用于云环境中的保证的日志管理的方法和装置与流程
本公开一般地涉及在“云”计算环境中部署应用。
背景技术：
新兴的信息技术(it)交付(delivery)模型是云计算，共享的资源、软件和信息通过云计算经由因特网按需要提供到计算机和其他设备。云计算能够显著地减小it成本和复杂度，同时改善工作负荷优化和服务交付。利用该方法，应用实例可以被托管(host)并且使得可从基于因特网的资源可用，基于因特网的资源可经由http通过传统web浏览器访问。示例应用可以是提供诸如电子邮件、日程表、联系人管理和即时通讯的消息传递功能的公共集合的一个应用。用户然后将直径经由因特网访问服务。使用该服务，企业将其电子邮件、日程表和/或合作基础设施放置在云中，并且终端用户将使用适当的客户端来访问他的或她的电子邮件，或者执行日程表操作。
云计算资源典型地容纳在运行一个或多个网络应用的大服务器群中，其典型地使用虚拟架构，其中应用运行映射到数据中心设施中的物理服务器的内部虚拟服务器或所谓“虚拟机”(vm)。虚拟机典型地在管理程序顶端运行，管理程序是将物理资源分配给虚拟机的控制程序。
商业企业通常必须提供信息以显示符合不同的政府规定。这些规定包括例如萨班斯法案(sarbanes-oxley(sox)act)、健康保险可携性和责任法案(healthinsuranceportabilityandaccountabilityact)等。通常，符合这些和其他规定可以使用由信息技术(it)组织保持的审计日志中包含的信息来显示。为了合规性的原因，这些审计日志通常保持多年。审计日志用于检查信息技术控制的实施和效率、可归责性和易损性、和/或风险分析。信息技术组织也可以使用安全性相关的关键活动的审计以辅助法院调查，诸如可能出现的安全性事件。当安全性事件出现时，审计日志使得能够分析在安全性事件出现之前出现的活动历史。这些活动包括谁做什么、何时、何地以及如何。利用审计日志的分析，可以采取适当的矫正动作。审计日志典型地在关系数据库中可用，以允许通过报告程序或软件容易查询以生成运行和趋势报告。
尽管合规性可以被视为确保用于保证实施安全性策略的能力，但是合规性还可以应用于其他类型的策略，诸如服务水平协议(例如，在审计日志上使用时间戳以确保满足总体服务水平协议(sla))、法律的合规性(例如，关于隐私相关信息的控制或发布)、或者甚至策略管理本身(例如，谁改变策略、何时以及如何、以及是否符合合规性策略管理的策略)。
安全性情报和审计能力要求日志资源的集中收集和管理。尽管用于日志收集的许多选项可用，但是由于迅速改变的软件环境，集中管理在虚拟环境中变得更加困难。更重要地，逐日志的策略的实时应用可能不可能，尽管其对于审计和安全性情报是关键的。
在日志管理的许多领域存在现有技术。基于云的平台允许日志自登记。此外，软件可用于基于安装在机器上的应用的日志自动发现。集中的策略管理解决方案也是可用的。然而，这些选项在虚拟应用区域环境中是不足的，由于日志收集和处理要求是上下文特定(context-specific)且动态的。
技术实现要素：
根据本公开，提供一种日志管理机制，用于优选地基于应用上下文和部署拓扑，将日志自登记与集中的策略集成，以便使得在云环境中管理日志。
在一个实施例中，日志管理服务提供用于部署在云上的任何应用的自动化日志管理。定义用于应用的日志记录请求的安全性(或者“审计日志”)简档与应用相关联。在部署期间，部署装置查询通常提供于应用上下文和部署拓扑的服务。日志管理服务参照安全性简单中针对定义的日志请求提供的应用上下文和部署拓扑，并且响应于此，确定日志文件、驻留和寿命请求的可应用集合。日志管理服务然后识别/指定所需的日志收集资源和请求，并且指示请求的部署处理(或一些其他实体)根据需要配置一个或多个日志资源和事件收集器。随着由日志资源生成日志数据，日志发送到为部署的应用指定的日志管理服务提供者，并且日志管理服务提供者处理特定审计请求。
前述已经概述公开的主题的更多相关特征中的一些。这些特征应该理解为仅仅是说明性的。通过以不同的方式应用公开的主题或通过修改如将描述的本发明，可以获得许多其他有益结果。
附图说明
为了本发明及其优点的更完全理解，参照以下结合附图进行的描述，附图中：
图1描述其中可以实施说明性实施例的示例性方面的分布式数据处理环境的示例性框图；
图2是其中可以实施说明性实施例的示例性方面的数据处理系统的示例性框图；
图3图示其中可以实施公开的主题的示例性云计算架构；
图4图示其中基于网络的装置可以用于便利一个或多个基于云的供应的示例性运行环境；
图5图示基于网络的装置的代表性功能组件；
图6图示本公开的安全性保证服务的基本操作组件的框图；
图7图示其中根据本公开提供日志管理服务的云运行环境；以及
图8描述其中可以实施本公开的应用区域日志管理器的示例性数据中心。
具体实施方式
现在参照附图并且特别参照图1和图2，提供其中可以实施本公开的说明性实施例的数据处理环境的示例图。应该理解，图1和图2仅仅是示例性的而不旨在明示或暗示对于其中可以实施公开的主题的各方面或实施例的环境的任何限制。可以对描绘的环境进行许多修改而不背离本发明的精神和范围。
客户端-服务器技术
现在参照附图，图1描述其中可以实施说明性实施例的各方面的示例性分布式数据处理系统的图形表示。分布式数据处理系统100可以包括其中可以实施说明性实施例的各方面的计算机网络。分布式数据处理系统100包含至少一个网络102，其实用于提供在分布式数据处理系统100中连接在一起的各种设备和计算机之间的通信链路的介质。网络102可以包括诸如有线、无线通信链路或光线线缆的连接。
在描述的示例中，服务器104和服务器106连同存储单元108连接到网络102。此外，客户端110、112和114也连接到网络102。这些客户端110、112和114例如可以是个人计算机、网络计算机等。在描述的示例中，服务器104提供诸如引导文件、操作系统镜像和应用的数据给客户端110、112和114。客户端110、112和114在描述的示例中是到服务器104的客户端。分布式数据处理系统100可以包括没有示出的额外服务器、客户端和其他设备。
在描述的示例中，分布式数据处理系统100是具有网络102的因特网，网络102代表使用传输控制协议/因特网协议(tcp/ip)协议族相互通信的网络和网关的全球集合。处于因特网心脏的是由成千上万的商业、政府、教育和其他计算机系统构成的主节点或主机计算机之间的高速数据通信线路的主干网，其路由数据和消息。当然，分布式数据处理系统100也可以实施为包括多个不同类型的网络，诸如例如内联网、局域网(lan)、广域网(wan)等。如上所述，图1旨在作为示例，而不是作为对于公开的主题的不同实施例的架构性限制，并且因此图1中示出的特定元件不应被视为对于其中可以实施本发明的示例性实施例的环境的限制。
