(57)【要約】      （修正有）【課題】クラウドコンピューティングシステムのサービスに対するより高速で、効率的で、信頼性のある、セキュアなアクセスを提供する。【解決手段】アクセス管理モジュール１０４は、第１のルールのセット１０６を有する第１のクライアントプロファイル１０７と第２のルールのセット１１０を有する第２のクライアントプロファイル１０８を含む。セキュリティ論理モジュール１１２は、クラウドコンピューティングシステム資源のセット１０２にアクセスするためのアクセス要求１１４を受け取るように構成され、アクセス要求１１４が、第１のルールのセット１０６と第２のルールのセット１１０のうちの少なくとも１つに適合すると判定されたことに応答して、クラウドコンピューティングシステム資源の第１のセット１０２Ｆと第２のセット１０２Ｇのうちの少なくとも１つへのアクセスを許可する。【選択図】図１
2012133777.tif 000002
【特許請求の範囲】
【請求項１】
第１のクライアントプロファイルおよび第２のクライアントプロファイルを含むアクセス管理モジュールであって、前記第１のクライアントプロファイルが、クラウドコンピューティングシステム資源の第１のセットへのアクセスを可能にする第１のルールのセットを有し、前記第２のクライアントプロファイルが、クラウドコンピューティングシステム資源の第２のセットへのアクセスを可能にする第２のルールのセットを有する、アクセス管理モジュールと、
前記アクセス管理モジュールと通信しているセキュリティ論理モジュールと
を含むクラウドコンピューティングのセキュリティシステムであって、前記セキュリティ論理モジュールが、
クラウドコンピューティングシステム資源の前記第１のセットと前記第２のセットのうちの１つにアクセスするための、アクセス要求を受け取り、
前記アクセス要求が前記第１のルールのセットおよび前記第２のルールのセットのうちの少なくとも１つに適合すると判定されたことに応答して、クラウドコンピューティングシステム資源の前記第１のセットと前記第２のセットのうちの少なくとも１つへのアクセスを許可する、アクセス許可を与える
ように構成される、クラウドコンピューティングのセキュリティシステム。
【請求項２】
前記セキュリティ論理モジュールが、
前記アクセス許可に適合するモデルネットワーク資源の関連付けを確立するように構成される関連付け定義モジュール
をさらに含み、前記関連付け定義モジュールが、前記第１のクライアントプロファイルを修正して前記モデルネットワーク資源の関連付けに対応するようにさらに構成される、請求項１に記載のクラウドコンピューティングのセキュリティシステム。
【請求項３】
前記セキュリティ論理モジュールが、
前記アクセス要求を前記第１のルールのセットおよび前記第２のルールのセットと比較し、適合性を判定するように構成される要求評価モジュール
をさらに含み、
前記要求評価モジュールが、前記アクセス要求を調べ、前記アクセス要求に関連する要求者が、前記セキュリティ論理モジュールを利用するのに有効な候補であるかどうかを判定するようにさらに構成され、
前記要求評価モジュールが、前記アクセス要求を調べ、要求者に関連するクライアントデバイスのネットワークサービスが、前記セキュリティ論理モジュールを利用するのに有効な候補であるかどうかを判定するようにさらに構成される、請求項１に記載のクラウドコンピューティングのセキュリティシステム。
【請求項４】
前記セキュリティ論理モジュールが、
前記アクセス許可を含む通知を生成するように構成される通知準備モジュール
をさらに含む、請求項１に記載のクラウドコンピューティングのセキュリティシステム。
【請求項５】
前記アクセス許可が、前記第１のクラウドコンピューティングシステム資源と前記第２のクラウドコンピューティングシステム資源のうちの前記少なくとも１つへの粒度の高いアクセス権を提供する、請求項１に記載のクラウドコンピューティングのセキュリティシステム。
【請求項６】
前記第１のクラウドコンピューティングシステム資源と前記第２のクラウドコンピューティングシステム資源のうちの前記少なくとも１つが、サービスとしてのネットワークであり、
前記セキュリティ論理モジュールが、前記サービスとしてのネットワークを通じてアクセスされる、クラウドコンピューティングシステム資源の前記第１のセットおよび前記第２のセットのうちの前記少なくとも１つへの粒度の高いアクセス権を可能にする、請求項１に記載のクラウドコンピューティングのセキュリティシステム。
【請求項７】
プロセッサによって実施される、クラウドコンピューティングシステムのセキュリティを実装する方法であって、
少なくとも１つのクラウドコンピューティングシステム資源へのアクセス要求を、要求者に関連するルールのセットに関して評価して、前記アクセス要求の前記ルールのセットとの適合性を判定するステップと、
適合性の判定に応答して、前記少なくとも１つのクラウドコンピューティングシステム資源へのアクセスを前記要求者に許可するステップと
を含む、方法。
【請求項８】
前記要求者に関連するプロファイルを保持するステップであって、前記プロファイルが前記ルールのセットを有し、前記ルールのセットが、前記少なくとも１つのクラウドコンピューティングシステム資源への粒度の高いアクセス権を定義する、ステップと、
前記アクセス要求の評価および適合性の前記判定に応答して、モデルネットワーク資源の関連付けを確立してネットワークサービスの関連付けの定義を形成するステップと、
前記アクセス要求の評価に応答して、前記ネットワークサービスの関連付けの定義の複数のクライアントプロファイルの中の、要求者に関連するプロファイルを修正するステップと
をさらに含む、請求項７に記載の方法。
【請求項９】
前記アクセス要求を調べ、前記要求者がセキュリティ論理モジュールを利用するための適切な候補であるかどうかを判定するステップと、
前記アクセス要求を調べ、前記アクセス要求に関連するネットワークサービスが、前記セキュリティ論理モジュールを利用するための有効な候補であるかどうかを判定するステップと、
アクセス許可を示す、前記要求者に関連するクライアントデバイスへの通知を生成するステップと
をさらに含む、請求項７に記載の方法。
【請求項１０】
前記少なくとも１つのコンピューティングシステム資源が、サービスとしてのプラットフォーム、サービスとしてのデータ、サービスとしてのソフトウェア、サービスとしてのインフラストラクチャ、およびサービスとしてのネットワークからなる群から選択され、
前記少なくとも１つのクラウドコンピューティングシステム資源がサービスとしてのネットワークであり、セキュリティ論理モジュールが、前記サービスとしてのネットワークを通じてアクセスされる協調的な環境において共有されるデータへの粒度の高いアクセス権を可能にする、請求項７に記載の方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本開示は全般にデータ処理システムに関し、具体的には、協調的なルールに基づくセキュリティのための方法、コンピュータプログラム製品、および装置に関する。さらにより具体的には、本開示は、クラウドコンピューティングシステムに関連する、協調的なルールに基づくセキュリティのための方法、コンピュータプログラム製品、および装置に関する。
【背景技術】
【０００２】
クラウドコンピューティングとは、送電網と同じように、コンピューティング資源、ソフトウェア、および情報を、インターネットを介してオンデマンドでクライアントに提供することを指す。クラウドコンピューティングシステムのサービスは、限定はされないが、サービスとしてのデータ（ＤＡＡＳ）、サービスとしてのソフトウェア（ＳＡＡＳ）、サービスとしてのプラットフォーム（ＰＡＡＳ）、サービスとしてのインフラストラクチャ（ＩＡＡＳ）、およびサービスとしてのネットワーク（ＮＡＡＳ）を含みうる。
【０００３】
