特表 2024-542256 クラウドベースのクロスドメインシステム－仮想データダイオード

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】公表特許公報(A)

(11)【公表番号】

(43)【公表日】2024-11-13

(54)【発明の名称】クラウドベースのクロスドメインシステム－仮想データダイオード

(51)【国際特許分類】

   H04L 45/00 20220101AFI20241106BHJP

   H04L 41/40 20220101ALI20241106BHJP

【ＦＩ】

H04L45/00

H04L41/40

【審査請求】未請求

【予備審査請求】未請求

(21)【出願番号】P 2024530473

(86)(22)【出願日】2022-11-16

(85)【翻訳文提出日】2024-07-09

(86)【国際出願番号】 US2022079946

(87)【国際公開番号】W WO2023097155

(87)【国際公開日】2023-06-01

(31)【優先権主張番号】17/534,187

(32)【優先日】2021-11-23

(33)【優先権主張国・地域又は機関】US

(31)【優先権主張番号】17/534,194

(32)【優先日】2021-11-23

(33)【優先権主張国・地域又は機関】US

(31)【優先権主張番号】17/534,196

(32)【優先日】2021-11-23

(33)【優先権主張国・地域又は機関】US

(81)【指定国・地域】

【公序良俗違反の表示】

（特許庁注：以下のものは登録商標）

１．ｉＯＳ

２．ＥＴＨＥＲＮＥＴ

(71)【出願人】

【識別番号】502303739

【氏名又は名称】オラクル・インターナショナル・コーポレイション

(74)【代理人】

【識別番号】110001195

【氏名又は名称】弁理士法人深見特許事務所

(72)【発明者】

【氏名】アドグラ，エデン・グレイル

(72)【発明者】

【氏名】キューネル，トーマス・ベルナー

【テーマコード（参考）】

5K030

【Ｆターム（参考）】

5K030GA15

5K030HA08

5K030HC14

5K030HD06

5K030JA11

5K030LB05

5K030LD19

(57)【要約】

いくつかの態様において、ネットワークインターフェースカード（ＮＩＣ）は、非接続ネットワークと関連付けられているネットワークインターフェースカードの第１のノードにおいて、非接続ネットワークを宛先とし、第１の通信プロトコルを使用して送られたメッセージを受信するようにしてもよい。ネットワークインターフェースカードは、単方向通信用に設定されている第２の通信プロトコルを使用して、ネットワークインターフェースカードの第１のノードから第２のノードにメッセージを送るようにしてもよい。ネットワークインターフェースカードは、メッセージを第２のノードで受信するようにしてもよい。ネットワークインターフェースカードは、第２のノードから、第３の通信プロトコルを使用して、メッセージを非接続ネットワークの送信先ノードに送るようにしてもよい。他の多くの態様が記載される。

【特許請求の範囲】

【請求項1】

コンピュータが実行する方法であって、
仮想ネットワークと関連付けられているネットワークインターフェースカード（ＮＩＣ）の第１の処理ノードにおいて、前記仮想ネットワークを宛先とし、第１の通信プロトコルを使用して送られたメッセージを受信することを含み、前記ネットワークインターフェースカードは、物理ネットワーク上で動作している前記仮想ネットワークを実装するように構成されているネットワーク仮想化デバイスを備えており、
前記方法は、
単方向通信用に設定されている第２の通信プロトコルを使用して、前記ネットワークインターフェースカードの前記第１の処理ノードから第２の処理ノードに前記メッセージを送ることと、
前記メッセージを前記第２の処理ノードで受信することと、
前記第２の処理ノードから、第３の通信プロトコルを使用して、前記メッセージを前記仮想ネットワークの送信先リソースに送ることと、
をさらに含む、コンピュータが実行する方法。

【請求項2】

前記第２の通信プロトコルは、ユーザデータグラムプロトコル（ＵＤＰ）である、請求項１に記載の方法。

【請求項3】

前記ネットワークインターフェースカードは、スマートネットワークインターフェースカード（スマートＮＩＣ）を含む、請求項１または請求項２に記載の方法。

【請求項4】

前記仮想ネットワークは、仮想クラウドネットワークを含む、請求項１～請求項３のいずれか１項に記載の方法。

【請求項5】

前記仮想ネットワークは、パブリックネットワークに接続されないように構成されている、請求項１～請求項４のいずれか１項に記載の方法。

【請求項6】

前記メッセージは、前記第２の処理ノードを出た後、前記送信先リソースに到達する前にフィルタチェーンを通過するように構成されている、請求項１～請求項５のいずれか１項に記載の方法。

【請求項7】

ネットワーク用ケーブルを使用して、前記第１の処理ノードと前記第２の処理ノードとの間の接続が確立される、請求項１～請求項６のいずれか１項に記載の方法。

【請求項8】

前記ネットワーク用ケーブルを使用して確立された前記接続は、双方向通信が可能である、請求項７に記載の方法。

【請求項9】

１つまたは複数の非一時的機械可読媒体において有形で具現化され、１つまたは複数のデータプロセッサに命令を実行させるように構成されている命令を含むコンピュータプログラム製品であって、
前記１つまたは複数のデータプロセッサが実行する命令は、
仮想ネットワークと関連付けられているネットワークインターフェースカード（ＮＩＣ）の第１の処理ノードにおいて、前記仮想ネットワークを宛先とし、第１の通信プロトコルを使用して送られたメッセージを受信することを含み、前記ネットワークインターフェースカードは、物理ネットワーク上で動作している前記仮想ネットワークを実装するように構成されているネットワーク仮想化デバイスを備えており、
単方向通信用に設定されている第２の通信プロトコルを使用して、前記ネットワークインターフェースカードの前記第１の処理ノードから第２の処理ノードに前記メッセージを送ることと、
前記メッセージを前記第２の処理ノードで受信することと、
前記第２の処理ノードから、第３の通信プロトコルを使用して、前記メッセージを前記仮想ネットワークの送信先リソースに送ることと、
をさらに含む、コンピュータプログラム製品。

【請求項10】

前記第２の通信プロトコルは、ユーザデータグラムプロトコル（ＵＤＰ）である、請求項９に記載のコンピュータプログラム製品。

【請求項11】

前記ネットワークインターフェースカードは、スマートネットワークインターフェースカード（スマートＮＩＣ）を含む、請求項９または請求項１０に記載のコンピュータプログラム製品。

【請求項12】

前記仮想ネットワークは、仮想クラウドネットワークを含む、請求項９～請求項１１のいずれか１項に記載のコンピュータプログラム製品。

【請求項13】

前記仮想ネットワークは、パブリックネットワークに接続されないように構成されている、請求項９～請求項１２のいずれか１項に記載のコンピュータプログラム製品。

【請求項14】

前記メッセージは、前記第２の処理ノードを出た後、前記送信先リソースに到達する前にフィルタチェーンを通過するように構成されている、請求項９～請求項１３のいずれか１項に記載のコンピュータプログラム製品。

【請求項15】

ネットワーク用ケーブルを使用して、前記第１の処理ノードと前記第２の処理ノードとの間の接続が確立される、請求項９～請求項１４のいずれか１項に記載のコンピュータプログラム製品。

【請求項16】

仮想ネットワークと関連付けられているネットワークインターフェースカード（ＮＩＣ）であって、
第１の処理ノードと、
第２の処理ノードと、
コンピュータ実行可能命令を格納するメモリと、
前記第１の処理ノード、前記第２の処理ノード、および前記メモリにアクセスするとともに、前記コンピュータ実行可能命令を実行するように構成されている１つまたは複数のプロセッサと、
を備え、
前記１つまたは複数のプロセッサは、少なくとも
前記第１の処理ノードにおいて、前記仮想ネットワークを宛先とし、第１の通信プロトコルを使用して送られたメッセージを受信し、前記ネットワークインターフェースカードは、物理ネットワーク上で動作している前記仮想ネットワークを実装するように構成されているネットワーク仮想化デバイスを備えており、
単方向通信用に設定されている第２の通信プロトコルを使用して、前記第１の処理ノードから前記第２の処理ノードに前記メッセージを送り、
前記メッセージを前記第２の処理ノードで受信し、
前記第２の処理ノードから、第３の通信プロトコルを使用して、前記メッセージを前記仮想ネットワークの送信先リソースに送る、ネットワークインターフェースカード。

【請求項17】

前記第２の通信プロトコルは、ユーザデータグラムプロトコル（ＵＤＰ）である、請求項１６に記載のネットワークインターフェースカード。

【請求項18】

前記ネットワークインターフェースカードは、スマートネットワークインターフェースカード（スマートＮＩＣ）を含む、請求項１６または請求項１７に記載のネットワークインターフェースカード。

【請求項19】

前記仮想ネットワークは、仮想クラウドネットワークを含む、請求項１６～請求項１８のいずれか１項に記載のネットワークインターフェースカード。

【請求項20】

前記メッセージは、前記第２の処理ノードを出た後、前記送信先リソースに到達する前にフィルタチェーンを通過するように構成されている、請求項１６～請求項１９のいずれか１項に記載のネットワークインターフェースカード。

【発明の詳細な説明】

【技術分野】

【0001】

関連出願の相互参照
本願は、２０２１年１１月２３日に出願された米国特許出願第１７／５３４，１８７号「CLOUD BASED CROSS DOMAIN SYSTEM - VIRTUAL DATA DIODE」（代理人整理番号第０８８３２５－１２５９５１３（２９６１００ＵＳ）号）、２０２１年１１月２３日に出願された米国特許出願第１７／５３４，１９４号「CLOUD BASED CROSS DOMAIN SYSTEM - CDSaaS」（代理人整理番号第０８８３２５－１２５９５１８（２９６１１０ＵＳ）号）、および２０２１年１１月２３日に出願された米国特許出願第１７／５３４，１９６号「CLOUD BASED CROSS DOMAIN SYSTEM - CDS WITH DISAGGREGATED PARTS」（代理人整理番号第０８８３２５－１２６０１１７（２９６１２０ＵＳ）号）に対する優先権を主張するものであり、そのすべての開示内容を本明細書において援用する。

【0002】

分野
本開示は、ネットワークセキュリティに関する。特に、本開示は、クロスドメインソリューションに関する。

【背景技術】

【0003】

背景
専用ネットワークに入るデータを制御および検査するハードウェア実装クロスドメインソリューションのための技術が存在する。ただし、このような技術は、保守および運用が困難である。

【発明の概要】

【0004】

簡単な概要
特別なハードウェアの必要なく、専用ネットワークへのセキュアな一方向トラフィックを可能にするソフトウェア実装クラウドベースのクロスドメインシステムのための技術が提供される。

【0005】

一実施形態において、１つまたは複数のコンピュータから成るシステムは、ソフトウェア、ファームウェア、ハードウェア、またはこれらの組み合わせをシステムにインストールすることによって、特定の動作またはアクションを実行するように構成可能であり、１つまたは複数のコンピュータは、動作時、システムにアクションを実行させる。１つまたは複数のコンピュータプログラムは、データ処理装置によって実行されると、装置にアクションを実行させる命令を含むことによって、特定の動作またはアクションを実行するように構成可能である。一般的な一態様は、コンピュータが実行する方法を含む。また、コンピュータが実行する方法は、非接続ネットワークと関連付けられているネットワークインターフェースカード（ＮＩＣ）の第１のノードにおいて、非接続ネットワークを宛先とし、第１の通信プロトコルを使用して送られたメッセージまたはデータを受信することを含む。また、方法は、単方向通信用に設定されている第２の通信プロトコルを使用して、ネットワークインターフェースカードの第１のノードから第２のノードにメッセージまたはデータを送ることを含む。また、方法は、メッセージまたはデータを第２のノードで受信することを含む。また、方法は、第２のノードから、第３の通信プロトコルを使用して、メッセージまたはデータを非接続ネットワークの送信先ノードに送ることを含む。本態様の他の実施形態は、上記方法のアクションを実行するように各々構成されている対応するコンピュータシステム、装置、ならびに１つもしくは複数のコンピュータ記憶装置に記録されているコンピュータプログラムを含む。

【0006】

一般的な一態様において、第２の通信プロトコルは、ユーザデータグラムプロトコル（ＵＤＰ）である。

【0007】

一般的な一態様において、ネットワークインターフェースカードは、スマートネットワークインターフェースカード（スマートＮＩＣ）を含む。スマートＮＩＣは、そのインターフェースのうちの１つに到達したメッセージまたはデータを処理して、別のインターフェースに転送することができる。プロセスとしては、入力メッセージの解析または／およびスマートＮＩＣで設定可能なルールに従う変換を行うソフトウェアおよび／またはハードウェアの形態が可能である。

【0008】

一般的な一態様において、非接続ネットワークは、仮想クラウドネットワークを含む。
一般的な一態様において、非接続ネットワークは、インターネットに接続されていない。

【0009】

一般的な一態様において、メッセージは、第２のノードを出た後、送信先ノードに到達する前にフィルタチェーンを通過する。

【0010】

一般的な一態様において、第１のノードと第２のノードとの間の接続は、Ethernetケーブル等のネットワーク用リンクを使用して確立される。

【0011】

一般的な一態様において、ネットワークリンクを使用して確立された接続は、双方向通信が可能である。

【0012】

一般的な一態様は、１つまたは複数の非一時的機械可読媒体において有形で具現化され、１つまたは複数のデータプロセッサに命令を実行させるように構成されている命令を含むコンピュータプログラム製品であって、１つまたは複数のデータプロセッサが実行する命令は、非接続ネットワークと関連付けられているネットワークインターフェースカード（ＮＩＣ）の第１のノードにおいて、非接続ネットワークを宛先とし、第１の通信プロトコルを使用して送られたメッセージを受信することを含む、コンピュータプログラム製品を含む。また、方法は、単方向通信用に設定されている第２の通信プロトコルを使用して、ネットワークインターフェースカードの第１のノードから第２のノードにメッセージを送ることを含む。また、方法は、メッセージを第２のノードで受信することを含む。また、方法は、第２のノードから、第３の通信プロトコルを使用して、メッセージを非接続ネットワークの送信先ノードに送ることを含む。本態様の他の実施形態は、上記方法のアクションを実行するように各々構成されている対応するコンピュータシステム、装置、ならびに１つもしくは複数のコンピュータ記憶装置に記録されているコンピュータプログラムを含む。

【0013】

一般的な一態様は、非接続ネットワークと関連付けられているネットワークインターフェースカード（ＮＩＣ）であって、第１のノード、第２のノード、コンピュータ実行可能命令を格納するメモリ、ならびに１つもしくは複数のプロセッサを備える、ネットワークインターフェースカードを含む。第１のノード、第２のノード、およびメモリにアクセスするとともに、コンピュータ実行可能命令を実行するように構成されている１つまたは複数のプロセッサは、少なくとも、第１のノードにおいて、非接続ネットワークを宛先とし、第１の通信プロトコルを使用して送られたメッセージを受信する。また、１つまたは複数のプロセッサは、単方向通信用に設定されている第２の通信プロトコルを使用して、第１のノードから第２のノードにメッセージを送るように構成されている。また、１つまたは複数のプロセッサは、メッセージを第２のノードで受信するように構成されている。また、１つまたは複数のプロセッサは、第２のノードから、第３の通信プロトコルを使用して、メッセージを非接続ネットワークの送信先ノードに送るように構成されている。本態様の他の実施形態は、上記方法のアクションを実行するように各々構成されている対応するコンピュータシステム、装置、ならびに１つもしくは複数のコンピュータ記憶装置に記録されているコンピュータプログラムを含む。

【0014】

特別なハードウェアの必要なく、専用ネットワークへのセキュアな一方向トラフィックを可能にするサービス型ソフトウェア（ＳａａＳ）プロビジョニングのクラウドベースのクロスドメインソリューションのための技術が提供される。

【0015】

一実施形態においては、仮想クラウドネットワークのコンピュータデバイスによって、データパイプライン用の複数のフィルタから１つまたは複数のフィルタが選択され得る。複数のフィルタは、マルウェアフィルタ、コンテンツフィルタ、シグネチャフィルタ、コンテンツアナライザのうちの少なくとも１つを含む。フィルタは、機械学習および人工知能アルゴリズムを使用して、静的な設定または動的な更新が可能である。仮想クラウドネットワークのコンピューティングデバイスによって、データパイプライン中の１つまたは複数の選択されたフィルタの順序が決定され得る。仮想クラウドネットワークのコンピューティングデバイスによって、ネットワークインターフェースカード（ＮＩＣ）から、データパイプライン中のメッセージが受信され得る。ネットワークインターフェースカードは、一方向伝達デバイスとして構成可能である。データパイプライン中のメッセージは、決定された順序の１つまたは複数の選択されたフィルタにメッセージを通すことによりフィルタリングされ得る。仮想クラウドネットワークのコンピューティングデバイスによって、ロギングネットワークを介して、データパイプラインで発生しているイベントのログが提供され得る。このようなイベントログには、送信者および受信者、データ型、ファイルの場合の名称もしくは構造化データの場合の値、タイムスタンプ、ならびに通過、拒否、警告等のフィルタリングの決定等、データの参照を含み得る。本態様の他の実施形態は、上記方法のアクションを実行するように各々構成されている対応するコンピュータシステム、装置、ならびに１つもしくは複数のコンピュータ記憶装置に記録されているコンピュータプログラムを含む。

【0016】

一般的な一態様において、決定された順序は、メッセージの送信元に少なくとも部分的に基づいて決定されたものである。

【0017】

一般的な一態様において、１つまたは複数の選択されたフィルタは、メッセージの送信元に少なくとも部分的に基づいて選択されたものである。

【0018】

一般的な一態様において、複数の１つまたは複数のフィルタは、同じメッセージの送信元に対して選択されたものである。

【0019】

一般的な一態様において、ネットワークインターフェースカードは、ソフトウェアベースの一方向伝達デバイスを含む。

【0020】

一般的な一態様において、方法は、決定された順序の１つまたは複数の選択されたフィルタによりメッセージが処理された後、データパイプラインから、１つまたは複数の選択されたフィルタを変更することをさらに含む。

【0021】

一般的な一態様において、コンピューティングデバイスは、クラウドで動作する仮想マシンである。

【0022】

一般的な一態様は、１つまたは複数の非一時的機械可読媒体において有形で具現化され、１つまたは複数のデータプロセッサに命令を実行させるように構成されている命令を含むコンピュータプログラム製品であって、１つまたは複数のデータプロセッサが実行する命令は、データパイプライン用の複数のフィルタから１つまたは複数のフィルタを選択することを含み、複数のフィルタは、マルウェアフィルタ、コンテンツフィルタ、シグネチャフィルタ、コンテンツアナライザのうちの少なくとも１つを含む、コンピュータプログラム製品を含む。

【0023】

フィルタは、機械学習および人工知能によって設定されるように適応可能である。これらのフィルタのモデルは、フィードバックループの一部として動的に更新可能である。フィードバックループは、システムを通じて送られ、その旨マーキングされたテストデータによりトレーニング可能である。テストデータには、良好と見なされるデータおよび不良と見なされるデータを含み得る。アルゴリズムは、テストデータに基づいて調節可能である。いくつかの状況において、データ自体はエンドユーザに伝達されず、フィルタロジックによりデプロイされた機械学習／ＡＩモデルを調整するためのテストデータに過ぎない。テストデータは、新たなマルウェアまたは脅威の発見に際して、引き続き送ることができる。テストデータは、非トラステッドネットワーク側から送ることも可能であるし、トラステッドネットワークから注入することも可能である。テストデータの送信元が信頼できるかの判定が暗号化手段により実現され得る。トラステッド送信機は、テストデータを含むメッセージに秘密鍵で署名することができる。テストデータを処理して機械学習モデルを更新する機械学習システムは、対応する公開鍵を設定可能であり、また、送信機の信頼性を確認可能となり得る。いくつかの実施形態において、ＡＩモデルのトレーニングは、クロスドメインソリューションのフィルタリングシステムの外側で発生し得る。完全にトレーニングされたモデルは、セキュアなチャネルを介して、クロスドメインソリューションのフィルタリングシステムにアップロードされ得る。モデルは、フィルタリングシステムを通過するコンテンツのフィルタリングにおいて使用され得る。

【0024】

また、データパイプライン中の１つまたは複数の選択されたフィルタの順序を決定することを含む。また、一方向伝達デバイスとして構成されているネットワークインターフェースカード（ＮＩＣ）から、データパイプライン中のメッセージを受信することを含む。また、決定された順序の選択されたフィルタにデータパイプライン中のメッセージを通すことによりメッセージをフィルタリングし、ロギングネットワークを介して、データパイプラインで発生しているイベントのログを提供することを含む。本態様の他の実施形態は、上記方法のアクションを実行するように各々構成されている対応するコンピュータシステム、装置、ならびに１つもしくは複数のコンピュータ記憶装置に記録されているコンピュータプログラムを含む。

【0025】

一般的な一態様は、ネットワークインターフェースカード（ＮＩＣ）を備えるデータパイプラインを含む。ネットワークインターフェースカードは、一方向伝達デバイスとして構成されている。また、データパイプラインは、マルウェアフィルタ、コンテンツフィルタ、シグネチャフィルタ、コンテンツアナライザのうちの少なくとも１つを含む複数のフィルタを含む。また、データパイプラインは、複数のフィルタのうちの１つまたは複数のフィルタを含むように構成されている仮想クラウドネットワークを具備する。ネットワークインターフェースコントローラから仮想クラウドネットワークにより受信されたメッセージは、設定時に決定された順序でデータパイプラインの１つまたは複数のフィルタを順次通過する。また、データパイプラインは、データパイプラインで発生しているイベントのログを提供するためのロギングネットワークを具備することができる。本態様の他の実施形態は、上記方法のアクションを実行するように各々構成されている対応するコンピュータシステム、装置、ならびに１つもしくは複数のコンピュータ記憶装置に記録されているコンピュータプログラムを含む。

【0026】

分散部分を有するクロスドメインソリューションのための技術が提供される。
一実施形態においては、非接続ネットワークのコンピューティングデバイスによって、一組のフィルタ種別を提示するように構成されているアプリケーションプログラミングインターフェース（ＡＰＩ）が生成される。アプリケーションプログラミングインターフェースを介して、一組のフィルタ種別からの一揃えの１つまたは複数のフィルタ種別が受信される。アプリケーションプログラミングインターフェースを介して、選択されたフィルタ種別の順序が受信される。非接続ネットワークのコンピューティングデバイスにより、アプリケーションプログラミングインターフェースを介して受信されたコマンドに応答して、上記順序の一揃えのフィルタを含むデータパイプラインが生成される。非接続ネットワークのコンピューティングデバイスにより、一方向伝達デバイスで受信されたメッセージを上記順序の選択されたフィルタに通すことによってメッセージが解析される。非接続ネットワークのロギングネットワークによって、データパイプラインで発生しているイベントのログが受信される。イベントのログは、アプリケーションプログラミングインターフェースを介して提示される。データパイプラインは、アプリケーションプログラミングインターフェースを介して終了コマンドを受信した際に終了となる。本態様の他の実施形態は、上記方法のアクションを実行するように各々構成されている対応するコンピュータシステム、装置、ならびに１つもしくは複数のコンピュータ記憶装置に記録されているコンピュータプログラムを含む。

【0027】

一般的な一態様において、１つまたは複数のフィルタ種別は、マルウェアフィルタ、コンテンツフィルタ、シグネチャフィルタ、コンテンツアナライザのうちの１つまたは複数を含む。

【0028】

一般的な一態様において、方法は、一方向伝達デバイスを介して、非接続ネットワークからトラステッドリポジトリにメッセージを送ることをさらに含む。

【0029】

一般的な一態様において、一方向伝達デバイスは、ソフトウェアベースの一方向伝達デバイスである。

【0030】

一般的な一態様において、イベントのログは、オペレーティングシステム（ＯＳ）レベル、アプリケーションレベル、およびペイロードレベルで発生するイベントのログを含む。

【0031】

一般的な一態様において、非接続ネットワークは、仮想クラウドネットワークを含む。
一般的な一態様において、一方向伝達デバイスは、スマートネットワークインターフェースカード（スマートＮＩＣ）である。

【0032】

一般的な一態様は、１つまたは複数の非一時的機械可読媒体において有形で具現化され、１つまたは複数のデータプロセッサに命令を実行させるように構成されている命令を含むコンピュータプログラム製品であって、１つまたは複数のデータプロセッサが実行する命令は、一組のフィルタ種別を提示するように構成されているアプリケーションプログラミングインターフェース（ＡＰＩ）を生成することを含む、コンピュータプログラム製品を含む。また、アプリケーションプログラミングインターフェースを介して、一組のフィルタ種別からの一揃えの１つまたは複数のフィルタ種別を受信することを含む。また、アプリケーションプログラミングインターフェースを介して、選択されたフィルタ種別の順序を受信することを含む。また、アプリケーションプログラミングインターフェースを介して受信されたコマンドに応答して、上記順序の一揃えのフィルタを含むデータパイプラインを生成することを含む。また、一方向伝達デバイスで受信されたメッセージを上記順序の選択されたフィルタに通すことによってメッセージを解析することを含む。また、非接続ネットワークのロギングネットワークを介して、データパイプラインで発生しているイベントのログを受信することを含む。また、アプリケーションプログラミングインターフェースを介してイベントのログを提示し、アプリケーションプログラミングインターフェースを介して終了コマンドを受信した際に、データパイプラインを終了することを含む。

【0033】

一般的な一態様は、システムであって、複数の命令を格納するように構成されているメモリと、メモリにアクセスするとともに、複数の命令を実行するように構成されている１つまたは複数のプロセッサと、を備え、１つまたは複数のプロセッサは、少なくとも、一組のフィルタ種別を提示するように構成されているアプリケーションプログラミングインターフェース（ＡＰＩ）を生成する、システムを含む。また、アプリケーションプログラミングインターフェースを介して、一組のフィルタ種別からの一揃えの１つまたは複数のフィルタ種別を受信する。また、選択されたフィルタ種別の順序を受信する。また、アプリケーションプログラミングインターフェースを介して受信されたコマンドに応答して、上記順序の一揃えのフィルタを含むデータパイプラインを生成する。また、一方向伝達デバイスで受信されたメッセージを上記順序の選択されたフィルタに通すことによってメッセージを解析する。また、非接続ネットワークのロギングネットワークを介して、データパイプラインで発生しているイベントのログを受信する。また、アプリケーションプログラミングインターフェースを介してイベントのログを提示し、アプリケーションプログラミングインターフェースを介して終了コマンドを受信した際に、データパイプラインを終了する。

【図面の簡単な説明】

【0034】

【図1】ある実施形態に係る、ハードウェア実装非接続ネットワークの簡易図である。

【図2】ある実施形態に係る、ハードウェア実装非接続ネットワークによる通信のためのプロセスを示す図である。

【図3】ある実施形態に係る、ドメイン間のアクセスの制御に使用可能なクラウドベースのクロスドメインソリューションの簡易表現を示す図である。

【図4】ある実施形態に係る、クラウドベースのドメインサービスを使用してドメイン間のアクセスを制御するためのプロセスを示す図である。

【図5】ある実施形態に係る、ユーザデータグラムプロトコル（ＵＤＰ）の簡易図である。

【図6】ある実施形態に係る、ユーザデータグラムプロトコル（ＵＤＰ）による通信のためのプロセスを示す図である。

【図7】ある実施形態に係る、ソフトウェア実装クロスドメインソリューションを含むデータパイプラインの図である。

【図8】ある実施形態に係る、ソフトウェア実装クロスドメインソリューションを含むデータパイプラインを使用する通信のための方法を示す図である。

【図9A】一実施形態に係る、クラウドネットワークを設定するためのユーザインターフェース（ＵＩ）を示す図である。

【図9B】一実施形態に係る、クロスドメインソリューションを設定するためのユーザインターフェース（ＵＩ）を示す図である。

【図10】ある実施形態に係る、ソフトウェア実装クロスドメインソリューションのための方法を示す図である。

【図11】ある実施形態に係る、サービス型ソフトウェア（ＳａａＳ）ベースのクロスドメインソリューションのための方法を示す図である。

【図12】ある実施形態に係る、分散部分を有するクロスドメインソリューションのための方法を示す図である。

【図13】ある実施形態に係る、クラウドサービスプロバイダインフラによりホストされる仮想またはオーバーレイクラウドネットワークを示す分散環境の高レベル図である。

【図14】ある実施形態に係る、ＣＳＰＩ内の物理ネットワーク中の物理的構成要素の簡易アーキテクチャ図である。

【図15】ある実施形態に係る、ホストマシンが複数のネットワーク仮想化デバイス（ＮＶＤ）に接続されているＣＳＰＩ内の例示的な構成を示す図である。

【図16】ある実施形態に係る、マルチテナンシをサポートするＩ／Ｏ仮想化を提供するためのホストマシンとＮＶＤとの間の接続を示す図である。

【図17】ある実施形態に係る、ＣＳＰＩにより提供される物理ネットワークの簡易ブロック図である。

【図18】少なくとも１つの実施形態に係る、サービス型クラウドインフラシステムを実装するためのあるパターンを示すブロック図である。

【図19】少なくとも１つの実施形態に係る、サービス型クラウドインフラシステムを実装するための別のパターンを示すブロック図である。

【図20】少なくとも１つの実施形態に係る、サービス型クラウドインフラシステムを実装するための別のパターンを示すブロック図である。

【図21】少なくとも１つの実施形態に係る、サービス型クラウドインフラシステムを実装するための別のパターンを示すブロック図である。

【図22】少なくとも１つの実施形態に係る、例示的なコンピュータシステムを示すブロック図である。

【発明を実施するための形態】

【0035】

詳細な説明
以下の本明細書においては、種々実施形態が記載される。説明を目的として、実施形態の完全な理解を可能にするため、特定の構成および詳細が記載される。ただし、当業者には、これらの具体的詳細なく実施形態が実現され得ることも明らかとなるであろう。さらに、実施形態の説明が不明瞭とならないように、周知の特徴については省略される場合もあるし、簡略化される場合もある。

【0036】

本開示の実施形態は、クラウドベースのクロスドメインソリューションを実現するための技術を提供する。いくつかの例において、クロスドメインソリューションは、２つ以上のセキュリティドメイン間の情報のアクセスまたは伝達を制限することができる。提案のシステムは、非接続ネットワークと関連付けられているネットワークインターフェースカード（ＮＩＣ）により実現され得る。

【0037】

非接続ネットワークとしては、非セキュアネットワークとの通信から隔離されているセキュアなコンピュータネットワークが可能である。非接続ネットワークは、アウトバウンドトラフィックを禁止しつつ、インバウンドトラフィックを許可するように構成可能である。一実施態様においては、第１の通信プロトコルで送られたメッセージがＮＩＣの第１のノードで受信され得る。受信されたメッセージは、第２の通信プロコルを使用して、ネットワークインターフェースカードの第２のノードに転送され得る。第２のネットワーク通信プロトコルとしては、ユーザデータグラムプロトコル（ＵＤＰ）等、一方向通信用に設定されている任意のプロトコルが可能である。メッセージは第１のノードから第２のノードで受信され得るが、第２のプロトコルは、他方向のトラフィックを許可しない。第２のノードでトラフィックが受信されると、メッセージは、第３の通信プロトコルの使用により、非接続ネットワークの送信先ノードに転送される。

【0038】

クロスドメインソリューションは、物理的な隔離（たとえば、エアギャップ）または一方向通信を強制するハードウェア（たとえば、ＢＩＴＷ（bump-in-the-wire）／データダイオード）によって非セキュアなネットワーク（たとえば、インターネット等のパブリックネットワーク）から分離されている非接続ネットワークを含み得る。このようなネットワークは、セキュアである一方、システムが扱いにくい上に維持費が高く、特別なハードウェアが含まれることから、一般的には限られた状況（たとえば、軍用もしくは政府のネットワーク、産業用制御システム、または安全を最重視すべきシステム）において使用される。また、クラウドネットワークの場合は、物理的な隔離もハードウェア実装一方向通信も実現不可能である。

【0039】

ソフトウェア実装クロスドメインソリューションの使用によって、データを非接続ネットワークへと物理的に移動させる不都合（たとえば、エアギャップ）も一方向通信を物理的に強制するハードウェア（たとえば、データダイオード）の必要もなく、クラウドベースの非接続ネットワークを生成することができる。非接続リージョンのＮＩＣに入るトラフィックは、一方向プロトコルの使用により、ＮＩＣ内で遮断および送信され得る。このプロトコルは、一方向トラフィックの強制によって、非接続ネットワーク内の情報が侵害の影響を受けにくくする。いくつかの状況において、クロスドメインソリューションは、非接続ネットワークからネットワークの外側のトラステッド送信元への別個の一方向通信経路を含み得る。

【0040】

第２のノードから送られたメッセージは、非接続ネットワーク内の送信先ノードに到達する前に、一連のフィルタを通過し得る。フィルタは、メッセージの解析によって、侵入から非接続ネットワークを保護することができる。フィルタは、クライアントがセキュリティの必要性に基づいて適当な一組のフィルタを選択できるように、アプリケーションプログラミングインターフェース（ＡＰＩ）を介して設定可能となり得る。また、クライアントは、クラウドベースのドメインシステムの期間を選択することができる。いくつかの実施態様においては、ネットワークに侵入する試みに対抗するため、フィルタの順序または使用される個々のフィルタがメッセージ間で変更され得る。

【0041】

従来のクロスドメインソリューションは、カスタムハードウェアを使用して実現される。ハードウェアは、設計費が高く、維持が困難となり得る。従来のクロスドメインソリューションにおけるフィルタの追加またはフィルタの順序の変更には、フィルタを含むハードウェアの除去、変更、および交換が必要となる。クラウドベースのクロスドメインシステムは、クラウドにおいて完全または部分的に実現され得る。たとえば、クロスドメインソリューションは、データダイオード等のハードウェア強制一方向通信およびクラウド実装コンテンツフィルタを使用することができる。あるいは、クロスドメインソリューションは、ソフトウェア強制一方向通信およびハードウェア実装コンテンツフィルタを含んでいてもよい。クラウドベースのクロスドメインソリューションによれば、クロスドメインソリューションを柔軟に構成することができる。

【0042】

クラウドベースのクロスドメインソリューションシステムは、柔軟性をもたらし得ることから、さまざまな使用事例に適応可能である。たとえば、異なる送信元からのトラフィックには異なるメッセージ設定を適用して、信頼できる送信元からのメッセージに適用されるフィルタの数を少なくすることができる。フィルタの順序のメッセージ間または一定の間隔での変更によって、攻撃者がフィルタを回避できるメッセージを設計しようとする試みを複雑にすることができる。また、いくつかの状況においては、クロスドメインソリューションで受信されるメッセージの部分集合に対してのみ、一方向通信を強制可能である。

【0043】

クロスドメインソリューションで受信されるメッセージに関するデータの使用によって、人工知能および／または機械学習（ＡＩ／ＭＬ）のコンテンツフィルタモデルをトレーニングすることができる。データは、パケットの起点、既知のウィルスもしくはマルウェアの特性、またはトラフィックパターンを含み得る。ＡＩ／ＭＬコンテンツフィルタは、その他のコンテンツフィルタにより供給される情報に基づいて、ある送信元からのパケットが疑わしいか信頼できるかを判定することができる。たとえば、特定のインターネットプロトコル（ＩＰ）アドレスからのトラフィックがマルウェアを含むものと一貫してフラグ付けされている場合、ＡＩ／ＭＬフィルタは、当該ＩＰアドレスまたは同じ起点からのパケットに追加のフィルタリングを行うようにしてもよい。ＡＩ／ＭＬフィルタは、クロスドメインソリューションが新たな脅威に適応し得るように、マルウェアまたはウィルスを含むものとコンテンツフィルタによりフラグ付けされたパケットから取得された情報を使用して、既知または未知のウィルスを識別することができる。また、ＡＩ／ＭＬフィルタは、トラフィックパターンを使用して脅威を識別することができる。たとえば、送信元からのトラフィックの実質的な増加は、潜在的な脅威を示し得る。

