特許 7597206 基盤システム及び通信方法

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B2)

(11)【特許番号】

(24)【登録日】2024-12-02

(45)【発行日】2024-12-10

(54)【発明の名称】基盤システム及び通信方法

(51)【国際特許分類】

   H04L 41/0895 20220101AFI20241203BHJP

   H04L 41/40 20220101ALI20241203BHJP

   H04L 61/2503 20220101ALI20241203BHJP

【ＦＩ】

H04L41/0895

H04L41/40

H04L61/2503

【請求項の数】 6

(21)【出願番号】P 2023508413

(86)(22)【出願日】2021-03-26

(86)【国際出願番号】 JP2021013104

(87)【国際公開番号】W WO2022201544

(87)【国際公開日】2022-09-29

【審査請求日】2023-08-23

(73)【特許権者】

【識別番号】000004237

【氏名又は名称】日本電気株式会社

(74)【代理人】

【識別番号】100103894

【弁理士】

【氏名又は名称】家入 健

(72)【発明者】

【氏名】高橋 敏明

【審査官】小林 義晴

(56)【参考文献】

【文献】米国特許出願公開第２００８／０１５１８９３（ＵＳ，Ａ１）

【文献】特開２０２０－２０５５７１（ＪＰ，Ａ）

【文献】米国特許出願公開第２０２２／２７６８８６（ＵＳ，Ａ１）

【文献】米国特許出願公開第２０２０／９７３１０（ＵＳ，Ａ１）

【文献】米国特許出願公開第２００９／２６８６１１（ＵＳ，Ａ１）

【文献】中国特許出願公開第１１２３９８６８７（ＣＮ，Ａ）

(58)【調査した分野】(Int.Cl.，ＤＢ名)

Ｈ０４Ｌ ４１／０８９５

Ｈ０４Ｌ ４１／４０

Ｈ０４Ｌ ６１／２５０３

(57)【特許請求の範囲】

【請求項1】

複数の仮想ＮＩＣ（Network Interface Card）を有するコンテナを実行するためのリソースが実装され、異なる論理ネットワークに接続する複数の仮想ＮＩＣを備えたＶＭ（Virtual Machine）と、
前記ＶＭの複数の前記仮想ＮＩＣのそれぞれが前記コンテナのいずれかの前記仮想ＮＩＣにつながる通信経路が構成されるよう制御するコントローラと
を有する基盤システム。

【請求項2】

前記コントローラは、前記基盤システムの外部から前記コンテナへの通信が、前記コンテナの複数の前記仮想ＮＩＣのうち当該通信で用いられる前記論理ネットワークに対応する前記仮想ＮＩＣに転送されるように、ＮＡＴ（Network Address Translation）の設定を行う
請求項１に記載の基盤システム。

【請求項3】

前記コントローラは、前記基盤システムの外部から前記コンテナへの通信のうち、所定のアクセス先への通信についてアドレスの変換が行われないように、前記ＮＡＴの設定を行う
請求項２に記載の基盤システム。

【請求項4】

前記コントローラは、
前記コンテナから前記基盤システムの外部への通信について、アクセス先に応じた前記論理ネットワークを使うようにルーティングの設定を行い、
前記コンテナから前記基盤システムの外部への通信の送信元が、前記ＶＭの複数の前記仮想ＮＩＣのうち当該通信で用いられる前記論理ネットワークに接続する前記仮想ＮＩＣのアドレスになるように、ＮＡＴの設定を行う
請求項１に記載の基盤システム。

【請求項5】

前記コントローラは、前記コンテナから前記基盤システムの外部への通信のうち、所定の送信元の通信についてアドレスの変換が行われないように、前記ＮＡＴの設定を行う
請求項４に記載の基盤システム。

【請求項6】

異なる論理ネットワークに接続する複数の仮想ＮＩＣを備えたＶＭが、複数の仮想ＮＩＣを有するコンテナを実行し、
コントローラが、前記ＶＭの複数の前記仮想ＮＩＣのそれぞれが前記コンテナのいずれかの前記仮想ＮＩＣにつながる通信経路が構成されるよう制御する
通信方法。

【発明の詳細な説明】

【技術分野】

【0001】

本開示は、基盤システム及び通信方法に関する。

【背景技術】

【0002】

ソフトウェアの仮想的な動作環境として、コンテナが知られている。例えば、特許文献１では、処理ユニットが、コンテナを使うことによって、ユーザ端末のための仮想化ネットワーク機能のビジネス・サービスを提供することを開示している。

【先行技術文献】

【特許文献】

【0003】

【文献】特表２０１９-５１９１８０号公報

【発明の概要】

【発明が解決しようとする課題】

【0004】

コンテナによるスケール性及び柔軟性の高いサービス提供は、ＫｕｂｅｒｎｅｔｅｓというＣａａＳ（Container as a Service）基盤ソフトウェアを中心に主にＷｅｂサービスの分野で広く利用され始めている。ただし、その適用領域としてはベストエフォートでのサービス提供をする領域が一般的であった。しかし、近年では高品質サービスにおいても通信容量が増大し、コンテナ実装によるスケール性及び柔軟性を求めるユースケースが発生している。この種のユースケースにおいて、用途ごとにネットワークを分離してパフォーマンスマネジメントを実施したいといった要望が存在するが、ＣａａＳ基盤が１つのネットワークしか使用しないという構成の都合上、この要望には応えられないという問題があった。

