JP7486530B2 - 管理されたコンテナ環境における共有機密情報へのアクセス方法、システム、プログラム - Google Patents

Description

本開示は、一般に、オープン・ソース・コンテナ・オーケストレーション・フレームワークに関し、より詳細には、オープン・ソース・コンテナ・オーケストレーション・フレームワークのマルチノード・クラスタ内の信頼できるノードとコンテナとの間の暗号鍵オーケストレーション（cryptographic key orchestration）を提供することに関する。

例えば、Ｋｕｂｅｒｎｅｔｅｓなどのオープン・ソース・コンテナ・オーケストレーション・フレームワークは、コンテナ化されたアプリケーションの自動デプロイメント、スケーリング、および管理を行う、相互接続された物理コンピューティング・ノードまたは仮想コンピューティング・ノード（すなわち、マシン）あるいはその両方のクラスタである。オープン・ソース・コンテナ・オーケストレーション・フレームワークは、アプリケーション・ワークロードのためにコンピューティング、ネットワーキング、およびストレージ・インフラストラクチャを組織化する。これにより、サービスとしてのインフラストラクチャ（ＩａａＳ）の柔軟性とともにサービスとしてのプラットフォーム（ＰａａＳ）のシンプルさの多くが実現され、インフラストラクチャ・プロバイダ間のポータビリティが可能になる。

ノードのクラスタは、２つのタイプのノード、すなわちマスタ・ノードおよびワーカ・ノードを含む。マスタ・ノードは、クラスタのワーカ・ノードの管理を担当する。マスタ・ノードは、例えば、アプリケーション・プログラミング・インタフェース、ユーザ・インタフェース、またはコマンド・ライン・インタフェースから受け取られる、クラスタで実行されるべきすべてのオペレーションのエントリ・ポイントである。ワーカ・ノードは、１つまたは複数のワークロードを実行すること、およびクラスタの他のワーカ・ノードで実行されている様々なワークロードとネットワークを形成することを担当する。オープン・ソース・コンテナ・オーケストレーション・フレームワークの機能は、例えば、迅速なアプリケーション・デプロイメント、自動復旧および自己回復、ならびにシームレスなアプリケーション更新を含むことができる。

ワーカ・ノードの基本的なスケジューリング・ユニットは、例えば、ポッドなどのコンテナである。コンテナは、ワーカ・ノードにおいて同じ場所に配置され、リソースを共有することができる。オープン・ソース・コンテナ・オーケストレーション・フレームワークの各コンテナは、ワーカ・ノードのクラスタ内で固有のコンテナ・インターネット・プロトコル・アドレスが割り当てられ、それにより、アプリケーションは、衝突のリスクなしにポートを使用することができる。現在、コンテナは、ホスト・マシン上で互いに参照することができるが、あるワーカ・ノードに配置されたコンテナには、別のワーカ・ノード内の別のコンテナを直接アドレス指定する方法がなく、それは、コンテナの固有のインターネット・プロトコル・アドレスを使用しなければならないことになる。コンテナは、例えば、ローカル・ディスク・ディレクトリまたはネットワーク・ディスクなどのボリュームを定義し、ワーカ・ノードの他のコンテナにボリュームを公開することができる。サービスは、一緒に機能するコンテナのセット、例えば、多層アプリケーションの１つの層などである。

しかしながら、多数のワーカ・ノードを含むクラスタでは、クラスタで実行されているアプリケーション間の機密データにアクセスすることは、現在可能ではない。特に、機密アプリケーション・データ（sensitive application data）がワーカ・ノードのセキュア・エンクレーブによってシールされる場合に当てはまる。セキュア・エンクレーブは、アプリケーション機能の重要な態様が保護されるメモリの分離された信頼できる領域であり、それは、機密アプリケーション・データを秘密におよび変更されないように保持するのに役立つ。言い換えれば、セキュア・エンクレーブは、メイン・メモリの暗号化された部分である。セキュア・エンクレーブは、プロセッサベースのセキュリティ機構によって堅固にされる。所与のマシンのハードウェア（例えば、ワーカ・ノードのプロセッサ・チップ）に由来するシールされた暗号鍵にセキュリティをタグづけすることは非常に安全であるが、これは、現在、Ｋｕｂｅｒｎｅｔｅｓなどの動的な分散型オープン・ソース・コンテナ・オーケストレーション・フレームワークで機密アプリケーション・データを共有することを、不可能でないにしても、さらに一層困難にしている。

１つの例示的な実施形態によれば、管理されたコンテナ環境における共有機密情報にアクセスするための方法が提供される。複数のワーカ・ノード内の各ワーカ・ノードは、データ暗号鍵を使用して、複数のワーカ・ノード内のセキュア・エンクレーブに配置された共有機密アプリケーション・データにアクセスできる。複数のワーカ・ノードの各ワーカ・ノードは、それぞれのワーカ・ノードのセキュア・エンクレーブに固有のシーリング鍵を使用して、それぞれのワーカ・ノードごとのデータ暗号鍵を保護する。さらに、この方法は、クラスタに第１のワーカ・ノードを確立する。第１のワーカ・ノードは、データ暗号鍵と、データ暗号鍵を保護するための第１のワーカ・ノードのセキュア・エンクレーブに固有の第１のシーリング鍵とを生成する。第１のワーカ・ノードは、クラスタに第２のワーカ・ノードを作り出すことに依ってクラスタの第２のワーカ・ノードとともにリモート認証を実行する。第１のワーカ・ノードは、リモート認証の正常な実行に際してデータ暗号鍵のコピーを第２のワーカ・ノードに提供する。さらに、第２のワーカ・ノードは、第２のシーリング鍵を使用してデータ暗号鍵を暗号化することによりデータ暗号鍵を保護するために、第２のワーカ・ノードのセキュア・エンクレーブに固有の第２のシーリング鍵を生成する。他の例示的な実施形態によれば、管理されたコンテナ環境における共有機密情報にアクセスするためのシステムおよびコンピュータ・プログラム製品が提供される。

さらなる別の例示的な実施形態によれば、暗号鍵オーケストレーションのためのコンピュータ実施方法が提供される。プロセッサのセットは、オープン・ソース・コンテナ・オーケストレーション・フレームワークのクラスタに、キー・オーケストレーション・エージェント（key orchestration agent）をもつワーカ・ノードを生成する。プロセッサのセットは、ワーカ・ノードのキー・オーケストレーション・エージェントを使用して、データ暗号鍵を生成する。プロセッサのセットは、キー・オーケストレーション・エージェントを使用して、第１のキー・オーケストレーション・エージェントのシーリング鍵をワーカ・ノードのセキュア・エンクレーブから取得する。プロセッサのセットは、第１のキー・オーケストレーション・エージェントのシーリング鍵を使用して、データ暗号鍵をシールする。さらに、プロセッサのセットは、コンテナがワーカ・ノードに作り出されたかどうかを決定する。コンテナが第１のワーカ・ノードに作り出されたとプロセッサのセットが決定したことに応じて、プロセッサのセットは、第１のキー・オーケストレーション・エージェントを使用して、コンテナとともにローカル認証を実行し、コンテナの真正性を確立する。次いで、プロセッサのセットは、ローカル認証に基づいてコンテナが信頼できるかどうかを決定する。ローカル認証に基づいてコンテナが信頼できないとプロセッサのセットが決定したことに応じて、プロセッサのセットは、コンテナによるデータ暗号鍵へのアクセスを拒否する。ローカル認証に基づいてコンテナが信頼できるとプロセッサのセットが決定したことに応じて、プロセッサのセットは、キー・オーケストレーション・エージェントを使用して、データ暗号鍵をコンテナと共有し、コンテナと共有されたデータ暗号鍵を使用して、コンテナのワークロードに対応するデータを暗号化し、ワーカ・ノードの識別子と、コンテナの固有のシーリング鍵でシールされたデータ暗号鍵とを共有データベースに格納する。さらに別の例示的な実施形態によれば、暗号鍵オーケストレーションのためのコンピュータ・プログラム製品が提供される。

その結果として、例示的な実施形態は、クラスタ内の信頼できるコンテナ間の暗号鍵オーケストレーションを提供することができる。その上、例示的な実施形態により、クラスタ内の異なるワーカ・ノードで分散アプリケーションを実行する異なるコンテナは、固有のシーリング鍵でシールされたデータ暗号鍵を使用することによって、異なるコンテナ間で機密アプリケーション・データを共有することができる。

１つの態様によれば、管理されたコンテナ環境における共有機密情報にアクセスするための方法が提供され、この方法は、複数のワーカ・ノードの各ワーカ・ノードによって、データ暗号鍵を使用して、複数のワーカ・ノード内のセキュア・エンクレーブに配置された共有機密アプリケーション・データにアクセスすることと、複数のワーカ・ノードの各ワーカ・ノードによって、それぞれのワーカ・ノードのセキュア・エンクレーブに固有のシーリング鍵を使用して、それぞれのワーカ・ノードごとのデータ暗号鍵を保護することとを含む。

