1. ディペンダブルな
クラウド環境を支える
クライアント仮想化技術
品川高廣
筑波大学 講師

2. 発表概要
•クラウド時代のクライアントの役割
•クライアント向け仮想化ソフトウェア「BitVisor」
•「BitVisor」に基づくディペンダビリティ向上
2010/11/2 2

3. 第１部
クラウド時代の
クライアントの役割
2010/11/2 3

4. クラウド時代のクライアント
クラウドへアクセスするための入り口（フロントエンド）
クラウド
ユーザー
2010/11/2
クライアント 4

5. 高性能なクライアントは不要？
ブラウザさえ動けば何でもよい？
世界に必要なコンピュータは５つだけ？
クライアント クラウド
2010/11/2 5

6. The NIST Definition of Cloud Computing
Essential Characteristics:
…
Broad network access. Capabilities are
available over the network and accessed
through standard mechanisms that promote
use by heterogeneous thin or thick client
platforms (e.g., mobile phones, laptops, and
PDAs).
2010/11/2 6

7. クライアントとサーバの性能バランス
クライアント高性能
PC
（スタンドアロン）
iPhoneアプリ
リッチクライアント
クラウド
Ajax, Flash, HTML5
サーバ クライアント・ サーバ
低性能 コンピューティング
サーバ 高性能
（なし） Web Google検索
（テキスト＋画像）
シンクライアント
X端末
メインフレーム
ダム端末
2010/11/2 クライアント低性能 7

8. 集中処理 ⇒ 集中管理
集中処理することで集中管理を実現している
サーバ集中管理のメリット
• セキュリティ管理が容易
• 情報漏洩防止，情報破壊防止，…
• 運用管理が容易
• インストール，バックアップ，…
サーバ集中処理のデメリット
• 性能・効率の低下
• レスポンス（応答性），デバイスの活用
• 機能の分断，電力消費増加
2010/11/2 8

9. 集中管理 ≠ 集中処理
「集中管理 ＆ 分散処理」は実現可能
セキュリティ管理 プログラム データ
• データのセキュリティ
• 暗号化，バックアップ
サーバ
• プログラムのセキュリティ
• サンドボックス（ブラウザ，iPhone App）
運用管理 クライアント
• 安全なアプリケーション配信
• HTTP+HTML&JavaScript
• iTunes ストア
2010/11/2 9

10. クライアントとクラウドの連携
クライアントに出来ることはクライアントに
• クライアントの膨大な計算パワーを有効活用
• ネットワークに余分な負荷をかけない
• 物理的に避けられないネットワークレイテンシを回避
クラウドにしか出来ないことはクラウドで
• 管理（セキュリティ，運用）
• 超高速計算
• 超大容量ストレージ
2010/11/2 10

11. クライアント（PC）は
クラウド環境においても
依然として重要である
2010/11/2 11

12. 本研究の目指すクライアント
高機能のまま「安全」「簡単」にする
既存のクライアント（PC）をディペンダブルに
セキュリティ管理（安全） 運用管理（容易）
•情報漏洩を防止する •複雑な設定が不要
•ウィルスに感染しない •確実に利用可能
2010/11/2 12

13. 第２部
クライアント向け
仮想化ソフトウェア
「BitVisor」
2010/11/2 13

14. 仮想化ソフトウェア（仮想マシンモニタ）とは
仮想的な実行環境＝仮想マシンを生み出すソフトウェア
仮想マシン
仮想マシン
仮想マシン
（VM: Virtual Machine）
（VM: Virtual Machine）
（VM: Virtual Machine）
物理マシン ゲストＯＳ
ＯＳ 仮想マシンモニタ
（VMM: Virtual Machine Monitor）
ハードウェア ハードウェア
2010/11/2 14

15. クライアント仮想化の形態
• サーバ実行型
• 画面転送型シンクライアント
• 仮想PC型
• サーバーベース型
• ブレードPC型
• ローカル実行型
• OS配信型クライアント
• ネットワークブート型
• ローカルVM型
2010/11/2 15

16. 仮想マシンモニタを使う利点
OSに依存しないディペンダビリティの向上
• セキュリティ管理 仮想マシン
• 強力
• OSが乗っ取られても大丈夫 ゲストＯＳ
• 強制的
• ユーザが勝手に無効にできない
仮想マシンモニタ
• 運用管理
• 互換性
ハードウェア
• OSを変更しなくてよい
2010/11/2 16

