JP7388803B2 - セキュア・ゲストのセキュア鍵をハードウェア・セキュリティ・モジュールに結びつけること - Google Patents

Description

本発明は、セキュア・ゲストによる排他使用のためのハードウェア・セキュリティ・モジュールの構成に関する。

今日のコンピュータ・システムおよび情報転送ネットワークにおいて、暗号要素は、重要な技術的構成要素である。情報は、格納または伝送された情報への不正アクセスを回避するために、暗号を使用したセキュアな形で格納または伝送することができる。いくつかのケースでは、純粋なソフトウェア・ベースの技法を使用することができ、他のケースでは、ハードウェア・サポートおよびセキュリティ固有の要素を、このようなデータ保護を実施するために使用することができる。いくつかのケースでは、これらの固有の要素は、ハードウェア・セキュリティ・モジュール（ＨＳＭ：hardware security module）と名付けられ、コンピュータまたは情報伝送システムの一部として使用することができる。このようなハードウェア・セキュリティ・モジュールは、データ暗号化およびデータ復号のための機能を提供するために、固有の回路機器を含むことができる。機能は、ゲスト・システムが使用するための暗号鍵を生成することおよび格納することも含むことができる。

ＨＳＭは、不正な当事者がアクセスできることのないマスタ鍵を収める。これらのマスタ鍵は、ＨＳＭのユーザが利用できる鍵を暗号化する（すなわち、ラップする（wrap））ために使用される。ＨＳＭマスタ鍵によってラップされたこのような鍵は、セキュア鍵と呼ばれる。ＨＳＭは、改ざんを防ぐことができ、不正アクセス（例えば、予定されていない物理的なプラギング、物理的な侵入、等）から秘密を保護する。ＨＳＭは、仮想マシン（ＶＭ：virtual machine）などの、様々な仮想リソースに割り当てることができ、仮想環境では、ＨＳＭは、１つのＶＭから別のＶＭへの、ＨＳＭの再割当てを認識していないことがある。

ＶＭ割当ての柔軟性は、セキュリティ問題を引き起こす恐れがあり、なぜなら、非常に機密性の高いホストされる情報技術（ＩＴ：information technology）環境では、ゲスト自体がハッキングされるか、そうでなければ危険にさらされ、セキュア鍵および他のデータが盗まれたとしても、信頼できないユーザによるセキュア鍵の使用から、（ＨＳＭのマスタ鍵でラップされている）セキュア鍵を有するゲストを利用する信頼できるユーザを保護することを、より厳しいセキュリティ・プロトコルがサポートするからである。

セキュア・ゲストのセキュア鍵をハードウェア・セキュリティ・モジュールに結びつけるための方法を提供することで、従来技術の欠点を克服し、さらなる長所をもたらす。方法は、例えば、ハイパーバイザおよびハードウェア・セキュリティ・モジュールに通信連結されたセキュア・インターフェース制御装置で、ハイパーバイザによって管理されたセキュア・ゲストによる排他使用のためにハードウェア・セキュリティ・モジュールを構成することを含み、構成することが、ハイパーバイザによって管理された１つまたは複数のゲストのうちの所与のゲストから、ハイパーバイザを介して、ハードウェア・セキュリティ・モジュールを構成するための構成リクエストを、セキュア・インターフェース制御装置で取得することと、ハードウェア・セキュリティ・モジュールが１つまたは複数のゲストのうちの特定のゲストに対して既に構成されているかどうかを、セキュア・インターフェース制御装置で判定することであって、特定のゲストおよび所与のゲストが、１つまたは複数のゲストのうちの異なるゲストを含む、判定することと、ハードウェア・セキュリティ・モジュールが特定のゲストに対して構成されていないと判定したことに基づいて、所与のゲストのメタデータを評価することによって所与のゲストがセキュア・ゲストを含むと、セキュア・インターフェース制御装置で判定することと、所与のゲストがセキュア・ゲストを含むと判定したことに基づいて、１つまたは複数のゲストのうちの所与のゲストだけに、ハードウェア・セキュリティ・モジュールへのゲストによるアクセスを限定することによって、ハードウェア・セキュリティ・モジュールの構成を確立することを、セキュア・インターフェース制御装置で除外することと、セキュア・インターフェース制御装置で、ハードウェア・セキュリティ・モジュールに所与のゲストをログインさせることであって、ハードウェア・セキュリティ・モジュールにログインさせることが、所与のゲストの秘密を利用することを含み、メタデータが、秘密を含む、ログインさせることと、ハードウェア・セキュリティ・モジュールにログインさせることに基づいて、ハードウェア・セキュリティ・モジュールからセッション・コードを、セキュア・インターフェース制御装置で取得することと、セッション・コードを、セキュア・インターフェース制御装置で保持することとを含む。

セキュア・ゲストのセキュア鍵をハードウェア・セキュリティ・モジュールに結びつけるためのコンピュータ・プログラム製品を提供することで、従来技術の欠点を克服し、さらなる長所をもたらす。コンピュータ・プログラム製品は、処理回路で読むことができ、方法を実施するための処理回路による実行のための命令を格納するストレージ媒体を備える。方法は、例えば、ハイパーバイザおよびハードウェア・セキュリティ・モジュールに通信連結された１つまたは複数のプロセッサで、ハイパーバイザによって管理されたセキュア・ゲストによる排他使用のためにハードウェア・セキュリティ・モジュールを構成することを含み、構成することが、ハイパーバイザによって管理された１つまたは複数のゲストのうちの所与のゲストから、ハイパーバイザを介して、ハードウェア・セキュリティ・モジュールを構成するための構成リクエストを、１つまたは複数のプロセッサで取得することと、ハードウェア・セキュリティ・モジュールが１つまたは複数のゲストのうちの特定のゲストに対して既に構成されているかどうかを、１つまたは複数のプロセッサで判定することであって、特定のゲストおよび所与のゲストが、１つまたは複数のゲストのうちの異なるゲストを含む、判定することと、ハードウェア・セキュリティ・モジュールが特定のゲストに対して構成されていないと判定したことに基づいて、所与のゲストのメタデータを評価することによって所与のゲストがセキュア・ゲストを含むと、１つまたは複数のプロセッサで判定することと、所与のゲストがセキュア・ゲストを含むと判定したことに基づいて、１つまたは複数のゲストのうちの所与のゲストだけに、ハードウェア・セキュリティ・モジュールへのゲストによるアクセスを限定することによって、ハードウェア・セキュリティ・モジュールの構成を確立することを、１つまたは複数のプロセッサで除外することと、１つまたは複数のプロセッサで、ハードウェア・セキュリティ・モジュールに所与のゲストをログインさせることであって、ハードウェア・セキュリティ・モジュールにログインさせることが、所与のゲストの秘密を利用することを含み、メタデータが、秘密を含む、ログインさせることと、ハードウェア・セキュリティ・モジュールにログインさせることに基づいて、ハードウェア・セキュリティ・モジュールからセッション・コードを、１つまたは複数のプロセッサで取得することと、セッション・コードを、１つまたは複数のプロセッサで保持することとを含む。

セキュア・ゲストのセキュア鍵をハードウェア・セキュリティ・モジュールに結びつけるためのシステムを提供することで、従来技術の欠点を克服し、さらなる長所をもたらす。システムは、メモリ、メモリと通信中の１つまたは複数のプロセッサ、および、方法を実施するためにメモリを介して１つまたは複数のプロセッサで実行可能なプログラム命令を備える。方法は、例えば、ハイパーバイザおよびハードウェア・セキュリティ・モジュールに通信連結された１つまたは複数のプロセッサで、ハイパーバイザによって管理されたセキュア・ゲストによる排他使用のためにハードウェア・セキュリティ・モジュールを構成することを含み、構成することが、ハイパーバイザによって管理された１つまたは複数のゲストのうちの所与のゲストから、ハイパーバイザを介して、ハードウェア・セキュリティ・モジュールを構成するための構成リクエストを、１つまたは複数のプロセッサで取得することと、ハードウェア・セキュリティ・モジュールが１つまたは複数のゲストのうちの特定のゲストに対して既に構成されているかどうかを、１つまたは複数のプロセッサで判定することであって、特定のゲストおよび所与のゲストが、１つまたは複数のゲストのうちの異なるゲストを含む、判定することと、ハードウェア・セキュリティ・モジュールが特定のゲストに対して構成されていないと判定したことに基づいて、所与のゲストのメタデータを評価することによって所与のゲストがセキュア・ゲストを含むと、１つまたは複数のプロセッサで判定することと、所与のゲストがセキュア・ゲストを含むと判定したことに基づいて、１つまたは複数のゲストのうちの所与のゲストだけに、ハードウェア・セキュリティ・モジュールへのゲストによるアクセスを限定することによって、ハードウェア・セキュリティ・モジュールの構成を確立することを、１つまたは複数のプロセッサで除外することと、１つまたは複数のプロセッサで、ハードウェア・セキュリティ・モジュールに所与のゲストをログインさせることであって、ハードウェア・セキュリティ・モジュールにログインさせることが、所与のゲストの秘密を利用することを含み、メタデータが、秘密を含む、ログインさせることと、ハードウェア・セキュリティ・モジュールにログインさせることに基づいて、ハードウェア・セキュリティ・モジュールからセッション・コードを、１つまたは複数のプロセッサで取得することと、セッション・コードを、１つまたは複数のプロセッサで保持することとを含む。

１つまたは複数の態様に関する方法およびシステムも説明され、本明細書で特許請求される。さらに、１つまたは複数の態様に関するサービスも説明され、本明細書で特許請求されることがある。例えば、本発明のいくつかの実施形態では、保持することは、セキュア・インターフェース制御装置内の関連付けのテーブルに、ＮＵＬＬのセッション・コードとセッション・コードの関連付けを格納することを含む。

本発明のいくつかの実施形態では、ゲストのメタデータは、整合性保護され、秘密は、セキュア・インターフェース制御装置が所有する秘密鍵を使用して導き出された鍵で暗号化される。秘密鍵は、所与のゲストのブート・イメージの暗号対策を含むことができる。

本発明のいくつかの実施形態では、プロセッサまたはセキュア・インターフェース制御装置あるいはその両方は、構成に基づいて、ハードウェア・セキュリティ・モジュールへのリクエストにおいて、所与のゲストによって利用するための新しいセッション・コードを所与のゲストに提供する。

本発明のいくつかの実施形態では、（プロセッサまたはセキュア・インターフェース制御装置あるいはその両方で）提供することは、所与のゲストからのハードウェア・セキュリティ・モジュール・ログイン・リクエストを、プロセッサまたはセキュア・インターフェース制御装置あるいはその両方が捕らえることであって、ハードウェア・セキュリティ・モジュール・ログイン・リクエストが、所与のゲストからのログイン・データを含む、捕らえることと、所与のゲストの秘密に基づいて新しいログイン・データを、プロセッサまたはセキュア・インターフェース制御装置あるいはその両方が生成することと、所与のゲストからの新しいハードウェア・セキュリティ・モジュール・ログイン・リクエストをハードウェア・セキュリティ・モジュールに、プロセッサまたはセキュア・インターフェース制御装置あるいはその両方が発行することであって、新しいハードウェア・セキュリティ・モジュール・ログイン・リクエストが、新しいログイン・データを含む、発行することと、ハードウェア・セキュリティ・モジュールからのセッション・コードを、プロセッサまたはセキュア・インターフェース制御装置あるいはその両方が取得することと、ハードウェア・セキュリティ・モジュールからのセッション・コードを取得することに基づいて、新しいセッション・コードを、プロセッサまたはセキュア・インターフェース制御装置あるいはその両方が生成することと、ハードウェア・セキュリティ・モジュールからのセッション・コードと、新しいセッション・コードとの間の関連付けをテーブルに、プロセッサまたはセキュア・インターフェース制御装置あるいはその両方が格納することと、ログイン・リクエストに応答して、新しいセッション・コードを所与のゲストに、プロセッサまたはセキュア・インターフェース制御装置あるいはその両方が伝送することとを含む。

本発明のいくつかの実施形態では、ハードウェア・セキュリティ・モジュールへの所与のゲストからのリクエストを、プロセッサまたはセキュア・インターフェース制御装置あるいはその両方が捕らえ、ここで、リクエストは、新しいセッション・コードを含む。新しいセッション・コードと関連付けられたハードウェア・セキュリティ・モジュールからのセッション・コードをテーブルから、プロセッサまたはセキュア・インターフェース制御装置あるいはその両方が取得する。新しいリクエストを含むように、所与のゲストからのリクエストを、プロセッサまたはセキュア・インターフェース制御装置あるいはその両方が更新し、新しいリクエストは、新しいセッション・コードではなく、ハードウェア・セキュリティ・モジュールからのセッション・コードを含む。ハードウェア・セキュリティ・モジュールへの新しいリクエストを、プロセッサまたはセキュア・インターフェース制御装置あるいはその両方が発行する。

