特許 7576715 ワークロードセキュリティリング

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B2)

(11)【特許番号】

(24)【登録日】2024-10-23

(45)【発行日】2024-10-31

(54)【発明の名称】ワークロードセキュリティリング

(51)【国際特許分類】

   G06F 9/48 20060101AFI20241024BHJP

   G06F 21/53 20130101ALI20241024BHJP

   G06F 9/46 20060101ALI20241024BHJP

【ＦＩ】

G06F9/48 300H

G06F21/53

G06F9/46 420A

【請求項の数】 20

(21)【出願番号】P 2023561878

(86)(22)【出願日】2022-03-31

(65)【公表番号】

(43)【公表日】2024-03-27

(86)【国際出願番号】 US2022022949

(87)【国際公開番号】W WO2022216530

(87)【国際公開日】2022-10-13

【審査請求日】2024-03-25

(31)【優先権主張番号】17/227,312

(32)【優先日】2021-04-10

(33)【優先権主張国・地域又は機関】US

【早期審査対象出願】

(73)【特許権者】

【識別番号】502208397

【氏名又は名称】グーグル エルエルシー

【氏名又は名称原語表記】Ｇｏｏｇｌｅ ＬＬＣ

【住所又は居所原語表記】１６００ Ａｍｐｈｉｔｈｅａｔｒｅ Ｐａｒｋｗａｙ ９４０４３ Ｍｏｕｎｔａｉｎ Ｖｉｅｗ， ＣＡ Ｕ．Ｓ．Ａ．

(74)【代理人】

【識別番号】110001195

【氏名又は名称】弁理士法人深見特許事務所

(72)【発明者】

【氏名】ボラフカ，ライナー

(72)【発明者】

【氏名】ジョイナー，アーロン

(72)【発明者】

【氏名】スティルソン，ケン

(72)【発明者】

【氏名】チャピンスキー，マイケル

【審査官】三坂 敏夫

(56)【参考文献】

【文献】米国特許出願公開第２０１９／０３１７８２５（ＵＳ，Ａ１）

【文献】特表２００９－５１２９２２（ＪＰ，Ａ）

【文献】国際公開第２００９／０８７７０２（ＷＯ，Ａ１）

(58)【調査した分野】(Int.Cl.，ＤＢ名)

Ｇ０６Ｆ ９／４５５－９／５４

Ｇ０６Ｆ ２１／５３

(57)【特許請求の範囲】

【請求項1】

データ処理ハードウェア（１４４）によって実行されると、前記データ処理ハードウェア（１４４）に、
複数のワークロード（１０２）を受信することであって、各ワークロード（１０２）が、それぞれのセキュリティ基準（１０４）に関連付けられるとともに、分散コンピューティングシステム（１４０）で実行するようにスケジュールされており、前記分散コンピューティングシステム（１４０）が、複数のセキュリティリング（１６０）に分割されており、前記複数のセキュリティリング（１６０）の各セキュリティリング（１６０）が、前記分散コンピューティングシステム（１４０）のコンピューティングデバイス（１６２）のそれぞれのサブセットに関連付けられ、前記それぞれのサブセットが、前記複数のセキュリティリング（１６０）の他の各セキュリティリング（１６０）に関連付けられた前記分散コンピューティングシステム（１４０）のコンピューティングデバイス（１６２）のそれぞれのサブセットから物理的に分離されている、受信することと、
前記複数のワークロード（１０２）の各それぞれのワークロード（１０２）について、
前記それぞれのセキュリティ基準（１０４）を使用して、前記それぞれのワークロード（１０２）のセキュリティレベル（４１０）を決定することと、
前記それぞれのワークロード（１０２）の前記セキュリティレベル（４１０）を使用して、前記それぞれのワークロード（１０２）を実行する資格がある前記複数のセキュリティリング（１６０）のうちの１つまたは複数を特定することと、
前記それぞれのワークロード（１０２）を、前記それぞれのワークロード（１０２）を実行する資格がある前記複数のセキュリティリング（１６０）のうちの前記特定された１つまたは複数に関連付けられたコンピューティングデバイス（１６２）の前記それぞれのサブセットのうちの１つから選択された１つまたは複数のコンピューティングデバイス（１６２）で実行することと、
を含む動作を実行させ、
前記動作が、前記複数のセキュリティリング（１６０）の各セキュリティリング（１６０）について、
前記セキュリティリング（１６０）に関連付けられたコンピューティングデバイス（１６２）の前記それぞれのサブセットについてリソース利用率（２２２）を決定することと、
前記決定されたリソース利用率（２２２）を使用して、前記セキュリティリング（１６０）に関連付けられたコンピューティングデバイス（１６２）の前記それぞれのサブセットにおけるコンピューティングデバイス（１６２）の数を調整することと、
をさらに含む、方法。

【請求項2】

データ処理ハードウェア（１４４）によって実行されると、前記データ処理ハードウェア（１４４）に、
複数のワークロード（１０２）を受信することであって、各ワークロード（１０２）が、それぞれのセキュリティ基準（１０４）に関連付けられるとともに、分散コンピューティングシステム（１４０）で実行するようにスケジュールされており、前記分散コンピューティングシステム（１４０）が、複数のセキュリティリング（１６０）に分割されており、前記複数のセキュリティリング（１６０）の各セキュリティリング（１６０）が、前記分散コンピューティングシステム（１４０）のコンピューティングデバイス（１６２）のそれぞれのサブセットに関連付けられ、前記それぞれのサブセットが、前記複数のセキュリティリング（１６０）の他の各セキュリティリング（１６０）に関連付けられた前記分散コンピューティングシステム（１４０）のコンピューティングデバイス（１６２）のそれぞれのサブセットから物理的に分離されている、受信することと、
前記複数のワークロード（１０２）の各それぞれのワークロード（１０２）について、
前記それぞれのセキュリティ基準（１０４）を使用して、前記それぞれのワークロード（１０２）のセキュリティレベル（４１０）を決定することと、
前記それぞれのワークロード（１０２）の前記セキュリティレベル（４１０）を使用して、前記それぞれのワークロード（１０２）を実行する資格がある前記複数のセキュリティリング（１６０）のうちの１つまたは複数を特定することと、
前記それぞれのワークロード（１０２）を、前記それぞれのワークロード（１０２）を実行する資格がある前記複数のセキュリティリング（１６０）のうちの前記特定された１つまたは複数に関連付けられたコンピューティングデバイス（１６２）の前記それぞれのサブセットのうちの１つから選択された１つまたは複数のコンピューティングデバイス（１６２）で実行することと、
を含む動作を実行させ、
前記動作が、前記複数のワークロード（１０２）を受信する前に、前記分散コンピューティングシステム（１４０）の各それぞれのコンピューティングデバイス（１６２）について、
前記それぞれのコンピューティングデバイス（１６２）のセキュリティ体制を特徴付ける一組のパラメータ（３２０）を取得することと、
前記一組のパラメータ（３２０）を使用して、前記それぞれのコンピューティングデバイス（１６２）を前記複数のセキュリティリング（１６０）のうちの１つに割り当てることと、
をさらに含む、方法。

【請求項3】

データ処理ハードウェア（１４４）によって実行されると、前記データ処理ハードウェア（１４４）に、
複数のワークロード（１０２）を受信することであって、各ワークロード（１０２）が、それぞれのセキュリティ基準（１０４）に関連付けられるとともに、分散コンピューティングシステム（１４０）で実行するようにスケジュールされており、前記分散コンピューティングシステム（１４０）が、複数のセキュリティリング（１６０）に分割されており、前記複数のセキュリティリング（１６０）の各セキュリティリング（１６０）が、前記分散コンピューティングシステム（１４０）のコンピューティングデバイス（１６２）のそれぞれのサブセットに関連付けられ、前記それぞれのサブセットが、前記複数のセキュリティリング（１６０）の他の各セキュリティリング（１６０）に関連付けられた前記分散コンピューティングシステム（１４０）のコンピューティングデバイス（１６２）のそれぞれのサブセットから物理的に分離されている、受信することと、
前記複数のワークロード（１０２）の各それぞれのワークロード（１０２）について、
前記それぞれのセキュリティ基準（１０４）を使用して、前記それぞれのワークロード（１０２）のセキュリティレベル（４１０）を決定することと、
前記それぞれのワークロード（１０２）の前記セキュリティレベル（４１０）を使用して、前記それぞれのワークロード（１０２）を実行する資格がある前記複数のセキュリティリング（１６０）のうちの１つまたは複数を特定することと、
前記それぞれのワークロード（１０２）を、前記それぞれのワークロード（１０２）を実行する資格がある前記複数のセキュリティリング（１６０）のうちの前記特定された１つまたは複数に関連付けられたコンピューティングデバイス（１６２）の前記それぞれのサブセットのうちの１つから選択された１つまたは複数のコンピューティングデバイス（１６２）で実行することと、
を含む動作を実行させ、
前記複数のワークロード（１０２）の各それぞれのワークロード（１０２）に対する前記それぞれのセキュリティ基準（１０４）が、前記それぞれのワークロード（１０２）のセキュリティ体制を含む、方法。

