(57)【要約】  サービスアカウントを保護するための方法は、ネットワーク側におけるユーザの個人通信プロフィール（ＰＣＰ）でユーザのサービスアカウントに対する関連情報を設定し、ユーザがユーザ機器（ＵＥ）を介してサービスアカウントでアプリケーションサーバにログオンする時、関連情報を認証し、認証が成功した場合、ユーザによるアプリケーションサーバへのログオンを許可する。また、本発明の実施形態は、サービスアカウントを保護するためのシステム、ＰＣＰ記憶装置、及びアプリケーションサーバを開示する。本発明の実施形態では、静的パスワードによってサービスアカウントを保護することに加えて、ユーザは、ショートメッセージを介して動的パスワードを受信することなくサービスアカウントのための高い保護を実行することができ、それはアプリケーションサーバにログオンするユーザの時間遅延を顕著に低減する。
2009519515.tif 000002
【特許請求の範囲】
【請求項１】
サービスアカウントを保護するための方法であって、
ユーザがユーザ機器ＵＥを介してサービスアカウントでアプリケーションサーバにログオンする時、関連情報を認証し、認証が成功すると、ユーザによるアプリケーションサーバへのログオンを許可し、そうでない場合、ユーザによるアプリケーションサーバへのログオンを拒絶する過程を具備し、
関連情報は、ネットワーク側におけるユーザの個人通信プロフィールＰＣＰでユーザのサービスアカウントに関して設定されることを特徴とする方法。
【請求項２】
ネットワーク側におけるユーザのＰＣＰでユーザのサービスアカウントに関して関連情報を設定する過程は、
ユーザがアプリケーションサーバでサービスアカウントを登録する時、関連情報をアプリケーションサーバによって生成及び記憶し、ＰＣＰ記憶装置に、生成された関連情報を送信する過程と、
ユーザのＰＣＰで関連情報をＰＣＰ記憶装置によって記憶する過程と
を具備することを特徴とする請求項１に記載の方法。
【請求項３】
新規関連情報をアプリケーションサーバによって生成し、ＰＣＰ記憶装置へ新規関連情報を送信し、関連情報を更新するようＰＣＰ記憶装置に要求する過程と、
新規関連情報で関連情報をＰＣＰ記憶装置によって更新する過程とをさらに具備し、
アプリケーションサーバは：アプリケーションサーバがログオンをユーザに許可した後；ユーザがログオンに成功しアプリケーションサーバがユーザから更新要求を受信した後；関連情報を更新するための時間が終了した後；関連情報の寿命が終了した後；ユーザがログオンに成功しアプリケーションサーバがユーザから更新要求を受信しアプリケーションサーバが更新要求を受信する時と最近の更新時との間の時間間隔が最小更新期間より長い；のうち何れか一つで新規関連情報を生成することを特徴とする請求項２に記載の方法。
【請求項４】
ユーザのＰＣＰにユーザのサービスアカウントを関連付けるか否かをユーザに促すために、ＵＥへプロンプトメッセージを、ユーザのＰＣＰへ関連情報を記憶する前にＰＣＰ記憶装置によって送信する過程と、
ＵＥからの確認応答をＰＣＰ記憶装置によって受信する過程と
をさらに具備することを特徴とする請求項２に記載の方法。
【請求項５】
ユーザのＰＣＰにユーザのサービスアカウントを関連付けるか否かをユーザに問合せるためにＵＥへ問合せメッセージをアプリケーションサーバによって送信する過程と、
ＵＥから確認応答をアプリケーションサーバによって受信する過程と
をさらに具備することを特徴とする請求項２に記載の方法。
【請求項６】
関連情報を認証する過程は、
サービスアカウントに対する関連情報を要求する要求をＰＣＰ記憶装置へアプリケーションサーバによって送信する過程と、
要求を受信した後に関連情報をＰＣＰ記憶装置によって取得し、アプリケーションサーバに関連情報を戻す過程と、
ＰＣＰ記憶装置から受信した関連情報が、アプリケーションサーバに記憶された関連情報と一致するか否かをアプリケーションサーバによって判断する過程と
を具備することを特徴とする請求項１に記載の方法。
【請求項７】
関連情報を認証する過程は、
ＰＣＰ記憶装置へアプリケーションサーバに記憶されたサービスアカウントに対する関連情報を、ＵＥからログオン要求を受信した後にアプリケーションサーバによって送信する過程と、
認証結果を取得するために、ユーザのＰＣＰが、アプリケーションサーバから受信した関連情報と一致する関連情報を含むか否かを、ＰＣＰ記憶装置によって判断する過程と、
アプリケーションサーバに認証結果を戻す過程と
を具備することを特徴とする請求項１に記載の方法。
【請求項８】
ＵＥへユーザのＰＣＰ位置情報をＰＣＰ記憶装置によって送信する過程と、
サービスアカウントでアプリケーションサーバにログオンする時、アプリケーションサーバにＰＣＰ位置情報をＵＥによって送信する過程と、
ユーザのＰＣＰ位置情報に従いＰＣＰ記憶装置に対してアプリケーションサーバによって交信する過程と
をさらに具備することを特徴とする請求項６又は７に記載の方法。
【請求項９】
ＵＥへユーザのＰＣＰの関連情報をＰＣＰ記憶装置によって送信する過程と、
サービスアカウントでアプリケーションサーバにログオンする時、アプリケーションサーバに関連除法をＵＥによって送信する過程と
をさらに具備し、関連情報を認証する過程は、
ＵＥから受信した関連情報が、アプリケーションサーバに記憶された関連情報と一致するか否かをアプリケーションサーバによって判断する過程を具備することを特徴とする請求項１に記載の方法。
【請求項１０】
ＰＣＰ記憶装置がユーザの関連情報を更新する時、ＵＥに記憶された関連情報を更新することを要求する同期要求をＵＥへＰＣＰ記憶装置によって送信する過程と、
同期要求を受信した後にＵＥに記憶された関連情報をＵＥによって更新する過程と
をさらに具備することを特徴とする請求項９に記載の方法。
【請求項１１】
ユーザのサービスアカウント及びパスワードをアプリケーションサーバによって認証し、認証が失敗した場合、アプリケーションサーバにログインするユーザを拒絶する過程をさらに具備することを特徴とする請求項１から７、９及び１０のうち何れか１項に記載の方法。
【請求項１２】
サービスアカウントを保護するためのシステムであって、
ユーザのログオン要求を送信するよう調節されたユーザ機器ＵＥと、
ログオン要求に基づき個人通信プロフィールＰＣＰ記憶装置又はＵＥに交信し、ユーザのＰＣＰの関連情報を認証し、認証が成功した場合にユーザによるアプリケーションサーバへのログオンを許可するよう調節されたアプリケーションサーバと
を具備し、ＰＣＰ記憶装置は、ユーザのＰＣＰを記憶するよう調節され、
ＰＣＰは、ユーザのサービスアカウントに対する関連情報を含むことを特徴とするシステム。
【請求項１３】
ＵＥは、ログオン要求を介してアプリケーションサーバへＰＣＰ記憶装置から受信したＰＣＰ位置情報を送信し、又はＰＣＰ記憶装置からユーザのＰＣＰに含まれる関連情報を受信し、ログオン要求を介してアプリケーションサーバへ受信した情報を送信するようさらに調節され、
ＰＣＰ記憶装置は、ＵＥへユーザのＰＣＰ位置情報を送信し、又はＵＥへユーザの関連情報を送信し、アプリケーションサーバの要求に応じてアプリケーションサーバへユーザのサービスアカウントに対する関連情報を送信し、又はアプリケーションサーバからの関連情報を認証し、認証結果を戻すようさらに調節され、
アプリケーションサーバは、ログオン要求のＰＣＰ位置情報に従いユーザのサービスアカウントに対する関連情報を要求する要求をＰＣＰ記憶装置に送信し、ＰＣＰ記憶装置によって戻された関連情報を認証し、又はアプリケーションサーバは、ユーザによって送信されたログオン要求に基づきＰＣＰ記憶装置にユーザの関連情報を送信し、又はユーザのログオン要求に含まれた関連情報を認証し、ＵＥへログオン成功メッセージ又はログオン失敗メッセージを戻すようさらに調節されることを特徴とする請求項１２に記載のシステム。
【請求項１４】
ＰＣＰ記憶装置は、ＰＣＰサーバ、ＵＥファイルサーバ、及びＵＥデータベースのうち何れか一つを具備することを特徴とする請求項１２又は１３に記載のシステム。
【請求項１５】
ＵＥは、アクセスゲートウェイを介してＰＣＰ記憶装置と交信し、ＰＣＰ記憶装置は、オープンサービスアクセスゲートウェイを介してアプリケーションサーバと交信することを特徴とする請求項１２又は１３に記載のシステム。
【請求項１６】
ＵＥは、携帯端末、個人デジタル補助機器（ＰＤＡ）、及び個人コンピュータ（ＰＣ）のうち何れか１つを具備することを特徴とする請求項１２又は１３に記載のシステム。
【請求項１７】
ユーザの個人通信プロフィールＰＣＰを記憶するための装置であって、
ユーザのＰＣＰと、ユーザのサービスアカウントに対する関連情報とを記憶するよう調節されたＰＣＰデータベースと、
ユーザのＵＥへＰＣＰデータベースに記憶された関連情報を送信し、又はＵＥへユーザのＰＣＰの関連情報を送信するよう調節された認証ユニットと、
関連情報を受信し、ＰＣＰデータベースが、受信した関連情報と一致する関連情報を含むか否かを判断する過程と、
認証成功メッセージ又は認証失敗メッセージを戻し、又はアプリケーションサーバから関連情報を要求するメッセージを受信し、個人ＰＣＰデータベースの対応する関連情報を獲得し、アプリケーションサーバに情報を送信する過程と
を具備することを特徴とする装置。
【請求項１８】
アプリケーションサーバに認証ユニットを通信可能に接続するよう調節されたオープンサービスアクセスゲートウェイユニットと、
認証ユニットを通信可能に接続するよう調節されたサービスコンポーネントインタフェースユニットと
をさらに具備することを特徴とする請求項１７に記載の装置。
【請求項１９】
ユーザのサービスアカウントを保護するためのアプリケーションサーバであって、
ログオン制御ユニット及び通信ユニットを具備し、
ログオン制御ユニットは、通信ユニットを介してログオン要求を受信し、ログオン要求に含まれた関連情報を認証し、認証結果に基づきログオン結果を判断し、通信ユニットを介してユーザへログオン結果を送信し、又は通信ユニットを介してＰＣＰ記憶装置へそれ自身に記憶された対応する関連情報を、ログオン要求に含まれた個人ＰＣＰの位置情報に基づき送信し、通信ユニットを介してＰＣＰ記憶装置によって戻された認証結果を受信し、認証結果に基づきログオン結果を判断し、通信ユニットを介してユーザのアクセス端末にログオン結果を送信し、又はログオン要求に含まれたユーザのＰＣＰ位置情報に基づき関連情報を要求し、受信した関連情報が、ログオン制御ユニットに記憶された関連情報に一致するか否かを判断し、通信ユニットを介してログオン成功メッセージ又はログオン失敗メッセージを送信するよう調節されることを特徴とするアプリケーションサーバ。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ネットワークサービス認証技術に関し、特にサービスアカウントを保護するための方法及びシステムと、個人通信プロフィール（ＰＣＰ）を記憶するための装置と、アプリケーションサーバとに関する。
【背景技術】
【０００２】
現在、インターネットによる産業の連鎖的状態は、アクセス及び注意が重要であった過去から、アプリケーションが重要である時代へと徐々に進んでいる。コンテンツプロバイダは、全体的な産業連鎖において核となる地位を徐々に占めつつある。コンテンツプロバイダによって各種アプリケーションが提供される一方で、多くの課題も生じている。例えば、トロイの木馬やサービスアカウントの盗用等の現象は、ネットワークゲームの通常動作に深刻な影響を及ぼしている。その現象を抑えるために、ネットワークゲームプロバイダは、各種方法を備えている。しかし、各種方法は、ネットワークゲームの通常動作にとって不都合である。調査によると、６５％を超えるユーザは、アプリケーションサーバに登録したサービスアカウントの盗用に遭っている。サービスアカウントのセキュリティ問題は、ネットワークゲームオペレータ及びユーザの両者にとって悪夢になっている。
【０００３】
現在、ユーザのサービスアカウントを保護する、主に２つの方法があり、１つは、携帯電話保護の方法であり、もう１つは、動的認証の方法である。
【０００４】
１つ目の方法では、ユーザがアプリケーションサーバにログオンする時、アプリケーションサーバは、動的パスワードを生成し、ユーザが登録した携帯電話番号に従い、ネットワークオペレータのショートメッセージサービス（ＳＭＳ）ゲートウェイを介して、ユーザの携帯電話に動的パスワードを送信する。動的パスワードの受信後、ユーザは、静的パスワード（個人識別番号、ＰＩＮ）と共に動的パスワードを用いて、アプリケーションサーバにログオンする。１つ目の方法では、ユーザを除いて誰も動的パスワードを取得できないので、不正なユーザがユーザのパスワードを盗用してアプリケーションサーバにログオンすることができない。
【０００５】