【0044】

ＡＩ／ＭＬモデルは、トラステッド送信元から送られた「テストまたは学習データ」とマーキングされたデータによって、継続的にトレーニング可能である。テストデータは、通過をブロックまたは許可すべき参照データを含み得る。このため、新たなマルウェアまたは許可されていないコンテンツが検出された場合、テストデータは、マルウェアのシグネチャもしくは起点等の別の特性ならびに現実のペイロードとしてトラステッドネットワークに伝達される場合にこのようなデータをブロックする学習アルゴリズムのヒントを含むことができる。テストデータは、マルウェアのパターンを示すことも可能であるし、構造化データ中の特定の属性（たとえば、ある範囲を超えるＭＱＴＴデータのデータ範囲）を規定することも可能である。

【0045】

いくつかの状況において、学習データの送信元は、信頼できるものである必要がある。テストデータの送信元（送信機）の信頼性は、暗号化法を使用することにより確立され得る。一実施形態において、テストデータは、ＡＩ／ＭＬアルゴリズムの公開鍵を使用して暗号化された後、送信機でしか把握していない秘密鍵で署名され得る。フィルタと関連付けられているＡＩ／ＭＬアルゴリズムには、テストデータの送信元の対応する公開鍵を設定可能であり、その秘密鍵を使用してデータ自体を復号化した後、トレーニングデータのシグネチャを確認できるようにする。ＡＩ／ＭＬ学習は、画像等のペイロードに対するコンテンツフィルタリングへの拡張によって、解像度、メタデータ、またはコンテンツを既知のパターンに制限することができる。さらに、ＡＩ／ＭＬアルゴリズムは、画像の変更または再符号化をフィルタに指示することによって、隠れたマルウェアあるいは望ましくないコンテンツを除去することができる。

【0046】

クラウド実装クロスドメインソリューションの利点として、このクロスドメインソリューションは、クライアントへのサービスとして公開可能である。クロスドメインソリューションは、顧客（たとえば、クライアント）によるクラウドドメインサービスのモニタリングまたは監視を可能にし得る。顧客は、フィルタおよび／またはフィルタの順序を選択するようにクロスドメインソリューションを設定可能であり、また、クロスドメインソリューションを通過するトラフィックを指定可能である。たとえば、顧客は、ある送信元をホワイトリストに登録することによって、非接続ネットワークとホワイトリストに登録された送信元との間の二方向通信を可能にし得る。クラウドベースのクロスドメインソリューションによれば、ハードウェアベースのクロスドメインソリューションでは不可能な使用の柔軟性をもたらすことができる。また、クラウドベースのクロスドメインソリューションは、高価で柔軟性に欠ける特別なハードウェアなしに実現され得る。

【0047】

一実例において、顧客は、クラウドベースのクロスドメインソリューションを設定するためのＡＰＩを提示されると、クラウドベースのクロスドメインソリューションの期間および一連のフィルタを選択する。この場合、顧客は、クラウドベースの分散ネットワークに対して１カ月の期間と、マルウェアフィルタに続いてコンテンツフィルタと、を選択する。

【0048】

設定後は、送信元ノードから、非接続ネットワークの内側の送信先ノードを宛先とするメッセージが送られる。メッセージは、伝送制御プロトコル／インターネットプロトコル（ＴＣＰ／ＩＰ）により送られ、ＮＩＣの第１のノードで受信される。ＮＩＣを通過するため、メッセージは、ＴＣＰ／ＩＰから一方向通信に適したプロトコルへと変換され得る。また、通信プロトコルは、一方向通信に対してのみ設定されるように修正され得る。ＮＩＣは、第１のノードにおいて、メッセージを一方向通信プロトコル（この場合は、ユーザデータグラムプロトコル（ＵＤＰ））に変換し、当該ＮＩＣの第２のノードに転送する。

【0049】

メッセージがストリーミングプロトコル（たとえば、リアルタイムメッセージングプロトコル（ＲＴＭＰ））を介して送られる状況においては、メッセージが第２のノードに転送される前に、第１のノードが送信先ノードであるかのように、メッセージ全体が第１のノードで傍受される。この場合、メッセージはストリーミングされず、メッセージパケットが受信されると、ＵＤＰ等のコネクションレスプロトコルを介して、メッセージパケットの受け入れ、格納、および第２のノードへの転送がなされる。

【0050】

第２のノードにおいて、メッセージは、セキュアなネットワークにおいて採用されているネットワークプロトコルの使用により、セキュアなネットワークの内側の送信先ノードに転送される。この場合、セキュアなネットワークは、ＴＣＰ／ＩＰを使用するが、ファイル転送プロトコル（ＦＴＰ）、ＴＣＰ／ＩＰ、ユーザデータグラムプロトコル（ＵＤＰ）、ハイパーテキスト転送プロトコル（ＨＴＴＰ）、ポストオフィスプロトコル（ＰＯＰ３）、インターネットメッセージアクセスプロトコル（ＩＭＡＰ）、簡易メール転送プロトコル（ＳＭＴＰ）等の第３のプロトコルを内部通信に使用することも可能である。

【0051】

メッセージは、第２のノードを出た後、送信先ノードに到達する前に、一連の設定可能なフィルタを通過する。この場合、メッセージは、マルウェアフィルタによる走査によって、ネットワークを侵害し得る如何なるマルウェアも含まず、コンテンツフィルタによって、ネットワークに到達したメッセージが適当な種類のコンテンツであることが確認される。メッセージは、すべてのフィルタを通過した後、その送信先ノードに転送される。

【0052】

図１は、いくつかの実施形態に係る、ハードウェア実装非接続ネットワークの簡易図１００である。非接続ネットワークとしては、物理ネットワーク接続および無線ネットワーク接続を除去することにより他のネットワークから物理的に隔離されているコンピュータネットワークが可能である。データは、サムドライブ等の物理的な記憶媒体により、これらのエアギャップされたネットワーク間で移動する。これらのネットワークはセキュアである一方、サムドライブによるデータの伝達は煩雑である。他の非接続ネットワークでは、当該非接続ネットワークへの一方向トラフィックを許可するデータダイオードを使用するが、非接続ネットワークからの機密情報のブロードキャストは阻止される。

【0053】

簡易図１００は、いくつかの実施形態に係る、ルータＡ１０４に接続されているコンピュータデバイスＡを示している。コンピュータデバイスＡ１０２としては、パソコン、サーバコンピュータ、仮想マシン、タブレットデバイス、携帯電話、またはその他任意のコンピュータデバイスが可能である。コンピュータデバイスＡ１０４は、たとえばネットワークケーブルによるルータＡ１０４への物理的な接続が可能であり、または無線（たとえば、WiFi）によるルータＡ１０４への接続が可能である。いくつかの実施態様において、コンピュータデバイスＡ１０２は、ルータＡを通じて、インターネットまたはプライベートネットワークに接続可能である。

【0054】

コンピュータＡ１０２は、ルータＡ１０４とルータＢ１１０との間の通信を介して、コンピュータデバイスＢ１０６に接続可能である。データダイオード１０８を含むネットワークケーブル１１２がルータＡ１０４およびルータＢ１１０を接続可能である。ハードウェアのデータダイオードは、物理的手段（たとえば、光送信機（レーザもしくは発光ダイオード（ＬＥＤ）であることが多い）ならびに受信機、光電トランジスタ等の感光性半導体で構成された光リンク）（たとえば、データダイオード１０８）によって一方向性を強制し得る。他の一方向システムの利用によって、一方向伝達デバイスの機能を実現することも可能である。一方向伝達システムにおいては、データダイオード１０８の第１の端子１１４で受信されたメッセージがダイオードの第２の端子１１６に受け渡され得る一方、第２の端子１１６から第１の端子１１４にメッセージが送られることはない。

【0055】

いくつかの実施態様において、非接続ネットワークは、データダイオード１０８の第２の端子１１６の背後に存在する。メッセージは、データダイオード１０８を介して、非接続ネットワークに送られ得る。ただし、メッセージがデータダイオードを介して非接続端子から出ることはない。これらの実施態様において、ルータＢ１１０およびコンピュータデバイスＢ１０６は、外側のネットワークから隔離されているものの、コンピュータデバイスＢ１０６は依然として、ルータＢ１１０を通じて非接続ネットワークの内側の他のデバイスに接続可能である。たとえば、コンピュータＢとしては、機密情報を含むネットワークの一部も可能であって、ネットワークの外側に情報を送れることがセキュリティ上の脅威をもたらす可能性もある。

【0056】

他の実施態様において、非接続ネットワークは、データダイオード１０８の第１の端子１１４の背後に存在する。これらの実施態様においては、データダイオード１０８を介して、非接続ネットワークから外側のネットワークにメッセージが送られ得る一方、非接続ネットワークがメッセージを受信することはない。このようなネットワークは、システムがインバウンド攻撃を受けずに結果を公衆に提供可能でなければならない電子投票システムにおける使用も可能である。

【0057】

図２は、ある実施形態に係る、ハードウェア実装非接続ネットワークによる通信のためのプロセスを示している。このプロセスは、論理フロー図として示され、その各動作は、ハードウェア、コンピュータ命令、またはこれらの組み合わせにて実現され得る。コンピュータ命令の背景において、これらの動作は、１つまたは複数のコンピュータ可読記憶媒体に格納され、１つまたは複数のプロセッサによって実行されると、記載の動作を実行するコンピュータ実行可能命令を表し得る。一般的に、コンピュータ実行可能命令は、特定の機能の実行または特定のデータ型の実装を行うルーチン、プログラム、オブジェクト、コンポーネント、データ構造等を含む。動作の記載の順序は、何ら限定的な解釈が意図されず、このプロセスの実現には、任意数の記載の動作の任意の順序および／または並列での組み合わせが可能である。

【0058】

プロセス２００をより詳細に説明すると、ブロック２０２においては、コンピュータデバイスＡ１０２によってメッセージが生成される。メッセージは、コンピュータデバイスＡ１０２から、当該メッセージをその送信先に転送可能なルータＡ１０４に送られ得る。コンピュータデバイスＡ１０２としては、パソコン、モバイルデバイス、タブレット、またはサーバコンピュータが可能である。ルータＡ１０４は、メッセージの伝送を可能にするケーブル（たとえば、Ethernetケーブル）により、コンピュータデバイスＡ１０２に対して物理的に接続され得る。あるいは、メッセージは、電波（たとえば、WiFi）を介して、コンピュータデバイスＡ１０２からルータＡ１０４に送られ得る。

【0059】

ブロック２０４において、コンピュータデバイスＡ１０２により送られたメッセージは、データダイオード１０８を通過した後、第２のコンピュータデバイスＢ１０６に送られる。メッセージは、データダイオード１０８（たとえば、ＢＩＴＷ）を含むネットワークケーブル１１２（たとえば、Ethernetケーブル）を介して、ルータＡ１０４からルータＢ１１０に転送され得る。データダイオード１０８は、データの一方向伝達を可能にし得ることから、ルータＡ１０４により送られたメッセージを含むデータは、データダイオード１０８を通過してルータＢ１１０に到達し得る。ルータＢ１１０は、ルータＡ１０４から受信されたメッセージをコンピュータデバイスＢ１０６に転送することができる。

【0060】

ブロック２０６においては、コンピュータデバイスＢ１０６により生成された応答がデータダイオード１０８によって阻止される。ルータＡ１０４からルータＢ１１０に至るメッセージは、データダイオード１０８を通過し得るものの、データダイオード１０８による一方向伝達制限によって、ルータＢ１１０からルータＡ１０４に至るメッセージは阻止される。このように、コンピュータデバイスＢ１０６は、発信メッセージを送れないため、他のコンピュータデバイスから分離され得る。

【0061】

図３は、ある実施形態に係る、ドメイン間のアクセスの制御に使用可能なクラウドベースのクロスドメインソリューション３００の簡易表現を示している。クロスドメインソリューションは、ネットワーク間の制限付き二方向通信を可能にする実施態様または非接続ネットワークを含む実施態様を含み得る。

【0062】

図４は、ある実施形態に係る、クラウドベースのドメインサービスを使用してドメイン間のアクセスを制御するためのプロセスを示している。このプロセスは、論理フロー図として示され、その各動作は、ハードウェア、コンピュータ命令、またはこれらの組み合わせにて実現され得る。コンピュータ命令の背景において、これらの動作は、１つまたは複数のコンピュータ可読記憶媒体に格納され、１つまたは複数のプロセッサによって実行されると、記載の動作を実行するコンピュータ実行可能命令を表し得る。一般的に、コンピュータ実行可能命令は、特定の機能の実行または特定のデータ型の実装を行うルーチン、プログラム、オブジェクト、コンポーネント、データ構造等を含む。動作の記載の順序は、何ら限定的な解釈が意図されず、このプロセスの実現には、任意数の記載の動作の任意の順序および／または並列での組み合わせが可能である。

【0063】

プロセス４００をより詳細に説明すると、ブロック４０２においては、ネットワーク３０６を介して、ドメインＡ３０２から制限ゲートウェイ３０４にメッセージが送られ得る。メッセージは、ドメインＡ３０２内の顧客プレミス３０８において生成され得る。制限ゲートウェイ３０４としては、スマートネットワークインターフェースカード（スマートＮＩＣ）が可能であり、ネットワーク３０６としては、プライベートネットワークまたはインターネットが可能である。

【0064】

ブロック４０４においては、制限ゲートウェイによるメッセージの解析によって、ドメインＡ３０２からのメッセージにドメインＢ３１０へのアクセスを許可すべきかを判定することができる。制限ゲートウェイ３０４は、予め定められたアクセスポリシーを使用して、メッセージにアクセスを許可すべきかを判定することができる。

【0065】

また、制限ゲートウェイ３０４は、ドメインＢ３１０へのアクセスを許可する前に、フィルタを使用して、メッセージを解析することができる。フィルタには、メッセージ中のマルウェアおよびウィルスをチェックするマルウェアフィルタを含み得る。また、制限ゲートウェイ３０４は、メッセージの出所を証明する暗号的に確認可能なシグネチャを当該メッセージが有するかを判定するシグネチャフィルタを具備することができる。また、フィルタには、メッセージの有効性を判定するコンテンツアナライザを含み得る。コンテンツアナライザは、たとえば帯域外または帯域内で受信されたチェックサムを見かけ上の関連ペイロードでチェックすることができる。メッセージ中のデータは、データの有効性を証明するチェックサムを含み得る。チェックサムは、データ自体に付随し得る。また、チェックサムは、別個のメッセージにおいて、データの一部として伝達され得る。また、フィルタには、メッセージにドメインＢ３１０へのアクセスを許可すべきかを判定するようにトレーニングされた人工知能または機械学習フィルタを含み得る。

【0066】

ブロック４０６において、制限ゲートウェイ３０４は、メッセージにアクセスを許可すべきと判定した後、メッセージをドメインＢ３１０に転送することができる。第２のドメインとしては、仮想クラウドネットワーク３１２が可能である。いくつかの実施態様において、メッセージの送信先ノードとしては、仮想クラウドネットワーク３１２のワークロード３１４が可能である。ワークロード３１４は、仮想マシン、データベース、コンテナ、およびアプリケーションを含み得る。

【0067】

図５は、ある実施形態に係る、ユーザデータグラムプロトコル（ＵＤＰ）の簡易図５００である。通信プロトコルは、一方向または二方向通信を許可し得るが、非接続ネットワークは、ハードウェアを使用して、一方向通信を強制するようにしてもよい。図５の例においては、ＵＤＰ等のプロトコルによって一方向通信が強制され得る。

【0068】

図５００をより詳細に説明すると、送信機５０６および受信機５０２としては、ネットワーク通信が可能なコンピューティングデバイスが可能である。送信機５０６および受信機５０２としては、パソコン、サーバコンピュータ、モバイルデバイス、タブレットデバイス等が可能である。送信機５０６および受信機５０２は、クロスドメインソリューションを含み得る。送信機５０６としては、クロスドメインソリューションの第１のドメインが可能であり、受信機５０２としては、クロスドメインソリューションの第２のドメインが可能である。受信機５０２としては、非接続リージョン５０８の一部が可能である。非接続リージョン５０８としては、他のネットワークから隔離されたネットワークが可能である。非接続リージョン５０８のデバイスは、他のネットワークからトラフィックを受信し得る一方、非接続リージョン５０８から他のネットワークにトラフィックを送ることはできないように構成可能である。

【0069】

送信機５０６および受信機５０２は、物理的接続を含む任意の通信リンクによって接続可能である（たとえば、ネットワークケーブルまたは光ファイバケーブルによって接続可能である）。送信機５０６および受信機５０２は、無線接続可能である（たとえば、WiFiにより接続可能である）。メッセージ５０４ａ～５０４ｃとしては、送信機５０６と受信機５０２との間で送られるトラフィックが可能である。ＵＤＰを介して送られるトラフィック（メッセージ５０８ａ～５０８ｃを含む）は、ハンドシェイキングダイアログなしで送られ得る。送信機５０６は、受信機５０２からのリクエストなしにメッセージ５０４ａ～５０４ｃを受信機５０２に送ることができる。

【0070】

図６は、ある実施形態に係る、ユーザデータグラムプロトコル（ＵＤＰ）による通信のためのプロセスを示している。このプロセスは、論理フロー図として示され、その各動作は、ハードウェア、コンピュータ命令、またはこれらの組み合わせにて実現され得る。コンピュータ命令の背景において、これらの動作は、１つまたは複数のコンピュータ可読記憶媒体に格納され、１つまたは複数のプロセッサによって実行されると、記載の動作を実行するコンピュータ実行可能命令を表し得る。一般的に、コンピュータ実行可能命令は、特定の機能の実行または特定のデータ型の実装を行うルーチン、プログラム、オブジェクト、コンポーネント、データ構造等を含む。動作の記載の順序は、何ら限定的な解釈が意図されず、このプロセスの実現には、任意数の記載の動作の任意の順序および／または並列での組み合わせが可能である。

【0071】

プロセス６００をより詳細に説明すると、ブロック６０２においては、送信機５０６がＵＤＰストリームを開始可能である。ストリームは、送信機５０６から受信機５０２に送られる一連のパケットから成り得る。送信機５０６は、受信機５０２からリクエストを受信することなく送信を開始可能である。受信機５０２は、送信機５０６により送られたパケットを受信するように構成可能である。受信機５０２は、メッセージを送信機５０６に送れないように構成可能である。ＵＤＰストリームとしては、一方向通信用に設定され得る任意の通信プロトコルで送られるメッセージのストリームが可能である。

【0072】

ブロック６０４において、送信機５０６により送られたメッセージ５０８ａ～５０８ｃは、受信機５０２により受信される。受信機５０２は、送信機５０６に応答することなくメッセージ５０８ａ～５０８ｃを受信可能である。メッセージ５０８ａ～５０８ｃとしては、エラーチェックおよびセキュリティ用の送信元ポート番号、送信先ポート番号、およびチェックサムを含むパケットが可能である。送信機５０６は、受信機５０２からの通信なく、応答１ ５０８ａから始まる連続ストリームでメッセージ５０８ａ～５０８ｃを送ることができる。送信機５０６は、応答を送ると、メッセージが受信機５０２に到達した旨の確認を受信することなく、送信を停止可能である。送信機５０６は、如何なるメッセージも受信し得ないように構成可能である。

【0073】

図７は、ある実施形態に係る、ソフトウェア実装クロスドメインソリューションを含むデータパイプラインの図７００である。

【0074】

図７００をより詳細に説明すると、スマートネットワークインターフェースカード（スマートＮＩＣ）７０６は、データパイプラインの一部として、二組のノード（第１のノード７０４ａ～７０４ｃおよび第２のノード７０８ａ～７０８ｃ）を含む。第１のノード７０４ａおよび７０４ｂ間の通信は、一方向トラフィック用に設定された通信プロトコル（たとえば、ＵＤＰ）を使用することにより生じ得る。第１のノード７０４ａ～７０４ｃで受信されたメッセージ７０２ａ～７０２ｃは、第２のノード７０８ａ～７０８ｃに受け渡され得る一方、第１のノード７０４ａ～７０４ｃは、第２のノード７０８ａ～７０８ｃから送られたメッセージを無視するように構成可能である。

【0075】

いくつかの実施態様において、スマートＮＩＣ７０６は、当該スマートＮＩＣ７０６からトラステッドリポジトリ７２２への通信のためのセキュアな経路を含み得る。ホストマシン７１８からセキュアな第１のノード７２６で受信されたメッセージは、一方向通信プロトコルの使用によって、セキュアな第２のノード７２８に受け渡され得る。メッセージは、セキュアな第２のノード７２８で受信されると、一方向または二方向通信プロトコルの使用によって、トラステッドリポジトリ７２２に転送され得る。

【0076】

ホストマシン７１８は、マルウェアフィルタ７１０、コンテンツアナライザ７１４、コンテンツフィルタ７３０、コンテンツ再生フィルタ７３２、検証器７３４、人工知能／機械学習フィルタ７１６、およびシグネチャフィルタ７１２を含む１つまたは複数のフィルタを具備することができる。フィルタは、第２のノード７０８ａ～７０８ｃから受信されたメッセージが順次通過するチェーン状に配置され得る。ホストマシン７１８としては、仮想コンピュータデバイスも可能であるし、ベアメタルコンピュータデバイスも可能である。いくつかの状況においては、メッセージが第１のノードに到達する前に１つまたは複数のフィルタを通過し得る。第１のノードと第２のノードとの間には、１つまたは複数のフィルタが配置され得る。第１のノードから第２のノードに移動するメッセージは、これら１つまたは複数のフィルタを通過し得る。

【0077】

マルウェアフィルタ７１０は、データパイプラインを通過するメッセージ中のマルウェアまたはウィルスをチェックすることができる。マルウェアまたはウィルスを含むメッセージは、非接続ネットワークに達する前に拒否され得る。コンテンツフィルタ７３０は、禁止ワード、禁止バイトシーケンス、ファイルの断片、またはコンテンツフィルタのロジックによって禁止される他のコンテンツをチェックすることができる。コンテンツフィルタ７３０は、メッセージの転送前にメッセージから禁止コンテンツを除去することも可能であるし、メッセージを拒否することも可能である。シグネチャフィルタ７１２は、メッセージをチェックして、メッセージの出所を証明する暗号的に確認可能なシグネチャを当該メッセージが有するかを判定することができる。コンテンツアナライザ７１４は、メッセージを解析して、メッセージの有効性を判定することができる。たとえば、コンテンツアナライザ７１４は、帯域外または帯域内で受信されたチェックサムを関連メッセージでチェックすることができる。人工知能／機械学習フィルタ７１６としては、トレーニング済みの機械学習アルゴリズムを使用して、メッセージにデータパイプラインの通過を許可すべきかを判定するフィルタが可能である。

【0078】

ハードウェア実装クロスドメインソリューションにおいて、ホストマシン７１８に含まれるようなフィルタとしては、再配置が困難な固定順序のものが可能である。ソフトウェア実装クロスドメインソリューションにおいて、個々のフィルタの順序は、メッセージの種類およびメッセージ送信元に応じて変更され得る。信頼できる送信元からのメッセージは、通過するフィルタの数を少なくすることができる一方、信頼できない送信元からのメッセージは、通過するフィルタの数を多くすることができる。いくつかの状況において、フィルタの順序すなわちフィルタチェーンにおけるフィルタのリストは、メッセージ間で変更され得る。

【0079】

また、ホストマシン７１８は、スマートＮＩＣ７０６と当該ホストマシン７１８との間のデータパイプラインで発生しているイベントに関する情報を提供するロギングネットワーク７２０を具備することができる。スマートＮＩＣ７０６においては、第２のノード７０８ａ～７０８ｃまたはセキュアな第１のノード７２６からロギングネットワークに情報が提供され得る。ホストマシン７１８においては、フィルタで発生しているイベントに関する情報がロギングネットワークに提供され得る。

【0080】

ロギングネットワークとしては、コンポーネントから、オペレーティングシステム（ＯＳ）レベル、アプリケーションレベル、およびペイロードレベルにてデータパイプラインで発生しているイベントのログを受け入れるセキュリティ情報・イベント管理（ＳＩＥＭ）システムにログを送るためのネットワークバスが可能である。ＳＩＥＭシステムは、ログの使用によって、解析の実行、データストリーム中の潜在的なマルウェアに関する警告の生成、および問題のデータの隔離等の改善措置の実行をなすことができる。

【0081】

また、ホストマシン７１８は、スマートＮＩＣ７０６を通じて（セキュアな第１のノード７２６およびセキュアな第２のノード７２８を介して）メッセージをトラステッドリポジトリ７２２に提供する独立したリバースパイプラインを具備することができる。リバースパイプライン用のメッセージは、フィルタから、ホストマシン７１８のセキュアハッシュアルゴリズム（ＳＨＡ）検証システム７２４に提供される。セキュアハッシュアルゴリズム検証システム７２４は、スマートＮＩＣ７０６を通じて、メッセージをトラステッドリポジトリ７２２に提供することができる。

【0082】

独立したリバースパイプラインは、データパイプラインと別個であって、トラステッドリポジトリ７２２を使用するトラステッドシステムがフィルタによって除外されるメッセージについて学習するのを補助する際に使用可能である。また、リバースパイプラインにより提供される情報は、フィルタによって不適切に除外された有効メッセージについての学習に使用可能である。トラステッドシステムは、不適切に除外されたメッセージに関する情報を使用して、不適切な除外の原因となっている問題を修正することによりスループットを向上させることができる。

【0083】

図８は、ある実施形態に係る、ソフトウェア実装クロスドメインソリューションを含むデータパイプラインを使用する通信のためのプロセスを示している。このプロセスは、論理フロー図として示され、その各動作は、ハードウェア、コンピュータ命令、またはこれらの組み合わせにて実現され得る。コンピュータ命令の背景において、これらの動作は、１つまたは複数のコンピュータ可読記憶媒体に格納され、１つまたは複数のプロセッサによって実行されると、記載の動作を実行するコンピュータ実行可能命令を表し得る。一般的に、コンピュータ実行可能命令は、特定の機能の実行または特定のデータ型の実装を行うルーチン、プログラム、オブジェクト、コンポーネント、データ構造等を含む。動作の記載の順序は、何ら限定的な解釈が意図されず、このプロセスの実現には、任意数の記載の動作の任意の順序および／または並列での組み合わせが可能である。

【0084】

方法８００をより詳細に説明すると、ブロック８０２においては、第１のドメインから、スマートネットワークインターフェースカード７０６（スマートＮＩＣ）の第１のノード７０４ａ～７０４ｃにおいて、メッセージ７０２ａ～７０２ｃがデータパイプラインの一部として受信され得る。スマートＮＩＣデバイスとしては、２つの論理的および／または物理的インターフェースと、インターフェースの一方に入るデータを処理して他方のインターフェースに転送するハードウェアで構成された処理システムと、を含むデバイスが可能である。データを処理することは、データの解析、再フォーマット、集約等がなされることを意味し得る。ハードウェアは、データにより呼び出されるソフトウェアベースのアルゴリズムを実行するマイクロプロセッサを含み得る。メッセージ７０２ａ～７０２ｃは、第１の通信プロトコルの使用により送られ、いくつかの実施態様において、第１のノード７０４ａ～７０４ｃは、２つ以上の通信プロトコルで送られたメッセージを受信するように構成可能である。いくつかの実施態様において、第１のノード７０４ａ～７０４ｃは、すべての入力トラフィックを受信するように構成可能である。

【0085】

ブロック８０４においては、一方向通信プロトコル（たとえば、ＵＤＰ）によって、第１のノード７０４ａ～７０４ｃから第２のノード７０８ａ～７０８ｃにメッセージ７０２ａ～７０２ｃが送られ得る。スマートＮＩＣ７０６がクロスドメインソリューションとなり得るのは、メッセージ７０２ａ～７０２ｃが第１のドメインから第１のノード７０４ａ～７０４ｃで受信され、第２のノード７０８ａ～７０８ｃから第２のドメインに転送され得るためである。

【0086】

いくつかの実施態様において、一方向通信プロトコルによれば、データパイプライン中のメッセージが第１のノード７０４ａ～７０４ｃから第２のノード７０８ａ～７０８ｃに送られ得る一方、第２のノード７０８ａ～７０８ｃから第１のノード７０４ａ～７０４ｃへとメッセージが送られることはない。いくつかの実施態様においては、第２のノード７０８ａ～７０８ｃから第１のノード７０４ａ～７０４ｃに送られた如何なるメッセージも受け入れられない。一方向通信プロトコルの使用により送られたパケットとして第２のノード７０８ａ～７０８ｃで受信されたメッセージ７０２ａ～７０２ｃは、第２のドメインの送信先ノードに送られ得る転送可能なペイロードとして解体および再構成され得る。

【0087】

第１のノード７０４ａ～７０４ｃで受信された非ストリーミングメッセージは、メッセージの受信に際して、受け入れ、格納、および第２のノード７０８ａ～７０８ｃへの転送がなされ得る。ストリーミングメッセージは、第１のノード７０４ａ～７０４ｃが送信先ノードであるかのように、第１のノード７０４ａ～７０４ｃで傍受され得る。ストリーミングメッセージは、一方向通信プロトコルにより規定されたフォーマットに再構築され、第２のノード７０８ａ～７０８ｃに転送され得る。ストリーミングメッセージは、再構成され、第２のノード７０８ａ～７０８ｃが起点であるかのように、第２のノード７０８ａ～７０８ｃから送信先ノードに転送され得る。

【0088】

ブロック８０６において、メッセージは、データパイプラインの一部として、第２のドメインに達する前に、一連のフィルタを通過し得る。フィルタには、メッセージ中のマルウェアおよびウィルスをチェックするマルウェアフィルタ７１０と、メッセージの出所を証明する暗号的に確認可能なシグネチャを当該メッセージが有するかを判定するシグネチャフィルタ７１２と、メッセージの有効性を判定するコンテンツアナライザ７１４と、メッセージに第２のドメインへのアクセスを許可すべきかを判定するようにトレーニングされた人工知能／機械学習フィルタ７１６と、を含み得る。コンテンツフィルタ７１０～７１６は、ホストマシン７１８においてホストされ、ホストマシンとしては、仮想マシンまたはベアメタルサーバが可能である。フィルタとしては、メッセージペイロードの受け入れ、メッセージペイロードの拒否、またはメッセージペイロードの異なるフォーマットへの変換を行い得るモジュールが可能である。

【0089】

いくつかの実施態様においては、クライアントがデータパイプラインを生成できるように、アプリケーションプログラミングインターフェース（ＡＰＩ）がクライアントに提供され得る。データパイプラインは、メッセージの解析に使用可能な一連のコンテンツフィルタを含み得る。クライアントは、ＡＰＩを介して、一連のコンテンツフィルタを選択可能である。データパイプラインの生成の一部として、クライアントは、ＡＰＩを介して、クロスドメインソリューション（ＣＤＳ）の属性を規定することができる。データパイプラインは、規定された属性に少なくとも部分的に基づいて構成可能である。付加的な一実施態様において、クライアントは、ＡＰＩの使用により、一連のコンテンツフィルタの順序を選択することができる。コンテンツフィルタの順序は、可変であって、メッセージ間で変化し得る。また、クライアントは、複数の一連のコンテンツフィルタを選択可能であり、所与のメッセージに対する一連のフィルタは、当該メッセージの信頼性のインジケータに基づいて変化し得る。たとえば、既知のインターネットプロトコル（ＩＰ）アドレスからのメッセージは、より少ないコンテンツフィルタによって解析され得る。

【0090】

いくつかの実施態様においては、コンテンツフィルタ７１０～７１６により生成されたイベントがデータパイプラインの一部としてロギングネットワーク７２０に提供され得る。ロギングネットワーク７２０で受信されたイベントは、データパイプラインで発生しているイベントのログとして、ホストマシン７１８により提供され得る。イベントのログは、セキュリティ情報・イベント管理（ＳＩＥＭ）システムで受け入れられ、ログまたはログに関する情報は、ＡＰＩを介してクライアントに提供され得る。

【0091】

ブロック８０８において、データパイプライン中のメッセージは、第２のドメインの送信先ノードに転送され得る。いくつかの実施態様においては、メッセージの受信後、クライアントがＡＰＩを使用してデータパイプラインを終了することができる。いくつかの実施態様において、クライアントは、個々のメッセージについて、データパイプラインを生成し、終了することができる。

【0092】

いくつかの実施態様においては、セキュアなパイプラインによって、メッセージに関する情報がトラステッドリポジトリ７２２に提供され得る。一実施形態においては、メッセージに関する情報（この場合、セキュアハッシュアルゴリズム検証システム７２４からの情報）がセキュアなパイプラインにおいてセキュアな第１のノード７２６に提供され得る。セキュアな第１のノード７２６は、第１のノード７０４ａ～７０４ｃのように構成可能であり、一方向通信プロトコルの使用によって、セキュアな第１のノード７２６からセキュアな第２のノード７２８にメッセージが送られ得る。メッセージは、セキュアな第２のノード７２８で受信され得るが、このセキュアな第２のノード７２８は、第２のノード７０８ａ～７０８ｃのように構成可能である。セキュアな第２のノード７２８で受信されたメッセージは、トラステッドリポジトリ７２２に転送され得る。

【0093】

図９Ａは、一実施形態に係る、クラウドネットワークを設定するためのユーザインターフェース（ＵＩ）９００を示している。ユーザは、コンピューティングデバイスでユーザインターフェースにアクセスすることにより、クラウドネットワークを設定可能である。クラウドネットワークは、クロスドメインソリューションゲートウェイを含むように構成可能である。ユーザは、クロスドメインソリューションゲートウェイボタン９０２を選択することにより、クロスドメインソリューションゲートウェイメニューを選択可能である。

【0094】

図９Ｂは、一実施形態に係る、クロスドメインソリューションを設定するためのユーザインターフェース（ＵＩ）９０１を示している。クロスドメインソリューションとしては、仮想クロスドメインソリューションが可能である。仮想クロスドメインソリューションとしては、アプリケーションプログラミングインターフェース（ＡＰＩ）を介して生成された電化製品が可能である。ユーザは、「クロスドメインソリューションゲートウェイを生成」ボタン９０４を選択することにより、クロスドメインソリューションゲートウェイを生成可能である。ユーザは、ユーザインターフェース９０１を使用することによりゲートウェイを設定可能である。たとえば、ユーザは、クロスドメインソリューションの方向を選択可能である。また、ユーザは、クロスドメインソリューションにより接続されるネットワークまたはサブネットワークを選択可能である。また、ユーザは、ＵＩを通じて、クロスドメインシステムで受信されたメッセージを走査し得る１つまたは複数のフィルタを選択可能である。ユーザは、ＵＩを通じて、フィルタシーケンスを提供可能である。

【0095】

図１０は、ある実施形態に係る、ソフトウェア実装クロスドメインソリューションのための方法を示している。いくつかの実施態様においては、ネットワークインターフェースカードによって、図１０の１つまたは複数のプロセスブロックが実行されるようになっていてもよい。いくつかの実施態様において、ネットワークインターフェースカードとしては、スマートネットワークインターフェースカード（たとえば、スマートＮＩＣ）が可能である。いくつかの実施態様においては、ネットワークインターフェースカードと別個またはネットワークインターフェースカードを含む別のデバイスまたはデバイス群によって、図１０の１つまたは複数のプロセスブロックが実行されるようになっていてもよい。

【0096】

プロセス１０００をより詳細に説明すると、ブロック１０１０においては、非接続ネットワークと関連付けられているネットワークインターフェースカード（ＮＩＣ）の第１のノードにおいて、非接続ネットワークを宛先とし、第１の通信プロトコルを使用して送られたメッセージが受信される。第１のノードは、図４の第１のノード４０４ａ～４０４ｃに類似し、メッセージは、プライベートネットワークまたはインターネット等のパブリックネットワークから受信され得る。第１のノードは、第２のノードにより送られたメッセージを受信し得ないように構成可能である。

