▶ オラクル・インターナショナル・コーポレイションの特許一覧
(19)【発行国】日本国特許庁(JP)
(12)【公報種別】公表特許公報(A)
(11)【公表番号】
(43)【公表日】2024-10-04
(54)【発明の名称】ドメイン内のエンティティのための複合認可
(51)【国際特許分類】
G06F 21/60 20130101AFI20240927BHJP
G06F 21/64 20130101ALI20240927BHJP
【ＦＩ】
G06F21/60 340
G06F21/64
【審査請求】未請求
【予備審査請求】未請求
(21)【出願番号】P 2024519652
(86)(22)【出願日】2022-09-30
(85)【翻訳文提出日】2024-04-18
(86)【国際出願番号】 US2022045348
(87)【国際公開番号】W WO2023055997
(87)【国際公開日】2023-04-06
(31)【優先権主張番号】63/250,805
(32)【優先日】2021-09-30
(33)【優先権主張国・地域又は機関】US
(81)【指定国・地域】
(71)【出願人】
【識別番号】502303739
【氏名又は名称】オラクル・インターナショナル・コーポレイション
(74)【代理人】
【識別番号】110001195
【氏名又は名称】弁理士法人深見特許事務所
(72)【発明者】
【氏名】ウィルソン，グレッグ・アラン
(72)【発明者】
【氏名】アンドリューズ，トーマス・ジェイムズ
(72)【発明者】
【氏名】コール，ゲイリー・フィリップ
(72)【発明者】
【氏名】ナガラジャ，ギリシュ
(72)【発明者】
【氏名】チャバ，バビタ
(57)【要約】
ドメイン内のエンティティのための複合認可のためのシステムおよび方法が説明される。一態様は方法に関する。本方法は、ユーザが第１のシステム内でアクションを取るための要求を受信することと、第１のシステムを用いてユーザによるアクションの第１の認可ステータスを決定することとを含むことができる。本方法は、第２のシステムを用いてユーザによるアクションの第２の認可ステータスを決定することと、第１の認可ステータスおよび第２の認可ステータスの結合を決定することと、第１の認可ステータスおよび第２の認可ステータスの結合を認可基準と比較することとを含むことができる。
【特許請求の範囲】
【請求項1】
ユーザが第１のシステム内でアクションを取るための要求を受信することと、前記第１のシステムを用いて前記ユーザによる前記アクションの第１の認可ステータスを決定することと、
第２のシステムを用いて前記ユーザによる前記アクションの第２の認可ステータスを決定することと、
前記第１の認可ステータスおよび前記第２の認可ステータスの結合を決定することと、
前記第１の認可ステータスおよび前記第２の認可ステータスの前記結合を認可基準と比較することとを含む方法。
【請求項2】
前記第１の認可ステータスおよび前記第２の認可ステータスの前記結合が前記認可基準に適合するときに、前記ユーザによる前記アクションを認めることをさらに含む、請求項１に記載の方法。
【請求項3】
前記第１の認可ステータスおよび前記第２の認可ステータスの前記結合が、前記ユーザが前記アクションを取るための前記第１のシステムおよび前記第２のシステムの各々からの認可を含むときに、前記第１の認可ステータスおよび前記第２の認可ステータスの前記結合は前記認可基準に適合する、請求項２に記載の方法。
【請求項4】
前記第１の認可ステータスおよび前記第２の認可ステータスの前記結合が、前記ユーザが前記アクションを取るための前記第１のシステムおよび前記第２のシステムのうちの少なくとも一方からの認可を含むときに、前記ユーザによる前記アクションを認めることをさらに含む、請求項２に記載の方法。
【請求項5】
前記第１の認可ステータスおよび前記第２の認可ステータスの前記結合が前記認可基準に適合しないときに、前記ユーザによる前記アクションを拒否することをさらに含む、請求項１に記載の方法。
【請求項6】
前記第１の認可ステータスおよび前記第２の認可ステータスの前記結合が前記第１のシステムおよび前記第２のシステムのうちの少なくとも一方からの認可の拒否を含むときに、前記第１の認可ステータスおよび前記第２の認可ステータスの前記結合は前記認可基準に適合しない、請求項５に記載の方法。
【請求項7】
前記第１のシステムはロールベースアクセス制御（ＲＢＡＣ）システムを含み、前記第２のシステムは属性ベースアクセス制御（ＡＢＡＣ）システムを含む、請求項１に記載の方法。
【請求項8】
前記ユーザが前記第１のシステム内で前記アクションを取るための前記要求を受信することは、前記第１のシステムに関連付けられた第１のアプリケーションからの署名付き要求を受信することを含む、請求項７に記載の方法。
【請求項9】
前記ユーザが前記第１のシステム内で前記アクションを取るための前記要求を受信することは、前記第１のアプリケーション、前記ユーザ、前記アクション、および前記アクションによって影響を受けることになるエンドポイントを識別する情報を受信することを含む、請求項８に記載の方法。
【請求項10】
前記第１のシステムは前記署名付き要求の有効性を検証し、前記受信された署名付き要求、および前記受信された情報のうちの少なくとも一方に基づいて前記第２のシステムを用いて関係プリンシパルを導出する、請求項９に記載の方法。
【請求項11】
前記署名付き要求の有効性を検証することは、前記第２のシステムがデータプレーンからの公開鍵を要求して受信することと、前記公開鍵を用いて前記署名付き要求の有効性を検証することとを含む、請求項１０に記載の方法。
【請求項12】
前記第１のシステムを用いて前記ユーザによる前記アクションの前記第１の認可ステータスを決定することは、前記関係プリンシパルのドメイン固有認可を決定することを含む、請求項１１に記載の方法。
【請求項13】
前記関係プリンシパルの前記ドメイン固有認可は前記第１のシステムの認可ポリシーに従って決定される、請求項１２に記載の方法。
【請求項14】
前記第１のシステムを用いて前記ユーザによる前記アクションの前記第１の認可ステータスを決定することは、前記第１のシステムの認可ポリシーに従ってアクションを取るための前記要求を評価することを含み、前記第２のシステムを用いて前記ユーザによる前記アクションの前記第２の認可ステータスを決定することは、前記受信された情報に少なくとも部分的に基づいて前記第１のシステムの前記認可ポリシーを前記第２のシステムの対応する認可ポリシーに対応付けることを含む、請求項１０に記載の方法。
【請求項15】
前記第１のシステムの認可ポリシーに従ってアクションを取るための前記要求を評価することは、前記ユーザのロールおよび前記ユーザのドメインを識別することと、前記ユーザの前記ロールおよび前記ユーザの前記ドメインに関連付けられた許可を検索することと、前記受信された情報が前記検索された許可によって認められるアクションを識別すると決定することとを含む、請求項１４に記載の方法。
【請求項16】
前記第２のシステムを用いて前記ユーザによる前記アクションの前記第２の認可ステータスを決定することは、前記ユーザのプリンシパルを決定することと、前記受信された要求に関連するアクセスポリシーを検索することと、前記受信された要求が前記検索されたアクセスポリシーによって認められるアクションを識別すると決定することとをさらに含む、請求項１５に記載の方法。
【請求項17】
システムであって、前記システムは、第１のアクセス制御システムを備え、前記第１のアクセス制御システムは、
少なくとも１つの第１のプロセッサと、
前記少なくとも１つの第１のプロセッサによって実行可能な複数の命令を含むメモリとを含み、
前記システムは、
第２のアクセス制御システムをさらに備え、前記第２のアクセス制御システムは、要求されたユーザアクションのための第２の認可ステータスを決定するように構成されており、
前記第１のアクセス制御システムは、
ユーザが前記第１のアクセス制御システム内でアクションを取るための要求を受信することと、
前記ユーザによる前記アクションの第１の認可ステータスを決定することと、
前記第２のシステムからの前記アクションのための認可情報を受信することと、
前記第１の認可ステータスおよび前記第２の認可ステータスの結合を決定することと、
前記第１の認可ステータスおよび前記第２の認可ステータスの前記結合を認可基準と比較することとを行うように構成されている、システム。
【請求項18】
前記ユーザが前記第１のシステム内で前記アクションを取るための前記要求を受信することは、前記第１のシステムに関連付けられた第１のアプリケーションからの署名付き要求を受信することと、前記第１のアプリケーション、前記ユーザ、前記アクション、および前記アクションによって影響を受けることになるエンドポイントを識別する情報を受信することとを含み、前記第１のシステムは前記署名付き要求の有効性を検証し、前記受信された署名付き要求、および前記受信された情報のうちの少なくとも一方に基づいて前記第２のシステムを用いて関係プリンシパルを導出する、請求項１７に記載のシステム。
【請求項19】
１つまたは複数のプロセッサによって実行可能な複数の命令を記憶する非一時的コンピュータ可読記憶媒体であって、前記複数の命令は、前記１つまたは複数のプロセッサによって実行されると、前記１つまたは複数のプロセッサに、ユーザが第１のシステム内でアクションを取るための要求を受信することと、
前記第１のシステムを用いて前記ユーザによる前記アクションの第１の認可ステータスを決定することと、
第２のシステムを用いて前記ユーザによる前記アクションの第２の認可ステータスを決定することと、
前記第１の認可ステータスおよび前記第２の認可ステータスの結合を決定することと、
前記第１の認可ステータスおよび前記第２の認可ステータスの前記結合を認可基準と比較することとを行わせる、非一時的コンピュータ可読記憶媒体。
【請求項20】
前記ユーザが前記第１のシステム内で前記アクションを取るための前記要求を受信することは、前記第１のシステムに関連付けられた第１のアプリケーションからの署名付き要求を受信することと、前記第１のアプリケーション、前記ユーザ、前記アクション、および前記アクションによって影響を受けることになるエンドポイントを識別する情報を受信することとを含み、前記第１のシステムは前記署名付き要求の有効性を検証し、前記受信された署名付き要求、および前記受信された情報のうちの少なくとも一方に基づいて前記第２のシステムを用いて関係プリンシパルを導出する、請求項１９に記載の非一時的コンピュータ可読記憶媒体。
【発明の詳細な説明】
【技術分野】
【0001】
関連出願の相互参照
本出願は、２０２１年９月３０日に出願され、「Combined Authorization for Entities Within a Domain」と題する、米国仮特許出願第６３／２５０，８０５号の利益を主張する。同出願の全体は本明細書において参照により組み込まれる。
本出願は、２０２１年９月３０日に出願され、「Combined Authorization for Entities Within a Domain」と題する、米国仮特許出願第６３／２５０，８０５号の利益を主張する。同出願の全体は本明細書において参照により組み込まれる。
【背景技術】
【0002】
背景
クラウドサービスの採用が、近年、急速に増加している。現在、異なるクラウドサービスプロバイダ（ＣＳＰ：cloud service provider）によって様々なタイプのクラウドサービスが提供されている。用語、クラウドサービスは、概して、ＣＳＰによって提供されるシステムおよびインフラストラクチャ（一般的にクラウドインフラストラクチャと称される）を用いて、通例、サブスクリプションモデルを利用して、ＣＳＰによって加入顧客にオンデマンドで利用可能にされるサービスまたは機能性を指すために使用される。通例、クラウドサービスを加入顧客に提供するために用いられるＣＳＰによって提供されるクラウドインフラストラクチャに含まれるサーバおよびシステムは、顧客自身のオンプレミスサーバおよびシステムとは別個のものである。ＣＳＰによって提供されるインフラストラクチャは、計算、記憶、およびネットワーキングリソースを含むことができる。それゆえ、顧客は、自分自身のハードウェアおよびソフトウェアリソースをサービスのために購入することを必要とすることなく、ＣＳＰによって提供されるクラウドサービスを利用することができる。クラウドサービスは、顧客が、サービスまたは機能を提供するためのインフラストラクチャの調達に投資する必要のない、アプリケーションおよびコンピューティングリソースへの、容易で、スケーラブルな、オンデマンドアクセスを加入顧客に提供するように設計されている。ソフトウェア・アズ・ア・サービス（ＳａａＳ：Software-as-a-Service）、プラットフォーム・アズ・ア・サービス（ＰａａＳ：Platform-as-a-Service）、インフラストラクチャ・アズ・ア・サービス（ＩａａＳ：Infrastructure-as-a-Service）、および他のものなどの、様々な種類またはモデルのクラウドサービスが提供され得る。顧客は、ＣＳＰによって提供される１つまたは複数のクラウドサービスに加入することができる。顧客は、個人、組織、企業、および同様のものなどの任意のエンティティであることができる。
クラウドサービスの採用が、近年、急速に増加している。現在、異なるクラウドサービスプロバイダ（ＣＳＰ：cloud service provider）によって様々なタイプのクラウドサービスが提供されている。用語、クラウドサービスは、概して、ＣＳＰによって提供されるシステムおよびインフラストラクチャ（一般的にクラウドインフラストラクチャと称される）を用いて、通例、サブスクリプションモデルを利用して、ＣＳＰによって加入顧客にオンデマンドで利用可能にされるサービスまたは機能性を指すために使用される。通例、クラウドサービスを加入顧客に提供するために用いられるＣＳＰによって提供されるクラウドインフラストラクチャに含まれるサーバおよびシステムは、顧客自身のオンプレミスサーバおよびシステムとは別個のものである。ＣＳＰによって提供されるインフラストラクチャは、計算、記憶、およびネットワーキングリソースを含むことができる。それゆえ、顧客は、自分自身のハードウェアおよびソフトウェアリソースをサービスのために購入することを必要とすることなく、ＣＳＰによって提供されるクラウドサービスを利用することができる。クラウドサービスは、顧客が、サービスまたは機能を提供するためのインフラストラクチャの調達に投資する必要のない、アプリケーションおよびコンピューティングリソースへの、容易で、スケーラブルな、オンデマンドアクセスを加入顧客に提供するように設計されている。ソフトウェア・アズ・ア・サービス（ＳａａＳ：Software-as-a-Service）、プラットフォーム・アズ・ア・サービス（ＰａａＳ：Platform-as-a-Service）、インフラストラクチャ・アズ・ア・サービス（ＩａａＳ：Infrastructure-as-a-Service）、および他のものなどの、様々な種類またはモデルのクラウドサービスが提供され得る。顧客は、ＣＳＰによって提供される１つまたは複数のクラウドサービスに加入することができる。顧客は、個人、組織、企業、および同様のものなどの任意のエンティティであることができる。
【0003】
ＣＳＰによって提供される異なるサービスは異なる認可プロセスおよび異なる許可を有し得る。場合によっては、これらの異なる認可プロセスおよび許可は不満足な顧客体験をもたらし得る。したがって、さらなる改善が望まれる。
【発明の概要】
【課題を解決するための手段】
【0004】
概要
本開示の態様は複合認可のためのシステムおよび方法に関する。一態様は方法に関する。本方法は、ユーザが第１のシステム内でアクションを取るための要求を受信することと、第１のシステムを用いてユーザによるアクションの第１の認可ステータスを決定することと、第２のシステムを用いてユーザによるアクションの第２の認可ステータスを決定することと、第１の認可ステータスおよび第２の認可ステータスの結合を決定することと、第１の認可ステータスおよび第２の認可ステータスの結合を認可基準と比較することとを含むことができる。
