(57)【要約】【課題】  ログイン認証タスクを適切な機関に向けて送るためにアイデンティティカタログを有する上位機関を使用する改良されたネットワークアーキテクチャを提供すること。【解決手段】  上位機関によってそのように送られると、名前空間境界にわたる機関によって認証タスクが行われ、その結果プリンシパルアカウントは、アカウントＩＤの変更なしに移動することができる。本発明の一実施形態では、アイデンティティカタログは、アカウントＩＤを適切な認証機関に関連付けるリストを含む。【選択図】  図４Ａ
2005100358.tif 000002
【特許請求の範囲】
【請求項１】
セキュリティ保護されたリソースにアクセスするために、ネットワーク環境でプリンシパルを認証する方法であって、
機関において、アカウント識別子を含むログイン要求を前記プリンシパルから受信すること、
前記プリンシパルを認証する権限が与えられている機関の識別のために、前記アカウント識別子を前記受信側機関から上位機関に送信すること、および、
前記受信側機関が前記プリンシパルを認証する権限が与えられていることを示す送信が、前記上位機関から前記受信側機関において受信された場合には、前記受信側機関において前記プリンシパルを認証し、そうでない場合には、前記プリンシパルの認証をやめること
を備えたことを特徴とする方法。
【請求項２】
前記アカウント識別子は、プリンシパル識別子および名前空間識別子を含むことを特徴とする請求項１に記載の方法。
【請求項３】
第２のプリンシパルによってなされたログイン要求に基づいて、前記第２のプリンシパルを認証するための要求を、前記上位機関から前記受信側機関において受信することであって、前記第２のプリンシパルによってなされたログイン要求は、前記要求側プリンシパルによって前記受信側機関以外の別の機関に対してなされたことをさらに備えたことを特徴とする請求項１に記載の方法。
【請求項４】
ネットワークリソースへのアクセスに対してプリンシパルを認証する認証機関を識別する制御機関であって、
少なくとも１つのプリンシパルの少なくとも１つのアカウントＩＤを対応する認証機関の識別子にマッピングするアイデンティティカタログと、
前記アイデンティティカタログにアクセスして前記アカウントＩＤを対応する認証機関と突き合わせ、認証要求を、前記対応する認証機関に向けて送る機関解決モジュールと
を備えたことを特徴とする制御機関。
【請求項５】
前記アカウントＩＤを前記機関解決モジュールに渡し、前記対応する認証機関に向けて送られた認証要求を前記機関解決モジュールから受信するネットワークインタフェースをさらに備えたことを特徴とする請求項４に記載の制御機関。
【請求項６】
前記アイデンティティカタログは、対応する複数の認証機関に複数のアカウントＩＤをマッピングすることを特徴とする請求項４に記載の制御機関。
【請求項７】
各アカウントＩＤは名前空間識別子を含み、前記複数のアカウントＩＤは共通の名前空間識別子を有する少なくとも２つのアカウントＩＤを含み、前記少なくとも２つのアカウントＩＤは、前記複数の認証機関のうちの少なくとも２つの異なるそれぞれの認証機関にマッピングされることを特徴とする請求項６に記載の制御機関。
【請求項８】
各アカウントＩＤは名前空間識別子を含み、前記複数のアカウントＩＤは異なる名前空間識別子を有する少なくとも２つのアカウントＩＤを含み、前記少なくとも２つのアカウントＩＤは、前記複数の認証機関のうちの同じものにマッピングされることを特徴とする請求項６に記載の制御機関。
【請求項９】
前記アイデンティティカタログの内容は、エンティティ内のプリンシパルの組織の所属の少なくとも一部に基づくことを特徴とする請求項６に記載の制御機関。
【請求項１０】
前記アイデンティティカタログの内容は、プリンシパルの地理的場所の少なくとも一部に基づくことを特徴とする請求項６に記載の制御機関。
【請求項１１】
ネットワーク環境においてネットワークリソースにアクセスするプリンシパルの認証を制御する方法であって、
複数の認証機関のうちの１つから、認証すべきプリンシパルのアカウントＩＤを含む認証機関解決要求を受信すること、
対応する複数の認証機関に対する複数のアカウントＩＤの割り当てマッピングにアクセスし、認証すべき前記プリンシパルの前記アカウントＩＤを前記マッピング内で探すこと、
認証すべき前記プリンシパルの前記アカウントＩＤにマッピングされる割り当てられた認証機関のアイデンティティを前記マッピング内で探すこと、および、
認証すべき前記プリンシパルを認証するよう前記割り当てられた認証機関に求める認証要求が、前記割り当てられた認証機関に送信されること
を備えたことを特徴とする方法。
【請求項１２】
各アカウントＩＤは名前空間識別子を含み、前記複数のアカウントＩＤは共通の名前空間識別子を有する少なくとも２つのアカウントＩＤを含み、前記少なくとも２つのアカウントＩＤは、前記割り当てマッピングを介して前記複数の認証機関のうちの少なくとも２つの異なるそれぞれの認証機関にマッピングされることを特徴とする請求項１１に記載の方法。
【請求項１３】
各アカウントＩＤは名前空間識別子を含み、前記複数のアカウントＩＤは異なる名前空間識別子を有する少なくとも２つのアカウントＩＤを含み、前記少なくとも２つのアカウントＩＤは、前記割り当てマッピングを介して前記複数の認証機関のうちの同じものにマッピングされることを特徴とする請求項１１に記載の方法。
【請求項１４】