２つ目の方法は、ユーザの認証を実行するために２つの装置を含む。１つは、ユーザの同一性を認証するための認証サーバである。もう１つは、ユーザに関する動的パスワードを生成するためのパスワードカードである。認証サーバ及びパスワードカードは、同じパスワード生成ソフトウェアにインストールされており、識別コードは、ユーザを独自に識別する。ユーザがパスワードカードを得ると、識別コードがパスワードカードに読込まれる。同時に、識別コードは、アプリケーションサーバのデータベースにおけるユーザ情報テーブルにインストールされる。また、ユーザは、独自に覚えたＰＩＮを有する。ユーザがアプリケーションサーバにログオンしてＰＩＮを入力すると、パスワードカードは、毎秒パスワードカードに独自に対応する動的パスワードを生成し、それは予測不可能である。パスワードカードは、サービスアカウント、ＰＩＮ及び動的パスワードをアプリケーションサーバに送信する。アプリケーションサーバは、動的パスワードに従いユーザの正当性及び信頼性を判断する。動的パスワードが動的にパスワードカードによって生成されるので、正当なユーザ以外の者は、パスワードカードを取得して正しい動的パスワードを生成することができない。故に、動的パスワードは、覗かれ、傍受されることがない。従って、２つ目の方法は、再送攻撃(resending attack)を回避でき、高い安全性と利便性がある。
【０００６】
ユーザのサービスアカウントを保護するための２つの方法では、１つ目の方法は、サービスアカウントに比較的高い制限を有する。動的パスワードは、毎回ショートメッセージを介してユーザに送信されねばならず、その後ユーザは、ショートメッセージから受信したパスワードを入力する。それは、かなり時間遅延となり、無線資源を浪費する。２つ目の方法では、保護は、単一のサービスプロバイダのサービスアカウントに制限される。また、サービスを用いる時、ユーザは、追加のハードウェアを購入せねばならず、アプリケーションの競争をまごつかせる。
【発明の開示】
【課題を解決するための手段】
【０００７】
本発明の実施形態は、サービスアカウントを保護するための方法及びシステムと、個人通信プロフィール（ＰＣＰ）を記憶するための装置と、アプリケーションサーバとを提供し、ユーザのサービスアカウントを保護するのに適する。
【０００８】
本発明の一つの実施形態によると、サービスアカウントを保護するための方法であって、ユーザがユーザ機器（ＵＥ）を介してサービスアカウントでアプリケーションサーバにログオンする時、関連情報を認証し、認証が成功すると、ユーザによるアプリケーションサーバへのログオンを許可し、そうでない場合、ユーザによるアプリケーションサーバへのログオンを拒絶する過程を含み、関連情報は、ネットワーク側におけるユーザの個人通信プロフィール（ＰＣＰ）でユーザのサービスアカウントに関して設定される。
【０００９】
上記から分かる通り、本発明の実施形態では、関連情報は、ユーザのＰＣＰでユーザのサービスアカウントに関して設定され、関連情報は、ユーザがサービスアカウントでアプリケーションサーバにログオンする時に認証され、認証が成功した場合、ユーザによるアプリケーションサーバへのログオンが許可され、そうでない場合、ユーザによるアプリケーションサーバへのログオンが拒絶される。多数のアプリケーションサーバにおける多数のサービスアカウントに対応する関連情報が同時にユーザの個人ＰＣＰでユーザに関して設定可能なので、ユーザの多数のアプリケーションサーバの多数のサービスアカウントを保護することが都合よく実行される。また、本発明の実施形態において、静的パスワードによってサービスアカウントを保護することに加えて、ユーザは、ショートメッセージを介して動的パスワードを受信することなくサービスアカウントに対する高い保護を実行でき、それは、アプリケーションサーバにログオンするユーザの時間遅延を顕著に低減する。また、ユーザは、追加的にパスワードカードを購入する必要がない。故に、アプリケーションサーバの競争力が高められる。
【００１０】
本発明のもう一つの実施形態によると、サービスアカウントを保護するためのシステムであって、ユーザのログオン要求を送信するよう調節されたユーザ機器（ＵＥ）と、ログオン要求に基づきＰＣＰ記憶装置又はＵＥに交信し、ユーザの個人通信プロフィール（ＰＣＰ）の関連情報を認証し、認証が成功した場合にユーザによるアプリケーションサーバへのログオンを許可するよう調節されたアプリケーションサーバとを具備し、ＰＣＰ記憶装置は、ユーザのＰＣＰを記憶するよう調節され、ＰＣＰは、ユーザのサービスアカウントに対する関連情報を含む。
【００１１】
本発明のもう一つの実施形態によると、ユーザの個人通信プロフィール（ＰＣＰ）を記憶するための装置であって、ユーザのＰＣＰと、ユーザのサービスアカウントに対する関連情報とを記憶するよう調節されたＰＣＰデータベースと、ユーザのＵＥへＰＣＰデータベースに記憶された関連情報を送信し、又はＵＥへユーザのＰＣＰの関連情報を送信するよう調節された認証ユニットと、関連情報を受信し、ＰＣＰデータベースが、受信した関連情報と一致する関連情報を含むか否かを判断し、認証成功メッセージ又は認証失敗メッセージを戻し、又はアプリケーションサーバから関連情報を要求するメッセージを受信し、個人ＰＣＰデータベースの対応する関連情報を獲得し、アプリケーションサーバに情報を送信する過程とを具備する。
【００１２】
本発明のもう一つの実施形態によると、ユーザのサービスアカウントを保護するためのアプリケーションサーバであって、ログオン制御ユニット及び通信ユニットを含み、ログオン制御ユニットは、通信ユニットを介してログオン要求を受信し、ログオン要求に含まれた関連情報を認証し、認証結果に基づきログオン結果を判断し、通信ユニットを介してユーザへログオン結果を送信し、又は通信ユニットを介してＰＣＰ記憶装置へそれ自身に記憶された対応する関連情報を、ログオン要求に含まれた個人ＰＣＰの位置情報に基づき送信し、通信ユニットを介してＰＣＰ記憶装置によって戻された認証結果を受信し、認証結果に基づきログオン結果を判断し、通信ユニットを介してユーザのアクセス端末にログオン結果を送信し、又はログオン要求に含まれたユーザのＰＣＰ位置情報に基づき関連情報を要求し、受信した関連情報が、ログオン制御ユニットに記憶された関連情報に一致するか否かを判断し、通信ユニットを介してログオン成功メッセージ又はログオン失敗メッセージを送信するよう調節される。
【００１３】
上記から分かる通り、本発明の実施形態では、関連情報は、ユーザのＰＣＰでユーザのサービスアカウントに関して設定され、ユーザがサービスアカウントでアプリケーションサーバにログオンする時に関連情報が認証され、認証が成功した場合、ユーザによるアプリケーションサーバへのログオンが許可され、そうでない場合、ユーザによるアプリケーションサーバへのログオンが拒絶される。多数のアプリケーションサーバにおける多数のサービスアカウントに対応する関連情報が同時にユーザの個人ＰＣＰでユーザに関して設定可能なので、ユーザの多数のアプリケーションサーバの多数のサービスアカウントを保護することが都合よく実行される。また、本発明の実施形態では、静的パスワードによるサービスアカウントの保護に加えて、ユーザは、ショートメッセージを介して動的パスワードを受信することなくサービスアカウントに対する高い保護を実行することができ、アプリケーションサーバにログオンするユーザの時間遅延を顕著に低減する。また、ユーザは、追加的にパスワードカードを購入する必要がない。故に、アプリケーションサーバの競争力が高められる。
【発明を実施するための最良の形態】
【００１４】
本発明は、本発明の技術的解決策及び利点をさらに明確にするために、添付図面及び実施形態を参照して詳細に以下説明される。
【００１５】
サービスプロバイダとは異なり、ネットワークオペレータは、サービスプロバイダが所有しないネットワーク資源を所有する。ネットワークオペレータは、ユーザ及び均一アクセス管理に対する基本的なアクセスサービスと、ユーザ及びサービスプロバイダに対するアクセス認証及びサービス認証とを提供する。故に、ユーザのサービスアカウントは、ネットワークオペレータの認証とサービスプロバイダのサービスアカウントとを組合せることによって保護できる。
【００１６】
ネットワークオペレータは、ユーザのアクセス番号を介してユーザに個人通信プロフィール（ＰＣＰ）を提供することができる。アクセス番号は、携帯電話会社が提供する携帯端末番号、固定ネットワークオペレータが提供する電話番号、又は広帯域ネットワークオペレータが提供するアクセスアカウントでもよい。ＰＣＰは、ユーザについてネットワークオペレータによって設定された最小限の一式であり、ユーザを独自に識別することができる。例えば、ＰＣＰは、ＰＣＰに対応するユーザが用いるサービス資源属性情報を含むことができる。また、サービス資源属性情報は、ベアラネットワーク資源属性、上層サービス能力コンポーネント、プラットフォーム、及びアプリケーションソフトウェア等を含むことができる。
【００１７】
本発明の実施形態では、ユーザのサービスアカウントの関連情報は、ネットワークオペレータが提供するユーザのＰＣＰで設定される。ユーザがサービスアカウントでアプリケーションサーバにログオンする時、ユーザのＰＣＰの関連情報が認証されることになる。認証が成功した場合、ユーザは、アプリケーションサーバにログオンでき、そうでない場合、ユーザは、拒絶される。
【００１８】
サービスアカウントの認証は、アプリケーションサーバによって実行できる。特に、アプリケーションサーバは、ユーザのＰＣＰで設定された関連情報が、アプリケーションサーバに記憶された関連情報に一致するか否かを判断する。ユーザのＰＣＰの関連情報が、アプリケーションサーバに記憶されたそれに一致する場合、認証が成功してユーザのサービスアカウントが正当化され、そうでない場合、認証が失敗してサービスアカウントが正当化されない。
【００１９】
本発明の実施形態では、一つのサービスに対応する複数のサービスアカウントが存在しうる。複数のサービスアカウントの関連情報は、同一又は非同一にすることができる。即ち、関連情報は、一つのサービスアカウントに独自に対応することがあるか、又は同一のサービスに属し、かつサービス番号のような共通の属性を有する複数のサービスアカウントに対応することがある。
【００２０】
本発明の実施形態では、関連情報の認証は、オペレータのネットワークのＰＣＰ関連装置によっても実行可能である。この場合、アプリケーションサーバは、アプリケーションサーバに記憶された関連情報をＰＣＰ関連装置に送信し、ＰＣＰ関連装置は、アプリケーションサーバから受信した関連情報が、ＰＣＰ関連装置に記憶されたそれに一致するか否かを判断し、それによりユーザのサービスアカウントが正当か否かを判断する。
【００２１】
関連情報は、ユーザが登録したサービスアカウントについて生成されたエイリアスでもよい。エイリアスは、ユーザのサービスアカウントとＰＣＰとを関連付けるための関連識別子として使用される。以下、関連識別子は、本発明の実施形態において一例として扱われる。
【００２２】
本発明の実施形態では、ユーザのＰＣＰは、オペレータのネットワークに位置するＰＣＰ記憶装置に記憶される。特に、ＰＣＰ記憶装置は、ユーザ機器（ＵＥ）プロフィールサーバ、ＵＥデータベース、又はＰＣＰサーバでもよく、ＰＣＰサーバは、ＰＣＰ管理ユニットとも称される。
【００２３】
オペレータのネットワークでは、ＰＣＰ記憶装置のアドレスは、予め、例えばオペレータのネットワークにＰＣＰ記憶装置のみ存する時、アプリケーションサーバが知ることができる。また、ＰＣＰ記憶装置のアドレスは、ユーザがアプリケーションサーバに登録又はログオンする時、アプリケーションサーバに通知されてもよい。
【００２４】
以下、ＰＣＰサーバは、本発明の実施形態によるシステム構造を示す一例として扱われる。ＰＣＰサーバと、ＵＥ及びアプリケーションサーバに対するＰＣＰサーバの接続関係とが図１に示される。システムにおいて、個人コンピュータ（ＰＣ）１０１、携帯電話１０２、及び個人デジタル補助装置１０３は、ＵＥである。ＰＣ１０１、携帯電話１０２、及びＰＤＡ１０３は、ＰＣＰサーバ１１に独自のＰＣＰを各々有し、アクセスゲートウェイ（ＡＧ）１０を介してＰＣＰサーバ１１に接続する。
【００２５】
各ＵＥは、アプリケーションサーバにログオン要求を送信するように設定され、またＰＣＰサーバ１１からＰＣＰ位置情報を受信し、又はＰＣＰサーバ１１から関連情報を受信し、ログオン要求を通じて、対応するアプリケーションサーバにＰＣＰ位置情報又は関連情報を送信するように設定される。
【００２６】
ＰＣＰサーバ１１は、ユーザの関連情報を含むユーザのＰＣＰを記憶するように設定され、またアプリケーションサーバの要求に応じてアプリケーションサーバに関連情報を送信するように、又はアプリケーションサーバから受信した関連情報を認証し、アプリケーションサーバに認証結果を戻すように設定される。
【００２７】
