(57)【要約】ローカルエリアネットワーク内の認証機構が、クラウド認証機構を使用して、認証要求を許可または拒否することができる。ユーザは、クラウド識別およびパスワードを入力することによってローカルエリアネットワーク内のアクセスを得ることができ、クラウド識別およびパスワードは、クラウド認証機構によって検証することができる。クラウド認証機構からの認証が成功した場合、後続の認証要求のためにユーザ識別およびパスワードをローカルに格納する。ある実施形態では、後続の要求をクラウド認証機構に渡すことができるように、クラウドパスワードを周期的にフラッシュすることができる。認証機構は、ドメインローカルエリアネットワークとワークグループローカルエリアネットワークのどちらでも使用することができ、クラウドからは認証されない場合のあるローカルエリアネットワークまたはクライアント資格情報を有しうる他のユーザと並列に動作することができる。
2013508854.tif 000002
【特許請求の範囲】
【請求項１】
プロセッサと、
複数のクライアントデバイスへのローカルエリアネットワーク接続と、
クラウド認証機構への広域ネットワーク接続と、
ユーザ識別およびパスワードを含むデータベースと、
方法を実施するように構成されたドメイン認証機構と
を備え、前記方法が、
第１のクライアントデバイスから第１の認証要求を受信するステップであって、前記認証要求は第１のユーザ識別および第１のパスワードを含むステップと、
前記第１のユーザ識別および前記第１のパスワードを前記クラウド認証機構に送信するステップと、
前記クラウド認証機構から第１の受諾トークンを受信するステップと、
前記第１の受諾トークンに基づいて、前記第１のユーザ識別および前記第１のパスワードを前記データベースに格納するステップと、
前記第１のクライアントデバイスに第２の受諾トークンを送信するステップと
を含むことを特徴とするドメインサーバ。
【請求項２】
前記方法は、
第２のクライアントデバイスから第２の認証要求を受信するステップであって、前記第２の認証要求は前記第１のユーザ識別および前記第１のパスワードを含むステップと、
前記第１のユーザ識別および前記第１のパスワードを前記データベース内で探索し、前記第１のユーザ識別および前記第１のパスワードが前記データベース内で見つかったと判定するステップと、
クラウド認証を実施することなく、前記第２のクライアントデバイスに第３の受諾トークンを送信するステップと
をさらに含むことを特徴とする請求項１に記載のドメインサーバ。
【請求項３】
前記第１のユーザ識別がクラウド認証されたユーザ識別と識別されることを特徴とする請求項２に記載のドメインサーバ。
【請求項４】
前記方法は、
前記第１のクライアントデバイスから第３の認証要求を受信するステップであって、前記第３の認証要求は前記第１のユーザ識別および第２のパスワードを含むステップと、
前記データベースをチェックして、前記第１のユーザ識別および前記第２のパスワードは前記データベースに合致しないと判定するステップと、
前記第１のユーザ識別および前記第２のパスワードを前記クラウド認証機構に送信するステップと、
前記クラウド認証機構から第３の受諾トークンを受信するステップと、
前記第３の受諾トークンに基づいて、前記第１のクライアントデバイスに第４の受諾トークンを送信し、前記第１のパスワードを除去し、前記第２のパスワードを格納することによって前記データベースを更新するステップと
をさらに含むことを特徴とする請求項１に記載のドメインサーバ。
【請求項５】
前記方法は、
前記第１のクライアントデバイスから第４の認証要求を受信するステップであって、前記第４認証要求は前記第１のユーザ識別および前記第２のパスワードを含むステップと、
前記データベースをチェックして、前記第１のユーザ識別および前記第２のパスワードが前記データベースに合致しないと判定するステップと、
前記第１のユーザ識別および前記第２のパスワードを前記クラウド認証システムに送信するステップと、
前記クラウド認証機構から第１の失敗トークンを受信するステップと、
前記第１の失敗トークンに基づいて、前記第１のクライアントデバイスに第２の失敗トークンを送信するステップと
をさらに含むことを特徴とする請求項４に記載のドメインサーバ。
【請求項６】
前記第１のユーザ識別はクラウド認証識別子を有することを特徴とする請求項１に記載のドメインサーバ。
【請求項７】
前記方法は、
第２のクライアントデバイスから第２の認証要求を受信するステップであって、前記第２の認証要求は第２のユーザ識別および第２のパスワードを含むステップと、
前記第２のユーザ識別がローカル認証標識を有すると判定するステップと、
前記データベースをチェックして、前記第２のユーザ識別および前記第２のパスワードが前記データベースに合致すると判定し、失敗トークンを生成し、クラウド認証を実施することなく前記失敗トークンを送信するステップと
を含むことを特徴とする請求項６に記載のドメインサーバ。
【請求項８】
前記クラウド認証機構に送信する前記ステップがセキュア接続を使用して実施されることを特徴とする請求項１に記載のドメインサーバ。
【請求項９】
前記方法は、
前記第１のパスワードに対してハッシュを実施してハッシュした値を生成し、前記ハッシュした値の形式の前記第１のパスワードを前記クラウド認証機構に送信するステップ
をさらに含むことを特徴とする請求項１に記載のドメインサーバ。
【請求項１０】
前記広域ネットワーク接続は、前記ローカルエリアネットワーク接続を通じた、前記広域ネットワークへのゲートウェイへの接続を備えることを特徴とする請求項１に記載のドメインサーバ。
【請求項１１】
前記第１のユーザ識別を格納する前記ステップから所定の時間量が経過したときを判定し、前記第１のパスワードを失効させるように構成された失効機構
をさらに備えることを特徴とする請求項１に記載のドメインサーバ。
【請求項１２】
前記第１のパスワードを失効させることは、前記データベースから前記第１のパスワードを消去することを含むことを特徴とする請求項１１に記載のドメインサーバ。
【請求項１３】
前記データベースは、第２のドメインサーバ上に位置する第２のデータベースの複製であり、前記第２のドメインサーバが、ユーザを認証するように構成されることを特徴とする請求項１に記載のドメインサーバ。
【請求項１４】
プロセッサと、
クラウド認証機構への広域ネットワーク接続と、
