(57)【要約】【解決手段】トランザクションに対する承認をフィルタリングする方法およびシステムを提供する。それぞれがトランザクションパラメータに固有である複数の承認ルールに関する情報を保存する。クラウドネイティブアプリケーションを介してユーザによって送信されたトランザクション要求を遠隔地で受信する。トランザクション要求をトランザクションセグメントに分割する。各トランザクションセグメントは各場所に関連付けられる。トランザクション要求の各トランザクションセグメントに適用可能な承認ルールのセットを識別する。承認ルールのセットは、遠隔地の要求ユーザ、各場所、承認ルールのセットによって特定されたトランザクションパラメータに基づいて識別される。各識別された承認ルールのセットに基づいてトランザクション要求の各トランザクションセグメントの結果をフィルタリングする。フィルタリングされた結果をユーザに提供する。【選択図】図１
2021530072.tif 000002
【特許請求の範囲】
【請求項１】
トランザクションに対する承認をフィルタリングする方法であって、
複数の承認ルールに関する情報を格納するステップであって、各ルールは１つまたは複数のトランザクションパラメータに固有である、前記格納するステップと、
遠隔地の要求ユーザによって送信されたトランザクション要求を受信するステップであって、前記トランザクション要求はクラウドネイティブアプリケーションを介して送信される、前記受信するステップと、
前記トランザクション要求を１つまたは複数のトランザクションセグメントに分割するステップであって、各トランザクションセグメントは各場所に関連付けられている、前記分割するステップと、
前記受信されたトランザクション要求の各トランザクションセグメントに適用可能な承認ルールのセットを識別するステップであって、前記承認ルールのセットは、前記承認ルールのセットによって特定された前記トランザクションパラメータに基づいて識別される、前記識別するステップと、
各識別された承認ルールのセットに基づいて前記受信されたトランザクション要求の各トランザクションセグメントの結果をフィルタリングするステップと、
前記フィルタリングされた結果を前記要求ユーザに提供するステップとを含む、方法。
【請求項２】
前記承認ルールのセットは、さらに前記遠隔地の前記要求ユーザに基づいて識別される、請求項１の方法。
【請求項３】
前記承認ルールのセットは、さらに各セグメントの各場所に基づいて識別される、請求項１の方法。
【請求項４】
前記トランザクションセグメントの少なくとも一つをサンプリングするステップをさらに含む、請求項１の方法。
【請求項５】
前記トランザクション要求に関連付けられたデジタル署名に基づいて前記要求ユーザを識別するステップをさらに含む、請求項１の方法。
【請求項６】
前記トランザクション要求は、個人識別情報（PII）へのサブスクリプションを含む、請求項１の方法。
【請求項７】
前記承認ルールのセットを前記トランザクションに関連付けられたパッケージに集約するステップをさらに含む、請求項１の方法。
【請求項８】
各トランザクションセグメントは、異なる個人識別情報（PII）のセットに関連付けられている、請求項１の方法。
【請求項９】
各適用可能なルールへの準拠のために各トランザクションセグメントを監査するステップをさらに含む、請求項１の方法。
【請求項１０】
トランザクションに対する承認をフィルタリングするシステムであって、
複数の承認ルールに関する情報を格納するメモリであって、各ルールは１つまたは複数のトランザクションパラメータに固有である、前記メモリと、
遠隔地の要求ユーザによって送信されたトランザクション要求を受信する通信インタフェースであって、前記トランザクション要求はクラウドネイティブアプリケーションを介して送信される、前記通信インタフェースと、
メモリに格納された命令を実行するプロセッサであって、前記プロセッサによる前記命令の実行は、
前記トランザクション要求を１つまたは複数のトランザクションセグメントに分割することであって、各トランザクションセグメントは各場所に関連付けられている、前記分割することと、
前記受信されたトランザクション要求の各トランザクションセグメントに適用可能な承認ルールのセットを識別することであって、前記承認ルールのセットは、前記承認ルールのセットによって特定された前記トランザクションパラメータに基づいて識別される、前記識別することと、
各識別された承認ルールのセットに基づいて前記受信されたトランザクション要求の各トランザクションセグメントの結果をフィルタリングすることとを含む、前記プロセッサとを含み、
前記通信インタフェースは、前記フィルタリングされた結果を前記要求ユーザに提供する、システム。
【請求項１１】
前記プロセッサは、さらに前記遠隔地の前記要求ユーザに基づいて前記承認ルールのセットを識別する、請求項１０のシステム。
【請求項１２】
前記プロセッサは、さらに各セグメントの各場所に基づいて前記承認ルールのセットを識別する、請求項１０のシステム。
【請求項１３】
前記プロセッサはさらに、前記トランザクションセグメントの少なくとも一つをサンプリングする、請求項１０のシステム。
【請求項１４】
