JP6712213B2 - クラウド環境における保証されたログ管理のためのアプリケーション・セルフサービス - Google Patents

Description

この開示は、一般に、アプリケーションを「クラウド」コンピューティング環境に展開することに関する。

クラウド・コンピューティングは、オンデマンドで、共有リソース、ソフトウェア及び情報がインターネット上でコンピュータ及びその他のデバイスに提供される、新興の情報技術（ＩＴ）配信モデルである。クラウド・コンピューティングは、ワークロードの最適化及びサービス配信を改善すると同時に、ＩＴ費用及び複雑さを著しく低減することができる。この手法により、ＨＴＴＰによって従来のウェブブラウザを通じてアクセス可能なインターネット・ベースのリソースから、アプリケーション・インスタンスをホストして、利用可能にすることができる。例示的なアプリケーションは、メッセージング機能の共通セットを提供するもの、例えば、電子メール、カレンダー、予定管理、及びインスタントメッセージングとすることができる。その場合、ユーザはインターネット上でサービスに直接アクセスする。このサービスを用いて、企業は、その電子メール、カレンダー及び／又は共同インフラストラクチャをクラウド内に置き、エンドユーザは、適切なクライアントを用いて自分の電子メールにアクセスし、又はカレンダー操作を行う。

クラウド・コンピュート・リソースは、典型的には大規模なサーバ・ファーム内に収容され、このサーバ・ファームは、１つ又は複数のネットワーク・アプリケーションを典型的には仮想化アーキテクチャを用いて実行し、ここでアプリケーションは、データセンタ・ファシリティ内の物理サーバ上にマッピングされる仮想サーバ、又はいわゆる「仮想マシン」（ＶＭ）の内部で実行される。仮想マシンは、典型的には、物理リソースを仮想マシンに割り当てる制御プログラムであるハイパーバイザの上で実行される。

ビジネスは、種々の政府規則に対するコンプライアンスを示すために情報を提供しなければならない場合がしばしばある。これらの規則としては、例えば、サーベンス・オクスリー（Ｓａｒｂａｎｅｓ−Ｏｘｌｅｙ）（ＳＯＸ）法、医療保険の携行性と責任に関する法律（ＨＩＰＡＡ）などが挙げられる。しばしば、これら及び他の規則に対するコンプライアンスは、情報技術（ＩＴ）組織により維持される監査ログに含まれる情報を用いて示すことができる。コンプライアンス上の理由で、これらの監査ログは、数年にわたって維持される場合が多い。監査ログは、情報技術がアカウンタビリティ、及び脆弱性、及び／又はリスク分析を制御することの執行及び有効性をチェックするのに有用である。情報技術組織はまた、セキュリティ関連の重大なアクティビティの監査を用いて、起こり得るセキュリティ・インシデントなどの、法科学的調査を助けることができる。セキュリティ・インシデントが起こったとき、監査ログは、セキュリティ・インシデントが起こる以前に起きたアクティビティの履歴の分析を可能にする。これらのアクティビティは、誰が、何を、いつ、どこで、どうしたか、を含む。監査ログの分析により、適切な是正アクションを取ることができる。監査ログは、典型的にはリレーショナル・データベース内で利用できるようにされ、運用及びトレンド・レポートを生成するための報告プログラム又はソフトウェアによる簡単な情報のクエリが可能になる。

コンプライアンスは、セキュリティポリシーが施行されることを保証する能力を保証すものとみなすことができる一方で、コンプライアンスはまた、他の型式のポリシー、例えばサービスレベル合意（例えば、監査ログ上のタイムスタンプを用いて、サービスレベル合意（ＳＬＡ）全体が満たされていることを保証する）、立法上のコンプライアンス（例えば、プライバシー関連情報の制御又はリリースに対する）、又はポリシー管理それ自体（例えば、誰がいつどのようにポリシーを変更したか、そしてそれがコンプライアンス・ポリシー管理についてのポリシーに従っているか）にも適用することができる。

セキュリティ・インテリジェンス及び監査能力は、ログ・リソースの集中化された収集及び管理を必要とする。ログ収集のための多くの選択肢が利用可能であるが、仮想化環境ではソフトウェア環境が急速に変化するので、集中型管理は、より困難になる。より重要なことに、ログ毎にポリシーを実時間で適用することは、監査及びセキュリティ・インテリジェンスにとって重要であるにもかかわらず、可能ではない場合がある。

ログ管理の多くの分野に先行技術が存在する。クラウドベース・プラットフォームは、ログの自動記録を可能にする。また、マシン上にインストールされたアプリケーションに基づくログの自動発見のためのソフトウェアも利用可能である。集中型ポリシー管理ソリューションもまた利用可能である。しかしながら、これらの選択肢は、仮想化アプリケーションゾーン環境において、ログの収集及び処理の要件が両方ともコンテキスト特有でありかつ動的であるので、不十分である。

Ｐｅｔｅｒ Ｍｅｌｌ及びＴｉｍ Ｇｒａｎｃｅ、「Ｄｒａｆｔ ＮＩＳＴ Ｗｏｒｋｉｎｇ Ｄｅｆｉｎｉｔｉｏｎ ｏｆ Ｃｌｏｕｄ Ｃｏｍｐｕｔｉｎｇ」、２００９年１０月７日

本開示によれば、クラウド環境内でログが管理されることを可能にするために、好ましくはアプリケーション・コンテキスト及び展開トポロジに基づいて、ログ自動記録を集中化ポリシーに統合したログ管理機構が提供される。

実施形態において、ログ管理サービスは、クラウド上に展開された任意のアプリケーションのための自動化ログ管理を提供する。アプリケーションについてのロギング要件を定義するセキュリティ（又は「監査ログ」）プロファイルが、アプリケーションに関連付けられる。展開中に、展開アプライアンスは、サービスにクエリして、典型的にはアプリケーション・コンテキスト及び展開トポロジを提供する。ログ管理サービスは、供給されたアプリケーション・コンテキスト及び展開トポロジを、セキュリティ・プロファイル内の定義されたログ要件と対照して参照し、これに応答して、ログファイル、レジデンシ（residency）及び寿命（longevity）要件の適用可能な組を決定する。ログ管理サービスは次に、必要なログ収集リソース及び要件を識別／指定し、要求している展開プロセス（又は他の何らかのエンティティ）に、必要に応じて１つ又は複数のログソース及びイベントコレクタを構成するように命令する。ログデータはログソースにより生成されるので、ログは、展開されたアプリケーションに対して指定されたログ管理サービス・プロバイダに送られ、ログ管理サービス・プロバイダは、特定の監査要件を処理する。

上記で、開示された主題のより関連のある特徴のうちの幾つかを概説した。これらの特徴は、単なる例証と解釈されたい。開示される主題を異なる方式で適用することにより、又は説明されるように本発明を修正することにより、他の多くの有益な結果を得ることができる。

本発明及びその利点のより完全な理解のために、以下の説明を添付図面に関連して参照する。

例証的な実施形態の例示的な態様を実装することができる分散型データ処理環境の例示的なブロック図を示す。 例証的な実施形態の例示的な態様を実装することができるデータ処理システムの例示的なブロック図である。 開示された主題を実装することができる例示的なクラウド・コンピューティング・アーキテクチャを示す。 １つ又は複数のクラウドベース・オファリングの展開を促進するためにネットワークベース・アプライアンスを用いることができる例示的な動作環境を示す。 ネットワークベース・アプライアンスの代表的な機能的コンポーネントを示す。 本開示のセキュリティ保証サービスの基本的な動作コンポーネントのブロック図を示す。 本開示によりログ管理サービスが供給されるクラウド動作環境を示す。 本開示のアプリケーション・ゾーン・ログ・マネージャが実装される例示的なデータセンタを示す。

ここで図面を参照し、特に図１〜図２を参照して、本開示の例証的な実施形態を実装することができるデータ処理環境の例示的な図が提供される。図１〜図２は単なる例示であり、開示される主題の態様又は実施形態を実装することができる環境に関してのいかなる限定も主張又は含意することを意図しないことを認識されたい。本発明の思想及び範囲から逸脱することなく、図示した環境に対する多くの修正を行うことができる。

クライアント・サーバ技術
ここで図面を参照すると、図１は、例証的な実施形態の態様を実装することができる例示的な分散型データ処理システムの図形表示を示す。分散型データ処理システム１００は、例証的な実施形態の態様を実装することができるコンピュータのネットワークを含むことができる。分散型データ処理システム１００は、少なくとも１つのネットワーク１０２を含み、これは、分散型データ処理システム１００内で互いに接続された種々のデバイス及びコンピュータ間に通信リンクを設けるために用いられる媒体である。ネットワーク１０２は、電線、無線通信リンク、又は光ファイバケーブルなどの接続を含むことができる。

図示された例において、サーバ１０４及びサーバ１０がストレージユニット１０８と共にネットワーク１０２に接続される。さらに、クライアント１１０、１１２及び１１４もまた、ネットワーク１０２に接続される。これらのクライアント１１０、１１２及び１１４は、例えば、パーソナルコンピュータ、ネットワークコンピュータなど、とすることができる。図示した例において、サーバ１０４は、ブートファイル、オペレーティング・システム、及びアプリケーションなどのデータをクライアント１１０、１１２及び１１４に提供する。クライアント１１０、１１２及び１１４は、図示した例においてサーバ１０４に対するクライアントである。分散型処理システム１００は、図示されていない付加的なサーバ、クライアント、及び他のデバイスを含むことができる。

図示された例において、分散型データ処理システム１００は、転送制御プロトコル／インターネットプロトコル（ＴＣＰ／ＩＰ）のプロトコルのスートを用いて互いに通信する世界的なネットワーク及びゲートウェイの集まりを表すネットワーク１０２を有する、インターネットである。インターネットの中心には、データ及びメッセージを経路指定する数千もの商用、政府用、教育用及びその他のコンピュータ・システムから成る主要ノート又はホストコンピュータ間の高速データ通信ラインのバックボーンがある。もちろん、分散型データ処理システム１００は、多数の異なる型式のネットワーク、例えば、イントラネット、ローカル・エリア・ネットワーク（ＬＡＮ）、広域ネットワーク（ＷＡＮ）等、を含んで実装することもできる。上述のように、図１は、開示される主題の様々な実施形態のためのアーキテクチャ上の限定としてではなく、例示として意図されており、従って、図１に示される特定の要素を本発明の例証的な実施形態を実装することができる環境に関する限定とみなすべきではない。

ここで図２を参照すると、例証的な実施形態の態様を実装することができる例示的なデータ処理システムのブロック図が示される。データ処理システム２００は、図１のクライアント１１０のようなコンピュータの例であり、その中に本開示の例証的な実施形態のためのプロセスを実装するコンピュータ使用可能コード又は命令を配置することができる。

ここで図２を参照すると、例証的な実施形態を実装することができるデータ処理システムのブロック図が示されている。データ処理システム２００は、図１のサーバ１０４又はクライアント１１０のようなコンピュータの例であり、その中に例証的な実施形態のためにプロセスを実装するコンピュータ使用可能プログラムコード又は命令を配置することができる。この例証的な実施形態において、データ処理システム２００は、通信ファブリック２０２を含み、これは、プロセッサユニット２０４、メモリ２０６、永続的ストレージ２０８、通信ユニット２１０、入力／出力（Ｉ／Ｏ）ユニット２１２、及びディスプレイ２１４間の通信を提供する。