【請求項4】

前記セキュリティ体制が、前記それぞれのワークロード（１０２）の監査を含む、請求項２または３に記載の方法。

【請求項5】

前記複数のセキュリティリング（１６０）が、低セキュリティリング（１６０Ｌ）および高セキュリティリング（１６０Ｈ）を含む、請求項１～４のいずれかに記載の方法。

【請求項6】

前記それぞれのワークロード（１０２）に対する前記決定されたセキュリティレベル（４１０）が、低セキュリティレベル（４１０Ｌ）、中セキュリティレベル（４１０Ｍ）、または高セキュリティレベル（４１０Ｈ）のうちの１つを含む、請求項５に記載の方法。

【請求項7】

データ処理ハードウェア（１４４）によって実行されると、前記データ処理ハードウェア（１４４）に、
複数のワークロード（１０２）を受信することであって、各ワークロード（１０２）が、それぞれのセキュリティ基準（１０４）に関連付けられるとともに、分散コンピューティングシステム（１４０）で実行するようにスケジュールされており、前記分散コンピューティングシステム（１４０）が、複数のセキュリティリング（１６０）に分割されており、前記複数のセキュリティリング（１６０）の各セキュリティリング（１６０）が、前記分散コンピューティングシステム（１４０）のコンピューティングデバイス（１６２）のそれぞれのサブセットに関連付けられ、前記それぞれのサブセットが、前記複数のセキュリティリング（１６０）の他の各セキュリティリング（１６０）に関連付けられた前記分散コンピューティングシステム（１４０）のコンピューティングデバイス（１６２）のそれぞれのサブセットから物理的に分離されている、受信することと、
前記複数のワークロード（１０２）の各それぞれのワークロード（１０２）について、
前記それぞれのセキュリティ基準（１０４）を使用して、前記それぞれのワークロード（１０２）のセキュリティレベル（４１０）を決定することと、
前記それぞれのワークロード（１０２）の前記セキュリティレベル（４１０）を使用して、前記それぞれのワークロード（１０２）を実行する資格がある前記複数のセキュリティリング（１６０）のうちの１つまたは複数を特定することと、
前記それぞれのワークロード（１０２）を、前記それぞれのワークロード（１０２）を実行する資格がある前記複数のセキュリティリング（１６０）のうちの前記特定された１つまたは複数に関連付けられたコンピューティングデバイス（１６２）の前記それぞれのサブセットのうちの１つから選択された１つまたは複数のコンピューティングデバイス（１６２）で実行することと、
を含む動作を実行させ、
前記複数のセキュリティリング（１６０）が、低セキュリティリング（１６０Ｌ）および高セキュリティリング（１６０Ｈ）を含み、
前記それぞれのワークロード（１０２）に対する前記決定されたセキュリティレベル（４１０）が、低セキュリティレベル（４１０Ｌ）、中セキュリティレベル（４１０Ｍ）、または高セキュリティレベル（４１０Ｈ）のうちの１つを含み、
前記それぞれのワークロード（１０２）に対する前記決定されたセキュリティレベル（４１０）が、前記低セキュリティレベル（４１０Ｌ）を含む場合、前記低セキュリティリング（１６０Ｌ）のみが、前記それぞれのワークロード（１０２）を実行する資格があり、
前記それぞれのワークロード（１０２）に対する前記決定されたセキュリティレベル（４１０）が、前記高セキュリティレベル（４１０Ｈ）を含む場合、前記高セキュリティリング（１６０Ｈ）のみが、前記それぞれのワークロード（１０２）を実行する資格があり、
前記それぞれのワークロード（１０２）に対する前記決定されたセキュリティレベル（４１０）が、前記中セキュリティレベル（４１０Ｍ）を含む場合、前記低セキュリティリング（１６０Ｌ）および前記高セキュリティリング（１６０Ｈ）の両方が、前記それぞれのワークロード（１０２）を実行する資格がある、方法。

【請求項8】

前記複数のセキュリティリング（１６０）の各セキュリティリング（１６０）について、
前記セキュリティリング（１６０）が、それぞれのセキュリティ要件（３１０）に関連付けられ、
前記セキュリティリング（１６０）に関連付けられたコンピューティングデバイス（１６２）の前記それぞれのサブセットにおける各コンピューティングデバイス（１６２）が、前記セキュリティリング（１６０）の前記それぞれのセキュリティ要件（３１０）に従う、請求項１～７のいずれかに記載の方法。

【請求項9】

前記複数のセキュリティリング（１６０）の各セキュリティリング（１６０）に対する前記それぞれのセキュリティ要件（３１０）が、前記複数のセキュリティリング（１６０）の他の各セキュリティリング（１６０）に対する前記それぞれのセキュリティ要件（３１０）とは異なるレベルの物理的セキュリティを含む、請求項８に記載の方法。

【請求項10】

前記複数のワークロード（１０２）の各それぞれのワークロード（１０２）に対する前記それぞれのセキュリティ基準（１０４）が、前記それぞれのワークロード（１０２）の機密性を含む、請求項１～９のいずれかに記載の方法。

【請求項11】

データ処理ハードウェア（１４４）と、
前記データ処理ハードウェア（１４４）と通信するメモリハードウェア（１４２）であって、前記データ処理ハードウェア（１４４）上で実行されると、前記データ処理ハードウェア（１４４）に、
複数のワークロード（１０２）を受信することであって、各ワークロード（１０２）が、それぞれのセキュリティ基準（１０４）に関連付けられるとともに、分散コンピューティングシステム（１４０）で実行するようにスケジュールされており、前記分散コンピューティングシステム（１４０）が、複数のセキュリティリング（１６０）に分割されており、前記複数のセキュリティリング（１６０）の各セキュリティリング（１６０）が、前記分散コンピューティングシステム（１４０）のコンピューティングデバイス（１６２）のそれぞれのサブセットに関連付けられ、前記それぞれのサブセットが、前記複数のセキュリティリング（１６０）の他の各セキュリティリング（１６０）に関連付けられた前記分散コンピューティングシステム（１４０）のコンピューティングデバイス（１６２）のそれぞれのサブセットから物理的に分離されている、受信することと、
前記複数のワークロード（１０２）の各それぞれのワークロード（１０２）について、
前記それぞれのセキュリティ基準（１０４）を使用して、前記それぞれのワークロード（１０２）のセキュリティレベル（４１０）を決定することと、
前記それぞれのワークロード（１０２）の前記セキュリティレベル（４１０）を使用して、前記それぞれのワークロード（１０２）を実行する資格がある前記複数のセキュリティリング（１６０）のうちの１つまたは複数を特定することと、
前記それぞれのワークロード（１０２）を、前記それぞれのワークロード（１０２）を実行する資格がある前記複数のセキュリティリング（１６０）のうちの前記特定された１つまたは複数に関連付けられたコンピューティングデバイス（１６２）の前記それぞれのサブセットのうちの１つから選択された１つまたは複数のコンピューティングデバイス（１６２）で実行することと、
を含む動作を実行させる命令を記憶するメモリハードウェア（１４２）と、
を備え、
前記動作が、前記複数のセキュリティリング（１６０）の各セキュリティリング（１６０）について、
前記セキュリティリング（１６０）に関連付けられたコンピューティングデバイス（１６２）の前記それぞれのサブセットについてリソース利用率（２２２）を決定することと、
前記決定されたリソース利用率（２２２）を使用して、前記セキュリティリング（１６０）に関連付けられたコンピューティングデバイス（１６２）の前記それぞれのサブセットにおけるコンピューティングデバイス（１６２）の数を調整することと、
をさらに含む、システム。

【請求項12】

データ処理ハードウェア（１４４）と、
前記データ処理ハードウェア（１４４）と通信するメモリハードウェア（１４２）であって、前記データ処理ハードウェア（１４４）上で実行されると、前記データ処理ハードウェア（１４４）に、
複数のワークロード（１０２）を受信することであって、各ワークロード（１０２）が、それぞれのセキュリティ基準（１０４）に関連付けられるとともに、分散コンピューティングシステム（１４０）で実行するようにスケジュールされており、前記分散コンピューティングシステム（１４０）が、複数のセキュリティリング（１６０）に分割されており、前記複数のセキュリティリング（１６０）の各セキュリティリング（１６０）が、前記分散コンピューティングシステム（１４０）のコンピューティングデバイス（１６２）のそれぞれのサブセットに関連付けられ、前記それぞれのサブセットが、前記複数のセキュリティリング（１６０）の他の各セキュリティリング（１６０）に関連付けられた前記分散コンピューティングシステム（１４０）のコンピューティングデバイス（１６２）のそれぞれのサブセットから物理的に分離されている、受信することと、
前記複数のワークロード（１０２）の各それぞれのワークロード（１０２）について、
前記それぞれのセキュリティ基準（１０４）を使用して、前記それぞれのワークロード（１０２）のセキュリティレベル（４１０）を決定することと、
前記それぞれのワークロード（１０２）の前記セキュリティレベル（４１０）を使用して、前記それぞれのワークロード（１０２）を実行する資格がある前記複数のセキュリティリング（１６０）のうちの１つまたは複数を特定することと、
前記それぞれのワークロード（１０２）を、前記それぞれのワークロード（１０２）を実行する資格がある前記複数のセキュリティリング（１６０）のうちの前記特定された１つまたは複数に関連付けられたコンピューティングデバイス（１６２）の前記それぞれのサブセットのうちの１つから選択された１つまたは複数のコンピューティングデバイス（１６２）で実行することと、
を含む動作を実行させる命令を記憶するメモリハードウェア（１４２）と、
を備え、
前記動作が、前記複数のワークロード（１０２）を受信する前に、前記分散コンピューティングシステムの各それぞれのコンピューティングデバイス（１６２）について、
前記それぞれのコンピューティングデバイス（１６２）のセキュリティ体制を特徴付ける一組のパラメータ（３２０）を取得することと、
前記一組のパラメータ（３２０）を使用して、前記それぞれのコンピューティングデバイス（１６２）を前記複数のセキュリティリング（１６０）のうちの１つに割り当てることと、
をさらに含む、システム。