【0097】

ブロック１０２０において、メッセージは、第２の通信プロコルの使用によって、ネットワークインターフェースカードの第１のノードから第２のノードに送られる。第２の通信プロトコルは、単方向（たとえば、一方向）通信用に設定可能である。いくつかの実施態様において、第２の通信プロトコルとしては、ユーザデータグラムプロトコル（ＵＤＰ）が可能である。第２の通信プロトコルとしては、一方向の排他的な通信を可能にするように構成され得る任意の通信プロトコルが可能である。第２のノードは、図７に関して上述した第２のノード７０８ａ～７０８ｃに類似し得る。

【0098】

第１のノードおよび第２のノードは、Ethernetケーブルまたは光ファイバケーブル等のネットワークケーブルによって接続され得る。いくつかの実施態様において、第１のノードおよび第２のノードを接続するネットワークケーブルは、ダイオードを含まない。いくつかの実施態様において、第２の通信プロトコルとしては、第１の通信プロトコルと同じものが可能である。いくつかの実施態様において、第１のノードおよび第２のノードは、無線で接続されている。第１のノードおよび第２のノードは、別個のデバイスに配置され得る。

【0099】

ブロック１０３０において、メッセージは、第２のノードで受信される。いくつかの実施態様において、第２のノードは、当該第２のノードから第１のノードにメッセージが送られることのないように構成されている。いくつかの実施態様において、第１のノードおよび第２のノードは、異なるデバイスに配置され得る。第１のノードおよび第２のノードは、無線接続を介して通信可能である。

【0100】

ブロック１０４０において、メッセージは、第３の通信プロトコルの使用によって、第２のノードから非接続ネットワークの送信先ノードに送られる。いくつかの実施態様において、非接続ネットワークは、パブリックネットワーク（たとえば、インターネット）から隔離され得る。いくつかの実施態様において、非接続ネットワークは、メッセージを受信するようにだけ構成され、当該非接続ネットワークの外側の送信先ノードにメッセージを送ることはできない。いくつかの実施態様において、非接続ネットワークは、仮想クラウドネットワークを含む。いくつかの実施態様において、メッセージは、第２のノードを出た後、送信先ノードに到達する前にフィルタチェーンを通過する。フィルタチェーンは、マルウェアフィルタ、コンテンツフィルタ、シグネチャフィルタ、コンテンツアナライザのうちの１つまたは複数を含み得る。前述のフィルタは、人工知能および／または機械学習（ＡＩ／ＭＬ）の使用により、新たなマルウェアまたは攻撃に適応可能である。いくつかの実施形態においては、トラステッド送信元からトレーニングまたはテストデータがインラインで送られる。他の実施形態においては、他の場所で生成された予備トレーニング済みのＡＩ／ＭＬモデルのトラステッド送信元からのアップロードによって、フィルタリングを実行する。いくつかの実施態様において、第３の通信プロトコルとしては、第１または第２の通信プロトコルと同じプロトコルが可能である。

【0101】

プロセス１０００は、任意単一の実施態様あるいは後述の実施態様ならびに／または本明細書の他の場所に記載の１つもしくは複数の他のプロセスとの関連での実施態様の任意の組み合わせ等、付加的な実施態様を含んでいてもよい。

【0102】

図１０は、プロセス１０００の例示的なブロックを示しているが、いくつかの実施態様において、プロセス１０００は、図１０に示されるものよりも多いブロック、少ないブロック、異なるブロック、または異なる構成のブロックを含んでいてもよい。この追加または代替として、プロセス１０００のブロックのうちの２つ以上が並列に実行されるようになっていてもよい。

【0103】

図１１は、ある実施形態に係る、サービス型ソフトウェア（ＳａａＳ）ベースのクロスドメインソリューションのための方法を示している。いくつかの実施態様においては、仮想クラウドネットワークのコンピュータデバイスによって、図１１の１つまたは複数のプロセスブロックが実行されるようになっていてもよい。いくつかの実施態様においては、ネットワークインターフェースカードと別個またはネットワークインターフェースカードを含む別のデバイスまたはデバイス群によって、図１１の１つまたは複数のプロセスブロックが実行されるようになっていてもよい。

【0104】

ブロック１１１０の選択においては、仮想クラウドネットワークのコンピュータデバイスによって、データパイプライン用の複数のフィルタから１つまたは複数のフィルタが選択される。複数のフィルタは、マルウェアフィルタ、コンテンツフィルタ、シグネチャフィルタ、コンテンツアナライザ、ＡＩ／ＭＬのうちの少なくとも１つを含み、フィルタを更新可能であることがＡＰＩを介して顧客に公開され得る。顧客は、システムを通じて、マーキングされたトレーニング（テスト）データを送ることができる。別の実施形態においては、クラウドサービスプロバイダ、非接続ネットワークの所有者、セキュリティアナリスト、または他のトラステッド送信元等の他の送信元が学習およびトレーニングデータをＡＩ／ＭＬシステムに送ることができる。顧客は、送信元を選択するとともに、頻度、適用可能なフィルタ、および／または監視期間等の基準を規定するようにしてもよい。顧客（たとえば、クライアントまたはユーザ）は、データパイプライン用の複数のフィルタを選択可能である。いくつかの他の実施形態において、顧客は、ＡＩ／ＭＬモデルを予備トレーニングし、トレーニングデータの代わりに、トレーニング済みのモデルを送るようにしてもよい。いくつかの実施態様において、仮想クラウドネットワークは、仮想マシンである。いくつかの実施態様において、１つまたは複数の選択されたフィルタは、メッセージの送信元に少なくとも部分的に基づいて選択されたものである。いくつかの実施態様において、複数の１つまたは複数のフィルタは、同じメッセージの送信元に対して選択されたものである。

【0105】

ブロック１１２０においては、データパイプライン中の１つまたは複数の選択されたフィルタの順序が決定される。顧客（たとえば、クライアントまたはユーザ）は、順序を決定可能である。いくつかの実施態様において、決定された順序は、メッセージの送信元に少なくとも部分的に基づいて決定されたものである。いくつかの実施態様において、１つまたは複数の選択されたフィルタの順序は、メッセージの送信元に少なくとも部分的に基づいて決定される。フィルタには、人工知能および／または機械学習（ＡＩ／ＭＬ）フィルタを含み得る。ＡＩ／ＭＬフィルタは、予備トレーニング済みの人工知能または機械学習モデルを使用可能である。また、ＡＩ／ＭＬフィルタは、非接続ネットワークから取得されたトレーニングデータでトレーニングされた人工知能または機械学習モデルを使用可能である。トレーニングデータは、パケットの起点、既知のウィルスもしくはマルウェアの特性、または非接続ネットワークで受信されたトラフィックのトラフィックパターンを含み得る。ＡＩ／ＭＬフィルタは、コンテンツフィルタによりフラグ付けされたパケットを含むトレーニングデータでトレーニング可能である。フラグ付けされたパケットとしては、マルウェアまたはウィルスを含むものと識別されたパケットが可能である。ＡＩ／ＭＬフィルタは、フラグ付けされたパケットの使用により、マルウェアまたはウィルスを含むパケットを識別するようにトレーニング可能である。

【0106】

ブロック１１３０においては、一方向伝達デバイスとして構成されているネットワークインターフェースカード（ＮＩＣ）から、データパイプライン中のメッセージが受信される。いくつかの実施態様において、ネットワークインターフェースカードは、ソフトウェアベースの一方向伝達デバイスを含む。ネットワークインターフェースカードとしては、単一のデバイスも可能であるし、１つまたは複数のデバイスも可能である。

【0107】

ブロック１１４０において、データパイプライン中のメッセージは、決定された順序の１つまたは複数の選択されたフィルタに当該メッセージを通すことによりフィルタリングされる。順序は、メッセージの送信元に基づいて変化し得る。いくつかの状況において、フィルタの数は、メッセージによって決まり得る。また、フィルタの順序は、メッセージ間で異なり得る。また、フィルタの数は、メッセージごとに異なり得る。

【0108】

ブロック１１５０においては、ロギングネットワークを介して、データパイプラインで発生しているイベントのログが提供される。ログは、一組のトラステッドリポジトリに提供され得るが、いくつかの実施態様においては、アプリケーションプログラミングインターフェース（ＡＰＩ）を介して、ログからの情報がクライアントに提供され得る。

【0109】

プロセス１１００は、任意単一の実施態様あるいは後述の実施態様ならびに／または本明細書の他の場所に記載の１つもしくは複数の他のプロセスとの関連での実施態様の任意の組み合わせ等、付加的な実施態様を含んでいてもよい。

【0110】

いくつかの実施態様において、プロセス１１００は、決定された順序の１つまたは複数の選択されたフィルタによりメッセージが処理された後、データパイプラインから、１つまたは複数の選択されたフィルタを除去することを含む。

【0111】

図１１は、プロセス１１００の例示的なブロックを示しているが、いくつかの実施態様において、プロセス１１００は、図１１に示されるものよりも多いブロック、少ないブロック、異なるブロック、または異なる構成のブロックを含んでいてもよい。この追加または代替として、プロセス１１００のブロックのうちの２つ以上が並列に実行されるようになっていてもよい。

【0112】

図１２は、ある実施形態に係る、分散部分を有するクロスドメインソリューションのためのプロセス１２００を示している。いくつかの実施態様においては、非接続ネットワークのコンピューティングデバイスによって、図１２の１つまたは複数のプロセスブロックが実行されるようになっていてもよい。いくつかの実施態様においては、ネットワークインターフェースカードと別個またはネットワークインターフェースカードを含む別のデバイスまたはデバイス群によって、図１２の１つまたは複数のプロセスブロックが実行されるようになっていてもよい。

【0113】

ブロック１２１０においては、非接続ネットワークのコンピューティングデバイスによって、一組のフィルタ種別を提示するように構成されているアプリケーションプログラミングインターフェース（ＡＰＩ）が生成される。いくつかの実施態様において、ＡＰＩとしては、図９に関して上述したユーザインターフェース等のユーザインターフェース（たとえば、コンソール）が可能である。フィルタ種別は、マルウェアフィルタ、コンテンツフィルタ、シグネチャフィルタ、コンテンツアナライザ、機械学習フィルタ、または人工知能フィルタのうちの１つまたは複数を含み得る。ＡＰＩとしては、サービス型クロスドメインソリューションの提供の一部が可能である。フィルタには、１つまたは複数の人工知能および／または機械学習（ＡＩ／ＭＬ）フィルタを含み得る。ＡＩ／ＭＬフィルタは、予備トレーニング済みの人工知能および／または機械学習モデルを使用可能である。また、ＡＩ／ＭＬフィルタは、非接続ネットワークから取得されたトレーニングデータでトレーニングされた人工知能および／または機械学習モデルを使用可能である。トレーニングデータは、パケットの起点、既知のウィルスもしくはマルウェアの特性、または非接続ネットワークで受信されたトラフィックのトラフィックパターンを含み得る。ＡＩ／ＭＬフィルタは、コンテンツフィルタによりフラグ付けされたパケットを含むトレーニングデータでトレーニング可能である。フラグ付けされたパケットとしては、マルウェアまたはウィルスを含むものと識別されたパケットが可能である。ＡＩ／ＭＬフィルタは、フラグ付けされたパケットの使用により、マルウェアまたはウィルスを含むパケットを識別するようにトレーニング可能である。

【0114】

ブロック１２２０においては、アプリケーションプログラミングインターフェースを介して、一組のフィルタ種別からの一揃えの１つまたは複数のフィルタ種別が受信される。一揃えの１つまたは複数のフィルタ種別は、顧客（たとえば、クライアントまたはユーザ）により提供され得る。１つまたは複数のフィルタ種別は、クロスドメインソリューションの設定の一部として選択され得る。クロスドメインソリューションは、アプリケーションプログラミングインターフェース（ＡＰＩ）を介して設定可能である。ＡＰＩは、ウェブサービス（たとえば、サービス型クロスドメインソリューション（ＣＤＳａａＳ））を通じてユーザに提供され得る。ＡＰＩは、１つまたは複数のクロスドメインソリューションインスタンスの構成、生成、または修正に使用され得る。いくつかの実施態様において、一揃えのフィルタ種別は、メッセージ間で変化し得る。いくつかの実施態様において、一揃えのフィルタ種別は、メッセージの送信元に部分的に基づき得る。

【0115】

ブロック１２３０においては、アプリケーションプログラミングインターフェースを介して、選択されたフィルタ種別の順序が受信される。１つまたは複数のフィルタ種別の順序は、顧客（たとえば、クライアントまたはユーザ）により提供され得る。１つまたは複数のフィルタ種別の順序は、クロスドメインソリューションの設定の一部として選択され得る。クロスドメインソリューションは、サービス型クロスドメインソリューションとして提供され得る。いくつかの実施態様において、フィルタ種別の順序は、メッセージ間で変化し得る。いくつかの実施態様において、フィルタ種別の順序は、メッセージの送信元に部分的に基づき得る。

【0116】

ブロック１２４０においては、非接続ネットワークのコンピューティングデバイスにより、アプリケーションプログラミングインターフェースを介して受信されたコマンドに応答して、上記順序の一揃えのフィルタを含むデータパイプラインが生成される。いくつかの実施態様において、非接続ネットワークとしては、仮想クラウドネットワークが可能である。顧客（たとえば、クライアントまたはユーザ）は、サービス型クロスドメインソリューションの提供の一部として、仮想クラウドネットワークを設定可能である。

【0117】

ブロック１２５０においては、非接続ネットワークのコンピューティングデバイスにより、一方向伝達デバイスで受信されたメッセージを上記順序の選択されたフィルタに通すことによってメッセージが解析される。一方向伝達デバイスとしては、ソフトウェアベースの一方向伝達デバイスが可能である。いくつかの実施態様において、一方向伝達デバイスとしては、スマートネットワークインターフェースカード（スマートＮＩＣ）が可能である。

【0118】

ブロック１２６０においては、非接続ネットワークのロギングネットワークによって、データパイプラインで発生しているイベントのログが受信される。イベントのログは、オペレーティングシステム（ＯＳ）レベル、アプリケーションレベル、およびペイロードレベルで発生するイベントを含み得る。

【0119】

ブロック１２７０において、イベントのログは、アプリケーションプログラミングインターフェースを介して提示される。

【0120】

ブロック１２８０において、データパイプラインは、アプリケーションプログラミングインターフェースを介して終了コマンドを受信した際に終了となる。

【0121】

プロセス１２００は、任意単一の実施態様あるいは後述の実施態様ならびに／または本明細書の他の場所に記載の１つもしくは複数の他のプロセスとの関連での実施態様の任意の組み合わせ等、付加的な実施態様を含んでいてもよい。

【0122】

いくつかの実施態様において、プロセス１２００は、一方向伝達デバイスを介して、非接続ネットワークからトラステッドリポジトリにメッセージを送ることを含む。

【0123】

図１２は、プロセス１２００の例示的なブロックを示しているが、いくつかの実施態様において、プロセス１２００は、図１２に示されるものよりも多いブロック、少ないブロック、異なるブロック、または異なる構成のブロックを含んでいてもよい。この追加または代替として、プロセス１２００のブロックのうちの２つ以上が並列に実行されるようになっていてもよい。

【0124】

クラウドサービス（cloud service）という用語は一般的に、クラウドサービスプロバイダ（ＣＳＰ）が提供するシステムおよびインフラ（クラウドインフラ）の使用により、ＣＳＰによって、ユーザまたは顧客がオンデマンドで（たとえば、サブスクリプションモデルによって）利用可能となるサービスを表すのに用いられる。通常、ＣＳＰのインフラを構成するサーバおよびシステムは、顧客自身のオンプレミスサーバおよびシステムとは別個である。このため、顧客は、サービス用の別個のハードウェアおよびソフトウェアリソースを購入する必要なく、ＣＳＰが提供するクラウドサービスを利用可能である。クラウドサービスは、サービスの提供に使用されるインフラの調達に顧客が投資する必要なく、登録している顧客に対して、アプリケーションおよびコンピューティングリソースへの簡単かつスケーラブルなアクセスを提供するように設計されている。

【0125】

さまざまな種類のクラウドサービスを提供するクラウドサービスプロバイダは複数存在する。クラウドサービスには、サービス型ソフトウェア（ＳａａＳ）、サービス型プラットフォーム（ＰａａＳ）、サービス型インフラ（ＩａａＳ）等、さまざまな異なる種類またはモデルが存在する。

【0126】

顧客は、ＣＳＰが提供する１つまたは複数のクラウドサービスに登録することができる。顧客としては、個人、組織、企業等、如何なるエンティティも可能である。ＣＳＰが提供するサービスに顧客が登録または加入した場合は、当該顧客に対してテナンシまたはアカウントが生成される。そして、顧客は、このアカウントにより、当該アカウントと関連付けられている１つまたは複数の登録先クラウドリソースにアクセスすることができる。

【0127】

上述の通り、サービス型インフラ（ＩａａＳ）は、ある特定の種類のクラウドコンピューティングサービスである。ＩａａＳモデルにおいて、ＣＳＰは、顧客がそれぞれのカスタマイズ可能なネットワークを構築して顧客リソースをデプロイするのに使用可能なインフラ（クラウドサービスプロバイダインフラまたはＣＳＰＩと称する）を提供する。このように、顧客のリソースおよびネットワークは、ＣＳＰが提供するインフラにより分散環境においてホストされる。これは、顧客が提供するインフラによって顧客のリソースおよびネットワークがホストされる従来のコンピューティングとは異なる。

【0128】

ＣＳＰＩは、基盤ネットワークまたは基本ネットワークとも称する物理ネットワークを構成するさまざまなホストマシン、メモリリソース、およびネットワークリソースを含む相互接続された高性能コンピュートリソースを含み得る。ＣＳＰＩのリソースは、１つまたは複数の地理的領域に跨って地理的に分散し得る１つまたは複数のデータセンタに跨って分散し得る。これらの物理的リソースにより仮想化ソフトウェアが実行され、仮想化分散環境を提供し得る。仮想化によって、物理ネットワーク上に（ソフトウェアベースネットワーク、ソフトウェア定義ネットワーク、または仮想ネットワークとしても知られる）オーバーレイネットワークが生成される。ＣＳＰＩ物理ネットワークは、物理ネットワーク上に１つまたは複数のオーバーレイまたは仮想ネットワークを生成するための基礎となる。仮想またはオーバーレイネットワークには、１つまたは複数の仮想クラウドネットワーク（ＶＣＮ）を含み得る。仮想ネットワークは、ソフトウェア仮想化技術（たとえば、ハイパーバイザ、ネットワーク仮想化デバイス（ＮＶＤ）（たとえば、スマートＮＩＣ）により実行される機能、トップオブラック（ＴＯＲ）スイッチ、ＮＶＤにより実行される１つもしくは複数の機能を実現するスマートＴＯＲ、ならびに他のメカニズム）の使用により実現され、物理ネットワーク上で動作し得るネットワーク抽象化レイヤを生成する。仮想ネットワークは、ピアツーピアネットワーク、ＩＰネットワーク等を含む多くの形態が可能である。仮想ネットワークは通常、レイヤ３ ＩＰネットワークまたはレイヤ２ ＶＬＡＮである。この仮想またはオーバーレイネットワーキングの方法は、仮想またはオーバーレイレイヤ３ネットワーキングと称することが多い。仮想ネットワーク用に開発されたプロトコルの例としては、IP-in-IP（または、ＧＲＥ（Generic Routing Encapsulation））、ＶＸＬＡＮ－ＩＥＴＦ ＲＦＣ ７３４８（Virtual Extensible LAN）、ＶＰＮ（Virtual Private Network）（たとえば、MPLS Layer-3 Virtual Private Networks（RFC 4364））、VMwareのＮＳＸ、ＧＥＮＥＶＥ（Generic Network Virtualization Encapsulation）等が挙げられる。

【0129】

ＩａａＳの場合、ＣＳＰが提供するインフラ（ＣＳＰＩ）は、パブリックネットワーク（たとえば、インターネット）を介して仮想化コンピューティングリソースを提供するように構成可能である。ＩａａＳモデルにおいては、クラウドコンピューティングサービスプロバイダがインフラコンポーネント（たとえば、サーバ、記憶装置、ネットワークノード（たとえば、ハードウェア）、デプロイメントソフトウェア、プラットフォーム仮想化（たとえば、ハイパーバイザレイヤ）等）をホスト可能である。また、場合により、ＩａａＳプロバイダは、これらのインフラコンポーネントに付随する多様なサービス（たとえば、課金、モニタリング、ロギング、セキュリティ、負荷分散、およびクラスタリング等）を供給するようにしてもよい。したがって、これらのサービスがポリシー駆動であり得ることから、ＩａａＳユーザは、負荷分散を推進するポリシーの実装によって、アプリケーションの可用性および性能を維持可能となり得る。ＣＳＰＩは、ホストされている高可用性の分散環境において顧客が広範なアプリケーションおよびサービスを構築して動作させ得るようにするインフラおよび一組の補完的なクラウドサービスを提供する。ＣＳＰＩは、顧客のオンプレミスネットワーク等のさまざまなネットワーク上の場所から安全にアクセスし得る柔軟な仮想ネットワークにおいて、高性能のコンピュートリソースおよび機能、ならびに記憶容量を提供する。ＣＳＰが提供するＩａａＳサービスに顧客が登録または加入した場合、当該顧客に対して生成されるテナンシは、顧客がそれぞれのクラウドリソースを生成、編成、および管理し得るＣＳＰＩ内の隔離されたセキュアなパーティションである。

【0130】

顧客は、ＣＳＰＩが提供するコンピュート、メモリ、およびネットワーク用リソースを使用して、それぞれの仮想ネットワークを構築することができる。これらの仮想ネットワーク上には、コンピュートインスタンス等の１つまたは複数の顧客リソースまたはワークロードがデプロイされ得る。たとえば、顧客は、ＣＳＰＩが提供するリソースを使用して、１つまたは複数のカスタマイズ可能なプライベート仮想ネットワーク（仮想クラウドネットワーク（ＶＣＮ）と称する）を構築することができる。顧客は、コンピュートインスタンス等の１つまたは複数の顧客リソースを顧客ＶＣＮにデプロイすることができる。コンピュートインスタンスは、仮想マシン、ベアメタルインスタンス等の形態が可能である。このように、ＣＳＰＩは、ホストされている高可用性の仮想環境において顧客が広範なアプリケーションおよびサービスを構築して動作させ得るようにするインフラおよび一組の補完的なクラウドサービスを提供する。顧客は、ＣＳＰＩが提供する基礎的な物理的リソースの管理も制御も行わない一方、オペレーティングシステム、ストレージ、およびデプロイされたアプリケーションの制御は行う。一部のネットワーク用コンポーネント（たとえば、ファイアウォール）については、制御が制限される可能性もある。

【0131】

ＣＳＰは、顧客およびネットワーク管理者がＣＳＰＩリソースを使用して、クラウドにデプロイされたリソースを設定、アクセス、および管理できるようにするコンソールを提供し得る。ある実施形態において、コンソールは、ＣＳＰＩのアクセスおよび管理に使用可能なウェブベースのユーザインターフェースを提供する。いくつかの実施態様において、コンソールは、ＣＳＰが提供するウェブベースのアプリケーションである。

【0132】

ＣＳＰＩは、シングルテナンシまたはマルチテナンシアーキテクチャをサポートし得る。シングルテナンシアーキテクチャにおいては、ソフトウェア（たとえば、アプリケーション、データベース）またはハードウェアコンポーネント（たとえば、ホストマシンまたはサーバ）が単一の顧客またはテナントにサーブする。マルチテナンシアーキテクチャにおいては、ソフトウェアまたはハードウェアコンポーネントが複数の顧客またはテナントにサーブする。このため、マルチテナンシアーキテクチャにおいては、複数の顧客またはテナント間でＣＳＰＩリソースが共有される。マルチテナンシの状況においては、各テナントのデータが隔離され、他のテナントから見えないように、ＣＳＰＩ内で予防措置が講じられるとともに保護措置が講じられる。

【0133】

物理ネットワークにおいて、ネットワークエンドポイント（「エンドポイント」）は、物理ネットワークに接続され、接続先のネットワークと通信するコンピューティングデバイスまたはシステムを表す。物理ネットワークのネットワークエンドポイントは、ローカルエリアネットワーク（ＬＡＮ）、ワイドエリアネットワーク（ＷＡＮ）、または他種の物理ネットワークに接続されていてもよい。物理ネットワークにおける従来のエンドポイントの例としては、モデム、ハブ、ブリッジ、スイッチ、ルータ、および他のネットワーク用デバイス、物理コンピュータ（または、ホストマシン）等が挙げられる。物理ネットワークの各物理デバイスは、デバイスとの通信に使用され得る固定ネットワークアドレスを有する。この固定ネットワークアドレスとしては、レイヤ２アドレス（たとえば、ＭＡＣアドレス）、固定レイヤ３アドレス（たとえば、ＩＰアドレス）等が可能である。仮想化環境または仮想ネットワークにおいて、エンドポイントには、物理ネットワークの構成要素によりホストされる（たとえば、物理ホストマシンによりホストされる）仮想マシン等のさまざまな仮想エンドポイントを含み得る。これら仮想ネットワークのエンドポイントは、オーバーレイレイヤ２アドレス（たとえば、オーバーレイＭＡＣアドレス）およびオーバーレイレイヤ３アドレス（たとえば、オーバーレイＩＰアドレス）等のオーバーレイアドレスによりアドレス指定される。ネットワークオーバーレイによれば、ネットワーク管理者がソフトウェア管理を使用して（たとえば、仮想ネットワークの制御プレーンを実装するソフトウェアを介して）ネットワークエンドポイントと関連付けられているオーバーレイアドレスを移動できるようにすることで柔軟性がもたらされる。したがって、物理ネットワークと異なり、仮想ネットワークにおいては、ネットワーク管理ソフトウェアの使用によって、オーバーレイアドレス（たとえば、オーバーレイＩＰアドレス）があるエンドポイントから別のエンドポイントに移動し得る。仮想ネットワークが物理ネットワーク上に構築されていることから、仮想ネットワークの構成要素間の通信には、仮想ネットワークおよび基礎となる物理ネットワークの両者を含む。このような通信を容易化するため、ＣＳＰＩの構成要素は、仮想ネットワーク中のオーバーレイアドレスから基盤ネットワーク中の実際の物理アドレスへのマッピングおよびその逆を行うマッピングを学習および格納するように構成されている。そして、これらのマッピングの使用により通信を容易化する。また、顧客トラフィックのカプセル化によって、仮想ネットワークにおけるルーティングを容易化する。

【0134】

したがって、物理アドレス（たとえば、物理ＩＰアドレス）が物理ネットワークの構成要素と関連付けられ、オーバーレイアドレス（たとえば、オーバーレイＩＰアドレス）が仮想ネットワークのエンティティと関連付けられる。物理ＩＰアドレスおよびオーバーレイＩＰアドレスはいずれも、現実のＩＰアドレスの一種である。これらは、仮想ＩＰアドレスとは別個であって、仮想ＩＰアドレスは複数の現実のＩＰアドレスにマッピングされる。仮想ＩＰアドレスは、当該仮想ＩＰアドレスと複数の現実のＩＰアドレスとの間の１対多マッピングを与える。

【0135】

クラウドインフラまたはＣＳＰＩは、世界中の１つまたは複数のリージョンにおける１つまたは複数のデータセンタにおいて物理的にホストされる。ＣＳＰＩは、物理もしくは基盤ネットワークの構成要素ならびに物理ネットワークの構成要素上に構築されている仮想ネットワーク中の仮想化構成要素（たとえば、仮想ネットワーク、コンピュートインスタンス、仮想マシン等）を含み得る。ある実施形態において、ＣＳＰＩは、レルム、リージョン、および可用性ドメインにおいて編成およびホストされる。リージョンは通常、１つまたは複数のデータセンタを含む局所的な地理的エリアである。リージョンは一般的に、互いに独立しており、たとえば国あるいは大陸を跨ぐ長い距離で分離され得る。たとえば、第１のリージョンがオーストラリアにあり、別のリージョンが日本にあり、さらに別のリージョンがインドにあってもよい。ＣＳＰＩリソースは、各リージョンがそれぞれの独立したＣＳＰＩリソースの部分集合を有するようにリージョン間で分割される。各リージョンは、コンピュートリソース（たとえば、ベアメタルサーバ、仮想マシン、コンテナ、および関連するインフラ等）、ストレージリソース（たとえば、ブロックボリュームストレージ、ファイルストレージ、オブジェクトストレージ、アーカイブストレージ）、ネットワーク用リソース（たとえば、仮想クラウドネットワーク（ＶＣＮ）、負荷分散リソース、オンプレミスネットワークへの接続）、データベースリソース、エッジネットワーク用リソース（たとえば、ＤＮＳ）、ならびにアクセス管理およびモニタリングリソース等の一組のコアインフラサービスおよびリソースを提供し得る。各リージョンは一般的に、それぞれをレルムの他のリージョンに接続する複数の経路を有する。

【0136】

一般的に、アプリケーションは、最も頻繁に使用されるリージョンにデプロイされる（すなわち、当該リージョンと関連付けられているインフラにデプロイされる）。近くのリソースを使用する方が遠くのリソースを使用するよりも高速となるためである。また、アプリケーションは、大規模な気象系または地震等のリージョン全体のイベントのリスクを軽減するための冗長性、法域、税務分野、ならびに他のビジネスもしくは社会的基準等のさまざまな要件を満たすための冗長性等、さまざまな理由で異なるリージョンにデプロイされ得る。

【0137】

リージョン内のデータセンタは、さらに編成され、可用性ドメイン（ＡＤ）に細分され得る。可用性ドメインは、リージョン内に配置されている１つまたは複数のデータセンタに対応し得る。リージョンは、１つまたは複数の可能性ドメインで構成され得る。このような分散環境において、ＣＳＰＩリソースは、仮想クラウドネットワーク（ＶＣＮ）等のリージョン固有またはコンピュートインスタンス等の可用性ドメイン固有である。

【0138】

リージョン内のＡＤは互いに隔離され、フォールトトレラントであり、同時に障害が発生する可能性が非常に低くなるように設定されている。これは、ネットワーク、物理ケーブル、ケーブルパス、ケーブルエントリポイント等の重要なインフラリソースをＡＤが共有しないことにより実現される。このため、リージョン内のあるＡＤで障害が発生しても、同じリージョン内のその他のＡＤの可用性に影響が及ぶ可能性は低くなる。同じリージョン内のＡＤは、低レイテンシで高帯域幅のネットワークにより互いに接続され得るため、他のネットワーク（たとえば、インターネット、顧客のオンプレミスネットワーク等）への高可用性接続を可能にし、高可用性および障害回復の両者のため、複製システムを複数のＡＤに構築可能となる。クラウドサービスでは、複数のＡＤを使用して、高可用性を確保するとともに、リソース障害に対する保護を図る。ＩａａＳプロバイダが提供するインフラが成長するにつれて、より多くのリージョンおよびＡＤに容量が追加され得る。また、可用性ドメイン間のトラフィックは通例、暗号化されている。

【0139】

ある実施形態においては、リージョンがレルムとしてグループ化されている。レルムは、リージョンの論理的集合である。レルムは、互いに隔離されており、如何なるデータも共有しない。同じレルムのリージョンは互いに通信可能であるが、異なるレルムのリージョンは不可能である。ＣＳＰを使用する顧客のテナンシまたはアカウントは、単一のレルムに存在し、当該レルムに属する１つまたは複数のリージョンに分散し得る。通常、顧客がＩａａＳサービスに登録した場合は、レルム内の顧客固有のリージョン（「ホーム」リージョンと称する）において、当該顧客のテナンシまたはアカウントが生成される。顧客は、レルム内の１つまたは複数の他のリージョンに跨って当該顧客のテナンシを拡張することができる。顧客は、当該顧客のテナンシが存在するレルムにないリージョンにはアクセスできない。

【0140】

ＩａａＳプロバイダは、特定の一組の顧客またはユーザに各々対応する複数のレルムを提供可能である。たとえば、商用顧客に対しては商用レルムが提供され得る。別の例として、特定の国に関しては、当該国内の顧客に対してレルムが提供され得る。さらに別の例として、政府に対しては政府レルムが提供され、以下同様である。たとえば、政府レルムは、特定の政府に対応し、商用レルムよりもセキュリティのレベルを高くすることができる。たとえば、ＯＣＩ（Oracle Cloud Infrastructure）は現在、商用リージョン用に対して１つ、政府クラウドリージョンに対して２つのレルム（たとえば、ＦｅｄＲＡＭＰ認証およびＩＬ５認証）を提供している。

【0141】

ある実施形態においては、ＡＤが１つまたは複数のフォールトドメインに細分され得る。フォールトドメインは、アンチアフィニティを提供するＡＤ内のインフラリソースのグループである。フォールトドメインは、単一のＡＤ内の同じ物理ハードウェア上とならないようにコンピュートインスタンスを分散させることができる。これがアンチアフィニティとして知られている。フォールトドメインは、単一の障害点を共有する一組のハードウェアコンポーネント（コンピュータ、スイッチ等）を表す。コンピュートプールが論理的に、フォールトドメインに分割される。このため、あるフォールトドメインに影響を及ぼすハードウェア障害またはコンピュートハードウェア保守イベントが他のフォールトドメインのインスタンスに影響を及ぼすことはない。実施形態に応じて、ＡＤごとのフォールトドメインの数は異なり得る。たとえば、ある実施形態において、各ＡＤは、３つのフォールトドメインを含む。フォールトドメインは、ＡＤ内の論理的なデータセンタとして作用する。

【0142】

顧客がＩａａＳサービスに登録した場合は、顧客に対してＣＳＰＩからのリソースのプロビジョニングがなされ、顧客のテナンシと関連付けられる。顧客は、プロビジョニングがなされたこれらのリソースを使用して、プライベートネットワークを構築するとともに、これらのネットワーク上でリソースをデプロイすることができる。ＣＳＰＩによってクラウドでホストされる顧客ネットワークは、仮想クラウドネットワーク（ＶＣＮ）と称する。顧客は、割り当てられたＣＳＰＩリソースを使用して、１つまたは複数の仮想クラウドネットワーク（ＶＣＮ）を設定することができる。ＶＣＮは、仮想またはソフトウェア定義のプライベートネットワークである。顧客のＶＣＮにおいてデプロイされる顧客リソースには、コンピュートインスタンス（たとえば、仮想マシン、ベアメタルインスタンス）および他のリソースを含み得る。これらのコンピュートインスタンスは、アプリケーション、負荷分散器、データベース等のさまざまな顧客ワークロードを表し得る。ＶＣＮにデプロイされたコンピュートインスタンスは、インターネット等のパブリックネットワークを介してアクセス可能なパブリックエンドポイント（「パブリックエンドポイント」）、同じＶＣＮもしくは他のＶＣＮ（たとえば、顧客の他のＶＣＮもしくは顧客に属さないＶＣＮ）中の他のインスタンス、顧客のオンプレミスデータセンタもしくはネットワーク、ならびにサービスエンドポイントおよび他種のエンドポイントと通信可能である。

【0143】

ＣＳＰは、ＣＳＰＩを使用して、さまざまなサービスを提供することができる。場合によっては、ＣＳＰＩの顧客自身がサービスプロバイダのように振る舞い、ＣＳＰＩリソースを使用してサービスを提供することができる。サービスプロバイダは、識別情報（たとえば、ＩＰアドレス、ＤＮＳ名およびポート）により特性化されたサービスエンドポイントを公開し得る。顧客のリソース（たとえば、コンピュートインスタンス）は、特定のサービスに対して当該サービスが公開するサービスエンドポイントにアクセスすることによって、特定のサービスを消費することができる。これらのサービスエンドポイントは一般的に、インターネット等のパブリック通信ネットワークを介して、エンドポイントと関連付けられているパブリックＩＰアドレスの使用によりユーザがパブリックにアクセスし得るエンドポイントである。また、パブリックにアクセス可能なネットワークエンドポイントは、パブリックエンドポイントと称する場合もある。

