ネットワーク資源がサービス・ランドスケープ・インスタンス内でプロビジョンされるときに、ネットワーク・セキュリティ・ポリシ・ルールを更新するためのコンピュータ実装方法、システム及びコンピュータ・プログラム
【課題】ネットワーク資源がサービス・ランドスケープ・インスタンス内でプロビジョンされるときに、ネットワーク・セキュリティ・ポリシ・ルールを更新するためのコンピュータ実装方法を提供する。
【解決手段】本方法は、（ａ）一のサービス・ランドスケープ・モデルに基づき、一のサービス・ランドスケープ・インスタンス内の複数のネットワーク資源を分類するステップと、（ｂ）一のネットワーク資源のプロビジョニングに応答して、当該新しくプロビジョンされたネットワーク資源用の１つ以上のセキュリティ・ポリシ・ルールを自動的に生成するステップと、（ｃ）前記新しくプロビジョンされたネットワーク資源をリモート資源として含むように、前記サービス・ランドスケープ・モデルに基づき、前記新しくプロビジョンされたネットワーク資源と通信するのに適格であると決定された、前記サービス・ランドスケープ・インスタンス内の既存のネットワーク資源のセキュリティ・ポリシ・ルールを更新するステップを有する。
【解決手段】本方法は、（ａ）一のサービス・ランドスケープ・モデルに基づき、一のサービス・ランドスケープ・インスタンス内の複数のネットワーク資源を分類するステップと、（ｂ）一のネットワーク資源のプロビジョニングに応答して、当該新しくプロビジョンされたネットワーク資源用の１つ以上のセキュリティ・ポリシ・ルールを自動的に生成するステップと、（ｃ）前記新しくプロビジョンされたネットワーク資源をリモート資源として含むように、前記サービス・ランドスケープ・モデルに基づき、前記新しくプロビジョンされたネットワーク資源と通信するのに適格であると決定された、前記サービス・ランドスケープ・インスタンス内の既存のネットワーク資源のセキュリティ・ポリシ・ルールを更新するステップを有する。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、データ通信ネットワーク環境内のサービスのプロビジョニング（provisioning）に係り、さらに詳細に説明すれば、新しいネットワーク資源が一のサービス・ランドスケープ・インスタンス（service landscape instance）内でプロビジョンされるときに、ネットワーク・セキュリティ・ポリシ・ルールを動的に更新するための技術に係る。
【背景技術】
【０００２】
情報技術（ＩＴ）の発達による１つの成果は、ソフトウェア開発及び配備（deployment）用のオンデマンドの、利用時払い（pay-as-you-go）ユーティリティ・モデルの出現である。このモデルによれば、アプリケーション及び他のＩＴ資源が、データ通信ネットワーク（特に、インターネット）を通して、サービス・プロバイダによって顧客に提供される。特定のモデルは、アプリケーションがインターネット経由で顧客に提供されるサービスとしてホストされる、ソフトウェア配備のＳａａＳ（Software-as-a-Service）モデルである。このモデルの主要な利点は、アプリケーションを顧客自身のコンピュータにインストールし且つ稼働させる必要性を取り除くこと、そしてソフトウェア保守に関する顧客の困難を緩和することにある。また、ＳａａＳは、それほど高価でない、オンデマンドの価格設定を通して、ソフトウェア購入に伴う顧客の先行投資のコストを減少させることができる。ベンダにとって、ＳａａＳは、ベンダの知的財産を保護するための機構となり得るだけでなく、継続的な収益源とすることができる。ＳａａＳベンダは、それ自身のウェブ・サーバ上にアプリケーションをホストするか、又はアプリケーションを第３者のアプリケーション・サービス・プロバイダ（ＡＳＰ）を通して提供することができる。
【０００３】
かかるユーティリティ・モデルの下では、データがネットワーク上で交換されるという理由で、セキュリティが重要な検討事項となる。このため、ネットワーク資源は、一般に、ネットワーク資源間のトラフィック用のアクションを制御するためのセキュリティ・ポリシ・ルールを維持しなければならない。一般に、これらのルールは、ローカルのインターネット・プロトコル（ＩＰ）アドレス及びポート、並びにリモートのＩＰアドレス及びポートを含む、複数の条件を確立する。かかるセキュリティ・ポリシ・ルールの例は、データ・ストリーム内の各ＩＰパケットの認証及び／又は暗号化によりＩＰ通信を安全にするプロトコルの「IPsec (IP security）」スイート、及び「IBM z／OS Application Transparent Transport Layer Security (AT-TLS）」による、ＩＰパケット・フィルタリングのために使用されるものである。「IBM」及び「z／OS」は、アメリカ合衆国、他の諸国又は両方におけるインターナショナル・ビジネス・マシーンズ・コーポレーションの商標である。
【０００４】
新しいネットワーク資源がプロビジョンされ且つ一のサービス・ランドスケープ・インスタンスに追加されるときには、当該新しくプロビジョンされたネットワーク資源及びリモートに位置する適格（eligible）なネットワーク資源の間の通信を許可するように、当該新しくプロビジョンされたネットワーク資源内のポリシ・ルールを作成しなければならない。さらに、一のネットワーク資源がプロビジョンされる場合、当該新しくプロビジョンされたネットワーク資源及び既存のネットワーク資源の間の通信を許可するように、当該サービス・ランドスケープ・インスタンス内の他の資源を更新しなければならない。しかし、システム・ファイアウォールの構成及び侵入防御のような、ＩＴインフラストラクチャ用のセキュリティを使用可能にすることは、相当な手動構成作業を必要とするばかりか、プラットフォーム特有の専門知識を必要とするのが普通である。もし、かかるプロセスが手動的に行われるのであれば、時間を浪費し、エラーを生じやすく、潜在的には破壊的となることがある。しかし、サービス・ランドスケープ・インスタンスを形成するネットワーク化されたシステムを保護するためにセキュリティを使用可能にすることは、新しいオンデマンド・サービスの容認及び配備における重要な鍵である可能性が高い。
【発明の概要】
【発明が解決しようとする課題】
【０００５】
前述の背景技術に照らして、新しいネットワーク資源がサービス・ランドスケープ・インスタンス内でプロビジョンされるときに、ネットワーク・セキュリティ・ポリシ・ルールを動的に更新するための有効で且つ効率的な機構を提供することが望ましい。
【課題を解決するための手段】
【０００６】
本発明の１つの実施形態は、ネットワーク資源がサービス・ランドスケープ・インスタンス内でプロビジョンされるときに、ネットワーク・セキュリティ・ポリシ・ルールを更新するためのコンピュータ実装方法に向けられている。本方法は、
（ａ）一のサービス・ランドスケープ・モデルに基づき、一のサービス・ランドスケープ・インスタンス内の複数のネットワーク資源を分類するステップと、
（ｂ）一のネットワーク資源のプロビジョニングに応答して、当該新しくプロビジョンされたネットワーク資源用の１つ以上のセキュリティ・ポリシ・ルールを自動的に生成するステップと、
（ｃ）前記新しくプロビジョンされたネットワーク資源をリモート資源として含むように、前記サービス・ランドスケープ・モデルに基づき、前記新しくプロビジョンされたネットワーク資源と通信するのに適格であると決定された、前記サービス・ランドスケープ・インスタンス内の既存のネットワーク資源の複数のセキュリティ・ポリシ・ルールを更新するステップを有する。
【０００７】
本発明の他の実施形態は、 ネットワーク資源がサービス・ランドスケープ・インスタンス内でプロビジョンされるときに、ネットワーク・セキュリティ・ポリシ・ルールを更新するためのコンピュータ実装方法に向けられている。本方法は、
（ａ）新しくプロビジョンされる一のネットワーク資源を既存のネットワーク資源データベースに追加することにより、前記サービス・ランドスケープ・インスタンスへの当該ネットワーク資源のプロビジョニングを行うステップと、
（ｂ）一のグループ名を前記新しくプロビジョンされたネットワーク資源に関連付けるステップを有し、
前記グループ名が、複数のネットワーク資源の一の集合に対応し、当該複数のネットワーク資源の集合が、前記サービス・ランドスケープ・インスタンス内の当該複数のネットワーク資源について必要とされる複数のセキュリティ・アクションを指定する、事前構成された複数のポリシ・ルール内で参照され、
前記グループ名が、前記構成されたポリシ・ルール内の一のネットワーク・アドレスの代わりに指定される。
【０００８】
本発明の他の実施形態は、ネットワーク資源がサービス・ランドスケープ・インスタンス内でプロビジョンされるときに、ネットワーク・セキュリティ・ポリシ・ルールを更新するためのシステムに向けられている。本システムは、
（ａ）プロセッサ実行可能コードを実行するための１つ以上のプロセッサと、
（ｂ）前記１つ以上のプロセッサ上で実行するように構成され、一のサービス・ランドスケープ・モデルに基づき、一のサービス・ランドスケープ・インスタンス内の複数のネットワーク資源を分類するための分類モジュールと、
（ｃ）前記１つ以上のプロセッサ上で実行するように構成され、一のネットワーク資源のプロビジョニングに応答して、当該新しくプロビジョンされたネットワーク資源用の１つ以上のセキュリティ・ポリシ・ルールを自動的に生成するためのルール生成モジュールと、
（ｄ）前記１つ以上のプロセッサ上で実行するように構成され、前記新しくプロビジョンされたネットワーク資源をリモート資源として含むように、前記サービス・ランドスケープ・モデルに基づき、前記新しくプロビジョンされたネットワーク資源と通信するのに適格であると決定された、前記サービス・ランドスケープ・インスタンス内の既存のネットワーク資源の複数のセキュリティ・ポリシ・ルールを更新するためのポリシ更新モジュールを備える。
【０００９】
本発明の他の実施形態は、ネットワーク資源がサービス・ランドスケープ・インスタンス内でプロビジョンされるときに、ネットワーク・セキュリティ・ポリシ・ルールを更新するためのシステムに向けられている。本システムは、
（ａ）プロセッサ実行可能コードを実行するための１つ以上のプロセッサと、
（ｂ）前記１つ以上のプロセッサ上で実行するように構成され、一のネットワーク資源のプロビジョニングに応答して、当該新しくプロビジョンされたネットワーク資源を前記サービス・ランドスケープ・インスタンスの既存のネットワーク資源データベースに追加するための名前関連付けモジュールを備え、
前記名前関連付けモジュールが、一のグループ名を前記新しくプロビジョンされたネットワーク資源に関連付けるようにさらに構成され、
前記グループ名が、複数のネットワーク資源の一の集合に対応し、当該複数のネットワーク資源の集合が、前記サービス・ランドスケープ・インスタンス内の当該複数のネットワーク資源について必要とされる複数のセキュリティ・アクションを指定する、事前構成された複数のポリシ・ルール内で参照され、
前記グループ名が、前記構成されたポリシ・ルール内の一のネットワーク・アドレスの代わりに指定される。
【発明の効果】
【００１０】
本発明は、新しいネットワーク資源がサービス・ランドスケープ・インスタンス内でプロビジョンされるときに、ネットワーク・セキュリティ・ポリシ・ルールを動的に更新するための有効で且つ効率的な機構を提供することができるという効果を奏する。
【図面の簡単な説明】
【００１１】
【図１】本発明の１つの実施形態に従った、ネットワーク・セキュリティ・ポリシ・ルールを更新するためのシステムを有利に使用することができるネットワーク環境を示す概略図である。
【図２】本発明の１つの実施形態に従った、ネットワーク・セキュリティ・ポリシ・ルールを更新するためのシステムを示す概略図である。
【図３】本発明の他の実施形態に従った、ネットワーク・セキュリティ・ポリシ・ルールを更新するためのシステムを示す概略図である。
【図４】本発明の他の実施形態に従った、ネットワーク・セキュリティ・ポリシ・ルールを更新するための方法のステップを例示するフローチャートである。
【図５】本発明の他の実施形態に従った、ネットワーク・セキュリティ・ポリシ・ルールを更新するための方法のステップを例示するフローチャートである。
【発明を実施するための形態】
【００１２】
本発明は、新しいネットワーク資源がサービス・ランドスケープ・インスタンス内でプロビジョンされるときに、ネットワーク・セキュリティ・ポリシ・ルールを更新するための方法及びシステムに向けられている。本明細書では、本発明の種々の実施形態を説明するために、次のように定義される用語を使用する。
【００１３】
「ＳａａＳ（Software-as-a-Service）」。ＳａａＳは、ソフトウェア・アプリケーションがサービス・プロバイダによってホストされ、サービス加入者が私設コンピュータ通信ネットワーク又はインターネットのような公衆コンピュータ通信ネットワーク経由でそのサービスアクセスすることができる、ソフトウェア配布サービス・モデルを意味する。
【００１４】
「ＰａａＳ（Platform-as-a-Service）」。一般に、ＰａａＳは、ソフトウェアを開発するためにコンピュータ・プログラマによって使用可能な包括的設備を提供する統合開発環境（ＩＤＥ）ソフトウェア・アプリケーションのような、開発／テスト・プラットフォームを提供するソフトウェアのホスティングに焦点が置かれた、ＳａａＳの任意の領域又は部分を意味する。
【００１５】
「サービス・ランドスケープ」。サービス・ランドスケープは、サービスを配信するためのＳａａＳアーキテクチャ・モデルである。その１例は、多層（multi-tier）のウェブ・サービス（例えば、ウェブ・サーバ、アプリケーション・サーバ及びデータベース・サーバから成る３層アーキテクチャ）配信モデルである。従って、サービス・ランドスケープは、サービス（又はアプリケーション若しくはソリューション）を記述するためのモデルである。例えば、サービスは、３層サービスを形成する１セットのノードを含むことがある。幾つかのノードは、ｈｔｔｐサーバとして機能し、他の幾つかのノードは、アプリケーション・サーバとして、さらに他の幾つかのノードは、データベース・サーバとして機能する。また、サービス・ランドスケープは、各ノード用の資源要件（例えば、ＣＰＵ、メモリ、ディスク）を記述することができる。
【００１６】
「サービス・ランドスケープ・インスタンス」。サービス・ランドスケープ・インスタンスは、サービス・ランドスケープの実現又はインスタンス化であり、そこで種々のＩＴ資源（例えば、サーバ、ネットワーク及びストレージ）がサービス加入のサービス・レベル・アグリーメント（ＳＬＡ）に従ってプロビジョンされ且つ管理されるようになっている。
【００１７】
図１は、本発明の１つの実施形態に従った、ネットワーク・セキュリティ・ポリシ・ルールを更新するためのシステム１０２を有利に使用することができる、ネットワーク環境１００を例示する。ネットワーク環境１００は、サービス・ランドスケープ・インスタンス１０４を含み、その内部にはシステム１０２が配備される。前述の定義と整合するように、サービス・ランドスケープ・インスタンス１０４は、３つのコンピューティング装置１０６ａ〜１０６ｃと、１つのコンピューティング装置１０６ｂに通信可能にリンクされた少なくとも１つのデータベース１０８を含む。コンピューティング装置１０６ａ〜１０６ｃは、インターネットのようなデータ通信ネットワーク１１０を通して、互いに通信可能にリンクされる。図示のように、コンピューティング装置１０６ａ〜１０６ｃのうちの１つに常駐するか又はコンピューティング装置１０６ａ〜１０６ｃ間に分散された、ＳａａＳ又はＰａａＳアプリケーションのようなネットワーク資源にアクセスするために、１つ以上の他のコンピューティング装置１１２を、データ通信ネットワーク１１０を通して、１つ以上のコンピューティング装置１０６ａ〜１０６ｃに通信可能にリンクすることができる。
【００１８】
サービス・ランドスケープ・インスタンス１０４は、３つのコンピューティング装置１０６ａ〜１０６ｃを含むように図示されているが、本明細書に開示した内容から明らかなように、サービス・ランドスケープ・インスタンス１０４内には、より多くの又はより少ない数のコンピューティング装置を含めることができる。さらに、明示されていないが、サービス・ランドスケープ・インスタンス１０４は、種々のアプリケーション（例えば、ＳａａＳ及び／又はＰａａＳ）又は１つ以上のコンピューティング装置１０６ａ〜１０６ｃ上に常駐する他のネットワーク資源を含むことができる。
【００１９】
好ましくは、コンピューティング装置１０６ａ〜１０６ｃは、データ通信ネットワーク１１０を通してリモートの装置又はシステムによってアクセスすることができる、アプリケーション及び他のネットワーク資源をホストするためのサーバである。しかし、代替実施形態では、１つ以上のコンピューティング装置１０６ａ〜１０６ｃは、他のタイプの汎用又はアプリケーション特有のコンピューティング装置とすることができる。また、ネットワーク環境１００の種々の要素間の通信リンクは、データ通信ネットワーク１１０を横断する有線接続として図示されているが、かかる通信リンクは、明示されていない種々の中間ノードを含むことができる。代替的に、かかる通信リンクは、無線通信リンクとすることができる。
【００２０】
図２を参照して、システム１０２をより詳しく説明する。システム１０２は、１つ以上のプロセッサ２０４を含む。明示されていないが、１つ以上のプロセッサ２０４の各々は、複数のレジスタ、算術論理演算装置及び制御装置を含むことができる。従って、システム１０２は、単一スレッド、単一プロセッサ環境内で、単一スレッド、マルチプロセッサ環境内で、又はマルチスレッド、マルチプロセッサ環境内で、プロセッサ実行可能な命令を処理するように構成することができる。さらに、１つ以上のプロセッサ２０４は、単一のコンピューティング装置又は異なるコンピューティング装置上に存在することができる。システム１０２が分散コンピューティング・アーキテクチャに従ってマルチ・コンピューティング装置の形態で実装される場合、これらの装置は、共通のサイトにおいて共同設置することができる。代替的に、これらのコンピューティング装置を、互いにリモートの位置に設置し、データ通信ネットワーク１１０を通して通信するように構成することができる。オプションとして、システム１０２は、プロセッサ実行可能な命令及びデータ表現を電子的に格納するための１つ以上の主メモリ要素２０５を含むことができる。
