(57)【要約】  本発明の実施例は、仮想マシンのための管理制御方法、装置及びシステムを提供する。本発明の実施例のセキュリティ制御プラットフォームは、セキュリティ制御プラットフォームにより、管理プラットフォームにより転送されたユーザ装置からの仮想マシン開始要求メッセージを受信し、仮想マシン開始要求メッセージは、使用可能になる必要がある仮想マシンの識別子及びユーザ情報を含み、仮想マシン開始要求メッセージが許可されたユーザの命令に従ってユーザ装置により開始されたことを決定するために、第３者の信頼を受けたプラットフォームを呼び出し、ユーザ情報で認証を実行し、成功した認証に基づいて、使用可能になる必要がある仮想マシンをカプセル化解除するために、第３者の信頼を受けたプラットフォームを呼び出すことを含む。他のユーザ装置（管理プラットフォームを含む）が第３者の信頼を受けたプラットフォームの鍵を取得できないことが確保され、このことは、仮想マシンでの管理制御のセキュリティを向上させ、これにより、クラウドコンピューティングプラットフォームのセキュリティを向上させる。
2016506107.tif 000002
【特許請求の範囲】
【請求項１】
仮想マシンのための管理制御方法であって、
セキュリティ制御プラットフォームにより、管理プラットフォームにより転送されたユーザ装置からの仮想マシン開始要求メッセージを受信するステップであり、前記仮想マシン開始要求メッセージは、使用可能になる必要がある仮想マシンの識別子及びユーザ情報を有するステップと、
前記仮想マシン開始要求メッセージが許可されたユーザの命令に従って前記ユーザ装置により開始されたことを決定するために、第３者の信頼を受けたプラットフォームを呼び出すステップと、
前記ユーザ情報で認証を実行し、成功した認証に基づいて、使用可能になる必要がある前記仮想マシンをカプセル化解除するために、前記第３者の信頼を受けたプラットフォームを呼び出すステップと
を有する管理制御方法。
【請求項２】
前記仮想マシン開始要求メッセージが許可されたユーザの命令に従って前記ユーザ装置により開始されたことを決定するために、第３者の信頼を受けたプラットフォームを呼び出すステップは、
前記仮想マシン開始要求メッセージが前記許可されたユーザのために前記第３者の信頼を受けたプラットフォームにより提供された鍵を使用することにより暗号化されていることが決定された場合、前記仮想マシン開始要求メッセージが前記許可されたユーザの前記命令に従って前記ユーザ装置により開始されたことを決定し、前記仮想マシン開始要求メッセージを解読するために、前記許可されたユーザのために前記第３者の信頼を受けたプラットフォームにより提供された前記鍵を呼び出すステップを有する、請求項１に記載の方法。
【請求項３】
前記仮想マシン開始要求メッセージが許可されたユーザの命令に従って前記ユーザ装置により開始されたことを決定するために、第３者の信頼を受けたプラットフォームを呼び出すステップは、
前記仮想マシン開始要求メッセージが前記第３者の信頼を受けたプラットフォームの公開鍵を使用することにより暗号化されていることが決定された場合、前記仮想マシン開始要求メッセージを解読するために、前記第３者の信頼を受けたプラットフォームの前記公開鍵を呼び出すステップと、
前記仮想マシン開始要求メッセージのデジタル署名情報を取得し、前記取得されたデジタル署名情報が前記セキュリティ制御プラットフォームに事前に格納された前記許可されたユーザのデジタル署名情報に一致することが決定された場合、前記仮想マシン開始要求メッセージが前記許可されたユーザの前記命令に従って前記ユーザ装置により開始されたことを決定するステップと
を有する、請求項１に記載の方法。
【請求項４】
前記仮想マシン開始要求メッセージが許可されたユーザの命令に従って前記ユーザ装置により開始されたことを決定するために、第３者の信頼を受けたプラットフォームを呼び出すステップは、
前記セキュリティ制御プラットフォームにより、前記第３者の信頼を受けたプラットフォームの鍵を使用することにより暗号化されたデータを生成するために、前記第３者の信頼を受けたプラットフォームを呼び出すステップと、
前記ユーザ装置が前記許可されたユーザのために前記第３者の信頼を受けたプラットフォームにより提供された秘密鍵を使用することにより前記暗号化されたデータを解読し、解読されたデータを前記セキュリティ制御プラットフォームに戻すため、前記管理プラットフォームを使用することにより、前記暗号化されたデータを前記ユーザ装置に送信するステップと、
前記解読されたデータが前記暗号化されたデータと同じであることが決定された場合、前記仮想マシン開始要求メッセージが前記許可されたユーザの前記命令に従って前記ユーザ装置により開始されたことを決定するステップと
を有する、請求項１に記載の方法。
【請求項５】
使用可能になる必要がある前記仮想マシンをカプセル化解除するために、前記第３者の信頼を受けたプラットフォームを呼び出した後に、
前記セキュリティ制御プラットフォームにより、前記仮想マシンでインテグリティチェックを実行するために、前記第３者の信頼を受けたプラットフォームを呼び出すステップと、
インテグリティチェック値が前記セキュリティ制御プラットフォームに格納された前記仮想マシンのインテグリティチェック値に一致しない場合、前記仮想マシンの使用可能を制限するステップと、
インテグリティチェック値が前記セキュリティ制御プラットフォームに格納された前記仮想マシンのインテグリティチェック値に一致する場合、前記仮想マシンを使用可能にするステップと
を有する、請求項１ないし４のうちいずれか１項に記載の方法。
【請求項６】
使用可能になる必要がある前記仮想マシンをカプセル化解除するために、前記第３者の信頼を受けたプラットフォームを呼び出した後に、
前記セキュリティ制御プラットフォームにより、仮想マシンモニタを使用することにより、新たなアプリケーションプログラムが前記仮想マシンにインストールされたことを検出するステップと、
前記新たなアプリケーションプログラムが前記許可されたユーザの命令に従って前記ユーザ装置によりインストールされたことを決定するステップと、
前記仮想マシンでインテグリティチェックを実行するために、前記第３者の信頼を受けたプラットフォームを呼び出し、前記セキュリティ制御プラットフォームに格納された前記仮想マシンのインテグリティチェック値を更新するステップと
を有する、請求項１ないし４のうちいずれか１項に記載の方法。
【請求項７】
使用可能になる必要がある前記仮想マシンをカプセル化解除するために、前記第３者の信頼を受けたプラットフォームを呼び出した後に、
前記セキュリティ制御プラットフォームにより、前記管理プラットフォームにより送信された仮想マシンインテグリティチェック要求メッセージを受信するステップであり、前記仮想マシンインテグリティチェック要求メッセージは、前記ユーザ装置により前記管理プラットフォームに送信され、前記仮想マシンインテグリティチェック要求メッセージは、インテグリティチェックを必要とする前記仮想マシンの識別子を有するステップと、
前記仮想マシンでインテグリティチェックを実行するために、前記第３者の信頼を受けたプラットフォームを呼び出すステップと、
インテグリティチェック値と前記セキュリティ制御プラットフォームに格納された前記仮想マシンのインテグリティチェック値とを比較するステップと、
前記管理プラットフォームがインテグリティチェック値比較結果を前記ユーザ装置に送信するため、インテグリティチェック値比較結果を前記管理プラットフォームに送信するステップと
を有する、請求項１ないし４のうちいずれか１項に記載の方法。
【請求項８】
使用可能になる必要がある前記仮想マシンをカプセル化解除するために、前記第３者の信頼を受けたプラットフォームを呼び出した後に、
前記セキュリティ制御プラットフォームにより、仮想マシンモニタを使用することにより、前記仮想マシン内の仮想記憶データについての１つ以上の他の仮想マシンのアクセス要求を検出し、前記アクセス要求を開始した前記１つ以上の他の仮想マシンの識別子とアプリケーションプログラムの識別子とを取得するステップと、
前記仮想マシンのアクセス制御ポリシーテーブルのエントリが取得された前記１つ以上の他の仮想マシンの前記識別子と前記アプリケーションプログラムの前記識別子とを有することが決定された場合、前記仮想マシン内の前記仮想記憶データを解読するために、前記第３者の信頼を受けたプラットフォームを呼び出すステップと、
解読された仮想記憶データを、前記アクセス要求を開始した前記１つ以上の他の仮想マシンに送信するステップと
を有する、請求項１ないし４のうちいずれか１項に記載の方法。
【請求項９】
前記仮想マシン開始要求メッセージは、使用可能になる必要がある前記仮想マシンのためのカプセル化鍵を更に有し、
前記ユーザ情報で認証を実行した後に、成功した認証に基づいて、
前記セキュリティ制御プラットフォームにより、使用可能になる必要がある前記仮想マシンのための、前記仮想マシン開始要求メッセージに含まれる前記カプセル化鍵を使用することにより、前記仮想マシンの前記識別子に対応する前記仮想マシンをカプセル化解除するステップを有する、請求項１に記載の方法。
【請求項１０】
前記セキュリティ制御プラットフォームは、信頼を受けたサービスドメイン（TSD）を有し、前記第３者の信頼を受けたプラットフォームは、信頼を受けたプラットフォームモジュール（TPM）と、信頼を受けた暗号化モジュール（TCM）とを有する、請求項１ないし９のうちいずれか１項に記載の方法。
【請求項１１】
管理プラットフォームにより転送されたユーザ装置からの仮想マシン開始要求メッセージを受信するように構成された受信モジュールであり、前記仮想マシン開始要求メッセージは、使用可能になる必要がある仮想マシンの識別子及びユーザ情報を有する受信モジュールと、
前記受信モジュールがユーザ端末からの前記仮想マシン開始要求メッセージを受信したことに基づいて、前記仮想マシン開始要求メッセージが許可されたユーザの命令に従って前記ユーザ装置により開始されたことを決定するために、第３者の信頼を受けたプラットフォームを呼び出すように構成された決定モジュールと、
前記仮想マシン開始要求メッセージが前記許可されたユーザの前記命令に従って前記ユーザ装置により開始されたことを前記決定モジュールが決定したことに基づいて、前記ユーザ情報が成功して認証された後に、使用可能になる必要がある前記仮想マシンをカプセル化解除するために、前記第３者の信頼を受けたプラットフォームを呼び出すように構成されたカプセル化解除モジュールと
を有するセキュリティ制御プラットフォーム。
【請求項１２】
前記決定モジュールは、前記許可されたユーザのために前記第３者の信頼を受けたプラットフォームにより提供された鍵を使用することにより暗号化されていることが決定された場合、前記仮想マシン開始要求メッセージが前記許可されたユーザの前記命令に従って前記ユーザ装置により開始されたことを決定し、前記仮想マシン開始要求メッセージを解読するために、前記許可されたユーザのために前記第３者の信頼を受けたプラットフォームにより提供された前記鍵を呼び出すように特に構成される、請求項１１に記載のセキュリティ制御プラットフォーム。
【請求項１３】
前記決定モジュールは、前記仮想マシン開始要求メッセージが前記第３者の信頼を受けたプラットフォームの公開鍵を使用することにより暗号化されていることが決定された場合、前記仮想マシン開始要求メッセージを解読するために、前記第３者の信頼を受けたプラットフォームの前記公開鍵を呼び出し、前記仮想マシン開始要求メッセージのデジタル署名情報を取得し、前記取得されたデジタル署名情報が前記セキュリティ制御プラットフォームに事前に格納された前記許可されたユーザのデジタル署名情報に一致することが決定された場合、前記仮想マシン開始要求メッセージが前記許可されたユーザの前記命令に従って前記ユーザ装置により開始されたことを決定するように特に構成される、請求項１１に記載のセキュリティ制御プラットフォーム。
【請求項１４】
前記決定モジュールは、前記第３者の信頼を受けたプラットフォームの鍵を使用することにより暗号化されたデータを生成するために、前記第３者の信頼を受けたプラットフォームを呼び出し、前記ユーザ装置が前記許可されたユーザのために前記第３者の信頼を受けたプラットフォームにより提供された秘密鍵を使用することにより前記暗号化されたデータを解読し、解読されたデータを前記セキュリティ制御プラットフォームに戻すため、前記管理プラットフォームを使用することにより、前記暗号化されたデータを前記ユーザ装置に送信し、前記解読されたデータが前記暗号化されたデータと同じであることが決定された場合、前記仮想マシン開始要求メッセージが前記許可されたユーザの前記命令に従って前記ユーザ装置により開始されたことを決定するように特に構成される、請求項１１に記載のセキュリティ制御プラットフォーム。
【請求項１５】
前記仮想マシンでインテグリティチェックを実行するために、前記第３者の信頼を受けたプラットフォームを呼び出すように構成されたチェックモジュールと、
前記チェックモジュールが前記仮想マシンでインテグリティチェックを実行したことに基づいて、インテグリティチェック値が前記セキュリティ制御プラットフォームに格納された前記仮想マシンのインテグリティチェック値に一致しない場合、前記仮想マシンの使用可能を制限するように構成された使用可能制限モジュールと、
前記チェックモジュールが前記仮想マシンでインテグリティチェックを実行したことに基づいて、インテグリティチェック値が前記セキュリティ制御プラットフォームに格納された前記仮想マシンのインテグリティチェック値に一致する場合、前記仮想マシンを使用可能にするように構成された使用可能モジュールと
を更に有する、請求項１１ないし１４のうちいずれか１項に記載のセキュリティ制御プラットフォーム。
【請求項１６】
仮想マシンモニタを使用することにより、新たなアプリケーションプログラムが前記仮想マシンにインストールされたことを検出するように構成された監視モジュールを更に有し、
前記チェックモジュールは、前記新たなアプリケーションプログラムが前記仮想マシンにインストールされたことを前記監視モジュールが検出したことに基づいて、前記新たなアプリケーションプログラムが前記許可されたユーザの命令に従って前記ユーザ装置によりインストールされた場合、前記仮想マシンでインテグリティチェックを実行するために、前記第３者の信頼を受けたプラットフォームを呼び出し、前記セキュリティ制御プラットフォームに格納された前記仮想マシンのインテグリティチェック値を更新するように更に構成される、請求項１１ないし１４のうちいずれか１項に記載のセキュリティ制御プラットフォーム。
【請求項１７】
前記受信モジュールは、前記管理プラットフォームにより送信された仮想マシンインテグリティチェック要求メッセージを受信するように更に構成され、前記仮想マシンインテグリティチェック要求メッセージは、前記ユーザ装置により前記管理プラットフォームに送信され、前記仮想マシンインテグリティチェック要求メッセージは、インテグリティチェックを必要とする前記仮想マシンの識別子を有し、
