JP7102621B2 - Ａｐｉおよび暗号化鍵のシークレット管理システムおよび方法 - Google Patents

Description

本開示は、一般にシークレット管理システムおよび方法に関し、特に、ＡＰＩおよび暗号化鍵のセキュリティ管理システムおよび方法に関する。

関連技術の説明
インターネットセキュリティは、サイバースペース、ｅコマース、およびインターネット全般における大きな懸念事項および潜在的な責任の１つである。ハッカーまたは他の悪意ある者によって悪用される可能性のある潜在的な脆弱性には、多くの種類がある。

例えば、ウェブサイトなどのソフトウェアアプリケーションがサードパーティのＡＰＩを活用することがますます増えている。多くのシステムでは、ＡＰＩ、パスワード、秘密鍵、認証情報、暗号鍵、および他のシークレットが、アプリケーションのコードリポジトリおよびデータベースに格納される。このようなシステムでは、アプリケーションの鍵がウェブサイトの外部で使用されるのを防止することはできない。アプリケーションがハッキングされた場合、通常、ハッカーが最初に行うのは、環境のコピーを作製することである。これは、ハッキングがＳＱＬエクスプロイトの場合はハッカーがアプリケーションデータベースのコピーを取得するか、またはハッキングがサーバ違反の場合はハッカーがサーバのコピーを取得することを意味する。そのため、シークレットが失われ、シークレットが保護するデータおよびサービスが侵害されている可能性がある。

これらのＡＰＩ鍵を、アプリケーションのコードリポジトリまたはデータベースから削除し、暗号化し、および分離されたシステムに安全に格納することにより、機密データ、ウェブトランザクション、および通信を保護することが主に必要である。これにより、アプリケーションが侵害された場合、または開発者がアプリケーションのコードリポジトリまたはデータベースのローカルコピーを有している場合に行われる可能性のある損害を制限する。

アプリケーション開発およびホスティングの世界で発生する別の問題は、開発環境で本番データを復号化する問題である。これは、悪意ある開発者または他の個人の動作が原因で発生する可能性がある。代替的に、これは、開発者が本番シークレットを分離する方法を知らない場合に、偶然に発生する可能性がある。また、例として、開発ユーザから本番ユーザにテスト通知を送信するなど、サードパーティの本番サービスを誤って引き起こす可能性もある。

さらに、アプリケーション開発およびホスティングの世界で発生するまた別の問題は、データがクラウドに格納されている場合に、データが地理的にどこに配置されているかを制御することができる必要があることである。典型的に、会社が会社のデータを管理下にあるクラウドに格納する場合、データの格納場所はほとんど制御することができず、これは、セキュリティ問題、規制問題、および／または他の問題が原因で問題になり得る。

シークレット管理技術に関する当技術分野においてインターネットおよび様々なアプリケーションにセキュリティを継続的に提供する必要性がある。

いくつかの実装形態によれば、１つ以上のオフサイトの場所でシークレットを管理するためのホスト型シークレット管理トランスポートシステムが開示されている。いくつかのそのような実装形態では、システムは、構成要素のより大きな機能グループである、２つ以上の管轄（ｓｏｖｅｒｅｉｇｎｔｙ）を含む。１つ以上の実装形態では、各管轄は独立したマスターレコードを有し、各管轄は、２つ以上の領域、すなわちプライマリ領域および任意の数のセカンダリ領域を含む。いくつかの実装形態では、ホスト型シークレット管理トランスポートシステムはまた、その管轄のシークレットのプライマリストレージである各管轄のプライマリ領域に、マスターレコードハードウェアセキュリティモジュールを含む。マスターレコードハードウェアセキュリティモジュールは、その対応する管轄内のシークレットに対するすべての動作に関する真実レコードである。いくつかのそのような実装形態では、シークレットの動作には、作成動作、更新動作、および削除動作のうちの１つ以上が含まれる。

いくつかの実装形態の別の態様では、ホスト型シークレット管理トランスポートシステムは、管轄のプライマリ領域ではない２つ以上の領域であるセカンダリ領域に、バックアップレコードハードウェアセキュリティモジュールをさらに含む。１つ以上の実装形態では、バックアップレコードハードウェアセキュリティモジュールは、マスターレコードハードウェアセキュリティモジュールからライブレプリケーションを受信する。バックアップレコードハードウェアセキュリティモジュールは、管轄のマスターレコードハードウェアセキュリティモジュールからデータのバックアップが作成される場所である。いくつかの実装形態のまた別の態様では、ホスト型シークレット管理トランスポートシステムは、バックアップレコードハードウェアセキュリティモジュールからライブレプリケーションを受信する２つ以上の領域の各々に包含される、プライマリキャッシュハードウェアセキュリティモジュールを含む。いくつかの実装形態のさらに別の態様では、ホスト型シークレット管理トランスポートシステムは、２つ以上の領域の各々に包含されるハードウェアセキュリティモジュールキャッシュプールを含む。各ハードウェアセキュリティモジュールキャッシュプールは、領域内のトラフィックの必要性に応じて、その対応するプライマリキャッシュハードウェアセキュリティモジュールから複製するように拡張可能である。

いくつかの実装形態では、ホスト型シークレット管理トランスポートシステムは、２つ以上の領域の各々に含まれるソフトウェアコンテナのクラスタおよびソフトウェアコンテナ管理システムをさらに含む。ソフトウェアコンテナ管理システムは、ソフトウェアコンテナが利用可能であり適切に動作することを保証する。このようにして、領域のクラスタ内のソフトウェアコンテナからの要求は、すべての読み出しに対して、プライマリキャッシュハードウェアセキュリティモジュールとハードウェアセキュリティモジュールキャッシュプールとの間で負荷分散される。１つ以上の実装形態では、値が要求されると、システムは値の発信元の管轄を識別し、要求の発信元の管轄と異なりかつ許容される場合は、発信元の管轄に値を要求し、次にこの値は、要求が発信された領域のプライマリキャッシュハードウェアセキュリティモジュールにキャッシュされる。次に、値はレプリケーションを介してハードウェアセキュリティモジュールキャッシュプールに配布される。

ホスト型シークレット管理トランスポートシステムのいくつかの実装形態では、管轄は地政学的境界に基づいて定義される。地政学的境界には、限定のためではなく単に例示するために、国、国の連合、または国のグループが含まれ得る。ホスト型シークレット管理トランスポートシステムの他の実装形態では、管轄は、領域を編成するように任意に定義され基づき、単一のグループ、会社、または企業に結合されているシークレットを保持する。ホスト型シークレット管理トランスポートシステムのいくつかの実装形態の別の態様では、領域は、地域的方角（東、西、北、および南）または管轄を有する国を含む、現実世界の境界によって定義される。ホスト型シークレット管理トランスポートシステムの他の実装形態では、領域は、同一のクラウドプロバイダ、異なるクラウドプロバイダ、オンプレミスシステム、およびプライベートクラウドのうちの１つ以上に包含された固有のデータセンターに、完全にまたは部分的に基づいている。

１つ以上の実装形態では、セカンダリ領域は、プライマリ領域全体が利用可能ではなくなった場合に高い可用性を提供する。ホスト型シークレット管理トランスポートシステムのいくつかの実装形態の別の態様では、マスターレコードは、すべての書き込み動作が発生する場所である。ホスト型シークレット管理トランスポートシステムのいくつかの実装形態のまた別の態様では、緊急事態の間を除いて、マスターレコードに対する読み出し動作は発生しない。ホスト型シークレット管理トランスポートシステムのいくつかの実装形態のさらに別の態様では、バックアップレコードハードウェアセキュリティモジュールは、データベースロックが発生する可能性を低減または排除するために、マスターレコードハードウェアセキュリティモジュールへの負荷を可能な限り低く保持する。ホスト型シークレット管理トランスポートシステムのいくつかの実装形態では、プライマリキャッシュハードウェアセキュリティモジュールは、その対応する領域内のすべてのキャッシュされた値のプライマリレプリケーションソースとして機能する。

いくつかの実装形態の別の態様では、ホスト型シークレット管理トランスポートシステムは、複製された値を管轄間で安全に配布して要求の遅延を低減し、複製された値をプライマリキャッシュハードウェアセキュリティモジュールおよびハードウェアセキュリティモジュールキャッシュプールを介して配布し、一方で対応する管轄のマスターレコードハードウェアセキュリティモジュールは、常に元の値を包含する。ホスト型シークレット管理トランスポートシステムのいくつかの実装形態では、１つの領域がプライマリデータベースクラスタで指定され、データはプライマリデータベースクラスタに格納される。プライマリデータベースクラスタから、データは各領域に配置された分散レプリカデータベースにグローバルに複製される。ホスト型シークレット管理トランスポートシステムの１つ以上の実装形態では、プライマリデータベースクラスタに格納されるデータは、システムで管理されるシークレットのメタデータであり、名前、内部名、バージョン番号、発信元の管轄、および値が配布され得る場所を保護するセキュリティポリシーのうちの１つ以上を含む。ホスト型シークレット管理トランスポートシステムのいくつかの実装形態では、メタデータを単一のエンティティとして格納するのではなく、データは、メタデータエンティティを構築するためにレンダリングされるイベントのストリームとして格納される。このような実施形態では、イベントのストリームは、ミューテーション動作の実行を引き起こすすべてのイベントの永続的な監査ログを提供する。ホスト型シークレット管理トランスポートシステムの１つ以上の実装形態では、永続的な監査ログ内のイベントは、異常およびセキュリティの問題について機械学習を使用して分析される。

ホスト型シークレット管理トランスポートシステムのいくつかの実装形態では、クライアントはユーザによって作成され、鍵束（ＫｅｙＲｉｎｇ）に結合されるが、特定の環境の値へのアクセスを制限し、本番環境および開発環境などの様々な環境の値が交差しないことを保障にする。ホスト型シークレット管理トランスポートシステムのいくつかの実装形態では、クライアントは環境に結合されている。ホスト型シークレット管理トランスポートシステムのいくつかのそのような実装形態では、異なる種類の環境は、限定のためではなく単に例示するために、本番、ステージング、テスト、および開発を含む。

ホスト型シークレット管理トランスポートシステムのいくつかの実装形態では、すべての領域にプライベートサブネットを含む。いくつかのそのような実装形態では、領域内の構成要素のすべてが、様々なアベイラビリティーゾーン内のプライベートサブネットに配置されているため、インターネットへの外部接続を介した直接接触のいずれの可能性も排除される。いくつかの実装形態の別の態様では、領域間のすべての通信および管轄間の通信は、セキュリティを強化するために、仮想プライベートネットワーク接続などの暗号化された接続によって処理される。

ホスト型シークレット管理トランスポート方法の別の実装形態では、方法は、１つ以上のオフサイトの場所でシークレットを管理する。方法は、構成要素のより大きな機能的グループである２つ以上の管轄の境界を定義することであって、各管轄が独立したマスターレコードを有し、各管轄が２つ以上の領域を含む、定義することと、２つ以上の領域内でプライマリ領域を定義することと、プライマリ領域内の、シークレットのプライマリソースであるマスターレコードハードウェアセキュリティモジュールにアクセスすることであって、マスターレコードハードウェアセキュリティモジュールは、その対応する管轄内のシークレットに対するすべての動作に関する真実レコードであり、シークレットに対する動作は、作成動作、更新動作、および削除動作のうちの１つ以上を含む、アクセスすることと、プライマリ領域ではない、２つ以上の領域の領域外を定義することと、領域外の中の、マスターレコードハードウェアセキュリティモジュールからのシークレットのデータバックアップが作成される場所である、バックアップレコードハードウェアセキュリティモジュールにアクセスすることと、マスターレコードハードウェアセキュリティモジュールから、バックアップレコードハードウェアセキュリティモジュールへのライブレプリケーションを実行することと、２つ以上の領域の各々の、バックアップレコードハードウェアセキュリティモジュールからライブレプリケーションを受信する、プライマリキャッシュハードウェアセキュリティモジュールにアクセスすることと、２つ以上の領域の各々の、ハードウェアセキュリティモジュールキャッシュプールにアクセスすることであって、ハードウェアセキュリティモジュールキャッシュプールが、領域内のトラフィックの必要性に応じてプライマリキャッシュハードウェアセキュリティモジュールから複製するように拡張可能である、アクセスすることと、管轄内の２つ以上の領域の各々の、ソフトウェアコンテナのクラスタ、およびソフトウェアコンテナが利用可能であり適切に動作していることを保証するソフトウェアコンテナ管理システムにアクセスすることと、ソフトウェアコンテナにおける値の要求を受信することであって、領域のクラスタ内のソフトウェアコンテナからの値の要求は、すべての読み出しについて、プライマリキャッシュハードウェアセキュリティモジュールとハードウェアセキュリティモジュールキャッシュプールの間で負荷分散される、受信することと、を含み、値が要求された場合に、システムは値の発信元の管轄を調べ、要求の発信元の管轄と異なりかつ許容される場合は、発信元の管轄に値を要求し、次に値が要求が発信された領域のプライマリキャッシュハードウェアセキュリティモジュールにキャッシュされ、次に値がレプリケーションを介してハードウェアセキュリティモジュールキャッシュプールに配布される。

