JP7771192B2

JP7771192B2 - 顧客管理キーを使用した顧客オンプレミスネットワークから顧客仮想クラウドネットワークへのエンドツーエンドネットワーク暗号化

Info

Publication number: JP7771192B2
Application number: JP2023538798A
Authority: JP
Inventors: ポットラパリ，ナチキース・ラオ; ビンセント，パラディープ; ブラール，ジャグウィンダー・シング
Original assignee: オラクル・インターナショナル・コーポレイション
Priority date: 2020-12-23
Filing date: 2021-12-16
Publication date: 2025-11-17
Anticipated expiration: 2041-12-16
Also published as: US12549526B2; CN116897338A; US20220200972A1; JP2026027319A; US11848918B2; EP4268072A1; WO2022140143A1; JP2024504007A; US20240129280A1

Description

関連出願の相互参照
本願は、２０２０年１２月２３日に出願され「顧客管理キーを使用した顧客オンプレミスネットワークから顧客仮想クラウドネットワークへのエンドツーエンドネットワーク暗号化（END-TO-END NETWORK ENCRYPTION FROM CUSTOMER ON-PREMISE NETWORK TO CUSTOMER VIRTUAL CLOUD NETWORK USING CUSTOMER-MANAGED KEYS）」と題された米国出願第１７／１３３，５２３号に基づく利益を主張し、その全内容を引用により本明細書に援用する。

本願は、２０２０年１２月２３日に出願され「ネットワーク仮想化デバイスにおいて顧客管理キーを使用して顧客ＶＣＮネットワーク暗号化を提供するメカニズム（MECHANISM TO PROVIDE CUSTOMER VCN NETWORK ENCRYPTION USING CUSTOMER-MANAGED KEYS IN NETWORK VIRTUALIZATION DEVICE）」と題された米国出願第１７／１３３，５２６号に関連しており、その全内容を引用により本明細書に援用する。

背景
仮想クラウドネットワーク（ＶＣＮ）は、カスタマイズ可能なプライベートネットワークである。ＶＣＮは、従来のデータセンターネットワークと同様に、ネットワーク環境を制御する。これには、プライベートＩＰアドレスの割り当て、サブネットの作成、ルートテーブルの作成、およびファイアウォールの構成が含まれる。１つのテナントが複数のＶＣＮを有することができるので、関連リソースのグループ化および分離が可能である。

ＶＣＮ内のデータは、セキュリティのために暗号化することができる。暗号化の目的の１つは、正しいキーを知らなければ暗号文を対応する平文に戻すことが非常に難しい（たとえば計算的に実行不可能である）ように、キーに基づいて平文データを解読不能な暗号文に変換することである。対称暗号システムでは、同じデータの暗号化と復号の両方に同じキーを使用する。いくつかの暗号化アルゴリズムでは、キーの長さは１２８ビット、１９２ビット、または２５６ビットであり得る。いくつかの暗号化標準（たとえばデータ暗号化標準（ＤＥＳ））アルゴリズムでは、メッセージデータをＤＥＳアルゴリズムに３回渡すことによって暗号化する。３ＤＥＳは高度なメッセージセキュリティを提供することができるが、パフォーマンスペナルティを伴う。パフォーマンスペナルティの度合いは、暗号化を実行するプロセッサの速度によって異なり得る。RSA Data Security社が開発したＲＣ４アルゴリズムは、高速データ暗号化の国際標準となっている。ＲＣ４は、ＤＥＳの数倍の速度で動作する可変のキー長のストリーム暗号なので、パフォーマンスへの影響を最小限に抑えつつ大量のデータ転送を暗号化することができる。ネットワークデータの暗号化によってデータのプライバシーが守られるため、権限のない者はネットワーク上を通過中の平文データを見ることはできない。

簡単な概要
本開示は、概して仮想クラウドネットワーク（ＶＣＮ）に関する。より具体的には、限定されるものではないが、顧客が暗号化キーを管理する、エンドツーエンド暗号化のために顧客とＶＣＮとの間のデータを暗号化する技術について説明する。共有キーを使用してＶＰＮトンネルをホストのＶＰＮゲートウェイで終端させる代わりに、ハードウェアでセキュリティ保護され顧客によって管理される暗号化キーを使用して、顧客デバイスからのＶＰＮトンネルをホストデバイスで終端させる。デバイスは、ネットワーク仮想化デバイスを有するベアメタルサーバである。

特定の実施形態では、システムは、ネットワークヘッドエンドデバイスおよびネットワーク仮想化デバイスを含む。上記ネットワークヘッドエンドデバイスは、顧客によってプロビジョニングされた第１のキーを受け取り、上記顧客のデバイスから送信された第１のデータパケットを受信し、および／または上記第１のキーを使用して上記第１のデータパケットを復号して情報を取得するように構成されている。上記ネットワーク仮想化デバイスは、上記第１のデータパケットが復号された後に、上記ネットワークヘッドエンドデバイスから上記情報を受信し、上記情報が仮想クラウドネットワーク内の仮想マシンに送信されるべきであることを確認し、上記仮想クラウドネットワーク内のデータが暗号化されるように構成されていることを確認し、第２のキーを使用して上記情報を暗号化して第２のデータパケットを生成し、および／または上記第２のデータパケットを上記仮想マシンにルーティングするように構成されている。

特定の実施形態では、上記システムはホストによって維持され、上記ホストは上記第１のキーまたは上記第２のキーにアクセスできず、上記ネットワークヘッドエンドデバイスは、上記ネットワークヘッドエンドデバイスと顧客デバイスとの間に形成されるインターネットプロトコルセキュリティ（ＩＰＳｅｃ）トンネルの終端点であるように構成され、上記第１のデータパケットはパブリックインターネットを通してルーティングされ、上記第１のデータパケットは、パブリックインターネット内のリンクを使用せずに、プライベートリンクのセットを通してルーティングされ、上記ネットワーク仮想化デバイスは、上記仮想クラウドネットワーク内の仮想マシンのインスタンスをサポートし、上記ネットワークヘッドエンドデバイスはネットワークインターフェイスカードであり、上記ネットワークヘッドエンドデバイスはネットワークインターフェイスカード上にあり、上記ネットワーク仮想化デバイスは上記ネットワークインターフェイスカードの一部であり、上記ネットワークヘッドエンドデバイスおよび上記ネットワーク仮想化デバイスは同じサーバ内にあり、上記ネットワークヘッドエンドデバイスは、ホストの他の顧客が上記ネットワークヘッドエンドデバイスを使用しないように、上記顧客に専用であり、上記ネットワーク仮想化デバイスは、キー管理サービスと通信して上記第２のキーを取得し、上記顧客は、キー管理サービスを使用して上記ネットワークヘッドエンドデバイスにおいて上記第１のキーをプロビジョニングし、上記ネットワークヘッドエンドデバイスは第１のネットワークヘッドエンドデバイスであり、上記システムは、上記顧客からのデータを復号するように構成された第２のネットワークヘッドエンドデバイスをさらに含み、上記ネットワーク仮想化デバイスは第１のネットワーク仮想化デバイスであり、上記仮想クラウドネットワークは第１の仮想クラウドネットワークであり、上記システムは第２のネットワーク仮想化デバイスをさらに含み、および／または、上記第２のネットワーク仮想化デバイスは、上記ネットワークヘッドエンドデバイスからデータを受信し、上記ネットワークヘッドエンドデバイスから受信したデータを第２の仮想クラウドネットワークのために第３のキーを使用して暗号化するように構成され、上記第１のネットワーク仮想化デバイスおよび上記第２のネットワーク仮想化デバイスは同じネットワークインターフェイスカードの一部であり、および／または、上記ネットワークヘッドエンドデバイスは、ホストが上記顧客を認証した後に上記顧客から上記第１のキーを受け取るように構成されている。

さらに他の実施形態では、方法は、ネットワークヘッドエンドデバイスを使用して、顧客によってプロビジョニングされた第１のキーを受け取ること、上記ネットワークヘッドエンドデバイスにおいて、上記顧客のデバイスから送信された第１のデータパケットを受信すること、上記第１のキーを使用して上記第１のデータパケットを復号して、情報を取得すること、ネットワーク仮想化デバイスを使用して、上記ネットワークヘッドエンドデバイスから上記情報を受信すること、上記情報が仮想クラウドネットワーク内の仮想マシンに送信されるべきであることを確認すること、第２のキーを使用して上記ネットワーク仮想化デバイスで上記情報を暗号化して、第２のデータパケットを生成すること、および／または、上記第２のデータパケットを上記仮想マシンにルーティングすることを含む。

上記の内容は、他の特徴および実施形態とともに、以下の明細書、特許請求の範囲、および添付の図面を参照することでより明らかになるであろう。

ネットワーク仮想化デバイスのシステムの一実施形態の概略図である。キー管理サービスから暗号キーを受け取る複数のネットワーク仮想化デバイスの一実施形態を示す図である。異なる暗号キーで複数の顧客をサポートするネットワーク仮想化デバイスの一実施形態を示す図である。仮想クラウドネットワークでデータを暗号化するプロセスの一実施形態を示すフローチャート図である。複数の暗号キーを使用して複数の仮想クラウドネットワークのデータ暗号化を行うプロセスの一実施形態を示すフローチャート図である。ＶＰＮゲートウェイを通じてデータを受信する仮想クラウドネットワークの一実施形態を示す図である。仮想クラウドネットワーク（ＶＣＮ）ヘッドエンドを通じてデータを受信する仮想クラウドネットワークの一実施形態を示す図である。２つ以上の仮想クラウドネットワークをサポートする１つのＶＣＮヘッドエンドの実施形態を示す図である。仮想クラウドネットワークのエンドツーエンド暗号化のためのプロセスの一実施形態を示すフローチャート図である。少なくとも１つの実施形態に係る、クラウドインフラストラクチャをサービスシステムとして実現するための１つのパターンを示すブロック図である。少なくとも１つの実施形態に係る、クラウドインフラストラクチャをサービスシステムとして実現するための別のパターンを示すブロック図である。少なくとも１つの実施形態に係る、クラウドインフラストラクチャをサービスシステムとして実現するための別のパターンを示すブロック図である。少なくとも１つの実施形態に係る、クラウドインフラストラクチャをサービスシステムとして実現するための別のパターンを示すブロック図である。少なくとも１つの実施形態に係る、例示的なコンピュータシステムを示すブロック図である。特定の実施形態に係る、クラウドサービスプロバイダインフラストラクチャによってホストされている仮想クラウドネットワークまたはオーバレイクラウドネットワークを示す分散環境のハイレベル図である。特定の実施形態に係る、ＣＳＰＩ内の物理ネットワークにおける物理コンポーネントの簡略化されたアーキテクチャ図である。特定の実施形態に係る、ホストマシンが複数のネットワーク仮想化デバイス（ＮＶＤ）に接続されているＣＳＰＩ内の例示的な配置を示す図である。特定の実施形態に係る、ホストマシンとマルチテナンシをサポートするためのＩ／Ｏ仮想化を提供するためのＮＶＤとの間の接続性を示す図である。特定の実施形態に係る、ＣＳＰＩによって提供される物理ネットワークの簡略化されたブロック図である。

詳細な説明
添付の図面では、同様の構成要素および／または特徴は同じ参照レベルを有し得る。さらに、同様の構成要素同士を区別するダッシュおよび第２のラベルが当該参照ラベルの後に続くことによって同じタイプのさまざまな構成要素が区別され得る。第１の参照ラベルのみが本明細書において用いられる場合、第２の参照ラベルに関わらず、当該記載は、同じ第１の参照ラベルを有する同様の構成要素のいずれか１つに適用可能である。

以下の記載では、説明を目的として、特定の実施形態が十分に理解されるようにするために具体的詳細について述べる。しかしながら、これらの具体的詳細がなくても各種実施形態は実施し得ることは明らかである。図面および説明は限定を意図しているのではない。本明細書において「例示的な」という単語は、「１つの例、場合、または実例の役割を果たす」ことを意味するために使用されている。本明細書において「例示的」であると記載されているいかなる実施形態または設計も、必ずしも他の実施形態または設計よりも好ましいまたは好都合であると解釈されることを意図している訳ではない。

仮想クラウドネットワーク（ＶＣＮ）は、カスタマイズ可能なプライベートネットワークである。ホストは、顧客がＶＣＮをセットアップするためのコンピューティングハードウェアおよび／またはソフトウェアを提供し得る。典型的に、ホストは、ＶＣＮの暗号化がある場合は、その暗号化を管理する。顧客は、ホストのデータ漏洩によって顧客データが危険に晒されることを恐れて、またはホストがどれだけの顧客データにアクセスできるかを懸念して、ホストに暗号化を管理させたくない場合がある。本説明は、顧客管理キーを使用してＶＣＮネットワーク暗号化を提供するメカニズムに関する。顧客管理キーは、スマートＮＩＣで配信することができる。スマートＮＩＣは、通常はＣＰＵが対処し得る処理タスクをオフロードするネットワークインターフェイスカード（たとえばネットワークアダプタ）である。スマートＮＩＣは、暗号化、復号、ルーティング、ファイアウォールなどの機能を実行することができる。

スマートＮＩＣは、専用の暗号アクセラレータおよび／またはＳＲＡＭでネットワーク暗号化仮想機能（ＮＥＶＦ）をサポートするために使用することができる。暗号アクセラレータは、インラインパケット暗号化に使用することができる。ＳＲＡＭは、暗号化キーを格納するために使用することができる。顧客仮想マシン（顧客仮想マシンは顧客ＶＣＮの一部である）に割り当てられたＮＥＶＦは、仮想マシンネットワークトラフィック暗号化のために、および暗号化キーを格納するために、使用することができる。ハイパーバイザは、顧客仮想マシンをＮＥＶＦにマッピングすることができる。暗号化キーは、顧客ＶＣＮインスタンス（たとえば仮想マシン（ＶＭ）および／またはベアメタル（ＢＭ））内のＮＥＶＦにおいてセキュアにプロビジョニングすることができる。

顧客ＶＣＮインスタンス間で交換されるトラフィックは、ＮＥＶＦにおいてプロビジョニングされた暗号化キーで暗号化される。ＶＣＮ内の各インスタンスは、同じ暗号化キーを共有する（たとえば日和見暗号化）。制御プレーンは、ＶＣＮ内の顧客インスタンス（ＶＭおよび／またはＢＭ）のネットワーク暗号化キーをプロビジョニングおよび／または管理することができる。制御プレーンは、顧客仮想機能を認証し、キー管理サービスからの暗号化キーをプロビジョニングするために使用することができる。証明書を使用することで、キー管理サービスおよびＮＩＣは顧客暗号化キーをセキュアに共有することができる。よって、顧客は（たとえばアプリケーションプログラムインターフェイスおよび／またはオペレーティングシステムコマンドを使用して）ネットワーク暗号化キーを管理することができる。いくつかの構成では、ＶＣＮ内のＶＭホスト間で固有のキーが共有される。各ＶＭホストのＮＥＶＦは、キーおよび／またはどのキーを使用するかに関連付けられたメタデータを格納する。

図１を参照して、仮想クラウドネットワークのデータを暗号化するためのシステムの一実施形態の概略図が示されている。ネットワーク仮想化デバイス１００は、第１の仮想化エンジン１０４－１および第２の仮想化エンジン１０４－２を含む。仮想化エンジン１０４は、ベアメタルごとまたは仮想マシンごとに仮想ネットワークインターフェイスカード（ＶＮＩＣ）をインスタンス化して提供する。仮想化エンジン１０４は、ネットワーク暗号化仮想機能（ＮＥＶＦ）とすることができる。ネットワーク仮想化デバイス１００は、専用リソース（たとえばメモリおよび／またはプロセッサ）がアタッチされた物理カード（たとえばスマートＮＩＣ）とすることができる。いくつかの実施形態では、ネットワーク仮想化デバイス１００は、ＳｍａｒｔＴＯＲ、ネットワークアプライアンス、またはサービスホストである。

クラウドサービスプロバイダインフラストラクチャ内のパケットのルーティングおよび／または転送は、ネットワーク仮想化デバイスによって実行することができる。ネットワーク仮想化デバイスは、仮想ネットワークインターフェイスカード（ＶＮＩＣ）、仮想ルータ、仮想ネットワークゲートウェイ、およびネットワーク暗号化仮想機能などの、１つ以上の仮想ネットワーク機能を実現することができる。ネットワーク仮想化デバイスは、ソフトウェア（たとえばプロセッサによって実行されるコードまたは命令）を使用して実現される仮想オブジェクトである。ネットワーク仮想化デバイスは、仮想ルータなどの仮想機能を実行するハードウェアコンポーネントである（たとえば、仮想ルータデバイスは、仮想ルータを実現するコードを実行する物理デバイスである）。たとえば、ＶＮＩＣはスマートＮＩＣによって実行され、スマートＮＩＣはネットワーク仮想化デバイスである。ＶＮＩＣがホストマシンによって実行される場合、ホストマシンはネットワーク仮想化デバイスである。いくつかの実施形態では、仮想ルータはトップオブラック（ＴＯＲ）スイッチによって実行される（ＴＯＲは仮想ルータデバイスである）。スマートＮＩＣはネットワーク仮想化デバイスの一例に過ぎない。

仮想マシン１０８は、あるコンピュータの内部の別個のコンピュータのように動作する、当該あるコンピュータ上のプログラムである。仮想マシンは、仮想化ソフトウェアを使用して作成することができる。仮想マシン１０８はさまざまな仮想機能を実行することができる。

仮想化エンジン１０４は、メモリデバイス１１２および暗号プロセッサ１１６を含む。メモリデバイス１１２は、暗号キーなどのキーを格納するように構成されている。いくつかの実施形態では、メモリデバイス１１２は、コンデンサおよびトランジスタを含むスタティックランダムアクセスメモリ（ＳＲＡＭ）デバイスである。

暗号プロセッサ１１６は、メモリデバイス１１２に格納されたキーを使用して、仮想マシン１０８へのおよび仮想マシン１０８からのデータを暗号化および／または復号するように構成されている。送信パケットＴＸは、仮想マシン１０８から送信されるデータパケットである。受信パケットＲＸは、仮想マシン１０８に送信されるデータパケットである。送信パケットＴＸは、暗号プロセッサ１１６によって暗号化される。受信パケットＲＸは、暗号プロセッサ１１６によって復号される。送信パケットＴＸおよび／または受信パケットＲＸは、インライン暗号化／復号を使用して暗号化／復号される。いくつかの実施形態では、仮想化エンジン１０４は、データパケットのネットワークルーティングを提供するように構成されている（たとえば、仮想化エンジン１０４は、送信パケットＴＸのためのルーティングデータを提供する）。

示されている実施形態では、仮想化エンジン１０４は、一度に１つの仮想マシン１０８のみをインスタンス化するように構成されている。これにより、仮想マシン１０８ごとに専用の暗号化リソース（たとえばメモリデバイス１１２および／または暗号プロセッサ１１６）が可能になるので、セキュリティを高めることができる。

示されている実施形態では、第１の仮想化エンジン１０４－１は第１のメモリデバイス１１２－１および第１の暗号プロセッサ１１６－１を含み、第２の仮想化エンジン１０４－２は第２のメモリデバイス１１２－２および第２の暗号プロセッサ１１６－２を含む。したがって、第１の仮想化エンジン１０４－１および第２の仮想化エンジン１０４－２は同じデバイスの一部である。２つの仮想化エンジン１０４がネットワーク仮想化デバイス１００の一部であるとして示されているが、３つ以上の仮想化エンジン１０４がネットワーク仮想化デバイス１００の一部であってもよい（たとえば、３個、５個、１０個、１００個、またはそれ以上の仮想化エンジン１０４がネットワーク仮想化デバイス１００の一部であってもよい）ことが理解されるべきである。

いくつかの実施形態では、ネットワーク仮想化デバイス１００は、ＶＮＩＣ、仮想ルータ、および／またはＮＥＶＦなどの仮想機能を実現するために使用される。ネットワーク仮想化デバイス１００は、サーバ内のカード（たとえばスマートＮＩＣ）とすることができる。ネットワーク仮想化デバイス１００は、１以上の顧客が１つ以上のＶＣＮをセットアップするためにホストによって管理（たとえば所有および／または操作）される。ホストは、ネットワーク仮想化デバイス１００の管理者である。ホスト（たとえば管理者）はメモリデバイス１１２に格納されたキーへのアクセスを有さないように、キーをメモリデバイス１１２に格納する（たとえば暗号化する）ことができる。ホストがキーへのアクセスを有していないことで、ホストのセキュリティが危険に晒されても、顧客のデータセキュリティを保証することができる。

イーサネット（登録商標）ブリッジ１２０は、第１の仮想化エンジン１０４－１がインターネットを介して通信すること、および／または（たとえば第１の仮想マシン１０８－１および第２の仮想マシン１０８－２が同じ仮想クラウドネットワークの一部である場合に）第２の仮想化エンジン１０４－２と通信することを可能にする。ハイパーバイザ１２４は、仮想マシン１０８間でコンピューティングシステムのリソースを共有するためにホストによって使用される。

図２は、キー管理サービス２０８から暗号キー２０４を受け取る複数の仮想化エンジン１０４の一実施形態を示す図である。示されている実施形態では、仮想化エンジン１０４が３つある。３つの仮想化エンジン１０４が示されているが、より多いまたはより少ない仮想化エンジン１０４を使用することができる。仮想化エンジン１０４は各々、１つの（いくつかの実施形態では１つのみの）仮想マシン１０８をインスタンス化する。図２の仮想マシン１０８は、共通の仮想クラウドネットワーク（ＶＣＮ）２１２の一部である。仮想化エンジン１０４は同じＶＣＮ２１２の一部であるため、仮想化エンジン１０４は各々、同じキー（たとえば同じ暗号キー２０４）を受け取り、これにより、仮想化エンジン１０４は暗号化されたデータを使用して互いに（たとえば図１に示されるイーサネットブリッジ１２０を使用して）セキュアに通信することができる。したがって、第１の仮想化エンジン１０４－１は、キー管理サービス２０８から暗号キー２０４を受け取るように構成されている。第１の仮想化エンジン１０４－１は、暗号キー２０４を第１のメモリデバイス１１２－１に保存する。

ＶＣＮ制御プレーン２１６は、クラウドインフラストラクチャリソースを管理、監視、および／または修正するように構成されている。キー管理サービス２０８は、ネットワーク仮想化デバイス１００のホストが暗号キー２０４へのアクセスを有することなく、顧客のために暗号キー２０４を仮想化エンジン１０４に提供することができる。ホスト（たとえばクラウドサービスプロバイダ）が暗号キー２０４へのアクセスを有していないことで、顧客はＶＣＮ２１２のセキュリティを制御する。

ホストがキーへのアクセスを有することなく、キーをメモリデバイス１１２に取り込むために、顧客はキー管理サービス２０８（たとえばＯＣＩのクラウドキー管理サービス（Cloud Key Management Service））において暗号キー２０４を初期化することができる、および／または、キーへのアクセス許可を仮想化エンジン１０４に与える。クラウドネットワークでは、各リソースにアイデンティティプリンシプル（たとえばＯＣＩのクラウドアイデンティティプリンシプル（Cloud Identity Principle））を割り当てることができ、これにより、リソースを他のクラウドリソースに対して認証するために各リソースにクレデンシャルを与えることができる。仮想化エンジン１０４（たとえばＮＥＶＦ）は、リソースであり、アイデンティティプリンシプルを割り当てることができる。仮想化エンジン１０４を、キー管理サービス２０８に対して認証することができる。仮想化エンジン１０４は、顧客キー（たとえば暗号キー２０４）を要求することができる。

仮想化エンジン１０４は、キー管理サービス２０８に暗号キー２０４を要求する（たとえば、アイデンティティプリンシプルを使用して自身を認証してキーを要求する）ことができる。キー管理システム２０８は、（たとえば仮想化エンジン１０４を認証した後に）キー（および／または更新）を仮想化エンジン１０４にプッシュすることができる。キーの要求またはプッシュは、クラウドネットワークのホストがキーを仮想化エンジン１０４に対して（たとえば仮想化エンジン１０４のＳＲＡＭ内に）プロビジョニングすることなく行われる。セキュリティプロトコルは、キー管理システム２０８と仮想化エンジン１０４との間で事前に共有されることができるので、キー管理システムは、事前に共有された秘密を用いて仮想化エンジン１０４にデータをルーティングして、仮想化エンジン１０４のメモリにおいてキーを初期化することができる。

仮想クラウドネットワーク２１２内の仮想マシン１０８をサポートする各仮想化エンジン１０４には、同じ暗号キー２０４が配信される。仮想マシン１０８がインスタンス化されると、暗号キー２０４を仮想エンジン１０４に配信することができる。たとえば、顧客がＶＣＮ２１２を作成すると、ＶＣＮ２１２を暗号化するか否かを顧客に尋ねることができる（たとえば、顧客はＶＣＮ２１２の暗号化のボックスにチェックを入れることができる）。仮想マシン１０８のインスタンスが起動されると、基礎となるプロトコルがキー管理サービス２０８から仮想エンジン１０４に移り、暗号キー２０４を仮想エンジン１０４のメモリデバイス１１２に配信する。暗号キー２０４は、定期的に（たとえば、毎時、毎日、毎週など）更新することができる、および／または顧客が更新することができる（たとえば、顧客が更新スケジュールを選択もしくは定義する、および／または暗号キー２０４を直ちに更新することを選択する）。いくつかの実施形態では、顧客は複数のキーを生成し、新しいキーにローテーションする時間になると（たとえば毎日時間Ｔに）、暗号キー２０４が更新される（たとえば、各仮想エンジン１０４は、時間Ｔにキー管理サービス２０８に連絡する）。新しいキーはメモリデバイス１１２において公開される。キー同期（たとえば自動同期）は、複数のホストに対して使用され得る（たとえば、各仮想化エンジン１０４の同期カウンタは、新しいキーをメモリデバイス１１２において公開するために使用され得る）。いくつかの実施形態では、暗号キー２０４は、何らかの暗号化スキームに基づいて各仮想化エンジン１０４上でローテーションされる（たとえば、暗号キー２０４はリフレッシュされる）。よって、暗号キー２０４は、ＶＣＮ２１２の一部である各仮想化エンジン１０４に対して、または各仮想化エンジン１０４上で、同時にプッシュおよび／またはリフレッシュされ得る。キー管理サービス２０８はＶＣＮ２１２と１つの暗号化関係を有することができるので、キー管理サービス２０８は異なるデバイスとの関係を維持する必要がない。

顧客がキーを制御するデータを暗号化することによって、データがホストのワイヤ上で暗号化されることを顧客に保証することができる。いくつかの実施形態では、顧客は、トランスポート層セキュリティ（ＴＬＳ）トンネルを使用してホストと通信することができる。しかしながら、ＴＬＳはバグを有しており、セキュリティ問題を有し得る。顧客がキー管理サービス２０８を使用してキーを制御できるようにすることによって、ＴＬＳのバグおよびセキュリティ問題を回避または低減することができる。いくつかの実施形態では、ＴＬＳトンネルまたは事前共有キーに基づくカスタムセキュリティプロトコルは、ＮＥＶＦとキー管理サービスとの間のセキュアな通信に使用され得る。

本説明では、暗号キー２０４がＶＣＮ２１２のレベルで配信され管理されるものとして示されているが、サブネットレベルなどの他のレベルでも同様の処理および技術を使用することができる。たとえば、ＶＣＮ２１２のＬ２またはＬ３で暗号化キーを使用することができる。

図３は、異なる暗号キー３０４で複数の顧客をサポートするネットワーク仮想化デバイス１００の一実施形態を示す図である。ネットワーク仮想化デバイス１００は、第１の仮想化エンジン１０４－１、第２の仮想化エンジン１０４－２、第３の仮想化エンジン１０４－３、および第４の仮想化エンジン１０４－４を含む。第１の仮想化エンジン１０４－１は、第１の仮想マシン１０８－１をインスタンス化するように構成されている。第２の仮想化エンジン１０４－２は、第２の仮想マシン１０８－２をインスタンス化するように構成されている。第３の仮想化エンジン１０４－３は、第３の仮想マシン１０８－３をインスタンス化するように構成されている。第４の仮想化エンジン１０４－４は、第４の仮想マシン１０８－４をインスタンス化するように構成されている。

第１の仮想マシン１０８－１および第３の仮想マシン１０８－３は、第１のＶＣＮ３１２－１の一部である。第２の仮想マシン１０８－２および第４の仮想マシン１０８－４は、第２のＶＣＮ３１２－２の一部である。第１のＶＣＮ３１２－１は第１の顧客のためのものである。第２のＶＣＮ３１２－２は第２の顧客のためのものであり、第２の顧客は第１の顧客と同じではない。よって、１つのデバイス上の複数のＮＥＶＦを使用して、異なる仮想クラウドネットワークに属する仮想マシンをサポートすることができる。

第１の仮想化エンジン１０４－１および第３の仮想化エンジン１０４－３は、第１のキー管理サービス２０８－１から第１の暗号キー３０４－１を受け取る。第２の仮想化エンジン１０４－２および第４の仮想化エンジン１０４－４は、第２のキー管理サービス２０８－２から第２の暗号キー３０４－２を受け取る。第２の暗号キー３０４－２は第１の暗号キー３０４－１とは異なる。いくつかの実施形態では、第２のＶＣＮ３１２－２の仮想化エンジン１０４は、第１のＶＣＮ３１２－１の仮想化エンジン１０４と同じキー管理サービスから第２の暗号キー３０４－２を受け取る（たとえば、第２のＶＣＮ３１２－２の仮想化エンジン１０４は、第１のキー管理サービス２０８－１から第２の暗号キー３０４－２を受け取る）。

第１の仮想エンジン１０４－１は、第１の暗号キー３０４－１を第１のメモリデバイス１１２－１に格納する。第２の仮想エンジン１０４－２は、第２の暗号キー３０４－２を第２のメモリデバイス１１２－２に格納する。同様に、第３の仮想化エンジン１０４－３および第４の仮想化エンジン１０４－４は各々、それぞれの暗号キー３０４をメモリデバイス１１２に格納する。ネットワーク仮想化デバイス１００のホストは、第１の暗号キー３０４－１または第２の暗号キー３０４－２へのアクセスを有していない。仮想マシン１０８ごとに１つの仮想化エンジン１０４を有することによって（たとえば、仮想マシン１０８ごとに１つのメモリデバイス１１２などの専用リソースを有することによって）、１つのネットワーク仮想化デバイス１００が複数の顧客のための複数のＶＣＮ３１２をセキュアにサポートすることが可能になる。各顧客がＶＣＮ３１２についての自身の暗号キー３０４を管理するので、各顧客のデータをセキュアに管理することができる。さらに、ホストのデータが危険に晒されてもＶＣＮ３１２のデータが危険に晒されることはないので、一層のセキュリティ信頼性を顧客に提供することができる。