前記チェックモジュールは、前記受信モジュールにより受信された前記仮想マシンインテグリティチェック要求メッセージに基づいて、前記仮想マシンでインテグリティチェックを実行するために、前記第３者の信頼を受けたプラットフォームを呼び出すように更に構成され、
前記セキュリティ制御プラットフォームは、
前記チェックモジュールが前記仮想マシンでインテグリティチェックを実行したことに基づいて、インテグリティチェック値と前記セキュリティ制御プラットフォームに格納された前記仮想マシンのインテグリティチェック値とを比較し、前記管理プラットフォームがインテグリティチェック値比較結果を前記ユーザ装置に送信するため、インテグリティチェック値比較結果を前記管理プラットフォームに送信するように構成された比較モジュールを更に有する、請求項１１ないし１４のうちいずれか１項に記載のセキュリティ制御プラットフォーム。
【請求項１８】
前記監視モジュールは、仮想マシンモニタを使用することにより、前記仮想マシン内の仮想記憶データについての１つ以上の他の仮想マシンのアクセス要求を検出し、前記アクセス要求を開始した前記１つ以上の他の仮想マシンの識別子とアプリケーションプログラムの識別子とを取得するように更に構成され、
前記カプセル化解除モジュールは、前記監視モジュールが前記仮想マシン内の前記仮想記憶データについての前記１つ以上の他の仮想マシンの前記アクセス要求を検出したことに基づいて、前記仮想マシンのアクセス制御ポリシーテーブルのエントリが取得された前記１つ以上の他の仮想マシンの前記識別子と前記アプリケーションプログラムの前記識別子とを有することが決定された場合、前記仮想マシン内の前記仮想記憶データを解読するために、前記第３者の信頼を受けたプラットフォームを呼び出し、解読された仮想記憶データを、前記アクセス要求を開始した前記１つ以上の他の仮想マシンに送信するように更に構成される、請求項１１ないし１４のうちいずれか１項に記載のセキュリティ制御プラットフォーム。
【請求項１９】
前記仮想マシン開始要求メッセージは、使用可能になる必要がある前記仮想マシンのためのカプセル化鍵を更に有し、
前記カプセル化解除モジュールは、前記受信モジュールにより受信された前記仮想マシン開始要求メッセージに基づいて、使用可能になる必要がある前記仮想マシンのための、前記仮想マシン開始要求メッセージに含まれる前記カプセル化鍵を使用することにより、前記仮想マシンの前記識別子に対応する前記仮想マシンをカプセル化解除するように更に構成される、請求項１１に記載のセキュリティ制御プラットフォーム。
【請求項２０】
前記セキュリティ制御プラットフォームは、信頼を受けたサービスドメイン（TSD）を有する、請求項１１ないし１９のうちいずれか１項に記載のセキュリティ制御プラットフォーム。
【請求項２１】
仮想マシンのための管理制御システムであって、
請求項１１ないし２０のうちいずれか１項に記載のセキュリティ制御プラットフォームを有する管理制御システム。
【請求項２２】
プロセッサを有するセキュリティ制御プラットフォームであって、
前記プロセッサは、実行中に、
管理プラットフォームにより転送されたユーザ装置からの仮想マシン開始要求メッセージを受信するステップであり、前記仮想マシン開始要求メッセージは、使用可能になる必要がある仮想マシンの識別子及びユーザ情報を有するステップと、
前記仮想マシン開始要求メッセージが許可されたユーザの命令に従って前記ユーザ装置により開始されたことを決定するために、第３者の信頼を受けたプラットフォームを呼び出すステップと、
前記ユーザ情報が成功して認証された後に、使用可能になる必要がある前記仮想マシンをカプセル化解除するために、前記第３者の信頼を受けたプラットフォームを呼び出すステップと
を実行するセキュリティ制御プラットフォーム。
【請求項２３】
前記プロセッサは、
前記仮想マシン開始要求メッセージが前記許可されたユーザのために前記第３者の信頼を受けたプラットフォームにより提供された鍵を使用することにより暗号化されていることが決定された場合、前記仮想マシン開始要求メッセージが前記許可されたユーザの前記命令に従って前記ユーザ装置により開始されたことを決定し、前記仮想マシン開始要求メッセージを解読するために、前記許可されたユーザのために前記第３者の信頼を受けたプラットフォームにより提供された前記鍵を呼び出すステップを更に実行する、請求項２２に記載のセキュリティ制御プラットフォーム。
【請求項２４】
前記プロセッサは、
前記仮想マシン開始要求メッセージが前記第３者の信頼を受けたプラットフォームの公開鍵を使用することにより暗号化されていることが決定された場合、前記仮想マシン開始要求メッセージを解読するために、前記第３者の信頼を受けたプラットフォームの前記公開鍵を呼び出すステップと、
前記仮想マシン開始要求メッセージのデジタル署名情報を取得し、前記取得されたデジタル署名情報が前記セキュリティ制御プラットフォームに事前に格納された前記許可されたユーザのデジタル署名情報に一致することが決定された場合、前記仮想マシン開始要求メッセージが前記許可されたユーザの前記命令に従って前記ユーザ装置により開始されたことを決定するステップと
を更に実行する、請求項２２に記載のセキュリティ制御プラットフォーム。
【請求項２５】
前記プロセッサは、
前記第３者の信頼を受けたプラットフォームの鍵を使用することにより暗号化されたデータを生成するために、前記第３者の信頼を受けたプラットフォームを呼び出すステップと、
前記ユーザ装置が前記許可されたユーザのために前記第３者の信頼を受けたプラットフォームにより提供された秘密鍵を使用することにより前記暗号化されたデータを解読し、解読されたデータを前記セキュリティ制御プラットフォームに戻すため、前記管理プラットフォームを使用することにより、前記暗号化されたデータを前記ユーザ装置に送信するステップと、
前記解読されたデータが前記暗号化されたデータと同じであることが決定された場合、前記仮想マシン開始要求メッセージが前記許可されたユーザの前記命令に従って前記ユーザ装置により開始されたことを決定するステップと
を更に実行する、請求項２２に記載のセキュリティ制御プラットフォーム。
【請求項２６】
前記プロセッサは、
前記仮想マシンでインテグリティチェックを実行するために、前記第３者の信頼を受けたプラットフォームを呼び出すステップと、
インテグリティチェック値が前記セキュリティ制御プラットフォームに格納された前記仮想マシンのインテグリティチェック値に一致しない場合、前記仮想マシンの使用可能を制限するステップ、又は
インテグリティチェック値が前記セキュリティ制御プラットフォームに格納された前記仮想マシンのインテグリティチェック値に一致する場合、前記仮想マシンを使用可能にするステップと
を更に実行する、請求項２２ないし２５のうちいずれか１項に記載のセキュリティ制御プラットフォーム。
【請求項２７】
前記プロセッサは、
仮想マシンモニタを使用することにより、新たなアプリケーションプログラムが前記仮想マシンにインストールされたことを検出するステップと、
前記新たなアプリケーションプログラムが前記許可されたユーザの命令に従って前記ユーザ装置によりインストールされたことが決定された場合、前記仮想マシンでインテグリティチェックを実行するために、前記第３者の信頼を受けたプラットフォームを呼び出し、前記セキュリティ制御プラットフォームに格納された前記仮想マシンのインテグリティチェック値を更新するステップと
を更に実行する、請求項２２ないし２５のうちいずれか１項に記載のセキュリティ制御プラットフォーム。
【請求項２８】
前記プロセッサは、
前記管理プラットフォームにより送信された仮想マシンインテグリティチェック要求メッセージを受信するステップであり、前記仮想マシンインテグリティチェック要求メッセージは、前記ユーザ装置により前記管理プラットフォームに送信され、前記仮想マシンインテグリティチェック要求メッセージは、インテグリティチェックを必要とする前記仮想マシンの識別子を有するステップと、
前記仮想マシンでインテグリティチェックを実行するために、前記第３者の信頼を受けたプラットフォームを呼び出すステップと、
インテグリティチェック値と前記セキュリティ制御プラットフォームに格納された前記仮想マシンのインテグリティチェック値とを比較するステップと、
前記管理プラットフォームがインテグリティチェック値比較結果を前記ユーザ装置に送信するため、インテグリティチェック値比較結果を前記管理プラットフォームに送信するステップと
を更に実行する、請求項２２ないし２５のうちいずれか１項に記載のセキュリティ制御プラットフォーム。
【請求項２９】
前記プロセッサは、
仮想マシンモニタを使用することにより、前記仮想マシン内の仮想記憶データについての１つ以上の他の仮想マシンのアクセス要求を検出し、前記アクセス要求を開始した前記１つ以上の他の仮想マシンの識別子とアプリケーションプログラムの識別子とを取得するステップと、
前記仮想マシンのアクセス制御ポリシーテーブルのエントリが取得された前記１つ以上の他の仮想マシンの前記識別子と前記アプリケーションプログラムの前記識別子とを有することが決定された場合、前記仮想マシン内の前記仮想記憶データを解読するために、前記第３者の信頼を受けたプラットフォームを呼び出すステップと、
解読された仮想記憶データを、前記アクセス要求を開始した前記１つ以上の他の仮想マシンに送信するステップと
を更に実行する、請求項２２ないし２５のうちいずれか１項に記載のセキュリティ制御プラットフォーム。
【請求項３０】
前記仮想マシン開始要求メッセージは、使用可能になる必要がある前記仮想マシンのためのカプセル化鍵を更に有し、
前記プロセッサは、
使用可能になる必要がある前記仮想マシンのための、前記仮想マシン開始要求メッセージに含まれる前記カプセル化鍵を使用することにより、前記仮想マシンの前記識別子に対応する前記仮想マシンをカプセル化解除するステップを更に実行する、請求項２２に記載のセキュリティ制御プラットフォーム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、通信技術に関し、特に仮想マシンのための管理制御方法、装置及びシステムに関する。
【背景技術】
【０００２】
様々な相互接続されたコンピューティングリソースを効果的に統合し、マルチレイヤの仮想化及び抽象化を実現することにより、クラウドコンピューティングプラットフォームは、信頼できる仮想マシンの形式でユーザにとって大量のコンピューティングリソースを効果的に提供することができる。クラウドコンピューティングプラットフォームは、企業秘密、コードの漏洩等を含むユーザ秘密データの漏洩を防止するために、インターネットからの及び仮想マシン間のセキュリティ攻撃を防止する信頼できるセキュリティ保証技術を提供することができなければならないだけでなく、クラウドコンピューティングプラットフォームの信用及びユーザの様々なアプリケーションを確保することができなければならない。
【０００３】
既存のクラウドコンピューティングプラットフォームにより提供されるセキュリティ保証技術は、例えば、仮想マシンユーザ識別認証技術若しくはマルウェア防止技術、又はデータ漏洩防止（data  leakage  prevention、DLP）技術を含む。
【０００４】
しかし、既存のクラウドコンピューティングプラットフォームに基づいて提供されるセキュリティ保証技術は、多くの問題を有する。例えば、仮想マシンユーザ識別認証技術は、クラウドコンピューティングプラットフォームの管理者の特権により生じるセキュリティ脅威の問題を解決することができない。他の例では、マルウェア防止技術は、セキュリティソフトウェアにより識別可能なマルウェア及びトロイの木馬のみを防止することができ、偽陰性が生じる可能性がある。他の例では、データ漏洩防止技術は、限られたオペレーティングシステム又はアプリケーションのみをサポートし、64ビットのWindows（登録商標）、Linux（登録商標）等をサポートすることができない。或いは、クラウド内の複数のテナントの事例に適用できず、仮想マシン間のデータ送信漏洩を制御することができない。或いは、ユーザにとってトランスペアレントではない。このことは、企業における情報共有効率に影響を与える。
【０００５】
従って、既存のクラウドコンピューティングプラットフォームにより提供されるセキュリティ保証技術は、比較的低いセキュリティの問題を有する。
【発明の概要】
【０００６】
本発明は、既存のクラウドコンピューティングプラットフォームにより提供されるセキュリティ保証技術に存在する比較的低いセキュリティの問題を軽減し得る、仮想マシンのための管理制御方法、装置、及びシステムを提供する。
【０００７】
第１の態様によれば、本発明は、仮想マシンのための管理制御方法を提供し、セキュリティ制御プラットフォームにより、管理プラットフォームにより転送されたユーザ装置からの仮想マシン開始要求メッセージを受信し、仮想マシン開始要求メッセージは、使用可能になる必要がある仮想マシンの識別子及びユーザ情報を含み、仮想マシン開始要求メッセージが許可されたユーザの命令に従ってユーザ装置により開始されたことを決定するために、第３者の信頼を受けたプラットフォームを呼び出し、ユーザ情報で認証を実行し、成功した認証に基づいて、使用可能になる必要がある仮想マシンをカプセル化解除するために、第３者の信頼を受けたプラットフォームを呼び出すことを含む。
【０００８】
第１の態様に基づいて、第１の可能な実現方式では、仮想マシン開始要求メッセージが許可されたユーザの命令に従ってユーザ装置により開始されたことを決定するために、第３者の信頼を受けたプラットフォームを呼び出すことは、仮想マシン開始要求メッセージが許可されたユーザのために第３者の信頼を受けたプラットフォームにより提供された鍵を使用することにより暗号化されていることが決定された場合、仮想マシン開始要求メッセージが許可されたユーザの命令に従ってユーザ装置により開始されたことを決定し、仮想マシン開始要求メッセージを解読するために、許可されたユーザのために第３者の信頼を受けたプラットフォームにより提供された鍵を呼び出すことを含む。
【０００９】
第１の態様に基づいて、第２の可能な実現方式では、仮想マシン開始要求メッセージが許可されたユーザの命令に従ってユーザ装置により開始されたことを決定するために、第３者の信頼を受けたプラットフォームを呼び出すことは、仮想マシン開始要求メッセージが第３者の信頼を受けたプラットフォームの公開鍵を使用することにより暗号化されていることが決定された場合、仮想マシン開始要求メッセージを解読するために、第３者の信頼を受けたプラットフォームの公開鍵を呼び出し、仮想マシン開始要求メッセージのデジタル署名情報を取得し、取得されたデジタル署名情報がセキュリティ制御プラットフォームに事前に格納された許可されたユーザのデジタル署名情報に一致することが決定された場合、仮想マシン開始要求メッセージが許可されたユーザの命令に従ってユーザ装置により開始されたことを決定することを含む。
【００１０】
