▶ オラクル・インターナショナル・コーポレイションの特許一覧
特表2024-538626リソースプリンシパルまたはサービスプリンシパルとしてのアプリケーション
(19)【発行国】日本国特許庁(JP)
(12)【公報種別】公表特許公報(A)
(11)【公表番号】
(43)【公表日】2024-10-23
(54)【発明の名称】リソースプリンシパルまたはサービスプリンシパルとしてのアプリケーション
(51)【国際特許分類】
G06F 21/62 20130101AFI20241016BHJP
G06F 21/64 20130101ALI20241016BHJP
【ＦＩ】
G06F21/62 318
G06F21/64
【審査請求】未請求
【予備審査請求】未請求
(21)【出願番号】P 2024519653
(86)(22)【出願日】2022-09-27
(85)【翻訳文提出日】2024-04-11
(86)【国際出願番号】 US2022044894
(87)【国際公開番号】W WO2023055734
(87)【国際公開日】2023-04-06
(31)【優先権主張番号】63/250,980
(32)【優先日】2021-09-30
(33)【優先権主張国・地域又は機関】US
(31)【優先権主張番号】63/250,992
(32)【優先日】2021-09-30
(33)【優先権主張国・地域又は機関】US
(31)【優先権主張番号】17/953,175
(32)【優先日】2022-09-26
(33)【優先権主張国・地域又は機関】US
(81)【指定国・地域】
【公序良俗違反の表示】
（特許庁注：以下のものは登録商標）
１．ｉＯＳ
２．ＥＴＨＥＲＮＥＴ
(71)【出願人】
【識別番号】502303739
【氏名又は名称】オラクル・インターナショナル・コーポレイション
(74)【代理人】
【識別番号】110001195
【氏名又は名称】弁理士法人深見特許事務所
(72)【発明者】
【氏名】ウィルソン，グレッグ・アラン
(72)【発明者】
【氏名】エルメンシャウィ，アイマン・モハメド・アリー・ハッサン
(72)【発明者】
【氏名】ナガラジャ，ギリシュ
(72)【発明者】
【氏名】タマナ，ベンカタ・ラマ・プラサド
(72)【発明者】
【氏名】コール，ゲイリー・フィリップ
(57)【要約】
第１のタイプのアイデンティティトークンを用いる、第１のタイプのアイデンティティシステムのアプリケーションが、第２のタイプのアイデンティティトークンを用いる、第２のタイプのアイデンティティシステムにアクセスすることを認める技術が提供される。アプリケーションはトークン交換システムへの要求を行うことができる。要求はアプリケーションのベアラートークンおよび公開鍵を含むことができる。トークン交換システムは、検証ステップを遂行した後に、ベアラートークンを所持証明トークンと交換することができる。トークン交換システムは、第２のアイデンティティシステムにアクセスするためのクレデンシャルの入力を必要とすることなく、第１のアイデンティティシステムのための第１のトークン（例えば、ベアラートークン）を第２のアイデンティティシステムのための第２のトークン（例えば、所持証明トークン）と交換することができる。
【特許請求の範囲】
【請求項1】
方法であって、クラウドサービスの統合アイデンティティ管理システムのトークン交換システムにより、エンティティが第１のアイデンティティシステムにアクセスすることを認可されると決定することを含み、前記エンティティはアプリケーションであり、前記方法は、
前記トークン交換システムにより、前記エンティティが第２のアイデンティティシステムにアクセスするための第１の要求を生成することをさらに含み、前記第１の要求は、前記エンティティに関連付けられたベアラートークンおよび第１の公開鍵を含み、前記方法は、
前記トークン交換システムにより、前記ベアラートークンが有効なベアラートークンであることを検証することと、
前記トークン交換システムにより、前記エンティティのロールが、前記第２のアイデンティティシステムにアクセスすることを認可されたロールであるかどうかを検証することと、
前記トークン交換システムにより、前記第１の要求において受信された前記ベアラートークンおよび前記第１の公開鍵に基づいて第２のトークンを生成することと、
前記トークン交換システムにより、前記第２のトークンを前記エンティティへ送信することとをさらに含み、
前記第２のトークンは前記第２のアイデンティティシステムに関連付けられており、前記第２のトークンは前記エンティティの前記第１の公開鍵を含む、方法。
【請求項2】
前記トークン交換システムにより、前記エンティティが前記第２のアイデンティティシステムにアクセスするための第２の要求を生成することをさらに含み、前記第２の要求は前記第２のトークンを含み、前記第２の要求は前記エンティティのプライベート鍵によって署名され、前記方法は、前記トークン交換システムにより、前記エンティティが、前記第２のアイデンティティシステムにアクセスすることを認可されたアイデンティティを有することを検証することと、
前記トークン交換システムにより、前記エンティティが前記第２のアイデンティティシステムにアクセスすることを認可することとをさらに含む、請求項１に記載の方法。
【請求項3】
前記エンティティが、前記第２のアイデンティティシステムにアクセスすることを認可された前記アイデンティティを有することを検証することは、前記トークン交換システムにより、前記エンティティが、前記第２の要求に署名した前記エンティティであることを検証すること、および
前記トークン交換システムにより、前記第２のトークンが、前記第２のアイデンティティシステムにアクセスすることを認可されていることを検証することを含む、請求項２に記載の方法。
【請求項4】
前記第２のトークンは所持証明（ＰｏＰ）トークンである、請求項１に記載の方法。
【請求項5】
前記エンティティが前記第２のアイデンティティシステムにアクセスすることを認可することは、前記エンティティにリソースプリンシパルの特権を与えることを含む、請求項１に記載の方法。
【請求項6】
前記エンティティが前記第２のアイデンティティシステムにアクセスすることを認可することは、前記エンティティにサービスプリンシパルの特権を与えることを含む、請求項１に記載の方法。
【請求項7】
前記リソースプリンシプルは、前記第２のアイデンティティシステムのリソースにアクセスすることを認可される、請求項５に記載の方法。
【請求項8】
サービスプリンシプルは、前記第２のアイデンティティシステムのサービスにアクセスすることを認可される、請求項４に記載の方法。
【請求項9】
前記エンティティは、前記第２のアイデンティティシステムにおけるエンティティクレデンシャルの入力を必要とすることなく前記第２のトークンを用いて前記第２のアイデンティティシステムのアプリケーションプログラミングインターフェース（ＡＰＩ）にアクセスすることを認可される、請求項１に記載の方法。
【請求項10】
前記エンティティは、前記第１のアイデンティティシステムのための前記エンティティのクレデンシャルに基づいて前記第１のアイデンティティシステムにアクセスすることを認可されると決定される、請求項２に記載の方法。
【請求項11】
前記第１のアイデンティティシステムは第１のシステムモデルを有し、前記第２のアイデンティティシステムは、前記第１のシステムモデルとは異なる仕様を有する第２のシステムモデルを有する、請求項１に記載の方法。
【請求項12】
前記エンティティは統合クラウドサービスアプリケーションである、請求項１に記載の方法。
【請求項13】
前記統合クラウドサービスアプリケーションは、ＳａａＳアプリケーション、ＰａａＳアプリケーション、または融合アプリケーションである、請求項１２に記載の方法。
【請求項14】
１つまたは複数の非一時的機械可読媒体内に有形に組み込まれたコンピュータプログラム製品であって、前記コンピュータプログラム製品は、１つまたは複数のデータプロセッサに、方法を遂行させるように構成された命令を含み、前記方法は、クラウドサービスの統合アイデンティティ管理システムのトークン交換システムにより、エンティティが第１のアイデンティティシステムにアクセスすることを認可されると決定することを含み、前記エンティティはアプリケーションであり、前記方法は、
前記トークン交換システムにより、前記エンティティが第２のアイデンティティシステムにアクセスするための第１の要求を生成することをさらに含み、前記第１の要求は、前記エンティティに関連付けられたベアラートークンおよび第１の公開鍵を含み、前記方法は、
前記トークン交換システムにより、前記ベアラートークンが有効なベアラートークンであることを検証することと、
前記トークン交換システムにより、前記エンティティのロールが、前記第２のアイデンティティシステムにアクセスすることを認可されたロールであるかどうかを検証することと、
前記トークン交換システムにより、前記第１の要求において受信された前記ベアラートークンおよび前記第１の公開鍵に基づいて第２のトークンを生成することと、
前記トークン交換システムにより、前記第２のトークンを前記エンティティへ送信することとをさらに含み、前記第２のトークンは前記第２のアイデンティティシステムに関連付けられており、前記第２のトークンは前記エンティティの前記第１の公開鍵を含む、コンピュータプログラム製品。
【請求項15】
前記方法は、前記トークン交換システムにより、前記エンティティが前記第２のアイデンティティシステムにアクセスするための第２の要求を生成することをさらに含み、前記第２の要求は前記第２のトークンを含み、前記第２の要求は前記エンティティのプライベート鍵によって署名され、前記方法は、前記トークン交換システムにより、前記エンティティが、前記第２のアイデンティティシステムにアクセスすることを認可されたアイデンティティを有することを検証することと、
前記トークン交換システムにより、前記エンティティが前記第２のアイデンティティシステムにアクセスすることを認可することとをさらに含む、請求項１４に記載のコンピュータプログラム製品。
【請求項16】
前記エンティティが、前記第２のアイデンティティシステムにアクセスすることを認可された前記アイデンティティを有することを検証することは、前記トークン交換システムにより、前記エンティティが、前記第２の要求に署名した前記エンティティであることを検証すること、および
前記トークン交換システムにより、前記第２のトークンが、前記第２のアイデンティティシステムにアクセスすることを認可されていることを検証することを含む、請求項１５に記載のコンピュータプログラム製品。
【請求項17】
システムであって、１つまたは複数のデータプロセッサと、
前記１つまたは複数のデータプロセッサによって実行されると、前記１つまたは複数のデータプロセッサに方法を遂行させる命令を記憶する１つまたは複数の非一時的コンピュータ可読媒体とをさらに備え、前記方法は、
クラウドサービスの統合アイデンティティ管理システムのトークン交換システムにより、エンティティが第１のアイデンティティシステムにアクセスすることを認可されると決定することを含み、前記エンティティはアプリケーションであり、前記方法は、
前記トークン交換システムにより、前記エンティティが第２のアイデンティティシステムにアクセスするための第１の要求を生成することをさらに含み、前記第１の要求は、前記エンティティに関連付けられたベアラートークンおよび第１の公開鍵を含み、前記方法は、
前記トークン交換システムにより、前記ベアラートークンが有効なベアラートークンであることを検証することと、
前記トークン交換システムにより、前記エンティティのロールが、前記第２のアイデンティティシステムにアクセスすることを認可されたロールであるかどうかを検証することと、
前記トークン交換システムにより、前記第１の要求において受信された前記ベアラートークンおよび前記第１の公開鍵に基づいて第２のトークンを生成することと、
前記トークン交換システムにより、前記第２のトークンを前記エンティティへ送信することとをさらに含み、前記第２のトークンは前記第２のアイデンティティシステムに関連付けられており、前記第２のトークンは前記エンティティの前記第１の公開鍵を含む、システム。
【請求項18】
前記方法は、前記トークン交換システムにより、前記エンティティが前記第２のアイデンティティシステムにアクセスするための第２の要求を生成することをさらに含み、前記第２の要求は前記第２のトークンを含み、前記第２の要求は前記エンティティのプライベート鍵によって署名され、前記方法は、前記トークン交換システムにより、前記エンティティが、前記第２のアイデンティティシステムにアクセスすることを認可されたアイデンティティを有することを検証することと、
前記トークン交換システムにより、前記エンティティが前記第２のアイデンティティシステムにアクセスすることを認可することとをさらに含む、請求項１７に記載のシステム。
【請求項19】
前記エンティティが、前記第２のアイデンティティシステムにアクセスすることを認可された前記アイデンティティを有することを検証することは、前記トークン交換システムにより、前記エンティティが、前記第２の要求に署名した前記エンティティであることを検証すること、および
前記トークン交換システムにより、前記第２のトークンが、前記第２のアイデンティティシステムにアクセスすることを認可されていることを検証することを含む、請求項１８に記載のシステム。
【発明の詳細な説明】
【背景技術】
【0001】
関連出願の相互参照
本出願は、「APPLICATIONS AS RESOURCE PRINCIPALS OR SERVICE PRINCIPALS」と題する２０２２年９月２６日に出願された、非仮特許出願第１７／９５３，１７５号に対する優先権を主張する。同出願は、米国特許法第１１９条（ｅ）の下で、「TOKEN EXCHANGE BETWEEN BEARER AND POP TOKENS」と題する２０２１年９月３０日に出願された、米国仮特許出願第６３／２５０，９９２号、および「APPLICATIONS AS RESOURCE PRINCIPALS OR SERVICE PRINCIPALS」と題する２０２１年９月３０日に出願された、米国仮特許出願第６３／２５０，９８０号の利益および優先権を主張する。これらの出願の内容全体は全ての目的のために本明細書において参照により組み込まれる。
本出願は、「APPLICATIONS AS RESOURCE PRINCIPALS OR SERVICE PRINCIPALS」と題する２０２２年９月２６日に出願された、非仮特許出願第１７／９５３，１７５号に対する優先権を主張する。同出願は、米国特許法第１１９条（ｅ）の下で、「TOKEN EXCHANGE BETWEEN BEARER AND POP TOKENS」と題する２０２１年９月３０日に出願された、米国仮特許出願第６３／２５０，９９２号、および「APPLICATIONS AS RESOURCE PRINCIPALS OR SERVICE PRINCIPALS」と題する２０２１年９月３０日に出願された、米国仮特許出願第６３／２５０，９８０号の利益および優先権を主張する。これらの出願の内容全体は全ての目的のために本明細書において参照により組み込まれる。
【0002】
背景
インフラストラクチャアイデンティティおよびアクセス管理（ＩＡＭ：Identity and Access Management）システムならびにアイデンティティクラウドサービス（ＩＤＣＳ：Identity Cloud Service）システムなどの、アイデンティティ管理システムと対話するには、アクセストークンが必要とされる。例えば、ＩＡＭシステムの場合、トークンは所持証明（ＰｏＰ：Proof of Possession）トークンを含むことができ、アイデンティティクラウドサービス（ＩＤＣＳ）システムの場合、トークンはベアラートークンを含むことができる。ユーザが異なるアイデンティティアクセス管理システムのサービスまたはリソースにアクセスすることを欲する場合、ユーザは、各タイプのアイデンティティアクセス管理システムにアクセスするために別個のアクセストークンを必要とするであろう。
インフラストラクチャアイデンティティおよびアクセス管理（ＩＡＭ：Identity and Access Management）システムならびにアイデンティティクラウドサービス（ＩＤＣＳ：Identity Cloud Service）システムなどの、アイデンティティ管理システムと対話するには、アクセストークンが必要とされる。例えば、ＩＡＭシステムの場合、トークンは所持証明（ＰｏＰ：Proof of Possession）トークンを含むことができ、アイデンティティクラウドサービス（ＩＤＣＳ）システムの場合、トークンはベアラートークンを含むことができる。ユーザが異なるアイデンティティアクセス管理システムのサービスまたはリソースにアクセスすることを欲する場合、ユーザは、各タイプのアイデンティティアクセス管理システムにアクセスするために別個のアクセストークンを必要とするであろう。
【0003】
しかし、異なるアイデンティティ管理システムのための異なるトークンを管理することはユーザへの負担となる。さらに、所与のセッションにおいて、ユーザは異なるアイデンティティ管理システムの間で対話し得、これにより、異なるアイデンティティ管理システムのフィーチャにアクセスするための異なるアクセストークンを必要とする。異なるアクセストークンを取得すること、および提供することをユーザに要請することは、ワークフローを中断し、タスクの遂行における非効率性をもたらす。
【0004】
さらに、ユーザは、各タイプのアイデンティティ管理システムのためのサービスを管理するためにクレデンシャルのセットを維持しなければならないであろう。ユーザは各アイデンティティ管理システムに別個にログインし、各アイデンティティ管理システムと通信するための別個のアクセストークンを取得しなければならないであろう。さらに、各タイプのアイデンティティ管理システムのためのアクセストークンはアイデンティティシステムごとに別個に記憶されるであろう。
【0005】
さらに、ベアラートークンを有する、アプリケーションなどの、一部のエンティティはそれらのベアラートークンをＰｏＰトークンと交換することができないことがある。具体的には、一部のエンティティは、それらがベアラートークンをＰｏＰトークンと交換することを可能にする特権を有しないことがある。これは、エンティティがアプリケーションであり、アプリケーションが、ＩＡＭアイデンティティシステム内のリソースおよびサービスなどの、ＰｏＰトークンを必要とするリソースまたはサービスにアクセスすることを欲する場合に、さらなる困難をもたらす。
【0006】
本開示の例示的な実施形態はこれらおよび他の問題に、個々に、および共同して対処する。
【発明の概要】
【0007】
概要
例示的な実施形態は、異なるアイデンティティ管理システムの間のトークン交換に関する。詳細には、例示的な実施形態は、第１のタイプのアイデンティティ管理システムのベアラータイプのトークンを第２のタイプのアイデンティティ管理システムの所持証明（ＰｏＰ）タイプのトークンと交換すること、およびその逆に関する。
例示的な実施形態は、異なるアイデンティティ管理システムの間のトークン交換に関する。詳細には、例示的な実施形態は、第１のタイプのアイデンティティ管理システムのベアラータイプのトークンを第２のタイプのアイデンティティ管理システムの所持証明（ＰｏＰ）タイプのトークンと交換すること、およびその逆に関する。
【0008】
例示的な実施形態はまた、アプリケーションなどのエンティティのための、所持証明トークンとのベアラートークンの交換に関する。アプリケーションなどのエンティティは、追加の特権を提供するアイデンティティを提供される。アプリケーションは、追加の特権を取得するためにベアラートークンを所持証明トークンと交換することができる。
【0009】
異なるアイデンティティ管理システムは異なる仕様に従う。したがって、異なるアイデンティティ管理システムにアクセスするには、各アイデンティティシステムに固有のアクセストークンが必要とされる。例示的な実施形態は、異なるアイデンティティ管理システム内で用いられるべきトークンの途切れのない交換を可能にする。したがって、エンティティは両方のアイデンティティ管理システムのフィーチャにアクセスすることができる。
【0010】
例えば、第１のアイデンティティ管理システム（例えば、アイデンティティクラウドサービス（ＩＤＣＳ））にアクセスするために用いられる第１のタイプのトークン（例えば、ベアラートークン、ＯＡｕｔｈアクセストークン）は、第２のアイデンティティ管理システム（例えば、インフラストラクチャアイデンティティおよびアクセス管理（ＩＡＭ））にアクセスするために用いられる第２のタイプのトークン（例えば、所持証明（ＰｏＰ）トークン）と交換され得、その逆もしかりである。インフラストラクチャアイデンティティおよびアクセス管理（ＩＡＭ）はアイデンティティおよびアクセス管理（ＩＡＭ）とも称され得る。アイデンティティクラウドサービス（ＩＤＣＳ）ならびにインフラストラクチャアイデンティティおよびアクセス管理（ＩＡＭ）は総称的にアイデンティティシステムと称され得る。
【0011】
第２のアイデンティティシステムのための別個のトークンが取得される間、エンティティは第１のアイデンティティシステムのためのトークンを管理し続ける。したがって、エンティティは、エンティティがアクセスすることを欲する第２のアイデンティティシステムとの前方互換性を有することになり、その一方で、エンティティは、エンティティがアクセストークンを有する第１のアイデンティティシステムとの後方互換性を有し続ける。
【0012】
例示的な実施形態では、第１のアイデンティティシステムはＩＤＣＳシステムであり、第２のアイデンティティシステムはＩＡＭシステムである。しかし、これは単に説明を容易にするためのものにすぎない。第１のアイデンティティシステムは、第２のアイデンティティシステムとは異なり、異なる仕様に従う任意のアイデンティティシステムであることができる。仕様は、第１または第２のアイデンティティシステムを動作させるために必要とされるルールを指すことができる。仕様は、アイデンティティシステムが正しく動作することができること、およびコンポーネント間の対話が正しく機能することになることを確実にする。
【0013】
例示的な実施形態は、各システムと通信するために必要とされるトークンを維持しつつ、ＩＡＭシステムと互換性のあるＩＤＣＳシステムのためのトークンを交換することができ、その逆もしかりである。したがって、エンティティはもはやクレデンシャルの２つのセットを維持しなくてもよく、ユーザは２つの別個のシステムにログインする必要がない。エンティティが有する現在のトークンは、アクセスされるアイデンティティシステムと互換性を有するために、統合アイデンティティ管理システム（ＩＤＭＳ：integrated identity management system）によって自動的に交換され得る。統合アイデンティティ管理システム（ＩＤＭＳ）は統合管理システムとも称され得る。
【0014】
エンティティは、第１のアイデンティティシステムおよび第２のアイデンティティシステムのリソースにアクセスする任意のエンティティを含むことができる。エンティティは第１のアイデンティティシステムおよび第２のアイデンティティシステムのユーザまたは顧客とも称され得る。