前記プロセッサはさらに、前記トランザクション要求に関連付けられたデジタル署名に基づいて前記要求ユーザを識別する、請求項１０のシステム。
【請求項１５】
前記トランザクション要求は、個人識別情報（ＰＩＩ）へのサブスクリプションを含む、請求項１０のシステム。
【請求項１６】
前記プロセッサはさらに、前記承認ルールのセットを前記トランザクションに関連付けられたパッケージに集約する、請求項１０のシステム。
【請求項１７】
各トランザクションセグメントは、異なる個人識別情報（ＰＩＩ）のセットに関連付けられている、請求項１０のシステム。
【請求項１８】
前記プロセッサはさらに、各適用可能なルールへの準拠のために各トランザクションセグメントを監査するステップをさらに含む、請求項１０のシステム。
【請求項１９】
トランザクションに対する承認をフィルタリングする方法を実行するためのプロセッサによって実行可能なプログラムを格納した非一時的コンピュータ可読記憶媒体であって、前記方法は、
複数の承認ルールに関する情報を格納するステップであって、各ルールは１つまたは複数のトランザクションパラメータに固有である、前記格納するステップと、
遠隔地の要求ユーザによって送信されたトランザクション要求を受信するステップであって、前記トランザクション要求はクラウドネイティブアプリケーションを介して送信される、前記受信するステップと、
前記トランザクション要求を１つまたは複数のトランザクションセグメントに分割するステップであって、各トランザクションセグメントは各位置に関連付けられている、前記分割するステップと、
前記受信されたトランザクション要求の各トランザクションセグメントに適用可能な承認ルールのセットを識別するステップであって、前記承認ルールのセットは、前記承認ルールのセットによって特定された前記トランザクションパラメータに基づいて識別される、前記識別するステップと、
各識別された承認ルールのセットに基づいて前記受信されたトランザクション要求の各トランザクションセグメントの結果をフィルタリングするステップと、
前記フィルタリングされた結果を前記要求ユーザに提供するステップとを含む、非一時的コンピュータ可読記憶媒体。
【発明の詳細な説明】
【技術分野】
【０００１】
関連する出願への相互参照
本特許出願は、２０１８年６月２９日に出願された米国仮特許出願番号６２／６９２，３８３の優先権を主張し、その開示は参照により本明細書に組み込まれる。
【０００２】
本発明は、一般にクラウドネイティブアプリケーションに関する。より具体的には、本発明は、クラウドネイティブアプリケーションに対する認証の管理およびフィルタリングに関する。
【背景技術】
【０００３】
クラウドネイティブアプリケーションが登場する前は、一元化されたアプリケーションインフラストラクチャは厳しい境界で設計することができた。たとえば、管轄区域固有のポリシーとルールの適用を可能にするために、異なる場所に個別のデータストアを設けることができた。しかしながら、クラウドネイティブアプリケーションの場合などの分散環境には、このような厳しい境界がない。
【０００４】
たとえば、欧州連合で一般データ保護規則（ＧＤＰＲ）が制定された後、市民と居住者に関する個人データは、保管、処理、配布、および輸出を管理する特定の制御の対象となる。そのようなデータを含むトランザクション要求は、異なる制御の対象となる異なる場所毎に別々のデータストアを割り当てる従来技術のシステムによって処理されてもよい。しかしながら、同じストリームが複数の異なる規制スキームに関係している場合、このようなソリューションは実用的ではないかもしれない。さらに管轄区域では、プライバシーおよび他の種類のデータ制御に関する独自の一連の法律、規則、および規制が制定されている。このような異なる取り扱いと規制スキームは、データ要求の処理方法の問題を複雑にする。
【０００５】
したがって、当技術分野では、クラウドネイティブアプリケーションの認証をフィルタリングするシステムおよび方法が必要である。
【発明の概要】
【０００６】
本発明の実施の形態は、エンドユーザパラメータに基づいてフィルタリングされた認証を備えたクラウドネイティブアプリケーション（クラウドベースのサービスまたはワークロードを含む）を提供する。そのような実施の形態では、クラウドネイティブアプリケーションは、クラウド環境においてそれぞれのアイデンティティを備えてもよい。このようなクラウドネイティブアプリケーションを介して提供されるデータは、フィルタリングされた承認に対する新しいパラダイムの対象となることがある。フィルタリングされた承認は、変化する場所への適応、セキュリティ要件、および各トランザクションに関連するリスク許容度を管理する事前定義された承認ルールに基づいてもよい。このようなフィルタリングの結果、要求されたトランザクションに応じて、該当するルールに準拠した特定のデータのみが提供される。
【０００７】
