JP7843837B2

JP7843837B2 - コンテナ・システムのデータ管理方法、およびシステム

Info

Publication number: JP7843837B2
Application number: JP2024512104A
Authority: JP
Inventors: リュウ、ダリ; フオ、チーフォン; ワン、ユアンユアン; リー、レイ; リュウ、ヤンソン
Original assignee: International Business Machines Corp
Current assignee: International Business Machines Corp
Priority date: 2021-09-10
Filing date: 2022-07-01
Publication date: 2026-04-10
Anticipated expiration: 2042-07-01
Also published as: US20230082851A1; US11989282B2; WO2023035742A1; CN117813605A; JP2024533068A

Description

本開示は、デジタル・ストレージ管理に関し、より詳細には、オープン・ソース・コンテナのデータ管理に関する。

クラウド・コンピューティングは、展開のためのコンテナ・システムをますます実装している。オープン・ソース・コンテナ環境は、適応型ロード・バランシング、サービス登録、展開、動作、リソース・スケジューリング、および容量スケーリングを提案している。オープン・ソース・コンテナ・クラスタは、ノードを利用し、ノードは、データをプルし、保有して、そのデータを使用することができる。

本開示の実施形態は、オープン・ソース・コンテナ・システムにおけるイメージ管理のためのシステム、方法、およびコンピュータ・プログラム製品を含む。

本開示に従ったシステムは、メモリと、メモリと通信するプロセッサとを含むことができる。プロセッサは、鍵ペアを生成することと、データ資格情報シークレットを作成するために、データ資格情報を公開鍵で暗号化することとを含む動作を実施するように構成され得る。動作は、データ資格情報シークレットをホスト上のクラスタに格納することと、クラスタ上にワークロードを展開することとをさらに含むことができる。動作はまた、ホストに空のバンドルを構築することと、ポッド信頼実行環境（pod trusted execution environment）を生成することとを含むことができる。

本開示のいくつかの実施形態において、動作は、暗号化されたデータ・プル資格情報を用いてデータ・プル要求をサブミットすることと、復号されたデータを生成するために、ポッド信頼実行環境においてデータ資格情報シークレットを秘密鍵で復号することとを含むことができる。いくつかの実施形態において、動作は、データ・プル要求を、ポッド信頼実行環境にｓｈｉｍを用いて転送することをさらに含むことができる。いくつかの実施形態において、動作は、復号されたデータを、ポッド信頼実行環境内のＣＲＩイメージ・サービスにサブミットすることをさらに含むことができる。

本開示のいくつかの実施形態において、動作は、リアルなコンテナ・バンドルを生成するために、ＣＲＩランタイム・サービスを呼び出すことと、リアルなコンテナ・バンドルを起動することとを含むことができる。いくつかの実施形態において、動作は、リアルなコンテナ・バンドルにおいてデータ資格情報シークレットを復号することを含むことができる。

本開示のいくつかの実施形態において、動作は、コンテナ要求を受信することと、データ資格情報シークレットを用いてプル・データ要求を受信することとを含むことができる。

本開示のいくつかの実施形態において、データ資格情報はイメージ資格情報であってよい。

上の概要は、本開示のそれぞれの例証される実施形態またはあらゆる手段を説明することを意図したものではない。

本出願に含まれる図面は、本明細書の中に組み込まれており、その一部を形成している。図面は、本開示の実施形態を例証しており、本説明と共に本開示の原理を明らかにするために役立つ。図面は、一定の実施形態を例証しているにすぎず、本開示を限定するものではない。

本開示のいくつかの実施形態に従ったデータ管理システムを例証する図である。本開示のいくつかの実施形態に従ったデータ管理システムを表す図である。本開示のいくつかの実施形態に従ったデータ管理方法を例証する図である。本開示のいくつかの実施形態に従ったデータ管理方法を表す図である。本開示の実施形態に従ったクラウド・コンピューティング環境を例証する図である。本開示の実施形態に従った抽象モデル・レイヤを表す図である。本開示の実施形態に従って、本明細書で説明される方法、ツール、およびモジュール、ならびに任意の関連機能のうちの１つまたは複数を実装する際に使用される例示的なコンピュータ・システムの高レベル・ブロック図である。

本発明はさまざまな修正形態および代替形態を受け入れやすく、その細部は、図面に例として示されており、詳細に説明されることになる。しかしながら、その意図は、本発明を説明される特定の実施形態に限定するものではないことが理解されるべきである。それとは反対に、その意図は、本発明の範囲内に入るすべての修正形態、均等形態、および代替形態を包含することである。

本開示の態様は、デジタル・ストレージ管理に関し、より詳細には、オープン・ソース・コンテナのイメージ管理に関する。

オープン・ソース・コンテナ・システムは、システムによって保持される、またはシステムにおいて使用されるデータを管理するために、コンテナ・ランタイム・インターフェース（ＣＲＩ）の使用を含むことができる。たとえば、ワークロード・イメージが、コンテナで使用するためにワーカ・ノードの中にプルされることがある。データ（ワークロード・イメージなど）は、他のコンテナにおけるワークロードによって、コンテナ間のセキュリティ・チェックポイントなしに、ワーカ・ホストにおいて直接アクセスされ得る。センシティブなデータ（たとえば、ユーザのイメージにおける情報などのユーザに関する情報）が、無認可のエンティティに晒されることがある。さらに、データは、オープン・ソース・コンテナ・クラスタのｅｔｃｄに格納されるとき、単にｂａｓｅ６４でエンコードされているだけのことがあり、その結果、情報が、他のコンテナに、またはオープン・ソース・コンテナ・クラスタの管理者に見られることがある。結果として、ユーザは、自分のデータをホスト上に格納するのを思いとどまることがある。

本開示は、ワークロード・データを保護し、データ・プルのプライバシを維持するように、オープン・ソース・コンテナ・クラスタにおいて使用するためのデータ管理システムおよび方法を提供する。ドキュメント、スプレッドシート、コード・ファイル、データベース、イメージ、その他などのさまざまなタイプのデータを、本開示に従って管理することができる。本開示のいくつかの実施形態において、管理されたデータは、１つまたは複数の管理されたイメージを含むことができる。

