KR20220088306A - 트러스트 크리덴셜의 자동 에스컬레이션 - Google Patents

트러스트 크리덴셜의 자동 에스컬레이션 Download PDF

Info

Publication number
KR20220088306A
KR20220088306A KR1020210159396A KR20210159396A KR20220088306A KR 20220088306 A KR20220088306 A KR 20220088306A KR 1020210159396 A KR1020210159396 A KR 1020210159396A KR 20210159396 A KR20210159396 A KR 20210159396A KR 20220088306 A KR20220088306 A KR 20220088306A
Authority
KR
South Korea
Prior art keywords
access
security
requestor
access token
edge
Prior art date
Application number
KR1020210159396A
Other languages
English (en)
Inventor
크시티즈 아룬 도시
버나트 프란체스크 구임
카필 수드
타룬 비스와나단
네드 엠 스미스
Original Assignee
인텔 코포레이션
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 인텔 코포레이션 filed Critical 인텔 코포레이션
Publication of KR20220088306A publication Critical patent/KR20220088306A/ko

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0807—Network architectures or network communication protocols for network security for authentication of entities using tickets, e.g. Kerberos
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/31—User authentication
    • G06F21/33—User authentication using certificates
    • G06F21/335—User authentication using certificates for accessing specific resources, e.g. using Kerberos tickets
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06N—COMPUTING ARRANGEMENTS BASED ON SPECIFIC COMPUTATIONAL MODELS
    • G06N20/00—Machine learning
    • G06N7/005—
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06N—COMPUTING ARRANGEMENTS BASED ON SPECIFIC COMPUTATIONAL MODELS
    • G06N7/00—Computing arrangements based on specific mathematical models
    • G06N7/01—Probabilistic graphical models, e.g. probabilistic networks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H04L63/102—Entity profiles
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H04L63/105—Multiple levels of security
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/18—Network architectures or network communication protocols for network security using different networks or channels, e.g. using out of band channels

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • General Engineering & Computer Science (AREA)
  • Computing Systems (AREA)
  • Computer Hardware Design (AREA)
  • Signal Processing (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Theoretical Computer Science (AREA)
  • Physics & Mathematics (AREA)
  • Software Systems (AREA)
  • General Physics & Mathematics (AREA)
  • Mathematical Physics (AREA)
  • Artificial Intelligence (AREA)
  • Evolutionary Computation (AREA)
  • Data Mining & Analysis (AREA)
  • Computer Vision & Pattern Recognition (AREA)
  • Medical Informatics (AREA)
  • Pure & Applied Mathematics (AREA)
  • Algebra (AREA)
  • Mathematical Optimization (AREA)
  • Mathematical Analysis (AREA)
  • Probability & Statistics with Applications (AREA)
  • Computational Mathematics (AREA)
  • Mobile Radio Communication Systems (AREA)

Abstract

본 명세서에는 트러스트 크리덴셜의 자동 에스컬레이션을 위한 시스템 및 기술이 개시된다. 요청자의 워크로드를 설명하는 요청자 데이터가 수신될 수 있다. 에스컬레이션 예측 모델을 사용해서 요청자 데이터를 평가함으로써 트러스트 크리덴셜의 세트가 결정될 수 있다. 트러스트 크리덴셜의 세트로부터 멀티-액세스 토큰이 조합(assemble)될 수 있다. 요청자의 요청을 이행하기 위해 멀티-액세스 토큰이 정보 제공자에게 전송될 수 있다.