【0144】

ある実施形態において、サービスプロバイダは、サービスのエンドポイント（サービスエンドポイントと称する場合もある）を介して、サービスを公開することができる。そして、サービスの顧客は、このサービスエンドポイントを使用して、サービスにアクセスすることができる。ある実施態様においては、サービスに対して与えられたサービスエンドポイントに対して、当該サービスを消費する意図の複数の顧客がアクセス可能である。他の実施態様においては、顧客に対して専用のサービスエンドポイントが与えられ、当該顧客のみが当該専用サービスエンドポイントを使用してサービスにアクセスできるようにしてもよい。

【0145】

ある実施形態において、ＶＣＮが生成された場合、これは、ＶＣＮに割り当てられている広範なプライベートオーバーレイＩＰアドレスであるプライベートオーバーレイＣＩＤＲ（Classless Inter-Domain Routing）アドレス空間と関連付けられる（たとえば、１０．０／１６）。ＶＣＮは、関連するサブネット、ルートテーブル、およびゲートウェイを含む。ＶＣＮは、単一のリージョン内に存在するが、１つもしくは複数またはすべてのリージョンの可用性ドメインに及ぶ可能性もある。ゲートウェイは、ＶＣＮに対して設定された仮想インターフェースであり、ＶＣＮとＶＣＮの外側の１つまたは複数のエンドポイントとの間のトラフィックの通信を可能にする。ＶＣＮに対しては、１つまたは複数の異なる種類のゲートウェイが設定されることにより、異なる種類のエンドポイント間の通信を可能にし得る。

【0146】

ＶＣＮは、１つまたは複数のサブネット等の１つまたは複数のサブネットワークに細分され得る。したがって、サブネットは、ＶＣＮ内に生成され得る設定単位または下位区分である。ＶＣＮは、１つまたは複数のサブネットを有し得る。ＶＣＮ内の各サブネットは、当該ＶＣＮの他のサブネットと重なり合わず、ＶＣＮのアドレス空間内のアドレス空間サブセットを表す連続範囲のオーバーレイＩＰアドレス（たとえば、１０．０．０．０／２４および１０．０．１．０／２４）と関連付けられている。

【0147】

各コンピュートインスタンスは、ＶＣＮのサブネットへの当該コンピュートインスタンスの参加を可能にする仮想ネットワークインターフェースカード（ＶＮＩＣ）と関連付けられている。ＶＮＩＣは、物理的なネットワークインターフェースカード（ＮＩＣ）の論理的表現である。一般的に、ＶＮＩＣは、エンティティ（たとえば、コンピュートインスタンス、サービス）と仮想ネットワークとの間のインターフェースである。ＶＮＩＣは、サブネットに存在し、１つまたは複数の関連するＩＰアドレスを有するとともに、関連するセキュリティルールまたはポリシーを有する。ＶＮＩＣは、スイッチ上のレイヤ２ポートに相当する。ＶＮＩＣは、コンピュートインスタンスおよびＶＣＮ内のサブネットに付随する。コンピュートインスタンスと関連付けられているＶＮＩＣによれば、コンピュートインスタンスがＶＣＮのサブネットの一部になり得るとともに、コンピュートインスタンスと同じサブネット上のエンドポイント、ＶＣＮの異なるサブネットのエンドポイント、またはＶＣＮの外側のエンドポイントとコンピュートインスタンスが通信可能（たとえば、パケットを送受信可能）となる。したがって、コンピュートインスタンスと関連付けられているＶＮＩＣは、ＶＣＮの内側および外側のエンドポイントとのコンピュートインスタンスのつながり方を決定する。コンピュートインスタンスに対するＶＮＩＣは、コンピュートインスタンスが生成され、ＶＣＮ内のサブネットに追加された場合に、生成され、当該コンピュートインスタンスと関連付けられる。一組のコンピュートインスタンスを含むサブネットの場合、このサブネットは、一組のコンピュートインスタンスに対応するＶＮＩＣを含み、各ＶＮＩＣは、一組のコンピュートインスタンスのうちのあるコンピュートインスタンスに付随する。

【0148】

各コンピュートインスタンスには、当該コンピュートインスタンスと関連付けられているＶＮＩＣを介して、プライベートオーバーレイＩＰアドレスが割り当てられている。このプライベートオーバーレイＩＰアドレスは、コンピュートインスタンスが生成された場合に、コンピュートインスタンスと関連付けられているＶＮＩＣに割り当てられ、コンピュートインスタンスに対するトラフィックのルーティングに使用される。所与のサブネットにおいては、すべてのＶＮＩＣが同じルートテーブル、セキュリティリスト、およびＤＨＣＰオプションを使用する。上述の通り、ＶＣＮ内の各サブネットは、当該ＶＣＮの他のサブネットと重なり合わず、ＶＣＮのアドレス空間内のアドレス空間サブセットを表す連続範囲のオーバーレイＩＰアドレス（たとえば、１０．０．０．０／２４および１０．０．１．０／２４）と関連付けられている。ＶＣＮの特定のサブネット上のＶＮＩＣの場合、ＶＮＩＣに割り当てられているプライベートオーバーレイＩＰアドレスは、サブネットに割り当てられている連続範囲のオーバーレイＩＰアドレスのうちのアドレスである。

【0149】

ある実施形態においては、プライベートオーバーレイＩＰアドレスのほか、たとえばパブリックサブネットの場合の１つまたは複数のパブリックＩＰアドレス等の付加的なオーバーレイＩＰアドレスが任意選択としてコンピュートインスタンスに割り当てられていてもよい。これら複数のアドレスは、同じＶＮＩＣまたはコンピュートインスタンスと関連付けられている複数のＶＮＩＣに対して割り当てられている。ただし、各インスタンスは、インスタンスの起動時に生成され、インスタンスに割り当てられたオーバーレイプライベートＩＰアドレスと関連付けられている一次ＶＮＩＣを有する（この一次ＶＮＩＣは、削除不可能である）。一次ＶＮＩＣと同じ可用性ドメインにおいては、二次ＶＮＩＣと称する付加的なＶＮＩＣを既存のインスタンスに追加可能である。ＶＮＩＣはすべて、このインスタンスと同じ可用性ドメインにある。二次ＶＮＩＣは、一次ＶＮＩＣと同じＶＣＮのサブネットに存在することも可能であるし、同じＶＣＮまたは異なるＶＣＮの異なるサブネットに存在することも可能である。

【0150】

コンピュートインスタンスは、パブリックサブネットに存在する場合、任意選択としてパブリックＩＰアドレスが割り当てられ得る。サブネットは、生成の時点でパブリックサブネットまたはプライベートサブネットとして指定され得る。プライベートサブネットは、当該サブネット中のリソース（たとえば、コンピュートインスタンス）および関連するＶＮＩＣがパブリックオーバーレイＩＰアドレスを有し得ないことを意味する。パブリックサブネットは、当該サブネット中のリソースおよび関連するＶＮＩＣがパブリックＩＰアドレスを有し得ることを意味する。顧客は、リージョンまたはレルムの単一の可用性ドメインまたは複数の可用性ドメインに存在するようにサブネットを指定することができる。

【0151】

上述の通り、ＶＣＮは、１つまたは複数のサブネットに細分され得る。ある実施形態においては、ＶＣＮに対して設定された仮想ルータ（ＶＲ）（ＶＣＮ ＶＲまたは単にＶＲと称する）がＶＣＮのサブネット間の通信を可能にする。ＶＣＮ内のサブネットの場合、ＶＲは、ＶＣＮ内の他のサブネット上のエンドポイントおよびＶＣＮの外側の他のエンドポイントと当該サブネット（すなわち、当該サブネット上のコンピュートインスタンス）が通信できるようにするサブネットの論理的ゲートウェイを表す。ＶＣＮ ＶＲは、ＶＣＮ中のＶＮＩＣとＶＣＮに関連する仮想ゲートウェイ（「ゲートウェイ」）との間でトラフィックをルーティングするように構成されている論理的エンティティである。ゲートウェイについては、図１に関して別途後述される。ＶＣＮ ＶＲは、レイヤ３／ＩＰレイヤの概念である。一実施形態においては、ＶＣＮに対して１つのＶＣＮ ＶＲが存在し、ＶＣＮ ＶＲは潜在的に、ＩＰアドレスによりアドレス指定されるポートの数が制限され、ＶＣＮのサブネットごとに１つのポートが存在する。このように、ＶＣＮ ＶＲは、当該ＶＣＮ ＶＲが付随するＶＣＮのサブネットごとに異なるＩＰアドレスを有する。また、ＶＲは、ＶＣＮに対して設定されたさまざまなゲートウェイに接続されている。ある実施形態においては、サブネットに対するオーバーレイＩＰアドレス範囲の特定のオーバーレイＩＰアドレスが当該サブネットのＶＣＮ ＶＲのポートに対して予約されている。たとえば、ＶＣＮに２つのサブネットがあり、それぞれにアドレス範囲１０．０／１６および１０．１／１６が関連付けられているものとする。アドレス範囲が１０．０／１６のＶＣＮ内の第１のサブネットに関しては、この範囲のアドレスが当該サブネットのＶＣＮ ＶＲのポートに対して予約されている。場合によっては、この範囲の最初のＩＰアドレスがＶＣＮ ＶＲに対して予約されていてもよい。たとえば、オーバーレイＩＰアドレス範囲が１０．０／１６のサブネットに関しては、ＩＰアドレス１０．０．０．１が当該サブネットのＶＣＮ ＶＲのポートに対して予約されていてもよい。アドレス範囲が１０．１／１６の同じＶＣＮ内の第２のサブネットに関して、ＶＣＮ ＶＲは、当該第２のサブネットに対して、ＩＰアドレスが１０．１．０．１のポートを有していてもよい。ＶＣＮ ＶＲは、ＶＣＮのサブネットの各々について、異なるＩＰアドレスを有する。

【0152】

いくつかの他の実施形態において、ＶＣＮ内の各サブネットは、それ自体の関連するＶＲを有していてもよく、このＶＲは、当該ＶＲと関連付けられている予約済みまたはデフォルトのＩＰアドレスの使用によってサブネットによりアドレス指定可能である。予約済みまたはデフォルトのＩＰアドレスは、たとえば当該サブネットと関連付けられているＩＰアドレスの範囲の最初のＩＰアドレスであってもよい。サブネット中のＶＮＩＣは、このデフォルトまたは予約済みのＩＰアドレスを使用して、サブネットと関連付けられているＶＲと通信可能である（たとえば、パケットを送受信可能である）。このような実施形態において、ＶＲは、当該サブネットの入力／出力点である。ＶＣＮ内のサブネットと関連付けられているＶＲは、ＶＣＮ内の他のサブネットと関連付けられている他のＶＲと通信可能である。また、ＶＲは、ＶＣＮと関連付けられているゲートウェイと通信可能である。サブネットのＶＲ機能は、サブネット中のＶＮＩＣのＶＮＩＣ機能を実行する１つもしくは複数のＮＶＤ上で動作しているか、または、１つもしくは複数のＮＶＤにより実行されている。

【0153】

ＶＣＮに対しては、ルートテーブル、セキュリティルール、およびＤＨＣＰオプションが設定され得る。ルートテーブルは、ＶＣＮの仮想ルートテーブルであり、ゲートウェイまたは特別に設定されたインスタンスを経由してＶＣＮ内のサブネットからＶＣＮの外側の送信先にトラフィックをルーティングするルールを含む。ＶＣＮのルートテーブルは、ＶＣＮに対するパケットの転送／ルーティングの方法を制御するようにカスタマイズ可能である。ＤＨＣＰオプションは、起動時にインスタンスに対して自動的に与えられる設定情報を表す。

【0154】

ＶＣＮに対して設定されたセキュリティルールは、ＶＣＮのオーバーレイファイアウォールルールを表す。セキュリティルールには、入力および出力ルールを含み、ＶＣＮ内のインスタンスに入出力可能なトラフィックの種類を（たとえば、プロトコルおよびポートに基づいて）指定することができる。顧客は、所与のルールがステートフルかステートレスかを選定可能である。たとえば、顧客は、送信元ＣＩＤＲ０．０．０．０／０および送信先ＴＣＰポート２２のステートフルな入力ルールを設定することにより、任意の場所から一組のインスタンスへの入力ＳＳＨトラフィックを許可することができる。セキュリティルールは、ネットワークセキュリティグループまたはセキュリティリストを使用することにより実現され得る。ネットワークセキュリティグループは、当該グループのリソースにしか当てはまらない一組のセキュリティルールから成る。一方、セキュリティリストは、当該セキュリティリストを使用する任意のサブネットのすべてのリソースに当てはまるルールを含む。ＶＣＮには、デフォルトのセキュリティルールを含むデフォルトのセキュリティリストが提供され得る。ＶＣＮに対して設定されたＤＨＣＰオプションは、起動時にＶＣＮのインスタンスに対して自動的に与えられる設定情報を提供する。

【0155】

ある実施形態において、ＶＣＮの設定情報は、ＶＣＮ制御プレーンにより決定および格納される。ＶＣＮの設定情報には、たとえばＶＣＮと関連付けられているアドレス範囲、ＶＣＮ内のサブネットおよび関連情報、ＶＣＮと関連付けられている１つもしくは複数のＶＲ、ＶＣＮ中のコンピュートインスタンスおよび関連ＶＮＩＣ、ＶＣＮと関連付けられているさまざまな仮想化ネットワーク機能（たとえば、ＶＮＩＣ、ＶＲ、ゲートウェイ）を実行するＮＶＤ、ＶＣＮの状態情報、ならびに他のＶＣＮ関連情報に関する情報を含み得る。ある実施形態において、ＶＣＮ配信サービスは、ＶＣＮ制御プレーンまたはその一部により格納された設定情報をＮＶＤに公開する。配信された情報は、ＮＶＤにより格納され、ＶＣＮのコンピュートインスタンスに対するパケットの転送に使用される情報（たとえば、転送テーブル、ルーティングテーブル等）の更新に使用され得る。

【0156】

ある実施形態において、ＶＣＮおよびサブネットの生成は、ＶＣＮ制御プレーン（ＣＰ）により処理され、コンピュートインスタンスの起動は、コンピュート制御プレーンにより処理される。コンピュート制御プレーンは、コンピュートインスタンスの物理的リソースの割り当てを担った後、ＶＣＮ制御プレーンを呼び出して、ＶＮＩＣを生成するとともにコンピュートインスタンスに付随させる。また、ＶＣＮ ＣＰは、パケット転送およびルーティング機能を実行するように構成されているＶＣＮデータプレーンに対してＶＣＮデータマッピングを送る。ある実施形態において、ＶＣＮ ＶＰは、ＶＣＮデータプレーンへのアップデートの供給を担う配信サービスを提供する。ＶＣＮ制御プレーンの例については、図１８、図１９、図２０、および図２１にも示され（参照番号１８１６、１９１６、２０１６、および２１１６参照）、後述される。

【0157】

顧客は、ＣＳＰＩがホストするリソースを使用して１つまたは複数のＶＣＮを生成することができる。顧客ＶＣＮにデプロイされたコンピュートインスタンスは、さまざまなエンドポイントと通信可能である。これらのエンドポイントには、ＣＳＰＩがホストするエンドポイントおよびＣＳＰＩの外側のエンドポイントを含み得る。

【0158】

ＣＳＰＩを使用してクラウドベースのサービスを実装するための種々異なるアーキテクチャが図１３、図１４、図１５、図１６、図１７、図１８、図１９、図２０、および図２２に示されるとともに後述される。図１３は、ある実施形態に係る、ＣＳＰＩによりホストされるオーバーレイまたは顧客ＶＣＮを示す分散環境１３００の高レベル図である。図１３に示される分散環境は、オーバーレイネットワークの複数の構成要素を含む。図１３に示される分散環境１３００は一例に過ぎず、特許請求の範囲に係る実施形態の範囲を過度に制限することは意図されない。多くの変形、代替、および改良が可能である。たとえば、いくつかの実施態様において、図１３に示される分散環境は、図１に示されるものよりシステムまたは構成要素が多くても少なくてもよいし、２つ以上のシステムを組み合わせるようにしてもよいし、システムの構成または配置が異なっていてもよい。

【0159】

図１３の例に示される通り、分散環境１３００は、顧客が登録してそれぞれの仮想クラウドネットワーク（ＶＣＮ）を構築するのに使用可能なサービスおよびリソースを提供するＣＳＰＩ１３０１を含む。ある実施形態において、ＣＳＰＩ１３０１は、登録している顧客にＩａａＳサービスを提供する。ＣＳＰＩ１３０１内のデータセンタは、１つまたは複数のリージョンとして編成されていてもよい。図１３には、１つの例示的なリージョン「リージョンＵＳ」１３０２が示されている。顧客は、リージョン１３０２に対して顧客ＶＣＮ１３０４を設定済みである。顧客は、さまざまなコンピュートインスタンスをＶＣＮ１３０４にデプロイするようにしてもよく、これらのコンピュートインスタンスには、仮想マシンまたはベアメタルインスタンスを含み得る。インスタンスの例としては、アプリケーション、データベース、負荷分散器等が挙げられる。

【0160】

図１３に示される実施形態において、顧客ＶＣＮ１３０４は、２つのサブネットすなわち「サブネット１」および「サブネット２」を含み、各サブネットがそれ自体のＣＩＤＲ ＩＰアドレス範囲を有する。図１３においては、サブネット１のオーバーレイＩＰアドレス範囲が１６．０／１６であり、サブネット２のアドレス範囲が１６．１／１６である。ＶＣＮ仮想ルータ１３０５は、ＶＣＮ１３０４のサブネット間およびＶＣＮの外側の他のエンドポイントとの通信を可能にするＶＣＮの論理的ゲートウェイを表す。ＶＣＮ ＶＲ１３０５は、ＶＣＮ１３０４中のＶＮＩＣとＶＣＮ１３０４に関連するゲートウェイとの間でトラフィックをルーティングするように構成されている。ＶＣＮ ＶＲ１３０５は、ＶＣＮ１３０４の各サブネットにポートを提供する。たとえば、ＶＲ１３０５は、ＩＰアドレス１０．０．０．１のポートをサブネット１に、ＩＰアドレス１０．１．０．１のポートをサブネット２に提供するようにしてもよい。

【0161】

複数のコンピュートインスタンスが各サブネットにデプロイされるようになっていてもよく、コンピュートインスタンスとしては、仮想マシンインスタンスおよび／またはベアメタルインスタンスが可能である。サブネット中のコンピュートインスタンスは、ＣＳＰＩ１３０１内の１つまたは複数のホストマシンによりホストされていてもよい。コンピュートインスタンスは、当該コンピュートインスタンスと関連付けられているＶＮＩＣを介してサブネットに参加する。たとえば、図１３に示されるように、コンピュートインスタンスＣ１は、当該コンピュートインスタンスと関連付けられているＶＮＩＣを介して、サブネット１の一部である。同様に、コンピュートインスタンスＣ２は、Ｃ２と関連付けられているＶＮＩＣを介して、サブネット１の一部である。同様に、複数のコンピュートインスタンス（仮想マシンインスタンスであってもよいし、ベアメタルインスタンスであってもよい）がサブネット１の一部であってもよい。各コンピュートインスタンスには、その関連するＶＮＩＣを介して、プライベートオーバーレイＩＰアドレスおよびＭＡＣアドレスが割り当てられている。たとえば、図１３において、コンピュートインスタンスＣ１は、オーバーレイＩＰアドレスが１０．０．０．２、ＭＡＣアドレスがＭ１である一方、コンピュートインスタンスＣ２は、プライベートオーバーレイＩＰアドレスが１０．０．０．３、ＭＡＣアドレスがＭ２である。サブネット１の各コンピュートインスタンス（コンピュートインスタンスＣ１およびＣ２を含む）は、サブネット１に対するＶＣＮ ＶＲ ６ １３０５のポートのＩＰアドレスであるＩＰアドレス１０．０．０．１を使用するＶＣＮ ＶＲ ６ １３０５へのデフォルトのルートを有する。

【0162】

サブネット２は、仮想マシンインスタンスおよび／またはベアメタルインスタンスを含む複数のコンピュートインスタンスがデプロイされ得る。たとえば、図１３に示されるように、コンピュートインスタンスＤ１およびＤ２は、当該コンピュートインスタンスそれぞれと関連付けられているＶＮＩＣを介して、サブネット２の一部である。図１３に示される実施形態において、コンピュートインスタンスＤ１は、オーバーレイＩＰアドレスが１０．１．０．２、ＭＡＣアドレスがＭＭ１である一方、コンピュートインスタンスＤ２は、プライベートオーバーレイＩＰアドレスが１０．１．０．３、ＭＡＣアドレスがＭＭ２である。サブネット２の各コンピュートインスタンス（コンピュートインスタンスＤ１およびＤ２を含む）は、サブネット２に対するＶＣＮ ＶＲ１３０５のポートのＩＰアドレスであるＩＰアドレス１０．１．０．１を使用するＶＣＮ ＶＲ ６ １３０５へのデフォルトのルートを有する。

【0163】

また、ＶＣＮ Ａ１３０４は、１つまたは複数の負荷分散器を具備していてもよい。たとえば、サブネットに対して負荷分散器が与えられ、サブネット上の複数のコンピュートインスタンス間でトラフィックを負荷分散するように構成されていてもよい。また、ＶＣＮのサブネット間でトラフィックを負荷分散する負荷分散器が与えられていてもよい。

【0164】

ＶＣＮ１３０４にデプロイされた特定のコンピュートインスタンスは、さまざまな異なるエンドポイントと通信可能である。これらのエンドポイントには、ＣＳＰＩ１６００がホストするエンドポイントおよびＣＳＰＩ１６００の外側のエンドポイントを含み得る。ＣＳＰＩ１３０１によりホストされるエンドポイントには、特定のコンピュートインスタンスと同じサブネット上のエンドポイント（たとえば、サブネット１の２つのコンピュートインスタンス間の通信）、同じＶＣＮ内の異なるサブネット上のエンドポイント（たとえば、サブネット１のコンピュートインスタンスとサブネット２のコンピュートインスタンスとの間の通信）、同じリージョンにおける異なるＶＣＮ中のエンドポイント（たとえば、サブネット１のコンピュートインスタンスと同じリージョン１３０６もしくは１３１０におけるＶＣＮ中のエンドポイントとの間の通信、サブネット１のコンピュートインスタンスと同じリージョンにおけるサービスネットワーク１３１０中のエンドポイントとの間の通信）、または異なるリージョンにおけるＶＣＮ中のエンドポイント（たとえば、サブネット１のコンピュートインスタンスと異なるリージョン１３０８におけるＶＣＮ中のエンドポイントとの間の通信）を含み得る。また、ＣＳＰＩ１３０１がホストするサブネット中のコンピュートインスタンスは、ＣＳＰＩ１３０１がホストしていない（すなわち、ＣＳＰＩ１３０１の外側の）エンドポイントと通信し得る。これら外側のエンドポイントには、顧客のオンプレミスネットワーク１３１６中のエンドポイント、ホストされている他のリモートクラウドネットワーク１３１８内のエンドポイント、インターネット等のパブリックネットワークを介してアクセス可能なパブリックエンドポイント１３１４、および他のエンドポイントを含む。

【0165】

同じサブネット上のコンピュートインスタンス間の通信は、送信元コンピュートインスタンスおよび送信先コンピュートインスタンスと関連付けられているＶＮＩＣの使用により容易化される。たとえば、サブネット１のコンピュートインスタンスＣ１は、サブネット１のコンピュートインスタンスＣ２にパケットを送りたい場合がある。送信元コンピュートインスタンスを起点とし、送信先が同じサブネット中の別のコンピュートインスタンスであるパケットの場合、このパケットは最初に、送信元コンピュートインスタンスと関連付けられているＶＮＩＣによって処理される。送信元コンピュートインスタンスと関連付けられているＶＮＩＣにより実行される処理には、パケットヘッダによるパケットの送信先情報の決定、送信元コンピュートインスタンスと関連付けられているＶＮＩＣに対して設定された任意のポリシー（たとえば、セキュリティリスト）の識別、パケットのネクストホップの決定、必要に応じたパケットのカプセル化／カプセル解除機能の実行、およびパケットの目的の送信先への通信を容易化するためのネクストホップへのパケットの転送／ルーティングを含み得る。送信先コンピュートインスタンスが送信元コンピュートインスタンスと同じサブネットにある場合、送信元コンピュートインスタンスと関連付けられているＶＮＩＣは、送信先コンピュートインスタンスと関連付けられているＶＮＩＣを識別し、パケットを当該ＶＮＩＣに転送して処理するように構成されている。その後、送信先コンピュートインスタンスと関連付けられているＶＮＩＣの実行によって、パケットを送信先コンピュートインスタンスに転送する。

【0166】

あるサブネット中のコンピュートインスタンスから同じＶＣＮの異なるサブネット中のエンドポイントにパケットが送られる場合、この通信は、送信元および送信先コンピュートインスタンスと関連付けられているＶＮＩＣならびにＶＣＮ ＶＲによって容易化される。たとえば、図１３におけるサブネット１のコンピュートインスタンスＣ１がサブネット２のコンピュートインスタンスＤ１にパケットを送りたい場合、このパケットは最初に、コンピュートインスタンスＣ１と関連付けられているＶＮＩＣにより処理される。コンピュートインスタンスＣ１と関連付けられているＶＮＩＣは、デフォルトのルートまたはＶＣＮ ＶＲ１３０５のポート１０．０．０．１を使用して、パケットをＶＣＮ ＶＲへとルーティングするように構成されている。ＶＣＮ ＶＲ１３０５は、ポート１０．１．０．１を使用して、パケットをサブネット２へとルーティングするように構成されている。そして、Ｄ１と関連付けられているＶＮＩＣによりパケットが受信されて処理されると、このＶＮＩＣがパケットをコンピュートインスタンスＤ１に転送する。

【0167】

ＶＣＮ１３０４のコンピュートインスタンスからＶＣＮ１３０４の外側のエンドポイントにパケットが送られる場合、この通信は、送信元コンピュートインスタンスと関連付けられているＶＮＩＣ、ＶＣＮ ＶＲ１３０５、およびＶＣＮ１３０４と関連付けられているゲートウェイによって容易化される。ＶＣＮ１３０４とは、１つまたは複数の種類のゲートウェイが関連付けられていてもよい。ゲートウェイは、ＶＣＮとＶＣＮの外側の別のエンドポイントとの間のインターフェースである。ゲートウェイは、レイヤ３／ＩＰレイヤの概念であり、ＶＣＮがＶＣＮの外側のエンドポイントと通信できるようにする。このように、ゲートウェイは、ＶＣＮと他のＶＣＮまたはネットワークとの間のトラフィックの流れを促進する。ＶＣＮに対しては、さまざまな異なる種類のゲートウェイが設定されることにより、異なる種類のエンドポイントとの異なる種類の通信を容易化し得る。通信は、ゲートウェイに応じて、パブリックネットワーク（たとえば、インターネット）経由であってもよいし、プライベートネットワーク経由であってもよい。これらの通信に対しては、さまざまな通信プロトコルが使用され得る。

【0168】

たとえば、コンピュートインスタンスＣ１は、ＶＣＮ１３０４の外側のエンドポイントと通信したい場合がある。パケットは最初、送信元コンピュートインスタンスＣ１と関連付けられているＶＮＩＣにより処理され得る。ＶＮＩＣの処理によって、パケットの送信先がＣ１のサブネット１の外側であるものと判定される。Ｃ１と関連付けられているＶＮＩＣは、パケットをＶＣＮ１３０４のＶＣＮ ＶＲ１３０５に転送するようにしてもよい。その後、ＶＣＮ ＶＲ１３０５は、パケットを処理するが、その処理の一部として、パケットの送信先に基づいて、ＶＣＮ１３０４と関連付けられている特定のゲートウェイをパケットのネクストホップとして決定する。そして、ＶＣＮ ＶＲ１３０５は、識別された特定のゲートウェイにパケットを転送するようにしてもよい。たとえば、送信先が顧客のオンプレミスネットワーク内のエンドポイントである場合、パケットは、ＶＣＮ ＶＲ１３０５により、ＶＣＮ１３０４に対して設定されたＤＲＧ（Dynamic Routing Gateway）ゲートウェイ１３２２に転送されるようになっていてもよい。そして、ゲートウェイからネクストホップへのパケットの転送により、パケットの最終目的の送信先への伝達を容易化することができる。

【0169】

ＶＣＮに対しては、さまざまな異なる種類のゲートウェイが設定され得る。ＶＣＮに対して設定され得るゲートウェイの例については、図１３に示されるとともに後述される。ＶＣＮと関連付けられているゲートウェイの例については、図１８、図１９、図２０、および図２１にも示され（たとえば、参照番号１８３４、１８３６、１８３８、１９３４、１９３６、１９３８、２０３４、２０３６、２０３８、２１３４、２１３６、および２１３８により参照されるゲートウェイ）、後述される。図１３の実施形態に示されるように、ＤＲＧ（Dynamic Routing Gateway）１３２２が顧客ＶＣＮ１３０４に追加または関連付けされ、顧客ＶＣＮ１３０４と別のエンドポイントとの間のプライベートネットワークトラフィック通信の経路を提供し得るが、この別のエンドポイントとしては、顧客のオンプレミスネットワーク１３１６、ＣＳＰＩ１３０１の異なるリージョンにおけるＶＣＮ１３０８、またはＣＳＰＩ１３０１がホストしていない他のリモートクラウドネットワーク１３１８が可能である。顧客オンプレミスネットワーク１３１６は、顧客のリソースを使用して構築された顧客のネットワークであってもよいし、顧客のデータセンタであってもよい。顧客オンプレミスネットワーク１３１６へのアクセスは一般的に、厳しく制限されている。顧客は、オンプレミスネットワーク１３１６ならびにＣＳＰＩ１３０１によってクラウドでデプロイもしくはホストされている１つもしくは複数のＶＣＮ１３０４の両者を有する場合、オンプレミスネットワーク１３１６およびクラウドベースのＶＣＮ１３０４を互いに通信できるようにしたい場合がある。これにより、顧客は、ＣＳＰＩ１３０１によりホストされている顧客のＶＣＮ１３０４およびオンプレミスネットワーク１３１６を含む拡張ハイブリッド環境を構築することができる。この通信を可能にするのは、ＤＲＧ１３２２である。このような通信を可能にするため、チャネルの一方のエンドポイントが顧客オンプレミスネットワーク１３１６に存在し、他方のエンドポイントがＣＳＰＩ１３０１に存在するとともに顧客ＶＣＮ１３０４に接続されるように、通信チャネル１３２４が設定される。通信チャネル１３２４は、インターネット等のパブリック通信ネットワークまたはプライベート通信ネットワークを経由し得る。インターネット等のパブリック通信ネットワーク上のIPsec VPN技術、パブリックネットワークの代わりにプライベートネットワークを使用するOracleのFastConnect技術等、さまざまな異なる通信プロトコルが用いられるようになっていてもよい。通信チャネル１３２４の一方のエンドポイントを構成する顧客オンプレミスネットワーク１３１６のデバイスまたは機器は、図１３に示されるＣＰＥ１３２６等、顧客プレミス機器（ＣＰＥ）と称する。ＣＳＰＩ１３０１側において、エンドポイントは、ＤＲＧ１３２２を実行するホストマシンであってもよい。

【0170】

ある実施形態においては、リモートピアリング接続（ＲＰＣ）をＤＲＧに追加可能であり、顧客は、あるＶＣＮを異なるリージョンの別のＶＣＮとピアリング可能である。このようなＲＰＣを使用することにより、顧客ＶＣＮ１３０４は、ＤＲＧ１３２２を使用して、別のリージョンのＶＣＮ１３０８とつながることができる。また、ＤＲＧ１３２２の使用により、Microsoft Azureクラウド、Amazon AWSクラウド等、ＣＳＰＩ１３０１がホストしていない他のリモートクラウドネットワーク１３１８と通信可能である。

【0171】

図１３に示されるように、インターネットゲートウェイ（ＩＧＷ）１３２０は、顧客ＶＣＮ１３０４に対して設定されていてもよく、ＶＣＮ１３０４上のコンピュートインスタンスは、インターネット等のパブリックネットワークを介してアクセス可能なパブリックエンドポイント１３１４と通信することができる。ＩＧＷ１５１２０は、ＶＣＮをインターネット等のパブリックネットワークに接続するゲートウェイである。ＩＧＷ１３２０によれば、ＶＣＮ１３０４等のＶＣＮ内のパブリックサブネットは（当該パブリックサブネット中のリソースがパブリックオーバーレイＩＰアドレスを有する場合）、インターネット等のパブリックネットワーク１３１４上のパブリックエンドポイント１３１２に直接アクセス可能となる。ＩＧＷ１３２０を使用することにより、ＶＣＮ１３０４内のサブネットまたはインターネットから接続が開始され得る。

【0172】

顧客のＶＣＮ１３０４に対するネットワークアドレス変換（ＮＡＴ）ゲートウェイ１３２８の設定により、専用のパブリックオーバーレイＩＰアドレスを有さない顧客のＶＣＮ中のクラウドリソースによるインターネットへのアクセスを可能にし得るが、この場合、これらのリソースが直接入力インターネット接続（たとえば、Ｌ４－Ｌ７接続）に曝されることはない。これにより、ＶＣＮ内のプライベートサブネット（ＶＣＮ１３０４のプライベートサブネット１等）は、インターネット上のパブリックエンドポイントにプライベートアクセス可能となる。ＮＡＴゲートウェイにおいては、プライベートサブネットからパブリックインターネットに向かってしか接続が開始されず、インターネットからプライベートサブネットに向かっては開始され得ない。

【0173】

ある実施形態においては、顧客ＶＣＮ１３０４に対してサービスゲートウェイ（ＳＧＷ）１３２６が設定され得るが、これは、ＶＣＮ１３０４とサービスネットワーク１３１０においてサポートされているサービスエンドポイントとの間のプライベートネットワークトラフィックの経路を提供する。ある実施形態においては、サービスネットワーク１３１０がＣＳＰにより提供されていてもよく、また、さまざまなサービスを提供可能である。このようなサービスネットワークの一例は、OracleのServices Networkであって、顧客が使用できるさまざまなサービスを提供する。たとえば、顧客ＶＣＮ１３０４のプライベートサブネット中のコンピュートインスタンス（たとえば、データベースシステム）は、パブリックＩＰアドレスもインターネットへのアクセスも必要なく、データをサービスエンドポイント（たとえば、Object Storage）にバックアップ可能である。ある実施形態においては、ＶＣＮがＳＧＷを１つだけ有することができ、接続は、サービスネットワーク１３１０からではなく、ＶＣＮ内のサブネットからしか開始され得ない。ＶＣＮが別のＶＣＮとピアリングされた場合、他方のＶＣＮ中のリソースは通常、ＳＧＷにアクセスできない。また、FastConnectまたはVPN ConnectでＶＣＮに接続されているオンプレミスネットワーク中のリソースは、当該ＶＣＮに対して設定されたサービスゲートウェイを使用可能である。

【0174】

ある実施態様において、ＳＧＷ１３２６は、サービスＣＩＤＲ（Classless Inter-Domain Routing）ラベルの概念を使用するが、これは、関心サービスまたはサービス群のリージョナルパブリックＩＰアドレス範囲をすべて表す文字列である。顧客は、ＳＧＷおよび関連するルーティングルールを設定してサービスへのトラフィックを制御する場合にサービスＣＩＤＲラベルを使用する。顧客は、任意選択として、サービスのパブリックＩＰアドレスが将来的に変化する場合でも、調整の必要なくセキュリティルールを設定する際にラベルを利用可能である。