本開示の態様は複合認可のためのシステムおよび方法に関する。一態様は方法に関する。本方法は、ユーザが第１のシステム内でアクションを取るための要求を受信することと、第１のシステムを用いてユーザによるアクションの第１の認可ステータスを決定することと、第２のシステムを用いてユーザによるアクションの第２の認可ステータスを決定することと、第１の認可ステータスおよび第２の認可ステータスの結合を決定することと、第１の認可ステータスおよび第２の認可ステータスの結合を認可基準と比較することとを含むことができる。
【0005】
実施形態によっては、本方法は、第１の認可ステータスおよび第２の認可ステータスの結合が認可基準に適合するときに、ユーザによるアクションを認めることをさらに含む。実施形態によっては、第１の認可ステータスおよび第２の認可ステータスの結合が、ユーザがアクションを取るための第１のシステムおよび第２のシステムの各々からの認可を含むときに、第１の認可ステータスおよび第２の認可ステータスの結合は認可基準に適合する。実施形態によっては、本方法は、第１の認可ステータスおよび第２の認可ステータスの結合が、ユーザがアクションを取るための第１のシステムおよび第２のシステムのうちの少なくとも一方からの認可を含むときに、ユーザによるアクションを認めることをさらに含む。
【0006】
実施形態によっては、本方法は、第１の認可ステータスおよび第２の認可ステータスの結合が認可基準に適合しないときに、ユーザによるアクションを拒否することを含む。実施形態によっては、第１の認可ステータスおよび第２の認可ステータスの結合が第１のシステムおよび第２のシステムのうちの少なくとも一方からの認可の拒否を含むときに、第１の認可ステータスおよび第２の認可ステータスの結合は認可基準に適合しない。
【0007】
実施形態によっては、第１のシステムはロールベースアクセス制御（ＲＢＡＣ：role-based access control）システムであり、第２のシステムは属性ベースアクセス制御（ＡＢＡＣ：attribute-based access control）システムである。実施形態によっては、ユーザが第１のシステム内でアクションを取るための要求を受信することは、第１のシステムに関連付けられた第１のアプリケーションからの署名付き要求を受信することを含む。実施形態によっては、ユーザが第１のシステム内でアクションを取るための要求を受信することは、第１のアプリケーション、ユーザ、アクション、およびアクションによって影響を受けることになるエンドポイントを識別する情報を受信することを含む。
【0008】
実施形態によっては、第１のシステムは署名付き要求の有効性を検証し、受信された署名付き要求、および受信された情報のうちの少なくとも一方に基づいて第２のシステムを用いて関係プリンシパルを導出する。実施形態によっては、署名付き要求の有効性を検証することは、第２のシステムがデータプレーンからの公開鍵を要求して受信することと、公開鍵を用いて署名付き要求の有効性を検証することとを含む。実施形態によっては、第１のシステムを用いてユーザによるアクションの第１の認可ステータスを決定することは、関係プリンシパルのドメイン固有認可を決定することを含む。実施形態によっては、関係プリンシパルのドメイン固有認可は第１のシステムの認可ポリシーに従って決定される。
【0009】
実施形態によっては、第１のシステムを用いてユーザによるアクションの第１の認可ステータスを決定することは、第１のシステムの認可ポリシーに従ってアクションを取るための要求を評価することを含む。実施形態によっては、第２のシステムを用いてユーザによるアクションの第２の認可ステータスを決定することは、受信された情報に少なくとも部分的に基づいて第１のシステムの認可ポリシーを第２のシステムの対応する認可ポリシーに対応付けることを含む。実施形態によっては、第１のシステムの認可ポリシーに従ってアクションを取るための要求を評価することは、ユーザのロールおよびユーザのドメインを識別することと、ユーザのロールおよびユーザのドメインに関連付けられた許可を検索することと、受信された情報が検索された許可によって認められるアクションを識別すると決定することとを含む。実施形態によっては、第２のシステムを用いてユーザによるアクションの第２の認可ステータスを決定することは、ユーザのプリンシパルを決定することと、受信された要求に関連するアクセスポリシーを検索することと、受信された要求が、検索されたアクセスポリシーによって認められるアクションを識別すると決定することとをさらに含む。
【0010】
一態様はシステムに関する。システムは、少なくとも１つの第１のプロセッサを含む第１のアクセス制御システムと、少なくとも１つの第１のプロセッサによって実行可能な複数の命令を含むメモリと、を含む。システムは、要求されたユーザアクションのための第２の認可ステータスを決定することができる第２のアクセス制御システムを含む。第１のアクセス制御システムは、ユーザが第１のアクセス制御システム内でアクションを取るための要求を受信することと、ユーザによるアクションの第１の認可ステータスを決定することと、第２のシステムからのアクションのための認可情報を受信することと、第１の認可ステータスおよび第２の認可ステータスの結合を決定することと、第１の認可ステータスおよび第２の認可ステータスの結合を認可基準と比較することと、を行うことができる。
【0011】
実施形態によっては、ユーザが第１のシステム内でアクションを取るための要求を受信することは、第１のシステムに関連付けられた第１のアプリケーションからの署名付き要求を受信することを含む。実施形態によっては、ユーザが第１のシステム内でアクションを取るための要求を受信することは、第１のアプリケーション、ユーザ、アクション、およびアクションによって影響を受けることになるエンドポイントを識別する情報を受信することを含む。実施形態によっては、第１のシステムは署名付き要求の有効性を検証し、受信された署名付き要求、および受信された情報のうちの少なくとも一方に基づいて第２のシステムを用いて関係プリンシパルを導出する。
【0012】
一態様は、１つまたは複数のプロセッサによって実行可能な複数の命令を記憶する非一時的コンピュータ可読記憶媒体に関する。１つまたは複数のプロセッサによって実行されると、複数の命令は、１つまたは複数のプロセッサに、ユーザが第１のシステム内でアクションを取るための要求を受信することと、第１のシステムを用いてユーザによるアクションの第１の認可ステータスを決定することと、第２のシステムを用いてユーザによるアクションの第２の認可ステータスを決定することと、第１の認可ステータスおよび第２の認可ステータスの結合を決定することと、第１の認可ステータスおよび第２の認可ステータスの結合を認可基準と比較することと、を行わせる。
【0013】
実施形態によっては、ユーザが第１のシステム内でアクションを取るための要求を受信することは、第１のシステムに関連付けられた第１のアプリケーションからの署名付き要求を受信することを含む。実施形態によっては、ユーザが第１のシステム内でアクションを取るための要求を受信することは、第１のアプリケーション、ユーザ、アクション、およびアクションによって影響を受けることになるエンドポイントを識別する情報を受信することを含む。実施形態によっては、第１のシステムは署名付き要求の有効性を検証し、受信された署名付き要求、および受信された情報のうちの少なくとも一方に基づいて第２のシステムを用いて関係プリンシパルを導出する。
【図面の簡単な説明】
【0014】
【図1】ドメイン内のエンティティのための複合認可のためのシステムの一実施形態の概略図である。
【図2】ドメイン内のエンティティのための複合認可のためのプロセスの一実施形態を示すフローチャートである。
【図3】ドメイン内のエンティティのための複合認可のためのプロセスの別の実施形態を示すフローチャートである。
【図4】少なくとも１つの実施形態に係る、クラウド・インフラストラクチャ・アズ・ア・サービス・システムを実施するための１つのパターンを示すブロック図である。
【図5】少なくとも１つの実施形態に係る、クラウド・インフラストラクチャ・アズ・ア・サービス・システムを実施するための別のパターンを示すブロック図である。
【図6】少なくとも１つの実施形態に係る、クラウド・インフラストラクチャ・アズ・ア・サービス・システムを実施するための別のパターンを示すブロック図である。
【図7】少なくとも１つの実施形態に係る、クラウド・インフラストラクチャ・アズ・ア・サービス・システムを実施するための別のパターンを示すブロック図である。
【図8】少なくとも１つの実施形態に係る、例示的なコンピュータシステムを示すブロック図である。
【発明を実施するための形態】
【0015】
詳細な説明
以下の説明では、説明の目的上、一部の実施形態の完全な理解を与えるために、具体的詳細が説明される。しかし、様々な実施形態はこれらの具体的詳細を有せずに実施され得ることは明らかであろう。図および説明は限定であることを意図されていない。単語「例示的（exemplary）」は、本明細書において、「例、実例、または例示の役割を果たすこと」を意味するように使用される。本明細書において「例示的」として説明される任意の実施形態または設計は、必ずしも、他の実施形態または設計に対して好ましい、または有利であると解釈されるべきではない。
以下の説明では、説明の目的上、一部の実施形態の完全な理解を与えるために、具体的詳細が説明される。しかし、様々な実施形態はこれらの具体的詳細を有せずに実施され得ることは明らかであろう。図および説明は限定であることを意図されていない。単語「例示的（exemplary）」は、本明細書において、「例、実例、または例示の役割を果たすこと」を意味するように使用される。本明細書において「例示的」として説明される任意の実施形態または設計は、必ずしも、他の実施形態または設計に対して好ましい、または有利であると解釈されるべきではない。
【0016】
本開示は、概して、クラウドコンピューティングに関し、詳細には、認可および許可に関し、詳細には、ドメイン内のエンティティのための複合認可に関する。
【0017】
ＣＳＰは、クラウドサービスを加入顧客に提供するために用いられるインフラストラクチャおよびリソースを提供する。ＣＳＰによって提供されるリソースはハードウェアおよびソフトウェアリソースを含むことができる。これらのリソースは、例えば、計算リソース（例えば、コンピュータシステム、仮想機械、コンテナ、アプリケーション、プロセッサ）、メモリリソース（例えば、データベース、データストア）、ネットワーキングリソース（例えば、ルータ、ロードバランサ）、アイデンティティおよびアクセス管理リソース、ならびに他のリソースを含むことができる。クラウドサービスのセットを加入顧客に提供するためにＣＳＰによって提供されるリソースは、通例、データセンターに編成され、各データセンターは１つまたは複数のコンピューティングシステムまたはホストマシンを備える。データセンターは、クラウドサービスの特定のセットを提供するように構成され得る。ＣＳＰは、データセンターに、クラウドサービスのその特定のセットを提供するために用いられる計算、メモリ、ならびにネットワーキングおよびリソースを備え、データセンターを構成する任務を負う。ＣＳＰは、加入顧客の数に応じて、および顧客の場所に基づいて１つまたは複数のデータセンターを提供し得る。
【0018】
ＣＳＰによって提供されるデータセンターは異なる地理的リージョン内でホストされ得る。リージョンは特定の地理的領域を指し得、リージョン名によって識別され得る。リージョンは、概して、互いに独立しており、国、またはさらに、大陸を越えるなど、膨大な距離によって隔てられ得る。ＣＳＰのためのリージョンの例は、米国西部、米国東部、オーストラリア東部、オーストラリア南東部、および同様のものを含み得る。一部の実装形態では、リージョンの集合はレルムと称される。レルムは１つまたは複数のリージョンを含むことができる。したがって、ＣＳＰは、１つまたは複数のリージョンを含むレルムを提供し得、各リージョンは１つまたは複数のデータセンターを含む。
【0019】
それゆえ、各データセンターはリージョンに関連付けられる。ＣＳＰはリージョン内に１つまたは複数のデータセンターをデプロイし得、データセンターはリージョン内の何らかのとある地理的領域（例えば、都市）内に配置される。例えば、特定のＣＳＰは、米国西部リージョン、米国東部リージョン、オーストラリア東部リージョン、オーストラリア南東部リージョン、および同様のものなどの複数のリージョンを有し得る。ＣＳＰは、リージョン内の都市内など、各リージョン内に１つまたは複数のデータセンターをデプロイし得る。例えば、米国西部リージョンのための１つまたは複数のデータセンターはサンノゼ、カリフォルニア内に配置され得、米国東部リージョンのためのデータセンターはアッシュバーン、バージニア内に配置され得、オーストラリア東部リージョンのための１つまたは複数のデータセンターはシドニー、オーストラリア内に配置され得、オーストラリア南東部リージョンのための１つまたは複数のデータセンターはメルボルン、オーストラリア内に配置され得る、などする。２つの異なるリージョン内のデータセンターは、クラウドサービスおよびリソースの同じまたは異なるセットを加入顧客に提供し得る。
【0020】
一部の実装形態では、高い可用性を顧客に提供するために、および障害回復の目的のために、リージョン内のデータセンターは１つまたは複数の可用性ドメインにさらに編成され得、可用性ドメインは１つまたは複数のデータセンターを含む。リージョン内の可用性ドメインは互いに隔離され、フォールトトレラントにされ、リージョン内の複数の可用性ドメイン内のデータセンターが同時に障害を起こす可能性が極めて低くなるような仕方で設計される。例えば、リージョン内の可用性ドメインは、リージョン内の１つの可用性ドメインにおける障害が同じリージョン内の他の可用性ドメイン内のデータセンターの可用性に影響を及ぼす可能性が低くなるように構造化され得る。
【0021】
クラウドサービスプロバイダ（ＣＳＰ）は複数のクラウドサービスを加入顧客に提供し得る。これらのサービスは、ソフトウェア・アズ・ア・サービス（ＳａａＳ）、プラットフォーム・アズ・ア・サービス（ＰａａＳ）、インフラストラクチャ・アズ・ア・サービス（ＩａａＳ）モデル、および他のものを含む異なるモデルの下で提供され得る。
【0022】
クラウド環境内では、概して、クラウドサービスによって提供される、または用いられるリソースへのユーザアクセスを制御するためのアイデンティティ管理システムがＣＳＰによって提供される。アイデンティティ管理システムによって提供される典型的なサービスまたは機能は、限定するものではないが、ユーザのためのシングルサインオン能力、認証および認可サービス、ならびに他のアイデンティティベースのサービスを含む。
【0023】
アイデンティティ管理システムによって保護されるリソースは、計算インスタンス、ブロックストレージボリューム、仮想クラウドネットワーク（ＶＣＮ：virtual cloud network）、サブネット、ルート表、様々な呼び出し可能なＡＰＩ、内部もしくはレガシーアプリケーション、および同様のものなどの、異なる種類のものであることができる。これらのリソースは、クラウドおよび／または顧客オンプレミスリソース内に記憶されたリソースを含む。各リソースは、通例、リソースが作成された際にリソースに割り当てられる一意識別子（例えば、ＩＤ）によって識別される。
【0024】
ＣＳＰは、それらのクラウド提供のための２つ以上の２つの別個の独立したアイデンティティ管理システムを提供し得る。これは、例えば、ＣＳＰによって提供されるＩａａＳアプリケーションおよびサービスのためのクラウドリソースへのアクセスを制御するために、第１のアイデンティティ管理システムまたはプラットフォーム（例えば、インフラストラクチャアイデンティティおよびアクセス管理（ＩＡＭ：Infrastructure Identity and Access Management））が提供され得る場合に行われ得る。別個に、ＣＳＰによって提供されるＳａａＳおよびＰａａＳサービスのためのセキュリティおよびアイデンティティ管理のために、第２のアイデンティティ管理システムまたはプラットフォーム（例えば、アイデンティティクラウドサービス（ＩＤＣＳ：Identity Cloud Service））が提供され得る。
【0025】
