特表 2024-538487 ドメインリソースとしての外部ＩＤプロバイダ

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】公表特許公報(A)

(11)【公表番号】

(43)【公表日】2024-10-23

(54)【発明の名称】ドメインリソースとしての外部ＩＤプロバイダ

(51)【国際特許分類】

   G06F 21/60 20130101AFI20241016BHJP

   G06F 21/31 20130101ALI20241016BHJP

【ＦＩ】

G06F21/60 340

G06F21/31

【審査請求】未請求

【予備審査請求】未請求

(21)【出願番号】P 2024513424

(86)(22)【出願日】2022-09-28

(85)【翻訳文提出日】2024-02-28

(86)【国際出願番号】 US2022077161

(87)【国際公開番号】W WO2023056285

(87)【国際公開日】2023-04-06

(31)【優先権主張番号】63/250,598

(32)【優先日】2021-09-30

(33)【優先権主張国・地域又は機関】US

(31)【優先権主張番号】17/934,846

(32)【優先日】2022-09-23

(33)【優先権主張国・地域又は機関】US

(81)【指定国・地域】

【公序良俗違反の表示】

（特許庁注：以下のものは登録商標）

１．ＷＩＮＤＯＷＳ ＰＨＯＮＥ

２．ｉＯＳ

(71)【出願人】

【識別番号】502303739

【氏名又は名称】オラクル・インターナショナル・コーポレイション

(74)【代理人】

【識別番号】110001195

【氏名又は名称】弁理士法人深見特許事務所

(72)【発明者】

【氏名】ナガラジャ，ギリシュ

(72)【発明者】

【氏名】バン・デン・ダンゲン，マルティヌス・ペトルス・ランベルトゥス

(72)【発明者】

【氏名】ウィルソン，グレッグ

(72)【発明者】

【氏名】コール，ゲイリー・フィリップ

(72)【発明者】

【氏名】エバーニ，ベンカタ・サブバラオ

(57)【要約】

本明細書では、第１のＩＤおよびアクセス管理（ＩＡＭ）システム、および第１のＩＡＭシステムとは異なる第２のＩＡＭシステムから統合ＩＡＭシステムを生成するためのフレームワークについて説明する。統合ＩＡＭシステムは、（ｉ）第１のＩＡＭシステムに関連付けられている顧客テナント内にドメインを作成し、（ｉｉ）ドメイン内に第２のＩＡＭシステムのＩＤプロバイダを埋め込むことによって生成される。統合ＩＡＭシステムは、第２のＩＡＭシステムに関連付けられているリソースに関して動作を実行する要求をユーザから受信する。ユーザが統合ＩＡＭシステムによって認証されることに成功すると、要求が実行される。

【特許請求の範囲】

【請求項1】

第１のＩＤおよびアクセス管理（ＩＡＭ）システム、および前記第１のＩＡＭシステムとは異なる第２のＩＡＭシステムから、（ｉ）前記第１のＩＡＭシステムに関連付けられている顧客テナント内にドメインを作成し、（ｉｉ）前記ドメイン内に前記第２のＩＡＭシステムのＩＤプロバイダを埋め込むことにより、統合ＩＡＭシステムを生成することと、
前記統合ＩＡＭシステムが、前記第２のＩＡＭシステムに関連付けられているリソースに関して動作を実行するためのユーザからの要求を受信することと、
前記ユーザが前記統合ＩＡＭシステムによって認証されることに成功したことに応答して前記要求を実行することと、を含む、方法。

【請求項2】

前記ドメインは、前記顧客テナントのコンパートメント内に作成される、請求項１に記載の方法。

【請求項3】

前記コンパートメントは、前記ユーザによるリソースへのアクセスを管理する１つまたは複数のルールに対応するポリシーに関連付けられている、請求項２に記載の方法。

【請求項4】

前記顧客テナント内に複数のドメインを作成することをさらに含み、前記複数のドメインの各々は前記第２のＩＡＭシステムのストライプに対応し、前記ストライプは１人または複数のユーザを含むコンテナに対応する、請求項１に記載の方法。

【請求項5】

前記複数のドメインの各々は、対応するポリシーに関連付けられている、請求項４に記載の方法。

【請求項6】

前記統合ＩＡＭシステムの制御プレーンは、（ｉ）新しいドメインの作成に関する要求を受信するように構成されている第１のエンドポイント、および（ｉｉ）複数の第２のエンドポイントを含み、前記複数の第２のエンドポイントの各々は以前に作成されるドメインに対応し、前記ドメイン内で実行される動作に関連する要求を受信するように構成されている、請求項１に記載の方法。

【請求項7】

アプリケーションを前記ドメインに登録することと、
１つまたは複数のリソースプリンシパルの動的グループを作成することと、
前記１つまたは複数のリソースプリンシパルの動的グループを前記アプリケーションに割り当てることと、をさらに含む、請求項１に記載の方法。

【請求項8】

前記顧客テナントにデフォルトドメインをプロビジョニングすることをさらに含み、前記デフォルトドメインには、前記顧客テナントを作成した第１のユーザが含まれており、前記デフォルトドメインは、前記第１のユーザに前記顧客テナント内でのアクセスを提供するデフォルトポリシーに関連付けられている、請求項１に記載の方法。

【請求項9】

前記要求は、前記顧客テナント内に配置されるネットワークソース決定器（ＮＳＤ）によって処理され、前記ＮＳＤは前記要求のソースを決定するように構成され、前記方法は、前記要求の前記ソースの識別に成功したことに応答して前記要求を実行することをさらに含む、請求項１に記載の方法。

【請求項10】

前記要求は、前記第１のＩＡＭシステムを前記第２のＩＡＭシステムと連携させることなく実行される、請求項１に記載の方法。

【請求項11】

プロセッサによって実行されると、コンピュータシステムに方法を実行させる特定のコンピュータ実行可能な命令を記憶する非一時的なコンピュータ可読媒体であって、前記方法は、
第１のＩＤおよびアクセス管理（ＩＡＭ）システム、および前記第１のＩＡＭシステムとは異なる第２のＩＡＭシステムから、（ｉ）前記第１のＩＡＭシステムに関連付けられている顧客テナント内にドメインを作成し、（ｉｉ）前記ドメイン内に前記第２のＩＡＭシステムのＩＤプロバイダを埋め込むことにより、統合ＩＡＭシステムを生成することと、
前記統合ＩＡＭシステムが、前記第２のＩＡＭシステムに関連付けられているリソースに関して動作を実行するためのユーザからの要求を受信することと、
前記ユーザが前記統合ＩＡＭシステムによって認証されることに成功したことに応答して前記要求を実行することと、を含む、非一時的なコンピュータ可読媒体。

【請求項12】

前記ドメインは、前記顧客テナントのコンパートメント内に作成される、請求項１１に記載の非一時的なコンピュータ可読媒体。

【請求項13】

前記コンパートメントは、前記ユーザによるリソースへのアクセスを管理する１つまたは複数のルールに対応するポリシーに関連付けられている、請求項１２に記載の非一時的なコンピュータ可読媒体。

【請求項14】

前記方法は、
前記顧客テナント内に複数のドメインを作成することをさらに含み、前記複数のドメインの各々は前記第２のＩＡＭシステムのストライプに対応し、前記ストライプは１人または複数のユーザを含むコンテナに対応する、請求項１１に記載の非一時的なコンピュータ可読媒体。

【請求項15】

前記統合ＩＡＭシステムの制御プレーンは、（ｉ）新しいドメインの作成に関する要求を受信するように構成されている第１のエンドポイント、および（ｉｉ）複数の第２のエンドポイントを含み、前記複数の第２のエンドポイントの各々は以前に作成されたドメインに対応し、前記ドメイン内で実行される動作に関連する要求を受信するように構成されている、請求項１１に記載の非一時的なコンピュータ可読媒体。

【請求項16】

前記方法は、
アプリケーションを前記ドメインに登録することと、
１つまたは複数のリソースプリンシパルの動的グループを作成することと、
前記１つまたは複数のリソースプリンシパルの動的グループを前記アプリケーションに割り当てることと、をさらに含む、請求項１１に記載の非一時的なコンピュータ可読媒体。

【請求項17】

前記要求は、前記顧客テナント内に配置されるネットワークソース決定器（ＮＳＤ）によって処理され、前記ＮＳＤは前記要求のソースを決定するように構成され、前記方法は、前記要求の前記ソースの識別に成功したことに応答して前記要求を実行することをさらに含む、請求項１１に記載の非一時的なコンピュータ可読媒体。

【請求項18】

前記要求は、前記第１のＩＡＭシステムを前記第２のＩＡＭシステムと連携させることなく実行される、請求項１１に記載の非一時的なコンピュータ可読媒体。

【請求項19】

コンピューティング装置であって、
プロセッサと、
命令を含むメモリと、を含み、前記命令は、前記プロセッサで実行されると、前記コンピューティング装置に少なくとも、
第１のＩＤおよびアクセス管理（ＩＡＭ）システム、および前記第１のＩＡＭシステムとは異なる第２のＩＡＭシステムから、（ｉ）前記第１のＩＡＭシステムに関連付けられている顧客テナント内にドメインを作成し、（ｉｉ）前記ドメイン内に前記第２のＩＡＭシステムのＩＤプロバイダを埋め込むことにより、統合ＩＡＭシステムを生成することと、
前記統合ＩＡＭシステムが、前記第２のＩＡＭシステムに関連付けられているリソースに関して動作を実行するためのユーザからの要求を受信することと、
前記ユーザが前記統合ＩＡＭシステムによって認証されることに成功したことに応答して前記要求を実行することとを行わせる、コンピューティング装置。

【請求項20】

前記要求は、前記第１のＩＡＭシステムと前記第２のＩＡＭシステムとを連携させることなく実行される、請求項１９に記載のコンピューティング装置。

【発明の詳細な説明】

【技術分野】

【0001】

関連出願の相互参照
本出願は、２０２１年９月３０日に出願された米国仮出願第６３／２５０，５９８号および２０２２年９月２３日に出願された米国仮出願第１７／９３４，８４６号に対する優先権を主張する。前述の出願の全内容は、あらゆる目的のためにその全体が参照により本明細書に組み込まれる。

【0002】

分野
本開示は、２つ以上の別個のＩＤおよびアクセス管理システムをシームレスな方法で統合するためのフレームワークに関する。

【背景技術】

【0003】

背景
クラウドサービスプロバイダ（ＣＳＰ）は、サービスとしてのソフトウェア（ＳａａＳ）、サービスとしてのプラットフォーム（ＰａａＳ）、およびサービスとしてのインフラストラクチャ（ＩａａＳ）モデルを含む異なるモデルの下でサービスを提供する。クラウド環境では、通常、ＩＤおよびアクセス管理（ＩＡＭ）システムがＣＳＰによって提供され、クラウドサービスによって提供または使用されるリソースへのユーザクセスを制御する。ＩＡＭシステムによって提供される一般的なサービスまたは機能には、ユーザ向けの単一サインオン機能、認証および認可サービス、ならびにその他のＩＤベースのサービスが含まれるが、これらに制限はない。

【発明の概要】

【発明が解決しようとする課題】

【0004】

ＩＡＭシステムによって保護されるリソースは、コンピューティングインスタンス、ブロック記憶ボリューム、仮想クラウドネットワーク（ＶＣＮ）、サブネット、ルートテーブル、さまざまな呼び出し可能なＡＰＩ、および／または内部アプリケーションもしくはレガシーアプリケーションなど、異なるタイプのものであり得る。これらのリソースには、クラウドに記憶されるリソースおよび／または顧客のオンプレミスリソースが含まれる。各リソースは、リソースの作成時にリソースに割り当てられる一意の識別子によって識別される。一般的なＣＳＰ動作では、第１のタイプのサービス（例えば、ＩａａＳ）へのユーザクセスを制御するために、第１のＩＡＭシステムが提供される。これとは別に、ＳａａＳサービスやＰａａＳサービスなどの第２のタイプのアプリケーションのセキュリティとＩＤ管理のために第２のＩＡＭシステムが提供される。その結果、顧客が第１と第２のタイプのサービスの両方に加入する場合、顧客は２つの別個のアカウント（つまり、各ＩＡＭシステムに関連付けられている別個のアカウント）を持つ必要がある。

【0005】

エンドユーザが個別のアカウントの各々に関連付けられている複数セットの認証情報を記憶する負担を軽減するために、第１のＩＡＭシステムと第２のＩＡＭシステムとの間でＩＤ連携が提案されている。しかし、ＩＤプロバイダの連携プロセスは複雑で時間のかかるプロセスであり、ユーザエクスペリエンスの低下につながる。

【0006】

本明細書に記載の実施形態は、上記の問題に個別かつ集合的に対処する。

【課題を解決するための手段】

【0007】

簡単な概要
本開示の実施形態は、第１のＩＡＭシステムおよび第２のＩＡＭシステムから統合ＩＤおよびアクセス管理（ＩＡＭ）システムを生成することを提供する。場合によっては、第１のＩＡＭシステムは、Oracle Cloud Infrastructure（ＯＣＩ）のインフラストラクチャＩＤおよびアクセス管理（ＩＡＭ）に対応することができ、第２のＩＡＭシステムは、Identity Cloud Services（ＩＤＣＳ）システムに対応することができる。したがって、この統合により、統合ＩＡＭシステムが提供され、第２のＩＡＭシステムに関連付けられているリソースに対する動作の実行要求は、第１のＩＡＭシステムを第２のＩＡＭシステムに連携する必要なく、統合ＩＡＭシステムによってシームレスに認証／認可され得る。

【0008】

本開示の一態様は、第１のＩＤおよびアクセス管理（ＩＡＭ）システム、および第１のＩＡＭシステムとは異なる第２のＩＡＭシステムから、（ｉ）第１のＩＡＭシステムに関連付けられている顧客テナント内にドメインを作成し、（ｉｉ）ドメイン内に第２のＩＡＭシステムのＩＤプロバイダを埋め込むことにより、統合ＩＡＭシステムを生成することと、統合ＩＡＭシステムが、第２のＩＡＭシステムに関連付けられているリソースに関して動作を実行するためのユーザからの要求を受信することと、ユーザが統合ＩＡＭシステムによって認証されることに成功したことに応答して要求を実行することと、を含む方法を提供する。

【0009】

本開示の別の態様は、プロセッサによって実行されると、コンピュータシステムに方法を実行させる特定のコンピュータ実行可能命令を記憶する非一時的なコンピュータ可読媒体を提供し、この方法は、第１のＩＤおよびアクセス管理（ＩＡＭ）システム、および第１のＩＡＭシステムとは異なる第２のＩＡＭシステムから、（ｉ）第１のＩＡＭシステムに関連付けられている顧客テナント内にドメインを作成し、（ｉｉ）ドメイン内に第２のＩＡＭシステムのＩＤプロバイダを埋め込むことにより、統合ＩＡＭシステムを生成することと、統合ＩＡＭシステムが、第２のＩＡＭシステムに関連付けられているリソースに関して動作を実行するためのユーザからの要求を受信することと、ユーザが統合ＩＡＭシステムによって認証されることに成功したことに応答して要求を実行することと、を含む。