図４は、仮想クラウドネットワークでデータを暗号化するプロセス４００の一実施形態を示すフローチャートである。プロセス４００は、ステップ４０２で第１の仮想マシンをインスタンス化することで始まる。たとえば、図１に示されるように第１の仮想化エンジン１０４－１が第１の仮想マシン１０８－１をインスタンス化する。ステップ４０４において、第２の仮想マシンをインスタンス化する。たとえば、図１において第２の仮想化エンジン１０４－２が第２の仮想マシン１０８－２をインスタンス化する。図１に示されるように、仮想化エンジン１０４はメモリデバイス１１２および暗号プロセッサ１１６を含む。

第１のキーは、第１のメモリデバイスに格納される（ステップ４０６）。たとえば、図２に示されるように、暗号キー２０４は、第１の仮想化エンジン１０４－１の第１のメモリデバイス１１２－１に格納される。第１のキーは、キー管理サービスから取り出され（たとえば、キー管理サービスから要求され、または、キー管理サービスによりプッシュされ）得る。いくつかの実施形態では、仮想クラウドネットワークの顧客は、第１の仮想化エンジン１０４－１のホストがキーへのアクセスを有さないように、第１のキーを制御する。

第２のキーは、第２のメモリデバイスに格納される（ステップ４０８）。たとえば、図２に示されるように、暗号キー２０４は、第２の仮想化エンジン１０４－２の第２のメモリデバイス１１２－２に格納される。第２のキーは、キー管理サービスから取り出され（たとえば、キー管理サービスから要求され、または、キー管理サービスによりプッシュされ）得る。いくつかの実施形態では、仮想クラウドネットワークの顧客は、仮想化エンジン１０４のホストが第２のキーへのアクセスを有さないように、第２のキーを制御する。図２に示されるように、第２のキーは第１のキーと同じであってもよい。図３に示されるように、第２のキーは第１のキーとは異なっていてもよい。たとえば、第２の仮想マシンは第１の仮想マシンとは異なる仮想クラウドネットワークの一部であるため、第２のキーは第１のキーとは異なる場合がある。

ステップ４１０において、第１のキーを使用して第１の仮想マシンのデータを暗号化する。たとえば、図１において第１の暗号プロセッサ１１６－１が第１の仮想マシン１０８－１からの送信データＴＸを暗号化する。ステップ４１２において、第２のキーを使用して第２の仮想マシンのデータを暗号化する。たとえば、図１において第２の暗号プロセッサ１１６－２が第２の仮想マシン１０８－２からの送信データＴＸを暗号化する。第１の仮想マシン１０８－１および第２の仮想マシン１０８－２が同じ仮想クラウドネットワークの一部である場合、第１の仮想マシン１０８－１は、同じキーを使用してデータをセキュアに第２の仮想マシン１０８－２に送信および／または第２の仮想マシン１０８－２から受信することができる（たとえば図２参照）。しかしながら、図３に示されるように第１のキーが第２のキーとは異なる場合、第１の仮想マシン１０８－１は、（図３の第１のＶＣＮ３１２－１と第２のＶＣＮ３１２－２との間に何らかの追加の取り決めがない限り）暗号化されたデータを第２の仮想マシン１０８－２に送信および／または第２の仮想マシン１０８－２から受信しない。

第１の仮想化エンジン１０４－１および第２の仮想化エンジン１０４－２は、同じデバイス上にある（たとえば、サーバ内の同じカードの一部である）。仮想化エンジン１０４は１つの仮想マシンのみをインスタンス化するために使用されるので、および／または、仮想化エンジンは１つ以上の専用リソースを有するので、ネットワーク仮想化デバイスのホストが第１のキーまたは第２のキーへのアクセスを有することなく、各仮想マシンへのおよび各仮想マシンからのデータをセキュアに暗号化および／または復号することができる。

図５は、複数の暗号キーを使用して複数の仮想クラウドネットワークのデータ暗号化を行うプロセス５００の一実施形態を示すフローチャートである。プロセス５００は、ステップ５０２で第１の顧客のための仮想マシンの第１のセットをインスタンス化することで始まる。仮想エンジンの第１のセットを使用して、仮想マシンの第１のセットをインスタンス化する。仮想マシンの第１のセットは、第１の仮想クラウドネットワークの一部である。この実施形態では、１セットは２つ以上を含む。たとえば、図３において第１の仮想化エンジン１０４－１および第３の仮想化エンジン１０４－３を使用して第１の仮想マシン１０８－１および第３の仮想マシン１０８－３をインスタンス化し、第１の仮想マシン１０８－１および第３の仮想マシン１０８－３は第１の仮想クラウドネットワーク３１２－１の一部である。

第２の顧客のための仮想マシンの第２のセットをインスタンス化する（ステップ５０４）。仮想エンジンの第２のセットを使用して、仮想マシンの第２のセットをインスタンス化する。仮想マシンの第２のセットは、第２の仮想クラウドネットワークの一部である。たとえば、図３において第２の仮想化エンジン１０４－２および第４の仮想化エンジン１０４－４を使用して第２の仮想マシン１０８－２および第４の仮想マシン１０８－４をインスタンス化し、第２の仮想マシン１０８－２および第４の仮想マシン１０８－４は第２の仮想クラウドネットワーク３１２－２の一部である。

ステップ５０６において、第１のキー、たとえば図３の第１の暗号キー３０４－１を、第１の仮想クラウドネットワークの仮想マシンをインスタンス化するために使用される仮想化エンジンによって受け取る。第２のキー、たとえば図３の第２の暗号キー３０４－２を、第２の仮想クラウドネットワークの仮想マシンをインスタンス化するために使用される仮想化エンジンによって受け取る（ステップ５０８）。第１のキーは第１のキー管理サービスから受け取ることができ、第２のキーは第１のキー管理サービスとは異なる第２のキー管理サービスから受け取ることができる。

第１のキーを使用して第１の顧客のデータを暗号化する（ステップ５１０）。第２のキーを使用して第２の顧客のデータを暗号化する（ステップ５１２）。ホストは第１のキーおよび／または第２のキーへのアクセスを有していない。

図６は、ＶＰＮ（仮想プライベートネットワーク）ゲートウェイ６０４を通じてデータを受信する仮想クラウドネットワーク３１２の一実施形態を示す図である。データは、顧客ヘッドエンド６０８（たとえばＶＰＮヘッドエンド）上で暗号化される。ヘッドエンドとは、セキュリティ保護された伝送リンクの終端として使用されるデバイスである。顧客ヘッドエンド６０８は、顧客オンプレミスネットワーク６１２の一部である。データは、顧客ヘッドエンド６０８からＶＰＮゲートウェイ６０４に（たとえばＩｎｅｔゲートウェイ６１６を通じて）送信される。ＶＰＮゲートウェイは、ＶＣＮ３１２のホストによって所有および／または操作される。顧客ヘッドエンド６０８からＶＰＮゲートウェイ６０４にインターネットプロトコルセキュリティ（ＩＰＳｅｃ）トンネルを形成することができるので、データパケットは顧客ヘッドエンド６０８において暗号化されてＶＰＮゲートウェイ６０４において復号され、ＶＰＮゲートウェイ６０４から顧客ヘッドエンド６０８に送信される暗号化されたデータについてはその逆である。顧客ヘッドエンド６０８からＶＰＮゲートウェイ６０４に送信されるデータは、パブリックリンク（たとえばインターネット）またはプライベートリンク（たとえばOracle FastConnectを使用する）を介して送信することができる。ＩＰＳｅｃトンネルはレイヤ１および／またはレイヤ２暗号化を使用することができる。

ＶＰＮゲートウェイ６０４において、ホストは１以上の顧客からデータを受信することができる。いくつかの実施形態では、ＶＰＮゲートウェイ６０４は、単一の顧客に専用のベアメタルホスト、または複数の顧客からのＶＰＮ接続を終端させる複数のＮＥＶＦを有するネットワークハードウェアを有するマルチテナントホストとすることができる。リダイレクタ６２０は、第１の顧客からのデータを第１のネットワーク仮想化デバイス６２４－１にルーティングし、第２の顧客からのデータを第２のネットワーク仮想化デバイス６２４－２にルーティングするために使用される。第１のネットワーク仮想化デバイス６２４－１は、第１の顧客のデータを第１の仮想クラウドネットワーク３１２－１のために暗号化する。第２のネットワーク仮想化デバイス６２４－２は、第２の顧客のデータを第２の仮想クラウドネットワーク３１２－２のために暗号化する。

暗号化されていないデータがＶＰＮゲートウェイ６０４からリダイレクタ６２０に送信される。ネットワーク仮想化デバイス６２４は、データを仮想クラウドネットワーク３１２のために暗号化するように構成されている。たとえば、ネットワーク仮想化デバイス６２４は、図２に示されるような仮想化エンジン１０４である。仮想エンジン１０４は図２に示されるようにキー管理サービス２０８から暗号キー２０４を受け取ることができるので、顧客によってプロビジョニングされた暗号キー２０４を使用して仮想クラウドネットワーク３１２内のデータを暗号化することができる。

顧客オンプレミスネットワーク６１２は、ホストによって所有および／または維持されるデバイスを含む。たとえば、顧客ヘッドエンド６０８は、顧客によって所有および／または維持されるマシン内のネットワークカードである。いくつかの実施形態では、顧客ヘッドエンド６０８はＶＰＮゲートウェイ６０４（たとえばホストによって所有および／または維持されるネットワークカード）から５キロメートル、１０キロメートル、２０キロメートル、５０キロメートル、１００キロメートル、５００キロメートル、またはそれ以上離れている。

ＶＰＮゲートウェイ６０４、リダイレクタ６２０、およびネットワーク仮想化デバイス６２４は、クラウドサービスプロバイダインフラストラクチャ（ＣＳＰＩ）６２８の一部である。ホストは、ＣＳＰＩ６２８を所有および／または維持する。したがって、ホストは、ＶＰＮゲートウェイ６０４からネットワーク仮想化デバイス６２４へのデータセキュリティがある場合は、そのデータセキュリティを管理する。これに加えて、顧客ヘッドエンド６０８からＶＰＮゲートウェイ６０４にＩＰＳｅｃトンネルを確立するために、顧客およびホストは、（たとえば対称暗号化の場合は）１つのキーを共有する、および／または（たとえば非対称暗号化の場合は）複数のキーを共有する。たとえば、ホストが顧客にＩＰＳｅｃトンネルを確立するためのキーを与えることができ、顧客がホストに当該キーを与えることができ、または顧客とホストが暗号化スキームに合意することができる。

図７は、仮想クラウドネットワーク（ＶＣＮ）ヘッドエンド７０４を通じてデータを受信する仮想クラウドネットワークの一実施形態を示す図である。いくつかの状況において、顧客は、ホストが暗号化に使用されるデータおよび／またはキーへのアクセスを有することなく、顧客オンプレミスネットワーク６１２から仮想クラウドネットワーク３１２にセキュアに到達することを所望するかもしれない。たとえば、ＶＰＮゲートウェイ６０４は、顧客ヘッドエンド６０８からのデータを復号するために、ホストがアクセスできる暗号化キーを使用する。さらに、顧客は、自身のデータがホストのマシン間で暗号化されずに送信されることを所望しないかもしれない。たとえば、図６においてデータはリダイレクタ６２０を通じて暗号化されない。

ＶＣＮヘッドエンド７０４は、顧客が自身のオンプレミスネットワークからＶＣＮにセキュアに到達できるようにするために（本開示ではエンドツーエンド暗号化と呼ばれる）、および／または顧客が暗号化キーを制御／管理できるようにするために、使用される。ＶＣＮヘッドエンド７０４は、特定の顧客に専用のネットワークリソースである（たとえば、ホストは電気および／または冷却を提供するが、ホストはＶＣＮヘッドエンド７０４にログインできない）。いくつかの実施形態では、ＶＣＮヘッドエンド７０４は、スマートＮＩＣ、または１つもしくはいくつかのＮＩＣ、ＳｍａｒｔＴｏＲなどの他のネットワーク仮想化デバイスであるか、またはそれを含み得る。スマートＮＩＣは、特定用途向け集積回路（ＡＳＩＣ）、フィールドプログラマブルゲートアレイ（ＦＰＧＡ）、またはシステムオンチップ（ＳｏＣ）とすることができる。ＶＣＮヘッドエンド７０４は、１つ以上のプロセッサおよび１つ以上のメモリデバイスを含み得る。

データは、暗号化キー７０８を使用して顧客ヘッドエンド６０８からＶＣＮヘッドエンド７０４に暗号化される。ＶＣＮヘッドエンド７０４は、暗号化されたデータをパブリックリンク（たとえばパブリックインターネット）を介しておよび／またはプライベートリンク（たとえばOracle FastConnect）を介して受信するように構成され得る。たとえば、顧客ヘッドエンド６０８からＶＣＮヘッドエンド７０４にＶＰＮトンネルが形成され、顧客ヘッドエンド６０８およびＶＣＮヘッドエンド７０４はＶＰＮトンネルの終端点である。したがって、ＶＰＮトンネルを図６に示されるようにＶＰＮゲートウェイ６０４で終端させる代わりに、ＶＰＮトンネルはＶＣＮヘッドエンド７０４で終端する（たとえば、ＶＰＮゲートウェイ６０４をバイパスする、および／またはリダイレクタ６２０をバイパスする）。

ＶＣＮヘッドエンド７０４は顧客専用のリソースであるので、顧客は、ＶＣＮヘッドエンド７０４のメモリデバイスにおいて暗号化キー７０８をセキュアにプロビジョニングすることができる。たとえば、顧客は、ＶＣＮヘッドエンド７０４にログインして暗号化キー７０８をプロビジョニングすることができる、および／または、顧客は、キー管理サービス２０８を使用して暗号キー３０４を仮想化デバイス１０４にプロビジョニングするのと同様に、図２のキー管理サービス２０８を使用して暗号化キー７０８をプロビジョニングすることができる。たとえば、キー管理サービス２０８は、ＶＣＮヘッドエンド７０４が暗号化キー７０８を受け取る適切な許可またはクレデンシャルを有していることを確認（たとえば認証）した後、ＶＣＮヘッドエンド７０４に暗号化キー７０８を与えることができる。

ＶＣＮヘッドエンド７０４は、特定の実施形態では、仮想機能を提供しない物理デバイスである。復号されたデータが、ＶＣＮヘッドエンド７０４からネットワーク仮想化デバイス６２４に送信される。示されている実施形態では、ＶＣＮヘッドエンド７０４およびネットワーク仮想化デバイス６２４は、ＶＣＮゲートウェイ７１２の一部である。たとえば、ＶＣＮゲートウェイ７１２は、２つのネットワークカード、すなわち、ＶＣＮヘッドエンド７０４のための１つのネットワークカードおよびネットワーク仮想化デバイス６２４のための第２のネットワークカードを有する物理ホストである。ＶＣＮゲートウェイ７１２は、ホストの他の顧客がＶＣＮゲートウェイ７１２を使用しないように、ある顧客に専用とすることができる。一例では、ＶＣＮヘッドエンド７０４およびネットワーク仮想化デバイス６２４は、暗号化されていないデータがＶＣＮヘッドエンド７０４からネットワーク仮想化デバイス６２４に送信されている間のセキュリティを高めるために、同じサーバの一部である。いくつかの実施形態では、ＶＣＮヘッドエンド７０４は、（たとえばセキュリティのために）ネットワーク仮想化デバイス６２４と同じ基板（たとえばネットワークカード）上に、同じラック上に、および／または同じ空間内にある。ＶＣＮヘッドエンド７０４およびネットワーク仮想化デバイス６２４は、必要に応じてトラフィックを処理する高性能ＮＩＣの一部とすることができる。ＶＣＮゲートウェイ７１２は、ＩＰＳｅｃトンネルを終端させることができ、また、暗号キーをプロビジョニングしてトラフィックを暗号化して当該トラフィックを仮想クラウドネットワークに送り込むＮＥＶＦを有する。ＶＣＮゲートウェイ７１２は、顧客が暗号キー３０４および暗号化キー７０８の両方を制御／管理することを可能にする。ＶＣＮゲートウェイ７１２はクラウドサービスプロバイダインフラストラクチャ（ホストのインフラストラクチャ）の一部であるが、ホストは暗号化キー７０８を管理しない、または暗号化キー７０８へのアクセスを有していない。

ネットワーク仮想化デバイス６２４は、（たとえばネットワーク暗号化仮想機能を使用して）データを仮想クラウドネットワーク３１２のために暗号化するために使用される。たとえば、ネットワーク仮想化デバイス６２４は、図１～図３で説明したような仮想化エンジン１０４であり、暗号キー３０４を使用してデータを仮想クラウドネットワーク３１２のために暗号化する。よって、ネットワーク仮想化デバイス６２４は、仮想クラウドネットワーク３１２における仮想マシンのインスタンスを提供することができる。

いくつかの実施形態では、ネットワーク仮想化デバイス６２４はＶＣＮヘッドエンド７０４の一部であるので、ＶＰＮトンネルを仮想クラウドネットワーク３１２のインスタンスで終端させることができる。ＶＣＮゲートウェイ７１２は、暗号化キー７０８を使用してデータを復号し、暗号キー３０４を使用してデータを暗号化するために使用することができる。

いくつかの構成では、単一の顧客が２つ以上のＶＣＮヘッドエンド７０４を有することができる。たとえば、大容量を有する顧客は、１つ以上の仮想クラウドネットワーク３１２にデータをセキュアにアップロードおよび／またはダウンロードするために帯域幅を増やすように、複数のＶＣＮヘッドエンド７０４を有する場合がある。単一の顧客をサポートする複数のＶＣＮヘッドエンド７０４に１つの暗号化キー７０８を使用することができる、または、異なるＶＣＮヘッドエンド７０４に異なる暗号化キー７０８を使用することができる。顧客が暗号化キー７０８をプロビジョニングするので、顧客は１つの暗号化キー７０８を有すべきか複数の暗号化キー７０８を有すべきかを決めることができる。いくつかの実施形態では、複数のＶＣＮヘッドエンド７０４に１つのＮＩＣが使用される。

いくつかの構成では、暗号化キー７０８は長寿命のキーである（たとえば、毎週、毎月、または手動でローテーションまたは変更される）。暗号キー３０４は短寿命のキーであり得る（たとえば、４時間ごと、８時間ごと、１２時間ごと、２４時間ごと、または３６時間ごとなど、毎週または毎日よりも短い周期でローテーションまたは変更される）。よって、暗号化キー７０８は、暗号キー３０４よりも変更される頻度が低いように構成され得る。

システムは、ネットワークヘッドエンドデバイス（たとえばＶＣＮヘッドエンド７０４）を含み得る。ネットワークヘッドエンドデバイスは、顧客によってプロビジョニングされた第１のキー（たとえば暗号化キー７０８）を受け取るように構成され得る（たとえば、顧客は、ＶＣＮヘッドエンド７０４にログインして第１のキーをプロビジョニングすることができる、および／またはキー管理サービスを使用することができる）。ネットワークヘッドエンドデバイスは、顧客のデバイスから第１のデータパケットを受信するように構成されている。たとえば、ネットワークヘッドエンドデバイスは、顧客ヘッドエンド６０８からデータを受信するように構成されている。ネットワークヘッドエンドデバイスは、第１のキーを使用して第１のデータパケットを復号して情報を取得するように構成されている。当該情報は、復号されたデータの少なくとも一部である。ネットワーク仮想化デバイス（たとえばネットワーク仮想化デバイス６２４）は、第１のデータパケットが復号された後にネットワークヘッドエンドデバイスから情報を受信し、情報が仮想クラウドネットワーク内の仮想マシン（たとえば仮想クラウドネットワーク３１２内の仮想マシン）に送信されるべきであることを確認し、第２のキーを使用して情報を暗号化して第２のデータパケットを生成するように構成されている。たとえば、情報は暗号キー３０４を使用して暗号化される。第２のデータパケットは仮想マシンに（たとえば、仮想マシンをインスタンス化するために使用されるネットワーク仮想化デバイスに）ルーティングされる。

図８は、顧客のための２つ以上の仮想クラウドネットワーク３１２をサポートする１つのＶＣＮゲートウェイ７１２の実施形態を示す図である。顧客ヘッドエンド６０８からのデータが、暗号化キー７０８を使用してＶＣＮヘッドエンド７０４にセキュアに送信される。ＶＣＮヘッドエンド７０４はＶＣＮゲートウェイ７１２の一部である。ＶＣＮゲートウェイは、第１のネットワーク仮想化デバイス６２４－１および第２のネットワーク仮想化デバイス６２４－２を含む。２つのネットワーク仮想化デバイス６２４、および２つの仮想クラウドネットワーク３１２が示されているが、３つ以上（たとえば、３個、４個、５個、１０個、２０個、またはそれ以上）を使用することができる。図７に関連して言及したように、２つ以上（たとえば、２個、３個、４個、またはそれ以上）のＶＣＮヘッドエンド７０４を使用することもできる。

顧客ヘッドエンド６０８から受信したデータを復号した後、ＶＣＮヘッドエンド７０４は、当該データが第１の仮想クラウドネットワーク３１２－１向けのものであるか、第２の仮想クラウドネットワーク３１２－２向けのものであるか、または第１の仮想クラウドネットワーク３１２－１および第２の仮想クラウドネットワーク３１２－２の両方向けのものであるかを判断する。第１の仮想クラウドネットワーク３１２－１向けのデータの場合、データは、第１のネットワーク仮想化デバイス６２４－１を使用して第１の暗号キー３０４－１を使用して再暗号化され、第１の仮想ネットワーク３１２－１に送信される。第２の仮想クラウドネットワーク３１２－２向けのデータの場合、データは、第２のネットワーク仮想化デバイス６２４－２を使用して第２の暗号キー３０４－２を使用して再暗号化され、第２の仮想クラウドネットワーク３１２－２に送信される。よって、１つのＶＣＮヘッドエンド７０４は、顧客のための複数の仮想クラウドネットワーク３１２をサポートするために使用され得る。いくつかの実施形態では、１つのＮＩＣが複数のネットワーク仮想化デバイス６２４に使用される。いくつかの実施形態では、複数のネットワーク仮想化デバイス６２４は、ＶＣＮヘッドエンド７０４と同じＮＩＣの一部である。他の実施形態では、ＶＣＮヘッドエンド７０４は、ネットワーク仮想化デバイス６２４とは異なるＮＩＣ上にある。

図９は、仮想クラウドネットワークのエンドツーエンド暗号化のためのプロセス９００の一実施形態を示すフローチャートである。プロセス９００は、ステップ９０２でネットワークヘッドエンドデバイスにおいて第１のキーを受け取ることで始まる。たとえば、図７に示される暗号化キー７０８が第１のキーであり、ＶＣＮヘッドエンド７０４がネットワークヘッドエンドデバイスである。第１のキーは、（たとえば、第１のキーが顧客によって管理され、ホストは第１のキーが何かが分からないように）顧客によってプロビジョニングすることができる。ステップ９０４において、ネットワークヘッドエンドデバイスは第１のデータパケットを受信する。たとえば、ＶＣＮヘッドエンド７０４は、顧客のデバイスから（たとえば顧客ヘッドエンド６０８から）暗号化されたデータを受信する。ネットワークヘッドエンドデバイスは、第１のデータパケットを復号して情報を取得する（ステップ９０６）。当該情報は、復号された第１のデータパケットの少なくとも一部である。いくつかの実施形態では、ゲートウェイ（たとえば図６のＶＰＮゲートウェイ６０４）は、第１のキーを使用して顧客ヘッドエンド６０８からのＶＰＮトンネルを終端させ、第２のキーを使用してトラフィックを再暗号化してＶＣＮ内のインスタンス（たとえばＶＭ／ＢＭ）にパケットを送信することができ、ここで、第２のキーはＶＣＮ暗号化キーである。

ネットワークヘッドエンドデバイスはネットワーク仮想化デバイスに情報を送信し、その結果、ネットワーク仮想化デバイスはネットワークヘッドエンドデバイスから情報を受信する（ステップ９０８）。たとえば、図７において、ＶＣＮヘッドエンド７０４は復号されたデータをネットワーク仮想化デバイス６２４に送信する。いくつかの実施形態では、ネットワーク仮想化デバイス６２４はＶＣＮヘッドエンド７０４に一体化されたコンポーネントとすることができる。ステップ９１０において、ネットワーク仮想化デバイスは、第２のキーを使用して情報を暗号化して第２のデータパケットを生成する。たとえば、ネットワーク仮想化デバイス６２４は、暗号キー３０４を使用してデータを仮想クラウドネットワーク３１２のために暗号化する。そして、第２のデータパケットは仮想クラウドネットワーク内の仮想マシンにルーティングされる。たとえば、図７において、暗号化されたデータがネットワーク仮想化デバイス６２４によって仮想クラウドネットワーク３１２に送信される。

いくつかの構成では、図７の顧客ヘッドエンド６０８からＶＣＮヘッドエンド７０４へのデータが暗号化され、またはネットワーク仮想化デバイス６２４から仮想クラウドネットワーク３１２へのデータが暗号化されるが、これら両方が暗号化されることはない。いくつかの実施形態では、ネットワーク仮想化デバイス６２４は、ＶＣＮヘッドエンド７０４から受信した情報を暗号化する前に、仮想クラウドネットワーク内のデータが暗号化されるべきであることを確認する。

サービスとしてのインフラストラクチャ（Infrastructure as a service：ＩａａＳ）は、ある特定のタイプのクラウドコンピューティングである。ＩａａＳは、パブリックネットワーク（たとえばインターネット）を介して仮想化コンピューティングリソースを提供するように構成され得る。ＩａａＳモデルでは、クラウドコンピューティングプロバイダは、インフラストラクチャコンポーネント（たとえば、サーバ、ストレージデバイス、ネットワークノード（たとえばハードウェア）、展開ソフトウェア、プラットフォーム仮想化（たとえばハイパーバイザ層）など）をホストし得る。いくつかの場合において、ＩａａＳプロバイダはまた、それらのインフラストラクチャコンポーネントに付随するさまざまなサービス（たとえば、課金、監視、ロギング、セキュリティ、ロードバランシングおよびクラスタリングなど）を提供してもよい。よって、これらのサービスはポリシー駆動型であり得るので、ＩａａＳユーザは、ロードバランシングを駆動するポリシーを実現して、アプリケーションの可用性および性能を維持することが可能であり得る。

いくつかの例では、ＩａａＳ顧客は、インターネットなどのワイドエリアネットワーク（ＷＡＮ）を通じてリソースおよびサービスにアクセスしてもよく、クラウドプロバイダのサービスを利用してアプリケーションスタックの残りの要素をインストールすることができる。たとえば、ユーザは、ＩａａＳプラットフォームにログインして、仮想マシン（ＶＭ）を作成し、各ＶＭ上にオペレーティングシステム（ＯＳ）をインストールし、データベースなどのミドルウェアを展開し、ワークロードおよびバックアップ用のストレージバケットを作成し、さらにはそのＶＭに企業向けソフトウェアをインストールすることができる。そして顧客は、プロバイダのサービスを利用して、ネットワークトラフィックのバランシング、アプリケーション問題のトラブルシューティング、パフォーマンスの監視、ディザスタリカバリの管理などを含むさまざまな機能を実行することができる。

ほとんどの場合、クラウドコンピューティングモデルはクラウドプロバイダの参加を使用する。クラウドプロバイダは、ＩａａＳを提供する（たとえば、オファーする、レンタルする、販売する）ことに特化した第三者サービスであってもよいが、そうでなくてもよい。また、エンティティが、プライベートクラウドを展開することを選択して、エンティティ自身のインフラストラクチャサービスのプロバイダになってもよい。

いくつかの例では、ＩａａＳ展開は、新しいアプリケーションまたは新しいバージョンのアプリケーションを準備されたアプリケーションサーバなどに置くプロセスである。ここれは、サーバを準備する（たとえば、ライブラリ、デーモンなどをインストールする）プロセスも含み得る。これは、クラウドプロバイダによって、ハイパーバイザ層（たとえば、サーバ、ストレージ、ネットワークハードウェア、および仮想化）の下で管理されることが多い。よって、顧客は、（たとえば、（たとえば、オンデマンドでスピンアップされ得る）セルフサービス仮想マシン上の）ハンドリング（ＯＳ）、ミドルウェア、および／またはアプリケーション展開などを担ってもよい。

いくつかの例では、ＩａａＳプロビジョニングは、使用されるコンピュータまたは仮想ホストを取得すること、さらには、必要なライブラリまたはサービスをそれらにインストールすることを指すことがある。ほとんどの場合、展開はプロビジョニングを含まず、プロビジョニングは最初に実行される必要があり得る。

いくつかの場合において、ＩａａＳプロビジョニングには２つの異なる課題がある。第１に、何かが動作する前にインフラストラクチャの初期セットをプロビジョニングするという最初の課題がある。第２に、すべてがプロビジョニングされた後に既存のインフラストラクチャを発展させる（たとえば、新しいサービスを追加する、サービスを変更する、サービスを削除するなど）という課題がある。いくつかの場合において、これらの２つの課題は、インフラストラクチャの構成を宣言的に定義することを可能にすることによって対処してもよい。言い換えれば、インフラストラクチャ（たとえば、どのコンポーネントが必要であり、それらがどのようにやり取りするか）は、１つ以上の構成ファイルによって定義され得る。よって、インフラストラクチャの全体的なトポロジ（たとえば、どのリソースがどのリソースに依存するのか、およびそれらが各々どのように連携するのか）は、宣言的に記述され得る。いくつかの例では、トポロジが定義されると、構成ファイルに記述されている異なるコンポーネントを作成および／または管理するワークフローが生成され得る。

