JP7144819B1 - プログラム、コンピュータ、システム及び方法 - Google Patents

Abstract

【課題】暗号化されたコンテナイメージの復号に必要となる復号鍵をクライアントが保有する場合であってもコンテナイメージをクライアントが復号するプログラム、コンピュータ、システム及び方法を提供する。【解決手段】システム１のプログラムは、サーバ３に、コンテナイメージ５を複数のパーツ６に分割する第１ステッと、複数のパーツ６を暗号化する第２ステップ、暗号化したパーツ６を含む複数のパーツ６の少なくとも一部を異なる複数のサーバ３に送信する第３ステップ、端末装置７からコンテナイメージ５の展開要求を受け入れたら複数のサーバ３から複数のパーツ６を取得する第４ステップ、取得したパーツ６のうち、暗号化されたパーツ６を復号化する第５ステップ、復号化したパーツ６を含む取得した複数のパーツ６からコンテナイメージ５を生成する第６ステップ及び生成したコンテナイメージ５に基づいてコンテナ８を実現する第７ステップを実行させる。【選択図】図１

Description

本開示は、プログラム、コンピュータ、システム及び方法に関する。

仮想ソフトウェア単位の１つにコンテナがある。コンテナ仮想環境では、サーバのＯＳ（Operating System）により管理されるメモリ空間が仮想的に分割され、分割されたそれぞれのメモリ空間内において複数のコンテナが実行される。各々のコンテナは、それぞれが他の環境と完全に独立した環境で実行される。よって、コンテナは自身のコンテナ以外のコンテナのファイルにアクセスする可能性がないため、コンテナ仮想環境が実現されたサーバの機密性は、通常のサーバに比べて高い。また、コンテナ仮想環境では全てのコンテナがＯＳの同じカーネル空間を共用するため、他の仮想化に比べてリソースの利用効率が高い。

コンテナは、データを永続的に保持しない一時的なオブジェクトである。すなわちコンテナ仮想環境では、コンテナが起動すると実行中に限りコンテナ内に情報が保持される。また、コンテナの停止と共にコンテナ内に保持されていた情報は破棄される。

コンテナ仮想環境を提供するシステム運営者は、例えばシステム運営者が運営するサーバのメモリ区画に１つ以上のコンテナを配備できる。システム運営者は、配備対象のコンテナのコンテナイメージをサーバに与える。なお、コンテナイメージは、実行されているコンテナから生成されたイメージファイルである。

コンテナ仮想環境の一例として、Microsoft Azure（登録商標）が知られている（例えば非特許文献１参照）。Azureでは、コンテナイメージは保存前に自動的に暗号化され、アプリケーションやサービスがコンテナイメージをプルするときにその場で復号されている。

また、例えば、特許文献１に開示された技術では、ソフトウェア定義インフラストラクチャ内のセキュリティを提供することを目的として、コンテナは計算サブコンテナに分割され、コンテナはメモリ空間を分けることによって分離されており、分離はパーティショニング、暗号化によって実現される。

特表２０１８－５０９７１７号公報

"Azure Container Apps | Microsoft Azure"，［online］，Microsoft Corporation，［令和４年３月２２日検索］，インターネット＜URL: https://azure.microsoft.com/ja-jp/services/container-apps/＞

しかし、上述した技術において、クライアントがサーバの管理権限を持っていると、クライアントがコンテナイメージの復号に必要となる復号鍵を持ってしまっている状況が発生する。このため、クライアントがコンテナイメージを取得することができてしまい、クライアントがコンテナイメージを復号し、取得することができてしまう可能性があった。

そこで、本開示は、上記課題を解決すべくなされたものであって、その目的は、暗号化されたコンテナイメージの復号に必要となる復号鍵をクライアントが保有する場合であっても、コンテナイメージをクライアントが復号することができないプログラム、コンピュータ、システム及び方法を提供することである。

一実施形態によると、コンテナ仮想化環境を提供するコンピュータを動作させるためのプログラムが提供される。ここに、コンピュータはプロセッサとメモリとを備える。このプログラムは、プロセッサに、コンテナ仮想化環境におけるコンテナを実現するためのコンテナイメージを複数のパーツに分割する第１ステップと、複数のパーツのうち少なくとも１つのパーツを暗号化する第２ステップと、暗号化したパーツを含む複数のパーツの少なくとも一部を異なる複数のサーバに送信する第３ステップと、クライアントからコンテナイメージの展開要求を受け入れたら複数のサーバから複数のパーツを取得する第４ステップと、取得したパーツのうち、暗号化されたパーツを復号化する第５ステップと、復号化したパーツを含む取得した複数のパーツからコンテナイメージを生成する第６ステップと、生成したコンテナイメージに基づいてコンテナを実現する第７ステップとを実行させる。

本開示によれば、暗号化されたコンテナイメージの復号に必要となる復号鍵をクライアントが保有する場合であっても、コンテナイメージをクライアントが復号することができないプログラム、コンピュータ、システム及び方法を提供することができる。

実施形態に係るシステムの概要を示す図である。 実施形態に係るシステムのハードウェア構成を示すブロック図である。 実施形態に係る管理サーバの機能的な構成を示す図である。 実施形態に係るコンテナサーバの機能的な構成を示す図である。 実施形態に係るサーバの機能的な構成を示す図である。 実施形態に係るコンテナサーバのプログラム構成を示す図である。 実施形態に係るコンテナサーバに格納されたコンテナ管理ＤＢのデータ構造を示す図である。 実施形態に係るコンテナサーバに格納されたパーツ管理ＤＢのデータ構造を示す図である。 実施形態に係るコンテナサーバの動作の一例を説明するためのフローチャートである。 実施形態に係るシステムの動作の一例を説明するためのシーケンス図である。

以下、本開示の実施形態について図面を参照して説明する。実施形態を説明する全図において、共通の構成要素には同一の符号を付し、繰り返しの説明を省略する。なお、以下の実施形態は、特許請求の範囲に記載された本開示の内容を不当に限定するものではない。また、実施形態に示される構成要素のすべてが、本開示の必須の構成要素であるとは限らない。また、各図は模式図であり、必ずしも厳密に図示されたものではない。

また、以下の説明において、「プロセッサ」は、１以上のプロセッサである。少なくとも１つのプロセッサは、典型的には、ＣＰＵ（Central Processing Unit）のようなマイクロプロセッサであるが、ＧＰＵ（Graphics Processing Unit）のような他種のプロセッサでもよい。少なくとも１つのプロセッサは、シングルコアでもよいしマルチコアでもよい。

また、少なくとも１つのプロセッサは、処理の一部又は全部を行うハードウェア回路（例えばＦＰＧＡ（Field-Programmable Gate Array）又はＡＳＩＣ（Application Specific Integrated Circuit））といった広義のプロセッサでもよい。

また、以下の説明において、「ｘｘｘテーブル」といった表現により、入力に対して出力が得られる情報を説明することがあるが、この情報は、どのような構造のデータでもよいし、入力に対する出力を発生するニューラルネットワークのような学習モデルでもよい。従って、「ｘｘｘテーブル」を「ｘｘｘ情報」と言うことができる。

また、以下の説明において、各テーブルの構成は一例であり、１つのテーブルは、２以上のテーブルに分割されてもよいし、２以上のテーブルの全部又は一部が１つのテーブルであってもよい。

また、以下の説明において、「プログラム」を主語として処理を説明する場合があるが、プログラムは、プロセッサによって実行されることで、定められた処理を、適宜に記憶部及び／又はインタフェース部などを用いながら行うため、処理の主語が、プロセッサ（或いは、そのプロセッサを有するコントローラのようなデバイス）とされてもよい。

プログラムは、計算機のような装置にインストールされてもよいし、例えば、プログラム配布サーバ又は計算機が読み取り可能な（例えば非一時的な）記録媒体にあってもよい。また、以下の説明において、２以上のプログラムが１つのプログラムとして実現されてもよいし、１つのプログラムが２以上のプログラムとして実現されてもよい。

