ネットワークアプリケーションおよびクライアントデバイスを備えるシステムで使用するための方法であって、A前記ネットワークアプリケーションと信用関係を有するデバイス状態トークンサービスが、前記クライアントデバイスの特性および/または状態を記述する情報を前記クライアントデバイスから受信する行為と、B前記情報を処理して前記クライアントデバイスに発行されるデバイスクレームを識別する行為と、CBで識別された前記デバイスクレームを生成する行為と、DCで生成された前記デバイスクレームを前記クライアントデバイスに発行する行為とを含むことを特徴とする方法。前記デバイス状態トークンサービスは、前記クライアントデバイスとも信用関係を有することを特徴とする請求項1に記載の方法。Aに先立って、前記デバイス状態トークンサービスが、Aで提供される前記情報を収集するために前記クライアントデバイスによって使用可能なポリシーおよび/またはスクリプトをクライアントデバイスに提供する行為と、前記ポリシーおよび/またはスクリプトを実行することによって生成された結果を受信する行為であって、前記結果は、前記クライアントデバイス上のTPMトラステッドプラットフォームモジュールコンポーネントによって生成された情報を備える、行為とをさらに含むことを特徴とする請求項1に記載の方法。クライアントデバイスおよびネットワークアプリケーションを備えるシステムで前記クライアントデバイスによって実行された場合に、A前記ネットワークアプリケーションへのアクセスを要求する行為と、Bデバイスクレームを発行することについて前記ネットワークアプリケーションから信用を得た1つまたは複数のデバイス状態トークンサービスの表示を受信する行為と、Cデバイスクレームを発行することについて前記クライアントデバイスから信用を得たデバイス状態トークンサービスを、Bで示された前記1つまたは複数のデバイス状態トークンサービスの中から選択する行為と、D前記クライアントデバイスの特性および/または状態を記述したデバイスクレームを発行するように求める要求を、Cで選択された前記デバイス状態トークンサービスに伝達する行為とを含む方法を実行する符号化された命令を有することを特徴とする少なくとも1つのコンピュータ可読記憶媒体。Cは、前記クライアントデバイスが既存の信用関係を有するデバイス状態トークンサービスを、前記1つまたは複数のデバイス状態トークンサービスの中から選択する行為を含むことを特徴とする請求項4に記載の少なくとも1つのコンピュータ可読記憶媒体。Cは、所定の基準を満たすデバイス状態トークンサービスを、前記1つまたは複数のデバイス状態トークンサービスの中から選択する行為を含むことを特徴とする請求項4に記載の少なくとも1つのコンピュータ可読記憶媒体。Dの後に、発行されたデバイスクレームを受信する行為と、前記ネットワークアプリケーションへのアクセスを求める要求に関連して、前記発行されたデバイスクレームを利用する行為とをさらに含むことを特徴とする請求項4に記載の少なくとも1つのコンピュータ可読記憶媒体。Aクライアントデバイスから1つまたは複数のデバイスクレームを受信し、B前記1つまたは複数のデバイスクレームが有効で真正であることを判定し、CBで前記1つまたは複数のデバイスクレームが有効で真正であると判定された場合、前記1つまたは複数のデバイスクレームを評価して、ネットワークアプリケーションへのアクセスを前記クライアントデバイスに許可すべきかどうかを判定し、DCでアクセスを許可すべきであると判定された場合、前記クライアントデバイスに前記ネットワークアプリケーションへのアクセスを許可するようにプログラムされた少なくとも1つのプロセッサを備えることを特徴とするシステム。A~Dの少なくとも一部は、前記ネットワークアプリケーションによって実行されることを特徴とする請求項8に記載のシステム。アクセスを許可すべきではないと判定された場合、アクセスが許可されるために取るべき措置を前記クライアントデバイスに教える行為をさらに含み、前記教える行為は、Dでアクセスを許可すべきではないと判定される原因となった前記デバイスクレーム内の不備の是正に関する情報を前記クライアントデバイスに提供する行為を含むことを特徴とする請求項8に記載のシステム。本発明の譲受人に譲渡された、2010年6月24日に出願された、NetworkLayerClaimsBasedAccessControlと題する特許文献1は、当業者にはアサーションassertionとしても知られているクレームclaim内で提供される情報を使用することによって、OSIスタックのネットワーク層においてアクセス制御決定を行うことに関する柔軟性を提供する技法を開示している。簡単に言えば、クレームは、リソースへのアクセスを要求するコンピュータについての数々の属性、要求されたアクセスを取り巻く状況、それへのアクセスが要求されるリソースのいずれかに関する情報、および/または他の情報を含むことができる。