▶ インターナショナル・ビジネス・マシーンズ・コーポレーションの特許一覧
特許7388802セキュアなオペレーティング・システム・イメージのインクリメンタル復号および完全性検証
(19)【発行国】日本国特許庁(JP)
(12)【公報種別】特許公報(B2)
(11)【特許番号】
(24)【登録日】2023-11-20
(45)【発行日】2023-11-29
(54)【発明の名称】セキュアなオペレーティング・システム・イメージのインクリメンタル復号および完全性検証
(51)【国際特許分類】
G06F 21/14 20130101AFI20231121BHJP
G06F 21/60 20130101ALI20231121BHJP
G06F 21/64 20130101ALI20231121BHJP
G06F 21/53 20130101ALI20231121BHJP
【ＦＩ】
G06F21/14
G06F21/60 320
G06F21/64
G06F21/53
【請求項の数】
18
(21)【出願番号】P 2021546786
(86)(22)【出願日】2020-02-17
(65)【公表番号】
(43)【公表日】2022-04-20
(86)【国際出願番号】 EP2020054101
(87)【国際公開番号】W WO2020182420
(87)【国際公開日】2020-09-17
【審査請求日】2022-07-25
(31)【優先権主張番号】16/296,334
(32)【優先日】2019-03-08
(33)【優先権主張国・地域又は機関】US
(73)【特許権者】
【識別番号】390009531
【氏名又は名称】インターナショナル・ビジネス・マシーンズ・コーポレーション
【氏名又は名称原語表記】ＩＮＴＥＲＮＡＴＩＯＮＡＬ ＢＵＳＩＮＥＳＳ ＭＡＣＨＩＮＥＳ ＣＯＲＰＯＲＡＴＩＯＮ
【住所又は居所原語表記】Ｎｅｗ Ｏｒｃｈａｒｄ Ｒｏａｄ， Ａｒｍｏｎｋ， Ｎｅｗ Ｙｏｒｋ １０５０４， Ｕｎｉｔｅｄ Ｓｔａｔｅｓ ｏｆ Ａｍｅｒｉｃａ
(74)【代理人】
【識別番号】100112690
【弁理士】
【氏名又は名称】太佐 種一
(72)【発明者】
【氏名】ブエントゲン、ラインハルト
(72)【発明者】
【氏名】ボーントレーガー、クリスチャン
(72)【発明者】
【氏名】ブラッドベリー、ジョナサン
(72)【発明者】
【氏名】ブサバ、ファディ
(72)【発明者】
【氏名】ヘラー、リサ
(72)【発明者】
【氏名】ミハイロフスキ、ヴィクトール
【審査官】宮司 卓佳
(56)【参考文献】
【文献】米国特許出願公開第２０１８／０２４７０８２（ＵＳ，Ａ１）
【文献】米国特許出願公開第２０１６／０１３２３４５（ＵＳ，Ａ１）
【文献】米国特許出願公開第２０１４／０２０８１０９（ＵＳ，Ａ１）
【文献】特開２０１２－１９０４４１（ＪＰ，Ａ）
(58)【調査した分野】(Int.Cl.，ＤＢ名)
Ｇ０６Ｆ ２１／１４
Ｇ０６Ｆ ２１／６０－２１／６４
Ｇ０６Ｆ ２１／５３
(57)【特許請求の範囲】
【請求項1】
コンピューティング環境内でのセキュアな処理を容易にするコンピュータ・システムであって、前記コンピュータ・システムが、メモリと、
前記メモリに結合されたプロセッサと
を備え、前記コンピュータ・システムが、方法を実行するように構成されており、前記方法が、
セキュアなオペレーティング・システム・イメージをインクリメンタルに復号すること
を含み、
前記インクリメンタルに復号することが、前記セキュアなオペレーティング・システム・イメージの複数のページのうちのページについて、
前記ページのページ・アドレスと、前記ページの暗号化中に使用されたトゥイーク値とを受け取ること、
前記トゥイーク値が、前記セキュアなオペレーティング・システム・イメージの前記複数のページのうちの別のページの復号中に以前に使用されたものであるか否かを判定すること、および
前記トゥイーク値が、以前に使用されたものでないと判定された場合に、復号されたセキュアなオペレーティング・システム・イメージを取得することを容易にするために、前記ページを暗号化する際に使用されたイメージ暗号化鍵と前記トゥイーク値とを使用して、前記ページ・アドレスにあるメモリ・ページ内容を復号すること
を含み、
前記方法がさらに、
前記セキュアなオペレーティング・システム・イメージの完全性を検証すること、ならびに
前記セキュアなオペレーティング・システム・イメージの完全性を検証したことに基づいて、前記復号されたセキュアなオペレーティング・システム・イメージの実行を開始すること
を含む、
コンピュータ・システム。
【請求項2】
前記インクリメンタルに復号すること、および前記完全性を検証することが、前記コンピュータ・システムのセキュア・インタフェース制御によって実行され、前記セキュア・インタフェース制御が、前記コンピュータ・システムの信頼できるエンティティであり、前記ページ・アドレスおよび前記トゥイーク値が、前記セキュア・インタフェース制御によってハイパーバイザから受け取られる、請求項１に記載のコンピュータ・システム。
【請求項3】
前記複数のページのページ・アドレスの順序が固定されており、前記セキュアなオペレーティング・システム・イメージをインクリメンタルに復号することが、前記ページ・アドレスが、前記セキュアなオペレーティング・システム・イメージの前記複数のページのうちの以前に復号されたページのうちのどの以前のページ・アドレスとも異なっているか否かを判定することを含み、
前記メモリ・ページ内容を復号することは、前記トゥイーク値が、以前に使用されたものでないと判定され、かつ前記ページ・アドレスが、どの以前のページ・アドレスとも異なっていると判定された場合に行う、請求項１または２に記載のコンピュータ・システム。
【請求項4】
前記完全性を検証することが、部分的に、前記複数のページのメモリ・ページ内容を使用して取得された累積内容ハッシュ、および前記複数のページのページ・アドレスを使用して取得された累積アドレス・ハッシュを使用することを含む、請求項１ないし３のいずれか一項に記載のコンピュータ・システム。
【請求項5】
前記セキュアなオペレーティング・システム・イメージの完全性を検証することが、前記複数のページのメモリ・ページ内容を使用して取得された累積内容ハッシュを、前記セキュア・インタフェース制御によって受け取られた完全性内容ハッシュと比較すること、および前記複数のページのページ・アドレスを使用して取得された累積アドレス・ハッシュを、前記セキュア・インタフェース制御によって受け取られた完全性アドレス・ハッシュと比較することを含む、請求項２に記載のコンピュータ・システム。
【請求項6】
前記セキュア・インタフェース制御によって、前記イメージ暗号化鍵、ならびに前記完全性内容ハッシュおよび前記完全性アドレス・ハッシュを、ハイパーバイザから受け取ったメタデータから抽出することをさらに含む、請求項５に記載のコンピュータ・システム。
【請求項7】
前記セキュア・インタフェース制御が、前記コンピュータ・システムの１つまたは複数の要素を含み、前記１つまたは複数の要素が、ハードウェア要素およびファームウェア要素からなるグループから選択されたものであり、前記セキュアなオペレーティング・システム・イメージが、前記コンピューティング環境内でセキュアなゲスト・オペレーティング・システムとして実行される、請求項２、５および６のいずれか一項に記載のコンピュータ・システム。
【請求項8】
前記コンピュータ・システムに秘密鍵－公開鍵対が関連づけられており、前記秘密鍵が、前記セキュア・インタフェース制御だけに知られており、前記コンピュータ・システム上で実行しているソフトウェアによってアクセス可能ではなく、前記公開鍵が、前記セキュアなオペレーティング・システム・イメージを暗号化するために使用された前記イメージ暗号化鍵を前記セキュア・インタフェース制御にセキュアに伝達するための鍵アグリーメント・データを生成するため、および前記鍵アグリーメント・データをメタデータ構造に記憶するために、前記セキュアなオペレーティング・システム・イメージの所有者によって使用される、請求項２、５、６および７のいずれか一項に記載のコンピュータ・システム。
【請求項9】
前記セキュア・インタフェース制御によって、前記メタデータ構造を、ハイパーバイザからの呼出しを用いて受け取ることをさらに含み、前記メタデータ構造が、前記セキュアなオペレーティング・システム・イメージの完全性を検証する際に使用される完全性ハッシュ値をさらに含む、請求項８に記載のコンピュータ・システム。
【請求項10】
コンピュータ・プログラムであって、前記コンピュータ・プログラムはコンピュータに、
セキュアなオペレーティング・システム・イメージをインクリメンタルに復号すること
を実行させ、
前記インクリメンタルに復号することが、前記セキュアなオペレーティング・システム・イメージの複数のページのうちのページについて、
前記ページのページ・アドレスと、前記ページの暗号化中に使用されたトゥイーク値とを受け取ること、
前記トゥイーク値が、前記セキュアなオペレーティング・システム・イメージの前記複数のページのうちの別のページの復号中に以前に使用されたものであるか否かを判定すること、および
前記トゥイーク値が、以前に使用されたものでないと判定された場合に、復号されたセキュアなオペレーティング・システム・イメージを取得することを容易にするために、前記ページを暗号化する際に使用されたイメージ暗号化鍵と前記トゥイーク値とを使用して、前記ページ・アドレスにあるメモリ・ページ内容を復号すること
を含み、
前記コンピュータにさらに、
前記セキュアなオペレーティング・システム・イメージの完全性を検証すること、ならびに
前記セキュアなオペレーティング・システム・イメージの完全性を検証したことに基づいて、前記復号されたセキュアなオペレーティング・システム・イメージの実行を開始すること
を実行させる、
コンピュータ・プログラム。
【請求項11】
前記複数のページのページ・アドレスの順序が固定されており、前記セキュアなオペレーティング・システム・イメージをインクリメンタルに復号することが、前記ページ・アドレスが、前記セキュアなオペレーティング・システム・イメージの前記複数のページのうちの以前に復号されたページのうちのどの以前のページ・アドレスとも異なっているか否かを判定することを含み、
前記メモリ・ページ内容を復号することは、前記トゥイーク値が、以前に使用されたものでないと判定され、かつ前記ページ・アドレスが、どの以前のページ・アドレスとも異なっていると判定された場合に行う、請求項１０に記載のコンピュータ・プログラム。
【請求項12】
前記完全性を検証することが、部分的に、前記複数のページのメモリ・ページ内容を使用して取得された累積内容ハッシュ、および前記複数のページのページ・アドレスを使用して取得された累積アドレス・ハッシュを使用することを含む、請求項１１に記載のコンピュータ・プログラム。
【請求項13】
前記セキュアなオペレーティング・システム・イメージの完全性を検証することが、前記累積内容ハッシュを、セキュア・インタフェース制御によって受け取られた完全性内容ハッシュと比較することを含む、請求項１２に記載のコンピュータ・プログラム。
【請求項14】
前記セキュアなオペレーティング・システム・イメージの完全性を検証することが、前記累積アドレス・ハッシュを、前記セキュア・インタフェース制御によって受け取られた完全性アドレス・ハッシュと比較することをさらに含む、請求項１３に記載のコンピュータ・プログラム。
【請求項15】
前記イメージ暗号化鍵、ならびに前記完全性内容ハッシュおよび前記完全性アドレス・ハッシュを、ハイパーバイザから受け取ったメタデータから抽出することをさらに含む、請求項１４に記載のコンピュータ・プログラム。
【請求項16】
コンピュータ実施方法であって、セキュアなオペレーティング・システム・イメージをインクリメンタルに復号すること
を含み、
前記インクリメンタルに復号することが、前記セキュアなオペレーティング・システム・イメージの複数のページのうちのページについて、
前記ページのページ・アドレスと、前記ページの暗号化中に使用されたトゥイーク値とを受け取ること、
前記トゥイーク値が、前記セキュアなオペレーティング・システム・イメージの前記複数のページのうちの別のページの復号中に以前に使用されたものであるか否かを判定すること、および
