(57)【特許請求の範囲】
【請求項１】
メッシュ・ネットワークのメンバとして第１のモバイル・デバイスを構成することであって、前記構成の後に、前記第１のモバイル・デバイスは、前記メッシュ・ネットワークを介したピアツーピア接続によって、第２のモバイル・デバイスと通信することができる、前記構成することと、
前記第１のモバイル・デバイスから第２のモバイル・デバイスへ、前記メッシュ・ネットワークを介した前記ピアツーピア接続によって、シングル・サインオン（ＳＳＯ）のために構成された有効な認証トークンであって、前記第２のモバイル・デバイスのセキュア・コンテナをロック解除し前記セキュア・コンテナへのＳＳＯを可能にするために構成された前記有効な認証トークンを送信することと、
前記第１のモバイル・デバイスによって、前記メッシュ・ネットワークを介した前記ピアツーピア接続によって、アクセス・ゲートウェイのための第１のデータを受信することであって、前記アクセス・ゲートウェイは、前記メッシュ・ネットワークとは異なる第２のネットワークを介して前記第１のモバイル・デバイスに接続されている、前記受信することと、
前記第１のモバイル・デバイスによって、前記第１のモバイル・デバイスと前記アクセス・ゲートウェイとの間の前記第２のネットワークを介した仮想プライベート・ネットワーク接続によって、前記第１のデータを前記アクセス・ゲートウェイに送信することと
を含む方法。
【請求項２】
前記第１のモバイル・デバイスによって、前記第２のネットワークを介した前記仮想プライベート・ネットワーク接続によって、前記第２のモバイル・デバイスのための第２のデータを受信することと、
前記仮想プライベート・ネットワーク接続に関連する暗号化解除鍵に基づいて前記第２のデータを暗号化解除し、その結果、暗号化解除された第２のデータをもたらすことと、
前記ピアツーピア接続に関連する暗号化鍵に基づいて前記暗号化解除された第２のデータを暗号化し、その結果、暗号化された第２のデータをもたらすことと、
前記第１のモバイル・デバイスによって、前記メッシュ・ネットワークを介した前記ピアツーピア接続によって、前記暗号化された第２のデータを前記第２のモバイル・デバイスに送信することと
をさらに含む、請求項１に記載の方法。
【請求項３】
前記第２のデータは、前記第２のモバイル・デバイスのアプリケーション管理フレームワークによって実施されるポリシに対する更新を含む、請求項２に記載の方法。
【請求項４】
前記第１のデータは、前記有効な認証トークンを含み、
前記有効な認証トークンは、前記アクセス・ゲートウェイがシングル・サインオン（ＳＳＯ）に基づいて前記第２のモバイル・デバイスを認証することを可能にする、請求項１に記載の方法。
【請求項５】
前記第２のネットワークは、無線ネットワークであり、
前記第１のモバイル・デバイスによって前記無線ネットワークに接続することであって、前記仮想プライベート・ネットワーク接続は、前記無線ネットワークを通るトンネルとして構成され、前記第２のモバイル・デバイスは、前記無線ネットワークに接続されない、前記接続すること
をさらに含む、請求項１に記載の方法。
【請求項６】
前記アクセス・ゲートウェイは、企業リソースへのアクセスを管理するように構成され、
前記メッシュ・ネットワークは、前記第１のモバイル・デバイス、前記第２のモバイル・デバイス、および第３のモバイル・デバイスを含み、
前記アクセス・ゲートウェイ用であり、かつ前記第３のモバイル・デバイスによって前記企業リソースにアクセスする要求を示す第２のデータを、前記第１のモバイル・デバイスが、前記メッシュ・ネットワークを介した前記ピアツーピア接続によって受信することと、
前記第１のモバイル・デバイスによって、前記第２のネットワークを介した前記仮想プライベート・ネットワーク接続によって、前記第２のデータを前記アクセス・ゲートウェイに送信することと、
前記第１のモバイル・デバイスによって、前記第２のネットワークを介した前記仮想プライベート・ネットワーク接続によって、前記企業リソースにアクセスする前記要求に基づく応答データを受信することと、
前記第３のモバイル・デバイスが前記応答データを受信するように、前記第１のモバイル・デバイスによって、前記応答データを、前記メッシュ・ネットワークを介してルーティングさせることと
をさらに含む、請求項１に記載の方法。
【請求項７】
前記メッシュ・ネットワークは、前記第１のモバイル・デバイス、前記第２のモバイル・デバイス、および第３のモバイル・デバイスを含み、
前記第１のモバイル・デバイスによって、前記メッシュ・ネットワークを介した前記ピアツーピア接続によって、前記第３のモバイル・デバイスのための第２のデータを受信することと、
前記第３のモバイル・デバイスが前記第２のデータを暗号化された形で受信するように、前記第１のモバイル・デバイスによって、前記第２のデータを前記メッシュ・ネットワークを介してルーティングさせることと
をさらに含む、請求項１に記載の方法。
【請求項８】
前記ピアツーピア接続は、ＢＬＵＥＴＯＯＴＨ（登録商標）接続またはＷＩ−ＦＩ  ＤＩＲＥＣＴ接続を含む、請求項１に記載の方法。
【請求項９】
前記第２のモバイル・デバイスによって、前記第１のモバイル・デバイスから前記メッシュ・ネットワークを介した前記ピアツーピア接続によって、前記有効な認証トークンを受信することと、
前記有効な認証トークンに基づいて、前記第２のモバイル・デバイスによって、前記セキュア・コンテナのための前記ＳＳＯを使用可能にするために、前記セキュア・コンテナをロック解除することと、
をさらに含み、前記セキュア・コンテナは企業管理フレームワークに関連している、請求項１に記載の方法。
【請求項１０】
１つまたは複数のプロセッサと、
前記１つまたは複数のプロセッサによって実行された時に、装置に下記の各工程を実行させる実行可能命令を記憶するメモリと、を含む前記装置。
- メッシュ・ネットワークのメンバとして前記装置を構成すること、ここにおいて、前記構成された後に、前記装置は、前記メッシュ・ネットワークを介したピアツーピア接続によって、第１のモバイル・デバイスと通信することができ、
- 前記第１のモバイル・デバイスへ、前記メッシュ・ネットワークを介した前記ピアツーピア接続によって、シングル・サインオン（ＳＳＯ）のために構成された有効な認証トークンであって、前記第１のモバイル・デバイスのセキュア・コンテナをロック解除し前記セキュア・コンテナへのＳＳＯを可能にするために構成された前記有効な認証トークンを送信すること、
- 前記第１のモバイル・デバイスによって、前記メッシュ・ネットワークを介した前記ピアツーピア接続によって、アクセス・ゲートウェイのための第１のデータを受信することであって、前記アクセス・ゲートウェイは、前記メッシュ・ネットワークとは異なる第２のネットワークを介して前記装置に接続されている、前記受信すること、
- 前記第１のモバイル・デバイスによって、前記第１のモバイル・デバイスと前記アクセス・ゲートウェイとの間の前記第２のネットワークを介した仮想プライベート・ネットワーク接続によって、前記第１のデータを前記アクセス・ゲートウェイに送信すること。
【請求項１１】
前記実行可能命令は、前記１つまたは複数のプロセッサによって実行された時に、前記装置に、
前記第２のネットワークを介した前記仮想プライベート・ネットワーク接続によって、前記第１のモバイル・デバイスのための第２のデータを受信させ、
前記仮想プライベート・ネットワーク接続に関連する暗号化解除鍵に基づいて前記第２のデータを暗号化解除させ、暗号化解除された第２のデータをもたらさせ、
前記ピアツーピア接続に関連する暗号化鍵に基づいて前記暗号化解除された第２のデータを暗号化させ、暗号化された第２のデータをもたらさせ、
前記メッシュ・ネットワークを介した前記ピアツーピア接続によって、前記第２のデータを前記第１のモバイル・デバイスに送信させる
請求項１０に記載の装置。
【請求項１２】
前記第２のデータは、前記第１のモバイル・デバイスのアプリケーション管理フレームワークによって実施されるポリシに対する更新を含む、請求項１１に記載の装置。
【請求項１３】
前記第１のデータは、前記有効な認証トークンを含み、前記有効な認証トークンは、前記アクセス・ゲートウェイが前記ＳＳＯに基づいて前記第１のモバイル・デバイスを認証することを可能にする、請求項１０に記載の装置。
【請求項１４】
前記第２のネットワークは無線ネットワークを含み、
前記実行可能命令は、前記１つまたは複数のプロセッサによって実行された時に、前記装置に、
前記無線ネットワークに接続させ、前記仮想プライベート・ネットワーク接続は、前記無線ネットワークを通るトンネルとして構成され、前記第１のモバイル・デバイスは、前記無線ネットワークに接続されない
請求項１０に記載の装置。
【請求項１５】
前記アクセス・ゲートウェイは、企業リソースへのアクセスを管理するように構成され、
前記実行可能命令は、前記１つまたは複数のプロセッサによって実行された時に、前記装置に、
前記メッシュ・ネットワークを介した前記ピアツーピア接続によって、前記アクセス・ゲートウェイ用の第２のデータであって、第２のモバイル・デバイスによって前記企業リソースにアクセスする要求を示す前記第２のデータを受信させ、前記メッシュ・ネットワークは、前記装置、前記第１のモバイル・デバイス、および前記第２のモバイル・デバイスを含み、
前記第２のネットワークを介した前記仮想プライベート・ネットワーク接続によって、前記第２のデータを前記アクセス・ゲートウェイに送信させ、
前記第２のネットワークを介した前記仮想プライベート・ネットワーク接続によって、前記企業リソースにアクセスする前記要求に基づく応答データを受信させ、
前記第２のモバイル・デバイスが前記応答データを受信するように、前記応答データを、前記メッシュ・ネットワークを介してルーティングさせる
請求項１０に記載の装置。
【請求項１６】
実行可能命令を記憶する１つまたは複数のコンピュータ可読媒体であって、前記実行可能命令が実行された時に、装置に下記の各工程を行わせるコンピュータ可読媒体。
- メッシュ・ネットワークのメンバとして前記装置を構成すること、ここにおいて、前記構成された後に、前記装置は、前記メッシュ・ネットワークを介したピアツーピア接続によって第１のモバイル・デバイスと通信することができ、
- 前記第１のモバイル・デバイスへ、前記メッシュ・ネットワークを介した前記ピアツーピア接続によって、シングル・サインオン（ＳＳＯ）のために構成された有効な認証トークンであって、前記第１のモバイル・デバイスのセキュア・コンテナをロック解除し前記セキュア・コンテナへのＳＳＯを可能にするために構成された前記有効な認証トークンを送信すること、
- 前記メッシュ・ネットワークを介した前記ピアツーピア接続によって、アクセス・ゲートウェイのための第１のデータを受信させ、ここにおいて、 前記アクセス・ゲートウェイは、前記メッシュ・ネットワークとは異なる第２のネットワークを介して前記装置に接続されており、
- 前記装置と前記アクセス・ゲートウェイとの間の、前記第２のネットワークを介した仮想プライベート・ネットワーク接続によって、前記第１のデータを前記アクセス・ゲートウェイに送信する。
【請求項１７】
前記実行可能命令は、実行された時に、前記装置に、
前記第２のネットワークを介した前記仮想プライベート・ネットワーク接続によって、前記第１のモバイル・デバイス用である第２のデータを受信させ、
前記仮想プライベート・ネットワーク接続に関連する暗号化解除鍵に基づいて前記第２のデータを暗号化解除し、その結果、暗号化解除された第２のデータをもたらさせ、
前記ピアツーピア接続に関連する暗号化鍵に基づいて前記暗号化解除された第２のデータを暗号化し、その結果、暗号化された第２のデータをもたらさせ、
前記メッシュ・ネットワークを介した前記ピアツーピア接続によって、前記暗号化された第２のデータを前記第１のモバイル・デバイスに送信させる
請求項１６に記載の１つまたは複数のコンピュータ可読媒体。
【請求項１８】
前記第２のデータは、前記第１のモバイル・デバイスのアプリケーション管理フレームワークによって実施されるポリシに対する更新を含む、請求項１７に記載の１つまたは複数のコンピュータ可読媒体。
【請求項１９】
前記第２のネットワークは無線ネットワークを含み、
前記実行可能命令は、実行された時に、前記装置に、
前記無線ネットワークに接続させ、ここにおいて、前記仮想プライベート・ネットワーク接続は、前記無線ネットワークを通るトンネルとして構成され、前記第１のモバイル・デバイスは、前記無線ネットワークに接続されない
請求項１６に記載の１つまたは複数のコンピュータ可読媒体。
【請求項２０】
前記アクセス・ゲートウェイは、企業リソースへのアクセスを管理するように構成され、
前記実行可能命令は、実行された時に、前記装置に、
メッシュ・ネットワークを介した前記ピアツーピア接続によって、前記アクセス・ゲートウェイ用であり、かつ第２のモバイル・デバイスによる前記企業リソースにアクセスする要求を示す第２のデータを受信させ、前記メッシュ・ネットワークは、前記装置、前記第１のモバイル・デバイス、および前記第２のモバイル・デバイスを含み、
前記第２のネットワークを介した前記仮想プライベート・ネットワーク接続によって、前記第２のデータを前記アクセス・ゲートウェイに送信させ、
前記第２のネットワークを介した前記仮想プライベート・ネットワーク接続によって、前記企業リソースにアクセスする前記要求に基づく応答データを受信させ、
前記第２のモバイル・デバイスが前記応答データを受信するように、前記応答データを、前記メッシュ・ネットワークを介してルーティングさせる
請求項１６に記載の１つまたは複数のコンピュータ可読媒体。
【発明の詳細な説明】
【技術分野】
【０００１】
本明細書で説明される発明の諸態様は、全般的に、仮想プライベート・ネットワーキング、ピアツーピア通信、メッシュ・ネットワーキング、および／または企業モビリティ管理システムに関する。
【背景技術】
【０００２】
今日のユーザは、しばしば、複数のコンピューティング・デバイスを使用する。たとえば、ユーザは、スマート・フォン、タブレット・コンピュータ、およびラップトップ・コンピュータを１日の異なる時刻に使用する場合がある。ユーザが、彼または彼女の日常生活により多数のデバイスを統合する時に、ユーザは、リモート位置から彼または彼女の雇用者（または何らかの他の企業）のリソースにアクセスし、使用するのにこれらのデバイスを使用することをますます望む可能性がある。これらのデバイスは、異なる能力を有する場合があり、リモート位置の動作環境に応じて、同一のネットワークに接続できない場合がある。たとえば、ユーザのスマート・フォンが、セルラ・ネットワークに接続され得るが、ユーザのタブレットまたはラップトップ・コンピュータが、セルラ・ネットワークに接続できない場合がある。
【発明の概要】
【発明が解決しようとする課題】
【０００３】
企業が、そのような動作環境内でスマート・フォンとラップトップとの両方からユーザが企業リソースにアクセスすることを可能にすることを望む場合に、企業は、複数の課題に直面する可能性がある。たとえば、セルラ・ネットワークが、ユーザの使用可能な唯一のネットワークである場合に、ユーザがタブレットまたはラップトップ・コンピュータから企業リソースにアクセスする能力を使用可能にすることが、課題である。さらに、ユーザが、タブレットまたはラップトップ・コンピュータから企業リソースにアクセスできる場合であっても、ユーザのアクセスが安全なままであることを保証することが、課題である。これらの課題に鑑みて、安全な形で複数のデバイスから企業リソースにアクセスするユーザの能力を改善する必要がある。
【課題を解決するための手段】
【０００４】
以下では、本明細書で説明される発明の様々な態様の単純化された概要を提示する。この概要は、広範囲の概要ではなく、主要なもしくはクリティカルな要素を識別することまたは特許請求の範囲の範囲を詳細に描写することは意図されていない。以下の概要は、単に、下で提供されるより詳細な説明の導入の前置きとして単純化された形でいくつかの概念を提示するものである。
【０００５】
上で説明した従来技術の制限を克服するため、および本明細書を読み、理解した時に明白になる他の制限を克服するために、本明細書で説明される諸態様は、たとえば、複数のモバイル・デバイスのうちの少なくとも１つがアクセス・ゲートウェイとの仮想プライベート・ネットワーク接続を確立できない時に、複数のモバイル・デバイスがアクセス・ゲートウェイにアクセスすることを可能にすることを対象とする。
【０００６】
たとえば、いくつかの実施形態で、少なくとも２つのモバイル・デバイス（たとえば、第１のモバイル・デバイスおよび第２のモバイル・デバイス）は、それらのデバイスがピアツーピア接続を使用して通信することを可能にする、お互いからのしきい距離以内にある場合がある。さらに、各デバイスは、たとえば、特定のマネージド・アプリケーションがモバイル・デバイス上でどのように実行するのかを制御し、かつ／またはアクセス・ゲートウェイとの仮想プライベート・ネットワーク接続の確立を管理する、企業管理フレームワークを実施するように構成され得る。第１のモバイル・デバイスが、アクセス・ゲートウェイとの仮想プライベート・ネットワーク接続を確立できる場合がある。しかし、第２のモバイル・デバイスが、アクセス・ゲートウェイとのそれ自体の仮想プライベート・ネットワーク接続を確立できない場合がある。したがって、上記に鑑みて、第２のモバイル・デバイスは、第１および第２のモバイル・デバイスがピアツーピア接続を使用するメッシュ・ネットワーク内のメンバになることに基づき、第１のモバイル・デバイスとアクセス・ゲートウェイとの間で確立される仮想プライベート・ネットワーク接続にさらに基づいて、アクセス・ゲートウェイと通信できる可能性がある。
【０００７】
実際に、いくつかの実施形態で、第１のモバイル・デバイスは、メッシュ・ネットワークのメンバとしてそれ自体を構成することができる。その構成を完了した後に、第１のモバイル・デバイスは、メッシュ・ネットワーク上でピアツーピア接続を介して第２のモバイル・デバイスと通信できる可能性がある。第１のモバイル・デバイスは、ピアツーピア接続を介して第２のモバイル・デバイスから、アクセス・ゲートウェイ宛のデータを受信することができる。第１のモバイル・デバイスは、仮想プライベート・ネットワーク接続を介してアクセス・ゲートウェイにそのデータを送信することができる。
【０００８】
上記および追加の態様は、下でさらに詳細に議論される開示の利益に関連付けられる。
【０００９】
本明細書で説明される諸態様およびその利益のより完全な理解は、添付図面を考慮して以下の説明を参照することによって獲得され得、図面では、同様の符号が同様の特徴を示す。
【図面の簡単な説明】
【００１０】
【図１】本明細書で説明される１つまたは複数の例示的な態様に従って使用され得る例示的なコンピュータ・システム・アーキテクチャを示す図である。
【図２】本明細書で説明される１つまたは複数の例示的な態様に従って使用され得る例示的なリモートアクセス・システム・アーキテクチャを示す図である。
【図３】本明細書で説明される１つまたは複数の例示的な態様に従って使用され得る例示的な仮想化された（ハイパーバイザ）システム・アーキテクチャを示す図である。
【図４】本明細書で説明される１つまたは複数の例示的な態様に従って使用され得る例示的なクラウドベースのシステム・アーキテクチャを示す図である。
【図５】例示的な企業モビリティ管理システムを示す図である。
【図６】別の例示的な企業モビリティ管理システムを示す図である。
【図７】ユーザが本明細書で説明される様々な態様に従って複数のデバイスを使用して企業リソースおよび企業サービスにアクセスできる可能性がある１つの例の配置を示す図である。
【図８】メッシュ・ネットワークの確立に関連して使用され得る例の方法を示す図である。
【図９】ユーザが本明細書で説明される様々な態様に従って複数のデバイスを使用して企業リソースおよび企業サービスにアクセスできる可能性がある別の例の配置を示す図である。
【図１０Ａ】メッシュ・ネットワークの確立に関連して使用され得る別の例の方法を示す図である。
【図１０Ｂ】メッシュ・ネットワークの管理に関連して使用され得る例の方法を示す図である。
【図１１Ａ】本明細書で説明される様々な態様に従うメッシュ・ネットワークの使用に関連して使用され得る例の方法を示す図である。
【図１１Ｂ】本明細書で説明される様々な態様に従うメッシュ・ネットワークの使用に関連して使用され得る例の方法を示す図である。
【図１１Ｃ】本明細書で説明される様々な態様に従うメッシュ・ネットワークの使用に関連して使用され得る例の方法を示す図である。
【図１１Ｄ】本明細書で説明される様々な態様に従うメッシュ・ネットワークの使用に関連して使用され得る例の方法を示す図である。
【図１２】本明細書で説明される態様に従う企業モビリティ管理システムに関連する様々な機能の実行に関連するメッシュ・ネットワークの確立とメッシュ・ネットワークの使用とを示す例のフローを示す図である。
【発明を実施するための形態】
【００１１】
様々な実施形態の以下の説明では、上で説明され、本明細書の一部を形成し、実例として本明細書で説明される諸態様を実践できる様々な実施形態を示す添付図面を参照する。本明細書で説明される範囲から逸脱せずに、他の実施形態が利用され得、構造的変更および機能的変更が行われ得ることを理解されたい。様々な態様は、他の実施形態が可能であり、様々な異なる形で実践されまたは実行され得る。
【００１２】
本明細書で使用される語法および用語が、説明のためのものであって限定的とみなされてはならないことを理解されたい。そうではなく、本明細書で使用される句および用語は、その最も広い解釈および意味を与えられなければならない。「含む（ｉｎｃｌｕｄｉｎｇおよびｃｏｍｐｒｉｓｉｎｇ）」およびその変形の使用は、その後にリストされた項目およびその同等物ならびに追加項目およびその同等物の包含を意味する。用語「取り付けられ」、「接続され」、「結合され」、「位置決めされ」、「係合され」、および同様の用語の使用は、直接と間接との両方の取付け、接続、結合、位置決め、および係合を含むことが意図されている。
【００１３】
コンピューティング・アーキテクチャ
コンピュータ・ソフトウェア、ハードウェア、およびネットワークは、とりわけ、独立環境、ネットワーク化された環境、リモートアクセス（別名、リモート・デスクトップ）環境、仮想化環境、および／またはクラウドベースの環境を含む様々な異なるシステム環境内で利用され得る。図１は、独立環境および／またはネットワーク化された環境内で本明細書で説明される１つまたは複数の例示的な態様を実施するのに使用され得るシステム・アーキテクチャおよびデータ処理デバイスの一例を示す。様々なネットワーク・ノード１０３、１０５、１０７、および１０９が、インターネットなどの広域ネットワーク（ＷＡＮ）１０１を介して相互接続され得る。プライベート・イントラネット、会社ネットワーク、ローカル・エリア・ネットワーク（ＬＡＮ）、メトロポリタン・エリア・ネットワーク（ＭＡＮ）、無線ネットワーク、パーソナル・ネットワーク（ＰＡＮ）、および類似物を含む他のネットワークが、それに加えてまたはその代わりに使用され得る。ネットワーク１０１は、例示のためのものであり、より少数または追加のコンピュータ・ネットワークに置換され得る。ローカル・エリア・ネットワーク１３３は、任意の既知のＬＡＮトポロジのうちの１つまたは複数を有することができ、イーサネット（登録商標）など、様々な異なるプロトコルのうちの１つまたは複数を使用することができる。デバイス１０３、１０５、１０７、および１０９ならびに他のデバイス（図示せず）は、より対線、同軸ケーブル、光ファイバ、電波、または他の通信媒体を介してネットワークのうちの１つまたは複数に接続され得る。
【００１４】
用語「ネットワーク」は、本明細書で使用され、図面に示される時に、リモート・ストレージ・デバイスが１つまたは複数の通信経路を介して一緒に結合されるシステムだけではなく、時々ストレージ能力を有するそのようなシステムに結合され得る独立型デバイスをも指す。その結果、用語「ネットワーク」は、「物理ネットワーク」だけではなく、すべての物理ネットワークにまたがって存在する、単一のエンティティに帰するデータからなる「内容ネットワーク」をも含む。
【００１５】
構成要素は、データ・サーバ１０３、ウェブ・サーバ１０５、およびクライアント・コンピュータ１０７、１０９を含むことができる。データ・サーバ１０３は、本明細書で説明される１つまたは複数の例示的な態様を実行するためのデータベースおよび制御ソフトウェアの全体的なアクセス、制御、および管理を提供する。データ・サーバ１０３は、ウェブ・サーバ１０５に接続され、このウェブ・サーバ１０５を介して、ユーザは要求通りにデータと対話し、入手する。代替案では、データ・サーバ１０３は、ウェブ・サーバ自体として働き、インターネットに直接に接続され得る。データ・サーバ１０３は、ローカル・エリア・ネットワーク１３３、広域ネットワーク１０１（たとえば、インターネット）、直接接続もしくは間接接続、またはなんらかの他のネットワークを介してウェブ・サーバ１０５に接続され得る。ユーザは、リモート・コンピュータ１０７、１０９を使用して、たとえば、ウェブ・サーバ１０５によってホスティングされる１つまたは複数の外部に露出されたウェブ・サイトを介してデータ・サーバ１０３に接続するのにウェブ・ブラウザを使用して、データ・サーバ１０３と対話することができる。クライアント・コンピュータ１０７、１０９は、データ・サーバ１０３に記憶されたデータにアクセスするためにデータ・サーバ１０３と協力して使用され得、または他の目的に使用され得る。たとえば、クライアント・デバイス１０７から、ユーザは、当技術分野で既知のようにインターネット・ブラウザを使用してまたはコンピュータ・ネットワーク（インターネットなど）を介してウェブ・サーバ１０５および／またはデータ・サーバ１０３と通信するソフトウェア・アプリケーションを実行することによって、ウェブ・サーバ１０５にアクセスすることができる。
【００１６】
サーバおよびアプリケーションは、同一の物理計算機上で組み合わされ、別々の仮想アドレスまたは論理アドレスを保持することができ、あるいは、別々の物理計算機上に存在することができる。図１は、使用され得るネットワーク・アーキテクチャの一例を示すにすぎず、当業者は、本明細書でさらに説明されるように、使用される特定のネットワーク・アーキテクチャおよびデータ処理デバイスが、変化することができ、それらが提供する機能性に対して二次的であることを了解する。たとえば、ウェブ・サーバ１０５およびデータ・サーバ１０３によって提供されるサービスは、単一のサーバ上で組み合わされ得る。
【００１７】
各構成要素１０３、１０５、１０７、１０９は、任意のタイプの既知のコンピュータ、サーバ、またはデータ処理デバイスとすることができる。たとえば、データ・サーバ１０３は、データ・サーバ１０３の全体的な動作を制御するプロセッサ１１１を含むことができる。データ・サーバ１０３は、ランダム・アクセス・メモリ（ＲＡＭ）１１３、読取専用メモリ（ＲＯＭ）１１５、ネットワーク・インターフェース１１７、入出力インターフェース１１９（たとえば、キーボード、マウス、ディスプレイ、プリンタなど）、およびメモリ１２１をさらに含むことができる。入出力（Ｉ／Ｏ）１１９は、データまたはファイルを読み取り、書き込み、表示し、かつ／または印刷する様々なインターフェース・ユニットおよびドライブを含むことができる。メモリ１２１は、データ処理デバイス１０３の全体的な動作を制御するオペレーティング・システム・ソフトウェア１２３、本明細書で説明される諸態様を実行するようにデータ・サーバ１０３に指示する制御論理１２５、ならびに、本明細書で説明される諸態様に関して使用されてもされなくてもよい副機能性、サポート機能性、および／または他の機能性を提供する他のアプリケーション・ソフトウェア１２７をさらに記憶することができる。制御論理は、本明細書ではデータ・サーバ・ソフトウェア１２５と称する場合もある。データ・サーバ・ソフトウェアの機能性は、制御論理にコーディングされたルールに基づいて自動的に行われる動作もしくは判断、ユーザがシステムに入力を供給することによって手動で行われる動作または判断、および／またはユーザ入力（たとえば、クエリ、データ更新など）に基づく自動処理の組み合わせを指すことができる。