【0005】

ＣＮＩ（Container Network Interface）の一種であるＭｕｌｔｕｓ－ＣＮＩは、コンテナのネットワークを分ける機能を提供するが、この機能では、新たに追加されるネットワークはＣａａＳ基盤の外で管理されることが前提とされている。このため、この技術の採用はスケール性及び柔軟性の低下につながるとされてきた。

【0006】

そこで、本明細書に開示される実施形態が達成しようとする目的の１つは、コンテナを用いた動作環境において、新規な手法によりネットワークの分離を実現することができる基盤システム及び通信方法を提供することである。

【課題を解決するための手段】

【0007】

本開示の第１の態様にかかる基盤システムは、
複数の仮想ＮＩＣ（Network Interface Card）を有するコンテナを実行するためのリソースが実装され、異なる論理ネットワークに接続する複数の仮想ＮＩＣを備えたＶＭ（Virtual Machine）と、
前記ＶＭの複数の前記仮想ＮＩＣのそれぞれが前記コンテナのいずれかの前記仮想ＮＩＣにつながる通信経路が構成されるよう制御するコントローラと
を有する。

【0008】

本開示の第２の態様にかかる通信方法では、
異なる論理ネットワークに接続する複数の仮想ＮＩＣを備えたＶＭが、複数の仮想ＮＩＣを有するコンテナを実行し、
コントローラが、前記ＶＭの複数の前記仮想ＮＩＣのそれぞれが前記コンテナのいずれかの前記仮想ＮＩＣにつながる通信経路が構成されるよう制御する。

【発明の効果】

【0009】

本開示によれば、コンテナを用いた動作環境において、新規な手法によりネットワークの分離を実現することができる基盤システム及び通信方法を提供できる。

【図面の簡単な説明】

【0010】

【図1】実施の形態の概要にかかる基盤システムの構成の一例を示すブロック図である。

【図2】比較例にかかる基盤システムの構成を示すブロック図である。

【図3】実施の形態にかかる基盤システムの構成の一例を示すブロック図である。

【図4】論理ネットワークを示す模式図である。

【図5】比較例にかかる基盤システムにおいて、外部からコンテナに対し通信する流れを示す図である。

【図6】実施の形態にかかる基盤システムにおいて、外部からコンテナに対し通信する流れを示す図である。

【図7】比較例にかかる基盤システムにおいて、コンテナから外部に向けて通信する流れを示す図である。

【図8】宛先のサブネットと論理ネットワークとを対応付けた情報の例を示す表である。

【図9】コントローラがコンテナの起動時に設定するルーティングテーブルの例を示す表である。

【図10】実施の形態にかかる基盤システムにおいて、コンテナから外部へ通信する流れを示す図である。

【図11】コンピュータの構成の一例を示すブロック図である。

【発明を実施するための形態】

【0011】

＜実施の形態の概要＞
実施の形態の詳細を説明する前に、実施の形態の概要について説明する。図１は、実施の形態の概要にかかる基盤システム１の構成の一例を示すブロック図である。図１に示すように、基盤システム１は、ＶＭ（仮想マシン：Virtual Machine）２と、コントローラ３とを有する。ここで、ＶＭ２は、複数の仮想ＮＩＣ（Network Interface Card）を有するコンテナを実行するためのリソースが実装されるＶＭであり、かつ、異なる論理ネットワークに接続する複数の仮想ＮＩＣを備えたＶＭである。また、コントローラ３は、ＶＭ２の複数の仮想ＮＩＣのそれぞれが、コンテナのいずれかの仮想ＮＩＣにつながる通信経路が構成されるよう制御する。

【0012】

上記構成を備える基盤システム１では、ＶＭ２の複数のインターフェースを使い分けることで、ＶＭ２上で動作するコンテナは、通信に利用する論理ネットワークを使い分けることができる。このため、基盤システム１によれば、コンテナを用いた動作環境において、新規な手法によりネットワークの分離を実現することができる。

【0013】

＜実施の形態の詳細＞
実施の形態の詳細の理解を助けるために、まず、比較例について説明する。図２は、比較例にかかる基盤システム９の構成を示すブロック図である。この比較例にかかる基盤システム９の構成は、ＣａａＳ基盤をＩａａＳ（Infrastructure as a Service）基盤上に構築する構成となっている。基盤システム９の全体構成としては、コントローラ１０と、外部からの通信を適切に振り分けるためのロードバランサ２１と、コンテナを動作させるための物理サーバ３０、３１とを含む。図２に示した例では、２つの物理サーバ３０、３１が示されているが、この物理サーバの数には制限がなく、同様の構成を持った任意の台数の物理サーバを有していればよい。なお、これら複数の物理サーバは、一般的なＩａａＳ機能により全体が１つのリソースとして取り扱われる。なお、物理サーバは１台であってもよい。