ホスト型シークレット管理トランスポート方法のいくつかの実装形態では、管轄は地政学的境界に基づいて定義される。地政学的境界には、限定のためではなく単に例示するために、国、国の連合、または国のグループが含まれ得る。ホスト型シークレット管理トランスポート方法の他の実装形態では、管轄は、領域を編成するように任意に定義され基づき、単一のグループ、会社、または企業に結合されているシークレットを保持する。ホスト型シークレット管理トランスポート方法のいくつかの実装形態の別の態様では、領域は、地域的方角（東、西、北、および南）または管轄を有する国を含む、現実世界の境界によって定義される。ホスト型シークレット管理トランスポート方法の他の実装形態では、領域は、同一のクラウドプロバイダ、異なるクラウドプロバイダ、オンプレミスシステム、およびプライベートクラウドのうちの１つ以上に包含された固有のデータセンターに、完全にまたは部分的に基づいている。

１つ以上の実装形態では、セカンダリ領域は、プライマリ領域全体が利用可能ではなくなった場合に高い可用性を提供する。ホスト型シークレット管理トランスポート方法のいくつかの実装形態の別の態様では、マスターレコードは、すべての書き込み動作が発生する場所である。ホスト型シークレット管理トランスポート方法のいくつかの実装形態のまた別の態様では、緊急事態の間を除いて、マスターレコードに対する読み出し動作は発生しない。ホスト型シークレット管理トランスポート方法のいくつかの実装形態のさらに別の態様では、バックアップレコードハードウェアセキュリティモジュールは、データベースロックが発生する可能性を低減または排除するために、マスターレコードハードウェアセキュリティモジュールへの負荷を可能な限り低く保持する。ホスト型シークレット管理トランスポート方法のいくつかの実装形態では、プライマリキャッシュハードウェアセキュリティモジュールは、その対応する領域内のすべてのキャッシュされた値のプライマリレプリケーションソースとして機能する。

いくつかの実装形態の別の態様では、ホスト型シークレット管理トランスポート方法は、複製された値を管轄間で安全に配布して要求の遅延を低減し、複製された値をプライマリキャッシュハードウェアセキュリティモジュールおよびハードウェアセキュリティモジュールキャッシュプールを介して配布し、一方で対応する管轄のマスターレコードハードウェアセキュリティモジュールは、常に元の値を包含する。ホスト型シークレット管理トランスポート方法のいくつかの実装形態では、１つの領域がプライマリデータベースクラスタで指定され、データはプライマリデータベースクラスタに格納される。プライマリデータベースクラスタから、データは各領域に配置された分散レプリカデータベースにグローバルに複製される。ホスト型シークレット管理トランスポート方法の１つ以上の実装形態では、プライマリデータベースクラスタに格納されるデータは、本方法で管理されるシークレットのメタデータであり、名前、内部名、バージョン番号、発信元の管轄、および値が配布され得る場所を保護するセキュリティポリシーのうちの１つ以上を含む。ホスト型シークレット管理トランスポートシステムのいくつかの実装形態では、メタデータを単一のエンティティとして格納するのではなく、データは、メタデータエンティティを構築するためにレンダリングされるイベントのストリームとして格納される。このような実施形態では、イベントのストリームは、ミューテーション動作の実行を引き起こすすべてのイベントの永続的な監査ログを提供する。ホスト型シークレット管理トランスポートシステムの１つ以上の実装形態では、永続的な監査ログ内のイベントは、異常およびセキュリティの問題について機械学習を使用して分析される。

ホスト型シークレット管理トランスポート方法のいくつかの実装形態では、クライアントはユーザによって作成され、鍵束に結合されるが、特定の環境の値へのアクセスを制限し、本番環境および開発環境などの様々な環境の値が交差しないことを保障する。ホスト型シークレット管理トランスポート方法のいくつかの実装形態では、クライアントは環境に結合されている。ホスト型シークレット管理トランスポート方法のいくつかのそのような実装形態では、異なる種類の環境は、限定のためではなく単に例示するために、本番、ステージング、テスト、および開発を含む。

ホスト型シークレット管理トランスポート方法のいくつかの実装形態では、すべての領域にプライベートサブネットを含む。いくつかのそのような実装形態では、領域内の他のすべての構成要素が、様々なアベイラビリティーゾーン内のプライベートサブネットに配置されているため、インターネットへの外部接続を介した直接接触のいずれの可能性も排除される。いくつかの実装形態の別の態様では、領域間のすべての通信および管轄間の通信は、セキュリティを強化するために、仮想プライベートネットワーク接続などの暗号化された接続によって処理される。

１つ以上の他の実装形態では、１つ以上のオフサイトの場所でシークレットを管理するためのホスト型シークレット管理トランスポートシステムが開示されている。いくつかのそのような実装形態では、システムは、構成要素のより大きな機能グループである、２つ以上の管轄を含む。１つ以上の実装形態では、各管轄は独立したマスターレコードを有し、各管轄は、少なくともプライマリ領域およびセカンダリ領域をさらに含む、２つ以上の領域を含む。いくつかの実装形態では、ホスト型シークレット管理トランスポートシステムはまた、その管轄のシークレットのプライマリストレージである、各管轄のプライマリ領域のマスターレコードハードウェアセキュリティモジュールを含む。マスターレコードハードウェアセキュリティモジュールは、その対応する管轄内のシークレットに対するすべての動作に関する真実レコードである。いくつかのそのような実装形態では、シークレットに対する動作には、作成動作、更新動作、および削除動作のうちの１つ以上が含まれる。

いくつかの実装形態の別の態様では、ホスト型シークレット管理トランスポートシステムは、管轄のプライマリ領域ではない１つ以上のセカンダリ領域に、バックアップレコードハードウェアセキュリティモジュールをさらに含む。１つ以上の実装形態では、バックアップレコードハードウェアセキュリティモジュールは、複数の異なる会社のマルチテナントシークレット管理を同時にサポートするマスターレコードハードウェアセキュリティモジュールからライブレプリケーションを受信する。１つ以上の実装形態では、バックアップレコードハードウェアセキュリティモジュールは、マスターレコードハードウェアセキュリティモジュールからデータのバックアップが作成される場所である。

いくつかの実装形態のまた別の態様では、ホスト型シークレット管理トランスポートシステムは、バックアップレコードハードウェアセキュリティモジュールからライブレプリケーションを受信する２つ以上の領域の各々に包含される、プライマリキャッシュハードウェアセキュリティモジュールを含む。いくつかの実装形態のさらに別の態様では、ホスト型シークレット管理トランスポートシステムは、２つ以上の領域の各々に包含されるハードウェアセキュリティモジュールキャッシュプールを含む。各ハードウェアセキュリティモジュールキャッシュプールは、領域内のトラフィックの必要性に応じて、その対応するプライマリキャッシュハードウェアセキュリティモジュールから複製するように拡張可能である。

いくつかの実装形態では、ホスト型シークレット管理トランスポートシステムは、２つ以上の領域の各々に含まれるソフトウェアコンテナのクラスタおよびソフトウェアコンテナ管理システムをさらに含む。ソフトウェアコンテナ管理システムは、ソフトウェアコンテナが利用可能であり適切に動作することを保証する。このようにして、領域のクラスタ内のソフトウェアコンテナからの要求は、すべての読み出し動作について、プライマリキャッシュハードウェアセキュリティモジュールとハードウェアセキュリティモジュールキャッシュプールとの間で負荷分散される。

１つ以上の実装形態では、存在しない値が要求されると、システムは値の発信元の管轄を識別し、要求の発信元の管轄と異なりかつ許容される場合は、発信元の管轄に値を要求し、次にこの値は、要求が発信された領域のプライマリキャッシュハードウェアセキュリティモジュールにキャッシュされる。次に、値はライブレプリケーションを介してハードウェアセキュリティモジュールキャッシュプールに配布される。

図面中、同一の参照符号は同様の要素または動作を識別する。図面中の要素のサイズおよび相対位置は、必ずしも一定の縮尺で描かれているわけではない。例えば、様々な要素の形状および角度は一定の縮尺で描かれておらず、これらの要素の一部は、図面の分かりやすさを改善するため任意に拡大されて位置付けられる。さらに、描かれているように、要素の特定の形状は、必ずしも特定の要素の実際の形状に関する任意の情報を伝えることを意図するものではなく、図面中の認識を簡素化するために選択されているに過ぎない。

複数の管轄およびそこに包含される複数の領域を含む、ホスト型シークレット管理トランスポートシステムを示す概略図であり、システムが、シークレットフロー、シークレットの取り出し、およびシークレットの複製を容易にする。 複数の管轄およびそこに包含される複数の領域を含む、ホスト型シークレット管理トランスポートシステムを示す概略図であり、システムが、シークレットフロー、シークレットの取り出し、およびシークレットの複製を容易にする。 単一の管轄およびそこに包含された複数の領域を含む、ホスト型シークレット管理トランスポートシステムの一部を示す概略図である。 単一の領域を含む、ホスト型シークレット管理トランスポートシステムの一部を示す概略図である。 様々な鍵束、クライアント、およびユーザ間の関係を示す概略図である。 ユーザアカウント、鍵束、開発クライアント、および本番クライアントがどのように作成されるかを示す概略図である。 ユーザ、本番クライアント、開発クライアント、鍵束、本番シークレット、開発シークレット、およびそれらの複数のバージョンが関与するシークレット格納処理を示す概略図である。 ホスト型シークレット管理トランスポートシステムで使用されるプロセッサベースのクライアントの例のブロック図である。

当業者は、本開示が例示にすぎず、決して限定するものではないことを理解するであろう。本明細書に開示される特徴および教示内容の各々は、別個に、またはホスト型シークレット管理システムおよび方法を提供するための他の特徴および教示内容と組み合わせて利用されることができる。これらの追加の特徴および教示内容の多くを個別におよび組み合わせて利用する代表的な例は、添付の図面を参照してさらに詳細に説明されている。この詳細な説明は、当業者に本教示内容の態様を実装するためのさらなる詳細を教示することを単に意図しており、特許請求の範囲を限定することを意図しているわけではない。したがって、詳細な説明に開示された特徴の組み合わせは、最も広義の教示内容を実践するために必要となり得ず、代わりに、本教示内容の特に代表的な例を説明するためだけに教示される。

本明細書の詳細な説明のいくつかの部分は、アルゴリズム、およびコンピュータメモリ内のデータビットに基づく動作の記号表現の観点から提示されている。これらのアルゴリズム的な記述および表現は、データ処理技術の当業者が、自らの研究の実体を他の当業者に最も効果的に伝えるために使用する手段である。アルゴリズムはここで、および一般に、所望の結果をもたらす首尾一貫した一連のステップであると考えられる。ステップは、物理量の物理的な操作を必要とするステップである。通常、必ずしもそうとは限らないが、これらの量は、格納され、伝送され、組み合わされ、比較され、およびそれ以外の操作をされることが可能な、電気信号または磁気信号の形式をとる。主に一般的な使用法であるという理由から、これらの信号をビット、値、要素、記号、文字、用語、数値などと呼ぶことが時として便利であることが分かっている。

ただし、これらおよび同様の用語のすべては、適切な物理量に関連付けられる対象であること、およびこれらの量に適用される単なる便利なラベルにすぎないことに留意すべきである。以下の説明から明らかなように、特に明記しない限り、本説明全体を通して、「処理（ｐｒｏｃｅｓｓｉｎｇ）」、「コンピューティング（ｃｏｍｐｕｔｉｎｇ）」、「計算（ｃａｌｃｕｌａｔｉｎｇ）」、「判定（ｄｅｔｅｒｍｉｎｉｎｇ）」、「表示（ｄｉｓｐｌａｙｉｎｇ）」、「構成（ｃｏｎｆｉｇｕｒｉｎｇ）」など、または同様の用語を利用した説明は、コンピュータシステムのレジスタおよびメモリ内の物理的（電子的）量として表現されるデータを操作して、コンピュータシステムのメモリまたはレジスタまたは他のそのような情報ストレージ、送信デバイスまたは表示デバイス内の物理的量として同様に表現される他のデータに変換する、コンピュータシステムまたは同様のコンピューティングデバイスの動作および処理に言及するものであると理解される。