【0175】

ローカルピアリングゲートウェイ（ＬＰＧ）１３３２は、顧客ＶＣＮ１３０４に追加可能なゲートウェイであり、ＶＣＮ１３０４が同じリージョンの別のＶＣＮとピアリングできるようにする。ピアリングは、ＶＣＮがプライベートＩＰアドレスを使用して通信することを意味するが、トラフィックがインターネット等のパブリックネットワークを通過したり、トラフィックを顧客のオンプレミスネットワーク１３１６にルーティングしたりすることはない。好適な実施形態において、ＶＣＮは、確立するピアリングごとに別個のＬＰＧを有する。ローカルピアリングまたはＶＣＮピアリングは、異なるアプリケーションまたはインフラ管理機能間のネットワーク接続の確立に使用される一般的な方法である。

【0176】

サービスプロバイダ（サービスネットワーク１３１０におけるサービスのプロバイダ等）は、さまざまなアクセスモデルを使用して、サービスへのアクセスを提供することができる。パブリックアクセスモデルによれば、サービスは、インターネット等のパブリックネットワークを介して顧客ＶＣＮ中のコンピュートインスタンスがパブリックにアクセス可能なパブリックエンドポイントとして公開される場合、および／または、ＳＧＷ１３２６を介してプライベートにアクセス可能な場合がある。特定のプライベートアクセスモデルによれば、サービスは、顧客のＶＣＮのプライベートサブネット中のプライベートＩＰエンドポイントとしてアクセス可能となる。これは、プライベートエンドポイント（ＰＥ）アクセスと称し、サービスプロバイダは、顧客のプライベートネットワークにおけるインスタンスとして、それぞれのサービスを公開することができる。プライベートエンドポイントのリソースは、顧客のＶＣＮ内のサービスを表す。各ＰＥは、顧客のＶＣＮにおいて顧客が選定したサブネットのＶＮＩＣとして認識される（ＰＥ－ＶＮＩＣと称し、１つまたは複数のプライベートＩＰを有する）。このため、ＰＥは、ＶＮＩＣを使用してプライベート顧客ＶＣＮサブネット内のサービスを提示する方法を提供する。エンドポイントはＶＮＩＣとして公開されることから、ルーティングルール、セキュリティリスト等、ＶＮＩＣと関連付けられているすべての機能がＰＥ ＶＮＩＣに利用可能となる。

【0177】

サービスプロバイダは、それぞれのサービスの登録によって、ＰＥを通じたアクセスを可能にし得る。プロバイダは、サービスの可視性を顧客テナンシに制限するポリシーをサービスと関連付けることができる。プロバイダは、特にマルチテナントサービスの場合、単一の仮想ＩＰアドレス（ＶＩＰ）の下で複数のサービスを登録可能である。同じサービスを表すこのようなプライベートエンドポイントが（複数のＶＣＮに）複数存在していてもよい。

【0178】

そして、プライベートサブネット中のコンピュートインスタンスは、ＰＥ ＶＮＩＣのプライベートＩＰアドレスまたはサービスＤＮＳ名を使用して、サービスにアクセスすることができる。顧客ＶＣＮ中のコンピュートインスタンスは、顧客ＶＣＮ中のＰＥのプライベートＩＰアドレスにトラフィックを送ることによって、サービスにアクセスすることができる。プライベートアクセスゲートウェイ（ＰＡＧＷ）１３３０は、顧客サブネットプライベートエンドポイントに対するすべてのトラフィックの入力／出力点として作用するサービスプロバイダＶＣＮ（たとえば、サービスネットワーク１３１０におけるＶＣＮ）に付随し得るゲートウェイリソースである。ＰＡＧＷ１３３０によれば、プロバイダは、その内部ＩＰアドレスリソースを使用することなく、ＰＥ接続の数をスケーリング可能となる。プロバイダは、単一のＶＣＮに登録されている任意数のサービスに対して１つのＰＡＧＷを設定しさえすればよい。プロバイダは、１つまたは複数の顧客の複数のＶＣＮにおけるプライベートエンドポイントとしてサービスを表すことができる。顧客から見て、ＰＥ ＶＮＩＣは、顧客のインスタンスに付随するのではなく、顧客が相互作用を望むサービスに付随しているように見える。プライベートエンドポイントを送信先とするトラフィックは、ＰＡＧＷ１３３０を介してサービスにルーティングされる。これらは、顧客－サービス間プライベート接続（Ｃ２Ｓ接続）と称する。

【0179】

また、ＰＥの概念の使用により、FastConnect/IPsecリンクおよび顧客ＶＣＮ中のプライベートエンドポイントをトラフィックが流れ得るようにして、サービスのプライベートアクセスを顧客のオンプレミスネットワークおよびデータセンタに拡張することができる。また、ＬＰＧ１３３２と顧客ＶＣＮ中のＰＥとの間にトラフィックが流れ得るようにして、サービスのプライベートアクセスを顧客のピアリングＶＣＮに拡張することができる。

【0180】

顧客は、サブネットレベルでＶＣＮのルーティングを制御可能であることから、顧客のＶＣＮ（ＶＣＮ１３０４等）において各ゲートウェイを使用するサブネットを指定することができる。ＶＣＮから特定のゲートウェイを通るトラフィックが許可されているかを決定するには、ＶＣＮのルートテーブルが使用される。たとえば、特定のインスタンスにおいて、顧客ＶＣＮ１３０４内のパブリックサブネットのルートテーブルは、ＩＧＷ１３２０を通じて非ローカルトラフィックを送るようにしてもよい。同じ顧客ＶＣＮ１３０４内のプライベートサブネットのルートテーブルは、ＳＧＷ１３２６を通じてＣＳＰサービスを送信先とするトラフィックを送るようにしてもよい。その他すべてのトラフィックは、ＮＡＴゲートウェイ１３２８を介して送られるようになっていてもよい。ルートテーブルは、ＶＣＮから出て行くトラフィックしか制御しない。

【0181】

インバウンド接続を介してゲートウェイ経由でＶＣＮに入るトラフィックの制御には、ＶＣＮと関連付けられているセキュリティリストが使用される。サブネット中のすべてのリソースが同じルートテーブルおよびセキュリティリストを使用する。セキュリティリストの使用によって、ＶＣＮのサブネット中のインスタンスに入出力可能な特定種類のトラフィックを制御することができる。セキュリティリストルールには、入力（インバウンド）および出力（アウトバウンド）のルールを含み得る。たとえば、入力ルールは、許可される送信元アドレス範囲を指定し得る一方、出力ルールは、許可される送信先アドレス範囲を指定し得る。セキュリティルールでは、特定のプロトコル（たとえば、ＴＣＰ、ＩＣＭＰ）、特定のポート（たとえば、ＳＳＨの２２、Windows RDPの３３８９）等を指定し得る。ある実施態様において、インスタンスのオペレーティングシステムは、セキュリティリストルールに合わせた独自のファイアウォールルールを強制し得る。ルールは、ステートフル（たとえば、接続が追跡され、応答トラフィックに対する明示的なセキュリティリストルールなく、応答が自動的に許可される）であってもよいし、ステートレスであってもよい。

【0182】

顧客ＶＣＮからの（すなわち、ＶＣＮ１３０４にデプロイされたリソースまたはコンピュートインスタンスによる）アクセスは、パブリックアクセス、プライベートアクセス、または専用アクセスとして分類され得る。パブリックアクセスは、パブリックエンドポイントへのアクセスにパブリックＩＰアドレスまたはＮＡＴが使用されるアクセスモデルを表す。プライベートアクセスによれば、プライベートＩＰアドレスを有するＶＣＮ１３０４の顧客ワークロード（たとえば、プライベートサブネット中のリソース）は、インターネット等のパブリックネットワークを通過することなくサービスにアクセス可能となる。ある実施形態において、ＣＳＰＩ１３０１は、プライベートＩＰアドレスを有する顧客ＶＣＮワークロードがサービスゲートウェイを使用してサービス（のパブリックサービスエンドポイント）にアクセスできるようにする。したがって、サービスゲートウェイは、顧客のＶＣＮと顧客のプライベートネットワークの外側に存在するサービスのパブリックエンドポイントとの間に仮想リンクを確立することによって、プライベートアクセスモデルを提供する。

【0183】

また、ＣＳＰＩは、顧客オンプレミスインスタンスがFastConnect接続を使用して、インターネット等のパブリックネットワークを通過することなく、顧客ＶＣＮ中の１つまたは複数のサービスにアクセスし得るFastConnectパブリックピアリング等の技術を使用することにより、専用パブリックアクセスを提供し得る。また、ＣＳＰＩは、プライベートＩＰアドレスを有する顧客オンプレミスインスタンスがFastConnect接続を使用して顧客のＶＣＮワークロードにアクセスし得るFastConnectプライベートピアリングを使用することにより、専用プライベートアクセスを提供し得る。FastConnectは、パブリックインターネットを使用して顧客のオンプレミスネットワークをＣＳＰＩおよびそのサービスに接続する代わりのネットワーク接続である。FastConnectは、インターネットベースの接続と比較して、帯域幅オプションおよび信頼性が高く、ネットワーキング体験が一貫した専用のプライベート接続を生成するための簡単かつ柔軟で経済的な方法を提供する。

【0184】

図１３および上記付随する説明は、例示的な仮想ネットワークにおけるさまざまな仮想化コンポーネントを記載する。上述の通り、仮想ネットワークは、基礎的な物理ネットワークまたは基盤ネットワーク上に構築される。図１４は、ある実施形態に係る、仮想ネットワークの基本となるＣＳＰＩ１４００内の物理ネットワーク中の物理的構成要素の簡易アーキテクチャ図である。図示のように、ＣＳＰＩ１４００は、クラウドサービスプロバイダ（ＣＳＰ）が提供するコンポーネントおよびリソース（たとえば、コンピュート、メモリ、およびネットワーク用リソース）を含む分散環境を提供する。これらのコンポーネントおよびリソースは、登録している顧客すなわちＣＳＰが提供する１つまたは複数のサービスに登録済みの顧客に対してクラウドサービス（たとえば、ＩａａＳサービス）を提供するのに使用される。顧客には、顧客が登録したサービスに基づいて、ＣＳＰＩ１４００のリソースの部分集合（たとえば、コンピュート、メモリ、およびネットワーク用リソース）のプロビジョニングがなされる。そして、顧客は、ＣＳＰＩ１４００が提供する物理的なコンピュート、メモリ、およびネットワーク用リソースを使用して、それぞれのクラウドベース（すなわち、ＣＳＰＩがホストする）カスタマイズ可能なプライベート仮想ネットワークを構築することができる。前述の通り、これらの顧客ネットワークは、仮想クラウドネットワーク（ＶＣＮ）と称する。顧客は、コンピュートインスタンス等の１つまたは複数の顧客リソースをこれらの顧客ＶＣＮにデプロイすることができる。コンピュートインスタンスは、仮想マシン、ベアメタルインスタンス等の形態が可能である。ＣＳＰＩ１４００は、ホストされている高可用性の環境において顧客が広範なアプリケーションおよびサービスを構築して動作させ得るようにするインフラおよび一組の補完的なクラウドサービスを提供する。

【0185】

図１４に示される例示的な実施形態において、ＣＳＰＩ１４００の物理的構成要素には、１つもしくは複数の物理ホストマシンもしくは物理サーバ（たとえば、１４０２、１４０６、１４０８）、ネットワーク仮想化デバイス（ＮＶＤ）（たとえば、１４１０、１４１２）、トップオブラック（ＴＯＲ）スイッチ（たとえば、１４１４、１４１６）、ならびに物理ネットワーク（たとえば、１４１８）および物理ネットワーク１４１８のスイッチを含む。物理ホストマシンまたはサーバは、ＶＣＮの１つまたは複数のサブネットに参加するさまざまなコンピュートインスタンスをホストおよび実行することができる。コンピュートインスタンスには、仮想マシンインスタンスおよびベアメタルインスタンスを含み得る。たとえば、図１３に示されるさまざまなコンピュートインスタンスは、図１４に示される物理ホストマシンによりホストされていてもよい。ＶＣＮ中の仮想マシンコンピュートインスタンスは、１つのホストマシンにより実行されるようになっていてもよいし、複数の異なるホストマシンにより実行されるようになっていてもよい。また、物理ホストマシンは、仮想ホストマシン、コンテナベースのホストまたは機能等をホストすることができる。図１３に示されるＶＮＩＣおよびＶＣＮ ＶＲは、図１４に示されるＮＶＤにより実行されるようになっていてもよい。図１３に示されるゲートウェイは、図１４に示されるホストマシンおよび／またはＮＶＤにより実行されるようになっていてもよい。

【0186】

ホストマシンまたはサーバは、当該ホストマシン上に仮想化環境を生成して使用可能にするハイパーバイザ（仮想マシンモニタまたはＶＭＭとも称する）を実行するようにしてもよい。仮想化または仮想化環境は、クラウドベースのコンピューティングを容易化する。ホストマシン上のハイパーバイザによって、１つまたは複数のコンピュートインスタンスが当該ホストマシン上で生成、実行、および管理され得る。ホストマシン上のハイパーバイザは、ホストマシンが実行するさまざまなコンピュートインスタンス間でのホストマシンの物理的コンピューティングリソース（たとえば、コンピュート、メモリ、およびネットワーク用リソース）の共有を可能にする。

【0187】

たとえば、図１４に示されるように、ホストマシン１４０２および１４０８はそれぞれ、ハイパーバイザ１４６０および１４６６を実行する。これらのハイパーバイザは、ソフトウェア、ファームウェア、ハードウェア、またはこれらの組み合わせにより実現されていてもよい。通常、ハイパーバイザは、ホストマシンのオペレーティングシステム（ＯＳ）上に配置され、ホストマシンのハードウェアプロセッサ上で実行されるプロセスまたはソフトウェアレイヤである。ハイパーバイザは、ホストマシンが実行するさまざまな仮想マシンコンピュートインスタンス間でのホストマシンの物理的コンピューティングリソース（たとえば、プロセッサ／コア、メモリリソース、ネットワーク用リソース等の処理用リソース）の共有を可能にすることによって、仮想化環境を提供する。たとえば、図１４において、ハイパーバイザ１４６０は、ホストマシン１４０２のＯＳ上に配置されていてもよく、ホストマシン１４０２が実行するコンピュートインスタンス（たとえば、仮想マシン）間でのホストマシン１４０２のコンピューティングリソース（たとえば、処理、メモリ、およびネットワーク用リソース）の共有を可能にする。仮想マシンは、それ自体のオペレーティングシステム（ゲストオペレーティングシステムと称する）を有し得るが、これは、ホストマシンのＯＳと同じであってもよいし、異なっていてもよい。ホストマシンが実行する仮想マシンのオペレーティングシステムは、同じホストマシンが実行する別の仮想マシンのオペレーティングシステムと同じであってもよいし、異なっていてもよい。このように、ハイパーバイザは、ホストマシンの同じコンピューティングリソースを共有しつつ、複数のオペレーティングシステムが互いに並行して実行され得るようにする。図１４に示されるホストマシンは、同じ種類のハイパーバイザを有していてもよいし、異なる種類のハイパーバイザを有していてもよい。

【0188】

コンピュートインスタンスとしては、仮想マシンインスタンスまたはベアメタルインスタンスが可能である。図１４において、ホストマシン１４０２上のコンピュートインスタンス１４６８およびホストマシン１４０８上のコンピュートインスタンス１４７４は、仮想マシンインスタンスの例である。ホストマシン１４０６は、顧客に提供されるベアメタルインスタンスの一例である。

【0189】

ある場合には、単一の顧客に対してホストマシン全体のプロビジョニングがなされ、当該ホストマシンがホストする１つまたは複数のコンピュートインスタンス（仮想マシンまたはベアメタルインスタンス）すべてが当該同じ顧客に属する。他の場合には、複数の顧客（すなわち、複数のテナント）間でホストマシンが共有され得る。このようなマルチテナンシのシナリオにおいて、ホストマシンは、異なる顧客に属する仮想マシンコンピュートインスタンスをホストするようにしてもよい。これらのコンピュートインスタンスは、異なる顧客の異なるＶＣＮの要素であってもよい。ある実施形態において、ベアメタルコンピュートインスタンスは、ハイパーバイザを含まないベアメタルサーバによりホストされる。ベアメタルコンピュートインスタンスのプロビジョニングがなされた場合は、ベアメタルインスタンスをホストするホストマシンの物理ＣＰＵ、メモリ、およびネットワークインターフェースの制御を単一の顧客またはテナントが維持するため、ホストマシンは、他の顧客またはテナントと共有されない。

【0190】

前述の通り、ＶＣＮの一部である各コンピュートインスタンスは、当該コンピュートインスタンスをＶＣＮのサブネットの要素とし得るＶＮＩＣと関連付けられている。コンピュートインスタンスと関連付けられているＶＮＩＣは、コンピュートインスタンスに対するパケットまたはフレームの伝達を容易化する。ＶＮＩＣは、コンピュートインスタンスの生成時に当該コンピュートインスタンスと関連付けられる。ある実施形態において、ホストマシンが実行するコンピュートインスタンスの場合、当該コンピュートインスタンスと関連付けられているＶＮＩＣは、ホストマシンに接続されているＮＶＤにより実行される。たとえば、図１４において、ホストマシン１４０２は、ＶＮＩＣ１４７６と関連付けられている仮想マシンコンピュートインスタンス１４６８を実行し、ＶＮＩＣ１４７６は、ホストマシン１４０２に接続されているＮＶＤ１４１０により実行される。別の例において、ホストマシン１４０６がホストするベアメタルインスタンス１４７２は、ホストマシン１４０６に接続されているＮＶＤ１４１２により実行されるＶＮＩＣ１４８０と関連付けられている。さらに別の例において、ＶＮＩＣ１４８４は、ホストマシン１４０８が実行するコンピュートインスタンス１４７４と関連付けられており、ＶＮＩＣ１４８４は、ホストマシン１４０８に接続されているＮＶＤ１４１２により実行される。

【0191】

ホストマシンがホストするコンピュートインスタンスの場合、当該ホストマシンに接続されているＮＶＤは、コンピュートインスタンスが要素であるＶＣＮに対応するＶＣＮ ＶＲも実行する。たとえば、図１４に示される実施形態において、ＮＶＤ１４１０は、コンピュートインスタンス１４６８が要素であるＶＣＮに対応するＶＣＮ ＶＲ１４７７を実行する。また、ＮＶＤ１４１２は、ホストマシン１４０６および１４０８がホストするコンピュートインスタンスに対応するＶＣＮに対応する１つまたは複数のＶＣＮ ＶＲ１４８３を実行するようにしてもよい。

【0192】

ホストマシンは、当該ホストマシンの他のデバイスへの接続を可能にする１つまたは複数のネットワークインターフェースカード（ＮＩＣ）を具備し得る。ホストマシン上のＮＩＣは、ホストマシンの別のデバイスへの通信接続を可能にする１つまたは複数のポート（または、インターフェース）を提供し得る。たとえば、ホストマシンおよびＮＶＤに設けられた１つまたは複数のポート（または、インターフェース）によって、ホストマシンがＮＶＤに接続されていてもよい。また、ホストマシンは、別のホストマシン等の他のデバイスに接続されていてもよい。

【0193】

たとえば、図１４においては、ホストマシン１４０２のＮＩＣ１４３２が提供するポート１４３４とＮＶＤ１４１０のポート１４３６との間に延びているリンク１４２０の使用によって、ホストマシン１４０２がＮＶＤ１４１０に接続されている。また、ホストマシン１４０６のＮＩＣ１４４４が提供するポート１４４６とＮＶＤ１４１２のポート１４４８との間に延びているリンク１４２４の使用によって、ホストマシン１４０６がＮＶＤ１４１２に接続されている。また、ホストマシン１４０８のＮＩＣ１４５０が提供するポート１４５２とＮＶＤ１４１２のポート１４５４との間に延びているリンク１４２６の使用によって、ホストマシン１４０８がＮＶＤ１４１２に接続されている。

【0194】

一方、ＮＶＤは、通信リンクを介してトップオブラック（ＴＯＲ）スイッチに接続され、これが物理ネットワーク１４１８（スイッチファブリックとも称する）に接続されている。ある実施形態において、ホストマシンとＮＶＤとの間およびＮＶＤとＴＯＲスイッチとの間のリンクは、Ethernetリンクである。たとえば、図１４においては、リンク１４２８および１４３０の使用によって、ＮＶＤ１４１０および１４１２がそれぞれ、ＴＯＲスイッチ１４１４および１４１６に接続されている。ある実施形態において、リンク１４２０、１４２４、１４２６、１４２８、および１４３０は、Ethernetリンクである。ＴＯＲに接続されているホストマシンおよびＮＶＤの集合は、ラックと称する場合もある。

【0195】

物理ネットワーク１４１８は、ＴＯＲスイッチ相互の通信を可能にする通信ファブリックを提供する。物理ネットワーク１４１８としては、多層ネットワークが可能である。ある実施態様において、物理ネットワーク１４１８は、スイッチの多層Ｃｌｏｓネットワークであり、ＴＯＲスイッチ１４１４および１４１６は、多層マルチノード物理スイッチングネットワーク１４１８のリーフレベルノードを表す。さまざまなＣｌｏｓネットワーク構成が可能であり、２層ネットワーク、３層ネットワーク、４層ネットワーク、９層ネットワーク、および一般的に「ｎ」層ネットワークが挙げられるが、これらに限定されない。Ｃｌｏｓネットワークの一例が図１７に示されるとともに後述される。

【0196】

ホストマシンとＮＶＤとの間には、１対１構成、多対１構成、１対多構成等、さまざまな異なる接続構成が可能である。１対１構成の一実施態様においては、各ホストマシンがそれ自体の別個のＮＶＤに接続される。たとえば、図１４において、ホストマシン１４０２は、当該ホストマシン１４０２のＮＩＣ１４３２を介して、ＮＶＤ１４１０に接続されている。多対１構成においては、複数のホストマシンが１つのＮＶＤに接続される。たとえば、図１４において、ホストマシン１４０６および１４０８はそれぞれ、ＮＩＣ１４４４および１４５０を介して、同じＮＶＤ１４１２に接続されている。

【0197】

１対多構成においては、１つのホストマシンが複数のＮＶＤに接続される。図１５は、ホストマシンが複数のＮＶＤに接続されているＣＳＰＩ１５００内の一例を示している。図１５に示されるように、ホストマシン１５０２は、複数のポート１５０６および１５０８を含むネットワークインターフェースカード（ＮＩＣ）１５０４を備える。ホストマシン１５０２は、ポート１５０６およびリンク１５２０を介して第１のＮＶＤ１５１０に接続されるとともに、ポート１５０８およびリンク１５２２を介して第２のＮＶＤ１５１２に接続されている。ポート１５０６および１５０８は、Ethernetポートであってもよく、ホストマシン１５０２とＮＶＤ１５１０および１５１２との間のリンク１５２０および１５２２は、Ethernetリンクであってもよい。そして、ＮＶＤ１５１０が第１のＴＯＲスイッチ１５１４に接続され、ＮＶＤ１５１２が第２のＴＯＲスイッチ１５１６に接続されている。ＮＶＤ１５１０および１５１２とＴＯＲスイッチ１５１４および１５１６との間のリンクは、Ethernetリンクであってもよい。ＴＯＲスイッチ１５１４および１５１６は、多層物理ネットワーク１５１８の層０スイッチングデバイスを表す。

【0198】

図１５に示される構成は、物理スイッチネットワーク１５１８からホストマシン１５０２までの２つの別個の物理ネットワーク経路（ＴＯＲスイッチ１５１４を通過してＮＶＤ１５１０ひいてはホストマシン１５０２に至る第１の経路およびＴＯＲスイッチ１５１６を通過してＮＶＤ１５１２ひいてはホストマシン１５０２に至る第２の経路）を提供する。これら別個の経路は、ホストマシン１５０２の可用性を増強し得る（高可用性と称する）。経路の一方に問題がある場合（たとえば、経路の一方のリンクがダウンした場合）またはデバイスの一方に問題がある場合（たとえば、特定のＮＶＤが機能していない場合）は、他方の経路がホストマシン１５０２との通信に用いられるようになっていてもよい。

【0199】

図１５に示される構成において、ホストマシンは、当該ホストマシンのＮＩＣが提供する２つの異なるポートの使用によって、２つの異なるＮＶＤに接続されている。他の実施形態においては、複数のＮＶＤへの接続を可能にする複数のＮＩＣをホストマシンが具備していてもよい。

【0200】

図１４を再び参照して、ＮＶＤは、１つまたは複数のネットワークおよび／またはストレージ仮想化機能を実行する物理デバイスまたはコンポーネントである。ＮＶＤは、１つまたは複数の処理ユニット（たとえば、ＣＰＵ、ネットワーク処理ユニット（ＮＰＵ）、ＦＰＧＡ、パケット処理パイプライン等）、キャッシュを含むメモリ、およびポートを有する如何なるデバイスであってもよい。さまざまな仮想化機能は、ＮＶＤの１つまたは複数の処理ユニットが実行するソフトウェア／ファームウェアにより実行されるようになっていてもよい。

【0201】

ＮＶＤは、さまざまな異なる形態で実現されていてもよい。たとえば、ある実施形態においては、内蔵プロセッサが搭載されたスマートＮＩＣまたはインテリジェントＮＩＣと称するインターフェースカードとしてＮＶＤが実現される。スマートＮＩＣは、ホストマシン上のＮＩＣとは別個のデバイスである。図１４において、ＮＶＤ１４１０および１４１２は、ホストマシン１４０２ならびにホストマシン１４０６および１４０８にそれぞれ接続されているスマートＮＩＣとして実現されていてもよい。

【0202】

ただし、スマートＮＩＣは、ＮＶＤの実施態様の一例に過ぎない。さまざまな他の実施態様が可能である。たとえば、いくつかの他の実施態様においては、ＮＶＤまたはＮＶＤが実行する１つもしくは複数の機能が１つもしくは複数のホストマシン、１つもしくは複数のＴＯＲスイッチ、ならびにＣＳＰＩ１４００の他の構成要素に組み込まれていてもよいし、これらにより実行されるようになっていてもよい。たとえば、ＮＶＤがホストマシンにおいて具現化され、ＮＶＤが実行する機能がホストマシンにより実行されるようになっていてもよい。別の例としては、ＮＶＤがＴＯＲスイッチの一部であってもよいし、パブリッククラウドに使用される種々複雑なパケット変換をＴＯＲスイッチが実行できるようにするＮＶＤが実行する機能をＴＯＲスイッチが実行するように構成されていてもよい。ＮＶＤの機能を実行するＴＯＲは、スマートＴＯＲと称する場合もある。さらに他の実施態様において、ベアメタル（ＢＭ）インスタンスではなく仮想マシン（ＶＭ）インスタンスが顧客に提供される場合、ＮＶＤが実行する機能は、ホストマシンのハイパーバイザの内側において実現されていてもよい。いくつかの他の実施態様においては、ホストマシン群で動作する集中型サービスに対して、ＮＶＤの機能の一部がオフロードされるようになっていてもよい。

【0203】

図１４に示されるようにスマートＮＩＣとして実現される場合等、ある実施形態においては、１つもしくは複数のホストマシンならびに１つもしくは複数のＴＯＲスイッチへの接続を可能にする複数の物理ポートをＮＶＤが備えていてもよい。ＮＶＤ上のポートは、ホスト側ポート（「サウスポート」とも称する）またはネットワーク側もしくはＴＯＲ側ポート（「ノースポート」とも称する）として分類され得る。ＮＶＤのホスト側ポートは、ＮＶＤのホストマシンへの接続に使用されるポートである。図１４におけるホスト側ポートの例としては、ＮＶＤ１４１０上のポート１４３６ならびにＮＶＤ１４１２上のポート１４４８および１４５４が挙げられる。ＮＶＤのネットワーク側ポートは、ＮＶＤのＴＯＲスイッチへの接続に使用されるポートである。図１４におけるネットワーク側ポートの例としては、ＮＶＤ１４１０上のポート１４５６およびＮＶＤ１４１２上のポート１４５８が挙げられる。図１４に示されるように、ＮＶＤ１４１０は、当該ＮＶＤ１４１０のポート１４５６からＴＯＲスイッチ１４１４まで延びているリンク１４２８によって、ＴＯＲスイッチ１４１４に接続されている。同様に、ＮＶＤ１４１２は、当該ＮＶＤ１４１２のポート１４５８からＴＯＲスイッチ１４１６まで延びているリンク１４３０によって、ＴＯＲスイッチ１４１６に接続されている。

【0204】

ＮＶＤは、ホスト側ポートを介して、ホストマシンからのパケットおよびフレーム（たとえば、ホストマシンがホストするコンピュートインスタンスにより生成されたパケットおよびフレーム）を受信し、必要なパケット処理を実行した後、当該ＮＶＤのネットワーク側ポートを介して、パケットおよびフレームをＴＯＲスイッチに転送することができる。ＮＶＤは、ＴＯＲスイッチから、当該ＮＶＤのネットワーク側ポートを介してパケットおよびフレームを受信し、必要なパケット処理を実行した後、当該ＮＶＤのホスト側ポートを介して、パケットおよびフレームをホストマシンに転送することができる。

【0205】

ある実施形態においては、ＮＶＤとＴＯＲスイッチとの間に複数のポートおよび関連するリンクが存在していてもよい。これらのポートおよびリンクは、複数のポートまたはリンクから成るリンクアグリゲータグループ（ＬＡＧと称する）を構成するように集約されていてもよい。リンクの集約によれば、２つのエンドポイント間（たとえば、ＮＶＤとＴＯＲスイッチとの間）の複数の物理リンクが単一の論理リンクとして処理され得る。所与のＬＡＧにおける物理リンクはすべて、同じ速度の全二重モードで動作するようになっていてもよい。ＬＡＧは、２つのエンドポイント間の接続の帯域幅および信頼性の増大に役立つ。ＬＡＧの物理リンクのうちの１つがダウンした場合、トラフィックは、ＬＡＧのその他の物理リンクのうちの１つへと動的かつ透過的に再割り当てされる。集約された物理リンクは、各々の個々のリンクよりも広い帯域幅を提供する。ＬＡＧと関連付けられている複数のポートは、単一の論理ポートとして処理される。トラフィックは、ＬＡＧの複数の物理リンクに跨って負荷分散され得る。１つまたは複数のＬＡＧが２つのエンドポイント間に設定されていてもよい。２つのエンドポイントは、たとえばＮＶＤとＴＯＲスイッチとの間であってもよいし、ホストマシンとＮＶＤとの間であってもよい。

【0206】

ＮＶＤは、ネットワーク仮想化機能を実現または実行する。これらの機能は、ＮＶＤが実行するソフトウェア／ファームウェアにより実行される。ネットワーク仮想化機能の例としては、パケットカプセル化およびカプセル解除機能、ＶＣＮネットワークを生成するための機能、ＶＣＮセキュリティリスト（ファイアウォール）機能等のネットワークポリシーを実現するための機能、ＶＣＮ中のコンピュートインスタンスに対するパケットのルーティングおよび転送を容易化する機能等が挙げられるが、これらに限定されない。ある実施形態においては、パケットの受信に際して、パケットを処理するとともにパケットの転送またはルーティングの方法を決定するためのパケット処理パイプラインをＮＶＤが実行するように構成されている。このパケット処理パイプラインの一部として、ＮＶＤは、ＶＣＮ中のｃｉｓと関連付けられているＶＮＩＣの実行、ＶＣＮと関連付けられている仮想ルータ（ＶＲ）の実行、仮想ネットワークにおける転送またはルーティングを容易化するためのパケットのカプセル化およびカプセル解除、あるゲートウェイ（たとえば、ローカルピアリングゲートウェイ）の実行、セキュリティリスト、ネットワークセキュリティグループ、ネットワークアドレス変換（ＮＡＴ）機能（たとえば、ホスト単位でのパブリックＩＰからプライベートＩＰへの変換）の実現、スロットリング機能、および他の機能等、オーバーレイネットワークと関連付けられている１つまたは複数の仮想機能を実行するようにしてもよい。

【0207】

ある実施形態において、ＮＶＤのパケット処理データ経路は、一連のパケット変換ステージで各々構成されている複数のパケットパイプラインを備えていてもよい。ある実施態様においては、パケットの受信に際して、パケットが解析され、単一のパイプラインに分類される。その後、パケットは、破棄されるか、または、ＮＶＤのインターフェースを介して送り出されるまで、１ステージずつ直線的に処理される。これらのステージは、基本的な機能的パケット処理構築ブロック（たとえば、ヘッダの検証、スロットルの強制、新たなレイヤ２ヘッダの挿入、Ｌ４ファイアウォールの強制、ＶＣＮカプセル化／カプセル解除等）を提供するため、既存のステージを組み立てることにより新たなパイプラインが構成され、新たなステージを生成して既存のパイプラインに挿入することにより新たな機能が追加され得る。

【0208】

ＮＶＤは、ＶＣＮの制御プレーンおよびデータプレーンに対応する制御プレーン機能およびデータプレーン機能の両者を実行し得る。ＶＣＮ制御プレーンの例については、図１８、図１９、図２０、および図２１にも示され（参照番号１８１６、１９１６、２０１６、および２１１６参照）、後述される。ＶＣＮデータプレーンの例については、図１８、図１９、図２０、および図２１に示され（参照番号１８１８、１９１８、２０１８、および２１１８参照）、後述される。制御プレーン機能には、ネットワークの設定（たとえば、ルーティングおよびルートテーブルの設定、ＶＮＩＣの設定等）に使用され、データの転送方法を制御する機能を含む。ある実施形態においては、すべてのオーバーレイ－基盤マッピングを集中的に演算して、ＮＶＤおよび仮想ネットワークエッジデバイス（ＤＲＧ、ＳＧＷ、ＩＧＷ等のさまざまなゲートウェイ等）に公開するＶＣＮ制御プレーンが提供される。また、同じメカニズムによって、ファイアウォールルールも公開され得る。ある実施形態において、ＮＶＤは、当該ＮＶＤに関連するマッピングのみを取得する。データプレーン機能には、制御プレーンを使用して設定された構成に基づくパケットの実際のルーティング／転送のための機能を含む。ＶＣＮデータプレーンは、基盤ネットワークを通過する前の顧客のネットワークパケットをカプセル化することにより実現される。カプセル化／カプセル解除の機能は、ＮＶＤ上で実現される。ある実施形態において、ＮＶＤは、ホストマシンに入出力されるすべてのネットワークパケットを傍受して、ネットワーク仮想化機能を実行するように構成されている。

【0209】

前述の通り、ＮＶＤは、ＶＮＩＣおよびＶＣＮ ＶＲを含むさまざまな仮想化機能を実行する。ＮＶＤは、ＶＮＩＣに接続されている１つまたは複数のホストマシンがホストするコンピュートインスタンスと関連付けられているＶＮＩＣを実行し得る。たとえば、図１４に示されるように、ＮＶＤ１４１０は、当該ＮＶＤ１４１０に接続されているホストマシン１４０２がホストするコンピュートインスタンス１４６８と関連付けられているＶＮＩＣ１４７６の機能を実行する。別の例として、ＮＶＤ１４１２は、ホストマシン１４０６がホストするベアメタルコンピュートインスタンス１４７２と関連付けられているＶＮＩＣ１４８０を実行するとともに、ホストマシン１４０８がホストするコンピュートインスタンス１４７４と関連付けられているＶＮＩＣ１４８４を実行する。ホストマシンは、異なる顧客に属する異なるＶＣＮに属するコンピュートインスタンスをホストすることができ、ホストマシンに接続されているＮＶＤは、これらのコンピュートインスタンスに対応するＶＮＩＣを実行することができる（すなわち、ＶＮＩＣ関連機能を実行することができる）。

【0210】

また、ＮＶＤは、コンピュートインスタンスのＶＣＮに対応するＶＣＮ仮想ルータを実行する。たとえば、図１４に示される実施形態において、ＮＶＤ１４１０は、コンピュートインスタンス１４６８が属するＶＣＮに対応するＶＣＮ ＶＲ１４７７を実行する。ＮＶＤ１４１２は、ホストマシン１４０６および１４０８がホストするコンピュートインスタンスが属する１つまたは複数のＶＣＮに対応する１つまたは複数のＶＣＮ ＶＲ１４８３を実行する。ある実施形態において、当該ＶＣＮに対応するＶＣＮ ＶＲは、当該ＶＣＮに属する少なくとも１つのコンピュートインスタンスをホストするホストマシンに接続されているすべてのＮＶＤにより実行される。異なるＶＣＮに属するコンピュートインスタンスをホストマシンがホストする場合、当該ホストマシンに接続されているＮＶＤは、上記異なるＶＣＮに対応するＶＣＮ ＶＲを実行し得る。