別の態様によれば、管理されたコンテナ環境における共有機密情報にアクセスするためのシステムが提供され、このシステムは、複数のワーカ・ノードであり、複数のワーカ・ノードの各ワーカ・ノードが、データ暗号鍵を使用して、複数のワーカ・ノード内のセキュア・エンクレーブに配置された共有機密アプリケーション・データにアクセスし、複数のワーカ・ノードの各ワーカ・ノードが、それぞれのワーカ・ノードのセキュア・エンクレーブに固有のシーリング鍵を使用して、それぞれのワーカ・ノードごとのデータ暗号鍵を保護する、複数のワーカ・ノードを含む。

別の態様によれば、管理されたコンテナ環境における共有機密情報にアクセスするためのコンピュータ・プログラム製品が提供され、コンピュータ・プログラム製品が、プログラム命令が具現化されたコンピュータ可読ストレージ媒体を含み、プログラム命令が、方法をプロセッサのセットに実行させるためにプロセッサのセットによって実行可能であり、この方法が、複数のワーカ・ノードの各ワーカ・ノードによって、データ暗号鍵を使用して、複数のワーカ・ノード内のセキュア・エンクレーブに配置された共有機密アプリケーション・データにアクセスすることと、複数のワーカ・ノードの各ワーカ・ノードによって、それぞれのワーカ・ノードのセキュア・エンクレーブに固有のシーリング鍵を使用して、それぞれのワーカ・ノードごとのデータ暗号鍵を保護することとを含む。

別の態様によれば、暗号鍵オーケストレーションのためのコンピュータ実施方法が提供され、コンピュータ実施方法が、オープン・ソース・コンテナ・オーケストレーション・フレームワークのクラスタに、第１のキー・オーケストレーション・エージェントをもつ第１のワーカ・ノードを生成することと、第１のワーカ・ノードの第１のキー・オーケストレーション・エージェントを使用して、データ暗号鍵を生成することと、第１のキー・オーケストレーション・エージェントを使用して、第１のキー・オーケストレーション・エージェントのシーリング鍵を第１のワーカ・ノードのセキュア・エンクレーブから取得することと、第１のキー・オーケストレーション・エージェントのシーリング鍵を使用して、データ暗号鍵をシールすることとを含む。

別の態様によれば、暗号鍵オーケストレーションのためのコンピュータ・プログラム製品が提供され、コンピュータ・プログラム製品が、プログラム命令が具現化されたコンピュータ可読ストレージ媒体を含み、プログラム命令が、方法をプロセッサのセットに実行させるためにプロセッサのセットによって実行可能であり、この方法が、オープン・ソース・コンテナ・オーケストレーション・フレームワークのクラスタに、第１のキー・オーケストレーション・エージェントをもつ第１のワーカ・ノードを生成することと、第１のワーカ・ノードの第１のキー・オーケストレーション・エージェントを使用して、データ暗号鍵を生成することと、第１のキー・オーケストレーション・エージェントを使用して、第１のキー・オーケストレーション・エージェントのシーリング鍵を第１のワーカ・ノードのセキュア・エンクレーブから取得することと、第１のキー・オーケストレーション・エージェントのシーリング鍵を使用して、データ暗号鍵をシールすることとを含む。

別の態様によれば、暗号鍵オーケストレーションのためのシステムが提供され、システムが、オープン・ソース・コンテナ・オーケストレーション・フレームワークのクラスタに、第１のキー・オーケストレーション・エージェントをもつ第１のワーカ・ノードを生成し、第１のワーカ・ノードの第１のキー・オーケストレーション・エージェントを使用して、データ暗号鍵を生成し、第１のキー・オーケストレーション・エージェントを使用して、第１のキー・オーケストレーション・エージェントのシーリング鍵を第１のワーカ・ノードのセキュア・エンクレーブから取得し、第１のキー・オーケストレーション・エージェントのシーリング鍵を使用して、データ暗号鍵をシールするように動作可能である。

本発明の実施形態が、次に、単に例として、添付の図面を参照して説明される。

例示的な実施形態を実施することができるデータ処理システムのネットワークの図的表現の図である。 例示的な実施形態を実施することができるデータ処理システムの図である。 例示的な実施形態による暗号鍵オーケストレーション・システムの一例を示す図である。 例示的な実施形態による、ワーカ・ノードと、ワーカ・ノードに作り出されたコンテナとの間の暗号鍵オーケストレーションのためのプロセスを示すフローチャートである。 例示的な実施形態による、クラスタ内の既存のワーカ・ノードと新しく生成されたワーカ・ノードとの間の暗号鍵オーケストレーションのためのプロセスを示すフローチャートである。 例示的な実施形態による、クラスタ内の既存のワーカ・ノードと新しく生成されたワーカ・ノードとの間の暗号鍵オーケストレーションのプロセスを示すフローチャートである。 例示的な実施形態によるワーカ・ノードのデータ暗号鍵を保護するためのプロセスを示すフローチャートである。 例示的な実施形態によるクラスタのワーカ・ノード間でデータ暗号鍵を共有するためのプロセスを示すフローチャートである。

本発明は、統合の任意の可能な技術的詳細レベルにおけるシステム、方法、またはコンピュータ・プログラム製品、あるいはその組合せであり得る。コンピュータ・プログラム製品は、プロセッサに本発明の態様を実行させるためのコンピュータ可読プログラム命令を有する１つのコンピュータ可読ストレージ媒体（または複数の媒体）を含むことができる。

コンピュータ可読ストレージ媒体は、命令実行デバイスによって使用されるための命令を保持および格納することができる有形のデバイスとすることができる。コンピュータ可読ストレージ媒体は、例えば、限定はしないが、電子ストレージ・デバイス、磁気ストレージ・デバイス、光ストレージ・デバイス、電磁気ストレージ・デバイス、半導体ストレージ・デバイス、または前述のものの任意の適切な組合せとすることができる。コンピュータ可読ストレージ媒体のより具体的な例の非網羅的なリストには、以下のもの、すなわち、ポータブル・コンピュータ・ディスケット、ハード・ディスク、ランダム・アクセス・メモリ（ＲＡＭ）、読出し専用メモリ（ＲＯＭ）、消去可能プログラマブル読出し専用メモリ（ＥＰＲＯＭまたはフラッシュ・メモリ）、スタティック・ランダム・アクセス・メモリ（ＳＲＡＭ）、ポータブル・コンパクト・ディスク読出し専用メモリ（ＣＤ－ＲＯＭ）、デジタル・バーサタイル・ディスク（ＤＶＤ）、メモリ・スティック、フロッピー・ディスク、パンチカードまたは命令が記録された溝内の隆起構造などの機械的符号化デバイス、および前述のものの任意の適切な組合せが含まれる。本明細書で使用されるコンピュータ可読ストレージ媒体は、電波もしくは他の自由に伝播する電磁波、導波路もしくは他の伝送媒体を通って伝搬する電磁波（例えば、光ファイバ・ケーブルを通過する光パルス）、またはワイヤを通して伝送される電気信号などのそれ自体一過性信号であると解釈されるべきではない。

本明細書に記載されるコンピュータ可読プログラム命令は、コンピュータ可読ストレージ媒体からそれぞれのコンピューティング／処理デバイスに、あるいはネットワーク、例えば、インターネット、ローカル・エリア・ネットワーク、ワイド・エリア・ネットワーク、または無線ネットワーク、あるいはその組合せを介して外部コンピュータまたは外部ストレージ・デバイスにダウンロードされてもよい。ネットワークは、銅伝送ケーブル、光伝送ファイバ、無線伝送、ルータ、ファイアウォール、スイッチ、ゲートウェイ・コンピュータ、またはエッジ・サーバ、あるいはその組合せを含むことができる。各コンピューティング／処理デバイスのネットワーク・アダプタ・カードまたはネットワーク・インタフェースは、ネットワークからコンピュータ可読プログラム命令を受け取り、コンピュータ可読プログラム命令を、それぞれのコンピューティング／処理デバイス内のコンピュータ可読ストレージ媒体に格納するために転送する。

本発明の動作を実行するためのコンピュータ可読プログラム命令は、アセンブラ命令、命令セット・アーキテクチャ（ＩＳＡ）命令、マシン命令、マシン依存命令、マイクロコード、ファームウェア命令、状態設定データ、集積回路用の構成データ、またはＳｍａｌｌｔａｌｋ（Ｒ）、Ｃ＋＋などのようなオブジェクト指向プログラミング言語、および「Ｃ」プログラミング言語もしくは類似のプログラミング言語などの手続き型プログラミング言語を含む１つまたは複数のプログラミング言語の任意の組合せで書かれたソース・コードもしくはオブジェクト・コードのいずれかとすることができる。コンピュータ可読プログラム命令はコンピュータ、完全にユーザのコンピュータで、部分的にユーザのコンピュータで、スタンドアロン・ソフトウェア・パッケージとして、部分的にユーザのコンピュータでおよび部分的にリモート・コンピュータで、または完全にリモート・コンピュータもしくはサーバで実行することができる。後者のシナリオでは、リモート・コンピュータは、ローカル・エリア・ネットワーク（ＬＡＮ）もしくはワイド・エリア・ネットワーク（ＷＡＮ）を含む任意のタイプのネットワークを通してユーザのコンピュータに接続されてもよく、または外部コンピュータへの接続がなされてもよい（例えば、インターネット・サービス・プロバイダを使用してインターネットを通して）。いくつかの実施形態では、例えば、プログラマブル・ロジック回路、フィールド・プログラマブル・ゲート・アレイ（ＦＰＧＡ）、またはプログラマブル・ロジック・アレイ（ＰＬＡ）を含む電子回路は、本発明の態様を実行するために、コンピュータ可読プログラム命令の状態情報を利用して電子回路を個人専用にすることによってコンピュータ可読プログラム命令を実行することができる。