様々な実施の形態は、トランザクションに対する承認をフィルタリングする方法を含んでもよい。そのような方法は、それぞれが１つまたは複数のトランザクションパラメータに固有である複数の承認ルールに関する情報を格納するステップと、クラウドネイティブアプリケーションを介して遠隔地の要求ユーザによって送信されたトランザクション要求を受信するステップと、前記トランザクション要求をそれぞれが各場所に関連付けられている１つまたは複数のトランザクションセグメントに分割するステップと、前記遠隔地の前記要求ユーザ、各場所、および前記承認ルールのセットによって特定された前記トランザクションパラメータに基づいて、前記受信されたトランザクション要求の各トランザクションセグメントに適用可能な承認ルールのセットを識別するステップとを含んでもよい。当該方法は、各識別された承認ルールのセットに基づいて前記受信されたトランザクション要求の各トランザクションセグメントの結果をフィルタリングするステップと、前記フィルタリングされた結果を前記要求ユーザに提供するステップとをさらに含んでもよい。
【０００８】
さらなる実施の形態は、トランザクションに対する承認をフィルタリングするシステムを含んでもよい。そのようなシステムは、それぞれが１つまたは複数のトランザクションパラメータに固有である複数の承認ルールに関する情報を格納するメモリと、クラウドネイティブアプリケーションを介して遠隔地の要求ユーザによって送信されたトランザクション要求を受信する通信インタフェースと、前記トランザクション要求をそれぞれが各場所に関連付けられている１つまたは複数のトランザクションセグメントに分割し、前記遠隔地の前記要求ユーザ、各場所、および前記承認ルールのセットによって特定された前記トランザクションパラメータに基づいて、前記受信されたトランザクション要求の各トランザクションセグメントに適用可能な承認ルールのセットを識別し、各識別された承認ルールのセットに基づいて前記受信されたトランザクション要求の各トランザクションセグメントの結果をフィルタリングする命令を実行するプロセッサとを含んでもよい。前記通信インタフェースはさらに、前記フィルタリングされた結果を前記要求ユーザに提供してもよい。
【０００９】
さらに別の実施の形態は、本明細書に記載の方法を実行するために実行可能なプログラムをその上に具体化した非一時的なコンピュータ可読記憶媒体を含んでもよい。
【図面の簡単な説明】
【００１０】
【図１】承認をフィルタリングするためのシステムが実装される単純化されたネットワーク環境を示す図である。
【００１１】
【図２】承認をフィルタリングするための例示的な方法を示すフローチャートである。
【００１２】
【図３】本発明の実施の形態を実施するために使用される例示的なコンピューティングシステムを示す図である。
【発明を実施するための形態】
【００１３】
本発明の実施の形態は、エンドユーザパラメータに基づいてフィルタリングされた認証を備えたクラウドネイティブアプリケーション（クラウドベースのサービスまたはワークロードを含む）を提供する。そのような実施の形態では、クラウドネイティブアプリケーションは、クラウド環境においてそれぞれのアイデンティティを備えてもよい。このようなクラウドネイティブアプリケーションを介して提供されるデータは、フィルタリングされた承認に対する新しいパラダイムの対象となることがある。フィルタリングされた承認は、変化する場所への適応、セキュリティ要件、および各トランザクションに関連するリスク許容度を管理する事前定義された承認ルールに基づいてもよい。このようなフィルタリングの結果、要求されたトランザクションに応じて、該当するルールに準拠した特定のデータのみが提供される。
【００１４】
たとえば、欧州連合で一般データ保護規則（ＧＤＰＲ）が制定された後、市民と居住者に関する個人データは、保管、処理、配布、および輸出を管理する特定の制御の対象となる。従来技術のシステムとは対照的に、フィルタリングされた承認により、管理者は、トランザクション要求の属性（例えば、要求しているユーザの場所）に基づいて、異なるトランザクションワークロードに提供することが許可されたデータを指定することができる。そのため、トランザクションには英国で実行された最初のワークロードが含まれてもよく、その結果がドイツにおいて２番目のワークロードに提供されて最終結果が提供されてもよい。このようなデータは、要求者に公開される前に、ＧＤＰＲ準拠のポリシーに関してフィルタリングされてもよい。
【００１５】
このようなフィルタリングには、クラウドネイティブアプリケーションを介したトランザクション要求の受信が含まれてもよい。そのようなトランザクション要求は、要求しているユーザによって開始されてもよく、承認フィルタリングに対する基礎として役立つ関連する詳細（例えば、要求しているユーザの場所）を含んでもよい。トランザクション要求はさらに複数のワークロードに分割されてもよく、各ワークロードは独自の特定のルールに関連付けられてもよい。トランザクションのそのようなセグメンテーションは、要求しているユーザが誰であるかということと、彼または彼女の場所とに基づいてもよい。したがって、各セグメントは特定の結果を提供してもよく、そのデータは、要求しているユーザに公開される前に、承認ルールとポリシーに基づいてフィルタリングされてもよい。したがって、フィルタリングされた承認は、一般的なデータストアへのゲートキーパーとして機能し、これは、冗長性を回避し、効率を高め、さまざまな場所から発生するさまざまなトランザクションを処理する際のさらなる柔軟性とワークロードバランシングを提供する。
【００１６】