このような２つの別個のプラットフォームを提供する結果、ＣＳＰの顧客が、ＣＳＰによって提供されるＳａａＳもしくはＰａａＳサービスおよびＩａａＳサービスの両方に加入している場合、顧客は、現在、２つの別個のアカウント －－ ＩａａＳ加入のためのＩＡＭを有する１つのアカウント、およびＰａａＳ／ＳａａＳ加入のためのＩＤＣＳを有する別個のアカウント －－ を有する。各アカウントは、ユーザログイン、パスワード等の、それ自体のクレデンシャルを有する。それゆえ、同じ顧客が２つの別個のクレデンシャルセットを有する。顧客は２つの異なるクレデンシャルセットを維持しなければならないため、およびクレデンシャルは２つのシステム内に維持されるため、これは不満足な顧客体験をもたらし、セキュリティリスクを潜在的に増大させる。加えて、２つの別個のアイデンティティ管理システムを有することは、ＳａａＳ／ＰａａＳとＩａａＳサービスとの間の相互作用にとっての障害をも生み出す。
【0026】
本出願の目的のために、および例として、２つのプラットフォームはＩＡＭおよびＩＤＣＳと称される。これらの名称および用語はいかなる様態でも限定であることを意図されない。本明細書において説明される開示は、統合されるべき任意の２つの（またはそれを超える）アイデンティティ管理システムに適用される。アイデンティティ管理システムまたはプラットフォームは１つまたは複数のＣＳＰによって提供され得る。
【0027】
一部の実施形態では、２つの別個の（例えば、ＩＡＭおよびＩＤＣＳ）プラットフォームによって提供される様々な特徴および機能性を保持し、提供しつつ、ＣＳＰによって提供される複数のアイデンティティ管理プラットフォーム（例えば、ＩＡＭおよびＩＤＣＳプラットフォーム）を、クラウドサービスのユーザまたは顧客に透明である仕方で統合する、統合アイデンティティ管理プラットフォームが提供される。それゆえ、統合は、より途切れのない向上したユーザ体験を提供する。
【0028】
しかし、２つのプラットフォームは、アイデンティティ関連機能を実施するための異なる手続きおよびプロトコルを用い得るため、この統合は技術的に非常に困難である。ＩＡＭは、例えば、多くの異なる属性を評価することができる複雑なブールルールセットを表現するポリシーの使用を通じてアクセス権がユーザに認められるアクセス制御パラダイムを規定する、ポリシーベースアクセス制御システムとしても知られる、属性ベースアクセス制御（ＡＢＡＣ）システムであり得る。ＡＢＡＣの目的は、無認可のユーザおよびアクション － 組織のセキュリティポリシーによって規定されたとおりの「承認された」特性を有しないもの － から、データ、ネットワークデバイス、およびＩＴリソースなどのオブジェクトを保護することである。他方で、ＩＤＣＳは、ロールおよび特権の周辺で規定されたポリシー中立的なアクセス制御機構であるロールベースアクセス制御（ＲＢＡＣ）システムであり得る。ロール許可、ユーザ－ロールおよびロール－ロール関係などのＲＢＡＣの構成要素は、ユーザ割り当ての遂行を簡単にする。さらに別の例として、２つのプラットフォームによって用いられる認証および認可フレームワークまたはワークフロー（例えば、用いられるトークンの種類、ＯＡＵＴＨなどの異なる認証フレームワーク等）は異なり得る。したがって、統合されたソリューションを提供することは技術的に非常に困難である。
【0029】
この問題を解決するために、ドメイン内のエンティティのための複合認可が開発された。ドメイン内のエンティティのためのこの複合認可はＩＡＭの認可およびＩＤＣＳの認可を複合することができる。ドメイン内のエンティティのための複合認可は、異なるシステム内のユーザのための認可に不一致があるときに生じる問題を回避する。これは、例えば、第１のシステム内のユーザが、その第１のシステム内のとある権限を与えられたロールに割り当てられ、それに対して、そのユーザは第２のシステム内のプリンシパルでもあり、第２のシステム内のとある権限を与えられているときを含むことができる。ドメイン内のエンティティのための複合認可は、何らかのアクションを遂行するためのユーザからの要求を受信し、次に、第１のシステムによって、ユーザはそのアクションを遂行することを認可されるかどうかを決定し、次に、第２のシステム内で、ユーザはそのアクションを遂行することを認可されるかどうかを決定する。第１のシステムおよび第２のシステムのための認可情報を受信すると、その認可情報の結合が決定され、次に、１つまたはいくつかの認可基準と比較され得る。１つまたはいくつかの認可基準とのこの比較に基づいて、ユーザは、要求されたアクションを取ることを認められるか、または要求されたアクションを取ることを阻止される。
【0030】
ドメイン内のエンティティのための複合認可は、第１および第２のシステムの両方からの許可を利用し、それらの許可の結合を決定するため、複数の別個の認可に付随する問題およびそれらの認可における食い違いが是正される。
【0031】
用語「データセンター」は、本開示で使用するとき、連携してデータセンターを実施するために用いられる１つまたは複数のコンピュータシステムを指す。例えば、ホームリージョンデータセンターは、ホームリージョン内のデータセンターを実施するために用いられる１つまたは複数のコンピュータシステムを指す。例えば、グローバルリージョンデータセンターは、グローバルリージョンデータセンターを実施するために用いられる１つまたは複数のコンピュータシステムを指す。データセンターを構成するコンピュータシステムは、１つまたは複数のプロセッサ、および、１つまたは複数のプロセッサによって実行される命令を記憶する能力を有する１つまたは複数のメモリを含むことができる。このようなコンピュータシステムの一例が図８に示され、以下において説明される。
【0032】
次に図１を参照すると、本明細書において複合認可システム１００とも称される、ドメイン内のエンティティのための複合認可のためのシステム１００の一実施形態の概略図が示されている。システム１００は、ユーザデバイス１０２、１つまたはいくつかのＩＡＭサーバ１０４、および１つまたはいくつかのＩＤＣＳサーバ１０６を含む。実施形態によっては、ユーザデバイス１０２は、ラップトップ、デスクトップ、モバイルデバイス、および同様のものなどのコンピューティングデバイスを含むことができる。１つまたはいくつかのＩＡＭサーバ１０４および／または１つまたはいくつかのＩＤＣＳサーバ１０６は、例えば、１つまたはいくつかのサーバまたはサーバラックを含む１つまたはいくつかのコンピューティングリソースを各々含むことができる。１つまたはいくつかのＩＡＭサーバ１０４および／または１つまたはいくつかのＩＣＤＳサーバ１０６は、グローバルリージョン１０２、ホームリージョン１１２、および／または非ホームリージョン１２２のうちの１つまたはいくつかの内部に配置され得る。
【0033】
ユーザは、ユーザデバイス１０２を用いて、１つまたはいくつかのＩＡＭサーバ１０４上で実行する１つまたはいくつかのＩＡＭアプリケーションを介して、または１つまたはいくつかのＩＤＣＳサーバ１０６上で実行する１つまたはいくつかのＩＤＣＳアプリケーションを介してアクションを取るための認可を要求することができる。実施形態によっては、ユーザデバイス１０２は、例えば、通信ネットワーク１３０を介して、例えば、有線または無線接続を介して少なくとも１つのＩＡＭサーバ１０４および少なくとも１つのＩＤＣＳサーバ１０６のうちの一方または両方と直接接続され得る。実施形態によっては、ユーザデバイス１０２は、例えば、１つまたはいくつかの通信ネットワークおよび／または１つまたはいくつかのコンピュータネットワークを介して少なくとも１つのＩＡＭサーバ１０４および少なくとも１つのＩＤＣＳサーバ１０６のうちの一方または両方と直接接続され得る。実施形態によっては、ユーザデバイス１０２は、例えば、インターネットを介して少なくとも１つのＩＡＭサーバ１０４および少なくとも１つのＩＤＣＳサーバ１０６のうちの一方または両方と直接接続され得る。
【0034】
実施形態によっては、ＩＡＭサーバ１０４およびＩＤＣＳサーバ１０６のうちの一部または全ては、同じ場所に、または異なる場所に配置され得る。実施形態によっては、ＩＡＭサーバ１０４およびＩＤＣＳサーバ１０６のうちの一部または全ては、異なるコンピューティングネットワーク、異なるデータセンター、異なるリージョン、または同様のものの内部に配置され得る。実施形態によっては、および本明細書において開示されるおとりの複合認可システム１００を適用すると、ユーザが、ＩＤＣＳサーバ１０６からのアクションを取るための認可を受信するとき、これは、ＩＡＭサーバ１０４からの認可を受信することができる。
【0035】
次に図２を参照すると、ドメイン内のエンティティのための複合認可のためのプロセス２００の一実施形態を示すフローチャートが示されている。プロセス２００は複合認可システム１００のうちの全てまたは部分によって遂行され得、具体的には、ＩＤＣＳサーバ１０６のうちの１つまたはいくつかによって、および／またはＩＡＭサーバ１０４のうちの１つまたはいくつかによって遂行され得る。実施形態によっては、ＩＤＣＳサーバ１０６のうちの１つまたはいくつかが第１のシステムであることができ、ＩＡＭサーバ１０４のうちの１つまたはいくつかが第２のシステムであることができ、実施形態によっては、ＩＡＭサーバ１０４のうちの１つまたはいくつかが第１のシステムであることができ、ＩＤＣＳサーバ１０６のうちの１つまたはいくつかが第２のシステムであることができる。それゆえ、実施形態によっては、第１のシステムはＲＢＡＣシステムであることができ、第２のシステムはＡＢＡＣシステムことができ、それに対して、他の実施形態では、第１のシステムはＡＢＡＣシステムであることができ、第２のシステムはＲＢＡＣシステムであることができる。
【0036】
実施形態によっては、プロセス２００は、第１のシステムがユーザからの要求を受信する、ブロック２０２において開始する。この要求は、ユーザが、ドメイン内で、および特定のエンドポイント上で特定のアクションを取ることを要求することによって行われ得る。実施形態によっては、ユーザは、アプリケーション、および具体的には、第１のシステム内のアプリケーションプログラミングインターフェース（ＡＰＩ：Application Programming Interface）にアクセスすることができる。実施形態によっては、これは、ユーザが、アプリケーション、および具体的には、ＩＤＣＳシステム１０６のドメイン内のＡＰＩにアクセスすることを含むことができる。このような実施形態では、ＩＤＣＳシステム１０６は、ユーザデバイス１０２からの、および具体的には、アプリケーションからの、およびより具体的には、ＡＰＩからの要求を受信することができる。実施形態によっては、要求は署名付き要求を含むことができ、ならびに／あるいはユーザを識別し、および／または要求を認証する際に使用するための１つまたはいくつかのトークンを含むことができる。
【0037】
ブロック２０４において、第１のシステムにおいてユーザからの識別情報を受信する。この識別情報は、ブロック２０２において受信された要求の部分であることができるか、またはブロック２０２において受信された要求とは別個のものであることができる。実施形態によっては、この情報は、要求が生成される、アプリケーションによって、および具体的には、ＡＰＩを通じて生成され得る。この情報は、例えば、アクションを取ることを要求するユーザ、ユーザの現在のドメイン、ユーザによって要求されたアクション、およびアクションによって影響を受けるエンドポイントを識別することができる。実施形態によっては、情報は署名付き要求を含むことができ、ならびに／あるいはユーザを識別し、および／または要求を認証する際に使用するための１つまたはいくつかのトークンを含むことができる。
【0038】
ブロック２０６において、第１のシステムが第１のシステムの認可ポリシーに従って要求を評価する。実施形態によっては、これは、署名付き要求を受信すること、および署名付き要求の有効性を検証すること、ならびに／または要求に関連付けられた関係プリンシパルを決定することを含むことができる。実施形態によっては、関係プリンシパルは、要求を行うユーザのプリンシパルであることができる。実施形態によっては、このプリンシパルは、１つまたはいくつかのロールに関連付けられ得る第１のシステム内のプリンシパルであることができ、および／または１つまたはいくつかの属性に関連付けられた第２のシステム内のプリンシパルであることができる。実施形態によっては、ユーザのプリンシパルは、実際には、第１のシステムの第１のプリンシパルおよび第２のシステムの第２のプリンシパルであることができる。
【0039】
実施形態によっては、第１のシステムは、受信された要求内に包含された情報に基づいて、および／または他の様態で利用可能な情報に基づいて署名付き要求の有効性を検証することができる。実施形態によっては、例えば、要求はプライベート鍵を用いて署名され得る。このような実施形態では、公開鍵が、署名付き要求の有効性を検証するために利用され得る。実施形態によっては、第１のシステムは、例えば、データプレーンからの公開鍵を要求することができ、公開鍵を受信すると、署名付き要求の有効性を検証することができる。実施形態によっては、第１のシステムは署名付き要求を第２のシステムへ送信することができ、該第２のシステムはデータプレーンからの公開鍵を要求し、受信することができる。データプレーンからの公開鍵を受信すると、第２のシステムは、受信された公開鍵を用いて署名付き要求の有効性を検証することができる。
【0040】
実施形態によっては、第１のシステムはユーザのプリンシパルを決定することができ、および／または実施形態によっては、第２のシステムはユーザのプリンシパルを決定することができる。例えば、プリンシパルが第１のシステムの第１のプリンシパルおよび第２のシステムの第２のプリンシパルを含む、実施形態によっては、第１のシステムは第１のプリンシパルを決定することができ、第２のシステムは第２のプリンシパルを決定することができる。実施形態によっては、第１のプリンシパルおよび第２のプリンシパルのうちの一方または両方を含むことができる、プリンシパルは、要求に、および／または受信された情報に基づいて決定され得る。
【0041】
実施形態によっては、第１のシステムの認可ポリシーに従って第１のシステムによって要求を評価することは、受信された要求の第１の認可ステータスを決定することを含むことができる。実施形態によっては、第１の認可ステータスを決定することは、受信された要求のためのドメイン固有認可を決定することを含むことができる。実施形態によっては、このドメイン固有認可は、決定されたプリンシパルに基づくことができる。
【0042】
プリンシパルのドメイン固有認可は第１のシステムによって決定され得る。実施形態によっては、プリンシパルのこのドメイン固有認可は第１のシステムの認可ポリシーに従って第１のシステムによって決定され得、例えば、第１のシステムの認可ポリシーに従ってアクションを取るための要求を評価することを含むことができる。実施形態によっては、これは、ユーザのロールおよびユーザのドメインを識別することを含むことができる。第１のシステムは、ユーザのロールに、および／またはユーザのドメインに関連付けられた許可を検索することができる。第１のシステムは、検索された許可に基づいて、ならびに要求、および要求の属性に基づいて、要求されたアクションは、認められるアクションであるかどうかを決定することができる。実施形態によっては、これは、検索された許可に基づいて、ならびにユーザ、ユーザロール、ユーザドメイン、影響を受けるエンドポイント、および要求されたアクションに基づいて、要求されたアクションは、検索された許可によって認められるかどうかを決定することを含むことができる。要求は、１つまたはいくつかの許可、認可ポリシー、および／またはアクセスポリシーによって認められると決定された場合には、このとき、第１のシステムは、アクションは認められることを指示する。要求は、１つまたはいくつかの許可、認可ポリシー、および／またはアクセスポリシーによって禁止されると決定された場合には、このとき、第１のシステムは、アクションは禁止されることを指示する。実施形態によっては、要求は、１つまたはいくつかの許可、認可ポリシー、および／またはアクセスポリシーによって認められも禁止されもしないと決定された場合には、このとき、第１のシステムによって認可の指示は生成されない。
【0043】