【００２１】
また、システム１０２は、分類モジュール２０６、ルール生成モジュール２０８及びポリシ更新モジュール２１０を含む。好ましくは、分類モジュール２０６、ルール生成モジュール２０８及びポリシ更新モジュール２１０は、本明細書に開示した手順及び機能を実施するための論理ベースの処理回路及びプロセッサ実行可能コードの組み合わせの形態で実装される。従って、分類モジュール２０６、ルール生成モジュール２０８及びポリシ更新モジュール２１０の各々は、１つ以上のプロセッサ２０４上で実行するように構成することができる。代替的に、分類モジュール２０６、ルール生成モジュール２０８及びポリシ更新モジュール２１０の１つ以上は、同じ手順及び機能を実施するために１つ以上のプロセッサ２０４の直接的な制御の下ではなく、互いに協調的に動作するように構成された専用の布線式回路の形態で実装することができる。
【００２２】
動作について説明する。分類モジュール２０６は、特定のサービス・ランドスケープ・モデルに基づき、サービス・ランドスケープ・インスタンス１０４内の複数のネットワーク資源を分類する。特定の実施形態では、分類モジュール２０６は、サービス・ランドスケープ・インスタンス１０４内で各ネットワーク資源が行う役割及び前記サービス・ランドスケープ・モデルに基づき決定された多層の階層的トポロジ内で各ネットワーク資源が占有する層に従って、これらのネットワーク資源を分類する。従って、サービス・ランドスケープ・インスタンス１０４の複数のネットワーク資源が、例えば、一のアプリケーション・サーバ、一のファイル転送プロトコル（ＦＴＰ）サーバ及び一のデータベース・サーバを含んでいれば、各サーバは、サービス・ランドスケープ・インスタンス１０４内で一意的な機能を行うための明確な役割を有する。従って、分類モジュール２０６は、それぞれのサーバの特定の役割又は機能に従って、当該アプリケーション・サーバ、ＦＴＰサーバ及びデータベース・サーバを分類する。
【００２３】
この実施形態では、サービス・ランドスケープ・モデルを使用して多層の階層的トポロジを構築することができるという理由で、分類モジュール２０６は、当該多層の階層的トポロジ内で各ネットワーク資源が占有する特定の層に従って、サービス・ランドスケープ・インスタンス１０４の複数のネットワーク資源をさらに分類する。１つの層は、例えば、いわゆる非武装地帯（ＤＭＺ）、物理又は論理サブネットワークに対応することがある。かかる非武装地帯（ＤＭＺ）、物理又は論理サブネットワークは、サービス・ランドスケープ・インスタンス１０４の外部サービスを保持し且つこれらの外部サービスを、インターネットのようにより大きく且つ信頼できないネットワークに露出する。他の層は、アプリケーション・サーバ層及び企業情報システム（ＥＩＳ）層を含むことがある。別個のネットワーク資源が対応する特定の層に拘わらず、分類モジュール２０６は、サービス・ランドスケープ・モデルの仕様に従って、そのネットワーク資源を分類する。他の実施形態では、分類モジュール２０６は、特定のネットワーク資源に対応するＩＰアドレス及びポートに基づき、サービス・ランドスケープ・インスタンス１０４の各ネットワーク資源を分類することができる。
【００２４】
より一般的に説明すると、システム１０２の電子メモリ内に保持することができるサービス・ランドスケープ・モデルは、前記階層的トポロジの各層内に存在することが許可される、サービス・ランドスケープ・インスタンス１０４の種々の資源の異なるカテゴリを規定し且つ記述する。また、サービス・ランドスケープ・モデルは、サービス・ランドスケープ・インスタンス１０４内のどのネットワーク資源が他の資源と通信することを許可されるかを記述するとともに、接続性（connectivity）用の複数のセキュリティ要件をも記述することができる。従って、分類モジュール２０６は、サービス・ランドスケープ・モデルによって規定されるような、これらのカテゴリ及び属性の任意の組み合わせに基づき、サービス・ランドスケープ・インスタンス１０４を構成する各ネットワーク資源を分類する。
【００２５】
ルール生成モジュール２０８は、新しいネットワーク資源のプロビジョニングに応答して動作する。ルール生成モジュール２０８は、新しいネットワーク資源のプロビジョニングに応答して、当該新しくプロビジョンされたネットワーク資源用の１つ以上のセキュリティ・ポリシ・ルールを自動的に生成する。当該新しくプロビジョンされたネットワーク資源のセキュリティ・ポリシ・ルールは、サービス・ランドスケープ・モデルによって決定されるように、当該新しくプロビジョンされたネットワーク資源が通信することを許可された、他の既存のネットワーク資源のＩＰアドレス及びポートに関して必要とされる複数のセキュリティ・アクションを指定するルールを含むことができる。
【００２６】
例えば、一のデータベース・サーバのプロビジョニングを行う際に、サービス・ランドスケープ・モデルは、当該データベース・サーバがサービス・ランドスケープ・インスタンス１０４内の全てのアプリケーション・サーバと通信することを許可することができる。しかし、ＤＭＺ層のウェブ・サーバのような、１つ以上の他のネットワーク資源への任意の接続性は、これを禁止することができる。さらに、サービス・ランドスケープ・モデルは、当該新しくプロビジョンされたデータベース・サーバ及び一のアプリケーション・サーバの間の通信用の特定レベルのネットワーク暗号化を必要としてもよいし、必要としなくてもよい。ルール生成モジュール２０８は、サービス・ランドスケープ・モデルによって規定された種々の要件を使用して、当該新しくプロビジョンされたネットワーク資源用の適切な１セットのセキュリティ・ポリシ・ルールを自動的に生成する。
【００２７】
動作について説明する。ポリシ更新モジュール２１０は、新しいネットワーク資源がサービス・ランドスケープ・インスタンス１０４内でプロビジョンされるときに、既存のネットワーク資源のうちの少なくとも幾つかのセキュリティ・ポリシ・ルールを更新する。具体的には、ポリシ更新モジュール２１０は、当該新しくプロビジョンされたネットワーク資源と通信するのに適格な既存のネットワーク資源を決定するように構成することができる。次に、ポリシ更新モジュール２１０は、ランドスケープ・サービス・モデルに基づき、当該新しくプロビジョンされたネットワーク資源をリモート資源として含むように、これらの識別されたネットワーク資源用の複数のセキュリティ・ポリシ・ルールを更新する。
【００２８】
例えば、一のデータベース・サーバのプロビジョニングの後、サービス・ランドスケープ・モデルは、全てのアプリケーション・サーバが当該データベース・サーバと通信することができるが、強いネットワーク暗号化が必要とされることを規定することができる。従って、ポリシ更新モジュール２１０は、当該新しくプロビジョンされたデータベース・サーバに接続することを許可されたサービス・ランドスケープ・インスタンス１０４内の既存の各ネットワーク資源を識別し、当該各ネットワーク資源のセキュリティ・ポリシ・ルールを更新する。この例では、これらのルールは、サービス・ランドスケープ・モデルの下で当該新しくプロビジョンされたデータベース・サーバと通信するために必要とされる複数のセキュリティ・アクションを指定する。
【００２９】
異なる実施形態では、システム１０２は、管理可能ドメイン・プロビジョニング・マネージャを備えることができる。管理可能ドメイン・プロビジョニング・マネージャを備える場合、新しいネットワーク資源のプロビジョニングによって影響を受けるサービス・ランドスケープ・インスタンス１０４内の既存の各ネットワーク資源のランタイム・ポリシを更新するために、異なる手順を実装することができる。１つの実施形態では、システム１０２の管理可能ドメイン・プロビジョニング・マネージャは、新しい又は更新されたセキュリティ・ポリシ・ルールを、サービス・ランドスケープ・インスタンス１０４内の影響を受ける各ネットワーク資源にプッシュすることができる。代替実施形態では、システム１０２の管理可能ドメイン・プロビジョニング・マネージャは、これに代えて、サービス・ランドスケープ・インスタンス１０４内の影響を受ける各ネットワーク資源に通知することができ、その結果、影響を受ける各ネットワーク資源は、管理可能ドメイン・プロビジョニング・マネージャから新しい又は更新されたセキュリティ・ポリシ・ルールを要求することができる。他の実施形態では、サービス・ランドスケープ・インスタンス１０４内の各ネットワーク資源は、管理可能ドメイン・プロビジョニング・マネージャからセキュリティ・ポリシ・ルールの最新のコピーを要求することができる。これらの要求は、特定の時刻又は時間間隔のような、定期的にスケジュールされた時間に伝えることができる。代替的に、これらの要求は、ランダムに選択された時刻又は時間間隔に伝えることができる。
【００３０】
図３は、代替実施形態に従った、ネットワーク・セキュリティ・ポリシ・ルールを更新するためのシステム３００の概略図である。システム３００は、前述したタイプのネットワーク環境内で動作することができる。システム３００は、プロセッサ実行可能コードを実行するための１つ以上のプロセッサ３０２を含む。前述のように、１つ以上のプロセッサ３０２は、同じコンピューティング装置上に又は通信可能にリンクされた異なるコンピューティング装置内に存在することができる。オプションとして、システム３００は、プロセッサ実行可能な命令及びデータ表現を電子的に格納するための１つ以上のメモリ要素３０４を含む。
【００３１】
システム３００は、１つ以上のプロセッサ３０２上で実行するように構成され、ネットワーク資源のプロビジョニングに応答するための名前関連付けモジュール３０６をさらに含む。名前関連付けモジュール３０６は、一のネットワーク資源のプロビジョニングに応答して、当該新しくプロビジョンされたネットワーク資源をサービス・ランドスケープ・インスタンス１０４の既存の資源データベース３０８に追加する。名前関連付けモジュール３０６は、一のグループ名を、当該新しくプロビジョンされたネットワーク資源と関連付けるようにさらに構成される。このグループ名は、複数のネットワーク資源の一の集合に対応し、当該複数のネットワーク資源の集合は、サービス・ランドスケープ・インスタンス１０４の当該複数のネットワーク資源について必要とされる複数のセキュリティ・アクションを指定する、事前構成された複数のポリシ・ルール内で参照される。ネットワーク資源の集合に対応する。このグループ名は、当該構成されたポリシ・ルール内の一のネットワーク・アドレスの代わりに指定することができる。
【００３２】
もし、（新しいアプリケーションがサービス・ランドスケープ・インスタンス１０４内で配備される場合に生じるように）サービス・ランドスケープ・モデルが変われば、サービス・ランドスケープ・インスタンス１０４のネットワーク資源間の通信を許可するために新しいセキュリティ・ポリシ・ルールが必要とされる。しかし、たとえ新しいネットワーク資源が資源データベース３０８に追加されたとしても、サービス・ランドスケープ・モデルが不変であれば、管理可能ドメイン・プロビジョニング・マネージャから影響を受ける資源への、結果的なポリシの完全な再ロードを回避することが可能である。従って、この実施形態は、サービス・ランドスケープ・インスタンス１０４内の個々のネットワーク資源が、資源データベース３０８を再読み取りし且つ当該新しくプロビジョンされた資源を前記ポリシ内で識別された一の資源グループに追加することにより、サービス・ランドスケープ・インスタンス１０４内の個々のネットワーク資源が前記ポリシのそれらのローカル・バージョンを再構築することを可能にする。この資源グループは、再びサービス・ランドスケープ・モデルに基づき、プレースホルダが幾つかのネットワーク資源用のポリシ内で指定されることを可能にする。その後、このローカル資源は、構成されたポリシをローカル・システム上のランタイム使用に適合する形式に変換する。ローカル・システムは、この資源グループに追加された、新しくプロビジョンされた資源用の新しいランタイム・ルールを作成することができる
【００３３】
システム３００は、管理可能ドメイン・プロビジョニング・マネージャを備えることができる。ポリシの必要な再ロードなしに新しいセキュリティ・ポリシ・ルールが作成される場合、異なる手順は、一のネットワーク資源のランタイム・ポリシの更新をもたらすことができる。１つの実施形態では、管理可能ドメイン・プロビジョニング・マネージャは、新しい資源データベース３０８をサービス・ランドスケープ・インスタンス１０４内の複数のネットワーク資源にプッシュすることができる。その結果、各ネットワーク資源は、資源データベース３０８を再読み取りし且つ当該ネットワーク資源のポリシのランタイム形式を更新することができる。従って、オプションとして、システム３００は、新しい資源データベース３０８を、ネットワーク・リンクを介して、サービス・ランドスケープ・インスタンス１０４内の他のネットワーク資源にプッシュするためのネットワーク・インタフェース３１０を含むことができる。
【００３４】
代替的に、管理可能ドメイン・プロビジョニング・マネージャは、影響を受ける各ネットワーク資源に対し、資源データベース３０８が更新されたことを通知することができ、その結果、影響を受ける各ネットワーク資源は、ポリシのそのランタイム形式を更新するために、管理可能ドメイン・プロビジョニング・マネージャから最新の資源データベース３０８を要求することができる。他の実施形態では、サービス・ランドスケープ・インスタンス１０４内の複数のネットワーク資源は、管理可能ドメイン・プロビジョニング・マネージャから最新の資源データベース３０８を要求することができる。再び、かかる要求は、特定の時刻又は時間間隔のような、定期的にスケジュールされた時間に伝えることができる。代替的に、これらの要求は、ランダムに選択された時刻又は時間間隔に伝えることができる。
【００３５】
図４には、本発明の方法の特定の側面が示されている。図４は、本発明の他の実施形態に従った、ネットワーク・セキュリティ・ポリシ・ルールを更新するための方法４００の複数のステップを例示するフローチャートである。ステップ４０２で開始した後、ステップ４０４では、一のサービス・ランドスケープ・モデルに基づき、サービス・ランドスケープ・インスタンス１０４内の複数のネットワーク資源を分類する。ステップ４０６では、一のネットワーク資源のプロビジョニングに応答して、当該新しくプロビジョンされたネットワーク資源用の１つ以上のセキュリティ・ポリシ・ルールを自動的に生成する。さらに、ステップ４０８では、当該新しくプロビジョンされたネットワーク資源をリモート資源として含むように、サービス・ランドスケープ・モデルに基づき、当該新しくプロビジョンされたネットワーク資源と通信するのに適格であると決定された、サービス・ランドスケープ・インスタンス１０４内の既存のネットワーク資源の複数のセキュリティ・ポリシ・ルールを更新する。方法４００は、ステップ４１０で終了する。
【００３６】
１つの実施形態では、複数のネットワーク資源を分類するためのステップ４０４は、サービス・ランドスケープ・インスタンス１０４内で各ネットワーク資源が行う役割及びサービス・ランドスケープ・モデルに基づき決定された多層の階層的トポロジ内で各ネットワーク資源が占有する層に従って、各ネットワーク資源を分類することを含む。他の実施形態では、複数のネットワーク資源を分類するためのステップ４０４は、サービス・ランドスケープ・モデル内に記述された伝送制御プロトコル（ＴＣＰ）ポート番号、ユーザ・データグラム・プロトコル（ＵＤＰ）トランスポート・タイプ仕様、セッション開始プロトコル（ＳＩＰ）トランスポート・タイプ仕様、インターネット・プロトコル（ＩＰ）ＩＤ、対応するＩＰアドレス、第２層のＭＡＣアドレス及び／又は仮想ＬＡＮ ＩＤのうちの少なくとも１つに基づき、各ネットワーク資源を分類することを含む。
【００３７】
方法４００は、コンピュータ実行可能コードで実装されたネットワーク資源の少なくとも一部を、管理可能ドメイン・プロビジョニング・マネージャにアクセス可能に構成された、ネットワーク接続データベース内に安全に維持するステップをさらに有することができる。
【００３８】
他の実施形態では、１つ以上のセキュリティ・ポリシ・ルールを自動的に生成するためのステップ４０６は、当該新しくプロビジョンされたネットワーク資源及びサービス・ランドスケープ・インスタンス１０４内の他のネットワーク資源の間の許可された接続性を決定するステップと、当該新しくプロビジョンされたネットワーク資源及びサービス・ランドスケープ・インスタンス１０４内の他のネットワーク資源の間の通信用のネットワーク暗号化のレベルを決定するステップのうちの少なくとも１つを行うことを含む。
【００３９】
他の実施形態では、セキュリティ・ポリシ・ルールを更新するためのステップ４０８は、サービス・ランドスケープ・インスタンス１０４内のどのネットワーク資源が当該新しくプロビジョンされたネットワーク資源と通信することができるかを識別するステップと、サービス・ランドスケープ・モデルによって必要とされる複数のセキュリティ・アクションに従って、当該新しくプロビジョンされたネットワーク資源への接続性を許可する複数のセキュリティ・ポリシ・ルールを更新するステップを含むことができる。
【００４０】
他の実施形態では、方法４００は、ネットワーク資源のプロビジョニングによって影響を受ける各ネットワーク資源のランタイム・ポリシを更新するステップをさらに有することができる。この場合、各ランタイム・ポリシを更新するステップは、１つ以上のセキュリティ・ポリシ・ルール及び更新されたセキュリティ・ポリシ・ルールを、管理可能ドメイン・プロビジョニング・マネージャから影響を受ける各ネットワーク資源にプッシュすることを含む。代替的に、方法４００は、ネットワーク資源のプロビジョニングによって影響を受ける各ネットワーク資源のランタイム・ポリシを、影響を受ける各ネットワーク資源に通知する管理可能ドメイン・プロビジョニング・マネージャによって更新するステップをさらに有することができる。この場合、新しいポリシを定義するために、自動的に生成された１つ以上のセキュリティ・ポリシ・ルール及び更新された複数のポリシ・ルールが組み合わされ、影響を受ける各ネットワーク資源が、管理可能ドメイン・プロビジョニング・マネージャから当該新しいポリシを要求することができる。他の実施形態では、新しいポリシを定義するために、自動的に生成された１つ以上のセキュリティ・ポリシ・ルール及び更新された複数のポリシ・ルールが組み合わされ、そしてランタイム・ポリシを更新するステップは、サービス・ランドスケープ・インスタンス１０４内の少なくとも１つのネットワーク資源が、所定の時間又は所定の時間間隔中に、管理可能ドメイン・プロビジョニング・マネージャから新しいポリシの最新バージョンを要求することを含むことができる。