アプリケーションサーバは、ユーザのログオン要求によりＰＣＰサーバ１１と交信し、ユーザのＰＣＰの関連情報を認証し、認証結果に従ってログオン結果を判断するように設定される。特に、アプリケーションサーバは、ユーザの関連情報を要求するユーザのログオン要求に従ってＰＣＰサーバ１１に要求を送信し、ＰＣＰサーバ１１が戻した関連情報を認証することができる。また、アプリケーションサーバは、ユーザのログオン要求に従い、アプリケーションサーバに記憶された関連情報をＰＣＰサーバ１１に送信することができる。即ち、アプリケーションサーバは、ユーザのログオン要求に含まれた関連情報を認証し、認証結果に従い、ログオン成功又はログオン失敗メッセージをＵＥに戻す。
【００２８】
ＰＣＰサーバ１１は、ＰＣＰ生成ユニット１１１、ＰＣＰ管理制御ユニット１１２、ＰＣＰデータベース１１３、認証ユニット１１４、サービスコンポーネントインタフェースユニット１１５、及びオープンサービスアクセスゲートウェイインタフェースユニット１１６を含むことができる。
【００２９】
ＰＣＰ生成ユニット１１１は、ユーザのＰＣＰを管理し、ＰＣＰ管理制御ユニット１１２からの指令に従い、ＰＣＰを生成、更新、及び維持し、生成され、更新され、又は維持されたＰＣＰを、ＰＣＰ管理制御ユニット１１２を介してＰＣＰデータベース１１３に書込むように設定される。
【００３０】
ＰＣＰ管理制御センター１１２は、ＰＣＰサーバ１１の中央コンポーネントであり、外部アプリケーションを管理し、インタフェースコンポーネントを提供するように設定され、またＰＣＰの生成及び記憶を管理するように設定される。
【００３１】
ＰＣＰデータベース１１３は、ユーザのＰＣＰを記憶するように設定される。ＰＣＰデータベース１１３は、ユーザデータに関する複数の次元を含むことができる。本発明の実施形態において、ユーザデータは、関連情報でもよい。次元は、ＰＣＰデータベース１１３において以下の形式で記憶される。
【００３２】
【数１】
2009519515.tif 000003
2009519515.tif 000004
2009519515.tif 000005
【００３３】
ＰＣＰの上記記憶形式は、拡張可能マークアップ言語（ＸＭＬ）に基づく。ＸＭＬファイルは、ヘッダ部分及び本体部分を含む。
【００３４】
ヘッダ部分は、ＰＣＰ識別子及びユーザ識別子等の公開基本情報を含み、ユーザとユーザのＰＣＰとを識別する。
【００３５】
本体部分は、ユーザのＰＣＰに関する全てのパラメータの値を含む。ラベル<dimension>は、次元に関する全てのパラメータ項目を含むのに使用される。例えば、<dimension name=“PIM” typeId=“2”>は、サービスアカウントの次元を意味し、“name”は、次元の名前を示し、“typeId”は、次元の識別子である。次元内の各パラメータ項目は、<Item>によって識別される。各次元は、複数のパラメータ項目を含むことができる。
【００３６】
<Item>は、以下のパラメータを含んでもよく、idは、パラメータ項目の名前を意味し、次元におけるパラメータ項目に関する固有の識別子であり、nameは、パラメータ項目の名前を意味し、Typeは、パラメータ項目のタイプを意味する。特に、<Item>即ち、次元のパラメータ項目は、以下のパラメータによって記述され、<Description>は、パラメータ項目の記述を意味し、<Meta>は、パラメータ項目に関するタイプ(Type)及び形式(Format)を意味し、<ACL>は、パラメータ項目のアクセス制御リストを意味し、<Data>は、パラメータ項目の値を意味する。<Meta>は、２つの項目を含み、<Type>は、パラメータ項目のタイプを意味し、<Format>は、パラメータ項目の形式を意味する。記述ファイルにおいて、各パラメータ項目は、デフォルトタイプを備えることができる。例えば、ＰＣＰデータに<Meta>がない場合、パラメータ項目の値は、デフォルトタイプである。以下の記述の通り、サービスアカウントは、Itemである。
【００３７】
【数２】
2009519515.tif 000006
【００３８】
上記記述において、“read=www.wow.com-346&write= www.wow.com-346”は、アプリケーションサーバの記述であり、アプリケーションサーバのアドレスの形式を採用する。これは、このアドレスからの要求のみが、Itemに対応するアプリケーションサーバから来ることを示し、読み取り及び書き込み機能は、以下の関連識別子<!--Base64-coded data-->に関して実行可能である。
【００３９】
認証ユニット１１４は、ユーザのＰＣＰに基づきユーザが用いるネットワーク資源とサービス資源とを認証し、ユーザのＰＣＰ位置情報をＵＥへ送信し、関連識別子を要求するアプリケーションサーバから要求を受信し、ＰＣＰデータベース１１３から関連識別子を取得し、アプリケーションサーバへ関連識別子を送信し、又はＵＥへユーザのＰＣＰの関連識別子を送信し、又はアプリケーションサーバから関連識別子を受信し、ＰＣＰデータベース１１３が、対応する関連識別子を含むか否かを認証し、アプリケーションサーバへ認証結果を戻す。
【００４０】
サービスコンポーネントインタフェースユニット１１５を用いて、ＡＧ１０を介してＵＥに対してＰＣＰ管理制御ユニット１１２と認証ユニット１１４とを通信可能に接続し、オペレータのネットワークにおける他のネットワーク要素に対してＰＣＰ管理制御ユニット１１２と認証ユニット１１４とを通信可能に接続する。
【００４１】
オープンサービスアクセスゲートウェイインタフェースユニット１１６を用いて、オープンサービスゲートウェイ１２を介してアプリケーションサーバに対してＰＣＰ管理制御ユニット１１２と認証ユニット１１４とを通信可能に接続する。
【００４２】
アプリケーションサーバ１２１、１２２、１２３．．．は、オープンサービスゲートウェイ１２を介して各々ＰＣＰ管理制御ユニット１１２に対して通信可能に接続される。
【００４３】
各アプリケーションサーバは主に、通信ユニット１２０１及びログオン制御ユニット１２０２を含む。
【００４４】
通信ユニット１２０１を用いて、ＵＥとＰＣＰサーバ１１とに対してログオン制御ユニット１２０２を通信可能に接続する。
【００４５】
ログオン制御ユニット１２０２を用いて、通信ユニット１２０１を介してＵＥからのログオンログオン要求を受信し、ログオン要求に含まれる関連識別子を認証し、認証結果に基づきログオン結果を判断し、通信ユニット１２０１を介してＵＥへログオン結果を送信し；又はログオン要求に含まれるＰＣＰ位置情報に従い、ＰＣＰサーバ１１へログオン制御ユニット１２０２に記憶された対応する関連識別子を送信し、ＰＣＰサーバ１１が戻した認証結果を受信し、認証結果に基づきログオン結果を判断し、通信ユニット１２０１を介してＵＥへログオン結果を送信し；又はログオン要求に含まれるＰＣＰ位置情報に基づき対応する関連識別子をＰＣＰサーバ１１に要求し、ログオン制御ユニット１２０２に記憶された関連識別子からなる関連識別子か否かを判断し、認証結果に基づきログオン結果を判断し、通信ユニット１２０１を介してＵＥへログオン結果を送信する。
【００４６】
図１は、ＰＣＰサーバの構造と、ＵＥ及びアプリケーションサーバに対するＰＣＰサーバの接続関係とを図示する概略図である。オペレータのネットワークのＰＣＰサーバは、図２に示す通り、共通の機能ベア層(common capability bear layer)に位置することがある。ネットワークアーキテクチャに対する他のコンポーネントは、共通の機能ベア層におけるＰＣＰサーバを除き、関連技術に従って実行でき、本明細書では説明しない。
【００４７】
本発明の方法は、添付図面を参照して以下に説明される。
【００４８】
本発明の一つの実施形態は、図３及び図４に各々示される登録過程及びログオン過程を含む。
【００４９】
登録過程は、図３に示され、特に以下を含む。
【００５０】
ブロック３０１：ユーザは、ＵＥを介してオペレータのネットワークにアクセスする。このブロックでは、ユーザは、無線又は固定端末を介してオペレータのネットワークにアクセスできる。
【００５１】
ブロック３０２：オペレータのネットワークのＰＣＰサーバは、ユーザのアクセス識別子に従い、ユーザのＰＣＰを取得する。
【００５２】
このブロックでは、ＰＣＰサーバは、ユーザのＰＣＰについてＰＣＰデータベースを、ユーザのアクセス識別子に従い検索することができる。ユーザが最初にネットワークへアクセスしてユーザのＰＣＰがない場合、初期化ブロックをさらに含むことができ、ＰＣＰサーバは、ユーザのＰＣＰを生成する。
【００５３】
ブロック３０３：ＰＣＰサーバは、ユーザに関してネットワーク認証とサービス認証とを実行する。
【００５４】
このブロックにおけるネットワーク認証及びサービス認証は、ユーザのＰＣＰの情報を認証することを意味し、ＰＣＰのネットワーク機能属性及び基本サービス機能に対する認証を含むことができる。ネットワーク機能属性の認証は、ネットワーク制御層が、アクセス帯域幅及びサービス品質等のユーザのベアラ機能をユーザのＰＣＰ関連情報に基づき認証することを含む。基本サービス機能の認証は、ＳＭＳ、位置サービス等のようなユーザのサービス機能に対する認証に関するが、特定のサービスの認証ではない。認証が成功すると、ユーザが普通にネットワークを使用できることを示す。ネットワーク認証及びサービス認証の実行は、関連技術に類似する。異なる点は、本発明の実施形態において、ＰＣＰサーバが認証を実行し、ユーザのＰＣＰがネットワーク認証及びサービス認証に関するデータを提供することである。
【００５５】
ブロック３０４：ＰＣＰサーバは、ＵＥにユーザのＰＣＰ位置情報を送信する。ＰＣＰ位置情報は、ＰＣＰサーバの統一資源位置指定子（ＵＲＬ）のようなＰＣＰサーバのアドレスでもよい。また、ＰＣＰサーバは、ＰＣＰサーバ及びＵＥ間の認証のためにＵＥへ、対話モード、証明書、又は他の情報を送信することができる。
【００５６】
ブロック３０５：ユーザは、アプリケーションサーバにサービスアカウントを登録する時、アプリケーションサーバへ登録要求を送信する。ＰＣＰの位置情報は、ログオン要求に含まれてもよい。
【００５７】
ブロック３０６：登録要求を受信した後、アプリケーションサーバは、ユーザのＰＣＰにユーザのサービスアカウントを関連付けるか否かについて問合せるメッセージをユーザに送信する。
【００５８】
ブロック３０７：メッセージを受信した後、ユーザがユーザのＰＣＰにサービスアカウントを関連付けることを決定する場合、ブロック３０８へ進み、そうでない場合、ブロック３０９へ進む。
【００５９】
ブロック３０８：ユーザは、アプリケーションサーバへ確認応答を戻す。また、ＰＣＰ位置情報は、ブロック３０５の代わりにこのブロックにおいてアプリケーションサーバに送信されてもよい。ＰＣＰ位置情報がこのブロックでアプリケーションサーバに送信される場合、ブロック３１０へ進み、そうでない場合、ブロック３０９へ進む。
【００６０】
ブロック３０９：ユーザは、アプリケーションサーバへ拒絶関連メッセージを戻す。
【００６１】
ブロック３１０：アプリケーションサーバは、ユーザの関連識別子を生成し、アプリケーションサーバに関連識別子を記憶し、関連要求メッセージを介してＰＣＰ位置情報に従いＰＣＰサーバへ関連識別子を送信する。また、関連要求メッセージは、次元にユーザ識別子及び他の情報を含む。
【００６２】
ブロック３１１：関連要求メッセージを受信した後、ＰＣＰサーバは、ＵＥへプロンプトメッセージを送信し、ユーザのＰＣＰにユーザのサービスアカウントを関連付けることを要求しているアプリケーションサーバがあることをユーザに促す。プロンプトメッセージは、アプリケーションサーバの情報を含む。
【００６３】
ブロック３１２：プロンプト要求を受信した後、ユーザは、ＰＣＰにサービスアカウントを関連付けることを決定する場合、ブロック３１３へ進み、そうでない場合、ブロック３１４へ進む。
【００６４】
ブロック３１３：ユーザは、ＰＣＰサーバへ確認応答を戻し、ブロック３１５へ進む。
【００６５】
ブロック３１４：ユーザは、ＰＣＰサーバへ拒絶メッセージを戻す。また、ＰＣＰサーバは、アプリケーションサーバへ拒絶メッセージを戻してもよく、アプリケーションサーバは、ＵＥへ登録失敗メッセージを戻す。
【００６６】
ブロック３１５：ＵＥから確認応答を受信した後、ＰＣＰサーバは、ユーザのＰＣＰに対してアプリケーションサーバから受信した関連識別子を追加し、アプリケーションサーバに更新成功メッセージを戻す。このブロックにおいて、ＰＣＰサーバは、ユーザのＰＣＰにおける対応する項目に対して関連要求メッセージに含まれた他の関連情報をさらに追加してもよい。
【００６７】
ブロック３１６：更新成功メッセージを受信した後、アプリケーションサーバは、ユーザへサービスアカウント登録成功メッセージを戻す。
【００６８】
この登録過程に対応するユーザのログオン過程は、図４に示される。ブロック４０１から４０４は、図３のブロック３０１から３０４に類似し、ブロック４０５は、ブロック４０４の後に実行される。
【００６９】