ユーザ識別およびパスワードを含むデータベースと、
方法を実施するように構成された認証機構と
を備え、前記方法が、
第１のユーザに関する第１の認証要求を受信するステップであって、前記第１の認証要求は第１のユーザ識別および第１のパスワードを含むステップと、
前記第１のユーザ識別および前記第１のパスワードを前記クラウド認証機構に送信するステップと、
前記クラウド認証機構から第１の受諾トークンを受信するステップと、
前記第１の受諾トークンに基づいて、前記第１のユーザ識別および前記第１のパスワードを前記データベースに格納するステップと、
前記第１のユーザに関する前記ワークグループコンピュータへのアクセスを許可するステップと
を含むことを特徴とするワークグループコンピュータ。
【請求項１５】
前記方法は、
前記第１のユーザに関する第２の認証要求を受信するステップであって、前記第２の認証要求は前記第１のユーザ識別および前記第１のパスワードを含むステップと、
前記第１のユーザ識別および前記第１のパスワードを前記データベース内で探索し、前記第１のユーザ識別および前記第１のパスワードが前記データベース内で見つかったと判定するステップと、
クラウド認証を実施することなく前記第１のユーザに関する前記ワークグループコンピュータへのアクセスを許可するステップと
をさらに含むことを特徴とする請求項１４に記載のワークグループコンピュータ。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、クラウドコンピューティング環境に関する。
【背景技術】
【０００２】
多くのコンピュータユーザは、様々なウェブベースのサービスのためのオンラインアカウントを有する。こうしたオンラインアカウントは、Ｅメールサービス、製品の購入、ワードプロセッシングまたは他のアプリケーションへのアクセス、ソーシャルネットワーキングサービス、および多くの他の用途のためのものであることがある。
【０００３】
クラウドサービスとも呼ばれるウェブベースのサービスは、様々な認証機構を有することがある。ある場合には、クラウドサービスは、ユーザが選んだユーザ識別およびパスワードだけからなる非常に単純な認証を有することがある。そのような認証機構は匿名であることがある。他のクラウドサービスは、クレジットカードまたは他の機構を使用してユーザ識別を検証することがある。そのようなサービスでは、クレジットカードまたは他の機構を使用して、オンライン識別が実際の人間までトレースバックされることがある。
【発明の概要】
【０００４】
ローカルエリアネットワーク内の認証機構が、クラウド認証機構を使用して、認証要求を許可または拒否することができる。ユーザは、クラウド識別およびパスワードを入力することによってローカルエリアネットワーク内のアクセスを得ることができ、クラウド識別およびパスワードは、クラウド認証機構によって検証することができる。クラウド認証機構からの認証が成功した場合、後続の認証要求のためにユーザ識別およびパスワードをローカルに格納する。ある実施形態では、後続の要求をクラウド認証機構に渡すことができるように、クラウドパスワードを周期的にフラッシュすることができる。認証機構は、ドメインローカルエリアネットワークとワークグループローカルエリアネットワークのどちらでも使用することができ、クラウドからは認証されないことのあるローカルエリアネットワークまたはクライアント資格情報を有することがある他のユーザと並列に動作することができる。
【０００５】
この概要は、以下の発明を実施するための形態でさらに説明する概念の抜粋を単純化した形で紹介するために与えるものである。この概要は、特許請求される主題の主要な特徴または不可欠な特徴を特定するためのものではなく、特許請求される主題の範囲を限定するために使用されるものでもない。
【図面の簡単な説明】
【０００６】
【図１】クラウド認証を含むことのできるネットワーク環境を示す一実施形態の図である。
【図２】クラウド認証を伴うクライアント動作のための方法を示す一実施形態の流れ図である。
【図３】クラウド認証を伴う、ドメインサーバによって実施することのできる方法を示す一実施形態の流れ図である。
【図４】更新を強制する方法を示す一実施形態の流れ図である。
【発明を実施するための形態】
【０００７】
ユーザは、ワークグループまたはドメインログインを認証するために、ローカルエリアネットワーク環境内でクラウド資格情報を使用することができる。クラウド資格情報をデバイスまたはドメインレベルでローカルに格納し、将来の認証のために使用することができる。クラウド認証機構でクラウド資格情報を周期的にリフレッシュすることができる。
【０００８】
クラウド認証機構は、ユーザが、クラウド認証機構の形態のリモートサードパーティによって検証することのできる資格情報を使用して、ユーザのホームコンピュータ、ビジネスコンピュータ、または他のコンピュータにアクセスすることを可能にすることができる。ユーザは、クラウドサービスおよびローカルコンピュータアクセスのためのログイン資格情報の単一のセットを有することができる。
【０００９】
クライアントまたはドメインデバイス上のローカル認証機構を、デバイスまたはドメインレベルで認証サービスを提供するように構成することができる。ローカル認証機構は、ユーザ識別およびパスワードがしばしばハッシュ形式または暗号化形式で格納されるデータベースを有することができる。ユーザアカウントがクラウド認証のために構成されるとき、ユーザの資格情報をクラウド認証機構に渡すことができ、クラウド認証機構によって適切に認証される場合、ローカルデータベースに資格情報を格納することができる。次いで、後続の認証要求をローカル認証機構によって処理することができる。
【００１０】
ユーザはクラウド認証機構に接続し、パスワード変更を実施することができる。次回にユーザがローカルシステムにログオンしようと試みるとき、ローカル認証は、新しいユーザ資格情報を使用してクラウド認証機構に対する要求をトリガすることができる。新しい資格情報がローカルデータベース内の資格情報と合致しないことがあるからである。
【００１１】
