(57)【要約】      （修正有）【課題】  ネットワーク内のコンテンツに対するユーザーアクセス制御システム及び方法を提供する。【解決手段】  ホームネットワークは、ネットワーク連結された異種の装置及び、ユーザーに家内全体のユーザー及びユーザーグループに対するＡＣＬの一貫的な単一ビューが提供されるホスティングを含む。したがって、ホームネットワーク内のユーザーは、それぞれの個別装置で装置固有のユーザー及びユーザーグループに対するＡＣＬを制御する必要がない。家内全体のユーザー及びユーザーグループに対する家内全体のＡＣＬの変化された事項がそれぞれの装置に伝えられる。また、個別装置での変化が装置固有のユーザー及びユーザーグループに対する装置固有のＡＣＬに対してなされうる。このような変化された事項は、家内全体のユーザー及びユーザーグループに対する家内全体のＡＣＬに伝えられる。【選択図】      図１
2006221637.tif 000002
【特許請求の範囲】
【請求項１】
各装置が装置固有のアクセス制御政策を含む装置より構成されたネットワークでコンテンツに対するユーザーアクセス制御を管理する方法において、
相異なる装置のアクセス制御政策の多様性を、ネットワーク内のユーザーアクセス制御管理を単純化させるアクセス管理政策の単一ビュー内に統合させるステップを含むことを特徴とするユーザーアクセス制御管理方法。
【請求項２】
前記統合ステップは、
前記単一ビューアクセス制御政策を各装置の装置固有のアクセス制御政策にマッピングするステップをさらに含むことを特徴とする請求項１に記載のユーザーアクセス制御管理方法。
【請求項３】
前記統合ステップは、
前記単一ビューアクセス制御政策を、各装置の装置固有のユーザー及びユーザーグループのコンテンツに対するＯＳ固有のアクセス制御政策にマッピングするステップをさらに含むことを特徴とする請求項１に記載のユーザーアクセス制御管理方法。
【請求項４】
前記統合ステップは、
各装置が装置固有のユーザー、ユーザーグループ、及び関連アクセス制御政策を有することを許容するステップをさらに含むことを特徴とする請求項１に記載のユーザーアクセス制御管理方法。
【請求項５】
前記統合ステップは、
前記装置からユーザー情報及びユーザーアクセス制御情報を収集するステップをさらに含むことを特徴とする請求項１に記載のユーザーアクセス制御管理方法。
【請求項６】
前記装置のそれぞれに前記収集した情報を含めるステップをさらに含むことを特徴とする請求項５に記載のユーザーアクセス制御管理方法。
【請求項７】
前記収集ステップは、
各装置がネットワークに連結されている時、前記装置からユーザー情報及びユーザーアクセス制御情報を収集するステップをさらに含むことを特徴とする請求項５に記載のユーザーアクセス制御管理方法。
【請求項８】
前記収集ステップは、
各装置がネットワークで使用可能になる時、前記装置からユーザー情報及びユーザーアクセス制御情報を収集するステップをさらに含むことを特徴とする請求項５に記載のユーザーアクセス制御管理方法。
【請求項９】
前記収集ステップは、
各装置がネットワークで使用可能になる時、前記装置からユーザー情報及びユーザーアクセス制御情報を更新するステップをさらに含むことを特徴とする請求項５に記載のユーザーアクセス制御管理方法。
【請求項１０】
単一ビューアクセス制御を利用して各装置に対するアクセスを制御するステップをさらに含むことを特徴とする請求項１に記載のユーザーアクセス制御管理方法。
【請求項１１】
前記制御ステップは、
前記単一ビューアクセス制御を利用して選択された装置にアクセスするユーザー権限をチェックするステップをさらに含むことを特徴とする請求項１０に記載のユーザーアクセス制御管理方法。
【請求項１２】
各装置が装置固有のアクセス制御政策及びメカニズムを含む多様な異種の装置を含むネットワークにおいて、
前記装置における相異なるアクセス制御政策及びメカニズムの多様性を単一ビューアクセス制御政策に統合し、前記単一ビューアクセス制御政策を利用して前記装置に対するユーザーアクセスを制御する制御器を含み、ネットワークでのユーザーアクセス制御管理を容易にすることを特徴とするネットワーク。
【請求項１３】
前記制御器は、前記単一ビューアクセス制御政策を各装置の装置固有アクセス制御政策にマッピングすることによって、装置の相異なるアクセス制御政策の多様性を統合することを特徴とする請求項１２に記載のネットワーク。
【請求項１４】
前記制御器は、前記単一ビューアクセス制御政策を装置固有のユーザー及びユーザーグループのコンテンツに対するＯＳ固有のアクセス制御政策にマッピングすることによって、装置の相異なるアクセス制御政策の多様性を統合することを特徴とする請求項１２に記載のネットワーク。
【請求項１５】
前記制御器は、各装置が装置固有のユーザー、ユーザーグループ、及び関連アクセス制御政策を有することを許容することによって、装置の相異なるアクセス制御政策の多様性を統合することを特徴とする請求項１２に記載のネットワーク。