クラウドコンピューティングサービスにより、クライアントは、コンピュータハードウェアでサポートされるコンピューティングサービスへの、およびクラウドコンピューティングシステムのプロバイダにより所有され維持されるソフトウェアへのアクセス権を、購入することができる。クラウドコンピューティングサービスのユーザーは、サービスをサポートするのに必要なハードウェア、ソフトウェア、および情報技術を購入して維持する負担を負うことなく、ユーザーが必要とするクラウドコンピューティングサービスのみを購入することができる。
【０００４】
クラウドコンピューティングにより、ユーザーは、インターネットを介して、離れたコンピューティングサイトからクラウドコンピューティングサービスに簡単にアクセスできるようになる。通常、ユーザーはウェブブラウザを通じてクラウドコンピューティングサービスにアクセスし、ウェブブラウザによって、ソフトウェア、アプリケーション、および他のデータがユーザー自身のコンピュータにローカルにインストールされているかのように、ユーザーはクラウドコンピューティングシステムのソフトウェアおよびアプリケーションにアクセスすることができる。
【発明の概要】
【発明が解決しようとする課題】
【０００５】
クラウドコンピューティングシステムがより容易に利用できるようになるにしたがって、クラウドコンピューティングシステムのサービスに対する需要は増大し、そうしたサービスに対するより高速で、効率的で、信頼性のある、セキュアなアクセスに対する要求が、ますます重要になる。したがって、上記の問題の１つまたは複数とともに、場合によっては別の問題を考慮する、方法および装置を有することは有利であろう。
【課題を解決するための手段】
【０００６】
本開示のある有利な実施形態は、クラウドコンピューティングのセキュリティシステムを提供する。アクセス管理モジュールは、第１および第２のクライアントプロファイルを含む。第１のクライアントプロファイルは、クラウドコンピューティングシステム資源の第１のセットへのアクセスを可能にする第１のルールのセットを有し、第２のクライアントプロファイルは、クラウドコンピューティングシステム資源の第２のセットへのアクセスを可能にする第２のルールのセットを有する。セキュリティ論理モジュールは、アクセス管理モジュールと通信している。セキュリティ論理モジュールは、クラウドコンピューティングシステム資源の第１のセットと第２のセットのうちの１つにアクセスするための、アクセス要求を受け取るように構成される。アクセス要求が、第１のルールのセットと第２のルールのセットのうちの少なくとも１つに適合すると判定されたことに応答して、セキュリティ論理モジュールは、クラウドコンピューティングシステム資源の第１のセットと第２のセットのうちの少なくとも１つへのアクセスを許可する、アクセス許可を与えるように構成される。
【０００７】
この有利な実施形態は、プロセッサによって実施される、クラウドコンピューティングシステムのセキュリティを実装するための方法も提供する。少なくとも１つのクラウドコンピューティングシステム資源へのアクセス要求は、要求者に関連するルールのセットに関して評価され、ルールのセットへのアクセス要求の適合性を判定する。適合性の判定に応答して、少なくとも１つのクラウドコンピューティングシステム資源へのアクセスが要求者に許可される。
【０００８】
その有利な実施形態は、クラウドコンピューティング装置も提供する。クラウドコンピューティング装置は、セキュリティ論理モジュールを含む。クラウドコンピューティング装置は、セキュリティ論理モジュールと通信するアクセス管理モジュールを含み、アクセス管理モジュールは、少なくとも１つのクラウドコンピューティングシステム資源にアクセスするためのクライアントデバイスからのアクセス要求を、受け取るように構成される。クラウドコンピューティング装置は要求評価モジュールを含み、要求評価モジュールは、アクセス管理モジュールに動作可能に結合され、アクセス要求が有効な要求であるかどうか、かつクライアントデバイスに関連する要求者がセキュリティ論理モジュールを利用するのに有効な候補であるかどうかを、判定するように構成される。アクセス管理モジュールは複数のクライアントプロファイルを含み、複数のクライアントプロファイル中の各プロファイルは、クライアントデバイスによる少なくとも１つのクラウドコンピューティングシステム資源への粒度の細かいアクセス権を定義する、ルールのセットを有する。要求がルールのセットに適合すると判定されると、アクセス許可が提供される。クラウドコンピューティング装置は、アクセス許可と適合するモデルネットワーク資源の関連付けを確立するように構成される、関連付け定義モジュールを含む。
【０００９】
特徴、機能、および利点を、本開示の様々な実施形態において独立に達成することができ、または、さらなる詳細が以下の説明および図面を参照して理解されうるさらに他の有利な実施形態と組み合わせることができる。
【００１０】
有利な実施形態の特性と考えられる新規な特徴が、添付の特許請求の範囲で述べられる。しかし、有利な実施形態、ならびに好ましい使用方式および有利な実施形態のさらなる目的および利点は、本開示の有利な実施形態の以下の詳細な説明を、添付の図面とともに読んで参照することで、最もよく理解されるだろう。
【図面の簡単な説明】
【００１１】
【図１】ある有利な実施形態が実装されうるクラウドコンピューティングシステムのブロック図である。
【図２】ある有利な実施形態による、クラウドコンピューティングシステムをクラウドサービスのクライアントのセットとともに示す図である。
【図３】ある有利な実施形態によるクラウドコンピューティングシステムを示すブロック図である。
【図４】ある有利な実施形態によるセキュリティ論理モジュールを示すブロック図である。
【図５】ある有利な実施形態によるデータ処理システムを示す図である。
【図６】ある有利な実施形態による、クラウドコンピューティングシステムのセキュリティ論理モジュールのための処理を示すフローチャートである。
【図７】ある有利な実施形態による、クラウドコンピューティングサービスのセキュリティための処理のフローチャートを示す図である。
【発明を実施するための形態】
【００１２】
有利な実施形態は、クラウドコンピューティングシステムのサービスのプロバイダが、クライアントにアクセス権を与えるための信頼性があり効率的なセキュアな手段を必要とすることを認識する。有利な実施形態は、クラウドコンピューティングシステム資源へのクライアントのアクセスに対する、より高いセキュリティおよび制御への需要が増大していることを認識する。
【００１３】
ここで図１を参照すると、ある有利な実施形態によるクラウドコンピューティングシステムが示されている。クラウドコンピューティングシステムまたは装置１００は、インターネットを介してクライアントにクラウドコンピューティングシステムのサービスを提供するための、システムまたは装置である。クラウドコンピューティングシステムまたは装置１００は、クラウドコンピューティングのセキュリティシステムであると考えてもよい。
【００１４】
クラウドコンピューティングシステムまたは装置１００は、クライアントが利用することができるコンピュータ資源を有するシステムとして実装されうる。そのような資源の例は、限定はされないが、クラウドコンピューティングシステム資源のセット１０２を含む。以下でさらに説明されるように、クラウドコンピューティングシステムまたは装置１００は、ある数のモジュールを用いて実装することもできる。本明細書で用いられるように、用語「モジュール」は、コンピュータハードウェア、ソフトウェア、または、以下で示されるような、対応する機能を実行するように構成されるハードウェアとソフトウェアの組み合わせのいずれかを指す。モジュールは、以下で示されるような、クラウドコンピューティングシステムまたは装置１００の機能を達成するような方式で計画される他のモジュールの一部であってもよく、またはそうしたモジュールに接続されてもよい。
【００１５】