オープン・ソース・コンテナのデータ管理は、すべてのデータがワーカ・ノードにプルされるように、ＣＲＩによりワークロード・データをプルすることがある。たとえば、エンド・ユーザがバックエンド・サービスとしてｃｏｎｔａｉｎｅｒｄを使用する場合、イメージがｋ８ｓ．ｉｏ名前空間に保存されることがあり、そのイメージは、ワーカ・ホストにおいて直接アクセスされ得る。このメカニズムはセキュリティを欠いており、セキュリティの欠如の結果として、コンテナ・イメージ・データをワーカ・ホスト上に保存したくないユーザがいることがある。データ・プル・シークレット（上述した例では、イメージ・プル・シークレット）は、ｂａｓｅ６４でのみエンコードされ、その後クラスタのｅｔｃｄに格納されていることがあり、結果として、データは、クラスタの管理者によって、またはポッドにおける他のコンテナから見ることが可能である。

本開示に従って、エンド・ユーザは、データを信頼できる仮想マシン（ＶＭ）に格納して、データ・プル・シークレットを保護することができ、データ・プル・シークレットは、使用前に暗号化することができ、信頼できるＶＭにおいてのみ復号することが可能である。エンド・ユーザは、データを保護し、データにセキュリティを提供しながら、信頼できるＶＭ上でワークロードを稼働させることができる。

本開示に従ったシステムは、メモリと、メモリと通信するプロセッサとを含むことができる。プロセッサは、鍵ペアを生成することと、データ資格情報シークレットを作成するために、データ資格情報を公開鍵で暗号化することとを含む動作を実施するように構成され得る。動作は、データ資格情報シークレットをホスト上のクラスタに格納することと、クラスタ上にワークロードを展開することとをさらに含むことができる。動作はまた、ホストに空のバンドルを生成することと、ポッド信頼実行環境を生成することとを含むことができる。

図１は、本開示のいくつかの実施形態に従ったデータ管理システム１００を例証している。データ管理システム１００は、ホスト１０２と、ゲスト１２０と、プレースホルダ・データ１４０と、それらと相互作用する他のコンポーネントとを含む。

ホスト１０２は、ランタイム・サービス１１２およびデータ・サービスＣＲＩプラグイン１１８と通信するノード・エージェント１１０（たとえば、ｋｕｂｅｌｅｔ）を有することができる。ランタイム・サービス１１２は、ＣＲＩサービスＣＲＩプラグイン１１４と通信することができ、ＣＲＩサービスＣＲＩプラグイン１１４は、データ・サービスＣＲＩプラグイン１１８およびｓｈｉｍ１１６と通信することができる。

データ・サービスＣＲＩプラグイン１１８は、プレースホルダ・データ１４０を生成する、またはプレースホルダ・データ１４０と通信する、あるいはその両方を行うことができる。プレースホルダ・データ１４０は、クラスタのアプリケーション・プログラミング・インターフェース（ＡＰＩ）要件を履行するのに十分な情報であってよい。プレースホルダ・データ１４０は、ホスト１０２がコンテンツ・データ１３０のプライバシおよびセキュリティを守りながら、コンテンツ・データ１３０のために適正に準備できるような、クラスタ上に格納されることになるコンテンツ・データ１３０に関連した、もしくは関連していないストック情報または他の情報であってよい。プレースホルダ・データ１４０は、メタデータ１４２、コンテンツ１４４、またはデータ・コンポーネント１４６、あるいはその組合せ（たとえば、イメージについてのスナップショット、またはドキュメントのページ）を含むことができる。

データ・コンポーネント１４６は、ホスト１０２上の空のバンドル１４８と通信することができる。空のバンドル１４８は、ホスト１０２上の他のオブジェクトとの直接通信から独立して、ホスト上に存在することができる。たとえば、データ管理のいくつかの方法が、本開示に従って、ＣＲＩサービスＣＲＩプラグイン１１４、またはゲスト１２０もしくはそのサブコンポーネント、あるいはその組合せと通信するバンドルを有することができるのに対して、空のバンドル１４８は、ＣＲＩサービスＣＲＩプラグイン１１４からも、ゲスト１２０およびそのサブコンポーネントからも独立していてよい。

ｓｈｉｍ１１６は、エージェント１２２を介して、ゲスト１２０と通信することができる。エージェント１２２は、コンテナ１２４を生成し、本開示に従って格納されることになるコンテンツ・データ１３０と通信することができる。コンテンツ・データ１３０は、たとえば、データ・コンポーネント１３２と、コンテンツ１３４と、メタデータ１３６とを含むことができる。エージェント１２２は、コンテンツ・データ１３０内のコンテンツ１３４と直接通信することができる。コンテンツ・データ１３０は、ゲスト１２０上でバンドル１２６の生成をプロンプトすることができ、バンドル１２６は、エージェント１２２と通信するコンテナ１２４と通信することができる。

いくつかの実施形態において、ユーザは、鍵ペアを生成し、鍵ペアにおける公開鍵を使用して、ｄｏｃｋｅｒイメージ・シークレットを暗号化することができる。ユーザは、暗号化されたイメージ・プル・シークレットをクラスタに格納し、信頼できるイメージ・サービスを使用するようにクラスタを構成することができる。ユーザは、標準的にワークロードを展開することができ、信頼できるイメージ・サービスが、フェイク・コンテナ・イメージ・データをホストに生成し、関連したプル・イメージ要求をメモリにキャッシュすることができる。信頼できるＶＭｓｈｉｍプラグインが、新しいＶＭイメージ・サービスにクエリして、メモリにおける関連したプル・イメージ要求を入手することができる。信頼できるＶＭｓｈｉｍプラグインは、信頼できるＶＭサービスを呼び出して、信頼できるＶＭを生成することができ、いかなるエンティティも信頼できるＶＭに直接アクセスすることができないように、秘密鍵が、信頼できるＶＭに格納され得る。信頼できるＶＭｓｈｉｍプラグインは、プル・イメージ要求を、信頼できるＶＭに転送することができる。信頼できるＶＭにおいて、暗号化されたイメージ・プル・シークレットは、鍵ペアのうちの秘密鍵を使用して復号され得る。コンテナ・イメージ・データは、信頼できるＶＭにプルされてよく、信頼できるＶＭｓｈｉｍプラグインは、プルされたコンテナ・イメージを用いてコンテナを生成することができる。

図２は、本開示のいくつかの実施形態に従ったデータ管理システム２００を表している。データ管理システム２００は、ユーザ２１０からのサブミッションと、クラスタ２２０と、ＶＭプロバイダ２５０と、ポッド信頼実行環境２６０とを含むことができる。