また、以下の説明において、種々の対象の識別情報として、識別番号が使用されるが、識別番号以外の種類の識別情報（例えば、英字や符号を含んだ識別子）が採用されてもよい。

また、以下の説明において、同種の要素を区別しないで説明する場合には、参照符号（又は、参照符号のうちの共通符号）を使用し、同種の要素を区別して説明する場合は、要素の識別番号（又は参照符号）を使用することがある。

また、以下の説明において、制御線や情報線は、説明上必要と考えられるものを示しており、製品上必ずしも全ての制御線や情報線を示しているとは限らない。全ての構成が相互に接続されていてもよい。

以下、本明細書で使用する用語について説明する。但し、これら用語の解釈について、一般的な解釈を排除する意図はない。
・コンテナは、データを永続的に保持しない一時的なオブジェクトである。
・コンテナ仮想化環境は、１台のハードウェア（情報処理装置）上の１つのＯＳに、コンテナを複数配置して構成した仮想化環境である。
・コンテナイメージは、独立した実行可能なコードを含む静的ファイルである。１台のハードウェア上でコンテナイメージが実行されると、このハードウェア上にコンテナを生成する。

＜実施形態＞
＜実施形態の概要＞
実施形態に係るシステムは、コンテナサーバにコンテナをデプロイすることによりコンテナ仮想化環境を実現するシステムである。コンテナサーバにコンテナイメージが生成され、生成されたコンテナイメージは所定の手順により複数のパーツに分割される。分割されたパーツの少なくとも一つは暗号化される。暗号化されたパーツを含む複数のパーツは、それぞれ異なるサーバに送信され、このサーバに保管される。クライアントからコンテナ実装（デプロイ）のリクエストが来ると、コンテナサーバは、パーツを送信したサーバに対して保管しているパーツの送信をリクエストする。サーバはこのリクエストに基づいて、保管していたパーツをコンテナサーバに送信する。この際、サーバはパーツに対して時限情報（パーツの有効期限、など）を付加してコンテナサーバに送信する。コンテナサーバは、サーバから送信されてきたパーツに基づいてコンテナイメージを再生成し、このコンテナイメージに基づいてコンテナをデプロイする。その後、クライアントは、コンテナサーバにデプロイされたコンテナを用いて各種情報処理を行う。

図１を参照して、実施形態であるシステムの概要について説明する。

実施形態に係るシステム１は、管理サーバ２と、コンテナサーバ４と、複数のサーバ３とを有し、これら管理サーバ２、コンテナサーバ４及びサーバ３が、図１において図示を省略しているネットワークを介して互いに通信可能に構成されている。図１及び後述する図２において、システム１は２つのサーバ３を有しているが、システム１において複数のサーバ３を有していれば足り、その個数に制限はない。また、図１及び図２において、サーバ３は直接（つまりネットワークを介さずに）接続されていないが、本実施例において、複数のサーバ３が直接接続される態様を排除する意図はない。加えて、本実施形態のシステム１では管理サーバ２とコンテナサーバ４とで役割を異ならせた２つのサーバを有した構成になっているが、管理サーバ２とコンテナサーバ４とを同一のサーバにより構成してもよい。

以下の説明において、サーバ３は広い意味に捉えるべきである。つまり、サーバ３はプロセッサ単位であってもよく、コンピュータ等の情報処理装置単位であってもよく、さらには、複数の情報処理装置をまとめた、例えばサーバ群であってもよい。加えて、サーバ３は、物理的サーバを複数台まとめて１つの論理的サーバとした、いわゆる仮想サーバ（仮想ドライブ）であってもよい。サーバ３と管理サーバ２、コンテナサーバ４との位置関係についても特段の限定はなく、オンプレミス、エッジ、クラウド、いずれの設置態様であってもよい。

図１（ａ）に示すように、管理サーバ２はコンテナイメージ５を複数のパーツ６に分割する。コンテナイメージ５は管理サーバ２が生成してもよいし、後述するクライアントである端末装置７が生成して管理サーバ２に送出してもよい。管理サーバ２によりコンテナイメージ５を複数のパーツ６に分割する手順は任意であり、特段の制限はない。一例として、コンテナイメージ５の内容に無関係に、一定のデータ量（ブロック）毎に複数のパーツ６に分割する、コンテナイメージ５内のコードの内容に基づいて複数のパーツ６に分割する等の手順が挙げられる。好ましくは、コンテナサーバ４は定期的に分割手順を変更して新たに複数のパーツ６に分割し、新たに分割したパーツ６をサーバ３に送信する。この際、パーツ６に分割手順を特定する情報を付加することが好ましい。パーツ６が送信されたサーバ３は、このパーツ６を自身のサーバ３内に格納する。

次いで、管理サーバ２は、分割して生成した複数のパーツ６の少なくとも１つを暗号化する。好ましくは、管理サーバ２は、複数のパーツ６の全てについて暗号化をする。暗号化処理が終了したら、管理サーバ２は、暗号化したパーツを含めたパーツ６のうち少なくとも一部のパーツ６を、それぞれ異なるサーバ３に送信する。サーバ３に送信されないパーツ６はコンテナサーバ４に送信される。ここで、管理サーバ２からサーバ３へのパーツ６の送信、及び、後述する、サーバ３からコンテナサーバ４への送信は、ネットワークを介したオンラインによる送信に限定されず、例えば、ＵＳＢメモリ等の可搬性記憶媒体を用いたオフラインによる送信であってもよい。

次いで、図１（ｂ）に示すように、クライアントである端末装置７は、コンテナサーバ４に対してコンテナの実装（デプロイ）のリクエストを送信する。このリクエストを受信したコンテナサーバ４は、パーツ６を送信したサーバ３に対してパーツ６の送信をリクエストする。リクエストを受信したサーバ３は、自身のサーバ３に格納したパーツ６をコンテナサーバ４に送出する。この際、サーバ３は、アクティベーション情報、例えば、パーツ６の有効期限やパーツ６の送信日時に関する情報をパーツ６に付してコンテナサーバ４に送出する。

全てのパーツ６がコンテナサーバ４に送出されたとコンテナサーバ４が判断したら、コンテナサーバ４は、これらパーツ６に基づいてコンテナイメージ５を再生成する。この際、コンテナサーバ４は、暗号化されたパーツ６については復号化処理を行い、また、パーツ６に付されたアクティベーション情報を確認して、パーツ６が正しいアクティベーション情報を有するかどうかを確認してコンテナイメージ５を再生成する。

そして、図１（ｃ）に示すように、コンテナサーバ４は、再生したコンテナイメージ５をデプロイすることで、コンテナサーバ４にコンテナ８を実装する。その後、端末装置７は、コンテナサーバ４に実装されたコンテナ８を用いて各種情報処理を行う。

＜システム１の基本構成＞
図２を参照して、実施形態であるシステム１の基本構成について説明する。

図２は、実施形態のシステム１の全体の構成を示す図である。図２に示すように、本実施形態のシステム１は、ネットワーク８０を介して接続された複数の端末装置１０（図２では、端末装置１０Ａ及び端末装置１０Ｂを示している。以下、総称して「端末装置１０」ということもある）、管理サーバ２０、コンテナサーバ４０及びサーバ３０（図２では、サーバ３０Ａ及びサーバ３０Ｂを示している。以下、総称して「サーバ３０」ということもある）を有する。管理サーバ２０の機能構成を図３に、コンテナサーバ４０の機能構成を図４に、サーバ３０の機能構成を図５に示す。これら管理サーバ２０、コンテナサーバ４０、サーバ３０及び端末装置１０は、情報処理装置により構成されている。