前記トゥイーク値が、以前に使用されたものでないと判定された場合に、復号されたセキュアなオペレーティング・システム・イメージを取得することを容易にするために、前記ページを暗号化する際に使用されたイメージ暗号化鍵と前記トゥイーク値とを使用して、前記ページ・アドレスにあるメモリ・ページ内容を復号すること
を含み、
前記方法がさらに、
前記セキュアなオペレーティング・システム・イメージの完全性を検証すること、ならびに
前記セキュアなオペレーティング・システム・イメージの完全性を検証したことに基づいて、前記復号されたセキュアなオペレーティング・システム・イメージの実行を開始すること
を含む、
コンピュータ実施方法。
【請求項17】
前記インクリメンタルに復号すること、および前記完全性を検証することが、ホスト・コンピュータ・システムのセキュア・インタフェース制御によって実行され、前記セキュア・インタフェース制御が信頼できるエンティティであり、使用される前記ページ・アドレスおよび前記トゥイーク値が、前記セキュア・インタフェース制御によってハイパーバイザから受け取られる、請求項１６に記載のコンピュータ実施方法。
【請求項18】
前記複数のページのページ・アドレスの順序が固定されており、前記セキュアなオペレーティング・システム・イメージをインクリメンタルに復号することが、前記ページ・アドレスが、前記セキュアなオペレーティング・システム・イメージの前記複数のページのうちの以前に復号されたページのうちのどの以前のページ・アドレスとも異なっているか否かを判定することを含み、前記メモリ・ページ内容を復号することは、前記トゥイーク値が、以前に使用されたものでないと判定され、かつ前記ページ・アドレスが、どの以前のページ・アドレスとも異なっていると判定された場合に行う、請求項１６または１７に記載のコンピュータ実施方法。
【発明の詳細な説明】
【技術分野】
【0001】
本発明は、コンピューティング環境内でのセキュアな処理に関する。
【背景技術】
【0002】
ゲスト・オペレーティング・システムは、インストールされたオペレーティング・システム・ソフトウェア、例えば仮想機械（virtual machine）上にインストールされたオペレーティング・システム・ソフトウェアのことを指す。コンピューティングにおいて、仮想機械は、コンピュータ・システムのエミュレーションである。ハイパーバイザによって生み出すことができる仮想機械は、コンピュータ・アーキテクチャに基づき、物理コンピュータの機能を提供する。仮想機械の実装形態は、専用ハードウェア、ソフトウェアまたはそれらの組合せを含みうる。仮想化技術は、コンピュータが、２つ以上のオペレーティング・システムを一度に実行させることを可能にする。
【0003】
現在のコンピューティング環境において、オペレーティング・システムなどのシステム・ソフトウェアは、実行されるアプリケーションおよびデータの全体を制御するものであるため、信頼できるものでなければならない。従来、オペレーティング・システム（およびハイパーバイザ）は、任意のアプリケーションのデータにアクセスすることもしくは任意のアプリケーションのデータを変更することができ、または、検出されることなく、アプリケーションによって実装されたセキュリティ特徴を潜在的に改竄することができる。したがって、基礎をなすこのソフトウェアは、トラステッド・コンピューティング・ベース（trusted computing base）の部分であるべきである。
【0004】
共用環境（shared environment）において、アプリケーション顧客（application customer）は、そのシステム・ソフトウェアを開発、構成、デプロイおよび制御するエンティティが悪意あるエンティティではないと信じることを強制される。顧客アプリケーションはさらに、特権を拡大し、アプリケーション情報の完全性（integrity）を危うくする攻撃に対してそのシステム・ソフトウェアが難攻不落であると信じなければならない。この幅広い信頼要件は、時に、例えばパブリック・クラウド・サービスを採用しているアプリケーション顧客については特に、正当化することが困難であることがあり、かなりのリスクをはらむ。
【発明の概要】
【0005】
コンピューティング環境内でのセキュアな処理を容易にするコンピュータ・システムの提供によって、先行技術のある種の短所が解決され、追加の利点が提供される。このコンピュータ・システムは、メモリと、このメモリに結合されたプロセッサとを含み、このコンピュータ・システムは、方法を実行するように構成されている。この方法は、セキュアなオペレーティング・システム・イメージ（secure operating system image）をインクリメンタルに（incrementally）復号することを含む。インクリメンタルに復号することは、セキュアなオペレーティング・システム・イメージの複数のページのうちのページについて、そのページのページ・アドレスと、そのページの暗号化中に使用されたトゥイーク値（tweak value）とを受け取ること、トゥイーク値が、セキュアなオペレーティング・システム・イメージの複数のページのうちの別のページの復号中に以前に使用されたものではないと判定すること、および復号されたセキュアなオペレーティング・システム・イメージを取得することを容易にするために、イメージ暗号化鍵とトゥイーク値とを使用して、ページ・アドレスにあるメモリ・ページ内容を復号することを含む。この方法はさらに、セキュアなオペレーティング・システム・イメージの完全性を検証すること、およびセキュアなオペレーティング・システム・イメージの完全性を検証したことに基づいて、復号されたセキュアなオペレーティング・システム・イメージの実行を開始することを含む。有利には、イメージ暗号化鍵および（初期化ベクトル（initialization vector）とも呼ばれる）固有のトゥイーク値を使用して別々に暗号化されている、セキュアなオペレーティング・システム・イメージの複数のページのインクリメンタル復号（incremental decryption）が、コンピューティング環境内のセキュリティを、例えば、セキュアなオペレーティング・システム・イメージの統計的解析によって有意味のデータが取得されることを防ぐことによって強化する。さらに、「発明の概要」の項に示された手法は、異なる位置に記憶されたデータが異なって暗号化されていることも許容する。
【0006】
１つまたは複数の実施形態では、インクリメンタルに復号すること、および完全性を検証することが、コンピュータ・システムのセキュア・インタフェース制御（secure interface control）によって実行される。セキュア・インタフェース制御は、コンピュータ・システムのセキュアで信頼できるエンティティ（entity）であり、ページ・アドレスおよびトゥイーク値は、セキュア・インタフェース制御によってハイパーバイザから受け取られる。有利には、このセキュア・インタフェース制御がセキュアな実行環境を提供する。このセキュアな実行環境では、ゲスト・オペレーティング・システムのメモリおよびセキュアな仮想機械内で実行しているそのアプリケーションが、ハイパーバイザ、ならびに他の仮想機械およびその仮想機械と同じホスト・システム上で実行している一切のプログラムから保護される。
【0007】
１つまたは複数の実施形態では、複数のページのページ・アドレスの順序が固定されており（例えば下位から上位の順序であり）、セキュアなオペレーティング・システム・イメージをインクリメンタルに復号することが、ページ・アドレスが、セキュアなオペレーティング・システム・イメージの複数のページのうちの以前に復号されたページのうちのどの以前のページ・アドレスとも異なっている（例えば順序が下位から上位の場合には、どの以前のページ・アドレスよりも大きい）と判定することを含む。さらに、１つまたは複数の実施態様では、セキュアなオペレーティング・システム・イメージをインクリメンタルに復号することが、トゥイーク値が、セキュアなオペレーティング・システム・イメージの複数のページのうちの以前に復号されたページの復号中に使用されたどの以前のトゥイーク値とも異なっている（例えば下位から上位の順序の場合には、どの以前のトゥイーク値よりも大きい）と判定することをさらに含む。
【0008】
一実施形態では、完全性を検証することが、部分的に、複数のページのメモリ・ページ内容を使用して取得された累積の（cumulative）内容ハッシュ（以後、累積内容ハッシュ）、および複数のページのページ・アドレスを使用して取得された累積のアドレス・ハッシュ（以後、累積アドレス・ハッシュ）を使用することを含む。例えば、セキュアなオペレーティング・システム・イメージの完全性を検証することは、累積内容ハッシュを、ハイパーバイザからのメタデータとともにセキュア・インタフェース制御によって受け取られた完全性内容ハッシュと比較すること、および累積アドレス・ハッシュを、ハイパーバイザからのメタデータとともにセキュア・インタフェース制御によって受け取られた完全性アドレス・ハッシュと比較することを含むことができる。例えば、セキュア・インタフェース制御は、完全性内容ハッシュおよび完全性アドレス・ハッシュ、ならびにイメージ暗号化鍵を、ハイパーバイザから受け取ったメタデータから抽出することができる。有利には、セキュア・インタフェース制御、すなわちホスト・システムのセキュア・エンティティは、改竄されたイメージの実行を防止するために、オペレーティング・システム・イメージの完全性を検証することができる。この目的のため、メモリ・ページの内容から計算されたハッシュ値、およびオペレーティング・システム・イメージのメモリ・ページ・アドレスのリストからのハッシュ値を使用し、それらのハッシュ値を、ページ・アドレスの順に提供された内容およびアドレスの対応するそれぞれの完全性ハッシュ値と比較する。この点に関して、ページ・アドレスの順序を下位から上位とすることは、トゥイーク有効性チェックと完全性チェックの両方を容易にすることに留意されたい。上述のプロセスを使用するメモリ・ページは連続している必要がないことにも留意されたい。
【0009】
１つまたは複数の実施形態では、セキュア・インタフェース制御がコンピュータ・システムのファームウェア要素を含み、セキュアなオペレーティング・システム・イメージが、コンピューティング環境内でセキュアなゲスト・オペレーティング・システム・イメージとして実行される。１つまたは複数の特定の実施形態では、コンピュータ・システムに秘密鍵－公開鍵対が関連づけられており、秘密鍵が、セキュア・インタフェース制御だけに知られており、コンピュータ・システム上で実行しているソフトウェアによってアクセス可能ではなく、公開鍵が、セキュアなオペレーティング・システム・イメージを暗号化するために使用されたイメージ暗号化鍵をセキュア・インタフェース制御にセキュアに伝達するための鍵アグリーメント・データ（key agreement data）を生成するため、および鍵アグリーメント・データをメタデータ構造に記憶するために、セキュアなオペレーティング・システム・イメージの所有者によって使用される。メタデータ構造は、セキュア・インタフェース制御がハイパーバイザからの呼出しを用いて受け取ることができる。メタデータ構造は、セキュアなオペレーティング・システム・イメージの完全性を検証する際に使用される完全性ハッシュ値をさらに含むことができる。有利には、このプロセスが結果として、セキュアな実行環境を与える。このセキュアな実行環境では、セキュアなオペレーティング・システム・イメージの機密性（confidentiality）が維持され、同時に、オペレーティング・システムの完全性が検証される。このプロセスでは、シークレット鍵（secret key）、すなわちイメージ暗号化鍵が、セキュアなオペレーティング・システム・イメージの所有者によって選ばれ、オペレーティング・システムの全ての構成要素、およびオペレーティング・システム・イメージがブートされた後にオペレーティング・システム・イメージによって使用されるレスト状態のデータ（data at rest）は暗号化されていると仮定される。
【0010】
本明細書では、１つまたは複数の態様に関係したコンピュータ・プログラム製品およびコンピュータ実施方法（computer-implemented method）も説明されており、特許請求されている。さらに、本明細書では、１つまたは複数の態様に関係するサービスも説明されており、それらのサービスが特許請求されている場合もある。