现在参照图2，示出了其中可以事实说明性实施例的各个方面的示例性数据处理系统的框图。数据处理系统200是诸如图1中的客户端110的计算机的示例，其中可以布置实施用于本公开的说明性实施例的处理的计算机可用代码或指令。
现在参照图2，示出了其中可以实施说明性实施例的数据处理系统的框图。数据处理系统200是诸如图1中的服务器104或客户端110的计算机的示例，其中可以布置用于实施说明性实施例的处理的计算机可用程序代码或指令。在该说明性示例中，数据处理系统200包括在处理器单元204、存储器206、持久存储208、通信单元210、输入/输出(i/o)单元212和显示器214之间提供通信的通信结构。
处理器单元204用于执行用于可以载入存储器206的软件的指令。取决于特定实施方式，处理器单元204可以是一个或多个处理器的集合，或者可以是多个处理器核心。此外，处理器单元204可以使用一个或多个不同处理器系统实施，其中在单个芯片上存在具有二级处理器的主处理器。作为另一说明性示例，处理器单元204可以是包含相同类型的多个处理器的对称多处理器(smp)系统。
存储器206和持久存储208是存储设备的示例。存储设备是能够临时或持久存储信息的任何一块硬件。在这些示例中，存储器206例如可以是随机存取存储器或任何合适的易失性或非易失性存储设备。取决于特定实施方式，持久存储208可以采取各种形式。例如，持久存储208可以是硬驱动器、闪速存储器、可重写光盘、可重写磁带或以上的一些组合。由持久存储208使用的介质还可以是可移除的。例如，可移除硬驱动器可以用作持久存储208。
在这些示例中，通信单元210提供与其他数据处理系统或设备的通信。在这些示例中，通信单元210是网络接口卡。通信单元210可以通过使用物理和无线通信链路之一或两者提供通信。
输入/输出单元212允许与可以连接到数据处理系统200的其他设备的数据的输入和输出。例如，输入/输出单元212可以通过键盘和鼠标提供用于用户输入的连接。此外，输入/输出单元212可以发送输出到打印机。显示器214提供为用户显示信息的机制。
用于操作系统和应用的指令或程序位于持久存储208。这些指令可以载入存储器206用于通过处理器单元204执行。不同实施例的处理可以由处理器单元204使用计算机实施的指令执行，计算机实施的指令可以位于诸如存储器206的存储器中。这些指令被称为程序代码、计算机可用程序代码或者计算机可读程序代码，其可以由处理器单元204中的处理器读取和执行。不同实施例中的程序代码可以体现在不同物理或有形计算机可读介质上，诸如存储器206或持久存储208。
程序代码216以功能形式位于可选择性地移除的计算机可读介质218上，并且可以加载到或转移到数据处理系统200，用于由处理器单元204执行。程序代码216和计算机可读介质218形成这些示例中的计算机程序产品220。在一个示例中，计算机可读介质218可以为有形形式，诸如例如插入或放置到作为持久存储208一部分的驱动器或其他设备的光盘或磁盘，用于转移到诸如作为持久存储208的一部分的硬驱动器的存储设备上。以有形形式，计算机可读介质218还可以采取持久存储的形式，诸如连接到数据处理系统200的硬驱动器、指状存储器或闪速存储器。计算机可读介质218的有形形式还可以称为计算机可记录存储介质。在一些实例中，计算机可读介质218可能不可移除。
可替代地，程序代码216可以通过到通信单元210的通信链路和/或通过到输入/输出单元212的连接，从计算机可读介质218转移到数据处理系统200。通信链路和/或连接在说明性示例中可以是物理的或无线的。计算机可读介质还可以采取无形介质的形式，诸如包含程序代码的通信链路或无线传输。为数据处理系统200图示的不同组件不旨在提供对于其中可以实施不同实施例的方式的架构性限制。在包括除了为数据处理系统200图示的那些组件外或替代那些组件的组件的数据处理系统中，可以实施不同的说明性实施例。图2中示出的其他组件可以从示出的说明性示例变化。作为一个示例，数据处理系统200中的存储设备是可以存储数据的任何硬件装置。存储器206、持久存储208和计算机可读介质218是有形形式的存储设备的示例。
在另一示例中，总线系统可以用于实施通信结构202，并且可以包括一个或多个总线，诸如系统总线或输入/输出总线。当然，总线系统可以使用提供附接到总线系统的不同组件或设备之间的数据转移的任何适当类型的架构来实施。此外，通信单元可以包括用于传输和接收数据一个或多个设备，诸如调制解调器或网络适配器。此外，存储器可以是例如存储器206或者高速缓存，诸如在通信结构202中可能存在的接口和存储器控制器集线器中发现。
用于执行本发明的操作的计算机程序代码可以以一个或多个编程语言的任何组合，包括诸如javatm、smalltalk、c++、c#、objective-c、等等面向对象的编程语言，以及传统的程序编程语言。程序代码可以整体地在用户的计算机上、部分地在用户的计算机上、作为独立软件包、部分地在用户的计算机上并且部分地在远程计算机上、或者整体地在远程计算机或服务器上执行。在后一场景中，远程计算机可以通过任何类型网络(包括局域网(lan)或广域网(wan))连接到用户的计算机，或者可以进行到外部计算机的连接(例如，使用因特网服务提供商通过因特网)。
本领域的技术人员将理解图1-2中的硬件可以依赖于实施方式变化。除了图1-2中描绘的硬件或者替代图1-2中描绘的硬件，可以使用其他内部硬件或外部硬件，诸如闪速存储器、等价的非易失性存储器、或者光盘驱动器等。此外，除了之前提及的smp系统外，说明性实施例的处理可以应用于多处理器数据处理系统，而不背离公开的主题的精神和内容。
如将所见的，在此描述的技术可以与诸如图1中图示的标准客户端-服务器范例结合操作，其中客户端机器与在一个或多个机器的集合上执行的因特网可访问的基于web的门户通信。终端用户操作能够访问和与门户接口的可连接因特网的设备(例如，桌面型计算机、笔记本计算机、启用因特网的移动设备等)。典型地，每个客户端或服务器机器是包括硬件和软件的诸如图2中图示的数据处理系统，并且这些实体在诸如因特网、内联网、外联网、私有网络或任何其他通信介质或链路的网络上相互通信。数据处理系统典型地包括一个或多个处理器、操作系统、一个或多个应用、以及一个或多个设施。数据处理系统上的应用提供用于web服务的本地支持，其中包括对于http、soap、xml、wsdl、uddi和wsfl的支持。关于soap、wsdl、uddi和wsfl的信息可从负责开发和维护这些标准的万维网联盟(w3c)获取；关于http和xml的进一步信息可从互联网工程任务组(ietf)获取。假定对于这些标准是熟悉的。