前記割り当てマッピングを変更し、それによって第１の認証機関に前もってマッピングされているアカウントＩＤが第２の認証機関に再度マッピングされることをさらに備えたことを特徴とする請求項１１に記載の方法。
【請求項１５】
前記割り当てマッピングは、エンティティ内のプリンシパルの組織の所属の少なくとも一部に基づくことを特徴とする請求項１１に記載の方法。
【請求項１６】
前記割り当てマッピングは、プリンシパルの地理的場所の少なくとも一部に基づくことを特徴とする請求項１１に記載の方法。
【請求項１７】
ネットワーク環境においてネットワークリソースにアクセスするプリンシパルの認証を制御する装置であって、
複数の認証機関のうちの１つから、認証すべきプリンシパルのアカウントＩＤを含む認証機関解決要求を受信する手段と、
対応する複数の認証機関に対する複数のアカウントＩＤの割り当てマッピングにアクセスし、認証すべき前記プリンシパルの前記アカウントＩＤを前記マッピング内で探す手段と、
認証すべき前記プリンシパルの前記アカウントＩＤにマッピングされる割り当てられた認証機関のアイデンティティを前記マッピング内で探す手段と、
認証すべき前記プリンシパルを認証するよう前記割り当てられた認証機関に勧める認証要求が、前記割り当てられた認証機関に送信されるようにする手段と、
を備えたことを特徴とする装置。
【請求項１８】
各アカウントＩＤは名前空間識別子を含み、前記複数のアカウントＩＤは共通の名前空間識別子を有する少なくとも２つのアカウントＩＤを含み、前記少なくとも２つのアカウントＩＤは、前記割り当てマッピングを介して前記複数の認証機関のうちの少なくとも２つの異なるそれぞれの認証機関にマッピングされることを特徴とする請求項１７に記載の装置。
【請求項１９】
各アカウントＩＤは名前空間識別子を含み、前記複数のアカウントＩＤは異なる名前空間識別子を有する少なくとも２つのアカウントＩＤを含み、前記少なくとも２つのアカウントＩＤは前記割り当てマッピングを介して前記複数の認証機関のうちの同じものにマッピングされることを特徴とする請求項１７に記載の装置。
【請求項２０】
前記割り当てマッピングを変更し、それによって第１の認証機関に前もってマッピングされているアカウントＩＤが第２の認証機関に再度マッピングされる手段をさらに備えたことを特徴とする請求項１７に記載の装置。
【請求項２１】
ネットワーク環境において、ネットワークリソースにアクセスするプリンシパルの認証を制御する方法を実行するコンピュータ実行可能命令を有するコンピュータ読取り可能媒体であって、前記方法は、
複数の認証機関のうちの１つから、認証すべきプリンシパルのアカウントＩＤを含む認証機関解決の要求を受信するステップと、
対応する複数の認証機関に対する複数のアカウントＩＤの割り当てマッピングにアクセスし、認証すべき前記プリンシパルの前記アカウントＩＤを前記マッピング内で探すステップと、
認証すべき前記プリンシパルの前記アカウントＩＤにマッピングされる割り当てられた認証機関のアイデンティティを前記マッピング内で探すステップと、
認証すべき前記プリンシパルを認証するよう前記割り当てられた認証機関に求める認証要求が、前記割り当てられた認証機関に送信されるステップと
を備えたことを特徴とするコンピュータ読取り可能媒体。
【請求項２２】
各アカウントＩＤは名前空間識別子を含み、前記複数のアカウントＩＤは共通の名前空間識別子を有する少なくとも２つのアカウントＩＤを含み、前記少なくとも２つのアカウントＩＤは、前記割り当てマッピングを介して前記複数の認証機関のうちの少なくとも２つの異なるそれぞれの認証機関にマッピングされることを特徴とする請求項２１に記載のコンピュータ読取り可能媒体。
【請求項２３】
各アカウントＩＤは名前空間識別子を含み、前記複数のアカウントＩＤは異なる名前空間識別子を有する少なくとも２つのアカウントＩＤを含み、前記少なくとも２つのアカウントＩＤは、前記割り当てマッピングを介して前記複数の認証機関のうちの同じものにマッピングされることを特徴とする請求項２１に記載のコンピュータ読取り可能媒体。
【請求項２４】
前記割り当てマッピングは、エンティティ内のプリンシパルの組織の所属の少なくとも一部に基づくことを特徴とする請求項２１に記載のコンピュータ読取り可能媒体。
【請求項２５】
前記割り当てマッピングは、プリンシパルの地理的場所の少なくとも一部に基づくことを特徴とする請求項２１に記載のコンピュータ読取り可能媒体。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、一般的にネットワーク管理に関し、より詳細には、ネットワーク環境においてプリンシパルを認証するシステムおよび方法に関する。
【背景技術】
【０００２】
コンピュータネットワークが産業および企業のあらゆる面においてさらに普及してくるにつれて、ユーザは、自分自身のマシンから離れたコンピュータ上にあるリソースにアクセスすることが頻繁に必要になってきた。しかし、リモートユーザがローカルデータにアクセスする可能性があることによって、多くのセキュリティ問題が生じてきた。例えば、リモートユーザは、アクセスする権限が与えられていないデータにアクセスする可能性があり、このようなデータを故意に破壊したり、変更したりする可能性さえある。従って、ほとんどのネットワークドメインは、ユーザがログインし、そのドメインでリソースへのアクセス権を得る前に認証を受けることが求められる。認証とは、アクセス権を得る前に、ユーザのアイデンティティおよび関連付けられた許可が既知であることを保証することである。認証のプロセスは、アクセスが適切であるかどうかをチェックすること、そのチェックの結果に基づいてアクセスを許可または拒否することを伴う。
