JP6479814B2 - 仮想ネットワークにおけるアイデンティティ及びアクセス管理ベースのアクセス制御 - Google Patents
仮想ネットワークにおけるアイデンティティ及びアクセス管理ベースのアクセス制御 Download PDFInfo
- Publication number
- JP6479814B2 JP6479814B2 JP2016538551A JP2016538551A JP6479814B2 JP 6479814 B2 JP6479814 B2 JP 6479814B2 JP 2016538551 A JP2016538551 A JP 2016538551A JP 2016538551 A JP2016538551 A JP 2016538551A JP 6479814 B2 JP6479814 B2 JP 6479814B2
- Authority
- JP
- Japan
- Prior art keywords
- network
- resource
- target
- policy
- principal
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Active
Links
- 238000000034 method Methods 0.000 claims description 123
- 238000005538 encapsulation Methods 0.000 claims description 102
- 230000008569 process Effects 0.000 claims description 64
- 238000011156 evaluation Methods 0.000 claims description 48
- 238000013475 authorization Methods 0.000 claims description 43
- 230000009471 action Effects 0.000 claims description 30
- 238000004891 communication Methods 0.000 claims description 23
- 230000005540 biological transmission Effects 0.000 claims description 14
- 230000004044 response Effects 0.000 claims description 11
- 238000013507 mapping Methods 0.000 description 46
- 238000005516 engineering process Methods 0.000 description 36
- 238000007726 management method Methods 0.000 description 19
- 230000005641 tunneling Effects 0.000 description 10
- 238000010586 diagram Methods 0.000 description 7
- 230000006855 networking Effects 0.000 description 7
- 230000000694 effects Effects 0.000 description 5
- 230000006870 function Effects 0.000 description 5
- 230000002093 peripheral effect Effects 0.000 description 4
- 238000013519 translation Methods 0.000 description 4
- 239000008186 active pharmaceutical agent Substances 0.000 description 3
- 239000003795 chemical substances by application Substances 0.000 description 3
- 238000013500 data storage Methods 0.000 description 3
- 239000000835 fiber Substances 0.000 description 3
- 238000012986 modification Methods 0.000 description 3
- 230000004048 modification Effects 0.000 description 3
- 230000003068 static effect Effects 0.000 description 3
- 239000002775 capsule Substances 0.000 description 2
- 230000007246 mechanism Effects 0.000 description 2
- 230000003287 optical effect Effects 0.000 description 2
- 230000008901 benefit Effects 0.000 description 1
- 238000006243 chemical reaction Methods 0.000 description 1
- 238000010276 construction Methods 0.000 description 1
- 238000001514 detection method Methods 0.000 description 1
- 239000000284 extract Substances 0.000 description 1
- 238000002955 isolation Methods 0.000 description 1
- 238000013508 migration Methods 0.000 description 1
- 230000005012 migration Effects 0.000 description 1
- 238000012544 monitoring process Methods 0.000 description 1
- 230000008520 organization Effects 0.000 description 1
- 231100000572 poisoning Toxicity 0.000 description 1
- 230000000607 poisoning effect Effects 0.000 description 1
- 238000010561 standard procedure Methods 0.000 description 1
- 230000001360 synchronised effect Effects 0.000 description 1
- 230000026676 system process Effects 0.000 description 1
- 238000012546 transfer Methods 0.000 description 1
Images
Classifications
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L45/00—Routing or path finding of packets in data switching networks
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
- H04L41/08—Configuration management of networks or network elements
- H04L41/0893—Assignment of logical groups to network elements
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
- H04L41/08—Configuration management of networks or network elements
- H04L41/0894—Policy-based network configuration management
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L45/00—Routing or path finding of packets in data switching networks
- H04L45/76—Routing in software-defined topologies, e.g. routing between virtual machines
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L47/00—Traffic control in data switching networks
- H04L47/70—Admission control; Resource allocation