情報処理装置は演算装置と記憶装置とを備えたコンピュータにより構成されている。コンピュータの基本ハードウェア構成および、当該ハードウェア構成により実現されるコンピュータの基本機能構成は後述する。なお、管理サーバ２０、コンテナサーバ４０、サーバ３０及び端末装置１０のそれぞれについて、後述するコンピュータの基本ハードウェア構成およびコンピュータの基本機能構成と重複する説明は繰り返さない。

端末装置１０は、各ユーザが操作する装置である。ここで、ユーザとは、端末装置１０を使用して、コンテナサーバ４０に実装されたコンテナを用いて各種情報処理を行う者であり、システム１の利用者である。端末装置１０は、例えば移動体通信システムに対応したタブレットや、スマートフォン等の携帯端末であっても、据え置き型のＰＣ（Personal Computer）、ラップトップＰＣ等、さらにはサーバ３０とは別体のサーバであってもよい。

端末装置１０は、ネットワーク８０を介して管理サーバ２０、サーバ３０、コンテナサーバ４０と通信可能に接続される。端末装置１０は、４Ｇ、５Ｇ、ＬＴＥ（Long Term Evolution）等の通信規格に対応した無線基地局８１、ＩＥＥＥ（Institute of Electrical and Electronics Engineers）８０２．１１等の無線ＬＡＮ（Local Area Network）規格に対応した無線ＬＡＮルータ８２等の通信機器と通信することにより、ネットワーク８０に接続される。端末装置１０と無線ＬＡＮルータ８２等の間を無線で接続する場合、通信プロトコルとして例えば、Ｚ－Ｗａｖｅ（登録商標）、ＺｉｇＢｅｅ（登録商標）、Ｂｌｕｅｔｏｏｔｈ（登録商標）等が含まれる。有線で接続する場合は、ＵＳＢ（Universal Serial Bus）ケーブル等により直接接続するものも含む。

図２に端末装置１０Ｂとして示すように、端末装置１０は、通信ＩＦ（Interface）１２と、入力装置１３と、出力装置１４と、メモリ１５と、記憶部１６と、プロセッサ１９とを備える。

通信ＩＦ１２は、端末装置１０がコンテナサーバ４０などの外部の装置と通信するため、信号を入出力するためのインタフェースである。入力装置１３は、ユーザからの入力操作を受け付けるための入力装置（例えば、キーボードや、タッチパネル、タッチパッド、マウス等のポインティングデバイス等）である。出力装置１４は、ユーザに対し情報を提示するための出力装置（ディスプレイ、スピーカ等）である。メモリ１５は、プログラム、及び、プログラム等で処理されるデータ等を一時的に記憶するためのものであり、例えばＤＲＡＭ（Dynamic Random Access Memory）等の揮発性のメモリである。記憶部１６は、データを保存するための記憶装置であり、例えばフラッシュメモリ、ＨＤＤ（Hard Disc Drive）である。プロセッサ１９は、プログラムに記述された命令セットを実行するためのハードウェアであり、演算装置、レジスタ、周辺回路等により構成される。

管理サーバ２０は、コンテナイメージをパーツに分割してサーバ３０に送信する機能を有する情報処理装置であり、コンテナサーバ４０は、コンテナが実装される情報処理装置であり、いずれもシステム１の運営者により運営される。サーバ３０は、管理サーバ２０が生成したパーツが格納される情報処理装置である。なお、サーバ３０の運営者は管理サーバ２０、コンテナサーバ４０の運営者と必ずしも同一人物である必要はないが、好ましくは、管理サーバ２０及びコンテナサーバ４０とサーバ３０との運営者は同一人物である。

図２では管理サーバ２０のハードウェア構成のみ図示しているが、コンテナサーバ４０及びサーバ３０のハードウェア構成も管理サーバ２０と同様であるので、図示を行わない。管理サーバ２０は、通信ＩＦ２２と、入出力ＩＦ２３と、メモリ２５と、ストレージ２６と、プロセッサ２９とを備える。

通信ＩＦ２２は、管理サーバ２０が外部の装置と通信するため、信号を入出力するためのインタフェースである。入出力ＩＦ２３は、ユーザからの入力操作を受け付けるための図示しない入力装置、及び、ユーザに対し情報を提示するための図示しない出力装置とのインタフェースとして機能する。メモリ２５は、プログラム、及び、プログラム等で処理されるデータ等を一時的に記憶するためのものであり、例えばＤＲＡＭ（Dynamic Random Access Memory）等の揮発性のメモリである。ストレージ２６は、データを保存するための記憶装置であり、例えばフラッシュメモリ、ＨＤＤ（Hard Disc Drive）である。プロセッサ２９は、プログラムに記述された命令セットを実行するためのハードウェアであり、演算装置、レジスタ、周辺回路等により構成される。

＜管理サーバ２０の機能構成＞
管理サーバ２０のハードウェア構成が実現する機能構成を図３に示す。管理サーバ２０は、記憶部２２０、制御部２３０、通信部２４０を備える。通信部２４０は通信ＩＦ２２により構成され、記憶部２２０は管理サーバ２０のストレージ２６により構成され、制御部２３０は主に管理サーバ２０のプロセッサ２９により構成される。

通信部２４０は、ネットワーク８０を介して端末装置１０、サーバ３０等との間での通信を行う。

＜管理サーバ２０の記憶部２２０の構成＞
管理サーバ２０の記憶部２２０は、ＯＳ２２１、アプリケーションプログラム２２２、コンテナ管理ＤＢ（DataBase）２２３、及びパーツ管理ＤＢ２２４を有する。

これらコンテナ管理ＤＢ２２３等のうち、ＯＳ２２１、アプリケーションプログラム２２２、及び画面データ２２５を除くものはデータベースである。ここに言うデータベースは、リレーショナルデータベースを指し、行と列によって構造的に規定された表形式のテーブルと呼ばれるデータ集合を、互いに関連づけて管理するためのものである。データベースでは、表をテーブル、表の列をカラム、表の行をレコードと呼ぶ。リレーショナルデータベースでは、テーブル同士の関係を設定し、関連づけることができる。

通常、各テーブルにはレコードを一意に特定するための主キーとなるカラムが設定されるが、カラムへの主キーの設定は必須ではない。制御部２３０は、各種プログラムに従ってプロセッサ２９に、記憶部２２０に記憶された特定のテーブルにレコードを追加、削除、更新を実行させることができる。

図７は、コンテナ管理ＤＢ２２３のデータ構造を示す図である。コンテナ管理ＤＢ２２３は、管理サーバ２０が、コンテナサーバ４０にデプロイされる（された）コンテナを管理するためのデータベースである。

コンテナ管理ＤＢ２２３は、コンテナサーバ４０に実現されるコンテナを特定するためのコンテナＩＤを主キーとして、コンテナイメージＩＤ、コンテナ名、及び状態のカラムを有するテーブルである。

「コンテナイメージＩＤ」は、コンテナＩＤにより特定されるコンテナに対応する（正確にはこのコンテナを生成するための）コンテナイメージを特定するための情報である。「コンテナ名」は、コンテナＩＤにより特定されるコンテナの名称である。「状態」は、コンテナＩＤにより特定されるコンテナのコンテナサーバ４０における状態を示す情報である。図６に示す例では、「稼働中」とは、コンテナサーバ４０においてコンテナが実装され、端末装置１０により各種情報処理が行われている状態を示し、「展開中」とは、コンテナサーバ４０においてコンテナイメージＩＤにより特定されるコンテナイメージが展開されてコンテナが生成されている途中の状態を示している。

コンテナ管理ＤＢ２２３において、コンテナＩＤ、コンテナイメージＩＤ及び状態はコンテナサーバ４０のコンテナ実行部４３４が生成してコンテナ管理ＤＢ２２３に格納し、コンテナ名についてはコンテナ実行部４３４、あるいは、コンテナイメージを管理サーバ２０に送出した端末装置１０からの入力に基づいてコンテナ実行部４３４がコンテナ管理ＤＢ２２３に格納する。