【００４１】
図５は、本発明の他の実施形態に従った、ネットワーク・セキュリティ・ポリシ・ルールを更新するための方法５００の複数のステップを例示するフローチャートである。ステップ５０２で開始した後、ステップ５０４では、サービス・ランドスケープ・インスタンス１０４への一のネットワーク資源のプロビジョニングが行われる。このステップ５０４では、当該新しくプロビジョンされたネットワーク資源を既存のネットワーク資源データベース３０８に追加することにより、当該ネットワーク資源がプロビジョンされる。ステップ５０６では、一のグループ名を、当該新しくプロビジョンされたネットワーク資源に関連付ける。このグループ名は、複数のネットワーク資源の一の集合に対応し、当該複数のネットワーク資源の集合は、サービス・ランドスケープ・インスタンス１０４内の当該複数のネットワーク資源について必要とされる複数のセキュリティ・アクションを指定する、事前構成された複数のポリシ・ルール内で参照される。この実施形態では、このグループ名は、構成されたポリシ・ルール内の一のネットワーク・アドレスの代わりに指定される。方法５００は、ステップ５０８で終了する。
【００４２】
特定の実施形態では、プロビジョニング・ステップ５０４は、新しいアプリケーションをサービス・ランドスケープ・インスタンス１０４内に配備するステップと、当該新しいアプリケーション及びサービス・ランドスケープ・インスタンス１０４の他のネットワーク資源の間の通信用の新しいセキュリティ・ポリシ・ルールを含むように、サービス・ランドスケープ・モデルを再構成するステップを含む。
【００４３】
代替実施形態では、プロビジョニング・ステップ５０４は、サービス・ランドスケープ・モデルを変更することなく当該新しくプロビジョンされたネットワーク資源を追加するステップと、プロビジョニング・ステップ５０４によって影響を受ける各ネットワーク資源において前記複数のポリシ・ルールのローカル・バージョンを再構築するステップを含む。この再構築するステップは、ネットワーク資源データベース３０８を再読み取りし且つ当該新しくプロビジョンされたネットワーク資源を前記複数のポリシ・ルールのローカル・バージョン内に維持された資源グループに追加するステップを含むことができる。この実施形態では、方法５００は、構成されたポリシがランタイム使用に適合する形式に変換されるときに、影響を受ける各ネットワーク資源において当該新しくプロビジョンされたネットワーク資源に対応する新しいランタイム・ルールを作成するステップをさらに有することができる。新しいランタイム・ルールを作成するステップは、資源データベース３０８の再読み取り及び構成されたポリシのランタイム形式の更新を行うことができるように、当該新しくプロビジョンされたネットワーク資源を保持する資源データベース３０８を、管理可能ドメイン・プロビジョニング・マネージャからサービス・ランドスケープ・インスタンス１０４内の影響を受ける各ネットワーク資源にプッシュするステップを含むことができる。代替的に、新しいランタイム・ルールを作成するステップは、資源データベース３０８が更新されたことを、影響を受ける各ネットワーク資源に通知するステップと、影響を受ける少なくとも１つのネットワーク資源が、当該影響を受ける少なくとも１つのネットワーク資源の前記構成されたポリシのランタイム形式の更新を行うことができるように、資源データベース３０８の現バージョンを要求するステップをさらに含むことができる。他の代替実施形態では、新しいランタイム・ルールを作成するステップは、影響を受ける少なくとも１つのネットワーク資源が、当該影響を受ける少なくとも１つのネットワーク資源の前記構成されたポリシのランタイム形式の更新を行うことができるように、管理可能ドメイン・プロビジョニング・マネージャから資源データベース３０８の現バージョンを要求するステップをさらに含むことができる。
【００４４】
前述のように、本発明は、ハードウェア、ソフトウェア又はハードウェア及びソフトウェアの組み合わせの形態で実現することができる。本発明は、１つのコンピュータ・システムにおいて集中的な態様で実現することができ、又は異なる要素が幾つかの相互接続されたコンピュータ・システムに散在している場合は、分散的な態様で実現することができる。本明細書に開示した方法を実施するのに適した任意の種類のコンピュータ・システム又は他の装置を使用することができる。ハードウェア及びソフトウェアの代表的な組み合わせは、汎用コンピュータ・システム及びコンピュータ・プログラムとすることができる。当該コンピュータ・プログラムがロードされ且つ実行されると、当該コンピュータ・システムが本明細書に開示した方法を実施するように、当該コンピュータ・システムを制御する。
【００４５】
前述のように、本発明は、埋め込まれたコンピュータ・プログラムを定義するコンピュータ可読コードを有する磁気テープ又は光学式に読み取り可能なディスクのような、コンピュータ・プログラム内に埋め込むことができる。かかるコンピュータ・プログラムがコンピュータにロードされ且つコンピュータによって実行されるとき、本明細書に開示した方法を実装する。この文脈上、コンピュータ・プログラムは、任意の言語における１セットの命令の任意の表現、コード又は表記であって、情報処理能力を有するシステムに特定の機能を直接に、又は（ａ）他の言語、コード又は記法への変換及び／又は（ｂ）異なる資料形式における複製の後に、実行させるものを意味する。
【００４６】
本発明の推奨実施形態に関する前述の説明は、例示を目的として与えられたものであり、網羅的であること及び開示された形態に本発明を限定することを意図するものではない。前述の説明から、多くの修正及び変形が明らかであろう。従って、本発明の範囲は、本明細書に開示した詳細な説明によって制限されるものではないことが意図される。
【００４７】
本発明及びその種々の実施形態は、次の各項に記載するように要約することができる。
【００４８】
１．ネットワーク資源がサービス・ランドスケープ・インスタンス内でプロビジョンされるときに、ネットワーク・セキュリティ・ポリシ・ルールを更新するためのコンピュータ実装方法であって、
（ａ）一のサービス・ランドスケープ・モデルに基づき、一のサービス・ランドスケープ・インスタンス内の複数のネットワーク資源を分類するステップと、
（ｂ）一のネットワーク資源のプロビジョニングに応答して、当該新しくプロビジョンされたネットワーク資源用の１つ以上のセキュリティ・ポリシ・ルールを自動的に生成するステップと、
（ｃ）前記新しくプロビジョンされたネットワーク資源をリモート資源として含むように、前記サービス・ランドスケープ・モデルに基づき、前記新しくプロビジョンされたネットワーク資源と通信するのに適格であると決定された、前記サービス・ランドスケープ・インスタンス内の既存のネットワーク資源の複数のセキュリティ・ポリシ・ルールを更新するステップを有する、方法。
【００４９】
２．前記ステップ（ａ）が、前記サービス・ランドスケープ・インスタンス内で各ネットワーク資源が行う役割及び前記サービス・ランドスケープ・モデルに基づき決定された多層の階層的トポロジ内で各ネットワーク資源が占有する層に従って、各ネットワーク資源を分類するステップを含む、第１項に記載の方法。
【００５０】
３．前記ステップ（ａ）が、前記サービス・ランドスケープ・モデル内に記述された伝送制御プロトコル（ＴＣＰ）ポート番号、ユーザ・データグラム・プロトコル（ＵＤＰ）トランスポート・タイプ仕様、セッション開始プロトコル（ＳＩＰ）トランスポート・タイプ仕様、インターネット・プロトコル（ＩＰ）ＩＤ、対応するＩＰアドレス、第２層のＭＡＣアドレス及び／又は仮想ＬＡＮ ＩＤのうちの少なくとも１つに基づき、前記複数のネットワーク資源を分類するステップを含む、第１項に記載の方法。
【００５１】
４．コンピュータ実行可能コードで実装された前記複数のネットワーク資源の少なくとも一部を、管理可能ドメイン・プロビジョニング・マネージャにアクセス可能に構成された、ネットワーク接続データベース内に安全に維持するステップをさらに有する、第１項に記載の方法。
【００５２】
５．前記ステップ（ｂ）が、前記新しくプロビジョンされたネットワーク資源及び前記サービス・ランドスケープ・インスタンス内の他のネットワーク資源の間の許可された接続性を決定するステップと、前記新しくプロビジョンされたネットワーク資源及び前記サービス・ランドスケープ・インスタンス内の他のネットワーク資源の間の通信用のネットワーク暗号化のレベルを決定するステップのうちの少なくとも１つを行うことを含む、第１項に記載の方法。
【００５３】
６．前記ステップ（ｃ）が、前記サービス・ランドスケープ・インスタンス内のどのネットワーク資源が前記新しくプロビジョンされたネットワーク資源と通信することができるかを識別するステップと、前記サービス・ランドスケープ・モデルによって必要とされる複数のセキュリティ・アクションに従って、前記新しくプロビジョンされたネットワーク資源への接続性を許可する複数のセキュリティ・ポリシ・ルールを更新するステップを含む、第１項に記載の方法。
【００５４】
７．前記一のネットワーク資源の前記プロビジョニングによって影響を受ける各ネットワーク資源のランタイム・ポリシを更新するステップをさらに有し、
各ランタイム・ポリシを更新するステップが、前記１つ以上のセキュリティ・ポリシ・ルール及び更新された複数のセキュリティ・ポリシ・ルールを、管理可能ドメイン・プロビジョニング・マネージャによって、影響を受ける各ネットワーク資源にプッシュするステップを含む、第１項に記載の方法。
【００５５】
８．前記一のネットワーク資源の前記プロビジョニングによって影響を受ける各ネットワーク資源のランタイム・ポリシを、影響を受ける各ネットワーク資源に通知する管理可能ドメイン・プロビジョニング・マネージャによって更新するステップをさらに有し、
新しいポリシを定義するために、前記自動的に生成された１つ以上のセキュリティ・ポリシ・ルール及び更新された複数のセキュリティ・ポリシ・ルールが組み合わされ、
影響を受ける各ネットワーク資源が、前記管理可能ドメイン・プロビジョニング・マネージャから前記新しいポリシを要求する、第１項に記載の方法。
【００５６】
９．新しいポリシを定義するために、前記自動的に生成された１つ以上のセキュリティ・ポリシ・ルール及び更新された複数のセキュリティ・ポリシ・ルールが組み合わされ、
前記サービス・ランドスケープ・インスタンス内の少なくとも１つのネットワーク資源が、所定の時間又は所定の時間間隔の間に、管理可能ドメイン・プロビジョニング・マネージャから前記新しいポリシの最新バージョンを要求するステップをさらに有する、第１項に記載の方法。
【００５７】
１０．ネットワーク資源がサービス・ランドスケープ・インスタンス内でプロビジョンされるときに、ネットワーク・セキュリティ・ポリシ・ルールを更新するためのコンピュータ実装方法であって、
（ａ）新しくプロビジョンされる一のネットワーク資源を既存のネットワーク資源データベースに追加することにより、前記サービス・ランドスケープ・インスタンスへの当該ネットワーク資源のプロビジョニングを行うステップと、
（ｂ）一のグループ名を前記新しくプロビジョンされたネットワーク資源に関連付けるステップを有し、
前記グループ名が、複数のネットワーク資源の一の集合に対応し、当該複数のネットワーク資源の集合が、前記サービス・ランドスケープ・インスタンス内の当該複数のネットワーク資源について必要とされる複数のセキュリティ・アクションを指定する、事前構成された複数のポリシ・ルール内で参照され、
前記グループ名が、前記構成されたポリシ・ルール内の一のネットワーク・アドレスの代わりに指定される、方法。
【００５８】
１１．前記ステップ（ａ）が、
新しいアプリケーションを前記サービス・ランドスケープ・インスタンス内に配備するステップと、
前記新しいアプリケーション及び前記サービス・ランドスケープ・インスタンスの他のネットワーク資源の間の通信用の新しいセキュリティ・ポリシ・ルールを含むように、前記サービス・ランドスケープ・モデルを再構成するステップを含む、第１０項に記載の方法。
【００５９】
１２．前記ステップ（ａ）が、
前記サービス・ランドスケープ・モデルを変更することなく前記新しくプロビジョンされるネットワーク資源を追加するステップを含み、
前記ステップ（ａ）によって影響を受ける各ネットワーク資源において前記複数のポリシ・ルールのローカル・バージョンを再構築するステップをさらに有する、第１０項に記載の方法。
【００６０】
１３．前記再構築するステップが、前記ネットワーク資源データベースを再読み取りし且つ前記新しくプロビジョンされたネットワーク資源を前記複数のポリシ・ルールの前記ローカル・バージョン内に維持された前記資源グループに追加するステップを含む、第１２項に記載の方法。
【００６１】
１４．前記構成されたポリシがランタイム使用に適合する形式に変換されるときに、影響を受ける各ネットワーク資源において前記新しくプロビジョンされたネットワーク資源に対応する新しいランタイム・ルールを作成するステップをさらに有する、第１３項に記載の方法。
【００６２】
１５．前記資源データベースの再読み取り及び前記構成されたポリシのランタイム形式の更新を行うことができるように、前記新しくプロビジョンされたネットワーク資源を保持する前記資源データベースを、管理可能ドメイン・プロビジョニング・マネージャから前記サービス・ランドスケープ・インスタンス内の影響を受ける各ネットワーク資源にプッシュするステップをさらに有する、第１４項に記載の方法。
【００６３】
１６．前記資源データベースが更新されたことを、影響を受ける各ネットワーク資源に通知するステップと、
影響を受ける少なくとも１つのネットワーク資源の前記構成されたポリシのランタイム形式を更新することができるように、当該影響を受ける少なくとも１つのネットワーク資源によって、前記資源データベースの現バージョンを要求するステップをさらに有する、第１４項に記載の方法。
【００６４】
１７．影響を受ける少なくとも１つのネットワーク資源の前記構成されたポリシのランタイム形式を更新することができるように、当該影響を受ける少なくとも１つのネットワーク資源によって、前記資源データベースの現バージョンを要求するステップをさらに有する、第１４項に記載の方法。
【００６５】
１８．ネットワーク資源がサービス・ランドスケープ・インスタンス内でプロビジョンされるときに、ネットワーク・セキュリティ・ポリシ・ルールを更新するためのシステムであって、
（ａ）プロセッサ実行可能コードを実行するための１つ以上のプロセッサと、
（ｂ）前記１つ以上のプロセッサ上で実行するように構成され、一のサービス・ランドスケープ・モデルに基づき、一のサービス・ランドスケープ・インスタンス内の複数のネットワーク資源を分類するための分類モジュールと、
（ｃ）前記１つ以上のプロセッサ上で実行するように構成され、一のネットワーク資源のプロビジョニングに応答して、当該新しくプロビジョンされたネットワーク資源用の１つ以上のセキュリティ・ポリシ・ルールを自動的に生成するためのルール生成モジュールと、
（ｄ）前記１つ以上のプロセッサ上で実行するように構成され、前記新しくプロビジョンされたネットワーク資源をリモート資源として含むように、前記サービス・ランドスケープ・モデルに基づき、前記新しくプロビジョンされたネットワーク資源と通信するのに適格であると決定された、前記サービス・ランドスケープ・インスタンス内の既存のネットワーク資源の複数のセキュリティ・ポリシ・ルールを更新するためのポリシ更新モジュールを備える、システム。
【００６６】
１９．前記サービス・ランドスケープ・インスタンス内の前記複数のネットワーク資源用の複数の分類を提供するように、前記サービス・ランドスケープ・モデルを構成するための構成モジュールをさらに備え、
前記サービス・ランドスケープ・モデルによって規定された階層的トポロジの各層内で許可される複数のネットワーク資源が分類され、
他のネットワーク資源と通信することを許可されるネットワーク資源が識別され、
異なるネットワーク資源間のネットワーク通信用のセキュリティ要件が指定される、第１８項に記載のシステム。
【００６７】
２０．ネットワーク資源がサービス・ランドスケープ・インスタンス内でプロビジョンされるときに、ネットワーク・セキュリティ・ポリシ・ルールを更新するためのシステムであって、
（ａ）プロセッサ実行可能コードを実行するための１つ以上のプロセッサと、
（ｂ）前記１つ以上のプロセッサ上で実行するように構成され、一のネットワーク資源のプロビジョニングに応答して、当該新しくプロビジョンされたネットワーク資源を前記サービス・ランドスケープ・インスタンスの既存のネットワーク資源データベースに追加するための名前関連付けモジュールを備え、
前記名前関連付けモジュールが、一のグループ名を前記新しくプロビジョンされたネットワーク資源に関連付けるようにさらに構成され、
前記グループ名が、複数のネットワーク資源の一の集合に対応し、当該複数のネットワーク資源の集合が、前記サービス・ランドスケープ・インスタンス内の当該複数のネットワーク資源について必要とされる複数のセキュリティ・アクションを指定する、事前構成された複数のポリシ・ルール内で参照され、
前記グループ名が、前記構成されたポリシ・ルール内の一のネットワーク・アドレスの代わりに指定される、システム。
【符号の説明】
【００６８】
１０２・・・ネットワーク・セキュリティ・ポリシ・ルールを更新するためのシステム
１０４・・・サービス・ランドスケープ・インスタンス
１０６ａ〜１０６ｃ・・・コンピューティング装置
１０８・・・データベース
１１０・・・データ通信ネットワーク
１１２・・・他のコンピューティング装置
２０４・・・１つ以上のプロセッサ
２０５・・・主メモリ要素
２０６・・・分類モジュール
２０８・・・ルール生成モジュール
２１０・・・ポリシ更新モジュール
３００・・・ネットワーク・セキュリティ・ポリシ・ルールを更新するためのシステム
３０２・・・１つ以上のプロセッサ
３０４・・・メモリ要素
３０６・・・名前関連付けモジュール
３０８・・・資源データベース
３１０・・・ネットワーク・インタフェース
【技術分野】
【０００１】