ブロック２０８において、第１のシステムは、第２のシステムからの受信された要求の認可を要求する。実施形態によっては、これは、ＩＤＣＳが、ＩＡＭからの受信された要求の認可を要求することを含むことができる。実施形態によっては、これは、受信された要求に関連する第１のシステム内の許可および／または認可ポリシーに対応する第２のシステム内の許可および／または認可ポリシーを決定すること、あるいは換言すれば、第１のシステム内の１つまたはいくつかの許可および／または認可ポリシーを第２のシステム内の１つまたはいくつかの対応する許可および／または認可ポリシーに対応付けることを含むことができる。実施形態によっては、第１のシステムは、第１のシステムの１つまたはいくつかの許可および／または認可ポリシーを第２のシステムの１つまたはいくつかの許可および／または認可ポリシーにリンクするデータベースを含むことができる。実施形態によっては、第１のシステムが、第２のシステムからの受信された要求の認可を要求することは、第１のシステムが、受信された要求および／または受信された情報に基づいて、第２のシステムの１つまたはいくつかの許可および／または認可ポリシーの識別についてデータベースに問い合わせることを含むことができる。
【0044】
実施形態によっては、受信された要求に関連する第２のシステム内の１つまたはいくつかの許可および／または認可ポリシーを識別すると、第１のシステムは、受信された要求の認可決定について第２のシステムに問い合わせることができる。実施形態によっては、第１のシステムは認可要求を第２のシステムへ送信することができ、該認可要求は、１つまたはいくつかの関連する許可および／または認可ポリシーを識別することができ、ブロック２０２において受信された要求、および／またはブロック２０２において受信された要求に関連する情報を含むことができる。この情報は、例えば、ユーザ、ユーザロール、ユーザドメイン、影響を受けるエンドポイント、および／または要求されたアクションを含むことができる。
【0045】
ブロック２１０において、第２のシステムが第２のシステムの認可ポリシーに従ってブロック２０２の要求を評価する。実施形態によっては、これは、ブロック２０２の要求されたアクションのための第２の認可ステータスを決定することを含むことができる。これは、例えば、要求のためのユーザのプリンシパルを決定および／または識別することと、受信された要求に、および／またはユーザの識別されたプリンシパルに関連する１つまたはいくつかの許可、認可ポリシー、および／またはアクセスポリシーを検索することと、ブロック２０２の受信された要求が、検索された１つまたはいくつかの許可、認可ポリシー、および／またはアクセスポリシーによって認められるかどうか、ならびに／あるいはブロック２０２の要求によって識別されたアクションは１つまたはいくつかの許可、認可ポリシー、および／またはアクセスポリシーによって認められるかどうかを決定することとを含むことができる。実施形態によっては、１つまたはいくつかの許可、認可ポリシー、および／またはアクセスポリシーは、ブロック２０８において第１のシステムから受信された情報に基づいて識別され得る。要求は、１つまたはいくつかの許可、認可ポリシー、および／またはアクセスポリシーによって認められると決定された場合には、このとき、第２のシステムは、アクションは認められることを指示する。要求は、１つまたはいくつかの許可、認可ポリシー、および／またはアクセスポリシーによって禁止されると決定された場合には、このとき、第２のシステムは、アクションは禁止されることを指示する。実施形態によっては、要求は、１つまたはいくつかの許可、認可ポリシー、および／またはアクセスポリシーによって認められも禁止されもしないと決定された場合には、このとき、認可の指示は生成されない。
【0046】
ブロック２１２において、第２のシステムからの認可情報を受信する。実施形態によっては、これは、第１のシステムにおいて第２のシステムからの認可情報を受信することを含むことができる。ブロック２１４において、ブロック２０２において受信された要求の第１のシステム認可および第２のシステム認可の結合を決定する、換言すれば、第１の認可ステータスおよび第２の認可ステータスの結合を決定する。
【0047】
ブロック２１６において、第１のシステム認可および第２のシステム認可の結合を１つまたはいくつかの認可基準と比較する。実施形態によっては、認可基準は、ブロック２０２の要求を認可するために十分な結合と、ブロック２０２の要求を認可するために不十分なものとの間を線引きすることができる。実施形態によっては、第１の認可ステータスおよび第２の認可ステータスの両方が要求を認可するとき、あるいは第１の認可ステータスおよび第２の認可ステータスのうちの一方が要求を認可し、他方が要求を禁止するときに、認可基準は、結合を、ブロック２０２の要求を認可するために十分として識別することができる。実施形態によっては、第１の認可ステータスおよび第２の認可ステータスのうちの少なくとも一方が要求の認可を禁止するときに、認可基準は、結合を、ブロック２０２の要求を認可するために不十分として識別することができる。
【0048】
ブロック２１８において、第１のシステム認可および第２のシステム認可の結合と認可基準との比較の結果に基づいてブロック２０２の要求を認めるか、または拒否する。それゆえ、実施形態によっては、第１の認可ステータスおよび第２の認可ステータスの結合が認可基準に適合するときに、要求、および具体的には、ユーザによって要求されたアクションは認可され得る。実施形態によっては、第１の認可ステータスおよび第２の認可ステータスの結合が、ユーザがアクションを取るための第１のシステムおよび第２のシステムの各々からの認可を含むときに、第１の認可ステータスおよび第２の認可ステータスの結合は認可基準に適合する。実施形態によっては、第１の認可ステータスおよび第２の認可ステータスの結合が、ユーザがアクションを取るための第１のシステムおよび第２のシステムのうちの少なくとも一方からの認可を含むときに、要求、および具体的には、ユーザによって要求されたアクションは認可され、および／または認められ得る。実施形態によっては、第１の認可ステータスおよび第２の認可ステータスの結合が認可基準に適合しないときに、要求、および具体的には、ユーザによって要求されたアクションは拒否され、および／または禁止され得る。実施形態によっては、第１の認可ステータスおよび第２の認可ステータスの結合が第１のシステムおよび第２のシステムのうちの少なくとも一方からの認可の少なくとも１つの拒否を含むときに、第１の認可ステータスおよび第２の認可ステータスの結合は認可基準に適合しない。
【0049】
次に図３を参照すると、ドメイン内のエンティティのための複合認可のためのプロセス３００の別の実施形態を示すフローチャートが示されている。プロセス３００は複合認可システム１００のうちの全てまたは部分によって遂行され得、具体的には、ＩＤＣＳサーバ１０６のうちの１つまたはいくつかによって、および／またはＩＡＭサーバ１０４のうちの１つまたはいくつかによって遂行され得る。
【0050】
プロセス３００は、ユーザが、ＩＤＣＳアプリケーションを介して、および具体的には、ＩＤＣＳ ＡＰＩを介して、ＩＤＣＳ内でアクションを取るための要求を行う、ステップ３０２において開始する。ユーザは、実施形態によっては、プリンシパルであることができる。要求は、例えば、署名付き要求であることができる。要求は、例えば：ＡＰＩ鍵、ネイティブトークンもしくはアイデンティティ、連合トークンもしくはアイデンティティ、または同様のものを含む、ユーザプリンシパルの識別；インスタンス、サービス、および／またはリソースプリンシパルの識別；インスタンスプリンシパルおよび／またはＯａｕｔｈ ＯＢＯフローの識別などの、情報を含むことができる。
【0051】
ステップ３０４において、ＩＤＣＳはプリンシパルおよび／またはユーザのアイデンティティを決定し、要求されたＩＤＣＳ ＡＰＩのアイデンティティを決定する。実施形態によっては、これは、署名付き要求の有効性を検証し、関係するプリンシパルを導出することを含むことができる。実施形態によっては、ＩＤＣＳは、署名付き要求の有効性を検証し、関係するプリンシパルを導出するために、ＩＡＭを用いることができる。このような実施形態では、および署名付き要求の有効性検証の部分として、ＩＡＭは、ステップ３０６において指示されるように、データプレーンからの署名付き要求に対応する公開鍵を要求および／または受信することができる。ステップ３０８において、公開鍵を受信し、それを用いて署名付き要求の有効性を検証する。実施形態によっては、公開鍵は、署名付き要求の有効性を検証するためにＩＡＭによって用いられ得る。
【0052】
ステップ３１０において、およびプリンシパルがユーザプリンシパルである場合には、このとき、ＩＤＣＳはＩＤＣＳ認可ポリシーに基づいてドメイン固有認可を遂行する。ステップ３１２において、ＩＤＣＳは、ＩＡＭが要求を評価することを要求する。実施形態によっては、ＩＤＣＳは、ＩＡＭがＩＡＭ認可ポリシーに従って要求を評価することを要求する。ＩＡＭはＩＡＭの認可ポリシーに従って要求を評価する。ステップ３１４において、ＩＤＣＳはＩＡＭからの許可を受信する。実施形態によっては、これは、ＩＡＭの認可ポリシーに従うステップ３０２の要求の評価の結果を受信することを含むことができる。ステップ３１６において、許可を評価する。これは、ＩＡＭから受信された許可、およびステップ３１０における評価の結果の結合を決定することを含むことができる。ステップ３１８において、ユーザに応答を提供する。応答は、ステップ３０２の要求は認可されること、または要求は認可されないことのどちらかを指示する。
【0053】
例示的な実施形態
上述されたように、インフラストラクチャ・アズ・ア・サービス（ＩａａＳ）は１つの特定の種類のクラウドコンピューティングである。ＩａａＳは、公衆ネットワーク（例えば、インターネット）を通じて、仮想化されたコンピューティングリソースを提供するように構成され得る。ＩａａＳモデルでは、クラウドコンピューティングプロバイダは、インフラストラクチャコンポーネント（例えば、サーバ、記憶デバイス、ネットワークノード（例えば、ハードウェア）、デプロイメントソフトウェア、プラットフォーム仮想化（例えば、ハイパーバイザ層）、または同様のもの）をホストすることができる。場合によっては、ＩａａＳプロバイダはまた、それらのインフラストラクチャコンポーネントに付随する種々のサービス（例えば、課金、監視、ロギング、ロードバランシング、およびクラスタ化等）も供給し得る。それゆえ、これらのサービスはポリシー駆動型であり得るため、ＩａａＳのユーザは、アプリケーションの可用性および性能を維持するべくロードバランシングを駆動するためのポリシーを実施することが可能であり得る。
上述されたように、インフラストラクチャ・アズ・ア・サービス（ＩａａＳ）は１つの特定の種類のクラウドコンピューティングである。ＩａａＳは、公衆ネットワーク（例えば、インターネット）を通じて、仮想化されたコンピューティングリソースを提供するように構成され得る。ＩａａＳモデルでは、クラウドコンピューティングプロバイダは、インフラストラクチャコンポーネント（例えば、サーバ、記憶デバイス、ネットワークノード（例えば、ハードウェア）、デプロイメントソフトウェア、プラットフォーム仮想化（例えば、ハイパーバイザ層）、または同様のもの）をホストすることができる。場合によっては、ＩａａＳプロバイダはまた、それらのインフラストラクチャコンポーネントに付随する種々のサービス（例えば、課金、監視、ロギング、ロードバランシング、およびクラスタ化等）も供給し得る。それゆえ、これらのサービスはポリシー駆動型であり得るため、ＩａａＳのユーザは、アプリケーションの可用性および性能を維持するべくロードバランシングを駆動するためのポリシーを実施することが可能であり得る。
【0054】
場合によっては、ＩａａＳの顧客は、インターネットなどの、ワイドエリアネットワーク（ＷＡＮ：wide area network）を通じてリソースおよびサービスにアクセスし得、クラウドプロバイダのサービスを用いてアプリケーションスタックの残りの要素をインストールすることができる。例えば、ユーザはＩａａＳプラットフォームにログインし、仮想機械（ＶＭ：virtual machine）を作成し、オペレーティングシステム（ＯＳ：operating system）を各ＶＭ上にインストールし、データベースなどのミドルウェアをデプロイし、作業負荷およびバックアップのためのストレージバケットを作成し、さらに、企業ソフトウェアをＶＭ内にインストールすることができる。次に、顧客は、プロバイダのサービスを用いて、ネットワークトラフィックのバランスを取ること、アプリケーションの問題のトラブルシューティングを行うこと、パフォーマンスを監視すること、障害回復を管理すること等を含む、様々な機能を遂行することができる。
【0055】
大抵の場合、クラウドコンピューティングモデルはクラウドプロバイダの関与を必要とすることになる。クラウドプロバイダは、ＩａａＳを供給すること（例えば、提供すること、貸与すること、販売すること）を専門にするサードパーティサービスであり得るが、そうである必要はない。エンティティはまた、プライベートクラウドをデプロイし、インフラストラクチャサービスの独自のプロバイダになることも選択し得るであろう。
【0056】
例によっては、ＩａａＳのデプロイメントは、新たなアプリケーション、またはアプリケーションの新たなバージョンを、準備されたアプリケーションサーバまたは同様のものに入れるプロセスである。それはまた、サーバを準備する（例えば、ライブラリ、デーモン等をインストールする）プロセスを含み得る。これは、多くの場合、クラウドプロバイダによって、ハイパーバイザ層より下で（例えば、サーバ、ストレージ、ネットワークハードウェア、および仮想化）管理される。それゆえ、顧客は、（例えば、（例えば、オンデマンドでスピンアップされ得る）セルフサービス仮想機械などの上の、（ＯＳ）、ミドルウェア、および／またはアプリケーションデプロイメントの取り扱いの責任を負い得る。
【0057】
例によっては、ＩａａＳのプロビジョニングは、コンピュータまたは仮想ホストを使用のために獲得すること、ならびにさらに、必要なライブラリまたはサービスをそれらにインストールすることを指し得る。大抵の場合、デプロイメントはプロビジョニングを含まず、プロビジョニングは、最初に遂行されることを必要とし得る。
【0058】
場合によっては、ＩａａＳのプロビジョニングにとって２つの異なる課題が存在する。第１に、インフラストラクチャの初期セットを、いずれかが実行する前にプロビジョニングするという、初期の課題が存在する。第２に、全てのものがプロビジョニングされた後に、既存のインフラストラクチャを発展させる（例えば、新たなサービスを追加する、サービスを変更する、サービスを除去する等）という課題が存在する。場合によっては、これらの２つの課題は、インフラストラクチャの構成が宣言的に規定されることを可能にすることによって対処され得る。換言すれば、インフラストラクチャ（例えば、どのようなコンポーネントが必要とされるのか、およびそれらはどのように相互作用するのか）は、１つまたは複数の構成ファイルによって規定され得る。それゆえ、インフラストラクチャの全体的トポロジ（例えば、どのリソースがどれに依存するのか、およびそれらは各々、どのように協働するのか）は宣言的に記述され得る。場合によっては、トポロジが規定されると、構成ファイル内で記述される異なるコンポーネントを作成および／または管理するワークフローが生成され得る。
【0059】
例によっては、インフラストラクチャは、多くの相互接続された要素を有し得る。例えば、コアネットワークとしても知られる、１つまたは複数の仮想プライベートクラウド（ＶＰＣ：virtual private cloud）（例えば、構成可能な、および／または共有されたコンピューティングリソースの、オンデマンドになる可能性のあるプール）が存在し得る。例によっては、ネットワークのインバウンドおよび／またはアウトバウンドトラフィックがどのようにセットアップされることになるのかを規定するためにプロビジョニングされる１つまたは複数のインバウンド／アウトバウンドトラフィックグループルール、および１つまたは複数の仮想機械（ＶＭ）も存在し得る。ロードバランサ、データベース、または同様のものなどの、他のインフラストラクチャ要素もプロビジョニングされ得る。所望され、および／または追加されるインフラストラクチャ要素が増えるにつれて、インフラストラクチャは徐々に発展し得る。
【0060】