【請求項１６】
前記制御器は、前記装置からユーザー情報及びユーザーアクセス制御情報を収集することによって、装置の相異なるアクセス制御政策の多様性を統合することを特徴とする請求項１２に記載のネットワーク。
【請求項１７】
前記制御器は、各装置がネットワークに連結されている時、前記装置から前記情報をさらに収集することを特徴とする請求項１６に記載のネットワーク。
【請求項１８】
前記制御器は、各装置がネットワークで使用可能になる時、前記装置から前記情報をさらに収集することを特徴とする請求項１６に記載のネットワーク。
【請求項１９】
前記制御器は、各装置がネットワークで使用可能になる時、前記装置から前記収集された情報をさらに更新することを特徴とする請求項１６に記載のネットワーク。
【請求項２０】
前記制御器は、前記単一ビューアクセス制御を利用して選択された一つの装置をアクセスするユーザー権限をチェックすることによって、装置に対するアクセスを制御することを特徴とする請求項１２に記載のネットワーク。
【請求項２１】
異種の装置より構成されるネットワークでコンテンツに対するユーザーアクセス制御を管理する方法において、
前記異種の装置における装置固有のアクセス制御政策を、システム全体的な統合されたアクセス制御政策として収集するステップと、
前記システム全体的な統合されたアクセス制御政策を管理するステップとを含むことを特徴とするユーザーアクセス制御管理方法。
【請求項２２】
前記収集ステップは、
前記システム全体的な統合されたアクセス制御政策を各装置の装置固有アクセス制御政策にマッピングするステップをさらに含むことを特徴とする請求項２１に記載のユーザーアクセス制御管理方法。
【請求項２３】
前記収集ステップは、
前記システム全体的な統合されたアクセス制御政策を装置固有のユーザー及びユーザーグループのコンテンツに対するＯＳ固有のアクセス制御政策にマッピングするステップをさらに含むことを特徴とする請求項２１に記載のユーザーアクセス制御管理方法。
【請求項２４】
前記収集ステップは、
各装置が装置固有のユーザー、ユーザーグループ、及び関連アクセス制御政策を有することを許容するステップをさらに含むことを特徴とする請求項２１に記載のユーザーアクセス制御管理方法。
【請求項２５】
前記装置のそれぞれに、前記収集された情報を含めるステップをさらに含むことを特徴とする請求項２１に記載のユーザーアクセス制御管理方法。
【請求項２６】
前記収集ステップは、
各装置がネットワークに連結されている時、前記装置からユーザー情報及びユーザーアクセス制御情報を収集するステップをさらに含むことを特徴とする請求項２１に記載のユーザーアクセス制御管理方法。
【請求項２７】
前記収集ステップは、
各装置がネットワークで使用可能になる時、前記装置からユーザー情報及びユーザーアクセス制御情報を収集するステップをさらに含むことを特徴とする請求項２１に記載のユーザーアクセス制御管理方法。
【請求項２８】
前記収集ステップは、
各装置がネットワークで使用可能になる時、前記装置からユーザー情報及びユーザーアクセス制御情報を更新するステップをさらに含むことを特徴とする請求項２１に記載のユーザーアクセス制御管理方法。
【請求項２９】
システム全体的な統合されたアクセス制御政策を利用して各装置に対するアクセスを制御するステップをさらに含むことを特徴とする請求項２１に記載のユーザーアクセス制御管理方法。
【請求項３０】
前記アクセス制御ステップは、
前記システム全体的な統合されたアクセス制御政策を利用して選択された装置にアクセスするユーザー権限をチェックするステップをさらに含むことを特徴とする請求項２９に記載のユーザーアクセス制御管理方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、一般にネットワーク内の装置に対するユーザーアクセス制御に係り、より詳細には、ホームネットワークのような装置より構成されるネットワーク内のコンテンツ／資源に対するユーザーアクセス制御に関する。
【背景技術】
【０００２】
相互異質的にネットワーキングされたコンピューターネットワークにおいて、ネットワーク内の各装置は、固有の承認されたユーザー／ユーザーグループを有しうる。それぞれのユーザーやユーザーグループは、その装置に対して装置固有のアクセス権限を有する。一般的なユーザーアクセス方法は、中央集中化されたサーバーを提供し、このサーバーは、まずユーザーとユーザーグループを設定し、次に、他の装置と通信して他の装置の固有ユーザー及びユーザーグループを設定するのに使われる。結局、その中央サーバーは、他の装置のユーザー及びユーザーグループに対するマップを保有する。ある装置のユーザーが他の装置にアクセスしようとする時、中央サーバーが第１装置上のユーザーを第２装置上の他のユーザーに転換させて、第２装置上のアクセス権限が照会された後に資源がアクセスまたは拒否されるようにする。