図１は、承認をフィルタリングするためのシステムが実装される例示的なネットワーク環境を示す。図示されるように、例示的なネットワーク環境１００は、各場所における、エンティティＡ  １２０Ａ（例：個人ユーザーデバイス）、エンティティＢ  １２０Ｂ（例：個人ユーザ）、エンティティＣ  １２０Ｃ（例：モノのインターネット（ＩｏＴ）デバイス）、およびエンティティＤ  １２０Ｄ（例：サービス／サーバシステム）を含む様々な異なるエンティティを含んでもよい。そのようなエンティティ１２０Ａ〜Ｄは、１つまたは複数の異なるタイプの通信ネットワーク１１０を介して、１つまたは複数のアイデンティティサーバＡ１３０ＡおよびＢ１３０Ｂと通信することができる。
【００１７】
通信ネットワーク１１０は、ローカルの専有ネットワーク（例えば、イントラネット）であってもよく、および／またはより大きな広域ネットワークの一部であってもよい。通信ネットワーク１１０は、ローカルエリアネットワーク（ＬＡＮ）であってもよく、これは、インターネットなどのワイドエリアネットワーク（ＷＡＮ）に通信可能に結合されてもよい。インターネットは、相互接続されたコンピュータとサーバの幅広いネットワークであり、ネットワークサービスプロバイダを介して接続されたユーザ間でインターネットプロトコル（ＩＰ）データの送信と交換を可能にする。ネットワークサービスプロバイダの例は、公衆交換電話網、携帯電話またはモバイルサービスプロバイダ、ケーブルサービスプロバイダ、デジタル加入者線（ＤＳＬ）サービスのプロバイダ、または衛星サービスプロバイダである。通信ネットワーク１１０は、ネットワーク環境１００の様々な構成要素間の通信を可能にする。
【００１８】
場合によっては、エンティティ１２０Ａ〜Ｄは、クラウドネイティブアプリケーションと関連付けられたＡＰＩゲートウェイ（図示せず）を経由して通信ネットワーク１１０を介してアイデンティティサーバ１３０と通信することができる。そのようなＡＰＩゲートウェイは、サービスメッシュへのエンティティ１２０のエントリポイントとして機能することができる。ＡＰＩゲートウェイは、識別と認証のために公開エンドポイントを公開するだけでなく、データストリームにコンテキストデータを挿入することもできる（一例として、（たとえば、セキュリティプレーンにおける内部証明機関によって）ＡＰＩゲートウェイ専用に発行された秘密鍵を使用して署名されたプロキシリクエストへのトークンを介して）。ＡＰＩゲートウェイは、アイデンティティサーバ１３０で作成できる豊富なポリシーを適用することができる（たとえば、ユーザ属性、役割、関係、セッション属性、現在の場所、デバイス情報、使用される認証方法、トランザクションユーザまたはデバイスのリスク要因などの要因に基づいて）。エンティティ１２０Ａ〜Ｄは、汎用コンピュータ、携帯電話、スマートフォン、スマートウォッチ、ウェアラブルデバイス、パーソナルデジタルアシスタント（ＰＤＡ）、ポータブルコンピューティングデバイス（例えば、ラップトップ、ネットブック、タブレット）、デスクトップコンピューティングデバイス、ハンドヘルドコンピューティングデバイス、スマートセンサ、スマートアプライアンス、ＩｏＴデバイス、スマートコントロール用のコントローラにネットワーク接続されたデバイス、サーバとサーバシステム（クラウドベースのサーバとサーバシステムを含む）、または通信ネットワーク１１０を介して通信することができる他の種類のコンピューティングデバイスのような任意の数の異なる電子デバイスで具体化されてもよい。エンティティ１２０Ａ〜Ｄに関連するそのようなデバイスはまた、ダウンロードされたサービスの場合に適切であるように、ローカルキャッシュ、メモリカード、またはディスクドライブなどの他の記憶媒体からのデータにアクセスするように構成されてもよい。エンティティ１２０Ａ〜Ｄに関連するデバイスは、ネットワークおよびメディアインタフェース、非一時的なコンピュータ可読ストレージ（メモリ）、およびメモリに格納される命令を実行するためのプロセッサなどの標準的なハードウェアコンピューティングコンポーネントを含んでもよい。
【００１９】
アイデンティティ（識別）サーバ１３０は、データストリームアイデンティティを管理するためのプラットフォームを提供してもよい。アイデンティティサーバ１３０は、クラウドまたはオンプレミスにインストール可能であってもよい。そのようなアイデンティティサーバ１３０はまた、デジタル証明書、セキュリティキー、および他の暗号化データの読み取り、生成、割り当て、および管理を可能にする公開鍵インフラストラクチャ（ＰＫＩ）を含んでもよい。したがって、アイデンティティサーバ１３０は、各エンティティ１２０をエンティティ固有の識別、デジタル署名、および／または暗号化を可能にする識別データのセットに一意に関連付けてもよい。エンティティ固有のアイデンティティ（識別）情報は、１つまたは複数のアイデンティティサーバ１３０、および他のアイデンティティプロバイダ（例えば、Ｆａｃｅｂｏｏｋ（登録商標）、ＯＡｕｔｈ  ＯｐｅｎＩＤ、生体認証署名）によって生成されてもよい。
【００２０】