さらに、代表的な例の様々な特徴および従属請求項は、本教示内容の追加の有用な実施形態を提供するために、具体的かつ明示的に列挙されていない方法で組み合わせることができる。エンティティのグループのすべての値の範囲または表示は、元の開示の目的、および特許請求された主題を制限する目的で、すべての可能な中間値または中間エンティティを開示することにも明確に留意されたい。図に示されている構成要素の寸法および形状は、本教示内容がどのように実践されているかを理解するのに役立つように設計されているが、例に示されている寸法および形状を限定することを意図するものではないことにも明確に留意されたい。

文脈上別段の要求がない限り、続く明細書および特許請求の範囲全体を通じて、「含む（ｃｏｍｐｒｉｓｅ）」という単語およびその変形、例えば「含む（ｃｏｍｐｒｉｓｅｓ）」および「含む（ｃｏｍｐｒｉｓｉｎｇ）」などは、オープンで包括的な意味で、すなわち「含むが、それに限られない」と解釈されるべきである。本明細書全体を通して、「１つの実装形態（ｏｎｅ ｉｍｐｌｅｍｅｎｔａｔｉｏｎ）」または「実装形態（ａｎ ｉｍｐｌｅｍｅｎｔａｔｉｏｎ）」に対する言及は、特定の特徴、構造、または特性が、１つ以上の実装形態において任意の好適な方法で組み合わされ得ることを意味する。

本明細書および添付の特許請求の範囲で使用されるように、単数形の「ａ」、「ａｎ」、および「ｔｈｅ」は、内容が明確に別段の指示をしない限り、複数の指示対象を含む。「または（ｏｒ）」という用語は、内容が明確に別段の指示をしない限り、一般にその最も広義の意味で、すなわち「および／または（ａｎｄ／ｏｒ）」を意味するものとして採用されることにも留意されたい。本明細書に提供されている見出しおよび開示の要約は、便宜上のものであり、実装形態の範囲または意味を解釈するものではない。

本明細書に開示されているのは、ＤｒｕｐａｌおよびＷｏｒｄＰｒｅｓｓなどの最新のコンテンツ管理システム（ＣＭＳ）のためのホスト型シークレット管理トランスポートシステムおよび方法１００である。これにより、アプリケーションは、安全なオフサイトでホストされた環境でアプリケーションシークレット（例えばＡＰＩおよび暗号化鍵の管理など）へのアクセスを適切に管理することができる。ホスト型シークレット管理トランスポートシステムおよび方法１００は、任意のアプリケーションに統合されて、ＡＰＩトークン、パスワード、および暗号化鍵などの値を格納するための安全な方法を提供する。ホスト型シークレット管理トランスポートシステムおよび方法１００は、重大な脆弱性から保護し、アプリケーションが多くの業界規制（例えば、ＰＣＩ ＤＳＳ、ＨＩＰＡＡならびに他のセキュリティ要件および規制）に準拠するのを助け、アプリケーションのデータを保護するための多層防御「多層」アプローチを提供するオフサイト鍵管理ソリューションを採用している。いくつかの実装形態では、ホスト型シークレット管理トランスポートシステムおよび方法１００は、ＡＥＳ－２５６暗号方式をアプリケーションのカスタムプラグインにシームレスに提供し、エンタープライズグレードのＨＳＭ（ハードウェアセキュリティモジュール）鍵管理を送達しながら、アプリケーション内の保存データを保護する。

いくつかの実装形態では、ホスト型シークレット管理トランスポートシステムおよび方法１００は、暗号化された値を受け取り、それらをオフサイトの場所にルーティングする認証、配送、およびルーティングのシステムであり、このオフサイトの場所でそれらの値は、例えばタウンゼントセキュリティ社によって提供されるＨＳＭ内に暗号化されて保存される。ホスト型シークレット管理トランスポートシステムおよび方法１００は、アプリケーション管理者に機密鍵を格納する方法および場所を制御する能力を提供し、これによって、アプリケーションの全体的なセキュリティを改善し、アプリケーションが鍵管理の特定の規制およびコンプライアンス要件を満たすことを可能にする。

１つ以上の実装形態では、ホスト型シークレット管理トランスポートシステムおよび方法１００により、すべてのサイズのアプリケーションが、管理された拡張可能なクラウド鍵管理システムを用いた鍵管理の業界標準を満たすことが可能となる。他のサードパーティの鍵管理者とは異なり、ホスト型シークレット管理トランスポートシステムおよび方法１００は、セキュリティおよびシステム監視の追加の層を提供する。いくつかの実装形態では、ホスト型シークレット管理トランスポートシステムおよび方法１００は、オフサイトＡＰＩおよび暗号化鍵管理を組み込んで、アプリケーションがＨＩＰＡＡ、ＦＥＲＰＡ、およびＦＩＳＭＡに準拠するのを助ける。いくつかの実装形態では、ホスト型シークレット管理トランスポートシステムおよび方法１００は、アプリケーションの鍵のシームレスな統合および保護のために、多数のサードパーティプラグインのＡＰＩ鍵を保護するように自動的に構成される。ホスト型シークレット管理システムおよび方法１００の１つ以上の実装形態では、システムは、複数の領域の冗長性、ユニバーサル統合のためのプラットフォーム非依存型ＲＥＳＴ ＡＰＩ、およびアプリケーションの管理者がデータ管轄のためにデータを格納する場所を選択することができるようにする領域固有のデータ分離を提供する。

いくつかの実装形態では、ホスト型シークレット管理トランスポートシステムおよび方法１００は、アプリケーションの値を安全な暗号化されたＨＳＭに格納することに加えて、開発環境および本番環境の値を互いに分離する。ホスト型シークレット管理トランスポートシステムおよび方法１００のこの特徴は、いくつかの技術的改善を提供する。第１に、アプリケーション管理者が、ホスト型シークレット管理システムおよび方法１００に格納された鍵を用いて本番環境からの値を暗号化する場合、それらの値は開発環境では復号化されることができない。これは、暗号化されたデータへのアクセス権を有するユーザをアプリケーション管理者が制御することができる必要のある、規制された環境では重要である。第２に、ホスト型シークレット管理トランスポートシステムおよび方法１００によって提供されるデータ分離は、電子メールが開発環境から本番サービスに誤って送信された場合に、暗号化された値が侵害されるのを防止する。ホスト型シークレット管理トランスポートシステムおよび方法１００は、アプリケーションの本番トークンおよび鍵を開発者から遠ざけることによって、アプリケーションの開発環境を分離する。

別の言い方をすれば、ホスト型シークレット管理トランスポートシステムおよび方法１００は、「環境ごと」に基づいて鍵を管理し、これにより、本番環境から開発環境に鍵が共有される可能性が低減または排除される。ホスト型シークレット管理システムおよび方法１００を使用するときに、機密情報が本番環境で暗号化される場合、そのデータは、その本番環境以外の場所では復号化されない可能性がある。このシナリオでは、データは、本番環境の外部では再取り出しすることができない本番鍵を用いて本番中に暗号化される。データベースが開発用に複製されている場合、ＣＭＳがアクセスすることができる鍵ではデータを復号化することができない。

いくつかの実装形態では、ホスト型シークレット管理トランスポートシステムおよび方法１００により、会社の管理ユーザは、会社のシークレットを格納する地理的領域を選択することができる（例えば、米国のユーザは、会社のシークレットを米国に格納したい場合がある）。アプリケーション管理者が米国外にいる場合、ホスト型シークレット管理トランスポートシステムおよび方法１００により、アプリケーション管理者は、そのシークレットを格納するため別の利用可能な領域を選択することができる。ホスト型シークレット管理トランスポートシステムおよび方法１００における領域は分離されているため、１つの領域に設定された値は任意の他の領域においても利用することができない。

図１を参照すると、ホスト型シークレット管理トランスポートシステムおよび方法１００の１つ以上の実装形態は、複数の管轄１１０および複数の領域１２０の使用を組み込んでいる。具体的には、ホスト型シークレット管理トランスポートシステムおよび方法１００は、構成要素のより大きな機能的グループである２つ以上の管轄１１０を含む。１つ以上の実装形態では、各管轄１１０は独立したマスターレコードを有し、各管轄１１０は、各々が少なくともプライマリ領域１２０およびセカンダリ領域１２０をさらに含む、２つ以上の領域１２０を含む。いくつかの実装形態では、管轄１１０は、地政学的境界（例えば、米国、欧州連合など）に基づいて描かれる場合がある。他の実装形態では、管轄１１０は、領域１２０を編成し、シークレットを単一のグループ（例えば、単一の会社または企業）に結合するために任意に描かれる場合がある。管轄１１０内の領域１２０は、現実世界の境界（例えば、東、西、管轄内の国）によって記述され得る。追加的に、管轄１１０内の領域１２０は、完全に一意のデータセンター（同一のクラウドプロバイダ内、異なるクラウドプロバイダ内、オンプレミスシステム内、プライベートクラウド内など）に基づくことができる。各管轄１１０内のプライマリ領域１２０およびセカンダリ領域１２０（および追加の可能性がある領域）は、プライマリ領域全体が利用できなくなった場合に高い可用性を提供する。

いくつかの実装形態では、ホスト型シークレット管理トランスポートシステム１００はまた、シークレットのプライマリソースである各管轄１１０のプライマリ領域１２０にマスターレコードハードウェアセキュリティモジュール１３０を含む。マスターレコードハードウェアセキュリティモジュール１３０は、その対応する管轄１１０内のシークレットに対するすべての動作の真実レコードである。いくつかのそのような実装形態では、シークレットの動作には、作成動作、更新動作、および削除動作のうちの１つ以上が含まれる。そのマスターレコードハードウェアセキュリティモジュール１３０は、すべての書き込み動作が発生する場所である。しかしながら、読み出し動作は、緊急シナリオの間を除いてマスターレコードハードウェアセキュリティモジュール１３０では発生しない。

別の態様では、ホスト型シークレット管理トランスポートシステム１００は、管轄１１０のセカンダリ領域１２０にバックアップレコードハードウェアセキュリティモジュール１４０をさらに含む。１つ以上の実装形態では、バックアップレコードハードウェアセキュリティモジュール１４０は、マスターレコードハードウェアセキュリティモジュール１３０からライブレプリケーションを受信する。バックアップレコードハードウェアセキュリティモジュール１４０は、管轄１１０のマスターレコードハードウェアセキュリティモジュール１３０からのデータバックアップが作成される場所であり、これは、データベースロックが発生する可能性を低減または排除するために、マスターレコードハードウェアセキュリティモジュール１３０への負荷を可能な限り低く保持する。

ここで別の構成要素を参照すると、ホスト型シークレット管理トランスポートシステムのいくつかの実装形態は、バックアップレコードハードウェアセキュリティモジュール１４０からライブレプリケーションを受信する２つ以上の領域１２０の各々に包含される、プライマリキャッシュハードウェアセキュリティモジュール１５０を含む。いくつかの実装形態のさらに別の構成要素では、ホスト型シークレット管理トランスポートシステム１００は、２つ以上の領域１２０の各々に包含されるハードウェアセキュリティモジュールキャッシュプール１６０を含む。各ハードウェアセキュリティモジュールキャッシュプール１６０は、領域１２０内のトラフィックの必要性に応じて、その対応するプライマリキャッシュハードウェアセキュリティモジュール１５０から複製するように拡張可能である。いくつかの実装形態では、プライマリキャッシュハードウェアセキュリティモジュール１５０は、その対応する領域１２０内のすべてのキャッシュされた値のプライマリ複製ソースとして機能する。

ここでさらに別の構成要素を参照すると、ホスト型シークレット管理トランスポートシステム１００のいくつかの実装形態は、２つ以上の領域１２０の各々に含まれるソフトウェアコンテナ１７０のクラスタおよびソフトウェアコンテナ管理システム１８０をさらに含む。ソフトウェアコンテナ管理システム１８０は、ソフトウェアコンテナ１７０が利用可能であり適切に動作することを保証する。ホスト型シークレット管理トランスポートシステム１００では、領域１２０内のコンテナ１７０から来る要求は、すべての読み出しについて、プライマリキャッシュハードウェアセキュリティモジュール１５０とハードウェアセキュリティモジュールキャッシュプール１６０との間で負荷分散される。コンテナ１７０は、オペレーティングシステム仮想化の方法であって、これにより、アプリケーションおよびその従属物がリソースが分離されたプロセスで実行されることを可能にする。コンテナ１７０は、展開環境に関係なく、アプリケーションが迅速、確実、かつ一貫して展開されることを保証する助けとなる。