プロセッサユニット２０４は、メモリ２０６内にロードされることができるソフトウェアのための命令を実行する役割を果たす。プロセッサユニット２０４は、具体的な実装に応じて、１つ又は複数のプロセッサの組とすることもでき、又は多重プロセッサコアとすることもできる。さらに、プロセッサユニット２０４は、単一チップ上に主プロセッサが二次プロセッサと共に存在する１つ又は複数の異種プロセッサシステムを用いて実装することができる。別の例証的な例として、プロセッサユニット２０４は、同じ型式の多数のプロセッサを含む対称型マルチプロセッサ（ＳＭＰ）システムとすることができる。

メモリ２０６及び永続的ストレージ２０８は、ストレージデバイスの例である。ストレージデバイスは、一時的及び／又は永続的いずれかの方式で情報を格納することが可能な任意のハードウェア部品である。メモリ２０６は、これらの例において、例えば、ランダム・アクセス・メモリ又は他のいずれかの適切な揮発性若しくは不揮発性ストレージデバイスとすることができる。永続的ストレージ２０８は、具体的な実装に応じて、種々の形態をとることができる。例えば、永続的ストレージ２０８は、１つ又は複数のコンポーネント又はデバイスを含むことができる。例えば、永続的ストレージ２０８は、ハードドライブ、フラッシュメモリ、書換え可能な光ディスク、書換え可能な磁気テープ、又は上記の何らかの組合せとすることができる。永続的ストレージ２０８により使用される媒体は、取外し可能なものとすることもできる。例えば、取外し可能なハードドライブを永続的ストレージ２０８のために用いることができる。

通信ユニット２１０は、これらの例においては、他のデータ処理システム又はデバイスとの通信を規定する。これらの例において、通信ユニット２１０は、ネットワーク・インタフェース・カードである。通信ユニット２１０は、物理通信リンク又は無線通信リンクのいずれか又は両方の使用を通じて、通信を提供することができる。

入力／出力ユニット２１２は、データ処理システム２００に接続することができる他のデバイスによるデータの入力及び出力を可能にする。例えば、入力／出力ユニット２１２は、キーボード及びマウスを通じたユーザ入力のための接続部を提供することができる。さらに、入力／出力ユニット２１２は、プリンタに出力を送ることができる。ディスプレイ２１４は、ユーザに対して情報を表示する機構を提供する。

オペレーティング・システム及びアプリケーション又はプログラムに対する命令は、永続的ストレージ２０８上に置かれる。これらの命令は、プロセッサユニット２０４による実行のためにメモリ２０６内にロードすることができる。メモリ２０６などのメモリ内に置くことができるコンピュータ実装命令を用いて、異なる実施形態のプロセスをプロセッサユニット２０４により行うことができる。これらの命令は、プログラムコード、コンピュータ使用可能プログラムコード、又はコンピュータ可読プログラムコードと呼ぶことができ、これらをプロセッサユニット２０４内のプロセッサにより読み出して実行することができる。異なる実施形態におけるプログラムコードは、異なる物理的又は有形コンピュータ可読媒体、例えばメモリ２０６又は永続的ストレージ２０８の上で具体化することができる。

プログラムコード２１６は、選択的に取出し可能なコンピュータ可読媒体２１８上に機能的形態で置かれており、プロセッサユニット２０４による実行のためにデータ処理システム２００上にロードされ又は転送されることができる。プログラムコード２１６及びコンピュータ可読媒体２１８は、これらの実施形態において、コンピュータ・プログラム製品２２０を形成する。１つの例において、コンピュータ可読媒体２１８は、例えば光ディスク又は磁気ディスクなどのような有形形態とすることができ、これは、永続的ストレージ２０８の一部であるハードドライブなどのストレージデバイス上への転送のために、永続的ストレージ２０８の一部であるドライブ又は他のデバイス内に挿入され又は配置される。有形形態において、コンピュータ可読媒体２１８はまた、データ処理システム２００に接続される、ハードドライブ、サムドライブ、又はフラッシュメモリなどの永続的ストレージの形態をとることができる。コンピュータ可読媒体２１８の有形形態は、コンピュータ記録可能ストレージ媒体とも呼ばれる。幾つかの事例において、コンピュータ記録可能媒体２１８は、取外し可能ではない場合がある。

あるいは、プログラムコード２１６は、コンピュータ可読媒体２１８から通信ユニット２１０への通信リンクを通って、及び／又は入力／出力ユニット２１２を通ってデータ処理システム２００に転送されることができる。通信リンク及び／又は接続は、図示された例において物理的又は無線とすることができる。コンピュータ可読媒体はまた、プログラムコードを含む通信リンク又は無線伝送などの、非有形媒体の形態をとることもできる。データ処理システム２００に関して図示された様々なコンポーネントは、様々な実施形態を実装することができる方式に対するアーキテクチャ上の制限を与えることを意図したものではない。データ処理システム２００に関して示されたものに加えて又はその代わりにコンポーネントを含むデータ処理システムにおいて、様々な例証的な実施形態を実装することができる。図２にされる他のコンポーネントを図示した例証的な例から変更することができる。一例として、データ処理システム２００内のストレージデバイスは、データを格納することができる任意のハードウェア装置である。メモリ２０６、永続的ストレージ２０８、及びコンピュータ可読媒体２１８は、有形形態のストレージデバイスの例である。

別の例において、バスシステムは、通信ファブリック２０２を実装するために用いられ、１つ又は複数のバス、例えばシステムバス又は入力／出力バスから構成されることができる。もちろん、バスシステムは、バスシステムに取り付けられた様々なコンポーネント又はデバイス間のデータの転送を規定する、任意の適切な型式のアーキテクチャを用いて実装することができる。さらに、通信ユニットは、データを送受信するために用いられる、モデム又はネットワークアダプタなどの１つ又は複数のデバイスを含むことができる。さらに、メモリは、メモリ２０６、又は、通信ファブリック２０２内に存在し得るインタフェース及びメモリ・コントローラ・ハブ内に見いだされるようなキャッシュとすることができる。

本発明の動作を実行するためのコンピュータ・プログラムコードは、Ｊａｖａ（商標）、Ｓｍａｌｌｔａｌｋ、Ｃ＋＋、Ｃ＃、オブジェクトＣなどのオブジェクト指向プログラミング言語、及び従来の手続き型プログラミング言語を含む１つ又は複数のプログラミング言語の任意の組合せで記述することができる。プログラムコードは、完全にユーザのコンピュータ上で実行される場合もあり、一部がユーザのコンピュータ上で、独立型ソフトウェア・パッケージとして実行される場合もあり、一部がユーザのコンピュータ上で実行され、一部が遠隔コンピュータ上で実行される場合もあり、又は完全に遠隔コンピュータ若しくはサーバ上で実行される場合もある。後者のシナリオにおいては、遠隔コンピュータは、ローカル・エリア・ネットワーク（ＬＡＮ）若しくは広域ネットワーク（ＷＡＮ）を含むいずれかのタイプのネットワークを通じてユーザのコンピュータに接続される場合もあり、又は外部コンピュータへの接続が為される場合もある（例えば、インターネット・サービス・プロバイダを用いてインターネットを通じて）。

当業者は、図１〜図２内のハードウェアが実装に応じて多様にされ得ることを認識するであろう。他の内部ハードウェア又は周辺デバイス、例えばフラッシュメモリ、同等の不揮発性メモリ、又は光ディスクドライブなどを図１〜図２に示されるハードウェアに加えて又はその代わりに用いることができる。また、開示される主題の思想及び範囲から逸脱することなく、図示された実施形態のプロセスを前述のＳＭＰシステム以外のマルチプロセッサデータ処理システムに適用することもできる。

見て分かるように、本明細書で説明する技術は、図１に示すような標準的なクライアント−サーバ・パラダイム内で共に動作することができ、ここでクライアントマシンは、１つ又は複数のマシンの組上で実行するインターネット・アクセス可能なウェブベース・ポータルと通信する。エンドユーザは、該ポータルとアクセスして対話することが可能なインターネット接続可能デバイス（例えば、デスクトップコンピュータ、ノートブックコンピュータ、インターネット使用可能な移動体デバイスなど）を操作する。典型的には、各クライアント又はサーバマシンは、ハードウェア及びソフトウェア含む図２に示すようなデータ処理システムであり、これらのエンティティは、インターネット、イントラネット、エクストラネット、プライベート・ネットワーク、又は他のいずれかの通信媒体若しくはリンクなどのネットワーク上で互いに通信する。データ処理システムは、典型的には、１つ又は複数のプロセッサ、オペレーティング・システム、１つ又は複数のアプリケーション、及び１つ又は複数のユーティリティを含む。データ処理システム上のアプリケーションは、限定しないが、とりわけＨＴＴＰ、ＳＯＡＰ、ＸＭＬ、ＷＳＤＬ、ＵＤＤＩ、及びＷＳＦＬのためのサポートを含む、ウェブサービスのためのネイティブ・サポートを提供する。ＳＯＡＰ、ＷＳＤＬ、ＵＤＤＩ及びＷＳＦＬに関する情報は、これらの規格の開発及び管理の責任を負うワールド・ワイド・ウェブ・コンソーシアム（Ｗ３Ｃ）から入手可能であり、ＨＴＴＰ及びＸＭＬに関するさらなる情報は、インターネット技術タスクフォース（ＩＥＴＦ）から入手可能である。これらの規格には精通しているものと考える。

クラウド・コンピューティング・モデル
クラウド・コンピューティングは、最小限の管理努力又はサービス・プロバイダとの対話で迅速に供給及び解放することができる構成可能なコンピューティング・リソース（例えば、ネットワーク、ネットワーク帯域幅、サーバ、処理、メモリ、ストレージ、アプリケーション、仮想マシン、及びサービス）の共有プールに対するオンデマンドの便利なネットワーク・アクセスを可能にするためのサービス配信のモデルである。このクラウド・モデルは、少なくとも５つの特性、少なくとも３つのサービス・モデル、及び少なくとも４つの展開モデルを含むことができ、これらはすべてより詳細に非特許文献１で説明されている。

具体的には、以下が典型的な特性である。
オンデマンドのセルフサービス：クラウド・コンシューマは、サーバ時間及びネットワーク・ストレージといったコンピューティング能力を、必要に応じて、人間がサービスのプロバイダと対話する必要なく自動的に、一方的に供給することができる。

広範なネットワーク・アクセス：能力は、ネットワーク上で利用可能であり、異種のシン又はシック・クライアント・プラットフォーム（例えば、携帯電話、ラップトップ及びＰＤＡ）による使用を促進する標準的な機構を通じてアクセスされる。

リソースのプール化：プロバイダのコンピューティング・リソースは、マルチ・テナント・モデルを用いて、複数のコンシューマに供されるようにプールされ、異なる物理及び仮想リソースは、要求に応じて動的に割り当て及び再割り当てされる。コンシューマは、一般に、提供されるリソースの正確な位置に関する制御又は知識を有していないが、より高いレベルの抽象概念（例えば、国、州、又はデータセンタ）で位置を指定することができる場合があるという点で、位置独立の感覚が存在する。

迅速な弾力性：能力は、迅速かつ弾力的に、場合によっては自動的に供給されてすばやくスケール・アウトし、迅速に解放されてすばやくスケール・インすることができる。コンシューマにとっては、供給するために利用可能な能力は、無制限に見えることが多く、いつでもどんな量でも購入することができる。

計測されるサービス：クラウド・システムは、サービスのタイプ（例えば、ストレージ、処理、帯域幅、及びアクティブなユーザアカウント）に適した何らかの抽象レベルで計量能力を活用することによって、リソース使用を自動的に制御及び最適化する。リソース使用は、利用されるサービスのプロバイダとコンシューマの両方にとって透明性をもたらすように、監視し、制御し、報告することができる。