本発明の態様は、本発明の実施形態による方法、装置（システム）、およびコンピュータ・プログラム製品のフローチャートまたはブロック図あるいはその両方を参照して本明細書に記載される。フローチャートまたはブロック図あるいはその両方の各ブロック、およびフローチャートまたはブロック図あるいはその両方におけるブロックの組合せは、コンピュータ可読プログラム命令によって実現され得ることが理解されるであろう。

これらのコンピュータ可読プログラム命令は、コンピュータまたは他のプログラマブル・データ処理装置のプロセッサを介して実行される命令がフローチャートまたはブロック図あるいはその両方の１つまたは複数のブロックにおいて指定された機能／動作を実施するための手段を作り出すように、コンピュータ、または他のプログラマブル・データ処理装置のプロセッサに提供されてマシンを作り出すものであってよい。これらのコンピュータ可読プログラム命令はまた、命令が格納されたコンピュータ可読ストレージ媒体がフローチャートまたはブロック図あるいはその両方の１つまたは複数のブロックにおいて指定された機能／動作の態様を実施する命令を含む製品を構成するように、コンピュータ可読ストレージ媒体に格納され、コンピュータ、プログラマブル・データ処理装置、または他のデバイス、あるいはその組合せに、特定のやり方で機能するように指示することができるものであってもよい。

コンピュータ可読プログラム命令はまた、コンピュータ、他のプログラマブル装置、または他のデバイスで実行される命令がフローチャートまたはブロック図あるいはその両方の１つまたは複数のブロックにおいて指定された機能／動作を実施するように、コンピュータ実装プロセスをもたらすべく、コンピュータ、他のプログラマブル・データ処理装置、または他のデバイスにロードされて、コンピュータ、他のプログラマブル装置、または他のデバイスで一連の動作ステップを実行させるものであってもよい。

図におけるフローチャートおよびブロック図は、本発明の様々な実施形態によるシステム、方法、およびコンピュータ・プログラム製品の可能な実施態様のアーキテクチャ、機能、および動作を示す。これに関しては、フローチャートまたはブロック図の各ブロックは、指定された論理機能を実施するための１つまたは複数の実行可能命令を含む命令のモジュール、セグメント、または一部を表すことができる。いくつかの代替の実施態様では、ブロックに記された機能は、図に記された順序から外れて行われてもよい。例えば、連続して示された２つのブロックは、実際には、１つのステップとして達成されてもよく、同時に、実質的に同時に、部分的にもしくは全体的に時間的にオーバラップする方法で実行されてもよく、またはブロックは、時には、関連する機能に応じて逆の順序で実行されてもよい。ブロック図またはフローチャートあるいはその両方の各ブロック、およびブロック図またはフローチャートあるいはその両方のブロックの組合せは、指定された機能または動作を実行するかあるいは専用ハードウェア命令とコンピュータ命令の組合せを実行する専用ハードウェア・ベース・システムで実施され得ることにも留意されたい。

次に、図を参照すると、特に、図１～図３を参照すると、例示的な実施形態を実施することができるデータ処理環境の図が提供される。図１～図３は、単に例として意図されており、異なる実施形態を実施することができる環境に関していかなる限定も主張または暗示するように意図されていないことを理解されたい。図示の環境に多くの変更を加えることができる。

図１は、例示的な実施形態を実施することができるデータ処理システムのネットワークの図的表現を示す。ネットワーク・データ処理システム１００は、例示的な実施形態を実施することができる、コンピュータ、データ処理システム、および他のデバイスのネットワークである。ネットワーク・データ処理システム１００はネットワーク１０２を含み、ネットワーク１０２は、ネットワーク・データ処理システム１００内で一緒に接続されるコンピュータ、データ処理システム、および他のデバイスの間の通信リンクを設けるために使用される媒体である。ネットワーク１０２は、例えば、有線通信リンク、無線通信リンク、および光ファイバ・ケーブルなどの接続を含むことができる。

図示の例では、サーバ１０４およびサーバ１０６が、ストレージ１０８とともにネットワーク１０２に接続する。サーバ１０４およびサーバ１０６は、例えば、オープン・ソース・コンテナ・オーケストレーション・フレームワーク１１２のクラスタ１１０内のワーカ・ノードとすることができる。オープン・ソース・コンテナ・オーケストレーション・フレームワーク１１２は、例えば、Ｋｕｂｅｒｎｅｔｅｓ管理コンテナ環境とすることができる。サーバ１０４およびサーバ１０６は、物理サーバまたは仮想サーバを表すことができる。加えて、サーバ１０４およびサーバ１０６は、ネットワーク１０２への高速接続を有し、１つまたは複数の分散型多層アプリケーションを使用して、例えば、イベント・モニタリング・サービス、金融サービス、銀行業務サービス、行政機関サービス、教育サービス、予約サービス、データ・サービスなどのようなサービスのセットをクライアント・デバイスに提供することができる。さらに、サーバ１０４およびサーバ１０６は、各々、１つまたは複数のクラウド環境におけるコンピューティング・ノードのクラスタを表すことができることに留意されたい。代替として、サーバ１０４およびサーバ１０６は、各々、１つまたは複数のデータ・センタにおけるサーバのクラスタを表すことができる。

クライアント１１４、クライアント１１６、およびクライアント１１８は、同様に、ネットワーク１０２に接続する。クライアント１１４、１１６、および１１８は、サーバ１０４およびサーバ１０６のクライアントである。この例では、クライアント１１４、１１６、および１１８は、ネットワーク１０２への有線通信リンクを有するデスクトップまたはパーソナル・コンピュータとして示されている。しかしながら、クライアント１１４、１１６、および１１８は、単に例であり、例えば、ネットワーク・コンピュータ、ラップトップ・コンピュータ、ハンドヘルド・コンピュータ、スマートフォン、スマート・ウォッチ、スマート・テレビジョン、スマート家電、ゲーミング・デバイス、キオスクなどのような他のタイプのデータ処理システムを表すことができることに留意されたい。クライアント１１４、１１６、および１１８のユーザは、クライアント１１４、１１６および１１８を利用して、サーバ１０４およびサーバ１０６によって提供されるサービスにアクセスおよび利用することができる。

ストレージ１０８は、任意のタイプのデータを構造化フォーマットまたは非構造化フォーマットで格納することができるネットワーク・ストレージ・デバイスである。加えて、ストレージ１０８は、複数のネットワーク・ストレージ・デバイスを表すことができる。さらに、ストレージ１０８は、複数のサーバ、暗号鍵、暗号化データなどのための識別子およびネットワーク・アドレスを格納することができる。さらに、ストレージ１０８は、例えば、システム管理者およびユーザに関連するユーザ名、パスワード、およびバイオメトリック・データを含むことができる認証または資格データなどの他のタイプのデータを格納することができる。

加えて、ネットワーク・データ処理システム１００は、任意の数の追加のサーバ、クライアント、ストレージ・デバイス、および図示されていない他のデバイスを含むことができることに留意されたい。ネットワーク・データ処理システム１００に配置されたプログラム・コードは、コンピュータ可読ストレージ媒体に格納され、使用するためにコンピュータまたは他のデータ処理デバイスにダウンロードされる。例えば、プログラム・コードは、サーバ１０４のコンピュータ可読ストレージ媒体に格納され、クライアント１１４で使用するためにネットワーク１０２を介してクライアント１１４にダウンロードされる。

図示の例では、ネットワーク・データ処理システム１００は、例えば、インターネット、イントラネット、ローカル・エリア・ネットワーク（ＬＡＮ）、ワイド・エリア・ネットワーク（ＷＡＮ）、電気通信ネットワーク、またはそれらの組合せなどのいくつかの異なるタイプの通信ネットワークとして実現することができる。図１は、単に一例として意図されており、異なる例示的な実施形態に対するアーキテクチャ限定として意図されていない。

次に図２を参照すると、データ処理システムの図が、例示的な実施形態に従って示される。データ処理システム２００は、例示的な実施形態のプロセスを実施するコンピュータ可読プログラム・コードまたは命令を配置することができる、図１のサーバ１０４およびサーバ１０６などのコンピュータの一例である。データ処理システム２００は、例えば、Ｋｕｂｅｒｎｅｔｅｓなどのオープン・ソース・コンテナ・オーケストレーション・フレームワークのワーカ・ノードのクラスタ内のワーカ・ノードであり得る。データ処理システム２００は、データ処理システム２００で使用するために利用可能なリソースのセットを含み制御する。この例示的な例では、データ処理システム２００は、通信ファブリック２０２を含み、通信ファブリック２０２は、プロセッサ・ユニット２０４、メモリ２０６、永続的ストレージ（persistent storage）２０８、通信ユニット２１０、入力／出力（Ｉ／Ｏ）ユニット２１２、およびディスプレイ２１４の間の通信を行う。しかしながら、データ処理システム２００は、単に一例として意図されており、図示されたものよりも多いまたは少ない構成要素を含むこともできることに留意されたい。