本発明のいくつかの実施形態では、ハードウェア・セキュリティ・モジュールからリクエストのフルフィルメントを、プロセッサまたはセキュア・インターフェース制御装置あるいはその両方が取得する。リクエストのフルフィルメントを所与のゲストに、プロセッサまたはセキュア・インターフェース制御装置あるいはその両方が発行する。本発明のいくつかの実施形態では、リクエストは、ハードウェア・セキュリティ・モジュール・セキュア鍵生成リクエスト、およびハードウェア・セキュリティ・モジュール・ログアウト・リクエストからなるグループから選択される。

本発明のいくつかの実施形態では、所与のゲストが停止したという指示をハイパーバイザから、プロセッサまたはセキュア・インターフェース制御装置あるいはその両方が取得する。ハードウェア・セキュリティ・モジュールからのセッション・コードと、新しいセッション・コードとの間の関連付けをテーブル内で、プロセッサまたはセキュア・インターフェース制御装置あるいはその両方が識別する。テーブルに基づいて、ハードウェア・セキュリティ・モジュールからのセッション・コードを利用して、１つまたは複数のセッションのリストを、プロセッサまたはセキュア・インターフェース制御装置あるいはその両方が生成する。１つまたは複数のセッションから所与のゲストを、プロセッサまたはセキュア・インターフェース制御装置あるいはその両方がログアウトさせる。

本発明のいくつかの実施形態では、所与のゲストが停止したという指示をハイパーバイザから、プロセッサまたはセキュア・インターフェース制御装置あるいはその両方が取得する。構成を、プロセッサまたはセキュア・インターフェース制御装置あるいはその両方が除去する。

本発明のいくつかの実施形態では、所与のゲストが停止したという指示をハイパーバイザから、プロセッサまたはセキュア・インターフェース制御装置あるいはその両方が取得する。ハードウェア・セキュリティ・モジュールに保持された所与のゲストへの参照を、プロセッサまたはセキュア・インターフェース制御装置あるいはその両方が識別する。参照を、プロセッサまたはセキュア・インターフェース制御装置あるいはその両方が除去する。

本発明のいくつかの実施形態では、セキュア・インターフェース構成要素は、ファームウェア、ハードウェア、およびソフトウェアからなるグループから選択される。

本発明のいくつかの実施形態では、所与のゲストのメタデータを評価することによって、所与のゲストがセキュア・ゲストを含むと判定することは、プロセッサまたはセキュア・インターフェース制御装置あるいはその両方がメタデータの存在またはタイプのうちの１つを検証することを含む。

本発明のいくつかの実施形態では、プロセッサまたはセキュア・インターフェース制御装置あるいはその両方が所与のゲストの秘密を利用することは、プロセッサまたはセキュア・インターフェース制御装置あるいはその両方が秘密を復号することを含む。

本発明のいくつかの実施形態では、復号することは、セキュア・インターフェース制御装置でのみ計算された鍵を利用することを含む。

本明細書で説明される技法で、さらなる特徴を実現する。他の実施形態および態様は、本明細書で詳細に説明され、特許請求される態様の一部とみなされる。

１つまたは複数の態様は、明細書の結論で、特許請求の範囲における例として、具体的に指摘され、明確に請求される。前述、および１つまたは複数の態様のオブジェクト、特徴、および長所は、添付の図面と共に利用される以下の詳細な説明から明らかである。

ハードウェア・セキュリティ・モジュールを利用した現在のアプローチで経験されるセキュリティ問題を示す。 本発明のいくつかの実施形態の様々な態様を示す図である。 本発明のいくつかの実施形態の一定の態様を示すワークフローである。 本発明のいくつかの実施形態の一定の態様を示すワークフローである。 本発明のいくつかの実施形態の一定の態様を示すワークフローである。 本発明のいくつかの実施形態の一定の態様を示すワークフローである。 本発明のいくつかの実施形態の一定の態様を示すワークフローである。 本発明のいくつかの実施形態の一定の態様を示すワークフローである。 クラウド・コンピューティング環境で利用することができるコンピュータ処理ノードの１つの実施形態を描写する図である。 本発明の実施形態によるクラウド・コンピューティング環境を描写する図である。 本発明の実施形態による抽象化モデル層を描写する図である。

別個の図の全体にわたって、同様の参照番号が同一のまたは機能的に似た要素を指し、本明細書の一部に組み込まれ、これを形成する添付の図は、本発明をさらに示し、本発明の詳細な説明とともに、本発明の諸原理を説明する役割がある。当業者が理解しているように、添付の図は、理解を容易にするために提供され、本発明の一定の実施形態の態様を示す。本発明は、図に描写された実施形態に限定されない。

当業者が理解しているように、プログラム・コードは、本出願の全体にわたって言及されるように、ソフトウェアとハードウェアの両方を含む。例えば、本発明の一定の実施形態におけるプログラム・コードは、固定機能ハードウェアを含むが、他の実施形態は、説明される機能のソフトウェア・ベースの実装形態を利用する。一定の実施形態は、両方のタイプのプログラム・コードを組み合わせる。プログラム・コードの１つの例は、１つまたは複数のプログラムとも呼ばれ、プログラム／ユーティリティ４０として図９に描写されており、プログラム・モジュール４２のセット（少なくとも１つ）を有し、メモリ２８に格納することができる。

用語「ハードウェア・セキュリティ・モジュール」すなわちＨＳＭは、コンピュータ・システムに差込み可能な構成要素または個別に接続された構成要素を示すことができる。ＨＳＭは、マスタ鍵または別の提供された鍵（例えば、ゲスト鍵）を使用して、暗号化動作および復号動作を実施することができる。暗号化または復号あるいはその両方は、ハードウェア・セキュリティ・モジュール上で、ハードウェアおよびソフトウェア、または両方の任意の組合せを実施することができる。データは、暗号化しない方式で、ハードウェア・セキュリティ・モジュールで受け取ることができ、ＨＳＭで暗号化することができ、または逆もまた同様である。

用語「ゲスト・システム」は、例えば、ハイパーバイザ上の仮想マシン（ＶＭ）で実行されるオペレーティング・システムを示すことができる。ユーザは、ゲスト・システムに割り当てられてもよい。これは、固有の暗号鍵をゲスト・システムに割り当てることができるということであってもよい。言及したハイパーバイザは、このような割当てを実施する際に使用することができる。固有の暗号鍵は、ＨＳＭに格納することができる。

用語「コンテンツ」は、任意のキャラクタ・ベースの文字列を示すことができる。文字列は、可読テキストまたは他の任意のバイナリ・データを含むことができる。

用語「データ・パターン」は、基本的に、コンテンツの別の表現であってもよい。データ・パターンは、可読キャラクタの文字列を示すことができ、または、バイナリ・データを含むことができる。本文書の文脈では、さらなる要件をデータ・パターンに含めない。また、データ・パターンは、事前定義すること、ランダムに選択すること、または、そうでなければ、判定することができる。

用語「マスタ鍵」は、ＨＳＭに格納されている暗号化／復号鍵を示すことができる。本文書の文脈では、１つの実施形態では、マスタ鍵は、マスタ鍵を格納したハードウェア・セキュリティ・モジュールから、決して転送できないと仮定することができる。

用語「ゲスト暗号化ユニット」は、ゲスト・システム内で、もしくは、その一部として、または、ゲスト・システムによって使用されるサービスとして、暗号化動作または復号動作あるいはその両方を実施するように適合されたモジュールを示すことができる。

用語「ハードウェア・セキュリティ・モジュール暗号化ユニット」は、マスタ鍵、または、例えばゲスト鍵といった別の提供された鍵を使用して、任意のデータ・パターンを暗号化するように適合されたＨＳＭ内のモジュールを示すことができる。したがって、「ハードウェア・セキュリティ・モジュール復号ユニット」は、マスタ鍵を使用して、例えばゲスト鍵といった、任意のデータ・パターンを復号するため、または、例えばゲスト鍵といった、別の提供された鍵を使用して、別のデータ・パターンを復号するために使用することができる。

ハードウェア・セキュリティ・モジュールすなわちＨＳＭは、例えば暗号カードであってもよいことに留意されたい。ゲスト・システムは、例えば、ゲスト・オペレーティング・システムを動かすか、実行する仮想マシンすなわちＶＭであってもよい。ＨＳＭを構成することは、ＨＳＭのメモリにマスタ鍵を格納することを含むことができる。

本発明の実施形態は、ＨＳＭによって保護されたデータを、ＨＳＭにアクセスできるシステム内で使用することしかできないように、特定の所有者に属する固有のゲストにＨＳＭのセキュア鍵を効率的に結びつける少なくとも１つの処理回路上で実行されるプログラム・コードを含む、コンピュータ実行方法、コンピュータ・プログラム製品、およびコンピュータ・システムを含む。特に、下記でより詳細に説明されるように、本発明の実施形態では、１つまたは複数のプロセッサ上で実行するプログラム・コードは、セキュア・ゲストのイメージに暗号を使用してリンクした秘密に基づいて、ＨＳＭを使用するように構成されたセキュア・ゲスト（例えばＶＭ）のセキュア鍵を、ＨＳＭセッション・コードに結びつける。それでも、秘密は、ゲストの一部ではない。むしろ、本明細書で説明されるように、秘密は、ゲスト・メタデータの一部として、セキュア・チャネルを通じて（すなわち、暗号化して）セキュア・インターフェース制御装置（例えば、ファームウェア、信頼できる構成要素）に独立して伝送され、ゲストに暗号を使用してリンクされる。メタデータは、ゲストに暗号を使用してリンクされ（例えば、ゲスト・イメージの署名を収める）、したがって、１つのゲストのメタデータは、別のゲストのメタデータとして誤用されるはずがない。このように、セキュア・インターフェース制御装置は、ゲストとメタデータ／秘密がともに属すことを検証することができる。本発明のいくつかの実施形態では、秘密は、セキュア・ゲストのブート・イメージにリンクされ、信頼できる構成要素にセキュアに（整合性および機密性が守られる）移送される（例えば、独立して、セキュア・チャネルを通じて）メタデータに、暗号を使用して結びつけられる。本発明のいくつかの実施形態では、秘密を収めるメタデータの一部は、セキュア・インターフェース制御装置だけが計算できる鍵で暗号化される。

セキュア・ゲストは、ゲスト仮想マシン、仮想マシン、または仮想サーバ、あるいはその組合せと呼ぶこともできる。本発明の実施形態では、プログラム・コードは、セキュア・ゲストのイメージをスタートするために提供されるインストール・メタデータの一部として、セキュア・インターフェース制御装置（例えば、ファームウェア、信頼できる構成要素）に、秘密を（セキュアに）提供する。ゲストにリンクされるが、秘密は、ゲスト・メタデータの一部として、セキュア・チャネルを通じて（すなわち、暗号化して）セキュア・インターフェース制御装置に独立して伝送され、ゲストに暗号を使用してリンクされる。このように、セキュア・インターフェース制御装置は、ゲストおよびメタデータ／秘密がともに属すことを検証することができる。このように、本発明のいくつかの実施形態では、セキュア・ゲストのメタデータは、整合性が守られ、セキュア・インターフェース制御装置が所有する秘密鍵を使用して導き出された鍵で暗号化された秘密を含む（例えば、所与のゲストのブート・イメージの暗号対策）。メタデータは、それ自体が、セキュア・ゲストにアクセス可能である必要はない。下記でより詳細に説明されるように、本発明の実施形態では、信頼できる構成要素のプログラム・コードは、１）ゲストのライフタイムの間、セキュア・ゲストのためのＨＳＭを留保し、２）秘密を使用してＨＳＭセッションを開き、３）ＨＳＭ鍵生成リクエストを捕らえ、秘密を使用してセッションを開く際に、使用されるセッション・コードを、受け取ったセッション・コードと置き替えるリクエストを、代わりに再発行し、４）セキュア・ゲストを終わらせるときに、秘密を使用して開いた全てのセッションを閉じる。