【0014】

物理サーバ３１は物理サーバ３０と同様の構成であるため、物理サーバ３１についての説明は省略する。物理サーバ３０には、ＮＩＣ４５と、仮想スイッチ４０と、ＶＭ５０、５１が存在する。ＮＩＣ４５は、物理的なＮＩＣであり、物理サーバ３０からの通信及び物理サーバ３０への通信に用いられるインターフェースである。仮想スイッチ４０は、ＩａａＳ機能のネットワーク機能を実現する仮想スイッチである。すなわち、仮想スイッチ４０は、ＩａａＳのサービスにより提供されるネットワーク機能に用いられる仮想スイッチである。ＶＭ５０、５１は、ＩａａＳ機能により生成され実際にコンテナを稼働するためのＶＭである。すなわち、ＶＭ５０、５１は、ＩａａＳのサービスにより提供されるＶＭであり、このＶＭ上でコンテナが稼働する。なお、図２に示した例では、２つのＶＭ５０、５１が示されているが、このＶＭの数には制限がなく、同様の構成を持った任意の台数のＶＭを有していればよい。なお、ＶＭは１台であってもよい。

【0015】

図２に示した例では、ＶＭ５０上には、ＣａａＳのサービスにより提供されるコンテナ９０、９１が動作している。なお、各ＶＭ上に動作するコンテナの数は任意である。

【0016】

コントローラ１０は、コンテナを管理する装置であり、コンテナの起動、コンテナの通信の設定などを含む種々の管理処理を実行する。コントローラ１０は、コンテナオーケストレーターとして動作する装置である。
ロードバランサ２１は、外部からの通信を、ＶＭ５０、５１を含む同様な構成の全ＶＭに適切にバランシングする。ＩａａＳ機能が物理サーバ全体を１つのリソースとして取り扱うことから、ＣａａＳ機能は物理サーバも横断して全てのＶＭを１つのリソースとして取り扱う。つまり、ＣａａＳのサービスでは、基盤システム９に含まれる全てのＶＭが１つのリソースとして取り扱われる。

【0017】

ＶＭ５１はＶＭ５０と同様な構成であるため、ＶＭ５１についての説明は省略する。ＶＭ５０には、仮想ＮＩＣ６１と、ネットワーク機能部７０と、ブリッジ８１が存在する。仮想ＮＩＣ６１は、ＩａａＳ機能が分離したネットワークそれぞれに接続するためのＮＩＣである。すなわち、ＶＭ５１は、仮想ＮＩＣ６１を介して、ＩａａＳのサービスにより提供されたネットワークと接続する。ネットワーク機能部７０は、コンテナ９０、９１の通信の中継処理を行う処理部であり、コンテナオーケストレーションを実現するため等に用いられる。ブリッジ８１は、ＶＭ５０上で動作するコンテナ９０、９１とネットワーク機能部７０とを接続する仮想的なブリッジである。

【0018】

コンテナ９０、９１は仮想ＮＩＣ９０１を備えており、コンテナ９０、９１が起動される際、コンテナ９０、９１の仮想ＮＩＣ９０１がブリッジ８１に接続するように起動処理が行われる。コンテナ９０、９１にその他の仮想ＮＩＣ（例えば、図２に示す仮想ＮＩＣ９０２、９０３）を追加することも可能である。しかしながら、これらの仮想ＮＩＣは一般的には、ＣａａＳ機能であるネットワーク機能部７０とは接続されず、ユーザが自身でネットワーク構成を構築する必要がある。

【0019】

図２に示した比較例の構成では、ＶＭ５０内において、コンテナ９０（コンテナ９１）から、基盤システム９の外部への通信のルートは、一つである。同様に、図２に示した比較例の構成では、ＶＭ５０内において、基盤システム９の外部からコンテナ９０（コンテナ９１）への通信のルートは、一つである。

【0020】

次に、実施の形態にかかる基盤システム５について説明する。図３は、実施の形態にかかる基盤システム５の構成の一例を示すブロック図である。基盤システム５も、基盤システム９と同様、その構成は、ＣａａＳ基盤をＩａａＳ基盤上に構築する構成となっている。本実施の形態にかかる基盤システム５のコントローラ１０は、図１のコントローラ３に対応している。このため、コントローラ１０は、ＶＭの複数の仮想ＮＩＣのそれぞれがコンテナのいずれかの仮想ＮＩＣにつながる通信経路が構成されるよう制御する。以下、基盤システム５について説明するが、基盤システム９と同様の構成及び処理については、適宜説明を省略する。

【0021】

図３では、ネットワークとして、コンテナ間の通信用ネットワーク（後述する論理ネットワーク１０１）と、２種類の外部向けネットワーク（論理ネットワーク１０２、１０３）の、計３種類のネットワークが構成される場合の基盤システム５の例を示す。なお、ここでは、外部向けネットワークとして２種類のネットワークを想定しているが、外部向けネットワークの種類数に制限はない。