開示された技法によれば、クレーム内で提供される情報は、1つまたは複数のアクセス制御ポリシーに照らして評価することができ、特定のネットワークリソースへのアクセスを許可するか、それとも拒否するかを決定する際に使用することができる。クレーム内で提供される情報は、ネットワーク層においてアクセス制御決定を行うためにそれまで使用されていた情報よりも詳細であることができるので、ポリシーをより柔軟に策定することができ、また様々な性質またはタイプの情報を考慮したものにすることができる。本発明の譲受人に譲渡された、本出願と同時に出願された、TrustworthyDeviceClaimsforEnterpriseApplicationsと題する特許文献2は、アプリケーションへのアクセスを要求するデバイスの特性および/または状態を記述する情報をクレームの形態でアプリケーションに提供できる技法を開示している。デバイスの特性および/または状態を記述するこれらのクレームは、これ以降、デバイスクレームdeviceclaimと呼ばれる。デバイスクレームが提供されるアプリケーションは、セキュリティおよび非セキュリティ関連の機能を含む数々のタイプの機能のいずれかを駆動するために、デバイスクレーム内の情報を利用することができる。例えば、デバイスクレームは、アプリケーションによって使用されて、アクセス制御決定を駆動すること、ある機能またはデータを利用可能にする前に、説明されたデバイスが一定の基準を満たすことを検証すること、デバイスの特性に適した出力を生成することなどを可能にする。開示された技法によれば、デバイスは、リモート認証プロセスを受け、それを介して、デバイスクレームが生成され、その後、アプリケーションがそれを消費するように構成された形態に変換される、その後、デバイスクレームは、デバイスによって、アプリケーションへのアクセスを求める要求内に含めることができる。リモート認証プロセスを介して生成された結果として、デバイスクレームは、デバイスの特性および/または状態についての正確で真正な表現として、アプリケーションによって受け入れられる。本発明の実施形態は、デバイスがサービスとして利用可能な信用できるデバイスクレームを発行する。この点について、アプリケーションを例えば公共的にアクセス可能なインターネットを介してネットワーク上で利用可能にするエンティティは、場合によっては、デバイスクレームが提供できる情報例えば、アクセスを要求するデバイスの特性および/または状態についての独立の評価に価値を見出すことができるが、アプリケーションにアクセスしようとするデバイスへのデバイスクレームの発行に関連する管理的および費用的なオーバヘッドを負うことを望まないことがあると出願人は認識した。したがって、本発明のいくつかの実施形態は、デバイスがデバイスクレームをそこから獲得できるサービスを提供し、デバイスクレームは、その後、ネットワークアプリケーションにアクセスしようとする試みに関して使用することができる。サービスは、デバイスの特性および/または状態についての独立した評価を行い例えば、実行および/または監視し、この評価の結果をデバイスクレーム内で示し、後でアプリケーションにアクセスしようと試みる際に使用するためにデバイスクレームをデバイスに提供することができる。いくつかの実施形態では、サービスは、ネットワークアプリケーションを利用可能にするエンティティの管理境界の外部から、デバイスによってアクセス可能とすることができる。そのため、本発明の実施形態は、企業対消費者BtoCおよび企業対企業BtoBトポロジにおいて、ネットワークアプリケーションをデバイスからアクセス可能にする関係者に有益なことがある。上述の説明は、本発明の実施形態についての非限定的な要約であり、本発明は、添付の特許請求の範囲によって確定される。本発明のいくつかの実施形態によれば、ネットワークアプリケーションにアクセスしようとする試みに関して使用するためにデバイスがそこからデバイスクレームを獲得できるサービスが提供される。いくつかの実施形態では、ネットワークアプリケーションにアクセスしようとするデバイスの試みに応答して、デバイスの特性および/または状態についての独立した評価を行い、デバイスの特性および/または状態についての正確で真正な表現をデバイスクレームの形態で発行することについて、ネットワークアプリケーションおよび/またはデバイスから信用を得た1つまたは複数のデバイス状態トークンサービスDSTSの表示をデバイスに提供することができる。DSTSによってデバイスに発行された後、デバイスクレームは、ネットワークアプリケーションにアクセスしようとする試みに関してデバイスによって使用することができ、またセキュリティおよび非セキュリティ関連の機能を駆動するためにネットワークアプリケーションによって使用することができる。