【0015】
例示的な実施形態は、各アイデンティティ管理システムに別個にログインすることをユーザに要請せず、アイデンティティ管理システムごとのログインクレデンシャルを維持することをユーザに要請しない。その代わりに、ユーザは１つのアイデンティティシステムにログインし得、ユーザがログインしたアイデンティティシステムのために生成されたアクセストークンが、ユーザが交換に気付くことなく、異なるアイデンティティシステムのためのアクセストークンと交換され得る。統合アイデンティティ管理システム（ＩＤＭＳ）のトークン交換システムは、各アイデンティティシステムにアクセスするために必要とされるトークンを管理、記憶、および維持することができる。
【0016】
したがって、ユーザは、別個にログインすることを必要とすることなく、および別個のクレデンシャルおよびアクセストークンを維持する必要なく、異なるアイデンティティシステムと対話することができる。エンティティは、異なるタイプのトークンを用いるアイデンティティ管理システムの間で途切れなく作業することができる。これはプロダクトワークフローの中断を減少させる。
【0017】
例えば、ＩＡＭシステム内の、とあるリソースおよびサービスにアクセスするために、エンティティはアイデンティティを必要とするであろう。しかし、一部のエンティティは、現在、アイデンティティを割り当てられていないことがある。例えば、ＩＤＣＳシステム内のアプリケーションはベアラートークンを用い、アイデンティティを割り当てられない。ＩＡＭは、エンティティがアイデンティティを有することを必要とするため、このようなエンティティはＩＡＭ内のリソースまたはサービスにアクセスすることが不可能であろう。
【0018】
したがって、例示的な実施形態は、現在、アイデンティティを有しない、アプリケーションなどの、エンティティのためのアイデンティティを提供する。このようなエンティティは、その後、それらのベアラートークンを所持証明トークンと交換することが可能になり、それゆえ、アイデンティティを必要とするリソースおよびサービス、ＩＡＭ内のこのようなリソースおよびサービスと通信することができる。
【0019】
例示的な実施形態は、方法であって、クラウドサービスの統合アイデンティティ管理システムのトークン交換システムにより、エンティティが第１のアイデンティティシステムにアクセスすることを認可されると決定することを含み、エンティティは第１のトークンを有し、方法は、トークン交換システムにより、第１のアイデンティティシステムのエンティティから、第２のアイデンティティシステムにアクセスするための要求を受信することと、トークン交換システムにより、第１のトークンを検証することと、トークン交換システムにより、第１のアイデンティティシステムのための第１のトークンに基づいて第２のアイデンティティシステムのための第２のトークンを生成することと、トークン交換システムにより、第２のトークンに基づいてエンティティが第２のアイデンティティシステムにアクセスすることを認証することと、トークン交換システムにより、第２のトークンを用いてエンティティが第２のアイデンティティシステムのアプリケーションプログラミングインターフェース（ＡＰＩ：application programming interface）にアクセスすることを認可することと、をさらに含む、方法を含むことができる。
【0020】
例示的な実施形態は、方法であって、クラウドサービスの統合アイデンティティ管理システムのトークン交換システムにより、エンティティが第１のアイデンティティシステムにアクセスすることを認可されると決定することを含み、エンティティはアプリケーションであり、方法は、トークン交換システムにより、エンティティが第２のアイデンティティシステムにアクセスするための第１の要求を生成することをさらに含み、第１の要求は、エンティティに関連付けられたベアラートークンおよび第１の公開鍵を含み、方法は、トークン交換システムにより、ベアラートークンが有効なベアラートークンであることを検証することと、トークン交換システムにより、エンティティのロールが、第２のアイデンティティシステムにアクセスすることを認可されたロールであるかどうかを検証することと、トークン交換システムにより、第１の要求において受信されたベアラートークンおよび第１の公開鍵に基づいて第２のトークンを生成することと、をさらに含み、方法は、トークン交換システムにより、第２のトークンをエンティティへ送信することをさらに含み、第２のトークンは第２のアイデンティティシステムに関連付けられており、第２のトークンはエンティティの第１の公開鍵を含む、方法を含むことができる。
【0021】
例示的な実施形態はまた、１つまたは複数のプロセッサに、上述された方法を遂行させるための、１つまたは複数のプロセッサによって実行可能な複数の命令を記憶する非一時的コンピュータ可読記憶媒体を含むことができる。
【0022】
例示的な実施形態はまた、メモリと、メモリに結合されており、上述された方法を遂行するように構成された１つまたは複数のプロセッサと、を含むコンピューティングシステムを含むことができる。
【0023】
他の実施形態は、本明細書において説明される方法に関連付けられたシステム、デバイス、およびコンピュータ可読媒体に関する。
【0024】
以下の詳細な説明および添付の図面を参照することで、例示的な実施形態の本質および利点のより深い理解を得ることができる。
【0025】
本開示は、添付の図面と併せて以下の詳細な説明によって容易に理解されるであろう。図面において、同様の参照符号は同様の要素を指示する。
【図面の簡単な説明】
【0026】
【図1】一部の例示的な実施形態に係る、トークンを交換するための方法の大まかな概略を示す図である。
【図2】一部の例示的な実施形態に係る、トークンを交換するためのトークン交換システムのブロック図である。
【図3】一部の例示的な実施形態に係る、トークンを交換するための統合コンソールのブロック図である。
【図4】アクセストークンを取得するためのシーケンス図である。
【図5】一部の例示的な実施形態に係る、所持証明トークンをベアラートークンと交換するためのシーケンス図である。
【図6】一部の例示的な実施形態に係る、ベアラートークンを所持証明トークンと交換するためのシーケンス図である。
【図7】一部の例示的な実施形態に係る、トークンを交換するための方法を示す図である。
【図8】一部の例示的な実施形態に係る、アプリケーションをリソースプリンシパルまたはサービスプリンシパルに変換するためのシーケンス図である。
【図9】一部の例示的な実施形態に係る、ＩＤＣＳのための相互通信のためのブロック図である。
【図10】一部の例示的な実施形態に係る、ＩＤＣＳ内のアプリケーションをＩＡＭ内のリソースまたはサービスに変換するためのブロック図である。
【図11】一部の例示的な実施形態に係る、アプリケーションがベアラートークンをＰｏＰトークンと交換する方法を示す図である。
【図12】一部の例示的な実施形態に係る、アプリケーションがＩＡＭ ＡＰＩへの要求を行う方法を示す図である。
【図13】一部の例示的な実施形態に係る、アプリケーションがトークンを交換する方法の概略を示す図である。
【図14】一部の例示的な実施形態に係る、アプリケーションのためのトークンを交換するためのトークン交換システムのブロック図である。
【図15】一部の例示的な実施形態に係る、クラウド・インフラストラクチャ・アズ・ア・サービス・システムを実施するための１つのパターンを示すブロック図である。
【図16】一部の例示的な実施形態に係る、クラウド・インフラストラクチャ・アズ・ア・サービス・システムを実施するための別のパターンを示すブロック図である。
【図17】一部の例示的な実施形態に係る、クラウド・インフラストラクチャ・アズ・ア・サービス・システムを実施するための別のパターンを示すブロック図である。
【図18】一部の例示的な実施形態に係る、クラウド・インフラストラクチャ・アズ・ア・サービス・システムを実施するための別のパターンを示すブロック図である。
【図19】一部の例示的な実施形態に係る、例示的なコンピュータシステムを示すブロック図である。
【発明を実施するための形態】
【0027】
詳細な説明
以下の説明では、説明の目的上、例示的な実施形態の完全な理解を与えるために、具体的詳細が説明される。しかし、様々な実施形態はこれらの具体的詳細を有せずに実施され得ることは明らかであろう。例えば、システム、アルゴリズム、構造、技術、ネットワーク、プロセス、および他のコンポーネントは、実施形態を不必要な詳細で不明瞭にしないように、ブロック図の形のコンポーネントとして示され得る。図および説明は限定であることを意図されていない。
以下の説明では、説明の目的上、例示的な実施形態の完全な理解を与えるために、具体的詳細が説明される。しかし、様々な実施形態はこれらの具体的詳細を有せずに実施され得ることは明らかであろう。例えば、システム、アルゴリズム、構造、技術、ネットワーク、プロセス、および他のコンポーネントは、実施形態を不必要な詳細で不明瞭にしないように、ブロック図の形のコンポーネントとして示され得る。図および説明は限定であることを意図されていない。
【0028】
クラウドサービスプロバイダ（ＣＳＰ）は複数のクラウドサービスを加入顧客に提供し得る。これらのサービスは、ソフトウェア・アズ・ア・サービス（ＳａａＳ）、プラットフォーム・アズ・ア・サービス（ＰａａＳ）、インフラストラクチャ・アズ・ア・サービス（ＩａａＳ）モデル、および他のものを含む異なるモデルの下で提供され得る。
【0029】
クラウド環境内では、概して、クラウドサービスによって提供される、または用いられるリソースへのユーザアクセスを制御するためのアイデンティティ管理システムがクラウドサービスプロバイダによって提供される。アイデンティティ管理システムによって提供される典型的なサービスまたは機能は、限定するものではないが、ユーザのためのシングルサインオン能力、認証および認可サービス、ならびに他のアイデンティティベースのサービスを含む。
【0030】
アイデンティティ管理システムによって保護されるリソースは、計算インスタンス、ブロックストレージボリューム、仮想クラウドネットワーク（ＶＣＮ：virtual cloud network）、サブネット、ルート表、様々な呼び出し可能なＡＰＩ、内部もしくはレガシーアプリケーション、および同様のものなどの、異なる種類のものであることができる。これらのリソースは、クラウドおよび／または顧客オンプレミスリソース内に記憶されたリソースを含む。各リソースは、通例、リソースが作成された際にリソースに割り当てられる一意識別子（例えば、ＩＤ）によって識別される。
【0031】
ＣＳＰは、それらのクラウド提供のための２つ以上の別個の独立したアイデンティティ管理システムを提供し得る。これは、例えば、ＣＳＰによって提供されるＩａａＳアプリケーションおよびサービスのためのクラウドリソースへのアクセスを制御するために、第１のアイデンティティ管理システムまたはプラットフォーム（例えば、インフラストラクチャアイデンティティおよびアクセス管理（ＩＡＭ：Infrastructure Identity and Access Management））が提供され得る場合に行われ得る。別個に、ＣＳＰによって提供されるＳａａＳおよびＰａａＳサービスのためのセキュリティおよびアイデンティティ管理のために、第２のアイデンティティ管理システムまたはプラットフォーム（例えば、アイデンティティクラウドサービス（ＩＤＣＳ：Identity Cloud Service））が提供され得る。
【0032】
このような２つの別個のプラットフォームを提供する結果、ＣＳＰの顧客が、ＣＳＰによって提供されるＳａａＳもしくはＰａａＳサービスおよびＩａａＳサービスの両方に加入している場合、顧客は、概して、２つの別個のアカウント －－ ＩａａＳ加入のためのＩＡＭを有する１つのアカウント、およびＰａａＳ／ＳａａＳ加入のためのＩＤＣＳを有する別個のアカウント －－ を有する。各アカウントは、ユーザログイン、パスワード等の、それ自体のクレデンシャルを有することになる。それゆえ、同じ顧客が２つのアカウントのための２つの別個のクレデンシャルセットを有する。これは不満足な顧客体験をもたらす。加えて、２つの別個のアイデンティティ管理システムを有することは、ＳａａＳ／ＰａａＳとＩａａＳサービスとの間の相互作用にとっての障害をも生み出す。
【0033】
さらに、これらの異なるプラットフォームの各々は異なる仕様またはルールに適合する。これらのプラットフォームの各々のための仕様は容易に変更され得ない。一部のユーザは一方のプラットフォームとのみ対話し得、他のユーザは両方のプラットフォームと対話し得る。したがって、一部のユーザは両方のプラットフォームと通信することを必要としなくてもよく、一部のユーザは両方のプラットフォームと通信することを必要とし得る。しかし、ユーザが両方のプラットフォームと対話している場合には、例示的な実施形態は、異なるプラットフォームの間で途切れなく対話するためのソリューションを提供する。したがって、例示的な実施形態は、エンティティが異なるアイデンティティシステムにアクセスすることを可能にしつつ、アイデンティティシステムの各々のための規格と適合する。
【0034】
本出願の目的のために、および一例として、２つのプラットフォームはアイデンティティおよびアクセス管理システム（ＩＡＭ）ならびにアイデンティティクラウドサービス（ＩＤＣＳ）と称される。しかし、これらの名称および用語はいかなる様態でも限定であることを意図されない。本開示の教示は、２つの（またはそれを超える）異なるアイデンティティ管理システムが統合されるべき任意の状況に適用される。統合されるべきアイデンティティ管理システムまたはプラットフォームは１つまたは複数のＣＳＰによって提供され得る。
【0035】
一部の実施形態では、２つの別個の（例えば、ＩＡＭおよびＩＤＣＳ）プラットフォームによって提供される様々な特徴および機能性を保持し、提供しつつ、複数のアイデンティティ管理プラットフォーム（例えば、ＩＡＭおよびＩＤＣＳプラットフォーム）を、クラウドサービスのユーザまたは顧客に透明である仕方で統合する、統合アイデンティティ管理プラットフォーム（統合アイデンティティ管理システム（ＩＤＭＳ）と称される）が提供される。それゆえ、統合は、より途切れのない向上したユーザ体験を提供する。
【0036】
しかし、この統合はいくつかの理由のために技術的に非常に困難である。２つのプラットフォームは、アイデンティティ関連機能を実施するための異なる手続きおよびプロトコルを用い得る。ＩＡＭは、例えば、多くの異なる属性を評価することができる複雑なブールルールセットを表現するポリシーの使用を通じてアクセス権がユーザに認められるアクセス制御パラダイムを規定する、ポリシーベースアクセス制御システムとしても知られる、属性ベースアクセス制御（ＡＢＡＣ）システムであり得る。ＡＢＡＣの目的は、無認可のユーザおよびアクション － 組織のセキュリティポリシーによって規定されたとおりの「承認された」特性を有しないもの － から、データ、ネットワークデバイス、およびＩＴリソースなどのオブジェクトを保護することである。他方で、ＩＤＣＳは、ロールおよび特権の周辺で規定されたポリシー中立的なアクセス制御機構であるロールベースアクセス制御（ＲＢＡＣ）システムであり得る。ロール許可、ユーザ－ロールおよびロール－ロール関係などのＲＢＡＣの構成要素は、ユーザ割り当ての遂行を簡単にする。さらに別の理由として、２つのプラットフォームによって用いられる認証および認可フレームワークまたはワークフロー（例えば、用いられるトークンの種類、ＯＡＵＴＨなどの異なる認証フレームワーク等）は異なり得る。これは、統合されたソリューションを提供することが技術的に非常に困難である理由のほんの小さな例にすぎない。
【0037】
Ｉ．方法の概略 － トークンの交換
図１は、一部の例示的な実施形態に係る、トークンを交換するための方法１００の大まかな概略を示す。図１に示される方法１００は統合アイデンティティ管理システム（ＩＤＭＳ）のトークン交換システムによって遂行され得る。トークン交換は、ベアラートークンを所持証明（ＰｏＰ）トークンと交換するため、またはＰｏＰトークンをベアラートークンと交換するために遂行され得る。例示的な実施形態では、第１のアイデンティティシステムのためのトークンが、第２のアイデンティティシステムのための異なるタイプのトークンを取得するために交換され得る。
図１は、一部の例示的な実施形態に係る、トークンを交換するための方法１００の大まかな概略を示す。図１に示される方法１００は統合アイデンティティ管理システム（ＩＤＭＳ）のトークン交換システムによって遂行され得る。トークン交換は、ベアラートークンを所持証明（ＰｏＰ）トークンと交換するため、またはＰｏＰトークンをベアラートークンと交換するために遂行され得る。例示的な実施形態では、第１のアイデンティティシステムのためのトークンが、第２のアイデンティティシステムのための異なるタイプのトークンを取得するために交換され得る。
【0038】
ステップ１１０において、第１のアイデンティティシステムの第１のエンティティから、第２のアイデンティティシステムのリソースにアクセスするための要求を受信する。第１のアイデンティティシステム内の第１のエンティティは第１のアイデンティティシステムのためのアクセストークンを有する。しかし、第２のアイデンティティシステムは第２のアイデンティティシステムのための異なるアクセストークンを必要とする。エンティティはユーザまたはクライアントとも称され得る。エンティティは、ＩＡＭシステムまたはＩＤＣＳシステムのフィーチャにアクセスすることを欲する任意のコンポーネント、アプリケーション、またはサービスを含むことができる。
【0039】
例えば、第１のアイデンティティシステム（例えば、ＩＤＣＳ）上のＳａａＳまたはＰａａＳサービスが第２のアイデンティティシステム（例えば、ＩＡＭ）上のストレージサービスにアクセスすることを欲する。別の例として、第２のアイデンティティシステム（例えば、ＩＡＭ）上のストレージサービスが第１のアイデンティティシステム（例えば、ＩＤＣＳ）のＳａａＳまたはＰａａＳの機能と通信することを欲し得る。別の例として、ＩＡＭシステムのアプリケーションプログラミングインターフェース（ＡＰＩ）鍵がＩＤＣＳシステムのトークンを取得することを欲し得る。代替的に、ＩＤＣＳトークンを有するＩＤＣＳサービスが、ＩＡＭシステムと通信し、プロダクトのためのＩＡＭリソースを取得することを欲し得る。
【0040】
エンティティが第２のアイデンティティシステムのためのアクセストークンを取得するために、エンティティは第２のアイデンティティシステムにログインし、第２のアイデンティティシステムのためのクレデンシャルを確立することができるであろう。第２のアイデンティティシステムのためのクレデンシャルを確立した後に、エンティティは、第２のアイデンティティシステムにアクセスするためのアクセストークンを提供される。しかし、第２のアイデンティティシステムのためのクレデンシャルを確立することをエンティティに要請することは、これは負担となり、非効率的である。具体的には、エンティティがアクセスするアイデンティティシステムごとにクレデンシャルを確立することをエンティティに要請することは負担となる。アイデンティティシステムごとにクレデンシャルを取得することをエンティティに要請することはまた、ワークフローを中断する。両方のアイデンティティシステムにアクセスする多数のユーザを前提とすると、これは累積的に負担となる。
【0041】
したがって、例示的な実施形態によれば、ステップ１２０において、統合アイデンティティ管理システム（ＩＤＭＳ）のトークン交換システムは第１のアイデンティティシステムのアクセストークンを第２のアイデンティティシステムのためのアクセストークンに交換することができる。エンティティは、その後、アイデンティティシステムごとのクレデンシャルを入力することを必要とすることなく、第１のアイデンティティシステムおよび第２のアイデンティティシステムの両方内のリソースにアクセスすることができる。
【0042】
ステップ１３０において、統合アイデンティティ管理システム（ＩＤＭＳ）のトークン交換システムは、第１のアイデンティティシステムおよび第２のアイデンティティシステムとのエンティティのセッション全体を通して、第１のアイデンティティシステムおよび第２のアイデンティティシステムのためのアクセストークンを管理し続ける。セッションは、ユーザが第１または第２のアイデンティティシステムにアクセスしている期間を指すことができる。ユーザはブラウザ上のサインオンセッションを介して第１または第２のアイデンティティシステムにログインすることができる。アクセストークンはブラウザセッションの存在に基づいて用いられ続けられ得る。例えば、ブラウザセッションは１２時間であることができるであろう。しかし、これは単なる一例にすぎない。
【0043】
したがって、例示的な実施形態は、セッション中における第１のアイデンティティシステムおよび第２のアイデンティティシステムのフィーチャにアクセスするための途切れのない相互運用を可能にする。
【0044】
トークンはセッションベースのものであることができる。すなわち、ユーザがセッション中に認証されている間、トークンは用いられ続け得る。トークンはまた、ブラウザベースのものであることもできる。ユーザがサインオンセッションを用いてブラウザにログインしている場合、トークンが用いられ続け得る長さはブラウザセッションに基づくことができる。
【0045】
ＩＩ．トークン交換システム
図２は、一部の例示的な実施形態に係る、トークンを交換するためのトークン交換システム２００のブロック図を示す。
図２は、一部の例示的な実施形態に係る、トークンを交換するためのトークン交換システム２００のブロック図を示す。
【0046】
トークン交換システム２００は統合アイデンティティ管理システム（ＩＤＭＳ）の部分であることができる。トークン交換システム２００は第１のアイデンティティシステム２１０および第２のアイデンティティシステム２２０とインターフェースを取る。トークン交換システムは、１つまたは複数のプロセッサ、およびトークン情報などのデータを記憶するための１つまたは複数のメモリを含む。
【0047】
第１のアイデンティティシステムはＩＤＣＳに対応することができ、第２のアイデンティティシステムはＩＡＭに対応することができる。第１のアイデンティティシステム２１０は、サービス２１１、第１のアイデンティティシステムモデル２１２、およびトークンストレージ２１３を含むことができる。サービス２１１は、例えば、ＳａａＳおよびＰａａＳサービスを含むことができる。第２のアイデンティティシステム２２０は、サービス２２１、第２のアイデンティティシステムモデル２２２、およびトークンストレージ２２３を含むことができる。サービス２２１は、例えば、ＩａａＳ、ストレージサービス、およびデータサービスを含むことができる。
【0048】