プロセッサ・ユニット２０４は、メモリ２０６にロードされるソフトウェア・アプリケーションおよびプログラムの命令を実行するように機能する。プロセッサ・ユニット２０４は、特定の実施態様に依って、１つまたは複数のハードウェア・プロセッサ・デバイスのセットとすることができ、またはマルチコア・プロセッサとすることができる。

メモリ２０６および永続的ストレージ２０８は、ストレージ・デバイスの例である。コンピュータ可読ストレージ・デバイスは、例えば、限定はしないが、データ、機能形態のコンピュータ可読プログラム・コード、または一過性的および／または永続的な他の適切な情報、あるいはその組合せなどの情報を格納することができる任意のハードウェアである。さらに、コンピュータ可読ストレージ・デバイスは、伝搬媒体を除外する。メモリ２０６は、これらの例では、例えば、ランダム・アクセス・メモリ（ＲＡＭ）、または他の適切な揮発性もしくは不揮発性ストレージ・デバイスとすることができる。永続的ストレージ２０８は、特定の実施態様に応じて様々な形態をとることができる。例えば、永続的ストレージ２０８は、１つまたは複数のデバイスを含むことができる。例えば、永続的ストレージ２０８は、ハード・ディスク・ドライブ、ソリッド・ステート・ドライブ、フラッシュ・メモリ、書換可能な光ディスク、書換可能な磁気テープ、または上述のものの組合せとすることができる。永続的ストレージ２０８によって使用される媒体は、着脱可能とすることができる。例えば、着脱可能ハード・ドライブが、永続的ストレージ２０８のために使用されてもよい。

キー・オーケストレーション・エージェント２１８は、データ処理システム２００のために、データ暗号鍵２２０、シーリング鍵２２２、およびシーリング鍵２２６などの暗号鍵を生成するプロセスを制御する。データ暗号鍵２２０は、アプリケーション２２８の機密アプリケーション・データ２３２を暗号化および解読するための暗号鍵である。シーリング鍵２２２は、キー・オーケストレーション・エージェント２１８に固有であり、シーリング鍵２２６はコンテナ２２４に固有である。各シーリング鍵は、例えば、データ処理システム２００のプロセッサ・ユニット２０４などのハードウェアに基づくことができる。シーリング鍵２２２および２２６はキー暗号鍵である。言い換えれば、キー・オーケストレーション・エージェント２１８は、データ暗号鍵２２０のセキュリティおよび保護のためにデータ暗号鍵２２０をシールまたは暗号化するためにシーリング鍵２２２を使用する。

キー・オーケストレーション・エージェント２１８は、さらに、データ暗号鍵２２０の配布を、データ処理システム２００内に作り出されたコンテナ２２４と調和させるプロセスを制御する。コンテナ２２４は、アプリケーション２２８に対応する１つまたは複数のワークロードのセットを実行するポッドなどの１つまたは複数のコンテナのセットを表す。キー・オーケストレーション・エージェント２１８は、ローカル認証プロセスを実行して、コンテナ２２４が、データ暗号鍵２２０をコンテナ２２４と共有する前に、認証された信頼できるコンテナであることを確認する。データ暗号鍵２２０を受け取った後、コンテナ２２４は、コンテナ２２４に固有のシーリング鍵２２６でデータ暗号鍵２２０をシールまたは暗号化する。コンテナ２２４は、データ暗号鍵２２０を利用して、アプリケーション２２８に対応する機密アプリケーション・データ２３２を暗号化および解読する。

キー・オーケストレーション・エージェント２１８は、さらに、データ暗号鍵２２０の配布を、１つまたは複数の他のデータ処理システムのセット（すなわち、クラスタ内の他のワーカ・ノードのセット）と調和させるプロセスを制御する。キー・オーケストレーション・エージェント２１８は、ローカル認証プロセスを実行して、他のワーカ・ノードのセットの各ワーカ・ノードが、データ暗号鍵２２０をクラスタのそれぞれのワーカ・ノードと共有する前に、認証された信頼できるワーカ・ノードであることを確認する。

アプリケーション２２８は、データ処理システム２００のコンテナ２２４などのコンテナのセットで実行される分散型多層アプリケーションを表すことができる。アプリケーション２２８は、要求側クライアント・デバイスのためにサービスを実行する、例えば、銀行業務アプリケーション、金融アプリケーション、医療アプリケーション、保険アプリケーション、ビジネス・アプリケーション、エンターテインメント・アプリケーション、ゲーミング・アプリケーション、ストリーミング・データ・アプリケーションなどのような任意のタイプのソフトウェア・アプリケーションを表すことができる。

セキュア・エンクレーブ２３０は、アプリケーション２２８の機能の態様が保護されるメモリ２０６の暗号化されたセクションであり、機密アプリケーション・データ２３２を秘密におよび変更されないように保持する。機密アプリケーション・データ２３２は、アプリケーション２２８に対応する、個人ユーザ情報、医療記録、銀行残高、クレジットカード番号、社会保障番号、財務記録などのような任意のタイプの個人情報を表す。セキュア・エンクレーブ２３０はまた、シーリング鍵２３４を格納する。シーリング鍵２３４は、シーリング鍵２２２およびシーリング鍵２２６を表す。キー・オーケストレーション・エージェント２１８およびコンテナ２２４は、それぞれ、データ暗号鍵２２０をシールするために、必要なときにセキュア・エンクレーブ２３０からシーリング鍵２２２およびシーリング鍵２２６を取得する。

その結果として、データ処理システム２００は、専用コンピュータ・システムとして動作し、データ処理システム２００のキー・オーケストレーション・エージェント２１８は、データ処理システム２００内の信頼できるコンテナ、および図１のクラスタ１１０などのクラスタ内の他の信頼できるワーカ・ノードとの暗号鍵オーケストレーションを可能にする。特に、キー・オーケストレーション・エージェント２１８は、キー・オーケストレーション・エージェント２１８を有していない現在利用可能な汎用コンピュータ・システムと比較して、データ処理システム２００を専用コンピュータ・システムに変換する。

通信ユニット２１０は、この例では、図１のネットワーク１０２などのネットワークを介する他のコンピュータ、データ処理システム、およびデバイスとの通信を可能にする。通信ユニット２１０は、物理的通信リンクと無線通信リンクの両方を使用することによって通信を行うことができる。物理的通信リンクは、データ処理システム２００のための物理的通信リンクを確立するために、例えば、ワイヤ、ケーブル、ユニバーサル・シリアル・バス、または他の物理的技術を利用することができる。無線通信リンクは、データ処理システム２００の無線通信リンクを確立するために、例えば、短波、高周波、極超短波、マイクロ波、ワイヤレス・フィデリティ（Ｗｉ－Ｆｉ）、ブルートゥース（Ｒ）技術、広域自動車通信システム（ＧＳＭ）、符号分割多元接続（ＣＤＭＡ）、第２世代（２Ｇ）、第３世代（３Ｇ）、第４世代（４Ｇ）、４Ｇロング・ターム・エボリューション（ＬＴＥ）、ＬＴＥアドバンスト、第５世代（５Ｇ）、または任意の他の無線通信技術もしくは標準を利用することができる。

入力／出力ユニット２１２は、データ処理システム２００に接続される他のデバイスとのデータの入出力を可能にする。例えば、入力／出力ユニット２１２は、キーパッド、キーボード、マウス、マイクロホン、または他の適切な入力デバイス、あるいはその組合せによりユーザ入力の接続を行うことができる。ディスプレイ２１４は、情報をユーザに表示するための機構を提供し、例えば、ユーザがユーザ・インタフェースによりオンスクリーン選択を行うかまたはデータを入力することを可能にするタッチ・スクリーン機能を含むことができる。

オペレーティング・システム、アプリケーション、またはプログラム、あるいはその組合せの命令は、通信ファブリック２０２によりプロセッサ・ユニット２０４と通信するメモリ２０６および永続的ストレージ２０８に配置され得る。この例示的な例では、命令は、永続的ストレージ２０８に機能形態で存在する。これらの命令は、プロセッサ・ユニット２０４で実行するためにメモリ２０６にロードされ得る。異なる実施形態のプロセスは、メモリ２０６などのメモリに配置されるコンピュータ実装命令を使用して、プロセッサ・ユニット２０４によって実行され得る。これらのプログラム命令は、プログラム・コード、コンピュータ使用可能プログラム・コード、またはコンピュータ可読プログラム・コードと呼ばれ、それらは、プロセッサ・ユニット２０４のプロセッサによって読み込まれ実行され得る。プログラム命令は、異なる実施形態では、メモリ２０６または永続的ストレージ２０８などの様々な物理的コンピュータ可読ストレージ・デバイスで具現化され得る。