クラウドコンピューティングシステム資源のセット１０２は、１つまたは複数のクラウドコンピューティングシステム資源のセットである。クラウドコンピューティングシステム資源のセット１０２内のクラウドコンピューティングシステム資源は、限定はされないが、サービスとしてのデータ（ＤＡＡＳ）１０２Ａ、サービスとしてのプラットフォーム（ＰＡＡＳ）１０２Ｂ、サービスとしてのソフトウェア（ＳＡＡＳ）１０２Ｃ、サービスとしてのインフラストラクチャ（ＮＡＡＳ）１０２Ｄ、サービスとしてのネットワーク（ＮＡＡＳ）１０２Ｅ、またはクラウドコンピューティングシステムによって提供されうるあらゆる他のサービスを含みうる。クラウドコンピューティングシステム資源のセット１０２は、互いに区別される、クラウドコンピューティング資源の複数のセットであると考えてもよい。したがって、例えば、クラウドコンピューティングシステム資源のセット１０２は、クラウドコンピューティングシステム資源の第１のセット１０２Ｆおよびクラウドコンピューティングシステム資源の第２のセット１０２Ｇを含んでもよい。クラウドコンピューティングシステム資源の第１のセット１０２Ｆおよび第２のセット１０２Ｇは、上記のサービスのいずれかまたは他の資源を含みうる。クラウドコンピューティングシステム資源の第１のセット１０２Ｆおよび第２のセット１０２Ｇは、同一の資源のセットであってもよく、または異なる資源のセットであってもよい。クラウドコンピューティングシステム資源の第１のセット１０２Ｆおよび第２のセット１０２Ｇは、第１のクライアントプロファイル１０７および第２のクライアントプロファイル１０８のようなクライアントプロファイルと関連付けるための、資源の論理的な配置であってもよい。
【００１６】
この例では、アクセス管理モジュール１０４は、クラウドコンピューティングシステム資源のセット１０２内の少なくとも１つのクラウドコンピューティングシステム資源へアクセスするためのクライアント要求を管理するための、クラウドコンピューティングシステムのコンポーネントである。アクセス管理モジュール１０４は、限定はされないが、複数のクライアントプロファイル１０５を含みうる。複数のクライアントプロファイル１０５は、第１のクライアントプロファイル１０７および第２のクライアントプロファイル１０８を有するものとして示されている。しかし、複数のクライアントプロファイル１０５は、より多くのクライアントプロファイルを含んでもよく、または代替の有利な実施形態では、クライアントプロファイルを１つだけ含んでもよい。
【００１７】
複数のクライアントプロファイル１０５内の各クライアントプロファイルは、ルールのセットを含む。本明細書で用いられるように、用語「セット」は、本明細書で別段定義されない限り、１つまたは複数の項目を指す。例えば、第１のクライアントプロファイル１０７は第１のルールのセット１０６を含み、第２のクライアントプロファイル１０８は第２のルールのセット１１０を含む。第１のルールのセット１０６および第２のルールのセット１１０の各々は、単一のルールまたは２つ以上のルールを含みうる。第１および第２のルールのセットの各々は、クラウドコンピューティングシステム資源のセット１０２内の１つまたは複数の資源へのアクセスを可能にする。したがって、例えば、第１のルールのセット１０６は、クラウドコンピューティングシステム資源の第１のセット１０２Ｆへのアクセスを可能にし、第２のルールのセット１１０は、クラウドコンピューティングシステム資源の第２のセット１０２Ｇへのアクセスを可能にする。これらのクラウドコンピューティングシステム資源の２つのセットは、同一のものであっても異なっていてもよい。ある有利な実施形態では、アクセス管理モジュール１０４は、要求者１１９に関連する、第１のクライアントプロファイル１０７のようなプロファイルを保持してもよい。ルールのセット１０６のような、対応するルールのセットは、クラウドコンピューティングシステム資源のセット１０２内の少なくとも１つのクラウドコンピューティングシステム資源への、粒度の高いアクセス権を定義してもよい。
【００１８】
ある実施形態では、クラウドコンピューティングシステム資源のセット１０２へのアクセス権は、粒度の高いアクセス権であってもよい。粒度の高いアクセス権とは、ある特定のクラウドコンピューティング資源へのアクセスが、具体的な要求者または特定のネットワークサービスプロバイダと切り離されている、資源への個別のアクセス権を指す。粒度の高いアクセス権によって、ある要求者のアクセス権を、物理的かつ論理的なクラウドコンピューティングシステム資源、および特定のクラウドコンピューティングシステムの一部へのアクセス権と切り離すことができるとともに、クラウドコンピューティングシステム１００で利用可能なデータへのアクセスに対する個別の制限が可能になる。
【００１９】
限定はされないが、例えば、セキュリティ論理モジュール１１２は、電子メールサーバのような資源へのアクセスをユーザーに許可する。複数のクライアントプロファイル１０５内のルールによって定義される粒度の高いアクセス権は、その電子メールサーバ上の特定の電子メールアカウントにユーザーがアクセスすることを制限することができ、またはさらに、ユーザーが選択された受信者のグループに電子メールを送信することを制限することもできる。同様に、粒度の高いアクセス権を用いて、データへのアクセスを制御し、かつ／またはクラウドコンピューティングシステム１００上の協調資源にアクセスするユーザー間でのデータの共有を制限することができる。したがって、例えば、粒度の高いアクセス権を用いて、サービス資源として同一のネットワークまたはサービス資源として同一のデータを用いているユーザーの間での、データの共有を制限することができる。
【００２０】
セキュリティ論理モジュール１１２は、第１のルールのセット１０６または第２のルールのセット１１０のようなルールのセットを適用し、１つまたは複数のクラウドコンピューティングシステム資源へのアクセスを要求する様々なユーザーのための、粒度の高いアクセス権を可能にする。これらの様々なユーザーは、人のユーザー、ハードウェアコンポーネントからの要求、ソフトウェアコンポーネントからの要求、またはこれらの組み合わせを含む、１つまたは複数のユーザーであってよく、これらはいずれも要求者１１９であると考えることができる。セキュリティ論理モジュール１１２は、「サービスとしてのセキュリティ」（ＳＥＣａａｓ）の、協調的なルールに基づくセキュリティ論理コンポーネントであってよい。
【００２１】
セキュリティ論理モジュール１１２は、クライアントに提供されるアクセス権の粒度を細かくするために、クラウドコンピューティングシステム１００内の資源に、ルールに基づく指針を適用する。セキュリティ論理モジュール１１２は、第１のルールのセット１０６のようなルールを適用し、どのハードウェアおよび／またはソフトウェアのクラウドコンピューティングシステム資源がある特定のクライアントに利用可能にされるかを決定するとともに、クラウドコンピューティングシステムのプラットフォームのハードウェアおよびソフトウェア資源の利用可能性を決定する。
【００２２】
ある実施形態では、セキュリティ論理モジュール１１２は、アクセス管理モジュール１０４と通信するものとして特徴付けることができる。セキュリティ論理モジュール１１２は、クラウドコンピューティングシステム資源の第１のセット１０２Ｆと第２のセット１０２Ｇのうちの１つへアクセスするためのアクセス要求１１４を受け取るように構成されうる。セキュリティ論理モジュール１１２は、アクセス要求１１４が、第１のルールのセット１０６と第２のルールのセット１１０のうちの少なくとも１つと適合するかどうかを判定するように、さらに構成されうる。アクセス要求１１４が第１のルールのセットと第２のルールのセットのうちの少なくとも１つと適合する場合、セキュリティ論理モジュール１１２は、クラウドコンピューティングシステム資源の第１のセット１０２Ｆと第２のセット１０２Ｇのうちの少なくとも１つへのアクセスを許可する、アクセス許可１３４を提供するように構成される。アクセス許可１３４は、通知１３２の形態をとってもよく、または通知１３２の一部であってもよい。代わりに、アクセス許可１３４は、クラウドコンピューティングシステム資源の１つまたは複数のセット１０２が発行する、申し込みの受け入れ形態をとってもよい。本明細書で説明される有利な実施形態は、アクセス許可１３４が、通知１３２または申し込みの受け入れのいずれかと関連しうることを考慮する。したがって、用語「アクセス許可」は、アクセスが実際にどのように達成されるかによって限定されると考えられるべきではない。