サービス・モデルは、典型的には以下のとおりである。
サービスとしてのソフトウェア（ＳａａＳ）：コンシューマに提供される能力は、クラウド・インフラストラクチャ上で実行されるプロバイダのアプリケーションを使用することである。アプリケーションは、ウェブブラウザなどのシンクライアント・インタフェース（例えば、ウェブ・ベースの電子メール）を通じて、種々のクライアントデバイスからアクセス可能である。限定されたユーザ特有のアプリケーション構成設定を可能な例外として、コンシューマは、ネットワーク、サーバ、オペレーティング・システム、ストレージ、又は個々のアプリケーション能力をも含む基盤となるクラウド・インフラストラクチャを管理又は制御しない。

サービスとしてのプラットフォーム（ＰａａＳ）：コンシューマに提供される能力は、プロバイダによってサポートされるプログラミング言語及びツールを用いて作成される、コンシューマが作成又獲得したアプリケーションを、クラウド・インフラストラクチャ上に展開することである。コンシューマは、ネットワーク、サーバ、オペレーティング・システム、又はストレージを含む基盤となるクラウド・インフラストラクチャを管理又は制御しないが、展開されたアプリケーション、及び場合によってはアプリケーション・ホスティング環境構成に対する制御を有する。

サービスとしてのインフラストラクチャ（ＩａａＳ）：コンシューマに提供される能力は、処理、ストレージ、ネットワーク、及び他の基本的なコンピューティング・リソースを供給することであり、ここで、コンシューマは、オペレーティング・システム及びアプリケーションを含むことができる任意のソフトウェアを展開して実行させることができる。コンシューマは、基盤となるクラウド・インフラストラクチャを管理又は制御しないが、オペレーティング・システム、ストレージ、展開されたアプリケーションに対する制御、及び場合によっては選択されたネットワーキング・コンポーネント（例えば、ホストのファイアウォール）の限定的な制御を有する。

展開モデルは典型的には以下の通りである。
プライベート・クラウド：クラウド・インフラストラクチャは、ある組織のためだけに操作される。クラウド・インフラストラクチャは、その組織又は第三者によって管理することができ、オンプレミス又はオフプレミスで存在することができる。

コミュニティ・クラウド：クラウド・インフラストラクチャは、幾つかの組織によって共有され、関心事項（例えば、ミッション、セキュリティ要件、ポリシー、及びコンプライアンス上の考慮事項）を共有する特定のコミュニティをサポートする。クラウド・インフラストラクチャは、それらの組織又は第三者により管理することができ、オンプレミス又はオフプレミスで存在することができる。

パブリック・クラウド：クラウド・インフラストラクチャは、一般公衆又は大規模な業界グループが利用できるようにされており、クラウド・サービスを販売する組織によって所有される。

ハイブリッド・クラウド：クラウド・インフラストラクチャは、固有のエンティティを残しているが、データ及びアプリケーションのポータビリティを可能にする標準化された又は専用の技術（例えば、クラウド間の負荷平衡のためのクラウド・バースティング）によって互いに結び付けられた２つ又はそれより多いクラウド（プライベート、コミュニティ、又はパブリック）の組合せである。

クラウド・コンピューティング環境は、サービス提供を中心としており、無国籍性、低い結語ウド、モジュール性、及び意味論的相互運用性に焦点を合わせている。クラウド・コンピューティングの中心は、相互接続されたノードのネットワークを含むインフラストラクチャである。代表的なクラウドコンピューティング・ノードは、上記図２に示すようなものである。具体的には、クラウドコンピューティング・ノード内には、他の多数の汎用又は専用コンピューティング・システム環境又は構成で動作可能なコンピュータ・システム／サーバが存在する。コンピュータ・システム／サーバとともに用いるのに適したものとすることができる周知のコンピューティング・システム、環境、及び／又は構成の例は、パーソナルコンピュータシステム、サーバコンピュータシステム、シンクライアント、シッククライアント、手持ち式又はラップトップ型デバイス、マルチプロセッサシステム、マイクロプロセッサ・ベースのシステム、セットトップボックス、プログラム可能コンシューマ・エレクトロニクス、ネットワークＰＣ、ミニコンピュータシステム、メインフレームコンピュータシステム、及び上記システム又はデバイスなどのいずれかを含む分散型クラウド・コンピューティング環境を含むが、これらに限定されない。コンピュータ・システム／サーバは、コンピュータ・システムによって実行されているプログラム・モジュールなどのコンピュータ・システム実行可能命令の一般的なコンテキストで説明することができる。一般に、プログラム・モジュールは、特定のタスクを実施する、又は特定の抽象データ型式を実装する、ルーチン、プログラム、オブジェクト、コンポーネント、論理、データ構造などを含むことができる。コンピュータ・システム／サーバは、通信ネットワークを通じてリンクされた遠隔処理デバイスによってタスクが行われる分散型クラウド・コンピューティング環境内で実施することができる。分散型クラウド・コンピューティング環境においては、プログラム・モジュールは、メモリ・ストレージデバイスを含むローカル及び遠隔の両方のコンピュータ・システム・ストレージ媒体内に配置することができる。

ここで図３を参照すると、付加的な背景のために、クラウド・コンピューティング環境によって提供される機能抽象化層の組が示される。図３に示されるコンポーネント、層及び機能は、単なる例証を意図したものであり、本発明の実施形態はそれらに限定されないことを予め理解されたい。図示されるように、以下の層及び対応する機能が提供される。

ハードウェア及びソフトウェア層３００は、ハードウェア及びソフトウェアのコンポーネントを含む。ハードウェア・コンポーネントの例は、ＩＢＭ（登録商標）ＺＳｅｒｉｅｓ（登録商標）を一例とするメインフレーム、ＩＢＭ ｐＳｅｒｉｅｓ（登録商標）システムを一例とするＲＩＳＣ（縮小命令セット・コンピュータ）アーキテクチャ・ベースのサーバ、ＩＢＭ ｘＳｅｒｉｅｓ（登録商標）システム、ＩＢＭ ＢｌａｄｅＣｅｎｔｅｒ（登録商標）システム、ストレージデバイス、ネットワーク及びネットワーキング・コンポーネントを含む。ソフトウェア・コンポーネントの例は、ＩＢＭ ＷｅｂＳｐｈｅｒｅ（登録商標）アプリケーション・サーバ・ソフトウェアを一例とするネットワーク・アプリケーション・サーバ・ソフトウェア、及びＩＢＭ ＤＢ２（登録商標）データベース・ソフトウェアを一例とするデータベース・ソフトウェアを含む。（ＩＢＭ、ｚＳｅｒｉｅｓ、ｐＳｅｒｉｅｓ、ｘＳｅｒｉｅｓ、ＢｌａｄｅＣｅｎｔｅｒ、ＷｅｂＳｐｈｅｒｅ、及びＤＢ２は、世界中の多くの管轄区域において登録されているインターナショナル・ビジネス・マシーンズ・コーポレーションの商標である）

仮想化層３０２は、仮想エンティティティの以下の例、すなわち、仮想サーバ、仮想ストレージ、仮想プライベート・ネットワークを含む仮想ネットワーク、仮想アプリケーション及びオペレーティング・システム、並びに仮想クライアントを提供することができる、抽象層を提供する。

一例において、管理層３０４は、以下で説明される機能を提供することができる。リソース・プロビジョニングは、クラウド・コンピューティング環境内でタスクを行うために利用されるコンピューティング・リソース及び他のリソースの動的な調達を提供する。計量及び価格設定は、クラウド・コンピューティング環境内でリソースが利用されたときの費用追跡と、これらのリソースの消費に対する課金又は請求とを提供する。一例において、これらのリソースは、アプリケーション・ソフトウェア・ライセンスを含むことができる。セキュリティは、クラウド・コンシューマ及びタスクについての識別検証、並びにデータ及び他のリソースに対する保護を提供する。ユーザ・ポータルは、コンシューマ及びシステム管理者に対して、クラウド・コンピューティング環境へのアクセスを提供する。サービスレベル管理は、必要なサービスレベルが満たされるように、クラウド・コンピューティング・リソースの割当て及び管理を提供する。サービスレベル・アグリーメント（ＳＬＡ）計画及び履行は、ＳＬＡに従って将来的な必要性が予測されるクラウド・コンピューティング・リソースの事前配置及び調達を提供する。

ワークロード層３０６は、クラウド・コンピューティング環境を利用することができる機能の例を提供する。この層から提供することができるワークロード及び機能の例は、マッピング及びナビゲーションと、ソフトウェア開発及びライフサイクル管理と、仮想教室教育配信と、データ解析処理と、トランザクション処理と、その他（例えば、プライベート・クラウド内の企業固有の機能）と、を含む。

この開示はクラウド・コンピューティングに関する詳細な説明を含んでいるが、本明細書で挙げられる教示の実装は、クラウド・コンピューティング環境を限定しないことが予め理解される。むしろ、本発明の実施形態は、現在知られている又は後で開発されることになる他の任意の型式のコンピューティング環境と共に実装されることが可能である。

したがって、代表的なクラウド・コンピューティング環境は、フロントエンド識別情報マネージャと、ビジネス・サポート・サービス（ＢＳＳ）機能コンポーネントと、運用支援サービス（ＯＳＳ）機能コンポーネントと、コンピュート・クラウド・コンポーネントと、を含む高レベル機能コンポーネントの組を有する。識別情報マネージャは、要求しているクライアントとインタフェースして識別情報管理を提供する責任を担い、このコンポーネントは、ニューヨーク、ＡｒｍｏｎｋのＩＢＭコーポレーションから入手可能なＴｉｖｏｌｉ Ｆｅｄｅｒａｔｅｄ Ｉｄｅｎｔｉｔｙ Ｍａｎａｇｅｒ（ＴＦＩＭ）などの１つ又は複数の既知システムにより実装することができる。適切な状況において、ＴＦＩＭを用いて、連合シングルサインオン（Ｆ−ＳＳＯ）を他のクラウド・コンポーネントに提供することができる。ビジネス・サポート・サービス・コンポーネントは、課金サポートなどの特定の管理機能を提供する。運用支援サービス・コンポーネントは、仮想マシン（ＶＭ）インスタンスなどの他のクラウド・コンポーネントのプロビジョニング及び管理を提供するために用いられる。クラウド・コンポーネントは、主コンピューテーショナル計算機リソースを表し、これは典型的には、クラウドを介したアクセスが利用可能になるようにされた標的アプリケーションを実行するために用いられる複数の仮想マシン・インスタンスである。１つ又は複数のデータベースを用いて、辞書、ログ、及び他の作業データが格納される。これらのコンポーネント（フロントエンド識別情報マネージャを含む）の全てがクラウド「内」に配置されているが、これは必要条件ではない。代替的な実施形態において、識別情報マネージャは、クラウドの外部で操作される場合がある。サービス・プロバイダもまた、クラウドの外部で操作される場合がある。

ある種のクラウドは、非伝統的なＩＰネットワークに基づく。したがって、例えば、クラウドは、ＭＡＣアドレスのハッシュを用いた特別な単層ＩＰ経路指定を伴う２層ＣＬＯＳベース・ネットワークに基づくことができる。本明細書で説明される技術は、このような非伝統的クラウド内で用いることができる。