【００１８】
メモリ１２１は、第１のデータベース１２９および第２のデータベース１３１を含む、本明細書で説明される１つまたは複数の態様の実行で使用されるデータをも記憶することができる。いくつかの実施形態で、第１のデータベースは、第２のデータベースを含むことができる（たとえば、別々のテーブル、レポートなどとして）。すなわち、情報は、システム設計に応じて、単一のデータベース内に記憶され、または異なる論理データベース、仮想データベース、もしくは物理データベースに分離され得る。デバイス１０５、１０７、および１０９は、デバイス１０３に関して説明されるものに類似するアーキテクチャまたは異なるアーキテクチャを有することができる。当業者は、本明細書で説明されるデータ処理デバイス１０３（または、デバイス１０５、１０７、もしくは１０９）の機能性が、たとえば複数のコンピュータにまたがって処理負荷を分散させる、地理的位置、ユーザ・アクセス・レベル、サービス品質（ＱｏＳ）に基づいてトランザクションを分離するなどのために、複数のデータ処理デバイスにまたがって分配され得ることを了解する。
【００１９】
１つまたは複数の態様は、本明細書で説明される１つまたは複数のコンピュータまたは他のデバイスによって実行される１つまたは複数のプログラム・モジュール内など、コンピュータ使用可能データもしくはコンピュータ可読データおよび／またはコンピュータ実行可能命令内で実施され得る。一般に、プログラム・モジュールは、コンピュータまたは他のデバイス内のプロセッサによって実行された時に特定のタスクを実行しまたは特定の抽象データ型を実施する、ルーチン、プログラム、オブジェクト、コンポーネント、データ構造などを含む。モジュールは、その後に実行のためにコンパイルされるソース・コード・プログラミング言語で記述され得、あるいは、ハイパーテキスト・マークアップ言語（ＨＴＭＬ）またはＥｘｔｅｎｓｉｂｌｅ  Ｍａｒｋｕｐ  Ｌａｎｇｕａｇｅ（ＸＭＬ）など（これに限定はされない）のスクリプティング言語で記述され得る。コンピュータ実行可能命令は、不揮発性ストレージ・デバイスなどのコンピュータ可読媒体上に記憶され得る。ハード・ディスク、ＣＤ−ＲＯＭ、光学ストレージ・デバイス、磁気ストレージ・デバイス、および／またはその任意の組み合わせを含む、任意の適切なコンピュータ可読記憶媒体が利用され得る。さらに、本明細書で説明されるデータまたはイベントを表す様々な伝送（非記憶）媒体が、金属ワイヤ、光ファイバ、および／または無線伝送媒体（たとえば、空気および／または空間）などの信号伝導媒体を介して進行する電磁波の形でソースと宛先との間で転送され得る。本明細書で説明される様々な態様は、方法、データ処理システム、またはコンピュータ・プログラム製品として実施され得る。したがって、様々な機能性は、全体的にまたは部分的にソフトウェアで、ファームウェアで、ならびに／または集積回路、フィールド・プログラマブル・ゲート・アレイ（ＦＰＧＡ）、および類似物などのハードウェアもしくはハードウェア同等物で実施され得る。特定のデータ構造が、本明細書で説明される１つまたは複数の態様をより効率的に実施するのに使用され得、そのようなデータ構造は、本明細書で説明されるコンピュータ実行可能命令およびコンピュータ使用可能データの範囲内で企図されている。
【００２０】
図２をさらに参照すると、本明細書で説明される１つまたは複数の態様は、リモートアクセス環境内で実施され得る。図２は、本明細書で説明される１つまたは複数の例示的な諸態様に従って使用され得る例示的なコンピューティング環境２００内の一般的なコンピューティング・デバイス２０１を含む例のシステム・アーキテクチャを示す。一般的なコンピューティング・デバイス２０１は、クライアント・アクセス・デバイスに仮想計算機を提供するように構成されたシングルサーバまたはマルチサーバのデスクトップ仮想化システム（たとえば、リモートアクセス・システムまたはクラウド・システム）内のサーバ２０６ａとして使用され得る。一般的なコンピューティング・デバイス２０１は、サーバと、ＲＡＭ  ２０５、ＲＯＭ  ２０７、入出力（Ｉ／Ｏ）モジュール２０９、およびメモリ２１５を含むそれに関連する構成要素との全体的な動作を制御するプロセッサ２０３を有することができる。
【００２１】
Ｉ／Ｏモジュール２０９は、それを介して一般的なコンピューティング・デバイス２０１のユーザが入力を供給できるマウス、キーパッド、タッチ・スクリーン、スキャナ、光学リーダー、および／またはスタイラス（または他の入力デバイス（１つまたは複数））を含むことができ、オーディオ出力を提供する１つまたは複数のスピーカならびにテキスト出力、オーディオビジュアル出力、および／またはグラフィカル出力を提供する１つまたは複数のビデオ・ディスプレイ・デバイスを含むこともできる。ソフトウェアは、本明細書で説明される様々な機能を実行するために一般的なコンピューティング・デバイス２０１を特殊目的コンピューティング・デバイスに構成するためにプロセッサ２０３に命令を供給するためにメモリ２１５および／または他のストレージ内に記憶され得る。たとえば、メモリ２１５は、オペレーティング・システム２１７、アプリケーション・プログラム２１９、および関連するデータベース２２１など、コンピューティング・デバイス２０１によって使用されるソフトウェアを記憶することができる。
【００２２】
コンピューティング・デバイス２０１は、端末２４０（クライアント・デバイスとも称する）など、１つまたは複数のリモート・コンピュータへの接続をサポートするネットワーク化された環境内で動作することができる。端末２４０は、上で一般的なコンピューティング・デバイス１０３または２０１に関して説明した要素の多数またはすべてを含むパーソナル・コンピュータ、モバイル・デバイス、ラップトップ・コンピュータ、タブレット、またはサーバとすることができる。図２に示されたネットワーク接続は、ローカル・エリア・ネットワーク（ＬＡＮ）２２５および広域ネットワーク（ＷＡＮ）２２９を含むが、他のネットワークを含むこともできる。ＬＡＮネットワーキング環境で使用される時に、コンピューティング・デバイス２０１は、ネットワーク・インターフェースまたはネットワーク・アダプタ２２３を介してＬＡＮ  ２２５に接続され得る。ＷＡＮネットワーキング環境で使用される時に、コンピューティング・デバイス２０１は、コンピュータ・ネットワーク２３０（たとえば、インターネット）などのＷＡＮ  ２２９を介する通信を確立するモデム２２７または他の広域ネットワーク・インターフェースを含むことができる。図示のネットワーク接続が、例示であり、コンピュータの間の通信リンクを確立する他の手段が使用され得ることを了解されたい。コンピューティング・デバイス２０１および／または端末２４０は、バッテリ、スピーカ、およびアンテナ（図示せず）などの様々な他の構成要素を含むモバイル端末（たとえば、携帯電話機、スマート・フォン、携帯情報端末（ＰＤＡ）、ノートブックなど）とすることもできる。
【００２３】
本明細書で説明される態様は、多数の他の汎用または特殊目的のコンピューティング・システム環境またはコンピューティング・システム構成と共に動作することもできる。本明細書で説明される態様と共に使用するのに適する可能性がある他のコンピューティング・システム、環境、および／または構成の例は、パーソナル・コンピュータ、サーバ・コンピュータ、ハンドヘルド・デバイス、ラップトップ・デバイス、マルチプロセッサ・システム、マイクロプロセッサベースのシステム、セット・トップ・ボックス、プログラム可能な消費者エレクトロニクス、ネットワーク・パーソナル・コンピュータ（ＰＣ）、ミニコンピュータ、メインフレーム・コンピュータ、上記のシステムまたはデバイスのいずれかを含む分散コンピューティング環境、および類似物を含むが、これに限定されない。
【００２４】
図２に示されているように、１つまたは複数のクライアント・デバイス２４０は、１つまたは複数のサーバ２０６ａ〜２０６ｎ（本明細書では全体的に「サーバ（１つまたは複数）２０６」と称する）と通信しているものとすることができる。一実施形態では、コンピューティング環境２００は、サーバ（１つまたは複数）２０６とクライアント計算機（１つまたは複数）２４０との間に設置されたネットワーク・アプライアンスを含むことができる。ネットワーク・アプライアンスは、クライアント／サーバ接続を管理することができ、いくつかの場合に、複数のバックエンド・サーバ２０６の中でクライアント接続の負荷を平衡化することができる。
【００２５】
クライアント計算機（１つまたは複数）２４０は、いくつかの実施形態で、単一のクライアント計算機２４０またはクライアント計算機２４０の単一のグループと呼ばれる場合があり、サーバ（１つまたは複数）２０６は、単一のサーバ２０６またはサーバ２０６の単一のグループと呼ばれる場合がある。一実施形態では、単一のクライアント計算機２４０が、複数のサーバ２０６と通信し、別の実施形態では、単一のサーバ２０６が、複数のクライアント計算機２４０と通信する。さらに別の実施形態では、単一のクライアント計算機２４０が単一のサーバ２０６と通信する。
【００２６】
クライアント計算機２４０は、いくつかの実施形態で、クライアント計算機（１つまたは複数）、クライアント（１つまたは複数）、クライアント・コンピュータ（１つまたは複数）、クライアント・デバイス（１つまたは複数）、クライアント・コンピューティング・デバイス（１つまたは複数）、ローカル計算機、リモート計算機、クライアント・ノード（１つまたは複数）、エンドポイント（１つまたは複数）、またはエンドポイント・ノード（１つまたは複数）という非網羅的な項目のうちの任意の１つによって参照され得る。サーバ２０６は、いくつかの実施形態で、サーバ（１つまたは複数）、ローカル計算機、リモート計算機、サーバ・ファーム（１つまたは複数）、またはホスト・コンピューティング・デバイス（１つまたは複数）という非網羅的な項目のうちの任意の１つによって参照され得る。
【００２７】
一実施形態では、クライアント計算機２４０は、仮想計算機とすることができる。仮想計算機は、任意の仮想計算機とすることができるが、いくつかの実施形態では、仮想計算機は、タイプ１またはタイプ２のハイパーバイザ、たとえばＣｉｔｒｉｘ  Ｓｙｓｔｅｍｓ、ＩＢＭ、ＶＭｗａｒｅによって開発されたハイパーバイザまたは任意の他のハイパーバイザによって管理される任意の仮想計算機とすることができる。いくつかの態様では、仮想計算機は、ハイパーバイザによって管理され得、他の態様では、仮想計算機は、サーバ２０６上で実行するハイパーバイザまたはクライアント２４０上で実行するハイパーバイザによって管理され得る。
【００２８】
いくつかの実施形態は、サーバ２０６または他のリモートに配置された計算機上でリモートに実行するアプリケーションによって生成されたアプリケーション出力を表示するクライアント・デバイス２４０を含む。これらの実施形態では、クライアント・デバイス２４０は、アプリケーション・ウィンドウ、ブラウザ、または他の出力ウィンドウ内に出力を表示するために仮想計算機受信器プログラムまたはアプリケーションを実行することができる。一例では、アプリケーションは、デスクトップであるが、他の例では、アプリケーションは、デスクトップを生成しまたは提示するアプリケーションである。デスクトップは、ローカル・アプリケーションおよび／またはリモート・アプリケーションがその中で統合され得るオペレーティング・システムのインスタンスのユーザ・インターフェースを提供するグラフィカル・シェルを含むことができる。アプリケーションは、本明細書で使用される時に、オペレーティング・システムのインスタンスが（および、オプションでデスクトップも）ロードされた後に実行するプログラムである。
【００２９】
サーバ２０６は、いくつかの実施形態で、サーバ２０６でのアプリケーション実行によって生成されたディスプレイ出力を提示するためにクライアント上で実行するシンクライアント・アプリケーションまたはリモートディスプレイ・アプリケーションにデータを送るのにリモート・プレゼンテーション・プロトコルまたは他のプログラムを使用する。シンクライアント・プロトコルまたはリモートディスプレイ・プロトコルは、米国フロリダ州フォート・ローダーデールのＣｉｔｒｉｘ  Ｓｙｓｔｅｍｓ，Ｉｎｃ．によって開発されたＩｎｄｅｐｅｎｄｅｎｔ  Ｃｏｍｐｕｔｉｎｇ  Ａｒｃｈｉｔｅｃｔｕｒｅ（ＩＣＡ）プロトコルまたは米国ワシントン州レッドモンドのＭｉｃｒｏｓｏｆｔ  Ｃｏｒｐｏｒａｔｉｏｎによって製造されるＲｅｍｏｔｅ  Ｄｅｓｋｔｏｐ  Ｐｒｏｔｏｃｏｌ（ＲＤＰ）というプロトコルの非網羅的なリストのうちの任意の１つとすることができる。
【００３０】
リモート・コンピューティング環境は、サーバ２０６ａ〜２０６ｎがたとえばクラウド・コンピューティング環境内でサーバ・ファーム２０６に論理的に一緒にグループ化されるように、複数のサーバ２０６ａ〜２０６ｎを含むことができる。サーバ・ファーム２０６は、論理的に一緒にグループ化される間に地理的に分散されるサーバ２０６または論理的に一緒にグループ化される間にお互いに近接して配置されるサーバ２０６を含むことができる。サーバ・ファーム２０６内の地理的に分散されたサーバ２０６ａ〜２０６ｎは、いくつかの実施形態で、ＷＡＮ（広域）、ＭＡＮ（メトロポリタン）、またはＬＡＮ（ローカル）を使用して通信することができ、異なる地理的領域は、異なる大陸、１つの大陸の異なる領域、異なる国、異なる州、異なる都市、異なるキャンパス、異なる部屋、または先行する地理的位置の任意の組み合わせとして特徴を表され得る。いくつかの実施形態で、サーバ・ファーム２０６は、単一のエンティティとして管理され得、他の実施形態では、サーバ・ファーム２０６は、複数のサーバ・ファームを含むことができる。
【００３１】
いくつかの実施形態で、サーバ・ファームは、実質的に類似するタイプのオペレーティング・システム・プラットフォーム（たとえば、ＷＩＮＤＯＷＳ（登録商標）、ＵＮＩＸ（登録商標）、ＬＩＮＵＸ、ｉＯＳ、ＡＮＤＲＯＩＤ（登録商標）、ＳＹＭＢＩＡＮなど）を実行するサーバ２０６を含むことができる。他の実施形態では、サーバ・ファーム２０６は、第１のタイプのオペレーティング・システム・プラットフォームを実行する１つまたは複数のサーバの第１のグループと、第２のタイプのオペレーティング・システム・プラットフォームを実行する１つまたは複数のサーバの第２のグループとを含むことができる。
【００３２】
サーバ２０６は、必要に応じて、任意のタイプのサーバとして、たとえばファイル・サーバ、アプリケーション・サーバ、ウェブ・サーバ、プロキシ・サーバ、アプライアンス、ネットワーク・アプライアンス、ゲートウェイ、アプリケーション・ゲートウェイ、ゲートウェイ・サーバ、仮想化サーバ、展開サーバ、Ｓｅｃｕｒｅ  Ｓｏｃｋｅｔｓ  Ｌａｙｅｒ（ＳＳＬ）ＶＰＮサーバ、ファイヤウォール、ウェブ・サーバ、アプリケーション・サーバもしくはマスタ・アプリケーション・サーバ、アクティブ・ディレクトリを実行するサーバ、または、ファイヤウォール機能性、アプリケーション機能性、もしくは負荷平衡化機能性を提供するアプリケーション加速プログラムを実行するサーバとして構成され得る。他のサーバ・タイプも使用され得る。
【００３３】
いくつかの実施形態は、クライアント計算機２４０から要求を受信し、第２のサーバ２０６ｂ（図示せず）に要求を転送し、第２のサーバ２０６ｂ（図示せず）からの応答を用いて、クライアント計算機２４０によって生成された要求に応答する、第１のサーバ２０６ａを含む。第１のサーバ２０６ａは、クライアント計算機２４０から使用可能なアプリケーションの列挙およびアプリケーションの列挙内で識別されたアプリケーションをホスティングするアプリケーション・サーバ２０６に関連するアドレス情報をも獲得することができる。第１のサーバ２０６ａは、その後、ウェブ・インターフェースを使用してクライアントの要求に対する応答を提示し、識別されたアプリケーションへのアクセスをクライアント２４０に提供するためにクライアント２４０と直接に通信することができる。１つまたは複数のクライアント２４０および／または１つまたは複数のサーバ２６０が、ネットワーク２３０、たとえばネットワーク１０１を介してデータを送信することができる。
【００３４】
図３は、例示的なデスクトップ仮想化システムの高水準アーキテクチャを示す。図示されているように、デスクトップ仮想化システムは、仮想デスクトップおよび／または仮想アプリケーションを１つまたは複数のクライアント・アクセス・デバイス２４０に提供するように構成された少なくとも１つの仮想化サーバ３０１を含む、シングルサーバ・システムもしくはマルチサーバ・システム、またはクラウド・システムとすることができる。本明細書で使用される時に、デスクトップは、１つまたは複数のアプリケーションがホスティングされ、かつ／または実行され得るグラフィカル環境または空間を指す。デスクトップは、ローカル・アプリケーションおよび／またはリモート・アプリケーションがその中で統合され得るオペレーティング・システムのインスタンスにユーザ・インターフェースを提供するグラフィカル・シェルを含むことができる。アプリケーションは、オペレーティング・システムのインスタンスが（および、オプションでデスクトップも）ロードされた後に実行されるプログラムを含むことができる。オペレーティング・システムの各インスタンスは、物理的（たとえば、１デバイスあたり１つのオペレーティング・システム）または仮想（たとえば、単一のデバイス上で走行する１つのＯＳの多数のインスタンス）とすることができる。各アプリケーションは、ローカル・デバイス上で実行され、またはリモートに配置されたデバイス（たとえば、遠隔化された）上で実行され得る。
【００３５】
コンピュータ・デバイス３０１は、仮想化環境、たとえばシングルサーバ環境、マルチサーバ環境、またはクラウド・コンピューティング環境内の仮想化サーバとして構成され得る。図３に示された仮想化サーバ３０１は、図２に示されたサーバ２０６の１つまたは複数の実施形態または他の既知のコンピューティング・デバイスとして展開され、かつ／またはこれによって実施され得る。仮想化サーバ３０１内に含まれるのは、１つまたは複数の物理ディスク３０４、１つまたは複数の物理デバイス３０６、１つまたは複数の物理プロセッサ３０８、および１つまたは複数の物理メモリ３１６を含むことのできるハードウェア層である。いくつかの実施形態では、ファームウェア３１２は、物理メモリ３１６内のメモリ要素内に記憶され得、物理プロセッサ３０８のうちの１つまたは複数によって実行され得る。仮想化サーバ３０１は、物理メモリ３１６内のメモリ要素内に記憶され、物理プロセッサ３０８のうちの１つまたは複数によって実行され得るオペレーティング・システム３１４をさらに含むことができる。さらに、ハイパーバイザ３０２が、物理メモリ３１６内のメモリ要素内に記憶され得、物理プロセッサ３０８のうちの１つまたは複数によって実行され得る。
【００３６】
物理プロセッサ３０８のうちの１つまたは複数上で実行しているのは、１つまたは複数の仮想計算機３３２Ａ〜Ｃ（全体的に３３２）とすることができる。各仮想計算機３３２は、仮想ディスク３２６Ａ〜Ｃおよび仮想プロセッサ３２８Ａ〜Ｃを有することができる。いくつかの実施形態で、第１の仮想計算機３３２Ａは、仮想プロセッサ３２８Ａを使用して、ツール・スタック３２４を含む制御プログラム３２０を実行することができる。制御プログラム３２０は、制御仮想計算機、Ｄｏｍ０、ドメイン０、またはシステム管理および／もしくはシステム制御に使用される他の仮想計算機と呼ばれる場合がある。いくつかの実施形態では、１つまたは複数の仮想計算機３３２Ｂ〜Ｃは、仮想プロセッサ３２８Ｂ〜Ｃを使用して、ゲスト・オペレーティング・システム３３０Ａ〜Ｂを実行することができる。
【００３７】
仮想化サーバ３０１は、仮想化サーバ３０１と通信する１つまたは複数のハードウェアを有するハードウェア層３１０を含むことができる。いくつかの実施形態で、ハードウェア層３１０は、１つまたは複数の物理ディスク３０４、１つまたは複数の物理デバイス３０６、１つまたは複数の物理プロセッサ３０８、および１つまたは複数の物理メモリ３１６を含むことができる。物理構成要素３０４、３０６、３０８、および３１６は、たとえば、上で説明された構成要素のいずれかを含むことができる。物理デバイス３０６は、たとえば、ネットワーク・インターフェース・カード、ビデオ・カード、キーボード、マウス、入力デバイス、モニタ、ディスプレイ・デバイス、スピーカ、光学ドライブ、ストレージ・デバイス、ｕｎｉｖｅｒｓａｌ  ｓｅｒｉａｌ  ｂｕｓ接続、プリンタ、スキャナ、ネットワーク要素（たとえば、ルータ、ファイヤウォール、ネットワーク・アドレス・トランスレータ、ロード・バランサ、仮想プライベート・ネットワーク（ＶＰＮ）ゲートウェイ、動的ホスト構成プロトコル（ＤＨＣＰ）ルータなど）、または仮想化サーバ３０１に接続されもしくはこれと通信する任意のデバイスを含むことができる。ハードウェア層３１０内の物理メモリ３１６は、任意のタイプのメモリを含むことができる。物理メモリ３１６は、データを記憶することができ、いくつかの実施形態では、１つもしくは複数のプログラムまたは実行可能命令のセットを記憶することができる。図３は、ファームウェア３１２が仮想化サーバ３０１の物理メモリ３１６内に記憶される実施形態を示す。物理メモリ３１６内に記憶されたプログラムまたは実行可能命令は、仮想化サーバ３０１の１つまたは複数のプロセッサ３０８によって実行され得る。
【００３８】
仮想化サーバ３０１は、ハイパーバイザ３０２をも含むことができる。いくつかの実施形態で、ハイパーバイザ３０２は、任意の個数の仮想計算機３３２を作成し、管理するために仮想化サーバ３０１上でプロセッサ３０８によって実行されるプログラムとすることができる。ハイパーバイザ３０２は、仮想計算機モニタまたはプラットフォーム仮想化ソフトウェアと呼ばれる場合がある。いくつかの実施形態では、ハイパーバイザ３０２は、実行可能命令と、コンピューティング機械上で実行する仮想計算機を監視するハードウェアとの任意の組み合わせとすることができる。ハイパーバイザ３０２は、ハイパーバイザが仮想化サーバ３０１上で実行するオペレーティング・システム３１４内で実行する、タイプ２ハイパーバイザとすることができる。仮想計算機は、ハイパーバイザの上のレベルで実行することができる。いくつかの実施形態では、タイプ２ハイパーバイザは、タイプ２ハイパーバイザがユーザのオペレーティング・システムと相互作用するように、ユーザのオペレーティング・システムのコンテキスト内で実行することができる。他の実施形態では、仮想化環境内の１つまたは複数の仮想化サーバ３０１は、その代わりにタイプ１ハイパーバイザ（図示せず）を含むことができる。タイプ１ハイパーバイザは、ハードウェア層３１０内のハードウェアおよびリソースに直接にアクセスすることによって仮想化サーバ３０１上で実行することができる。すなわち、タイプ２ハイパーバイザ３０２は、図示のようにホスト・オペレーティング・システム３１４を介してシステム・リソースにアクセスするが、タイプ１ハイパーバイザは、ホスト・オペレーティング・システム３１４なしですべてのシステム・リソースに直接にアクセスすることができる。タイプ１ハイパーバイザは、仮想化サーバ３０１の１つまたは複数の物理プロセッサ３０８上で直接に実行することができ、物理メモリ３１６内に記憶されたプログラム・データを含むことができる。
【００３９】
ハイパーバイザ３０２は、いくつかの実施形態で、システム・リソースへの直接アクセスを有するオペレーティング・システム３３０または制御プログラム３２０をシミュレートする任意の形で仮想計算機３３２上で実行するオペレーティング・システム３３０または制御プログラム３２０に仮想リソースを提供することができる。システム・リソースは、物理デバイス３０６、物理ディスク３０４、物理プロセッサ３０８、物理メモリ３１６、および仮想化サーバ３０１ハードウェア層３１０内に含まれる任意の他の構成要素を含むことができるが、これに限定はされない。ハイパーバイザ３０２は、仮想ハードウェアをエミュレートし、物理ハードウェアを区分し、物理ハードウェアを仮想化し、かつ／またはコンピューティング環境へのアクセスを提供する仮想計算機を実行するのに使用され得る。さらに他の実施形態では、ハイパーバイザ３０２は、仮想化サーバ３０１上で実行する仮想計算機３３２のプロセッサ・スケジューリングおよびメモリ・パーティショニングを制御することができる。ハイパーバイザ３０２は、米国カリフォルニア州パロ・アルトのＶＭＷａｒｅ，Ｉｎｃ．によって製造されるもの、その開発がオープン・ソースＸｅｎＰｒｏｊｅｃｔ．ｏｒｇコミュニティによって監督されるオープン・ソース・プロジェクトであるＸＥＮＰＲＯＪＥＣＴハイパーバイザ、Ｍｉｃｒｏｓｏｆｔによって提供されるＨｙｐｅｒＶ、ＶｉｒｔｕａｌＳｅｒｖｅｒ、またはｖｉｒｔｕａｌ  ＰＣハイパーバイザ、その他を含むことができる。いくつかの実施形態で、仮想化サーバ３０１は、ゲスト・オペレーティング・システムがその上で実行できる仮想計算機プラットフォームを作成するハイパーバイザ３０２を実行することができる。これらの実施形態では、仮想化サーバ３０１が、ホスト・サーバと呼ばれる場合がある。そのような仮想化サーバの例は、米国フロリダ州フォート・ローダーデールのＣｉｔｒｉｘ  Ｓｙｓｔｅｍｓ，Ｉｎｃ．によって提供されるＸＥＮＳＥＲＶＥＲである。
【００４０】
ハイパーバイザ３０２は、その中でゲスト・オペレーティング・システム３３０が実行する１つまたは複数の仮想計算機３３２Ｂ〜Ｃ（全体的に３３２）を作成することができる。いくつかの実施形態で、ハイパーバイザ３０２は、仮想計算機３３２を作成するために仮想計算機イメージをロードすることができる。他の実施形態では、ハイパーバイザ３０２は、仮想計算機３３２内でゲスト・オペレーティング・システム３３０を実行することができる。さらなる他の実施形態では、仮想計算機３３２がゲスト・オペレーティング・システム３３０を実行することができる。
【００４１】
仮想計算機３３２の作成に加えて、ハイパーバイザ３０２は、少なくとも１つの仮想計算機３３２の実行を制御することができる。他の実施形態では、ハイパーバイザ３０２は、仮想化サーバ３０１によって提供される少なくとも１つのハードウェア・リソース（たとえば、ハードウェア層３１０内で使用可能な任意のハードウェア・リソース）の抽象化を用いて少なくとも１つの仮想計算機３３２を提示することができる。他の実施形態では、ハイパーバイザ３０２は、仮想計算機３３２が仮想化サーバ３０１内で使用可能な物理プロセッサ３０８にアクセスする形を制御することができる。物理プロセッサ３０８へのアクセスの制御は、仮想計算機３３２がプロセッサ３０８へのアクセスを有するべきかどうかと、物理プロセッサ能力が仮想計算機３３２にどのように提示されるのかとを判定することを含むことができる。
【００４２】
図３に示されているように、仮想化サーバ３０１は、１つまたは複数の仮想計算機３３２をホスティングしまたは実行することができる。仮想計算機３３２は、プロセッサ３０８によって実行された時に、仮想計算機３３２が物理コンピューティング・デバイスのようにプログラムおよびプロセスを実行できるように物理コンピュータの動作を模倣することのできる実行可能命令のセットである。図３は、仮想化サーバ３０１が３つの仮想計算機３３２をホスティングする実施形態を示すが、他の実施形態では、仮想化サーバ３０１は、任意の個数の仮想計算機３３２をホスティングすることができる。ハイパーバイザ３０２は、いくつかの実施形態で、各仮想計算機３３２に、その仮想計算機３３２が使用可能な物理ハードウェア、メモリ、プロセッサ、および他のシステム・リソースの独自の仮想ビューを提供することができる。いくつかの実施形態では、独自の仮想ビューは、仮想計算機アクセス権、１つまたは複数の仮想計算機識別子へのポリシ・エンジンの適用、仮想計算機にアクセスするユーザ、仮想計算機上で実行中のアプリケーション、仮想計算機によってアクセスされるネットワーク、または任意の他の所望の判断基準のうちの１つまたは複数に基づくものとすることができる。たとえば、ハイパーバイザ３０２は、１つまたは複数の非セキュア仮想計算機３３２および１つまたは複数のセキュア仮想計算機３３２を作成することができる。非セキュア仮想計算機３３２は、セキュア仮想計算機３３２がアクセスを許可されるリソース、ハードウェア、メモリ位置、およびプログラムへのアクセスを防止され得る。他の実施形態では、ハイパーバイザ３０２は、各仮想計算機３３２に、仮想計算機３３２からアクセス可能な物理ハードウェア、メモリ、プロセッサ、および他のシステム・リソースの実質的に同様の仮想ビューを提供することができる。