本発明は、データ通信ネットワーク環境内のサービスのプロビジョニング（provisioning）に係り、さらに詳細に説明すれば、新しいネットワーク資源が一のサービス・ランドスケープ・インスタンス（service landscape instance）内でプロビジョンされるときに、ネットワーク・セキュリティ・ポリシ・ルールを動的に更新するための技術に係る。
【背景技術】
【０００２】
情報技術（ＩＴ）の発達による１つの成果は、ソフトウェア開発及び配備（deployment）用のオンデマンドの、利用時払い（pay-as-you-go）ユーティリティ・モデルの出現である。このモデルによれば、アプリケーション及び他のＩＴ資源が、データ通信ネットワーク（特に、インターネット）を通して、サービス・プロバイダによって顧客に提供される。特定のモデルは、アプリケーションがインターネット経由で顧客に提供されるサービスとしてホストされる、ソフトウェア配備のＳａａＳ（Software-as-a-Service）モデルである。このモデルの主要な利点は、アプリケーションを顧客自身のコンピュータにインストールし且つ稼働させる必要性を取り除くこと、そしてソフトウェア保守に関する顧客の困難を緩和することにある。また、ＳａａＳは、それほど高価でない、オンデマンドの価格設定を通して、ソフトウェア購入に伴う顧客の先行投資のコストを減少させることができる。ベンダにとって、ＳａａＳは、ベンダの知的財産を保護するための機構となり得るだけでなく、継続的な収益源とすることができる。ＳａａＳベンダは、それ自身のウェブ・サーバ上にアプリケーションをホストするか、又はアプリケーションを第３者のアプリケーション・サービス・プロバイダ（ＡＳＰ）を通して提供することができる。
【０００３】
かかるユーティリティ・モデルの下では、データがネットワーク上で交換されるという理由で、セキュリティが重要な検討事項となる。このため、ネットワーク資源は、一般に、ネットワーク資源間のトラフィック用のアクションを制御するためのセキュリティ・ポリシ・ルールを維持しなければならない。一般に、これらのルールは、ローカルのインターネット・プロトコル（ＩＰ）アドレス及びポート、並びにリモートのＩＰアドレス及びポートを含む、複数の条件を確立する。かかるセキュリティ・ポリシ・ルールの例は、データ・ストリーム内の各ＩＰパケットの認証及び／又は暗号化によりＩＰ通信を安全にするプロトコルの「IPsec (IP security）」スイート、及び「IBM z／OS Application Transparent Transport Layer Security (AT-TLS）」による、ＩＰパケット・フィルタリングのために使用されるものである。「IBM」及び「z／OS」は、アメリカ合衆国、他の諸国又は両方におけるインターナショナル・ビジネス・マシーンズ・コーポレーションの商標である。
【０００４】
新しいネットワーク資源がプロビジョンされ且つ一のサービス・ランドスケープ・インスタンスに追加されるときには、当該新しくプロビジョンされたネットワーク資源及びリモートに位置する適格（eligible）なネットワーク資源の間の通信を許可するように、当該新しくプロビジョンされたネットワーク資源内のポリシ・ルールを作成しなければならない。さらに、一のネットワーク資源がプロビジョンされる場合、当該新しくプロビジョンされたネットワーク資源及び既存のネットワーク資源の間の通信を許可するように、当該サービス・ランドスケープ・インスタンス内の他の資源を更新しなければならない。しかし、システム・ファイアウォールの構成及び侵入防御のような、ＩＴインフラストラクチャ用のセキュリティを使用可能にすることは、相当な手動構成作業を必要とするばかりか、プラットフォーム特有の専門知識を必要とするのが普通である。もし、かかるプロセスが手動的に行われるのであれば、時間を浪費し、エラーを生じやすく、潜在的には破壊的となることがある。しかし、サービス・ランドスケープ・インスタンスを形成するネットワーク化されたシステムを保護するためにセキュリティを使用可能にすることは、新しいオンデマンド・サービスの容認及び配備における重要な鍵である可能性が高い。
【発明の概要】
【発明が解決しようとする課題】
【０００５】
前述の背景技術に照らして、新しいネットワーク資源がサービス・ランドスケープ・インスタンス内でプロビジョンされるときに、ネットワーク・セキュリティ・ポリシ・ルールを動的に更新するための有効で且つ効率的な機構を提供することが望ましい。
【課題を解決するための手段】
【０００６】
本発明の１つの実施形態は、ネットワーク資源がサービス・ランドスケープ・インスタンス内でプロビジョンされるときに、ネットワーク・セキュリティ・ポリシ・ルールを更新するためのコンピュータ実装方法に向けられている。本方法は、
（ａ）一のサービス・ランドスケープ・モデルに基づき、一のサービス・ランドスケープ・インスタンス内の複数のネットワーク資源を分類するステップと、
（ｂ）一のネットワーク資源のプロビジョニングに応答して、当該新しくプロビジョンされたネットワーク資源用の１つ以上のセキュリティ・ポリシ・ルールを自動的に生成するステップと、
（ｃ）前記新しくプロビジョンされたネットワーク資源をリモート資源として含むように、前記サービス・ランドスケープ・モデルに基づき、前記新しくプロビジョンされたネットワーク資源と通信するのに適格であると決定された、前記サービス・ランドスケープ・インスタンス内の既存のネットワーク資源の複数のセキュリティ・ポリシ・ルールを更新するステップを有する。
【０００７】
本発明の他の実施形態は、 ネットワーク資源がサービス・ランドスケープ・インスタンス内でプロビジョンされるときに、ネットワーク・セキュリティ・ポリシ・ルールを更新するためのコンピュータ実装方法に向けられている。本方法は、
（ａ）新しくプロビジョンされる一のネットワーク資源を既存のネットワーク資源データベースに追加することにより、前記サービス・ランドスケープ・インスタンスへの当該ネットワーク資源のプロビジョニングを行うステップと、
（ｂ）一のグループ名を前記新しくプロビジョンされたネットワーク資源に関連付けるステップを有し、
前記グループ名が、複数のネットワーク資源の一の集合に対応し、当該複数のネットワーク資源の集合が、前記サービス・ランドスケープ・インスタンス内の当該複数のネットワーク資源について必要とされる複数のセキュリティ・アクションを指定する、事前構成された複数のポリシ・ルール内で参照され、
前記グループ名が、前記構成されたポリシ・ルール内の一のネットワーク・アドレスの代わりに指定される。
【０００８】
本発明の他の実施形態は、ネットワーク資源がサービス・ランドスケープ・インスタンス内でプロビジョンされるときに、ネットワーク・セキュリティ・ポリシ・ルールを更新するためのシステムに向けられている。本システムは、
（ａ）プロセッサ実行可能コードを実行するための１つ以上のプロセッサと、
（ｂ）前記１つ以上のプロセッサ上で実行するように構成され、一のサービス・ランドスケープ・モデルに基づき、一のサービス・ランドスケープ・インスタンス内の複数のネットワーク資源を分類するための分類モジュールと、
（ｃ）前記１つ以上のプロセッサ上で実行するように構成され、一のネットワーク資源のプロビジョニングに応答して、当該新しくプロビジョンされたネットワーク資源用の１つ以上のセキュリティ・ポリシ・ルールを自動的に生成するためのルール生成モジュールと、
（ｄ）前記１つ以上のプロセッサ上で実行するように構成され、前記新しくプロビジョンされたネットワーク資源をリモート資源として含むように、前記サービス・ランドスケープ・モデルに基づき、前記新しくプロビジョンされたネットワーク資源と通信するのに適格であると決定された、前記サービス・ランドスケープ・インスタンス内の既存のネットワーク資源の複数のセキュリティ・ポリシ・ルールを更新するためのポリシ更新モジュールを備える。
【０００９】
本発明の他の実施形態は、ネットワーク資源がサービス・ランドスケープ・インスタンス内でプロビジョンされるときに、ネットワーク・セキュリティ・ポリシ・ルールを更新するためのシステムに向けられている。本システムは、
（ａ）プロセッサ実行可能コードを実行するための１つ以上のプロセッサと、
（ｂ）前記１つ以上のプロセッサ上で実行するように構成され、一のネットワーク資源のプロビジョニングに応答して、当該新しくプロビジョンされたネットワーク資源を前記サービス・ランドスケープ・インスタンスの既存のネットワーク資源データベースに追加するための名前関連付けモジュールを備え、
前記名前関連付けモジュールが、一のグループ名を前記新しくプロビジョンされたネットワーク資源に関連付けるようにさらに構成され、
前記グループ名が、複数のネットワーク資源の一の集合に対応し、当該複数のネットワーク資源の集合が、前記サービス・ランドスケープ・インスタンス内の当該複数のネットワーク資源について必要とされる複数のセキュリティ・アクションを指定する、事前構成された複数のポリシ・ルール内で参照され、
前記グループ名が、前記構成されたポリシ・ルール内の一のネットワーク・アドレスの代わりに指定される。
【発明の効果】
【００１０】
本発明は、新しいネットワーク資源がサービス・ランドスケープ・インスタンス内でプロビジョンされるときに、ネットワーク・セキュリティ・ポリシ・ルールを動的に更新するための有効で且つ効率的な機構を提供することができるという効果を奏する。
【図面の簡単な説明】
【００１１】
【図１】本発明の１つの実施形態に従った、ネットワーク・セキュリティ・ポリシ・ルールを更新するためのシステムを有利に使用することができるネットワーク環境を示す概略図である。
【図２】本発明の１つの実施形態に従った、ネットワーク・セキュリティ・ポリシ・ルールを更新するためのシステムを示す概略図である。
【図３】本発明の他の実施形態に従った、ネットワーク・セキュリティ・ポリシ・ルールを更新するためのシステムを示す概略図である。
【図４】本発明の他の実施形態に従った、ネットワーク・セキュリティ・ポリシ・ルールを更新するための方法のステップを例示するフローチャートである。
【図５】本発明の他の実施形態に従った、ネットワーク・セキュリティ・ポリシ・ルールを更新するための方法のステップを例示するフローチャートである。
【発明を実施するための形態】
【００１２】
本発明は、新しいネットワーク資源がサービス・ランドスケープ・インスタンス内でプロビジョンされるときに、ネットワーク・セキュリティ・ポリシ・ルールを更新するための方法及びシステムに向けられている。本明細書では、本発明の種々の実施形態を説明するために、次のように定義される用語を使用する。
【００１３】
「ＳａａＳ（Software-as-a-Service）」。ＳａａＳは、ソフトウェア・アプリケーションがサービス・プロバイダによってホストされ、サービス加入者が私設コンピュータ通信ネットワーク又はインターネットのような公衆コンピュータ通信ネットワーク経由でそのサービスアクセスすることができる、ソフトウェア配布サービス・モデルを意味する。
【００１４】
「ＰａａＳ（Platform-as-a-Service）」。一般に、ＰａａＳは、ソフトウェアを開発するためにコンピュータ・プログラマによって使用可能な包括的設備を提供する統合開発環境（ＩＤＥ）ソフトウェア・アプリケーションのような、開発／テスト・プラットフォームを提供するソフトウェアのホスティングに焦点が置かれた、ＳａａＳの任意の領域又は部分を意味する。
【００１５】
「サービス・ランドスケープ」。サービス・ランドスケープは、サービスを配信するためのＳａａＳアーキテクチャ・モデルである。その１例は、多層（multi-tier）のウェブ・サービス（例えば、ウェブ・サーバ、アプリケーション・サーバ及びデータベース・サーバから成る３層アーキテクチャ）配信モデルである。従って、サービス・ランドスケープは、サービス（又はアプリケーション若しくはソリューション）を記述するためのモデルである。例えば、サービスは、３層サービスを形成する１セットのノードを含むことがある。幾つかのノードは、ｈｔｔｐサーバとして機能し、他の幾つかのノードは、アプリケーション・サーバとして、さらに他の幾つかのノードは、データベース・サーバとして機能する。また、サービス・ランドスケープは、各ノード用の資源要件（例えば、ＣＰＵ、メモリ、ディスク）を記述することができる。
【００１６】
「サービス・ランドスケープ・インスタンス」。サービス・ランドスケープ・インスタンスは、サービス・ランドスケープの実現又はインスタンス化であり、そこで種々のＩＴ資源（例えば、サーバ、ネットワーク及びストレージ）がサービス加入のサービス・レベル・アグリーメント（ＳＬＡ）に従ってプロビジョンされ且つ管理されるようになっている。
【００１７】
図１は、本発明の１つの実施形態に従った、ネットワーク・セキュリティ・ポリシ・ルールを更新するためのシステム１０２を有利に使用することができる、ネットワーク環境１００を例示する。ネットワーク環境１００は、サービス・ランドスケープ・インスタンス１０４を含み、その内部にはシステム１０２が配備される。前述の定義と整合するように、サービス・ランドスケープ・インスタンス１０４は、３つのコンピューティング装置１０６ａ〜１０６ｃと、１つのコンピューティング装置１０６ｂに通信可能にリンクされた少なくとも１つのデータベース１０８を含む。コンピューティング装置１０６ａ〜１０６ｃは、インターネットのようなデータ通信ネットワーク１１０を通して、互いに通信可能にリンクされる。図示のように、コンピューティング装置１０６ａ〜１０６ｃのうちの１つに常駐するか又はコンピューティング装置１０６ａ〜１０６ｃ間に分散された、ＳａａＳ又はＰａａＳアプリケーションのようなネットワーク資源にアクセスするために、１つ以上の他のコンピューティング装置１１２を、データ通信ネットワーク１１０を通して、１つ以上のコンピューティング装置１０６ａ〜１０６ｃに通信可能にリンクすることができる。
【００１８】
サービス・ランドスケープ・インスタンス１０４は、３つのコンピューティング装置１０６ａ〜１０６ｃを含むように図示されているが、本明細書に開示した内容から明らかなように、サービス・ランドスケープ・インスタンス１０４内には、より多くの又はより少ない数のコンピューティング装置を含めることができる。さらに、明示されていないが、サービス・ランドスケープ・インスタンス１０４は、種々のアプリケーション（例えば、ＳａａＳ及び／又はＰａａＳ）又は１つ以上のコンピューティング装置１０６ａ〜１０６ｃ上に常駐する他のネットワーク資源を含むことができる。
【００１９】
好ましくは、コンピューティング装置１０６ａ〜１０６ｃは、データ通信ネットワーク１１０を通してリモートの装置又はシステムによってアクセスすることができる、アプリケーション及び他のネットワーク資源をホストするためのサーバである。しかし、代替実施形態では、１つ以上のコンピューティング装置１０６ａ〜１０６ｃは、他のタイプの汎用又はアプリケーション特有のコンピューティング装置とすることができる。また、ネットワーク環境１００の種々の要素間の通信リンクは、データ通信ネットワーク１１０を横断する有線接続として図示されているが、かかる通信リンクは、明示されていない種々の中間ノードを含むことができる。代替的に、かかる通信リンクは、無線通信リンクとすることができる。
【００２０】
図２を参照して、システム１０２をより詳しく説明する。システム１０２は、１つ以上のプロセッサ２０４を含む。明示されていないが、１つ以上のプロセッサ２０４の各々は、複数のレジスタ、算術論理演算装置及び制御装置を含むことができる。従って、システム１０２は、単一スレッド、単一プロセッサ環境内で、単一スレッド、マルチプロセッサ環境内で、又はマルチスレッド、マルチプロセッサ環境内で、プロセッサ実行可能な命令を処理するように構成することができる。さらに、１つ以上のプロセッサ２０４は、単一のコンピューティング装置又は異なるコンピューティング装置上に存在することができる。システム１０２が分散コンピューティング・アーキテクチャに従ってマルチ・コンピューティング装置の形態で実装される場合、これらの装置は、共通のサイトにおいて共同設置することができる。代替的に、これらのコンピューティング装置を、互いにリモートの位置に設置し、データ通信ネットワーク１１０を通して通信するように構成することができる。オプションとして、システム１０２は、プロセッサ実行可能な命令及びデータ表現を電子的に格納するための１つ以上の主メモリ要素２０５を含むことができる。
【００２１】
また、システム１０２は、分類モジュール２０６、ルール生成モジュール２０８及びポリシ更新モジュール２１０を含む。好ましくは、分類モジュール２０６、ルール生成モジュール２０８及びポリシ更新モジュール２１０は、本明細書に開示した手順及び機能を実施するための論理ベースの処理回路及びプロセッサ実行可能コードの組み合わせの形態で実装される。従って、分類モジュール２０６、ルール生成モジュール２０８及びポリシ更新モジュール２１０の各々は、１つ以上のプロセッサ２０４上で実行するように構成することができる。代替的に、分類モジュール２０６、ルール生成モジュール２０８及びポリシ更新モジュール２１０の１つ以上は、同じ手順及び機能を実施するために１つ以上のプロセッサ２０４の直接的な制御の下ではなく、互いに協調的に動作するように構成された専用の布線式回路の形態で実装することができる。
【００２２】
動作について説明する。分類モジュール２０６は、特定のサービス・ランドスケープ・モデルに基づき、サービス・ランドスケープ・インスタンス１０４内の複数のネットワーク資源を分類する。特定の実施形態では、分類モジュール２０６は、サービス・ランドスケープ・インスタンス１０４内で各ネットワーク資源が行う役割及び前記サービス・ランドスケープ・モデルに基づき決定された多層の階層的トポロジ内で各ネットワーク資源が占有する層に従って、これらのネットワーク資源を分類する。従って、サービス・ランドスケープ・インスタンス１０４の複数のネットワーク資源が、例えば、一のアプリケーション・サーバ、一のファイル転送プロトコル（ＦＴＰ）サーバ及び一のデータベース・サーバを含んでいれば、各サーバは、サービス・ランドスケープ・インスタンス１０４内で一意的な機能を行うための明確な役割を有する。従って、分類モジュール２０６は、それぞれのサーバの特定の役割又は機能に従って、当該アプリケーション・サーバ、ＦＴＰサーバ及びデータベース・サーバを分類する。
【００２３】