いくつかの例では、インフラストラクチャは、相互接続された多くの要素を有し得る。たとえば、コアネットワークとしても知られている１つ以上の仮想プライベートクラウド（ＶＰＣ）（たとえば、構成可能なおよび／または共有されるコンピューティングリソースの、潜在的にオンデマンドのプール）が存在し得る。いくつかの例では、ネットワークのセキュリティがどのようにセットアップされるかを定義するためにプロビジョニングされる１つ以上のセキュリティグループルール、および１つ以上の仮想マシン（ＶＭ）も存在し得る。ロードバランサ、データベースなどの他のインフラストラクチャ要素もプロビジョニングされ得る。所望されるおよび／または追加されるインフラストラクチャ要素が増えるにつれて、インフラストラクチャは漸進的に進化し得る。

いくつかの例では、さまざまな仮想コンピューティング環境にわたってインフラストラクチャコードの展開を可能にするために、連続的な展開技術が採用されてもよい。これに加えて、記載されている技術は、これらの環境内でインフラストラクチャ管理を可能にし得る。いくつかの例では、サービスチームが、１つ以上の、ただし多くの場合多くの、異なるプロダクション環境（たとえば、時には世界全体に及ぶ、多種多様な地理的場所にわたる）に展開されることが所望されるコードを書き込み得る。しかしながら、いくつかの例では、コードが展開されるインフラストラクチャを最初にセットアップしなければならない。いくつかの例では、プロビジョニングは手動で行うことができ、プロビジョニングツールを利用してリソースをプロビジョニングしてもよく、および／または、インフラストラクチャがプロビジョニングされると展開ツールを利用してコードを展開してもよい。

図１０は、少なくとも１つの実施形態に係る、ＩａａＳアーキテクチャの例示的なパターンを示すブロック図１０００である。サービスオペレータ１００２は、仮想クラウドネットワーク（ＶＣＮ）１００６とセキュアホストサブネット１００８とを含み得るセキュアホストテナンシ１００４に通信可能に結合され得る。いくつかの例では、サービスオペレータ１００２は、１つ以上のクライアントコンピューティングデバイスを使用していてもよい。クライアントコンピューティングデバイスは、Microsoft Windows Mobile（登録商標）などのソフトウェア、および／またはiOS、Windows Phone、Android、BlackBerry 8、Palm OSなどのさまざまなモバイルオペレーティングシステムを実行し、インターネット、電子メール、ショートメッセージサービス（ＳＭＳ）、Blackberry（登録商標）、または他の通信プロトコルに対応する、ポータブルハンドヘルドデバイス（たとえば、iPhone（登録商標）、携帯電話、iPad（登録商標）、コンピューティングタブレット、携帯情報端末（ＰＤＡ））またはウェアラブルデバイス（たとえば、Google Glass（登録商標）ヘッドマウントディスプレイ）であってもよい。これに代えて、クライアントコンピューティングデバイスは、例として、さまざまなバージョンのMicrosoft Windows（登録商標）、Apple Macintosh（登録商標）、および／またはLinux（登録商標）オペレーティングシステムを実行するパーソナルコンピュータおよび／またはラップトップコンピュータを含む汎用パーソナルコンピュータであってもよい。クライアントコンピューティングデバイスは、限定されないがたとえばGoogle Chrome OSなどのさまざまなGNU/Linux（登録商標）オペレーティングシステムを含む、さまざまな市販のUNIX（登録商標）またはUNIX（登録商標）系オペレーティングシステムのうちのいずれかを実行するワークステーションコンピュータであってもよい。これに代えてまたはこれに加えて、クライアントコンピューティングデバイスは、ＶＣＮ１００６および／またはインターネットにアクセスできるネットワークを介して通信可能なその他の電子デバイス、たとえば、シンクライアントコンピュータ、インターネット対応のゲームシステム（たとえば、Kinect（登録商標）ジェスチャ入力デバイスを有するまたは有さないMicrosoft Xboxのゲームコンソール）、および／またはパーソナルメッセージングデバイスであってもよい。

ＶＣＮ１００６は、ローカルピアリングゲートウェイ（ＬＰＧ）１０１０を含み得る。ＬＰＧ１０１０は、ＳＳＨＶＣＮ１０１２に含まれるＬＰＧ１０１０を介してセキュアシェル（ＳＳＨ）ＶＣＮ１０１２に通信可能に結合され得る。ＳＳＨＶＣＮ１０１２はＳＳＨサブネット１０１４を含み得、ＳＳＨＶＣＮ１０１２は、制御プレーンＶＣＮ１０１６に含まれるＬＰＧ１０１０を介して制御プレーンＶＣＮ１０１６に通信可能に結合され得る。また、ＳＳＨＶＣＮ１０１２は、ＬＰＧ１０１０を介してデータプレーンＶＣＮ１０１８に通信可能に結合され得る。制御プレーンＶＣＮ１０１６およびデータプレーンＶＣＮ１０１８は、ＩａａＳプロバイダによって所有および／または操作され得るサービステナンシ１０１９に含まれ得る。

制御プレーンＶＣＮ１０１６は、周辺ネットワーク（たとえば、企業イントラネットと外部ネットワークとの間の企業ネットワークの部分）として機能する制御プレーンデミリタライズドゾーン（ＤＭＺ）層１０２０を含み得る。ＤＭＺベースのサーバは、制限された責任を有し、セキュリティ侵害を抑制するのを助け得る。これに加えて、ＤＭＺ層１０２０は、１つ以上のロードバランサ（ＬＢ）サブネット１０２２と、アプリサブネット１０２６を含み得る制御プレーンアプリ層１０２４と、データベース（ＤＢ）サブネット１０３０（たとえばフロントエンドＤＢサブネットおよび／またはバックエンドＤＢサブネット）を含み得る制御プレーンデータ層１０２８とを含み得る。制御プレーンＤＭＺ層１０２０に含まれるＬＢサブネット１０２２は、制御プレーンアプリ層１０２４に含まれるアプリサブネット１０２６と、制御プレーンＶＣＮ１０１６に含まれ得るインターネットゲートウェイ１０３４とに通信可能に結合され得、アプリサブネット１０２６は、制御プレーンデータ層１０２８に含まれるＤＢサブネット１０３０と、サービスゲートウェイ１０３６と、ネットワークアドレス変換（ＮＡＴ）ゲートウェイ１０３８とに通信可能に結合され得る。制御プレーンＶＣＮ１０１６は、サービスゲートウェイ１０３６およびＮＡＴゲートウェイ１０３８を含み得る。

制御プレーンＶＣＮ１０１６は、アプリサブネット１０２６を含み得るデータプレーンミラーアプリ層１０４０を含み得る。データプレーンミラーアプリ層１０４０に含まれるアプリサブネット１０２６は、計算インスタンス１０４４を実行し得る仮想ネットワークインターフェイスコントローラ（ＶＮＩＣ）１０４２を含み得る。計算インスタンス１０４４は、データプレーンミラーアプリ層１０４０のアプリサブネット１０２６を、データプレーンアプリ層１０４６に含まれ得るアプリサブネット１０２６に通信可能に結合し得る。

データプレーンＶＣＮ１０１８は、データプレーンアプリ層１０４６と、データプレーンＤＭＺ層１０４８と、データプレーンデータ層１０５０とを含み得る。データプレーンＤＭＺ層１０４８は、データプレーンアプリ層１０４６のアプリサブネット１０２６およびデータプレーンＶＣＮ１０１８のインターネットゲートウェイ１０３４に通信可能に結合され得るＬＢサブネット１０２２を含み得る。アプリサブネット１０２６は、データプレーンＶＣＮ１０１８のサービスゲートウェイ１０３６およびデータプレーンＶＣＮ１０１８のＮＡＴゲートウェイ１０３８に通信可能に結合され得る。データプレーンデータ層１０５０も、データプレーンアプリ層１０４６のアプリサブネット１０２６に通信可能に結合され得るＤＢサブネット１０３０を含み得る。

制御プレーンＶＣＮ１０１６およびデータプレーンＶＣＮ１０１８のインターネットゲートウェイ１０３４は、パブリックインターネット１０５４に通信可能に結合され得るメタデータ管理サービス１０５２に通信可能に結合され得る。パブリックインターネット１０５４は、制御プレーンＶＣＮ１０１６およびデータプレーンＶＣＮ１０１８のＮＡＴゲートウェイ１０３８に通信可能に結合され得る。制御プレーンＶＣＮ１０１６およびデータプレーンＶＣＮ１０１８のサービスゲートウェイ１０３６は、クラウドサービス１０５６に通信可能に結合され得る。

いくつかの例では、制御プレーンＶＣＮ１０１６またはデータプレーンＶＣＮ１０１８のサービスゲートウェイ１０３６は、パブリックインターネット１０５４を通過することなくクラウドサービス１０５６にアプリケーションプログラミングインターフェイス（ＡＰＩ）呼び出しを行い得る。サービスゲートウェイ１０３６からクラウドサービス１０５６へのＡＰＩ呼び出しは、一方向であり得る。すなわち、サービスゲートウェイ１０３６は、クラウドサービス１０５６にＡＰＩ呼び出しを行い得、クラウドサービス１０５６は、要求されたデータをサービスゲートウェイ１０３６に送信し得る。しかしながら、クラウドサービス１０５６は、サービスゲートウェイ１０３６へのＡＰＩ呼び出しを開始しなくてもよい。

いくつかの例では、セキュアホストテナンシ１００４は、サービステナンシ１０１９に直接に接続され得、サービステナンシ１０１９は、そうでなければ分離されてもよい。セキュアホストサブネット１００８は、他の態様では分離されたシステムを介して双方向通信を可能にし得るＬＰＧ１０１０を通じてＳＳＨサブネット１０１４と通信し得る。セキュアホストサブネット１００８をＳＳＨサブネット１０１４に接続することで、セキュアホストサブネット１００８にサービステナンシ１０１９内の他のエンティティへのアクセスが与えられてもよい。

制御プレーンＶＣＮ１０１６は、サービステナンシ１０１９のユーザが所望のリソースをセットアップまたはそうでなければプロビジョニングすることを可能にしてもよい。制御プレーンＶＣＮ１０１６においてプロビジョニングされる所望のリソースは、データプレーンＶＣＮ１０１８において展開またはそうでなければ使用されてもよい。いくつかの例では、制御プレーンＶＣＮ１０１６は、データプレーンＶＣＮ１０１８から分離され得、制御プレーンＶＣＮ１０１６のデータプレーンミラーアプリ層１０４０は、データプレーンミラーアプリ層１０４０およびデータプレーンアプリ層１０４６に含まれ得るＶＮＩＣ１０４２を介して、データプレーンＶＣＮ１０１８のデータプレーンアプリ層１０４６と通信し得る。

いくつかの例では、システムのユーザまたは顧客は、メタデータ管理サービス１０５２に要求を通信し得るパブリックインターネット１０５４を通じて、たとえば作成、読出、更新、または削除（ＣＲＵＤ）動作などの要求を行い得る。メタデータ管理サービス１０５２は、インターネットゲートウェイ１０３４を通じて制御プレーンＶＣＮ１０１６に要求を通信し得る。この要求は、制御プレーンＤＭＺ層１０２０に含まれるＬＢサブネット１０２２によって受信され得る。ＬＢサブネット１０２２は、要求が有効であると判断してもよく、この判断に応答して、ＬＢサブネット１０２２は、制御プレーンアプリ層１０２４に含まれるアプリサブネット１０２６に要求を送信し得る。要求が検証され、パブリックインターネット１０５４への呼び出しを必要とする場合、パブリックインターネット１０５４への呼び出しは、パブリックインターネット１０５４への呼び出しを行い得るＮＡＴゲートウェイ１０３８に送信されてもよい。要求によって格納されることが所望され得るメモリは、ＤＢサブネット１０３０に格納され得る。

いくつかの例では、データプレーンミラーアプリ層１０４０は、制御プレーンＶＣＮ１０１６とデータプレーンＶＣＮ１０１８との間の直接通信を容易にし得る。たとえば、構成の変更、更新、または他の適切な修正が、データプレーンＶＣＮ１０１８に含まれるリソースに適用されることが所望される場合がある。ＶＮＩＣ１０４２を介して、制御プレーンＶＣＮ１０１６は、データプレーンＶＣＮ１０１８に含まれるリソースと直接通信し得、それによって、構成に対する変更、更新、または他の適切な修正を実行し得る。

いくつかの実施形態では、制御プレーンＶＣＮ１０１６およびデータプレーンＶＣＮ１０１８は、サービステナンシ１０１９に含まれ得る。この場合、システムのユーザまたは顧客は、制御プレーンＶＣＮ１０１６またはデータプレーンＶＣＮ１０１８のいずれも所有または操作しなくてもよい。代わりに、ＩａａＳプロバイダが、制御プレーンＶＣＮ１０１６およびデータプレーンＶＣＮ１０１８を所有または操作してもよく、これらの両方がサービステナンシ１０１９に含まれてもよい。この実施形態は、ユーザまたは顧客が他のユーザのまたは他の顧客のリソースとやり取りすることを防止し得るネットワークの分離を可能にし得る。また、この実施形態は、システムのユーザまたは顧客が、所望のセキュリティレベルを有さない可能性があるパブリックインターネット１０５４に格納のために依存する必要なく、データベースを非公式に格納することを可能にしてもよい。

他の実施形態では、制御プレーンＶＣＮ１０１６に含まれるＬＢサブネット１０２２は、サービスゲートウェイ１０３６から信号を受信するように構成され得る。この実施形態では、制御プレーンＶＣＮ１０１６およびデータプレーンＶＣＮ１０１８は、パブリックインターネット１０５４を呼び出すことなく、ＩａａＳプロバイダの顧客によって呼び出されるように構成されてもよい。顧客が使用するデータベースはＩａａＳプロバイダによって制御されてもよく、パブリックインターネット１０５４から分離され得るサービステナンシ１０１９上に格納されてもよいので、ＩａａＳプロバイダの顧客はこの実施形態を所望する場合がある。

図１１は、少なくとも１つの実施形態に係る、ＩａａＳアーキテクチャの別の例示的なパターンを示すブロック図１１００である。サービスオペレータ１１０２（たとえば図１０のサービスオペレータ１００２）は、仮想クラウドネットワーク（ＶＣＮ）１１０６（たとえば図１０のＶＣＮ１００６）およびセキュアホストサブネット１１０８（たとえば図１０のセキュアホストサブネット１００８）を含み得るセキュアホストテナンシ１１０４（たとえば図１０のセキュアホストテナンシ１００４）に通信可能に結合され得る。ＶＣＮ１１０６は、ＳＳＨＶＣＮ１１１２に含まれるＬＰＧ１０１０を介してセキュアシェル（ＳＳＨ）ＶＣＮ１１１２（たとえば図１０のＳＳＨＶＣＮ１０１２）に通信可能に結合され得るローカルピアリングゲートウェイ（ＬＰＧ）１１１０（たとえば図１０のＬＰＧ１０１０）を含み得る。ＳＳＨＶＣＮ１１１２は、ＳＳＨサブネット１１１４（たとえば図１０のＳＳＨサブネット１０１４）を含み得、ＳＳＨＶＣＮ１１１２は、制御プレーンＶＣＮ１１１６に含まれるＬＰＧ１１１０を介して制御プレーンＶＣＮ１１１６（たとえば図１０の制御プレーンＶＣＮ１０１６）に通信可能に結合され得る。制御プレーンＶＣＮ１１１６は、サービステナンシ１１１９（たとえば図１０のサービステナンシ１０１９）に含まれ得、データプレーンＶＣＮ１１１８（たとえば図１０のデータプレーンＶＣＮ１０１８）は、システムのユーザまたは顧客によって所有または操作され得る顧客テナンシ１１２１に含まれ得る。

制御プレーンＶＣＮ１１１６は、ＬＢサブネット１１２２（たとえば図１０のＬＢサブネット１０２２）を含み得る制御プレーンＤＭＺ層１１２０（たとえば図１０の制御プレーンＤＭＺ層１０２０）と、アプリサブネット１１２６（たとえば図１０のアプリサブネット１０２６）を含み得る制御プレーンアプリ層１１２４（たとえば図１０の制御プレーンアプリ層１０２４）と、（たとえば図１０のＤＢサブネット１０３０と同様の）データベース（ＤＢ）サブネット１１３０を含み得る制御プレーンデータ層１１２８（たとえば図１０の制御プレーンデータ層１０２８）とを含み得る。制御プレーンＤＭＺ層１１２０に含まれるＬＢサブネット１１２２は、制御プレーンアプリ層１１２４に含まれるアプリサブネット１１２６と、制御プレーンＶＣＮ１１１６に含まれ得るインターネットゲートウェイ１１３４（たとえば図１０のインターネットゲートウェイ１０３４）とに通信可能に結合され得、アプリサブネット１１２６は、制御プレーンデータ層１１２８に含まれるＤＢサブネット１１３０と、サービスゲートウェイ１１３６（たとえば図１０のサービスゲートウェイ）と、ネットワークアドレス変換（ＮＡＴ）ゲートウェイ１１３８（たとえば図１０のＮＡＴゲートウェイ１０３８）とに通信可能に結合され得る。制御プレーンＶＣＮ１１１６は、サービスゲートウェイ１１３６およびＮＡＴゲートウェイ１１３８を含み得る。

制御プレーンＶＣＮ１１１６は、アプリサブネット１１２６を含み得るデータプレーンミラーアプリ層１１４０（たとえば図１０のデータプレーンミラーアプリ層１０４０）を含み得る。データプレーンミラーアプリ層１１４０に含まれるアプリサブネット１１２６は、（たとえば図１０の計算インスタンス１０４４と同様の）計算インスタンス１１４４を実行し得る仮想ネットワークインターフェイスコントローラ（ＶＮＩＣ）１１４２（たとえば１０４２のＶＮＩＣ）を含み得る。計算インスタンス１１４４は、データプレーンミラーアプリ層１１４０に含まれるＶＮＩＣ１１４２とデータプレーンアプリ層１１４６に含まれるＶＮＩＣ１１４２とを介して、データプレーンミラーアプリ層１１４０のアプリサブネット１１２６と、データプレーンアプリ層１１４６（たとえば図１０のデータプレーンアプリ層１０４６）に含まれ得るアプリサブネット１１２６との間の通信を容易にし得る。

制御プレーンＶＣＮ１１１６に含まれるインターネットゲートウェイ１１３４は、パブリックインターネット１１５４（たとえば図１０のパブリックインターネット１０５４）に通信可能に結合され得るメタデータ管理サービス１１５２（たとえば図１０のメタデータ管理サービス１０５２）に通信可能に結合され得る。パブリックインターネット１１５４は、制御プレーンＶＣＮ１１１６に含まれるＮＡＴゲートウェイ１１３８に通信可能に結合され得る。制御プレーンＶＣＮ１１１６に含まれるサービスゲートウェイ１１３６は、クラウドサービス１１５６（たとえば図１０のクラウドサービス１０５６）に通信可能に結合され得る。

いくつかの例では、データプレーンＶＣＮ１１１８は、顧客テナンシ１１２１に含まれ得る。この場合、ＩａａＳプロバイダは、顧客ごとに制御プレーンＶＣＮ１１１６を提供してもよく、ＩａａＳプロバイダは、顧客ごとに、サービステナンシ１１１９に含まれる固有の計算インスタンス１１４４をセットアップしてもよい。各計算インスタンス１１４４は、サービステナンシ１１１９に含まれる制御プレーンＶＣＮ１１１６と顧客テナンシ１１２１に含まれるデータプレーンＶＣＮ１１１８との間の通信を可能にしてもよい。計算インスタンス１１４４は、サービステナンシ１１１９に含まれる制御プレーンＶＣＮ１１１６においてプロビジョニングされるリソースが、顧客テナンシ１１２１に含まれるデータプレーンＶＣＮ１１１８において展開またはそうでなければ使用されることを可能にしてもよい。

他の例では、ＩａａＳプロバイダの顧客は、顧客テナンシ１１２１に存在するデータベースを有してもよい。この例では、制御プレーンＶＣＮ１１１６は、アプリサブネット１１２６を含み得るデータプレーンミラーアプリ層１１４０を含み得る。データプレーンミラーアプリ層１１４０は、データプレーンＶＣＮ１１１８に常駐し得るが、データプレーンミラーアプリ層１１４０は、データプレーンＶＣＮ１１１８に存在しなくてもよい。すなわち、データプレーンミラーアプリ層１１４０は、顧客テナンシ１１２１へのアクセスを有してもよいが、データプレーンミラーアプリ層１１４０は、データプレーンＶＣＮ１１１８に存在しなくてもよく、またはＩａａＳプロバイダの顧客によって所有もしくは操作されなくてもよい。データプレーンミラーアプリ層１１４０は、データプレーンＶＣＮ１１１８への呼び出しを行うように構成されてもよいが、制御プレーンＶＣＮ１１１６に含まれる任意のエンティティへの呼び出しを行うように構成されなくてもよい。顧客は、制御プレーンＶＣＮ１１１６においてプロビジョニングされるデータプレーンＶＣＮ１１１８内のリソースを展開またはそうでなければ使用することを所望する場合があり、データプレーンミラーアプリ層１１４０は、顧客のリソースの所望の展開または他の使用を容易にし得る。

いくつかの実施形態では、ＩａａＳプロバイダの顧客は、データプレーンＶＣＮ１１１８にフィルタを適用し得る。この実施形態では、顧客は、データプレーンＶＣＮ１１１８が何にアクセスできるかを判断し得、顧客は、データプレーンＶＣＮ１１１８からのパブリックインターネット１１５４へのアクセスを制限してもよい。ＩａａＳプロバイダは、データプレーンＶＣＮ１１１８の任意の外部ネットワークまたはデータベースへのアクセスにフィルタを適用することまたはそうでなければ当該アクセスを制御することができなくてもよい。顧客テナンシ１１２１に含まれるデータプレーンＶＣＮ１１１８上に顧客によってフィルタおよび制御を適用することで、データプレーンＶＣＮ１１１８を他の顧客およびパブリックインターネット１１５４から分離するのを助けることができる。

いくつかの実施形態では、パブリックインターネット１１５４上、制御プレーンＶＣＮ１１１６上、またはデータプレーンＶＣＮ１１１８上に存在しない場合があるサービスにアクセスするために、クラウドサービス１１５６がサービスゲートウェイ１１３６によって呼び出され得る。クラウドサービス１１５６と制御プレーンＶＣＮ１１１６またはデータプレーンＶＣＮ１１１８との間の接続は、ライブまたは連続的でなくてもよい。クラウドサービス１１５６は、ＩａａＳプロバイダによって所有または操作される異なるネットワーク上に存在してもよい。クラウドサービス１１５６は、サービスゲートウェイ１１３６から呼び出しを受信するように構成されてもよく、パブリックインターネット１１５４から呼び出しを受信しないように構成されてもよい。いくつかのクラウドサービス１１５６は、他のクラウドサービス１１５６から分離されてもよく、制御プレーンＶＣＮ１１１６は、制御プレーンＶＣＮ１１１６と同じリージョンにない場合があるクラウドサービス１１５６から分離されてもよい。たとえば、制御プレーンＶＣＮ１１１６は「リージョン１」に位置してもよく、クラウドサービス「展開１０」はリージョン１および「リージョン２」に位置してもよい。展開１０への呼び出しが、リージョン１に位置する制御プレーンＶＣＮ１１１６に含まれるサービスゲートウェイ１１３６によって行われる場合、この呼び出しはリージョン１の展開１０に送信されてもよい。この例では、制御プレーンＶＣＮ１１１６、またはリージョン１の展開１０は、リージョン２の展開１０に通信可能に結合されなくてもよく、またはそうでなければリージョン２の展開１０と通信していなくてもよい。

図１２は、少なくとも１つの実施形態に係る、ＩａａＳアーキテクチャの別の例示的なパターンを示すブロック図１２００である。サービスオペレータ１２０２（たとえば図１０のサービスオペレータ１００２）は、仮想クラウドネットワーク（ＶＣＮ）１２０６（たとえば図１０のＶＣＮ１００６）およびセキュアホストサブネット１２０８（たとえば図１０のセキュアホストサブネット１００８）を含み得るセキュアホストテナンシ１２０４（たとえば図１０のセキュアホストテナンシ１００４）に通信可能に結合され得る。ＶＣＮ１２０６は、ＳＳＨＶＣＮ１２１２に含まれるＬＰＧ１２１０を介してＳＳＨＶＣＮ１２１２（たとえば図１０のＳＳＨＶＣＮ１０１２）に通信可能に結合され得るＬＰＧ１２１０（たとえば図１０のＬＰＧ１０１０）を含み得る。ＳＳＨＶＣＮ１２１２は、ＳＳＨサブネット１２１４（たとえば図１０のＳＳＨサブネット１０１４）を含み得、ＳＳＨＶＣＮ１２１２は、制御プレーンＶＣＮ１２１６に含まれるＬＰＧ１２１０を介して制御プレーンＶＣＮ１２１６（たとえば図１０の制御プレーンＶＣＮ１０１６）に通信可能に結合され得、データプレーンＶＣＮ１２１８に含まれるＬＰＧ１２１０を介してデータプレーンＶＣＮ１２１８（たとえば図１０のデータプレーン１０１８）に通信可能に結合され得る。制御プレーンＶＣＮ１２１６およびデータプレーンＶＣＮ１２１８は、サービステナンシ１２１９（たとえば図１０のサービステナンシ１０１９）に含まれ得る。

制御プレーンＶＣＮ１２１６は、ロードバランサ（ＬＢ）サブネット１２２２（たとえば図１０のＬＢサブネット１０２２）を含み得る制御プレーンＤＭＺ層１２２０（たとえば図１０の制御プレーンＤＭＺ層１０２０）と、（たとえば図１０のアプリサブネット１０２６と同様の）アプリサブネット１２２６を含み得る制御プレーンアプリ層１２２４（たとえば図１０の制御プレーンアプリ層１０２４）と、ＤＢサブネット１２３０を含み得る制御プレーンデータ層１２２８（たとえば図１０の制御プレーンデータ層１０２８）とを含み得る。制御プレーンＤＭＺ層１２２０に含まれるＬＢサブネット１２２２は、制御プレーンアプリ層１２２４に含まれるアプリサブネット１２２６と、制御プレーンＶＣＮ１２１６に含まれ得るインターネットゲートウェイ１２３４（たとえば図１０のインターネットゲートウェイ１０３４）とに通信可能に結合され得、アプリサブネット１２２６は、制御プレーンデータ層１２２８に含まれるＤＢサブネット１２３０と、サービスゲートウェイ１２３６（たとえば図１０のサービスゲートウェイ）およびネットワークアドレス変換（ＮＡＴ）ゲートウェイ１２３８（たとえば図１０のＮＡＴゲートウェイ１０３８）とに通信可能に結合され得る。制御プレーンＶＣＮ１２１６は、サービスゲートウェイ１２３６およびＮＡＴゲートウェイ１２３８を含み得る。

データプレーンＶＣＮ１２１８は、データプレーンアプリ層１２４６（たとえば図１０のデータプレーンアプリ層１０４６）と、データプレーンＤＭＺ層１２４８（たとえば図１０のデータプレーンＤＭＺ層１０４８）と、データプレーンデータ層１２５０（たとえば図１０のデータプレーンデータ層１０５０）とを含み得る。データプレーンＤＭＺ層１２４８は、データプレーンアプリ層１２４６の信頼できるアプリサブネット１２６０および信頼できないアプリサブネット１２６２と、データプレーンＶＣＮ１２１８に含まれるインターネットゲートウェイ１２３４とに通信可能に結合され得るＬＢサブネット１２２２を含み得る。信頼できるアプリサブネット１２６０は、データプレーンＶＣＮ１２１８に含まれるサービスゲートウェイ１２３６と、データプレーンＶＣＮ１２１８に含まれるＮＡＴゲートウェイ１２３８と、データプレーンデータ層１２５０に含まれるＤＢサブネット１２３０とに通信可能に結合され得る。信頼できないアプリサブネット１２６２は、データプレーンＶＣＮ１２１８に含まれるサービスゲートウェイ１２３６と、データプレーンデータ層１２５０に含まれるＤＢサブネット１２３０とに通信可能に結合され得る。データプレーンデータ層１２５０は、データプレーンＶＣＮ１２１８に含まれるサービスゲートウェイ１２３６に通信可能に結合され得るＤＢサブネット１２３０を含み得る。

信頼できないアプリサブネット１２６２は、テナント仮想マシン（ＶＭ）１２６６（１）～（Ｎ）に通信可能に結合され得る１つ以上のプライマリＶＮＩＣ１２６４（１）～（Ｎ）を含み得る。各テナントＶＭ１２６６（１）～（Ｎ）は、それぞれの顧客テナンシ１２７０（１）～（Ｎ）に含まれ得るそれぞれのコンテナエグレスＶＣＮ１２６８（１）～（Ｎ）に含まれ得るそれぞれのアプリサブネット１２６７（１）～（Ｎ）に通信可能に結合され得る。それぞれのセカンダリＶＮＩＣ１２７２（１）～（Ｎ）は、データプレーンＶＣＮ１２１８に含まれる信頼できないアプリサブネット１２６２とコンテナエグレスＶＣＮ１２６８（１）～（Ｎ）に含まれるアプリサブネットとの間の通信を容易にし得る。各コンテナエグレスＶＣＮ１２６８（１）～（Ｎ）は、パブリックインターネット１２５４（たとえば図１０のパブリックインターネット１０５４）に通信可能に結合され得るＮＡＴゲートウェイ１２３８を含み得る。

制御プレーンＶＣＮ１２１６に含まれ、かつ、データプレーンＶＣＮ１２１８に含まれるインターネットゲートウェイ１２３４は、パブリックインターネット１２５４に通信可能に結合され得るメタデータ管理サービス１２５２（たとえば図１０のメタデータ管理システム１０５２）に通信可能に結合され得る。パブリックインターネット１２５４は、制御プレーンＶＣＮ１２１６に含まれ、データプレーンＶＣＮ１２１８に含まれるＮＡＴゲートウェイ１２３８に通信可能に結合され得る。制御プレーンＶＣＮ１２１６に含まれ、データプレーンＶＣＮ１２１８に含まれるサービスゲートウェイ１２３６は、クラウドサービス１２５６に通信可能に結合され得る。

いくつかの実施形態では、データプレーンＶＣＮ１２１８は、顧客テナンシ１２７０と統合され得る。この統合は、コードの実行時のサポートを望む場合など、いくつかの場合においてＩａａＳプロバイダの顧客にとって有用または望ましいことがある。顧客は、破壊的であり得る、他の顧客リソースと通信し得る、またはそうでなければ望ましくない影響を引き起こし得る、実行すべきコードを提供し得る。これに応答して、ＩａａＳプロバイダは、顧客がＩａａＳプロバイダに与えたコードを実行するか否かを判断してもよい。