【００４３】
各仮想計算機３３２は、仮想ディスク３２６Ａ〜Ｃ（全体的に３２６）および仮想プロセッサ３２８Ａ〜Ｃ（全体的に３２８）を含むことができる。仮想ディスク３２６は、いくつかの実施形態で、仮想化サーバ３０１の１つまたは複数の物理ディスク３０４または仮想化サーバ３０１の１つまたは複数の物理ディスク３０４の一部の仮想化されたビューである。物理ディスク３０４の仮想化されたビューは、ハイパーバイザ３０２によって生成され、提供され、管理され得る。いくつかの実施形態で、ハイパーバイザ３０２は、各仮想計算機３３２に物理ディスク３０４の独自のビューを提供する。したがって、これらの実施形態では、各仮想計算機３３２に含まれる特定の仮想ディスク３２６は、他の仮想ディスク３２６と比較した時に独自とすることができる。
【００４４】
仮想プロセッサ３２８は、仮想化サーバ３０１の１つまたは複数の物理プロセッサ３０８の仮想化されたビューとすることができる。いくつかの実施形態で、物理プロセッサ３０８の仮想化されたビューは、ハイパーバイザ３０２によって生成され、提供され、管理され得る。いくつかの実施形態で、仮想プロセッサ３２８は、少なくとも１つの物理プロセッサ３０８の同一の特性の実質的にすべてを有する。他の実施形態では、仮想プロセッサ３０８は、仮想プロセッサ３２８の特性のうちの少なくとも一部が、対応する物理プロセッサ３０８の特性とは異なるように、物理プロセッサ３０８の変更されたビューを提供する。
【００４５】
図４をさらに参照すると、本明細書で説明されるいくつかの態様は、クラウドベースの環境内で実施され得る。図４は、クラウド・コンピューティング環境（またはクラウド・システム）４００の一例を示す。図４からわかるように、クライアント・コンピュータ４１１〜４１４は、クラウド・システムのコンピューティング・リソース（たとえば、ホスト・サーバ４０３ａ〜４０３ｂ（本明細書では全体的に「ホスト・サーバ４０３」と称する）、ストレージ・リソース４０４ａ〜４０４ｂ（本明細書では全体的に「ストレージ・リソース４０４」と称する）、およびネットワーク・リソース４０５ａ〜４０５ｂ（本明細書では全体的に「ネットワーク・リソース４０５」と称する））にアクセスするためにクラウド管理サーバ４１０と通信することができる。
【００４６】
管理サーバ４１０は、１つまたは複数の物理サーバ上で実施され得る。管理サーバ４１０は、たとえば、とりわけ米国フロリダ州フォート・ローダーデールのＣｉｔｒｉｘ  Ｓｙｓｔｅｍｓ，Ｉｎｃ．によるＣＬＯＵＤＰＬＡＴＦＯＲＭまたはＯＰＥＮＳＴＡＣＫを走行させることができる。管理サーバ４１０は、クラウド・ハードウェア・リソースおよびクラウド・ソフトウェア・リソース、たとえば、ホスト・コンピュータ４０３、データ・ストレージ・デバイス４０４、およびネットワーキング・デバイス４０５を含む様々なコンピューティング・リソースを管理することができる。クラウド・ハードウェア・リソースおよびクラウド・ソフトウェア・リソースは、私有構成要素および／または公衆構成要素を含むことができる。たとえば、クラウドは、１つまたは複数の特定の顧客もしくはクライアント・コンピュータ４１１〜４１４によっておよび／または私有ネットワーク上で使用される私有クラウドとして構成され得る。他の実施形態では、公衆クラウドまたはハイブリッド公衆／私有クラウドが、オープン・ネットワークまたはハイブリッド・ネットワークを介して他の顧客によって使用され得る。
【００４７】
管理サーバ４１０は、それを介してクラウド・オペレータおよびクラウド顧客がクラウド・システム４００と対話できるユーザ・インターフェースを提供するように構成され得る。たとえば、管理サーバ４１０は、クラウド・オペレータがクラウド・リソースを管理し、仮想化層を構成し、顧客アカウントを管理し、他のクラウド管理タスクを実行することを可能にするために、アプリケーション・プログラミング・インターフェース（ＡＰＩ）のセットおよび／または１つもしくは複数のクラウド・オペレータ・コンソール・アプリケーション（たとえば、ウェブ・ベースのまたは独立型のアプリケーション）にユーザ・インターフェースを提供することができる。管理サーバ４１０は、クライアント・コンピュータ４１１〜４１４を介してエンド・ユーザからクラウド・コンピューティング要求、たとえばクラウド内で仮想計算機を作成し、変更し、または破壊する要求を受信するように構成されたユーザ・インターフェースを有するＡＰＩのセットおよび／または１つもしくは複数の顧客コンソール・アプリケーションを含むこともできる。クライアント・コンピュータ４１１〜４１４は、インターネットまたはなんらかの他の通信ネットワークを介して管理サーバ４１０に接続することができ、管理サーバ４１０によって管理されるコンピューティング・リソースのうちの１つまたは複数へのアクセスを要求することができる。クライアント要求に応答して、管理サーバ４１０は、クライアント要求に基づいてクラウド・システムのハードウェア層内の物理リソースを選択し、提供するように構成されたリソース・マネージャを含むことができる。たとえば、管理サーバ４１０およびクラウド・システムの追加構成要素は、ネットワーク（たとえば、インターネット）を介してクライアント・コンピュータ４１１〜４１４の顧客に仮想計算機およびその動作環境（たとえば、ハイパーバイザ、ストレージ・リソース、ネットワーク要素によって提供されるサービスなど）を提供し、作成し、管理し、計算リソース、データ・ストレージ・サービス、ネットワーキング能力、ならびにコンピュータ・プラットフォームおよびアプリケーション・サポートを提供するように構成され得る。クラウド・システムは、セキュリティ・サービス、展開環境、ユーザ・インターフェース、および類似物を含む様々な特定のサービスを提供するようにも構成され得る。
【００４８】
クライアント・コンピュータ４１１〜４１４は、たとえば、同一のエンド・ユーザまたは同一の会社もしくは組織に加入した異なるユーザの代わりに仮想計算機を作成する異なるクライアント・コンピュータに関するものとすることができる。他の例では、ある種のクライアント４１１〜４１４は、異なる会社または組織に加入したユーザなど、関係しないものとすることができる。関係しないクライアントに関して、任意のユーザの仮想計算機またはストレージ上の情報は、他のユーザから隠蔽され得る。
【００４９】
ここでクラウド・コンピューティング環境の物理ハードウェア層を参照すると、可用性ゾーン４０１〜４０２（またはゾーン）は、物理コンピューティング・リソースの同一位置に配置されたセットを指すことができる。ゾーンは、コンピューティング・リソースの全体的なクラウド内で他のゾーンから地理的に分離され得る。たとえば、ゾーン４０１は、米国カリフォルニア州に配置された第１のクラウド・データセンタとすることができ、ゾーン４０２は、米国フロリダ州に配置された第２のクラウド・データセンタとすることができる。管理サーバ４１０は、可用性ゾーンのうちの１つまたは別々の位置に配置され得る。各ゾーンは、ゲートウェイを介して、管理サーバ４１０などのゾーンの外部のデバイスとインターフェースする内部ネットワークを含むことができる。クラウドのエンド・ユーザ（たとえば、クライアント４１１〜４１４）は、ゾーンの間の区別を知っていてもいなくてもよい。たとえば、エンド・ユーザは、指定された量のメモリ、処理能力、およびネットワーク能力を有する仮想計算機の作成を要求することができる。管理サーバ４１０は、ユーザの要求に応答することができ、仮想計算機がゾーン４０１またはゾーン４０２のどちらからのリソースを使用して作成されたのかをユーザが知ることなく、仮想計算機を作成するためにリソースを割り振ることができる。他の例では、クラウド・システムは、仮想計算機（または他のクラウド・リソース）が特定のゾーン内またはあるゾーン内の特定のリソース４０３〜４０５上で割り振られることをエンド・ユーザが要求することを可能にすることができる。
【００５０】
この例では、各ゾーン４０１〜４０２は、様々な物理ハードウェア構成要素（またはコンピューティング・リソース）４０３〜４０５、たとえば、物理ホスティング・リソース（または処理リソース）、物理ネットワーク・リソース、物理ストレージ・リソース、スイッチ、およびクラウド・コンピューティング・サービスを顧客に提供するのに使用され得る追加のハードウェア・リソースの配置を含むことができる。クラウド・ゾーン４０１〜４０２内の物理ホスティング・リソースは、上で説明した仮想化サーバ３０１など、仮想計算機インスタンスを作成し、ホスティングするように構成され得る１つまたは複数のコンピュータ・サーバ４０３を含むことができる。クラウド・ゾーン４０１または４０２内の物理ネットワーク・リソースは、ファイヤウォール、ネットワーク・アドレス・トランスレータ、ロード・バランサ、仮想プライベート・ネットワーク（ＶＰＮ）ゲートウェイ、動的ホスト構成プロトコル（ＤＨＣＰ）ルータ、および類似物など、クラウド顧客にネットワーク・サービスを提供するように構成されたハードウェアおよび／またはソフトウェアを含む１つまたは複数のネットワーク要素４０５（たとえば、ネットワーク・サービス・プロバイダを含むことができる。クラウド・ゾーン４０１〜４０２内のストレージ・リソースは、ストレージ・ディスク（たとえば、ソリッド・ステート・ドライブ（ＳＳＤ）、磁気ハード・ディスクなど）および他のストレージ・デバイスを含むことができる。
【００５１】
図４に示された例のクラウド・コンピューティング環境は、仮想計算機を作成し、管理し、クラウド内の物理リソースを使用して顧客に他のサービスを提供するように構成された追加のハードウェア・リソースおよび／またはソフトウェア・リソースを有する仮想化層（たとえば、図１〜図３に示された）をも含むことができる。仮想化層は、ネットワーク仮想化、ストレージ仮想化などを提供する他の構成要素と一緒に、上で図３で説明したハイパーバイザを含むことができる。仮想化層は、物理リソース層とは別々の層として存在することができ、あるいは、同一のハードウェア・リソースおよび／またはソフトウェア・リソースの一部またはすべてを物理リソース層と共有することができる。たとえば、仮想化層は、物理コンピューティング・リソースと共に仮想化サーバ４０３のそれぞれにインストールされたハイパーバイザを含むことができる。その代わりに、既知のクラウド・システム、たとえばＷＩＮＤＯＷＳ（登録商標）  ＡＺＵＲＥ（米国ワシントン州レッドモンドのＭｉｃｒｏｓｏｆｔ  Ｃｏｒｐｏｒａｔｉｏｎ）、ＡＭＡＺＯＮ  ＥＣ２（米国ワシントン州シアトルのＡｍａｚｏｎ．ｃｏｍ  Ｉｎｃ．）、ＩＢＭ  ＢＬＵＥ  ＣＬＯＵＤ（米国ニューヨーク州アーモンクのＩＢＭ  Ｃｏｒｐｏｒａｔｉｏｎ）、その他を使用することができる。
【００５２】
企業モビリティ管理アーキテクチャ
図５は、「Ｂｒｉｎｇ  Ｙｏｕｒ  Ｏｗｎ  Ｄｅｖｉｃｅ」（ＢＹＯＤ）環境で使用される企業モビリティ技術アーキテクチャ５００を表す。このアーキテクチャは、モバイル・デバイス５０２のユーザが、モバイル・デバイス５０２から企業リソースまたは個人リソースにアクセスすることと、個人的使用のためにモバイル・デバイス５０２を使用することとの両方を可能にする。ユーザは、ユーザによって購入されたモバイル・デバイス５０２または企業によってユーザに提供されたモバイル・デバイス５０２を使用して、そのような企業リソース５０４または企業サービス５０８にアクセスすることができる。ユーザは、業務専用にまたは業務と個人使用とにモバイル・デバイス５０２を利用することができる。モバイル・デバイス５０２は、ｉＯＳオペレーティング・システム、Ａｎｄｒｏｉｄ（登録商標）オペレーティング・システム、または類似物を走行させることができる。企業は、モバイル・デバイス５０２を管理するためにポリシを実施することを選択することができる。ポリシは、モバイル・デバイス５０２が識別され、保護されまたはセキュリティ検証され、企業リソース（たとえば、５０４および５０８）への選択的アクセスまたはフル・アクセスを提供され得るような形でファイヤウォールまたはゲートウェイを介して実施され得る。ポリシは、モバイル・デバイス管理ポリシ、モバイル・アプリケーション管理ポリシ、モバイル・データ管理ポリシ、またはモバイル・デバイス管理ポリシ、モバイル・アプリケーション管理ポリシ、およびモバイル・データ管理ポリシのなんらかの組み合わせとすることができる。モバイル・デバイス管理ポリシの適用を介して管理されるモバイル・デバイス５０２は、登録されたデバイスと呼ばれる場合がある。
【００５３】
いくつかの実施形態で、モバイル・デバイス５０２のオペレーティング・システムは、管理されるパーティション５１０および管理されないパーティション５１２に分離され得る。管理されるパーティション５１０は、管理されるパーティション５１０上で走行するアプリケーションおよび管理されるパーティション５１０内に記憶されるデータを保護するためにポリシを適用され得る。管理されるパーティション５１０上で走行するアプリケーションは、セキュア・アプリケーションとすることができる。他の実施形態では、すべてのアプリケーションが、アプリケーションとは別々に受信され、１つまたは複数のセキュリティ・パラメータ、特徴、リソース制限、および／またはアプリケーションがモバイル・デバイス５０２上で実行している時にモバイル・デバイス管理システムによって実施される他のアクセス制御を定義する、１つまたは複数のポリシ・ファイルのセットに従って実行することができる。そのそれぞれのポリシ・ファイル（１つまたは複数）に従って動作することによって、各アプリケーションは、１つまたは複数の他のアプリケーションおよび／またはリソースとの通信を許可されまたは制限され、これによって、仮想パーティションを作成することができる。したがって、本明細書で使用される時に、パーティションは、メモリの物理的に区分された部分（物理パーティション）、メモリの論理的に区分された部分（論理パーティション）、ならびに／または本明細書で説明される複数のアプリケーションにまたがって１もしくは複数のポリシおよび／もしくはポリシ・ファイルの実施の結果として作成される仮想パーティション（仮想パーティション）と呼ばれる場合がある。言い換えると、マネージド・アプリケーションに対してポリシを実施することによって、これらのアプリケーションは、他のマネージド・アプリケーションおよび信頼される企業リソースと通信できることに制限され、これによって管理されないアプリケーションおよびデバイスによって進入不可能な仮想パーティションを作成することができる。
【００５４】
セキュア・アプリケーションは、電子メール・アプリケーション、ウェブ・ブラウジング・アプリケーション、ソフトウェアアズアサービス（ＳａａＳ）アクセス・アプリケーション、Ｗｉｎｄｏｗｓ（登録商標）  Ａｐｐｌｉｃａｔｉｏｎアクセス・アプリケーション、および類似物とすることができる。セキュア・アプリケーションは、セキュア・ネイティブ・アプリケーション５１４、セキュア・アプリケーション・ランチャ５１８によって実行されるセキュア・リモート・アプリケーション５２２、セキュア・アプリケーション・ランチャ５１８によって実行される仮想化アプリケーション５２６、および類似物とすることができる。セキュア・ネイティブ・アプリケーション５１４は、セキュア・アプリケーション・ラッパー５２０によってラップされ得る。セキュア・アプリケーション・ラッパー５２０は、セキュア・ネイティブ・アプリケーション５１４がモバイル・デバイス５０２上で実行される時にモバイル・デバイス５０２上で実行される統合されたポリシを含むことができる。セキュア・アプリケーション・ラッパー５２０は、セキュア・ネイティブ・アプリケーション５１４の実行時に要求されるタスクを完了するためにセキュア・ネイティブ・アプリケーション５１４が要求する可能性がある企業でホスティングされるリソース（たとえば、５０４および５０８）に、モバイル・デバイス５０２上で走行するセキュア・ネイティブ・アプリケーション５１４を指すメタデータを含むことができる。セキュア・アプリケーション・ランチャ５１８によって実行されるセキュア・リモート・アプリケーション５２２は、セキュア・アプリケーション・ランチャ５１８内で実行され得る。セキュア・アプリケーション・ランチャ５１８によって実行される仮想化アプリケーション５２６は、モバイル・デバイス５０２上のリソース、企業リソース５０４、および類似物を利用することができる。セキュア・アプリケーション・ランチャ５１８によって実行される仮想化アプリケーション５２６によってモバイル・デバイス５０２上で使用されるリソースは、ユーザ対話リソース、処理リソース、および類似物を含むことができる。ユーザ対話リソースは、キーボード入力、マウス入力、カメラ入力、触覚入力、オーディオ入力、、視覚入力、ジェスチャ入力、および類似物を収集し、送信するのに使用され得る。処理リソースは、ユーザ・インターフェースを提示し、企業リソース５０４から受信されたデータを処理し、類似物を行うのに使用され得る。セキュア・アプリケーション・ランチャ５１８によって実行される仮想化アプリケーション５２６によって企業リソース５０４で使用されるリソースは、ユーザ・インターフェース生成リソース、処理リソース、および類似物を含むことができる。ユーザ・インターフェース生成リソースは、ユーザ・インターフェースをアセンブルし、ユーザ・インターフェースを変更し、ユーザ・インターフェースをリフレッシュし、類似物を行うのに使用され得る。処理リソースは、情報を作成し、情報を読み取り、情報を更新し、情報を削除し、類似物を行うのに使用され得る。たとえば、仮想化アプリケーション５２６は、グラフィカル・ユーザ・インターフェース���ＧＵＩ）に関連するユーザ対話を記録し、これらをサーバ・アプリケーションに通信することができ、サーバ・アプリケーションは、サーバ上で動作するアプリケーションへの入力としてユーザ対話データを使用する。そのような配置では、企業は、サーバ側のアプリケーションならびにそのアプリケーションに関連するデータ、ファイル、その他を維持することを選択することができる。企業が、モバイル・デバイス５０２上での展開のために一部のアプリケーションを保護することによって本明細書の原理に従ってそれらのアプリケーションを「モバイル化」することを選択できるが、この配置は、ある種のアプリケーションについても選択され得る。たとえば、一部のアプリケーションは、モバイル・デバイス５０２上での使用のために保護され得るが、他のアプリケーションは、モバイル・デバイス５０２での展開のために準備されず、またはそれに適切ではない可能性があり、したがって、企業は、仮想化技法を介して準備されていないアプリケーションへのモバイル・ユーザ・アクセスを提供することを選択することができる。別の例として、企業は、企業が仮想化技法を介してアプリケーションへのアクセスを提供することを選択できるようにモバイル・デバイス５０２用にアプリケーションをカスタマイズすることが非常に困難または他の形で望ましくない場合に、大きく不雑なデータ・セットを有する大きく複雑なアプリケーション（たとえば、材料リソース・プラニング・アプリケーション）を有する場合がある。もう１つの例として、企業は、企業がアプリケーションおよびデータへのモバイル・アクセスを許可するのに仮想化技法を使用することを選択できるように、保護されたモバイル環境に関してさえ機密性が高すぎると企業が見なす可能性がある高度に保護されたデータ（たとえば、人材データ、顧客データ、エンジニアリング・データ）を維持するアプリケーションを有する場合がある。企業は、モバイル・デバイス５０２上の十分に保護され十分に機能するアプリケーションとサーバ側でより正しく操作されると考えられるアプリケーションへのアクセスを可能にするための仮想化アプリケーション５２６との両方を提供することを選択することができる。一実施形態では、仮想化アプリケーション５２６は、モバイル・デバイス５０２上のセキュア・ストレージ位置のうちの１つに一部のデータ、ファイル、その他を記憶することができる。企業は、たとえば、他の情報を許可せずに、ある種の情報がモバイル・デバイス５０２上に記憶されることを許すことを選択することができる。
【００５５】
本明細書で説明される仮想化アプリケーション５２６に関連して、モバイル・デバイス５０２は、ＧＵＩを提示し、その後にＧＵＩとのユーザ対話を記録するように設計された仮想化アプリケーション５２６を有することができる。仮想化アプリケーション５２６は、アプリケーションとのユーザ対話としてサーバ側アプリケーションによって使用されるユーザ対話をサーバ側に通信することができる。これに応答して、サーバ側のアプリケーションは、新しいＧＵＩをモバイル・デバイス５０２に送り返すことができる。たとえば、新しいＧＵＩは、静的ページ、動的ページ、アニメーション、または類似物とし、これによって、リモートに配置されたリソースへのアクセスを提供することができる。
【００５６】
セキュア・アプリケーション５１４は、モバイル・デバイス５０２の管理されるパーティション５１０内のセキュア・データ・コンテナ５２８内に記憶されたデータにアクセスすることができる。セキュア・データ・コンテナ内に保護されたデータは、セキュア・ネイティブ・アプリケーション５１４、セキュア・アプリケーション・ランチャ５１８によって実行されるセキュア・リモート・アプリケーション５２２、セキュア・アプリケーション・ランチャ５１８によって実行される仮想化アプリケーション５２６、および類似物によってアクセスされ得る。セキュア・データ・コンテナ５２８内に記憶されたデータは、ファイル、データベース、および類似物を含むことができる。セキュア・データ・コンテナ５２８内に記憶されたデータは、特定のセキュア・アプリケーション５３０に制限されたデータ、セキュア・アプリケーション５３２の間で共有されるデータ、および類似物を含むことができる。セキュア・アプリケーションに制限されたデータは、セキュア一般データ５３４および高度にセキュアなデータ５３８を含むことができる。セキュア一般データは、Ａｄｖａｎｃｅｄ  Ｅｎｃｒｙｐｔｉｏｎ  Ｓｔａｎｄａｒｄ（ＡＥＳ）１２８ビット暗号化または類似物などの強い形の暗号化を使用することができ、高度にセキュアなデータ５３８は、ＡＥＳ  ２５６ビット暗号化などの非常に強い形の暗号化を使用することができる。セキュア・データ・コンテナ５２８内に記憶されたデータは、デバイス・マネージャ５２４からのコマンドの受信時にモバイル・デバイス５０２から削除され得る。セキュア・アプリケーション（たとえば５１４、５２２、および５２６）は、二重モード・オプション５４０を有することができる。二重モード・オプション５４０は、ユーザに、保護されないモードまたは管理されないモードで保護されたアプリケーションを動作させるオプションを提示することができる。保護されないモードまたは管理されないモードでは、セキュア・アプリケーションは、モバイル・デバイス５０２の管理されないパーティション５１２上の保護されないデータ・コンテナ５４２内に記憶されたデータにアクセスすることができる。保護されないデータ・コンテナ内に記憶されたデータは、パーソナル・データ５４４とすることができる。保護されないデータ・コンテナ５４２内に記憶されたデータは、モバイル・デバイス５０２の管理されないパーティション５１２上で走行している保護されないアプリケーション５４６によってもアクセスされ得る。保護されないデータ・コンテナ５４２内に記憶されたデータは、セキュア・データ・コンテナ５２８内に記憶されたデータがモバイル・デバイス５０２から削除される時にモバイル・デバイス５０２上に留まることができる。企業は、ユーザによって所有され、ライセンス交付され、または制御されるパーソナル・データ、ファイル、および／またはアプリケーション（パーソナル・データ）を残しまたは他の形で保存しながら、企業によって所有され、ライセンス交付され、または制御される選択されたまたはすべてのデータ、ファイル、および／またはアプリケーション（企業データ）をモバイル・デバイス５０２から削除することを望む場合がある。この動作は、選択的ワイプと呼ばれる場合がある。企業データおよびパーソナル・データが本明細書で説明される態様に従って配置された状態で、企業は、選択的ワイプを実行することができる。
【００５７】
モバイル・デバイス５０２は、企業の企業リソース５０４および企業サービス５０８に、公衆インターネット５４８に、および類似物に接続することができる。モバイル・デバイス５０２は、仮想プライベート・ネットワーク接続を介して企業リソース５０４および企業サービス５０８に接続することができる。仮想プライベート・ネットワーク接続は、ｍｉｃｒｏＶＰＮまたはアプリケーション固有ＶＰＮ（ａｐｐｌｉｃａｔｉｏｎ−ｓｐｅｃｉｆｉｃ  ＶＰＮ）とも呼ばれるが、特定のアプリケーション５５０、特定のデバイス、モバイル・デバイス上の特定の保護された区域５５２、および類似物に固有とすることができる。たとえば、モバイル・デバイス５０２の保護された区域内のラップされたアプリケーションのそれぞれは、ＶＰＮへのアクセスが、おそらくはユーザまたはデバイスの属性情報に関連する、アプリケーションに関連する属性に基づいて許可されるように、アプリケーション固有ＶＰＮを介して企業リソースにアクセスすることができる。仮想プライベート・ネットワーク接続は、Ｍｉｃｒｏｓｏｆｔ  Ｅｘｃｈａｎｇｅトラフィック、Ｍｉｃｒｏｓｏｆｔ  Ａｃｔｉｖｅ  Ｄｉｒｅｃｔｏｒｙトラフィック、ハイパーテキスト転送プロトコル（ＨＴＴＰ）トラフィック、ＨｙｐｅｒＴｅｘｔ  Ｔｒａｎｓｆｅｒ  Ｐｒｏｔｏｃｏｌ  Ｓｅｃｕｒｅ（ＨＴＴＰＳ）トラフィック、アプリケーション管理トラフィック、および類似物を搬送することができる。仮想プライベート・ネットワーク接続は、シングルサインオン認証プロセス５５４をサポートし、使用可能にすることができる。シングルサインオン・プロセスは、ユーザが、認証サービス５５８によってその後に検証される認証証明書の単一のセットを提供することを可能にすることができる。認証サービス５５８は、ユーザが各個々の企業リソース５０４に認証証明書を提供することを要求せずに、複数の企業リソース５０４へのユーザ・アクセスを許可することができる。
【００５８】
仮想プライベート・ネットワーク接続は、アクセス・ゲートウェイ５６０によって確立され、管理され得る。アクセス・ゲートウェイ５６０は、モバイル・デバイス５０２への企業リソース５０４の配送を管理し、加速し、改善する性能強化特徴を含むことができる。アクセス・ゲートウェイ５６０は、モバイル・デバイス５０２からのトラフィックを公衆インターネット５４８に再ルーティングし、モバイル・デバイス５０２が公衆インターネット５４８上で走行する公に使用可能な保護されていないアプリケーションにアクセスすることを可能にすることもできる。モバイル・デバイス５０２は、トランスポート・ネットワーク５６２を介してアクセス・ゲートウェイに接続することができる。トランスポート・ネットワーク５６２は、有線ネットワーク、無線ネットワーク、クラウド・ネットワーク、ローカル・エリア・ネットワーク、メトロポリタン・エリア・ネットワーク、広域ネットワーク、公衆ネットワーク、私有ネットワーク、および類似物とすることができる。
【００５９】
企業リソース５０４は、電子メール・サーバ、ファイル共有サーバ、ＳａａＳアプリケーション、ウェブ・アプリケーション・サーバ、Ｗｉｎｄｏｗｓ（登録商標）アプリケーション・サーバ、および類似物を含むことができる。電子メール・サーバは、Ｅｘｃｈａｎｇｅサーバ、Ｌｏｔｕｓ  Ｎｏｔｅｓサーバ、および類似物を含むことができる。ファイル共有サーバは、ＳｈａｒｅＦｉｌｅサーバおよび類似物を含むことができる。ＳａａＳアプリケーションは、Ｓａｌｅｓｆｏｒｃｅおよび類似物を含むことができる。Ｗｉｎｄｏｗｓ（登録商標）アプリケーション・サーバは、ローカルＷｉｎｄｏｗｓ（登録商標）オペレーティング・システム上で走行することを意図されたアプリケーションおよび類似物を提供するように構築された任意のアプリケーション・サーバを含むことができる。企業リソース５０４は、構内ベースのリソース、クラウドベースのリソース、および類似物とすることができる。企業リソース５０４は、モバイル・デバイス５０２によって直接にまたはアクセス・ゲートウェイ５６０を介してアクセスされ得る。企業リソース５０４は、モバイル・デバイス５０２によってトランスポート・ネットワーク５６２を介してアクセスされ得る。