この実施形態では、サービス・ランドスケープ・モデルを使用して多層の階層的トポロジを構築することができるという理由で、分類モジュール２０６は、当該多層の階層的トポロジ内で各ネットワーク資源が占有する特定の層に従って、サービス・ランドスケープ・インスタンス１０４の複数のネットワーク資源をさらに分類する。１つの層は、例えば、いわゆる非武装地帯（ＤＭＺ）、物理又は論理サブネットワークに対応することがある。かかる非武装地帯（ＤＭＺ）、物理又は論理サブネットワークは、サービス・ランドスケープ・インスタンス１０４の外部サービスを保持し且つこれらの外部サービスを、インターネットのようにより大きく且つ信頼できないネットワークに露出する。他の層は、アプリケーション・サーバ層及び企業情報システム（ＥＩＳ）層を含むことがある。別個のネットワーク資源が対応する特定の層に拘わらず、分類モジュール２０６は、サービス・ランドスケープ・モデルの仕様に従って、そのネットワーク資源を分類する。他の実施形態では、分類モジュール２０６は、特定のネットワーク資源に対応するＩＰアドレス及びポートに基づき、サービス・ランドスケープ・インスタンス１０４の各ネットワーク資源を分類することができる。
【００２４】
より一般的に説明すると、システム１０２の電子メモリ内に保持することができるサービス・ランドスケープ・モデルは、前記階層的トポロジの各層内に存在することが許可される、サービス・ランドスケープ・インスタンス１０４の種々の資源の異なるカテゴリを規定し且つ記述する。また、サービス・ランドスケープ・モデルは、サービス・ランドスケープ・インスタンス１０４内のどのネットワーク資源が他の資源と通信することを許可されるかを記述するとともに、接続性（connectivity）用の複数のセキュリティ要件をも記述することができる。従って、分類モジュール２０６は、サービス・ランドスケープ・モデルによって規定されるような、これらのカテゴリ及び属性の任意の組み合わせに基づき、サービス・ランドスケープ・インスタンス１０４を構成する各ネットワーク資源を分類する。
【００２５】
ルール生成モジュール２０８は、新しいネットワーク資源のプロビジョニングに応答して動作する。ルール生成モジュール２０８は、新しいネットワーク資源のプロビジョニングに応答して、当該新しくプロビジョンされたネットワーク資源用の１つ以上のセキュリティ・ポリシ・ルールを自動的に生成する。当該新しくプロビジョンされたネットワーク資源のセキュリティ・ポリシ・ルールは、サービス・ランドスケープ・モデルによって決定されるように、当該新しくプロビジョンされたネットワーク資源が通信することを許可された、他の既存のネットワーク資源のＩＰアドレス及びポートに関して必要とされる複数のセキュリティ・アクションを指定するルールを含むことができる。
【００２６】
例えば、一のデータベース・サーバのプロビジョニングを行う際に、サービス・ランドスケープ・モデルは、当該データベース・サーバがサービス・ランドスケープ・インスタンス１０４内の全てのアプリケーション・サーバと通信することを許可することができる。しかし、ＤＭＺ層のウェブ・サーバのような、１つ以上の他のネットワーク資源への任意の接続性は、これを禁止することができる。さらに、サービス・ランドスケープ・モデルは、当該新しくプロビジョンされたデータベース・サーバ及び一のアプリケーション・サーバの間の通信用の特定レベルのネットワーク暗号化を必要としてもよいし、必要としなくてもよい。ルール生成モジュール２０８は、サービス・ランドスケープ・モデルによって規定された種々の要件を使用して、当該新しくプロビジョンされたネットワーク資源用の適切な１セットのセキュリティ・ポリシ・ルールを自動的に生成する。
【００２７】
動作について説明する。ポリシ更新モジュール２１０は、新しいネットワーク資源がサービス・ランドスケープ・インスタンス１０４内でプロビジョンされるときに、既存のネットワーク資源のうちの少なくとも幾つかのセキュリティ・ポリシ・ルールを更新する。具体的には、ポリシ更新モジュール２１０は、当該新しくプロビジョンされたネットワーク資源と通信するのに適格な既存のネットワーク資源を決定するように構成することができる。次に、ポリシ更新モジュール２１０は、ランドスケープ・サービス・モデルに基づき、当該新しくプロビジョンされたネットワーク資源をリモート資源として含むように、これらの識別されたネットワーク資源用の複数のセキュリティ・ポリシ・ルールを更新する。
【００２８】
例えば、一のデータベース・サーバのプロビジョニングの後、サービス・ランドスケープ・モデルは、全てのアプリケーション・サーバが当該データベース・サーバと通信することができるが、強いネットワーク暗号化が必要とされることを規定することができる。従って、ポリシ更新モジュール２１０は、当該新しくプロビジョンされたデータベース・サーバに接続することを許可されたサービス・ランドスケープ・インスタンス１０４内の既存の各ネットワーク資源を識別し、当該各ネットワーク資源のセキュリティ・ポリシ・ルールを更新する。この例では、これらのルールは、サービス・ランドスケープ・モデルの下で当該新しくプロビジョンされたデータベース・サーバと通信するために必要とされる複数のセキュリティ・アクションを指定する。
【００２９】
異なる実施形態では、システム１０２は、管理可能ドメイン・プロビジョニング・マネージャを備えることができる。管理可能ドメイン・プロビジョニング・マネージャを備える場合、新しいネットワーク資源のプロビジョニングによって影響を受けるサービス・ランドスケープ・インスタンス１０４内の既存の各ネットワーク資源のランタイム・ポリシを更新するために、異なる手順を実装することができる。１つの実施形態では、システム１０２の管理可能ドメイン・プロビジョニング・マネージャは、新しい又は更新されたセキュリティ・ポリシ・ルールを、サービス・ランドスケープ・インスタンス１０４内の影響を受ける各ネットワーク資源にプッシュすることができる。代替実施形態では、システム１０２の管理可能ドメイン・プロビジョニング・マネージャは、これに代えて、サービス・ランドスケープ・インスタンス１０４内の影響を受ける各ネットワーク資源に通知することができ、その結果、影響を受ける各ネットワーク資源は、管理可能ドメイン・プロビジョニング・マネージャから新しい又は更新されたセキュリティ・ポリシ・ルールを要求することができる。他の実施形態では、サービス・ランドスケープ・インスタンス１０４内の各ネットワーク資源は、管理可能ドメイン・プロビジョニング・マネージャからセキュリティ・ポリシ・ルールの最新のコピーを要求することができる。これらの要求は、特定の時刻又は時間間隔のような、定期的にスケジュールされた時間に伝えることができる。代替的に、これらの要求は、ランダムに選択された時刻又は時間間隔に伝えることができる。
【００３０】
図３は、代替実施形態に従った、ネットワーク・セキュリティ・ポリシ・ルールを更新するためのシステム３００の概略図である。システム３００は、前述したタイプのネットワーク環境内で動作することができる。システム３００は、プロセッサ実行可能コードを実行するための１つ以上のプロセッサ３０２を含む。前述のように、１つ以上のプロセッサ３０２は、同じコンピューティング装置上に又は通信可能にリンクされた異なるコンピューティング装置内に存在することができる。オプションとして、システム３００は、プロセッサ実行可能な命令及びデータ表現を電子的に格納するための１つ以上のメモリ要素３０４を含む。
【００３１】
システム３００は、１つ以上のプロセッサ３０２上で実行するように構成され、ネットワーク資源のプロビジョニングに応答するための名前関連付けモジュール３０６をさらに含む。名前関連付けモジュール３０６は、一のネットワーク資源のプロビジョニングに応答して、当該新しくプロビジョンされたネットワーク資源をサービス・ランドスケープ・インスタンス１０４の既存の資源データベース３０８に追加する。名前関連付けモジュール３０６は、一のグループ名を、当該新しくプロビジョンされたネットワーク資源と関連付けるようにさらに構成される。このグループ名は、複数のネットワーク資源の一の集合に対応し、当該複数のネットワーク資源の集合は、サービス・ランドスケープ・インスタンス１０４の当該複数のネットワーク資源について必要とされる複数のセキュリティ・アクションを指定する、事前構成された複数のポリシ・ルール内で参照される。ネットワーク資源の集合に対応する。このグループ名は、当該構成されたポリシ・ルール内の一のネットワーク・アドレスの代わりに指定することができる。
【００３２】
もし、（新しいアプリケーションがサービス・ランドスケープ・インスタンス１０４内で配備される場合に生じるように）サービス・ランドスケープ・モデルが変われば、サービス・ランドスケープ・インスタンス１０４のネットワーク資源間の通信を許可するために新しいセキュリティ・ポリシ・ルールが必要とされる。しかし、たとえ新しいネットワーク資源が資源データベース３０８に追加されたとしても、サービス・ランドスケープ・モデルが不変であれば、管理可能ドメイン・プロビジョニング・マネージャから影響を受ける資源への、結果的なポリシの完全な再ロードを回避することが可能である。従って、この実施形態は、サービス・ランドスケープ・インスタンス１０４内の個々のネットワーク資源が、資源データベース３０８を再読み取りし且つ当該新しくプロビジョンされた資源を前記ポリシ内で識別された一の資源グループに追加することにより、サービス・ランドスケープ・インスタンス１０４内の個々のネットワーク資源が前記ポリシのそれらのローカル・バージョンを再構築することを可能にする。この資源グループは、再びサービス・ランドスケープ・モデルに基づき、プレースホルダが幾つかのネットワーク資源用のポリシ内で指定されることを可能にする。その後、このローカル資源は、構成されたポリシをローカル・システム上のランタイム使用に適合する形式に変換する。ローカル・システムは、この資源グループに追加された、新しくプロビジョンされた資源用の新しいランタイム・ルールを作成することができる
【００３３】
システム３００は、管理可能ドメイン・プロビジョニング・マネージャを備えることができる。ポリシの必要な再ロードなしに新しいセキュリティ・ポリシ・ルールが作成される場合、異なる手順は、一のネットワーク資源のランタイム・ポリシの更新をもたらすことができる。１つの実施形態では、管理可能ドメイン・プロビジョニング・マネージャは、新しい資源データベース３０８をサービス・ランドスケープ・インスタンス１０４内の複数のネットワーク資源にプッシュすることができる。その結果、各ネットワーク資源は、資源データベース３０８を再読み取りし且つ当該ネットワーク資源のポリシのランタイム形式を更新することができる。従って、オプションとして、システム３００は、新しい資源データベース３０８を、ネットワーク・リンクを介して、サービス・ランドスケープ・インスタンス１０４内の他のネットワーク資源にプッシュするためのネットワーク・インタフェース３１０を含むことができる。
【００３４】
代替的に、管理可能ドメイン・プロビジョニング・マネージャは、影響を受ける各ネットワーク資源に対し、資源データベース３０８が更新されたことを通知することができ、その結果、影響を受ける各ネットワーク資源は、ポリシのそのランタイム形式を更新するために、管理可能ドメイン・プロビジョニング・マネージャから最新の資源データベース３０８を要求することができる。他の実施形態では、サービス・ランドスケープ・インスタンス１０４内の複数のネットワーク資源は、管理可能ドメイン・プロビジョニング・マネージャから最新の資源データベース３０８を要求することができる。再び、かかる要求は、特定の時刻又は時間間隔のような、定期的にスケジュールされた時間に伝えることができる。代替的に、これらの要求は、ランダムに選択された時刻又は時間間隔に伝えることができる。
【００３５】
図４には、本発明の方法の特定の側面が示されている。図４は、本発明の他の実施形態に従った、ネットワーク・セキュリティ・ポリシ・ルールを更新するための方法４００の複数のステップを例示するフローチャートである。ステップ４０２で開始した後、ステップ４０４では、一のサービス・ランドスケープ・モデルに基づき、サービス・ランドスケープ・インスタンス１０４内の複数のネットワーク資源を分類する。ステップ４０６では、一のネットワーク資源のプロビジョニングに応答して、当該新しくプロビジョンされたネットワーク資源用の１つ以上のセキュリティ・ポリシ・ルールを自動的に生成する。さらに、ステップ４０８では、当該新しくプロビジョンされたネットワーク資源をリモート資源として含むように、サービス・ランドスケープ・モデルに基づき、当該新しくプロビジョンされたネットワーク資源と通信するのに適格であると決定された、サービス・ランドスケープ・インスタンス１０４内の既存のネットワーク資源の複数のセキュリティ・ポリシ・ルールを更新する。方法４００は、ステップ４１０で終了する。
【００３６】
１つの実施形態では、複数のネットワーク資源を分類するためのステップ４０４は、サービス・ランドスケープ・インスタンス１０４内で各ネットワーク資源が行う役割及びサービス・ランドスケープ・モデルに基づき決定された多層の階層的トポロジ内で各ネットワーク資源が占有する層に従って、各ネットワーク資源を分類することを含む。他の実施形態では、複数のネットワーク資源を分類するためのステップ４０４は、サービス・ランドスケープ・モデル内に記述された伝送制御プロトコル（ＴＣＰ）ポート番号、ユーザ・データグラム・プロトコル（ＵＤＰ）トランスポート・タイプ仕様、セッション開始プロトコル（ＳＩＰ）トランスポート・タイプ仕様、インターネット・プロトコル（ＩＰ）ＩＤ、対応するＩＰアドレス、第２層のＭＡＣアドレス及び／又は仮想ＬＡＮ ＩＤのうちの少なくとも１つに基づき、各ネットワーク資源を分類することを含む。
【００３７】
方法４００は、コンピュータ実行可能コードで実装されたネットワーク資源の少なくとも一部を、管理可能ドメイン・プロビジョニング・マネージャにアクセス可能に構成された、ネットワーク接続データベース内に安全に維持するステップをさらに有することができる。
【００３８】
他の実施形態では、１つ以上のセキュリティ・ポリシ・ルールを自動的に生成するためのステップ４０６は、当該新しくプロビジョンされたネットワーク資源及びサービス・ランドスケープ・インスタンス１０４内の他のネットワーク資源の間の許可された接続性を決定するステップと、当該新しくプロビジョンされたネットワーク資源及びサービス・ランドスケープ・インスタンス１０４内の他のネットワーク資源の間の通信用のネットワーク暗号化のレベルを決定するステップのうちの少なくとも１つを行うことを含む。
【００３９】
他の実施形態では、セキュリティ・ポリシ・ルールを更新するためのステップ４０８は、サービス・ランドスケープ・インスタンス１０４内のどのネットワーク資源が当該新しくプロビジョンされたネットワーク資源と通信することができるかを識別するステップと、サービス・ランドスケープ・モデルによって必要とされる複数のセキュリティ・アクションに従って、当該新しくプロビジョンされたネットワーク資源への接続性を許可する複数のセキュリティ・ポリシ・ルールを更新するステップを含むことができる。
【００４０】
他の実施形態では、方法４００は、ネットワーク資源のプロビジョニングによって影響を受ける各ネットワーク資源のランタイム・ポリシを更新するステップをさらに有することができる。この場合、各ランタイム・ポリシを更新するステップは、１つ以上のセキュリティ・ポリシ・ルール及び更新されたセキュリティ・ポリシ・ルールを、管理可能ドメイン・プロビジョニング・マネージャから影響を受ける各ネットワーク資源にプッシュすることを含む。代替的に、方法４００は、ネットワーク資源のプロビジョニングによって影響を受ける各ネットワーク資源のランタイム・ポリシを、影響を受ける各ネットワーク資源に通知する管理可能ドメイン・プロビジョニング・マネージャによって更新するステップをさらに有することができる。この場合、新しいポリシを定義するために、自動的に生成された１つ以上のセキュリティ・ポリシ・ルール及び更新された複数のポリシ・ルールが組み合わされ、影響を受ける各ネットワーク資源が、管理可能ドメイン・プロビジョニング・マネージャから当該新しいポリシを要求することができる。他の実施形態では、新しいポリシを定義するために、自動的に生成された１つ以上のセキュリティ・ポリシ・ルール及び更新された複数のポリシ・ルールが組み合わされ、そしてランタイム・ポリシを更新するステップは、サービス・ランドスケープ・インスタンス１０４内の少なくとも１つのネットワーク資源が、所定の時間又は所定の時間間隔中に、管理可能ドメイン・プロビジョニング・マネージャから新しいポリシの最新バージョンを要求することを含むことができる。
【００４１】
図５は、本発明の他の実施形態に従った、ネットワーク・セキュリティ・ポリシ・ルールを更新するための方法５００の複数のステップを例示するフローチャートである。ステップ５０２で開始した後、ステップ５０４では、サービス・ランドスケープ・インスタンス１０４への一のネットワーク資源のプロビジョニングが行われる。このステップ５０４では、当該新しくプロビジョンされたネットワーク資源を既存のネットワーク資源データベース３０８に追加することにより、当該ネットワーク資源がプロビジョンされる。ステップ５０６では、一のグループ名を、当該新しくプロビジョンされたネットワーク資源に関連付ける。このグループ名は、複数のネットワーク資源の一の集合に対応し、当該複数のネットワーク資源の集合は、サービス・ランドスケープ・インスタンス１０４内の当該複数のネットワーク資源について必要とされる複数のセキュリティ・アクションを指定する、事前構成された複数のポリシ・ルール内で参照される。この実施形態では、このグループ名は、構成されたポリシ・ルール内の一のネットワーク・アドレスの代わりに指定される。方法５００は、ステップ５０８で終了する。
【００４２】
特定の実施形態では、プロビジョニング・ステップ５０４は、新しいアプリケーションをサービス・ランドスケープ・インスタンス１０４内に配備するステップと、当該新しいアプリケーション及びサービス・ランドスケープ・インスタンス１０４の他のネットワーク資源の間の通信用の新しいセキュリティ・ポリシ・ルールを含むように、サービス・ランドスケープ・モデルを再構成するステップを含む。
【００４３】