いくつかの例では、ＩａａＳプロバイダの顧客は、ＩａａＳプロバイダへの一時的なネットワークアクセスを許可し、ある機能をデータプレーン層アプリ１２４６にアタッチするよう要求してもよい。機能を実行するためのコードはＶＭ１２６６（１）～（Ｎ）において実行されてもよく、当該コードは、データプレーンＶＣＮ１２１８上の他のどこかで動作するように構成されなくてもよい。各ＶＭ１２６６（１）～（Ｎ）は１つの顧客テナンシ１２７０に接続されてもよい。ＶＭ１２６６（１）～（Ｎ）に含まれるそれぞれのコンテナ１２７１（１）～（Ｎ）はコードを実行するように構成されてもよい。この場合、二重分離があってもよく（たとえば、コンテナ１２７１（１）～（Ｎ）はコードを実行し、コンテナ１２７１（１）～（Ｎ）は、信頼できないアプリサブネット１２６２に含まれる少なくともＶＭ１２６６（１）～（Ｎ）に含まれてもよい）、これは、誤ったコードまたはそうでなければ望ましくないコードがＩａａＳプロバイダのネットワーを損傷すること、または異なる顧客のネットワークを損傷することを防ぐのを助け得る。コンテナ１２７１（１）～（Ｎ）は、顧客テナンシ１２７０に通信可能に結合されてもよく、顧客テナンシ１２７０との間でデータを送信または受信するように構成されてもよい。コンテナ１２７１（１）～（Ｎ）は、データプレーンＶＣＮ１２１８内の任意の他のエンティティとの間でデータを送信または受信するように構成されなくてもよい。コードの実行が完了すると、ＩａａＳプロバイダはコンテナ１２７１（Ｉ）～（Ｎ）をキルするかまたはそうでなければ廃棄してもよい。

いくつかの実施形態では、信頼できるアプリサブネット１２６０は、ＩａａＳプロバイダによって所有または操作され得るコードを実行してもよい。この実施形態では、信頼できるアプリサブネット１２６０は、ＤＢサブネット１２３０に通信可能に結合されてもよく、ＤＢサブネット１２３０においてＣＲＵＤ動作を実行するように構成されてもよい。信頼できないアプリサブネット１２６２は、ＤＢサブネット１２３０に通信可能に結合されてもよいが、この実施形態では、信頼できないアプリサブネットは、ＤＢサブネット１２３０において読出動作を実行するように構成されてもよい。各顧客のＶＭ１２６６（１）～（Ｎ）に含まれ得、顧客からのコードを実行し得るコンテナ１２７１（１）～（Ｎ）は、ＤＢサブネット１２３０に通信可能に結合されなくてもよい。

他の実施形態では、制御プレーンＶＣＮ１２１６およびデータプレーンＶＣＮ１２１８は、直接通信可能に結合されなくてもよい。この実施形態では、制御プレーンＶＣＮ１２１６とデータプレーンＶＣＮ１２１８との間に直接通信がなくてもよい。しかしながら、通信は、少なくとも１つの方法を通して間接的に行われ得る。制御プレーンＶＣＮ１２１６とデータプレーンＶＣＮ１２１８との間の通信を容易にし得るＬＰＧ１２１０が、ＩａａＳプロバイダによって確立されてもよい。別の例では、制御プレーンＶＣＮ１２１６またはデータプレーンＶＣＮ１２１８は、サービスゲートウェイ１２３６を介してクラウドサービス１２５６への呼び出しを行い得る。たとえば、制御プレーンＶＣＮ１２１６からクラウドサービス１２５６への呼び出しは、データプレーンＶＣＮ１２１８と通信し得るサービスの要求を含み得る。

図１３は、少なくとも１つの実施形態に係る、ＩａａＳアーキテクチャの別の例示的なパターンを示すブロック図１３００である。サービスオペレータ１３０２（たとえば図１０のサービスオペレータ１００２）は、仮想クラウドネットワーク（ＶＣＮ）１３０６（たとえば図１０のＶＣＮ１００６）およびセキュアホストサブネット１３０８（たとえば図１０のセキュアホストサブネット１００８）を含み得るセキュアホストテナンシ１３０４（たとえば図１０のセキュアホストテナンシ１００４）に通信可能に結合され得る。ＶＣＮ１３０６は、ＳＳＨＶＣＮ１３１２に含まれるＬＰＧ１３１０を介してＳＳＨＶＣＮ１３１２（たとえば図１０のＳＳＨＶＣＮ１０１２）に通信可能に結合され得るＬＰＧ１３１０（たとえば図１０のＬＰＧ１０１０）を含み得る。ＳＳＨＶＣＮ１３１２は、ＳＳＨサブネット１３１４（たとえば図１０のＳＳＨサブネット１０１４）を含み得、ＳＳＨＶＣＮ１３１２は、制御プレーンＶＣＮ１３１６に含まれるＬＰＧ１３１０を介して制御プレーンＶＣＮ１３１６（たとえば図１０の制御プレーンＶＣＮ１０１６）に通信可能に結合され得、データプレーンＶＣＮ１３１８に含まれるＬＰＧ１３１０を介してデータプレーンＶＣＮ１３１８（たとえば図１０のデータプレーン１０１８）に通信可能に結合され得る。制御プレーンＶＣＮ１３１６およびデータプレーンＶＣＮ１３１８は、サービステナンシ１３１９（たとえば図１０のサービステナンシ１０１９）に含まれ得る。

制御プレーンＶＣＮ１３１６は、ＬＢサブネット１３２２（たとえば図１０のＬＢサブネット１０２２）を含み得る制御プレーンＤＭＺ層１３２０（たとえば図１０の制御プレーンＤＭＺ層１０２０）と、アプリサブネット１３２６（たとえば図１０のアプリサブネット１０２６）を含み得る制御プレーンアプリ層１３２４（たとえば図１０の制御プレーンアプリ層１０２４）と、ＤＢサブネット１３３０（たとえば図１２のＤＢサブネット１２３０）を含み得る制御プレーンデータ層１３２８（たとえば図１０の制御プレーンデータ層１０２８）とを含み得る。制御プレーンＤＭＺ層１３２０に含まれるＬＢサブネット１３２２は、制御プレーンアプリ層１３２４に含まれるアプリサブネット１３２６と、制御プレーンＶＣＮ１３１６に含まれ得るインターネットゲートウェイ１３３４（たとえば図１０のインターネットゲートウェイ１０３４）とに通信可能に結合され得、アプリサブネット１３２６は、制御プレーンデータ層１３２８に含まれるＤＢサブネット１３３０と、サービスゲートウェイ１３３６（たとえば図１０のサービスゲートウェイ）およびネットワークアドレス変換（ＮＡＴ）ゲートウェイ１３３８（たとえば図１０のＮＡＴゲートウェイ１０３８）とに通信可能に結合され得る。制御プレーンＶＣＮ１３１６は、サービスゲートウェイ１３３６およびＮＡＴゲートウェイ１３３８を含み得る。

データプレーンＶＣＮ１３１８は、データプレーンアプリ層１３４６（たとえば図１０のデータプレーンアプリ層１０４６）と、データプレーンＤＭＺ層１３４８（たとえば図１０のデータプレーンＤＭＺ層１０４８）と、データプレーンデータ層１３５０（たとえば図１０のデータプレーンデータ層１０５０）とを含み得る。データプレーンＤＭＺ層１３４８は、データプレーンアプリ層１３４６の信頼できるアプリサブネット１３６０（たとえば図１２の信頼できるアプリサブネット１２６０）および信頼できないアプリサブネット１３６２（たとえば図１２の信頼できないアプリサブネット１２６２）と、データプレーンＶＣＮ１３１８に含まれるインターネットゲートウェイ１３３４とに通信可能に結合され得るＬＢサブネット１３２２を含み得る。信頼できるアプリサブネット１３６０は、データプレーンＶＣＮ１３１８に含まれるサービスゲートウェイ１３３６と、データプレーンＶＣＮ１３１８に含まれるＮＡＴゲートウェイ１３３８と、データプレーンデータ層１３５０に含まれるＤＢサブネット１３３０とに通信可能に結合され得る。信頼できないアプリサブネット１３６２は、データプレーンＶＣＮ１３１８に含まれるサービスゲートウェイ１３３６と、データプレーンデータ層１３５０に含まれるＤＢサブネット１３３０とに通信可能に結合され得る。データプレーンデータ層１３５０は、データプレーンＶＣＮ１３１８に含まれるサービスゲートウェイ１３３６に通信可能に結合され得るＤＢサブネット１３３０を含み得る。

信頼できないアプリサブネット１３６２は、信頼できないアプリサブネット１３６２内に常駐するテナント仮想マシン（ＶＭ）１３６６（１）～（Ｎ）に通信可能に結合され得るプライマリＶＮＩＣ１３６４（１）～（Ｎ）を含み得る。各テナントＶＭ１３６６（１）～（Ｎ）は、それぞれのコンテナ１３６７（１）～（Ｎ）においてコードを実行し得、コンテナエグレスＶＣＮ１３６８に含まれ得るデータプレーンアプリ層１３４６に含まれ得るアプリサブネット１３２６に通信可能に結合され得る。それぞれのセカンダリＶＮＩＣ１３７２（１）～（Ｎ）は、データプレーンＶＣＮ１３１８に含まれる信頼できないアプリサブネット１３６２とコンテナエグレスＶＣＮ１３６８に含まれるアプリサブネットとの間の通信を容易にし得る。コンテナエグレスＶＣＮは、パブリックインターネット１３５４（たとえば図１０のパブリックインターネット１０５４）に通信可能に結合され得るＮＡＴゲートウェイ１３３８を含み得る。

制御プレーンＶＣＮ１３１６に含まれ、かつ、データプレーンＶＣＮ１３１８に含まれるインターネットゲートウェイ１３３４は、パブリックインターネット１３５４に通信可能に結合され得るメタデータ管理サービス１３５２（たとえば図１０のメタデータ管理システム１０５２）に通信可能に結合され得る。パブリックインターネット１３５４は、制御プレーンＶＣＮ１３１６に含まれ、データプレーンＶＣＮ１３１８に含まれるＮＡＴゲートウェイ１３３８に通信可能に結合され得る。制御プレーンＶＣＮ１３１６に含まれ、データプレーンＶＣＮ１３１８に含まれるサービスゲートウェイ１３３６は、クラウドサービス１３５６に通信可能に結合され得る。

いくつかの例では、図１３のブロック図１３００のアーキテクチャによって示されるパターンは、図１２のブロック図１２００のアーキテクチャによって示されるパターンの例外と見なされてもよく、ＩａａＳプロバイダが顧客と直接通信できない場合（たとえば切断された領域）、ＩａａＳプロバイダの顧客にとって望ましいことがある。顧客ごとにＶＭ１３６６（１）～（Ｎ）に含まれるそれぞれのコンテナ１３６７（１）～（Ｎ）は、顧客によってリアルタイムでアクセスされ得る。コンテナ１３６７（１）～（Ｎ）は、コンテナエグレスＶＣＮ１３６８に含まれ得るデータプレーンアプリ層１３４６のアプリサブネット１３２６に含まれるそれぞれのセカンダリＶＮＩＣ１３７２（１）～（Ｎ）への呼び出しを行うように構成されてもよい。セカンダリＶＮＩＣ１３７２（１）～（Ｎ）はＮＡＴゲートウェイ１３３８に呼び出しを送信し得、ＮＡＴゲートウェイ１３３８はこの呼び出しをパブリックインターネット１３５４に送信してもよい。この例では、顧客によってリアルタイムでアクセスされ得るコンテナ１３６７（１）～（Ｎ）は、制御プレーンＶＣＮ１３１６から分離され得、データプレーンＶＣＮ１３１８に含まれる他のエンティティから分離され得る。コンテナ１３６７（１）～（Ｎ）は、他の顧客からのリソースからも分離されてもよい。

他の例では、顧客は、コンテナ１３６７（１）～（Ｎ）を使用してクラウドサービス１３５６を呼び出し得る。この例では、顧客は、コンテナ１３６７（１）～（Ｎ）において、クラウドサービス１３５６にサービスを要求するコードを実行してもよい。コンテナ１３６７（１）～（Ｎ）はこの要求をセカンダリＶＮＩＣ１３７２（１）～（Ｎ）に送信し得、セカンダリＶＮＩＣ１３７２（１）～（Ｎ）はその要求をＮＡＴゲートウェイに送信し得、ＮＡＴゲートウェイはその要求をパブリックインターネット１３５４に送信し得る。パブリックインターネット１３５４は、インターネットゲートウェイ１３３４を介して、制御プレーンＶＣＮ１３１６に含まれるＬＢサブネット１３２２に要求を送信し得る。要求が有効であると判断したことに応答して、ＬＢサブネットはその要求をアプリサブネット１３２６に送信し得、アプリサブネット１３２６はその要求をサービスゲートウェイ１３３６を介してクラウドサービス１３５６に送信し得る。

なお、図に示されるＩａａＳアーキテクチャ１０００，１１００，１２００，１３００は、図示される以外のコンポーネントを有してもよい。さらに、図示される実施形態は、本開示の実施形態を組み込み得るクラウドインフラストラクチャシステムのいくつかの例に過ぎない。いくつかの他の実施形態では、ＩａａＳシステムは、図示されるよりも多いもしくは少ないコンポーネントを有してもよく、２つ以上のコンポーネントを組み合わせてよく、または、コンポーネントの異なる構成もしくは配置を有してもよい。

特定の実施形態では、本明細書に記載されているＩａａＳシステムは、セルフサービスであり、サブスクリプションベースであり、弾力的にスケーラブルであり、信頼性が高く、可用性が高く、セキュアなやり方で顧客に与えられる、アプリケーション、ミドルウェア、およびデータベースサービス製品一式を含み得る。このようなＩａａＳシステムの一例は、本願の譲受人が提供するオラクルクラウドインフラストラクチャ（Oracle Cloud Infrastructure：ＯＣＩ）である。

図１４は、本開示のさまざまな実施形態が実現され得る例示的なコンピュータシステム１４００を示す。システム１４００は、上述のコンピュータシステムのうちのいずれかを実現するために使用され得る。図示されるように、コンピュータシステム１４００は、バスサブシステム１４０２を介していくつかの周辺サブシステムと通信する処理ユニット１４０４を含む。これらの周辺サブシステムは、処理加速ユニット１４０６と、Ｉ／Ｏサブシステム１４０８と、ストレージサブシステム１４１８と、通信サブシステム１４２４とを含み得る。ストレージサブシステム１４１８は、有形のコンピュータ読取可能記憶媒体１４２２およびシステムメモリ１４１０を含む。

バスサブシステム１４０２は、コンピュータシステム１４００のさまざまなコンポーネントおよびサブシステムを意図されるように互いに通信させるためのメカニズムを提供する。バスサブシステム１４０２は１つのバスとして概略的に示されているが、バスサブシステムの代替の実施形態は複数のバスを利用してもよい。バスサブシステム１４０２は、さまざまなバスアーキテクチャのうちのいずれかを用いる、メモリバスまたはメモリコントローラ、周辺バス、およびローカルバスを含むいくつかのタイプのバス構造のうちのいずれかであってもよい。たとえば、そのようなアーキテクチャは、業界標準アーキテクチャ（ＩＳＡ）バス、マイクロチャネルアーキテクチャ（ＭＣＡ）バス、拡張ＩＳＡ（ＥＩＳＡ）バス、ビデオエレクトロニクススタンダーズアソシエーション（ＶＥＳＡ）ローカルバス、およびＩＥＥＥＰ１３８６．１規格に従って製造されるメザニンバスとして実現され得る周辺コンポーネントインターコネクト（ＰＣＩ）バスを含み得る。

１つ以上の集積回路（たとえば従来のマイクロプロセッサまたはマイクロコントローラ）として実現され得る処理ユニット１４０４は、コンピュータシステム１４００の動作を制御する。１つ以上のプロセッサが処理ユニット１４０４に含まれてもよい。これらのプロセッサは、シングルコアプロセッサまたはマルチコアプロセッサを含み得る。特定の実施形態では、処理ユニット１４０４は、シングルコアプロセッサもしくはマルチコアプロセッサが各処理ユニットに含まれる１つ以上の独立した処理ユニット１４３２および／または１４３４として実現され得る。他の実施形態では、処理ユニット１４０４はまた、２つのデュアルコアプロセッサを１つのチップに統合することによって形成されるクアッドコア処理ユニットとして実現され得る。

さまざまな実施形態では、処理ユニット１４０４は、プログラムコードに応答してさまざまなプログラムを実行し得、同時に実行される複数のプログラムまたはプロセスを維持し得る。任意の所与の時間に、実行すべきプログラムコードの一部またはすべてが、プロセッサ１４０４および／またはストレージサブシステム１４１８に常駐し得る。適切なプログラミングを通して、プロセッサ１４０４は上記のさまざまな機能を提供し得る。コンピュータシステム１４００はこれに加えて、デジタル信号プロセッサ（ＤＳＰ）、特殊目的プロセッサ、および／またはその他を含み得る処理加速ユニット１４０６を含み得る。

Ｉ／Ｏサブシステム１４０８は、ユーザインターフェイス入力デバイスおよびユーザインターフェイス出力デバイスを含み得る。ユーザインターフェイス入力デバイスは、キーボード、マウスまたはトラックボールなどのポインティングデバイス、ディスプレイに組み込まれたタッチパッドまたはタッチスクリーン、スクロールホイール、クリックホイール、ダイヤル、ボタン、スイッチ、キーパッド、音声コマンド認識システム付きの音声入力デバイス、マイク、および他のタイプの入力デバイスを含み得る。ユーザインターフェイス入力デバイスは、たとえば、ユーザが、ジェスチャおよび発話コマンドを使用するナチュラルユーザインターフェイスを通して、Microsoft Xbox（登録商標）３６０ゲームコントローラなどの入力デバイスを制御し、それとやり取りすることを可能にする、Microsoft Kinect（登録商標）モーションセンサなどのモーション感知および／またはジェスチャ認識デバイスを含み得る。ユーザインターフェイス入力デバイスはまた、ユーザからの目の動き（たとえば、写真撮影中および／またはメニュー選択中の「まばたき」）を検出し、目のジェスチャを入力デバイス（たとえばGoogle Glass（登録商標）)への入力として変換する、Google Glass（登録商標）まばたき検出器などのアイジェスチャ認識デバイスを含み得る。これに加えて、ユーザインターフェイス入力デバイスは、ユーザが音声コマンドを通して音声認識システム（たとえばSiri（登録商標）ナビゲータ）とやり取りすることを可能にする音声認識感知デバイスを含み得る。

ユーザインターフェイス入力デバイスはまた、限定されないが、３次元（３Ｄ）マウス、ジョイスティックまたはポインティングスティック、ゲームパッドおよびグラフィックタブレット、ならびにスピーカ、デジタルカメラ、デジタルカムコーダ、ポータブルメディアプレイヤー、ウェブカム、画像スキャナ、指紋スキャナ、バーコードリーダ３Ｄスキャナ、３Ｄプリンタ、レーザレンジファインダ、および視線追跡デバイスなどの聴覚／視覚デバイスを含み得る。これに加えて、ユーザインターフェイス入力デバイスは、たとえば、コンピュータ断層撮影装置、磁気共鳴撮像装置、ポジトロン断層撮影装置、医療用超音波検査装置などの医療用撮像入力デバイスを含み得る。ユーザインターフェイス入力デバイスはまた、たとえば、ＭＩＤＩキーボード、デジタル楽器などの音声入力デバイスを含み得る。

ユーザインターフェイス出力デバイスは、ディスプレイサブシステム、表示灯、または音声出力デバイスなどの非視覚的ディスプレイなどを含み得る。ディスプレイサブシステムは、陰極線管（ＣＲＴ）、液晶ディスプレイ（ＬＣＤ）またはプラズマディスプレイを用いるものなどのフラットパネルデバイス、投影デバイス、タッチスクリーンなどであってもよい。一般的に、「出力デバイス」という語を使用する場合は、コンピュータシステム１４００からユーザまたは他のコンピュータに情報を出力するための可能なすべてのタイプのデバイスおよびメカニズムを含むことを意図している。たとえば、ユーザインターフェイス出力デバイスは、限定されないが、モニタ、プリンタ、スピーカ、ヘッドホン、カーナビゲーションシステム、プロッタ、音声出力デバイス、およびモデムなどの、テキスト、図形、および音声／映像情報を視覚的に伝えるさまざまなディスプレイデバイスを含み得る。

コンピュータシステム１４００は、現在はシステムメモリ１４１０内にあるものとして示されているソフトウェア要素を含むストレージサブシステム１４１８を含み得る。システムメモリ１４１０は、処理ユニット１４０４上でロード可能および実行可能なプログラム命令、ならびにこれらのプログラムの実行中に生成されたデータを格納し得る。

コンピュータシステム１４００の構成およびタイプに応じて、システムメモリ１４１０は、揮発性（ランダムアクセスメモリ（ＲＡＭ）など）および／または不揮発性（読出専用メモリ（ＲＯＭ）、フラッシュメモリなど）であってもよい。ＲＡＭは典型的には、処理ユニット１４０４に直ちにアクセス可能である、ならびに／または処理ユニット１４０４によって現在操作および実行されている、データおよび／またはプログラムモジュールを含む。いくつかの実現例では、システムメモリ１４１０は、スタティックランダムアクセスメモリ（ＳＲＡＭ）またはダイナミックランダムアクセスメモリ（ＤＲＡＭ）などの複数の異なるタイプのメモリを含み得る。いくつかの実現例では、起動中などにコンピュータシステム１４００内の要素間で情報を転送するのを助ける基本的なルーチンを含む基本入出力システム（ＢＩＯＳ）が、典型的にはＲＯＭに格納されてもよい。限定ではなく例として、システムメモリ１４１０はまた、クライアントアプリケーション、ウェブブラウザ、中間層アプリケーション、リレーショナルデータベース管理システム（ＲＤＢＭＳ）などを含み得るアプリケーションプログラム１４１２と、プログラムデータ１４１４と、オペレーティングシステム１４１６とを示している。例として、オペレーティングシステム１４１６は、さまざまなバージョンのMicrosoft Windows（登録商標）、Apple Macintosh（登録商標）、および／またはLinux（登録商標）オペレーティングシステム、さまざまな市販のUNIX（登録商標）またはUNIX（登録商標）系オペレーティングシステム（限定されないがさまざまなGNU/Linux（登録商標）オペレーティングシステム、Google Chrome（登録商標）OSなどを含む）、および／またはiOS、Windows（登録商標）Phone、Android（登録商標）OS、BlackBerry（登録商標）14 OS、およびPalm（登録商標）OSオペレーティングシステムなどのモバイルオペレーティングシステムを含み得る。

ストレージサブシステム１４１８はまた、いくつかの実施形態の機能を提供する基本的なプログラミングおよびデータ構造を格納するための有形のコンピュータ読取可能記憶媒体を提供し得る。プロセッサによって実行されると上記機能を提供するソフトウェア（プログラム、コードモジュール、命令）がストレージサブシステム１４１８に格納され得る。これらのソフトウェアモジュールまたは命令は、処理ユニット１４０４によって実行され得る。ストレージサブシステム１４１８はまた、本開示に従って使用されるデータを格納するためのリポジトリを提供し得る。

ストレージサブシステム１４００はまた、コンピュータ読取可能記憶媒体１４２２にさらに接続され得るコンピュータ読取可能記憶媒体リーダ１４２０を含み得る。システムメモリ１４１０とともに、また、オプションとしてシステムメモリ１４１０と組み合わされて、コンピュータ読取可能記憶媒体１４２２は、コンピュータ読取可能情報を一時的におよび／またはより恒久的に含む、格納する、送信する、および取り出すための、遠隔の、ローカルな、固定された、および／または取り外し可能な記憶装置に記憶媒体を加えたものを包括的に表し得る。

コードまたはコードの一部を含むコンピュータ読取可能記憶媒体１４２２はまた、限定されないが、情報の格納および／または送信のための任意の方法または技術で実現される、揮発性および不揮発性、取り外し可能なおよび取り外し可能でない媒体などの、記憶媒体および通信媒体を含む、当該技術において周知のまたは使用されている任意の適切な媒体を含み得る。これは、ＲＡＭ、ＲＯＭ、電子的に消去可能プログラマブルＲＯＭ（ＥＥＰＲＯＭ）、フラッシュメモリもしくは他のメモリ技術、ＣＤ－ＲＯＭ、デジタル多用途ディスク（ＤＶＤ）、または他の光学記憶装置、磁気カセット、磁気テープ、磁気ディスク記憶装置もしくは他の磁気記憶装置、または他の有形のコンピュータ読取可能媒体などの、有形のコンピュータ読取可能記憶媒体を含み得る。これはまた、データ信号、データ伝送、または所望の情報を送信するために使用することができ、コンピューティングシステム１４００によってアクセスすることができる任意の他の媒体などの、非有形のコンピュータ読取可能媒体を含み得る。

例として、コンピュータ読取可能記憶媒体１４２２は、取り外し可能でない不揮発性磁気媒体に対する読出および書込を行うハードディスクドライブ、取り外し可能な不揮発性磁気ディスクに対する読出および書込を行う磁気ディスクドライブ、ならびに、ＣＤＲＯＭ、ＤＶＤ、およびBlu-Ray（登録商標）ディスク、または他の光学媒体などの取り外し可能な不揮発性光ディスクに対する読出および書込を行う光ディスクドライブを含み得る。コンピュータ読取可能記憶媒体１４２２は、限定されないが、Ｚｉｐ（登録商標）ドライブ、フラッシュメモリカード、ユニバーサルシリアルバス（ＵＳＢ）フラッシュドライブ、セキュアデジタル（ＳＤ）カード、ＤＶＤディスク、デジタルビデオテープなどを含み得る。コンピュータ読取可能記憶媒体１４２２はまた、フラッシュメモリベースのＳＳＤ、エンタープライズフラッシュドライブ、ソリッドステートＲＯＭなどの不揮発性メモリに基づくソリッドステートドライブ（ＳＳＤ）、ソリッドステートＲＡＭ、ダイナミックＲＡＭ、スタティックＲＡＭなどの揮発性メモリに基づくＳＳＤ、ＤＲＡＭベースのＳＳＤ、磁気抵抗ＲＡＭ（ＭＲＡＭ）ＳＳＤ、およびＤＲＡＭとフラッシュメモリベースのＳＳＤとの組み合わせを使用するハイブリッドＳＳＤを含み得る。ディスクドライブおよびこれらに関連付けられたコンピュータ読取可能媒体は、コンピュータ読取可能命令、データ構造、プログラムモジュール、および他のデータの不揮発性ストレージをコンピュータシステム１４００に提供し得る。

通信サブシステム１４２４は、他のコンピュータシステムおよびネットワークに対するインターフェイスを提供する。通信サブシステム１４２４は、他のシステムとコンピュータシステム１４００との間でデータを送受信するためのインターフェイスの役割を果たす。たとえば、通信サブシステム１４２４は、コンピュータシステム１４００がインターネットを介して１つ以上のデバイスに接続することを可能にし得る。いくつかの実施形態では、通信サブシステム１４２４は、（たとえば携帯電話技術、３Ｇ、４ＧもしくはＥＤＧＥ（enhanced data rates for global evolution）などの高度データネットワーク技術、ＷｉＦｉ（登録商標）（ＩＥＥＥ８０２．１１系規格、または他の移動通信技術、またはそれらの任意の組み合わせを使用して）無線音声および／またはデータネットワークにアクセスするための無線周波数（ＲＦ）トランシーバーコンポーネント、グローバルポジショニングシステム（ＧＰＳ）受信機コンポーネント、および／または他のコンポーネントを含み得る。いくつかの実施形態では、通信サブシステム１４２４は、無線インターフェイスに加えてまたはその代わりに、有線ネットワーク接続性（たとえばイーサネット）を提供し得る。

いくつかの実施形態では、通信サブシステム１４２４はまた、コンピュータシステム１４００を使用し得る１人以上のユーザの代わりに、構造化および／または非構造化データフィード１４２６、イベントストリーム１４２８、イベント更新１４３０などの形態の入力通信を受信してもよい。

例として、通信サブシステム１４２４は、Twitter（登録商標）フィード、Facebook（登録商標）更新、Rich Site Summary（ＲＳＳ）フィードなどのウェブフィード、および／または１つ以上の第三者情報源からのリアルタイム更新などの、ソーシャルネットワークおよび／または他の通信サービスのユーザからのデータフィード１４２６をリアルタイムで受信するように構成されてもよい。

これに加えて、通信サブシステム１４２４はまた、明確な終わりがなく本質的に連続的または無限であってもよい、リアルタイムイベントのイベントストリーム１４２８および／またはイベント更新１４３０を含み得る、連続データストリームの形態のデータを受信するように構成されてもよい。連続データを生成するアプリケーションの例としては、たとえば、センサデータアプリケーション、金融ティッカー、ネットワーク性能測定ツール（たとえばネットワークモニタリングおよびトラフィック管理アプリケーション）、クリックストリーム分析ツール、自動車交通監視などが挙げられ得る。

通信サブシステム１４２４はまた、構造化および／または非構造化データフィード１４２６、イベントストリーム１４２８、イベント更新１４３０などを、コンピュータシステム１４００に結合された１つ以上のストリーミングデータソースコンピュータと通信し得る１つ以上のデータベースに出力するように構成されてもよい。

コンピュータシステム１４００は、ハンドヘルドポータブルデバイス（たとえば、iPhone（登録商標）携帯電話、iPad（登録商標）コンピューティングタブレット、ＰＤＡ）、ウェアラブルデバイス（たとえば、Google Glass（登録商標）ヘッドマウントディスプレイ）、ＰＣ、ワークステーション、メインフレーム、キオスク、サーバラック、またはその他任意のデータ処理システムを含む、さまざまなタイプのうちの１つとすることができる。

コンピュータおよびネットワークには常に変化しているという性質があるので、図に示されるコンピュータシステム１４００の説明は、具体的な一例を意図しているに過ぎない。図に示されるシステムよりも多いまたは少ないコンポーネントを有するその他多数の構成が可能である。たとえば、カスタマイズされたハードウェアが使用されてもよく、および／または特定の要素がハードウェア、ファームウェア、ソフトウェア（アプレットを含む）、もしくは組み合わせで実現され得る。さらに、ネットワーク入出力デバイスなどの他のコンピューティングデバイスに対する接続が採用されてもよい。本明細書に提供されている開示および教示に基づいて、当業者は、各種実施形態を実現するための他のやり方および／または方法を理解するであろう。