【0211】

ＮＶＤは、ＶＮＩＣおよびＶＣＮ ＶＲのほか、さまざまなソフトウェア（たとえば、デーモン）を実行するようにしてもよく、また、当該ＮＶＤが実行するさまざまなネットワーク仮想化機能を容易化する１つまたは複数のハードウェアコンポーネントを具備していてもよい。簡略化のため、これらのさまざまな構成要素は、図１４に示される「パケット処理コンポーネント」として一体的にグループ化されている。たとえば、ＮＶＤ１４１０がパケット処理コンポーネント１４８６を備え、ＮＶＤ１４１２がパケット処理コンポーネント１４８８を備える。たとえば、ＮＶＤのパケット処理コンポーネントは、ＮＶＤのポートおよびハードウェアインターフェースと相互作用して、ＮＶＤの使用により受信および通信されるすべてのパケットをモニタリングするとともに、ネットワーク情報を格納するように構成されているパケットプロセッサを具備していてもよい。ネットワーク情報には、たとえばＮＶＤによって処理されるさまざまなネットワークフローを識別するネットワークフロー情報およびフローごとの情報（たとえば、フローごとの統計量）を含み得る。ある実施形態においては、ネットワークフロー情報がＶＮＩＣごとに格納され得る。パケットプロセッサは、パケット単位の操作を実行するほか、ステートフルＮＡＴおよびＬ４ファイアウォール（ＦＷ）を実現し得る。別の例として、パケット処理コンポーネントは、ＮＶＤにより格納された情報を１つまたは複数の異なる複製ターゲットストアに複製するように構成されている複製エージェントを含んでいてもよい。さらに別の例として、パケット処理コンポーネントは、ＮＶＤに対するロギング機能を実行するように構成されているロギングエージェントを含んでいてもよい。また、パケット処理コンポーネントは、ＮＶＤの性能および健全性をモニタリングし、場合によっては、ＮＶＤに接続されている他のコンポーネントの状態および健全性をモニタリングするためのソフトウェアを含んでいてもよい。

【0212】

図１３は、ＶＣＮ、ＶＣＮ内のサブネット、サブネットにデプロイされたコンピュートインスタンス、コンピュートインスタンスと関連付けられているＶＮＩＣ、ＶＣＮのＶＲ、およびＶＣＮに対して設定された一組のゲートウェイを含む例示的な仮想またはオーバーレイネットワークの構成要素を示している。図１３に示されるオーバーレイの構成要素は、図１４に示される物理的構成要素のうちの１つまたは複数により実行またはホストされ得る。たとえば、ＶＣＮ中のコンピュートインスタンスは、図１４に示される１つまたは複数のホストマシンにより実行またはホストされ得る。ホストマシンがホストするコンピュートインスタンスの場合、当該コンピュートインスタンスと関連付けられているＶＮＩＣは通常、当該ホストマシンに接続されているＮＶＤにより実行される（すなわち、ＶＮＩＣ機能は、当該ホストマシンに接続されているＮＶＤにより提供される）。ＶＣＮのＶＣＮ ＶＲ機能は、当該ＶＣＮの一部であるコンピュートインスタンスをホストまたは実行するホストマシンに接続されているすべてのＮＶＤにより実行される。ＶＣＮと関連付けられているゲートウェイは、１つまたは複数の異なる種類のＮＶＤにより実行され得る。たとえば、あるゲートウェイがスマートＮＩＣにより実行され得る一方、他のゲートウェイは、１つもしくは複数のホストマシンまたはＮＶＤの他の実施態様により実行され得る。

【0213】

上述の通り、顧客ＶＣＮ中のコンピュートインスタンスは、さまざまな異なるエンドポイントと通信可能であり、エンドポイントとしては、送信元コンピュートインスタンスと同じサブネット内のもの、異なるサブネットではあるが送信元コンピュートインスタンスと同じＶＣＮ内のもの、または送信元コンピュートインスタンスのＶＣＮの外側のエンドポイントが可能である。これらの通信は、コンピュートインスタンスと関連付けられているＶＮＩＣ、ＶＣＮ ＶＲ、およびＶＣＮと関連付けられているゲートウェイの使用により容易化される。

【0214】

ＶＣＮ中の同じサブネット上の２つのコンピュートインスタンス間の通信に関して、この通信は、送信元および送信先コンピュートインスタンスと関連付けられているＶＮＩＣの使用により容易化される。送信元および送信先コンピュートインスタンスは、同じホストマシンによりホストされていてもよいし、異なるホストマシンによりホストされていてもよい。送信元コンピュートインスタンスを起点とするパケットは、送信元コンピュートインスタンスをホストするホストマシンから、当該ホストマシンに接続されているＮＶＤに転送され得る。ＮＶＤ上では、パケット処理パイプラインの使用によりパケットが処理されるが、これには、送信元コンピュートインスタンスと関連付けられているＶＮＩＣの実行を含み得る。パケットの送信先エンドポイントが同じサブネット内であるため、送信元コンピュートインスタンスと関連付けられているＶＮＩＣの実行によって、パケットは、送信先コンピュートインスタンスと関連付けられているＶＮＩＣを実行するＮＶＤに転送される。その後、ＮＶＤがパケットを処理して、送信先コンピュートインスタンスに転送する。送信元および送信先コンピュートインスタンスと関連付けられているＶＮＩＣは、（たとえば、同じホストマシンによって、送信元および送信先の両コンピュートインスタンスがホストされている場合）同じＮＶＤ上で実行されるようになっていてもよいし、（たとえば、異なるＮＶＤに接続されている異なるホストマシンによって、送信元および送信先コンピュートインスタンスがホストされている場合）異なるＮＶＤ上で実行されるようになっていてもよい。ＶＮＩＣは、ＮＶＤにより格納されているルーティング／転送テーブルを使用して、パケットのネクストホップを決定するようにしてもよい。

【0215】

あるサブネット中のコンピュートインスタンスから同じＶＣＮの異なるサブネット中のエンドポイントにパケットが送られる場合、送信元コンピュートインスタンスを起点とするパケットは、送信元コンピュートインスタンスをホストするホストマシンから、当該ホストマシンに接続されているＮＶＤに送られる。ＮＶＤ上では、パケット処理パイプラインの使用によりパケットが処理されるが、これには、１つもしくは複数のＶＮＩＣならびにＶＣＮと関連付けられているＶＲの実行を含み得る。たとえば、パケット処理パイプラインの一部として、ＮＶＤは、送信元コンピュートインスタンスと関連付けられているＶＮＩＣに対応する機能の実行または呼び出し（ＶＮＩＣの実行とも称する）を行う。ＶＮＩＣが実行する機能には、パケット上のＶＬＡＮタグの確認を含み得る。パケットの送信先がサブネットの外側であることから、次は、ＮＶＤによりＶＣＮ ＶＲ機能が呼び出されて実行される。そして、ＶＣＮ ＶＲは、送信先コンピュートインスタンスと関連付けられているＶＮＩＣを実行するＮＶＤへとパケットをルーティングする。その後、送信先コンピュートインスタンスと関連付けられているＶＮＩＣは、パケットを処理して、送信先コンピュートインスタンスに転送する。送信元および送信先コンピュートインスタンスと関連付けられているＶＮＩＣは、（たとえば、同じホストマシンによって、送信元および送信先の両コンピュートインスタンスがホストされている場合）同じＮＶＤ上で実行されるようになっていてもよいし、（たとえば、異なるＮＶＤに接続されている異なるホストマシンによって、送信元および送信先コンピュートインスタンスがホストされている場合）異なるＮＶＤ上で実行されるようになっていてもよい。

【0216】

パケットの送信先が送信元コンピュートインスタンスのＶＣＮの外側である場合、送信元コンピュートインスタンスを起点とするパケットは、送信元コンピュートインスタンスをホストするホストマシンから、当該ホストマシンに接続されているＮＶＤに送られる。ＮＶＤは、送信元コンピュートインスタンスと関連付けられているＶＮＩＣを実行する。パケットの送信先エンドポイントがＶＣＮの外側であることから、パケットはその後、当該ＶＣＮのＶＣＮ ＶＲにより処理される。ＮＶＤはＶＣＮ ＶＲ機能を呼び出すが、その結果、ＶＣＮと関連付けられている適当なゲートウェイを実行するＮＶＤにパケットが転送される。たとえば、送信先が顧客のオンプレミスネットワーク内のエンドポイントである場合、パケットは、ＶＣＮ ＶＲにより、ＶＣＮに対して設定されたＤＲＧゲートウェイを実行するＮＶＤに転送され得る。ＶＣＮ ＶＲは、送信元コンピュートインスタンスと関連付けられているＶＮＩＣを実行するＮＶＤと同じＮＶＤ上で実行されるようになっていてもよいし、異なるＮＶＤにより実行されるようになっていてもよい。ゲートウェイはＮＶＤにより実行され得るが、これは、スマートＮＩＣであってもよいし、ホストマシンであってもよいし、ＮＶＤの他の実施態様であってもよい。その後、パケットは、ゲートウェイにより処理され、目的とする送信先エンドポイントへのパケットの伝達を容易化するネクストホップに転送される。たとえば、図１４に示される実施形態においては、リンク１４２０を介して（ＮＩＣ１４３２の使用によって）、コンピュートインスタンス１４６８を起点とするパケットがホストマシン１４０２からＮＶＤ１４１０に送られるようになっていてもよい。ＮＶＤ１４１０では、ＶＮＩＣ１４７６が呼び出されるが、これは、送信元コンピュートインスタンス１４６８と関連付けられているためである。ＶＮＩＣ１４７６は、パケットにカプセル化されている情報を調べ、目的とする送信先エンドポイントへのパケットの伝達を容易化するためにパケットを転送するネクストホップを決定した後、パケットを決定したネクストホップに転送するように構成されている。

【0217】

ＶＣＮにデプロイされたコンピュートインスタンスは、さまざまな異なるエンドポイントと通信可能である。これらのエンドポイントには、ＣＳＰＩ１４００がホストするエンドポイントおよびＣＳＰＩ１４００の外側のエンドポイントを含み得る。ＣＳＰＩ１４００がホストするエンドポイントは、同じＶＣＮまたは他のＶＣＮ（顧客のＶＣＮであってもよいし、顧客に属さないＶＣＮであってもよい）のインスタンスを含み得る。ＣＳＰＩ１４００がホストするエンドポイント間の通信は、物理ネットワーク１４１８を介して実行されるようになっていてもよい。また、コンピュートインスタンスは、ＣＳＰＩ１４００がホストしていない（すなわち、ＣＳＰＩ１４００の外側の）エンドポイントと通信し得る。このようなエンドポイントの例としては、顧客のオンプレミスネットワークもしくはデータセンタ内のエンドポイントまたはインターネット等のパブリックネットワークを介してアクセス可能なパブリックエンドポイントが挙げられる。ＣＳＰＩ１４００の外側のエンドポイントとの通信は、パブリックネットワーク（たとえば、インターネット）（図１４に示されず）を介して実行されるようになっていてもよいし、さまざまな通信プロトコルの使用によりプライベートネットワーク（図１４に示されず）を介して実行されるようになっていてもよい。

【0218】

図１４に示されるＣＳＰＩ１４００のアーキテクチャは一例に過ぎず、何ら限定は意図されない。代替実施形態においては、変形、代替、および改良が可能である。たとえば、いくつかの実施態様において、ＣＳＰＩ１４００は、図１４に示されるものよりシステムまたは構成要素が多くても少なくてもよいし、２つ以上のシステムを組み合わせるようにしてもよいし、システムの構成または配置が異なっていてもよい。図１４に示されるシステム、サブシステム、および他の構成要素は、それぞれのシステムの１つまたは複数の処理ユニット（たとえば、プロセッサ、コア）が実行するソフトウェア（たとえば、コード、命令、プログラム）にて実装されていてもよいし、ハードウェアを使用して実装されていてもよいし、これらの組み合わせにて実装されていてもよい。ソフトウェアは、非一時的記憶媒体（たとえば、メモリデバイス）に格納されていてもよい。

【0219】

図１６は、ある実施形態に係る、マルチテナンシをサポートするＩ／Ｏ仮想化を提供するためのホストマシンとＮＶＤとの間の接続を示している。図１６に示されるように、ホストマシン１６０２は、仮想化環境を提供するハイパーバイザ１６０４を実行する。ホストマシン１６０２は、２つの仮想マシンインスタンス（顧客／テナント＃１に属するＶＭ１ １６０６および顧客／テナント＃２に属するＶＭ２ １６０８）を実行する。ホストマシン１６０２は、リンク１６１４を介してＮＶＤ１６１２に接続されている物理ＮＩＣ１６１０を備える。各々のコンピュートインスタンスは、ＮＶＤ１６１２が実行するＶＮＩＣに付随する。図１６の実施形態においては、ＶＭ１ １６０６がＶＮＩＣ－ＶＭ１ １６２０に付随し、ＶＭ２ １６０８がＶＮＩＣ－ＶＭ２ １６２２に付随する。

【0220】

図１６に示されるように、ＮＩＣ１６１０は、２つの論理ＮＩＣ（論理ＮＩＣ Ａ１６１６および論理ＮＩＣ Ｂ１６１８）を備える。各仮想マシンは、それ自体の論理ＮＩＣに付随して協働するように構成されている。たとえば、ＶＭ１ １６０６が論理ＮＩＣ Ａ１６１６に付随し、ＶＭ２ １６０８が論理ＮＩＣ Ｂ１６１８に付随する。ホストマシン１６０２は、複数のテナントが共有する物理ＮＩＣ１６１０を１つしか備えていないが、論理ＮＩＣのため、各テナントの仮想マシンは、それぞれがホストマシンおよびＮＩＣを有するものと認識する。

【0221】

ある実施形態において、各論理ＮＩＣには、それ自体のＶＬＡＮ ＩＤが割り当てられている。このため、テナント＃１については特定のＶＬＡＮ ＩＤが論理ＮＩＣ Ａ１６１６に割り当てられ、テナント＃２については別個のＶＬＡＮ ＩＤが論理ＮＩＣ Ｂ１６１８に割り当てられている。パケットがＶＭ１ １６０６から送られると、ハイパーバイザによって、テナント＃１に割り当てられているタグがパケットに付随し、パケットはその後、リンク１６１４を介して、ホストマシン１６０２からＮＶＤ１６１２に送られる。同様に、パケットがＶＭ２ １６０８から送られると、ハイパーバイザによって、テナント＃２に割り当てられているタグがパケットに付随し、パケットはその後、リンク１６１４を介して、ホストマシン１６０２からＮＶＤ１６１２に送られる。したがって、ホストマシン１６０２からＮＶＤ１６１２に送られたパケット１６２４には、特定のテナントおよび関連するＶＭを識別するタグ１６２６が関連付けられている。ＮＶＤ上では、ホストマシン１６０２から受信されたパケット１６２４に関して、当該パケットと関連付けられているタグ１６２６の使用により、ＶＮＩＣ－ＶＭ１ １６２０またはＶＮＩＣ－ＶＭ２ １６２２のいずれによりパケットが処理されるべきかを判定する。そして、対応するＶＮＩＣによりパケットが処理される。図１６に示される構成によれば、各テナントのコンピュートインスタンスは、それぞれがホストマシンおよびＮＩＣを有するものと認識することができる。図１６に示される設定は、マルチテナンシをサポートするためのＩ／Ｏ仮想化を提供する。

【0222】

図１７は、ある実施形態に係る、物理ネットワーク１７００の簡易ブロック図である。図１７に示される実施形態は、Ｃｌｏｓネットワークとして構造化されている。Ｃｌｏｓネットワークは、広い二分割帯域幅およびリソースの最大利用を維持しつつ、接続の冗長性を与えるように設計された特定種類のネットワークトポロジである。Ｃｌｏｓネットワークは、非ブロック型マルチステージまたは多層スイッチングネットワークの一種であり、ステージまたは層の数としては、２つ、３つ、４つ、５つ等が可能である。図１７に示される実施形態は、層１、２、および３を含む３層ネットワークである。ＴＯＲスイッチ１７０４は、Ｃｌｏｓネットワークにおける層０スイッチを表す。ＴＯＲスイッチには、１つまたは複数のＮＶＤが接続されている。層０スイッチは、物理ネットワークのエッジデバイスとも称する。層０スイッチは、リーフスイッチとも称する層１スイッチに接続されている。図１７に示される実施形態においては、一組の「ｎ」個の層０ＴＯＲスイッチが一組の「ｎ」個の層１スイッチに接続され、一体的にポッドを構成する。あるポッド中の各層０スイッチは、当該ポッド中のすべての層１スイッチに相互接続されているが、ポッド間のスイッチの接続はない。ある実施態様においては、２つのポッドをブロックと称する。各ブロックは、一組の「ｎ」個の層２スイッチ（スパインスイッチと称する場合もある）によるサーブまたは層２スイッチへの接続がなされる。物理ネットワークトポロジには、複数のブロックが存在し得る。そして、層２スイッチは、「ｎ」個の層３スイッチ（スーパースパインスイッチと称する場合もある）に接続されている。物理ネットワーク１７００を介するパケットの通信は通常、１つまたは複数のレイヤ３通信プロトコルの使用により実行される。通常は、ＴＯＲレイヤを除く物理ネットワークのすべてのレイヤがｎ通りの冗長性を有することから、高可用性を実現可能である。物理ネットワークのスケーリングを可能にするため、ポッドおよびブロックに対するポリシーの指定によって、物理ネットワークにおけるスイッチ相互の可視性を制御するようにしてもよい。

【0223】

Ｃｌｏｓネットワークの特徴として、ある層０スイッチから別の層０スイッチに達する（または、層０スイッチに接続されているＮＶＤから層０スイッチに接続されている別のＮＶＤに達する）最大ホップカウントが固定されている。たとえば、３層Ｃｌｏｓネットワークにおいて、あるＮＶＤから別のＮＶＤにパケットが達するのに必要なホップは、最大でも７つであり、送信元および目標ＮＶＤがＣｌｏｓネットワークのリーフ層に接続されている。同様に、４層Ｃｌｏｓネットワークにおいて、あるＮＶＤから別のＮＶＤにパケットが達するのに必要なホップは、最大でも９つであり、送信元および目標ＮＶＤがＣｌｏｓネットワークのリーフ層に接続されている。このため、Ｃｌｏｓネットワークアーキテクチャは、ネットワーク全体で一貫したレイテンシを維持するが、これは、データセンタ内およびデータセンタ間の通信に重要である。Ｃｌｏｓトポロジは水平方向にスケーリング可能であり、コスト効率に優れている。ネットワークの帯域幅／スループット容量は、さまざまな層により多くのスイッチ（たとえば、より多くのリーフおよびスパインスイッチ）を追加するとともに、隣り合う層のスイッチ間のリンクの数を増やすことによって、容易に増大可能である。

【0224】

ある実施形態において、ＣＳＰＩ内の各リソースには、クラウド識別子（ＣＩＤ）と称する一意の識別子が割り当てられている。この識別子は、リソースの情報の一部として含まれており、たとえばコンソールまたはＡＰＩを介してリソースを管理する際に使用可能である。ＣＩＤの例示的な構文は、以下の通りである。
ocid1.<RESOURCE TYPE>.<REALM>.[REGION][.FUTURE USE].<UNIQUE ID>
ここで、
ocid1は、ＣＩＤのバージョンを示す文字列であり、
RESOURCE TYPEは、リソースの種類（たとえば、インスタンス、ボリューム、ＶＣＮ、サブネット、ユーザ、グループ等）であり、
REALMは、リソースが存在するレルムであり（例示的な値は、商用レルムの場合の「ｃ１」、政府クラウドレルムの場合の「ｃ２」、または連邦政府クラウドレルムの場合の「ｃ３」等であり、各レルムは、それ自体のドメイン名を有し得る）、
REGIONは、リソースが存在するリージョンであり（リージョンをリソースに適用できない場合、この部分は空白となり得る）、
FUTURE USEは、将来の使用に対する予約であり、
UNIQUE IDは、ＩＤの一意の部分である（フォーマットは、リソースまたはサービスの種類に応じて異なり得る）。

【0225】

上述の通り、サービス型インフラ（ＩａａＳ）は、ある特定の種類のクラウドコンピューティングである。ＩａａＳは、パブリックネットワーク（たとえば、インターネット）を介して仮想化コンピューティングリソースを提供するように構成可能である。ＩａａＳモデルにおいては、クラウドコンピューティングプロバイダがインフラコンポーネント（たとえば、サーバ、記憶装置、ネットワークノード（たとえば、ハードウェア）、デプロイメントソフトウェア、プラットフォーム仮想化（たとえば、ハイパーバイザレイヤ）等）をホスト可能である。また、場合により、ＩａａＳプロバイダは、これらのインフラコンポーネントに付随する多様なサービス（たとえば、課金、モニタリング、ロギング、負荷分散、およびクラスタリング等）を供給するようにしてもよい。したがって、これらのサービスがポリシー駆動であり得ることから、ＩａａＳユーザは、負荷分散を推進するポリシーの実装によって、アプリケーションの可用性および性能を維持可能となり得る。

【0226】

場合により、ＩａａＳの顧客は、インターネット等のワイドエリアネットワーク（ＷＡＮ）を通じてリソースおよびサービスにアクセスし、クラウドプロバイダのサービスを使用して、アプリケーションスタックのその他の要素をインストールすることができる。たとえば、ユーザは、ＩａａＳプラットフォームにログインして、仮想マシン（ＶＭ）の生成、オペレーティングシステム（ＯＳ）の各ＶＭへのインストール、データベース等のミドルウェアのデプロイ、ワークロードおよびバックアップ用のストレージバケットの生成、さらには企業向けソフトウェアの当該ＶＭへのインストールを行うことができる。そして、顧客は、プロバイダのサービスを使用して、ネットワークトラフィックの分散、アプリケーションの問題のトラブルシューティング、性能のモニタリング、障害回復の管理等、さまざまな機能を実行することができる。

【0227】

ほとんどの場合、クラウドコンピューティングモデルには、クラウドプロバイダの参加が必要となる。クラウドプロバイダは、ＩａａＳの提供（たとえば、供与、賃貸、販売）に特化したサードパーティサービスであってもよいが、そうである必要はない。また、エンティティは、プライベートクラウドをデプロイして、それ自体のインフラサービスプロバイダになることも考えられる。

【0228】

いくつかの例において、ＩａａＳデプロイメントは、準備されたアプリケーションサーバ等に新たなアプリケーションまたはアプリケーションの新たなバージョンを置くプロセスである。また、サーバを準備する（たとえば、ライブラリ、デーモン等をインストールする）プロセスも含み得る。これは、クラウドプロバイダによって、ハイパーバイザレイヤ（たとえば、サーバ、ストレージ、ネットワークハードウェア、および仮想化）の下で管理されることが多い。このため、顧客は、（たとえば、（オンデマンドでスピンアップ可能な）セルフサービスの仮想マシン上での）ハンドリング（ＯＳ）、ミドルウェア、および／またはアプリケーションのデプロイメント等を担い得る。

【0229】

いくつかの例において、ＩａａＳプロビジョニングは、使用するコンピュータまたは仮想ホストを取得することを表し、これらに必要なライブラリまたはサービスをインストールすることさえ表し得る。ほとんどの場合、デプロイメントにはプロビジョニングを含まず、プロビジョニングは最初に実行することが必要となり得る。

【0230】

場合により、ＩａａＳプロビジョニングには２つの異なる課題が存在する。第一に、最初の課題として、何かが動作する前のインフラの初期セットのプロビジョニングがある。第二に、すべてのプロビジョニングの後、既存のインフラを発展させる課題（たとえば、新たなサービスの追加、サービスの変更、サービスの削除等）がある。場合により、これら２つの課題は、インフラの設定の宣言による定義を可能にすることによって対処され得る。言い換えると、インフラ（たとえば、必要なコンポーネントおよびコンポーネントの相互作用の様態）は、１つまたは複数の設定ファイルにより規定され得る。このため、インフラの全体的なトポロジ（たとえば、リソースの依存関係および各リソースが一体的に作用する様態）は、宣言により記述され得る。場合により、トポロジが規定されると、設定ファイルに記述されているさまざまなコンポーネントを形成および／または管理するワークフローが生成され得る。

【0231】

いくつかの例において、インフラは、相互接続された多くの要素を有し得る。たとえば、コアネットワークとしても知られる１つまたは複数の仮想プライベートクラウド（ＶＰＣ）（たとえば、設定可能および／または共有コンピューティングリソースの潜在的オンデマンドプール）が存在し得る。また、いくつかの例においては、１つまたは複数のインバウンド／アウトバウンドトラフィックグループルールが存在して、ネットワークのインバウンドおよび／もしくはアウトバウンドトラフィックが設定される様態ならびに１つもしくは複数の仮想マシン（ＶＭ）を規定するようなプロビジョニングがなされ得る。また、負荷分散器、データベース等の他のインフラ要素のプロビジョニングもなされ得る。より多くのインフラ要素の要望および／または追加がある場合は、インフラが少しずつ発展し得る。

【0232】

場合によっては、連続デプロイメント技術の採用によって、さまざまな仮想コンピューティング環境に及ぶインフラコードのデプロイメントが可能となり得る。また、記載の技術は、これらの環境内でのインフラ管理を可能にし得る。いくつかの例において、サービスチームは、（たとえば、地理的に異なるさまざまな場所、場合により全世界に及ぶ）１つまたは複数の（ただし、多数であることが多い）異なる生成環境へのデプロイメントが望ましいコードを記述することができる。ただし、いくつかの例において、コードがデプロイされるインフラは、最初に設定する必要がある。場合によっては、プロビジョニングの手動による実行、リソースのプロビジョニングへのプロビジョニングツールの利用、および／またはインフラのプロビジョニング後のコードのデプロイメントへのデプロイメントツールの利用も可能である。

【0233】

図１８は、少なくとも１つの実施形態に係る、ＩａａＳアーキテクチャの例示的なパターンを示すブロック図１８００である。サービスオペレータ１８０２は、仮想クラウドネットワーク（ＶＣＮ）１８０６およびセキュアホストサブネット１８０８を含み得るセキュアホストテナンシ１８０４に通信結合され得る。いくつかの例において、サービスオペレータ１８０２は、１つまたは複数のクライアントコンピューティングデバイスを使用していてもよく、これらは、Microsoft Windows Mobile（登録商標）等のソフトウェアおよび／またはiOS、Windows Phone、Android、BlackBerry 8、Palm OS等の多様なモバイルオペレーティングシステムを実行するとともに、インターネット、電子メール、ショートメッセージサービス（ＳＭＳ）、BlackBerry（登録商標）、または他の通信プロトコルを使用可能な携帯型手持ち式デバイス（たとえば、iPhone（登録商標）、携帯電話、iPad（登録商標）、コンピューティングタブレット、個人用デジタル補助装置（ＰＤＡ））またはウェアラブルデバイス（たとえば、Google Glass（登録商標）ヘッドマウントディスプレイ等）であってもよい。あるいは、クライアントコンピューティングデバイスとしては、汎用パソコンが可能であり、一例として、Microsoft Windows（登録商標）、Apple Macintosh（登録商標）、および／またはLinux（登録商標）オペレーティングシステムのさまざまなバージョンを実行するパソコンおよび／またはラップトップコンピュータが挙げられる。クライアントコンピューティングデバイスとしては、多様な市販のUNIX（登録商標）またはUNIX類似オペレーティングシステムのいずれかを実行するワークステーションコンピュータが可能であり、たとえばGoogle Chrome OS等の多様なGNU/Linuxオペレーティングシステムが挙げられるが、これらに限定されない。この代替または追加として、クライアントコンピューティングデバイスは、ＶＣＮ１８０６および／またはインターネットにアクセスし得るネットワークを介して通信可能なシンクライアントコンピュータ、インターネット対応ゲームシステム（たとえば、Kinect（登録商標）ジェスチャ入力装置の有無を問わないMicrosoft Xboxゲームコンソール）、および／またはパーソナルメッセージングデバイス等、その他任意の電子デバイスであってもよい。

【0234】

ＶＣＮ１８０６は、セキュアシェル（ＳＳＨ）ＶＣＮ１８１２に含まれるローカルピアリングゲートウェイ（ＬＰＧ）１８１０を介してＳＳＨ ＶＣＮ１８１２に通信結合され得るＬＰＧ１８１０を具備することができる。ＳＳＨ ＶＣＮ１８１２は、ＳＳＨサブネット１８１４を具備することができ、また、ＳＳＨ ＶＣＮ１８１２は、制御プレーンＶＣＮ１８１６に含まれるＬＰＧ１８１０を介して制御プレーンＶＣＮ１８１６に通信結合され得る。また、ＳＳＨ ＶＣＮ１８１２は、ＬＰＧ１８１０を介してデータプレーンＶＣＮ１８１８に通信結合され得る。制御プレーンＶＣＮ１８１６およびデータプレーンＶＣＮ１８１８は、ＩａａＳプロバイダにより所有および／または運用され得るサービステナンシ１８１９に含まれ得る。

【0235】

制御プレーンＶＣＮ１８１６は、境界ネットワーク（たとえば、企業イントラネットと外部ネットワークとの間の企業ネットワークの一部）として機能する制御プレーン緩衝領域（ＤＭＺ）層１８２０を具備することができる。ＤＭＺベースのサーバは、責任が限定され、侵害を抑制するのに役立ち得る。また、ＤＭＺ層１８２０は、１つまたは複数の負荷分散器（ＬＢ）サブネット１８２２、アプリサブネット１８２６を含み得る制御プレーンアプリ層１８２４、データベース（ＤＢ）サブネット１８３０（たとえば、フロントエンドＤＢサブネットおよび／またはバックエンドＤＢサブネット）を含み得る制御プレーンデータ層１８２８を具備することができる。制御プレーンＤＭＺ層１８２０に含まれるＬＢサブネット１８２２は、制御プレーンアプリ層１８２４に含まれるアプリサブネット１８２６および制御プレーンＶＣＮ１８１６に含まれ得るインターネットゲートウェイ１８３４に通信結合され、アプリサブネット１８２６は、制御プレーンデータ層１８２８に含まれるＤＢサブネット１８３０、サービスゲートウェイ１８３６、およびネットワークアドレス変換（ＮＡＴ）ゲートウェイ１８３８に通信結合され得る。制御プレーンＶＣＮ１８１６は、サービスゲートウェイ１８３６およびＮＡＴゲートウェイ１８３８を具備することができる。

【0236】

制御プレーンＶＣＮ１８１６は、アプリサブネット１８２６を含み得るデータプレーンミラーアプリ層１８４０を具備することができる。データプレーンミラーアプリ層１８４０に含まれるアプリサブネット１８２６は、コンピュートインスタンス１８４４を実行し得る仮想ネットワークインターフェースコントローラ（ＶＮＩＣ）１８４２を具備することができる。コンピュートインスタンス１８４４は、データプレーンミラーアプリ層１８４０のアプリサブネット１８２６を、データプレーンアプリ層１８４６に含まれ得るアプリサブネット１８２６に通信結合し得る。

【0237】

データプレーンＶＣＮ１８１８は、データプレーンアプリ層１８４６、データプレーンＤＭＺ層１８４８、およびデータプレーンデータ層１８５０を具備することができる。データプレーンＤＭＺ層１８４８は、データプレーンアプリ層１８４６のアプリサブネット１８２６およびデータプレーンＶＣＮ１８１８のインターネットゲートウェイ１８３４に通信結合され得るＬＢサブネット１８２２を具備することができる。アプリサブネット１８２６は、データプレーンＶＣＮ１８１８のサービスゲートウェイ１８３６およびデータプレーンＶＣＮ１８１８のＮＡＴゲートウェイ１８３８に通信結合され得る。また、データプレーンデータ層１８５０は、データプレーンアプリ層１８４６のアプリサブネット１８２６に通信結合され得るＤＢサブネット１８３０を具備することができる。

【0238】

制御プレーンＶＣＮ１８１６およびデータプレーンＶＣＮ１８１８のインターネットゲートウェイ１８３４は、パブリックインターネット１８５４に通信結合され得るメタデータ管理サービス１８５２に通信結合され得る。パブリックインターネット１８５４は、制御プレーンＶＣＮ１８１６およびデータプレーンＶＣＮ１８１８のＮＡＴゲートウェイ１８３８に通信結合され得る。制御プレーンＶＣＮ１８１６およびデータプレーンＶＣＮ１８１８のサービスゲートウェイ１８３６は、クラウドサービス１８５６に通信結合され得る。

【0239】

いくつかの例において、制御プレーンＶＣＮ１８１６およびデータプレーンＶＣＮ１８１８のサービスゲートウェイ１８３６は、パブリックインターネット１８５４を介さずにクラウドサービス１８５６へのアプリケーションプログラミングインターフェース（ＡＰＩ）呼び出しを行うことができる。サービスゲートウェイ１８３６からクラウドサービス１８５６へのＡＰＩ呼び出しとしては、単方向が可能である。サービスゲートウェイ１８３６は、クラウドサービス１８５６へのＡＰＩ呼び出しを行うことができ、クラウドサービス１８５６は、要求されたデータをサービスゲートウェイ１８３６に送ることができる。ただし、クラウドサービス１８５６は、サービスゲートウェイ１８３６へのＡＰＩ呼び出しを開始しなくてもよい。

【0240】

いくつかの例において、セキュアホストテナンシ１８０４は、サービステナンシ１８１９に直接接続され、さもなければ隔離され得る。セキュアホストサブネット１８０８は、当該目的以外では隔離されるシステムを介する双方向通信を可能にし得るＬＰＧ１８１０を通じてＳＳＨサブネット１８１４と通信することができる。セキュアホストサブネット１８０８をＳＳＨサブネット１８１４に接続することによって、セキュアホストサブネット１８０８は、サービステナンシ１８１９内の他のエンティティにアクセス可能となる。

【0241】

制御プレーンＶＣＮ１８１６は、サービステナンシ１８１９のユーザによる所望のリソースの設定あるいはプロビジョニングを可能にし得る。制御プレーンＶＣＮ１８１６においてプロビジョニングがなされた所望のリソースは、データプレーンＶＣＮ１８１８においてデプロイあるいは使用されるようになっていてもよい。いくつかの例において、制御プレーンＶＣＮ１８１６は、データプレーンＶＣＮ１８１８から隔離可能であり、制御プレーンＶＣＮ１８１６のデータプレーンミラーアプリ層１８４０は、当該データプレーンミラーアプリ層１８４０およびデータプレーンアプリ層１８４６に含まれ得るＶＮＩＣ１８４２を介して、データプレーンＶＣＮ１８１８のデータプレーンアプリ層１８４６と通信可能である。

【0242】

いくつかの例において、システムのユーザすなわち顧客は、パブリックインターネット１８５４を通じて要求を行う（たとえば、動作の生成、読み出し、更新、または消去（ＣＲＵＤ）を行う）ことができ、パブリックインターネット１８５４は、リクエストをメタデータ管理サービス１８５２に送ることができる。メタデータ管理サービス１８５２は、インターネットゲートウェイ１８３４を通じて、リクエストを制御プレーンＶＣＮ１８１６に送ることができる。リクエストは、制御プレーンＤＭＺ層１８２０に含まれるＬＢサブネット１８２２により受信され得る。ＬＢサブネット１８２２は、リクエストが有効であるものと判定するようにしてもよく、この判定に応答して、ＬＢサブネット１８２２は、制御プレーンアプリ層１８２４に含まれるアプリサブネット１８２６にリクエストを送信することができる。リクエストが検証され、パブリックインターネット１８５４への呼び出しが必要になった場合、パブリックインターネット１８５４への呼び出しは、パブリックインターネット１８５４への呼び出しを行い得るＮＡＴゲートウェイ１８３８に送信されるようになっていてもよい。リクエストによる格納が望ましいと考えられるメタデータは、ＤＢサブネット１８３０に格納され得る。