【００６０】
企業サービス５０８は、認証サービス５５８、脅威検出サービス５６４、デバイス・マネージャ・サービス５２４、ファイル共有サービス５６８、ポリシ・マネージャ・サービス５７０、ソーシャル統合サービス５７２、アプリケーション・コントローラ・サービス５７４、および類似物を含むことができる。認証サービス５５８は、ユーザ認証サービス、デバイス認証サービス、アプリケーション認証サービス、データ認証サービス、および類似物を含むことができる。認証サービス５５８は、証明書を使用することができる。証明書は、モバイル・デバイス５０２上で、企業リソース５０４によって、および類似物によって記憶され得る。モバイル・デバイス５０２上に記憶された証明書は、モバイル・デバイス５０２上の暗号化された位置に記憶され得、証明書は、認証時の使用および類似物のためにモバイル・デバイス５０２上に一時的に記憶され得る。脅威検出サービス５６４は、進入検出サービス、不認可アクセス試行検出サービス、および類似物を含むことができる。不認可アクセス試行検出サービスは、デバイス、アプリケーション、データ、および類似物にアクセスする認可されていない試みを含むことができる。デバイス管理サービス５２４は、構成サービス、提供サービス、セキュリティ・サービス、サポート・サービス、監視サービス、報告サービス、およびデコミッショニング・サービスを含むことができる。ファイル共有サービス５６８は、ファイル管理サービス、ファイル・ストレージ・サービス、ファイル・コラボレーション・サービス、および類似物を含むことができる。ポリシ・マネージャ・サービス５７０は、デバイス・ポリシ・マネージャ・サービス、アプリケーション・ポリシ・マネージャ・サービス、データ・ポリシ・マネージャ・サービス、および類似物を含むことができる。ソーシャル統合サービス５７２は、連絡先統合サービス、コラボレーション・サービス、Ｆａｃｅｂｏｏｋ、Ｔｗｉｔｔｅｒ、およびＬｉｎｋｅｄＩｎなどのソーシャル・ネットワークとの統合、ならびに類似物を含むことができる。アプリケーション・コントローラ・サービス５７４は、管理サービス、提供サービス、展開サービス、割当サービス、取消サービス、ラッピング・サービス、および類似物を含むことができる。
【００６１】
企業モビリティ技術アーキテクチャ５００は、アプリケーション・ストア５７８を含むことができる。アプリケーション・ストア５７８は、ラップ解除されたアプリケーション５８０、事前にラップされたアプリケーション５８２、および類似物を含むことができる。アプリケーションは、アプリケーション・コントローラ５７４からアプリケーション・ストア５７８に投入され得る。アプリケーション・ストア５７８は、アクセス・ゲートウェイ５６０を介して、公衆インターネット５４８を介して、または類似物を介してモバイル・デバイス５０２によってアクセスされ得る。アプリケーション・ストア５７８は、直観的で使い易いユーザ・インターフェースと共に提供され得る。
【００６２】
ソフトウェア開発キット５８４は、この説明で前に説明したようにアプリケーションをラップすることによって、ユーザによって選択されたアプリケーションを保護する能力をユーザに与えることができる。ソフトウェア開発キット５８４を使用してラップされたアプリケーションは、アプリケーション・コントローラ５７４を使用してこれをアプリケーション・ストア５７８に投入することによって、モバイル・デバイス５０２から使用可能にされ得る。
【００６３】
企業モビリティ技術アーキテクチャ５００は、管理および解析能力５８８を含むことができる。管理および解析能力５８８は、リソースがどのように使用されるのか、リソースがどれほどしばしば使用されるのか、および類似物に関する情報を提供することができる。リソースは、デバイス、アプリケーション、データ、および類似物を含むことができる。リソースがどのように使用されるのかは、どのデバイスがどのアプリケーションをダウンロードするのか、どのアプリケーションがどのデータにアクセスするのか、および類似物を含むことができる。リソースがどれほどしばしば使用されるのかは、アプリケーションがどれほどしばしばダウンロードされたのか、データの特定のセットがアプリケーションによって何回アクセスされたのか、および類似物を含むことができる。
【００６４】
図６は、別の例示的な企業モビリティ管理システム６００である。上で図５を参照して説明されたモビリティ管理システム５００の構成要素の一部は、単純さのために省略されている。図６に示されたシステム６００のアーキテクチャは、上で図５を参照して説明したシステム５００のアーキテクチャに多くの点で類似し、上で言及されなかった追加の特徴を含む可能性がある。
【００６５】
この場合に、左側は、クライアント・エージェント６０４を有する登録されたモバイル・デバイス６０２を表し、クライアント・エージェント６０４は、右上に示されたＥｘｃｈａｎｇｅ、ＳｈａｒｅＰｏｉｎｔ、公開鍵基盤（ＰＫＩ）リソース、Ｋｅｒｂｅｒｏｓリソース、証明書発行サービスなどの様々な企業リソース６０８および企業サービス６０９にアクセスするためにゲートウェイ・サーバ６０６（アクセス・ゲートウェイ機能性およびアプリケーション・コントローラ機能性を含む）と相互作用する。具体的に図示されてはいないが、モバイル・デバイス６０２は、アプリケーションの選択およびダウンロードのために企業アプリケーション・ストア（ＳｔｏｒｅＦｒｏｎｔ）と相互作用することもできる。
【００６６】
クライアント・エージェント６０４は、企業データ・センタ内でホスティングされるＷｉｎｄｏｗｓ（登録商標）アプリケーション／デスクトップのＵＩ（ユーザ・インターフェース）媒介物として働き、このＷｉｎｄｏｗｓ（登録商標）アプリケーション／デスクトップは、Ｈｉｇｈ−Ｄｅｆｉｎｉｔｉｏｎ  Ｕｓｅｒ  Ｅｘｐｅｒｉｅｎｃｅ（ＨＤＸ）／ＩＣＡディスプレイ・リモート処理プロトコルを使用してアクセスされる。クライアント・エージェント６０４は、ネイティブのｉＯＳまたはＡｎｄｒｏｉｄ（登録商標）のアプリケーションなど、モバイル・デバイス６０２上のネイティブ・アプリケーションのインストールおよび管理をもサポートする。たとえば、この図の上に示されたマネージド・アプリケーション６１０（メール、ブラウザ、ラップされたアプリケーション）は、すべて、モバイル・デバイス６０２上でローカルに実行するネイティブ・アプリケーションである。このアーキテクチャのクライアント・エージェント６０４およびアプリケーション管理フレームワークは、ポリシ駆動管理能力ならびに接続性およびＳＳＯ（シングル・サイン・オン）などの特徴を企業リソース／サービス６０８に提供するように働く。クライアント・エージェント６０４は、企業への、通常は他のゲートウェイ・サーバ構成要素へのＳＳＯを用いるゲートウェイ・サーバ６０６のアクセス・ゲートウェイ（ＡＧ）へのプライマリ・ユーザ認証を処理する。クライアント・エージェント６０４は、モバイル・デバイス６０２上のマネージド・アプリケーション６１０の挙動を制御するためにゲートウェイ・サーバ６０６からポリシを入手する。
【００６７】
ネイティブ・アプリケーション６１０とクライアント・エージェント６０４との間のセキュア・プロセス間通信（ＩＰＣ）リンク６１２は、クライアント・エージェントが、アプリケーション管理フレームワーク６１４が各アプリケーションを「ラップする」ことによって実施されるポリシを供給することを可能にすることができる管理チャネルを表す。ＩＰＣチャネル６１２は、クライアント・エージェント６０４が、企業リソース６０８への接続性およびＳＳＯを可能にする証明書および認証情報を供給することをも可能にすることができる。最後に、ＩＰＣチャネル６１２は、アプリケーション管理フレームワーク６１４が、オンラインおよびオフラインの認証など、クライアント・エージェント６０４によって実施されるユーザ・インターフェース機能を呼び出すことを可能にすることができる。
【００６８】
クライアント・エージェント６０４とゲートウェイ・サーバ６０６との間の通信は、本質的に、各ネイティブ・マネージド・アプリケーション６１０をラップするアプリケーション管理フレームワーク６１４からの管理チャネルの延長である。アプリケーション管理フレームワーク６１４は、クライアント・エージェント６０４にポリシ情報を要求することができ、クライアント・エージェント６０４は、これをゲートウェイ・サーバ６０６に要求することができる。アプリケーション管理フレームワーク６１４は、認証を要求することができ、クライアント・エージェント６０４は、ゲートウェイ・サーバ６０６のゲートウェイ・サービス部分（ＮＥＴＳＣＡＬＥＲ  ＡＣＣＥＳＳ  ＧＡＴＥＷＡＹとも称する）にログインすることができる。下でより十分に説明するように、クライアント・エージェント６０４は、ゲートウェイ・サーバ６０６上のサポートするサービスを呼び出すこともでき、ゲートウェイ・サーバ６０６は、ローカル・データ貯蔵室６１６の暗号化鍵を導出するための入力材料を作ることができ、あるいは、ＰＫＩ保護されたリソースへの直接認証を可能にすることのできるクライアント証明書を提供することができる。
【００６９】
より詳細には、アプリケーション管理フレームワーク６１４は、各マネージド・アプリケーション６１０を「ラップする」。これは、明示的なビルド・ステップを介して、またはビルド後の処理ステップを介して組み込まれ得る。アプリケーション管理フレームワーク６１４は、セキュアＩＰＣチャネル６１２を初期化し、アプリケーション６１０のポリシを入手するために、そのアプリケーションの初回起動時にクライアント・エージェント６０４と「対になる」ことができる。アプリケーション管理フレームワーク６１４は、クライアント・エージェント・ログイン依存性およびローカルＯＳサービスがどのように使用され得るのかまたはローカルＯＳサービスがどのようにマネージド・アプリケーション６１０と相互作用できるのかを制限する封じ込めポリシの一部など、ローカルに適用されるポリシの関連部分を実施することができる。
【００７０】
アプリケーション管理フレームワーク６１４は、認証および内部ネットワーク・アクセスを容易にするために、セキュアＩＰＣチャネル６１２を介してクライアント・エージェント６０４によって提供されるサービスを使用することができる。私有および共有データ貯蔵室６１６（コンテナ）の鍵管理は、マネージド・アプリケーション６１０とクライアント・エージェント６０４との間の適当な相互作用によっても管理され得る。貯蔵室６１６は、オンライン認証の後でのみ使用可能とすることができ、あるいは、ポリシによって許可される場合には、オフライン認証の後に使用可能とすることができる。貯蔵室６１６の初回使用は、オンライン認証を要求することができ、オフライン・アクセスは、多くとも、オンライン認証がもう一度要求される前のポリシ・リフレッシュ期間に制限され得る。
【００７１】
内部リソースへのネットワーク・アクセスは、アクセス・ゲートウェイ６０６を介して個々のマネージド・アプリケーション６１０から直接に発生することができる。アプリケーション管理フレームワーク６１４は、各マネージド・アプリケーション６１０の代わりにネットワーク・アクセスを調整する責任を負うものとすることができる。クライアント・エージェント６０４は、オンライン認証の後に入手される適切な時間制限された副証明書を提供することによって、これらのネットワーク接続を容易にすることができる。リバース・ウェブ・プロキシ接続およびエンドツーエンドＶＰＮスタイル・トンネル６１８など、ネットワーク接続の複数のモードが使用され得る。
【００７２】
メールおよびブラウザ・マネージド・アプリケーション６１０は、特殊な状況を有し、任意のラップされたアプリケーションから一般に使用可能ではない可能性があるファシリティを利用することができる。たとえば、メール・アプリケーション６１０は、フルＡＧログオンを必要とせずに延長された時間期間にわたってＥｘｃｈａｎｇｅサーバ６０８にアクセスすることを可能にする特殊なバックグラウンド・ネットワーク・アクセス機構を使用することができる。ブラウザ・アプリケーション６１０は、異なる種類のデータを分離するために複数の私有データ貯蔵室６１６を使用することができる。
【００７３】
このアーキテクチャは、様々な他のセキュリティ特徴の組込みをサポートすることができる。たとえば、いくつかの例のゲートウェイ・サーバ６０６（そのゲートウェイ・サービスを含む）は、アクティブ・ディレクトリ（ＡＤ）パスワードを妥当性検査する必要がない場合がある。ＡＤパスワードが一部の状況で一部のユーザに関して認証要因として使用され得るかどうかは、企業の裁量に任され得る。ユーザがオンラインまたはオフライン（すなわち、ネットワークに接続されまたは未接続）である場合に、異なる認証方法が使用され得る。
【００７４】
ステップ・アップ認証は、ゲートウェイ・サーバ６０６が、強い認証を要求する高度機密データへのアクセスを有することを許可されるマネージド・ネイティブ・アプリケーション６１０を識別し、これらのアプリケーションへのアクセスが、適当な認証を実行した後に限って許可される（これが、以前のより弱いレベルのログインの後に、再認証がユーザによって要求されることを意味する場合であっても）ことを確実にすることができる特徴である。
【００７５】
この解決策の別のセキュリティ特徴は、モバイル・デバイス６０２上でのデータ貯蔵室６１６（コンテナ）の暗号化である。貯蔵室６１６は、ファイル、データベース、および構成を含むすべてのオンデバイス・データが保護されるようにするために暗号化され得る。オンライン貯蔵室に関して、鍵はサーバ（ゲートウェイ・サーバ６０６）上で記憶され得、オフライン貯蔵室に関して、鍵のローカル・コピーは、ユーザ・パスワードまたは生体認証によって保護され得る。データがモバイル・デバイス６０２でセキュア・コンテナ６１６内にローカルに記憶される場合またはその時に、最低限でＡＥＳ  ２５６暗号化アルゴリズムが利用されることが好ましい可能性がある。
【００７６】
他のセキュア・コンテナも実施され得る。たとえば、マネージド・アプリケーション６１０の内部で発生するセキュリティ・イベントがログ記録され、バックエンドに報告される、ログ記録特徴を含めることができる。マネージド・アプリケーション６１０が改竄を検出する場合またはその時、ユーザ・データが破壊されたことのヒントをファイル・システム上に残さずに、関連する暗号化鍵がランダム・データによって上書きされ得るなど、データ・ワイピングがサポートされ得る。アプリケーションが、すべてのデータがスクリーンショット内に記憶されることを防止できる、スクリーンショット保護を、もう１つの特徴とすることができる。たとえば、鍵ウィンドウの隠しプロパティにＹＥＳをセットすることができる。これは、現在スクリーン上に表示されているあらゆるコンテンツを隠し、通常はコンテンツが存在するはずの場所で黒いスクリーンショットをもたらすことができる。
【００７７】
たとえばデータをコピーするか外部のアプリケーションに送ることによって、すべてのデータがアプリケーション・コンテナの外部にローカルに転送されるのを防止することによるなど、ローカル・データ転送が防止され得る。キーボード・キャッシュ特徴は、機密テキスト・フィールドのオートコレクト機能性を使用不能にするように動作することができる。ＳＳＬ証明書妥当性検査は、アプリケーションが、キーチェーン内に記憶されるのではなくサーバＳＳＬ証明書を特に妥当性検査するように動作可能とすることができる。モバイル・デバイス６０２上でデータを暗号化するのに使用される鍵が、ユーザによって供給されるパスフレーズまたは生体測定データを使用して生成されるように、暗号化鍵生成特徴が使用され得る（オフライン・アクセスが要求される場合に）。オフライン・アクセスが要求されない場合には、鍵は、ランダムに生成された別の鍵と排他的論理和をとられ、サーバ側で記憶され得る。ユーザ・パスワードから生成される鍵が、その暗号ハッシュを作成するのではなく、ＫＤＦ（鍵導出関数、特筆すべきはＰａｓｓｗｏｒｄ−Ｂａｓｅｄ  Ｋｅｙ  Ｄｅｒｉｖａｔｉｏｎ  Ｆｕｎｃｔｉｏｎ  ２（ＰＢＫＤＦ２））を使用するように、鍵導出関数が動作することができる。暗号ハッシュの作成は、鍵を、ブルート・フォース攻撃または辞書攻撃を許すものにする。
【００７８】
さらに、１つまたは複数の初期化ベクトルが、暗号化方法で使用され得る。初期化ベクトルは、同一の暗号化されたデータの複数のコピーに、異なる暗号テキスト出力を作らせ、リプレイ・アタックと暗号解読攻撃との両方を防止する。これは、データを暗号化するのに使用される特定の初期化ベクトルが知られていない場合に、攻撃者が盗まれた暗号化鍵を用いてデータを暗号化解除することをも防止する。さらに、認証およびその後に暗号化解除が使用され得、ここで、アプリケーション・データは、ユーザがアプリケーション内で認証された後に限って暗号化解除される。別の特徴は、メモリ内の機密データに関するものとすることができ、この機密データは、必要な時に限ってメモリ内に（ディスク内ではなく）保持され得る。たとえば、ログイン証明書は、ログイン後にメモリからワイプされ得、暗号化鍵およびｏｂｊｅｃｔｉｖｅ−Ｃインスタンス変数内の他のデータは、簡単に参照され得るので記憶されない。その代わりに、メモリが、これらのために手動で割り振られ得る。
【００７９】
ポリシによって定義された非アクティブの期間の後に、ユーザ・セッションが打ち切られる、非アクティブ・タイムアウトが実施され得る。
【００８０】
アプリケーション管理フレームワーク６１４からのデータ漏洩は、他の形で防止され得る。たとえば、マネージド・アプリケーション６１０がバックグラウンドに配置される場合またはその時に、メモリは、所定の（構成可能な）時間期間の後にクリアされ得る。バックグラウンド化される時に、フォアグラウンド化処理を高速化するためにアプリケーションの最後に表示されたスクリーンのスナップショットがとられ得る。スクリーンショットは、機密データを含む場合があり、したがってクリアされなければならない。
【００８１】
もう１つのセキュリティ特徴は、１つまたは複数のアプリケーションへのアクセスのためのＡＤ（アクティブ・ディレクトリ）６２２パスワードの使用を伴わないＯＴＰ（ワン・タイム・パスワード）６２０の使用に関するものとすることができる。いくつかの場合に、一部のユーザは、彼らのＡＤパスワードを知らず（または知ることを許可されず）、したがって、これらのユーザは、ＳｅｃｕｒＩＤなどのハードウェアＯＴＰシステムを使用することによるなど、ＯＴＰ  ６２０を使用して認証することができる（ＯＴＰは、ＥｎｔｒｕｓｔまたはＧｅｍａｌｔｏなどの異なるベンダによっても提供され得る）。いくつかの場合に、ユーザがユーザＩＤを用いて認証した後に、テキストが、ＯＴＰ  ６２０と共にユーザに送られ得る。いくつかの場合に、これは、オンライン使用のみに関して実施され得、プロンプトは単一のフィールドである。
【００８２】
オフライン・パスワードは、オフライン使用が企業ポリシを介して許可されるマネージド・アプリケーション６１０のオフライン認証に関して実施され得る。たとえば、企業は、ＳｔｏｒｅＦｒｏｎｔがこの形でアクセスされることを望む場合がある。この場合に、クライアント・エージェント６０４は、ユーザがカスタム・オフライン・パスワードをセットすることを要求することができ、ＡＤパスワードは使用されない。ゲートウェイ・サーバ６０６は、標準Ｗｉｎｄｏｗｓ（登録商標）  Ｓｅｒｖｅｒパスワード複雑性要件によって記述されるものなど、最小長さ、文字クラス構成、およびパスワードの年齢に関するパスワード標準を制御し、実施するためにポリシを提供することができるが、これらの要件は変更され得る。
【００８３】
もう１つの特徴は、副証明書としてのある種のアプリケーション６１０に関するクライアント側証明書の使用可能化に関するものとすることができる（アプリケーション管理フレームワークｍｉｃｒｏＶＰＮ特徴を介してＰＫＩ保護されたウェブ・リソースにアクセスするための）。たとえば、マネージド・アプリケーション６１０は、そのような証明書を利用することができる。この場合に、ＡｃｔｉｖｅＳｙｎｃプロトコルを使用する証明書ベースの認証がサポートされ得、ここで、クライアント・エージェント６０４からの証明書は、ゲートウェイ・サーバ６０６によって取り出され、キーチェーン内で使用され得る。各マネージド・アプリケーション６１０は、ゲートウェイ・サーバ６０６内で定義されるラベルによって識別される、１つの関連するクライアント証明書を有することができる。
【００８４】
ゲートウェイ・サーバ６０６は、関連するマネージド・アプリケーションが内部ＰＫＩ保護されたリソースに認証することを可能にするためのクライアント証明書の発行をサポートするために、企業特殊目的ウェブ・サービスと相互作用することができる。
【００８５】
クライアント・エージェント６０４およびアプリケーション管理フレームワーク６１４は、内部ＰＫＩ保護されたネットワーク・リソースへの認証のためのクライアント証明書の入手および使用をサポートするように機能強化され得る。様々なレベルのセキュリティ要件および／または分離要件と一致するためなど、複数の証明書がサポートされ得る。証明書は、メールおよびブラウザ・マネージド・アプリケーション６１０によって、ならびに最終的には任意のラップされたアプリケーション６１０によって使用され得る（アプリケーション管理フレームワークがＨＴＴＰＳ要求を仲裁することが穏当である場合に、これらのアプリケーションが、ウェブ・サービス・スタイルの通信パターンを使用すると仮定して）。
【００８６】
ｉＯＳ上でのアプリケーション管理クライアント証明書サポートは、使用の期間ごとに各マネージド・アプリケーション６１０内のｉＯＳキーチェーンにｐｕｂｌｉｃ−ｋｅｙ  ｃｒｙｐｔｏｇｒａｐｈｙ  ｓｔａｎｄａｒｄｓ（ＰＫＣＳ）１２  ＢＬＯＢ（バイナリ・ラージ・オブジェクト）をインポートすることに頼ることができる。アプリケーション管理フレームワーク・クライアント証明書サポートは、私有メモリ内鍵ストレージを有するＨＴＴＰＳ実施態様を使用することができる。クライアント証明書は、ｉＯＳキーチェーン内に存在しないものとすることができ、潜在的に、強く保護される「オンライン専用」データ値内を除いて永続化されないものとすることができる。
【００８７】
相互ＳＳＬも、モバイル・デバイス６０２が企業に認証され、その逆が行われることを要求することによって追加のセキュリティを提供するために実施され得る。ゲートウェイ・サーバ６０６への認証のための仮想スマート・カードも実施され得る。
【００８８】
制限されたＫｅｒｂｅｒｏｓサポートとフルＫｅｒｂｅｒｏｓサポートとの両方が、追加の特徴とされ得る。フル・サポート特徴は、ＡＤパスワードまたは信頼されるクライアント証明書を使用してアクティブ・ディレクトリ（ＡＤ）６２２へのフルＫｅｒｂｅｒｏｓログインを行い、ＨＴＴＰ  Ｎｅｇｏｔｉａｔｅ  ａｕｔｈｅｎｔｉｃａｔｉｏｎチャレンジに応答するためにＫｅｒｂｅｒｏｓサービス・チケットを入手する能力に関する。制限されたサポート特徴は、Ｃｉｔｒｉｘ  Ａｃｃｅｓｓ  Ｇａｔｅｗａｙ  Ｅｎｔｅｒｐｒｉｓｅ  Ｅｄｉｔｉｏｎ（ＡＧＥＥ）が、ＨＴＴＰ  Ｎｅｇｏｔｉａｔｅ  ａｕｔｈｅｎｔｉｃａｔｉｏｎチャレンジに応答してＫｅｒｂｅｒｏｓサービス・チケット（ｃｏｎｓｔｒａｉｎｅｄ  ｄｅｌｅｇａｔｉｏｎの対象）を入手し、使用できるように、Ｋｅｒｂｅｒｏｓプロトコル遷移の呼出しをサポートする、ＡＧＥＥでのｃｏｎｓｔｒａｉｎｅｄ  ｄｅｌｅｇａｔｉｏｎに関する。この機構は、リバース・ウェブ・プロキシ（別名、ｃｏｒｐｏｒａｔｅ  ｖｉｒｔｕａｌ  ｐｒｉｖａｔｅ  ｎｅｔｗｏｒｋ（ＣＶＰＮ））モードで、ＨＴＴＰ（ＨＴＴＰＳではなく）接続がＶＰＮモードおよびｍｉｃｒｏＶＰＮモードでプロキシ化される時に働く。
【００８９】
もう１つの特徴は、脱獄（制限の非正規解除）またはルート化の検出時に自動的に発生でき、管理コンソールからプッシュされるコマンドとして発生し、マネージド・アプリケーション６１０が走行していない時であってもリモート・ワイプ機能性を含むことができる、アプリケーション・コンテナのロックおよびワイプに関するものとすることができる。
【００９０】
ユーザが障害の場合に複数の異なる位置のうちの１つからサービスされることを可能にする、企業アプリケーション・ストアおよびアプリケーション・コントローラのマルチサイト・アーキテクチャまたはマルチサイト構成がサポートされ得る。
【００９１】
いくつかの場合に、マネージド・アプリケーション６１０は、ＡＰＩ（たとえば、ＯｐｅｎＳＳＬ）を介して証明書および秘密鍵にアクセスすることを可能にされ得る。企業の信頼されるマネージド・アプリケーション６１０は、アプリケーションのクライアント証明書および秘密鍵を用いて特定の公開鍵動作を実行することを可能にされ得る。アプリケーションがブラウザのように振る舞い、証明書アクセスが要求されない場合またはその時、アプリケーションが「私は誰か」に関して証明書を読み取る場合またはその時、アプリケーションがセキュア・セッション・トークンを構築するために証明書を使用する場合またはその時、アプリケーションが重要なデータ（たとえば、トランザクション・ログ）のデジタル署名のためまたは一時的なデータ暗号化のために秘密鍵を使用する場合またはその時など、様々なユース・ケースが識別され、それに応じて処理され得る。
【００９２】
企業モビリティ管理アーキテクチャおよびピアツーピア通信
上で議論したように、モバイル・デバイスは、企業モビリティ技術アーキテクチャおよび／または企業モビリティ管理システムの諸態様を用いて構成される場合に、ユーザが企業リソース、企業サービス、および類似物にアクセスする能力を使用可能にすることができる。アクセスは、アクセス・ゲートウェイを用いて確立され、アクセス・ゲートウェイによって管理される複数の仮想プライベート・ネットワーク接続に基づくものとすることができる。しばしば、ユーザは、複数のデバイスを有する場合があり、企業技術アーキテクチャおよび／または企業モビリティ管理システムの諸態様を用いてそれぞれが構成される時に、デバイスのそれぞれは、ユーザが企業リソース、企業サービス、およびアクセス・ゲートウェイを介してアクセス可能な任意の他のサービス／リソースにアクセスする能力を使用可能にすることができる。これらのデバイス（たとえば、タブレット、携帯電話機、他のコンピューティング・デバイス）のそれぞれは、異なる能力を有する可能性があり、これらの能力は、ユーザがアクセス・ゲートウェイを介してリソースおよびサービスにアクセスするのに各デバイスを使用できる形を変化させる場合がある。
【００９３】
たとえば、１つのデバイスを、無線ネットワーク（たとえば、第３世代（３Ｇ）無線ネットワーク、第４世代（４Ｇ）無線ネットワーク、Ｌｏｎｇ−Ｔｅｒｍ  Ｅｖｏｌｕｔｉｏｎ（ＬＴＥ）無線ネットワーク、ＷＩ−ＦＩ無線ローカル・エリア・ネットワーク）に接続された携帯電話機とすることができ、無線ネットワークへの接続を介して、携帯電話機は、アクセス・ゲートウェイへの仮想プライベート・ネットワーク接続を確立できる場合がある。第２のデバイスを、無線ネットワークへの接続を有しないか、他の形でアクセス・ゲートウェイへの仮想プライベート・ネットワーク接続を確立することができないタブレット・コンピュータとすることができる。タブレット・コンピュータの、アクセス・ゲートウェイへの仮想プライベート・ネットワーク接続を確立する能力のなさは、企業モビリティ管理システムの潜在力を最大限まで使用する、ユーザの能力を減少させる。したがって、企業モビリティ管理システムに関するユーザの経験は、各デバイスのネットワーク接続性の相違にかかわらず、アクセス・ゲートウェイを介してリソースおよびサービスにアクセスするのに両方のデバイスを使用する能力をユーザが有する場合に改善され得る。これらの利益および他の利益は、下の議論および全体としての本開示に鑑みて明白である。具体的には、図７〜図１２および対応する説明は、とりわけ、アクセス・ゲートウェイを介して企業リソースおよび企業サービスにアクセスするのに複数のデバイスを使用可能にし、使用する例を提供する。
【００９４】