Description

트러스트 크리덴셜의 자동 에스컬레이션{AUTOMATIC ESCALATION OF TRUST CREDENTIALS}
본 명세서에 설명된 실시예는 전반적으로 컴퓨터 보안에 관한 것이며, 일부 실시예에서는 보다 구체적으로 트러스트 크리덴셜의 자동 에스컬레이션에 관한 것이다.
일반적인 레벨에서 에지 컴퓨팅이란, 네트워크의 "에지" 또는 "에지"의 집합에 더 가까운 위치에서 컴퓨팅 및 리소스를 구현하고, 조정하며 및 사용하는 것을 나타낸다. 이러한 배치의 목적은 총소유 비용을 개선하며, 애플리케이션 및 네트워크의 지연을 감소시키고, 네트워크 백홀 트래픽 및 관련 에너지 소비를 감소시키며, 서비스 역량을 개선하고, 보안 또는 데이터 프라이버시 요건의 규정 준수를 개선하는 것이다(특히 기존 클라우드 컴퓨팅에 비해서). 에지 컴퓨팅 동작을 수행할 수 있는 구성요소("에지 노드")는, 시스템 아키텍처 또는 애드혹 서비스가 요구하는 모든 위치(예를 들어, 고성능 컴퓨트 데이터 센터 또는 클라우드 설치, 지정된 에지 노드 서버, 기업 서버, 도로변 서버, 통신 중앙 사무실, 차/버스/열차 등과 같은 운송 수단, 에지 서비스를 소비하는 로컬 또는 에지의 피어 장치)에 있을 수 있다.
에지 컴퓨팅에 적합하게 구성된 애플리케이션은 기존 네트워크 기능의 가상화(예를 들어, 통신 또는 인터넷 서비스를 운영하기 위한) 및 차세대 기능과 서비스의 도입(예를 들어, 5G 네트워크 서비스를 지원하기 위한)을 포함하지만, 이것으로 한정되는 것은 아니다. 에지 컴퓨팅을 광범위하게 활용할 것으로 예상되는 용례는, 접속된 자율 주행 자동차, 감시, 사물 인터넷(IoT) 장치 데이터 분석, 비디오 인코딩 및 분석, 위치-인식 서비스, 머신 학습/인공 지능 서비스, 스마트 시티의 장치 장치, 기타 여러 네트워크 및 컴퓨트-집약적인 서비스를 포함한다.
에지 컴퓨팅은 일부 시나리오에서 클라우드와 같은 분산 서비스를 제공하거나 호스팅해서, 많은 타입의 스토리지 및 컴퓨트 리소스들 사이에서의 애플리케이션 및 조정된 서비스 인스턴스의 조율(orchestration) 및 관리를 제공할 수 있다. 엔드포인트 장치, 클라이언트 및 게이트웨이가 네트워크의 에지에 더 가까운 위치에서 예시적인 보안 서비스의 네트워크 기능 서비스 및 네트워크 리소스, 및 애플리케이션에 액세스하려고 시도하기 때문에, 에지 컴퓨팅은 또한 IoT 및 Fog/분산 네트워킹 구성을 위해 개발된 기존 용례 및 기술에 가깝게 통합될 것으로 예상된다.
멀티-테넌트 에지 네트워크는, 장치가 네트워크를 통해 이동함에 따라서 최종 사용자 장치를 따라갈(follow) 수 있는 다양한 리소스에 대한 액세스를 허용한다. 정보는 보안 범주를 나타내는 다양한 보안 계층에 의해 보호될 수 있다. 예를 들어, 한 정보 제공자가 제공한 리소스는 그 네트워크에 등록된 장치가 자유롭게 액세스할 수 있는 반면, 강화된 인증 프로세스를 사용하면 그 네트워크에 등록되지 않은 장치에 대한 액세스를 제공할 수 있다. 주문형 인증 에스컬레이션은 지연을 증가시킬 수 있으므로, 보안 에스컬레이션 과정에서 지연을 감소시키기 위해서 클라이언트를 사전 에스컬레이션하는 것이 바람직할 수 있다.
도면은 반드시 실제 축척으로 된 것은 아니며, 여러 도면에서 같은 참조 번호는 같은 구성요소를 가리킨다. 같은 숫자에 다른 문자 접미사가 있다면 같은 구성요소의 다른 인스턴스를 나타낼 수 있다. 도면에는 본 명세서에 개시된 다양한 실시예가 한정이 아니라 예시로서 도시되어 있다.
도 1은 에지 컴퓨팅을 위한 에지 클라우드 구성의 개요를 도시한다.
도 2는 엔드포인트, 에지 클라우드 및 클라우드 컴퓨팅 환경 사이의 동작 레이어를 도시한다.
도 3은 에지 컴퓨팅 시스템에서의 네트워킹 및 서비스의 예시적인 방식을 도시한다.
도 4는 다수의 에지 노드 및 다수의 테넌트 사이에서 동작되는 에지 컴퓨팅 시스템에서의 가상 에지 구성의 배치를 도시한다.
도 5는 에지 컴퓨팅 시스템에서 컨테이너를 배치하는 다양한 컴퓨트 배열을 도시한다.
도 6은 에지 컴퓨팅 시스템에서 애플리케이션에 대한 모바일 액세스를 포함하는 컴퓨트 및 통신 용례를 도시한다.
도 7a는 에지 컴퓨팅 시스템의 컴퓨트 노드에 배치된 컴퓨트를 위한 예시적인 구성요소의 개요를 제공한다.
도 7b는 에지 컴퓨팅 시스템에서 컴퓨팅 장치 내의 예시적인 구성요소의 추가 개요를 제공한다.
도 8은 일 실시예에 따른, 트러스트 크리덴셜의 자동 에스컬레이션을 위한 시스템 및 환경의 예의 블록도이다.
도 9는 일 실시예에 따른, 트러스트 크리덴셜의 자동 에스컬레이션을 위한 프로세스의 예의 흐름도를 도시한다.
도 10은 일 실시예에 따른, 트러스트 크리덴셜의 자동 에스컬레이션을 위한 방법의 예를 도시한다.
도 1은 에지 컴퓨팅을 위한 구성의 개요를 나타내는 블록도(100)로, 이는 이하의 예에서 "에지 클라우드"라고 지칭되는 처리 레이어를 포함한다. 도시된 바와 같이, 에지 클라우드(110)는 액세스 포인트 또는 기지국(140), 로컬 프로세싱 허브(150), 또는 중앙 오피스(120)와 같은 에지 위치에 함께 위치되며, 따라서 다수의 엔티티, 장치 및 장비 인스턴스를 포함할 수 있다. 에지 클라우드(110)는, 클라우드 데이터 센터(130)보다 엔드포인트(소비자 및 생산자) 데이터 소스(160)(예를 들어, 자율 차량(161), 사용자 장비(162), 비즈니스 및 산업 장비(163), 비디오 캡처 장치(164), 드론(165), 스마트 시티 및 빌딩 장치(166), 센서 및 IoT 장치(167) 등)에 더 가깝게 위치된다. 에지 클라우드(110)의 에지에서 제공되는 컴퓨트, 메모리 및 스토리지 리소스는 엔드포인트 데이터 소스(160)가 사용하는 서비스 및 기능의 초저지연 응답 시간을 제공하는 데 중요할 뿐만 아니라, 에지 클라우드(110)로부터 클라우드 데이터 센터(130)로 향하는 네트워크 백홀 트래픽을 감소시킴으로써, 여러 이점 중에서도 특히 에너지 소비 및 전체 네트워크 사용을 향상시킨다.
컴퓨트, 메모리 및 스토리지는 많지 않은 리소스로, 일반적으로 에지 위치에 따라 감소된다(예를 들어, 기지국에서나 중앙 오피스에서보다 소비자 엔드포인트 장치에서 이용 가능한 처리 리소스가 더 적음). 그러나 에지 위치가 엔드포인트(예를 들어, 사용자 장비(UE))에 가까울수록, 종종 공간과 전력은 더 많이 제한된다. 따라서, 에지 컴퓨팅은 지리적으로 및 네트워크 내 액세스 시간 모두에서 더 가깝게 위치된 리소스를 더 많이 배포함으로써, 네트워크 서비스에 필요한 리소스 수를 감소시키려고 한다. 이러한 방식으로 에지 컴퓨팅은 적절한 경우에 컴퓨트 리소스를 워크로드 데이터로 가져오거나, 워크로드 데이터를 컴퓨트 리소스로 가져오려고 시도한다.
이하에서는, 다수의 잠재적 배치를 커버함과 아울러 일부 네트워크 운영자 또는 서비스 제공자가 자체 인프라에서 가질 수 있는 제한을 해결하는, 에지 클라우드 아키텍처의 측면들을 설명한다. 여기에는 에지 위치에 기초한 다양한 구성(예를 들어 기지국 레벨의 에지가 멀티-테넌트 시나리오에서 더 제한된 성능 및 역량과 기능을 가질 수 있기 때문에); 컴퓨트, 메모리, 스토리지, 패브릭, 가속, 또는 에지 위치, 위치의 티어 또는 위치의 그룹이 사용할 수 있는 이와 유사한 리소스 타입에 기초한 구성; 서비스, 보안, 관리 및 조율 역량; 및 엔드 서비스의 사용성 및 성능을 달성하기 위한 관련 목표가 포함된다. 이러한 배치는 지연, 거리 및 타이밍 특성에 따라서 "부근(near) 에지", "가까운(close) 에지", "로컬 에지", "중간 에지" 또는 "먼 에지" 레이어라고 간주될 수 있는 네트워크 레이어에서 처리를 수행할 수 있다.
에지 컴퓨팅은, 일반적으로 기지국, 게이트웨이, 네트워크 라우터 또는 데이터를 생성하고 소비하는 엔드포인트 장치에 훨씬 더 가까운 기타 장치에서 구현되는 컴퓨트 플랫폼(예를 들어, x86 또는 ARM 컴퓨트 하드웨어 아키텍처)를 사용해서, 네트워크의 "에지"에서 또는 이에 더 가까운 위치에서 컴퓨팅이 수행되는, 개발중인 패러다임이다. 예를 들어, 에지 게이트웨이 서버에는, 접속된 클라이언트 장치에 대한 저지연 용례(예를 들어, 자율 주행 또는 비디오 감시)를 위해 실시간으로 계산을 수행하기 위해 메모리 및 스토리지 리소스의 풀이 장착될 수도 있다. 또는 예를 들어, 더 이상 백홀 네트워크를 통해 데이터를 통신하는 일 없이 접속된 사용자 장비에 대한 서비스 워크로드를 직접 처리하기 위해서, 기지국에 컴퓨트 및 가속 리소스가 추가될 수도 있다. 또는 다른 예로서, 중앙 오피스 네트워크 관리 하드웨어는, 가상화된 네트워크 기능을 수행하고 접속된 장치에 대한 서비스 및 소비자 기능을 실행하기 위한 컴퓨트 리소스를 제공하는 표준화된 컴퓨트 하드웨어로 대체될 수도 있다. 에지 컴퓨팅 네트워크 내에는, 서비스에서 컴퓨트 리소스가 데이터로 "이동"되는 시나리오 및 데이터가 컴퓨트 리소스로 "이동"되는 시나리오가 있을 수 있다. 또는 예를 들어 기지국 컴퓨트, 가속 및 네트워크 리소스는 잠재적인 커패시티(가입, 주문형 커패시티)를 활성화함으로써 필요에 따라 워크로드의 수요에 맞게 크기 조정되되도록 서비스를 제공하여, 코너 케이스(corner cases), 긴급 상황을 관리하거나 훨씬 더 길게 구현된 수명 동안 배포된 리소스에 대해 수명을 제공할 수 있다.
도 2는 엔드포인트, 에지 클라우드 및 클라우드 컴퓨팅 환경 사이의 동작 레이어를 도시한다. 구체적으로, 도 2는 네트워크 컴퓨팅의 다수의 예시적인 레이어들 중에서 에지 클라우드(110)를 사용하는 계산 용례(205)의 예를 도시한다. 레이어는 엔드포인트(장치 및 사물) 레이어(200)에서 시작하고, 여기서 데이터 생성, 분석 및 데이터 소비 활동을 수행하기 위해 에지 클라우드(110)에 액세스한다. 에지 클라우드(110)는, 물리적으로 근접한 에지 시스템에 위치된, 게이트웨이를 가진 에지 장치 층(210), 온프레미스(on-premise) 서버, 또는 네트워크 장비(노드(215))와 같은 다수의 네트워크 층; 기지국, 무선 처리 유닛, 네트워크 허브, 지역 데이터 센터(DC) 또는 로컬 네트워크 장비(장비 225)를 포함하는 네트워크 액세스 레이어(220); 및 임의의 장비, 장치 또는 그 사이에 위치된 노드(상세하게 도시되지 않은 레이어(212)에서)에 걸쳐 있을 수 있다. 에지 클라우드(110) 내에서의 그리고 다양한 레이어들 사이에서의 네트워크 통신은, 도시되지 않은 접속 아키텍처 및 기술을 통한 것을 포함한, 임의의 수의 유선 또는 무선 매체를 통해 존재할 수 있다.
네트워크 통신 거리 및 처리 시간 제약으로 인한 지연의 예는, 엔드포인트 레이어(200) 사이에서 1 밀리초(ms) 미만, 에지 장치 레이어(210)에서 5ms 미만, 심지어 네트워크 액세스 레이어(220)의 노드들과 통신할 때 10ms 내지 40ms 사이의 범위일 수 있다. 에지 클라우드(110) 너머에는 코어 네트워크(230) 및 클라우드 데이터 센터(240) 레이어가 있으며, 이는 각각 지연 시간을 증가시킨다(예를 들어, 코어 네트워크 레이어(230)의 50 내지 60ms 사이에서부터 클라우드 데이터 센터 레이어의 100ms 이상까지). 결과적으로, 지연이 최소 50~100ms 이상인 코어 네트워크 데이터 센터(235) 또는 클라우드 데이터 센터(245)에서의 동작은, 용례(205)에 있어서의 많은 시간-중요 기능은 수행하지 못할 것이다. 이들 지연의 값 각각은 설명 및 대비를 위해 제공되는 것으로, 다른 액세스 네트워크 매체 및 기술을 사용하면 지연을 더욱 줄일 수 있다는 것을 이해할 것이다. 일부 예에서, 네트워크의 각각의 부분들은 네트워크 소스 및 목적지에 대해 "가까운 에지", "로컬 에지", "부근 에지", "중간 에지", 또는 "먼 에지" 레이어들로 분류될 수도 있다. 예를 들어, 코어 네트워크 데이터 센터(235) 또는 클라우드 데이터 센터(245)의 관점에서, 중앙 오피스 또는 컨텐츠 데이터 네트워크는 "부근 에지" 레이어 내에(용례(205)의 장치 및 엔드포인트과 통신할 때 지연 값이 높은, 클라우드 "부근") 위치되는 것으로 간주될 수 있는 반면, 액세스 포인트, 기지국, 온프레미스 서버 또는 네트워크 게이트웨이는 "먼 에지" 레이어(용례(205)의 장치 및 엔드포인트과 통신할 때 지연 값이 낮은, 클라우드로부터 "먼") 내에 있는 것으로 간주될 수 있다. "가까운", "로컬", "부근", "중간" 또는 "먼" 에지를 구성하는 각 네트워크 레이어의 다른 분류 방법은, 지연, 거리, 네트워크 홉의 수, 또는 임의의 네트워크 레이어(200~240)의 소스로부터 측정된 다른 측정 가능한 특성에 기초할 수도 있다.
다양한 용례(205)는, 다수의 서비스가 에지 클라우드를 사용하는 것으로 인해서 발생되는, 입수 스트림의 이용 압박(usage pressure) 하에서 리소스에 액세스할 수 있다. 저 지연의 결과를 달성하기 위해서, 에지 클라우드(110) 내에서 실행되는 서비스는 (a) 우선 순위(처리량 또는 지연) 및 서비스 품질(QoS)(예를 들어, 자율 차량의 트래픽은 응답 시간 요건의 측면에서 온도 센서보다 우선 순위가 높을 수도 있고; 혹은 애플리케이션에 따라서는 컴퓨트/가속기, 메모리, 스토리지 또는 네트워크 리소스에 성능 민감도/병목 현상이 존재할 수도 있음); (b) 신뢰도 및 탄력성(예를 들어, 일부 입력 스트림은 미션-중요 신뢰도(mission-critical reliability)에 따라 동작되고 트랙픽이 라우팅되는 반면, 일부 다른 입력 스트림은 애플리케이션에 따라 간헐적인 오류는 허용할 수도 있음); 및 (c) 물리적 제약(예를 들어, 파워, 냉각 및 폼 팩터)의 관점에서, 다양한 요건의 밸런스를 맞춘다.
이들 용례에 대한 엔드-엔드 서비스 도면은 서비스 흐름의 개념을 포함하고 있으며, 트랜잭션과 연관된 것이다. 이 트랜잭션은, 리소스, 워크로드, 작업 흐름, 그리고 비즈니스 기능 및 비즈니스 레벨 요건에 대한 관련 서비스뿐만 아니라 서비스를 소비하는 엔티티에 대한 전체 서비스 요건을 자세하게 열거한다. 설명되는 "항목"에 따라 실행되는 서비스는, 서비스 수명 동안 트랜잭션에 대한 실시간의 런타임 계약 준수를 보장하는 방식으로 각 레이어에서 관리될 수 있다. 트랜잭션의 구성요소가 SLA에 대한 동의를 누락하고 있는 경우에, 시스템 전체(트랜잭션의 구성요소)는 (1) SLA 위반의 영향을 이해하고, (2) 전체 트랜잭션 SLA를 재개하도록 시스템의 다른 구성요소를 보강하며, (3) 교정하는(remediate) 단계를 구현하는 것을 가능하게 할 수 있다.
따라서, 이러한 변형예 및 서비스 특징들을 염두해서, 에지 클라우드(110) 내의 에지 컴퓨팅은 용례(205)의 다수의 애플리케이션(예를 들어, 개체 추적, 비디오 감시, 접속된 자동차 등)을 실시간 또는 거의 실시간으로 서비스하고 이에 응답하는 능력을 제공할 수 있으며, 이러한 다수의 애플리케이션의 초저 지연 요건을 만족한다. 이러한 이점은, 지연 혹은 다른 제한으로 인해서 기존 클라우드 컴퓨팅은 사용할 수 없는, 완전히 새로운 클래스의 애플리케이션(VNF(Virtual Network Functions), FaaS(Function as a Service), EaaS(Edge as a Service), 표준 프로세스 등)을, 가능하게 한다.
그러나, 에지 컴퓨팅의 장점에는 다음과 같은 주의 사항이 있다. 에지에 위치된 장치는 종종 리소스가 제한되며, 따라서 에지 리소스 사용에서 압박이 있다. 전형적으로, 이러한 문제는 다수의 사용자(테넌트) 및 장치가 사용할 메모리 및 스토리지 리소스 풀링을 통해 해결된다. 에지는 파워 및 냉각이 제한될 수 있으며, 따라서 가장 많은 파워를 소비하는 애플리케이션에서는 파워 사용량이 고려되어야 한다. 풀링된 메모리 리소스의 대부분이 긴급 메모리 기술을 사용하려고 하므로, 이들 풀링된 메모리 리소스에는 고유한 전력-성능에 트레이드오프가 있을 수 있으며, 더 많은 전력을 사용하려면 더 큰 메모리 대역폭이 필요하다. 마찬가지로, 에지 위치는 무인(unmanned)일 수 있고 퍼미션된 액세스가 필요할 수도 있기 때문에(예를 들어, 제3자 위치에 하우징될 때), 하드웨어의 개선된 보안과 신뢰 루트의 신뢰할 수 있는 기능도 요구된다. 이러한 문제는 멀티-테넌트, 멀티-소유자 또는 멀티-액세스 설정의 에지 클라우드(110)에서 확대되며, 여기서 서비스 및 애플리케이션은 특히 네트워크 사용량이 동적으로 변동되고, 여러 이해 당사자, 용례 및 서비스의 조합이 변경된다.
보다 일반적인 레벨에서, 에지 컴퓨팅 시스템은, 클라이언트와 분산 컴퓨팅 장치로부터 조정(coordination)을 제공하는, 에지 클라우드(110)(네트워크 레이어(200~240))에서 동작하는 상술한 레이어들에서의 임의의 수의 배치를 포함하는 것으로 설명될 수 있다. 하나 이상의 에지 게이트웨이 노드, 하나 이상의 에지 집계(aggregation) 노드, 및 하나 이상의 코어 데이터 센터는 통신 서비스 제공자(telecommunication service provider)("telco " 또는 "TSP"), 사물 인터넷 서비스 제공자, 클라우드 서비스 제공자(CSP), 엔터프라이즈 엔티티 또는 기타 여러 엔티티에 의해 혹은 이들을 대신해서, 에지 컴퓨팅 시스템의 구성을 제공하도록 네트워크의 레이어들에 분산될 수 있다. 에지 컴퓨팅 시스템의 다양한 구현 및 구성은, 서비스 목표를 충족하도록 조정될 때와 같이, 동적으로 제공될 수 있다.
본 명세서에서 제공되는 예와 일치하게, 클라이언트 컴퓨트 노드는 데이터의 생산자 또는 소비자로서 통신을 행할 수 있는, 임의의 타입의 엔드포인트 구성요소, 장치, 어플라이언스 또는 기타 사물로 구현될 수 있다. 또한, 에지 컴퓨팅 시스템에서 사용되는 레이블 "노드" 또는 "장치"가 반드시 그러한 노드 또는 장치가 클라이언트 또는 에이전트/미니언(minion)/팔로워 역할로 동작하는 것을 의미하는 것은 아니며; 에지 컴퓨팅 시스템의 임의의 노드 또는 장치는 에지 클라우드(110)를 사용하거나 혹은 이를 용이하게 하는 개별의 혹은 접속된 하드웨어 또는 소프트웨어 구성을 포함하는, 개개의 엔티티, 노드 또는 서브시스템을 지칭한다.
이와 같이, 에지 클라우드(110)는 에지 게이트웨이 노드, 에지 집계 노드, 또는 네트워크 레이어(210~230) 사이의 다른 에지 컴퓨팅 노드에 의해 및 이들 내에서 동작되는 네트워크 구성요소 및 기능적 특징으로 형성된다. 따라서, 에지 클라우드(110)는, 본 명세서에서 설명되는, 무선 액세스 네트워크(RAN) 가능 엔드포인트 장치(예를 들어, 모바일 컴퓨팅 장치, IoT 장치, 스마트 장치 등)에 근접해서 위치된 에지 컴퓨팅 및/또는 스토리지 리소스를 제공하는 임의의 타입의 네트워크로서 구현될 수 있다. 환언하면, 에지 클라우드(110)는, 스토리지 및/또는 컴퓨트 기능도 제공하면서, 모바일 캐리어 네트워크(예를 들어, GSM(Global System for Mobile Communications) 네트워크, LTE(Long-Term Evolution) 네트워크, 5G/6G 네트워크 등)를 포함하는, 서비스 프로바이더 코어 네트워크로의 진입점 역할을 하는 기존 네트워크 액세스 포인트와 엔드포인트 장치를 접속시키는 "에지"라고 상정될 수 있다. 다른 타입 및 형태의 네트워크 액세스(예를 들어, Wi-Fi, 장거리 무선, 광 네트워크를 포함하는 유선 네트워크)도, 이러한 3GPP 캐리어 네트워크 대신에 또는 이러한 3GPP 캐리어 네트워크와 조합해서 사용될 수 있다.
에지 클라우드(110)의 네트워크 구성요소는 서버, 멀티-테넌트 서버, 어플라이언스 컴퓨팅 장치, 및/또는 임의의 다른 타입의 컴퓨팅 장치일 수 있다. 예를 들어, 에지 클라우드(110)는 하우징, 섀시, 케이스 또는 쉘을 포함하는 자급식 전자 장치인 가전 컴퓨팅 장치를 포함할 수 있다. 일부 상황에서, 하우징은 사람이 운반하고 및/또는 운송되는 것이 가능하게 휴대성을 갖도록 치수가 정해질 수도 있다. 예시적인 하우징은 어플라이언스의 컨텐츠를 부분적으로 또는 완전히 보호하는 하나 이상의 외부 표면을 형성하는 재료를 포함할 수 있으며, 여기서 보호는 날씨 보호, 위험한 환경 보호(예를 들어, EMI, 진동, 극한 온도) 및/또는 방수성을 포함할 수 있다. 예시적인 하우징은 AC 전력 입력, DC 전력 입력, AC/DC 또는 DC/AC 컨버터(들), 전력 조절기, 변압기, 충전 회로, 배터리, 유선 입력 및/또는 무선 전력 입력과 같은, 고정식 및/또는 휴대형 구현예에 전력을 제공하는 전력 회로를 포함할 수 있다. 예시적인 하우징 및/또는 그 표면은, 건물, 원격 통신 구조물(예를 들어, 기둥, 안테나 구조물 등) 및/또는 랙(예를 들어, 서버 랙, 블레이드 마운트, 등)과 같은 구조에의 부착을 가능하게 하는 탑재 하드웨어를 포함할 수도 있고 혹은 이에 접속될 수도 있다. 예시적인 하우징 및/또는 그 표면은 하나 이상의 센서(예를 들어, 온도 센서, 진동 센서, 광 센서, 음향 센서, 용량성 센서, 근접 센서 등)를 지지할 수 있다. 하나 이상의 이러한 센서는 플라이언스의 표면에 포함되거나, 운반되거나, 혹은 표면에 내장되거나 및/또는 플라이언스의 표면에 장착될 수 있다. 예시적인 하우징 및/또는 그 표면은 추진 하드웨어(예를 들어, 바퀴, 프로펠러 등) 및/또는 관절 하드웨어(예를 들어, 로봇 팔, 회전 가능한 부속 장치 등)와 같은 기계적인 접속을 지원할 수 있다. 일부 상황에서, 센서는 사용자 인터페이스 하드웨어(예를 들어, 버튼, 스위치, 다이얼, 슬라이더 등)와 같은 임의의 타입의 입력 장치를 포함할 수 있다. 일부 상황에서, 예시적인 하우징은 출력 장치를 내부에 포함하거나, 이를 운반하거나, 내부에 내장하거나 및/또는 여기게 부착한다. 출력 장치는 디스플레이, 터치스크린, 조명, LED, 스피커, I/O 포트(예를 들어, USB) 등을 포함할 수 있다. 일부 상황에서, 에지 장치는 특정한 목적(예를 들어, 신호등)으로 네트워크에 있는 장치이지만, 그러나 다른 목적으로 사용될 수 있는 처리 및/또는 기타 커패시티가 있을 수 있다. 이러한 에지 장치는 다른 네트워크 장치와는 독립된 것일 수도 있으며, 주요 목적에 적합하지만 주요한 태스크를 방해하지 않는 다른 컴퓨트 태스크에 사용할 수도 있는 폼 팩터를 가진 하우징이 제공될 수 있다. 에지 장치는 사물 인터넷 장치를 포함한다. 어플라이언스 컴퓨팅 장치는 장치 온도, 진동, 리소스 활용, 업데이트, 전력 문제, 물리적 및 네트워크 보안 등과 같은 로컬 문제를 관리하기 위한, 하드웨어 및 소프트웨어 구성요소를 포함할 수 있다. 어플라이언스 컴퓨팅 장치를 구현하기 위한 예시적인 하드웨어는 도 7b과 함께 설명된다. 에지 클라우드(110)는 또한 하나 이상의 서버 및/또는 하나 이상의 멀티 테넌트 서버를 포함할 수 있다. 이러한 서버는 운영 체제 및 가상 컴퓨팅 환경을 포함할 수 있다. 가상 컴퓨팅 환경은 하나 이상의 가상 머신, 하나 이상의 컨테이너 등을 관리(생성, 배포, 파괴 등)하는 하이퍼바이저를 포함할 수 있다. 이러한 가상 컴퓨팅 환경은 하나 이상의 애플리케이션 및/또는 기타 소프트웨어, 코드 또는 스크립트가 하나 이상의 다른 애플리케이션, 소프트웨어, 코드 또는 스크립트로부터 격리된 상태에서 실행될 수 있는 실행 환경을 제공한다.
도 3에서, 다양한 클라이언트 엔드포인트(310)(모바일 장치, 컴퓨터, 자율 차량, 비즈니스 컴퓨팅 장비, 산업용 처리 장비의 형태의)는 엔드포인트 네트워크 집계의 타입에 특정한 요청 및 응답을 교환한다. 예를 들어, 클라이언트 엔드포인트(310)는 온프레미스 네트워크 시스템(332)을 통해 요청 및 응답(322)을 교환함으로써, 유선 광대역 네트워크를 통해 네트워크 액세스를 획득할 수 있다. 모바일 컴퓨팅 장치와 같은 일부 클라이언트 엔드포인트(310)는 액세스 포인트(예를 들어, 셀룰러 네트워크 타워)(334)를 통해 요청 및 응답(324)을 교환함으로써 무선 광대역 네트워크를 통해 네트워크 액세스를 획득할 수 있다. 자율 차량과 같은 일부 클라이언트 엔드포인트(310)는 거리에 위치된 네트워크 시스템(336)을 지나는 무선 차량 네트워크를 통해서 요청 및 응답(326)에 대한 네트워크 액세스를 획득할 수 있다. 그러나, 네트워크 액세스의 타입에 관계없이, TSP는 트래픽 및 요청을 집계하기 위해 에지 클라우드(110) 내에 집계 포인트(342, 344)를 배치할 수 있다. 따라서, 에지 클라우드(110) 내에서, TSP는 요청된 컨텐츠를 제공하기 위해, 에지 집계 노드(340)에서와 같은, 다양한 컴퓨트 및 스토리지 리소스를 배치할 수 있다. 에지 클라우드(110)의 에지 집계 노드(340) 및 다른 시스템은, 백홀 네트워크(350)를 사용해서 웹사이트, 애플리케이션, 데이터베이스 서버 등에 대한 클라우드/데이터 센터로부터의 긴 지연의 요청을 수행하는, 클라우드 또는 데이터 센터(360)에 접속된다. 단일 서버 프레임워크 상에 배치되는 것을 포함한, 에지 집계 노드(340) 및 집계 포인트(342, 344)의 추가 인스턴스 또는 통합된 인스턴스는 또한, 에지 클라우드(110) 또는 TSP 인프라의 다른 영역 내에 존재할 수 있다.
도 4는 다수의 에지 노드 및 다수의 테넌트 사이에서 동작되는 에지 컴퓨팅 시스템에 걸친 가상 에지 구성을 위한 배치 및 조율을 도시한다. 구체적으로, 도 4는, 다양한 가상 에지 인스턴스에 액세스하는 다양한 클라이언트 엔드포인트(410)(예를 들어, 스마트 시티/빌딩 시스템, 모바일 장치, 컴퓨팅 장치, 비즈니스/물류 시스템, 산업 시스템 등)의 요청 및 응답을 수행하도록, 에지 컴퓨팅 시스템(400)의 제 1 에지 노드(422) 및 제 2 에지 노드(424)를 조정하는 것을 나타낸다. 여기에서, 가상 에지 인스턴스(432, 434)는 웹사이트, 애플리케이션, 데이터베이스 서버 등에 대한 긴 지연의 요청을 위해 클라우드/데이터 센터(440)에 액세스해서, 에지 클라우드에서 에지 컴퓨트 기능 및 처리를 제공한다. 그러나, 에지 클라우드는 다수의 테넌트 또는 엔티티에 대한 다수의 에지 노드 사이의 처리의 조정을 가능하게 한다.
도 4의 예에서, 이들 가상 에지 인스턴스는, 에지 스토리지, 컴퓨팅 및 서비스의 제 1 조합을 제공하는 제 1 테넌트(테넌트 1)에게 제공되는 제 1 가상 에지(432); 및 에지 스토리지, 컴퓨팅 및 서비스의 제 2 조합을 제공하는 제 2 가상 에지(434)를 포함한다. 가상 에지 인스턴스(432, 434)는 에지 노드(422, 424)에 분산되며, 동일한 에지 노드로부터 혹은 상이한 에지 노드로부터 요청 및 응답이 수행되는 시나리오를 포함할 수 있다. 분산되어 있지만 조정되는 방식으로 동작하도록 에지 노드(422, 424)를 구성하는 것은 에지 프로비저닝 기능(450)에 기초해서 일어난다. 다수의 테넌트 사이에 애플리케이션 및 서비스의 조정된 동작을 제공하는 에지 노드(422, 424)의 기능은 조율 기능(460)에 기초해서 일어난다.
다양한 클라이언트 엔드포인트(410)의 장치들 중 일부는, 테넌트 1은 테넌트 1 '슬라이스' 내에서 기능할 수 있는 반면 테넌트 2는 테넌트 2 슬라이스 내에서 기능할 수 있는, 멀티-테넌트 장치라는 것을 이해해야 한다(그리고, 다른 예에서는, 추가 테넌트 또는 하위 테넌트가 존재할 수 있으며; 각 테넌트는 심지어 특별하게 권한을 부여받아서(specifically entitled) 특정한 하드웨어 특성에 대해 항상 특정한 특성의 세트에 트랜잭션 가능하게 결부될 수 있다). 신뢰할 수 있는 멀티-테넌트 장치는 테넌트-특정 암호화 키를 더 포함해서, 키와 슬라이스의 조합이 "RoT(root of trust)"로 또는 테넌트-특정 RoT로 간주될 수도 있다. RoT는 또한 DICE(Device Identity Composition Engine) 아키텍처를 사용해서 동적으로 구성될 수 있으며, 이로써 (FPGA(Field Programmable Gate Array)와 같이) 장치 역량의 레이어화를 위한 레이어화된 신뢰되는 컴퓨팅 기반 컨텍스트를 구성하는데 단일 DICE 하드웨어 빌딩 블록이 사용될 수 있다. RoT는, 멀티-테넌시(tenancy)를 지원하는 데 유용한 "팬-아웃(fan-out)"을 인에이블하기 위해서, 신뢰되는 컴퓨팅 컨텍스트에 추가로 사용될 수 있다. 멀티-테넌트 환경 내에서, 각각의 에지 노드(422, 424)는 노드당 멀티-테넌트에 할당된 로컬 리소스에 대한 보안 특성 시행 지점으로서 동작할 수 있다. 나아가, 테넌트 런타임 및 애플리케이션 실행(예를 들어, 인스턴스(432, 434)에서)은, 다수의 물리적 호스팅 플랫폼들에 잠재적으로 걸쳐 있는 리소스들의 가상 에지 추상화를 생성하는 보안 특성의 시행점의 역할을 할 수 있다. 마지막으로, 조율(orchestration) 엔티티의 조율 기능(460)은 테넌트 경계를 따라서 리소스를 마샬링하기 위한 보안 특성 시행점으로서 동작할 수 있다.
에지 컴퓨팅 노드는 리소스(메모리, 중앙 처리 장치(CPU), 그래픽 처리 장치(GPU), 인터럽트 컨트롤러, 입/출력(I/O) 컨트롤러, 메모리 컨트롤러, 버스 컨트롤러 등)를 파티셔닝할 수 있는데, 여기서 파티셔닝은 RoT 역량을 포함할 수 있고, DICE 모델에 따른 팬-아웃 및 레이어화가 에지 노드에 추가로 적용될 수 있다. 컨테이너, FaaS 엔진, 서블릿(Servlet), 서버 또는 기타 계산 추상화로 구성된 클라우드 컴퓨팅 노드는, 각각에 대한 RoT 컨텍스트를 지원하기 위해 DICE 레이어화 및 팬-아웃 구조에 따라 파티셔닝될 수 있다. 따라서, 장치(410, 422, 440)에 걸쳐 있는 각각의 RoT는, 모든 요소를 종단 간에 연결하는 테넌트-특정 가상 신뢰되는 보안 채널이 성립될 수 있도록, DTCB(distributed trusted computing base)의 성립을 조정할 수 있다.
또한, 컨테이너가 이전 에지 노드로부터 자신의 컨텐츠를 보호하는 데이터 또는 워크로드-특정 키를 가질 수 있다는 것을 이해할 것이다. 컨테이너의 마이그레이션의 일부로서, 소스 에지 노드의 포드(pod) 컨트롤러는 타깃 에지 노드 포드 컨트롤러로부터 마이그레이션 키를 획득할 수 있으며, 여기서 마이그레이션 키는 컨테이너-특정 키를 래핑(wrap)하는 데 사용된다. 컨테이너/포드가 타깃 에지 노드로 마이그레이션되면, 언래핑 키는 포드 컨트롤러에 노출되어서 래핑된 키를 해독한다. 여기서 키는 컨테이너 특정 데이터에 대한 동작을 수행하는데 사용될 수 있다. 마이그레이션 기능은 적절하게 증명된 에지 노드 및 포드 관리자에 의해 게이팅될(gated) 수 있다(상기 설명한 바와 같이).