場合によっては、様々な仮想コンピューティング環境にわたるインフラストラクチャコードのデプロイメントを可能にするために、継続的デプロイメント技術が採用され得る。加えて、上述の技術はこれらの環境内のインフラストラクチャ管理を可能にすることができる。例によっては、サービスチームが、（例えば、時として世界中に及ぶ、様々な異なる地理的場所にわたる）１つまたは複数の、しかし、多くの場合、多数の、異なる生産環境にデプロイされることを所望されるコードを書くことができる。しかし、例によっては、コードがデプロイされることになるインフラストラクチャがまずセットアップされなければならない。場合によっては、プロビジョニングは手動で行われ得、プロビジョニングツールが、リソースをプロビジョニングするために利用され得、および／またはインフラストラクチャがプロビジョニングされると、デプロイメントツールが、コードをデプロイするために利用され得る。
【0061】
図４は、少なくとも１つの実施形態に係る、ＩａａＳアーキテクチャの例示的なパターンを示すブロック図４００である。サービスオペレータ４０２は、仮想クラウドネットワーク（ＶＣＮ）４０６およびセキュアホストサブネット４０８を含むことができるセキュアホストテナンシー４０４に通信可能に結合され得る。例によっては、サービスオペレータ４０２は、Microsoft Windows Mobile（登録商標）などのソフトウェア、ならびに／あるいはiOS、Windows Phone、Android、BlackBerry 8、Palm OS、および同様のものなどの種々のモバイルオペレーティングシステムを実行し、インターネット、電子メール、ショートメッセージサービス（ＳＭＳ：short message service）、Blackberry（登録商標）、または他の通信プロトコルが使用可能である、ポータブルハンドヘルドデバイス（例えば、iPhone（登録商標）、セルラ電話、iPad（登録商標）、コンピューティングタブレット、パーソナルデジタルアシスタント（ＰＤＡ：personal digital assistant））、あるいはウェアラブルデバイス（例えば、Google Glass（登録商標）ヘッドマウントディスプレイ）であり得る、１つまたは複数のクライアントコンピューティングデバイスを用い得る。代替的に、クライアントコンピューティングデバイスは、例として、Microsoft Windows（登録商標）、Apple Macintosh（登録商標）、および／またはLinux（登録商標）オペレーティングシステムの様々なバージョンを実行するパーソナルコンピュータおよび／またはラップトップコンピュータを含む汎用パーソナルコンピュータであることができる。クライアントコンピューティングデバイスは、限定するものではないが、例えば、Google Chrome （登録商標）OSなどの、種々のGNU/Linuxオペレーティングシステムを含む、種々の市販のUNIX（登録商標）またはUNIX系オペレーティングシステムのうちの任意のものを実行するワークステーションコンピュータであることができる。代替的に、または加えて、クライアントコンピューティングデバイスは、ＶＣＮ４０６および／またはインターネットにアクセスすることができるネットワークを通じて通信する能力を有する、シンクライアントコンピュータ、インターネット接続可能ゲーミングシステム（例えば、Kinect（登録商標）ジェスチャ入力デバイスを有する、もしくは有しない、Microsoft Xboxゲーミングコンソール）、および／またはパーソナルメッセージングデバイスなどの、任意の他の電子デバイスであり得る。
【0062】
ＶＣＮ４０６は、ＳＳＨ ＶＣＮ４１２内に包含されるＬＰＧ４１０を介してセキュアシェル（ＳＳＨ：secure shell）ＶＣＮ４１２に通信可能に結合され得るローカルピアリングゲートウェイ（ＬＰＧ：local peering gateway）４１０を含むことができる。ＳＳＨ ＶＣＮ４１２はＳＳＨサブネット４１４を含むことができ、ＳＳＨ ＶＣＮ４１２は、制御プレーンＶＣＮ４１６内に包含されるＬＰＧ４１０を介して制御プレーンＶＣＮ４１６に通信可能に結合され得る。また、ＳＳＨ ＶＣＮ４１２はＬＰＧ４１０を介してデータプレーンＶＣＮ４１８に通信可能に結合され得る。制御プレーンＶＣＮ４１６およびデータプレーンＶＣＮ４１８は、ＩａａＳプロバイダによって所有され、および／または操作され得るサービステナンシー４１９内に包含され得る。
【0063】
制御プレーンＶＣＮ４１６は、境界ネットワーク（例えば、企業イントラネットと外部ネットワークとの間の企業ネットワークの部分）の役割を果たす制御プレーン非武装地帯（ＤＭＺ：demilitarized zone）層４２０を含むことができる。ＤＭＺベースのサーバは制限された責任を有し、侵害をせき止めておくのを助け得る。加えて、ＤＭＺ層４２０は、１つまたは複数のロードバランサ（ＬＢ：load balancer）サブネット４２２、アプリサブネット４２６を含むことができる制御プレーンアプリ層４２４、データベース（ＤＢ：database）サブネット４３０（例えば、フロントエンドＤＢサブネットおよび／またはバックエンドＤＢサブネット）を含むことができる制御プレーンデータ層４２８を含むことができる。制御プレーンＤＭＺ層４２０内に包含されるＬＢサブネット４２２は、制御プレーンアプリ層４２４内に包含されるアプリサブネット４２６、および制御プレーンＶＣＮ４１６内に包含され得るインターネットゲートウェイ４３４に通信可能に結合され得、アプリサブネット４２６は、制御プレーンデータ層４２８内に包含されるＤＢサブネット４３０、ならびにサービスゲートウェイ４３６、およびネットワークアドレス変換（ＮＡＴ：network address translation）ゲートウェイ４３８に通信可能に結合され得る。制御プレーンＶＣＮ４１６はサービスゲートウェイ４３６およびＮＡＴゲートウェイ４３８を含むことができる。
【0064】
制御プレーンＶＣＮ４１６は、アプリサブネット４２６を含むことができるデータプレーンミラーアプリ層４４０を含むことができる。データプレーンミラーアプリ層４４０内に包含されるアプリサブネット４２６は、計算インスタンス４４４を実行することができる仮想ネットワークインターフェースコントローラ（ＶＮＩＣ：virtual network interface controller）４４２を含むことができる。計算インスタンス４４４はデータプレーンミラーアプリ層４４０のアプリサブネット４２６を、データプレーンアプリ層４４６内に包含され得るアプリサブネット４２６に通信可能に結合することができる。
【0065】
データプレーンＶＣＮ４１８は、データプレーンアプリ層４４６、データプレーンＤＭＺ層４４８、およびデータプレーンデータ層４５０を含むことができる。データプレーンＤＭＺ層４４８は、データプレーンアプリ層４４６のアプリサブネット４２６およびデータプレーンＶＣＮ４１８のインターネットゲートウェイ４３４に通信可能に結合され得るＬＢサブネット４２２を含むことができる。アプリサブネット４２６はデータプレーンＶＣＮ４１８のサービスゲートウェイ４３６およびデータプレーンＶＣＮ４１８のＮＡＴゲートウェイ４３８に通信可能に結合され得る。データプレーンデータ層４５０もまた、データプレーンアプリ層４４６のアプリサブネット４２６に通信可能に結合され得るＤＢサブネット４３０を含むことができる。
【0066】
制御プレーンＶＣＮ４１６の、およびデータプレーンＶＣＮ４１８のインターネットゲートウェイ４３４は、公衆インターネット４５４に通信可能に結合され得るメタデータ管理サービス４５２に通信可能に結合され得る。公衆インターネット４５４は、制御プレーンＶＣＮ４１６の、およびデータプレーンＶＣＮ４１８のＮＡＴゲートウェイ４３８に通信可能に結合され得る。制御プレーンＶＣＮ４１６の、およびデータプレーンＶＣＮ４１８のサービスゲートウェイ４３６はクラウドサービス４５６に通信可能に結合することができる。
【0067】
例によっては、制御プレーンＶＣＮ４１６の、またはデータプレーンＶＣＮ４１８のサービスゲートウェイ４３６は公衆インターネット４５４を経由することなくクラウドサービス４５６へのアプリケーションプログラミングインターフェース（ＡＰＩ：application programming interface）コールを行うことができる。サービスゲートウェイ４３６からクラウドサービス４５６へのＡＰＩコールは片方向であることができ、サービスゲートウェイ４３６はクラウドサービス４５６へのＡＰＩコールを行うことができ、クラウドサービス４５６は、要求されたデータをサービスゲートウェイ４３６へ送信することができる。しかし、クラウドサービス４５６はサービスゲートウェイ４３６へのＡＰＩコールを開始し得ない。
【0068】
例によっては、セキュアホストテナンシー４０４は、さもなければ隔離され得る、サービステナンシー４１９に直接接続され得る。セキュアホストサブネット４０８は、さもなければ隔離されたシステムを通じた双方向通信を可能にし得るＬＰＧ４１０を介してＳＳＨサブネット４１４と通信することができる。セキュアホストサブネット４０８をＳＳＨサブネット４１４に接続することは、セキュアホストサブネット４０８にサービステナンシー４１９内の他のエンティティへのアクセスを与え得る。
【0069】
制御プレーンＶＣＮ４１６は、サービステナンシー４１９のユーザが所望のリソースをセットアップすること、または他の仕方でプロビジョニングすることを可能にし得る。制御プレーンＶＣＮ４１６内でプロビジョニングされた所望のリソースはデータプレーンＶＣＮ４１８内でデプロイされるか、または他の仕方で使用され得る。例によっては、制御プレーンＶＣＮ４１６はデータプレーンＶＣＮ４１８から隔離され得、制御プレーンＶＣＮ４１６のデータプレーンミラーアプリ層４４０は、データプレーンミラーアプリ層４４０およびデータプレーンアプリ層４４６内に包含され得るＶＮＩＣ４４２を介してデータプレーンＶＣＮ４１８のデータプレーンアプリ層４４６と通信することができる。
【0070】
例によっては、システムのユーザ、または顧客は、要求をメタデータ管理サービス４５２へ通信することができる公衆インターネット４５４を通じて、要求、例えば、作成（create）、読み出し（read）、更新（update）、または削除（delete）（ＣＲＵＤ）操作を行うことができる。メタデータ管理サービス４５２はインターネットゲートウェイ４３４を通じて要求を制御プレーンＶＣＮ４１６へ通信することができる。要求は、制御プレーンＤＭＺ層４２０内に包含されるＬＢサブネット４２２によって受信され得る。ＬＢサブネット４２２は、要求は有効であると決定し得、この決定に応じて、ＬＢサブネット４２２は要求を、制御プレーンアプリ層４２４内に包含されるアプリサブネット４２６へ伝送することができる。要求の有効性が検証され、公衆インターネット４５４へのコールを必要とする場合には、公衆インターネット４５４へのコールは、公衆インターネット４５４へのコールを行うことができるＮＡＴゲートウェイ４３８へ伝送され得る。要求によって記憶されることを所望され得るメタデータはＤＢサブネット４３０内に記憶され得る。
【0071】
例によっては、データプレーンミラーアプリ層４４０は制御プレーンＶＣＮ４１６とデータプレーンＶＣＮ４１８との間の直接通信を促進することができる。例えば、構成の改変、更新、または他の好適な変更が、データプレーンＶＣＮ４１８内に包含されるリソースに適用されることを所望され得る。ＶＮＩＣ４４２を介して、制御プレーンＶＣＮ４１６は、データプレーンＶＣＮ４１８内に包含されるリソースと直接通信することができ、これにより、それらに対する構成の改変、更新、または他の好適な変更を実行することができる。
【0072】
実施形態によっては、制御プレーンＶＣＮ４１６およびデータプレーンＶＣＮ４１８はサービステナンシー４１９内に包含され得る。この場合には、システムのユーザ、または顧客は制御プレーンＶＣＮ４１６またはデータプレーンＶＣＮ４１８のどちらも所有または操作し得ない。その代わりに、ＩａａＳプロバイダが、どちらもサービステナンシー４１９内に包含され得る、制御プレーンＶＣＮ４１６およびデータプレーンＶＣＮ４１８を所有または操作し得る。本実施形態は、ユーザまたは顧客が、他のユーザの、または他の顧客のリソースと対話することを防止し得るネットワークの隔離を可能にすることができる。また、本実施形態は、システムのユーザまたは顧客が、記憶のために、所望の脅威防御レベルを有しないことがある、公衆インターネット４５４に頼ることを必要とすることなく、データベースをプライベートに記憶することを可能にし得る。
【0073】
他の実施形態では、制御プレーンＶＣＮ４１６内に包含されるＬＢサブネット４２２は、サービスゲートウェイ４３６からの信号を受信するように構成され得る。本実施形態では、制御プレーンＶＣＮ４１６およびデータプレーンＶＣＮ４１８は、公衆インターネット４５４をコールすることなくＩａａＳプロバイダの顧客によってコールされるように構成され得る。顧客が使用するデータベースがＩａａＳプロバイダによって制御され得、公衆インターネット４５４から隔離され得る、サービステナンシー４１９上に記憶され得るので、ＩａａＳプロバイダの顧客は本実施形態を所望し得る。
【0074】
図５は、少なくとも１つの実施形態に係る、ＩａａＳアーキテクチャの別の例示的なパターンを示すブロック図５００である。サービスオペレータ５０２（例えば、図４の、サービスオペレータ４０２）は、仮想クラウドネットワーク（ＶＣＮ）５０６（例えば、図４のＶＣＮ４０６）およびセキュアホストサブネット５０８（例えば、図４のセキュアホストサブネット４０８）を含むことができるセキュアホストテナンシー５０４（例えば、図４のセキュアホストテナンシー４０４）に通信可能に結合され得る。ＶＣＮ５０６は、ＳＳＨ ＶＣＮ５１２内に包含されるＬＰＧ４１０を介してセキュアシェル（ＳＳＨ）ＶＣＮ５１２（例えば、図４のＳＳＨ ＶＣＮ４１２）に通信可能に結合され得るローカルピアリングゲートウェイ（ＬＰＧ）５１０（例えば、図４のＬＰＧ４１０）を含むことができる。ＳＳＨ ＶＣＮ５１２はＳＳＨサブネット５１４（例えば、図４のＳＳＨサブネット４１４）を含むことができ、ＳＳＨ ＶＣＮ５１２は、制御プレーンＶＣＮ５１６内に包含されるＬＰＧ５１０を介して制御プレーンＶＣＮ５１６（例えば、図４の制御プレーンＶＣＮ４１６）に通信可能に結合され得る。制御プレーンＶＣＮ５１６はサービステナンシー５１９（例えば、図４のサービステナンシー４１９）内に包含され得、データプレーンＶＣＮ５１８（例えば、図４のデータプレーンＶＣＮ４１８）は、システムのユーザ、または顧客によって所有または操作され得る顧客テナンシー５２１内に包含され得る。
【0075】
制御プレーンＶＣＮ５１６は、ＬＢサブネット５２２（例えば、図４のＬＢサブネット４２２）を含むことができる制御プレーンＤＭＺ層５２０（例えば、図４の制御プレーンＤＭＺ層４２０）、アプリサブネット５２６（例えば、図４のアプリサブネット４２６）を含むことができる制御プレーンアプリ層５２４（例えば、図４の制御プレーンアプリ層４２４）、データベース（ＤＢ）サブネット５３０（例えば、図４のＤＢサブネット４３０と同様のもの）を含むことができる制御プレーンデータ層５２８（例えば、図４の制御プレーンデータ層４２８）を含むことができる。制御プレーンＤＭＺ層５２０内に包含されるＬＢサブネット５２２は、制御プレーンアプリ層５２４内に包含されるアプリサブネット５２６、および制御プレーンＶＣＮ５１６内に包含され得るインターネットゲートウェイ５３４（例えば、図４のインターネットゲートウェイ４３４）に通信可能に結合され得、アプリサブネット５２６は、制御プレーンデータ層５２８内に包含されるＤＢサブネット５３０、ならびにサービスゲートウェイ５３６（例えば、図４のサービスゲートウェイ４３６）、およびネットワークアドレス変換（ＮＡＴ）ゲートウェイ５３８（例えば、図４のＮＡＴゲートウェイ４３８）に通信可能に結合され得る。制御プレーンＶＣＮ５１６はサービスゲートウェイ５３６およびＮＡＴゲートウェイ５３８を含むことができる。
【0076】
制御プレーンＶＣＮ５１６は、アプリサブネット５２６を含むことができるデータプレーンミラーアプリ層５４０（例えば、図４のデータプレーンミラーアプリ層４４０）を含むことができる。データプレーンミラーアプリ層５４０内に包含されるアプリサブネット５２６は、計算インスタンス５４４（例えば、図４の計算インスタンス４４４と同様のもの）を実行することができる仮想ネットワークインターフェースコントローラ（ＶＮＩＣ）５４２（例えば、４４２のＶＮＩＣ）を含むことができる。計算インスタンス５４４は、データプレーンミラーアプリ層５４０内に包含されるＶＮＩＣ５４２およびデータプレーンアプリ層５４６内に包含されるＶＮＩＣ５４２を介して、データプレーンミラーアプリ層５４０のアプリサブネット５２６と、データプレーンアプリ層５４６（例えば、図４のデータプレーンアプリ層４４６）内に包含され得るアプリサブネット５２６との間の通信を促進することができる。