第１のアイデンティティシステム２１０はＩＤＣＳシステムを指す。ＩＤＣＳシステムに関連付けられたトークンはベアラートークンである。ベアラートークンは、ＯＡｕｔｈトークン、ＯＡｕｔｈアクセストークン、またはアクセストークンとも称され得る。ベアラートークンはＯＡｕｔｈ仕様に従うことができる。ＩＤＣＳアクセストークンはＪＳＯＮウェブトークン（ＪＷＴ：JSON Web Token）であることができる。ＩＤＣＳシステムに関連付けられたトークンはアプリケーションプリンシパルまたはクレデンシャルと称され得る。エンドユーザは、ＩＤＣＳシステムにアクセスしている認可ユーザを含むことができる。
【0049】
第２のアイデンティティシステム２２０はＩＡＭシステムを指すことができる。ＩＡＭシステムはトークンを含むことができる。本明細書では、第２のアイデンティティシステムはＩＡＭシステムを指す。ＩＡＭシステムに関連付けられたトークンは所持証明（ＰｏＰ）トークンである。所持証明（ＰｏＰ）トークンはインターネットエンジニアタスクフォース（ＩＥＴＦ：Internet Engineer Task Force）仕様に従うことができる。
【0050】
ＩＡＭシステムに関連付けられたトークンはセキュリティプリンシパルまたはインスタンスプリンシパルと称され得る。例示的なセキュリティプリンシパルはサービスプリンシパルセッショントークン（ＳＰＳＴ：service principal session token）を含むことができる。ＳＰＳＴトークンはＪＳＯＮウェブトークン（ＪＷＴ）であることができる。トークンはユーザベースのものまたはリソースベースのものであることができる。ユーザベースのトークンは、ＩＡＭシステムのユーザ、エンドユーザ、または顧客に関連付けられ得る。エンドユーザは、ＩＡＭシステムにアクセスしている認可ユーザを含むことができる。
【0051】
第１のアイデンティティシステムモデル２１２は第１のアイデンティティシステムのためのモデル情報を含むことができる。第２のアイデンティティシステムモデル２２２は第２のアイデンティティシステムのためのモデル情報を含むことができる。ＩＤＣＳシステムのためのトークンまたはプリンシパルは異なり、ＩＡＭシステムのためのトークンまたはプリンシパルとは異なる規格およびモデルに従う。さらに、ＩＤＣＳシステムからのトークンはＩＤＣＳシステムのための目的を果たし、それに対して、ＩＡＭトークンはＩＡＭシステムに固有の目的を果たす。したがって、各アイデンティティシステムは、アイデンティティシステムが正しく動作するために必要とされる仕様を識別するモデルを記憶する。
【0052】
トークンストレージ２１３およびトークンストレージ２２３は、アイデンティティシステムに関連付けられたアクセストークンを記憶することができる。アクセストークンは、ＡＰＩにアクセスするためにアプリケーションによって用いられ得るクレデンシャルであることができる。アクセストークンは、不透明文字列、ＪＳＯＮウェブトークン（ＪＷＴ）、または非ＪＷＴトークンであることができる。アクセストークンは、トークンの所持者がＡＰＩへの委任アクセスを認められ、アクションの所定のセットを要求していることをＡＰＩ２３１などのＡＰＩに知らせるために用いられ得る。要求されるアクションは、トークンの所持者のスコープ内にあるアクションである。
【0053】
トークンストレージ２１３は、例えば、ベアラートークンを記憶することができる。ベアラートークンは、所有権に基づいて用いられ得るトークンである。すなわち、ベアラートークンを所持するエンティティがそれを用いることができる。ベアラートークンを所持するエンティティは、鍵などの、追加の情報を必要とすることなく、ベアラートークンを直接用いることができる。ベアラートークンは、中間者攻撃を防止するためにＨＴＴＰＳを通信のために用いる。さらに、ベアラートークンは、応答を送信するために、正確な指定されたアドレスを用いる。特有アドレスの使用は、悪意のあるリダイレクトなどの、ＵＲＬ内の追加パラメータによって引き起こされ得る不正行為を回避する。
【0054】
トークンストレージ２１３および２２３はまた、ＩＤトークンを記憶することができる。ＩＤトークンは、認証が成功したことを証明するアーティファクトである。ＩＤトークンは、ユーザプロファイル属性を包含するＪＷＴであることができる。ユーザプロファイル属性はクレームの形で表現され得る。ＩＤトークンはアプリケーションによって消費され、ユーザ名および電子メールなどのユーザ情報を取得するために用いられ得る。ユーザ情報はユーザインターフェース（ＵＩ：user interface）の表示の目的のために用いられ得る。
【0055】
トークンストレージ２２３は、例えば、所持証明（ＰｏＰ）トークンを記憶することができる。ＰｏＰは、セキュリティトークンが攻撃者によって盗まれ、用いられるリスクを軽減する暗号メカニズムを指すことができる。ＰｏＰトークンは、ＰｏＰトークンを取得するために攻撃者によってそう簡単には用いられ得ない。ＰｏＰトークンを用いるには、トークン自体、およびトークンに関連付けられた鍵へのアクセスの両方が必要とされる。鍵は、エンティティに関連付けられたプライベート鍵であることができる。ＰｏＰトークンはHolder of Key（ＨｏＫ）トークンとも称され得る。ＩＡＭ内のセキュリティトークンは、ＡＰＩにセキュリティアクセスすることへの手段をアプリケーションに提供するためのＪＳＯＮウェブ鍵（ＪＷＫ：JSON Web Key）としての公開ＰｏＰ鍵を包含するＪＷＴである。
【0056】
トークン交換システム２００はまた、統合コンソール２３０およびトークンマネージャ２４０を含む。統合コンソール２３０はアプリケーションプログラミングインターフェース２３１を含むことができる。統合コンソール２３０のＡＰＩ２３１は、トークン交換を要求し、異なるアイデンティティシステムの間のトークン交換を遂行するために用いられ得る。
【0057】
トークン交換システム２００のトークンマネージャ２４０は、エンティティのために交換されたトークンを管理する。トークンマネージャ２４０は、エンティティが第１のアイデンティティシステムおよび第２のアイデンティティシステムと通信することを可能にするトークンを管理する。第１のアイデンティティシステムおよび第２のアイデンティティシステムと通信するためのトークンが維持されるため、前方および後方互換性が維持される。すなわち、エンティティは第２のアイデンティティシステムのフィーチャにアクセスすることができ、その一方で、引き続き第１のアイデンティティシステムのフィーチャにアクセスすることができる。ＩＡＭエンティティは、ＩＤＣＳに加えてＩＡＭのためのアイデンティティを有し続けることになり、その逆もしかりである。
【0058】
Ａ．統合コンソールおよびトークンマネージャ
図３は、一部の例示的な実施形態に係る、トークンを交換するための統合コンソール３００のブロック図を示す。統合コンソール３００は、図２に示される統合コンソール２３０に対応することができる。統合コンソールは交換およびストレージサービスの役割を果たすことができる。
図３は、一部の例示的な実施形態に係る、トークンを交換するための統合コンソール３００のブロック図を示す。統合コンソール３００は、図２に示される統合コンソール２３０に対応することができる。統合コンソールは交換およびストレージサービスの役割を果たすことができる。
【0059】
統合コンソール３００は、第１のアイデンティティシステムと第２のアイデンティティシステムとの間のトークンの交換を遂行するために用いられる。統合コンソール３００は、ＡＰＩ３３１、第１のアイデンティティシステムコンソール３２０、および第２のアイデンティティコンソール３３０を含むことができる。
【0060】
エンティティは、例えば、第１のアイデンティティシステムのトークンを第２のアイデンティティシステムのトークンと交換するために、統合コンソール３００上の第１のアイデンティティシステムコンソール３２０にアクセスすることができる。
【0061】
例えば、ユーザは、統合アイデンティティ管理システムにアクセスするために第１のアイデンティティシステムコンソール３２０にログインすることができる。統合コンソール３００はクラウドサービスコンソールであり、ユーザがクラウドサービスにアクセスすることを可能にする。統合コンソールは種々のＡＰＩをサービス提供として提供する。ユーザは、クラウドサービスを開始するためにＡＰＩサービス提供を用いることができる。
【0062】
バックエンドにおいて、トークン交換のためのコードが存在することができる。コードは、トークンを、システムのための適切なトークンに変換するために統合コンソール３００によって用いられ得る。統合コンソール３００はトークン交換を遂行する。論理は、統合コンソール３００が適切なトークン交換を呼び出すことができるように書かれ得る。統合コンソールはまた、ストレージサービスの役割を果たすこともできる。
【0063】
さらに、エンティティは、例えば、第２のアイデンティティシステムのトークンを第１のアイデンティティシステムのトークンと交換するために、統合コンソール３００上の第２のアイデンティティシステムコンソール３３０にアクセスすることができる。
【0064】
第２のアイデンティティシステムコンソール（ＩＡＭ）３３０は、ＩＡＭによって生成されたトークンを有し得る。しかし、提供されるＡＰＩのうちの一部はＩＤＣＳに関係付けられ得る。したがって、第２のアイデンティティシステムコンソール（ＩＡＭ）３３０は第１のアイデンティティシステムコンソール（ＩＤＣＳ）３２０とのトークン交換を遂行することができる。統合コンソール３００は、顧客が、統合された仕方でＩＤＣＳシステムおよびＩＡＭシステムとインターフェースを取るためのポータルの役割を果たす。コンソールはアイデンティティ管理システムの異なるサービスとインターフェースを取ることができる。
【0065】
統合コンソールは、顧客が、ＩＤＣＳシステムおよびＩＡＭシステムによって提供される様々なサービスの間の異なるタイプの統合を発展させることを助ける。
【0066】
ＩＩＩ．トークンを取得するための方法
図４は、アクセストークンを取得するためのシーケンス図４００を示す。図４に示される例では、ＩＤＣＳシステムのクライアントがＩＤＣＳシステムのためのアクセストークンを要求している。
図４は、アクセストークンを取得するためのシーケンス図４００を示す。図４に示される例では、ＩＤＣＳシステムのクライアントがＩＤＣＳシステムのためのアクセストークンを要求している。
【0067】
図４に示される図は、クライアント４１０、ＩＤＣＳ ＯＡｕｔｈサービス４２０、およびリソースアプリケーションプログラミングインターフェース（ＡＰＩ）４３０の間の対話を示す。図４に示される例では、ＩＤＣＳシステムのクライアント４１０はＩＤＣＳアクセストークンを取得する。
【0068】
ステップ４１１において、クライアント４１０がＩＤＣＳ ＯＡｕｔｈサービス４２０へのトークン要求を行う。クライアントはアプリケーションであることができ、アプリケーションは、ＩＤＣＳシステムのフィーチャにアクセスするためにアクセストークンを必要とする。アプリケーションはそれ自体のクレデンシャルを有し、それは何らかの要求を行うことになる。例えば、それは、アクセストークンを求める要求を行うことになる。要求を行う際、アプリケーションはペイロードを送信し、その結果、それはトークン（例えば、アクセストークン）を受信することになる。
【0069】
ステップ４１２において、ＯＡｕｔｈサービス４２０がクライアントのためのＩＤＣＳシステムへのアクセストークンを生成し、アクセストークンをクライアントへ返す。ＩＤＣＳでは、アクセストークンはベアラートークンであることができる。
【0070】
ステップ４１３において、今やアクセストークンを有するクライアントが、アクセストークンを用いてリソースＡＰＩを起動することができる。したがって、クライアントは、今や、ＩＤＣＳシステムのリソースと対話するためのクレデンシャルを有する。クライアントは、それらは今やアクセストークンを有するため、リソースＡＰＩにアクセスすることができる。
【0071】
アクセストークンを取得するための方法は仕様に基づいて異なり得る。図４に示される例では、アクセストークンを取得するための方法は様々なＯＡｕｔｈ仕様またはＯＡｕｔｈ規格に基づく。さらに、アクセストークンを取得するための方法はオープンＩＤコネクト（ＯＩＤＣ：Open ID Connect）仕様に基づくことができる。
【0072】
これは、単に、アクセストークンを取得するための例にすぎず、様々な方法を、アクセストークンを取得するために用いることができる。図示の例は、ＩＤＣＳトークンを取得するためのものである。しかし、ユーザはＩＡＭトークンを取得することもできる。
【0073】
ユーザが、ユーザがアクセスすることを欲するシステムごとにアクセストークンを取得することは不便である。ユーザは、それらが作業しているプロダクトがＩＤＣＳシステムおよびＩＡＭシステムのフィーチャにアクセスすることを欲する際に、ＩＤＣＳトークンおよび別個のＩＡＭトークンを取得することを必要とすることを欲しない。さらに、クライアントは、異なるアイデンティティシステムのために別個のアクセストークンを取得し、それらのアクセストークンを管理するプロセスを経ることを欲しない。
【0074】
したがって、ユーザが一方のタイプのアイデンティティシステム（例えば、第１のアイデンティティシステム）のためのアクセストークンをすでに有する場合には、第１のアイデンティティシステムのためのアクセストークンを異なるアイデンティティシステム（例えば、第２のアイデンティティシステム）のためのトークンと交換することができる。
【0075】
ＩＶ．ベアラートークンとのＰｏＰトークンの交換
ユーザがＩＡＭアプリケーションにログインし、ユーザがＰｏＰトークンを有し、同じ顧客が、ＩＤＣＳシステムによって制御されるアプリケーションにアクセスすることを試みる場合には、別個のログインを再度行うことを必要とする代わりに、例示的な実施形態は、顧客が既存のＰｏＰトークンに基づいてベアラートークンを取得することを可能にする。また、その逆もしかりである。例示的な実施形態は、エンティティが、交換が行われていることに気付くことなく、エンティティが異なるアイデンティティシステムのためのトークンを取得することを可能にする。ユーザは異なるアイデンティティシステムのフィーチャに途切れなくアクセスすることができる。さらに、例示的な実施形態は異なるアイデンティティシステムの間の相互運用性を向上させる。
ユーザがＩＡＭアプリケーションにログインし、ユーザがＰｏＰトークンを有し、同じ顧客が、ＩＤＣＳシステムによって制御されるアプリケーションにアクセスすることを試みる場合には、別個のログインを再度行うことを必要とする代わりに、例示的な実施形態は、顧客が既存のＰｏＰトークンに基づいてベアラートークンを取得することを可能にする。また、その逆もしかりである。例示的な実施形態は、エンティティが、交換が行われていることに気付くことなく、エンティティが異なるアイデンティティシステムのためのトークンを取得することを可能にする。ユーザは異なるアイデンティティシステムのフィーチャに途切れなくアクセスすることができる。さらに、例示的な実施形態は異なるアイデンティティシステムの間の相互運用性を向上させる。
【0076】
【0077】
ＰｏＰトークンを有するエンティティはＩＡＭシステムのリソースにアクセスすることができる。しかし、ＩＤＣＳシステムのリソースにアクセスするために、エンティティはベアラートークンを必要とすることになる。図５は、エンティティのためのＰｏＰトークンがどのようにＩＤＣＳのためのベアラートークンと交換されるのかを示す。
【0078】
図５は、クラウドインフラストラクチャサービス５０１、ＯＡｕｔｈ保護ＡＰＩ５０２、ＩＤＣＳ５０３、およびＩＤＤＰ（identity data plane（アイデンティティデータプレーン））５０４の間の対話を示す。ＩＤＤＰ５０４は、メモリ内に全てのアイデンティティデータを包含することができるトークン交換エンドポイントであることができ、メモリ内のデータは共有されない。クラウドインフラストラクチャサービス５１０はクラウドインフラストラクチャ基板またはオーバーレイ５０５上に配置され得る。ＯＡｕｔｈ保護ＡＰＩ５０２はクラウドインフラストラクチャオーバーレイ５０６上に配置され得る。ＩＤＣＳ５０３はクラウドインフラストラクチャオーバーレイ５０７上に配置され得る。ＩＤＤＰ５０４はクラウドインフラストラクチャ基板５０８上に配置され得る。
【0079】
図５に示される例では、エンティティはＩＡＭ所持証明（ＰｏＰ）トークンを有し、それらのＰｏＰトークンがＩＤＣＳシステムのためのベアラートークンと交換される。例えば、ユーザは、認証されたＰｏＰトークンを有し得、ユーザはＩＡＭシステム内で動作を遂行している。ユーザは認証され、それらはＩＡＭシステムにログインしている。同じセッション内で、ユーザはＩＤＣＳシステムのためのトークンを取得することができる。ユーザは、ＩＤＣＳシステムのフィーチャにアクセスすることを欲するプロダクト、アプリケーション、またはアプリケーションのサービスを指すことができる。プロダクトまたはアプリケーションは、ＩＡＭまたはＩＤＣＳシステムと対話するプロダクトまたはアプリケーションを含むことができる。アプリケーションはまた、ウェブアプリケーションを含むこともできる。
【0080】
図５に示される例では、ＩａａＳなどの、ＩＡＭサービスが、ＰａａＳなどの、ＩＤＣＳサービスにアクセスすることを試みている。ＩＡＭサービスはＩＡＭトークンを有する。しかし、ＩＤＣＳシステムのＰａａＳサービスにアクセスするために、ＩＤＣＳトークンを必要とすることになる。したがって、ＩＡＭサービスはＩＤＣＳトークン（例えば、ＩＤＣＳのためのベアラートークン）を要求することになる。
【0081】
サービスがＩＡＭトークンを有する場合には、ＰａａＳサービス（ＩＤＣＳ）にアクセスするために、サービスはＩＤＣＳトークンを要求することができる。サービスは要求をＩＤＣＳへ送信することができる。要求はＩＡＭ ＰｏＰ／ＡＰＩ鍵を用いて署名される。ＩＤＣＳは、その後、要求を検証することができる。要求が有効である場合には、ＩＤＣＳは、クラウドインフラストラクチャ（ＣＩ：cloud infrastructure）サービスがＩＤＣＳ内で用いるためのベアラートークンを生成することができる。ＩＤＣＳは、ＩＤＣＳのプライベート鍵を用いて、生成されたベアラートークンに署名する。ＩＤＣＳによって署名された、検証されたベアラートークンは、ＩＤＣＳ ＡＰＩへのコールを行うために用いられ得る。
【0082】
図５に示されるステップは、ユーザが統合コンソール３００上のＩＡＭコンソール３３０にアクセスする際に開始され得る。
【0083】
ステップ５１０において、トークンをポストまたは要求するための要求がＩＡＭサービス（クラウドインフラストラクチャサービス５０１）からＩＤＣＳ５０３へ行われる。
【0084】
ステップ５２０において、基板またはオーバーレイのいずれかの内部のクラウド統合（ＣＩ）サービス５０１が、署名されたトークン交換／トークン要求をオーバーレイ内のＩＤＣＳへ発行する。
【0085】
ステップ５３０において、ＩＤＣＳ ＯＡｕｔｈサービス（ＩＤＣＳ５０３）が要求署名を検証する。各アプリケーションは、ユーザ名および／またはパスワードなどの、初期鍵を割り当てられ得る。要求はＩＡＭ所持証明（ＰｏＰ）およびＡＰＩ鍵を用いて署名される。要求の署名はＩＤＣＳによって検証され、ＩＤＣＳは要求の有効性を検証することができる。
【0086】
ステップ５４０において、コンピューティングシステムは、署名内に含まれる鍵の種類に基づいてアクセストークンを生成する。図示の例では、ベアラートークンが生成される。ＩＤＣＳはＩＤＣＳ適合トークンを生成する。
【0087】
ステップ５５０において、ＩＤＣＳ５０３はＩＤＣＳのプライベート鍵を用いてトークンに署名する。
【0088】
ステップ５６０において、署名されたベアラートークンをクラウドインフラストラクチャ（ＣＩ）サービスへ送信する。署名されたベアラートークンは呼び出し元サービスへ返される。
【0089】
ステップ５７０において、ＣＩサービス５０１が、リソースを得ることを要求する。ＣＩサービスはアクセストークンを用いて要求をＯＡｕｔｈ保護ＡＰＩへ発行することになる。ＣＩサービスは、生成されたトークンを用いてＡＰＩを呼び出すことができる。
【0090】
ステップ５８０において、ＯＡｕｔｈ保護ＡＰＩ５０２がベアラートークンを用いて要求を認可することができる。
【0091】
ステップ５９０において、その結果、リソースエンティティを取得することができる。
ＩＡＭ ＰｏＰトークンを有するＩＡＭアイデンティティシステムのサービスはそのＩＡＭ ＰｏＰトークンをＩＤＣＳトークン（例えば、ベアラートークン）と交換することができ、ＩＡＭサービスはＩＤＣＳシステムのサービスにアクセスすることができる。
ＩＡＭ ＰｏＰトークンを有するＩＡＭアイデンティティシステムのサービスはそのＩＡＭ ＰｏＰトークンをＩＤＣＳトークン（例えば、ベアラートークン）と交換することができ、ＩＡＭサービスはＩＤＣＳシステムのサービスにアクセスすることができる。
【0092】
したがって、サービスが任意の他のＣＩ ＡＰＩと通信することを試みる際、要求はユーザのプライベート鍵を用いて署名され得、トークンがアタッチされる。他のサービスは、エンティティが実際にトークンに署名したことを検証するために、ＩＤＤＰ（アイデンティティデータプレーン）に働きかけ、公開鍵を要求することができる。
【0093】
ＩＶ．ＰｏＰトークンとのベアラートークンの交換
特定のテナンシーまたは論理コンテナ内のリソースは、時として、他のリソースが保護された、テナンシー／論理コンテナ内の別のリソースへのアクセスを要求し得る。人間のユーザのように、インスタンスは、それらに割り当てられた識別子を有することができる。クラウドプラットフォームの部分として提供されるアイデンティティおよびアクセス管理（ＩＡＭ）サービス内において、このようなエンティティは、時として、プリンシパルと称される。プリンシパルは、プリンシパルのアイデンティティに基づいて、クラウドコンピューティング環境内の他のリソースと対話すること（例えば、読み出し、書き込み、またはサービス関連動作を遂行すること）を許可され得るエンティティである。
特定のテナンシーまたは論理コンテナ内のリソースは、時として、他のリソースが保護された、テナンシー／論理コンテナ内の別のリソースへのアクセスを要求し得る。人間のユーザのように、インスタンスは、それらに割り当てられた識別子を有することができる。クラウドプラットフォームの部分として提供されるアイデンティティおよびアクセス管理（ＩＡＭ）サービス内において、このようなエンティティは、時として、プリンシパルと称される。プリンシパルは、プリンシパルのアイデンティティに基づいて、クラウドコンピューティング環境内の他のリソースと対話すること（例えば、読み出し、書き込み、またはサービス関連動作を遂行すること）を許可され得るエンティティである。
【0094】
【0095】
図６は、管理クラウドサービス（ＭＣＳ：management cloud service）６０１、ＩＤＤＰ（アイデンティティデータプレーン）６０２、およびドメイン共有キャッシュ６０３の間の対話を示す。管理クラウドサービス６０１はクラウドインフラストラクチャＳａａＳ／ＰａａＳサービス６０４上に配置され得る。ＩＤＤＰ６０２およびドメイン共有キャッシュ６０３はクラウドインフラストラクチャ基板６０５上に配置され得る。ＩＤＤＰ６０２はトークン交換エンドポイントであることができる。