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/20—Network architectures or network communication protocols for network security for managing network security; network security policies in general
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F9/00—Arrangements for program control, e.g. control units
- G06F9/06—Arrangements for program control, e.g. control units using stored programs, i.e. using an internal store of processing equipment to receive or retain programs
- G06F9/44—Arrangements for executing specific programs
- G06F9/455—Emulation; Interpretation; Software simulation, e.g. virtualisation or emulation of application or operating system execution engines
- G06F9/45533—Hypervisors; Virtual machine monitors
- G06F9/45558—Hypervisor-specific management and integration aspects
- G06F2009/45595—Network integration; Enabling network access in virtual machine instances
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L12/00—Data switching networks
- H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
- H04L12/46—Interconnection of networks
- H04L12/4633—Interconnection of networks using encapsulation techniques, e.g. tunneling
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
- H04L41/08—Configuration management of networks or network elements
- H04L41/0895—Configuration of virtualised networks or elements, e.g. virtualised network function or OpenFlow elements
Landscapes
- Engineering & Computer Science (AREA)
- Computer Networks & Wireless Communication (AREA)
- Signal Processing (AREA)
- Computer Security & Cryptography (AREA)
- Computer Hardware Design (AREA)
- Computing Systems (AREA)
- General Engineering & Computer Science (AREA)
- Data Exchanges In Wide-Area Networks (AREA)
Description
(アクセス制御サービス)
<namespace>:<owner>:<resource type>:<resource name>
( <namespace>は、プロバイダネットワーク300におけるこのリソースインスタンスに提供されたサービスを識別することができる。例えば、本明細書に記述するVMまたはリソースインスタンス314においては、サービスは、図11に示すようなサービス1120などのハードウェア仮想化サービスであってもよい。
( <owner>は、このリソースインスタンスを所有する顧客またはサービスプロバイダのクライアントを識別することができる。
( <resource type>は、サービスによって提供され得る(すなわち、ネームスペース内の)種々のタイプのリソースを他のリソースから区別するのに使用できる。
( <resource name>は、例えば、この特定のリソースについての顧客またはクライアントによって指定された英数字の文字列であってもよい。いくつかの実施形態では、リソース名は、パスであってもよい。リソース名は、ネームベースのリソース識別子の他の要素によって定義されたスペース内においてユニークであるはずである。
( そのポリシが関連するエンティティ(例えば、プリンシパル)またはリソース。例えば、ポリシ400は、クライアントによって定義されたロール、クライアントの特定の名前を付けられたリソースインスタンス、サブネット、グループ、または特定のユーザもしくはアカウントに関連付けることができる。一般に、ポリシは、アイデンティティ及びアクセス管理環境内の、並びに/または他のリソース(複数可)へのアクセス制御を施行できるネットワークにおける任意のプリンシパルまたはリソースに関連付けることができる。
( (ポリシ400Aにおける認可の<resource(s)>フィールド、及びポリシ400Bにおける認可の<principal(s)>フィールドにおいて指定されるような)ポリシ内のステートメント(複数可)が適用されるプリンシパル(複数可)またはリソース(複数可)。例えば、ポリシ内の特定のステートメントは、指定されたプリンシパル、リソースインスタンス、サブネット、ロール、グループ、アドレスレンジ、サービス、または通例、指定できる及びアクセス制御を施行できる、ネットワークにおける任意のエンティティもしくはリソースへの(特定のアクション(複数可)のための)アクセスを許可または拒否することができる。
( ポリシが評価されるエンティティ(複数可)。例えば、VMMまたは他のカプセル化層プロセスは、ポリシが関連する及びポリシによってアクセスを制御できるターゲット(例えば、別のリソースインスタンス)との通信を試みている、ロールを担った特定のリソースインスタンスの代わりに、ポリシ評価をリクエストすることができる。
<namespace>:<owner>:<resource type>:*
ここでは、アスタリスクは、このネームスペース/オーナ/リソースタイプのすべての名前を付けられたリソースが、この認可ステートメントによって保護されていることを示す。
(プロセスレベルアイデンティティ及びアクセス制御)
(カプセル化パケットへのアイデンティティ情報のタグ付け)
(ポリシ情報のキャッシング)
(実施例のプロバイダネットワーク環境)
(実例となるシステム)
(結論)
〔1〕
ネットワーク基板と、
プロバイダネットワークにおいてポリシを管理及び評価するように構成されたアクセス制御サービスを実施する一つ以上のコンピューティングデバイスと、
一つ以上のリソースインスタンスをその各々が実装する複数のホストデバイスと、を備えており、
ホストデバイスの一つ以上が、各々、
それぞれのホストデバイスにおいてリソースインスタンスからネットワークパケットを取得し、
アクセス制御サービスと通信して、サービスによって実行されるリソースインスタンスに関連するポリシの評価に従い、リソースインスタンスについての、ネットワークパケットによって示されるターゲットへの接続をオープンにすることを許可するか否かを決定し、
ポリシに従いネットワークパケットによって示されるターゲットへの接続をオープンにすることをリソースインスタンスが許可された場合には、一つ以上のネットワークパケットを、リソースインスタンスから、ネットワーク基板にわたるオーバーレイネットワークパスを通じてターゲットに送信し、
ポリシに従いネットワークパケットによって示されるターゲットへの接続をオープンにすることをリソースインスタンスが許可されなかった場合には、ネットワークパケットをターゲットに送信することなく、ネットワークパケットを廃棄するように構成された、プロバイダネットワーク。
〔2〕
ターゲットが、プロバイダネットワークにおける別のリソースインスタンス、または別のネットワークにおけるエンドポイントである、条項1に記載のプロバイダネットワーク。
〔3〕
リソースインスタンス及びターゲットが、共に、プロバイダネットワークにおける特定のクライアントのプライベートネットワーク実装内のリソースインスタンスである、条項1に記載のプロバイダネットワーク。
〔4〕
リソースインスタンスについての、ネットワークパケットによって示されるターゲットへの接続をオープンにすることを許可するか否かを決定するために、アクセス制御サービスが、さらに、ターゲットに関連するポリシを決定及び評価するように構成され、リソースインスタンスに関連するポリシ及びターゲットに関連するポリシの両方が接続を許可する場合に、リソースインスタンスについてのみ、ターゲットへの接続をオープンにすることを許可する、条項1に記載のプロバイダネットワーク。