【０００３】
本明細書で使用する場合、プリンシパルとは、セキュリティで保護されたリソースまたは機能（例えば、アプリケーション）にアクセスを試みるエンティティ（典型的には人、コンピュータ、アプリケーションまたはサービス）である。認証とは、アイデンティティを提供し、または確認するプロセスである。機関とは、何組かのプリンシパルに関して認証サービスを提供するために用いる信頼されたエンティティである。
【０００４】
所与の機関について、機関は、いったんプリンシパルを認証すると、そのプリンシパルを信頼するが、他の機関を信頼することはせず、そのプリンシパルを適切に認証することができる。このため、名前空間の規約を発展させ、それによって特定の機関は、所与の名前空間内のアカウントＩＤを有するプリンシパルのみを認証する。特に、アカウントＩＤは、通常、少なくともユーザ識別子部分および認証機関部分を含んでいる。アカウントＩＤの認証機関部分は、プリンシパルＩＤの名前空間と、プリンシパルを認証すべき機関とを識別する。プリンシパル識別子部分は、通常、同じ名前空間内の他のユーザから特定のユーザを異なるものとして識別する。従って、例えば、アカウントＩＤ  ｂｏｂ＠ｄｅｖ．ｍｉｃｒｏｓｏｆｔ．ｃｏｍは、ドメインｄｅｖ．ｍｉｃｒｏｓｏｆｔ．ｃｏｍの機関によって認証されるはずであり、アカウントＩＤ  ｂｏｂ＠ｍｋｔｇ．ｍｉｃｒｏｓｏｆｔ．ｃｏｍは、ドメインｍｋｔｇ．ｍｉｃｒｏｓｏｆｔ．ｃｏｍの機関によって認証されるはずである。
【発明の開示】
【発明が解決しようとする課題】
【０００５】
この解決策によって、ネットワークリソースに関するいくつかのセキュリティが可能になった。しかし、名前空間の分割の静的性質によって、別の問題が生じている。例えば、ユーザがあるドメインから別のドメインに移動するとき、またはドメインの境界を横断してアクセスする必要があるとき、現在のシステムは、容易には順応しない。前者の場合、ユーザは、前のドメインではなく新しいドメインの名前空間を識別する新しいアカウントＩＤを取得する必要があり、後者の場合、ユーザが適切な名前空間における追加のアカウントを取得する、または機関の間で管理者の信頼度（信用など）が高い必要がある。
【課題を解決するための手段】
【０００６】
本発明の実施形態は、プリンシパルの認証で使用する名前空間の規約を変更できるようにする新しいネットワークアーキテクチャを提供し、従来の方法で提供されたリソース保護を実質的に維持すると同時に、アカウントＩＤを変更することなくプリンシパルがセキュリティ境界を横断することができるようにする。本発明のいくつかの実施形態によるアーキテクチャは、複数の認証機関を責任下に置く上位機関（Super Authority）を含む。認証機関は、ログイン要求を受信すると、どの認証機関が関連付けられたプリンシパルを認証するかに関する決定の要求を上位機関に送信する。
【０００７】
それに応答して、上位機関は、アイデンティティカタログを評価して、どの機関がプリンシパルを認証すべきかを決定する。アイデンティティカタログは、本発明の一実施形態では、各アカウントＩＤの認証機関へのマッピングを含む。マッピングは、ポリシーによって固定されており、そうでない場合は、名前空間の境界を考慮して制約されるのではなく、従って以前のシステムとは異なり、個別の２つの認証機関が同じ名前空間において認証を行い、また任意の１つの認証機関が複数の名前空間において認証を行うことができる。例えば、マッピングは、企業内のプリンシパルの組織の所属やプリンシパルの地理的場所などに基づいていてもよい。認証機関が上位機関によって識別されると、上位機関は、ログイン要求を認証に適切な機関に直接送信するか、そうでない場合は認証に適した機関に要求が送信されるようにする。
【０００８】
本発明の追加の特徴および利点は、添付の図面を参照して進める以下の実施形態の例の詳細な説明から明らかになる。
【０００９】
添付の特許請求の範囲では、本発明の特徴を詳細に記載しているが、以下の詳細な説明を添付の図面と併せ読めば、本発明、およびその目的および利点を最もよく理解できるようになる。
【発明を実施するための最良の形態】
【００１０】
図面を参照すると、図中で同じ参照番号は同じ要素を指しており、本発明が、適したコンピューティング環境で実施されるものとして示している。必須ではないが、本発明は、コンピュータによって実行されるプログラムモジュールなどのコンピュータ実行可能命令の一般的な文脈で説明する。一般的に、プログラムモジュールは、特定のタスクを実行する、または特定の抽象データ型を実装するルーチン、プログラム、オブジェクト、構成要素、データ構造などを含む。さらに、本発明を、ハンドヘルド装置、マルチプロセッサシステム、マイクロプロセッサベースまたはプログラム可能家庭用電化製品、ネットワークＰＣ、ミニコンピュータ、メインフレームコンピュータなどを含む他のコンピュータシステム構成で実施できることを当分野の技術者であれば理解できよう。本発明は、タスクが通信ネットワークによってリンクされているリモート処理装置によって実行される分散コンピューティング環境で実施することができる。分散コンピューティング環境では、プログラムモジュールを、ローカルおよびリモートのメモリ記憶装置に置くことができる。