추가 예에서, 에지 컴퓨팅 시스템은, 멀티-소유자, 멀티-테넌트 환경에서 컨테이너(코드 및 필요한 종속성을 제공하는 소프트웨어의, 포함되는 배포 가능한 유닛)을 사용해서, 다수의 애플리케이션의 조율을 제공하도록 확장된다. 멀티-테넌트 조율기는, 키 관리, 신뢰 앵커 관리 및 도 4의 신뢰되는 '슬라이스' 개념의 프로비저닝 및 수명과 관련된 기타 보안 기능을 수행하는 데도 사용될 수 있다. 예를 들어, 에지 컴퓨팅 시스템은, 다수의 가상 에지 인스턴스로부터의(및 클라우드 또는 원격 데이터 센터로부터의) 다양한 클라이언트 엔드포인트에 대한 요청 및 응답을 수행하도록 구성될 수 있다. 이와 같이 가상 에지 인스턴스를 사용하면, 다수의 테넌트 및 다수의 애플리케이션(예를 들어, 증강 현실(AR)/가상 현실(VR), 엔터프라이즈 애플리케이션, 컨텐츠 전달, 게임, 컴퓨트 오프로드)을 동시에 지원할 수 있다. 또한, 가상 에지 인스턴스 내에 다수의 타입의 애플리케이션(예를 들어, 일반 애플리케이션, 지연에 민감한 애플리케이션, 지연이 중요한 애플리케이션, 사용자 평면 애플리케이션, 네트워킹 애플리케이션 등)이 있을 수 있다. 가상 에지 인스턴스는 또한 서로 다른 지리적 위치(또는 다수의 소유자가 공동 소유하거나 공동 관리하는 각 컴퓨팅 시스템 및 리소스)에 있는 다수 소유자의 시스템에 걸쳐 있을 수도 있다.
예를 들어, 각각의 에지 노드(422, 424)는 하나 이상의 컨테이너의 그룹을 제공하는 컨테이너 "포드"(426, 428)의 사용과 같이, 컨테이너의 사용을 구현할 수 있다. 하나 이상의 컨테이너 포드를 사용하는 설정에서, 포드 컨트롤러 또는 조율기는 포드에 있는 컨테이너의 로컬 제어 및 조율을 담당한다. 432, 434의 각 에지 슬라이스에 제공되는 다양한 에지 노드 리소스(예를 들어, 육각형으로 표시된 스토리지, 컴퓨트, 서비스)는 각 컨테이너의 필요에 따라, 파티셔닝된다.
컨테이너 포드를 사용하면, 포드 컨트롤러는 컨테이너 및 리소스의 파티셔닝 및 할당을 감독한다. 포드 컨트롤러는 SLA 계약에 기초해서, KPI(key performance indicator) 타깃을 수신하는 것과 같이, 물리적 리소스를 가장 잘 파티셔닝하는 방법과 기간에 대해서 컨트롤러에 지시하는 조율기(예를 들어, 조율기(460))로부터 명령어를 수신한다. 포드 컨트롤러는 어떤 컨테이너가 어떤 리소스를 필요로 하고 워크로드를 완료해서 SLA를 만족하기 위해서 얼마나 걸릴지 결정한다. 포드 컨트롤러는 또한, 컨테이너 생성, 리소스 및 애플리케이션에 프로비저닝, 분산 애플리케이션에서 함께 동작하는 다수의 컨테이너 사이의 중간 결과 조정, 워크로드 완료 시 컨테이너 해체(dismantling) 등과 같은, 컨테이너 수명 동작을 관리한다. 나아가, 포드 컨트롤러는, 정확한 테넌트가 증명(attestation) 결과가 만족될 때까지 컨테이너에 데이터 또는 워크로드를 프로비저닝하는 것을 인증하거나 혹은 방지할 때까지 리소스의 할당을 방지하는 보안 역할을 할 수 있다.
컨테이너 포드를 사용하면 또한, 테넌트 경계가 여전히 존재할 수 있지만 컨테이너의 각 포드와 관련해서 존재할 수 있다. 각각의 테넌트-특정 포드가 테넌트-특정 포드 컨트롤러를 갖는 경우, 일반적인 리소스 고갈 상황을 방지하기 위해서 리소스 할당 요청을 통합하는 공유 포드 컨트롤러가 있을 것이다. 또한, 포드 및 포드 컨트롤러의 증명 및 신뢰를 보장하기 위해 추가 제어가 제공될 수도 있다. 예를 들어, 조율기(460)는 증명 검증을 수행하는 로컬 포드 컨트롤러에 증명 검증 정책을 프로비저닝할 수 있다. 증명이 제 1 테넌트 포드 컨트롤러에 대한 정책은 만족하지만 제 2 테넌트 포드 컨트롤러에 대한 정책은 만족하지 않는 경우, 제 2 포드는 이를 만족하는 다른 에지 노드로 마이그레이션될 수도 있다. 다른 방안으로, 제 1 포드가 실행되도록 허용될 수도 있고, 다른 공유 포드 컨트롤러가 설치되어서 제 2 포드가 실행되기 전에 호출될 수도 있다.
도 5는 에지 컴퓨팅 시스템에서 컨테이너를 배치하는 추가적인 컴퓨트 배열을 도시한다. 간략한 예로서, 시스템 배열(510, 520)은 포드 컨트롤러(예를 들어, 컨테이너 관리자(511, 521) 및 컨테이너 조율기(531))가 컴퓨트 노드(배열(510) 중 515)를 통해 실행함으로써 컨테이너화된 포드, 기능 및 FaaS(Function as a Service) 인스턴스를 런치(launch)하고, 컴퓨트 노드(배열(520) 중 523)를 통해 실행함으로써 컨테이너화된 가상화 네트워크 기능을 개별적으로 실행하도록 구성되는, 세팅을 나타낸다. 이러한 배열은 시스템 배열(530)(컴퓨트 노드(537)의 사용)에서 멀티 테넌트의 사용에 적합하며, 여기서 컨테이너화된 포드(예를 들어, 포드(512)), 기능(예를 들어, 기능(513), VNF(522, 536)) 및 FaaS(Function as a Service) 인스턴스(예를 들어, FaaS 인스턴스(514))는 (가상화된 네트워크 기능의 실행을 제외하고) 각 테넌트에 특정한 가상 머신(예를 들어, 테넌트(532, 533)에 대한 VM(534, 535)) 내에서 런칭된다. 이러한 배열은 시스템 배열(540)에서 사용하도록 더 구성되며, 시스템 배열(540)은 컨테이너-기반 조율 시스템(541)에 의해 조정되는 바와 같이, 컨테이너(542, 543), 또는 컴퓨트 노드(544) 상의 다양한 기능, 애플리케이션 및 기능의 실행을 제공한다.
도 5에 도시된 시스템 배열은, VM, 컨테이너, 및 기능(및 그 결과적인 애플리케이션은 이들 3가지 요소(ingredients)의 조합이다)을 애플리케이션 구성의 관점에서 동등하게 취급하는 아키텍처를 제공한다. 각 요소는 로컬한 후단부(local backend)로 하나 이상의 가속기(FPGA, ASIC) 구성요소의 사용을 포함할 수 있다. 이러한 방식으로, 애플리케이션은 조율기에 의해 조정되는 다수의 에지 소유자에게 분할될 수 있다.
도 5와 관련해서, 포드 컨트롤러/컨테이너 관리자, 컨테이너 조율기, 및 개별 노드는 보안 시행점을 제공할 수 있다. 그러나, 테넌트에 할당된 리소스가 제 2 테넌트에 할당된 리소스와 다른 경우에 테넌트 격리가 조율될 수 있지만, 에지 소유자는 리소스 할당이 테넌트 경계를 넘어 공유되지 않도록 함께 동작한다. 또는 테넌트가 구독 또는 트랜잭션/계약을 통해 "사용"을 허용할 수 있으므로, 리소스 할당이 테넌트 경계를 넘어 분리될 수 있다. 이러한 측면에서, 에지 소유자는 테넌시를 시행하기 위해 가상화, 컨테이너화, 엔클레이브 및 하드웨어 파티셔닝 방식을 사용할 수 있다. 다른 분리 환경은 나금속(bare metal)(전용) 장비, 가상 머신, 컨테이너, 컨테이너의 가상 머신 또는 이들의 조합을 포함할 수 있다.
추가 예에서, 소프트웨어-정의 또는 제어되는 실리콘 하드웨어, 및 다른 구성 가능한 하드웨어의 측면들은, 에지 컴퓨팅 시스템의 애플리케이션, 기능 및 서비스와 통합될 수도 있다. 소프트웨어-정의 실리콘은, 일부 리소스 또는 하드웨어 요소 자체의 일부 또는 워크로드를 교정하는(remediate) 요소의 능력에 기초해서(예를 들어, 하드웨어 구성 자체 내의 새로운 기능의 업그레이드, 재구성 또는 프로비저닝에 의해), 일부 리소스 또는 하드웨어 요소가 계약 또는 서비스 레벨 협의를 이행하는 능력을 보장하는데 사용될 수 있다.
본 명세서에서 설명되는 에지 컴퓨팅 시스템 및 배열은 다양한 솔루션, 서비스 및/또는 이동성을 포함하는 용례에 적용될 수 있다는 것을 이해해야 한다. 예를 들어, 도 6은 에지 클라우드(110)를 구현하는 에지 컴퓨팅 시스템(600)의 애플리케이션에 대한 모바일 액세스를 포함하는, 차량 컴퓨트 및 통신 용례를 개략적으로 나타낸다. 이 용례에서, 각각의 클라이언트 컴퓨트 노드(610)는, 도로를 횡단하는 동안 에지 게이트웨이 노드(620)와 통신하는 대응하는 차량에 위치된 차량 내 컴퓨트 시스템(예를 들어, 차량 내 내비게이션 및/또는 인포테인먼트 시스템)으로서 구현될 수 있다. 예를 들어, 에지 게이트웨이 노드(620)는, 도로를 따라, 도로의 교차점에, 또는 도로 근처의 다른 위치에 배치될 수 있는, 다른 별도의 기계적 유틸리티를 가진 구조에 내장된 도로변 캐비닛 또는 다른 인클로저에 위치될 수 있다. 각각의 차량이 도로를 횡단함에 따라서, 클라이언트 컴퓨트 노드(610)와 특정 에지 게이트웨이 장치(620) 사이의 접속은 클라이언트 컴퓨트 노드(610)에 대한 일관된 접속 및 컨텍스트를 유지하기 위해 전파될 수 있다. 마찬가지로, 모바일 에지 노드는 높은 우선 순위 서비스로 집계될 수도 있고, 혹은 기본 서비스(들)(예를 들어, 드론의 경우에)에 대한 처리량 또는 지연 해결 요건에 따라 집계될 수도 있다. 각각의 에지 게이트웨이 노드(620)는, 일정 정도의 처리 및 스토리지 역량을 포함하고, 따라서 클라이언트 컴퓨트 노드(610)에 대한 데이터의 일부 처리 및/또는 스토리지는 에지 게이트웨이 노드(620) 중 하나 이상에서 수행될 수도 있다.
에지 게이트웨이 노드(620)는, 통신 기지국(642)(예를 들어, 셀룰러 네트워크의 기지국)에 위치하는 컴퓨트 서버, 어플라이언스, 또는 구성요소로서 예시적으로 구현되는, 하나 이상의 에지 리소스 노드(640)와 통신할 수 있다. 위에서 설명된 바와 같이, 각각의 에지 리소스 노드(640)는 일정 정도의 처리 및 스토리지 역량을 포함하고, 따라서, 클라이언트 컴퓨트 노드(610)에 대한 데이터의 일부 처리 및/또는 스토리지가 에지 리소스 노드(640)에서 수행될 수 있다. 예를 들어, 덜 긴급하거나 덜 중요한 데이터의 처리는 에지 리소스 노드(640)에 의해 수행될 수 있는 반면, 더 긴급하거나 더 중요한 데이터 처리는 에지 게이트웨이 노드(620)에 의해 수행될 수 있다(예를 들어, 각 구성요소의 역량 또는 긴급성 또는 중요도를 나타내는 요청의 정보에 따라서). 데이터 액세스, 데이터 위치 또는 지연에 기초해서, 처리 활동 동안에 처리 우선 순위가 변경될 때 에지 리소스 노드에서 작업이 계속될 수 있다. 마찬가지로, 구성 가능한 시스템 또는 하드웨어 리소스 자체가 새로운 수요를 충족하기 위한 추가 리소스를 제공(예를 들어, 컴퓨트 리소스를 워크로드 데이터에 적용)하도록 (예를 들어, 로컬 조율기를 통해서) 가동될 수 있다.
에지 리소스 노드(들)(640)는 또한 중앙 위치(예를 들어, 셀룰러 통신 네트워크의 중앙 오피스)에 위치된 컴퓨트 서버, 어플라이언스, 및/또는 다른 구성요소를 포함할 수 있는, 코어 데이터 센터(650)와 통신한다. 코어 데이터 센터(650)는 에지 리소스 노드(들)(640) 및 에지 게이트웨이 장치(620)에 의해 형성된 에지 클라우드(110) 동작을 위해 글로벌 네트워크 클라우드(660)(예를 들어, 인터넷)에 게이트웨이를 제공할 수 있다. 나아가, 일부 예에서, 코어 데이터 센터(650)는 일정 정도의 처리 및 스토리지 역량을 포함할 수 있고, 따라서 클라이언트 컴퓨팅 장치에 대한 데이터의 일부 처리 및/또는 스토리지는 코어 데이터 센터(650)에서 수행될 수 있다(예를 들어, 낮은 긴급성 또는 중요도의 처리, 또는 높은 복잡성의 처리).
에지 게이트웨이 노드(620) 또는 에지 리소스 노드(640)는 상태 유지(stateful) 애플리케이션(632) 및 지리적으로 분산된 데이터베이스(634)의 사용을 제공할 수 있다. 애플리케이션(632) 및 데이터베이스(634)는 에지 클라우드(110)의 레이어에서 수평으로 분산되는 것으로 도시되어 있지만, 리소스, 서비스, 또는 애플리케이션의 다른 구성요소가 에지 클라우드 전체(클라이언트 컴퓨트 노드(610)에서 실행되는 애플리케이션의 일부, 에지 게이트웨이 노드(620) 또는 에지 리소스 노드(640)에서 실행되는 애플리케이션의 다른 일부 등을 포함)에 수직으로 분산될 수도 있다는 것을 이해할 것이다. 나아가, 앞서 언급한 바와 같이, 서비스 목표 및 의무를 만족하기 위해 모든 레벨에서 피어 관계가 있을 수 있다. 또한, 특정 클라이언트 또는 애플리케이션에 대한 데이터는 변경되는 조건(예를 들어, 가속 리소스 가용성에 기초한, 후속하는 자동차 이동 등)에 기초해서 에지들을 이동할 수 있다. 예를 들어, 액세스의 "쇠퇴 속도"에 기초해서, 계속될 다음 소유자를 식별하는 예측 또는, 데이터 또는 계산 액세스가 더 이상 실행 가능하지 않을 때의 예측이 수행될 수 있다. 이들 서비스 및 다른 서비스는, 거래를 규정 준수 및 무손실 상태로 유지하는 데 필요한 작업을 완료하는데 사용될 수 있다.
추가 시나리오에서, 컨테이너(636)(또는 컨테이너의 포드)는 에지 노드(620)로부터 다른 에지 노드(예를 들어, 620, 640 등)로 유연하게 마이그레이션될 수 있고, 이로써 애플리케이션 및 워크로드가 있는 컨테이너는 마이그레이션 작업을 위해 재구성, 재컴파일, 재해석될 필요가 없다. 그러나 이러한 설정에서는, 일부 교정 또는 "스위즐링(swizzling)" 번역 동작이 적용될 수 있다. 예를 들어, 노드(640)의 물리적 하드웨어는 에지 게이트웨이 노드(620)와 다를 수 있으며, 따라서 컨테이너의 바닥 에지를 구성하는 HAL(hardware abstraction layer)은 타깃 에지 노드의 물리적 레이어에 다시 매핑된다. 이는, 컨테이너 네이티브 형식으로부터 물리적 하드웨어 형식으로의 HAL 이진 변환과 같은, 일종의 후기 바인딩 기술을 포함할 수도 있고, 혹은 인터페이스 및 동작을 매핑하는 것을 포함할 수 있다. 포드 컨트롤러는 컨테이너 수명의 일부로 인터페이스 매핑을 구동하는 데 사용될 수 있으며, 여기에는 다른 하드웨어 환경으로의/으로부터의 마이그레이션을 포함한다.
도 6에 포함된 시나리오에서는, 차량(자동차/트럭/트램/기차) 또는 다른 모바일 유닛에 호스팅된 에지 노드와 같은 다양한 타입의 모바일 에지 노드를, 이들 에지 노드가 그것을 호스팅하는 플랫폼을 따라 다른 지리적인 위치로 이동함에 따라서, 활용할 수 있다. 차량 대 차량 통신을 이용해서, 개개의 차량은 다른 차의 네트워크 에지 노드의 역할을 할 수도 있다(예를 들어, 캐싱, 보고, 데이터 집계 등을 수행하기 위해). 따라서, 다양한 에지 노드에서 제공되는 애플리케이션 구성요소는, 개별 엔드포인트 장치 또는 에지 게이트웨이 노드(620)에서 일부 기능 또는 동작, 에지 리소스 노드(640)의 일부 다른 기능 또는 동작, 및 코어 데이터 센터(650) 또는 글로벌 네트워크 클라우드(660)의 다른 기능 또는 동작 사이의 조정을 포함한 정적 설정 또는 모바일 설정으로 분산될 수 있다는 것을 이해할 것이다.
추가 구성에서, 에지 컴퓨팅 시스템은 각각의 실행 가능한 애플리케이션 및 기능을 사용해서 FaaS 컴퓨팅 역량을 구현할 수 있다. 예컨대, 개발자는 하나 이상의 컴퓨터 기능을 나타내는 기능 코드(예를 들어, 본 명세서에서 "컴퓨터 코드")를 기입하고, 기능 코드는 예를 들어 에지 노드 또는 데이터 센터에 의해 제공되는 FaaS 플랫폼에 업로드된다. 예를 들어 서비스 용례 또는 에지 처리 이벤트와 같은 트리거가, FaaS 플랫폼을 이용해서 기능 코드의 실행을 시작시킨다.
FaaS의 예에서, 컨테이너는 기능 코드(예를 들어, 제3자에 의해 제공될 수 있는 애플리케이션)가 실행되는 환경을 제공하는데 사용된다. 컨테이너는 프로세스, 도커(Docker) 또는 쿠버네티스(Kubernetes) 컨테이너, 가상 머신 등과 같은 임의의 분리-실행 엔티티일 수 있다. 에지 컴퓨팅 시스템 내에서, 다양한 데이터 센터, 에지 및 엔드포인트(모바일을 포함) 장치가, 필요에 따라 스케일링되는 기능을 "스핀 업"(예를 들어, 기능 액션을 가동 및/또는 할당)하는데 사용된다. 기능 코드는 물리적인 인프라(예를 들어, 에지 컴퓨팅 노드) 장치 및 기본 가상화 컨테이너에서 실행된다. 마지막으로 컨테이너는 실행이 완료되는 것에 응답해서 인프라에서 "스핀 다운"(예를 들어, 가동 중지 및/또는 할당 해제)된다.
FaaS의 추가적인 측면은 서비스로서의 에지 컴퓨팅(EaaS(Edge-as-a-Service))을 지원하는 각각의 기능의 지원을 포함한, 서비스 방식으로 에지 기능의 배치를 가능하게 할 수 있다. FaaS의 추가 기능은 고객(예를 들어, 컴퓨터 코드 개발자)이 이들 코드가 실행될 때에만 지불하는 것을 가능하게 하는 세분화된 청구 구성요소; 하나 이상의 기능에 의한 재사용을 위해 데이터를 저장하는 공통 데이터 스토리지; 개별 기능 사이의 조율 및 관리; 기능 실행 관리, 병렬 처리 및 통합; 컨테이너 및 기능 메모리 공간의 관리; 기능에 사용할 수 있는 가속 리소스의 조정; 및 컨테이너 사이의 기능 배포(이미 배포된 또는 동작 중인 "웜(warm)" 컨테이너, 및 초기화, 배포 또는 구성이 필요한 "콜드(cold)" 컨테이너를 포함)를 포함할 수 있다.
에지 컴퓨팅 시스템(600)은 에지 프로비저닝 노드(644)를 포함할 수도 있고 혹은 이와 통신할 수도 있다. 에지 프로비저닝 노드(644)는 도 7b의 예시적인 컴퓨터 판독 가능 명령어(782)와 같은 소프트웨어를, 본 명세서에서 설명되는 방법 중 어느 하나를 구현하기 위해, 다양한 수신 당사자(party)에게 배포할 수 있다. 예시적인 에지 프로비저닝 노드(644)는 스토리지 및/또는 전송 소프트웨어 명령어(예를 들어, 코드, 스크립트, 실행 가능한 바이너리, 컨테이너, 패키지, 압축 파일, 및/또는 이들의 파생물)을 다른 컴퓨팅 장치로 전송할 수 있는 임의의 컴퓨터 서버, 홈 서버, 컨텐츠 전달 네트워크, 가상 서버, 소프트웨어 배포 시스템, 중앙 설비, 스토리지 장치, 스토리지 노드, 데이터 설비, 클라우드 서비스에 의해 구현될 수 있다. 예시적인 에지 프로비저닝 노드(644)의 구성요소(들)는 클라우드, LAN, 에지 네트워크, WAN, 인터넷, 및/또는 수신자(들)와 통신 가능하게 연결된 임의의 다른 위치에 위치될 수 있다. 수신자는 에지 프로비저닝 노드(644)를 소유 및/또는 동작시키는 엔티티의 고객, 클라이언트, 동료, 사용자 등이 될 수 있다. 예를 들어, 에지 프로비저닝 노드(644)를 소유 및/또는 동작시키는 엔티티는 도 7b의 예시적인 컴퓨터 판독가능 명령어(782)와 같은 소프트웨어 명령어의 개발자, 판매자 및/또는 라이선스 제공자(또는 그 고객 및/또는 소비자)일 수 있다. 수신자는 사용 및/또는 재판매 및/또는 하위 라이선싱을 위해 소프트웨어 명령어를 구매 및/또는 라이선스 제공하는, 소비자, 서비스 제공자, 사용자, 소매업자, OEM 등이 될 수 있다.
예로서, 에지 프로비저닝 노드(644)는 하나 이상의 서버 및 하나 이상의 스토리지 장치를 포함한다. 스토리지 장치는 후술하는 바와 같이 도 7b의 예시적인 컴퓨터 판독 가능 명령어(782)와 같은 컴퓨터 판독 가능 명령어를 호스트한다. 위에서 설명한 에지 게이트웨이 장치(620)와 유사하게, 에지 프로비저닝 노드(644)의 하나 이상의 서버는 기지국(642) 또는 다른 네트워크 통신 엔티티와 통신한다. 일부 예에서, 하나 이상의 서버는 상업적인 거래의 일부로서 소프트웨어 명령어를 요청 당사자(party)에게 전송하라는 요청에 응답한다. 소프트웨어 명령어의 전달, 판매 및/또는 라이선스에 대한 지불은, 소프트웨어 배포 플랫폼의 하나 이상의 서버에 의해 및/또는 제3자 지불 엔티티를 통해 핸들링될 수 있다. 서버를 통해서 구매자 및/또는 라이선스 제공자는 에지 프로비저닝 노드(644)로부터 컴퓨터 판독가능 명령어(782)를 다운로드할 수 있다. 예를 들어, 도 7b의 예시적인 컴퓨터 판독가능 명령어(782)에 대응할 수 있는 소프트웨어 명령어는, 본 명세서에 설명된 방법을 구현하기 위해 컴퓨터 판독가능 명령어(782)를 실행하는 예시적인 프로세서 플랫폼(들)로 다운로드될 수 있다.
일부 예에서, 컴퓨터 판독 가능 명령어(782)를 실행하는 프로세서 플랫폼(들)은 물리적으로 상이한 지리적 위치, 법적 관할 구역 등에 위치될 수 있다. 일부 예에서, 에지 프로비저닝 노드(644)의 하나 이상의 서버는 주기적으로 소프트웨어 명령어(예를 들어, 도 7b의 예시적인 컴퓨터 판독 가능 명령어(782))에 업데이트를 제공, 전달 및/또는 강제해서, 개선, 패치, 업데이트 등이 최종 사용자 장치에서 구현되는 소프트웨어 명령어에 배포되어서 적용되는 것을 보장한다. 일부 예에서, 컴퓨터 판독가능 명령어(782)의 상이한 구성요소는 상이한 소스로부터 및/또는 상이한 프로세서 플랫폼으로 배포될 수 있고; 예를 들어, 다른 라이브러리, 플러그인, 구성요소 및 다른 타입의 컴퓨트 모듈은 컴파일되는지 또는 해석되는지 여부에 관계없이 다른 소스로부터 및/또는 다른 프로세서 플랫폼으로 배포될 수 있다. 예를 들어, 소프트웨어 명령어의 일부(예를 들어, 그 자체로 실행 가능하지 않은 스크립트)는 제 1 소스로부터 배포될 수 있는 반면, 인터프리터(스크립트를 실행할 수 있음)는 제 2 소스로부터 배포될 수 있다.
추가적인 예에서, 본 에지 컴퓨팅 시스템 및 환경을 참조해서 설명된 임의의 컴퓨트 노드 또는 장치는 도 7a 및 7b에 도시된 구성요소에 기초해서 기능할 수 있다. 각 에지 컴퓨팅 노드는 다른 에지, 네트워킹 또는 엔드포인트 구성요소와 통신할 수 있는 장치, 어플라이언스, 컴퓨터 또는 기타 "사물"의 타입으로 구현될 수 있다. 예를 들어, 에지 컴퓨팅 장치는 개인용 컴퓨터, 서버, 스마트폰, 모바일 컴퓨팅 장치, 스마트 어플라이언스, 차량 내 컴퓨팅 시스템(예를 들어, 내비게이션 시스템), 외부 케이스, 쉘 등을 가진 독립 장치, 또는 설명된 기능을 수행할 수 있는 기타 장치 또는 시스템으로서 구현될 수 있다.
도 7a에 도시된 개략의 예에서, 에지 컴퓨트 노드(700)는 컴퓨트 엔진(본 명세서에서 "컴퓨트 회로"라고도 지칭됨)(702), 입력/출력(I/O) 서브시스템(708), 데이터 스토리지 장치(710), 통신 회로 서브시스템(712), 및 선택적으로 하나 이상의 주변 장치(714)를 포함한다. 다른 예에서, 각각의 컴퓨트 장치는 컴퓨터에서 일반적으로 발견되는 것과 같은 다른 구성요소 또는 추가 구성요소(예를 들어, 디스플레이, 주변 장치 등)를 포함할 수 있다. 나아가, 일부 예에서, 예시적인 구성요소 중 하나 이상은 다른 구성요소에 통합될 수도 있고 그렇지 않으면 다른 구성요소의 일부를 형성할 수도 있다.
컴퓨트 노드(700)는 다양한 컴퓨팅 기능을 수행할 수 있는 임의의 타입의 엔진, 장치, 또는 장치의 집합으로서 구현될 수 있다. 일부 예에서, 컴퓨트 노드(700)는 집적 회로, 임베디드 시스템, FPGA(field-programmable gate array), SOC(system-on-a-chip), 또는 다른 통합 시스템 또는 장치와 같은 단일 장치로서 구현될 수 있다. 예시적인 예에서, 컴퓨트 노드(700)는 프로세서(704) 및 메모리(706)를 포함하거나 이로서 구현된다. 프로세서(704)는 본 명세서에서 설명된 기능을 수행(예를 들어, 애플리케이션을 실행)할 수 있는 임의의 타입의 프로세서로서 구현될 수 있다. 예를 들어, 프로세서(704)는 멀티-코어 프로세서(들), 마이크로컨트롤러, 또는 다른 프로세서 또는 프로세싱/제어 회로로서 구현될 수 있다.
일부 예들에서, 프로세서(704)는 FPGA, ASIC(application specific integrated circuit), 재구성 가능 하드웨어 또는 하드웨어 회로, 또는 본 명세서에서 설명된 기능의 수행을 용이하게 하기 위한 다른 특수 하드웨어로서 구현될 수 있거나, 이들을 포함할 수도 있고, 이들에 연결될 수도 있다. 또한 일부 예에서, 프로세서(704)는, 데이터 프로세싱 유닛(DPU), 인프라스트럭쳐 프로세싱 유닛(IPU), 또는 네트워크 프로세싱 유닛(NPU)이라고도 알려진 특수 xPU(x-processing unit)으로서 구현될 수 있다. 이러한 xPU는 독립형 회로 또는 회로 패키지로서 구현될 수도 있고, SOC 내에 통합될 수도 있으며, 네트워킹 회로(예를 들어, SmartNIC 또는 향상된 SmartNIC에), 가속 회로, 저장 장치 또는 AI 하드웨어(예를 들어, GPU 또는 프로그래밍된 FPGA)와 통합될 수도 있다. 이러한 xPU는 하나 이상의 데이터 스트림을 처리하고, CPU 또는 범용 처리 하드웨어의 외부에서 데이터 스트림에 대한 특정 태스크 및 액션(마이크로서비스 호스팅, 서비스 관리 또는 조율의 수행, 서버 또는 데이터 센터 하드웨어의 조직 혹은 관리, 서비스 메시의 관리, 또는 원격 측정(telemetry)의 수집 및 배포 등)을 수행하기 위한 프로그래밍을 수신하도록 설계될 수 있다. 그러나, xPU, SOC, CPU 및 프로세서(704)의 다른 변형예는 서로 협력해서, 컴퓨트 노드(700) 내에서 그리고 컴퓨트 노드(700)를 대신해서, 많은 타입의 동작 및 명령어를 실행할 수 있다는 것을 이해할 것이다.
메모리(706)는 본 명세서에서 설명된 기능들을 수행할 수 있는 임의의 유형의 휘발성(예를 들어, DRAM(dynamic random access memory) 등) 또는 비휘발성 메모리 또는 데이터 스토리지로서 구현될 수 있다. 휘발성 메모리는 매체에 의해 저장된 데이터의 상태를 유지하기 위해 전력을 요구하는 스토리지 매체일 수 있다. 휘발성 메모리의 비제한적인 예들은 다양한 유형의 RAM(random access memory), 예컨대 DRAM 또는 SRAM(static random access memory)을 포함할 수 있다. 메모리 모듈에서 사용될 수 있는 하나의 특정 유형의 DRAM은 SDRAM(synchronous dynamic random access memory)이다.
일 예에서, 메모리 장치는 NAND 또는 NOR 기술에 기초한 것과 같은 블록 어드레싱 가능 메모리 장치(block addressable memory device)이다. 메모리 장치는 또한 3차원 크로스포인트 메모리 장치(예를 들어, Intel® 3D XPoint™ 메모리), 또는 다른 바이트 어드레싱 가능 제자리 기입 비휘발성 메모리 장치(byte addressable write-in-place nonvolatile memory device)를 또한 포함할 수 있다. 메모리 장치는 다이 자체 및/또는 패키징된 메모리 제품을 지칭할 수 있다. 일부 예들에서, 3D 크로스포인트 메모리(예를 들어, Intel® 3D XPoint™ 메모리)는, 메모리 셀이 워드 라인과 비트 라인의 교차점에 놓이고 개별적으로 어드레싱 가능하고, 비트 저장이 벌크 저항의 변화에 기초하는 트랜지스터가 없는 적층가능한 크로스 포인트 아키텍처를 포함할 수 있다. 일부 예에서, 메인 메모리(706)의 전부 또는 일부가 프로세서(704)에 통합될 수 있다. 메인 메모리(706)는, 하나 이상의 애플리케이션, 애플리케이션(들)에 의해 조작되는 데이터, 라이브러리, 및 드라이버과 같은 동작 동안 사용되는 다양한 소프트웨어 및 데이터를 저장할 수 있다.
컴퓨트 회로(702)는, 컴퓨트 회로(702)와의(예를 들어, 프로세서(704) 및/또는 메인 메모리(706)와의) 및 컴퓨트 회로(702)의 다른 구성요소와의 입력/출력 동작을 용이하게 하기 위한 회로 및/또는 구성요소로서 구현될 수 있는 I/O 서브시스템(708)을 통해 컴퓨트 노드(700)의 다른 구성요소에 통신가능하게 연결된다. 예를 들어, I/O 서브시스템(708)은, 메모리 컨트롤러 허브, 입력/출력 제어 허브, 통합된 센서 허브, 펌웨어 장치, 통신 링크들(예를 들어, 포인트-투-포인트 링크, 버스 링크, 와이어, 케이블, 광 가이드, 인쇄 회로 보드 트레이스들 등), 및/또는 입력/출력 동작을 용이하게 하기 위한 다른 구성요소 및 서브시스템으로서 구현될 수도 있고 또는 달리 이들을 포함할 수도 있다. 일부 예에서, I/O 서브시스템(708)은 SoC(system-on-a-chip)의 일부를 형성할 수도 있고, 컴퓨트 회로(702)의 프로세서(704), 메모리(706), 및 다른 구성요소 중 하나 이상과 함께, 컴퓨팅 회로(702) 내로 통합될 수 있다.
하나 이상의 예시적인 데이터 스토리지 장치(710)는, 예를 들어, 메모리 장치 및 회로, 메모리 카드, 하드 디스크 드라이브, 솔리드-스테이트 드라이브, 또는 다른 데이터 저장 장치와 같은, 데이터의 단기간 또는 장기간 저장을 위해 구성된 임의의 유형의 장치로서 구현될 수 있다. 개개의 데이터 스토리지 장치(710)는 데이터 스토리지 장치(710)에 대한 데이터 및 펌웨어 코드를 저장하는 시스템 파티션을 포함할 수 있다. 개개의 데이터 스토리지 장치(710)는, 예를 들어, 컴퓨트 노드(700)의 유형에 따라 운영 체제에 대한 데이터 파일 및 실행파일을 저장하는 하나 이상의 운영 체제 파티션을 또한 포함할 수 있다.
통신 회로(712)는 컴퓨트 회로(702)와 다른 컴퓨트 장치(예를 들어, 실행 에지 컴퓨팅 시스템의 에지 게이트웨이) 사이에 네트워크를 통한 통신을 가능하게 할 수 있는 임의의 통신 회로, 장치, 또는 이들의 집합으로서 구현될 수 있다. 통신 회로(712)는 이러한 통신을 달성하기 위해 임의의 하나 이상의 통신 기술(예를 들어, 유선 또는 무선 통신) 및 연관된 프로토콜(예를 들어, 3GPP 4G 또는 5G 표준과 같은 셀룰러 네트워킹 프로토콜, IEEE 802.11/Wi-Fi® 무선 광대역 네트워크 프로토콜, 이더넷, Bluetooth®Bluetooth Low Energy, IEEE 802.15.4 또는 ZigBee®와 같은 IoT 프로토콜, LPWAN(low-power wide-area network) 또는 LPWA(low-power wide-area) 프로토콜 등과 같은 무선 근거리 통신망 프로토콜)을 사용하도록 구성될 수 있다.
예시적인 통신 회로(712)는 호스트 패브릭 인터페이스(HFI)라고도 지칭될 수 있는 네트워크 인터페이스 컨트롤러(NIC)(720)를 포함한다. NIC(720)는 다른 컴퓨트 장치(예를 들어, 에지 게이트웨이 노드)와 접속하기 위해 컴퓨트 노드(700)에 의해 사용될 수 있는 하나 이상의 애드-인-보드(add-in-board), 도터 카드(daughter card), 네트워크 인터페이스 카드, 컨트롤러 칩, 칩셋, 또는 다른 장치로서 구현될 수 있다. 일부 예에서, NIC(720)는 하나 이상의 프로세서를 또한 포함하는 SoC(system-on-a-chip)의 일부로서 구현되거나, 하나 이상의 프로세서를 또한 포함하는 멀티칩 패키지 상에 포함될 수도 있다. 일부 예에서, NIC(720)는 로컬 프로세서(도시되지 않음) 및/또는 로컬 메모리(도시되지 않음)를 포함할 수 있는데, 이들은 둘 다 NIC(720)에 로컬이다. 이러한 예에서, NIC(720)의 로컬 프로세서는 본 명세서에서 설명된 컴퓨트 회로(702)의 기능 중 하나 이상을 수행할 수 있다. 추가적으로 또는 다른 방안에서, 이러한 예에서, NIC(720)의 로컬 메모리는 보드 레벨, 소켓 레벨, 칩 레벨, 및/또는 다른 레벨에서 클라이언트 컴퓨트 노드의 하나 이상의 구성요소에 통합될 수 있다.