〔5〕
リソースインスタンスが、ホストデバイスにおける仮想マシン(VM)として実装され、各ホストデバイスが、それぞれのホストデバイスにおける複数の仮想マシン(VM)をモニタする仮想マシンモニタ(VMM)を含み、ホストデバイスにおけるVMMが、前述の取得、前述のアクセス及び前述の送信を実行する、条項1に記載のプロバイダネットワーク。
〔6〕
リソースインスタンスに関連するポリシを評価するために、アクセス制御サービスが、
プロバイダネットワークにおける特定のクライアントのプライベートネットワーク実装におけるロールをリソースインスタンスが担ったことを決定し、
リソースインスタンスが担ったロールに関連するポリシを決定し、
ロールに関連するポリシを評価するように構成された、条項1に記載のプロバイダネットワーク。
〔7〕
一つ以上のネットワークパケットを、リソースインスタンスから、ネットワーク基板にわたるオーバーレイネットワークパスを通じてターゲットに送信するために、ホストデバイスが、
カプセル化プロトコルに従い一つ以上のネットワークパケットをカプセル化して、一つ以上のカプセル化パケットを生成し、
カプセル化パケットを、カプセル化パケットにおけるルーティング情報に従い、ターゲットに伝送されるようにネットワーク基板に送信するように構成された、条項1に記載のプロバイダネットワーク。
〔8〕
ネットワーク基板に実装されたオーバーレイネットワーク外部のエンドポイントと通信して、オーバーレイネットワークにおけるエンドポイントについてのアイデンティティを構築し、
アクセス制御サービスにアクセスして、ターゲットリソースインスタンスに関連するポリシの評価に従い、エンドポイントについての、オーバーレイネットワークを通じたターゲットリソースインスタンスへの接続をオープンにすることを許可することを決定し、
前述の決定に応答して、一つ以上のネットワークパケットを、エンドポイントから、ネットワーク基板にわたるオーバーレイネットワークパスを通じてターゲットリソースインスタンスに送信するように構成された一つ以上のネットワークデバイスをさらに備えた、条項1に記載のプロバイダネットワーク。
〔9〕
プロバイダネットワーク内のホストデバイスに実装されたカプセル化層プロセスによって、ホストデバイスに実装された一つ以上のリソースインスタンスのうちの一つから、ターゲットエンドポイントに導かれるネットワークパケットを取得することと、
プロバイダネットワークにおけるアイデンティティ及びアクセス管理環境に従い、リソースインスタンスをプリンシパルとして識別することを決定することと、
プリンシパルに関連するポリシの評価に従い、プリンシパルについての、ターゲットエンドポイントへの接続をオープンにすることを許可することを決定することと、
プリンシパルがターゲットエンドポイントへの接続をオープンにすることを許可されたことの前述の決定に応答して、
一つ以上のカプセル化パケットを生成するためのカプセル化プロトコルに従い、リソースインスタンスからの一つ以上のネットワークパケットをカプセル化し、ターゲットエンドポイントに導くことと、及び
一つ以上のカプセル化パケットを、カプセル化パケットにおけるルーティング情報に従い、ターゲットエンドポイントに伝送されるようにプロバイダネットワークのネットワーク基板に送信することと、を含む、方法。
〔10〕
ターゲットエンドポイントが、プロバイダネットワークにおける別のリソース、または別のネットワークにおけるエンドポイントである、条項9に記載の方法。
〔11〕
リソースインスタンス及びターゲットエンドポイントが、共に、プロバイダネットワークにおける特定のクライアントのプライベートネットワーク実装内のリソースインスタンスである、条項9に記載の方法。
〔12〕
プリンシパルに関連するポリシの認可ステートメントの評価に従う、プリンシパルについての、ターゲットエンドポイントへの接続をオープンにすることを許可することの前述の決定が、
カプセル化層プロセスがポリシ評価リクエストをプロバイダネットワークにおけるアクセス制御サービスに送信することと、
アクセス制御サービスによって、プリンシパルに関連するポリシを決定することと、
アクセス制御サービスによって、プリンシパルに関連するポリシにおける一つ以上の認可ステートメントを評価して、プリンシパルについての、ターゲットエンドポイントに関連するリソースへの接続をオープンにすることをポリシが許可することを決定することと、及び
プリンシパルについての、ターゲットエンドポイントへの接続をオープンにすることが許可されたことを、カプセル化層プロセスに示すことと、を含む、条項9に記載の方法。
〔13〕
アクセス制御サービスが、さらに、ターゲットエンドポイントに関連するリソースに関連するポリシの決定及び評価を実行し、プリンシパルに関連するポリシ及びリソースに関連するポリシの両方が接続を許可する場合に、プリンシパルについてのみ、リソースへの接続をオープンにすることを許可する、条項12に記載の方法。
〔14〕
プリンシパルに関連するポリシにおける各認可ステートメントが、認可を許可または拒否するかについての一つ以上のアクション、認可ステートメントが適用される一つ以上のリソース、及び示された一つ以上のアクションが示された一つ以上のリソースについて許可または拒否されるかを示す、条項12に記載の方法。
〔15〕
カプセル化層プロセスによって、アイデンティティ及びアクセス管理環境に従い、プリンシパルとして識別されたリソースインスタンスから、別のターゲットエンドポイントに導かれる他のネットワークパケットを取得することと、
プリンシパルに関連するポリシの評価に従い、プリンシパルについての、他のターゲットエンドポイントへの接続をオープンにすることを許可しないことを決定することと、及び
前述の決定に応答して、ネットワークパケットを他のターゲットエンドポイントに送信せずに、他のネットワークパケットを廃棄することと、をさらに含む、条項9に記載の方法。
〔16〕
プリンシパルに関連するポリシの評価に従う、プリンシパルについての、ターゲットエンドポイントへの接続をオープンにすることを許可することの前述の決定が、
プロバイダネットワークにおける特定のクライアントのプライベートネットワーク実装におけるロールをプリンシパルが担ったことを決定することと、ここで、プリンシパルに関連するポリシが、プリンシパルが担ったロールに関連するポリシであり、及び
ロールに関連するポリシを評価して、プリンシパルについての、ターゲットエンドポイントへの接続をオープンにすることを許可することを決定することと、を含む、条項9に記載の方法。
〔17〕
プロバイダネットワーク内のデバイスにおけるカプセル化層プロセスを実施するための、コンピュータ実行可能なプログラム命令を保存する非一時的なコンピュータアクセス可能なストレージ媒体であって、カプセル化層プロセスが、
ソースエンドポイントから、ターゲットエンドポイントに導かれるネットワークパケットを取得し、
ソースエンドポイントについてのリソース識別子、及びターゲットエンドポイントについてのリソース識別子を決定し、
ソースエンドポイントについてのリソース識別子に関連するポリシ、及びターゲットエンドポイントについてのリソース識別子に関連するポリシを決定し、
ソースエンドポイントについてのリソース識別子に関連するポリシ、及びターゲットエンドポイントについてのリソース識別子に関連するポリシのいずれかまたは両方の評価に従い、ソースエンドポイントについてのターゲットエンドポイントへの接続をオープンにすることを許可することを決定し、
ソースエンドポイントがターゲットエンドポイントへの接続をオープンにすることを許可されたことの前述の決定に応答して、
ソースエンドポイントからの一つ以上のネットワークパケットにタグ付けし、一つ以上のカプセル化パケットを生成するためのカプセル化プロトコルに従うカプセル化メタデータを用いてターゲットエンドポイントに導き、
カプセル化パケットにおけるカプセル化メタデータに従い、カプセル化パケットを、ターゲットエンドポイントに伝送されるようにプロバイダネットワークのネットワーク基板に送信するように構成された、非一時的なコンピュータアクセス可能なストレージ媒体。
〔18〕
ソースエンドポイントについてのリソース識別子に関連するポリシ、及びターゲットエンドポイントについてのリソース識別子に関連するポリシのいずれかまたは両方の評価に従い、ソースエンドポイントについてのターゲットエンドポイントへの接続をオープンにすることを許可することを決定するために、カプセル化層プロセスが、
ソースエンドポイントについてのリソース識別子に関連するポリシを評価して、ソースエンドポイントについての、ターゲットエンドポイントに関連するリソース識別子への接続をオープンにすることをポリシが許可することを決定し、
ターゲットエンドポイントについてのリソース識別子に関連するポリシを評価して、ターゲットエンドポイントについての、ソースエンドポイントに関連するリソース識別子からの接続をアクセプトすることをポリシが許可することを決定するように構成された、条項17に記載の非一時的なコンピュータアクセス可能なストレージ媒体。
〔19〕