ユーザ２１０からのサブミッションは、鍵ペア２１２と、暗号化された資格情報２１４とを含むことができる。ユーザは、鍵ペア２１２および暗号化された資格情報２１４を、クラスタ２２０にサブミットすることができる。クラスタ２２０は、Ｋｕｂｅｒｎｅｔｅｓ（Ｒ）クラスタ（ｋ８ｓ（Ｒ）クラスタともまた呼ばれてよい）などのオープン・ソース・コンテナ・クラスタ、オープン・シフト・クラスタ、または他のコンテナ・クラスタを含む任意のコンテナ・クラスタであってよい。クラスタ２２０は、暗号化された資格情報２１４を格納し（２２２）、ワーカ・ノード２３０を展開する（２２４）ことができる。

ワーカ・ノード２３０は、ノード・エージェントＣＲＩクライアント２３２と、コンテナ・ランタイム２４０とを含むことができる。ノード・エージェントＣＲＩクライアント２３２は、たとえば、ｋｕｂｅｌｅｔＣＲＩエージェント、または同様のサーバ・プロセスであってよい。コンテナ・ランタイム２４０は、ＣＲＩデータ・サービス拡張２４２と、ＣＲＩデータ・サービス２４４と、ＣＲＩランタイム・サービス２４６と、ｓｈｉｍプラグイン拡張２４８とを含むことができる。ノード・エージェントＣＲＩクライアント２３２は、ＣＲＩデータ・サービス拡張２４２およびＣＲＩランタイム・サービス２４６と通信することができる。

ＣＲＩデータ・サービス拡張２４２は、暗号化された資格情報２１４をキャッシュし、空のコンテナ要求をホストに生成することができる。ｓｈｉｍプラグイン拡張２４８は、生成された空のコンテナ要求を受信することができ、ｓｈｉｍプラグイン拡張２４８はまた、暗号化された資格情報２１４を用いて任意のデータ・プル要求を受信することができる。ｓｈｉｍプラグイン拡張２４８は、ＶＭプロバイダ２５０に接触し、鍵ペア２１２のうちの秘密鍵を使用してワーカ・ノード２３０の外部のデータ管理システム２００にポッド信頼実行環境２６０を生成するように、ＶＭプロバイダ２５０をプロンプトすることができる。ｓｈｉｍプラグイン拡張２４８は、新しく生成されたポッド信頼実行環境２６０と通信することができる。

ポッド信頼実行環境２６０は、エージェント・サービス２７０と、コンテナ・ランタイム２８０とを含むことができる。エージェント・サービス２７０は、データ・ハンドラ２７２と、コンテナ・ハンドラ２７４とを含むことができ、コンテナ・ランタイム２８０は、ＣＲＩデータ・サービス２８２と、ＣＲＩランタイム・サービス２８４とを含むことができる。エージェント・サービス２７０のコンテナ・ハンドラ２７４は、ＣＲＩランタイム・サービス２８４と通信して、復号されたデータを含むデータのストレージのためのコンテナを生成することができる。

ワーカ・ノード２３０におけるｓｈｉｍプラグイン拡張２４８は、ポッド信頼実行環境２６０のエージェント・サービス２７０におけるデータ・ハンドラ２７２と通信することができる。データ・ハンドラ２７２は、暗号化された資格情報２１４を、鍵ペア２１２のうちの秘密鍵で復号することができる。データ・ハンドラ２７２は、ＣＲＩデータ・サービス２８２と通信することができ、この通信は、復号されたデータを、ポッド信頼実行環境２６０内でのセキュアなストレージのためにＣＲＩデータ・サービス２８２に転送することを含む。

図３は、本開示のいくつかの実施形態に従ったデータ管理方法３００を例証している。データ管理方法３００は、データ・プル要求を受信すること（３０２）と、認可情報が既に存在しているかどうかを識別すること（３１０）とを含むことができる。認可情報がまだ存在していない場合、データ・プル要求は、ＣＲＩにサブミットされ得る（３３４）。本開示のいくつかの実施形態に従って、認可情報がまだ存在していない場合、ＣＲＩおよびデータへのアクセスは失敗する（３５０）。

認可情報が存在している場合、データ管理方法３００は、ユーザが秘密鍵を提供しているかどうかを検出すること（３２０）によって続行することができる。秘密鍵が提供されていない場合、データへのアクセスは失敗し（３５０）、正しい秘密鍵が提供されている場合、資格情報（たとえば、ユーザ名とパスワードとの組合せ）を復号すること（３３０）、および提供された資格情報が適切な資格情報であるかどうかを評価することによって、プロセスは続行することができる。資格情報が適正でない場合、データへのアクセスは失敗し（３５０）、資格情報が適正である場合、復号された資格情報を使用してデータ・プル要求を生成すること（３３２）によって、プロセスは続行する。プロセスは、暗号化されたデータへのアクセスを付与するために、データ・プル要求をＣＲＩにサブミットすること（３３４）を含むことができる。

図４は、本開示のいくつかの実施形態に従ったデータ管理方法４００を表している。データ管理方法４００は、鍵ペアを生成すること（４１０）を含むことができる。鍵ペアは、公開鍵と秘密鍵とを含むことができる。データ管理方法４００は、鍵ペアのうちの１つの鍵（たとえば、公開鍵）を使用して、セキュアにされるべきデータを暗号化すること（４１２）を含むことができる。データ管理方法４００は、暗号化されたデータを格納すること（４１４）をさらに含むことができる。

データ管理方法４００は、ワークロードを展開すること（４２０）と、空のバンドルを構築すること（４２２）とを含むことができる。データ管理方法４００は、ポッド信頼実行環境を生成すること（４２４）を含むことができる。

本開示のいくつかの実施形態において、データ管理方法４００は、鍵ペアを生成すること（４１０）と、データ資格情報シークレットを作成するために、データ資格情報を公開鍵で暗号化すること（４１２）を含むことができる。データ管理方法４００は、データ資格情報シークレットをホスト上のクラスタに格納すること（４１４）と、クラスタ上にワークロードを展開すること（４２０）とをさらに含むことができる。データ管理方法４００はまた、ホストに空のバンドルを構築すること（４２２）と、ポッド信頼実行環境を生成すること（４２４）とを含むことができる。

本開示のいくつかの実施形態において、データ管理方法４００は、暗号化されたデータ・プル資格情報を用いてデータ・プル要求をサブミットすることと、復号されたデータを生成するために、ポッド信頼実行環境においてデータ資格情報シークレットを秘密鍵で復号することとを含むことができる。いくつかの実施形態において、データ管理方法４００は、データ・プル要求を、ポッド信頼実行環境にｓｈｉｍを用いて転送することをさらに含むことができる。いくつかの実施形態において、データ管理方法４００は、復号されたデータを、ポッド信頼実行環境内のＣＲＩイメージ・サービスにサブミットすることをさらに含むことができる。