ホスト型シークレット管理トランスポートシステム１００では、存在しない値が要求されると、システム１００は、値の発信元の管轄１１０を識別する。要求の発信元の管轄とは異なりかつ許容される場合、システムは、発信元の管轄１１０に値を要求し、次に、その値は、要求が発信元された領域１２０のプライマリキャッシュハードウェアセキュリティモジュール１５０にキャッシュされる。次に、値はレプリケーションを介してハードウェアセキュリティモジュールキャッシュプール１６０に配布される。この機能により、ホスト型シークレット管理システム１００は、複製された値を管轄１１０間で安全に配布して要求の遅延を低減し、複製された値をプライマリキャッシュハードウェアセキュリティモジュール１５０およびハードウェアセキュリティモジュールキャッシュプール１６０を介して配布し、一方で対応する管轄１１０のマスターレコードハードウェアセキュリティモジュール１３０は、常に元の値を包含する。

ホスト型シークレット管理システム１００のいくつかの実装形態では、２つ以上の領域１２０の各々は、データが格納されるプライマリデータベースクラスタ１９０を含む。プライマリデータベースクラスタ１９０から、データは分散レプリカデータベース１９４にグローバルに複製される。ホスト型シークレット管理システム１００の１つ以上の実装形態では、プライマリデータベースクラスタ１９０に格納されるデータは、システムで管理されるシークレットのメタデータであり、名前、内部名、バージョン番号、発信元の管轄、および値が配布され得る場所を保護するセキュリティポリシーのうちの１つ以上を含む。メタデータを単一のエンティティとして格納するのではなく、データは、イベントのストリームとして格納される。次に、これらのイベントがレンダリングされてメタデータエンティティを構築し、一方イベントストリームは、システム内で実行されるすべてのミューテーション動作の永続的な監査ログを提供する。この監査ログは、機械学習を使用することによって、異常およびセキュリティ上の懸念に関するイベントの追加の分析を可能にする。

ここで図３および図４を参照すると、ホスト型シークレット管理トランスポートシステム１００では、クライアントはユーザによって作成され、鍵束に結合されるが、特定の環境の値へのアクセスを制限し、本番環境および開発環境などの様々な環境の値が交差しないことを保障する。このようにして、クライアントは、ホスト型シークレット管理トランスポートシステム１００内の環境に結合される。ホスト型シークレット管理トランスポートシステム１００では、異なる種類の環境は、限定のためではなく単に例示するため、本番、ステージング、テスト、および開発を含む。

再び図１、図２Ａ、および図２Ｂを参照すると、ホスト型シークレット管理トランスポートシステム１００では、すべての領域１２０は、プライベートサブネット１９８を含む。１つ以上の実装形態では、プライベートサブネット１９８は、ソフトウェアコンテナ１７０およびソフトウェアコンテナ管理システム１８０を含む。いくつかのそのような実装形態では、領域１２０内のすべての構成要素が、様々なアベイラビリティ領域１２０内のプライベートサブネット１９８に配置されているため、インターネットへの外部接続を介した直接接触のいずれの可能性も排除される。別の態様では、領域１２０間のすべての通信および管轄１１０間の通信は、セキュリティを強化するために、例えば仮想プライベートネットワーク接続を介したプライベート暗号化接続によって処理される。

他の者が、ホスト型シークレット管理トランスポートシステムおよび方法１００によって解決される問題に対処しようと試みたが、成功していない。そのようなサードパーティの試みのいくつかは、ホスト型シークレット管理トランスポートシステムおよび方法１００の最終機能といくつかの類似点を有する。しかしながら、ホスト型シークレット管理トランスポートシステムおよび方法１００の設計および機能は固有である。例えば、ホスト型シークレット管理トランスポートシステムおよび方法１００は、認証、ルーティング、およびホスティングを可能にするが、ストレージを提供しないトランスポート層システムである。有意なことに、ホスト型シークレット管理トランスポートシステムおよび方法１００は、システム内のシークレットの通過に対する制限の動的な作成を可能にする。追加的に、ホスト型シークレット管理トランスポートシステムおよび方法１００は、別個の格納方法が可能な異なるエンドポイントを有する能力を可能にする。特に、ホスト型シークレット管理トランスポートシステムおよび方法１００は、格納方法の種類および環境に依存しない。さらに、ホスト型シークレット管理トランスポートシステムおよび方法１００は、管轄境界の作成において任意の線を描くことを可能にするだけでなく、シークレット管理のための複数のクラウドを備えたハイブリッド領域の作成を可能にする。

一部の競合システムは、「プライマリ」デバイス／サービスと任意の数の「セカンダリ」デバイス／サービスとの間でデフォルトのレプリケーションを採用する、ハードウェアセキュリティモジュール（ＨＳＭ）を使用する。ただし、この種類のデフォルトレプリケーションは、性能および可用性のためにのみ行われる。これは、プライマリデバイスに包含されるシークレットをセカンダリデバイスに配布することにより、システムへの負荷が、場所および／またはいずれか１つのシステムの停止に基づいて分散される可能性があるからである。ただし、この種類のサードパーティレプリケーションは、データのオールオアナッシングコピーにすぎない。別の言い方をすれば、この種類のサードパーティレプリケーションでは、プライマリデバイスにあるものはすべてセカンダリデバイスにも複製される。世界中の多くの様々な顧客（例えば会社）と場所とを橋渡しするシステムを扱う場合、各国が独自のデータプライバシー法を有するため、このオールオアナッシングレプリケーションアプローチは受け入れられない。

代わりに、ホスト型シークレット管理トランスポートシステムおよび方法１００は、このシステムが管轄１１０として定義するものを作成する。これらの管轄１１０の各々は、対応する管轄１１０内に領域１２０のグループ化を作成することを可能にする。有意なことに、これらの管轄１１０の各々は、データを、このデータが設定されている管轄１１０に対してプライベートであるよう保持されることを可能にする。管轄１１０は、グローバルな境界に基づいている場合があるが、特定の組織または組織のグループのシークレットを分離するために、管轄１１０は仮想的な管轄である場合もある。各管轄１１０はマスターレコードを有し、その値およびログのすべてが保持されて、シークレットの監査追跡が提供される。しかしながら、ホスト型シークレット管理トランスポートシステムおよび方法１００は、このデータを他のすべての管轄１１０にコピーしない。代わりに、ホスト型シークレット管理トランスポートシステムおよび方法１００は、シークレットの配布および輸送の「シークレット単位の」制御を可能にし、これは、第１の会社のシークレットを第２の会社のシークレットから分離するために使用され得、その両方がシステム１００の管轄１１０の領域１２０上でホストされ得る。いくつかの実装形態では、これは、どの管轄１１０にシークレットを配布することが許可され、どの管轄１１０にシークレットをキャッシュすることが許可されるかのホワイトリストを使用することによって実施され得る。有意なことに、発信元の管轄１１０の外部に永続的に格納することは、ホスト型シークレット管理トランスポートシステムおよび方法１００によって許可されない。

このグローバルキャッシングにより、ホスト型シークレット管理トランスポートシステムおよび方法１００は、永続的なストレージを必要とすることなくグローバル冗長性の性能利益を提供し、それによってデータの「管轄」を維持することができる。ホスト型シークレット管理トランスポートシステムおよび方法１００によって提供される「シークレット単位」ベースのこの複雑な許可システムにより、各シークレットおよび各ユーザが、それらが所在する管轄区域のデータ規制に準拠し続けながら、システムがマルチテナント（すなわち、複数の別個の会社を同時にサポートする）を安全に提供することが可能となる。一般データ保護規則（ＧＤＰＲ）などの新しい規制により、欧州連合のユーザは米国のユーザとは異なるデータ規制を有する可能性があるため、これは特に注目に値する。

シークレットを動的かつ個別に制限する能力に加えて、ホスト型シークレット管理トランスポートシステムおよび方法１００はまた、管轄１１０内の各領域１２０に、特定の管轄１１０またはより大規模なシステムとは独立した格納方法を有させる固有の能力も提供する。このようにして、ホスト型シークレット管理トランスポートシステムおよび方法１００は、各領域１２０が、それが配置されている環境のハードウェアおよびサービスを利用することを可能にし、一方、管轄１１０の他の領域１２０は、異なるハードウェアおよびサービスを利用することが可能である。ホスト型シークレット管理トランスポートシステムおよび方法１００のこの格納方法の独立性は、エンドユーザに対して透過的である。したがって、エンドユーザは、異なるストレージの種類によって方法、ＡＰＩインターフースなどを変更する必要はない。

一部の競合相手は、異なる「キーストア」間での格納を許可しているが、これらのシークレットは、これらが所在するキーストア内で名前空間が付けられているか、または値の名前によって制限されており、クラスタ内のいかなるアクセスもクラスタ内で利用可能な格納方法のみに制限する。

別の言い方をすれば、エンドユーザは、シークレットを取り出すために、シークレットが配置されているストレージの種類を知っている必要がある。有意なことに、ホスト型シークレット管理トランスポートシステムおよび方法１００では、値は、１つの領域１２０（または管轄１１０）で設定され得、別の領域１２０（または管轄１１０）で取り出され得る。さらに、ホスト型シークレット管理トランスポートシステムおよび方法１００では、値は、第１の格納方法で１つの領域１２０に格納され得、別の値は、同一の管轄１１０内の第２の格納方法で第２の領域１２０に格納され得る。ホスト型シークレット管理トランスポートシステムおよび方法１００のこの格納の柔軟性は、各領域１２０が個々の領域１２０の要件に従って実行されるがネットワーク全体の要件に従って実行されない、ということを可能にし、これは、一部のサードパーティシステムで使用される標準のプライマリデバイスからセカンダリデバイスへのレプリケーションに必要とされるものである。

ホスト型シークレット管理トランスポートシステムおよび方法１００の格納方法の独立性に加えて、ホスト型シークレット管理トランスポートシステムおよび方法１００はまた、環境的にも独立している。別の言い方をすれば、ホスト型シークレット管理トランスポートシステムおよび方法１００は、任意の環境で動作可能であり、値は、第１の環境の１つの領域１２０に格納され得、別の値は、同一の管轄１１０内の第２の環境の第２の領域１２０に格納され得る。

ホスト型シークレット管理トランスポートシステムおよび方法１００の認証およびルーティング層のコアは、オペレーティングシステムレベルの仮想化（コンテナ化としても知られる）を実施するソフトウェアプログラムを実行することができる、Ｌｉｎｕｘ（登録商標）に基づく任意のオペレーティングシステムで動作することができる。これらのオペレーティングシステムには、限定のためではなく単に例示するために、Ｕｂｕｎｔｕ、ＲｅｄＨａｔ、ＣｅｎｔＯＳ、およびＯｒａｃｌｅ Ｌｉｎｕｘが含まれる。これらのオペレーティングシステムは、Ａｍａｚｏｎ Ｗｅｂ Ｓｅｒｖｉｃｅｓ、Ａｚｕｒｅ、Ｇｏｏｇｌｅ Ｃｌｏｕｄ Ｐｌａｔｆｏｒｍ、ＩＢＭ Ｃｌｏｕｄ、およびＲａｃｋｓｐａｃｅなどの主要なクラウドインフラストラクチャプロバイダのすべてに見られる。

ホスト型シークレット管理トランスポートシステムおよび方法１００は、安全なウェブサイトに特に適用可能であるが、システムは、安全なウェブサイトを超えて幅広い適用性を有する。ホスト型シークレット管理トランスポートシステムおよび方法１００はまた、社内ネットワーク内の内部ソフトウェアだけでなく、企業ソフトウェアにおけるシークレット管理にも採用され得る。追加的に、ホスト型シークレット管理トランスポートシステムおよび方法１００は、企業システム内の他の技術駆動型の処理で採用され得る。いくつかの実装形態では、ホスト型シークレット管理トランスポートシステムおよび方法１００は、シークレット管理に採用され、ソフトウェアがハードウェアデバイスに搭載される生産ラインなどの非技術系企業で利用され得る。他の実装形態では、ホスト型シークレット管理トランスポートシステムおよび方法１００は、シークレット管理に採用され、自動車が作成されソフトウェアが搭載される工場などの非技術系企業で利用され得る。モノのインターネット（ＩｏＴ）の急増に伴い、インターネット接続された多くのデバイスは、それらを動作しているサービスプロバイダと安全に接続して情報を転送する能力を必要とする。これらのシークレットは、インターネット接続されたデバイスにローカルに格納される場合があるが、そのようなローカル格納は、そのようなインターネット接続されたデバイスシステムが侵害されたときに問題を作成する可能性がある。