図７は、パーツ管理ＤＢ２２４のデータ構造を示す図である。パーツ管理ＤＢ２２４は、管理サーバ２０がパーツを管理するデータベースである。

パーツ管理ＤＢ２２４は、コンテナイメージを特定するためのコンテナイメージＩＤを主キーとして、パーツＩＤ、割当サーバＩＤ及び状態のカラムを有するテーブルである。パーツ管理ＤＢ２２４におけるコンテナイメージＩＤは、コンテナ管理ＤＢ２２３におけるコンテナイメージＩＤと共通である。

「パーツＩＤ」は、コンテナイメージＩＤにより特定されるコンテナイメージに基づいて生成される（生成された）パーツを特定するための情報である。本実施例において、コンテナイメージから複数のパーツが生成されるので、一つのコンテナイメージＩＤには複数のパーツＩＤが紐付けられており、割当サーバＩＤ及び状態は個々のパーツＩＤに紐付けられている。「割当サーバＩＤ」は、パーツＩＤにより特定されるパーツが格納されているサーバを特定するための情報である。「状態」は、パーツＩＤにより特定されるパーツの状態を示す情報である。図７に示す例では、「展開済」とは、パーツＩＤにより特定されるパーツがサーバ３０から送信され、コンテナサーバ４０において展開されてコンテナイメージに復号されている状態を示し、「呼出中」とは、端末装置１０からのリクエストに応答してパーツＩＤにより特定されるパーツの送出をサーバ３０にリクエストしているが、まだサーバ３０からパーツが送信されていない状態を示し、「送信中」とは、管理サーバ２０によ分割・生成された、パーツＩＤにより特定されるパーツをサーバ３０に送信した状態を示し、「格納済」とは、パーツＩＤにより特定されるパーツがサーバ３０に格納された状態を示している。

パーツ管理ＤＢ２２４において、コンテナイメージＩＤはコンテナサーバ４０のコンテナ実行部４３４によりパーツ管理ＤＢ２２４に格納され、パーツＩＤ及び割当サーバＩＤはコンテナイメージ分割部２３３により生成されてパーツ管理ＤＢ２２４に格納され、状態はコンテナイメージ分割部２３３及びコンテナサーバ４０のコンテナイメージ復号部４３５によりパーツ管理ＤＢ２２４に格納される。

ＯＳ２２１は管理サーバ２０においてアプリケーションプログラム２２２を実行する際に用いられるソフトウェアであり、アプリケーションプログラム２２２は、管理サーバ２０において実行されることで、後述する管理サーバ２０の各種機能ユニットが実現されるソフトウェアである。

＜管理サーバ２０の制御部２３０の構成＞
管理サーバ２０の制御部２３０は、受信制御部２３１、送信制御部２３２、及びコンテナイメージ分割部２３３を備える。制御部２３０は、記憶部２２０に記憶されたアプリケーションプログラム２２２を実行することにより、これら受信制御部２３１等の機能ユニットが実現される。

受信制御部２３１は、管理サーバ２０が外部の装置から通信プロトコルに従って信号を受信する処理を制御する。

送信制御部２３２は、管理サーバ２０が外部の装置に対し通信プロトコルに従って信号を送信する処理を制御する。

コンテナイメージ分割部２３３は、コンテナイメージを複数のパーツに分割する。分割の手順は任意であり、特段の制限はない。一例として、コンテナイメージの内容に無関係に、一定のデータ量（ブロック）毎に複数のパーツに分割する、コンテナイメージ内のコードの内容に基づいて複数のパーツに分割する等の手順が挙げられる。

次いで、コンテナイメージ分割部２３３は、分割したパーツのうち少なくとも１つのパーツを暗号化する。コンテナイメージ分割部２３３による暗号化手法に特段の限定はなく、既知の暗号化手法が好適に適用可能である。但し、後述するコンテナサーバ４０のコンテナイメージ復号部２３５により復号化処理を行う際に必要とされる暗号鍵は管理サーバ２０及びコンテナサーバ４０内に格納され、サーバ３０には送信されない。これにより、仮にサーバ３０の運用者、さらには端末装置１０の運用者が管理サーバ２０及びコンテナサーバ４０の運用者と異なる場合において、これら運用者がパーツの復号化処理を行うことができないので、コンテナイメージに対するセキュリティを担保することができる。さらに、パーツを復号化するための暗号鍵は、個々のパーツで異なることが好ましい。これにより、コンテナイメージに対するセキュリティをさらに担保することができる。なお、コンテナイメージに対するセキュリティ担保という観点からは、少なくとも１つのパーツについて暗号化処理がされていればいいが、さらなるセキュリティ担保のためには全てのパーツについて暗号化処理がされていることが好ましい。

この後、コンテナイメージ分割部２３３は、分割したパーツ６のうち少なくとも一部のパーツ６を、それぞれ異なるサーバ３０に送信し、サーバ３０は、送信されたパーツ６を記憶部３２０に格納する（図５参照）。サーバ３０に送信されなかったパーツ６はコンテナサーバ４０に送出される。

好ましくは、コンテナイメージ分割部２３３は定期的に分割手順を変更して新たに複数のパーツ６に分割し、新たに分割したパーツ６をサーバ３０に送信する。この際、パーツに分割手順を特定する情報を付加することが好ましい。

以上説明したパーツ分割作業及びパーツ送信作業は、コンテナイメージ分割部２３３の少なくとも一部の機能を担う、後述するコンテナ仮想化エンジン４５２（図６参照）により実行される。

＜コンテナサーバ４０の機能構成＞
コンテナサーバ４０のハードウェア構成が実現する機能構成を図４に示す。コンテナサーバ４０は、記憶部４２０、制御部４３０、通信部４４０を備える。通信部４４０は通信ＩＦ４２により構成され、記憶部４２０はコンテナサーバ４０のストレージ４６により構成され、制御部４３０は主にコンテナサーバ４０のプロセッサ４９により構成される。

通信部４４０は、ネットワーク８０を介して端末装置１０、サーバ３０等との間での通信を行う。

＜コンテナサーバ４０の記憶部４２０の構成＞
コンテナサーバ４０の記憶部４２０は、ＯＳ４２１、アプリケーションプログラム４２２、コンテナ管理ＤＢ（DataBase）４２３、パーツ管理ＤＢ４２４、及び画面データ４２５を有する。

これらコンテナ管理ＤＢ４２３等のうち、ＯＳ４２１、アプリケーションプログラム４２２、及び画面データ４２５を除くものはデータベースである。ここに言うデータベースは、リレーショナルデータベースを指し、行と列によって構造的に規定された表形式のテーブルと呼ばれるデータ集合を、互いに関連づけて管理するためのものである。データベースでは、表をテーブル、表の列をカラム、表の行をレコードと呼ぶ。リレーショナルデータベースでは、テーブル同士の関係を設定し、関連づけることができる。

通常、各テーブルにはレコードを一意に特定するための主キーとなるカラムが設定されるが、カラムへの主キーの設定は必須ではない。制御部４３０は、各種プログラムに従ってプロセッサ４９に、記憶部４２０に記憶された特定のテーブルにレコードを追加、削除、更新を実行させることができる。

コンテナ管理ＤＢ４２３及びパーツ管理ＤＢ４２４は、管理サーバ２０のコンテナ管理ＤＢ２２３及びパーツ管理ＤＢ２２４と共通であるので説明を省略する
ＯＳ４２１はコンテナサーバ４０においてアプリケーションプログラム４２２を実行する際に用いられるソフトウェアであり、アプリケーションプログラム４２２は、コンテナサーバ４０において実行されることで、後述するコンテナサーバ４０の各種機能ユニットが実現されるソフトウェアである。