図１は、本発明の実施形態が対処するＨＳＭ関連の鍵のセキュリティへの既存のアプローチに伴う問題を示す、ＨＳＭ１１０を含む共有コンピューティング環境１００の一部であり、したがって、ＨＳＭにおける鍵のセキュリティへの既存のアプローチより著しく多くのものを、本発明の実施形態がどのように提供するかを示す。図１に示したように、ＨＳＭは、不正な当事者がアクセスできないマスタ鍵１２０を収める。マスタ鍵１２０は、ＨＳＭのプログラム・コードがＨＳＭのユーザに提供するキーを暗号化する（すなわち、ラップする）ために、ＨＳＭのプログラム・コードによって利用される。ＨＳＭマスタ鍵１２０によってラップされた鍵は、セキュア鍵と呼ばれる。図１では、仮想マシン（ＶＭ）であるゲスト１５０（ゲスト１）が、セキュア鍵１３０を保有しており、セキュア鍵１３０は、ハイパーバイザ１４０がＨＳＭ１１０からゲスト１５０に提供した。当業者が理解しているように、ＨＳＭは、改ざんを防ぐことができ、不正アクセス（例えば、予定されていない物理的なプラギング、物理的な侵入、等）から秘密を保護するが、ゲスト１５０は、同等のセキュリティを有しておらず、したがって、脆弱な恐れがある。仮想環境では、セキュア鍵１３０の割当てをハイパーバイザ１４０が制御するので、ＨＳＭ１１０は、１つのゲスト（すなわち、ＶＭ）から別のゲスト（すなわち、ＶＭ）への、セキュア鍵１３０の再割当てを認識していないことがある。このように、第２のゲスト１６０（ゲスト２）を利用して、所与のゲスト１５０（ゲスト１）を、悪意のあるユーザがハッキングした場合、セキュリティの脆弱性が存在し、ゲスト１５０に割り当てられたセキュア鍵１３０は、第２のゲスト１６０によって保持される。このように、第２のゲスト１６０は、ハイパーバイザ１４０によって割り当てられたゲスト１５０のセキュア鍵１３０を盗むことができる（１７０）。これは、特に、ホスト環境のアドミニストレータより積極的な、ホストされるゲストの所有者が、セキュリティを維持することを望む、非常に機密性の高いホストされるＩＴ環境において問題である。共有コンピューティング環境１００では、種々のエンティティによって様々なゲストを所有することができ、ＨＳＭ１１０は、これらのエンティティのうちのいくつかだけに属すことができる。このように、セキュア鍵１３０が割り当てられたゲスト１５０の所有者などのゲスト所有者は、ＨＳＭ１１０のマスタ鍵１２０でラップされた、ゲスト所有者のセキュア鍵１３０を維持することを望む。このゲスト所有者は、共有コンピューティング環境１００におけるリソースを利用する異なるエンティティによって所有される信頼できないゲストによって、セキュア鍵１３０が使用されることを望まない。図１では、ゲストおよび第２のゲスト１６０は、異なる所有者を有し、ゲスト１５０の所有者は、図１に示したように、ゲスト１５０がハッキングされ、セキュア鍵１３０および他のデータが盗まれたとしても（１７０）、セキュア鍵１３０が本来割り当てられたゲスト１５０の所有者以外のどの所有者も、セキュア鍵１３０および他のデータを利用できないことを確実にすることを望む。

本発明の実施形態は、少なくとも、同様にこの範囲内にある技術的なアプローチをコンピュータ処理すること、および提供することに特有の問題に、対処することを対象とするので、コンピュータ処理に密接に結びつけられる。本発明の実施形態は、特定の所有者に属す特定のゲスト（例えば、ＶＭ）に、ＨＳＭのセキュア鍵を結びつける。本発明のいくつかの実施形態の態様が対処する役割がある図１に示された問題は、コンピュータ処理に固有である（すなわち、正当なゲストのセキュアなラップされたキーに、不正なゲストがアクセスすること）。問題とアプローチの両方がコンピュータ処理に固有であることを考慮すると、本発明の実施形態は、コンピュータ処理に密接に結びつけられる。

本発明の実施形態は、図１に示した鍵のセキュリティ問題に対する既存のアプローチに対する著しい長所をもたらす。例えば、いくつかの既存のアプローチは、ハイパーバイザが、ゲストによって使用されるメモリにアクセスできること、または、このセキュア・ゲストを内密にインストールすること、あるいはその両方なしに、ゲストを実行するためのコンテキストを提供することによって、鍵のセキュリティをサポートする（すなわち、信頼できる構成要素であるハードウェア（ＨＷ）構成要素またはファームウェア（ＦＷ）構成要素あるいはその両方だけが、秘密鍵にアクセスできる公開鍵を使用して、ゲストのインストール・データ内の秘密を保護する）。本発明のいくつかの実施形態では、（信頼できる構成要素としても理解することができる）セキュア・インターフェース制御装置は、ハードウェア、ファームウェア、またはその組合せである。このアプローチは、複雑性のさらなる層を追加し、依然として、所与のセキュア鍵にゲスト所有者を結びつけない。他のアプローチは、（セッション・ログイン・データに依存する）セッション・コードにセキュア鍵を結びつけるために、個々のセッションを作り出すが、このアプローチは、ゲストによる継続使用のために所与のキーを有するという機能を削除し、セキュア鍵が利用される状況における、ゲストを含む処理の効率を弱める。追加として、オペレーティング・システム（ＯＳ）イメージにＨＳＭを結びつけようとするアプローチもある。これらのアプローチには、１）ブート・デバイスが変わると、結びつきが壊れる、または、２）ＨＳＭアダプタが差し込まれた後、ＨＳＭアダプタをチェックすることしかできない、あるいはその両方という、本発明の実施形態では見つからない固有の欠点がある。

図２は、本発明のいくつかの実施形態の態様が実行される、共有コンピューティング環境などの、コンピューティング環境２００の様々な態様を示す。図１におけるように、ＨＳＭ２１０は、マスタ鍵２２０を含む。また、ハイパーバイザ２４０は、（マスタ鍵２２０でラップされた）そのセキュア鍵２３０がＨＳＭ２１０に結びつけられるので、このように理解されるセキュア・ゲスト２５０を含むゲスト（例えば、ＶＭ）と対話する。ハイパーバイザ２４０に加えて、本発明の実施形態では、信頼できる構成要素は、この非限定的な例では、セキュア・インターフェース制御装置２６５として示されたが、本発明の他の実施形態では、セキュア・インターフェース制御装置であってもよく、ＨＳＭ２１０への抜け道アクセスの構成をサポートする。特に、本発明のいくつかの実施形態では、セキュア・インターフェース制御装置２６５は、セキュア・ゲスト２５０のライフタイム中に、このセキュア・ゲスト２５０のために抜け道アクセスが構成されると、ＨＳＭ２１０を、別のゲストに、またはシステムの構成要素に、（一時的に）構成することができないというポリシを実施する。本発明のいくつかの実施形態では、セキュア・インターフェース制御装置２６５は、秘密２２５に基づいて、ＨＳＭ２１０へのセッションを開き、秘密２２５は、ゲストに暗号を使用してリンクされたゲスト・メタデータの一部であり、ゲスト・メタデータは、セキュア・ゲストのインストール・データ（例えば、セキュア実行（ＳＥ）ヘッダ）に収めることができ、セキュア・ゲスト２５０の全てのセキュア鍵２３０をこの秘密２２５に結びつける。秘密２２５は、セキュア・ゲスト２５０のイメージに暗号を使用してリンクされ、セキュア・ゲスト２５０のイメージをスタートするために提供されたインストール・メタデータの一部として、セキュア・インターフェース制御装置２６５にセキュアに提供される。秘密２２５は、セキュア・ゲスト２５０の一部ではなく、ゲスト・メタデータの一部として、（セキュア・チャネルを通じて、すなわち、暗号化して）セキュア・インターフェース制御装置２６５に伝送され、セキュア・ゲスト２５０に暗号を使用してリンクされる。このように、セキュア・インターフェース制御装置２６５は、セキュア・ゲスト２５０とメタデータ／秘密２２５がともに属すことを検証することができる。セキュア・ゲスト２５０のメタデータは、整合性が保護され、秘密２２５を含み、秘密２２５は、セキュア・インターフェース制御装置２６５が所有する秘密鍵を使用して導き出された鍵で暗号化することができる（例えば、所与のゲストのブート・イメージの暗号対策）。

図３は、本発明のいくつかの実施形態の様々な態様を示すワークフロー３００である。例証のためだけに、ワークフロー３００は、図２のコンピューティング環境２００に関連して示されている。特に、図３は、セキュア・ゲスト２５０（ＨＳＭマスタ鍵２２０でラップされた少なくとも１つのセキュア鍵２３０を有するゲスト）をＨＳＭ２１０に結びつけるという態様を示すワークフロー３００である。前述のように、結びつけの多くは、図２におけるセキュア・インターフェース制御装置２６５である、信頼できる構成要素の支援によって行われる。本発明の実施形態におけるセキュア・インターフェース制御装置２６５のプログラム・コードは、ＨＳＭ２１０への抜け道アクセスの構成をサポートする。この態様をサポートするために、１つまたは複数のプロセッサ上で実行するプログラム・コードは、一定の機能を提供するように、セキュア・インターフェース制御装置２６５（すなわち、セキュア・インターフェース制御装置２６５のプログラム・コード）を構成する。

図３のワークフロー３００は、構成されたセキュア・インターフェース制御装置２６５によって提供される機能を示す。特に、ワークフロー３００は、セキュア・ゲストのメタデータにＨＳＭの秘密を含むことに基づいて、信頼できる構成要素（例えば、ハードウェア、ファームウェア、または、その組合せであるセキュア・インターフェース制御装置である、セキュア・インターフェース制御装置２６５）が、ＨＳＭの秘密に基づいて、セキュア・ゲストのためのセッションを作り出す、本発明のいくつかの実施形態の一定の態様を示す。このように、作り出された全てのセッション（すなわち、ログインで始まったもの）、つまり、セキュア・ゲストからの鍵生成リクエストおよびセッション終了リクエスト（すなわち、ログアウトによって始められたもの）を、セキュア・インターフェース制御装置で捕らえる。これらのリクエストを捕らえると、セキュア・インターフェース制御装置のプログラム・コードは、セキュア・インターフェース制御装置によって生成されたＨＳＭの秘密およびセッション・コードを含むログイン・データを含むリクエストとともに、ＨＳＭによって提供された標準ログイン・データおよびセッション・コードを最初に含むリクエストを再発行する。このように、プログラム・コードは、リクエスト内の標準ログイン・データを、ＨＳＭの秘密を含むログイン・データと置き替え、プログラム・コードは、ＨＳＭによって提供されたセッション・コードを、セキュア・インターフェース制御装置によって生成されたセッション・コードと置き替える。

図３を参照すると、ワークフローの一定の態様が、例証のために、任意の順序で提示されている。理解しやすくするために、１つの順序で描写されているが、セキュア・インターフェース制御装置のプログラム・コードが、ＨＳＭとの任意のセッションに（まだ）結びつけられていないセキュア・ゲストのセキュア鍵のために使用されることになるＨＳＭへのデフォルト・セッションを開くこと（３１０）から、プログラム・コードが、セキュア・ゲストを終わらせたと判定すること（３７０）までの全ての態様は、イベントのループであり、この中で、残りの態様（プログラム・コードが、セキュア・ゲストの各ＨＳＭログイン・セッションを捕らえること（３２０）、プログラム・コードが、セキュア・ゲストの秘密に基づいて、ログイン・データを利用するＨＳＭセッションと、（ログインで始まった）セッションを関連付けること（３３０）、プログラム・コードが、セキュア・ゲストの各ＨＳＭ鍵生成リクエストおよびセッション・ログアウト・リクエストを捕らえること（３４０）、プログラム・コードが、セキュア・ゲストの秘密に基づく、関連付けられたセッション・コードと、これらのアクションのためのセッション・コードを置き替えること（３５０）、ならびに、所与のイベントが発生したと判定したことに基づいて、プログラム・コードが、セキュア・ゲストの秘密に基づく全てのセッションを閉じること（３６０））は、ワークフロー３００の順序を含むがこれらに限定されない任意の順序で発生してもよく、また、ワークフロー３００の中でいつでも非同期的に発生してもよい。