代替実施形態では、プロビジョニング・ステップ５０４は、サービス・ランドスケープ・モデルを変更することなく当該新しくプロビジョンされたネットワーク資源を追加するステップと、プロビジョニング・ステップ５０４によって影響を受ける各ネットワーク資源において前記複数のポリシ・ルールのローカル・バージョンを再構築するステップを含む。この再構築するステップは、ネットワーク資源データベース３０８を再読み取りし且つ当該新しくプロビジョンされたネットワーク資源を前記複数のポリシ・ルールのローカル・バージョン内に維持された資源グループに追加するステップを含むことができる。この実施形態では、方法５００は、構成されたポリシがランタイム使用に適合する形式に変換されるときに、影響を受ける各ネットワーク資源において当該新しくプロビジョンされたネットワーク資源に対応する新しいランタイム・ルールを作成するステップをさらに有することができる。新しいランタイム・ルールを作成するステップは、資源データベース３０８の再読み取り及び構成されたポリシのランタイム形式の更新を行うことができるように、当該新しくプロビジョンされたネットワーク資源を保持する資源データベース３０８を、管理可能ドメイン・プロビジョニング・マネージャからサービス・ランドスケープ・インスタンス１０４内の影響を受ける各ネットワーク資源にプッシュするステップを含むことができる。代替的に、新しいランタイム・ルールを作成するステップは、資源データベース３０８が更新されたことを、影響を受ける各ネットワーク資源に通知するステップと、影響を受ける少なくとも１つのネットワーク資源が、当該影響を受ける少なくとも１つのネットワーク資源の前記構成されたポリシのランタイム形式の更新を行うことができるように、資源データベース３０８の現バージョンを要求するステップをさらに含むことができる。他の代替実施形態では、新しいランタイム・ルールを作成するステップは、影響を受ける少なくとも１つのネットワーク資源が、当該影響を受ける少なくとも１つのネットワーク資源の前記構成されたポリシのランタイム形式の更新を行うことができるように、管理可能ドメイン・プロビジョニング・マネージャから資源データベース３０８の現バージョンを要求するステップをさらに含むことができる。
【００４４】
前述のように、本発明は、ハードウェア、ソフトウェア又はハードウェア及びソフトウェアの組み合わせの形態で実現することができる。本発明は、１つのコンピュータ・システムにおいて集中的な態様で実現することができ、又は異なる要素が幾つかの相互接続されたコンピュータ・システムに散在している場合は、分散的な態様で実現することができる。本明細書に開示した方法を実施するのに適した任意の種類のコンピュータ・システム又は他の装置を使用することができる。ハードウェア及びソフトウェアの代表的な組み合わせは、汎用コンピュータ・システム及びコンピュータ・プログラムとすることができる。当該コンピュータ・プログラムがロードされ且つ実行されると、当該コンピュータ・システムが本明細書に開示した方法を実施するように、当該コンピュータ・システムを制御する。
【００４５】
前述のように、本発明は、埋め込まれたコンピュータ・プログラムを定義するコンピュータ可読コードを有する磁気テープ又は光学式に読み取り可能なディスクのような、コンピュータ・プログラム内に埋め込むことができる。かかるコンピュータ・プログラムがコンピュータにロードされ且つコンピュータによって実行されるとき、本明細書に開示した方法を実装する。この文脈上、コンピュータ・プログラムは、任意の言語における１セットの命令の任意の表現、コード又は表記であって、情報処理能力を有するシステムに特定の機能を直接に、又は（ａ）他の言語、コード又は記法への変換及び／又は（ｂ）異なる資料形式における複製の後に、実行させるものを意味する。
【００４６】
本発明の推奨実施形態に関する前述の説明は、例示を目的として与えられたものであり、網羅的であること及び開示された形態に本発明を限定することを意図するものではない。前述の説明から、多くの修正及び変形が明らかであろう。従って、本発明の範囲は、本明細書に開示した詳細な説明によって制限されるものではないことが意図される。
【００４７】
本発明及びその種々の実施形態は、次の各項に記載するように要約することができる。
【００４８】
１．ネットワーク資源がサービス・ランドスケープ・インスタンス内でプロビジョンされるときに、ネットワーク・セキュリティ・ポリシ・ルールを更新するためのコンピュータ実装方法であって、
（ａ）一のサービス・ランドスケープ・モデルに基づき、一のサービス・ランドスケープ・インスタンス内の複数のネットワーク資源を分類するステップと、
（ｂ）一のネットワーク資源のプロビジョニングに応答して、当該新しくプロビジョンされたネットワーク資源用の１つ以上のセキュリティ・ポリシ・ルールを自動的に生成するステップと、
（ｃ）前記新しくプロビジョンされたネットワーク資源をリモート資源として含むように、前記サービス・ランドスケープ・モデルに基づき、前記新しくプロビジョンされたネットワーク資源と通信するのに適格であると決定された、前記サービス・ランドスケープ・インスタンス内の既存のネットワーク資源の複数のセキュリティ・ポリシ・ルールを更新するステップを有する、方法。
【００４９】
２．前記ステップ（ａ）が、前記サービス・ランドスケープ・インスタンス内で各ネットワーク資源が行う役割及び前記サービス・ランドスケープ・モデルに基づき決定された多層の階層的トポロジ内で各ネットワーク資源が占有する層に従って、各ネットワーク資源を分類するステップを含む、第１項に記載の方法。
【００５０】
３．前記ステップ（ａ）が、前記サービス・ランドスケープ・モデル内に記述された伝送制御プロトコル（ＴＣＰ）ポート番号、ユーザ・データグラム・プロトコル（ＵＤＰ）トランスポート・タイプ仕様、セッション開始プロトコル（ＳＩＰ）トランスポート・タイプ仕様、インターネット・プロトコル（ＩＰ）ＩＤ、対応するＩＰアドレス、第２層のＭＡＣアドレス及び／又は仮想ＬＡＮ ＩＤのうちの少なくとも１つに基づき、前記複数のネットワーク資源を分類するステップを含む、第１項に記載の方法。
【００５１】
４．コンピュータ実行可能コードで実装された前記複数のネットワーク資源の少なくとも一部を、管理可能ドメイン・プロビジョニング・マネージャにアクセス可能に構成された、ネットワーク接続データベース内に安全に維持するステップをさらに有する、第１項に記載の方法。
【００５２】
５．前記ステップ（ｂ）が、前記新しくプロビジョンされたネットワーク資源及び前記サービス・ランドスケープ・インスタンス内の他のネットワーク資源の間の許可された接続性を決定するステップと、前記新しくプロビジョンされたネットワーク資源及び前記サービス・ランドスケープ・インスタンス内の他のネットワーク資源の間の通信用のネットワーク暗号化のレベルを決定するステップのうちの少なくとも１つを行うことを含む、第１項に記載の方法。
【００５３】
６．前記ステップ（ｃ）が、前記サービス・ランドスケープ・インスタンス内のどのネットワーク資源が前記新しくプロビジョンされたネットワーク資源と通信することができるかを識別するステップと、前記サービス・ランドスケープ・モデルによって必要とされる複数のセキュリティ・アクションに従って、前記新しくプロビジョンされたネットワーク資源への接続性を許可する複数のセキュリティ・ポリシ・ルールを更新するステップを含む、第１項に記載の方法。
【００５４】
７．前記一のネットワーク資源の前記プロビジョニングによって影響を受ける各ネットワーク資源のランタイム・ポリシを更新するステップをさらに有し、
各ランタイム・ポリシを更新するステップが、前記１つ以上のセキュリティ・ポリシ・ルール及び更新された複数のセキュリティ・ポリシ・ルールを、管理可能ドメイン・プロビジョニング・マネージャによって、影響を受ける各ネットワーク資源にプッシュするステップを含む、第１項に記載の方法。
【００５５】
８．前記一のネットワーク資源の前記プロビジョニングによって影響を受ける各ネットワーク資源のランタイム・ポリシを、影響を受ける各ネットワーク資源に通知する管理可能ドメイン・プロビジョニング・マネージャによって更新するステップをさらに有し、
新しいポリシを定義するために、前記自動的に生成された１つ以上のセキュリティ・ポリシ・ルール及び更新された複数のセキュリティ・ポリシ・ルールが組み合わされ、
影響を受ける各ネットワーク資源が、前記管理可能ドメイン・プロビジョニング・マネージャから前記新しいポリシを要求する、第１項に記載の方法。
【００５６】
９．新しいポリシを定義するために、前記自動的に生成された１つ以上のセキュリティ・ポリシ・ルール及び更新された複数のセキュリティ・ポリシ・ルールが組み合わされ、
前記サービス・ランドスケープ・インスタンス内の少なくとも１つのネットワーク資源が、所定の時間又は所定の時間間隔の間に、管理可能ドメイン・プロビジョニング・マネージャから前記新しいポリシの最新バージョンを要求するステップをさらに有する、第１項に記載の方法。
【００５７】
１０．ネットワーク資源がサービス・ランドスケープ・インスタンス内でプロビジョンされるときに、ネットワーク・セキュリティ・ポリシ・ルールを更新するためのコンピュータ実装方法であって、
（ａ）新しくプロビジョンされる一のネットワーク資源を既存のネットワーク資源データベースに追加することにより、前記サービス・ランドスケープ・インスタンスへの当該ネットワーク資源のプロビジョニングを行うステップと、
（ｂ）一のグループ名を前記新しくプロビジョンされたネットワーク資源に関連付けるステップを有し、
前記グループ名が、複数のネットワーク資源の一の集合に対応し、当該複数のネットワーク資源の集合が、前記サービス・ランドスケープ・インスタンス内の当該複数のネットワーク資源について必要とされる複数のセキュリティ・アクションを指定する、事前構成された複数のポリシ・ルール内で参照され、
前記グループ名が、前記構成されたポリシ・ルール内の一のネットワーク・アドレスの代わりに指定される、方法。
【００５８】
１１．前記ステップ（ａ）が、
新しいアプリケーションを前記サービス・ランドスケープ・インスタンス内に配備するステップと、
前記新しいアプリケーション及び前記サービス・ランドスケープ・インスタンスの他のネットワーク資源の間の通信用の新しいセキュリティ・ポリシ・ルールを含むように、前記サービス・ランドスケープ・モデルを再構成するステップを含む、第１０項に記載の方法。
【００５９】
１２．前記ステップ（ａ）が、
前記サービス・ランドスケープ・モデルを変更することなく前記新しくプロビジョンされるネットワーク資源を追加するステップを含み、
前記ステップ（ａ）によって影響を受ける各ネットワーク資源において前記複数のポリシ・ルールのローカル・バージョンを再構築するステップをさらに有する、第１０項に記載の方法。
【００６０】
１３．前記再構築するステップが、前記ネットワーク資源データベースを再読み取りし且つ前記新しくプロビジョンされたネットワーク資源を前記複数のポリシ・ルールの前記ローカル・バージョン内に維持された前記資源グループに追加するステップを含む、第１２項に記載の方法。
【００６１】
１４．前記構成されたポリシがランタイム使用に適合する形式に変換されるときに、影響を受ける各ネットワーク資源において前記新しくプロビジョンされたネットワーク資源に対応する新しいランタイム・ルールを作成するステップをさらに有する、第１３項に記載の方法。
【００６２】
１５．前記資源データベースの再読み取り及び前記構成されたポリシのランタイム形式の更新を行うことができるように、前記新しくプロビジョンされたネットワーク資源を保持する前記資源データベースを、管理可能ドメイン・プロビジョニング・マネージャから前記サービス・ランドスケープ・インスタンス内の影響を受ける各ネットワーク資源にプッシュするステップをさらに有する、第１４項に記載の方法。
【００６３】
１６．前記資源データベースが更新されたことを、影響を受ける各ネットワーク資源に通知するステップと、
影響を受ける少なくとも１つのネットワーク資源の前記構成されたポリシのランタイム形式を更新することができるように、当該影響を受ける少なくとも１つのネットワーク資源によって、前記資源データベースの現バージョンを要求するステップをさらに有する、第１４項に記載の方法。
【００６４】
１７．影響を受ける少なくとも１つのネットワーク資源の前記構成されたポリシのランタイム形式を更新することができるように、当該影響を受ける少なくとも１つのネットワーク資源によって、前記資源データベースの現バージョンを要求するステップをさらに有する、第１４項に記載の方法。
【００６５】
１８．ネットワーク資源がサービス・ランドスケープ・インスタンス内でプロビジョンされるときに、ネットワーク・セキュリティ・ポリシ・ルールを更新するためのシステムであって、
（ａ）プロセッサ実行可能コードを実行するための１つ以上のプロセッサと、
（ｂ）前記１つ以上のプロセッサ上で実行するように構成され、一のサービス・ランドスケープ・モデルに基づき、一のサービス・ランドスケープ・インスタンス内の複数のネットワーク資源を分類するための分類モジュールと、
（ｃ）前記１つ以上のプロセッサ上で実行するように構成され、一のネットワーク資源のプロビジョニングに応答して、当該新しくプロビジョンされたネットワーク資源用の１つ以上のセキュリティ・ポリシ・ルールを自動的に生成するためのルール生成モジュールと、
（ｄ）前記１つ以上のプロセッサ上で実行するように構成され、前記新しくプロビジョンされたネットワーク資源をリモート資源として含むように、前記サービス・ランドスケープ・モデルに基づき、前記新しくプロビジョンされたネットワーク資源と通信するのに適格であると決定された、前記サービス・ランドスケープ・インスタンス内の既存のネットワーク資源の複数のセキュリティ・ポリシ・ルールを更新するためのポリシ更新モジュールを備える、システム。
【００６６】
１９．前記サービス・ランドスケープ・インスタンス内の前記複数のネットワーク資源用の複数の分類を提供するように、前記サービス・ランドスケープ・モデルを構成するための構成モジュールをさらに備え、
前記サービス・ランドスケープ・モデルによって規定された階層的トポロジの各層内で許可される複数のネットワーク資源が分類され、
他のネットワーク資源と通信することを許可されるネットワーク資源が識別され、
異なるネットワーク資源間のネットワーク通信用のセキュリティ要件が指定される、第１８項に記載のシステム。
【００６７】
２０．ネットワーク資源がサービス・ランドスケープ・インスタンス内でプロビジョンされるときに、ネットワーク・セキュリティ・ポリシ・ルールを更新するためのシステムであって、
（ａ）プロセッサ実行可能コードを実行するための１つ以上のプロセッサと、
（ｂ）前記１つ以上のプロセッサ上で実行するように構成され、一のネットワーク資源のプロビジョニングに応答して、当該新しくプロビジョンされたネットワーク資源を前記サービス・ランドスケープ・インスタンスの既存のネットワーク資源データベースに追加するための名前関連付けモジュールを備え、
前記名前関連付けモジュールが、一のグループ名を前記新しくプロビジョンされたネットワーク資源に関連付けるようにさらに構成され、
前記グループ名が、複数のネットワーク資源の一の集合に対応し、当該複数のネットワーク資源の集合が、前記サービス・ランドスケープ・インスタンス内の当該複数のネットワーク資源について必要とされる複数のセキュリティ・アクションを指定する、事前構成された複数のポリシ・ルール内で参照され、
前記グループ名が、前記構成されたポリシ・ルール内の一のネットワーク・アドレスの代わりに指定される、システム。
【符号の説明】
【００６８】
１０２・・・ネットワーク・セキュリティ・ポリシ・ルールを更新するためのシステム
１０４・・・サービス・ランドスケープ・インスタンス
１０６ａ〜１０６ｃ・・・コンピューティング装置
１０８・・・データベース
１１０・・・データ通信ネットワーク
１１２・・・他のコンピューティング装置
２０４・・・１つ以上のプロセッサ
２０５・・・主メモリ要素
２０６・・・分類モジュール
２０８・・・ルール生成モジュール
２１０・・・ポリシ更新モジュール
３００・・・ネットワーク・セキュリティ・ポリシ・ルールを更新するためのシステム
３０２・・・１つ以上のプロセッサ
３０４・・・メモリ要素
３０６・・・名前関連付けモジュール
３０８・・・資源データベース
３１０・・・ネットワーク・インタフェース
【特許請求の範囲】
【請求項１】
ネットワーク資源がサービス・ランドスケープ・インスタンス内でプロビジョンされるときに、ネットワーク・セキュリティ・ポリシ・ルールを更新するためのコンピュータ実装方法であって、
（ａ）一のサービス・ランドスケープ・モデルに基づき、一のサービス・ランドスケープ・インスタンス内の複数のネットワーク資源を分類するステップと、
（ｂ）一のネットワーク資源のプロビジョニングに応答して、当該新しくプロビジョンされたネットワーク資源用の１つ以上のセキュリティ・ポリシ・ルールを自動的に生成するステップと、
（ｃ）前記新しくプロビジョンされたネットワーク資源をリモート資源として含むように、前記サービス・ランドスケープ・モデルに基づき、前記新しくプロビジョンされたネットワーク資源と通信するのに適格であると決定された、前記サービス・ランドスケープ・インスタンス内の既存のネットワーク資源の複数のセキュリティ・ポリシ・ルールを更新するステップを有する、方法。
【請求項２】
前記ステップ（ａ）が、前記サービス・ランドスケープ・インスタンス内で各ネットワーク資源が行う役割及び前記サービス・ランドスケープ・モデルに基づき決定された多層の階層的トポロジ内で各ネットワーク資源が占有する層に従って、各ネットワーク資源を分類するステップを含む、請求項１に記載の方法。
【請求項３】
前記ステップ（ａ）が、前記サービス・ランドスケープ・モデル内に記述された伝送制御プロトコル（ＴＣＰ）ポート番号、ユーザ・データグラム・プロトコル（ＵＤＰ）トランスポート・タイプ仕様、セッション開始プロトコル（ＳＩＰ）トランスポート・タイプ仕様、インターネット・プロトコル（ＩＰ）ＩＤ、対応するＩＰアドレス、第２層のＭＡＣアドレス及び／又は仮想ＬＡＮＩＤのうちの少なくとも１つに基づき、前記複数のネットワーク資源を分類するステップを含む、請求項１に記載の方法。
【請求項４】
コンピュータ実行可能コードで実装された前記複数のネットワーク資源の少なくとも一部を、管理可能ドメイン・プロビジョニング・マネージャにアクセス可能に構成された、ネットワーク接続データベース内に安全に維持するステップをさらに有する、請求項１ないし請求項３の何れか１項に記載の方法。
【請求項５】
