(57)【要約】クライアント（２０２）のユーザによる更なる介入を伴わずに、セキュアサーバへのアクセスの要求（３０２）を発行したクライアントのためにセキュアサーバ（２０４ａ）へのアクセスを取得するための、認証サーバ（２０８）で使用されるコンピュータプログラム製品、装置および方法であり；クライアントにセキュアサーバから送信された認証の呼び掛けを受信することと（３０４）；認証サーバのプライベートキーを使用して割り当てられたデジタル署名を有するチケットを生成すること（３１４）からなり；セキュアサーバは、チケットを受信して（３１６）認証サーバのプライベートキーに相応するパブリックキーを使用してデジタル署名を確認することによりクライアントにアクセスを許可する（３１８）。
2005516533.tif 000002
【特許請求の範囲】
【請求項１】
セキュアサーバへのアクセスの要求を発行したクライアントに対してこのクライアントのユーザによる更なる介入を伴わずにセキュアサーバへのアクセスを取得するための認証サーバ内で使用する方法であり：
セキュアサーバによってクライアントに送信された認証の呼び掛けを受信することと；
認証サーバのプライベートキーを使用して割り当てられたデジタル署名を有するチケットを生成することを含み；
チケットを受信するとともに認証サーバのプライベートキーに相応するパブリックキーを使用してデジタル署名を照合したことに応じてセキュアサーバがクライアントにアクセスを許可する方法。
【請求項２】
チケットを生成する前に以前に成功したクライアントの認証に基づいてクライアントを認証することをさらに含む請求項１記載の方法。
【請求項３】
クライアントがセキュリティ信用証明を供給し成功したクライアントの認証の後で認証サーバによって先にクライアントへ送信されたチケット保証チケットをクライアントから受信することを認証が含む請求項２記載の方法。
【請求項４】
クライアントのユーザに属するセキュリティ信用証明をクライアントから受信することと；
セキュリティ信用証明を照合することと；
その照合が成功した際にチケット保証チケットを生成することをさらに含む請求項３記載の方法。
【請求項５】
クライアントからのセキュアサーバへのアクセスの要求に応答してこのクライアントのユーザによる更なる介入を伴わずにセキュアサーバへのアクセスを許可するためのセキュアサーバ内で使用する方法であり：
セキュアサーバによって信用された認証サーバの識別情報を含んだ認証の呼び掛けをクライアントへ送信し、ここでユーザによる介入を伴わずにクライアントが認証サーバに認証の呼び掛けを送信することと；
認証サーバのプライベートキーを使用して割り当てられたデジタル署名を有するチケットを受信することと；
認証サーバのプライベートキーと相応したパブリックキーを使用してデジタル署名を照合することと；
チケットの少なくとも一部分を照合することでクライアントへアクセスを許可することを含む方法。
【請求項６】
チケットの一部分が認証の呼び掛けの少なくとも一断片を含むとともに、許可が：
クライアントにアクセスを許可する前にチケットの中に受信したその認証の呼び掛けの一断片を照合することを含む請求項５記載の方法。
【請求項７】
クライアントからのコンテントの要求に応答してこのクライアントのユーザによる更なる介入を伴わずにセキュアサーバからコンテントを取得するウェブサーバ内で使用する方法であり：
セキュアサーバへコンテントの要求を送信することと；
その要求に応答してセキュアサーバから認証の呼び掛けを受信することと；
認証サーバによる成功したクライアントの認証に基づいて認証サーバによって以前にウェブサーバに送信された転送可能なチケットをセキュアサーバによって信用された認証サーバへ送信することと；
認証サーバのプライベートキーを使用して割り当てられたデジタル署名を有するチケットを認証サーバから受信することと；
そのチケットをセキュアサーバへ送信し、セキュアサーバは認証サーバのプライベートキーに相応したパブリックキーを使用してデジタル署名を照合したことに応じて要求されたコンテントを供給することを含み；
クライアントとの全ての通信は汎用アプリケーション層のネットワークプロトコルを使用する方法。
【請求項８】
クライアントからの要求に応答して転送可能な呼び掛けをクライアントに送信することをさらに含み、この転送可能な呼び掛けはウェブサーバによって信用された認証サーバの識別情報を含んでおり、認証サーバはクライアントを認証しそのクライアント認証に基づいて転送可能なチケットを生成し；
そして認証サーバから転送可能なチケットを受信することをさらに含む請求項７記載の方法。
【請求項９】
セキュアサーバからのコンテントの要求を発行したクライアントに対してこのクライアントのユーザによる更なる介入を伴わずにセキュアサーバからコンテントを取得するための認証サーバ内で使用する方法であり：
その要求に応答してセキュアサーバにより発行された呼び掛けに応答してウェブサーバによって送信された転送可能なチケットを受信し、この転送可能なチケットは認証サーバによるクライアントの成功した認証に基づき認証サーバによって以前にウェブサーバに送信されたものであることと；
認証サーバのプライベートキーを使用して割り当てられたデジタル署名を有するチケットを生成することを含み；
認証サーバのプライベートキーに相応したパブリックキーを使用してデジタル署名を照合したことに応じてセキュアサーバが要求されたコンテントを提供するとともに；
クライアントとの全ての通信は汎用アプリケーション層のネットワークプロトコルを使用する方法。
【請求項１０】
チケットを生成する前に以前に成功したクライアントの認証に基づいてクライアントを認証することをさらに含む請求項９記載の方法。
【請求項１１】
認証は転送可能なチケットを照合することを含む請求項１０記載の方法。
【請求項１２】
クライアントのユーザに属したセキュリティ信用証明をクライアントから受信することと；
セキュリティ信用証明を照合することと；
クライアントの照合が成功した際に転送可能なチケットを生成することをさらに含む請求項９記載の方法。
【請求項１３】
以前に成功した認証に基づいて第２の認証サーバからクライアントへ送信されたチケット保証チケットをクライアントから受信することと；
転送可能なチケットを生成することと；
クライアントに転送可能なチケットを送付し、これに応じてクライアントがウェブサーバにこの転送可能なチケットを送信することをさらに含む請求項９記載の方法。
【請求項１４】
クライアントのユーザに属するセキュリティ信用証明をクライアントから受信することと；
セキュリティ信用証明を照合することと；
照合が成功した際にチケット保証チケットを生成することをさらに含む請求項１３記載の方法。
【請求項１５】
クライアントから送信されウェブサーバによってセキュアサーバに転送されたコンテントの要求に応答してこのクライアントのユーザによる更なる介入を伴わずにセキュアサーバによってホスティングされているコンテントをクライアントに供給するためのセキュアサーバ内で使用する方法であり：
セキュアサーバによって信用された認証サーバの識別情報を含んだ認証の呼び掛けをウェブサーバへ送信し、ここでウェブサーバは認証の呼び掛けを認証サーバへ送信することと；
認証サーバのプライベートキーを使用して割り当てられたデジタル署名を有するチケットを受信することと；
認証サーバのプライベートキーに相応したパブリックキーを使用してデジタル署名を照合することと；
チケットの少なくとも一部分を照合したことに応じてクライアントに要求されたコンテントを供給することを含む方法。
【請求項１６】
チケットの一部分が認証の呼び掛けの少なくとも一断片を含むものであり：
クライアントに要求されたコンテントを供給する前にチケットの中に受信された認証の呼び掛けの一断片を照合することをさらに含む請求項１５記載の方法。
【請求項１７】
クライアントからのアクセス要求に応答してこのクライアントのユーザによる更なる介入を伴わずにセキュアサーバへのアクセスを取得するためのウェブサーバ内で使用する方法であり：
セキュアサーバにコンテントの要求を送信することと；
要求に応答してセキュアサーバから認証の呼び掛けを受信することと；
認証サーバによる成功したクライアントの認証に基づいて認証サーバによって以前にウェブサーバに送信された転送可能なチケットをセキュアサーバによって信用された認証サーバへ送信することと；
認証サーバのプライベートキーを使用して割り当てられたデジタル署名を有するチケットを認証サーバから受信することと；
そのチケットをセキュアサーバへ送信し、セキュアサーバは認証サーバのプライベートキーに相応したパブリックキーを使用してデジタル署名を照合したことに応じてアクセスを許可することを含み；
クライアントとの全ての通信は汎用アプリケーション層のネットワークプロトコルを使用する方法。
【請求項１８】
クライアントからの要求に応答して転送可能な呼び掛けをクライアントに送信することをさらに含み、この転送可能な呼び掛けはウェブサーバによって信用された認証サーバの識別情報を含んでおり、認証サーバはクライアントを認証しそのクライアント認証に基づいて転送可能なチケットを生成し；
そして認証サーバから転送可能なチケットを受信することをさらに含む請求項１７記載の方法。
【請求項１９】
アクセスの要求を発行したクライアントに対してこのクライアントのユーザによる更なる介入を伴わずにセキュアサーバへのアクセスを取得するための認証サーバ内で使用する方法であり：
その要求に応答してセキュアサーバにより発行された呼び掛けに応答してウェブサーバによって送信された転送可能なチケットを受信し、この転送可能なチケットは認証サーバによるクライアントの成功した認証に基づき認証サーバによって以前にウェブサーバに送信されたものであることと；
認証サーバのプライベートキーを使用して割り当てられたデジタル署名を有するチケットを生成することを含み；
セキュアサーバは認証サーバのプライベートキーに相応したパブリックキーを使用してデジタル署名を照合したことに応じてアクセスを許可するとともに；
クライアントとの全ての通信は汎用アプリケーション層のネットワークプロトコルを使用する方法。
【請求項２０】
チケットを生成する前に以前に成功したクライアントの認証に基づいてクライアントを認証することを含む請求項１９記載の方法。
【請求項２１】
認証は転送可能なチケットを照合することを含む請求項２０記載の方法。
【請求項２２】
クライアントのユーザに属したセキュリティ信用証明をクライアントから受信することと；
セキュリティ信用証明を照合することと；
クライアントの照合が成功した際に転送可能なチケットを生成することをさらに含む請求項１９記載の方法。
【請求項２３】
以前に成功した認証に基づいて第２の認証サーバからクライアントへ送信されたチケット保証チケットをクライアントから受信することと；
転送可能なチケットを生成することと；
クライアントに転送可能なチケットを送付し、これに応じてクライアントがウェブサーバにこの転送可能なチケットを送信することをさらに含む請求項１９記載の方法。
【請求項２４】
クライアントのユーザに属するセキュリティ信用証明をクライアントから受信することと；
セキュリティ信用証明を照合することと；
照合が成功した際にチケット保証チケットを生成することをさらに含む請求項２３記載の方法。
【請求項２５】
クライアントから送信されウェブサーバによってセキュアサーバに転送されたアクセスの要求に応答してこのクライアントのユーザによる更なる介入を伴わずにクライアントにアクセスを許可するためのセキュアサーバ内で使用する方法であり：
セキュアサーバによって信用された認証サーバの識別情報を含む認証の呼び掛けをウェブサーバへ送信し、ここでウェブサーバは認証の呼び掛けを認証サーバへ送信することと；
認証サーバのプライベートキーを使用して割り当てられたデジタル署名を有するチケットを受信することと；
認証サーバのプライベートキーに相応したパブリックキーを使用してデジタル署名を照合することと；
チケットの少なくとも一部分を照合したことに応じてクライアントにアクセスを許可することを含む方法。
【請求項２６】
チケットの一部分が認証の呼び掛けの少なくとも一断片を含むものであり：
クライアントに要求されたコンテントを供給する前にチケットの中に受信された認証の呼び掛けの一断片を照合することをさらに含む請求項２５記載の方法。
【請求項２７】
セキュアサーバへのアクセスの要求を発行したクライアントに対してこのクライアントのユーザによる更なる介入を伴わずにセキュアサーバへのアクセスを取得するための認証サーバ内で使用する方法を実施するコンピュータによって実行可能な命令群を包合したコンピュータ読み取り可能な記憶媒体であり、この方法は：
セキュアサーバによってクライアントに送信された認証の呼び掛けを受信することと；
認証サーバのプライベートキーを使用して割り当てられたデジタル署名を有するチケットを生成することを含み；
チケットを受信するとともに認証サーバのプライベートキーに相応するパブリックキーを使用してデジタル署名を照合したことに応じてセキュアサーバがクライアントにアクセスを許可することからなる記憶媒体。
【請求項２８】
方法がチケットを生成する前に以前に成功したクライアントの認証に基づいてクライアントを認証することをさらに含む請求項２７記載の記憶媒体。
【請求項２９】
クライアントがセキュリティ信用証明を供給し成功したクライアントの認証の後で認証サーバによって先にクライアントへ送信されたチケット保証チケットをクライアントから受信することを認証が含むことからなる請求項２８記載の記憶媒体。