【0243】

いくつかの例において、データプレーンミラーアプリ層１８４０は、制御プレーンＶＣＮ１８１６とデータプレーンＶＣＮ１８１８との間の直接通信を容易化し得る。たとえば、設定の変更、更新、または他の好適な修正は、データプレーンＶＣＮ１８１８に含まれるリソースに適用されるのが望ましいと考えられる。制御プレーンＶＣＮ１８１６は、ＶＮＩＣ１８４２を介して、データプレーンＶＣＮ１８１８に含まれるリソースと直接通信することにより、リソースの設定の変更、更新、または他の好適な修正を実行することができる。

【0244】

いくつかの実施形態において、制御プレーンＶＣＮ１８１６およびデータプレーンＶＣＮ１８１８は、サービステナンシ１８１９に含まれ得る。この場合、システムのユーザすなわち顧客は、制御プレーンＶＣＮ１８１６またはデータプレーンＶＣＮ１８１８のいずれかを所有していなくてもよいし、いずれかを動作させないようにしてもよい。代わりに、ＩａａＳプロバイダは、制御プレーンＶＣＮ１８１６およびデータプレーンＶＣＮ１８１８の両者を所有していてもよいし、両者を動作させるようにしてもよく、両者がサービステナンシ１８１９に含まれていてもよい。本実施形態は、ユーザすなわち顧客の他のユーザすなわち他の顧客のリソースとの相互作用を阻止し得るネットワークの隔離を可能にし得る。また、本実施形態は、格納に対して所望のレベルの脅威阻止を有し得ないパブリックインターネット１８５４に依拠する必要なく、システムのユーザすなわち顧客によるデータベースのプライベートな格納を可能にし得る。

【0245】

他の実施形態において、制御プレーンＶＣＮ１８１６に含まれるＬＢサブネット１８２２は、サービスゲートウェイ１８３６から信号を受信するように構成可能である。本実施形態において、制御プレーンＶＣＮ１８１６およびデータプレーンＶＣＮ１８１８は、パブリックインターネット１８５４を呼び出すことなく、ＩａａＳプロバイダの顧客によって呼び出されるように構成されていてもよい。ＩａａＳプロバイダの顧客は、当該顧客が使用するデータベースがＩａａＳプロバイダにより制御され、パブリックインターネット１８５４から隔離され得るサービステナンシ１８１９に格納され得ることから、本実施形態を望むと考えられる。

【0246】

図１９は、少なくとも１つの実施形態に係る、ＩａａＳアーキテクチャの別の例示的なパターンを示すブロック図１９００である。サービスオペレータ１９０２（たとえば、図１８のサービスオペレータ１８０２）は、仮想クラウドネットワーク（ＶＣＮ）１９０６（たとえば、図１８のＶＣＮ１８０６）およびセキュアホストサブネット１９０８（たとえば、図１８のセキュアホストサブネット１８０８）を含み得るセキュアホストテナンシ１９０４（たとえば、図１８のセキュアホストテナンシ１８０４）に通信結合され得る。ＶＣＮ１９０６は、セキュアシェル（ＳＳＨ）ＶＣＮ１９１２（たとえば、図１８のＳＳＨ ＶＣＮ１８１２）に含まれるローカルピアリングゲートウェイ（ＬＰＧ）１８１０（たとえば、図１８のＬＰＧ１８１０）を介してＳＳＨ ＶＣＮ１９１２に通信結合され得るＬＰＧ１９１０を具備することができる。ＳＳＨ ＶＣＮ１９１２は、ＳＳＨサブネット１９１４（たとえば、図１８のＳＳＨサブネット１８１４）を具備することができ、また、ＳＳＨ ＶＣＮ１９１２は、制御プレーンＶＣＮ１９１６（たとえば、図１８の制御プレーンＶＣＮ１８１６）に含まれるＬＰＧ１９１０を介して制御プレーンＶＣＮ１９１６に通信結合され得る。制御プレーンＶＣＮ１９１６は、サービステナンシ１９１９（たとえば、図１８のサービステナンシ１８１９）に含まれ、データプレーンＶＣＮ１９１８（たとえば、図１８のデータプレーンＶＣＮ１８１８）は、システムのユーザすなわち顧客により所有または運用され得る顧客テナンシ１９２１に含まれ得る。

【0247】

制御プレーンＶＣＮ１９１６は、ＬＢサブネット１９２２（たとえば、図１８のＬＢサブネット１８２２）を含み得る制御プレーンＤＭＺ層１９２０（たとえば、図１８の制御プレーンＤＭＺ層１８２０）と、アプリサブネット１９２６（たとえば、図１８のアプリサブネット１８２６）を含み得る制御プレーンアプリ層１９２４（たとえば、図１８の制御プレーンアプリ層１８２４）と、（たとえば、図１８のデータベース（ＤＢ）サブネット１８３０に類似する）ＤＢサブネット１９３０を含み得る制御プレーンデータ層１９２８（たとえば、図１８の制御プレーンデータ層１８２８）と、を具備することができる。制御プレーンＤＭＺ層１９２０に含まれるＬＢサブネット１９２２は、制御プレーンアプリ層１９２４に含まれるアプリサブネット１９２６および制御プレーンＶＣＮ１９１６に含まれ得るインターネットゲートウェイ１９３４（たとえば、図１８のインターネットゲートウェイ１８３４）に通信結合され、アプリサブネット１９２６は、制御プレーンデータ層１９２８に含まれるＤＢサブネット１９３０、サービスゲートウェイ１９３６（たとえば、図１８のサービスゲートウェイ１８３６）、およびネットワークアドレス変換（ＮＡＴ）ゲートウェイ１９３８（たとえば、図１８のＮＡＴゲートウェイ１８３８）に通信結合され得る。制御プレーンＶＣＮ１９１６は、サービスゲートウェイ１９３６およびＮＡＴゲートウェイ１９３８を具備することができる。

【0248】

制御プレーンＶＣＮ１９１６は、アプリサブネット１９２６を含み得るデータプレーンミラーアプリ層１９４０（たとえば、図１８のデータプレーンミラーアプリ層１８４０）を具備することができる。データプレーンミラーアプリ層１９４０に含まれるアプリサブネット１９２６は、（たとえば、図１８のコンピュートインスタンス１８４４に類似する）コンピュートインスタンス１９４４を実行し得る仮想ネットワークインターフェースコントローラ（ＶＮＩＣ）１９４２（たとえば、ＶＮＩＣ１８４２）を具備することができる。コンピュートインスタンス１９４４は、データプレーンミラーアプリ層１９４０に含まれるＶＮＩＣ１９４２およびデータプレーンアプリ層１９４６（たとえば、図１８のデータプレーンアプリ層１８４６）に含まれるＶＮＩＣ１９４２を介するデータプレーンミラーアプリ層１９４０のアプリサブネット１９２６とデータプレーンアプリ層１９４６に含まれ得るアプリサブネット１９２６との間の通信を容易化し得る。

【0249】

制御プレーンＶＣＮ１９１６に含まれるインターネットゲートウェイ１９３４は、パブリックインターネット１９５４（たとえば、図１８のパブリックインターネット１８５４）に通信結合され得るメタデータ管理サービス１９５２（たとえば、図１８のメタデータ管理サービス１８５２）に通信結合され得る。パブリックインターネット１９５４は、制御プレーンＶＣＮ１９１６に含まれるＮＡＴゲートウェイ１９３８に通信結合され得る。制御プレーンＶＣＮ１９１６に含まれるサービスゲートウェイ１９３６は、クラウドサービス１９５６（たとえば、図１８のクラウドサービス１８５６）に通信結合され得る。

【0250】

いくつかの例において、データプレーンＶＣＮ１９１８は、顧客テナンシ１９２１に含まれ得る。この場合、ＩａａＳプロバイダは、顧客ごとに制御プレーンＶＣＮ１９１６を提供するようにしてもよく、また、ＩａａＳプロバイダは、顧客ごとに、サービステナンシ１９１９に含まれる一意のコンピュートインスタンス１９４４を設定するようにしてもよい。各コンピュートインスタンス１９４４は、サービステナンシ１９１９に含まれる制御プレーンＶＣＮ１９１６と顧客テナンシ１９２１に含まれるデータプレーンＶＣＮ１９１８との間の通信を可能にし得る。コンピュートインスタンス１９４４によれば、顧客テナンシ１９２１に含まれるデータプレーンＶＣＮ１９１８において、サービステナンシ１９１９に含まれる制御プレーンＶＣＮ１９１６においてプロビジョニングがなされているリソースのデプロイメントあるいは使用が可能となり得る。

【0251】

他の例において、ＩａａＳプロバイダの顧客は、顧客テナンシ１９２１に存在するデータベースを有していてもよい。本例において、制御プレーンＶＣＮ１９１６は、アプリサブネット１９２６を含み得るデータプレーンミラーアプリ層１９４０を具備することができる。データプレーンミラーアプリ層１９４０は、データプレーンＶＣＮ１９１８に存在し得るが、データプレーンＶＣＮ１９１８に存在していなくてもよい。すなわち、データプレーンミラーアプリ層１９４０は、顧客テナンシ１９２１にアクセス可能であってもよいが、データプレーンＶＣＮ１９１８に存在していなくてもよいし、ＩａａＳプロバイダの顧客による所有または運用がなされていなくてもよい。データプレーンミラーアプリ層１９４０は、データプレーンＶＣＮ１９１８への呼び出しを行うように構成されていてもよいが、制御プレーンＶＣＮ１９１６に含まれる如何なるエンティティへの呼び出しも行わないように構成されていてもよい。顧客は、制御プレーンＶＣＮ１９１６においてプロビジョニングがなされているデータプレーンＶＣＮ１９１８中のリソースのデプロイメントあるいは使用を望むと考えられ、データプレーンミラーアプリ層１９４０は、顧客が望むリソースのデプロイメントまたは他の使用を容易化し得る。

【0252】

いくつかの実施形態において、ＩａａＳプロバイダの顧客は、フィルタをデータプレーンＶＣＮ１９１８に適用することができる。本実施形態において、顧客は、データプレーンＶＣＮ１９１８がアクセスし得る対象を決定することができ、また、顧客は、データプレーンＶＣＮ１９１８からパブリックインターネット１９５４へのアクセスを制限するようにしてもよい。ＩａａＳプロバイダは、フィルタを適用できなくてもよいし、任意の外部ネットワークまたはデータベースへのデータプレーンＶＣＮ１９１８のアクセスを制御できなくてもよい。顧客テナンシ１９２１に含まれるデータプレーンＶＣＮ１９１８に対する顧客によるフィルタおよび制御の適用は、他の顧客およびパブリックインターネット１９５４からのデータプレーンＶＣＮ１９１８の隔離に役立ち得る。

【0253】

いくつかの実施形態において、クラウドサービス１９５６は、サービスゲートウェイ１９３６による呼び出しによって、パブリックインターネット１９５４、制御プレーンＶＣＮ１９１６、またはデータプレーンＶＣＮ１９１８のいずれにも存在し得ないサービスにアクセス可能となる。クラウドサービス１９５６と制御プレーンＶＣＮ１９１６またはデータプレーンＶＣＮ１９１８との間の接続は、ライブでなくてもよいし、連続でなくてもよい。クラウドサービス１９５６は、ＩａａＳプロバイダが所有または運用する異なるネットワーク上に存在していてもよい。クラウドサービス１９５６は、サービスゲートウェイ１９３６からの呼び出しを受信するように構成されていてもよく、また、パブリックインターネット１９５４からの呼び出しを受信しないように構成されていてもよい。一部のクラウドサービス１９５６は、他のクラウドサービス１９５６から隔離されていてもよく、制御プレーンＶＣＮ１９１６は、当該制御プレーンＶＣＮ１９１６と同じリージョンにあり得ないクラウドサービス１９５６から隔離されていてもよい。たとえば、制御プレーンＶＣＮ１９１６は、「リージョン１」に配置されていてもよく、クラウドサービス「デプロイメント１８」は、リージョン１および「リージョン２」に配置されていてもよい。デプロイメント１８への呼び出しがリージョン１に配置されている制御プレーンＶＣＮ１９１６に含まれるサービスゲートウェイ１９３６により行われた場合、呼び出しは、リージョン１のデプロイメント１８に送信されるようになっていてもよい。本例において、制御プレーンＶＣＮ１９１６またはリージョン１のデプロイメント１８は、リージョン２のデプロイメント１８に通信結合されていなくてもよいし、リージョン２のデプロイメント１８と連通していなくてもよい。

【0254】

図２０は、少なくとも１つの実施形態に係る、ＩａａＳアーキテクチャの別の例示的なパターンを示すブロック図２０００である。サービスオペレータ２００２（たとえば、図１８のサービスオペレータ１８０２）は、仮想クラウドネットワーク（ＶＣＮ）２００６（たとえば、図１８のＶＣＮ１８０６）およびセキュアホストサブネット２００８（たとえば、図１８のセキュアホストサブネット１８０８）を含み得るセキュアホストテナンシ２００４（たとえば、図１８のセキュアホストテナンシ１８０４）に通信結合され得る。ＶＣＮ２００６は、ＳＳＨ ＶＣＮ２０１２（たとえば、図１８のＳＳＨ ＶＣＮ１８１２）に含まれるＬＰＧ２０１０（たとえば、図１８のＬＰＧ１８１０）を介してＳＳＨ ＶＣＮ２０１２に通信結合され得るＬＰＧ２０１０を具備することができる。ＳＳＨ ＶＣＮ２０１２は、ＳＳＨサブネット２０１４（たとえば、図１８のＳＳＨサブネット１８１４）を具備することができ、また、ＳＳＨ ＶＣＮ２０１２は、制御プレーンＶＣＮ２０１６（たとえば、図１８の制御プレーンＶＣＮ１８１６）に含まれるＬＰＧ２０１０を介して制御プレーンＶＣＮ２０１６に通信結合され得るとともに、データプレーンＶＣＮ２０１８（たとえば、図１８のデータプレーンＶＣＮ１８１８）に含まれるＬＰＧ２０１０を介してデータプレーンＶＣＮ２０１８に通信結合され得る。制御プレーンＶＣＮ２０１６およびデータプレーンＶＣＮ２０１８は、サービステナンシ２０１９（たとえば、図１８のサービステナンシ１８１９）に含まれ得る。

【0255】

制御プレーンＶＣＮ２０１６は、負荷分散器（ＬＢ）サブネット２０２２（たとえば、図１８のＬＢサブネット１８２２）を含み得る制御プレーンＤＭＺ層２０２０（たとえば、図１８の制御プレーンＤＭＺ層１８２０）と、（たとえば、図１８のアプリサブネット１８２６に類似する）アプリサブネット２０２６を含み得る制御プレーンアプリ層２０２４（たとえば、図１８の制御プレーンアプリ層１８２４）と、ＤＢサブネット２０３０を含み得る制御プレーンデータ層２０２８（たとえば、図１８の制御プレーンデータ層１８２８）と、を具備することができる。制御プレーンＤＭＺ層２０２０に含まれるＬＢサブネット２０２２は、制御プレーンアプリ層２０２４に含まれるアプリサブネット２０２６および制御プレーンＶＣＮ２０１６に含まれ得るインターネットゲートウェイ２０３４（たとえば、図１８のインターネットゲートウェイ１８３４）に通信結合され、アプリサブネット２０２６は、制御プレーンデータ層２０２８に含まれるＤＢサブネット２０３０、サービスゲートウェイ２０３６（たとえば、図１８のサービスゲートウェイ）、およびネットワークアドレス変換（ＮＡＴ）ゲートウェイ２０３８（たとえば、図１８のＮＡＴゲートウェイ１８３８）に通信結合され得る。制御プレーンＶＣＮ２０１６は、サービスゲートウェイ２０３６およびＮＡＴゲートウェイ２０３８を具備することができる。

【0256】

データプレーンＶＣＮ２０１８は、データプレーンアプリ層２０４６（たとえば、図１８のデータプレーンアプリ層１８４６）、データプレーンＤＭＺ層２０４８（たとえば、図１８のデータプレーンＤＭＺ層１８４８）、およびデータプレーンデータ層２０５０（たとえば、図１８のデータプレーンデータ層１８５０）を具備することができる。データプレーンＤＭＺ層２０４８は、データプレーンアプリ層２０４６のトラステッドアプリサブネット２０６０および非トラステッドアプリサブネット２０６２ならびにデータプレーンＶＣＮ２０１８に含まれるインターネットゲートウェイ２０３４に通信結合され得るＬＢサブネット２０２２を具備することができる。トラステッドアプリサブネット２０６０は、データプレーンＶＣＮ２０１８に含まれるサービスゲートウェイ２０３６、データプレーンＶＣＮ２０１８に含まれるＮＡＴゲートウェイ２０３８、およびデータプレーンデータ層２０５０に含まれるＤＢサブネット２０３０に通信結合され得る。非トラステッドアプリサブネット２０６２は、データプレーンＶＣＮ２０１８に含まれるサービスゲートウェイ２０３６およびデータプレーンデータ層２０５０に含まれるＤＢサブネット２０３０に通信結合され得る。データプレーンデータ層２０５０は、データプレーンＶＣＮ２０１８に含まれるサービスゲートウェイ２０３６に通信結合され得るＤＢサブネット２０３０を具備することができる。

【0257】

非トラステッドアプリサブネット２０６２は、テナント仮想マシン（ＶＭ）２０６６（１）～２０６６（Ｎ）に通信結合され得る１つまたは複数の一次ＶＮＩＣ２０６４（１）～２０６４（Ｎ）を具備することができる。各テナントＶＭ２０６６（１）～２０６６（Ｎ）は、顧客テナンシ２０７０（１）～２０７０（Ｎ）それぞれに含まれ得るコンテナ出力ＶＣＮ２０６８（１）～２０６８（Ｎ）それぞれに含まれ得るアプリサブネット２０６７（１）～２０６７（Ｎ）それぞれに通信結合され得る。二次ＶＮＩＣ２０７２（１）～２０７２（Ｎ）はそれぞれ、データプレーンＶＣＮ２０１８に含まれる非トラステッドアプリサブネット２０６２とコンテナ出力ＶＣＮ２０６８（１）～２０６８（Ｎ）に含まれるアプリサブネットとの間の通信を容易化し得る。各コンテナ出力ＶＣＮ２０６８（１）～２０６８（Ｎ）は、パブリックインターネット２０５４（たとえば、図１８のパブリックインターネット１８５４）に通信結合され得るＮＡＴゲートウェイ２０３８を具備することができる。

【0258】

制御プレーンＶＣＮ２０１６およびデータプレーンＶＣＮ２０１８に含まれるインターネットゲートウェイ２０３４は、パブリックインターネット２０５４に通信結合され得るメタデータ管理サービス２０５２（たとえば、図１８のメタデータ管理システム１８５２）に通信結合され得る。パブリックインターネット２０５４は、制御プレーンＶＣＮ２０１６およびデータプレーンＶＣＮ２０１８に含まれるＮＡＴゲートウェイ２０３８に通信結合され得る。制御プレーンＶＣＮ２０１６およびデータプレーンＶＣＮ２０１８に含まれるサービスゲートウェイ２０３６は、クラウドサービス２０５６に通信結合され得る。

【0259】

いくつかの実施形態において、データプレーンＶＣＮ２０１８は、顧客テナンシ２０７０と一体化され得る。この一体化は、コードの実行にサポートを望む可能性がある場合等に、ＩａａＳプロバイダの顧客に有用または所望となり得る。顧客は、実行するコードを与えるようにしてもよく、このコードは、破壊的なものとなる可能性もあるし、他の顧客リソースと通信する可能性もあるし、あるいは望ましくない影響をもたらす可能性もある。これに応答して、ＩａａＳプロバイダは、顧客により当該ＩａａＳプロバイダに与えられたコードを実行するかを判定するようにしてもよい。

【0260】

いくつかの例において、ＩａａＳプロバイダの顧客は、ＩａａＳプロバイダへの一時的なネットワークアクセスを許可し、データプレーンアプリ層２０４６に付与される機能を要求するようにしてもよい。この機能を実行するコードは、ＶＭ２０６６（１）～２０６６（Ｎ）において実行されるようになっていてもよく、また、データプレーンＶＣＮ２０１８上の他の場所で実行するようには構成されていなくてもよい。各ＶＭ２０６６（１）～２０６６（Ｎ）は、１つの顧客テナンシ２０７０に接続されていてもよい。ＶＭ２０６６（１）～２０６６（Ｎ）に含まれるコンテナ２０７１（１）～２０７１（Ｎ）はそれぞれ、コードを実行するように構成されていてもよい。この場合は、二重の隔離が存在する可能性があり（たとえば、コードを実行するコンテナ２０７１（１）～２０７１（Ｎ）は、少なくとも非トラステッドアプリサブネット２０６２に含まれるＶＭ２０６６（１）～２０６６（Ｎ）に含まれていてもよい）、誤ったコードあるいは望ましくないコードによるＩａａＳプロバイダのネットワークまたは異なる顧客のネットワークの損傷を防止するのに役立ち得る。コンテナ２０７１（１）～２０７１（Ｎ）は、顧客テナンシ２０７０に通信結合されていてもよく、また、顧客テナンシ２０７０に対してデータを送信または受信するように構成されていてもよい。コンテナ２０７１（１）～２０７１（Ｎ）は、データプレーンＶＣＮ２０１８中の他の如何なるエンティティに対するデータの送信または受信も行わないように構成されていてもよい。コードの実行の完了時、ＩａａＳプロバイダは、コンテナ２０７１（１）～２０７１（Ｎ）を無効化するようにしてもよいし、廃棄するようにしてもよい。

【0261】

いくつかの実施形態において、トラステッドアプリサブネット２０６０は、ＩａａＳプロバイダが所有または運用し得るコードを実行するようにしてもよい。本実施形態において、トラステッドアプリサブネット２０６０は、ＤＢサブネット２０３０に通信結合されていてもよく、また、ＤＢサブネット２０３０においてＣＲＵＤ動作を実行するように構成されていてもよい。非トラステッドアプリサブネット２０６２は、ＤＢサブネット２０３０に通信結合されていてもよいが、本実施形態においては、ＤＢサブネット２０３０において読み出し動作を実行するように構成されていてもよい。各顧客のＶＭ２０６６（１）～２０６６（Ｎ）に含まれ、顧客からのコードを実行し得るコンテナ２０７１（１）～２０７１（Ｎ）は、ＤＢサブネット２０３０と通信結合されていなくてもよい。

【0262】

他の実施形態において、制御プレーンＶＣＮ２０１６およびデータプレーンＶＣＮ２０１８は、直接通信結合されていなくてもよい。本実施形態においては、制御プレーンＶＣＮ２０１６とデータプレーンＶＣＮ２０１８との間に直接的な通信が存在していなくてもよい。ただし、少なくとも１つの方法によって間接的に通信を行うことができる。制御プレーンＶＣＮ２０１６とデータプレーンＶＣＮ２０１８との間の通信を容易化し得るＬＰＧ２０１０がＩａａＳプロバイダにより確立されていてもよい。別の例において、制御プレーンＶＣＮ２０１６またはデータプレーンＶＣＮ２０１８は、サービスゲートウェイ２０３６を介して、クラウドサービス２０５６への呼び出しを行うことができる。たとえば、制御プレーンＶＣＮ２０１６からクラウドサービス２０５６への呼び出しには、データプレーンＶＣＮ２０１８と通信し得るサービスのリクエストを含み得る。

【0263】

図２１は、少なくとも１つの実施形態に係る、ＩａａＳアーキテクチャの別の例示的なパターンを示すブロック図２１００である。サービスオペレータ２１０２（たとえば、図１８のサービスオペレータ１８０２）は、仮想クラウドネットワーク（ＶＣＮ）２１０６（たとえば、図１８のＶＣＮ１８０６）およびセキュアホストサブネット２１０８（たとえば、図１８のセキュアホストサブネット１８０８）を含み得るセキュアホストテナンシ２１０４（たとえば、図１８のセキュアホストテナンシ１８０４）に通信結合され得る。ＶＣＮ２１０６は、ＳＳＨ ＶＣＮ２１１２（たとえば、図１８のＳＳＨ ＶＣＮ１８１２）に含まれるＬＰＧ２１１０（たとえば、図１８のＬＰＧ１８１０）を介してＳＳＨ ＶＣＮ２１１２に通信結合され得るＬＰＧ２１１０を具備することができる。ＳＳＨ ＶＣＮ２１１２は、ＳＳＨサブネット２１１４（たとえば、図１８のＳＳＨサブネット１８１４）を具備することができ、また、ＳＳＨ ＶＣＮ２１１２は、制御プレーンＶＣＮ２１１６（たとえば、図１８の制御プレーンＶＣＮ１８１６）に含まれるＬＰＧ２１１０を介して制御プレーンＶＣＮ２１１６に通信結合され得るとともに、データプレーンＶＣＮ２１１８（たとえば、図１８のデータプレーンＶＣＮ１８１８）に含まれるＬＰＧ２１１０を介してデータプレーンＶＣＮ２１１８に通信結合され得る。制御プレーンＶＣＮ２１１６およびデータプレーンＶＣＮ２１１８は、サービステナンシ２１１９（たとえば、図１８のサービステナンシ１８１９）に含まれ得る。

【0264】

制御プレーンＶＣＮ２１１６は、ＬＢサブネット２１２２（たとえば、図１８のＬＢサブネット１８２２）を含み得る制御プレーンＤＭＺ層２１２０（たとえば、図１８の制御プレーンＤＭＺ層１８２０）と、アプリサブネット２１２６（たとえば、図１８のアプリサブネット１８２６）を含み得る制御プレーンアプリ層２１２４（たとえば、図１８の制御プレーンアプリ層１８２４）と、ＤＢサブネット２１３０（たとえば、図２０のＤＢサブネット２０３０）を含み得る制御プレーンデータ層２１２８（たとえば、図１８の制御プレーンデータ層１８２８）と、を具備することができる。制御プレーンＤＭＺ層２１２０に含まれるＬＢサブネット２１２２は、制御プレーンアプリ層２１２４に含まれるアプリサブネット２１２６および制御プレーンＶＣＮ２１１６に含まれ得るインターネットゲートウェイ２１３４（たとえば、図１８のインターネットゲートウェイ１８３４）に通信結合され、アプリサブネット２１２６は、制御プレーンデータ層２１２８に含まれるＤＢサブネット２１３０、サービスゲートウェイ２１３６（たとえば、図１８のサービスゲートウェイ）、およびネットワークアドレス変換（ＮＡＴ）ゲートウェイ２１３８（たとえば、図１８のＮＡＴゲートウェイ１８３８）に通信結合され得る。制御プレーンＶＣＮ２１１６は、サービスゲートウェイ２１３６およびＮＡＴゲートウェイ２１３８を具備することができる。

【0265】

データプレーンＶＣＮ２１１８は、データプレーンアプリ層２１４６（たとえば、図１８のデータプレーンアプリ層１８４６）、データプレーンＤＭＺ層２１４８（たとえば、図１８のデータプレーンＤＭＺ層１８４８）、およびデータプレーンデータ層２１５０（たとえば、図１８のデータプレーンデータ層１８５０）を具備することができる。データプレーンＤＭＺ層２１４８は、データプレーンアプリ層２１４６のトラステッドアプリサブネット２１６０（たとえば、図２０のトラステッドアプリサブネット２０６０）および非トラステッドアプリサブネット２１６２（たとえば、図２０の非トラステッドアプリサブネット２０６２）ならびにデータプレーンＶＣＮ２１１８に含まれるインターネットゲートウェイ２１３４に通信結合され得るＬＢサブネット２１２２を具備することができる。トラステッドアプリサブネット２１６０は、データプレーンＶＣＮ２１１８に含まれるサービスゲートウェイ２１３６、データプレーンＶＣＮ２１１８に含まれるＮＡＴゲートウェイ２１３８、およびデータプレーンデータ層２１５０に含まれるＤＢサブネット２１３０に通信結合され得る。非トラステッドアプリサブネット２１６２は、データプレーンＶＣＮ２１１８に含まれるサービスゲートウェイ２１３６およびデータプレーンデータ層２１５０に含まれるＤＢサブネット２１３０に通信結合され得る。データプレーンデータ層２１５０は、データプレーンＶＣＮ２１１８に含まれるサービスゲートウェイ２１３６に通信結合され得るＤＢサブネット２１３０を具備することができる。

【0266】

非トラステッドアプリサブネット２１６２は、非トラステッドアプリサブネット２１６２内に存在するテナント仮想マシン（ＶＭ）２１６６（１）～２１６６（Ｎ）に通信結合され得る一次ＶＮＩＣ２１６４（１）～２１６４（Ｎ）を具備することができる。各テナントＶＭ２１６６（１）～２１６６（Ｎ）は、コンテナ２１６７（１）～２１６７（Ｎ）それぞれにおいてコードを実行可能であるとともに、コンテナ出力ＶＣＮ２１６８に含まれ得るデータプレーンアプリ層２１４６に含まれ得るアプリサブネット２１２６に通信結合され得る。二次ＶＮＩＣ２１７２（１）～２１７２（Ｎ）はそれぞれ、データプレーンＶＣＮ２１１８に含まれる非トラステッドアプリサブネット２１６２とコンテナ出力ＶＣＮ２１６８に含まれるアプリサブネットとの間の通信を容易化し得る。コンテナ出力ＶＣＮは、パブリックインターネット２１５４（たとえば、図１８のパブリックインターネット１８５４）に通信結合され得るＮＡＴゲートウェイ２１３８を具備することができる。

【0267】

制御プレーンＶＣＮ２１１６およびデータプレーンＶＣＮ２１１８に含まれるインターネットゲートウェイ２１３４は、パブリックインターネット２１５４に通信結合され得るメタデータ管理サービス２１５２（たとえば、図１８のメタデータ管理システム１８５２）に通信結合され得る。パブリックインターネット２１５４は、制御プレーンＶＣＮ２１１６およびデータプレーンＶＣＮ２１１８に含まれるＮＡＴゲートウェイ２１３８に通信結合され得る。制御プレーンＶＣＮ２１１６およびデータプレーンＶＣＮ２１１８に含まれるサービスゲートウェイ２１３６は、クラウドサービス２１５６に通信結合され得る。

【0268】

いくつかの例において、図２１のブロック図２１００のアーキテクチャにより示されるパターンは、図２０のブロック図２０００のアーキテクチャにより示されるパターンの例外と考えられ、ＩａａＳプロバイダが顧客と直接通信できない（たとえば、非接続リージョンである）場合に、ＩａａＳプロバイダの顧客に望ましいと考えられる。顧客ごとにＶＭ２１６６（１）～２１６６（Ｎ）に含まれるコンテナ２１６７（１）～２１６７（Ｎ）はそれぞれ、顧客によるリアルタイムでのアクセスが可能である。コンテナ２１６７（１）～２１６７（Ｎ）は、コンテナ出力ＶＣＮ２１６８に含まれ得るデータプレーンアプリ層２１４６のアプリサブネット２１２６に含まれる二次ＶＮＩＣ２１７２（１）～２１７２（Ｎ）それぞれへの呼び出しを行うように構成されていてもよい。二次ＶＮＩＣ２１７２（１）～２１７２（Ｎ）は、呼び出しをＮＡＴゲートウェイ２１３８に送信可能であり、ＮＡＴゲートウェイ２１３８は、呼び出しをパブリックインターネット２１５４に送信するようにしてもよい。本例において、顧客によるリアルタイムでのアクセスが可能なコンテナ２１６７（１）～２１６７（Ｎ）は、制御プレーンＶＣＮ２１１６から隔離され得るとともに、データプレーンＶＣＮ２１１８に含まれる他のエンティティからも隔離され得る。また、コンテナ２１６７（１）～２１６７（Ｎ）は、他の顧客のリソースからも隔離され得る。

【0269】

他の例において、顧客は、コンテナ２１６７（１）～２１６７（Ｎ）を使用して、クラウドサービス２１５６を呼び出すことができる。本例において、顧客は、コンテナ２１６７（１）～２１６７（Ｎ）において、クラウドサービス２１５６にサービスを要求するコードを実行することができる。コンテナ２１６７（１）～２１６７（Ｎ）は、このリクエストを二次ＶＮＩＣ２１７２（１）～２１７２（Ｎ）に送信可能であり、二次ＶＮＩＣ２１７２（１）～２１７２（Ｎ）は、リクエストをＮＡＴゲートウェイに送信可能であり、ＮＡＴゲートウェイは、リクエストをパブリックインターネット２１５４に送信可能である。パブリックインターネット２１５４は、インターネットゲートウェイ２１３４を介して、制御プレーンＶＣＮ２１１６に含まれるＬＢサブネット２１２２にリクエストを送信可能である。リクエストが有効である旨の判定に応答して、ＬＢサブネットは、リクエストをアプリサブネット２１２６に送信可能であり、アプリサブネット２１２６は、サービスゲートウェイ２１３６を介して、リクエストをクラウドサービス２１５６に送信可能である。

【0270】

当然のことながら、図面に示されるＩａａＳアーキテクチャ１８００、１９００、２０００、２１００は、図示以外の構成要素を有していてもよい。さらに、図面に示される実施形態は、本開示の一実施形態を包含し得るクラウドインフラシステムの一例に過ぎない。いくつかの他の実施形態において、ＩａａＳシステムは、有する構成要素が図示より多くても少なくてもよいし、２つ以上の構成要素を組み合わせるようにしてもよいし、構成要素の構成または配置が異なっていてもよい。

【0271】

ある実施形態において、本明細書に記載のＩａａＳシステムは、セルフサービスかつサブスクリプションベースの弾力的に拡張可能かつ確実で可用性が高くセキュアな方法で顧客に送達される一連のアプリケーション、ミドルウェア、およびデータベースサービスを含んでいてもよい。本譲受人が提供するＯＣＩ（Oracle Cloud Infrastructure）がこのようなＩａａＳシステムの一例である。

【0272】

図２２は、種々実施形態が実現され得る例示的なコンピュータシステム２２００を示している。システム２２００は、上述のコンピュータシステムのいずれかの実現に用いられるようになっていてもよい。図面に示される通り、コンピュータシステム２２００は、バスサブシステム２２０２を介して多くの周辺サブシステムと通信する処理ユニット２２０４を具備する。周辺サブシステムには、処理加速ユニット２２０６、Ｉ／Ｏサブシステム２２０８、ストレージサブシステム２２１８、および通信サブシステム２２２４を含み得る。ストレージサブシステム２２１８は、有形コンピュータ可読記憶媒体２２２２およびシステムメモリ２２１０を具備する。

【0273】

バスサブシステム２２０２は、コンピュータシステム２２００のさまざまな構成要素およびサブシステムを目的通り互いに通信させるためのメカニズムを提供する。バスサブシステム２２０２は、単一のバスとして模式的に示されるが、バスサブシステムの代替実施形態では複数のバスを利用するようにしてもよい。バスサブシステム２２０２は、多様なバスアーキテクチャのいずれかを使用するメモリバスもしくはメモリコントローラ、周辺機器用バス、ならびにローカルバスを含む複数種類のバス構造のいずれかであってもよい。たとえば、このようなアーキテクチャには、ＩＥＥＥ Ｐ１３８６．１標準に従って製造されたメザニンバスとして実現され得る業界標準アーキテクチャ（ＩＳＡ）バス、マイクロチャネルアーキテクチャ（ＭＣＡ）バス、拡張ＩＳＡ（ＥＩＳＡ）バス、ビデオエレクトロニクス規格協会（ＶＥＳＡ）ローカルバス、および周辺機器相互接続（ＰＣＩ）バスを含み得る。