【００１１】
この説明では、本発明を実施するシステムの例で使用できる汎用コンピューティング装置の説明から始め、その後、図２〜５を参照して本発明をより詳細に説明する。次に図１を参照すると、汎用コンピューティング装置を、処理ユニット２１、システムメモリ２２、およびシステムメモリを含む様々なシステム構成要素を処理ユニット２１に結合するシステムバス２３を含む従来のコンピュータ２０の形で示している。システムバス２３は、様々なバスアーキテクチャのうちの任意のものを使用するメモリバスまたはメモリコントローラ、周辺機器バス、およびローカルバスを含むいくつかの種類のバス構造のうちいずれでもよい。システムメモリは、読取り専用メモリ（ＲＯＭ）２４およびランダムアクセスメモリ（ＲＡＭ）２５を含む。基本入出力システム（ＢＩＯＳ）２６は、例えば起動中など、コンピュータ２０内の要素間での情報の転送を助ける基本ルーチンを含み、ＲＯＭ２４に格納されている。コンピュータ２０は、ハードディスク６０から読み取り、あるいはそこに書き込むハードディスクドライブ２７、リムーバブル磁気ディスク２９から読み取り、あるいはそこに書き込む磁気ディスクドライブ２８、およびＣＤ−ＲＯＭや他の光媒体など、リムーバブル光ディスク３１から読み取り、あるいはそこに書き込む光ディスクドライブ３１をさらに含む。上記のコンピュータ読取り可能媒体に加えて、通信媒体は一般に、コンピュータ読取り可能命令、データ構造、プログラムモジュール、または他のデータを搬送波または他の移送機構などの変調されたデータ信号に組み込む。これには任意の情報配送媒体がある。「変調されたデータ信号」という用語は、信号内に情報を符号化するように１または複数のその特徴が設定または変更された信号を意味する。通信媒体には、これに限定されないが一例として、有線ネットワーク、直接配線された接続などの有線媒体、および音響、ＲＦ、赤外線、その他の無線媒体などの無線媒体がある。また、上記のどんな組合せでもコンピュータ読取り可能媒体の範囲内に含まれるものとする。
【００１２】
ハードディスクドライブ２７、磁気ディスクドライブ２８、および光ディスクドライブ３０は、それぞれハードディスクドライブインタフェース３２、磁気ディスクドライブインタフェース３３、および光ディスクドライブインタフェース３４によってシステムバス２３に接続される。ドライブおよびその関連のコンピュータ読取り可能媒体は、コンピュータ読取り可能命令、データ構造、プログラムモジュール、およびコンピュータ２０の他のデータの不揮発性ストレージを提供する。本明細書に記載した環境の例は、ハードディスク６０、リムーバブル磁気ディスク２９、およびリムーバブル光ディスク３１を使用するが、動作環境の例において、磁気カセット、フラッシュメモリカード、デジタルビデオディスク、ベルヌーイカートリッジ、ランダムアクセスメモリ、読取り専用メモリ、ストレージエリアネットワークなど、コンピュータによってアクセス可能なデータを格納できる他のタイプのコンピュータ読取り可能媒体を使用することもできることを当分野の技術者であれば理解されよう。
【００１３】
オペレーティングシステム３５、１または複数のアプリケーションプログラム３６、他のプログラムモジュール３７、およびプログラムデータ３８を含めて、いくつかのプログラムモジュールをハードディスク６０、磁気ディスク２９、光ディスク３１、ＲＯＭ２４またはＲＡＭ２５に格納することができる。ユーザは、コマンドおよび情報をキーボード４０およびポインティング装置４２などの入力装置を介してコンピュータ２０に入力することができる。他の入力装置（図示せず）には、マイクロフォン、ジョイスティック、ゲームパッド、衛星パラボラアンテナ、スキャナなどがある。これらおよび他の入力装置は、しばしばシステムバスに結合されているシリアルポートインタフェース４６を介して処理ユニット２１に接続されるが、パラレルポート、ゲームポート、ユニバーサルシリアルバス（ＵＳＢ）、ネットワークインタフェースカードなど他のインタフェースで接続してもよい。モニタ４７または他のタイプの表示装置もまた、ビデオアダプタ４８などのインタフェースを介してシステムバス２３に接続される。コンピュータは、モニタに加えて、図には示していないがスピーカやプリンタなどの他の周辺出力装置を含んでいてもよい。
【００１４】
コンピュータ２０は、リモートコンピュータ４９など１または複数のリモートコンピュータへの論理接続を使用してネットワーク環境で操作する。リモートコンピュータ４９は、サーバ、ルーター、ネットワークＰＣ、パーソナルコンピュータ、ピア装置、または他の一般のネットワークノードでよく、一般にコンピュータ２０に関連して上述した多くまたはすべての要素を含むが、図１にはメモリ記憶装置５０のみを示している。図１に示した論理接続は、ローカルエリアネットワーク（ＬＡＮ）５１および広域ネットワーク（ＷＡＮ）５２を含む。こうしたネットワーキング環境は、オフィス、全社規模のコンピュータネットワーク、イントラネット、およびインターネットではごく一般的である。
【００１５】