【請求項13】

データ処理ハードウェア（１４４）と、
前記データ処理ハードウェア（１４４）と通信するメモリハードウェア（１４２）であって、前記データ処理ハードウェア（１４４）上で実行されると、前記データ処理ハードウェア（１４４）に、
複数のワークロード（１０２）を受信することであって、各ワークロード（１０２）が、それぞれのセキュリティ基準（１０４）に関連付けられるとともに、分散コンピューティングシステム（１４０）で実行するようにスケジュールされており、前記分散コンピューティングシステム（１４０）が、複数のセキュリティリング（１６０）に分割されており、前記複数のセキュリティリング（１６０）の各セキュリティリング（１６０）が、前記分散コンピューティングシステム（１４０）のコンピューティングデバイス（１６２）のそれぞれのサブセットに関連付けられ、前記それぞれのサブセットが、前記複数のセキュリティリング（１６０）の他の各セキュリティリング（１６０）に関連付けられた前記分散コンピューティングシステム（１４０）のコンピューティングデバイス（１６２）のそれぞれのサブセットから物理的に分離されている、受信することと、
前記複数のワークロード（１０２）の各それぞれのワークロード（１０２）について、
前記それぞれのセキュリティ基準（１０４）を使用して、前記それぞれのワークロード（１０２）のセキュリティレベル（４１０）を決定することと、
前記それぞれのワークロード（１０２）の前記セキュリティレベル（４１０）を使用して、前記それぞれのワークロード（１０２）を実行する資格がある前記複数のセキュリティリング（１６０）のうちの１つまたは複数を特定することと、
前記それぞれのワークロード（１０２）を、前記それぞれのワークロード（１０２）を実行する資格がある前記複数のセキュリティリング（１６０）のうちの前記特定された１つまたは複数に関連付けられたコンピューティングデバイス（１６２）の前記それぞれのサブセットのうちの１つから選択された１つまたは複数のコンピューティングデバイス（１６２）で実行することと、
を含む動作を実行させる命令を記憶するメモリハードウェア（１４２）と、
を備え、
前記複数のワークロード（１０２）の各それぞれのワークロード（１０２）に対する前記それぞれのセキュリティ基準（１０４）が、前記それぞれのワークロード（１０２）のセキュリティ体制を含む、システム。

【請求項14】

前記セキュリティ体制が、前記それぞれのワークロード（１０２）の監査を含む、請求項１２または１３に記載のシステム。

【請求項15】

前記複数のセキュリティリング（１６０）が、低セキュリティリング（１６０Ｌ）および高セキュリティリング（１６０Ｈ）を含む、請求項１１～１４のいずれかに記載のシステム。

【請求項16】

前記それぞれのワークロード（１０２）に対する前記決定されたセキュリティレベル（４１０）が、低セキュリティレベル（４１０Ｌ）、中セキュリティレベル（４１０Ｍ）、または高セキュリティレベル（４１０Ｈ）のうちの１つを含む、請求項１５に記載のシステム。

【請求項17】

データ処理ハードウェア（１４４）と、
前記データ処理ハードウェア（１４４）と通信するメモリハードウェア（１４２）であって、前記データ処理ハードウェア（１４４）上で実行されると、前記データ処理ハードウェア（１４４）に、
複数のワークロード（１０２）を受信することであって、各ワークロード（１０２）が、それぞれのセキュリティ基準（１０４）に関連付けられるとともに、分散コンピューティングシステム（１４０）で実行するようにスケジュールされており、前記分散コンピューティングシステム（１４０）が、複数のセキュリティリング（１６０）に分割されており、前記複数のセキュリティリング（１６０）の各セキュリティリング（１６０）が、前記分散コンピューティングシステム（１４０）のコンピューティングデバイス（１６２）のそれぞれのサブセットに関連付けられ、前記それぞれのサブセットが、前記複数のセキュリティリング（１６０）の他の各セキュリティリング（１６０）に関連付けられた前記分散コンピューティングシステム（１４０）のコンピューティングデバイス（１６２）のそれぞれのサブセットから物理的に分離されている、受信することと、
前記複数のワークロード（１０２）の各それぞれのワークロード（１０２）について、
前記それぞれのセキュリティ基準（１０４）を使用して、前記それぞれのワークロード（１０２）のセキュリティレベル（４１０）を決定することと、
前記それぞれのワークロード（１０２）の前記セキュリティレベル（４１０）を使用して、前記それぞれのワークロード（１０２）を実行する資格がある前記複数のセキュリティリング（１６０）のうちの１つまたは複数を特定することと、
前記それぞれのワークロード（１０２）を、前記それぞれのワークロード（１０２）を実行する資格がある前記複数のセキュリティリング（１６０）のうちの前記特定された１つまたは複数に関連付けられたコンピューティングデバイス（１６２）の前記それぞれのサブセットのうちの１つから選択された１つまたは複数のコンピューティングデバイス（１６２）で実行することと、
を含む動作を実行させる命令を記憶するメモリハードウェア（１４２）と、
を備え、
前記複数のセキュリティリング（１６０）が、低セキュリティリング（１６０Ｌ）および高セキュリティリング（１６０Ｈ）を含み、
前記それぞれのワークロード（１０２）に対する前記決定されたセキュリティレベル（４１０）が、低セキュリティレベル（４１０Ｌ）、中セキュリティレベル（４１０Ｍ）、または高セキュリティレベル（４１０Ｈ）のうちの１つを含み、
前記それぞれのワークロード（１０２）に対する前記決定されたセキュリティレベル（４１０）が、前記低セキュリティレベル（４１０Ｌ）を含む場合、前記低セキュリティリング（１６０Ｌ）のみが、前記それぞれのワークロード（１０２）を実行する資格があり、
前記それぞれのワークロード（１０２）に対する前記決定されたセキュリティレベル（４１０）が、前記高セキュリティレベル（４１０Ｈ）を含む場合、前記高セキュリティリング（１６０Ｈ）のみが、前記それぞれのワークロード（１０２）を実行する資格があり、
前記それぞれのワークロード（１０２）に対する前記決定されたセキュリティレベル（４１０）が、前記中セキュリティレベル（４１０Ｍ）を含む場合、前記低セキュリティリング（１６０Ｌ）および前記高セキュリティリング（１６０Ｈ）の両方が、前記それぞれのワークロード（１０２）を実行する資格がある、システム。

【請求項18】

前記複数のセキュリティリング（１６０）の各セキュリティリング（１６０）について、
前記セキュリティリング（１６０）が、それぞれのセキュリティ要件（３１０）に関連付けられ、
前記セキュリティリング（１６０）に関連付けられたコンピューティングデバイス（１６２）の前記それぞれのサブセットにおける各コンピューティングデバイス（１６２）が、前記セキュリティリング（１６０）の前記それぞれのセキュリティ要件（３１０）に従う、請求項１１～１７のいずれかに記載のシステム。

【請求項19】

前記複数のセキュリティリング（１６０）の各セキュリティリング（１６０）に対する前記それぞれのセキュリティ要件（３１０）が、前記複数のセキュリティリング（１６０）の他の各セキュリティリング（１６０）に対する前記それぞれのセキュリティ要件（３１０）とは異なるレベルの物理的セキュリティを含む、請求項１８に記載のシステム。

【請求項20】

前記複数のワークロード（１０２）の各それぞれのワークロード（１０２）に対する前記それぞれのセキュリティ基準（１０４）が、前記それぞれのワークロード（１０２）の機密性を含む、請求項１１～１９のいずれかに記載のシステム。

【発明の詳細な説明】

【技術分野】

【0001】

技術分野
本開示は、ワークロードセキュリティリングに関する。

【背景技術】

【0002】

背景
分散コンピューティングネットワーク（すなわち、「クラウドコンピューティング」）は、価格、スケーラビリティ、および柔軟性により、ますます普及している。これらのコンピューティングネットワークは、同時に、膨大な数のさまざまなワークロードを管理する。たとえば、一部のワークロードは実験的である場合があり、他のワークロードはユーザデータを処理する場合があり、一方で、さらに他のワークロードは、ミッションクリティカルなフリートマネージメント情報を処理する場合がある。ワークロードのタイプが異なれば、必要とするセキュリティ、保守性、および柔軟性に関する要件も異なる。