図２を参照しながら図３に戻ると、本発明のいくつかの実施形態では、セキュア・インターフェース制御装置２６５のプログラム・コードが、ＨＳＭ２１０との任意のセッションに（まだ）結びつけられていないセキュア・ゲスト２５０のセキュア鍵のために使用されることになるＨＳＭ２１０へのデフォルト・セッションを開く（３１０）。プログラム・コードが、セキュア・ゲスト２５０の各ＨＳＭ２１０のログイン・セッションを捕らえる（３２０）。プログラム・コードが、セキュア・ゲスト２２５の秘密に基づいて、ログイン・データを利用するＨＳＭ２１０のセッションと、（ログインで始まった）セッションを関連付ける（３３０）。本発明の実施形態では、秘密２２５は、ゲスト・メタデータの一部として、（セキュア・チャネルを通じて、すなわち、暗号化して）セキュア・インターフェース制御装置２６５に独立して伝送され、ゲスト２２５に暗号を使用してリンクされるので、ゲスト２５０の一部ではない。このように、セキュア・インターフェース制御装置２６５は、ゲスト２５０とメタデータ／秘密２２５がともに属すことを検証することができる。ＨＳＭのプログラム・コード２６５は、セキュア・ゲスト２５０に返されたセッション・コードとの、セキュア・ゲスト２２５の秘密に基づくセッション・コードのその関連付けを、テーブル２４５に保持することができる。ＨＳＭは、テーブル２１５における、セキュア・ゲスト２５０に返されたセッション・コードを提供し、追跡することができる。図２に示したように、セキュア・ゲストに返されたセッション・コードと、セキュア・ゲストの秘密に基づくセッション・コードを関連付けるテーブル２４５を格納することとともに、セキュア・インターフェース制御装置２６５のプログラム・コードは、セキュア・ゲスト２５０のＨＳＭ構成も格納する。

図３に戻ると、プログラム・コードが、セキュア・ゲスト２５０の各ＨＳＭ鍵生成リクエストおよびセッション・ログアウト・リクエストを捕らえる（３４０）。セキュアなゲスト２５０は、マスタ鍵２２０でＨＳＭ２１０によってラップされたセキュア鍵２３０を格納した。プログラム・コードが、セキュア・ゲスト２２５の秘密に基づく、（例えば、テーブル２４５からの）関連付けられたセッション・コードと、これらのアクションのためのセッション・コードを置き替える（３５０）。所与のイベントが発生したと判定したことに基づいて、プログラム・コードが、セキュア・ゲスト２２５の秘密に基づく全てのセッションを閉じる（３６０）。プログラム・コードが、セキュア・ゲストを終わらせたと判定する（３７０）。所与のイベントは、変化してもよい。本発明のいくつかの実施形態では、プログラム・コードが、セキュア・ゲスト２５０を終わらせたと判定したことに基づいて、セキュア・ゲスト２２５の秘密に基づく全てのセッションを閉じる。ＨＳＭ２１０のプログラム・コード、およびシステムの他の要素も、予期しないイベントが発生したとき、システムのセキュリティを保護するために、さらなるアクションをとることができる。例えば、本発明のいくつかの実施形態では、プログラム・コードは、ＨＳＭ２１０が抜かれる（unplugged）と、全てのセッション状態データを削除する。本発明のいくつかの実施形態では、処理デバイス上で実行するプログラム・コードは、セキュア・インターフェース制御装置２６５が予期せず終了すると、ＨＳＭ２１０の全てのセッションをクリアする。

本発明の実施形態では、信頼できる構成要素のプログラム・コード（例えば、セキュア・インターフェース制御装置２６５（図２））を含む処理リソース上で実行するプログラム・コードは、セキュア・ゲスト（例えば、セキュア・ゲスト２５０（図２））のセキュア鍵（例えば、セキュア鍵１３０（図２））を、ＨＳＭ（例えば、ＨＳＭ２１０（図２））に結びつけるために、１）セキュア・インターフェース制御装置のプログラム・コードが、ＨＳＭとセキュア・ゲストとの間の関係／接続を最初に構成すること、２）セキュア・インターフェース制御装置のプログラム・コードが、新しいセッション・コードをセキュア・ゲストに最終的に返す、セキュア・ゲストからのリクエストを捕らえること、３）セキュア・インターフェース制御装置のプログラム・コードが、ＨＳＭによる新しいセキュア鍵の生成（マスタ鍵でラッピングすること）のための、セキュア・ゲストからのリクエストを捕らえること、４）セキュア・インターフェース制御装置のプログラム・コードが、ＨＳＭとのセッションからログアウトするための、セキュア・ゲストからのリクエストを捕らえること、および、５）セキュア・ゲストの停止に基づいて、セキュア・インターフェース制御装置のプログラム・コードが、様々なクリーンアップ活動を開始し、完了させること、という少なくとも５つの一般的な態様を行う。図４～図８は、これらの態様についてのワークフロー４００～８００を示す。

図４を参照すると、ワークフロー４００は、本発明の実施形態における、セキュア・インターフェース制御装置のプログラム・コードが、ＨＳＭとセキュア・ゲストとの間の関係／接続を最初に構成することを示す。図２に示したように、セキュア・インターフェース制御装置は、ハイパーバイザを介して、ＨＳＭに、および、ハイパーバイザによって管理されるゲストに、通信連結される。本発明の実施形態では、セキュア・インターフェース制御装置のプログラム・コード（例えば、信頼できるＦＷ、信頼できる構成要素、等）が、ハイパーバイザ（例えば、仮想マシン・マネージャ）を介して、ハイパーバイザによって管理された１つまたは複数のゲストのうちの１つのゲスト（例えば、仮想マシン）からの構成リクエストを受け取る（４１０）。プログラム・コードが、１つまたは複数のゲストのうちの所与のゲストにＨＳＭが既に構成されているかどうかを判定する（４２０）。所与のゲストにＨＳＭが構成されていると判定したことに基づいて、プログラム・コードが、構成リクエストに応答してエラーを返す（４３５）。本発明の実施形態では、セキュアな構成要素（例えば、セキュアなＦＷ、セキュア・インターフェース制御装置）のプログラム・コードは、ゲストに構成されたＨＳＭについて、ＨＳＭへのセキュア・ゲストのどのリクエストも、ゲストを管理するハイパーバイザが捕らえることができないことを強制する。

図４に戻ると、所与のゲストにＨＳＭが構成されていないと判定したことに基づいて、プログラム・コードが、ゲストがセキュア・ゲストであるかどうかを判定する（例えば、ゲストのメタデータを含む様々な態様に基づく認証）（４４０）。本発明の実施形態では、ゲストのメタデータの存在またはタイプが、ゲストがセキュアであるかどうかを決定する。メタデータは、ゲストに暗号を使用してリンクされ（例えば、ゲスト・イメージの署名を収める）、したがって、１つのゲストのメタデータは、別のゲストのメタデータとして誤用されるはずがない。ゲストがセキュアでない場合、この処理は、終了する（４３５）。ゲストがセキュア・ゲストであると判定したことに基づいて、プログラム・コードが、他のゲストによってアクセスされることからＨＳＭを除外する（４５０）。本発明のいくつかの実施形態では、セキュア・ゲストをスタートしたが、まだ終わらせていない場合、セキュア・ゲストのために構成されたＨＳＭは、別のゲスト（またはシステム内で動く構成要素）に構成することができない（具体的には、セキュア・ゲストのＨＳＭの秘密を使用して、セッションが作り出されたＨＳＭがない）。

図４を参照すると、プログラム・コードが、セキュア・ゲストの秘密を利用して、ＨＳＭにログインする（例えば、アクセスする）（４６０）。セキュア・ゲストが初めてＨＳＭにアクセスする前に、セキュア・インターフェース制御装置のプログラム・コードは、セキュア・ゲストのメタデータからのＨＳＭの秘密を使用してＨＳＭにログインする。ＨＳＭへのログインに応答して、プログラム・コードが、セッション・コードをＨＳＭから受け取る（４７０）。プログラム・コードが、セキュアな構成要素における関連付けのテーブルに、ＮＵＬＬのセッション・コードとセッション・コードの関連付けを格納する（４８０）。このように、セキュア・インターフェース制御装置は、ＨＳＭによって返されたセッション・コードと、ＮＵＬＬのセッション・コードの関連付けをテーブルに格納する。本発明のいくつかの実施形態では、このテーブルは、ＨＳＭによって、セキュア・ゲストに返されたセッション・コードと，セキュア・ゲストの秘密に基づくセッション・コードを関連付ける。

図５を参照すると、ワークフロー５００は、本発明の実施形態における、セキュア・インターフェース制御装置のプログラム・コードが、セキュア・ゲストからのリクエストを捕らえることを示す。図５に示したように、セキュアな構成要素（例えば、セキュアなＦＷ）のプログラム・コードは、セキュア・ゲストからの各セッション・ログイン・リクエストを捕らえ、（例えば、２つのデータをビット単位にＸＯＲをとることによって）このログイン・データとＨＳＭの秘密の組合せで置き替えられたセキュア・ゲストのログイン・データを伴うログイン・リクエストを再発行する。このように、ＨＳＭによって返されたセッション・コードを返す代わりに、セキュア・インターフェース制御装置のプログラム・コードは、ログイン・リクエストの明細と一致した（例えば、セキュア・ゲストのログイン・データから）新しいセッション・コードを生成し、生成したセッション・コードと、ＨＳＭによって返されたセッション・コードとの関連付けをテーブル（例えば、テーブル２６５（図２））に格納する。

図５に戻ると、本発明のいくつかの実施形態では、セキュア・インターフェース制御装置のプログラム・コード（例えば、信頼できるＦＷ、信頼できる構成要素）が、セキュア・ゲストからのＨＳＭログイン・リクエストを捕らえ、ここで、ＨＳＭログイン・リクエストが、セキュア・ゲストからのログイン・データを利用した（５１０）。プログラム・コードが、セキュア・ゲストの秘密に基づく新しいログイン・データを生成し、ここで、セキュア・ゲストの秘密が、セキュア・ゲストのイメージに暗号を使用してリンクされる（５２０）。プログラム・コードが、新しいログイン・データ（すなわち、セキュア・ゲストの秘密に基づくデータ）を伴う（元のリクエストを捕らえた）ＨＳＭログイン・リクエストを発行する（５３０）。プログラム・コードが、ＨＳＭからセッション・コードを受け取る（５４０）。ＨＳＭからセッション・コードを受け取ることに基づいて、プログラム・コードが、新しいセッション・コードを生成する（セッション・コードが、ログイン・データに基づいて変化する）（５５０）。プログラム・コードが、ＨＳＭからのセッション・コードを新しいセッション・コードと関連付け、この関連付けを関連付けのテーブルに格納する（５６０）。プログラム・コードが、セキュア・ゲストに新しいセッション・コードを返す（５７０）。

セキュア・ゲストからのＨＳＭログイン・リクエストを捕らえることに加えて、図５に示したように、本発明の実施形態では、信頼できる構成要素のプログラム・コード（例えば、セキュア・インターフェース制御装置２６５（図２））も、生成リクエストおよびセッション・ログアウト・リクエストを含むがこれらに限定されない、セキュア・ゲストからＨＳＭへのリクエストを捕らえる。図６～図７は、セキュアな構成要素による、鍵生成リクエストおよびログアウト・リクエストそれぞれのハンドリングについての態様を示す。図６～図７に示したように、セキュアな構成要素のプログラム・コードは、関連付けのテーブルに格納されたような、ＨＳＭによって提供されたセッション・コードで置き替えられた、セキュア・ゲストによって提供されたセッション・コードを伴うこれらのリクエストを捕らえ、再発行する。

図６は、セキュア・インターフェース制御装置のプログラム・コードが、新しいセッション・コード（例えば、図５の５６０）を利用するＨＳＭ鍵生成リクエストを捕らえることを示すワークフロー６００である。本発明のいくつかの実施形態では、セキュア・インターフェース制御装置のプログラム・コード（例えば、信頼できるＦＷ、信頼できる構成要素）が、新しいセッション・コードを利用するＨＳＭ鍵生成リクエストをセキュア・ゲストから捕らえる（６１０）。プログラム・コードが、関連付けのテーブル内の新しいセッション・コードを探索し、関連付けられたセッション・コード（ＨＳＭからのセッション・コード、例えば、図５の５４０）を検索する（６２０）。セッション・コードの検索に基づいて、プログラム・コードが、セッション・コードを利用して、ＨＳＭへのＨＳＭ鍵生成リクエストを発行する（６３０）。リクエストに応答して、プログラム・コードが、リクエストされた鍵を取得し、セキュア・ゲストに鍵を返す（６４０）。このように、プログラム・コードは、ＨＳＭリクエストの結果をセキュア・ゲストに返す。