カプセル化層プロセスが、さらに、一つ以上のカプセル化パケットの少なくとも一つにおけるメタデータとしてソースエンドポイントについてのアイデンティティ関連情報を含むように構成され、ソースエンドポイントについてのアイデンティティ関連情報が、ターゲットエンドポイントにおけるポリシに従い、ソースエンドポイントについてのアクセス決定を為すようにターゲットエンドポイントにおいて使用されるように構成された、条項17に記載の非一時的なコンピュータアクセス可能なストレージ媒体。
〔20〕
ソースエンドポイントが、プロバイダネットワーク外部に位置し、ターゲットエンドポイントが、プロバイダネットワークにおけるリソースインスタンスであり、ソースエンドポイントについてのリソース識別子を決定するために、カプセル化層プロセスが、ソースエンドポインと通信して、プロバイダネットワークにおけるソースエンドポイントについての安全なアイデンティティを構築するように構成された、条項17に記載の非一時的なコンピュータアクセス可能なストレージ媒体。
Claims (15)
- ネットワーク基板と、
プロバイダネットワークにおいてポリシを管理及び評価するように構成されたアクセス制御サービスを実施する一つ以上のコンピューティングデバイスと、
一つ以上のリソースインスタンスをその各々が実装する複数のホストデバイスと、を備えており、
前記ホストデバイスの一つ以上が、各々、
前記それぞれのホストデバイスにおいてリソースインスタンスからネットワークパケットを取得し、
前記アクセス制御サービスと通信して、前記リソースインスタンスに関連するポリシを決定し、前記アクセス制御サービスによって実行される前記リソースインスタンスに関連する前記ポリシの評価に従い、前記リソースインスタンスについての、前記ネットワークパケットによって示されるターゲットへの接続をオープンにすることを許可するか否かを決定し、
前記ポリシに従い前記ネットワークパケットによって示されるターゲットへの接続をオープンにすることを前記リソースインスタンスが許可された場合には、一つ以上のネットワークパケットを、前記リソースインスタンスから、前記ネットワーク基板にわたるオーバーレイネットワークパスを通じて前記ターゲットに送信し、
前記ポリシに従い前記ネットワークパケットによって示されるターゲットへの接続をオープンにすることを前記リソースインスタンスが許可されなかった場合には、前記ネットワークパケットを前記ターゲットに送信することなく、前記ネットワークパケットを廃棄するように構成された、プロバイダネットワーク。 - 前記ターゲットが、前記プロバイダネットワークにおける別のリソースインスタンス、または別のネットワークにおけるエンドポイントである、請求項1に記載のプロバイダネットワーク。
- 前記リソースインスタンス及び前記ターゲットが、共に、前記プロバイダネットワークにおける特定のクライアントのプライベートネットワーク実装内のリソースインスタンスである、請求項1に記載のプロバイダネットワーク。
- 前記リソースインスタンスについての、前記ネットワークパケットによって示されるターゲットへの接続をオープンにすることを許可するか否かを決定するために、前記アクセス制御サービスが、さらに、前記ターゲットに関連するポリシを決定及び評価するように構成され、前記リソースインスタンスに関連する前記ポリシ及び前記ターゲットに関連する前記ポリシの両方が前記接続を許可する場合に、前記リソースインスタンスについてのみ、前記ターゲットへの接続をオープンにすることを許可する、請求項1に記載のプロバイダネットワーク。
- 前記リソースインスタンスが、前記ホストデバイスにおける仮想マシン(VM)として実装され、各ホストデバイスが、前記それぞれのホストデバイスにおける複数の仮想マシン(VM)をモニタする仮想マシンモニタ(VMM)を含み、前記ホストデバイスにおける前記VMMが、前述の取得、前述のアクセス及び前述の送信を実行する、請求項1に記載のプロバイダネットワーク。
- 前記リソースインスタンスに関連する前記ポリシを評価するために、前記アクセス制御サービスが、
前記プロバイダネットワークにおける特定のクライアントのプライベートネットワーク実装におけるロールを前記リソースインスタンスが担ったことを決定し、
前記リソースインスタンスが担った前記ロールに関連するポリシを決定し、
前記ロールに関連する前記ポリシを評価するように構成された、請求項1に記載のプロバイダネットワーク。 - 前記一つ以上のネットワークパケットを、前記リソースインスタンスから、前記ネットワーク基板にわたるオーバーレイネットワークパスを通じて前記ターゲットに送信するために、前記ホストデバイスが、
カプセル化プロトコルに従い前記一つ以上のネットワークパケットをカプセル化して、一つ以上のカプセル化パケットを生成し、
前記カプセル化パケットを、前記カプセル化パケットにおけるルーティング情報に従い、前記ターゲットに伝送されるように前記ネットワーク基板に送信するように構成された、請求項1に記載のプロバイダネットワーク。 - 前記ネットワーク基板に実装されたオーバーレイネットワーク外部のエンドポイントと通信して、前記オーバーレイネットワークにおける前記エンドポイントについてのアイデンティティを構築し、
前記アクセス制御サービスにアクセスして、ターゲットリソースインスタンスに関連するポリシの評価に従い、前記エンドポイントについての、前記オーバーレイネットワークを通じた前記ターゲットリソースインスタンスへの接続をオープンにすることを許可することを決定し、
前述の決定に応答して、一つ以上のネットワークパケットを、前記エンドポイントから、前記ネットワーク基板にわたるオーバーレイネットワークパスを通じて前記ターゲットリソースインスタンスに送信するように構成された一つ以上のネットワークデバイスをさらに備えた、請求項1に記載のプロバイダネットワーク。 - プロバイダネットワーク内のホストデバイスに実装されたカプセル化層プロセスによって、前記ホストデバイスに実装された一つ以上のリソースインスタンスのうちの一つから、ターゲットエンドポイントに導かれるネットワークパケットを取得することと、
前記プロバイダネットワークにおけるアイデンティティ及びアクセス管理環境に従い、前記リソースインスタンスをプリンシパルとして識別することを決定することと、
前記プリンシパルに関連するポリシを決定し、前記ポリシの評価に従い、前記プリンシパルについての、前記ターゲットエンドポイントへの接続をオープンにすることを許可することを決定することと、
前記プリンシパルが前記ターゲットエンドポイントへの接続をオープンにすることを許可されたことの前述の決定に応答して、
一つ以上のカプセル化パケットを生成するためのカプセル化プロトコルに従い、前記リソースインスタンスからの一つ以上のネットワークパケットをカプセル化し、前記ターゲットエンドポイントに導くことと、及び
前記一つ以上のカプセル化パケットを、前記カプセル化パケットにおけるルーティング情報に従い、前記ターゲットエンドポイントに伝送されるように前記プロバイダネットワークのネットワーク基板に送信することと、を含む、方法。 - 前記リソースインスタンス及び前記ターゲットエンドポイントが、共に、前記プロバイダネットワークにおける特定のクライアントのプライベートネットワーク実装内のリソースインスタンスである、請求項9に記載の方法。
- 前記プリンシパルに関連するポリシの認可ステートメントの評価に従う、前記プリンシパルについての、前記ターゲットエンドポイントへの接続をオープンにすることを許可することの前述の決定が、
前記カプセル化層プロセスがポリシ評価リクエストを前記プロバイダネットワークにおけるアクセス制御サービスに送信することと、
前記アクセス制御サービスによって、前記プリンシパルに関連する前記ポリシを決定することと、
前記アクセス制御サービスによって、前記プリンシパルに関連する前記ポリシにおける一つ以上の認可ステートメントを評価して、前記プリンシパルについての、前記ターゲットエンドポイントに関連するリソースへの接続をオープンにすることを前記ポリシが許可することを決定することと、及び
前記プリンシパルについての、前記ターゲットエンドポイントへの接続をオープンにすることが許可されたことを、前記カプセル化層プロセスに示すことと、を含む、請求項9に記載の方法。 - 前記アクセス制御サービスが、さらに、前記ターゲットエンドポイントに関連する前記リソースに関連するポリシの決定及び評価を実行し、前記プリンシパルに関連する前記ポリシ及び前記リソースに関連する前記ポリシの両方が前記接続を許可する場合に、前記プリンシパルについてのみ、前記リソースへの接続をオープンにすることを許可する、請求項11に記載の方法。
- 前記プリンシパルに関連する前記ポリシにおける各認可ステートメントが、認可を許可または拒否するかについての一つ以上のアクション、前記認可ステートメントが適用される一つ以上のリソース、及び前記示された一つ以上のアクションが前記示された一つ以上のリソースについて許可または拒否されるかを示す、請求項11に記載の方法。
- 前記カプセル化層プロセスによって、前記アイデンティティ及びアクセス管理環境に従い、前記プリンシパルとして識別されたリソースインスタンスから、別のターゲットエンドポイントに導かれる前記他のネットワークパケットを取得することと、
前記プリンシパルに関連するポリシの評価に従い、前記プリンシパルについての、前記他のターゲットエンドポイントへの接続をオープンにすることを許可しないことを決定することと、及び