信用できるデバイスクレームをデバイスに発行するためのコンポーネントを備える例示的なシステムと、これらのコンポーネントがそれによって対話できる例示的な手順が、図1に示されている。示される例では、デスクトップもしくはラップトップコンピュータ、モバイル電話、携帯情報端末、コンテンツ再生デバイス、テレビ、ゲームコンソール、および/または他の適切なデバイスタイプなど、任意の適切なコンピューティングデバイスとすることができるクライアントデバイス110は、図1には図示されていない1つまたは複数のネットワークを介して、いずれか1つまたは複数のアプリケーションコンポーネントを含むことができるネットワークアプリケーション120と通信する。1つまたは複数のネットワークは、いずれか1つまたは複数の適切な通信プロトコルに従った通信を実施することができ、いずれか適切な通信インフラストラクチャを備えることができる。1つまたは複数のネットワークは、例えば、公共的にアクセス可能なインターネットを含むことができる。図1に示される例示的な手順は、矢印152によって示されるように、ネットワークアプリケーション120にアクセスしようとするクライアントデバイス110による試みで開始する。ネットワークアプリケーション120は、数々の方法のいずれかで、このアクセスの試みに応答することができる。図1に示される例では、ネットワークアプリケーション120は、矢印154によって示されるように、信用できるデバイスクレームを発行することについてネットワークアプリケーション120が信用する1つまたは複数のDSTSの表示例えばリストをクライアントデバイス110に提供することによって応答する。その後、クライアントデバイス110は、評価を行うことについてクライアントデバイス110もやはり信用するDSTSを選択することができる。クライアントデバイスが、デバイスクレームを発行することについて信用を得た1つまたは複数のDSTSの表示をネットワークアプリケーションから受信し、デバイスクレームがそれに対して要求されるDSTSを選択する、例示的なプロセス200が、図2に示されている。プロセス200が開始すると、クライアントデバイス110は、行為210において、クライアントデバイスの特性および/または状態についての独立した評価を実行することについて、またそれを示すデバイスクレームを発行することについて、ネットワークアプリケーション120から信用を得た1つまたは複数のDSTSの表示を受信する。図1に示される例では、ネットワークアプリケーション120は、矢印122によって示されるようにDSTS130と信用関係を有するが、DSTS140とは有さない。その後、プロセス200は行為220に進み、クライアントデバイス110は、デバイスクレームがそれに対して要求されるDSTSを選択する。例えば、クライアントデバイス110は、ネットワークアプリケーション120によって提供されたリストから、クライアントデバイス110もやはり信用するDSTSを選択することができる。デバイスクレームを発行するプロセスにおいてDSTSによって実行されるいくつかの評価の侵入的性質を考えると、信用できることが好ましいことがある。DSTSは、既存の信用関係のため、DSTSが1つもしくは複数の基準を満たすため、または他の任意の理由で、クライアントデバイス110から信用を得ることができる。図1に示される例では、クライアントデバイス110は、矢印115によって示されるようにDSTS130と、また矢印118によって示されるようにDSTS140と既存の信用関係を有する。図1にはただ2つのDSTSしか示されていないが、任意の適切な数のDSTSを提供できることを理解されたい。行為210において受信した表示にDSTS130が含まれると仮定すると、この例では、クライアントデバイス110は、デバイスクレームがそれに対して要求されるDSTSとして、DSTS130を選択する。その後、プロセス200は行為230に進み、クライアントデバイス110は、選択されたDSTS130を認証する。DSTS130の認証は、例えば、悪意をもった行為者が、DSTS130を装って、クライアントデバイス110上の情報および/または機能に自由にアクセスすることを防止することができる。いくつかの実施形態では、クライアントデバイス110は、この目的でDSTS130によって発行されたX.509証明書を評価することによって、または他の任意の適切な認証手段を使用して、DSTS130を認証することができる。その後、プロセス200は行為240に進み、クライアントデバイス110は、デバイスクレームを要求し、その後、プロセス200は終了する。図2のプロセスは、デバイスクレームがそれに対して要求されるDSTSをクライアントデバイスが識別できる、1つの例示的な手順にすぎないことを理解されたい。