プログラム・コード２３６は、選択的に着脱可能なコンピュータ可読媒体２３８に機能形態で配置され、プロセッサ・ユニット２０４による実行のためにデータ処理システム２００にロードまたは転送され得る。プログラム・コード２３６およびコンピュータ可読媒体２３８は、コンピュータ・プログラム製品２４０を形成する。１つの例では、コンピュータ可読媒体２３８は、コンピュータ可読ストレージ媒体２４２またはコンピュータ可読信号媒体２４４とすることができる。コンピュータ可読ストレージ媒体２４２は、例えば、永続的ストレージ２０８の一部であるハード・ドライブなどのストレージ・デバイスに転送するために、永続的ストレージ２０８の一部であるドライブまたは他のデバイスに挿入または配置される光ディスクまたは磁気ディスクを含むことができる。コンピュータ可読ストレージ媒体２４２はまた、データ処理システム２００に接続されるハード・ドライブ、サム・ドライブ、またはフラッシュ・メモリなどの永続的ストレージの形態をとることができる。いくつかの場合には、コンピュータ可読ストレージ媒体２４２は、データ処理システム２００から取り外すことができない。

代替として、プログラム・コード２３６は、コンピュータ可読信号媒体２４４を使用してデータ処理システム２００に転送され得る。コンピュータ可読信号媒体２４４は、例えば、プログラム・コード２３６を含む伝搬されるデータ信号とすることができる。例えば、コンピュータ可読信号媒体２４４は、電磁信号、光信号、または他の適切なタイプの信号、あるいはその組合せとすることができる。これらの信号は、無線通信リンク、光ファイバ・ケーブル、同軸ケーブル、ワイヤ、または他の適切なタイプの通信リンク、あるいはその組合せなどの通信リンクを介して送信され得る。言い換えれば、通信リンクまたは接続あるいはその両方は、例示的な例では物理的または無線とすることができる。コンピュータ可読媒体はまた、プログラム・コードを含む通信リンクまたは無線伝送などの無形の媒体の形態をとることができる。

いくつかの例示的な実施形態では、プログラム・コード２３６は、データ処理システム２００内で使用するために、コンピュータ可読信号媒体２４４を通して別のデバイスまたはデータ処理システムから永続的ストレージ２０８にネットワークを介してダウンロードされ得る。例えば、データ処理システムのコンピュータ可読ストレージ媒体に格納されているプログラム・コードは、データ処理システムからデータ処理システム２００にネットワークを介してダウンロードされ得る。プログラム・コード２３６を提供するデータ処理システムは、サーバ・コンピュータ、クライアントコンピュータ、またはプログラム・コード２３６を格納および送信することができる他のデバイスとすることができる。

データ処理システム２００について示された様々な構成要素は、異なる実施形態を実施することができる方法にアーキテクチャ上の限定を行うことを意図していない。異なる例示的な実施形態は、データ処理システム２００で示されたものに加えて、またはその代わりに、構成要素を含むデータ処理システムで実施されてもよい。図２に示された他の構成要素は、図示の例示的な例と異なっていてもよい。異なる実施形態は、プログラム・コードを実行することができるハードウェア・デバイスまたはシステムを使用して実施されてもよい。１つの例として、データ処理システム２００は、無機構成要素と統合された有機構成要素を含んでもよく、または人間を除いた有機構成要素で完全に構成されてもよく、あるいはその両方であってもよい。例えば、ストレージ・デバイスは、有機半導体で構成されてもよい。

別の例として、データ処理システム２００のコンピュータ可読ストレージ・デバイスは、データを格納することができる任意のハードウェア装置である。メモリ２０６、永続的ストレージ２０８、およびコンピュータ可読ストレージ媒体２４２は、有形形態の物理的ストレージ・デバイスの例である。

別の例では、バス・システムが、通信ファブリック２０２を実現するために使用されてもよく、システム・バスまたは入力／出力バスなどの１つまたは複数のバスで構成されてもよい。当然、バス・システムは、バス・システムに取り付けられた様々な構成要素またはデバイス間でのデータの転送を可能にする適切なタイプのアーキテクチャを使用して実現され得る。追加として、通信ユニットは、データを送受信するために使用される１つまたは複数のデバイス、例えば、モデムまたはネットワーク・アダプタなどを含むことができる。さらに、メモリは、例えば、メモリ２０６、または通信ファブリック２０２に存在し得るインタフェースおよびメモリ・コントローラ・ハブに見いだされるものなどのキャッシュとすることができる。

例示的な実施形態は、オープン・ソース・コンテナ・オーケストレーション・フレームワークのインフラストラクチャにおける信頼できるコンテナとワーカ・ノードとの間の暗号鍵オーケストレーション・プロセスを使用して、動的な分散型オープン・ソース・コンテナ・オーケストレーション・フレームワーク内で機密アプリケーション・データを共有するという課題に対処する。オープン・ソース・コンテナ・オーケストレーション・フレームワークに「ｎ」個のワーカ・ノードをもつクラスタがある場合、例示的な実施形態は、クラスタのすべてのワーカ・ノードが、データ暗号鍵を使用して機密アプリケーション・データを暗号化および解読することによって、セキュア・エンクレーブの内部の機密アプリケーション・データにアクセスできるようにする。例示的な実施形態は、信頼できる（すなわち、証明済みの）ワーカ・ノード間でデータ暗号鍵を共有する。各ワーカ・ノードは、所与のワーカ・ノードのセキュア・エンクレーブに固有のシーリング鍵でデータ暗号鍵を暗号化することによってデータ暗号鍵を保護する。この機構を利用することによって、例示的な実施形態は、ハードウェア（すなわち、ワーカ・ノードのプロセッサ）にセキュリティをタグづけするとともに、さらに、信頼できるワーカ・ノード間の鍵オーケストレーションの機構を提供する。

クラスタにワーカ・ノードを作り出す際に、ワーカ・ノードは、ワーカ・ノードのセキュア・エンクレーブで実行される機密アプリケーション・データを暗号化するためのデータ暗号鍵を生成する。ワーカ・ノードがクラスタの唯一のワーカ・ノードである場合、ワーカ・ノードに配置されたキー・オーケストレーション・ソフトウェアエージェント、例えば、デーモン・セットの「キー・オーケストレーション・デーモン」などが、データ暗号鍵を生成する。デーモン・セットは、特定のコンテナのインスタンスが、クラスタのワーカ・ノードのすべてでまたは選択されたもので実行されていることを保証する。デーモン・セットは、追加されたワーカ・ノードごとにコンテナを作り出し、ワーカ・ノードがクラスタから取り除かれるとガーベッジがコンテナを収集する。デーモン・セットは、例えば、クラスタ・ストレージ・デーモン、ログ・コレクタ・デーモン、モニタリング・デーモンなどのような他のデーモンを含むことができる。

ワーカ・ノードは、セキュア・エンクレーブ内で実行されている機密アプリケーション・データを、データ暗号化キーを用いて保護する。さらに、ワーカ・ノードは、ワーカ・ノードのプロセッサに由来するシーリング鍵を用いてデータ暗号化鍵をシールし、シーリング鍵をワーカ・ノードに固有のものにする。注意すべきは、セキュア・エンクレーブがシーリング鍵を取得できるのは、同じワーカ・ノードに限られるということである。言い換えれば、異なるワーカ・ノード上の同じセキュア・エンクレーブは、異なるシーリング鍵を持つことになる。

新しいワーカ・ノードがクラスタに作り出されると、新しいワーカ・ノードのソフトウェア・エージェント（例えば、キー・オーケストレーション・デーモン）は、クラスタの既存のワーカ・ノードとともにリモート認証を実行する。認証は、ソフトウェア実行ファイル（software executable）がプラットフォームで適切にインスタンス化されていることを示すプロセスである。認証により、リモート・パーティは、意図されたソフトウェアが、インテル（Ｒ）ＳＧＸ対応プラットフォームのセキュア・エンクレーブ内で安全に実行されているという確信を得ることができる。認証は、アサーションで以下の情報、すなわち、１）証明されるソフトウェアのアイデンティティ、２）測定されていない状態の詳細（例えば、ソフトウェアが実行されているモード）、および３）ソフトウェアがそれ自体に関連づけるデータ、を伝える。認証に成功すると、新しいワーカ・ノードは、クラスタの既存のワーカ・ノードからデータ暗号鍵のコピーを受け取る。データ暗号鍵を受け取った後、新しいワーカ・ノードは、それ自体の固有のシーリング鍵でデータ暗号鍵をシールする。例示的な実施形態はまた、データ暗号鍵および暗号化データを含む共有データベースまたはデータ・ストアを利用することができる。信頼できる（すなわち、証明された）ワーカ・ノードのみが共有データベースにアクセスすることができる。

したがって、例示的な実施形態により、クラスタ内の異なるワーカ・ノードで分散アプリケーションを実行する異なるコンテナは、シーリング鍵で暗号化されたデータ暗号鍵を使用することによって、異なるコンテナ間で機密アプリケーション・データを共有することができる。各コンテナおよび各キー・オーケストレーション・エージェントは、それ自体の固有のシーリング鍵を有する。各キー・オーケストレーション・エージェントは、認証プロセスを実行する。その結果として、例示的な実施形態は、コンテナがワーカ・ノードのクラスタ内で移動する（例えば、作り出される、削除される、など）場合でさえ、機密アプリケーション・データが、信頼できる（すなわち、証明された）コンテナ間でのみ共有されることを保証する。さらに、例示的な実施形態は、例えば、ハード・ディスク、ファイル・ストレージなどのようないかなる形態のストレージにおいても機密アプリケーション・データを保護することができる。