【０００３】
このような通常の役割基盤のアクセス制御システム及び方法では、中央集中化されたユーザープロファイルレジストリを活用してユーザーにアクセス許容されたコンピュータ資源を制御する。ユーザーが所定資源に対するアクセスを要請する時、その要請は、ユーザーと共にユーザーレジストリにまずルーティングされる。ユーザーレジストリは、ユーザープロファイルデータベースを含み、ユーザープロファイルとユーザー固有のアクセス制御リスト(ＡＣＬ)政策とを参照しうる。ユーザーレジストリは、ユーザープロファイルとユーザー固有のＡＣＬ政策とに基盤して前記要請に対するユーザー権限を照会する。その要請がユーザーのＡＣＬ政策と符合される時にのみ、その権限が許容される。
【０００４】
前記通常の中央集中的なユーザー管理の短所のうち一つが、中央サーバーが自身が失敗した誤りの単一ポイントを表すということで、これが全体保安制御システムを転覆させる。前記のような通常の方式のさらに他の短所は、ネットワーク内の装置がそれらのアクセス政策において互いに同一であり(例えば、一ユーザーがネットワーク内の装置で一定に認知可能である)、ネットワーク内に一つの保安システムのみが存在すると前提されるという点である。したがって、前記通常の方法において、ネットワーキングされた異種装置におけるユーザー管理は、中央サーバーが与えられねばならず、他の装置がネットワークに追加される前にまずユーザーとユーザーグループとの設定を必要とする。かかる方法は、ネットワークが予め計画されておらず、装置が不規則な順序でネットワークに追加される家内環境では不適切である。
【０００５】
また、前記通常の方法において、家内環境の装置に対するユーザー管理及びこれらのアクセス制御は問題の余地がある。企業ネットワーク環境の細部事項及び複雑度を理解する熟練した専用システム管理者ではない、家内環境の専用システム管理者が存在する可能性は少ない。また、ホームネットワーク環境内の装置は、企業環境の装置より機能的にさらに多様である。結局、ホームネットワーク環境の資源に対するユーザー管理及びアクセス制御は、装置の異種性の差を統合せねばならず、家内使用に容易にならねばならない。
【発明の開示】
【発明が解決しようとする課題】
【０００６】
本発明が達成しようとする技術的課題は、分散システムにおいて、装置固有のアクセス制御メカニズム及びＯＳ固有のアクセス制御メカニズムの相違性に関係なく、ホームネットワーク環境の資源(すなわち、コンテンツ、装置、及びサービス)に対するユーザー及びユーザーグループのＡＬＣの単一ビューを可能にする方法を提供することである。
【課題を解決するための手段】
【０００７】
一実施形態において、本発明は、ホームネットワークの相異なるユーザーとユーザーグループのための相異なる装置固有及び運用システム(ＯＳ)固有のアクセス制御リスト(ＡＣＬ)を統合する方法を提供する。本発明に係るホームネットワークは、ネットワーキングされた異種の装置とホスティングされたコンテンツとを含み、この時、ユーザーに家内全体のユーザーとユーザーグループに対するＡＣＬの単一ビューが持続的に提供される。かかるホームネットワーク内のユーザーは、それぞれの個別装置で装置固有のユーザー及びユーザーグループのＡＣＬを制御する必要がない。代わりに、ユーザーは、家内全体のユーザーとユーザーグループに対する家内全体のＡＣＬを制御する。家内全体のユーザー及びユーザーグループの家内全体のＡＣＬに対する変化は、個別装置に伝播される。また、他の様態を通じて、本発明は、装置固有のユーザー及びユーザーグループの装置固有ＡＣＬに対する変化も許容する。そのような変化された事項は、その後、家内全体のユーザー及びユーザーグループの家内全体のＡＣＬに伝播される。
【０００８】
したがって、本発明は、各装置をして装置固有のユーザー、ユーザーグループ、及び関連ＡＣＬ政策を有することを許容する。あらゆるユーザーとユーザーグループのプロファイル、及びこれらのＡＣＬが保存されている中央集中的なサーバーは活用されない。代わりに、本発明は、基礎的な異種装置からユーザー及びユーザーＡＣＬを結合する。この結合は、家内ユーザーがユーザーとＡＣＬを管理することを容易にする。しかし、実際のデータは分散方式で実際の装置に保存されうる。結合が失敗する場合にも、ユーザーは、少なくともそれぞれの個別装置でユーザープロファイルを管理することができる。
【０００９】
