【手続補正書】
【提出日】平成22年5月24日(2010.5.24)
【手続補正１】
【補正対象書類名】特許請求の範囲
【補正対象項目名】全文
【補正方法】変更
【補正の内容】
【特許請求の範囲】
【請求項１】
ネットワークコンピューティング環境においてユーザ証明情報をクライアントからサーバに委譲（delegate）する方法であって、
前記ネットワークコンピューティング環境におけるサーバのアプリケーション、サービス又は資源に対しクライアントから、前記クライアントから前記サーバへのユーザ証明情報の委譲に関係する要求を行うステップ、
前記クライアントと前記サーバとの間のハンドシェイクを開始するステップ、
前記クライアントと前記サーバとの間の通信を認証する認証メカニズムとして利用するために、前記クライアントと前記サーバとの間で共有される認証パッケージを選択するようにネゴシエートするステップ、
前記認証メカニズムとしての前記選択された認証パッケージを利用して前記サーバを相互に認証するステップ、
該相互に認証するステップに従って相互認証が発生したか否かを判断すると共に、相互認証が発生した場合、前記クライアントと前記サーバとの間で通信されるメッセージの暗号化に対し共有秘密を確立することを含め、前記クライアントと前記サーバとの間でセッションを確立するステップ、
前記要求に対する前記ユーザ証明情報の送信に先立って、ユーザ証明情報に対して定義された少なくとも１つの事前定義ポリシに従ってポリシチェックを実行し、前記サーバが前記ユーザ証明情報によって信頼することができるか否かを確定するステップ、及び
前記サーバを信頼することができる場合、前記ユーザ証明情報を前記サーバに送信し、前記クライアントからの前記サーバの前記要求されたアプリケーション、サービス又は資源へのアクセスを取得するステップ、
を含む、方法。
【請求項２】
請求項１に記載の方法において、前記少なくとも１つの事前定義ポリシは、ユーザ証明情報のクライアントからサーバへの前記委譲を制御及び制限するように使用される複数のポリシである、方法。
【請求項３】
請求項２に記載の方法において、前記複数のポリシは、前記クライアントで実行しているトロイ又はマルウェア、デフォルトグループポリシ設定及び前記クライアントの管理者によって構成可能なグループポリシ値、及びドメインネームサービス（ＤＮＳ）ポイズニングのうちの少なくとも１つを含む広範囲の攻撃の軽減に対処して、不正サーバへの転換及びサービス許否攻撃を回避する、方法。
【請求項４】
請求項２に記載の方法において、前記複数のポリシは、前記サーバのサービスプリンシパル名（ＳＰＮ）のリストに基づいて委譲を許容するか又は拒否するかの少なくとも一方のポリシを含む、方法。
【請求項５】
請求項１に記載の方法において、前記実行するステップは、前記認証メカニズムの相対強度に従ってポリシチェックを実行するステップを含む、方法。
【請求項６】
請求項１に記載の方法において、前記実行するステップは、前記ユーザ証明情報のタイプに基づいて定義される少なくとも１つの事前定義ポリシに従ってポリシチェックを実行するステップを含む、方法。
【請求項７】
請求項６に記載の方法において、前記実行するステップは、前記ユーザ証明情報が新規の証明情報であるか、保存されている証明情報であるか、又はデフォルト証明情報であるかに基づいて定義される少なくとも１つの事前定義ポリシに従ってポリシチェックを実行するステップを含む、方法。
【請求項８】
請求項１に記載の方法において、前記ユーザの証明情報を送信するステップは、ローカルセキュリティシステムの信頼されたサブシステムのみが平文フォーマットでの前記ユーザ証明情報にアクセスすることができるフォーマットで前記ユーザの証明情報を送信するステップを含む、方法。
【請求項９】
請求項８に記載の方法において、前記ポリシチェックを実行するステップは、ローカルセキュリティ機関（ＬＳＡ）によって実行され、前記信頼されたサブシステムは、前記ＬＳＡの信頼されたサブシステムである、方法。
【請求項１０】
請求項１に記載の方法であって、前記クライアントと前記サーバとの間の前記セッションを確立した後、前記サーバの公開鍵を認証するステップをさらに含む、方法。
【請求項１１】
請求項１に記載の方法において、前記各ステップは、セキュリティサポートプロバイダインタフェース（ＳＳＰＩ）を介して前記要求を行っている前記クライアントに利用可能となる証明情報セキュリティサポートプロバイダコンポーネントを介して実行される、方法。
【請求項１２】
請求項１に記載の方法において、前記冒頭のハンドシェイクは、セキュアソケットレイヤ（ＳＳＬ）プロトコル又はトランスポート層セキュリティ（ＴＬＳ）プロトコルに従うハンドシェイクである、方法。
【請求項１３】
請求項１に記載の方法において、前記ネゴシエートするステップは、単純な保護されている汎用セキュリティサービスアプリケーションプログラムインタフェース（Simple and Protected Generic Security Service Application Program Interface）（ＧＳＳＡＰＩ）ネゴシエーションメカニズム（ＳＰＮＥＧＯ）ネゴシエーションを使用してネゴシエートするステップを含む、方法。