【発明の概要】

【0003】

概要
本開示の１つの態様は、データ処理ハードウェアによって実行されると、データ処理ハードウェアに動作を実行させる、ワークロードセキュリティリングのための、コンピュータが実行する方法を提供する。動作は、複数のワークロードを受信することを含む。各ワークロードは、それぞれのセキュリティ基準に関連付けられるとともに、分散コンピューティングシステムで実行するようにスケジュールされている。分散コンピューティングシステムは、複数のセキュリティリングに分割されており、複数のセキュリティリングの各セキュリティリングは、分散コンピューティングシステムのコンピューティングデバイスのそれぞれのサブセットに関連付けられており、それぞれのサブセットは、複数のセキュリティリングの他の各セキュリティリングに関連付けられた分散コンピューティングシステムのコンピューティングデバイスのそれぞれのサブセットから物理的に分離されている。複数のワークロードの各それぞれのワークロードについて、本方法は、それぞれのセキュリティ基準を使用して、それぞれのワークロードのセキュリティレベルを決定することと、それぞれのワークロードのセキュリティレベルを使用して、それぞれのワークロードを実行する資格がある複数のセキュリティリングのうちの１つまたは複数を特定することとを含む。本方法はまた、それぞれのワークロードを、それぞれのワークロードを実行する資格がある複数のセキュリティリングのうちの特定された１つまたは複数に関連付けられたコンピューティングデバイスのそれぞれのサブセットのうちの１つから選択された１つまたは複数のコンピューティングデバイスで実行することも含む。

【0004】

本開示の実施態様は、以下の任意選択的な特徴のうちの１つまたは複数を含むことができる。いくつかの実施態様では、動作は、複数のセキュリティリングの各セキュリティリングについて、セキュリティリングに関連付けられたコンピューティングデバイスのそれぞれのサブセットについてリソース利用率を決定することと、決定されたリソース利用率を使用して、セキュリティリングに関連付けられたコンピューティングデバイスのそれぞれのサブセットにおけるコンピューティングデバイスの数を調整することとをさらに含む。任意選択的に、複数のセキュリティリングの各セキュリティリングについて、セキュリティリングは、それぞれのセキュリティ要件に関連付けられ、セキュリティリングに関連付けられたコンピューティングデバイスのそれぞれのサブセットにおける各コンピューティングデバイスは、セキュリティリングのそれぞれのセキュリティ要件に従う。

【0005】

いくつかの例では、複数のセキュリティリングの各セキュリティリングに対するそれぞれのセキュリティ要件は、複数のセキュリティリングの他の各セキュリティリングに対するそれぞれのセキュリティ要件とは異なるレベルの物理的セキュリティを含む。動作は、複数のワークロードを受信する前に、分散コンピューティングシステムの各それぞれのコンピューティングデバイスについて、それぞれのコンピューティングデバイスのセキュリティ体制（ｓｅｃｕｒｉｔｙ ｐｏｓｔｕｒｅ）を特徴付ける一組のパラメータを取得することと、一組のパラメータを使用して、それぞれのコンピューティングデバイスを複数のセキュリティリングのうちの１つに割り当てることとをさらに含むことができる。

【0006】

いくつかの実施態様では、複数のワークロードの各それぞれのワークロードに対するそれぞれのセキュリティ基準は、それぞれのワークロードの機密性を含む。複数のワークロードの各それぞれのワークロードに対するそれぞれのセキュリティ基準は、それぞれのワークロードのセキュリティ体制を含むことができる。この実施態様では、セキュリティ体制は、それぞれのワークロードの監査を含むことができる。

【0007】

任意選択的に、複数のセキュリティリングは、低セキュリティリングおよび高セキュリティリングを含む。いくつかの例では、それぞれのワークロードに対する決定されたセキュリティレベルは、低セキュリティレベル、中セキュリティレベル、または高セキュリティレベルのうちの１つを含む。それぞれのワークロードに対する決定されたセキュリティレベルが、低セキュリティレベルを含む場合、低セキュリティリングのみが、それぞれのワークロードを実行する資格があり得る。それぞれのワークロードに対する決定されたセキュリティレベルが、高セキュリティレベルを含む場合、高セキュリティリングのみが、それぞれのワークロードを実行する資格があり得る。いくつかの例では、それぞれのワークロードに対する決定されたセキュリティレベルが、中セキュリティレベルを含む場合、低セキュリティリングおよび高セキュリティリングの両方が、それぞれのワークロードを実行する資格がある。

【0008】

本開示の別の態様は、データ処理ハードウェアと、データ処理ハードウェアと通信するメモリハードウェアとを含む、ワークロードセキュリティリングのためのシステムを提供する。メモリハードウェアは、データ処理ハードウェア上で実行されると、データ処理ハードウェアに動作を実行させる命令を記憶する。動作は、複数のワークロードを受信することを含む。各ワークロードは、それぞれのセキュリティ基準に関連付けられるとともに、分散コンピューティングシステムで実行するようにスケジュールされている。分散コンピューティングシステムは、複数のセキュリティリングに分割されており、複数のセキュリティリングの各セキュリティリングは、分散コンピューティングシステムのコンピューティングデバイスのそれぞれのサブセットに関連付けられ、それぞれのサブセットは、複数のセキュリティリングの他の各セキュリティリングに関連付けられた分散コンピューティングシステムのコンピューティングデバイスのそれぞれのサブセットから物理的に分離されている。複数のワークロードの各それぞれのワークロードについて、本方法は、それぞれのセキュリティ基準を使用して、それぞれのワークロードのセキュリティレベルを決定することと、それぞれのワークロードのセキュリティレベルを使用して、それぞれのワークロードを実行する資格がある複数のセキュリティリングのうちの１つまたは複数を特定することとを含む。本方法はまた、それぞれのワークロードを、それぞれのワークロードを実行する資格がある複数のセキュリティリングのうちの特定された１つまたは複数に関連付けられたコンピューティングデバイスのそれぞれのサブセットのうちの１つから選択された１つまたは複数のコンピューティングデバイスで実行することも含む。

【0009】

この態様は、以下の任意選択的な特徴のうちの１つまたは複数を含むことができる。いくつかの実施態様では、動作は、複数のセキュリティリングの各セキュリティリングについて、セキュリティリングに関連付けられたコンピューティングデバイスのそれぞれのサブセットについてリソース利用率を決定することと、決定されたリソース利用率を使用して、セキュリティリングに関連付けられたコンピューティングデバイスのそれぞれのサブセットにおけるコンピューティングデバイスの数を調整することとをさらに含む。任意選択的に、複数のセキュリティリングの各セキュリティリングについて、セキュリティリングは、それぞれのセキュリティ要件に関連付けられ、セキュリティリングに関連付けられたコンピューティングデバイスのそれぞれのサブセットにおける各コンピューティングデバイスは、セキュリティリングのそれぞれのセキュリティ要件に従う。

【0010】

いくつかの例では、複数のセキュリティリングの各セキュリティリングに対するそれぞれのセキュリティ要件は、複数のセキュリティリングの他の各セキュリティリングに対するそれぞれのセキュリティ要件とは異なるレベルの物理的セキュリティを含む。動作は、複数のワークロードを受信する前に、分散コンピューティングシステムの各それぞれのコンピューティングデバイスについて、それぞれのコンピューティングデバイスのセキュリティ体制を特徴付ける一組のパラメータを取得することと、一組のパラメータを使用して、それぞれのコンピューティングデバイスを複数のセキュリティリングのうちの１つに割り当てることとをさらに含むことができる。

【0011】

いくつかの実施態様では、複数のワークロードの各それぞれのワークロードに対するそれぞれのセキュリティ基準は、それぞれのワークロードの機密性を含む。複数のワークロードの各それぞれのワークロードに対するそれぞれのセキュリティ基準は、それぞれのワークロードのセキュリティ体制を含むことができる。この実施態様では、セキュリティ体制は、それぞれのワークロードの監査を含むことができる。

【0012】

任意選択的に、複数のセキュリティリングは、低セキュリティリングおよび高セキュリティリングを含む。いくつかの例では、それぞれのワークロードに対する決定されたセキュリティレベルは、低セキュリティレベル、中セキュリティレベル、または高セキュリティレベルのうちの１つを含む。それぞれのワークロードに対する決定されたセキュリティレベルが、低セキュリティレベルを含む場合、低セキュリティリングのみが、それぞれのワークロードを実行する資格があり得る。それぞれのワークロードに対する決定されたセキュリティレベルが、高セキュリティレベルを含む場合、高セキュリティリングのみが、それぞれのワークロードを実行する資格があり得る。いくつかの例では、それぞれのワークロードに対する決定されたセキュリティレベルが、中セキュリティレベルを含む場合、低セキュリティリングおよび高セキュリティリングの両方が、それぞれのワークロードを実行する資格がある。

【0013】

本開示の１つまたは複数の実施態様の詳細は、添付の図面および以下の説明に示す。他の態様、特徴、および利点は、説明および図面、ならびに特許請求の範囲から明らかとなろう。

【図面の簡単な説明】

【0014】

【図1】ワークロードセキュリティリングを実装するシステム例の概略図である。

【図2A】図１のセキュリティリングをリバランスする概略図である。

【図2B】図１のセキュリティリングをリバランスする概略図である。

【図3】コンピューティングデバイスをセキュリティリングに割り当てる概略図である。

【図4】図１のシステムのセキュリティリングにワークロードを割り当てる概略図である。

【図5】ワークロードセキュリティリングを実装する方法の動作の配置例のフローチャートである。

【図6】本明細書に記載するシステムおよび方法を実施するために使用することができるコンピューティングデバイス例の概略図である。

【発明を実施するための形態】

【0015】

さまざまな図面における同様の参照符号は、同様の要素を示す。
詳細な説明
分散コンピューティングネットワーク（一般に「クラウドコンピューティング」と称する）が多種多様なワークロードに使用されるようになってきているため、一部のワークロードを他のワークロードから分離することがますます重要になってきている。たとえば、一部のワークロードは実験的であり、不安定になりやすくかつ／または攻撃を受けやすい場合があり、一方で、他のワークロードは機密性の高いユーザデータを含む場合がある。こうしたワークロードを同時にスケジューリングすることは望ましくない。しかしながら、現行のソフトウェア分離ソリューションは、種々の攻撃（たとえば、ソフトウェア攻撃、ゼロデイ攻撃、カーネル攻撃、認証情報の漏洩など）に対して不十分である。一旦マシンが危険にさらされると、そのマシンで実行しているすべてのワークロードが影響を受けやすくなる。しかしながら、従来の物理的な分離技法では、リソース利用率が低く、したがって、最新の分散コンピューティングネットワークに必要なスケーラビリティが提供されない。