代わりに、ホスト型シークレット管理トランスポートシステムおよび方法１００は、インターネット接続されたデバイスが、それらが動作する必要のあるシークレットなしで出荷され、エンドユーザの場所に到着した後にシークレットへのアクセスを許可されることを可能にする。ホスト型シークレット管理トランスポートシステムおよび方法１００のこの実装形態では、インターネット接続されたデバイスがアクセスを許可されたシークレットへのアクセスは、いつでも取り消されることができる。

ここで図３を参照すると、ホスト型シークレット管理トランスポートシステムおよび方法１００の鍵束３００が示されている。鍵束３００は、シークレットが環境内で一緒にグループ化される場所であり、環境とは、単に例示するためであり限定のためではなく、開発環境および本番環境である。管理者アカウントユーザ３１０のみが、請求レベル、鍵束の名前などの鍵束３００に関する情報を変更し、ユーザアカウント３２０に対して開発クライアント３３０を作成する許可を与えることができる。開発クライアント３３０は、管理者アカウントユーザ３１０によって指定されたように、鍵束３００へのアクセスを有する誰もが作成可能である。本番クライアント３４０は、管理者アカウントユーザ３１０によって認証された要求によってのみ作成され得、開発クライアント３３０を用いて要求を作成し、したがって、認証の第３のポイントを提供する。これはユーザ認証が２要素認証を有するからであり、２要素認証は、単に例示するためであり限定のためではなく、時間ベースのワンタイムパスワードアルゴリズムを介して、または登録済みデバイスへのＳＭＳメッセージを介して行うことができる。

ここで図４を参照すると、ホスト型シークレット管理トランスポートシステムおよび方法１００に鍵束３００を作成するために、以下のプロセスを実装することができる：４１０でユーザアカウント３２０が作成され、４２０でユーザアカウント３２０を認証することにより鍵束３００が作成され、４３０でユーザアカウント３２０の認証を介してクライアントが作成され、開発環境のための鍵束３００への接続を可能にし、４４０でユーザアカウントの認証と２要素認証とを介して、鍵束３００の本番シークレットへのアクセスを許可するクライアントが作成される。この実装形態では、クライアントは、開発証明書を３番目の認証ソースとして使用することによって、作成される。

図５は、他のサードパーティシステムとは対照的に、ホスト型シークレット管理トランスポートシステムおよび方法１００の技術的独自性をさらに実証している。図５に示されるように、ユーザアカウントは、ユーザ５１０を認証することによって作成され得る。そのユーザ５１０は、登録済み本番クライアント５１０、登録済み本番クライアント５２０、および登録済み開発クライアント５３０によって、鍵束５３０に関連付けられ得る。１つ以上の実装形態では、登録済み本番クライアント５１０は、次に、鍵束５３０を使用して、本番シークレット５４０にアクセスすることができる。１つ以上の実装の別の態様では、登録済み開発クライアント５３０は、次に、鍵束５３０を使用して、開発シークレット５５０にアクセスすることができる。いくつかの実装形態では、ホスト型シークレット管理トランスポートシステムおよび方法１００は、同一の本番シークレット５４０の異なるバージョン（例えば、バージョン－１（５４２）、バージョン－２（５４４））を保存することができる。いくつかの実装形態の別の態様では、ホスト型シークレット管理トランスポートシステムおよび方法１００は、同一の開発シークレット５５０の異なるバージョン（例えば、バージョン－１（５５２）、バージョン－２（５５４））を保存することができる。

特に、ホスト型シークレット管理トランスポートシステムおよび方法１００では、クライアントは、変更することができない組み込みの許可および識別子を有する。別の言い方をすれば、ホスト型シークレット管理トランスポートシステムおよび方法１００のクライアントは、それらが作成された時点から特定の環境に登録されている。問題なのは、他のサードパーティシステムでは、ユーザを作成し、その後に追加の許可を与えることができるということである。ただし、このようなサードパーティシステムは、異なる環境から新しいシークレットにアクセスすることができるようにする、許可昇格攻撃（ｐｅｒｍｉｓｓｉｏｎ ｅｓｃａｌａｔｉｏｎ ａｔｔａｃｋ）を受けやすい傾向がある。この種類の攻撃では、メインシステムへの不適切なアクセスを有する誰か（例えばハッカー）が、ユーザの権限を、ユーザが権限を有することが許されていない環境に昇格させる。

有意なことに、ホスト型シークレット管理トランスポートシステムおよび方法１００の固有のアーキテクチャは、クライアントが作成された時にクライアントへの識別子および許可を保護するため、クライアントの識別子および許可は将来のいかなる時点においても変更されることはできない。別の言い方をすれば、ホスト型シークレット管理トランスポートシステムおよび方法１００は、暗号署名の一部として識別子および許可をクライアントに強制するため、それをいかなる時点においても変更することはできず、それによってこの種類の攻撃を排除する。これは、ホスト型シークレット管理トランスポートシステムおよび方法１００が共有システムを作成することを可能にする技術的改善であり、この共有システムにおいて、ユーザは互いに交差することができない異なるグループからのものである。

特に、ホスト型シークレット管理トランスポートシステムおよび方法１００のいくつかの実装形態では、システムは、メインシークレットの名前空間の下に鍵の複数のバージョンを格納する。ホスト型シークレット管理トランスポートシステムおよび方法１００によって可能になるこの技術的改善は、同一のシークレットの複数のバージョンをすべて単一のシークレット名でアクセスさせる能力を提供する。これに関して、ホスト型シークレット管理トランスポートシステムおよび方法１００は、ユーザがシークレットの様々なバージョンの値を設定することを可能にする。

他の一部のサードパーティシステムでは、所望しない種類の「バージョン」が許可されており、ここでは鍵バージョンにシークレット－ｖ１、シークレット－ｖ２などの名前を付けなければならない。追加的に、さらに他のサードパーティシステムではインスタンスとバージョンとが許可される場合があるが、これらは水平方向に格納され、「鍵の更新（ｋｅｙ ｒｏｌｌｉｎｇ）」手順の一部である。鍵の更新手順では、新しい鍵はユーザ入力によって作成されるのではなく、プログラムで作成されて以前の鍵にリンクされる。対照的に、ホスト型シークレット管理トランスポートシステムおよび方法１００は、ユーザが鍵バージョンおよびそれらの値を制御することを可能にする。追加的に、ホスト型シークレット管理トランスポートシステムおよび方法１００によってサポートされるバージョニングは、２人の異なるユーザが同一のシークレットを使用することを可能にし、一方のユーザがシークレットを更新する場合、他方のユーザは影響を受けない。

１つ以上の実装形態では、ホスト型シークレット管理トランスポートシステムおよび方法１００は、シークレットを保護するために暗号化の複数の層を展開する。暗号化の最初の層は、値がユーザのアプリケーションをまさに離れる前に発生する。いくつかの実装形態では、ホスト型シークレット管理トランスポートシステムおよび方法１００は、格納される暗号化された値を受け取り、それを安全な暗号化された接続を介して、ホスト型シークレット管理トランスポートシステムおよび方法１００内のサーバに送信する。ホスト型シークレット管理トランスポートシステムおよび方法１００に入ると、暗号化された値は、例えばタウンゼントセキュリティ社によって提供されるＨＳＭ（ハードウェアセキュリティモジュール）内にルーティングされ、暗号化されて格納される。ホスト型シークレット管理トランスポートシステムおよび方法１００に送信される値は暗号化され、暗号化が開始された場所でのみ復号化することができるため、これは「エンドツーエンド暗号化」である。

ホスト型シークレット管理トランスポートシステムおよび方法１００も、他の誰でも、いかなる時も暗号化された値を表示、修正、または喪失することはできない。１つの実施形態では、アプリケーションが暗号化／復号化またはＡＰＩ要求のための鍵を必要とするとき、ホスト型シークレット管理トランスポートシステムおよび方法１００は、提携するホスティングプロバイダサーバの証明書を使用してユーザに代わって認証し、鍵を解放する。このようにして、ホスト型シークレット管理トランスポートシステムおよび方法１００にアクセスするために使用される認証情報は、ハイジャックおよび改ざんを防止するために、アプリケーションホストまたはアプリケーションプラットフォームによって提供される。

キーラッピングと呼ばれる処理を使用して、鍵は、ウェブサイトまたはアプリケーション環境の外部では使用されない使用不可の状態になる。キーラッピング処理では、ある値が受け取られて２番目の鍵を使用して暗号化（ラップ）される。ホスト型シークレット管理トランスポートシステムおよび方法１００は、通常はＫＥＫ（鍵暗号化鍵）と呼ばれる第２の鍵を受け取り、それを元の値の代わりにアプリケーションに格納する。このＫＥＫは、ホスト型シークレット管理トランスポートシステムおよび方法１００に格納された値を保護する以外の特徴を有さないため、アプリケーションに安全に格納することができる。この鍵にアクセスすることができる者はまだ元の値を有しておらず、それらは関連していないか、または値の派生物ではないため、攻撃者には使用不可である。

これにより、処理に別のセキュリティ層を強化することによって、ホスト型シークレット管理トランスポートシステムおよび方法１００によって格納された鍵が表示または侵害されるのを防止する。いくつかの実装形態では、ホスト型シークレット管理トランスポートシステムおよび方法１００は、タウンゼントセキュリティ社のＦＩＰＳ１４０－２準拠のキーマネージャを採用して、鍵を最高の業界標準に保護する。いくつかの実装形態では、ホスト型シークレット管理トランスポートシステムおよび方法１００は、ＳＨＡ２５６ＨＭＡＣを有するＡＥＳ２５６ビットＣＢＣ暗号化を使用して、格納される値を暗号化する。

ホスト型シークレット管理トランスポートシステムおよび方法１００の１つの技術的改善は、システムが、多数の現在および予想されるストレージ技術で動作するように構成されることである。いくつかの実装形態では、ホスト型シークレット管理トランスポートシステムおよび方法１００は、物理ベースまたはクラウドベースのいずれかのハードウェアセキュリティモジュールを使用して、最高レベルの保護を提供するためにシステム内に安全に保存されているシークレットを格納する。ホスト型シークレット管理トランスポートシステムおよび方法１００と組み合わせて使用される任意のハードウェアセキュリティモジュールは、少なくともＮＩＳＴ１４０－２に準拠しており、暗号化された安全な環境におけるストレージの業界ベストプラクティスを可能にする。追加的に、これらのハードウェアセキュリティモジュールは、ＰＣＩ－ＤＳＳ、ＨＩＰＡＡ、ＧＤＰＲなどのようなグローバル規制への準拠証明書を保持している場合がある。

他の実装形態では、ホスト型シークレット管理トランスポートシステムおよび方法１００は、非ハードウェアセキュリティモジュールストレージ方法を使用し、これらは、保存時に暗号化され、規制準拠を満たす必要のないシークレットに基本レベルのセキュリティを提供する。これらの格納方法は、業界で精査され、非ハードウェアセキュリティモジュール、または潜在的に非準拠の格納方法として公表されるであろう。

ホスト型シークレット管理トランスポートシステムおよび方法１００は、ハードウェアセキュリティモジュールから発行されたｘ．５０９証明書、またはホスト型シークレット管理トランスポートシステムおよび方法１００によって信頼される、共通の認証局を介した認証で動作する。これらの証明書は暗号的に署名されているため、改ざん防止機能がなされ、識別子データも同封されている。追加的に、ホスト型シークレット管理トランスポートシステムおよび方法１００のいくつかの実装形態では、認証は、他の暗号的に署名されたトークン、例えば、Ｋｕｂｅｒｎｅｔｅｓサービスアカウントトークンを介して発生する。これらのトークンは、暗号化署名によって、ストレージ技術から発信元のサービスに対して検証される。これにより、ｘ．５０９証明書を介して使用される同様の暗号化および改ざん防止の署名方法が作成される。