画面データ４２５は、端末装置１０がコンテナサーバ４０にアクセスする際に、ユーザが有する端末装置１０に表示させるための画面データである。

＜コンテナサーバ４０の制御部４３０の構成＞
コンテナサーバ４０の制御部４３０は、受信制御部４３１、送信制御部４３２、画面提示部４３３、コンテナ実行部４３４、及びコンテナイメージ復号部４３５を備える。制御部４３０は、記憶部４２０に記憶されたアプリケーションプログラム４２２を実行することにより、これら受信制御部４３１等の機能ユニットが実現される。

受信制御部４３１及び送信制御部４３２は、管理サーバ２０の受信制御部２３１及び送信制御部２３２と同一の動作を行うので、ここでの説明は省略する。

画面提示部４３３は、いわゆるＷｅｂサーバとしての機能をコンテナサーバ４０に提供する。具体的には、画面提示部４３３は、ネットワーク８０を介してアクセスした端末装置１０に対して、画面データ４２５に格納されたデータ等に基づいて、コンテナサーバ４０が提供するサイトを構成する画面のデータを生成し、この画面データを、アクセスをした端末装置１０に送出する。さらに、画面提示部４３３は、端末装置１０からの操作入力に基づいて、サイトを構成する画面を動的に（つまりインタラクティブに）変化させ、さらに、必要に応じて、サイトを構成する他の画面に遷移させ、この画面データを端末装置１０に送出する。

コンテナ実行部４３４は、コンテナイメージに基づいてコンテナサーバ４０に、より詳細にはコンテナサーバ４０の記憶部４２０（メモリ４５）にコンテナを実装し、端末装置１０がこのコンテナを利用して各種情報処理を行うに当たってこのコンテナを適切に運用する。コンテナイメージの展開先であるコンテナの実装先は、コンテナサーバ４０の非永続ストレージであるメモリ４５であることが好ましい。これは、コンテナサーバ４０に実装されたコンテナを用いて端末装置１０が行った各種情報処理は、コンテナの実装が終了したらその情報処理結果をコンテナサーバ４０内に残しておくことが好ましくないからである。

コンテナ実行部４３４は、コンテナを実装するに当たって、メモリ４５のメモリ空間を複数に区分し、区分されたメモリ空間内においてコンテナを実装する。コンテナ実行部４３４は、各々のメモリ空間内に実装されたコンテナに対して、例えばコンテナ実装のリクエストを行った端末装置１０のみがこのコンテナを用いて各種情報処理を行えるアクセス制限をかける。これにより、個々のコンテナで実行される各種情報処理に対するセキュリティを確保でき、他のコンテナを用いて各種情報処理を行う他の端末装置１０からの盗聴を防止することができる。アクセス制限は、コンテナ実行部４３４の少なくとも一部の機能を担う、後述するコンテナ仮想化エンジン４５２（図６参照）により実行される。

コンテナイメージ復号部４３５は、端末装置１０からコンテナ実装のリクエストを受信し、このリクエストに基づいて、パーツを送信したサーバ３０に対して、サーバ３０に格納しているパーツの送信をリクエストする。そして、このリクエストに応じてサーバ３０から送信されたパーツを一旦記憶部４２０（メモリ４５）に格納する。

この際、サーバ３０から送信されてきたパーツにアクティベーション情報が付加されていれば、コンテナイメージ復号部４３６はこのアクティベーション情報を確認し、正当なアクティベーション情報であるか否かを判定する。そして、アクティベーション情報が正当な情報でない場合、このパーツについての復号化処理は行わない。これにより、パーツに対する改竄、盗聴の可能性をできるだけ排除することができる。

サーバ３０により付加されるアクティベーション情報は、パーツが正当なものであるか否かを判断できる情報であり、一例として、時限情報、サーバ３０のハードウェアを識別するための情報（デバイス識別子）などが挙げられる。一例として、アクティベーション情報が時限情報であったら、コンテナイメージ復号部４３６はパーツに付加されている時限情報及び現在の時刻を確認し、時限情報が有効期限内であるかどうかを判定する。そして、時限情報が有効期限内でない場合、このパーツについての復号化処理は行わない。

加えて、パーツに分割手順を特定する情報が付加されている場合、コンテナイメージ復号部４３６は、この情報に基づいてコンテナイメージへの復号化処理を行う。これにより、コンテナイメージへの復号化処理を正しく行うことができる。

さらに、パーツが暗号化処理されている場合、コンテナイメージ復号部４３６は、パーツの復号化処理を行ってからコンテナイメージの復号化処理を行う。

その後、コンテナイメージ復号部４３６は、全てのパーツが送信されたかどうかを確認し、全てのパーツが送信されていたならば、これらパーツに基づいてコンテナイメージを復号化する。そして、コンテナイメージ復号部４３６は、復号化したコンテナイメージに基づいてコンテナを実装（デプロイ）する。

以上説明したパーツリクエスト作業、パーツ受信作業、パーツ復号化作業、コンテナイメージ復号化作業及びコンテナデプロイ作業は、コンテナイメージ復号部４３６の少なくとも一部の機能を担う、後述するコンテナ仮想化エンジン４５２（図６参照）により実行される。

＜サーバ３０の機能構成＞
サーバ３０のハードウェア構成が実現する機能構成を図５に示す。サーバ３０の機能構成は管理サーバ２０及びコンテナサーバ４０の機能構成と共通する部分があるので、共通する部分については説明を省略し、管理サーバ２０及びコンテナサーバ４０と異なる部分を中心に説明する。サーバ３０は、記憶部３２０、制御部３３０、通信部３４０を備える。

＜サーバ３０の記憶部３２０の構成＞
サーバ３０の記憶部３２０はアプリケーションプログラム３２１とパーツ３２２とを有する。パーツ３２２は、管理サーバ２０のコンテナイメージ分割部２３３により生成され、送付されたものである。

＜サーバ３０の制御部３３０の構成＞
サーバ３０の制御部３３０は、受信制御部３３１、送信制御部３３２及びパーツ管理部３３３を備える。制御部３３０は、記憶部３２０に記憶されたアプリケーションプログラム３２１を実行することにより、これら受信制御部３３１等の機能ユニットが実現される。受信制御部３３１、送信制御部３３２は、管理サーバ２０の受信制御部２３１、送信制御部２３２とほぼ共通する機能を有する。

パーツ管理部３３３は、管理サーバ２０から送信されたパーツ３２２を記憶部３２０に格納し、コンテナサーバ４０からのリクエストがあると、記憶部３２０に格納したパーツ３２２をコンテナサーバ４０に送出する。この際、パーツ管理部３３３は、コンテナサーバ４０からのリクエストがあると、記憶部３２０に格納したパーツ３２２に対してアクティベーション情報を付加してからコンテナサーバ４０に送出する。
＜コンテナサーバ４０のプログラム構成＞

図５は、コンテナサーバ４０のプログラム構成を示す図である。

図５において、コンテナサーバ４０は、プロセッサ４９等のハードウェア４５０と、このハードウェア４５０上で動作するＯＳ４５１とを有する。既に説明したように、コンテナ仮想化環境において、コンテナサーバ４０上には単一のＯＳ４５１が動作していればよい。

ＯＳ４５１上では、アプリケーションプログラム４２２であるコンテナ仮想化エンジン４５２及びコンテナ管理ツール４５３が動作している。コンテナ仮想化エンジン４５２は、コンテナサーバ４０においてコンテナ仮想化環境を実現するためのプログラムであり、例えばＤｏｃｋｅｒエンジン（プロセス）である。また、本実施例のシステム１では使われない機能であるが、コンテナ管理ツール４５３は、例えばコンテナサーバ４０が複数設けられている場合、どのコンテナをどのコンテナサーバ４０で処理させるかを決定し、決定したコンテナサーバ４０に対してコンテナを配備する。コンテナ管理ツール４５３は、例えばＫｕｂｅｒｎｅｔｅｓである。