ローカル認証機構は、ローカルに格納したパスワードをクラウド認証機構と周期的にリフレッシュまたは同期することができる。ある実施形態では、ローカル認証機構は、次回のログイン時にクラウド認証を強制するために、パスワードを周期的に削除することができる。別の実施形態では、ローカル認証機構は、クラウド認証機構にログイン資格情報を周期的に送り、資格情報が依然として有効であることを検証することができる。資格情報が無効であることが判明した場合、資格情報をローカルデータベースから除去することができ、ユーザが後にログインしたときにリフレッシュすることができる。
【００１２】
ローカル認証機構は、ワークグループ環境内に配置することができ、ローカルなデバイス特有のアカウントに関する認証機構として働くことができる。ローカル認証機構はまた、ドメイン環境内に配置することができ、ドメインレベルアクセスを許可するのに使用することができる。
【００１３】
本明細書全体を通して、同様の参照番号は、図の説明全体を通して同一の要素を表す。
【００１４】
要素が「接続される（connected）」または「結合される（coupled）」と呼ばれるとき、要素を直接的に互いに接続または結合することができ、あるいは１つまたは複数の介在要素が存在することもある。対照的に、要素が「直接的に接続される（directly connected）」または「直接的に結合される（directly coupled）」と呼ばれるとき、介在要素は存在しない。
【００１５】
主題をデバイス、システム、方法、および／またはコンピュータプログラム製品として実施することができる。したがって、主題の一部またはすべてをハードウェアおよび／またはソフトウェア（ファームウェア、常駐ソフトウェア、マイクロコード、状態機械、ゲートアレイなどを含む）で実施することができる。さらに、主題は、命令実行システムによって、または命令実行システムと共に使用するための、媒体で実施されたコンピュータ使用可能プログラムコードまたはコンピュータ可読プログラムコードを有するコンピュータ使用可能記憶媒体またはコンピュータ可読記憶媒体上のコンピュータプログラム製品の形態を取ることができる。本文書の文脈では、コンピュータ使用可能媒体またはコンピュータ可読媒体は、命令実行システム、装置、またはデバイスによって、またはそれと共に使用するための、プログラムを包含、格納、通信、伝播、または移送することのできる任意の媒体であってもよい。
【００１６】
コンピュータ使用可能媒体またはコンピュータ可読媒体は例えば、限定はしないが、電子式、磁気式、光学式、電磁式、赤外線式、または半導体式の装置、デバイス、または伝播媒体であってもよい。限定ではなく例として、コンピュータ可読媒体は、コンピュータ記憶媒体および通信媒体を含むことができる。
【００１７】
コンピュータ記憶媒体は、コンピュータ可読命令、データ構造、プログラムモジュール、他のデータなどの情報の記憶のための方法または技術で実装された揮発性および不揮発性の取外し可能および取外し不能媒体を含む。コンピュータ記憶媒体は、これに限定されるものではないが、ＲＡＭ、ＲＯＭ、ＥＥＰＲＯＭ、フラッシュメモリ、または他のメモリ技術、ＣＤ−ＲＯＭ、デジタルバーサタイルディスク（ＤＶＤ）、または他の光ストレージ、磁気カセット、磁気テープ、磁気ディスクストレージ、または他の磁気記憶デバイス、あるいは所望の情報を格納するのに使用することができ、命令実行システムによってアクセスすることのできる任意の他の媒体を含む。コンピュータ使用可能媒体またはコンピュータ可読媒体は、プログラムが印刷される紙または他の適切な媒体であってもよいことに留意されたい。例えば紙または他の適切な媒体の光学式走査を介してプログラムを電子的に取り込み、次いで必要なら適切なようにコンパイル、解釈、または処理し、次いでコンピュータメモリに格納することができるからである。
【００１８】
通信媒体は通常、コンピュータ可読命令、データ構造、プログラムモジュール、または他のデータを搬送波や他の移送機構などの変調データ信号で実施し、任意の情報配信媒体を含む。「変調データ信号」という用語は、信号内に情報を符号化するようにその特性のうちの１つまたは複数が設定または変更された信号と定義することができる。限定ではなく例として、通信媒体は、有線ネットワークや直接有線接続などの有線媒体と、音響、ＲＦ、赤外線、他のワイヤレス媒体などのワイヤレス媒体を含む。前述の任意の組合せもコンピュータ可読媒体の範囲内に含まれるべきである。
【００１９】
主題がコンピュータ実行可能命令の一般的状況で実施されるとき、実施形態は、１つまたは複数のシステム、コンピュータ、または他のデバイスによって実行されるプログラムモジュールを含むことができる。一般に、プログラムモジュールは、特定のタスクを実行し、または特定の抽象データタイプを実装するルーチン、プログラム、オブジェクト、コンポーネント、データ構造などを含む。通常、プログラムモジュールの機能を様々な実施形態で必要に応じて組み合わせ、または分散させることができる。
【００２０】
図１は、クラウド認証機構が動作することのできるネットワーク環境を示す実施形態１００の図である。実施形態１００は、ドメインまたはワークグループベースの認証機構がクラウドベースの認証機構を使用してユーザログインのための資格情報を許可または拒否することのできるネットワーク環境の単純化した例である。
【００２１】
図１のダイアグラムはシステムの機能構成要素を示す。ある場合には、構成要素はハードウェア構成要素、ソフトウェア構成要素、またはハードウェアとソフトウェアの組合せであってもよい。構成要素の一部はアプリケーションレベルソフトウェアであってもよく、別の構成要素はオペレーティングシステムレベル構成要素であってもよい。ある場合には、ある構成要素の別の構成要素に対する接続は、２つ以上の構成要素が単一のハードウェアプラットフォーム上で動作しているクローズ接続であってもよい。別の場合には、長距離に及ぶネットワーク接続を介して接続を行うことができる。各実施形態は、異なるハードウェア、ソフトウェア、および相互接続アーキテクチャを使用して、記載の機能を達成することができる。
【００２２】
クラウド認証機構を使用して、ドメインまたはワークグループに対してユーザを認証することができる。ユーザによってローカル認証機構にサブミットされうる資格情報を、クラウド認証機構に転送することができる。クラウド認証機構が資格情報を許可した場合、ユーザ資格情報をローカルに格納し、後続の認証のために使用することができる。
【００２３】