추가적으로, 일부 예에서, 각각의 컴퓨트 노드(700)는 하나 이상의 주변 장치(714)를 포함할 수 있다. 그러한 주변 장치들(714)은, 컴퓨트 노드(700)의 특정 유형에 따라, 컴퓨트 장치 또는 서버에서 발견되는 임의의 유형의 주변 장치, 예컨대 오디오 입력 장치, 디스플레이, 다른 입력/출력 장치, 인터페이스 장치, 및/또는 다른 주변 장치를 포함할 수 있다. 추가 예에서, 컴퓨트 노드(700)는 에지 컴퓨팅 시스템 내의 또는 어플라이언스, 컴퓨터, 서브시스템, 회로, 또는 다른 구성요소의 유사한 형태 내의 각각의 에지 컴퓨팅 노드(클라이언트, 게이트웨이또는 집성 노드)에 의해 구현될 수 있다.
보다 상세한 예에서, 도 7b는 본 명세서에서 설명된 기법(예를 들어, 동작, 프로세스, 방법 및 방법론)을 구현하기 위해 에지 컴퓨팅 노드(750) 내에 존재할 수 있는 구성요소의 예의 블록도를 예시한다. 이 에지 컴퓨팅 노드(750)는 컴퓨트 장치(예를 들어, 모바일 장치, 기지국, 서버, 게이트웨이 등)로서 구현될 때 또는 일부로서 구현될 때 노드(700)의 각각의 구성요소에 대한 보다 가까운 뷰를 제공한다. 이 에지 컴퓨팅 노드(750)는 본 명세서에 언급된 하드웨어 또는 로직 구성요소의 임의의 조합을 포함할 수 있고, 이는 에지 통신 네트워크 또는 그러한 네트워크의 조합과 함께 사용가능한 임의의 장치를 포함하거나 이와 연결될 수 있다. 구성요소는 에지 컴퓨팅 노드(750)에 적응된 IC(집적 회로), 그 일부, 개별 전자 장치, 또는 다른 모듈, 명령어 세트, 프로그래밍 가능 로직 또는 알고리즘, 하드웨어, 하드웨어 가속기, 소프트웨어, 펌웨어, 또는 이들의 조합으로서, 또는 그 외에 더 큰 시스템의 섀시 내에 포함된 구성요소로서 구현될 수도 있다.
에지 컴퓨팅 노드(750)는 프로세서(752) 형태의 프로세싱 회로를 포함할 수 있고, 이는 마이크로프로세서, 멀티-코어 프로세서, 멀티스레드 프로세서, 초저전압 프로세서, 임베디드 프로세서, xPU/DPU/IPU/NPU, 특수 목적 처리 유닛, 특수 처리 유닛 또는 다른 공지된 프로세싱 요소일 수 있다. 프로세서(752)는 프로세서(752) 및 다른 구성요소들이 단일 집적 회로, 또는 단일 패키지, 예컨대 캘리포니아주 산타 클라라의 Intel Corporation으로부터의 Edison™ 또는 Galileo™ SoC 보드 내에 형성되는 SoC(system on a chip)의 일부일 수 있다. 예로서, 프로세서(752)는 Quark™, Atom™, i3, i5, i7, i9, 또는 MCU-클래스 프로세서와 같은, Intel®Architecture Core™ 기반 CPU 프로세서, 또는 Intel®로부터 입수가능한 다른 그러한 프로세서를 포함할 수 있다. 그러나, 예를 들어, 캘리포니아주 서니베일의 AMD®(Advanced Micro Devices, Inc.)로부터 입수가능한 것, 캘리포니아주 서니베일의 MIPS Technologies, Inc.로부터의 MIPS®-기반 설계, ARM Holdings, Ltd. 또는 그의 고객, 또는 그들의 면허권자들 또는 사용권자로부터 라이센싱된 ARM®-기반 설계와 같은, 임의의 수의 다른 프로세서가 사용될 수 있다. 프로세서들은 Apple®Inc.로부터의 A5-A13 프로세서, Qualcomm®Technologies, Inc.로부터의 Snapdragon™ 프로세서 또는 Texas Instruments, Inc.로부터의 OMAP™ 프로세서와 같은 유닛들을 포함할 수 있다. 프로세서(752) 및 수반되는 회로가 단일 소켓 폼 팩터, 다중 소켓 폼 팩터, 또는 도 7b에 도시된 모든 요소보다 적은 수를 포함하는 제한된 하드웨어 구성 또는 구성을 포함하는 다양한 기타 형식으로 제공될 수 있다.
프로세서(752)는 인터커넥트(756)(예를 들어, 버스)를 통해 시스템 메모리(754)와 통신할 수 있다. 주어진 양의 시스템 메모리를 제공하기 위해 임의의 수의 메모리 장치를 사용할 수 있다. 예로서, 메모리(754)는 DDR 또는 모바일 DDR 표준(예를 들어, LPDDR, LPDDR2, LPDDR3, 또는 LPDDR4)과 같은 JEDEC(Joint Electron Devices Engineering Council) 설계에 따른 랜덤 액세스 메모리(RAM)일 수 있다. 특정 예에서, 메모리 구성요소는 DDR SDRAM을 위한 JESD79F, DDR2 SDRAM을 위한 JESD79-2F, DDR3 SDRAM을 위한 JESD79-3F, DDR4 SDRAM을 위한 JESD79-4A, 저전력 DDR(LPDDR)용 JESD209, LPDDR2용 JESD209-2, LPDDR3용 JESD209-3, LPDDR4용 JESD209-4와 같이 JEDEC에 의해 공표된 DRAM 표준을 따를 수 있다. 이러한 표준(및 유사한 표준)은 DDR 기반 표준으로 지칭될 수 있고 이러한 표준을 구현하는 저장 장치의 통신 인터페이스는 DDR 기반 인터페이스로 지칭될 수 있다. 다양한 구현에서, 개별 메모리 장치는 단일 다이 패키지(SDP), 듀얼 다이 패키지(DDP), 또는 쿼드 다이 패키지(Q17P)와 같은 임의의 수의 상이한 패키지 타입일 수 있다. 이러한 장치는 일부 예에서 마더보드에 직접 납땜되어 더 낮은 프로파일 솔루션을 제공할 수 있는 반면, 다른 예에서 장치는 주어진 커넥터에 의해 마더보드에 차례로 연결되는 하나 이상의 메모리 모듈로 구성된다. 다른 타입의 메모리 모듈, 예를 들어 microDIMM 또는 MiniDIMM을 포함하지만 이에 국한되지 않는 다양한 종류의 듀얼 인라인 메모리 모듈(DIMM)과 같은 임의의 수의 다른 메모리 구현이 사용될 수 있다.
데이터, 애플리케이션, 운영 체제 등과 같은 정보의 영구적 저장을 제공하기 위해, 스토리지(758)가 인터커넥트(756)를 통해 프로세서(752)에 연결될 수도 있다. 예에서, 스토리지(758)는 SSDD(solid-state disk drive)를 통해 구현될 수 있다. 스토리지(758)에 사용될 수 있는 다른 장치들은 SD(Secure Digital) 카드, microSD 카드, XD(eXtreme Digital) 픽처 카드들 등과 같은 플래시 메모리 카드, 및 USB(Universal Serial Bus) 플래시 드라이브를 포함한다. 예에서, 메모리 장치는 칼코게나이드 유리를 사용하는 메모리 장치, 다중-문턱 레벨(multi-threshold level) NAND 플래시 메모리, NOR 플래시 메모리, 단일 또는 다중-레벨 PCM(Phase Change Memory), 저항성 메모리, 나노와이어 메모리, FeTRAM(ferroelectric transistor random access memory), 반강유전성 메모리(anti-ferroelectric memory), 멤리스터 기술을 포함하는 MRAM(magneto-resistive random access memory) 메모리, 금속 산화물 기반, 산소 공공(oxygen vacancy) 기반 및 CB-RAM(conductive bridge Random Access Memory)을 포함하는 저항성 메모리, 또는 스핀 전달 토크(STT)-MRAM, 스핀트로닉 자기 접합 메모리 기반 장치, MTJ(magnetic tunneling junction) 기반 장치, DW(Domain Wall) 및 SOT(Spin Orbit Transfer) 기반 장치, 사이리스터 기반 메모리 장치, 또는 상기한 것들 중 임의의 것의 조합, 또는 다른 메모리일 수 있거나 이를 포함할 수 있다.
저전력 구현예에서, 스토리지(758)는 프로세서(752)와 연관된 온-다이 메모리 또는 레지스터일 수 있다. 그러나, 일부 예에서, 스토리지(758)는 마이크로 하드 디스크 드라이브(HDD)를 이용하여 구현될 수 있다. 또한, 설명된 기술에 더하여, 또는 그 대신에, 많은 것들 중에서도 특히, 저항 변화 메모리, 상 변화 메모리, 홀로그래픽 메모리, 또는 화학 메모리와 같은, 임의의 수의 새로운 기술이 스토리지(758)에 사용될 수 있다.
구성요소는 인터커넥트(756)를 통해 통신할 수 있다. 인터커넥트(756)는 ISA(industry standard architecture), EISA(extended ISA), PCI(peripheral component interconnect), PCIx(peripheral component interconnect extended), PCIe(PCI express)를 포함하는 임의의 수의 기술들, 또는 임의의 수의 다른 기술들을 포함할 수 있다. 인터커넥트(756)는, 예를 들어, SoC 기반 시스템에서 사용되는 사유 버스(proprietary bus)일 수 있다. 많은 것들 중에서도 특히, I2C(Inter-Integrated Circuit) 인터페이스, SPI(Serial Peripheral Interface) 인터페이스, 포인트 투 포인트 인터페이스, 및 전력 버스와 같은, 다른 버스 시스템이 포함될 수 있다.
인터커넥트(756)는, 접속된 에지 장치(762)와의 통신을 위해, 프로세서(752)를 트랜시버(766)에 연결할 수 있다. 트랜시버(766)는, 많은 것들 중에서도 특히, Bluetooth® Special Interest Group에 의해 정의된 바와 같은 BLE(Bluetooth® low energy) 표준, 또는 ZigBee® 표준을 이용해서, IEEE 802.15.4 표준 하에서 2.4 기가헤르츠(GHz) 송신과 같은 임의의 수의 주파수 및 프로토콜을 사용할 수 있다. 특정 무선 통신 프로토콜을 위해 구성된 임의의 수의 무선기들이 연결된 에지 장치(762)로의 연결을 위해 사용될 수 있다. 예를 들어, 무선 로컬 영역 네트워크(WLAN) 유닛은 IEEE(Institute of Electrical and Electronics Engineers) 802.11 표준에 따라 Wi-Fi® 통신을 구현하기 위해 사용될 수 있다. 나아가, 예를 들어, 셀룰러 또는 다른 무선 광역 프로토콜에 따른 무선 광역 통신이 무선 광역 네트워크(WWAN) 유닛을 통해 발생할 수 있다.
무선 네트워크 트랜시버(766)(또는 다수의 트랜시버)는 상이한 거리에서의 통신을 위해 다수의 표준 또는 무선기를 이용하여 통신할 수 있다. 예를 들어, 에지 컴퓨팅 노드(750)는, BLE(Bluetooth Low Energy)에 기초한 로컬 트랜시버, 또는 다른 저전력 무선기를 이용하여, 예를 들어, 약 10 미터 내의 가까운 장치들과 통신하여, 전력을 절약할 수 있다. 예를 들어, 약 50 미터 내의, 더 멀리 있는 연결된 에지 장치(762)은 ZigBee® 또는 다른 중간 전력 무선기들을 통해 도달될 수 있다. 양쪽 통신 기법들은 상이한 전력 레벨들에서 단일 무선기를 통해 발생할 수 있거나, 별개의 트랜시버들을 통해, 예를 들어, BLE를 사용하는 로컬 트랜시버 및 ZigBee®를 사용하는 별개의 메시 트랜시버를 통해 발생할 수 있다.
로컬 또는 광역 네트워크 프로토콜을 통해 에지 클라우드(795) 내의 장치 또는 서비스과 통신하기 위해 무선 네트워크 트랜시버(766)(예를 들어, 무선 트랜시버)가 포함될 수 있다. 무선 네트워크 트랜시버(766)는, 많은 것들 중에서도 특히, IEEE 802.15.4, 또는 IEEE 802.15.4g 표준들을 따르는 LPWA(low-power wide-area ) 트랜시버일 수 있다. 에지 컴퓨팅 노드(750)는 Semtech 및 LoRa Alliance에 의해 개발된 LoRaWAN™(Range Wide Area Network)을 이용하여 광역에 걸쳐 통신할 수 있다. 본 명세서에서 설명된 기법들은 이들 기술로 제한되지 않고, 장거리, 낮은 대역폭 통신, 예컨대 Sigfox, 및 다른 기술들을 구현하는 임의의 수의 다른 클라우드 트랜시버들과 함께 사용될 수 있다. 또한, IEEE 802.15.4e 사양에 기술된 시간 슬롯 채널 호핑과 같은 다른 통신 기법들이 사용될 수 있다.
본 명세서에서 설명된 바와 같이, 무선 네트워크 트랜시버(766)에 대해 언급된 시스템에 더하여 임의의 수의 다른 무선 통신 및 프로토콜이 사용될 수 있다. 예를 들어, 트랜시버(766)는 고속 통신을 구현하기 위해 확산 스펙트럼(SPA/SAS) 통신을 사용하는 셀룰러 트랜시버를 포함할 수 있다. 또한, 네트워크 통신의 제공 및 중속 통신을 위해 Wi-Fi®네트워크와 같은 임의의 수의 다른 프로토콜이 사용될 수 있다. 트랜시버(766)는 본 개시내용의 마지막에 추가로 상세하게 논의된, 임의의 수의 3GPP(Third Generation Partnership Project) 사양, 예컨대 LTE(Long Term Evolution) 및 5세대(7G) 통신 시스템과 호환가능한 무선기를 포함할 수 있다. 유선 통신을 에지 클라우드(795)의 노드에 또는 접속된 에지 장치(762)(예를 들어, 메시에서 동작하는)과 같은 다른 장치들에 제공하기 위해 네트워크 인터페이스 컨트롤러(NIC)(768)가 포함될 수 있다. 유선 통신은 이더넷 연결을 제공할 수 있거나, 많은 것들 중에서도 특히, CAN(Controller Area Network), LIN(Local Interconnect Network), DeviceNet, ControlNet, Data Highway+, PROFIBUS, 또는 PROFINET와 같은 다른 유형의 네트워크에 기초할 수 있다. 제 2 네트워크로의 연결을 가능하게 하기 위해 추가 NIC(768), 예를 들어, 이더넷을 통해 클라우드에 통신을 제공하는 제 1 NIC(768), 및 다른 유형의 네트워크를 통해 다른 장치들에 통신을 제공하는 제 2 NIC(768)가 포함될 수 있다.
장치로부터 다른 구성요소 또는 네트워크로의 다양한 유형의 적용가능한 통신이 주어지면, 장치에 의해 사용되는 적용가능한 통신 회로는 구성요소(764, 766, 768, 또는 770) 중 어느 하나 이상에 의해 구현되거나 이를 포함할 수 있다. 따라서, 다양한 예에서, 통신(예를 들어, 수신, 송신 등)을 위한 적용가능한 수단은 그러한 통신 회로에 의해 구현될 수 있다.
에지 컴퓨팅 노드(750)는, 하나 이상의 AI(artificial intelligence) 가속기, 뉴럴 컴퓨트 스틱(neural compute stick), 뉴로모픽 하드웨어(neuromorphic hardware), FPGA, GPU의 배열, xPUs/DPUs/IPU/NPUs의 배열, 하나 이상의 SoC, 하나 이상의 CPU, 하나 이상의 디지털 신호 프로세서, 전용 ASIC, 또는 하나 이상의 특수 작업을 달성하도록 설계된 다른 형식의 특수 프로세서 또는 회로에 의해 구현될 수 있는 가속 회로(764)에 결합되거나 이를 포함할 수 있다. 이들 작업은 AI 프로세싱(머신 학습, 훈련, 추론, 및 분류 동작을 포함함), 시각 데이터 프로세싱, 네트워크 데이터 프로세싱, 객체 검출, 규칙 분석 등을 포함할 수 있다. 이들 태스크는 또한 본 명세서의 다른 곳에서 설명된 서비스 관리 및 서비스 운영을 위한 특정 에지 컴퓨트 태스크도 포함할 수 있다.
인터커넥트(756)는 추가 장치 또는 서브시스템을 접속하는데 사용되는 센서 허브 또는 외부 인터페이스(770)에 프로세서(752)를 연결할 수 있다. 장치는 가속도계, 레벨 센서, 흐름 센서, 광학 광 센서, 카메라 센서, 온도 센서, GPS(global positioning system) 센서, 압력 센서, 기압 센서 등과 같은 센서(772)를 포함할 수 있다. 허브 또는 인터페이스(770)는 추가로 에지 컴퓨팅 노드(750)를 전력 스위치, 밸브 액추에이터, 가청 사운드 생성기, 시각적 경고 장치 등과 같은 액추에이터(774)에 접속하는데 사용될 수 있다.
일부 옵션의 예에서, 다양한 입력/출력(I/O) 장치가 에지 컴퓨팅 노드(750) 내에 존재하거나 그에 접속될 수 있다. 예를 들어, 센서 판독 또는 액추에이터 위치와 같은 정보를 보여주기 위해 디스플레이 또는 다른 출력 장치(784)가 포함될 수 있다. 입력을 수용하기 위해 터치 스크린 또는 키패드와 같은 입력 장치(786)가 포함될 수 있다. 출력 장치(784)는, 이진 상태 지시기(예를 들어, LED(light-emitting diode)) 및 다중 문자 시각적 출력과 같은 단순한 시각적 출력, 또는 디스플레이 스크린(예를 들어, LCD 스크린)과 같은 더 복잡한 출력을 포함하는 임의의 수의 형식의 오디오 또는 시각적 디스플레이를 포함할 수 있고, 문자, 그래픽, 멀티미디어 객체 등의 출력이 에지 컴퓨팅 노드(750)의 동작으로부터 발생되거나 생성된다. 본 시스템의 측면에서 디스플레이 또는 콘솔 하드웨어는, 에지 컴퓨팅 시스템에 출력을 제공하고 에지 컴퓨팅 시스템의 입력을 수신하며; 에지 컴퓨팅 시스템의 구성요소 또는 서비스를 관리하고; 에지 컴퓨트 구성요소 또는 서비스의 상태를 식별하거나 기타 여러 유지 보수 또는 관리 기능 또는 서비스 용례를 수행하는데 사용될 수 있다.
배터리(776)는 에지 컴퓨팅 노드(750)에 전력을 공급할 수 있지만, 에지 컴퓨팅 노드(750)가 고정된 위치에 장착되는 예에서, 이는 전력망에 연결된 전원을 가질 수도 있고, 또는 백업이나 일시적인 역량을 위해서 배터리가 사용될 수도 있다. 배터리(776)는 리튬 이온 배터리, 또는 아연-공기 배터리, 알루미늄-공기 배터리, 리튬-공기 배터리와 같은 금속-공기 배터리 등일 수 있다.
배터리(776)(포함되는 경우)의 충전 상태(SoCh)를 추적하기 위해 에지 컴퓨팅 노드(750)에 배터리 모니터/충전기(778)가 포함될 수 있다. 배터리 모니터/충전기(778)는 배터리(776)의 헬쓰 상태(state of health)(SoH) 및 기능 상태(SoF)와 같은 고장 예측을 제공하기 위해 배터리(776)의 다른 파라미터를 모니터링하기 위해 사용될 수 있다. 배터리 모니터/충전기(778)는 Linear Technologies로부터의 LTC4020 또는 LTC2990과 같은 배터리 모니터링 집적 회로, 아리조나주 피닉스의 ON Semiconductor로부터의 ADT7488A, 또는 텍사스주 달라스의 Texas Instruments로부터의 UCD90xxx 패밀리로부터의 IC를 포함할 수 있다. 배터리 모니터/충전기(778)는 배터리(776)에 관한 정보를 인터커넥트(756)를 통해 프로세서(752)에 전달할 수 있다. 배터리 모니터/충전기(778)는 프로세서(752)가 배터리(776)의 전압 또는 배터리(776)로부터의 전류 흐름을 직접 모니터링하는 것을 가능하게 하는 아날로그-디지털(ADC) 컨버터를 또한 포함할 수 있다. 배터리 파라미터는 송신 주파수, 메시 네트워크 동작, 감지 주파수 등과 같은, 에지 컴퓨팅 노드(750)가 수행할 수 있는 액션을 결정하기 위해 사용될 수 있다.
전력망에 연결된 전력 블록(780), 또는 다른 전원이 배터리(776)를 충전하기 위해 배터리 모니터/충전기(778)와 연결될 수 있다. 일부 예에서, 전력 블록(780)은 무선 전력 수신기로 대체되어, 예를 들어, 에지 컴퓨팅 노드(750) 내의 루프 안테나를 통해 무선으로 전력을 획득할 수 있다. 많은 것들 중에서도 특히, 캘리포니아주 밀피타스의 Linear Technologies로부터의 LTC4020 칩과 같은 무선 배터리 충전 회로가 배터리 모니터/충전기(778)에 포함될 수 있다. 특정 충전 회로는 배터리(776)의 크기, 및 따라서 요구되는 전류에 기초하여 선택될 수 있다. 충전은, 많은 것들 중에서도 특히, Airfuel Alliance에 의해 공포된 Airfuel 표준, Wireless Power Consortium에 의해 공포된 Qi 무선 충전 표준, 또는 Alliance for Wireless Power에 의해 공포된 Rezence 충전 표준을 이용하여 수행될 수 있다.
스토리지(758)는 본 명세서에서 설명된 기법을 구현하기 위한 소프트웨어, 펌웨어 또는 하드웨어 커맨드의 형식으로 된 명령어(782)를 포함할 수 있다. 그러한 명령어(782)가 메모리(754) 및 스토리지(758)에 포함된 코드 블록으로서 도시되어 있지만, 코드 블록 중 임의의 것이, 예를 들어, ASIC(application specific integrated circuit)에 내장된 하드와이어드 회로로 대체될 수 있다는 것을 이해할 수 있다.
이 예에서, 메모리(754), 스토리지(758), 또는 프로세서(752)를 통해 제공되는 명령어(782)는 에지 컴퓨팅 노드(750) 내의 전자 동작을 수행하도록 프로세서(752)에 지시하는 코드를 포함하는 비일시적 머신 판독가능 매체(760)로서 구현될 수 있다. 프로세서(752)는 인터커넥트(756)를 통해 비일시적 머신 판독가능 매체(760)에 액세스할 수 있다. 예를 들어, 비일시적 머신 판독가능 매체(760)는 스토리지(758)에 대해 설명된 장치에 의해 구현될 수도 있고, 광학 디스크, 플래시 드라이브, 또는 임의의 수의 다른 하드웨어 장치와 같은 특정 저장 유닛을 포함할 수 있다. 비일시적 머신 판독가능 매체(760)는, 예를 들어, 위에 묘사된 동작 및 기능성의 흐름도(들) 및 블록도(들)에 관하여 설명된 바와 같이, 액션의 특정 시퀀스 또는 흐름을 수행하도록 프로세서(752)에 지시하는 명령어를 포함할 수 있다. 본 명세서에서 사용되는, 용어 "머신 판독가능 매체"와 "컴퓨터 판독가능 매체"는 바꿔서 사용될 수 있다.
또한 특정 예에서, 프로세서(752) 상의 명령어(782)(개별적으로, 또는 머신-판독가능 매체(760)의 명령어(782)와 조합하여)는 TEE(trusted execution environment)(790)의 실행 또는 동작을 구성할 수 있다. 예를 들어, TEE(790)는 명령의 보안 실행 및 데이터에 대한 보안 액세스를 위해 프로세서(752)에 액세스할 수 있는 보호 영역으로 작동한다. TEE(790)의 다양한 구현 및 프로세서(752) 또는 메모리(754)의 수반되는 보안 영역은 예를 들어 Intel® SGX(Software Guard Extensions) 또는 ARM® TrustZone® 하드웨어 보안 확장, Intel® ME(Management Engine) 또는 인텔® CSME(Converged Security Manageability Engine)을 사용해서 제공될 수 있다. 보안 강화, 하드웨어 신뢰 기반, 신뢰 또는 보호되는 동작의 다른 측면은 TEE(790) 및 프로세서(752)를 통해 장치(750)에서 구현될 수 있다.
추가 예에서, 머신 판독가능 매체는 머신에 의한 실행을 위한 명령어를 저장, 인코딩 또는 반송할 수 있는 그리고 머신으로 하여금 본 개시내용의 방법론 중 어느 하나 이상을 수행하게 하는, 또는 그러한 명령어에 의해 이용되거나 그와 연관된 데이터 구조를 저장, 인코딩 또는 반송할 수 있는 임의의 유형 매체를 또한 포함한다. 따라서, "머신 판독가능 매체"는 솔리드-스테이트 메모리, 및 광학 및 자기 매체를 포함할 수 있지만, 이들로 제한되지 않는다. 머신 판독가능 매체의 특정 예는, 예로서, 반도체 메모리 장치(예를 들어, 전기적으로 프로그램 가능한 판독 전용 메모리(EPROM), 전기적으로 소거 가능한 프로그램 가능한 판독 전용 메모리(EEPROM)) 및 플래시 메모리 장치를 포함하지만 이들로 제한되지 않는 비휘발성 메모리; 내부 하드 디스크 및 이동식 디스크와 같은 자기 디스크; 광자기 디스크; 및 CD-ROM 및 DVD-ROM 디스크를 포함한다. 머신 판독가능 매체에 의해 구현되는 명령어는 또한 다수의 전송 프로토콜(예를 들어, HTTP(Hypertext Transfer Protocol)) 중 어느 하나를 이용하는 네트워크 인터페이스 장치를 통해 송신 매체를 이용하여 통신 네트워크를 통해 송신 또는 수신될 수 있다.
비일시적인 포맷으로 데이터를 호스팅할 수 있는 저장 장치 또는 다른 장치에 의해 머신 판독가능 매체가 제공될 수 있다. 예에서, 머신 판독가능 매체 상에 저장되거나 또는 달리 제공되는 정보는 명령어 자체 또는 명령어가 도출될 수 있는 포맷과 같은 명령어를 나타낼 수 있다. 명령어가 도출될 수 있는 이 포맷은 소스 코드, 인코딩된 명령어(예를 들어, 압축된 또는 암호화된 형식의), 패키징된 명령어(예를 들어, 다수의 패키지로 분할된) 등을 포함할 수 있다. 머신 판독가능 매체 내의 명령어를 나타내는 정보는 프로세싱 회로에 의해 본 명세서에서 논의된 동작 중 임의의 것을 구현하는 명령어로 프로세싱할 수 있다. 예를 들어, 정보로부터 명령어를 도출하는 것(예를 들어, 프로세싱 회로에 의해 프로세싱하는 것)은, 컴파일하는 것(예를 들어, 소스 코드, 객체 코드 등으로부터), 해석하는 것, 로딩하는 것, 조직하는 것(예를 들어, 동적으로 또는 정적으로 링크하는 것), 인코딩하는 것, 디코딩하는 것, 암호화하는 것, 암호 해제하는 것, 패키징하는 것, 언패키징하는 것, 또는 달리 정보를 명령어로 조작하는 것을 포함할 수 있다.
예에서, 명령어의 도출은 머신 판독가능 매체에 의해 제공되는 어떤 중간 또는 전처리된 포맷으로부터 명령어를 생성하기 위한 정보의 조립, 컴파일, 또는 해석(예를 들어, 프로세싱 회로에 의한)을 포함할 수 있다. 정보는, 다수의 부분으로 제공될 때, 명령어를 생성하기 위해 조합, 언패킹, 및 수정될 수 있다. 예를 들어, 정보는 하나 또는 수 개의 원격 서버 상에서 다수의 압축된 소스 코드 패키지(또는 객체 코드, 또는 이진 실행가능 코드 등)에 있을 수 있다. 소스 코드 패키지는 네트워크를 통해 전송 중일 때 암호화되고 필요한 경우 암호 해독되고, 압축 해제되고, 조립되고(예를 들어, 링크되고), 로컬 머신에서 컴파일 또는 해석되고(예를 들어, 라이브러리, 독립형 실행파일 등으로), 로컬 머신에 의해 실행될 수 있다.
도 8은 일 실시예에 따른 트러스트 크리덴셜의 자동 에스컬레이션을 위한 환경(800) 및 시스템(830)의 예의 블록도이다. 도 8은 도 1 내지 도 6 및 도 7a 및 도 7b에 도시된 바와 같은 에지 컴퓨팅 환경에서 발생하는 보안 동작을 나타낼 수 있다.
환경(800)은 요청자(805)(예를 들어, 클라이언트 장치, 에지 장치 등), 보안 제공자 엔티티(810)(예를 들어, 에지 노드, 롤(role) 등), 및 정보 리소스(815)(예를 들어, 클라우드 네트워크의 정보 제공자의 집합 등)을 포함한다. 정보 리소스(815)는 제 1 보안 범주(820) 및 제 2 보안 범주(825)를 포함하는 다양한 보안 범주(예를 들어, 액세스 제어 레이어 등)를 포함할 수 있다. 보안 제공자 엔티티(810)는 (예를 들어, 유선 네트워크, 무선 네트워크, 셀룰러 네트워크, 공유 버스 등을 통해) 시스템(830)에 통신 가능하게 연결될 수 있다. 예로서, 이 시스템은 보안 에스컬레이션 관리 엔진이다. 시스템(830)은 예측 모델 생성기(835), 에스컬레이션 예측기(840), 토큰 생성기(845) 및 교정기(850)를 포함하는 다양한 구성요소를 포함할 수 있다.
트러스트 에스컬레이션은 트랜잭션에 지연을 추가할 수 있다. 에스컬레이션이 적시에(just-in-time) 수행되려면, 다수의 통신 및 처리 단계가 발생해야 할 수 있으며, 이로 인해 지연이 악영향을 받게 된다. 따라서, 보안 리소스가 액세스되기 이전에 에스컬레이션 동작을 시작하기 위해서, 에스컬레이션이 필요할 시점을 보다 정확하게 예측하는 것이 바람직할 수 있다. 가능한 한 빨리 트랜잭션을 완료하려고 한다면, 트랜지션 동안 어떤 리소스에 액세스하려면 더 높은 보안이 필요할 것이라는 것을 사전에 인식하는 것이 도움이 된다. 예로서, 이러한 예측은 에지 컴퓨팅 환경의 엔티티에서 수행될 수 있다. 두 도메인 공급자가 제공하는 서비스를 소비하기 위해 서로 다른 공급자를 건너갈 때 예측이 수행될 수 있다. 알려진 도메인 공급자(예를 들어, 트러스터 제공자 또는 홈 도메인 제공자)는 보안 에스컬레이션 처리를 완료하기 위해 외부 도메인 공급자와 협업할 수 있다.
많은 컴퓨팅 동작은 메모리, 디스크, 분산형 객체 스토리지 등과 같은 스토리지 매체의 특정 정보 리소스에 액세스하기 위해 패스워드, 생체 인식 또는 기타 보안 구현 방식을 사용해서 인증할 수 있다. 액세스는 액세스되는 정보의 다양한 속성에 따라서 요구되는 만큼 등급이 매겨진다. 예를 들어, 제 1 회사의 직원의 이름과 사무실 전화번호를 나열한 문서에 제 1 회사의 모든 직원은 자유롭게 액세스할 수 있지만, 제 2 회사의 직원은 액세스할 수 없도록 제한될 수 있다. 액세스되는 정보는 정적(예를 들어, 일부 물리적 또는 가상 저장 매체에 개체로서 존재함)일 수도 있고, 혹은 일부 다른 프리커서 정보에 적용되는 추출, 변환 및 추론에 의해 요청시 동적으로 생성될 수 있다.
동적으로 생성된 정보의 경우: (a) 프리커서 정보에 대한 액세스는 필요성에 따라 그리고 프리커서 정보의 다양한 속성에 따라 등급이 매겨질 수 있고; (b) 프리커서 정보로부터 요청된 정보를 획득하는 추출, 변환 및 추론 절차 또는 메커니즘에 대한 액세스는, 이 요청된 정보의 필요성 및 그 속성에 따라서 대안적으로 또는 추가로 등급이 매겨질 수 있다.
본 명세서에서 사용되는 정보 리소스란 포괄적으로, (A) 논리적 또는 물리적 저장 매체에 저장된 구조화된(structured) 또는 구조화되지 않은(unstructured) 데이터 객체로서 존재하는 정적 정보, (B) 일부 프리커서 제어 또는 메모리 입력에 기초한 계산 또는 변환을 수행하여 획득될 수 있는 동적 정보, (C) (B)의 동적 정보를 생성할 수 있는 절차 또는 메커니즘을 가리킬 수 있다.
정보의 액세서(accessor)의 생체 정보, 이들의 디지털 인증서 등과 같은, 액세서를 식별하는 인증 정보를 나타내거나 혹은 토큰으로 인코딩하는 것이 일반적인 관행이다. 토큰을 사용해서 혹은 액세스 제어 범주 내에서 식별하는데 이용 가능한 액세스 권리 및 신원을 토큰이 간결하게 나타내도록 제 2 토큰을 유도함으로써, 인증된 액세서와 관련된 다양한 보안 제어 파라미터를 그 토큰 자체로 인코딩하는 것이 일반적인 관행이다. 이러한 일반적인 관행으로 토큰을 생성할 수는 있지만, 가까운 장래에 사용자가 사용할 수 있는 인증 정보의 예측 결과로서 멀티-액세스 토큰은 생성할 수 없다. 본 명세서에서 설명된 시스템 및 기술은, 인증이 사용되기 전에 개선된 멀티-액세스 토큰을 제공하여, 적시 토큰 생성에 의한 잠재적인 지연을 감소시킨다.