ＰＣＰサーバは、登録過程の間にＵＥへユーザのＰＣＰ位置情報を送信したので、ＵＥは、ＰＣＰ位置情報を記憶することができる。故に、ログオン過程では、ＰＣＰサーバは、ブロック４０４でＵＥへＰＣＰ位置情報を送信することができない。代わりに、ＰＣＰサーバは、ＵＥへネットワーク認証情報及びサービス認証情報を送信する。
【００７０】
ブロック４０５：ユーザがログオンアカウント及びパスワードを入力した後、ＵＥは、ＵＥに記憶されたログオンアカウントとパスワードとＰＣＰ位置情報とを含むログオン要求をアプリケーションサーバへ送信する。
【００７１】
ブロック４０６：アプリケーションサーバは、ログオンアカウント及びパスワードの正当性を認証し、認証が成功した場合、ブロック４０８へ進み、そうでない場合、ブロック４０７へ進む。
【００７２】
ブロック４０７：アプリケーションサーバは、ＵＥへログオン失敗メッセージを戻し、ログオン失敗メッセージは、失敗理由を含むことができる。
【００７３】
ブロック４０８：アプリケーションサーバは、ＰＣＰ位置情報に従いＰＣＰサーバへユーザのＰＣＰに記憶された関連識別子を要求する要求メッセージを送信する。要求メッセージは、アプリケーションサーバのユーザ識別子及び関連情報を含む。
【００７４】
ブロック４０９：アプリケーションサーバから要求メッセージを受信した後、ＰＣＰサーバは、アプリケーションサーバのユーザ識別子及び関連情報に従い、関連識別子に関してデータベースに問合せ、アプリケーションサーバへ関連識別子を戻す。
【００７５】
ブロック４１０：アプリケーションサーバは、ＰＣＰサーバが戻した関連識別子を認証し、認証が成功した場合、ブロック４１１へ進み、そうでない場合、ブロック４１２へ進む。
【００７６】
ブロック４１１：アプリケーションサーバは、ログオンの成功をユーザに知らせるログオン成功メッセージをＵＥに戻す。そしてユーザは、特定のサービスについてＵＥを介してアプリケーションサーバと交信することができる。
【００７７】
ブロック４１２：アプリケーションサーバは、ログオンの失敗をユーザに知らせるログオン失敗メッセージをＵＥに戻す。また、アプリケーションサーバは、関連識別子の認証が失敗した失敗理由をユーザに知らせることができる。関連識別子の認証は、ＰＣＰサーバが戻した関連識別子が、アプリケーションサーバに記憶された関連識別子からなるか否かを判断することである。
【００７８】
上記説明は、本発明の第１の実施形態を示す。上記説明から分かる通り、本発明の第１の実施形態では、ＵＥのみがＰＣＰ位置情報を記憶する。また、アプリケーションサーバは、ＰＣＰ位置情報に従いユーザの関連識別子を要求し、関連識別子を認証する。
【００７９】
本発明の実施形態では、ユーザのＰＣＰは、ＵＥにさらに記憶されてもよい。従って、認証実行時、ＵＥは、対応するアプリケーションサーバへＰＣＰの関連識別子を直接送信する。アプリケーションサーバは、関連識別子を認証する。過程は、本発明の第２の実施形態を参照して以下詳細に説明される。
【００８０】
本発明の第２の実施形態における登録過程及びログイン過程は、図５及び６に各々示される。図５に示す登録過程におけるブロック５０１から５０３は、第１の実施形態のブロック３０１から３０３に類似する。ブロック５０３の認証が成功した後、ブロック５０４へ進む。
【００８１】
ブロック５０４：ＰＣＰサーバは、ＰＣＰ位置情報とユーザのＰＣＰとをＵＥへ送信する。ＵＥは、ＰＣＰ位置情報とユーザのＰＣＰとを記憶する。ＰＣＰの内容は、関連情報の一部又は関連情報の全部でもよい。
【００８２】
ブロック５０５から５１０は、ブロック３０５から３１０に類似し、本明細書で繰返されない。これらブロックでは、ＵＥは、ブロック５０５でアプリケーションサーバに登録要求を送信する時、アプリケーションサーバへＰＣＰ位置情報を送信することができる。また、ＵＥは、サービスアカウントにユーザのＰＣＰを関連付けるかに関する問合せに応じて、ブロック５０８でアプリケーションサーバへ送信された確認応答でユーザのＰＣＰ位置情報を伝えることができる。
【００８３】
ブロック５１１：ＰＣＰサーバは、ユーザのＰＣＰを更新する。特に、ＰＣＰサーバは、アプリケーションサーバから受信した関連識別子をユーザのＰＣＰに追加し、ＵＥへＰＣＰ同期更新要求を送信し、ＰＣＰ同期更新要求は、関連識別子を含む。
【００８４】
ブロック５１２：ＰＣＰ同期更新要求を受信した後、ＵＥは、ＵＥに記憶されたＰＣＰにＰＣＰ同期更新要求に含まれた関連識別子を追加し、ＰＣＰサーバにＰＣＰ同期完了メッセージを戻す。
【００８５】
ブロック５１３：ＰＣＰ同期完了メッセージを受信した後、ＰＣＰサーバは、アプリケーションサーバへ更新成功メッセージを戻す。
【００８６】
ブロック５１４は、図３のブロック３１６に類似する。
【００８７】
ブロック５１１の前、即ちＰＣＰサーバがユーザのＰＣＰを更新する前、図３に類似してユーザが判断する追加の問合せブロックがあってもよい。ユーザからの判断を受信すると、ユーザのＰＣＰを更新する。ユーザからの判断を受信した後の詳細な実施形態は、図３のブロック３１１から３１４に類似し、本明細書では繰返されない。
【００８８】
従って、図６に示すログオン過程では、ブロック６０１から６０３は、図５のブロック５０１から５０３に類似する。
【００８９】
ブロック６０４：ＰＣＰサーバは、ＵＥへ認証成功メッセージを戻す。
【００９０】
ブロック６０５：ＵＥは、ＰＣＰのアプリケーションサーバに対応するサービスアカウントとＰＩＮと関連識別子とを含むログオン要求をアプリケーションサーバへ送信する。
【００９１】
ブロック６０６：アプリケーションサーバは、サービスアカウントとＰＩＮと関連識別子とからなる認証を含んで受信した情報に従い、ユーザを認証する。認証が成功した場合、ブロック６０７へ進み、そうでない場合、ブロック６０８へ進む。
【００９２】
ブロック６０７：アプリケーションサーバは、ＵＥへログオン成功メッセージを戻す。
【００９３】
ブロック６０８：アプリケーションサーバは、ＵＥへログオン失敗メッセージを戻す。
【００９４】
上記第１及び第２の実施形態では、ユーザがアプリケーションサーバにログオンする時、アプリケーションサーバは、関連識別子を認証する。本発明の実施形態では、関連識別子の認証は、ＰＣＰサーバによってさらに実行可能であり、これについては本明細書中に第３の実施形態を参照して詳細に説明する。
【００９５】
第３の実施形態の登録過程は、第１の実施形態のそれと類似する。第３の実施形態のログオン過程は、図７に示される。ブロック７０１から７０７は、図４のブロック４０１から４０７に類似する。ブロック７０６では、サービスアカウント及びＰＩＮの認証が成功した後、ブロック７０８へ進む。
【００９６】
ブロック７０８：アプリケーションサーバは、アプリケーションサーバに記憶された関連識別子とユーザ識別子とアプリケーションサーバ情報とを含む認証情報をＰＣＰサーバに送信する。
【００９７】
ブロック７０９：ＰＣＰサーバは、ユーザ識別子に従いユーザのＰＣＰを検索し、ユーザのＰＣＰが認証要求に含まれたものからなる関連識別子を含むか否かを判断する。ユーザのＰＣＰが、認証要求に含まれたものからなる関連識別子を含む場合、認証が成功し、ブロック７１０へ進み、そうでない場合、認証が失敗し、ブロック７１２へ進む。
【００９８】
ブロック７１０：ＰＣＰサーバは、アプリケーションサーバへ認証成功メッセージを戻す。
【００９９】
ブロック７１１：アプリケーションサーバは、ＵＥへログオン成功メッセージを戻す。
【０１００】
ブロック７１２：ＰＣＰサーバは、アプリケーションサーバへ認証失敗メッセージを戻す。
【０１０１】
ブロック７１３：アプリケーションサーバは、ＵＥへログオン失敗メッセージを戻す。
【０１０２】
上記第１から第３の実施形態では、ユーザのサービスアカウントにＰＣＰを関連付けるのに用いる関連識別子は、静的である。関連識別子の安全性をさらに保証するために、関連識別子は、常に更新され、即ち動的に関連識別子を生成することができる。本発明の第４の実施形態は、動的関連識別子によるサービスアカウントの保護を説明するものである。
【０１０３】
第４の実施形態では、サービスアカウントの登録過程は、上記第３の実施形態に類似する。第４の実施形態のログオン過程は、上記３つの実施形態とは以下の点で異なり：アプリケーションサーバがサービスアカウントを用いたログオンが成功したことをユーザに知らせるログオン成功メッセージをＵＥに戻した後、アプリケーションサーバは、サービスアカウントに対応する関連識別子を削除し、又はサービスアカウントに対応する関連識別子を無効に設定する。アプリケーションサーバは、次にユーザがログオンする時、認証に用いる新規関連識別子を生成し、関連識別子を更新するようＰＣＰサーバに要求する更新要求をＰＣＰサーバに送信する。更新要求を受信した後、ＰＣＰサーバは、アプリケーションサーバに対応する関連識別子を更新し、アプリケーションサーバに更新成功メッセージを戻す。
【０１０４】
ユーザのＰＣＰがＵＥに記憶される場合、ＰＣＰサーバ又はアプリケーションサーバは、ＵＥへ新規関連識別子を送信するようさらに要求される。ＵＥは、ＵＥに記憶された関連識別子を更新する。アプリケーションサーバは、ＰＣＰサーバ及びＵＥへ同時に新規関連識別子を送信することができる。その後、ＰＣＰサーバ及びＵＥは、各々関連識別子を更新する。また、アプリケーションサーバは、ＵＥへ新規関連識別子を送信のみすることができる。その後、ＵＥは、アプリケーションサーバに対応する関連識別子を更新するようＰＣＰサーバに知らせる。
【０１０５】
第４の実施形態では、関連識別子の更新は、ログオン成功イベントによってトリガされる。本発明の実施形態では、関連識別子の更新は、例えばログオン成功メッセージを受信した後にユーザが送信した更新要求イベントのような、他のイベントによってもトリガされることがある。また、本発明の実施形態では、関連識別子の更新は、以下の２つのスキームを介して実行可能である。
【０１０６】
第１のスキームは、時間トリガ更新スキーム(time triggered update scheme)である。第１のスキームでは、関連識別子に関する更新時間又は寿命は、予め設定される。更新時間に達して寿命が満了する時、アプリケーションサーバは、関連識別子の更新をトリガし、ＰＣＰサーバの関連識別子を更新し、又はＰＣＰサーバ及びＵＥの両方の関連識別子を更新する。詳細な更新は、第４の実施形態で説明したものと類似し、本明細書で繰返されない。各種サービスに対応する関連識別子は、異なる優先度で設定されてもよい。従って、関連識別子の更新時間及び寿命は、関連識別子の優先度に従い、異なる値に設定することができる。例えば、関連識別子に対する優先度が高くなるほど、関連識別子に対する更新時間及び寿命が短くなる。関連識別子に対する優先度が低くなるほど、関連識別子に対する更新時間及び寿命が長くなる。
【０１０７】
第２のスキームは、時間イベント組合せトリガ更新スキーム(combined time-and-event triggered update scheme)である。第２のスキームは、時間トリガスキーム及びイベントトリガスキームを組合せる。例えば、更新時間に達するか又は寿命が満了した後、関連識別子を更新し、更新時間を記録する。ユーザのログオンが成功し、又はアプリケーションサーバがＵＥから更新要求を受信する等のイベントの後、最近の更新と現在の時間との間の時間間隔が最小更新期間を超過しているか否かを判断する。時間間隔が最小更新期間を超過する場合、関連識別子を更新し、そうでない場合、関連識別子を更新しない。実際の用途では、その他時間及びイベントも、関連識別子の更新に対するトリガとしてもよく、本明細書では説明しない。
【０１０８】
上記説明は、本発明の好ましい実施形態であり、その保護範囲を限定するのに用いるものではない。本発明の範囲内での変更、均等な置換、又は改良の全ては、本発明の保護範囲に含まれる。
【図面の簡単な説明】
【０１０９】
【図１】図１は、ＵＥ及びアプリケーションサーバに対するＰＣＰサーバの接続関係を図示する概略図である。
【図２】図２は、オペレータのネットワークにおけるＰＣＰサーバの位置を図示する概略図である。
【図３】図３は、本発明の実施形態によるサービスアカウントの登録過程を図示するフローチャートである。
【図４】図４は、本発明の実施形態によるアプリケーションサーバにおけるユーザのログオン過程を図示するフローチャートである。
【図５】図５は、本発明の実施形態によるサービスアカウントの登録過程を図示するフローチャートである。
【図６】図６は、本発明の実施形態によるアプリケーションサーバにおけるユーザのログオン過程を図示するフローチャートである。
【図７】図７は、本発明の実施形態によるアプリケーションサーバにおけるユーザのログオン過程を図示するフローチャートである。
【符号の説明】
【０１１０】
１１１  ＰＣＰ生成ユニット
１１２  ＰＣＰ管理ユニット
１１３  ＰＣＰデータベース
【図１】
2009519515.tif 000007
【図２】
2009519515.tif 000008
【図３】
2009519515.tif 000009