【0022】

図３に示すように、基盤システム５は、比較例の基盤システム９に対して、ロードバランサ２２、２３が追加されている。ロードバランサは構成したいネットワークの数だけ必要となる。ここでは、上述の通り３種類のネットワークが構成されているため、基盤システム５は、３つのロードバランサ２１、２２、２３を備える。すなわち、ロードバランサ２１、２２、２３は、それぞれ、異なるネットワークの負荷分散を行う。

【0023】

本実施の形態では、ＶＭ５０、５１は、ＶＭ５０ａ、５１ａに置き換わっている。ＶＭ５０ａ、５１ａは、図１のＶＭ２に対応している。このため、ＶＭ５０ａ、５１ａは、コンテナを実行するためのリソースを提供するＶＭであり、後述するように、異なる論理ネットワークに接続する複数の仮想ＮＩＣ６１、６２、６３を備えている。ＶＭ５１ａはＶＭ５０ａと同様な構成であるため、ＶＭ５１ａについての説明は省略する。ＶＭ５０ａは、図３に示すように、図２に示したＶＭ５０に対して、仮想ＮＩＣ６２、６３が追加されるとともに、それぞれの仮想ＮＩＣと対応するブリッジ８２、８３が追加されている。すなわち、ＶＭ５０ａは、仮想ＮＩＣ６１とこれに対応するブリッジ８１と、仮想ＮＩＣ６２とこれに対応するブリッジ８２と、仮想ＮＩＣ６３とこれに対応するブリッジ８３とを有している。仮想ＮＩＣ６１～６３と、ブリッジ８１～８３は、それぞれ、次のようなＩＰ（Internet Protocol）アドレスを持つ。すなわち、仮想ＮＩＣ及びブリッジの各ペアは、互いに異なるサブネットに所属するＩＰアドレスを持つ。つまり、仮想ＮＩＣ６１及びブリッジ８１は、第１のサブネットに所属しており、仮想ＮＩＣ６２及びブリッジ８２は、第２のサブネットに所属しており、仮想ＮＩＣ６３及びブリッジ８３は、第３のサブネットに所属している。

【0024】

ここで、本実施の形態では、一例として、ＩａａＳ機能により、図４のような論理ネットワークが構築されているものとする。すなわち、ＩａａＳのサービスにより、図４のような論理ネットワークが提供されている。具体的には、図４に示すように、論理ネットワーク１０１、１０２、１０３の３つ論理ネットワークが提供されている。論理ネットワーク１０１には、コントローラ１０と、ロードバランサ２１と、仮想ＮＩＣ６１とが接続している。また、必要に応じて、論理ネットワーク１０１には、外部の別のノード１１１が接続している。このように、仮想ＮＩＣ６１は、ＩａａＳ機能により作成された論理ネットワーク１０１を介して、ロードバランサ２１と接続しており、ロードバランサ２１配下のメンバの１つとして取り扱われる。ロードバランサ２１は、ＶＭが複数ある場合、適切に負荷分散を行う。また、論理ネットワーク１０２には、ロードバランサ２２と、仮想ＮＩＣ６２とが接続している。また、必要に応じて、論理ネットワーク１０２には、外部の別のノード１１２が接続している。このように、仮想ＮＩＣ６２は、ＩａａＳ機能により作成された論理ネットワーク１０２を介して、ロードバランサ２２と接続しており、ロードバランサ２２配下のメンバの１つとして取り扱われる。ロードバランサ２２は、ＶＭが複数ある場合、適切に負荷分散を行う。同様に、論理ネットワーク１０３には、ロードバランサ２３と、仮想ＮＩＣ６３とが接続している。また、必要に応じて、論理ネットワーク１０３には、外部の別のノード１１３が接続している。このように、仮想ＮＩＣ６３は、ＩａａＳ機能により作成された論理ネットワーク１０３を介して、ロードバランサ２３と接続しており、ロードバランサ２３配下のメンバの１つとして取り扱われる。ロードバランサ２３は、ＶＭが複数ある場合、適切に負荷分散を行う。

【0025】

これら３種類の論理ネットワーク１０１、１０２、１０３は、ＩａａＳ機能により、適切に分離させることができる。分離はＶＬＡＮ（Virtual Local Area Network）やＶＸＬＡＮ（Virtual eXtensible Local Area Network）による実装が一般的であるが、方式は問わない。