前記ステップ（ｂ）が、前記新しくプロビジョンされたネットワーク資源及び前記サービス・ランドスケープ・インスタンス内の他のネットワーク資源の間の許可された接続性を決定するステップと、前記新しくプロビジョンされたネットワーク資源及び前記サービス・ランドスケープ・インスタンス内の他のネットワーク資源の間の通信用のネットワーク暗号化のレベルを決定するステップのうちの少なくとも１つを行うことを含む、請求項１ないし請求項４の何れか１項に記載の方法。
【請求項６】
前記ステップ（ｃ）が、前記サービス・ランドスケープ・インスタンス内のどのネットワーク資源が前記新しくプロビジョンされたネットワーク資源と通信することができるかを識別するステップと、前記サービス・ランドスケープ・モデルによって必要とされる複数のセキュリティ・アクションに従って、前記新しくプロビジョンされたネットワーク資源への接続性を許可する複数のセキュリティ・ポリシ・ルールを更新するステップを含む、請求項１ないし請求項５の何れか１項に記載の方法。
【請求項７】
前記一のネットワーク資源の前記プロビジョニングによって影響を受ける各ネットワーク資源のランタイム・ポリシを更新するステップをさらに有し、
各ランタイム・ポリシを更新するステップが、前記１つ以上のセキュリティ・ポリシ・ルール及び更新された複数のセキュリティ・ポリシ・ルールを、管理可能ドメイン・プロビジョニング・マネージャによって、影響を受ける各ネットワーク資源にプッシュするステップを含む、請求項１に記載の方法。
【請求項８】
前記一のネットワーク資源の前記プロビジョニングによって影響を受ける各ネットワーク資源のランタイム・ポリシを、影響を受ける各ネットワーク資源に通知する管理可能ドメイン・プロビジョニング・マネージャによって更新するステップをさらに有し、
新しいポリシを定義するために、前記自動的に生成された１つ以上のセキュリティ・ポリシ・ルール及び更新された複数のセキュリティ・ポリシ・ルールが組み合わされ、
影響を受ける各ネットワーク資源が、前記管理可能ドメイン・プロビジョニング・マネージャから前記新しいポリシを要求する、請求項１に記載の方法。
【請求項９】
新しいポリシを定義するために、前記自動的に生成された１つ以上のセキュリティ・ポリシ・ルール及び更新された複数のセキュリティ・ポリシ・ルールが組み合わされ、
前記サービス・ランドスケープ・インスタンス内の少なくとも１つのネットワーク資源が、所定の時間又は所定の時間間隔の間に、管理可能ドメイン・プロビジョニング・マネージャから前記新しいポリシの最新バージョンを要求するステップをさらに有する、請求項１に記載の方法。
【請求項１０】
ネットワーク資源がサービス・ランドスケープ・インスタンス内でプロビジョンされるときに、ネットワーク・セキュリティ・ポリシ・ルールを更新するためのコンピュータ実装方法であって、
（ａ）新しくプロビジョンされる一のネットワーク資源を既存のネットワーク資源データベースに追加することにより、前記サービス・ランドスケープ・インスタンスへの当該ネットワーク資源のプロビジョニングを行うステップと、
（ｂ）一のグループ名を前記新しくプロビジョンされたネットワーク資源に関連付けるステップを有し、
前記グループ名が、複数のネットワーク資源の一の集合に対応し、当該複数のネットワーク資源の集合が、前記サービス・ランドスケープ・インスタンス内の当該複数のネットワーク資源について必要とされる複数のセキュリティ・アクションを指定する、事前構成された複数のポリシ・ルール内で参照され、
前記グループ名が、前記構成されたポリシ・ルール内の一のネットワーク・アドレスの代わりに指定される、方法。
【請求項１１】
前記ステップ（ａ）が、
新しいアプリケーションを前記サービス・ランドスケープ・インスタンス内に配備するステップと、
前記新しいアプリケーション及び前記サービス・ランドスケープ・インスタンスの他のネットワーク資源の間の通信用の新しいセキュリティ・ポリシ・ルールを含むように、前記サービス・ランドスケープ・モデルを再構成するステップを含む、請求項１０に記載の方法。
【請求項１２】
前記ステップ（ａ）が、
前記サービス・ランドスケープ・モデルを変更することなく前記新しくプロビジョンされるネットワーク資源を追加するステップを含み、
前記ステップ（ａ）によって影響を受ける各ネットワーク資源において前記複数のポリシ・ルールのローカル・バージョンを再構築するステップをさらに有する、請求項１０に記載の方法。
【請求項１３】
前記再構築するステップが、前記ネットワーク資源データベースを再読み取りし且つ前記新しくプロビジョンされたネットワーク資源を前記複数のポリシ・ルールの前記ローカル・バージョン内に維持された前記資源グループに追加するステップを含む、請求項１２に記載の方法。
【請求項１４】
前記構成されたポリシがランタイム使用に適合する形式に変換されるときに、影響を受ける各ネットワーク資源において前記新しくプロビジョンされたネットワーク資源に対応する新しいランタイム・ルールを作成するステップをさらに有する、請求項１３に記載の方法。
【請求項１５】
前記資源データベースの再読み取り及び前記構成されたポリシのランタイム形式の更新を行うことができるように、前記新しくプロビジョンされたネットワーク資源を保持する前記資源データベースを、管理可能ドメイン・プロビジョニング・マネージャから前記サービス・ランドスケープ・インスタンス内の影響を受ける各ネットワーク資源にプッシュするステップをさらに有する、請求項１４に記載の方法。
【請求項１６】
前記資源データベースが更新されたことを、影響を受ける各ネットワーク資源に通知するステップと、
影響を受ける少なくとも１つのネットワーク資源の前記構成されたポリシのランタイム形式を更新することができるように、当該影響を受ける少なくとも１つのネットワーク資源によって、前記資源データベースの現バージョンを要求するステップをさらに有する、請求項１４に記載の方法。
【請求項１７】
影響を受ける少なくとも１つのネットワーク資源の前記構成されたポリシのランタイム形式を更新することができるように、当該影響を受ける少なくとも１つのネットワーク資源によって、前記資源データベースの現バージョンを要求するステップをさらに有する、請求項１４に記載の方法。
【請求項１８】
ネットワーク資源がサービス・ランドスケープ・インスタンス内でプロビジョンされるときに、ネットワーク・セキュリティ・ポリシ・ルールを更新するためのシステムであって、
（ａ）プロセッサ実行可能コードを実行するための１つ以上のプロセッサと、
（ｂ）前記１つ以上のプロセッサ上で実行するように構成され、一のサービス・ランドスケープ・モデルに基づき、一のサービス・ランドスケープ・インスタンス内の複数のネットワーク資源を分類するための分類モジュールと、
（ｃ）前記１つ以上のプロセッサ上で実行するように構成され、一のネットワーク資源のプロビジョニングに応答して、当該新しくプロビジョンされたネットワーク資源用の１つ以上のセキュリティ・ポリシ・ルールを自動的に生成するためのルール生成モジュールと、
（ｄ）前記１つ以上のプロセッサ上で実行するように構成され、前記新しくプロビジョンされたネットワーク資源をリモート資源として含むように、前記サービス・ランドスケープ・モデルに基づき、前記新しくプロビジョンされたネットワーク資源と通信するのに適格であると決定された、前記サービス・ランドスケープ・インスタンス内の既存のネットワーク資源の複数のセキュリティ・ポリシ・ルールを更新するためのポリシ更新モジュールを備える、システム。
【請求項１９】
前記サービス・ランドスケープ・インスタンス内の前記複数のネットワーク資源用の複数の分類を提供するように、前記サービス・ランドスケープ・モデルを構成するための構成モジュールをさらに備え、
前記サービス・ランドスケープ・モデルによって規定された階層的トポロジの各層内で許可される複数のネットワーク資源が分類され、
他のネットワーク資源と通信することを許可されるネットワーク資源が識別され、
異なるネットワーク資源間のネットワーク通信用のセキュリティ要件が指定される、請求項１８に記載のシステム。
【請求項２０】
前記分類モジュールが、前記サービス・ランドスケープ・インスタンス内で各ネットワーク資源が行う役割及び前記サービス・ランドスケープ・モデルに基づき決定された多層の階層的トポロジ内で各ネットワーク資源が占有する層に従って、各ネットワーク資源を分類するように構成される、請求項１８に記載のシステム。
【請求項２１】
前記分類モジュールが、前記サービス・ランドスケープ・モデル内に記述された伝送制御プロトコル（ＴＣＰ）ポート番号、ユーザ・データグラム・プロトコル（ＵＤＰ）トランスポート・タイプ仕様、セッション開始プロトコル（ＳＩＰ）トランスポート・タイプ仕様、インターネット・プロトコル（ＩＰ）ＩＤ、対応するＩＰアドレス、第２層のＭＡＣアドレス及び／又は仮想ＬＡＮＩＤのうちの少なくとも１つに基づき、前記複数のネットワーク資源を分類するように構成される、請求項１８に記載のシステム。
【請求項２２】
コンピュータ実行可能コードで実装された前記複数のネットワーク資源の少なくとも一部を、管理可能ドメイン・プロビジョニング・マネージャにアクセス可能に構成された、ネットワーク接続データベース内に安全に維持するためのコンポーネントをさらに備える、請求項１８ないし請求項２１の何れか１項に記載のシステム、
【請求項２３】
１つ以上のセキュリティ・ルールを自動的に生成するために、前記ルール生成モジュールが、前記新しくプロビジョンされたネットワーク資源及び前記サービス・ランドスケープ・インスタンス内の他のネットワーク資源の間の許可された接続性を決定することと、前記新しくプロビジョンされたネットワーク資源及び前記サービス・ランドスケープ・インスタンス内の他のネットワーク資源の間の通信用のネットワーク暗号化のレベルを決定することのうちの少なくとも１つを行うように構成される、請求項１８ないし請求項２２の何れか１項に記載のシステム。
【請求項２４】
前記ポリシ更新モジュールが、前記サービス・ランドスケープ・インスタンス内のどのネットワーク資源が前記新しくプロビジョンされたネットワーク資源と通信することができるかを識別し且つ前記サービス・ランドスケープ・モデルによって必要とされる複数のセキュリティ・アクションに従って、前記新しくプロビジョンされたネットワーク資源への接続性を許可する複数のセキュリティ・ポリシ・ルールを更新するように構成される、請求項１８ないし請求項２３の何れか１項に記載のシステム。
【請求項２５】
前記一のネットワーク資源の前記プロビジョニングによって影響を受ける各ネットワーク資源のランタイム・ポリシを更新するためのコンポーネントをさらに備え、
各ランタイム・ポリシを更新することが、前記１つ以上のセキュリティ・ポリシ・ルール及び更新された複数のセキュリティ・ポリシ・ルールを、管理可能ドメイン・プロビジョニング・マネージャによって、影響を受ける各ネットワーク資源にプッシュすることを含む、請求項１８に記載のシステム。
【請求項２６】
前記システムが、前記一のネットワーク資源の前記プロビジョニングによって影響を受ける各ネットワーク資源のランタイム・ポリシを、影響を受ける各ネットワーク資源に通知する管理可能ドメイン・プロビジョニング・マネージャによって更新するように動作可能であり、
前記システムが、新しいポリシを定義するために、前記自動的に生成された１つ以上のセキュリティ・ポリシ・ルール及び更新された複数のセキュリティ・ポリシ・ルールを組み合わせるように動作可能であり、
影響を受ける各ネットワーク資源が、前記管理可能ドメイン・プロビジョニング・マネージャから前記新しいポリシを要求する、請求項１８に記載のシステム。
【請求項２７】
前記システムが、新しいポリシを定義するために、前記自動的に生成された１つ以上のセキュリティ・ポリシ・ルール及び更新された複数のセキュリティ・ポリシ・ルールを組み合わせるように動作可能であり、
前記サービス・ランドスケープ・インスタンス内の少なくとも１つのネットワーク資源をさらに備え、
当該少なくとも１つのネットワーク資源が、所定の時間又は所定の時間間隔の間に、管理可能ドメイン・プロビジョニング・マネージャから前記新しいポリシの最新バージョンを要求するように動作可能である、請求項１８に記載のシステム。
【請求項２８】
ネットワーク資源がサービス・ランドスケープ・インスタンス内でプロビジョンされるときに、ネットワーク・セキュリティ・ポリシ・ルールを更新するためのシステムであって、
（ａ）プロセッサ実行可能コードを実行するための１つ以上のプロセッサと、
（ｂ）前記１つ以上のプロセッサ上で実行するように構成され、一のネットワーク資源のプロビジョニングに応答して、当該新しくプロビジョンされたネットワーク資源を前記サービス・ランドスケープ・インスタンスの既存のネットワーク資源データベースに追加するための名前関連付けモジュールを備え、
前記名前関連付けモジュールが、一のグループ名を前記新しくプロビジョンされたネットワーク資源に関連付けるようにさらに構成され、
前記グループ名が、複数のネットワーク資源の一の集合に対応し、当該複数のネットワーク資源の集合が、前記サービス・ランドスケープ・インスタンス内の当該複数のネットワーク資源について必要とされる複数のセキュリティ・アクションを指定する、事前構成された複数のポリシ・ルール内で参照され、
前記グループ名が、前記構成されたポリシ・ルール内の一のネットワーク・アドレスの代わりに指定される、システム。
【請求項２９】
前記システムが、前記新しくプロビジョンされるネットワーク資源を前記既存のネットワーク資源データベースに追加することにより、当該ネットワーク資源のプロビジョニングを行うように動作可能であり、
前記システムが、新しいアプリケーションを前記サービス・ランドスケープ・インスタンス内に配備し且つ前記新しいアプリケーション及び前記サービス・ランドスケープ・インスタンスの他のネットワーク資源の間の通信用の新しいセキュリティ・ポリシ・ルールを含むように、前記サービス・ランドスケープ・モデルを再構成することにより、前記ネットワーク資源のプロビジョニングを行うためのコンポーネントをさらに備える、請求項２８に記載のシステム。
【請求項３０】
前記システムが、前記新しくプロビジョンされるネットワーク資源を前記既存のネットワーク資源データベースに追加することにより、当該ネットワーク資源のプロビジョニングを行うように動作可能であり、
前記システムが、前記サービス・ランドスケープ・モデルを変更することなく前記新しくプロビジョンされるネットワーク資源を追加することにより、当該ネットワーク資源のプロビジョニングを行うためのコンポーネントと、
前記プロビジョニングによって影響を受ける各ネットワーク資源において前記複数のポリシ・ルールのローカル・バージョンを再構築するためのコンポーネントをさらに備える、請求項２８のシステム。
【請求項３１】
前記システムが、前記ネットワーク資源データベースを再読み取りし且つ前記新しくプロビジョンされたネットワーク資源を前記複数のポリシ・ルールの前記ローカル・バージョン内に維持された前記資源グループに追加することにより、ローカル・バージョンを再構築するように動作可能である、請求項３０に記載のシステム。
【請求項３２】
前記構成されたポリシがランタイム使用に適合する形式に変換されるときに、影響を受ける各ネットワーク資源において前記新しくプロビジョンされたネットワーク資源に対応する新しいランタイム・ルールを作成するためのコンポーネントをさらに備える、請求項３１に記載のシステム。
【請求項３３】
前記資源データベースの再読み取り及び前記構成されたポリシのランタイム形式の更新を行うことができるように、前記新しくプロビジョンされたネットワーク資源を保持する前記資源データベースを、管理可能ドメイン・プロビジョニング・マネージャから前記サービス・ランドスケープ・インスタンス内の影響を受ける各ネットワーク資源にプッシュするためのコンポーネントをさらに備える、請求項３２に記載のシステム。
【請求項３４】
前記資源データベースが更新されたことを、影響を受ける各ネットワーク資源に通知するためのコンポーネントをさらに備え、
影響を受ける少なくとも１つのネットワーク資源の前記構成されたポリシのランタイム形式を更新することができるように、当該影響を受ける少なくとも１つのネットワーク資源が、前記資源データベースの現バージョンを要求するように動作可能である、請求項３２に記載のシステム。
【請求項３５】
影響を受ける少なくとも１つのネットワーク資源の前記構成されたポリシのランタイム形式を更新することができるように、当該影響を受ける少なくとも１つのネットワーク資源が、前記資源データベースの現バージョンを要求するように動作可能である、請求項３２に記載のシステム。
【請求項３６】
請求項１ないし請求項１７の何れか１項に記載の方法の各ステップをコンピュータに実行させるためのコンピュータ・プログラム。
【請求項１】
ネットワーク資源がサービス・ランドスケープ・インスタンス内でプロビジョンされるときに、ネットワーク・セキュリティ・ポリシ・ルールを更新するためのコンピュータ実装方法であって、
（ａ）一のサービス・ランドスケープ・モデルに基づき、一のサービス・ランドスケープ・インスタンス内の複数のネットワーク資源を分類するステップと、
（ｂ）一のネットワーク資源のプロビジョニングに応答して、当該新しくプロビジョンされたネットワーク資源用の１つ以上のセキュリティ・ポリシ・ルールを自動的に生成するステップと、
（ｃ）前記新しくプロビジョンされたネットワーク資源をリモート資源として含むように、前記サービス・ランドスケープ・モデルに基づき、前記新しくプロビジョンされたネットワーク資源と通信するのに適格であると決定された、前記サービス・ランドスケープ・インスタンス内の既存のネットワーク資源の複数のセキュリティ・ポリシ・ルールを更新するステップを有する、方法。
【請求項２】
前記ステップ（ａ）が、前記サービス・ランドスケープ・インスタンス内で各ネットワーク資源が行う役割及び前記サービス・ランドスケープ・モデルに基づき決定された多層の階層的トポロジ内で各ネットワーク資源が占有する層に従って、各ネットワーク資源を分類するステップを含む、請求項１に記載の方法。
【請求項３】
前記ステップ（ａ）が、前記サービス・ランドスケープ・モデル内に記述された伝送制御プロトコル（ＴＣＰ）ポート番号、ユーザ・データグラム・プロトコル（ＵＤＰ）トランスポート・タイプ仕様、セッション開始プロトコル（ＳＩＰ）トランスポート・タイプ仕様、インターネット・プロトコル（ＩＰ）ＩＤ、対応するＩＰアドレス、第２層のＭＡＣアドレス及び／又は仮想ＬＡＮＩＤのうちの少なくとも１つに基づき、前記複数のネットワーク資源を分類するステップを含む、請求項１に記載の方法。
【請求項４】