【請求項３０】
クライアントのユーザに属するセキュリティ信用証明をクライアントから受信することと；
セキュリティ信用証明を照合することと；
その照合が成功した際にチケット保証チケットを生成することを方法がさらに含むことからなる請求項２９記載の記憶媒体。
【請求項３１】
クライアントからのセキュアサーバへのアクセスの要求に応答してこのクライアントのユーザによる更なる介入を伴わずにセキュアサーバへのアクセスを許可するためのセキュアサーバ内で使用する方法を実施するコンピュータによって実行可能な命令群を包合したコンピュータ読み取り可能な記憶媒体であり、この方法は：
セキュアサーバによって信用された認証サーバの識別情報を含んだ認証の呼び掛けをクライアントへ送信し、ここでユーザによる介入を伴わずにクライアントが認証サーバに認証の呼び掛けを送信することと；
認証サーバのプライベートキーを使用して割り当てられたデジタル署名を有するチケットを受信することと；
認証サーバのプライベートキーと相応したパブリックキーを使用してデジタル署名を照合することと；
チケットの少なくとも一部分を照合することでクライアントへアクセスを許可することを含むことからなる記憶媒体。
【請求項３２】
チケットの一部分が認証の呼び掛けの少なくとも一断片を含むとともに、許可が：
クライアントにアクセスを許可する前にチケットの中に受信したその認証の呼び掛けの一断片を照合することを含むことからなる請求項３１記載の記憶媒体。
【請求項３３】
クライアントからのコンテントの要求に応答してこのクライアントのユーザによる更なる介入を伴わずにセキュアサーバからコンテントを取得するウェブサーバ内で使用する方法を実施するコンピュータによって実行可能な命令群を包合したコンピュータ読み取り可能な記憶媒体であり、この方法は：
セキュアサーバへコンテントの要求を送信することと；
その要求に応答してセキュアサーバから認証の呼び掛けを受信することと；
認証サーバによる成功したクライアントの認証に基づいて認証サーバによって以前にウェブサーバに送信された転送可能なチケットをセキュアサーバによって信用された認証サーバへ送信することと；
認証サーバのプライベートキーを使用して割り当てられたデジタル署名を有するチケットを認証サーバから受信することと；
そのチケットをセキュアサーバへ送信し、セキュアサーバは認証サーバのプライベートキーに相応したパブリックキーを使用してデジタル署名を照合したことに応じて要求されたコンテントを供給することを含み；
クライアントとの全ての通信は汎用アプリケーション層のネットワークプロトコルを使用することからなる記憶媒体。
【請求項３４】
方法が：
クライアントからの要求に応答して転送可能な呼び掛けをクライアントに送信することをさらに含み、この転送可能な呼び掛けはウェブサーバによって信用された認証サーバの識別情報を含んでおり、認証サーバはクライアントを認証しそのクライアント認証に基づいて転送可能なチケットを生成し；
そして認証サーバから転送可能なチケットを受信することをさらに含むことからなる請求項３３記載の記憶媒体。
【請求項３５】
セキュアサーバからのコンテントの要求を発行したクライアントに対してこのクライアントのユーザによる更なる介入を伴わずにセキュアサーバからコンテントを取得するための認証サーバ内で使用する方法を実施するコンピュータによって実行可能な命令群を包合したコンピュータ読み取り可能な記憶媒体であり、この方法は：
その要求に応答してセキュアサーバにより発行された呼び掛けに応答してウェブサーバによって送信された転送可能なチケットを受信し、この転送可能なチケットは認証サーバによるクライアントの成功した認証に基づき認証サーバによって以前にウェブサーバに送信されたものであることと；
認証サーバのプライベートキーを使用して割り当てられたデジタル署名を有するチケットを生成することを含み；
認証サーバのプライベートキーに相応したパブリックキーを使用してデジタル署名を照合したことに応じてセキュアサーバが要求されたコンテントを提供するとともに；
クライアントとの全ての通信は汎用アプリケーション層のネットワークプロトコルを使用することからなる記憶媒体。
【請求項３６】
方法がチケットを生成する前に以前に成功したクライアントの認証に基づいてクライアントを認証することをさらに含む請求項３５記載の記憶媒体。
【請求項３７】
認証は転送可能なチケットを照合することを含むことからなる請求項３６記載の記憶媒体。
【請求項３８】
クライアントのユーザに属したセキュリティ信用証明をクライアントから受信することと；
セキュリティ信用証明を照合することと；
クライアントの照合が成功した際に転送可能なチケットを生成することを方法がさらに含むことからなる請求項３５記載の記憶媒体。
【請求項３９】
以前に成功した認証に基づいて第２の認証サーバからクライアントへ送信されたチケット保証チケットをクライアントから受信することと；
転送可能なチケットを生成することと；
クライアントに転送可能なチケットを送付し、これに応じてクライアントがウェブサーバにこの転送可能なチケットを送信することを方法がさらに含むことからなる請求項３５記載の記憶媒体。
【請求項４０】
クライアントのユーザに属するセキュリティ信用証明をクライアントから受信することと；
セキュリティ信用証明を照合することと；
照合が成功した際にチケット保証チケットを生成することを方法がさらに含むことからなる請求項３９記載の記憶媒体。
【請求項４１】
クライアントから送信されウェブサーバによってセキュアサーバに転送されたコンテントの要求に応答してこのクライアントのユーザによる更なる介入を伴わずにセキュアサーバによってホスティングされているコンテントをクライアントに供給するためのセキュアサーバ内で使用する方法を実施するコンピュータによって実行可能な命令群を包合したコンピュータ読み取り可能な記憶媒体であり、この方法は：
セキュアサーバによって信用された認証サーバの識別情報を含んだ認証の呼び掛けをウェブサーバへ送信し、ここでウェブサーバは認証の呼び掛けを認証サーバへ送信することと；
認証サーバのプライベートキーを使用して割り当てられたデジタル署名を有するチケットを受信することと；
認証サーバのプライベートキーに相応したパブリックキーを使用してデジタル署名を照合することと；
チケットの少なくとも一部分を照合したことに応じてクライアントに要求されたコンテントを供給することを含むことからなる記憶媒体。
【請求項４２】
チケットの一部分が認証の呼び掛けの少なくとも一断片を含むものであり：
クライアントに要求されたコンテントを供給する前にチケットの中に受信された認証の呼び掛けの一断片を照合することを方法がさらに含むことからなる請求項４１記載の記憶媒体。
【請求項４３】
クライアントからのアクセス要求に応答してこのクライアントのユーザによる更なる介入を伴わずにセキュアサーバへのアクセスを取得するためのウェブサーバ内で使用する方法を実施するコンピュータによって実行可能な命令群を包合したコンピュータ読み取り可能な記憶媒体であり、この方法は：
セキュアサーバにコンテントの要求を送信することと；
要求に応答してセキュアサーバから認証の呼び掛けを受信することと；
認証サーバによる成功したクライアントの認証に基づいて認証サーバによって以前にウェブサーバに送信された転送可能なチケットをセキュアサーバによって信用された認証サーバへ送信することと；
認証サーバのプライベートキーを使用して割り当てられたデジタル署名を有するチケットを認証サーバから受信することと；
そのチケットをセキュアサーバへ送信し、セキュアサーバは認証サーバのプライベートキーに相応したパブリックキーを使用してデジタル署名を照合したことに応じてアクセスを許可することを含み；
クライアントとの全ての通信は汎用アプリケーション層のネットワークプロトコルを使用することからなる記憶媒体。
【請求項４４】
方法が：
クライアントからの要求に応答して転送可能な呼び掛けをクライアントに送信することをさらに含み、この転送可能な呼び掛けはウェブサーバによって信用された認証サーバの識別情報を含んでおり、認証サーバはクライアントを認証してそのクライアント認証に基づいて転送可能なチケットを生成し；
そして認証サーバから転送可能なチケットを受信することをさらに含むことからなる請求項４３記載の記憶媒体。
【請求項４５】
アクセスの要求を発行したクライアントに対してこのクライアントのユーザによる更なる介入を伴わずにセキュアサーバへのアクセスを取得するための認証サーバ内で使用する方法を実施するコンピュータによって実行可能な命令群を包合したコンピュータ読み取り可能な記憶媒体であり、この方法は：
その要求に応答してセキュアサーバにより発行された呼び掛けに応答してウェブサーバによって送信された転送可能なチケットを受信し、この転送可能なチケットは認証サーバによるクライアントの成功した認証に基づき認証サーバによって以前にウェブサーバに送信されたものであることと；
認証サーバのプライベートキーを使用して割り当てられたデジタル署名を有するチケットを生成することを含み；
セキュアサーバは認証サーバのプライベートキーに相応したパブリックキーを使用してデジタル署名を照合したことに応じてアクセスを許可するとともに；
クライアントとの全ての通信は汎用アプリケーション層のネットワークプロトコルを使用する記憶媒体。
【請求項４６】
方法がチケットを生成する前に以前に成功したクライアントの認証に基づいてクライアントを認証することをさらに含む請求項４５記載の記憶媒体。
【請求項４７】
認証は転送可能なチケットを照合することを含むことからなる請求項４６記載の記憶媒体。
【請求項４８】
クライアントのユーザに属したセキュリティ信用証明をクライアントから受信することと；
セキュリティ信用証明を照合することと；
クライアントの照合が成功した際に転送可能なチケットを生成することを方法がさらに含むことからなる請求項４５記載の記憶媒体。
【請求項４９】
以前に成功した認証に基づいて第２の認証サーバからクライアントへ送信されたチケット保証チケットをクライアントから受信することと；
転送可能なチケットを生成することと；
クライアントに転送可能なチケットを送付し、これに応じてクライアントがウェブサーバにこの転送可能なチケットを送信することを方法がさらに含むことからなる請求項４５記載の記憶媒体。
【請求項５０】
クライアントのユーザに属するセキュリティ信用証明をクライアントから受信することと；
セキュリティ信用証明を照合することと；
照合が成功した際にチケット保証チケットを生成することを方法がさらに含むことからなる請求項４９記載の記憶媒体。
【請求項５１】
クライアントから送信されウェブサーバによってセキュアサーバに転送されたアクセスの要求に応答してこのクライアントのユーザによる更なる介入を伴わずにクライアントにアクセスを許可するためのセキュアサーバ内で使用する方法を実施するコンピュータによって実行可能な命令群を包合したコンピュータ読み取り可能な記憶媒体であり、この方法は：
セキュアサーバによって信用された認証サーバの識別情報を含む認証の呼び掛けをウェブサーバへ送信し、ここでウェブサーバは認証の呼び掛けを認証サーバへ送信することと；
認証サーバのプライベートキーを使用して割り当てられたデジタル署名を有するチケットを受信することと；
認証サーバのプライベートキーに相応したパブリックキーを使用してデジタル署名を照合することと；
チケットの少なくとも一部分を照合したことに応じてクライアントにアクセスを許可することを含むことからなる記憶媒体。
【請求項５２】
チケットの一部分が認証の呼び掛けの少なくとも一断片を含むものであり：
クライアントに要求されたコンテントを供給する前にチケットの中に受信された認証の呼び掛けの一断片を照合することを方法がさらに含むことからなる請求項５１記載の記憶媒体。
【請求項５３】
セキュアサーバへのアクセスの要求を発行したクライアントに対してこのクライアントのユーザによる更なる介入を伴わずにセキュアサーバへのアクセスを取得するための認証サーバ内で使用する装置であり：
セキュアサーバによってクライアントに送信された認証の呼び掛けを受信する手段と；
認証サーバのプライベートキーを使用して割り当てられたデジタル署名を有するチケットを生成する手段を含み；
チケットを受信するとともに認証サーバのプライベートキーに相応するパブリックキーを使用してデジタル署名を照合したことに応じてセキュアサーバがクライアントにアクセスを許可する装置。
【請求項５４】
チケットを生成する前に以前に成功したクライアントの認証に基づいてクライアントを認証する手段をさらに含む請求項５３記載の装置。
【請求項５５】
クライアントがセキュリティ信用証明を供給し成功したクライアントの認証の後で認証サーバによって先にクライアントへ送信されたチケット保証チケットをクライアントから受信する手段を認証手段が含む請求項５４記載の装置。
【請求項５６】
クライアントのユーザに属するセキュリティ信用証明をクライアントから受信する手段と；
セキュリティ信用証明を照合する手段と；
その照合が成功した際にチケット保証チケットを生成する手段をさらに含む請求項５５記載の装置。
【請求項５７】
クライアントからのセキュアサーバへのアクセスの要求に応答してこのクライアントのユーザによる更なる介入を伴わずにセキュアサーバへのアクセスを許可するためのセキュアサーバ内で使用する装置であり：
セキュアサーバによって信用された認証サーバの識別情報を含んだ認証の呼び掛けをクライアントへ送信する手段を備え、ここでユーザによる介入を伴わずにクライアントが認証サーバに認証の呼び掛けを送信し；