アイデンティティサーバ１３０は、適用可能なルールおよび規制に従って、データ要求を処理し、そのような要求の結果をフィルタリングする責任を負ってもよい。したがって、アイデンティティサーバ１３０は、要求しているユーザによって開始され、要求しているユーザの場所などの情報を示すクラウドネイティブアプリケーションを介してトランザクション要求を受信してもよい。その後、アイデンティティサーバ１３０は、トランザクション要求を複数のワークロードに分割してもよく、各ワークロードは、それ自身の特定のルールに関連付けられてもよい。
【００２１】
トランザクションのそのようなセグメンテーションは、要求しているエンティティが誰であるかということと、そのそれぞれの場所とに基づいてもよい。したがって、各セグメントは特定の結果を提供してもよく、そのデータは、要求しているユーザに公開される前に、承認ルールとポリシーに基づいてフィルタリングされてもよい。したがって、フィルタリングされた承認は、一般的なデータストアへのゲートキーパーとして機能し、これは、冗長性を回避し、効率を高め、さまざまな場所から発生するさまざまなトランザクションを処理する際のさらなる柔軟性とワークロードバランシングを提供する。
【００２２】
フィルタリングに加えて、アイデンティティサーバ１３０は、トランザクションの各ステップで、具体的に、どのデータが要求しているエンティティにリリースされるかを識別するために、データストリームからサンプリングする能力をさらに有してもよい。トランザクションに関与する各エンティティは、データストリームに関連付けられているかパッケージ化されているデジタル署名に基づいて識別されてもよい。場合によっては、トランザクションには、あるエンティティが別のエンティティからの個人識別情報（ＰＩＩ）要素または別のエンティティに関する個人識別情報要素を要求またはサブスクライブすることが含まれてもよい。アイデンティティサーバ１３０は、要求の仕様（例えば、要求されたサービス）、受信しているエンティティの入力ＡＰＩ、および押し出されるサンプリングデータなどのパラメータを評価することによって、データストリームをサンプリングしてもよい。そのようなサンプリングにより、アイデンティティサーバ１３０はどのデータがリリースされているかを知ることができ、データストリームの内容に対する洞察を得ることができる。
【００２３】
アイデンティティサーバ１３０はまた、異なる承認ポリシーを制御ポリシーのパッケージに集約してもよい。このようなパッケージ化されたポリシーにより、各エンティティがその関連データをきめ細かく制御することができる。例えば、特定のエンティティの画像は、識別された場所でビデオにキャプチャされてもよい。異なる場所にある異なるエンティティがそのようなビデオへのアクセスを要求してもよい。アイデンティティサーバ１３０は、ビデオストリームがキャプチャされたエンティティの画像を含むことを決定し、制御ポリシーの適用可能なパッケージを識別し、そして具体的には、識別された制御ポリシーのパッケージをその要求に適用してもよい。そのような制御ポリシーの下で承認された場合、要求しているエンティティには、少なくともキャプチャされたエンティティを含むビデオのセグメントへのアクセスが提供されてもよい。そのようなプロセスは、ビデオにおいてキャプチャされた各エンティティに対してアイデンティティサーバ１３０によって実行されてもよい。したがって、アイデンティティサーバ１３０は、エンティティにアイデンティティを提供し、各アイデンティティに対するきめ細かいポリシーを可能にし、承認および許可を要求するアイデンティティを検証および使用し、データ使用を監視および監査し、エンティティツールを提供してデジタルフットプリントを管理および制御してもよい。
【００２４】
図２は、承認をフィルタリングするための例示的な方法を示すフローチャートである。図２の方法２００は、ＣＤ、ＤＶＤ、またはハードドライブなどの不揮発性メモリを含むがこれらに限定されない、非一時的なコンピュータ可読記憶媒体内の実行可能命令として具体化することができる。記憶媒体の命令は、プロセッサ（または複数のプロセッサ）によって実行され、記憶媒体をホストするか、さもなければアクセスするコンピューティングデバイスの様々なハードウェアコンポーネントに当該方法を実行させることができる。図２において特定されたステップ（およびその順序）は例示的なものであり、その実行の順序を含むがこれらに限定されない様々な代替物、同等物、またはそれらの派生物を含んでもよい。
【００２５】
ステップ２１０において、承認ルールおよび関連するパラメータは、メモリに格納されてもよい。そのようなルールは、関与する特定の１つまたは複数のエンティティ、各エンティティのそれぞれの場所、およびトランザクションまたはそのセグメントのそれぞれの場所に関連付けられてもよい。パラメータは、アクセスが許可または拒否される条件を指定してもよい。このようなパラメータは、所有者として識別された特定のエンティティ、および地理的な場所に適用可能な法的および規制スキームによって指定されてもよい。
【００２６】
ステップ２２０において、トランザクション要求は、クラウドネイティブアプリケーションを介して遠隔地にある要求エンティティ１２０によって送信され、アイデンティティサーバ１３０によって受信されてもよい。トランザクション要求に関連付けられたデータは、要求しているエンティティ１２０のアイデンティティ、およびその地理的場所を示してもよい。