【0011】
本発明の技術によって、追加の特徴および利益が実現される。本明細書には、本発明の他の実施形態および態様が詳細に記載されており、それらは、特許請求されている発明の部分とみなされる。
【0012】
本発明の１つまたは複数の態様は、本明細書の末尾の特許請求の範囲に例として具体的に示されており、明確に特許請求されている。本発明の上記の目的、特徴および利点ならびにその他の目的、特徴および利点は、添付図面とともに解釈される以下の詳細な説明から明らかである。
【図面の簡単な説明】
【0013】
【図1】本発明の１つまたは複数の態様による、セキュアなオペレーティング・システム・イメージの復号および完全性検証（integrity verification）の１つまたは複数の態様を組み込み、使用するためのコンピューティング環境の一例を示す図である。
【図2】本発明の１つまたは複数の態様による、セキュアなオペレーティング・システム・イメージのインクリメンタル復号および完全性検証のプロセスの一実施形態を示す図である。
【図3A】本発明の１つまたは複数の態様による、セキュアなオペレーティング・システム・イメージのロード後の仮想機械（ＶＭ）のメモリ内容の一実施形態を示す図である。
【図3B】本発明の１つまたは複数の態様による、インクリメンタル復号および完全性検証プロセスに従ってセキュアなオペレーティング・システム・イメージをアンパック（unpack）するために使用されるメタデータの一実施形態を示す図である。
【図4A】本発明の１つまたは複数の態様による、インクリメンタル復号および完全性検証プロセスに従った、ゲスト・アドレス空間、ハイパーバイザおよびウルトラバイザ（ultravisor）（またはセキュア・インタフェース制御）のデータ構造およびオペレーションを示す、イメージ・アンパック開始プロセスの一実施形態を示す図である。
【図4C】本発明の１つまたは複数の態様による、オペレーティング・システム・イメージのアンパックの完了後の、図４Ａおよび４Ｂのゲスト・アドレス空間、ハイパーバイザおよびウルトラバイザの一実施形態を示す図である。
【図5A】本発明の１つまたは複数の態様による、セキュアなオペレーティング・システム・イメージのインクリメンタル復号および完全性検証の一例を示す図である。
【図5B】本発明の１つまたは複数の態様による、セキュアなオペレーティング・システム・イメージのインクリメンタル復号および完全性検証の一例を示す図である。
【図6A】本発明の１つまたは複数の態様を組み込み、使用するためのコンピューティング環境の別の例を示す図である。
【図7】クラウド・コンピューティング環境の一実施形態を示す図である。
【図8】抽象化モデル層の例を示す図である。
【発明を実施するための形態】
【0014】
本発明の一態様によれば、コンピューティング環境内でのセキュアな処理を容易にする能力が提供される。一例では、この能力が、セキュアなオペレーティング・システム・イメージをページごとにインクリメンタルに復号することを含み、それぞれのページは、イメージ暗号化鍵すなわちシークレット鍵および対応するそれぞれの固有のトゥイーク値を使用して暗号化されていると仮定される。インクリメンタルに復号することは、特定のページに対する固有のトゥイーク値が、セキュアなオペレーティング・システム・イメージの別のページの復号中に以前に使用されたものではないと判定することを含む。さらに、イメージの暗号化されたページの復号に対応して、セキュアなオペレーティング・システム・イメージの完全性検証が実行される。さらに、セキュアなオペレーティング・システム・イメージの完全性を検証したことに基づいて、イメージの実行が開始される。
【0015】
本明細書に開示されたものなどのインクリメンタル復号および完全性検証プロセスの１つまたは複数の態様を組み込み、使用するためのコンピューティング環境の一例を、図１を参照して説明する。図１を参照すると、一例では、コンピューティング環境１００が、米ニューヨーク州Ａｒｍｏｎｋのインターナショナル・ビジネス・マシーンズ・コーポレーション（ＩＢＭ（登録商標））によって提供されているｚ／Ａｒｃｈｉｔｅｃｔｕｒｅ（登録商標）に基づく。ｚ／Ａｒｃｈｉｔｅｃｔｕｒｅ（登録商標）は、"z/Architecture Principles of Operation," IBM(登録商標) Publication No. SA22-7832-11, 12th edition, September 2017という表題のＩＢＭ（登録商標）刊行物に記載されおり、この刊行物は、参照によってその全体が本明細書に組み込まれている。ｚ／Ａｒｃｈｉｔｅｃｔｕｒｅ、ＩＢＭ、Ｚ／ＶＭおよびＺ／ＯＳ（本明細書で参照されている）は、米ニューヨーク州Ａｒｍｏｎｋのインターナショナル・ビジネス・マシーンズ・コーポレーションの登録商標である。本明細書で使用されている他の名称が、インターナショナル・ビジネス・マシーンズ・コーポレーションまたは他の企業の登録商標、商標または商品名であることがある。
【0016】
別の例では、このコンピューティング環境が、米ニューヨーク州Ａｒｍｏｎｋのインターナショナル・ビジネス・マシーンズ・コーポレーションによって提供されているＰｏｗｅｒ Ａｒｃｈｉｔｅｃｔｕｒｅ（登録商標）に基づく。Ｐｏｗｅｒ Ａｒｃｈｉｔｅｃｔｕｒｅ（登録商標）の一実施形態が、 "Power ISATM Version 2.07B," International Business Machines Corporation, April 9, 2015に記載されおり、この文献は、参照によってその全体が本明細書に組み込まれている。Ｐｏｗｅｒ Ａｒｃｈｉｔｅｃｔｕｒｅは、米ニューヨーク州Ａｒｍｏｎｋのインターナショナル・ビジネス・マシーンズ・コーポレーションの登録商標である。
【0017】
コンピューティング環境１００は、仮想機械サポートを提供する中央処理装置複合体（central processor complex）（ＣＰＣ）１０２を含む。ＣＰＣ１０２は、１つまたは複数の制御ユニット１０８を介して１つまたは複数の入力／出力（Ｉ／Ｏ）デバイス１０６に結合されている。中央処理装置複合体１０２は、例えば、プロセッサ・メモリ１０４（主メモリ、主ストレージ、中央ストレージとしても知られている）を含み、プロセッサ・メモリ１０４は、１つまたは複数の中央処理装置（中央処理ユニット（ＣＰＵ）としても知られている）１１０および入力／出力サブシステム１１１に結合されている。これらについてはそれぞれ後に説明する。
【0018】
プロセッサ・メモリ１０４は、例えば、１つまたは複数の仮想機械１１２、仮想機械を管理するハイパーバイザ１１４などの仮想機械マネージャ、ウルトラバイザ１１５（またはセキュア・インタフェース制御）、およびプロセッサ・ファームウェア１１６を含む。ハイパーバイザ１１４の一例は、米ニューヨーク州Ａｒｍｏｎｋのインターナショナル・ビジネス・マシーンズ・コーポレーションによって提供されているｚ／ＶＭ（登録商標）である。ハイパーバイザは、時にホストと呼ばれる。さらに、本明細書で使用されるとき、ファームウェアは、例えば、プロセッサのマイクロコードもしくはミリコードまたはその両方を含む。ファームウェアは、例えば、より高水準の機械コードの実装において使用されるハードウェアレベル命令もしくはデータ構造またはその両方を含む。一実施形態では、このファームウェアが例えば、信頼できるソフトウェアを含むマイクロコードまたは基礎をなすハードウェアに対する特定のマイクロコードとして通常は配信されるプロプライエタリ・コード（proprietary code）を含み、システム・ハードウェアへのオペレーティング・システム・アクセスを制御する。１つまたは複数の実施形態では、このセキュア・インタフェース制御（ウルトラバイザ１１５）を、例えば本明細書に記載されたプロセスなどを実行するように構成されたハードウェアもしくはファームウェアまたはその両方に、少なくとも部分的に実装することができる。
【0019】
ＣＰＣの仮想機械サポートは、それぞれが、異なるプログラム１２０とともに動作すること、およびＬｉｎｕｘ（登録商標）などのゲスト・オペレーティング・システム１２２を実行させることができる、多数の仮想機械１１２を動作させる能力を提供する。それぞれの仮想機械１１２は、別個のシステムとして機能することができる。すなわち、それぞれの仮想機械を独立してリセットすることができ、それぞれの仮想機械が、ゲスト・オペレーティング・システムを実行させることができ、それぞれの仮想機械が、異なるプログラムとともに動作することができる。仮想機械内で実行しているオペレーティング・システムまたはアプリケーション・プログラムは、システムの全体にアクセスできるように見えるが、実際には、システムの一部分だけが使用可能である。
【0020】
プロセッサ・メモリ１０４は、中央処理装置（ＣＰＵ）１１０に結合されており、ＣＰＵ１１０は、仮想機械に割当て可能な物理プロセッサ・リソースである。例えば、仮想機械１１２は、１つまたは複数の論理プロセッサを含み、その１つまたは複数の論理プロセッサはそれぞれ、仮想機械に動的に割り振ることができる物理プロセッサ・リソース１１０の全部または一部を表す。
【0021】
さらに、一実施形態では、それぞれのＣＰＵ１１０が、処理コア（コアとしても知られている）１３２内で実行されるハードウェア・スレッドである。コアは１つまたは複数のスレッドを含み、この例では、コア１３２が４つのハードウェア・スレッドを含む。他の例では、コンピューティング環境が１つまたは複数のコアを含むことができ、それぞれのコアが、１つまたは複数のハードウェア・スレッドを含むことができる。
【0022】
さらに、プロセッサ・メモリ１０４はＩ／Ｏサブシステム１１１に結合されている。入力／出力サブシステム１１１は、入力／出力制御ユニット１０８およびデバイス１０６と主ストレージ１０４との間の情報の流れを指図する。入力／出力サブシステム１１１は、中央処理装置複合体に結合されており、入力／出力サブシステム１１１は、中央処理装置複合体の部分とすることができ、または中央処理装置複合体とは別個のものとすることができる。
【0023】
特定の１つの例では、仮想機械のモデルがＶ＝Ｖモデルであり、このモデルでは、仮想機械の実メモリまたは絶対メモリが、実メモリまたは絶対メモリの代わりにホスト仮想メモリによって支援される。仮想機械はそれぞれ、連続した仮想メモリ空間を有する。物理リソースは、ハイパーバイザ・ホスト１１４によって管理され、共用物理リソースは、ゲスト・オペレーティング・システムの処理要求を達成するために、必要に応じて、ホストによってゲスト・オペレーティング・システムにディスパッチされる。このＶ＝Ｖ仮想機械（すなわちページ可能（pageable）ゲスト）モデルは、ゲスト・オペレーティング・システムと共用物理機械リソースとの間のインタラクションがホストによって制御されることを仮定している。これは、これらの多数のゲストが通常、ホストが、ハードウェア・リソースを単純に区分化すること、および、ホストが、構成されたゲストにハードウェア・リソースを割り当てることを妨げるためである。
【0024】
上述のとおり、メモリ１０４は、Ｉ／Ｏサブシステム１１１に結合されている。Ｉ／Ｏサブシステム１１１は、中央処理装置複合体の部分とすることができ、または中央処理装置複合体とは別個のものとすることができる。Ｉ／Ｏサブシステム１１１は、主ストレージ１０４と、中央処理装置複合体に結合された入力／出力制御ユニット１０８および入力／出力（Ｉ／Ｏ）デバイス１０６との間の情報の流れを指図する。
【0025】
多くのタイプのＩ／Ｏデバイスを使用することができる。特定の１つのタイプのＩ／Ｏデバイスがデータ・ストレージ・デバイス１４０である。データ・ストレージ・デバイス１４０は、１つもしくは複数のプログラム１４２、１つもしくは複数のコンピュータ可読プログラム命令１４４、またはデータ、あるいはこれらの組合せなどを記憶することができる。このコンピュータ可読プログラム命令を、本発明の態様の実施形態の機能を実行するように構成することができる。
【0026】
それに加えて、またはその代わりに、本発明の態様の実施形態の機能を実行するように構成されたコンピュータ可読プログラム命令を、メモリ１０４に含めることもできる。多くの変形形態が可能である。
【0027】
