(57)【要約】消費者のデータ、及び電子メール、ドキュメントストレージ、オンラインバンキングのようなコンピューティングサービスを保護するための認証が、広く利用されている。オンライン認証プロバイダーによって使用されている現在の認証モデルは、認証スキームに関する選択肢及び構成を限定している場合がある。従って、本明細書に提供されるように、モデルベース認証スキームが、ポリシー及び／又は認証機構一覧表に基づいて構成され得る。ポリシーは、目標のリソース、ユーザー、ユーザーが属するグループ、目標のリソースと接続するために使用される機器、目標のリソースを所有しているサービスなどを定義し得る。認証機構一覧表は、予め定義された認証機構及び／又はユーザープラグイン認証機構（例えば、ユーザーによって生成された認証機構）を含み得る。一旦、認証スキームが構成されると、それはユーザーからの認証リクエスト時に、強制され得る。目標のリソースの利用パターンに基づいてフィードバックがユーザーに提供され得る。【選択図】図９
2012527703.tif 000002
【特許請求の範囲】
【請求項１】
モデルベース認証スキームを構成するための方法（１００）であって、
認証スキームに関連付けるために、ポリシーと少なくとも１つの認証機構を含む認証機構一覧表と、を受信するステップ（１０４）と、
前記ポリシー及び前記認証機構一覧表に従って前記認証スキームを構成するステップ（１０６）と、を含む方法。
【請求項２】
前記少なくとも１つの認証機構が、
予め定義された認証機構と、
ユーザープラグイン認証機構と、のうち少なくとも１つを含む請求項１記載の方法。
【請求項３】
前記ポリシーが、
ユーザーに関連付けられた１つ以上のリソースへのアクセスを定義するように構成されているユーザーポリシーと、
ユーザーグループに関連付けられた１つ以上のリソースへのアクセスを定義するように構成されているグループポリシーと、
前記１つ以上のリソースと接続するために使用されるモードに基づいて１つ以上のリソースへのアクセスを定義するように構成されている接続モードポリシーと、
１つ以上のサービスリソースへのアクセスを定義するように構成されているサービスポリシーと、のうち少なくとも１つを含んでいることを特徴とする請求項１記載の方法。
【請求項４】
ユーザーからの認証リクエスト時に、前記認証スキームを強制するステップを含む請求項１記載の方法。
【請求項５】
認証スキームの強制に基づいてユーザーアクセスモデルを生成するステップを含む請求項４記載の方法。
【請求項６】
リソースの利用パターンに基づいて前記ユーザーアクセスモデルを更新するステップを含む請求項５記載の方法。
【請求項７】
前記ユーザーアクセスモデルと推奨使用法との比較に基づいて提案された認証スキーム構成を提示するステップを含む請求項５記載の方法。
【請求項８】
モデルベース認証スキームを構成するためのシステムが、
認証構成コンポーネント（２０８）を含んでいて、
認証スキーム（２１０）に関連付けるために、ポリシーと、少なくとも１つの認証機構を含む認証機構一覧表と、を受信し（２０８）、
前記ポリシー及び前記認証機構一覧表に従って前記認証スキーム（２１０）を構成する（２０８）ように構成されているものを特徴とするシステム。
【請求項９】
前記少なくとも１つの認証機構が、
予め定義された認証機構と、
ユーザープラグイン認証機構と、のうち少なくとも１つを含んでいることを特徴とする請求項８記載のシステム。
【請求項１０】
前記ポリシーが、
ユーザーに関連付けられた１つ以上のリソースへのアクセスを定義するように構成されているユーザーポリシーと、
ユーザーグループに関連付けられた１つ以上のリソースへのアクセスを定義するように構成されているグループポリシーと、
前記１つ以上のリソースに接続するために使用されるモードに基づいて、１つ以上のリソースへのアクセスを定義するように構成されている接続モードポリシーと、
１つ以上のサービスリソースへのアクセスを定義するように構成されているサービスポリシーと、のうち少なくとも１つを含んでいることを特徴とする請求項８記載の方法。
【請求項１１】
ユーザーからの認証リクエスト時に、前記認証スキームを強制するように構成されている認証強制コンポーネントを含む請求項８記載のシステム。
【請求項１２】
認証スキームの強制に基づいてユーザーアクセスモデルを生成するように構成されている監視コンポーネントを含む請求項１１記載のシステム。
【請求項１３】
前記監視コンポーネントが、リソースの利用パターンに基づいて前記ユーザーアクセスモデルを更新するように構成されていることを特徴とする請求項１２記載のシステム。
【請求項１４】
前記監視コンポーネントが、前記ユーザーアクセスモデルと推奨使用法との比較に基づいて提案された認証スキーム構成を提示するように構成されていることを特徴とする請求項１２記載のシステム。
【請求項１５】
認証スキーム構成インターフェースを提示するように構成されている前記認証構成コンポーネントが、利用可能な一組の認証機構及び構成可能な１つ以上のポリシーを含んでいることを特徴とする請求項８記載のシステム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、オンライン認証システムに関し、具体的には認証モデルに関する。
【背景技術】
【０００２】
[0001]多くのコンピューティングサービス（例えば、電子メール、ドキュメントストレージ、ソーシャルネットワーキング、オンラインバンキング、企業ネットワークアクセス、ブログサービスなど）は、セキュリティのための認証機構を利用している。オンライン認証プロバイダーが、様々なセキュリティ要件とともに、コンピューティングサービス及びユーザーによって消費される認証スキームを提供し得る。残念ながらユーザーは、認証機構タイプを、これらの計算機資源にアクセスするために使用される認証スキームの範囲内で構成するための能力を有し得ない。例えば、ソーシャルネットワーキングサービスは、チャレンジ・レスポンスの質問と一緒に、ユーザー名及びパスワードを含む認証スキームをユーザーに提供し得る。例えば、オンライン認証プロバイダーが、ソーシャルネットワーキングサービス用の設定認証スキームを有している場合、ユーザーは、認証スキームの範囲内で使用される認証機構の追加（例えばデバイスＩＤ追加）及び／又は削除など、認証スキームをカスタマイズする能力を有し得ず、プロバイダータイプに基づいて悪化され得る不満足なユーザー体験を提供され得る。すなわち、認証を達成する方法に関する本質的格差が、異なるタイプのプロバイダー間に存在し得る。例えば、大規模オンライン識別サービスプロバイダーが様々なセキュリティ要件を、サービス及び消費者によって消費される認証サービスに提供し得ることに対し、例えば銀行は、比較的に固定的、かつ、より均質なユーザーベースのセキュリティ要件を有し得る。したがって、認証の必要性及び／又はアプリケーションの多様性を考えると、比較的静的で柔軟性がない認証スキームでは決して満足できないことが判明し得る。