図６のワークフロー６００と同様に、図７は、セキュア・インターフェース制御装置のプログラム・コードが、新しいセッション・コード（例えば、図５の５６０）を利用するＨＳＭログアウト・リクエストを捕らえることを示すワークフロー７００を描写する。本発明のいくつかの実施形態では、セキュア・インターフェース制御装置（例えば、信頼できるＦＷ、信頼できる構成要素）のプログラム・コードが、新しいセッション・コードを利用するＨＳＭログアウト・リクエストをセキュア・ゲストから捕らえる（７１０）。プログラム・コードが、関連付けのテーブル内の新しいセッション・コードを探索し、関連付けられたセッション・コード（ＨＳＭからのセッション・コード、例えば、図５の５４０）を検索する（７２０）。セッション・コードの検索に基づいて、プログラム・コードが、セッション・コードを利用して、ＨＳＭへのＨＳＭログアウト・リクエストを発行する（７３０）。プログラム・コードが、関連付けのテーブルから関連付け（関連付けが、新しいセッション・コードをセッション・コードと関連付けた）を削除する（７３５）。リクエストに応答して、ＨＳＭからのセキュア・ゲストのログアウトを完了する（７４０）。

図８は、本発明のいくつかの実施形態における、プログラム・コードが、セキュア・ゲストを終わらせることを示すワークフロー８００を描写する。全体的に、本発明の実施形態では、セキュア・ゲストが終了すると、セキュア・インターフェース制御装置は、（ＨＳＭのセキュア・ゲストの秘密を使用して）セキュア・ゲストが作り出した全てのセッションを終わらせる。本発明のいくつかの実施形態では、セキュア・インターフェース制御装置のプログラム・コードが、セキュア・ゲストを停止したことを示す情報を、ハイパーバイザを介して取得する（８１０）。セキュア・ゲストを停止したと判定したことに基づいて、セキュアな構成要素のプログラム・コードが、関連付けのテーブルに基づいて、ＨＳＭとのセキュア・ゲストの全てのセッションを識別する（８２０）。本発明のいくつかの実施形態では、プログラム・コードは、セッション・コードと関連付けられた全てのセッションのリストを生成することができる。セッションの識別に基づいて、セッション・コードを介して、プログラム・コードが、識別したセッション全てからセキュア・ゲストをログアウトさせる（８３０）。プログラム・コードが、セキュア・ゲストのＨＳＭ構成を除去する（８４０）。プログラム・コードが、セキュア・ゲストの残りのリソースをクリーンアップする（８５０）。

本発明の実施形態は、ＨＳＭとセキュア・ゲストとの整合性を保護するための様々なセキュリティ対策を含む。例えば、本発明のいくつかの実施形態では、セキュア・インターフェース制御装置がクラッシュすると、ＨＳＭ内の全てのセッションを終了させる。追加として、ＨＳＭがサーバから除去されると、ＨＳＭ内の全てのセッションを終了させる。

本発明の実施形態は、セキュア・ゲストのセキュア鍵をハードウェア・セキュリティ・モジュールに結びつけるための、コンピュータ実行方法、コンピュータ・プログラム製品、およびシステムを含む。これらの実施形態の様々な態様は、セキュア・インターフェース制御装置によって実施され、セキュア・インターフェース制御装置は、ソフトウェア、ハードウェア、またはファームウェア、あるいはその組合せで構成することができる。ソフトウェアの態様は、１つまたは複数のプロセッサによって実行される。このように、理解のそれぞれについて、本発明の様々な実施形態の態様は、プログラム・コードによって広く実行されるものとして説明され、この態様の構成物と関係なく、セキュア・インターフェース制御装置を含むことができる。このように、本発明のいくつかの実施形態では、プログラム・コードは、ハイパーバイザによって管理されたセキュア・ゲストによる排他使用のためにハードウェア・セキュリティ・モジュールを構成する。構成することは、プログラム・コードが、ハイパーバイザによって管理された１つまたは複数のゲストのうちの所与のゲストから、ハイパーバイザを介して、ハードウェア・セキュリティ・モジュールを構成するための構成リクエストを取得すること、プログラム・コードが、ハードウェア・セキュリティ・モジュールが１つまたは複数のゲストのうちの特定のゲストに既に構成されているかどうかを判定することであって、特定のゲストおよび所与のゲストが、１つまたは複数のゲストのうちの異なるゲストを含む、判定すること、ハードウェア・セキュリティ・モジュールが特定のゲストに構成されていないとプログラム・コードが判定したことに基づいて、プログラム・コードが、所与のゲストのメタデータを評価することによって、所与のゲストがセキュア・ゲストを含むと判定すること、所与のゲストがセキュア・ゲストを含むと判定したことに基づいて、プログラム・コードが、１つまたは複数のゲストのうちの所与のゲストだけに、ハードウェア・セキュリティ・モジュールへのゲストによるアクセスを限定することによって、ハードウェア・セキュリティ・モジュールの構成を確立することを除外することを含む。また、構成することは、プログラム・コードが、ハードウェア・セキュリティ・モジュールに所与のゲストをログインさせることであって、ハードウェア・セキュリティ・モジュールにログインさせることが、所与のゲストの秘密を利用することを含み、メタデータが、秘密を含む、ログインさせることを含む。さらに、構成することは、プログラム・コードが、ハードウェア・セキュリティ・モジュールにログインさせることに基づいて、プログラム・コードが、ハードウェア・セキュリティ・モジュールからセッション・コードを取得すること、および、１つまたは複数のプロセッサでセッション・コードを保持することを含む。

本発明のいくつかの実施形態では、保持することは、プログラム・コードが、セキュア・インターフェース制御装置内の関連付けのテーブルに、ＮＵＬＬのセッション・コードとセッション・コードの関連付けを格納することを含む。

本発明のいくつかの実施形態では、ゲストのメタデータは、整合性が保護され、秘密は、セキュア・インターフェース制御装置が所有する秘密鍵を使用して導き出された鍵で暗号化される。秘密鍵は、所与のゲストのブート・イメージの暗号対策を含むことができる。

本発明のいくつかの実施形態では、プログラム・コードは、構成に基づいて、ハードウェア・セキュリティ・モジュールへのリクエストで、所与のゲストによって利用するための新しいセッション・コードを所与のゲストに提供する。

本発明のいくつかの実施形態では、（プログラム・コードで）提供することは、プログラム・コードが、所与のゲストからのハードウェア・セキュリティ・モジュール・ログイン・リクエストを捕らえることであって、ハードウェア・セキュリティ・モジュール・ログイン・リクエストが、所与のゲストからのログイン・データを含む、捕らえること、プログラム・コードが、所与のゲストの秘密に基づいて、新しいログイン・データを生成すること、プログラム・コードが、所与のゲストからの新しいハードウェア・セキュリティ・モジュール・ログイン・リクエストをハードウェア・セキュリティ・モジュールに発行することであって、新しいハードウェア・セキュリティ・モジュール・ログイン・リクエストが、新しいログイン・データを含む、発行すること、プログラム・コードが、ハードウェア・セキュリティ・モジュールからセッション・コードを取得すること、ハードウェア・セキュリティ・モジュールからセッション・コードを取得することに基づいて、プログラム・コードが、新しいセッション・コードを生成すること、プログラム・コードが、ハードウェア・セキュリティ・モジュールからのセッション・コードと、新しいセッション・コードとの間の関連付けをテーブルに格納すること、および、プログラム・コードが、ログイン・リクエストに応答して、新しいセッション・コードを所与のゲストに伝送することを含む。

本発明のいくつかの実施形態では、プログラム・コードが、ハードウェア・セキュリティ・モジュールへの所与のゲストからのリクエストを捕らえ、ここで、リクエストが、新しいセッション・コードを含む。プログラム・コードが、新しいセッション・コードと関連付けられたハードウェア・セキュリティ・モジュールからのセッション・コードをテーブルから取得する。プログラム・コードが、新しいリクエストを含むように、所与のゲストからのリクエストを更新し、新しいリクエストは、新しいセッション・コードではなく、ハードウェア・セキュリティ・モジュールからのセッション・コードを含む。プログラム・コードが、ハードウェア・セキュリティ・モジュールへの新しいリクエストを発行する。

本発明のいくつかの実施形態では、プログラム・コードが、ハードウェア・セキュリティ・モジュールから、リクエストのフルフィルメントを取得する。プログラム・コードが、リクエストのフルフィルメントを所与のゲストに発行する。本発明のいくつかの実施形態では、リクエストは、ハードウェア・セキュリティ・モジュール・セキュア鍵生成リクエスト、およびハードウェア・セキュリティ・モジュール・ログアウト・リクエストからなるグループから選択される。

本発明のいくつかの実施形態では、プログラム・コードが、所与のゲストが停止したという指示をハイパーバイザから取得する。プログラム・コードが、ハードウェア・セキュリティ・モジュールからのセッション・コードと、新しいセッション・コードとの間の関連付けをテーブル内で識別する。プログラム・コードが、テーブルに基づいて、ハードウェア・セキュリティ・モジュールからのセッション・コードを利用して、１つまたは複数のセッションのリストを生成する。プログラム・コードが、１つまたは複数のセッションから所与のゲストをログアウトさせる。

本発明のいくつかの実施形態では、プログラム・コードが、所与のゲストが停止したという指示をハイパーバイザから取得する。プログラム・コードが、構成を除去する。

本発明のいくつかの実施形態では、プログラム・コードが、所与のゲストが停止したという指示をハイパーバイザから取得する。プログラム・コードが、ハードウェア・セキュリティ・モジュールに保持された所与のゲストへの参照を識別する。プログラム・コードが、参照を除去する。

本発明のいくつかの実施形態では、セキュア・インターフェース構成要素は、ファームウェア、ハードウェア、およびソフトウェアからなるグループから選択される。

本発明のいくつかの実施形態では、所与のゲストのメタデータを評価することによって、所与のゲストがセキュア・ゲストを含むと判定することは、プログラム・コードが、メタデータの存在またはタイプのうちの１つを検証することを含む。

本発明のいくつかの実施形態では、プログラム・コードが所与のゲストの秘密を利用することは、プログラム・コードが秘密を復号することを含む。

本発明のいくつかの実施形態では、復号することは、セキュア・インターフェース制御装置でのみ計算された鍵を利用することを含む。

本明細書で説明される技法を通じて、さらなる特徴が実現される。他の実施形態および態様は、本明細書で詳細に説明され、特許請求される態様の一部とみなされる。

次に図９を参照すると、コンピュータ処理ノードの例の概略図が示されており、コンピュータ処理ノードは、クラウド・コンピューティング・ノード１０であってもよい。クラウド・コンピューティング・ノード１０は、適切なクラウド・コンピューティング・ノードのほんの一例であり、本明細書で説明される本発明の実施形態の用途または機能の範囲について、いかなる限定を提案することも意図するものではない。それにもかかわらず、クラウド・コンピューティング・ノード１０は、以上に示された機能のいずれかの実行または実施あるいはその両方を行うことができる。本発明の実施形態では、セキュア・ゲスト２５０（図２）、セキュア・インターフェース制御装置２６５（例えば、セキュア・インターフェース制御装置）（図２）、またはハイパーバイザ２４０（図２）、あるいはその組合せは、それぞれ、クラウド・コンピューティング・ノード１０（図９）上で実行するものとして理解されてもよく、クラウド・コンピューティング・ノード１０でない場合、クラウド・コンピューティング・ノード１０の態様を含む１つまたは複数の一般的なコンピュータ処理ノードである。

クラウド・コンピューティング・ノード１０には、コンピュータ・システム／サーバ１２があり、コンピュータ・システム／サーバ１２は、非常に多くの他の汎用または専用コンピューティング・システム環境または構成で動作するものである。コンピュータ・システム／サーバ１２と共に使用するのに適し得る、よく知られたコンピューティング・システム、環境、または構成、あるいはその組合せの例は、パーソナル・コンピュータ・システム、サーバ・コンピュータ・システム、シン・クライアント、シック・クライアント、ハンドヘルドまたはラップトップ・デバイス、マルチプロセッサ・システム、マイクロプロセッサ・ベースのシステム、セット・トップ・ボックス、プログラム可能家庭用電化製品、ネットワークＰＣ、ミニコンピュータ・システム、メインフレーム・コンピュータ・システム、および、上記のシステムまたはデバイスのいずれかを含む分散型クラウド・コンピューティング環境などを含むがこれらに限定されない。

コンピュータ・システム／サーバ１２は、コンピュータ・システムによって実行される、プログラム・モジュールなどのコンピュータ・システム実行可能命令の一般的な背景で説明することができる。一般に、プログラム・モジュールは、特定のタスクを実施するか、特定の抽象データ型を実装する、ルーチン、プログラム、オブジェクト、コンポーネント、ロジック、データ構造などを含むことができる。コンピュータ・システム／サーバ１２は、通信ネットワークを通じてリンクされたリモート処理デバイスによってタスクが実施される分散型クラウド・コンピューティング環境で実践することができる。分散型クラウド・コンピューティング環境では、プログラム・モジュールは、メモリ・ストレージ・デバイスを含むローカルとリモート両方のコンピュータ・システム・ストレージ媒体に置くことができる。