【0010】

本開示の一実施形態によれば、プロセッサと命令を格納したメモリとを備えるコンピューティング装置が提供され、当該命令は、当該プロセッサで実行されると、当該コンピューティング装置に少なくとも、第１のＩＤおよびアクセス管理（ＩＡＭ）システム、および第１のＩＡＭシステムとは異なる第２のＩＡＭシステムから、（ｉ）第１のＩＡＭシステムに関連付けられている顧客テナント内にドメインを作成し、（ｉｉ）ドメイン内に第２のＩＡＭシステムのＩＤプロバイダを埋め込むことにより、統合ＩＡＭシステムを生成させ、第２のＩＡＭシステムに関連付けられているリソースに関して動作を実行するためのユーザからの要求を統合ＩＡＭシステムによって受信させ、ユーザが統合ＩＡＭシステムによって認証されることに成功したことに応答して要求を実行させる。

【0011】

前述のことは、他の特徴および実施形態とともに、以下の明細書、特許請求の範囲、および添付の図面を参照することによってより明らかになるであろう。

【図面の簡単な説明】

【0012】

【図1】さまざまな実施形態によるＩＤドメインを示すブロック図を示す図である。

【図2】さまざまな実施形態による例示的な顧客テナントを示すブロック図を示す図である。

【図3】いくつかの実施形態による統合ＩＤ管理システムのアーキテクチャを示すブロック図を示す図である。

【図4A】いくつかの実施形態による統合ＩＤ管理システムを生成するプロセスを示すフローチャートを示す図である。

【図4B】いくつかの実施形態による、統合ＩＤ管理システムによるユーザ要求を認可するプロセスを示すフローチャートを示す図である。

【図5】少なくとも１つの実施形態による、サービスシステムとしてのクラウドインフラストラクチャを実装するための１つのパターンを示すブロック図である。

【図6】少なくとも１つの実施形態による、サービスシステムとしてのクラウドインフラストラクチャを実装するための別のパターンを示すブロック図である。

【図7】少なくとも１つの実施形態による、サービスシステムとしてのクラウドインフラストラクチャを実装するための別のパターンを示すブロック図である。

【図8】少なくとも１つの実施形態による、サービスシステムとしてのクラウドインフラストラクチャを実装するための別のパターンを示すブロック図である。

【図9】少なくとも１つの実施形態による例示的なコンピュータシステムを示すブロック図である。

【発明を実施するための形態】

【0013】

詳細な説明
以下の説明では、さまざまな実施形態について説明する。説明の目的で、実施形態の完全な理解を提供するために、特定の構成および詳細が記載される。しかし、特定の詳細がなくても実施形態を実施できることも当業者には明らかであろう。さらに、説明される実施形態を分かりにくくしないために、周知の特徴は省略または簡略化され得る。

【0014】

序論
クラウドサービスプロバイダ（ＣＳＰ）は、加入顧客に複数のクラウドサービスを提供することができる。これらのサービスは、サービスとしてのソフトウェア（ＳａａＳ）、サービスとしてのプラットフォーム（ＰａａＳ）、サービスとしてのインフラストラクチャ（ＩａａＳ）モデルなどのさまざまなモデルで提供され得る。

【0015】

クラウド環境では、クラウドサービスによって提供または使用されるリソースへのユーザアクセスを制御するために、ＩＤおよびアクセス管理（ＩＡＭ）システムが一般にＣＳＰによって提供される。ＩＡＭシステムによって提供される一般的なサービスまたは機能には、ユーザ向けの単一サインオン機能、認証および認可サービス、ならびにその他のＩＤベースのサービスが含まれるが、これらに制限はない。

【0016】

ＩＡＭシステムによって保護されるリソースは、コンピューティングインスタンス、ブロック記憶ボリューム、仮想クラウドネットワーク（ＶＣＮ）、サブネット、ルートテーブル、さまざまな呼び出し可能なＡＰＩ、内部アプリケーションまたはレガシーアプリケーションなど、さまざまなタイプにすることができる。これらのリソースには、クラウドに記憶されるリソースおよび／または顧客のオンプレミスリソースが含まれる。各リソースは通常、リソースの作成時にリソースに割り当てられる一意の識別子（例えば、ＩＤ）によって識別される。

【0017】

ＣＳＰは、クラウド製品のために２つ以上の別個の独立したＩＡＭシステムを提供することができる。これは、例えば、ＣＳＰによって提供されるＩａａＳアプリケーションおよびサービスのクラウドリソースへのアクセスを制御するために第１のＩＡＭシステム（例えば、ＯＣＩのインフラストラクチャＩＤおよびアクセス管理）が提供され得る場合に実行され得る。別途、第２のＩＡＭシステム（例えば、第１のシステムとは異なり得るＩＤクラウドサービス（ＩＤＣＳ））が、ＣＳＰによって提供されるＳａａＳおよびＰａａＳサービスのセキュリティおよびＩＤ管理のために提供され得る。

【0018】

このような２つの別々のシステム／プラットフォームを提供することにより、ＣＳＰの顧客が、ＣＳＰが提供するＳａａＳまたはＰａａＳサービスとＩａａＳサービスの両方に加入している場合、通常、顧客は２つの別々のアカウントを持っている。１つはＩａａＳ加入用のＯＣＩのＩＡＭを持つアカウント、もう１つはＰａａＳ／ＳａａＳ加入用のＩＤＣＳを持つ別のアカウントである。各アカウントには、ユーザログインおよび／またはパスワードなどの独自の資格情報がある。したがって、同じ顧客は２つのアカウントに対して２つの別個の資格情報セットを持っている。その結果、顧客エクスペリエンスは満足のいくものとはならない。さらに、２つの個別のＩＤ管理システムがあると、ＳａａＳ／ＰａａＳサービスとＩａａＳサービスとの間の対話にも障害が生じる。

【0019】

本出願の目的上、一例として、２つの例示的なプラットフォームをそれぞれＩＡＭおよびＩＤＣＳと呼ぶ。しかし、これらの名前と用語は、いかなる形でも限定することを意図したものではない。この開示の教示は、２つ（またはそれ以上）の異なるＩＤ管理システムが統合されるあらゆる状況に適用される。統合されるＩＤ管理システムまたはプラットフォームは、１つまたは複数のＣＳＰによって提供され得る。

【0020】

特定の実施形態では、２つの別個のプラットフォームによって提供されるさまざまな特徴および機能を保持および提供しながら、クラウドサービスのユーザまたは顧客にとって透過的な方法で、複数のＩＤおよびアクセス管理システム／プラットフォーム（例えば、ＩＡＭおよびＩＤＣＳプラットフォーム）を統合する統合ＩＡＭシステムが提供される。したがって、統合により、よりシームレスで強化されたユーザエクスペリエンスが提供される。

【0021】

しかし、この統合は、いくつかの理由により技術的に非常に困難である。２つ以上のプラットフォームは、ＩＤ関連機能を実装するために異なる手順とプロトコルを使用し得る。例えば、ＩＡＭは、アクセス制御パラダイムを定義する、ポリシーベースのアクセス制御システムとしても知られる属性ベースのアクセス制御（ＡＢＡＣ）システムであり得、これにより、多くの異なる属性を評価できる複雑なブールルールセットを表すポリシーを使用して、ユーザにアクセス権が付与される。ＡＢＡＣの目的は、データ、ネットワーク装置、およびＩＴリソースなどのオブジェクトを、組織のセキュリティポリシーで定義される「認可される」特性を持たない、無認可のユーザやアクションから保護することである。一方、ＩＤＣＳは、役割と特権を中心に定義されるポリシー中立のアクセス制御機構である役割ベースのアクセス制御（ＲＢＡＣ）システムであってもよい。役割と権限、ユーザと役割、役割と役割の関係などのＲＢＡＣの構成要素により、ユーザ割り当ての実行が簡単になる。さらに別の理由として、２つのプラットフォームで使用される認証および認可フレームワークまたはワークフロー（例えば、使用されるトークンのタイプ、ＯＡＵＴＨなどの異なる認証フレームワーク）が異なる可能性がある。これは、統合ソリューションの提供が技術的に非常に難しい理由のほんの一例にすぎない。

【0022】

簡単にして説明するために、本明細書では、第１のＩＤおよびアクセス管理システムは（ＩａａＳアプリケーションなどのクラウドリソースへのアクセス制御を提供する）ＩＡＭシステムであるとみなされ、本明細書では、第２のＩＤおよびアクセス管理システムは、（ＳａａＳおよびＰａａＳなどのサービスのセキュリティおよびＩＤ管理を提供する）ＩＤＣＳシステムであるとみなされる。通常、２つ以上のＩＡＭシステム間の統合は、連携と呼ばれるプロセスを介して実行される。例えば、第１のＩＡＭシステムはネイティブサービス（本明細書ではＩＤプロバイダサービスと呼ぶ）を提供し、これによりＩＡＭシステムのユーザが外部ＩＤプロバイダ（ＩＤＰ）、例えばＩＤＣＳと連携できるようになる。動作中、ユーザはネイティブサービス（第１のＩＤおよびアクセス管理システム、例えばＩＡＭ内）を利用して、外部ＩＤＰ、例えばＩＤＣＳシステムでログイン動作を実行する。外部ＩＤＰは応答を生成し、それがＩＡＭシステムに返送される。言い換えれば、ユーザを検証するために、ＩＡＭとＩＤＣＳシステムとの間で証明書交換が実行される。ユーザが検証されると、ＩＡＭシステムは、ユーザがメンバーであるＩＤＰグループに関する情報を含むトークンを生成する。トークンは、外部システムのユーザグループの識別子をＩＡＭシステムのユーザグループの別の識別子にマッピングすることを含むマッピング動作を実行するために使用される。そのため、２つ以上の個別の（独立した）ＩＤおよびアクセス管理システムを連携するプロセスは、煩雑でリソースを大量に消費するプロセスであり、ユーザの満足度の低下につながる。

【0023】

以下では、２つの別個の（独立した）ＩＡＭシステムをシームレスな方法で統合するためのフレームワークが提供される。前述したように、説明の便宜上、第１のＩＡＭシステムはＯＣＩのＩＡＭシステムに対応し、第２のＩＡＭシステムはＩＤＣＳシステムに対応すると考える。しかし、２つの別個のＩＤおよびアクセス管理システムを統合するフレームワークは、他のタイプのＩＤ管理システムにも同様に適用できることが理解される。

【0024】

ＩＡＭシステムでは、顧客（例えば、組織）が、ＩＡＭシステムが提供するサービスを利用するためにアカウントにサインアップすると、顧客テナントが作成される。本明細書では、テナントは、顧客がクラウドリソースを作成、編成、および管理できるクラウドインフラストラクチャ内の安全で分離される分割として定義される。テナントには１つまたは複数のコンパートメントが含まれ得る。コンパートメントを使用すると、顧客はそのクラウドリソースへのアクセスを編成および制御できる。コンパートメントは、例えば管理者によって許可される、特定のグループのみがアクセスできる関連リソース（インスタンス、仮想クラウドネットワーク、ブロックボリュームなど）のコレクションである。顧客がクラウドサービスにサインアップすると、ＣＳＰは顧客のテナントを作成する。これは、顧客のすべてのクラウドリソースを保持するルートコンパートメントである。顧客は、テナント内に追加のコンパートメント（ルートコンパートメント）と対応するポリシーとを作成して、各コンパートメント内のリソースへのアクセスを制御できる。対照的に、ＩＤＣＳシステムでは、ユーザおよびグループの分離単位を本明細書ではストライプと呼ぶ。具体的には、ストライプは、ユーザまたはユーザのグループがそのクラウドリソースにアクセスできるコンテナである。

【0025】

いくつかの実施形態によれば、第１のＩＡＭシステムおよび（第１のＩＡＭシステムとは異なる）第２のＩＡＭシステムから統合ＩＡＭシステムを生成する際に、第１のＩＡＭシステムに関連付けられている顧客テナント内にリソースが作成される。リソースは、本明細書ではドメインと呼ばれる。後で説明するように、ドメインは、顧客がＩＡＭシステム内の自分のテナント内から、ＩＤＣＳシステム内のＩＤＣＳストライプなどの自分のリソースを直接管理する方法を提供する。ドメインには、ＩＤＣＳストライプの完全な機能セットが包含される。ポリシーはＩＡＭシステム内で確立でき、ＩＤＣＳストライプＩＤを参照してリソースへのアクセスを認可できる。前述の連携プロセスを実行する要件を回避するには、本開示の実施形態は、例えばＩＤＣＳシステムからＩＤプロバイダ（ＩＤＰ）をインポートし、インポートされるＩＤＰをＩＡＭシステムの顧客テナント内のリソースとして提供する技術を提供する。上述のアプローチは、任意の２つの別個のＩＤシステムから統合ＩＤおよびアクセス管理システムを生成する際に利用できることが理解される。

【0026】

いくつかの実施形態によれば、ＩＤドメイン（すなわち、第２のＩＡＭシステムの埋め込みＩＤプロバイダを含むドメイン）が各顧客テナントに組み込まれ、既存のユーザおよびグループがＩＤドメインに移動される。例えば、ＩＤＣＳシステムのストライプに含まれるユーザ／グループは、ＯＣＩ ＩＡＭに関連付けられている顧客のテナント内に作成されるＩＤドメインに移動できる。さらに、顧客は追加のドメイン（つまり、セカンダリドメイン）を作成することができる。つまり、顧客アカウントにはデフォルトのドメインがプロビジョニングされ、追加のドメインを管理するためのパブリックＡＰＩが提供される。したがって、顧客アカウントはＩＤＣＳ連携でプロビジョニングされなくなり（つまり、顧客アカウントは連携プロセスを実行する必要がなく）、顧客は統合ＩＡＭシステム内で単一のエンティティとして存在する。

【0027】

統合ＩＡＭシステムを作成する際に、ドメインレベルでのユーザ／グループの分離が得られ、これにより、顧客は自分のユーザ／グループを分離できるようになる。具体的には、ＩＤドメインは、ＣＳＰのすべてのクラウド製品にわたって使用できる単一の統合ＩＤを送達する。顧客は、さまざまなアプリケーション（ＩａａＳ、ＰａａＳ、およびＳａａＳなど）にわたって同じＩＤを再利用し、シンプルかつ強力な認可制御を作成して、企業全体のすべてのクラウドアプリケーションを管理できる。言い換えれば、顧客はそのすべてのユーザとグループに対して、完全な特徴を備えたクラウドＩＤプロバイダの機能を利用できる。また、顧客は複数のＩＤドメインを作成して、そのＩａａＳ、ＰａａＳ、およびＳａａＳユーザを管理および分離し、災害復旧システムを実装することもできる。

【0028】

図１は、さまざまな実施形態によるＩＤドメインを示すブロック図を示す。いくつかの実施形態によれば、統合ＩＤおよびアクセス管理（ＩＡＭ）システムは、第１のＩＡＭシステムおよび第２のＩＡＭシステムから生成される。例えば、第２のＩＡＭシステム、例えばＩＤＣＳシステムに関連付けられているＩＤプロバイダ（およびその関連機能）は、統合ＩＡＭシステムを生成するために第１のＩＡＭシステム内に組み込まれる。統合ＩＡＭシステムを生成するには、第１のＩＡＭシステムに関連付けられている顧客テナント内にリソースが作成される。作成されるリソースは、本明細書ではドメインと呼ばれる。さらに、第２のＩＡＭシステムのＩＤプロバイダは、第１のＩＡＭシステムで作成されるドメイン内に埋め込まれる。（第２のＩＡＭシステムの）埋め込みＩＤプロバイダを含むドメインを、本明細書ではＩＤドメインと呼ぶ。したがって、統合ＩＡＭシステムは、第１のＩＡＭシステムが第２のＩＡＭシステムと連携する必要がなく、つまり、第１のＩＡＭシステムと第２のＩＡＭシステムの両方のシステムにわたって使用できるＩＤフレームワークを提供する。