第１の態様に基づいて、第３の可能な実現方式では、仮想マシン開始要求メッセージが許可されたユーザの命令に従ってユーザ装置により開始されたことを決定するために、第３者の信頼を受けたプラットフォームを呼び出すことは、セキュリティ制御プラットフォームにより、第３者の信頼を受けたプラットフォームの鍵を使用することにより暗号化されたデータを生成するために、第３者の信頼を受けたプラットフォームを呼び出し、ユーザ装置が許可されたユーザのために第３者の信頼を受けたプラットフォームにより提供された秘密鍵を使用することにより暗号化されたデータを解読し、解読されたデータをセキュリティ制御プラットフォームに戻すため、管理プラットフォームを使用することにより、暗号化されたデータをユーザ装置に送信し、解読されたデータが暗号化されたデータと同じであることが決定された場合、仮想マシン開始要求メッセージが許可されたユーザの命令に従ってユーザ装置により開始されたことを決定することを含む。
【００１１】
第１の態様の第１、第２及び第３の可能な実現方式に基づいて、第４の可能な実現方式では、使用可能になる必要がある仮想マシンをカプセル化解除するために、第３者の信頼を受けたプラットフォームを呼び出した後に、この方法は、セキュリティ制御プラットフォームにより、仮想マシンでインテグリティチェックを実行するために、第３者の信頼を受けたプラットフォームを呼び出し、インテグリティチェック値がセキュリティ制御プラットフォームに格納された仮想マシンのインテグリティチェック値に一致しない場合、仮想マシンの使用可能を制限し、或いは、インテグリティチェック値がセキュリティ制御プラットフォームに格納された仮想マシンのインテグリティチェック値に一致する場合、仮想マシンを使用可能にすることを含む。
【００１２】
第１の態様の第１、第２及び第３の可能な実現方式に基づいて、第５の可能な実現方式では、使用可能になる必要がある仮想マシンをカプセル化解除するために、第３者の信頼を受けたプラットフォームを呼び出した後に、この方法は、セキュリティ制御プラットフォームにより、仮想マシンモニタを使用することにより、新たなアプリケーションプログラムが仮想マシンにインストールされたことを検出し、新たなアプリケーションプログラムが許可されたユーザの命令に従ってユーザ装置によりインストールされたことを決定し、仮想マシンでインテグリティチェックを実行するために、第３者の信頼を受けたプラットフォームを呼び出し、セキュリティ制御プラットフォームに格納された仮想マシンのインテグリティチェック値を更新することを含む。
【００１３】
第１の態様の第１、第２及び第３の可能な実現方式に基づいて、第６の可能な実現方式では、使用可能になる必要がある仮想マシンをカプセル化解除するために、第３者の信頼を受けたプラットフォームを呼び出した後に、この方法は、セキュリティ制御プラットフォームにより、管理プラットフォームにより送信された仮想マシンインテグリティチェック要求メッセージを受信し、仮想マシンインテグリティチェック要求メッセージは、ユーザ装置により管理プラットフォームに送信され、仮想マシンインテグリティチェック要求メッセージは、インテグリティチェックを必要とする仮想マシンの識別子を含み、仮想マシンでインテグリティチェックを実行するために、第３者の信頼を受けたプラットフォームを呼び出し、インテグリティチェック値とセキュリティ制御プラットフォームに格納された仮想マシンのインテグリティチェック値とを比較し、管理プラットフォームがインテグリティチェック値比較結果をユーザ装置に送信するため、インテグリティチェック値比較結果を管理プラットフォームに送信することを含む。
【００１４】
第１の態様の第１、第２及び第３の可能な実現方式に基づいて、第７の可能な実現方式では、使用可能になる必要がある仮想マシンをカプセル化解除するために、第３者の信頼を受けたプラットフォームを呼び出した後に、この方法は、セキュリティ制御プラットフォームにより、仮想マシンモニタを使用することにより、仮想マシン内の仮想記憶データについての１つ以上の他の仮想マシンのアクセス要求を検出し、アクセス要求を開始した１つ以上の他の仮想マシンの識別子とアプリケーションプログラムの識別子とを取得し、仮想マシンのアクセス制御ポリシーテーブルのエントリが取得された１つ以上の他の仮想マシンの識別子とアプリケーションプログラムの識別子とを含むことが決定された場合、仮想マシン内の仮想記憶データを解読するために、第３者の信頼を受けたプラットフォームを呼び出し、解読された仮想記憶データを、アクセス要求を開始した１つ以上の他の仮想マシンに送信することを含む。
【００１５】
第５の態様に基づいて、第８の可能な実現方式では、仮想マシン開始要求メッセージは、使用可能になる必要がある仮想マシンのためのカプセル化鍵を更に含み、ユーザ情報で認証を実行した後に、成功した認証に基づいて、この方法は、セキュリティ制御プラットフォームにより、使用可能になる必要がある仮想マシンのための、仮想マシン開始要求メッセージに含まれるカプセル化鍵を使用することにより、仮想マシンの識別子に対応する仮想マシンをカプセル化解除することを含む。
【００１６】
セキュリティ制御プラットフォームは、信頼を受けたサービスドメイン（TSD）を含み、第３者の信頼を受けたプラットフォームは、信頼を受けたプラットフォームモジュール（TPM）と、信頼を受けた暗号化モジュール（TCM）とを含む。
【００１７】
第２の態様によれば、本発明は、セキュリティ制御プラットフォームを提供し、管理プラットフォームにより転送されたユーザ装置からの仮想マシン開始要求メッセージを受信するように構成された受信モジュールであり、仮想マシン開始要求メッセージは、使用可能になる必要がある仮想マシンの識別子及びユーザ情報を含む受信モジュールと、受信モジュールがユーザ装置からの仮想マシン開始要求メッセージを受信したことに基づいて、仮想マシン開始要求メッセージが許可されたユーザの命令に従ってユーザ装置により開始されたことを決定するために、第３者の信頼を受けたプラットフォームを呼び出すように構成された決定モジュールと、仮想マシン開始要求メッセージが許可されたユーザの命令に従ってユーザ装置により開始されたことを決定モジュールが決定したことに基づいて、ユーザ情報が成功して認証された後に、使用可能になる必要がある仮想マシンをカプセル化解除するために、第３者の信頼を受けたプラットフォームを呼び出すように構成されたカプセル化解除モジュールとを含む。
【００１８】
第３の態様によれば、本発明は、仮想マシンのための管理制御システムを提供し、前述のセキュリティ制御プラットフォームを含む。
【００１９】
第４の態様によれば、本発明は、プロセッサを含むセキュリティ制御プラットフォームを提供し、プロセッサは、実行中に、管理プラットフォームにより転送されたユーザ装置からの仮想マシン開始要求メッセージを受信するステップであり、仮想マシン開始要求メッセージは、使用可能になる必要がある仮想マシンの識別子及びユーザ情報を含むステップと、仮想マシン開始要求メッセージが許可されたユーザの命令に従ってユーザ装置により開始されたことを決定するために、第３者の信頼を受けたプラットフォームを呼び出すステップと、ユーザ情報が成功して認証された後に、使用可能になる必要がある仮想マシンをカプセル化解除するために、第３者の信頼を受けたプラットフォームを呼び出すステップとを実行する。
【００２０】
前述の技術的対策から、本発明の実施例では、第３者の信頼を受けたプラットフォームの鍵を使用することにより暗号化され、管理プラットフォームにより転送されたユーザ装置からの仮想マシン使用可能要求メッセージを受信した場合、セキュリティ制御プラットフォームは、まず、仮想マシン使用可能要求メッセージを解読するために、第３者の信頼を受けたプラットフォームの解読機能を呼び出し、仮想マシン使用可能要求メッセージに含まれるユーザ情報と使用可能になる必要がある仮想マシンの識別子とを取得し、ユーザ情報で認証を更に実行し、成功した認証の後に、使用可能になる必要がある仮想マシンをカプセル化解除するために、第３者の信頼を受けたプラットフォームの解読機能を再び呼び出す。これにより、他のユーザ装置（管理プラットフォームを含む）が仮想マシン使用可能要求メッセージを暗号化するための第３者の信頼を受けたプラットフォームの鍵を取得できず、仮想マシンでカプセル化及び暗号化を実行するための第３者の信頼を受けたプラットフォームのカプセル化鍵も取得できないことを確保することが分かる。すなわち、ユーザの仮想マシンは、ユーザによってのみ使用可能になることが可能になり、このことは、仮想マシンでの管理制御のセキュリティを向上させ、これにより、クラウドコンピューティングプラットフォームのセキュリティも向上させる。
【００２１】
本発明又は従来技術の技術的対策を明確に説明するために、以下に、実施例又は従来技術を説明するために必要な添付図面を簡単に紹介する。明らかに、以下の説明における添付図面は、本発明のいくつかの実施例を示している。
【図面の簡単な説明】
【００２２】
【図１】本発明の実施例による仮想マシンのための管理制御方法の概略フローチャート
【図２】図１に示す仮想マシンのための管理制御方法が適用される実施例のアプリケーションシステムのアーキテクチャ図
【図３】本発明の他の実施例による仮想マシンのための管理制御方法の概略フローチャート
【図４】本発明の他の実施例による仮想マシンのための管理制御方法の概略フローチャート
【図５】本発明の他の実施例によるセキュリティ制御プラットフォームの概略構成図
【図６】図５に示す実施例によるセキュリティ制御プラットフォームの他の概略構成図
【図７】図５に示す実施例によるセキュリティ制御プラットフォームの他の概略構成図
【発明を実施するための形態】
【００２３】
本発明の実施例の目的、技術的対策及び利点を明瞭にするために、以下では、本発明の実施例の添付図面を参照して本発明の実施例の技術的対策を明瞭且つ完全に説明する。明らかに、説明する実施例は本発明の全てではなく、一部である。
【００２４】
本発明の実施例では、セキュリティ制御プラットフォームは、信頼を受けたサービスドメイン（Trusted  Service  Domain、TSD）を含む。セキュリティ制御プラットフォームは、信頼を受けたセキュリティサービスを提供するモジュールであり、セキュリティ制御プラットフォームの展開形式は、ソフトウェアモジュールでもよく、物理的なホストでもよく、仮想マシンでもよい。これは本発明では限定されない。セキュリティ制御プラットフォームは、ユーザ装置がユーザの保護された仮想マシンを開始したときに、ユーザ情報で実行される認証を完了するために、第３者の信頼を受けたプラットフォームを呼び出し、未許可のユーザ（管理者を含む）がユーザの保護された仮想マシンを開始することを防止するように構成される。セキュリティ制御プラットフォームは、保護された仮想マシンにインストールされ得るアプリケーションプログラムを許可するために、保護された仮想マシンのセキュリティ制御ポリシーテーブルを予め設定するように更に構成される。セキュリティ制御プラットフォームは、保護された仮想マシン内の仮想記憶データにアクセスし得る他の仮想マシン及びこれらのアプリケーションプログラムを許可するために、保護された仮想マシンのアクセス制御ポリシーテーブルを予め設定するように更に構成される。
【００２５】
本発明の実施例では、第３者の信頼を受けたプラットフォームは、信頼を受けたプラットフォームモジュール（Trusted  Platform  Module、TPM）又は信頼を受けた暗号化モジュール（Trusted  Cryptography  Module、TCM）を含み、第３者の信頼を受けたプラットフォームの展開形式は、クラウドコンピューティングプラットフォームのサーバのメインボードに設置されたハードウェアチップでもよい。第３者の信頼を受けたプラットフォームは、埋め込まれたコンピューティングシステム機能のセキュリティ及び機密性の機能であり、物理的なセキュリティの側面における攻撃防止、改変防止及び検出防止機能を有する。従って、第３者の信頼を受けたプラットフォームは、第３者の信頼を受けたプラットフォーム及びクラウドコンピューティングプラットフォームのデータが不正な攻撃から防止されることを確保し、クラウドコンピューティングプラットフォームの信頼及びセキュリティ機能のサポートの基本的な根源を提供することができる。
【００２６】
図１は、本発明の実施例による仮想マシンのための管理制御方法の概略フローチャートである。図１に示すように、この実施例の仮想マシンのための管理制御方法は以下を含んでもよい。
【００２７】
101：セキュリティ制御プラットフォームは、管理プラットフォームにより転送されたユーザ装置からの仮想マシン開始要求メッセージを受信する。仮想マシン開始要求メッセージは、使用可能になる必要がある仮想マシンの識別子及びユーザ情報を含む。
【００２８】
図２は、本発明のこの実施例に示す仮想マシンのための管理制御方法のアプリケーションシステムのアーキテクチャ図である。図２に示すように、図２に示すアプリケーションシステムの様々な構成要素について以下に説明する。
【００２９】
ハードウェアレイヤ（Hardware  Layer）は、CPUと、メモリと、ネットワークリソースとを含む物理的なホストでもよい。物理的なホストは、TPMチップを有し、TPMチップを含む物理的なホストは、本発明のこの実施例では第３者の信頼を受けたプラットフォームを構成する。
【００３０】
仮想マシンモニタ（Virtual  Machine  Monitor、VMM）は、ハードウェアレイヤとオペレーティングシステムとの間に位置し、上位レイヤで動作するオペレーティングシステムのための仮想化されたハードウェアリソースを提供する役目をし、仮想化されたハードウェアリソースを管理して割り当て、上位レイヤの仮想マシンが互いに隔離されることを確保する。
【００３１】
管理プラットフォーム（Manage  Domain）は、他の仮想マシンのマネージャ及びコントローラである。これは、特権を受けた仮想マシンであり、入力／出力リソースを動作させる特権を有し、物理的なハーウェアに直接アクセスすることができ、他のユーザの仮想マシン（Virtual  Machine、VM）の管理を実現するために、管理システムの管理命令を受け付けて仮想マシンモニタにより提供されるアプリケーションプログラミングインタフェース（Application  Programming  Interface、API）と相互作用する役目をする。
【００３２】
信頼を受けたサービスドメイン（TSD）は、本発明のこの実施例ではセキュリティ制御プラットフォームである。
【００３３】
仮想マシン（Virtual  Machine、VM）は、許可されたユーザに提供される保護された特権のない仮想マシンであり、クライアントオペレーティングシステムを実行し、ユーザのためのプライベートのセキュリティコンテナ又は信頼を受けた空間である。
【００３４】
ユーザ装置（User  Equipment、UE）は、許可されたユーザの仮想マシンにアクセスするために、クラウドコンピューティングプラットフォームに接続する如何なる端末デバイスでもよい。
【００３５】
図２に示すシステムに基づいて、許可されたユーザがユーザ装置を使用することにより、許可されたユーザの保護された仮想マシン（Virtual  Machine、VM）を使用可能にしたい場合、ユーザ装置は、仮想マシン開始要求メッセージを管理プラットフォームに送信する。仮想マシン開始要求メッセージは、使用可能になる必要がある仮想マシンの識別子（ID）及びユーザ情報を含む。ユーザ情報は、識別子（ID）、ユーザアカウント、バスワード及び動的なパスワードのようなユーザ装置についての情報を含むが、これらに限定されない。
【００３６】
本発明の任意選択の実現方式では、仮想マシンの使用可能が安全であり信頼できることを確保するために、前述の仮想マシン開始要求メッセージは、第３者の信頼を受けたプラットフォームの鍵である図２に示すkey  1のような、第３者の信頼を受けたプラットフォームの鍵を使用することにより暗号化されてもよい。第３者の信頼を受けたプラットフォームの鍵は、ユーザのために第３者の信頼を受けたプラットフォームにより提供された秘密ユニバーサルシリアルバス（Universal  Serial  Bus、USB）鍵（Key）又はスマートカードでもよい。許可されたユーザのみが、仮想マシン開始要求メッセージを暗号化するために秘密鍵を使用することができ、管理プラットフォームも他のユーザも鍵を使用することができない。
【００３７】
本発明の任意選択の実現方式では、仮想マシンの使用可能が安全であり信頼できることを確保するために、ユーザ装置は、許可されたユーザの命令を使用することにより設定された鍵に従って仮想マシン開始要求メッセージにデジタル署名を追加し、第３者の信頼を受けたプラットフォームの公開鍵を使用することにより、仮想マシン開始要求メッセージを暗号化してもよい。
【００３８】
図２に示すように、管理プラットフォームがユーザ装置により送信された仮想マシン開始要求メッセージを受信した後に、管理プラットフォームは、仮想マシン開始要求メッセージを送信したユーザ装置が信頼を受けたサービスに申し込んだユーザであるか否かを識別し、そうである場合、仮想マシン開始要求メッセージは、セキュリティ制御プラットフォームに送信される。仮想マシン開始要求メッセージは、第３者の信頼を受けたプラットフォームの鍵を使用することにより暗号化され、管理プラットフォームは、第３者の信頼を受けたプラットフォームの鍵を取得することはできない。このことは、仮想マシンの使用可能が安全であり信頼できることを確保し、クラウドコンピューティングプラットフォームの管理者の特権により生じるセキュリティ脅威の問題を解決することができる。
【００３９】
102：仮想マシン開始要求メッセージが許可されたユーザの命令に従ってユーザ装置により開始されたことを決定するために、第３者の信頼を受けたプラットフォームを呼び出す。
【００４０】
本発明の任意選択の実現方式では、管理プラットフォームを使用することにより、ユーザ装置によりセキュリティ制御プラットフォームに送信された仮想マシン開始要求メッセージは、暗号化されなくてもよい。仮想マシンの使用可能が安全であり信頼できることを確保するために、セキュリティ制御プラットフォームは、第３者の信頼を受けたプラットフォームの暗号化機能を呼び出し、第３者の信頼を受けたプラットフォームの鍵を使用することにより暗号化されたデータを生成してもよい。セキュリティ制御プラットフォームは、管理プラットフォームを使用することにより、暗号化されたデータをユーザ装置に送信する。ユーザ装置は、ユーザ装置のために第３者の信頼を受けたプラットフォームにより提供された秘密鍵（例えば、USB  Key又はスマートカード）を使用することにより、暗号化されたデータを解読し、解読されたデータをセキュリティ制御プラットフォームに送信する。セキュリティ制御プラットフォームは、比較を行い、解読されたデータが暗号化されたデータと同じであるか否かを決定し、解読されたデータが暗号化されたデータと同じである場合、仮想マシン開始要求メッセージが許可されたユーザにより開始されたことを決定する。秘密USB  Key又はスマートカードは、許可されたユーザのみにより使用されることができ、管理プラットフォームも他のユーザも許可されたユーザの秘密USB  Key又はスマートカードを取得することができない。このことは、仮想マシンの使用可能が安全であり信頼できることを確保する。
【００４１】
本発明の任意選択の実現方式では、ステップ101において、前述の仮想マシン開始要求メッセージがユーザのための第３者の信頼を受けたプラットフォームにより提供された秘密鍵を使用することによりユーザ装置により暗号化されている場合、セキュリティ制御プラットフォームは、第３者の信頼を受けたプラットフォームの解読機能を呼び出し、仮想マシン開始要求メッセージを解読する。換言すると、ユーザのために第３者の信頼を受けたプラットフォームにより提供された秘密鍵を使用することにより、仮想マシン開始要求メッセージを解読する。解読の後に、セキュリティ制御プラットフォームは、仮想マシン開始要求メッセージに含まれるユーザ情報と使用可能になる必要がある仮想マシンの識別子とを取得してもよい。
【００４２】
本発明の任意選択の実現方式では、ステップ101において、ユーザ装置が許可されたユーザの命令を使用することにより設定された鍵に従って仮想マシン開始要求メッセージにデジタル署名を追加し、第３者の信頼を受けたプラットフォームの公開鍵を使用することにより仮想マシン開始要求メッセージを暗号化した場合、セキュリティ制御プラットフォームはまた、第３者の信頼を受けたプラットフォームの解読機能を呼び出し、仮想マシン開始要求メッセージを解読する必要がある。換言すると、第３者の信頼を受けたプラットフォームの公開鍵（例えば、ルート鍵）を使用することにより仮想マシン開始要求メッセージを解読する必要がある。更に、例えば、許可されたユーザのデジタル署名情報が事前にセキュリティ制御プラットフォームに格納され、セキュリティ制御プラットフォームは、仮想マシン開始要求メッセージのデジタル署名情報に従って、仮想マシン開始要求メッセージが許可されたユーザの命令に従ってユーザ装置により送信されたことを決定してもよい。このことは、仮想マシンの使用可能が安全であり信頼できることを確保する。解読の後に、セキュリティ制御プラットフォームは、仮想マシン開始要求メッセージに含まれるユーザ情報と使用可能になる必要がある仮想マシンの識別子とを取得してもよい。
【００４３】
103：ユーザ情報で認証を実行し、成功した認証に基づいて、使用可能になる必要がある仮想マシンをカプセル化解除するために、第３者の信頼を受けたプラットフォームを呼び出す。
【００４４】
本発明の任意選択の実現方式では、仮想マシンの使用可能が安全であり信頼できることを確保するために、ユーザ情報を取得した後に、セキュリティ制御プラットフォームは、仮想マシンが許可されたユーザにより使用可能になることを確保するために、許可されたユーザについての情報で認証を実行する。
【００４５】
本発明の任意選択の実現方式では、使用可能になる必要がある仮想マシンのセキュリティ及び信頼性を確保するために、使用可能になる必要がある仮想マシンは、第３者の信頼を受けたプラットフォームのカプセル化鍵（又はルート鍵）を使用することにより暗号化され、これにより、使用可能になる必要がある仮想マシンがユーザにとって絶対的にプライベートなセキュリティコンテナ又は信頼を受けた空間であることが決定されてもよい。従って、使用可能になる必要がある仮想マシンの識別子を取得した後に、セキュリティ制御プラットフォームは、第３者の信頼を受けたプラットフォームの解読機能を呼び出し、仮想マシンの識別子に対応する仮想マシンをカプセル化解除する必要がある。換言すると、使用可能になる必要がある仮想マシンのための第３者の信頼を受けたプラットフォームにより提供されたカプセル化鍵又は第３者の信頼を受けたプラットフォームのルート鍵を使用することにより、仮想マシンをカプセル化解除する必要がある。
【００４６】
本発明の任意選択の実現方式では、前述のステップ101において、仮想マシン開始要求メッセージが使用可能になる必要がある仮想マシンのカプセル化鍵を更に含む場合、ユーザ情報を成功して認証した後に、セキュリティ制御プラットフォームは、仮想マシン開始要求メッセージに含まれるカプセル化鍵を使用することにより、使用可能になる必要がある仮想マシンを直接カプセル化解除する。
【００４７】
本発明の任意選択の実現方式では、仮想マシンのセキュリティ及び信頼性を確保するために、使用可能になる必要がある仮想マシンをカプセル化解除した後に、セキュリティ制御プラットフォームは、第３者の信頼を受けたプラットフォームを呼び出し、カプセル化解除された仮想マシンでインテグリティチェックを実行し、例えば、仮想マシンのオペレーティングシステム、レジストリ、システムディレクトリ及びログインのログのうち少なくとも１つをチェックしてもよい。現在のチェックのインテグリティチェック値がセキュリティ制御プラットフォームに格納された仮想マシンのインテグリティチェック値に一致しない場合、これは、仮想マシンの動作環境が変更されたことを示す。仮想マシンのセキュリティ及び信頼性を確保するために、セキュリティ制御プラットフォームは、仮想マシンの使用可能を制限してもよく、例えば、仮想マシンによる重要データへのアクセス及び仮想マシンの送信権限を制限してもよく、更に、復旧パスワードを入力すること又は対処のためにサービスプロバイダに連絡することのような情報を用いてユーザ装置に促してもよい。インテグリティチェック値がセキュリティ制御プラットフォームに格納された仮想マシンのインテグリティチェック値に一致する場合、これは、仮想マシンの動作環境が変化しておらず、仮想マシンが安全であり信頼でき、仮想マシンが使用可能になることを示す。
【００４８】
本発明のこの実施例では、第３者の信頼を受けたプラットフォームの鍵を使用することにより暗号化され、管理プラットフォームにより転送されたユーザ装置からの仮想マシン使用可能要求メッセージを受信した場合、セキュリティ制御プラットフォームは、まず、仮想マシン使用可能要求メッセージを解読するために、第３者の信頼を受けたプラットフォームの解読機能を呼び出し、仮想マシン使用可能要求メッセージに含まれるユーザ情報と使用可能になる必要がある仮想マシンの識別子とを取得し、ユーザ情報で認証を更に実行し、成功した認証の後に、使用可能になる必要がある仮想マシンをカプセル化解除するために、第３者の信頼を受けたプラットフォームの解読機能を再び呼び出す。これにより、他のユーザ装置（管理プラットフォームを含む）が仮想マシン使用可能要求メッセージを暗号化するための第３者の信頼を受けたプラットフォームの鍵を取得できず、仮想マシンでカプセル化及び暗号化を実行するための第３者の信頼を受けたプラットフォームのカプセル化鍵も取得できないことを確保する。すなわち、許可されたユーザの仮想マシンは、許可されたユーザによってのみ使用可能になることが可能になり、このことは、仮想マシンでの管理制御のセキュリティを向上させ、これにより、クラウドコンピューティングプラットフォームのセキュリティも向上させる。
【００４９】
図３は、本発明の他の実施例による仮想マシンのための管理制御方法の概略フローチャートである。この方法は、図１の方法の実施例及び図２に示すアプリケーションシステムに基づく更なる拡張である。許可されたユーザがユーザ装置を使用することにより許可されたユーザの仮想マシンを使用可能にした後に、仮想マシンの実行中に動作環境が変化した場合、例えば、新たなアプリケーションプログラムが仮想マシンにインストールされた場合、仮想マシンの安全な実行を実現するため、セキュリティ制御プラットフォームは、仮想マシンでインテグリティチェックを実行するために、第３者の信頼を受けたプラットフォームを呼び出してもよい。特定の実現処理は図３に示されており、以下を含む。
【００５０】
301：セキュリティ制御プラットフォームは、仮想マシンモニタを使用することにより、新たなアプリケーションプログラムが仮想マシンにインストールされたことを検出する。
【００５１】
許可されたユーザがユーザ装置を使用することにより許可されたユーザの仮想マシンを使用可能にした後に、新たなアプリケーションが、仮想マシンの実行中に仮想マシンにインストールされる。図２に示すように、仮想マシンモニタは、新たなアプリケーションが仮想マシンにインストールされたことを検出し、新たにインストールされたアプリケーションプログラムの識別子を取得してもよい。仮想マシンモニタは、新たにインストールされたアプリケーションプログラムの識別子をセキュリティ制御プラットフォームに通知する。
【００５２】
302：新たなアプリケーションプログラムが許可されたユーザの命令に従ってユーザ装置によりインストールされたことを決定する。
【００５３】
303：仮想マシンでインテグリティチェックを実行するために、第３者の信頼を受けたプラットフォームを呼び出し、セキュリティ制御プラットフォームに格納された仮想マシンのインテグリティチェック値を更新する。
【００５４】
本発明の任意選択の実現方式では、ユーザ装置は、セキュリティ制御プラットフォームで、許可されたユーザの命令に従って、ユーザの保護された仮想マシンのセキュリティ制御ポリシーテーブルを予め設定してもよい。表１は、本発明のこの実施例に適用されるセキュリティ制御ポリシーテーブルである。実際の用途では、複数の保護された仮想マシンのセキュリティ制御ポリシーテーブルがセキュリティ制御プラットフォームに存在する。表１に示すように、仮想マシンの識別子は、セキュリティ制御ポリシーテーブルの対応する仮想マシンのセキュリティ制御ポリシーテーブルのエントリを表すために使用される。例えば、アプリケーションプログラム1の識別子及びアプリケーションプログラム2の識別子のような、仮想マシン1へのインストールが事前に許可されたアプリケーションプログラムの識別子は、仮想マシンに対応するセキュリティ制御ポリシーテーブルに追加される。
【００５５】
【表１】
2016506107.tif 000003
仮想マシンモニタを使用することにより、新たなアプリケーションプログラムが仮想マシンにインストールされたことを検出した場合、セキュリティ制御プラットフォームは、新たにインストールされたアプリケーションプログラムの識別子に従って、仮想マシンに対応するセキュリティ制御ポリシーテーブルに問い合わせる。仮想マシンに対応するセキュリティ制御ポリシーテーブルが新たにインストールされたアプリケーションプログラムの識別子を含むことが決定された場合、セキュリティ制御プラットフォームは、新たなアプリケーションプログラムが許可されたユーザの命令に従ってユーザ装置によりインストールされたことを決定し、仮想マシンでインテグリティチェックを実行するために、第３者の信頼を受けたプラットフォームを呼び出し、現在のチェックのインテグリティチェック値で、セキュリティ制御プラットフォームに格納された仮想マシンのインテグリティチェック値を更新する。
【００５６】
本発明の任意選択の実現方式では、許可されたユーザがユーザ装置を使用することにより許可されたユーザの仮想マシンを使用可能にした後に、許可されたユーザは、仮想マシンの実行中にユーザ装置を使用することにより許可されたユーザの仮想マシンに新たなアプリケーションプログラムをインストールしてもよい。特定の実現では、ユーザ装置は、許可されたユーザの命令に従って、管理プラットフォームを使用することにより、新たなアプリケーションプログラムをインストールする要求をセキュリティ制御プラットフォームに送信してもよい。
【００５７】
例えば、新たなアプリケーションプログラムが許可されたユーザの命令に従ってユーザ装置によりインストールされることを確保するために、前述の新たなアプリケーションプログラムをインストールする要求は、第３者の信頼を受けたプラットフォームの鍵を使用することにより暗号化される。第３者の信頼を受けたプラットフォームの鍵は、ユーザ装置のために第３者の信頼を受けたプラットフォームにより提供された秘密ユニバーサルシリアルバス（Universal  Serial  Bus）鍵Key又はスマートカードでもよい。ユーザのみが、新たなアプリケーションプログラムをインストールする要求を暗号化するために秘密鍵を使用することができ、管理プラットフォームも他のユーザも鍵を使用することができない。
【００５８】
セキュリティ制御プラットフォームは、第３者の信頼を受けたプラットフォームの解読機能を呼び出し、新たなアプリケーションプログラムをインストールする要求を解読する。換言すると、ユーザのために第３者の信頼を受けたプラットフォームにより提供された鍵を使用することにより、新たなアプリケーションプログラムをインストールする要求を解読する。次に、セキュリティ制御プラットフォームは、新たなアプリケーションプログラムが許可されたユーザの命令に従ってユーザ装置によりインストールされたことを決定し、仮想マシンでインテグリティチェックを実行するために、第３者の信頼を受けたプラットフォームを呼び出し、現在のチェックのインテグリティチェック値で、セキュリティ制御プラットフォームに格納された仮想マシンのインテグリティチェック値を更新する。
【００５９】
他の例では、新たなアプリケーションプログラムが許可されたユーザの命令に従ってユーザ装置にインストールされることを確保するために、ユーザ装置は、許可されたユーザの命令を使用することにより設定された鍵に従って、新たなアプリケーションプログラムをインストールする要求に署名し、第３者の信頼を受けたプラットフォームの公開鍵を使用することにより、新たなアプリケーションプログラムをインストールする要求を暗号化してもよい。
【００６０】
セキュリティ制御プラットフォームはまた、第３者の信頼を受けたプラットフォームの解読機能を呼び出し、新たなアプリケーションプログラムをインストールする要求を解読する必要がある。換言すると、第３者の信頼を受けたプラットフォームの公開鍵（例えば、ルート鍵）を使用することにより新たなアプリケーションプログラムをインストールする要求を解読する必要がある。更に、例えば、許可されたユーザのデジタル署名情報が事前にセキュリティ制御プラットフォームに格納され、セキュリティ制御プラットフォームは、新たなアプリケーションプログラムをインストールする要求のデジタル署名情報に従って、新たなアプリケーションプログラムをインストールする要求が許可されたユーザの命令に従ってユーザ装置により送信されたことを決定してもよい。このことは、新たなアプリケーションプログラムのインストールが安全であり信頼できることを確保する。
【００６１】
他の例では、管理プラットフォームを使用することによりユーザ装置によりセキュリティ制御プラットフォームに送信された新たなアプリケーションプログラムをインストールする要求は暗号化されない。新たなアプリケーションプログラムが許可されたユーザの命令に従ってユーザ装置にインストールされることを確保するために、セキュリティ制御プラットフォームは、第３者の信頼を受けたプラットフォームの暗号化機能を呼び出し、第３者の信頼を受けたプラットフォームの鍵を使用することにより暗号化されたデータを生成してもよい。セキュリティ制御プラットフォームは、ユーザのために第３者の信頼を受けたプラットフォームにより提供された秘密鍵（例えば、USB  Key又はスマートカード）を使用することにより暗号化されたデータを解読し、解読されたデータをセキュリティ制御プラットフォームに送信する。セキュリティ制御プラットフォームは、比較を行い、解読されたデータが暗号化されたデータと同じであるか否かを決定し、解読されたデータが暗号化されたデータと同じである場合、新たなアプリケーションプログラムをインストールする要求が許可されたユーザにより開始されたことを決定する。秘密USB  Key又はスマートカードは、許可されたユーザのみにより使用されることができ、管理プラットフォームも他のユーザも許可されたユーザの秘密USB  Key又はスマートカードを取得することができない。このことは、新たなアプリケーションプログラムのインストールが安全であり信頼できることを確保する。
【００６２】
本発明の任意選択の実現方式では、仮想マシンが使用可能になった後に、仮想マシンの許可されたユーザは、いつでもユーザ装置を使用することにより、仮想マシンの実行中に仮想マシンのインテグリティチェックを開始してもよい。特に、ユーザ装置は、仮想マシンインテグリティチェック要求メッセージを管理プラットフォームに送信する。仮想マシンインテグリティチェック要求メッセージは、インテグリティチェックを必要とする仮想マシンの識別子を含む。管理プラットフォームは、仮想マシンインテグリティチェック要求メッセージをセキュリティ制御プラットフォームに転送し、管理プラットフォームにより送信された仮想マシンインテグリティチェック要求メッセージを受信した後に、セキュリティ制御プラットフォームは、仮想マシンでインテグリティチェックを実行するために、第３者の信頼を受けたプラットフォームを呼び出してもよい。現在のチェックのインテグリティチェック値は、セキュリティ制御プラットフォームに格納された仮想マシンのインテグリティチェック値と比較される。更に、比較の後に、仮想マシンのインテグリティチェック値が変化したことが分かった場合、未許可のアプリケーションプログラムが新たにインストールされたことがログに従って分かる。セキュリティ制御プラットフォームは、ユーザ装置がインテグリティチェック値比較結果に従って未許可のアプリケーションプログラムをアンインストールするため、又はシステム復旧動作を使用することにより仮想マシンを復旧するため、管理プラットフォームを使用することによりインテグリティチェック値比較結果をユーザ装置にフィードバックする。
【００６３】
この実施例では、未許可のアプリケーションプログラム（例えば、マルウェア）が仮想マシンにインストールされた場合、セキュリティ制御プラットフォームは、仮想マシンでインテグリティチェックを実行せず、仮想マシンのインテグリティチェック値をリフレッシュしない。従って、未許可のマルウェアが仮想マシンにインストールされても、セキュリティ制御プラットフォームは、マルウェアがインストールされた仮想マシンによる重要データへのアクセス及び仮想マシンの送信権限を制限してもよい。この理由は、新たにインストールされたマルウェアがセキュリティ制御プラットフォームにより実行されたインテグリティチェックにパスしないからである。従って、未許可のアプリケーションプログラム（マルウェアを含む）がインストールされたいずれかの仮想マシンでは、セキュリティ制御プラットフォームは、仮想マシンによる重要データへのアクセス及び仮想マシンの送信権限を制限してもよい。このことは、マルウェア防止技術がセキュリティソフトウェアにより識別可能なマルウェア及びトロイの木馬のみを防止することができ、偽陰性が生じる可能性があるという問題を解決する。
【００６４】
本発明のこの実施例では、新たなアプリケーションプログラムが仮想マシンにインストールされたことをセキュリティ制御プラットフォームが検出したときに、仮想マシンに対応するセキュリティ制御ポリシーテーブルが新たなアプリケーションプログラムの識別子を含むことが決定された場合、セキュリティ制御プラットフォームは、仮想マシンでインテグリティチェックを実行するために、第３者の信頼を受けたプラットフォームを呼び出し、セキュリティ制御プラットフォームに格納された仮想マシンのインテグリティチェック値を更新する。仮想マシンに新たにインストールされたアプリケーションプログラムが予め設定されたセキュリティ制御ポリシーテーブル内のアプリケーションプログラムではない場合、仮想マシンでインテグリティチェックが実行されないことが実現され得る。従って、インストールがユーザにより許可されているアプリケーションプログラムのみがインストールされ、仮想マシンで実行可能になることが確保され得る。そうでない場合、セキュリティ制御プラットフォームにより実行されるインテグリティチェックはパスしない。セキュリティ制御プラットフォームは、仮想マシンによる重要データへのアクセス及び仮想マシンの送信権限を制限してもよい。従って、保護されたユーザの仮想マシンのセキュリティの実行が確保可能になり、仮想マシンの管理制御のセキュリティが向上し、これにより、クラウドコンピューティングプラットフォームのセキュリティも向上する。
【００６５】
図４は、本発明の他の実施例による仮想マシンのための管理制御方法の概略フローチャートである。この方法は、図１の方法の実施例及び図２に示すアプリケーションシステムに基づく更なる拡張である。許可されたユーザがユーザ装置を使用することにより許可されたユーザの仮想マシンを使用可能にした後に、１つ以上の他の仮想マシンのアプリケーションプログラムが仮想マシンの実行中に仮想マシンの仮想記憶内のデータにアクセスすることを要求した場合、許可されたユーザの仮想マシンの仮想記憶内のデータのセキュリティを確保するために、セキュリティ制御プラットフォームは、１つ以上の他の仮想マシン及び１つ以上の他の仮想マシンのアプリケーションプログラムの許可を検証し、セキュリティ制御プラットフォームは、検証が成功した後にのみ、仮想マシンの仮想記憶内のデータを解読するために、第３者の信頼を受けたプラットフォームを呼び出す。
【００６６】
401：セキュリティ制御プラットフォームは、仮想マシンモニタを使用することにより、仮想マシン内の仮想記憶データについての１つ以上の他の仮想マシンのアクセス要求を検出し、アクセス要求を開始した１つ以上の他の仮想マシンの識別子と、１つ以上の他の仮想マシンのアプリケーションプログラムの識別子とを取得する。
【００６７】
図２に示すように、許可されたユーザがユーザ装置を使用することにより許可されたユーザの仮想マシンを使用可能にした後に、１つ以上の他の仮想マシンが仮想マシンの実行中に許可されたユーザの仮想マシンの仮想記憶内のデータにアクセスすることを要求した場合、仮想マシンモニタは、仮想マシンの情報フローを追跡することにより、アクセス要求を開始した１つ以上の他の仮想マシンの識別子を取得する。実際の用途では、アクセス要求は一般的に１つ以上の他の仮想マシンのアプリケーションプログラムにより開始され、従って、仮想マシンモニタは、仮想マシンの情報フローを追跡することにより、アクセス要求を開始した１つ以上の他の仮想マシンのアプリケーションプログラムの識別子を更に取得し得る点に留意すべきである。仮想マシンモニタは、取得された１つ以上の他の仮想マシンの識別子と１つ以上の他の仮想マシンのアプリケーションプログラムの識別子とをセキュリティ制御プラットフォームに送信する。
【００６８】
402：仮想マシンのアクセス制御ポリシーテーブルがアクセス要求を開始した１つ以上の他の仮想マシンの識別子と１つ以上の他の仮想マシンのアプリケーションプログラムの識別子とを含むことが決定された場合、仮想マシン内の仮想記憶データを解読するために、第３者の信頼を受けたプラットフォームを呼び出す。
【００６９】
本発明の実現方式では、ユーザ装置は、セキュリティ制御プラットフォームで、許可されたユーザの命令に従って、ユーザの保護された仮想マシンのアクセス制御ポリシーテーブルを予め設定してもよい。表２は、本発明のこの実施例に適用されるアクセス制御ポリシーテーブルである。実際の用途では、複数の保護された仮想マシンのアクセス制御ポリシーテーブルがセキュリティ制御プラットフォームに存在する。表２に示すように、仮想マシンの識別子は、アクセス制御ポリシーテーブルの対応する仮想マシンのアクセス制御ポリシーテーブルのエントリを表すために使用される。例えば、アクセス制御ポリシーテーブルは、仮想マシン1及び仮想マシン2に対応するアクセス制御ポリシーテーブルのエントリを格納する。例えば、仮想マシン1へのアクセスが事前に許可されている他の仮想マシン3及び他の仮想マシン4の識別子、他の仮想マシン3にあるアプリケーションプログラム1の識別子及びアプリケーションプログラム2の識別子、並びに他の仮想マシン4にあるアプリケーションプログラム3の識別子及びアプリケーションプログラム4の識別子は、仮想マシン1に対応するセキュリティ制御ポリシーテーブルのエントリに追加される。
【表２】
2016506107.tif 000004
【００７０】
セキュリティ制御プラットフォームは、アクセス要求を開始した１つ以上の他の仮想マシンの識別子及び１つ以上の他の仮想マシンのアプリケーションプログラムの識別子に従って、仮想マシンに対応するアクセス制御ポリシーテーブルに問い合わせる。仮想マシンに対応するアクセス制御ポリシーテーブルがアクセス要求を開始した１つ以上の他の仮想マシンの識別子及び１つ以上の他の仮想マシンのアプリケーションプログラムの識別子を含むことが決定された場合、セキュリティ制御プラットフォームは、アクセス要求を開始した１つ以上の他の仮想マシン及び１つ以上の他の仮想マシンのアプリケーションプログラムが事前に許可されていることを決定し、第３者の信頼を受けたプラットフォームを呼び出し、仮想マシン内の仮想記憶データを解読する。
【００７１】
本発明の実現方式では、仮想マシン内の仮想記憶データのセキュリティを確保するために、仮想マシン内の仮想記憶データは、第３者の信頼を受けたプラットフォームのカプセル化鍵を使用することにより暗号化される。これにより、仮想記憶データを格納する仮想マシン内の空間がユーザにとって絶対的にプライベートなセキュリティコンテナ及び空間になることを確保し得る。従って、アクセス要求を開始した仮想マシン及び仮想マシンのアプリケーションプログラムの認証を成功して検証した後に、セキュリティ制御プラットフォームは、第３者の信頼を受けたプラットフォームを呼び出し、仮想マシン内の仮想記憶データをカプセル化解除する。換言すると、仮想マシン内の仮想記憶データにおいて第３者の信頼を受けたプラットフォームにより実行された鍵に基づくカプセル化で使用されたカプセル化鍵、又は第３者の信頼を受けたプラットフォームのルート鍵を使用することにより、仮想マシン内の仮想記憶データをカプセル化解除する。
【００７２】
403：解読された仮想記憶データを、アクセス要求を開始した１つ以上の他の仮想マシンに送信する。
【００７３】
本発明の実現方式では、セキュリティ制御プラットフォームは、取得されたアクセス要求を開始した１つ以上の他の仮想マシンの識別子及び１つ以上の他の仮想マシンのアプリケーションプログラムの識別子に従って、仮想マシンに対応するアクセス制御ポリシーテーブルに問い合わせる。仮想マシンのアクセス制御ポリシーテーブルが取得された１つ以上の他の仮想マシンの識別子を含まないこと、又は取得された１つ以上の他の仮想マシンの識別子を含むが、取得されたアプリケーションプログラムの識別子を含まないことが決定された場合、セキュリティ制御プラットフォームは、アクセス要求が未許可であることを決定し、セキュリティ制御プラットフォームは、１つ以上の他の仮想マシンが仮想マシン内の仮想記憶データにアクセスするのを禁止する、或いは、解読されない仮想記憶データのみをアクセス要求を開始した仮想マシンに送信する。
【００７４】
前述の仮想マシン内の仮想記憶データは、仮想マシンの仮想メモリに格納されたデータと、仮想マシン内のメモリのデータとを含む。
【００７５】
本発明のこの実施例では、セキュリティ制御プラットフォームが保護されたユーザの仮想マシン内の仮想記憶データについて１つ以上の他の仮想マシン及び１つ以上の他の仮想マシンのアプリケーションプログラムのアクセス要求を検出したときに、ユーザの仮想マシンに対応するアクセス制御ポリシーテーブルがアクセス要求を開始した１つ以上の他の仮想マシンの識別子及び１つ以上の他の仮想マシンのアプリケーションプログラムの識別子を含むことが決定された場合、セキュリティ制御プラットフォームは、ユーザの仮想マシン内の仮想記憶データを解読するために、第３者の信頼を受けたプラットフォームを呼び出し、アクセス要求を開始した１つ以上の他の仮想マシンに解読されたデータを送信する。従って、他のユーザ装置（管理プラットフォームを含む）がユーザの仮想マシン内の仮想記憶データでカプセル化及び暗号化を実行するための第３者の信頼を受けたプラットフォームのカプセル化鍵が取得できないことが確保される。すなわち、ユーザにより許可された仮想マシン又はアプリケーションプログラムのみが、ユーザの仮想マシン内の仮想記憶データにアクセスすることができる。セキュリティ制御プラットフォームは、ユーザにより許可されていない１つ以上の他の仮想マシン及びアプリケーションプログラムによるユーザの仮想マシン内の仮想記憶データへのアクセスを制限してもよい。このことは、保護されたユーザの仮想マシン内の仮想記憶データのセキュリティを確保し、仮想マシンでの管理制御のセキュリティを向上させ、これにより、クラウドコンピューティングプラットフォームのセキュリティも向上させる。
【００７６】
更に、この実施例のセキュリティ制御プラットフォームは、全てのオペレーティングシステム又はアプリケーションをサポートし、クラウド内の複数のテナントの適用事例に当てはまり、仮想マシン間のデータ送信漏洩を効果的に制御することができる。
【００７７】
図５は、本発明の他の実施例によるセキュリティ制御プラットフォームの概略構成図である。図５に示すように、セキュリティ制御プラットフォームは、管理プラットフォームにより転送されたユーザ装置からの仮想マシン開始要求メッセージを受信するように構成された受信モジュール51であり、仮想マシン開始要求メッセージは、使用可能になる必要がある仮想マシンの識別子及びユーザ情報を含む受信モジュール51と、受信モジュールがユーザ装置からの仮想マシン開始要求メッセージを受信したことに基づいて、仮想マシン開始要求メッセージが許可されたユーザの命令に従ってユーザ装置により開始されたことを決定するために、第３者の信頼を受けたプラットフォームを呼び出すように構成された決定モジュール52と、仮想マシン開始要求メッセージが許可されたユーザの命令に従ってユーザ装置により開始されたことを決定モジュールが決定したことに基づいて、ユーザ情報が成功して認証された後に、使用可能になる必要がある仮想マシンをカプセル化解除するために、第３者の信頼を受けたプラットフォームを呼び出すように構成されたカプセル化解除モジュール53とを含む。
【００７８】
本発明の実現方式では、決定モジュール52は、仮想マシン開始要求メッセージが許可されたユーザのために第３者の信頼を受けたプラットフォームにより提供された鍵を使用することにより暗号化されていることが決定された場合、仮想マシン開始要求メッセージが許可されたユーザの命令に従ってユーザ装置により開始されたことを決定し、仮想マシン開始要求メッセージを解読するために、許可されたユーザのために第３者の信頼を受けたプラットフォームにより提供された鍵を呼び出すように特に構成される。
【００７９】
本発明の実現方式では、決定モジュール52は、仮想マシン開始要求メッセージが第３者の信頼を受けたプラットフォームの公開鍵を使用することにより暗号化されていることが決定された場合、仮想マシン開始要求メッセージを解読するために、第３者の信頼を受けたプラットフォームの公開鍵を呼び出し、仮想マシン開始要求メッセージのデジタル署名情報を取得し、取得されたデジタル署名情報がセキュリティ制御プラットフォームに事前に格納された許可されたユーザのデジタル署名情報に一致することが決定された場合、仮想マシン開始要求メッセージが許可されたユーザの命令に従ってユーザ装置により開始されたことを決定するように特に構成される。
【００８０】
本発明の実現方式では、決定モジュール52は、第３者の信頼を受けたプラットフォームの鍵を使用することにより暗号化されたデータを生成するために、第３者の信頼を受けたプラットフォームを呼び出し、ユーザ装置が許可されたユーザのために第３者の信頼を受けたプラットフォームにより提供された秘密鍵を使用することにより暗号化されたデータを解読し、解読されたデータをセキュリティ制御プラットフォームに戻すため、管理プラットフォームを使用することにより、暗号化されたデータをユーザ装置に送信し、解読されたデータが暗号化されたデータと同じであることが決定された場合、仮想マシン開始要求メッセージが許可されたユーザの命令に従ってユーザ装置により開始されたことを決定するように特に構成される。
【００８１】
図６は、図５に示す実施例によるセキュリティ制御プラットフォームの他の概略構成図である。図６に示すように、セキュリティ制御プラットフォームは、仮想マシンでインテグリティチェックを実行するために、第３者の信頼を受けたプラットフォームを呼び出すように構成されたチェックモジュール54と、チェックモジュールが仮想マシンでインテグリティチェックを実行したことに基づいて、インテグリティチェック値がセキュリティ制御プラットフォームに格納された仮想マシンのインテグリティチェック値に一致しない場合、使用可能になる必要がある仮想マシンをカプセル化解除するカプセル化解除モジュールの使用可能を制限するように構成された使用可能制限モジュール55と、チェックモジュールが仮想マシンでインテグリティチェックを実行したことに基づいて、インテグリティチェック値がセキュリティ制御プラットフォームに格納された仮想マシンのインテグリティチェック値に一致する場合、使用可能になる必要がある仮想マシンをカプセル化解除するカプセル化解除モジュールを使用可能にするように構成された使用可能モジュール56とを更に含む。
【００８２】
図７は、図５に示す実施例によるセキュリティ制御プラットフォームの他の概略構成図である。図７に示すように、セキュリティ制御プラットフォームは、仮想マシンモニタを使用することにより、新たなアプリケーションプログラムが仮想マシンにインストールされたことを検出するように構成された監視モジュール57を更に含む。
【００８３】
本発明の実現方式では、チェックモジュール54は、新たなアプリケーションプログラムが仮想マシンにインストールされたことを監視モジュールが検出したことに基づいて、新たなアプリケーションプログラムが許可されたユーザの命令に従ってユーザ装置によりインストールされたことが決定された場合、仮想マシンでインテグリティチェックを実行するために、第３者の信頼を受けたプラットフォームを呼び出し、セキュリティ制御プラットフォームに格納された仮想マシンのインテグリティチェック値を更新するように更に構成される。
【００８４】
本発明の実現方式では、受信モジュール51は、管理プラットフォームにより送信された仮想マシンインテグリティチェック要求メッセージを受信するように更に構成され、仮想マシンインテグリティチェック要求メッセージは、ユーザ装置により管理プラットフォームに送信され、仮想マシンインテグリティチェック要求メッセージは、インテグリティチェックを必要とする仮想マシンの識別子を含む。
【００８５】
本発明の実現方式では、チェックモジュール54は、受信モジュールにより受信された仮想マシンインテグリティチェック要求メッセージに基づいて、仮想マシンでインテグリティチェックを実行するために、第３者の信頼を受けたプラットフォームを呼び出すように更に構成される。
【００８６】
本発明の実現方式では、セキュリティ制御プラットフォームは、チェックモジュールが仮想マシンでインテグリティチェックを実行したことに基づいて、インテグリティチェック値とセキュリティ制御プラットフォームに格納された仮想マシンのインテグリティチェック値とを比較し、管理プラットフォームがインテグリティチェック値比較結果をユーザ装置に送信するため、インテグリティチェック値比較結果を管理プラットフォームに送信するように構成された比較モジュール58を更に含む。
【００８７】
本発明の実現方式では、監視モジュール57は、仮想マシンモニタを使用することにより、仮想マシン内の仮想記憶データについての１つ以上の他の仮想マシンのアクセス要求を検出し、アクセス要求を開始した１つ以上の他の仮想マシンの識別子とアプリケーションプログラムの識別子とを取得するように更に構成され、カプセル化解除モジュール53は、監視モジュールが仮想マシン内の仮想記憶データについての１つ以上の他の仮想マシンのアクセス要求を検出したことに基づいて、仮想マシンのアクセス制御ポリシーテーブルのエントリが取得された１つ以上の他の仮想マシンの識別子とアプリケーションプログラムの識別子とを含むことが決定された場合、仮想マシン内の仮想記憶データを解読するために、第３者の信頼を受けたプラットフォームを呼び出し、解読された仮想記憶データを、アクセス要求を開始した１つ以上の他の仮想マシンに送信するように更に構成される。
【００８８】
本発明の実現方式では、前述の仮想マシン開始要求メッセージが、使用可能になる必要がある仮想マシンのためのカプセル化鍵を更に含む場合、カプセル化解除モジュール53は、受信モジュールにより受信された仮想マシン開始要求メッセージに基づいて、仮想マシン開始要求メッセージに含まれるカプセル化鍵を使用することにより、仮想マシンの識別子に対応する仮想マシンをカプセル化解除するように更に構成される。
【００８９】
セキュリティ制御プラットフォームは、信頼を受けたサービスドメイン（TSD）を含み、第３者の信頼を受けたプラットフォームは、信頼を受けたプラットフォームモジュール（TPM）と、信頼を受けた暗号化モジュール（TCM）とを含む。
【００９０】
前述の仮想マシン内の仮想記憶データは、仮想マシンの仮想メモリに格納されたデータと、仮想マシン内のメモリのデータとを含む。
【００９１】
本発明のこの実施例では、セキュリティ制御プラットフォームが保護されたユーザの仮想マシン内の仮想記憶データについて１つ以上の他の仮想マシン及び１つ以上の他の仮想マシンのアプリケーションプログラムのアクセス要求を検出したときに、ユーザの仮想マシンに対応するアクセス制御ポリシーテーブルがアクセス要求を開始した１つ以上の他の仮想マシンの識別子及び１つ以上の他の仮想マシンのアプリケーションプログラムの識別子を含むことが決定された場合、セキュリティ制御プラットフォームは、ユーザの仮想マシン内の仮想記憶データを解読するために、第３者の信頼を受けたプラットフォームを呼び出し、アクセス要求を開始した１つ以上の他の仮想マシンに解読されたデータを送信する。従って、他のユーザ装置（管理プラットフォームを含む）がユーザの仮想マシン内の仮想記憶データでカプセル化及び暗号化を実行するための第３者の信頼を受けたプラットフォームのカプセル化鍵が取得できないことが確保される。すなわち、ユーザにより許可された仮想マシン又はアプリケーションプログラムのみが、ユーザの仮想マシン内の仮想記憶データにアクセスすることができる。セキュリティ制御プラットフォームは、ユーザにより許可されていない１つ以上の他の仮想マシン及びアプリケーションプログラムによるユーザの仮想マシン内の仮想記憶データへのアクセスを制限してもよい。このことは、保護されたユーザの仮想マシン内の仮想記憶データのセキュリティを確保し、仮想マシンでの管理制御のセキュリティを向上させ、これにより、クラウドコンピューティングプラットフォームのセキュリティも向上させる。
【００９２】
更に、この実施例のセキュリティ制御プラットフォームは、全てのオペレーティングシステム又はアプリケーションをサポートし、クラウド内の複数のテナントの適用事例に当てはまり、仮想マシン間のデータ送信漏洩を効果的に制御することができる。
【００９３】
本発明の他の実施例は、プロセッサを含むセキュリティ制御プラットフォームを提供し、プロセッサは、実行中に、管理プラットフォームにより転送されたユーザ装置からの仮想マシン開始要求メッセージを受信するステップであり、仮想マシン開始要求メッセージは、使用可能になる必要がある仮想マシンの識別子及びユーザ情報を含むステップと、仮想マシン開始要求メッセージが許可されたユーザの命令に従ってユーザ装置により開始されたことを決定するために、第３者の信頼を受けたプラットフォームを呼び出すステップと、ユーザ情報が成功して認証された後に、使用可能になる必要がある仮想マシンをカプセル化解除するために、第３者の信頼を受けたプラットフォームを呼び出すステップとを実行する。
【００９４】
第１の可能な実現方式では、プロセッサは、仮想マシン開始要求メッセージが許可されたユーザのために第３者の信頼を受けたプラットフォームにより提供された鍵を使用することにより暗号化されていることが決定された場合、仮想マシン開始要求メッセージが許可されたユーザの命令に従ってユーザ装置により開始されたことを決定し、仮想マシン開始要求メッセージを解読するために、許可されたユーザのために第３者の信頼を受けたプラットフォームにより提供された鍵を呼び出すステップを更に実行する。
【００９５】
第２の可能な実現方式では、プロセッサは、仮想マシン開始要求メッセージが第３者の信頼を受けたプラットフォームの公開鍵を使用することにより暗号化されていることが決定された場合、仮想マシン開始要求メッセージを解読するために、第３者の信頼を受けたプラットフォームの公開鍵を呼び出し、仮想マシン開始要求メッセージのデジタル署名情報を取得し、取得されたデジタル署名情報がセキュリティ制御プラットフォームに事前に格納された許可されたユーザのデジタル署名情報に一致することが決定された場合、仮想マシン開始要求メッセージが許可されたユーザの命令に従ってユーザ装置により開始されたことを決定するステップを更に実行する。
【００９６】
第３の可能な実現方式では、プロセッサは、第３者の信頼を受けたプラットフォームの鍵を使用することにより暗号化されたデータを生成するために、第３者の信頼を受けたプラットフォームを呼び出し、ユーザ装置が許可されたユーザのために第３者の信頼を受けたプラットフォームにより提供された秘密鍵を使用することにより暗号化されたデータを解読し、解読されたデータをセキュリティ制御プラットフォームに戻すため、管理プラットフォームを使用することにより、暗号化されたデータをユーザ装置に送信し、解読されたデータが暗号化されたデータと同じであることが決定された場合、仮想マシン開始要求メッセージが許可されたユーザの命令に従ってユーザ装置により開始されたことを決定するステップを更に実行する。