認証サーバのプライベートキーを使用して割り当てられたデジタル署名を有するチケットを受信する手段を備え；
認証サーバのプライベートキーと相応したパブリックキーを使用してデジタル署名を照合する手段を備え；
チケットの少なくとも一部分を照合することでクライアントへアクセスを許可する手段を備えてなる装置。
【請求項５８】
チケットの一部分が認証の呼び掛けの少なくとも一断片を含むとともに、許可手段が：
クライアントにアクセスを許可する前にチケットの中に受信したその認証の呼び掛けの一断片を照合する手段を含む請求項５７記載の装置。
【請求項５９】
クライアントからのコンテントの要求に応答してこのクライアントのユーザによる更なる介入を伴わずにセキュアサーバからコンテントを取得するウェブサーバ内で使用する装置であり：
セキュアサーバへコンテントの要求を送信する手段と；
その要求に応答してセキュアサーバから認証の呼び掛けを受信する手段と；
認証サーバによる成功したクライアントの認証に基づいて認証サーバによって以前にウェブサーバに送信された転送可能なチケットをセキュアサーバによって信用された認証サーバへ送信する手段と；
認証サーバのプライベートキーを使用して割り当てられたデジタル署名を有するチケットを認証サーバから受信する手段と；
そのチケットをセキュアサーバへ送信する手段を含み、ここでセキュアサーバは認証サーバのプライベートキーに相応したパブリックキーを使用してデジタル署名を照合したことに応じて要求されたコンテントを供給し；
クライアントとの全ての通信は汎用アプリケーション層のネットワークプロトコルを使用する装置。
【請求項６０】
クライアントからの要求に応答して転送可能な呼び掛けをクライアントに送信する手段をさらに含み、この転送可能な呼び掛けはウェブサーバによって信用された認証サーバの識別情報を含んでおり、認証サーバはクライアントを認証しそのクライアント認証に基づいて転送可能なチケットを生成し；
そして認証サーバから転送可能なチケットを受信する手段をさらに含む請求項５９記載の装置。
【請求項６１】
セキュアサーバからのコンテントの要求を発行したクライアントに対してこのクライアントのユーザによる更なる介入を伴わずにセキュアサーバからコンテントを取得するための認証サーバ内で使用する装置であり：
その要求に応答してセキュアサーバにより発行された呼び掛けに応答してウェブサーバによって送信された転送可能なチケットを受信する手段を備え、この転送可能なチケットは認証サーバによるクライアントの成功した認証に基づき認証サーバによって以前にウェブサーバに送信されたものであり；
認証サーバのプライベートキーを使用して割り当てられたデジタル署名を有するチケットを生成する手段を備え；
認証サーバのプライベートキーに相応したパブリックキーを使用してデジタル署名を照合したことに応じてセキュアサーバが要求されたコンテントを提供するとともに；
クライアントとの全ての通信は汎用アプリケーション層のネットワークプロトコルを使用する装置。
【請求項６２】
チケットを生成する前に以前に成功したクライアントの認証に基づいてクライアントを認証する手段をさらに含む請求項６１記載の装置。
【請求項６３】
認証手段は転送可能なチケットを照合する手段を含む請求項６２記載の装置。
【請求項６４】
クライアントのユーザに属したセキュリティ信用証明をクライアントから受信する手段と；
セキュリティ信用証明を照合する手段と；
クライアントの照合が成功した際に転送可能なチケットを生成する手段をさらに含む請求項６１記載の装置。
【請求項６５】
以前に成功した認証に基づいて第２の認証サーバからクライアントへ送信されたチケット保証チケットをクライアントから受信する手段と；
転送可能なチケットを生成する手段と；
クライアントに転送可能なチケットを送付する手段を備え、これに応じてクライアントがウェブサーバにこの転送可能なチケットを送信する請求項６１記載の装置。
【請求項６６】
クライアントのユーザに属するセキュリティ信用証明をクライアントから受信する手段と；
セキュリティ信用証明を照合する手段と；
照合が成功した際にチケット保証チケットを生成する手段をさらに含む請求項６５記載の装置。
【請求項６７】
クライアントから送信されウェブサーバによってセキュアサーバに転送されたコンテントの要求に応答してこのクライアントのユーザによる更なる介入を伴わずにセキュアサーバによってホスティングされているコンテントをクライアントに供給するためのセキュアサーバ内で使用する装置であり：
セキュアサーバによって信用された認証サーバの識別情報を含んだ認証の呼び掛けをウェブサーバへ送信する手段を備え、ここでウェブサーバは認証の呼び掛けを認証サーバへ送信し；
認証サーバのプライベートキーを使用して割り当てられたデジタル署名を有するチケットを受信する手段を備え；
認証サーバのプライベートキーに相応したパブリックキーを使用してデジタル署名を照合する手段を備え；
チケットの少なくとも一部分を照合したことに応じてクライアントに要求されたコンテントを供給する手段を備えてなる装置。
【請求項６８】
チケットの一部分が認証の呼び掛けの少なくとも一断片を含むものであり：
クライアントに要求されたコンテントを供給する前にチケットの中に受信された認証の呼び掛けの一断片を照合する手段をさらに備える請求項６７記載の装置。
【請求項６９】
クライアントからのアクセス要求に応答してこのクライアントのユーザによる更なる介入を伴わずにセキュアサーバへのアクセスを取得するためのウェブサーバ内で使用する装置であり：
セキュアサーバにコンテントの要求を送信する手段と；
要求に応答してセキュアサーバから認証の呼び掛けを受信する手段と；
認証サーバによる成功したクライアントの認証に基づいて認証サーバによって以前にウェブサーバに送信された転送可能なチケットをセキュアサーバによって信用された認証サーバへ送信する手段と；
認証サーバのプライベートキーを使用して割り当てられたデジタル署名を有するチケットを認証サーバから受信する手段と；
そのチケットをセキュアサーバへ送信する手段を備え、セキュアサーバは認証サーバのプライベートキーに相応したパブリックキーを使用してデジタル署名を照合したことに応じてアクセスを許可し；
クライアントとの全ての通信は汎用アプリケーション層のネットワークプロトコルを使用する装置。
【請求項７０】
クライアントからの要求に応答して転送可能な呼び掛けをクライアントに送信する手段をさらに含み、この転送可能な呼び掛けはウェブサーバによって信用された認証サーバの識別情報を含んでおり、認証サーバはクライアントを認証しそのクライアント認証に基づいて転送可能なチケットを生成し；
そして認証サーバから転送可能なチケットを受信する手段をさらに含む請求項６９記載の装置。
【請求項７１】
アクセスの要求を発行したクライアントに対してこのクライアントのユーザによる更なる介入を伴わずにセキュアサーバへのアクセスを取得するための認証サーバ内で使用する装置であり：
その要求に応答してセキュアサーバにより発行された呼び掛けに応答してウェブサーバによって送信された転送可能なチケットを受信する手段を備え、この転送可能なチケットは認証サーバによるクライアントの成功した認証に基づき認証サーバによって以前にウェブサーバに送信されたものであり；
認証サーバのプライベートキーを使用して割り当てられたデジタル署名を有するチケットを生成する手段を備え；
セキュアサーバは認証サーバのプライベートキーに相応したパブリックキーを使用してデジタル署名を照合したことに応じてアクセスを許可するとともに；
クライアントとの全ての通信は汎用アプリケーション層のネットワークプロトコルを使用する装置。
【請求項７２】
チケットを生成する前に以前に成功したクライアントの認証に基づいてクライアントを認証する手段を含む請求項７１記載の装置。
【請求項７３】
認証手段は転送可能なチケットを照合する手段を含む請求項７２記載の装置。
【請求項７４】
クライアントのユーザに属したセキュリティ信用証明をクライアントから受信する手段と；
セキュリティ信用証明を照合する手段と；
クライアントの照合が成功した際に転送可能なチケットを生成する手段をさらに含む請求項７１記載の装置。
【請求項７５】
以前に成功した認証に基づいて第２の認証サーバからクライアントへ送信されたチケット保証チケットをクライアントから受信する手段と；
転送可能なチケットを生成する手段と；
クライアントに転送可能なチケットを送付する手段をさらに備え、これに応じてクライアントがウェブサーバにこの転送可能なチケットを送信する請求項７１記載の装置。
【請求項７６】
クライアントのユーザに属するセキュリティ信用証明をクライアントから受信する手段と；
セキュリティ信用証明を照合する手段と；
照合が成功した際にチケット保証チケットを生成する手段をさらに含む請求項７５記載の装置。
【請求項７７】
クライアントから送信されウェブサーバによってセキュアサーバに転送されたアクセスの要求に応答してこのクライアントのユーザによる更なる介入を伴わずにクライアントにアクセスを許可するためのセキュアサーバ内で使用する装置であり：
セキュアサーバによって信用された認証サーバの識別情報を含む認証の呼び掛けをウェブサーバへ送信する手段を備え、ここでウェブサーバは認証の呼び掛けを認証サーバへ送信し；
認証サーバのプライベートキーを使用して割り当てられたデジタル署名を有するチケットを受信する手段を備え；
認証サーバのプライベートキーに相応したパブリックキーを使用してデジタル署名を照合する手段を備え；
チケットの少なくとも一部分を照合したことに応じてクライアントにアクセスを許可する手段を備えてなる装置。
【請求項７８】
チケットの一部分が認証の呼び掛けの少なくとも一断片を含むものであり：
クライアントに要求されたコンテントを供給する前にチケットの中に受信された認証の呼び掛けの一断片を照合する手段をさらに含む請求項７７記載の装置。
【請求項７９】
セキュアサーバへのアクセスの要求を発行したクライアントに対してこのクライアントのユーザによる更なる介入を伴わずにセキュアサーバへのアクセスを取得するプロセスを実行するようプログラムされた少なくとも１台のコンピュータであり、このプロセスは：
セキュアサーバによってクライアントに送信された認証の呼び掛けを受信することと；
認証サーバのプライベートキーを使用して割り当てられたデジタル署名を有するチケットを生成することを含み；
チケットを受信するとともに認証サーバのプライベートキーに相応するパブリックキーを使用してデジタル署名を照合したことに応じてセキュアサーバがクライアントにアクセスを許可することからなるコンピュータ。
【請求項８０】
プロセスがチケットを生成する前に以前に成功したクライアントの認証に基づいてクライアントを認証することをさらに含む請求項７９記載のコンピュータ。
【請求項８１】
クライアントがセキュリティ信用証明を供給し成功したクライアントの認証の後で認証サーバによって先にクライアントへ送信されたチケット保証チケットをクライアントから受信することを認証が含むことからなる請求項８０記載のコンピュータ。
【請求項８２】
クライアントのユーザに属するセキュリティ信用証明をクライアントから受信することと；
セキュリティ信用証明を照合することと；
その照合が成功した際にチケット保証チケットを生成することをプロセスがさらに含むことからなる請求項８１記載のコンピュータ。
【請求項８３】
クライアントからのセキュアサーバへのアクセスの要求に応答してこのクライアントのユーザによる更なる介入を伴わずにセキュアサーバへのアクセスを許可するプロセスを実行するようプログラムされた少なくとも１台のコンピュータであり、このプロセスは：
セキュアサーバによって信用された認証サーバの識別情報を含んだ認証の呼び掛けをクライアントへ送信し、ここでユーザによる介入を伴わずにクライアントが認証サーバに認証の呼び掛けを送信することと；
認証サーバのプライベートキーを使用して割り当てられたデジタル署名を有するチケットを受信することと；
認証サーバのプライベートキーと相応したパブリックキーを使用してデジタル署名を照合することと；
チケットの少なくとも一部分を照合することでクライアントへアクセスを許可することを含むことからなるコンピュータ。
【請求項８４】
チケットの一部分が認証の呼び掛けの少なくとも一断片を含むとともに、許可が：
クライアントにアクセスを許可する前にチケットの中に受信したその認証の呼び掛けの一断片を照合することを含むことからなる請求項８３記載のコンピュータ。
【請求項８５】
クライアントからのコンテントの要求に応答してこのクライアントのユーザによる更なる介入を伴わずにセキュアサーバからコンテントを取得するプロセスを実行するようプログラムされた少なくとも１台のコンピュータであり、このプロセスは：
セキュアサーバへコンテントの要求を送信することと；
その要求に応答してセキュアサーバから認証の呼び掛けを受信することと；
認証サーバによる成功したクライアントの認証に基づいて認証サーバによって以前にウェブサーバに送信された転送可能なチケットをセキュアサーバによって信用された認証サーバへ送信することと；
認証サーバのプライベートキーを使用して割り当てられたデジタル署名を有するチケットを認証サーバから受信することと；
そのチケットをセキュアサーバへ送信し、セキュアサーバは認証サーバのプライベートキーに相応したパブリックキーを使用してデジタル署名を照合したことに応じて要求されたコンテントを供給することを含み；