【0029】

図１に示されるように、第１のＩＡＭシステムに関連付けられている顧客テナント１０１は、デフォルトＩＤドメイン１０２、ネットワークソース決定器１０４、デフォルトポリシー１０３、およびコンパートメント１０５を含む。いくつかの実施形態によれば、コンパートメント１０５は、そのコンパートメント内に作成されるリソース（例えば、コンピューティング、記憶装置、ネットワーク、負荷バランサ）へのアクセスを編成および制御するためにインスタンス化される論理コンテナに対応する。いくつかの実施形態では、コンパートメント１０５は、外部ＩＤプロバイダをホストするために作成されるドメイン（すなわち、リソース）を含む。換言すれば、第２のＩＡＭシステムのＩＤプロバイダが、作成されるドメインに埋め込まれて、ＩＤドメイン１０６を形成する。さらに、ＩＤドメイン１０６は、ドメイン内のリソースまたは顧客テナントに含まれるリソースへの（ドメインに含まれるユーザの）アクセス権を管理する１つまたは複数のルールを含むことができるポリシー１０７に関連付けられている。ＩＤドメイン１０６に含まれる構成要素１０８は、ＩＤドメイン１０６に含めることができる構成要素の例示的なリストを表すことに留意されたい。ここでは、これらの各構成要素について詳しく説明する。

【0030】

いくつかの実施形態によれば、各顧客テナント１０１は、顧客テナントが作成されるときにプロビジョニングされるデフォルトＩＤドメイン１０２を含む。最初に、顧客テナント１０１の作成時に、デフォルトＩＤドメイン１０２は、単一のユーザ（例えば、顧客テナントを作成した管理者）を含むグループを含む。デフォルトＩＤドメイン１０２は、デフォルトポリシー１０３に関連付けられている。デフォルトポリシー１０３は、ユーザ（例えば、デフォルトＩＤドメイン１０２に含まれる管理者）に、顧客テナント１０１内のすべてのリソースへの完全なアクセスを許可する。デフォルトＩＤドメイン１０２およびデフォルトポリシー１０３の各々は、ユーザ、アクセス権などに関する他の追加情報を含み得ることが理解される。その他の付加情報の詳細については、図２を参照して後述する。

【0031】

顧客テナント１０１には、ネットワークソース決定器１０４が含まれる。ネットワークソース決定器１０４は、顧客テナント１０１に向けられる要求を発行するソースを認定するように構成されている。換言すれば、ネットワークソース決定器１０４は、要求を発行するエンティティ（例えば、ユーザ）に関連する情報を確認し、いくつかの条件、例えば、要求のＩＰアドレスが事前に決定されたＩＰアドレスのセットを発信元とすること、を満たすユーザに関連する情報に基づいて、ユーザへのアクセスを許可する。顧客テナント１０１のコンパートメントに含まれるポリシー１０７は、コンパートメント１０５に向けられる要求を処理する際にネットワークソース決定器１０４を参照できることに留意されたい。

【0032】

図１に示されるように、ＩＤドメインに含まれる構成要素１０８は、アプリケーション１１１、許可モジュール１１２、ユーザグループ１１３、ユーザ１１４、アプリケーション役割１１５、動的グループ１１６、サインインポリシー１１７、ＩＤプロバイダ１１８、および資格情報のセット１１９を含む。構成要素１０８は、現在、第１のＩＡＭシステムの顧客テナント内のドメイン内に組み込まれている第２のＩＡＭシステムのＩＤプロバイダ（例えば、ＡｚｕｒｅアクティブディレクトリインスタンスまたはＯｋｔａ ＩＤプロバイダインスタンス）に属することが理解される。ＩＤプロバイダ１１８は、ユーザ１１４またはユーザのグループ１１３の作成、ユーザ資格情報１１９の管理をプロビジョニングし、クラウドインフラストラクチャのリソースへのユーザ（またはユーザのグループ）のアクセスを許可する。

【0033】

いくつかの実施形態によれば、アプリケーション１１１、例えばウェブアプリケーションを構築し、ＩＤドメイン１０６にさらに登録することができる。すなわち、アプリケーション１１１は、認可および認証要件についてＩＤドメイン１０６に依存する。アプリケーション１１１は、許可モジュール１１２内で維持できるさまざまなアプリケーション役割１１５（例えば、読み取り動作のみの許可を有する第１の役割、アプリケーションの態様を変更する許可を有する第２の役割）を含むことができる。このような役割は、ＩＤドメイン１０６によって、監視され、アプリケーションに関して異なるユーザに割り当てることができる。

【0034】

いくつかの実施形態によると、クラウドインフラストラクチャに含まれるリソースには、コンピューティングインスタンス、ブロック記憶ボリューム、仮想クラウドネットワーク（ＶＣＮ）、サブネット、および／またはルートテーブルなどのリソースが含まれ得る。各リソースには、一意の資格情報を割り当てることができる。リソースに関連付けられているそのような資格情報は、本明細書ではリソースプリンシパルまたはインスタンスプリンシパルと呼ばれる。このようなリソース（またはインスタンス）プリンシパルのグループを、本明細書では動的グループ１１６と呼ぶ。動的グループ１１６は、ユーザをユーザグループにグループ化するのと同様の方法で、プリンシパルアクターとしてリソースのグループ化（例えば、何らかのリソース属性一致ポリシーに基づいて）を提供することが理解される。動的グループ１１６はアプリケーション１１１に割り当てられ得る。いくつかの実施形態では、サインインポリシー１１７は、ユーザの位置、すなわちユーザのネットワークソースに基づいて、異なるユーザに対して異なるサインインルールを確立することができる。例えば、１つのサインインルールは、顧客テナントへのアクセス要求の発信元であるユーザのネットワークソース（例えば、ＩＰアドレス）に基づいて、顧客テナント内のリソースにアクセスするために、ユーザに多要素認証の実行を要求し得る。

【0035】

このようにして、第２のＩＡＭシステム（例えば、ＩＤＣＳ）のＩＤプロバイダをインポートし、それを第１のＩＡＭシステムに関連付けられている顧客テナントのドメイン内に埋め込むことで、両方のシステムで使用できる統合ＩＡＭシステムを提供する。したがって、ＩＡＭシステム（例えば、第１のＩＡＭシステム）を異なるシステム（例えば、第２のＩＡＭシステム）のＩＤプロバイダと連携させるのではなく、本開示の態様は、以前に必要であった連携プロセスを回避するために統合ＩＡＭシステムを生成する機構を提供し、別のシステムが提供するリソースにユーザがアクセスできるようにする。

【0036】

ここで図２を参照すると、さまざまな実施形態による例示的な顧客テナントを示すブロック図が示される。図２に示されるように、顧客テナント２００は、デフォルトＩＤドメイン２０２、デフォルトポリシー２０３、ネットワークソース決定器２０４、および複数のコンパートメント、例えばコンパートメント２０５、２１５、および２２５を含む。デフォルトＩＤドメイン２０２は、顧客テナント２００が作成されるときにプロビジョニングされる。最初に、顧客テナント２００の作成時に、デフォルトＩＤドメイン２０２は、単一のユーザ（例えば、顧客テナントを作成した管理者）を含むグループを含む。デフォルトＩＤドメイン２０２は、デフォルトポリシー２０３に関連付けられている。デフォルトポリシー２０３は、ユーザ（例えば、デフォルトＩＤドメイン２０２に含まれる管理者）に、顧客テナント１０１内のすべてのリソースへの完全なアクセスを許可する。前述したように、デフォルトＩＤドメイン（およびデフォルトポリシー）には追加情報が含まれ得る。例えば、いくつかの実施形態によれば、顧客テナント２００の作成時に、１人または複数の他のユーザがデフォルトＩＤドメイン２０２に追加され得る。同様に、さまざまな新しいポリシーをデフォルトポリシー２０３に含めることができ、他のドメインのユーザが顧客テナント内のリソースにアクセスできるようになる。

【0037】

いくつかの実施形態によれば、統合ＩＡＭシステムは、顧客のユーザを管理するために顧客テナント内に別個のドメインを作成することをプロビジョニングする。例えば、図２に示されるように、顧客テナント２００は複数のコンパートメントを含み、各コンパートメントはＩＤドメインおよびそれに関連付けられているポリシーを含む。例えば、コンパートメント２０５にはＩＤドメイン２０６とポリシー２０７が含まれ、一方、コンパートメント２１５にはＩＤドメイン２１６とポリシー２１７が含まれ、コンパートメント２２５にはＩＤドメイン２２６とポリシー２２７が含まれる。図２に示すようなコンパートメントの構成は、決して本開示の範囲を限定するものではないことに留意されたい。むしろ、構成に対する修正は十分に本開示の範囲内に含まれる。例えば、特定のコンパートメント（例えば、コンパートメント２０５）では、そのコンパートメント内に単一のＩＤドメイン（すなわち、ＩＤドメイン２０６）を有することに限定されない。むしろ、コンパートメントには複数のＩＤドメインを含めることができる。例えば、コンパートメント内に２つ（またはそれ以上）のドメインを作成できる。その場合、これらのドメインの各々のユーザは、それらのドメイン内のリソースまたは顧客テナント２００内の他のリソースに関して異なるアクセス権を持つことができる。

【0038】

さらに、第１のＩＡＭシステムが対話する複数のＩＤプロバイダの各ＩＤプロバイダは、顧客のテナント２００内のドメイン（コンパートメントに含まれる）を有するリソースとしてインポートされ、提供され得ることが理解される。このようにして、サードパーティＩＤＰなど、さまざまなタイプのＩＤプロバイダ（ＩＤＰ）と連携する第１のＩＡＭシステムではなく、さまざまなＩＤＰをインポートし、顧客テナント内のリソースとして提供できる。このようにして、第１のＩＡＭシステムは、異なるＩＤプロバイダと個別に連携する必要性を回避できる。

【0039】

図３は、いくつかの実施形態による統合ＩＡＭシステムのアーキテクチャを示すブロック図を示す。統合ＩＡＭシステムのアーキテクチャには、制御プレーン３１０とデータプレーン３２０が含まれる。制御プレーン３１０は、ＩＡＭ制御プレーン３０１に関連付けられている第１のエンドポイント３０３と、ＩＤＣＳインスタンス３０２に関連付けられている（すなわち、顧客テナント内に作成されるドメインに対応する）複数の第２のエンドポイント３０５とを含む。ＩＡＭ制御プレーン３０１はキー値データベース（例えば、ＫｉｅｖＤＢ）を含み、ＩＤＣＳインスタンス３０２はドメインシャードに関連付けられていることが理解される。データプレーン３２０は、負荷バランサ３２１、複数のデータプレーンホスト３２３、ルーティング層３２５、および複数のドメインキャッシュシャード３２７を含む。複数のデータプレーンホスト３２３は、データプレーンホスト３２３Ａ、３２３Ｂ、および３２３Ｃを含む。各データプレーンホストは、対応するデータベース（ＤＢ）に関連付けられている。複数のドメインキャッシュシャード３２７は、ドメインキャッシュシャード３２７Ａ、３２７Ｂ、３２７Ｃ、および３２７Ｄを含む。図３に示すように、データプレーンホストの数およびドメインキャッシュシャードの数は、例示のみを目的としており、本開示の範囲を限定するものではないことに留意されたい。データプレーンホストおよびドメインキャッシュシャードの数は、図３に示されるものよりも多くても少なくてもよい。

【0040】

図３に示されるように、ＫｉｅｖＤＢおよびドメインシャードの各々からの情報は、データプレーン３２０に含まれるそれぞれのデータベースに複製される。いくつかの実施形態によって、（制御プレーン内の）ドメインシャードに含まれる情報は、複製され、データプレーン３２０内のドメインキャッシュシャードに記憶される。具体的には、一実装形態では、ドメインシャードに含まれるユーザ情報はいくつかの部分に分割されてもよく、各部分はデータプレーン３２０内のキャッシュ（すなわち、ドメインキャッシュシャード）に記憶されてもよい。

【0041】

いくつかの実施形態によれば、ＩＡＭ制御プレーン３０１に関連付けられている第１のエンドポイント３０３は、顧客テナントにおける新しいドメインの作成に関する要求を受信するように構成されている。顧客テナント内にドメインが作成されると、新しく構築されたドメインのエンドポイントが複数の第２のエンドポイント３０５に追加される。すなわち、各ドメインは、制御プレーン３１０内の対応するエンドポイント（複数の第２のエンドポイント３０５のうちの１つ）を有する。ドメインに関して実行される動作に関連する要求は、制御プレーン３１０内のドメインの対応する第２のエンドポイントに向けられる。

【0042】

いくつかの実施形態によれば、ユーザによって発行される要求が特定の第２のエンドポイントに向けられる場合、最初に、対応するドメイン、すなわちドメイン３０２によって要求を発行するユーザを認可する試みが行われる。具体的には、要求を発行したユーザがドメインに関連付けられているユーザのグループに属している場合、そのユーザは、制御プレーン３１０、すなわち、ユーザが属する対応するドメイン３０２によって認可され得る。しかし、要求を発行したユーザがドメインに含まれないグループに属している場合、つまり、ユーザが別のドメインに属している場合、要求は制御プレーン３１０によってデータプレーン３２０に関連付けられているエンドポイント３０７に転送される。

【0043】

要求がエンドポイント３０７に転送されると、データプレーン３２０の負荷バランサ３２１は、要求を処理するために１つのデータプレーンホストを選択する。負荷バランサ３２１は、トラフィック負荷（すなわち、データプレーン３２０によって処理される要求）がデータプレーンホスト間で均等に分散されるような方法で、データプレーンホストのうちの１つ（例えば、ＤＰ３２３Ａ）を選択し得ることが理解される。制御プレーンによって転送される要求を処理する際、データプレーンホスト（例えば、ＤＰ３２３Ａ）はルーティング層３２５と通信して、ドメインキャッシュシャードの１つからユーザに関する必要な情報を取得する。いくつかの実施形態によれば、ルーティング層は、ユーザとキャッシュＩＤ（ユーザ情報が記憶されるドメインキャッシュシャードに対応する）をマッピングするマッピング情報を維持することができる。このようにして、データプレーンホストは、ルーティング層３２５と連携して、ユーザを認可するために関連するユーザ情報（例えば、ユーザに関連するポリシー）を取得する。統合ＩＡＭシステムのアーキテクチャは、ＩａａＳサービスに関する認可要求を受信するように構成されているＩａａＳサービスエンドポイント３３３をさらに含む。このような要求は、認可の目的でデータプレーン３２０に向けられることに留意されたい。さらに、ＰａａＳアプリケーションインスタンス３３１（例えば、図１のアプリケーション１１１）は、認可／認証の目的で単一サインオンモジュール３２９と通信する。具体的には、単一サインオンモジュール３２９は、データプレーン３２０に含まれるドメインシャードの１つから所望のユーザ情報を取得して、アプリケーションインスタンスを利用／開始するユーザを認可する。