本明細書に開示されているとおり、ゲスト・オペレーティング・システムのメモリおよびセキュアな仮想機械内で実行しているそのアプリケーションは、信頼できないハイパーバイザ、ならびに他の仮想機械およびその仮想機械と同じホスト・システム上で実行している一切のプログラムから保護される。この保護は、セキュアなホスト・システムのハードウェア要素もしくはファームウェア要素またはその両方を含む、信頼できるエンティティによって強化される。本明細書では、この信頼できるエンティティを、セキュア・インタフェース制御またはウルトラバイザと呼ぶ。１つまたは複数の実施態様では、セキュア・インタフェース制御（またはウルトラバイザ）が、信頼できるファームウェア内で実行する。この信頼できるファームウェアは、ハードウェア・システム・エリア（Hardware System Area）（ＨＳＡ）に存在する。ＨＳＡは、高度に保護されており、ＨＳＡには、ファームウェアの最低レベルだけがアクセスすることができる。１つまたは複数の実施形態では、このコードが、コンピュータ・システムの製造業者によって所有されており、製造業者によってセキュアに維持されて、製造業者によって出荷される。このコードの内容は、このコードを実行するために機械によって読まれるが、機械からダンプされることまたは抽出されることはない。１つまたは複数の実施形態では、セキュア・インタフェース制御が、純粋にハードウェア内で実施するには複雑すぎることがある命令を実施するために使用されるハードウェアの拡張である。対照的に、ハイパーバイザは、多数のゲスト（仮想機械としても知られている）のホストをつとめることができる任意のソフトウェアを指しうる。ハイパーバイザが、注意深くロードされ、システム上で実行しているソフトウェアによるアクセスから保護されるシステム・ファームウェアに属している必要はない。一般に、１つまたは複数の実施形態では、ハイパーバイザを、ネットワーク・インタフェースを含む幅広い管理インタフェースを有するサード・パーティ・ソフトウェアとすることができる。したがって、ハイパーバイザは信頼できず、ネットワーク・インタフェースを通して利用可能な脆弱性、または悪意ある管理もしくは怠慢な管理にさらされることがある。
【0028】
本明細書では、コンピューティング環境内でセキュアなゲストとして実行することが意図されたオペレーティング・システム・イメージが、ホスト・システムに対して使用可能とされる前でさえも、機密性および完全性を保証するために、調査および改竄から保護されると仮定される。これを達成するため、オペレーティング・システム・イメージは、イメージの所有者によって選ばれたシークレット鍵によって暗号化され、その完全性が保護される。本明細書では、このシークレット鍵がイメージ暗号化鍵とも呼ばれる。オペレーティング・システム・イメージの全ての構成要素、ならびにシステムがブートされた後にオペレーティング・システムによって使用されるレスト状態の全てのデータは暗号化されていると仮定される。
【0029】
オペレーティング・システムをブートするのに必要のないデータの暗号化は、オペレーティング・システム・イメージ自体の暗号化から独立して実行することができる。それらの追加のデータの復号は、セキュアなゲストとして実行しているオペレーティング・システムによって実行することができる。例えば、暗号化されたＬｉｎｕｘ（登録商標）オペレーティング・システム・イメージは、カーネル、初期ＲＡＭディスクおよびカーネル・パラメータ行を含みうる。初期ＲＡＭディスクは、仮想機械に割り当てられた暗号化されたディスク・ボリューム上に存在するデータを復号するために使用されるシークレット鍵を含むことができる。
【0030】
仮想機械を実行させるホスト・システムは、セキュアなオペレーティング・システム・イメージをブートするために、セキュアなオペレーティング・システム・イメージを復号することができる必要がある。機密性を保証するため、本明細書では、この能力が、ホスト・システムの信頼できるハードウェアおよびファームウェア（「セキュア・インタフェース制御」または「ウルトラバイザ」）に対して予約されている。この目的のために、ホスト・システムに秘密鍵－公開鍵対が関連づけられる。秘密鍵は、ホスト・システムの信頼できるハードウェアおよびファームウェア（すなわちセキュア・インタフェース制御またはウルトラバイザ）だけに知られており、ホスト上で実行しているどのソフトウェアによってもアクセス可能ではない。公開鍵は、セキュアなオペレーティング・システム・イメージを暗号化するために使用されたイメージ暗号化鍵をセキュア・インタフェース制御にセキュアに伝達するための鍵アグリーメント・データを生成するため、および鍵アグリーメント・データをメタデータ構造（本明細書ではセキュア・エグゼキューション（Secure Execution）（ＳＥ）ヘッダと呼ばれる）に記憶するために、暗号化されたオペレーティング・システム・イメージの所有者によって使用される。一例として、ＲＳＡキー・ラッピング法またはＤｉｆｆｉｅ－Ｈｅｌｌｍａｎ／ＫＥＭ型鍵交換法を使用することができる。ＳＥヘッダのサイズは、オペレーティング・システム・イメージのサイズから独立している。
【0031】
さらに、本明細書に開示されているとおり、ホスト・システムはさらに、改竄されたイメージの実行を防ぐために、オペレーティング・システム・イメージの完全性を検証する。この目的のため、メモリ・ページの内容に対する完全性ハッシュ値、およびオペレーティング・システム・イメージのメモリ・ページ・アドレスのリストに対する完全性ハッシュ値が計算される。１つまたは複数の実施形態では、両方のハッシュ値の計算を容易にするために、ページおよびページのアドレスが、ページ・アドレスの順に、例えば下位から上位の順に提供される。比較されるこれらの完全性ハッシュ値は、メタデータ構造（ＳＥヘッダ）を介して、セキュア・インタフェース制御ないしウルトラバイザに記憶し、セキュア・インタフェース制御ないしウルトラバイザに提供することができる。
【0032】
本明細書では、セキュアなオペレーティング・システム・イメージをインクリメンタルに復号し、セキュアなオペレーティング・システム・イメージの完全性チェックを容易にするこのプロセスをアンパックと呼ぶ。本明細書に開示された１つまたは複数の態様は、セキュアなホスト・システム内のプロセスが、オペレーティング・システム・イメージの機密性を維持するようなやり方でオペレーティング・システム・イメージを復号し、同時にオペレーティング・システム・イメージの完全性を検証することをカバーする。１つまたは複数の実施形態では、アンパック・プロセス中のメモリ・ページの順序を強制することによって、これを容易にすることができる。本明細書に記載された本発明の態様の別の利点は、連続して保存されていないオペレーティング・システム・イメージを取り扱うことができる点である。
【0033】
さらに、１つまたは複数の態様では、セキュアなオペレーティング・システム・イメージの開示された復号および完全性検証手法が、セキュアなオペレーティング・システム・イメージの統計学的解析およびその統計学的解析に基づくイメージへの攻撃の達成をより困難にする。
【0034】
上述のとおり、１つまたは複数の実施形態では、特別に準備されたセキュアなオペレーティング・システム・イメージが、本明細書において、セキュアな状態にあるメモリ内容の観察を許さないようなやり方で実行される。固有のセキュリティを有するために、このオペレーティング・システム・イメージは、このセキュアなオペレーティング・システム・イメージのユーザまたは所有者によって選ばれた、本明細書ではシークレット鍵またはイメージ暗号化鍵と呼ぶ鍵を用いて暗号化されていると仮定される。暗号化が実行された後、暗号化鍵、すなわちイメージ暗号化鍵は、ホスト・コンピューティング・システムの公開鍵－秘密鍵対の第２の公開鍵、または公開鍵－秘密鍵対から導き出された対称鍵を用いてラップされる。１つまたは複数の実施形態では、このページごとの暗号化を、対称鍵アルゴリズム、例えば本明細書ではトゥイーク値と呼ぶ初期化ベクトルを使用する対称鍵アルゴリズムによるものとすることができる。トゥイーク値は、イメージのページごとに固有である。
【0035】
図２は、１つまたは複数の態様による、アンパック処理の一実施形態を示している。１つまたは複数の実施形態では、ウルトラバイザないしセキュア・インタフェース制御が、ハイパーバイザにアクセス可能な機能を、ウルトラバイザ呼出しを介して提供する。ウルトラバイザ呼出しは、アンパック・オペレーション開始呼出し（start unpack operation call）、ページごとアンパック・オペレーション実行呼出し（perform page-by-page unpack operation call）、およびアンパック・オペレーション完了呼出し（complete unpack operation call）を含む。ウルトラバイザを呼び出す前に、まだセキュアでない仮想機械（ＶＭ）メモリに、暗号化されたセキュアなオペレーティング・システム・イメージをロードして、ハイパーバイザがこのロードを実行することを可能にする。さらに、ハイパーバイザは、オペレーティング・システム・イメージを構成している全てのページのアドレスを知っていなければならず、さらに、それぞれのページを暗号化するために使用されたトゥイークを知っていなければならない。この情報をハイパーバイザに対してどのように使用可能にするのかは、本発明の態様にとって重要ではない。単純にするために、暗号化されたイメージとともに、暗号化されていないブートストラップ構成要素を仮想機械メモリにロードすることができる。この構成要素を使用して、パラメータ、すなわちＳＥヘッダ、メモリ・ページ・アドレスのリスト、およびトゥイークのリスト（例えばページ・アドレスごとに１つのトゥイーク）を有するハイパーバイザを呼び出すことができる。
【0036】
メモリを節約するために、包括的なページ・リストをハイパーバイザに提供する代わりに、ページ範囲のリストを指定することも可能である。同様に、トゥイークのリストを提供する代わりに、後続のトゥイークが固定された正の値だけ異なる、トゥイークの範囲を指定することも可能である。あるいは、ページ・アドレスからトゥイーク値を導き出すこともできる。上記の選択肢はいずれも、ハイパーバイザとウルトラバイザとの間のインタラクションに影響しない。ハイパーバイザは、パラメータとしてＳＥヘッダを含む、ウルトラバイザへの呼出し、例えば「アンパック開始」呼出しによって、アンパック・オペレーションを開始する２００。ＳＥヘッダは、公開ホスト鍵によってラップされた所有者のイメージ暗号化鍵、ならびにイメージ・ページ内容およびページ・アドレスに対するイメージ完全性ハッシュ値を含む。ウルトラバイザは、イメージ暗号化鍵および完全性ハッシュ値をＳＥヘッダから抽出し２０２、ＳＥヘッダ・データが有効かどうかを判定する２０４。「いいえ」の場合、アンパック・オペレーションは失敗となり、割込み禁止の待ち状態（disabled wait state）に入る２０６。割込み禁止の待ち状態に入るのは、ゲスト・オペレーティング・システムが実行することができないようにするためである。すなわち、そこで、ゲストは、割込み禁止の待ち状態から出ることができない。例えば、ハイパーバイザにエラーを返すことができる。１つまたは複数の実施形態では、ゲスト・システムをリセットすることができ、その場合、ゲスト・システムは、暗号化されたイメージをロードして再開し、上で説明したアンパック・プロセスを開始することになる。あるいは、ゲスト・システムの電源を遮断することもでき、このことは、事実上、仮想機械を除去することになる。すなわち、その仮想機械によって使用されているホスト・リソースを解放することになる。
【0037】