図７は、ユーザが本明細書で説明される様々な態様に従って複数のデバイスを使用して企業リソースおよび企業サービスにアクセスできる可能性がある１つの例の配置を示す。例の配置は、３つのモバイル・デバイス７０２−Ａ、７０２−Ｂ、および７０２−Ｃを含む。３つのモバイル・デバイスは、第１の位置７０１（たとえば、単一の家または構内、自動車、お互いからしきい距離内、特定のサイズの地理的区域、同一のセルラ塔によってサービスされる位置など）に配置されて図示されている。各デバイスは、図５に関連して説明した企業モビリティ技術アーキテクチャの諸態様を用いて構成され得（たとえば、モバイル・デバイス５０２と同様に構成される）、かつ／または図６に関連して説明した企業モビリティ管理システムの諸態様を用いて構成され得る（たとえば、モバイル・デバイス６０２と同様に構成される）。３つのモバイル・デバイス７０２−Ａ、７０２−Ｂ、および７０２−Ｃのそれぞれは、同一のユーザ（図示せず）に関連付けられ得る。図７に示されたモバイル・デバイスの個数は、例示のためのものである。ユーザは、より多数またはより少数のモバイル・デバイスに関連付けられ得、本明細書で説明される方法は、異なる個数のモバイル・デバイスを有する配置にあてはまる。
【００９５】
ユーザは、様々な企業リソース７１９および／または企業サービス７１７にアクセスし、使用するのに３つのモバイル・デバイス７０２−Ａ、７０２−Ｂ、および７０２−Ｃのそれぞれを使用するつもりである場合がある。企業リソース７１９および企業サービス７１７へのアクセスおよびその使用は、アクセス・ゲートウェイ７０７によって管理され得る。アクセス・ゲートウェイ７０７、企業リソース７１９、および／または企業サービス７１７は、第１の位置７０１とは異なるまたはこれからリモートである第２の位置７１１に配置されたものとして図示されている。第２の位置７１１は、単純さのために図示されている。いくつかの配置では、企業リソース７１９、企業サービス７１９、およびアクセス・ゲートウェイ７０７は、お互いとは異なる位置に配置され得る。アクセス・ゲートウェイ７０７は、図５に関連して説明した企業モビリティ技術アーキテクチャの諸態様を用いて構成され得（たとえば、アクセス・ゲートウェイ５６０と同様に構成される）、かつ／または図６に関連して説明した企業モビリティ管理システムの諸態様を用いて構成され得る（たとえば、ゲートウェイ・サーバ６０６と同様に構成される）。企業リソース７１９および企業リソースは、図５および図６に関連して議論したものに類似するものとすることができる（たとえば、企業リソース５０４、企業サービス５０８、企業リソース／サービス６０８、６０９、６２０、６２２、および類似物）。アクセス・ゲートウェイ７０７は、企業リソース７１９および企業サービス７１７に加えて、たとえば公衆インターネット５４８、アプリケーション・ストア５７８、および類似物へのアクセスを含む機能性を提供することもできる。
【００９６】
３つのモバイル・デバイス７０２−Ａ、７０２−Ｂ、および７０２−Ｃのそれぞれは、お互いとは異なる能力を有することができ、第１の位置７０１で使用可能なネットワークに基づいて、あるデバイスが、アクセス・ゲートウェイ７０７への仮想プライベート・ネットワーク接続を確立できない場合がある。図７に示されているように、モバイル・デバイス７０２−Ｃは、アクセス・ゲートウェイ７０７との仮想プライベート・ネットワーク接続７１３を確立済みである。やはり図７に示されているように、モバイル・デバイス７０２−Ａおよび７０２−Ｂは、アクセス・ゲートウェイ７０７との仮想プライベート・ネットワーク接続を有しない。たとえば、モバイル・デバイス７０２−Ｃは、モバイル・デバイス７０２−Ｃがアクセス・ゲートウェイ７０７と通信することを可能にする無線ネットワーク７０９（たとえば、３Ｇ無線ネットワーク、４Ｇ無線ネットワーク、ＷＩ−ＦＩ無線ローカル・エリア・ネットワーク、および類似物）に接続できるデバイスとすることができる。モバイル・デバイス７０２−Ａおよび７０２−Ｂは、それぞれ、無線ネットワーク７０９に接続できないデバイス（たとえば、３Ｇ、４Ｇ、またはＬＴＥ無線ネットワークに接続する能力のないタブレット・コンピュータ）とすることができ、あるいは、ユーザが無線ネットワーク７０９に接続しないことを選択したデバイス（たとえば、機内モードにセットされたデバイスなど、使用不能にされた無線通信機を有するデバイス）とすることができる。
【００９７】
仮想プライベート・ネットワーク接続７１３は、図５および図６に関連して議論したものと同様の、１つまたは複数のｍｉｃｒｏＶＰＮ接続またはアプリケーション固有ＶＰＮ接続とすることができる。そのような配置では、仮想プライベート・ネットワーク接続７１３は、アクセス・ゲートウェイ７０７と、たとえばモバイル・デバイス７０２−Ｃの１つまたは複数のマネージド・アプリケーション（たとえば、マネージド・アプリケーション５１４）および／またはモバイル・デバイス７０２−Ｃのクライアント・エージェント（たとえば、クライアント・エージェント６０４）を含む、モバイル・デバイス７０２−Ｃのモビリティ管理システムの様々な構成要素との間でのデータ・トラフィックの交換を可能にすることができる。仮想プライベート・ネットワーク接続７１３は、無線ネットワーク７０９（および、図７に明示的には図示されていない１つまたは複数の他のネットワーク）を通るトンネルとして働くことができる。仮想プライベート・ネットワーク接続７１３を介するデータの交換に適するマネージド・アプリケーションおよび／またはクライアント・エージェントのタイプのいくつかの例は、たとえば、Ｃｉｔｒｉｘ  Ｓｙｓｔｅｍ，Ｉｎｃ．によるアプリケーションのＷＯＲＸ  ｓｕｉｔｅ（たとえば、Ｃｉｔｒｉｘ  Ｓｙｓｔｅｍｓ，Ｉｎｃ．によるＷＯＲＸ  ＨＯＭＥ、Ｃｉｔｒｉｘ  Ｓｙｓｔｅｍｓ，Ｉｎｃ．によるＷＯＲＸＭＡＩＬなど）、およびＣｉｔｒｉｘ  Ｓｙｓｔｅｍｓ，Ｉｎｃ．によるＸＥＮＭＯＢＩＬＥと互換の他のアプリケーション／クライアント・エージェントを含む。
【００９８】
３つのモバイル・デバイス７０２−Ａ、７０２−Ｂ、および７０２−Ｃは、メッシュ・ネットワークのメンバ（またはノード）として構成され得る。メッシュ・ネットワークは、一般に、メンバがメッシュ・ネットワークの他のメンバにデータを中継するネットワークである。各メンバは、たとえばフラッディング技法またはルーティング技法を使用してデータを中継することができる。ルーティング技法が使用され得るが、明瞭さおよび議論のしやすさのために、本開示は、ルーティング技法を使用するメッシュ・ネットワークの例を提供する。ルーティング技法の下では、データは、その最終宛先に達するまで、メンバからメンバへの一連のホップとしてメッシュ・ネットワーク全体にルーティングされ得る。したがって、図７に示されているように、モバイル・デバイス７０２−Ａ、７０２−Ｂ、および７０２−Ｃは、メッシュ・ネットワークのメンバであり、データは、ピアツーピア接続７０３および７０５を介してメッシュ・ネットワーク全体にルーティングされ得る。ピアツーピア接続７０３および７０５は、たとえばＢＬＵＥＴＯＯＴＨ（登録商標）プロトコル、ＷＩ−ＦＩ  ＤＩＲＥＣＴプロトコル、または物理的に非常に近接したデバイスの間の直接通信を可能にする任意の他のプロトコルを含む、様々なトランスポート・プロトコルを使用することができる。ピアツーピア接続７０３が、ピアツーピア接続７０５とは異なるトランスポート・プロトコルを使用することもできる。たとえば、ピアツーピア接続７０３が、ＢＬＵＥＴＯＯＴＨ（登録商標）プロトコルを使用することができ、ピアツーピア接続７０５が、ＷＩ−ＦＩ  ＤＩＲＥＣＴプロトコルを使用することができる。
【００９９】
いくつかの配置で、ピアツーピア接続は、ピアツーピア接続を介して送信されるデータが暗号化されるようにするために、特定の暗号化方式を使用するように構成される。各ピアツーピア接続が、それ自体の暗号化方式を使用することができ（たとえば、ピアツーピア接続７０３を介して送信されるデータは、ピアツーピア接続７０５を介してデータを送信するのに使用される鍵とは異なる暗号化鍵を使用して暗号化される）、ピアツーピア接続の各タイプが、それ自体の暗号化方式を使用することができ（たとえば、ＢＬＵＥＴＯＯＴＨ（登録商標）接続を介して送信されるデータは、ＷＩ−ＦＩ  ＤＩＲＥＣＴ接続を介して送信されるデータを暗号化するのに使用される鍵とは異なる暗号化鍵を使用して暗号化される）、あるいは、メッシュ・ネットワークが、単一の共通の暗号化方式を使用することができる（たとえば、同一の暗号化鍵／暗号化解除鍵が、各ピアツーピア接続を介して送信されるデータを暗号化し／暗号化解除するのに使用される）。暗号化方式は、企業管理フレームワークによって実施されるポリシ内で指定され得る。さらに、暗号化方式は、セキュア・コンテナまたはセキュア・データ貯蔵室内にデータを記憶するのに使用されるものと同一とすることができる（たとえば、セキュア・コンテナ５２８および／またはデータ貯蔵室６１６内に記憶されるデータを暗号化し／暗号化解除するのに使用される暗号化鍵／暗号化解除鍵が、ピアツーピア接続を介して送信されるデータを暗号化し／暗号化解除する  ために使用され得る）。
【０１００】
さらに、モバイル・デバイス７０２−Ａ、７０２−Ｂ、および７０２−Ｃの間に追加のピアツーピア接続がある場合がある。たとえは、ピアツーピア接続（図示せず）が、モバイル・デバイス７０２−Ａとモバイル・デバイス７０２−Ｃとの間で確立され得る。別の例として、図示されたピアツーピア接続７０５に加えて、第２のピアツーピア接続（図示せず）が、モバイル・デバイス７０２−Ａとモバイル・デバイス７０２−Ｂとの間で確立され得る。メッシュ・ネットワークの使用は、例示のためのものである。他のタイプのアドホック・ネットワークまたはピアツーピア・ネットワークが、本明細書で説明される諸態様を組み込んだ様々な実施形態内で使用され得る。メッシュ・ネットワークのメンバになるために各モバイル・デバイス７０２−Ａ、７０２−Ｂ、および７０２−Ｃによって使用され得る例の方法が、下で図８に関連して議論される。メッシュ・ネットワークの確立に関するさらなる詳細は、図１２に関連して議論される。
【０１０１】
図示の配置は、モバイル・デバイス７０２−Ａおよび７０２−Ｂからのデータがアクセス・ゲートウェイ７０７によって受信されることを可能にすることができる。この形で、モバイル・デバイス７０２−Ａおよび７０２−Ｂは、企業リソース７１９および企業サービス７１７を含む、アクセス・ゲートウェイ７０７によって制御され、かつ／または管理される機能性にアクセスし、かつ／または使用できる可能性がある。たとえば、アクセス・ゲートウェイ７０７用のデータ（たとえば、モバイル・デバイス７０２−Ａおよび７０２−Ｂのマネージド・アプリケーションまたはクライアント・エージェントによって生成されたデータ）は、メッシュ・ネットワークの１つまたは複数のピアツーピア接続７０３および／または７０５を介してモバイル・デバイス７０２−Ｃにルーティングされ、送信され得る。モバイル・デバイス７０２−Ｃによって受信された後に、データは、仮想プライベート・ネットワーク接続７１３を介してアクセス・ゲートウェイ７０７に送信され得る。同様に、アクセス・ゲートウェイ７０７は、モバイル・デバイス７０２−Ａまたは７０２−Ｂ用のデータ（たとえば、企業リソース７１９または企業サービス７１７のアクセスに基づいて生成されたデータ）を、仮想プライベート・ネットワーク接続７１３を介してモバイル・デバイス７０２−Ｃに送信することができる。モバイル・デバイス７０２−Ｃによって受信された後に、データは、メッシュ・ネットワークの１つまたは複数のピアツーピア接続７０３および／または７０５を介して所期の宛先にルーティングされ、送信され得る。受信時に、モバイル・デバイス７０２−Ａまたは７０２−Ｂは、アプリケーション管理フレームワークに従ってデータを処理することができる（たとえば、マネージド・アプリケーションにデータを供給する、データをコンテナ内に記憶するなど）。たとえば、モバイル・デバイス７０２−Ｂのマネージド・メール・アプリケーションは、ユーザが仮想プライベート・ネットワーク接続７１３を使用して新しい電子メールを受信することを可能にするために、アクセス・ゲートウェイ７０７を介して電子メール・データを受信することができる。別の例として、モバイル・デバイス７０２−Ａのマネージド・ブラウザ・アプリケーションは、ユーザが仮想プライベート・ネットワーク接続７１３を使用してモバイル・デバイス７０２−Ａからインターネットをブラウズすることを可能にするために、アクセス・ゲートウェイからウェブ・ブラウジング・データを受信できる可能性がある。さらに、メッシュ・ネットワークは、モバイル・デバイス７０２−Ａ、７０２−Ｂ、および７０２−Ｃがアプリケーション管理フレームワークに関する様々な機能を実行することを可能にすることのできるデータをこれらのモバイル・デバイスの間で送信するのに使用され得る。たとえば、ユーザがモバイル・デバイス７０２−Ａ、７０２−Ｂ、および７０２−Ｃのうちの１つからのスクリーンを共有することを可能にするために、スクリーン共有データがこれらのデバイスの間で送信され得る。別の例として、ユーザがモバイル・デバイス７０２−Ａ、７０２−Ｂ、および７０２−Ｃの間で電子メール・メッセージを同期化することを可能にするために、電子メール・データが、モバイル・デバイス７０２−Ａ、７０２−Ｂ、および７０２−Ｃの間で送信され得る。メッシュ・ネットワークが企業モビリティ管理システムに関連してどのように使用され得るのかに関するさらなる詳細は、図１１Ａ〜図１１Ｄおよび図１２に関連して議論される。
【０１０２】
図８は、メッシュ・ネットワークの確立に関連して使用され得る例の方法を示す。具体的には、図８の例の方法は、メッシュ・ネットワークのメンバになるか他の形でメッシュ・ネットワークを確立するのに図７のモバイル・デバイス７０２−Ａ、７０２−Ｂ、および７０２−Ｃのそれぞれによって使用され得る。いくつかの配置では、図８のステップは、たとえば図６のクライアント・エージェント６０４を含む企業モビリティ管理システムの１つまたは複数の構成要素によって実行され得る。さらに、モバイル・デバイスは、メッシュ・ネットワークの確立を容易にするために、モバイル・デバイスの存在および近くのデバイスの発見をアドバタイズするのを援助するためにＯＰＥＮＧＡＲＤＥＮ  ＳＤＫなどの既存技術の変形形態を使用することができる。
【０１０３】
ステップ８０１では、モバイル・デバイスが、モバイル・デバイスがメッシュ・ネットワークに加わることを認可する指示を受信することができる。いくつかの配置では、指示は、メッシュ・ネットワークの確立を開始するか、他の形でモバイル・デバイスにメッシュ・ネットワークの確立を試みさせる、モバイル・デバイスとのユーザの対話に基づいて受信され得る。たとえば、モバイル・デバイスのユーザは、モバイル・デバイスの管理されるパーティション上に記憶されるメッシュ・ネットワーク・セッティングをトグルすることによって、メッシュ・ネットワークのメンバシップを認可することができる。別の例として、ユーザは、モビリティ管理システムのオプションのメニューを提供するユーザ・インターフェースを見ることができる場合がある。オプションの１つが、モバイル・デバイスがメッシュ・ネットワークのメンバになることを認可するためにユーザによってセットされ得る。いくつかの配置で、モバイル・デバイスは、ユーザにユーザ情報を要求することができる。たとえば、ユーザは、メッシュ・ネットワークのメンバシップを認証するためのユーザ情報として使用される１つまたは複数のセキュリティ証明書（たとえば、ユーザ名／パスワード、証明書、セキュアＰＩＮコードなど）を識別するように要求され得る。これに応答して、ユーザは、メッシュ・ネットワークのメンバシップを認証する時にモバイル・デバイスが使用すべき１つまたは複数のセキュリティ証明書を入力しまたは他の形で選択することができる。モバイル・デバイスがメッシュ・ネットワークに加わることを認可する指示を受信し、かつ／またはユーザ情報の識別を受信した後に、モバイル・デバイスは、ステップ８０３に進むことができる。
【０１０４】
ステップ８０３では、モバイル・デバイスが、モバイル・デバイスの１つまたは複数のアドバタイズメントを送信することができる。アドバタイズメントは、アドバタイズメントを受信できる他のデバイスにモバイル・デバイスの存在を示すことができ、トランスポート・プロトコルに固有とすることができる。たとえば、モバイル・デバイスは、たとえばＢＬＵＥＴＯＯＴＨ（登録商標）およびＷＩＦＩ  ＤＩＲＥＣＴを含むピアツーピア通信が可能な複数のラジオを伴って構成され得る。したがって、モバイル・デバイスは、どのピアツーピア・ラジオまたはピアツーピア機能性がモバイル・デバイス上で現在アクティブであるのかに基づいて（たとえば、ＢＬＵＥＴＯＯＴＨ（登録商標）ラジオがアクティブであるかどうかを判定し、かつ／またはＷＩＦＩ  ＤＩＲＥＣＴ機能性が使用可能にされているかどうかを判定する）、モバイル・デバイスがどのタイプのピアツーピア接続を確立できるのかを判定することができる。モバイル・デバイスが確立できるピアツーピア接続のタイプごとに、モバイル・デバイスは、ピアツーピア接続のそのタイプに対応するトランスポート・プロトコルを使用してアドバタイズメントを送信することができる。したがって、モバイル・デバイスは、ＢＬＵＥＴＯＯＴＨ（登録商標）通信を介して、ＢＬＵＥＴＯＯＴＨ（登録商標）プロトコルを使用してアドバタイズメントを送信することができる。モバイル・デバイスは、ＷＩＦＩ  ＤＩＲＥＣＴ通信を介して、ＷＩＦＩ  ＤＩＲＥＣＴプロトコルを使用してアドバタイズメントを送信することができる。いくつかの配置では、ステップ８０３で送信される各アドバタイズメントは、ステップ８０１で識別されたセキュリティ証明書など、モバイル・デバイスのユーザ情報を含むことができる。
【０１０５】
ステップ８０５では、モバイル・デバイスが、１つまたは複数の他のモバイル・デバイスの１つまたは複数のアドバタイズメントを受信することができる。１つまたは複数の他のモバイル・デバイスのアドバタイズメントは、モバイル・デバイスに他のモバイル・デバイスの存在を示すことができ、トランスポート・プロトコルに固有とすることができる。さらに、１つまたは複数の他のデバイスの１つまたは複数のアドバタイズメントは、ステップ８０３に関連して議論したピアツーピア通信の同一のタイプを介して受信され得る（たとえば、ステップ８０５で受信されるアドバタイズメントのそれぞれは、ＢＬＵＥＴＯＯＴＨ（登録商標）通信を介するものおよび／またはＷＩＦＩ  ＤＩＲＥＣＴ通信を介するものとすることができる）。いくつかの場合に、ステップ８０５で受信されるアドバタイズメントは、ステップ８０３でモバイル・デバイスによって送信されたアドバタイズメントに対する応答として他のモバイル・デバイスによって送信されたものである場合がある。たとえば、アドバタイズメントが、ステップ８０３でＢＬＵＥＴＯＯＴＨ（登録商標）通信を介して送信された場合に、モバイル・デバイス（たとえば、モバイル・デバイス７０２−Ｃ）は、ＢＬＵＥＴＯＯＴＨ（登録商標）通信を介して、そのアドバタイズメントに対する応答として別のモバイル・デバイス（たとえば、モバイル・デバイス７０２−Ｂ）の少なくとも１つのアドバタイズメントを受信することができる。いくつかの配置では、ステップ８０５で受信される１つまたは複数のアドバタイズメントは、１つまたは複数の他のモバイル・デバイスのユーザ情報を含むことができる（たとえば、モバイル・デバイス７０２−Ｂのアドバタイズメントは、モバイル・デバイス７０２−Ｂのユーザによって選択されたセキュリティ証明書を含むことができる）。
【０１０６】
いくつかの例で、モバイル・デバイスは、モバイル・デバイスがタイムアウト期間（たとえば、１０秒）以内に他のモバイル・デバイスからアドバタイズメントを全く受信できない場合に、メッシュ・ネットワークに加わる試みを使用不能にするように構成され得る。たとえば、ステップ８０３の１つまたは複数のアドバタイズメントの送信の後に、モバイル・デバイスは、他のモバイル・デバイスからのアドバタイズメントを待ち始めることができる。モバイル・デバイスが、タイムアウト期間内に他のモバイル・デバイスからのアドバタイズメントを全く受信できない場合に、モバイル・デバイスは、メッシュ・ネットワークを形成するための近くのデバイスがないことを示すエラー・メッセージをユーザに供給することができ、その後、この方法は終了する。
【０１０７】
ステップ８０７では、モバイル・デバイスが、ステップ８０５で受信した１つまたは複数のアドバタイズメントに基づいて、１つまたは複数の他のモバイル・デバイスのユーザ情報を判定することができる。たとえば、いくつかの配置では、各アドバタイズメントが、ユーザ情報を含むことができる。したがって、モバイル・デバイスは、ステップ８０５で受信したアドバタイズメントからユーザ情報を抽出することができる。他の配置では、ユーザ情報が、１つまたは複数のユーザ・デバイスに要求される必要がある場合がある。したがって、モバイル・デバイスは、ステップ８０５で受信したアドバタイズメントごとに、どのデバイスがそのアドバタイズメントを送信したのかを判定することができ、アドバタイズメントを送信したと判定された各デバイスに、ピアツーピア通信を介してユーザ情報要求を送信することができる。ユーザ情報要求を送信する際に、モバイル・デバイスは、ユーザ情報の受信を待つことができる。１つまたは複数の他のモバイル・デバイスのそれぞれのユーザ情報が判定された後に、この方法は、ステップ８０９に進むことができる。
【０１０８】
ステップ８０９では、モバイル・デバイスが、メッシュ・ネットワークのメンバシップを認証すべきかどうかを判定することができる。いくつかの配置では、この認証は、１つまたは複数の他のデバイスのユーザ情報およびモバイル・デバイスのユーザ情報に基づくものとすることができる。たとえば、モバイル・デバイスは、１つまたは複数の他のモバイル・デバイスごとに、モバイル・デバイスのユーザ情報（たとえば、ステップ８０１でユーザによって識別された１つまたは複数のセキュリティ証明書）が他のデバイスから受信したユーザ情報と一致するかどうかを判定することができる。他のデバイスのうちの少なくとも１つが、モバイル・デバイスのユーザ情報と一致するユーザ情報を有する場合には、モバイル・デバイスは、メッシュ・ネットワークのメンバシップが認証されると判定することができる。
【０１０９】
いくつかの配置で、モバイル・デバイスは、モバイル・デバイスおよび一致するユーザ情報を有する１つまたは複数のモバイル・デバイスに基づいて、メッシュ・ネットワークのメンバシップを認証することができる。言い換えると、メッシュ・ネットワークは、一致するユーザ情報を有するデバイスを含むように確立される。一致しないユーザ情報を提供するすべてのデバイスは、メッシュ・ネットワークのメンバシップを拒否される。たとえば、図７のモバイル・デバイスを例示的な例として使用すると、モバイル・デバイス７０２−Ｃは、２つのデバイスからのユーザ情報すなわち、モバイル・デバイス７０２−Ａからのユーザ情報およびモバイル・デバイス７０２−Ｂからのユーザ情報を受信済みであるものとすることができる。この例では、モバイル・デバイス７０２−Ｃは、モバイル・デバイス７０２−Ａからのユーザ情報が一致するが、モバイル・デバイス７０２−Ｂからのユーザ情報が一致しないと判定することができる。この例では、モバイル・デバイス７０２−Ｃは、モバイル・デバイス７０２−Ｃおよびモバイル・デバイス７０２−Ａだけを含むメッシュ・ネットワークのメンバシップを認証すると判定することができる。この例では、モバイル・デバイス７０２−Ｂは、メッシュ・ネットワークのメンバにならない。
【０１１０】
いくつかの変形形態では、モバイル・デバイスは、アクセス・ゲートウェイによって記憶された情報またはアクセス・ゲートウェイを介してアクセス可能である情報に基づいて、メッシュ・ネットワークのメンバシップを認証することができる。たとえば、アクセス・ゲートウェイ（またはアクセス・ゲートウェイを介してアクセス可能なサーバ）は、登録されたデバイスの識別情報を記憶することができる（たとえば、ＸＥＮＭＯＢＩＬＥ  ＳＥＲＶＥＲ（ＸＭＳ）データベース内に）。いくつかの実施形態では、識別情報は、各登録されたデバイスがメッシュ・ネットワークに加わることを認可されるかどうかを指定することができ、かつ／またはユーザの識別を含むことができる。モバイル・デバイスは、仮想プライベート・ネットワーク・トンネルを介してアクセス・ゲートウェイにユーザ情報を送信することができる。アクセス・ゲートウェイを介する受信の後に、ユーザ情報と登録されたデバイスの識別情報との間で比較が実行され得る。この比較に基づいて、アクセス・ゲートウェイは、デバイスのそれぞれがメッシュ・ネットワークに加わることを許されるかどうかに関する指示を応答することができる。メッシュ・ネットワークに加わることを許されるすべてのデバイスは、メンバシップに関して認証され得る。メッシュ・ネットワークに加わることを許されないすべてのデバイスは、メンバシップを否定され得る。
【０１１１】
メッシュ・ネットワークのメンバシップを認証すると判定する時に、この方法は、ステップ８１１に進むことができる。モバイル・デバイスが、メッシュ・ネットワークのメンバシップを認証しないと判定する（たとえば、他のモバイル・デバイスのユーザ情報のいずれもが、モバイル・デバイスのユーザ情報と一致しない）場合には、この方法は終了する。
【０１１２】
ステップ８１１では、モバイル・デバイスが、１つまたは複数の他のモバイル・デバイスのうちの少なくとも１つにデータをルーティングするのに使用可能なルーティング情報を判定することができる。たとえば、モバイル・デバイスは、１つまたは複数の他のデバイスのどれが次のホップになるべきかを判定することができる。その後、モバイル・デバイスは、次のホップにデータを通信するためのルーティング情報を判定することができる。一特定の例では、メッシュ・ネットワークが図７の３つのモバイル・デバイスを含み、メッシュ・ネットワークが図７に示されたピアツーピア接続を使用して接続される場合に、モバイル・デバイス７０２−Ｂは、モバイル・デバイス７０２−Ａおよび７０２−Ｂにデータを通信するためのルーティング情報を判定することができ、モバイル・デバイス７０２−Ｃは、モバイル・デバイス７０２−Ｂにデータを通信するためのルーティング情報を判定することができ、モバイル・デバイス７０２−Ａは、モバイル・デバイス７０２−Ｂにデータを通信するためのルーティング情報を判定することができる。ルーティング情報を判定した時に、この方法はステップ８１３に進むことができる。
【０１１３】
ステップ８１３では、モバイル・デバイスが、メッシュ・ネットワークのメンバとしてそれ自体を構成することができる。たとえば、構成プロセスの一部として、モバイル・デバイスは、後の使用のためにルーティング情報を記憶することができ、メッシュ・ネットワーク内の１つまたは複数の次のホップにルーティング情報を送信することができ、メッシュ・ネットワークのピアツーピア接続を確立するためにデータを交換することができ、かつ／または暗号化鍵／暗号化解除鍵および／もしくはピアツーピア接続を介する通信に関する他の証明書を判定するために次のホップとデータを交換する（たとえば、ＳＳＬを使用するための証明書をピアツーピア接続と交換する）ことができる。いくつかの配置では、暗号化鍵／暗号化解除鍵および／またはピアツーピア接続を介する通信に関する他の証明書は、企業管理フレームワークによって実施されるポリシ内に含められ得る。いくつかの配置では、ピアツーピア接続の確立は、ピアツーピア接続のタイプに依存する場合がある（たとえば、図７のピアツーピア接続がＢＬＵＥＴＯＯＴＨ（登録商標）接続である場合に、モバイル・デバイス７０２−Ａおよびモバイル・デバイス７０２−Ｂは、接続を確立するためにペアリング・プロセスを完了することができる）。
【０１１４】
一特定の例では、メッシュ・ネットワークが図７の３つのモバイル・デバイスを含み、メッシュ・ネットワークが図７に示されたピアツーピア接続を使用する場合に、図７の３つのモバイル・デバイスは、次のようにメッシュ・ネットワークを使用してデータをルーティングし、送信することができる。モバイル・デバイス７０２−Ｂがそれ自体を構成した後に、モバイル・デバイス７０２−Ｂは、メッシュ・ネットワークのピアツーピア接続７０５を介してモバイル・デバイス７０２−Ｃにデータをルーティングし、送信することができ、メッシュ・ネットワークのピアツーピア接続７０３を介してモバイル・デバイス７０２−Ａにデータをルーティングし、送信することができ、モバイル・デバイス７０２−Ａがそれ自体を構成した後に、モバイル・デバイス７０２−Ａは、メッシュ・ネットワークのピアツーピア接続７０３を介してモバイル・デバイス７０２−Ｂにデータをルーティングし、送信することができ、モバイル・デバイス７０２−Ｃがそれ自体を構成した後に、モバイル・デバイス７０２−Ｃは、メッシュ・ネットワークのピアツーピア接続７０５を介してモバイル・デバイス７０２−Ｂにデータをルーティングし、送信することができる。