【0044】

図４Ａは、いくつかの実施形態による統合ＩＤおよびアクセス管理（ＩＡＭ）システムを生成する際に実行されるステップを示すフローチャートを示す。図４Ａに示す処理は、ハードウェアまたはそれらの組み合わせを使用して、それぞれのシステムの１つまたは複数の処理装置（例えば、プロセッサ、コア）によって実行されるソフトウェア（例えば、コード、命令、プログラム）で実装され得る。ソフトウェアは、非一時的な記憶媒体（例えば、メモリ装置）に記憶されてもよい。図４Ａに示され、以下に説明される方法は、例示的なものであり、限定的なものではない。図４Ａは、特定のシーケンスまたは順序で行われるさまざまな処理ステップを示しているが、これに限定されるものではない。特定の代替実施形態では、処理は何らかの異なる順序で実行されてもよく、またはいくつかのステップが並行して実行されてもよい。説明のために、図４Ａのフローチャートのステップは、第１のＩＡＭ（例えば、ＯＣＩのＩＡＭ）システムおよび第２のＩＡＭシステム（例えば、ＩＤＣＳ）から統合ＩＡＭシステムを生成することを参照して説明される。

【0045】

プロセスはステップ４０１で始まり、統合ＩＡＭシステムが第１のＩＡＭシステムおよび第２のＩＡＭシステムから生成される。第２のＩＡＭシステムは第１のＩＡＭシステムとは異なることに留意されたい。統合ＩＡＭシステムの生成に含まれるステップには、それぞれ４０１Ａおよび４０１Ｂとラベル付けされる２つのサブステップが含まれる。ステップ４０１Ａでは、第１のＩＡＭシステムに関連付けられている顧客テナント内にドメイン（すなわち、リソース）が作成される。さらに、ステップ４０１Ｂでは、第２のＩＡＭシステムのＩＤプロバイダが、ステップ４０１Ａで作成されるドメイン内に埋め込まれる。第２のＩＡＭシステムのＩＤプロバイダをドメイン（顧客テナントに含まれる）に埋め込むことによって、ＩＤドメイン（例えば、図１のＩＤドメイン１０６）の作成がもたらされる。そうすることで、第１のＩＡＭシステムが第２のＩＡＭシステムと連携する必要がなく、両方のシステム、つまり第１のＩＡＭシステムと第２のＩＡＭシステムにわたって使用できるＩＤフレームワークが提供される。

【0046】

その後、プロセスはステップ４０３に進み、そこで統合ＩＡＭシステムは、第２のＩＡＭシステムに関連付けられているリソースに関して動作を実行する要求をユーザから受信する。いくつかの実施形態によれば、要求は、作成、読み取り、更新、または削除（ＣＲＵＤ）動作であってもよい。その後、プロセスはステップ４０５に進み、ユーザが統合ＩＡＭシステムによって認証されることに成功したことに応じて要求が実行される。すなわち、ユーザが動作を実行するための十分な特権を持っているかどうかが決定される。

【0047】

図４Ｂは、いくつかの実施形態による、統合ＩＤ管理システムによるユーザ要求を認可するプロセスを示すフローチャートを示す。図４Ｂに示す処理は、ハードウェアまたはそれらの組み合わせを使用して、それぞれのシステムの１つまたは複数の処理装置（例えば、プロセッサ、コア）によって実行されるソフトウェア（例えば、コード、命令、プログラム）で実装され得る。ソフトウェアは、非一時的な記憶媒体（例えば、メモリ装置）に記憶されてもよい。図４Ｂに示され、以下に説明される方法は、例示的なものであり、限定的なものではない。図４Ｂは、特定のシーケンスまたは順序で行われるさまざまな処理ステップを示しているが、これに限定されるものではない。特定の代替実施形態では、処理は何らかの異なる順序で実行されてもよく、またはいくつかのステップが並行して実行されてもよい。

【0048】

プロセスはステップ４５１で開始し、統合ＩＡＭシステムが制御プレーン内の第１のエンドポイントで第１の要求を受信する。第１の要求は、顧客テナントに新しいドメインを作成するためにユーザが発行した要求に対応する。図３を参照すると、第１の要求はエンドポイント３０３で受信され得る。ステップ４５３では、要求に従って顧客テナント内にドメインが作成される。

【0049】

ステップ４５５では、ステップ４５３で作成されるドメインの制御プレーン内に第２のエンドポイントが生成される。図３を参照すると、新しいエンドポイント（すなわち、新しく作成されるドメインに対応する第２のエンドポイント）が生成され、複数のエンドポイント３０５に追加される。言い換えれば、顧客のテナント内の各ドメインには、制御プレーン内に対応するエンドポイントがあるため、ドメインに関連する要求は対応するエンドポイントに向けられる。その後、ステップ４５７で、第２の要求が第２のエンドポイントで受信される。

【0050】

ステップ４５８において、第２のエンドポイントに対応するドメインは、第２の要求を発行したユーザを認可しようと試みる。いくつかの実施形態によれば、第２の要求を発行したユーザがドメインに含まれるユーザのグループに属している場合、そのユーザはドメイン自体によって認可されてもよい。しかし、（第２の要求を発行する）ユーザがドメイン外にいる場合、第２の要求は認可の目的でデータプレーンに転送される。さらに、ステップ４６１で、第２の要求が首尾よく認可されたかどうかについての決定が行われる。応答が肯定的である場合、プロセスはステップ４６７に進み、そうでない場合、プロセスはステップ４５９に進む。

【0051】

ステップ４５９では、第２の要求が認可の目的でデータプレーンに転送される。その後、ステップ４６１で、統合ＩＡＭシステムのデータプレーンが第２の要求を処理する。具体的には、図３を参照すると、データプレーンホストの１つ（例えば、データプレーンホスト３２３Ａ）は、ルーティング層３２５と通信して、ドメインキャッシュシャードのうちの１つ（例えば、ドメインキャッシュシャード３２７Ａ～３２７Ｄ）から（ユーザの）情報を取得する。ドメインキャッシュシャードの１つから取得した情報に基づいて、データプレーンホストは第２の要求を評価する。さらに、ステップ４６７で、統合ＩＡＭシステムは、（第２の要求を発行した）ユーザが認可されることに成功したことに応答して、第２の要求を実行する。

【0052】

サービスとしてのインフラストラクチャのアーキテクチャの例
上で述べたように、サービスとしてのインフラストラクチャ（ＩａａＳ）は、クラウドコンピューティングの特定のタイプの１つである。ＩａａＳは、パブリックネットワーク（インターネットなど）経由で仮想化されるコンピューティングリソースを提供するように構成できる。ＩａａＳモデルでは、クラウドコンピューティングプロバイダは、インフラストラクチャ構成要素（例えば、サーバ、記憶装置、ネットワークノード（例えばハードウェア）、展開ソフトウェア、プラットフォーム仮想化（例えばハイパーバイザ層）など）をホストすることができる。場合によっては、ＩａａＳプロバイダは、これらのインフラストラクチャ構成要素に付随するさまざまなサービス（例えば、請求、監視、ロギング、セキュリティ、負荷分散、およびクラスタリング）を提供することもできる。したがって、これらのサービスはポリシー推進型であり得るため、ＩａａＳユーザは負荷分散を推進するポリシーを実装して、アプリケーションの可用性と性能を維持できる可能性がある。

【0053】

場合によっては、ＩａａＳ顧客は、インターネットなどのワイドエリアネットワーク（ＷＡＮ）を介してリソースおよびサービスにアクセスすることができ、クラウドプロバイダのサービスを使用してアプリケーションスタックの残りの要素をインストールすることができる。例えば、ユーザはＩａａＳプラットフォームにログインして、仮想マシン（ＶＭ）の作成、各ＶＭへのオペレーティングシステム（ＯＳ）のインストール、データベースなどのミドルウェアの展開、ワークロードとバックアップ用の記憶バケットの作成、さらにはエンタープライズソフトウェアをそのＶＭにインストールすることができる。その後、顧客はプロバイダのサービスを使用して、ネットワークトラフィックのバランス、アプリケーションの問題のトラブルシューティング、性能の監視、災害復旧の管理などのさまざまな機能を実行できる。

【0054】

ほとんどの場合、クラウドコンピューティングモデルはクラウドプロバイダの参加を必要とする。クラウドプロバイダは、ＩａａＳの提供（例えば、提供、レンタル、販売）を専門とするサードパーティサービスであってもかまわないが、そうである必要はない。エンティティはプライベートクラウドを展開して、独自のインフラストラクチャサービスプロバイダになることも選択できる。

【0055】

いくつかの例では、ＩａａＳ展開は、新しいアプリケーション、またはアプリケーションの新しいバージョンを、準備されているアプリケーションサーバなどに配置するプロセスである。これには、サーバを準備するプロセス（例えば、ライブラリ、デーモンのインストール）も含まれ得る。これは多くの場合、ハイパーバイザ層（例えば、サーバ、記憶装置、ネットワークハードウェア、および仮想化）の下のクラウドプロバイダによって管理される。したがって、顧客は、（ＯＳ）、ミドルウェア、および／またはアプリケーション展開（例えば、セルフサービス仮想マシン（例えば、オンデマンドでスピンアップできる）など）などの取り扱いに責任を負うことができる。

【0056】

いくつかの例では、ＩａａＳプロビジョニングは、使用するコンピュータまたは仮想ホストを取得し、それらに必要なライブラリまたはサービスをインストールすることさえも指し得る。ほとんどの場合、展開にはプロビジョニングが含まれていないため、最初にプロビジョニングを実行する必要があり得る。

【0057】

場合によっては、ＩａａＳプロビジョニングに関して２つの異なる問題が存在する。まず、何かを実行する前にインフラストラクチャの初期セットをプロビジョニングするという最初の課題がある。第２に、すべてがプロビジョニングされた後に、既存のインフラストラクチャを進化させるという課題がある（例えば、新しいサービスの追加、サービスの変更、サービスの削除）。場合によっては、インフラストラクチャの構成を宣言的に画定できるようにすることで、これら２つの課題に対処できる場合がある。言い換えれば、インフラストラクチャ（例えば、どの構成要素が必要か、どのように対話するか）は１つまたは複数の構成ファイルによって画定できる。したがって、インフラストラクチャの全体的なトポロジ（例えば、どのリソースがどのリソースに依存するか、およびそれぞれがどのように連携するかなど）を宣言的に記述することができる。場合によっては、トポロジが画定されると、構成ファイルに記述されているさまざまな構成要素を作成および／または管理するワークフローを生成できる。

【0058】

いくつかの例では、インフラストラクチャは、相互接続されている多くの要素を有し得る。例えば、コアネットワークとしても知られる、１つまたは複数の仮想プライベートクラウド（ＶＰＣ）（例えば、構成可能および／または共有コンピューティングリソースの潜在的にオンデマンドのプール）が存在し得る。いくつかの例では、ネットワークのセキュリティがどのように設定されるかを画定するためにプロビジョニングされる１つまたは複数のセキュリティグループルールと１つまたは複数の仮想マシン（ＶＭ）が存在する場合もある。ロードバランサ、データベースなどの他のインフラストラクチャ要素もプロビジョニングできる。より多くのインフラストラクチャ要素が望まれたり追加されたりするにつれて、インフラストラクチャは段階的に進化し得る。

【0059】

場合によっては、さまざまな仮想コンピューティング環境にわたるインフラストラクチャコードの展開を可能にするために、継続的展開技術が使用されてもよい。さらに、説明されている技術により、これらの環境内でのインフラストラクチャ管理が可能になる。いくつかの例では、サービスチームは、１つまたは複数の、しかし多くの場合、多くの異なる生産環境（例えば、さまざまな異なる地理的位置にまたがり、場合によっては全世界に及ぶ）に展開することが望ましいコードを書くことができる。しかし、いくつかの例では、コードを展開するインフラストラクチャを最初にセットアップする必要がある。場合によっては、プロビジョニングは手動で行うことができ、プロビジョニングツールを利用してリソースをプロビジョニングすることができ、および／または展開ツールを利用して、インフラストラクチャがプロビジョニングされた後にコードを展開することができる。

【0060】

図５は、少なくとも１つの実施形態による、ＩａａＳアーキテクチャのパターン例を示すブロック図５００である。サービスオペレータ５０２は、仮想クラウドネットワーク（ＶＣＮ）５０６およびセキュアホストサブネット５０８を含むことができるセキュアホストテナント５０４に通信可能に結合することができる。いくつかの例では、サービスオペレータ５０２は、１つまたは複数のクライアントコンピューティング装置を使用することができ、これは、ポータブルハンドヘルド装置（例えば、ｉＰｈｏｎｅ（登録商標）、携帯電話、ｉＰａｄ（登録商標）、コンピューティングタブレット、携帯情報端末（ＰＤＡ））もしくはウェアラブル装置（例えば、Google Glass（登録商標）ヘッドマウントディスプレイ）、Microsoft Windows Mobile（登録商標）などの実行ソフトウェア、および／またはｉＯＳ、Windows Phone、Android、BlackBerry8、ＰａｌｍＯＳなどのさまざまなモバイルオペレーティングシステム、ならびにインターネット、電子メール、ショートメッセージサービス（ＳＭＳ）、Blackberry（登録商標）、または有効な他の通信プロトコルであり得る。あるいは、クライアントコンピューティング装置は、例えば、さまざまなバージョンのMicrosoft Windows（登録商標）、Apple Macintosh（登録商標）、および／またはＬｉｎｕｘ（登録商標）オペレーティングシステムを実行するパーソナルコンピュータおよび／またはラップトップコンピュータを含む汎用パーソナルコンピュータであってもよい。クライアントコンピューティング装置は、Google Chrome ＯＳなどのさまざまなＧＮＵ／Ｌｉｎｕｘ（登録商標）オペレーティングシステムを含むがこれらに限定されない、さまざまな市販のＵＮＩＸ（登録商標）またはＵＮＩＸ類似のオペレーティングシステムのいずれかを実行するワークステーションコンピュータであり得る。代替として、または追加として、クライアントコンピューティング装置は任意の他の電子装置であってもよく、シンクライアントコンピュータ、インターネット対応ゲームシステム（例えば、Ｋｉｎｅｃｔ（登録商標）ジェスチャ入力装置であり、または無しのMicrosoft Xboxゲームコンソール）、および／またはＶＣＮ５０６および／またはインターネットにアクセスできるネットワークを介して通信できるパーソナルメッセージング装置などである。

【0061】

ＶＣＮ５０６は、ＳＳＨＶＣＮ５１２に含まれるＬＰＧ５１０を介してセキュアシェル（ＳＳＨ）ＶＣＮ５１２に通信可能に結合することができるローカルピアリングゲートウェイ（ＬＰＧ）５１０を含むことができる。ＳＳＨＶＣＮ５１２は、ＳＳＨサブネット５１４を含むことができ、ＳＳＨＶＣＮ５１２は、制御プレーンＶＣＮ５１６に含まれるＬＰＧ５１０を介して制御プレーンＶＣＮ５１６に通信可能に結合することができる。また、ＳＳＨＶＣＮ５１２は、ＬＰＧ５１０を介してデータプレーンＶＣＮ５１８に通信可能に結合することができる。制御プレーンＶＣＮ５１６およびデータプレーンＶＣＮ５１８は、ＩａａＳプロバイダが所有および／または動作できるサービステナント５１９に含めることができる。