【0096】
図６に示される例では、ＩＤＣＳトークン（例えば、ベアラートークン）を有する、ＳａａＳおよびＰａａＳなどの、ＩＤＣＳサービスがＩＡＭシステムのサービスにアクセスすることを欲する。ユーザは認証され、それらはＩＤＣＳシステムにログインし、ＩＤＣＳトークンを取得している。同じセッション内で、ユーザはＩＡＭシステムのためのトークンを取得することができる。ユーザは、ＩＡＭシステムのフィーチャにアクセスすることを欲するプロダクト、アプリケーション、またはアプリケーションのサービスを指すことができる。ＩＡＭシステムのサービスはＩＡＭデータサービスおよびストレージサービスを含むことができる。ＩＤＣＳのＰａａＳおよびＳａａＳサービスは、ＩＡＭによって生成されたトークンを用いてＩＡＭの任意のデータサービスを確保することができる。
【0097】
ステップ６１０において、トークンをＩＤＤＰ６０２へポストするための要求がＳａａＳ／ＰａａＳサービスから行われる。要求はベアラートークンおよび公開鍵を含む。セッション中にエンティティによって行われる全てのアクセスのために、１つのベアラートークンを用いることができる。
【0098】
ステップ６２０において、ベアラートークンおよび公開鍵を識別する。
ステップ６３０において、ベアラートークンからドメインＩＤを取り出す。
ステップ６３０において、ベアラートークンからドメインＩＤを取り出す。
【0099】
ステップ６４０において、ドメイン共有キャッシュからドメインの公開鍵を取得する。
ステップ６５０において、ベアラートークンの署名の有効性を検証する。
ステップ６５０において、ベアラートークンの署名の有効性を検証する。
【0100】
ステップ６６０において、タグを取り出し、リソースタイプを識別する。
ステップ６７０において、応答をＩＤＤＰ６０２に提供する。
ステップ６７０において、応答をＩＤＤＰ６０２に提供する。
【0101】
ステップ６８０において、リソースプリンシパルセッショントークン（ＲＰＳＴ：resource principal session token）を生成する。例は、リソースプリンシパルセッショントークンを取得することに関して示されているが、さらなる実施形態は、サービスプリンシパルセッショントークン（ＳＰＳＴ）を取得することに関し得る。
【0102】
ステップ６９０において、要求は、続行することを認可されるかどうかを決定する。
上述された例はサービスに関するものであるが、アプリケーションはまた、交換を遂行するためにも用いられ得る。
上述された例はサービスに関するものであるが、アプリケーションはまた、交換を遂行するためにも用いられ得る。
【0103】
したがって、例示的な実施形態は、ユーザが、異なるアイデンティティシステムの諸側面にアクセスする際に、途切れのない統一された体験を有することになるよう、異なるメカニズムを統合する。エンドユーザおよび顧客はＩＡＭおよびＩＤＣＳシステムのユーザを含むことができる。トークン交換が行われる間にシステムのエンドユーザの動作は影響を受けない。それゆえ、ユーザは、生成されたトークンを用いてＩＡＭとＩＤＣＳシステムとの間で途切れなく動作することができる。
【0104】
例示的な実施形態は、異なるアイデンティティ管理システムなどの、異なるシステムのコンポーネントにアクセスする際に、ユーザによって直面される問題に対処する。ユーザは２つの異なるアイデンティティ管理システムの間で行き来することができる。それらは各システムに別個にログインしなくてもよいため、ユーザ体験は向上し、途切れがない。
【0105】
Ｖ．トークンを交換するための方法
図７は、一部の例示的な実施形態に係る、トークンを交換するための方法７００を示す。
図７は、一部の例示的な実施形態に係る、トークンを交換するための方法７００を示す。
【0106】
ステップ７１０において、トークン交換システムは、エンティティが第１のアイデンティティシステムにアクセスすることを認可されると決定することができる。エンティティはアプリケーションであることができる。
【0107】
ステップ７２０において、トークン交換システムは、第２のアイデンティティシステムにアクセスするためのエンティティによる第１の要求を受信することができる。第１の要求はベアラートークンおよび公開鍵を含むことができる。
【0108】
ステップ７３０において、トークン交換システムは、トークンは有効であることを検証することができる。要求上の署名が有効である場合に、トークンは有効であると決定され得る。
【0109】
ステップ７４０において、トークン交換システムは第１のアイデンティティシステムのための第１のトークンに基づいて第２のアイデンティティシステムのための第２のトークンを生成することができる。
【0110】
ステップ７５０において、トークン交換システムはエンティティのプライベート鍵を用いて第２のトークンに署名し、第２の署名付きトークンを生成することができる。
【0111】
ステップ７６０において、コンピューティングシステムが、第２の署名付きトークンに基づいてエンティティが第２のアイデンティティシステムにアクセスすることを認証する。トークン交換システムは、公開鍵に基づいて、エンティティは、ベアラートークンに署名したエンティティであることを検証することができる。
【0112】
ステップ７７０において、トークン交換システムは、第２のトークンを用いてエンティティが第２のアイデンティティシステムのアプリケーションプログラミングインターフェースにアクセスすることを認可することができる。
【0113】
上述の例はトークン交換を一般的に説明している。しかし、トークン交換は、アプリケーションなどの、特定のエンティティによって遂行され得る。
【0114】
ＶＩ．リソースプリンシパルまたはサービスプリンシパルとしてのアプリケーション
アプリケーションは、アプリケーションがアイデンティティを有しないため、他のリソースと対話することができないことがある。アプリケーションは、ベアラートークンを用いるＯＡｕｔｈ認証モデルに従い得る。アプリケーションはドメインの部分であり、したがって、それはドメイン内の要素と対話することができる。しかし、アプリケーションはそのドメインの外部の要素と対話する能力を有し得ない。
アプリケーションは、アプリケーションがアイデンティティを有しないため、他のリソースと対話することができないことがある。アプリケーションは、ベアラートークンを用いるＯＡｕｔｈ認証モデルに従い得る。アプリケーションはドメインの部分であり、したがって、それはドメイン内の要素と対話することができる。しかし、アプリケーションはそのドメインの外部の要素と対話する能力を有し得ない。
【0115】
ＩＡＭアプリケーションプログラミングインターフェース（ＡＰＩ）はリソースまたはサービスからの接続を受け入れるのみであり得る。エンティティがリソースまたはサービスでない場合には、このとき、エンティティはＩＡＭ ＡＰＩと通信することができない。ＩＡＭ ＡＰＩは、要求がプライベート鍵によって署名され、要求元のみがプライベート鍵を有する、署名付き要求を得ることに依存する。
【0116】
例示的な実施形態は、ＳａａＳアプリケーション、ＰａａＳアプリケーション、または融合アプリケーション（ＦＡ：fusion application）などの、アプリケーションによって所持されるベアラートークンアイデンティティを変換し、トークン交換システムは、ベアラートークンアイデンティティを、ＩＡＭ内のＡＰＩによって受け入れられる、リソースプリンシパルセッショントークン（ＲＳＰＴ）アイデンティティと交換することができる。ＲＳＰＴアイデンティティはＰｏＰトークンを用いる。アプリケーションのベアラートークンは、アプリケーションがリソースプリンシパルまたはサービスプリンシパルの役割を果たすことを可能にする、ＰｏＰトークンに変換される。
【0117】
過去においては、１つのドメイン内のアプリケーションはそのドメイン内のリソースにアクセスすることができるのみである。しかし、今や、アプリケーションはリソースプリンシパルアイデンティティまたはサービスプリンシパルアイデンティティを与えられ得る。アプリケーションがプリンシパルアイデンティティに更新された場合には、それはドメイン内の全てのユーザのデータを管理することができる。
【0118】
アプリケーションがリソースプリンシパルセッショントークンアイデンティティを有すると、エンティティは動的グループの部分になることができる。エンティティは様々な特権を割り当てられ得、エンティティはリソースプリンシパルとして扱われ得る。上述の例は、リソースプリンシパルのためのアイデンティティを有するアプリケーションを用いたものであるが、アプリケーションはまた、サービスプリンシパルのアイデンティティも与えられ得るであろう。リソースおよび／またはサービスプリンシパルとして、アプリケーションはより多くのスコープおよびより多くの特権を有することになり、動的グループの部分になることができる。
【0119】
ベアラートークンを有するアプリケーションは、その後、プリンシパル（すなわち、リソースまたはサービスにアクセスすることができるエンティティ）の役割を果たす能力を有する。アプリケーションは、ＩＡＭにアクセスする前に認証／認可される。
【0120】
例示的な実施形態では、ＳａａＳ、ＰａａＳ、または融合アプリケーション（ＦＡ）が有するベアラートークンはリソースプリンシパルセッショントークンアイデンティティと交換され得る。アプリケーションがリソースプリンシパルセッショントークンアイデンティティを有すると、アプリケーションは動的グループの部分になることができ、任意の特権を割り当てられ得、サービスとして扱われ得る。
【0121】
アプリケーションは、単なるリソースではなく、サービスプリンシパルとして扱われ得る。アプリケーションはより多くのスコープおよびより多くの特権を有する。
【0122】
Ａ．シーケンス図 － アプリケーションをプリンシパルへ
ＩＤＣＳにおいて、アプリケーションはストライプを有することができる。ストライプはテナンシーまたはアカウントとしても知られ得る。このストライプ内において、ユーザは、アプリケーションを管理するためのルールを有する。テナンシー内では、異なるルールが存在し得る。例えば、財務アプリを管理するためのとあるルールを有する１つのストライプ内に、財務アプリケーションが存在し得る。さらに、別のストライプ内の別のグループは人事（ＨＲ：Human Resources）アプリケーションを有し得、ＨＲアプリケーションを管理するためのルールを有し得る。さらに、データベースアプリケーションが存在し得、データベースにアクセスするためのルールが存在する。しかし、会社などの企業が１つを超えるストライプを有する場合には、ストライプ内のアプリケーションは互いに通信することができない。すなわち、テナンシー間またはストライプ間通信が存在しない。これらのシステムはベアラートークンを用いる。
ＩＤＣＳにおいて、アプリケーションはストライプを有することができる。ストライプはテナンシーまたはアカウントとしても知られ得る。このストライプ内において、ユーザは、アプリケーションを管理するためのルールを有する。テナンシー内では、異なるルールが存在し得る。例えば、財務アプリを管理するためのとあるルールを有する１つのストライプ内に、財務アプリケーションが存在し得る。さらに、別のストライプ内の別のグループは人事（ＨＲ：Human Resources）アプリケーションを有し得、ＨＲアプリケーションを管理するためのルールを有し得る。さらに、データベースアプリケーションが存在し得、データベースにアクセスするためのルールが存在する。しかし、会社などの企業が１つを超えるストライプを有する場合には、ストライプ内のアプリケーションは互いに通信することができない。すなわち、テナンシー間またはストライプ間通信が存在しない。これらのシステムはベアラートークンを用いる。
【0123】
【0124】
図８に示されるように、ステップ８１０において、アプリケーションテナンシーをドメインに変換する。単一のテナンシーが示されているが、いくつかのテナンシーをいくつかのドメインに変換することができる。
【0125】
ステップ８１０において、アプリケーションのベアラートークンをＰｏＰトークンと交換する。アプリケーションは今やＰｏＰトークンを用いるため、アプリケーションは、ステップ８３０に示されるように、リソースプリンシパルの役割、またはステップ８４０に示されるように、サービスプリンシパルの役割を果たすことを可能にされる。
【0126】
アプリケーションがリソースプリンシパルの役割を果たすとき、それはＩＡＭ内のリソースの役割を果たす能力を有する。アプリケーションがサービスプリンシパルの役割を果たすとき、それはＩＡＭ内のサービスの役割を果たす能力を有する。
【0127】
【0128】
図９に示されるように、アプリケーションはＩＤＣＳ内のテナンシー９１０内にあることができる。テナンシーはストライプまたはアカウントとしても知られ得る。図９に示されるように、人事、財務、および会計などの、会社内の各部門はそれら自体のテナンシー（人事９１１、財務９１２、および会計９１３）を各々有することができる。テナンシーはベアラートークンを用いて動作することができる。図９に示されるテナンシーは例示を目的とするものであり、様々な他のテナンシーが存在することができる。人事テナンシー９１１はベアラートークンストア９１４を含むことができ、財務テナンシー９１２はベアラートークンストア９１５を含むことができ、会計テナンシー９１３はベアラートークンストア９１６を含むことができる。
【0129】
図９に示されるように、各テナンシーは他のテナンシーとは独立して動作する。すなわち、人事テナンシー９１１内のユーザは人事テナンシー９１１内の情報にアクセスすることのみでき、財務テナンシー９１２内のユーザは財務テナンシー９１２内の情報にアクセスすることのみでき、会計テナンシー９１３内のユーザは会計テナンシー９１３内の情報にアクセスすることのみできる。
【0130】
テナンシーが他のテナンシー内の情報にアクセスすること（例えば、相互通信）を可能にするために、テナンシーはドメインに変換される。ＩＤＣＳテナンシー９１０はＩＤＣＳドメイン９２０に変換される。ドメインを用いることで、異なる部門は情報にアクセスし、他の部門内の情報と通信することができる。したがって、人事ドメイン９２１、財務ドメイン９２２、および会計ドメイン９２３は互いに通信し、他のドメインからの情報にアクセスすることができる。さらに、ドメインの各々が他のドメインにアクセスすることができる範囲は、各部門に関連付けられた権限および特権に基づくことができる。図９に示されるように、人事ドメイン９２１はベアラートークンストア９２４を含み、財務ドメイン９２２はベアラートークンストア９２５を含み、会計ドメイン９２３はベアラートークンストア９２６を含む。
【0131】
いくつかのユーザおよびグループを含むＨＲテナンシーの代わりに、全てがＨＲドメイン内に配置されるようになる。さらに、ドメイン内のユーザは一意である。
【0132】
アプリケーションが属するドメインは、ドメイン内のアプリケーションに割り当てられるアイデンティティ（identity）特権に対して用いられ得、決定され得る。図９に示されるように、アプリケーションは、ドメインに関連付けられた特権を有し、ドメインの外部の特権を有しない。
【0133】
Ｃ．第１のアイデンティティシステムおよび第２のアイデンティティシステムとのエンティティ通信
図１０は、一部の例示的な実施形態に係る、ＩＤＣＳ内のアプリケーションをＩＡＭ内のリソースまたはサービスに変換するためのブロック図１０００を示す。ＩＤＣＳ内のアプリケーションは、それがそのベアラートークンをＰｏＰトークンと交換するため、サービスプリンシパルまたはリソースプリンシパルの役割を果たすことができる。
図１０は、一部の例示的な実施形態に係る、ＩＤＣＳ内のアプリケーションをＩＡＭ内のリソースまたはサービスに変換するためのブロック図１０００を示す。ＩＤＣＳ内のアプリケーションは、それがそのベアラートークンをＰｏＰトークンと交換するため、サービスプリンシパルまたはリソースプリンシパルの役割を果たすことができる。
【0134】
図１０は、人事アプリケーション１０２０、財務アプリケーション１０３０、および会計アプリケーション１０４０を示す。人事アプリケーション１０２０は、ベアラートークンストア１０２１内に記憶されたとおりのベアラートークンを用いる。財務アプリケーション１０３０は、ベアラートークンストア１０３１内に記憶されたとおりのベアラートークンを用いる。会計アプリケーション１０４０は、ベアラートークンストア１０４１内に記憶されたとおりのベアラートークンを用いる。
【0135】
図１０に示されるように、ＩＤＣＳドメイン１０１０内のアプリケーションはそれらのベアラートークンをＰｏＰトークンと換える。ＩＡＭドメイン１０５０内に示されるように、アプリケーションは、ＩＡＭドメイン内にあるとき、それらのＰｏＰトークンを用いることができる。ＩＡＭドメイン１０５０内において、人事アプリケーション１０６０、財務アプリケーション１０７０、および会計アプリケーション１０８０は、それらは今やＰｏＰトークンを有するため、今や、リソースプリンシパルまたはサービスプリンシパルの役割を果たすことができる。アプリケーションのためのＰｏＰトークンは、ＰｏＰトークンストア１０６１、ＰｏＰトークンストア１０７１、およびＰｏＰトークンストア１０８１内に記憶され得る。
【0136】
図１０に示されるように、ＩＤＣＳドメイン１０１０内のアプリケーションはそれらのベアラートークンをＰｏＰトークンと交換し、したがって、ＩＤＣＳドメイン１０５０内のリソースプリンシパルまたはサービスプリンシパルの役割を果たす能力を有する。
【0137】
したがって、例示的な実施形態は、異なるストライプ内にあったアプリケーションが所持証明（ＰｏＰ）トークンの使用を通じて互いに通信することを可能にする。
【0138】
ドメインは、ＩＤＣＳアカウントエンティティを、それがアイデンティティ自体内の部分エンティティまたは部分アイデンティティになるときに記述するために使用される。したがって、ＩＤＣＳ内のストライプはアイデンティティ／ＩＡＭ内のドメインに対応付けられ得る。企業内の部門ごとにドメインが存在することができ、各ドメインはそれ自体のリソースを有することになる。したがって、ストライプおよびテナンシーの代わりに、ドメインが作成された。
【0139】
Ｄ．アプリケーションがトークンを交換する
１．方法 － アプリケーションがベアラートークンをＰｏＰトークンと交換する
図１１は、一部の例示的な実施形態に係る、アプリケーションがベアラートークンをＰｏＰトークンと交換する方法１１００を示す。
１．方法 － アプリケーションがベアラートークンをＰｏＰトークンと交換する
図１１は、一部の例示的な実施形態に係る、アプリケーションがベアラートークンをＰｏＰトークンと交換する方法１１００を示す。
【0140】
エンティティは、セッション鍵ペアを生成することによってクラウドインフラストラクチャＡＰＩへの要求を行うことができる。公開鍵は、ＩＡＭの他のクラウドインフラストラクチャサービスが検証することができるアイデンティティトークン内に記憶され、エンティティはプライベート鍵を所有する。要求はエンティティのプライベート鍵を用いて署名され得る。公開鍵を含むトークンが要求にアタッチされ、これにより、ＩＡＭサービスのクラウドインフラストラクチャはエンティティを検証することができる。ベアラートークンアイデンティティは要求の部分としてＩＡＭへ送信される。他のサービスは、エンティティがトークンに署名したことを検証するために、エンティティに働きかけ、エンティティの公開鍵を要求することができる。したがって、エンティティは今やＩＡＭリソースおよびサービスと通信することができる。
【0141】
図１１において開示されるように、アプリケーションのためのベアラートークンはＰｏＰトークンと交換される。例えば、アプリケーションは、ＰｏＰトークンのみを受け入れることになるＩＡＭのためのＡＰＩとの通信を欲し得る。したがって、アプリケーションｎは、それらのベアラートークンをＰｏＰトークンと交換するためのプロセスを開始することができる。
【0142】
ステップ１１１０において、トークン交換システムは、エンティティが第１のアイデンティティシステムのために認可されると決定する。エンティティは、それが、第１のアイデンティティシステムにアクセスするためのクレデンシャルを有する場合に、第１のアイデンティティシステムのために認可される。エンティティのクレデンシャルは第１のアイデンティティシステムに入力され、クレデンシャルが正しい場合には、このとき、エンティティは、第１のアイデンティティシステムにアクセスすることを認可される。
【0143】
ステップ１１２０において、トークン交換システムは、ＩＡＭトークンを求めるアプリケーションからの要求を受信することができる。アプリケーションは鍵ペア（例えば、公開およびプライベート鍵ペア）を生成することになり、アプリケーションは公開鍵をペイロード内に提供することになる。したがって、要求はアプリケーションのベアラートークンおよび公開鍵を含む。要求はアプリケーションのプライベート鍵を用いて署名される。アプリケーションはそのプライベート鍵を送信せず、そのプライベート鍵を用いて要求に署名する。
【0144】
公開鍵は、他のＩＡＭサービスが、有効性を検証し、アプリケーションがプライベート鍵を所有することを検証するためにアクセスすることができるアイデンティティトークンストア内に保存されるか、または記憶されることができる。
【0145】
ステップ１１３０において、トークン交換システムは、アプリケーションが有効なベアラートークンを有するかどうかを決定することができる。ＩＡＭと通信する際に、ベアラートークンアイデンティティを要求の部分としてＩＡＭへ送信することができる。アイデンティティがＩＡＭエンティティによってＩＤＣＳアイデンティティのために要求されている際に、ベアラートークンアイデンティティは、ＩＤＣＳへの要求に署名するために用いられるが、ベアラートークンアイデンティティは要求と共に送信されない。
【0146】
ステップ１１４０において、トークン交換システムはアプリケーションのロールを決定し、アプリケーションのロールはリソースのための要件に適合するかどうかを決定することができる。アプリケーションのロールはアプリケーション内で指定され得る。ロールは、アプリケーションがアクセスすることができるデータを識別することができる。アプリケーションは、リソースに変換され得る正しいロールを有することが検証される。
【0147】
トークン交換システムは、アプリケーションのロールが、リソースプリンシパルの役割を果たすために十分であるかどうかを決定する。上述の例では、アプリケーションのロールは、リソースプリンシパルの役割を果たすために十分であるかどうかを決定する。しかし、アプリケーションがサービスプリンシパルの役割を果たすことを欲する場合には、このとき、トークン交換システムは、アプリケーションのロールが、サービスプリンシパルの役割を果たすために十分であるかどうかを決定することになる。
【0148】