【0016】

一部のワークロードは、より高度なセキュリティを必要とする。このより高度なセキュリティにより、他のワークロードが同じマシン上で実行しないようにすること（すなわち、分離）、または特別なハードウェアコンポーネント（たとえば、専用の暗号ハードウェア）を使用することなどの要件が課される可能性がある。これらのワークロードは、特別なセキュリティ強化手段を必要とするとともに、特別なアクセス制限（たとえば、Ｓｅｃｕｒｅ Ｓｈｅｌｌ（ＳＳＨ）など、マシンへのいくつかのプロトコル接続の拒否）または特別な保守要件を要求する可能性がある。典型的な分散コンピューティングシステムでは、ワークロードは、容量のある任意のコンピューティングデバイスに割り当てられる可能性があり、したがって、安全でないかまたはリスクの高いワークロードと同時にスケジューリングされる可能性がある。この問題に対する一般的なソリューションは、機密性の高いワークロードをコンピューティングデバイス単独で実行するように割り当てることであるが、この技法では、コンピューティングデバイスが、通常は多数のワークロードを実行することができるが、代わりに単一のワークロードのみを実行するように制限されるため、利用率が非常に低下し、いかなる種類のスケーリングも提供されない。

【0017】

本明細書の実施態様は、複数のワークロードセキュリティリングを含む分散処理またはコンピューティングのシステムまたはネットワークに向けられている。分散処理システムの各コンピューティングデバイスは、セキュリティリングのうちの１つに割り当てられる。各セキュリティリングの各コンピューティングデバイスは、異なるセキュリティリングのコンピューティングデバイスから物理的に分離されている。セキュリティリングコントローラが、分散処理システムで実行する予定の各ワークロードのセキュリティレベルを決定する。決定されたセキュリティレベルに基づいて、ワークロードは、ワークロードを実行する資格があるセキュリティリングのうちの１つで実行する。

【0018】

図１を参照すると、いくつかの実施態様において、システム例１００は、ネットワーク１１２を介してリモートシステム１４０と通信しているそれぞれのユーザ１２に関連付けられたユーザデバイス１０を含むことができる。ユーザデバイス１０は、デスクトップワークステーション、ラップトップワークステーション、またはモバイルデバイス（すなわち、スマートフォン）などの任意のコンピューティングデバイスに対応することができる。ユーザデバイス１０は、コンピューティングリソース１８（たとえば、データ処理ハードウェア）および／またはストレージリソース１６（たとえば、メモリハードウェア）を含む。

【0019】

リモートシステム１４０は、スケーラブルな／エラスティックなコンピューティングリソース１４４（たとえば、データ処理ハードウェア）および／またはストレージリソース１４２（たとえば、メモリハードウェア）を有する分散システム（たとえば、クラウド環境）を含む。クライアントまたはコンピューティングリソース１４４のうちの１つまたは複数によるストレージリソース１４２のスケーラブルな使用を可能にするために、ストレージリソース１４２上にデータストア１４６（すなわち、リモートストレージデバイス１４６）を配置してもよい。分散システムは、複数のセキュリティリング１６０、１６０ａ～１６０ｎに分割され、各セキュリティリング１６０は、コンピューティングデバイス１６２、１６２ａａ～１６２ｎｎのサブセットを含む。すなわち、リモートシステム１４０は、各々がセキュリティリング１６０のうちの１つに割り当てられている複数のコンピューティングデバイス１６２を含む。リモートシステム１４０は、各々が任意の数のコンピューティングデバイス１６２を含む任意の数のセキュリティリング１６０を含むことができる。各コンピューティングデバイス１６２は、ワークロード１０２、１０２ａ～１０２ｎを実行するのに必要なコンピューティングリソースおよびメモリリソースを含む。各ワークロード１０２は、同じセキュリティリング１６０内の１つまたは複数のコンピューティングデバイス１６２上で実行される処理タスクを表す。いくつかの例では、ワークロード１０２は、ユーザデバイス１０または他のリモートデバイス（たとえば、サーバ）から受信される。他の例では、ワークロード１０２は、リモートシステム１４０から発する。ワークロード１０２は、ソフトウェアアプリケーションなどの任意の種類の処理タスクを含むことができる。

【0020】

ソフトウェアアプリケーション（すなわち、ソフトウェアリソース）は、コンピューティングデバイスにタスクを実行させるコンピュータソフトウェアを指す場合がある。いくつかの例では、ソフトウェアアプリケーションは、「アプリケーション」、「アプリ」、または「プログラム」と称する場合がある。アプリケーションの例としては、限定されないが、システム診断アプリケーション、システム管理アプリケーション、システムメンテナンスアプリケーション、ワードプロセッシングアプリケーション、表計算アプリケーション、メッセージングアプリケーション、メディアストリーミングアプリケーション、ソーシャルネットワーキングアプリケーション、およびゲームアプリケーションが挙げられる。

【0021】

各セキュリティリング１６０がリモートシステム１４０の分散コンピューティングネットワークのコンピューティングデバイス１６２のそれぞれのサブセットに関連付けられるように、各コンピューティングデバイス１６２は、単一のセキュリティリング１６０に割り当てられるかまたは関連付けられる。いくつかの例では、各セキュリティリング１６０は、リモートシステム１４０のコンピューティングデバイス１６２のそれぞれのサブセットに関連付けられ、そうしたそれぞれのサブセットは、他の各セキュリティリング１６０に関連付けられたリモートシステム１４０のコンピューティングデバイス１６２のそれぞれのサブセットから物理的に分離されている。たとえば、特定のセキュリティリング１６０の各コンピューティングデバイス１６２は、他のセキュリティリング１６０の各コンピューティングデバイス１６２から物理的に分離されたサーバ内に位置している。言い換えれば、２つの異なるセキュリティリング１６０に割り当てられた２つのコンピューティングデバイス１６２は、同じ物理デバイス（たとえば、サーバ）を共有することはできない。セキュリティリング１６０をさらに切り離すために、追加の分離技法が使用されてもよい（たとえば、ネットワーク分離、電源分離など）。

【0022】

リモートシステム１４０は、セキュリティリングコントローラ１５０を実行する。セキュリティリングコントローラ１５０は、（たとえば、ユーザ１２から）ワークロード１０２および関連するセキュリティ基準１０４を受信する。後により詳細に考察するように、各ワークロード１０２に関連するセキュリティ基準１０４は、ワークロード１０２のセキュリティ体制（すなわち、ワークロード１０２がどの程度セキュアであるか）および／またはワークロード１０２の機密性（すなわち、ワークロード１０２および／またはワークロード１０２が処理するデータが、どの程度重要であるかまたは機密性が高いか）に関連する情報を含む。セキュリティリングコントローラ１５０は、セキュリティリング１６０のコンピューティングデバイス１６２上で実行される各ワークロード１０２について、関連するセキュリティ基準１０４を使用して、それぞれのワークロード１０２のセキュリティレベル４１０（図４）を決定する。セキュリティリングコントローラ１５０は、それぞれのワークロード１０２のセキュリティレベル４１０を使用して、それぞれのワークロード１０２を実行する資格がある複数のセキュリティリング１６０のうちの１つまたは複数を特定する。

【0023】

すなわち、いくつかの実施態様では、各セキュリティリング１６０（すなわち、それぞれのセキュリティリング１６０に割り当てられているコンピューティングデバイス１６２）は、１つまたは複数の特定のセキュリティレベル４１０が割り当てられたワークロード１０２を実行する資格がある。１つの例では、リモートシステム１４０は、３つの異なるセキュリティリング１６０を含むことができ、各セキュリティリング１６０は、３つの異なるセキュリティレベル４１０のうちの１つを実行する資格があり得る。図４に関してより詳細に考察するように、他の例では、セキュリティリング１６０は、２つ以上の異なるセキュリティレベル４１０に割り当てられたワークロード１０２を実行する資格がある。

【0024】

セキュリティリングコントローラ１５０が、所与のワークロード１０２のセキュリティレベル４１０を特定または決定した後、所与のワークロード１０２は、次いで、特定されたセキュリティレベル４１０を有するワークロード１０２を実行する資格があるコンピューティングデバイス１６２のうちの１つまたは複数上で実行することができる。このように、各コンピューティングデバイス１６２は、コンピューティングデバイス１６２が実行する資格があるセキュリティレベル４１０に対応するワークロード１０２のみを実行し、ワークロード１０２は、適切なセキュリティレベル４１０を有する他のワークロード１０２とのみコンピューティングデバイス１６２を共有する（すなわち、同時に実行する）。したがって、セキュリティリングコントローラ１５０は、多数のワークロード１０２を複数の異なるセキュリティ等価クラス（すなわち、セキュリティレベル４１０）に分割し、マシン境界（すなわち、物理的に分離されたコンピューティングデバイス１６２）で各クラスを分離することができる。このように、ワークロードセキュリティリング１６０は、潜在的な攻撃の「影響範囲（ｂｌａｓｔ ｒａｄｉｕｓ）」を制限することにより、典型的な分離の脅威（たとえば、ハードウェアおよびソフトウェアのエクスプロイト、サービス拒否（ｄｅｎｉａｌ－ｏｆ－ｓｅｒｖｉｃｅ）攻撃）に対処する。