ホスト型シークレット管理トランスポートシステムおよび方法１００によって提供される多くの技術的改善の１つは、システム１００と相互作用する基礎となるストレージ技術が、システム１００によって使用される同一のオペレーティングシステムで動作する必要がないことである。いくつかの実装形態では、ホスト型シークレット管理トランスポートシステムおよび方法１００は、Ｌｉｎｕｘに基づいている。しかしながら、他の実装形態では、ホスト型シークレット管理トランスポートシステムおよび方法１００は、Ｗｉｎｄｏｗｓなどの代替オペレーティングシステムで実行されているストレージ技術に接続する。ホスト型シークレット管理トランスポートシステムおよび方法１００の、ネットワークが基づいている環境（例えばクラウド）を横断するだけでなくストレージ技術のオペレーティングシステムも横断する能力により、ホスト型シークレット管理トランスポートシステムおよび方法１００が、シークレット管理のための真に普遍的に適用可能なネットワークであることを可能にする。対照的に、競合相手のシークレット管理システムは、ストレージ技術の環境間および／またはオペレーティングシステム間で機能することはできない。代わりに、これらの競合相手のシークレット管理システムは、特定のクラウド環境でのみ、および／またはストレージ技術の特定のオペレーティングシステムでのみ、機能する。

特に、ホスト型シークレット管理トランスポートシステムおよび方法１００の１つ以上の実装形態は、複数の接続された環境にシークレットを配布し、シークレットを取り出す能力、シークレットをエクスポートする能力、またはその両方の能力を可能にする。ただし、一部のハードウェアセキュリティモジュール技術では、シークレットのインポートのみが許可されており、シークレットの取り出しは許可されていない。したがって、これは、一部の競合相手のシステムに対して、ホスト型シークレット管理トランスポートシステムおよび方法１００によって提供される別の技術的改善である。

ホスト型シークレット管理トランスポートシステムおよび方法１００と組み合わせて使用するために、図６は、図３～図５で説明されるように、開発クライアントおよび本番クライアントのためのコンピューティングインフラストラクチャを実装するのに好適なプロセッサベースのデバイスを示している。必須ではないが、実装形態のいくつかの部分は、１つ以上のプロセッサによって実行されるプログラムアプリケーションモジュール、オブジェクト、またはマクロなど、プロセッサで実行可能な命令または論理の一般的な文脈で説明される。関連技術の当業者であれば、記載された実装形態、ならびに他の実装形態が、スマートフォンおよびタブレットコンピュータなどの携帯デバイス、ウェアラブルデバイス、マルチプロセッサシステム、マイクロプロセッサベースまたはプログラマブルな家電製品、パーソナルコンピュータ（「ＰＣ」）、ネットワークＰＣ、ミニコンピュータ、メインフレームコンピュータなどを含む、様々なプロセッサベースのシステム構成で実践できることを理解するであろう。

いくつかの実装形態では、ホスト型シークレット管理トランスポートシステムおよび方法１００のクライアントは、１つ以上のプロセッサ６０６、システムメモリ６０８、およびシステムメモリ６０８を含む様々なシステム構成要素をプロセッサ６０６に結合するシステムバス６１０を含み得る。プロセッサベースのクライアントは、本明細書では単数形で呼ばれることもあるが、特定の実装形態においては２つ以上のシステムまたは他のネットワークコンピューティングデバイスが関与するため、実装形態を単一のシステムに限定することを意図したものではない。市販のシステムの非限定的な例には、様々な製造元のＡＲＭプロセッサ、米国インテル社のＣｏｒｅマイクロプロセッサ、ＩＢＭ社のＰｏｗｅｒＰＣマイクロプロセッサ、サンマイクロシステム社のＳｐａｒｃマイクロプロセッサ、ヒューレットパッカード社のＰＡ－ＲＩＳＣシリーズマイクロプロセッサ、およびモトローラ社の６８ｘｘｘシリーズマイクロプロセッサが含まれるが、これらに限定されない。

ホスト型シークレット管理トランスポートシステムおよび方法１００のプロセッサベースのクライアントにおけるプロセッサ６０６は、１つ以上の中央処理装置（ＣＰＵ）、マイクロプロセッサ、デジタル信号プロセッサ（ＤＳＰ）、特定用途向け集積回路（ＡＳＩＣ）、フィールドプログラマブルゲートアレイ（ＦＰＧＡ）などのような、任意の論理処理装置であり得る。特に明記しない限り、図６に示されている様々なブロックの構造および動作は、従来の設計のものである。結果として、そのようなブロックは関連技術の当業者によって理解されるため、本明細書でさらに詳細に説明する必要はない。

ホスト型シークレット管理トランスポートシステムおよび方法１００のプロセッサベースのクライアントにおけるシステムバス６１０は、メモリコントローラを備えたメモリバス、周辺バス、およびローカルバスを含む、任意の既知のバス構造またはアーキテクチャを採用することができる。システムメモリ６０８は、読み出し専用メモリ（「ＲＯＭ」）６１２およびランダムアクセスメモリ（「ＲＡＭ」）６１４を含む。ＲＯＭ６１２の一部を形成することができる基本的な入力／出力システム（「ＢＩＯＳ」）６１６は、プロセッサベースのデバイス内の要素間で情報を転送するのを、例えば起動中などに助ける、基本的なルーチンを包含する。いくつかの実装形態では、データ、命令、および電力用に個別のバスを採用する場合がある。

ホスト型シークレット管理トランスポートシステムおよび方法１００のプロセッサベースのクライアントは、１つ以上のソリッドステートメモリも含み得る。例えば、フラッシュメモリまたはソリッドステートドライブ（ＳＳＤ）は、コンピュータで読み取り可能な命令、データ構造、プログラムモジュール、およびプロセッサベースのデバイス用の他のデータの不揮発性ストレージを提供する。図示されていないが、プロセッサベースのデバイスは、他の非一時的なコンピュータ可読媒体またはプロセッサ可読媒体、例えば、ハードディスクドライブ、光学ディスクドライブ、またはメモリカード媒体ドライブなどを採用することができる。

ホスト型シークレット管理トランスポートシステムおよび方法１００のプロセッサベースのクライアント内のプログラムモジュールは、オペレーティングシステム６３０、１つ以上のアプリケーションプログラム６３２、他のプログラムまたはモジュール６３４、ドライバ６３６、およびプログラムデータ６３８などのシステムメモリ６０８に格納することができる。

ホスト型シークレット管理トランスポートシステムおよび方法１００のプロセッサベースのクライアントのシステムメモリ６０８は、通信プログラム６４０、例えば、プロセッサベースのデバイスがアクセスすることを許可するためのサーバおよび／またはウェブクライアントまたはブラウザも含み得、ユーザコンピューティングシステム、インターネット上のウェブサイト、企業イントラネット、または以下に説明するような他のネットワークなどの他のシステムとデータを交換する。図示された実装形態における通信プログラム６４０は、ハイパーテキストマークアップ言語（ＨＴＭＬ）、拡張可能マークアップ言語（ＸＭＬ）、またはワイヤレスマークアップ言語（ＷＭＬ）などのマークアップ言語ベースであり、ドキュメントのデータにドキュメントの構造を表すために追加された構文的に区切られた文字を使用する、マークアップ言語で動作する。カリフォルニアのモジラ社およびワシントンのマイクロソフト社からのものなど、多くのサーバおよび／またはウェブクライアントまたはブラウザが市販されている。

図６では、システムメモリ６０８、オペレーティングシステム６３０、アプリケーションプログラム６３２、他のプログラム／モジュール６３４、ドライバ６３６、プログラムデータ６３８、ならびにサーバおよび／またはブラウザに格納されているものとして示されているが、任意の他の多種多様な非一時的なプロセッサ可読媒体（例えばハードディスクドライブ、光学ディスクドライブ、ＳＳＤ、および／またはフラッシュメモリ）に格納することができる。

ホスト型シークレット管理トランスポートシステムおよび方法１００のプロセッサベースのクライアントのユーザは、ポインタを介して、例えば指６４４ａ、スタイラス６４４ｂを介したタッチスクリーン６４８などの入力デバイスを通して、またはカーソルを制御するコンピュータマウスもしくはトラックボール６４４ｃを介して、コマンドおよび情報を入力することができる。他の入力デバイスは、マイクロフォン、ジョイスティック、ゲームパッド、タブレット、スキャナ、生体認証スキャンデバイスなどを含むことができる。これらおよび他の入力デバイス（すなわち、「Ｉ／Ｏデバイス」）は、タッチスクリーンコントローラおよび／またはシステムバス６１０へのユーザ入力を結合するユニバーサルシリアルバス（「ＵＳＢ」）インターフェースなどのインターフェース６４６を介してプロセッサ６０６に接続されるが、パラレルポート、ゲームポートまたは無線インターフェースもしくはシリアルポートなどの他のインターフェースを使用することができる。タッチスクリーン６４８は、タッチスクリーン６４８を介して表示するための画像データまたは画像情報を受信するための、ビデオアダプタなどのビデオインターフェース６５０を介してシステムバス６１０に結合することができる。示されていないが、プロセッサベースのクライアントは、スピーカ、バイブレータ、触覚アクチュエータ、または触覚エンジンなどのような他の出力デバイスを含むことができる。

ホスト型シークレット管理トランスポートシステムおよび方法１００のプロセッサベースのクライアントは、ネットワーク環境で動作し、１つ以上の論理接続を使用して、１つ以上の通信チャネル、例えば１つ以上のネットワーク６１４ａ、６１４ｂを介して、１つ以上のリモートコンピュータ、リモートサーバ、および／またはリモートデバイスと通信する。これらの論理接続は、インターネットなどの１つ以上のＬＡＮおよび／もしくはＷＡＮ、ならびに／またはセルラー通信ネットワークを介するなど、コンピュータの通信を可能にする任意の既知の方法を容易にすることができる。このようなネットワーク環境は、有線および無線の企業全体のコンピュータネットワーク、イントラネット、エクストラネット、インターネット、および他の種類の通信ネットワークで周知である。そのような他の種類の通信ネットワークには、電気通信ネットワーク、セルラーネットワーク、ページングネットワーク、および他のモバイルネットワークが含まれる。

ネットワーク環境で使用される場合、ホスト型シークレット管理トランスポートシステムおよび方法１００のプロセッサベースのクライアントは、１つ以上のネットワーク、例えばインターネット６１４ａまたはセルラーネットワーク６１４ｂなどのネットワークを介して通信を確立するための、有線または無線通信インターフェース６５２ａ、６５６（例えばネットワークインターフェースコントローラ、セルラー無線、ＷＩ－ＦＩ無線、Ｂｌｕｅｔｏｏｔｈ無線）を含み得る。

ネットワーク環境では、プログラムモジュール、アプリケーションプログラム、またはデータ、またはそれらの一部を、サーバコンピューティングシステム（図示せず）に格納することができる。関連技術の当業者であれば、図６に示されるネットワーク接続は、コンピュータ間の通信を確立する方法のほんの一例であり、無線経由を含む他の接続が使用され得ることを認識するであろう。

便宜上、プロセッサ６０６、システムメモリ６０８、ならびにネットワークおよび通信インターフェース６５２ａ、６５６は、システムバス６１０を介して互いに通信可能に結合され、それによって上述の構成要素間の接続を提供するものとして示されている。プロセッサベースのデバイスの代替実装形態では、上述の構成要素は、図６に示されているものとは異なる方法で通信可能に結合され得る。例えば、上述の構成要素のうちの１つ以上は、他の構成要素に直接結合され得るか、または中間構成要素（図示せず）を介して互いに結合され得る。いくつかの実装形態では、システムバス６１０は省略され、構成要素は、好適な接続を使用して互いに直接結合される。

本明細書および添付の特許請求の範囲全体を通して、「通信経路（ｃｏｍｍｕｎｉｃａｔｉｖｅ ｐａｔｈｗａｙ）」、「通信結合されている（ｃｏｍｍｕｎｉｃａｔｉｖｅ ｃｏｕｐｌｉｎｇ）」、および「通信結合された（ｃｏｍｍｕｎｉｃａｔｉｖｅｌｙ ｃｏｕｐｌｅｄ）」などの変形における「通信の（ｃｏｍｍｕｎｉｃａｔｉｖｅ）」という用語は、一般に、情報を転送および／または交換するための任意の工学的構成を指すために使用される。例示的な通信経路には、導電性経路（例えば導電性ワイヤ、導電性トレース）、磁気経路（例えば磁気媒体）、１つ以上の無線通信プロトコルを介した１つ以上の通信リンク、および／または光学経路（例えば光ファイバ）が含まれるがこれらに限定されず、例示的な通信結合には、電気結合、磁気結合、無線結合、および／または光学結合が含まれるが、これらに限定されない。