したがって、例示的な実施形態は、オープン・ソース・コンテナ・オーケストレーション・フレームワーク内のコンテナ間で機密アプリケーション・データを共有することに関連する技術的問題を克服する１つまたは複数の技術的解決策を提供する。その結果として、これらの１つまたは複数の技術的解決策は、データ・セキュリティの分野での技術的な効果および実際の用途を提供する。

次に図３を参照すると、暗号鍵オーケストレーション・システムの一例を示す図が、例示的な実施形態に従って示される。暗号鍵オーケストレーション・システム３００は、図１のネットワーク・データ処理システム１００などのデータ処理システムのネットワークに実装され得る。暗号鍵オーケストレーション・システム３００は、オープン・ソース・コンテナ・オーケストレーション・フレームワークのマルチノード・クラスタ内の信頼できるコンテナとノードとの間の暗号鍵オーケストレーションを提供するためのハードウェア・コンポーネントおよびソフトウェア・コンポーネントのシステムである。

この例では、暗号鍵オーケストレーション・システム３００は、オープン・ソース・コンテナ・オーケストレーション・フレームワーク３０２、クラスタ３０４、およびデータベース３０６を含む。オープン・ソース・コンテナ・オーケストレーション・フレームワーク３０２、クラスタ３０４、およびデータベース３０６は、例えば、図１におけるオープン・ソース・コンテナ・オーケストレーション・フレームワーク１１２、クラスタ１１０、およびストレージ１０８とすることができる。しかしながら、代替の例示的な実施形態では、データベース３０６は、オープン・ソース・コンテナ・オーケストレーション・フレームワーク３０２の外部に遠く離れて配置されてもよいことに留意されたい。別の代替の例示的な実施形態では、データベース３０６はオプションである。

この例では、クラスタ３０４は、例えば、図１のサーバ１０４およびサーバ１０６などのワーカ・ノードＡ ３０８およびワーカ・ノードＢ ３１０を含む。しかしながら、クラスタ３０４は、任意の数のワーカ・ノードを含むことができることに留意されたい。ワーカ・ノードＡ ３０８およびワーカ・ノードＢ ３１０は、図１のネットワーク１０２などのネットワーク３１２を介して互いに通信する。

ワーカ・ノードＡ ３０８は、エージェントＡ ３１４およびコンテナ１ ３１６を含む。同様に、ワーカ・ノードＢ ３１０は、エージェントＢ ３１８およびコンテナ２ ３２０を含む。エージェントＡ ３１４およびエージェントＢ ３１８は、図２のキー・オーケストレーション・エージェント２１８と類似している。さらに、コンテナ１ ３１６およびコンテナ２ ３２０は、図２のコンテナ２２４と類似している。

エージェントＡ ３１４は、シーリング鍵Ａ（ＳＫ－Ａ）３２２およびデータ暗号鍵（ＤＥＫ）３２４を含む。シーリング鍵Ａ ３２２およびデータ暗号鍵３２４は、例えば、図２のシーリング鍵２２２およびデータ暗号鍵２２０とすることができる。シーリング鍵Ａ ３２２は、エージェントＡ ３１４に固有である。エージェントＡ ３１４は、シーリング鍵Ａ ３２２を使用してデータ暗号鍵３２４をシールする。

コンテナ１ ３１６は、データ暗号鍵（ＤＥＫ）３２６およびシーリング鍵１（ＳＫ－１）３２８を含む。シーリング鍵１ ３２８は、コンテナ１ ３１６に固有である。コンテナ１ ３１６は、シーリング鍵１ ３２８を使用してデータ暗号鍵３２６をシールする。コンテナ１ ３１６のデータ暗号鍵３２６は、エージェントＡ ３１４のデータ暗号鍵３２４と同じであることに留意されたい。エージェントＡ ３１４は、コンテナ１ ３１６がローカル認証３３０に基づいて信頼できるコンテナであると決定した後、データ暗号鍵３２４のコピーをコンテナ１ ３１６と共有する。ローカル認証３３０は、ワーカ・ノードＡ ３０８で実行されているセキュア・エンクレーブ間のアサーションを提供する。言い換えれば、ワーカ・ノードＡ ３０８のセキュア・エンクレーブは、互いに認証を行うためにレポートを使用する。ローカル認証とリモート認証の両方について、アプリケーションの保護された部分が、セキュア・エンクレーブにロードされ、セキュア・エンクレーブは、アプリケーションのコードおよびデータを測定し、次いで、レポートを生成する。真正性を確立した後、セキュア・エンクレーブは、安全なチャネルを介して情報を交換する。

エージェントＢ ３１８は、シーリング鍵Ｂ（ＳＫ－Ｂ）３３２を含む。エージェントＡ ３１４のデータ暗号鍵３２４は、エージェントＢ ３１８のデータ暗号鍵３３４と同じであることに留意されたい。エージェントＡ ３１４は、リモート認証３４２に基づいてエージェントＢ ３１８が信頼できるキー・オーケストレーション・エージェントであると決定した後、データ暗号鍵３２４のコピーをエージェントＢ ３１８と共有する。リモート認証３４２は、エージェントＡ ３１４からエージェントＢ ３１８にアサーションを提供する。リモート認証では、エージェントＡ ３１４のセキュア・エンクレーブは、クォートをエージェントＢ ３１８に送る。次いで、エージェントＢ ３１８は、信頼できるプロセッサがクォートを生成したかどうかに関して検証を実行する。検証の際に、エージェントＢ ３１８は、エージェントＡ ３１４のセキュア・エンクレーブの真正性を信頼する。データ暗号鍵３３４を受け取った後、エージェントＢ ３１８は、エージェントＢ ３１８に固有のシーリング鍵Ｂ ３３２を使用して、データ暗号鍵３３４をシールする。

コンテナ２ ３２０は、データ暗号鍵（ＤＥＫ）３３６およびシーリング鍵２（ＳＫ－２）３３８を含む。シーリング鍵２ ３３８は、コンテナ２ ３２０に固有である。コンテナ２ ３２０は、シーリング鍵２ ３３８を使用してデータ暗号鍵３３６をシールする。コンテナ２ ３２０のデータ暗号鍵３３６は、エージェントＢ ３１８のデータ暗号鍵３３４と同じであることに留意されたい。エージェントＢ ３１８は、ローカル認証３４０に基づいてコンテナ２ ３２０が信頼できるコンテナであると決定した後、データ暗号鍵３３４のコピーをコンテナ２ ３２０と共有する。ローカル認証３４０は、ローカル認証３３０と同様のローカル認証プロセスである。

コンテナ１ ３１６およびコンテナ２ ３２０は、それぞれのデータ暗号鍵を利用して、コンテナ１ ３１６およびコンテナ２ ３２０で実行されている分散アプリケーションに関連するワークロードに対応する機密アプリケーション・データを解読および暗号化する。オープン・ソース・コンテナ・オーケストレーション・フレームワーク３０２は、データベース３０６を利用して、例えば、暗号化データおよび暗号鍵を格納する。データベース３０６は、共有データベースである。

次に図４を参照すると、ワーカ・ノードと、ワーカ・ノードに作り出されたコンテナとの間の暗号鍵オーケストレーションのプロセスを示すフローチャートが、例示的な実施形態に従って示される。図４に示されたプロセスは、例えば、図１のオープン・ソース・コンテナ・オーケストレーション・フレームワーク１１２または図３のオープン・ソース・コンテナ・オーケストレーション・フレームワーク３０２などのオープン・ソース・コンテナ・オーケストレーション・フレームワークで実施され得る。

プロセスは、オープン・ソース・コンテナ・オーケストレーション・フレームワークの１つまたは複数のプロセッサのセットが、オープン・ソース・コンテナ・オーケストレーション・フレームワークに、キー・オーケストレーション・エージェントをもつワーカ・ノードを生成するときに開始する（ステップ４０２）。１つまたは複数のプロセッサのセットは、オープン・ソース・コンテナ・オーケストレーション・フレームワークの１つまたは複数のノードに配置され得る。加えて、プロセッサのセットは、ワーカ・ノードのキー・オーケストレーション・エージェントを使用して、データ暗号鍵を生成する（ステップ４０４）。さらに、プロセッサのセットは、キー・オーケストレーション・エージェントを使用して、キー・オーケストレーション・エージェントの固有のシーリング鍵をワーカ・ノードのセキュア・エンクレーブから取得する（ステップ４０６）。プロセッサのセットは、キー・オーケストレーション・エージェントの固有のシーリング鍵を使用して、データ暗号鍵をシールする（ステップ４０８）。