【0025】

ここで図２Ａおよび図２Ｂを参照すると、いくつかの実施態様では、セキュリティリングコントローラ１５０は、リングリバランサ２１０を含む。各ワークロードセキュリティリング１６０から、リングリバランサ２１０は、それぞれのリソース統計値２２０、２２０ａ～２２０ｎを受信し、リソース統計値２２０を使用して、各ワークロードセキュリティリング１６０のリソース利用率２２２、２２２ａ～２２２ｎを決定する。決定されたリソース利用率２２２を使用して、リングリバランサ２１０は、セキュリティリング１６０のうちの１つまたは複数におけるコンピューティングデバイス１６２の数を調整する（すなわち、特定のセキュリティリング１６０に関連付けられたコンピューティングデバイス１６２のサブセット内のコンピューティングデバイス１６２の数を調整する）ことができる。図２Ａの具体例では、概略図２００ａは、低セキュリティリング１６０、１６０Ｌおよび高セキュリティリング１６０、１６０Ｈを示しているが、リモートシステム１４０は、任意の数のセキュリティリング１６０を含むことができることが理解される。ここでは、各セキュリティリング１６０Ｌ、１６０Ｈは、５つのコンピューティングデバイス１６２を含む。（５つのコンピューティングデバイス１６２を有する）低セキュリティリング１６０Ｌは、９５％の容量で動作しており、（異なる５つのコンピューティングデバイス１６２を有する）高セキュリティリング１６０Ｈは、２５％の容量で動作している。すなわち、低セキュリティリング１６０Ｌは、高い利用率で動作しており（すなわち、追加のワークロード１００を容易に実行することができない）、一方、高セキュリティリング１６０Ｈは、低い利用率で動作している（すなわち、追加のワークロード１００を容易に実行することができる）。

【0026】

次に図２Ｂを参照すると、概略図２００ｂは、リングリバランサ２１０が、コンピューティングデバイス１６２のうちの１つを高セキュリティリング１６０Ｈから低セキュリティリング１６０Ｌに再割り当てすることを示す。コンピューティングデバイス１６２を高セキュリティリング１６０Ｈから低セキュリティリング１６０Ｌに調整または再割り当てした後、高セキュリティリング１６０Ｈは（元の５つから）４つのコンピューティングデバイス１６２を有し、低セキュリティリング１６０Ｌは（元の５つから）６つのコンピューティングデバイス１６２を有する。このリバランシングの結果、更新されたリソース統計値２２０は、低セキュリティリング１６０Ｌが８０％の利用率を有し、高セキュリティリング１６０Ｈが３５％の利用率を有することを示す。したがって、セキュリティリングコントローラ１５０は、リソース統計値２２０に基づいて、コンピューティングデバイス１６２を１つのセキュリティリング１６０から異なるセキュリティリング１６０に動的に調整および／または再割り当てすることができる。たとえば、多数のワークロード１０２が特定のセキュリティリング１６０上で実行するようにスケジュールされるとき、セキュリティリングコントローラ１５０は、リソースの必要性の増加を管理するために、追加のコンピューティングデバイス１６２を特定のセキュリティリング１６０に自動的に再割り当てすることができる。

【0027】

セキュリティリングコントローラ１５０は、再割り当てされたコンピューティングデバイス１６２が、新たに割り当てられたセキュリティリング１６０に切り替わる前に適切にサニタイズされることを確実にするステップをとることができる。たとえば、セキュリティリングコントローラ１５０は、セキュリティリング１６０間の分離を確実にするために、以前のワークロード１０２の残りがコンピューティングデバイス１６２上に存在しないことを確実にするように、メモリワイプ、再インストール、および／または他の手順を実行してもよい。

【0028】

ここで図３を参照すると、いくつかの実施態様では、各セキュリティリング１６０は、それぞれのセキュリティ要件３１０に関連付けられ、各セキュリティリング１６０のコンピューティングデバイス１６２のそれぞれのサブセット内の各コンピューティングデバイス１６２は、それぞれのセキュリティリング１６０のそれぞれのセキュリティ要件３１０に従う。たとえば、概略図３００は、高セキュリティリング１６０Ｈおよび低セキュリティリング１６０Ｌを含む。未割り当てのコンピューティングデバイス１６２Ｕのセキュリティ要件３１０およびセキュリティパラメータ３２０に基づいて、セキュリティリングコントローラ１５０は、未割り当てのコンピューティングデバイス１６２Ｕを割り当てるべきセキュリティリング１６０Ｌ、１６０Ｈを決定することができる。各セキュリティリング１６０のそれぞれのセキュリティ要件３１０は、他の各セキュリティリング１６０のそれぞれのセキュリティ要件３１０とは異なるレベルの物理的セキュリティを含むことができる。たとえば、高セキュリティリング１６０Ｈは、割り当てられたコンピューティングデバイス１６２が、セキュアな地理的位置、セキュアな施設（たとえば、施錠された部屋またはケース内、セキュリティ監視など）、または特定のハードウェアなど、いくつかの物理的セキュリティ特性を有することを要求する、セキュリティ要件３１０を有する場合がある。セキュリティ要件３１０は、ソフトウェアのタイプ、ソフトウェアのバージョンなどのソフトウェア要件も同様に含むことができる。言い換えれば、セキュリティ要件３１０は、コンピューティングデバイス１６２がそれぞれのセキュリティリング１６０に対してワークロード１０２を実行する資格があるために必要な、多数の異なるカテゴリにおけるセキュリティの最小閾値を定義することができる。

【0029】

コンピューティングデバイス１６２は、複数のセキュリティリング１６０に割り当てられる資格がある場合がある。たとえば、高度にセキュアなコンピューティングデバイス１６２が、高セキュリティリング１６０Ｈおよび低セキュリティリング１６０Ｌのセキュリティ要件３１０を満たす場合があり、他の要因（たとえば、リソース利用率）に基づいていずれかのセキュリティリング１６０に割り当てられる場合がある。リングリバランサ２１０（図２Ａおよび図２Ｂ）は、いくつかの例では、複数のセキュリティリング１６０に対して（セキュリティ要件３１０およびセキュリティパラメータ３２０に基づいて）資格がある異なるセキュリティリング１６０にのみ、コンピューティングデバイス１６２を再割り当てする。したがって、いくつかの実施態様では、複数のワークロード１０２を受信する前に、リモートシステム１４０のそれぞれのコンピューティングデバイス１６２について、セキュリティリングコントローラ１５０は、それぞれのコンピューティングデバイス１６２のセキュリティ体制を特徴付けるセキュリティパラメータ３２０を取得する。セキュリティリングコントローラ１５０は、セキュリティパラメータ３２０を使用して、それぞれのコンピューティングデバイス１６２を、複数のセキュリティリング１６０のうちの１つに割り当てる。

【0030】

各ワークロード１０２のセキュリティ基準１０４は、ワークロード１０２の機密性を含む場合がある。すなわち、セキュリティ基準１０４は、ワークロード１０２の攻撃または損失がどの程度損害を与え得るかを示すパラメータを含むことができる。たとえば、重要なデータ（たとえば、ユーザデータ、政府データなど）を処理するワークロード１０２は、非常に機密性が高い可能性があり、一方で、重要度が低いデータ（たとえば、気象データ）を処理するワークロード１０２は、それほど機密性が高くない可能性がある。それぞれのワークロード１０２に対して選択されるセキュリティリング１６０は、機密性に少なくとも部分的に依存する可能性がある。たとえば、機密性の高いワークロード１０２は、機密性の低いワークロード１０２よりも、よりセキュアなセキュリティリング１６０（たとえば、より物理的なセキュリティ、ハードウェアセキュリティ、ソフトウェアセキュリティなど）上で実行される可能性が高い。しかしながら、種々の要因（たとえば、現利用率）に起因して、機密性の低いワークロード１０２が、依然として高セキュリティリング１６０上で実行する場合がある。たとえば、低セキュリティリング１６０がフルで利用されているが、高セキュリティリング１６０に容量がある場合、非機密性のワークロード１０２が高セキュリティリング１６０に割り当てられることがある。ワークロードの機密性は、ワークロードの所有者によって定義され、かつ／またはセキュリティリングコントローラ１５０によって自動的に決定され、かつ／またはサードパーティによって決定される場合がある。たとえば、所有者は、ワークロード１０２をコンパイルするかまたはセキュリティリングコントローラ１５０に送信するときに、１つまたは複数のフラグまたはパラメータを設定することができる。