云计算模型
云计算是用于实现对于可配置的计算资源(例如，网络、网络宽带、服务器、处理、存储器、存储、应用、虚拟机和服务)池的便利的、按需网络访问的服务传送模型，可以利用最小的管理精力或与服务提供者的交互迅速地供应和释放可配置的计算资源池。该云模型可以包括至少五个特征、至少三个服务模型、以及至少四个部署模型，所有如由petermell和timgrance在2009年10月7日在“云计算的草案nist工作定义”中更具体地描述和定义。
具体地，以下是典型的特征：
按需自助式服务：云的消费者在无需与服务提供者进行人为交互的情况下能够单方面自动地按需部署诸如服务器时间和网络存储等的计算能力。
广泛的网络接入：计算能力可以通过标准机制在网络上获取，这种标准机制促进了通过不同种类的瘦客户机平台或厚客户机平台(例如移动电话、膝上型电脑、个人数字助理pda)对云的使用。
资源池：提供者的计算资源被归入资源池并通过多租户(multi-tenant)模式服务于多重消费者，其中按需将不同的实体资源和虚拟资源动态地分配和再分配。一般情况下，消费者不能控制或甚至并不知晓所提供的资源的确切位置，但可以在较高抽象程度上指定位置(例如国家、州或数据中心)，因此具有位置无关性。
迅速弹性：能够迅速、有弹性地(有时是自动地)部署计算能力，以实现快速扩展，并且能迅速释放来快速缩小。在消费者看来，用于部署的可用计算能力往往显得是无限的，并能在任意时候都能获取任意数量的计算能力。
可测量的服务：云系统通过利用适于服务类型(例如存储、处理、带宽和活跃用户帐号)的某种抽象程度的计量能力，自动地控制和优化资源效用。可以监测、控制和报告资源使用情况，为服务提供者和消费者双方提供透明度。
服务模型通常如下：
软件即服务(saas)：向消费者提供的能力是使用提供者在云基础架构上运行的应用。可以通过诸如网络浏览器的瘦客户机接口(例如基于网络的电子邮件)从各种客户机设备访问应用。除了有限的特定于用户的应用配置设置外，消费者既不管理也不控制包括网络、服务器、操作系统、存储、乃至单个应用能力等的底层云基础架构。
平台即服务(paas)：向消费者提供的能力是在云基础架构上部署消费者创建或获得的应用，这些应用利用提供者支持的程序设计语言和工具创建。消费者既不管理也不控制包括网络、服务器、操作系统或存储的底层云基础架构，但对其部署的应用具有控制权，对应用托管环境配置可能也具有控制权。
基础架构即服务(iaas)：向消费者提供的能力是消费者能够在其中部署并运行包括操作系统和应用的任意软件的处理、存储、网络和其他基础计算资源。消费者既不管理也不控制底层的云基础架构，但是对操作系统、存储和其部署的应用具有控制权，对选择的网络组件(例如主机防火墙)可能具有有限的控制权。
部署模型通常如下：
私有云：云基础架构单独为某个组织运行。云基础架构可以由该组织或第三方管理并且可以存在于该组织内部或外部。
共同体云：云基础架构被若干组织共享并支持有共同利害关系(例如任务使命、安全要求、政策和合规考虑)的特定共同体。共同体云可以由共同体内的多个组织或第三方管理并且可以存在于该共同体内部或外部。
公共云：云基础架构向公众或大型产业群提供并由出售云服务的组织拥有。
混合云：云基础架构由两个或更多部署模型的云(私有云、共同体云或公共云)组成，这些云依然是独特的实体，但是通过使数据和应用能够移植的标准化技术或私有技术(例如用于云之间的负载平衡的云突发流量分担技术)绑定在一起。
云计算环境是面向服务的，特点集中在无状态性、低耦合性、模块性和语意的互操作性。云计算的核心是包含互连节点网络的基础架构。
代表性的云计算模型如上图2所示。具体地，在云计算节点中，存在计算机系统/服务器，其可与多种其他通用或专用计算系统环境或配置运行。可以适于与计算机系统/服务器使用的公知的计算系统、环境和/或配置的示例包括但不限于个人计算机系统、服务器计算机系统、瘦客户端、厚客户端、手持或膝上型设备、多处理器系统、基于微处理器的系统、机顶盒、可编程消费电子产品、网络pc、迷你计算机系统、主机计算机系统以及包括上面的系统或设备的任何的分布式云计算环境等。
计算机系统/服务器可以在由计算机系统执行的计算机系统可执行指令(诸如程序模块)的一般语境下描述。通常，程序模块可以包括执行特定的任务或者实现特定的抽象数据类型的例程、程序、目标程序、组件、逻辑、数据结构等。计算机系统/服务器可以在通过通信网络链接的远程处理设备执行任务的分布式云计算环境中实施。在分布式云计算环境中，程序模块可以位于包括存储设备的本地或远程计算系统存储介质上。
现在参照图3，作为额外背景，示出了由云计算环境提供的功能抽象层的集合。应该预先理解的是图3中示出的组件、层和配置仅仅旨在是说明性的，并且本发明的实施例不限于此。如所描述的，提供以下层和相应的功能：
硬件和软件层300包括硬件和软件组件。硬件组件的例子包括：主机，例如
虚拟层302提供一个抽象层，该层可以提供下列虚拟实体的例子：虚拟服务器、虚拟存储、虚拟网络(包括虚拟私有网络)、虚拟应用和操作系统，以及虚拟客户端。
在一个示例中，管理层304可以提供下述功能：资源供应功能：提供用于在云计算环境中执行任务的计算资源和其它资源的动态获取；计量和定价功能：在云计算环境内对资源的使用进行成本跟踪，并为此提供帐单和发票。在一个例子中，该资源可以包括应用软件许可。安全功能：为云的消费者和任务提供身份认证，为数据和其它资源提供保护。用户门户功能：为消费者和系统管理员提供对云计算环境的访问。服务水平管理功能：提供云计算资源的分配和管理，以满足必需的服务水平。服务水平协议(sla)计划和履行功能：为根据sla预测的对云计算资源未来需求提供预先安排和供应。
工作负载层306提供云计算环境可能实现的功能的示例。在该层中，可提供的工作负载或功能的示例包括：地图绘制与导航；软件开发及生命周期管理；虚拟教室的教学提供；数据分析处理；交易处理；以及其他(如私有云中的企业特定功能)。
应该预先理解尽管本公开包括关于云计算的详细描述，但是在此叙述的教导的实施方式不是对于云计算环境的限制。而是本发明的实施例能够结合现在已知或随后开发的任何其他类型的计算环境来实施。