本開示のいくつかの実施形態において、データ管理方法４００は、リアルなコンテナ・バンドルを生成するために、ＣＲＩランタイム・サービスを呼び出すことと、リアルなコンテナ・バンドルを起動することとを含むことができる。いくつかの実施形態において、データ管理方法４００は、リアルなコンテナ・バンドルにおいてデータ資格情報シークレットを復号することを含むことができる。

本開示のいくつかの実施形態において、データ管理方法４００は、コンテナ要求を受信することと、データ資格情報シークレットを用いてプル・データ要求を受信することとを含むことができる。

本開示のいくつかの実施形態において、データ管理方法４００を使用して格納されたデータ資格情報は、イメージ資格情報であってよい。

本開示はクラウド・コンピューティングについての詳細な説明を含むものの、本明細書で列挙された教示の実装形態は、クラウド・コンピューティング環境には限定されないことが理解されることになる。むしろ、本開示の実施形態は、現在知られている、または後に開発される任意の他のタイプのコンピューティング環境と併せて実装される能力がある。

クラウド・コンピューティングは、最小限の管理労力またはサービスのプロバイダとの相互作用で、迅速にプロビジョニングされ、リリースされる、構成可能なコンピューティング・リソース（たとえば、ネットワーク、ネットワーク帯域幅、サーバ、処理、メモリ、ストレージ、アプリケーション、仮想マシン、およびサービス）の共有プールへの、便利でオン・デマンドなネットワーク・アクセスを可能にするためのサービス配信のモデルである。このクラウド・モデルは、少なくとも５つの特性と、少なくとも３つのサービス・モデルと、少なくとも４つの展開モデルとを含むことができる。

特性は、以下の通りである。

オン・デマンドなセルフ・サービス：クラウド・コンシューマは、サーバ時間およびネットワーク・ストレージなどのコンピューティング能力を、必要に応じて、サービスのプロバイダとの人的相互作用を必要とすることなく自動的に、一方向にプロビジョニングすることができる。

広範なネットワーク・アクセス：能力は、ネットワーク上で利用可能であり、異種類のシンまたはシック・クライアント・プラットフォーム（たとえば、モバイル電話、ラップトップ、およびＰＤＡ）による使用を奨励する標準メカニズムを通してアクセスされる。

リソース・プーリング：プロバイダのコンピューティング・リソースは、マルチ・テナント・モデルを使用して多数のコンシューマにサービス提供するためにプールされ、異なる物理リソースおよび仮想リソースが、デマンドに応じて、動的に割り当てられ、かつ再割り当てされる。コンシューマは一般に、提供されたリソースの厳密な分配（portion）についての制御または知識を持たないが、より高レベルの抽象概念での分配（たとえば、国、州、またはデータセンタ）を指定することができてもよいという点において、分配独立性の観念が存在する。

迅速な弾力性：能力は、迅速かつ弾力的に、いくつかのケースでは自動的にプロビジョニングされて素早くスケール・アウトし、迅速にリリースされて素早くスケール・インすることができる。コンシューマにとっては、プロビジョニングするために利用可能であるこの能力が、しばしば、無制限で、いつでもいかなる量でも購入できるように見える。

計測されたサービス：クラウド・システムは、サービスのタイプ（たとえば、ストレージ、処理、帯域幅、およびアクティブなユーザ・アカウント）に適切な抽象化の何らかのレベルで計量能力を活用することによって、リソース使用を自動的に制御し、最適化する。リソース使用量は、モニタされ、制御され、報告されて、利用されるサービスのプロバイダおよびコンシューマの両方に透明性を提供することができる。

サービス・モデルは以下の通りである。

サービスとしてのソフトウェア（ＳａａＳ）：コンシューマに提供される能力は、クラウド・インフラストラクチャ上で稼働するプロバイダのアプリケーションを使用することである。アプリケーションは、ウェブ・ブラウザ（たとえば、ウェブ・ベースの電子メール）などのシン・クライアント・インターフェースを通して、さまざまなクライアント・デバイスからアクセス可能である。コンシューマは、限定されたユーザ固有のアプリケーション構成設定を考え得る例外とすると、ネットワーク、サーバ、オペレーティング・システム、ストレージ、または個々のアプリケーション能力さえも含む、基礎を成すクラウド・インフラストラクチャを管理または制御しない。

サービスとしてのプラットフォーム（ＰａａＳ）：コンシューマに提供される能力は、プロバイダによってサポートされたプログラミング言語およびツールを使用して作成されたコンシューマが作成または取得したアプリケーションを、クラウド・インフラストラクチャ上に展開することである。コンシューマは、ネットワーク、サーバ、オペレーティング・システム、またはストレージを含む、基礎を成すクラウド・インフラストラクチャを管理または制御しないものの、コンシューマは、展開されたアプリケーション、および場合により、アプリケーション・ホスティング環境構成に対する制御を有する。

サービスとしてのインフラストラクチャ（ＩａａＳ）：コンシューマに提供される能力は、オペレーティング・システムおよびアプリケーションを含むことができる任意のソフトウェアをコンシューマが展開し稼働させることができる、処理、ストレージ、ネットワーク、および他の基本的なコンピューティング・リソースをプロビジョニングすることである。コンシューマは、基礎を成すクラウド・インフラストラクチャを管理または制御しないものの、オペレーティング・システム、ストレージ、および展開されたアプリケーションに対する制御を有し、コンシューマは、場合により、選択ネットワーキング・コンポーネント（たとえば、ホストのファイアウォール）の限定された制御を有する。

展開モデルは、以下の通りである。

プライベート・クラウド：クラウド・インフラストラクチャは、ある組織のためだけに運営される。クラウド・インフラストラクチャは、その組織またはサード・パーティによって管理されてよく、オン・プレミスまたはオフ・プレミスに存在することができる。

コミュニティ・クラウド：クラウド・インフラストラクチャは、いくつかの組織によって共有され、関心事（たとえば、ミッション、セキュリティ要件、ポリシ、またはコンプライアンス上の検討事項、あるいはその組合せ）を共有している特定のコミュニティをサポートする。クラウド・インフラストラクチャは、その組織またはサード・パーティによって管理されてよく、オン・プレミスまたはオフ・プレミスに存在することができる。