したがって、従来の中央集中的なユーザープロファイルレジストリとは違って、本発明の一実施形態による改善されたアクセス方法は、それぞれの資源に各ユーザーについてのＡＣＬ情報を添付しようすることである。したがって、中央ユーザープロファイルレジストを必要としない。代わりに、ユーザーがある資源にアクセスしようとする時、アクセスが許可または拒否される前に、その関連ＡＣＬ情報がまず参照される。サーバーの設定及び、そのサーバー上でのユーザー及びユーザーグループの生成は必要としない。それより、本発明は、従来の装置のユーザー管理に基づいて、家内全体のユーザー、ユーザーグループ、及びそれらのＡＣＬの生成を可能にする。これは、トップダウンアプローチ及びボトムアップアプローチの両方をいずれも取るという点から融通性を提供する。
【発明の効果】
【００１０】
本発明によれば、分散システムにおいて、装置固有のアクセス制御メカニズム及びＯＳ固有のアクセス制御メカニズムの相違性に関係なく、ホームネットワーク環境の資源に対するユーザー及びユーザーグループのＡＬＣの単一ビューが可能になる。
【発明を実施するための最良の形態】
【００１１】
本発明の他の実施形態、特徴、及び利点は、添付された図面を参照した以下の説明からさらに明確になる。
【００１２】
図１は、ウェブサーバー８０及びウェブブラウザ８５と通信するために選択的インターフェース６０を通じてインターネット７０と連結される、カムコーダ３０、ＤＶＤ４０、ＰＣ５０のような通常の計算機装置を含むホームネットワーク１０のような典型的なネットワークを示した図である。
【００１３】
ホームネットワーク１０内の各装置は、装置固有のアクセス制御メカニズムを含む。例えば、保安認知（ｓｅｃｕｒｉｔｙ−ａｗａｒｅ)ＵＰｎＰ装置は、これら装置により提供される機能に誰がアクセスできるかを制御するＵＰｎＰ固有のＡＣＬを含みうる。これら装置のうち一部は、コンテンツを保存する保存機能を有する(例えば、画像、ビデオ、オーディオファイルなどを保存しうるＰＣ)。この装置は、誰がそのコンテンツを所有し、どのようにそのコンテンツがアクセスできるか(例えば、“読み取り”、“書き込み”、“実行”など)を表す運用システム固有のＡＣＬ政策を含む。また、一部装置は、ＯＤＲＬ(Ｏｐｅｎ  Ｄｉｇｉｔａｌ  Ｒｉｇｈｔｓ  Ｌａｎｇｕａｇｅ)を利用してコンテンツがどのようにアクセスされ、かつ取り扱れるかを制御するデジタル権限管理(ＤＲＭ：Ｄｉｇｉｔａｌ  Ｒｉｇｈｔｓ  Ｍａｎａｇｅｍｅｎｔ)を含む。ホームネットワーク環境の従来のいろいろなＡＣＬ政策は、家内ユーザーに課題を提供する。ホームネットワーク環境は、企業ネットワーク環境とは違って、熟練したシステム管理者を置かない。ホームネットワークは最小限の技術だけで容易な保安管理を要求する。
【００１４】
したがって、本発明の一実施形態では、ホームネットワーク１０のような分散システムでコンテンツ及び装置の相異なるＡＣＬ政策の多様性をＡＣＬ政策の一定の単一ビュー内に統合させる方法を提供する。ＡＣＬ政策の単一ビューは、ユーザー管理及びＡＣＬ政策制御の監督を単純化させる。システムは、このようなユーザー管理及びＡＣＬ政策の一定の単一ビューを各装置の装置固有ＡＣＬ政策、及び装置固有のユーザー及びユーザーグループのために一つのコンテンツに対するＯＳ−固有のＡＣＬ政策にマッピングする。
【００１５】
一実施形態において、単一ビューＡＣＬシステムは、多様な相異なる装置に対して提供される。このような装置のうち一部は、ＵＰｎＰ保安認知装置を含むが、残りの装置はＵＰｎＰ装置でなく、他のアクセスプロトコルを使用し、これらに内蔵された保安システム(例えば、ウィンドウズ（登録商標）運用システム及び分散要素客体モデル(ＤＣＯＭ)アクセスプロトコルを有するＰＣ)を含むことができる。
【００１６】
図２の機能ブロック図に示された例において、ホームネットワークのＡＣＬシステム９０は、(１)ＵＰｎＰ保安認知的であり、認証エージェント１０２を含む装置１００、(２)制御器モジュール１０４を含む。認証エージェント１０２は、アクセスプロトコル及び装置固有のＡＣＬ政策を含む装置固有のアクセス制御を内蔵したソフトウェアモジュールを含む。認証エージェント１０２の一例として、ＵＰｎＰ保安認知装置の認証エージェントが、時間が限定された状態で誰が装置のサービスをアクセスできるかを特定するＵＰｎＰ
ＡＣＬ政策のリストを含む。認証エージェント１０２の他の例として、ＰＣ認証エージェントが、コンテンツの所有者と、ＰＣ固有のユーザー及びユーザーグループと共にそのコンテンツに対する読み取り／書き込み動作を特定するＡＣＬ政策のリストを含む。
【００１７】
制御器(ソフトウェア)モジュール１０４は、保安コンソールを有するＵＰｎＰ制御ポイント(例えば、図１のネットワーク１０のＰＣ５０)のような、ホームネットワーク内のプロセシング装置で実行され、認証ディレクトリ１０６を含む。認証ディレクトリ１０６は、(１)ユーザー及びユーザーグループマップ１０８、(２)ＡＣＬ政策１１０、及び(３)認証プラグイン１１２の３つの(ソフトウェア)モジュールを含む。ユーザー及びユーザーグループマップ１０８は、ネットワーク内のシステム全体のユーザー及びユーザーグループを含むリストを備える。ＡＣＬ政策１１０は、ＯＲＤＬのような標準フォーマットを通じて結び付けられたシステム全体のＡＣＬ政策を含み、装置上のＡＣＬ、ホームネットワーク環境下のサービス及びコンテンツを記述する。認証プラグイン１１２は、認証エージェント１０２と通信する。