クラウド展開技術
サービス・オファリングとしてのインフラストラクチャ及びプラットフォームの両方の迅速な採用及び展開を促進するために、アプライアンス・ベースのソリューションを提供することが知られている。上述のように、そのようなアプライアンスの１つは、ＩＢＭワークロード・デプロイヤ（Ｗｏｒｋｌｏａｄ Ｄｅｐｌｏｙｅｒ）（ＩＷＤ）であり、このアプライアンスはまた、隔離及びセキュリティが最大限に重要な、共用のマルチテナント環境を管理するために用いることもできる。物理アプライアンス（本明細書ではボックスと呼ばれる場合もある）のセキュアな性質は、典型的には、アプライアンスのカバーが取り外された場合にトリガされる自己ディスエーブル化スイッチによって提供される。この物理的セキュリティは、アプライアンスが資格証明のためのセキュアな保管庫としての役割を果たすことを可能にし、これはその全ライフサイクル（ストレージ内にある、分配されている、クラウド内で実行される、又はクラウドから外されている）にわたって仮想イメージに対してひも付けることができる。ＩＢＭワークロード・デプロイヤはまた、イメージ・カスタマイゼーションのストレージを円滑化するストレージドライバを収容する。これは、事前ロードされてカスタマイズされたミドルウェア仮想イメージ及びパターンの両方のための専用ストアとしての役割も果たす。アプライアンスはまた、多数のこれら仮想イメージ（その各々はかなり大きい）を格納することを可能にする先進的な圧縮及びストレージ技術も含む。

動作時、アプライアンスは、プライベート又はオンプレミス・クラウド・コンピューティング環境内でセキュアに展開され及び管理されることができる、標準的なカスタマイズされたミドルウェア仮想イメージ及びパターンを供給することができる。これらの仮想イメージは、組織がビジネス・アプリケーションを簡単かつ迅速に開発し、検査し、展開することを補助することができ、したがって、これらの複雑な環境の作成にしばしば付随する、手動の、反復的な、誤りが起きやすいプロセスを終えることができる。完了すると、リソースは、将来の使用のために共用リソースプールへ自動的に戻され、内部入金相殺（charge-back）目的でログが取られる。アプライアンスはまた、リソースへの個々のユーザ及びグループ・アクセスを管理して、細粒レベルで効率を最適化するのに必要な制御をＩＴマネージャに提供する。

典型的には、アプライアンスは、ハードディスク上の全てのデータを暗号化するためのハードウェア及びファームウェア暗号サポートを含む。このデータは、イベントログデータを含むがこれに限定されない。管理者ユーザも含めていかなるユーザも、物理ディスク上のいずれのデータにもアクセスできない。具体的には、オペレーティング・システム（例えば、Ｌｉｎｕｘ）は、ルート・アカウントをロックダウン（lock down）し、コマンドシェルを提供せず、ユーザはファイルシステム・アクセスを有さない。管理者がアプライアンスのバックアップを行うとき、バックアップ・イメージが暗号化されてデータの機密性を保護する。暗号化されたイメージを復元するとき、バックアップ・イメージを解読してデータがアプライアンスに対して復元されることを可能にするために解読鍵が必要とされる。

図４を参照すると、代表的な動作環境は、物理アプライアンス４００を含み、これはクラウド４０２とインタフェースする。アプライアンスは、図２に関して上述したようなデータ処理システムを用いて実装することができる。好ましくは、アプライアンス４００は、Ｗｅｂ２．０ベースのユーザインタフェース（ＵＩ）と、コマンドライン・インタフェース（ＣＬＩ）と、ＲＥＳＴベースのアプリケーション・プログラミング・インタフェース（ＡＰＩ）と、を含む。アプライアンスは、クラウドベース・ソリューションの迅速な展開を可能にする管理機能を提供する。この目的で、アプライアンスは、（ｉ）リソースへのユーザ及びグループ・アクセスを管理するために用いられるデータ４０４、（ｉｉ）事前ロード及び／又はカスタマイズされたミドルウェア仮想イメージ４０６、及び（ｉｉｉ）構成可能なパターン及びスクリプト・パッケージ４０８、のためのストレージを提供する。パターンは、特定のソリューションを含む物理アセット及び仮想アセット両方の論理的記述である。より詳細に後述するように、好ましくは、パターンは、ＴＯＳＣＡ仕様に従って構造化される。管理機能及びインタフェースは、構築に対するテンプレート・ベースの手法を提供し、これは、さもなければ複雑なハードウェア及びソフトウェア・コンポーネントの組の迅速な作成及び修正を可能にする。具体的には、パターンの仕様は、組織が個々の要素又は統合されたソリューションを一度に構築し、次いで最終製品をオンデマンドで分配することを可能にする。典型的には、２つのタイプのパターンがある。すなわち、仮想システムパターンは、最も高い柔軟性及び２つのタイプのカスタマイゼーション・オプションを提供する。これは、オペレーティング・システムと、場合によっては、ＷｅｂＳｐｈｅｒｅ（登録商標）アプリケーション・サーバなどの付加的なソフトウェアソリューションと、から成る。仮想アプリケーションパターンは、最適化され、典型的には単一のワークロードをサポートする目的で構築される。

同じく図４で示されるように、ミドルウェア・アプリケーションが実行されるオンプレミス又はプライベート・クラウド環境４０２は、典型的には、ハイパーバイザと、ネットワーキング・インフラストラクチャと、アプライアンスに割り当てられるストレージデバイスとを構成する。代表的な環境は、図３に関して上述した方式で実装することができる。

図５は、アプライアンスを用いてカスタム・プライベート・クラウドを構築する方法を示す。ステップ１において、クラウドのためのハードウェア、ハイパーバイザ及びネットワーキングが識別される。ステップ２において、ユーザは、仮想イメージを選択してカスタマイズする。ステップ３において、ユーザは、１つ又は複数のスクリプト・パッケージを必要に応じて追加して、展開されるミドルウェア環境をカスタマイズする。ステップ４において、プレインストールされた又はカスタマイズされたパターンを用いて、展開されるミドルウェア・トポロジを記述する。パターンは、仮想イメージから、例えばドラッグ・アンド・ドロップ・インタフェースを用いて構築することができる。ステップ５において、仮想システムがクラウドに展開される。

本明細書でのＩＢＭワークロード・デプロイヤへの言及は、例示であり、開示技術を限定するものと解釈すべきではなく、これは、説明した全般的な特性及び動作機能を有するあらゆるアプライアンス（又は、より一般的にはマシン）上に実装することができる。ＩＷＤへの具体的な言及は、上記製品、並びに上記で言及した機能を実装する他の技術の両方を含むものと解釈されたい。

コンテキスト・ベースのセキュリティ保証サービス
本開示のさらなる背景として、以下のセクションは、本開示のログ管理技術が好ましくは実装される「コンテキスト・ベースのセキュリティ保証サービス」又は「セキュリティ保証サービス」（又は略記として単に「サービス」）を説明する。

制限なしで、セキュリティ保証サービスは、説明してきたようなクラウド展開プラットフォーム・システム又はアプライアンス（図４）内に、又はそれとの関連で、実装することができ、又は他のいずれかのタイプの展開システム、製品、デバイス、プログラム若しくはプロセスを用いることができる。セキュリティ保証サービスを実装することができる代表的なクラウドアプリケーション・プラットフォームは、制限なしで、ＩＢＭ（登録商標）ＰｕｒｅＡｐｐｌｉｃａｔｉｏｎ Ｓｙｓｔｅｍを含み、これはアプリケーションを実行させるために特別に設計及び調整されたプラットフォーム・システムであり、そのクラウド環境への容易な展開のためのパターンの使用をサポートする。セキュリティ保証サービスは、任意のクラウド・インフラストラクチャと共に相互運用することができるので、この市販システムへの言及は、限定を意図したものではない。

セキュリティ保証サービスは、管理ソリューション、サービス、製品、アプライアンス、デバイス、プロセス、プログラム、実行スレッドなどとして実装することができる。典型的には、技術は、問題データベースなどの１つ又は複数のデータソース内に格納されるデータと関連して、ハードウェア処理要素内で実行される１つ又は複数のコンピュータ・プログラムとしてソフトウェアで実装される。説明される処理ステップの幾つか又は全ては、自動化することができ、他のシステムと関連して自律的に動作する。自動化は、完全自動化又は部分自動化とすることができ、動作（全体的に又は部分的に）は、同期又は非同期、要求ベース又はそれ以外とすることができる。

以下は、セキュリティ保証サービスの高レベルの説明である。一般に、サービスは、一般に、利用可能なクラウド・プラットフォーム、トポロジ及び能力に関する情報を収集する（又はそれ以外の方法で他のデータソースから入手する）ように動作する。サービスはまた、セットアップされるために利用可能なセキュリティ能力を識別する。これらのセキュリティ能力は、仮想ペリメータ・ネットワーク（ＤＭＺ）、ネットワーク・セグリゲーション、ストレージ隔離、侵入防止システム（ＩＰＳ）展開、セキュリティ情報及びイベント管理（ＳＩＥＭ）展開、リバースプロキシ、ファイアウォール、ＳＳＬ通信、既存ＳＩＥＭを伴う構成、マルチファクタ認証、リスク・ベース認証、及びその他を含むが、これらに限定されない。好ましくは、サービスは、利用可能な能力を単純化（又は抽象化）して、環境の既存トポロジについての理解し易いセキュリティ保証カテゴリにする。非限定的かつ代表的な例として、このようなカテゴリ化の１つは、「高／中／低」型カテゴリを含むことができる、ここで、例えば「中」保証は、ＳＳＬ保護トラフィック、ＩＰＳ及びＳＩＥＭ組込みに対応するものとすることができるが、マルチファクタ認証のリソース・セグリゲーション及び隔離はない。

好ましくは、保証サービスは、カテゴリを（アプリケーション展開中に）「テンプレート」としてユーザに露出する。テンプレートは、それに関連付けられた１つ又は複数のセキュリティ構成変更の所与の組を有する。ユーザ（典型的にはアプリケーション開発者）は、次いでこのようなセキュリティ・テンプレートのうち、サービスがそのテンプレートに対してアプリケーションを構成／供給してほしいとユーザが望む１つ又は複数を選択する。サービスは、この点に関してユーザに推奨を提供することができる。ユーザの選択に基づいて、サービスは次に、要求された１つ又は複数のセキュリティ保証テンプレートを解釈し、それに応答して、１つ又は複数のセキュリティ構成変更（典型的には、既存のセキュリティ・インフラストラクチャに対するセキュリティ設定の変更／更新）の具体的なリストを生成する。随意に、サービスはまた、セキュリティ管理者に対して、アプリケーションに用いられている能力の注釈を生成する。アプリケーション展開中に、サービスは、既存の（構成された）セキュリティ製品に対して、好ましくは遠隔的に、ＲＥＳＴベース（又は同等の）インタフェースを用いて、セキュリティ変更を、必要に応じてテンプレートに合わせて適用し、サービスはまた、新たなセキュリティ・ソフトウェア・インスタンスも展開する（適用可能なとき、かつライセンスが利用可能な場合に）。サービスはまた、好ましくは既存のクラウド・ファシリテを用いて、必要に応じてアプリケーションにより、ハードウェア及びネットワーク環境を供給することもできる。このようにして、セキュリティ保証サービスは、展開されているアプリケーションに対して、コンテキスト特有のセキュアなクラウド・アプリケーション・ゾーンを作成する。アプリケーション展開プラットフォームは、セキュリティ構成更新が完了するとコールバックされ、プラットフォームは次いで、展開を完了し、新たに展開されたセキュアにされたアプリケーションをアクティブ化する。