【0062】

制御プレーンＶＣＮ５１６は、境界ネットワーク（例えば、企業イントラネットと外部ネットワークとの間の企業ネットワークの一部）として機能する制御プレーン非武装地帯（ＤＭＺ）層５２０を含むことができる。ＤＭＺベースのサーバは責任が制限されており、セキュリティ侵害を阻止するのに役立ち得る。さらに、ＤＭＺ層５２０は、１つまたは複数のロードバランサ（ＬＢ）サブネット５２２、アプリサブネット５２６を含むことができる制御プレーンアプリ層５２４、制御プレーンデータ層５２８を含むことができ、これには、データベース（ＤＢ）サブネット５３０（例えば、フロントエンドＤＢサブネットおよび／またはバックエンドＤＢサブネット）を含めることができる。制御プレーンＤＭＺ層５２０に含まれるＬＢサブネット５２２は、制御プレーンアプリ層５２４に含まれるアプリサブネット５２６および制御プレーンＶＣＮ５１６に含まれ得るインターネットゲートウェイ５３４に通信可能に結合することができ、アプリサブネット５２６は、制御プレーンデータ層５２８に含まれるＤＢサブネット５３０、ならびにサービスゲートウェイ５３６およびネットワークアドレス変換（ＮＡＴ）ゲートウェイ５３８に通信可能に結合することができる。制御プレーンＶＣＮ５１６は、サービスゲートウェイ５３６およびＮＡＴゲートウェイ５３８を含むことができる。

【0063】

制御プレーンＶＣＮ５１６は、アプリサブネット５２６を含むことができるデータプレーンミラーアプリ層５４０を含むことができる。データプレーンミラーアプリ層５４０に含まれるアプリサブネット５２６は、コンピューティングインスタンス５４４を実行できる仮想ネットワークインターフェイスコントローラ（ＶＮＩＣ）５４２を含むことができる。コンピューティングインスタンス５４４は、データプレーンミラーアプリ層５４０のアプリサブネット５２６を、データプレーンアプリ層５４６に含めることができるアプリサブネット５２６に通信可能に結合することができる。

【0064】

データプレーンＶＣＮ５１８は、データプレーンアプリ層５４６、データプレーンＤＭＺ層５４８、およびデータプレーンデータ層５５０を含むことができる。データプレーンＤＭＺ層５４８は、データプレーンアプリ層５４６のアプリサブネット５２６およびデータプレーンＶＣＮ５１８のインターネットゲートウェイ５３４に通信可能に結合され得るＬＢサブネット５２２を含むことができる。アプリサブネット５２６は、データプレーンＶＣＮ５１８のサービスゲートウェイ５３６およびデータプレーンＶＣＮ５１８のＮＡＴゲートウェイ５３８に通信可能に結合することができる。データプレーンデータ層５５０は、データプレーンアプリ層５４６のアプリサブネット５２６に通信可能に結合できるＤＢサブネット５３０を含むこともできる。

【0065】

制御プレーンＶＣＮ５１６およびデータプレーンＶＣＮ５１８のインターネットゲートウェイ５３４は、パブリックインターネット５５４に通信可能に結合され得るメタデータ管理サービス５５２に通信可能に結合され得る。パブリックインターネット５５４は、制御プレーンＶＣＮ５１６およびデータプレーンＶＣＮ５１８のＮＡＴゲートウェイ５３８に通信可能に接続することができる。制御プレーンＶＣＮ５１６およびデータプレーンＶＣＮ５１８のサービスゲートウェイ５３６は、クラウドサービス５５６に通信可能に結合することができる。

【0066】

いくつかの例では、制御プレーンＶＣＮ５１６またはデータプレーンＶＣＮ５１８のサービスゲートウェイ５３６は、パブリックインターネット５５４を経由せずに、クラウドサービス５５６へのアプリケーションプログラミングインターフェイス（ＡＰＩ）呼び出しを行うことができる。サービスゲートウェイ５３６からクラウドサービス５５６へのＡＰＩ呼び出しは一方向であり得る：サービスゲートウェイ５３６はクラウドサービス５５６へのＡＰＩ呼び出しを行うことができ、クラウドサービス５５６は要求されるデータをサービスゲートウェイ５３６に送信することができる。しかし、クラウドサービス５５６は、サービスゲートウェイ５３６へのＡＰＩ呼び出しを開始できない場合がある。

【0067】

いくつかの例では、セキュアホストテナント５０４は、サービステナント５１９に直接接続することができ、そうでなければ分離され得る。セキュアホストサブネット５０８は、ＬＰＧ５１０を介してＳＳＨサブネット５１４と通信することができ、ＬＰＧ５１０は、そうでなければ分離されるシステムを介した双方向通信を可能にすることができる。セキュアホストサブネット５０８をＳＳＨサブネット５１４に接続すると、セキュアホストサブネット５０８にサービステナント５１９内の他のエンティティへのアクセスを与えることができる。

【0068】

制御プレーンＶＣＮ５１６により、サービステナント５１９のユーザが所望のリソースをセットアップまたはプロビジョニングできるようにすることができる。制御プレーンＶＣＮ５１６内にプロビジョニングされる所望のリソースは、データプレーンＶＣＮ５１８内に展開または使用され得る。いくつかの例では、制御プレーンＶＣＮ５１６はデータプレーンＶＣＮ５１８から分離することができ、制御プレーンＶＣＮ５１６のデータプレーンミラーアプリ層５４０は、データプレーンミラーアプリ層５４０およびデータプレーンアプリ層５４６に含まれることができるＶＮＩＣ５４２を介して、データプレーンＶＣＮ５１８のデータプレーンアプリ層５４６と通信することができる。

【0069】

いくつかの例では、システムのユーザまたは顧客は、要求をメタデータ管理サービス５５２に通信することができるパブリックインターネット５５４を介して、例えば作成、読み取り、更新、または削除（ＣＲＵＤ）動作などの要求を行うことができる。メタデータ管理サービス５５２は、インターネットゲートウェイ５３４を介して要求を制御プレーンＶＣＮ５１６に通信することができる。この要求は、制御プレーンＤＭＺ層５２０に含まれるＬＢサブネット５２２によって受信され得る。ＬＢサブネット５２２は、要求が有効であると決定することができ、この決定に応答して、ＬＢサブネット５２２は、制御プレーンアプリ層５２４に含まれるアプリサブネット５２６に要求を送信することができる。要求が検証され、パブリックインターネット５５４への呼び出しが必要な場合、パブリックインターネット５５４への呼び出しは、パブリックインターネット５５４への呼び出しを行うことができるＮＡＴゲートウェイ５３８に送信され得る。要求によって記憶されることが望ましい場合があるメモリは、ＤＢサブネット５３０に記憶できる。

【0070】

いくつかの例では、データプレーンミラーアプリ層５４０は、制御プレーンＶＣＮ５１６とデータプレーンＶＣＮ５１８との間の直接通信を容易にすることができる。例えば、構成に対する変更、更新、または他の適切な修正を、データプレーンＶＣＮ５１８に含まれるリソースに適用することが望ましい場合がある。ＶＮＩＣ５４２を介して、制御プレーンＶＣＮ５１６は、データプレーンＶＣＮ５１８に含まれるリソースと直接通信することができ、それにより、データプレーンＶＣＮ５１８に含まれるリソースに対する構成の変更、更新、または他の適切な修正を実行することができる。

【0071】

いくつかの実施形態では、制御プレーンＶＣＮ５１６およびデータプレーンＶＣＮ５１８は、サービステナント５１９に含めることができる。この場合、システムのユーザまたは顧客は、制御プレーンＶＣＮ５１６またはデータプレーンＶＣＮ５１８のいずれも所有または動作することはできない。代わりに、ＩａａＳプロバイダは、制御プレーンＶＣＮ５１６およびデータプレーンＶＣＮ５１８を所有または動作することができ、これらは両方ともサービステナント５１９に含まれ得る。この実施形態は、ユーザまたは顧客が他のユーザまたは他の顧客のリソースと対話することを防止し得るネットワークの分離を可能にすることができる。また、この実施形態により、システムのユーザまたは顧客は、記憶のために所望のレベルのセキュリティを持たない可能性があるパブリックインターネット６５４に依存する必要なく、データベースをプライベートに記憶することができる。

【0072】

他の実施形態では、制御プレーンＶＣＮ５１６に含まれるＬＢサブネット５２２は、サービスゲートウェイ５３６から信号を受信するように構成され得る。この実施形態では、制御プレーンＶＣＮ５１６およびデータプレーンＶＣＮ５１８は、パブリックインターネット５５４を呼び出すことなく、ＩａａＳプロバイダの顧客によって呼び出されるように構成され得る。顧客が使用するデータベースはＩａａＳプロバイダによって制御され、パブリックインターネット５５４から隔離され得るサービステナント５１９に記憶され得るため、ＩａａＳプロバイダの顧客は、この実施形態を望む可能性がある。

【0073】

図６は、少なくとも１つの実施形態による、ＩａａＳアーキテクチャの別のパターン例を示すブロック図６００である。サービスオペレータ６０２（例えば、図５のサービスオペレータ５０２）は、セキュアホストテナント６０４（例えば、図５のセキュアホストテナント５０４）に通信可能に結合することができ、これは、仮想クラウドネットワーク（ＶＣＮ）６０６（例えば、図５のＶＣＮ５０６）およびセキュアホストサブネット６０８（例えば、図５のセキュアホストサブネット５０８）を含むことができる。ＶＣＮ６０６は、ローカルピアリングゲートウェイ（ＬＰＧ）６１０（例えば、図５のＬＰＧ５１０）を含むことができ、これは、ＳＳＨＶＣＮ６１２に含まれるＬＰＧ５１０を介してセキュアシェル（ＳＳＨ）ＶＣＮ６１２（例えば、図５のＳＳＨＶＣＮ５１２）に通信可能に結合することができる。ＳＳＨＶＣＮ６１２は、ＳＳＨサブネット６１４（例えば、図５のＳＳＨサブネット５１４）を含むことができ、ＳＳＨＶＣＮ６１２は、制御プレーンＶＣＮ６１６に含まれるＬＰＧ６１０を介して、制御プレーンＶＣＮ６１６（例えば、図５の制御プレーンＶＣＮ５１６）に通信可能に結合することができる。制御プレーンＶＣＮ６１６は、サービステナント６１９（例えば、図５のサービステナント５１９）に含めることができ、データプレーンＶＣＮ６１８（例えば、図５のデータプレーンＶＣＮ５１８）は、システムのユーザまたは顧客によって所有または動作され得る顧客テナント６２１に含めることができる。

【0074】

制御プレーンＶＣＮ６１６は、ＬＢサブネット６２２（例えば、図５のＬＢサブネット５２２）を含むことができる制御プレーンＤＭＺ層６２０（例えば、図５の制御プレーンＤＭＺ層５２０）、アプリサブネット６２６（例えば、図５のアプリサブネット５２６）を含むことができる制御プレーンアプリ層６２４（例えば、図５の制御プレーンアプリ層５２４）、データベース（ＤＢ）サブネット６３０（例えば、図５のＤＢサブネット５３０と同様）を含むことができる制御プレーンデータ層６２８（例えば、図５の制御プレーンデータ層５２８）を含むことができる。制御プレーンＤＭＺ層６２０に含まれるＬＢサブネット６２２は、制御プレーンアプリ層６２４に含まれるアプリサブネット６２６と、制御プレーンＶＣＮ６１６に含まれ得るインターネットゲートウェイ６３４（例えば、図５のインターネットゲートウェイ５３４）とに通信可能に結合することができ、アプリサブネット６２６は、制御プレーンデータ層６２８に含まれるＤＢサブネット６３０、ならびにサービスゲートウェイ６３６（例えば、図５のサービスゲートウェイ）およびネットワークアドレス変換（ＮＡＴ）ゲートウェイ６３８（例えば、図５のＮＡＴゲートウェイ５３８）に通信可能に結合することができる。制御プレーンＶＣＮ６１６は、サービスゲートウェイ６３６およびＮＡＴゲートウェイ６３８を含むことができる。

【0075】

制御プレーンＶＣＮ６１６は、アプリサブネット６２６を含むことができるデータプレーンミラーアプリ層６４０（例えば、図５のデータプレーンミラーアプリ層５４０）を含むことができる。データプレーンミラーアプリ層６４０に含まれるアプリサブネット６２６は、コンピューティングインスタンス６４４（例えば、図５のコンピューティングインスタンス５４４と同様）を実行できる仮想ネットワークインターフェイスコントローラ（ＶＮＩＣ）６４２（例えば、５４２のＶＮＩＣ）を含むことができる。コンピューティングインスタンス６４４は、データプレーンミラーアプリ層６４０のアプリサブネット６２６とアプリサブネット６２６との間の通信を容易にすることができ、これは、データプレーンミラーアプリ層６４０に含まれるＶＮＩＣ６４２およびデータプレーンアプリ層６４６に含まれるＶＮＩＣ６４２を介して、データプレーンアプリ層６４６（例えば、図５のデータプレーンアプリ層５４６）に含まれることができる。

【0076】

制御プレーンＶＣＮ６１６に含まれるインターネットゲートウェイ６３４は、メタデータ管理サービス６５２（例えば、図５のメタデータ管理サービス５５２）に通信可能に結合することができ、これは、パブリックインターネット６５４（例えば、図５のパブリックインターネット５５４）に通信可能に結合することができる。パブリックインターネット６５４は、制御プレーンＶＣＮ６１６に含まれるＮＡＴゲートウェイ６３８に通信可能に結合することができる。制御プレーンＶＣＮ６１６に含まれるサービスゲートウェイ６３６は、クラウドサービス６５６（例えば、図５のクラウドサービス５５６）に通信可能に結合することができる。

【0077】

いくつかの例では、データプレーンＶＣＮ６１８は、顧客テナント６２１に含まれることができる。この場合、ＩａａＳプロバイダは、各顧客に対して制御プレーンＶＣＮ６１６を提供することができ、ＩａａＳプロバイダは、各顧客に対して、サービステナント６１９に含まれる一意のコンピューティングインスタンス６４４をセットアップすることができる。各コンピューティングインスタンス６４４は、サービステナント６１９に含まれる制御プレーンＶＣＮ６１６と、顧客テナント６２１に含まれるデータプレーンＶＣＮ６１８との間の通信を可能にしてもよい。コンピューティングインスタンス６４４は、サービステナント６１９に含まれる制御プレーンＶＣＮ６１６内にプロビジョニングされるリソースが、顧客テナント６２１に含まれるデータプレーンＶＣＮ６１８内に展開されるか、そうでなければ使用されることを可能にし得る。