コンテナ仮想化エンジン４５２上では、少なくとも１つのコンテナ４５４が実装され、稼働されている。コンテナ４５４は、アプリケーション４５５及びライブラリ４５６を有する。なお、ライブラリ４５６はコンテナ４５４に必須のプログラムではない。また、必要に応じて、コンテナ４５４が図略のミドルウェアを備えることもある。これらアプリケーション４５５、ライブラリ４５６（及び必要に応じてミドルウェア）を備えるコンテナ４５４は、それぞれが単体のサーバとみなすことができ、端末装置１０は、このコンテナ４５４を用いて各種情報処理を行うことができる。

近年、マイクロサービス技術と呼ばれる、比較的大規模なアプリケーションを細分化し、細分化したマイクロサービスをＡＰＩ（Application Programming Interface）を介して疎結合した技術が知られている。このマイクロサービス技術をコンテナ仮想化環境に適用した場合、マイクロサービス毎に１以上のコンテナが割り当てられ、それぞれのコンテナが並列に動作することでアプリケーションとしての動作がされる。従って、マイクロサービス技術を採用する場合、このマイクロサービス技術がコンテナ仮想化環境により実現されるメリットが大きい。

＜システム１の動作＞
以下、図９のフローチャート及び図１０のシーケンス図を参照しながら、本実施形態のシステム１の処理について説明する。

図８に示すフローチャートは、本実施形態のシステム１の動作のうち、管理サーバ２０がコンテナイメージを生成してこれを複数のパーツに分割し、分割したパーツをサーバ３０に送出する動作を説明するためのフローチャートである。

図８において、管理サーバ２０は、コンテナサーバ４０のコンテナ実行部４３４により、記憶部２２０（メモリ２５）にコンテナイメージを生成する（Ｓ８００）。コンテナイメージは、クライアントである端末装置１０からの指示に基づいて生成を開始してもよいし、コンテナサーバ４０が自らの判断により生成を開始してもよい。

次いで、管理サーバ２０は、コンテナイメージ分割部２３３により、Ｓ８００で生成したコンテナイメージを複数のパーツに分割する（Ｓ８０１）。さらに、管理サーバ２０は、コンテナイメージ分割部２３３により、Ｓ８０１で分割したパーツの少なくとも１つについて暗号化処理を行う。

そして、管理サーバ２０は、コンテナイメージ分割部２３３により、分割し、少なくとも１つが暗号化処理されたパーツの少なくとも一部を、それぞれ異なるサーバ３０に送信する（Ｓ８０３）。サーバ３０は、パーツ管理部３３３により、送信されたパーツ３２２を記憶部３２０に格納する。

図１０は、コンテナサーバ４０がクライアントである端末装置１０からコンテナイメージ展開指示を受けてからコンテナをデプロイするまでのコンテナサーバ４０及びサーバ３０の動作の一例を示すシーケンス図である。

まず、コンテナサーバ４０は、通信部４４０、受信制御部４３１及びコンテナイメージ復号部４３５により、端末装置１０からコンテナイメージの展開指示を受信したら（Ｓ９００においてＹＥＳ）、コンテナイメージ復号部４３５及び送信制御部４３２により、展開指示があったコンテナイメージを構成するパーツ３２２が格納されているサーバ３０に対して、自身の記憶部３２０に格納されているパーツ３２２の送信を指示する（Ｓ９０１）。

サーバ３０は、通信部３４０、受信制御部３３１及びパーツ管理部３３３により、コンテナサーバ４０からのパーツ送信指示を受信し（Ｓ９５０）、パーツ管理部３３３により、記憶部３２０に格納されているパーツ３２２に対してアクティベーション情報を付加する（Ｓ９５１）。そして、サーバ３０は、パーツ管理部３３３及び送信制御部３３２により、アクティベーション情報を付加したパーツ３２２を、パーツ送信指示があったコンテナサーバ４０に送出する（Ｓ９５２）。

コンテナサーバ４０は、受信制御部４３１及びコンテナイメージ復号部４３５により、サーバ３０から送信されたパーツ３２２を受信し（Ｓ９０２）、コンテナイメージ復号部４３５により、送信されてきたパーツ３２２に付加されているアクティベーション情報を確認する（Ｓ９０３）。そして、コンテナサーバ４０は、コンテナイメージ復号部２３６により、アクティベーション情報が正当なものであれば、コンテナイメージを構成する全てのパーツ３２２をサーバ３０から受信したことを確認して、これらパーツ３２２に基づいてコンテナイメージを展開する（Ｓ９０４）。

そして、コンテナサーバ４０は、コンテナイメージ復号部４３５により、展開したコンテナイメージに基づいてコンテナをデプロイする（Ｓ９０５）。

＜実施形態の効果＞
以上詳細に説明したように、本実施形態のシステム１によれば、暗号化されたコンテナイメージの復号に必要となる復号鍵をクライアントが保有する場合であっても、コンテナイメージをクライアントが復号することができない。

また、本実施例のシステム１では、コンテナサーバ４０は、アクティベーション情報が付されたパーツをサーバ３０から受信し、アクティベーション情報が正当なものであることを確認してからコンテナイメージを展開しているので、パーツに対する盗聴、改竄の可能性を低下させたシステム１を実現することができる。

さらに、本実施例のシステム１では、コンテナイメージの分割手順を定期的に変更しているので、この点からも、パーツに対する盗聴、改竄の可能性を低下させたシステム１を実現することができる。

そして、本実施例のシステム１では、コンテナイメージの内容とは無関係にコンテナイメージを複数のパーツに分割しているので、この点からも、パーツに対する盗聴、改竄の可能性を低下させたシステム１を実現することができる。

＜付記＞
なお、上記した実施形態は本開示を分かりやすく説明するために構成を詳細に説明したものであり、必ずしも説明した全ての構成を備えるものに限定されるものではない。また、各実施形態の構成の一部について、他の構成に追加、削除、置換することが可能である。

一例として、上記した実施形態のシステム１では、管理サーバ２０がコンテナイメージの分割手順を定期的に変更しているが、例えば、管理サーバ２０、コンテナサーバ４０及びサーバ３０とは別体の更新サーバをシステム１に設け、この更新サーバがコンテナイメージの分割手順を定期的に変更（指示）し、管理サーバ２０は、この更新サーバにより設定された分割手順に基づいてコンテナイメージを複数のパーツに分割してもよい。加えて、複数のパーツに分割した際の分割手順に関する情報を、管理サーバ２０、コンテナサーバ４０及びサーバ３０とは別体の（好ましくは更新サーバとも別体の）認証サーバに格納しておき、複数のパーツからコンテナイメージを復号する際に、この認証サーバから現時点での分割手順に関する情報を入手し、

また、上記の各構成、機能、処理部、処理手段等は、それらの一部又は全部を、例えば集積回路で設計する等によりハードウェアで実現してもよい。また、本発明は、実施例の機能を実現するソフトウェアのプログラムコードによっても実現できる。この場合、プログラムコードを記録した記憶媒体をコンピュータに提供し、そのコンピュータが備えるプロセッサが記憶媒体に格納されたプログラムコードを読み出す。この場合、記憶媒体から読み出されたプログラムコード自体が前述した実施例の機能を実現することになり、そのプログラムコード自体、及びそれを記憶した記憶媒体は本発明を構成することになる。このようなプログラムコードを供給するための記憶媒体としては、例えば、フレキシブルディスク、ＣＤ－ＲＯＭ、ＤＶＤ－ＲＯＭ、ハードディスク、ＳＳＤ、光ディスク、光磁気ディスク、ＣＤ－Ｒ、磁気テープ、不揮発性のメモリカード、ＲＯＭなどが用いられる。

また、本実施例に記載の機能を実現するプログラムコードは、例えば、アセンブラ、Ｃ／Ｃ＋＋、ｐｅｒｌ、Ｓｈｅｌｌ、ＰＨＰ、Ｊａｖａ（登録商標）等の広範囲のプログラム又はスクリプト言語で実装できる。