【００２３】
セキュリティ論理モジュール１１２は、クライアントのアクセス権を、セキュリティ論理に基づいて、ハードウェアおよびソフトウェアに基づくクラウドコンピューティングサービスと切り離す。セキュリティ論理モジュール１１２は、要求者１１９に関連するクライアントデバイス１１８から、クラウドコンピューティングシステム資源のセット１０２にアクセスするためのアクセス要求１１４を受け取る。
【００２４】
クライアントデバイス１１８は、限定はされないが、以下で図５に示されるデータ処理システム５００のような、あらゆる種類のデータ処理システムとして実装されうる。クライアントデバイス１１８は、クラウドコンピューティングシステム資源のセット１０２内の少なくとも１つのクラウドコンピューティングシステム資源へのアクセスを要求する要求者１１９に関連する、コンピューティングデバイスである。
【００２５】
要求者１１９は、クラウドコンピューティングシステム資源のセット１０２のような、クラウドコンピューティングシステム１００上で利用可能な物理的なおよび／または論理的な資源への、アクセスを要求する。要求者１１９は、クラウドコンピューティングシステムまたは装置１００の外部のユーザーであってよい。要求者１１９は、限定はされないが、個人、組織、またはあらゆる他の種類のエンティティのような、エンティティであってよい。
【００２６】
この例では、クライアントデバイス１１８は、第１のクライアントプロファイル１０７と関連する、遠隔のクラウドコンピューティングサービスのクライアントである。クライアントデバイス１１８は、クラウドコンピューティングシステムまたは装置１００によって提供されるクラウドコンピューティングシステム資源のセット１０２への、アクセスを要求している。
【００２７】
クラウドコンピューティングシステム資源のセット１０２は、ハードウェア資源、ソフトウェア資源、または、クラウドコンピューティングシステム１００上で利用可能なハードウェア資源とソフトウェア資源の両方の組み合わせの資源である、資源を含みうる。
【００２８】
アクセス要求１１４は、クライアントデバイス１１８と関連するネットワークサービス１２０を介して、クラウドコンピューティングシステム１００に送られる。要求評価モジュール１２２は、アクセス要求１１４が有効な要求であるかどうかを判定する。ある有利な実施形態では、要求評価モジュール１２２は、アクセス要求１１４を、第１のルールのセット１０６と第２のルールのセット１１０のうちの少なくとも１つと比較し、アクセス要求１１４のそうしたルールとの適合性を判定するように構成されうる。ある有利な実施形態では、要求評価モジュール１２２は、アクセス要求１１４を調べて、アクセス要求１１４に関連する要求者１１９が、セキュリティ論理モジュール１１２を利用するのに有効な候補であるかどうかを判定するように、さらに構成される。同様に、要求評価モジュール１２２は、アクセス要求１１４を調べて、アクセス要求１１４に関連するネットワークサービスが、セキュリティ論理モジュール１１２を利用するのに有効な候補であるかどうかを判定するように、さらに構成されうる。
【００２９】
要求評価モジュール１２２は、アクセス要求１１４を調べて、クライアントデバイス１１８が、クラウドコンピューティングシステム資源のセット１０２へアクセスするのに有効な候補であるかどうかを判定してもよい。要求評価モジュール１２２はまた、アクセス要求１１４を調べて、クライアントデバイス１１８に関連するネットワークサービス１２０が、クラウドコンピューティングシステム資源のセット１０２へアクセスするのに有効な候補であるかどうかを判定してもよい。
【００３０】
プロファイル適合性モジュール１２４は、アクセス要求１１４を、第１のクライアントプロファイル１０７に関連する第１のルールのセット１０６に関して評価し、アクセス要求１１４が第１のルールのセット１０６と適合するかどうかを判定する。ある例では、第１のルールのセット１０６は、クライアントデバイス１１８が第３レベルおよび第２レベルの課金ソフトウェアサービスを利用することができるが、第１レベルの課金ソフトウェアは利用することができないと、規定してもよい。
【００３１】
セキュリティ論理モジュール１１２は、アクセス要求１１４が第１のルールのセット１０６と適合しない場合は、クライアントデバイス１１８へのアクセスを拒否する。言い換えると、第１のルールのセット１０６内のどのルールも、クライアントデバイス１１８がクラウドコンピューティングシステム資源のセット１０２にアクセスし、かつ／またはセット１０２を利用することを認めない場合、セキュリティ論理モジュール１１２は、アクセス要求１１４を認可しない。
【００３２】
アクセス要求１１４が第１のルールのセット１０６と適合するという判定に応答して、関連付け定義モジュール１２６が、アクセス許可１３４と適合することになるモデルネットワーク資源の関連付け１２８を確立する。モデルネットワーク資源の関連付け１２８は、クラウドコンピューティングシステム資源のセット１０２の、クライアントデバイス１１８への関連付けである。関連付け定義モジュール１２６は、クライアントデバイス１１８の第１のクライアントプロファイル１０７を修正して、モデルネットワーク資源の関連付け１２８に対応する。関連付け定義モジュール１２６は、ネットワークサービスの関連付けの定義１２９を作成または保持することができる。したがって、ある有利な実施形態では、アクセス要求１１４を評価して第１のルールのセット１０６のようなルールのセットとの適合性を判定したことに応答して、関連付け定義モジュール１２６は、モデルネットワーク資源の関連付け１２８を確立して、ネットワークサービスの関連付けの定義１２９を形成することができる。同様に、アクセス要求１１４を評価したことに応答して、アクセス管理モジュール１０４は、複数のクライアントプロファイル１０５内の第１のクライアントプロファイル１０７のような要求者１１９に関連するプロファイルを修正して、ネットワークサービスの関連付けの定義１２９を含めることができる。この機能は、関連付け定義モジュール１２６によっても実行されうる。
【００３３】
ある有利な実施形態では、少なくとも１つのクラウドコンピューティングシステム資源は、サービスとしてのネットワーク１０２Ｅのようなサービスとしてのネットワークであってよい。この場合、セキュリティ論理モジュール１１２は、サービスとしてのネットワーク１０２Ｅを通じてアクセスされる協調的な環境１０２Ｈにおける共有されたデータ１０２Ｉへの、粒度の高いアクセス権を可能にしうる。
【００３４】
通知準備モジュール１３０は、クライアントデバイス１１８への通知１３２を生成する。通知１３２は、アクセス要求１１４の受け入れを示すアクセス許可１３４、またはアクセス要求１１４の拒否を示すアクセス拒否１３６のどちらかを転送することができる。
【００３５】
図１に示されるコンポーネントのいくつか、一部、または全ては、コンピュータ処理手段またはデータ処理手段であると考えることができる。図１は一例であることが意図されており、異なる有利な実施形態のアーキテクチャを限定することは意図されていない。
【００３６】
図２は、ある有利な実施形態による、クラウドサービスのクライアントを有するクラウドコンピューティングシステムである。クラウドコンピューティングシステムまたは装置２００は、図１のクラウドコンピューティングシステム１００のようなクラウドコンピューティングシステムである。図２は一例であることが意図されており、異なる有利な実施形態のアーキテクチャを限定することは意図されていない。
【００３７】
クラウドコンピューティングシステムまたは装置２００は、限定はされないが、ハードウェア、ソフトウェア、および／またはウェットウェアを含んでもよい。クラウドコンピューティングシステムまたは装置２００に関連するハードウェアは、限定はされないが、サーバ、ルータ、ハードドライブ、プロセッサ、二次データ記憶装置、ならびにあらゆる他の種類のコンピュータハードウェアのような、あらゆる種類のハードウェアを含んでもよい。
【００３８】