ステップ１１５０において、トークン交換システムは、アプリケーションの公開鍵を含むトークンを生成することができる。トークンはＩＡＭシステムによって署名され、アプリケーションの公開鍵を含む。ＩＡＭシステムによって署名されたトークンは、図１３に示されるとおりのトークン生成器１３６０によって生成され得る。
【0149】
ステップ１１６０において、トークン交換システムはアプリケーションへ、ＩＡＭによって署名されたトークンを送信することができる。トークンは、ＩＡＭへの将来のＡＰＩコールを行うためにアプリケーションによって用いられ得る。トークンはまた、鍵としても知られ得る。鍵をアプリケーションに割り当てることによって、鍵は、アプリケーションはそれが自称しているものであることを確実にするために用いられ得る。
【0150】
アプリケーションはアイデンティティを提供され、したがって、統合された環境内のリソースと通信し、要求を行うことができる。アプリケーションは、後方互換性のために、それら自体のベアラートークンアイデンティティを用いるか、またはそれに依存する、それら自体のドメイン内の全てのエンティティと協働し続けることになる。
【0151】
アプリケーションは、アプリケーションの公開鍵を有するＩＡＭによって署名されたトークンを有する。アプリケーションが他のＩＡＭ ＡＰＩと通信する際、要求はプライベート鍵を用いて署名され、トークンがアタッチされる。
【0152】
２．方法 － アプリケーションがＩＡＭ ＡＰＩへのコールを行う
図１２は、一部の例示的な実施形態に係る、アプリケーションがＩＡＭ ＡＰＩへの要求を行う方法１２００を示す。
図１２は、一部の例示的な実施形態に係る、アプリケーションがＩＡＭ ＡＰＩへの要求を行う方法１２００を示す。
【0153】
ステップ１２１０において、トークン交換システムは、第２のアイデンティティシステム内のリソースにアクセスするための要求を受信することができる。要求は、ベアラートークン、およびアプリケーションの公開鍵を含む、ＩＡＭから受信されたトークンを含むことができる。要求はアプリケーションのプライベート鍵によって署名され得る。コールを行っているアプリケーションは公開鍵を提供し、それを、返されるセッショントークンに関連付けることができる。
【0154】
アプリケーションが将来のＡＰＩコールを行う場合、トークン交換システムはＩＡＭへのＡＰＩコールのための要求を受信することができる。要求は、ＩＡＭによって署名された公開トークンを含む。要求はアプリケーションのプライベート鍵を用いて署名される。
【0155】
アプリケーションは、ＩＡＭから受信されたトークンを任意の要求内にアタッチすることができ、アプリケーションはまた、アプリケーションのプライベート鍵を用いて要求に署名することができる。アプリケーションは、プライベート鍵、およびＩＡＭからの有効なトークンを所持することを証明することができる。したがって、アプリケーションがアクセスすることを試みているリソースはアプリケーションのアイデンティティを検証することができる。アプリケーションは、アプリケーションのプライベート鍵を用いて要求に署名し、ＩＡＭによって署名されたトークンをアタッチすることによって、ＩＡＭ ＡＰＩへの将来の参照を行うことができる。
【0156】
ステップ１２２０において、トークン交換システムは、公開鍵に基づいて、アプリケーションが、ベアラートークンに署名したエンティティであることを検証することができる。トークン交換システムは、要求がアプリケーションのプライベート鍵を用いて署名されていることを検証することができる。トークン交換システムは、アプリケーションの受信された公開鍵を、アプリケーションのために記憶された公開鍵と比較することができる。その後、アプリケーションは有効性を検証され得る。公開トークンはＩＡＭによって署名されたと決定され、プライベート鍵がアプリケーションのプライベート鍵であること、およびアプリケーションが要求に署名したことが検証される。
【0157】
ステップ１２３０において、トークン交換システムは、エンティティが第２のアイデンティティシステムにアクセスすることを認可することができる。アプリケーションは、指定された秘密情報を所持することを実証する能力を有するため、それは、他のリソースにアクセスすることができるように特権を認められ得る。
【0158】
アプリケーションはこのトークンを所持し、このアプリケーションのみがこのトークンを所持する。したがって、アプリケーションは、他のリソースと通信することを可能にされる。他のリソースは、ベアラートークンを用いずに、アプリケーションはそれが自称しているものであることを確かめることができる。
【0159】
トークンは署名され、公開鍵がトークンストア内に記憶されている場合には、これは、有効な公開鍵が存在することを指示する。要求はプライベート鍵を用いて署名され、プライベート鍵は、エンティティに属するものとして検証され得る。さらに、ＰｏＰトークンを用いることによって、ベアラートークンに付随し得る問題が回避される。具体的には、他のエンティティは、要求を行っているアプリケーションに成り済ますこと、またはそれであることを装うことができない。
【0160】
３．方法 － メッセージング
インスタンスはインスタンスの作成時にアイデンティティを割り当てられる。インスタンスはリソースプリンシパルセッショントークンアイデンティティを割り当てられ得るため、それらは動的グループの部分になることができる。一部のエンティティ（例えば、アプリケーション）はリソースプリンシパルセッショントークン（ＲＰＳＴ）アイデンティティまたはＰｏＰトークンを有しない。ＩＤＣＳ内のアプリケーション（例えば、ＳａａＳアプリケーション、ＰａａＳアプリケーション、融合アプリケーション等）はリソースプリンシパルセッショントークンアイデンティティを与えられておらず、したがって、アプリケーションはＩＡＭ内の動的グループの部分になることができなかった。
インスタンスはインスタンスの作成時にアイデンティティを割り当てられる。インスタンスはリソースプリンシパルセッショントークンアイデンティティを割り当てられ得るため、それらは動的グループの部分になることができる。一部のエンティティ（例えば、アプリケーション）はリソースプリンシパルセッショントークン（ＲＰＳＴ）アイデンティティまたはＰｏＰトークンを有しない。ＩＤＣＳ内のアプリケーション（例えば、ＳａａＳアプリケーション、ＰａａＳアプリケーション、融合アプリケーション等）はリソースプリンシパルセッショントークンアイデンティティを与えられておらず、したがって、アプリケーションはＩＡＭ内の動的グループの部分になることができなかった。
【0161】
図１３は、一部の例示的な実施形態に係る、アプリケーションがトークンを交換する方法１３００の概略を示す。
【0162】
ステップ１３１０において、アプリケーションはそのＩＤＣＳアクセストークン（例えば、ベアラートークン）をＩＤＤＰ（アイデンティティデータプレーン）へポストする。要求のペイロードはアプリケーションの公開鍵を含む。要求は、署名、またはベアラートークン、または秘密クライアントＩＤのいずれかを用いて認証され得る。
【0163】
ステップ１３２０において、アプリケーションのインスタンスは、ペイロードを用いて署名付きＲＰＳＴを用いて別のコールを行う。これは、ペイロードアクセストークンのためのトークンの代わりである。ペイロードは、コールのための、呼び出し元からアプリケーションインスタンスおよびターゲットサービスへのＩＤＣＳアクセストークンを含む。要求が、認可ベアラートークンまたは秘密クライアントＩＤ、ならびに公開鍵を含み、ペイロードアクセストークンが存在しない場合には、このとき、返されるＲＰＳＴはトークン内に公開鍵を含むことができる。要求がペイロードアクセストークンを用いて署名される場合には、このとき、トークン内に公開鍵を含まないトークンが返され得る。
【0164】
ステップ１３３０において、アプリケーションインスタンスは、認可ヘッダ内でＲＰＳＴを指定することによってＩＡＭサービスへのコールを行う。それはトークンヘッダ内に任意選択的なトークンを含むことができる。要求はステップ１３１０からのＲＰＳＴプライベート鍵を用いて署名される。
【0165】
ＩＡＭにアクセスするために、要求は、アプリケーションのみがこのプライベート鍵を有することを示すプライベート鍵によって署名されることを必要とする。したがって、アプリケーションが要求に署名したことが検証され得る。
【0166】
アプリケーションの公開鍵を含むトークンはＩＡＭシステムによって署名されるため、公開鍵は、有効な公開鍵であると決定される。さらに、アプリケーションはＰｏＰトークンを用いて動作しているため、トランザクションはより安全である。
【0167】
４．アプリケーショントークン交換システム
図１４は、一部の例示的な実施形態に係る、アプリケーションのためのトークンを交換するためのトークン交換システム１４００のブロック図を示す。図１４に示されるトークン交換システムは図２のトークン交換システムと類似している。したがって、類似した要素の説明は繰り返されない。
図１４は、一部の例示的な実施形態に係る、アプリケーションのためのトークンを交換するためのトークン交換システム１４００のブロック図を示す。図１４に示されるトークン交換システムは図２のトークン交換システムと類似している。したがって、類似した要素の説明は繰り返されない。
【0168】
トークン交換システム１４００は統合アイデンティティ管理システム（ＩＤＭＳ）の部分であることができる。トークン交換システム１４００は第１のアイデンティティシステム１４１０および第２のアイデンティティシステム１４２０とインターフェースを取る。第１のアイデンティティシステムはＩＤＣＳに対応することができ、第２のアイデンティティシステムはＩＡＭに対応することができる。第１のアイデンティティシステム１４１０は、サービス１４１１、第１のアイデンティティシステムモデル１４１２、およびトークンストレージ１４１３を含むことができる。サービス１４１１は、例えば、ＳａａＳおよびＰａａＳサービスを含むことができる。第２のアイデンティティシステム１４２０は、サービス１４２１、第２のアイデンティティシステムモデル１４２２、およびトークンストレージ１４２３を含むことができる。サービス１４２１は、例えば、ＩａａＳ、ストレージサービス、およびデータサービスを含むことができる。
【0169】
第１のアイデンティティシステムモデル１４１２は第１のアイデンティティシステムのためのモデル情報を含むことができる。第２のアイデンティティシステムモデル１４２２は第２のアイデンティティシステムのためのモデル情報を含むことができる。
【0170】
トークンストレージ１４１３およびトークンストレージ１４２３は、アイデンティティシステムに関連付けられたアクセストークンを記憶することができる。トークンストレージ１４１３は、例えば、ベアラートークンを記憶することができる。トークンストレージ１４１３および１４２３はまた、ＩＤトークンを記憶することができる。トークンストレージ１４２３は、例えば、所持証明（ＰｏＰ）トークンを記憶することができる。
【0171】
トークン交換システム１４００はまた、統合コンソール１４３０およびトークンマネージャ１４４０を含む。統合コンソール１４３０はアプリケーションプログラミングインターフェース１４２１を含むことができる。統合コンソール１４３０のＡＰＩ１４３１は、トークン交換を要求し、異なるアイデンティティシステムの間のトークン交換を遂行するために用いられ得る。
【0172】
トークン交換システム１４００のトークンマネージャ１４４０は、エンティティのために交換されたトークンを管理する。トークンマネージャ１４４０は、エンティティが第１のアイデンティティシステムおよび第２のアイデンティティシステムと通信することを可能にするトークンを管理する。
【0173】
さらに、トークン交換システム１４００の第１のアイデンティティシステム１４１０はまた、テナンシー変換器１４１４を含むことができる。テナンシー変換器１４１４はテナンシーをドメインに変換することができる。ドメイン内のエンティティはＰｏＰトークンを取得することができる。
【0174】
トークン交換システム１４００はまた、ロール識別器１４５０およびトークン生成器１４６０を含むことができる。ロール識別器１４５０は、ベアラートークンから取得されたロールを決定するためにトークン交換システムによって用いられ得、ロールがリソースまたはサービスにアクセスするために必要とされる要件に適合するかどうかを決定することができる。
【0175】
トークン生成器１４６０は、ＩＡＭ ＡＰＩにアクセスするための要求を行うエンティティ（例えば、アプリケーション）の公開鍵を含むことができるトークンを生成するためにトークン交換システム１４００によって用いられ得る。トークンはまた、鍵としても知られ得る。生成されたトークンはエンティティに提供され得、エンティティは、ＩＡＭ ＡＰＩにアクセスする際にトークンを要求内に含めることができる。
【0176】
例示的な実施形態によれば、アプリケーションは今やリソースとして扱われ得、動的グループの部分になることができる。アプリケーションは、動的グループに提供され、かくして、アプリケーションが対話し、他のリソースにアクセスすることを可能にする、特権を取得することができる。
【0177】
例示的な実施形態によれば、アプリケーションは、リソースプリンシパルまたはサービスプリンシパルの役割を果たすことができるよう、アイデンティティを割り当てられ得る。例えば、ＩＤＣＳ内のアプリケーションはＩＡＭ内のリソースプリンシパルまたはサービスプリンシパルにされ得る。
【0178】
アプリケーションは、他のリソースまたはサービスに与えられるものなどの、それ自体のアイデンティティを与えられる。アプリケーションは統合され得、リソースとして、または動的グループの参加者として扱われ得る。したがって、アプリケーションがＩＤＣＳシステムにログインさせられている場合には、アプリケーションはリソースの役割を果たし、ＩＡＭシステムの諸側面にアクセスすることができる。
【0179】
アプリケーションは、ＩＤＣＳまたはＩＡＭシステムのクライアントによって用いられるアプリケーションを含むことができる。クライアントによって用いられるアプリケーションはクライアントアプリケーションとしても知られ得る。例えば、アプリケーションはＳａａＳアプリケーション、ＰａａＳアプリケーション、融合アプリケーション（ＦＡ）アプリケーション、またはＩａａＳアプリケーションを含むことができる。しかし、それらは単なる例にすぎず、ＩＤＣＳおよびＩＡＭ内で用いられる様々なタイプのアプリケーションはクライアントアプリケーションであることができる。具体的には、ＩＤＣＳまたはＩＡＭシステムのリソースにアクセスすることを欲するアプリケーションは、アイデンティティを有するアプリケーションであることができ、アクセストークンを取得することができる。
【0180】
異なるシステムは、トークンの処理、およびシングルサインオン管理の異なる方法を有する。ＩＤＣＳはＩＡＭとは異なるサービスであるため、それらはトークンを異なって処理する。しかし、第１のアイデンティティシステムにアクセスするための第１のトークンを作成して管理し、第２のアイデンティティシステムにアクセスするための第２のトークンを作成して管理しなければならないことは、ユーザにとって不便である。
【0181】
例示的な実施形態は、クラウドサービス内の異なるアイデンティティシステムの間の前方および後方互換性をもたらすシングルアイデンティティソリューションを提供する。例示的な実施形態は、異なるアイデンティティシステムを用いて遂行されている動作を中断することなく、途切れのない仕方でこのようなソリューションを提供する。統合は、エンドユーザまたは顧客が、行われている交換に気付かないよう、舞台裏で遂行され得る。
【0182】
例示的な実施形態は、異なるアイデンティティ管理システムなどの、異なるシステムのコンポーネントにアクセスする際に、ユーザによって直面される問題に対処する。ユーザは２つの異なるアイデンティティ管理システムの間で行き来することができる。それらは各システムに別個にログインしなくてもよいため、ユーザ体験は向上し、途切れがない。
【0183】
例示的な実施形態は、異なるアイデンティティシステムのための両方のトークンを依然として維持しつつ、トークンを交換することを可能にする。トークンは、両方のシステムと通信することが可能になるために交換される。したがって、トークンは前方および後方互換性をもつことになる。エンティティは第１のアイデンティティシステムのそのトークンを第２のアイデンティティシステムのトークンと交換することができる。しかし、エンティティが第１のアイデンティティシステムに戻ってアクセスすることを必要とする場合には、エンティティは第１のアイデンティティシステムのためのトークンを維持する。したがって、エンティティは、異なるアクセストークンを必要とし、異なる規格に適合するアイデンティティシステムの間で継続的に対話することができる。
【0184】
コンピュータシステム
上述されたように、インフラストラクチャ・アズ・ア・サービス（ＩａａＳ）は１つの特定の種類のクラウドコンピューティングである。ＩａａＳは、公衆ネットワーク（例えば、インターネット）を通じて、仮想化されたコンピューティングリソースを提供するように構成され得る。ＩａａＳモデルでは、クラウドコンピューティングプロバイダは、インフラストラクチャコンポーネント（例えば、サーバ、記憶デバイス、ネットワークノード（例えば、ハードウェア）、デプロイメントソフトウェア、プラットフォーム仮想化（例えば、ハイパーバイザ層）、または同様のもの）をホストすることができる。場合によっては、ＩａａＳプロバイダはまた、それらのインフラストラクチャコンポーネントに付随する種々のサービス（例えば、課金、監視、ロギング、ロードバランシング、およびクラスタ化等）も供給し得る。それゆえ、これらのサービスはポリシー駆動型であり得るため、ＩａａＳのユーザは、アプリケーションの可用性および性能を維持するべくロードバランシングを駆動するためのポリシーを実施することが可能であり得る。
上述されたように、インフラストラクチャ・アズ・ア・サービス（ＩａａＳ）は１つの特定の種類のクラウドコンピューティングである。ＩａａＳは、公衆ネットワーク（例えば、インターネット）を通じて、仮想化されたコンピューティングリソースを提供するように構成され得る。ＩａａＳモデルでは、クラウドコンピューティングプロバイダは、インフラストラクチャコンポーネント（例えば、サーバ、記憶デバイス、ネットワークノード（例えば、ハードウェア）、デプロイメントソフトウェア、プラットフォーム仮想化（例えば、ハイパーバイザ層）、または同様のもの）をホストすることができる。場合によっては、ＩａａＳプロバイダはまた、それらのインフラストラクチャコンポーネントに付随する種々のサービス（例えば、課金、監視、ロギング、ロードバランシング、およびクラスタ化等）も供給し得る。それゆえ、これらのサービスはポリシー駆動型であり得るため、ＩａａＳのユーザは、アプリケーションの可用性および性能を維持するべくロードバランシングを駆動するためのポリシーを実施することが可能であり得る。
【0185】
場合によっては、ＩａａＳの顧客は、インターネットなどの、ワイドエリアネットワーク（ＷＡＮ：wide area network）を通じてリソースおよびサービスにアクセスし得、クラウドプロバイダのサービスを用いてアプリケーションスタックの残りの要素をインストールすることができる。例えば、ユーザはＩａａＳプラットフォームにログインし、仮想機械（ＶＭ：virtual machine）を作成し、オペレーティングシステム（ＯＳ：operating system）を各ＶＭ上にインストールし、データベースなどのミドルウェアをデプロイし、作業負荷およびバックアップのためのストレージバケットを作成し、さらに、企業ソフトウェアをＶＭ内にインストールすることができる。次に、顧客は、プロバイダのサービスを用いて、ネットワークトラフィックのバランスを取ること、アプリケーションの問題のトラブルシューティングを行うこと、パフォーマンスを監視すること、障害回復を管理すること等を含む、様々な機能を遂行することができる。
【0186】
大抵の場合、クラウドコンピューティングモデルはクラウドプロバイダの関与を必要とすることになる。クラウドプロバイダは、ＩａａＳを供給すること（例えば、提供すること、貸与すること、販売すること）を専門にするサードパーティサービスであり得るが、そうである必要はない。エンティティはまた、プライベートクラウドをデプロイし、インフラストラクチャサービスの独自のプロバイダになることも選択し得るであろう。
【0187】
例によっては、ＩａａＳのデプロイメントは、新たなアプリケーション、またはアプリケーションの新たなバージョンを、準備されたアプリケーションサーバまたは同様のものに入れるプロセスである。それはまた、サーバを準備する（例えば、ライブラリ、デーモン等をインストールする）プロセスを含み得る。これは、多くの場合、クラウドプロバイダによって、ハイパーバイザ層より下で（例えば、サーバ、ストレージ、ネットワークハードウェア、および仮想化）管理される。それゆえ、顧客は、（例えば、（例えば、オンデマンドでスピンアップされ得る）セルフサービス仮想機械などの上の、（ＯＳ）、ミドルウェア、および／またはアプリケーションデプロイメントの取り扱いの責任を負い得る。
【0188】
例によっては、ＩａａＳのプロビジョニングは、コンピュータまたは仮想ホストを使用のために獲得すること、ならびにさらに、必要なライブラリまたはサービスをそれらにインストールすることを指し得る。大抵の場合、デプロイメントはプロビジョニングを含まず、プロビジョニングは、最初に遂行されることを必要とし得る。
【0189】
場合によっては、ＩａａＳのプロビジョニングにとって２つの異なる問題が存在する。第１に、インフラストラクチャの初期セットを、いずれかが実行する前にプロビジョニングするという、初期の課題が存在する。第２に、全てのものがプロビジョニングされた後に、既存のインフラストラクチャを発展させる（例えば、新たなサービスを追加する、サービスを変更する、サービスを除去する等）という課題が存在する。場合によっては、これらの２つの課題は、インフラストラクチャの構成が宣言的に規定されることを可能にすることによって対処され得る。換言すれば、インフラストラクチャ（例えば、どのようなコンポーネントが必要とされるのか、およびそれらはどのように相互作用するのか）は、１つまたは複数の構成ファイルによって規定され得る。それゆえ、インフラストラクチャの全体的トポロジ（例えば、どのリソースがどれに依存するのか、およびそれらは各々、どのように協働するのか）は宣言的に記述され得る。場合によっては、トポロジが規定されると、構成ファイル内で記述される異なるコンポーネントを作成および／または管理するワークフローが生成され得る。
【0190】