【００１８】
認証プラグイン１１２は、システム全体のユーザー及びユーザーグループを装置固有のユーザー及びユーザーグループにマッピングするマップと、一つの装置との通信に使われる装置固有の通信プロトコルと、装置固有のＡＣＬ政策をＡＣＬ政策１１０のシステム全般のＡＣＬ政策にマッピングするマップとを含む。例えば、“親”というシステム全体のユーザーグループがＰＣウィンドウズ（登録商標）装置の“管理者”という装置固有のユーザーグループにマッピングされる。例えば、“ユーザー“ｇｕｅｓｔ”がc／temp／のファイルにのみアクセスできる”というＡＣＬ政策を表すＰＣウィンドウズ（登録商標）装置上のＡＣＬ政策が、“ユーザー“ｇｕｅｓｔ”がＰＣのゲストディレクトリのみをアクセスできる”というシステム全般的な政策にマッピングされる。
【００１９】
また、制御器モジュール１０４は、ユーザーをしてホームネットワークへの単一サインオンを有させる認証ディレクトリ１１４を含む。認証ディレクトリ１１４は、システム全体のユーザー識別子を提供し、その識別子が認証ディレクトリ１０６により一つのユーザーグループや多重ユーザーグループに属するユーザーとして認識できるようにする。この例において、あらゆる装置は、ＩＥＥＥ  ８０２.１１ｘ、イーサネット（登録商標）のような相異なるネットワークプロトコルを使用して家内環境のネットワーク１１８とネットワーク連結される。
【００２０】
図２のシステムでの単一ビュー認証についての段階的な説明の例が図５に示されたステップ(２００−２１０)と共に以下に説明される。
【００２１】
ステップ２００：装置１００がホームネットワークにオンライン連結される。認証エージェント１０２は、装置固有のＡＣＬを制御器１０４内の認証プラグイン１１２に送る。装置固有のＡＣＬのコンテンツは、認証エージェント１０２に存在する全体ＡＣＬであるか、ＡＣＬ政策１１０内の従来のＡＣＬ及びユーザーとユーザーグループマップ１０８を更新する部分的な装置固有のＡＣＬでありうる。この更新は、装置固有の同期プロトコルを利用して行われうる(例えば、ＳｙｎｃＭＬが同期に使われうる)。
【００２２】
ステップ２０２：認証プラグイン１１２がシステム全体のユーザー及びユーザーグループマップ１０８を更新して、システムの全体ユーザーやユーザーグループにより使われるアプリケーション(例えば、アプリケーション１１６）が装置(例えば、装置１００)上の資源にアクセスしようとする時、システム全体のユーザーやユーザーグループを認証プラグイン１１２を通じて装置固有のユーザー及びユーザーグループにマッピングさせる。
【００２３】
ステップ２０４：認証プラグイン１１２がＡＣＬ政策１１０を更新する。この更新は、装置１００が最初にホームネットワーク内にプラギングされている時にその装置１００の全体ＡＣＬ政策でありうる。この更新は、さらに装置１００がオフラインである時、ＡＣＬが変更される時の部分的なＡＣＬでありうる。この時、装置１００は、オンラインであり、使われる準備状態にある。
【００２４】
ステップ２０６：アプリケーション１１６がユーザーにより始まり、そのアプリケーションは、装置１００の特定資源／コンテンツをアクセスせねばならない。
【００２５】
ステップ２０８：ユーザーがまず認証ディレクトリ１１４により認証される。典型的な認証方法は、本明細書に参照文書として添付された弁護士訴訟事件第ＳＡＭ２Ａ.ＰＡＵ.１０で、かつ共同係留中である出願“ネットワークへの単一サイン−オンのための方法及びシステム”で探しうる。
【００２６】
ステップ２１０：認証後、認証ディレクトリ１１４は、システム全体的なユーザーＩＤを得、それを装置１００に対するアクセス制御権限を照会するように認証ディレクトリ１０６に送る。
【００２７】
ステップ２１２：認証ディレクトリ１０６は、ユーザー及びユーザーグループマップ１０８を照会してユーザーの所属ユーザーグループを探す。
【００２８】
ステップ２１４：その後、認証ディレクトリ１０６は、装置１００のユーザー及びユーザーグループに属するアクセス制御権限のためにＡＣＬ政策からＡＣＬを得る。
【００２９】
ステップ２１６：認証ディレクトリ１０６は、そのユーザーが要請された特定資源をアクセスするように許容されるかを照会する。他の方法として、認証ディレクトリ１０６が照会のためにその要請を認証プラグイン１１２を通じて認証エージェント１０２に伝送することもある。
【００３０】
ステップ２１８：その要請が認可されれば、アプリケーションは、直ちに装置１００の特定資源／コンテンツをアクセスできる。
【００３１】
ステップ２２０：その要請が認可されなければ、要請されたアクセスが拒否される。
【００３２】