일반적으로, 요청자(805)는 제 1 보안 범주(820)에 있는 객체에 대한 액세스 권리의 집합에 대한 자격을 가질 수 있다. 예를 들어, 회사의 직원은, 그 회사의 모든 직원이 사용할 수 있는 컨텐츠를 갖고 있는 공유 웹 스토리지에 자유롭게 액세스할 수 있다. 요청자(805)는 또한 제 2 보안 범주(825)에 있는 객체에 대한 다른 액세스 권리의 집합에 대한 자격을 가질 수 있다. 또 다른 예로서, 정보 또는 정보를 생성하기 위한 프로그램에 액세스될 수 있으며, 이는 제 1 회사와 제 2 회사 사이의 약정에 따라 제 1 회사에 링크된 제 2 회사의 저장소에 위치된다. 제 1 회사의 직원은, 이 정보나 프로그램에 액세스할 때, 액세스의 타입 및 수, 액세스되는 리소스의 타입 및 속성에 제한을 받을 수 있다. 이러한 액세스가 허용되는 기간도 제한받을 수 있다. 따라서, 하나의 보안 범주 내에 모두 포함되지 않을 수도 있는 리소스에 동시에 액세스하는 것을 용이하게 하기 위해서, 토큰 생성기(845)는 제 1 토큰으로 또는 제 2 토큰에 의해 식별되는 토큰의 집합으로, 신원의 집합 및 이들 신원으로 이용 가능한 액세스 권리로 인코딩될 수 있다.
제 1 또는 제 2 토큰은 제 1 보안 범주(820) 및 제 2 보안 범주(825)와 같은 다수의 보안 범주에서 참조(consult)될 수 있다. 예를 들어, 제 1 또는 제 2 토큰은 MET(Multi-provider/Multi-access Edge Trust-credentials)라고 지칭될 수도 있다. 종합하면, 이러한 MET 크리덴셜(예를 들어, 토큰으로 인코딩됨, JSON(JavaScript Object Notation) 웹 토큰(JWT), CBOR(Consistent Binary Object Representation) 웹 토큰(CWT), OAuth2 토큰 등)은 다수의 정보 리소스에 액세스하는 권리를, 상이한 액세스 제어 범주에서 상이한 방식으로 번역(translated)(예를 들어, 해석)되는 단일 토큰을 사용해서 능률적인 방식으로 계산하는 동안에, 인코딩한다. 토큰 구조는 신원을 다수의 이름-값(name-value) 속성과 연관시키는 이름-값 쌍 구조이다. 토큰은 사용자 장치, 사용자, 서비스, 서버 장치 등과 같은 장치에 적용될 수 있다. 토큰은, API 콜에 인증 또는 인가 컨텍스트를 제공하는 방식으로, RPC(remote procedure call) 및 RESTful(representational state transfer) HTTP(하이퍼텍스트 전송 프로토콜)/COAP(constrained application protocol) 또는 기타 분산형 API(application programming interface)로 교환될 수 있다.
도 8은 제 1 보안 범주(820) 및 제 2 보안 범주(825)를 도시한다. MET 토큰은, 워크로드의 태스크의 실행을 요청하기 위해서 에지 리소스에 액세스할 때 요청자(805)의 장치가 사용할 범주의 컨텍스트를 확립하는 데 사용된다. 토큰은, 토큰 내의 이름-값 쌍의 세트인 요청자 데이터를 포함한다. 토큰은, OAuth2와 같은 일반적인 웹 액세스 프로토콜에 따라서, 3단계 프로토콜에 따라 작동한다. 요청자(805)는, 사용자 인증, 장치 인증, 장치 증명(attestation) 또는 기타 인가 체킹을 제공하는 것과 같은 웹 액세스 서비스에 접속된다. 액세스 서비스는 토큰(액세스 서비스에 의해 서명됨)을 발행한다. 요청자(805)는 API 콜을 수행하고, 서비스와 함께 토큰을 포함한다. 액세스되는 서비스는 제 1 보안 범주(820) 또는 제 2 보안 범주(825) 중 하나이다. 이 범주로의 액세스란, 범주 경계 내에 배치된 임의의 서비스로의 액세스를 의미한다.
보안 제공자 엔티티(810)는 액세스 서비스와 동등할 수 있다. 도 8은 보안 제공자 엔티티(810)를 통한, 요청자(805)로부터 제 1 보안 범주(820) 또는 제 2 보안 범주(825)로의 액세스를 도시한다. 예로서, 제 1 보안 범주(820) 또는 제 2 보안 범주(825)에 있는 서버에 직접 접속될 수도 있다. 사이드바 메시지 교환(Sidebar message exchanges)은 MET 토큰을 리턴할 수 있다(도 8에는 멀티-액세스 토큰으로 표시됨).
토큰 태그-값(tag-value) 속성의 컨텐츠는, 요청자(805)의 장치가 보안 제공자 엔티티(810)에 인증하는 방법에 의존한다.
속성은 예컨대, 사용자 인증-사용자 이름, 사용자 인증 키, 액세스 허가의 길이, 장치 인증-장치 이름, 장치 인증 키, 액세스 허가의 길이, 장치 승인-장치 이름, 액세스 가능한 서비스, 승인된 액세스의 레벨, 승인 그룹, 액세스 허가의 길이, 증명-장치 이름, 장치 유형, 장치 모델, 장치 벤더, 설치된 장치 펌웨어, 장치 동작 상태, 장치 부팅 상태, 장치 신뢰점(root-of-trust) 기능, 장치 개정판/버전 등을 포함할 수 있지만, 이것으로 한정되는 것은 아니다.
토큰에 포함되는 속성은, 보안 범주 이름, 보안 범주 검색 서비스, 보안 범주 서비스, 보안 범주 보안 레벨, 보안 범주 그룹/서브-그룹(이들은 서버 클러스터, 플레이버 클러스터, FaaS(Function-as-a-Service), PaaS(Platform-as-a-Service), 컨테이너 포드 관리자, 조율기, 태스크 스케줄러 등을 포함할 수 있음), 보안 범주 리소스, 보안 범주 데이터 풀 등을 포함할 수 있지만 이것으로 한정되는 것은 아니다. 이들 중 일부는 보안 범주 검색 서비스를 참조한 이후에만 보는 것이 가능하다(visible). 토큰은, 보안 범주 자산(asset)에 액세스할 수 있는 승인인, 범주, 그룹, 서브-그룹, 리소스, 서비스 등의 리스트를 포함할 수 있다. 토큰은, 사용 가능한 자산에 경로 정보를 제공하기 위해 검색 서비스를 승인한다.
예로서, 보안 제공자 엔티티(810)는 보안 범주 검색 서비스에 대한 액세스만 인가하는 MET 토큰을 제공할 수 있으며, 이는 이후에 장치에서 정보를 추가로 획득하고, 사용자가 제 1 범주에서 기대할 수 있는 액세스의 유형에 특정한 제 2 토큰을 발행한다. 제 2 범주의 특정 자산과 관련하여 제 2 토큰이 발행되었을 수 있다. 이렇게 함으로써, MET 토큰은, 토큰들 중에서 속성이 범주 특정 토큰인 토큰일 수 있다. 이로써 '다중-범주' 에지 토큰이라고 알려진 다중-공급자가 될 수 있다.
MET 토큰을 발행하기 위한 프로토콜은, 토큰 내에 토큰을 포함하기 위해서는 토큰 발행의 다른 레이어가 필요하기 때문에 위에 도시된 것보다 더 복잡할 수 있다. T1은 범주 P1 및 P2에 대한 검색 액세스를 승인하는 제 1 토큰을 가리킨다. 그리고 T2는 P1이 발행한 토큰을 가리키고, T3은 P2가 발행한 토큰을 가리킨다. 이후, 사용자는 T1, T2 및 T3을 제공하는 보안 제공자 엔티티(810)로 돌아가서 토큰들 중 한 토큰을 포함하는 MET 토큰을 요청할 수 있다. 이로써, T2 및 T3을 T4의 속성으로서 포함하는 T4 토큰이 발행된다.
요청자(805)와 보안 제공자 엔티티(810) 사이의 상호작용은, 토큰 생성기(845)-토큰 발행 이외에 시스템(830) 기능에 특정한 추가적인 요청/응답 프로토콜 상호작용(예를 들어, 예측 모델 생성기(835), 에스컬레이션 예측기(840), 및 교정기(850)에 의해 제공됨)을 포함할 수 있다.
이러한 상호작용 각각은, 시스템(830)의 의도에 따라서, 다른 기능(예를 들어, 예측 모델 생성기(835), 에스컬레이션 예측기(840) 및 교정기(850)) 각각의 요청/응답 프로토콜에 특정한 요청 데이터를 포함한다.
예를 들어, 요청자(805)의 토큰(MET(Multi-access/multi-provider Edge Token)은 다음과 같이 상이한 보안 범주에서 번역될 수 있다: 제 1 보안 범주(820)에서, ID1으로 식별된 요청자(805)는 정보(I1)로의 액세스가 허용된다. 제 2 보안 범주(825)에서, ID1으로 식별된 요청자(805)는 정보(I2)로의 액세스가 허용된다. 제 3 보안 범주(도시 생략)에서, 프록시 ID3으로 식별된 요청자(805)는 정보(I3)로의 액세스가 거부된다. 제 4 보안 범주(도시 생략)에서, 프록시 ID2로 식별된 요청자(805)는 정보(I4)로의 액세스가 허용된다.
액세스의 허가/방지 결정은 토큰으로 인코딩된 정확한 또는 프록시 신원에 대한 서로 다른 매핑을 갖는 동일한 토큰에 기초하여 행해진다. 토큰(MET)은 신원의 세트 및 이들 신원에 대한 분산된 정보의 소스로의 액세스 권리에 대한 편리한 핸들의 역할을 한다.
액세스 레벨 및 통신 채널 속성
여러 형태의 액세스 제어 프로토콜에서, 상이한 유형의 데이터 또는 프로그램 객체를 복수의 액세스 레벨 또는 액세스 클래스에 배치하는 것이 일반적이다. 요청자(805) 장치 또는 계산 프로그램이 특정 정보 리소스에 대한 액세스를 개시할 때, 토큰 또는 인증 크리덴셜은 자신이 정보 리소스가 배치되는 액세스 레벨의 범위에 매핑되는지 여부를 결정하기 위해 번역 또는 해석(예를 들어, 매핑)될 수 있다. 매핑된다면 액세스가 계속될 수 있다. 또한, 액세스 레벨은 액세스가 진행될 때 거칠 수 있는 통신 채널에 대한 다양한 보안 속성을 결정할 수도 있다.
예를 들어, 매우 민감하거나, 비밀이거나, 높은 상업적 가치와 연관된 것으로 간주되는 정보는, 강력한(예를 들어, 2048비트 키 등) 종단 간 암호화를 이용하는 채널을 통해서 입수될 수 있으며, 이로써 요청자(805)에게 라우팅될 수 있는 정보가 지나는 하드웨어 및 소프트웨어 중개자가 정보를 획득하거나 변경하는 것을 방지한다.
예로서, 정보는 비밀이 아닌 것으로 간주될 수는 있지만 무결성 보존 인코딩(integrity preserving encoding)을 통해 송신됨으로써, 중개자가 검출없이 데이터를 우발적으로 또는 의도적으로 수정하는 것이 불가능하게 한다. 무결성 보존 인코딩에서, 정보는 디코딩되는 것으로부터 보호되지 않을 수 있지만, 인코딩된 정보의 어떤 의도적인(attempted) 변경 또는 우발적인 변경은, 정보의 수신자(예를 들어, 요청자(805))에서 검출 가능한 오류를 발생시킨다. 다른 예로서, 정보는 "낮은 등급" 비밀로 간주될 수도 있고, 혹은 높은 오버헤드 암호화를 필요로 하지 않을 수 있으며, 암호화에 더 작은 암호화 키(예를 들어, 128비트 키 등)가 사용될 수 있다.
보안 범주의 액세스 레벨
제 1 보안 범주(820)의 주체(principal)에 의해 액세스될 때 제 1 액세스 레벨이 부여되는 정보 리소스는, 제 2 보안 범주(825)의 주체에 의해 액세스될 때 제 2 액세스 레벨이 부여될 수 있다. 유사하게, 각각의 다중 보안 범주로부터의 주체에 의한 액세스에 적용 가능한 다중 액세스 레벨은, 액세스가 진행될 때 거치는 통신 채널에 대한 다중 보안 속성도 결정한다.
따라서, 제 1 보안 범주(820)의 정보 리소스는 상이한 액세스 레벨과 연관될 수 있으며, 제 1 보안 범주(820)로부터의 액세스를 위한 홈 액세스 레벨 L0, 제 2 보안 범주(825)로부터의 액세스를 위한 제 1 액세스 레벨 L1 , 제 3 보안 범주로부터의 액세스를 위한 제 2 액세스 레벨 L2 등이 있다.
에지 워크로드/SLO(service level objective)는 여러 에지 노드(예를 들어, 도 6에 도시된 바와 같은 에지 노드(620, 640, 650, 660) 등)에 대한 컴퓨트를 요구할 수도 있고 혹은 워크로드 실행 계획을 준비하기 위해 프로비저닝 및 관리 노드(예를 들어, 도 6에 도시된 에지 프로비저닝 노드(644) 등)의 서비스를 요구할 수도 있다. 각 노드/서비스는 토큰의 형태의 승인을 사용할 수 있으며, 여기서 다양한 레벨이 각 에지 노드와 연관된다.
다른 차원의 레벨은 요청자의 트러스트 레벨과 리소스 관리자의 트러스트 레벨을 식별한다. 요청자는, 일반적인 운영 체제 프로세스(예를 들어, ring-3 등)인 경우와 같이, 덜 강화된 트러스트 레벨에서 동작할 수 있는 반면, 강화된 요청자는 가상화, 향상된 데이터 보호 루틴 또는 보안 엔진(예를 들어, FPGA(Field-Programmable Gate Array), NIC(Network Interface Card), BMC(Baseboard Management Controller) 또는 기타 강화된 마이크로 컨트롤러)을 사용해서 보호될 수 있다. 따라서 토큰은 수평(보안 범주) 지정 및 수직(강화의 정도) 지정을 모두 가질 수 있다. 따라서, 토큰은 강화 레벨을 V로, 수평 레벨(구획이라고도 함)을 H로 열거할 수 있다. 토큰은 V:H 값의 세트, 즉 V1: H1, H2; V2: H2, H3, H4; V3: H1, H4; 등을 가질 수 있다.
보안 범주는 수평(예를 들어, 제 1 보안 범주(820), 제 2 보안 범주(825) 등) 측면(aspect) 및 수직 측면(aspect) 모두를 가질 수 있다. 수직 측면은 도 8에는 도시되어 있지 않지만, 예를 들어, 도 7a는 프로세서(704) 및 NIC(720)가 높은 수직 트러스트(예를 들어, V3 등)를 갖고, IO 서브시스템(708)이 낮은 수직 트러스트(예를 들어, V2 등)를 갖는 것을 도시하고 있다. 따라서, (V3:720,704) 권한(privilege)을 포함하는 토큰을 사용하면 프로세서와 NIC는 V3 레벨 권한에서 상호작용할 수 있다. 노드(700)에 대한 액세스를 인가하는 토큰은, 이 토큰이 V0의 컴퓨트 노드의 모든 구성요소에 대한 액세스를 나타내는 (V0:702, 708, 712, 714, … )를 포함할 수 있도록, 훨씬 더 낮은 수직 트러스트(예를 들어, V0 등)를 사용하여 액세스를 표시할 수 있다. 컴퓨트 노드의 구성요소가 더 안전한 모드로 전환될 수 있는 경우, 예를 들어 CPU(704)는 수직 모드 V0와 V3 사이에서 동적으로 전환할 수 있다. 이로써, (V3:…) 및 (V0:…) 모두에 대한 액세스 정책을 동적으로 만족시킬 수 있다. 이것은 각 신원이 권한 레벨 수준에서 표현될 수 있으므로, 합성 신원과 관련된 것이다. 예를 들어 합성 신원과 적절하게 일치하는 퍼미션을 할당하는 Alice@V0_700, Alice@V1_708, Alice@V2, Alice@V3_704_712 등 및 별도의 크리덴셜이 발행될 수 있다.
그러나 신원은 사용자 이름과 혼동되어서는 안 된다. V2 퍼미션을 허가하는 신원에 대한 이름으로서 'Alice@V2'라는 이름이 사용된 경우에, 신원 크리덴셜은 권한이 연관된 승인된 소스가 될 것이다. 예를 들어, 신원 크리덴셜은 이름 및 퍼미션이라는 2개의 섹션을 가질 수 있으며, 여기서 이름='Alice@V2' 및 퍼미션=V2이다. 신원 크리덴셜 평가는 퍼미션 필드를 사용해서 이름 필드가 아닌 권한을 할당한다. 예를 들어 이름='Alice@V1'이고 퍼미션=V2인 경우 부여된 권한은 V2이다. 이름에서 V1을 인코딩하는 것은 오기로 간주될 수 있지만, 액세스 제어 결정에 사용되어서는 안 된다.
액세스 레벨 L1, L2 등을 합성 신원 P1, P2 등과 연관시키는 것이 바람직하다. 따라서, 요청자(805)가 보안 범주 Dn에 속하고 정보 리소스에 액세스할 수 있는 능력을 갖는 것으로 사전 검증에 의해 결정된 경우에, 요청자(805)는 합성 신원 Pn으로 액세스하는 기간 동안 자신의 신원을 확장하도록 허용될 수 있다. 편의상, 이러한 신원은, 정보 리소스에 액세스할 수 있는 능력을 가진 것으로 사전 검증에 의해 결정된 다른 요청자 신원 S@Pn, T@Pn 등과 구별하기 위해, R@Pn으로 표현될 수 있다.
해당 주체에 대한 MET 크리덴셜은 서로 다른 보안 범주의 상이한 액세스 레벨을 서로 다른 합성 신원을 통해 인코딩할 수 있다. 따라서, 정보 리소스에 액세스할 수 있는 능력은, 그 리소스를 MET 크리덴셜과 적용 가능한 액세스 레벨 및 통신 채널 보안 속성에 사용 가능하다고 하는 신원 중첩성(identity superposition)을 결정하는 것을 포함한다.
이 중첩성은, 모든 허가된 퍼미션을 최상위부터 최하위의 순서로 나열해서 액세스 범위를 시각화함으로써 발견된다. 일반적으로, 리소스 그래프의 리프(leaf)(리프 노드)에 최상위 퍼미션을 배치하고 네트워크 토폴로지의 루트 또는 중앙에 최하위 퍼미션을 배치하는 보안 정책이 적용된다. 이로써, 낮은 레벨의 태스크는 액세스 권한을 부여받지 않은 높은 레벨의 환경에는 들어가지 않으므로, 종료될 때 권한 에스컬레이션의 위험이 낮다. 예를 들어, 도 7a에서 IO 서브시스템(708)은 모든 IP 블록이 통신할 때 이용하는 시스템 버스이다. IO 서브시스템(708)은, 가능한 모든 권한 레벨을 획득할 필요없이 다른 IP 블록의 발견이 가능하도록, 낮은 권한을 가져야 한다. 높은 레벨에서 동작하는 리소스(예를 들어, NIC(720)는 V3에서 동작할 수 있음)는 더 낮은 레벨(예를 들어, V0)에서 발견될 수는 있지만 NIC(720)에서 실행하려면 레벨 V3이 필요하다는 것을 보여준다.
네트워크 범주를 포함하는 예는, 전체 에지 네트워크가 낮은 권한 레벨(예를 들어, V0)에서 동작할 수 있고, 리프 환경(예를 들어, CPU 내부의 엔클레이브)이 리프 노드/범주를 나타낼 때까지 동심의(concentric) 범주 뒤에 있는 리소스의 레벨이 높아진다. 동심원 범주(예를 들어, 스태킹 인형(stacking dolls) 모델 등과 같이)에서, 요청자는 두번째 인형의 존재 등을 발견하기 위해 첫번째 인형의 보안 레벨로 변경할 수 있는 등 한다. 피어 범주의 경우, 각각의 피어가 서로 다른 레벨에서 동작하더라도, 피어를 식별하는 현재 범주의 레이어에서 피어의 존재를 발견한다.
자동 트러스트 에스컬레이션을 위한 크리덴셜의 가변 강도 자동 에스컬레이션
요청자(805)는 일련의 계산 과정에서 하나 이상의 정보 리소스를 요청할 수 있다. 액세스되는 다수의 정보 리소스들은 동일한 액세스 범주 내의 서로 다른 액세스 레벨에 속할 수도 있고 혹은 다른 보안 범주에 속할 수도 있으며, 결과적으로 서로 다른 액세스 레벨과 연관될 수도 있다. MET 크리덴셜은 요청자(805)를 대신하여 제 1 보안 범주(820) 및 제 2 보안 범주(825)와 같은 보안 범주 및 서로 다른 정보 리소스에 걸쳐서, 동시적이고 원활한 액세스 제어를 용이하게 한다.
일련의 계산 동안 어느 특정 정보 리소스가 액세스될 수 있을지 미리 알 수는 없다. 적시에 필요에 따라서 액세스 결정을 수행함으로써 요청시에 확장 혹은 생성되는 MET 크리덴셜은, 이러한 결정 자체에 상당한 계산 및 통신이 필요할 수 있기 때문에 지연시에 비용이 많이 소모될 수 있다.
다른 방안으로, 다양한 도메인에 걸친 가능한 모든 정보 리소스를 예상하고, 포괄적인 MET 크리덴셜을 구축하기 위한 액세스 결정을 미리 수행하는 것은, 잠재적인 리소스 및 보안 범주의 수가 증가하기 때문에 상당히 비용이 많이 들고 확장이 불가능할 수 있다. 예를 들어, 포괄적인 MET 크리덴셜을 구축하는 것은 가까운 장래에 여러 도시로 여행해야 할 경우를 대비해서 여러 도시로 가는 다수의 비행기 티켓을 미리 구매하는 것과 같다.
MET 토큰을 완전히 사전에 미리 생성하고 전체 계산을 통해 이를 사용하는 것도, 그 MET 토큰으로 인코딩된 액세스 레벨에 대한 가장 최소한의 보안 특성으로 의미될 수 있는 가장 요청이 많은 통신 채널 보안 조항 하에서 액세스가 진행되기 때문에, 오버헤드를 발생시킨다.
정시 에스컬레이션 및 포괄적인 MET 토큰 생성에 의해 도입된 지연 및 오버헤드 낭비의 문제를 해결하기 위해, 본 명세서에서 설명되는 시스템 및 기술은 예측 모델을 사용해서 MET 토큰으로 인코딩되는 가장 가능성 있는 액세스 크리덴셜 요구를 추정한다. 이는, 모든 크리덴셜 인코딩을 포함하는 MET 토큰에 비해서 오버헤드를 감소시키기 위해서 제한된 크리덴셜 세트를 가진 크리덴셜이 요구되기 전에, MET 토큰을 미리 생성하여 지연을 감소시킨다.
예측 모델 생성기(835)는 인증 에스컬레이션(예를 들어, MET 크리덴셜 확장)이 필요할 시점을 결정하기 위해 예측 모델을 생성한다. 다른 테넌트의 워크로드는 예측 모델 생성기에 의해 예측 모델을 트레이닝/통지하는 데 사용될 수 있다. 예를 들어, 통계 계산 워크로드를 실행하는 요청자는 제 1 보안 범주(820) 및 제 2 보안 범주(825) 내의 정보에 액세스할 수 있다. MET가 획득되고 있는 동안에(예컨대, 생성 혹은 확장되는 동안에), MESSOSP(Multi-provider Edge Single-Sign-On Session Prediction)이 수행될 수 있다.
에스컬레이션 예측기(840)는, 예측 모델 생성기에 의해 생성된 예측 모델을 사용해서 요청자(805) 및 대응하는 요청자(805) 데이터를 평가함으로써 예측된 리소스에 대한 액세스의 에스컬레이션 가능성을 나타내는 출력을 획득할 수 있다. 예를 들어, 요청자는 통계적인 계산 워크로드로의 액세스를 요청할 수 있으며, 예측 모델을 사용한 평가를 통해서 제 1 보안 범주(820) 및 제 2 보안 범주(825)에 대한 액세스가 사용되지 않을 가능성이 더 높다는 것을 나타내는 출력을 생성할 수 있다. 예측을 위한 임계값은, 가능한 정시 에스컬레이션을 감소시켜서 지연을 줄이면서 오버헤드를 증가시킬 수 있는 더 많은 크리덴셜이 인코딩될 수 있도록 조정될 수도 있고, 혹은 가능한 정시 에스컬레이션으로 인한 지연을 증가시키면서 오버헤드를 줄이도록 더 적은 크리덴셜을 인코딩되도록 조정될 수도 있다. MET 토큰의 초기 강도는 워크로드의 실행을 완료하여 교정 단계를 회피할 가능성이 가장 높은 것으로 결정될 수 있다. 토큰 생성기(845)는 위에서 설명된 바와 같이 에스컬레이션 예측기(840)에 의해 예측된 크리덴셜로 MET 토큰을 생성 또는 업데이트할 수 있다.
교정기(850)는, 원하는 액세스가 진행될 수는 있지만 채널 보안 속성은 업그레이드할 필요가 있다는 것을 식별할 수 있다. 교정기는 원하는 속성으로 신규 채널을 생성할 수 있으며, 액세스는 신규 채널을 통해서 진행될 수 있다. 예로서, 교정기(850)는, 예측 모델 생성기(835)에 의해 평가될 예측 모델에 대한 신규 트레이닝 엔트리를 생성할 수 있다.
교정기(850)는 원하는 액세스를 현재 MET 크리덴셜 강도로 진행할 수 없다는 것을 식별할 수 있다. 교정기(850)는 액세스 결정을 수행하기 위해 보안 서비스를 요청할 수 있다. 예를 들어, 교정기(850)는, 요청자(805)가 적용 가능한 트러스트 관계 및 계약 하에서 이 정보 리소스에 액세스할 수 있는지, 및 어떤 적용 가능한 액세스 레이블 및 합성 신원 하에서 요청자(805)가 정보 리소스에 액세스할 수 있는지를 결정할 수 있다. 요청자(805)가 리소스에 액세스할 수 있는 경우, 교정기(850)는 토큰 생성기(845)에 추가 액세스 레이블 및 합성 신원을 인코딩하는 신규 MET 크리덴셜을 생성하도록 요청할 수 있고 액세스가 진행될 수 있다. 요청자(805)가 정보 리소스에 액세스할 수 없는 경우, 교정기(850)는 액세스 거부 통지로 응답할 수 있다. 교정기(850)는 예측 모델 생성기(835)에 의해 예측 모델을 재트레이닝하기 위한 트레이닝 엔트리를 생성할 수 있다.
교정기(850)는 토큰 생성기(845)가 감소된 크리덴셜/액세스 레벨 세트가 내부에 인코딩되어 있는 MET 토큰을 재생성하도록 요청함으로써 보안을 디에스컬레이트(de-escalate)할 수 있다. 짧은 기간 동안 높은 레벨의 보안 액세스를 계속 허용하기 위해서 일부 상황에서는 디에스컬레이션이 바람직할 수 있다. MET 크리덴셜은, 짧은 기간 동안 적시에 연속적으로 발생하지 않는 한 민감 정보 리소스에 액세스하기 위해 다시 생성될 수 있다. 예를 들어, 의료 데이터베이스에 대한 SSL(Secure Sockets Layer) 접속은, 액세스가 수행되는 장치가 만약 일부 악의적인 엔티티에 의해 하이재킹된 경우에 정보가 누출될 수 있는 가능성을 제한하기 위해서, 신속하게 타임아웃으로 될 수 있다. 이후에, 액세스 가능성을 처음부터 다시 계산할 필요가 없다. 오히려, 디에스컬레이션이 수행된 시점과 에스컬레이션 단계가 요구되는 시점 사이의 중간 기간 동안에 보안 규칙 변경이 없는 경우에, 이전에 저장된(예를 들어, 캐시된) MET 토큰이 설치/제공될 수 있는 검증 절차가 정의된다. 예측 모델은 또한 이러한 재에스컬레이션(re-escalation)을 예측하기 위해 예측 모델 생성기(835)에 의해 트레이닝될 수 있다.
예측 모델의 출력에 기초해서 생성된 MET 토큰은 도메인 제공자 사이의 전환 및 이들 사이의 중재시 관련될 수 있다. 트레이닝 데이터는 예측 모델 생성기(835)에 의해 개발 및 처리되어서, 미리 전환 및 이 전환을 위한 합성 신원을 예측할 수 있다. 따라서, 도메인별 보안 컨트롤러는 토큰 생성기(845)에 의해서 MET 크리덴셜을 최소 오버헤드로 다른 도메인의 요청자(805)로부터 확장하기 위해서 합성 신원을 생성할 수 있다.
예로서, 서비스가 요구되기 이전에, 서비스의 세분화된(예를 들어, 상세한) 에스컬레이션이 구성될 수 있다. 토큰 생성기(845)가 충분한 초기 강도를 가진 MET 크리덴셜을 미리 생성하는 과정은, MET 크리덴셜이 천천히 확장되고 통신 채널 강도가 점진적으로 증가되는 시퀀스로 세분화될 수 있다. 예를 들어, 128 비트의 암호화 키는 512 비트 또는 2048 비트의 암호화 키로 업그레이드될 수 있다. 이것은 관찰된 몇 가지 이전 상태에 기초해서 다음 상태를 예측하는 Markov Predictor를 구축하는 것과 유사할 수 있다.
예로서, 액세스/채널 속성이 중개될 때 거칠 수 있는 중개자를 설정하기 위해서, 제 1 보안 범주(820)의 요청자(805)의 환경과 제 2 보안 범주(825)의 정보 리소스 환경의 협상을 행하기 위한 프로토콜이 제공된다. 예를 들어, 요청자(805)의 환경은 크리덴셜을 확장하기에 충분한 시간 또는 계산 리소스가 부족할 수 있고, 크리덴셜을 제3자 서비스가 갖는 제공자의 환경에 제3자 서비스를 제안할 수 있다. 제3자 서비스는 요청자(805) 및 요청된 리소스의 제공자를 대신하여 위임받은 액세스를 용이하게 행할 수 있다.
예로서, 어떤 엔티티가 인터렉션을 위해서 자신의 프라이버시 또는 보안을 포기할 것인지를 결정하기 위해서 일련의 이해 관계를 협상하기 위한 프로토콜이 제공될 수 있다. 예로서, 고정 액세스 레이블 대신 액세스 레이블의 범위가 사용될 수 있다. 따라서 정보 리소스는, 디폴트 액세스 레이블 아래에서는 필수적인 것만 제공하고, 더 엄격한 다른 액세스 레이블 아래에서는 더 민감한 정보를 제공하도록, 유동적으로 분할될 수 있다.
다른 예로서, 비용이 많이 드는 액세스 결정은, X가 Y에 액세스할 수 있다는 것을 증명하기 위해 프록시 크리덴셜을 검증하고, X가 Y에 액세스할 수 있다는 시그니처를 Z에 의해 제공함으로써 대체될 수 있으며, 여기서 Z는 X에 대해 책임짐으로써(예를 들어, 면책) Y에 대한 X'의 액세스를 신속하게 처리하는 Y에 대한 트러스트할 수 있는 중개자이다. Z는 A의 신원에 대한 도전-응답 검증을 수행할 수 있으며, 이는 여러 에스컬레이션에 걸쳐서 더 빠르게 상환(amortize)될 수 있다.
또 다른 예로서, 요청자(805)는 자신의 MET 토큰에 의해 커버되지 않는 정보를 요청할 수 있고, 제공자의 환경은 리소스가 제공될 수 있는 액세스 레이블의 범위를 식별할 수 있다. 일부 액세스 레이블은, 요청자(805)의 환경이 컨텐츠의 일부에 대한 즉각적인 액세스를 용이하게 하고 따라서 더 빠른 액세스를 위해서 절충되는(traded off) 프라이버시 또는 보안의 양을 제한하는, 시그니처 어레인지먼트(signature arrangement) 하에서 액세스를 허용할 수 있다. 다른 액세스 레이블 하에서, 액세스는 매우 제한된 기간 동안 제공될 수 있으며, 프라이버시 손실을 제한하기 위해 단위 시간당 허용되는 읽기 수에 캡이 씌워질 수 있다. 다른 액세스 레이블에서는, 요청자가 긴급 상황을 주장하는 것에 응답해서, 더 강력한 채널을 요구하지 않고, 더 빠른 액세스를 허용하기 위해 보안 채널 속성만 더 낮을 수 있다.
도 9는 일 실시예에 따른 트러스트 크리덴셜의 자동 에스컬레이션을 위한 프로세스(900)의 예의 흐름도를 도시한다. 프로세스(900)는 도 8에 설명된 바와 같은 특성을 제공할 수 있다.
동작 905에서, 에지 네트워크와 같은 네트워크 상에서 동작하는 워크로드에 대한 워크로드 데이터가 수집될 수 있다. 워크로드 데이터에는 워크로드 및 대응하는 보안 레벨을 실행하는 데 사용되는 정보 제공자 및 구성 옵션이 포함될 수 있다.
동작 910에서, 머신 학습 모델은, 실행될 요청 혹은 예측된 워크로드에 기초해서 요청자가 정보 리소스의 세트에 액세스할 확률을 출력하는 에스컬레이션 예측 모델을 개발하기 위해, 워크로드 데이터를 사용해서 트레이닝될 수 있다. SLA/SLO 및 워크로드 실행 계획은 워크로드의 어떤 태스크에 어떤 퍼미션이 필요한지를 정확하게 정의할 수 있다. 퍼미션 및 태스크에서의 이상을 찾아내도록 AI 모델을 트레이닝함으로써, 조율기, 계획, 태스크 스케줄러 및 기타 동작 인프라가 부적절하게/비효율적으로 거동하는 시점을 검출할 수 있다. 이는, 네트워크에 실제 데미지가 가해지기 전에, 공격자가 이들 엔티티 중 하나를 손상시키는데 성공해서 공격을 준비하고 있다는 신호일 수 있다.
동작 915에서, 요청자 데이터가 수신될 수 있다. 요청자 데이터는, 에스컬레이션 예측 모델에 입력될 수 있는 요청자의 사용 파라미터를 설명하는, 요청된 워크로드, 과거 워크로드, 워크로드 실행의 패턴 등을 포함할 수 있다.
동작 920에서, 요청자 데이터는 예측된 정보 리소스에 액세스하기 위한 크리덴셜과 보안 액세스 레벨 및 보안 구성 옵션을 결정하기 위해, 에스컬레이션 예측 모델을 사용하여 평가될 수 있다.
동작 925에서, 요청자에 대한 멀티-액세스 토큰이 생성될 수 있다. 멀티-액세스 토큰은 요청자가 액세스할 것으로 예상되는 정보 리소스에 액세스하기 위한 인코딩된 크리덴셜 및 보안 구성 옵션을 포함할 수 있다. 이는, 액세스될 것으로 예상되는 리소스에 대한 크리덴셜을 가진 사전 설정된 토큰을 요청자에게 제공해서, 인증 에스컬레이션 절차의 정시 처리를 감소시킴으로써 리소스가 액세스될 때 에스컬레이션 프로세스에서 지연을 일으키는 것을 방지한다.
예측 모델이 이상(anomaly)을 나타내는 경우, 이는 기록(log)되거나, 오프라인으로 리뷰되거나, 동작 925으로의 흐름이 중단되게 할 수 있다. 프로세스(900)에 결정 상자는 도시되어 있지는 않지만, 이는 이상의 평가를 지원하기 위해 존재할 수 있다. 프로세스(900)는, 네트워크에서 '다크(dark)' 자산을 포함한 관련 자산을 시행 착오를 거쳐서 발견하는 데 사용될 수 있다. 이것은, 중앙에서 관리되는 리소스 리스트가 손실/파괴되어서 재구축되어야 하는 경우에 사용될 수 있다. 따라서, 프로세스(900)는 또한 재해 복구 솔루션을 나타낸다.