本明細書および添付の特許請求の範囲全体を通して、不定形の動詞がしばしば使用される。例には、「検出する（ｔｏ ｄｅｔｅｃｔ）」、「提供する（ｔｏ ｐｒｏｖｉｄｅ）」、「送信する（ｔｏ ｔｒａｎｓｍｉｔ）」、「通信する（ｔｏ ｃｏｍｍｕｎｉｃａｔｅ）」、「処理する（ｔｏ ｐｒｏｃｅｓｓ）」、「ルーティングする（ｔｏ ｒｏｕｔｅ）」などが含まれるが、これらに限定されない。特定の文脈で別段の必要がない限り、そのような不定形の動詞は、「少なくとも検出する（ｔｏ，ａｔ ｌｅａｓｔ，ｄｅｔｅｃｔ）」、「少なくとも提供する（ｔｏ，ａｔ ｌｅａｓｔ，ｐｒｏｖｉｄｅ）」、「少なくとも送信する（ｔｏ，ａｔ ｌｅａｓｔ，ｔｒａｎｓｍｉｔ）」など、オープンで包括的な意味で使用される。

示された実装形態の上記の説明は、要約に記載されているものを含み、網羅的であることを意図するものではないか、または実装形態を開示された詳細な形式に限定することを意図するものではない。本明細書では、例示の目的で特定の実装形態および例を説明しているが、関連技術の当業者によって認識されるように、本開示の精神および範囲から逸脱することなく、様々な同等の修正を行うことができる。

例えば、前述の詳細な説明は、ブロック図、概略図、および例を使用することにより、デバイスおよび／またはプロセスの様々な実装形態を説明している。そのようなブロック図、概略図、および例が１つ以上の特徴および／または動作を包含する限りにおいて、そのようなブロック図内、フローチャート内、または例内の各特徴および／または動作を実装できることは、個別におよび／または集合的に、広範囲のハードウェア、ソフトウェア、ファームウェア、またはそれらの事実上任意の組み合わせによって、当業者によって理解されるであろう。１つの実装形態では、本主題は、特定用途向け集積回路（ＡＳＩＣ）を介して実装され得る。しかしながら、当業者は、本明細書に開示される実装形態の全部または一部が、１つ以上のコンピュータによって実行される１つ以上のコンピュータプログラムとして（例えば１つ以上のコンピュータシステム上で実行される１つ以上のプログラムとして）、１つ以上のコントローラ（例えばマイクロコントローラ）によって実行される１つ以上のプログラムとして、１つ以上のプロセッサ（例えばマイクロプロセッサ、中央処理装置、グラフィカル処理装置）によって実行される１つ以上のプログラムとして、ファームウェアとして、または事実上これらの任意の組み合わせとして、標準の集積回路に同等に実装できること、ならびに回路を設計すること、および／またはソフトウェアおよびまたはファームウェアのためのコードを書くことが、本開示の教示に照らして、当技術分野の通常の技術の１つのスキルの範囲内であることを認識するであろう。

論理がソフトウェアとして実装され、メモリに格納される場合、論理または情報は、任意のプロセッサ関連のシステムまたは方法によって、またはそれらに関連して使用するために、任意のプロセッサ可読媒体に格納することができる。本開示の文脈において、メモリは、電子的、磁気的、光学的、または他の物理的デバイス、またはコンピュータおよび／またはプロセッサプログラムを含むか、もしくは格納する手段である、プロセッサ可読媒体である。論理および／または情報は、命令実行システム、機器、またはデバイス、例えばコンピュータベースのシステム、プロセッサを包含するシステム、もしくは論理および／または情報に関連付けられる命令を実行する命令実行システム、機器、またはデバイスから命令をフェッチすることのできる他のシステムによって、またはそれらと接続して使用するために、任意のプロセッサ可読媒体に具体化されることができる。

本明細書の文脈において、「非一時的なプロセッサ可読媒体」は、命令実行システム、機器、および／またはデバイスと接続することにより、または接続して使用するための論理および／または情報に関連付けられるプログラムを格納することができる任意の要素であり得る。プロセッサ可読媒体は、例えば電子、磁気、光学、電磁気、赤外線、または半導体システム、機器もしくはデバイスであり得るが、これらに限定されない。コンピュータ可読媒体のより具体的な例（網羅的ではないリスト）には、ポータブルコンピュータディスケット（磁気、コンパクトフラッシュ（登録商標）カード、セキュアデジタルなど）、ランダムアクセスメモリ（ＲＡＭ）、読み出し専用メモリ（ＲＯＭ）、消去可能なプログラマブル読み取り専用メモリ（ＥＰＲＯＭ、ＥＥＰＲＯＭ、またはフラッシュメモリ）、ポータブルコンパクトディスク読み出し専用メモリ（ＣＤＲＯＭ）、デジタルテープ、および他の非一時的なメディアが含まれる。

上述の様々な実施形態は、それらを組み合わせることによってさらなる実施形態を提供することができる。本明細書の特定の教示および定義に矛盾しない程度で、本明細書で言及される、かつ／または出願データシートに列挙される米国特許、米国特許出願公報、米国特許出願、外国特許、外国特許出願、および非特許公報のすべては、それらの全体が参照により本明細書に組み込まれる。必要に応じて、システム、回路、ならびに様々な特許、出願、および刊行物の概念を採用して、さらなる別の実装形態を提供するために、実装形態の態様を修正することができる。

本特許出願は、２０１９年１月２９日に出願された米国非仮特許出願第１６／２６１，４４３号に対する優先権の利益を主張し、その特許出願は、参照によりその全体が本明細書に組み込まれる。

上記の詳細な説明に照らして、これらおよび他の変更を実装形態に行うことができる。一般に、以下の特許請求の範囲で使用される用語は、特許請求の範囲を本明細書および特許請求の範囲に開示された特定の実装形態に限定するものと解釈されるべきではなく、表題のこのような特許請求の範囲と均等なすべての範囲とともに、すべての可能な実装形態を含むと解釈されるべきである。したがって、特許請求の範囲は、本開示によって限定されない。

１００ ホスト型シークレット管理トランスポートシステム
１１０ 管轄
１２０ 領域
１３０ マスターレコードハードウェアセキュリティモジュール
１４０ バックアップレコードハードウェアセキュリティモジュール
１５０ プライマリキャッシュハードウェアセキュリティモジュール
１６０ ハードウェアセキュリティモジュールキャッシュプール
１７０ ソフトウェアコンテナ
１８０ ソフトウェアコンテナ管理システム
１９０ プライマリデータベースクラスタ
１９４ 分散レプリカデータベース
１９８ プライベートサブネット
６０６ プロセッサ
６０８ システムメモリ
６１０ バス
６１２ ＲＯＭ
６１４ ＲＡＭ
６１４ａ インターネット
６１４ｂ セルラーネットワーク
６１６ ＢＩＯＳ
６３０ オペレーティングシステム
６３２ アプリケーションプログラム
６３４ 他のプログラム／モジュール
６３６ ドライバ
６３８ プログラムデータ
６４０ 通信
６４４ａ 指
６４４ｂ スタイラス
６４４ｃ コンピュータマウスまたはトラックボール
６４６ インターフェース
６４８ タッチスクリーン
６５０ ビデオインターフェース
６５２ａ ネットワークインターフェース
６５６ 通信インターフェース

Claims (35)