【0026】

ブリッジ８１～８３のサブネット及びＩＰアドレスは、コントローラ１０が管理し決定する。コントローラ１０がコンテナ９０、９１を起動する際、コントローラ１０は、コンテナ９０、９１がブリッジ８１～８３に接続する仮想ＮＩＣ９０１～９０３を内部に持つようにするとともに、それぞれにＩＰアドレスを割り振る。ここで、仮想ＮＩＣ９０１は、ブリッジ８１に接続するための仮想ＮＩＣであり、仮想ＮＩＣ９０２は、ブリッジ８２に接続するための仮想ＮＩＣであり、仮想ＮＩＣ９０３は、ブリッジ８３に接続するための仮想ＮＩＣである。また、コンテナ９０、９１は、デフォルトネットワークのブリッジのＩＰアドレスとして、ブリッジ８１のＩＰアドレスを用いるよう設定する。ネットワーク機能部７０はＮＡＴ（Network Address Translation）機能とＲｏｕｔｉｎｇ機能を持ち、送信元ＩＰアドレスや宛先ＩＰアドレスを用途に応じて変換する。その際、ネットワーク機能部７０は、必要に応じてコントローラ１０のＣａａＳコントローラ機能と連携して処理を行う。なお、ネットワーク機能部７０の上述した処理は、Ｌｉｎｕｘ（登録商標）の場合、例えばｉｐｔａｂｌｅｓによる実装が可能である。

【0027】

次に、図を参照しつつ、ＣａａＳ基盤外からコンテナへの通信方法、およびコンテナからＣａａＳ基盤外への通信方法を、コンテナ通信で一般的に用いられるＨＴＴＰ通信を例に説明する。

【0028】

まず、外部からコンテナへの通信について説明する。
図５は、図２で示した比較例にかかる基盤システム９において、外部からコンテナに対し通信する流れを示す図である。この流れは一般的なＣａａＳ基盤機能による通信の流れの１つであり、比較例及び本実施の形態においても、このような流れで通信が行われるものとして説明する。外部からコンテナ９０、９１へアクセスする際には、次のようにアクセスが行われる。すなわち、ＣａａＳ基盤（基盤システム９）の入り口を代表するロードバランサ２１のＩＰアドレスと、ＣａａＳ基盤（基盤システム９）内のアクセスしたい機能を特定するポート番号又はパス名とを指定してアクセスが行われる。ロードバランサ２１は、負荷分散のために、いずれかのＶＭ（ＶＭ５０又はＶＭ５１）に適切に負荷を振り分け、いずれかのＶＭの仮想ＮＩＣ６１へ通信を転送する。ネットワーク機能部７０はコントローラ１０から予め、ポート番号又はパス名がどのコンテナに対応するかを示す情報を与えられている。ネットワーク機能部７０は、要求されたサービスを提供できるコンテナに対する適切な負荷分散をふまえながら、通信の宛先としてコンテナ９０又は９１のいずれかのＩＰアドレスに宛先を変換する。これにより、ネットワーク機能部７０は、ブリッジ８１を通して最終的にコンテナ９０又は９１へと通信を到達させる。ＮＡＴ変換を利用しているため、折り返しの通信は適切に送信元へ戻すことができる。

【0029】

図６は、図３で示した実施の形態にかかる基盤システム５において、外部からコンテナに対し通信する流れを示す図である。なお、図６では、一例として、ロードバランサ２２を介してコンテナへ通信する例である。すなわち、図６は、図４に示した論理ネットワーク１０２と接続しているアクセス元からコンテナへの通信の流れを示している。

【0030】

基盤システム５において、ロードバランサ２１、仮想ＮＩＣ６１、ブリッジ８１を介した通信は、図５を参照した上記説明と同様に行われる。すなわち、論理ネットワーク１０１と接続しているアクセス元からコンテナへの通信は、仮想ＮＩＣ６１を介してネットワーク機能部７０に到達し、コントローラ１０により設定された情報に基づいてブリッジ８１を介してコンテナ９０又は９１に転送される。このとき、仮想ＮＩＣ９０１にアクセスされる。基盤システム５においては、同様の動作が、ロードバランサ２２、仮想ＮＩＣ６２、ブリッジ８２を介した通信でも行われる。すなわち、論理ネットワーク１０２と接続しているアクセス元からコンテナへの通信は、仮想ＮＩＣ６２を介してネットワーク機能部７０に到達し、コントローラ１０により設定された情報に基づいてブリッジ８２を介してコンテナ９０又は９１に転送される。このとき、仮想ＮＩＣ９０２にアクセスされる。さらに、基盤システム５においては、同様の動作が、ロードバランサ２３、仮想ＮＩＣ６３、ブリッジ８３を介した通信でも行われる。すなわち、論理ネットワーク１０３と接続しているアクセス元からコンテナへの通信は、仮想ＮＩＣ６３を介してネットワーク機能部７０に到達し、コントローラ１０により設定された情報に基づいてブリッジ８３を介してコンテナ９０又は９１に転送される。このとき、仮想ＮＩＣ９０３にアクセスされる。このため、本実施の形態では、仮想ＮＩＣ６１が通信を受信した場合だけでなく、仮想ＮＩＣ６２が受信した場合、及び、仮想ＮＩＣ６３が受信した場合でも、上述した転送が可能となるように、コントローラ１０は、設定を行う。つまり、コントローラ１０は、ＮＡＴ変換の定義情報、すなわち、ポート番号又はパス名とコンテナとの対応関係を示す情報を予めネットワーク機能部７０に与える。このようにして外部に提供するコンテナの機能をネットワークに紐づけることで、コンテナの機能毎にネットワークを分離することが可能となる。