【0077】
制御プレーンＶＣＮ５１６内に包含されるインターネットゲートウェイ５３４は、公衆インターネット５５４（例えば、図４の公衆インターネット４５４）に通信可能に結合され得るメタデータ管理サービス５５２（例えば、図４のメタデータ管理サービス４５２）に通信可能に結合され得る。公衆インターネット５５４は、制御プレーンＶＣＮ５１６内に包含されるＮＡＴゲートウェイ５３８に通信可能に結合され得る。制御プレーンＶＣＮ５１６内に包含されるサービスゲートウェイ５３６は、クラウドサービス５５６（例えば、図４のクラウドサービス４５６）に通信可能に結合することできる。
【0078】
例によっては、データプレーンＶＣＮ５１８は顧客テナンシー５２１内に包含され得る。この場合には、ＩａａＳプロバイダは制御プレーンＶＣＮ５１６を顧客ごとに提供し得、ＩａａＳプロバイダは、顧客ごとに、サービステナンシー５１９内に包含される固有の計算インスタンス５４４をセットアップし得る。各計算インスタンス５４４は、サービステナンシー５１９内に包含される、制御プレーンＶＣＮ５１６と、顧客テナンシー５２１内に包含されるデータプレーンＶＣＮ５１８との間の通信を可能にし得る。計算インスタンス５４４は、サービステナンシー５１９内に包含される制御プレーンＶＣＮ５１６内でプロビジョニングされた、リソースが、顧客テナンシー５２１内に包含されるデータプレーンＶＣＮ５１８内でデプロイされるか、または他の仕方で使用されることを可能にし得る。
【0079】
他の例では、ＩａａＳプロバイダの顧客は、顧客テナンシー５２１内を本拠とするデータベースを有し得る。本例では、制御プレーンＶＣＮ５１６は、アプリサブネット５２６を含むことができるデータプレーンミラーアプリ層５４０を含むことができる。データプレーンミラーアプリ層５４０はデータプレーンＶＣＮ５１８内に駐在することができるが、データプレーンミラーアプリ層５４０はデータプレーンＶＣＮ５１８内を本拠とし得ない。すなわち、データプレーンミラーアプリ層５４０は顧客テナンシー５２１へのアクセスを有し得るが、データプレーンミラーアプリ層５４０はデータプレーンＶＣＮ５１８内に存在するか、またはＩａａＳプロバイダの顧客によって所有もしくは操作され得ない。データプレーンミラーアプリ層５４０は、データプレーンＶＣＮ５１８へのコールを行うように構成され得るが、制御プレーンＶＣＮ５１６内に包含されるいかなるエンティティへのコールも行うように構成され得ない。顧客は、制御プレーンＶＣＮ５１６内でプロビジョニングされたデータプレーンＶＣＮ５１８内のリソースをデプロイするか、または他の仕方で使用することを所望し得、データプレーンミラーアプリ層５４０は、顧客の、リソースの所望のデプロイメント、または他の使用を促進することができる。
【0080】
実施形態によっては、ＩａａＳプロバイダの顧客はフィルタをデータプレーンＶＣＮ５１８に適用することができる。本実施形態では、顧客は、データプレーンＶＣＮ５１８が何にアクセスすることができるかを決定することができ、顧客はデータプレーンＶＣＮ５１８から公衆インターネット５５４へのアクセスを制限し得る。ＩａａＳプロバイダは、フィルタを適用するか、または他の仕方で任意の外部ネットワークまたはデータベースへのデータプレーンＶＣＮ５１８のアクセスを制御することが不可能であり得る。顧客テナンシー５２１内に包含される、データプレーンＶＣＮ５１８に対して顧客によってフィルタおよび制御を適用することは、データプレーンＶＣＮ５１８を他の顧客から、および公衆インターネット５５４から隔離することを助けることができる。
【0081】
実施形態によっては、クラウドサービス５５６は、公衆インターネット５５４上、制御プレーンＶＣＮ５１６上、またはデータプレーンＶＣＮ５１８上に存在し得ないサービスにアクセスするためにサービスゲートウェイ５３６によってコールされ得る。クラウドサービス５５６と制御プレーンＶＣＮ５１６またはデータプレーンＶＣＮ５１８との間の接続はライブまたは継続的でなくてもよい。クラウドサービス５５６は、ＩａａＳプロバイダによって所有または操作される異なるネットワーク上に存在し得る。クラウドサービス５５６は、サービスゲートウェイ５３６からのコールを受信するように構成され得、公衆インターネット５５４からのコールを受信しないように構成され得る。一部のクラウドサービス５５６は他のクラウドサービス５５６から隔離され得、制御プレーンＶＣＮ５１６は、制御プレーンＶＣＮ５１６と同じリージョン内にないことがあるクラウドサービス５５６から隔離され得る。例えば、制御プレーンＶＣＮ５１６は「リージョン１」内に配置され得、クラウドサービス「デプロイメント４」はリージョン１内および「リージョン２」内に配置され得る。リージョン１内に配置された制御プレーンＶＣＮ５１６内に包含されるサービスゲートウェイ５３６によってデプロイメント４へのコールが行われた場合には、コールはリージョン１内のデプロイメント４へ伝送され得る。本例では、制御プレーンＶＣＮ５１６、またはリージョン１内のデプロイメント４は、リージョン２内のデプロイメント４と通信可能に結合されるか、または他の仕方でそれと通信し得ない。
【0082】
図６は、少なくとも１つの実施形態に係る、ＩａａＳアーキテクチャの別の例示的なパターンを示すブロック図６００である。サービスオペレータ６０２（例えば、図４の、サービスオペレータ４０２）は、仮想クラウドネットワーク（ＶＣＮ）６０６（例えば、図４のＶＣＮ４０６）およびセキュアホストサブネット６０８（例えば、図４のセキュアホストサブネット４０８）を含むことができるセキュアホストテナンシー６０４（例えば、図４のセキュアホストテナンシー４０４）に通信可能に結合され得る。ＶＣＮ６０６は、ＳＳＨ ＶＣＮ６１２内に包含されるＬＰＧ６１０を介してＳＳＨ ＶＣＮ６１２（例えば、図４のＳＳＨ ＶＣＮ４１２）に通信可能に結合され得るＬＰＧ６１０（例えば、図４のＬＰＧ４１０）を含むことができる。ＳＳＨ ＶＣＮ６１２はＳＳＨサブネット６１４（例えば、図４のＳＳＨサブネット４１４）を含むことができ、ＳＳＨ ＶＣＮ６１２は、制御プレーンＶＣＮ６１６内に包含されるＬＰＧ６１０を介して制御プレーンＶＣＮ６１６（例えば、図４の制御プレーンＶＣＮ４１６）に、およびデータプレーンＶＣＮ６１８内に包含されるＬＰＧ６１０を介してデータプレーンＶＣＮ６１８（例えば、図４のデータプレーン４１８）に通信可能に結合され得る。制御プレーンＶＣＮ６１６およびデータプレーンＶＣＮ６１８はサービステナンシー６１９（例えば、図４のサービステナンシー４１９）内に包含され得る。
【0083】
制御プレーンＶＣＮ６１６は、ロードバランサ（ＬＢ）サブネット６２２（例えば、図４のＬＢサブネット４２２）を含むことができる制御プレーンＤＭＺ層６２０（例えば、図４の制御プレーンＤＭＺ層４２０）、アプリサブネット６２６（例えば、図４のアプリサブネット４２６と同様のもの）を含むことができる制御プレーンアプリ層６２４（例えば、図４の制御プレーンアプリ層４２４）、ＤＢサブネット６３０を含むことができる制御プレーンデータ層６２８（例えば、図４の制御プレーンデータ層４２８）を含むことができる。制御プレーンＤＭＺ層６２０内に包含されるＬＢサブネット６２２は、制御プレーンアプリ層６２４内に包含されるアプリサブネット６２６に、および制御プレーンＶＣＮ６１６内に包含され得るインターネットゲートウェイ６３４（例えば、図４のインターネットゲートウェイ４３４）に通信可能に結合され得、アプリサブネット６２６は、制御プレーンデータ層６２８内に包含されるＤＢサブネット６３０に、ならびにサービスゲートウェイ６３６（例えば、図４のサービスゲートウェイ）、およびネットワークアドレス変換（ＮＡＴ）ゲートウェイ６３８（例えば、図４のＮＡＴゲートウェイ４３８）に通信可能に結合され得る。制御プレーンＶＣＮ６１６はサービスゲートウェイ６３６およびＮＡＴゲートウェイ６３８を含むことができる。
【0084】
データプレーンＶＣＮ６１８は、データプレーンアプリ層６４６（例えば、図４のデータプレーンアプリ層４４６）、データプレーンＤＭＺ層６４８（例えば、図４のデータプレーンＤＭＺ層４４８）、およびデータプレーンデータ層６５０（例えば、図４のデータプレーンデータ層４５０）を含むことができる。データプレーンＤＭＺ層６４８は、データプレーンアプリ層６４６の信頼できるアプリサブネット６６０および信頼できないアプリサブネット６６２、ならびにデータプレーンＶＣＮ６１８内に包含されるインターネットゲートウェイ６３４に通信可能に結合され得るＬＢサブネット６２２を含むことができる。信頼できるアプリサブネット６６０は、データプレーンＶＣＮ６１８内に包含されるサービスゲートウェイ６３６、データプレーンＶＣＮ６１８内に包含されるＮＡＴゲートウェイ６３８、およびデータプレーンデータ層６５０内に包含されるＤＢサブネット６３０に通信可能に結合され得る。信頼できないアプリサブネット６６２は、データプレーンＶＣＮ６１８内に包含されるサービスゲートウェイ６３６、およびデータプレーンデータ層６５０内に包含されるＤＢサブネット６３０に通信可能に結合され得る。データプレーンデータ層６５０は、データプレーンＶＣＮ６１８内に包含されるサービスゲートウェイ６３６に通信可能に結合され得るＤＢサブネット６３０を含むことができる。
【0085】
信頼できないアプリサブネット６６２は、テナント仮想機械（ＶＭ）６６６（１）～（Ｎ）に通信可能に結合され得る１つまたは複数のプライマリＶＮＩＣ６６４（１）～（Ｎ）を含むことができる。各テナントＶＭ６６６（１）～（Ｎ）は、それぞれの顧客テナンシー６７０（１）～（Ｎ）内に包含され得るそれぞれのコンテナエグレスＶＣＮ６６８（１）～（Ｎ）内に包含され得るそれぞれのアプリサブネット６６７（１）～（Ｎ）に通信可能に結合され得る。それぞれのセカンダリＶＮＩＣ６７２（１）～（Ｎ）は、データプレーンＶＣＮ６１８内に包含される信頼できないアプリサブネット６６２とコンテナエグレスＶＣＮ６６８（１）～（Ｎ）内に包含されるアプリサブネットとの間の通信を促進することができる。各コンテナエグレスＶＣＮ６６８（１）～（Ｎ）は、公衆インターネット６５４（例えば、図４の公衆インターネット４５４）に通信可能に結合され得るＮＡＴゲートウェイ６３８を含むことができる。
【0086】
制御プレーンＶＣＮ６１６内に包含される、およびデータプレーンＶＣＮ６１８内に包含されるインターネットゲートウェイ６３４は、公衆インターネット６５４に通信可能に結合され得るメタデータ管理サービス６５２（例えば、図４のメタデータ管理システム４５２）に通信可能に結合され得る。公衆インターネット６５４は、制御プレーンＶＣＮ６１６内に包含される、およびデータプレーンＶＣＮ６１８内に包含されるＮＡＴゲートウェイ６３８に通信可能に結合され得る。制御プレーンＶＣＮ６１６内に包含される、およびデータプレーンＶＣＮ６１８内に包含されるサービスゲートウェイ６３６はクラウドサービス６５６に通信可能に結合することができる。
【0087】
実施形態によっては、データプレーンＶＣＮ６１８は顧客テナンシー６７０と統合され得る。この統合は、コードを実行する際のサポートを所望し得る場合などの一部の場合に、ＩａａＳプロバイダの顧客のために有用になる、または望ましくなり得る。顧客は、破壊性を有し得るコードを実行のために提供し得るか、他の顧客リソースと通信し得るか、または他の仕方で望ましくない影響を引き起こし得る。これに応じて、ＩａａＳプロバイダは、顧客によってＩａａＳプロバイダに与えられたコードを実行するべきかどうかを決定し得る。
【0088】
例によっては、ＩａａＳプロバイダの顧客はＩａａＳプロバイダへの一時的なネットワークアクセスを許可し、機能がデータプレーンアプリ層６４６にアタッチされることを要求し得る。機能を実行するべきコードはＶＭ６６６（１）～（Ｎ）内で実行され得、コードは、データプレーンＶＣＮ６１８上の他のどの場所でも実行するようには構成され得ない。各ＶＭ６６６（１）～（Ｎ）は１つの顧客テナンシー６７０に接続され得る。ＶＭ６６６（１）～（Ｎ）内に包含されるそれぞれのコンテナ６７１（１）～（Ｎ）は、コードを実行するように構成され得る。この場合には、誤った、または他の様態で望ましくないコードがＩａａＳプロバイダのネットワークに損害を与えること、または異なる顧客のネットワークに損害を与えることを防止するのを助け得る、二重隔離が存在し得る（例えば、コンテナ６７１（１）～（Ｎ）がコードを実行し、コンテナ６７１（１）～（Ｎ）は、少なくとも、信頼できないアプリサブネット６６２内に包含されるＶＭ６６６（１）～（Ｎ）内に包含され得る）。コンテナ６７１（１）～（Ｎ）は顧客テナンシー６７０に通信可能に結合され得、顧客テナンシー６７０に対してデータを伝送または受信するように構成され得る。コンテナ６７１（１）～（Ｎ）は、データプレーンＶＣＮ６１８内のいずれの他のエンティティに対してもデータを伝送または受信するように構成され得ない。コードの実行を完了すると、ＩａａＳプロバイダはコンテナ６７１（１）～（Ｎ）をキルするか、または他の仕方で処分し得る。
【0089】
実施形態によっては、信頼できるアプリサブネット６６０は、ＩａａＳプロバイダによって所有または操作され得るコードを実行し得る。本実施形態では、信頼できるアプリサブネット６６０はＤＢサブネット６３０に通信可能に結合され、ＤＢサブネット６３０内のＣＲＵＤ操作を実行するように構成され得る。信頼できないアプリサブネット６６２はＤＢサブネット６３０に通信可能に結合され得るが、本実施形態では、信頼できないアプリサブネットは、ＤＢサブネット６３０内の読み出し操作を実行するように構成され得る。各顧客のＶＭ６６６（１）～（Ｎ）内に包含され得、顧客からのコードを実行し得るコンテナ６７１（１）～（Ｎ）はＤＢサブネット６３０と通信可能に結合され得ない。
【0090】
他の実施形態では、制御プレーンＶＣＮ６１６およびデータプレーンＶＣＮ６１８は直接通信可能に結合され得ない。本実施形態では、制御プレーンＶＣＮ６１６とデータプレーンＶＣＮ６１８との間の直接通信が存在し得ない。しかし、通信は少なくとも１つの方法を通じて間接的に行われ得る。制御プレーンＶＣＮ６１６とデータプレーンＶＣＮ６１８との間の通信を促進することができるＬＰＧ６１０がＩａａＳプロバイダによって確立され得る。別の例では、制御プレーンＶＣＮ６１６またはデータプレーンＶＣＮ６１８はサービスゲートウェイ６３６を介してクラウドサービス６５６へのコールを行うことができる。例えば、制御プレーンＶＣＮ６１６からクラウドサービス６５６へのコールは、データプレーンＶＣＮ６１８と通信することができるサービスのための要求を含むことができる。
【0091】
図７は、少なくとも１つの実施形態に係る、ＩａａＳアーキテクチャの別の例示的なパターンを示すブロック図７００である。サービスオペレータ７０２（例えば、図４の、サービスオペレータ４０２）は、仮想クラウドネットワーク（ＶＣＮ）７０６（例えば、図４のＶＣＮ４０６）およびセキュアホストサブネット７０８（例えば、図４のセキュアホストサブネット４０８）を含むことができるセキュアホストテナンシー７０４（例えば、図４のセキュアホストテナンシー４０４）に通信可能に結合され得る。ＶＣＮ７０６は、ＳＳＨ ＶＣＮ７１２内に包含されるＬＰＧ７１０を介してＳＳＨ ＶＣＮ７１２（例えば、図４のＳＳＨ ＶＣＮ４１２）に通信可能に結合され得るＬＰＧ７１０（例えば、図４のＬＰＧ４１０）を含むことができる。ＳＳＨ ＶＣＮ７１２はＳＳＨサブネット７１４（例えば、図４のＳＳＨサブネット４１４）を含むことができ、ＳＳＨ ＶＣＮ７１２は、制御プレーンＶＣＮ７１６内に包含されるＬＰＧ７１０を介して制御プレーンＶＣＮ７１６（例えば、図４の制御プレーンＶＣＮ４１６）に、およびデータプレーンＶＣＮ７１８内に包含されるＬＰＧ７１０を介してデータプレーンＶＣＮ７１８（例えば、図４のデータプレーン４１８）に通信可能に結合され得る。制御プレーンＶＣＮ７１６およびデータプレーンＶＣＮ７１８はサービステナンシー７１９（例えば、図４のサービステナンシー４１９）内に包含され得る。
【0092】