クライアントとの全ての通信は汎用アプリケーション層のネットワークプロトコルを使用することからなるコンピュータ。
【請求項８６】
プロセスが：
クライアントからの要求に応答して転送可能な呼び掛けをクライアントに送信することをさらに含み、この転送可能な呼び掛けはウェブサーバによって信用された認証サーバの識別情報を含んでおり、認証サーバはクライアントを認証しそのクライアント認証に基づいて転送可能なチケットを生成し；
そして認証サーバから転送可能なチケットを受信することをさらに含むことからなる請求項８５記載のコンピュータ。
【請求項８７】
セキュアサーバからのコンテントの要求を発行したクライアントに対してこのクライアントのユーザによる更なる介入を伴わずにセキュアサーバからコンテントを取得するプロセスを実行するようプログラムされた少なくとも１台のコンピュータであり、このプロセスは：
その要求に応答してセキュアサーバにより発行された呼び掛けに応答してウェブサーバによって送信された転送可能なチケットを受信し、この転送可能なチケットは認証サーバによるクライアントの成功した認証に基づき認証サーバによって以前にウェブサーバに送信されたものであることと；
認証サーバのプライベートキーを使用して割り当てられたデジタル署名を有するチケットを生成することを含み；
認証サーバのプライベートキーに相応したパブリックキーを使用してデジタル署名を照合したことに応じてセキュアサーバが要求されたコンテントを提供するとともに；
クライアントとの全ての通信は汎用アプリケーション層のネットワークプロトコルを使用することからなるコンピュータ。
【請求項８８】
プロセスがチケットを生成する前に以前に成功したクライアントの認証に基づいてクライアントを認証することをさらに含む請求項８７記載のコンピュータ。
【請求項８９】
認証は転送可能なチケットを照合することを含むことからなる請求項８８記載のコンピュータ。
【請求項９０】
クライアントのユーザに属したセキュリティ信用証明をクライアントから受信することと；
セキュリティ信用証明を照合することと；
クライアントの照合が成功した際に転送可能なチケットを生成することをプロセスがさらに含むことからなる請求項８７記載のコンピュータ。
【請求項９１】
以前に成功した認証に基づいて第２の認証サーバからクライアントへ送信されたチケット保証チケットをクライアントから受信することと；
転送可能なチケットを生成することと；
クライアントに転送可能なチケットを送付し、これに応じてクライアントがウェブサーバにこの転送可能なチケットを送信することをプロセスがさらに含むことからなる請求項８７記載のコンピュータ。
【請求項９２】
クライアントのユーザに属するセキュリティ信用証明をクライアントから受信することと；
セキュリティ信用証明を照合することと；
照合が成功した際にチケット保証チケットを生成することをプロセスがさらに含むことからなる請求項９１記載のコンピュータ。
【請求項９３】
クライアントから送信されウェブサーバによってセキュアサーバに転送されたコンテントの要求に応答してこのクライアントのユーザによる更なる介入を伴わずにセキュアサーバによってホスティングされているコンテントをクライアントに供給するプロセスを実行するようプログラムされた少なくとも１台のコンピュータであり、このプロセスは：
セキュアサーバによって信用された認証サーバの識別情報を含んだ認証の呼び掛けをウェブサーバへ送信し、ここでウェブサーバは認証の呼び掛けを認証サーバへ送信することと；
認証サーバのプライベートキーを使用して割り当てられたデジタル署名を有するチケットを受信することと；
認証サーバのプライベートキーに相応したパブリックキーを使用してデジタル署名を照合することと；
チケットの少なくとも一部分を照合したことに応じてクライアントに要求されたコンテントを供給することを含むことからなるコンピュータ。
【請求項９４】
チケットの一部分が認証の呼び掛けの少なくとも一断片を含むものであり：
クライアントに要求されたコンテントを供給する前にチケットの中に受信された認証の呼び掛けの一断片を照合することをプロセスがさらに含むことからなる請求項９３記載のコンピュータ。
【請求項９５】
クライアントからのアクセス要求に応答してこのクライアントのユーザによる更なる介入を伴わずにセキュアサーバへのアクセスを取得するプロセスを実行するようプログラムされた少なくとも１台のコンピュータであり、このプロセスは：
セキュアサーバにコンテントの要求を送信することと；
要求に応答してセキュアサーバから認証の呼び掛けを受信することと；
認証サーバによる成功したクライアントの認証に基づいて認証サーバによって以前にウェブサーバに送信された転送可能なチケットをセキュアサーバによって信用された認証サーバへ送信することと；
認証サーバのプライベートキーを使用して割り当てられたデジタル署名を有するチケットを認証サーバから受信することと；
そのチケットをセキュアサーバへ送信し、セキュアサーバは認証サーバのプライベートキーに相応したパブリックキーを使用してデジタル署名を照合したことに応じてアクセスを許可することを含み；
クライアントとの全ての通信は汎用アプリケーション層のネットワークプロトコルを使用することからなるコンピュータ。
【請求項９６】
プロセスが：
クライアントからの要求に応答して転送可能な呼び掛けをクライアントに送信することをさらに含み、この転送可能な呼び掛けはウェブサーバによって信用された認証サーバの識別情報を含んでおり、認証サーバはクライアントを認証してそのクライアント認証に基づいて転送可能なチケットを生成し；
そして認証サーバから転送可能なチケットを受信することをさらに含むことからなる請求項９５記載のコンピュータ。
【請求項９７】
アクセスの要求を発行したクライアントに対してこのクライアントのユーザによる更なる介入を伴わずにセキュアサーバへのアクセスを取得するプロセスを実行するようプログラムされた少なくとも１台のコンピュータであり、このプロセスは：
その要求に応答してセキュアサーバにより発行された呼び掛けに応答してウェブサーバによって送信された転送可能なチケットを受信し、この転送可能なチケットは認証サーバによるクライアントの成功した認証に基づき認証サーバによって以前にウェブサーバに送信されたものであることと；
認証サーバのプライベートキーを使用して割り当てられたデジタル署名を有するチケットを生成することを含み；
セキュアサーバは認証サーバのプライベートキーに相応したパブリックキーを使用してデジタル署名を照合したことに応じてアクセスを許可するとともに；
クライアントとの全ての通信は汎用アプリケーション層のネットワークプロトコルを使用するコンピュータ。
【請求項９８】
プロセスがチケットを生成する前に以前に成功したクライアントの認証に基づいてクライアントを認証することをさらに含む請求項９７記載のコンピュータ。
【請求項９９】
認証は転送可能なチケットを照合することを含むことからなる請求項９８記載のコンピュータ。
【請求項１００】
クライアントのユーザに属したセキュリティ信用証明をクライアントから受信することと；
セキュリティ信用証明を照合することと；
クライアントの照合が成功した際に転送可能なチケットを生成することをプロセスがさらに含むことからなる請求項９７記載のコンピュータ。
【請求項１０１】
以前に成功した認証に基づいて第２の認証サーバからクライアントへ送信されたチケット保証チケットをクライアントから受信することと；
転送可能なチケットを生成することと；
クライアントに転送可能なチケットを送付し、これに応じてクライアントがウェブサーバにこの転送可能なチケットを送信することをプロセスがさらに含むことからなる請求項９７記載のコンピュータ。
【請求項１０２】
クライアントのユーザに属するセキュリティ信用証明をクライアントから受信することと；
セキュリティ信用証明を照合することと；
照合が成功した際にチケット保証チケットを生成することをプロセスがさらに含むことからなる請求項１０１記載のコンピュータ。
【請求項１０３】
クライアントから送信されウェブサーバによってセキュアサーバに転送されたアクセスの要求に応答してこのクライアントのユーザによる更なる介入を伴わずにクライアントにアクセスを許可するプロセスを実行するようプログラムされた少なくとも１台のコンピュータであり、このプロセスは：
セキュアサーバによって信用された認証サーバの識別情報を含む認証の呼び掛けをウェブサーバへ送信し、ここでウェブサーバは認証の呼び掛けを認証サーバへ送信することと；
認証サーバのプライベートキーを使用して割り当てられたデジタル署名を有するチケットを受信することと；
認証サーバのプライベートキーに相応したパブリックキーを使用してデジタル署名を照合することと；
チケットの少なくとも一部分を照合したことに応じてクライアントにアクセスを許可することを含むことからなるコンピュータ。
【請求項１０４】
チケットの一部分が認証の呼び掛けの少なくとも一断片を含むものであり：
クライアントに要求されたコンテントを供給する前にチケットの中に受信された認証の呼び掛けの一断片を照合することをプロセスがさらに含むことからなる請求項１０３記載のコンピュータ。
【発明の詳細な説明】
【背景】
【０００１】
この開示は一般的にインフォメーション検索と物流システムに関する。より明確に言うと、パブリックキー暗号法を用いたインターネット上でのシングルサインオンに関する。
【０００２】
今日のエンタープライズネットワークにとって異なったハードウェアおよびソフトウェアのシステムの散乱された配置を包含することは一般的なことである。これは会社企業の常に変化しているデータマネージメントのニーズによるためであり、そしてこれらのニーズに応じるために可能なコンピュータハードウェアおよびソフトウェアの継続的進化によるためである。一般的に、一企業内での異なった構成要素（例えば、異なった部署もしくは仕事場）は本質的に異なるソフトウェアアプリケーション、グループウェアシステム、もしくはデータメンテナンス構造／手順を用い、そのうちの１つの構成要素にて作成もしくは保持されたそのようなインフォメーションは他の構成要素にて使用できない。
【０００３】
イントラネットポータルとも呼ばれる企業ポータルはエンタープライズネットワークの異種のシステムを交差して貯蔵されているインフォメーションの入手性および有用性を増進させるため紹介された。一般的に実在するエンタープライズネットワークの上に乗りかかっている企業ポータルはエンタープライズネットワークの本質的に異なるシステムからコンテントを抽出するためとエンドユーザによるそのコンテント抽出を容易で個人用に特化したアクセスを可能にするために設計された。ここに記述されている実現方法の役割および利益はスピードの促進、開放、拡大縮小性、安定性など企業ポータルの環境にとって特に有利なものである間は評価されるものであり、この実現方法の役割および利益はまた広範囲のユーザ底辺に供給する個人用に特化した“ウェブポータル”のような他の環境においても適用される。これに限定するものではないが、例として、企業ポータルの一例はカリフォルニア州サンフランシスコのプラムツリーソフトウェア社のプラムツリー企業ポータルがあり、個人用に特化したウェブポータルの典型的な例としてはカリフォルニア州サニーベールのヤフー社のＭｙＹａｈｏｏ！、そしてカリフォルニア州レッドウッドシティのアットホーム社のＭｙＥｘｃｉｔｅなどがある。企業ポータルは、ここにおいて参照に組み入れてある２００１年６月２９日に提出され通常通り付与された米国特許第０９／８９６０３９号明細書においても記述されている。
【０００４】
図１は複数性のコンテントコンポーネント１０４ないし１１０を包含している企業ポータルシステムに関連した典型的なユーザスクリーン１０２の単純化した概要を示している。１つのコンテントコンポーネントは、他のコンテントコンポーネントと共に、統一化されたコンテントの主要部へと集積されたどのコンテントにも属する。図１の例では、コンテントコンポーネント１０４の社内ニュースのコンテントは、例えば、１つもしくはそれ以上の社内ニュースサーバから抽出され、そしてエンドユーザへの表示用に配列されたニュースのＨＴＭＬ表示を含んでいる。コンテントコンポーネント１０６の株価のコンテントは、例えば、株価のサーバから抽出された、自社と競合会社の株価のＨＴＭＬ表示を包含している。また図１に示されているものとしてコンテントコンポーネント１０８のＥメールとコンテントコンポーネント１１０の顧客関係管理（ＣＲＭ）がある。エンドユーザＩＤ１１２によると、企業ポータルはコンテントコンポーネント１０４ないし１１０を個人用に特化した配置で表示しており（例えば、ニュースを左上に、株価を右上に等）そしてユーザＩＤに基づいてそれぞれのコンテントコンポーネント内でインフォメーションを選択している（例えば、そのユーザ個人のＥメールアカウントのみを表示したり、世界のニュースの上にスポーツニュースを表示したり、そのユーザ個人のＣＲＭインフォメーションのみを表示する等）。図１のユーザスクリーン１０２はユーザ（ジェーン・スミス）がユーザ名とパスワードを供給することで企業ポータルシステムにログインした後に典型的に現れるものであろう。
【０００５】