【００２７】
ステップ２３０において、アイデンティティサーバ１３０は、トランザクション要求を分析してもよい。このような分析には、トランザクション要求を異なる場所との関連付けに基づいた複数のセグメントに分割することが含まれてもよい。たとえば、あるセグメントを１つの場所に関連付け、別のセグメントを別の場所に関連付けてもよい。
【００２８】
ステップ２４０において、アイデンティティサーバ１３０は、各セグメントに適用可能なルールのセットを識別してもよい。そのようなルールは、ステップ２１０においてメモリに格納されたものから識別されてもよい。さらに、適用可能なルールのセットを識別することは、要求しているエンティティとその場所、それぞれのセグメントの場所、およびルールによって指定されたトランザクションパラメータにさらに基づいてもよい。
【００２９】
ステップ２５０において、アイデンティティサーバ１３０は、適用可能なルールのそれぞれのセットに基づいて、各トランザクションセグメントの結果をフィルタリングしてもよい。そのため、トランザクション内のさまざまなデータセットは、異なるルールのセットの対象となってもよい。これにより、複数の異なる適用可能なルールに準拠してデータをきめ細かく制御することができる。最後に、ステップ２６０において、フィルタリングされた結果は、通信ネットワーク１１０を介して要求しているエンティティ１２０に提供される。
【００３０】
図３は、本発明の実施の形態を実施するために使用される例示的なコンピューティングシステム３００を示す。図３のシステム３００は、エンティティＡデバイス１２０Ａ、エンティティＣ１２０Ｃ、またはエンティティＤ１２０Ｄのようなものだけでなく、エンティティＢ１２０Ｂによって使用されるもののコンテキストで実装されてもよい。図３のコンピューティングシステム３００は、１つまたは複数のプロセッサ３１０およびメモリ３１０を含む。メインメモリ３１０は、プロセッサ３１０によって実行するための命令およびデータを部分的に格納する。メインメモリ３１０は、動作中に実行可能コードを格納することができる。図３のシステム３００は、さらに、大容量記憶装置３３０、携帯型記憶媒体ドライブ３４０、出力装置３５０、ユーザ入力装置３６０、グラフィックスディスプレイ３７０、および周辺装置３８０を含む。
【００３１】
図３に示される構成要素は、単一のバス３９０を介して接続されているものとして描かれている。しかしながら、これらの構成要素は、１つまたは複数のデータ転送手段を介して接続されてもよい。例えば、プロセッサユニット３１０およびメインメモリ３１０は、ローカルマイクロプロセッサバス３９０を介して接続されてもよく、大容量記憶装置３３０、周辺機器３８０、携帯型記憶装置３４０、およびディスプレイシステム３７０は、１つまたは複数の入力／出力（Ｉ／Ｏ）バス３９０を介して接続されてもよい。
【００３２】
磁気ディスクドライブまたは光学ディスクドライブで実装されてもよい大容量記憶装置３３０は、プロセッサユニット３１０によって使用されるためのデータおよび命令を記憶するための不揮発性記憶装置である。大容量記憶装置３３０は、そのソフトウェアをメインメモリ３１０にロードする目的で、本発明の実施の形態を実施するためのシステムソフトウェアを記憶することができる。
【００３３】
ポータブル記憶装置３４０は、フロッピー（登録商標）ディスク、コンパクトディスク（ＣＤ）またはデジタルビデオディスク（ＤＶＤ）などのポータブル不揮発性記憶媒体と連動して動作し、図３のコンピュータシステム３００との間でデータおよびコードを入出力する。本発明の実施の形態を実施するためのシステムソフトウェアは、そのような携帯型媒体に格納され、携帯型記憶装置３４０を介してコンピュータシステム３００に入力されてもよい。
【００３４】
入力デバイス３６０は、ユーザインタフェースの一部を提供する。入力デバイス３６０は、英数字および他の情報を入力するためのキーボードなどの英数字キーパッド、または、マウス、トラックボール、スタイラス、またはカーソル方向キーなどのポインティングデバイスを含んでもよい。さらに、図３に示されるようなシステム３００は、出力デバイス３５０を含む。適切な出力デバイスの例には、スピーカ、プリンタ、ネットワークインターフェイス、およびモニターが含まれる。
【００３５】
ディスプレイシステム３７０は、液晶ディスプレイ（ＬＤＣ）または他の適切なディスプレイデバイスを含んでもよい。ディスプレイシステム３７０は、テキストおよびグラフィック情報を受信し、ディスプレイデバイスへの出力のために情報を処理する。
【００３６】
周辺機器３８０は、コンピュータシステムに追加の機能を追加するために、任意のタイプのコンピュータサポートデバイスを含んでもよい。例えば、周辺機器３８０は、モデムまたはルータを含んでもよい。
【００３７】