17. 仮想マシンモニタの構造
２０万行 １０万行+Domain 0
ゲストOS ゲストOS (VMWare ESX Server) (Xen)
仮想マシンモニタ
デバイスモデル Domain 0
ゲストOS ゲストOS
リソース管理 デバイスモデル
仮想マシンモニタ ゲストOS
デバイスモデル デバイスドライバ
ホストOS
抽象化層 リソース管理 仮想マシンモニタ
デバイスドライバ デバイスドライバ リソース管理
ハードウェア ハードウェア ハードウェア
ホスト型 ハイパーバイザ型 ハイブリッド型
(Type-II VMM) (Type-I VMM)
2009/3/13 17

18. 従来の仮想マシンモニタの問題点
• 仮想マシンモニタ自身のセキュリティ
• OSを丸ごと含むくらいの巨大・複雑なシステム ゲストOS ゲストOS
• E.g. ホストOSに定期的にパッチを当てる必要がある 仮想マシンモニタ
デバイスモデル
リソース管理
ホストOS
抽象化層
• ハードウェア資源の有効活用を阻害 デバイスドライバ
• 仮想化されたデバイスしか使えない ハードウェア
• VM切り替えのオーバーヘッド
2010/11/2 18

19. 仮想化ソフトウェア「BitVisor」
クライアントに特化した軽量な仮想マシンモニタ
ゲストＯＳ デバイスドライバ
VGA HID ATA USB NIC
デバイス 拡張機能
メディエータ 拡張機能１
仮想マシンモニタ
ATA USB NIC 拡張機能２
ハードウェア
2010/11/2 19

20. BitVisorの利点
• VMMのセキュリティ向上
• VMMのサイズ削減・シンプル化
• VMM自身のセキュリティ・アップデートが不要
• 既存環境との互換性
• クライアント側の多様なデバイスをフル活用できる
• 既存の環境への適用可能
• 仮想化によるオーバーヘッドを削減
2010/11/2 20

21. BitVisorの制限
•同時に動作するゲストOSは１つだけ
• デスクトップ用途では必須ではない
• セキュリティ管理，運用管理が目的
•デバイスごとに対応が必要
• 全てのデバイスに対応する必要はない
• 主要デバイスは対応済み
2010/11/2 21

22. ハードウェア対応状況
• 基本ハードウェア
• Intel VT, AMD-V (32bit/64bit)
• ストレージ
• HDD (ATA/AHCI)
• CD/DVD/Blu-ray (ATAPI)
• USBメモリ (UHCI (USB1.1)/EHCI (USB2.0))
• ネットワーク
• Intel PRO 100/1000 シリーズ
• 82566MM, 82566DC, 82567LM, 82572EI, 82562V-2 10/100
• Realtek RTL 8169 (Experimental)
• RTL8111/8168B
2010/11/2 22

23. 第３部
「BitVisor」に基づく
クライアントの
ディペンダビリティ向上
2010/11/2 23

24. 「BitVisor」の応用例
•セキュアVM
セキュリティ •システムファイル保護
•透過的ネットワークブート
運用 •透過的VPN切り替え
2010/11/2 24

25. セキュアＶＭ
• PCからの情報漏洩を防止する
ストレージ
• ストレージ経由での情報漏洩防止
• HDDやUSBメモリ等を強制的に暗号化
• ネットワーク経由での情報漏洩防止 ネットワーク
• ネットワーク通信を強制的に暗号化
• 接続先サーバを強制
• ICカードでの鍵管理 ICカード
• 暗号化の鍵の安全な保存
• 接続先・ユーザ認証
2010/11/2 25

26. セキュアＶＭ （実現手法）
• VMMで３種類のデバイスを管理
ゲストOS
• ストレージ・アクセスを捕捉・暗号化 デバイスドライバ セキュアVM
• ATA/ATAPI 及び USB1.1/2.0を捕捉 ATA NIC USB
• AES-XTS（IEEE 1619）方式で暗号化
VMM
• ネットワーク・アクセスを捕捉・暗号化 拡張機能
• NIC（Intel PRO 100/1000）を捕捉 デバイス
ストレージ管理
メディエータ
• IPSecでVPN接続
ネットワーク管理
• IPv4/IPv6，パスワード認証，証明書認証 ATA NIC USB
ID管理
• ICカードで鍵管理・認証
• USB接続のカードリーダにアクセス デバイス
ハードウェア
• Type B の ICカードにアクセス ATA NIC USB
• PC/SC, CCIDプロトコル
2010/11/2 26