동작 930에서, 예측된 요청은 예상대로 진행될 수 있고, 멀티-액세스 토큰은 정보 리소스에 액세스하기 위해 정보 제공자에게 전송될 수 있다.
판정 단계 935에서, 요청이 성공적인지 여부가 결정될 수 있다. 요청이 성공되면, 판정 단계 940에서 보안 크리덴셜이 디에스컬레이트되어야 하는지 여부가 결정될 수 있다. 예를 들어, 멀티-액세스 토큰이 매우 민감한 데이터에 대한 액세스를 포함하는 경우, 동작 925에서 디에스컬레이션 처리는 더 낮은 보안 토큰을 재생성할 수 있다.
판정 단계 935에서 요청이 성공되지 않은 것으로 판정된 경우, 동작 945에서 교정 프로세스가 개시될 수 있다. 예를 들어, 멀티-액세스 토큰을 전송하는 데 대안의 통신 채널이 사용될 수 있고, 액세스 레이블 및/또는 합성 신원과 같은 추가 구성 옵션이 멀티-액세스 토큰으로 인코딩될 수 있다. 판정 단계 950에서 교정이 성공된 것으로 결정된 경우, 동작 955에서 트레이닝 데이터가 업데이트될 수 있고, 프로세스는 전술한 바와 같이 계속되어서, 판정 단계 940에서 디에스컬레이션이 호출되어야 하는지 판정한다. 판정 단계 950에서 교정이 성공되지 않은 것으로 결정된 경우, 동작 955에서 트레이닝 데이터가 업데이트될 수 있고, 동작 960에서 거부 메시지가 요청자에게 전송될 수 있다. 프로세스는 동작 915에서, 멀티-액세스 토큰에 대해서 조정이 이루어져야 하는지 여부를 결정하기 위해 요청자 데이터를 계속 평가한다.
도 10은 일 실시예에 따른 트러스트 크리덴셜의 자동 에스컬레이션을 위한 방법(1000)의 예를 도시한다. 방법(1000)은 도 8 및 도 9에서 설명된 바와 같은 특징을 제공할 수 있다.
동작 1005에서, 요청자(예를 들어, 도 8에 설명된 바와 같은 요청자(805) 등에 의해)의 워크로드를 설명하는 요청자 데이터가 (예를 들어, 도 8에 설명된 바와 같은 에스컬레이션 예측자(840)에 의해) 수신될 수 있다.
동작 1010에서, 요청자 데이터는 (예를 들어, 도 8에 설명된 바와 같이 예측 모델 생성기(835)에 의해 생성된 바와 같은) 에스컬레이션 예측 모델을 사용해서 (예를 들어, 에스컬레이션 예측기(840) 등에 의해) 평가되어서 트러스트 크리덴셜의 세트를 결정한다. 예로서, 워크로드 데이터의 세트는 에지 네트워크의 복수의 테넌트로부터 획득될 수 있고, 머신 학습 모델은 에스컬레이션 예측 모델을 생성하기 위해 워크로드 데이터 세트를 사용하여 트레이닝될 수 있다. 예로서, 워크로드 데이터의 세트는 워크로드의 세트의 각 워크로드와 연관된 보안 파라미터를 포함할 수 있다. 예로서, 보안 파라미터는 워크로드에 대응하는 보안 범주 또는 보안 레벨 중 적어도 하나를 포함할 수 있다.
예로서, 트러스트 크리덴셜 세트의 결정은 에스컬레이션 예측 모델을 사용해서 요청자 데이터의 평가로부터 출력의 수신을 포함할 수 있다. 예로서, 출력은 요청자가 보안 범주에 액세스할 확률을 포함할 수 있다. 확률은 임계값을 벗어난다고 결정될 수도 있다. 보안 범주와 연관된 트러스트 크리덴셜이 식별될 수 있고 트러스트 크리덴셜이 트러스트 크리덴셜의 세트에 추가될 수 있다. 예로서, 트러스트 크리덴셜의 세트는 제 1 보안 범주에 대한 트러스트 크리덴셜과 연관된 제 2 보안 범주에 대한 프록시 트러스트 크리덴셜을 포함할 수 있다.
동작 1015에서, 트러스트 크리덴셜의 세트를 사용해서 (예를 들어, 도 8에 설명된 바와 같은 토큰 생성기(845) 등에 의해) 멀티-액세스 토큰이 생성될 수 있다. 예로서, 요청자에 대해 새로운 멀티-액세스 토큰이 생성될 수 있고 트러스트 크리덴셜의 세트가 신규 멀티-액세스 토큰 내에서 인코딩될 수 있다. 다른 예로서, 요청자에 대해 기존의 멀티-액세스 토큰은 획득될 수 있다. 트러스트 크리덴셜 세트가 인코딩될 수 있고, 인코딩된 트러스트 크리덴셜 세트가 요청자에 대한 기존 멀티-액세스 토큰에 추가될 수 있다. 예로서, 기존의 인코딩된 트러스트 크리덴셜의 세트는 기존 멀티-액세스 토큰으로부터 제거될 수 있다.
단계 1020에서, 멀티-액세스 토큰은 요청자의 요청을 이행하기 위해 정보 제공자에게 전송될 수 있다. 예로서, 정보 제공자와의 통신을 위한 통신 채널은 트러스트 크리덴셜의 세트의 트러스트 크리덴셜과 연관된 보안 레벨에 기초해서 식별될 수 있다. 멀티-액세스 토큰은 통신 채널을 통해 정보 제공자에게 전송될 수 있다.
예로서, 멀티-액세스 토큰을 사용하여 요청이 이행될 수 없다고 결정될 수 있다. 정보 제공자에 대한 대안의 통신 채널이 식별될 수 있고, 이 대안의 통신 채널을 통해 멀티-액세스 토큰이 전송될 수 있다.
다른 예로서, 멀티-액세스 토큰을 사용하여 요청이 이행될 수 없다고 결정될 수 있다. 정보 제공자에 액세스하기 위해 액세스 레이블 및 합성 신원이 식별될 수 있다. 액세스 레이블 및 합성 신원이 인코딩될 수 있고, 멀티-액세스 토큰이 정보 제공자에게 재전송될 수 있다.
또 다른 예로서, 멀티-액세스 토큰을 사용하여 요청이 이행될 수 없다고 결정될 수 있다. 액세스가 거부되고 에스컬레이션 예측 모델을 트레이닝하는 데 사용되는 트레이닝 데이터가 업데이트될 수 있음을 나타내는 응답이 요청자에게 전송될 수 있다.
추가 노트 및 예
예 1은 예측 멀티-액세스 토큰을 생성하는 시스템으로서, 적어도 하나의 프로세서와, 적어도 하나의 프로세서에 의해 실행될 때, 적어도 하나의 프로세서로 하여금 동작을 수행하게 하는 명령어를 포함하는 메모리를 포함하고, 동작은, 요청자의 워크로드를 설명하는 요청자 데이터를 수신하는 것 - 워크로드의 설명은 워크로드의 적어도 하나의 속성을 포함함 - 과, 에스컬레이션 예측 모델을 사용해서 요청자 데이터를 평가함으로써 트러스트 크리덴셜의 세트를 결정하는 것과, 트러스트 크리덴셜의 세트로부터 멀티-액세스 토큰을 조합(assemble)하는 것과, 요청자의 후속 요청을 이행하기 위해 멀티-액세스 토큰을 정보 제공자에게 전송하는 것을 포함한다.
예 2에서, 예 1의 청구 대상으로서, 적어도 하나의 속성은 보안 범주 이름(perimeter name), 보안 범주 검색 서비스, 보안 범주 서비스, 보안 범주 보안 레벨, 보안 범주 그룹, 보안 범주 서브-그룹, 보안 범주 리소스 또는 보안 범주 데이터 풀(data pool)인 것을 포함한다.
예 3에서, 예 1 또는 예 2의 청구 대상으로서, 메모리는, 적어도 하나의 프로세서로 하여금, 에지 컴퓨팅 네트워크의 복수의 테넌트로부터 워크로드 데이터의 세트를 획득하는 것과, 워크로드 데이터의 세트를 사용해서 에스컬레이션 예측 모델을 생성하도록 머신 학습 모델을 트레이닝하는 동작을 수행하게 하는 명령어를 더 포함하는 것을, 포함한다.
예 4에서, 예 3의 청구 대상으로서, 워크로드 데이터의 세트는, 워크로드 데이터의 세트에 대응하는 테넌트 워크로드들과 연관된 보안 파라미터를 포함하는 것을 포함한다.
예 5에서, 예 4의 청구 대상으로서, 보안 파라미터는, 테넌트 워크로드들 중 한 테넌트 워크로드에 대응하는 보안 범주 또는 보안 레벨 중 적어도 하나를 포함하는 것을 포함한다.
예 6에서, 예 1 내지 예 5 중 어느 하나의 청구 대상으로서, 트러스트 크리덴셜의 세트를 결정하는 명령어는, 에스컬레이션 예측 모델을 사용해서 요청자 데이터의 평가로부터 출력을 수신하는 것 - 출력은 요청자가 보안 범주에 액세스할 확률을 포함함 - 과, 확률이 임계값을 벗어난다고 결정하는 것과, 보안 범주와 연관된 트러스트 크리덴셜을 식별하는 것과, 트러스트 크리덴셜을 트러스트 크리덴셜의 세트에 추가하는 것을 더 포함하는 것을 포함한다.
예 7에서, 예 1 내지 예 6 중 어느 하나의 청구 대상으로서, 메모리는, 적어도 하나의 프로세서로 하여금, 트러스트 크리덴셜의 세트의 한 트러스트 크리덴셜와 연관된 보안 레벨에 기초해서 정보 제공자와 통신하기 위한 통신 채널을 식별하는 것과, 통신 채널을 통해 정보 제공자에게 멀티-액세스 토큰을 전송하는 것을 수행하게 하는 명령어를 더 포함하는 것을 포함한다.
예 8에서, 예 1 내지 예 7 중 어느 하나의 청구 대상으로서, 멀티-액세스 토큰을 조합하는 명령어는, 요청자에 대한 신규 멀티-액세스 토큰을 생성하는 것과, 신규 멀티-액세스 토큰 내에 트러스트 크리덴셜의 세트를 인코딩하는 것을 수행하게 하는 명령어를 더 포함하는 것을 포함한다.
예 9에서, 예 1 내지 예 8 중 어느 하나의 청구 대상으로서, 멀티-액세스 토큰을 조합하는 명령어는, 요청자에 대한 기존 멀티-액세스 토큰을 획득하는 것과, 트러스트 크리덴셜의 세트를 인코딩하는 것과, 인코딩된 트러스트 크리덴셜의 세트를 요청자에 대한 기존 멀티-액세스 토큰에 첨부하는 것을 수행하게 하는 명령어를 더 포함하는 것을 포함한다.
예 10에서, 예 9의 청구 대상으로서, 메모리는, 적어도 하나의 프로세서로 하여금, 기존 멀티-액세스 토큰으로부터 기존 인코딩된 트러스트 크리덴셜의 세트를 제거하는 동작을 수행하게 하는 명령어를 더 포함하는 것을 포함한다.
예 11에서, 예 1 내지 예 10 중 어느 하나의 청구 대상으로서, 트러스트 크리덴셜의 세트는 제 1 보안 범주에 대한 트러스트 크리덴셜과 연관된 제 2 보안 범주에 대한 프록시 트러스트 크리덴셜을 포함하는 것을 포함한다.
예 12에서, 예 1 내지 예 11 중 어느 하나의 청구 대상으로서, 메모리는, 적어도 하나의 프로세서로 하여금, 요청이 멀티-액세스 토큰을 사용해서 이행될 수 없다고 결정하는 것과, 정보 제공자를 위한 대안의 통신 채널을 식별하는 것과, 대안의 통신 채널을 통해 멀티-액세스 토큰을 전송하는 것을 수행하게 하는 명령어를 더 포함하는 것을 포함한다.
예 13에서, 예 1 내지 예 12 중 어느 하나의 청구 대상으로서, 메모리는, 적어도 하나의 프로세서로 하여금, 요청이 멀티-액세스 토큰을 사용해서 이행될 수 없다고 결정하는 것과, 정보 제공자에 액세스하기 위한 액세스 레이블 및 합성 신원을 식별하는 것과, 액세스 레이블 및 합성 신원을 인코딩하는 것과, 멀티-액세스 토큰을 정보 제공자에게 재전송하는 것을 수행하게 하는 명령어를 더 포함하는 것을 포함한다.
예 14에서, 예 1 내지 예 13 중 어느 하나의 청구 대상으로서, 메모리는, 적어도 하나의 프로세서로 하여금, 요청이 멀티-액세스 토큰을 사용해서 이행될 수 없다고 결정하는 것과, 액세스가 거부되었다는 것을 나타내는, 요청에 대한 응답을 전송하는 것과, 에스컬레이션 예측 모델을 트레이닝하는 데 사용되는 트레이닝 데이터를 업데이트하는 것을 수행하게 하는 명령어를 더 포함하는 것을 포함한다.
예 15는 예측 멀티-액세스 토큰을 생성하기 위한 명령어를 포함하는 적어도 하나의 비일시적 머신-판독가능 메모리로서, 명령어는 적어도 하나의 프로세서에 의해 실행될 때, 적어도 하나의 프로세서로 하여금 동작을 수행하게 하며, 동작은, 요청자의 워크로드를 설명하는 요청자 데이터를 수신하는 것 - 워크로드의 설명은 워크로드의 적어도 하나의 속성을 포함함 - 과, 에스컬레이션 예측 모델을 사용해서 요청자 데이터를 평가함으로써 트러스트 크리덴셜의 세트를 결정하는 것과, 트러스트 크리덴셜의 세트로부터 멀티-액세스 토큰을 조합하는 것과, 요청자의 후속 요청을 이행하기 위해 멀티-액세스 토큰을 정보 제공자에게 전송하는 것을 포함하는 것을 포함한다.
예 16에서, 예 15의 청구 대상으로서, 적어도 하나의 속성은 보안 범주 이름, 보안 범주 검색 서비스, 보안 범주 서비스, 보안 범주 보안 레벨, 보안 범주 그룹, 보안 범주 서브-그룹, 보안 범주 리소스 또는 보안 범주 데이터 풀인 것을 포함한다.
예 17에서, 예 15 또는 예 16의 청구 대상으로서, 적어도 하나의 프로세서로 하여금, 에지 컴퓨팅 네트워크의 복수의 테넌트로부터 워크로드 데이터의 세트를 획득하는 것과, 워크로드 데이터의 세트를 사용해서 에스컬레이션 예측 모델을 생성하도록 머신 학습 모델을 트레이닝하는 동작을 수행하게 하는 명령어를 포함하는 것을 포함한다.
예 18에서, 예 17의 청구 대상으로서, 워크로드 데이터의 세트는, 워크로드 데이터의 세트에 대응하는 테넌트 워크로드들과 연관된 보안 파라미터를 포함하는 것을 포함한다.
예 19에서, 예 18의 청구 대상으로서, 보안 파라미터는, 테넌트 워크로드들 중 한 테넌트 워크로드에 대응하는 보안 범주 또는 보안 레벨 중 적어도 하나를 포함하는 것을 포함한다.
예 20에서, 예 15 내지 예 19 중 어느 하나의 청구 대상으로서, 트러스트 크리덴셜의 세트를 결정하는 명령어는, 에스컬레이션 예측 모델을 사용해서 요청자 데이터의 평가로부터 출력을 수신하는 것 - 출력은 요청자가 보안 범주에 액세스할 확률을 포함함 - 과, 확률이 임계값을 벗어난다고 결정하는 것과, 보안 범주와 연관된 트러스트 크리덴셜을 식별하는 것과, 트러스트 크리덴셜을 트러스트 크리덴셜의 세트에 추가하는 것을 더 포함하는 것을 포함한다.
예 21에서, 예 15 내지 예 20 중 어느 하나의 청구 대상으로서, 적어도 하나의 프로세서로 하여금, 트러스트 크리덴셜의 세트의 한 트러스트 크리덴셜와 연관된 보안 레벨에 기초해서 정보 제공자와 통신하기 위한 통신 채널을 식별하는 것과, 통신 채널을 통해 정보 제공자에게 멀티-액세스 토큰을 전송하는 것을 수행하게 하는 명령어를 더 포함하는 것을 포함한다.
예 22에서, 예 15 내지 예 21 중 어느 하나의 청구 대상으로서, 멀티-액세스 토큰을 조합하는 명령어는, 요청자에 대한 신규 멀티-액세스 토큰을 생성하는 것과, 신규 멀티-액세스 토큰 내에 트러스트 크리덴셜의 세트를 인코딩하는 것을 수행하게 하는 명령어를 더 포함하는 것을 포함한다.
예 23에서, 예 15 내지 예 22 중 어느 하나의 청구 대상으로서, 멀티-액세스 토큰을 조합하는 명령어는, 요청자에 대한 기존 멀티-액세스 토큰을 획득하는 것과, 트러스트 크리덴셜의 세트를 인코딩하는 것과, 인코딩된 트러스트 크리덴셜의 세트를 요청자에 대한 기존 멀티-액세스 토큰에 첨부하는 것을 수행하게 하는 명령어를 더 포함하는 것을 포함한다.
예 24에서, 예 23의 청구 대상으로서, 적어도 하나의 프로세서로 하여금, 기존 멀티-액세스 토큰으로부터 기존 인코딩된 트러스트 크리덴셜의 세트를 제거하는 동작을 수행하게 하는 명령어를 더 포함하는 것을 포함한다.
예 25에서, 예 15 내지 예 24 중 어느 하나의 청구 대상으로서, 트러스트 크리덴셜의 세트는 제 1 보안 범주에 대한 트러스트 크리덴셜과 연관된 제 2 보안 범주에 대한 프록시 트러스트 크리덴셜을 포함하는 것을 포함한다.
예 26에서, 예 15 내지 예 25 중 어느 하나의 청구 대상으로서, 적어도 하나의 프로세서로 하여금, 요청이 멀티-액세스 토큰을 사용해서 이행될 수 없다고 결정하는 것과, 정보 제공자를 위한 대안의 통신 채널을 식별하는 것과, 대안의 통신 채널을 통해 멀티-액세스 토큰을 전송하는 것을 수행하게 하는 명령어를 더 포함하는 것을 포함한다.
예 27에서, 예 15 내지 예 26 중 어느 하나의 청구 대상으로서, 적어도 하나의 프로세서로 하여금, 요청이 멀티-액세스 토큰을 사용해서 이행될 수 없다고 결정하는 것과, 정보 제공자에 액세스하기 위한 액세스 레이블 및 합성 신원을 식별하는 것과, 액세스 레이블 및 합성 신원을 인코딩하는 것과, 멀티-액세스 토큰을 정보 제공자에게 재전송하는 것을 수행하게 하는 명령어를 포함하는 것을 포함한다.
예 28에서, 예 15 내지 예 27 중 어느 하나의 청구 대상으로서, 적어도 하나의 프로세서로 하여금, 요청이 멀티-액세스 토큰을 사용해서 이행될 수 없다고 결정하는 것과, 액세스가 거부되었다는 것을 나타내는, 요청에 대한 응답을 전송하는 것과, 에스컬레이션 예측 모델을 트레이닝하는 데 사용되는 트레이닝 데이터를 업데이트하는 것을 수행하게 하는 명령어를 더 포함하는 것을 포함한다.
예 29는 예측 멀티-액세스 토큰을 생성하는 방법으로서, 요청자의 워크로드를 설명하는 요청자 데이터를 수신하는 단계 - 워크로드의 설명은 워크로드의 적어도 하나의 속성을 포함함 - 와, 에스컬레이션 예측 모델을 사용해서 요청자 데이터를 평가함으로써 트러스트 크리덴셜의 세트를 결정하는 단계와, 트러스트 크리덴셜의 세트로부터 멀티-액세스 토큰을 조합하는 단계와, 요청자의 후속 요청을 이행하기 위해 멀티-액세스 토큰을 정보 제공자에게 전송하는 단계를 포함하는 것을 포함한다.
예 30에서, 예 29의 청구 대상으로서, 적어도 하나의 속성은 보안 범주 이름, 보안 범주 검색 서비스, 보안 범주 서비스, 보안 범주 보안 레벨, 보안 범주 그룹, 보안 범주 서브-그룹, 보안 범주 리소스 또는 보안 범주 데이터 풀인 것을 포함한다.
예 31에서, 예 29 또는 예 30의 청구 대상으로서, 에지 컴퓨팅 네트워크의 복수의 테넌트로부터 워크로드 데이터의 세트를 획득하는 단계와, 워크로드 데이터의 세트를 사용해서 에스컬레이션 예측 모델을 생성하도록 머신 학습 모델을 트레이닝하는 단계를 더 포함하는 것을 포함한다.
예 32에서, 예 31의 청구 대상으로서, 워크로드 데이터의 세트는, 워크로드 데이터의 세트에 대응하는 테넌트 워크로드들과 연관된 보안 파라미터를 포함하는 것을 포함한다.
예 33에서, 예 32의 청구 대상으로서, 보안 파라미터는, 테넌트 워크로드들 중 한 테넌트 워크로드에 대응하는 보안 범주 또는 보안 레벨 중 적어도 하나를 포함하는 것을 포함한다.
예 34에서, 예 29 내지 예 33 중 어느 하나의 청구 대상으로서, 트러스트 크리덴셜의 세트를 결정하는 단계는, 에스컬레이션 예측 모델을 사용해서 요청자 데이터의 평가로부터 출력을 수신하는 단계 - 출력은 요청자가 보안 범주에 액세스할 확률을 포함함 - 와, 확률이 임계값을 벗어난다고 결정하는 단계와, 보안 범주와 연관된 트러스트 크리덴셜을 식별하는 단계와,트러스트 크리덴셜을 트러스트 크리덴셜의 세트에 추가하는 단계를 포함하는 것을 포함한다.
예 35에서, 예 29 내지 예 34 중 어느 하나의 청구 대상으로서, 트러스트 크리덴셜의 세트의 한 트러스트 크리덴셜와 연관된 보안 레벨에 기초해서 정보 제공자와 통신하기 위한 통신 채널을 식별하는 단계와, 통신 채널을 통해 정보 제공자에게 멀티-액세스 토큰을 전송하는 단계를 더 포함하는 것을 포함한다.
예 36에서, 예 29 내지 예 35 중 어느 하나의 청구 대상으로서, 멀티-액세스 토큰을 조합하는 단계는, 요청자에 대한 신규 멀티-액세스 토큰을 생성하는 단계와, 신규 멀티-액세스 토큰 내에 트러스트 크리덴셜의 세트를 인코딩하는 단계를 포함하는 것을 포함한다.
예 37에서, 예 29 내지 예 36 중 어느 하나의 청구 대상으로서, 멀티-액세스 토큰을 조합하는 단계는, 요청자에 대한 기존 멀티-액세스 토큰을 획득하는 단계와, 트러스트 크리덴셜의 세트를 인코딩하는 단계와, 인코딩된 트러스트 크리덴셜의 세트를 요청자에 대한 기존 멀티-액세스 토큰에 첨부하는 단계를 포함하는 것을 포함한다.
예 38에서, 예 37의 청구 대상으로서, 기존 멀티-액세스 토큰으로부터 기존 인코딩된 트러스트 크리덴셜의 세트를 제거하는 단계를 포함하는 것을 포함한다.
예 39에서, 예 29 내지 예 38 중 어느 하나의 청구 대상으로서, 트러스트 크리덴셜의 세트는 제 1 보안 범주에 대한 트러스트 크리덴셜과 연관된 제 2 보안 범주에 대한 프록시 트러스트 크리덴셜을 포함하는 것을 포함한다.
예 40에서, 예 29 내지 예 39 중 어느 하나의 청구 대상으로서, 요청이 멀티-액세스 토큰을 사용해서 이행될 수 없다고 결정하는 단계와, 정보 제공자를 위한 대안의 통신 채널을 식별하는 단계와, 대안의 통신 채널을 통해 멀티-액세스 토큰을 전송하는 단계를 포함하는 것을 포함한다.
예 41에서, 예 29 내지 예 40 중 어느 하나의 청구 대상으로서, 요청이 멀티-액세스 토큰을 사용해서 이행될 수 없다고 결정하는 단계와, 정보 제공자에 액세스하기 위한 액세스 레이블 및 합성 신원을 식별하는 단계와, 액세스 레이블 및 합성 신원을 인코딩하는 단계와, 멀티-액세스 토큰을 정보 제공자에게 재전송하는 단계를 포함하는 것을 포함한다.
예 42에서, 예 29 내지 예 41 중 어느 하나의 청구 대상으로서, 요청이 멀티-액세스 토큰을 사용해서 이행될 수 없다고 결정하는 단계와, 액세스가 거부되었다는 것을 나타내는, 요청에 대한 응답을 전송하는 단계와, 에스컬레이션 예측 모델을 트레이닝하는 데 사용되는 트레이닝 데이터를 업데이트하는 단계를 포함하는 것을 포함한다.
예 43은, 머신에 의해 실행될 때, 머신으로 하여금 예 29 내지 예 42 중 어느 하나의 방법을 수행하게 하는 명령어를 포함하는 적어도 하나의 머신-판독가능 매체이다.
예 44는 예 29 내지 예 42 중 어느 하나의 방법을 수행하기 위한 수단을 포함하는 시스템이다.
예 45는 예측 멀티-액세스 토큰을 생성하는 시스템으로서, 요청자의 워크로드를 설명하는 요청자 데이터를 수신하는 수단 - 워크로드의 설명은 워크로드의 적어도 하나의 속성을 포함함 - 과, 에스컬레이션 예측 모델을 사용해서 요청자 데이터를 평가함으로써 트러스트 크리덴셜의 세트를 결정하는 수단과, 트러스트 크리덴셜의 세트로부터 멀티-액세스 토큰을 조합하는 수단과, 요청자의 후속 요청을 이행하기 위해 멀티-액세스 토큰을 정보 제공자에게 전송하는 수단을 포함하는 것을 포함한다.
예 46에서, 예 45의 청구 대상으로서, 적어도 하나의 속성은 보안 범주 이름, 보안 범주 검색 서비스, 보안 범주 서비스, 보안 범주 보안 레벨, 보안 범주 그룹, 보안 범주 서브-그룹, 보안 범주 리소스 또는 보안 범주 데이터 풀인 것을 포함한다.
예 47에서, 예 45 또는 예 46의 청구 대상으로서, 에지 컴퓨팅 네트워크의 복수의 테넌트로부터 워크로드 데이터의 세트를 획득하는 수단과, 워크로드 데이터의 세트를 사용해서 에스컬레이션 예측 모델을 생성하도록 머신 학습 모델을 트레이닝하는 수단을 포함하는 것을 포함한다.
예 48에서, 예 47의 청구 대상으로서, 워크로드 데이터의 세트는, 워크로드 데이터의 세트에 대응하는 테넌트 워크로드들과 연관된 보안 파라미터를 포함하는 것을 포함한다.
예 49에서, 예 48의 청구 대상으로서, 보안 파라미터는, 테넌트 워크로드들 중 한 테넌트 워크로드에 대응하는 보안 범주 또는 보안 레벨 중 적어도 하나를 포함하는 것을 포함한다.
예 50에서, 예 45 내지 예 49 중 어느 하나의 청구 대상으로서, 트러스트 크리덴셜의 세트를 결정하는 수단은, 에스컬레이션 예측 모델을 사용해서 요청자 데이터의 평가로부터 출력을 수신하는 수단 - 출력은 요청자가 보안 범주에 액세스할 확률을 포함함 - 과, 확률이 임계값을 벗어난다고 결정하는 수단과, 보안 범주와 연관된 트러스트 크리덴셜을 식별하는 수단과, 트러스트 크리덴셜을 트러스트 크리덴셜의 세트에 추가하는 수단을 더 포함하는 것을 포함한다.
예 51에서, 예 45 내지 예 50 중 어느 하나의 청구 대상으로서, 트러스트 크리덴셜의 세트의 한 트러스트 크리덴셜와 연관된 보안 레벨에 기초해서 정보 제공자와 통신하기 위한 통신 채널을 식별하는 수단과, 통신 채널을 통해 정보 제공자에게 멀티-액세스 토큰을 전송하는 수단을 더 포함하는 것을 포함한다.
예 52에서, 예 45 내지 예 51 중 어느 하나의 청구 대상으로서, 멀티-액세스 토큰을 조합하는 수단은, 요청자에 대한 신규 멀티-액세스 토큰을 생성하는 수단과, 신규 멀티-액세스 토큰 내에 트러스트 크리덴셜의 세트를 인코딩하는 수단을 더 포함하는 것을 포함한다.
예 53에서, 예 45 내지 예 52 중 어느 하나의 청구 대상으로서, 멀티-액세스 토큰을 조합하는 수단은, 요청자에 대한 기존 멀티-액세스 토큰을 획득하는 수단과, 트러스트 크리덴셜의 세트를 인코딩하는 것과, 인코딩된 트러스트 크리덴셜의 세트를 요청자에 대한 기존 멀티-액세스 토큰에 첨부하는 수단을 포함하는 것을 포함한다.
예 54에서, 예 53의 청구 대상으로서, 기존 멀티-액세스 토큰으로부터 기존 인코딩된 트러스트 크리덴셜의 세트를 제거하는 수단을 포함하는 것을 포함한다.
예 55에서, 예 45 내지 예 54 중 어느 하나의 청구 대상으로서, 트러스트 크리덴셜의 세트는 제 1 보안 범주에 대한 트러스트 크리덴셜과 연관된 제 2 보안 범주에 대한 프록시 트러스트 크리덴셜을 포함하는 것을 포함한다.
예 56에서, 예 45 내지 예 55 중 어느 하나의 청구 대상으로서, 요청이 멀티-액세스 토큰을 사용해서 이행될 수 없다고 결정하는 수단과, 정보 제공자를 위한 대안의 통신 채널을 식별하는 수단과, 대안의 통신 채널을 통해 멀티-액세스 토큰을 전송하는 수단을 포함하는 것을 포함한다.
예 57에서, 예 45 내지 예 56 중 어느 하나의 청구 대상으로서, 요청이 멀티-액세스 토큰을 사용해서 이행될 수 없다고 결정하는 수단과, 정보 제공자에 액세스하기 위한 액세스 레이블 및 합성 신원을 식별하는 수단과, 액세스 레이블 및 합성 신원을 인코딩하는 수단과, 멀티-액세스 토큰을 정보 제공자에게 재전송하는 수단을 포함하는 것을 포함한다.
예 58에서, 예 45 내지 예 57 중 어느 하나의 청구 대상으로서, 요청이 멀티-액세스 토큰을 사용해서 이행될 수 없다고 결정하는 수단과, 액세스가 거부되었다는 것을 나타내는, 요청에 대한 응답을 전송하는 수단과, 에스컬레이션 예측 모델을 트레이닝하는 데 사용되는 트레이닝 데이터를 업데이트하는 수단을 포함하는 것을 포함한다.
예 59는 처리 회로에 의해 실행될 때 처리 회로로 하여금 예 1 내지 예 58 중 어느 하나의 동작을 수행하게 하는 명령어를 포함하는 적어도 하나의 머신-판독가능 매체이다.
예 60은 예 1 내지 예 58 중 어느 하나를 구현하기 위한 수단을 포함하는 장치이다.
예 61은 예 1 내지 예 58 중 어느 하나를 구현하기 위한 시스템이다.
예 62는 예 1 내지 예 58 중 어느 하나를 구현하기 위한 방법이다.
예 63은 에지 컴퓨팅 시스템의 장치로서, 하나 이상의 프로세서, 및 하나 이상의 프로세서에 의해 실행될 때 하나 이상의 프로세서로 하여금 예 1 내지 예 58 중 어느 하나의 방법을 수행하게 하는 명령어를 포함하는 하나 이상의 컴퓨터-판독 가능 매체를 포함한다.
예 64는, 전자 장치의 하나 이상의 프로세서에 의해 명령어가 실행될 때 에지 컴퓨팅 시스템의 전자 디바이스로 하여금, 예 1 내지 예 58 중 어느 하나의 예측 멀티-액세스 토큰 생성 방법을 수행하게 하는 명령어를 포함하는 하나 이상의 컴퓨터-판독 가능 매체를 포함한다.
예 65는, 에지 컴퓨팅 시스템에서 사용되는 컴퓨터 프로그램으로서, 컴퓨터 프로그램은 에지 컴퓨팅 시스템의 처리 요소에 의해 프로그램이 실행될 때 처리 요소로 하여금 예 1 내지 예 58 중 어느 하나의 예측 멀티-액세스 토큰 생성 방법을 수행하게 한다.
예 66은 하우징, 케이스 또는 쉘, 네트워크 통신 회로, 저장 메모리 회로, 및 프로세서 회로를 포함하는, 독립형 처리 시스템으로서 동작하는 에지 컴퓨팅 기기 장치로서, 예 1 내지 예 58 중 어느 하나의 예측 멀티-액세스 토큰 생성 방법을 수행하도록 구성된다.
예 67은 예 1 내지 예 58의 예측 멀티-액세스 토큰 생성 방법 중 어느 하나를 수행하기 위한 수단을 포함하는 에지 컴퓨팅 시스템의 장치이다.
예 68은 예 1 내지 예 58의 예측 멀티-액세스 토큰 생성 방법 중 어느 하나를 수행하기 위한 로직, 모듈, 또는 회로를 포함하는 에지 컴퓨팅 시스템의 장치이다.
상술한 상세한 설명은, 그 상세한 설명의 일부를 형성하는 첨부 도면에 대한 참조를 포함한다. 도면은 특정 실시예를 예시적으로 보여준다. 이들 실시예는 또한, 본 명세서에서 "예"라고 지칭된다. 이들 예는 도시 혹은 설명된 것 이외의 요소를 포함할 수 있다. 그러나, 본 발명자는 또한, 이러한 도시 혹은 설명된 요소만이 제공되는 예를 고려한다. 나아가, 본 발명자는 또한, 특정한 예(또는 그것의 하나 이상의 측면)에 대한, 또는 본 명세서에 도시 혹은 설명된 다른 예들(또는 그것의 하나 이상의 양태)에 대한, 도시 혹은 설명된 요소(또는 그것의 하나 이상의 측면)의 임의의 조합 혹은 순열을 사용하는 예를 고려한다.
본 명세서에 언급된 모든 간행물, 특허 및 특허 문서는 참조로서 개별적으로 통합된 것처럼 그 전체가 본원에 참조로 통합된다. 이 문서와 참조로 통합된 문서 사이에 용례가 일치하지 않는 경우 통합 참조의 사용은 이 문서의 사용을 보완하는 것으로 간주되어야 한다. 양립할 수 없는 불일치의 경우 이 문서의 사용은 통제된다.
이 문서에서, "하나(a 또는 an)"라는 용어는, 특허 문서에서 공통적인 것으로, "적어도 하나" 또는 "하나 이상"의 임의의 다른 예나 사용에 독립적인, 하나 또는 하나보다 많은 것을 포함하기 위해 사용된다. 이 문서에서, "또는"이라는 용어는 비배타적 논리합(nonexclusive or)을 지칭하기 위해 사용되는 것으로, "A 또는 B"는, 달리 표시되지 않는 한, "A이지만 B는 아닌", "B지만 A는 아닌", 및 "A와 B"를 포함한다. 이 문서에서, "포함하는(including)" 및 "여기서(in which)"이라는 용어는 "포함하는(comprising)" 및 "여기에서(wherein)" 라는 각 용어의 알기 쉬운 영어 등가물(plain-English equivalents)로서 사용된다. 또한, 다음의 청구항에서, "포함하는"("including" 및 "comprising")이라는 용어들은 오픈 엔드, 즉, 청구항에서 그러한 용어가 그 청구항의 범위 내에 있는 것으로 간주된 후에 리스트되는 것에 추가한 요소를 포함하는 시스템, 장치, 물품, 컴포지션, 포뮬레이션, 또는 프로세스이다. 더욱이, 후속하는 청구항에서, "제1 ," "제 2," "제 3" 등의 용어는 식별을 위해 사용되는 것일 뿐, 그 청구 대상에 수적인 요건을 부여하기 위해 의도된 것은 아니다.
상기 설명은 제한적인 것이 아니라 예시적 것이다. 예를 들어, 상기 설명된 예(또는 그의 하나 이상의 측면)은 서로 조합하여 사용될 수 있다. 다른 실시예들은 예를 들어, 위의 설명의 검토시 본 기술분야의 숙련된 자에 의해 사용될 수 있다. 요약은 독자가 본 기술적 개시 내용의 본질을 신속하게 확인하는 것을 허용하도록 제공되며, 청구항들의 범위 또는 의미를 해석하거나 제한하는데 이용되지는 않을 것이라는 것을 이해할 것이다. 또한, 위의 상세한 설명에서, 본 개시 내용을 간소화하기 위해 다양한 특징들이 함께 그룹화될 수 있다. 이것은 청구되지 않은 개시된 특징이 임의의 청구항에 필수적인 것으로 의도하는 것으로서 해석되어서는 안된다. 본 청구 대상은 특정의 개시된 실시예의 모든 특징보다 더 적은 특징에 있을 수 있다. 따라서, 이하의 청구항은 예 또는 실시예로서 상세한 설명에 포함되고, 각각의 청구항은 그 자체가 별도의 실시예로서 독립적이며, 이 실시예는 다양한 조합 또는 순열으로 서로 조합될 수 있다는 점이 고려된다. 실시예의 범위는 첨부된 청구항을 참조하여 이러한 청구항에 부여된 균등물의 전체 범위와 함께 결정되어야 한다.