説明したように、保証サービスは、好ましくは、アプリケーションが展開される「コンテキスト」を考慮に入れてコンテキスト・ベース方式で動作する。代表的な「コンテキスト」情報は、標的プラットフォームの性質、ワークロードが実行に関与する環境の性質、ワークロードに対するいずれかのコンプライアンス又は他の規則要件の性質などを含むがこれらに限定されない。したがって、例えば、ワークロードがＡｍａｚｏｎクラウド（これはパブリックである）上に展開される場合、サービスは、全てのトラフィックに対するＳＳＬ通信といったパブリック・クラウド要件（このような要件はプライベート・クラウドでは必ずしも施行される必要はないが）を考慮することになる。別の例として、ワークロードがテスト又は開発環境で実行されている場合、アプリケーションが（このコンテキスト内では）実際の（実）顧客データを扱わないので、サービスは、データに関する最小限の制御のみを提供することができる。さらに別の例において、ワークロードがＰＣＩ準拠であることを必要とする場合、サービスは、これを特定のネットワーク上でのみ提供するが、セキュアではないネットワーク又はＶＬＡＮへのワークロードの移動を許さない（又はそれ以外の方法でブロックする）。これらは、単なる代表例に過ぎない。セキュリティ・コンテキスト情報は、セキュリティ保証サービスにより直接的に収集され、又はこのような情報は、その情報を有する（又はその情報にアクセスする）他の接続されたデータソースからセキュリティ保証サービスに利用可能にされる。

図６は、クラウド・セキュリティ保証サービス６００の代表的な実施形態の基本コンポーネントを示す。説明されるように、この手法は、アプリケーション展開により影響を受ける全ての（又は定義された１つの）セキュリティ・リソースを管理する集中型又は連合サービスを規定する。これらのリソースは、非常に多様なものとすることができ、とりわけ、リバースプロキシ、ＨＴＴＰサービス、認証更新、新規識別情報の追加、ＶＰＮのプロビジョニング、ＳＩＥＭソリューションとのログ統合、ＤＭＺ、開放ポートに対するファイアウォール構成などを含む。好ましくは、サービスは、遠隔インタフェース（例えばＲＥＳＴベース・インタフェース）を呼び出して、セキュリティ・リソースのための構成を更新する。どのセキュリティ・リソースをどのようにアップデートするかの決定は、テンプレートベース・アプローチに依存する。具体的には、サービス６００は、１つ又は複数のセキュリティ保証テンプレート６０２（又は単に「テンプレート」）を規定し、これらは、サービスによって発見された（又はそれ以外の方法で利用可能にされた）利用可能なリソース及び構成情報に基づいてこれらから誘導されることが好ましい。別の選択肢において、セキュリティ・テンプレートは、他のセキュリティ・インフラストラクチャ実装（又は知識ベース）由来の情報に基づいて事前定義された又は比較的「静的」なものとすることができる。好ましくは、そして本明細書で用いられる場合、保証テンプレート６０２は、理解し易いセキュリティ・カテゴリ又はプロファイルを提供するサービス内のモジュール、並びにそれらの関連付けられたセキュリティレベル、例えば「高／中／低内部ネットワーク・セキュリティ」及び「高／中／低ファイヤウォールセキュリティ」などである。サービス６００はまた、保証構成ブローカ６０４を含み、これは選択されたテンプレートのセキュリティ・ゴールを識別し、そしてテンプレートの選択を、好ましくはシステム構成及び利用可能なリソースのコンテキストに基づいて、詳細な構成ステップに翻訳するように動作する。この翻訳動作は、より詳細に後述する。

図示したように、セキュリティ保証サービスはまた、好ましくはコンテキスト・モニタ６０６を含み（又はそれに関連付けて有し）、これはクラウドのトポロジ及び能力のカタログを作成し、追跡する。さらに、サービスは、セキュリティ管理インタフェース６０８を含み（又はそれに関連付けており）、これはセキュリティ・テンプレートを追加又は除去し、管理されたセキュリティ・リソースの手動構成を提供し、及び／又はエンドユーザにより選択されたセキュリティ・テンプレートを（許される状況下で）オーバーライドするために用いられる構成ポイントである。セキュリティ保証サービスはまた、クラウドセキュリティプロセス・ワークフロー６１０を含み、これは、構成ブローカ６０４で示されるように、適切な（例えばＲＥＳＴベース）インタフェースを呼び出して、基盤となるセキュリティ・インフラストラクチャ（セキュリティリソース）に変更を適用するモジュールである。保証パターンモジュール６１２は、アプリケーション展開及びプロビジョニングをセキュリティ保証サービス６００と連係させる、クラウド特有のサービスである。典型的には、保証パターンモジュール６１２は、必要条件ではないが、他の何らかのクラウドアプリケーション・プラットフォームのコンポーネントを含む。保証パターンモジュール６１２は、展開されているアプリケーションに基づいて、利用可能な保証テンプレート６０２のための保証サービスをクエリする。

図６において、左上のアプリケーションの所有者／管理者は、アプリケーション・デプロイヤを表す。これらは、単に理解し易いセキュリティ保証指示子（カテゴリ／セキュリティレベルによる）へのアクセスを有することのみを必要とすることが好ましい個人である。左下のクラウドチーム又は他の管理者は、これらのセキュリティ保証レベルを提供するセキュリティ・リソースについて、基盤となるセキュリティ設定に関するより詳細な情報を必要とする場合がある個人を表す。

これらの上記コンポーネントは、典型的には、各々ソフトウェアとして、すなわ、１つ又は複数のハードウェアプロセッサ内で実行されるコンピュータ・プログラム命令の組として、実装される。コンポーネントは、別個のものとして示されているが、必ずしも必要条件ではなく、コンポーネントは、全体的に又は部分的に互いに統合される場合もある。コンポーネントの１つ又は複数は、専用位置で、又は互いに遠隔で、実行されることができる。コンポーネントの１つ又は複数は、一緒に実行して機能を提供するサブコンポーネントを有することができる。セキュリティ保証サービスの特定の機能が上で命名された特定のコンポーネントにより実行されることは要件ではなく、本明細書における機能（又はその任意の態様）は、他のシステムで実装されることができる。

セキュリティ保証サービスは、プライベート・クラウド、パブリック・クラウド、又はハイブリッド・クラウドのためのインフラストラクチャを運用するクラウドサービス・プロバイダにより実装されることができる。１つの特定の実装シナリオにおいて、企業は、クラウドアプリケーション・プラットフォームにより管理される、関連付けられたプライベート・クラウド（クラウドサービス内に実装される）を有する。次いで、このプラットフォームを強化して、本開示のセキュリティ保証サービスと相互運用する（又はこれを実際に含む）ようにすることができる。より一般的には、セキュリティ保証サービスは、企業によってスタンドアロン方式で実装されたものとすることができる。これは、クラウド・サービス又は他の何らかのサービス・プロバイダにより提供される管理されたサービスとして利用可能なものとすることができる。

サービスは、エンドユーザが、アプリケーションのためのセキュリティ最適化展開を生成するためにそのサービスが次に（アプリケーション要件及び利用可能なリソースを解釈した後で）使用するセキュリティレベルの一般化された仕様（例えば「高ネットワーク・セキュリティ」）を提供するようにさせることにより動作する。典型的には、アプリケーションは、既存の環境内に展開され、セキュリティ保証サービスは、その既存環境（アプリケーションがその中に展開されることになる）に必要とされるセキュリティ構成変更を定義する及び／又は調整するように動作する。アプリケーションのためのセキュリティ最適化展開は、本明細書では、セキュアなコンテキスト・ベースの「クラウド・アプリケーション・ゾーン」又は略記として「セキュア・アプリケーション・ゾーン」と呼ばれることがある。

本明細書で用いられる「セキュリティレベル」は、「セキュリティ保証レベル」と呼ばれることがある。これらのレベルは、上記のように、例えばセキュリティ専門家には別様に知られ又は利用可能なより粒子の細かい特定性と比べて、理解し易い又は「粗い」粒子の記述子（「高」又は「低」）として露出される。用語「粗い」又は「細かい」は相対的な語句であるが、セキュリティ保証レベルの「粗い」指示の表記法は、ユーザにとって利用可能な基本情報を提供するに過ぎないものであり、ユーザは、さもなければ特定の「粗い」セキュリティ保証レベルの基盤となる明示的なセキュリティ要件を知らない又は確認することができない（又は気にしない）であろう。この状態のユーザにとっては、自分が所望する（特定のカテゴリについての）セキュリティ保証レベルが「高」又は「低」又はその他の何らかのそうした分類（しかし輪郭は描かれている）であることを知るだけで十分である。したがって、用語「高」（特定の粗いセキュリティ保証レベルに関して）は、代替法において、数値、他の何らかの識別子又は指示により示されるものとすることができる。

代表的な実施形態において、サービスは、タイプに従ってカテゴリ化することができるセキュリティ・テンプレートの組を露出し、提供し、又は相互運用する。これらのテンプレートは、図６に示される保証テンプレートモジュールにより提供される。したがって、例えば、サービスは、以下のカテゴリ、すなわち「内部ネットワーク・セキュリティ」、「アプリケーション・セキュリティ」、「データ・セキュリティ」及び「侵入者保護」、を有するセキュリティ・テンプレートを露出することができる。これらは、単なる代表例である。次に特定のテンプレートカテゴリを、「低」又は「高」といった定義されたセキュリティレベルに従って識別する。サービスは、単に「低」又は「高」テンプレートを提供することができ、又はさらなるレベル（例えば、低、中及び高、又はさらにもっと詳細なレベル、等）を提供することができる。展開されている特定の企業アプリケーションは、このようにして、各々がカテゴリ及び指定されたセキュリティレベルを定義する関連付けられた１つ又は複数のこのようなセキュリティ・テンプレートを有することができる。したがって、例えば、展開されている特定のアプリケーションは、以下の仕様、すなわち、内部ネットワーク・セキュリティ「低」、アプリケーション・セキュリティ「高」、データ・セキュリティ「高」及び侵入者保護「高」、を有することができる。ウェブ・ベース又は他の構成インタフェースを用いて、展開されている特定のアプリケーションに関連付ける１つ又は複数のセキュリティ・テンプレートを指定することができる。このインタフェースは、ＩＢＭ（登録商標）ワークロード・デプロイヤ仮想アプリケーション・ビルダなどの従来のワークロード展開ツールに関連付けることができる。代替法において、カテゴリ及びセキュリティレベルは自動的に又はプログラム的に定義され、又はこのような情報は、別のソースにより発行されたこのようなデータのリポジトリから利用可能にされる。

本明細書において用いられる場合、「テンプレート」又は「セキュリティ・テンプレート」は、所与のセキュリティ・リソースに対して、又は関して、特定のレベルのセキュリティを提供することが予期されるプロファイル又はセキュリティ設定の組を指し、このセキュリティ・リソースは、システム、デバイスの他のコンピューティング・エンティティとすることができる。好ましくは、各セキュリティ・テンプレートは、それに関連付けられた、カテゴリを実装する（及び指定レベルにおいて）１つ又は複数のセキュリティ構成（セキュリティ・リソース設定）を有する。好ましくは、これらのセキュリティ構成は、セキュリティ構成ブローカ・コンポーネント（図６参照）により識別され、これは選択されたテンプレートのセキュリティ・ゴールを（入力として）取得し、その選択を、システム構成及び利用可能なリソースのコンテキスト（コンテキスト・モニタにより供給される）に基づいて、詳細な構成ステップ（又は変更）に翻訳する。