さらに、実施例の機能を実現するソフトウェアのプログラムコードを、ネットワークを介して配信することによって、それをコンピュータのハードディスクやメモリ等の記憶手段又はＣＤ－ＲＷ、ＣＤ－Ｒ等の記憶媒体に格納し、コンピュータが備えるプロセッサが当該記憶手段や当該記憶媒体に格納されたプログラムコードを読み出して実行するようにしてもよい。

以上の各実施形態で説明した事項を以下に付記する。

（付記１）
コンテナ仮想化環境を提供するコンピュータ（２０、４０）を動作させるためのプログラムであって、コンピュータ（２０、４０）はプロセッサ（２９）を備え、プログラムは、プロセッサ（２９）に、コンテナ仮想化環境におけるコンテナを実現するためのコンテナイメージを複数のパーツ（３２２）に分割する第１ステップ（Ｓ８０１）と、複数のパーツ（３２２）のうち少なくとも１つのパーツ（３２２）を暗号化する第２ステップ（Ｓ８０２）と、暗号化したパーツ（３２２）を含む複数のパーツ（３２２）の少なくとも一部を異なる複数のサーバ（３０）に送信する第３ステップ（Ｓ８０３）と、クライアント（１０）からコンテナイメージの展開要求を受け入れたら複数のサーバ（３０）から複数のパーツ（３２２）を取得する第４ステップ（Ｓ９０２）と、取得したパーツ（３２２）のうち、暗号化されたパーツ（３２２）を復号化する第５ステップ（Ｓ９０４）と、復号化したパーツ（３２２）を含む取得した複数のパーツ（３２２）からコンテナイメージを生成する第６ステップ（Ｓ９０５）と、生成したコンテナイメージに基づいてコンテナを実現する第７ステップ（Ｓ９０６）とを実行させる、プログラム。
（付記２）
プログラムは、第４ステップ（Ｓ９０２）において、アクティベーション情報が付された複数のパーツ（３２２）を複数のサーバ（３０）から取得する付記１記載のプログラム。
（付記３）
プログラムは、第６ステップ（Ｓ９０５）において、複数のサーバ（３０）から取得した複数のパーツ（３２２）に付されたアクティベーション情報が正当なものであることを確認してからコンテナイメージに復元する付記２記載のプログラム。
（付記４）
プログラムは、第１ステップ（Ｓ８０１）において、所定の時間間隔を置いて、コンテナイメージを分割する手法を異ならせてコンテナイメージを複数のパーツ（３２２）に分割し、第３ステップ（Ｓ８０３）において、第１ステップ（Ｓ８０１）においてコンテナイメージを複数のパーツ（３２２）に分割する毎にこれら複数のパーツ（３２２）を複数のサーバ（３０）に送信する付記１記載のプログラム。
（付記５）
プログラムは、第１ステップ（Ｓ８０１）において、コンテナイメージの内容とは無関係にコンテナイメージを複数のパーツ（３２２）に分割する付記１～３のいずれかに記載のプログラム。
（付記６）
コンテナ仮想化環境を提供するコンピュータ（２０、４０）であって、コンピュータ（２０）はプロセッサ（２９）を備え、プロセッサ（２９）が、コンテナ仮想化環境におけるコンテナを実現するためのコンテナイメージを複数のパーツ（３２２）に分割する第１ステップ（Ｓ８０１）と、複数のパーツ（３２２）のうち少なくとも１つのパーツ（３２２）を暗号化する第２ステップ（Ｓ８０２）と、暗号化したパーツ（３２２）を含む複数のパーツ（３２２）の少なくとも一部を異なる複数のサーバ（３０）に送信する第３ステップ（Ｓ８０３）と、クライアントからコンテナイメージの展開要求を受け入れたら複数のサーバ（３０）から複数のパーツ（３２２）を取得する第４ステップ（Ｓ９０２）と、取得したパーツ（３０）のうち、暗号化されたパーツ（３０）を復号化する第５ステップ（Ｓ９０４）と、復号化したパーツ（３０）を含む取得した複数のパーツ（３０）からコンテナイメージを生成する第６ステップ（Ｓ９０５）と、生成したコンテナイメージに基づいてコンテナを実現する第７ステップ（Ｓ９０６）とを実行する、コンピュータ（２０）。
（付記７）
コンテナ仮想化環境を提供するコンピュータ（２０、４０）と、このコンピュータ（２０、４０）と通信可能に接続された複数のサーバ（３０）とを有するシステム（１）であって、コンピュータ（２０、４０）はプロセッサ（２９）を備え、プロセッサ（２９）が、コンテナ仮想化環境におけるコンテナを実現するためのコンテナイメージを複数のパーツ（３２２）に分割する第１ステップ（Ｓ８０１）と、複数のパーツ（３２２）のうち少なくとも１つのパーツ（３２２）を暗号化する第２ステップ（Ｓ８０２）と、暗号化したパーツを含む複数のパーツの少なくとも一部を異なる複数のサーバに送信する第３ステップ（Ｓ８０３）と、クライアントからコンテナイメージの展開要求を受け入れたら複数のサーバ（３０）から複数のパーツ（３２２）を取得する第４ステップ（Ｓ９０２）と、取得したパーツ（３２２）のうち、暗号化されたパーツ（３２２）を復号化する第５ステップ（Ｓ９０４）と、復号化したパーツ（３２２）を含む取得した複数のパーツ（３２２）からコンテナイメージを生成する第６ステップ（Ｓ９０５）と、生成したコンテナイメージに基づいてコンテナを実現する第７ステップ（Ｓ９０６）とを実行する、システム。
（付記８）
コンテナ仮想化環境を提供する第１コンピュータ（４０）と、この第１コンピュータ（４０）と通信可能に接続された第２コンピュータ（２０）及び複数のサーバ（３０）とを有するシステム（１）であって、第１コンピュータ（４０）は第１プロセッサを備え、第２コンピュータ（２０）は第２プロセッサ（２９）を備え、第２プロセッサ（２９）が、コンテナ仮想化環境におけるコンテナを実現するためのコンテナイメージを複数のパーツ（３２２）に分割する第１ステップ（Ｓ８０１）と、複数のパーツ（３２２）のうち少なくとも１つのパーツ（３２２）を暗号化する第２ステップ（Ｓ８０２）と、暗号化したパーツ（３２２）を含む複数のパーツ（３２２）の少なくとも一部を異なる複数のサーバ（３０）に送信する第３ステップ（Ｓ８０３）と、を実行し、第１プロセッサが、クライアント（１０）からコンテナイメージの展開要求を受け入れたら複数のサーバ（３０）から複数のパーツ（３２２）を取得する第４ステップ（Ｓ９０２）と、取得したパーツ（３２２）のうち、暗号化されたパーツ（３２２）を復号化する第５ステップ（Ｓ９０４）と、復号化したパーツ（３２２）を含む取得した複数のパーツ（３２２）からコンテナイメージを生成する第６ステップ（Ｓ９０５）と、生成したコンテナイメージに基づいてコンテナを実現する第７ステップ（Ｓ９０６）とを実行する、システム。
（付記９）
プロセッサ（２９）を備え、コンテナ仮想化環境を提供するコンピュータ（２０、４０）のプロセッサ（２９）が、コンテナ仮想化環境におけるコンテナを実現するためのコンテナイメージを複数のパーツ（３２２）に分割する第１ステップ（Ｓ８０１）と、複数のパーツ（３２２）のうち少なくとも１つのパーツ（３２２）を暗号化する第２ステップ（Ｓ８０２）と、暗号化したパーツ（３２２）を含む複数のパーツ（３２２）の少なくとも一部を異なる複数のサーバ（３０）に送信する第３ステップ（Ｓ８０３）と、クライアント（１０）からコンテナイメージの展開要求を受け入れたら複数のサーバ（３０）から複数のパーツ（３２２）を取得する第４ステップ（Ｓ９０２）と、取得したパーツ（３２２）のうち、暗号化されたパーツ（３２２）を復号化する第５ステップ（Ｓ９０４）と、復号化したパーツ（３２２）を含む取得した複数のパーツ（３２２）からコンテナイメージを生成する第６ステップ（Ｓ９０５）と、生成したコンテナイメージに基づいてコンテナを実現する第７ステップ（Ｓ９０６）とを実行する、方法。

