JPWO2021004863A5 - - Google Patents

Claims (17)

1. コンテナのセキュリティを管理するためのシステムであって、
   コンピュータ実行可能構成要素を記憶するメモリと、
   前記メモリ内に記憶されたコンピュータ実行可能構成要素を実行するプロセッサと、
   を備え、
   前記コンピュータ実行可能構成要素は、
   コンテナ・メモリへの１つまたは複数のタイプの管理アクセスが非活動化される定義されたセキュアな状態に前記システムをセキュアにブートするために、信頼できるブート・シーケンスの少なくとも一部を実行する、ブート構成要素と、
   前記信頼できるブート・シーケンスの一部として開始され、また、前記コンテナ・メモリと共に使用するために１つまたは複数の復号鍵をセキュアに取得する、コア・サービス構成要素と、
   前記コンテナ・メモリに関連付けられたコンテナのエントリポイント・プロセスまたは前記エントリポイント・プロセスの下位によってアクセスされる１つまたは複数のファイルのランタイム復号を実行するために、前記１つまたは複数の復号鍵を使用する、ランタイム復号構成要素と、
   を備える、システム。
2. 非活動化される前記コンテナ・メモリへの前記１つまたは複数のタイプの管理アクセスは、
   前記信頼できるブート・シーケンスに関連付けられた信頼できるカーネルに関して修正される、修正されたカーネルからのブーティングを介した、前記コンテナ・メモリへの管理アクセス、または、
   前記信頼できるカーネルのカーネル・モジュールに加えて、追加のカーネル・モジュールをロードすることを介した、前記コンテナ・メモリへの管理アクセス、
   のうちの、１つまたは複数を含む、
   請求項１に記載のシステム。
3. 非活動化される前記コンテナ・メモリへの前記１つまたは複数のタイプの管理アクセスは、
   １つまたは複数の仮想メモリ管理デバイスを介した、前記コンテナ・メモリへの管理アクセス、または、
   １つまたは複数のランタイム・デバッギング機能を介した、前記コンテナ・メモリへの管理アクセス、
   のうちの、１つまたは複数を含む、
   請求項１に記載のシステム。
4. 非活動化される前記コンテナ・メモリへの前記１つまたは複数のタイプの管理アクセスは、
   実行プロセスに関連付けられたメモリを閲覧するために前記実行プロセスを一時停止することを介した、前記コンテナ・メモリへの管理アクセス、または、
   カーネル・メモリ・スワップ動作を介した、前記コンテナ・メモリへの管理アクセス、
   のうちの、１つまたは複数を含む、
   請求項１に記載のシステム。
5. 前記信頼できるブート・シーケンスは、前記コア・サービス構成要素を測定すること、および、結果として生じるコア・サービス構成要素測定結果を、信頼できる処理モジュール（ＴＰＭ）プラットフォーム構成レジスタ（ＰＣＲ）に記憶することを含む、請求項１ないし４のいずれかに記載のシステム。
6. 前記コア・サービス構成要素は、信頼できる第三者サービス・デバイスに対する信頼できる処理モジュール（ＴＰＭ）リモート認証を使用して、前記１つまたは複数の復号鍵をセキュアに取得する、請求項１ないし５のいずれかに記載のシステム。
7. 前記ランタイム復号構成要素は、暗号化されていないファイルに対する１つまたは複数の要求をパス・スルーし、前記ランタイム復号構成要素は、プロセス識別子（ＰＩＤ）が前記コンテナの前記エントリポイント・プロセス、または前記エントリポイント・プロセスの下位プロセスに属することを保証するために、暗号化されたファイルを要求する１つまたは複数のプロセスの前記ＰＩＤをチェックする、請求項１ないし６のいずれかに記載のシステム。
8. 前記ランタイム復号構成要素は、前記コンテナをインスタンス化するために暗号化されたコンテナ・イメージを復号するために、前記１つまたは複数の復号鍵を使用する、請求項１ないし６のいずれかに記載のシステム。
9. コンテナのセキュリティを管理するためのコンピュータ実装方法であって、
   プロセッサに動作可能に結合されたブート構成要素によって、コンテナ・メモリへの１つまたは複数のタイプの管理アクセスが非活動化される定義されたセキュアな状態にコンピューティング・システムをセキュアにブートするために、信頼できるブート・シーケンスの少なくとも一部を実行すること、
   前記ブート構成要素によって、前記プロセッサに動作可能に結合されたコア・サービス構成要素を前記信頼できるブート・シーケンスの一部として開始すること、