したがって、アプリケーション・カテゴリが「内部ネットワーク・セキュリティ」であり、セキュリティレベルが例えば「低」である場合、ブローカは、そのテンプレートを実装するのに必要な詳細なセキュリティステップが、（ｉ）アプリケーション・エンドポイントに基づいてフロントエンド・プロキシサーバとバックエンド・ウェブアプリケーションサーバとの間に「ジャンクション」を作成すること、（ｉｉ）ジャンクションに対する基本認証を使用し、アプリケーション・サーバ内でシングル・サインオン（ＳＳＯ）のためのトラスト・アソシエーション・インターセプタ（ＴＡＩ）を構成すること、及び（ｉｉｉ）制限ファイアウォールをイネーブルにし、アプリケーション・エンドポイントに対するポートを開放すること、を含むことができると判断する。別の例として、アプリケーション・カテゴリが「アプリケーション・セキュリティ」であり、セキュリティレベルが例えば「高」の場合、そのテンプレートを実装するのに必要な詳細なセキュリティステップは、（ｉ）セキュリティ解析ツール（例えばＡｐｐＳｃａｎ）をエンドポイントに対して実行し、なんらかの重大な脆弱性が識別された場合、展開を停止させること、（ｉｉ）クラウドアプリケーションプ・ラットフォームに、クラウド内のアプリケーションをホストするためのＶＰＮを提供するように命令すること、（ｉｉｉ）アプリケーションにより定義された認可された役割についてのアクセスマネージャポリシーを構成すること、及び（ｉｖ）アプリケーション専用のクラウド内に付加的なソフトウェアベースのＤＭＺを作成すること、を含むことができる。さらに別の例において、アプリケーション・カテゴリが「データ・セキュリティ」であり、セキュリティレベルが例えば「低」である場合、そのテンプレートを実装するのに必要な詳細なセキュリティステップは、（ｉ）アプリケーション・サーバを更新して、データベースへのＳＳｌ接続を使用するようにすること、などを含むことができる。さらに別の例において、アプリケーション・カテゴリが「侵入者保護」であり、セキュリティレベルが例えば「高」である場合、そのテンプレートを実装するのに必要な詳細なセキュリティステップは、（ｉ）セキュリティ・インテリジェンス・プラットフォーム（例えばＩＢＭ（登録商標）ＱＲａｄａｒ）ログソースを構成すること、（ｉｉ）アプリケーションについてのＳＩＥＭフィルタを更新すること、及び（ｉｉｉ）アプリケーションについてのＩＰＳ規則を更新すること、を含むことができる。もちろん、これらはセキュリティ構成変更の単なる代表（非限定的）例に過ぎない。セキュリティ保証サービスにより実装される具体的な変更は、実装及び利用可能なリソース（製品、システム、構成など）に依存する。

したがって、クラウドプロバイダがアプリケーションを展開する（又は展開を開始する）とき、これは１つ又は複数の選択された（又は別の方法で定義又は規定された）セキュリティ保証サービスを通知する。好ましくは、クラウドプロバイダはまた、アプリケーションの保証サービスの詳細も送信する。セキュリティ保証サービスは、選択されたテンプレートをガイダンスとして採用し、次いでブローカ・コンポーネントが、既存の環境に対して必要とされる詳細なセキュリティ構成変更を調整して、既に指定されている選択されたセキュリティ拘束条件及び利用可能なリソースのコンテキスト（コンテキスト・モニタにより判定される）内でアプリケーションをサポートする。所望であれば、これらのセキュリティ構成変更を、実装する前に検証のためにセキュリティ管理者に対して提示することができる。検証されると（この随意の動作が実装されている場合）、セキュリティ保証サービスは、好ましくは、ソフトウェア構成のための遠隔インタフェースを呼び出す。さらに、必要であれば、サービスは、クラウドプロバイダと通信して、アプリケーションを展開するときに対処する必要があり得るいずれかの事前要求（クラウドプロバイダの）に関する情報を得る。これらの事前要求は、例えば、ＶＰＮの作成、又はプロバイダに特有のその他のセキュリティ要件を含むことができる。

セキュリティ保証サービスはまた、クラウド・アプリケーションに対して、そのセキュリティ要件を指定するための能力、それらの要件を例えば特定のクラウド展開環境に対して評価させる能力、及びアプリケーションをイネーブルにする能力を提供することができ、環境が必要なトポロジ及び展開されるセキュリティ・リソースを有していない場合、セキュリティ保証サービスを制御し、付加的なセキュリティ技術をクラウド内に供給して、アプリケーションの展開（又はどこか他の場所での再展開）をサポートする。

セキュリティ保証サービスは、一般に、クラウド環境内で実行されるアプリケーションに対してセキュリティ環境（「セキュア・アプリケーション・ゾーン」）を展開するように動作する。セキュリティ保証サービスが特定のアプリケーションに対してセキュリティゾーンを展開した後、アプリケーションは、そのセキュリティ権を（例えばアプリケーションペイロード内で）渡すことにより、サービスにクエリすることができる。セキュリティ保証サービスにより提供されるセキュリティ能力が十分であるか又はアプリケーションのセキュリティ権より優れている場合、アプリケーションは正常に機能する。しかしながら、セキュリティ保証サービスにより確立されたセキュリティ環境がアプリケーションに対して不十分である場合、アプリケーションは、１つ又は複数の修正オプション、例えば管理者通知、シャットダウン（一時的な自己非アクティブ化）及び管理者通知、セキュリティ環境を更新することを求める要求をセキュリティ保証サービスに対して発行すること、アプリケーションを、異なるクラウド・セキュリティ保証ゾーンへ、又はより広範囲のセキュリティ能力を有するクラウド・プラットフォームへ移動することを求める要求をサーバに対して発行すること、異なるクラウド・ゾーン又はクラウド・プラットフォームへ移動することを求める要求をサーバに対して発行すること（例えばホスティング・コンフリクトを回避するため、等）などが与えられる。具体的な修正オプションは、多様なものとすることができ、オプションは、決定論的に、又はその他の何らかの構成可能な方式で、試行することができる。具体的には、セキュリティ保証サービスは次に、１つの修正オプションを実装することを試行する。そのオプション（例えば、セキュリティ環境の更新、新たな環境への移動、等）が完了すると、アプリケーションは、再びセキュリティ保証サービスにクエリし、プロセスを繰り返すことができる。

限定することを意図しないが、アプリケーション・セキュリティ権は、種々の構成インタフェース及びオプションを管理者又はその他の許可されたユーザに提示するセキュリティ権モジュール及び構成ツーリングを用いたプロビジョニングとすることができる。

クラウド環境における保証されたログ管理のためのアプリケーション・セルフサービス
上記を背景として、本開示のログ管理技術を以下で説明する。好ましい実施形態において、ログ管理は、セキュリティ保証サービス（例えば図６）が実装されるクラウド環境（例えば図３）に関連して、並びにアプリケーション展開技術及びシステム（例えば図５及び図６）に関連して実行される。しかしながら、この方式での実装は限定ではなく、以下で説明される技術は、説明される特定のセキュリティ保証及び展開サービスを組み入れてない他のクラウド環境内で実装することができる。ログ管理サービスは、全体的に又は部分的にスタンドアロン型ソリューションで実装することができる。

基本的な動作の仮定は、クラウド・アプリケーションが展開及び管理され、このようなアプリケーションが異種のロギング要件を有する、クラウド環境の存在である。アプリケーションは、１つ又は複数のログ・リソース、すなわち、ログデータを収集及び報告するコンポーネント（典型的にはクラウド内で動作する）を有することができる。ログデータ又はロギングリソースの具体的な性質は、この開示の限定ではない。むしろ、本明細書における技術は、利用される基盤となるログ・リソース又はアプリケーションの特定のロギング要件にかかわらず、クラウド上に展開される任意のアプリケーションに対する自動化ログ管理を促進するように適合される。ソリューションはまた、１つ又は複数のログ管理サービス・プロバイダが存在し得ることを想定し、ここでログ管理サービス・プロバイダは、ログデータを受け取り、格納し、管理し及び提供する１つ又は複数のコンピューティング・エンティティ（場合により第三者により運用される）とすることができる。したがって、ログ管理サービス・プロバイダは、ネットワーク・アクセス可能な１つ又は複数のログサーバを運用及び管理し、収集されたログデータをそこから閲覧し、検索し、又は解析することができる。

上記を背景として、本開示のログ管理手法の好ましい実施形態を以下説明する。好ましくは、この技術は、アプリケーション・ゾーン・ログ・マネージャ（ＡＺＬＭ）内に実装され、これは一般に１つ又は複数のコンピューティング・マシン（例えばハードウェア及びソフトウェア）として実装することができる。したがって、図７に示すように、クラウド環境７００は、本開示によるログ管理を実装するアプリケーション・ゾーン・ログ・マネージャ７０２を含む、又はこれに関連付けられる。この命名法は、限定を意図したものではない。図示されるように、かつ説明のみの目的で、ＡＺＬＭ７０２は、２つの一次コンポーネント、すなわちログ保証レジストリ７０４及びセキュリティ構成ブローカ７０６を含む。ＡＺＬＭの基本動作は、クラウド上に展開された任意のアプリケーション自動化ログ管理を促進することである。ＡＺＬＭ自体は、典型的には、ログデータ自体を収集、格納又は出力することはなく、むしろこのコンポーネントは、クラウド自体上で又はそれと関連して利用可能な既存のログシステム及びコンポーネントのための、管理インフラストラクチャ（又は層、又はフレームワーク）として動作する。例えば、典型的にはオンプレミスに位置するイベントコレクタ７０８は、ログを収集し、これが１つ又は複数のログ管理サービス・プロバイダ７１０に提供される。上記のように、ログ管理サービス・プロバイダ７１０は、典型的には１つ又は複数のロギングシステムを運用し、これは、ネットワーク・アクセス可能なログサーバ、データベース、インタフェースなどを含むことができる。

同じく図示されるように、アプリケーション開発者７０１は、主として、上述（図４〜図５）の展開技術を用いてアプリケーションを展開するために、クラウド７００とインタフェースする。セキュリティ及びコンプライアンス・オフィサ７０３は、セキュリティ保証ゾーン（図６）などのクラウド・ゾーン上に展開されるワークロードについてのログ管理基準を指定する。好ましくは、ログ管理基準は、１つ又は複数のセキュリティ・プロファイル７１４として指定される。セキュリティ・プロファイル７１４は、「ログ監査」プロファイルと呼ばれることもあり、限定しないが、イベント型式（システム、アプリケーション、他の何らかのユーザ定義型式）、コンプライアンス・タグ、ログデータ・ストレージ／型式、データ保持データ、データ難読化（obfuscation）値などの情報の組を含む。セキュリティ・プロファイルの具体的な構造及び形式は、多様なものとすることができる。より一般的には、特定の展開アプリケーションについて特定のセキュリティ（ログ監査）プロファイルは、他のいずれかの展開アプリケーションについてのプロファイルとは異なるものとすることができる。上記のように、特定のセキュリティ・プロファイルは、セキュリティ管理者により、１つ又は複数のＡＺＬＭ供給テンプレートに従うデフォルトにより、又は他のいずれかの手段により、定義することができる。

一般に、上記のように、アプリケーション・ゾーン・ログ・マネージャ（ＡＺＬＭ）７０２は、クラウド７００上で展開される任意のアプリケーションのための自動化ログマネージャを提供する。ここで図７を参照すると、保証されたログ管理のためのシステムの好ましい動作がここで提供される。動作の特定の順番は、限定を意図したものではない。