因此，代表性云计算环境具有高级功能组件的集合，包括前端标识管理器、商业支持服务(bss)功能组件、操作支持服务(oss)服务组件以及计算云组件。标识管理器负责与请求的客户端接口以提供标识管理，并且该组件可以用一个或多个已知系统(诸如可从纽约阿蒙克市的ibm公司获取的tivoli联合标识管理器)实施。在适当的情况下，tfim可以用于提供联合单点登陆(f-sso)给其他云组件。商业支持服务组件提供特定管理功能，诸如账单支持。操作支持服务组件用于提供其他云组件(诸如虚拟机(vm)实例)的提供和管理。云组件代表主要的计算资源，其通常是用于运行可经由云用于访问的目标应用的多个虚拟机实力。一个或多个数据库用于存储目录、日志和其他工作数据。所有这些组件(包括前端标识管理器)位于云“内部”，但是这不是要求。在替代性实施例中，标识管理器可以在云外部运行。服务提供者也可以在云外部运行。
一些云基于非传统ip网络。因此，例如云可以基于具有使用mac地址的散列的特定单层ip路由的基于两级clos网络。在此描述的技术可以在这样的非传统云中使用。
云部署技术
已知提供基于装置的解决方案以便利作为服务供应的基础设施和平台两者的迅速采用和部署。如上所述，一个这样的装置是ibm工作负荷部署器(iwd)，并且该装置还可以用于管理共享的、多租户环境，其中隔离和安全性是最重要的。物理装置(在此有时也称为盒子)的安全属性通常由自停用开关提供，如果移除装置外壳则触发自停用开关。该物理安全性使得装置用作证书的安全库，其可以在整个生命周期(在存储、分发、在云中运行或者从云移除)中捆绑到虚拟镜像。ibm工作负荷部署器还包含存储驱动器，其使镜像定制的存储合理化。它还用作用于预加载和定制的中间件虚拟镜像和模式的专用存储。该装置还包括先进的压缩和存储技术，其实现大量这些虚拟镜像(每个可能是相当大的)存储。
在运行中，装置可能提供标准的和定制的中间件虚拟镜像和模式，其能够被安全地在私有或内部云计算环境中部署和管理。这些虚拟镜像可以帮助容易地和快速地开发、测试和部署商业应用，因此终结通常与创建这些复杂环境相关联的手动的、重复的和易错的处理。在完成时，资源自动返回到共享的资源池用于未来使用，并且记录日志用于内部退费目的。装置还管理各个用户和分组对于资源的访问，为it管理员提供以精细粒度水平优化效率所需的控制。
典型地，装置包括硬件和软件加密支持以加密硬盘上的所有数据。该数据包括但不限于时间日志数据。没有用户(包括管理用户)可以访问物理盘上的任何数据。特别地，操作系统(例如，linux)封闭根账户并且不提供命令壳，并且用户没有文件系统访问权。当管理员执行装置的备份时，加密备份镜像以保护数据的机密性。当恢复加密的镜像时，因此需要解密密钥来解密备份镜像，以使得数据恢复到装置。
参照图4，代表性操作环境包括物理装置400，其与云402接口。装置可以使用诸如参照图2的上述数据处理系统实施。优选地，装置400包括基于web2.0的用户界面(ui)、命令行界面(cli)、以及基于rest的应用编程界面(api)。装置提供实现基于云的解决方案的迅速部署的管理功能。为此，装置提供存储用于(i)用于管理用户和组对于资源的访问的数据404、(ii)用于预加载和/或可定制中间件虚拟镜像406、以及(iii)用于可配置模式和脚本包408。模式是包括特定解决方案的物理和虚拟资产两者的逻辑描述。如下面将更详细描述的，模式优选地根据tosca规范构成。管理功能和界面提供用于构造的基于模板的方法，其允许本来复杂的硬件和软件组件的集合的迅速创建和修改。特别地，模式的使用允许组织一次构造个别元素或集成的解决方案，然后按需分发最终产品。典型地，存在两个类型的模式：虚拟系统模式提供两个类型的最灵活性和定制化选项。其包含操作系统以及潜在的额外软件解决方案，诸如
还如图4所见，其上运行中间件应用的内部或私有云环境402典型地构成分配到装置的管理程序、网络基础设施和存储设备。代表性环境可以以上述参照图3的方式实施。
图5图示装置如何能够用于建造定制自由云。在步骤1，识别用于云的硬件、管理程序和网络。在步骤2，用户选择和定制虚拟镜像。在步骤3，用户根据需要添加一个或多个脚本包以定制部署的中间件环境。在步骤4，预安装或定制的模式用于描述要部署的中间件拓扑。例如，可以使用拖放界面从虚拟镜像建造模式。在步骤5，将虚拟系统部署到云。
在此参照ibm工作负荷部署器是示例性的，并且不应被采用来限制公开的技术，其可以在具有已经描述的通用特征和操作功能的任何装置(或者，更一般地，机器)上实施。对于iwd的具体参照应该理解为包括上述产品以及实施上面参照的功能性的其他技术。
基于上下文的安全性保证服务
作为对于本公开的进一步背景，以下部分描述“基于上下文的安全性保证服务”或“安全性保证服务”(或者仅仅简称为“服务”)，其中优选地实施本公开的日志管理技术。
不作为限制，安全性保证服务可以在如已经描述的云部署平台系统或装置(图4)内或结合云部署平台系统或装置实施，或者使用任何类型的部署系统、产品、设备、程序或处理实施。可以利用其实施安全性保证服务的代表性云应用平台包括但不限于
安全性保证服务可以实施为管理解决方案、服务、产品、装置、设备、处理、程序、运行线程等。典型地，结合在诸如问题数据的一个或多个数据源中存储的数据，以软件实施技术，作为在硬件处理元件中运行的一个或多个计算机程序。描述的一些或所有处理步骤可以结合其他系统自动和自主运行。自动性可以是完全或部分的，并且运行(整体或部分)可以是同步或异步的、基于需求的、或者其他。
以下是安全性保证服务的高级描述。通常，服务运行通常用于收集(或者另外从其他数据源获取)关于可用的云平台、拓扑和性能的信息。服务还识别可用于设置的安全性性能。这些安全性性能包括但不限于虚拟周长网络(dmz)、网络分离、存储隔离、入侵防御系统(ips)部署、安全性信息和事件管理(siem)部署、反向代理、防火墙、ssl通信、利用现有siem的配置、多因素认证、基于风险的认证等等。优选地，服务将可用性能简化(或者抽象)为易于理解的用于环境的现有拓扑的安全性保证类别。作为非限制和代表性实力，一个这样的类别可以包括“高/中/低”风格累表，其中认为“中”保证可以对应于ssl保护的通信量、ips和siem集成，但没有多因素认证的资源分离和隔离。