【発明の概要】
【発明が解決しようとする課題】
【０００３】
本発明の目的は、利用者自身が構成可能な認証スキームに関する方法及びシステムを提供することである。
【課題を解決するための手段】
【０００４】
[0002]この「課題を解決するための手段」は、更に「発明を実施するための形態」に後述される概念のいくつかを簡易形式で紹介するために提供される。この「課題を解決するための手段」は、請求項記載対象の主要因も本質的な特徴も特定することを意図されておらず、請求項記載対象の範囲を限定するために使用されることも意図されていない。
【０００５】
[0003]本明細書において提供されるオンライン認証プロバイダーは、例えば、構成可能な認証スキームを介し、消費者に分かりやすい方法で多くの多様性のある（例えば、個人ユーザー、ユーザーグループ、大企業、計算機サービスプロバイダーなど）消費者ベースの様々な認証機構を提供し得、かくして、異なる必要性を有する異なるオンライン認証に対し、柔軟性を提供している。従って、特にモデルベース認証スキームを構成するための技法が開示される。ポリシー及び／又は少なくとも１つの認証機構を含む認証機構一覧表が、認証スキームを関連付けるために受信され得る。認証機構は、例えば、１つ以上の予め定義された認証機構（例えば、既に利用可能なオンライン認証プロバイダーからの認証機構）、及び／又は１つ以上のユーザープラグイン認証機構（例えば、ユーザーによって生成され登録される、オンライン認証プロバイダーからはまだ利用可能でない認証機構）を含み得る。秘密鍵／公開鍵ペアとして示され得る認証機構（例えば、ユーザー名及びパスワード認証、デバイスＩＤ認証など）が、例えば、認証技術として解釈されることを十分に理解されよう。別の例において、実際の認証用技法（例えばソースコード）は、リモート（例えば、リモートユーザーデスクトップ上）に常駐し得、それによって認証機構が、実際の技法にアクセスし実行するための方法を提供する。
【０００６】
[0004]ポリシーは、例えば、ユーザーポリシー（例えば、ユーザーリソースにアクセスするための認証）、グループポリシー（例えば、グループリソースにアクセスするための認証）、接続モードポリシー（例えば、認証に使用される機器タイプに基づく認証）、サービスポリシー（例えば、ユーザーがサービスリソースにアクセスするための認証）などを含み得る。ポリシーは、例えば１つ以上の認証機構がどのように強制され得るか（例えば、誰が認証され得るか、どの認証機構が使用され得るか、どのリソースがアクセスされ得るかなど）を定義している認証構成として解釈されることが十分に理解されよう。認証スキームは、ポリシー及び／又は認証機構一覧表に従って構成され得る。
【０００７】
[0005]認証スキームは、ユーザーから認証リクエストを受信した時に、強制され得る。例えば、認証スキームの範囲内で定義されている１つ以上の認証機構が、ユーザーを認証するための認証リクエスト時に、認証スキームの範囲内で構成されているポリシーに基づいて実行され得る。認証機構障害発生時に、（例えば、ユーザーがデバイスＩＤを有していない場合、代わりにユーザーが使い捨て（ワンタイム）パスワードを使用し認証する）代替認証機構が実行され得る認証スキームが構成されることを十分に理解されよう。
【０００８】
[0006]認証スキームが（例えば、誰が認証されるか、それらがどのように認証されるか、及びどのリソースがポリシーによって指定されるようにアクセスされ得るか定義している）セキュリティ構成として解釈され得、例えば、特定のコンピューティングサービス及び／又はユーザーに構成可能なセキュリティ解決方法を提供するオンラインサービスプロバイダーによって利用され得ることを十分に理解されよう。例えば、ソーシャルネットワーキングウェブサービスは、ソーシャルネットワーキングウェブサービスユーザーが、オンライン認証プロバイダーを介し認証される方法を定義する認証スキームを構成し得る。オンライン認証プロバイダーは、認証スキームを強制することによってユーザーを認証し得る。すなわち、ユーザーが、オンライン認証プロバイダーを介する認証を試みるとき、認証スキームの範囲内で構成される１つ以上の認証機構が、ソーシャルネットワーキングウェブサイトによって構成されるポリシーに基づいて実行され得る。
【０００９】
[0007]ユーザーアクセスモデルは、認証スキームの強制に基づいて生成され得る。例えば、ユーザーアクセスモデルは、利用パターン（例えば、ユーザーがリソースにアクセスする頻度、リソースを介し実行される作業など）に基づいて生成及び／又は更新され得る。ユーザーアクセスモデルは、推奨使用法（例えば、特定のリソースに対する典型的セキュリティ）と比較され得、提案された認証を提示する。一例において、頻繁にアクセスされるバンキングデータに対する典型的セキュリティと比較すると、ユーザーが、頻繁にアクセスされるバンキングデータに対し低いセキュリティ認証スキームを有していることが決定され得る。ユーザーは、高いセキュリティ認証スキームを含んでいる提案された認証スキームを提示され得る。別の例において、ユーザーは、私的な電子メールに対し高セキュリティ認証スキームを有し得、そこでは推奨セキュリティは、低セキュリティ認証スキームであり得る。
【００１０】