【0031】

このように、本実施の形態では、コントローラ１０は、ＣａａＳ基盤（基盤システム５）の外部からコンテナへの通信が、コンテナの複数の仮想ＮＩＣのうち当該通信で用いられる論理ネットワークに対応する仮想ＮＩＣに転送されるように、ＮＡＴの設定を行う。これにより、外部からコンテナへの通信において、複数のネットワークを使い分けることができる。

【0032】

ここで、コントローラ１０は、特定のネットワークからアクセス不能となるように設定してもよい。これは、アクセスを禁止する経路については、コントローラ１０がネットワーク機能部７０にＮＡＴ変換のための情報を与えないことで、実現できる。例えばポート番号Ｘへのアクセスのうち、ロードバランサ２２を通した通信によるアクセスを不能としたい場合を考える。この場合、コントローラ１０が「宛先の仮想ＮＩＣ６２、ポート番号Ｘ」の通信をＮＡＴ変換する情報をネットワーク機能部７０に与えなければ、ロードバランサ２２が所属するネットワークからポートＸの機能へアクセスすることはできなくなる。

【0033】

このように、コントローラ１０は、ＣａａＳ基盤（基盤システム５）の外部からコンテナへの通信のうち、所定のアクセス先への通信についてアドレスの変換が行われないように、ＮＡＴの設定を行ってもよい。このようにすることで、特定のネットワークからのアクセスを不能とすることができる。

【0034】

次に、コンテナから外部への通信について説明する。
図７は、図２で示した比較例にかかる基盤システム９において、コンテナから外部に向けて通信する流れを示す図である。この流れも一般的なＣａａＳ基盤機能による通信の流れの１つであり、比較例及び本実施の形態においても、このような流れで通信が行われるものとして説明する。コンテナ９０からＣａａＳ基盤（基盤システム９）の外部、すなわちＣａａＳ基盤の内部に存在しないＩＰアドレスへ通信する場合、コンテナに設定されたデフォルトゲートウェイであるブリッジ８１に向けて通信が行われる。そして、ネットワーク機能部７０によって、送信元が仮想ＮＩＣ６１のＩＰアドレスに変更され、ＶＭから外部のＩＰアドレスに向けて通信が実施される。ＮＡＴ変換を利用しているため、折り返しの通信は適切に送信元へ戻すことができる。

【0035】

これに対し、本実施の形態にかかる基盤システム５においては、コンテナから外部へネットワークを使い分けて通信するために、コントローラ１０に次のような情報が予め登録されている。すなわち、コントローラ１０には、宛先のサブネットと、論理ネットワークとを対応付けた情報が予め登録されている。図８は、宛先のサブネットと論理ネットワークとを対応付けた情報の例を示す表である。図８に示した例では、外部の宛先のサブネットＡと、論理ネットワーク１０２とを対応付けており、外部の宛先のサブネットＢと、論理ネットワーク１０３とを対応付けており、外部の宛先のサブネットＣと、論理ネットワーク１０３とを対応付けている。コントローラ１０は、図８のような対応関係を示す情報を入力として受け取り、入力を受けたコントローラ１０はコンテナを起動する際に、宛先に対応するブリッジから通信が出ていくようにコンテナのルーティングテーブルを設定する。図９は、図８のような対応関係を示す情報がコントローラ１０に登録された場合に、コントローラ１０がコンテナの起動時に設定するルーティングテーブルの例を示している。図９に示すルーティングテーブルでは、外部の宛先のサブネットＡと、ブリッジ８２のＩＰアドレスとを対応付けている。また、このルーティングテーブルでは、外部の宛先のサブネットＢと、ブリッジ８３のＩＰアドレスとを対応付けており、外部の宛先のサブネットＣと、ブリッジ８３のＩＰアドレスとを対応付けている。これにより、例えば、外部への通信における宛先がサブネットＡに属している場合、コンテナ９０、９１からの当該宛先への通信は、仮想ＮＩＣ９０２及びブリッジ８２を介して、ネットワーク機能部７０に転送される。ネットワーク機能部７０には、コントローラ１０によって次のような設定が行われる。すなわち、ネットワーク機能部７０は、送信元のブリッジのサブネットに従い、送信元を、当該ブリッジに対応する仮想ＮＩＣ（すなわち、仮想ＮＩＣ６１、６２、又は６３のいずれか）のＩＰアドレスに変換するように設定されている。本実施の形態で示した例では、ブリッジ８１のサブネットは仮想ＮＩＣ６１のＩＰアドレスに、ブリッジ８２のサブネットは仮想ＮＩＣ６２のＩＰアドレスに、ブリッジ８３のサブネットは仮想ＮＩＣ６３のＩＰアドレスに変換するよう設定されている。