1. １つ以上のオフサイトの場所でシークレットを管理するためのホスト型シークレット管理トランスポートシステムであって、前記ホスト型シークレット管理トランスポートシステムが、
   １つ以上のプロセッサと、一組の命令を格納しているメモリデバイスとを含むサーバを備え、前記一組の命令が、前記１つ以上のプロセッサによって実行されたときに、前記１つ以上のプロセッサに、
   構成要素のより大きな機能的グループである２つ以上の管轄の境界を定義することであって、各管轄が独立したマスターレコードを有し、各管轄が２つ以上の領域を含む、定義することと、
   前記２つ以上の領域内でプライマリ領域を定義することと、
   前記プライマリ領域内の、その管轄のシークレットのプライマリストレージであるマスターレコードハードウェアセキュリティモジュールにアクセスすることであって、前記マスターレコードハードウェアセキュリティモジュールが、その対応する管轄内のシークレットに対するすべての動作に関する真実レコードであり、前記シークレットに対する前記動作が、作成動作、更新動作、および削除動作のうちの１つ以上を含む、アクセスすることと、
   前記プライマリ領域ではない、１つ以上のセカンダリ領域を定義することと、
   前記１つ以上のセカンダリ領域内の、前記マスターレコードハードウェアセキュリティモジュールからの前記シークレットのデータバックアップが作成される場所であるバックアップレコードハードウェアセキュリティモジュールにアクセスすることと、
   前記マスターレコードハードウェアセキュリティモジュールから、複数の異なる会社のマルチテナントシークレット管理を同時にサポートする前記バックアップレコードハードウェアセキュリティモジュールへのライブレプリケーションを実行することと、
   前記２つ以上の領域の各々の、前記バックアップレコードハードウェアセキュリティモジュールからライブレプリケーションを受信するプライマリキャッシュハードウェアセキュリティモジュールにアクセスすることと、
   前記２つ以上の領域の各々の、ハードウェアセキュリティモジュールキャッシュプールにアクセスすることであって、前記ハードウェアセキュリティモジュールキャッシュプールが、領域内のトラフィックの必要性に応じて前記プライマリキャッシュハードウェアセキュリティモジュールから複製するように拡張可能である、アクセスすることと、
   管轄内の前記２つ以上の領域の各々の、ソフトウェアコンテナのクラスタ、および前記ソフトウェアコンテナが利用可能であり適切に動作していることを保証するソフトウェアコンテナ管理システムにアクセスすることと、
   ソフトウェアコンテナにおける値の要求を受信することであって、領域のクラスタ内の前記ソフトウェアコンテナからの前記値の要求が、すべての読み出し動作について、前記プライマリキャッシュハードウェアセキュリティモジュールと前記ハードウェアセキュリティモジュールキャッシュプールとの間で負荷分散される、受信することと、を行わせ、
   存在しない値が要求された場合に、前記ホスト型シークレット管理トランスポートシステムが前記値の発信元の管轄を調べ、前記要求の発信元の管轄と異なりかつ許容される場合は、前記発信元の管轄に前記値を要求し、次に前記値が、前記要求が発信された前記領域の前記プライマリキャッシュハードウェアセキュリティモジュールにキャッシュされ、次に前記値がライブレプリケーションを介して前記ハードウェアセキュリティモジュールキャッシュプールに配布される、ホスト型シークレット管理トランスポートシステム。
2. 前記管轄が、地政学的境界に基づいて定義され、前記地政学的境界が、国、国の連合、または国のグループを含み、前記管轄が、領域を編成するように任意に定義され基づき、単一のグループ、会社、または企業に結合されているシークレットを保持し、前記領域が、前記管轄のうちの１つの中にある地域的方角または国を含む、現実世界の境界によって定義され、前記領域が、同一のクラウドプロバイダ、異なるクラウドプロバイダ、オンプレミスシステム、およびプライベートクラウドのうちの１つ以上に包含された完全に固有のデータセンターに基づき、セカンダリ領域が、プライマリ領域全体が利用可能ではなくなった場合に高い可用性を提供する、請求項１に記載のホスト型シークレット管理トランスポートシステム。
3. 前記マスターレコードが、すべての書き込み動作が発生する場所である、請求項１に記載のホスト型シークレット管理トランスポートシステム。
4. 緊急事態の間を除いて、前記マスターレコードに対する読み出し動作は発生しない、請求項１に記載のホスト型シークレット管理トランスポートシステム。
5. 前記バックアップレコードハードウェアセキュリティモジュールが、データベースロックが発生する可能性を低減または排除するために、前記マスターレコードハードウェアセキュリティモジュールへの負荷を可能な限り低く保持する、請求項１に記載のホスト型シークレット管理トランスポートシステム。
6. 前記プライマリキャッシュハードウェアセキュリティモジュールが、その対応する領域内のすべてのキャッシュされた値のプライマリレプリケーションソースとして機能する、請求項１に記載のホスト型シークレット管理トランスポートシステム。
7. 前記ホスト型シークレット管理トランスポートシステムが、前記複製された値を前記管轄間で安全に配布して要求の遅延を低減し、前記複製された値を前記プライマリキャッシュハードウェアセキュリティモジュールおよびハードウェアセキュリティモジュールキャッシュプールを介して配布し、一方で前記対応する管轄の前記マスターレコードハードウェアセキュリティモジュールが常に元の値を包含する、請求項１に記載のホスト型シークレット管理トランスポートシステム。
8. 前記２つ以上の領域の各々がデータベースクラスタを含み、前記データベースクラスタのうちの１つがプライマリデータベースクラスタとして指定され、データが前記プライマリデータベースクラスタに格納され、前記プライマリデータベースクラスタから、前記データが分散レプリカデータベースにグローバルに複製される、請求項１に記載のホスト型シークレット管理トランスポートシステム。
9. 前記プライマリデータベースクラスタに格納される前記データが、前記ホスト型シークレット管理トランスポートシステムで管理される前記シークレットのメタデータであり、前記メタデータが、名前、内部名、バージョン番号、発信元の管轄、および前記値が配布され得る場所を保護するセキュリティポリシーのうちの１つ以上を含む、請求項８に記載のホスト型シークレット管理トランスポートシステム。
10. 前記メタデータを単一のエンティティとして格納するのではなく、前記データが、メタデータエンティティを構築するためにレンダリングされるイベントのストリームとして格納される、請求項９に記載のホスト型シークレット管理トランスポートシステム。
11. 前記イベントのストリームが、ミューテーション動作の実行を引き起こすすべてのイベントの永続的な監査ログを提供する、請求項１０に記載のホスト型シークレット管理トランスポートシステム。
12. 前記永続的な監査ログ内のイベントが、異常およびセキュリティの問題について機械学習を使用して分析される、請求項１１に記載のホスト型シークレット管理トランスポートシステム。
13. クライアントがユーザによって作成され、鍵束に結合されるが、特定の環境の値への前記クライアントのアクセスを制限し、これにより本番値および開発値が交差しないことを保障する、請求項１に記載のホスト型シークレット管理トランスポートシステム。
14. 前記クライアントが、前記特定の環境に結合されている、請求項１３に記載のホスト型シークレット管理トランスポートシステム。
15. 異なる種類の特定の環境が、本番、ステージング、テスト、および開発を含む、請求項１３に記載のホスト型シークレット管理トランスポートシステム。
16. すべての領域が、前記領域内の前記構成要素のすべてを包含するプライベートサブネットを含み、前記領域のうちの１つ内の他のすべてのシステムが、様々なアベイラビリティーゾーン内のプライベートサブネットに配置されており、これにより、インターネットへの外部接続を介した直接接触のいずれの可能性も排除する、請求項１に記載のホスト型シークレット管理トランスポートシステム。
17. 領域間のすべての通信および管轄間の通信は、暗号化された接続によって処理される、請求項１に記載のホスト型シークレット管理トランスポートシステム。
18. １つ以上のオフサイトの場所でシークレットを管理するためのホスト型シークレット管理トランスポート方法であって、前記方法が、
    ホスト型シークレット管理トランスポートシステムに含まれる１つ以上のプロセッサにより、構成要素のより大きな機能的グループである２つ以上の管轄の境界を定義することであって、各管轄が独立したマスターレコードを有し、各管轄が２つ以上の領域を含む、定義することと、
    前記１つ以上のプロセッサにより、前記２つ以上の領域内でプライマリ領域を定義することと、
    前記１つ以上のプロセッサにより、前記プライマリ領域内の、その管轄のシークレットのプライマリストレージであるマスターレコードハードウェアセキュリティモジュールにアクセスすることであって、前記マスターレコードハードウェアセキュリティモジュールが、その対応する管轄内のシークレットに対するすべての動作に関する真実レコードであり、前記シークレットに対する前記動作が、作成動作、更新動作、および削除動作のうちの１つ以上を含む、アクセスすることと、
    前記１つ以上のプロセッサにより、前記プライマリ領域ではない、１つ以上のセカンダリ領域を定義することと、
    前記１つ以上のプロセッサにより、前記１つ以上のセカンダリ領域内の、前記マスターレコードハードウェアセキュリティモジュールからの前記シークレットのデータバックアップが作成される場所である、バックアップレコードハードウェアセキュリティモジュールにアクセスすることと、
    前記１つ以上のプロセッサにより、前記マスターレコードハードウェアセキュリティモジュールから、複数の異なる会社のマルチテナントシークレット管理を同時にサポートする前記バックアップレコードハードウェアセキュリティモジュールへのライブレプリケーションを実行することと、
    前記１つ以上のプロセッサにより、前記２つ以上の領域の各々の、前記バックアップレコードハードウェアセキュリティモジュールからライブレプリケーションを受信するプライマリキャッシュハードウェアセキュリティモジュールにアクセスすることと、
    前記１つ以上のプロセッサにより、前記２つ以上の領域の各々の、ハードウェアセキュリティモジュールキャッシュプールにアクセスすることであって、前記ハードウェアセキュリティモジュールキャッシュプールが、領域内のトラフィックの必要性に応じて前記プライマリキャッシュハードウェアセキュリティモジュールから複製するように拡張可能である、アクセスすることと、
    前記１つ以上のプロセッサにより、管轄内の前記２つ以上の領域の各々の、ソフトウェアコンテナのクラスタ、および前記ソフトウェアコンテナが利用可能であり適切に動作していることを保証するソフトウェアコンテナ管理システムにアクセスすることと、
    前記１つ以上のプロセッサにより、ソフトウェアコンテナにおける値の要求を受信することであって、領域のクラスタ内の前記ソフトウェアコンテナからの前記値の要求が、すべての読み出し動作について、前記プライマリキャッシュハードウェアセキュリティモジュールと前記ハードウェアセキュリティモジュールキャッシュプールとの間で負荷分散される、受信することと、を含み、
    存在しない値が要求された場合に、前記ホスト型シークレット管理トランスポートシステムが前記値の発信元の管轄を調べ、前記要求の発信元の管轄と異なりかつ許容される場合は、前記発信元の管轄に前記値を要求し、次に前記値が、前記要求が発信された前記領域の前記プライマリキャッシュハードウェアセキュリティモジュールにキャッシュされ、次に前記値がライブレプリケーションを介して前記ハードウェアセキュリティモジュールキャッシュプールに配布される、方法。
19. 前記管轄が、地政学的境界に基づいて定義され、前記地政学的境界が、国、国の連合、または国のグループを含み、前記管轄が、領域を編成するように任意に定義され基づき、単一のグループ、会社、または企業に結合されているシークレットを保持し、前記領域が、前記管轄のうちの１つの中にある地域的方角または国を含む、現実世界の境界によって定義され、前記領域が、同一のクラウドプロバイダ、異なるクラウドプロバイダ、オンプレミスシステム、およびプライベートクラウドのうちの１つ以上に包含された完全に固有のデータセンターに基づき、セカンダリ領域が、プライマリ領域全体が利用可能ではなくなった場合に高い可用性を提供する、請求項１８に記載の方法。
20. 前記マスターレコードが、すべての書き込み動作が発生する場所である、請求項１８に記載の方法。
21. 緊急事態の間を除いて、前記マスターレコードに対する読み出し動作は発生しない、請求項１８に記載の方法。
22. 前記バックアップレコードハードウェアセキュリティモジュールが、データベースロックが発生する可能性を低減または排除するために、前記マスターレコードハードウェアセキュリティモジュールへの負荷を可能な限り低く保持する、請求項１８に記載の方法。
23. 前記プライマリキャッシュハードウェアセキュリティモジュールが、その対応する領域内のすべてのキャッシュされた値のプライマリレプリケーションソースとして機能する、請求項１８に記載の方法。
24. 前記ホスト型シークレット管理トランスポートシステムが、前記複製された値を前記管轄間で安全に配布して要求の遅延を低減し、前記複製された値を前記プライマリキャッシュハードウェアセキュリティモジュールおよびハードウェアセキュリティモジュールキャッシュプールを介して配布し、一方で前記対応する管轄の前記マスターレコードハードウェアセキュリティモジュールが常に元の値を包含する、請求項１８に記載の方法。
25. １つの領域がプライマリデータベースクラスタで指定され、データが前記プライマリデータベースクラスタに格納され、前記プライマリデータベースクラスタから、前記データが各領域に配置された分散レプリカデータベースにグローバルに複製される、請求項１８に記載の方法。
26. 前記プライマリデータベースクラスタに格納される前記データが、前記ホスト型シークレット管理トランスポートシステムで管理される前記シークレットのメタデータであり、前記メタデータが、名前、内部名、バージョン番号、発信元の管轄、および前記値が配布され得る場所を保護するセキュリティポリシーのうちの１つ以上を含む、請求項２５に記載の方法。
27. 前記メタデータを単一のエンティティとして格納するのではなく、前記データが、メタデータエンティティを構築するためにレンダリングされるイベントのストリームとして格納される、請求項２６に記載の方法。
28. 前記イベントのストリームが、ミューテーション動作の実行を引き起こすすべてのイベントの永続的な監査ログを提供する、請求項２７に記載の方法。
29. 前記永続的な監査ログ内のイベントが、異常およびセキュリティの問題について機械学習を使用して分析される、請求項２８に記載の方法。
30. クライアントがユーザによって作成され、鍵束に結合されるが、特定の環境の値への前記クライアントのアクセスを制限し、これにより本番値および開発値が交差しないことを保障する、請求項１８に記載の方法。
31. 前記クライアントが、前記特定の環境に結合されている、請求項３０に記載の方法。
32. 異なる種類の特定の環境が、本番、ステージング、テスト、および開発を含む、請求項３０に記載の方法。
33. すべての領域が、前記領域内の前記構成要素のすべてを包含するプライベートサブネットを含み、前記領域のうちの１つ内の他のすべてのシステムが、様々なアベイラビリティーゾーン内のプライベートサブネットに配置されており、これにより、インターネットへの外部接続を介した直接接触のいずれの可能性も排除する、請求項１８に記載の方法。
34. 領域間のすべての通信および管轄間の通信が、暗号化された接続によって処理される、請求項２３に記載の方法。
35. １つ以上のオフサイトの場所でシークレットを管理するためのホスト型シークレット管理トランスポートシステムであって、前記ホスト型シークレット管理トランスポートシステムが、
    構成要素のより大きな機能グループである２つ以上の管轄であって、各管轄が独立したマスターレコードを有し、各管轄が少なくともプライマリ領域およびセカンダリ領域をさらに含む２つ以上の領域を含む、２つ以上の管轄と、
    その管轄のシークレットのプライマリストレージである、前記プライマリ領域に含まれるマスターレコードハードウェアセキュリティモジュールであって、前記マスターレコードハードウェアセキュリティモジュールが、その対応する管轄内のシークレットに対するすべての動作に関する真実レコードであり、シークレットに対する前記動作は、作成動作、更新動作、および削除動作のうちの１つ以上を含む、マスターレコードハードウェアセキュリティモジュールと、
    前記プライマリ領域ではない１つ以上のセカンダリ領域に含まれるバックアップレコードハードウェアセキュリティモジュールであって、複数の異なる会社のマルチテナントシークレット管理を同時にサポートする前記マスターレコードハードウェアセキュリティモジュールからライブレプリケーションを受信し、前記バックアップレコードハードウェアセキュリティモジュールが、前記マスターレコードハードウェアセキュリティモジュールからデータのバックアップが作成される場所である、バックアップレコードハードウェアセキュリティモジュールと、
    前記バックアップレコードハードウェアセキュリティモジュールからライブレプリケーションを受信する、前記２つ以上の領域の各々に包含される、プライマリキャッシュハードウェアセキュリティモジュールと、
    前記２つ以上の領域の各々に包含されるハードウェアセキュリティモジュールキャッシュプールであって、各ハードウェアセキュリティモジュールキャッシュプールが、領域内のトラフィックの必要性に応じて、その対応するプライマリキャッシュハードウェアセキュリティモジュールから複製するように拡張可能である、ハードウェアセキュリティモジュールキャッシュプールと、
    前記２つ以上の領域の各々に含まれるソフトウェアコンテナのクラスタおよびソフトウェアコンテナ管理システムであって、前記ソフトウェアコンテナ管理システムが、前記ソフトウェアコンテナが利用可能であり適切に動作していることを保証し、領域のクラスタ内のソフトウェアコンテナからの要求が、すべての読み出し動作について、前記プライマリキャッシュハードウェアセキュリティモジュールと前記ハードウェアセキュリティモジュールキャッシュプールとの間で負荷分散される、ソフトウェアコンテナのクラスタおよびソフトウェアコンテナ管理システムと、を含み、
    存在しない値が要求された場合に、前記ホスト型シークレット管理トランスポートシステムが前記値の発信元の管轄を識別し、前記要求の発信元の管轄と異なりかつ許容される場合は、前記発信元の管轄に前記値を要求し、次に前記値が、前記要求が発信された前記領域の前記プライマリキャッシュハードウェアセキュリティモジュールにキャッシュされ、次に前記値がライブレプリケーションを介して前記ハードウェアセキュリティモジュールキャッシュプールに配布される、ホスト型シークレット管理トランスポートシステム。

Images