他の実施形態において、本発明は、多様な装置の間で単一ビューＡＣＬ取消方法を提供する。装置のうち一部は、ＵＰｎＰ保安認知装置を含みうり、一方、他の装置は、ＵＰｎＰ装置を含まずに他のアクセスプロトコルを使用し、装置中に内蔵された保安システム(例えば、ウィンドウズ（登録商標）運用システム及びＤＣＯＭアクセスプロトコルを有するＰＣ)を含みうる。
【００３３】
一例として、ＡＣＬ取消方法は、図３の動作ブロック図に示されたホームネットワークの典型的なシステム２９０内で具現される。そのシステム２９０は、(１)ＵＰｎＰ保安認知型であり、認証エージェント３０２を含む装置３００、(２)ＵＰｎＰ装置ではなく認証エージェント３０６を含む装置３０４、及び(３)制御器(ソフトウェア)モジュール３０８を含む。認証エージェント３０２及び３０６は、装置固有のアクセスプロトコル及び装置固有のＡＣＬ政策を管理するソフトウェアモジュールでありうる。典型的なＵＰｎＰ保安認知装置の認証エージェント３０２は、拘束条件下で誰が装置のサービスをアクセスできるかを明示するＵＰｎＰ
ＡＣＬ政策のリストを含む。ＰＣ認証エージェント３０６の例は、コンテンツの所有関係、ＰＣ固有のユーザー及びユーザーグループと共にそのコンテンツに対する読み取り／書き込み動作を特定するＡＣＬ政策のリストを含む。
【００３４】
制御器モジュール３０８は、ユーザーをして他の装置のＡＣＬを操作可能にするホームネットワークの保安コンソールを有するＵＰｎＰ制御ポイントのような処理装置上で動作し、認証ディレクトリ３１０を含む。認証ディレクトリ３１０は、ユーザー及びユーザーグループマップ３１４と、ＡＣＬ政策３１２と、それぞれの装置３００及び３０４上の認証エージェント３０２及び３０６とそれぞれ通信する２つの認証プラグイン３１６及び３１８の４個の(ソフトウェア)モジュールとを含む。ユーザー及びユーザーグループマップ３１４は、結合されたシステム全体のユーザー及びユーザーグループを含むリストを備える。ＡＣＬ政策３１２は、装置のＡＣＬ、ホームネットワーク環境下のサービス及びコンテンツを表すＯＲＤＬのような標準フォーマットで結び付けられたシステム全体のＡＣＬ政策を含む。認証プラグイン３１６及び３１８は、それぞれ認証エージェント３０２及び３０６と通信するソフトウェアモジュールを含みうる。認証プラグイン３１６、３１８のそれぞれは、システム全体のユーザー及びユーザーグループを装置固有のユーザー及びユーザーグループにマッピングするマップと、装置との通信に使われる装置固有の通信プロトコルと、装置固有のＡＣＬ政策をＡＣＬ政策３１２内のシステム全体のＡＣＬ政策にマッピングするマップとを含む。例えば、“親”というシステム全体のユーザーグループは、ＰＣウィンドウズ（登録商標）装置の“管理者”という装置固有のユーザーグループにマッピングされる。例えば、“ユーザー“ｇｕｅｓｔ”がｃ／ｔｅｍｐ／のファイルにのみアクセスできる”というＡＣＬ政策を表すＰＣウィンドウズ（登録商標）装置上のＡＣＬ政策が、“ユーザー“ｇｕｅｓｔ”がＰＣのゲストディレクトリのみをアクセスできる“というシステムの全般的な政策にマッピングされる。
【００３５】
また、制御器モジュール３０８は、ユーザーをして家内環境に対する単一サインオンを有させる認証ディレクトリ３２０を含む。認証ディレクトリ３２０は、システム全体的なユーザー識別子を提供し、それが認証ディレクトリ３１０によりユーザーグループや多重ユーザーグループに属するユーザーとして認識できるようにする。この例において、あらゆる装置は、ＩＥＥＥ８０２.１１ｘ、イーサネット（登録商標）のような相異なるネットワークプロトコルを利用して家内環境のネットワーク３２２とネットワーク連結される。
【００３６】
図３の典型的なシステム２９０における取消方法の段階的な説明の例を図６のステップ(４００−４２６)と共に説明する。
【００３７】
ステップ４００：ユーザーＡが他のユーザーＢに所定のアクセス権限を取消しようとする。
【００３８】
ステップ４０２：認証ディレクトリ３２０がユーザーＡを認証する。詳細な認証方法については、本明細書に参照文書として添付された弁護士訴訟事件第ＳＡＭ２Ａ.ＰＡＵ.１０で、かつ共同係留中である出願“ネットワークへの単一サイン−オンのための方法及びシステム”で探しうる。
【００３９】
ステップ４０４：認証ディレクトリ３２０は、ユーザーＡのシステム全体ＩＤを認証ディレクトリ３１０に送る。
【００４０】
ステップ４０６：認証ディレクトリ３１０は、ユーザーＡが、要請された動作に対して許可を受けたのかを照会し、ユーザーＢに対してＡＣＬ政策３１２のＡＣＬを取り消す。
【００４１】
ステップ４０８：認証ディレクトリは、認証プラグイン３１６に取り消し要請を送って装置３００のＡＣＬを取り消す。
【００４２】
ステップ４１０：一方、認証ディレクトリは、同じ取り消し要請を認証プラグイン３１８に送って装置３０４のＡＣＬを取り消す。
【００４３】