本明細書全体を通して、「認証機構（authentication mechanism）」という用語は、認証を実施することのできる任意のシステム、デバイス、アプリケーション、サービス、または他の機能を指すのに使用されることがある。認証とは、ユーザによって提示された資格情報に基づいてユーザの識別を確認するプロセスを指す。多くの場合、資格情報は公開部分と秘密部分を含むことができる。資格情報の単純なセットでは、公開部分はユーザ名であってもよく、秘密部分はパスワードであってもよい。
【００２４】
ドメインまたはワークグループ環境では、ユーザアカウントの一部またはすべてをクラウド認証のために構成することができる。ローカルシステムの管理者がクラウド認証機構を信頼できる認証機構として許可するとき、そのような構成を使用することができる。構成は、ローカルシステムとクラウド認証機構との間の一方向の信頼を仮定することができる。一方向の信頼は、ローカルシステムがローカルシステム上のユーザの資格情報を検証するためにクラウド認証機構を受諾するが、クラウド認証システムは他のどのクラウド認証サービスについてもローカルシステムの認証を受諾しない可能性があることとすることができる。
【００２５】
クラウドベースの認証では、ユーザは資格情報を提示することができ、資格情報はクラウド認証機構によって解析され、許可または拒否されることがある。典型的な資格情報はユーザ識別およびパスワードであってもよいが、他の実施形態は、スマートカード、クレジットカード、運転免許証、パスポート、または類似のデバイスからの資格情報を使用することのできるカードリーダなどのハードウェア認証を使用することができる。そのような実施形態では、政府機関、セキュリティ組織、他の組織などの信頼できるパーティによってユーザに資格情報を発行することができ、資格情報は、資格情報を格納することのできるコンピュータ可読ストレージを含むことができる。そのようなある実施形態は、ハードウェアで供給される資格情報をユーザ識別およびパスワードなどの他の資格情報と共に使用して、個人の識別を検証することができる。
【００２６】
ある実施形態では生体資格情報をユーザ資格情報の一部として使用することができる。生体資格情報は、指紋リーダ、網膜スキャナ、音声認識、または他の生体検知を使用して取り込むことができる。そのような実施形態では、生体資格情報をローカルデバイス上に取り込み、検証のためにクラウド認証機構に送信することができる。生体走査を使用する実施形態では、そのようなデータを収集、送信、格納、または使用する前に、ユーザの同意を受信することができる。
【００２７】
ある実施形態は、ユーザに関する異なる資格情報のセットを可能にすることができる。例えば、一実施形態は、ユーザ識別、パスワード、およびスマートカードなどのハードウェアデバイスで認証を実施することができる。同じ実施形態は、ユーザ識別と、ローカル生体走査からの出力だけで同じ認証を実施することができる。
【００２８】
異なる実施形態は、異なるタイプのユーザ識別を使用することができる。多くの実施形態では、ユーザ識別は例えばログイン名であってもよい。ある実施形態は、ユーザがユーザ自身のログイン識別を作成することを可能にすることができる。匿名ログインが許可される場合、またはユーザが覚えることが容易なログイン名をユーザが入力することができる場合に、そのような実施形態を使用することができる。別の実施形態は、Ｅメールアドレスを個人のログイン識別として使用することができる。Ｅメールアドレスは、ユーザ名およびドメイン名を含むことができ、一般には複数の個人間で重複しない。
【００２９】
クラウド認証機構１３０は、構成された少なくとも一方向の信頼をローカル認証機構がそれに対して有することができる任意の認証機構であってもよい。典型的な実施形態は、ウェブベースのサービスにアクセスするための資格情報を有するウェブサービスであってもよい。多くの実施形態では、集中型クラウド認証機構１３０を使用して、多くの異なるウェブベースのサービスへのアクセスを得ることができる。そのようなサービスは、Ｅメールサービス、ソーシャルネットワーク、様々なウェブベースのアプリケーション、および他のサービスを含むことができる。
【００３０】
多くの異なるタイプのクラウド認証機構を使用することができる。あるクラウド認証機構では、ユーザは、ユーザ名およびパスワードを提供することによってクラウドサービスでユーザ自身のアカウントを作成することができる。そのようなある機構は、実際の個人に対するどんなさらなる検証も有さないことがある匿名ログインをユーザが作成することを可能にすることができる。
【００３１】
あるクラウド認証機構では、ユーザは、クレジットカード会社によって検証することのできるクレジットカード番号および他の情報を提供することができる。クレジットカードと、名前、住所、電話番号などの他の情報をクレジットカード会社に送信することができ、クレジットカード会社は情報を認証することができる。クラウド認証機構は、クレジットカード会社の認証を許可することができ、クレジットカードが発行された実際の個人にユーザ資格情報を突き合わせることができる。
【００３２】
あるクラウド認証機構は、ユーザの資格情報の何らかの人間検証を含むことができる。例えば、会社内のセキュリティ部門が、従業員およびベンダによる使用のための認証機構を構成すると共に、従業員にスマートカードを発行することができる。スマートカードは、ユーザの写真と、生体情報または固有の文字のシーケンスなどの他の情報とを含むことができる。そのようなある実施形態は、グローバル固有識別子（ＧＵＩＤ）または他のシーケンスを使用することができる。ＧＵＩＤをユーザ資格情報の一部として送信し、会社の認証機構で使用することができる。そのような認証機構をクラウド認証機構として使用することができる。
【００３３】
多くのデバイスは、ローカル認証機構およびローカルユーザデータベースを有する。ローカル認証機構は、ユーザがログイン名を使用してログインし、ユーザアカウントを使用してデバイスを操作することを可能にすることができる。多くのデバイスは、複数のユーザがデバイス上にアカウントを有することを可能にすることができる。多くの場合、各ユーザアカウントは、異なるアクセス許可を有することができ、または各ユーザがデバイスに関するユーザインターフェースをカスタマイズすることを可能にすることができる。あるデバイスは、ただ１人のユーザがデバイスにアクセスするときであっても、ローカル認証機構およびローカルユーザデータベースを有することができる。
【００３４】