クラウドコンピューティングシステムまたは装置２００は、限定はされないが、インターネット、エクストラネット、イーサネット（登録商標）、イントラネット、ローカルエリアネットワーク（ＬＡＮ）、仮想プライベートネットワーク（ＶＰＮ）、境界ネットワーク、および／またはあらゆる他の種類のネットワークのような、１つまたは複数のネットワークアーキテクチャを利用することができる。
【００３９】
クラウドコンピューティングシステムまたは装置２００は、限定はされないが、サービスとしてのデータ、サービスとしてのソフトウェア、サービスとしてのプラットフォーム、サービスとしてのインフラストラクチャ、サービスとしてのネットワーク、またはクラウドコンピューティングシステムにより提供されうるあらゆる他のサービスのような、あらゆる種類のクラウドサービスを提供することができる。
【００４０】
この例では、クラウドコンピューティングシステムまたは装置２００は、クライアントＡ  ２０２、クライアントＢ  ２０４、およびクライアントＣ  ２０６に、インターネット接続を介してサービスを提供する。この例のクラウドコンピューティングシステムまたは装置２００は、３つのクライアントにサービスを提供しているだけである。しかし、クラウドコンピューティングシステム２００は、インターネットを介して任意の数のクライアントにサービスを提供してもよい。
【００４１】
図３は、ある有利な実施形態によるクラウドコンピューティングシステムを示すブロック図である。クラウドコンピューティングシステムまたは装置３００は、インターネットを介してクライアントにサービスを提供するための、限定はされないが、図１のクラウドコンピューティングシステムまたは装置１００および図２のクラウドコンピューティングシステムまたは装置２００のような、ネットワークで結ばれたあらゆる種類のデータ処理システムとして実装されうる。
【００４２】
サービスとしてのインフラストラクチャ３０２は、プラットフォーム仮想化環境としてのコンピュータインフラストラクチャを、サービスとしてクライアントに提供することができる。サービスとしてのインフラストラクチャ３０２は、サービス、ソフトウェア、およびクラウドコンピューティングシステムまたは装置３００上で保持およびサポートされるデータへのアクセスを、クライアントに提供することができる。
【００４３】
サービスとしてのインフラストラクチャ３０２のある例は、サービスとしてのネットワーク３０４であってよい。サービスとしてのネットワーク３０４は、遠隔のクライアントに、オンデマンドでネットワーク資源へのアクセスを提供することができる。このようにして、クラウドコンピューティングシステム３００は、ネットワーク資源およびネットワーク管理サービスをクライアントに提供することができる。
【００４４】
サービスとしてのプラットフォーム３０６は、コンピュータプラットフォームサービスをクライアントに与えることができる。プラットフォームとは、ソフトウェアを実行させることができるハードウェアアーキテクチャおよびソフトウェアフレームワークを指す。サービスとしてのプラットフォーム３０６は、インターネットまたは他のネットワーク接続を介して、ソフトウェアを実行するための仮想化されたプラットフォームをクライアントに提供する。
【００４５】
サービスとしてのデータ３０８は、遠隔のクライアントにオンデマンドでデータを提供する。サービスとしてのデータ３０８は、データ記憶デバイス、データ編成、およびデータバックアップに関連するクライアントのコストを低減する。
【００４６】
サービスとしてのソフトウェア３１０は、インターネットまたは他のネットワークを介して、ソフトウェアへのアクセスを遠隔のクライアントに与える。遠隔のクライアントは、遠隔のクライアントが利用するローカルのコンピュータにソフトウェアをインストールすることなく、またはローカルのコンピュータでソフトウェアを実行することなく、ソフトウェアにアクセスして利用する。
【００４７】
サービスとしてのインフラストラクチャ３０２に戻ると、サービスとしてのネットワーク３０４の一例は、セキュリティ論理モジュール３１２であってよい。セキュリティ論理モジュール３１２は、限定はされないが、図１のセキュリティ論理モジュール１１２のような、クラウドコンピューティングシステム３００のサービスへのアクセスを制御して管理するための、ルールに基づく論理モジュールである。セキュリティ論理モジュール３１２は、契約上の義務に基づいて、要求しているクライアントによるサービスへのアクセスを制御し、この契約上の義務は、ルールのセット３１６を含むプロファイルのセット３１４の形態をとりうる。
【００４８】
プロファイルのセット３１４は、限定はされないが、図１の複数のクライアントプロファイル１０５のような、１つまたは複数のクライアントプロファイルのセットである。本例では、プロファイルのセット３１４は、セキュリティ論理モジュール３１２内に実装される。しかし、プロファイルのセット３１４は、データベース内に保存されてもよく、または、セキュリティ論理モジュール３１２にアクセス可能な、セキュリティ論理モジュール３１２と別に実装される他のデータ記憶デバイスに保存されてもよい。
【００４９】
プロファイルのセット３１４はルールのセット３１６を含み、ルールのセット３１６は、ビジネスロジック、契約上の同意、関係、ならびにあらゆる他の基準に基づいて、クラウドコンピューティングシステムのサービスへのアクセスを要求するクライアントに対して適用される、個別の粒度の高いアクセス権を記述する。クライアントは、セキュリティ論理モジュール３１２を通じてアクセスを要求することによって、サービスとしてのネットワーク３０４を通じ、クラウドコンピューティングシステム３００に関連する物理デバイスおよび／または論理デバイスに関連する、サービスにアクセスすることができる。サービスとしてのネットワーク３０４に含まれる物理デバイスおよび／または論理デバイスに、セキュリティ論理モジュール３１２を通じてアクセスすることで、クラウドコンピューティングシステム資源およびデータへのセキュアなアクセスが許可される。同様に、セキュリティ論理モジュール３１２は、サービスとしてのネットワークを通じてアクセスされるクラウドコンピューティングシステム資源のセット内の協調的な環境において共有されるデータへの、粒度の高いアクセス権を可能にするように実装されうる。
【００５０】
図３で示されるコンポーネントのいくつか、一部、または全ては、コンピュータ処理手段またはデータ処理手段と考えることができる。図３は一例であることが意図されており、異なる有利な実施形態のアーキテクチャを限定することは意図されていない。
【００５１】
図４は、ある有利な実施形態によるセキュリティ論理モジュールを示すブロック図である。セキュリティ論理モジュール４００は、図１のセキュリティ論理モジュール１１２および図３のセキュリティ論理モジュール３１２のような、ルールに基づくセキュリティ論理コンポーネントとして実装されうる。
【００５２】
セキュリティ論理モジュール４００は、インターネット４０６を介して、ネットワークプロバイダ４０４に関連するクライアント４０２から、クラウドコンピューティングサービスへアクセスするための要求を受け取る。セキュリティ論理モジュール４００は、クライアント４０２に関連するルールに基づいて、クライアント４０２が、クラウドコンピューティングシステムに関連するサービスにアクセスできるようにする。セキュリティ論理モジュール４００は、サービスとしてのネットワーク４０８に含まれる物理デバイスおよび／または論理デバイスへの、クライアント４０２のアクセスを制御する。クライアント４０２の１つまたは複数が、サービスとしてのネットワーク４０８内で、参加者のアドレス空間４１０に割り当てられてもよい。
【００５３】
図４に示されるコンポーネントのいくつか、一部、または全ては、コンピュータ処理手段またはデータ処理手段と考えることができる。図４は一例であることが意図されており、異なる有利な実施形態のアーキテクチャを限定することは意図されていない。
【００５４】