[0008]ユーザーアクセスモデルが、例えば、ユーザーに関連付けられたサービスの集合及びサービスそれぞれの利用形態によって、定義され得ることを十分に理解されよう。例えば、用意された通信サービスを必要としないか又はこれらのサービスの低利用を示している低認証段階と比較して、対応するユーザーが電子メール及びインスタントメッセージングサービスを積極的に使用しているという理由でユーザーアクセスモデルは、高認証段階としてラベル付けされ得る。高認証段階に相当するユーザーが、認証スキームの範囲内で強力な認証ポリシーを用いてこれらの高認証を確保することは有利であり得る。
【００１１】
[0009]以下の記述及び添付図面は、上記及び関連する目的を達成するための例示的態様及び実装のいくつかを詳細に説明している。これらは、１つ以上の態様において様々な方法が使用され得ることのほんのいくつかの指標であり得る。本開示の別の態様、利点、及び新規的特性が、添付図面に関連し考慮されるときに以下の詳細な記述から明白になるであろう。
【図面の簡単な説明】
【００１２】
【図１】[0010]モデルベース認証スキームの構成に関する例示的方法を示す流れ図である。
【図２】[0011]モデルベース認証スキームを構成するための例示的システムを示すコンポーネントのブロック図である。
【図３】[0012]モデルベース認証スキームを強制するための例示的システムを示すコンポーネントのブロック図である。
【図４】[0013]認証スキーム構成インターフェースに関する例の例示である。
【図５】[0014]モデルベース認証スキーム構成に関する例の例示である。
【図６】[0015]モデルベース認証スキーム構成に関する例の例示である。
【図７】[0016]認証スキームの強制及び提案された認証スキーム構成の提示に関する例の例示である。
【図８】[0017]本明細書に詳細を説明している１つ以上の条件を具体化するために構成される、プロセッサー実行可能命令が含まれ得る例示的計算機可読媒体の例示である。
【図９】[0018]本明細書に詳細を説明している１つ以上の条件が実装され得る例示的計算環境を示している。
【発明を実施するための形態】
【００１３】
[0019]ここでは、請求項記載対象が図面を参照し記述されていて、同一の参照番号が同様の要素を参照するために使用されている。以下の記述において、説明用に特定の多くの詳細が、請求項記載対象の徹底的理解を提供するために詳細に説明されている。しかしながら、請求項記載対象が、これら特定の詳細を必要とせずに実践されることは明白であり得る。別の例において、請求項記載対象を記述することを容易にするための構造及び機器がブロック図の形式で例示されている。
【００１４】
[0020]現在、（例えば、ドキュメントストレージ、電子メール、作業用ファイルなど）多くのコンピューティングサービスは、利用可能な構成をほとんど有していない設定済認証スキーム（例えば、予め定義された認証機構）が、オンライン認証プロバイダーによって与えられている。一例において、オンラインバンキングウェブサイトは、認証用のユーザー名及びパスワード機構をユーザーに提供しているオンライン認証プロバイダーを利用し得る。残念なことに、ユーザー及びオンラインバンキングウェブサイトは、設定済認証スキームを構成することは不可能であり得る（例えば、ユーザーは、認証機構をユーザー名及びパスワードからスマートカードへ変更不可能であり得る）。オンライン認証プロバイダーが、柔軟な認証スキームを提供することは好都合であり得、ユーザー及び／又はコンピューティングサービスは、オープンモデルアプローチを介しセキュリティ機構を定義し得る。こうして、特定のクライアント（例えば、中小企業、個人ユーザー、大企業など）は、リソースにアクセスするためにクライアント自身の認証スキームをカスタマイズし得る。
【００１５】
[0021]特に、モデルベース認証スキームを構成するための技法が本明細書に提供される。認証スキームは、予め定義された認証機構及び／又はユーザープラグイン認証機構に基づき得る。すなわち、ユーザーは、予め定義された認証機構としてまだ利用不可能なユーザープラグイン認証機構を用いて認証スキームを構成し得、その結果、利用可能な認証機構の一覧表を拡張する。
【００１６】
[0022]認証スキームは、ポリシーに基づいても構成され得る。ポリシーが特定の規準に基づいて更なる認証スキームを構成可能にする。例えば、細かいところまで配慮された規準が、特定のリソース（例えば、公開計算機と比較して業務用計算機）にアクセスするために使用される機器タイプ、アクセスされるリソース（例えば、慎重に扱うべき作業用ファイルと比較される電子メール）、ユーザーが属し得るグループ（例えばグループリソース）、及び／又は認証されるユーザータイプ（例えば、業務用計算機を介しログインしている従業員と比較されるリモート認証される販売員）を考慮に入れ得る。一旦構成されると、認証スキームが、認証リクエスト時に、強制される。
【００１７】
[0023]認証スキームの強制及び／又はリソース用法パターンが、ユーザーアクセスをモデル化するために利用され得る。ユーザーアクセスが、ユーザーにフィードバックを提供するために、推奨使用法と比較され得る。例えば、認証スキームのセキュリティを上げる提案又は下げる提案（例えば、ユーザーのセキュリティが、高い利用頻度に基づく推奨セキュリティよりも低いこと）が、ユーザーに提供され得る。
【００１８】
[0024]モデルベース認証スキーム構成に関する一実施形態が、図１の例示的方法（１００）によって示されている。（１０２）において、本方法が始まる。（１０４）において、認証スキームと関連付けられるために、ポリシー及び／又は少なくとも１つの認証機構を含む認証機構一覧表が、受信され得る。少なくとも１つの認証機構は、１つ以上の予め定義された認証機構及び／又は１つ以上のユーザープラグイン認証機構を含み得る。
【００１９】
[0025]認証スキームは、多段階認証モデルに相当し得る。認証機構一覧表は、複数のセキュリティ段階と関連付けられた複数の認証機構を含み得る。例えば、認証機構一覧表は、第１のセキュリティ段階に相当する第１の認証機構（例えば、ユーザー名及びパスワード）と、第２のセキュリティ段階に相当する第２の認証機構（例えば、デバイスＩＤ、スマートカード、ワンタイムパスワード、チャレンジ・レスポンス、ＩＰスプーフィング認証など）と、を含み得る。１つ以上の認証機構がセキュリティ段階と関連付けられ得、１つ以上のセキュリティ段階が、認証スキームの範囲内で構成されることを十分に理解されよう。
【００２０】