【請求項１４】
請求項１に記載の方法において、前記選択される認証パッケージは、ケルベロス又はＮＴローカルエリアネットワーク（ＬＡＮ）マネージャ（ＮＴＬＭ）である、方法。
【請求項１５】
請求項１に記載の方法において、前記共有秘密は共有セッションキーである、方法。
【請求項１６】
請求項１〜１５のいずれか１項に記載の方法のすべてのステップをコンピュータに実行させるためのプログラム。
【請求項１７】
クライアントコンピューティング装置であって、
ネットワークコンピューティング環境におけるサーバのアプリケーション、サービス又は資源に対する該クライアントコンピューティング装置からの要求を処理する証明情報セキュリティサポートプロバイダコンポーネントであって、前記要求は、当該クライアントコンピューティング装置から前記サーバへのユーザ証明情報の委譲を関与させる、証明情報セキュリティサポートプロバイダコンポーネントを具備し、
前記証明情報セキュリティサポートプロバイダコンポーネントは、前記クライアントと前記サーバとの間のハンドシェイクを開始し、前記クライアントと前記サーバとの間の通信を認証するための認証パッケージとして利用する、前記クライアントと前記サーバとの間で共有されるセキュリティサポートプロバイダの選択をネゴシエートし、前記認証パッケージを利用して前記サーバ及び前記クライアントを相互に認証するステップを実行し、
相互認証が発生した場合、前記証明情報セキュリティサポートプロバイダコンポーネントは、前記クライアントと前記サーバとの間のセッションと、該セッションに従って前記クライアントと前記サーバとの間で通信されるメッセージの暗号化のための共有秘密とを確立し、該クライアントコンピューティング装置から前記サーバへのユーザ証明情報の前記委譲を制御及び制限するのに使用される少なくとも１つの事前定義ポリシに従ってポリシチェックを実行し、前記ポリシチェックに合格した場合、前記ユーザの証明情報を前記サーバに送信して、該クライアントのみからの前記サーバの前記要求されたアプリケーション、サービス又は資源へのアクセスを取得する、クライアントコンピューティング装置。
【請求項１８】
請求項１７に記載のクライアントコンピューティング装置において、前記証明情報セキュリティサポートプロバイダコンポーネントは、ローカルセキュリティ機関（ＬＳＡ）の信頼されたサブシステムが平文フォーマットに復号することができるフォーマットで、前記ユーザの証明情報を送信する、クライアントコンピューティング装置。
【請求項１９】
請求項１７に記載のクライアントコンピューティング装置において、前記少なくとも１つの事前定義ポリシは、前記クライアントで実行しているトロイ又はマルウェア、デフォルトグループポリシ設定及び前記クライアントの管理者によって構成可能なグループポリシ値、及びドメインネームサービス（ＤＮＳ）ポイズニングを含む広範囲の攻撃のうちの任意の１つ又は複数の軽減に対処して、不正サーバへの転換及びサービス許否攻撃を回避する、クライアントコンピューティング装置。
【請求項２０】
請求項１７に記載のクライアントコンピューティング装置において、前記少なくとも１つの事前定義ポリシは、前記認証パッケージの相対強度に基づく委譲ポリシを含む、クライアントコンピューティング装置。
【請求項２１】
請求項１７に記載のクライアントコンピューティング装置において、前記少なくとも１つの事前定義ポリシは、前記ユーザ証明情報が新規の証明情報であるか、保存されている証明情報であるか、又はデフォルト証明情報であるかに基づく委譲ポリシを含む、クライアントコンピューティング装置。
【請求項２２】
ネットワークコンピューティング環境においてサーバの資源へのシングルサインオンの一部としてユーザ証明情報をクライアントからサーバに委譲する方法であって、
前記シングルサインオンを介して、ユーザ証明情報を受け取り、前記サーバの資源のセットにアクセスするステップ、及びそれに応じて、
トランスポート層セキュリティ（ＴＬＳ）プロトコルに従って前記クライアントと前記サーバとの間のハンドシェイクを開始するステップ、
前記クライアントと前記サーバとの間の通信を認証する認証メカニズムとして利用するために、前記クライアントと前記サーバとの間で共有される認証パッケージを選択するようにネゴシエートするステップ、
前記認証メカニズムとして前記選択された認証パッケージを利用して前記サーバを相互に認証するステップ、
相互認証が発生した場合、前記クライアントと前記サーバとの間で通信されるメッセージの暗号化のために共有秘密を確立するステップを含む前記クライアントと前記サーバとの間でセッションを確立するステップ、及び
前記ユーザの証明情報を前記サーバに安全に委譲し、前記資源のセットへのアクセスを取得するステップ、
を含む、方法。