Claims (24)

  1. 예측 멀티-액세스 토큰을 생성하는 시스템으로서,
    적어도 하나의 프로세서와,
    상기 적어도 하나의 프로세서에 의해 실행될 때, 상기 적어도 하나의 프로세서로 하여금 동작을 수행하게 하는 명령어를 포함하는 메모리
    를 포함하고, 상기 동작은,
    요청자의 워크로드를 설명하는 요청자 데이터를 수신하는 것 - 워크로드의 설명은 상기 워크로드의 적어도 하나의 속성을 포함함 - 과,
    에스컬레이션 예측 모델을 사용해서 상기 요청자 데이터를 평가함으로써 트러스트 크리덴셜의 세트를 결정하는 것과,
    상기 트러스트 크리덴셜의 세트로부터 상기 멀티-액세스 토큰을 조합(assemble)하는 것과,
    상기 요청자의 후속 요청을 이행하기 위해 상기 멀티-액세스 토큰을 정보 제공자에게 전송하는 것
    을 포함하는,
    시스템.
  2. 제 1 항에 있어서,
    상기 적어도 하나의 속성은 보안 범주 이름(perimeter name), 보안 범주 검색 서비스, 보안 범주 서비스, 보안 범주 보안 레벨, 보안 범주 그룹, 보안 범주 서브-그룹, 보안 범주 리소스 또는 보안 범주 데이터 풀(data pool)인,
    시스템.
  3. 제 1 항에 있어서,
    상기 동작은,
    에지 컴퓨팅 네트워크의 복수의 테넌트로부터 워크로드 데이터의 세트를 획득하는 것과,
    상기 워크로드 데이터의 세트를 사용해서 상기 에스컬레이션 예측 모델을 생성하도록 머신 학습 모델을 트레이닝하는 것
    을 더 포함하는,
    시스템.
  4. 제 1 항에 있어서,
    상기 트러스트 크리덴셜의 세트를 결정하는 것은,
    상기 에스컬레이션 예측 모델을 사용해서 상기 요청자 데이터의 상기 평가로부터 출력을 수신하는 것 - 상기 출력은 상기 요청자가 보안 범주에 액세스할 확률을 포함함 - 과,
    상기 확률이 임계값을 벗어난다고 결정하는 것과,
    상기 보안 범주와 연관된 트러스트 크리덴셜을 식별하는 것과,
    상기 트러스트 크리덴셜을 상기 트러스트 크리덴셜의 세트에 추가하는 것
    을 포함하는,
    시스템.
  5. 제 1 항에 있어서,
    상기 동작은,
    상기 트러스트 크리덴셜의 세트의 한 트러스트 크리덴셜와 연관된 보안 레벨에 기초해서 상기 정보 제공자와 통신하기 위한 통신 채널을 식별하는 것과,
    상기 통신 채널을 통해 상기 정보 제공자에게 상기 멀티-액세스 토큰을 전송하는 것
    을 더 포함하는,
    시스템.
  6. 제 1 항에 있어서,
    상기 멀티-액세스 토큰을 조합하는 것은,
    상기 요청자에 대한 신규 멀티-액세스 토큰을 생성하는 것과,
    상기 신규 멀티-액세스 토큰 내에 상기 트러스트 크리덴셜의 세트를 인코딩하는 것
    을 포함하는,
    시스템.
  7. 제 1 항에 있어서,
    상기 동작은,
    상기 요청이 상기 멀티-액세스 토큰을 사용해서 이행될 수 없다고 결정하는 것과,
    상기 정보 제공자를 위한 대안의 통신 채널을 식별하는 것과,
    상기 대안의 통신 채널을 통해 상기 멀티-액세스 토큰을 전송하는 것
    을 더 포함하는,
    시스템.
  8. 제 1 항에 있어서,
    상기 동작은,
    상기 요청이 상기 멀티-액세스 토큰을 사용해서 이행될 수 없다고 결정하는 것과,
    상기 정보 제공자에 액세스하기 위한 액세스 레이블 및 합성 신원을 식별하는 것과,
    상기 액세스 레이블 및 상기 합성 신원을 인코딩하는 것과,
    상기 멀티-액세스 토큰을 상기 정보 제공자에게 재전송하는 것
    을 더 포함하는,
    시스템.
  9. 제 1 항에 있어서,
    상기 동작은,
    상기 요청이 상기 멀티-액세스 토큰을 사용해서 이행될 수 없다고 결정하는 것과,
    상기 액세스가 거부되었다는 것을 나타내는, 상기 요청에 대한 응답을 전송하는 것과,
    상기 에스컬레이션 예측 모델을 트레이닝하는 데 사용되는 트레이닝 데이터를 업데이트하는 것
    을 더 포함하는,
    시스템.
  10. 예측 멀티-액세스 토큰을 생성하기 위한 명령어를 포함하는 적어도 하나의 비일시적 머신-판독가능 메모리로서,
    상기 명령어는 적어도 하나의 프로세서에 의해 실행될 때, 상기 적어도 하나의 프로세서로 하여금 동작을 수행하게 하며,
    상기 동작은,
    요청자의 워크로드를 설명하는 요청자 데이터를 수신하는 것 - 상기 워크로드의 설명은 상기 워크로드의 적어도 하나의 속성을 포함함 - 과,
    에스컬레이션 예측 모델을 사용해서 상기 요청자 데이터를 평가함으로써 트러스트 크리덴셜의 세트를 결정하는 것과,
    상기 트러스트 크리덴셜의 세트로부터 상기 멀티-액세스 토큰을 조합하는 것과,
    상기 요청자의 후속 요청을 이행하기 위해 상기 멀티-액세스 토큰을 정보 제공자에게 전송하는 것
    을 포함하는,
    적어도 하나의 비일시적 머신-판독가능 메모리.
  11. 제 10 항에 있어서,
    상기 동작은,
    에지 컴퓨팅 네트워크의 복수의 테넌트로부터 워크로드 데이터의 세트를 획득하는 것과,
    상기 워크로드 데이터의 세트를 사용해서 상기 에스컬레이션 예측 모델을 생성하도록 머신 학습 모델을 트레이닝하는 것
    을 더 포함하는,
    적어도 하나의 비일시적 머신-판독가능 메모리.
  12. 제 11 항에 있어서,
    상기 워크로드 데이터의 세트는, 상기 워크로드 데이터의 세트에 대응하는 테넌트 워크로드들과 연관된 보안 파라미터를 포함하는,
    적어도 하나의 비일시적 머신-판독가능 메모리.
  13. 제 12 항에 있어서,
    상기 보안 파라미터는, 상기 테넌트 워크로드들 중 한 테넌트 워크로드에 대응하는 보안 범주 또는 보안 레벨 중 적어도 하나를 포함하는,
    적어도 하나의 비일시적 머신-판독가능 메모리.
  14. 제 10 항에 있어서,
    상기 트러스트 크리덴셜의 세트를 결정하는 것은,
    상기 에스컬레이션 예측 모델을 사용해서 상기 요청자 데이터의 상기 평가로부터 출력을 수신하는 것 - 상기 출력은 상기 요청자가 보안 범주에 액세스할 확률을 포함함 - 과,
    상기 확률이 임계값을 벗어난다고 결정하는 것과,
    상기 보안 범주와 연관된 트러스트 크리덴셜을 식별하는 것과,
    상기 트러스트 크리덴셜을 상기 트러스트 크리덴셜의 세트에 추가하는 것
    을 포함하는,
    적어도 하나의 비일시적 머신-판독가능 메모리.
  15. 제 10 항에 있어서,
    상기 동작은,
    상기 요청이 상기 멀티-액세스 토큰을 사용해서 이행될 수 없다고 결정하는 것과,
    상기 정보 제공자를 위한 대안의 통신 채널을 식별하는 것과,
    상기 대안의 통신 채널을 통해 상기 멀티-액세스 토큰을 전송하는 것
    을 더 포함하는,
    적어도 하나의 비일시적 머신-판독가능 메모리.
  16. 제 10 항에 있어서,
    상기 동작은,
    상기 요청이 상기 멀티-액세스 토큰을 사용해서 이행될 수 없다고 결정하는 것과,
    상기 정보 제공자에 액세스하기 위한 액세스 레이블 및 합성 신원을 식별하는 것과,
    상기 액세스 레이블 및 상기 합성 신원을 인코딩하는 것과,
    상기 멀티-액세스 토큰을 상기 정보 제공자에게 재전송하는 것
    을 더 포함하는,
    적어도 하나의 비일시적 머신-판독가능 메모리.
  17. 제 10 항에 있어서,
    상기 동작은,
    상기 요청이 상기 멀티-액세스 토큰을 사용해서 이행될 수 없다고 결정하는 것과,
    상기 액세스가 거부되었다는 것을 나타내는, 상기 요청에 대한 응답을 전송하는 것과,
    상기 에스컬레이션 예측 모델을 트레이닝하는 데 사용되는 트레이닝 데이터를 업데이트하는 것
    을 더 포함하는,
    적어도 하나의 비일시적 머신-판독가능 메모리.
  18. 예측 멀티-액세스 토큰을 생성하는 방법으로서,
    요청자의 워크로드를 설명하는 요청자 데이터를 수신하는 단계 - 상기 워크로드의 설명은 상기 워크로드의 적어도 하나의 속성을 포함함 - 와,
    에스컬레이션 예측 모델을 사용해서 상기 요청자 데이터를 평가함으로써 트러스트 크리덴셜의 세트를 결정하는 단계와,
    상기 트러스트 크리덴셜의 세트로부터 상기 멀티-액세스 토큰을 조합하는 단계와,
    상기 요청자의 후속 요청을 이행하기 위해 상기 멀티-액세스 토큰을 정보 제공자에게 전송하는 단계
    를 포함하는, 방법.
  19. 제 18 항에 있어서,
    에지 컴퓨팅 네트워크의 복수의 테넌트로부터 워크로드 데이터의 세트를 획득하는 단계와,
    상기 워크로드 데이터의 세트를 사용해서 상기 에스컬레이션 예측 모델을 생성하도록 머신 학습 모델을 트레이닝하는 단계
    를 더 포함하는, 방법.
  20. 제 18 항에 있어서,
    상기 트러스트 크리덴셜의 세트를 결정하는 단계는,
    상기 에스컬레이션 예측 모델을 사용해서 상기 요청자 데이터의 상기 평가로부터 출력을 수신하는 단계 - 상기 출력은 상기 요청자가 보안 범주에 액세스할 확률을 포함함 - 와,
    상기 확률이 임계값을 벗어난다고 결정하는 단계와,
    상기 보안 범주와 연관된 트러스트 크리덴셜을 식별하는 단계와,
    상기 트러스트 크리덴셜을 상기 트러스트 크리덴셜의 세트에 추가하는 단계
    를 포함하는,
    방법.
  21. 제 18 항에 있어서,
    상기 트러스트 크리덴셜의 세트의 한 트러스트 크리덴셜와 연관된 보안 레벨에 기초해서 상기 정보 제공자와 통신하기 위한 통신 채널을 식별하는 단계와,
    상기 통신 채널을 통해 상기 정보 제공자에게 상기 멀티-액세스 토큰을 전송하는 단계
    를 더 포함하는, 방법.
  22. 제 18 항에 있어서,
    상기 멀티-액세스 토큰을 조합하는 단계는,
    상기 요청자에 대한 기존 멀티-액세스 토큰을 획득하는 단계와,
    상기 트러스트 크리덴셜의 세트를 인코딩하는 단계와,
    상기 인코딩된 트러스트 크리덴셜의 세트를 상기 요청자에 대한 기존 멀티-액세스 토큰에 첨부하는 단계
    를 포함하는,
    방법.
  23. 제 18 항에 있어서,
    상기 요청이 상기 멀티-액세스 토큰을 사용해서 이행될 수 없다고 결정하는 단계와,
    상기 정보 제공자를 위한 대안의 통신 채널을 식별하는 단계와,
    상기 대안의 통신 채널을 통해 상기 멀티-액세스 토큰을 전송하는 단계
    를 더 포함하는, 방법.
  24. 제 18 항에 있어서,
    상기 요청이 상기 멀티-액세스 토큰을 사용해서 이행될 수 없다고 결정하는 단계와,
    상기 정보 제공자에 액세스하기 위한 액세스 레이블 및 합성 신원을 식별하는 단계와,
    상기 액세스 레이블 및 상기 합성 신원을 인코딩하는 단계와,
    상기 멀티-액세스 토큰을 상기 정보 제공자에게 재전송하는 단계
    를 더 포함하는, 방법.
KR1020210159396A 2020-12-18 2021-11-18 트러스트 크리덴셜의 자동 에스컬레이션 KR20220088306A (ko)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
US17/127,852 2020-12-18
US17/127,852 US20210152543A1 (en) 2020-12-18 2020-12-18 Automatic escalation of trust credentials