【図４】
2009519515.tif 000010
【図５】
2009519515.tif 000011
【図６】
2009519515.tif 000012
【図７】
2009519515.tif 000013
【手続補正書】
【提出日】平成20年8月8日(2008.8.8)
【手続補正１】
【補正対象書類名】特許請求の範囲
【補正対象項目名】全文
【補正方法】変更
【補正の内容】
【特許請求の範囲】
【請求項１】
サービスアカウントを保護するための方法であって、
ユーザがユーザ機器ＵＥを介してサービスアカウントでアプリケーションサーバにログオンする時、関連情報を認証し、認証が成功すると、ユーザによるアプリケーションサーバへのログオンを許可し、そうでない場合、ユーザによるアプリケーションサーバへのログオンを拒絶する過程を具備し、
関連情報は、ネットワーク側におけるユーザの個人通信プロフィールＰＣＰでユーザのサービスアカウントに関して設定されることを特徴とする方法。
【請求項２】
ネットワーク側におけるユーザのＰＣＰでユーザのサービスアカウントに関して関連情報を設定する過程は、
ユーザがアプリケーションサーバでサービスアカウントを登録する時、関連情報をアプリケーションサーバによって生成及び記憶し、記憶のためにＰＣＰ記憶装置に、生成された関連情報を送信する過程
を具備することを特徴とする請求項１に記載の方法。
【請求項３】
新規関連情報をアプリケーションサーバによって生成し、ＰＣＰ記憶装置へ新規関連情報を送信し、関連情報を更新するようＰＣＰ記憶装置に要求する過程と、
新規関連情報で関連情報をＰＣＰ記憶装置によって更新する過程とをさらに具備し、
アプリケーションサーバは：アプリケーションサーバがログオンをユーザに許可した後；ユーザがログオンに成功しアプリケーションサーバがユーザから更新要求を受信した後；関連情報を更新するための時間が終了した後；関連情報の寿命が終了した後；ユーザがログオンに成功しアプリケーションサーバがユーザから更新要求を受信しアプリケーションサーバが更新要求を受信する時と最近の更新時との間の時間間隔が最小更新期間より長い；のうち何れか一つで新規関連情報を生成することを特徴とする請求項２に記載の方法。
【請求項４】
ユーザのＰＣＰにユーザのサービスアカウントを関連付けるか否かをユーザに促すために、ＵＥへプロンプトメッセージを、ユーザのＰＣＰへ関連情報を記憶する前にＰＣＰ記憶装置によって送信する過程と、
ＵＥからの確認応答をＰＣＰ記憶装置によって受信する過程と
をさらに具備することを特徴とする請求項２に記載の方法。
【請求項５】
ユーザのＰＣＰにユーザのサービスアカウントを関連付けるか否かをユーザに問合せるためにＵＥへ問合せメッセージをアプリケーションサーバによって送信する過程と、
ＵＥから確認応答をアプリケーションサーバによって受信する過程と
をさらに具備することを特徴とする請求項２に記載の方法。
【請求項６】
関連情報を認証する過程は、
サービスアカウントに対する関連情報を要求する要求をＰＣＰ記憶装置へアプリケーションサーバによって送信する過程と、
ＰＣＰ記憶装置から関連情報をアプリケーションサーバによって取得する過程と、
ＰＣＰ記憶装置から受信した関連情報が、アプリケーションサーバに記憶された関連情報と一致するか否かをアプリケーションサーバによって判断する過程と
を具備することを特徴とする請求項２に記載の方法。
【請求項７】
関連情報を認証する過程は、
ＰＣＰ記憶装置へアプリケーションサーバに記憶されたサービスアカウントに対する関連情報を、ＵＥからログオン要求を受信した後にアプリケーションサーバによって送信する過程と、
認証結果を取得するために、ユーザのＰＣＰが、アプリケーションサーバから受信した関連情報と一致する関連情報を含むか否かを、ＰＣＰ記憶装置によって判断する過程と、
アプリケーションサーバに認証結果を戻す過程と
を具備することを特徴とする請求項２に記載の方法。
【請求項８】
ＵＥへユーザのＰＣＰ位置情報をＰＣＰ記憶装置によって送信する過程と、
ＵＥからＰＣＰ位置情報をアプリケーションサーバによって受信する過程と、
ユーザのＰＣＰ位置情報に従いＰＣＰ記憶装置に対してアプリケーションサーバによって交信する過程と
をさらに具備することを特徴とする請求項６又は７に記載の方法。
【請求項９】
ＵＥへユーザのＰＣＰの関連情報をＰＣＰ記憶装置によって送信する過程と、
ＵＥから関連情報をアプリケーションサーバによって受信する過程と
をさらに具備し、関連情報を認証する過程は、
ＵＥから受信した関連情報が、アプリケーションサーバに記憶された関連情報と一致するか否かをアプリケーションサーバによって判断する過程を具備することを特徴とする請求項２に記載の方法。
【請求項１０】
ＰＣＰ記憶装置がユーザの関連情報を更新する時、ＵＥに記憶された関連情報を更新することを要求する同期要求をＵＥへＰＣＰ記憶装置によって送信する過程
をさらに具備することを特徴とする請求項９に記載の方法。
【請求項１１】
サービスアカウントを保護するためのシステムであって、
ユーザのログオン要求に基づき個人通信プロフィールＰＣＰ記憶装置及びユーザ機器ＵＥに交信するよう、ユーザのＰＣＰの関連情報を認証するよう、及び認証が成功した場合にユーザによるアプリケーションサーバへのログオンを許可するよう調節されたアプリケーションサーバ
を具備し、ＰＣＰ記憶装置は、ユーザのＰＣＰを記憶するよう調節され、
ＰＣＰは、ユーザのサービスアカウントに対する関連情報を含むことを特徴とするシステム。
【請求項１２】
アプリケーションサーバは、登録要求を受信した後、ユーザのサービスアカウントに対する関連情報を生成及び記憶し、生成した関連情報をＰＣＰ記憶装置に送信するようさらに調節されることを特徴とする請求項１１に記載のシステム。
【請求項１３】
アプリケーションサーバは、ログオン要求を介してＵＥからＰＣＰ位置情報を受信し、ログオン要求のＰＣＰ位置情報に従ってユーザのサービスアカウントに対する関連情報を要求する要求をＰＣＰ記憶装置に送信し、ＰＣＰ記憶装置から受信した関連情報が、アプリケーションサーバに記憶された関連情報と一致するか否かを判断するようさらに調節され、
ＰＣＰ記憶装置は、ＵＥへユーザのＰＣＰ位置情報を送信し、アプリケーションサーバの要求に応じてアプリケーションサーバへユーザのサービスアカウントに対する関連情報を送信するようさらに調節されることを特徴とする請求項１１又は１２に記載のシステム。
【請求項１４】
アプリケーションサーバは、認証が成功した後、アプリケーションサーバに記憶された関連情報を削除し、又はアプリケーションサーバに記憶された関連情報を無効に設定し、ユーザのサービスアカウントに対する新規関連情報を生成し、ＰＣＰ記憶装置に新規関連情報を送信するようさらに調節され、
ＰＣＰ記憶装置は、アプリケーションサーバから受信した新規関連情報に従ってＰＣＰ記憶装置に記憶された関連情報を更新するようさらに調節されることを特徴とする請求項１３に記載のシステム。
【請求項１５】
ＰＣＰ記憶装置は、ＵＥへＰＣＰ記憶装置に記憶された関連情報を送信するようさらに調節され、
ＵＥからログオン要求で伝送された関連情報を受信し、ログオン要求で伝達された関連情報が、アプリケーションサーバに記憶された関連情報と一致するか否かを判断し、ＵＥへログオン成功メッセージ又はログオン失敗メッセージを戻すようさらに調節されることを特徴とする請求項１１又は１２に記載のシステム。
【請求項１６】
ユーザ機器ＵＥをさらに具備し、アプリケーションサーバは、認証が成功した後、アプリケーションサーバに記憶された関連情報を削除し、又はアプリケーションサーバに記憶された関連情報を無効に設定し、ユーザのサービスアカウントに対する新規関連情報を生成し、ＰＣＰ記憶装置及びＵＥへ新規関連情報を送信するようさらに調節され、
ＰＣＰ記憶装置は、アプリケーションサーバから受信した新規関連情報に従ってＰＣＰ記憶装置に記憶された関連情報を更新するようさらに調節され、
ＵＥは、アプリケーションサーバから受信した新規関連情報に従ってＵＥに記憶された関連情報を更新するようさらに調節されることを特徴とする請求項１５に記載のシステム。
【請求項１７】
ユーザ機器ＵＥをさらに具備し、アプリケーションサーバは、ＵＥへログオン成功メッセージを戻した後、アプリケーションサーバに記憶された関連情報を削除し、又はアプリケーションサーバに記憶された関連情報を無効に設定し、ユーザのサービスアカウントに対する新規関連情報を生成し、ＵＥへ新規関連情報を送信するようさらに調節され、
ＵＥは、アプリケーションサーバから受信した新規関連情報に従ってＵＥに記憶された関連情報を更新市、アプリケーションサーバに更新成功メッセージを戻し、ＰＣＰ記憶装置へ新規関連情報を送信するようさらに調節され、
ＰＣＰ記憶装置は、ＵＥから受信した新規関連情報に従ってＰＣＰ記憶装置に記憶された関連情報を更新するようさらに調節されることを特徴とする請求項１５に記載のシステム。
【請求項１８】
ＰＣＰ記憶装置は、ＰＣＰサーバ、ＵＥファイルサーバ、及びＵＥデータベースのうち何れか一つを具備することを特徴とする請求項１１に記載のシステム。
【請求項１９】
ユーザのサービスアカウントを保護するためのシステムであって、
個人通信プロフィールＰＣＰ記憶装置及びユーザ機器ＵＥと交信するよう調節されたアプリケーションサーバを具備し、
アプリケーションサーバは、関連情報を送信し、ＵＥへログオン成功メッセージ又はログオン失敗メッセージを戻すよう調節され、
関連情報は、ユーザのサービスアカウントに対して設定され、ユーザの個人通信プロフィールＰＣＰに記憶され、
ＰＣＰ記憶装置は、アプリケーションサーバから受信した関連情報を認証し、アプリケーションサーバに認証成功メッセージ又は認証失敗メッセージを戻すよう調節されることを特徴とするシステム。
【請求項２０】
アプリケーションサーバは、ＵＥから登録要求を受信した後、関連情報を生成及び記憶し、ＰＣＰ記憶装置へ関連情報を送信するようさらに調節され、
ＰＣＰ記憶装置は、アプリケーションサーバから受信した関連情報を記憶するようさらに調節されることを特徴とする請求項１９に記載のシステム。
【請求項２１】
アプリケーションサーバは、認証が成功した後、アプリケーションサーバに記憶された関連情報を削除し、又は関連情報を無効に設定し、ユーザのサービスアカウントに対する新規関連情報を生成し、ＰＣＰ記憶装置へ新規関連情報を送信するようさらに調節され、
ＰＣＰ記憶装置は、アプリケーションサーバから受信した新規関連情報に従ってＰＣＰ記憶装置に記憶された関連情報を更新し、アプリケーションサーバへ更新成功メッセージ戻すようさらに調節されることを特徴とする請求項２０に記載のシステム。
【請求項２２】
ユーザの個人通信プロフィールＰＣＰを記憶するための装置であって、
ユーザのＰＣＰと、ユーザのサービスアカウントに対する関連情報とを記憶するよう調節されたＰＣＰデータベースと、
関連情報を受信し、ＰＣＰデータベースが、受信した関連情報と一致する関連情報を含むか否かを判断し、認証成功メッセージ又は認証失敗メッセージを戻すよう調節された認証ユニットと
を具備することを特徴とする装置。
【請求項２３】
アプリケーションサーバに認証ユニットを通信可能に接続するよう調節されたオープンサービスアクセスゲートウェイユニットと、
認証ユニットを通信可能に接続するよう調節されたサービスコンポーネントインタフェースユニットと
をさらに具備することを特徴とする請求項２２に記載の装置。
【請求項２４】
ＰＣＰデータベースは、アプリケーションサーバから受信した新規関連情報に従ってＰＣＰデータベースに記憶された関連情報を更新するようさらに調節されることを特徴とする請求項２２に記載の装置。
【請求項２５】
ユーザのサービスアカウントを保護するためのアプリケーションサーバであって、
ログオン制御ユニット及び通信ユニットを具備し、
ログオン制御ユニットは、通信ユニットを介してログオン要求を受信し、ログオン要求に含まれたユーザのＰＣＰ位置情報に基づき関連情報を要求し、受信した関連情報が、ログオン制御ユニットに記憶された関連情報と一致するか否かを判断し、通信ユニットを介してログオン成功メッセージ又はログオン失敗メッセージを送信するよう調節されることを特徴とするアプリケーションサーバ。
【請求項２６】
ログオン制御ユニットは、認証が成功した後、ログオン制御ユニットに記憶された関連情報を削除し、又はログオン制御ユニットに記憶された関連情報を無効に設定し、ユーザのサービスアカウントに対する新規関連情報を生成し、新規関連情報を送信するようさらに調節されることを特徴とする請求項２５に記載のアプリケーションサーバ。
【手続補正２】
【補正対象書類名】明細書
【補正対象項目名】全文
【補正方法】変更
【補正の内容】
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ネットワークサービス認証技術に関し、特にサービスアカウントを保護するための方法及びシステムと、個人通信プロフィール（ＰＣＰ）を記憶するための装置と、アプリケーションサーバとに関する。