プロセッサのセットは、コンテナがワーカ・ノードに作り出されたかどうかに関して決定を行う（ステップ４１０）。コンテナがワーカ・ノードに作り出されておらず、ステップ４１０の出力が「いいえ」であるとプロセッサのセットが決定した場合、プロセスは、ステップ４１０に戻り、プロセッサのセットは、コンテナがワーカ・ノードに作り出されるのを待つ。コンテナがワーカ・ノードに作り出されており、ステップ４１０の出力が「はい」であるとプロセッサのセットが決定した場合、プロセッサのセットは、キー・オーケストレーション・エージェントを使用して、コンテナとともにローカル認証を実行し、コンテナの真正性を確立する（ステップ４１２）。

プロセッサのセットは、ローカル認証に基づいてコンテナが信頼できるかどうかに関して決定を行う（ステップ４１４）。ローカル認証に基づいてコンテナが信頼できないとプロセッサのセットが決定し、ステップ４１４の出力が「いいえ」である場合、プロセッサのセットは、コンテナによるデータ暗号鍵へのアクセスを拒否する（ステップ４１６）。その後、プロセスは終了する。

ローカル認証に基づいてコンテナが信頼できるとプロセッサのセットが決定し、ステップ４１４の出力が「はい」である場合、プロセッサのセットは、キー・オーケストレーション・エージェントを使用して、データ暗号鍵をコンテナと共有する（ステップ４１８）。さらに、プロセッサのセットは、コンテナと共有されたデータ暗号鍵を使用して、コンテナのワークロードに対応するデータを暗号化する（ステップ４２０）。さらに、プロセッサのセットは、ワーカ・ノードの識別子と、コンテナの固有のシーリング鍵でシールされたデータ暗号鍵とを共有データベースに格納する。（ステップ４２２）。その後、プロセスは終了する。

次に図５Ａ～図５Ｂを参照すると、クラスタ内の既存のワーカ・ノードと新しく生成されたワーカ・ノードとの間の暗号鍵オーケストレーションのプロセスを示すフローチャートが、例示的な実施形態に従って示される。図５Ａ～図５Ｂに示されたプロセスは、例えば、図１のオープン・ソース・コンテナ・オーケストレーション・フレームワーク１１２または図３のオープン・ソース・コンテナ・オーケストレーション・フレームワーク３０２などのオープン・ソース・コンテナ・オーケストレーション・フレームワークで実施され得る。

プロセスは、第１のキー・オーケストレーション・エージェントをもつ第１のワーカ・ノードがプロセッサのセットによってクラスタに生成された後、オープン・ソース・コンテナ・オーケストレーション・フレームワーク内の１つまたは複数のプロセッサのセットが、オープン・ソース・コンテナ・オーケストレーション・フレームワークのノード・クラスタ内に第２のキー・オーケストレーション・エージェントをもつ第２のワーカ・ノードを生成するときに開始する（ステップ５０２）。プロセッサのセットは、第２のワーカ・ノードの第２のキー・オーケストレーション・エージェントを使用して、第１のワーカ・ノードの第１のキー・オーケストレーション・エージェントとともにリモート認証を実行し、第２のキー・オーケストレーション・エージェントの真正性を確立する（ステップ５０４）。

プロセッサのセットは、リモート認証に基づいて第２のキー・オーケストレーション・エージェントが信頼できるかどうかに関して決定を行う。（ステップ５０６）。リモート認証に基づいて第２のキー・オーケストレーション・エージェントが信頼できないとプロセッサのセットが決定し、ステップ５０６の出力が「いいえ」である場合、プロセッサのセットは、第２のキー・オーケストレーション・エージェントによる第１のキー・オーケストレーション・エージェントのデータ暗号鍵へのアクセスを拒否する（ステップ５０８）。その後、プロセスは終了する。

リモート認証に基づいて第２のキー・オーケストレーション・エージェントが信頼できるとプロセッサのセットが決定し、ステップ５０６の出力が「はい」である場合、プロセッサのセットは、第１のワーカ・ノードの第１のキー・オーケストレーション・エージェントを使用して、第１のキー・オーケストレーション・エージェントのデータ暗号鍵を第２のキー・オーケストレーション・エージェントと共有する（ステップ５１０）。さらに、プロセッサのセットは、第２のキー・オーケストレーション・エージェントを使用して、第２のキー・オーケストレーション・エージェントの固有のシーリング鍵を第２のワーカ・ノードのセキュア・エンクレーブから取得する（ステップ５１２）。さらに、プロセッサのセットは、第２のキー・オーケストレーション・エージェントの固有のシーリング鍵を使用して、データ暗号鍵をシールする（ステップ５１４）。

プロセッサのセットは、コンテナが第２のワーカ・ノードに作り出されたかどうかに関して決定を行う（ステップ５１６）。コンテナが第２のワーカ・ノードに作り出されておらず、ステップ５１６の出力が「いいえ」であるとプロセッサのセットが決定した場合、プロセスは、ステップ５１６に戻り、プロセッサのセットは、コンテナが第２のワーカ・ノードに作り出されるのを待つ。コンテナが第２のワーカ・ノードに作り出されており、ステップ５１６の出力が「はい」であるとプロセッサのセットが決定した場合、プロセッサのセットは、第２のキー・オーケストレーション・エージェントを使用して、第２のワーカ・ノードのコンテナとともにローカル認証を実行し、コンテナの真正性を確立する（ステップ５１８）。

プロセッサのセットは、ローカル認証に基づいて第２のワーカ・ノードのコンテナが信頼できるかどうかに関して決定を行う（ステップ５２０）。ローカル認証に基づいて第２のワーカ・ノードのコンテナが信頼できないとプロセッサのセットが決定し、ステップ５２０の出力が「いいえ」である場合、プロセッサのセットは、第２のワーカ・ノードのコンテナによる第２のキー・オーケストレーション・エージェントのデータ暗号鍵へのアクセスを拒否する（ステップ５２２）。その後、プロセスは終了する。

ローカル認証に基づいて第２のワーカ・ノードのコンテナが信頼できるとプロセッサのセットが決定し、ステップ５２０の出力が「はい」である場合、プロセッサのセットは、第２のキー・オーケストレーション・エージェントを使用して、データ暗号鍵を第２のワーカ・ノードのコンテナと共有する（ステップ５２４）。加えて、プロセッサのセットは、第２のワーカ・ノードのコンテナと共有されたデータ暗号鍵を使用して、１つまたは複数のオペレーションのセットをデータに対して実行するために第１のワーカ・ノードにおける別のコンテナのワークロードに対応するデータを解読する（ステップ５２６）。オペレーションのセットは、例えば、作り出す、読み出す、更新する、および削除するオペレーションのうちの１つまたは複数を含むことができる。続いて、プロセッサのセットは、第２のワーカ・ノードのコンテナと共有されたデータ暗号鍵を使用して、オペレーションのセットを実行した後のデータを暗号化する（ステップ５２８）。さらに、プロセッサのセットは、第２のワーカ・ノードの識別子と、第２のワーカ・ノードのコンテナの固有のシーリング鍵でシールされたデータ暗号鍵とを共有データベースに格納する。（ステップ５３０）。その後、プロセスは終了する。

次に図６を参照すると、ワーカ・ノードのデータ暗号鍵を保護するためのプロセスを示すフローチャートが、例示的な実施形態に従って示される。図６に示されたプロセスは、例えば、図１のオープン・ソース・コンテナ・オーケストレーション・フレームワーク１１２または図３のオープン・ソース・コンテナ・オーケストレーション・フレームワーク３０２などのオープン・ソース・コンテナ・オーケストレーション・フレームワークで実施され得る。

プロセスは、オープン・ソース・コンテナ・オーケストレーション・フレームワークの複数のワーカ・ノードの各ワーカ・ノードが、データ暗号鍵を使用して、複数のワーカ・ノード内のセキュア・エンクレーブに配置された共有機密アプリケーション・データにアクセスするときに開始する（ステップ６０２）。加えて、複数のワーカ・ノードの各ワーカ・ノードは、それぞれのワーカ・ノードのセキュア・エンクレーブに固有のシーリング鍵を使用して、それぞれのワーカ・ノードごとのデータ暗号鍵を保護する（ステップ６０４）。その後、プロセスは終了する。

次に図７を参照すると、クラスタ内のワーカ・ノード間でデータ暗号鍵を共有するためのプロセスを示すフローチャートが、例示的な実施形態に従って示される。図７に示されたプロセスは、例えば、図１のオープン・ソース・コンテナ・オーケストレーション・フレームワーク１１２または図３のオープン・ソース・コンテナ・オーケストレーション・フレームワーク３０２などのオープン・ソース・コンテナ・オーケストレーション・フレームワークで実施され得る。

プロセスは、オープン・ソース・コンテナ・オーケストレーション・フレームワークが、オープン・ソース・コンテナ・オーケストレーション・フレームワークのクラスタに第１のワーカ・ノードを確立するときに開始する（ステップ７０２）。第１のワーカ・ノードは、データ暗号鍵を生成する（ステップ７０４）。加えて、第１のワーカ・ノードは、第１のシーリング鍵を使用してデータ暗号鍵を暗号化することによってデータ暗号鍵を保護するために、第１のワーカ・ノードのハードウェアに基づいて、第１のワーカ・ノードのセキュア・エンクレーブに固有の第１のシーリング鍵を生成する（ステップ７０６）。