パブリック・クラウド：クラウド・インフラストラクチャは、一般大衆または大規模な業界グループに利用可能にされ、クラウド・サービスを販売する組織によって所有される。

ハイブリッド・クラウド：クラウド・インフラストラクチャは、２つ以上のクラウド（プライベート、コミュニティ、またはパブリック）の合成であり、このクラウドは、固有のエンティティのままであるものの、データおよびアプリケーションのポータビリティを可能にする標準化技術または独自開発技術（たとえば、クラウド間でロード・バランシングするためのクラウド・バースティング）によって共にバインドされている。

クラウド・コンピューティング環境は、ステートレスであること、低結合性、モジュール性、および意味論的な相互運用性に焦点を合わせたサービス指向である。クラウド・コンピューティングの中核にあるのは、相互接続されたノードのネットワークを含むインフラストラクチャである。

図５は、本開示の実施形態に従ったクラウド・コンピューティング環境５１０を例証している。示されるように、クラウド・コンピューティング環境５１０は、１つまたは複数のクラウド・コンピューティング・ノード５００を含み、たとえば、パーソナル・デジタル・アシスタント（ＰＤＡ）もしくはセルラ電話５００Ａ、デスクトップ・コンピュータ５００Ｂ、ラップトップ・コンピュータ５００Ｃ、または自動車コンピュータ・システム５００Ｎ、あるいはその組合せなどの、クラウド・コンシューマによって使用されるローカル・コンピューティング・デバイスが、ノード５００と通信することができる。ノード５００同士は、互いに通信することができる。ノード５００は、上で説明されたプライベート、コミュニティ、パブリック、またはハイブリッド・クラウド、あるいはその組合せなどの、１つもしくは複数のネットワークにおいて、物理的にまたは仮想的にグループ化（図示せず）されてもよい。

これにより、クラウド・コンシューマがローカル・コンピューティング・デバイス上でリソースを維持することを必要としない、サービスとしての、インフラストラクチャ、プラットフォーム、またはソフトウェア、あるいはその組合せを、クラウド・コンピューティング環境５１０が提案することが可能になる。図５に示されたコンピューティング・デバイス５００Ａ～Ｎのタイプは、例証のみであることが意図されており、コンピューティング・ノード５００およびクラウド・コンピューティング環境５１０は、任意のタイプのネットワーク上で、またはネットワーク・アドレス可能な接続上で、あるいはその両方の上で（たとえば、ウェブ・ブラウザを使用して）、任意のタイプのコンピュータ化されたデバイスと通信することができることが理解される。

図６は、本開示の実施形態に従ってクラウド・コンピューティング環境５１０（図５）によって提供された抽象モデル・レイヤ６００を例証している。図６に示されたコンポーネント、レイヤ、および機能は、例証のみであることが意図され、本開示の実施形態は、それらに限定されないことをあらかじめ理解すべきである。下に表すように、以下のレイヤおよび対応する機能が提供される。

ハードウェアおよびソフトウェア・レイヤ６１５は、ハードウェアおよびソフトウェア・コンポーネントを含む。ハードウェア・コンポーネントの例は、メインフレーム６０２と、ＲＩＳＣ（縮小命令セット・コンピュータ）アーキテクチャ・ベースのサーバ６０４と、サーバ６０６と、ブレード・サーバ６０８と、ストレージ・デバイス６１１と、ネットワークおよびネットワーキング・コンポーネント６１２とを含む。いくつかの実施形態において、ソフトウェア・コンポーネントは、ネットワーク・アプリケーション・サーバ・ソフトウェア６１４と、データベース・ソフトウェア６１６とを含む。

仮想化レイヤ６２０は、仮想エンティティの以下の例、すなわち、仮想サーバ６２２と、仮想ストレージ６２４と、仮想プライベート・ネットワークを含む仮想ネットワーク６２６と、仮想アプリケーションおよびオペレーティング・システム６２８と、仮想クライアント６３０とを、そこから提供することができる抽象レイヤを提供する。

一例において、管理レイヤ６４０は、下で説明される機能を提供することができる。リソース・プロビジョニング６４２は、クラウド・コンピューティング環境内でタスクを実施するために利用されるコンピューティング・リソースおよび他のリソースの動的な調達を提供する。計量および価格設定６４４は、リソースがクラウド・コンピューティング環境内で利用されるときのコスト・トラッキング、ならびにこれらのリソースの消費についての課金またはインボイス作成を提供する。一例において、これらのリソースは、アプリケーション・ソフトウェア・ライセンスを含むことができる。セキュリティは、クラウド・コンシューマおよびタスクについてのアイデンティティ検証、ならびにデータおよび他のリソースのための保護を提供する。ユーザ・ポータル６４６は、クラウド・コンピューティング環境へのアクセスを、コンシューマおよびシステム管理者に提供する。サービス・レベル管理６４８は、求められたサービス・レベルが満たされるように、クラウド・コンピューティングのリソース配分および管理を提供する。サービス・レベル合意書（ＳＬＡ）計画および履行６５０は、ＳＬＡに従って今後の要件が予想されるクラウド・コンピューティング・リソースについての事前手配およびその調達を提供する。

ワークロード・レイヤ６６０は、クラウド・コンピューティング環境がそのために利用される機能性の例を提供する。このレイヤから提供されるワークロードおよび機能の例は、マッピングおよびナビゲーション６６２と、ソフトウェア開発およびライフサイクル管理６６４と、仮想クラスルーム教育配信６６７と、データ解析処理６６８と、トランザクション処理６７０と、クラスタ・データ管理６７２とを含む。

図７は、本開示の実施形態に従って、本明細書で説明される方法、ツール、およびモジュール、ならびに任意の関連機能のうちの１つまたは複数を（たとえば、コンピュータの１つもしくは複数のプロセッサ回路またはコンピュータ・プロセッサを使用して）実装する際に使用される例示的なコンピュータ・システム７０１の高レベル・ブロック図を例証している。いくつかの実施形態において、コンピュータ・システム７０１の主要なコンポーネントは、１つまたは複数の中央処理ユニット（ＣＰＵ）７０２Ａ、７０２Ｂ、７０２Ｃ、および７０２Ｄを含むプロセッサ７０２と、メモリ・サブシステム７０４と、端末インターフェース７１２と、ストレージ・インターフェース７１６と、Ｉ／Ｏ（入力／出力）デバイス・インターフェース７１４と、ネットワーク・インターフェース７１８とを含むことができ、それらのすべては、直接、またはメモリ・バス７０３、Ｉ／Ｏバス７０８、およびＩ／Ｏバス・インターフェース・ユニット７１０を介したコンポーネント間通信の場合は間接的に、通信可能に結合されていてよい。