优选地，保证服务将类别公开给用户(在应用部署期间)作为“模板”。模板具有与其相关联的一个或多个安全性配置改变的给定集合。用户(典型地为应用开发者)然后选择他或她希望服务对于应用配置/提供的一个或多个这样的安全性模板。服务可以在这方面为用户提供推荐。基于用户选择，服务然后解释请求的一个或多个安全性保证模板，并且作为响应，生成一个或多个安全性配置改变(典型地为对于现有安全性基础设施的安全性设置的改变/更新)的具体列表。可选地，服务还生成对于用于应用的性能的安全性管理员的注释。在应用部署期间，服务应用安全性改变，优选地远程地使用到现有(配置的)安全性产品的基于rest(或等价的)接口，并且根据需要满足模板，其还部署新的安全性软件实例(由于可应用并且如果许可可用)。服务区还可以优选地使用现有云设施并且根据应用的需要，提供硬件和网络环境。以此方式，安全性保证服务为正在部署的应用创建特定上下文的安全云应用区域。当安全性配置更新完成时，收回应用部署平台；平台然后完成部署，并且激活新部署的并且安全的应用。
如所描述，保证服务优选地以基于上下文的方式运行，考虑其中要部署应用的“上下文”。代表性“上下文”信息包括而不限于目标平台的属性、其中预期运行的工作负荷的环境的属性、对于工作负荷的任何合规性或其他规范要求的属性等。因此，例如如果在亚马逊云(其是公开的)上部署工作负荷时，服务将考虑公共云要求，诸如用于所有通信量的ssl通信，即使这样的要求在私有云中不必强制执行。作为另一示例，如果在测试或开发环境中运行工作负荷，那么服务可以仅提供关于数据的最小控制，由于应用(在此上下文中)将不处理实际(实时)顾客数据。作为另一示例，如果工作负荷需要是pci兼容的，那么服务可以仅在特定网络上提供它，而不允许(或者阻止)工作负荷移动到不安全的网络或vlan。这些仅仅是代表性示例。通过安全性保证服务直接收集安全性上下文信息，或者使得这样的信息从具有该信息(或者具有对该信息的访问权)的其他连接的数据源可用于安全性保证服务。
图6图示云安全性保证服务600的代表性实施例的基本组件。如所述的，该方法提供用于管理由应用部署影响的所有安全性资源(或者安全性资源中的限定资源)的集中或联合服务。这些资源可以是完全各种各样的，并且包括反向代理、http服务器、授权更新、新标识的添加、vpn的提供、利用siem解决方案的日志集成、对于开放端口的防火墙配置等。优选地，服务调用远程接口(例如，基于rest的接口)以更新用于安全性资源的配置。哪些安全性资源要更新以及如何更新的确定依赖于基于模板的方法。特别地，服务600提供一个或多个安全性保证模板603(或者仅仅“模板”)，其优选地基于并且从由服务发现(或者另外对于服务可用的)可用资源或配置信息得到。在替代中，基于从其他安全性基础设施实施方式(或者知识基础)得到的信息，安全性模板可以是预定的或者相对“静态”。优选地，并且如在此使用的，保证模板602是提供易于理解的安全性类别或简档以及其相关联的安全性级别(诸如“高/中/低内部网络安全性”以及“高/中/低防火墙安全性”)的服务内的模块。服务600还包括保证配置代理604，其优选地基于系统配置和可用资源的上下文，识别选择模板的安全性目标，并且运行以将模板的选择转换为详细的配置步骤。下面更详细地描述该转换操作。
如所描述的，安全性保证服务还优选地包括(或者与其相关联)上下文监视器606，其分类并且跟踪云拓扑和性能。此外，服务包括(或者与其相关联)安全性管理界面608，其是用于添加或移除安全性模块以提供管理的安全性资源的手动配置、和/或推翻(在允许的情况下)由终端用户选择的安全性模板的配置点。安全性保证服务还包括云安全性处理工作流610，其是调用适当的(例如，基于rest的)界面以应用改变到如由配置代理604指示的潜在安全性基础设施(安全性资源)的模块。保证模式模块612是特定云服务，其协调应用部署并且提供安全性保证服务600。典型地，保证模式模块612包括一些其他云应用平台的组件，尽管这不是要求。保证模式模块612基于正在部署的应用查询用于可用保证模块602的保证服务。
在图6中，在左上的应用所有者/管理员代表应用部署者：这些是优选地仅需要具有对于易于理解的安全性保证级别标志符(通过类别/安全性级别)具有访问权的个体。在左下的云团队或者其他管理员代表可能要求关于用于提供这些安全性保证级别的安全性资源的潜在安全性设置的更多特定信息的个体。
这些上述组件典型地每个实施为软件，即作为在一个或多个硬件处理器中运行的计算机程序指令的集合。各组件示出为区别的，但是不是要求，由于各组件还可以整体或部分相互集成。一个或多个组件可以在专用位置运行，或者相互远离运行。一个或多个组件可以具有一起运行来提供功能性的子组件。不要求安全性保证服务的特定功能由如上命名的特定组件运行，由于在此的功能性(或者其任何方面)可以在其他组件或系统中实施。
安全性保证服务可以由运行用于私有云、公开云或混合云的基础设施的云服务提供者实施。在一个特定实施方式场景中，企业具有由云应用平台管理的相关联私有云(在云服务内实施)。该平台然后可以增大以与本公开的安全性保证服务交互操作(或者实际包括本公开的安全性保证服务)。更一般地，安全性保证服务可以以独立方式由企业实施。其可用做由云服务或者一些其他服务提供者提供的受管理的服务。
服务通过使终端用户提供服务然后使用(在解释应用要求和可用资源之后)的安全性级别(例如，“高网络安全性”)的一般指定来运行，以生成用于应用的安全性优化的部署。典型地，应用被部署到现有环境中，并且安全性保证服务运行来定义和/或裁剪对于(应用将部署到的)现有环境所要求的安全性配置改变。对于应用的安全性优化部署在此有时称为安全的基于上下文的“云应用区域”，或者简称为“安全应用区域”。
如在此使用的“安全性级别”有时称为“安全性保证级别”。如上注意到的，如与可能另外对于所谓安全性专家已知或可用的更精细粒度特异度相比，这些级别公开为易于理解或者“粗糙”粒度描述符(“高”或“低”)。术语“粗糙”或“精细”是相对短语，但是安全性保证级别的“粗糙”指定的概念是仅仅提供可用于用户的基本信息的一个概念，用户可能没有另外知晓或能够确定(或者关心)特定“粗糙”安全性保证级别下的具体安全性要求。在此情况下用户仅知晓他或她(对于特定类别)希望的安全性保证级别是“高”或“低”或者一些其他分类(然而描述的)是足够的。因此，术语“高”(参照特定粗糙安全性保证级别)在替代方案中可以由数值、一些其他标识符或标志数据指定。