コンピュータ実行可能コードで実装された前記複数のネットワーク資源の少なくとも一部を、管理可能ドメイン・プロビジョニング・マネージャにアクセス可能に構成された、ネットワーク接続データベース内に安全に維持するステップをさらに有する、請求項１ないし請求項３の何れか１項に記載の方法。
【請求項５】
前記ステップ（ｂ）が、前記新しくプロビジョンされたネットワーク資源及び前記サービス・ランドスケープ・インスタンス内の他のネットワーク資源の間の許可された接続性を決定するステップと、前記新しくプロビジョンされたネットワーク資源及び前記サービス・ランドスケープ・インスタンス内の他のネットワーク資源の間の通信用のネットワーク暗号化のレベルを決定するステップのうちの少なくとも１つを行うことを含む、請求項１ないし請求項４の何れか１項に記載の方法。
【請求項６】
前記ステップ（ｃ）が、前記サービス・ランドスケープ・インスタンス内のどのネットワーク資源が前記新しくプロビジョンされたネットワーク資源と通信することができるかを識別するステップと、前記サービス・ランドスケープ・モデルによって必要とされる複数のセキュリティ・アクションに従って、前記新しくプロビジョンされたネットワーク資源への接続性を許可する複数のセキュリティ・ポリシ・ルールを更新するステップを含む、請求項１ないし請求項５の何れか１項に記載の方法。
【請求項７】
前記一のネットワーク資源の前記プロビジョニングによって影響を受ける各ネットワーク資源のランタイム・ポリシを更新するステップをさらに有し、
各ランタイム・ポリシを更新するステップが、前記１つ以上のセキュリティ・ポリシ・ルール及び更新された複数のセキュリティ・ポリシ・ルールを、管理可能ドメイン・プロビジョニング・マネージャによって、影響を受ける各ネットワーク資源にプッシュするステップを含む、請求項１に記載の方法。
【請求項８】
前記一のネットワーク資源の前記プロビジョニングによって影響を受ける各ネットワーク資源のランタイム・ポリシを、影響を受ける各ネットワーク資源に通知する管理可能ドメイン・プロビジョニング・マネージャによって更新するステップをさらに有し、
新しいポリシを定義するために、前記自動的に生成された１つ以上のセキュリティ・ポリシ・ルール及び更新された複数のセキュリティ・ポリシ・ルールが組み合わされ、
影響を受ける各ネットワーク資源が、前記管理可能ドメイン・プロビジョニング・マネージャから前記新しいポリシを要求する、請求項１に記載の方法。
【請求項９】
新しいポリシを定義するために、前記自動的に生成された１つ以上のセキュリティ・ポリシ・ルール及び更新された複数のセキュリティ・ポリシ・ルールが組み合わされ、
前記サービス・ランドスケープ・インスタンス内の少なくとも１つのネットワーク資源が、所定の時間又は所定の時間間隔の間に、管理可能ドメイン・プロビジョニング・マネージャから前記新しいポリシの最新バージョンを要求するステップをさらに有する、請求項１に記載の方法。
【請求項１０】
ネットワーク資源がサービス・ランドスケープ・インスタンス内でプロビジョンされるときに、ネットワーク・セキュリティ・ポリシ・ルールを更新するためのコンピュータ実装方法であって、
（ａ）新しくプロビジョンされる一のネットワーク資源を既存のネットワーク資源データベースに追加することにより、前記サービス・ランドスケープ・インスタンスへの当該ネットワーク資源のプロビジョニングを行うステップと、
（ｂ）一のグループ名を前記新しくプロビジョンされたネットワーク資源に関連付けるステップを有し、
前記グループ名が、複数のネットワーク資源の一の集合に対応し、当該複数のネットワーク資源の集合が、前記サービス・ランドスケープ・インスタンス内の当該複数のネットワーク資源について必要とされる複数のセキュリティ・アクションを指定する、事前構成された複数のポリシ・ルール内で参照され、
前記グループ名が、前記構成されたポリシ・ルール内の一のネットワーク・アドレスの代わりに指定される、方法。
【請求項１１】
前記ステップ（ａ）が、
新しいアプリケーションを前記サービス・ランドスケープ・インスタンス内に配備するステップと、
前記新しいアプリケーション及び前記サービス・ランドスケープ・インスタンスの他のネットワーク資源の間の通信用の新しいセキュリティ・ポリシ・ルールを含むように、前記サービス・ランドスケープ・モデルを再構成するステップを含む、請求項１０に記載の方法。
【請求項１２】
前記ステップ（ａ）が、
前記サービス・ランドスケープ・モデルを変更することなく前記新しくプロビジョンされるネットワーク資源を追加するステップを含み、
前記ステップ（ａ）によって影響を受ける各ネットワーク資源において前記複数のポリシ・ルールのローカル・バージョンを再構築するステップをさらに有する、請求項１０に記載の方法。
【請求項１３】
前記再構築するステップが、前記ネットワーク資源データベースを再読み取りし且つ前記新しくプロビジョンされたネットワーク資源を前記複数のポリシ・ルールの前記ローカル・バージョン内に維持された前記資源グループに追加するステップを含む、請求項１２に記載の方法。
【請求項１４】
前記構成されたポリシがランタイム使用に適合する形式に変換されるときに、影響を受ける各ネットワーク資源において前記新しくプロビジョンされたネットワーク資源に対応する新しいランタイム・ルールを作成するステップをさらに有する、請求項１３に記載の方法。
【請求項１５】
前記資源データベースの再読み取り及び前記構成されたポリシのランタイム形式の更新を行うことができるように、前記新しくプロビジョンされたネットワーク資源を保持する前記資源データベースを、管理可能ドメイン・プロビジョニング・マネージャから前記サービス・ランドスケープ・インスタンス内の影響を受ける各ネットワーク資源にプッシュするステップをさらに有する、請求項１４に記載の方法。
【請求項１６】
前記資源データベースが更新されたことを、影響を受ける各ネットワーク資源に通知するステップと、
影響を受ける少なくとも１つのネットワーク資源の前記構成されたポリシのランタイム形式を更新することができるように、当該影響を受ける少なくとも１つのネットワーク資源によって、前記資源データベースの現バージョンを要求するステップをさらに有する、請求項１４に記載の方法。
【請求項１７】
影響を受ける少なくとも１つのネットワーク資源の前記構成されたポリシのランタイム形式を更新することができるように、当該影響を受ける少なくとも１つのネットワーク資源によって、前記資源データベースの現バージョンを要求するステップをさらに有する、請求項１４に記載の方法。
【請求項１８】
ネットワーク資源がサービス・ランドスケープ・インスタンス内でプロビジョンされるときに、ネットワーク・セキュリティ・ポリシ・ルールを更新するためのシステムであって、
（ａ）プロセッサ実行可能コードを実行するための１つ以上のプロセッサと、
（ｂ）前記１つ以上のプロセッサ上で実行するように構成され、一のサービス・ランドスケープ・モデルに基づき、一のサービス・ランドスケープ・インスタンス内の複数のネットワーク資源を分類するための分類モジュールと、
（ｃ）前記１つ以上のプロセッサ上で実行するように構成され、一のネットワーク資源のプロビジョニングに応答して、当該新しくプロビジョンされたネットワーク資源用の１つ以上のセキュリティ・ポリシ・ルールを自動的に生成するためのルール生成モジュールと、
（ｄ）前記１つ以上のプロセッサ上で実行するように構成され、前記新しくプロビジョンされたネットワーク資源をリモート資源として含むように、前記サービス・ランドスケープ・モデルに基づき、前記新しくプロビジョンされたネットワーク資源と通信するのに適格であると決定された、前記サービス・ランドスケープ・インスタンス内の既存のネットワーク資源の複数のセキュリティ・ポリシ・ルールを更新するためのポリシ更新モジュールを備える、システム。
【請求項１９】
前記サービス・ランドスケープ・インスタンス内の前記複数のネットワーク資源用の複数の分類を提供するように、前記サービス・ランドスケープ・モデルを構成するための構成モジュールをさらに備え、
前記サービス・ランドスケープ・モデルによって規定された階層的トポロジの各層内で許可される複数のネットワーク資源が分類され、
他のネットワーク資源と通信することを許可されるネットワーク資源が識別され、
異なるネットワーク資源間のネットワーク通信用のセキュリティ要件が指定される、請求項１８に記載のシステム。
【請求項２０】
前記分類モジュールが、前記サービス・ランドスケープ・インスタンス内で各ネットワーク資源が行う役割及び前記サービス・ランドスケープ・モデルに基づき決定された多層の階層的トポロジ内で各ネットワーク資源が占有する層に従って、各ネットワーク資源を分類するように構成される、請求項１８に記載のシステム。
【請求項２１】
前記分類モジュールが、前記サービス・ランドスケープ・モデル内に記述された伝送制御プロトコル（ＴＣＰ）ポート番号、ユーザ・データグラム・プロトコル（ＵＤＰ）トランスポート・タイプ仕様、セッション開始プロトコル（ＳＩＰ）トランスポート・タイプ仕様、インターネット・プロトコル（ＩＰ）ＩＤ、対応するＩＰアドレス、第２層のＭＡＣアドレス及び／又は仮想ＬＡＮＩＤのうちの少なくとも１つに基づき、前記複数のネットワーク資源を分類するように構成される、請求項１８に記載のシステム。
【請求項２２】
コンピュータ実行可能コードで実装された前記複数のネットワーク資源の少なくとも一部を、管理可能ドメイン・プロビジョニング・マネージャにアクセス可能に構成された、ネットワーク接続データベース内に安全に維持するためのコンポーネントをさらに備える、請求項１８ないし請求項２１の何れか１項に記載のシステム、
【請求項２３】
１つ以上のセキュリティ・ルールを自動的に生成するために、前記ルール生成モジュールが、前記新しくプロビジョンされたネットワーク資源及び前記サービス・ランドスケープ・インスタンス内の他のネットワーク資源の間の許可された接続性を決定することと、前記新しくプロビジョンされたネットワーク資源及び前記サービス・ランドスケープ・インスタンス内の他のネットワーク資源の間の通信用のネットワーク暗号化のレベルを決定することのうちの少なくとも１つを行うように構成される、請求項１８ないし請求項２２の何れか１項に記載のシステム。
【請求項２４】
前記ポリシ更新モジュールが、前記サービス・ランドスケープ・インスタンス内のどのネットワーク資源が前記新しくプロビジョンされたネットワーク資源と通信することができるかを識別し且つ前記サービス・ランドスケープ・モデルによって必要とされる複数のセキュリティ・アクションに従って、前記新しくプロビジョンされたネットワーク資源への接続性を許可する複数のセキュリティ・ポリシ・ルールを更新するように構成される、請求項１８ないし請求項２３の何れか１項に記載のシステム。
【請求項２５】
前記一のネットワーク資源の前記プロビジョニングによって影響を受ける各ネットワーク資源のランタイム・ポリシを更新するためのコンポーネントをさらに備え、
各ランタイム・ポリシを更新することが、前記１つ以上のセキュリティ・ポリシ・ルール及び更新された複数のセキュリティ・ポリシ・ルールを、管理可能ドメイン・プロビジョニング・マネージャによって、影響を受ける各ネットワーク資源にプッシュすることを含む、請求項１８に記載のシステム。
【請求項２６】
前記システムが、前記一のネットワーク資源の前記プロビジョニングによって影響を受ける各ネットワーク資源のランタイム・ポリシを、影響を受ける各ネットワーク資源に通知する管理可能ドメイン・プロビジョニング・マネージャによって更新するように動作可能であり、
前記システムが、新しいポリシを定義するために、前記自動的に生成された１つ以上のセキュリティ・ポリシ・ルール及び更新された複数のセキュリティ・ポリシ・ルールを組み合わせるように動作可能であり、
影響を受ける各ネットワーク資源が、前記管理可能ドメイン・プロビジョニング・マネージャから前記新しいポリシを要求する、請求項１８に記載のシステム。
【請求項２７】
前記システムが、新しいポリシを定義するために、前記自動的に生成された１つ以上のセキュリティ・ポリシ・ルール及び更新された複数のセキュリティ・ポリシ・ルールを組み合わせるように動作可能であり、
前記サービス・ランドスケープ・インスタンス内の少なくとも１つのネットワーク資源をさらに備え、
当該少なくとも１つのネットワーク資源が、所定の時間又は所定の時間間隔の間に、管理可能ドメイン・プロビジョニング・マネージャから前記新しいポリシの最新バージョンを要求するように動作可能である、請求項１８に記載のシステム。
【請求項２８】
ネットワーク資源がサービス・ランドスケープ・インスタンス内でプロビジョンされるときに、ネットワーク・セキュリティ・ポリシ・ルールを更新するためのシステムであって、
（ａ）プロセッサ実行可能コードを実行するための１つ以上のプロセッサと、
（ｂ）前記１つ以上のプロセッサ上で実行するように構成され、一のネットワーク資源のプロビジョニングに応答して、当該新しくプロビジョンされたネットワーク資源を前記サービス・ランドスケープ・インスタンスの既存のネットワーク資源データベースに追加するための名前関連付けモジュールを備え、
前記名前関連付けモジュールが、一のグループ名を前記新しくプロビジョンされたネットワーク資源に関連付けるようにさらに構成され、
前記グループ名が、複数のネットワーク資源の一の集合に対応し、当該複数のネットワーク資源の集合が、前記サービス・ランドスケープ・インスタンス内の当該複数のネットワーク資源について必要とされる複数のセキュリティ・アクションを指定する、事前構成された複数のポリシ・ルール内で参照され、
前記グループ名が、前記構成されたポリシ・ルール内の一のネットワーク・アドレスの代わりに指定される、システム。
【請求項２９】
前記システムが、前記新しくプロビジョンされるネットワーク資源を前記既存のネットワーク資源データベースに追加することにより、当該ネットワーク資源のプロビジョニングを行うように動作可能であり、
前記システムが、新しいアプリケーションを前記サービス・ランドスケープ・インスタンス内に配備し且つ前記新しいアプリケーション及び前記サービス・ランドスケープ・インスタンスの他のネットワーク資源の間の通信用の新しいセキュリティ・ポリシ・ルールを含むように、前記サービス・ランドスケープ・モデルを再構成することにより、前記ネットワーク資源のプロビジョニングを行うためのコンポーネントをさらに備える、請求項２８に記載のシステム。
【請求項３０】
前記システムが、前記新しくプロビジョンされるネットワーク資源を前記既存のネットワーク資源データベースに追加することにより、当該ネットワーク資源のプロビジョニングを行うように動作可能であり、
前記システムが、前記サービス・ランドスケープ・モデルを変更することなく前記新しくプロビジョンされるネットワーク資源を追加することにより、当該ネットワーク資源のプロビジョニングを行うためのコンポーネントと、
前記プロビジョニングによって影響を受ける各ネットワーク資源において前記複数のポリシ・ルールのローカル・バージョンを再構築するためのコンポーネントをさらに備える、請求項２８のシステム。
【請求項３１】
前記システムが、前記ネットワーク資源データベースを再読み取りし且つ前記新しくプロビジョンされたネットワーク資源を前記複数のポリシ・ルールの前記ローカル・バージョン内に維持された前記資源グループに追加することにより、ローカル・バージョンを再構築するように動作可能である、請求項３０に記載のシステム。
【請求項３２】
前記構成されたポリシがランタイム使用に適合する形式に変換されるときに、影響を受ける各ネットワーク資源において前記新しくプロビジョンされたネットワーク資源に対応する新しいランタイム・ルールを作成するためのコンポーネントをさらに備える、請求項３１に記載のシステム。
【請求項３３】
前記資源データベースの再読み取り及び前記構成されたポリシのランタイム形式の更新を行うことができるように、前記新しくプロビジョンされたネットワーク資源を保持する前記資源データベースを、管理可能ドメイン・プロビジョニング・マネージャから前記サービス・ランドスケープ・インスタンス内の影響を受ける各ネットワーク資源にプッシュするためのコンポーネントをさらに備える、請求項３２に記載のシステム。
【請求項３４】
前記資源データベースが更新されたことを、影響を受ける各ネットワーク資源に通知するためのコンポーネントをさらに備え、
影響を受ける少なくとも１つのネットワーク資源の前記構成されたポリシのランタイム形式を更新することができるように、当該影響を受ける少なくとも１つのネットワーク資源が、前記資源データベースの現バージョンを要求するように動作可能である、請求項３２に記載のシステム。
【請求項３５】
影響を受ける少なくとも１つのネットワーク資源の前記構成されたポリシのランタイム形式を更新することができるように、当該影響を受ける少なくとも１つのネットワーク資源が、前記資源データベースの現バージョンを要求するように動作可能である、請求項３２に記載のシステム。
【請求項３６】
請求項１ないし請求項１７の何れか１項に記載の方法の各ステップをコンピュータに実行させるためのコンピュータ・プログラム。
【図１】
【図２】
【図３】
【図４】
【図５】
【図２】
【図３】
【図４】
【図５】
【公表番号】特表２０１１−５２７７８１（Ｐ２０１１−５２７７８１Ａ）
【公表日】平成２３年１１月４日（２０１１．１１．４）
【国際特許分類】
【出願番号】特願２０１１−５１５４２９（Ｐ２０１１−５１５４２９）
【出願日】平成２１年６月３０日（２００９．６．３０）
【国際出願番号】ＰＣＴ／ＥＰ２００９／０５８１８２
【国際公開番号】ＷＯ２０１０／０００７３８
【国際公開日】平成２２年１月７日（２０１０．１．７）
【出願人】（３９０００９５３１）インターナショナル・ビジネス・マシーンズ・コーポレーション (4,084)
【氏名又は名称原語表記】ＩＮＴＥＲＮＡＴＩＯＮＡＬ ＢＵＳＩＮＥＳＳ ＭＡＳＣＨＩＮＥＳ ＣＯＲＰＯＲＡＴＩＯＮ
【Ｆターム（参考）】
【公表日】平成２３年１１月４日（２０１１．１１．４）
【国際特許分類】
【出願日】平成２１年６月３０日（２００９．６．３０）
【国際出願番号】ＰＣＴ／ＥＰ２００９／０５８１８２
【国際公開番号】ＷＯ２０１０／０００７３８
【国際公開日】平成２２年１月７日（２０１０．１．７）
【出願人】（３９０００９５３１）インターナショナル・ビジネス・マシーンズ・コーポレーション (4,084)
【氏名又は名称原語表記】ＩＮＴＥＲＮＡＴＩＯＮＡＬ ＢＵＳＩＮＥＳＳ ＭＡＳＣＨＩＮＥＳ ＣＯＲＰＯＲＡＴＩＯＮ
【Ｆターム（参考）】
[ Back to top ]