ハイパーバイザは、指定されたメモリ領域の全てのページ・アドレスを、（１つまたは複数の実施形態では）下位のページ・アドレスから上位のページ・アドレスの順に巡り２０８、ページ・アドレスとこのページを暗号化するために使用されたトゥイークとを用いて、ウルトラバイザ「ページ・アンパック（unpack page）」オペレーションを呼び出す２１０。ウルトラバイザは次いで以下のオペレーションを実行する。ウルトラバイザは、そのメモリ・ページをセキュアにセットし、ＳＥヘッダからのイメージ暗号化鍵とページを暗号化するために使用されたトゥイーク値とを使用してメモリ・ページ内容を復号する。１つのトゥイーク値が２回以上使用されることを防ぐために、新しいそれぞれのトゥイークは、以前に使用されたトゥイークよりも大きな数によって表現されているべきであり、それぞれのページ・アドレスは、以前に使用されたページ・アドレスよりも大きい値であるべきである２１２。「いいえ」の場合、アンパックは失敗となり、割込み禁止の待ち状態に入る２０６。「はい」の場合、ウルトラバイザは、そのページにセキュアのマークを付け、イメージ暗号化鍵およびトゥイークを使用してそのページを復号し、ページ内容に対する累積内容ハッシュおよびページ・アドレスに対する累積アドレス・ハッシュを決定する２１４（例えば、累積ハッシュは次のように計算することができる：全てのページについて、ｃｕｍ＿ｈａｓｈ：＝ｃｕｍ＿ｈａｓｈ＋部分ハッシュ（ページｉ）。ここで、１≦ｉ≦ｎであり、＋は、複雑な演算である）。一実施形態では、ウルトラバイザが、メモリ・ページの内容からの実行中のハッシュ値および以前に復号された全てのページの合計値（summary value）、ならびに、メモリ・ページのページ・アドレスからの別のハッシュ値および以前に復号された全てのページのページ・アドレスの合計値を決定する。多数のページ・アドレスをメモリ・ページに連結し、次いでそのメモリ・ページ全体のハッシュ値を計算することによって、上述のものなどのページごとアドレス・ハッシュ計算の強化を達成することができる。
【0038】
全てのオペレーティング・システム・イメージ・ページを処理した２０８後、ハイパーバイザは、「アンパック終了」オペレーションとともにウルトラバイザを呼び出し２１６、「アンパック終了」オペレーションで、ウルトラバイザは、内容およびページ・アドレスに対する計算された内容およびアドレス・ハッシュ値を、ＳＥヘッダに含まれる対応するそれぞれの完全性ハッシュ値と比較する２１８。それらが一致しない場合、アンパック・オペレーションは失敗となり、ハイパーバイザにエラー指示が返される２０６。一致する場合、アンパック・オペレーションは成功となり、ウルトラバイザは、セキュアなゲストの実行を、ＳＥヘッダからのプログラム・ステータス・ワード（program status word）（ＰＳＷ）を用いて開始することができ、このことは、オペレーティング・システム・イメージがセキュア・モードでの実行を開始する。
【0039】
本明細書に記載された処理では、イメージが「穴（hole）」を有していてもよいため、メモリ・ページが連続している必要はないが、本明細書に記載されたトゥイーク有効性チェックと完全性チェックの両方を可能にするために、（１つまたは複数の実施形態では）復号プロセスが下位から上位の順に実行されるべきであることに留意されたい。ゲストに属するが、ゲスト初期化中にアンパックされなかったページはセキュアであり、セキュアなゲストによる最初のアクセスでゼロ化される。
【0040】
さらなる例として、図３Ａは、セキュアなオペレーティング・システム・イメージのロード後のメモリ内容の一実施形態を示している。上述のとおり、１つまたは複数の実施形態において、セキュアなオペレーティング・システム・イメージは、セキュアなオペレーティング・システム・イメージのユーザまたは所有者によって、イメージ暗号化鍵を用いて暗号化されていると仮定される。このイメージ暗号化鍵は、ユーザまたは所有者によって選ばれたシークレット鍵である。暗号化が完了した後、暗号化鍵は、ホスト・コンピューティング・システムの公開鍵－秘密鍵対の公開鍵、またはホスト・コンピューティング・システムの公開鍵－秘密鍵対から導き出された対称鍵を用いてラップされ、メタデータ構造（すなわちセキュア・エクゼキューション（ＳＥ）ヘッダ）３０１に記憶され、メタデータ構造（すなわちＳＥヘッダ）３０１は、ゲスト・ディスク３１０からのメタデータ３０３の一部としてゲスト・アドレス空間３００内に提供される。（１つまたは複数の実施形態において）ゲスト・ディスク３１０およびゲスト・アドレス空間３００は、セキュアなオペレーティング・システム・イメージを実行するためにハイパーバイザによって仮想機械に提供されたメモリである。セキュアなオペレーティング・システム・イメージの実行を開始するために、ＳＥヘッダ３０１と一緒に、ブートストラップ構成要素３０２を提供することができる。１つまたは複数の実施態様では、このメタデータ３０３が暗号化されていないが、改竄から保護される。セキュアなオペレーティング・システム・イメージ３０５はアドレス・ページ３０４を含み、アドレス・ページ３０４は、上述のとおり、オペレーティング・システム・イメージが保護されていることを保証するために所有者のイメージ暗号化鍵を使用して個別に暗号化されている。（図３Ａに示されているように）ハイパーバイザを介してセキュアなオペレーティング・システム・イメージをメモリにロードすることができる。
【0041】
図３Ｂは、１つまたは複数の実施形態においてセキュアなオペレーティング・システム・イメージをアンパックするために使用されるメタデータをさらに示している。示されているとおり、ゲスト・アドレス空間３００内のＳＥヘッダ３０１は、（公開鍵でラップされた）イメージ暗号化鍵３０６、ならびにイメージ内容の完全性ハッシュ３０７およびイメージ・アドレスの完全性ハッシュ３０８を含むことができる。１つまたは複数の実施形態では、ブートストラップ構成要素３０２が、ブートストラップ・コード３０９、ならびにページ・アドレスおよびトゥイーク値を含むページごと情報３１１を含むことができる。ブートストラップ・コード３０９は、ハイパーバイザによって実行可能なコードとすることができ、またはハイパーバイザによって実行可能なコードを含むことができる。上述のとおり、１つまたは複数の実施形態では、ハイパーバイザによってページ・アドレスをウルトラバイザに送ることができ、それらのページ・アドレスは、ページ・アドレスおよびトゥイーク値が、セキュアなオペレーティング・システム・イメージの以前のページ・アドレスおよびトゥイーク値とは異なっていることを評価することができる効率的な手法として、昇順または降順などの順序で順序づけされる。単なる例として、下図４Ａ～４Ｃの例などの本明細書の１つまたは複数の実施形態では、ページ・アドレスが、昇順に配列されているとして記述される。本明細書に記載されているとおり、ページ・リストおよびトゥイーク・リストを含むメタデータは、ソフトウェア・ツールなどのエンティティによって生み出すことができ、このエンティティおよびハイパーバイザは、リスト内のアドレスおよびトゥイークの順序の共通の知識を有する。より詳細には、１つまたは複数の実施態様では、重要な順序が、ページが暗号化およびハッシュされる順序、ならびにハイパーバイザがウルトラバイザにページを提示する順序であり、これらの順序は一致する。この順序は、上述のとおり、昇順または降順であるが、ウルトラバイザは、イメージを生成するときにどちらの方向が使用されたかのかを知っている必要がある。したがって、この方向は通常、セキュア・インタフェース制御（またはウルトラバイザ）アーキテクチャによって規定される。
【0042】
図４Ａ～４Ｃは、本発明の１つまたは複数の態様による、インクリメンタル復号および完全性検証プロセスに従った、ハイパーバイザおよびウルトラバイザのデータ構造もしくはオペレーションまたはその両方を示す、アンパック・プロセスの一実施形態を示している。
【0043】
図４Ａには、ゲスト・アドレス空間３００、ハイパーバイザ４００およびウルトラバイザ４１０の関連データ構造が示されている。示されているとおり、セキュアなオペレーティング・システム・イメージを実行するために、ハイパーバイザ４００が呼び出される。ハイパーバイザ４００はＳＥヘッダ３０１を受け取り、そのヘッダを、ウルトラバイザ４１０に転送するために一時的に記憶する。アンパック・プロセスを開始するために、ハイパーバイザによってウルトラバイザ４１０が呼び出され、ウルトラバイザは、イメージ暗号化鍵３０６、完全性内容ハッシュ３０７および完全性アドレス・ハッシュ３０８をＳＥヘッダから抽出し、それらを、ウルトラバイザの保護されたメモリ（例えばレジスタ）に入れる。示されているとおり、１つまたは複数の実施形態では、ウルトラバイザ４１０がさらに、現在のトゥイーク値（以後、現在トゥイーク値）４１１、復号されるページの現在のアドレス（以後、現在アドレス）４１２、現在の内容ハッシュ（以後、現在内容ハッシュ）４１３、および現在のアドレス・ハッシュ（以後、現在アドレス・ハッシュ）４１４、ならびに累積内容ハッシュ４１５、累積アドレス・ハッシュ４１６、最後の（last）トゥイーク値（以後、最後トゥイーク値）４１７、および最後のページ・アドレス（以後、最後ページ・アドレス）４１８を含むレジスタを維持する。
【0044】
一例として、累積内容ハッシュ４１５は、ウルトラバイザによってそれまでに復号されたメモリ・ページの内容に関するハッシュ値を含み、累積アドレス・ハッシュ４１６は、それまでに復号されたメモリ・ページのアドレスに関するハッシュ値を含み、最後トゥイーク値４１７および最後ページ・アドレス４１８は、ウルトラバイザが最後に見たトゥイーク値およびアドレス値を含み、本明細書に開示された１つまたは複数の実施形態では、このトゥイーク値およびアドレス値が、ページ・アドレスおよびトゥイーク値が再び使用されないことをウルトラバイザが保証することを可能にする。トゥイーク値、現在アドレス、現在内容ハッシュおよび現在アドレス・ハッシュは作業レジスタであり、それらは、ウルトラバイザ４１０によって現在処理されているページに関する。
【0045】
ハイパーバイザ４００は制御を回復し、データ構造４０１を構成する。
１つまたは複数の実施形態では、データ構造４０１が、セキュアなオペレーティング・システム・イメージのページ・アドレスごとに、ページ・アドレスとトゥイーク値の対４０２を含む。イメージのメモリ・ページを繰り返すために使用されるインデックス（index）４０３が、ハイパーバイザ４００によって提供される。
１つまたは複数の実施形態では、データ構造４０１が、セキュアなオペレーティング・システム・イメージのページ・アドレスごとに、ページ・アドレスとトゥイーク値の対４０２を含む。イメージのメモリ・ページを繰り返すために使用されるインデックス（index）４０３が、ハイパーバイザ４００によって提供される。
【0046】
図４Ｂは、図４Ａのゲスト・アドレス空間、ハイパーバイザおよびウルトラバイザの構造および処理を示している。アンパック・オペレーションが進行中であり、ハイパーバイザ４００によってウルトラバイザ４１０に、ページ・アドレス・トゥイーク値対４０２が提供されている。この現在の対は、現在アドレス・レジスタおよび現在トゥイーク・レジスタに入れられており、現在アドレスが最後アドレスよりも大きいこと、および現在トゥイークが最後トゥイークよりも大きいことを保証するためになされる比較が示されている。さらに、ゲスト・アドレス空間内の特定のページ内容の復号の一部として、ウルトラバイザ４１０によって維持されている累積内容ハッシュおよび累積アドレス・ハッシュに、現在内容ハッシュおよび現在アドレス・ハッシュを加算することができる。図４Ｂに示されているように、ある種のページが復号されている３０４’。１つまたは複数の実施形態では、復号後、これらのページは、ウルトラバイザ４１０のミリコードによって保護され、そのため、復号後、ハイパーバイザ４００は、保護されたこれらのページにアクセスすることができない。セキュアなオペレーティング・システム・イメージの暗号化されていないページにハイパーバイザがアクセスできないことを保証するために、ウルトラバイザ４１０は、例えばストレージ鍵機能（storage key facility）を使用することができる。
【0047】
図４Ｃは、セキュアなオペレーティング・システム・イメージの全てのメモリ・ページがウルトラバイザによって復号され（、ウルトラバイザによって保護され）た後の、図４Ａおよび４Ｂのデータ構造およびプロセスを示している。累積内容ハッシュ４１５および累積アドレス・ハッシュ４１６を使用してセキュアなオペレーティング・システム・イメージの完全性を検証するために、ハイパーバイザ４００は、ウルトラバイザへのアンパック終了呼出しを実行する。示されているとおり、ＳＥヘッダとともに受け取られた完全性内容ハッシュを、確認された累積内容ハッシュと比較するため、およびＳＥヘッダの完全性アドレス・ハッシュと取得された累積アドレス・ハッシュとを比較するために、ウルトラバイザが呼び出される。対応するそれぞれの比較が真である、すなわち、累積内容ハッシュが完全性内容ハッシュと等しく、累積アドレス・ハッシュが完全性アドレス・ハッシュと等しいと仮定すると、セキュアなオペレーティング・システム・イメージの完全性が確認され、ウルトラバイザは、復号されたセキュアなオペレーティング・システム・イメージの実行を、例えばＳＥヘッダからのプログラム・ステータス・ワード（ＰＳＷ）を使用して開始することができる。