[0026]ポリシーは、ユーザーリソースへのアクセスを定義しているユーザーポリシー、グループリソースへのアクセスを定義しているグループポリシー、リソースに接続するために使用される（例えば、携帯電話、業務用計算機、公開計算機などの）モードに基づいてリソースへのアクセスを定義している接続モードポリシー、及び／又はサービスリソースへのアクセスを定義している（例えば、従業員及び銀行の顧客用の認証を定義している銀行の）サービスポリシーを含み得る。
【００２１】
[0027]一例において、ポリシー及び／又は認証機構一覧表が、インターフェース（例えば、オンラインサービス）を介し受信され得、その範囲内でユーザーが参加され得る。ユーザーには、初めに１つ以上の予め定義された認証機構が提示され得る。ユーザーは、１つ以上のユーザープラグイン認証機構（例えば、ユーザー、クライアントのマシン上にインストールされる認証機構などによって生成される特定の生体認証機構）を登録することによって利用可能な認証機構を拡張し得る。認証スキームが強制されるとき、ユーザープラグイン認証機構が、例えば、認証用にクライアントマシン上に呼び出され得る。これによってユーザーは、認証スキームに組み込まれ得るユーザー自身の認証機構を提供することが可能になる。
【００２２】
[0028]（１０６）において、ポリシー及び／又は認証機構一覧表に従う認証スキームが構成され得る。一例において、認証スキームが、ユーザーの私的リソース（例えば、私的な電子メール、パソコンのファイルなど）にアクセスするための認証リクエスト時に、強制され得る特定のユーザープラグイン認証機構を定義しているユーザーポリシーを用いて構成され得る。別の例において、（例えば銀行）サービスは、従業員用の認証機構（例えば、デバイスＩＤ及び／又はスマートカード）、及び銀行の顧客用認証機構（例えば、ユーザー名及びパスワード、及び／又はチャレンジ・レスポンス）を定義しているサービスポリシーを定義し得る。更に、別の例において、企業は、接続モードポリシーを定義し得、デバイスＩＤが業務用計算機において従業員の認証用に使用され、ワンタイムパスワードが公開計算機において従業員の認証用に使用される。
【００２３】
[0029]認証スキームは、ユーザーからの認証リクエスト時に、強制され得る。すなわち、認証スキームの範囲内で定義されている１つ以上の認証機構（例えば、第１の認証機構、第２の認証機構、第３の認証機構など）が、認証リクエスト時に、実行され得る。代替の認証機構が指定され得ることを十分に理解され得よう。例えば、認証スキーム範囲内の第２のセキュリティ段階によってユーザーは、異なる１つ以上の認証機構を介し認証可能になり得る。
【００２４】
[0030]ユーザーアクセスモデルは、認証スキームの強制に基づいて生成され得る。例えば、ユーザーアクセスモデルは、リソースタイプ、アクセス頻度、使用される認証タイプ、及び／又は認証スキームの強制に関する別の情報に関連する情報を含み得る。ユーザーアクセスモデルは、リソースの用法パターンに基づいて更新され得る。ユーザーアクセスモデルは、提案された認証スキームをユーザーに提示するために、推奨使用法と比較され得る。例えば、提案された認証スキームは、ユーザーが普通の認証スキームよりも低いものを有していることを示し得る。（１０８）において、本方法は終了する。
【００２５】
[0031]図２は、モデルベース認証スキームを構成するように構成されているシステム例（２００）を示している。本システムは、認証構成コンポーネント（２０８）を含み得る。認証構成コンポーネント（２０８）は、ユーザー（２０２）が利用可能な一連の認証機構及び／又は構成可能な１つ以上のポリシーを含む認証スキーム構成インターフェース（２０４）を提示するように構成され得る。認証構成インターフェース（２０４）によってユーザー（２０２）は、１つ以上のユーザープラグイン認証機構を登録可能になり得る。
【００２６】
[0032]認証構成インターフェース（２０４）によってユーザー（２０２）は、ポリシー及び認証機構一覧表（２０６）を生成可能になり得る。ポリシー及び認証機構一覧表（２０６）は、ポリシー（例えば、ユーザーポリシー、グループポリシー、接続モードポリシー、サービスポリシーなど）及び／又は認証機構一覧表を含み得る。認証機構一覧表は、認証スキーム（２１０）に関連付けられた予め定義された認証機構及び／又はユーザープラグイン認証機構を含み得る。例えば、認証機構一覧表は、デバイスＩＤ、スマートカード、ワンタイムパスワード、チャレンジ・レスポンス、ＩＰスプーフィング、生体認証などを含み得る。１つ以上の認証機構が、１つ以上のセキュリティ段階（例えば、多段階認証モデル内の段階）と関連付けられることを十分に理解されよう。
【００２７】
[0033]認証構成コンポーネント（２０８）が、ポリシー及び認証機構一覧表（２０６）を受信し得、それを用いて認証構成コンポーネント（２０８）が、認証スキーム（２１０）を構成するように構成され得る。認証スキーム（２１０）は、認証スキーム（２１０）が関連付けられたリソース（例えばリソース（２１２））にアクセスするためのユーザー（２０２）からの認証リクエスト時に、強制され得る。
【００２８】
[0034]図３は、モデルベース認証スキームを強制するために構成されたシステム例（３００）を示している。本システムは、認証コンポーネント（３０６）及び／又は監視コンポーネント（３１２）を含み得る。認証コンポーネント（３０６）は、ユーザー（３０２）からの認証リクエスト（３０４）を受信するように構成され得る。認証リクエスト（３０４）は、例えば、リソース（３１０）へアクセスするためのユーザー（３０２）を認証するように使用され得る。認証強制コンポーネント（３０６）は、認証リクエスト（３０４）時に、認証スキーム（３０８）を強制するように構成される。例えば、認証強制コンポーネント（３０６）は、認証スキーム（３０８）の範囲内で構成された１つ以上の認証機構を実行し得る。
【００２９】