図３のコンピュータシステム３００に含まれる構成要素は、本発明の実施の形態での使用に適するコンピュータシステムに典型的に見られるものであり、当技術分野で周知のそのようなコンピュータコンポーネントの広いカテゴリを表すことを意図している。したがって、図３のコンピュータシステム３００は、パーソナルコンピュータ、ハンドヘルドコンピューティングデバイス、電話、モバイルコンピューティングデバイス、ワークステーション、サーバ、ミニコンピュータ、メインフレームコンピュータ、または任意の他のコンピューティングデバイスであってもよい。コンピュータには、さまざまなバス構成、ネットワークプラットフォーム、マルチプロセッサプラットフォームなどを含めることもできる。Ｕｎｉｘ（登録商標）、Ｌｉｎｕｘ（登録商標）、Ｗｉｎｄｏｗｓ（登録商標）、Ｍａｃｉｎｔｏｓｈ  ＯＳ、Ｐａｌｍ  ＯＳ、およびその他の適切なオペレーティングシステムを含むさまざまなオペレーティングシステムを使用することができる。
【００３８】
本発明は、様々なデバイスを使用して動作可能であるアプリケーションにおいて実施されてもよい。非一時的なコンピュータ可読記憶媒体とは、実行のために中央処理装置（ＣＰＵ）に命令を提供することに関与する任意の媒体を指す。このような媒体は、それぞれ光学ディスクまたは磁気ディスクおよび動的メモリなどの不揮発性および揮発性媒体を含むがこれらに限定されない多くの形態をとることができる。非一時的なコンピュータ可読媒体の一般的な形態には、例えば、フロッピー（登録商標）ディスク、フレキシブルディスク、ハードディスク、磁気テープ、その他の磁気媒体、ＣＤ−ＲＯＭディスク、デジタルビデオディスク（ＤＶＤ）、他の光媒体、ＲＡＭ、ＰＲＯＭ、ＥＰＲＯＭ、ＦＬＡＳＨＥＰＲＯＭ、およびその他のメモリチップまたはカートリッジが含まれる。
【００３９】
様々な形態の伝送媒体が、実行のために１つまたは複数の命令の１つまたは複数のシーケンスをＣＰＵに運ぶことに関与してもよい。バス（例えば、バス３９０）は、データをシステムＲＡＭに運び、そこからＣＰＵが命令を取り出して実行する。システムＲＡＭが受信した命令は、オプションで、ＣＰＵによる実行の前または後に固定ディスクに保存することができる。同様に、さまざまな形式のストレージ、およびそれを実装するために必要なネットワークインターフェイスとネットワークトポロジを実装してもよい。
【００４０】
様々な実施の形態が上で説明されてきたが、それらは単なる例として提示されたものであり、限定ではないことを理解されたい。説明は、本発明の範囲を本明細書に記載の特定の形態に限定することを意図するものではない。したがって、好ましい実施の形態の幅および範囲は、上記の例示的な実施の形態のいずれによっても制限されるべきではない。上記の説明は例示的なものであり、限定的なものではないことを理解されたい。それどころか、本明細書は、添付の特許請求の範囲によって定義され、そうでなければ当業者によって理解される本発明の精神および範囲内に含まれ得るような代替、修正、および同等物を網羅することを意図している。したがって、本発明の範囲は、上記の説明を参照するのではなく、添付の特許請求の範囲およびそれらの同等物の全範囲を参照して決定されるべきである。
【図１】
2021530072.tif 000003
【図２】
2021530072.tif 000004
【図３】
2021530072.tif 000005
【手続補正書】
【提出日】令和3年3月2日(2021.3.2)
【手続補正１】
【補正対象書類名】特許請求の範囲
【補正対象項目名】全文
【補正方法】変更
【補正の内容】
【特許請求の範囲】
【請求項１】
トランザクションに対する承認をフィルタリングする方法であって、
複数の承認ルールに関する情報を格納するステップであって、各ルールは１つまたは複数のトランザクションパラメータに固有である、前記格納するステップと、
遠隔地の要求ユーザによって送信されたトランザクション要求を受信するステップであって、前記トランザクション要求はクラウドネイティブアプリケーションを介して送信される、前記受信するステップと、
前記トランザクション要求を１つまたは複数のトランザクションセグメントに分割するステップであって、各トランザクションセグメントは前記トランザクション要求に関連付けられた場所のセットにおける１つまたは複数の場所に関連付けられ、前記場所のセットは前記要求ユーザの前記遠隔地を含む、前記分割するステップと、
前記受信されたトランザクション要求の各トランザクションセグメントに適用可能な承認ルールのセットを識別するステップであって、前記承認ルールのセットは、前記承認ルールのセットのそれぞれに関連付けられた前記場所に基づいて識別される、前記識別するステップと、
前記識別された承認ルールのセットからの各ルールに基づいて前記受信されたトランザクション要求の各トランザクションセグメントの結果をフィルタリングするステップであって、少なくとも１つのトランザクションセグメントは前記要求ユーザの前記遠隔地に基づいてフィルタリングされる、前記フィルタリングするステップと、
前記フィルタリングされた結果を前記要求ユーザに提供するステップとを含む、方法。
【請求項２】
前記承認ルールのセットは、さらに前記遠隔地の前記要求ユーザに基づいて識別される、請求項１の方法。
【請求項３】
前記承認ルールのセットは、さらに各セグメントの各場所に基づいて識別される、請求項１の方法。
【請求項４】
前記トランザクションセグメントの少なくとも一つをサンプリングするステップをさらに含む、請求項１の方法。
【請求項５】
前記トランザクション要求に関連付けられたデジタル署名に基づいて前記要求ユーザを識別するステップをさらに含む、請求項１の方法。