【0078】

他の例では、ＩａａＳプロバイダの顧客は、顧客テナント６２１内に存在するデータベースを有し得る。この例では、制御プレーンＶＣＮ６１６は、アプリサブネット６２６を含むことができるデータプレーンミラーアプリ層６４０を含むことができる。データプレーンミラーアプリ層６４０はデータプレーンＶＣＮ６１８内に存在することができるが、データプレーンミラーアプリ層６４０はデータプレーンＶＣＮ６１８内に存在しなくてもよい。つまり、データプレーンミラーアプリ層６４０は、顧客テナント６２１にアクセスできるが、データプレーンミラーアプリ層６４０は、データプレーンＶＣＮ６１８に存在しなくてもよいし、ＩａａＳプロバイダの顧客によって所有または動作されてもよい。データプレーンミラーアプリ層６４０は、データプレーンＶＣＮ６１８への呼び出しを行うように構成されてもよいが、制御プレーンＶＣＮ６１６に含まれる任意のエンティティへの呼び出しを行うように構成されなくてもよい。顧客は、制御プレーンＶＣＮ６１６内にプロビジョニングされるデータプレーンＶＣＮ６１８内のリソースを展開またはそうでなければ使用することを望む場合があり、データプレーンミラーアプリ層６４０は、顧客の所望の展開またはリソースの他の使用を容易にすることができる。

【0079】

いくつかの実施形態では、ＩａａＳプロバイダの顧客は、データプレーンＶＣＮ６１８にフィルタを適用することができる。この実施形態では、顧客はデータプレーンＶＣＮ６１８が何にアクセスできるかを決定することができ、顧客はデータプレーンＶＣＮ６１８からパブリックインターネット６５４へのアクセスを制限することができる。ＩａａＳプロバイダは、フィルタを適用したり、外部ネットワークまたはデータベースへのデータプレーンＶＣＮ６１８のアクセスを制御したりできない場合がある。顧客によるフィルタおよび制御を顧客テナント６２１に含まれるデータプレーンＶＣＮ６１８に適用すると、データプレーンＶＣＮ６１８を他の顧客およびパブリックインターネット６５４から分離するのに役立ち得る。

【0080】

いくつかの実施形態では、クラウドサービス６５６は、パブリックインターネット６５４上、制御プレーンＶＣＮ６１６上、またはデータプレーンＶＣＮ６１８上に存在しない可能性があるサービスにアクセスするために、サービスゲートウェイ６３６によって呼び出すことができる。クラウドサービス６５６と制御プレーンＶＣＮ６１６またはデータプレーンＶＣＮ６１８との間の接続は、ライブまたは継続的ではない可能性がある。クラウドサービス６５６は、ＩａａＳプロバイダが所有または動作する別のネットワーク上に存在し得る。クラウドサービス６５６は、サービスゲートウェイ６３６から呼び出しを受信するように構成されてもよいし、パブリックインターネット６５４から呼び出しを受信しないように構成されてもよい。一部のクラウドサービス６５６は、他のクラウドサービス６５６から分離されてもよく、制御プレーンＶＣＮ６１６は、制御プレーンＶＣＮ６１６と同じ領域になくてもよいクラウドサービス６５６から分離されてもよい。例えば、制御プレーンＶＣＮ６１６は「領域１」に配置され、クラウドサービス「展開６」は領域１と「領域２」に配置され得る。展開６への呼び出しが、領域１にある制御プレーンＶＣＮ６１６に含まれるサービスゲートウェイ６３６によって行われた場合、その呼び出しは領域１の展開６に送信され得る。この例では、制御プレーンＶＣＮ６１６、または領域１の展開６は、領域２の展開６に通信可能に結合されていない、または通信していない可能性がある。

【0081】

図７は、少なくとも１つの実施形態による、ＩａａＳアーキテクチャの別のパターン例を示すブロック図７００である。サービスオペレータ７０２（例えば、図５のサービスオペレータ５０２）は、セキュアホストテナント７０４（例えば、図５のセキュアホストテナント５０４）に通信可能に結合することができ、これは、仮想クラウドネットワーク（ＶＣＮ）７０６（例えば、図５のＶＣＮ５０６）およびセキュアホストサブネット７０８（例えば、図５のセキュアホストサブネット５０８）を含むことができる。ＶＣＮ７０６は、ＳＳＨＶＣＮ７１２（例えば、図５のＳＳＨＶＣＮ５１２）に含まれるＬＰＧ７１０を介してＳＳＨＶＣＮ７１２に通信可能に結合され得るＬＰＧ７１０（例えば、図５のＬＰＧ５１０）を含むことができる。ＳＳＨＶＣＮ７１２は、ＳＳＨサブネット７１４（例えば、図５のＳＳＨサブネット５１４）を含むことができ、ＳＳＨＶＣＮ７１２は、制御プレーンＶＣＮ７１６（例えば、図５の制御プレーンＶＣＮ５１６）に含まれるＬＰＧ７１０を介して制御プレーンＶＣＮ７１６に通信可能に結合することができ、データプレーンＶＣＮ７１８（例えば、図５のデータプレーン５１８）に含まれるＬＰＧ７１０を介してデータプレーンＶＣＮ７１８に通信可能に結合することができる。制御プレーンＶＣＮ７１６およびデータプレーンＶＣＮ７１８は、サービステナント７１９（例えば、図５のサービステナント５１９）に含めることができる。

【0082】

制御プレーンＶＣＮ７１６は、ロードバランサ（ＬＢ）サブネット７２２（例えば、図５のＬＢサブネット５２２）を含むことができる制御プレーンＤＭＺ層７２０（例えば、図５の制御プレーンＤＭＺ層５２０）、アプリサブネット７２６（例えば、図５のアプリサブネット５２６と同様）を含むことができる制御プレーンアプリ層７２４（例えば、図５の制御プレーンアプリ層５２４）、ＤＢサブネット７３０を含むことができる制御プレーンデータ層７２８（例えば、図５の制御プレーンデータ層５２８）を含むことができる。制御プレーンＤＭＺ層７２０に含まれるＬＢサブネット７２２は、制御プレーンアプリ層７２４に含まれるアプリサブネット７２６と、制御プレーンＶＣＮ７１６に含まれ得るインターネットゲートウェイ７３４（例えば、図５のインターネットゲートウェイ５３４）とに通信可能に結合され得、アプリサブネット７２６は、制御プレーンデータ層７２８に含まれるＤＢサブネット７３０、サービスゲートウェイ７３６（例えば、図５のサービスゲートウェイ）およびネットワークアドレス変換（ＮＡＴ）ゲートウェイ７３８（例えば、図５のＮＡＴゲートウェイ５３８）に通信可能に結合することができる。制御プレーンＶＣＮ７１６は、サービスゲートウェイ７３６およびＮＡＴゲートウェイ７３８を含むことができる。

【0083】

データプレーンＶＣＮ７１８は、データプレーンアプリ層７４６（例えば、図５のデータプレーンアプリ層５４６）、データプレーンＤＭＺ層７４８（例えば、図５のデータプレーンＤＭＺ層５４８）、およびデータプレーンデータ層７５０（例えば、図５のデータプレーンデータ層５５０）を含むことができる。データプレーンＤＭＺ層７４８は、ＬＢサブネット７２２を含むことができ、これは、データプレーンアプリ層７４６の信頼できるアプリサブネット７６０と信頼できないアプリサブネット７６２、およびデータプレーンＶＣＮ７１８に含まれるインターネットゲートウェイ７３４に通信可能に結合することができる。信頼できるアプリサブネット７６０は、データプレーンＶＣＮ７１８に含まれるサービスゲートウェイ７３６、データプレーンＶＣＮ７１８に含まれるＮＡＴゲートウェイ７３８、およびデータプレーンデータ層７５０に含まれるＤＢサブネット７３０に通信可能に結合することができる。信頼できないアプリサブネット７６２は、データプレーンＶＣＮ７１８に含まれるサービスゲートウェイ７３６およびデータプレーンデータ層７５０に含まれるＤＢサブネット７３０に通信可能に結合することができる。データプレーンデータ層７５０は、データプレーンＶＣＮ７１８に含まれるサービスゲートウェイ７３６に通信可能に結合できるＤＢサブネット７３０を含むことができる。

【0084】

信頼できないアプリサブネット７６２は、テナント仮想マシン（ＶＭ）７６６（１）～（Ｎ）に通信可能に結合することができる１つまたは複数の１次ＶＮＩＣ７６４（１）～（Ｎ）を含むことができる。各テナントＶＭ７６６（１）～（Ｎ）は、それぞれのアプリサブネット７６７（１）～（Ｎ）に通信可能に結合することができ、これは、それぞれの顧客テナント７７０（１）～（Ｎ）に含めることができるそれぞれのコンテナ出口ＶＣＮ７６８（１）～（Ｎ）に含めることができる。それぞれの２次ＶＮＩＣ７７２（１）～（Ｎ）は、データプレーンＶＣＮ７１８に含まれる信頼できないアプリサブネット７６２と、コンテナ出口ＶＣＮ７６８（１）～（Ｎ）に含まれるアプリサブネットとの間の通信を容易にすることができる。各コンテナ出口ＶＣＮ７６８（１）～（Ｎ）は、パブリックインターネット７５４（例えば、図５のパブリックインターネット５５４）に通信可能に結合できるＮＡＴゲートウェイ７３８を含むことができる。

【0085】

制御プレーンＶＣＮ７１６に含まれ、データプレーンＶＣＮ７１８に含まれるインターネットゲートウェイ７３４は、パブリックインターネット７５４に通信可能に結合できるメタデータ管理サービス７５２（例えば、図５のメタデータ管理システム５５２）に通信可能に結合することができる。パブリックインターネット７５４は、制御プレーンＶＣＮ７１６に含まれ、データプレーンＶＣＮ７１８に含まれるＮＡＴゲートウェイ７３８に通信可能に結合することができる。制御プレーンＶＣＮ７１６に含まれ、データプレーンＶＣＮ７１８に含まれるサービスゲートウェイ７３６は、クラウドサービス７５６に通信可能に結合することができる。

【0086】

いくつかの実施形態では、データプレーンＶＣＮ７１８は、顧客テナント７７０と統合することができる。この統合は、コード実行時のサポートが必要な場合など、ＩａａＳプロバイダの顧客にとって有益または望ましい場合がある。顧客は、破壊的な可能性があるコード、他の顧客リソースと通信する可能性のあるコード、またはその他の望ましくない影響を引き起こす可能性のあるコードの実行を提供し得る。これに応じて、ＩａａＳプロバイダは、顧客からＩａａＳプロバイダに提供されるコードを実行するかどうかを決定できる。

【0087】

いくつかの例では、ＩａａＳプロバイダの顧客は、ＩａａＳプロバイダに一時的なネットワークアクセスを許可し、データプレーン層アプリ７４６に付加される機能を要求することができる。機能を実行するコードは、ＶＭ７６６（１）～（Ｎ）で実行することができ、コードはデータプレーンＶＣＮ７１８上の他の場所で実行するように構成することはできない。各ＶＭ７６６（１）～（Ｎ）は、１つの顧客テナント７７０に接続できる。ＶＭ７６６（１）～（Ｎ）に含まれるそれぞれのコンテナ７７１（１）～（Ｎ）は、コードを実行するように構成され得る。この場合、二重隔離が存在する可能性があり（例えば、コンテナ７７１（１）～（Ｎ）のコード実行、コンテナ７７１（１）～（Ｎ）は、信頼できないアプリサブネット７６２に含まれる少なくともＶＭ７６６（１）～（Ｎ）に含まれ得る）、これは、間違ったコードや望ましくないコードがＩａａＳプロバイダのネットワークに損害を与えたり、別の顧客のネットワークに損害を与えたりすることを防ぐのに役立ち得る。コンテナ７７１（１）～（Ｎ）は、顧客テナント７７０に通信可能に結合されてもよく、顧客テナント７７０からデータを送信または受信するように構成されてもよい。コンテナ７７１（１）～（Ｎ）は、データプレーンＶＣＮ７１８内の任意の他のエンティティからデータを送信または受信するように構成されていない可能性がある。コードの実行が完了すると、ＩａａＳプロバイダはコンテナ７７１（１）～（Ｎ）を強制終了するか、その他の方法で破棄することができる。

【0088】

いくつかの実施形態では、信頼できるアプリサブネット７６０は、ＩａａＳプロバイダによって所有または動作され得るコードを実行し得る。この実施形態では、信頼できるアプリサブネット７６０は、ＤＢサブネット７３０に通信可能に結合され、ＤＢサブネット７３０内でＣＲＵＤ動作を実行するように構成され得る。信頼できないアプリサブネット７６２は、ＤＢサブネット７３０に通信可能に結合され得るが、この実施形態では、信頼できないアプリサブネットは、ＤＢサブネット７３０において読み取り動作を実行するように構成され得る。各顧客のＶＭ７６６（１）～（Ｎ）に含めることができ、顧客からのコードを実行することができるコンテナ７７１（１）～（Ｎ）は、ＤＢサブネット７３０と通信可能に結合されていなくてもよい。

【0089】

他の実施形態では、制御プレーンＶＣＮ７１６とデータプレーンＶＣＮ７１８は、直接通信可能に結合されていなくてもよい。この実施形態では、制御プレーンＶＣＮ７１６とデータプレーンＶＣＮ７１８との間に直接通信が存在しなくてもよい。しかし、通信は少なくとも１つの方法を通じて間接的に行うことができる。ＬＰＧ７１０は、制御プレーンＶＣＮ７１６とデータプレーンＶＣＮ７１８との間の通信を容易にすることができるＩａａＳプロバイダによって確立され得る。別の例では、制御プレーンＶＣＮ７１６またはデータプレーンＶＣＮ７１８は、サービスゲートウェイ７３６を介してクラウドサービス７５６への呼び出しを行うことができる。例えば、制御プレーンＶＣＮ７１６からクラウドサービス７５６への呼び出しは、データプレーンＶＣＮ７１８と通信できるサービスに対する要求を含むことができる。

【0090】

図８は、少なくとも１つの実施形態による、ＩａａＳアーキテクチャの別のパターン例を示すブロック図８００である。サービスオペレータ８０２（例えば、図５のサービスオペレータ５０２）は、セキュアホストテナント８０４（例えば、図５のセキュアホストテナント５０４）に通信可能に結合することができ、これは、仮想クラウドネットワーク（ＶＣＮ）８０６（例えば、図５のＶＣＮ５０６）およびセキュアホストサブネット８０８（例えば、図５のセキュアホストサブネット５０８）を含むことができる。ＶＣＮ８０６は、ＳＳＨＶＣＮ８１２に含まれるＬＰＧ８１０を介してＳＳＨＶＣＮ８１２（例えば、図５のＳＳＨＶＣＮ５１２）に通信可能に結合され得るＬＰＧ８１０（例えば、図５のＬＰＧ５１０）を含むことができる。ＳＳＨＶＣＮ８１２は、ＳＳＨサブネット８１４（例えば、図５のＳＳＨサブネット５１４）を含むことができ、ＳＳＨＶＣＮ８１２は、制御プレーンＶＣＮ８１６（例えば、図５の制御プレーンＶＣＮ５１６）に含まれるＬＰＧ８１０を介して、制御プレーンＶＣＮ８１６に通信可能に結合することができ、データプレーンＶＣＮ８１８（例えば、図５のデータプレーン５１８）に含まれるＬＰＧ８１０を介して、データプレーンＶＣＮ８１８に通信可能に結合することができる。制御プレーンＶＣＮ８１６およびデータプレーンＶＣＮ８１８は、サービステナント８１９（例えば、図５のサービステナント５１９）に含めることができる。