【０１１５】
上で議論したように、図７は、単一のデバイスすなわちモバイル・デバイス７０２−Ｃがアクセス・ゲートウェイとの仮想プライベート・ネットワーク接続を確立した配置を示す。いくつかの変形形態では、企業モビリティ管理システムは、複数の仮想プライベート・ネットワーク接続の確立をサポートすることができる。したがって、２つ以上のデバイスが、アクセス・ゲートウェイとの仮想プライベート・ネットワーク接続を確立済みである場合がある。図９は、少なくとも２つのデバイスがアクセス・ゲートウェイとの仮想プライベート・ネットワーク接続を確立済みである、１つのそのような配置を示す。
【０１１６】
具体的には、図９の例の配置は、４つのモバイル・デバイス９０２−Ａ、９０２−Ｂ、９０２−Ｃ、および９０２−Ｄを含む。第４のモバイル・デバイス、第２の仮想プライベート・ネットワーク接続、および第４のモバイル・デバイスの追加のピアツーピア接続の他に、図９の例の配置は、図７に関連して議論したものに類似する構成要素を含む。実際に、４つのモバイル・デバイス９０２−Ａ、９０２−Ｂ、９０２−Ｃ、および９０２−Ｄは、第１の位置９０１（たとえば、単一の家または構内、自動車、お互いからしきい距離内、特定のサイズの地理的区域、同一のセルラ塔によってサービスされる位置など）に配置されて図示されている。各デバイスは、図５に関連して説明した企業モビリティ技術アーキテクチャの諸態様を用いて構成され得（たとえば、モバイル・デバイス５０２と同様に構成される）、かつ／または図６に関連して説明した企業モビリティ管理システムの諸態様を用いて構成され得る（たとえば、モバイル・デバイス６０２と同様に構成される）。４つのモバイル・デバイス９０２−Ａ、９０２−Ｂ、９０２−Ｃ、および９０２−Ｄのそれぞれは、同一のユーザ（図示せず）に関連付けられ得る。図７に示されたモバイル・デバイスの個数は、例示のためのものである。ユーザは、より多数またはより少数のモバイル・デバイスに関連付けられ得、本明細書で説明される方法は、異なる個数のモバイル・デバイスを有する配置にあてはまる。
【０１１７】
ユーザは、様々な企業リソース９１９および／または企業サービス９１７にアクセスし、使用するのに４つのモバイル・デバイス９０２−Ａ、９０２−Ｂ、９０２−Ｃ、および９０２−Ｄのそれぞれを使用するつもりである場合がある。企業リソース９１９および企業サービス９１７へのアクセスおよびその使用は、アクセス・ゲートウェイ９０７によって管理され得る。アクセス・ゲートウェイ９０７、企業リソース９１９、および／または企業サービス９１７は、第１の位置９０１とは異なるまたはこれからリモートである第２の位置９１１に配置されたものとして図示されている。第２の位置９１１は、単純さのために図示されている。いくつかの配置では、企業リソース９１９、企業サービス９１９、およびアクセス・ゲートウェイ９０７は、お互いとは異なる位置に配置され得る。アクセス・ゲートウェイ９０７は、図５に関連して説明した企業モビリティ技術アーキテクチャの諸態様を用いて構成され得（たとえば、アクセス・ゲートウェイ５６０と同様に構成される）、かつ／または図６に関連して説明した企業モビリティ管理システムの諸態様を用いて構成され得る（たとえば、ゲートウェイ・サーバ６０６と同様に構成される）。企業リソース９１９および企業リソースは、図５および図６に関連して議論したものに類似するものとすることができる（たとえば、企業リソース５０４、企業サービス５０８、企業リソース／サービス６０８、６０９、６２０、６２２、および類似物）。アクセス・ゲートウェイ９０７は、企業リソース９１９および企業サービス９１７に加えて、たとえば公衆インターネット５４８、アプリケーション・ストア５７８、および類似物へのアクセスを含む機能性を提供することもできる。
【０１１８】
４つのモバイル・デバイス９０２−Ａ、９０２−Ｂ、９０２−Ｃ、および９０２−Ｄのそれぞれは、お互いとは異なる能力を有することができ、第１の位置９０１で使用可能なネットワークに基づいて、あるデバイスが、アクセス・ゲートウェイ９０７への仮想プライベート・ネットワーク接続を確立できない場合がある。図９に示されているように、モバイル・デバイス９０２−Ｃは、アクセス・ゲートウェイ９０７との仮想プライベート・ネットワーク接続９１５を確立済みであり、モバイル・デバイス９０２−Ｄは、アクセス・ゲートウェイ９０７との仮想プライベート・ネットワーク接続９１３を確立済みである。やはり図９に示されているように、モバイル・デバイス９０２−Ａおよび９０２−Ｂは、アクセス・ゲートウェイ９０７との仮想プライベート・ネットワーク接続を有しない。たとえば、モバイル・デバイス９０２−Ｃおよび９０２−Ｄは、それぞれ、これらのデバイスのそれぞれがアクセス・ゲートウェイ９０９と通信することを可能にする無線ネットワーク（たとえば、３Ｇ無線ネットワーク、４Ｇ無線ネットワーク、ＷＩ−ＦＩ無線ローカル・エリア・ネットワーク、および類似物）に接続できるデバイスとすることができる。図９に示されているように、モバイル・デバイス９０２−Ｃおよび９０２−Ｄは、異なる無線ネットワークに接続され、モバイル・デバイス９０２−Ｃは無線ネットワーク９０９に接続され、モバイル・デバイス９０２−Ｄは、無線ネットワーク９１０に接続される（たとえば、無線ネットワーク９０９は、セルラ無線ネットワークとすることができ、無線ネットワーク９１０は、無線ローカル・アクセス・ネットワークとすることができる）。いくつかの配置では、モバイル・デバイス９０２−Ｃおよび９０２−Ｄは、同一の無線ネットワークに接続され得る。モバイル・デバイス９０２−Ａおよび９０２−Ｂは、それぞれ、無線ネットワーク９０９および９１０に接続できないデバイス（たとえば、３Ｇ、４Ｇ、またはＬＴＥ無線ネットワークに接続する能力のないタブレット・コンピュータ）とすることができ、あるいは、ユーザが無線ネットワーク９０９および９１０に接続しないことを選択したデバイス（たとえば、機内モードにセットされたデバイスなど、使用不能にされた無線通信機を有するデバイス）とすることができる。
【０１１９】
仮想プライベート・ネットワーク接続９１３および９１５のそれぞれは、図５および図６に関連して議論したものと同様の、１つまたは複数のｍｉｃｒｏＶＰＮ接続またはアプリケーション固有ＶＰＮ接続とすることができる。そのような配置では、仮想プライベート・ネットワーク接続９１３は、アクセス・ゲートウェイ９０７と、たとえばモバイル・デバイス９０２−Ｄの１つまたは複数のマネージド・アプリケーション（たとえば、マネージド・アプリケーション５１４）および／またはモバイル・デバイス９０２−Ｄのクライアント・エージェント（たとえば、クライアント・エージェント６０４）を含む、モバイル・デバイス９０２−Ｄのモビリティ管理システムの様々な構成要素との間でのデータ・トラフィックの交換を可能にすることができる。同様に、仮想プライベート・ネットワーク接続９１５は、アクセス・ゲートウェイ９０７と、たとえばモバイル・デバイス９０２−Ｃの１つまたは複数のマネージド・アプリケーション（たとえば、マネージド・アプリケーション５１４）および／またはモバイル・デバイス９０２−Ｃのクライアント・エージェント（たとえば、クライアント・エージェント６０４）を含む、モバイル・デバイス９０２−Ｃのモビリティ管理システムの様々な構成要素との間でのデータ・トラフィックの交換を可能にすることができる。仮想プライベート・ネットワーク接続９１３は、無線ネットワーク９１０（および、図９に明示的には図示されていない１つまたは複数の他のネットワーク）を通るトンネルとして働くことができる。同様に、仮想プライベート・ネットワーク接続９１５は、無線ネットワーク９０９（および、図９に明示的には図示されていない１つまたは複数の他のネットワーク）を通るトンネルとして働くことができる。仮想プライベート・ネットワーク接続９１３および９１４を介するデータの交換に適するマネージド・アプリケーションおよび／またはクライアント・エージェントのタイプのいくつかの例は、たとえば、Ｃｉｔｒｉｘ  Ｓｙｓｔｅｍ，Ｉｎｃ．によるアプリケーションのＷＯＲＸ  ｓｕｉｔｅ（たとえば、Ｃｉｔｒｉｘ  Ｓｙｓｔｅｍｓ，Ｉｎｃ．によるＷＯＲＸ  ＨＯＭＥ、Ｃｉｔｒｉｘ  Ｓｙｓｔｅｍｓ，Ｉｎｃ．によるＷＯＲＸＭＡＩＬなど）、およびＣｉｔｒｉｘ  Ｓｙｓｔｅｍｓ，Ｉｎｃ．によるＸＥＮＭＯＢＩＬＥと互換の他のアプリケーション／クライアント・エージェントを含む。
【０１２０】
４つのモバイル・デバイス９０２−Ａ、９０２−Ｂ、９０２−Ｃ、および９０２−Ｄは、メッシュ・ネットワークのメンバ（またはノード）として構成され得る。図７に関連して議論された配置と同様に、明瞭さおよび議論のしやすさのために、本開示は、ルーティング技法を使用するメッシュ・ネットワークの例を提供する。したがって、図９に示されているように、モバイル・デバイス９０２−Ａ、９０２−Ｂ、９０２−Ｃ、および９０２−Ｄは、メッシュ・ネットワークのメンバであり、データは、ピアツーピア接続９０３、９０４、９０５、および９０６を介してメッシュ・ネットワーク全体にルーティングされ得る。ピアツーピア接続９０３、９０４、９０５、および９０６は、たとえばＢＬＵＥＴＯＯＴＨ（登録商標）プロトコル、ＷＩ−ＦＩ  ＤＩＲＥＣＴプロトコル、または物理的に非常に近接したデバイスの間の直接通信を可能にする任意の他のプロトコルを含む、１つまたは複数のトランスポート・プロトコルを使用することができる（たとえば、ピアツーピア接続９０５および９０６が、ＢＬＵＥＴＯＯＴＨ（登録商標）プロトコルを使用することができ、ピアツーピア接続９０３および９０４が、ＷＩ−ＦＩ  ＤＩＲＥＣＴプロトコルを使用することができる）。ピアツーピア接続９０３、９０４、９０５、および９０６を介して送信されるデータは、１つまたは複数の暗号化方式に基づいて暗号化され得る。さらに、モバイル・デバイス９０２−Ａ、９０２−Ｂ、９０２−Ｃ、および９０２−Ｄの間に追加のピアツーピア接続がある場合がある。たとえば、ピアツーピア接続（図示せず）が、モバイル・デバイス９０２−Ａとモバイル・デバイス９０２−Ｄとの間に確立され得る。別の例として、図示されたピアツーピア接続９０４に加えて、第２のピアツーピア接続（図示せず）が、モバイル・デバイス９０２−Ａとモバイル・デバイス９０２−Ｃとの間に確立され得る。メッシュ・ネットワークの使用は、例示のためのものである。他のタイプのアドホック・ネットワークまたはピアツーピア・ネットワークが、本明細書で説明される諸態様を組み込んだ様々な実施形態内で使用され得る。メッシュ・ネットワークのメンバになるために各モバイル・デバイス９０２−Ａ、９０２−Ｂ、９０２−Ｃおよび９０２−Ｄによって使用され得る例の方法が、下で図１０Ａに関連して議論される。２つの仮想プライベート・ネットワーク接続９１３および９１４のどちらが使用されるのかを管理するのに使用され得る例の方法が、下で図１０Ｂに関連して議論される。メッシュ・ネットワークの確立に関するさらなる詳細は、図１２に関連して議論される。
【０１２１】
図示の配置は、モバイル・デバイス９０２−Ａおよび９０２−Ｂからのデータがアクセス・ゲートウェイ９０７によって受信されることを可能にすることができる。この形で、モバイル・デバイス９０２−Ａおよび９０２−Ｂは、企業リソース９１９および企業サービス９１７を含むアクセス・ゲートウェイ９０７によって制御され、かつ／または管理される機能性にアクセスし、かつ／または使用することができる可能性がある。たとえば、アクセス・ゲートウェイ９０７用のデータ（たとえば、モバイル・デバイス９０２−Ａおよび９０２−Ｂのマネージド・アプリケーションまたはクライアント・エージェントによって生成されたデータ）は、メッシュ・ネットワークの１つまたは複数のピアツーピア接続９０３〜９０６を介して、アクセス・ゲートウェイ９０７との接続を確立済みのモバイル・デバイス（たとえば、モバイル・デバイス９０２−Ｃまたはモバイル・デバイス９０２−Ｄ）にルーティングされ、送信され得る。確立された仮想プライベート・ネットワーク接続を有するモバイル・デバイスによって受信された後に、データは、その仮想プライベート・ネットワーク接続を介してアクセス・ゲートウェイ９０７に送信され得る（たとえば、データがモバイル・デバイス９０２−Ｄにルーティングされた場合には仮想プライベート・ネットワーク接続９１３を介し、データがモバイル・デバイス９０２−Ｃにルーティングされた場合には仮想プライベート・ネットワーク接続９１５を介して）。アクセス・ゲートウェイ９０７は、モバイル・デバイス９０２−Ａまたは９０２−Ｂ用のデータ（たとえば、企業リソース９１９または企業サービス９１７のアクセスに基づいて生成されたデータ）を、仮想プライベート・ネットワーク接続を介して、確立された仮想プライベート・ネットワーク接続を有するモバイル・デバイスに送信することができる。確立された仮想プライベート・ネットワーク接続を有するモバイル・デバイスによって受信された後に、データは、メッシュ・ネットワークの１つまたは複数のピアツーピア接続９０３〜９０６を介して所期の宛先にルーティングされ、送信され得る。受信時に、モバイル・デバイス９０２−Ａまたは９０２−Ｂは、アプリケーション管理フレームワークに従ってデータを処理することができる（たとえば、マネージド・アプリケーションにデータを供給する、データをコンテナ内に記憶するなど）。たとえば、モバイル・デバイス９０２−Ｂのマネージド・メール・アプリケーションは、ユーザが仮想プライベート・ネットワーク接続９１３を使用して新しい電子メールを受信することを可能にするために、アクセス・ゲートウェイ９０７を介して電子メール・データを受信することができる。別の例として、モバイル・デバイス９０２−Ａのマネージド・ブラウザ・アプリケーションは、ユーザが仮想プライベート・ネットワーク接続９１３を使用してモバイル・デバイス９０２−Ａからインターネットをブラウズすることを可能にするために、アクセス・ゲートウェイからウェブ・ブラウジング・データを受信できる可能性がある。さらに、メッシュ・ネットワークは、モバイル・デバイス９０２−Ａ、９０２−Ｂ、９０２−Ｃ、および９０２−Ｄがアプリケーション管理フレームワークに関する様々な機能を実行することを可能にすることのできるデータをこれらのモバイル・デバイスの間で送信するのに使用され得る。たとえば、ユーザがモバイル・デバイス９０２−Ａ、９０２−Ｂ、９０２−Ｃ、および９０２−Ｄのうちの１つからのスクリーンを共有することを可能にするために、スクリーン共有データがこれらのデバイスの間で送信され得る。別の例として、ユーザがモバイル・デバイス９０２−Ａ、９０２−Ｂ、９０２−Ｃ、および９０２−Ｄの間で電子メール・メッセージを同期化することを可能にするために、電子メール・データが、モバイル・デバイス９０２−Ａ、９０２−Ｂ、９０２−Ｃ、および９０２−Ｄの間で送信され得る。メッシュ・ネットワークが企業モビリティ管理システムに関連してどのように使用され得るのかに関するさらなる詳細は、図１１Ａ〜図１１Ｄおよび図１２に関連して議論される。
【０１２２】
図１０Ａは、メッシュ・ネットワークの確立に関連して使用され得る別の例の方法を示す。具体的には、図１０Ａの例の方法は、メッシュ・ネットワークのメンバになるか他の形でメッシュ・ネットワークを確立するのに図９のモバイル・デバイス９０２−Ａ、９０２−Ｂ、９０２−Ｃ、および９０２−Ｄのそれぞれによって使用され得る。いくつかの配置では、図１０Ａのステップは、たとえば図６のクライアント・エージェント６０４を含む企業モビリティ管理システムの１つまたは複数の構成要素によって実行され得る。さらに、モバイル・デバイスは、メッシュ・ネットワークの確立を容易にするために、モバイル・デバイスの存在および近くのデバイスの発見をアドバタイズするのを援助するためにＯＰＥＮＧＡＲＤＥＮ  ＳＤＫなどの既存技術の変形形態を使用することができる。
【０１２３】
ステップ１００１では、モバイル・デバイスが、１つまたは複数の他のモバイル・デバイスの１つまたは複数のアドバタイズメントを受信することができる。ステップ１００１は、図８のステップ８０５と同様に実行され得る。たとえば、１つまたは複数の他のモバイル・デバイスのアドバタイズメントは、他のモバイル・デバイスの存在をモバイル・デバイスに示すことができ、トランスポート・プロトコルに固有とすることができる。１つまたは複数のアドバタイズメントは、１つまたは複数のピアツーピア通信を介して受信され得る（たとえば、アドバタイズメントは、ステップ１００１でＢＬＵＥＴＯＯＴＨ（登録商標）通信および／またはＷＩＦＩ  ＤＩＲＥＣＴ通信を介して受信され得る）。いくつかの配置で、ステップ１００１で受信される１つまたは複数のアドバタイズメントは、１つまたは複数の他のモバイル・デバイスのユーザ情報を含むことができる（たとえば、モバイル・デバイス９０２−Ｂのアドバタイズメントは、モバイル・デバイス９０２−Ｂのユーザによって選択されたセキュリティ証明書を含むことができる）。さらに、ステップ１００１で受信される１つまたは複数のアドバタイズメントは、アクセス・ゲートウェイへの仮想プライベート・ネットワーク接続がアドバタイズメントの特定のソース・デバイスのために確立済みであるかどうかに関する指示を含むことができる（たとえば、モバイル・デバイス９０２−Ｂのアドバタイズメントは、仮想プライベート・ネットワーク接続が確立されていないことを示すことができ、モバイル・デバイス９０２−Ｃのアドバタイズメントは、仮想プライベート・ネットワーク接続が確立されていることを示すことができる）。
【０１２４】
図示の配置では、この方法は、ステップ１００１での１つまたは複数のアドバタイズメントの受信に応答してステップ１００３に進むことができる。いくつかの配置（図１０Ａには図示せず）では、モバイル・デバイスは、直接にステップ１００３に進む前に、メッシュ・ネットワークのメンバになるための認証が以前に受信されたかどうかを判定することができる。この判定は、たとえば、モバイル・デバイスのクライアント・エージェントのメッシュ・ネットワーク・セッティングの値（たとえば、メッシュ・ネットワーク・セッティングが、メッシュ・ネットワークのメンバシップがユーザによって認可されることを示すかどうか）に基づいて、または、モバイル・デバイスがＳＳＯのために構成された有効な認証トークンを記憶することに基づいて、実行され得る。認可が以前に受信されなかった場合には、モバイル・デバイスは、認可についてユーザにプロンプトを出すことができる。認可が以前に受信された場合には、この方法は、ステップ１００３に進むことができる。
【０１２５】
ステップ１００３では、モバイル・デバイスが、モバイル・デバイスの１つまたは複数のアドバタイズメントを送信することができる。このステップは、ステップ１００３が、モバイル・デバイスがステップ１００１でアドバタイズメントを受信することに応答してまたはこれに基づいて実行されると考えられることを除いて、図８のステップ８０１と同様に実行され得る。いくつかの配置で、ステップ１００３で送信される各アドバタイズメントは、モバイル・デバイスのユーザ情報（たとえば、モバイル・デバイス９０２−Ｄのユーザによって選択されたセキュリティ証明書）を含むことができる。さらに、ステップ１００３で送信される１つまたは複数のアドバタイズメントは、アクセス・ゲートウェイへの仮想プライベート・ネットワーク接続がモバイル・デバイスのために確立済みであるかどうかに関する指示を含むことができる。
【０１２６】
ステップ１００５では、モバイル・デバイスが、ステップ１００１で受信された１つまたは複数のアドバタイズメントに基づいて１つまたは複数の他のモバイル・デバイスのユーザ情報を判定することができる。このステップは、図８のステップ８０７と同様に実行され得る（たとえば、ステップ１００１で受信されたアドバタイズメントからユーザ情報を抽出する、１つまたは複数のユーザ・デバイスにユーザ情報要求を送信するなど）。さらに、いくつかの配置では、ユーザ情報の判定に加えてまたはその代替案として、モバイル・デバイスは、仮想プライベート・ネットワーク接続が１つまたは複数の他のデバイスのために確立済みであるかどうかに関する指示を判定することができる（たとえば、ステップ１００１で受信されたアドバタイズメントから指示を抽出する、１つまたは複数の他のデバイスに指示の要求を送信する、１つまたは複数の他のデバイスに指示およびユーザ情報の１つまたは複数の要求を送信する（要求のそれぞれは、指示およびユーザ情報の要求である）など）。
【０１２７】
ステップ１００７では、モバイル・デバイスが、メッシュ・ネットワークのメンバシップを認証すべきかどうかを判定することができる。このステップは、図８のステップ８０９と同様に実行され得る（たとえば、１つまたは複数の他のデバイスのユーザ情報およびモバイル・デバイスのユーザ情報に基づいて判定を実行する、モバイル・デバイスおよび一致するユーザ情報を有する１つまたは複数のモバイル・デバイスに基づいて判定を実行するなど）。メッシュ・ネットワークのメンバシップを認証すべきであるとの判定時に、この方法は、ステップ１００９に進むことができる。モバイル・デバイスが、メッシュ・ネットワークのメンバシップを認証すべきではないと判定する（たとえば、他のモバイル・デバイスのユーザ情報のいずれもが、モバイル・デバイスのユーザ情報と一致しない）場合には、この方法は終了する。
【０１２８】
ステップ１００９では、モバイル・デバイスが、複数（たとえば、２つ以上）の仮想プライベート・ネットワーク接続が、メッシュ・ネットワークのメンバになるデバイスの間で確立済みであるかどうかを判定することができる。たとえば、例示のために図９に示された配置を使用すると、モバイル・デバイス９０２−Ａ〜９０２−Ｄは、すべてがメッシュ・ネットワークのメンバシップに関して認証され得、モバイル・デバイス９０２−Ｄは、モバイル・デバイス９０２−Ａ、９０２−Ｂ、および９０２−Ｃのそれぞれから、仮想プライベート・ネットワーク接続がそれぞれのデバイスのために確立済みであるかどうかに関する指示を受信済みである場合があり、モバイル・デバイス９０２−Ｄは、仮想プライベート・ネットワークがモバイル・デバイス９０２−Ｄのために確立済みであるかどうかに関する指示へのアクセスを有することができる。メッシュ・ネットワークのメンバの指示のうちの少なくとも２つ（たとえば、モバイル・デバイス９０２−Ａ、９０２−Ｂ、および９０２−Ｃの指示とモバイル・デバイス９０２−Ｄの指示と）が、仮想プライベート・ネットワーク接続が確立済みであることを示す指示を提供する場合には、モバイル・デバイス９０２−Ｄは、複数の仮想プライベート・ネットワーク接続が確立済みであると判定することができる。１つまたはより少数のメッシュ・ネットワークのメンバの指示が、仮想プライベート・ネットワーク接続が確立済みであることを示す指示を提供する場合には、モバイル・デバイス９０２−Ｄは、複数の仮想プライベート・ネットワーク接続が確立済みではないと判定することができる。図９に示された特定の配置に注意を向けると、モバイル・デバイスは、モバイル・デバイス９０２−Ｃと９０２−Ｄとの両方が、仮想プライベート接続が確立済みであることを示す指示を提供するので、複数の仮想プライベート・ネットワーク接続が確立済みであると判定することができる。
【０１２９】
複数の仮想プライベート・ネットワーク接続が確立済みであるとの判定時に、この方法は、ステップ１０１１に進むことができる。モバイルが、複数の仮想プライベート・ネットワーク接続が確立済みではないと判定する場合には、この方法はステップ１０１５に進むことができる。
【０１３０】
ステップ１０１１では、複数の仮想プライベート・ネットワーク接続のどれが、メッシュ・ネットワークを介して受信された、アクセス・ゲートウェイ用のデータに使用されるのかを、モバイル・デバイスが選択することができる。モバイル・デバイスは、複数の仮想プライベート・ネットワーク接続に関する測定値の比較に基づいてこの選択を実行することができる。いくつかの配置で、選択は、複数の仮想プライベート・ネットワーク接続のどれが最高速と判定されるのかに基づくものとすることができる。たとえば、確立された仮想プライベート・ネットワーク接続を有する各モバイル・デバイスは、確立された仮想プライベート・ネットワーク接続の１つまたは複数の測定値（たとえば、仮想プライベート・ネットワークの平均のまたは瞬間的な帯域幅測定値、アクセス・ゲートウェイとの接続上での瞬間的なまたは平均のｐｉｎｇ時間など）を提供することができる。これらの測定値に基づいて、モバイル・デバイスは、複数の仮想プライベート・ネットワーク接続のうちの１つを選択することができる（たとえば、最大の帯域幅を有する仮想プライベート・ネットワークを選択する、最短のｐｉｎｇ時間を有する仮想プライベート・ネットワークを選択する、帯域幅とｐｉｎｇ時間との重み付きの組み合わせに基づくなど）。１つまたは複数の測定値は、仮想プライベート・ネットワーク接続が確立済みであることまたはモバイル・デバイスによる別々の要求に応答したことを示す指示と一緒に供給され得る。図９に示された配置を使用する特定の例として、モバイル・デバイス９０２−Ｃは、モバイル・デバイス９０２−Ｄへの仮想プライベート・ネットワーク接続９１５を介するアクセス・ゲートウェイ９０７のアクセスに関して５ミリ秒のｐｉｎｇ時間を提供した可能性があり、モバイル・デバイス９０２−Ｄは、仮想プライベート・ネットワーク接続９１３を介するアクセス・ゲートウェイ９０７のアクセスに関して１０ミリ秒のｐｉｎｇ時間を測定した可能性がある。したがって、モバイル・デバイス９０２−Ｄは、より短いｐｉｎｇ時間に基づいて、メッシュ・ネットワークを介して受信された、アクセス・ゲートウェイ用のデータに使用される接続として仮想プライベート・ネットワーク接続９１５を選択することができる。
【０１３１】
ステップ１０１３では、モバイル・デバイスが、選択された仮想プライベート・ネットワーク接続の状況を監視するプロセスを開始できる。選択された仮想プライベート・ネットワーク接続の状況を監視するプロセスに関するさらなる詳細は、図１０Ｂに関して議論される。
【０１３２】
ステップ１０１５では、モバイル・デバイスが、１つまたは複数の他のモバイル・デバイスのうちの少なくとも１つにデータをルーティングするのに使用可能であるルーティング情報を判定することができる。このステップは、図８のステップ８１１と同様に実行され得る。さらに、ルーティング情報は、どの仮想プライベート・ネットワーク接続がステップ１０１１で選択されたのかに基づいて判定され得る。たとえば、図１０に示された例示的な配置を使用し、仮想プライベート・ネットワーク接続９１３がステップ１０１１で選択されたと仮定すると、モバイル・デバイス９０２−Ａからモバイル・デバイス９０２−Ｃによって受信されたデータが、アクセス・ゲートウェイ９０７用である場合に、そのデータがモバイル・デバイス９０２−Ｄにルーティングされなければならないことを示すために、ルーティング情報が判定され得る。
【０１３３】
ステップ１０１７では、モバイル・デバイスが、メッシュ・ネットワークのメンバとしてそれ自体を構成することができる。このステップは、図８のステップ８１３と同様に実行され得る。たとえば、構成プロセスの一部として、モバイル・デバイスは、後の使用のためにルーティング情報を記憶することができ、メッシュ・ネットワーク内の１つまたは複数の次のホップにルーティング情報を送信することができ、メッシュ・ネットワークのピアツーピア接続を確立するためにデータを交換することができ、かつ／またはピアツーピア接続を介する通信に関する暗号化鍵を判定するために次のホップとデータを交換することができる。さらに、ルーティング情報が、どの仮想プライベート・ネットワーク接続がステップ１０１１で選択されたのかに基づくことに鑑みて、モバイル・デバイスによって実行される構成は、どの仮想プライベート・ネットワーク接続がステップ１０１１で選択されたのかに基づいて実行され得る。