制御プレーンＶＣＮ７１６は、ＬＢサブネット７２２（例えば、図４のＬＢサブネット４２２）を含むことができる制御プレーンＤＭＺ層７２０（例えば、図４の制御プレーンＤＭＺ層４２０）、アプリサブネット７２６（例えば、図４のアプリサブネット４２６）を含むことができる制御プレーンアプリ層７２４（例えば、図４の制御プレーンアプリ層４２４）、ＤＢサブネット７３０（例えば、図６のＤＢサブネット６３０）を含むことができる制御プレーンデータ層７２８（例えば、図４の制御プレーンデータ層４２８）を含むことができる。制御プレーンＤＭＺ層７２０内に包含されるＬＢサブネット７２２は、制御プレーンアプリ層７２４内に包含されるアプリサブネット７２６に、および制御プレーンＶＣＮ７１６内に包含され得るインターネットゲートウェイ７３４（例えば、図４のインターネットゲートウェイ４３４）に通信可能に結合され得、アプリサブネット７２６は、制御プレーンデータ層７２８内に包含されるＤＢサブネット７３０に、ならびにサービスゲートウェイ７３６（例えば、図４のサービスゲートウェイ）、およびネットワークアドレス変換（ＮＡＴ）ゲートウェイ７３８（例えば、図４のＮＡＴゲートウェイ４３８）に通信可能に結合され得る。制御プレーンＶＣＮ７１６はサービスゲートウェイ７３６およびＮＡＴゲートウェイ７３８を含むことができる。
【0093】
データプレーンＶＣＮ７１８は、データプレーンアプリ層７４６（例えば、図４のデータプレーンアプリ層４４６）、データプレーンＤＭＺ層７４８（例えば、図４のデータプレーンＤＭＺ層４４８）、およびデータプレーンデータ層７５０（例えば、図４のデータプレーンデータ層４５０）を含むことができる。データプレーンＤＭＺ層７４８は、データプレーンアプリ層７４６の信頼できるアプリサブネット７６０（例えば、図６の信頼できるアプリサブネット６６０）および信頼できないアプリサブネット７６２（例えば、図６の信頼できないアプリサブネット６６２）、ならびにデータプレーンＶＣＮ７１８内に包含されるインターネットゲートウェイ７３４に通信可能に結合され得るＬＢサブネット７２２を含むことができる。信頼できるアプリサブネット７６０は、データプレーンＶＣＮ７１８内に包含されるサービスゲートウェイ７３６、データプレーンＶＣＮ７１８内に包含されるＮＡＴゲートウェイ７３８、およびデータプレーンデータ層７５０内に包含されるＤＢサブネット７３０に通信可能に結合され得る。信頼できないアプリサブネット７６２は、データプレーンＶＣＮ７１８内に包含されるサービスゲートウェイ７３６、およびデータプレーンデータ層７５０内に包含されるＤＢサブネット７３０に通信可能に結合され得る。データプレーンデータ層７５０は、データプレーンＶＣＮ７１８内に包含されるサービスゲートウェイ７３６に通信可能に結合され得るＤＢサブネット７３０を含むことができる。
【0094】
信頼できないアプリサブネット７６２は、信頼できないアプリサブネット７６２内に常駐するテナント仮想機械（ＶＭ）７６６（１）～（Ｎ）に通信可能に結合され得るプライマリＶＮＩＣ７６４（１）～（Ｎ）を含むことができる。各テナントＶＭ７６６（１）～（Ｎ）はそれぞれのコンテナ７６７（１）～（Ｎ）内でコードを実行し、コンテナエグレスＶＣＮ７６８内に包含され得るデータプレーンアプリ層７４６内に包含され得るアプリサブネット７２６に通信可能に結合され得る。それぞれのセカンダリＶＮＩＣ７７２（１）～（Ｎ）は、データプレーンＶＣＮ７１８内に包含される信頼できないアプリサブネット７６２とコンテナエグレスＶＣＮ７６８内に包含されるアプリサブネットとの間の通信を促進することができる。コンテナエグレスＶＣＮは、公衆インターネット７５４（例えば、図４の公衆インターネット４５４）に通信可能に結合され得るＮＡＴゲートウェイ７３８を含むことができる。
【0095】
制御プレーンＶＣＮ７１６内に包含される、およびデータプレーンＶＣＮ７１８内に包含されるインターネットゲートウェイ７３４は、公衆インターネット７５４に通信可能に結合され得るメタデータ管理サービス７５２（例えば、図４のメタデータ管理システム４５２）に通信可能に結合され得る。公衆インターネット７５４は、制御プレーンＶＣＮ７１６内に包含される、およびデータプレーンＶＣＮ７１８内に包含されるＮＡＴゲートウェイ７３８に通信可能に結合され得る。制御プレーンＶＣＮ７１６内に包含される、およびデータプレーンＶＣＮ７１８内に包含されるサービスゲートウェイ７３６はクラウドサービス７５６に通信可能に結合することができる。
【0096】
例によっては、図７のブロック図７００のアーキテクチャによって示されるパターンは、図６のブロック図６００のアーキテクチャによって示されるパターンに対する例外と考えられ得、ＩａａＳプロバイダが顧客（例えば、切断されたリージョン）と直接通信することができない場合に、ＩａａＳプロバイダの顧客のために望ましくなり得る。顧客ごとのＶＭ７６６（１）～（Ｎ）内に包含されるそれぞれのコンテナ７６７（１）～（Ｎ）は顧客によってリアルタイムにアクセスされ得る。コンテナ７６７（１）～（Ｎ）は、コンテナエグレスＶＣＮ７６８内に包含され得るデータプレーンアプリ層７４６のアプリサブネット７２６内に包含されるそれぞれのセカンダリＶＮＩＣ７７２（１）～（Ｎ）へのコールを行うように構成され得る。セカンダリＶＮＩＣ７７２（１）～（Ｎ）はコールをＮＡＴゲートウェイ７３８へ伝送することができ、ＮＡＴゲートウェイ７３８はコールを公衆インターネット７５４へ伝送し得る。本例では、顧客によってリアルタイムにアクセスされ得るコンテナ７６７（１）～（Ｎ）は、制御プレーンＶＣＮ７１６から隔離され得、データプレーンＶＣＮ７１８内に包含される他のエンティティから隔離され得る。コンテナ７６７（１）～（Ｎ）はまた、他の顧客からのリソースからも隔離され得る。
【0097】
他の例では、顧客はコンテナ７６７（１）～（Ｎ）を用いてクラウドサービス７５６をコールすることができる。本例では、顧客はコンテナ７６７（１）～（Ｎ）内で、クラウドサービス７５６からのサービスを要求するコードを実行し得る。コンテナ７６７（１）～（Ｎ）はこの要求をセカンダリＶＮＩＣ７７２（１）～（Ｎ）へ伝送することができ、セカンダリＶＮＩＣ７７２（１）～（Ｎ）は要求をＮＡＴゲートウェイへ伝送することができ、ＮＡＴゲートウェイは要求を公衆インターネット７５４へ伝送することができる。公衆インターネット７５４はインターネットゲートウェイ７３４を介して要求を、制御プレーンＶＣＮ７１６内に包含されるＬＢサブネット７２２へ伝送することができる。要求は有効であると決定したことに応じて、ＬＢサブネットは要求をアプリサブネット７２６へ伝送することができ、アプリサブネット７２６はサービスゲートウェイ７３６を介して要求をクラウドサービス７５６へ伝送することができる。
【0098】
図に示されるＩａａＳアーキテクチャ４００、５００、６００、７００は、示されたもの以外のコンポーネントを有し得ることを理解されたい。さらに、図に示される実施形態は、単に、本開示の一実施形態を組み込み得るクラウドインフラストラクチャシステムの一部の例にすぎない。他の実施形態によっては、ＩａａＳシステムは、図に示されるのよりも多数または少数のコンポーネントを有し得るか、２つ以上のコンポーネントを組み合わせ得るか、あるいはコンポーネントの異なる構成または配置を有し得る。
【0099】
一部の実施形態では、本明細書において説明されるＩａａＳシステムは、セルフサービスの、加入ベースの、弾力的にスケーラブルな、信頼できる、高度に利用可能な、および安全な仕方で顧客へ配布される、アプリケーションのスイート、ミドルウェア、およびデータベースサービス提供を含み得る。このようなＩａａＳシステムの一例は、本譲受人によって提供されるOracle Cloud Infrastructure（ＯＣＩ）である。
【0100】
図８は、様々な実施形態が実施され得る、例示的なコンピュータシステム８００を示す。システム８００は、上述されたコンピュータシステムのうちの任意のものを実施するために用いられ得る。図に示されるように、コンピュータシステム８００は、バスサブシステム８０２を介して多数の周辺サブシステムと通信する処理ユニット８０４を含む。これらの周辺サブシステムは、処理加速ユニット８０６、Ｉ／Ｏサブシステム８０８、ストレージサブシステム８１８、および通信サブシステム８２４を含み得る。ストレージサブシステム８１８は有形のコンピュータ可読記憶媒体８２２およびシステムメモリ８１０を含む。
【0101】
バスサブシステム８０２は、コンピュータシステム８００の様々なコンポーネントおよびサブシステムに、意図されたとおりに互いに通信させるための機構を提供する。バスサブシステム８０２は単一のバスとして概略的に示されているが、バスサブシステムの代替的実施形態は複数のバスを利用し得る。バスサブシステム８０２は、メモリバスもしくはメモリコントローラ、周辺バス、および種々のバスアーキテクチャのうちの任意のものを用いたローカルバスを含むいくつかの種類のバス構造のうちの任意のものであり得る。例えば、このようなアーキテクチャとしては、業界標準アーキテクチャ（ＩＳＡ：Industry Standard Architecture）バス、マイクロチャネルアーキテクチャ（ＭＣＡ：Micro Channel Architecture）バス、拡張ＩＳＡ（ＥＩＳＡ：Enhanced ISA）バス、ビデオエレクトロニクス規格協会（ＶＥＳＡ：Video Electronics Standards Association）ローカルバス、およびＩＥＥＥ Ｐ１３８６．１規格に合わせて製造されるメザニンバスとして実施され得る、周辺装置相互接続（ＰＣＩ：Peripheral Component Interconnect）バスが挙げられ得る。
【0102】
[0001]１つまたは複数の集積回路（例えば、従来のマイクロプロセッサまたはマイクロコントローラ）として実施され得る、処理ユニット８０４がコンピュータシステム８００の動作を制御する。１つまたは複数のプロセッサが処理ユニット８０４内に含まれ得る。これらのプロセッサはシングルコアまたはマルチコアプロセッサを含み得る。一部の実施形態では、処理ユニット８０４は、シングルまたはマルチコアプロセッサが各処理ユニット内に含まれる１つまたは複数の独立した処理ユニット８３２および／または８３４として実施され得る。他の実施形態では、処理ユニット８０４はまた、２つのデュアルコアプロセッサを単一のチップに統合することによって形成されたクアッドコア処理ユニットとして実施され得る。
【0103】
様々な実施形態では、処理ユニット８０４はプログラムコードに応じて種々のプログラムを実行することができ、複数の同時に実行するプログラムまたはプロセスを維持することができる。いかなる時でも、実行されるべきプログラムコードのうちの一部または全てはプロセッサ８０４内および／またはストレージサブシステム８１８内に常駐していることができる。好適なプログラミングを通じて、プロセッサ８０４は、上述された様々な機能性を提供することができる。コンピュータシステム８００は、デジタル信号プロセッサ（ＤＳＰ：digital signal processor）、専用プロセッサ、および／または同様のものを含むことができる、処理加速ユニット８０６を追加的に含み得る。
【0104】
／Ｏサブシステム８０８はユーザインターフェース入力デバイスおよびユーザインターフェース出力デバイスを含み得る。ユーザインターフェース入力デバイスは、キーボード、マウスまたはトラックボールなどのポインティングデバイス、ディスプレイ内に組み込まれたタッチパッドまたはタッチスクリーン、スクロールホイール、クリックホイール、ダイアル、ボタン、スイッチ、キーパッド、音声コマンド認識システム、マイクロフォンを用いたオーディオ入力デバイス、ならびに他の種類の入力デバイスを含み得る。ユーザインターフェース入力デバイスは、例えば、ユーザが、ジェスチャおよび発話コマンドを用いたナチュラルユーザインターフェースを通じて、Microsoft Xbox（登録商標）360ゲームコントローラなどの、入力デバイスを制御し、それと対話することを可能にする、Microsoft Kinect（登録商標）動きセンサなどの動作検知および／またはジェスチャ認識デバイスを含み得る。ユーザインターフェース入力デバイスはまた、ユーザから眼の活動（例えば、写真を撮影している、および／またはメニューの選択を行っている間に「瞬きすること」）を検出し、アイジェスチャを入力デバイス（例えば、Google Glass（登録商標））内への入力として変換する、Google Glass（登録商標）瞬き検出器などのアイジェスチャ認識デバイスを含み得る。加えて、ユーザインターフェース入力デバイスは、ユーザが音声コマンドを通じて音声認識システム（例えば、Siri（登録商標）ナビゲータ）と対話することを可能にする音声認識感知デバイスを含み得る。
【0105】
ユーザインターフェース入力デバイスはまた、限定するものではないが、３次元（３Ｄ）マウス、ジョイスティックまたはポインティングスティック、ゲームパッドおよびグラフィックタブレット、ならびにスピーカ、デジタルカメラ、デジタルカムコーダ、ポータブルメディアプレーヤ、ウェブカメラ、イメージスキャナ、指紋スキャナ、バーコードリーダ３Ｄスキャナ、３Ｄプリンタ、レーザー測距器、および視線追跡デバイスなどの聴覚／視覚デバイスを含み得る。加えて、ユーザインターフェース入力デバイスは、例えば、コンピュータ断層撮影、磁気共鳴映像、位置（position）放射断層撮影、医療超音波検査デバイスなどの医療撮像入力デバイスを含み得る。ユーザインターフェース入力デバイスはまた、例えば、ＭＩＤＩキーボード、デジタル楽器、および同様のものなどのオーディオ入力デバイスを含み得る。
【0106】
ユーザインターフェース出力デバイスは、ディスプレイサブシステム、インジケータライト、またはオーディオ出力デバイス等の非視覚的ディスプレイを含み得る。ディスプレイサブシステムは、陰極線管（ＣＲＴ：cathode ray tube）、液晶ディスプレイ（ＬＣＤ：liquid crystal display）またはプラズマディスプレイを用いるものなどの、フラットパネルデバイス、投影デバイス、タッチスクリーン、ならびに同様のものであり得る。概して、用語「出力デバイス」の使用は、情報をコンピュータシステム８００からユーザまたは他のコンピュータへ出力するための全ての可能な種類のデバイスおよび機構を含むことを意図される。例えば、ユーザインターフェース出力デバイスは、限定するものではないが、モニタ、プリンタ、スピーカ、ヘッドフォン、自動車ナビゲーションシステム、プロッタ、音声出力デバイス、およびモデムなどの、テキスト、グラフィックス、および音声／映像情報を視覚的に伝える種々の表示デバイスを含み得る。
【0107】
コンピュータシステム８００は、本開示において説明される実施形態の機能性を提供するソフトウェアおよびデータ構造を記憶するための有形の非一時的コンピュータ可読記憶媒体を提供するストレージサブシステム８１８を備え得る。ソフトウェアは、処理ユニット８０４の１つまたは複数のコアまたはプロセッサによって実行されると、上述された機能性を提供する、プログラム、コードモジュール、命令、スクリプト等を含むことができる。ストレージサブシステム８１８はまた、本開示に従って用いられるデータを記憶するためのリポジトリを提供し得る。
【0108】
図８における例に示されるように、ストレージサブシステム８１８は、システムメモリ８１０、コンピュータ可読記憶媒体８２２、およびコンピュータ可読記憶媒体リーダ８２０を含む様々なコンポーネントを含むことができる。システムメモリ８１０は、処理ユニット８０４によってロード可能で、実行可能であるプログラム命令を記憶し得る。システムメモリ８１０はまた、命令の実行中に用いられるデータ、および／またはプログラム命令の実行中に生成されたデータを記憶し得る。限定するものではないが、クライアントアプリケーション、ウェブブラウザ、中間層アプリケーション、リレーショナルデータベース管理システム（ＲＤＢＭＳ：relational database management system）、仮想機械、コンテナ等を含む、様々な異なる種類のプログラムがシステムメモリ８１０内にロードされ得る。
【0109】