ＬＡＮネットワーキング環境で使用する場合、コンピュータ２０は、ネットワークインタフェースまたはアダプタ５３を介してローカルネットワーク５１に接続される。ＷＡＮネットワーキング環境で使用する場合、コンピュータ２０は一般に、モデム５４、またはＷＡＮ５２を介して通信を確立する他の手段を含む。モデム５４は、内蔵のものでも外付けのものでもよく、シリアルポートインタフェース４６を介してシステムバス２３に接続される。コンピュータ２０またはその一部に関連して示したプログラムモジュールは、存在する場合、リモートメモリ記憶装置に格納することができる。図示したネットワーク接続は例であり、コンピュータ間の通信リンクを確立する他の手段を使用してもよいことは理解されよう。
【００１６】
本明細書では、特に指定のない限り、本発明は一般に、１または複数のコンピュータによって実行される動作および操作の象徴を参照して説明する。従って、コンピュータで実行されると言うこともあるこうした動作および操作は、コンピュータの処理単位による構造化された形式のデータを表す電気信号の操作を含むことは理解されよう。この操作は、データを変換し、またはコンピュータのメモリシステムのいくつかの場所にデータを維持し、これによって当分野の技術者にはよく理解されているようにコンピュータが再構成され、そうでない場合はその動作が変更される。データが維持されるデータ構造は、データの形式で定義された特定の特性を有するメモリの物理位置である。しかし、本発明を上記の文脈で説明しているが、これに限定されるものではなく、以下に記載する様々な動作および操作をハードウェアでも実施できることを当分野の技術者であれば理解できよう。以下の説明では、認証装置および上位機関装置などのコンピューティング装置は、コンピュータ２０および／またはリモートコンピュータ４９に関して図１に関連して上述したもの、あるいは別のタイプのコンピューティング装置とすることができる。
【００１７】
図２Ａは、以前のネットワークリソース環境技術が使用されていたネットワーク環境２００の例を概略的に示している。特に、プリンシパルＡ２０１、プリンシパルＢ２０３、プリンシパルＣ２０５、プリンシパルＤ２０７、プリンシパルＥ２０９、プリンシパルＦ２１１はそれぞれ、機関Ｘ２１３、機関Ｙ２１５、および機関Ｚ２１７のうちの１つに関連付けられている。プリンシパルおよび少なくともそのそれぞれの認証機関は、ネットワーク２１９を介して通信可能にリンクされている。各プリンシパルは、図１に関連して説明したコンピュータ２０などのコンピュータ、ワークステーション、または必要なネットワーク通信および処理タスクを実行することができる他の任意のタイプのコンピュータ装置によって表すことができる。ネットワーク２１９は、有線接続、無線接続、ＬＡＮ接続、ＷＡＮ接続、およびインターネット接続、またはその任意の組合せ、および他の任意のタイプのネットワーク接続などを含む任意のタイプのネットワーク接続を任意の数含み得る。
【００１８】
既存の技術では、機関Ｘ２１３、機関Ｙ２１５、および機関Ｚ２１７のそれぞれは、特定の名前空間内でアカウントＩＤを認証する責任を負い、従って認証のためのアカウントＩＤが受信されると、そのアカウントＩＤ自体からどの機関が認証の責任を負うかがすぐに明らかになる。従って、プリンシパルのうちの１つが特定のドメイン（すなわち、特定の機関に関連付けられた名前空間内のネットワークリソース）にログインを試みると、適切な機関は、その目的に適応したいくつかの既知のプロトコルのうちの１つによる認証を行い、プリンシパルへのアクセスを許可または拒否する。プリンシパル２０１、２０３、２０５、２０７、２０９、２１１は、いくつかの機関２１３、２１５、２１７のうちの１つのみに関連付けられているが、環境２００内にはネットワーク接続が存在して、プリンシパルが他のドメイン上の機関およびマシンと直接または間接的に通信することに留意されたい。
【００１９】
図２Ｂを参照すると、図２Ａのネットワーク図に対応する論理ドメインアーキテクチャ２０２を概略的に示している。図示した例では、プリンシパルＡ２０１およびプリンシパルＣ２０５は機関Ｘ２１３に関連付けられ（例えばそれとの取引があり）、プリンシパルＢ２０３、プリンシパルＤ２０７、およびプリンシパルＦ２１１は機関Ｙ２１５に関連付けられ、プリンシパルＥ２０９は機関Ｚ２１７に関連付けられている。各プリンシパルは、関連付けられているそれぞれの認証機関以外の機関およびマシンに関してネットワーク接続を有していても、有していなくてもよいが、図２Ｂの論理構造２０２は認証関係を示しているにすぎないため、このような接続は、図２Ｂの構造２０２には示していない。
【００２０】
上述したように、ネットワークリソースのセキュリティのために採用された名前空間の規約のために、現在のシステムでは、プリンシパルのアカウントＩＤを変更することなしにプリンシパルをあるドメインから別のドメインに移動させることができず、従ってサービスが中断する可能性がある。つまり、アカウントＩＤが認証を容易にするための名前空間識別子を含んでいるため、また認証機関が重複していない名前空間において認証を行うため、そうでなければ第２のドメイン内でのアクセス許可が許可される場合でさえも、特定の機関に関して使用可能なアカウントＩＤを、別の機関に関して使用することができない。
【００２１】
複数のドメインから成る、または複数の機関を有するネットワークシステムを維持することを特定の企業が選択する理由、および特定の企業がプリンシパルをこうした複数のドメイン間で移動させたいという理由はたくさんある。例えば、企業の合併では、単一の会社または企業は、それぞれがすでに１または複数のドメインに関連付けられている個別の部分から形成されている場合がある。構成要素を成す企業のアイデンティティを維持する場合、結果として得られる企業ネットワークは、構成部分として、合併された会社に関連付けられるドメインを含むことが多い。別の例では、多国籍企業または他地域にわたる企業またはそのグループは、個別のドメインの制御を維持することを法律によって要求される場合がある。例えば多国籍銀行は、特定の国内の管理要員に対して個別の制御ドメインを確立することを地域法によって要求される場合があり、従ってローカルアクティビティの制御およびローカルデータへのアクセスは局所の要員のみに与えられる。