クラウドサービスという語は、クラウドサービスプロバイダ（ＣＳＰ）によって提供されるシステムおよびインフラストラクチャ（クラウドインフラストラクチャ）を使用してＣＳＰによってユーザまたは顧客がオンデマンドで（たとえばサブスクリプションモデルを介して）利用できるようになるサービスを指すために一般に用いられる。典型的に、ＣＳＰのインフラストラクチャを構成するサーバおよびシステムは、顧客自身のオンプレミスサーバおよびシステムとは別のものである。よって、顧客は、ＣＳＰによって提供されるクラウドサービスを、それらのサービスのための別個のハードウェアおよびソフトウェアリソースを購入する必要なしに利用することができる。クラウドサービスは、加入している顧客がそれらのサービスを提供するのに使用されるインフラストラクチャの調達に投資する必要なしに、アプリケーションおよびコンピューティングリソースへの容易でスケーラブルなアクセスを顧客に提供するように設計されている。

さまざまなタイプのクラウドサービスを提供するいくつかのクラウドサービスプロバイダがある。サービスとしてのソフトウェア（Software-as-a-Service：ＳａａＳ）、サービスとしてのプラットフォーム（Platform-as-a-Service：ＰａａＳ）、サービスとしてのインフラストラクチャ（Infrastructure-as-a-Service：ＩａａＳ）などを含むさまざまな異なるタイプまたはモデルのクラウドサービスがある。

顧客は、ＣＳＰによって提供される１つ以上のクラウドサービスに加入することができる。顧客は、個人、組織、企業などの任意のエンティティとすることができる。顧客がＣＳＰによって提供されるサービスに加入または登録すると、その顧客のテナンシまたはアカウントが作成される。そして、顧客はこのアカウントを介して、アカウントに関連付けられた、加入した１つ以上のクラウドリソースにアクセスすることができる。

上述のように、サービスとしてのインフラストラクチャ（ＩａａＳ）は、ある特定のタイプのクラウドコンピューティングサービスである。ＩａａＳモデルでは、ＣＳＰは、顧客が自身のカスタマイズ可能なネットワークを構築し、顧客リソースを展開するために使用することができるインフラストラクチャ（クラウドサービスプロバイダインフラストラクチャまたはＣＳＰＩと呼ばれる）を提供する。よって、顧客のリソースおよびネットワークは、ＣＳＰによって提供されるインフラストラクチャによって分散環境でホストされている。これは、顧客のリソースおよびネットワークが顧客によって提供されるインフラストラクチャによってホストされている従来のコンピューティングとは異なる。

ＣＳＰＩは、さまざまなホストマシンを含む相互接続された高性能の計算リソースと、メモリリソースと、基幹ネットワークまたはアンダーレイネットワークとも呼ばれる物理ネットワークを形成するネットワークリソースとを含み得る。ＣＳＰＩのリソースは、１つ以上の地理的領域に地理的に分散され得る１つ以上のデータセンターに分散され得る。これらの物理リソースによって仮想化ソフトウェアが実行されて、仮想化分散環境が提供され得る。仮想化は、物理ネットワーク上にオーバーレイネットワーク（ソフトウェアベースネットワーク、ソフトウェア定義ネットワーク、または仮想ネットワークとしても知られている）を作成する。ＣＳＰＩ物理ネットワークは、物理ネットワークの上に１つ以上のオーバーレイネットワークまたは仮想ネットワークを作成するための基礎を提供する。仮想ネットワークまたはオーバーレイネットワークは、１つ以上の仮想クラウドネットワーク（ＶＣＮ）を含み得る。仮想ネットワークは、ソフトウェア仮想化技術（たとえば、ハイパーバイザ、ネットワーク仮想化デバイス（ＮＶＤ）（たとえばスマートＮＩＣ）によって実行される機能、トップオブラック（ＴＯＲ）スイッチ、ＮＶＤによって実行される１つ以上の機能を実現するスマートＴＯＲ、および他のメカニズム）を使用して実現されて、物理ネットワークの上で動作可能なネットワーク抽象化層を作成する。仮想ネットワークは、ピアツーピアネットワーク、ＩＰネットワークなどを含むさまざまな形態を取ることができる。仮想ネットワークは典型的に、レイヤ３ＩＰネットワークまたはレイヤ２ＶＬＡＮのいずれかである。この仮想ネットワーキングまたはオーバーレイネットワーキングの方法は、しばしば仮想レイヤ３ネットワーキングまたはオーバーレイレイヤ３ネットワーキングと呼ばれる。仮想ネットワークのために開発されたプロトコルの例としては、ＩＰ－ｉｎ－ＩＰ（または汎用ルーティングカプセル化（ＧＲＥ））、仮想拡張可能ＬＡＮ（ＶＸＬＡＮ－ＩＥＴＦＲＦＣ７３４８）、仮想プライベートネットワーク（ＶＰＮ）（たとえばＭＰＬＳレイヤ３仮想プライベートネットワーク（ＲＦＣ４３６４））、ＶＭｗａｒｅのＮＳＸ、ＧＥＮＥＶＥ（汎用ネットワーク仮想化カプセル化）などが挙げられる。

ＩａａＳの場合、ＣＳＰによって提供されるインフラストラクチャ（ＣＳＰＩ）は、パブリックネットワーク（たとえばインターネット）を介して仮想化コンピューティングリソースを提供するように構成され得る。ＩａａＳモデルでは、クラウドコンピューティングサービスプロバイダは、インフラストラクチャコンポーネント（たとえば、サーバ、ストレージデバイス、ネットワークノード（たとえばハードウェア）、展開ソフトウェア、プラットフォーム仮想化（たとえばハイパーバイザ層）など）をホストし得る。いくつかの場合において、ＩａａＳプロバイダはまた、それらのインフラストラクチャコンポーネントに付随するさまざまなサービス（たとえば、課金、監視、ロギング、セキュリティ、ロードバランシングおよびクラスタリングなど）を提供してもよい。よって、これらのサービスはポリシー駆動型であり得るので、ＩａａＳユーザは、ロードバランシングを駆動するポリシーを実現して、アプリケーションの可用性および性能を維持することが可能であり得る。ＣＳＰＩは、顧客が高可用性のホスト型分散環境で広範なアプリケーションおよびサービスを構築して実行することを可能にするインフラストラクチャおよび一連の補完的なクラウドサービスを提供する。ＣＳＰＩは、顧客のオンプレミスネットワークからなどのさまざまなネットワーク拠点からセキュアにアクセスできる柔軟な仮想ネットワークにおける高性能の計算リソースおよび能力ならびに記憶容量を提供する。顧客がＣＳＰによって提供されるＩａａＳサービスに加入または登録すると、その顧客のために作成されるテナンシは、ＣＳＰＩ内のセキュアな分離されたパーティションとなり、この中で顧客は自身のクラウドリソースを作成、整理、および管理することができる。

顧客は、ＣＳＰＩによって提供される計算リソース、メモリリソース、およびネットワーキングリソースを使用して、自身の仮想ネットワークを構築することができる。これらの仮想ネットワーク上に、計算インスタンスなどの１つ以上の顧客リソースまたはワークロードを展開することができる。たとえば、顧客は、ＣＳＰＩによって提供されるリソースを使用して、仮想クラウドネットワーク（ＶＣＮ）と呼ばれる１つまたは複数のカスタマイズ可能なプライベート仮想ネットワークを構築することができる。顧客は、顧客ＶＣＮ上に、計算インスタンスなどの１つ以上の顧客リソースを展開することができる。計算インスタンスは、仮想マシン、ベアメタルインスタンスなどの形態を取ることができる。よって、ＣＳＰＩは、顧客が高可用性の仮想ホスト型環境で広範なアプリケーションおよびサービスを構築して実行することを可能にするインフラストラクチャおよび一連の補完的なクラウドサービスを提供する。顧客は、ＣＳＰＩによって提供される基礎となる物理リソースを管理または制御しないが、オペレーティングシステム、ストレージ、および展開されたアプリケーションを制御し、場合によっては一部のネットワーキングコンポーネント（たとえばファイアウォール）を限定的に制御する。

ＣＳＰは、顧客およびネットワーク管理者がＣＳＰＩリソースを使用してクラウドに展開されたリソースを構成、アクセス、および管理することを可能にするコンソールを提供してもよい。特定の実施形態では、コンソールは、ＣＳＰＩにアクセスしてＣＳＰＩを管理するために使用することができるウェブベースのユーザインターフェイスを提供する。いくつかの実現例では、コンソールは、ＣＳＰによって提供されるウェブベースのアプリケーションである。

ＣＳＰＩは、シングルテナンシアーキテクチャまたはマルチテナンシアーキテクチャをサポートしてもよい。シングルテナンシアーキテクチャでは、ソフトウェア（たとえばアプリケーション、データベース）またはハードウェアコンポーネント（たとえばホストマシンもしくはサーバ）が、単一の顧客またはテナントにサービスを提供する。マルチテナンシアーキテクチャでは、ソフトウェアまたはハードウェアコンポーネントが、複数の顧客またはテナントにサービスを提供する。よって、マルチテナンシアーキテクチャでは、ＣＳＰＩリソースは複数の顧客またはテナントの間で共有される。マルチテナンシの状況では、各テナントのデータが分離されて他のテナントには見えない状態のままであるように、ＣＳＰＩにおいて予防措置および保護措置が取られる。

物理ネットワークでは、ネットワークエンドポイント（「エンドポイント」）とは、物理ネットワークに接続され、自身が接続されているネットワークと双方向に通信するコンピューティングデバイスまたはシステムを指す。物理ネットワーク内のネットワークエンドポイントは、ローカルエリアネットワーク（ＬＡＮ）、ワイドエリアネットワーク（ＷＡＮ）、または他のタイプの物理ネットワークに接続され得る。物理ネットワーク内の従来のエンドポイントの例としては、モデム、ハブ、ブリッジ、スイッチ、ルータ、および他のネットワーキングデバイス、物理コンピュータ（またはホストマシン）などが挙げられる。物理ネットワーク内の各物理デバイスは、当該デバイスと通信するために使用され得る固定ネットワークアドレスを有する。この固定ネットワークアドレスは、レイヤ２アドレス（たとえばＭＡＣアドレス）、固定レイヤ３アドレス（たとえばＩＰアドレス）などであり得る。仮想化環境または仮想ネットワークでは、エンドポイントは、物理ネットワークのコンポーネントによってホストされている（たとえば物理ホストマシンによってホストされている）仮想マシンなどのさまざまな仮想エンドポイントを含み得る。仮想ネットワーク内のこれらのエンドポイントは、オーバーレイレイヤ２アドレス（たとえばオーバーレイＭＡＣアドレス）およびオーバーレイレイヤ３アドレス（たとえばオーバーレイＩＰアドレス）などのオーバーレイアドレスによってアドレス指定される。ネットワークオーバーレイは、ネットワーク管理者がソフトウェア管理を用いて（たとえば、仮想ネットワークの制御プレーンを実現するソフトウェアを介して）ネットワークエンドポイントに関連付けられたオーバーレイアドレスを移動できるようにすることによって、柔軟性を可能にする。したがって、物理ネットワークとは異なり、仮想ネットワークでは、ネットワーク管理ソフトウェアを用いてオーバーレイアドレス（たとえばオーバーレイＩＰアドレス）をあるエンドポイントから別のエンドポイントに移動することができる。仮想ネットワークは物理ネットワークの上に構築されているので、仮想ネットワーク内のコンポーネント間の通信は、仮想ネットワークおよび基礎となる物理ネットワークの両方を伴う。このような通信を容易にするために、ＣＳＰＩのコンポーネントは、仮想ネットワーク内のオーバーレイアドレスを基幹ネットワーク内の実際の物理アドレスにマッピングする、またはその反対にマッピングするマッピングを学習して格納するように構成されている。そして、これらのマッピングは、通信を容易にするために使用される。仮想ネットワーク内のルーティングを容易にするために顧客トラフィックはカプセル化される。

したがって、物理アドレス（たとえば物理ＩＰアドレス）は物理ネットワーク内のコンポーネントに関連付けられ、オーバーレイアドレス（たとえばオーバーレイＩＰアドレス）は仮想ネットワーク内のエンティティに関連付けられる。物理ＩＰアドレスおよびオーバーレイＩＰアドレスは、いずれも実ＩＰアドレスの一種である。これらは、複数の実ＩＰアドレスにマッピングされる仮想ＩＰアドレスとは別のものである。仮想ＩＰアドレスは、仮想ＩＰアドレスと複数の実ＩＰアドレスとの間の１対多マッピングを提供する。

クラウドインフラストラクチャまたはＣＳＰＩは、世界中の１つ以上のリージョン内の１つ以上のデータセンターにおいて物理的にホストされている。ＣＳＰＩは、物理ネットワークまたは基幹ネットワーク内のコンポーネントと、物理ネットワークコンポーネントの上に構築された仮想ネットワーク内にある仮想化コンポーネント（たとえば、仮想ネットワーク、計算インスタンス、仮想マシンなど）とを含み得る。特定の実施形態では、ＣＳＰＩは、レルム、リージョン、および可用性ドメインにおいて編成されホストされている。リージョンは典型的には、１つ以上のデータセンターを含むローカライズされた地理的地域である。リージョンは一般的に互いに独立しており、広大な距離で（たとえば国またはさらには大陸間で）で分離され得る。たとえば、第１のリージョンはオーストラリアにあり、別のリージョンは日本にあり、さらに別のリージョンはインドにある、などであってもよい。ＣＳＰＩリソースは、各リージョンが自身の独立したＣＳＰＩリソースのサブセットを有するように、リージョン間で分割される。各リージョンは、計算リソース（たとえば、ベアメタルサーバ、仮想マシン、コンテナおよび関連のインフラストラクチャなど）、ストレージリソース（たとえば、ブロックボリュームストレージ、ファイルストレージ、オブジェクトストレージ、アーカイブストレージ）、ネットワーキングリソース（たとえば、仮想クラウドネットワーク（ＶＣＮ）、ロードバランシングリソース、オンプレミスネットワークへの接続）、データベースリソース、エッジネットワーキングリソース（たとえばＤＮＳ）、ならびにアクセス管理および監視リソースなどの、一連のコアインフラストラクチャサービスおよびリソースを提供し得る。各リージョンは一般的に、当該リージョンをレルム内の他のリージョンに接続する複数のパスを有する。

一般に、近くにあるリソースの使用は遠くにあるリソースの使用よりも高速であるため、アプリケーションは、それが最も頻繁に使用されるリージョンに展開される（すなわち、そのリージョンに関連付けられたインフラストラクチャ上に展開される）。また、大規模な気象系または地震などのリージョン全体の事象のリスクを軽減するための冗長性、法的管轄区域、税領域、および他のビジネス基準または社会的基準などのさまざまな要件を満たすための冗長性などのさまざまな理由で、異なるリージョンにアプリケーションが展開され得る。

リージョン内のデータセンターは、さらに編成され、可用性ドメイン（ＡＤ）に細分化され得る。可用性ドメインは、あるリージョン内に位置する１つ以上のデータセンターに対応してもよい。リージョンは、１つ以上の可用性ドメインで構成され得る。このような分散環境では、ＣＳＰＩリソースは、仮想クラウドネットワーク（ＶＣＮ）のようにリージョン固有である、または計算インスタンスのように可用性ドメイン固有である。

あるリージョン内のＡＤは、互いに分離され、フォールトトレラントであり、同時に障害が起きることはほとんどないように構成されている。これは、あるリージョン内の１つのＡＤにおける障害が同じリージョン内の他のＡＤの可用性に影響を与える可能性がほとんどないように、ネットワーキング、物理ケーブル、ケーブルパス、ケーブルエントリポイントなどの重要なインフラストラクチャリソースをＡＤが共有しないことによって達成される。同じリージョン内のＡＤが低遅延・広帯域ネットワークによって互いに接続され得ることにより、他のネットワーク（たとえば、インターネット、顧客のオンプレミスネットワークなど）への高可用性接続を提供することができ、複数のＡＤにおいて高可用性およびディザスタリカバリの双方のための複製システムを構築することができる。クラウドサービスは、複数のＡＤを使用して、高可用性を確保し、リソース障害から保護する。ＩａａＳプロバイダによって提供されるインフラストラクチャが発展するにつれて、より多くのリージョンおよびＡＤが追加の容量とともに追加され得る。可用性ドメイン間のトラフィックは、通常は暗号化される。

特定の実施形態では、リージョンはレルムにグループ化される。レルムは、リージョンの論理集合である。レルムは互いに分離されており、データを共有しない。同じレルム内のリージョンは互いに通信し得るが、異なるレルム内のリージョン互いに通信できない。ＣＳＰの顧客のテナンシまたはアカウントは、１つのレルムに存在し、そのレルムに属する１つ以上のリージョンにまたがることができる。典型的には、顧客がＩａａＳサービスに加入すると、レルム内の顧客指定リージョン（「ホーム」リージョンと呼ばれる）において、その顧客のためのテナンシまたはアカウントが作成される。顧客は、自身のテナンシをレルム内の１つ以上の他のリージョンに拡張することができる。顧客は、自身のテナンシが存在するレルム内にないリージョンにはアクセスできない。

ＩａａＳプロバイダは複数のレルムを提供することができ、各レルムは特定の一組の顧客またはユーザを対象とする。たとえば、商用顧客に商用レルムが提供され得る。別の例として、特定の国またはその国の顧客にレルムが提供され得る。さらに別の例として、政府に政府レルムが提供される、などであり得る。たとえば、政府レルムは特定の政府を対象とし得、商用レルムよりも高いセキュリティレベルを有し得る。たとえば、オラクルクラウドインフラストラクチャ（ＯＣＩ）は、現在、商用リージョンのためのレルム、ならびに政府クラウドリージョンのための２つのレルム（たとえばＦｅｄＲＡＭＰ認定済みおよびＩＬ５認定済み）を提供している。

特定の実施形態では、ＡＤは１つ以上のフォルトドメインに細分化され得る。フォルトドメインは、アンチアフィニティを提供するためのＡＤ内のインフラストラクチャリソースのグループ化である。フォルトドメインは、計算インスタンスが１つのＡＤ内の同じ物理ハードウェア上に存在しないように、当該インスタンスを分散させることができる。これはアンチアフィニティとして知られている。フォルトドメインとは、単一障害点を共有するハードウェアコンポーネントのセット（コンピュータ、スイッチ、およびその他）を指す。計算プールは、フォルトドメインに論理的に分割される。このため、１つのフォルトドメインに影響を与えるハードウェア障害または計算ハードウェア保守イベントは、他のフォルトドメイン内のインスタンスには影響を与えない。実施形態に応じて、各ＡＤのフォルトドメイン数は異なり得る。たとえば、特定の実施形態では、各ＡＤは３つのフォルトドメインを含む。フォルトドメインは、ＡＤ内の論理データセンターとして機能する。

顧客がＩａａＳサービスに加入すると、ＣＳＰＩからのリソースがその顧客に対してプロビジョニングされ、その顧客のテナンシに関連付けられる。顧客は、これらのプロビジョニングされたリソースを使用して、プライベートネットワークを構築し、これらのネットワーク上にリソースを展開することができる。ＣＳＰＩによってクラウド内にホストされている顧客ネットワークは、仮想クラウドネットワーク（ＶＣＮ）と呼ばれる。顧客は、自身に割り当てられたＣＳＰＩリソースを使用して１つ以上の仮想クラウドネットワーク（ＶＣＮ）をセットアップすることができる。ＶＣＮとは、仮想またはソフトウェア定義プライベートネットワークである。顧客のＶＣＮにおいて展開される顧客リソースは、計算インスタンス（たとえば、仮想マシン、ベアメタルインスタンス）および他のリソースを含み得る。これらの計算インスタンスは、アプリケーション、ロードバランサ、データベースなどのさまざまな顧客ワークロードを表し得る。ＶＣＮ上に展開される計算インスタンスは、インターネットなどのパブリックネットワークを介して公的にアクセス可能なエンドポイント（「パブリックエンドポイント」）と通信することができ、同じＶＣＮまたは他のＶＣＮ（たとえば、顧客の他のＶＣＮ、もしくは顧客に属さないＶＣＮ）内の他のインスタンスと通信することができ、顧客のオンプレミスデータセンターまたはネットワークと通信することができ、サービスエンドポイントおよび他のタイプのエンドポイントと通信することができる。

ＣＳＰは、ＣＳＰＩを使用してさまざまなサービスを提供してもよい。いくつかの例では、ＣＳＰＩの顧客自身がサービスプロバイダのように振る舞い、ＣＳＰＩリソースを使用してサービスを提供してもよい。サービスプロバイダは、識別情報（たとえば、ＩＰアドレス、ＤＮＳ名およびポート）によって特徴付けられるサービスエンドポイントを公開してもよい。顧客のリソース（たとえば計算インスタンス）は、特定のサービスについての特定のサービスによって公開されたサービスエンドポイントにアクセスすることによって、その特定のサービスを消費することができる。これらのサービスエンドポイントは一般に、ユーザが、エンドポイントに関連付けられたパブリックＩＰアドレスを使用して、インターネットなどのパブリック通信ネットワークを介して公的にアクセス可能なエンドポイントである。公的にアクセス可能なネットワークエンドポイントは、パブリックエンドポイントと呼ばれることもある。

特定の実施形態では、サービスプロバイダは、サービスのエンドポイント（サービスエンドポイントと呼ばれることもある）を介して当該サービスを公開してもよい。そして、サービスの顧客は、このサービスエンドポイントを使用してサービスにアクセスすることができる。特定の実現例では、サービスのために提供されるサービスエンドポイントには、そのサービスを消費するつもりの複数の顧客がアクセスすることができる。他の実現例では、ある顧客のみがある専用のサービスエンドポイントを使用してサービスにアクセスできるように、その専用のサービスエンドポイントがその顧客に提供されてもよい。

特定の実施形態では、ＶＣＮが作成されると、当該ＶＣＮは、当該ＶＣＮに割り当てられるプライベートオーバーレイＩＰアドレスの範囲（たとえば、１０．０／１６）であるプライベートオーバーレイ・クラスレスドメイン間ルーティング（ＣＩＤＲ）アドレス空間に関連付けられる。ＶＣＮは、関連付けられたサブネット、ルートテーブル、およびゲートウェイを含む。ＶＣＮは、１つのリージョン内に常駐するが、そのリージョンの可用性ドメインの１つまたは複数またはすべてにまたがることができる。ゲートウェイは、ＶＣＮのために構成され、ＶＣＮとＶＣＮ外部の１つ以上のエンドポイントとの間のトラフィックの通信を可能にする仮想インターフェイスである。異なるタイプのエンドポイント間の通信を可能にするように、１つ以上の異なるタイプのゲートウェイがＶＣＮのために構成されてもよい。

ＶＣＮは、１つ以上のサブネットなどの１つ以上のサブネットワークに細分化され得る。よって、サブネットは、ＶＣＮ内に作成可能な構成単位または下位区分である。ＶＣＮは１つまたは複数のサブネットを有し得る。ＶＣＮ内の各サブネットは、そのＶＣＮ内の他のサブネットと重複せず、当該ＶＣＮのアドレス空間内のアドレス空間サブセットを表すオーバーレイＩＰアドレスの連続範囲（たとえば、１０．０．０．０／２４および１０．０．１．０／２４）に関連付けられる。

各計算インスタンスは、当該計算インスタンスがＶＣＮのサブネットに参加することを可能にする仮想ネットワークインターフェイスカード（ＶＮＩＣ）に関連付けられる。ＶＮＩＣは、物理ネットワークインターフェイスカード（ＮＩＣ）の論理的表現である。一般的に、ＶＮＩＣは、エンティティ（たとえば計算インスタンス、サービス）と仮想ネットワークとの間のインターフェイスである。ＶＮＩＣはサブネットに存在し、１つ以上の関連付けられたＩＰアドレスと、関連付けられたセキュリティルールまたはポリシーとを有する。ＶＮＩＣは、スイッチ上のレイヤ２ポートに相当する。ＶＮＩＣは、計算インスタンスと、ＶＣＮ内のサブネットとにアタッチされている。計算インスタンスに関連付けられたＶＮＩＣは、計算インスタンスがＶＣＮのサブネットの一部であることを可能にし、計算インスタンスが、計算インスタンスと同じサブネット上にあるエンドポイントと通信する（たとえばパケットを送受信する）こと、ＶＣＮ内の異なるサブネット内のエンドポイントと通信すること、またはＶＣＮ外部のエンドポイントと通信することを可能にする。よって、計算インスタンスに関連付けられたＶＮＩＣは、計算インスタンスがＶＣＮの内部および外部のエンドポイントにどのように接続するかを決定する。計算インスタンスのＶＮＩＣは、その計算インスタンスが作成されてＶＣＮ内のサブネットに追加されると、作成されて当該計算インスタンスに関連付けられる。計算インスタンスのセットを含むサブネットの場合、サブネットは、計算インスタンスのセットに対応するＶＮＩＣを含み、各ＶＮＩＣはコンピュータインスタンスのセット内の計算インスタンスにアタッチされている。

各計算インスタンスには、当該計算インスタンスに関連付けられたＶＮＩＣを介してプライベートオーバーレイＩＰアドレスが割り当てられる。このプライベートオーバーレイＩＰアドレスは、計算インスタンスが作成されると計算インスタンスに関連付けられたＶＮＩＣに割り当てられ、計算インスタンスとの間のトラフィックをルーティングするために使用される。所与のサブネット内のすべてのＶＮＩＣは、同じルートテーブル、セキュリティリスト、およびＤＨＣＰオプションを使用する。上述のように、ＶＣＮ内の各サブネットは、そのＶＣＮ内の他のサブネットと重複せず、当該ＶＣＮのアドレス空間内のアドレス空間サブセットを表すオーバーレイＩＰアドレスの連続範囲（たとえば、１０．０．０．０／２４および１０．０．１．０／２４）に関連付けられる。ＶＣＮの特定のサブネット上のＶＮＩＣの場合、当該ＶＮＩＣに割り当てられるプライベートオーバーレイＩＰアドレスは、サブネットに割り当てられたオーバーレイＩＰアドレスの連続範囲からのアドレスである。

特定の実施形態では、計算インスタンスに、プライベートオーバーレイＩＰアドレスに加えて、パブリックサブネットにある場合はたとえば１つ以上のパブリックＩＰアドレスなどの追加のオーバーレイＩＰアドレスがオプションとして割り当てられてもよい。これら複数のアドレスは、同じＶＮＩＣ上で、または計算インスタンスに関連付けられた複数のＶＮＩＣ上で割り当てられる。しかしながら、各インスタンスは、インスタンス起動中に作成され、インスタンスに割り当てられたオーバーレイプライベートＩＰアドレスに関連付けられているプライマリＶＮＩＣを有する。このプライマリＶＮＩＣは削除することができない。セカンダリＶＮＩＣと呼ばれる追加のＶＮＩＣを、プライマリＶＮＩＣと同じ可用性ドメイン内の既存のインスタンスに追加することができる。すべてのＶＮＩＣは、インスタンスと同じ可用性ドメイン内にある。セカンダリＶＮＩＣは、プライマリＶＮＩＣと同じＶＣＮ内のサブネットにあり得、または、同じＶＣＮもしくは異なるＶＣＮ内の異なるサブネットにあり得る。

計算インスタンスは、パブリックサブネットにある場合、パブリックＩＰアドレスがオプションとして割り当てられてもよい。サブネットは、当該サブネットを作成するときに、パブリックサブネットまたはプライベートサブネットのいずれかとして指定することができる。プライベートサブネットとは、当該サブネット内のリソース（たとえば計算インスタンス）および関連付けられたＶＮＩＣがパブリックオーバーレイＩＰアドレスを有することができないことを意味する。パブリックサブネットとは、サブネット内のリソースおよび関連付けられたＶＮＩＣがパブリックＩＰアドレスを有することができることを意味する。顧客は、サブネットがリージョンまたはレルム内の１つの可用性ドメインに存在するか複数の可用性ドメインにわたって存在するかを指定することができる。

上述のように、ＶＣＮは１つ以上のサブネットに細分化されてもよい。特定の実施形態では、ＶＣＮのために構成された仮想ルータ（ＶＣＮＶＲまたは単にＶＲと呼ばれる）がＶＣＮのサブネット間の通信を可能にする。ＶＣＮ内のサブネットの場合、ＶＲは、サブネット（すなわち、そのサブネット上の計算インスタンス）がＶＣＮ内部の他のサブネット上のエンドポイントおよびＶＣＮ外部の他のエンドポイントと通信することを可能にする、そのサブネットの論理ゲートウェイを表す。ＶＣＮＶＲは、ＶＣＮ内のＶＮＩＣと、ＶＣＮに関連付けられた仮想ゲートウェイ（「ゲートウェイ」）との間のトラフィックをルーティングするように構成された論理エンティティである。ゲートウェイは、図１に関して以下にさらに説明される。ＶＣＮＶＲは、レイヤ３／ＩＰレイヤの概念である。一実施形態では、ＶＣＮに対して１つのＶＣＮＶＲがあり、ＶＣＮＶＲは、ＩＰアドレスによってアドレス指定される無制限の数のポートを潜在的に有し、ＶＣＮのサブネットごとに１つのポートがある。このように、ＶＣＮＶＲは、ＶＣＮＶＲがアタッチされているＶＣＮ内のサブネットごとに異なるＩＰアドレスを有する。ＶＲはまた、ＶＣＮのために構成されたさまざまなゲートウェイに接続されている。特定の実施形態では、サブネットのオーバーレイＩＰアドレス範囲からの特定のオーバーレイＩＰアドレスが、そのサブネットのＶＣＮＶＲのポートのために確保されている。たとえば、アドレス範囲１０．０／１６および１０．１／１６がそれぞれ関連付けられている２つのサブネットを有するＶＣＮを考える。アドレス範囲１０．０／１６を有するＶＣＮ内の第１のサブネットの場合、この範囲からのアドレスが、そのサブネットのＶＣＮＶＲのポートのために確保されている。いくつかの例では、当該範囲からの第１のＩＰアドレスはＶＣＮＶＲのために確保されていてもよい。たとえば、オーバーレイＩＰアドレス範囲１０．０／１６を有するサブネットの場合、ＩＰアドレス１０．０．０．１がそのサブネットのＶＣＮＶＲのポートのために確保されていてもよい。アドレス範囲１０．１／１６を有する同じＶＣＮ内の第２のサブネットの場合、ＶＣＮＶＲは、ＩＰアドレス１０．１．０．１を有するその第２のサブネットのポートを有してもよい。ＶＣＮＶＲは、ＶＣＮ内のサブネットごとに異なるＩＰアドレスを有する。