ここで図５を見ると、ある有利な実施形態による、データ処理システムの例が示されている。データ処理システム５００は、図１のクラウドコンピューティングシステム１００、図２のクラウドコンピューティングシステム２００、および図３のクラウドコンピューティングシステム３００のような、クラウドコンピューティングシステムの中のデータ処理システムであってよい。データ処理システム５００はまた、図２のクライアント２０２〜２０６または図４の複数のクライアント４０２うちのあるクライアントのような、クライアントコンピュータとして実装されてもよい。
【００５５】
この例では、データ処理システムまたは装置５００は通信基盤５０２を含み、通信基盤５０２は、プロセッサユニット５０４、メモリ５０６、永続性の記憶装置５０８、通信ユニット５１０、入出力（Ｉ／Ｏ）ユニット５１２、およびディスプレイ５１４の間の通信を提供する。
【００５６】
プロセッサユニット５０４は、メモリ５０６にロードされうるソフトウェアのための命令を実行するように働く。プロセッサユニット５０４は、特定の実装形態に応じて、ある数のプロセッサ、マルチプロセッサコア、または何らかの他の種類のプロセッサであってよい。項目に関して本明細書で使用される「ある数の」は、１つまたは複数の項目を意味する。さらに、プロセッサユニット５０４は、メインプロセッサが二次的なプロセッサとともに単一のチップに存在する、ある数の異種プロセッサシステムを用いて実装されうる。別の例として、プロセッサユニット５０４は、同じ種類の複数のプロセッサを含む、対称型マルチプロセッサシステムであってもよい。
【００５７】
メモリ５０６および永続性の記憶装置５０８は、記憶デバイス５１６の例である。記憶デバイスは、例えば、限定はされないが、データ、機能する形態のプログラムコード、および／または他の適切な情報などの情報を、一時的にかつ／または永久に記憶することができる、任意の１つのハードウェアであってよい。記憶デバイス５１６はまた、これらの例において、コンピュータ可読記憶デバイスと呼ばれうる。例えば、限定はされないが、メモリ５０６は、ランダムアクセスメモリまたは任意の他の適切な揮発性もしくは非揮発性の記憶デバイスであってよい。永続性の記憶装置５０８は、具体的な実装形態に応じて、様々な形態をとりうる。
【００５８】
例えば、永続性の記憶装置５０８は、１つまたは複数のコンポーネントまたはデバイスを含んでもよい。例えば、永続性の記憶装置５０８は、ハードドライブ、フラッシュメモリ、再書き込み可能な光学ディスク、再書き込み可能な磁気テープ、または上記の何らかの組合せであってもよい。永続性の記憶装置５０８に使用される媒体も、取り外し可能であってよい。例えば、取り外し可能なハードドライブが、永続性の記憶装置５０８に使用されてもよい。
【００５９】
これらの例では、通信ユニット５１０は、他のデータ処理システムまたはデバイスとの通信を提供する。これらの例では、通信ユニット５１０は、ネットワークインターフェースカードである。通信ユニット５１０は、物理的な通信リンクと無線通信リンクのいずれかまたは両方を用いて、通信を提供してもよい。
【００６０】
入出力ユニット５１２は、データ処理システムまたは装置５００に接続されうる他のデバイスによる、データの入力および出力を可能にする。例えば、入出力ユニット５１２は、キーボード、マウス、および／または何らかの他の適切な入力デバイスを通じたユーザー入力のための接続を提供してもよい。さらに、入出力ユニット５１２は、出力をプリンタに送ってもよい。ディスプレイ５１４は、ユーザーに情報を表示するための機構を提供する。
【００６１】
オペレーティングシステム、アプリケーション、および／またはプログラムのための命令は、記憶デバイス５１６に存在していてもよく、記憶デバイス５１６は、通信基盤５０２を通じてプロセッサ５０４と通信している。これらの例では、命令は、機能できる形態で永続性の記憶装置５０８にある。これらの命令は、プロセッサユニット５０４により実行するために、メモリ５０６にロードされうる。異なる有利な実施形態の処理は、コンピュータで実施される命令を用いてプロセッサユニット５０４により実行されてもよく、その命令は、メモリ５０６のようなメモリに存在してもよい。
【００６２】
これらの命令は、プログラムコード、コンピュータが使用可能なプログラムコード、またはコンピュータ可読プログラムコードと呼ばれ、プロセッサユニット５０４のプロセッサによって読むことができ、実行することができる。異なる有利な実施形態でのプログラムコードは、メモリ５０６または永続性の記憶装置５０８のような、異なる物理的なまたはコンピュータ可読の記憶媒体において具現化されてもよい。
【００６３】
プログラムコード５１８は、選択的に取り外し可能なコンピュータ可読媒体５２０に機能できる形態で存在し、プロセッサユニット５０４によって実行するために、データ処理システム５００へロードまたは転送することができる。これらの例において、プログラムコード５１８およびコンピュータ可読媒体５２０は、コンピュータプログラム製品５２２を形成する。一例では、コンピュータ可読媒体５２０は、コンピュータ可読記憶媒体５２４またはコンピュータ可読信号媒体５２６であってよい。コンピュータ可読記憶媒体５２４は、例えば、ドライブに挿入または配置される光または磁気ディスク、または、永続性の記憶装置５０８の一部であるハードドライブのような記憶デバイスへ転送するための、永続性の記憶装置５０８の一部である他のデバイスを含んでもよい。コンピュータ可読記憶媒体５２４はまた、データ処理システムまたは装置５００に接続される、ハードドライブ、サムドライブ、またはフラッシュメモリのような永続性の記憶装置の形態をとってもよい。いくつかの例では、コンピュータ可読記憶媒体５２４はまた、データ処理システムまたは装置５００から取り外し可能であってよい。これらの例では、コンピュータ可読記憶媒体５２４は、非一時的なコンピュータ可読記憶媒体である。
【００６４】
あるいは、プログラムコード５１８は、コンピュータ可読信号媒体５２６を用いて、データ処理システムまたは装置５００に転送されてもよい。コンピュータ可読信号媒体５２６は、例えば、プログラムコード５１８を含む伝搬されるデータ信号であってよい。例えば、コンピュータ可読信号媒体５２６は、電磁信号、光信号、および／または任意の他の適切な種類の信号であってよい。これらの信号は、無線通信リンク、光ファイバケーブル、同軸ケーブル、ワイヤ、および／または任意の他の適切な種類の通信リンクを介して転送されうる。言い換えると、この例において、通信リンクおよび／または接続は物理的であっても無線であってもよい。
【００６５】
いくつかの有利な実施形態では、プログラムコード５１８は、データ処理システムまたは装置５００内で用いるために、コンピュータ可読信号媒体５２６を通じて、他のデバイスまたはデータ処理システムから、永続性の記憶装置５０８にネットワークを介してダウンロードされうる。例えば、サーバデータ処理システムのコンピュータ可読記憶媒体に保存されるプログラムコードは、ネットワークを介して、サーバからデータ処理システムまたは装置５００にダウンロードされうる。プログラムコード５１８を提供するデータ処理システムは、サーバコンピュータ、クライアントコンピュータ、またはプログラムコード５１８を保存または転送することができる何らかの他のデバイスであってよい。
【００６６】
データ処理システムまたは装置５００のために例示される異なるコンポーネントは、異なる有利な実施形態が実装されうる方式に対するアーキテクチャ上の限定をもたらすことを意味するものではない。異なる有利な実施形態は、データ処理システムまたは装置５００のために例示されるコンポーネントに対する追加の、またはその代わりのコンポーネントを含むデータ処理システムにおいて、実装されうる。図５に示される他のコンポーネントは、示される例から変わっていてもよい。異なる有利な実施形態は、プログラムコードを実行することができる任意のハードウェアデバイスまたはシステムを用いて実装されうる。一例として、データ処理システムは、無機的なコンポーネントに統合された有機的なコンポーネントを含んでもよく、かつ／またはヒトを除く有機的なコンポーネントで全体が構成されてもよい。例えば、記憶デバイスは、有機半導体で構成されてもよい。
【００６７】