より一般的には、コンテントコンポーネント自体はハイパーテキストトランスファープロトコル（ＨＴＴＰ）、セキュアハイパーテキストトランスファープロトコル（ＨＴＴＰＳ）、ファイルトランスファープロトコル（ＦＴＰ）、ワイヤレスアプリケーションプロトコル（ＷＡＰ）等のような、どの汎用アプリケーション層のネットワークプロトコルを経由してのどのインフォメーション伝達においても可能である。ネットワークを経由したインフォメーション伝達可能性とはテキストインフォメーション、イメージインフォメーション、エクステンシブルマークアップランゲージ（ＸＭＬ）、ハイパーテキストマークアップランゲージ（ＨＴＭＬ）、または、画像、音響、そして映像を含んだコンピュータファイルに蓄積することができる他のどのインフォメーションの類を含む。この明細書中において、ネットワーク上で送信されたどのインフォメーションもコンテントと呼称する。コンテントコンポーネントという用語は、他のコンテントコンポーネントと共に、統一化されたコンテントの主要部へと集積されたどんなコンテントにも属するものとする。
【０００６】
典型的なコンテントコンポーネントはＥメールクライアントアプリケーションと通信するスクリプトにより生成されたＨＴＭＬアウトプットである。ＥメールクライアントアプリケーションはＥメールを送信および受信する。そのようなアプリケーションはたいていユーザがＥメールを作成し、アドレス帳にＥメールアドレスを蓄積することを可能にさせる。このスクリプトはＥメールクライアントアプリケーションにＨＴＭＬインタフェイスを供給する。このスクリプトはＥメールアプリケーションのホストコンピュータによってホスティングされている。このスクリプトはユーザにＥメールメッセージを作成し送信させるＨＴＭＬの他に、ユーザのＥメールメッセージを表示するＨＴＭＬを生成する。このスクリプトはそのアプリケーションのプログラミングインタフェースを通じてＥメールアプリケーションと通信することができる。この例では、このスクリプトにより生成されたＨＴＭＬがコンテントコンポーネントである（例えば、図１のコンテントコンポーネント１０８を参照）。
【０００７】
他の典型的なコンテントコンポーネントはデータベースアプリケーションと通信するプログラムにより生成された２種類のＨＴＭＬである。このプログラムはデータベースアプリケーションのホストコンピュータと同じコンピュータによるホスティングが可能である。データベースアプリケーションはレコードへと編成されたインフォメーションのデータベースを蓄積し保持する。このプログラムはアプリケーションのインタフェイスを経由してデータベースアプリケーションと通信することができる。このプログラムはユーザにデータベースレコードを検索させるＨＴＭＬを生成する。この場合、コンテントコンポーネントはクエリーボックスである。このプログラムはまたユーザへデータベースのレコードを表示するＨＴＭＬを生成する。この場合、コンテントコンポーネントはデータベースのレコードの表示である（例、図１のコンテントコンポーネント１１０参照）。それ以上のコンテントコンポーネントの例として、カレンダーアプリケーション、ワークフローアプリケーション、個人情報を所有し蓄積しているデータベース、ビジネス情報を所有し蓄積しているデータベース、個人保護情報を蓄積しているデータベース、ビジネス保護情報を蓄積しているデータベース、Ｅビジネスアプリケーション、等により生成されたリソースが含まれるが、これらに限定されるわけではない。
【０００８】
コンテントコンポーネントはここでは“リソースサーバ”と呼ばれているサーバから取得される。いくつかの件では、ここでは“セキュアサーバ”とも呼ばれる保護リソースサーバ上のコンテントへのアクセスを得るためにはセキュリティ証明が必要とされるように、リソースサーバは安全であり得る。
【０００９】
企業ポータルのようなサーバはリソースサーバから可能なコンテントの種類のリストを保持し、ユーザへこれらのコンテントの種類を公示する。ユーザは、インターネット等のネットワーク上のポータルサーバにアクセスするために、ここでは“クライアント”とも呼ばれるユーザターミナルを使用する。ユーザはポータルサーバにより公示されたある一定のコンテントの種類を選択することにより部分的に個人向けにセッティングを設定する。この個人向け操作過程に続いて、ユーザはポータルサーバへ個人向けコンテントに対する要求を送信する。個人向けコンテントは保護リソースサーバ上で記録されているコンテントを含むことが可能である。その結果、ポータルサーバはそれぞれの保護リソースサーバへセキュリティ証明を供給しなければならない。
【００１０】
１つの従来技術の方法によれば、保護リソースサーバが１回のセキュリティ証明を必要する毎に、ポータルサーバはユーザに単に毎回セキュリティ証明を供給するよう強制している。複数のパスワードまたはユーザ識別法を記憶することはたくさんのユーザにとって困難であるので、ユーザはよくパスワードを書きとめたり忘れたりし、または同じパスワードを全ての保護リソースサーバへ使用したりする。これらのユーザの反応は安全面と管理面の問題の可能性をもたらす。
【００１１】
別の従来技術によるとポータルサーバは全ての保護リソースサーバへのユーザセキュリティ証明を収集し蓄積している。保護リソースサーバがセキュリティ証明を要求するたびに、ポータルサーバは単に全てのユーザセキュリティ証明を保護リソースサーバへ供給している。ユーザがセキュリティ証明を何度も何度も入力することを軽減させる間に、この技術は重大な安全面の危険を引き起こす。例えば、保護リソースサーバの１つがユーザをスプーフィングすることにより他の保護リソースサーバへアクセスすることが可能となる。
【００１２】
従来技術によるこれらの問題点を克服するため、近年“シングルサインオン”（ＳＳＯ）と呼ばれる技術が開発されている。ＳＳＯの技術はユーザに認可を受けているコンピュータとシステムに複数のパスワードを入力することなく、単式動作によりアクセスさせる。そのような技術の１つが、ユーザにポータルサーバのような他の構成要素へユーザ認識を委任させる、ケルベロスである。ケルベロスの１つの重大な難点はハイパーテキストトランスファープロトコル（ＨＴＴＰ）やファイルトランスファープロトコル（ＦＴＰ）のような汎用アプリケーション層のプロトコルをサポートしていないことである。ゆえにユーザは、ブラウザに重大な修正が行われない限り、マイクロソフト・インターネット・エクスプローラやネットスケープ・ナビゲータのような一般的なウェブブラウザを通じてケルベロスを使うことができない。また、ケルベロスは“共有された秘密”の安全な分配に頼っていて、それはそれぞれの主材がキー分配センターとシークレットキーを共有しなくてはいけないことを意味する。この必要条件は特に企業の境界を越えたところで管理費用を大いに増大させる。
【００１３】
ネッテグリティ・サイトマインダーやセキュラント・クリアトラストのような、市販用で在庫があってすぐ購入可能ないくつかのＳＳＯ商品は、ＨＴＴＰをアプリケーション層プロトコルとして使用し、ゆえに修正なしのブラウザとも互換性がある。ユーザがこの種のＳＳＯ商品を使用しているウェブサイトに最初に訪れた時、ウェブサイトはユーザ認証を行いそれからブラウザユーザにセッションクッキーのようなトークンを与え、それがユーザに対して、元のウェブサイトを通過するかあるいはユーザ認証を再度行うことなく同じＳＳＯ商品により監視されているその他のウェブサイトへアクセスすることを可能にしている。
【００１４】
別の従来技術による解決法は、マイクロソフトによってコントロールされて、単一の認証を提供するマイクロソフト・パスポートである。パスポートによると、セキュアリソースサーバはマイクロソフト・パスポート・オーセンティケータとシークレットキーを共有する。パスポートの１つの難点は、マイクロソフト・パスポート・オーセンティケータとプライベートキーを共有するために、個々のセキュアリソースサーバがマイクロソフトとのビジネス関係に参入しなければならないということである。
【００１５】
他の従来技術による解決法は、ウェブサイトによって要求されたセキュリティ信用証明を格納し、そしてユーザがそのウェブサイトにブラウザを指図する際にウェブサイトへセキュリティ信用証明を自動的に転送するいくつかのブラウザの能力を特徴とする。そのようなセキュリティ信用証明はセッションクッキー、永続的なクッキーおよびデジタル証明書を含むことができる。この方式の１つの難点は持ち運びできないということである。別のコンピュータ上でこの方式を使用するために、ユーザはそのコンピュータにも同様に信任状をインストールしなければならない。さらに、第２のコンピュータが他のユーザに利用可能な場合、機密漏洩を防ぐためセッションが終了する際には信任状が削除されなければならない。
【概要】
【００１６】
一般的に、本発明の１つの観点において、本発明は、セキュアサーバへのアクセスの要求を発行したクライアントに対してこのクライアントのユーザによる更なる介入を伴わずにセキュアサーバへのアクセスを取得するための認証サーバ内で使用するコンピュータプログラム製品、装置ならびに方法であることを特徴とする。これは、セキュアサーバによってクライアントに送信された認証の呼び掛けを受信することと；認証サーバのプライベートキーを使用して割り当てられたデジタル署名を有するチケットを生成することを含み；チケットを受信するとともに認証サーバのプライベートキーに相応するパブリックキーを使用してデジタル署名を照合したことに応じてセキュアサーバがクライアントにアクセスを許可することからなる。
【００１７】
典型的な実施形態は以下のうちの１つまたは複数の特徴を含むことができる。実施形態は、チケットを生成する前に以前に成功したクライアントの認証に基づいてクライアントを認証することを含むことができる。認証は、クライアントがセキュリティ信用証明を供給し成功したクライアントの認証の後で認証サーバによって先にクライアントへ送信されたチケット保証チケットをクライアントから受信することを含むことができる。実施形態は、クライアントのユーザに属するセキュリティ信用証明をクライアントから受信することと；セキュリティ信用証明を照合することと；その照合が成功した際にチケット保証チケットを生成することを含むことができる。
【００１８】
一般的に、１つの観点において、本発明は、クライアントからのセキュアサーバへのアクセスの要求に応答してこのクライアントのユーザによる更なる介入を伴わずにセキュアサーバへのアクセスを許可するためのセキュアサーバ内で使用するコンピュータプログラム製品、装置ならびに方法であることを特徴とする。これは、セキュアサーバによって信用された認証サーバの識別情報を含んだ認証の呼び掛けをクライアントへ送信し、ここでユーザによる介入を伴わずにクライアントが認証サーバに認証の呼び掛けを送信することと；認証サーバのプライベートキーを使用して割り当てられたデジタル署名を有するチケットを受信することと；認証サーバのプライベートキーと相応したパブリックキーを使用してデジタル署名を照合することと；チケットの少なくとも一部分を照合することでクライアントへアクセスを許可することを含む。
【００１９】
特に、チケットの一部分が認証の呼び掛けの少なくとも一断片を含むとともに、許可がクライアントにアクセスを許可する前にチケットの中に受信したその認証の呼び掛けの一断片を照合することを含んでいる。
【００２０】
一般的に、１つの観点において、本発明は、クライアントからのコンテントの要求に応答してこのクライアントのユーザによる更なる介入を伴わずにセキュアサーバからコンテントを取得するウェブサーバ内で使用するコンピュータプログラム製品、装置ならびに方法であることを特徴とする。これは、セキュアサーバへコンテントの要求を送信することと；その要求に応答してセキュアサーバから認証の呼び掛けを受信することと；認証サーバによる成功したクライアントの認証に基づいて認証サーバによって以前にウェブサーバに送信された転送可能なチケットをセキュアサーバによって信用された認証サーバへ送信することと；認証サーバのプライベートキーを使用して割り当てられたデジタル署名を有するチケットを認証サーバから受信することと；そのチケットをセキュアサーバへ送信し、セキュアサーバは認証サーバのプライベートキーに相応したパブリックキーを使用してデジタル署名を照合したことに応じて要求されたコンテントを供給することを含み；クライアントとの全ての通信は汎用アプリケーション層のネットワークプロトコルを使用する。
【００２１】
典型的な実施形態は、クライアントからの要求に応答して転送可能な呼び掛けをクライアントに送信することをさらに含み、この転送可能な呼び掛けはウェブサーバによって信用された認証サーバの識別情報を含んでおり、認証サーバはクライアントを認証しそのクライアント認証に基づいて転送可能なチケットを生成し；そして認証サーバから転送可能なチケットを受信することを含んでいる。
【００２２】
一般的に、１つの観点において、本発明は、セキュアサーバからのコンテントの要求を発行したクライアントに対してこのクライアントのユーザによる更なる介入を伴わずにセキュアサーバからコンテントを取得するための認証サーバ内で使用するコンピュータプログラム製品、装置ならびに方法であることを特徴とする。これは、その要求に応答してセキュアサーバにより発行された呼び掛けに応答してウェブサーバによって送信された転送可能なチケットを受信し、この転送可能なチケットは認証サーバによるクライアントの成功した認証に基づき認証サーバによって以前にウェブサーバに送信されたものであることと；認証サーバのプライベートキーを使用して割り当てられたデジタル署名を有するチケットを生成することを含み；認証サーバのプライベートキーに相応したパブリックキーを使用してデジタル署名を照合したことに応じてセキュアサーバが要求されたコンテントを提供するとともに；クライアントとの全ての通信は汎用アプリケーション層のネットワークプロトコルを使用する。