[0035]監視コンポーネント（３１２）は、認証スキームの強制に基づくユーザーアクセスモデル（３１４）を生成するように構成され得る。監視コンポーネント（３１２）は、リソース用法パターンに基づいてユーザーアクセスモデル（３１４）を更新し得る。例えば、ユーザー（３０２）がどのくらいの頻度でリソース（３１０）にアクセスするか（例えば、ユーザー（３０２）がどのくらいの頻度でそれらの電子メールにアクセスするか）、リソースを介し実行される作業タイプ（例えば、いくつの電子メールが電子メールアカウントを介し送信されているか）、セキュリティレベルなどが。認証スキームによって提供される。監視コンポーネント（３１２）は、ユーザーアクセスモデル（３１４）と推奨使用法（例えば、リソース（３１０）の特性に基づく推奨セキュリティレベル、リソース（３１０）が使用される頻度数など）との比較に基づいて、提案された認証スキーム構成（３１６）をユーザー（３０２）に提示し得る。
【００３０】
[0036]図４は、認証スキーム構成インターフェースの例（４００）を示している。利用可能な一連の認証機構（４１２）及び構成可能な１つ以上のポリシー（４０４）を含む認証スキーム構成インターフェース（４０２）が提示され得る。利用可能な一連の認証機構（４１２）は、予め定義された認証機構（例えば、ユーザー名及びパスワード（４１６）、デバイスＩＤ（４２０）、ワンタイムパスワード（４２４））、及び／又はユーザープラグイン認証機構（例えばチャレンジ・レスポンス（４２８））を含み得る。認証スキーム構成インターフェース（４０２）は、ユーザーが、特定のセキュリティ段階を利用可能な認証機構に指定することを可能にし得るセキュリティ段階（４１４）を含み得る。
【００３１】
[0037]認証スキーム構成インターフェース（４０２）は、認証スキームを構成するための能力をユーザーに提供し得る。例えば、ユーザーは、認証機構一覧表を生成するために、１つ以上の認証機構を選択し得、認証スキーム構成インターフェース（４０２）内の１つ以上のポリシーを選択し得る。
【００３２】
[0038]認証スキーム構成インターフェース（４０２）によってユーザーは、ユーザープラグイン認証機構（例えばユーザープラグイン認証機構登録ボタン（４１０））の登録も可能になり得る。例えば、ユーザーは、チャレンジ・レスポンス（４２８）（例えばユーザープラグイン認証機構）を認証スキーム構成インターフェース（４０２）に登録するためのユーザープラグイン認証機構登録ボタン（４１０）を呼び出し得る。一旦、登録されると、認証スキーム構成用に選択するためのチャレンジ・レスポンス（４２８）が利用可能であり得る。
【００３３】
[0039]一例において、構成可能な１つ以上のポリシー（４０４）範囲内の私的な電子メールリソース（４０６）と関連付けられるユーザーポリシー（４０８）が、例えば、ユーザーによって指定され得る。すなわち、ユーザーポリシー（４０８）に基づいて構成される認証スキームが、私的な電子メールリソース（４０６）と関連付けられ得、認証スキームが、認証リクエスト時に、強制され得、私的な電子メールリソース（４０６）をアクセスし得る。利用可能な認証機構（４１２）範囲内においてユーザー名及びパスワード（４１６）が、段階（１）（４１８）のセキュリティ段階として指定され、チャレンジ・レスポンス（４２８）が、段階（２）（４３０）のセキュリティ段階として指定される。利用可能な１つ以上の認証機構が、認証スキームの範囲内で構成されるために選択され得ず、したがってセキュリティ段階（４１４）は、非適用（例えば、非適用（４２２）及び非適用（４２６））を含み得、セキュリティ段階が、利用可能な特定の認証機構に適用可能でないことを示していることを十分に理解されよう。
【００３４】
[0040]ユーザーポリシー（４０８）及び選択された利用可能な１つ以上の認証機構を含む認証機構一覧表が受信され得る。選択された利用可能な１つ以上の認証機構は、対応するセキュリティ段階を含み得る。認証スキームは、ユーザーポリシー（４０８）及び認証機構一覧表に基づいて構成され得る。
【００３５】
[0041]図５は、モデルベース認証スキームの構成例（５００）を示している。ポリシー（５０２）及び認証機構一覧表（５０４）が、認証構成コンポーネント（５０６）によって受信され得る。一例において、認証構成コンポーネント（５０６）が、ユーザーインターフェース（例えば、図４の（４０２）によって例示される認証スキーム構成インターフェース）のような様々な技法を介し実装され得、ポリシー（５０２）及び認証機構一覧表（５０４）が、ユーザーインターフェース内のユーザー入力に応答し、受信され得ることを十分に理解されよう。ポリシー（５０２）の範囲内でグループポリシー及び接続モードポリシーが指定され得る。グループポリシーは、プロジェクトグループのフォルダーリソースと関連付けられ得る。接続モードポリシーは、ローカルネットワーク装置（例えば業務用計算機）を介するユーザー認証が、段階（１）のセキュリティ段階を使用し認証することと、リモート装置（例えば公開計算機）を介するユーザー認証が、段階（１）及び段階（２）のセキュリティ段階を使用し認証することと、を指定し得る。
【００３６】
[0042]認証機構一覧表（５０４）は、認証スキーム（５０８）と関連付けるために１つ以上の認証機構を指定し得る。例えば、デバイスＩＤが、段階（１）のセキュリティ段階として指定され得、ワンタイムパスワード及び／又はスマートカードが、段階（２）のセキュリティ段階として指定され得る（例えば、ユーザーは、ワンタイムパスワード又はスマートカードどちらか一方を使用し認証し得る）。認証構成コンポーネント（５０６）は、ポリシー（５０２）及び認証機構一覧表（５０４）に基づく認証スキーム（５０８）を構成し得る。例えば、認証機構一覧表（５０４）内の認証機構が、ユーザー（例えば、グループポリシーと関連付けられたグループに属するユーザー）を認証するために呼び出され得、プロジェクトグループフォルダーのリソースへのアクセスを試み得る。認証スキーム（５０８）は、例えば、オンライン認証プロバイダーを介し実装され得る。
【００３７】
[0043]図６は、モデルベース認証スキームの構成例（６００）を示している。ポリシー（６０２）及び認証機構一覧表（６０４）は、認証構成コンポーネント（６０６）によって受信され得る。ポリシー（６０２）範囲内のサービスポリシーが指定され得る。サービスポリシーが、ユーザーの銀行口座データリソースと関連付けられ得る。一例において、サービスポリシーは、銀行によって構成され得、サービスポリシーは、銀行の顧客が銀行リソースにアクセスするために、どのように認証するか指定している。認証機構一覧表（６０４）は、認証スキーム（６０８）と関係付けるための１つ以上の認証機構を指定し得る。例えば、ユーザー名及びパスワードが、段階（１）のセキュリティ段階として指定され得、チャレンジ・レスポンスが、段階（２）セキュリティ段階として指定され得る。