ドメイン環境では、ドメインサーバ１０２は、ローカルエリアネットワーク１０６に接続されたドメインクライアント１０４に関する認証サービスを提供することができる。異なるドメインクライアント１０４にログインするときにユーザが同じ資格情報を使用することができるようにドメイン環境を構成することができる。そのようなある実施形態は、ユーザがデバイス間でローミングし、多くの共通の体験を維持することができるように、複数のデバイス上の共通ユーザインターフェース、異なるデバイスから同一のファイルへのアクセス、および他の機能を提供することができる。
【００３５】
ドメインサーバ１０２は、ローカルエリアネットワーク１０６内のサーバコンピュータであってもよい。ドメインサーバ１０２は、ハードウェア構成要素１２４で構成されたハードウェアプラットフォーム上で動作するいくつかのソフトウェア構成要素１２２を有することができる。
【００３６】
ドメインサーバのソフトウェア構成要素１２２は、ユーザデータベース１１０およびデバイスデータベース１１２を備えることのできるドメイン認証機構１０８を含むことができる。ドメイン認証機構１０８は、様々なクライアントデバイス上のユーザから認証要求を受信することができ、ユーザによって提示された資格情報に基づいて認証を許可または拒否することができる。ユーザデータベース１１０にユーザ資格情報を格納することができ、ドメイン認証機構１０８は、ユーザデータベース１１０に照会して、ユーザによって提示された資格情報との間に合致があるかどうかを判定する。
【００３７】
ある実施形態では、ドメイン内の各デバイスをデバイスデータベース１１２で列挙することができる。そのようなある実施形態では、デバイスは、ドメイン認証機構１０８に接続して、ドメインサーバ１０２によって提供されるサービスに接続することができ、サービスは、ドメインネームサービス（ＤＮＳ）、動的ホスト構成プロトコル（ＤＨＣＰ）、ファイル共有サービス、および他の多くのサービスを含む。ユーザがクライアントデバイスを使用してドメインにログオンしようと試みる前または後に、デバイスが電源投入され、またはローカルエリアネットワーク１０６に接続されるとき、そのようなサービスを使用することができる。
【００３８】
そのようなある実施形態では、デバイスデータベース１１２内にエントリを有するデバイスを使用するときにのみ、ユーザは有効なログインを実施することができる。
【００３９】
ドメインサーバ１０２は、ローカル認証機構１１４およびローカルユーザデータベース１１６を備えることができる。ローカル認証機構１１４は、ドメインサーバ１０２上のローカルユーザアカウントに関する認証サービスを提供することができる。ローカルユーザアカウントは、ユーザがドメインサーバ１０２にログオンし、ドメインサーバ１０２を直接的に使用することを可能にするユーザアカウントであってもよい。例えば、多くのドメインサーバは、管理者がドメインサーバにログインし、サーバの構成を実施することができるように、ローカル管理者アカウントを有することができる。ローカル管理者アカウントは、ドメインサーバ１０２へのアクセスを可能にし、ドメインサービスに接続されずに、またはドメインサービスに依存せずに動作することがある。
【００４０】
同様に、ドメインクライアント１０４は、ローカル認証機構１１８およびローカルユーザデータベース１２０を備えることができる。ユーザは、ドメインサービスにではなく、ドメインクライアント１０４のリソースへのユーザアクセスを許可することができるアカウントを、ローカルデータベース１２０内に有することができる。
【００４１】
重複ドメインサーバ１５０は、より大規模な環境でドメインサーバ１０２と同様のドメインサービスを提供することができる。重複ドメインサーバ１５０は、ユーザデータベース１１０のコピーであってもよいユーザデータベース１５２、ならびにデバイスデータベース１１２のコピーであってもよいデバイスデータベース１５４を備えることができる。ドメインクライアント１０４の一部をドメインサーバ１０２に割り当て、他のドメインクライアント１０４を重複ドメインサーバ１５０に割り当てるように、ある実施形態を構成することができる。ある実施形態は、ドメインサーバ１０２と重複ドメインサーバ１５０との間で認証作業負荷を共有することができるように、様々なロードバランシング構成または他の構成を利用することができる。
【００４２】
ワークグループデバイス１５６は、ローカルエリアネットワーク１０６に接続されるデバイスであってもよく、ドメインサーバ１０２などの集中型サーバ無しで、ファイルなどのリソースを共有することができる。ドメインアーキテクチャでは、サーバはユーザに関する認証を提供し、ワークグループアーキテクチャでは、ローカルデータベース１６０を使用するローカル認証機構１５８のみによって認証を与えることができる。
【００４３】
多くの実施形態では、ドメインサーバ１０２は、管理者がユーザアカウントをセットアップおよび構成することのできるユーザインターフェースを含むことができる。ユーザアカウントは、ユーザ名と、ユーザがドメイン上のサービスとどのように対話することができるかを定義する様々な許可または設定とによって、ユーザを識別することができる。例えば、第１のユーザにドメイン内で管理者特権を与えることができ、第１のユーザは、あるサービスに関する構成作業およびセットアップ作業を実施することができる。第２のユーザにドメイン内で制限付きのユーザ特権を与えることができ、第２のユーザは、サービスを消費することができるが、サービスを構成することはできない。
【００４４】
多くのローカル認証機構も、管理者がユーザアカウントを追加、削除、および構成することのできるユーザインターフェースを有することができる。
【００４５】
ユーザアカウントを構成するとき、管理者は、特定のユーザアカウントをクラウド認証することができることを示すことができる。管理者は、それぞれの示したユーザについてクラウド認証機構を識別することができる。管理者は、クラウド認証機構１３０と通信するのに使用されるアドレスまたは他のパラメータを示すことによってクラウド認証機構をセットアップすることができる。ある実施形態では、管理者は、２つ以上のクラウド認証機構を構成することができる。
【００４６】