システムメモリ８１０はまた、オペレーティングシステム８１６を記憶し得る。オペレーティングシステム８１６の例としては、様々なバージョンのMicrosoft Windows（登録商標）、Apple Macintosh（登録商標）、および／またはLinuxオペレーティングシステム、種々の市販のUNIX（登録商標）もしくはUNIX系オペレーティングシステム（限定するものではないが、種々のGNU/Linuxオペレーティングシステム、Google Chrome（登録商標）OS、および同様のものを含む）、ならびに／あるいはiOS、Windows（登録商標）Phone、Android（登録商標）OS、BlackBerry（登録商標）OS、およびPalm（登録商標）OSオペレーティングシステムなどのモバイルオペレーティングシステムを挙げることができる。コンピュータシステム８００が１つまたは複数の仮想機械を実行する一部の実装形態では、仮想機械はそれらのゲストオペレーティングシステム（ＧＯＳ：guest operating system）と共にシステムメモリ８１０内にロードされ、処理ユニット８０４の１つまたは複数のプロセッサまたはコアによって実行され得る。
【0110】
システムメモリ８１０は、コンピュータシステム８００の種類に応じて異なる構成のものであることができる。例えば、システムメモリ８１０は、揮発性メモリ（ランダムアクセスメモリ（ＲＡＭ：random access memory）など）、および／または不揮発性メモリ（リードオンリーメモリ（ＲＯＭ：read-only memory）、フラッシュメモリ等）であり得る。スタティックランダムアクセスメモリ（ＳＲＡＭ：static random access memory）、ダイナミックランダムアクセスメモリ（ＤＲＡＭ：dynamic random access memory）、および他のものを含む、異なる種類のＲＡＭ構成が提供され得る。実装形態によっては、システムメモリ８１０は、起動の最中などに、コンピュータシステム８００内の要素間で情報を転送するのを助けるための基本ルーチンを包含する、基本入出力システム（ＢＩＯＳ：basic input/output system）を含み得る。
【0111】
コンピュータ可読記憶媒体８２２は、コンピュータシステム８００の処理ユニット８０４によって実行可能な命令を含むコンピュータシステム８００による使用のためのコンピュータ可読情報を、一時的に、および／またはより永久的に包含し、記憶するための、リモート、ローカル、固定式、および／または着脱式記憶デバイス・プラス・記憶媒体を表現し得る。
【0112】
コンピュータ可読記憶媒体８２２はまた、限定するものではないが、情報の記憶および／または伝送のための任意の方法または技術において実施される揮発性および不揮発性、着脱式および非着脱式媒体などの、記憶媒体および通信媒体を含む、当技術分野において知られた、または用いられる、任意の適切な媒体を含むことができる。これは、ＲＡＭ、ＲＯＭ、電気的削除可能プログラマブルＲＯＭ（ＥＥＰＲＯＭ：electronically erasable programmable ROM）、フラッシュメモリ、または他のメモリ技術、ＣＤ－ＲＯＭ、デジタルバーサタイルディスク（ＤＶＤ：digital versatile disk）、または他の光ストレージ、磁気カセット、磁気テープ、磁気ディスクストレージ、または他の磁気記憶デバイス、あるいは他の有形のコンピュータ可読媒体などの、有形のコンピュータ可読記憶媒体を含むことができる。
【0113】
例として、コンピュータ可読記憶媒体８２２は、非着脱式不揮発性磁気媒体から読み出す、またはそれに書き込むハードディスクドライブ、着脱式不揮発性磁気ディスクから読み出す、またはそれに書き込む磁気ディスクドライブ、ならびにＣＤ ＲＯＭ、ＤＶＤ、およびBlu-Ray（登録商標）ディスク、または他の光媒体などの、着脱式不揮発性光ディスクから読み出す、またはそれに書き込む光ディスクドライブを含み得る。コンピュータ可読記憶媒体８２２は、限定するものではないが、Zip（登録商標）ドライブ、フラッシュメモリカード、ユニバーサルシリアルバス（ＵＳＢ：universal serial bus）フラッシュドライブ、セキュアデジタル（ＳＤ：secure digital）カード、ＤＶＤディスク、デジタルビデオテープ、および同様のものを含み得る。コンピュータ可読記憶媒体８２２はまた、フラッシュメモリベースのＳＳＤ、企業フラッシュドライブ、ソリッドステートＲＯＭ、および同様のものなどの、不揮発性メモリに基づくソリッドステートドライブ（ＳＳＤ：solid-state drive）、ソリッドステートＲＡＭ、ダイナミックＲＡＭ、スタティックＲＡＭ、ＤＲＡＭベースのＳＳＤ、磁気抵抗ＲＡＭ（ＭＲＡＭ：magnetoresistive RAM）ＳＳＤなどの、揮発性メモリに基づくＳＳＤ、ならびにＤＲＡＭおよびフラッシュメモリベースのＳＳＤの組み合わせを用いるハイブリッドＳＳＤを含み得る。ディスクドライブおよびそれらの関連コンピュータ可読媒体は、コンピュータ可読命令、データ構造、プログラムモジュール、およびコンピュータシステム８００のための他のデータの不揮発性記憶をもたらし得る。
【0114】
処理ユニット８０４の１つまたは複数のプロセッサまたはコアによって実行可能な機械可読命令は非一時的コンピュータ可読記憶媒体上に記憶され得る。非一時的コンピュータ可読記憶媒体は、揮発性メモリ記憶デバイスおよび／または不揮発性記憶デバイスを含む物理的に有形のメモリまたは記憶デバイスを含むことができる。非一時的コンピュータ可読記憶媒体の例としては、磁気記憶媒体（例えば、ディスクまたはテープ）、光記憶媒体（例えば、ＤＶＤ、ＣＤ）、様々な種類のＲＡＭ、ＲＯＭ、またはフラッシュメモリ、ハードドライブ、フロッピー（登録商標）ドライブ、着脱式メモリドライブ（例えば、ＵＳＢドライブ）、あるいは他の種類の記憶デバイスが挙げられる。
【0115】
通信サブシステム８２４は他のコンピュータシステムおよびネットワークへのインターフェースを提供する。通信サブシステム８２４は、他のシステムからデータを受信し、コンピュータシステム８００から他のシステムへデータを伝送するためのインターフェースの役割を果たす。例えば、通信サブシステム８２４は、コンピュータシステム８００がインターネットを介して１つまたは複数のデバイスに接続することを可能にし得る。実施形態によっては、通信サブシステム８２４は、（例えば、セルラ電話技術、３Ｇ、４Ｇ、もしくはＥＤＧＥ（enhanced data rates for global evolution（エンハンストデータレート・フォー・グローバルエボリューション））などの、先進データネットワーク技術、ＷｉＦｉ（ＩＥＥＥ８０２．１１ファミリー規格、または他のモバイル通信技術、あるいはこれらの任意の組み合わせを用いて）無線音声および／またはデータネットワークにアクセスするための無線周波数（ＲＦ：radio frequency）トランシーバコンポーネント、全地球測位システム（ＧＰＳ：global positioning system）受信器コンポーネント、ならびに／あるいは他のコンポーネントを含むことができる。実施形態によっては、通信サブシステム８２４は、無線インターフェースに加えて、またはその代わりに、有線ネットワーク接続性（例えば、Ethernet）を提供することができる。
【0116】
実施形態によっては、通信サブシステム８２４はまた、コンピュータシステム８００を使用し得る１人または複数のユーザのために、構造化された、および／または構造化されていないデータフィード８２６、イベントストリーム８２８、イベント更新８３０、ならびに同様のものの形態の入力通信を受信し得る。
【0117】
例として、通信サブシステム８２４は、Twitter（登録商標）フィード、Facebook（登録商標）更新、リッチサイトサマリー（ＲＳＳ：Rich Site Summary）フィードなどのウェブフィード、および／または１つまたは複数のサードパーティ情報源からのリアルタイム更新など、ソーシャルネットワークおよび／または他の通信サービスのユーザからデータフィード８２６をリアルタイムに受信するように構成され得る。
【0118】
加えて、通信サブシステム８２４はまた、明確な終端を本質的に有しない、連続的な、または境界のないものであり得る、リアルタイムイベントのイベントストリーム８２８、および／またはイベント更新８３０を含み得る、連続データストリームの形態のデータを受信するように構成され得る。連続データを生成するアプリケーションの例としては、例えば、センサデータアプリケーション、金融株式相場表示板、ネットワーク性能測定ツール（例えば、ネットワーク監視およびトラフィック管理アプリケーション）、クリックストリーム分析ツール、自動車トラフィック監視、ならびに同様のものが挙げられ得る。
【0119】
通信サブシステム８２４はまた、構造化された、および／または構造化されていないデータフィード８２６、イベントストリーム８２８、イベント更新８３０、ならびに同様のものを、コンピュータシステム８００に結合された１つまたは複数のストリーミングデータソースコンピュータと通信し得る１つまたは複数のデータベースへ出力するように構成され得る。
【0120】
コンピュータシステム８００は、ハンドヘルドポータブルデバイス（例えば、iPhone（登録商標）セルラ電話、iPad（登録商標）コンピューティングタブレット、ＰＤＡ）、ウェアラブルデバイス（例えば、Google Glass（登録商標）ヘッドマウントディスプレイ）、ＰＣ、ワークステーション、メインフレーム、キオスク、サーバラック、または任意の他のデータ処理システムを含む、様々な種類のうちの１つであることができる。
【0121】
コンピュータおよびネットワークの絶え間なく変化し続ける性質のゆえに、図に示されるコンピュータシステム８００の説明は単なる具体例として意図されているにすぎない。図に示されるシステムよりも多数または少数のコンポーネントを有する多くの他の構成が可能である。例えば、カスタマイズされたハードウェアも用いられ得、ならびに／あるいは特定の要素は、ハードウェア、ファームウェア、ソフトウェア（アプレットを含む）、または組み合わせの形で実施され得るであろう。さらに、ネットワーク入力／出力デバイスなどの、他のコンピューティングデバイスへの接続が採用され得る。本明細書において提供される開示および教示に基づいて、当業者は、様々な実施形態を実施するための他の仕方および／または方法を理解するであろう。
【0122】
特定の実施形態が説明されたが、様々な変更、改変、代替的構造、および同等物も本開示の範囲内に包含される。実施形態は一部の特定のデータ処理環境内の動作に限定されず、複数のデータ処理環境内で自由に動作できる。加えて、実施形態は特定の一連のトランザクションおよびステップを用いて説明されたが、当業者には、本開示の範囲は、説明された一連のトランザクションおよびステップに限定されないことが明らかであるはずである。上述の実施形態の様々な特徴および態様は、個々に、または合同で用いられ得る。
【0123】
さらに、実施形態はハードウェアおよびソフトウェアの特定の組み合わせを用いて説明されたが、ハードウェアおよびソフトウェアの他の組み合わせも本開示の範囲内であることが認識されるべきである。実施形態は、ハードウェアの形でのみ、またはソフトウェアの形でのみ、あるいはこれらの組み合わせを用いて実施され得る。本明細書において説明される様々なプロセスは同じプロセッサまたは異なるプロセッサ上で任意の組み合わせで実施され得る。したがって、コンポーネントまたはモジュールが、とある動作を遂行するように構成されているように説明されている場合、このような構成は、例えば、電子回路を、動作を遂行するように設計することによって、プログラム可能な電子回路（マイクロプロセッサなど）を、動作を遂行するようにプログラムすること、またはこれらの任意の組み合わせによって達成され得る。プロセスは、限定するものではないが、プロセス間通信のための従来の技術を含む種々の技術を用いて通信することができ、異なる対のプロセスは異なる技術を用い得、または同じ対のプロセスは異なる時点で異なる技術を用い得る。
【0124】
したがって、明細書および図面は、限定でなく、例示的な意味で捉えられるべきである。しかし、請求項において記載されるとおりのより広い趣旨および範囲から逸脱することなく、追加、削減、削除、ならびに他の変更および改変がそれらに対して行われ得ることは明らかであろう。それゆえ、具体的な開示の実施形態が説明されたが、これらは限定であることを意図されていない。様々な変更および等価物が添付の請求項の範囲に含まれる。
【0125】
本開示の実施形態を説明する文脈における（特に、添付の請求項の文脈における）用語「a」、および「an」、および「the」ならびに同様の指示対象の使用は、本明細書において別途記載がないか、または文脈によって明確に否定されない限り、単数形および複数形の両方を包括すると解釈されるべきである。用語「備える（comprising）」、「有する（having）」、「含む（including）」、および「包含する（containing）」は、特に断りのない限り、オープンエンドな用語（すなわち、「限定するものではないが、～を含む（including, but not limited to）」を意味する）として解釈されるべきである。用語「接続される（connected）」は、たとえ、何らかの介在物が存在する場合でも、～内に部分的もしくは完全に包含される（partly or wholly contained within）、～に取り付けられる（attached to）、または相互に連結される（joined together）として解釈されるべきである。本明細書における値の範囲の記載は、本明細書において別途記載のない限り、単に、範囲に含まれる各々の別個の値に個々に言及する簡略的方法の役割を果たすことを意図されているにすぎず、各々の別個の値は、あたかもそれが本明細書において個々に記載されているかのように明細書に組み込まれる。本明細書において説明される全ての方法は、本明細書において別途記載がないか、または文脈によって別途明確に否定されない限り、任意の好適な順序で遂行され得る。本明細書において与えられるありとあらゆる例、または例示的な文言（例えば、「～など（such as）」）の使用は、単に、実施形態の理解をより容易にすることを意図されているにすぎず、別途断りのない限り、本開示の範囲に限定を課すものではない。明細書中のいかなる文言も、非クレーム要素を本開示の実施に不可欠のものとして指示していると解釈されてはならない。
【0126】
語句「Ｘ、Ｙ、またはＺのうちの少なくとも１つ」などの、離接的な文言は、別途特に断りのない限り、概して、項目、用語等は、Ｘ、Ｙ、またはＺのいずれか、あるいはこれらの任意の組み合わせ（例えば、Ｘ、Ｙ、および／またはＺ）であり得ることを示すために使用されると文脈内で理解されることを意図されている。それゆえ、このような離接的な文言は、概して、一部の実施形態は、Ｘのうちの少なくとも１つ、Ｙのうちの少なくとも１つ、またはＺのうちの少なくとも１つが各々存在することを必要とすることを暗示することを意図されておらず、暗示するべきでない。
【0127】
本明細書では、本開示を実施するために知られた最良の形態を含む、本開示の好ましい実施形態が説明されている。それらの好ましい実施形態の変形例は、上述の説明を読むことで当業者に明らかになり得る。当業者は必要に応じてこのような変形例を採用することができるはずであり、本開示は、本明細書において具体的に説明されたもの以外の仕方で実施され得る。したがって、本開示は、適用法によって許されるとおりの本明細書に添付された請求項に記載される主題の全ての変更例および同等物を含む。さらに、本明細書において別途記載のない限り、それらの全ての可能な変形例における上述の要素の任意の組み合わせが本開示によって包含される。
【0128】
本明細書において挙げられた、公報、特許出願、および特許を含む、全ての参照文献は、あたかも、各参照文献が、参照により組み込まれるよう個々に具体的に指示され、その全体が本明細書において記載されているのと同じ程度に、本明細書において参照により組み込まれる。
【0129】
上述の明細書において、本開示の態様はその特定の実施形態を参照して説明されているが、当業者は、本開示はそれらに限定されないことを認識するであろう。上述の開示の様々な特徴および態様は、個々に、または合同で用いられ得る。さらに、実施形態は、本明細書のより広い趣旨および範囲から逸脱することなく、本明細書において説明されるものを超える任意の数の環境および適用において利用され得る。したがって、明細書および図面は、限定でなく、例示として捉えられるべきである。
【図1】
【図2】
【図3】
【図4】
【図5】
【図6】
【図7】
【図8】
【国際調査報告】