【0048】
本発明の１つまたは複数の態様に関係しているため、コンピューティング環境内でのセキュアな処理を容易にする一実施形態のさらなる詳細を、図５Ａおよび５Ｂを参照して説明する。
【0049】
図５Ａを参照すると、一実施形態では、セキュアなオペレーティング・システム・イメージをインクリメンタルに復号する（５００）。インクリメンタルに復号することは、セキュアなオペレーティング・システム・イメージの複数のページのうちのページについて、そのページのページ・アドレスと、そのページの暗号化中に使用されたトゥイーク値とを受け取ること（５０２）、トゥイーク値が、セキュアなオペレーティング・システム・イメージの複数のページのうちの別のページの復号中に以前に使用されたものではないと判定すること（５０４）、および復号されたセキュアなオペレーティング・システム・イメージを取得することを容易にするために、そのページを暗号化する際に使用されたイメージ暗号化鍵とトゥイーク値とを使用して、ページ・アドレスにあるメモリ・ページ内容を復号すること（５０６）を含む。さらに、セキュアなオペレーティング・システム・イメージの完全性を検証し（５０８）、セキュアなオペレーティング・システム・イメージの完全性を検証したことに基づいて、復号されたセキュアなオペレーティング・システム・イメージの実行を開始する（５１０）。
【0050】
１つまたは複数の実施形態では、インクリメンタルに復号すること、および完全性を検証することが、コンピュータ・システムのセキュア・インタフェース制御によって実行され、セキュア・インタフェース制御が、コンピュータ・システムの信頼できるエンティティであり、ページ・アドレスおよびトゥイーク値が、セキュア・インタフェース制御によってハイパーバイザから受け取られる（５１２）。さらに、一実施形態では、複数のページのページ・アドレスの順序が固定されており（例えば下位から上位の順序であり）、セキュアなオペレーティング・システム・イメージをインクリメンタルに復号することが、ページ・アドレスが、セキュアなオペレーティング・システム・イメージの複数のページのうちの以前に復号されたページのうちのどの以前のページ・アドレスとも異なっていると判定することを含む（５１４）。
【0051】
１つまたは複数の実施態様では、セキュアなオペレーティング・システム・イメージをインクリメンタルに復号することが、トゥイーク値が、セキュアなオペレーティング・システム・イメージの複数のページのうちの以前に復号されたページの復号中に使用されたどの以前のトゥイーク値とも異なっていると判定することをさらに含む（５１６）。
【0052】
さらなる例として、完全性を検証することは、部分的に、複数のページのメモリ・ページ内容を使用して取得された累積内容ハッシュ、および複数のページのページ・アドレスを使用して取得された累積アドレス・ハッシュを使用することを含むことができる（５１８）。例えば、図５Ｂに示されているように、セキュアなオペレーティング・システム・イメージの完全性を検証することは、累積内容ハッシュを、セキュア・インタフェース制御によってハイパーバイザから受け取られた完全性内容ハッシュと比較すること、および累積アドレス・ハッシュを、セキュア・インタフェース制御によってハイパーバイザから受け取られた完全性アドレス・ハッシュと比較することを含むことができる（５２０）。
【0053】
１つまたは複数の実施形態では、このプロセスが、セキュア・インタフェース制御によって、イメージ暗号化鍵、ならびに完全性内容ハッシュおよび完全性アドレス・ハッシュを、ハイパーバイザから受け取ったメタデータから抽出することを含む（５２２）。特定の例では、セキュア・インタフェース制御が、コンピュータ・システムのファームウェア要素を含み、セキュアなオペレーティング・システムが、コンピューティング環境内でセキュアなゲスト・オペレーティング・システムとして実行される（５２４）。一例として、コンピュータ・システムに秘密鍵－公開鍵対を関連づけることができ、秘密鍵は、セキュア・インタフェース制御だけに知られており、コンピュータ・システム上で実行しているソフトウェアによってアクセス可能ではなく、公開鍵は、セキュアなオペレーティング・システム・イメージを暗号化するために使用されたイメージ暗号化鍵をセキュア・インタフェース制御に伝達するための鍵アグリーメント・データを生成するため、および鍵アグリーメント・データをメタデータ構造に記憶するために、セキュアなオペレーティング・システム・イメージの所有者によって使用される（５２６）。さらに、セキュア・インタフェース制御は、メタデータ構造を、ハイパーバイザからの呼出しを用いて受け取ることができ、メタデータ構造は、セキュアなオペレーティング・システム・イメージの完全性を検証する際に使用される完全性ハッシュ値をさらに含む（５２８）。
【0054】
他の変形形態および実施形態も可能である。
【0055】
多くのタイプのコンピューティング環境が本発明の態様を使用することができる。本発明の１つまたは複数の態様を組み込み、使用するためのコンピューティング環境の別の実施形態を、図６Ａを参照して説明する。この例では、コンピューティング環境１０が例えば、ネイティブの中央処理ユニット（ＣＰＵ）１２、メモリ１４、および１つもしくは複数の入力／出力デバイスもしくはインタフェースまたはその両方１６を含み、これらは例えば、１つもしくは複数のバス１８もしくは他の接続またはその両方を介して互いに結合されている。例として、コンピューティング環境１０は、米ニューヨーク州Ａｒｍｏｎｋのインターナショナル・ビジネス・マシーンズ・コーポレーションによって提供されているＰｏｗｅｒＰＣ（登録商標）プロセッサ、米カリフォルニア州Ｐａｌｏ Ａｌｔｏのヒューレット・パッカードＣｏ．（Hewlett Packard Co.）によって提供されているＨＰ Ｓｕｐｅｒｄｏｍｅ（登録商標） ｗｉｔｈ Ｉｎｔｅｌ Ｉｔａｎｉｕｍ（登録商標） ＩＩプロセッサ、もしくはインターナショナル・ビジネス・マシーンズ・コーポレーション（登録商標）、ヒューレット・パッカード（登録商標）、インテル・コーポレーション（Intel Corporation）（登録商標）、オラクル（Oracle）（登録商標）などによって提供されているアーキテクチャに基づく他の機械、またはこれらの組合せを含むことができる。ＩＢＭ、ｚ／Ａｒｃｈｉｔｅｃｔｕｒｅ、ＩＢＭ Ｚ、ｚ／ＯＳ、ＰＲ／ＳＭおよびＰｏｗｅｒＰＣは、少なくとも１つの法域における、インターナショナル・ビジネス・マシーンズ・コーポレーションの商標または登録商標である。ＩｎｔｅｌおよびＩｔａｎｉｕｍは、米国および他の国々における、インテル・コーポレーションまたはその系列会社の商標または登録商標である。
【0056】
ネイティブ中央処理ユニット１２は、この環境内での処理中に使用される、１つもしくは複数の汎用レジスタまたは１つもしくは複数の専用レジスタあるいはその両方などの、１つもしくは複数のネイティブ・レジスタ２０を含む。これらのレジスタは、特定の時点における環境の状態を表す情報を含む。
【0057】
さらに、ネイティブ中央処理ユニット１２は、メモリ１４に記憶された命令およびコードを実行する。特定の１つの例では、この中央処理ユニットが、メモリ１４に記憶されたエミュレータ・コード２２を実行する。このコードは、１つのアーキテクチャで構成されたコンピューティング環境が別のアーキテクチャをエミュレートすることを可能にする。例えば、エミュレータ・コード２２は、ｚ／Ａｒｃｈｉｔｅｃｔｕｒｅ（登録商標）ハードウェア・アーキテクチャ以外のアーキテクチャに基づく、ＰｏｗｅｒＰＣ（登録商標）プロセッサ、ＨＰ Ｓｕｐｅｒｄｏｍｅ（登録商標）サーバなどの機械が、ｚ／Ａｒｃｈｉｔｅｃｔｕｒｅ（登録商標）ハードウェア・アーキテクチャをエミュレートすること、ならびにｚ／Ａｒｃｈｉｔｅｃｔｕｒｅ（登録商標）ハードウェア・アーキテクチャに基づいて開発されたソフトウェアおよび命令を実行することを可能にする。
【0058】
エミュレータ・コード２２に関するさらなる詳細を、図６Ｂを参照して説明する。メモリ１４に記憶されたゲスト命令３０は、ネイティブＣＰＵ１２のアーキテクチャ以外のアーキテクチャで実行されるように開発された（例えば機械命令に相関する）ソフトウェア命令を含む。例えば、ゲスト命令３０は、ｚ／Ａｒｃｈｉｔｅｃｔｕｒｅ（Ｒ）ハードウェア・アーキテクチャに基づくプロセッサ上で実行されるように設計されたものとすることができるが、その代わりにネイティブＣＰＵ１２上でエミュレートされている。ネイティブＣＰＵ１２は例えばＩｎｔｅｌ Ｉｔａｎｉｕｍ（登録商標） ＩＩプロセッサとすることができる。一例では、エミュレータ・コード２２が、メモリ１４から１つまたは複数のゲスト命令３０を取得し、任意選択で、取得した命令に対するローカル・バッファリングを提供する命令フェッチ・ルーチン３２を含む。エミュレータ・コード２２はさらに、取得したゲスト命令のタイプを決定し、そのゲスト命令を、対応する１つまたは複数のネイティブ命令３６に翻訳する命令翻訳ルーチン３４を含む。この翻訳は例えば、ゲスト命令が実行することになっている機能を識別すること、およびその機能を実行するネイティブ命令を選ぶことを含む。
【0059】
さらに、エミュレータ・コード２２は、それらのネイティブ命令を実行させるエミュレーション制御ルーチン４０を含む。エミュレーション制御ルーチン４０は、以前に取得した１つまたは複数のゲスト命令をエミュレートするネイティブ命令のルーチンを、ネイティブＣＰＵ１２に実行させ、そのような実行の終わりに、次のゲスト命令または一群のゲスト命令の取得をエミュレートする命令フェッチ・ルーチンに制御を返すことができる。ネイティブ命令３６の実行は、メモリ１４からレジスタにデータをロードすること、レジスタからメモリにデータを再び記憶すること、または、翻訳ルーチンによって決定された、あるタイプの算術もしくは論理演算を実行することを含むことができる。
【0060】
それぞれのルーチンは例えばソフトウェアとして実装されており、そのソフトウェアは、メモリに記憶されており、ネイティブ中央処理ユニット１２によって実行される。他の例では、これらのルーチンまたは演算のうちの１つまたは複数のルーチンまたは演算が、ファームウェア、ハードウェア、ソフトウェアまたはこれらの組合せとして実装されている。エミュレートされたプロセッサのレジスタは、ネイティブＣＰＵのレジスタ２０を使用して、またはメモリ１４の中の位置を使用することによってエミュレートすることができる。実施形態では、ゲスト命令３０、ネイティブ命令３６およびエミュレータ・コード２２が同じメモリにあってもよく、または異なるメモリ・デバイスに分散していてもよい。
【0061】
上で説明したコンピューティング環境は、使用することができるコンピューティング環境の例に過ぎない。限定はされないが、区分されていない環境（non-partitioned environment）、区分された環境もしくはエミュレートされた環境またはこれらの組合せを含む、他の環境を使用することもでき、実施形態は、１つの環境だけに限定されない。
【0062】
それぞれのコンピューティング環境を、本発明の１つまたは複数の態様を含むように構成することができる。本発明の１つまたは複数の態様によれば、例えば、オーバフロー処理を提供するように、それぞれのコンピューティング環境を構成することができる。
【0063】
１つまたは複数の態様は、クラウド・コンピューティングに関係していることがある。
【0064】
本開示はクラウド・コンピューティングに関する詳細な説明を含むが、本明細書に記載された教示の実施態様はクラウド・コンピューティング環境だけに限定されないことを理解されたい。本発明の実施形態は、現在知られているまたは後に開発される他の任意のタイプのコンピューティング環境において実施することができる。
【0065】