在代表性实施例中，服务显示、提供或与可能根据类型分类的安全性模板的集合交互操作。这些模板由图6中示出的保证模板模块提供。因此，例如服务可以显示具有以下类别的安全性模板：“内部网络安全性”、“应用安全性”、“数据安全性”和“入侵者保护”。这些仅仅是代表性的。然后可以根据定义的安全性级别(诸如“高”或“低”)识别特定模板类别。服务可以仅提供“低”或“高”模板，或者其可以提供进一步的级别(例如，低、中和高、或者进一步更具体的级别等)。部署的特定企业应用因此可以具有与其相关联的一个或多个这种安全性模板，每个定义类别和指定安全性级别。因此，例如，部署的特定应用可以具有以下规范：内部网络安全(低)、应用安全性(高)、数据安全性(高)和入侵者保护(高)。基于web的或其他配置接口可以用于指定要与部署的特定应用相关联的一个或多个安全性模板。该接口可以与传统工作负荷部署工具(诸如
如在此使用的，“模板”或“安全性模板”指简档或安全性设置的集合，该简档或安全性设置的集合预期为给定安全性资源或对于给定安全性资源提供特定级别的安全性，该安全性资源可能是系统、设备、装置、程序、处理或安全性基础设施中的其他计算实体。优选地，每个安全性模板具有与其相关联的一个或多个安全性配置(安全性资源设置)，其实施该类别(并且以指定的级别)。优选地，通过安全性保证配置代理组件(参见图6)识别这些安全性配置，其采用选择的模板的安全性目标(作为输入)，并且基于系统配置和(如由上下文监视器提供的)可用资源的上下文将该选择转换为详细的配置步骤(或者改变)。
因此，例如如果应用类别是“内部网络安全性”并且安全级别是所谓“低”，那么代理确定实施该模板所需的详细安全性步骤可能包括：(i)基于应用端点创建前端代理服务器与后端web应用服务器之间的“接合(junction)”、(ii)对于该接合使用基础认证，并且对于单点登录(sso)配置应用服务器中的信任关联拦截器(tai)、以及(iii)实现限制防火墙，并且对于应用端点开放端口。作为另一示例，如果应用类别是“应用安全性”并且安全性级别是所谓“高”，那么实施该模板所需的详细安全性步骤可能包括：(i)针对端点运行安全性分析工具(例如，appscan)，并且如果识别任何关键易损性则停止开发、(ii)指示云应用平台提供vpn以在云中作为应用主机、(iii)对于由应用定义的授权角色配置访问管理员策略、以及(iv)在应用专用的云中创建额外的基于软件的dmz。作为另一示例，如果应用类别是“数据安全性”，并且安全性级别是所谓“低”，那么实施该模板所需的详细安全性步骤可能包括：(i)更新应用服务器以到数据库的ssl连接等。作为另一示例，如果应用类别是“入侵者保护”，并且安全性级别是所谓“高”，那么实施该模板所需的详细安全性步骤可能包括：(i)配置安全性情报平台(例如，
因此，当云提供者部署应用(或者发起部署)时，将一个或多个选择的(或者另外定义或规定的)安全性模板通知安全性保证服务。优选地，云提供者还发送应用的保证服务细节。安全性保证服务采用选择的模板作为引导，并且代理组件然后裁剪详细的安全性配置改变，该安全性配置改变是现有环境支持已经指定的选择的安全性限制以及可用资源的上下文(如由上下文监视器确定)内的应用所需的。如果希望，则可以将这些安全性配置改变呈现给安全性管理员用于在实施之前验证。在验证时(如果实施可选操作)，那么安全性保证服务优先调用远程接口用于软件配置。此外，如果需要，则服务与云提供者通信以获得关于当配置应用时可能需要解决的任何先决条件的信息。这些先决条件可能包括例如vpn的创建、或者对于提供者独特的其他安全性要求。
安全性保证服务还提供云应用指定其安全性要求的能力、评估那些要求的能力(例如，针对特定的云部署环境)、以及使得应用能够控制安全性保证服务以便如果环境不具有必须的拓扑以及部署的安全性资源、则在云中提供额外安全性技术以支持应用的部署(或者在任何位置的重新部署)的能力。
安全性保证服务一般地操作来部署用于在云环境中运行的应用的安全性环境(“安全应用区域”)。在安全性保证服务部署用于特定应用的安全区域之后，应用可以通过传递(例如，在应用有效载荷中)其安全性权利来查询服务。如果由安全性保证服务提供的安全性性能足够或者好于应用的安全性权利，则应用正常运行。然而，如果由安全性保证服务建立的安全性环境对于应用不足，则为应用提供一个或多个补救选项，例如管理员通知、关闭(临时自失能)和管理员通知、发出请求到安全性保证服务以更新安全性环境、发出请求到服务以将应用转移到不同的云安全性保证区域或者到具有更大范围的安全性性能的云平台、发出请求到服务以转移到不同云区域或云平台(例如，以便避免主机冲突等)等等。具体的补救选项可以变化，并且选项可以是确定性尝试或者在以一些另外的可配置方式。具体地，安全性保证服务然后尝试实施补救选项。在选项完成时(例如，更新安全性环境、转移到新的环境等)，应用可以再次查询安全性保证服务，并且可以重复处理。
不旨在作为限定，应用安全性权利可以使用安全性权利模块以及配置工具提供，配置工具将各种配置界面和选项呈现给管理员或其他允许的用户。
用于云环境中保证的日志管理的应用自服务
以前述作为背景，现在描述本公开的日志管理技术。在优选实施例中，结合其中实施安全性保证服务(例如，图6)的云环境(例如，图3)并且结合应用部署技术和系统(例如，图5和图6)，执行日志管理。然而，以此方式的实施不是限制，由于下面描述的技术可以在没有并入描述的特定安全性保证和部署服务的其他云环境中实施。日志管理服务还可以整体地或部分地作为独立解决方案实施。
基本的运行假设是存在这样的云环境，其中正部署和管理云应用并且其中这样的应用具有不同的日志记录要求。应用可以具有一个或多个日志资源，即收集和报告日志数据的组件(典型地运行在云中)。日志数据或日志记录资源的特定属性不是本公开的限制。相反，在此的技术适于便利对于部署在云上的任何应用的自动化日志管理，而不论潜在的利用的日志资源或者应用的特定日志记录要求。解决方案还设想可以存在一个或多个日志管理服务提供者，其中日志管理服务提供者可以是接收、存储、管理和提供日志数据的一个或多个计算实体(可能由第三方运行)。日志管理服务提供者因此可以运行和管理网络可访问的并且可以从其查看、搜索或分析收集的日志数据的一个或多个日志服务器。该类型的日志管理系统是已知的。
以前述作为背景，现在描述本公开的日志管理方法的优选实施例。优选地，技术在应用区域日志管理器(azlm)中实施，azlm通常可以实施为一个或多个计算机器(例如，硬件和软件)。因此，如图7所描述的，云环境700包括或与应用区域日志管理器702相关联，应用区域日志管理器702实施根据本公开的日志管理。该命名不旨在作为限制。如所描述的，并且仅为了描述的目的，azlm702包括两个主要组件：日志保证注册704和安全性配置代理706。azlm的基本操作是便利用于在云上部署的任何应用的自动化日志管理。azlm自身典型地不收集、存储或输出自身的日志数据；而是组件运行为用于现有日志系统的管理基础设施(或层、或框架)以及在云自身上或结合云可用的组件。例如，典型地位于内部的事件收集器708收集提供给一个或多个日志管理服务提供者710的日志。如上注意到的，日志管理服务提供者710典型地运行一个或多个日志记录系统，其可以包括网络可访问的日志服务器、数据库、接口等。