前述の決定に応答して、前記ネットワークパケットを前記他のターゲットエンドポイントに送信せずに、前記他のネットワークパケットを廃棄することと、をさらに含む、請求項9に記載の方法。 - 前記プリンシパルに関連するポリシの評価に従う、前記プリンシパルについての、前記ターゲットエンドポイントへの接続をオープンにすることを許可することの前述の決定が、
前記プロバイダネットワークにおける特定のクライアントのプライベートネットワーク実装におけるロールを前記プリンシパルが担ったことを決定することと、ここで、前記プリンシパルに関連する前記ポリシが、前記プリンシパルが担った前記ロールに関連するポリシであり、及び
前記ロールに関連する前記ポリシを評価して、前記プリンシパルについての、前記ターゲットエンドポイントへの接続をオープンにすることを許可することを決定することと、を含む、請求項9に記載の方法。
Applications Claiming Priority (3)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
US14/103,628 | 2013-12-11 | ||
US14/103,628 US9438506B2 (en) | 2013-12-11 | 2013-12-11 | Identity and access management-based access control in virtual networks |
PCT/US2014/069825 WO2015089319A1 (en) | 2013-12-11 | 2014-12-11 | Identity and access management-based access control in virtual networks |
Related Child Applications (1)
Application Number | Title | Priority Date | Filing Date |
---|---|---|---|
JP2018046536A Division JP2018093547A (ja) | 2013-12-11 | 2018-03-14 | 仮想ネットワークにおけるアイデンティティ及びアクセス管理ベースのアクセス制御 |
Publications (2)
Publication Number | Publication Date |
---|---|
JP2016540446A JP2016540446A (ja) | 2016-12-22 |
JP6479814B2 true JP6479814B2 (ja) | 2019-03-06 |
Family
ID=53272301
Family Applications (2)
Application Number | Title | Priority Date | Filing Date |
---|---|---|---|
JP2016538551A Active JP6479814B2 (ja) | 2013-12-11 | 2014-12-11 | 仮想ネットワークにおけるアイデンティティ及びアクセス管理ベースのアクセス制御 |
JP2018046536A Withdrawn JP2018093547A (ja) | 2013-12-11 | 2018-03-14 | 仮想ネットワークにおけるアイデンティティ及びアクセス管理ベースのアクセス制御 |
Family Applications After (1)
Application Number | Title | Priority Date | Filing Date |
---|---|---|---|
JP2018046536A Withdrawn JP2018093547A (ja) | 2013-12-11 | 2018-03-14 | 仮想ネットワークにおけるアイデンティティ及びアクセス管理ベースのアクセス制御 |
Country Status (6)
Country | Link |
---|---|
US (1) | US9438506B2 (ja) |
EP (1) | EP3080707B1 (ja) |
JP (2) | JP6479814B2 (ja) |
CN (1) | CN105814554B (ja) |
CA (1) | CA2933056C (ja) |
WO (1) | WO2015089319A1 (ja) |
Families Citing this family (60)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
CA2463228C (en) | 2003-04-04 | 2012-06-26 | Evertz Microsystems Ltd. | Apparatus, systems and methods for packet based transmission of multiple data signals |
US10057167B2 (en) * | 2014-04-09 | 2018-08-21 | Tallac Networks, Inc. | Identifying end-stations on private networks |
US9712542B1 (en) * | 2014-06-27 | 2017-07-18 | Amazon Technologies, Inc. | Permissions decisions in a service provider environment |
US9832118B1 (en) | 2014-11-14 | 2017-11-28 | Amazon Technologies, Inc. | Linking resource instances to virtual networks in provider network environments |
US9928095B2 (en) * | 2015-04-24 | 2018-03-27 | International Business Machines Corporation | Preventing interoperability conflicts in a shared computing environment |
US10523646B2 (en) | 2015-08-24 | 2019-12-31 | Virtru Corporation | Methods and systems for distributing encrypted cryptographic data |
US9860214B2 (en) * | 2015-09-10 | 2018-01-02 | International Business Machines Corporation | Interconnecting external networks with overlay networks in a shared computing environment |
US10110483B2 (en) * | 2016-03-18 | 2018-10-23 | Cisco Technology, Inc. | Method and apparatus for creation of global network overlay with global parameters defining an end-to-end network |
US10873540B2 (en) * | 2016-07-06 | 2020-12-22 | Cisco Technology, Inc. | Crowd-sourced cloud computing resource validation |
US10389628B2 (en) * | 2016-09-02 | 2019-08-20 | Oracle International Corporation | Exposing a subset of hosts on an overlay network to components external to the overlay network without exposing another subset of hosts on the overlay network |
US11463400B2 (en) | 2016-11-04 | 2022-10-04 | Security Services, Llc | Resolving domain name system (DNS) requests via proxy mechanisms |
US10560431B1 (en) | 2016-12-05 | 2020-02-11 | Amazon Technologies, Inc. | Virtual private gateway for encrypted communication over dedicated physical link |
US11470119B2 (en) * | 2016-12-19 | 2022-10-11 | Nicira, Inc. | Native tag-based configuration for workloads in a virtual computing environment |
CN110249642B (zh) * | 2017-01-13 | 2022-02-25 | 京东方科技集团股份有限公司 | 操作实例资源的方法和装置 |