【0036】

図１０は、図３で示した実施の形態にかかる基盤システム５において、コンテナから外部へ通信する流れを示す図である。なお、図１０では、一例として、仮想ＮＩＣ６２に繋がるネットワークを通して外部へ通信する際の流れを示している。上述の通り、事前にルーティング設定が行われているため、コンテナ９０はブリッジ８２に向けて通信を行う。この際にネットワーク機能部７０は送信元を仮想ＮＩＣ６２のＩＰアドレスに変更し、ＶＭから外部のＩＰアドレスに向けて通信を実施する。

【0037】

このように、本実施の形態では、コントローラ１０は、コンテナからＣａａＳ基盤（基盤システム５）の外部への通信について、アクセス先に応じた論理ネットワークを使うようにルーティングの設定を行う。そして、コントローラ１０は、コンテナから外部への通信の送信元が、ＶＭの複数の仮想ＮＩＣのうち当該通信で用いられる論理ネットワークに接続する仮想ＮＩＣのアドレスになるように、ＮＡＴの設定を行う。これにより、コンテナから外部への通信において、複数のネットワークを使い分けることができる。

【0038】

ここで、コントローラ１０は、コンテナを外部ネットワークに接続させないように設定してもよい。具体的には、コントローラ１０が、コンテナ生成の際に、ネットワーク機能部７０に対し、特定のブリッジからの通信をＮＡＴしないように設定することで、コンテナを外部ネットワークに接続させないことが可能となる。例えば特定のコンテナを仮想ＮＩＣ６２と繋がるネットワークに接続させたくない場合は、そのコンテナのＩＰアドレスが送信元の場合に変換を行わずドロップさせるようにすることで、そのコンテナは仮想ＮＩＣ６２から出ていく通信が実施できないようになる。

【0039】

このように、コントローラ１０は、コンテナからＣａａＳ基盤（基盤システム５）の外部への通信のうち、所定の送信元の通信についてアドレスの変換が行われないように、ＮＡＴの設定を行ってもよい。このようにすることで、コンテナから外部への通信を制限することが可能となる。

【0040】

以上、実施の形態について説明した。上述した基盤システム５では、ＶＭの複数のインターフェースを使い分けることで、ＶＭ上で動作するコンテナは、通信に利用する論理ネットワークを使い分けることができる。
特に、基盤システム５によれば、ＣａａＳ基盤が実現するスケール性及び柔軟性を維持したまま、用途に応じたネットワーク分離が実現できる。この結果、外部通信は適切に分離され、また分離に用いられるヘッダを利用したパフォーマンスマネジメントなども実現が可能になる。例えば重要な通信を１つの論理ネットワークに通し、その論理ネットワークの優先度をＩａａＳでのレイヤの操作で最大にすることで、一部の通信のみを最優先で通すといったことが可能になる。その理由としては、既存技術であるコンテナオーケストレーションの機能によってコンテナのスケール性及び柔軟性を維持したまま、コンテナの通信のインターフェースをＩａａＳにより提供されるネットワークに接続する構成を取ったことにある。また、基盤システム５によれば、分離されたネットワークとコンテナの紐づけを行い、ネットワーク毎に接続可能なコンテナ実装機能を管理できる。その理由は、外部からＣａａＳ基盤に通信する際に用いられるＶＭの仮想ＮＩＣや、コンテナから外部へ通信する際に用いられるブリッジをネットワークごとに設けることで、それらのＩＰアドレスに基づいたアクセス管理ができるようになったことにある。

【0041】

なお、物理サーバ３０、３１、コントローラ１０、又はロードバランサ２１、２２、２３についての上述した機能（処理）は、例えば次のような構成を有するコンピュータ５００により実現されてもよい。

【0042】

図１１は、一例として、物理サーバ３０、３１、コントローラ１０、又はロードバランサ２１、２２、２３の処理を実現するコンピュータ５００の構成を示すブロック図である。図１１に示すように、コンピュータ５００は、メモリ５０１、及び、プロセッサ５０２を含む。

【0043】

メモリ５０１は、例えば、揮発性メモリ及び不揮発性メモリの組み合わせによって構成される。メモリ５０１は、プロセッサ５０２により実行される、１以上の命令を含むソフトウェア（コンピュータプログラム）などを格納するために使用される。

【0044】

プロセッサ５０２は、メモリ５０１からソフトウェア（コンピュータプログラム）を読み出して実行することで、物理サーバ３０、３１、コントローラ１０、又はロードバランサ２１、２２、２３の処理を行う。

【0045】

プロセッサ５０２は、例えば、マイクロプロセッサ、ＭＰＵ（Ｍｉｃｒｏ Ｐｒｏｃｅｓｓｏｒ Ｕｎｉｔ）、又はＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）などであってもよい。プロセッサ５０２は、複数のプロセッサを含んでもよい。