【背景技術】
【０００２】
現在、インターネットによる産業の連鎖的状態は、アクセス及び注意が重要であった過去から、アプリケーションが重要である時代へと徐々に進んでいる。コンテンツプロバイダは、全体的な産業連鎖において核となる地位を徐々に占めつつある一方で、さらに多くの課題が生じている。例えば、トロイの木馬やサービスアカウントの盗用等の現象は、ネットワークゲームの通常動作に深刻な影響を及ぼしている。その現象を抑えるために、ネットワークゲームプロバイダは、各種方法を備えている。しかし、各種方法は、ネットワークゲームの通常動作にとって不都合である。調査によると、６５％を超えるユーザは、アプリケーションサーバに登録したサービスアカウントの盗用に遭っている。サービスアカウントのセキュリティ問題は、ネットワークゲームオペレータ及びユーザの両者にとって悪夢になっている。
【０００３】
現在、ユーザのサービスアカウントを保護する、主に２つの方法があり、１つは、携帯電話保護の方法であり、もう１つは、動的認証の方法である。
【０００４】
１つ目の方法では、ユーザがアプリケーションサーバにログオンする時、アプリケーションサーバは、動的パスワードを生成し、ユーザが登録した携帯電話番号に従い、ネットワークオペレータのショートメッセージサービス（ＳＭＳ）ゲートウェイを介して、ユーザの携帯電話に動的パスワードを送信する。動的パスワードの受信後、ユーザは、静的パスワード（個人識別番号、ＰＩＮ）と共に動的パスワードを用いて、アプリケーションサーバにログオンする。１つ目の方法では、ユーザを除いて誰も動的パスワードを取得できないので、不正なユーザがユーザのパスワードを盗用してアプリケーションサーバにログオンすることができない。
【０００５】
２つ目の方法は、ユーザの認証を実行するために２つの装置を含む。１つは、ユーザの同一性を認証するための認証サーバである。もう１つは、ユーザに関する動的パスワードを生成するためのパスワードカードである。認証サーバ及びパスワードカードは、同じパスワード生成ソフトウェアにインストールされており、識別コードは、ユーザを独自に識別する。ユーザがパスワードカードを得ると、識別コードがパスワードカードに読込まれる。同時に、識別コードは、アプリケーションサーバのデータベースにおけるユーザ情報テーブルにインストールされる。また、ユーザは、独自に覚えたＰＩＮを有する。ユーザがアプリケーションサーバにログオンしてＰＩＮを入力すると、パスワードカードは、毎秒パスワードカードに独自に対応する動的パスワードを生成し、それは予測不可能である。パスワードカードは、サービスアカウント、ＰＩＮ及び動的パスワードをアプリケーションサーバに送信する。アプリケーションサーバは、動的パスワードに従いユーザの正当性及び信頼性を判断する。動的パスワードが動的にパスワードカードによって生成されるので、正当なユーザ以外の者は、パスワードカードを取得して正しい動的パスワードを生成することができない。故に、動的パスワードは、覗き見られたり傍受されることから免れる。従って、２つ目の方法は、再送攻撃(resending attack)を回避し、高い安全性と利便性がある。
【０００６】
ユーザのサービスアカウントを保護するための２つの方法では、１つ目の方法は、サービスアカウントに比較的高い制限を有する。動的パスワードは、毎回ショートメッセージを介してユーザに送信されねばならず、その後ユーザは、ショートメッセージから受信したパスワードを入力する。それは、かなり時間遅延となり、無線資源を浪費する。２つ目の方法では、保護は、単一のサービスプロバイダのサービスアカウントに制限される。また、サービスを用いる時、ユーザは、追加のハードウェアを購入せねばならず、アプリケーションの競争をまごつかせる。
【発明の開示】
【課題を解決するための手段】
【０００７】
本発明の実施形態は、サービスアカウントを保護するための方法及びシステムと、個人通信プロフィール（ＰＣＰ）を記憶するための装置と、アプリケーションサーバとを提供し、ユーザのサービスアカウントを保護するのに適する。
【０００８】
本発明の一つの実施形態によると、サービスアカウントを保護するための方法であって、ユーザがユーザ機器ＵＥを介してサービスアカウントでアプリケーションサーバにログオンする時、関連情報を認証し、認証が成功すると、ユーザがアプリケーションサーバにログオンできるようにし、そうでない場合、ユーザからのアプリケーションサーバへのログオンを拒絶する過程を含み、関連情報は、ネットワーク側におけるユーザの個人通信プロフィール（ＰＣＰ）でユーザのサービスアカウントに関して設定される。
【０００９】
本発明のもう一つの実施形態によると、サービスアカウントを保護するためのシステムであって、ユーザのログオン要求に基づき個人通信プロフィールＰＣＰ記憶装置及びユーザ機器ＵＥに交信するよう、ユーザのＰＣＰの関連情報を認証するよう、及び認証が成功した場合にユーザによるアプリケーションサーバへのログオンを許可するよう調節されたアプリケーションサーバを具備し、ＰＣＰ記憶装置は、ユーザのＰＣＰを記憶するよう調節され、ＰＣＰは、ユーザのサービスアカウントに対する関連情報を含む。
【００１０】
本発明のもう一つの実施形態によると、サービスアカウントを保護するためのシステムであって、個人通信プロフィールＰＣＰ記憶装置及びユーザ機器ＵＥと交信するよう調節されたアプリケーションサーバを具備し、アプリケーションサーバは、関連情報を送信し、ＵＥへログオン成功メッセージ又はログオン失敗メッセージを戻すよう調節され、関連情報は、ユーザのサービスアカウントに対して設定され、ユーザの個人通信プロフィールＰＣＰに記憶され、ＰＣＰ記憶装置は、アプリケーションサーバから受信した関連情報を認証し、アプリケーションサーバに認証成功メッセージ又は認証失敗メッセージを戻すよう調節される。
【００１１】
本発明のもう一つの実施形態によると、ユーザの個人通信プロフィールＰＣＰを記憶するための装置であって、ユーザのＰＣＰと、ユーザのサービスアカウントに対する関連情報とを記憶するよう調節されたＰＣＰデータベースと、関連情報を受信し、ＰＣＰデータベースが、受信した関連情報と一致する関連情報を含むか否かを判断し、認証成功メッセージ又は認証失敗メッセージを戻すよう調節された認証ユニットとを具備する。
【００１２】
ユーザのサービスアカウントを保護するためのアプリケーションサーバであって、ログオン制御ユニット及び通信ユニットを具備し、ログオン制御ユニットは、通信ユニットを介してログオン要求を受信し、ログオン要求に含まれたユーザのＰＣＰ位置情報に基づき関連情報を要求し、受信した関連情報が、ログオン制御ユニットに記憶された関連情報と一致するか否かを判断し、通信ユニットを介してログオン成功メッセージ又はログオン失敗メッセージを送信するよう調節される。
【００１３】
本発明の実施形態では、静的パスワードによるサービスアカウントの保護に加えて、ユーザは、ショートメッセージを介して動的パスワードを受信することなくサービスアカウントに対する高い保護を実行することができ、アプリケーションサーバにログオンするユーザの時間遅延を顕著に低減する。また、ユーザは、追加的にパスワードカードを購入する必要がない。故に、アプリケーションサーバの競争力が高められる。
【発明を実施するための最良の形態】
【００１４】
本発明は、本発明の技術的解決策及び利点をさらに明確にするために、添付図面及び実施形態を参照して詳細に以下説明される。
【００１５】
サービスプロバイダとは異なり、ネットワークオペレータは、サービスプロバイダが所有しないネットワーク資源を所有する。ネットワークオペレータは、ユーザ及び均一アクセス管理に対する基本的なアクセスサービスと、ユーザ及びサービスプロバイダに対するアクセス認証及びサービス認証とを提供する。故に、ユーザのサービスアカウントは、ネットワークオペレータの認証とサービスプロバイダのサービスアカウントとを組合せることによって保護できる。
【００１６】
ネットワークオペレータは、ユーザのアクセス番号を介してユーザに個人通信プロフィール（ＰＣＰ）を提供することができる。アクセス番号は、携帯電話会社が提供する携帯端末番号、固定ネットワークオペレータが提供する電話番号、又は広帯域ネットワークオペレータが提供するアクセスアカウントでもよい。ＰＣＰは、ユーザについてネットワークオペレータによって設定された最小限の一式であり、ユーザを独自に識別することができる。例えば、ＰＣＰは、ＰＣＰに対応するユーザが用いるサービス資源属性情報を含むことができる。また、サービス資源属性情報は、ベアラネットワーク資源属性、上層サービス能力コンポーネント、プラットフォーム、及びアプリケーションソフトウェア等を含むことができる。
【００１７】
本発明の実施形態では、ユーザのサービスアカウントの関連情報は、ネットワークオペレータが提供するユーザのＰＣＰで設定される。ユーザがサービスアカウントでアプリケーションサーバにログオンする時、ユーザのＰＣＰの関連情報が認証されることになる。認証が成功した場合、ユーザは、アプリケーションサーバにログオンでき、そうでない場合、ユーザは、拒絶される。
【００１８】
サービスアカウントの認証は、アプリケーションサーバによって実行できる。特に、アプリケーションサーバは、ユーザのＰＣＰで設定された関連情報が、アプリケーションサーバに記憶された関連情報に一致するか否かを判断する。ユーザのＰＣＰの関連情報が、アプリケーションサーバに記憶されたそれに一致する場合、認証が成功してユーザのサービスアカウントが正当化され、そうでない場合、認証が失敗してサービスアカウントが正当化されない。
【００１９】
本発明の実施形態では、関連情報の認証は、オペレータのネットワークのＰＣＰ関連装置によっても実行可能である。この場合、アプリケーションサーバは、アプリケーションサーバに記憶された関連情報をＰＣＰ関連装置に送信し、ＰＣＰ関連装置は、アプリケーションサーバから受信した関連情報が、ＰＣＰ関連装置に記憶されたそれに一致するか否かを判断し、それによりユーザのサービスアカウントが正当か否かを判断する。
【００２０】
本発明の実施形態では、一つのサービスに対応する複数のサービスアカウントが存在しうる。複数のサービスアカウントの関連情報は、同一又は非同一にすることができる。即ち、関連情報は、一つのサービスアカウントに独自に対応することがあるか、又は同一のサービスに属し、かつサービス番号のような共通の属性を有する複数のサービスアカウントに対応することがある。
【００２１】
関連情報は、ユーザが登録したサービスアカウントについて生成されたエイリアスでもよい。エイリアスは、ユーザのサービスアカウントとＰＣＰとを関連付けるための関連識別子として使用される。以下、関連識別子は、本発明の実施形態において一例として扱われる。
【００２２】
本発明の実施形態では、ユーザのＰＣＰは、オペレータのネットワークに位置するＰＣＰ記憶装置に記憶される。特に、ＰＣＰ記憶装置は、ユーザ機器（ＵＥ）プロフィールサーバ、ＵＥデータベース、又はＰＣＰサーバでもよく、ＰＣＰサーバは、ＰＣＰ管理ユニットとも称される。
【００２３】
オペレータのネットワークでは、ＰＣＰ記憶装置のアドレスは、予め、例えばオペレータのネットワークにＰＣＰ記憶装置のみ存する時、アプリケーションサーバが知ることができる。また、ＰＣＰ記憶装置のアドレスは、ユーザがアプリケーションサーバに登録又はログオンする時、アプリケーションサーバに通知されてもよい。
【００２４】
以下、ＰＣＰサーバは、本発明の実施形態によるシステム構造を示す一例として扱われる。ＰＣＰサーバと、ＵＥ及びアプリケーションサーバに対するＰＣＰサーバの接続関係とが図１に示される。システムにおいて、個人コンピュータ（ＰＣ）１０１、携帯電話１０２、及び個人デジタル補助装置１０３は、ＵＥである。ＰＣ１０１、携帯電話１０２、及びＰＤＡ１０３は、ＰＣＰサーバ１１に独自のＰＣＰを各々有し、アクセスゲートウェイ（ＡＧ）１０を介してＰＣＰサーバ１１に接続する。
【００２５】
各ＵＥは、アプリケーションサーバにログオン要求を送信するように設定され、またＰＣＰサーバ１１からＰＣＰ位置情報を受信し、又はＰＣＰサーバ１１から関連情報を受信し、ログオン要求を通じて、対応するアプリケーションサーバにＰＣＰ位置情報又は関連情報を送信するように設定される。
【００２６】
ＰＣＰサーバ１１は、ユーザの関連情報を含むユーザのＰＣＰを記憶するように設定され、またアプリケーションサーバの要求に応じてアプリケーションサーバに関連情報を送信するように、又はアプリケーションサーバから受信した関連情報を認証し、アプリケーションサーバに認証結果を戻すように設定される。
【００２７】