図９に示したように、クラウド・コンピューティング・ノード１０として利用することができるコンピュータ・システム／サーバ１２は、汎用コンピューティング・デバイスの形で示されている。コンピュータ・システム／サーバ１２の構成要素は、１つまたは複数のプロセッサまたは処理ユニット１６、システム・メモリ２８、および、システム・メモリ２８を含む様々なシステム構成要素をプロセッサ１６に連結するバス１８を含むことができるがこれらに限定されない。

バス１８は、メモリ・バスまたはメモリ・コントローラ、周辺機器バス、アクセラレイティッド・グラフィックス・ポート、および、様々なバス・アーキテクチャのいずれかを使用するプロセッサまたはローカル・バスを含む、いくつかのタイプのバス構造のいずれかの１つまたは複数に相当する。限定ではなく例として、このようなアーキテクチャは、インダストリ・スタンダード・アーキテクチャ（ＩＳＡ）バス、マイクロ・チャネル・アーキテクチャ（ＭＣＡ）バス、エンハンストＩＳＡ（ＥＩＳＡ）バス、ビデオ・エレクトロニクス・スタンダーズ・アソシエーション（ＶＥＳＡ）ローカル・バス、およびペリフェラル・コンポーネント・インターコネクト（ＰＣＩ）バスを含む。

コンピュータ・システム／サーバ１２は、典型的には、様々なコンピュータ・システム可読媒体を含む。このような媒体は、コンピュータ・システム／サーバ１２によってアクセス可能な、任意の利用可能な媒体であってもよく、揮発性媒体と不揮発性媒体の両方、取外し可能媒体および取外し不能媒体の両方を含む。

システム・メモリ２８は、ランダム・アクセス・メモリ（ＲＡＭ）３０またはキャッシュ・メモリ３２あるいはその両方など、揮発性メモリの形のコンピュータ・システム可読媒体を含むことができる。コンピュータ・システム／サーバ１２は、他の取外し可能／取外し不能な、揮発性／不揮発性のコンピュータ・システム・ストレージ媒体をさらに含むことができる。ほんの一例として、ストレージ・システム３４は、取外し不能な不揮発性磁気媒体（図示していないが、典型的には「ハード・ドライブ」と呼ばれる）を読み書きするために設置することができる。図示していないが、取外し可能な不揮発性磁気ディスク（例えば「フロッピー（登録商標）・ディスク」）を読み書きするための磁気ディスク・ドライブ、および、ＣＤ－ＲＯＭ、ＤＶＤ－ＲＯＭ、または他の光媒体などの取外し可能な不揮発性光ディスクを読み書きするための光ディスク・ドライブを設置することができる。このような事例では、それぞれを、１つまたは複数のデータ媒体インターフェースでバス１８に接続することができる。下記でさらに描写され、説明されるように、メモリ２８は、本発明の実施形態の機能を実行するように構成されたプログラム・モジュールのセット（例えば、少なくとも１つ）を有する少なくとも１つのプログラム製品を含むことができる。

プログラム／ユーティリティ４０は、プログラム・モジュール４２のセット（少なくとも１つ）を含み、オペレーティング・システム、１つまたは複数のアプリケーション・プログラム、他のプログラム・モジュール、およびプログラム・データと同様に、限定ではなく例として、メモリ２８に格納することができる。オペレーティング・システム、１つまたは複数のアプリケーション・プログラム、他のプログラム・モジュール、およびプログラム・データのそれぞれ、またはそのいくつかの組合せは、ネットワーキング環境の実装形態を含むことができる。プログラム・モジュール４２は、一般に、本明細書で説明されるような、本発明の実施形態の機能または方法あるいはその両方を実行する。

コンピュータ・システム／サーバ１２は、キーボード、ポインティング・デバイス、ディスプレイ２４等などの、１つもしくは複数の外部デバイス１４、ユーザがコンピュータ・システム／サーバ１２と対話することを可能にする１つもしくは複数のデバイス、または、コンピュータ・システム／サーバ１２が１つもしくは複数の他のコンピューティング・デバイスと通信することを可能にする任意のデバイス（例えば、ネットワーク・カード、モデム等）、あるいはその組合せとも通信することができる。このような通信は、入出力（Ｉ／Ｏ）インターフェース２２を介して発生させることができる。さらに、コンピュータ・システム／サーバ１２は、ローカル・エリア・ネットワーク（ＬＡＮ）、一般的な広域ネットワーク（ＷＡＮ）、またはパブリック・ネットワーク（例えばインターネット）、あるいはその組合せなどの、１つまたは複数のネットワークと、ネットワーク・アダプタ２０を介して通信することができる。描写したように、ネットワーク・アダプタ２０は、コンピュータ・システム／サーバ１２の他の構成要素と、バス１８を介して通信する。図示していないが、他のハードウェア構成要素またはソフトウェア構成要素あるいはその両方を、コンピュータ・システム／サーバ１２と共に使用できることを理解されたい。例は、マイクロコード、デバイス・ドライバ、冗長処理ユニット、外部ディスク・ドライブ・アレイ、ＲＡＩＤシステム、テープ・ドライブ、およびデータ・アーカイブ・ストレージ・システム等を含むがこれらに限定されない。

本開示は、クラウド・コンピューティングについての詳細な説明を含むが、本明細書で列挙される教示の実装形態は、クラウド・コンピューティング環境に限定されないことを理解されたい。むしろ、本発明の実施形態は、今知られているか、後で開発される他の任意のタイプのコンピューティング環境と共に実装することができる。

クラウド・コンピューティングは、最低限の管理努力、または、サービスの提供者との対話により、迅速に提供し、解放することができる、構成可能なコンピュータ処理リソース（例えば、ネットワーク、ネットワーク帯域幅、サーバ、処理、メモリ、ストレージ、アプリケーション、仮想マシン、およびサービス）の共用プールへの、便利なオンデマンドのネットワーク・アクセスを可能にするためのサービス配信のモデルである。このクラウド・モデルは、少なくとも５つの特性、少なくとも３つのサービス・モデル、および少なくとも４つの導入モデルを含むことができる。

特性は、以下のようなものである。

オンデマンド・セルフサービス：クラウド利用者は、サービスの提供者との人間対話を必要とせずに必要に応じて自動的に、サーバ時間およびネットワーク・ストレージなどのコンピュータ処理能力を一方的に提供することができる。

ブロード・ネットワーク・アクセス：能力は、ネットワーク上で利用可能であり、異種のシンまたはシック・クライアント・プラットフォーム（例えば、携帯電話、ラップトップ、およびＰＤＡ）による使用を推進する標準メカニズムを通じてアクセスされる。リソース・プーリング：提供者のコンピュータ処理リソースは、マルチ・テナント・モデルを複数の利用者が使用するのに役立てるためにプールされ、種々の物理および仮想リソースの、要求に従った動的な割当て、および再割当てが行われる。利用者は、一般に、提供されるリソースの正確な位置についての制御権または知識を有していないが、抽象化のより高いレベル（例えば、国、州、またはデータセンタ）で位置を指定することができ得るという点で、位置独立の感覚がある。迅速な伸縮性（rapid elasticity）：能力は、素早くスケール・アウトするために、迅速かつ伸縮自在に、場合によっては自動的に提供すること、および、素早くスケール・インするために、迅速に解放することができる。利用者にとって、提供するために利用可能な能力は、しばしば、無制限のように見え、任意の量でいつでも購入することができる。

測定されるサービス（measured service）：クラウド・システムは、サービスのタイプ（例えば、ストレージ、処理、帯域幅、およびアクティブ・ユーザ・アカウント）に適した抽象化のいくつかのレベルで計量能力を活用することによって、リソース利用を自動的に制御し、最適化する。リソース利用率の監視、制御、レポートを行うことができ、利用されるサービスの提供者と利用者双方に透明性をもたらす。

サービス・モデルは、以下のようなものである。

サービスとしてのソフトウェア（ＳａａＳ）：利用者に提供される能力は、クラウド・インフラストラクチャ上で動く提供者のアプリケーションを使用することである。アプリケーションは、ウェブ・ブラウザ（例えば、ウェブベースの電子メール）などの、シン・クライアント・インターフェースを通じて様々なクライアント・デバイスからアクセス可能である。利用者は、限定的なユーザ固有アプリケーション構成設定を例外とする可能性はあるが、ネットワーク、サーバ、オペレーティング・システム、ストレージ、または、ことによると、個々のアプリケーション能力を含む、基礎をなすクラウド・インフラストラクチャの管理も制御も行わない。

サービスとしてのプラットフォーム（ＰａａＳ）：利用者に提供される能力は、提供者がサポートするプログラミング言語およびツールを使用して作り出された、利用者が作り出した、または獲得したアプリケーションを、クラウド・インフラストラクチャ上に配布することである。利用者は、ネットワーク、サーバ、オペレーティング・システム、またはストレージを含む、基礎をなすクラウド・インフラストラクチャの管理も制御も行わないが、配布されたアプリケーション、および場合によっては、環境構成をホストするアプリケーションに対する制御権を有している。

サービスとしてのインフラストラクチャ（ＩａａＳ）：利用者に提供される能力は、処理、ストレージ、ネットワーク、および、オペレーティング・システムおよびアプリケーションを含むことができる任意のソフトウェアを利用者が配布し、動かすことができる他の基本的なコンピュータ処理リソースを提供することである。利用者は、基礎をなすクラウド・インフラストラクチャの管理も制御も行わないが、オペレーティング・システム、ストレージ、配布したアプリケーション、および場合によっては、ネットワーキング構成要素（例えば、ホスト・ファイアウォール）の選択についての限定的な制御に対する制御権がある。

導入モデルは、以下のようなものである。

プライベート・クラウド：クラウド・インフラストラクチャは、組織のために単に運用される。クラウド・インフラストラクチャは、組織または第三者によって管理されてもよく、オンプレミスであってもオフプレミスであってもよい。

コミュニティ・クラウド：クラウド・インフラストラクチャは、いくつかの組織によって共有され、懸念（例えば、ミッション、セキュリティ要件、ポリシ、およびコンプライアンス考慮）を共有している特定のコミュニティをサポートする。クラウド・インフラストラクチャは、組織または第三者によって管理されてもよく、オンプレミスであってもオフプレミスであってもよい。

パブリック・クラウド：クラウド・インフラストラクチャは、一般大衆または大規模な業界団体に提供され、クラウド・サービスを販売する組織によって所有される。

ハイブリッド・クラウド：クラウド・インフラストラクチャは、一意のエンティティのままであるが、データおよびアプリケーションを移植できるようにする標準または独自の技術（例えば、クラウド間のロード・バランシングのためのクラウド・バースティング）とともに結びつけられた、２つ以上のクラウド（プライベート、コミュニティ、またはパブリック）の構成である。

クラウド・コンピューティング環境は、ステートレス性、疎結合、モジュラリティ、および意味論的相互運用性に焦点を置くサービス指向のものである。クラウド・コンピューティングの中心には、相互接続ノードのネットワークを含むインフラストラクチャがある。

次に図１０を参照すると、例証的なクラウド・コンピューティング環境５０が描写されている。図示のように、クラウド・コンピューティング環境５０は、例えば、パーソナル・デジタル・アシスタント（ＰＤＡ）もしくはセルラー電話５４Ａ、デスクトップ・コンピュータ５４Ｂ、ラップトップ・コンピュータ５４Ｃ、または自動車コンピュータ・システム５４Ｎ、あるいはその組合せなど、クラウド利用者によって使用されるローカル・コンピューティング・デバイスが通信できる１つまたは複数のクラウド・コンピューティング・ノード１０を含む。ノード１０は、互いに通信することができる。ノード１０は、上述のようなプライベート、コミュニティ、パブリック、もしくはハイブリッド・クラウド、またはその組合せなど、１つまたは複数のネットワーク内で、物理的または仮想的にグループ化することができる（図示せず）。これにより、クラウド・コンピューティング環境５０は、クラウド利用者がローカル・コンピューティング・デバイス上のリソースを維持する必要のないサービスとして、インフラストラクチャ、プラットフォーム、またはソフトウェア、あるいはその組合せを提供することができる。図１０に示されているコンピューティング・デバイス５４Ａ～５４Ｎのタイプは、例証に過ぎないことを意図しており、コンピュータ処理ノード１０およびクラウド・コンピューティング環境５０は、（例えば、ウェブ・ブラウザを使用して）任意のタイプのネットワーク、またはネットワーク・アドレス可能接続、あるいはその両方で、任意のタイプのコンピュータ化デバイスと通信できることを理解されたい。