例によっては、インフラストラクチャは、多くの相互接続された要素を有し得る。例えば、コアネットワークとしても知られる、１つまたは複数の仮想プライベートクラウド（ＶＰＣ：virtual private cloud）（例えば、構成可能な、および／または共有されたコンピューティングリソースの、オンデマンドになる可能性のあるプール）が存在し得る。例によっては、ネットワークのインバウンドおよび／またはアウトバウンドトラフィックがどのようにセットアップされることになるのかを規定するためにプロビジョニングされる１つまたは複数のインバウンド／アウトバウンドトラフィックグループルール、および１つまたは複数の仮想機械（ＶＭ）も存在し得る。ロードバランサ、データベース、または同様のものなどの、他のインフラストラクチャ要素もプロビジョニングされ得る。所望され、および／または追加されるインフラストラクチャ要素が増えるにつれて、インフラストラクチャは徐々に発展し得る。
【0191】
場合によっては、様々な仮想コンピューティング環境にわたるインフラストラクチャコードのデプロイメントを可能にするために、継続的デプロイメント技術が採用され得る。加えて、上述の技術はこれらの環境内のインフラストラクチャ管理を可能にすることができる。例によっては、サービスチームが、（例えば、時として世界中に及ぶ、様々な異なる地理的場所にわたる）１つまたは複数の、しかし、多くの場合、多数の、異なる生産環境にデプロイされることを所望されるコードを書くことができる。しかし、例によっては、コードがデプロイされることになるインフラストラクチャがまずセットアップされなければならない。場合によっては、プロビジョニングは手動で行われ得、プロビジョニングツールが、リソースをプロビジョニングするために利用され得、および／またはインフラストラクチャがプロビジョニングされると、デプロイメントツールが、コードをデプロイするために利用され得る。
【0192】
図１５は、少なくとも１つの実施形態に係る、クラウド・インフラストラクチャ・アズ・ア・サービス・システムを実施するための１つのパターンを示すブロック図である。
【0193】
図１５は、少なくとも１つの実施形態に係る、ＩａａＳアーキテクチャの例示的なパターンを示すブロック図１５００である。サービスオペレータ１５０２は、仮想クラウドネットワーク（ＶＣＮ）１５０６およびセキュアホストサブネット１５０８を含むことができるセキュアホストテナンシー１５０４に通信可能に結合され得る。例によっては、サービスオペレータ１５０２は、Microsoft Windows Mobile（登録商標）などのソフトウェア、ならびに／あるいはiOS、Windows Phone、Android、BlackBerry 8、Palm OS、および同様のものなどの種々のモバイルオペレーティングシステムを実行し、インターネット、電子メール、ショートメッセージサービス（ＳＭＳ：short message service）、Blackberry（登録商標）、または他の通信プロトコルが使用可能である、ポータブルハンドヘルドデバイス（例えば、iPhone（登録商標）、セルラ電話、iPad（登録商標）、コンピューティングタブレット、パーソナルデジタルアシスタント（ＰＤＡ：personal digital assistant））、あるいはウェアラブルデバイス（例えば、Google Glass（登録商標）ヘッドマウントディスプレイ）であり得る、１つまたは複数のクライアントコンピューティングデバイスを用い得る。代替的に、クライアントコンピューティングデバイスは、例として、Microsoft Windows（登録商標）、Apple Macintosh（登録商標）、および／またはLinux（登録商標）オペレーティングシステムの様々なバージョンを実行するパーソナルコンピュータおよび／またはラップトップコンピュータを含む汎用パーソナルコンピュータであることができる。クライアントコンピューティングデバイスは、限定するものではないが、例えば、Google Chrome OSなどの、種々のGNU/Linuxオペレーティングシステムを含む、種々の市販のUNIX（登録商標）またはUNIX系オペレーティングシステムのうちの任意のものを実行するワークステーションコンピュータであることができる。代替的に、または加えて、クライアントコンピューティングデバイスは、ＶＣＮ１５０６および／またはインターネットにアクセスすることができるネットワークを通じて通信する能力を有する、シンクライアントコンピュータ、インターネット接続可能ゲーミングシステム（例えば、Kinect（登録商標）ジェスチャ入力デバイスを有する、もしくは有しない、Microsoft Xboxゲーミングコンソール）、および／またはパーソナルメッセージングデバイスなどの、任意の他の電子デバイスであり得る。
【0194】
ＶＣＮ１５０６は、ＳＳＨ ＶＣＮ１５１２内に包含されるＬＰＧ１５１０を介してセキュアシェル（ＳＳＨ：secure shell）ＶＣＮ１５１２に通信可能に結合され得るローカルピアリングゲートウェイ（ＬＰＧ：local peering gateway）１５１０を含むことができる。ＳＳＨ ＶＣＮ１５１２はＳＳＨサブネット１５１４を含むことができ、ＳＳＨ ＶＣＮ１５１２は、制御プレーンＶＣＮ１５１６内に包含されるＬＰＧ１５１０を介して制御プレーンＶＣＮ１５１６に通信可能に結合され得る。また、ＳＳＨ ＶＣＮ１５１２はＬＰＧ１５１０を介してデータプレーンＶＣＮ１５１８に通信可能に結合され得る。制御プレーンＶＣＮ１５１６およびデータプレーンＶＣＮ１５１８は、ＩａａＳプロバイダによって所有され、および／または操作され得るサービステナンシー１５１９内に包含され得る。
【0195】
制御プレーンＶＣＮ１５１６は、境界ネットワーク（例えば、企業イントラネットと外部ネットワークとの間の企業ネットワークの部分）の役割を果たす制御プレーン非武装地帯（ＤＭＺ：demilitarized zone）層１５２０を含むことができる。ＤＭＺベースのサーバは制限された責任を有し、侵害をせき止めておくのを助け得る。加えて、ＤＭＺ層１５２０は、１つまたは複数のロードバランサ（ＬＢ：load balancer）サブネット１５２２、アプリサブネット１５２６を含むことができる制御プレーンアプリ層１５２４、データベース（ＤＢ：database）サブネット１５３０（例えば、フロントエンドＤＢサブネットおよび／またはバックエンドＤＢサブネット）を含むことができる制御プレーンデータ層１５２８を含むことができる。制御プレーンＤＭＺ層１５２０内に包含されるＬＢサブネット１５２２は、制御プレーンアプリ層１５２４内に包含されるアプリサブネット１５２６、および制御プレーンＶＣＮ１５１６内に包含され得るインターネットゲートウェイ１５３４に通信可能に結合され得、アプリサブネット１５２６は、制御プレーンデータ層１５２８内に包含されるＤＢサブネット１５３０、ならびにサービスゲートウェイ１５３６、およびネットワークアドレス変換（ＮＡＴ：network address translation）ゲートウェイ１５３８に通信可能に結合され得る。制御プレーンＶＣＮ１５１６はサービスゲートウェイ１５３６およびＮＡＴゲートウェイ１５３８を含むことができる。
【0196】
制御プレーンＶＣＮ１５１６は、アプリサブネット１５２６を含むことができるデータプレーンミラーアプリ層１５４０を含むことができる。データプレーンミラーアプリ層１５４０内に包含されるアプリサブネット１５２６は、計算インスタンス１５４４を実行することができる仮想ネットワークインターフェースコントローラ（ＶＮＩＣ：virtual network interface controller）１５４２を含むことができる。計算インスタンス１５４４はデータプレーンミラーアプリ層１５４０のアプリサブネット１５２６を、データプレーンアプリ層１５４６内に包含され得るアプリサブネット１５２６に通信可能に結合することができる。
【0197】
データプレーンＶＣＮ１５１８は、データプレーンアプリ層１５４６、データプレーンＤＭＺ層１５４８、およびデータプレーンデータ層１５５０を含むことができる。データプレーンＤＭＺ層１５４８は、データプレーンアプリ層１５４６のアプリサブネット１５２６およびデータプレーンＶＣＮ１５１８のインターネットゲートウェイ１５３４に通信可能に結合され得るＬＢサブネット１５２２を含むことができる。アプリサブネット１５２６はデータプレーンＶＣＮ１５１８のサービスゲートウェイ１５３６およびデータプレーンＶＣＮ１５１８のＮＡＴゲートウェイ１５３８に通信可能に結合され得る。データプレーンデータ層１５５０もまた、データプレーンアプリ層１５４６のアプリサブネット１５２６に通信可能に結合され得るＤＢサブネット１５３０を含むことができる。
【0198】
制御プレーンＶＣＮ１５１６の、およびデータプレーンＶＣＮ１５１８のインターネットゲートウェイ１５３４は、公衆インターネット１５５４に通信可能に結合され得るメタデータ管理サービス１５５２に通信可能に結合され得る。公衆インターネット１５５４は、制御プレーンＶＣＮ１５１６の、およびデータプレーンＶＣＮ１５１８のＮＡＴゲートウェイ１５３８に通信可能に結合され得る。制御プレーンＶＣＮ１５１６の、およびデータプレーンＶＣＮ１５１８のサービスゲートウェイ１５３６はクラウドサービス１５５６に通信可能に結合することができる。
【0199】
例によっては、制御プレーンＶＣＮ１５１６の、またはデータプレーンＶＣＮ１５１８のサービスゲートウェイ１５３６は公衆インターネット１５５４を経由することなくクラウドサービス１５５６へのアプリケーションプログラミングインターフェース（ＡＰＩ：application programming interface）コールを行うことができる。サービスゲートウェイ１５３６からクラウドサービス１５５６へのＡＰＩコールは片方向であることができ、サービスゲートウェイ１５３６はクラウドサービス１５５６へのＡＰＩコールを行うことができ、クラウドサービス１５５６は、要求されたデータをサービスゲートウェイ１５３６へ送信することができる。しかし、クラウドサービス１５５６はサービスゲートウェイ１５３６へのＡＰＩコールを開始し得ない。
【0200】
例によっては、セキュアホストテナンシー１５０４は、さもなければ隔離され得る、サービステナンシー１５１９に直接接続され得る。セキュアホストサブネット１５０８は、さもなければ隔離されたシステムを通じた双方向通信を可能にし得るＬＰＧ１５１０を介してＳＳＨサブネット１５１４と通信することができる。セキュアホストサブネット１５０８をＳＳＨサブネット１５１４に接続することは、セキュアホストサブネット１５０８にサービステナンシー１５１９内の他のエンティティへのアクセスを与え得る。
【0201】
制御プレーンＶＣＮ１５１６は、サービステナンシー１５１９のユーザが所望のリソースをセットアップすること、または他の仕方でプロビジョニングすることを可能にし得る。制御プレーンＶＣＮ１５１６内でプロビジョニングされた所望のリソースはデータプレーンＶＣＮ１５１８内でデプロイされるか、または他の仕方で使用され得る。例によっては、制御プレーンＶＣＮ１５１６はデータプレーンＶＣＮ１５１８から隔離され得、制御プレーンＶＣＮ１５１６のデータプレーンミラーアプリ層１５４０は、データプレーンミラーアプリ層１５４０およびデータプレーンアプリ層１５４６内に包含され得るＶＮＩＣ１５４２を介してデータプレーンＶＣＮ１５１８のデータプレーンアプリ層１５４６と通信することができる。
【0202】
例によっては、システムのユーザ、または顧客は、要求をメタデータ管理サービス１５５２へ通信することができる公衆インターネット１５５４を通じて、要求、例えば、作成（create）、読み出し（read）、更新（update）、または削除（delete）（ＣＲＵＤ）操作を行うことができる。メタデータ管理サービス１５５２はインターネットゲートウェイ１５３４を通じて要求を制御プレーンＶＣＮ１５１６へ通信することができる。要求は、制御プレーンＤＭＺ層１５２０内に包含されるＬＢサブネット１５２２によって受信され得る。ＬＢサブネット１５２２は、要求は有効であると決定し得、この決定に応じて、ＬＢサブネット１５２２は要求を、制御プレーンアプリ層１５２４内に包含されるアプリサブネット１５２６へ伝送することができる。要求の有効性が検証され、公衆インターネット１５５４へのコールを必要とする場合には、公衆インターネット１５５４へのコールは、公衆インターネット１５５４へのコールを行うことができるＮＡＴゲートウェイ１５３８へ伝送され得る。要求によって記憶されることを所望され得るメモリはＤＢサブネット１５３０内に記憶され得る。
【0203】
例によっては、データプレーンミラーアプリ層１５４０は制御プレーンＶＣＮ１５１６とデータプレーンＶＣＮ１５１８との間の直接通信を促進することができる。例えば、構成の改変、更新、または他の好適な変更が、データプレーンＶＣＮ１５１８内に包含されるリソースに適用されることを所望され得る。ＶＮＩＣ１５４２を介して、制御プレーンＶＣＮ１５１６は、データプレーンＶＣＮ１５１８内に包含されるリソースと直接通信することができ、これにより、それらに対する構成の改変、更新、または他の好適な変更を実行することができる。
【0204】
実施形態によっては、制御プレーンＶＣＮ１５１６およびデータプレーンＶＣＮ１５１８はサービステナンシー１５１９内に包含され得る。この場合には、システムのユーザ、または顧客は制御プレーンＶＣＮ１５１６またはデータプレーンＶＣＮ１５１８のどちらも所有または操作し得ない。その代わりに、ＩａａＳプロバイダが、どちらもサービステナンシー１５１９内に包含され得る、制御プレーンＶＣＮ１５１６およびデータプレーンＶＣＮ１５１８を所有または操作し得る。本実施形態は、ユーザまたは顧客が、他のユーザの、または他の顧客のリソースと対話することを防止し得るネットワークの隔離を可能にすることができる。また、本実施形態は、システムのユーザまたは顧客が、記憶のために、所望の脅威防御レベルを有しないことがある、公衆インターネット１５５４に頼ることを必要とすることなく、データベースをプライベートに記憶することを可能にし得る。
【0205】
他の実施形態では、制御プレーンＶＣＮ１５１６内に包含されるＬＢサブネット１５２２は、サービスゲートウェイ１５３６からの信号を受信するように構成され得る。本実施形態では、制御プレーンＶＣＮ１５１６およびデータプレーンＶＣＮ１５１８は、公衆インターネット１５５４をコールすることなくＩａａＳプロバイダの顧客によってコールされるように構成され得る。顧客が使用するデータベースがＩａａＳプロバイダによって制御され得、公衆インターネット１５５４から隔離され得る、サービステナンシー１５１９上に記憶され得るので、ＩａａＳプロバイダの顧客は本実施形態を所望し得る。
【0206】
図１６は、少なくとも１つの実施形態に係る、クラウド・インフラストラクチャ・アズ・ア・サービス・システムを実施するための別のパターンを示すブロック図である。
【0207】
図１６は、少なくとも１つの実施形態に係る、ＩａａＳアーキテクチャの別の例示的なパターンを示すブロック図１６００である。サービスオペレータ１６０２（例えば、図１５の、サービスオペレータ１５０２）は、仮想クラウドネットワーク（ＶＣＮ）１６０６（例えば、図１５のＶＣＮ１５０６）およびセキュアホストサブネット１６０８（例えば、図１５のセキュアホストサブネット１５０８）を含むことができるセキュアホストテナンシー１６０４（例えば、図１５のセキュアホストテナンシー１５０４）に通信可能に結合され得る。ＶＣＮ１６０６は、ＳＳＨ ＶＣＮ１６１２内に包含されるＬＰＧ１５１０を介してセキュアシェル（ＳＳＨ）ＶＣＮ１６１２（例えば、図１５のＳＳＨ ＶＣＮ１５１２）に通信可能に結合され得るローカルピアリングゲートウェイ（ＬＰＧ）１６１０（例えば、図１５のＬＰＧ１５１０）を含むことができる。ＳＳＨ ＶＣＮ１６１２はＳＳＨサブネット１６１４（例えば、図１５のＳＳＨサブネット１５１４）を含むことができ、ＳＳＨ ＶＣＮ１６１２は、制御プレーンＶＣＮ１６１６内に包含されるＬＰＧ１６１０を介して制御プレーンＶＣＮ１６１６（例えば、図１５の制御プレーンＶＣＮ１５１６）に通信可能に結合され得る。制御プレーンＶＣＮ１６１６はサービステナンシー１６１９（例えば、図１５のサービステナンシー１５１９）内に包含され得、データプレーンＶＣＮ１６１８（例えば、図１５のデータプレーンＶＣＮ１５１８）は、システムのユーザ、または顧客によって所有または操作され得る顧客テナンシー１６２１内に包含され得る。
【0208】
制御プレーンＶＣＮ１６１６は、ＬＢサブネット１６２２（例えば、図１５のＬＢサブネット１５２２）を含むことができる制御プレーンＤＭＺ層１６２０（例えば、図１５の制御プレーンＤＭＺ層１５２０）、アプリサブネット１６２６（例えば、図１５のアプリサブネット１５２６）を含むことができる制御プレーンアプリ層１６２４（例えば、図１５の制御プレーンアプリ層１５２４）、データベース（ＤＢ）サブネット１６３０（例えば、図１５のＤＢサブネット１５３０と同様のもの）を含むことができる制御プレーンデータ層１６２８（例えば、図１５の制御プレーンデータ層１５２８）を含むことができる。制御プレーンＤＭＺ層１６２０内に包含されるＬＢサブネット１６２２は、制御プレーンアプリ層１６２４内に包含されるアプリサブネット１６２６、および制御プレーンＶＣＮ１６１６内に包含され得るインターネットゲートウェイ１６３４（例えば、図１５のインターネットゲートウェイ１５３４）に通信可能に結合され得、アプリサブネット１６２６は、制御プレーンデータ層１６２８内に包含されるＤＢサブネット１６３０、ならびにサービスゲートウェイ１６３６（例えば、図１５のサービスゲートウェイ）、およびネットワークアドレス変換（ＮＡＴ）ゲートウェイ１６３８（例えば、図１５のＮＡＴゲートウェイ１５３８）に通信可能に結合され得る。制御プレーンＶＣＮ１６１６はサービスゲートウェイ１６３６およびＮＡＴゲートウェイ１６３８を含むことができる。
【0209】
制御プレーンＶＣＮ１６１６は、アプリサブネット１６２６を含むことができるデータプレーンミラーアプリ層１６４０（例えば、図１５のデータプレーンミラーアプリ層１５４０）を含むことができる。データプレーンミラーアプリ層１６４０内に包含されるアプリサブネット１６２６は、計算インスタンス１６４４（例えば、図１５の計算インスタンス１５４４と同様のもの）を実行することができる仮想ネットワークインターフェースコントローラ（ＶＮＩＣ）１６４２（例えば、１５４２のＶＮＩＣ）を含むことができる。計算インスタンス１６４４は、データプレーンミラーアプリ層１６４０内に包含されるＶＮＩＣ１６４２およびデータプレーンアプリ層１６４６内に包含されるＶＮＩＣ１６４２を介して、データプレーンミラーアプリ層１６４０のアプリサブネット１６２６と、データプレーンアプリ層１６４６（例えば、図１５のデータプレーンアプリ層１５４６）内に包含され得るアプリサブネット１６２６との間の通信を促進することができる。
【0210】
制御プレーンＶＣＮ１６１６内に包含されるインターネットゲートウェイ１６３４は、公衆インターネット１６５４（例えば、図１５の公衆インターネット１５５４）に通信可能に結合され得るメタデータ管理サービス１６５２（例えば、図１５のメタデータ管理サービス１５５２）に通信可能に結合され得る。公衆インターネット１６５４は、制御プレーンＶＣＮ１６１６内に包含されるＮＡＴゲートウェイ１６３８に通信可能に結合され得る。制御プレーンＶＣＮ１６１６内に包含されるサービスゲートウェイ１６３６は、クラウドサービス１６５６（例えば、図１５のクラウドサービス１５５６）に通信可能に結合することができる。
【0211】
例によっては、データプレーンＶＣＮ１６１８は顧客テナンシー１６２１内に包含され得る。この場合には、ＩａａＳプロバイダは制御プレーンＶＣＮ１６１６を顧客ごとに提供し得、ＩａａＳプロバイダは、顧客ごとに、サービステナンシー１６１９内に包含される固有の計算インスタンス１６４４をセットアップし得る。各計算インスタンス１６４４は、サービステナンシー１６１９内に包含される、制御プレーンＶＣＮ１６１６と、顧客テナンシー１６２１内に包含されるデータプレーンＶＣＮ１６１８との間の通信を可能にし得る。計算インスタンス１６４４は、サービステナンシー１６１９内に包含される制御プレーンＶＣＮ１６１６内でプロビジョニングされた、リソースが、顧客テナンシー１６２１内に包含されるデータプレーンＶＣＮ５１８内でデプロイされるか、または他の仕方で使用されることを可能にし得る。
【0212】
他の例では、ＩａａＳプロバイダの顧客は、顧客テナンシー１６２１内を本拠とするデータベースを有し得る。本例では、制御プレーンＶＣＮ１６１６は、アプリサブネット１６２６を含むことができるデータプレーンミラーアプリ層１６４０を含むことができる。データプレーンミラーアプリ層１６４０はデータプレーンＶＣＮ１６１８内に駐在することができるが、データプレーンミラーアプリ層１６４０はデータプレーンＶＣＮ１６１８内を本拠とし得ない。すなわち、データプレーンミラーアプリ層１６４０は顧客テナンシー１６２１へのアクセスを有し得るが、データプレーンミラーアプリ層１６４０はデータプレーンＶＣＮ１６１８内に存在するか、またはＩａａＳプロバイダの顧客によって所有もしくは操作され得ない。データプレーンミラーアプリ層１６４０は、データプレーンＶＣＮ１６１８へのコールを行うように構成され得るが、制御プレーンＶＣＮ１６１６内に包含されるいかなるエンティティへのコールも行うように構成され得ない。顧客は、制御プレーンＶＣＮ１６１６内でプロビジョニングされたデータプレーンＶＣＮ１６１８内のリソースをデプロイするか、または他の仕方で使用することを所望し得、データプレーンミラーアプリ層１６４０は、顧客の、リソースの所望のデプロイメント、または他の使用を促進することができる。
【0213】
実施形態によっては、ＩａａＳプロバイダの顧客はフィルタをデータプレーンＶＣＮ１６１８に適用することができる。本実施形態では、顧客は、データプレーンＶＣＮ１６１８が何にアクセスすることができるかを決定することができ、顧客はデータプレーンＶＣＮ１６１８から公衆インターネット１６５４へのアクセスを制限し得る。ＩａａＳプロバイダは、フィルタを適用するか、または他の仕方で任意の外部ネットワークまたはデータベースへのデータプレーンＶＣＮ１６１８のアクセスを制御することが不可能であり得る。顧客テナンシー１６２１内に包含される、データプレーンＶＣＮ１６１８に対して顧客によってフィルタおよび制御を適用することは、データプレーンＶＣＮ１６１８を他の顧客から、および公衆インターネット１６５４から隔離することを助けることができる。
【0214】
実施形態によっては、クラウドサービス１６５６は、公衆インターネット１６５４上、制御プレーンＶＣＮ１６１６上、またはデータプレーンＶＣＮ１６１８上に存在し得ないサービスにアクセスするためにサービスゲートウェイ１６３６によってコールされ得る。クラウドサービス１６５６と制御プレーンＶＣＮ１６１６またはデータプレーンＶＣＮ１６１８との間の接続はライブまたは継続的でなくてもよい。クラウドサービス１６５６は、ＩａａＳプロバイダによって所有または操作される異なるネットワーク上に存在し得る。クラウドサービス１６５６は、サービスゲートウェイ１６３６からのコールを受信するように構成され得、公衆インターネット１６５４からのコールを受信しないように構成され得る。一部のクラウドサービス１６５６は他のクラウドサービス１６５６から隔離され得、制御プレーンＶＣＮ１６１６は、制御プレーンＶＣＮ１６１６と同じリージョン内にないことがあるクラウドサービス１６５６から隔離され得る。例えば、制御プレーンＶＣＮ１６１６は「リージョン１」内に配置され得、クラウドサービス「デプロイメント５」はリージョン１内および「リージョン２」内に配置され得る。リージョン１内に配置された制御プレーンＶＣＮ１６１６内に包含されるサービスゲートウェイ１６３６によってデプロイメント５へのコールが行われた場合には、コールはリージョン１内のデプロイメント５へ伝送され得る。本例では、制御プレーンＶＣＮ１６１６、またはリージョン１内のデプロイメント５は、リージョン２内のデプロイメント５と通信可能に結合されるか、または他の仕方でそれと通信し得ない。