【００２２】
複数の機関を維持する他の理由は、管理の分離およびデータの隔離を含む。管理の分離の原理は、分散されており、結合が密ではない複合企業が、リソースをある程度まで共有したいが、それらに関連付けられているリソースまたはプリンシパルの管理は共有したくないと希望するときに有用である。データの隔離の原理は、ネットワークリソースが価値のある、極秘の、そうでない場合は機密のデータまたはリソースを含んでおり、複数の機関の作成によって、その特定の組のリソースにアクセスする個人の数を最低限に抑えられるようになるときに有用である。
【００２３】
上述したように、プリンシパルにセキュリティ境界を横断させるのにも有用または便利となることが多い。例えば、これは、特定のユーザアカウントに関連付けられている個々のユーザの企業内での所属が変わり、ある部署から別の部署への異動があるときにしばしば望まれる。各部署がそれ自体の機関に関連付けられている場合、異動した従業員は、そのアカウントをある機関から別の機関に移してもらう必要がある。以前の技術では、これには、アカウントＩＤの変更およびそれに伴うサービスまたはアクセスの中断が必要であった。ユーザアカウントを移動させるのが望ましい状況の別の例は、合併または買収の後、取引に関与する一方の当事者が取引に関するもう一方の当事者に関連付けられている既存の機関にそのプリンシパルを移動させたいときに起こる。
【００２４】
本明細書に記載した実施形態の例のシステムは、サービスの中断なしにプリンシパルの移動および機関の合併を可能にしながら、管理の分離およびデータの隔離を維持する。一般に、このレベルのパフォーマンスは、上位機関をアイデンティティカタログとともに使用することによって達成される。以下でより詳しく説明するように、上位機関は、認証機関ではなく、認証に適した普通の機関に向けてアクセスの試行を行う。上位機関は、このタスクを容易にするためにアイデンティティカタログを使用する。アイデンティティカタログは、アカウントＩＤを認証機関に有効にマッピングし、それによって各アカウントＩＤが単一の認証機関に関連付けられる。
【００２５】
図３Ａの概略図は、本発明の一実施形態による上位機関が実装されるネットワークアーキテクチャ３００を示している。上位機関は、プリンシパルの認証を制御するが、実際にはこれらプリンシパルに関する認証を行わないため、制御機関とも呼ぶことができる。図２Ａに示した同様のプリンシパルおよび認証機関に加えて、アーキテクチャ３００は、上位機関Ｉ（３２１）の例および上位機関ＩＩ（３２３）の例により示した１または複数の上位機関をさらに含む。各上位機関３２１、３２３は、ネットワーク３１９を介して図に示した他のネットワークエンティティの一部またはすべてに接続することができる。しかし、必要となるのは、各上位機関３２１、３２３と、その上位機関に関連付けられた任意の認証機関との間の接続だけである。認証機関と上位機関との間の相互関係については、以下でより詳しく説明する。
【００２６】
図３Ｂを参照すると、認証機関と上位機関との間の論理関係の例を論理構造３０２により概略的に示している。図示したように、各上位機関３２１、３２３は、１または複数の認証機関に関連付けられ、各認証機関は、多くても１つの上位機関に関連付けられている。１つの機関は単一のプリンシパルに関連付けることができ、および／または上位機関は、単一の機関に関連付けることができるが、こうした状況は、必ずしもそうとは限らないが、一般に一時的なものであることに留意されたい。
【００２７】
本発明では、各認証機関が１つの上位機関のみに関連付けられている必要はないが、こうしたことは管理および認証タスクを簡単にする傾向にあるため、好ましい。図示した例では、上位機関Ｉ（３２１）は、機関Ｘ（３１３）および機関Ｙ（３１５）に関連付けられ、上位機関ＩＩ（３２３）は機関Ｚ（３１７）に関連付けられている。
【００２８】
次に、機関Ｘ（３１３）、機関Ｙ（３１５）、機関Ｚ（３１７）のそれぞれは、例えば特定のアカウントなど特定のユーザまたはプリンシパルに関連付けられる。しかし、他の認証技術と異なり、認証機関とプリンシパルとの間のリンク付けは、重複しない名前空間に基づいてはおらず、代わりに関連の上位機関によって維持されるアイデンティティカタログに含まれるポリシー選択に基づいている。アイデンティティカタログは、以下でより詳しく説明するが、本質的に各プリンシパルのアカウント識別子を認証機関にマッピングし、アカウント識別子を変更せずにカタログのマッピングを変更することができる。
【００２９】
マッピングは、ポリシーによって固定されており、そうでない場合は名前空間の境界を考慮して制約されるのではないため、個別の２つの認証機関が同じ名前空間において認証を行い、また任意の１つの認証機関が複数の名前空間において認証を行うことができる。マッピングは、企業内のプリンシパルの組織上の所属、プリンシパルの地理的場所、勤続年数、地位などに基づかせることができる。
【００３０】