【0031】

いくつかの実施態様では、ワークロードの割り当ては、代替的にまたはさらに、ワークロード１０２のセキュリティ体制に依存する。ワークロード１０２のセキュリティ体制は、ワークロード１０２自体のセキュリティにおける信頼水準を表す。すなわち、セキュリティ体制は、ワークロード１０２が他のワークロード１０２に影響を及ぼす可能性における信頼度を反映することができる。たとえば、実験的なワークロード１０２は、同じコンピューティングデバイス１６２上で実行している他のワークロード１０２をクラッシュさせかつ／またはワークロード１０２に悪影響を及ぼす可能性が高いため、本番のワークロード１０２よりもセキュリティが低いことを示すセキュリティ体制を有する。多くのパラメータが、ワークロード１０２のセキュリティ体制を定義するのに役立つ可能性がある。たとえば、ワークロード１０２がいつ、どのように構築されたか（すなわち、コンパイルされたか）、ワークロード１０２の作成者、およびワークロード１０２の起源は、すべてセキュリティ体制に影響する可能性がある。いくつかの実施態様では、セキュリティ体制は、それぞれのワークロード１０２の１つまたは複数の（たとえば、サードパーティによる）監査またはレビューを含む。たとえば、１つまたは複数のエンティティによって監査されたワークロード１０２は、監査がないワークロード１０２よりも、よりセキュアなセキュリティ体制を有する可能性がある。

【0032】

いくつかの例では、セキュリティ体制は、ワークロード１０２がいずれのセキュリティリング１６０上で実行する資格があるかに影響を与える。たとえば、セキュリティ体制が不十分である（すなわち、他のワークロード１０２に悪影響を及ぼす可能性が高い）ワークロード１０２は、そのワークロード１０２が高機密性を有していたとしても、高セキュリティリング１６０で実行することが許可されない可能性がある。たとえば、セキュアな環境でコンパイルされていないワークロード１０２は、ユーザデータを処理し、したがって、本来は高セキュリティリング１６０上で実行する資格を与える高機密性を有する可能性があるが、ワークロード１０２が高セキュリティリング１６０上で実行する他の高機密性ワークロード１０２にもたらすリスクのために、高セキュリティリング１６０上での実行が制限される可能性がある。したがって、いくつかの例では、特定のワークロード１０２を実行する資格があるセキュリティリング１６０は、ワークロード１０２の機密性およびワークロード１０２のセキュリティ体制の両方に依存する。

【0033】

ここで図４を参照すると、概略図４００は、低セキュリティリング１６０Ｌおよび高セキュリティリング１６０Ｈを含む。いくつかの例では、これら２つが唯一のセキュリティリング１６０である。任意選択的に、ワークロード１０２には、３つのセキュリティレベル４１０、すなわち、低セキュリティレベル４１０Ｌ、中セキュリティレベル４１０Ｍ、または高セキュリティレベル４１０Ｈのうちの１つが割り当てられる。この例では、それぞれのワークロード１０２について決定されたセキュリティレベル４１０が低セキュリティレベル４１０Ｌであるとき、低セキュリティリング１６０Ｌのみが、それぞれのワークロード１０２を実行する資格がある。同様に、それぞれのワークロード１０２に対する決定されたセキュリティレベル４１０が高セキュリティレベル４１０Ｈである場合、高セキュリティリング１６０Ｈのみが、それぞれのワークロード１０２を実行する資格がある。それぞれのワークロード１０２に対する決定されたセキュリティレベル４１０が中セキュリティレベル４１０Ｍである場合、低セキュリティリングおよび高セキュリティリングの両方が、それぞれのワークロード１０２を実行する資格がある。したがって、低セキュリティのワークロード１０２は低セキュリティリング１６０Ｌで実行しなければならず、高セキュリティのワークロード１０２は高セキュリティリング１６０Ｈで実行しなければならないが、中セキュリティのワークロード１０２は、低セキュリティリング１６０Ｌまたは高セキュリティリング１６０Ｈのいずれかで実行することができる。これにより、セキュリティリングコントローラ１５０は、状況に応じて、中セキュリティレベルのワークロード１０２を低セキュリティリング１６０Ｌまたは高セキュリティリング１６０Ｈのいずれかに（すなわち、それぞれのセキュリティリング１６０に割り当てられたコンピューティングデバイス１６２に）動的に割り当てることによって、高い利用率を維持することができる。

【0034】

低セキュリティワークロード１０２は、安全であるとみなされるために必要な予防措置を講じていない、強化されていないワークロード１０２を表す可能性があり、一方、高セキュリティワークロード１０２は、安全であるとみなされるために必要な予防措置を講じており、機密データも含む、強化されたワークロード１０２を表す可能性がある。中セキュリティのワークロード１０２は、強化されているが、機密データを含まない可能性があり、したがって、いずれかのセキュリティリング１６０上でも実行することができる。いくつかの実施態様では、セキュリティリングコントローラは、機密データを含む強化されていないワークロード１０２（すなわち、低セキュリティワークロード１０２）が、機密データを含む他の強化されていないワークロード１０２と同じコンピューティングデバイス上で同時にスケジューリングされないことを確実にすることができる。

【0035】

図５は、ワークロードセキュリティリングを提供する方法５００の動作の例示的な配置のフローチャートである。コンピュータが実行する方法５００は、データ処理ハードウェア１４４によって実行されると、データ処理ハードウェア１４４に動作を実行させる。動作５０２において、方法５００は、複数のワークロード１０２を受信することを含む。各ワークロード１０２は、それぞれのセキュリティ基準１０４と関連付けられ、分散コンピューティングシステム１４０で実行するようにスケジュールされている。分散コンピューティングシステム１４０は、複数のセキュリティリング１６０に分割されている。複数のセキュリティリング１６０の各セキュリティリング１６０は、分散コンピューティングシステム１４０のコンピューティングデバイス１６２のそれぞれのサブセットに関連付けられており、それらサブセットは、複数のセキュリティリング１６０の他の各セキュリティリング１６０に関連付けられた分散コンピューティングシステム１４０のコンピューティングデバイス１６２のそれぞれのサブセットから物理的に分離されている。

【0036】

複数のワークロードの各それぞれのワークロードについて、動作５０４において、方法５００は、それぞれのセキュリティ基準１０４を使用して、それぞれのワークロード１０２のセキュリティレベル４１０を決定することを含む。動作５０６において、方法５００は、それぞれのワークロード１０２のセキュリティレベル４１０を使用して、それぞれのワークロード１０２を実行する資格がある複数のセキュリティリング１６０のうちの１つまたは複数を特定することを含む。方法５００は、動作５０８において、それぞれのワークロード１０２を、それぞれのワークロード１０２を実行する資格がある複数のセキュリティリング１６０のうちの特定された１つまたは複数に関連付けられたコンピューティングデバイス１６２のそれぞれのサブセットのうちの１つから選択された１つまたは複数のコンピューティングデバイス１６２で実行することを含む。

【0037】

このように、本明細書に記載する実施態様は、ワークロードスケジューリング、ならびにコンピューティングデバイスの利用および効率への影響を最小限にして、自動化されたセキュリティリングバランシングを提供し、同時にメンテナンスコストも最小限に抑える。セキュリティリングコントローラは、分散コンピューティングネットワークをマシン境界で分離された複数のセキュリティリングに分割する。セキュリティリングコントローラは、よりセキュアで機密性の高いワークロードを、それほどセキュアでないかつ／または機密性の低いワークロードから確実に分離するために、ワークロードを異なるセキュリティ等価クラスに分割する。ワークロードのセキュリティリングは、ワークロードの分離に抽象化レベルを提供し、これにより、ワークロードを実行するための多数の特定のプロファイルおよび構成の置換が不要になり、コンピューティングデバイスがセキュリティリングを変更することができることにより、柔軟性が与えられる。この柔軟性によってまた、古いハードウェアの段階的な廃止または新しいハードウェアの導入が簡単かつシームレスに行うことができるようになる。セキュリティリングのセキュリティ体制は、（たとえば、セキュリティ要件を追加または削除することによって）ワークロードの所有者が必要とする（すなわち、構成を調整するための）いかなるアクションもなしに調整することができる。

【0038】

図６は、本明細書に記載するシステムおよび方法を実行するために使用することができるコンピューティングデバイス例６００の概略図である。コンピューティングデバイス６００は、ラップトップ、デスクトップ、ワークステーション、携帯情報端末、サーバ、ブレードサーバ、メインフレーム、および他の適切なコンピュータなどのさまざまな形態のデジタルコンピュータを表すように意図されている。ここに示す構成要素、それらの接続および関係、ならびにそれらの機能は、単に例示的なものであるように意図されており、本明細書に記載しかつ／または特許請求する発明の実施態様を限定するようには意図されていない。

【0039】

コンピューティングデバイス６００は、プロセッサ６１０と、メモリ６２０と、記憶デバイス６３０と、メモリ６２０および高速拡張ポート６５０に接続する高速インターフェース／コントローラ６４０と、低速バス６７０および記憶デバイス６３０に接続する低速インターフェース／コントローラ６６０とを含む。構成要素６１０、６２０、６３０、６４０、６５０、および６６０の各々は、さまざまなバスを使用して相互接続されており、共通のマザーボード上に、または必要に応じて他の方法で搭載することができる。プロセッサ６１０は、高速インターフェース６４０に結合されたディスプレイ６８０などの外部入出力デバイス上にグラフィカルユーザインターフェース（ＧＵＩ）のためのグラフィカル情報を表示するための、メモリ６２０または記憶デバイス６３０に格納された命令を含む、コンピューティングデバイス６００内で実行される命令を処理することができる。他の実施態様では、必要に応じて、複数のプロセッサおよび／または複数のバスを、複数のメモリおよび複数のタイプのメモリとともに使用してもよい。また、複数のコンピューティングデバイス６００を接続してもよく、各デバイスが（たとえば、サーババンク、ブレードサーバ群、またはマルチプロセッサシステムとして）必要な動作の一部を提供する。