US10931744B1 (en) * | 2017-01-19 | 2021-02-23 | Tigera, Inc. | Policy controlled service routing |
US10171344B1 (en) * | 2017-02-02 | 2019-01-01 | Cisco Technology, Inc. | Isolation of endpoints within an endpoint group |
US11582244B2 (en) | 2017-03-23 | 2023-02-14 | International Business Machines Corporation | Access control of administrative operations within an application |
US10819749B2 (en) | 2017-04-21 | 2020-10-27 | Netskope, Inc. | Reducing error in security enforcement by a network security system (NSS) |
US10491584B2 (en) * | 2017-05-22 | 2019-11-26 | General Electric Company | Role-based resource access control |
US10958623B2 (en) * | 2017-05-26 | 2021-03-23 | Futurewei Technologies, Inc. | Identity and metadata based firewalls in identity enabled networks |
US10834113B2 (en) | 2017-07-25 | 2020-11-10 | Netskope, Inc. | Compact logging of network traffic events |
US11595372B1 (en) * | 2017-08-28 | 2023-02-28 | Amazon Technologies, Inc. | Data source driven expected network policy control |
KR101858715B1 (ko) * | 2017-11-10 | 2018-05-16 | 베스핀글로벌 주식회사 | 서비스자원 관리시스템 및 그 방법 |
US10715458B1 (en) * | 2017-12-08 | 2020-07-14 | Amazon Technologies, Inc. | Organization level identity management |
US11017107B2 (en) | 2018-03-06 | 2021-05-25 | Amazon Technologies, Inc. | Pre-deployment security analyzer service for virtual computing resources |
CN110324248B (zh) * | 2018-03-30 | 2021-07-30 | 中移(苏州)软件技术有限公司 | 一种裸金属服务器路由更新方法、装置、电子设备及介质 |
US10911406B2 (en) * | 2018-04-30 | 2021-02-02 | Microsoft Technology Licensing, Llc | Accessing cloud resources using private network addresses |
US10999326B1 (en) * | 2018-05-30 | 2021-05-04 | Tigera, Inc. | Fine grained network security |
US11252155B2 (en) * | 2018-07-26 | 2022-02-15 | Comcast Cable Communications, Llc | Systems and methods for on-network device identification |
US10680945B1 (en) * | 2018-09-27 | 2020-06-09 | Amazon Technologies, Inc. | Extending overlay networks to edge routers of a substrate network |
EP3864795A4 (en) * | 2018-10-10 | 2022-05-11 | Alibaba Group Holding Limited | AUTHENTICATION AND AUTHORIZATION FOR A CLOUD FILE SYSTEM |
US10826874B2 (en) * | 2018-11-29 | 2020-11-03 | Mastercard International Incorporated | Direct production network access using private networks and encapsulation |
US10999197B2 (en) * | 2018-11-30 | 2021-05-04 | Cisco Technology, Inc. | End-to-end identity-aware routing across multiple administrative domains |
US11570244B2 (en) * | 2018-12-11 | 2023-01-31 | Amazon Technologies, Inc. | Mirroring network traffic of virtual networks at a service provider network |
US11087179B2 (en) | 2018-12-19 | 2021-08-10 | Netskope, Inc. | Multi-label classification of text documents |
US10841209B2 (en) | 2018-12-21 | 2020-11-17 | Cisco Technology, Inc. | Method, node, and medium for establishing connection between a source and endpoint via one or more border nodes |
US11531777B2 (en) * | 2019-01-30 | 2022-12-20 | Virtru Corporation | Methods and systems for restricting data access based on properties of at least one of a process and a machine executing the process |
US10868887B2 (en) * | 2019-02-08 | 2020-12-15 | Palantir Technologies Inc. | Systems and methods for isolating applications associated with multiple tenants within a computing platform |
US11677785B2 (en) * | 2019-02-12 | 2023-06-13 | Sap Portals Israel Ltd. | Security policy as a service |
US11201800B2 (en) * | 2019-04-03 | 2021-12-14 | Cisco Technology, Inc. | On-path dynamic policy enforcement and endpoint-aware policy enforcement for endpoints |
US11463477B2 (en) * | 2019-05-22 | 2022-10-04 | Hewlett Packard Enterprise Development Lp | Policy management system to provide authorization information via distributed data store |
CN112019475B (zh) * | 2019-05-28 | 2021-12-21 | 阿里巴巴集团控股有限公司 | 无服务器架构下的资源访问方法、设备、系统及存储介质 |
EP3987397A1 (en) * | 2019-06-28 | 2022-04-27 | Amazon Technologies Inc. | Provider network connectivity management for provider network substrate extensions |
US11405381B2 (en) | 2019-07-02 | 2022-08-02 | Hewlett Packard Enterprise Development Lp | Tag-based access permissions for cloud computing resources |