【0274】

１つまたは複数の集積回路（たとえば、従来のマイクロプロセッサまたはマイクロコントローラ）として実現され得る処理ユニット２２０４は、コンピュータシステム２２００の動作を制御する。処理ユニット２２０４には、１つまたは複数のプロセッサが含まれていてもよい。これらのプロセッサには、シングルコアまたはマルチコアプロセッサを含み得る。ある実施形態において、処理ユニット２２０４は、シングルコアまたはマルチコアプロセッサが各々に含まれる１つまたは複数の独立した処理ユニット２２３２および／または２２３４として実現されるようになっていてもよい。また、他の実施形態において、処理ユニット２２０４は、２つのデュアルコアプロセッサを単一のチップに統合することにより形成されたクアッドコア処理ユニットとして実現されていてもよい。

【0275】

種々実施形態において、処理ユニット２２０４は、プログラムコードに応答して多様なプログラムを実行するとともに、複数の同時実行プログラムまたはプロセスを維持することができる。任意所与の時間において、実行されるプログラムコードの一部または全部がプロセッサ２２０４および／またはストレージサブシステム２２１８に存在し得る。好適なプログラミングにより、プロセッサ２２０４は、上述のさまざまな機能を提供可能である。また、コンピュータシステム２２００は、デジタル信号プロセッサ（ＤＳＰ）、専用プロセッサ、および／または類似物を含み得る処理加速ユニット２２０６を具備していてもよい。

【0276】

Ｉ／Ｏサブシステム２２０８は、ユーザインターフェース入力装置およびユーザインターフェース出力装置を具備していてもよい。ユーザインターフェース入力装置には、キーボード、マウスもしくはトラックボール等のポインティングデバイス、ディスプレイに組み込まれたタッチパッドもしくはタッチスクリーン、スクロールホイール、クリックホイール、ダイヤル、ボタン、スイッチ、キーパッド、音声コマンド認識システムを有するオーディオ入力装置、マイク、ならびに他種の入力装置を含み得る。ユーザインターフェース入力装置には、たとえばジェスチャおよび音声コマンドを使用する自然なユーザインターフェースを通じたMicrosoft Xbox（登録商標）360ゲームコントローラ等の入力装置に対するユーザの制御および相互作用を可能にするMicrosoft Kinect（登録商標）運動センサ等の運動検知および／またはジェスチャ認識デバイスを含み得る。また、ユーザインターフェース入力装置には、ユーザの眼の活動（たとえば、撮影中および／またはメニュー選択中の「瞬き」）を検出し、眼のジェスチャを入力装置（たとえば、Google Glass（登録商標））への入力として変換するGoogle Glass（登録商標）瞬き検出器等の眼ジェスチャ認識デバイスを含み得る。また、ユーザインターフェース入力装置には、音声コマンドを介したユーザによる音声認識システム（たとえば、Siri（登録商標）ナビゲータ）との相互作用を可能にする音声認識検知デバイスを含み得る。

【0277】

また、ユーザインターフェース入力装置には、３次元（３Ｄ）マウス、ジョイスティックもしくはポインティングスティック、ゲームパッドおよびグラフィックタブレット、ならびにスピーカ、デジタルカメラ、デジタルビデオカメラ、ポータブルメディアプレーヤ、ウェブカメラ、画像スキャナ、指紋スキャナ、バーコードリーダ３Ｄスキャナ、３Ｄプリンタ、レーザ距離計、および視線追跡デバイス等の聴覚／視覚デバイスを含み得るが、これらに限定されない。また、ユーザインターフェース入力装置には、たとえばコンピュータトモグラフィ、磁気共鳴イメージング、陽電子放出トモグラフィ、医療用超音波検査デバイス等の医療用撮像入力装置を含み得る。また、ユーザインターフェース入力装置には、たとえばＭＩＤＩキーボード、デジタル楽器等のオーディオ入力装置を含み得る。

【0278】

ユーザインターフェース出力装置には、ディスプレイサブシステム、表示灯、またはオーディオ出力装置等の非視覚的ディスプレイを含み得る。ディスプレイサブシステムは、陰極線管（ＣＲＴ）、液晶ディスプレイ（ＬＣＤ）またはプラズマディスプレイを使用するようなフラットパネルデバイス、投射装置、タッチスクリーン等であってもよい。一般的に、用語「出力装置（output device）」の使用は、コンピュータシステム２２００からユーザまたは他のコンピュータに情報を出力するための考え得るすべての種類のデバイスおよびメカニズムを含むことが意図される。たとえば、ユーザインターフェース出力装置には、モニタ、プリンタ、スピーカ、ヘッドフォン、自動車ナビゲーションシステム、プロッタ、音声出力装置、およびモデム等、テキスト、グラフィックス、およびオーディオ／ビデオ情報を視覚的に伝達する多様な表示装置を含み得るが、これらに限定されない。

【0279】

コンピュータシステム２２００は、本開示に記載の実施形態の機能を提供するソフトウェアおよびデータ構成体を格納するための有形一時的コンピュータ可読記憶媒体を提供するストレージサブシステム２２１８を備えていてもよい。ソフトウェアは、処理ユニット２２０４の１つまたは複数のコアまたはプロセッサによって実行されると、上述の機能を提供するプログラム、コードモジュール、命令、スクリプト等を含み得る。また、ストレージサブシステム２２１８は、本開示に従って使用されるデータを格納するためのリポジトリを提供するようにしてもよい。

【0280】

図２２の例に示すように、ストレージサブシステム２２１８は、システムメモリ２２１０、コンピュータ可読記憶媒体２２２２、およびコンピュータ可読記憶媒体リーダ２２２０を含むさまざまな構成要素を具備することができる。システムメモリ２２１０は、処理ユニット２２０４によるロードおよび実行が可能なプログラム命令を格納していてもよい。また、システムメモリ２２１０は、命令の実行時に使用されるデータおよび／またはプログラム命令の実行時に生成されるデータを格納するようにしてもよい。さまざまな異なる種類のプログラムがシステムメモリ２２１０にロードされるようになっていてもよく、クライアントアプリケーション、ウェブブラウザ、中間層アプリケーション、リレーショナルデータベース管理システム（ＲＤＢＭＳ）、仮想マシン、コンテナ等が挙げられるが、これらに限定されない。

【0281】

また、システムメモリ２２１０は、オペレーティングシステム２２１６を格納するようにしてもよい。オペレーティングシステム２２１６の例としては、さまざまなバージョンのMicrosoft Windows（登録商標）、Apple Macintosh（登録商標）、および／もしくはLinuxオペレーティングシステム、多様な市販のUNIX（登録商標）もしくはUNIX類似オペレーティングシステム（多様なGNU/Linuxオペレーティングシステム、Google Chrome（登録商標）OS等を含むが、これらに限定されない）、ならびに/またはiOS、Windows（登録商標）Phone、Android（登録商標）OS、BlackBerry（登録商標）OS、およびPalm（登録商標）OSオペレーティングシステム等のモバイルオペレーティングシステムが挙げられる。コンピュータシステム２２００が１つまたは複数の仮想マシンを実行するある実施態様において、仮想マシンは、それぞれのゲストオペレーティングシステム（ＧＯＳ）と併せて、システムメモリ２２１０にロードされ、処理ユニット２２０４の１つまたは複数のプロセッサまたはコアにより実行されるようになっていてもよい。

【0282】

システムメモリ２２１０は、コンピュータシステム２２００の種類に応じて、さまざまな構成が可能である。たとえば、システムメモリ２２１０は、揮発性メモリ（ランダムアクセスメモリ（ＲＡＭ）等）および／または不揮発性メモリ（リードオンリーメモリ（ＲＯＭ）、フラッシュメモリ等）であってもよい。また、スタティックランダムアクセスメモリ（ＳＲＡＭ）、ダイナミックランダムアクセスメモリ（ＤＲＡＭ）、およびその他を含む異なる種類のＲＡＭ構成が与えられていてもよい。いくつかの実施態様において、システムメモリ２２１０は、起動時等にコンピュータシステム２２００内の要素間で情報を伝達するのに役立つ基本ルーチンを含む基本入出力システム（ＢＩＯＳ）を具備していてもよい。

【0283】

コンピュータ可読記憶媒体２２２２は、リモート、ローカル、固定、および／または取り外し可能な記憶装置のほか、コンピュータシステム２２００により使用されるコンピュータ可読情報（コンピュータシステム２２００の処理ユニット２２０４により実行可能な命令を含む）を一時的および／または恒久的に包含、格納するための記憶媒体を表し得る。

【0284】

コンピュータ可読記憶媒体２２２２には、当技術分野において公知または使用されている任意適当な媒体を含むことができ（記憶媒体および通信媒体を含む）、情報の格納および／または伝送のための任意の方法または技術において実現されている揮発性および不揮発性、リムーバブルおよび非リムーバブル媒体が挙げられるが、これらに限定されない。これには、ＲＡＭ、ＲＯＭ、電子的消去可能プログラマブルＲＯＭ（ＥＥＰＲＯＭ）、フラッシュメモリ等のメモリ技術、ＣＤ－ＲＯＭ、デジタル多用途ディスク（ＤＶＤ）等の光学ストレージ、磁気カセット、磁気テープ、磁気ディスクストレージ等の磁気記憶装置、または他の有形コンピュータ可読媒体等の有形コンピュータ可読記憶媒体を含み得る。

【0285】

一例として、コンピュータ可読記憶媒体２２２２には、非リムーバブル不揮発性磁気媒体に対して読み書きを行うハードディスクドライブと、リムーバブル不揮発性磁気ディスクに対して読み書きを行う磁気ディスクドライブと、ＣＤ－ＲＯＭ、ＤＶＤ、Blu-Ray（登録商標）ディスク、または他の光学媒体等のリムーバブル不揮発性光ディスクに対して読み書きを行う光ディスクドライブと、を含み得る。コンピュータ可読記憶媒体２２２２には、Zip（登録商標）ドライブ、フラッシュメモリカード、ユニバーサルシリアルバス（ＵＳＢ）フラッシュドライブ、セキュアデジタル（ＳＤ）カード、ＤＶＤディスク、デジタルビデオテープ等を含み得るが、これらに限定されない。また、コンピュータ可読記憶媒体２２２２には、フラッシュメモリベースのＳＳＤ、エンタープライズフラッシュドライブ、半導体ＲＯＭ等の不揮発性メモリに基づく半導体ドライブ（ＳＳＤ）、半導体ＲＡＭ、ダイナミックＲＡＭ、スタティックＲＡＭ、ＤＲＡＭベースのＳＳＤ、磁気抵抗ＲＡＭ（ＭＲＡＭ）ＳＳＤ、ならびにＤＲＡＭおよびフラッシュメモリベースのＳＳＤの組み合わせを使用するハイブリッドＳＳＤ等の揮発性メモリに基づくＳＳＤを含み得る。ディスクドライブおよびそれぞれの関連するコンピュータ可読媒体は、コンピュータシステム２２００に対するコンピュータ可読命令、データ構造、プログラムモジュール、および他のデータの不揮発性ストレージを提供し得る。

【0286】

処理ユニット２２０４の１つまたは複数のプロセッサまたはコアにより実行可能な機械可読命令は、非一時的コンピュータ可読記憶媒体に格納されていてもよい。非一時的コンピュータ可読記憶媒体は、揮発性メモリ記憶装置および／または不揮発性記憶装置を含む物理的に有形のメモリまたは記憶装置を含み得る。非一時的コンピュータ可読記憶媒体の例としては、磁気記憶媒体（たとえば、ディスクもしくはテープ）、光学記憶媒体（たとえば、ＤＶＤ、ＣＤ）、さまざまな種類のＲＡＭ、ＲＯＭ、もしくはフラッシュメモリ、ハードドライブ、フロッピー（登録商標）ドライブ、取り外し可能なメモリドライブ（たとえば、ＵＳＢドライブ）、または他の種類の記憶装置が挙げられる。

【0287】

通信サブシステム２２２４は、他のコンピュータシステムおよびネットワークに対するインターフェースを提供する。通信サブシステム２２２４は、コンピュータシステム２２００と他のシステムとの間のデータの送受信のためのインターフェースとして機能する。たとえば、通信サブシステム２２２４は、コンピュータシステム２２００がインターネットを介して１つまたは複数のデバイスにつながることを可能にし得る。いくつかの実施形態において、通信サブシステム２２２４は、（たとえば、携帯電話技術、３Ｇ、４Ｇ、またはＥＤＧＥ（Enhanced Data Rates for Global Evolution）、WiFi（ＩＥＥＥ ８０２．１１ファミリ標準）等の高度なデータネットワーク技術、もしくは他の移動通信技術、またはこれらの任意の組み合わせを使用する）無線音声および／またはデータネットワーク、全地球測位システム（ＧＰＳ）受信機コンポーネント、および／または他のコンポーネントにアクセスするための無線周波数（ＲＦ）トランシーバコンポーネントを具備することができる。いくつかの実施形態において、通信サブシステム２２２４は、無線インターフェースの追加または代替として、有線ネットワーク接続（たとえば、Ethernet）を提供し得る。

【0288】

また、いくつかの実施形態において、通信サブシステム２２２４は、コンピュータシステム２２００を使用し得る１人または複数人のユーザに代わって、構造化および／または非構造化データフィード２２２６、イベントストリーム２２２８、イベントアップデート２２３０等の形態の入力情報を受信可能である。

【0289】

一例として、通信サブシステム２２２４は、ソーシャルネットワークならびに／またはTwitter（登録商標）フィード、Facebook（登録商標）アップデート、ＲＳＳ（Rich Site Summary）フィード等のウェブフィード、ならびに／または１つもしくは複数のサードパーティ情報源からのリアルタイムアップデート等、他の通信サービスのユーザからデータフィード２２２６をリアルタイムで受信するように構成されていてもよい。

【0290】

また、通信サブシステム２２２４は、連続データストリームの形態のデータを受信するように構成されていてもよく、これには、リアルタイムイベントおよび／またはイベントアップデート２２３０のイベントストリーム２２２８を含み得るが、これは、連続的であってもよいし、明示的な終わりのない事実上の無限であってもよい。連続データを生成するアプリケーションの例としては、たとえばセンサデータアプリケーション、金融ティッカー、ネットワーク性能測定ツール（たとえば、ネットワークモニタリングおよびトラフィック管理アプリケーション）、クリックストリーム分析ツール、自動車交通モニタリング等が挙げられる。

【0291】

また、通信サブシステム２２２４は、コンピュータシステム２２００に結合されている１つまたは複数のストリーミングデータ源コンピュータと連通し得る１つまたは複数のデータベースに対して、構造化および／または非構造化データフィード２２２６、イベントストリーム２２２８、イベントアップデート２２３０等を出力するように構成されていてもよい。

【0292】

コンピュータシステム２２００としては、携帯型手持ち式デバイス（たとえば、iPhone（登録商標）携帯電話、iPad（登録商標）コンピューティングタブレット、ＰＤＡ等）、ウェアラブル装置（Google Glass（登録商標）ヘッドマウントディスプレイ等）、ＰＣ、ワークステーション、メインフレーム、キオスク、サーバラック、または任意の他のデータ処理システムを含むさまざまな種類のうちの１つが可能である。

【0293】

コンピュータおよびネットワークの絶えず変化する性質のため、図示のコンピュータシステム２２００に関する記述は、具体例としての意図しかない。図示のシステムよりも構成要素が多いか少ないかに関わらず、他の多くの構成が可能である。たとえば、カスタマイズされたハードウェアの使用ならびに／またはハードウェア、ファームウェア、ソフトウェア（アプレットを含む）、もしくは組み合わせにおける特定の要素の実装も考えられる。さらに、ネットワーク入出力装置等の他のコンピューティングデバイスへの接続が採用されるようになっていてもよい。本明細書に記載の開示および教示内容に基づいて、当業者であれば、種々実施形態を実現する他の手法および／または方法が認識されよう。

【0294】

以上、特定の実施形態を説明したが、種々改良、変更、代替構成、および同等物についても本開示の範囲に含まれる。実施形態は、ある特定のデータ処理環境内での動作に限定されず、複数のデータ処理環境内で自由に動作し得る。また、特定の一連のトランザクションおよびステップを使用して実施形態を説明したが、当業者には、本開示の範囲が記載の一連のトランザクションおよびステップに限定されないことが明らかであろう。上述の実施形態の種々特徴および態様が個別に使用されるようになっていてもよいし、一体的に使用されるようになっていてもよい。

【0295】

さらに、ハードウェアおよびソフトウェアの特定の組み合わせを使用して実施形態を説明したが、ハードウェアおよびソフトウェアの他の組み合わせについても本開示の範囲に含まれることが認識されよう。実施形態は、ハードウェアにおいてのみ実現されていてもよいし、ソフトウェアにおいてのみ実現されていてもよいし、これらの組み合わせを使用することにより実現されていてもよい。本明細書に記載のさまざまなプロセスは、同じプロセッサ上で実現することも可能であるし、任意の組み合わせの異なるプロセッサ上で実現することも可能である。したがって、コンポーネントまたはモジュールがある動作を実行するように構成されているものとして記載される場合、このような構成は、たとえばこの動作を実行するように電子回路を設計すること、この動作を実行するようにプログラム可能電子回路（マイクロプロセッサ等）をプログラムすること、またはこれらの任意の組み合わせによって達成され得る。プロセスは、多様な技術を使用することにより通信可能であって、プロセス間通信のための従来の技術が挙げられるが、これらに限定されない。また、プロセスの異なる組が異なる技術を使用するようにしてもよいし、プロセスの同じ組が異なる時間に異なる技術を使用するようにしてもよい。

【0296】

したがって、本明細書および図面は、何ら限定するものではなく、例示として捉えられるものとする。ただし、特許請求の範囲に記載の広範な思想および範囲から逸脱することなく、追加、差分、消去、ならびに他の改良および変更がなされ得ることは明らかである。このため、本開示の特定の実施形態を説明したが、これらには何ら限定の意図はない。種々改良および同等物が以下の特許請求の範囲に含まれる。

【0297】

開示の実施形態を説明する文脈（特に、以下の特許請求の範囲の文脈）における用語「a」、「an」、および「the」、ならびに同様の指示対象の使用は、本明細書における別段の指示または文脈上の明確な矛盾のない限り、単数形および複数形の両者を網羅するように解釈されるものとする。用語「備える（comprising）」、「有する（having）」、「具備する（including）」、および「含む（containing）」は、別段の断りのない限り、オープンエンドの用語（すなわち、「～を含むが、これらに限定されない」を意味する）として解釈されるものとする。用語「接続されている（connected）」は、何かが介在している場合であっても、一部または全部が含まれている、取り付けられている、または一体的に結合されているものとして解釈されるものとする。本明細書における値の範囲の記述は、本明細書における別段の指示のない限り、その範囲に含まれる別個の各値を個別に参照する簡潔な方法として機能することが意図されるに過ぎず、別個の各値は、本明細書において個別の記述があるかのように本明細書に組み込まれる。本明細書における別段の指示または文脈上の明確な矛盾のない限り、本明細書に記載のすべての方法が任意好適な順序で実行され得る。本明細書に記載のありとあらゆる例または例示的な表現（たとえば、「～等（such as）」）の使用は、実施形態の理解を容易にする意図しかなく、別段の主張のない限り、本開示の範囲を制限するものではない。本明細書における如何なる表現も、特許請求されていない要素が本開示の実施に不可欠であることを示すものとは解釈されないものとする。

【0298】

特に記載のない限り、句「Ｘ、Ｙ、Ｚのうち少なくとも１つ（at least one of X, Y, or Z）」等の選言的表現は、項目、用語等がＸ、Ｙ、Ｚのいずれかまたはこれらの任意の組み合わせ（たとえば、Ｘ、Ｙ、および／またはＺ）であり得ることを提示するために一般的に使用されるような文脈内での理解が意図される。したがって、このような選言的表現は一般的に、ある実施形態がＸのうちの少なくとも１つ、Ｙのうちの少なくとも１つ、またはＺのうちの少なくとも１つの各々の存在を要することを暗示する意図ではなく、そのように暗示しないものとする。

【0299】

本明細書においては、本開示の実行に対して知られている最良の形態を含む本開示の好適な実施形態が記載される。当業者には、上記説明を読むことにより、これら好適な実施形態の変形例が明らかとなり得る。当業者は、このような変形例を必要に応じて採用できるものとし、本開示は、本明細書の具体的な記載と異なるように実施され得る。したがって、本開示は、適用法の許す限り、本明細書に添付の特許請求の範囲に記述されている主題のすべての改良および同等物を含む。さらに、本明細書における別段の指示のない限り、上述の要素の考え得るすべての変形例における如何なる組み合わせも本開示に含まれる。

【0300】

本明細書に引用の刊行物、特許出願、および特許を含むすべての参考文献は、各参考文献の援用が個別かつ具体的に指示され、そのすべての内容が本明細書に記載されるのと同じ程度に本明細書に援用される。

【0301】

上記明細書においては、特定の実施形態を参照して本開示の態様が記載されるが、当業者であれば、本開示がこれに限定されないことを認識するであろう。上述の本開示の種々特徴および態様が個別に使用されるようになっていてもよいし、一体的に使用されるようになっていてもよい。さらに、実施形態は、本明細書の広範な思想および範囲から逸脱することなく、本明細書に記載の環境および用途を越えて、任意数の環境および用途において利用され得る。したがって、本明細書および図面は、何ら限定するものではなく、例示として捉えられるものとする。

【0302】

条項１：コンピュータが実行する方法であって、
仮想クラウドネットワークのコンピュータデバイスが、データパイプライン用の複数のフィルタから１つまたは複数のフィルタを選択することを含む。

【0303】

複数のフィルタは、
マルウェアフィルタ、
コンテンツフィルタ、
シグネチャフィルタ、
コンテンツアナライザ、
機械学習フィルタ、または
人工知能フィルタ、
のうちの少なくとも１つを含む。

【0304】

方法は、仮想クラウドネットワークのコンピューティングデバイスが、データパイプライン中の１つまたは複数の選択されたフィルタの順序を決定することをさらに含む。

【0305】

方法は、仮想クラウドネットワークのコンピューティングデバイスが、一方向伝達デバイスとして構成されているネットワークインターフェースカード（ＮＩＣ）から、データパイプライン中のメッセージを受信することをさらに含む。

【0306】

方法は、仮想クラウドネットワークのコンピューティングデバイスが、決定された順序の１つまたは複数の選択されたフィルタにデータパイプライン中のメッセージを通すことによりメッセージをフィルタリングすることをさらに含む。

【0307】

方法は、仮想クラウドネットワークのコンピューティングデバイスが、ロギングネットワークを介して、データパイプラインで発生しているイベントのログを提供することをさらに含む。

【0308】

条項２：条項１に記載の方法であって、決定された順序は、メッセージの送信元に少なくとも部分的に基づいて決定されたものである。

【0309】

条項３：条項１に記載の方法であって、１つまたは複数の選択されたフィルタは、メッセージの送信元に少なくとも部分的に基づいて選択されたものである。

【0310】

条項４：条項１に記載の方法であって、複数の１つまたは複数のフィルタは、同じメッセージの送信元に対して選択されたものである。

【0311】

条項５：条項１に記載の方法であって、ネットワークインターフェースカードは、ソフトウェアベースの一方向伝達デバイスを含む。

【0312】

条項６：条項１に記載の方法であって、決定された順序の１つまたは複数の選択されたフィルタによりメッセージが処理された後、データパイプラインから、１つまたは複数の選択されたフィルタを除去することをさらに含む。

【0313】

条項７：条項１に記載の方法であって、仮想クラウドネットワークは、仮想マシンである。

【0314】

条項８：１つまたは複数の非一時的機械可読媒体において有形で具現化され、１つまたは複数のデータプロセッサに命令を実行させるように構成されている命令を含むコンピュータプログラム製品であって、
１つまたは複数のデータプロセッサが実行する命令は、データパイプライン用の複数のフィルタから１つまたは複数のフィルタを選択することを含む。

【0315】

複数のフィルタは、
マルウェアフィルタ、
コンテンツフィルタ、
シグネチャフィルタ、
コンテンツアナライザ、
機械学習フィルタ、または
人工知能フィルタ、
のうちの少なくとも１つを含む。

【0316】

１つまたは複数のデータプロセッサが実行する命令は、データパイプライン中の１つまたは複数の選択されたフィルタの順序を決定することをさらに含む。

【0317】

１つまたは複数のデータプロセッサが実行する命令は、一方向伝達デバイスとして構成されているネットワークインターフェースカード（ＮＩＣ）から、データパイプライン中のメッセージを受信することをさらに含む。

【0318】

１つまたは複数のデータプロセッサが実行する命令は、決定された順序の選択されたフィルタにデータパイプライン中のメッセージを通すことによりメッセージをフィルタリングすることをさらに含む。

【0319】

１つまたは複数のデータプロセッサが実行する命令は、ロギングネットワークを介して、データパイプラインで発生しているイベントのログを提供することをさらに含む。

【0320】

条項９：条項８に記載のコンピュータプログラム製品であって、決定された順序は、メッセージの送信元に少なくとも部分的に基づいて決定されたものである。

【0321】

条項１０：条項８に記載のコンピュータプログラム製品であって、１つまたは複数の選択されたフィルタは、メッセージの送信元に少なくとも部分的に基づいて選択されたものである。

【0322】

条項１１：条項８に記載のコンピュータプログラム製品であって、複数の１つまたは複数のフィルタは、同じメッセージの送信元に対して選択されたものである。

【0323】

条項１２：条項８に記載のコンピュータプログラム製品であって、ネットワークインターフェースカードは、ソフトウェアベースの一方向伝達デバイスを含む。

【0324】

条項１３：条項８に記載のコンピュータプログラム製品であって、１つまたは複数のデータプロセッサが実行する命令は、決定された順序の１つまたは複数の選択されたフィルタによりメッセージが処理された後、データパイプラインから、１つまたは複数の選択されたフィルタを除去することをさらに含む。

【0325】

条項１４：条項８に記載の非一時的コンピュータ可読記憶媒体であって、仮想クラウドネットワークは、仮想マシンである。

【0326】

条項１５：データパイプラインであって、
データパイプラインの一部として、一方向伝達デバイスとして構成されているネットワークインターフェースカード（ＮＩＣ）を備える。

【0327】

データパイプラインは、
マルウェアフィルタ、
コンテンツフィルタ、
シグネチャフィルタ、
コンテンツアナライザ、
機械学習フィルタ、または
人工知能フィルタ、
のうちの少なくとも１つを含む複数のフィルタをさらに備える。

【0328】

データパイプラインは、複数のフィルタのうちの１つまたは複数のフィルタを含むように構成されている仮想クラウドネットワークをさらに備える。ネットワークインターフェースコントローラから仮想クラウドネットワークにより受信されたメッセージは、設定時に決定された順序でデータパイプラインの１つまたは複数のフィルタを順次通過する。

【0329】

データパイプラインは、データパイプラインで発生しているイベントのログを提供するためのロギングネットワークをさらに備える。

【0330】

条項１６：条項１５に記載のデータパイプラインであって、決定された順序は、メッセージの送信元に少なくとも部分的に基づいて決定されたものである。

【0331】

条項１７：条項１５に記載のデータパイプラインであって、１つまたは複数の選択されたフィルタは、メッセージの送信元に少なくとも部分的に基づいて選択されたものである。

【0332】

条項１８：条項１５に記載のデータパイプラインであって、複数の１つまたは複数のフィルタは、同じメッセージの送信元に対して選択されたものである。

【0333】

条項１９：条項１５に記載のデータパイプラインであって、ネットワークインターフェースカードは、ソフトウェアベースの一方向伝達デバイスを含む。

【0334】

条項２０：条項１５に記載のデータパイプラインであって、決定された順序の１つまたは複数の選択されたフィルタによりメッセージが処理された後、データパイプラインから、１つまたは複数の選択されたフィルタを除去することをさらに含む。

【0335】

条項２１：コンピュータが実行する方法であって、
非接続ネットワークのコンピューティングデバイスが、一組のフィルタ種別を提示するように構成されているアプリケーションプログラミングインターフェース（ＡＰＩ）を提供することを含む。

【0336】

方法は、アプリケーションプログラミングインターフェースを介して、一組のフィルタ種別からの一揃えの１つまたは複数のフィルタ種別を受信することをさらに含む。

【0337】

方法は、アプリケーションプログラミングインターフェースを介して、一揃えのフィルタ種別の順序を受信することをさらに含む。

【0338】

方法は、非接続ネットワークのコンピューティングデバイスが、アプリケーションプログラミングインターフェースを介して受信されたコマンドに応答して、上記順序の一揃えのフィルタを含むデータパイプラインを生成することをさらに含む。

【0339】

方法は、非接続ネットワークのコンピューティングデバイスが、一方向伝達デバイスで受信されたメッセージを上記順序の一揃えのフィルタに通すことによってメッセージを解析することをさらに含む。

【0340】

方法は、非接続ネットワークのロギングネットワークが、データパイプラインで発生しているイベントのログを受信することをさらに含む。

【0341】

方法は、アプリケーションプログラミングインターフェースを介して、イベントのログを提示することをさらに含む。

【0342】

方法は、アプリケーションプログラミングインターフェースを介して終了コマンドを受信した際に、データパイプラインを終了することをさらに含む。

【0343】

条項２２：条項２１に記載の方法であって、１つまたは複数のフィルタ種別は、マルウェアフィルタ、コンテンツフィルタ、シグネチャフィルタ、コンテンツアナライザ、機械学習フィルタ、または人工知能フィルタのうちの１つまたは複数を含む。

【0344】

条項２３：条項２１に記載の方法であって、一方向伝達デバイスを介して、非接続ネットワークからトラステッドリポジトリにメッセージを送ることをさらに含む。

【0345】

条項２４：条項２１に記載の方法であって、一方向伝達デバイスは、ソフトウェアベースの一方向伝達デバイスである。

【0346】

条項２５：条項２１に記載の方法であって、イベントのログは、オペレーティングシステム（ＯＳ）レベル、アプリケーションレベル、およびペイロードレベルで発生するイベントのログを含む、
条項２６：条項２１に記載の方法であって、非接続ネットワークは、仮想クラウドネットワークを含む。

【0347】

条項２７：条項２１に記載の方法であって、一方向伝達デバイスは、スマートネットワークインターフェースカード（スマートＮＩＣ）である。

【0348】

条項２８：１つまたは複数の非一時的機械可読媒体において有形で具現化され、１つまたは複数のデータプロセッサに命令を実行させるように構成されている命令を含むコンピュータプログラム製品であって、
１つまたは複数のデータプロセッサが実行する命令は、一組のフィルタ種別を提示するように構成されているアプリケーションプログラミングインターフェース（ＡＰＩ）を提供することを含む。

【0349】

１つまたは複数のデータプロセッサが実行する命令は、アプリケーションプログラミングインターフェースを介して、一組のフィルタ種別からの一揃えの１つまたは複数のフィルタ種別を受信することをさらに含む。

【0350】

１つまたは複数のデータプロセッサが実行する命令は、アプリケーションプログラミングインターフェースを介して、一揃えのフィルタ種別の順序を受信することをさらに含む。

【0351】

１つまたは複数のデータプロセッサが実行する命令は、アプリケーションプログラミングインターフェースを介して受信されたコマンドに応答して、上記順序の一揃えのフィルタを含むデータパイプラインを生成することをさらに含む。

【0352】

１つまたは複数のデータプロセッサが実行する命令は、一方向伝達デバイスで受信されたメッセージを上記順序の一揃えのフィルタに通すことによってメッセージを解析することをさらに含む。

【0353】

１つまたは複数のデータプロセッサが実行する命令は、非接続ネットワークのロギングネットワークを介して、データパイプラインで発生しているイベントのログを受信することをさらに含む。

【0354】

１つまたは複数のデータプロセッサが実行する命令は、アプリケーションプログラミングインターフェースを介して、イベントのログを提示することをさらに含む。

【0355】

１つまたは複数のデータプロセッサが実行する命令は、アプリケーションプログラミングインターフェースを介して終了コマンドを受信した際に、データパイプラインを終了することをさらに含む。

【0356】

条項２９：条項２８に記載のコンピュータプログラム製品であって、１つまたは複数のフィルタ種別は、マルウェアフィルタ、コンテンツフィルタ、シグネチャフィルタ、コンテンツアナライザ、機械学習フィルタ、または人工知能フィルタのうちの１つまたは複数を含む。

【0357】

条項３０：条項２８に記載のコンピュータプログラム製品であって、一組の命令は、一方向伝達デバイスを介して、非接続ネットワークからトラステッドリポジトリにメッセージを送ることをさらに含む。

【0358】

条項３１：条項２８に記載のコンピュータプログラム製品であって、一方向伝達デバイスは、ソフトウェアベースの一方向伝達デバイスである。

【0359】

条項３２：条項２８に記載のコンピュータプログラム製品であって、イベントのログは、オペレーティングシステム（ＯＳ）レベル、アプリケーションレベル、およびペイロードレベルで発生するイベントのログを含む、
条項３３：条項２８に記載のコンピュータプログラム製品であって、非接続ネットワークは、仮想クラウドネットワークを含む。

【0360】

条項３４：条項２８に記載のコンピュータ可読記憶媒体であって、一方向伝達デバイスは、スマートネットワークインターフェースカード（スマートＮＩＣ）である。

【0361】

条項３５：システムであって、
複数の命令を格納するように構成されているメモリを備える。

【0362】

システムは、メモリにアクセスするとともに、複数の命令を実行するように構成されている非接続ネットワークのコンピュータデバイスの１つまたは複数のプロセッサをさらに備える。

【0363】

１つまたは複数のプロセッサは、少なくとも、一組のフィルタ種別を提示するように構成されているアプリケーションプログラミングインターフェース（ＡＰＩ）を提供する。

【0364】

１つまたは複数のプロセッサは、少なくとも、アプリケーションプログラミングインターフェースを介して、一組のフィルタ種別からの一揃えの１つまたは複数のフィルタ種別を受信する。

【0365】

１つまたは複数のプロセッサは、少なくとも、一揃えのフィルタ種別の順序を受信する。

【0366】

１つまたは複数のプロセッサは、少なくとも、アプリケーションプログラミングインターフェースを介して受信されたコマンドに応答して、上記順序の一揃えのフィルタを含むデータパイプラインを生成する。

【0367】

１つまたは複数のプロセッサは、少なくとも、一方向伝達デバイスで受信されたメッセージを上記順序の一揃えのフィルタに通すことによってメッセージを解析する。

【0368】

１つまたは複数のプロセッサは、少なくとも、非接続ネットワークのロギングネットワークを介して、データパイプラインで発生しているイベントのログを受信する。

【0369】

１つまたは複数のプロセッサは、少なくとも、アプリケーションプログラミングインターフェースを介して、イベントのログを提示する。

【0370】

１つまたは複数のプロセッサは、少なくとも、アプリケーションプログラミングインターフェースを介して終了コマンドを受信した際に、データパイプラインを終了する。

【0371】

条項３６：条項３５に記載のシステムであって、１つまたは複数のフィルタ種別は、マルウェアフィルタ、コンテンツフィルタ、シグネチャフィルタ、コンテンツアナライザ、機械学習フィルタ、または人工知能フィルタのうちの１つまたは複数を含む。

【0372】

条項３７：条項３５に記載のシステムであって、一方向伝達デバイスを介して、非接続ネットワークからトラステッドリポジトリにメッセージを送ることをさらに含む。

【0373】

条項３８：条項３５に記載のシステムであって、一方向伝達デバイスは、ソフトウェアベースの一方向伝達デバイスである。

【0374】

条項３９：条項３５に記載のシステムであって、イベントのログは、オペレーティングシステム（ＯＳ）レベル、アプリケーションレベル、およびペイロードレベルで発生するイベントのログを含む、
条項４０：条項３５に記載のシステムであって、非接続ネットワークは、仮想クラウドネットワークを含む。

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】

【図9A】

【図9B】

【図10】

【図11】

【図12】

【図13】

【図14】

【図15】

【図16】

【図17】

【図18】

【図19】

【図20】

【図21】

【図22】

【国際調査報告】