クラウド認証に関するユーザアカウントを選択することにより、管理者は、ローカルまたはドメイン認証機構とクラウド認証機構１３０との間の信頼を確立していることがある。その信頼は、クラウド認証機構によって許可または拒否される任意の認証をローカルまたはドメインレベルでたどることができることを示すことができる。様々な認証機構によって使用される方法の例を、本明細書の後の部分で提示する実施形態２００および３００で示す。
【００４７】
ローカルエリアネットワーク１０６からゲートウェイ１２６および広域ネットワーク１２８を通じてクラウド認証機構１３０に達することができる。広域ネットワーク１２８は、多くの実施形態ではインターネットを含むことができる。
【００４８】
クラウド認証機構１３０は、ユーザ資格情報を格納することのできるユーザデータベース１３２、ならびにユーザインターフェース１３４を備えることができる。多くの場合、ユーザインターフェース１３４は、広域ネットワーク１２８に接続されたデバイス１３６を使用し、ウェブブラウザ１３８を使用してアクセスすることのできるウェブページの形態であってもよい。
【００４９】
典型的な実施形態では、ユーザは、クラウド認証機構１３０との間でアカウントを確立することができる。アカウントを確立する際に、ユーザは、ユーザ名およびパスワードなどの資格情報を提示することができる。ある場合には、クラウド認証機構１３０は、クレジットカード、運転免許証、または他の識別子などの追加の資格情報を求めることができる。
【００５０】
ある場合には、管理者は、クラウド認証機構１３０との間で各ユーザについてのユーザアカウントを構成することができる。ドメインクライアント１０４またはワークグループデバイス１５６について、またはドメイン全体のサービスへのアクセスを許可することのできるドメインアカウントについてなど、特定のデバイスにローカルにアクセスするようにユーザアカウントを構成することができる。例えば、管理者は、ローカルまたはドメインデータベース内に新しいアカウントを作成し、ユーザ名およびパスワードを含むことのできる資格情報を確立することができる。パスワードは、ユーザによって後で変更することのできる初期パスワードであってもよい。管理者は、クラウド認証機構１３０にドメイン資格情報を送信し、それぞれのユーザデータベース内のユーザ名およびパスワードを使用してアカウントを確立することができる。ユーザのアカウントに、クラウド認証されたアカウントとしてフラグを立てることができ、ユーザがアカウントにログインしたとき、クラウド認証機構１３０によってユーザの資格情報を認証することができる。
【００５１】
ユーザがクラウド認証されたアカウントを有するとき、ユーザは、クラウド認証機構１３０と直接的に通信することによってアカウントを管理することができる。例えば、ユーザは、ウェブブラウザを使用してクラウド認証機構ユーザインターフェース１３４に接続することによってユーザのパスワードまたは他のログイン資格情報を変更することができる。ユーザは、まずウェブブラウジングセッションを認証することができ、次いで新しい資格情報を入力することができる。
【００５２】
ある実施形態では、ドメインクライアント１０４またはドメインサーバ１０２上で動作するソフトウェアにより、ユーザがローカルデバイス上のユーザの資格情報を更新し、更新後の資格情報を更新のためにクラウド認証機構１３０に送信することを可能にすることができる。
【００５３】
ドメインサーバ１０２は、プロセッサ１４０、ランダムアクセスメモリ１４２、および不揮発性メモリまたはストレージ１４４を有するハードウェアプラットフォームを備えることができる。ハードウェア構成要素１２４はまた、ユーザインターフェース１４６およびネットワーク接続１４８をも備えることができる。
【００５４】
ハードウェア構成要素１２４は、パーソナルコンピュータ、サーバコンピュータ、ラップトップまたはデスクトップコンピュータ、あるいは任意の他のコンピューティングデバイスであってもよい。ある実施形態では、ハードウェア構成要素１２４は、携帯電話、携帯情報端末、ハンドヘルドスキャナ、他のデバイスなどのハンドヘルドデバイスであってもよい。
【００５５】
図２は、クラウド認証を伴うクライアントデバイスを操作する方法を示す実施形態２００の流れ図である。実施形態２００は、クラウド認証を使用するときにワークグループまたはドメインクライアントデバイスによって実施することのできる方法である。
【００５６】
他の実施形態は、同様の機能を実施するために、異なるシーケンシング、追加のステップまたはより少数のステップ、および異なる名称または用語を使用することができる。ある実施形態では、様々な動作または動作のセットを、他の動作と並列に、同期式または非同期式に実施することができる。ここで選択したステップは、動作のいくつかの原理を単純化した形で示すように選んだ。
【００５７】
実施形態２００は、実施形態１００のドメインクライアント１０４またはワークグループデバイス１５６などのドメインクライアントまたはワークグループデバイスによって実施することのできる認証プロセスの一例である。実施形態２００は、デバイスまたはドメイン上でユーザを認証する方法を示す。
【００５８】
ブロック２０２で、ログイン画面を提示し、ブロック２０４で、ユーザ識別およびパスワードを受け取ることができる。
【００５９】
ブロック２０２および２０４でユーザから資格情報を受信するために多くの異なる機構を使用することができる。パーソナルコンピュータでは、ログイン画面がディスプレイを覆い、適切に認証されたときにのみアクセスを許可する。ある場合には、ユーザは、セキュリティ措置としてログイン画面に達するためにキーボード上のＣｏｎｔｒｏｌ、Ａｌｔ、およびＤｅｌｅｔｅを押下しなければならないことがある。
【００６０】
ある場合には、ユーザは、他のタイプの資格情報を提示することによってログインすることができる。例えば、ユーザは、指紋読取りデバイス上で指をスキャンし、網膜走査を実施し、顔認識用のカメラの正面にユーザの顔を提示し、または他の生体走査を実施することができる。別の例では、ユーザは、電子的識別を格納することができるカードまたはデバイスを挿入することができる。
【００６１】
ブロック２０４で資格情報を受け取った後、ブロック２０６で、ローカルデータベース内で資格情報を探索することができる。ブロック２０６でのローカルデータベース探索は、資格情報がドメイン認証された資格情報であるか、それともクラウド認証された資格情報であるかに関わらず、すべての資格情報について実施することができる。