【００３８】
[0044]認証構成コンポーネント（６０６）は、ポリシー（６０２）及び認証機構一覧表（６０４）に基づく認証スキーム（６０８）を構成し得る。例えば、認証機構一覧表（６０４）内で指定されている認証機構が、ユーザー（例えば銀行のユーザー）を認証するために呼び出され得、ユーザー銀行口座データリソースへのアクセスを試み得る。認証スキーム（６０８）は、例えば、オンライン認証プロバイダーを介し実装され得る。
【００３９】
[0045]図７は、認証スキームを強制し、提案された認証スキーム構成を提示する例（７００）を示している。ユーザー（７０２）は、携帯電話（７０６）を介しユーザー名（７０４）を提供することによる（例えば、オンライン共有フォルダー（７１４）へのアクセスを認証するための認証リクエスト（７０８）を送信し）認証を試み得る。認証強制コンポーネント（７１０）が、認証リクエスト（７０８）を受信し得る。認証強制コンポーネント（７１０）が、オンライン共有フォルダー（７１４）と関連付けられた認証スキーム（７１２）を強制し得る。例えば、認証スキーム（７１２）は、ユーザー名（７０４）に対し実行されるユーザー名認証機構（例えば、段階（１）のセキュリティ段階）を用いて構成され得、オンライン共有フォルダー（７１４）にアクセスするユーザー（７０２）を認証し得る。
【００４０】
[0046]監視コンポーネント（７１６）は、認証スキーム（７１２）の強制に基づくユーザーアクセスモデル（７１８）を生成するように構成され得る。例えば、ユーザーアクセスモデル（７１８）は、認証機構のユーザー名、オンライン共有フォルダー（７１４）の特性、オンライン共有フォルダー（７１４）に対する利用パターンに関する情報などを含み得る。監視コンポーネント（７１６）は、リソース用法パターン（例えば、ユーザーがどのくらいの頻度でオンライン共有フォルダー（７１４）にアクセスし、どの活動がオンライン共有フォルダー（７１４）に関連し実行されるかなど）に基づいてユーザーアクセスモデル（７１８）を更新し得る。監視コンポーネント（７１６）は、提案された認証スキーム構成（７２０）を生成するために、ユーザーアクセスモデル（７１８）を推奨使用法（例えば、オンライン共有フォルダーに対する典型的セキュリティ、オンライン共有フォルダーへのアクセス頻度及びその利用法に基づくセキュリティなど）と比較し得る。例えば、監視コンポーネント（７１６）がデバイスＩＤなどの高セキュリティレベルを決定し得るか、又はオンライン共有フォルダーに対するワンタイムパスワードが推奨される。監視コンポーネント（７１６）は、提案された認証スキーム構成（７２０）を表示し得、デバイスＩＤ及び／又はワンタイムパスワードなど、増大されたセキュリティ構成に再構成される認証スキーム（７１２）をユーザー（７０２）に提案し得る。
【００４１】
[0047]更に、別の実施形態は、本明細書に提示される１つ以上の技法を実装するように構成されるプロセッサー実行可能命令を含む計算機可読媒体を含む。これらの方法で発明され得る例示的計算機可読媒体は、図８に例示されていて、実装（８００）には、計算機可読媒体（８１６）（例えば、ＣＤ−Ｒ、ＤＶＤ−Ｒ、又はハードディスクドライブの円盤状記録媒体）を含んでいて、その上に符号化された計算機可読データ（８１４）が存在している。この計算機可読データ（８１４）は、更に、本明細書に詳細に説明される１つ以上の原理に従って作動するように構成にされる一連の計算機命令（８１２）を含む。そのような一実施形態（８００）において、プロセッサー実行可能命令（８１２）は、例えば、図１の例示的方法（１００）のような方法（８１０）を実行するように構成され得る。別の上記実施形態において、プロセッサー実行可能命令（８１２）は、例えば、図２の例示的システム（２００）及び図３の例示的システム（３００）のようなシステムを実装するように構成され得る。上記の本明細書に提示される技法に従って作動するように構成される計算機可読媒体の多くは当業者によって発明され得る。
【００４２】
[0048]対象項目は、構造的機能及び／又は方法論的動作に対し特定の言語で記述されているが、添付の請求項に定義されている対象項目が、必ずしも前述した特定の機能又は動作に限定されないことを理解されよう。もっと具体的に言うと、前述した特定の機能及び動作は、本請求項の実装形式の例として開示されている。
【００４３】
[0049]この出願において使用されている用語「コンポーネント」、「モジュール」、「システム」、「インターフェース」などは、一般に、計算機に関連するエンティティ、ハードウェア、ハードウェアとソフトウェアとの組み合わせ、ソフトウェア、又は実行中のソフトウェアを参照するように意図されている。例えば、コンポーネントは、プロセッサー上で実行するプロセス、プロセッサー、オブジェクト、実行可能オブジェクト、実行スレッド、プログラム、及び／又は計算機があり得るが、これらに限定しない。実例として、コントローラー上で実行するアプリケーション及びコントローラーの双方はコンポーネントであり得る。１つ以上のコンポーネントが、プロセス及び／又は実行スレッド内部に常駐し得、コンポーネントが、１つの計算機上で局所化され得、及び／又は２つ以上の計算機の間に分散され得る。
【００４４】
[0050]更に、請求項記載対象は、開示される対象項目を実装するための計算機を制御するためのソフトウェア、ファームウェア、ハードウェア、又はその任意の組み合わせを製造する標準プログラミング及び／又はエンジニアリング技法を使用する方法、機器、又は製品として実装され得る。本明細書において使用される用語「製品」は、任意の計算機可読装置、搬送装置、又は媒体からアクセス可能な計算機プログラムを包含するように意図されている。当然のこととして、当業者は、請求項記載対象の範囲又は趣旨から逸脱しない多くの修正がこの構成に対し、実行され得ることを認めよう。
【００４５】