コンピュータ・システム７０１は、本明細書では総称してＣＰＵ７０２と呼ばれる、１つまたは複数の汎用プログラマブルＣＰＵ７０２Ａ、７０２Ｂ、７０２Ｃ、および７０２Ｄを収容することができる。いくつかの実施形態において、コンピュータ・システム７０１は、比較的大規模なシステムに典型的な多数のプロセッサを収容することができ、しかしながら、他の実施形態において、コンピュータ・システム７０１は、代替として単一ＣＰＵシステムであってもよい。各ＣＰＵ７０２は、メモリ・サブシステム７０４に格納された命令を実行することができ、１つまたは複数のレベルのオン・ボード・キャッシュを含むことができる。

システム・メモリ７０４は、ランダム・アクセス・メモリ（ＲＡＭ）７２２またはキャッシュ・メモリ７２４などの揮発性メモリの形態のコンピュータ・システム可読媒体を含むことができる。コンピュータ・システム７０１は、他のリムーバブル／非リムーバブル、揮発性／不揮発性のコンピュータ・システム・ストレージ媒体をさらに含むことができる。例のみとして、「ハード・ドライブ」などの非リムーバブルな不揮発性の磁気媒体から読み出し、そこに書き込むためのストレージ・システム７２６が提供され得る。示されてはいないが、リムーバブルな不揮発性の磁気ディスク（たとえば、「フロッピ（Ｒ）ディスク」）から読み出し、そこに書き込むための磁気ディスク・ドライブ、または、ＣＤ－ＲＯＭ、ＤＶＤ－ＲＯＭ、もしくは他の光学媒体などのリムーバブルな不揮発性の光学ディスクから読み出すか、そこに書き込むための光学ディスク・ドライブが提供されてもよい。加えて、メモリ７０４は、フラッシュ・メモリ、たとえば、フラッシュ・メモリ・スティック・ドライブまたはフラッシュ・ドライブを含むことができる。メモリ・デバイスは、１つまたは複数のデータ媒体インターフェースによって、メモリ・バス７０３に接続され得る。メモリ７０４は、さまざまな実施形態の機能を遂行するように構成されたプログラム・モジュールのセット（たとえば、少なくとも１つ）を有する少なくとも１つのプログラム製品を含むことができる。

１つまたは複数のプログラム／ユーティリティ７２８は、そのそれぞれがプログラム・モジュール７３０の少なくとも１つのセットを有しており、メモリ７０４に格納され得る。プログラム／ユーティリティ７２８は、ハイパーバイザ（仮想マシン・モニタともまた呼ばれる）と、１つまたは複数のオペレーティング・システムと、１つまたは複数のアプリケーション・プログラムと、他のプログラム・モジュールと、プログラム・データとを含むことができる。オペレーティング・システム、１つまたは複数のアプリケーション・プログラム、他のプログラム・モジュール、およびプログラム・データのそれぞれ、またはそれらの何らかの組合せは、ネットワーキング環境の実装形態を含むことができる。プログラム７２８、またはプログラム・モジュール７３０、あるいはその両方は、一般に、さまざまな実施形態の機能または方法論を実施する。

図７には、メモリ・バス７０３がＣＰＵ７０２とメモリ・サブシステム７０４とＩ／Ｏバス・インターフェース７１０との間に直接通信経路を提供する単一のバス構造として示されているものの、いくつかの実施形態において、メモリ・バス７０３は、多数の異なるバスまたは通信経路を含むことができ、それらが、階層、スター、またはウェブ構成におけるポイント・ツー・ポイントのリンク、多数の階層バス、並列および冗長経路、あるいは任意の他の適切なタイプの構成などの、さまざまな形態のうちのいずれかで配列されてもよい。さらに、Ｉ／Ｏバス・インターフェース７１０およびＩ／Ｏバス７０８は単一のそれぞれのユニットとして示されているものの、いくつかの実施形態において、コンピュータ・システム７０１は、多数のＩ／Ｏバス・インターフェース・ユニット７１０、多数のＩ／Ｏバス７０８、またはその両方を収容してもよい。さらに、種々のＩ／Ｏデバイスに延びるさまざまな通信経路からＩ／Ｏバス７０８を分離する多数のＩ／Ｏインターフェース・ユニット７１０が示されているものの、他の実施形態においては、Ｉ／Ｏデバイスのうちのいくつかまたはすべてが、１つまたは複数のシステムＩ／Ｏバス７０８に直接接続されてもよい。

いくつかの実施形態において、コンピュータ・システム７０１は、直接的なユーザ・インターフェースをほとんどもしくは全く持たず、しかし他のコンピュータ・システム（クライアント）からの要求を受信する、マルチ・ユーザ・メインフレーム・コンピュータ・システム、シングル・ユーザ・システム、サーバ・コンピュータ、または同様のデバイスであってよい。さらに、いくつかの実施形態において、コンピュータ・システム７０１は、デスクトップ・コンピュータ、ポータブル・コンピュータ、ラップトップもしくはノートブック・コンピュータ、タブレット・コンピュータ、ポケット・コンピュータ、電話、スマートフォン、ネットワーク・スイッチもしくはルータ、または任意の他の適切なタイプの電子デバイスとして実装されてもよい。

図７は、例となるコンピュータ・システム７０１の代表的な主要コンポーネントを表すように意図されていることに留意されたい。しかしながら、いくつかの実施形態においては、個々のコンポーネントが、図７に表現されたものよりも複雑であることも、または複雑ではないこともあり、図７に示されたもの以外のコンポーネント、または図７に示されたものに加えたコンポーネントが存在してもよく、そのようなコンポーネントの数、タイプ、および構成は多様であってよい。

本開示は、あらゆる可能な技術的詳細レベルの統合におけるシステム、方法、またはコンピュータ・プログラム製品、あるいはその組合せであってよい。コンピュータ・プログラム製品は、プロセッサに本開示の態様を遂行させるためのコンピュータ可読プログラム命令を有する（１つまたは複数の）コンピュータ可読ストレージ媒体を含むことができる。