ステップ４１２：認証プラグイン３１６は、ユーザー及びユーザーグループマップ３１４からユーザーＢに対する装置３００固有のユーザーＩＤを得る。
【００４４】
ステップ４１４：認証プラグイン３１８は、ユーザー及びユーザーグループマップ３１４からユーザーＢに対する装置３０４固有のユーザーＩＤを得る。
【００４５】
ステップ４１６：認証プラグイン３１６は、システム全体のＡＣＬをユーザーＢに対する装置３００固有のＡＣＬに転換する。
【００４６】
ステップ４１８：認証プラグイン３１８は、システム全体のＡＣＬをユーザーＢに対する装置３０４固有のＡＣＬに転換する。
【００４７】
ステップ４２０：認証プラグイン３１６は、装置固有のＡＣＬ及びユーザーＢに対する装置固有のユーザーＩＤと共に認証エージェント３０２に取り消し要請を送る。
【００４８】
ステップ４２２：認証プラグイン３１８は、装置固有のＡＣＬ及びユーザーＢに対する装置固有のユーザーＩＤと共に認証エージェント３０６に取り消し要請を送る。
【００４９】
ステップ４２４：認証エージェント３０２は、装置３００に対するユーザーＢのＡＣＬを取り消す。
【００５０】
ステップ４２６：認証エージェント３０６は、装置３０４に対するユーザーＢのＡＣＬを取り消す。
【００５１】
他の実施形態において、本発明は、装置上に単一ビュー割当ＡＣＬのための方法(ＳＳＯ方法)を提供し、この装置には内蔵された保安管理装置がない(すなわち、装置上の認証エージェントのようなものがない)。一例で、そのような方法は、図４の動作ブロック図に示されるシステム４９０で具現され、このシステム４９０は、ＵＰｎＰ装置(保安認知装置ではない)の装置５００と制御器モジュール５０４とを含む。装置５００は、保安管理装置を含まないために、どのユーザーも任意の制御ポイントアクセスを許容する結果が生じる。制御器５０４は、保安コンソールを有するＵＰｎＰ制御ポイントのようなプロセシング装置で実行され、認証ディレクトリ５０６を含む。認証ディレクトリ５０６は、(１)ユーザー及びユーザーグループマップ５０８、(２)ＡＣＬ政策５１０、及び(３)認証プラグイン５１２の３つの(ソフトウェア)モジュールを含む。ユーザー及びユーザーグループマップ５０８は、システム前にユーザー及びユーザーグループを羅列するマップを含む。ＡＣＬ政策５１０は、装置でのＡＣＬ、家内環境下のサービス及びコンテンツを表すＯＲＤＬのような標準フォーマットにシステム全体のＡＣＬ政策を含む。認証プラグイン５１２は、装置５００のための保安メカニズムを含むソフトウェアモジュールでありうる。認証プラグイン５１２は、(１)装置５００の資源に対するアクセスを許容するユーザー及びユーザーグループのリスト、(２)装置５００に対するＡＣＬ、(３)システム全体のユーザー及びユーザーグループを装置固有のユーザー及びユーザーグループにマッピングするマップ、(４)システム全体のＡＣＬ政策をＡＣＬ政策５１０の個別装置に対する装置固有のＡＣＬ政策にマッピングするマップを含む。例えば、“親”というシステム全体のユーザーグループは、ＵＰｎＰ装置の“管理者”という装置固有のユーザーグループにマッピングされる。例えば、“ユーザー“ｇｕｅｓｔ”が“制御設定“をアクセスできない”というＡＣＬ政策を示すＵＰｎＰ装置のＡＣＬ政策が、“ユーザー“ｇｕｅｓｔ”がＵＰｎＰ装置の制御設定をアクセスできない”といるシステム全体の政策にマッピングすることである。
【００５２】
また、制御器モジュール５０４は、ユーザーをして家内環境に対する単一サインオンを有することを許容する認証ディレクトリ５１４を含む。認証ディレクトリ５１４は、システム全体のユーザー識別子を提供し、それが認証ディレクトリ５０６により一つのユーザーグループや多重ユーザーグループに属する一つのユーザーとして認識できるようにする。この例で、あらゆる装置は、ＩＥＥＥ８０２.１１ｘ、イーサネット（登録商標）のような相異なるネットワークプロトコルを使用して家内環境のネットワーク５１６とネットワーク連結される。
【００５３】
図４のシステムでのＳＳＯ方法の段階的説明の例が図７に示されたステップ(６００−６１４)を参照して記述される。
【００５４】
ステップ６００：ユーザーＡがユーザーＢに所定のアクセス制御権限を割り当てようとする。
【００５５】
ステップ６０２：認証ディレクトリ５１４がユーザーＡを認証する。詳細な認証方法については、本明細書に参照文書として添付された弁護士訴訟事件第ＳＡＭ２Ａ.ＰＡＵ.１０で、かつ共同係留中である出願“ネットワークへの単一サイン−オンのための方法及びシステム”で探しうる。
【００５６】
ステップ６０４：認証ディレクトリ５１４は、ユーザーＡのシステム全体のユーザーＩＤを認証ディレクトリ５０６に送る。
【００５７】
ステップ６０６：認証ディレクトリ５０６は、ユーザーＢにアクセス制御権限を割り当てるようにユーザーＡの許可のためにＡＣＬ政策５１０を参照する。
【００５８】