[0051]図９及び以下の論述は、本明細書に詳細に説明される１つ以上の条件の実施形態を実装するための手短で一般的な適切な計算環境の記述を提供している。図９の動作環境は、適切な動作環境の一例に過ぎず、利用範囲又は動作環境の機能性に関し、どんな限定も提示することを意図していない。計算装置の例は、パーソナルコンピューター、サーバーコンピューター、携帯装置又はラップトップ装置、（携帯電話、個人情報端末（ＰＤＡ）、メディアプレーヤーなどのような）携帯装置、マルチプロセッサーシステム、家庭用電化製品、ミニコンピューター、メインフレームコンピューター、上記システム又は装置のいずれかを含む分散計算環境など、を含むがこれらに限定しない。
【００４６】
[0052]必要とされないが、実施形態は、１つ以上の計算装置によって実行される一般的「計算機可読命令」の文脈で記述されている。計算機可読命令が、（以下論述される）計算機可読媒体を介し分散され得る。計算機可読命令は、特定のタスク又は特定の抽象データ型を実行する機能、オブジェクト、アプリケーション・プログラッミング・インターフェース（ＡＰＩ）、データ構造などのようなプログラムモジュールとして実装され得る。典型的に、計算機可読命令の機能性は、様々な環境において、所望されるように組み合わせ又は分散され得る。
【００４７】
[0053]図９は、本明細書に提供される１つ以上の実施形態を実装するように構成されている計算装置（９１２）を含むシステム（９１０）の例を示している。一構成において、計算装置（９１２）は、少なくとも１つの演算処理装置（９１６）及びメモリー（９１８）を含む。正確な計算装置の構成及びタイプにもよるが、メモリー（９１８）は、（例えばＲＡＭのような）揮発性、（例えば、ＲＯＭ、フラッシュメモリーなどのような）不揮発性、又は２つの任意の組み合わせがあり得る。この構成は図９に波線（９１４）で例示されている。
【００４８】
[0054]別の実施形態において、装置（９１２）は、付加的な機能及び／又は機能性を含み得る。例えば、装置（９１２）は、磁気記憶装置、光学式記憶装置などを含み得るが、これらに限定しない（例えば、取り外し不可能及び／又は取り外し可能）増設記憶装置も含み得る。上記増設記憶装置は、図９のストレージ（９２０）によって例示されている。一実施形態において、本明細書に提供される１つ以上の実施形態を実装するための計算機可読命令は、ストレージ（９２０）に存在し得る。ストレージ（９２０）は、オペレーティングシステム、アプリケーションプログラムなどを実装するための別の計算機可読命令もストアし得る。例えば、演算処理装置（９１６）によって実行するための計算機可読命令がメモリー（９１８）にロードされ得る。
【００４９】
[0055]本明細書に使用される用語「計算機可読媒体」は、計算機記憶媒体を含む。計算機記憶媒体は、計算機可読命令又はその他のデータのような情報記憶に関する任意の方法又は技術で実装された揮発性及び不揮発性、取り外し可能及び取り外し不可能媒体を含む。メモリー（９１８）及びストレージ（９２０）は計算機記憶媒体の例である。計算機記憶媒体は、ＲＡＭ、ＲＯＭ、ＥＥＰＲＯＭ、フラッシュメモリー、又はその他のメモリー技術、ＣＤ−ＲＯＭ、デジタル多用途ディスク（ＤＶＤ）、又はその他の光学式記憶装置、磁気カセット、磁気テープ、磁気ディスク記憶装置、又はその他の磁気記憶装置、又は所望の情報をストアするために使用され得、機器（９１２）によってアクセスされ得る別の任意の媒体も含むがこれらに限定しない。上記任意の計算機記憶媒体は、装置（９１２）の一部であり得る。
【００５０】
[0056]装置（９１２）は、装置（９１２）が別の装置と通信可能にする通信接続（９２６）も含み得る。通信接続（単数又は複数）（９２６）は、モデム、ネットワーク・インターフェース・カード（ＮＩＣ）、統合ネットワークインターフェース、無線周波数送信機／受信機、赤外線ポート、ＵＳＢ接続、又は計算装置（９１２）を別の計算装置と接続するための別のインターフェースを含み得るがこれらに限定しない。通信接続（単数又は複数）（９２６）は、有線接続又は無線接続を含み得る。通信接続（単数又は複数）（９２６）が通信媒体を送信及び／又は受信し得る。
【００５１】
[0057]用語「計算機可読媒体」は通信媒体を含み得る。通信媒体は、典型的に、計算機読み込み可能命令、又は搬送波若しくはその他の移送機構などの「変調データ信号」で別のデータを具体化し、任意の情報送信媒体を含む。用語「変調データ信号」は、信号内の情報の符号化に応じて上記の方法で設定又は変更されるその特性を１つ以上有する信号を含み得る。
【００５２】
[0058]装置（９１２）は、キーボード、マウス、ペン、音声入力機器、タッチ入力装置、赤外線カメラ、映像入力装置、及び／又はその他任意の入力装置など入力装置（９２４）も含み得る。ディスプレイ、スピーカー、プリンター、及び／又はその他任意の出力装置など１つ以上の出力装置（９２２）も装置（９１２）に含まれ得る。入力装置（単数又は複数）（９２４）及び出力装置（単数又は複数）（９２２）は、有線接続、無線接続、又はその任意の組み合わせを介し装置（９１２）と接続され得る。一実施形態において、別の計算装置からの入力装置又は出力装置が、計算装置（９１２）に対する入力装置（９２４）又は出力装置（単数又は複数）（９２２）として使用され得る。
【００５３】
[0059]計算装置（９１２）のコンポーネントは、様々なバスの相互接続によって接続され得る。上記相互接続は、ＰＣＩエキスプレスバスのようなＰｅｒｉｐｈｅｒａｌ  Ｃｏｍｐｏｎｅｎｔ  Ｉｎｔｅｒｃｏｎｎｅｃｔ（ＰＣＩ）、ユニバーサルシリアルバス（ＵＳＢ）、ファイヤーワイヤ（ＩＥＥＥ１３９４）、光学式バス構造などを含み得る。別の実施形態において、計算装置（９１２）のコンポーネントがネットワークによって相互接続され得る。例えば、メモリー（９１８）は、異なる物理的場所に位置付けられたネットワークによって相互接続される複数の物理記憶装置から構成され得る。
【００５４】
[0060]当業者は、計算機可読命令をストアするために利用される記憶装置が、ネットワークを介し分散され得ることを実感されよう。例えば、ネットワーク（９２８）を介しアクセス可能な計算装置（９３０）が、本明細書に提供される１つ以上の実施形態を実装するための計算機可読命令をストアし得る。計算装置（９１２）は、計算装置（９３０）にアクセスし得、実行するための計算機可読命令の一部又はすべてをダウンロードし得る。代わりに計算装置（９１２）が、必要とされる計算機可読命令の一部をダウンロードし得るか、又は命令のいくつかが、計算装置（９１２）において実行され得、いくつかが、計算装置（９３０）において実行され得る。