27. システムファイル保護
• PCの乗っ取りを防止する
• システムファイルを完全に保護する
• OSの重要なファイル
• カーネル・イメージ，デバイスドライバ，…
• セキュリティソフトウェア
• アンチウィルス，…
• カーネル・ルートキットからも保護する
• 直接デバイスI/Oでも書き込めない
• 再起動すれば元に戻る
• 最終ラインでのディフェンス
2010/11/2 27

28. システムファイル保護 （実現手法）
• VMMでストレージアクセスを監視
ゲストOS
デバイスドライバ
• システムファイルへの書き換えを検出 VM
ATA NIC USB
• ファイルのデータ領域
• メタデータ領域
VMM
• ディレクトリ構造
拡張機能
デバイス
保護モジュール
メディエータ
• ファイルとセクタのマッピングを管理 ATA 保護ポリシー
• セマンティックギャップを克服
• 低オーバーヘッドで実現
デバイス
ハードウェア
ATA NIC USB
2010/11/2 28

29. 透過的ネットワークブート
サーバ
• 任意のOSをネットワークからブート可能にする （クラウド）
• OS・設定に依存しない
• Windowsをそのままブート可能
• Linuxも一切設定なしでブート可能
• ローカルのハードウェア資源をフル活用
• 内蔵機器・周辺機器をOSが完全管理
• Blu-ray，USB3.0，各種USB機器，各種PCIデバイス，…
• 省電力（デバイスの電源制御），最適化（デフラグなど），…
クライアント
2010/11/2 29

30. 透過的ネットワークブート （実現手法）
• VMMでディスクアクセスを
ネットワーク転送 ゲストOS
デバイスドライバ VM
ATA NIC USB
• OSにATAのインターフェイスを提供
• ローカルディスクと同じアクセス方法
VMM
• MS-DOSでも起動する
拡張機能
デバイス
ATA監視
• ATAへのアクセスをパケットに変換 メディエータ
ATA ATA-AoE変換
• ATA over Ethernetプロトコルを使用 NIC
NICアクセス
• 最小限の変換処理で実現可能
• パケットをネットワークへ転送 デバイス
ハードウェア
• ディスクイメージをサーバで集中管理 ATA NIC USB
• 任意のAoEサーバを使用可能
2010/11/2 30

31. 透過的VPN切り替え
データセンター
• クラウドへの接続の可用性を確保する （クラウド）
専用線
• ネットワーク～サーバでの障害に対応
• インターネット層での経路障害
• VPNサーバ故障
×
VPN VPN
×
ルータ１ ルータ２
Internet
• OSやユーザは切り替えを意識しない
• あたかも基盤として高可用性を実現
• ユーザ・管理者に負担をかけない
クライアント
2010/11/2 31

32. 透過的VPN切り替え （実現手法）
• VMMでVPN接続を切り替え
ゲストOS
デバイスドライバ セキュアVM
• 定期的にネットワーク到達性をチェック ATA NIC USB
• VMMからサーバにPingを送る
VMM
• VMMでVPN切断・再接続を実施 拡張機能
デバイス
• 利用可能なサーバの選択 メディエータ
VPNクライアント
• IPsecでのコネクションを確立 NIC
ID管理
• IPアドレスの不整合などを吸収
• TCP接続が切れない デバイス
ハードウェア
ATA NIC USB
• 切り替え時間は3秒程度
2010/11/2 32

33. 「BitVisor」の応用例一覧
•セキュアVM
セキュリティ •システムファイル保護
•透過的ネットワークブート
運用 •透過的VPN切り替え
2010/11/2 33

34. まとめ
• クラウド時代のクライアント
• 高機能クライアントも必要
• セキュリティ管理，運用管理
• クライアント向け仮想化ソフトウェア「BitVisor」
• 準パススルー型アーキテクチャ
• VMM自身のセキュリティ，透過性向上
• 「BitVisor」に基づくディペンダビリティ向上
• セキュリティ管理： セキュアVM，システムファイル保護
• 運用管理： 透過的VPN切り替え，透過的ネットワークブート
2010/11/2 34

35. BitVisorの入手・サポート
http://www.bitvisor.org/
セキュアVMの販売・サポート
株式会社イーゲル
2010/11/2 35