いくつかの他の実施形態では、ＶＣＮ内の各サブネットは、ＶＲに関連付けられた、確保されたまたはデフォルトのＩＰアドレスを使用してサブネットによってアドレス指定可能な、自身の関連付けられたＶＲを有してもよい。確保されたまたはデフォルトのＩＰアドレスは、たとえば、そのサブネットに関連付けられたＩＰアドレスの範囲からの第１のＩＰアドレスであってもよい。サブネット内のＶＮＩＣは、このデフォルトのまたは確保されたＩＰアドレスを使用して、サブネットに関連付けられたＶＲと通信（たとえばパケットを送受信）することができる。このような実施形態では、ＶＲは、そのサブネットのイングレス／エグレスポイントである。ＶＣＮ内のサブネットに関連付けられたＶＲは、ＶＣＮ内の他のサブネットに関連付けられた他のＶＲと通信することができる。ＶＲは、ＶＣＮに関連付けられたゲートウェイと通信することもできる。サブネットのＶＲ機能は、サブネット内のＶＮＩＣのＶＮＩＣ機能を実行する１つ以上のＮＶＤ上で動作している、または当該ＮＶＤによって実行される。

ルートテーブル、セキュリティルール、およびＤＨＣＰオプションが、ＶＣＮのために構成されてもよい。ルートテーブルは、ＶＣＮの仮想ルートテーブルであり、ゲートウェイまたは特別に構成されたインスタンスを経由してＶＣＮ内部のサブネットからＶＣＮ外部の宛先にトラフィックをルーティングするためのルールを含む。ＶＣＮとの間でどのようにパケットを転送/ルーティングするかを制御するために、ＶＣＮのルートテーブルをカスタマイズすることができる。ＤＨＣＰオプションとは、インスタンスをブートアップすると当該インスタンスに自動的に与えられる構成情報を指す。

ＶＣＮのために構成されたセキュリティルールは、ＶＣＮのためのオーバーレイファイアウォールルールを表す。セキュリティルールは、イングレスおよびエグレスルールを含み、ＶＣＮ内のインスタンスに出入りすることが許可されるトラフィックのタイプを（たとえばプロトコルおよびポートに基づいて）指定することができる。顧客は、所与のルールがステートフルであるかステートレスであるかを選択することができる。たとえば、顧客は、ソースＣＩＤＲ０．０．０．０／０および宛先ＴＣＰポート２２を有するステートフルなイングレスルールをセットアップすることによって、任意の場所からインスタンスのセットへの着信ＳＳＨトラフィックを許可することができる。セキュリティルールは、ネットワークセキュリティグループまたはセキュリティリストを使用して実現することができる。ネットワークセキュリティグループは、そのグループ内のリソースのみに適用されるセキュリティルールのセットからなる。一方、セキュリティリストは、当該セキュリティリストを使用する任意のサブネット内のすべてのリソースに適用されるルールを含む。デフォルトセキュリティルールを有するデフォルトセキュリティリストがＶＣＮに与えられてもよい。ＶＣＮのために構成されたＤＨＣＰオプションは、ＶＣＮ内のインスタンスをブートアップすると当該インスタンスに自動的に与えられる構成情報を提供する。

特定の実施形態では、ＶＣＮの構成情報は、ＶＣＮ制御プレーンによって決定され格納される。ＶＣＮの構成情報は、たとえば、ＶＣＮに関連付けられたアドレス範囲、ＶＣＮ内のサブネットおよび関連付けられた情報、ＶＣＮに関連付けられた１つ以上のＶＲ、ＶＣＮ内の計算インスタンスおよび関連付けられたＶＮＩＣ、ＶＣＮに関連付けられたさまざまな仮想化ネットワーク機能（たとえば、ＶＮＩＣ、ＶＲ、ゲートウェイ）を実行するＮＶＤ、ＶＣＮのステート情報、および他のＶＣＮ関連情報、に関する情報を含み得る。特定の実施形態では、ＶＣＮ配信サービスは、ＶＣＮ制御プレーンによって格納された構成情報またはその一部をＮＶＤに公開する。配信された情報を使用して、ＮＶＤによって格納され使用される情報（たとえば、転送テーブル、ルーティングテーブルなど）を更新して、ＶＣＮ内の計算インスタンスとの間でパケットを転送してもよい。

特定の実施形態では、ＶＣＮおよびサブネットの作成はＶＣＮ制御プレーン（ＣＰ）によって処理され、計算インスタンスの起動は計算制御プレーンによって処理される。計算制御プレーンは、計算インスタンスの物理リソースの割り当てを担い、次にＶＣＮ制御プレーンを呼び出してＶＮＩＣを作成し、ＶＮＩＣを計算インスタンスにアタッチする。ＶＣＮＣＰはまた、パケット転送およびルーティング機能を実行するように構成されたＶＣＮデータプレーンに、ＶＣＮデータマッピングを送信する。

顧客は、ＣＳＰＩによってホストされているリソースを使用して１つ以上のＶＣＮを作成してもよい。顧客ＶＣＮ上に展開される計算インスタンスは、異なるエンドポイントと通信してもよい。これらのエンドポイントは、ＣＳＰＩによってホストされているエンドポイントおよびＣＳＰＩ外部のエンドポイントを含み得る。

ＣＳＰＩを使用してクラウドベースのサービスを実現するためのさまざまな異なるアーキテクチャが図１５、図１６、図１７、図１８および図１９に示されており、以下に説明される。図１５は、特定の実施形態に係る、ＣＳＰＩによってホストされているオーバーレイまたは顧客ＶＣＮを示す分散環境１５００のハイレベル図である。図１５に示される分散環境は、オーバーレイネットワーク内の複数のコンポーネントを含む。図１５に示される分散環境１５００は一例に過ぎず、特許請求の範囲に記載されている実施形態の範囲を不当に限定することを意図していない。多くの変形例、代替例、および修正例が可能である。たとえば、いくつかの実現例では、図１５に示される分散環境は、図１に示されるよりも多いもしくは少ないシステムもしくはコンポーネントを有してもよく、２つ以上のシステムを組み合わせてもよく、またはシステムの異なる構成もしくは配置を有してもよい。

図１５の例に示されるように、分散環境１５００は、顧客が加入して仮想クラウドネットワーク（ＶＣＮ）を構築するために使用することができるサービスおよびリソースを提供するＣＳＰＩ１５０１を含む。特定の実施形態では、ＣＳＰＩ１５０１は、加入している顧客にＩａａＳサービスを提供する。ＣＳＰＩ１５０１内のデータセンターは、１つ以上のリージョンに編成されてもよい。リージョンの一例である「リージョンＵＳ」１５０２が図１５に示されている。顧客は、リージョン１５０２のために顧客ＶＣＮ１５０４を構成している。顧客は、ＶＣＮ１５０４上にさまざまな計算インスタンスを展開してもよく、計算インスタンスは仮想マシンまたはベアメタルインスタンスを含み得る。インスタンスの例としては、アプリケーション、データベース、ロードバランサなどが挙げられる。

図１５に示される実施形態では、顧客ＶＣＮ１５０４は２つのサブネット、すなわち「サブネット－１」および「サブネット－２」を含み、各サブネットは自身のＣＩＤＲＩＰアドレス範囲を有する。図１５において、サブネット－１のオーバーレイＩＰアドレス範囲は１０．０／１６であり、サブネット－２のアドレス範囲は１０．１／１６である。ＶＣＮ仮想ルータ１５０５は、ＶＣＮ１５０４のサブネット間の通信およびＶＣＮ外部の他のエンドポイントとの通信を可能にするＶＣＮの論理ゲートウェイを表す。ＶＣＮＶＲ１５０５は、ＶＣＮ１５０４内のＶＮＩＣとＶＣＮ１５０４に関連付けられたゲートウェイとの間のトラフィックをルーティングするように構成されている。ＶＣＮＶＲ１５０５は、ＶＣＮ１５０４の各サブネットにポートを提供する。たとえば、ＶＲ１５０５は、ＩＰアドレス１０．０．０．１を有するポートをサブネット－１に提供し、ＩＰアドレス１０．１．０．１を有するポートをサブネット－２に提供してもよい。

各サブネット上に複数の計算インスタンスが展開されてもよく、計算インスタンスは仮想マシンインスタンスおよび／またはベアメタルインスタンスとすることができる。サブネット内の計算インスタンスは、ＣＳＰＩ１５０１内の１つ以上のホストマシンによってホストされてもよい。計算インスタンスは、当該計算インスタンスに関連付けられたＶＮＩＣを介してサブネットに参加する。たとえば、図１５に示されるように、計算インスタンスＣ１は、当該計算インスタンスに関連付けられたＶＮＩＣを介してサブネット－１の一部である。同様に、計算インスタンスＣ２は、Ｃ２に関連付けられたＶＮＩＣを介してサブネット－１の一部である。同様に、仮想マシンインスタンスまたはベアメタルインスタンスであり得る複数の計算インスタンスがサブネット－１の一部であってもよい。各計算インスタンスには、その関連付けられたＶＮＩＣを介して、プライベートオーバーレイＩＰアドレスおよびＭＡＣアドレスが割り当てられる。たとえば、図１５において、計算インスタンスＣ１はオーバーレイＩＰアドレス１０．０．０．２およびＭＡＣアドレスＭ１を有し、計算インスタンスＣ２はプライベートオーバーレイＩＰアドレス１０．０．０．３およびＭＡＣアドレスＭ２を有する。計算インスタンスＣ１およびＣ２を含むサブネット－１内の各計算インスタンスは、サブネット－１のＶＣＮＶＲ１５０５のポートのＩＰアドレスであるＩＰアドレス１０．０．０．１を使用するＶＣＮＶＲ１５０５へのデフォルトルートを有する。

サブネット－２上には、仮想マシンインスタンスおよび／またはベアメタルインスタンスを含む複数の計算インスタンスを展開することができる。たとえば、図１５に示されるように、計算インスタンスＤｌおよびＤ２は、それぞれの計算インスタンスに関連付けられたＶＮＩＣを介してサブネット－２の一部である。図１５に示される実施形態では、計算インスタンスＤ１はオーバーレイＩＰアドレス１０．１．０．２およびＭＡＣアドレスＭＭ１を有し、計算インスタンスＤ２はプライベートオーバーレイＩＰアドレス１０．１．０．３およびＭＡＣアドレスＭＭ２を有する。計算インスタンスＤ１およびＤ２を含むサブネット－２内の各計算インスタンスは、サブネット－２のＶＣＮＶＲ１５０５のポートのＩＰアドレスであるＩＰアドレス１０．１．０．１を使用するＶＣＮＶＲ１５０５へのデフォルトルートを有する。

ＶＣＮＡ１５０４はまた、１つ以上のロードバランサを含み得る。たとえば、ロードバランサは、サブネットに対して提供されてもよく、サブネット上の複数の計算インスタンス間でトラフィックをロードバランシングするように構成されてもよい。ロードバランサはまた、ＶＣＮ内のサブネット間でトラフィックをロードバランシングするように提供されてもよい。

ＶＣＮ１５０４上に展開される特定の計算インスタンスは、さまざまな異なるエンドポイントと通信することができる。これらのエンドポイントは、ＣＳＰＩ１６００によってホストされているエンドポイントおよびＣＳＰＩ１６００の外部のエンドポイントを含み得る。ＣＳＰＩ１５０１によってホストされているエンドポイントは、特定の計算インスタンスと同じサブネット上のエンドポイント（たとえば、サブネット－１内の２つの計算インスタンス間の通信）、異なるサブネット上であるが同じＶＣＮ内のエンドポイント（たとえば、サブネット－１内の計算インスタンスとサブネット－２内の計算インスタンスとの間の通信）、同じリージョン内の異なるＶＣＮ内のエンドポイント（たとえば、サブネット－１内の計算インスタンスと、同じリージョン１５０６もしくは１５１０内のＶＣＮ内のエンドポイントとの間の通信、サブネット－１内の計算インスタンスと、同じリージョン内のサービスネットワーク１５１０内のエンドポイントとの間の通信）、または異なるリージョン内のＶＣＮ内のエンドポイント（たとえば、サブネット－１内の計算インスタンスと、異なるリージョン１５０８内のＶＣＮ内のエンドポイントとの間の通信）を含み得る。ＣＳＰＩ１５０１によってホストされているサブネット内の計算インスタンスはまた、ＣＳＰＩ１５０１によってホストされていない（すなわちＣＳＰＩ１５０１の外部の）エンドポイントと通信し得る。これらの外部エンドポイントは、顧客のオンプレミスネットワーク１５１６内のエンドポイント、他のリモートクラウドホスト型ネットワーク１５１８内のエンドポイント、インターネットなどのパブリックネットワークを介してアクセス可能なパブリックエンドポイント１５１４、および他のエンドポイントを含む。

同じサブネット上の計算インスタンス間の通信は、ソース計算インスタンスおよび宛先計算インスタンスに関連付けられたＶＮＩＣを使用して容易になる。たとえば、サブネット－１内の計算インスタンスＣ１が、サブネット－１内の計算インスタンスＣ２にパケットを送信したい場合がある。ソース計算インスタンスから送出され、その宛先が同じサブネット内の別の計算インスタンスであるパケットの場合、当該パケットはまず、ソース計算インスタンスに関連付けられたＶＮＩＣによって処理される。ソース計算インスタンスに関連付けられたＶＮＩＣによって実行される処理は、パケットヘッダからパケットの宛先情報を決定すること、ソース計算インスタンスに関連付けられたＶＮＩＣのために構成された任意のポリシー（たとえばセキュリティリスト）を識別すること、パケットのネクストホップを決定すること、必要に応じて任意のパケットカプセル化／デカプセル化機能を実行すること、そして、パケットの意図された宛先への通信を容易にすることを目的としてパケットをネクストホップに転送／ルーティングすることを含み得る。宛先計算インスタンスがソース計算インスタンスと同じサブネットにある場合、ソース計算インスタンスに関連付けられたＶＮＩＣは、宛先計算インスタンスに関連付けられたＶＮＩＣを識別し、処理のためにパケットをそのＶＮＩＣに転送するように構成されている。そして、宛先計算インスタンスに関連付けられたＶＮＩＣは、実行され、パケットを宛先計算インスタンスに転送する。

サブネット内の計算インスタンスから同じＶＣＮの異なるサブネット内のエンドポイントにパケットを通信する場合、当該通信は、ソース計算インスタンスおよび宛先計算インスタンスに関連付けられたＶＮＩＣと、ＶＣＮＶＲとによって容易になる。たとえば、図１５のサブネット－１内の計算インスタンスＣ１がサブネット－２内の計算インスタンスＤ１にパケットを送信したい場合、当該パケットはまず、計算インスタンスＣ１に関連付けられたＶＮＩＣによって処理される。計算インスタンスＣ１に関連付けられたＶＮＩＣは、ＶＣＮＶＲのデフォルトルートまたはポート１０．０．０．１を使用してパケットをＶＣＮＶＲ１５０５にルーティングするように構成されている。ＶＣＮＶＲ１５０５は、ポート１０．１．０．１を使用してパケットをサブネット－２にルーティングするように構成されている。そして、パケットは、Ｄ１に関連付けられたＶＮＩＣによって受信および処理され、ＶＮＩＣはパケットを計算インスタンスＤ１に転送する。

ＶＣＮ１５０４内の計算インスタンスからＶＣＮ１５０４の外部のエンドポイントにパケットを通信する場合、当該通信は、ソース計算インスタンスに関連付けられたＶＮＩＣと、ＶＣＮＶＲ１５０５と、ＶＣＮ１５０４に関連付けられたゲートウェイとによって容易になる。１つ以上のタイプのゲートウェイがＶＣＮ１５０４に関連付けられてもよい。ゲートウェイは、ＶＣＮと別のエンドポイントとの間のインターフェイスであり、当該別のエンドポイントはＶＣＮの外部にある。ゲートウェイは、レイヤ３／ＩＰレイヤの概念であり、ＶＣＮがＶＣＮ外部のエンドポイントと通信することを可能にする。よって、ゲートウェイは、ＶＣＮと他のＶＣＮまたはネットワークとの間のトラフィックフローを容易にする。異なるタイプのエンドポイントとの異なるタイプの通信を容易にするように、さまざまな異なるタイプのゲートウェイがＶＣＮのために設定され得る。ゲートウェイに応じて、通信はパブリックネットワーク（たとえばインターネット）を介してもよく、またはプライベートネットワークを介してもよい。これらの通信にはさまざまな通信プロトコルが使用され得る。

たとえば、計算インスタンスＣ１は、ＶＣＮ１５０４の外部のエンドポイントと通信したい場合がある。パケットはまず、ソース計算インスタンスＣ１に関連付けられたＶＮＩＣによって処理され得る。ＶＮＩＣ処理は、パケットの宛先がＣｌのサブネット－１の外部にあると判断する。Ｃ１に関連付けられたＶＮＩＣは、パケットをＶＣＮ１５０４のＶＣＮＶＲ１５０５に転送し得る。そして、ＶＣＮＶＲ１５０５はパケットを処理し、当該処理の一部として、パケットの宛先に基づいて、ＶＣＮ１５０４に関連付けられた特定のゲートウェイをパケットのネクストホップとして決定する。そして、ＶＣＮＶＲ１５０５は、この特定の識別されたゲートウェイにパケットを転送し得る。たとえば、宛先が顧客のオペプレミスネットワーク内のエンドポイントである場合、パケットは、ＶＣＮＶＲ１５０５によって、ＶＣＮ１５０４のために構成された動的ルーティングゲートウェイ（ＤＲＧ）ゲートウェイ１５２２に転送され得る。そして、パケットがゲートウェイからネクストホップに転送されることにより、意図された最終宛先へのパケットの通信が容易になり得る。

さまざまな異なるタイプのゲートウェイがＶＣＮのために構成され得る。ＶＣＮのために構成され得るゲートウェイの例が図１５に示されており、以下に説明される。図１５の実施形態に示されるように、動的ルーティングゲートウェイ（ＤＲＧ）１５２２が顧客ＶＣＮ１５０４に追加または関連付けられてもよく、顧客ＶＣＮ１５０４と別のエンドポイントとの間のプライベートネットワークトラフィック通信のためのパスを提供する。当該別のエンドポイントは、顧客のオンプレミスネットワーク１５１６、ＣＳＰＩ１５０１の異なるリージョン内のＶＣＮ１５０８、またはＣＳＰＩ１５０１によってホストされていない他のリモートクラウドネットワーク１５１８であり得る。顧客オンプレミスネットワーク１５１６は、顧客のリソースを使用して構築された顧客ネットワークまたは顧客データセンターであってもよい。顧客オンプレミスネットワーク１５１６へのアクセスは、一般に厳しく制限される。顧客オンプレミスネットワーク１５１６と、ＣＳＰＩ１５０１によってクラウド内に展開またはホストされる１つ以上のＶＣＮ１５０４との両方を有する顧客の場合、当該顧客は、自身のオンプレミスネットワーク１５１６および自身のクラウドベースのＶＣＮ１５０４が互いに通信可能であることを所望する場合がある。これによって、顧客は、ＣＳＰＩ１５０１によってホストされている自身のＶＣＮ１５０４と自身のオンプレミスネットワーク１５１６とを含む拡張ハイブリッド環境を構築することができる。ＤＲＧ１５２２がこの通信を可能にする。このような通信を可能にするために、通信チャネル１５２４がセットアップされる。当該チャネルの一方のエンドポイントは顧客オンプレミスネットワーク１５１６内にあり、他方のエンドポイントはＣＳＰＩ１５０１内にあり顧客ＶＣＮ１５０４に接続される。通信チャネル１５２４は、インターネットなどのパブリック通信ネットワーク、またはプライベート通信ネットワークを介することができる。インターネットなどのパブリック通信ネットワークを介するＩＰｓｅｃＶＰＮ技術、パブリックネットワークの代わりにプライベートネットワークを使用するオラクルのFastConnect技術などのさまざまな異なる通信プロトコルが使用されてもよい。通信チャネル１５２４の１つのエンドポイントを形成する顧客オンプレミスネットワーク１５１６内のデバイスまたは機器は、図１５に示されるＣＰＥ１５２６などの顧客構内機器（ＣＰＥ）と呼ばれる。ＣＳＰＩ１５０１側では、エンドポイントは、ＤＲＧ１５２２を実行するホストマシンであってもよい。

特定の実施形態では、リモートピアリング接続（ＲＰＣ）をＤＲＧに追加することができ、これによって顧客は、１つのＶＣＮを異なるリージョン内の別のＶＣＮとピアリングすることができる。このようなＲＰＣを使用して、顧客ＶＣＮ１５０４は、ＤＲＧ１５２２を使用して別のリージョン内のＶＣＮ１５０８に接続することができる。また、ＤＲＧ１５２２を使用して、マイクロソフト（登録商標）Azureクラウド、アマゾン（登録商標）ＡＷＳクラウドなどの、ＣＳＰＩ１５０１によってホストされていない他のリモートクラウドネットワーク１５１８と通信し得る。

図１５に示されるように、ＶＣＮ１５０４上の計算インスタンスがインターネットなどのパブリックネットワークを介してアクセス可能なパブリックエンドポイント１５１４と通信することを可能にするインターネットゲートウェイ（ＩＧＷ）１５２０が、顧客ＶＣＮ１５０４のために構成され得る。ＩＧＷ１５１２０は、ＶＣＮをインターネットなどのパブリックネットワークに接続するゲートウェイである。ＩＧＷ１５２０は、ＶＣＮ１５０４などのＶＣＮ内のパブリックサブネット（パブリックサブネット内のリソースはパブリックオーバーレイＩＰアドレスを有する）がインターネットなどのパブリックネットワーク１５１４上でパブリックエンドポイント１５１２に直接アクセスすることを可能にする。ＩＧＷ１５２０を使用して、接続は、ＶＣＮ１５０４内のサブネットから、またはインターネットから、開始され得る。

ネットワークアドレス変換（ＮＡＴ）ゲートウェイ１５２８が顧客のＶＣＮ１５０４のために構成され得、専用のパブリックオーバーレイＩＰアドレスを有さない顧客のＶＣＮ内のクラウドリソースがインターネットにアクセスすることを可能にし、それらのリソースを直接着信インターネット接続（たとえばＬ４～Ｌ７接続）に曝すことなくそのようにアクセスすることを可能にする。これによって、ＶＣＮ１５０４内のプライベートサブネット－１などのＶＣＮ内のプライベートサブネットが、インターネット上でパブリックエンドポイントにプライベートアクセスすることが可能になる。ＮＡＴゲートウェイでは、接続はプライベートサブネットからパブリックインターネットにのみ開始することができ、インターネットからプライベートサブネットに開始することはできない。

特定の実施形態では、サービスゲートウェイ（ＳＧＷ）１５２６が顧客ＶＣＮ１５０４のために構成され得、ＶＣＮ１５０４とサービスネットワーク１５１０内にサポートされているサービスエンドポイントとの間のプライベートネットワークトラフィックのパスを提供する。特定の実施形態では、サービスネットワーク１５１０は、ＣＳＰによって提供されてもよく、さまざまなサービスを提供し得る。このようなサービスネットワークの一例は、顧客が使用できるさまざまなサービスを提供するオラクルのサービスネットワーク（Services Network）である。たとえば、顧客ＶＣＮ１５０４のプライベートサブネット内の計算インスタンス（たとえばデータベースシステム）は、パブリックＩＰアドレスまたはインターネットへのアクセスを必要とすることなく、サービスエンドポイント（たとえばオブジェクトストレージ（Object Storage））にデータをバックアップすることができる。特定の実施形態では、ＶＣＮはＳＧＷを１つのみ有することができ、接続はＶＣＮ内のサブネットからのみ開始することができ、サービスネットワーク１５１０からは開始することができない。ＶＣＮを別のＶＣＮとピアリングすると、この他方のＶＣＮ内のリソースは典型的にはＳＧＷにアクセスできない。また、FastConnectまたはVPN ConnectでＶＣＮに接続されているオンプレミスネットワーク内のリソースは、そのＶＣＮのために構成されたサービスゲートウェイを使用することができる。

特定の実現例では、ＳＧＷ１５２６は、サービスクラスレスドメイン間ルーティング（ＣＩＤＲ）ラベルの概念を使用する。当該ラベルは、関心のあるサービスまたはサービスのグループについてのすべてのリージョナルパブリックＩＰアドレス範囲を表す文字列である。顧客は、ＳＧＷおよびサービスへのトラフィックを制御するための関連するルートルールを構成する際にサービスＣＩＤＲラベルを使用する。顧客は、サービスのパブリックＩＰアドレスが将来変更されてもセキュリティルールを調整する必要なしに、セキュリティルールを構成する際にサービスＣＩＤＲラベルをオプションとして利用することができる。

ローカルピアリングゲートウェイ（ＬＰＧ）１５３２は、顧客ＶＣＮ１５０４に追加可能であり、ＶＣＮ１５０４が同じリージョン内の別のＶＣＮとピアリングすることを可能にするゲートウェイである。ピアリングとは、トラフィックがインターネットなどのパブリックネットワークをトラバースすることなく、または顧客のオンプレミスネットワーク１５１６を通してトラフィックをルーティングすることなく、ＶＣＮがプライベートＩＰアドレスを使用して通信することを意味する。好ましい実施形態では、ＶＣＮは、ＶＣＮが確立するピアリングごとに別個のＬＰＧを有する。ローカルピアリングまたはＶＣＮピアリングは、異なるアプリケーション間またはインフラストラクチャ管理機能間のネットワーク接続性を確立するために使用される一般的なやり方である。

サービスネットワーク１５１０内のサービスのプロバイダなどのサービスプロバイダは、異なるアクセスモデルを使用してサービスへのアクセスを提供し得る。パブリックアクセスモデルによれば、サービスは、インターネットなどのパブリックネットワークを介して顧客ＶＣＮ内の計算インスタンスによって公的にアクセス可能なパブリックエンドポイントとして公開されてもよく、および／または、ＳＧＷ１５２６を介して非公式にアクセス可能であってもよい。特定のプライベートアクセスモデルによれば、サービスは、顧客のＶＣＮ内のプライベートサブネット内のプライベートＩＰエンドポイントとしてアクセス可能になる。これは、プライベートエンドポイント（ＰＥ）アクセスと呼ばれ、サービスプロバイダがそのサービスを顧客のプライベートネットワーク内のインスタンスとして公開することを可能にする。プライベートエンドポイントリソースは、顧客のＶＣＮ内のサービスを表す。各ＰＥは、顧客のＶＣＮ内で顧客によって選択されたサブネット内のＶＮＩＣ（ＰＥ－ＶＮＩＣと呼ばれ、１つ以上のプライベートＩＰを有する）として現れる。よって、ＰＥは、ＶＮＩＣを使用してプライベートな顧客ＶＣＮサブネット内でサービスを提示する方法を提供する。エンドポイントはＶＮＩＣとして公開されるので、ルーティングルール、セキュリティリストなどのＶＮＩＣに関連付けられたすべての特徴がＰＥＶＮＩＣに利用可能となる。

サービスプロバイダは、自身のサービスを登録することによって、ＰＥを通じたアクセスを可能にすることができる。プロバイダは、ポリシーを、顧客テナンシへのサービスの可視性を制限するサービスに関連付けることができる。プロバイダは、特にマルチテナントサービスの場合、１つの仮想ＩＰアドレス（ＶＩＰ）の下で複数のサービスを登録することができる。同じサービスを表す複数のそのようなプライベートエンドポイントが（複数のＶＣＮ内に）あってもよい。

そして、プライベートサブネット内の計算インスタンスは、ＰＥＶＮＩＣのプライベートＩＰアドレスまたはサービスＤＮＳ名を使用して、サービスにアクセスすることができる。顧客ＶＣＮ内の計算インスタンスは、顧客ＶＣＮ内のＰＥのプライベートＩＰアドレスにトラフィックを送信することによって、サービスにアクセスすることができる。プライベートアクセスゲートウェイ（ＰＡＧＷ）１５３０は、顧客サブネットプライベートエンドポイントとの間のすべてのトラフィックのイングレス／エグレスポイントとして機能するサービスプロバイダＶＣＮ（たとえばサービスネットワーク１５１０内のＶＣＮ）にアタッチされ得るゲートウェイリソースである。ＰＡＧＷ１５３０は、プロバイダが、内部ＩＰアドレスリソースを利用することなくＰＥ接続の数をスケーリングすることを可能にする。プロバイダは、１つのＶＣＮに登録された任意の数のサービスに対して１つのＰＡＧＷを構成するだけでよい。プロバイダは、サービスを、１以上の顧客の複数のＶＣＮ内のプライベートエンドポイントとして表すことができる。顧客から見ると、ＰＥＶＮＩＣは、顧客のインスタンスにアタッチされているのではなく、顧客がやり取りしたいサービスにアタッチされているように見える。プライベートエンドポイントに向かうトラフィックは、ＰＡＧＷ１５３０を介してサービスにルーティングされる。これらは、顧客からサービスへのプライベート接続（Ｃ２Ｓ接続）と呼ばれる。

また、ＰＥ概念を用いて、トラフィックがFastConnect/ＩＰＳｅｃリンクおよび顧客ＶＣＮ内のプライベートエンドポイントを通過することを可能にすることによって、サービスのプライベートアクセスを顧客のオンプレミスネットワークおよびデータセンターに拡張することができる。また、トラフィックがＬＰＧ１５３２と顧客のＶＣＮ内のＰＥとの間を通過することを可能にすることによって、サービスのプライベートアクセスを顧客のピアリングしたＶＣＮに拡張することができる。