アプリケーションサーバは、ユーザのログオン要求によりＰＣＰサーバ１１と交信し、ユーザのＰＣＰの関連情報を認証し、認証結果に従ってログオン結果を判断するように設定される。特に、アプリケーションサーバは、ユーザの関連情報を要求するユーザのログオン要求に従ってＰＣＰサーバ１１に要求を送信し、ＰＣＰサーバ１１が戻した関連情報を認証することができる。また、アプリケーションサーバは、ユーザのログオン要求に従い、アプリケーションサーバに記憶された関連情報をＰＣＰサーバ１１に送信することができる。即ち、アプリケーションサーバは、ユーザのログオン要求に含まれた関連情報を認証し、認証結果に従い、ログオン成功又はログオン失敗メッセージをＵＥに戻す。
【００２８】
ＰＣＰサーバ１１は、ＰＣＰ生成ユニット１１１、ＰＣＰ管理制御ユニット１１２、ＰＣＰデータベース１１３、認証ユニット１１４、サービスコンポーネントインタフェースユニット１１５、及びオープンサービスアクセスゲートウェイインタフェースユニット１１６を含むことができる。
【００２９】
ＰＣＰ生成ユニット１１１は、ユーザのＰＣＰを管理し、ＰＣＰ管理制御ユニット１１２からの指令に従い、ＰＣＰを生成、更新、及び維持し、生成され、更新され、又は維持されたＰＣＰを、ＰＣＰ管理制御ユニット１１２を介してＰＣＰデータベース１１３に書込むように設定される。
【００３０】
ＰＣＰ管理制御センター１１２は、ＰＣＰサーバ１１の中央コンポーネントであり、外部アプリケーションを管理し、インタフェースコンポーネントを提供するように設定され、またＰＣＰの生成及び記憶を管理するように設定される。
【００３１】
ＰＣＰデータベース１１３は、ユーザのＰＣＰを記憶するように設定される。ＰＣＰデータベース１１３は、ユーザデータに関する複数の次元を含むことができる。本発明の実施形態において、ユーザデータは、関連情報でもよい。次元は、ＰＣＰデータベース１１３において以下の形式で記憶される。
【００３２】
【数１】
2009519515.tif 000014
2009519515.tif 000015
2009519515.tif 000016
【００３３】
ＰＣＰの上記記憶形式は、拡張可能マークアップ言語（ＸＭＬ）に基づく。ＸＭＬファイルは、ヘッダ部分及び本体部分を含む。
【００３４】
ヘッダ部分は、ＰＣＰ識別子及びユーザ識別子等の公開基本情報を含み、ユーザとユーザのＰＣＰとを識別する。
【００３５】
本体部分は、ユーザのＰＣＰに関する全てのパラメータの値を含む。ラベル<dimension>は、次元に関する全てのパラメータ項目を含むのに使用される。例えば、<dimension name=“PIM” typeId=“2”>は、サービスアカウントの次元を意味し、“name”は、次元の名前を示し、“typeId”は、次元の識別子である。次元内の各パラメータ項目は、<Item>によって識別される。各次元は、複数のパラメータ項目を含むことができる。
【００３６】
<Item>は、以下のパラメータを含んでもよく、idは、パラメータ項目の名前を意味し、次元におけるパラメータ項目に関する固有の識別子であり、nameは、パラメータ項目の名前を意味し、Typeは、パラメータ項目のタイプを意味する。特に、<Item>即ち、次元のパラメータ項目は、以下のパラメータによって記述され、<Description>は、パラメータ項目の記述を意味し、<Meta>は、パラメータ項目に関するタイプ(Type)及び形式(Format)を意味し、<ACL>は、パラメータ項目のアクセス制御リストを意味し、<Data>は、パラメータ項目の値を意味する。<Meta>は、２つの項目を含み、<Type>は、パラメータ項目のタイプを意味し、<Format>は、パラメータ項目の形式を意味する。記述ファイルにおいて、各パラメータ項目は、デフォルトタイプを備えることができる。例えば、ＰＣＰデータに<Meta>がない場合、パラメータ項目の値は、デフォルトタイプである。以下の記述の通り、サービスアカウントは、Itemである。
【００３７】
【数２】
2009519515.tif 000017
【００３８】
上記記述において、“read=www.wow.com-346&write= www.wow.com-346”は、アプリケーションサーバの記述であり、アプリケーションサーバのアドレスの形式を採用する。これは、このアドレスからの要求のみが、Itemに対応するアプリケーションサーバから来ることを示し、読み取り及び書き込み機能は、以下の関連識別子<!--Base64-coded data-->に関して実行可能である。
【００３９】
認証ユニット１１４は、ユーザのＰＣＰに基づきユーザが用いるネットワーク資源とサービス資源とを認証し、ユーザのＰＣＰ位置情報をＵＥへ送信し、関連識別子を要求するアプリケーションサーバから要求を受信し、ＰＣＰデータベース１１３から関連識別子を取得し、アプリケーションサーバへ関連識別子を送信し、又はＵＥへユーザのＰＣＰの関連識別子を送信し、又はアプリケーションサーバから関連識別子を受信し、ＰＣＰデータベース１１３が、対応する関連識別子を含むか否かを認証し、アプリケーションサーバへ認証結果を戻す。
【００４０】
サービスコンポーネントインタフェースユニット１１５を用いて、ＡＧ１０を介してＵＥに対してＰＣＰ管理制御ユニット１１２と認証ユニット１１４とを通信可能に接続し、オペレータのネットワークにおける他のネットワーク要素に対してＰＣＰ管理制御ユニット１１２と認証ユニット１１４とを通信可能に接続する。
【００４１】
オープンサービスアクセスゲートウェイインタフェースユニット１１６を用いて、オープンサービスゲートウェイ１２を介してアプリケーションサーバに対してＰＣＰ管理制御ユニット１１２と認証ユニット１１４とを通信可能に接続する。
【００４２】
アプリケーションサーバ１２１、１２２、１２３．．．は、オープンサービスゲートウェイ１２を介して各々ＰＣＰ管理制御ユニット１１２に対して通信可能に接続される。
【００４３】
各アプリケーションサーバは主に、通信ユニット１２０１及びログオン制御ユニット１２０２を含む。
【００４４】
通信ユニット１２０１を用いて、ＵＥとＰＣＰサーバ１１とに対してログオン制御ユニット１２０２を通信可能に接続する。
【００４５】
ログオン制御ユニット１２０２を用いて、通信ユニット１２０１を介してＵＥからのログオンログオン要求を受信し、ログオン要求に含まれる関連識別子を認証し、認証結果に基づきログオン結果を判断し、通信ユニット１２０１を介してＵＥへログオン結果を送信し；又はログオン要求に含まれるＰＣＰ位置情報に従い、ＰＣＰサーバ１１へログオン制御ユニット１２０２に記憶された対応する関連識別子を送信し、ＰＣＰサーバ１１が戻した認証結果を受信し、認証結果に基づきログオン結果を判断し、通信ユニット１２０１を介してＵＥへログオン結果を送信し；又はログオン要求に含まれるＰＣＰ位置情報に基づき対応する関連識別子をＰＣＰサーバ１１に要求し、ログオン制御ユニット１２０２に記憶された関連識別子からなる関連識別子か否かを判断し、認証結果に基づきログオン結果を判断し、通信ユニット１２０１を介してＵＥへログオン結果を送信する。
【００４６】
図１は、ＰＣＰサーバの構造と、ＵＥ及びアプリケーションサーバに対するＰＣＰサーバの接続関係とを図示する概略図である。オペレータのネットワークのＰＣＰサーバは、図２に示す通り、共通の機能ベア層(common capability bear layer)に位置することがある。ネットワークアーキテクチャに対する他のコンポーネントは、共通の機能ベア層におけるＰＣＰサーバを除き、関連技術に従って実行でき、本明細書では説明しない。
【００４７】
本発明の方法は、添付図面を参照して以下に説明される。
【００４８】
本発明の一つの実施形態は、図３及び図４に各々示される登録過程及びログオン過程を含む。
【００４９】
登録過程は、図３に示され、特に以下を含む。
【００５０】
ブロック３０１：ユーザは、ＵＥを介してオペレータのネットワークにアクセスする。このブロックでは、ユーザは、無線又は固定端末を介してオペレータのネットワークにアクセスできる。
【００５１】
ブロック３０２：オペレータのネットワークのＰＣＰサーバは、ユーザのアクセス識別子に従い、ユーザのＰＣＰを取得する。
【００５２】
このブロックでは、ＰＣＰサーバは、ユーザのＰＣＰについてＰＣＰデータベースを、ユーザのアクセス識別子に従い検索することができる。ユーザが最初にネットワークへアクセスしてユーザのＰＣＰがない場合、初期化ブロックをさらに含むことができ、ＰＣＰサーバは、ユーザのＰＣＰを生成する。
【００５３】
ブロック３０３：ＰＣＰサーバは、ユーザに関してネットワーク認証とサービス認証とを実行する。
【００５４】
このブロックにおけるネットワーク認証及びサービス認証は、ユーザのＰＣＰの情報を認証することを意味し、ＰＣＰのネットワーク機能属性及び基本サービス機能に対する認証を含むことができる。ネットワーク機能属性の認証は、ネットワーク制御層が、アクセス帯域幅及びサービス品質等のユーザのベアラ機能をユーザのＰＣＰ関連情報に基づき認証することを含む。基本サービス機能の認証は、ＳＭＳ、位置サービス等のようなユーザのサービス機能に対する認証に関するが、特定のサービスの認証ではない。認証が成功すると、ユーザが普通にネットワークを使用できることを示す。ネットワーク認証及びサービス認証の実行は、関連技術に類似する。異なる点は、本発明の実施形態において、ＰＣＰサーバが認証を実行し、ユーザのＰＣＰがネットワーク認証及びサービス認証に関するデータを提供することである。
【００５５】
ブロック３０４：ＰＣＰサーバは、ＵＥにユーザのＰＣＰ位置情報を送信する。ＰＣＰ位置情報は、ＰＣＰサーバの統一資源位置指定子（ＵＲＬ）のようなＰＣＰサーバのアドレスでもよい。また、ＰＣＰサーバは、ＰＣＰサーバ及びＵＥ間の認証のためにＵＥへ、対話モード、証明書、又は他の情報を送信することができる。
【００５６】
ブロック３０５：ユーザは、アプリケーションサーバにサービスアカウントを登録する時、アプリケーションサーバへ登録要求を送信する。ＰＣＰの位置情報は、ログオン要求に含まれてもよい。
【００５７】
ブロック３０６：登録要求を受信した後、アプリケーションサーバは、ユーザのＰＣＰにユーザのサービスアカウントを関連付けるか否かについて問合せるメッセージをユーザに送信する。
【００５８】
ブロック３０７：メッセージを受信した後、ユーザがユーザのＰＣＰにサービスアカウントを関連付けることを決定する場合、ブロック３０８へ進み、そうでない場合、ブロック３０９へ進む。
【００５９】
ブロック３０８：ユーザは、アプリケーションサーバへ確認応答を戻す。また、ＰＣＰ位置情報は、ブロック３０５の代わりにこのブロックにおいてアプリケーションサーバに送信されてもよい。ＰＣＰ位置情報がこのブロックでアプリケーションサーバに送信される場合、ブロック３１０へ進み、そうでない場合、ブロック３０９へ進む。
【００６０】
ブロック３０９：ユーザは、アプリケーションサーバへ拒絶関連メッセージを戻す。
【００６１】
ブロック３１０：アプリケーションサーバは、ユーザの関連識別子を生成し、アプリケーションサーバに関連識別子を記憶し、関連要求メッセージを介してＰＣＰ位置情報に従いＰＣＰサーバへ関連識別子を送信する。また、関連要求メッセージは、次元にユーザ識別子及び他の情報を含む。
【００６２】
ブロック３１１：関連要求メッセージを受信した後、ＰＣＰサーバは、ＵＥへプロンプトメッセージを送信し、ユーザのＰＣＰにユーザのサービスアカウントを関連付けることを要求しているアプリケーションサーバがあることをユーザに促す。プロンプトメッセージは、アプリケーションサーバの情報を含む。
【００６３】
ブロック３１２：プロンプト要求を受信した後、ユーザは、ＰＣＰにサービスアカウントを関連付けることを決定する場合、ブロック３１３へ進み、そうでない場合、ブロック３１４へ進む。
【００６４】
ブロック３１３：ユーザは、ＰＣＰサーバへ確認応答を戻し、ブロック３１５へ進む。
【００６５】
ブロック３１４：ユーザは、ＰＣＰサーバへ拒絶メッセージを戻す。また、ＰＣＰサーバは、アプリケーションサーバへ拒絶メッセージを戻してもよく、アプリケーションサーバは、ＵＥへ登録失敗メッセージを戻す。
【００６６】
ブロック３１５：ＵＥから確認応答を受信した後、ＰＣＰサーバは、ユーザのＰＣＰに対してアプリケーションサーバから受信した関連識別子を追加し、アプリケーションサーバに更新成功メッセージを戻す。このブロックにおいて、ＰＣＰサーバは、ユーザのＰＣＰにおける対応する項目に対して関連要求メッセージに含まれた他の関連情報をさらに追加してもよい。
【００６７】
ブロック３１６：更新成功メッセージを受信した後、アプリケーションサーバは、ユーザへサービスアカウント登録成功メッセージを戻す。
【００６８】
この登録過程に対応するユーザのログオン過程は、図４に示される。ブロック４０１から４０４は、図３のブロック３０１から３０４に類似し、ブロック４０５は、ブロック４０４の後に実行される。
【００６９】