続いて、第１のワーカ・ノードは、クラスタに第２のワーカ・ノードを作り出すことに依ってクラスタの第２のワーカ・ノードとともにリモート認証を実行する（ステップ７０８）。第１のワーカ・ノードは、リモート認証の正常な実行に際して、データ暗号鍵のコピーを第２のワーカ・ノードに提供する（ステップ７１０）。第２のワーカ・ノードは、第２のシーリング鍵を使用してデータ暗号鍵を暗号化することによってデータ暗号鍵を保護するために、第２のワーカ・ノードのハードウェアに基づいて、第２のワーカ・ノードのセキュア・エンクレーブに固有の第２のシーリング鍵を生成する（ステップ７１２）。その後、プロセスは終了する。

したがって、本発明の例示的な実施形態は、オープン・ソース・コンテナ・オーケストレーション・フレームワークのマルチノード・クラスタ内の信頼できるノードとコンテナとの間の暗号鍵オーケストレーションを提供するためのコンピュータ実施方法、コンピュータ・システム、およびコンピュータ・プログラム製品を提供する。本発明の様々な実施形態の説明は、例証の目的のために提示されたが、網羅的であることまたは開示された実施形態に限定されることを意図されていない。多くの変更および変形が、説明された実施形態の範囲および思想から逸脱することなく、当業者には明らかであろう。本明細書で使用される用語は、実施形態の原理、実際の用途、もしくは市場で見られる技術に対する技術的な改善を最も良く説明するように、または本明細書で開示された実施形態を当業者が理解することができるように選ばれた。

Claims (15)

1. 管理されたコンテナ環境における共有機密情報にアクセスするための方法であって、
   複数のワーカ・ノードの各ワーカ・ノードによって、データ暗号鍵を使用して、前記複数のワーカ・ノード内のセキュア・エンクレーブに配置された共有機密アプリケーション・データにアクセスすることと、
   前記複数のワーカ・ノードの各ワーカ・ノードによって、それぞれのワーカ・ノードの前記セキュア・エンクレーブに固有のシーリング鍵を使用して、それぞれのワーカ・ノードごとの前記データ暗号鍵を保護することと、
   クラスタに第１のワーカ・ノードを確立することと、
   前記第１のワーカ・ノードによって、前記データ暗号鍵を生成することと、
   前記第１のワーカ・ノードによって、前記データ暗号鍵を保護するために前記第１のワーカ・ノードの前記セキュア・エンクレーブに固有の第１のシーリング鍵を生成することと、
   前記第１のワーカ・ノードによって、前記クラスタに第２のワーカ・ノードを作り出すことに応じて前記クラスタの前記第２のワーカ・ノードとともにリモート認証を実行することと、
   前記第１のワーカ・ノードによって、前記リモート認証の正常な実行に際して前記データ暗号鍵のコピーを前記第２のワーカ・ノードに提供することと
   を含む、方法。
2. 前記第２のワーカ・ノードによって、第２のシーリング鍵を使用して前記データ暗号鍵を暗号化することにより前記データ暗号鍵を保護するために前記第２のワーカ・ノードの前記セキュア・エンクレーブに固有の前記第２のシーリング鍵を生成すること
   をさらに含む、請求項１に記載の方法。
3. 前記クラスタがオープン・ソース・コンテナ・オーケストレーション・フレームワークのクラスタであり、前記第１のワーカ・ノードが第１のキー・オーケストレーション・エージェントを有しており、
   前記データ暗号鍵を生成することが、前記第１のワーカ・ノードの前記第１のキー・オーケストレーション・エージェントを使用して、前記データ暗号鍵を生成することと、
   前記シーリング鍵は、前記第１のキー・オーケストレーション・エージェントを使用して、前記第１のワーカ・ノードのセキュア・エンクレーブから取得することと、
   前記第１のキー・オーケストレーション・エージェントの前記シーリング鍵を使用して、前記データ暗号鍵をシールすることと
   をさらに含む、請求項１記載の方法。
4. コンテナが前記第１のワーカ・ノードに作り出されたかどうかを決定することと、
   コンテナが前記第１のワーカ・ノードに作り出されたという決定に応答して、前記第１のキー・オーケストレーション・エージェントを使用して、前記コンテナとともにローカル認証を実行して、前記コンテナの真正性を確立することと
   をさらに含む、請求項３に記載の方法。
5. 前記ローカル認証に基づいて前記コンテナが信頼できるかどうかを決定することと、
   前記ローカル認証に基づいて前記コンテナが信頼できないという決定に応答して、前記コンテナによる前記データ暗号鍵へのアクセスを拒否することと
   をさらに含む、請求項４に記載の方法。
6. 前記ローカル認証に基づいて前記コンテナが信頼できるという決定に応答して、前記第１のキー・オーケストレーション・エージェントを使用して、前記データ暗号鍵を前記コンテナと共有することと、
   前記コンテナと共有された前記データ暗号鍵を使用して、前記コンテナのワークロードに対応するデータを暗号化することと、
   前記第１のワーカ・ノードの識別子と、前記コンテナの固有のシーリング鍵でシールされた前記データ暗号鍵とを共有データベースに格納することと
   をさらに含む、請求項５に記載の方法。
7. 第２のキー・オーケストレーション・エージェントをもつ第２のワーカ・ノードを前記クラスタ内に生成することと、
   前記第２のワーカ・ノードの前記第２のキー・オーケストレーション・エージェントを使用して、前記第１のワーカ・ノードの前記第１のキー・オーケストレーション・エージェントとともにリモート認証を実行して、前記第２のキー・オーケストレーション・エージェントの真正性を確立することと
   をさらに含む、請求項３に記載の方法。
8. 前記リモート認証に基づいて前記第２のキー・オーケストレーション・エージェントが信頼できるかどうかを決定することと、
   前記リモート認証に基づいて前記第２のキー・オーケストレーション・エージェントが信頼できないという決定に応答して、前記第２のキー・オーケストレーション・エージェントによる前記第１のキー・オーケストレーション・エージェントの前記データ暗号鍵へのアクセスを拒否することと
   をさらに含む、請求項７に記載の方法。
9. 前記リモート認証に基づいて前記第２のキー・オーケストレーション・エージェントが信頼できるという決定に応答して、前記第１のワーカ・ノードの前記第１のキー・オーケストレーション・エージェントを使用して、前記第１のキー・オーケストレーション・エージェントの前記データ暗号鍵を前記第２のキー・オーケストレーション・エージェントと共有することと、
   前記第２のキー・オーケストレーション・エージェントを使用して、前記第２のキー・オーケストレーション・エージェントの固有のシーリング鍵を前記第２のワーカ・ノードのセキュア・エンクレーブから取得することと、
   前記第２のキー・オーケストレーション・エージェントの前記固有のシーリング鍵を使用して、前記データ暗号鍵をシールすることと
   をさらに含む、請求項４に記載の方法。
10. 機密アプリケーション・データは、コンテナが前記クラスタ内で移動する場合でさえ、信頼できるコンテナ間でのみ共有される、請求項３に記載の方法。
11. 前記機密アプリケーション・データが、いかなる形態のストレージにおいても保護される、請求項１０に記載の方法。
12. 請求項１～１１の何れか１項に記載の方法を、コンピュータに実行させる、コンピュータ・プログラム。
13. 請求項１２に記載の前記コンピュータ・プログラムを、コンピュータ可読ストレージ媒体に記録した、ストレージ媒体。
14. 管理されたコンテナ環境における共有機密情報にアクセスするためのシステムであって、
    複数のワーカ・ノードであり、
    前記複数のワーカ・ノードの各ワーカ・ノードが、データ暗号鍵を使用して、前記複数のワーカ・ノード内のセキュア・エンクレーブに配置された共有機密アプリケーション・データにアクセスし、
    前記複数のワーカ・ノードの各ワーカ・ノードが、それぞれのワーカ・ノードの前記セキュア・エンクレーブに固有のシーリング鍵を使用して、それぞれのワーカ・ノードごとの前記データ暗号鍵を保護する、前記複数のワーカ・ノードと、
    第１のワーカ・ノードが、クラスタに確立され、
    前記第１のワーカ・ノードが、前記データ暗号鍵を生成し、
    前記第１のワーカ・ノードが、前記データ暗号鍵を保護するために前記第１のワーカ・ノードの前記セキュア・エンクレーブに固有の第１のシーリング鍵を生成し、
    前記第１のワーカ・ノードが、前記クラスタに第２のワーカ・ノードを作り出すことに応じて前記クラスタの前記第２のワーカ・ノードとともにリモート認証を実行し、
    前記第１のワーカ・ノードが、前記リモート認証の正常な実行に際して前記データ暗号鍵のコピーを前記第２のワーカ・ノードに提供すること
    を含む、システム。
15. 前記第２のワーカ・ノードが、第２のシーリング鍵を使用して前記データ暗号鍵を暗号化することにより前記データ暗号鍵を保護するために、前記第２のワーカ・ノードの前記セキュア・エンクレーブに固有の前記第２のシーリング鍵を生成する、請求項１４に記載のシステム。

Images