説明の目的で、プロセスは、ステップ（１）で開始し、セキュリティ及びコンプライアンス・オフィサ７０３が、そのオフィサが責任を負う１つ又は複数のクラウド・アプリケーションに対してセキュリティ（ログ監査）プロファイル７１４を定める。このステップは、所与の責任を有する人間のオペレータの文脈で説明されているが、これは限定ではなく、セキュリティ・プロファイルは、上記のように、自動化された又はプログラム的方式でマシンによって指定される場合もあり、又はシステム内で事前構成された又は供給された１つ又は複数のデフォルト・セキュリティ・プロファイルに基づいて指定される場合もある。図示したように、セキュリティ・プロファイル７１４は、情報、例えば限定しないが、システム又はアプリケーションの型式、データ保持／難読化要件、ログデータ型式及び周期、監査及びコンプライアンス要件、並びに他のそのような情報を指定する。同じく上述したように、所与のセキュリティ・プロファイル７１４を含む情報の性質及び形式は、典型的には、環境内に展開されたクラウド・アプリケーションにわたって多様である。さらに、所与のセキュリティ・プロファイルは、動的に、例えば条件又は他のイベントに応答して、変更又は更新される。

ステップ（２）において、アプリケーション開発者７０１は、図４〜図５に関連して上で説明したような展開技術、プラットフォーム又はシステムの１つ又は複数を用いて、アプリケーション、仮想イメージ又は仮想システムを展開する。好ましくは、この展開と共に、デプロイヤ７０１は、展開されているアプリケーションに対して適用可能なセキュリティ（ログ監査）プロファイル７１４を選択する。この目的で、セキュリティ・プロファイルの１つ又は複数の選択を開発者に対して利用可能にすることができる。限定しないが、セキュリティ・プロファイルを指定する１つの方法は、展開の際に、１つ又は複数の一意タグ（アプリケーション並びにそれに関連付けられたセキュリティ・プロファイルを識別する）をワークロードに取り付けることによる。代替的な実施形態において、展開されているアプリケーションの特定の型式は、（割り当てられるのとは対照的に）本来的に定義されたデフォルトのセキュリティ・プロファイルを有する。展開されているアプリケーションは、関連付けられた１つより多くのセキュリティ・プロファイル７１４を有することができる。ステップ（２）は、所与の責任を有する人間のオペレータの文脈で説明されているが、これは限定ではなく、セキュリティ・プロファイルは、自動化された又はプログラム的方式でマシンによって指定される場合もあり、又はシステム内で事前構成された又は供給された１つ又は複数のデフォルト・セキュリティ・プロファイルに基づいて指定される場合もある。

ステップ（３）において、ＡＺＬＭ内のログ保証レジストリ７０４は、アプリケーション及びそのセキュリティ・プロファイルがＡＺＬＭに登録される又はより一般的には「関連付けられる」機構、並びに他のコンピューティング・エンティティが、どのログ管理サービス・プロバイダ７１０が所与のセキュリティ・プロファイルに対する責任を負うのかルックアップする、例えば識別する機構（例えば１つ又は複数のタグを用いる）を提供する。レジストリ７０４は、１つ又は複数のプロセス又はプログラムが実行される１つ又は複数のコンピューティングマシンにわたるサービスとして実装することができる。１つの実施形態において、ログ保証レジストリ７０４は、１つ又は複数のログ管理サーバにより実装される。

ステップ（４）は、クラウド・プラットフォーム７００が、例えば特定の所与のセキュリティ・プロファイルの責任を負うログ管理サービス・プロバイダ７１０を発見するために、これらのログ管理サーバをクエリすることを示す。ステップ（４）は、非同期的、周期的、又は所与の条件若しくはイベント時に実行することができる。

ステップ（５）は、クラウド環境７００内のアプリケーション又はその他の要素が特定のセキュリティ・プロファイルにログソースを追加することを示す。ステップ（５）は、非同期的、周期的、又は所与の条件の組内のステップ（４）及び（５）の相対的位置は、いかなる意味でも限定として解釈すべきではない。これらの動作は、いつでも行うことができる。

ＡＺＬＭ内のセキュリティ構成ブローカ７０６は、幾つかの責任を有する。この要素は、１つ又は複数のプロセッサ又はプログラムが実行される１つ又は複数のコンピューティングマシンにわたるサービスとして実装することができる。好ましくは、セキュリティ構成ブローカは、１つ又は複数の機能／動作を露出するアプリケーション・プログラミング・インタフェース（ＡＰＩ）をサポートする。一般に、ブローカ・コンポーネント７０６は、ログ登録要求を適切なログ管理サービス・プロバイダに転送する。これはステップ（６ａ）として示されており、これはログソース追加ＡＰＩ機能を呼び出すことにより達成される。ステップ（６ｂ）は、セキュリティ構成ブローカ７０６の別の一次機能、すなわち、クラウド環境７００内のログソース又はリソースの１つ又は複数を構成して、クラウド上で展開されているアプリケーションに関連付けられたセキュリティ・プロファイル７１４を実装すること、を示す。この要求された構成は、ログソース又はそれに関連付けられたアプリケーションが１つ又は複数のイベントコレクタ７０８にログを転送することを保証する。したがって、ステップ（７ａ）は、ログデータの実際の収集を表す。ステップ（７ｂ）において、ログ管理サービス・プロバイダ７１０は、指定されたセキュリティポリシー７１４に従って、アプリケーションから（そして特にそれに関連付けられたイベントコレクタ７０８から）ログを収集する。

ステップ（８）において、ログ管理サービス・プロバイダ７１０は、１つ又は複数のセキュリティイベントに対して参照セット７１２を作成する。これは従来のログ処理機能である。ステップ（９）において、参照セット７１２は、インタフェースを介して、例えばアプリケーション開発者７０１に出力される。情報は、任意の便利な方式（例えば、物理的レポート、ディスプレイ上のデータ、１つ又は複数のウェブページ、メッセージ、通知、警告などとして）で提供することができる。データは、閲覧、検索、解析、又はそれ以外の方法で処理することができる（例えば監査又は他のコンプライアンス目的で）。

アプリケーションリソース又はセキュリティポリシーが変更されると、アプリケーション・ゾーン・ログ・マネージャ７０２に通知される。これはステップ（１０）として示される。これに応答して、セキュリティ構成ブローカ７０６は、ログ保証を提供するのに適するように設定を更新することができる。

保証レジストリ７０４及びセキュリティ構成ブローカ７０６は、別個の要素として示されているが、これは必要条件ではない。これらの動作を組み合わせることができる。さらに、上記のように、これらの機構は、コンピュータの組として実装することができ、ここでコンピュータの組は、コンピュータの組が、説明された動作を実行するプログラム命令の組にそれぞれ関連付けられた動作を行うことができるように、１つ又は複数のストレージ又はメモリデバイスに動作可能に接続される。

当業者には認識されるように、ＡＺＬＭは、集中ログ管理システム／サービスとして動作する。好ましくは、１つ又は複数のログ管理サービス・プロバイダ７１０は、ログデータの実際の収集及びストレージのために独自のログサーバを設ける。動作時、クラウド・プラットフォーム７００は、新たなアプリケーション及びイメージを従来の方式で供給する。展開の際、展開アプライアンス、システム又はプラットフォーム（例えば図４〜図５）は、集中ログ管理サービス（ＡＺＬＭ）にクエリすることができる。このようなクエリは、典型的には、アプリケーション・コンテキスト、及び展開トポロジを提供する。ＡＺＬＭ（典型的にはセキュリティ構成ブローカ７０６）は、供給されたアプリケーション・コンテキスト及び展開トポロジを、定義されたログ要件（例えば、ＩＳＯ要件、管理者固有設定、等）と対照して参照し、ログファイル、レジデンシ（residency）及び寿命（longevity）要件の適用可能な組を決定する。ＡＺＬＭ（典型的にはセキュリティ構成ブローカ７０６）は次に、必要なログ収集要件を識別／指定し、要求展開プロセスに命令して、必要に応じて１つ又は複数のログソース及びイベントコレクタを要件を満たすように構成する。ログデータは、ログソースにより生成され、ログは、展開されたアプリケーションについて指定されたログ管理サービスプロバイダ（及びそのログサーバ）に送られ、ログ管理サービス・プロバイダ内のログサービスは、例えばログコンテキストに基づいて、監査要件を処理する。

本明細書の主題は、著しい利点をもたらす。これは、例えばアプリケーション・コンテキスト及び展開トポロジに基づいて、ログ要件の動的識別を可能にする。アプリケーション又はイメージが展開されるとき、好ましくは、展開システムがログ保証レジストリとハンドシェークして、展開されるクラウド・アプリケーションのために必要となる適用可能なログを識別する。セキュリティ構成ブローカは、要求されたログ要素を構成する。ログは、収集され、１つ又は複数のログ管理サービス・プロバイダに関連付けられた１つ又は複数のロギングサーバに自動的に送られる。好ましくは、ログ管理サービス・プロバイダは、識別されたログ要件に関連付けられる。タグ又はセキュリティ・プロファイルに基づいて、ＡＺＬＭは、アプリケーションにより使用されるクラウドリソースを識別し、必要に応じてログ管理サービス・プロバイダに命令して参照セットの作成を促進する。この手法は、任意の新たに展開されたアプリケーションに対して、適合するロギングサーバが見つからないときに、ログ要件を扱うための新たなロギングサーバの単純かつ効率的な展開を可能にする。この手法は、アプリケーション側又はポリシー側の変更に基づいて、ロギング接続の効率的な再構成を可能にする。この手法はさらに、アプリケーション側又はポリシー側の変更に基づいて、ロギングサーバの再構成を可能にする。

もちろん、上記例のシナリオ及び変形は、開示される主題を制限するものと解釈すべきではない。完璧を期して、図８は、リソースの仮想化をサポートし、その中に本開示のアプリケーション・ゾーン・ログ・マネージャ（ＡＺＬＭ）を実装することができる典型的なＩＴインフラストラクチャを示す。説明の目的で、共有（パブリック）リソースを提供するＩＴデータセンタは「プロバイダ」であり、これらの共有リソースを使用してそのデータ及びアプリケーション（全ての形態で）をホストし、格納し及び管理する顧客又は会社は、「サブスクライバ」（又は「顧客」又は「テナント」）である。図８には、例示的な仮想マシン・ホスティング環境（あるいは本明細書ではデータセンタ又は「クラウド」と呼ばれる）が示されている。この環境は、典型的にはハイパーバイザ管理ＶＬＡＮ８０６を介して、物理データセンタ・ネットワーク８０４に接続されたホストマシン（ＨＶ）８０２（例えば、サーバ又は同様の物理マシン・コンピューティング・デバイス）を含む。明示的に描かれていないが、典型的には、この環境はまた、ロードバランサ、ネットワークデータスイッチ（例えば、トップ・オブ・ラック・スイッチ）、ファイアウォールなども含む。図８に示すように、物理サーバ８０２は、仮想化技術を用いて１つ又は複数の仮想マシン（ＶＭ）８０８を動的に提供するように各々が適合されている。このような技術は、例えばＶＭｗａｒｅ（登録商標）又はその他から市販されている。サーバ仮想化は、当該分野で周知の技術である。図示されるように、多数のＶＭを単一のホストマシン内に配置して、ホストマシンのＣＰＵ、メモリ及び他のリソースを共有することができ、それにより組織のデータセンタの利用率が高められる。この環境において、テナントアプリケーション８１０は、ネットワーク・アプライアンス８１２内にホストされ、テナントデータは、データストア及びデータベース８１４内に格納される。アプリケーション及びデータストアは、典型的にはネットワーク管理／ストレージＶＬＡＮ８１６を介して、物理データセンタ・ネットワーク８０４に接続される。集合的に、仮想マシン、アプリケーション及びテナントデータは、サブスクライバがアクセス可能な仮想化リソース管理ドメイン８０５を表す。このドメインを通じて、サブスクライバの従業員は、プロバイダにより割り当てられ、物理ＩＴインフラストラクチャにより裏付けられた（backed）仮想化リソースにアクセスし、これを（種々の役割ベース特権を用いて）管理することができる。インフラストラクチャの下部は、プロバイ・ダアクセス可能管理ドメイン８１５を示す。このドメインは、プロバイダ従業員管理ポータル８１８と、ＢＳＳ／ＯＳＳ管理機能８２０と、種々の識別情報及びアクセス管理機能８２２と、セキュリティポリシー・サーバ８２４と、サーバイメージ８２８を管理するための管理機能８２６と、を含む。これらの機能は、管理ＶＬＡＮ８３０を介して物理データセンタ・ネットワークとインタフェースする。プロバイダの従業員は、彼らが有するＩＴデータセンタ・インフラストラクチャ（例えば、ハードウェア及びソフトウェア・インストレーション、構成、監視、技術サポート、課金、等）を管理するために用いる運用及びビジネス・サポート・サービス（ＯＳＳ／ＢＳＳ）に対するアクセスが由来する、専門化された特権（及びおそらくは特定のクライアント／ネットワーク）を有する。