【００６２】
ドメイン認証された資格情報は、ドメインサーバが認証機関である資格情報であってもよい。クラウド認証された資格情報は、クラウド認証機構が認証機関であるものであってもよい。実施形態２００の例では、動作は、どちらのタイプの認証機関についても同じである。
【００６３】
ブロック２０８でデータベース内で資格情報が見つかり、ブロック２１０で資格情報が合致し、ブロック２１１で資格情報がローカルアカウントに関するものである場合、ブロック２１２で、ユーザをローカル特権でログオンさせることができ、ブロック２１４で、ユーザは、ローカル特権でクライアントデバイスを操作することができる。ブロック２１６でユーザが終了し、ログオフしたとき、プロセスはブロック２０２に戻る。
【００６４】
ブロック２０８で資格情報がデータベース内に存在しない場合、ユーザは、以前にローカルデバイスに一度もログインしていない可能性がある。実施形態２００のクライアントデバイスでは、すべての資格情報がローカルに格納される。ネットワーク接続がダウンしたとき、または認証機構がオフラインである場合に認証を行うことができように、ドメイン認証された資格情報またはクラウド認証された資格情報のコピーをローカルに格納することができる。これにより、ユーザは、デバイスへのアクセスを得て、少なくとも何らかの操作を実施することが可能となる。
【００６５】
ブロック２０８で資格情報が存在しないとき、資格情報をドメインまたはクラウド認証機構に送信することができる。実施形態２００のデバイスがドメイン接続されるデバイスであるとき、ブロック２１８で資格情報をドメイン認証機構に送信することができる。デバイスがワークグループデバイスであるとき、ブロック２０８の資格情報をクラウド認証機構に送信することができる。
【００６６】
ブロック２０８で資格情報が見つかったが、ブロック２１０で資格情報が合致しない場合、資格情報をブロック２１８に渡すことができる。そのような状態は、ユーザが既知のユーザ名を入力したが、異なるパスワードを入力したときに生じることがある。ブロック２０８でユーザ名を見つけることができるが、ブロック２１０でユーザデータベース内でパスワードを見つけることができないであろう。
【００６７】
ある場合には、ユーザがクラウド認証機構または他のドメインデバイスにログインし、パスワードまたは他の資格情報を変更した可能性がある。そのような場合、ブロック２０４で提示される資格情報は、ブロック２０８のチェックには合格するが、ブロック２１０のチェックには不合格となる。そのような場合、ブロック２１８で、資格情報を権威ある認証機構に渡すことができる。
【００６８】
資格情報がブロック２０８とブロック２１０のどちらも通過したが、ブロック２１１で資格情報がドメインアカウントに関するものではない場合、資格情報をブロック２１８に渡すことができる。実施形態２００に示されないある場合には、ドメイン特権に関して資格情報を受諾し、使用することができる。実施形態２００は、あらゆるドメインログインがドメイン機関によって認証される実施形態を示す。
【００６９】
ブロック２１８で、資格情報を次のレベルの認証機関に送信する。ドメイン機関の場合、資格情報をドメイン認証機構に渡すことができる。クラウド認証を伴うドメインサーバの動作は、本明細書で後述する実施形態３００で示すことができる。
【００７０】
ワークグループデバイスの場合、ブロック２１８で、資格情報をクラウド認証機構に送信することができる。
【００７１】
ブロック２１８で資格情報を送信した後、ブロック２２０で、クライアントデバイスは、認証機関からトークンを受信するまで待機することができる。
【００７２】
ブロック２２２で認証が承認されたことをトークンが示す場合、ブロック２２４で、ローカルユーザデータベースに資格情報を格納することができる。ブロック２２６で資格情報がローカルアクセスに関するものである場合、プロセスはブロック２１２に進むことができ、ユーザは、ローカル特権でデバイスにログインし、使用することができる。ブロック２２６で資格情報がドメインアクセスに関するものである場合、ユーザは、ブロック２２８でドメイン特権でログインすることができ、ブロック２３２でログオフするまで、ブロック２３０でドメイン特権で操作することができ、ログオフの時点で、プロセスはブロック２０２に戻る。
【００７３】
ブロック２２２で資格情報が認証されなかったことをトークンが示す場合、ブロック２３４で、エラーメッセージを生成することができ、プロセスはブロック２０２に戻る。
【００７４】
図３は、クラウド認証を伴うドメインサーバを操作する方法を示す実施形態３００の流れ図である。実施形態３００は、実施形態１００のドメインサーバ１０２などのドメインサーバによって実施することのできる方法である。
【００７５】
他の実施形態は、同様の機能を実施するために、異なるシーケンシング、追加のステップまたはより少数のステップ、および異なる名称または用語を使用することができる。ある実施形態では、様々な動作または動作のセットを、他の動作と並列に、同期式または非同期式に実施することができる。ここで選択したステップは、動作のいくつかの原理を単純化した形で示すように選んだ。
【００７６】
実施形態３００は、クラウド認証機構をあるユーザアカウントに関する認証機関として使用することのできる認証方法を示す。他のユーザアカウントはドメイン認証機関によって認証することができる。
【００７７】
ブロック３０２で、クライアントデバイスから資格情報を受信することができる。ブロック３０２で受信する資格情報は、実施形態２００のブロック２１８で送信するものと同じ資格情報であってもよい。
【００７８】
ブロック３０４で、ユーザデータベース内で資格情報を探索する。
【００７９】
ブロック３０６で資格情報が存在し、ブロック３０８で資格情報が合致する場合、ブロック３１０でトークンを返し、ドメイン認証を受諾することができる。そのような状況では、ドメインまたはクラウド認証を使用してユーザを認証することができる。この実施形態でクラウド認証を使用するとき、クラウド認証機構によって受諾された資格情報のコピーをローカルに格納し、後続の認証のために使用することができる。
【００８０】
周期的に、クラウド認証されたアカウントに関する資格情報をリセットすることができる。本明細書で後述する実施形態４００で一例を示し、その一例は、クラウド認証された資格情報を定期的に再検証させるための機構として機能することができる。