【0091】

制御プレーンＶＣＮ８１６は、ＬＢサブネット８２２（例えば、図５のＬＢサブネット５２２）を含むことができる制御プレーンＤＭＺ層８２０（例えば、図５の制御プレーンＤＭＺ層５２０）、アプリサブネット８２６（例えば、図５のアプリサブネット５２６）を含むことができる制御プレーンアプリ層８２４（例えば、図５の制御プレーンアプリ層５２４）、ＤＢサブネット８３０（例えば、図７のＤＢサブネット７３０）を含むことができる制御プレーンデータ層８２８（例えば、図５の制御プレーンデータ層５２８）を含むことができる。制御プレーンＤＭＺ層８２０に含まれるＬＢサブネット８２２は、制御プレーンアプリ層８２４に含まれるアプリサブネット８２６に通信可能に結合することができ、制御プレーンＶＣＮ８１６に含めることができるインターネットゲートウェイ８３４（例えば、図５のインターネットゲートウェイ５３４）に通信可能に結合することができ、アプリサブネット８２６は、制御プレーンデータ層８２８に含まれるＤＢサブネット８３０に通信可能に結合することができ、サービスゲートウェイ８３６（例えば、図５のサービスゲートウェイ）およびネットワークアドレス変換（ＮＡＴ）ゲートウェイ８３８（例えば、図５のＮＡＴゲートウェイ５３８）に通信可能に結合することができる。制御プレーンＶＣＮ８１６は、サービスゲートウェイ８３６およびＮＡＴゲートウェイ８３８を含むことができる。

【0092】

データプレーンＶＣＮ８１８は、データプレーンアプリ層８４６（例えば、図５のデータプレーンアプリ層５４６）、データプレーンＤＭＺ層８４８（例えば、図５のデータプレーンＤＭＺ層５４８）、およびデータプレーンデータ層８５０（例えば、図５のデータプレーンデータ層５５０）を含むことができる。データプレーンＤＭＺ層８４８は、ＬＢサブネット８２２を含むことができ、それは、信頼できるアプリサブネット８６０（例えば、図７の信頼できるアプリサブネット７６０）に通信可能に結合され得、データプレーンアプリ層８４６の信頼できないアプリサブネット８６２（例えば、図７の信頼できないアプリサブネット７６２）およびデータプレーンＶＣＮ８１８に含まれるインターネットゲートウェイ８３４に通信可能に結合することができる。信頼できるアプリサブネット８６０は、データプレーンＶＣＮ８１８に含まれるサービスゲートウェイ８３６に通信可能に結合することができ、データプレーンＶＣＮ８１８に含まれるＮＡＴゲートウェイ８３８、およびデータプレーンデータ層８５０に含まれるＤＢサブネット８３０に通信可能に結合することができる。信頼できないアプリサブネット８６２は、データプレーンＶＣＮ８１８に含まれるサービスゲートウェイ８３６およびデータプレーンデータ層８５０に含まれるＤＢサブネット８３０に通信可能に接続することができる。データプレーンデータ層８５０は、データプレーンＶＣＮ８１８に含まれるサービスゲートウェイ８３６に通信可能に結合できるＤＢサブネット８３０を含むことができる。

【0093】

信頼できないアプリサブネット８６２は、１次ＶＮＩＣ８６４（１）～（Ｎ）を含むことができ、これは、信頼できないアプリサブネット８６２内に存在するテナント仮想マシン（ＶＭ）８６６（１）～（Ｎ）に通信可能に結合することができる。各テナントＶＭ８６６（１）～（Ｎ）は、それぞれのコンテナ８６７（１）～（Ｎ）内でコードを実行することができ、コンテナ出口ＶＣＮ８６８に含めることができるデータプレーンアプリ層８４６に含めることができるアプリサブネット８２６に通信可能に結合することができる。それぞれの２次ＶＮＩＣ８７２（１）～（Ｎ）は、データプレーンＶＣＮ８１８に含まれる信頼できないアプリサブネット８６２とコンテナ出口ＶＣＮ８６８に含まれるアプリサブネットとの間の通信を容易にすることができる。コンテナ出口ＶＣＮは、パブリックインターネット８５４（例えば、図５のパブリックインターネット５５４）に通信可能に結合できるＮＡＴゲートウェイ８３８を含むことができる。

【0094】

制御プレーンＶＣＮ８１６に含まれ、データプレーンＶＣＮ８１８に含まれるインターネットゲートウェイ８３４は、パブリックインターネット８５４に通信可能に結合できるメタデータ管理サービス８５２（例えば、図５のメタデータ管理システム５５２）に通信可能に結合することができる。パブリックインターネット８５４は、制御プレーンＶＣＮ８１６に含まれ、データプレーンＶＣＮ８１８に含まれるＮＡＴゲートウェイ８３８に通信可能に結合することができる。制御プレーンＶＣＮ８１６に含まれ、データプレーンＶＣＮ８１８に含まれるサービスゲートウェイ８３６は、クラウドサービス８５６に通信可能に結合することができる。

【0095】

いくつかの例では、図８のブロック図８００のアーキテクチャによって示されるパターンは、図６のブロック図６００のアーキテクチャによって示されるパターンの例外であると考えられ、ＩａａＳプロバイダが顧客と直接通信できない場合（例えば、切断されている領域）、ＩａａＳプロバイダの顧客にとっては望ましい場合がある。各顧客のＶＭ８６６（１）～（Ｎ）に含まれるそれぞれのコンテナ８６７（１）～（Ｎ）は、顧客によってリアルタイムでアクセス可能である。コンテナ８６７（１）～（Ｎ）は、コンテナ出口ＶＣＮ８６８に含まれることができるデータプレーンアプリ層８４６のアプリサブネット８２６に含まれるそれぞれの２次ＶＮＩＣ８７２（１）～（Ｎ）への呼び出しを行うように構成され得る。２次ＶＮＩＣ８７２（１）～（Ｎ）は、呼び出しをパブリックインターネット８５４に送信することができるＮＡＴゲートウェイ８３８に呼び出しを送信することができる。この例では、顧客がリアルタイムでアクセスできるコンテナ８６７（１）～（Ｎ）は、制御プレーンＶＣＮ８１６から分離することができ、データプレーンＶＣＮ８１８に含まれる他のエンティティから分離することができる。コンテナ８６７（１）～（Ｎ）は、他の顧客からのリソースから隔離されてもよい。

【0096】

他の例では、顧客は、コンテナ８６７（１）～（Ｎ）を使用して、クラウドサービス８５６を呼び出すことができる。この例では、顧客は、クラウドサービス８５６からサービスを要求するコードをコンテナ８６７（１）～（Ｎ）内で実行することができる。コンテナ８６７（１）～（Ｎ）は、この要求を２次ＶＮＩＣ８７２（１）～（Ｎ）に送信することができ、２次ＶＮＩＣ８７２（１）～（Ｎ）は、要求をパブリックインターネット８５４に送信することができるＮＡＴゲートウェイに要求を送信することができる。パブリックインターネット８５４は、インターネットゲートウェイ８３４を介して、制御プレーンＶＣＮ８１６に含まれるＬＢサブネット８２２に要求を送信することができる。要求が有効であるとの決定に応答して、ＬＢサブネットは、サービスゲートウェイ８３６を介してクラウドサービス８５６に要求を送信できるアプリサブネット８２６に要求を送信することができる。

【0097】

図に示されているＩａａＳアーキテクチャ５００、６００、７００、８００は、示されているもの以外の構成要素を有し得ることを理解されたい。さらに、図に示される実施形態は、本開示の実施形態を組み込むことができるクラウドインフラストラクチャシステムのいくつかの例にすぎない。他のいくつかの実施形態では、ＩａａＳシステムは、図示されているよりも多いもしくは少ない構成要素を有してもよく、２つ以上の構成要素を組み合わせてもよく、または構成要素の異なる構成もしくは配置を有してもよい。

【0098】

特定の実施形態では、本明細書で説明されるＩａａＳシステムは、セルフサービス、サブスクリプションベース、弾力的に拡張可能、信頼性が高く、可用性が高く、安全な方法で顧客に提供されるアプリケーション、ミドルウェア、およびデータベースサービス製品のスイートを含むことができる。このようなＩａａＳシステムの一例として、本譲受人が提供するOracle Cloud Infrastructure（ＯＣＩ）がある。

【0099】

図９は、さまざまな実施形態が実装され得る例示的なコンピュータシステム９００を示す。システム９００は、上述のコンピュータシステムのいずれかを実装するために使用することができる。図に示すように、コンピュータシステム９００は、バスサブシステム９０２を介して多くの周辺サブシステムと通信する処理装置９０４を含む。これらの周辺サブシステムは、処理加速装置９０６、Ｉ／Ｏサブシステム９０８、記憶サブシステム９１８、および通信サブシステム９２４を含み得る。記憶サブシステム９１８は、有形のコンピュータ可読記憶媒体９２２およびシステムメモリ９１０を含む。

【0100】

バスサブシステム９０２は、コンピュータシステム９００のさまざまな構成要素およびサブシステムが意図したとおりに相互に通信できるようにする機構を提供する。バスサブシステム９０２は単一のバスとして概略的に示されているが、バスサブシステムの代替実施形態では複数のバスを利用することができる。バスサブシステム９０２は、さまざまなバスアーキテクチャのいずれかを使用するメモリバスまたはメモリコントローラ、周辺バス、およびローカルバスを含むいくつかのタイプのバス構造のいずれであってもよい。例えば、そのようなアーキテクチャには、Industry Standard Architecture（ＩＳＡ）バス、Micro Channel Architecture（ＭＣＡ）バス、Enhanced ＩＳＡ（ＥＩＳＡ）バス、Video Electronics Standards Association（ＶＥＳＡ）ローカルバス、およびPeripheral Component InterConnect（ＰＣＩ）バスが含まれ得る。これは、ＩＥＥＥＰ１３８６．１標準に従って製造されるメザニンバスとして実装できる。

【0101】

処理装置９０４は、１つまたは複数の集積回路（例えば、従来のマイクロプロセッサまたはマイクロコントローラ）として実装することができ、コンピュータシステム９００の動作を制御する。１つまたは複数のプロセッサが処理装置９０４に含まれてもよい。これらのプロセッサには、単一コアプロセッサまたはマルチコアプロセッサが含まれ得る。特定の実施形態では、処理装置９０４は、各処理装置に含まれる単一コアプロセッサまたはマルチコアプロセッサを有する１つまたは複数の独立した処理装置９３２および／または９３４として実装され得る。他の実施形態では、処理装置９０４は、２つのデュアルコアプロセッサを単一のチップに統合することによって形成されるクアッドコア処理装置として実装されてもよい。

【0102】

さまざまな実施形態において、処理装置９０４は、プログラムコードに応答してさまざまなプログラムを実行することができ、複数の同時実行プログラムまたはプロセスを維持することができる。いつでも、実行されるプログラムコードの一部またはすべては、プロセッサ９０４および／または記憶サブシステム９１８に存在することができる。適切なプログラミングを通じて、プロセッサ９０４は、上述のさまざまな機能を提供することができる。コンピュータシステム９００は、デジタルシグナルプロセッサ（ＤＳＰ）、専用プロセッサ等を含むことができる処理加速装置９０６をさらに含むことができる。

【0103】

Ｉ／Ｏサブシステム９０８は、ユーザインターフェイス入力装置およびユーザインターフェイス出力装置を含むことができる。ユーザインターフェイス入力装置にはキーボード、マウスやトラックボールなどのポインティング装置、ディスプレイに組み込まれたタッチパッドやタッチスクリーン、スクロールホイール、クリックホイール、ダイヤル、ボタン、スイッチ、キーパッド、音声コマンド認識システムを備えたオーディオ入力装置、マイク、および他のタイプの入力装置が含まれ得る。ユーザインターフェイス入力装置には、例えば、Microsoft Kinect（登録商標）モーションセンサーなどのモーションセンシングおよび／またはジェスチャ認識装置が含まれ得、ユーザは、ジェスチャや音声コマンドを使用した自然なユーザインターフェイスを通じて、Microsoft Xbox（登録商標）３６０ゲームコントローラなどの入力装置を制御し、対話できるようになる。ユーザインターフェイス入力装置には、ユーザからの目の活動（例えば、写真撮影中および／またはメニュー選択中の「瞬き」）を検出し、目のジェスチャを入力装置（例えば、Google Glass（登録商標））への入力として変換するGoogle Glass（登録商標）瞬き検出器などのアイジェスチャ認識装置も含まれ得る。さらに、ユーザインターフェイス入力装置は、ユーザが音声コマンドを通じて音声認識システム（例えば、Ｓｉｒｉ（登録商標）ナビゲータ）と対話できるようにする音声認識センシング装置を含んでもよい。

【0104】

ユーザインターフェイス入力装置には、限定されないが、３次元（３Ｄ）マウス、ジョイスティックまたはポインティングスティック、ゲームパッドおよびグラフィックタブレット、ならびにスピーカ、デジタルカメラ、デジタルビデオカメラなどのオーディオ／ビジュアル装置、ポータブルメディアプレーヤ、ウェブカメラ、イメージスキャナ、指紋スキャナ、バーコードリーダ３Ｄスキャナ、３Ｄプリンタ、レーザ距離計、および視線追跡装置なども含まれ得る。さらに、ユーザインターフェイス入力装置には、例えば、コンピュータ断層撮影法、磁気共鳴画像法、位置放射断層撮影法、医療用超音波検査装置などの医療用画像入力装置が含まれてもよい。ユーザインターフェイス入力装置には、例えば、ＭＩＤＩキーボード、デジタル楽器などのオーディオ入力装置も含まれ得る。

【0105】

ユーザインターフェイス出力装置には、ディスプレイサブシステム、インジケータライト、またはオーディオ出力装置などの非視覚的ディスプレイが含まれてもよい。ディスプレイサブシステムは、陰極線管（ＣＲＴ）、液晶ディスプレイ（ＬＣＤ）またはプラズマディスプレイを使用するものなどのフラットパネル装置、投影装置、タッチスクリーンなどであってもよい。一般に、「出力装置」という用語の使用は、コンピュータシステム９００からユーザまたは他のコンピュータに情報を出力するためのあらゆる可能なタイプの装置および機構を含むことを意図している。例えば、ユーザインターフェイス出力装置には、モニタ、プリンタ、スピーカ、ヘッドフォン、自動車ナビゲーションシステム、プロッタ、音声出力装置、およびモデムなど、テキスト、グラフィックス、およびオーディオ／ビデオ情報を視覚的に伝達するさまざまな表示装置が含まれるが、これらに限定されない。

【0106】

コンピュータシステム９００は、システムメモリ９１０内に現在配置されているように示されるソフトウェア要素を備える記憶サブシステム９１８を備えることができる。システムメモリ９１０は、処理装置９０４上でロード可能および実行可能なプログラム命令、ならびにこれらのプログラムの実行中に生成されるデータを記憶することができる。