一般化すると、クラウド・コンピューティング・インフラストラクチャは、ネットワーク及び１つ又は複数のサーバ介して接続されたホストマシン（例えばサーバ又は同様の物理マシン・コンピューティング・デバイス）を含む仮想マシン・ホスティング環境を規定する。典型的には、物理サーバは、各々、ＶＭｗａｒｅ ＥＳＸ／ＥＳＸｉなどの仮想化技術を用いて１つ又は複数の仮想マシンを動的に提供するように各々が適合されている。複数のＶＭを単一のホストマシン内に配置して、ホストマシンのＣＰＵ、メモリ及びその他のリソースを共有することができ、それにより組織のデータセンタの利用率が高められる。とりわけ、管理サーバは、インフラストラクチャを監視し、必要に応じて、例えば仮想マシンをホスト間で動かすことにより、ＶＭ配置を自動的に操作する。

非限定的な実装において、代表的なプラットフォーム技術は、限定しないが、ＶＭｗａｒｅ ｖＳｐｈｅｒｅ４．１更新１及び５．０を伴うＩＢＭ Ｓｙｓｔｅｍ ｘ（登録商標）サーバである。

上述のように、本明細書の手法は、手動で又は自動化された方式で、全体的に又は部分的に実装することができる。

好ましい動作環境及び使用事例（クラウド・アプライアンス又はプラットフォーム）を説明してきたが、本明細書における技術は、所与のセキュリティ・コンテキストを強化すると同時に、アプリケーション又は他のサービスを展開することが所望されるその他の任意の動作環境で用いることができる。

説明してきたように、上述の機能は、スタンドアロン型手法、例えば１つ又は複数のハードウェアプロセッサにより実行される１つ又は複数のソフトウェアベースの機能として実装される場合もあり、又は管理されたサービス（ウェブサービスとしてＳＯＡＰ／ＸＭＬインタフェースを介して含む）として利用可能なものとされる場合もある。本明細書において詳述された特定のハードウェア及びソフトウェア実装は、例証目的に過ぎず、説明された主題の範囲を限定することを意味しない。

より一般的には、開示される主題の文脈内のコンピューティングデバイスは、各々がハードウェア及びソフトウェアを含むデータ処理システム（図２に示すような）であり、これらのエンティティは、インターネット、イントラネット、プライベート・ネットワーク、又は他の通信媒体若しくはリンクなどのネットワーク上で互いに通信する。データ処理システム上のアプリケーションは、とりわけＨＴＴＰ、ＦＴＰ、ＳＭＴＰ、ＳＯＡＰ、ＸＭＬ、ＷＳＤＬ、ＵＤＤＩ及びＷＳＦＬのためのサポートを含むがこれらに限定されない、ウェブ並びに他の既知のサービス及びプロトコルのためのネイティブ・サポートを提供する。ＳＯＡＰ、ＷＳＤＬ、ＵＤＤＩ及びＷＳＦＬに関する情報は、これらの規格の開発及び管理の責任を負うワールド・ワイド・ウェブ・コンソーシアム（Ｗ３Ｃ）から入手可能であり、ＨＴＴＰ、ＦＴＰ、ＳＭＴＰ及びＸＭＬに関するさらなる情報は、インターネット技術タスクフォース（ＩＥＴＦ）から入手可能である。

クラウドベース環境に加えて、本明細書で説明される技術は、単純なｎ層アーキテクチャ、ウェブポータル、連合システムなどを含む種々のサーバ側アーキテクチャ内で又はそれと関連して実装することができる。

さらにより一般的には、本明細書で説明される主題は、完全にハードウェアの実施形態、完全にソフトウェアの実施形態又はハードウェア及びソフトウェア要素の両方を含む実施形態の形をとることができる。好ましい実施形態において、セキュリティ保証サービス（又はそのいずれかのコンポーネント）は、ソフトウェアで実装され、これは、ファームウェア、常駐ソフトウェア、マイクロコードなどを含むがこれらに限定されない。さらに、ダウンロード及び削除インタフェース及び機能は、コンピュータ又はいずれかの命令実行システムによる又はそれとの関連での使用のためのプログラムコードを提供するコンピュータ使用可能又はコンピュータ可読媒体からアクセス可能な、コンピュータ・プログラム製品の形態をとることができる。この説明の目的で、コンピュータ使用可能又はコンピュータ可読媒体は、命令実行システム、装置、又はデバイスによる又はそれとの関連での使用のためのプログラムを収容又は格納することができるいずれかの装置とすることができる。媒体は、電子、磁気、光、電磁気、赤外、又は半導体のシステム（又は装置若しくはデバイス）とすることができる。コンピュータ可読媒体の例は、半導体又は固体メモリ、磁気テープ、取外し可能コンピュータディスケット、ランダム・アクセス・メモリ（ＲＡＭ）、読み出し専用メモリ（ＲＯＭ）、剛性磁気ディスク及び光ディスクを含む。光ディスクの現在の例は、コンパクトディスク−読出し専用メモリ（ＣＤ−ＲＯＭ）、コンパクトディスク−読出し／書込み（ＣＤ−Ｒ／Ｗ）及びＤＶＤを含む。コンピュータ可読媒体は、有形の非一時的アイテムである。

コンピュータ・プログラム製品は、説明した機能のうちの１つ又は複数を実装するプログラム命令（又はプログラムコード）を有する製品とすることができる。これらの命令又はコードは、遠隔データ処理システムからネットワーク上でダウンロードした後で、データ処理システム内でコンピュータ可読ストレージ媒体に格納することができる。又は、これらの命令又はコードは、サーバデータ処理システム内でコンピュータ可読ストレージ媒体に格納することができ、遠隔システム内のコンピュータ可読ストレージ媒体での使用のために、ネットワーク上で遠隔データ処理システムへダウンロードされるように適合させることができる。

代表的な実施形態において、この技術は、専用コンピューティング・プラットフォーム内で、好ましくは１つ又は複数のプロセッサにより実行されるソフトウェアで実装することができる。ソフトウェアは、１つ又は複数のプロセッサに関連付けられた１つ又は複数のデータストア又はメモリ内で維持され、ソフトウェアは、１つ又は複数のコンピュータ・プログラムとして実装することができる。集合的に、この専用ハードウェア及びソフトウェアは、上述の機能を含む。

上述のような好ましい実施形態において、本明細書で提供される機能は、既存のクラウド・コンピュート展開ソリューションの付属物又は拡張として実装される。

上記は本発明の特定の実施形態により行われる特定の動作順序を記載するが、このような順序は例示であり、代替的な実施形態は、これら動作を異なる順序で行うこと、特定の動作を組み合わせること、特定の動作を重ねること、などができることを理解されたい。明細書内で所与の実施形態を参照することは、その記載された実施形態が、特定の特徴、構造、又は特性を含むことができることを示すが、必ずしもあらゆる実施形態がその特定の特徴、構造、又は特性を含む必要はない。

最後に、システムの所与のコンポーネントは別々に説明されているが、当業者は、機能の幾つかを、所与の命令、プログラムシーケンス、コード部分などにおいて組み合わせるか又は共用することができることを認識するであろう。

本明細書の技術は、別の技術又は技術分野、すなわち、クラウド展開を管理するコンピューティング・エンティティに対する改善、並びにクラウド・アプリケーション及びその他の関連するロギング・ファシリティ及びシステムの機能に対する改善を規定する。

上記のように、ログデータの性質及びそのデータの使用目的（例えば監査、コンプライアンス等）は本開示の限定ではない。

我々の発明を説明してきたが、ここで特許請求するのは以下の通りである。

１００：分散型データ処理システム
２００：データ処理システム

Claims (10)

1. コンピュータの情報処理によるクラウド環境内の自動化ログ管理方法であって、
   １つ又は複数のロギング要件を含むセキュリティ・プロファイルを前記クラウド上で展開されているアプリケーションに関連付けることと、
   前記クラウド環境での前記アプリケーションの展開に関連して、前記展開されているアプリケーションについての１つ又は複数のロギング要件をサポートするために前記クラウド環境内のログ・リソースの組の構成を要求するクエリを受け取ることであって、前記クエリは、アプリケーション・コンテキスト及び展開トポロジに関連付けられている、クエリを受け取ることと、
   前記クエリに応答して、前記セキュリティ・プロファイル、前記アプリケーション・コンテキスト及び前記展開トポロジに基づいて、前記アプリケーションについて適用可能なログ・ファイルの組、レジデンシ、寿命の要件を決定し、前記決定された適用可能なログ・ファイルの組に合致する、前記ログ・リソースの組を識別することと、
   アプリケーションが前記クラウド環境に展開されると、前記識別された前記ログ・リソースの組の構成をイネーブルにするために構成情報を前記クラウド環境に提供することと、
   を含む方法。
2. 前記セキュリティ・プロファイルがセキュリティ・プロファイルの組から選択される、請求項１に記載の方法。
3. 前記１つ又は複数のロギング要件が、ログデータ型式及び周期、データ保持要件、データ難読化要件、並びにユーザ定義要件のうちの１つを含む、請求項１に記載の方法。
4. 展開されている第１のアプリケーションについての前記セキュリティ・プロファイルが、展開されている第２のアプリケーションについての前記セキュリティ・プロファイルとは異なる、請求項１に記載の方法。
5. 前記アプリケーション及びその関連付けられたアプリケーション・コンテキストを登録することをさらに含む、請求項１に記載の方法。
6. 前記登録することが、前記クラウド環境内での前記アプリケーションの使用に関連してログデータを収集、格納及び提供するための、複数の管理サービス・プロバイダから少なくとも１つのログ管理サービス・プロバイダを指定することをさらに含む、請求項５に記載の方法。
7. 前記アプリケーションの前記セキュリティ・プロファイルに関連付けられた適用可能なセキュリティーポリシーに対する変更に基づいて、更新された構成情報を提供することと、前記クラウド環境内でロギングサーバの再構成又はリソースを再構築することと、をさらに含む請求項１に記載の方法。
8. 請求項１〜７の何れか１項に記載の方法の各ステップを、コンピュータ・ハードウェアによる手段として構成した、装置。
9. 請求項１〜７の何れか１項に記載の方法の各ステップを、コンピュータに実行させる、コンピュータ・プログラム。
10. 請求項９に記載の前記コンピュータ・プログラムを、コンピュータ記録可能ストレージ媒体に記録した、ストレージ媒体。

Images