コンピュータ可読ストレージ媒体は、命令実行デバイスによる使用のために命令を保有および格納することができる有形のデバイスであってよい。コンピュータ可読ストレージ媒体は、たとえば、電子ストレージ・デバイス、磁気ストレージ・デバイス、光学ストレージ・デバイス、電磁ストレージ・デバイス、半導体ストレージ・デバイス、または上記の任意の好適な組合せであってよいが、それらに限定はされない。コンピュータ可読ストレージ媒体のより具体的な例の非網羅的なリストには、以下、ポータブル・コンピュータ・ディスケット、ハード・ディスク、ランダム・アクセス・メモリ（ＲＡＭ）、読み出し専用メモリ（ＲＯＭ）、消去可能なプログラマブル読み出し専用メモリ（ＥＰＲＯＭまたはフラッシュ・メモリ）、静的ランダム・アクセス・メモリ（ＳＲＡＭ）、ポータブル・コンパクト・ディスク読み出し専用メモリ（ＣＤ－ＲＯＭ）、デジタル・バーサタイル・ディスク（ＤＶＤ）、メモリ・スティック（Ｒ）、フロッピ（Ｒ）・ディスク、命令がその上に記録されたパンチ・カードまたは溝における隆起構造などの機械的にエンコードされたデバイス、および上記の任意の好適な組合せが含まれる。コンピュータ可読ストレージ媒体は、本明細書で使用されるとき、たとえば、電波もしくは他の自由に伝播する電磁波、導波管もしくは他の伝送媒体を通して伝播する電磁波（たとえば、光ファイバ・ケーブルを通過する光パルス）、またはワイヤを通して伝送される電気信号などの、一過性の信号自体であるものと解釈されるべきではない。

本明細書で説明されるコンピュータ可読プログラム命令は、コンピュータ可読ストレージ媒体から、それぞれのコンピューティング／処理デバイスに、あるいは、たとえば、インターネット、ローカル・エリア・ネットワーク、ワイド・エリア・ネットワーク、またはワイヤレス・ネットワーク、あるいはその組合せのネットワークを介して、外部コンピュータまたは外部ストレージ・デバイスに、ダウンロードすることができる。ネットワークは、銅伝送ケーブル、光伝送ファイバ、ワイヤレス伝送、ルータ、ファイアウォール、スイッチ、ゲートウェイ・コンピュータ、またはエッジ・サーバ、あるいはその組合せを含むことができる。各コンピューティング／処理デバイスにおけるネットワーク・アダプタ・カードまたはネットワーク・インターフェースは、ネットワークからコンピュータ可読プログラム命令を受信し、それぞれのコンピューティング／処理デバイス内のコンピュータ可読ストレージ媒体におけるストレージのためにコンピュータ可読プログラム命令を転送する。

本開示の動作を遂行するためのコンピュータ可読プログラム命令は、アセンブラ命令、命令セット・アーキテクチャ（ＩＳＡ）命令、マシン命令、マシン依存命令、マイクロコード、ファームウェア命令、状態設定データ、集積回路のための構成データ、あるいは、Ｓｍａｌｌｔａｌｋ（Ｒ）、Ｃ＋＋、その他などのオブジェクト指向プログラミング言語、および「Ｃ」プログラミング言語または同様のプログラミング言語などの手続き型プログラミング言語を含む、１つもしくは複数のプログラミング言語の任意の組合せで書かれたソース・コードまたはオブジェクト・コードであってよい。コンピュータ可読プログラム命令は、完全にユーザのコンピュータ上で、部分的にユーザのコンピュータ上で、スタンド・アロン・ソフトウェア・パッケージとして、部分的にユーザのコンピュータ上および部分的にリモート・コンピュータ上で、または完全にリモート・コンピュータもしくはサーバ上で実行することができる。後者のシナリオにおいて、リモート・コンピュータは、ローカル・エリア・ネットワーク（ＬＡＮ）もしくはワイド・エリア・ネットワーク（ＷＡＮ）を含む任意のタイプのネットワークを通してユーザのコンピュータに接続されてもよいし、または外部コンピュータへの接続が（たとえば、インターネット・サービス・プロバイダを使用してインターネットを通して）行われてもよい。いくつかの実施形態において、たとえば、プログラマブル・ロジック回路、フィールド・プログラマブル・ゲート・アレイ（ＦＰＧＡ）、またはプログラマブル・ロジック・アレイ（ＰＬＡ）を含む電子回路は、本開示の態様を実施するために、電子回路を個人化するためのコンピュータ可読プログラム命令の状態情報を利用することによって、コンピュータ可読プログラム命令を実行することができる。

本開示の態様は、本開示の実施形態による方法、装置（システム）、およびコンピュータ・プログラム製品の、フローチャート図またはブロック図あるいはその両方を参照して本明細書で説明される。フローチャート図またはブロック図あるいはその両方の各ブロック、およびフローチャート図またはブロック図あるいはその両方におけるブロックの組合せが、コンピュータ可読プログラム命令によって実装されることが理解されるであろう。

これらのコンピュータ可読プログラム命令は、コンピュータまたは他のプログラマブル・データ処理装置のプロセッサを介して実行される命令が、フローチャートまたはブロック図あるいはその両方の１つまたは複数のブロックにおいて指定された機能／動作を実装するための手段を作成するように、コンピュータまたは他のプログラマブル・データ処理装置のプロセッサに提供されて、マシンを生み出すものであってよい。これらのコンピュータ可読プログラム命令はまた、命令がその中に格納されたコンピュータ可読ストレージ媒体が、フローチャートまたはブロック図あるいはその両方の１つまたは複数のブロックにおいて指定された機能／動作の態様を実装する命令を含む製造物品を含むように、コンピュータ可読ストレージ媒体に格納されて、コンピュータ、プログラマブル・データ処理装置、または他のデバイス、あるいはその組合せに、特定のやり方で機能するように指示することができてよい。

コンピュータ可読プログラム命令はまた、コンピュータ、他のプログラマブル装置、または他のデバイス上で実行される命令が、フローチャートまたはブロック図あるいはその両方の１つまたは複数のブロックにおいて指定された機能／動作を実装するように、コンピュータ実装プロセスを生み出すために、コンピュータ、他のプログラマブル・データ処理装置、または他のデバイス上にロードされて、コンピュータ、他のプログラマブル装置、または他のデバイス上で一連の動作ステップを実施させてもよい。