顧客は、サブネットレベルでＶＣＮ内のルーティングを制御することができるので、ＶＣＮ１５０４などの顧客のＶＣＮ内のどのサブネットが各ゲートウェイを使用するかを指定することができる。ＶＣＮのルートテーブルを使用して、トラフィックが特定のゲートウェイを通じてＶＣＮから出ることが許可されているか否かを判断する。たとえば、特定の場合において、顧客ＶＣＮ１５０４内のパブリックサブネットのルートテーブルは、ＩＧＷ１５２０を通じて非ローカルトラフィックを送信し得る。同じ顧客ＶＣＮ１５０４内のプライベートサブネットのルートテーブルは、ＳＧＷ１５２６を通じてＣＳＰサービスに向かうトラフィックを送信し得る。残りのすべてのトラフィックはＮＡＴゲートウェイ１５２８を介して送信されてもよい。ルートテーブルは、ＶＣＮから出るトラフィックのみを制御する。

ＶＣＮに関連付けられたセキュリティリストは、インバウンド接続を介してゲートウェイを介してＶＣＮに入ってくるトラフィックを制御するために使用される。サブネット内のすべてのリソースは、同じルートテーブルおよびセキュリティリストを使用する。セキュリティリストは、ＶＣＮのサブネット内のインスタンスに出入りすることが許可されている特定のタイプのトラフィックを制御するために使用されてもよい。セキュリティリストルールは、イングレス（インバウンド）およびエグレス（アウトバウンド）ルールを含み得る。たとえば、イングレスルールは、許可されたソースアドレス範囲を指定してもよく、エグレスルールは、許可された宛先アドレス範囲を指定してもよい。セキュリティルールは、特定のプロトコル（たとえば、ＴＣＰ、ＩＣＭＰ）、特定のポート（たとえば、ＳＳＨのための２２、ウィンドウズ（登録商標）ＲＤＰのための３３８９）などを指定してもよい。特定の実現例では、インスタンスのオペレーティングシステムが、セキュリティリストルールと一致する自身のファイアウォールルールを実施してもよい。ルールはステートフルであってもよく（たとえば、接続が追跡され、応答トラフィックのための明確なセキュリティリストルールなしで応答が自動的に許可される）、またはステートレスであってもよい。

顧客ＶＣＮからの（すなわち、ＶＣＮ１５０４上に展開されたリソースまたは計算インスタンスによる）アクセスは、パブリックアクセス、プライベートアクセス、または専用アクセスと分類され得る。パブリックアクセスとは、パブリックＩＰアドレスまたはＮＡＴを使用してパブリックエンドポイントにアクセスするアクセスモデルを指す。プライベートアクセスは、プライベートＩＰアドレスを有するＶＣＮ１５０４内の顧客ワークロード（たとえばプライベートサブネット内のリソース）が、インターネットなどのパブリックネットワークをトラバースすることなくサービスにアクセスすることを可能にする。特定の実施形態では、ＣＳＰＩ１５０１は、プライベートＩＰアドレスを有する顧客ＶＣＮワークロードが、サービスゲートウェイを使用してサービス（のパブリックサービスエンドポイント）にアクセスすることを可能にする。よって、サービスゲートウェイは、顧客のＶＣＮと顧客のプライベートネットワークの外部に常駐するサービスのパブリックエンドポイントとの間に仮想リンクを確立することによって、プライベートアクセスモデルを提供する。

これに加えて、ＣＳＰＩは、FastConnectパブリックピアリングなどの技術を使用して、専用のパブリックアクセスを提供してもよい。当該アクセスでは、顧客オンプレミスインスタンスは、FastConnect接続を使用して、かつインターネットなどのパブリックネットワークをトラバースすることなく、顧客ＶＣＮ内の１つ以上のサービスにアクセスすることができる。ＣＳＰＩはまた、FastConnectプライベートピアリングを使用して、専用のプライベートアクセスを提供してもよい。当該アクセスでは、プライベートＩＰアドレスを有する顧客オンプレミスインスタンスは、FastConnect接続を使用して顧客のＶＣＮワークロードにアクセスすることができる。FastConnectは、パブリックインターネットを使用して顧客のオンプレミスネットワークをＣＳＰＩおよびそのサービスに接続する代わりとなるネットワーク接続性である。FastConnectは、インターネットベースの接続と比較して、より高い帯域幅オプションおよびより信頼性が高く一貫したネットワーキング体験を有する専用のプライベート接続を作成する、容易で、柔軟で、経済的な方法を提供する。

図１５およびそれに付随する上記の説明は、例示的な仮想ネットワークにおけるさまざまな仮想化コンポーネントを説明している。上述のように、仮想ネットワークは、基礎となる物理ネットワークまたは基幹ネットワーク上に構築される。図１６は、特定の実施形態に係る、仮想ネットワークの基礎を提供するＣＳＰＩ１６００内の物理ネットワークにおける物理コンポーネントの簡略化されたアーキテクチャ図を示す。図示のように、ＣＳＰＩ１６００は、クラウドサービスプロバイダ（ＣＳＰ）によって提供されるコンポーネントおよびリソース（たとえば、計算リソース、メモリリソース、およびネットワーキングリソース）を含む分散環境を提供する。これらのコンポーネントおよびリソースを使用して、加入している顧客、すなわち、ＣＳＰによって提供される１つ以上のサービスに加入している顧客にクラウドサービス（たとえばＩａａＳサービス）を提供する。顧客が加入しているサービスに基づいて、ＣＳＰＩ１６００のリソース（たとえば、計算リソース、メモリリソース、およびネットワーキングリソース）のサブセットが顧客に対してプロビジョニングされる。そして顧客は、ＣＳＰＩ１６００によって提供される物理的な計算リソース、メモリリソース、およびネットワーキングリソースを使用して、自身のクラウドベースの（すなわちＣＳＰＩホスト型の）カスタマイズ可能なプライベート仮想ネットワークを構築することができる。上述のように、これらの顧客ネットワークは仮想クラウドネットワーク（ＶＣＮ）と呼ばれる。顧客は、これらの顧客ＶＣＮ上に、計算インスタンスなどの１つ以上の顧客リソースを展開することができる。計算インスタンスは、仮想マシン、ベアメタルインスタンスなどの形態を取ることができる。ＣＳＰＩ１６００は、顧客が高可用性のホスト型環境で広範なアプリケーションおよびサービスを構築して実行することを可能にするインフラストラクチャおよび一連の補完的なクラウドサービスを提供する。

図１６に示される例示的な実施形態では、ＣＳＰＩ１６００の物理コンポーネントは、１つ以上の物理ホストマシンまたは物理サーバ（たとえば１６０２，１６０６，１６０８）と、ネットワーク仮想化デバイス（ＮＶＤ）（たとえば１６１０，１６１２）と、トップオブラック（ＴＯＲ）スイッチ（たとえば１６１４，１６１６）と、物理ネットワーク（たとえば１６１８）と、物理ネットワーク１６１８内のスイッチとを含む。物理ホストマシンまたはサーバは、ＶＣＮの１つ以上のサブネットに参加するさまざまな計算インスタンスをホストし、実行し得る。計算インスタンスは、仮想マシンインスタンスおよびベアメタルインスタンスを含み得る。たとえば、図１５に示されるさまざまな計算インスタンスは、図１６に示される物理ホストマシンによってホストされ得る。ＶＣＮ内の仮想マシン計算インスタンスは、１つのホストマシンによって実行されてもよく、または複数の異なるホストマシンによって実行され得る。また、物理ホストマシンは、仮想ホストマシン、コンテナベースのホストまたは機能などをホストし得る。図１５に示されるＶＮＩＣおよびＶＣＮＶＲは、図１６に示されるＮＶＤによって実行され得る。図１５に示されるゲートウェイは、図１６に示されるホストマシンおよび／またはＮＶＤによって実行され得る。

ホストマシンまたはサーバは、ホストマシン上で仮想化環境を作成し可能にするハイパーバイザ（仮想マシンモニタまたはＶＭＭとも呼ばれる）を実行し得る。仮想化または仮想化環境は、クラウドベースのコンピューティングを容易にする。１つ以上の計算インスタンスは、ホストマシン上のハイパーバイザによってそのホストマシン上で作成され、実行され、管理され得る。ホストマシン上のハイパーバイザは、ホストマシンの物理コンピューティングリソース（たとえば、計算リソース、メモリリソース、およびネットワーキングリソース）を、ホストマシンによって実行されるさまざまな計算インスタンス間で共有することを可能にする。

たとえば、図１６に示されるように、ホストマシン１６０２および１６０８はハイパーバイザ１６６０および１６６６をそれぞれ実行する。これらのハイパーバイザは、ソフトウェア、ファームウエア、またはハードウェア、またはそれらの組み合わせを使用して実現され得る。典型的には、ハイパーバイザは、ホストマシンのオペレーティングシステム（ＯＳ）上にあるプロセスまたはソフトウェア層であり、ＯＳはホストマシンのハードウェアプロセッサ上で実行される。ハイパーバイザは、ホストマシンの物理コンピューティングリソース（たとえば、プロセッサ／コア、メモリリソース、ネットワーキングリソースなどの処理リソース）を、ホストマシンによって実行されるさまざまな仮想マシン計算インスタンス間で共有することを可能にすることによって、仮想化環境を提供する。たとえば、図１６では、ハイパーバイザ１６６０は、ホストマシン１６０２のＯＳ上にあってもよく、ホストマシン１６０２のコンピューティングリソース（たとえば、処理リソース、メモリリソース、およびネットワーキングリソース）を、ホストマシン１６０２によって実行される計算インスタンス（たとえば仮想マシン）間で共有することを可能にする。仮想マシンは自身のオペレーティングシステム（ゲストオペレーティングシステムと呼ばれる）を有することができ、当該オペレーティングシステムはホストマシンのＯＳと同じであってもよく、または異なっていてもよい。ホストマシンによって実行される仮想マシンのオペレーティングシステムは、同じホストマシンによって実行される別の仮想マシンのオペレーティングシステムと同じであってもよく、または異なっていてもよい。よって、ハイパーバイザは、ホストマシンの同じコンピューティングリソースを共有しながら、複数のオペレーティングシステムを互いに並行して実行することを可能にする。図１６に示されるホストマシンは、同じタイプのハイパーバイザを有してもよく、または異なるタイプのハイパーバイザを有してもよい。

計算インスタンスは、仮想マシンインスタンスまたはベアメタルインスタンスとすることができる。図１６では、ホストマシン１６０２上の計算インスタンス１６６８およびホストマシン１６０８上の計算インスタンス１６７４は、仮想マシンインスタンスの一例である。ホストマシン１６０６は、顧客に提供されるベアメタルインスタンスの一例である。

特定の例では、ホストマシン全体が単一の顧客に対してプロビジョニングされてもよく、そのホストマシンによってホストされている１つ以上の計算インスタンス（仮想マシンまたはベアメタルインスタンスのいずれか）のすべてがその同じ顧客に属する。他の例では、ホストマシンは複数の顧客（すなわち複数のテナント）間で共有されてもよい。このようなマルチテナンシシナリオでは、ホストマシンは、異なる顧客に属する仮想マシン計算インスタンスをホストしてもよい。これらの計算インスタンスは、異なる顧客の異なるＶＣＮのメンバであってもよい。特定の実施形態では、ベアメタル計算インスタンスは、ハイパーバイザなしのベアメタルサーバによってホストされている。ベアメタル計算インスタンスがプロビジョニングされる場合、単一の顧客またはテナントは、当該ベアメタルインスタンスをホストしているホストマシンの物理ＣＰＵ、メモリ、およびネットワークインターフェイスの制御を維持し、ホストマシンは他の顧客またはテナントと共有されない。

上述したように、ＶＣＮの一部である各計算インスタンスは、計算インスタンスがＶＣＮのサブネットのメンバになることを可能にするＶＮＩＣに関連付けられる。計算インスタンスに関連付けられたＶＮＩＣは、計算インスタンスとの間のパケットまたはフレームの通信を容易にする。計算インスタンスが作成されると、ＶＮＩＣが当該計算インスタンスに関連付けられる。特定の実施形態では、ホストマシンによって実行される計算インスタンスの場合、その計算インスタンスに関連付けられたＶＮＩＣは、ホストマシンに接続されたＮＶＤによって実行される。たとえば、図１６では、ホストマシン１６０２は、ＶＮＩＣ１６７６に関連付けられた仮想マシン計算インスタンス１６６８を実行し、ＶＮＩＣ１６７６は、ホストマシン１６０２に接続されたＮＶＤ１６１０によって実行される。別の例として、ホストマシン１６０６によってホストされているベアメタルインスタンス１６７２は、ホストマシン１６０６に接続されたＮＶＤ１６１２によって実行されるＶＮＩＣ１６８０に関連付けられる。さらに別の例として、ＶＮＩＣ１６８４は、ホストマシン１６０８によって実行される計算インスタンス１６７４に関連付けられ、ＶＮＩＣ１６８４は、ホストマシン１６０８に接続されたＮＶＤ１６１２によって実行される。

ホストマシンによってホストされている計算インスタンスの場合、そのホストマシンに接続されたＮＶＤも、計算インスタンスがメンバであるＶＣＮに対応するＶＣＮＶＲを実行する。たとえば、図１６に示される実施形態では、ＮＶＤ１６１０は、計算インスタンス１６６８がメンバであるＶＣＮに対応するＶＣＮＶＲ１６７７を実行する。ＮＶＤ１６１２も、ホストマシン１６０６および１６０８によってホストされている計算インスタンスに対応するＶＣＮに対応する１つ以上のＶＣＮＶＲ１６８３を実行し得る。

ホストマシンは、当該ホストマシンを他のデバイスに接続することを可能にする１つ以上のネットワークインターフェイスカード（ＮＩＣ）を含み得る。ホストマシン上のＮＩＣは、当該ホストマシンを別のデバイスに通信可能に接続することを可能にする１つ以上のポート（またはインターフェイス）を提供し得る。たとえば、ホストマシン上およびＮＶＤ上に設けられた１つ以上のポート（またはインターフェイス）を使用して、当該ホストマシンを当該ＮＶＤに接続してもよい。また、ホストマシンを別のホストマシンなどの他のデバイスに接続してもよい。

たとえば、図１６では、ホストマシン１６０２は、ホストマシン１６０２のＮＩＣ１６３２によって提供されるポート１６３４とＮＶＤ１６１０のポート１６３６との間に延在するリンク１６２０を使用してＮＶＤ１６１０に接続されている。ホストマシン１６０６は、ホストマシン１６０６のＮＩＣ１６４４によって提供されるポート１６４６とＮＶＤ１６１２のポート１６４８との間に延在するリンク１６２４を使用してＮＶＤ１６１２に接続されている。ホストマシン１６０８は、ホストマシン１６０８のＮＩＣ１６５０によって提供されるポート１６５２とＮＶＤ１６１２のポート１６５４との間に延在するリンク１６２６を使用してＮＶＤ１６１２に接続されている。

そしてＮＶＤは、通信リンクを介して、物理ネットワーク１６１８（スイッチファブリックとも呼ばれる）に接続されているトップオブラック（ＴＯＲ）スイッチに接続されている。特定の実施形態では、ホストマシンとＮＶＤとの間のリンク、およびＮＶＤとＴＯＲスイッチとの間のリンクは、イーサネットリンクである。たとえば、図１６では、ＮＶＤ１６１０および１６１２は、リンク１６２８および１６３０を使用してＴＯＲスイッチ１６１４および１６１６にそれぞれ接続されている。特定の実施形態では、リンク１６２０，１６２４，１６２６，１６２８および１６３０はイーサネットリンクである。ＴＯＲに接続されているホストマシンおよびＮＶＤの集合体はラックと呼ばれることもある。

物理ネットワーク１６１８は、ＴＯＲスイッチが互いに通信することを可能にする通信ファブリックを提供する。物理ネットワーク１６１８は多層ネットワークとすることができる。特定の実現例では、物理ネットワーク１６１８はスイッチの多層Ｃｌｏｓネットワークであり、ＴＯＲスイッチ１６１４および１６１６は、多層およびマルチノード物理スイッチングネットワーク１６１８のリーフレベルノードを表す。２層ネットワーク、３層ネットワーク、４層ネットワーク、５層ネットワーク、および一般的に「ｎ」層ネットワークを含むがこれらに限定されない異なるＣｌｏｓネットワーク構成が可能である。Ｃｌｏｓネットワークの一例が図１９に示されており、以下に説明される。

ホストマシンとＮＶＤとの間には、１対１構成、多対１構成、１対多構成などのさまざまな異なる接続構成が可能である。１対１構成の実現例では、各ホストマシンが自身の別個のＮＶＤに接続されている。たとえば、図１６では、ホストマシン１６０２は、ホストマシン１６０２のＮＩＣ１６３２を介してＮＶＤ１６１０に接続されている。多対１構成では、複数のホストマシンが１つのＮＶＤに接続されている。たとえば、図１６では、ホストマシン１６０６および１６０８は、それぞれＮＩＣ１６４４および１６５０を介して同じＮＶＤ１６１２に接続されている。

１対多構成では、１つのホストマシンが複数のＮＶＤに接続されている。図１７は、ホストマシンが複数のＮＶＤに接続されているＣＳＰＩ１７００内の一例を示す。図１７に示されるように、ホストマシン１７０２は、複数のポート１７０６および１７０８を含むネットワークインターフェイスカード（ＮＩＣ）１７０４を含む。ホストマシン１７００は、ポート１７０６およびリンク１７２０を介して第１のＮＶＤ１７１０に接続され、ポート１７０８およびリンク１７２２を介して第２のＮＶＤ１７１２に接続されている。ポート１７０６および１７０８はイーサネットポートであってもよく、ホストマシン１７０２とＮＶＤ１７１０および１７１２との間のリンク１７２０および１７２２はイーサネットリンクであってもよい。そしてＮＶＤ１７１０は第１のＴＯＲスイッチ１７１４に接続され、ＮＶＤ１７１２は第２のＴＯＲスイッチ１７１６に接続されている。ＮＶＤ１７１０および１７１２とＴＯＲスイッチ１７１４および１７１６との間のリンクは、イーサネットリンクであってもよい。ＴＯＲスイッチ１７１４および１７１６は、多層物理ネットワーク１７１８内の層－０スイッチングデバイスを表す。

図１７に示される配置は、物理スイッチネットワーク１７１８からホストマシン１７０２への２つの別個の物理ネットワークパス、すなわち、ＴＯＲスイッチ１７１４をトラバースしてＮＶＤ１７１０およびホストマシン１７０２に至る第１のパス、ならびにＴＯＲスイッチ１７１６をトラバースしてＮＶＤ１７１２およびホストマシン１７０２に至る第２のパスを提供する。これら別個のパスは、ホストマシン１７０２の改善された可用性（高可用性と呼ばれる）を提供する。一方のパスに問題がある（たとえば一方のパスのリンクがダウンした）場合、またはデバイスに問題がある（たとえば特定のＮＶＤが機能していない）場合、他方のパスがホストマシン１７０２との間の通信に使用され得る。

図１７に示される構成では、ホストマシンは、ホストマシンのＮＩＣによって提供される２つの異なるポートを使用して２つの異なるＮＶＤに接続されている。他の実施形態では、ホストマシンは、複数のＮＶＤへのホストマシンの接続を可能にする複数のＮＩＣを含み得る。

再び図１６を参照して、ＮＶＤは、１つ以上のネットワークおよび／またはストレージ仮想化機能を実行する物理デバイスまたはコンポーネントである。ＮＶＤは、１つ以上の処理ユニット（たとえば、ＣＰＵ、ネットワーク処理ユニット（ＮＰＵ）、ＦＰＧＡ、パケット処理パイプラインなど）と、キャッシュを含むメモリと、ポートとを有するいずれのデバイスであってもよい。さまざまな仮想化機能は、ＮＶＤの１つ以上の処理ユニットによって実行されるソフトウェア／ファームウエアによって実行されてもよい。

ＮＶＤは、さまざまな異なる形態で実現され得る。たとえば、特定の実施形態では、ＮＶＤは、内蔵プロセッサを搭載したスマートＮＩＣまたはインテリジェントＮＩＣと呼ばれるインターフェイスカードとして実現される。スマートＮＩＣは、ホストマシン上のＮＩＣとは別個のデバイスである。図１６では、ＮＶＤ１６１０はホストマシン１６０２に接続されたスマートＮＩＣとして実現されてもよく、ＮＶＤ１６１２はホストマシン１６０６および１６０８に接続されたスマートＮＩＣとして実現され得る。

しかしながら、スマートＮＩＣは、ＮＶＤの一実現例に過ぎない。さまざまな他の実現例が可能である。たとえば、いくつかの他の実現例では、ＮＶＤまたはＮＶＤによって実行される１つ以上の機能が、ＣＳＰＩ１６００の１つ以上のホストマシン、１つ以上のＴＯＲスイッチ、および他のコンポーネントに組み込まれてもよく、またはそれらによって実行されてもよい。たとえば、ＮＶＤはホストマシンにおいて具体化され、ＮＶＤによって実行される機能は当該ホストマシンによって実行されてもよい。別の例として、ＮＶＤはＴＯＲスイッチの一部であってもよく、またはＴＯＲスイッチは、パブリッククラウドに使用されるさまざまな複雑なパケット変換をＴＯＲスイッチが実行することを可能にするＮＶＤによって実行される機能を実行するように構成されてもよい。ＮＶＤの機能を実行するＴＯＲは、スマートＴＯＲと呼ばれることもある。ベアメタル（ＢＭ）インスタンスではなく仮想マシン（ＶＭ）インスタンスが顧客に提供されるさらに他の実現例では、ＮＶＤによって提供される機能は、ホストマシンのハイパーバイザの内部で実現され得る。いくつかの他の実現例では、ＮＶＤの機能の一部は、一連のホストマシン上で動作する集中型サービスにオフロードされてもよい。

図１６に示されるようにスマートＮＩＣとして実現される場合などの特定の実施形態では、ＮＶＤは、当該ＮＶＤを１つ以上のホストマシンおよび１つ以上のＴＯＲスイッチに接続することを可能にする複数の物理ポートを含み得る。ＮＶＤ上のポートは、ホスト向きポート（「サウスポート（south port）」とも呼ばれる）またはネットワーク向きもしくはＴＯＲ向きポート（「ノースポート（north port）」とも呼ばれる）と分類され得る。ＮＶＤのホスト向きポートは、ＮＶＤをホストマシンに接続するために使用されるポートである。図１６のホスト向きポートの例としては、ＮＶＤ１６１０上のポート１６３６、ならびにＮＶＤ１６１２上のポート１６４８および１６５４が挙げられる。ＮＶＤのネットワーク向きポートは、ＮＶＤをＴＯＲスイッチに接続するために使用されるポートである。図１６のネットワーク向きポートの例としては、ＮＶＤ１６１０上のポート１６５６、およびＮＶＤ１６１２上のポート１６５８が挙げられる。図１６に示されるように、ＮＶＤ１６１０は、ＮＶＤ１６１０のポート１６５６からＴＯＲスイッチ１６１４に延在するリンク１６２８を使用してＴＯＲスイッチ１６１４に接続されている。同様に、ＮＶＤ１６１２は、ＮＶＤ１６１２のポート１６５８からＴＯＲスイッチ１６１６に延在するリンク１６３０を使用してＴＯＲスイッチ１６１６に接続されている。

ＮＶＤは、ホスト向きポートを介してホストマシンからパケットおよびフレーム（たとえば、ホストマシンによってホストされている計算インスタンスによって生成されたパケットおよびフレーム）を受信し、必要なパケット処理を実行した後、ＮＶＤのネットワーク向きポートを介して当該パケットおよびフレームをＴＯＲスイッチに転送し得る。ＮＶＤは、ＮＶＤのネットワーク向きポートを介してＴＯＲスイッチからパケットおよびフレームを受信し得、必要なパケット処理を実行した後、ＮＶＤのホスト向きポートを介して当該パケットおよびフレームをホストマシンに転送し得る。

特定の実施形態では、ＮＶＤとＴＯＲスイッチとの間に複数のポートおよび関連付けられたリンクがあってもよい。これらのポートおよびリンクを集約して、複数のポートまたはリンクのリンクアグリゲータグループ（ＬＡＧと呼ばれる）を形成してもよい。リンクを集約することで、２つのエンドポイント間の（たとえばＮＶＤとＴＯＲスイッチとの間の）複数の物理リンクを１つの論理リンクとして扱うことが可能になる。所与のＬＡＧ内のすべての物理リンクは、同じ速度で全二重モードで動作し得る。ＬＡＧは、２つのエンドポイント間の接続の帯域幅および信頼性を高めるのに役立つ。ＬＡＧ内の物理リンクのうちの１つがダウンすると、ＬＡＧ内の他の物理リンクのうちの１つにトラフィックが動的かつ透過的に再び割り当てられる。集約された物理リンクは、個々の各リンクよりも高い帯域幅を達成する。ＬＡＧに関連付けられた複数のポートは、１つの論理ポートとして扱われる。トラフィックをＬＡＧの複数の物理リンク間でロードバランシングすることができる。２つのエンドポイント間に１つ以上のＬＡＧが構成されてもよい。２つのエンドポイントは、ＮＶＤとＴＯＲスイッチとの間、ホストマシンとＮＶＤとの間などであってもよい。

ＮＶＤは、ネットワーク仮想化機能を実現または実行する。これらの機能は、ＮＶＤによって実行されるソフトウェア／ファームウエアによって実行される。ネットワーク仮想化機能の例としては、限定されないが、パケットのカプセル化およびデカプセル化機能、ＶＣＮネットワークを作成するための機能、ＶＣＮセキュリティリスト（ファイアウォール）機能などのネットワークポリシーを実現するための機能、ＶＣＮ内の計算インスタンスとの間のパケットのルーティングおよび転送を容易にする機能などが挙げられる。特定の実施形態では、パケットを受信すると、ＮＶＤは、パケットを処理し、パケットをどのように転送またはルーティングするかを判断するためのパケット処理パイプラインを実行するように構成されている。このパケット処理パイプラインの一部として、ＮＶＤは、ＶＣＮ内の計算インスタンスに関連付けられたＶＮＩＣの実行、ＶＣＮに関連付けられた仮想ルータ（ＶＲ）の実行、仮想ネットワーク内の転送またはルーティングを容易にするためのパケットのカプセル化およびデカプセル化、特定のゲートウェイ（たとえばローカルピアリングゲートウェイ）の実行、セキュリティリストの実現、ネットワークセキュリティグループ、ネットワークアドレス変換（ＮＡＴ）機能（たとえばホスト単位でのパブリックＩＰからプライベートＩＰへの変換）、スロットル機能、および他の機能など、オーバーレイネットワークに関連付けられた１つ以上の仮想機能を実行し得る。

特定の実施形態では、ＮＶＤ内のパケット処理データパスは複数のパケットパイプラインを含み、その各々が一連のパケット変換ステージで構成されてもよい。特定の実現例では、パケットを受信すると、当該パケットはパースされ、１つのパイプラインに分類される。そしてパケットは、パケットがドロップされるまたはＮＶＤのインターフェイスを介して送出されるまで、ステージからステージへと線形的に処理される。これらのステージは、基本的な機能パケット処理ビルディングブロック（たとえば、ヘッダの検証、スロットルの実施、新しいレイヤ２ヘッダの挿入、Ｌ４ファイアウォールの実施、ＶＣＮカプセル化／デカプセル化など）を提供するので、既存のステージを構成することによって新しいパイプラインを構築することができ、新しいステージを作成してそれらを既存のパイプラインに挿入することによって新しい機能を追加することができる。

ＮＶＤは、ＶＣＮの制御プレーンおよびデータプレーンに対応する制御プレーン機能およびデータプレーン機能の両方を実行し得る。制御プレーン機能は、データをどのように転送するかを制御するネットワークを構成する（たとえば、ルートおよびルートテーブルをセットアップする、ＶＮＩＣを構成するなど）ために使用される機能を含む。特定の実施形態では、すべてのオーバーレイと基板とのマッピングを一元的に計算し、当該マッピングをＮＶＤに、ならびにＤＲＧ、ＳＧＷ、ＩＧＷ等のさまざまなゲートウェイなどの仮想ネットワークエッジデバイスに公開するＶＣＮ制御プレーンが提供される。同じメカニズムを使用してファイアウォールルールも公開されてもよい。特定の実施形態では、ＮＶＤは、そのＮＶＤに関連しているマッピングのみを取得する。データプレーン機能は、制御プレーンを使用してセットアップされた構成に基づいてパケットを実際にルーティング／転送するための機能を含む。ＶＣＮデータプレーンは、顧客のネットワークパケットが基幹ネットワークをトラバースする前に当該パケットをカプセル化することによって実現される。カプセル化／デカプセル化機能はＮＶＤ上で実現される。特定の実施形態では、ＮＶＤは、ホストマシンに出入りするすべてのネットワークパケットを傍受し、ネットワーク仮想化機能を実行するように構成されている。

上述のように、ＮＶＤは、ＶＮＩＣおよびＶＣＮＶＲを含むさまざまな仮想化機能を実行する。ＮＶＤは、ＶＮＩＣに接続された１つ以上のホストマシンによってホストされている計算インスタンスに関連付けられたＶＮＩＣを実行し得る。たとえば、図１６に示されるように、ＮＶＤ１６１０は、ＮＶＤ１６１０に接続されたホストマシン１６０２によってホストされている計算インスタンス１６６８に関連付けられたＶＮＩＣ１６７６のための機能を実行する。別の例として、ＮＶＤ１６１２は、ホストマシン１６０６によってホストされているベアメタル計算インスタンス１６７２に関連付けられたＶＮＩＣ１６８０を実行し、ホストマシン１６０８によってホストされている計算インスタンス１６７４に関連付けられたＶＮＩＣ１６８４を実行する。ホストマシンは、異なる顧客に属する異なるＶＣＮに属する計算インスタンスをホストし得、ホストマシンに接続されたＮＶＤは、計算インスタンスに対応するＶＮＩＣを実行し得る（すなわち、ＶＮＩＣに関連する機能を実行し得る）。

ＮＶＤはまた、計算インスタンスのＶＣＮに対応するＶＣＮ仮想ルータを実行する。たとえば、図１６に示される実施形態では、ＮＶＤ１６１０は、計算インスタンス１６６８が属するＶＣＮに対応するＶＣＮＶＲ１６７７を実行する。ＮＶＤ１６１２は、ホストマシン１６０６および１６０８によってホストされている計算インスタンスが属する１つ以上のＶＣＮに対応する１つ以上のＶＣＮＶＲ１６８３を実行する。特定の実施形態では、そのＶＣＮに対応するＶＣＮＶＲは、そのＶＣＮに属する少なくとも１つの計算インスタンスをホストするホストマシンに接続されたすべてのＮＶＤによって実行される。ホストマシンが、異なるＶＣＮに属する計算インスタンスをホストする場合、そのホストマシンに接続されたＮＶＤは、それらの異なるＶＣＮに対応するＶＣＮＶＲを実行し得る。