【００２３】
典型的な実施形態は以下のうちの１つまたは複数の特徴を含むことができる。実施形態は、チケットを生成する前に以前に成功したクライアントの認証に基づいてクライアントを認証することを含むことができる。認証は、転送可能なチケットを照合することを含むことができる。実施形態は、クライアントのユーザに属するセキュリティ信用証明をクライアントから受信することと；セキュリティ信用証明を照合することと；その照合が成功した際に転送可能なチケットを生成することを含むことができる。実施形態は、以前に成功した認証に基づいて第２の認証サーバからクライアントへ送信されたチケット保証チケットをクライアントから受信することと；転送可能なチケットを生成することと；クライアントに転送可能なチケットを送付し、これに応じてクライアントがウェブサーバにこの転送可能なチケットを送信することを含むことができる。実施形態は、クライアントのユーザに属するセキュリティ信用証明をクライアントから受信することと；セキュリティ信用証明を照合することと；照合が成功した際にチケット保証チケットを生成することを含むことができる。
【００２４】
一般的に、１つの観点において、本発明は、クライアントから送信されウェブサーバによってセキュアサーバに転送されたコンテントの要求に応答してこのクライアントのユーザによる更なる介入を伴わずにセキュアサーバによってホスティングされているコンテントをクライアントに供給するためのセキュアサーバ内で使用するコンピュータプログラム製品、装置ならびに方法であることを特徴とする。これは、セキュアサーバによって信用された認証サーバの識別情報を含んだ認証の呼び掛けをウェブサーバへ送信し、ここでウェブサーバは認証の呼び掛けを認証サーバへ送信することと；認証サーバのプライベートキーを使用して割り当てられたデジタル署名を有するチケットを受信することと；認証サーバのプライベートキーに相応したパブリックキーを使用してデジタル署名を照合することと；チケットの少なくとも一部分を照合したことに応じてクライアントに要求されたコンテントを供給することを含む。
【００２５】
典型的な実施形態において、チケットの一部分が認証の呼び掛けの少なくとも一断片を含むものであり、実施形態はクライアントに要求されたコンテントを供給する前にチケットの中に受信された認証の呼び掛けの一断片を照合することを含む。
【００２６】
一般的に、１つの観点において、本発明は、クライアントからのアクセス要求に応答してこのクライアントのユーザによる更なる介入を伴わずにセキュアサーバへのアクセスを取得するためのウェブサーバ内で使用するコンピュータプログラム製品、装置ならびに方法であることを特徴とする。これは、セキュアサーバにコンテントの要求を送信することと；要求に応答してセキュアサーバから認証の呼び掛けを受信することと；認証サーバによる成功したクライアントの認証に基づいて認証サーバによって以前にウェブサーバに送信された転送可能なチケットをセキュアサーバによって信用された認証サーバへ送信することと；認証サーバのプライベートキーを使用して割り当てられたデジタル署名を有するチケットを認証サーバから受信することと；そのチケットをセキュアサーバへ送信し、セキュアサーバは認証サーバのプライベートキーに相応したパブリックキーを使用してデジタル署名を照合したことに応じてアクセスを許可することを含み；クライアントとの全ての通信は汎用アプリケーション層のネットワークプロトコルを使用する。
【００２７】
典型的な実施形態は、クライアントからの要求に応答して転送可能な呼び掛けをクライアントに送信することをさらに含み、この転送可能な呼び掛けはウェブサーバによって信用された認証サーバの識別情報を含んでおり、認証サーバはクライアントを認証しそのクライアント認証に基づいて転送可能なチケットを生成し；そして認証サーバから転送可能なチケットを受信することを含むことができる。
【００２８】
一般的に、１つの観点において、本発明は、アクセスの要求を発行したクライアントに対してこのクライアントのユーザによる更なる介入を伴わずにセキュアサーバへのアクセスを取得するための認証サーバ内で使用するコンピュータプログラム製品、装置ならびに方法であることを特徴とする。これは、その要求に応答してセキュアサーバにより発行された呼び掛けに応答してウェブサーバによって送信された転送可能なチケットを受信し、この転送可能なチケットは認証サーバによるクライアントの成功した認証に基づき認証サーバによって以前にウェブサーバに送信されたものであることと；認証サーバのプライベートキーを使用して割り当てられたデジタル署名を有するチケットを生成することを含み；セキュアサーバは認証サーバのプライベートキーに相応したパブリックキーを使用してデジタル署名を照合したことに応じてアクセスを許可するとともに；クライアントとの全ての通信は汎用アプリケーション層のネットワークプロトコルを使用する。
【００２９】
典型的な実施形態は以下のうちの１つまたは複数の特徴を含むことができる。実施形態は、チケットを生成する前に以前に成功したクライアントの認証に基づいてクライアントを認証することを含むことができる。認証は、転送可能なチケットを照合することを含むことができる。実施形態は、クライアントのユーザに属するセキュリティ信用証明をクライアントから受信することと；セキュリティ信用証明を照合することと；その照合が成功した際に転送可能なチケットを生成することを含むことができる。実施形態は、以前に成功した認証に基づいて第２の認証サーバからクライアントへ送信されたチケット保証チケットをクライアントから受信することと；転送可能なチケットを生成することと；クライアントに転送可能なチケットを送付し、これに応じてクライアントがウェブサーバにこの転送可能なチケットを送信することを含むことができる。実施形態は、クライアントのユーザに属するセキュリティ信用証明をクライアントから受信することと；セキュリティ信用証明を照合することと；照合が成功した際にチケット保証チケットを生成することを含むことができる。
【００３０】
一般的に、１つの観点において、本発明は、クライアントから送信されウェブサーバによってセキュアサーバに転送されたアクセスの要求に応答してこのクライアントのユーザによる更なる介入を伴わずにクライアントにアクセスを許可するためのセキュアサーバ内で使用するコンピュータプログラム製品、装置ならびに方法であることを特徴とする。これは、セキュアサーバによって信用された認証サーバの識別情報を含む認証の呼び掛けをウェブサーバへ送信し、ここでウェブサーバは認証の呼び掛けを認証サーバへ送信することと；認証サーバのプライベートキーを使用して割り当てられたデジタル署名を有するチケットを受信することと；認証サーバのプライベートキーに相応したパブリックキーを使用してデジタル署名を照合することと；チケットの少なくとも一部分を照合したことに応じてクライアントにアクセスを許可することを含む。
【００３１】
典型的な実施形態は以下のうちの１つまたは複数の特徴を含むことができる。チケットの一部分が認証の呼び掛けの少なくとも一断片を含むものであり、実施形態は、クライアントに要求されたコンテントを供給する前にチケットの中に受信された認証の呼び掛けの一断片を照合することを含むことができる。本発明の１つあるいは複数の実施例ついて、添付図面を参照しながら以下詳細に記述する。本発明のその他の特徴は以下の説明および添付図面、ならびに請求の範囲によって明らかにされる。
【００３２】
本明細書中で使用される各参照符号の最初の数字は、その参照符号が最初に表記された図面の番号を示している。
【詳細な説明】
【００３３】
ここに使用されている“クライアント”および“サーバ”という用語は一般に電子装置かメカニズムを示し、“メッセージ”という用語は一般にデジタルメッセージを表わす電子信号を示している。ここに使用されている“メカニズム”という用語はハードウェア、ソフトウェアあるいはそれらの任意の組み合わせを示す。これらの用語は以下の記述を簡略化するために使用されている。クライアント、サーバ、およびここに記述されたメカニズムは任意の標準の汎用コンピュータ上で実装することができるか、あるいは専門の装置として実装することができる。
【００３４】
認証システム２００の実施形態について図２を参照しながら記述する。クライアント２０２は、ユーザがインターネット、企業ネットワーク、あるいは他の任意の種類のネットワークまたはネットワークの組み合わせ等のネットワーク２０６にアクセスすることを可能にする。任意の数のクライアント２０２がネットワーク２０６に接続することができる。複数のセキュアサーバ２０４Ａないし２０４Ｂがネットワーク２０６に接続されている。セキュアサーバ２０４はクライアント２０２がセキュアサーバ２０４にアクセスする前に認証され許可されることを必要としているため“セキュア”と言われる。以下に詳細に記述するように、ネットワーク２０６に接続されているのは認証サーバ２０８であり、それはセキュアサーバ２０４に要求されているようにクライアント２０２を認証することができる。１つの実施形態において、サーバおよびクライアント間の接続がセキュア・ソケット・レイヤー（ＳＳＬ）接続として実行される。
【００３５】
ディレクトリ２１０とクリデンシャルキャッシュ２１２は認証サーバ２０８に接続されている。ディレクトリ２１０とクリデンシャルキャッシュ２１２のそれぞれはデータベース、メモリ等に格納されたテーブルなどとして実装することが可能である。
【００３６】
クライアント２０２がセキュアサーバ２０４Ａにアクセスするためにユーザのセキュリティ信用証明を提供することを要求される場合の認証システム２００のオペレーションについて、図３を参照しながら記述する。クライアント２０２のユーザは、セキュアサーバ２０４Ａによってホスティングされているデータ、サービス、リソースまたはその他同種のものにアクセスすることを望んでいる。したがってユーザはセキュアサーバ２０４Ａへのアクセスのためにクライアント２０２へ要求を発行する。その要求はキーボードにタイプ入力されたコマンド、マウスのクリック、または同等な形式とすることができる。その要求に応じて、クライアント２０２はセキュアサーバ２０４Ａへこのセキュアサーバ２０４Ａへのアクセスを要求する要求メッセージを送信する（行為３０２）。その応答として、セキュアサーバ２０４Ａはクライアント２０２の認証を要求した認証の呼び掛けメッセージをクライアント２０２へ送信する（行為３０４）。
【００３７】
一実施形態において、認証の呼び掛けは、現在の時間、セキュアサーバ２０４Ａの識別情報、セキュアサーバ２０４Ａから見られるインターネットプロトコル（ＩＰ）アドレス、ランダムな番号、およびセキュアサーバ２０４Ａに信頼されている認証サーバの識別情報（この場合認証サーバ２０８の識別情報）を含んでいる。
【００３８】
クライアント２０２は、ユーザの介入なしで、照会文字列として認証サーバ２０８に対する認証の呼び掛けを転送する（行為３０６）。関連技術においてよく知られているように、転送は標準のブラウザオペレーションである。クライアント２０２はまた照会文字列の中にそのユニフォームリソースロケータ（ＵＲＬ）と、そして、もしセキュアサーバ２０４Ａによって指定されれば、以下に議論されているチケット保証チケット（ＴＧＴ）への最大のタイムアウトを伝達する。認証サーバ２０８は、安全なサーバ２０４Ａによって指定されたものあるいは内部もののうちのより小さいタイムアウトを使用し、その結果、もし認証サーバ２０８が通常６時間ＴＧＴを与えて、３時間だけが経過したとしても、サーバ自体が１時間のタイムアウトを指定していたならば、ユーザはユーザの信任証書を再び示さなければならない。
【００３９】
その応答として、認証サーバ２０８はクライアント２０２へ認証する側の呼び掛けメッセージを送信する（行為３０８）。その応答として、クライアント２０２はセキュリティ信用証明メッセージを認証サーバ２０８へ送信する（行為３１０）。セキュリティ信用証明メッセージはクライアント２０２のユーザに属するセキュリティ信用証明を少なくとも１つ含んでいる。認証サーバ２０８は、パスワード、呼び掛けへの返答、デジタル証書、トークン、スマートカード、生物測定学、またはそれらの任意の組み合わせを含む、クライアント２０２を認証するためにＨＴＴＰを通して伝送されることが可能な任意の信用証明を使用することができ、ライトウェイト・ディレクトリ・アクセス・プロトコル（ＬＤＡＰ）、マイクロソフト・ウィンドウズ（登録商標）・ＮＴ・ＬＡＮ・マネージャ（ＮＴＬＭ）、またはその他のプロトコルを介した任意のバックエンドディレクトリに対して認証することができる。
【００４０】
認証サーバ２０８はクライアント２０２を認証する（行為３１２）。ディレクトリ２１０はセキュアサーバ２０４Ａへのアクセスを許可されたそれぞれのユーザのエントリを含んでいる。それぞれのエントリはそれぞれの許可されたユーザに属する１つまたはそれ以上のセキュリティ信用証明を含んでいる。認証サーバ２０８は、例えば、ディレクトリ２１０中のセキュリティ信用証明とセキュリティ信用証明メッセージ中で受信されたセキュリティ信用証明との比較等のセキュリティ信用証明の確認によって、クライアント２０２を認証する。成功した認証に際して、認証サーバ２０８はチケットおよびチケット保証チケットを含めてクライアント２０２にメッセージを送信する（行為３１４）。
【００４１】