【請求項６】
前記トランザクション要求は、個人識別情報（PII）へのサブスクリプションを含む、請求項１の方法。
【請求項７】
前記承認ルールのセットを前記トランザクションに関連付けられたパッケージに集約するステップをさらに含む、請求項１の方法。
【請求項８】
各トランザクションセグメントは、異なる個人識別情報（PII）のセットに関連付けられている、請求項１の方法。
【請求項９】
各適用可能なルールへの準拠のために各トランザクションセグメントを監査するステップをさらに含む、請求項１の方法。
【請求項１０】
トランザクションに対する承認をフィルタリングするシステムであって、
複数の承認ルールに関する情報を格納するメモリであって、各ルールは１つまたは複数のトランザクションパラメータに固有である、前記メモリと、
遠隔地の要求ユーザによって送信されたトランザクション要求を受信する通信インタフェースであって、前記トランザクション要求はクラウドネイティブアプリケーションを介して送信される、前記通信インタフェースと、
メモリに格納された命令を実行するプロセッサであって、前記プロセッサによる前記命令の実行は、
前記トランザクション要求を１つまたは複数のトランザクションセグメントに分割することであって、各トランザクションセグメントは前記トランザクション要求に関連付けられた場所のセットにおける１つまたは複数の場所に関連付けられ、前記場所のセットは前記要求ユーザの前記遠隔地を含む、前記分割することと、
前記受信されたトランザクション要求の各トランザクションセグメントに適用可能な承認ルールのセットを識別することであって、前記承認ルールのセットは、前記承認ルールのセットによって特定された前記トランザクションパラメータに基づいて識別される、前記識別することと、
各識別された承認ルールのセットに基づいて前記受信されたトランザクション要求の各トランザクションセグメントの結果をフィルタリングすることであって、少なくとも１つのトランザクションセグメントは前記要求ユーザの前記遠隔地に基づいてフィルタリングされる、前記フィルタリングすることとを含む、前記プロセッサとを含み、
前記通信インタフェースは、前記フィルタリングされた結果を前記要求ユーザに提供する、システム。
【請求項１１】
前記プロセッサは、さらに前記遠隔地の前記要求ユーザに基づいて前記承認ルールのセットを識別する、請求項１０のシステム。
【請求項１２】
前記プロセッサは、さらに各セグメントの各場所に基づいて前記承認ルールのセットを識別する、請求項１０のシステム。
【請求項１３】
前記プロセッサはさらに、前記トランザクションセグメントの少なくとも一つをサンプリングする、請求項１０のシステム。
【請求項１４】
前記プロセッサはさらに、前記トランザクション要求に関連付けられたデジタル署名に基づいて前記要求ユーザを識別する、請求項１０のシステム。
【請求項１５】
前記トランザクション要求は、個人識別情報（ＰＩＩ）へのサブスクリプションを含む、請求項１０のシステム。
【請求項１６】
前記プロセッサはさらに、前記承認ルールのセットを前記トランザクションに関連付けられたパッケージに集約する、請求項１０のシステム。
【請求項１７】
各トランザクションセグメントは、異なる個人識別情報（ＰＩＩ）のセットに関連付けられている、請求項１０のシステム。
【請求項１８】
前記プロセッサはさらに、各適用可能なルールへの準拠のために各トランザクションセグメントを監査するステップをさらに含む、請求項１０のシステム。
【請求項１９】
トランザクションに対する承認をフィルタリングする方法を実行するためのプロセッサによって実行可能なプログラムを格納した非一時的コンピュータ可読記憶媒体であって、前記方法は、
複数の承認ルールに関する情報を格納するステップであって、各ルールは１つまたは複数のトランザクションパラメータに固有である、前記格納するステップと、
遠隔地の要求ユーザによって送信されたトランザクション要求を受信するステップであって、前記トランザクション要求はクラウドネイティブアプリケーションを介して送信される、前記受信するステップと、
前記トランザクション要求を１つまたは複数のトランザクションセグメントに分割するステップであって、各トランザクションセグメントは前記トランザクション要求に関連付けられた場所のセットにおける１つまたは複数の位置に関連付けられ、前記場所のセットは前記要求ユーザの前記遠隔地を含む、前記分割するステップと、
前記受信されたトランザクション要求の各トランザクションセグメントに適用可能な承認ルールのセットを識別するステップであって、前記承認ルールのセットは、前記承認ルールのセットのそれぞれに関連付けられた前記場所に基づいて識別される、前記識別するステップと、
各識別された承認ルールのセットに基づいて前記受信されたトランザクション要求の各トランザクションセグメントの結果をフィルタリングするステップであって、少なくとも１つのトランザクションセグメントは前記要求ユーザの前記遠隔地に基づいてフィルタリングされる、前記フィルタリングするステップと、
前記フィルタリングされた結果を前記要求ユーザに提供するステップとを含む、非一時的コンピュータ可読記憶媒体。
【国際調査報告】
2021530072.tif 000006