ステップ６０８：一旦認証ディレクトリ５０６がユーザーＡが許可されたことを確認すると、認証ディレクトリ５０６は、ＡＣＬ政策５１０を通じて要求された権限をユーザーＢに付与する。
【００５９】
ステップ６１０：認証ディレクトリ５０６は、新たに付与されたシステム全体のＡＣＬを認証プラグイン５１２に送る。
【００６０】
ステップ６１２：認証プラグイン５１２は、システム全体のＡＣＬを装置５００固有のＡＣＬに転換する。
【００６１】
ステップ６１４：認証プラグイン５１２は、自身の内部装置５００固有のＡＣＬを更新する。
【００６２】
この分野の当業者ならば分かるように、本発明は、前記実施形態にのみ限定されるものではない。例えば、代案的な一実施形態を通じて認証ディレクトリが複数の制御器モジュールにわたって分散されていることもある。それぞれの制御器モジュールは、別途の装置上で実行される。例えば、保安コンソールを有する複数のＵＰｎＰ制御ポイントがあり得る。それぞれのＵＰｎＰ制御ポイントは、認証ディレクトリの一部を含む。認証ディレクトリの各部分は、そのコンテンツにおいて分離または重複されていることができる。分離された認証ディレクトリの場合、分散された認証ディレクトリが一つの正常なバーチャル認証ディレクトリを形成する。分散された制御器は、そのような複数のディレクトリを調整し、かつ同期させてこれらがユーザーに対して一貫するようにする。重複された認証ディレクトリの場合、分散された制御器は互いに調整して複数の認証ディレクトリを一つの正常で一貫したバーチャル認証ディレクトリに形成させる。バーチャルディレクトリの一つのエントリが変われば、そのエントリに該当する分散された認証ディレクトリのあらゆるエントリが更新される。当業者ならば分かるように、一貫性更新のために使われうる多様なメカニズムが存在する。典型的な一方法がマスタ／スレーブ方法であるが、ここでは重複された認証ディレクトリの一つの写本がマスタとして指定され、そのマスタ上で常に更新が先に行われ、他の分散ディレクトリの重複部分はマスタが更新された内容を伝播するスレーブとして決まる。
【００６３】
本発明の代案的な他の実施形態において、システムは、認証ディレクトリの複数のコピー本を含む。認証ディレクトリの各写本は、別個の装置上で実行される別個の制御器に含まれる。この写本は、認証ディレクトリに対する一貫したビューを維持するように互いに対等に調整される。一貫性を維持するための多様なメカニズムが使われうる。一例がマスタ／スレーブ技術であって、ここで認証ディレクトリのマスタ写本が常に先に更新され、その後に変更事項がスレーブ写本に送られる。
【００６４】
本発明は、色々な相異なる形態で具現されうるが、本明細書では発明の理解を容易にするための望ましい実施形態に対する図面及び説明のみなされたので、これらが本発明の幅広い様態を制限すると解釈されてはならない。本発明によって前述した典型的な構造は、プロセッサーにより実行されるプログラム命令、ロジック回路、ＡＳＩＣ、ファームウェアといった多様な方式で具現できることを当業者ならば理解できるであろう。したがって、本発明は、ここに説明された実施形態にのみ限定されてはならない。
【００６５】
本発明は、所定の望ましいバージョンを参照して詳細に説明されたが、他のバージョンもありうる。したがって、特許請求の範囲の概念及び範囲は、ここに開示された望ましいバージョンにのみ制限されてはならない。
【産業上の利用可能性】
【００６６】
本発明は、ネットワーク内のコンテンツに対するユーザーアクセス制御システムの関連技術分野に好適に用いられる。
【図面の簡単な説明】
【００６７】
【図１】本発明に係るアクセス制御の実施形態が具現されるネットワークの機能的なブロック図である。
【図２】本発明の一実施形態によるアクセス制御システムの機能的なブロック図である。
【図３】本発明の他の実施形態によるアクセス制御システムの機能的なブロック図である。
【図４】本発明のさらに他の実施形態によるアクセス制御システムの機能的なブロック図である
【図５】図２のシステムで具現されるアクセス制御ステップからなるフローチャートである。
【図６】図３のシステムで具現されるアクセス制御ステップからなるフローチャートである。
【図７】図４のシステムで具現されるアクセス制御ステップからなるフローチャートである。
【符号の説明】
【００６８】
２０  テレビ
３０  カムコーダ
４０  ＤＶＤ
５０  ＰＣ
６０  インターフェース
７０  インターネット
８０  ウェブサーバー
８５  ウェブブラウザ
【図１】
2006221637.tif 000003
【図２】
2006221637.tif 000004
【図３】
2006221637.tif 000005
【図４】
2006221637.tif 000006
【図５】
2006221637.tif 000007
【図６】
2006221637.tif 000008
【図７】
2006221637.tif 000009