ＰＣＰサーバは、登録過程の間にＵＥへユーザのＰＣＰ位置情報を送信したので、ＵＥは、ＰＣＰ位置情報を記憶することができる。故に、ログオン過程では、ＰＣＰサーバは、ブロック４０４でＵＥへＰＣＰ位置情報を送信することができない。代わりに、ＰＣＰサーバは、ＵＥへネットワーク認証情報及びサービス認証情報を送信する。
【００７０】
ブロック４０５：ユーザがログオンアカウント及びパスワードを入力した後、ＵＥは、ＵＥに記憶されたログオンアカウントとパスワードとＰＣＰ位置情報とを含むログオン要求をアプリケーションサーバへ送信する。
【００７１】
ブロック４０６：アプリケーションサーバは、ログオンアカウント及びパスワードの正当性を認証し、認証が成功した場合、ブロック４０８へ進み、そうでない場合、ブロック４０７へ進む。
【００７２】
ブロック４０７：アプリケーションサーバは、ＵＥへログオン失敗メッセージを戻し、ログオン失敗メッセージは、失敗理由を含むことができる。
【００７３】
ブロック４０８：アプリケーションサーバは、ＰＣＰ位置情報に従いＰＣＰサーバへユーザのＰＣＰに記憶された関連識別子を要求する要求メッセージを送信する。要求メッセージは、アプリケーションサーバのユーザ識別子及び関連情報を含む。
【００７４】
ブロック４０９：アプリケーションサーバから要求メッセージを受信した後、ＰＣＰサーバは、アプリケーションサーバのユーザ識別子及び関連情報に従い、関連識別子に関してデータベースに問合せ、アプリケーションサーバへ関連識別子を戻す。
【００７５】
ブロック４１０：アプリケーションサーバは、ＰＣＰサーバが戻した関連識別子を認証し、認証が成功した場合、ブロック４１１へ進み、そうでない場合、ブロック４１２へ進む。
【００７６】
ブロック４１１：アプリケーションサーバは、ログオンの成功をユーザに知らせるログオン成功メッセージをＵＥに戻す。そしてユーザは、特定のサービスについてＵＥを介してアプリケーションサーバと交信することができる。
【００７７】
ブロック４１２：アプリケーションサーバは、ログオンの失敗をユーザに知らせるログオン失敗メッセージをＵＥに戻す。また、アプリケーションサーバは、関連識別子の認証が失敗した失敗理由をユーザに知らせることができる。関連識別子の認証は、ＰＣＰサーバが戻した関連識別子が、アプリケーションサーバに記憶された関連識別子からなるか否かを判断することである。
【００７８】
上記説明は、本発明の第１の実施形態を示す。上記説明から分かる通り、本発明の第１の実施形態では、ＵＥのみがＰＣＰ位置情報を記憶する。また、アプリケーションサーバは、ＰＣＰ位置情報に従いユーザの関連識別子を要求し、関連識別子を認証する。
【００７９】
本発明の実施形態では、ユーザのＰＣＰは、ＵＥにさらに記憶されてもよい。従って、認証実行時、ＵＥは、対応するアプリケーションサーバへＰＣＰの関連識別子を直接送信する。アプリケーションサーバは、関連識別子を認証する。過程は、本発明の第２の実施形態を参照して以下詳細に説明される。
【００８０】
本発明の第２の実施形態における登録過程及びログイン過程は、図５及び６に各々示される。図５に示す登録過程におけるブロック５０１から５０３は、第１の実施形態のブロック３０１から３０３に類似する。ブロック５０３の認証が成功した後、ブロック５０４へ進む。
【００８１】
ブロック５０４：ＰＣＰサーバは、ＰＣＰ位置情報とユーザのＰＣＰとをＵＥへ送信する。ＵＥは、ＰＣＰ位置情報とユーザのＰＣＰとを記憶する。ＰＣＰの内容は、関連情報の一部又は関連情報の全部でもよい。
【００８２】
ブロック５０５から５１０は、ブロック３０５から３１０に類似し、本明細書で繰返されない。これらブロックでは、ＵＥは、ブロック５０５でアプリケーションサーバに登録要求を送信する時、アプリケーションサーバへＰＣＰ位置情報を送信することができる。また、ＵＥは、サービスアカウントにユーザのＰＣＰを関連付けるかに関する問合せに応じて、ブロック５０８でアプリケーションサーバへ送信された確認応答でユーザのＰＣＰ位置情報を伝えることができる。
【００８３】
ブロック５１１：ＰＣＰサーバは、ユーザのＰＣＰを更新する。特に、ＰＣＰサーバは、アプリケーションサーバから受信した関連識別子をユーザのＰＣＰに追加し、ＵＥへＰＣＰ同期更新要求を送信し、ＰＣＰ同期更新要求は、関連識別子を含む。
【００８４】
ブロック５１２：ＰＣＰ同期更新要求を受信した後、ＵＥは、ＵＥに記憶されたＰＣＰにＰＣＰ同期更新要求に含まれた関連識別子を追加し、ＰＣＰサーバにＰＣＰ同期完了メッセージを戻す。
【００８５】
ブロック５１３：ＰＣＰ同期完了メッセージを受信した後、ＰＣＰサーバは、アプリケーションサーバへ更新成功メッセージを戻す。
【００８６】
ブロック５１４は、図３のブロック３１６に類似する。
【００８７】
ブロック５１１の前、即ちＰＣＰサーバがユーザのＰＣＰを更新する前、図３に類似してユーザが判断する追加の問合せブロックがあってもよい。ユーザからの判断を受信すると、ユーザのＰＣＰを更新する。ユーザからの判断を受信した後の詳細な実施形態は、図３のブロック３１１から３１４に類似し、本明細書では繰返されない。
【００８８】
従って、図６に示すログオン過程では、ブロック６０１から６０３は、図５のブロック５０１から５０３に類似する。
【００８９】
ブロック６０４：ＰＣＰサーバは、ＵＥへ認証成功メッセージを戻す。
【００９０】
ブロック６０５：ＵＥは、ＰＣＰのアプリケーションサーバに対応するサービスアカウントとＰＩＮと関連識別子とを含むログオン要求をアプリケーションサーバへ送信する。
【００９１】
ブロック６０６：アプリケーションサーバは、サービスアカウントとＰＩＮと関連識別子とからなる認証を含んで受信した情報に従い、ユーザを認証する。認証が成功した場合、ブロック６０７へ進み、そうでない場合、ブロック６０８へ進む。
【００９２】
ブロック６０７：アプリケーションサーバは、ＵＥへログオン成功メッセージを戻す。
【００９３】
ブロック６０８：アプリケーションサーバは、ＵＥへログオン失敗メッセージを戻す。
【００９４】
上記第１及び第２の実施形態では、ユーザがアプリケーションサーバにログオンする時、アプリケーションサーバは、関連識別子を認証する。本発明の実施形態では、関連識別子の認証は、ＰＣＰサーバによってさらに実行可能であり、これについては本明細書中に第３の実施形態を参照して詳細に説明する。
【００９５】
第３の実施形態の登録過程は、第１の実施形態のそれと類似する。第３の実施形態のログオン過程は、図７に示される。ブロック７０１から７０７は、図４のブロック４０１から４０７に類似する。ブロック７０６では、サービスアカウント及びＰＩＮの認証が成功した後、ブロック７０８へ進む。
【００９６】
ブロック７０８：アプリケーションサーバは、アプリケーションサーバに記憶された関連識別子とユーザ識別子とアプリケーションサーバ情報とを含む認証情報をＰＣＰサーバに送信する。
【００９７】
ブロック７０９：ＰＣＰサーバは、ユーザ識別子に従いユーザのＰＣＰを検索し、ユーザのＰＣＰが認証要求に含まれたものからなる関連識別子を含むか否かを判断する。ユーザのＰＣＰが、認証要求に含まれたものからなる関連識別子を含む場合、認証が成功し、ブロック７１０へ進み、そうでない場合、認証が失敗し、ブロック７１２へ進む。
【００９８】
ブロック７１０：ＰＣＰサーバは、アプリケーションサーバへ認証成功メッセージを戻す。
【００９９】
ブロック７１１：アプリケーションサーバは、ＵＥへログオン成功メッセージを戻す。
【０１００】
ブロック７１２：ＰＣＰサーバは、アプリケーションサーバへ認証失敗メッセージを戻す。
【０１０１】
ブロック７１３：アプリケーションサーバは、ＵＥへログオン失敗メッセージを戻す。
【０１０２】
上記第１から第３の実施形態では、ユーザのサービスアカウントにＰＣＰを関連付けるのに用いる関連識別子は、静的である。関連識別子の安全性をさらに保証するために、関連識別子は、常に更新され、即ち動的に関連識別子を生成することができる。本発明の第４の実施形態は、動的関連識別子によるサービスアカウントの保護を説明するものである。
【０１０３】
第４の実施形態では、サービスアカウントの登録過程は、上記第３の実施形態に類似する。第４の実施形態のログオン過程は、上記３つの実施形態とは以下の点で異なり：アプリケーションサーバがサービスアカウントを用いたログオンが成功したことをユーザに知らせるログオン成功メッセージをＵＥに戻した後、アプリケーションサーバは、サービスアカウントに対応する関連識別子を削除し、又はサービスアカウントに対応する関連識別子を無効に設定する。アプリケーションサーバは、次にユーザがログオンする時、認証に用いる新規関連識別子を生成し、関連識別子を更新するようＰＣＰサーバに要求する更新要求をＰＣＰサーバに送信する。更新要求を受信した後、ＰＣＰサーバは、アプリケーションサーバに対応する関連識別子を更新し、アプリケーションサーバに更新成功メッセージを戻す。
【０１０４】
ユーザのＰＣＰがＵＥに記憶される場合、ＰＣＰサーバ又はアプリケーションサーバは、ＵＥへ新規関連識別子を送信するようさらに要求される。ＵＥは、ＵＥに記憶された関連識別子を更新する。アプリケーションサーバは、ＰＣＰサーバ及びＵＥへ同時に新規関連識別子を送信することができる。その後、ＰＣＰサーバ及びＵＥは、各々関連識別子を更新する。また、アプリケーションサーバは、ＵＥへ新規関連識別子を送信のみすることができる。その後、ＵＥは、アプリケーションサーバに対応する関連識別子を更新するようＰＣＰサーバに知らせる。
【０１０５】
第４の実施形態では、関連識別子の更新は、ログオン成功イベントによってトリガされる。本発明の実施形態では、関連識別子の更新は、例えばログオン成功メッセージを受信した後にユーザが送信した更新要求イベントのような、他のイベントによってもトリガされることがある。また、本発明の実施形態では、関連識別子の更新は、以下の２つのスキームを介して実行可能である。
【０１０６】
第１のスキームは、時間トリガ更新スキーム(time triggered update scheme)である。第１のスキームでは、関連識別子に関する更新時間又は寿命は、予め設定される。更新時間に達して寿命が満了する時、アプリケーションサーバは、関連識別子の更新をトリガし、ＰＣＰサーバの関連識別子を更新し、又はＰＣＰサーバ及びＵＥの両方の関連識別子を更新する。詳細な更新は、第４の実施形態で説明したものと類似し、本明細書で繰返されない。各種サービスに対応する関連識別子は、異なる優先度で設定されてもよい。従って、関連識別子の更新時間及び寿命は、関連識別子の優先度に従い、異なる値に設定することができる。例えば、関連識別子に対する優先度が高くなるほど、関連識別子に対する更新時間及び寿命が短くなる。関連識別子に対する優先度が低くなるほど、関連識別子に対する更新時間及び寿命が長くなる。
【０１０７】
第２のスキームは、時間イベント組合せトリガ更新スキーム(combined time-and-event triggered update scheme)である。第２のスキームは、時間トリガスキーム及びイベントトリガスキームを組合せる。例えば、更新時間に達するか又は寿命が満了した後、関連識別子を更新し、更新時間を記録する。ユーザのログオンが成功し、又はアプリケーションサーバがＵＥから更新要求を受信する等のイベントの後、最近の更新と現在の時間との間の時間間隔が最小更新期間を超過しているか否かを判断する。時間間隔が最小更新期間を超過する場合、関連識別子を更新し、そうでない場合、関連識別子を更新しない。実際の用途では、その他時間及びイベントも、関連識別子の更新に対するトリガとしてもよく、本明細書では説明しない。
【０１０８】
上記説明は、本発明の好ましい実施形態であり、その保護範囲を限定するのに用いるものではない。本発明の範囲内での変更、均等な置換、又は改良の全ては、本発明の保護範囲に含まれる。
【図面の簡単な説明】
【０１０９】
【図１】図１は、ＵＥ及びアプリケーションサーバに対するＰＣＰサーバの接続関係を図示する概略図である。
【図２】図２は、オペレータのネットワークにおけるＰＣＰサーバの位置を図示する概略図である。
【図３】図３は、本発明の実施形態によるサービスアカウントの登録過程を図示するフローチャートである。
【図４】図４は、本発明の実施形態によるアプリケーションサーバにおけるユーザのログオン過程を図示するフローチャートである。
【図５】図５は、本発明の実施形態によるサービスアカウントの登録過程を図示するフローチャートである。
【図６】図６は、本発明の実施形態によるアプリケーションサーバにおけるユーザのログオン過程を図示するフローチャートである。
【図７】図７は、本発明の実施形態によるアプリケーションサーバにおけるユーザのログオン過程を図示するフローチャートである。
【符号の説明】
【０１１０】
１１１  ＰＣＰ生成ユニット
１１２  ＰＣＰ管理ユニット
１１３  ＰＣＰデータベース
【国際調査報告】
2009519515.tif 000018
2009519515.tif 000019
2009519515.tif 000020
2009519515.tif 000021