【0215】
図１７は、少なくとも１つの実施形態に係る、クラウド・インフラストラクチャ・アズ・ア・サービス・システムを実施するための別のパターンを示すブロック図である。
【0216】
図１７は、少なくとも１つの実施形態に係る、ＩａａＳアーキテクチャの別の例示的なパターンを示すブロック図１７００である。サービスオペレータ１７０２（例えば、図１５の、サービスオペレータ１５０２）は、仮想クラウドネットワーク（ＶＣＮ）１７０６（例えば、図１５のＶＣＮ１５０６）およびセキュアホストサブネット１７０８（例えば、図１５のセキュアホストサブネット１５０８）を含むことができるセキュアホストテナンシー１７０４（例えば、図１５のセキュアホストテナンシー１５０４）に通信可能に結合され得る。ＶＣＮ１７０６は、ＳＳＨ ＶＣＮ１７１２内に包含されるＬＰＧ１７１０を介してＳＳＨ ＶＣＮ１７１２（例えば、図１５のＳＳＨ ＶＣＮ１５１２）に通信可能に結合され得るＬＰＧ１７１０（例えば、図１５のＬＰＧ１５１０）を含むことができる。ＳＳＨ ＶＣＮ１７１２はＳＳＨサブネット１７１４（例えば、図１５のＳＳＨサブネット１５１４）を含むことができ、ＳＳＨ ＶＣＮ１７１２は、制御プレーンＶＣＮ１７１６内に包含されるＬＰＧ１７１０を介して制御プレーンＶＣＮ１７１６（例えば、図１５の制御プレーンＶＣＮ１５１６）に、およびデータプレーンＶＣＮ１７１８内に包含されるＬＰＧ１７１０を介してデータプレーンＶＣＮ１７１８（例えば、図１５のデータプレーン１５１８）に通信可能に結合され得る。制御プレーンＶＣＮ１７１６およびデータプレーンＶＣＮ１７１８はサービステナンシー１７１９（例えば、図１５のサービステナンシー１５１９）内に包含され得る。
【0217】
制御プレーンＶＣＮ１７１６は、ロードバランサ（ＬＢ）サブネット１７２２（例えば、図１５のＬＢサブネット１５２２）を含むことができる制御プレーンＤＭＺ層１７２０（例えば、図１５の制御プレーンＤＭＺ層１５２０）、アプリサブネット１７２６（例えば、図１５のアプリサブネット１５２６と同様のもの）を含むことができる制御プレーンアプリ層１７２４（例えば、図１５の制御プレーンアプリ層１５２４）、ＤＢサブネット１７３０を含むことができる制御プレーンデータ層１７２８（例えば、図１５の制御プレーンデータ層１５２８）を含むことができる。制御プレーンＤＭＺ層１７２０内に包含されるＬＢサブネット１７２２は、制御プレーンアプリ層１７２４内に包含されるアプリサブネット１７２６に、および制御プレーンＶＣＮ１７１６内に包含され得るインターネットゲートウェイ１７３４（例えば、図１５のインターネットゲートウェイ１５３４）に通信可能に結合され得、アプリサブネット１７２６は、制御プレーンデータ層１７２８内に包含されるＤＢサブネット１７３０に、ならびにサービスゲートウェイ１７３６（例えば、図１５のサービスゲートウェイ）、およびネットワークアドレス変換（ＮＡＴ）ゲートウェイ１７３８（例えば、図１５のＮＡＴゲートウェイ１５３８）に通信可能に結合され得る。制御プレーンＶＣＮ１７１６はサービスゲートウェイ１７３６およびＮＡＴゲートウェイ１７３８を含むことができる。
【0218】
データプレーンＶＣＮ１７１８は、データプレーンアプリ層１７４６（例えば、図１５のデータプレーンアプリ層１５４６）、データプレーンＤＭＺ層１７４８（例えば、図１５のデータプレーンＤＭＺ層１５４８）、およびデータプレーンデータ層１７５０（例えば、図１５のデータプレーンデータ層１５５０）を含むことができる。データプレーンＤＭＺ層１７４８は、データプレーンアプリ層１７４６の信頼できるアプリサブネット１７６０および信頼できないアプリサブネット１７６２、ならびにデータプレーンＶＣＮ１７１８内に包含されるインターネットゲートウェイ１７３４に通信可能に結合され得るＬＢサブネット１７２２を含むことができる。信頼できるアプリサブネット１７６０は、データプレーンＶＣＮ１７１８内に包含されるサービスゲートウェイ１７３６、データプレーンＶＣＮ１７１８内に包含されるＮＡＴゲートウェイ１７３８、およびデータプレーンデータ層１７５０内に包含されるＤＢサブネット１７３０に通信可能に結合され得る。信頼できないアプリサブネット１７６２は、データプレーンＶＣＮ１７１８内に包含されるサービスゲートウェイ１７３６、およびデータプレーンデータ層１７５０内に包含されるＤＢサブネット１７３０に通信可能に結合され得る。データプレーンデータ層１７５０は、データプレーンＶＣＮ１７１８内に包含されるサービスゲートウェイ１７３６に通信可能に結合され得るＤＢサブネット１７３０を含むことができる。
【0219】
信頼できないアプリサブネット１７６２は、テナント仮想機械（ＶＭ）１７６６（１）～（Ｎ）に通信可能に結合され得る１つまたは複数のプライマリＶＮＩＣ１７６４（１）～（Ｎ）を含むことができる。各テナントＶＭ１７６６（１）～（Ｎ）は、それぞれの顧客テナンシー１７７０（１）～（Ｎ）内に包含され得るそれぞれのコンテナエグレスＶＣＮ１７６８（１）～（Ｎ）内に包含され得るそれぞれのアプリサブネット１７６７（１）～（Ｎ）に通信可能に結合され得る。それぞれのセカンダリＶＮＩＣ１７７２（１）～（Ｎ）は、データプレーンＶＣＮ１７１８内に包含される信頼できないアプリサブネット１７６２とコンテナエグレスＶＣＮ１７６８（１）～（Ｎ）内に包含されるアプリサブネットとの間の通信を促進することができる。各コンテナエグレスＶＣＮ１７６８（１）～（Ｎ）は、公衆インターネット１７５４（例えば、図１５の公衆インターネット１５５４）に通信可能に結合され得るＮＡＴゲートウェイ１７３８を含むことができる。
【0220】
制御プレーンＶＣＮ１７１６内に包含される、およびデータプレーンＶＣＮ１７１８内に包含されるインターネットゲートウェイ１７３４は、公衆インターネット１７５４に通信可能に結合され得るメタデータ管理サービス１７５２（例えば、図１５のメタデータ管理システム１５５２）に通信可能に結合され得る。公衆インターネット１７５４は、制御プレーンＶＣＮ１７１６内に包含される、およびデータプレーンＶＣＮ１７１８内に包含されるＮＡＴゲートウェイ１７３８に通信可能に結合され得る。制御プレーンＶＣＮ１７１６内に包含される、およびデータプレーンＶＣＮ１７１８内に包含されるサービスゲートウェイ１７３６はクラウドサービス１７５６に通信可能に結合することができる。
【0221】
実施形態によっては、データプレーンＶＣＮ１７１８は顧客テナンシー１７７０と統合され得る。この統合は、コードを実行する際のサポートを所望し得る場合などの一部の場合に、ＩａａＳプロバイダの顧客のために有用になる、または望ましくなり得る。顧客は、破壊性を有し得るコードを実行のために提供し得るか、他の顧客リソースと通信し得るか、または他の仕方で望ましくない影響を引き起こし得る。これに応じて、ＩａａＳプロバイダは、顧客によってＩａａＳプロバイダに与えられたコードを実行するべきかどうかを決定し得る。
【0222】
例によっては、ＩａａＳプロバイダの顧客はＩａａＳプロバイダへの一時的なネットワークアクセスを許可し、機能がデータプレーン層アプリ１７４６にアタッチされることを要求し得る。機能を実行するべきコードはＶＭ１７６６（１）～（Ｎ）内で実行され得、コードは、データプレーンＶＣＮ１７１８上の他のどの場所でも実行するようには構成され得ない。各ＶＭ１７６６（１）～（Ｎ）は１つの顧客テナンシー１７７０に接続され得る。ＶＭ１７６６（１）～（Ｎ）内に包含されるそれぞれのコンテナ１７７１（１）～（Ｎ）は、コードを実行するように構成され得る。この場合には、誤った、または他の様態で望ましくないコードがＩａａＳプロバイダのネットワークに損害を与えること、または異なる顧客のネットワークに損害を与えることを防止するのを助け得る、二重隔離が存在し得る（例えば、コンテナ１７７１（１）～（Ｎ）がコードを実行し、コンテナ１７７１（１）～（Ｎ）は、少なくとも、信頼できないアプリサブネット１７６２内に包含されるＶＭ１７６６（１）～（Ｎ）内に包含され得る）。コンテナ１７７１（１）～（Ｎ）は顧客テナンシー１７７０に通信可能に結合され得、顧客テナンシー１７７０に対してデータを伝送または受信するように構成され得る。コンテナ１７７１（１）～（Ｎ）は、データプレーンＶＣＮ１７１８内のいずれの他のエンティティに対してもデータを伝送または受信するように構成され得ない。コードの実行を完了すると、ＩａａＳプロバイダはコンテナ１７７１（１）～（Ｎ）をキルするか、または他の仕方で処分し得る。
【0223】
実施形態によっては、信頼できるアプリサブネット１７６０は、ＩａａＳプロバイダによって所有または操作され得るコードを実行し得る。本実施形態では、信頼できるアプリサブネット１７６０はＤＢサブネット１７３０に通信可能に結合され、ＤＢサブネット１７３０内のＣＲＵＤ操作を実行するように構成され得る。信頼できないアプリサブネット１７６２はＤＢサブネット１７３０に通信可能に結合され得るが、本実施形態では、信頼できないアプリサブネットは、ＤＢサブネット１７３０内の読み出し操作を実行するように構成され得る。各顧客のＶＭ１７６６（１）～（Ｎ）内に包含され得、顧客からのコードを実行し得るコンテナ１７７１（１）～（Ｎ）はＤＢサブネット１７３０と通信可能に結合され得ない。
【0224】
他の実施形態では、制御プレーンＶＣＮ１７１６およびデータプレーンＶＣＮ１７１８は直接通信可能に結合され得ない。本実施形態では、制御プレーンＶＣＮ１７１６とデータプレーンＶＣＮ１７１８との間の直接通信が存在し得ない。しかし、通信は少なくとも１つの方法を通じて間接的に行われ得る。制御プレーンＶＣＮ１７１６とデータプレーンＶＣＮ１７１８との間の通信を促進することができるＬＰＧ１７１０がＩａａＳプロバイダによって確立され得る。別の例では、制御プレーンＶＣＮ１７１６またはデータプレーンＶＣＮ１７１８はサービスゲートウェイ１７３６を介してクラウドサービス１７５６へのコールを行うことができる。例えば、制御プレーンＶＣＮ１７１６からクラウドサービス１７５６へのコールは、データプレーンＶＣＮ１７１８と通信することができるサービスのための要求を含むことができる。
【0225】
図１８は、少なくとも１つの実施形態に係る、クラウド・インフラストラクチャ・アズ・ア・サービス・システムを実施するための別のパターンを示すブロック図である。
【0226】
図１８は、少なくとも１つの実施形態に係る、ＩａａＳアーキテクチャの別の例示的なパターンを示すブロック図１８００である。サービスオペレータ１８０２（例えば、図１５の、サービスオペレータ１５０２）は、仮想クラウドネットワーク（ＶＣＮ）１８０６（例えば、図１５のＶＣＮ１５０６）およびセキュアホストサブネット１８０８（例えば、図１５のセキュアホストサブネット１５０８）を含むことができるセキュアホストテナンシー１８０４（例えば、図１５のセキュアホストテナンシー１５０４）に通信可能に結合され得る。ＶＣＮ１８０６は、ＳＳＨ ＶＣＮ１８１２内に包含されるＬＰＧ１８１０を介してＳＳＨ ＶＣＮ１８１２（例えば、図１５のＳＳＨ ＶＣＮ１５１２）に通信可能に結合され得るＬＰＧ１８１０（例えば、図１５のＬＰＧ１５１０）を含むことができる。ＳＳＨ ＶＣＮ１８１２はＳＳＨサブネット１８１４（例えば、図１５のＳＳＨサブネット１５１４）を含むことができ、ＳＳＨ ＶＣＮ１８１２は、制御プレーンＶＣＮ１８１６内に包含されるＬＰＧ１８１０を介して制御プレーンＶＣＮ１８１６（例えば、図１５の制御プレーンＶＣＮ１５１６）に、およびデータプレーンＶＣＮ１８１８内に包含されるＬＰＧ１８１０を介してデータプレーンＶＣＮ１８１８（例えば、図１５のデータプレーン１５１８）に通信可能に結合され得る。制御プレーンＶＣＮ１８１６およびデータプレーンＶＣＮ１８１８はサービステナンシー１８１９（例えば、図１５のサービステナンシー１５１９）内に包含され得る。
【0227】
制御プレーンＶＣＮ１８１６は、ＬＢサブネット１８２２（例えば、図１５のＬＢサブネット１５２２）を含むことができる制御プレーンＤＭＺ層１８２０（例えば、図１５の制御プレーンＤＭＺ層１５２０）、アプリサブネット１８２６（例えば、図１５のアプリサブネット１５２６）を含むことができる制御プレーンアプリ層１８２４（例えば、図１５の制御プレーンアプリ層１５２４）、ＤＢサブネット１８３０（例えば、図１７のＤＢサブネット１７３０）を含むことができる制御プレーンデータ層１８２８（例えば、図１５の制御プレーンデータ層１５２８）を含むことができる。制御プレーンＤＭＺ層１８２０内に包含されるＬＢサブネット１８２２は、制御プレーンアプリ層１８２４内に包含されるアプリサブネット１８２６に、および制御プレーンＶＣＮ１８１６内に包含され得るインターネットゲートウェイ１８３４（例えば、図１５のインターネットゲートウェイ１５３４）に通信可能に結合され得、アプリサブネット１８２６は、制御プレーンデータ層１８２８内に包含されるＤＢサブネット１８３０に、ならびにサービスゲートウェイ１８３６（例えば、図１５のサービスゲートウェイ）、およびネットワークアドレス変換（ＮＡＴ）ゲートウェイ１８３８（例えば、図１５のＮＡＴゲートウェイ１５３８）に通信可能に結合され得る。制御プレーンＶＣＮ１８１６はサービスゲートウェイ１８３６およびＮＡＴゲートウェイ１８３８を含むことができる。
【0228】
データプレーンＶＣＮ１８１８は、データプレーンアプリ層１８４６（例えば、図１５のデータプレーンアプリ層１５４６）、データプレーンＤＭＺ層１８４８（例えば、図１５のデータプレーンＤＭＺ層１５４８）、およびデータプレーンデータ層１８５０（例えば、図１５のデータプレーンデータ層１５５０）を含むことができる。データプレーンＤＭＺ層１８４８は、データプレーンアプリ層１８４６の信頼できるアプリサブネット１８６０（例えば、図１７の信頼できるアプリサブネット１７６０）および信頼できないアプリサブネット１８６２（例えば、図１７の信頼できないアプリサブネット１７６２）、ならびにデータプレーンＶＣＮ１８１８内に包含されるインターネットゲートウェイ１８３４に通信可能に結合され得るＬＢサブネット１８２２を含むことができる。信頼できるアプリサブネット１８６０は、データプレーンＶＣＮ１８１８内に包含されるサービスゲートウェイ１８３６、データプレーンＶＣＮ１８１８内に包含されるＮＡＴゲートウェイ１８３８、およびデータプレーンデータ層１８５０内に包含されるＤＢサブネット１８３０に通信可能に結合され得る。信頼できないアプリサブネット１８６２は、データプレーンＶＣＮ１８１８内に包含されるサービスゲートウェイ１８３６、およびデータプレーンデータ層１８５０内に包含されるＤＢサブネット１８３０に通信可能に結合され得る。データプレーンデータ層１８５０は、データプレーンＶＣＮ１８１８内に包含されるサービスゲートウェイ１８３６に通信可能に結合され得るＤＢサブネット１８３０を含むことができる。
【0229】
信頼できないアプリサブネット１８６２は、信頼できないアプリサブネット１８６２内に常駐するテナント仮想機械（ＶＭ）１８６６（１）～（Ｎ）に通信可能に結合され得るプライマリＶＮＩＣ１８６４（１）～（Ｎ）を含むことができる。各テナントＶＭ１８６６（１）～（Ｎ）はそれぞれのコンテナ１８６７（１）～（Ｎ）内でコードを実行し、コンテナエグレスＶＣＮ１８６８内に包含され得るデータプレーンアプリ層１８４６内に包含され得るアプリサブネット１８２６に通信可能に結合され得る。それぞれのセカンダリＶＮＩＣ１８７２（１）～（Ｎ）は、データプレーンＶＣＮ１８１８内に包含される信頼できないアプリサブネット１８６２とコンテナエグレスＶＣＮ１８６８内に包含されるアプリサブネットとの間の通信を促進することができる。コンテナエグレスＶＣＮは、公衆インターネット１８５４（例えば、図１５の公衆インターネット１５５４）に通信可能に結合され得るＮＡＴゲートウェイ１８３８を含むことができる。
【0230】
制御プレーンＶＣＮ１８１６内に包含される、およびデータプレーンＶＣＮ１８１８内に包含されるインターネットゲートウェイ１８３４は、公衆インターネット１８５４に通信可能に結合され得るメタデータ管理サービス１８５２（例えば、図１５のメタデータ管理システム１５５２）に通信可能に結合され得る。公衆インターネット１８５４は、制御プレーンＶＣＮ１８１６内に包含される、およびデータプレーンＶＣＮ１８１８内に包含されるＮＡＴゲートウェイ１８３８に通信可能に結合され得る。制御プレーンＶＣＮ１８１６内に包含される、およびデータプレーンＶＣＮ１８１８内に包含されるサービスゲートウェイ１８３６はクラウドサービス１８５６に通信可能に結合することができる。
【0231】
例によっては、図１８のブロック図１８００のアーキテクチャによって示されるパターンは、図１７のブロック図１７００のアーキテクチャによって示されるパターンに対する例外と考えられ得、ＩａａＳプロバイダが顧客（例えば、切断されたリージョン）と直接通信することができない場合に、ＩａａＳプロバイダの顧客のために望ましくなり得る。顧客ごとのＶＭ１８６６（１）～（Ｎ）内に包含されるそれぞれのコンテナ１８６７（１）～（Ｎ）は顧客によってリアルタイムにアクセスされ得る。コンテナ１８６７（１）～（Ｎ）は、コンテナエグレスＶＣＮ１８６８内に包含され得るデータプレーンアプリ層１８４６のアプリサブネット１８２６内に包含されるそれぞれのセカンダリＶＮＩＣ１８７２（１）～（Ｎ）へのコールを行うように構成され得る。セカンダリＶＮＩＣ１８７２（１）～（Ｎ）はコールをＮＡＴゲートウェイ１８３８へ伝送することができ、ＮＡＴゲートウェイ１８３８はコールを公衆インターネット１８５４へ伝送し得る。本例では、顧客によってリアルタイムにアクセスされ得るコンテナ１８６７（１）～（Ｎ）は、制御プレーンＶＣＮ１８１６から隔離され得、データプレーンＶＣＮ１８１８内に包含される他のエンティティから隔離され得る。コンテナ１８６７（１）～（Ｎ）はまた、他の顧客からのリソースからも隔離され得る。
【0232】
他の例では、顧客はコンテナ１８６７（１）～（Ｎ）を用いてクラウドサービス１８５６をコールすることができる。本例では、顧客はコンテナ１８６７（１）～（Ｎ）内で、クラウドサービス１８５６からのサービスを要求するコードを実行し得る。コンテナ１８６７（１）～（Ｎ）はこの要求をセカンダリＶＮＩＣ１８７２（１）～（Ｎ）へ伝送することができ、セカンダリＶＮＩＣ１８７２（１）～（Ｎ）は要求をＮＡＴゲートウェイへ伝送することができ、ＮＡＴゲートウェイは要求を公衆インターネット１８５４へ伝送することができる。公衆インターネット１８５４はインターネットゲートウェイ１８３４を介して要求を、制御プレーンＶＣＮ１８１６内に包含されるＬＢサブネット１８２２へ伝送することができる。要求は有効であると決定したことに応じて、ＬＢサブネットは要求をアプリサブネット１８２６へ伝送することができ、アプリサブネット１８２６はサービスゲートウェイ１８３６を介して要求をクラウドサービス１８５６へ伝送することができる。
【0233】
図に示されるＩａａＳアーキテクチャ１５００、１６００、１７００、１８００は、示されたもの以外のコンポーネントを有し得ることを理解されたい。さらに、図に示される実施形態は、単に、本開示の一実施形態を組み込み得るクラウドインフラストラクチャシステムの一部の例にすぎない。他の実施形態によっては、ＩａａＳシステムは、図に示されるのよりも多数または少数のコンポーネントを有し得るか、２つ以上のコンポーネントを組み合わせ得るか、あるいはコンポーネントの異なる構成または配置を有し得る。
【0234】
一部の実施形態では、本明細書において説明されるＩａａＳシステムは、セルフサービスの、加入ベースの、弾力的にスケーラブルな、信頼できる、高度に利用可能な、および安全な仕方で顧客へ配布される、アプリケーションのスイート、ミドルウェア、およびデータベースサービス提供を含み得る。このようなＩａａＳシステムの一例は、本譲受人によって提供されるOracle Cloud Infrastructure（ＯＣＩ）である。
【0235】
図１９は、少なくとも１つの実施形態に係る、例示的なコンピュータシステムを示すブロック図である。
【0236】
図１９は、本開示の様々な実施形態が実施され得る、例示的なコンピュータシステム１９００を示す。システム１９００は、上述されたコンピュータシステムのうちの任意のものを実施するために用いられ得る。図に示されるように、コンピュータシステム１９００は、バスサブシステム１９０２を介して多数の周辺サブシステムと通信する処理ユニット１９０４を含む。これらの周辺サブシステムは、処理加速ユニット１９０６、Ｉ／Ｏサブシステム１９０８、ストレージサブシステム１９１８、および通信サブシステム１９２４を含み得る。ストレージサブシステム１９１８は有形のコンピュータ可読記憶媒体１９２２およびシステムメモリ１９１０を含む。
【0237】
バスサブシステム１９０２は、コンピュータシステム１９００の様々なコンポーネントおよびサブシステムに、意図されたとおりに互いに通信させるための機構を提供する。バスサブシステム１９０２は単一のバスとして概略的に示されているが、バスサブシステムの代替的実施形態は複数のバスを利用し得る。バスサブシステム１９０２は、メモリバスもしくはメモリコントローラ、周辺バス、および種々のバスアーキテクチャのうちの任意のものを用いたローカルバスを含むいくつかの種類のバス構造のうちの任意のものであり得る。例えば、このようなアーキテクチャとしては、業界標準アーキテクチャ（ＩＳＡ：Industry Standard Architecture）バス、マイクロチャネルアーキテクチャ（ＭＣＡ：Micro Channel Architecture）バス、拡張ＩＳＡ（ＥＩＳＡ：Enhanced ISA）バス、ビデオエレクトロニクス規格協会（ＶＥＳＡ：Video Electronics Standards Association）ローカルバス、およびＩＥＥＥ Ｐ１３８６．１規格に合わせて製造されるメザニンバスとして実施され得る、周辺装置相互接続（ＰＣＩ：Peripheral Component Interconnect）バスが挙げられ得る。
【0238】
１つまたは複数の集積回路（例えば、従来のマイクロプロセッサまたはマイクロコントローラ）として実施され得る、処理ユニット１９０４がコンピュータシステム１９００の動作を制御する。１つまたは複数のプロセッサが処理ユニット１９０４内に含まれ得る。これらのプロセッサはシングルコアまたはマルチコアプロセッサを含み得る。一部の実施形態では、処理ユニット１９０４は、シングルまたはマルチコアプロセッサが各処理ユニット内に含まれる１つまたは複数の独立した処理ユニット１９３２および／または１９３４として実施され得る。他の実施形態では、処理ユニット１９０４はまた、２つのデュアルコアプロセッサを単一のチップに統合することによって形成されたクアッドコア処理ユニットとして実施され得る。