図４Ａは、上位機関Ｉ（３２１）や上位機関ＩＩ（３２３）などの上位機関の概略的な表現を示している。図４Ａの図は、例示の目的、および説明を簡単にする目的で示したものであり、上位機関４０１の可能な一実装形態を表している。本発明が他の実装形態を含むことは、本明細書に記載した教示を考えれば当分野の技術者には理解できよう。上位機関４０１の例は、ネットワークインタフェース４０３、機関解決ロジック（authority resolution logic）４０５、およびアイデンティティカタログ４０７から成る。これらの構成要素は、ネットワークインタフェース４０３およびアイデンティティカタログ４０７が機関解決ロジック４０５から使用可能なように、相互に通信可能に関連付けられる。
【００３１】
上位機関４０１は、任意の種類のコンピューティング装置のいずれにも実装することができる。本発明の一実施形態では、上位機関４０１はサーバ上に実装され、上位機関４０１の構成要素は、図１に関連して上記で概説したようなソフトウェアモジュールおよび要素である。本発明の一実装形態では、構成要素間の通信パスは、サーバコンピュータのバスまたは内部通信パスを含む。
【００３２】
本発明の一実施形態によるアイデンティティカタログ４０７の詳細を、図４Ｂに概略的に示している。特に、アイデンティティカタログ４０７は、認証機関に対するプリンシパルアカウントＩＤ（ｂｏｂｓｍｉｔｈ＠ｍｓｎ．ｃｏｍ）のマッピングを提供する。マッピングを、図４Ｂに１対１のマッピングとして表形式で示しており、アイデンティティ列４５５の各エントリ４５３は、表により認証機関列４５９の対応するエントリ４５７にマッピングされる。
【００３３】
図示した例で示すように、認証機関に対するプリンシパルアカウントＩＤのマッピングでは、名前空間の境界を考慮する必要はない。例えば、「ｍｓｎ．ｃｏｍ」ドメイン内のクライアントは、認証機関Ａおよび認証機関Ｂによって認証される。同じことが「ｍｉｃｒｏｓｏｆｔ．ｃｏｍ」ドメインのクライアントについても当てはまる。アイデンティティカタログにおけるマッピングの単なる変更によって、同じ上位機関下にある異なる認証機関に関連のプリンシパルの再マッピングがもたらされる。上述したように、これは、アカウントＩＤ自体の変更を必要とすることなく、認証の責任を変更することができる点で有益である。
【００３４】
概要では、上位機関４０１の動作は、本発明の一実施形態によれば次の通りである。プリンシパルＡ（４１３）とラベル付けされたマシンなどユーザまたはプリンシパルに属するマシンは、例えば機関４１１とラベル付けされたマシンに存在する機関に連絡してリソースへのアクセス権を要求する。この要求は、ログイン要求またはログイン試行の形式とすることができる。次に、連絡を受けた機関４１１は、アイデンティティカタログ４０７を使用して、機関解決ロジック４０５によって適切な機関を識別するように、ネットワーク４０９およびネットワークインタフェース４０３を介して上位機関４０１に要求を送信して、要求で識別されたプリンシパルを認証する。次に、上位機関４０１は、認証要求を選択された認証機関に直接送信するか、最初に受信した機関などによってこうしたものを送信させる。選択された認証機関は、プリンシパルからログイン試行を最初に受信した認証機関とすることができるが、そうである必要はない。
【００３５】
例えば所与のアカウントＩＤを別の認証機関にマッピングし直すために、アイデンティティカタログ４０７の内容を変更するプロセスもまた、必要に応じて本発明の一実施形態による機関解決ロジック４０５によって実行されることが好ましいことに留意されたい。典型的には、管理者は、アイデンティティカタログ４０７に対する適切な変更を機関解決ロジック４０５に行わせるコマンドを発行する。このようなコマンドは、上位機関４０１をホストしているコンピュータのユーザインタフェースを介して受信される、またはネットワークインタフェース４０３または他のネットワーク接続を介してリモート場所から届き得る。
【００３６】
図５のフロー図５００は、ネットワークリソースへのアクセス要求を処理する間の本明細書に記載した新しいアーキテクチャの動作をより詳細に示す。特にステップ５０１において、プリンシパルは、ログイン要求をある機関に送信することによって、特定のネットワークリソースにログインしてアクセスしようと試みる。要求は、プリンシパルアカウントＩＤを含む。これは、典型的には、図４Ｂに示すように、個々の識別子およびドメイン識別子から成る。ステップ５０３において、要求を受信した機関は、要求側プリンシパルを認証するかどうかをすぐに決定せず、代わりに要求を特定の受信側機関の責任を負う上位機関に転送する。
【００３７】
続いてステップ５０５において、上位機関は、送信からアカウントＩＤ情報を抽出し、ステップ５０７において、アカウントＩＤ情報を、特定のプリンシパルに関連する認証機関を識別するためのアイデンティティテーブルへのキーとして使用する。上位機関は、まず、特定の送信側機関が上位機関の責任下にあるか否かを決定することができることに留意されたい。機関識別子をこの目的に使用することができる。また、特定のプリンシパルのアイデンティティに関連付けられた認証機関は、アイデンティティカタログの内容に応じてログイン要求を受信し、渡した機関と同じであっても、異なるものでもよい。ステップ５０９において、上位機関によって、ログイン要求がアイデンティティカタログを介して識別された適切な機関に送信される。