チケットはクライアント２０２にセキュアサーバ２０４Ａへ自動的にアクセスさせることができる。チケットは認証の呼び掛けからの情報に加え、認証サーバ２０８のＵＲＬ、認証サーバ２０８にとって独自のユーザ識別子（ＩＤ）、そして、（時計の同期問題を防ぐため）認証の呼び掛けで明らかになった時間へ構成可能なタイムアウト期間を加えることにより生成された有効期限を含む。認証サーバ２０８は、さらにパブリック−プライベートキーのペアからのプライベートキーを使用して、チケットにデジタル署名を付加する。この呼び掛けおよび／またはチケットは、照会文字列中において信頼できるサポートを行うためには長過ぎる可能性がある。その場合、自動フォームポストのような他のメカニズムによって同じことを遂行することができる。
【００４２】
図４を参照しながら以下に議論されているように、チケット保証チケット（ＴＧＴ）は認証サーバ２０８へ再度セキュリティ信用証明を送信することなくクライアント２０２にセキュアサーバ２０４Ａ以外のセキュアサーバへのチケットを取得させることができる。認証サーバ２０８はまたそれ自身のクッキーデータベースへＴＧＴをプログラムによって加える。
【００４３】
クライアント２０２はユーザの介入なしにセキュアサーバ２０４Ａへチケットを転送する（行為３１６）。セキュアサーバ２０４Ａは信用された認証サーバのＵＲＬをキーとして使用し、信用された認証サーバのテーブルの中で認証サーバ２０８を検索する。エントリを発見すると、セキュアサーバ２０４Ａは以前チケットへのデジタル署名に適用していたプライベートキーと相応するパブリックキーを検索し、デジタル署名を照合するためにそれを使用してクライアント２０２のアクセスを許可する（これは、セッションを確立するということである）。セキュアサーバ２０４Ａはクライアント２０２に許可メッセージを送信する（行為３１８）。セキュアサーバ２０４Ａはいくつかの従来のメカニズムのうちのいずれによってでもクライアントの識別情報を維持することができる。例えば、セキュアサーバ２０４Ａはチケットをクッキーとして蓄積し要求毎に再検証することを選択することができ、または伝統的なセッションクッキーを使用することもできる。セッションが盗まれることを防ぐためにＳＳＬが好適に使用される。
【００４４】
一実施形態において、チケットはセキュアサーバ２０４より送信された認証の呼び掛けの少なくとも一部を含んでいる。この実施形態によれば、セキュアサーバ２０４はクライアントにアクセスを許可する前にチケットのその箇所の有無を照合する。
【００４５】
クライアント２０２が再度ユーザのセキュリティ信用証明を送信することなく異なったセキュアサーバ２０４Ｂへアクセスする際の認証システム２００のオペレーションについて、図４を参照しながら記述する。この例において、このオペレーションは図３を参照しながら記述されているオペレーションに続くものである。クライアント２０２は異なったセキュアサーバ２０４Ｂに要求を送信し（行為４０２）、セキュアサーバ２０４Ｂは認証の呼び掛けとして返答する（行為４０４）。クライアント２０２は認証の呼び掛けを認証サーバ２０８へ転送し、そしてユーザの介入なしに認証サーバ５０８より以前に受信したＴＧＴを含める（行為４０６）。
【００４６】
認証サーバ２０８はそのＴＧＴを照合することによりクライアント２０２を認証する（行為４０８）。一実施形態において、そのＴＧＴはクリデンシャルキャッシュ２１２への検索として役立つランダムな番号を含んでいるクッキーである。このクッキーは認証する側の構成可能なパラメータによるセッションクッキーまたは実在するクッキーとして設定することができ、そして好適にはセキュアフラッグと共にセットされ、ＳＳＬのみを介しかつ認証サーバ２０８のみに送信される、可能な最も制されたパスである。さらに、認証サーバ２０８はクライアント２０２がそのクッキーをどれだけの間保持し続けるかとは関係なくクリデンシャルキャッシュ２１２中に自身の有効期限を保持し遂行する。そのクッキーが満期になった時、認証サーバ２０８はクライアント２０２へ再度有効な信用証明を要求する。認証サーバ２０８はＴＧＴの使用に対して、全ての要求は同一のＩＰアドレスからきた特定のＴＧＴを使用していることを調査する等の追加制限を行使することができる。
【００４７】
認証サーバ２０８は、この認証サーバ２０８のプライベートキーを使用してチケットへデジタル署名を適用した後セキュアサーバ２０４へのチケットをクライアント２０２へ送信する（行為４１０）。クライアント２０２はユーザの介入なしにセキュアサーバ２０４Ｂへチケットを転送する（行為４１２）。デジタル署名の確認により、セキュアサーバ２０４はクライアント２０２へ許可メッセージを送信することでクライアント２０２へアクセスを許可する（行為４１４）。
【００４８】
クライアントがデレゲートサーバを使用してセキュアサーバへアクセスする認証システム５００の実施形態について図５を参照しながら記述する。デレゲートサーバはセキュアサーバにアクセスするためにクライアントに代わって動作するサーバである。デレゲートサーバはポータルサーバならびにそれと同様なものを含む。クライアント５０２はユーザにインターネット、企業ネットワーク、あるいはその他いずれかの種類のネットワークまたはネットワークの組み合わせ等のネットワーク５０６へのアクセスを許可する。クライアント５０２は任意の数のネットワーク５０６に接続することができる。複数のセキュアサーバ５０４Ａないし５０４Ｎがネットワーク５０６に接続されている。セキュアサーバ５０４はクライアント５０２がセキュアサーバ５０４にアクセスする前に認証され許可されることを必要としているため“セキュア”と呼ばれる。さらにネットワーク５０６に接続されているものは認証サーバ５０８で、これはセキュアサーバ５０４に要求されているようにクライアント５０２を認証することができる。一実施形態において、サーバおよびクライアント間の接続がセキュア・ソケット・レイヤー（ＳＳＬ）接続として実行される。
【００４９】
ディレクトリ５１０とクリデンシャルキャッシュ５１２は認証サーバ５０８に接続されている。ディレクトリ５１０とクリデンシャルキャッシュ５１２のそれぞれはデータベース、メモリに格納されたテーブルなどとして実装することが可能である。
【００５０】
クライアント５０２がセキュアサーバ５０４Ａにアクセスするためにユーザのセキュリティ信用証明を提供することを要求される場合の認証システム５００のオペレーションについて図６を参照しながら記述する。クライアント５０２のユーザは、セキュアサーバ５０４Ａによってホスティングされているコンテント、データ、サービス、リソースまたはその他同種のものにアクセスすることを望んでいる。したがってユーザはセキュアサーバ５０４Ａへのアクセスのためのクライアント５０２への要求を発行する。その要求はキーボードにタイプ入力されたコマンド、マウスのクリック、または同等な形式のものとすることができる。その要求に応じて、クライアント５０２はデレゲートサーバ５２０へセキュアサーバ２０４Ａへのアクセスを要求するリクエストメッセージ（行為６０２）を送信する。その応答として、デレゲートサーバ５２０はクライアント５０２を認証させる。デレゲートサーバ５２０は転送可能な呼び掛けをクライアント５０２へ送り（行為６０４）、それをユーザの介入なしにクライアント５０２が認証サーバ５０８へ転送する（行為６０４）。デレゲートサーバ５２０は、クライアント５０２のユーザによって指定された好みなど任意の基準によって特定の認証サーバ５０８を選択することができる。
【００５１】
その転送可能な呼び掛けは委任権限を要求したフラッグを含む。認証サーバ５０８が転送可能な呼び掛けの中にあるこのフラッグを発見した時、委任として行動することが許可されているサーバのリストの中でデレゲートサーバ５０２を検索するため、その転送可能な呼び掛けの中にあるサーバ識別情報フィールドを使用する。このリストは実施形態によっては認証サーバ５０８上もしくはユーザ毎の基準によるグローバルポリシーとして構成されることも可能であるが；デフォルトポリシーはサーバが明白にアクセスを許可されていない限り委任要求を拒絶する。検索が失敗した場合、デレゲートサーバに識別を許可するがクライアント５０２になりすますことは許可せず、認証サーバ５０８がチケットを返送する。
【００５２】
この例においては、クライアント５０２は認証サーバ５０８にまだセキュリティ信用証明を供給していない。したがって認証サーバ５０８は認証側の呼び掛けメッセージをクライアント５０２に送信する（行為６０８）。その応答として、クライアント５０２はセキュリティ信用証明メッセージを認証サーバ５０８へ送信する（行為６１０）。セキュリティ信用証明メッセージはクライアント５０２のユーザに属するセキュリティ信用証明を少なくとも１つ含んでいる。認証サーバ５０８は、パスワード、呼び掛けへの返答、デジタル証書、トークン、スマートカード、生物測定学、またはそれらの任意の組み合わせを含む、クライアント５０２を認証するためにＨＴＴＰを通して伝送されることが可能な任意の信用証明を使用することができ、ＬＤＡＰ、ＮＴＬＭ、またはその他のプロトコルを介した任意のバックエンドディレクトリに対して認証することができる。認証サーバ５０８はクライアント５０２を認証する（行為６１２）。ディレクトリ５１０はセキュアサーバ５０４Ａへのアクセスを許可されたそれぞれのユーザのエントリを含んでいる。それぞれのエントリはそれぞれの許可されたユーザに属する１つまたはそれ以上のセキュリティ信用証明を含んでいる。
【００５３】
認証サーバ５０８は、例えば、ディレクトリ５１０中のセキュリティ信用証明とセキュリティ信用証明メッセージ中で受信されたセキュリティ信用証明との比較等のセキュリティ信用証明の確認により、クライアント５０２を認証する。成功した認証に際して、認証サーバ５０８はチケットおよびチケット保証チケットを含めてクライアント５０２にメッセージを送信する（行為５１４）。クライアント１０２はＴＧＴをクッキーとして保持しているが、転送可能なチケットを認証サーバ５０８へ送信し、ユーザの介入なしで転送可能なチケットをデレゲートサーバ５２０へ転送する（行為６１６）。
【００５４】
図８を参照しながら以下に論述するように、チケット保証チケット（ＴＧＴ）は認証サーバ５０８へ再度セキュリティ信用証明を送信することなくクライアント５０２にデレゲートサーバ５２０以外のデレゲートサーバへのチケットを取得させることができる。認証サーバ５０８はまたそれ自身のクッキーデータベースへＴＧＴをプログラムによって付加する。
【００５５】
転送可能なチケットはデレゲートサーバ５２０にクライアント５０２に代わってセキュアサーバ５０４Ａ以外のセキュアサーバへのチケットを取得させる。転送可能なチケットは標準のチケットと同じ情報を含んでいるが、クライアントに代わりチケットを要求する際、委任が認証サーバを通過することができるチケット保証チケットをも含んでいる。このＴＧＴはクライアントによって取得されたＴＧＴの単純なコピーでもよいし、より短くされた有効期限等の追加制限付の別のＴＧＴでもよい。
【００５６】
デレゲートサーバ５２０はアクセスやコンテントの要求をセキュアサーバ５０４Ａに送信する（行為６１８）。その応答として、セキュアサーバ５０４Ａはデレゲートサーバ５２０へ認証の呼び掛けメッセージを送信し（行為６２０）クライアント５０２の認証を要求する。一実施形態において、認証の呼び掛けは、現在の時間、セキュアサーバ５０４Ａの識別情報、セキュアサーバ５０４Ａから見られるデレゲートサーバ５２０のＩＰアドレス、ランダムな番号、およびセキュアサーバ５０４Ａに信頼されている認証サーバの識別情報（この場合認証サーバ５０８の識別情報）を含んでいる。
【００５７】
デレゲートサーバ５２０はユーザの介入なしに認証の呼び掛けを認証サーバ５０８に送信し、ＴＧＴを含んでいる（行為６２２）。認証サーバ５０８は前述したＴＧＴの照合と同様な方式で転送可能なチケットを照合することによってクライアント５０２を認証する（行為６２４）。
【００５８】
認証サーバ５０８はこの認証サーバ５０８のプライベートキーを使用してチケットにデジタル署名を割り当てた後セキュアサーバ５０４Ａに対するチケットをデレゲートサーバ５２０に送信する（行為６２６）。チケットは認証の呼び掛けからの情報に加え、認証サーバ５０８のＵＲＬ、認証サーバ５０８にとって独自のユーザ識別子（ＩＤ）、そして、（時計の同期問題を防ぐため）認証の呼び掛けで明らかになった時間へ構成可能なタイムアウト期間を加えることにより生成された有効期限を含む。認証サーバ５０８は、さらにパブリック−プライベートキーのペアからのプライベートキーを使用して、チケットにデジタル署名を付加する。この呼び掛けおよび／またはチケットは、照会文字列中において信頼できるサポートを行うためには長過ぎる可能性がある。その場合、自動フォームポストのような他のメカニズムによって同じことを遂行することができる。
【００５９】
デレゲートサーバ５２０はセキュアサーバ５０４Ａへチケットを送信する（行為６２８）。セキュアサーバ５０４Ａは信用された認証サーバのＵＲＬをキーとして使用し信用された認証サーバのテーブルの中で認証サーバ５０８を検索する。エントリを発見すると、セキュアサーバ５０４Ａは以前チケットへのデジタル署名に適用していたプライベートキーと相応するパブリックキーを検索し、デジタル署名を照合するためにそれを使用し、そしてクライアント５０２のアクセスを許可する（これは、セッションを確立するということである）。セキュアサーバ５０４Ａはいくつかの従来のメカニズムのうちのいずれによってでもクライアントの識別情報を維持することができる。例えば、セキュアサーバ５０４Ａはチケットをクッキーとして蓄積し要求毎に再検証することを選択できるし、または伝統的なセッションクッキーを使用することもできる。セッションが盗まれることを防ぐために好適にはＳＳＬが使用される。