【0046】

なお、上述したプログラムは、様々なタイプの非一時的なコンピュータ可読媒体（ｎｏｎ－ｔｒａｎｓｉｔｏｒｙ ｃｏｍｐｕｔｅｒ ｒｅａｄａｂｌｅ ｍｅｄｉｕｍ）を用いて格納され、コンピュータに供給することができる。非一時的なコンピュータ可読媒体は、様々なタイプの実体のある記録媒体（ｔａｎｇｉｂｌｅ ｓｔｏｒａｇｅ ｍｅｄｉｕｍ）を含む。非一時的なコンピュータ可読媒体の例は、磁気記録媒体（例えばフレキシブルディスク、磁気テープ、ハードディスクドライブ）、光磁気記録媒体（例えば光磁気ディスク）、ＣＤ－ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）ＣＤ－Ｒ、ＣＤ－Ｒ／Ｗ、半導体メモリ（例えば、マスクＲＯＭ、ＰＲＯＭ（Ｐｒｏｇｒａｍｍａｂｌｅ ＲＯＭ）、ＥＰＲＯＭ（Ｅｒａｓａｂｌｅ ＰＲＯＭ）、フラッシュＲＯＭ、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ））を含む。また、プログラムは、様々なタイプの一時的なコンピュータ可読媒体（ｔｒａｎｓｉｔｏｒｙ ｃｏｍｐｕｔｅｒ ｒｅａｄａｂｌｅ ｍｅｄｉｕｍ）によってコンピュータに供給されてもよい。一時的なコンピュータ可読媒体の例は、電気信号、光信号、及び電磁波を含む。一時的なコンピュータ可読媒体は、電線及び光ファイバ等の有線通信路、又は無線通信路を介して、プログラムをコンピュータに供給できる。

【0047】

以上、実施の形態を参照して本願発明を説明したが、本願発明は上記によって限定されるものではない。本願発明の構成や詳細には、発明のスコープ内で当業者が理解し得る様々な変更をすることができる。

【0048】

上記の実施形態の一部又は全部は、以下の付記のようにも記載され得るが、以下には限られない。
（付記１）
複数の仮想ＮＩＣ（Network Interface Card）を有するコンテナを実行するためのリソースが実装され、異なる論理ネットワークに接続する複数の仮想ＮＩＣを備えたＶＭ（Virtual Machine）と、
前記ＶＭの複数の前記仮想ＮＩＣのそれぞれが前記コンテナのいずれかの前記仮想ＮＩＣにつながる通信経路が構成されるよう制御するコントローラと
を有する基盤システム。
（付記２）
前記コントローラは、前記基盤システムの外部から前記コンテナへの通信が、前記コンテナの複数の前記仮想ＮＩＣのうち当該通信で用いられる前記論理ネットワークに対応する前記仮想ＮＩＣに転送されるように、ＮＡＴ（Network Address Translation）の設定を行う
付記１に記載の基盤システム。
（付記３）
前記コントローラは、前記基盤システムの外部から前記コンテナへの通信のうち、所定のアクセス先への通信についてアドレスの変換が行われないように、前記ＮＡＴの設定を行う
付記２に記載の基盤システム。
（付記４）
前記コントローラは、
前記コンテナから前記基盤システムの外部への通信について、アクセス先に応じた前記論理ネットワークを使うようにルーティングの設定を行い、
前記コンテナから前記基盤システムの外部への通信の送信元が、前記ＶＭの複数の前記仮想ＮＩＣのうち当該通信で用いられる前記論理ネットワークに接続する前記仮想ＮＩＣのアドレスになるように、ＮＡＴの設定を行う
付記１に記載の基盤システム。
（付記５）
前記コントローラは、前記コンテナから前記基盤システムの外部への通信のうち、所定の送信元の通信についてアドレスの変換が行われないように、前記ＮＡＴの設定を行う
付記４に記載の基盤システム。
（付記６）
異なる論理ネットワークに接続する複数の仮想ＮＩＣを備えたＶＭが、複数の仮想ＮＩＣを有するコンテナを実行し、
コントローラが、前記ＶＭの複数の前記仮想ＮＩＣのそれぞれが前記コンテナのいずれかの前記仮想ＮＩＣにつながる通信経路が構成されるよう制御する
通信方法。

【符号の説明】

【0049】

１ 基盤システム
２ ＶＭ
３ コントローラ
５ 基盤システム
９ 基盤システム
１０ コントローラ
２１ ロードバランサ
２２ ロードバランサ
２３ ロードバランサ
３０ 物理サーバ
３１ 物理サーバ
４０ 仮想スイッチ
６１ 仮想ＮＩＣ
６２ 仮想ＮＩＣ
６３ 仮想ＮＩＣ
７０ ネットワーク機能部
８１ ブリッジ
８２ ブリッジ
８３ ブリッジ
９０ コンテナ
９１ コンテナ
１０１ 論理ネットワーク
１０２ 論理ネットワーク
１０３ 論理ネットワーク
１１１ ノード
１１２ ノード
１１３ ノード
５００ コンピュータ
５０１ メモリ
５０２ プロセッサ
９０１ 仮想ＮＩＣ
９０２ 仮想ＮＩＣ
９０３ 仮想ＮＩＣ

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】

【図9】

【図10】

【図11】