クラウド・コンピューティングは、最小限の管理労力またはサービスのプロバイダとの最小限のインタラクションで迅速に供給およびリリースすることができる構成可能なコンピューティング・リソース（例えばネットワーク、ネットワーク帯域、サーバ、処理、メモリ、ストレージ、アプリケーション、仮想機械およびサービス）の共用プールへの便利なオンデマンド・ネットワーク・アクセスを可能にするサービス配信モデルである。このクラウド・モデルは、少なくとも５つの特徴、少なくとも３つのサービス・モデル、および少なくとも４つのデプロイメント（deployment）モデルを含むことができる。
【0066】
特徴は以下のとおりである。
【0067】
オンデマンド・セルフサービス：クラウド・コンシューマは、サーバ時間およびネットワーク・ストレージなどのコンピューティング機能の供給を、このサービスのプロバイダとのヒューマン・インタラクションを必要とすることなく必要に応じて自動的に一方的に受けることができる。
【0068】
ブロード・ネットワーク・アクセス：機能は、ネットワーク上で利用可能であり、異種のシンまたはシック・クライアント・プラットフォーム（例えば移動電話、ラップトップおよびＰＤＡ）による使用を促進する標準的機構を通してアクセスされる。
【0069】
リソース・プーリング（resource pooling）：マルチテナント・モデルを使用して多数のコンシューマにサービスを提供するために、プロバイダのコンピューティング・リソースがプールされており、要求に応じて、異なる物理的および仮想リソースが動的に割当ておよび再割当てされる。コンシューマは一般に、提供されたリソースの正確な位置を制御できずまたは正確な位置を知らないが、より高次の抽象化レベル（例えば国、州またはデータセンター）で位置を指定することができるという意味で、位置独立の感覚がある。
【0070】
ラピッド・エラスティシティ（rapid elasticity）：機能は、素早くスケールアウトするために迅速かつ弾力的に、場合によっては自動的に供給することができ、素早くスケールインするために迅速にリリースすることができる。コンシューマにとって、供給に利用可能な機能はしばしば無限であるように見え、いつでも好きな量だけ購入することができる。
【0071】
メジャード・サービス（measured service）：クラウド・システムは、サービスのタイプ（例えば、ストレージ、処理、帯域および使用中ユーザ・アカウント）に対して適切なある抽象化レベルで計測機能に介入することによって、リソースの使用状況を自動的に制御および最適化する。リソースの使用状況を監視、制御および報告して、利用されているサービスのプロバイダとコンシューマの両方に透明性を提供することができる。
【0072】
サービス・モデルは以下のとおりである。
【0073】
ソフトウェア・アズ・ア・サービス（ＳａａＳ）：コンシューマに提供されるこの機能は、クラウド・インフラストラクチャ上で実行しているプロバイダのアプリケーションを使用する機能である。ウェブ・ブラウザなどのシン・クライアント・インタフェース（例えばウェブ・ベースの電子メール）を通してさまざまなクライアント・デバイスからアプリケーションにアクセス可能である。場合によっては可能な限られたユーザ固有のアプリケーション構成の設定を除けば、コンシューマは、ネットワーク、サーバ、オペレーティング・システム、ストレージまたは個々のアプリケーション機能を含む基礎をなすクラウド・インフラストラクチャを管理もまたは制御もしない。
【0074】
プラットフォーム・アズ・ア・サービス（ＰａａＳ）：コンシューマに提供されるこの機能は、クラウド・インフラストラクチャ上で、プロバイダがサポートするプログラム言語およびツールを使用して作成されたコンシューマ作成または取得のアプリケーションをデプロイする機能である。コンシューマは、ネットワーク、サーバ、オペレーティング・システムまたはストレージを含む基礎をなすクラウド・インフラストラクチャを管理もまたは制御もしないが、デプロイされたアプリケーションおよび場合によってはアプリケーション・ホスティング環境構成は制御することができる。
【0075】
インフラストラクチャ・アズ・ア・サービス（ＩａａＳ）：コンシューマに提供されるこの機能は、処理、ストレージ、ネットワークおよび他の基本的なコンピューティング・リソースを供給する機能であり、コンシューマは任意のソフトウェアをデプロイおよび実行することができ、これらのソフトウェアは、オペレーティング・システムおよびアプリケーションを含むことができる。コンシューマは、基礎をなすクラウド・インフラストラクチャを管理もまたは制御もしないが、オペレーティング・システム、ストレージおよびデプロイされたアプリケーションは制御することができ、場合によっては、選択されたネットワーク構成要素（例えばホスト・ファイアウォール）を限定的に制御することができる。
【0076】
デプロイメント・モデルは以下のとおりである。
【0077】
プライベート・クラウド：このクラウド・インフラストラクチャは、組織体のためだけに運営される。インフラストラクチャは、その組織体または第三者が管理することができ、オンプレミス（on-premises）またはオフプレミス（off-premises）で存在することができる。
【0078】
コミュニティ・クラウド：このクラウド・インフラストラクチャは、いくつかの組織体によって共有され、利害（例えばミッション、セキュリティ要件、ポリシーおよびコンプライアンス上の問題）を共有する特定のコミュニティをサポートする。インフラストラクチャは、その組織体または第三者が管理することができ、オンプレミスまたはオフプレミスで存在することができる。
【0079】
パブリック・クラウド：このクラウド・インフラストラクチャは、一般大衆または大きな産業グループが利用可能であり、クラウド・サービスを販売している組織体によって所有される。
【0080】
ハイブリッド・クラウド：このクラウド・インフラストラクチャは、固有のエンティティを維持しているが、データおよびアプリケーション・ポータビリティを可能にする標準化された技術または独占技術（例えばクラウド間のロード・バランシングのためのクラウド・バースティング（cloud bursting））によって１つに結合された２つ以上のクラウド（プライベート、コミュニティまたはパブリック）の合成体である。
【0081】
クラウド・コンピューティング環境は、無国籍、低結合、モジュール性および意味論的相互運用性（semantic interoperability）に重きを置くサービス指向の環境である。クラウド・コンピューティングの中心には、相互接続されたノードのネットワークを含むインフラストラクチャがある。
【0082】
次に図７を参照すると、例示的なクラウド・コンピューティング環境５０が示されている。示されているとおり、クラウド・コンピューティング環境５０は１つまたは複数のクラウド・コンピューティング・ノード５２を含み、クラウド・コンシューマによって使用されるローカル・コンピューティング・デバイス、例えばパーソナル・ディジタル・アシスタント（ＰＤＡ）もしくは携帯電話５４Ａ、デスクトップ・コンピュータ５４Ｂ、ラップトップ・コンピュータ５４Ｃまたは自動車コンピュータ・システム５４Ｎあるいはこれらの組合せは、これらのノードと通信することができる。ノード５２は互いに通信することができる。それらのノードは、上で説明したプライベート、コミュニティ、パブリックまたはハイブリッド・クラウドまたはこれらの組合せなどの１つまたは複数のネットワークに、物理的にまたは仮想的にグループ分けされていることがある（図示せず）。これによって、クラウド・コンピューティング環境５０は、インフラストラクチャ、プラットフォームもしくはソフトウェアまたはこれらの組合せをサービスとして提供することができ、そのため、クラウド・コンシューマは、ローカル・コンピューティング・デバイス上にリソースを維持する必要がない。図７に示されたタイプのコンピューティング・デバイス５４Ａ～Ｎは単なる例であることが意図されていること、ならびにコンピューティング・ノード５２およびクラウド・コンピューティング環境５０は、任意のタイプのネットワーク上もしくはアドレス指定可能なネットワーク接続上またはその両方で（例えばウェブ・ブラウザを使用して）、コンピュータ化された任意のタイプのデバイスと通信することができることが理解される。
【0083】
次に図８を参照すると、クラウド・コンピューティング環境５０（図７）によって提供される一組の機能抽象化層が示されている。図８に示された構成要素、層および機能は単なる例であることが意図されており、本発明の実施形態はそれらに限定されないことを予め理解しておくべきである。図示のとおり、以下の層および対応する機能が提供される。
【0084】
ハードウェアおよびソフトウェア層６０は、ハードウェア構成要素およびソフトウェア構成要素を含む。ハードウェア構成要素の例は、メインフレーム６１、ＲＩＳＣ（縮小命令セット・コンピュータ）アーキテクチャ・ベースのサーバ６２、サーバ６３、ブレード・サーバ６４、ストレージ・デバイス６５ならびにネットワークおよびネットワーキング構成要素６６を含む。いくつかの実施形態では、ソフトウェア構成要素が、ネットワーク・アプリケーション・サーバ・ソフトウェア６７およびデータベース・ソフトウェア６８を含む。
【0085】
仮想化層７０は抽象化層を提供し、この層から、仮想エンティティの以下の例を提供することができる：仮想サーバ７１、仮想ストレージ７２、仮想専用ネットワークを含む仮想ネットワーク７３、仮想アプリケーションおよびオペレーティング・システム７４、ならびに仮想クライアント７５。
【0086】
一例では、管理層８０が以下の機能を提供することができる。リソース供給８１は、クラウド・コンピューティング環境内でタスクを実行する目的に利用されるコンピューティング・リソースおよびその他のリソースの動的調達を提供する。計量および価格決定（Metering and Pricing）８２は、クラウド・コンピューティング環境内でリソースが利用されたときの費用追跡、およびこれらのリソースの消費に対する課金または請求を提供する。一例では、これらのリソースがアプリケーション・ソフトウェア・ライセンスを含むことがある。セキュリティは、クラウド・コンシューマおよびタスクの識別確認ならびにデータおよび他のリソースの保護を提供する。ユーザ・ポータル８３は、コンシューマおよびシステム管理者に、クラウド・コンピューティング環境へのアクセスを提供する。サービス水準管理８４は、必要なサービス水準が達成されるようなクラウド・コンピューティング・リソースの割振りおよび管理を提供する。サービス水準合意（Service Level Agreement）（ＳＬＡ）計画および履行８５は、ＳＬＡによって将来必要になると予想されるクラウド・コンピューティング・リソースの事前調整および調達を提供する。
【0087】
ワークロード層９０は、クラウド・コンピューティング環境を利用することができる機能の例を提供する。この層から提供することができるワークロードおよび機能の例は、マッピングおよびナビゲーション９１、ソフトウェア開発およびライフサイクル管理９２、仮想教室教育配信９３、データ解析処理９４、トランザクション処理９５、およびセキュア・インタフェース制御（ウルトラバイザ）処理９６を含む。
【0088】
本発明の態様は、インテグレーションの可能な技術的詳細レベルにおいて、システム、方法もしくはコンピュータ・プログラム製品、またはこれらの組合せであることができる。コンピュータ・プログラム製品は、本発明の態様をプロセッサに実行させるためのコンピュータ可読プログラム命令をその上に有するコンピュータ可読ストレージ媒体を含むことができる。
【0089】