US11580239B2 (en) * | 2019-10-22 | 2023-02-14 | Microsoft Technology Licensing, Llc | Controlling access to cloud resources in data using cloud-enabled data tagging and a dynamic access control policy engine |
US11856022B2 (en) | 2020-01-27 | 2023-12-26 | Netskope, Inc. | Metadata-based detection and prevention of phishing attacks |
US11360799B2 (en) | 2020-04-28 | 2022-06-14 | International Business Machines Corporation | Virtual machine live migration with seamless network connectivity |
US11394661B2 (en) * | 2020-09-23 | 2022-07-19 | Amazon Technologies, Inc. | Compositional reasoning techniques for role reachability analyses in identity systems |
US11442770B2 (en) * | 2020-10-13 | 2022-09-13 | BedRock Systems, Inc. | Formally verified trusted computing base with active security and policy enforcement |
US11757886B2 (en) | 2020-12-10 | 2023-09-12 | Amazon Technologies, Inc. | Analysis of role reachability using policy complements |
US12034727B2 (en) * | 2020-12-10 | 2024-07-09 | Amazon Technologies, Inc. | Analysis of role reachability with transitive tags |
WO2022125760A1 (en) * | 2020-12-10 | 2022-06-16 | Amazon Technologies, Inc. | Analysis of role reachability with transitive tags |
US11601399B2 (en) | 2021-01-20 | 2023-03-07 | Bank Of America Corporation | System and method for detecting forbidden network accesses based on zone connectivity mapping |
US11323357B1 (en) * | 2021-03-31 | 2022-05-03 | Arista Networks, Inc. | Accessing varying route attribute states during routing policy application on network devices |
US11799785B2 (en) | 2021-04-09 | 2023-10-24 | Microsoft Technology Licensing, Llc | Hardware-based packet flow processing |
US11757782B2 (en) * | 2021-04-09 | 2023-09-12 | Microsoft Technology Licensing, Llc | Architectures for disaggregating SDN from the host |
US11588740B2 (en) | 2021-04-09 | 2023-02-21 | Microsoft Technology Licensing, Llc | Scaling host policy via distribution |
CN114679290B (zh) * | 2021-05-20 | 2023-03-24 | 腾讯云计算(北京)有限责任公司 | 一种网络安全管理方法及电子设备 |
US20230069306A1 (en) * | 2021-08-25 | 2023-03-02 | Hewlett Packard Enterprise Development Lp | Policy enforcement on multi-destination packets in a distributed tunnel fabric |
CN114422573B (zh) * | 2022-01-14 | 2023-08-15 | 杭州华橙软件技术有限公司 | 报文发送方法及装置、存储介质及电子装置 |
Family Cites Families (18)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
US6335927B1 (en) | 1996-11-18 | 2002-01-01 | Mci Communications Corporation | System and method for providing requested quality of service in a hybrid network |
US6092196A (en) | 1997-11-25 | 2000-07-18 | Nortel Networks Limited | HTTP distributed remote user authentication system |
US6460141B1 (en) | 1998-10-28 | 2002-10-01 | Rsa Security Inc. | Security and access management system for web-enabled and non-web-enabled applications and content on a computer network |
US7124101B1 (en) | 1999-11-22 | 2006-10-17 | Accenture Llp | Asset tracking in a network-based supply chain environment |
US6986061B1 (en) | 2000-11-20 | 2006-01-10 | International Business Machines Corporation | Integrated system for network layer security and fine-grained identity-based access control |
WO2002057917A2 (en) | 2001-01-22 | 2002-07-25 | Sun Microsystems, Inc. | Peer-to-peer network computing platform |
US7400640B2 (en) | 2002-05-03 | 2008-07-15 | Conexant, Inc. | Partitioned medium access control implementation |
US20050273668A1 (en) | 2004-05-20 | 2005-12-08 | Richard Manning | Dynamic and distributed managed edge computing (MEC) framework |
US7716180B2 (en) * | 2005-12-29 | 2010-05-11 | Amazon Technologies, Inc. | Distributed storage system with web services client interface |
US8447829B1 (en) | 2006-02-10 | 2013-05-21 | Amazon Technologies, Inc. | System and method for controlling access to web services resources |
US8091119B2 (en) * | 2007-08-22 | 2012-01-03 | Novell, Inc. | Identity based network mapping |
JP5239369B2 (ja) * | 2008-02-07 | 2013-07-17 | 富士通株式会社 | 接続管理システム、接続管理サーバ、接続管理方法及びプログラム |
US8619779B2 (en) | 2009-09-30 | 2013-12-31 | Alcatel Lucent | Scalable architecture for enterprise extension in a cloud topology |