【０１３４】
一特定の例では、メッシュ・ネットワークが図９の４つのモバイル・デバイスを含み、メッシュ・ネットワークが図９に示されたピアツーピア接続を使用する場合に、図９の４つのモバイル・デバイスは、次のようにメッシュ・ネットワークを使用してデータをルーティングし、送信することができる。モバイル・デバイス９０２−Ａがそれ自体を構成した後に、モバイル・デバイス９０２−Ａは、メッシュ・ネットワークのピアツーピア接続９０３を介してモバイル・デバイス９０２−Ｂにデータをルーティングし、送信することができ、メッシュ・ネットワークのピアツーピア接続９０４を介してモバイル・デバイス９０２−Ｃにデータをルーティングし、送信することができ、モバイル・デバイス９０２−Ｂがそれ自体を構成した後に、モバイル・デバイス９０２−Ｂは、メッシュ・ネットワークのピアツーピア接続９０３を介してモバイル・デバイス７０２−Ａにデータをルーティングし、送信することができ、メッシュ・ネットワークのピアツーピア接続９０６を介してモバイル・デバイス９０２−Ｄにデータをルーティングし、送信することができ、モバイル・デバイス９０２−Ｃがそれ自体を構成した後に、モバイル・デバイス９０２−Ｃは、メッシュ・ネットワークのピアツーピア接続９０４を介してモバイル・デバイス９０２−Ａにデータをルーティングし、送信することができ、メッシュ・ネットワークのピアツーピア接続９０５を介してモバイル・デバイス９０２−Ｄにデータをルーティングし、送信することができ、モバイル・デバイス９０２−Ｄがそれ自体を構成した後に、モバイル・デバイス９０２−Ｄは、メッシュ・ネットワークのピアツーピア接続９０５を介してモバイル・デバイス９０２−Ｃにデータをルーティングし、送信することができ、メッシュ・ネットワークのピアツーピア接続９０６を介してモバイル・デバイス９０２−Ｂにデータをルーティングし、送信することができる。
【０１３５】
上の議論に鑑みて、一般に、図１０Ａの例の方法は、図８に関連して議論したものに類似する複数のステップを含む。しかし、図１０Ａの例の方法は、図８に関連して議論したステップの代替物またはこれに対する追加と考えることのできる様々なステップおよび／またはステップの配置を含む。たとえば、図１０Ａのステップ１００１および１００３は、いくつかの実施形態で、ステップ８０１、８０３、および８０５の代わりに使用され得る。別の例として、ステップ１００９、１０１１、１０１３、および１０１５は、いくつかの実施形態で、図８の例の方法に追加され得る。さらなる別の例として、図８のステップ８０１は、図１０Ａの例の方法で実行されるステップに加えて実行され得る。
【０１３６】
さらに、モバイル・デバイスは、図８および図１０Ａに関連して説明した方法の１つまたは複数の異なる変形形態を実行するように構成され得る。たとえば、各モバイル・デバイスは、モバイル・デバイスがピアツーピア通信を介してアドバタイズメントを受信する前にユーザがメッシュ・ネットワークを確立する試みを開始するかどうかに基づいて、メッシュ・ネットワークの確立に関連して使用され得る２つの方法の一方を実行するように構成され得る。実際に、図９の例示的な配置を使用する特定の例として、ユーザは、モバイル・デバイス９０２−Ｄ上のユーザ・インターフェースと対話し、モバイル・デバイスがメッシュ・ネットワークの確立を試みることを開始しまたは他の形でこれを引き起こすボタンを押す（メニュー・オプションを選択し、または他の形でセッティングを変更する）ことができる。したがって、モバイル・デバイス９０２−Ｄは、ユーザの開始に基づいて図８のステップ８０１〜８０５を実行し、その後、ステップ１００５で開始する図１０Ａの方法の実行に進むことができる。モバイル・デバイス９０２−Ｄで実行される方法に基づいて、他のモバイル・デバイス（たとえば、モバイル・デバイス９０２−Ａ、９０２−Ｂ、および９０２−Ｃ）は、モバイル・デバイス９０２−Ｄからアドバタイズメントを受信することができる。モバイル・デバイス９０２−Ａ、９０２−Ｂ、および９０２−Ｃのそれぞれは、ユーザがデバイス９０２−Ａ、９０２−Ｂ、および９０２−Ｃ上でメッシュ・ネットワークを確立する試みを開始する前にデバイス９０２−Ａ、９０２−Ｂ、および９０２−Ｃがアドバタイズメントを受信することに基づいて、１０Ａの方法の実行に進むことができる。図８および図１０Ａの上で説明した変形形態は、実施形態がメッシュ・ネットワークの確立に関連して使用できる多数の変形形態の少数の例にすぎない。
【０１３７】
図１０Ｂは、メッシュ・ネットワークの管理に関連して使用され得る例の方法を示す。詳細には、図１０Ｂは、選択された仮想プライベート・ネットワーク接続の状況を監視するための例の方法を示す。具体的には、図１０Ｂの例の方法は、選択された仮想プライベート・ネットワーク接続の状況を監視するために図９からのモバイル・デバイス９０２−Ａ、９０２−Ｂ、９０２−Ｃ、および９０２−Ｄのそれぞれによって使用され得る。いくつかの配置では、図１０Ｂのステップは、たとえば図６のクライアント・エージェント６０４を含む、企業モビリティ管理システムの１つまたは複数の構成要素によって実行され得る。
【０１３８】
ステップ１０２１では、モバイル・デバイスは、仮想プライベート・ネットワーク接続の１つまたは複数の測定値を示すデータを受信することができる。このデータは、仮想プライベート・ネットワーク接続の性能を示すことができる（たとえば、仮想プライベート・ネットワークの平均のまたは瞬間的な帯域幅測定値、アクセス・ゲートウェイとの接続上での瞬間的なまたは平均のｐｉｎｇ時間など）。その代わりにまたはそれに加えて、このデータは、仮想プライベート・ネットワーク接続が障害を発生したことを示すことができる。ステップ１０２１で受信されるデータは、モバイル・デバイスによって送信された、１つまたは複数の測定値の要求に応答して受信され得る。このデータは、周期的スケジュールに基づいても受信され得る（たとえば、確立された仮想プライベート・ネットワーク接続を有するモバイル・デバイスは、１つまたは複数の測定値を判定し、５秒おき、５分おき、毎時、その他など、周期的にそのデータを送信することができる）。このデータは、さらに、仮想プライベート・ネットワーク接続の性能が所定のしきい値を超えて変化したとデバイスが判定することに基づいて受信され得る（たとえば、確立された仮想プライベート・ネットワーク接続を有するモバイル・デバイスは、確立された接続が障害を発生したと判定した後にデータを送信することができ、帯域幅測定値が指定された量のメガビット毎秒だけ減少したと判定した時にデータを送信することができ、ｐｉｎｇ時間が指定されたミリ秒数だけ増加したと判定した時にデータを送信することができるなど）。特定の例として、図９の例示的な配置を使用すると、モバイル・デバイス９０２−Ｄは、仮想プライベート・ネットワーク接続９１５の１つまたは複数の測定値を示すデータを、ステップ１０２１でピアツーピア接続９０５を介してモバイル・デバイス９０２−Ｃから受信することができる。
【０１３９】
ステップ１０２３では、モバイル・デバイスが、選択された仮想プライベート・ネットワーク接続を変更すべきかどうかを判定することができる。たとえば、この判定は、選択された仮想プライベート・ネットワーク接続と他の確立された仮想プライベート・ネットワーク接続との測定値の比較に基づくものとすることができる。この比較は、図１０Ａのステップ１０１１に関連して議論した比較と同様に実行され得る。特定の例として、図９の例示的な配置を使用し、仮想プライベート・ネットワーク接続９１５が、現在選択されている仮想プライベート・ネットワーク接続であると仮定すると、モバイル・デバイス９０２−Ｃは、モバイル・デバイス９０２−Ｄへの仮想プライベート・ネットワーク接続９１５を介するアクセス・ゲートウェイ９０７のアクセスに関して３０ミリ秒のｐｉｎｇ時間を最も最近に提供した可能性があり、モバイル・デバイス９０２−Ｄは、仮想プライベート・ネットワーク接続９１３を介するアクセス・ゲートウェイ９０７のアクセスに関して１０ミリ秒のｐｉｎｇ時間を最も最近に測定した可能性がある。したがって、モバイル・デバイス９０２−Ｄは、仮想プライベート・ネットワーク接続９１３のより短いｐｉｎｇ時間に基づいて、選択された仮想プライベート・ネットワーク接続が、仮想プライベート・ネットワーク接続９１３に変更されなければならないと判定することができる。
【０１４０】
選択された仮想プライベート・ネットワーク接続が変化しなければならないと判定する時に、この方法はステップ１０２５に進むことができる。モバイル・デバイスが、選択された仮想プライベート・ネットワーク接続が変化してはならないと判定する時に、この方法は終了することができる。
【０１４１】
ステップ１０２５では、モバイル・デバイスが、選択された仮想プライベート・ネットワーク接続が変化したことを示す１つまたは複数のメッセージを送信することができる。いくつかの配置では、１つまたは複数のメッセージは、メッシュ・ネットワークの各メンバが変化について通知されるようにするために送信される。メッセージの受信時に、メッシュ・ネットワークの各メンバは、選択された仮想プライベート・ネットワーク接続の変化に基づいて、その構成の更新に進むことができる。たとえば、図９の例示的な配置を使用し、仮想プライベート・ネットワーク接続９１３が、新たに選択された仮想プライベート・ネットワーク接続であると仮定すると、モバイル・デバイス９０２−Ａ、９０２−Ｂ、および９０２−Ｃは、選択されたＶＰＮ接続が変化したことを示すメッセージをそれぞれ送信され得、モバイル・デバイス９０２−Ａ、９０２−Ｂ、および９０２−Ｃのそれぞれは、アクセス・ゲートウェイ９０７用のデータがモバイル・デバイス９０２−Ｃにルーティングされるようにするために、メッセージの受信に応答して、選択された仮想プライベート・ネットワーク接続の変化に基づいて、その構成を更新することができる（たとえば、記憶されたルーティング情報および類似物を更新する）。
【０１４２】
ステップ１０２７では、モバイル・デバイスが、選択された仮想プライベート・ネットワーク接続の変化に基づいて、その構成を更新することができる。たとえば、モバイル・デバイスは、アクセス・ゲートウェイ用のデータが新たに選択された仮想プライベート・ネットワーク接続を介してアクセス・ゲートウェイに送信され得るようにするためにそのデータがルーティングされるようにするために、記憶されたルーティング情報および他の構成セッティングを更新することができる。ステップ１０２５で議論した特定の例を継続すると、モバイル・デバイス９０２−Ｄは、アクセス・ゲートウェイ９０７用のデータがピアツーピア接続９０５を使用してモバイル・デバイス９０２−Ｃにルーティングされるようにするために、その構成を更新することができる。
【０１４３】
図１１Ａ〜図１１Ｄは、本明細書で説明される様々な態様に従ってメッシュ・ネットワークの使用に関連して使用され得る例の方法を示す。具体的には、図１１Ａ〜図１１Ｄの例の方法は、図７および図９に示されたモバイル・デバイスによって、メッシュ・ネットワークを確立した後に企業モビリティ管理システムに関連する様々な機能を実行するのに使用され得る。いくつかの配置では、図１１Ａ〜図１１Ｄの例の方法全体で示される様々なステップは、たとえば図６のクライアント・エージェント６０４ならびに／または図５および図６のマネージド・アプリケーションを含む、企業モビリティ管理システムの１つまたは複数の構成要素によって実行され得る。さらに、モバイル・デバイスは、メッシュ・ネットワークのメンバの間でのデータのルーティングを援助するためにＯＰＥＮＧＡＲＤＥＮ  ＳＤＫなどの既存技術の変形形態を使用することができる。図１１Ａ〜図１１Ｄの例の方法に基づいて実行され得る様々な機能に関するさらなる詳細は、図１２で議論される。
【０１４４】
図１１Ａは、モバイル・デバイスが、それが生成するデータをメッシュ・ネットワークを介して送信できる例の方法を示す。
【０１４５】
ステップ１１０１では、モバイル・デバイスが、データがメッシュ・ネットワークを介して送信されるべきであると判定することができる。この判定は、たとえばクライアント・デバイス上のマネージド・アプリケーションまたはクライアント・エージェントによって実行され得る。さらに、この判定は、マネージド・アプリケーションを実行する時または企業モビリティ管理システムの機能性を提供する時に実行される様々なタイプのデータ処理に基づいて実行され得る。たとえば、この判定は、マネージド・アプリケーションがアクセス・ゲートウェイ用のデータを生成することに基づいて、メッシュ・ネットワークの別のメンバ用のデータの生成に基づいて、および／またはセキュア・コンテナからのデータの取出に基づいて、実行され得る。より特定の例として、マネージド電子メール・アプリケーションは、メッシュ・ネットワーク上のメンバの電子メールの同期化を試みるメール同期化プロセスをたどることができる。したがって、データは、電子メール同期化の試みの指示および／またはメール同期化プロセスを完了するのに必要な電子メール・データを含むことができる。別のより特定の例として、マネージド・アプリケーションは、アクセス・ゲートウェイを介してアクセス可能な企業リソースまたは企業サービスにアクセスする要求を示すデータを生成することができる。したがって、このデータは、要求の指示、どのリソースまたはサービスが要求されているのかの指示、および／または要求を完了するのに必要である可能性がある任意のセキュリティ証明書（たとえば、ＳＳＯのために構成された有効な認証トークン、ユーザ名／パスワードなど）を含むことができる。
【０１４６】
メッシュ・ネットワークを介して送信されるべきデータを判定した後に、この方法は、モバイル・デバイスが１つまたは複数のピアツーピア接続を介してステップ１１０１で判定されたデータを送信することを可能にすることのできる反復プロセスを示す図１１Ａのステップ１１０３〜１１０９に進むことができる。たとえば、図９の例示的な配置を使用すると、ステップ１１０３〜１１０９によって表される反復プロセスは、モバイル・デバイス９０２−Ａが、ピアツーピア接続９０３および／またはピアツーピア接続９０４を介してメッシュ・ネットワーク内の次のホップにデータを送信することを可能にすることができる。
【０１４７】
ステップ１１０３では、モバイル・デバイスが、メッシュ・ネットワーク内の次のホップのために確立されるピアツーピア接続のタイプを判定することができる。この判定は、モバイル・デバイスによって記憶されるメッシュ・ネットワークのルーティング情報および／またはモバイル・デバイスによってメッシュ・ネットワークメンバとしてのその構成に関連して記憶される任意の他の情報に基づくものとすることができる。たとえば、図９の例示的な配置を使用すると、モバイル・デバイス９０２−Ａは、モバイル・デバイス９０２−Ｂへの次のホップに関して、ピアツーピア接続がＢＬＵＥＴＯＯＴＨ（登録商標）接続であると判定することができる。代替の例として、モバイル・デバイス９０２−Ｂは、モバイル・デバイス９０２−Ｄへの次のホップに関して、ピアツーピア接続がＷＩ−ＦＩ  ＤＩＲＥＣＴ接続であると判定することができる。
【０１４８】
ステップ１１０５では、モバイル・デバイスが、ピアツーピア接続のタイプに基づいて、メッシュ・ネットワークを介して送信されるべきデータを処理することができる。たとえば、ピアツーピア接続のタイプがＢＬＵＥＴＯＯＴＨ（登録商標）接続であると判定される場合に、ステップ１１０１で判定されたデータは、ＢＬＵＥＴＯＯＴＨ（登録商標）プロトコルに従うように処理され得る。別の例として、ピアツーピア接続のタイプがＷＩ−ＦＩ  ＤＩＲＥＣＴ接続であると判定される場合に、ステップ１１０１で判定されたデータは、ＷＩ−ＦＩ  ＤＩＲＥＣＴプロトコルに従うように処理され得る。
【０１４９】
さらに、データの処理は、ピアツーピア接続を介してデータを通信するのに必要な暗号化方式に従ってデータを暗号化することを含むことができる。たとえば、いくつかの変形形態では、暗号化鍵は、企業管理フレームワークのポリシから取り出され、データを暗号化するのに使用され得る。他の変形形態では、暗号化鍵は、モバイル・デバイスがメッシュ・ネットワークのメンバとしてそれ自体を構成した時（たとえば、図８のステップ８１３および図１０Ａのステップ１０１７）に判定済みである場合があり、その暗号化鍵が、データを暗号化するのに使用され得る。
【０１５０】
ステップ１１０７では、モバイル・デバイスが、処理されたデータをピアツーピア接続を介して送信することができる。たとえば、モバイル・デバイスは、ステップ１１０５に由来する処理されたデータを、１つまたは複数のＢＬＵＥＴＯＯＴＨ（登録商標）通信を使用して、ＢＬＵＥＴＯＯＴＨ（登録商標）接続を介して送信することができる。別の例として、モバイル・デバイスは、ステップ１１０５に由来する処理されたデータを、１つまたは複数のＷＩ−ＦＩ  ＤＩＲＥＣＴ通信を使用して、ＷＩ−ＦＩ  ＤＩＲＥＣＴ接続を介して送信することができる。より特定の例では、図９の例示的な配置を使用すると、モバイル・デバイス９０２−Ａは、ピアツーピア接続９０３を介してモバイル・デバイス９０２−Ｂに、ステップ１１０１で判定されたデータを含む１つまたは複数のＢＬＵＥＴＯＯＴＨ（登録商標）通信を送信することができる。
【０１５１】
ステップ１１０９では、モバイル・デバイスが、データが追加のピアツーピア接続を介して送信される必要があるかどうかを判定することができる。いくつかの配置では、これは、次のホップのうちの１つへの追加のピアツーピア接続が確立済みであるかどうかを判定し、ステップ１１０１で判定されたデータがそのピアツーピア接続にまだ送信されていないと判定するために、ルーティング情報を解析することを含むことができる。たとえば、図９の例示的な配置を使用すると、モバイル・デバイス９０２−Ａは、ルーティング情報に基づいてピアツーピア接続９０４を識別することと、ステップ１１０１で判定されたデータがピアツーピア接続９０４を介して送信済みではないと判定することとによって、この判定を実行することができる。データが追加のピアツーピア接続を介して送信される必要があると判定する時に、この方法は、ステップ１１０３〜１１０９によって表される反復プロセスを繰り返すために（たとえば、ピアツーピア接続９０４のために繰り返される）、ステップ１１０３に戻って進むことができる。データが追加のピアツーピア接続を介して送信される必要がないと判定する時に、この方法は終了することができる。
【０１５２】
図１１Ｂは、モバイル・デバイスが、それがピアツーピア接続を介して受信するデータをメッシュ・ネットワークの次のホップにルーティングできる、例の方法を示す。
【０１５３】
ステップ１１２１では、モバイル・デバイスが、メッシュ・ネットワークのピアツーピア接続を介してデータを受信することができる。このデータは、ピアツーピア接続のタイプに従う１つまたは複数の通信内で受信され得る。たとえば、ピアツーピア接続がＢＬＵＥＴＯＯＴＨ（登録商標）接続である場合には、データは、１つまたは複数のＢＬＵＥＴＯＯＴＨ（登録商標）通信内で受信され得る。ピアツーピア接続がＷＩ−ＦＩ  ＤＩＲＥＣＴ接続である場合には、データは、１つまたは複数のＷＩ−ＦＩ  ＤＩＲＥＣＴ通信内で受信され得る。一特定の例では、図９の例示的な配置を使用すると、モバイル・デバイス９０２−Ｂは、ピアツーピア接続９０３を介して、メッシュ・ネットワークを介して送信されるべきデータ（たとえば、図１１Ａのステップ１１０１で判定されたデータ）を含む１つまたは複数のＢＬＵＥＴＯＯＴＨ（登録商標）通信を受信することができる。いくつかの配置で、このデータは、図１１Ｂの次のステップに進む前に暗号化解除される必要がある場合がある。
【０１５４】
ステップ１１２２では、モバイル・デバイスが、ステップ１１２１で受信されたデータを処理することができる。たとえば、データの処理は、データをそのトランスポート・パケットから抽出することを含むことができる（たとえば、１つまたは複数のＢＬＵＥＴＯＯＴＨ（登録商標）パケットからデータを抽出する、１つまたは複数のＷＩ−ＦＩ  ＤＩＲＥＣＴパケットからデータを抽出するなど）。さらに、データの処理は、ピアツーピア接続を介してデータを通信するのに必要な暗号化方式に従ってデータを暗号化解除することを含むことができる。たとえば、いくつかの変形形態で、暗号化解除鍵は、企業管理フレームワークのポリシから取り出され、データを暗号化解除するのに使用され得る。他の変形形態では、暗号化解除鍵は、モバイル・デバイスがメッシュ・ネットワークのメンバとしてそれ自体を構成した時（たとえば、図８のステップ８１３および図１０Ａのステップ１０１７）に判定済みである場合があり、その暗号化解除鍵が、データを暗号化解除するのに使用され得る。
【０１５５】
ステップ１１２３では、モバイル・デバイスが、ステップ１１２１で受信され、ステップ１１２２で処理されたデータがモバイル・デバイス用であるかどうかを判定することができる。たとえば、メッシュ・ネットワークを介して送信されるデータの一部が、メッシュ・ネットワークの様々なメンバ用である場合があり、他のデータが、アクセス・ゲートウェイ用である場合がある。モバイル・デバイスは、所期の宛先に基づいてこの判定を実行することができる（たとえば、データがアクセス・ゲートウェイ用である場合には、データはモバイル・デバイス用ではなく、データがモバイル・デバイス用である場合には、データはモバイル・デバイス用であり、かつ／またはデータがメッシュ・ネットワークの全メンバ用である場合には、データはモバイル・デバイス用である）。それに加えてまたはその代わりに、モバイル・デバイスは、データの解析に基づいてこの判定を実行することができる。たとえば、解析は、データのタイプを識別することができる（たとえば、電子メール同期化メッセージまたはメール同期化プロセスに関連するなんらかの他のタイプとしてタイプを識別する）。タイプの識別に基づいて、モバイル・デバイスは、データがそのデバイス用であるかどうかを判定することができる（たとえば、タイプが電子メール同期化メッセージである場合には、データはモバイル・デバイス用である可能性があり、タイプが企業リソースにアクセスする要求である場合には、データはモバイル・デバイス用ではない可能性があるなど）。データがモバイル・デバイス用であると判定する時に、この方法はステップ１１２５に進むことができる。モバイル・デバイスが、データがモバイル・デバイス用ではないと判定する場合には、この方法はステップ１１２７に進むことができる。
【０１５６】
ステップ１１２５では、モバイル・デバイスが、モバイル・デバイスのマネージド・アプリケーションにデータを供給することができる。たとえば、電子メール同期化メッセージが、モバイル・デバイスのマネージド・メール・アプリケーションに供給され得る。ウェブ・ブラウジング・メッセージが、モバイル・デバイスのマネージド・ブラウザ・アプリケーションに供給され得る。一般に、モバイル・デバイスは、モバイル・デバイスにインストールされた任意のマネージド・アプリケーションにデータを供給できる可能性がある。したがって、データは、そのタイプのデータを処理する任意のアプリケーションに供給され得る。
【０１５７】
ステップ１１２７では、モバイル・デバイスが、メッシュ・ネットワークを介してデータをルーティングし続けるべきかどうかを判定することができる。たとえば、メッシュ・ネットワークを介して送信されるデータの一部が、メッシュ・ネットワークの様々なメンバ用である場合があり、他のデータが、アクセス・ゲートウェイ用である場合がある。モバイル・デバイスは、所期の宛先に基づいてこの判定を実行することができる（たとえば、データがアクセス・ゲートウェイ用である場合には、データをルーティングし続け、データがモバイル・デバイスのみのためのものである場合には、データをルーティングし続けず、かつ／またはデータがメッシュ・ネットワークの全メンバ用である場合には、データをルーティングし続ける）。それに加えてまたはその代わりに、モバイル・デバイスは、データの解析に基づいてこの判定を実行することができる。たとえば、解析は、データのタイプを識別することができる（たとえば、電子メール同期化メッセージまたはメール同期化プロセスに関連するなんらかの他のタイプとしてタイプを識別する）。タイプの識別に基づいて、モバイル・デバイスは、データをルーティングし続けるべきかどうかを判定することができる（たとえば、タイプが電子メール同期化メッセージである場合には、データをルーティングし続け、タイプが企業リソースにアクセスする要求である場合には、データをルーティングし続け、タイプがチャット・メッセージである場合には、データをルーティングし続けないなど）。
【０１５８】
さらに、モバイル・デバイスは、メッシュ・ネットワーク内でモバイル・デバイスのために確立されたピアツーピア接続および／またはデータがその上で受信されたピアツーピア接続の個数に基づいてこの判定を実行することができる。たとえば、図９の例示的な配置を使用すると、モバイル・デバイス９０２−Ｂが、ピアツーピア接続９０３を介してデータを受信した場合に、モバイル・デバイス９０２−Ｂは、ピアツーピア接続９０４が確立されていることに基づいてルーティングを続けると判定することができる。さらに、モバイル・デバイス９０２−Ｂは、データの別のコピーが以前にピアツーピア接続９０４を介して受信されたかどうかを判定することができ、データの別のコピーが以前にピアツーピア接続９０４を介して受信された場合には、モバイル・デバイスは、データをルーティングし続けないと判定することができる。別の例として、図７の例示的な配置を使用すると、モバイル・デバイス７０２−Ａが、ピアツーピア接続７０３を介してデータを受信した場合に、モバイル・デバイス７０２−Ａは、他のピアツーピア接続が存在しないと判定することができ、したがって、データをルーティングし続けないと判定することができる。
【０１５９】
メッシュ・ネットワークを介してデータをルーティングし続けると判定する時に、この方法はステップ１１２９に進むことができる。モバイル・デバイスが、メッシュ・ネットワークを介してデータをルーティングし続けないと判定する場合に、この方法は終了することができる。
【０１６０】
ステップ１１２９では、モバイル・デバイスが、メッシュ・ネットワーク内の１つまたは複数の次のホップにデータをルーティングすることができる。このステップは、図１１Ａのステップ１１０３〜１１０９によって表される反復プロセスと同様に実行され得る。たとえば、メッシュ・ネットワーク内の１つまたは複数の次のホップへのデータのルーティングは、モバイル・デバイスに、各次のホップに対応する１つまたは複数のピアツーピア通信を使用してメッシュ・ネットワーク上の１つまたは複数の次のホップにデータを送信させるために、ステップ１１０３〜１１０９によって表される反復プロセスを実行することによって実行され得る。特定の例として、図９の例示的な配置を使用すると、モバイル・デバイス９０２−Ｂが、ピアツーピア接続９０３を介してデータを受信した場合に、モバイル・デバイス９０２−Ｂは、ピアツーピア接続９０６を介してデータを送信することによって、モバイル・デバイス９０２−Ｄにデータをルーティングするために反復プロセスを実行することができる。
【０１６１】
さらに、いくつかの配置では、モバイル・デバイス９０２−Ｂは、モバイル・デバイス９０２−Ｄに暗号化された形でデータをルーティングするために反復プロセスを実行することができる（たとえば、図１１Ａのステップ１１０５に関連して議論したように）。さらに、いくつかの配置で、暗号化された形は、メッシュ・ネットワーク内のピアツーピア接続のそれぞれについて異なるものとすることができる（たとえば、ピアツーピア接続９０３は、ピアツーピア接続９０５とは異なる暗号化鍵／暗号化解除鍵を使用する）。したがって、これらの配置のうちの１つまたは複数では、データは、まず、そのデータがその上で受信されたピアツーピア接続に基づいて暗号化解除され得（たとえば、図１１Ｂのステップ１１２２に関連して議論したように）、そのデータがその上でメッシュ・ネットワーク内の次のホップに送信されるピアツーピア接続に基づいて再暗号化され得る（たとえば、図１１Ａのステップ１１０５に関連して議論したように）。しかし、いくつかの変形形態では、メッシュ・ネットワークは、ピアツーピア接続ごとに同一の暗号化方式を使用することができる。したがって、これらの変形形態のうちの１つまたは複数では、データがピアツーピア接続を介して受信された場合に、データまたはその一部は、暗号化解除され、再暗号化される必要がない可能性がある（たとえば、図１１Ｂのステップ１１２２に関連して議論した暗号化解除が、実行されなくてもよく、図１１Ａのステップ１１０５に関連して議論した暗号化が、実行されなくてもよい）。