【0107】

コンピュータシステム９００の構成および種類に応じて、システムメモリ９１０は、揮発性（ランダムアクセスメモリ（ＲＡＭ）など）および／または不揮発性（読み取り専用メモリ（ＲＯＭ）、フラッシュメモリ）の場合がある。ＲＡＭは通常、処理装置９０４に即座にアクセス可能な、ならびに／または処理装置９０４によって現在動作および実行されているデータおよび／またはプログラムモジュールを含む。いくつかの実装形態では、システムメモリ９１０は、スタティックランダムアクセスメモリ（ＳＲＡＭ）またはダイナミックランダムアクセスメモリ（ＤＲＡＭ）などの複数の異なるタイプのメモリを含み得る。いくつかの実装形態では、起動中など、コンピュータシステム９００内の要素間で情報を転送するのに役立つ基本ルーチンを含む基本入出力システム（ＢＩＯＳ）は、通常、ＲＯＭに記憶され得る。限定ではなく一例として、システムメモリ９１０は、クライアントアプリケーション、ウェブブラウザ、中間層アプリケーション、リレーショナルデータベース管理システム（ＲＤＢＭＳ）などを含み得るアプリケーションプログラム９１２、プログラムデータ９１４、およびオペレーティングシステム９１６も示す。一例として、オペレーティングシステム９１６には、さまざまなバージョンのMicrosoft Windows（登録商標）、Apple Macintosh（登録商標）、および／またはＬｉｎｕｘ（登録商標）オペレーティングシステム、さまざまな市販のＵＮＩＸ（登録商標）もしくはＵＮＩＸ系オペレーティングシステム（さまざまなＧＮＵ／Ｌｉｎｕｘ（登録商標）オペレーティングシステム、Google Chrome（登録商標）ＯＳなどを含むがこれらに限定されない）、ならびに／またはｉＯＳ、Windows（登録商標）Phone、Android（登録商標）ＯＳ、BlackBerry（登録商標）１０ ＯＳ、およびPalm（登録商標）ＯＳオペレーティングシステムなどのモバイルオペレーティングシステムが含まれ得る。

【0108】

記憶サブシステム９１８はまた、いくつかの実施形態の機能を提供する基本的なプログラミングおよびデータ構造を記憶するための有形のコンピュータ可読記憶媒体を提供することもできる。プロセッサによって実行されると、上述の機能を提供するソフトウェア（プログラム、コードモジュール、命令）は、記憶サブシステム９１８に記憶され得る。これらのソフトウェアモジュールまたは命令は、処理装置９０４によって実行され得る。記憶サブシステム９１８はまた、本開示に従って使用されるデータを記憶するためのリポジトリを提供することもできる。

【0109】

記憶サブシステム９００はまた、コンピュータ可読記憶媒体９２２にさらに接続できるコンピュータ可読記憶媒体リーダ９２０を含んでもよい。一緒に、そして任意でシステムメモリ９１０と組み合わせて、コンピュータ可読記憶媒体９２２は、リモート、ローカル、固定、および／または取り外し可能な記憶装置に加えて、コンピュータ可読情報を一時的および／またはより永続的に収容、記憶、送信、および取得するための記憶媒体を包括的に表すことができる。

【0110】

コードまたはコードの一部を含むコンピュータ可読記憶媒体９２２には、当技術分野で既知または使用されている任意の適切な媒体を含めることもでき、これには、情報の記憶および／または送信のための任意の方法または技術で実装される揮発性および不揮発性、取り外し可能なおよび取り外し不可能な媒体などの記憶媒体および通信媒体が含まれるが、これらに限定されない。これには、ＲＡＭ、ＲＯＭ、電子的に消去可能なプログラマブルＲＯＭ（ＥＥＰＲＯＭ）、フラッシュメモリもしくはその他のメモリテクノロジ、ＣＤ－ＲＯＭ、デジタルバーサタイルディスク（ＤＶＤ）などの有形のコンピュータ可読記憶媒体、または他の光学記憶装置、磁気カセット、磁気テープ、磁気ディスク記憶装置もしくは他の磁気記憶装置、または他の有形のコンピュータ可読媒体が含まれ得る。これには、データ信号、データ送信、または所望の情報を送信するために使用でき、コンピューティングシステム９００によってアクセスできる任意の他の媒体などの、無形のコンピュータ可読媒体も含まれ得る。

【0111】

一例として、コンピュータ可読記憶媒体９２２は、取り外し不可能な不揮発性磁気媒体に対して読み取りまたは書き込みを行うハードディスクドライブ、取り外し可能な不揮発性磁気ディスクに対して読み取りまたは書き込みを行う磁気ディスクドライブ、およびＣＤＲＯＭ、ＤＶＤ、Ｂｌｕ－Ｒａｙ（登録商標）ディスクなどの取り外し可能な不揮発性光ディスク、またはその他の光媒体に対して読み取りまたは書き込みを行う光ディスクドライブを含むことができる。コンピュータ可読記憶媒体９２２には、Ｚｉｐ（登録商標）ドライブ、フラッシュメモリカード、ユニバーサルシリアルバス（ＵＳＢ）フラッシュドライブ、セキュアデジタル（ＳＤ）カード、ＤＶＤディスク、デジタルビデオテープなどが含まれてもよいが、これらに限定されない。コンピュータ可読記憶媒体９２２には、フラッシュメモリベースのＳＳＤなどの不揮発性メモリに基づくソリッドステートドライブ（ＳＳＤ）、エンタープライズフラッシュドライブ、ソリッドステートＲＯＭなど、ソリッドステートＲＡＭ、ダイナミックＲＡＭ、スタティックＲＡＭなどの揮発性メモリをベースにしたＳＳＤ、ＤＲＡＭベースのＳＳＤ、磁気抵抗ＲＡＭ（ＭＲＡＭ）ＳＳＤ、およびＤＲＡＭとフラッシュメモリベースのＳＳＤを組み合わせて使用するハイブリッドＳＳＤも含まれ得る。ディスクドライブおよびそれらに関連するコンピュータ可読媒体は、コンピュータシステム９００のためのコンピュータ可読命令、データ構造、プログラムモジュール、および他のデータの不揮発性記憶を提供し得る。

【0112】

通信サブシステム９２４は、他のコンピュータシステムおよびネットワークへのインターフェイスを提供する。通信サブシステム９２４は、コンピュータシステム９００から他のシステムとの間でデータを送受信するためのインターフェイスとして機能する。例えば、通信サブシステム９２４は、コンピュータシステム１０００がインターネットを介して１つまたは複数の装置に接続できるようにすることができる。いくつかの実施形態では、通信サブシステム９２４は、無線音声および／またはデータネットワークにアクセスするための無線周波数（ＲＦ）トランシーバ構成要素を含めることができる（例えば、携帯電話技術、３Ｇ、４Ｇ、またはＥＤＧＥ（地球規模の進化のための強化されるデータレート）などの高度なデータネットワーク技術を使用する）、ＷｉＦｉ（ＩＥＥＥ８０２．１１ファミリ標準、または他のモバイル通信技術、またはそれらの任意の組み合わせ）、全地球測位システム（ＧＰＳ）受信機構成要素、および／または他の構成要素を含むことができる。いくつかの実施形態では、通信サブシステム９２４は、無線インターフェイスに加えて、またはその代わりに、有線ネットワーク接続（例えば、イーサネット（登録商標））を提供することができる。

【0113】

いくつかの実施形態では、通信サブシステム９２４は、コンピュータシステム９００を使用することができる１人または複数のユーザに代わって、構造化および／または非構造化データフィード９２６、イベントストリーム９２８、イベント更新９３０などの形式で入力通信を受信することもできる。

【0114】

一例として、通信サブシステム９２４は、ソーシャルネットワーク、および／もしくはTwitter（登録商標）フィード、Facebook（登録商標）更新、リッチサイトサマリー（ＲＳＳ）フィードなどのＷｅｂフィードなどのその他の通信サービス、ならびに／または１つもしくは複数のサードパーティ情報ソースからのリアルタイム更新のユーザからリアルタイムでデータフィード９２６を受信するように構成され得る。

【0115】

さらに、通信サブシステム９２４は、連続データストリームの形式でデータを受信するように構成されてもよく、これには、リアルタイムイベントおよび／またはイベント更新９３０のイベントストリーム９２８が含まれ得、これらは、連続的または明示的な終わりのない本質的に無制限であり得る。連続データを生成するアプリケーションの例には、例えば、センサーデータアプリケーション、金融ティッカ、ネットワーク性能測定ツール（例えば、ネットワーク監視およびトラフィック管理アプリケーション）、クリックストリーム分析ツール、自動車交通監視などが含まれ得る。

【0116】

通信サブシステム９２４はまた、構造化および／または非構造化データフィード９２６、イベントストリーム９２８、イベント更新９３０などを、コンピュータシステム９００に結合される１つまたは複数のストリーミングデータソースコンピュータと通信することができる１つまたは複数のデータベースに出力するように構成することもできる。

【0117】

コンピュータシステム９００は、ハンドヘルドポータブル装置（例えば、iPhone（登録商標）携帯電話、ｉＰａｄ（登録商標）コンピューティングタブレット、ＰＤＡ）、ウェアラブル装置（例えば、Google Glass（登録商標）ヘッドマウントディスプレイ）、ＰＣ、ワークステーション、メインフレーム、キオスク、サーバラック、またはその他のデータ処理システムを含むさまざまなタイプのうちの１つであり得る。

【0118】

コンピュータおよびネットワークの絶え間なく変化する性質のため、図に示されるコンピュータシステム９００の説明は、特定の例としてのみ意図されている。図に示されているシステムよりも多くの、または少ない構成要素を備えた他の多くの構成が可能である。例えば、カスタマイズされているハードウェアも使用されたり、特定の要素がハードウェア、ファームウェア、ソフトウェア（アプレットを含む）、またはその組み合わせで実装されたりし得る。さらに、ネットワーク入出力装置などの他のコンピューティング装置への接続が使用されてもよい。本明細書で提供される開示および教示に基づいて、当業者であれば、さまざまな実施形態を実装するための他の手法および／または方法を理解するであろう。
特定の実施形態について説明してきたが、さまざまな修正、変更、代替構造、および均等物も本開示の範囲内に含まれる。実施形態は、特定の特有のデータ処理環境内での動作に限定されず、複数のデータ処理環境内で自由に動作することができる。さらに、特定の一連のトランザクションおよびステップを使用して実施形態を説明したが、本開示の範囲が説明した一連のトランザクションおよびステップに限定されないことは当業者には明らかである。上述の実施形態のさまざまな特徴および態様は、個別にまたは組み合わせて使用することができる。

【0119】

さらに、ハードウェアとソフトウェアの特定の組み合わせを使用して実施形態を説明したが、ハードウェアとソフトウェアの他の組み合わせも本開示の範囲内であることを認識されたい。実施形態は、ハードウェアのみで、もしくはソフトウェアのみで、またはそれらの組み合わせを使用して実装することができる。本明細書で説明するさまざまなプロセスは、同じプロセッサ上で実装することも、異なるプロセッサを任意に組み合わせて実装することもできる。したがって、構成要素またはモジュールが特定の動作を実行するように構成されていると説明されている場合、このような構成は、例えば、動作を実行する電子回路を設計することによって、動作を実行するようにプログラマブル電子回路（マイクロプロセッサなど）をプログラムすることによって、またはそれらの任意の組み合わせによって達成することができる。プロセスは、プロセス間通信のための従来の技術を含むがこれに限定されないさまざまな技術を使用して通信することができ、プロセスの異なる対が異なる技術を使用したり、同じプロセスの対が異なる時点で異なる技術を使用したりすることができる。

【0120】

したがって、明細書および図面は、限定的な意味ではなく、例示的な意味としてみなされるべきである。しかし、特許請求の範囲に記載のより広い趣旨および範囲から逸脱することなく、追加、減算、削除、ならびにその他の修正および変更を行うことができることは明らかである。したがって、特定の開示実施形態について説明してきたが、これらは限定することを意図したものではない。さまざまな修正および均等物は、以下の特許請求の範囲内に含まれる。

【0121】

開示されている実施形態を説明する文脈における（特に、以下の特許請求の範囲の文脈において）用語「ａ」、「ａｎ」、「ｔｈｅ」、および同様の指示対象の使用は、本明細書で別途指示するか、文脈と明らかに矛盾しない限り、単数形と複数形の両方をカバーすると解釈されるべきである。「含む」、「有する」、「含む」、および「含有する」という用語は、特に断りのない限り、無制限の用語（すなわち、「含むがこれらに限定されない」を意味する）として解釈されるべきである。「接続されている」という用語は、たとえ何かが介在している場合でも、部分的または全体的に内部に含まれている、取り付けられている、または結合されていると解釈される。本明細書における値の範囲の記載は、本明細書に別段の記載がない限り、その範囲内にある各々の個別の値を個別に参照する簡略的な方法として機能することを単に意図しており、個別の各値は、あたかも本明細書に個別に記載されているかのように明細書に組み込まれる。本明細書に記載されるすべての方法は、本明細書に別段の指示がない限り、または文脈と明らかに矛盾しない限り、任意の適切な順序で実行することができる。本明細書で提供されるあらゆる例、または例示的な文言（例えば、「など」）の使用は、単に実施形態をより良く説明することを目的としており、別段の請求がない限り、本開示の範囲に制限を課すものではない。本明細書のいかなる文言も、特許請求されていない任意の要素が本開示の実施に必須であることを示すものとして解釈されるべきではない。

【0122】

「Ｘ、Ｙ、またはＺのうちの少なくとも１つ」という句などの選言的表現は、特に別段の記載がない限り、項目、用語などがＸ、Ｙ、またはＺのいずれか、またはそれらの任意の組み合わせ（例えば、Ｘ、Ｙ、および／またはＺ）であり得ることを示すために一般に使用されると文脈内で理解されることを意図している。したがって、そのような選言的表現は、一般に、特定の実施形態が、Ｘの少なくとも１つ、Ｙの少なくとも１つ、またはＺの少なくとも１つがそれぞれ存在することを必要とすることを意味することを意図したものではなく、また、意味するべきではない。

【0123】

本開示の好ましい実施形態が、本開示を実施するための既知の最良のモードを含めて、本明細書に記載される。これらの好ましい実施形態の変形は、前述の説明を読めば当業者には明らかになるであろう。当業者であれば、そのような変形を必要に応じて採用することができるはずであり、本開示は、本明細書に具体的に記載された以外の方法で実施することもできる。したがって、本開示には、適用される法律によって許可される、本明細書に添付の特許請求の範囲に記載されている主題のすべての修正および均等物が含まれる。さらに、本明細書で別段の指示がない限り、可能なすべての変形例における上述の要素の任意の組み合わせが本開示に包含される。

【0124】

本明細書に引用される刊行物、特許出願、および特許を含むすべての参考文献は、各参考文献が参照により組み込まれることが個別かつ具体的に示され、その全体が本明細書に記載されるのと同じ程度に、参照により本明細書に組み込まれる。

【0125】

前述の明細書では、本開示の態様は、その特定の実施形態を参照して説明されているが、当業者は、本開示がそれに限定されないことを認識するであろう。上述の開示のさまざまな特徴および態様は、個別にまたは組み合わせて使用することができる。さらに、実施形態は、本明細書のより広範な趣旨および範囲から逸脱することなく、本明細書に記載されているものを超える任意の数の環境および用途において利用することができる。したがって、明細書および図面は、限定的なものではなく、例示的なものとみなされるべきである。

【図1】

【図2】

【図3】

【図4A】

【図4B】

【図5】

【図6】

【図7】

【図8】

【図9】

【国際調査報告】