US20110110377A1 (en) | 2009-11-06 | 2011-05-12 | Microsoft Corporation | Employing Overlays for Securing Connections Across Networks |
US8938782B2 (en) * | 2010-03-15 | 2015-01-20 | Symantec Corporation | Systems and methods for providing network access control in virtual environments |
US8374183B2 (en) * | 2010-06-22 | 2013-02-12 | Microsoft Corporation | Distributed virtual network gateways |
US20120099591A1 (en) | 2010-10-26 | 2012-04-26 | Dell Products, Lp | System and Method for Scalable Flow Aware Network Architecture for Openflow Based Network Virtualization |
WO2013145780A1 (en) | 2012-03-30 | 2013-10-03 | Nec Corporation | Communication system, control apparatus, communication apparatus, communication control method, and program |
-
2013
- 2013-12-11 US US14/103,628 patent/US9438506B2/en active Active
-
2014
- 2014-12-11 WO PCT/US2014/069825 patent/WO2015089319A1/en active Application Filing
- 2014-12-11 CN CN201480067508.1A patent/CN105814554B/zh active Active
- 2014-12-11 JP JP2016538551A patent/JP6479814B2/ja active Active
- 2014-12-11 EP EP14869705.5A patent/EP3080707B1/en active Active
- 2014-12-11 CA CA2933056A patent/CA2933056C/en active Active
-
2018
- 2018-03-14 JP JP2018046536A patent/JP2018093547A/ja not_active Withdrawn
Also Published As
Publication number | Publication date |
---|---|
CN105814554A (zh) | 2016-07-27 |
JP2016540446A (ja) | 2016-12-22 |
EP3080707B1 (en) | 2020-03-18 |
CA2933056A1 (en) | 2015-06-18 |
CA2933056C (en) | 2018-11-13 |
CN105814554B (zh) | 2019-11-15 |
JP2018093547A (ja) | 2018-06-14 |
US9438506B2 (en) | 2016-09-06 |
WO2015089319A1 (en) | 2015-06-18 |
EP3080707A4 (en) | 2017-08-23 |
EP3080707A1 (en) | 2016-10-19 |
US20150163158A1 (en) | 2015-06-11 |
Similar Documents
Publication | Publication Date | Title |
---|---|---|
JP6479814B2 (ja) | 仮想ネットワークにおけるアイデンティティ及びアクセス管理ベースのアクセス制御 | |
US11089021B2 (en) | Private network layering in provider network environments | |
EP3646175B1 (en) | Virtual private network service endpoints | |
US11563681B2 (en) | Managing communications using alternative packet addressing | |
US7760729B2 (en) | Policy based network address translation | |
CN113014468B (zh) | 用于隔离虚拟网络的私有别名端点 | |
US11770364B2 (en) | Private network peering in virtual network environments | |
US9825822B1 (en) | Group networking in an overlay network | |
US11269673B2 (en) | Client-defined rules in provider network environments | |
EP3788755B1 (en) | Accessing cloud resources using private network addresses | |
WO2018098042A1 (en) | Virtual network verification service | |
US10862796B1 (en) | Flow policies for virtual networks in provider network environments | |
US9426069B2 (en) | System and method of cross-connection traffic routing | |
US10862709B1 (en) | Conditional flow policy rules for packet flows in provider network environments |
Legal Events
Date | Code | Title | Description |
---|---|---|---|
A621 | Written request for application examination |
Free format text: JAPANESE INTERMEDIATE CODE: A621 Effective date: 20160610 |
|
A977 | Report on retrieval |
Free format text: JAPANESE INTERMEDIATE CODE: A971007 Effective date: 20170421 |
|
A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20170523 |
|
A02 | Decision of refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A02 Effective date: 20171114 |
|
A521 | Request for written amendment filed |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20180314 |
|
A911 | Transfer to examiner for re-examination before appeal (zenchi) |
Free format text: JAPANESE INTERMEDIATE CODE: A911 Effective date: 20180322 |
|
A912 | Re-examination (zenchi) completed and case transferred to appeal board |
Free format text: JAPANESE INTERMEDIATE CODE: A912 Effective date: 20180413 |
|
A61 | First payment of annual fees (during grant procedure) |
Free format text: JAPANESE INTERMEDIATE CODE: A61 Effective date: 20190206 |
|
R150 | Certificate of patent or registration of utility model |
Ref document number: 6479814 Country of ref document: JP Free format text: JAPANESE INTERMEDIATE CODE: R150 |
|
R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |