【手続補正書】
【提出日】平成30年8月13日(2018.8.13)
【手続補正１】
【補正対象書類名】特許請求の範囲
【補正対象項目名】全文
【補正方法】変更
【補正の内容】
【特許請求の範囲】
【請求項１】
複数のデータベースサービスを提供する複数のデータベースサーバを、複数のデータベースサービスコンシューマをホストする複数のアプリケーションサーバに直接接続する接続ベースのスイッチドファブリックを有するマルチテナント環境においてデータベースサーバ内のネットワークセキュリティを提供するための方法であって、当該複数のデータベースサービスコンシューマの各々は異なるデータベースサービスコンシューマアイデンティティに関連付けられており、当該方法は、
当該複数のデータベースサーバのうちの１つのデータベースサーバにおいてアクセス制御リストを受信することを備え、当該アクセス制御リストは、前記複数のデータベースサービスを識別し、前記複数のデータベースサービスの各々について、前記複数のデータベースサービスの前記各々にアクセスすることが許可されている１つ以上のデータベースサービスコンシューマに関連付けられている１つ以上のデータベースサービスコンシューマアイデンティティを識別し、当該方法はさらに、
当該複数のデータベースサーバを当該複数のアプリケーションサーバに直接接続する当該接続ベースのスイッチドファブリック上で送信される複数の通信パケットを、当該１つのデータベースサーバにおいて受信することと、
前記複数の通信パケットの各通信パケットについて以下のステップを当該１つのデータベースサーバ内で実行することとを備え、前記ステップは、
当該通信パケットがいずれのデータベースサービスコンシューマアイデンティティも含んでいない場合、当該通信パケットを破棄することと、
当該通信パケットがデータベースサービスコンシューマアイデンティティを含んでいる場合、当該通信パケットに含まれているデータベースコンシューマアイデンティティを用いて、当該通信パケットを送信したサービスコンシューマを識別することと、
前記アクセス制御リストを当該通信パケットに含まれている前記データベースコンシューマアイデンティティと組合せて用いて、前記アクセス制御リストが、前記データベースサービスコンシューマが前記複数のデータベースサービスのうちの１つのデータベースサービスにアクセスすることが許可されていると識別していない限り、当該データベースコンシューマによる前記１つのデータベースサービスへのアクセスを防止することとを含む、方法。
【請求項２】
前記通信パケットはアドレス解決プロトコル（ＡＲＰ）要求であり、前記アクセス制御リストを当該通信パケットに含まれている前記データベースコンシューマアイデンティティと組合せて用いて、前記アクセス制御リストが、前記データベースコンシューマが前記複数のデータベースサービスのうちの１つのデータベースサービスにアクセスすることが許可されていると識別していない限り、当該データベースコンシューマによる前記１つのデータベースサービスへのアクセスを防止することは、
当該アクセス制御リストが、前記データベースサービスコンシューマが前記１つのデータベースサーバによって提供される前記複数のデータベースサービスのうちのいずれか１つにアクセスすることが許可されていると識別しているか否かを、当該１つのデータベースサーバ内で判断することと、
当該アクセス制御リストが、前記データベースサービスコンシューマが前記１つのデータベースサーバによって提供される前記複数のデータベースサービスのうちのいずれか１つにアクセスすることが許可されていると識別していない場合、ＡＲＰ応答を送信することなく、当該ＡＲＰ要求をドロップすることとを備える、請求項１に記載の方法。
【請求項３】
前記通信パケットは接続確立要求であり、前記アクセス制御リストを当該通信パケットに含まれている前記データベースコンシューマアイデンティティと組合せて用いて、前記アクセス制御リストが、前記データベースコンシューマが前記複数のデータベースサービスのうちの１つのデータベースサービスにアクセスすることが許可されていると識別していない限り、当該データベースコンシューマによる前記１つのデータベースサービスへのアクセスを防止することは、
当該アクセス制御リストが、前記データベースサービスコンシューマが前記１つのデータベースサーバによって提供される前記複数のデータベースサービスのうちのいずれか１つにアクセスすることが許可されていると識別しているか否かを、当該１つのデータベースサーバ内で判断することと、
当該アクセス制御リストが、前記データベースサービスコンシューマが前記１つのデータベースサーバによって提供される前記複数のデータベースサービスのうちのいずれか１つにアクセスすることが許可されていると識別していない場合、接続を確立することなく、当該接続確立要求をドロップすることとを備える、請求項１または２に記載の方法。
【請求項４】
前記通信パケットは接続確立要求であり、前記アクセス制御リストを当該通信パケットに含まれている前記データベースコンシューマアイデンティティと組合せて用いて、前記アクセス制御リストが、前記データベースコンシューマが前記複数のデータベースサービスのうちの１つのデータベースサービスにアクセスすることが許可されていると識別していない限り、当該データベースコンシューマによる前記１つのデータベースサービスへのアクセスを防止することは、
当該接続確立要求がどのデータベースサービスに接続することを要求しているかを、当該１つのデータベースサーバ内で判断することと、
当該アクセス制御リストが、前記データベースサービスコンシューマが前記１つのデータベースサービスにアクセスすることが許可されていると識別していない場合、前記接続確立要求に応答して当該１つのデータベースサービスへの接続の確立を防止することととを備える、請求項１から３のいずれか１項に記載の方法。
【請求項５】
前記通信パケットは接続確立要求であり、前記アクセス制御リストを当該通信パケットに含まれている前記データベースコンシューマアイデンティティと組合せて用いて、前記アクセス制御リストが、前記データベースコンシューマが前記複数のデータベースサービスのうちの１つのデータベースサービスにアクセスすることが許可されていると識別していない限り、当該データベースコンシューマによる前記１つのデータベースサービスへのアクセスを防止することは、
前記接続確立要求に応答して接続を形成することと、
前記接続上で当該データベースサービスコンシューマによってアクセスされるように意図されているデータベースサービスのＩＤを、前記接続上で受信することと、
当該アクセス制御リストが、前記データベースサービスコンシューマが前記１つのデータベースサービスにアクセスすることが許可されていると識別していない場合、前記接続を終了することとを備える、請求項１に記載の方法。
【請求項６】
前記通信パケットは、当該データベースサービスコンシューマとデータベースサービスとの間に確立された接続上で受信されるデータパケットであり、前記アクセス制御リストを当該通信パケットに含まれている前記データベースコンシューマアイデンティティと組合せて用いて、前記アクセス制御リストが、前記データベースコンシューマが前記複数のデータベースサービスのうちの１つのデータベースサービスにアクセスすることが許可されていると識別していない限り、当該データベースコンシューマによる前記１つのデータベースサービスへのアクセスを防止することは、
ハードウェアコンテキストを、当該データベースサービスコンシューマと当該１つのデータベースサービスとの間に確立された前記接続に関連付けることを備え、当該ハードウェアコンテキストは、当該データベースサービスコンシューマの当該データベースサービスコンシューマ識別子を含み、前記防止することはさらに、
前記データパケットが、当該接続に関連付けられている当該ハードウェアコンテキストに含まれている当該データベースサービスコンシューマアイデンティティを含んでいない限り、前記データパケットをドロップすることを備える、請求項１から５のいずれか１項に記載の方法。
【請求項７】
前記データパケットは当該１つのデータベースサーバのホストチャネルアダプタにおいて受信され、当該ハードウェアコンテキストは前記ホストチャネルアダプタのメモリに格納され、前記データパケットが、当該接続に関連付けられている当該ハードウェアコンテキストに含まれている当該データベースサービスコンシューマアイデンティティを含んでいない限り、前記データパケットをドロップすることは、
前記データパケットが、当該接続に関連付けられている当該ハードウェアコンテキストに含まれており、かつ前記ホストチャネルアダプタの当該メモリに格納されている、当該データベースサービスコンシューマアイデンティティを含んでいない限り、当該ホストチャネルアダプタを用いて前記データパケットをドロップすることを備える、請求項６に記載の方法。
【請求項８】
前記アクセス制御リストを当該通信パケットに含まれている前記データベースコンシューマアイデンティティと組合せて用いて、前記アクセス制御リストが、前記データベースコンシューマが前記複数のデータベースサービスのうちの１つのデータベースサービスにアクセスすることが許可されていると識別していない限り、当該データベースコンシューマによる前記１つのデータベースサービスへのアクセスを防止することは、
前記アクセス制御リストに基づいて、アドレス解決アクセス制御、接続確立アクセス制御、およびデータ交換アクセス制御のうちの少なくとも１つを実行することを備える、請求項１から７のいずれか１項に記載の方法。
【請求項９】
前記接続ベースのスイッチドファブリックはインフィニバンドファブリックであり、前記通信パケットは、当該複数のデータベースサーバを当該複数のアプリケーションサーバに直接接続する当該インフィニバンドファブリック上で当該１つのデータベースサーバにおいて受信されるインフィニバンドプロトコル通信パケットであり、前記複数の通信パケットのうちの当該通信パケットについて当該１つのデータベースサーバによって実行される当該ステップは、
当該インフィニバンドプロトコル通信パケットがグローバルルーティングヘッダを含んでいない場合、当該インフィニバンドプロトコル通信パケットを破棄することと、
当該インフィニバンドプロトコル通信パケットがグローバルルーティングヘッダを含んでいる場合、当該インフィニバンドプロトコル通信パケットの当該グローバルルーティングヘッダに含まれているソースグローバル識別子を用いて、当該インフィニバンドプロトコル通信パケットを送信したサービスコンシューマを識別することと、
前記アクセス制御リストを当該インフィニバンドプロトコル通信パケットの当該グローバルルーティングヘッダに含まれている前記ソースグローバル識別子と組合せて用いて、前記アクセス制御リストが、前記データベースサービスコンシューマが前記複数のデータベースサービスのうちの１つのデータベースサービスにアクセスすることが許可されていると識別していない限り、当該データベースコンシューマによる前記１つのデータベースサービスへのアクセスを防止することとを備える、請求項１から８のいずれか１項に記載の方法。
【請求項１０】
前記接続ベースのスイッチドファブリックはインフィニバンドファブリックであり、前記方法はさらに、
前記複数のデータベースサービスコンシューマから送信される各インフィニバンドパケットが、前記各パケットに関連付けられているデータベースサービスコンシューマを識別するソースグローバル識別子を含まなければならないように、前記複数のデータベースサーバを、各々がグローバルルーティングヘッダおよびソースグローバル識別子を含むインフィニバンドプロトコルパケットを用いること以外によって前記複数のデータベースサービスコンシューマと前記複数のデータベースサービスとの間のデータ交換を禁止するように構成することを備える、請求項１から９のいずれか１項に記載の方法。
【請求項１１】
複数のデータベースサービスコンシューマをホストする複数のアプリケーションサーバに直接接続される接続ベースのスイッチドファブリックを有するマルチテナント環境においてネットワークセキュリティを提供するためのシステムであって、当該複数のデータベースサービスコンシューマの各々は異なるデータベースサービスコンシューマアイデンティティに関連付けられており、当該システムは、
複数のデータベースサービスを提供する複数のデータベースサーバを備え、当該複数のデータベースサーバの各データベースサーバは、マイクロプロセッサ、メモリおよびネットワークインターフェイスを備え、当該システムはさらに、
当該複数のデータベースサーバの各々の上に格納されているアクセス制御リストを備え、当該アクセス制御リストは、前記複数のデータベースサービスを識別し、前記複数のデータベースサービスの各々について、前記複数のデータベースサービスの前記各々にアクセスすることが許可されている１つ以上のデータベースサービスコンシューマに関連付けられている１つ以上のデータベースサービスコンシューマアイデンティティを識別し、
当該複数のデータベースサーバの各データベースサーバの当該ネットワークインターフェイスは、当該複数のデータベースサーバを当該複数のアプリケーションサーバに直接接続する当該接続ベースのスイッチドファブリック上で送信される複数の通信パケットを受信するように構成され、
当該ネットワークインターフェイスは、当該ネットワークインターフェイスにおいて受信される前記複数の通信パケットの各通信パケットについて以下のステップを実行するように構成され、前記ステップは、
当該通信パケットがいずれのデータベースサービスコンシューマアイデンティティも含んでいない場合、当該通信パケットを破棄することと、
当該通信パケットがデータベースサービスコンシューマアイデンティティを含んでいる場合、当該通信パケットに含まれているデータベースコンシューマアイデンティティを用いて、当該通信パケットを送信したサービスコンシューマを識別することと、
当該データベースサーバ上に格納されている当該アクセス制御リストを当該通信パケットに含まれている前記データベースコンシューマアイデンティティと組合せて用いて、前記アクセス制御リストが、前記データベースサービスコンシューマが前記複数のデータベースサービスのうちの１つのデータベースサービスにアクセスすることが許可されていると識別していない限り、当該データベースコンシューマによる前記１つのデータベースサービスへのアクセスを防止することとを含む、システム。
【請求項１２】
請求項１〜９のいずれかに記載の方法をコンピュータに実行させる、プログラム。
【請求項１３】
請求項１２に記載のプログラムを格納したメモリと、
前記プログラムを実行するためのプロセッサとを備える、システム。
【請求項１４】
請求項１から１０のいずれか１項に記載のネットワークセキュリティを提供するための方法であって、当該マルチテナント環境は、複数の異なるテナントに関連付けられているデータを保持している複数のストレージセルをさらに有し、当該複数のデータベースサービスの各々は、前記複数のストレージセル内に保持されている前記複数の異なるテナントに関連付けられている前記データを利用し、当該データベースサービスコンシューマは当該複数の異なるテナントに関連付けられており、当該方法は、
当該接続ベースのスイッチドファブリックを、前記複数のデータベースサービスコンシューマおよび前記複数のデータベースサーバにとってアクセス可能なデータベースアクセスパーティションを有するように構成することと、
当該接続ベースのスイッチドファブリックを、前記複数のデータベースサーバおよび前記複数のストレージセルにとってはアクセス可能であるが前記複数のデータベースサービスコンシューマにとってはアクセス不可能なストレージアクセスパーティションを有するように構成することと、
当該複数のアプリケーションサーバの各々のネットワークインターフェイスを、前記アプリケーションサーバ上にホストされている当該複数のデータベースサービスコンシューマの各々を固有のデータベースサービスコンシューマアイデンティティに関連付けるように構成することと、
当該複数のアプリケーションサーバの各々の当該ネットワークインターフェイスを、前記データベースサービスコンシューマから前記複数のデータベースサービスに向けて送信される当該通信パケットの各々の内部の前記アプリケーションサーバ上にホストされている当該複数のデータベースサービスコンシューマの各々に関連付けられている当該データベースサービスコンシューマアイデンティティを含むように構成することと、
当該複数のデータベースサーバの各々にアクセス制御リストを提供することとを備え、当該アクセス制御リストは、前記複数のデータベースサービスを識別し、前記複数のデータベースサービスの各々について、前記複数のデータベースサービスの前記各々にアクセスすることが許可されている１つ以上のデータベースサービスコンシューマに関連付けられている１つ以上のデータベースサービスコンシューマアイデンティティを識別し、当該方法はさらに、
データベースサービスコンシューマアイデンティティを含んでいない前記複数のアプリケーションサーバから受信したすべての通信パケットを、当該複数のデータベースサーバの各々のネットワークインターフェイスを用いて破棄することと、
前記アクセス制御リストを、当該複数のデータベースサーバのうちの特定のデータベースサーバの特定のネットワークインターフェイスにおいて受信した特定の通信パケットに含まれている特定のデータベースサービスコンシューマアイデンティティと組合せて用いて、前記アクセス制御リストが、前記特定のデータベースサービスコンシューマが前記複数のデータベースサービスのうちの特定のデータベースサービスにアクセスすることが許可されていると識別していない限り、当該特定のデータベースコンシューマアイデンティティに関連付けられている当該特定のデータベースサービスコンシューマによる前記特定のデータベースサービスへのアクセスを防止することとを備える、方法。