   前記コア・サービス構成要素によって、前記コンテナ・メモリと共に使用するために１つまたは複数の復号鍵をセキュアに取得すること、および、
   前記プロセッサに動作可能に結合されたランタイム復号構成要素によって、前記コンテナ・メモリに関連付けられたコンテナによってアクセスされる１つまたは複数のファイルのランタイム復号を実行するために、前記１つまたは複数の復号鍵を使用すること、
   を含む、コンピュータ実装方法。
10. 非活動化される前記コンテナ・メモリへの前記１つまたは複数のタイプの管理アクセスは、
    前記信頼できるブート・シーケンスに関連付けられた信頼できるカーネルに関して修正される、修正されたカーネルからのブーティングを介した、前記コンテナ・メモリへの管理アクセス、または、
    前記信頼できるカーネルのカーネル・モジュールに加えて、追加のカーネル・モジュールをロードすることを介した、前記コンテナ・メモリへの管理アクセス、
    のうちの、１つまたは複数を含む、
    請求項９に記載のコンピュータ実装方法。
11. 非活動化される前記コンテナ・メモリへの前記１つまたは複数のタイプの管理アクセスは、
    １つまたは複数の仮想メモリ管理デバイスを介した、前記コンテナ・メモリへの管理アクセス、または、
    １つまたは複数のランタイム・デバッギング機能を介した、前記コンテナ・メモリへの管理アクセス、
    のうちの、１つまたは複数を含む、
    請求項９に記載のコンピュータ実装方法。
12. 非活動化される前記コンテナ・メモリへの前記１つまたは複数のタイプの管理アクセスは、
    実行プロセスに関連付けられたメモリを閲覧するために前記実行プロセスを一時停止することを介した、前記コンテナ・メモリへの管理アクセス、または、
    カーネル・メモリ・スワップ動作を介した、前記コンテナ・メモリへの管理アクセス、
    のうちの、１つまたは複数を含む、
    請求項９に記載のコンピュータ実装方法。
13. 前記信頼できるブート・シーケンスは、前記コア・サービス構成要素を測定すること、および、結果として生じるコア・サービス構成要素測定結果を、信頼できる処理モジュール（ＴＰＭ）プラットフォーム構成レジスタ（ＰＣＲ）に記憶することを含み、また前記１つまたは複数の復号鍵を前記セキュアに取得することは、信頼できる第三者サービス・デバイスに対するＴＰＭリモート認証を採用する、請求項９ないし１２のいずれかに記載のコンピュータ実装方法。
14. 前記プロセッサに動作可能に結合された前記ランタイム復号構成要素によって、前記コンテナ・メモリに関連付けられたコンテナによってアクセスされる１つまたは複数のファイルのランタイム復号を実行するために、前記１つまたは複数の復号鍵を使用することは、
    前記ランタイム復号構成要素によって、暗号化されていないファイルに対する１つまたは複数の要求をパス・スルーすること、および、
    前記ランタイム復号構成要素によって、プロセス識別子（ＰＩＤ）が前記コンテナのエントリポイント・プロセス、または前記エントリポイント・プロセスの下位プロセスに属することを保証するために、暗号化されたファイルを要求する１つまたは複数のプロセスの前記ＰＩＤをチェックすること、
    を含む、請求項９ないし１３のいずれかに記載のコンピュータ実装方法。
15. 前記ランタイム復号構成要素によって、前記コンテナをインスタンス化するために暗号化されたコンテナ・イメージを復号するために、前記１つまたは複数の復号鍵を採用することをさらに含む、請求項９ないし１４のいずれかに記載のコンピュータ実装方法。
16. 前記コンピュータ実装方法は、コンテナ・サーバにおける前記コンテナのインスタンス化およびランタイム中に、前記コンテナ・メモリへの前記１つまたは複数のタイプの管理アクセスから、前記コンテナに関連付けられたデータをセキュアにすることによって、前記コンテナ・サーバにおける前記コンテナのセキュリティを強化する、請求項９ないし１５のいずれかに記載のコンピュータ実装方法。
17. コンピュータ可読媒体上に記憶され、デジタル・コンピュータの内部メモリ内にロード可能な、コンピュータ・プログラムであって、前記プログラムがコンピュータ上で実行されるときに、請求項９ないし１６のいずれかに記載の方法を実行するためのソフトウェア・コード部分を含む、コンピュータ・プログラム。