図におけるフローチャートおよびブロック図は、本開示のさまざまな実施形態によるシステム、方法、およびコンピュータ・プログラム製品の考え得る実装形態のアーキテクチャ、機能、および動作を例証している。このことに関して、フローチャートまたはブロック図における各ブロックは、指定された論理的機能を実装するための１つもしくは複数の実行可能な命令を含むモジュール、セグメント、または命令の部分を表現することができる。いくつかの代替実装形態において、ブロックに記された機能は、図に記された順序以外で行われてもよい。たとえば、関与する機能に応じて、連続して示された２つのブロックが、実際には、１つのステップとして実現されてもよいし、部分的もしくは全体的に時間的に重複するやり方で、同時に、実質的に同時に実行されてもよいし、またはそのブロックが時に逆の順序で実行されてもよい。ブロック図またはフローチャート図あるいはその両方の各ブロック、およびブロック図またはフローチャート図あるいはその両方におけるブロックの組合せは、指定された機能もしくは動作を実施する、または特殊目的ハードウェアとコンピュータ命令との組合せを遂行する、特殊目的ハードウェア・ベースのシステムによって実装されてもよいことにもまた留意されるであろう。

本開示が具体的な実施形態に関して説明されてきたが、その変更形態および修正形態は、当業者には明らかになることが予想される。本開示のさまざまな実施形態の説明は、例証の目的で提示されてきたが、網羅的であること、または開示された実施形態に限定されることは意図されていない。説明された実施形態の範囲から逸脱することなく、多くの修正形態および変形形態が当業者には明らかであろう。本明細書で使用される専門用語は、実施形態の原理、実際の適用、または市場で見られる技術に対する技術的改善を最もよく明らかにするために、または本明細書で開示された実施形態を他の当業者が理解するのを可能にするために選ばれたものである。したがって、以下の特許請求の範囲は、本開示の範囲内に入るすべてのそのような変更形態および修正形態を包含するように解釈することが意図されている。

Claims

システムであって、前記システムが、
メモリと、
前記メモリと通信するプロセッサと
を含み、前記プロセッサが動作を実施するように構成されており、
前記動作が、
鍵ペアを生成することと、
データ資格情報シークレットを作成するために、データ資格情報を公開鍵で暗号化することと、
前記データ資格情報シークレットをホスト上のクラスタに格納することと、
前記クラスタ上にワークロードを展開することと、
前記ホストに空のバンドルを構築することと、
ポッド信頼実行環境を生成することと
を含む、システム。
前記動作が、
暗号化されたデータ・プル資格情報を用いてデータ・プル要求をサブミットすることと、
復号されたデータを生成するために、前記ポッド信頼実行環境において前記データ資格情報シークレットを秘密鍵で復号することと
をさらに含む、請求項１に記載のシステム。
前記動作が、
前記データ・プル要求を、前記ポッド信頼実行環境にｓｈｉｍを用いて転送すること
をさらに含む、請求項２に記載のシステム。
前記動作が、
リアルなコンテナ・バンドルを生成するために、ＣＲＩランタイム・サービスを呼び出すことと、
前記リアルなコンテナ・バンドルを起動することと
をさらに含む、請求項１に記載のシステム。
前記動作が、
コンテナ要求を受信することと、
前記データ資格情報シークレットを用いてプル・データ要求を受信することと
をさらに含む、請求項１に記載のシステム。
前記データ資格情報がコンテナ・イメージ資格情報である、請求項１に記載のシステム。
メモリと、前記メモリと通信するプロセッサを含むコンピュータの情報処理による方法であって、前記方法が、
鍵ペアを生成することと、
データ資格情報シークレットを作成するために、データ資格情報を公開鍵で暗号化することと、
前記データ資格情報シークレットをホスト上のクラスタに格納することと、
前記クラスタ上にワークロードを展開することと、
前記ホストに空のバンドルを構築することと、
ポッド信頼実行環境を生成することと
を含む、方法。
暗号化されたデータ・プル資格情報を用いてデータ・プル要求をサブミットすることと、
復号されたデータを生成するために、前記ポッド信頼実行環境において前記データ資格情報シークレットを秘密鍵で復号することと
をさらに含む、請求項７に記載の方法。
前記データ・プル要求を、前記ポッド信頼実行環境にｓｈｉｍを用いて転送すること
をさらに含む、請求項８に記載の方法。
前記復号されたデータを、前記ポッド信頼実行環境内のＣＲＩイメージ・サービスにサブミットすること
をさらに含む、請求項８に記載の方法。
リアルなコンテナ・バンドルを生成するために、ＣＲＩランタイム・サービスを呼び出すことと、
前記リアルなコンテナ・バンドルを起動することと
をさらに含む、請求項７に記載の方法。
前記リアルなコンテナ・バンドルにおいて前記データ資格情報シークレットを復号すること
をさらに含む、請求項１１に記載の方法。
コンテナ要求を受信することと、
前記データ資格情報シークレットを用いてプル・データ要求を受信することと
をさらに含む、請求項７に記載の方法。
前記データ資格情報がコンテナ・イメージ資格情報である、請求項７に記載の方法。
コンピュータ・プログラム製品であって、
前記コンピュータ・プログラム製品が、プログラム命令を具現化したコンピュータ可読ストレージ媒体を含み、
前記プログラム命令が、プロセッサに機能を実施させるように前記プロセッサによって実行可能であり、
前記機能が、
鍵ペアを生成することと、
データ資格情報シークレットを作成するために、データ資格情報を公開鍵で暗号化することと、
前記データ資格情報シークレットをホスト上のクラスタに格納することと、
前記クラスタ上にワークロードを展開することと、
前記ホストに空のバンドルを構築することと、
ポッド信頼実行環境を生成することと
を含む、コンピュータ・プログラム製品。
前記機能が、
暗号化されたデータ・プル資格情報を用いてデータ・プル要求をサブミットすることと、
復号されたデータを生成するために、前記ポッド信頼実行環境において前記データ資格情報シークレットを秘密鍵で復号することと
をさらに含む、請求項１５に記載のコンピュータ・プログラム製品。
前記機能が、
前記データ・プル要求を、前記ポッド信頼実行環境にｓｈｉｍを用いて転送すること
をさらに含む、請求項１６に記載のコンピュータ・プログラム製品。
前記機能が、
リアルなコンテナ・バンドルを生成するために、ＣＲＩランタイム・サービスを呼び出すことと、
前記リアルなコンテナ・バンドルを起動することと
をさらに含む、請求項１５に記載のコンピュータ・プログラム製品。
前記機能が、
コンテナ要求を受信することと、
前記データ資格情報シークレットを用いてプル・データ要求を受信することと
をさらに含む、請求項１５に記載のコンピュータ・プログラム製品。
前記データ資格情報がコンテナ・イメージ資格情報である、請求項１５に記載のコンピュータ・プログラム製品。