１…システム ２、２０…管理サーバ ３、３０、３０Ａ、３０Ｂ…サーバ ４、４０…コンテナサーバ、５…コンテナイメージ ６、３２２…パーツ ７、１０、１０Ａ、１０Ｂ…端末装置 ８…コンテナ ２５…メモリ ２６…ストレージ ２９…プロセッサ ８０…ネットワーク ２２０、４２０…記憶部 ２２１…ＯＳ ２２２…アプリケーションプログラム ２２３、４２３…コンテナ管理ＤＢ ２２４、４２４…パーツ管理ＤＢ ２３０、４３０…制御部 ２３３…コンテナイメージ分割部 ４３４…コンテナ実行部 ４３５…コンテナイメージ復号部

Claims (8)

1. コンテナ仮想化環境を提供するコンピュータを動作させるためのプログラムであって、
   前記コンピュータはプロセッサを備え、
   前記プログラムは、前記プロセッサに、
   前記コンテナ仮想化環境におけるコンテナを実現するためのコンテナイメージを複数のパーツに分割する第１ステップと、
   前記複数のパーツのうち少なくとも１つの前記パーツを暗号化する第２ステップと、
   暗号化した前記パーツを含む前記複数のパーツの少なくとも一部を異なる複数のサーバに送信する第３ステップと、
   クライアントから前記コンテナイメージの展開要求を受け入れたら前記複数のサーバから前記複数のパーツを取得する第４ステップと、
   取得した前記パーツのうち、暗号化された前記パーツを復号化する第５ステップと、
   復号化した前記パーツを含む取得した前記複数のパーツから前記コンテナイメージを生成する第６ステップと、
   生成した前記コンテナイメージに基づいて前記コンテナを実現する第７ステップと
   を実行させ、
   前記第４ステップにおいて、前記サーバのハードウェアを識別するための情報及び時限情報を含むアクティベーション情報が付された前記複数のパーツを前記複数のサーバから取得する、プログラム。
2. 前記プログラムは、前記第６ステップにおいて、前記複数のサーバから取得した前記複数のパーツに付された前記アクティベーション情報が正当なものであることを確認してから前記コンテナイメージに復元する
   請求項１記載のプログラム。
3. 前記プログラムは、
   前記第１ステップにおいて、分割手順を定期的に変更して前記コンテナイメージを前記複数のパーツに分割し、
   前記第３ステップにおいて、前記第１ステップにおいて前記コンテナイメージを前記複数のパーツに分割する毎にこれら複数の前記パーツに前記分割手順を特定する情報を付加してこれらパーツを前記複数のサーバに送信する
   請求項１記載のプログラム。
4. 前記プログラムは、前記第１ステップにおいて、前記コンテナイメージの内容とは無関係に前記コンテナイメージを前記複数のパーツに分割する
   請求項１記載のプログラム。
5. コンテナ仮想化環境を提供するコンピュータであって、
   前記コンピュータはプロセッサを備え、
   前記プロセッサが、
   前記コンテナ仮想化環境におけるコンテナを実現するためのコンテナイメージを複数のパーツに分割する第１ステップと、
   前記複数のパーツのうち少なくとも１つの前記パーツを暗号化する第２ステップと、
   暗号化した前記パーツを含む前記複数のパーツのそれぞれを異なる複数のサーバに送信する第３ステップと、
   クライアントから前記コンテナイメージの展開要求を受け入れたら前記複数のサーバから前記複数のパーツを取得する第４ステップと、
   取得した前記パーツのうち、暗号化された前記パーツを復号化する第５ステップと、
   復号化した前記パーツを含む取得した前記複数のパーツから前記コンテナイメージを生成する第６ステップと、
   生成した前記コンテナイメージに基づいて前記コンテナを実現する第７ステップと
   を実行し、
   前記第４ステップにおいて、前記サーバのハードウェアを識別するための情報及び時限情報を含むアクティベーション情報が付された前記複数のパーツを前記複数のサーバから取得する、コンピュータ。
6. コンテナ仮想化環境を提供するコンピュータと、このコンピュータと通信可能に接続された複数のサーバとを有するシステムであって、
   前記コンピュータはプロセッサを備え、
   前記プロセッサが、
   前記コンテナ仮想化環境におけるコンテナを実現するためのコンテナイメージを複数のパーツに分割する第１ステップと、
   前記複数のパーツのうち少なくとも１つの前記パーツを暗号化する第２ステップと、
   暗号化した前記パーツを含む前記複数のパーツのそれぞれを異なる複数のサーバに送信する第３ステップと、
   クライアントから前記コンテナイメージの展開要求を受け入れたら前記複数のサーバから前記複数のパーツを取得する第４ステップと、
   取得した前記パーツのうち、暗号化された前記パーツを復号化する第５ステップと、
   復号化した前記パーツを含む取得した前記複数のパーツから前記コンテナイメージを生成する第６ステップと、
   生成した前記コンテナイメージに基づいて前記コンテナを実現する第７ステップと
   を実行し、
   前記第４ステップにおいて、前記サーバのハードウェアを識別するための情報及び時限情報を含むアクティベーション情報が付された前記複数のパーツを前記複数のサーバから取得する、システム。
7. コンテナ仮想化環境を提供する第１コンピュータと、この第１コンピュータと通信可能に接続された第２コンピュータ及び複数のサーバとを有するシステムであって、
   前記第１コンピュータは第１プロセッサを備え、
   前記第２コンピュータは第２プロセッサを備え、
   前記第２プロセッサが、
   前記コンテナ仮想化環境におけるコンテナを実現するためのコンテナイメージを複数のパーツに分割する第１ステップと、
   前記複数のパーツのうち少なくとも１つの前記パーツを暗号化する第２ステップと、
   暗号化した前記パーツを含む前記複数のパーツの少なくとも一部を異なる複数のサーバに送信する第３ステップと、
   を実行し、
   前記第１プロセッサが、
   クライアントから前記コンテナイメージの展開要求を受け入れたら前記複数のサーバから前記複数のパーツを取得する第４ステップと、
   取得した前記パーツのうち、暗号化された前記パーツを復号化する第５ステップと、
   復号化した前記パーツを含む取得した前記複数のパーツから前記コンテナイメージを生成する第６ステップと、
   生成した前記コンテナイメージに基づいて前記コンテナを実現する第７ステップと
   を実行し、
   前記第４ステップにおいて、前記サーバのハードウェアを識別するための情報及び時限情報を含むアクティベーション情報が付された前記複数のパーツを前記複数のサーバから取得する、システム。
8. プロセッサを備え、コンテナ仮想化環境を提供するコンピュータの前記プロセッサが、
   前記コンテナ仮想化環境におけるコンテナを実現するためのコンテナイメージを複数のパーツに分割する第１ステップと、
   前記複数のパーツのうち少なくとも１つの前記パーツを暗号化する第２ステップと、
   暗号化した前記パーツを含む前記複数のパーツのそれぞれを異なる複数のサーバに送信する第３ステップと、
   クライアントから前記コンテナイメージの展開要求を受け入れたら前記複数のサーバから前記複数のパーツを取得する第４ステップと、
   取得した前記パーツのうち、暗号化された前記パーツを復号化する第５ステップと、
   復号化した前記パーツを含む取得した前記複数のパーツから前記コンテナイメージを生成する第６ステップと、
   生成した前記コンテナイメージに基づいて前記コンテナを実現する第７ステップと
   を実行し、
   前記第４ステップにおいて、前記サーバのハードウェアを識別するための情報及び時限情報を含むアクティベーション情報が付された前記複数のパーツを前記複数のサーバから取得する、方法。

Images