【０１６２】
図１１Ｃは、モバイル・デバイスがピアツーピア接続を介して受信したデータを、仮想プライベート・ネットワーク接続を使用してアクセス・ゲートウェイに送信できる、例の方法を示す。いくつかの配置では、図１１Ｃの例の方法は、確立された仮想プライベート・ネットワーク接続を有するデバイス（たとえば、モバイル・デバイス７０２−Ｃ、モバイル・デバイス９０２−Ｃ、および／またはモバイル・デバイス９０２−Ｄ）によって実行され得る。さらに、いくつかの配置で、図１１Ｃの例の方法は、現在選択されている（たとえば、図１０Ａのステップ１０１１によって選択され、または図１０Ｂの例の方法によって判定される変化を介して選択される）確立された仮想プライベート・ネットワーク接続を有するデバイスによって実行され得る。
【０１６３】
ステップ１１４１では、モバイル・デバイスが、メッシュ・ネットワークのピアツーピア接続を介してデータを受信することができる。このステップは、図１１Ｂのステップ１１２１と同様に実行され得る。
【０１６４】
ステップ１１４２では、モバイル・デバイスが、ステップ１１４１で受信されたデータを処理することができる。このステップは、図１１Ｂのステップ１１２２と同様に実行され得る。
【０１６５】
ステップ１１４３では、モバイル・デバイスが、ステップ１１４１で受信され、ステップ１１４２で処理されたデータが、モバイル・デバイス用であるかどうかを判定することができる。このステップは、図１１Ｂのステップ１１２３と同様に実行され得る。
【０１６６】
ステップ１１４５では、モバイル・デバイスが、モバイル・デバイスのマネージド・アプリケーションにデータを供給することができる。このステップは、図１１Ｂの１１３５と同様に実行され得る。
【０１６７】
ステップ１１４７では、モバイル・デバイスが、仮想プライベート・ネットワーク接続を介してデータを送信すべきかどうかを判定することができる。たとえば、メッシュ・ネットワークを介して送信されるデータの一部が、メッシュ・ネットワークの様々なメンバ用である場合があり、他のデータが、アクセス・ゲートウェイ用である場合がある。モバイル・デバイスは、所期の宛先に基づいてこの判定を実行することができる（たとえば、データがアクセス・ゲートウェイ用である場合には、仮想プライベート・ネットワーク接続を介してデータを送信し、データがモバイル・デバイスのみのためのものである場合には、仮想プライベート・ネットワーク接続を介してデータを送信せず、かつ／またはデータがメッシュ・ネットワークのメンバのみのためのものである場合には、仮想プライベート・ネットワーク接続を介してデータを送信しない）。それに加えてまたはその代わりに、モバイル・デバイスは、データの解析に基づいてこの判定を実行することができる。たとえば、解析は、データのタイプを識別することができる（たとえば、電子メール同期化メッセージまたはメール同期化プロセスに関連するなんらかの他のタイプとしてタイプを識別する）。タイプの識別に基づいて、モバイル・デバイスは、仮想プライベート・ネットワーク接続を介してデータを送信すべきかどうかを判定することができる（たとえば、タイプが電子メール同期化メッセージである場合には、仮想プライベート・ネットワーク接続を介してデータを送信せず、タイプが企業リソースにアクセスする要求である場合には、仮想プライベート・ネットワーク接続を介してデータを送信し、タイプがチャット・メッセージである場合には、仮想プライベート・ネットワーク接続を介してデータを送信しないなど）。
【０１６８】
仮想プライベート・ネットワーク接続を介してデータを送信すべきであると判定する時に、この方法はステップ１１４９に進むことができる。モバイル・デバイスが、仮想プライベート・ネットワーク接続を介してデータを送信すべきではないと判定する場合には、この方法は終了することができる。
【０１６９】
ステップ１１４９では、モバイル・デバイスが、仮想プライベート・ネットワーク接続を介してアクセス・ゲートウェイにデータを送信することができる。たとえば、モバイル・デバイスは、仮想プライベート・ネットワーク接続に関連するプロトコルに従うようにデータを処理することができ、かつ／または仮想プライベート・ネットワーク接続によって要求される通りにデータを暗号化することができる。処理された後に、モバイル・デバイスは、データをアクセス・ゲートウェイに送信することができる。受信時に、アクセス・ゲートウェイは、適宜データを処理することができる（たとえば、企業リソース／サービスへのアクセスを可能にするなど）。
【０１７０】
さらに、いくつかの実施形態では、図１１Ｃの例の方法を終了する前に、モバイル・デバイスは、メッシュ・ネットワークのメンバにデータをルーティングし続けるべきかどうかを判定することができる。この判定は、図１１Ｂのステップ１１２７と同様に実行され得る。データをルーティングし続けると判定する時に、モバイル・デバイスは、しかるべくデータをルーティングするために進行することができる（たとえば、図１１Ｂのステップ１１２９と同様にルーティングすることによって）。モバイル・デバイスがデータをルーティングし続けるべきではないと判定する場合には、この方法は終了することができる。代替案では、モバイル・デバイスは、ピアツーピア接続を介してデータを受信する時に、図１１Ｂおよび図１１Ｃの両方の例の方法を実行することができる、各例の方法は、それ自体のスレッド内で実行される。
【０１７１】
図１１Ｄは、モバイル・デバイスが、それが仮想プライベート・ネットワーク接続を介して受信するデータをメッシュ・ネットワークの次のホップにルーティングできる、例の方法を示す。いくつかの配置では、図１１Ｄの例の方法は、確立された仮想プライベート・ネットワーク接続を有するデバイス（たとえば、モバイル・デバイス７０２−Ｃ、モバイル・デバイス９０２−Ｃ、および／またはモバイル・デバイス９０２−Ｄ）によって実行され得る。さらに、いくつかの配置で、図１１Ｄの例の方法は、現在選択されている（たとえば、図１０Ａのステップ１０１１によって選択され、または図１０Ｂの例の方法によって判定される変化を介して選択される）確立された仮想プライベート・ネットワーク接続を有するデバイスによって実行され得る。
【０１７２】
ステップ１１６１では、モバイル・デバイスが、仮想プライベート・ネットワーク接続を介してアクセス・ゲートウェイからデータを受信することができる。いくつかの例で、このデータは、仮想プライベート・ネットワーク接続を介するアクセス・ゲートウェイへの以前のデータ送信に応答するものとすることができる。他の例では、このデータは、アクセス・ゲートウェイによってメッシュ・ネットワークの１つまたは複数のメンバにプッシュされつつあるデータとすることができる。データの受信時に、モバイル・デバイスは、図１１Ｄの残りのステップに進む前にデータを処理することができる（たとえば、仮想プライベート・ネットワークデータ通信からデータを抽出する、データを暗号化解除するなど）。
【０１７３】
ステップ１１６３では、モバイル・デバイスは、データがモバイル・デバイス用であるかどうかを判定することができる。このステップは、図１１Ｂのステップ１１２３と同様に実行され得る。
【０１７４】
ステップ１１６５では、モバイル・デバイスが、モバイル・デバイスのマネージド・アプリケーションにデータを供給することができる。このステップは、図１１Ｂの１１３５と同様に実行され得る。
【０１７５】
ステップ１１６７では、モバイル・デバイスが、メッシュ・ネットワークを介してデータをルーティングすべきかどうかを判定することができる。たとえば、仮想プライベート・ネットワーク接続を介して受信されるデータの一部が、メッシュ・ネットワークの様々なメンバ用である場合があり、他のデータが、モバイル・デバイスのみのためのものである場合がある。モバイル・デバイスは、所期の宛先に基づいてこの判定を実行することができる（たとえば、データが、モバイル・デバイスのみのためのものである場合には、メッシュ・ネットワークを介してデータをルーティングせず、データが、メッシュ・ネットワークのメンバ用である場合には、メッシュ・ネットワークを介してデータをルーティングし、データが、メッシュ・ネットワークの全メンバ用である場合には、メッシュ・ネットワークを介してデータをルーティングする）。それに加えてまたはその代わりに、モバイル・デバイスは、データの解析に基づいてこの判定を実行することができる。たとえば、解析は、データのタイプを識別することができる（たとえば、電子メール・メッセージまたは電子メール・サービスに関連するなんらかの他のタイプとしてタイプを識別する）。タイプの識別に基づいて、モバイル・デバイスは、メッシュ・ネットワークを介してデータをルーティングすべきかどうかを判定することができる（たとえば、タイプが電子メール・メッセージである場合には、メッシュ・ネットワークを介してデータをルーティングするなど）。
【０１７６】
メッシュ・ネットワークを介してデータをルーティングすると判定する時に、この方法はステップ１１６９に進むことができる。モバイル・デバイスが、メッシュ・ネットワークを介してデータをルーティングしないと判定する場合には、この方法は終了することができる。
【０１７７】
ステップ１１６９では、モバイル・デバイスが、メッシュ・ネットワーク内の１つまたは複数の次のホップにデータをルーティングすることができる。このステップは、図１１Ｂのステップ１１２９と同様に実行され得る。特定の例として、図９の例示的な配置を使用すると、モバイル・デバイス９０２−Ｄが、仮想プライベート・ネットワーク接続９１３を介してデータを受信した場合に、モバイル・デバイス９０２−Ｄは、それぞれピアツーピア接続９０６および９０５を介してデータを送信することによって、モバイル・デバイス９０２−Ｂおよび９０２−Ｃにデータをルーティングするために反復プロセスを実行することができる。
【０１７８】
図１２は、メッシュ・ネットワークの確立を示す例のフローと、本明細書で説明される態様に従う企業モビリティ管理システムに関連する様々な機能の実行に関連するメッシュ・ネットワークの使用とを示す図である。具体的には、例のフローは、図７〜図１１Ｄを含む本開示全体で説明される配置および例の方法に従って実行され得る複数の機能を示す。
【０１７９】
図１２に示されているように、３つのモバイル・デバイスすなわちモバイル・デバイス１２０１、１２０３、および１２０５が、お互いからしきい距離以内にある。３つのモバイル・デバイスのそれぞれは、同一のユーザに関連付けられ得る。図１２に示されたデバイスの配置は、図７および図９の例の配置に類似するが、単純さのために、様々なピアツーピア接続および介在するネットワークは、図１２から省略されている。図１２の例で説明される様々なフローを介して、モバイル・デバイス１２０１、１２０３、および１２０５は、メッシュ・ネットワークを確立し、メッシュ・ネットワークのメンバと通信し、アクセス・ゲートウェイ１２０７とメッシュ・ネットワークのメンバのうちの１つとの間で確立された仮想プライベート・ネットワーク接続を介してアクセス・ゲートウェイ１２０と通信することができる可能性がある。図１２に示された様々なフローは、様々なデバイスの間の１つまたは複数の通信を含むことができる、図８、図１０Ａ、図１０Ｂ、および図１１Ａ〜図１１Ｄで議論された例の方法のうちの１つまたは複数の実行をさらに含むことができる。
【０１８０】
フロー１２３１で開始して、モバイル・デバイス１２０５およびアクセス・ゲートウェイ１２０７は、お互いの間で仮想プライベート・ネットワーク接続を確立することができる。仮想プライベート・ネットワーク接続の確立は、セキュリティ証明書およびモバイル・デバイス１２０５を認証するためにアクセス・ゲートウェイによって要求される他のユーザ情報の送信を含むことができる。アクセス・ゲートウェイは、ＳＳＯのために構成された有効な認証トークンをモバイル・デバイス１２０５にさらに供給することができる。フロー１２３１に関連して示された矢印は、仮想プライベート・ネットワーク接続の確立に関連してモバイル・デバイス１２０５とアクセス・ゲートウェイ１２０７との間で交換され得る様々な送信を表すためのものである。
【０１８１】
フロー１２３３では、モバイル・デバイス１２０１、１２０３、および１２０５は、お互いの間でメッシュ・ネットワークを確立することができる。メッシュ・ネットワークの確立は、各デバイスが図８または図１０Ａ（あるいはそのなんらかの変形形態）の例の方法のうちの１つを実行することを含むことができる。たとえば、ユーザは、デバイス１２０１上でメッシュ・ネットワークを確立する試みを開始することができる。デバイス１２０５は、デバイス１２０１および１２０３でユーザが入力しまたは確認しなければならないＰＩＮコード（たとえば、図８のステップ８０１）を表示するように構成され得る。ＰＩＮコードは、デバイス１２０１および１２０３をメッシュ・ネットワークのメンバとして認可することに関連して使用され得る。フロー１２３３に関連して示された矢印は、モバイル・デバイスの間で送信されるはずの（たとえば、ピアツーピア通信および／またはピアツーピア接続を使用して）様々な通信を表すためのものである。
【０１８２】
フロー１２３５では、モバイル・デバイス１２０５は、メッシュ・ネットワーク内の他のメンバのためにＳＳＯを使用可能にするために進行することができる。いくつかの配置では、これは、ＳＳＯのために構成された有効な認証トークンをメッシュ・ネットワークを介してモバイル・デバイス１２０１および１２０３にルーティングすることを含むことができる。たとえば、モバイル・デバイス１２０５は、ＳＳＯのために構成された有効な認証トークンが１つまたは複数のピアツーピア接続を介して送信されるようにするために、図１１Ａの例の方法を実行することができる。モバイル・デバイス１２０３は、ＳＳＯのために構成された有効な認証トークンを受信し、ＳＳＯのために構成された有効な認証トークンを後の使用のために処理し、ＳＳＯのために構成された有効な認証トークンをメッシュ・ネットワークを介して次のホップすなわちモバイル・デバイス１２０１にルーティングするために、図１１Ｂの例の方法を実行することができる。モバイル・デバイス１２０１は、ＳＳＯのために構成された有効な認証トークンを受信し、後の使用のためにこれを処理するために、図１１Ｂの例の方法を実行することができる。フロー１２３５に関連して示された矢印は、モバイル・デバイス１２０１と１２０３との両方がＳＳＯのために構成された有効な認証トークンを受信するようにするために、メッシュ・ネットワークを介して送信されるはずの様々な通信を表すためのものである。
【０１８３】
いくつかの配置では、メッシュ・ネットワーク内の他のメンバのためにＳＳＯを使用可能にするフロー１２３５に基づいて、モバイル・デバイス１２０１および１２０３上のセキュア・コンテナは、モバイル・デバイス１２０５から送信された認証トークンに基づいて、使用のためにアンロックされ得る。たとえば、モバイル・デバイス１２０１および１２０３は、通常はパスワード、ＰＩＮコード、または他のセキュリティ証明書によってアンロックされるセキュア・コンテナを含むことができる。ユーザがパスワード、ＰＩＮコードなどを入力することを要求するのではなく、モバイル・デバイス１２０５から送信された認証トークンが、モバイル・デバイス１２０１および１２０３によって、セキュア・コンテナをアンロックするのに使用され得る。この形で、モバイル・デバイス１２０１および１２０３は、それらのそれぞれのセキュア・コンテナに対してＳＳＯと共に使用可能にされ得る。モバイル・デバイス１２０５から送信された認証トークンは、たとえばマネージド・アプリケーションのためにＳＳＯを使用可能にすることを含む、企業管理フレームワークの様々な他の構成要素のＳＳＯを使用可能にするのに使用され得る。
【０１８４】
フロー１２３７では、モバイル・デバイス１２０３は、アクセス・ゲートウェイ１２０７によって制御され、かつ／または管理される企業リソース１２０９にアクセスすることができる。いくつかの配置では、これは、モバイル・デバイス１２０５が仮想プライベート・ネットワーク接続を介してデータを送信できるようにするために、企業リソース１２０９にアクセスする要求を示すデータをルーティングすることを含むことができる。たとえば、モバイル・デバイス１２０３は、企業リソース１２０９にアクセスする要求を示すデータがピアツーピア接続を介して次のホップすなわちモバイル・デバイス１２０５に送信されるようにするために、図１１Ａの例の方法を実行することができる。いくつかの配置で、データは、ＳＳＯのために構成された有効な認証トークンを含むことができる（たとえば、モバイル・デバイス１２０３が、企業リソース１２０９にアクセスするためにアクセス・ゲートウェイ１２０７と共にシームレス認証を実行できるようにするために）。モバイル・デバイス１２０５は、データがピアツーピア接続を介して受信され、仮想プライベート・ネットワーク接続を介してアクセス・ゲートウェイ１２０７に送信されるようにするために、図１１Ｃの例の方法を実行することができる。受信時に、アクセス・ゲートウェイ１２０７は、ＳＳ０のために構成された有効な認証トークンに基づいて、要求を認証し、企業リソース１２０９への要求されたアクセスを実行することができる。要求されたアクセスは、応答データ（たとえば、モバイル・デバイス１２０５によって要求されている特定のファイル）を生成することができ、応答データが、仮想プライベート・ネットワーク接続を介してモバイル・デバイス１２０５に送信され得る。モバイル・デバイス１２０５は、応答データが仮想プライベート・ネットワーク接続を介して受信され、メッシュ・ネットワークを介して次のホップすなわちモバイル・デバイス１２０３にルーティングされるようにするために、図１１Ｄの例の方法を実行することができる。モバイル・デバイス１２０３は、応答データが受信され、しかるべく処理されるようにするために、図１１Ｂの例の方法を実行することができる。フロー１２３７に関連して示された矢印は、モバイル・デバイス１２０３が企業リソース１２０９に成功裡にアクセスできるようにするために、メッシュ・ネットワークを介し、仮想プライベート・ネットワーク接続を介し、アクセス・ゲートウェイ１２０７と企業リソース１２０９との間で送信される様々な通信を表すためのものである。
【０１８５】
フロー１２３９では、モバイル・デバイス１２０１は、アクセス・ゲートウェイ１２０７によって制御され、かつ／または管理される企業サービス１２１１にアクセスすることができる。いくつかの配置で、これは、モバイル・デバイス１２０５が仮想プライベート・ネットワーク接続を介してデータを送信できるようにするために、企業サービス１２１１にアクセスする要求を示すデータをメッシュ・ネットワークを介してルーティングすることを含むことができる。たとえば、モバイル・デバイス１２０１は、企業サービス１２１１にアクセスする要求を示すデータがピアツーピア接続を介して次のホップすなわちモバイル・デバイス１２０３に送信されるようにするために、図１１Ａの例の方法を実行することができる。いくつかの配置で、データは、ＳＳＯのために構成された有効な認証トークンを含むことができる（たとえば、モバイル・デバイス１２０１が、企業サービス１２１１にアクセスするためにアクセス・ゲートウェイと共にシームレス認証を実行できるようにするために）。モバイル・デバイス１２０３は、データが、ピアツーピア接続を介して受信され、メッシュ・ネットワークを介して次のホップすなわちモバイル・デバイス１２０５に送信されるようにするために、図１１Ｂの例の方法を実行することができる。モバイル・デバイス１２０５は、データが、ピアツーピア接続を介して受信され、仮想プライベート・ネットワーク接続を介してアクセス・ゲートウェイ１２０７に送信されるようにするために、図１１Ｃの例の方法を実行することができる。受信時に、アクセス・ゲートウェイ１２０７は、ＳＳＯのために構成された有効な認証トークンに基づいて、要求を認証し、企業サービス１２１１への要求されたアクセスを実行することができる。要求されたアクセスは、応答データ（たとえば、ファイル共有サービスによって共有されるファイルのリスティング）を生成することができ、応答データは、仮想プライベート・ネットワーク接続を介してモバイル・デバイス１２０５に送信され得る。モバイル・デバイス１２０５は、応答データが仮想プライベート・ネットワーク接続を介して受信され、メッシュ・ネットワークを介して次のホップすなわちモバイル・デバイス１２０３にルーティングされるようにするために、図１１Ｄの例の方法を実行することができる。モバイル・デバイス１２０３は、応答データがピアツーピア接続を介して受信され、メッシュ・ネットワークを介して次のホップすなわちモバイル・デバイス１２０１にルーティングされるようにするために、図１１Ｂの例の方法を実行することができる。モバイル・デバイス１２０１は、応答データが受信され、しかるべく処理されるようにするために、図１１Ｂの例の方法を実行することができる。フロー１２３９に関連して示された矢印は、モバイル・デバイス１２０１が企業サービス１２１１に成功裡にアクセスできるようにするために、メッシュ・ネットワークを介し、仮想プライベート・ネットワーク接続を介し、アクセス・ゲートウェイ１２０７と企業サービス１２１１との間で送信されるはずの様々な通信を表すためのものである。
【０１８６】
フロー１２４１では、モバイル・デバイス１２０３は、そのスクリーンをモバイル・デバイス１２０１と共有することができる。いくつかの配置では、これは、モバイル・デバイス１２０３のスクリーンのグラフィカル・データを準備することと、モバイル・デバイス１２０１がそのグラフィカル・データを表示できるようにするためにメッシュ・ネットワークを介してそのグラフィカル・データをルーティングすることとを含むことができる。たとえば、モバイル・デバイス１２０３は、グラフィカル・データを準備し、そのグラフィカル・データを次のホップすなわちモバイル・デバイス１２０１にルーティングするために、図１１Ａの例の方法を実行することができる。モバイル・デバイス１２０１は、グラフィカル・データを受信し、しかるべく処理するために、図１１Ｂの例の方法を実行することができる。いくつかの配置では、モバイル・デバイス１２０１のユーザは、グラフィカル・データと対話できる可能性がある（たとえば、共有されるスクリーンを介して示されるテキスト文書の諸部分を強調表示する、文書にコピー・アクションを実行する、文書に貼り付けアクションを実行するなど）。そのような配置では、モバイル・デバイス１２０１は、１つまたは複数のユーザ対話を示すデータを準備し、メッシュ・ネットワークを介してそのデータを次のホップすなわちモバイル・デバイス１２０３にルーティングするために、図１１Ａの例の方法を実行することができる。モバイル・デバイス１２０３は、１つまたは複数のユーザ対話を示すデータ受信し、これをしかるべく処理する（たとえば、１つまたは複数のユーザ対話に基づいてスクリーンを操作する）ために、図１１Ｂの例の方法を実行することができる。フロー１２４１に関連して示された矢印は、モバイル・デバイス１２０１が企業サービス１２１１に成功裡にアクセスできるようにするために、メッシュ・ネットワークを介し、仮想プライベート・ネットワーク接続を介し、アクセス・ゲートウェイ１２０７と企業サービス１２１１との間で送信されるはずの様々な通信を表すためのものである。
【０１８７】
フロー１２４３では、アクセス・ゲートウェイ１２０７が、メッシュ・ネットワークの１つまたは複数のメンバにポリシ更新をプッシュすることができる。モバイル・デバイス１２０１、１２０３、および１２０５のそれぞれは、それぞれのモバイル・デバイスのアプリケーション管理フレームワークによって実施されるポリシを記憶することができる。図１２に示されているように、ポリシ更新は、メッシュ・ネットワークのすべてのメンバにプッシュされる。いくつかの配置では、ポリシ更新のプッシュは、アクセス・ゲートウェイ１２０７が、更新されたポリシを判定することと、更新されたポリシを仮想プライベート・ネットワーク接続を介してモバイル・デバイス１２０５に送信することとを含むことができる。モバイル・デバイス１２０５は、更新されたポリシが仮想プライベート・ネットワーク接続を介して受信され、モバイル・デバイス１２０５によって記憶されるポリシを更新するために処理され、メッシュ・ネットワークを介して次のホップすなわちモバイル・デバイス１２０３にルーティングされるようにするために、図１１Ｄの例の方法を実行することができる。モバイル・デバイス１２０３は、更新されたポリシがピアツーピア接続を介して受信され、モバイル・デバイス１２０３によって記憶されるポリシを更新するために処理され、次のホップすなわちモバイル・デバイス１２０１にルーティングされるようにするために、図１１Ｂの例の方法を実行することができる。モバイル・デバイス１２０１は、更新されたポリシが受信され、モバイル・デバイス１２０１によって記憶されるポリシを更新するために処理されるようにするために、図１１Ｂの例の方法を実行することができる。フロー１２４３に関連して示された矢印は、アクセス・ゲートウェイ１２０７がメッシュ・ネットワークの各メンバに更新されたポリシを成功裡にプッシュできるようにするために、メッシュ・ネットワークを介し、仮想プライベート・ネットワーク接続を介して送信されるはずの様々な通信を表すためのものである。
【０１８８】
図１２に関連して説明された上のフローは、本明細書で説明される配置またはその変形形態を使用して実行され得る機能のタイプの少数の例のみを提供する。たとえば、ＳＳＯの使用可能化および／またはデバイスの間でのスクリーンの共有に加えて、モバイル・デバイス１２０１、１２０３、および１２０５は、メッシュ・ネットワークのメンバの間でチャット・メッセージを送信し、メッシュ・ネットワークのメンバにおよびこれらのメンバからファイルをコピーし、メッシュ・ネットワークのメンバの間でファイルまたは他のデータを共有するなどのために、メッシュ・ネットワークを介して通信することができる。別の例として、企業リソース１２０９または１２０１１へのアクセスに加えて、モバイル・デバイス１２０１、１２０３、および１２０５は、マネージド・ブラウジング・アプリケーションに関連してインターネットにアクセスするために、メッシュ・ネットワークを介してアクセス・ゲートウェイ１２０７と通信することができる。
【０１８９】
本主題が、構造的特徴および／または方法論的行為に固有の言葉で説明されたが、添付の特許請求の範囲で定義される本主題が、必ずしも上で説明された特定の特徴または行為に限定されないことを理解されたい。そうではなく、上で説明された特定の特徴および行為は、以下の特許請求の範囲の例の実施態様として説明される。
【０１９０】
関連出願の相互参照
本願は、その全体が参照によってあらゆる目的について本明細書に組み込まれている、２０１７年３月６日に出願した米国特許非仮出願第１５／４５０６５４号、名称「ＶＩＲＴＵＡＬ  ＰＲＩＶＡＴＥ  ＮＥＴＷＯＲＫＩＮＧ  ＢＡＳＥＤ  ＯＮ  ＰＥＥＲ−ＴＯ−ＰＥＥＲ  ＣＯＭＭＵＮＩＣＡＴＩＯＮ」の優先権を主張するものである。
【図１】
0006909863.tif 000002
【図２】
0006909863.tif 000003
【図３】
0006909863.tif 000004
【図４】
0006909863.tif 000005
【図５】
0006909863.tif 000006
【図６】
0006909863.tif 000007
【図７】
0006909863.tif 000008
【図８】
0006909863.tif 000009
【図９】
0006909863.tif 000010
【図１０Ａ】
0006909863.tif 000011
【図１０Ｂ】
0006909863.tif 000012
【図１１Ａ】
0006909863.tif 000013
【図１１Ｂ】
0006909863.tif 000014
【図１１Ｃ】
0006909863.tif 000015
【図１１Ｄ】
0006909863.tif 000016
【図１２】
0006909863.tif 000017