【００９７】
第１、第２及び第３の可能な実現方式に基づいて、第４の可能な実現方式では、プロセッサは、仮想マシンでインテグリティチェックを実行するために、第３者の信頼を受けたプラットフォームを呼び出すステップと、インテグリティチェック値がセキュリティ制御プラットフォームに格納された仮想マシンのインテグリティチェック値に一致しない場合、仮想マシンの使用可能を制限し、或いは、インテグリティチェック値がセキュリティ制御プラットフォームに格納された仮想マシンのインテグリティチェック値に一致する場合、仮想マシンを使用可能にするステップとを更に実行する。
【００９８】
第１、第２及び第３の可能な実現方式に基づいて、第５の可能な実現方式では、プロセッサは、仮想マシンモニタを使用することにより、新たなアプリケーションプログラムが仮想マシンにインストールされたことを検出し、新たなアプリケーションプログラムの識別子を取得するステップと、新たなアプリケーションプログラムが許可されたユーザの命令に従ってユーザ装置によりインストールされたことが決定された場合、仮想マシンでインテグリティチェックを実行するために、第３者の信頼を受けたプラットフォームを呼び出し、セキュリティ制御プラットフォームに格納された仮想マシンのインテグリティチェック値を更新するステップとを更に実行する。
【００９９】
第１、第２及び第３の可能な実現方式に基づいて、第６の可能な実現方式では、プロセッサは、管理プラットフォームにより送信された仮想マシンインテグリティチェック要求メッセージを受信するステップであり、仮想マシンインテグリティチェック要求メッセージは、ユーザ装置により管理プラットフォームに送信され、仮想マシンインテグリティチェック要求メッセージは、インテグリティチェックを必要とする仮想マシンの識別子を含むステップと、仮想マシンでインテグリティチェックを実行するために、第３者の信頼を受けたプラットフォームを呼び出すステップと、インテグリティチェック値とセキュリティ制御プラットフォームに格納された仮想マシンのインテグリティチェック値とを比較するステップと、管理プラットフォームがインテグリティチェック値比較結果をユーザ装置に送信するため、インテグリティチェック値比較結果を管理プラットフォームに送信するステップとを更に実行する。
【０１００】
第１、第２及び第３の可能な実現方式に基づいて、第７の可能な実現方式では、プロセッサは、仮想マシンモニタを使用することにより、仮想マシン内の仮想記憶データについての１つ以上の他の仮想マシンのアクセス要求を検出し、アクセス要求を開始した１つ以上の他の仮想マシンの識別子とアプリケーションプログラムの識別子とを取得するステップと、仮想マシンのアクセス制御ポリシーテーブルのエントリが取得された１つ以上の他の仮想マシンの識別子とアプリケーションプログラムの識別子とを含むことが決定された場合、仮想マシン内の仮想記憶データを解読するために、第３者の信頼を受けたプラットフォームを呼び出し、解読された仮想記憶データを、アクセス要求を開始した１つ以上の他の仮想マシンに送信するステップとを更に実行する。
【０１０１】
第８の可能な実現方式では、仮想マシン開始要求メッセージは、使用可能になる必要がある仮想マシンのためのカプセル化鍵を更に含み、プロセッサは、仮想マシン開始要求メッセージに含まれるカプセル化鍵を使用することにより、仮想マシンの識別子に対応する仮想マシンをカプセル化解除するステップを更に実行する。
【０１０２】
本発明のこの実施例では、セキュリティ制御プラットフォームが保護されたユーザの仮想マシン内の仮想記憶データについて１つ以上の他の仮想マシン及び１つ以上の他の仮想マシンのアプリケーションプログラムのアクセス要求を検出したときに、ユーザの仮想マシンに対応するアクセス制御ポリシーテーブルがアクセス要求を開始した１つ以上の他の仮想マシンの識別子及び１つ以上の他の仮想マシンのアプリケーションプログラムの識別子を含むことが決定された場合、セキュリティ制御プラットフォームは、ユーザの仮想マシン内の仮想記憶データを解読するために、第３者の信頼を受けたプラットフォームを呼び出し、アクセス要求を開始した１つ以上の他の仮想マシンに解読されたデータを送信する。従って、他のユーザ装置（管理プラットフォームを含む）がユーザの仮想マシン内の仮想記憶データでカプセル化及び暗号化を実行するための第３者の信頼を受けたプラットフォームのカプセル化鍵が取得できないことが確保される。すなわち、ユーザにより許可された仮想マシン又はアプリケーションプログラムのみが、ユーザの仮想マシン内の仮想記憶データにアクセスすることができる。セキュリティ制御プラットフォームは、ユーザにより許可されていない１つ以上の他の仮想マシン及びアプリケーションプログラムによるユーザの仮想マシン内の仮想記憶データへのアクセスを制限してもよい。このことは、保護されたユーザの仮想マシン内の仮想記憶データのセキュリティを確保し、仮想マシンでの管理制御のセキュリティを向上させ、これにより、クラウドコンピューティングプラットフォームのセキュリティも向上させる。
【０１０３】
特に、プロセッサに加えて、セキュリティ制御プラットフォームは、メモリと、通信インタフェースと、通信バスとを更に含み、プロセッサは、通信バスを使用することによりメモリに接続され、セキュリティ制御プラットフォームは、通信インタフェースを使用することにより他のネットワークエレメントと通信する。
【０１０４】
更に、この実施例のセキュリティ制御プラットフォームは、全てのオペレーティングシステム又はアプリケーションをサポートし、クラウド内の複数のテナントの適用事例に当てはまり、仮想マシン間のデータ送信漏洩を効果的に制御することができる。
【０１０５】
本発明の他の実施例は、仮想マシンのための管理制御システムを更に提供し、前述の図５〜図７のいずれか１つに示す実施例のセキュリティ制御プラットフォームを含む。セキュリティ制御プラットフォームの詳細な内容については、図５〜７のいずれか１つに示す実施例の関係する説明を参照し、詳細は再び説明しない。
【０１０６】
便宜的及び簡潔な説明の目的で、前述のシステム、装置及びユニットの詳細な動作処理については、前述の方法の実施例の対応する処理に参照が行われてもよいことが、当業者により明確に分かる。詳細はここでは再び説明しない。
【０１０７】
この出願で提供される複数の実施例では、開示のシステム、装置及び方法は、他の方式で実施されてもよいことが分かる。例えば、記載の装置の実施例は、単なる例である。例えば、ユニットの分割は、単に論理的な機能分割であり、実際の実現では他の分割でもよい。例えば、複数のユニット又はコンポーネントは結合されてもよく、他のシステムに統合されてもよく、いくつかの機能が無視されてもよく実行されなくてもよい。更に、表示又は説明した相互結合若しくは直接結合又は通信接続は、いくつかのインタフェースを通じて実現されてもよい。装置又はユニットの間の間接結合又は通信接続は、電気的、機械的又は他の形式で実現されてもよい。
【０１０８】
別々のユニットとして記載したユニットは、物理的に別々でもよく別々でなくてもよい。ユニットとして表示された部分は、物理的なユニットでもよく物理的なユニットでなくてもよく、１つの位置に存在してもよく、複数のネットワークユニットに分散されてもよい。ユニットの一部又は全部は、実施例の対策の目的を実現するために、実際のニーズに従って選択されてもよい。
【０１０９】
更に、本発明の実施例における機能ユニットは、１つの処理ユニットに統合されてもよく、ユニットのそれぞれが物理的に単独で存在してもよく、２つ以上のユニットが１つのユニットに統合されてもよい。統合されたユニットは、ハードウェアの形式で実現されてもよく、ソフトウェアの機能ユニットに加えてハードウェアの形式で実現されてもよい。
【０１１０】
前述の統合されたユニットがソフトウェア機能ユニットの形式で実現される場合、統合されたユニットは、コンピュータ読み取り可能記憶媒体に記憶されてもよい。ソフトウェア機能ユニットは、記憶媒体に格納され、コンピュータデバイス（パーソナルコンピュータ、サーバ又はネットワークデバイスでもよい）に対して本発明の実施例に記載の方法のステップの一部又は全部を実行するように命令する複数の命令を含む。前述の記憶媒体は、USBフラッシュドライブ、取り外し可能ハードディスク、読み取り専用メモリ（Read-Only  Memory、略してROM）、ランダムアクセスメモリ（Random  Access  Memory、略してRAM）、磁気ディスク又は光ディスクのようなプログラムコードを記憶し得るいずれかの媒体を含む。
最後に、前述の実施例は、本発明の技術的対策を単に意図するものであり、本発明を限定することを意図するものではない。前述の実施例を参照して本発明について詳細に説明したが、当業者は、本発明の実施例の技術的対策の要旨及び範囲を逸脱することなく、前述の記載の技術的対策に依然として変更を行うこと、そのいくつかの技術的特徴に等価置換を行うことができることが分かる。
【図１】
2016506107.tif 000005
【図２】
2016506107.tif 000006
【図３】
2016506107.tif 000007
【図４】
2016506107.tif 000008
【図５】
2016506107.tif 000009
【図６】
2016506107.tif 000010
【図７】
2016506107.tif 000011
【手続補正書】
【提出日】平成27年6月23日(2015.6.23)
【手続補正１】
【補正対象書類名】特許請求の範囲
【補正対象項目名】全文
【補正方法】変更
【補正の内容】
【特許請求の範囲】
【請求項１】
仮想マシンのための管理制御方法であって、
セキュリティ制御プラットフォームにより、管理プラットフォームにより転送されたユーザ装置からの仮想マシン開始要求メッセージを受信するステップであり、前記仮想マシン開始要求メッセージは、使用可能になる必要がある仮想マシンの識別子及びユーザ情報を有するステップと、
前記仮想マシン開始要求メッセージが許可されたユーザの命令に従って前記ユーザ装置により開始されたことを決定するために、第３者の信頼を受けたプラットフォームを呼び出すステップと、
前記ユーザ情報で認証を実行し、成功した認証に基づいて、使用可能になる必要がある前記仮想マシンをカプセル化解除するために、前記第３者の信頼を受けたプラットフォームを呼び出すステップと
を有する管理制御方法。
【請求項２】
前記仮想マシン開始要求メッセージが許可されたユーザの命令に従って前記ユーザ装置により開始されたことを決定するために、第３者の信頼を受けたプラットフォームを呼び出すステップは、
前記仮想マシン開始要求メッセージが前記許可されたユーザのために前記第３者の信頼を受けたプラットフォームにより提供された鍵を使用することにより暗号化されていることが決定された場合、前記仮想マシン開始要求メッセージが前記許可されたユーザの前記命令に従って前記ユーザ装置により開始されたことを決定し、前記仮想マシン開始要求メッセージを解読するために、前記許可されたユーザのために前記第３者の信頼を受けたプラットフォームにより提供された前記鍵を呼び出すステップを有する、請求項１に記載の方法。
【請求項３】
前記仮想マシン開始要求メッセージが許可されたユーザの命令に従って前記ユーザ装置により開始されたことを決定するために、第３者の信頼を受けたプラットフォームを呼び出すステップは、
前記仮想マシン開始要求メッセージが前記第３者の信頼を受けたプラットフォームの公開鍵を使用することにより暗号化されていることが決定された場合、前記仮想マシン開始要求メッセージを解読するために、前記第３者の信頼を受けたプラットフォームの前記公開鍵を呼び出すステップと、
前記仮想マシン開始要求メッセージのデジタル署名情報を取得し、前記取得されたデジタル署名情報が前記セキュリティ制御プラットフォームに事前に格納された前記許可されたユーザのデジタル署名情報に一致することが決定された場合、前記仮想マシン開始要求メッセージが前記許可されたユーザの前記命令に従って前記ユーザ装置により開始されたことを決定するステップと
を有する、請求項１に記載の方法。
【請求項４】
前記仮想マシン開始要求メッセージが許可されたユーザの命令に従って前記ユーザ装置により開始されたことを決定するために、第３者の信頼を受けたプラットフォームを呼び出すステップは、
前記セキュリティ制御プラットフォームにより、前記第３者の信頼を受けたプラットフォームの鍵を使用することにより暗号化されたデータを生成するために、前記第３者の信頼を受けたプラットフォームを呼び出すステップと、
前記ユーザ装置が前記許可されたユーザのために前記第３者の信頼を受けたプラットフォームにより提供された秘密鍵を使用することにより前記暗号化されたデータを解読し、解読されたデータを前記セキュリティ制御プラットフォームに戻すため、前記管理プラットフォームを使用することにより、前記暗号化されたデータを前記ユーザ装置に送信するステップと、
前記解読されたデータが前記暗号化されたデータと同じであることが決定された場合、前記仮想マシン開始要求メッセージが前記許可されたユーザの前記命令に従って前記ユーザ装置により開始されたことを決定するステップと
を有する、請求項１に記載の方法。
【請求項５】
使用可能になる必要がある前記仮想マシンをカプセル化解除するために、前記第３者の信頼を受けたプラットフォームを呼び出した後に、
前記セキュリティ制御プラットフォームにより、前記仮想マシンでインテグリティチェックを実行するために、前記第３者の信頼を受けたプラットフォームを呼び出すステップと、
前記仮想マシンでの前記インテグリティチェックのインテグリティチェック値が前記セキュリティ制御プラットフォームに格納された前記仮想マシンのインテグリティチェック値に一致しない場合、前記仮想マシンの使用可能を制限するステップと、
前記仮想マシンでの前記インテグリティチェックのインテグリティチェック値が前記セキュリティ制御プラットフォームに格納された前記仮想マシンのインテグリティチェック値に一致する場合、前記仮想マシンを使用可能にするステップと
を有する、請求項１ないし４のうちいずれか１項に記載の方法。
【請求項６】
使用可能になる必要がある前記仮想マシンをカプセル化解除するために、前記第３者の信頼を受けたプラットフォームを呼び出した後に、
前記セキュリティ制御プラットフォームにより、仮想マシンモニタを使用することにより、新たなアプリケーションプログラムが前記仮想マシンにインストールされたことを検出するステップと、
前記新たなアプリケーションプログラムが前記許可されたユーザの命令に従って前記ユーザ装置によりインストールされたことを決定するステップと、
前記仮想マシンでインテグリティチェックを実行するために、前記第３者の信頼を受けたプラットフォームを呼び出し、前記セキュリティ制御プラットフォームに格納された前記仮想マシンのインテグリティチェック値を更新するステップと
を有する、請求項１ないし４のうちいずれか１項に記載の方法。
【請求項７】