別の例では、プロセッサユニット５０４は、特定の使用法のために製造または構成された回路を有するハードウェアユニットの形態をとってもよい。この種類のハードウェアは、操作を実行するように構成されるプログラムコードを記憶デバイスからメモリにロードする必要なく、操作を実行することができる。
【００６８】
例えば、プロセッサユニット５０４がハードウェアユニットの形態をとる場合、プロセッサユニット５０４は、回路システム、特定用途向け集積回路（ＡＳＩＣ）、プログラマブルロジックデバイス、またはある数の操作を実行するように構成される何らかの他の適切な種類のハードウェアであってよい。プログラマブルロジックデバイスについては、デバイスはある数の操作を実行するように構成される。このデバイスはその後再構成されてもよく、または、その数の操作を実行するように永久的に構成されてもよい。例えば、プログラマブルロジックデバイスの例は、プログラマブルロジックアレイ、プログラマブルアレイロジック、フィールドプログラマブルロジックアレイ、フィールドプログラマブルゲートアレイ、または他の適切なハードウェアデバイスを含む。この種類の実装形態により、異なる有利な実施形態の処理がハードウェアユニットで実装されるので、プログラムコード５１８を省略することができる。
【００６９】
さらに別の例では、プロセッサユニット５０４は、コンピュータおよびハードウェアユニット内のプロセッサの組合せを用いて実装されてもよい。プロセッサユニット５０４は、プログラムコード５１８を実行するように構成される、ある数のハードウェアユニットおよびある数のプロセッサを有してもよい。この示された例を用いると、処理のいくつかはある数のハードウェアユニットで実装されうるが、別の処理はある数のプロセッサで実装されうる。
【００７０】
別の例では、データ処理システムまたは装置５００の記憶デバイスは、データを記憶できる任意のハードウェア装置である。メモリ５０６、永続性の記憶装置５０８、およびコンピュータ可読媒体５２０は、有形な記憶デバイスの例である。
【００７１】
別の例では、バスシステムを使用して通信基盤５０２を実装することができ、バスシステムは、システムバスまたは入出力バスのような１つまたは複数のバスで構成されてもよい。当然、バスシステムは、バスシステムに取り付けられる異なるコンポーネントまたはデバイスの間のデータ転送を提供する、任意の適切な種類のアーキテクチャを用いて実装されてもよい。加えて、通信ユニットは、モデムまたはネットワークアダプタのような、データを送信または受信するために使用される１つまたは複数のデバイスを含んでもよい。さらに、メモリは例えば、通信基盤５０２に存在しうるインターフェースおよびメモリコントローラハブで見出されるような、メモリ５０６またはキャッシュであってもよい。
【００７２】
図５で示される実施形態のいくつか、一部、または全ては、コンピュータ処理手段またはデータ処理手段と考えることができる。図５は一例であることが意図されており、異なる有利な実施形態のアーキテクチャを限定することは意図されていない。
【００７３】
図６は、ある有利な実施形態による、クラウドコンピューティングシステムのセキュリティのための処理のフローチャートを例示するものである。図６の処理は、図１のセキュリティ論理モジュール１１２、図３のセキュリティ論理モジュール３１２、または図４のセキュリティ論理モジュール４００のような、ルールに基づくセキュリティコンポーネントで実施されうる。
【００７４】
処理は、少なくとも１つのクラウドコンピューティングシステム資源へアクセスするための要求を、要求者に関連するルールのセットに関して評価することにより開始する（操作６０２）。この処理は、要求がルールのセットと適合するかどうかを判定する（操作６０４）。
【００７５】
要求がルールのセットと適合する場合、少なくとも１つのクラウドコンピューティングシステム資源へのアクセス許可が与えられる（操作６０６）。その後、処理は終了する。ここで、ステップ６０４に戻ると、要求がルールのセットと適合しない場合、少なくとも１つのクラウドコンピューティングシステム資源へのアクセスは拒否され（操作６０８）、その後処理は終了する。
【００７６】
図７は、ある有利な実施形態による、クラウドコンピューティングサービスのセキュリティのための処理のフローチャートを例示するものである。図７の処理は、図１のセキュリティ論理モジュール１１２、図３のセキュリティ論理モジュール３１２、または図４のセキュリティ論理モジュール４００のような、ルールに基づくセキュリティコンポーネントで実施されうる。
【００７７】
処理は、クラウドコンピューティングシステムの資源へアクセスするための要求を、要求者から受け取ることにより開始する（操作７０２）。要求者および要求者のネットワークサービスが有効な候補であるかどうかが判定される（操作７０４）。要求者およびネットワークサービスが有効な候補である場合、ネットワークサービスの関連付けの定義が確立される（操作７０６）。
【００７８】
要求者に関連するプロファイルは、ネットワークサービスの関連付けの定義に対応するように更新される（操作７０８）。アクセス許可の通知が生成される（操作７１０）。通知が要求者に送られ（操作７１２）、その後処理は終了する。
【００７９】
ここで操作７０４に戻ると、要求はまたはネットワークサービスが有効な候補ではない場合、要求拒否の通知が生成される（操作７１４）。通知が要求者に送られ（操作７１２）、その後処理は終了する。
【００８０】
異なる有利な実施形態は、完全にハードウェアの実施形態、完全にソフトウェアの実施形態、またはハードウェア要素とソフトウェア要素の両方を含む有利な実施形態の形をとることができる。いくつかの有利な実施形態はソフトウェアで実装され、そのソフトウェアは、限定はされないが、例えばファームウェア、常駐ソフトウェア、マイクロコードのような形態を含む。
【００８１】
ある有利な実施形態では、クラウドコンピューティングシステムのセキュリティのための方法およびシステムが提供される。アクセス管理器は、複数のクライアントプロファイルを含む。複数のクライアントプロファイル中の各プロファイルは、クラウドコンピューティングシステム資源へのアクセスを可能にするルールのセットを含む。セキュリティ論理モジュールは、アクセス管理器と通信して、少なくとも１つのクラウドコンピューティングシステム資源へアクセスするための要求を受け取る。アクセス要求のルールのセットとの適合性が判定されると、アクセスは許可され、拒否される。
【００８２】
別の有利な実施形態では、アクセス管理器は、少なくとも１つのクラウドコンピューティングシステム資源へのアクセス要求を、要求者に関連するルールのセットに関して評価し、適合性を判定する。アクセス管理器は、判定された適合性に応じて、少なくとも１つのクラウドコンピューティングシステム資源へのアクセスを、要求者に許可する。
【００８３】
要求がルールのセットと適合するという判定に応答して、資源へのアクセスが許可される。要求がルールのセットと適合しないという判定に応答して、資源へのアクセスが拒否される。
【００８４】
有利な実施形態のセキュリティ論理モジュールは、ユーザーの権利に基づいて、様々なユーザーがデータ、サービス、およびコストの情報をｎｅｅｄ  ｔｏ  ｋｎｏｗの原則で共有できるようにする、ネットワークパターンを提供する。セキュリティ論理モジュールは、ユーザーが、プロジェクトのライフサイクルの間協調し、物理デバイス、論理デバイス、データおよび他の資源を共有し、クラウドコンピューティングサービスへのよりセキュアなアクセスを得ることを、可能にする。
【００８５】
示された異なる有利な実施形態のフローチャートおよびブロック図は、装置、方法およびコンピュータプログラム製品の、いくつかの可能な実装形態のアーキテクチャ、機能、および操作を例示するものである。この点において、フローチャートまたはブロック図における各ブロックは、コンピュータが利用可能なまたはコンピュータ可読のプログラムコードのモジュール、セグメント、または一部を表すことがあり、これは、特定の１つまたは複数の機能を実装するための１つまたは複数の実行可能命令を含む。いくつかの代替的な実装形態では、ブロックにおいて記載される１つまたは複数の機能は、図面に記載される順序以外で起こることがある。例えば、いくつかの場合には、連続するものとして示されている２つのブロックは、実質的に同時に実行されてもよく、または、関係する機能に応じて、ブロックは逆の順序で実行されることがある。
