-15

Similar Documents

Publication Publication Date Title
JP5945512B2 (ja) 計算機システム、及び仮想計算機管理方法
Buhren et al. Insecure until proven updated: analyzing AMD SEV's remote attestation
JP6100834B2 (ja) マルチ・テナント・クラウドにおける顧客仮想計算機の保護
McCune et al. Flicker: An execution infrastructure for TCB minimization
Butt et al. Self-service cloud computing
KR100930218B1 (ko) 소프트웨어 기반 보안 코프로세서를 제공하는 방법, 장치및 처리 시스템
US8171295B2 (en) Information processing apparatus, a server apparatus, a method of an information processing apparatus, a method of a server apparatus, and an apparatus executable process
US8856544B2 (en) System and method for providing secure virtual machines
EP3028210B1 (en) Secure server in a system with virtual machines
Krautheim et al. Introducing the trusted virtual environment module: a new mechanism for rooting trust in cloud computing
Bertholon et al. Certicloud: a novel tpm-based approach to ensure cloud iaas security
Chen et al. {cTPM}: A cloud {TPM} for {Cross-Device} trusted applications
US20110289294A1 (en) Information processing apparatus
US20110246778A1 (en) Providing security mechanisms for virtual machine images
US20070094719A1 (en) Method and apparatus for migrating virtual trusted platform modules
Khan et al. Design and deployment of a trusted eucalyptus cloud
Stumpf et al. An approach to a trustworthy system architecture using virtualization
Schear et al. Bootstrapping and maintaining trust in the cloud
Pandey et al. An approach for virtual machine image security
Sun et al. Pileus: Protecting user resources from vulnerable cloud services
Aslam et al. Securely launching virtual machines on trustworthy platforms in a public cloud
Brasser et al. Trusted container extensions for container-based confidential computing
US20220222100A1 (en) Integrity protection of container image disks using secure hardware-based attestation in a virtualized and clustered computer system
Toegl et al. acTvSM: A dynamic virtualization platform for enforcement of application integrity
US11893410B2 (en) Secure storage of workload attestation reports in a virtualized and clustered computer system

Legal Events

Date Code Title Description
A621 Written request for application examination

Free format text: JAPANESE INTERMEDIATE CODE: A621

Effective date: 20150908

A977 Report on retrieval

Free format text: JAPANESE INTERMEDIATE CODE: A971007

Effective date: 20160427

TRDD Decision of grant or rejection written
A01 Written decision to grant a patent or to grant a registration (utility model)

Free format text: JAPANESE INTERMEDIATE CODE: A01

Effective date: 20160524

A61 First payment of annual fees (during grant procedure)

Free format text: JAPANESE INTERMEDIATE CODE: A61

Effective date: 20160530

R150 Certificate of patent or registration of utility model

Ref document number: 5945512

Country of ref document: JP

Free format text: JAPANESE INTERMEDIATE CODE: R150

LAPS Cancellation because of no payment of annual fees