也如所描述的，应用开发者701与云700接口，云700主要使用上述部署技术(图4到图5)部署应用。安全性和合规性官员703对于部署在云区域(诸如安全性保证区域(图6))的工作负荷指定日志管理标准。优选地，指定日志管理标准作为一个或多个安全性简档714。在此有时称为“日志审计”简档的安全性简档714包括信息的集合，信息诸如但不限于事件类型(系统、应用、一些其他用户定义的类型)、合规性标签、日志数据存储/类型、数据保留数据、以及数据混淆值。安全性简档的特定结构和格式可以变化；更一般地，用于特定部署的应用的特定安全性(日志审计)简档可以从用于任何其他部署的应用的简档变化。如所注意的，特定安全性简档可以由安全性管理员、由根据一个或多个azlm提供的模板默认、或者通过任何其他手段定义。
一般地，并且如上注意到的，应用区域日志管理器(azlm)702为部署在云700上的任何应用提供自动化日志管理。现在按照图7，现在提供用于保证的日志管理的系统的优选操作。操作的特定顺序不旨在作为限制。
为了描述的目的，处理在步骤(1)开始，其中安全性和合规性官员703为官员负责的一个或多个云应用定义安全性(日志审计)简档714。尽管在人类操作者具有给定责任的上下文中描述该步骤，但是这不是限制，如上注意到的，可以由机器以自动化或程序化方式或者基于系统中已经预先配置或提供的一个或多个默认安全性简单，指定作为安全性简档。如所描述的，安全性简档714指定信息，诸如(不是限制)系统或应用的类型、数据保留/混淆要求、日志数据类型和频率、审计和合规性要求、以及其他这种信息。同样如上所描述的，包括给定安全性简档714的信息的属性和格式典型地跨越环境中部署的各云应用变化。此外，给定安全性简档可以例如响应于条件或其他事件自动地改变或更新。
在步骤(2)，应用开发者701使用一个或多个部署技术、平台或系统(诸如上面结合图4和图5描述的)部署应用、虚拟镜像或虚拟系统。优选地，并且连同该部署，开发者701为正部署的应用选择可应用的安全性(日志审计)简档714。为此目的可以使得一个或多个安全性简档的选择对于开发者可用。不作为限制，用于指定安全性简档的一种方法是在部署期间给工作负荷附加一个或多个唯一的标签(标识应用以及其相关联的安全性简档)。在替代实施例中，正部署的特定类型的应用具有自然定义(如分配的相反)的默认安全性简档。正部署的应用可以具有与其相关联的多于一个安全性简档714。尽管在人类操作者具有给定责任的上下文中描述该步骤(2)，但是这不是限制，可以由机器以自动化或程序化方式或者基于系统中已经预先配置或提供的一个或多个默认安全性简单，指定作为安全性简档。
在步骤(3)，azlm中的日志保证注册704提供应用及其安全性简档可以通过其注册或者更一般地与azlm“相关联”的机制，以及其他计算实体可以通过其查询(例如，标识日志管理服务提供者710的哪个负责给定安全性简档)的机制(例如，使用一个或多个标签)。注册704可以实施为跨越其上运行一个或多个处理或程序的一个或多个计算机器的服务。在一个实施例中，日志保证注册704由一个或多个日志管理服务器实施。
步骤(4)描述云平台700查询这些日志管理服务器，例如发现负责特定给定安全性简档的日志管理服务器提供者710。步骤(4)可以异步地、周期性地或者在给定条件或事件时执行。
步骤(5)描述添加日志源到特定安全性简档的云环境700中的应用或其他元件。步骤(5)可以异步地、周期性地或者在给定条件或事件时执行。因此，如上所注意到的，描述的步骤的集合中步骤(4)和(5)的相对位置应该不以任何方式作为限制。这些操作可以在任何时间出现。
azlm中的安全性配置代理706具有若干责任。该元件可以实施为跨越其上运行一个或多个处理或程序的一个或多个计算机器的服务。优选地，安全性配置代理支持显示一个或多个功能/操作的应用程序界面(api)。通常，代理组件706转发日志注册请求到适当的日志管理服务器提用着。这描述为步骤(6a)，并且其可以通过调用添加日志源api功能实现。步骤(6b)描述安全性配置代理706的另一主要功能，即配置云环境700中的一个或多个日志源或资源，以实施已经关联到正在云上部署的应用的安全性简档714。该请求的配置保证日志源或与其相关联的应用将日志转发到一个或多个事件收集器708。因此，步骤(7a)代表日志数据的实际收集。在步骤(7b)，日志管理服务提供者710根据指定的安全性策略714从应用(并且，具体地从与其相关联的事件收集器708)收集日志。
在步骤(8)，日志管理服务提供者710为一个或多个安全性事件创建基准集712。这是传统的日志处理功能。在步骤(9)，例如经由界面将基准集712输出到应用开发者701。可以以任何方式(例如，物理报告、显示器上的数据、作为一个或多个web页面、消息、通知、警报等)提供信息。可以查看、搜索、分子或另外处理数据(例如，为了审计或其他合规性目的)。
如果应用资源或安全性策略改变，那么通知应用区域日志管理器702。这在步骤(10)描述。响应于此，安全性配置代理706可以适当地更新设置以提供日志保证。
尽管日志保证注册704和安全性配置代理706示出为分离的元件，但是这不是要求。这些操作可以组合。此外，如上注意到的，这些机制可以实施为计算机的集合，其中该计算机的集合操作地连接到一个或多个存储或者存储器设备，使得该计算机的集合可以执行分别与执行描述的操作的程序指令集合相关联的操作。
如本领域技术人员将理解的，azlm运行为集中日志管理系统/服务。优选地，一个或多个日志管理服务提供者710提供他们自己的日志服务器用于日志数据的实际收集和存储。在操作中，云平台700以传统方式提供新的应用和镜像。在部署期间，部署装置、系统或平台(例如，图4到图5)可以查询集中日志管理服务(azlm)。这样的查询典型地提供应用上下文以及部署拓扑。azlm(典型地，安全性配置代理706)参照针对定义的日志要求(例如，iso要求、管理员指定的设置等)提供的应用上下文以及部署拓扑，以确定日志文件、驻留和寿命要求的可应用集合。azlm(典型地，安全性配置代理706)然后识别/指定所需的日志收集请求，并且指示请求的部署处理根据需要配置一个或多个日志资源和事件收集器。随着由日志资源生成日志数据，日志发送到为部署的应用指定的日志管理服务提供者(以及其日志服务器)，并且日志管理服务提供者中的日志服务例如基于日志上下文处理审计请求。