次に図１１を参照すると、クラウド・コンピューティング環境５０（図１０）によって提供される機能的抽象化層のセットが示されている。図１１に示された構成要素、層、および機能は、例証に過ぎないことを意図しており、本発明の実施形態は、これらに限定されないことを予め理解されたい。描写したように、以下の層、および対応する機能を提供する。

ハードウェアおよびソフトウェア層６０は、ハードウェアおよびソフトウェア構成要素を含む。ハードウェア構成要素の例は、メインフレーム６１、ＲＩＳＣ（縮小命令セット・コンピュータ）アーキテクチャ・ベースのサーバ６２、サーバ６３、ブレード・サーバ６４、ストレージ・デバイス６５、ならびに、ネットワークおよびネットワーキング構成要素６６を含む。いくつかの実施形態では、ソフトウェア構成要素は、ネットワーク・アプリケーション・サーバ・ソフトウェア６７およびデータベース・ソフトウェア６８を含む。

仮想化層７０は、仮想サーバ７１、仮想ストレージ７２、仮想プライベート・ネットワークを含む仮想ネットワーク７３、仮想アプリケーションおよびオペレーティング・システム７４、ならびに仮想クライアント７５、といった仮想エンティティの例を提供することができる抽象化層を提供する。

１つの例では、管理層８０は、下記で説明される機能を提供することができる。リソース提供８１は、クラウド・コンピューティング環境内のタスクを実施するために利用されるコンピュータ処理リソースおよび他のリソースの動的な調達を行う。計量および価格設定８２は、クラウド・コンピューティング環境内でリソースが利用されるときのコスト追跡、および、これらのリソースの消費量についての課金または請求を行う。１つの例では、これらのリソースは、アプリケーション・ソフトウェア・ライセンスを含むことができる。セキュリティは、クラウド利用者およびタスクの検証、ならびに、データおよび他のリソースの保護を行う。ユーザ・ポータル８３は、利用者およびシステム・アドミニストレータに、クラウド・コンピューティング環境へのアクセスを提供する。サービス・レベル管理８４は、必要なサービス・レベルを満たすように、クラウド・コンピューティング・リソースの割当ておよび管理を行う。サービス・レベル契約（ＳＬＡ）計画立案およびフルフィルメント８５は、ＳＬＡに応じて、将来の要件が予想されるクラウド・コンピューティング・リソースの事前配置および調達を行う。

ワークロード層９０は、クラウド・コンピューティング環境が利用され得る機能の例を提供する。この層から提供することができるワークロードおよび機能の例は、マッピングおよびナビゲーション９１、ソフトウェア開発およびライフサイクル管理９２、仮想クラスルーム・エデュケーション配信９３、データ分析処理９４、トランザクション処理９５、ならびに、セキュア・ゲストにセキュア鍵を結びつけること９６を含む。

本発明は、統合の任意の可能な技術詳細レベルにおけるシステム、方法、またはコンピュータ・プログラム製品、あるいはその組合せであってもよい。コンピュータ・プログラム製品は、本発明の態様をプロセッサに実行させるためのコンピュータ可読プログラム命令を有するコンピュータ可読ストレージ媒体（または複数の媒体）を含むことができる。

コンピュータ可読ストレージ媒体は、命令実行デバイスによる使用のための命令を保持し、格納することができる有形デバイスであってもよい。コンピュータ可読ストレージ媒体は、例えば、電子ストレージ・デバイス、磁気ストレージ・デバイス、光ストレージ・デバイス、電磁気ストレージ・デバイス、半導体ストレージ・デバイス、または前述の任意の適切な組合せであってもよいがこれらに限定されない。コンピュータ可読ストレージ媒体のより具体的な例の完全に網羅されていないリストは、ポータブル・コンピュータ・ディスケット、ハードディスク、ランダム・アクセス・メモリ（ＲＡＭ）、リード・オンリ・メモリ（ＲＯＭ）、消去可能プログラマブル・リード・オンリ・メモリ（ＥＰＲＯＭまたはフラッシュ・メモリ）、スタティック・ランダム・アクセス・メモリ（ＳＲＡＭ）、ポータブル・コンパクト・ディスク・リード・オンリ・メモリ（ＣＤ－ＲＯＭ）、デジタル多用途ディスク（ＤＶＤ）、メモリ・スティック（登録商標）、フロッピー（登録商標）・ディスク、命令が記録されたパンチ・カードまたは溝内隆起構造などの機械的にエンコードされたデバイス、および前述の任意の適切な組合せを含む。コンピュータ可読ストレージ媒体は、本明細書で使用されるように、電波もしくは他の自由に伝搬する電磁波、導波路もしくは他の伝送媒体を通じて伝搬する電磁波（例えば、光ファイバ・ケーブルを通過する光パルス）、またはワイヤを通じて伝送される電気信号など、本質的に一過性の信号であると解釈されるべきではない。

本明細書で説明されるコンピュータ可読プログラム命令は、コンピュータ可読ストレージ媒体からそれぞれの計算／処理デバイスに、あるいは、例えば、インターネット、ローカル・エリア・ネットワーク、広域ネットワーク、もしくはワイヤレス・ネットワーク、またはその組合せといった、ネットワークを介して外部コンピュータまたは外部ストレージ・デバイスに、ダウンロードすることができる。ネットワークは、銅伝送ケーブル、光伝送ファイバ、ワイヤレス伝送、ルータ、ファイアウォール、スイッチ、ゲートウェイ・コンピュータ、またはエッジ・サーバ、あるいはその組合せを備えることができる。各計算／処理デバイス内のネットワーク・アダプタ・カードまたはネットワーク・インターフェースは、コンピュータ可読プログラム命令をネットワークから受け取り、それぞれの計算／処理デバイス内のコンピュータ可読ストレージ媒体に格納するためにコンピュータ可読プログラム命令を転送する。

本発明の動作を実行するためのコンピュータ可読プログラム命令は、アセンブラ命令、インストラクション・セット・アーキテクチャ（ＩＳＡ）命令、機械語命令、機械依存命令、マイクロコード、ファームウェア命令、状態設定データ、集積回路機器のための構成データ、または、Ｓｍａｌｌｔａｌｋ（登録商標）、Ｃ＋＋、もしくは同様のものなどのオブジェクト指向プログラミング言語、および「Ｃ」プログラミング言語もしくは類似のプログラミング言語などの手続き型プログラミング言語を含む１つもしくは複数のプログラミング言語の任意の組合せで書かれたソース・コードもしくはオブジェクト・コードであってもよい。コンピュータ可読プログラム命令は、スタンド・アロンのソフトウェア・パッケージとして、全面的にユーザのコンピュータ上で、部分的にユーザのコンピュータ上で実行することができ、部分的にユーザのコンピュータ上および部分的にリモート・コンピュータ上で、または全面的にリモート・コンピュータもしくはサーバ上で実行することができる。後者のシナリオでは、リモート・コンピュータは、ローカル・エリア・ネットワーク（ＬＡＮ）または広域ネットワーク（ＷＡＮ）を含む任意のタイプのネットワークを通じてユーザのコンピュータに接続することができ、または、接続は、（例えば、インターネット・サービス・プロバイダを使用してインターネットを通じて）外部コンピュータに対して行われてもよい。いくつかの実施形態では、例えば、プログラム可能論理回路機器、フィールド・プログラマブル・ゲート・アレイ（ＦＰＧＡ）、またはプログラマブル・ロジック・アレイ（ＰＬＡ）を含む電子回路機器は、本発明の態様を実施するために、コンピュータ可読プログラム命令の状態情報を利用して電子回路機器を個別化にすることによって、コンピュータ可読プログラム命令を実行することができる。

本発明の態様は、本発明の実施形態による方法、装置（システム）、およびコンピュータ・プログラム製品の流れ図またはブロック図あるいはその両方を参照しながら本明細書で説明される。流れ図またはブロック図あるいはその両方の各ブロック、および流れ図またはブロック図あるいはその両方におけるブロックの組合せは、コンピュータ可読プログラム命令によって実行できることが理解されよう。

これらのコンピュータ可読プログラム命令は、コンピュータまたは他のプログラム可能データ処理装置のプロセッサによって実行する命令が、流れ図またはブロック図あるいはその両方の１つまたは複数のブロックで指定された機能／行為を実行するための手段を作り出すべく、機械を生み出すために、汎用コンピュータ、専用コンピュータ、または他のプログラム可能データ処理装置のプロセッサに提供することができる。これらのコンピュータ可読プログラム命令も、流れ図またはブロック図あるいはその両方の１つまたは複数のブロックで指定された機能／行為の態様を実行する命令を含む製品を、命令を格納したコンピュータ可読ストレージ媒体が備えるべく、コンピュータ可読ストレージ媒体に格納することができ、特定の手法で機能するように、コンピュータ、プログラム可能データ処理装置、または他のデバイス、あるいはその組合せに指図することができる。

コンピュータ可読プログラム命令も、コンピュータ、他のプログラム可能装置、または他のデバイス上で実行する命令が、流れ図またはブロック図あるいはその両方の１つまたは複数のブロックで指定された機能／行為を実行するべく、コンピュータ、他のプログラム可能装置、または他のデバイス上で一連の動作ステップを実施してコンピュータ実行処理を生み出すために、コンピュータ、他のプログラム可能データ処理装置、または他のデバイスにロードすることができる。

図中の流れ図およびブロック図は、本発明の様々な実施形態によるシステム、方法、およびコンピュータ・プログラム製品の可能な実装形態のアーキテクチャ、機能、および動作を示す。この点に関して、流れ図またはブロック図の中の各ブロックは、指定の論理機能を実行するための１つまたは複数の実行可能命令を含む命令のモジュール、セグメント、または一部を表すことができる。いくつかの代替実装形態では、ブロックに記された機能は、図に記された順序から外れて発生してもよい。例えば、連続して示された２つのブロックは、実際には、実質的に同時に実行されてもよく、または、ブロックは、時には、含まれる機能に応じて逆の順序で実行されてもよい。ブロック図または流れ図あるいはその両方の各ブロック、および、ブロック図または流れ図あるいはその両方におけるブロックの組合せは、指定の機能または行為を行うか、専用ハードウェアとコンピュータ命令の組合せを実行する専用ハードウェア・ベースのシステムによって実行できることにも留意されたい。

本明細書で使用される専門用語は、特定の実施形態だけを説明するためのものであり、限定することを意図するものではない。本明細書で使用されるように、単数形「１つ（a）」、「１つ（an）」、および「前記（the）」は、別途文脈がはっきり示さない限り、複数形も同様に含むことを意図するものである。用語「備える（comprises）」または「備える（comprising）」あるいはその両方は、本明細書で使用されるとき、述べられた特徴、整数、ステップ、動作、要素、または構成要素、あるいはその組合せの存在を指定するが、１つまたは複数の他の特徴、整数、ステップ、動作、要素、構成要素、またはそのグループ、あるいはその組合せの存在または追加を排除しないことがさらに理解されよう。

全ての手段またはステップの対応する構造、材料、行為、および均等物は、下記の特許請求の範囲における機能要素に加えて、もしあれば、具体的に特許請求されるような、他の特許請求される要素と組み合わせて機能を実施するための任意の構造、材料、または行為を含むことを意図するものである。１つまたは複数の実施形態の説明は、例証および説明のために提示してきたが、網羅的であること、または開示された形に限定されることを意図するものではない。多くの変更形態および変形形態が、当業者には明らかであろう。実施形態は、様々な態様および実用的用途を最も良く説明するように、また、想定される特定の用途に適したような、様々な修正を伴う様々な実施形態を当業者が理解できるように、選ばれ、説明された。

Claims (18)