【００６０】
一実施形態においては、チケットはセキュアサーバ５０４Ａより送信された認証の呼び掛けの一部を少なくとも含んでいる。この実施形態によると、セキュアサーバ５０４Ａはクライアント５０２にアクセスを許可する前にチケットのその箇所の有無を照合する。
【００６１】
デジタル証明を照合したことに応じて、セキュアサーバ５０４Ａはデレゲートサーバ５２０へ許可メッセージを送信することで２０２にアクセスを許可し（行為６３０）、デレゲートサーバ５２０はクライアント５０２に転送する（行為６３２）。クライアント５０２がセキュアサーバ５０４Ａからコンテントを要求している１つの企業ポータルの実施形態では、セキュアサーバ５０４Ａはデレゲートサーバ５２０にコンテントを送り、デレゲートサーバ５２０はクライアント５２０から要求された他のコンテントと共にそのコンテントを集積し、集積されたコンテントをクライアント５０２へ配信する。
【００６２】
クライアント５０２が再度ユーザのセキュリティ信用証明を送信することなく異なったセキュアサーバ５０４Ｂへアクセスする際の認証システム５００のオペレーションについて図７を参照しながら記述する。この例においては、このオペレーションは図６を参照しながら記述されているオペレーションに続くものである。クライアント５０２は異なったセキュアサーバ５０４Ｂへのアクセスの要求をデレゲートサーバ５２０へ送り（行為７０２）、デレゲートサーバ５２０はセキュアサーバ５０４Ｂへアクセスの要求を送信する（行為７０４）。セキュアサーバ５０４Ｂは認証の呼び掛けとして返答する（行為７０６）。デレゲートサーバ５２０は認証の呼び掛けを認証サーバ５０８へ送り、そして認証サーバ５０８より以前に受信した転送可能なチケットを含める（行為７０８）。
【００６３】
認証サーバ５０８はその転送可能なチケットを照合することによりクライアント５０２を認証する（行為７１０）。認証サーバ５０８は、認証サーバ５０８のプライベートキーを使用しているチケットへデジタル署名を適用した後セキュアサーバ５０４へのチケットをデレゲートサーバ５２０へ送信する（行為７１２）。デレゲートサーバ５２０はセキュアサーバ５０４Ｂへチケットを送信する（行為７１４）。デジタル証明を照合したことに応じて、セキュアサーバ５０４はデレゲートサーバ５２０へ許可メッセージを送信することでクライアント５０２にアクセスを許可し（行為７１２）、デレゲートサーバ５２０がクライアント５０２に送信する（行為７１８）。５０２がセキュアサーバ５０４Ｂからコンテントを要求している１つの企業ポータルの実施形態においては、セキュアサーバ５０４Ｂはデレゲートサーバ５２０にコンテントを送り、デレゲートサーバ５２０はクライアント５０２から要求された他のコンテントと共にそのコンテントを集積し、そして集積されたコンテントをクライアント５０２へ配信する。
【００６４】
クライアント５０２がユーザのセキュリティ信用証明を供給することなく異なったデレゲートサーバ５２０Ｂを使用しセキュアサーバ５０４Ｃへアクセスする際の認証システム５００のオペレーションについて図８を参照しながら記述する。この例においては、このオペレーションは図６を参照して記述されたオペレーションに続くものである。クライアント５０２のユーザは、セキュアサーバ５０４Ｃによってホスティングされたコンテント、データ、サービス、リソースまたはその他の同等なものにアクセスすることを望んでいる。したがってユーザはセキュアサーバ５０４Ｃへのアクセスのためクライアント５０２への要求を発行する。その要求はキーボードにタイプ入力されたコマンド、マウスのクリック、または同等な形式のものとすることができる。その要求に応じて、クライアント５０２はデレゲートサーバ５２０Ｂへセキュアサーバ５０４Ｃへのアクセスを要求するリクエストメッセージを送信する（行為８０２）。その応答として、デレゲートサーバ５２０Ｂはクライアント５０２を認証させる。デレゲートサーバ５２０Ｂはクライアント５０２へ転送可能な呼び掛けを送り（行為８０４）、ユーザの介入なしでクライアント５０２は認証サーバ５０８へ転送する（行為８０６）。クライアント５０２はデレゲートサーバ５２０より以前に受信したチケット保証チケットを含んでいる。
【００６５】
その転送可能な呼び掛けは委任権限を要求したフラッグを含む。認証サーバ５０８が転送可能な呼び掛けの中にあるこのフラッグを発見した時、委任として行動することが許可されているサーバのリストの中でデレゲートサーバ５２０Ｂを検索するため、その転送可能な呼び掛けの中にあるサーバ識別情報フィールドを使用する。このリストは実施形態によっては認証サーバ５０８上もしくはユーザ毎の基準によるグローバルポリシーとして構成されていることが可能であるが；デフォルトポリシーはサーバが明白にアクセスを許可されていない限り委任要求を拒絶する。もし検索が失敗したら、デレゲートサーバに識別を許可するがクライアント５０２になりすますことを許可せず、認証サーバ５０８がチケットを返送する。
【００６６】
認証サーバ５０８はそのＴＧＴを照合することによりクライアント５０２を認証する（行為８０８）。一実施形態においてそのＴＧＴはクリデンシャルキャッシュ５１２への検索として役立つランダムな番号を含んでいるクッキーである。このクッキーは認証する側の構成可能なパラメータによるセッションクッキーまたは実在するクッキーとして設定することができ、そして好適にはセキュアフラッグと共にセットされ、ＳＳＬのみを介しかつ認証サーバ５０８のみ送信される、可能な最も制限されたパスである。さらに、認証サーバ５０８はクライアント５０２がそのクッキーをどれだけの間保持し続けるかとは関係なくクリデンシャルキャッシュ５１２中に自身の有効期限を保持し遂行する。そのクッキーが満期になった時、認証サーバ５０８はクライアント５０２へ再度有効な信用証明を要求する。認証サーバ５０８はＴＧＴの使用に対して、全ての要求は同一のＩＰアドレスからきた特定のＴＧＴを使用していることを調査する等の追加制限を行使することができる。
【００６７】
成功した認証に応じて、認証サーバ５０８は転送可能なチケットを含んでクライアント５０２にメッセージを送信する（行為８１０）。クライアント５０２はユーザの介入なしで転送可能なチケットをデレゲートサーバ５２０Ｂへ転送する（行為８１２）。転送可能なチケットはデレゲートサーバ５２０Ｂにクライアント５０２に代わってセキュアサーバ５０４へのチケットを取得させる。
【００６８】
デレゲートサーバ５２０Ｂはアクセスやコンテントの要求をセキュアサーバ５０４Ｃに送信する（行為８１４）。その応答として、セキュアサーバ５０４Ｃはデレゲートサーバ５２０Ｂへ認証の呼び掛けメッセージを送り（行為８１６）クライアント５０２の認証を要求する。一実施形態において、認証の呼び掛けは、現在の時間、セキュアサーバ５０４Ｃの識別情報、ランダムな番号、およびセキュアサーバ５０４Ｃに信頼されている認証サーバの識別情報（この場合認証サーバ５０８の識別情報）を含んでいる。
【００６９】
デレゲートサーバ５２０Ｂは認証の呼び掛けを認証サーバ５０８へ送り、そして認証サーバ５０８より以前に受信した転送可能なチケットを含める（行為８１８）。認証サーバ５０８はその転送可能なチケットを照合することによりクライアント５０２を認証する（行為８２０）。認証サーバ５０８はそれから認証サーバ５０８のプライベートキーを使用しているチケットへデジタル署名を適用した後セキュアサーバ５０４Ｃへのチケットをデレゲートサーバ５２０へ送信する（行為８２２）。デレゲートサーバ５２０Ｂはセキュアサーバ５０４Ｃへチケットを送信する（行為８２４）。デジタル証明を照合したことに応じて、セキュアサーバ５０４Ｃはデレゲートサーバ５２０Ｂへ許可メッセージを送信することで５０２にアクセスを許可し（行為８２６）、デレゲートサーバ５２０Ｂはクライアント５０２に送信する（行為８２８）。クライアント５０２がセキュアサーバ５０４Ｃからコンテントを要求している１つの企業ポータルの実施形態では、セキュアサーバ５０４Ｃはデレゲートサーバ５２０にコンテントを送り、デレゲートサーバ５２０はクライアント５０２から要求された他のコンテントと共にそのコンテントを集積し、そして集積されたコンテントをクライアント５０２へ配信する。
【００７０】
この発明は、デジタル電子回路類、またはコンピュータハードウェア、ファームウェア、ソフトウェア、またはそれらの組み合わせにおいて実行することが可能である。本発明の装置はプログラム可能なプロセッサにより実行するための機械読み取り可能な記憶装置で明確に具体化されたコンピュータプログラム製品においてで実行することができ；そして本発明の方法ステップは、入力データ上で作動し出力を生成することにより本発明の機能を実行するための命令プログラムを実行するプログラム可能なプロセッサによって実施可能である。本発明は、データと命令の受け取りとデータと命令の通過が連結された少なくとも１台のプログラム可能なプロセッサ、データストレージシステム、少なくとも１つのインプット、そして少なくとも１つのアウトプットデバイスを含む、プログラム可能なシステム上で実行可能な１つまたはそれ以上のコンピュータプログラムで好適に実行することが可能である。各コンピュータプログラムは高レベルなプロシージャ的オブジェクトオリエンティッドプログラム、または必要であればアセンブラ的機械言語にて実行が可能である；そしていずれの場合においても、言語はコンパイルが可能であるかインタープリタ言語である。好適なプロセッサは、例をあげると、標準および特定の両方の目的のマイクロプロセッサである。一般的に、プロセッサは命令とデータをリードオンリーメモリおよび／またはランダムアクセスメモリから受信する。一般的に、コンピュータはデータファイルを貯蔵するための１つまたはそれ以上の大量記憶装置が含まれる；そのようなデバイスは磁気ディスク、内部のハードディスクやリムーバブルディスク；光磁気ディスク；ならびに光ディスクである。明確に具体化されたコンピュータプログラムの命令に適したストレージデバイスとデータは、不揮発性のメモリの全ての形を含み、例をあげると、ＥＰＲＯＭ，ＥＥＰＲＯＭのような半導体のメモリデバイス、フラッシュメモリデバイス；内部のハードディスクやリムーバブルディスクのような磁気ディスク；光磁気ディスク；そしてＣＤ−ＲＯＭディスク等を含む。前述のうちのもののいずれかは、ＡＳＩＣ(特定用途向けＩＣ)によって補完、または一体化されることが可能である。
【００７１】
本発明の多くの実施例について記述した。しかしながら、本発明の精神および視点から逸脱することなく、種々の変更がなされることが理解される。上記のオペレーションの多様な変更が可能である。例えば、クライアント５０２が１つの認証サーバとでオペレーションを行い続いて起こる異なった認証サーバとのオペレーションを完了することが可能である。
【００７２】
セキュアサーバは複数の認証サーバからの認証を要求することが可能である。認証サーバは順次に２つ目の認証サーバによる認証を要求することが可能である。任意の種類の異なったサーバは、“ネットワーク”がローカルループバックアダプタとなる物理的に同じコンピュータに位置することができる。セキュアサーバはユーザに使用する認証サーバの選択を与えることができ、または認証が成功するまでいくつかを試みることができる。デレゲートサーバは１つまたはそれ以上の認証サーバを使用して複数のセキュアサーバからリソースを要求することができる。デレゲートサーバは転送可能なチケットを要求することができ２つ目のデレゲートサーバへ委任することができる。
【００７３】
従って、その他の実施例は特許請求の範囲の範囲内に含まれている。
【図面の簡単な説明】
【００７４】
【図１】企業ポータルシステムに関連した典型的なユーザスクリーンを示す簡略化された説明図である。
【図２】認証システムの実施形態を示す構成図である。
【図３】クライアントがセキュアサーバにアクセスするためにユーザのセキュリティ信用証明を提供することを要求される場合の図２の認証システムのオペレーションを示す説明図である。
【図４】認証サーバへ再度ユーザのセキュリティ信用証明を供給することなく異なったセキュアサーバへクライアントがアクセスする際の図２の認証システムのオペレーションを示す説明図である。
【図５】クライアントがデレゲートサーバを使用してセキュアサーバへアクセスする認証システムの実施形態を示す構成図である。
【図６】クライアントがセキュアサーバにアクセスするためにユーザのセキュリティ信用証明を提供することを要求される場合の図５の認証システムのオペレーションを示す説明図である。
【図７】認証サーバへ再度ユーザのセキュリティ信用証明を供給することなく異なったセキュアサーバへクライアントがアクセスする際の図５の認証システムのオペレーションを示す説明図である。
【図８】認証サーバへユーザのセキュリティ信用証明を供給することなくクライアントが異なったデレゲートサーバを使用する際の図５の認証システムのオペレーションを示す説明図である。
【図１】
2005516533.tif 000003
【図２】
2005516533.tif 000004
【図３】
2005516533.tif 000005
【図４】
2005516533.tif 000006
【図５】
2005516533.tif 000007
【図６】
2005516533.tif 000008
【図７】
2005516533.tif 000009
【図８】
2005516533.tif 000010
【国際調査報告】
2005516533.tif 000011