使用可能になる必要がある前記仮想マシンをカプセル化解除するために、前記第３者の信頼を受けたプラットフォームを呼び出した後に、
前記セキュリティ制御プラットフォームにより、前記管理プラットフォームにより送信された仮想マシンインテグリティチェック要求メッセージを受信するステップであり、前記仮想マシンインテグリティチェック要求メッセージは、前記ユーザ装置により前記管理プラットフォームに送信され、前記仮想マシンインテグリティチェック要求メッセージは、インテグリティチェックを必要とする前記仮想マシンの識別子を有するステップと、
前記仮想マシンでインテグリティチェックを実行するために、前記第３者の信頼を受けたプラットフォームを呼び出すステップと、
前記仮想マシンでの前記インテグリティチェックのインテグリティチェック値と前記セキュリティ制御プラットフォームに格納された前記仮想マシンのインテグリティチェック値とを比較するステップと、
前記管理プラットフォームがインテグリティチェック値比較結果を前記ユーザ装置に送信するため、インテグリティチェック値比較結果を前記管理プラットフォームに送信するステップと
を有する、請求項１ないし４のうちいずれか１項に記載の方法。
【請求項８】
使用可能になる必要がある前記仮想マシンをカプセル化解除するために、前記第３者の信頼を受けたプラットフォームを呼び出した後に、
前記セキュリティ制御プラットフォームにより、仮想マシンモニタを使用することにより、前記仮想マシン内の仮想記憶データについての１つ以上の他の仮想マシンのアクセス要求を検出し、前記アクセス要求を開始した前記１つ以上の他の仮想マシンの識別子とアプリケーションプログラムの識別子とを取得するステップと、
前記仮想マシンのアクセス制御ポリシーテーブルのエントリが取得された前記１つ以上の他の仮想マシンの前記識別子と前記アプリケーションプログラムの前記識別子とを有することが決定された場合、前記仮想マシン内の前記仮想記憶データを解読するために、前記第３者の信頼を受けたプラットフォームを呼び出すステップと、
解読された仮想記憶データを、前記アクセス要求を開始した前記１つ以上の他の仮想マシンに送信するステップと
を有する、請求項５ないし７のうちいずれか１項に記載の方法。
【請求項９】
前記仮想マシン開始要求メッセージは、使用可能になる必要がある前記仮想マシンのためのカプセル化鍵を更に有し、
前記ユーザ情報で認証を実行した後に、成功した認証に基づいて、
前記セキュリティ制御プラットフォームにより、使用可能になる必要がある前記仮想マシンのための、前記仮想マシン開始要求メッセージに含まれる前記カプセル化鍵を使用することにより、前記仮想マシンの前記識別子に対応する前記仮想マシンをカプセル化解除するステップを有する、請求項８に記載の方法。
【請求項１０】
前記セキュリティ制御プラットフォームは、信頼を受けたサービスドメイン（TSD）を有し、前記第３者の信頼を受けたプラットフォームは、信頼を受けたプラットフォームモジュール（TPM）と、信頼を受けた暗号化モジュール（TCM）とを有する、請求項１ないし９のうちいずれか１項に記載の方法。
【請求項１１】
管理プラットフォームにより転送されたユーザ装置からの仮想マシン開始要求メッセージを受信するように構成された受信モジュールであり、前記仮想マシン開始要求メッセージは、使用可能になる必要がある仮想マシンの識別子及びユーザ情報を有する受信モジュールと、
前記受信モジュールがユーザ端末からの前記仮想マシン開始要求メッセージを受信したことに基づいて、前記仮想マシン開始要求メッセージが許可されたユーザの命令に従って前記ユーザ装置により開始されたことを決定するために、第３者の信頼を受けたプラットフォームを呼び出すように構成された決定モジュールと、
前記仮想マシン開始要求メッセージが前記許可されたユーザの前記命令に従って前記ユーザ装置により開始されたことを前記決定モジュールが決定したことに基づいて、前記ユーザ情報が成功して認証された後に、使用可能になる必要がある前記仮想マシンをカプセル化解除するために、前記第３者の信頼を受けたプラットフォームを呼び出すように構成されたカプセル化解除モジュールと
を有するセキュリティ制御プラットフォーム。
【請求項１２】
前記決定モジュールは、前記許可されたユーザのために前記第３者の信頼を受けたプラットフォームにより提供された鍵を使用することにより暗号化されていることが決定された場合、前記仮想マシン開始要求メッセージが前記許可されたユーザの前記命令に従って前記ユーザ装置により開始されたことを決定し、前記仮想マシン開始要求メッセージを解読するために、前記許可されたユーザのために前記第３者の信頼を受けたプラットフォームにより提供された前記鍵を呼び出すように構成される、請求項１１に記載のセキュリティ制御プラットフォーム。
【請求項１３】
前記決定モジュールは、前記仮想マシン開始要求メッセージが前記第３者の信頼を受けたプラットフォームの公開鍵を使用することにより暗号化されていることが決定された場合、前記仮想マシン開始要求メッセージを解読するために、前記第３者の信頼を受けたプラットフォームの前記公開鍵を呼び出し、前記仮想マシン開始要求メッセージのデジタル署名情報を取得し、前記取得されたデジタル署名情報が前記セキュリティ制御プラットフォームに事前に格納された前記許可されたユーザのデジタル署名情報に一致することが決定された場合、前記仮想マシン開始要求メッセージが前記許可されたユーザの前記命令に従って前記ユーザ装置により開始されたことを決定するように構成される、請求項１１に記載のセキュリティ制御プラットフォーム。
【請求項１４】
前記決定モジュールは、前記第３者の信頼を受けたプラットフォームの鍵を使用することにより暗号化されたデータを生成するために、前記第３者の信頼を受けたプラットフォームを呼び出し、前記ユーザ装置が前記許可されたユーザのために前記第３者の信頼を受けたプラットフォームにより提供された秘密鍵を使用することにより前記暗号化されたデータを解読し、解読されたデータを前記セキュリティ制御プラットフォームに戻すため、前記管理プラットフォームを使用することにより、前記暗号化されたデータを前記ユーザ装置に送信し、前記解読されたデータが前記暗号化されたデータと同じであることが決定された場合、前記仮想マシン開始要求メッセージが前記許可されたユーザの前記命令に従って前記ユーザ装置により開始されたことを決定するように構成される、請求項１１に記載のセキュリティ制御プラットフォーム。
【請求項１５】
前記仮想マシンでインテグリティチェックを実行するために、前記第３者の信頼を受けたプラットフォームを呼び出すように構成されたチェックモジュールと、
前記チェックモジュールが前記仮想マシンでインテグリティチェックを実行したことに基づいて、前記仮想マシンでの前記インテグリティチェックのインテグリティチェック値が前記セキュリティ制御プラットフォームに格納された前記仮想マシンのインテグリティチェック値に一致しない場合、前記仮想マシンの使用可能を制限するように構成された使用可能制限モジュールと、
前記チェックモジュールが前記仮想マシンでインテグリティチェックを実行したことに基づいて、前記仮想マシンでの前記インテグリティチェックのインテグリティチェック値が前記セキュリティ制御プラットフォームに格納された前記仮想マシンのインテグリティチェック値に一致する場合、前記仮想マシンを使用可能にするように構成された使用可能モジュールと
を更に有する、請求項１１ないし１４のうちいずれか１項に記載のセキュリティ制御プラットフォーム。
【請求項１６】
仮想マシンモニタを使用することにより、新たなアプリケーションプログラムが前記仮想マシンにインストールされたことを検出するように構成された監視モジュールと、
前記新たなアプリケーションプログラムが前記仮想マシンにインストールされたことを前記監視モジュールが検出したことに基づいて、前記新たなアプリケーションプログラムが前記許可されたユーザの命令に従って前記ユーザ装置によりインストールされた場合、前記仮想マシンでインテグリティチェックを実行するために、前記第３者の信頼を受けたプラットフォームを呼び出し、前記セキュリティ制御プラットフォームに格納された前記仮想マシンのインテグリティチェック値を更新するように構成されたチェックモジュールと
を更に有する、請求項１１ないし１４のうちいずれか１項に記載のセキュリティ制御プラットフォーム。
【請求項１７】
前記受信モジュールは、前記管理プラットフォームにより送信された仮想マシンインテグリティチェック要求メッセージを受信するように更に構成され、前記仮想マシンインテグリティチェック要求メッセージは、前記ユーザ装置により前記管理プラットフォームに送信され、前記仮想マシンインテグリティチェック要求メッセージは、インテグリティチェックを必要とする前記仮想マシンの識別子を有し、
前記セキュリティ制御プラットフォームは、
前記受信モジュールにより受信された前記仮想マシンインテグリティチェック要求メッセージに基づいて、前記仮想マシンでインテグリティチェックを実行するために、前記第３者の信頼を受けたプラットフォームを呼び出すように構成されたチェックモジュールと、
前記チェックモジュールが前記仮想マシンでインテグリティチェックを実行したことに基づいて、前記仮想マシンでの前記インテグリティチェックのインテグリティチェック値と前記セキュリティ制御プラットフォームに格納された前記仮想マシンのインテグリティチェック値とを比較し、前記管理プラットフォームがインテグリティチェック値比較結果を前記ユーザ装置に送信するため、インテグリティチェック値比較結果を前記管理プラットフォームに送信するように構成された比較モジュールと
を更に有する、請求項１１ないし１４のうちいずれか１項に記載のセキュリティ制御プラットフォーム。
【請求項１８】
前記監視モジュールは、仮想マシンモニタを使用することにより、前記仮想マシン内の仮想記憶データについての１つ以上の他の仮想マシンのアクセス要求を検出し、前記アクセス要求を開始した前記１つ以上の他の仮想マシンの識別子とアプリケーションプログラムの識別子とを取得するように更に構成され、
前記カプセル化解除モジュールは、前記監視モジュールが前記仮想マシン内の前記仮想記憶データについての前記１つ以上の他の仮想マシンの前記アクセス要求を検出したことに基づいて、前記仮想マシンのアクセス制御ポリシーテーブルのエントリが取得された前記１つ以上の他の仮想マシンの前記識別子と前記アプリケーションプログラムの前記識別子とを有することが決定された場合、前記仮想マシン内の前記仮想記憶データを解読するために、前記第３者の信頼を受けたプラットフォームを呼び出し、解読された仮想記憶データを、前記アクセス要求を開始した前記１つ以上の他の仮想マシンに送信するように更に構成される、請求項１６に記載のセキュリティ制御プラットフォーム。
【請求項１９】
前記仮想マシン開始要求メッセージは、使用可能になる必要がある前記仮想マシンのためのカプセル化鍵を更に有し、
前記カプセル化解除モジュールは、前記受信モジュールにより受信された前記仮想マシン開始要求メッセージに基づいて、使用可能になる必要がある前記仮想マシンのための、前記仮想マシン開始要求メッセージに含まれる前記カプセル化鍵を使用することにより、前記仮想マシンの前記識別子に対応する前記仮想マシンをカプセル化解除するように更に構成される、請求項１８に記載のセキュリティ制御プラットフォーム。
【請求項２０】
前記セキュリティ制御プラットフォームは、信頼を受けたサービスドメイン（TSD）を有する、請求項１１ないし１９のうちいずれか１項に記載のセキュリティ制御プラットフォーム。
【請求項２１】
仮想マシンのための管理制御システムであって、
請求項１１ないし２０のうちいずれか１項に記載のセキュリティ制御プラットフォームを有する管理制御システム。
【手続補正２】
【補正対象書類名】明細書
【補正対象項目名】００３１
【補正方法】変更
【補正の内容】
【００３１】
管理プラットフォーム（Manage  Domain）は、他の仮想マシンのマネージャ及びコントローラである。これは、特権を受けた仮想マシンであり、入力／出力リソースを動作させる特権を有し、物理的なハーウェアに直接アクセスすることができ、他のユーザの仮想マシン（Virtual  Machine、VM）の管理を実現するために、管理システムの管理命令を受信して仮想マシンモニタにより提供されるアプリケーションプログラミングインタフェース（Application  Programming  Interface、API）と相互作用する役目をする。
【手続補正３】
【補正対象書類名】明細書
【補正対象項目名】００３６
【補正方法】変更
【補正の内容】
【００３６】
本発明の任意選択の実現方式では、仮想マシンの使用可能が安全であり信頼できることを確保するために、前述の仮想マシン開始要求メッセージは、第３者の信頼を受けたプラットフォームの鍵である図２に示すkey  1のような、第３者の信頼を受けたプラットフォームの鍵を使用することにより暗号化されてもよい。第３者の信頼を受けたプラットフォームの鍵は、ユーザのために第３者の信頼を受けたプラットフォームにより提供された秘密ユニバーサルシリアルバス（Universal  Serial  Bus、USB）鍵又はスマートカードでもよい。許可されたユーザのみが、仮想マシン開始要求メッセージを暗号化するために秘密鍵を使用することができ、管理プラットフォームも他のユーザも鍵を使用することができない。
【手続補正４】
【補正対象書類名】明細書
【補正対象項目名】００６９
【補正方法】変更
【補正の内容】
【００６９】
本発明の実現方式では、ユーザ装置は、セキュリティ制御プラットフォームで、許可されたユーザの命令に従って、ユーザの保護された仮想マシンのアクセス制御ポリシーテーブルを予め設定してもよい。表２は、本発明のこの実施例に適用されるアクセス制御ポリシーテーブルである。実際の用途では、複数の保護された仮想マシンのアクセス制御ポリシーテーブルがセキュリティ制御プラットフォームに存在する。表２に示すように、仮想マシンの識別子は、アクセス制御ポリシーテーブルの対応する仮想マシンのアクセス制御ポリシーテーブルのエントリを表すために使用される。例えば、アクセス制御ポリシーテーブルは、仮想マシン1及び仮想マシン2に対応するアクセス制御ポリシーテーブルのエントリを格納する。例えば、仮想マシン1へのアクセスが事前に許可されている他の仮想マシン3及び他の仮想マシン4の識別子、他の仮想マシン3にあるアプリケーションプログラム1の識別子及びアプリケーションプログラム2の識別子、並びに他の仮想マシン4にあるアプリケーションプログラム3の識別子及びアプリケーションプログラム4の識別子は、仮想マシン1に対応するアクセス制御ポリシーテーブルのエントリに追加される。
【表２】
2016506107.tif 000012
【手続補正５】
【補正対象書類名】図面
【補正対象項目名】図３
【補正方法】変更
【補正の内容】
【図３】
2016506107.tif 000013
【国際調査報告】
2016506107.tif 000014
2016506107.tif 000015
2016506107.tif 000016
2016506107.tif 000017