【００８６】
さらに、異なる有利な実施形態は、コンピュータが利用可能なまたはコンピュータ可読の媒体からアクセス可能な、コンピュータプログラム製品の形態をとることができ、上記の媒体は、コンピュータまたは命令を実行する任意のデバイスもしくはシステムが使用する、またはそれらと関係するプログラムコードを提供する。本開示の目的のため、コンピュータが利用可能なまたはコンピュータ可読の媒体は、一般に、命令実行システム、装置、またはデバイスが使用する、またはそれらと関係するプログラムを含み、保存し、通信し、伝搬させ、転送することができる、任意の有形の装置であってよい。
【００８７】
コンピュータが利用可能なまたはコンピュータ可読の媒体は、例えば、限定はされないが、電子システム、磁気システム、光学システム、電磁システム、赤外線システム、半導体システム、または伝搬媒質であってよい。コンピュータ可読媒体の非限定的な例は、半導体メモリまたはソリッドステートメモリ、磁気テープ、取り外し可能なコンピュータディスケット、ランダムアクセスメモリ（ＲＡＭ）、読み取り専用メモリ（ＲＯＭ）、硬質の磁気ディスク、および光ディスクを含む。光ディスクは、コンパクトディスクの読み取り専用メモリ（ＣＤ−ＲＯＭ）、コンパクトディスクの読み取り／書き込み（ＣＤ−Ｒ／Ｗ）、ＤＶＤおよびブルーレイを含んでもよい。
【００８８】
さらに、コンピュータが利用可能なまたはコンピュータ可読の媒体は、コンピュータ可読のまたはコンピュータが利用可能なプログラムコードがコンピュータで実行されたとき、このコンピュータ可読のまたはコンピュータが利用可能なプログラムコードの実行によって、コンピュータに通信リンクを介して別のコンピュータ可読のまたはコンピュータが利用可能なプログラムコードを転送させるような、コンピュータ可読のまたはコンピュータが利用可能なプログラムコードを含んでもよく、または保存してもよい。この通信リンクは、例えば限定はされないが、物理的な媒体または無線の媒体を使用してもよい。
【００８９】
コンピュータ可読のまたはコンピュータが利用可能なプログラムコードを保存および／または実行するのに適したデータ処理システムは、システムバスのような通信基盤を通じてメモリ要素に直接または間接的に結合された、１つまたは複数のプロセッサを含む。メモリ要素は、プログラムコードを実際に実行する間に使用されるローカルメモリ、大容量記憶装置、およびキャッシュメモリを含んでもよく、キャッシュメモリは、少なくともいくつかのコンピュータ可読またはコンピュータが利用可能なプログラムコードを一時的に保存し、コードの実行中にコードが大容量記憶装置から取り出されうる回数を低減する。
【００９０】
入出力またはＩ／Ｏデバイスは直接、または介在するＩ／Ｏコントローラを通じて、システムに結合されうる。これらのデバイスは、例えば限定はされないが、キーボード、タッチスクリーンディスプレイ、およびポインティングデバイスを含んでもよい。異なる通信アダプタがシステムに結合されてもよく、データ処理システムを、介在する非公開のまたは公開のネットワークを通じて、他のデータ処理システムまたは遠隔のプリンタまたは記憶デバイスと結合させることができる。非限定的な例は、モデム、Ｂｌｕｅｔｏｏｔｈ（登録商標）のようなｗｉ−ｆｉデバイス、およびネットワークアダプタであり、これらは現在利用可能な種類の通信アダプタのほんの一部である。
【００９１】
本明細書で使用されるように、語句「少なくとも１つの」は、項目を列挙して使用される場合、列挙された項目の１つまたは複数の異なる組合せを使用することができ、列挙された各項目のうちの１つのみが必要でありうるということを意味する。例えば、「項目Ａ、項目Ｂ、および項目Ｃの少なくとも１つ」は、例えば、限定はされないが、項目Ａのみ、項目Ａと項目Ｂの両方、または項目Ａ、項目Ｂ、項目Ｃの全てを含みうる。この例はまた、項目Ａ、項目Ｂ、および項目Ｃ、または、項目Ｂおよび項目Ｃも含みうる。
【００９２】
異なる有利な実施形態の説明が、例示および説明のために示されてきたが、網羅的であること、または開示された形態の有利な実施形態に限定されることは意図されていない。多くの修正および変形が、当業者には明らかであろう。さらに、異なる有利な実施形態は、他の有利な実施形態と比較して、異なる利点を提供することができる。選択された１つまたは複数の有利な実施形態は、有利な実施形態の原理、実際の用途を最も良く明らかにするために、かつ、当業者が様々な有利な実施形態の開示を、考慮される具体的な使用法に適した様々な修正形態とともに理解できるようにするために、選ばれかつ説明される。
【符号の説明】
【００９３】
１００  クラウドコンピューティングシステムまたは装置
１０２  クラウドコンピューティングシステム資源のセット
１０２Ａ  サービスとしてのデータ（ＤＡＡＳ）
１０２Ｂ  サービスとしてのプラットフォーム（ＰＡＡＳ）
１０２Ｃ  サービスとしてのソフトウェア（ＳＡＡＳ）
１０２Ｄ  サービスとしてのインフラストラクチャ（ＮＡＡＳ）
１０２Ｅ  サービスとしてのネットワーク（ＮＡＡＳ）
１０２Ｆ  クラウドコンピューティングシステム資源の第１のセット
１０２Ｇ  クラウドコンピューティングシステム資源の第２のセット
１０２Ｈ  協調的な環境
１０２Ｉ  共有されたデータ
１０４  アクセス管理モジュール
１０５  複数のクライアントプロファイル
１０６  第１のルールのセット
１０７  第１のクライアントプロファイル
１０８  第２のクライアントプロファイル
１１０  第２のルールのセット
１１２  セキュリティ論理モジュール
１１４  アクセス要求
１１８  クライアントデバイス
１１９  要求者
１２０  ネットワークサービス
１２２  要求評価モジュール
１２４  プロファイル適合性モジュール
１２６  関連付け定義モジュール
１２８  モデルネットワーク資源の関連付け
１２９  ネットワークサービスの関連付けの定義
１３０  通知準備モジュール
１３２  通知
１３４  アクセス許可
１３６  アクセス拒否
２００  クラウドコンピューティングシステムまたは装置
２０２  クライアントＡ
２０４  クライアントＢ
２０６  クライアントＣ
３００  クラウドコンピューティングシステムまたは装置
３０２  サービスとしてのインフラストラクチャ
３０４  サービスとしてのネットワーク
３０６  サービスとしてのプラットフォーム
３０８  サービスとしてのデータ
３１０  サービスとしてのソフトウェア
３１２  セキュリティ論理モジュール
３１４  プロファイルのセット
３１６  ルールのセット
４００  セキュリティ論理モジュール
４０２  クライアント
４０４  ネットワークプロバイダ
４０６  インターネット
４０８  サービスとしてのネットワーク
４１０  参加者のアドレス空間
５００  データ処理システム
５０２  通信基盤
５０４  プロセッサユニット
５０６  メモリ
５０８  永続性の記憶装置
５１０  通信ユニット
５１２  入出力ユニット
５１４  ディスプレイ
５１６  記憶デバイス
５１８  プログラムコード
５２０  コンピュータ可読媒体
５２２  コンピュータプログラム製品
５２４  コンピュータ可読記憶媒体
５２６  コンピュータ可読信号媒体
【図１】
2012133777.tif 000003
【図２】
2012133777.tif 000004
【図３】
2012133777.tif 000005
【図４】
2012133777.tif 000006
【図５】
2012133777.tif 000007
【図６】
2012133777.tif 000008
【図７】
2012133777.tif 000009
【外国語明細書】
2012133777000001.pdf
2012133777000002.pdf
2012133777000003.pdf
2012133777000004.pdf