ＶＮＩＣおよびＶＣＮＶＲに加えて、ＮＶＤは、さまざまなソフトウェア（たとえばデーモン）を実行し、ＮＶＤによって実行されるさまざまなネットワーク仮想化機能を容易にする１つ以上のハードウェアコンポーネントを含み得る。簡単にするために、これらのさまざまなコンポーネントは、図１６に示される「パケット処理コンポーネント」としてグループ化されている。たとえば、ＮＶＤ１６１０はパケット処理コンポーネント１６８６を含み、ＮＶＤ１６１２はパケット処理コンポーネント１６８８を含む。たとえば、ＮＶＤのパケット処理コンポーネントは、ＮＶＤのポートおよびハードウェアインターフェイスとやり取りすることによって、ＮＶＤによって受信されＮＶＤを使用して通信されるすべてのパケットを監視し、ネットワーク情報を格納するように構成されたパケットプロセッサを含み得る。ネットワーク情報は、たとえば、ＮＶＤによって処理される異なるネットワークフローを識別するネットワークフロー情報、およびフローごとの情報（たとえばフローごとの統計）を含み得る。特定の実施形態では、ネットワークフロー情報はＶＮＩＣ単位で格納され得る。パケットプロセッサは、パケットごとの操作を実行するだけでなく、ステートフルＮＡＴおよびＬ４ファイアウォール（ＦＷ）を実現し得る。別の例として、パケット処理コンポーネントは、ＮＶＤによって格納された情報を１つ以上の異なる複製ターゲットストアに複製するように構成された複製エージェントを含み得る。さらに別の例として、パケット処理コンポーネントは、ＮＶＤのロギング機能を実行するように構成されたロギングエージェントを含み得る。パケット処理コンポーネントはまた、ＮＶＤの性能および健全性を監視するための、さらに場合によっては、ＮＶＤに接続された他のコンポーネントのステートおよび健全性を監視するソフトウェアを含み得る。

図１５は、ＶＣＮと、ＶＣＮ内のサブネットと、サブネット上に展開される計算インスタンスと、計算インスタンスに関連付けられたＶＮＩＣと、ＶＣＮのＶＲと、ＶＣＮのために構成されたゲートウェイのセットとを含む、例示的な仮想ネットワークまたはオーバーレイネットワークのコンポーネントを示す。図１５に示されるオーバーレイコンポーネントは、図１６に示される物理コンポーネントのうちの１つ以上によって実行またはホストされてもよい。たとえば、ＶＣＮ内の計算インスタンスは、図１６に示される１つ以上のホストマシンによって実行またはホストされてもよい。ホストマシンによってホストされている計算インスタンスの場合、その計算インスタンスに関連付けられたＶＮＩＣは、典型的には、そのホストマシンに接続されたＮＶＤによって実行される（すなわち、ＶＮＩＣ機能は、そのホストマシンに接続されたＮＶＤによって提供される）。ＶＣＮのＶＣＮＶＲ機能は、そのＶＣＮの一部である計算インスタンスをホストまたは実行するホストマシンに接続されたすべてのＮＶＤによって実行される。ＶＣＮに関連付けられたゲートウェイは、１つ以上の異なるタイプのＮＶＤによって実行されてもよい。たとえば、特定のゲートウェイはスマートＮＩＣによって実行されてもよく、他のゲートウェイは１つ以上のホストマシンまたはＮＶＤの他の実現例によって実行されてもよい。

上述のように、顧客ＶＣＮ内の計算インスタンスはさまざまな異なるエンドポイントと通信してもよく、当該エンドポイントは、ソース計算インスタンスと同じサブネット内にあり得るか、異なるサブネットであるがソース計算インスタンスと同じＶＣＮ内にあり得るか、または、ソース計算インスタンスのＶＣＮの外部のエンドポイントを有し得る。これらの通信は、計算インスタンスに関連付けられたＶＮＩＣと、ＶＣＮＶＲと、ＶＣＮに関連付けられたゲートウェイとを使用して容易になる。

ＶＣＮ内の同じサブネット上の２つの計算インスタンス間の通信の場合、当該通信は、ソース計算インスタンスおよび宛先計算インスタンスに関連付けられたＶＮＩＣを使用して容易になる。ソース計算インスタンスおよび宛先計算インスタンスは、同じホストマシンによってホストされてもよく、または異なるホストマシンによってホストされてもよい。ソース計算インスタンスから送出されるパケットは、ソース計算インスタンスをホストするホストマシンから、そのホストマシンに接続されたＮＶＤに転送されてもよい。ＮＶＤ上で、パケットはパケット処理パイプラインを使用して処理され、これは、ソース計算インスタンスに関連付けられたＶＮＩＣの実行を含み得る。パケットの宛先エンドポイントは同じサブネット内にあるので、ソース計算インスタンスに関連付けられたＶＮＩＣを実行すると、パケットは、宛先計算インスタンスに関連付けられたＶＮＩＣを実行するＮＶＤに転送され、ＮＶＤは次に、パケットを処理して宛先計算インスタンスに転送する。ソース計算インスタンスおよび宛先計算インスタンスに関連付けられたＶＮＩＣは、（たとえば、ソース計算インスタンスおよび宛先計算インスタンスの両方が同じホストマシンによってホストされている場合は）同じＮＶＤ上で実行されてもよく、または（たとえば、ソース計算インスタンスおよび宛先計算インスタンスが異なるＮＶＤに接続された異なるホストマシンによってホストされている場合は）異なるＮＶＤ上で実行されてもよい。ＶＮＩＣは、ＮＶＤによって格納されたルーティング／転送テーブルを使用して、パケットのネクストホップを決定してもよい。

サブネット内の計算インスタンスから同じＶＣＮ内の異なるサブネット内のエンドポイントにパケットを通信する場合、ソース計算インスタンスから送出されるパケットは、ソース計算インスタンスをホストするホストマシンから、そのホストマシンに接続されたＮＶＤに通信される。ＮＶＤ上で、パケットはパケット処理パイプラインを使用して処理され、これは、１つ以上のＶＮＩＣ、およびＶＣＮに関連付けられたＶＲの実行を含み得る。たとえば、パケット処理パイプラインの一部として、ＮＶＤは、ソース計算インスタンスに関連付けられたＶＮＩＣに対応する機能を実行するか呼び出す（ＶＮＩＣを実行するとも呼ばれる）。ＶＮＩＣによって実行される機能は、パケット上のＶＬＡＮタグに注目することを含み得る。パケットの宛先がサブネットの外部にあるので、次にＶＣＮＶＲ機能がＮＶＤによって呼び出されて実行される。そして、ＶＣＮＶＲは、宛先計算インスタンスに関連付けられたＶＮＩＣを実行するＮＶＤにパケットをルーティングする。そして、宛先計算インスタンスに関連付けられたＶＮＩＣは、パケットを処理し、パケットを宛先計算インスタンスに転送する。ソース計算インスタンスおよび宛先計算インスタンスに関連付けられたＶＮＩＣは、（たとえば、ソース計算インスタンスおよび宛先計算インスタンスの両方が同じホストマシンによってホストされている場合は）同じＮＶＤ上で実行されてもよく、または（たとえば、ソース計算インスタンスおよび宛先計算インスタンスが異なるＮＶＤに接続された異なるホストマシンによってホストされている場合は）異なるＮＶＤ上で実行されてもよい。

パケットの宛先がソース計算インスタンスのＶＣＮの外部にある場合、ソース計算インスタンスから送出されるパケットは、ソース計算インスタンスをホストするホストマシンから、そのホストマシンに接続されたＮＶＤに通信される。ＮＶＤは、ソース計算インスタンスに関連付けられたＶＮＩＣを実行する。パケットの宛先エンドポイントがＶＣＮの外部にあるので、次にパケットはそのＶＣＮのＶＣＮＶＲによって処理される。ＮＶＤは、ＶＣＮＶＲ機能を呼び出し、その結果、パケットが、ＶＣＮに関連付けられた適切なゲートウェイを実行するＮＶＤに転送されてもよい。たとえば、宛先が顧客のオンプレミスネットワーク内のエンドポイントである場合、パケットは、ＶＣＮＶＲによって、ＶＣＮのために構成されたＤＲＧゲートウェイを実行するＮＶＤに転送されてもよい。ＶＣＮＶＲは、ソース計算インスタンスに関連付けられたＶＮＩＣを実行するＮＶＤと同じＮＶＤ上で実行されてもよく、または異なるＮＶＤによって実行されてもよい。ゲートウェイは、スマートＮＩＣ、ホストマシン、または他のＮＶＤ実現例であり得るＮＶＤによって実行されてもよい。そして、パケットは、ゲートウェイによって処理され、意図された宛先エンドポイントへのパケットの通信を容易にするネクストホップに転送される。たとえば、図１６に示される実施形態では、計算インスタンス１６６８から送出されるパケットは、（ＮＩＣ１６３２を使用して）リンク１６２０を介してホストマシン１６０２からＮＶＤ１６１０に通信されてもよい。ＮＶＤ１６１０上では、ＶＮＩＣ１６７６がソース計算インスタンス１６６８に関連付けられたＶＮＩＣであるため、ＶＮＩＣ１６７６が呼び出される。ＶＮＩＣ１６７６は、パケット内のカプセル化情報を調べ、意図された宛先エンドポイントへのパケットの通信を容易にすることを目的としてパケットを転送するためのネクストホップを決定し、次に、決定したネクストホップにパケットを転送するように構成されている。

ＶＣＮ上に展開される計算インスタンスは、さまざまな異なるエンドポイントと通信することができる。これらのエンドポイントは、ＣＳＰＩ１６００によってホストされているエンドポイントおよびＣＳＰＩ１６００の外部のエンドポイントを含み得る。ＣＳＰＩ１６００によってホストされているエンドポイントは、同じＶＣＮ内の、または顧客のＶＣＮもしくは顧客に属さないＶＣＮであり得る他のＶＣＮ内のインスタンスを含み得る。ＣＳＰＩ１６００によってホストされているエンドポイント間の通信は、物理ネットワーク１６１８を介して実行されてもよい。計算インスタンスはまた、ＣＳＰＩ１６００によってホストされていない、またはＣＳＰＩ１６００の外部にあるエンドポイントと通信してもよい。これらのエンドポイントの例としては、顧客のオンプレミスネットワークもしくはデータセンター内のエンドポイント、またはインターネットなどのパブリックネットワークを介してアクセス可能なパブリックエンドポイントが挙げられる。ＣＳＰＩ１６００の外部のエンドポイントとの通信は、さまざまな通信プロトコルを使用してパブリックネットワーク（たとえばインターネット）（図１６には図示せず）またはプライベートネットワーク（図１６には図示せず）を介して実行されてもよい。

図１６に示されるＣＳＰＩ１６００のアーキテクチャは一例に過ぎず、限定することを意図していない。代替の実施形態では変形例、代替例、および修正例が可能である。たとえば、いくつかの実現例では、ＣＳＰＩ１６００は、図１６に示されるよりも多いもしくは少ないシステムもしくはコンポーネントを有してもよく、２つ以上のシステムを組み合わせてもよく、またはシステムの異なる構成もしくは配置を有してもよい。図１６に示されるシステム、サブシステム、および他のコンポーネントは、それぞれのシステムの１つ以上の処理ユニット（たとえば、プロセッサ、コア）によって実行されるソフトウェア（たとえば、コード、命令、プログラム）で、ハードウェアを使用して、またはそれらの組み合わせで、実現され得る。ソフトウェアは非一時的な記憶媒体上に（たとえばメモリデバイス上に）に格納されてもよい。

図１８は、特定の実施形態に係る、マルチテナンシをサポートするためのＩ／Ｏ仮想化を提供するためのホストマシンとＮＶＤとの間の接続性を示す。図１８に示されるように、ホストマシン１８０２は、仮想化環境を提供するハイパーバイザ１８０４を実行する。ホストマシン１８０２は２つの仮想マシンインスタンス、すなわち、顧客／テナント＃１に属するＶＭ１１８０６および顧客／テナント＃２に属するＶＭ２１８０８を実行する。ホストマシン１８０２は、リンク１８１４を介してＮＶＤ１８１２に接続されている物理ＮＩＣ１８１０を含む。計算インスタンスの各々は、ＮＶＤ１８１２によって実行されるＶＮＩＣにアタッチされている。図１８の実施形態では、ＶＭ１１８０６はＶＮＩＣ－ＶＭ１１８２０にアタッチされ、ＶＭ２１８０８はＶＮＩＣ－ＶＭ２１８２２にアタッチされている。

図１８に示されるように、ＮＩＣ１８１０は、２つの論理ＮＩＣ、すなわち、論理ＮＩＣＡ１８１６および論理ＮＩＣＢ１８１８を含む。各仮想マシンは、自身の論理ＮＩＣにアタッチされ、自身の論理ＮＩＣとともに動作するように構成されている。たとえば、ＶＭ１１８０６は論理ＮＩＣＡ１８１６にアタッチされ、ＶＭ２１８０８は論理ＮＩＣＢ１８１８にアタッチされている。ホストマシン１８０２は、複数のテナントによって共有される１つの物理ＮＩＣ１８１０しか含んでいないが、論理ＮＩＣにより、各テナントの仮想マシンは、自身のホストマシンおよびＮＩＣを有していると信じている。

特定の実施形態では、各論理ＮＩＣには、自身のＶＬＡＮＩＤが割り当てられる。よって、テナント＃１の論理ＮＩＣＡ１８１６には特定のＶＬＡＮＩＤが割り当てられ、テナント＃２の論理ＮＩＣＢ１８１８には異なるＶＬＡＮＩＤが割り当てられる。ＶＭ１１８０６からパケットが通信されると、テナント＃１に割り当てられたタグがハイパーバイザによってパケットにアタッチされ、次にパケットがリンク１８１４を介してホストマシン１８０２からＮＶＤ１８１２に通信される。同様に、ＶＭ２１８０８からパケットが通信されると、テナント＃２に割り当てられたタグがハイパーバイザによってパケットにアタッチされ、次にパケットがリンク１８１４を介してホストマシン１８０２からＮＶＤ１８１２に通信される。したがって、ホストマシン１８０２からＮＶＤ１８１２に通信されるパケット１８２４は、特定のテナントおよび関連付けられたＶＭを識別する、関連付けられたタグ１８２６を有する。ＮＶＤ上で、ホストマシン１８０２から受信されたパケット１８２４に対して、当該パケットに関連付けられたタグ１８２６は、当該パケットがＶＮＩＣ－ＶＭ１１８２０によって処理されるべきかＶＮＩＣ－ＶＭ２１８２２によって処理されるべきかを判断するために使用される。そしてパケットは、対応するＶＮＩＣによって処理される。図１８に示される構成は、各テナントの計算インスタンスが、自身のホストマシンおよびＮＩＣを有していると信じることを可能にする。図１８に示されるセットアップは、マルチテナンシをサポートするためのＩ／Ｏ仮想化を提供する。

図１９は、特定の実施形態に係る物理ネットワーク１９００の簡略化されたブロック図を示す。図１９に示される実施形態は、Ｃｌｏｓネットワークとして構築されている。Ｃｌｏｓネットワークは、高い二分割帯域幅および最大リソース利用を維持しながら接続冗長性を提供するように設計された特定のタイプのネットワークトポロジである。Ｃｌｏｓネットワークは、一種の非ブロッキングの、多段または多層スイッチングネットワークであり、段または層の数は、２，３，４，５などとすることができる。図１９に示される実施形態は、層１，２および３を含む３層ネットワークである。ＴＯＲスイッチ１９０４はＣｌｏｓネットワーク内の層－０スイッチを表す。１つ以上のＮＶＤがＴＯＲスイッチに接続されている。層－０スイッチは、物理ネットワークのエッジデバイスとも呼ばれる。層－０スイッチは、リーフスイッチとも呼ばれる層－１スイッチに接続されている。図１９に示される実施形態では、「ｎ」個の層－０ＴＯＲスイッチのセットが「ｎ」個の層－１スイッチのセットに接続され、ともにポッドを形成する。あるポッド内の各層－０スイッチは、当該ポッド内のすべての層－１スイッチに相互接続されるが、ポッド間のスイッチの接続性はない。特定の実現例では、２つのポッドはブロックと呼ばれる。各ブロックは、「ｎ」個の層－２スイッチ（スパインスイッチと呼ばれることもある）のセットによってサービスを提供されるか、または当該セットに接続されている。いくつかのブロックが物理ネットワークトポロジ内にあり得る。そして層－２スイッチは、「ｎ」個の層－３スイッチ（スーパースパインスイッチと呼ばれることもある）に接続されている。物理ネットワーク１９００を介したパケットの通信は典型的に、１つ以上のレイヤ３通信プロトコルを使用して実行される。典型的に、ＴＯＲ層を除く物理ネットワークのすべての層はｎウェイ冗長であり、したがって高可用性を実現することができる。物理ネットワークのスケーリングを有効にするために物理ネットワーク内のスイッチの相互の可視性を制御するポリシーを、ポッドおよびブロックに対して指定してもよい。

Ｃｌｏｓネットワークの特徴は、ある層－０スイッチから別の層－０スイッチに（または、層－０スイッチに接続されたＮＶＤから層－０スイッチに接続された別のＮＶＤに）到達するための最大ホップカウントが固定されていることである。たとえば、３層のＣｌｏｓネットワークでは、あるＮＶＤから別のＮＶＤにパケットが到達するために最大で７個のホップが必要であり、ソースＮＶＤおよびターゲットＮＶＤはＣｌｏｓネットワークのリーフ層に接続されている。同様に、４層のＣｌｏｓネットワークでは、あるＮＶＤから別のＮＶＤにパケットが到達するために最大で９個のホップが必要であり、ソースＮＶＤおよびターゲットＮＶＤはＣｌｏｓネットワークのリーフ層に接続されている。よって、Ｃｌｏｓネットワークアーキテクチャはネットワーク全体の遅延を一定に保つ。これは、データセンター内およびデータセンター間の通信に重要である。Ｃｌｏｓトポロジは水平方向にスケーリングされ、費用対効果が高い。さまざまな層により多くのスイッチ（たとえば、より多くのリーフスイッチおよびスパインスイッチ）を追加することによって、かつ、隣接層におけるスイッチ間のリンク数を増やすことによって、ネットワークの帯域幅／スループット容量を容易に増加させることができる。

特定の実施形態では、ＣＳＰＩ内の各リソースには、クラウド識別子（ＣＩＤ）と呼ばれる固有の識別子が割り当てられる。この識別子は、リソースの情報の一部として含まれ、たとえばコンソールを介してまたはＡＰＩを通じてリソースを管理するために使用することができる。ＣＩＤの例示的なシンタックスは、
ocid1.<RESOURCE TYPE>.<REALM>.[REGION][.FUTURE USE].<UNIQUE ID>
である。式中、
「ocid1」は、ＣＩＤのバージョンを示すリテラル文字列である。

「resource type」は、リソースのタイプ（たとえば、インスタンス、ボリューム、ＶＣＮ、サブネット、ユーザ、グループなど）である。

「realm」は、リソースが存在するレルムである。例示的な値は、商用レルムの「ｃ１」、政府クラウドレルムの「ｃ２」、または連邦政府クラウドレルムの「ｃ３」などである。各レルムは自身のドメイン名を有し得る。

「region」は、リソースが存在するリージョンである。リージョンがリソースに適用されない場合、この部分は空白であってもよい。

「future use」は、将来使用するために確保されている。
「unique ID」は、ＩＤの固有部分である。フォーマットはリソースまたはサービスのタイプによって異なり得る。

本開示の特定の実施形態を説明したが、さまざまな修正例、代替例、代替構成、および均等物も本開示の範囲内に包含される。本開示の実施形態は、特定の具体的なデータ処理環境内の動作に制限されず、複数のデータ処理環境内で自由に動作することができる。これに加えて、特定の一連のトランザクションおよびステップを用いて本開示の実施形態を説明したが、本開示の範囲は説明された一連のトランザクションおよびステップに限定されないことは、当業者に明らかであるはずである。上述した実施形態のさまざまな特徴および態様は、個別にまたは共同で使用されてもよい。

さらに、ハードウェアとソフトウェアとの特定の組み合わせを用いて本開示の実施形態を説明したが、ハードウェアとソフトウェアとの他の組み合わせも本開示の範囲内にあることが認識されるべきである。本開示の実施形態は、ハードウェアのみで、またはソフトウェアのみで、またはそれらの組み合わせを用いて、実現され得る。本明細書に記載されているさまざまなプロセスは、同じロセッサまたは任意の組み合わせの異なるプロセッサ上で実現することができる。したがって、コンポーネントまたはモジュールが特定の動作を実行するように構成されると記載されている場合、そのような構成は、たとえば、その動作を実行するように電子回路を設計することによって、その動作を実行するようにプログラム可能な電子回路（マイクロプロセッサなど）をプログラムすることによって、またはそれらの任意の組み合わせによって、達成することができる。プロセスは、プロセス間通信のための従来技術を含むさまざまな技術を用いて通信することができるが、これに限定されず、プロセスの異なるペアが異なる技術を使用してもよく、またはプロセスの同じペアが異なる時間に異なる技術を使用してもよい。

したがって、明細書および図面は、限定的ではなく例示的であるとみなされるべきである。しかしながら、特許請求の範囲に記載されたより広義の精神および範囲から逸脱することなく、追加、削減、削除、ならびに他の修正および変更をそれらに対して行ってもよいことが明らかであろう。ゆえに、本開示の特定の実施形態を説明したが、これらは限定することを意図していない。さまざまな修正および均等物が添付の特許請求の範囲に含まれる。

開示されている実施形態を説明する文脈における（特に、添付の特許請求の範囲の文脈における）「ａ」および「ａｎ」および「ｔｈｅ」という語、ならびに同様の指示対象の使用は、本明細書において特に明記しない限り、または文脈上明らかに矛盾のない限り、単数および複数の両方を含むと解釈されるべきである。「備える」、「有する」、「含む」、および「含有する」という語は、特に記載されていない限り、非限定的な語であると解釈されるべきである（すなわち、「…を含むがこれらに限定されない」ことを意味する）。「接続される」という語は、何かが介在している場合であっても、一部または全部が含まれている、取り付けられている、または結合されていると解釈されるべきである。本明細書における値の範囲の記載は、本明細書において特に明記しない限り、その範囲内に含まれる個別の各値に個々に言及することを省略する方法であることが意図されているに過ぎず、個別の各値は本明細書において個別に記載されているかのように本明細書に組み込まれる。本明細書に記載されている方法はすべて、本明細書において特に明記しない限り、または文脈上明らかに矛盾のない限り、任意の適切な順序で実行することができる。本明細書に提供されているあらゆる例、または例示的な言い回し（たとえば「～など」）の使用は、本開示の実施形態をより明らかにすることを意図しているに過ぎず、特にクレームされていない限り、本開示の範囲を限定するものではない。明細書中のすべての言い回しは、クレームされていない要素が本開示を実施するのに必須の要素であることを示す言い回しであると解釈されるべきではない。

「Ｘ、Ｙ、またはＺのうちの少なくとも１つ」というフレーズなどの離接的な言い回しは、特に具体的に明記されていない限り、項目、用語などがＸ、Ｙ、もしくはＺ、またはそれらの任意の組合せ（たとえば、Ｘ、Ｙ、および／もしくはＺ）のいずれかであり得ることを提示するために一般的に使用される文脈内で理解されることが意図されている。ゆえに、このような離接的な言い回しは、概して、特定の実施形態が、Ｘのうちの少なくとも１つ、Ｙのうちの少なくとも１つ、またはＺのうちの少なくとも１つが各々存在することが必要であることを含意することを意図しておらず、またそのように含意すべきではない。

本開示を実施するために知られている最良の形態を含む、本開示の好ましい実施形態が本明細書に記載されている。上記の説明を読むと、これらの好ましい実施形態の変形例が当業者に明らかになるであろう。当業者は、このような変形例を適宜採用することができるはずであり、本開示は、本明細書に具体的に記載されている以外の方法で実施されてもよい。したがって、本開示は、適用される法律によって許可される、本明細書に添付された特許請求の範囲に記載されている主題のすべての修正例および均等物を含む。さらに、そのすべての可能な変形例における上述の要素の任意の組み合わせは、本明細書に特に示されていない限り、本開示に包含される。

本明細書において引用されている刊行物、特許出願、および特許を含むすべての参考文献は、各文献が引用により援用されることが個別にかつ具体的に示され、その全体が本明細書に記載された場合と同じ程度に、引用により本明細書に援用される。

上記の明細書では、本開示の態様をその具体的な実施形態を参照して説明しているが、当業者は、本開示がそれらに限定されないことを認識するであろう。上述した開示のさまざまな特徴および態様は、個別にまたは共同で使用されてもよい。さらに、実施形態は、本明細書のより広義の精神および範囲から逸脱することなく、本明細書に説明されているものを超える任意の数の環境および用途で利用することができる。したがって、明細書および図面は、限定的ではなく例示的であると見なされるべきである。

Claims

システムであって、
ネットワークヘッドエンドデバイスを含み、前記ネットワークヘッドエンドデバイスは、
顧客によってプロビジョニングされた第１のキーを受け取り、
前記顧客のデバイスから送信された第１のデータパケットを受信し、
前記第１のキーを使用して前記第１のデータパケットを復号して情報を取得するように構成され、前記システムはさらに、
ネットワーク仮想化デバイスを含み、前記ネットワーク仮想化デバイスは、
前記第１のデータパケットが復号された後に、前記ネットワークヘッドエンドデバイスから前記情報を受信し、
前記情報が仮想クラウドネットワーク内の仮想マシンに送信されるべきであることを確認し、
前記仮想クラウドネットワーク内のデータが暗号化されるように構成されていることを確認し、
第２のキーを使用して前記情報を暗号化して第２のデータパケットを生成し、
前記第２のデータパケットを前記仮想マシンにルーティングするように構成されている、システム。
前記システムはホストによって維持され、前記ホストは前記第１のキーまたは前記第２のキーへのアクセスを有していない、請求項１に記載のシステム。
前記ネットワークヘッドエンドデバイスは、前記ネットワークヘッドエンドデバイスと顧客デバイスとの間に形成されるインターネットプロトコルセキュリティ（ＩＰＳｅｃ）トンネルの終端点であるように構成されている、請求項１または２のいずれか１項に記載のシステム。
前記第１のデータパケットはパブリックインターネットを通してルーティングされる、請求項１～３のいずれか１項に記載のシステム。
前記第１のデータパケットは、パブリックインターネット内のリンクを使用せずに、プライベートリンクのセットを通してルーティングされる、請求項１～３のいずれか１項に記載のシステム。
前記ネットワーク仮想化デバイスは、前記仮想クラウドネットワーク内の前記仮想マシンのインスタンスをサポートする、請求項１～５のいずれか１項に記載のシステム。
前記ネットワークヘッドエンドデバイスはネットワークインターフェイスカードである、請求項１～６のいずれか１項に記載のシステム。
前記ネットワークヘッドエンドデバイスはネットワークインターフェイスカード上にあり、前記ネットワーク仮想化デバイスは前記ネットワークインターフェイスカードの一部である、請求項１～６のいずれか１項に記載のシステム。
前記ネットワークヘッドエンドデバイスおよび前記ネットワーク仮想化デバイスは同じサーバ内にある、請求項１～６のいずれか１項に記載のシステム。
前記ネットワークヘッドエンドデバイスは、ホストの他の顧客が前記ネットワークヘッドエンドデバイスを使用しないように、前記顧客に専用である、請求項１～６のいずれか１項に記載のシステム。
前記ネットワーク仮想化デバイスは、キー管理サービスと通信して前記第２のキーを取得する、請求項１～１０のいずれか１項に記載のシステム。
前記顧客は、キー管理サービスを使用して前記ネットワークヘッドエンドデバイスにおいて前記第１のキーをプロビジョニングする、請求項１～１１のいずれか１項に記載のシステム。
前記ネットワークヘッドエンドデバイスは第１のネットワークヘッドエンドデバイスであり、前記システムは、前記顧客からのデータを復号するように構成された第２のネットワークヘッドエンドデバイスをさらに含む、請求項１～１２のいずれか１項に記載のシステム。
前記ネットワーク仮想化デバイスは第１のネットワーク仮想化デバイスであり、
前記仮想クラウドネットワークは第１の仮想クラウドネットワークであり、
前記システムは第２のネットワーク仮想化デバイスをさらに含み、
前記第２のネットワーク仮想化デバイスは、前記ネットワークヘッドエンドデバイスからデータを受信し、前記ネットワークヘッドエンドデバイスから受信したデータを第２の仮想クラウドネットワークのために第３のキーを使用して暗号化するように構成されている、請求項１～１３のいずれか１項に記載のシステム。
前記第１のネットワーク仮想化デバイスおよび前記第２のネットワーク仮想化デバイスは同じネットワークインターフェイスカードの一部である、請求項１４に記載のシステム。
前記ネットワークヘッドエンドデバイスは、ホストが前記顧客を認証した後に前記顧客から前記第１のキーを受け取るように構成されている、請求項１～１５のいずれか１項に記載のシステム。
方法であって、
ネットワークヘッドエンドデバイスを使用して、顧客によってプロビジョニングされた第１のキーを受け取ることと、
前記ネットワークヘッドエンドデバイスにおいて、前記顧客のデバイスから送信された第１のデータパケットを受信することと、
前記第１のキーを使用して前記第１のデータパケットを復号して、情報を取得することと、
ネットワーク仮想化デバイスを使用して、前記ネットワークヘッドエンドデバイスから前記情報を受信することと、
前記情報が仮想クラウドネットワーク内の仮想マシンに送信されるべきであることを確認することと、
第２のキーを使用して前記ネットワーク仮想化デバイスで前記情報を暗号化して、第２のデータパケットを生成することと、
前記第２のデータパケットを前記仮想マシンにルーティングすることとを含む、方法。
前記方法は、前記第２のキーを使用して前記情報を暗号化する前に、前記仮想クラウドネットワーク内のデータが暗号化されるように構成されていることを確認することを含む、請求項１７に記載の方法。
請求項１７または１８に記載の方法を１つ以上のプロセッサに実行させるためのコンピュータプログラム。