このコンピュータ可読ストレージ媒体は、命令実行デバイスが使用するための命令を保持および記憶することができる有形のデバイスとすることができる。このコンピュータ可読ストレージ媒体は、例えば、限定はされないが、電子ストレージ・デバイス、磁気ストレージ・デバイス、光学ストレージ・デバイス、電磁気ストレージ・デバイス、半導体ストレージ・デバイスまたはこれらの適当な組合せとすることができる。コンピュータ可読ストレージ媒体のより具体的な例の非網羅的なリストは、ポータブル・コンピュータ・ディスケット、ハード・ディスク、ランダム・アクセス・メモリ（ＲＡＭ）、リードオンリー・メモリ（ＲＯＭ）、消去可能なプログラマブル・リードオンリー・メモリ（ＥＰＲＯＭまたはフラッシュ・メモリ）、スタティック・ランダム・アクセス・メモリ（ＳＲＡＭ）、ポータブル・コンパクト・ディスク・リードオンリー・メモリ（ＣＤ－ＲＯＭ）、ディジタル・バーサタイル・ディスク（ＤＶＤ）、メモリ・スティック（登録商標）、フロッピー（登録商標）・ディスク、機械的にエンコードされたデバイス、例えばパンチカードまたはその上に命令が記録された溝の中の一段高くなった構造物、およびこれらの適当な組合せを含む。本明細書で使用されるとき、コンピュータ可読ストレージ媒体は、それ自体が一過性の信号、例えば電波もしくは他の自由に伝搬する電磁波、またはウェーブガイドもしくは他の伝送体内を伝搬する電磁波（例えば光ファイバ・ケーブル内を通る光パルス）、または電線を通して伝送される電気信号であると解釈されるべきではない。
【0090】
本明細書に記載されたコンピュータ可読プログラム命令は、コンピュータ可読ストレージ媒体から対応するそれぞれのコンピューティング／処理デバイスにダウンロードすることができ、またはネットワーク、例えばインターネット、ローカル・エリア・ネットワーク、ワイド・エリア・ネットワークもしくは無線ネットワークまたはそれらの組合せを介して外部コンピュータもしくは外部ストレージ・デバイスにダウンロードすることができる。このネットワークは、銅伝送ケーブル、光伝送ファイバ、無線伝送、ルータ、ファイアウォール、スイッチ、ゲートウェイ・コンピュータもしくはエッジ・サーバ、またはこれらの組合せを含むことができる。それぞれのコンピューティング／処理デバイス内のネットワーク・アダプタ・カードまたはネットワーク・インタフェースは、コンピュータ可読プログラム命令をネットワークから受け取り、それらのコンピュータ可読プログラム命令を、対応するそれぞれのコンピューティング／処理デバイス内のコンピュータ可読ストレージ媒体に記憶するために転送する。
【0091】
本発明の動作を実行するためのコンピュータ可読プログラム命令は、アセンブラ命令、命令セット・アーキテクチャ（ＩＳＡ）命令、機械命令、機械依存命令、マイクロコード、ファームウェア命令、状態設定データ、もしくは集積回路用の構成データであってもよく、またはＳｍａｌｌｔａｌｋ（Ｒ）、Ｃ＋＋などのオブジェクト指向プログラミング言語、および「Ｃ」プログラミング言語または同種のプログラミング言語などの手続き型プログラミング言語を含む、１つまたは複数のプログラミング言語の任意の組合せで書かれた、ソース・コードもしくはオブジェクト・コードであってもよい。このコンピュータ可読プログラム命令は、全体がユーザのコンピュータ上で実行されてもよく、一部がユーザのコンピュータ上で実行されてもよく、独立型ソフトウェア・パッケージとして実行されてもよく、一部がユーザのコンピュータ上で、一部が遠隔コンピュータ上で実行されてもよく、または全体が遠隔コンピュータもしくは遠隔サーバ上で実行されてもよい。上記の最後のシナリオでは、遠隔コンピュータが、ローカル・エリア・ネットワーク（ＬＡＮ）もしくはワイド・エリア・ネットワーク（ＷＡＮ）を含む任意のタイプのネットワークを介してユーザのコンピュータに接続されてもよく、またはこの接続が、外部コンピュータに対して（例えばインターネット・サービス・プロバイダを使用してインターネットを介して）実施されてもよい。いくつかの実施形態では、本発明の態様を実施するために、例えばプログラム可能論理回路、フィールドプログラマブル・ゲート・アレイ（ＦＰＧＡ）またはプログラム可能論理アレイ（ＰＬＡ）を含む電子回路が、このコンピュータ可読プログラム命令の状態情報を利用してその電子回路をパーソナライズすることにより、このコンピュータ可読プログラム命令を実行してもよい。
【0092】
本明細書では、本発明の態様が、本発明の実施形態による方法、装置（システム）およびコンピュータ・プログラム製品の流れ図もしくはブロック図またはその両方の図を参照して説明される。それらの流れ図もしくはブロック図またはその両方の図のそれぞれのブロック、およびそれらの流れ図もしくはブロック図またはその両方の図のブロックの組合せは、コンピュータ可読プログラム命令によって実施することができることが理解される。
【0093】
これらのコンピュータ可読プログラム命令は、コンピュータまたは他のプログラム可能データ処理装置のプロセッサによって実行される命令が、流れ図もしくはブロック図またはその両方の図のブロックに指定された機能／動作を実施する手段を生成するような態様で、汎用コンピュータ、専用コンピュータまたは他のプログラム可能データ処理装置のプロセッサに提供されてマシンを作り出すものであってよい。これらのコンピュータ可読プログラム命令はさらに、命令が記憶されたコンピュータ可読ストレージ媒体が、流れ図もしくはブロック図またはその両方の図のブロックに指定された機能／動作の態様を実施する命令を含む製品を含むような態様で、コンピュータ可読ストレージ媒体に記憶され、コンピュータ、プログラム可能データ処理装置もしくは他のデバイスまたはこれらの組合せに特定の方式で機能するように指示することができるものであってもよい。
【0094】
これらのコンピュータ可読プログラム命令はさらに、コンピュータ、他のプログラム可能装置または他のデバイス上で実施されるこれらの命令が、流れ図もしくはブロック図またはその両方の図のブロックに指定された機能／動作を実施するような態様で、コンピュータによって実施されるプロセスを生み出すために、コンピュータ、他のプログラム可能データ処理装置または他のデバイス上にロードされ、コンピュータ、他のプログラム可能装置または他のデバイス上で一連の動作ステップを実行させるものであってもよい。
【0095】
添付図中の流れ図およびブロック図は、本発明のさまざまな実施形態によるシステム、方法およびコンピュータ・プログラム製品の可能な実施態様のアーキテクチャ、機能および動作を示す。この点に関して、それらの流れ図またはブロック図のそれぞれのブロックは、指定された論理機能を実施する１つまたは複数の実行可能命令を含む、命令のモジュール、セグメントまたは部分を表すことがある。いくつかの代替実施態様では、ブロックに示された機能を、図に示された順序とは異なる順序で実行することができる。例えば、連続して示された２つのブロックが、実際は、実質的に同時に実行されることがあり、または、含まれる機能によってはそれらのブロックが逆の順序で実行されることもある。それらのブロック図もしくは流れ図またはその両方の図のそれぞれのブロック、ならびにそれらのブロック図もしくは流れ図またはその両方の図のブロックの組合せを、指定された機能もしくは動作を実行しまたは専用ハードウェアとコンピュータ命令の組合せを実施するハードウェアベースの専用システムによって実施することができることにも留意すべきである。
【0096】
以上に加えて、顧客環境の管理を提供するサービス・プロバイダが、１つまたは複数の態様を、例えば提供し、提案し、デプロイし、管理し、供給することができる。例えば、サービス・プロバイダは、１または複数の顧客に対して、１つまたは複数の態様を実行するコンピュータ・コードもしくはコンピュータ・インフラストラクチャまたはその両方を、例えば生成し、維持し、サポートすることができる。見返りとして、サービス・プロバイダは、例として、サブスクリプション（subscription）契約もしくは料金（fee）契約またはその両方の下で顧客から支払いを受けることができる。それに加えて、またはその代わりに、サービス・プロバイダは、１または複数の第三者への広告内容の販売によって支払いを受けることもできる。
【0097】
一態様では、１つまたは複数の実施形態を実行するためにアプリケーションをデプロイすることができる。一例として、このアプリケーションのデプロイは、１つまたは複数の実施形態を実行するように動作可能なコンピュータ・インフラストラクチャを提供することを含む。
【0098】
さらなる態様として、コンピューティング・インフラストラクチャをデプロイすることができ、これは、コンピュータ可読コードをコンピューティング・システムに統合することを含み、このコンピュータ可読コードは、コンピューティング・システムとともに、１つまたは複数の実施形態を実行することができる。
【0099】
さらなる態様として、コンピューティング・インフラストラクチャを統合するためのプロセスであって、コンピュータ可読コードをコンピュータ・システムに統合することを含むプロセスを提供することができる。このコンピュータ・システムはコンピュータ可読媒体を含み、このコンピュータ媒体は、１つまたは複数の実施形態を含む。このコンピュータ可読コードは、コンピュータ・システムとともに、１つまたは複数の実施形態を実行することができる。
【0100】
以上に、さまざまな実施形態を説明したが、それらの実施形態は例に過ぎない。例えば、他のアーキテクチャのコンピューティング環境を使用して、１つまたは複数の実施形態を組み込み、使用することもできる。さらに、異なる命令またはオペレーションを使用することもできる。さらに、さまざまなタイプのインジケータを指定することができる。多くの変形形態が可能である。
【0101】
さらに、他のタイプのコンピューティング環境が利益を得ること、および他のタイプのコンピューティング環境を使用することができる。一例として、プログラム・コードを記憶することもしくは実行することに適したデータ処理システム、またはその両方に適したデータ処理システムであって、メモリ要素に直接に結合されたまたはシステム・バスを通してメモリ要素に間接的に結合された少なくとも２つのプロセッサを含むデータ処理システムが使用可能である。このメモリ要素は例えば、プログラム・コードの実際の実行中に使用されるローカル・メモリ、大容量ストレージ、およびキャッシュ・メモリを含み、キャッシュ・メモリは、実行中に大容量ストレージからコードを取り出さなければならない回数を減らすために、少なくとも一部のプログラム・コードの一時記憶を提供する。
【0102】
（限定はされないが、キーボード、ディスプレイ、ポインティング・デバイス、ＤＡＳＤ、テープ、ＣＤ、ＤＶＤ、サム・ドライブ（thumb drive）および他のメモリ媒体などを含む）入力／出力デバイスないしＩ／Ｏデバイスを、直接にまたはＩ／Ｏコントローラを介在させて、システムに結合することができる。データ処理システムが、介在する専用または公衆ネットワークを通して他のデータ処理システムまたは遠隔プリンタもしくはストレージ・デバイスに結合されることを可能にするために、システムにネットワーク・アダプタを結合することもできる。モデム、ケーブル・モデムおよびＥｔｈｅｒｎｅｔ（Ｒ）カードは、使用可能なタイプのネットワーク・アダプタの例である。
【0103】
本明細書で使用される用語の目的は特定の実施形態を説明することだけであり、それらの用語が限定を目的とすることは意図されていない。文脈からそうでないことが明らかである場合を除き、本明細書で使用されるとき、単数形の「ある（ａ）」、「１つの（ａｎ）」および「その（ｔｈｅ）」は複数形も含むことが意図されている。本明細書で使用されるとき、用語「備える（comprises）」もしくは「備える（comprising）」またはその両方は、明示された特徴、完全体（integer）、ステップ、動作、要素もしくは構成要素またはこれらの組合せの存在を指定するが、他の１つもしくは複数の特徴、完全体、ステップ、動作、要素、構成要素もしくはこれらのグループ、またはこれらの組合せの存在または追加を排除しないことも理解される。
【0104】
対応する構造体、材料、動作、ならびに、存在する場合には、特許請求の範囲に記載された全ての手段またはステップおよび機能要素の等価物は、特許請求の範囲に記載された他の請求の要素とともに機能を実行するための任意の構造体、材料または動作を含むことが意図されている。図示および説明のために１つまたは複数の実施形態の記述を提示したが、その記述が網羅的であること、または開示された形態に限定されることは意図されていない。当業者には、多くの変更および変形形態が明白である。実施形態は、さまざまな態様および実用的用途を最もよく説明するため、ならびに企図された特定の使用に適したさまざまな変更を有するさまざまな実施形態を当業者が理解することを可能にするために選抜し、説明した。
【図1】
【図2】
【図3A】
【図3B】
【図4A】
【図4B】
【図4C】
【図5A】
【図5B】
【図6A】
【図6B】
【図7】
【図8】