【0040】

メモリ６２０は、コンピューティングデバイス６００内で情報を非一時的に記憶する。メモリ６２０は、コンピュータ可読媒体、揮発性メモリユニット、または不揮発性メモリユニットであり得る。非一時的メモリ６２０は、コンピューティングデバイス６００によって使用されるプログラム（たとえば、命令のシーケンス）またはデータ（たとえば、プログラム状態情報）を一時的または恒久的に格納するために使用される物理的デバイスであり得る。不揮発性メモリの例としては、限定されないが、（たとえば、ブートプログラムなどのファームウェアに通常使用される）フラッシュメモリ、リードオンリメモリ（ＲＯＭ）／プログラマブルリードオンリメモリ（ＰＲＯＭ）／消去可能なプログラマブルリードオンリメモリ（ＥＰＲＯＭ）／電子的に消去可能なプログラマブルリードオンリメモリ（ＥＥＰＲＯＭ）が挙げられる。揮発性メモリの例としては、限定されないが、ランダムアクセスメモリ（ＲＡＭ）、ダイナミックランダムアクセスメモリ（ＤＲＡＭ）、スタティックランダムアクセスメモリ（ＳＲＡＭ）、相変化メモリ（ＰＣＭ）、およびディスクまたはテープが挙げられる。

【0041】

記憶デバイス６３０は、コンピューティングデバイス６００に大容量記憶を提供することができる。いくつかの実施態様では、記憶デバイス６３０は、コンピュータ可読媒体である。さまざまな異なる実施態様では、記憶デバイス６３０は、フロッピー（登録商標）ディスクデバイス、ハードディスクデバイス、光ディスクデバイス、もしくはテープデバイス、フラッシュメモリ、もしくは他の同様のソリッドステートメモリデバイス、またはストレージエリアネットワークもしくは他の構成のデバイスを含むデバイスのアレイであり得る。さらなる実施態様では、コンピュータプログラム製品は、情報担体に有形に具体化される。コンピュータプログラム製品は、実行されると、上述したような１つまたは複数の方法を実行する命令を含む。情報担体は、メモリ６２０、記憶デバイス６３０、またはプロセッサ６１０上のメモリなどのコンピュータまたは機械可読媒体である。

【0042】

高速コントローラ６４０は、コンピューティングデバイス６００の帯域幅を大量に使用する動作を管理し、一方、低速コントローラ６６０は、帯域幅をそれほど大量に使用しない動作を管理する。こうした機能の割り当ては、単に例示的なものである。いくつかの実施態様では、高速コントローラ６４０は、メモリ６２０、（たとえば、グラフィックプロセッサまたはアクセラレータを介して）ディスプレイ６８０に、かつ、さまざまな拡張カード（図示せず）を受け入れることができる高速拡張ポート６５０に結合されている。いくつかの実施態様では、低速コントローラ６６０は、記憶デバイス６３０および低速拡張ポート６９０に結合されている。さまざまな通信ポート（たとえば、ＵＳＢ、Ｂｌｕｅｔｏｏｔｈ（登録商標）、Ｅｔｈｅｒｎｅｔ（登録商標）、無線Ｅｔｈｅｒｎｅｔ）を含むことができる低速拡張ポート６９０は、キーボード、ポインティングデバイス、スキャナなどの１つまたは複数の入出力デバイス、または、たとえばネットワークアダプタを介して、スイッチやルータなどのネットワークデバイスに結合することができる。

【0043】

コンピューティングデバイス６００は、図に示すように、多数の異なる形態で実装することができる。たとえば、標準サーバ６００ａとして、またはそうしたサーバ６００ａ群で複数回、ラップトップコンピュータ６００ｂとして、またはラックサーバシステム６００ｃの一部として、実装することができる。

【0044】

本明細書に記載するシステムおよび技法のさまざまな実施態様は、デジタル電子回路および／または光回路、集積回路、特別に設計されたＡＳＩＣ（特定用途向け集積回路）、コンピュータハードウェア、ファームウェア、ソフトウェア、および／またはそれらの組み合わせで実現することができる。これらのさまざまな実施態様は、記憶システム、少なくとも１つの入力デバイス、および少なくとも１つの出力デバイスからデータおよび命令を受け取り、それらにデータおよび命令を送出するように結合された、専用であっても汎用であってもよい、少なくとも１つのプログラマブルプロセッサを含むプログラマブルシステム上で実行可能および／または解釈可能な１つまたは複数のコンピュータプログラムでの実施態様を含むことができる。

【0045】

（プログラム、ソフトウェア、ソフトウェアアプリケーション、またはコードとしても知られる）これらのコンピュータプログラムは、プログラマブルプロセッサ用の機械命令を含み、高水準手続き型および／またはオブジェクト指向プログラミング言語で、かつ／またはアセンブリ／機械言語で実装することができる。本明細書で用いる場合の「機械可読媒体」および「コンピュータ可読媒体」という用語は、機械命令を機械可読信号として受け取る機械可読媒体を含む、機械命令および／またはデータをプログラマブルプロセッサに提供するために使用される、任意のコンピュータプログラム製品、非一時的コンピュータ可読媒体、装置および／またはデバイス（たとえば、磁気ディスク、光ディスク、メモリ、プログラマブルロジックデバイス（ＰＬＤ））を指す。「機械可読信号」という用語は、機械命令および／またはデータをプログラマブルプロセッサに提供するために使用される任意の信号を指す。

【0046】

本明細書に記載したプロセスおよび論理フローは、入力データに対して動作し、出力を生成することにより機能を果たすように１つまたは複数のコンピュータプログラムを実行する、データ処理ハードウェアとも称する１つまたは複数のプログラマブルプロセッサによって実行することができる。プロセスおよび論理フローは、専用論理回路、たとえばＦＰＧＡ（フィールドプログラマブルゲートアレイ）またはＡＳＩＣ（特定用途向け集積回路）によっても実行することができる。コンピュータプログラムの実行に好適なプロセッサとしては、一例として、汎用および専用両方のマイクロプロセッサ、および任意の種類のデジタルコンピュータの任意の１つまたは複数のプロセッサが挙げられる。一般に、プロセッサは、リードオンリメモリもしくはランダムアクセスメモリ、またはその両方から命令およびデータを受け取る。コンピュータの本質的な要素は、命令を実行するプロセッサと、命令およびデータを記憶する１つまたは複数のメモリデバイスとである。一般に、コンピュータはまた、データを記憶する１つまたは複数の大容量記憶デバイス、たとえば磁気ディスク、光磁気ディスク、または光ディスクを含むか、またはそうしたデバイスからデータを受け取るか、もしくはそうしたデバイスにデータを転送するか、もしくは両方を行うように、動作可能に結合されている。しかしながら、コンピュータが、こうしたデバイスを有することは必須ではない。コンピュータプログラム命令およびデータを記憶するのに好適なコンピュータ可読媒体には、すべての形態の不揮発性メモリ、媒体、およびメモリデバイスが含まれ、例として、半導体メモリデバイス、たとえば、ＥＰＲＯＭ、ＥＥＰＲＯＭ、およびフラッシュメモリデバイス；磁気ディスク、たとえば、内蔵ハードディスクまたはリムーバブルディスク；光磁気ディスク；ならびにＣＤ ＲＯＭおよびＤＶＤ－ＲＯＭディスクが挙げられる。プロセッサおよびメモリは、専用論理回路によって補足することができ、または専用論理回路に組み込むことができる。

【0047】

ユーザとのインタラクションを提供するために、本開示の１つまたは複数の態様は、ユーザに情報を表示する表示デバイス、たとえばＣＲＴ（陰極線管）、ＬＣＤ（液晶ディスプレイ）モニタ、またはタッチスクリーンと、任意選択的に、ユーザがコンピュータに入力を提供することができるキーボードおよびポインティングデバイス、たとえばマウスまたはトラックボールとを有するコンピュータ上で実装することができる。他の種類のデバイスを使用して、ユーザとのインタラクションを同様に提供することができ、たとえば、ユーザに提供されるフィードバックは、任意の形式の感覚フィードバック、たとえば、視覚フィードバック、聴覚フィードバック、または触覚フィードバックとすることができ、ユーザからの入力は、音響入力、音声入力、または触覚入力を含む任意の形式で受け取ることができる。加えて、コンピュータは、ユーザが使用するデバイスにドキュメントを送信し、そうしたデバイスからドキュメントを受信することによって、たとえば、ウェブブラウザから受信した要求に応じて、ユーザのクライアントデバイス上のウェブブラウザにウェブページを送信することによって、ユーザとインタラクトすることができる。

【0048】

多くの実施態様について説明した。それにもかかわらず、本開示の趣旨および範囲から逸脱することなく、さまざまな変更を行うことができることが理解されよう。したがって、他の実施態様も以下の特許請求の範囲内にある。

【図1】

【図2A】

【図2B】

【図3】

【図4】

【図5】

【図6】