【００３８】
このステップでは、上位機関は、要求を直接送信する、またはサードパーティに要求を送信させることができる。要求を直接転送するプロセスは、「チェイニング」と呼ぶことができる。しかしチェイニングは必要なく、他の機構のいくつかのうちの任意のものを介して要求を満たすこともできる。例えば、上位機関は、ステップ５０７において適切な認証機関を解決しており、それをチェイニングする代わりに要求を「委託」することができる。委託は、上位機関が要求を転送した機関に応答し、その機関に適切な認証機関のアイデンティティを伝えることを伴う。次に、要求は、要求を上位機関に最初に転送した機関から適切な認証機関に渡される。チェイニングまたは委託、または実際の他の方法を使用することはできるが、関連の機関が通信可能にリンクされている場合は、委託の使用が好ましい。これは、特定の期間中、単一の上位機関は、より多くの認証要求に関係し得るため、一般に委託によって、より大きいシステムのスケーリングが可能になるためである。
【００３９】
最後に、ステップ５１１において、選択された機関は、要求を必要に応じて認証する。認証の結果として、成功した場合、認証機関は、アクセス許可通知をプリンシパルに送信することができる。
【００４０】
本明細書に記載した実施形態の例の新しいアーキテクチャおよびシステムによって、偽装および他の悪意に対するシステムの脆弱性が付随して増加することなく、認証の柔軟性の向上が可能になる。例えば、従来のシステムで２つの個別の機関ＡおよびＢが「＠ｍｓｎ．ｃｏｍ」および「＠ｍｉｃｒｏｓｏｆｔ．ｃｏｍ」のプリンシパルを認証することが確信されている場合、機関ＡおよびＢは、相互に管理の信頼度が高くなければならない。なぜならば、機関Ａの管理者は、機関Ｂによってのみ認証されるべきプリンシパルを認証し、また逆も行うことができるからである。言い換えれば、機関Ａは、それ自体の管理者を信頼するのと同程度に機関Ｂの管理者を信頼する必要があり、一部の場合では、これはまったく不可能である。しかし、本明細書に記載したシステムの例によって、必ずしも管理者を互いに信頼することなく、機関が名前空間を共有することができる。各機関は、上位機関の管理者を管理上信頼する必要がある。上位機関の管理者の数、場所、および所属は、典型的には、標準の機関のものより拘束されるため、これはかなり好ましい。本発明の多くの実施形態で得ることができる有益な結果は、プリンシパルが、アイデンティティを変更することなく、名前空間の境界を横断できることである。上位機関のアイデンティティカタログのわずかな変更は、認証機関に対するプリンシパルのアイデンティティの新しいマッピングを記録するために必要な全てである。
【００４１】
プリンシパルアカウント認証のための改良されたシステムおよび方法について説明してきたことは理解されよう。本発明の原理を適用できる多くの可能な実施形態を考慮して、図面との関連で本明細書に記載した実施形態は、例示的なものにすぎず、本発明の範囲を限定するものとみなされるべきではないことを理解されたい。例えば、ソフトウェアで示した実施形態の例の一部の要素をハードウェアに、またその逆に実装でき、あるいは、実施形態の例を、本発明の意図から逸脱することなく、構成および詳細について変更できることを当分野の技術者であれば理解されよう。さらに、本発明は任意のサイズおよび種類の任意の適したネットワーク環境で実施できることを理解されよう。さらに、本明細書の例では、少数のプリンシパル、機関、および上位機関を示しているが、本発明は、より多いまたはより少ない数のこうしたエンティティを備えるシステムを含む。従って、本明細書に記載した本発明は、頭記の特許請求の範囲、およびその均等物の範囲内に含まれ得るすべての実施形態を含む。
【図面の簡単な説明】
【００４２】
【図１】本発明の実施形態を実装することができる装置構成の例を示す概略ブロック図である。
【図２Ａ】プリンシパルに関連付けられた認証機関を実装することができる一般のネットワークアーキテクチャの例を示す概略図である。
【図２Ｂ】プリンシパルと認証機関との間の関連付けを示す論理図である。
【図３Ａ】上位機関を本発明の一実施形態内に実装することができる一般のネットワークアーキテクチャの例を示す概略図である。
【図３Ｂ】本発明の一実施形態による上位機関、プリンシパル、および認証機関の間の関連付けを示す論理図である。
【図４Ａ】本発明の一実施形態の実装に使用可能な環境内の上位機関を示す概略図である。
【図４Ｂ】アカウント識別子を認証機関にマッピングするための本発明の一実施形態によるアイデンティティカタログを示す概略図である。
【図５】本発明の一実施形態によるログイン中プリンシパルアカウントＩＤの認証に使用可能な諸ステップを示すフロー図である。
【符号の説明】
【００４３】
４０１  上位機関
４０３  ネットワークインタフェース
４０５  機関解決ロジック
４０７  アイデンティティカタログ
４０９  ネットワーク
【図１】
2005100358.tif 000003
【図２Ａ】
2005100358.tif 000004
【図２Ｂ】
2005100358.tif 000005
【図３Ａ】
2005100358.tif 000006
【図３Ｂ】
2005100358.tif 000007
【図４Ａ】
2005100358.tif 000008
【図４Ｂ】
2005100358.tif 000009
【図５】
2005100358.tif 000010