在此的主题提供显著的优点。其实现例如基于应用上下文以及部署拓扑的日志请求的动态识别。当部署应用或镜像时，优选地部署系统与日志保证注册握手以识别部署的云应用所需的可应用日志。安全性配置代理配置请求的日志记录元件。收集日志并且自动发送到与一个或多个日志管理服务提供者相关联的一个或多个日志记录服务器。优选地，日志管理服务提供者与识别的日志请求相关联。基于标签或安全性简档，azlm识别由应用使用的云资源，并且根据需要指示日志管理服务提供者以便利基准集的创建。该方法实现了新的日志登记服务器的简单和有效部署，以便在没有发现匹配的日志登记服务器的情况下处理用于任何新部署的应用的日志请求。该方法实现基于应用侧或策略侧改变的日志记录连接的有效的重新配置。该方法还实现基于应用侧或策略侧改变的日志记录服务器的有效的重新配置。
当然，上面的示例场景和变体不应被用来限制公开的主题。为了完整性，图8图示一种典型的it基础设施，其支持资源的虚拟化并且其中可以实施本公开的应用区域日志管理器(azlm)。为了说明的目的，提供共享的(公开的)资源的it数据中心是“提供者”，并且使用这些共享的资源以主持、存储和管理其数据和应用(以所有形式)的顾客或公司是“订户”(或者“顾客”或“租户”)。在图8中，图示了示例虚拟机主机环境(替代地在此称为数据中心或“云”)。该环境包括典型地经由管理程序管理vlan806连接到物理数据中心网络804的主机(hv)802(例如，服务器或类似的物理机计算设备)。尽管没有明确描述，但是该环境典型地还包括负载平衡器、网络数据交换机(例如，架顶交换机)、防火墙等。如图8所示，物理服务器802每个适于使用虚拟技术动态地提供一个或多个虚拟机(vm)808。这样的技术例如从
通常，云计算基础设施为虚拟机提供包括经由网络连接的主机(例如，服务器或类似物理机计算设备)以及一个或多个管理服务器的主机环境。典型地，物理服务器每个适于使用虚拟技术(诸如vmwareesx/esxi)动态地提供一个或多个虚拟机。多个vm可以被置于单个的主机中，并且共享主机的cpu、存储器和其他资源，从而提升组织的数据中心的利用。在其他任务中，管理服务器监督基础设施，并且根据需要例如通过在主机之间移动虚拟机自动操纵vm放置。
在非限制性实施方式中，代表性平台技术是(不是限制)利用vmwarevsphere4.1update1和5.0的ibmsystem
如所述的，在此的方法可以整体或部分地手动或者以自动化方式实施。
尽管已经描述优选的运行环境和使用情况(云装置或平台)，但是在此的技术可以在任何其他运行环境中使用，其中希望部署应用或其他服务同时实施给定的安全性上下文。
如已经描述的，上述功能可以实施为独立的方法，例如由一个或多个处理器执行的一个或多个基于软件的功能，或者其可用作管理的服务(包括经由soap/xml界面的web服务)。在此描述的特定硬件和软件实施方式细节仅仅是为了说明的目的，而不旨在限制描述的主题的范围。
更一般地，公开的主题的上下文中的计算设备每个是包括硬件和软件的数据处理系统(诸如如图2所示)，并且这些实体通过诸如因特网、内联网、外联网、私有网络或任何其他通信介质或链路，相互通信。数据处理系统上的应用提供对于web和其他已知服务和协议的原生支持，包括但不限于对于http、ftp、smtp、soap、xml、wsdl和wsfl等的支持。关于soap、wsdl、uddi和wsfl的信息可从负责开发和维护这些标准的万维网联盟(w3c)获取；关于http和xml的进一步信息可从互联网工程任务组(ietf)获取。
除了基于云的环境，在此描述的技术可以以各种服务器侧架构或结合各种服务器侧架构实施，各种服务器侧架构包括简单的n层架构、web入口、联合系统等。
更一般地，在此描述的主题可以采取整体硬件实施例、整体软件实施例或包含硬件和软件元件两者的形式。在优选实施例中，安全性保证服务(或者其任何组件)以软件实施，其包括但不限于固件、驻留软件、微代码等。此外，下载和删除界面和功能可以采用可从计算机可用或计算机可读介质访问的计算机程序产品的形式，计算机可用或计算机可读介质提供由计算机或任何指令执行系统或结合计算机或任何指令执行系统使用的程序代码。为了该描述的目的，计算机可用或计算机可读介质可以是任何装置，其可以包含或存储用于由指令执行系统、装置或设备或者结合指令执行系统、装置或设备使用的程序。介质可以是电的、磁的、光学的、电磁的、红外或者半导体系统(或者装置或者设备)。计算机可读介质的示例包括半导体或固态存储器、磁带、可移除计算机盘、随机存取存储器(ram)、只读存储器(rom)、硬磁盘或光盘。光盘的当前示例包括致密盘-只读存储器(cd-rom)、致密盘-读/写(cd-r/w)和dvd。计算机可读介质是有形的、非临时物品。
计算机程序产品可以是具有用于实施一个或多个描述的功能的程序指令(或者程序代码)的产品。那些指令或代码可以在通过网络从远程数据处理系统下载之后，存储在数据处理系统的计算机可读存储介质中。或者，那些指令或代码可以存储在服务器数据处理系统的计算机可读存储介质中，并且适于通过网络下载到远程数据处理系统用于在远程系统的计算机可读存储介质中使用。
在代表性实施例中，在专用计算平台中(优选地在由一个或多个处理器运行的软件中)实施技术。该软件保持在与一个或多个处理器相关联的一个或多个数据存储或存储器中，并且软件可以实施为一个或多个计算机程序。该专用硬件和软件共同地包括上述功能。
在如上所述的优选实施例中，在此提供的功能实施为对于现有云计算部署解决方案的附属或扩展。
尽管上面描述了由本发明的特定实施例执行的操作的特定顺序，但是应该理解这样的顺序是示例性的，由于替代实施例可以以不同顺序执行操作，组合特定操作、重叠特定操作等。说明书对于给定实施例的参照指示描述的实施例可以包括特定特征、结构、或特性，但是每个实施例不必包括该特定特征、结构、或特性。
最后，尽管已经分别描述了系统的给定组件，但是本领域的技术人员将理解在给定指令、程序序列、代码部分等中可以组合或共享一些功能。
在此的技术提供对于另一技术或技术领域(即，管理云部署的计算实体)的改进，以及对于云应用以及其他相关日志记录设施和系统的功能的改进。
如注意到的，日志数据的属性以及数据用于什么(例如，审计、合规性等)不是本公开的限制。
已经描述了本发明，并且要求保护权利要求的内容。
- 还没有人留言评论。精彩留言会获得点赞！