【００８１】
ブロック３０６で資格情報が存在せず、ブロック３１１で資格情報がクラウド認証されたアカウントに関するものではない場合、ブロック３２４で、失敗した認証についてトークンを返すことができる。
【００８２】
ある実施形態では、ブロック３０６で新しい資格情報のセットを提示し、ブロック３１１で、クラウド認証された資格情報のセットとして識別することができる。クラウド認証機構からのドメイン名を含んだＥメールアドレスを有することなどの資格情報の形式により、その資格情報をクラウド認証された資格情報と識別することができる。
【００８３】
ある実施形態は、任意のクラウド認証されたアカウントが、ドメインへのアクセスを許可されるように構成することができる。法人または他の企業の制御下でクラウド認証機構を広域ネットワーク内に配置することができる場合、またはクラウドシステムへのアクセスすることのできる任意のユーザにドメインへのアクセスが許可される場合、そのような実施形態を使用することができる。
【００８４】
ブロック３０６で資格情報が見つかったが、ブロック３０８で合致しない場合、ユーザは、既知のユーザ名を入力したが、異なるパスワードを入力した可能性がある。ブロック３１１で資格情報がクラウド認証アカウントに関するものでもある場合、資格情報をクラウド認証機構に送ることができる。
【００８５】
ブロック３１１から資格情報をクラウド認証機構に送るとき、ブロック３１２で資格情報を暗号化することができ、ブロック３１４でセキュア接続をオープンすることができ、ブロック３１６でクラウド認証機構に資格情報を送信することができる。
【００８６】
ある実施形態は、暗号化およびセキュアチャネル通信を含まないことがある。ある実施形態は、資格情報に対してハッシュを実施し、資格情報の一部またはすべてのクリアテキスト（平文）バージョンの代わりに、ハッシュした値を送信することができる。
【００８７】
ブロック３１８で、クラウド認証機構からトークンを受信することができる。トークンは、認証要求の承認または不承認を送信するための任意のメッセージ、標識、または他の機構であってもよい。暗号化を使用する実施形態では、送信のためにトークンを暗号化し、ドメインコントローラによって暗号化解除することができる。
【００８８】
資格情報が有効であることをトークンが示す場合、ブロック３２２で、ローカルデータベースに資格情報を格納することができ、ブロック３１０で、資格情報の受諾を示すトークンを要求側クライアントデバイスに送信することができる。
【００８９】
資格情報が有効ではないことをトークンが示す場合、ブロック３２４で、認証失敗を示すトークンをクライアントデバイスに送信することができる。
【００９０】
実施形態３００の方法は、ローカルに格納したユーザデータベースを使用して資格情報を検証する。資格情報がデータベース内で見つかり、適切に合致する場合、資格情報がクラウド認証することのできるアカウントに関するものであるときであっても、認証要求を承認することができる。資格情報が古くなり、ユーザにクラウド認証機構との間で資格情報を直接的に更新させることを防止するために、資格情報を削除し、または失効させることができる。実施形態４００でそのような方法の一例を提示する。
【００９１】
図４は、クラウド認証された資格情報に対する更新を強制する方法を示す実施形態４００の流れ図である。実施形態４００は、ローカル認証機構によって実施することのできる方法であり、ローカル認証機構はワークグループまたはドメイン認証機構であってもよい。
【００９２】
他の実施形態は、同様の機能を実施するために、異なるシーケンシング、追加のステップまたはより少数のステップ、および異なる名称または用語を使用することができる。ある実施形態では、様々な動作または動作のセットを、他の動作と並列に、同期式または非同期式に実施することができる。ここで選択したステップは、動作のいくつかの原理を単純化した形で示すように選んだ。
【００９３】
ブロック４０２で、ローカルまたはドメインユーザデータベースをクラウド資格情報で更新することができる。ブロック４０２は、ワークグループデバイスやドメインクライアントなどのローカルデータベースに関するブロック２２４を表すことができる。ブロック４０２はまた、ドメインサーバに関するブロック３２２の動作をも表すことができる。
【００９４】
ブロック４０４で更新時間を記録し、ブロック４０６で所定の時間が経過するまでタイマが処理することができる。
【００９５】
所定の時間が経過すると、ブロック４０８で資格情報を強制的に失効させることができる。資格情報を強制的に失効させる一機構は、資格情報のパスワードまたは他の部分を消去することであってもよい。ある場合には、次のログイン時にクラウド認証機構によって資格情報をリフレッシュできることを示すフラグと共に資格情報を格納することができる。
【００９６】
資格情報が失効し、または削除されたとき、実施形態２００および３００のそれぞれブロック２１０またはブロック３０８の資格情報合致の失敗の状態がトリガされる。その状態によって、資格情報はクラウド認証機構に送信され、検証され、ローカルデータベースに格納されうる。資格情報がローカルデータベースに格納されるとき、ブロック４０６の所定の時間に達するまで資格情報を認証のために使用することができ、後続のログインで資格情報が再びリフレッシュされる。
【００９７】
上記の主題の説明は、例示および説明のために提示したものである。上記の主題の説明は、網羅的なものではなく、開示する厳密な形態に主題を限定するためのものではなく、上記の教示に照らして他の修正形態および変形形態が可能である。本発明の原理およびその実際的な応用分野を最良に説明し、それによって企図される特定の用途に適するように様々な実施形態および様々な修正形態で当業者が本発明を最良に利用することを可能にするために、実施形態を選び、説明した。添付の特許請求の範囲は、従来技術によって限定される範囲を除いて、他の代替実施形態を含むように解釈されるものとする。
【図１】
2013508854.tif 000003
【図２】
2013508854.tif 000004
【図３】
2013508854.tif 000005
【図４】
2013508854.tif 000006
【国際調査報告】
2013508854.tif 000007
2013508854.tif 000008