Publications (1)

Publication Number Publication Date
KR20220088306A true KR20220088306A (ko) 2022-06-27

Family

ID=75909033

Family Applications (1)

Application Number Title Priority Date Filing Date
KR1020210159396A KR20220088306A (ko) 2020-12-18 2021-11-18 트러스트 크리덴셜의 자동 에스컬레이션

Country Status (3)

Country Link
US (1) US20210152543A1 (ko)
KR (1) KR20220088306A (ko)
DE (1) DE102021212974A1 (ko)

Families Citing this family (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US11349842B2 (en) * 2019-09-26 2022-05-31 Mastercard International Incorporated Systems and methods for identifying synthetic identities associated with network communications
EP4064638A1 (en) * 2021-03-23 2022-09-28 ABB Schweiz AG Highly available delivery of ordered streams of iot messages
US20230132485A1 (en) * 2021-11-02 2023-05-04 Synamedia Limited System for Thin Client Devices in Hybrid Edge Cloud Systems
CN115296866B (zh) * 2022-07-19 2024-03-12 天翼云科技有限公司 一种边缘节点的访问方法及装置

Family Cites Families (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US9635010B2 (en) * 2014-06-13 2017-04-25 Verizon Patent And Licensing Inc. Network-based authentication for third party content
US9449187B2 (en) * 2014-08-11 2016-09-20 Document Dynamics, Llc Environment-aware security tokens
US10769540B2 (en) * 2017-04-27 2020-09-08 Hewlett Packard Enterprise Development Lp Rare event prediction
US11438325B2 (en) * 2020-02-28 2022-09-06 EMC IP Holding Company LLC Trust establishment by escalation

Also Published As

Publication number Publication date
US20210152543A1 (en) 2021-05-20
DE102021212974A1 (de) 2022-06-23

Similar Documents

Publication Publication Date Title
US11425111B2 (en) Attestation token sharing in edge computing environments
US11283635B2 (en) Dynamic sharing in secure memory environments using edge service sidecars
EP3972295B1 (en) Geofence-based edge service control and authentication
EP4020880A1 (en) Method, apparatus and machine-readable storage to verify trained models in an edge environment
US20220191648A1 (en) Digital twin framework for next generation networks
US11888858B2 (en) Calculus for trust in edge computing and named function networks
US20220116445A1 (en) Disintermediated attestation in a mec service mesh framework
EP4180953A1 (en) Orchestrator execution planning using a distributed ledger
US20210119962A1 (en) Neutral host edge services
CN114365452A (zh) 用于在边缘计算环境中证明对象的方法和装置
US20210152543A1 (en) Automatic escalation of trust credentials
EP4155933A1 (en) Network supported low latency security-based orchestration
KR20220091367A (ko) 하드웨어 및 소프트웨어를 보호하기 위한 장치, 시스템 및 방법
US20210144202A1 (en) Extended peer-to-peer (p2p) with edge networking
US20210011823A1 (en) Continuous testing, integration, and deployment management for edge computing
US20210014047A1 (en) Methods, systems, apparatus, and articles of manufacture to manage access to decentralized data lakes
US20230216849A1 (en) Attestation verifier role delegation
US20230342478A1 (en) Attestation for bidirectional elastic workload migration in cloud-to-edge settings
EP4156732A1 (en) Misbehavior processing in connected vehicle networks
WO2022271042A1 (en) Automated node configuration tuning in edge systems
US20240022550A1 (en) Systems and methods for key access distribution and management
US20240160717A1 (en) Attestation-as-a-service for confidential computing
US20230027152A1 (en) Upgrade of network objects using security islands
CN117121006A (zh) 用于机密计算的证明即服务
WO2023075828A1 (en) Secure key management for service mesh deployments