1. コンピュータ実行方法であって、
   ハイパーバイザおよびハードウェア・セキュリティ・モジュールに通信連結されたセキュア・インターフェース制御装置で、前記ハイパーバイザによって管理されたセキュア・ゲストによる排他使用のために前記ハードウェア・セキュリティ・モジュールを構成することを含み、前記構成することが、
   前記ハイパーバイザによって管理された１つまたは複数のゲストのうちの所与のゲストから、前記ハイパーバイザを介して、前記ハードウェア・セキュリティ・モジュールを構成するための構成リクエストを、前記セキュア・インターフェース制御装置で取得することと、
   前記ハードウェア・セキュリティ・モジュールが前記１つまたは複数のゲストのうちの特定のゲストに対して既に構成されているかどうかを、前記セキュア・インターフェース制御装置で判定することであって、前記特定のゲストおよび前記所与のゲストが、前記１つまたは複数のゲストのうちの異なるゲストを含む、前記判定することと、
   前記ハードウェア・セキュリティ・モジュールが前記特定のゲストに対して構成されていないと判定したことに基づいて、前記所与のゲストのメタデータを評価することによって前記所与のゲストが前記セキュア・ゲストを含むと、前記セキュア・インターフェース制御装置で判定することと、
   前記所与のゲストがセキュア・ゲストを含むと判定したことに基づいて、前記１つまたは複数のゲストのうちの前記所与のゲストだけに、前記ハードウェア・セキュリティ・モジュールへのゲストによるアクセスを限定することによって、前記ハードウェア・セキュリティ・モジュールの構成を確立することを、前記セキュア・インターフェース制御装置で除外することと、
   前記セキュア・インターフェース制御装置で、前記ハードウェア・セキュリティ・モジュールに前記所与のゲストをログインさせることであって、前記ハードウェア・セキュリティ・モジュールに前記ログインさせることが、前記所与のゲストの秘密を利用することを含み、前記メタデータが、前記秘密を含む、前記ログインさせることと、
   前記ハードウェア・セキュリティ・モジュールに前記ログインさせることに基づいて、前記ハードウェア・セキュリティ・モジュールからセッション・コードを、前記セキュア・インターフェース制御装置で取得することと、
   前記セッション・コードを、前記セキュア・インターフェース制御装置で保持することと
   を含む、コンピュータ実行方法。
2. 前記保持することが、前記セキュア・インターフェース制御装置内の関連付けのテーブルに、ＮＵＬＬのセッション・コードと前記セッション・コードの関連付けを格納することを含む、請求項１に記載のコンピュータ実行方法。
3. 前記ゲストの前記メタデータが、整合性保護され、前記秘密が、前記セキュア・インターフェース制御装置が所有する秘密鍵を使用して導き出された鍵で暗号化される、請求項１または２に記載のコンピュータ実行方法。
4. 前記秘密鍵が、前記所与のゲストのブート・イメージの暗号対策を含む、請求項３に記載のコンピュータ実行方法。
5. 前記構成することに基づいて、前記ハードウェア・セキュリティ・モジュールへのリクエストにおいて、前記所与のゲストによって利用するための新しいセッション・コードを前記所与のゲストに、前記セキュア・インターフェース制御装置で提供すること
   をさらに含む、請求項２に記載のコンピュータ実行方法。
6. 前記提供することが、
   前記所与のゲストからのハードウェア・セキュリティ・モジュール・ログイン・リクエストを、前記セキュア・インターフェース制御装置で捕らえることであって、前記ハードウェア・セキュリティ・モジュール・ログイン・リクエストが、前記所与のゲストからのログイン・データを含む、前記捕らえることと、
   前記所与のゲストの前記秘密に基づいて新しいログイン・データを、前記セキュア・インターフェース制御装置で生成することと、
   前記所与のゲストからの新しいハードウェア・セキュリティ・モジュール・ログイン・リクエストを前記ハードウェア・セキュリティ・モジュールに、前記セキュア・インターフェース制御装置で発行することであって、前記新しいハードウェア・セキュリティ・モジュール・ログイン・リクエストが、前記新しいログイン・データを含む、前記発行することと、
   前記ハードウェア・セキュリティ・モジュールからのセッション・コードを、前記セキュア・インターフェース制御装置で取得することと、
   前記ハードウェア・セキュリティ・モジュールからの前記セッション・コードを取得することに基づいて、前記新しいセッション・コードを、前記セキュア・インターフェース制御装置で生成することと、
   前記ハードウェア・セキュリティ・モジュールからの前記セッション・コードと、前記新しいセッション・コードとの間の関連付けを前記テーブルに、前記セキュア・インターフェース制御装置で格納することと、
   前記ログイン・リクエストに応答して、前記新しいセッション・コードを前記所与のゲストに、前記セキュア・インターフェース制御装置で伝送することと
   を含む、請求項５に記載のコンピュータ実行方法。
7. 前記ハードウェア・セキュリティ・モジュールへの前記所与のゲストからのリクエストを、前記セキュア・インターフェース制御装置で捕らえることであって、前記リクエストが、前記新しいセッション・コードを含む、前記捕らえることと、
   前記新しいセッション・コードと関連付けられた前記ハードウェア・セキュリティ・モジュールからの前記セッション・コードを前記テーブルから、前記セキュア・インターフェース制御装置で取得することと、
   新しいリクエストを含むように、前記所与のゲストからの前記リクエストを、前記セキュア・インターフェース制御装置で更新することであって、前記新しいリクエストが、前記新しいセッション・コードではなく、前記ハードウェア・セキュリティ・モジュールからの前記セッション・コードを含む、前記更新することと、
   前記ハードウェア・セキュリティ・モジュールへの前記新しいリクエストを、前記セキュア・インターフェース制御装置で発行することと
   をさらに含む、請求項５に記載のコンピュータ実行方法。
8. 前記ハードウェア・セキュリティ・モジュールから前記リクエストのフルフィルメントを、前記セキュア・インターフェース制御装置で取得することと、
   前記リクエストの前記フルフィルメントを前記所与のゲストに、前記セキュア・インターフェース制御装置で発行することと
   をさらに含む、請求項７に記載のコンピュータ実行方法。
9. 前記リクエストが、ハードウェア・セキュリティ・モジュール・セキュア鍵生成リクエスト、およびハードウェア・セキュリティ・モジュール・ログアウト・リクエストからなるグループから選択される、請求項８に記載のコンピュータ実行方法。
10. 前記所与のゲストが停止したという指示を前記ハイパーバイザから、前記セキュア・インターフェース制御装置で取得することと、
    前記ハードウェア・セキュリティ・モジュールからの前記セッション・コードと、前記新しいセッション・コードとの間の前記関連付けを前記テーブル内で、前記セキュア・インターフェース制御装置で識別することと、
    前記テーブルに基づいて、前記ハードウェア・セキュリティ・モジュールからの前記セッション・コードを利用して、１つまたは複数のセッションのリストを、前記セキュア・インターフェース制御装置で生成することと、
    前記１つまたは複数のセッションから前記所与のゲストを、前記セキュア・インターフェース制御装置でログアウトさせることと、
    をさらに含む、請求項６に記載のコンピュータ実行方法。
11. 前記所与のゲストが停止したという指示を前記ハイパーバイザから、前記セキュア・インターフェース制御装置で取得することと、
    前記構成を、前記セキュア・インターフェース制御装置で除去することと
    をさらに含む、請求項６に記載のコンピュータ実行方法。
12. 前記所与のゲストが停止したという指示を前記ハイパーバイザから、前記セキュア・インターフェース制御装置で取得することと、
    前記ハードウェア・セキュリティ・モジュールに保持された前記所与のゲストへの参照を、前記セキュア・インターフェース制御装置で識別することと、
    前記参照を、前記セキュア・インターフェース制御装置で除去することと
    をさらに含む、請求項６に記載のコンピュータ実行方法。
13. 前記セキュア・インターフェース制御装置が、ファームウェア、ハードウェア、およびソフトウェアからなるグループから選択される、請求項１ないし１２のいずれかに記載のコンピュータ実行方法。
14. 前記所与のゲストのメタデータを評価することによって、前記所与のゲストが前記セキュア・ゲストを含むと判定することが、前記メタデータの存在またはタイプのうちの１つを検証することを含む、請求項１ないし１３のいずれかに記載のコンピュータ実行方法。
15. 前記所与のゲストの前記秘密を利用することが、前記セキュア・インターフェース制御装置で前記秘密を復号することを含む、請求項１ないし１４のいずれかに記載のコンピュータ実行方法。
16. 前記復号することが、前記セキュア・インターフェース制御装置でのみ計算された鍵を利用することを含む、請求項１５に記載のコンピュータ実行方法。
17. コンピュータ・プログラムであって、
    前記コンピュータ・プログラムは、１つまたは複数のプロセッサを備えるコンピュータに、
    ハイパーバイザおよびハードウェア・セキュリティ・モジュールに通信連結された前記１つまたは複数のプロセッサで、前記ハイパーバイザによって管理されたセキュア・ゲストによる排他使用のために前記ハードウェア・セキュリティ・モジュールを構成することを実行させ、前記構成することが、
    前記ハイパーバイザによって管理された１つまたは複数のゲストのうちの所与のゲストから、前記ハイパーバイザを介して、前記ハードウェア・セキュリティ・モジュールを構成するための構成リクエストを、前記１つまたは複数のプロセッサで取得することと、
    前記ハードウェア・セキュリティ・モジュールが前記１つまたは複数のゲストのうちの特定のゲストに対して既に構成されているかどうかを、前記１つまたは複数のプロセッサで判定することであって、前記特定のゲストおよび前記所与のゲストが、前記１つまたは複数のゲストのうちの異なるゲストを含む、前記判定することと、
    前記ハードウェア・セキュリティ・モジュールが前記特定のゲストに対して構成されていないと判定したことに基づいて、前記所与のゲストのメタデータを評価することによって前記所与のゲストが前記セキュア・ゲストを含むと、前記１つまたは複数のプロセッサで判定することと、
    前記所与のゲストがセキュア・ゲストを含むと判定したことに基づいて、前記１つまたは複数のゲストのうちの前記所与のゲストだけに、前記ハードウェア・セキュリティ・モジュールへのゲストによるアクセスを限定することによって、前記ハードウェア・セキュリティ・モジュールの構成を確立することを、前記１つまたは複数のプロセッサで除外することと、
    前記１つまたは複数のプロセッサで、前記ハードウェア・セキュリティ・モジュールに前記所与のゲストをログインさせることであって、前記ハードウェア・セキュリティ・モジュールに前記ログインさせることが、前記所与のゲストの秘密を利用することを含み、前記メタデータが、前記秘密を含む、前記ログインさせることと、
    前記ハードウェア・セキュリティ・モジュールに前記ログインさせることに基づいて、前記ハードウェア・セキュリティ・モジュールからセッション・コードを、前記１つまたは複数のプロセッサで取得することと、
    前記セッション・コードを、前記１つまたは複数のプロセッサで保持することと
    を含む、コンピュータ・プログラム。
18. システムであって、
    メモリ、
    前記メモリと通信中の１つまたは複数のプロセッサ、
    方法を実施するために前記メモリを介して前記１つまたは複数のプロセッサで実行可能なプログラム命令を備え、前記方法が、
    ハイパーバイザおよびハードウェア・セキュリティ・モジュールに通信連結された前記１つまたは複数のプロセッサで、前記ハイパーバイザによって管理されたセキュア・ゲストによる排他使用のために前記ハードウェア・セキュリティ・モジュールを構成することを含み、前記構成することが、
    前記ハイパーバイザによって管理された１つまたは複数のゲストのうちの所与のゲストから、前記ハイパーバイザを介して、前記ハードウェア・セキュリティ・モジュールを構成するための構成リクエストを、前記１つまたは複数のプロセッサで取得することと、
    前記ハードウェア・セキュリティ・モジュールが前記１つまたは複数のゲストのうちの特定のゲストに対して既に構成されているかどうかを、前記１つまたは複数のプロセッサで判定することであって、前記特定のゲストおよび前記所与のゲストが、前記１つまたは複数のゲストのうちの異なるゲストを含む、前記判定することと、
    前記ハードウェア・セキュリティ・モジュールが前記特定のゲストに対して構成されていないと判定したことに基づいて、前記所与のゲストのメタデータを評価することによって前記所与のゲストが前記セキュア・ゲストを含むと、前記１つまたは複数のプロセッサで判定することと、
    前記所与のゲストがセキュア・ゲストを含むと判定したことに基づいて、前記１つまたは複数のゲストのうちの前記所与のゲストだけに、前記ハードウェア・セキュリティ・モジュールへのゲストによるアクセスを限定することによって、前記ハードウェア・セキュリティ・モジュールの構成を確立することを、前記１つまたは複数のプロセッサで除外することと、
    前記１つまたは複数のプロセッサで、前記ハードウェア・セキュリティ・モジュールに前記所与のゲストをログインさせることであって、前記ハードウェア・セキュリティ・モジュールに前記ログインさせることが、前記所与のゲストの秘密を利用することを含み、前記メタデータが、前記秘密を含む、前記ログインさせることと、
    前記ハードウェア・セキュリティ・モジュールに前記ログインさせることに基づいて、前記ハードウェア・セキュリティ・モジュールからセッション・コードを、前記１つまたは複数のプロセッサで取得することと、
    前記セッション・コードを、前記１つまたは複数のプロセッサで保持することと
    を含む、システム。

Images