【0239】
様々な実施形態では、処理ユニット１９０４はプログラムコードに応じて種々のプログラムを実行することができ、複数の同時に実行するプログラムまたはプロセスを維持することができる。いかなる時でも、実行されるべきプログラムコードのうちの一部または全てはプロセッサ１９０４内および／またはストレージサブシステム１９１８内に常駐していることができる。好適なプログラミングを通じて、プロセッサ１９０４は、上述された様々な機能性を提供することができる。コンピュータシステム１９００は、デジタル信号プロセッサ（ＤＳＰ：digital signal processor）、専用プロセッサ、および／または同様のものを含むことができる、処理加速ユニット１９０６を追加的に含み得る。
【0240】
Ｉ／Ｏサブシステム１９０８はユーザインターフェース入力デバイスおよびユーザインターフェース出力デバイスを含み得る。ユーザインターフェース入力デバイスは、キーボード、マウスまたはトラックボールなどのポインティングデバイス、ディスプレイ内に組み込まれたタッチパッドまたはタッチスクリーン、スクロールホイール、クリックホイール、ダイアル、ボタン、スイッチ、キーパッド、音声コマンド認識システム、マイクロフォンを用いたオーディオ入力デバイス、ならびに他の種類の入力デバイスを含み得る。ユーザインターフェース入力デバイスは、例えば、ユーザが、ジェスチャおよび発話コマンドを用いたナチュラルユーザインターフェースを通じて、Microsoft Xbox（登録商標）360ゲームコントローラなどの、入力デバイスを制御し、それと対話することを可能にする、Microsoft Kinect（登録商標）動きセンサなどの動作検知および／またはジェスチャ認識デバイスを含み得る。ユーザインターフェース入力デバイスはまた、ユーザから眼の活動（例えば、写真を撮影している、および／またはメニューの選択を行っている間に「瞬きすること」）を検出し、アイジェスチャを入力デバイス（例えば、Google Glass（登録商標））内への入力として変換する、Google Glass（登録商標）瞬き検出器などのアイジェスチャ認識デバイスを含み得る。加えて、ユーザインターフェース入力デバイスは、ユーザが音声コマンドを通じて音声認識システム（例えば、Siri（登録商標）ナビゲータ）と対話することを可能にする音声認識感知デバイスを含み得る。
【0241】
ユーザインターフェース入力デバイスはまた、限定するものではないが、３次元（３Ｄ）マウス、ジョイスティックまたはポインティングスティック、ゲームパッドおよびグラフィックタブレット、ならびにスピーカ、デジタルカメラ、デジタルカムコーダ、ポータブルメディアプレーヤ、ウェブカメラ、イメージスキャナ、指紋スキャナ、バーコードリーダ３Ｄスキャナ、３Ｄプリンタ、レーザー測距器、および視線追跡デバイスなどの聴覚／視覚デバイスを含み得る。加えて、ユーザインターフェース入力デバイスは、例えば、コンピュータ断層撮影、磁気共鳴映像、位置（position）放射断層撮影、医療超音波検査デバイスなどの医療撮像入力デバイスを含み得る。ユーザインターフェース入力デバイスはまた、例えば、ＭＩＤＩキーボード、デジタル楽器、および同様のものなどのオーディオ入力デバイスを含み得る。
【0242】
ユーザインターフェース出力デバイスは、ディスプレイサブシステム、インジケータライト、またはオーディオ出力デバイス等の非視覚的ディスプレイを含み得る。ディスプレイサブシステムは、陰極線管（ＣＲＴ：cathode ray tube）、液晶ディスプレイ（ＬＣＤ：liquid crystal display）またはプラズマディスプレイを用いるものなどの、フラットパネルデバイス、投影デバイス、タッチスクリーン、ならびに同様のものであり得る。概して、用語「出力デバイス」の使用は、情報をコンピュータシステム１９００からユーザまたは他のコンピュータへ出力するための全ての可能な種類のデバイスおよび機構を含むことを意図される。例えば、ユーザインターフェース出力デバイスは、限定するものではないが、モニタ、プリンタ、スピーカ、ヘッドフォン、自動車ナビゲーションシステム、プロッタ、音声出力デバイス、およびモデムなどの、テキスト、グラフィックス、および音声／映像情報を視覚的に伝える種々の表示デバイスを含み得る。
【0243】
コンピュータシステム１９００は、本開示において説明される実施形態の機能性を提供するソフトウェアおよびデータ構造を記憶するための有形の非一時的コンピュータ可読記憶媒体を提供するストレージサブシステム１９１８を備え得る。ソフトウェアは、処理ユニット１９０４の１つまたは複数のコアまたはプロセッサによって実行されると、上述された機能性を提供する、プログラム、コードシステム、命令、スクリプト等を含むことができる。ストレージサブシステム１９１８はまた、本開示に従って用いられるデータを記憶するためのリポジトリを提供し得る。
【0244】
図１９における例に示されるように、ストレージサブシステム１９１８は、システムメモリ１９１０、コンピュータ可読記憶媒体１９２２、およびコンピュータ可読記憶媒体リーダ１９２０を含む様々なコンポーネントを含むことができる。システムメモリ１９１０は、処理ユニット１９０４によってロード可能で、実行可能であるプログラム命令を記憶し得る。システムメモリ１９１０はまた、命令の実行中に用いられるデータ、および／またはプログラム命令の実行中に生成されたデータを記憶し得る。限定するものではないが、クライアントアプリケーション、ウェブブラウザ、中間層アプリケーション、リレーショナルデータベース管理システム（ＲＤＢＭＳ：relational database management system）、仮想機械、コンテナ等を含む、様々な異なる種類のプログラムがシステムメモリ１９１０内にロードされ得る。
【0245】
システムメモリ１９１０はまた、オペレーティングシステム１９１６を記憶し得る。オペレーティングシステム１９１６の例としては、様々なバージョンのMicrosoft Windows（登録商標）、Apple Macintosh（登録商標）、および／またはLinuxオペレーティングシステム、種々の市販のUNIX（登録商標）もしくはUNIX系オペレーティングシステム（限定するものではないが、種々のGNU/Linuxオペレーティングシステム、Google Chrome（登録商標）OS、および同様のものを含む）、ならびに／あるいはiOS、Windows（登録商標）Phone、Android（登録商標）OS、BlackBerry（登録商標）OS、およびPalm（登録商標）OSオペレーティングシステムなどのモバイルオペレーティングシステムを挙げることができる。コンピュータシステム１９００が１つまたは複数の仮想機械を実行する一部の実装形態では、仮想機械はそれらのゲストオペレーティングシステム（ＧＯＳ：guest operating system）と共にシステムメモリ１９１０内にロードされ、処理ユニット１９０４の１つまたは複数のプロセッサまたはコアによって実行され得る。
【0246】
システムメモリ１９１０は、コンピュータシステム１９００の種類に応じて異なる構成のものであることができる。例えば、システムメモリ１９１０は、揮発性メモリ（ランダムアクセスメモリ（ＲＡＭ：random access memory）など）、および／または不揮発性メモリ（リードオンリーメモリ（ＲＯＭ：read-only memory）、フラッシュメモリ等）であり得る。スタティックランダムアクセスメモリ（ＳＲＡＭ：static random access memory）、ダイナミックランダムアクセスメモリ（ＤＲＡＭ：dynamic random access memory）、および他のものを含む、異なる種類のＲＡＭ構成が提供され得る。実装形態によっては、システムメモリ１９１０は、起動の最中などに、コンピュータシステム１９００内の要素間で情報を転送するのを助けるための基本ルーチンを包含する、基本入出力システム（ＢＩＯＳ：basic input/output system）を含み得る。
【0247】
コンピュータ可読記憶媒体１９２２は、コンピュータシステム１９００の処理ユニット１９０４によって実行可能な命令を含むコンピュータシステム１９００による使用のためのコンピュータ可読情報を、一時的に、および／またはより永久的に包含し、記憶するための、リモート、ローカル、固定式、および／または着脱式記憶デバイス・プラス・記憶媒体を表現し得る。
【0248】
コンピュータ可読記憶媒体１９２２はまた、限定するものではないが、情報の記憶および／または伝送のための任意の方法または技術において実施される揮発性および不揮発性、着脱式および非着脱式媒体などの、記憶媒体および通信媒体を含む、当技術分野において知られた、または用いられる、任意の適切な媒体を含むことができる。これは、ＲＡＭ、ＲＯＭ、電気的削除可能プログラマブルＲＯＭ（ＥＥＰＲＯＭ：electronically erasable programmable ROM）、フラッシュメモリ、または他のメモリ技術、ＣＤ－ＲＯＭ、デジタルバーサタイルディスク（ＤＶＤ：digital versatile disk）、または他の光ストレージ、磁気カセット、磁気テープ、磁気ディスクストレージ、または他の磁気記憶デバイス、あるいは他の有形のコンピュータ可読媒体などの、有形のコンピュータ可読記憶媒体を含むことができる。
【0249】
例として、コンピュータ可読記憶媒体１９２２は、非着脱式不揮発性磁気媒体から読み出す、またはそれに書き込むハードディスクドライブ、着脱式不揮発性磁気ディスクから読み出す、またはそれに書き込む磁気ディスクドライブ、ならびにＣＤ ＲＯＭ、ＤＶＤ、およびBlu-Ray（登録商標）ディスク、または他の光媒体などの、着脱式不揮発性光ディスクから読み出す、またはそれに書き込む光ディスクドライブを含み得る。コンピュータ可読記憶媒体１９２２は、限定するものではないが、Zip（登録商標）ドライブ、フラッシュメモリカード、ユニバーサルシリアルバス（ＵＳＢ：universal serial bus）フラッシュドライブ、セキュアデジタル（ＳＤ：secure digital）カード、ＤＶＤディスク、デジタルビデオテープ、および同様のものを含み得る。コンピュータ可読記憶媒体１９２２はまた、フラッシュメモリベースのＳＳＤ、企業フラッシュドライブ、ソリッドステートＲＯＭ、および同様のものなどの、不揮発性メモリに基づくソリッドステートドライブ（ＳＳＤ：solid-state drive）、ソリッドステートＲＡＭ、ダイナミックＲＡＭ、スタティックＲＡＭ、ＤＲＡＭベースのＳＳＤ、磁気抵抗ＲＡＭ（ＭＲＡＭ：magnetoresistive RAM）ＳＳＤなどの、揮発性メモリに基づくＳＳＤ、ならびにＤＲＡＭおよびフラッシュメモリベースのＳＳＤの組み合わせを用いるハイブリッドＳＳＤを含み得る。ディスクドライブおよびそれらの関連コンピュータ可読媒体は、コンピュータ可読命令、データ構造、プログラムシステム、およびコンピュータシステム１９００のための他のデータの不揮発性記憶をもたらし得る。
【0250】
処理ユニット１９０４の１つまたは複数のプロセッサまたはコアによって実行可能な機械可読命令は非一時的コンピュータ可読記憶媒体上に記憶され得る。非一時的コンピュータ可読記憶媒体は、揮発性メモリ記憶デバイスおよび／または不揮発性記憶デバイスを含む物理的に有形のメモリまたは記憶デバイスを含むことができる。非一時的コンピュータ可読記憶媒体の例としては、磁気記憶媒体（例えば、ディスクまたはテープ）、光記憶媒体（例えば、ＤＶＤ、ＣＤ）、様々な種類のＲＡＭ、ＲＯＭ、またはフラッシュメモリ、ハードドライブ、フロッピー（登録商標）ドライブ、着脱式メモリドライブ（例えば、ＵＳＢドライブ）、あるいは他の種類の記憶デバイスが挙げられる。
【0251】
通信サブシステム１９２４は他のコンピュータシステムおよびネットワークへのインターフェースを提供する。通信サブシステム１９２４は、他のシステムからデータを受信し、コンピュータシステム１９００から他のシステムへデータを伝送するためのインターフェースの役割を果たす。例えば、通信サブシステム１９２４は、コンピュータシステム１９００がインターネットを介して１つまたは複数のデバイスに接続することを可能にし得る。実施形態によっては、通信サブシステム１９２４は、（例えば、セルラ電話技術、３Ｇ、４Ｇ、もしくはＥＤＧＥ（enhanced data rates for global evolution（エンハンストデータレート・フォー・グローバルエボリューション））などの、先進データネットワーク技術、ＷｉＦｉ（ＩＥＥＥ８０２．１１ファミリー規格、または他のモバイル通信技術、あるいはこれらの任意の組み合わせ）を用いて）無線音声および／またはデータネットワークにアクセスするための無線周波数（ＲＦ：radio frequency）トランシーバコンポーネント、全地球測位システム（ＧＰＳ：global positioning system）受信器コンポーネント、ならびに／あるいは他のコンポーネントを含むことができる。実施形態によっては、通信サブシステム１９２４は、無線インターフェースに加えて、またはその代わりに、有線ネットワーク接続性（例えば、Ethernet）を提供することができる。
【0252】
実施形態によっては、通信サブシステム１９２４はまた、コンピュータシステム１９００を使用し得る１人または複数のユーザのために、構造化された、および／または構造化されていないデータフィード１９２６、イベントストリーム１９２８、イベント更新１９３０、ならびに同様のものの形態の入力通信を受信し得る。
【0253】
例として、通信サブシステム１９２４は、Twitter（登録商標）フィード、Facebook（登録商標）更新、リッチサイトサマリー（ＲＳＳ：Rich Site Summary）フィードなどのウェブフィード、および／または１つまたは複数のサードパーティ情報源からのリアルタイム更新など、ソーシャルネットワークおよび／または他の通信サービスのユーザからデータフィード１９２６をリアルタイムに受信するように構成され得る。
【0254】
加えて、通信サブシステム１９２４はまた、明確な終端を本質的に有しない、連続的な、または境界のないものであり得る、リアルタイムイベントのイベントストリーム１９２８、および／またはイベント更新１９３０を含み得る、連続データストリームの形態のデータを受信するように構成され得る。連続データを生成するアプリケーションの例としては、例えば、センサデータアプリケーション、金融株式相場表示板、ネットワーク性能測定ツール（例えば、ネットワーク監視およびトラフィック管理アプリケーション）、クリックストリーム分析ツール、自動車トラフィック監視、ならびに同様のものが挙げられ得る。
【0255】
通信サブシステム１９２４はまた、構造化された、および／または構造化されていないデータフィード１９２６、イベントストリーム１９２８、イベント更新１９３０、ならびに同様のものを、コンピュータシステム１９００に結合された１つまたは複数のストリーミングデータソースコンピュータと通信し得る１つまたは複数のデータベースへ出力するように構成され得る。
【0256】
コンピュータシステム１９００は、ハンドヘルドポータブルデバイス（例えば、iPhone（登録商標）セルラ電話、iPad（登録商標）コンピューティングタブレット、ＰＤＡ）、ウェアラブルデバイス（例えば、Google Glass（登録商標）ヘッドマウントディスプレイ）、ＰＣ、ワークステーション、メインフレーム、キオスク、サーバラック、または任意の他のデータ処理システムを含む、様々な種類のうちの１つであることができる。
【0257】
コンピュータおよびネットワークの絶え間なく変化し続ける性質のゆえに、図に示されるコンピュータシステム１９００の説明は単なる具体例として意図されているにすぎない。図に示されるシステムよりも多数または少数のコンポーネントを有する多くの他の構成が可能である。例えば、カスタマイズされたハードウェアも用いられ得、ならびに／あるいは特定の要素は、ハードウェア、ファームウェア、ソフトウェア（アプレットを含む）、または組み合わせの形で実施され得るであろう。さらに、ネットワーク入力／出力デバイスなどの、他のコンピューティングデバイスへの接続が採用され得る。本明細書において提供される開示および教示に基づいて、当業者は、様々な実施形態を実施するための他の仕方および／または方法を理解するであろう。
【0258】
本開示の特定の実施形態が説明されたが、様々な変更、改変、代替的構造、および同等物も本開示の範囲内に包含される。本開示の実施形態は一部の特定のデータ処理環境内の動作に限定されず、複数のデータ処理環境内で自由に動作できる。加えて、本開示の実施形態は特定の一連のトランザクションおよびステップを用いて説明されたが、当業者には、本開示の範囲は、説明された一連のトランザクションおよびステップに限定されないことが明らかであるはずである。上述の実施形態の様々な特徴および態様は、個々に、または合同で用いられ得る。
【0259】
さらに、本開示の実施形態はハードウェアおよびソフトウェアの特定の組み合わせを用いて説明されたが、ハードウェアおよびソフトウェアの他の組み合わせも本開示の範囲内であることが認識されるべきである。本開示の実施形態は、ハードウェアの形でのみ、またはソフトウェアの形でのみ、あるいはこれらの組み合わせを用いて実施され得る。本明細書において説明される様々なプロセスは同じプロセッサまたは異なるプロセッサ上で任意の組み合わせで実施され得る。したがって、コンポーネントまたはシステムが、とある動作を遂行するように構成されているように説明されている場合、このような構成は、例えば、電子回路を、動作を遂行するように設計することによって、プログラム可能な電子回路（マイクロプロセッサなど）を、動作を遂行するようにプログラムすること、またはこれらの任意の組み合わせによって達成され得る。プロセスは、限定するものではないが、プロセス間通信のための従来の技術を含む種々の技術を用いて通信することができ、異なる対のプロセスは異なる技術を用い得、または同じ対のプロセスは異なる時点で異なる技術を用い得る。
【0260】
したがって、明細書および図面は、限定でなく、例示的な意味で捉えられるべきである。しかし、請求項において記載されるとおりのより広い趣旨および範囲から逸脱することなく、追加、削減、削除、ならびに他の変更および改変がそれらに対して行われ得ることは明らかであろう。それゆえ、具体的な開示の実施形態が説明されたが、これらは限定であることを意図されていない。様々な変更および等価物が添付の請求項の範囲に含まれる。
【0261】
本開示の実施形態を説明する文脈における（特に、添付の請求項の文脈における）用語「a」、および「an」、および「the」ならびに同様の指示対象の使用は、本明細書において別途記載がないか、または文脈によって明確に否定されない限り、単数形および複数形の両方を包括すると解釈されるべきである。用語「備える（comprising）」、「有する（having）」、「含む（including）」、および「包含する（containing）」は、特に断りのない限り、オープンエンドな用語（すなわち、「限定するものではないが、～を含む（including, but not limited to）」を意味する）として解釈されるべきである。用語「接続される（connected）」は、たとえ、何らかの介在物が存在する場合でも、～内に部分的もしくは完全に包含される（partly or wholly contained within）、～に取り付けられる（attached to）、または相互に連結される（joined together）として解釈されるべきである。本明細書における値の範囲の記載は、本明細書において別途記載のない限り、単に、範囲に含まれる各々の別個の値に個々に言及する簡略的方法の役割を果たすことを意図されているにすぎず、各々の別個の値は、あたかもそれが本明細書において個々に記載されているかのように明細書に組み込まれる。本明細書において説明される全ての方法は、本明細書において別途記載がないか、または文脈によって別途明確に否定されない限り、任意の好適な順序で遂行され得る。本明細書において与えられるありとあらゆる例、または例示的な文言（例えば、「～など（such as）」）の使用は、単に、本開示の実施形態の理解をより容易にすることを意図されているにすぎず、別途断りのない限り、本開示の範囲に限定を課すものではない。明細書中のいかなる文言も、非クレーム要素を本開示の実施に不可欠のものとして指示していると解釈されてはならない。
【0262】
語句「Ｘ、Ｙ、またはＺのうちの少なくとも１つ」などの、離接的な文言は、別途特に断りのない限り、概して、項目、用語等は、Ｘ、Ｙ、またはＺのいずれか、あるいはこれらの任意の組み合わせ（例えば、Ｘ、Ｙ、および／またはＺ）であり得ることを示すために使用されると文脈内で理解されることを意図されている。それゆえ、このような離接的な文言は、概して、一部の実施形態は、Ｘのうちの少なくとも１つ、Ｙのうちの少なくとも１つ、またはＺのうちの少なくとも１つが各々存在することを必要とすることを暗示することを意図されておらず、暗示するべきでない。
【0263】
本明細書では、本開示を実施するための発明者に知られた最良の形態を含む、本開示の好ましい実施形態が説明されている。それらの好ましい実施形態の変形例は、上述の説明を読むことで当業者に明らかになり得る。発明者は、当業者に、必要に応じてこのような変形例を採用することを期待しており、発明者は、本開示は、本明細書において具体的に説明されたもの以外の仕方で実施されることを意図している。したがって、本開示は、適用法によって許されるとおりの本明細書に添付された請求項に記載される主題の全ての変更例および同等物を含む。さらに、本明細書において別途記載がないか、または文脈によって別途明確に否定されない限り、それらの全ての可能な変形例における上述の要素の任意の組み合わせが本開示によって包含される。
【0264】
本明細書において挙げられた、公報、特許出願、および特許を含む、全ての参照文献は、あたかも、各参照文献が、参照により組み込まれるよう個々に具体的に指示され、その全体が本明細書において記載されているのと同じ程度に、本明細書において参照により組み込まれる。
【0265】
上述の明細書において、本開示の態様はその特定の実施形態を参照して説明されているが、当業者は、本開示はそれらに限定されないことを認識するであろう。上述の開示の様々な特徴および態様は、個々に、または合同で用いられ得る。さらに、実施形態は、本明細書のより広い趣旨および範囲から逸脱することなく、本明細書において説明されるものを超える任意の数の環境および適用において利用され得る。したがって、明細書および図面は、限定でなく、例示として捉えられるべきである。
【図1】
【図2】
【図3】
【図4】
【図5】
【図6】
【図7】
【図8】
【図9】
【図10】
【図11】
【図12】
【図13】
【図14】
【図15】
【図16】
【図17】
【図18】
【図19】
【国際調査報告】