【００５５】
[0061]様々な実施形態の動作が本明細書に提供される。一実施形態において、記述した１つ以上の動作が、１つ以上の計算機可読媒体にストアされた計算機可読命令を構成し得、計算装置によって実行された場合、計算装置に記述された動作の実行をもたらす。動作のいくつか又はすべてを記述している順番は、これらの動作が必ずしも順番で決まることを意味しているように解釈されるべきではない。この記述の利点を有する代わりの順番は当業者によって十分に理解されよう。更に、動作すべてが、本明細書に提供される実施形態それぞれに必ずしも存在しているわけでないことを理解されよう。
【００５６】
[0062]更に、語句「例示的」は、本明細書において、例、実例、又は例示として機能することを意味するように使用されている。本明細書において「例示的」として記述されている機能又は設計のいくつかが、必ずしも別の機能又は設計全域において有利なものとして理解される必要はない。もっと正確に言えば、語句「例示的」の使用は、具体的方法で概念を提示するように意図されている。この出願書類において使用されている用語「又は」は、排他的な「又は」というよりもむしろ包括的な「又は」を意味するように意図されている。即ち、別の方法で指定されていない場合、又は文脈から明確でない場合、「Ｘは、Ａ又はＢを使用する」は、普通の包括的な順列のどれかを意味するように意図されている。すなわち、ＸはＡを使用する、ＸはＢを使用する、又はＸはＡ及びＢ双方を使用する、の場合、「Ｘは、Ａ又はＢを使用する」は、上記実例のいずれかの下で満足される。加えると、この出願及び添付の請求項に使用されている冠詞「ａ」及び「ａｎ」は、別の方法で指定されていない場合か又は単一形式を対象とする文脈からは明確でない場合、一般に「１つ以上」を意味するように解釈され得る。
【００５７】
[0063]本開示は、１つ以上の実装に関連し、示され記述されているが、この明細書及び添付の図面の解釈及び理解に基づく同等の変更及び修正が、当業者に思い付かれよう。本開示は、上記の修正及び変更すべてを含んでいて、以下の請求項の範囲によってのみ限定される。特に、前述したコンポーネント（例えば、エレメント、リソースなど）によって実行される様々な機能に関し、上記コンポーネントを記述するために使用されている用語は、本明細書に例示した本開示の例示的実装における機能を実行する開示の構造と構造的に同等でなくても、特に示されていない場合、記述した特定のコンポーネントの（例えば、機能上同等な）機能を実行する任意のコンポーネントに相当するように意図されている。加えると、本開示の特定の特性は、いくつかの実装のうち１つだけに関連し開示されているが、一方、上記特性は、所与又は特定のアプリケーションに対し所望され便利であり得るとき、別の実装の別の１つ以上の特性と結合され得る。更に、用語「含む」、「有している」、「有する」、「用いて」、又はその異形は、詳細な説明又は請求項どちらか一方において使用されている範囲で、上記用語が用語「含んでいる」と同様の方法で包括的であるように意図されている。
【符号の説明】
【００５８】
１００  モデルベース認証スキーム構成方法
２００  例示的システム
２０２  ユーザー
２０４  認証スキーム構成インターフェース
２０６  ポリシー及び認証機構一覧表
２０８  認証構成コンポーネント
２１０  認証スキーム
２１２  リソース
３００  例示的システム
３０２  ユーザー
３０４  認証リクエスト
３０６  認証強制コンポーネント
３０８  認証スキーム
３１０  リソース
３１２  監視コンポーネント
３１４  ユーザーアクセスモデル
３１６  提案された認証スキーム構成
４００  認証スキーム構成インターフェースの例
４０２  認証スキーム構成インターフェース
４０４  ポリシー構成
４０６  私的な電子メールリソース
４０８  ユーザーポリシー
４１０  ユーザープラグイン認証機構登録ボタン
４１２  利用可能な認証機構
４１４  セキュリティ段階
４１６  ユーザー名及びパスワード
４１８  セキュリティ段階
４２０  デバイスＩＤ
４２２  セキュリティ非適用
４２４  ワンタイムパスワード
４２６  セキュリティ非適用
４２８  チャレンジ・レスポンス
４３０  セキュリティ段階
５００  モデルベース認証スキーム構成例
５０２  ポリシー
５０４  認証機構一覧表
５０６  認証構成コンポーネント
５０８  認証スキーム
６００  モデルベース認証スキーム構成例
６０２  ポリシー
６０４  認証機構一覧表
６０６  認証構成コンポーネント
６０８  認証スキーム
７００  認証スキーム構成の提示例
７０２  ユーザー
７０４  ユーザー名
７０６  携帯電話
７０８  認証リクエスト
７１０  認証強制コンポーネント
７１２  認証スキーム
７１４  オンライン共有フォルダー
７１６  監視コンポーネント
７１８  ユーザーアクセスモデル
７２０  提案された認証スキーム構成
８００  例示的実装
８１０  例示的方法
８１２  計算機命令
８１４  計算機可読データ
８１６  計算機可読媒体
９１０  例示的システム
９１２  計算装置
９１４  正確な計算装置構成
９１６  演算処理装置
９１８  メモリー
９２０  記憶装置
９２２  出力装置
９２４  入力装置
９２６  通信接続装置
９２８  ネットワーク
９３０  計算装置
【図１】
2012527703.tif 000003
【図２】
2012527703.tif 000004
【図３】
2012527703.tif 000005
【図４】
2012527703.tif 000006
【図５】
2012527703.tif 000007
【図６】
2012527703.tif 000008
【図７】
2012527703.tif 000009
【図８】
2012527703.tif 000010
【図９】
2012527703.tif 000011
【国際調査報告】
2012527703.tif 000012
2012527703.tif 000013