例えば、行為210においてクライアントデバイス110に提供される表示は、ネットワークアプリケーション120から信用を得たDSTSだけを含む必要はなく、ネットワークアプリケーション120とクライアントデバイス110の両方から信用を得たDSTSを含むことができる。本発明の実施形態は、クライアントデバイスがDSTSを選択する実施にまったく限定されないことも理解されたい。例えば、図1の矢印152によって示されるようにクライアントデバイス110からアクセス要求を受信すると、ネットワークアプリケーション120は、正確なデバイスクレームを発行することについてネットワークアプリケーション120が信用するDSTSに、クライアントデバイス110を単純にリダイレクトすることができる。本発明の実施形態は、数々の方法のいずれかで実施することができる。図2に示される例示的なプロセスは、デバイスクレームがそれに対して要求される適切なDSTSを識別できない場合の例えばクライアントデバイス110によって実行される行為を含むように補足できることも理解されたい。適切なDSTSを識別できない場合、数々の動作のいずれかを実行することができる。例えば、クライアントデバイス110は、適切なDSTSの発見に関する情報をユーザに提示することができ、クライアントデバイス110は、適切なDSTSの発見に関する情報を獲得するために、ネットワークアプリケーション120に問い合わせることができ、および/または1つもしくは複数の他の動作が実行されてもよい。本発明の実施形態は、いずれか特定の実施に限定されない。図2の例示的なプロセスが完了するとすなわち、クライアントデバイス110がデバイスクレームを要求した後、DSTS130図1は、クライアントデバイス110にデバイス状態ポリシーおよびスクリプトを提供することによって、デバイスクレームを求める要求に応答する。いくつかの実施形態では、DSTS130から獲得された情報は、クライアントデバイス110へのデバイスクレームの発行をサポートする情報を収集するように、クライアントデバイス110に命令することができる。DSTS130によってクライアントデバイス110に提供されるスクリプトは、クライアントデバイス110によって実行された場合、クライアントデバイス110が上述の情報の一部または全部を収集する支援をすることができる。デバイスクレームの発行をサポートする、クライアントデバイスに関する情報が収集される例示的な技法は、本発明の譲受人に譲渡された、2010年9月30日に出願された、TrustworthyDeviceClaimsforEnterpriseApplicationsと題する特許文献2において説明されており、特許文献2のいくつかの部分は、本明細書において援用される。特許文献3において開示された実施形態では、クライアントデバイス110上の図1には図示されていないデータ収集コンポーネントが、DSTS130によって特定された情報を収集するために、1つまたは複数のデータ源と通信する。例えば、データ収集コンポーネントは、データ源に情報を提供し、各データ源からデバイス特性および/または状態を示す情報を受信することができる。例えば、データ収集コンポーネントは、デバイスのライフサイクル中に、例えば、オペレーティングシステムのリブート、ハイバネーション/スリープからの再開、ソフトウェアパッチの1つもしくは複数のドライバのインストール、ネットワーク接続の開始、ロケーション変更、および/または他のイベントなど数々のイベントのいずれかが発生した時点または発生した後に、クライアントデバイスの状態に関するコンテキスト情報を、データ源に提供することができる。それに応えて、データ源は、例えば、セキュリティおよび/もしくはアンチウイルスソフトウェアが備えられているかどうか、ある例えばセキュリティソフトウェアが作動しているかどうか、クライアントデバイスがファイアウォールを利用しているかどうか、ファイアウォールが機能しているかどうか、アンチウイルスシグネチャが最新かどうかなどクライアントデバイス110の健全性、例えば、署名および/もしくは暗号化通信が使用されるかどうか、暗号化のタイプなどアプリケーションにアクセスするためにクライアントデバイス110が使用する暗号法のタイプ、クライアントデバイス110のための識別子、例えば、デスクトップコンピュータ、データベースサーバ、ウェブサーバなどクライアントデバイス110が実行する役割、例えば、会社、従業員、販売業者などクライアントデバイス110のオーナ、クライアントデバイス110の地理的ロケーションについての情報、および/または他の数々のタイプの情報のいずれかを提供することができる。提供される情報は、その正確さを保証するために、データ源によって署名することができる。上述のデータ源に加えて、クライアントデバイス110は、ローカルで実施されるTPMトラステッドプラットフォームモジュールコンポーネント図1には図示されずからも情報を受け取ることができる。TPMは、TPMのPCRプラットフォーム構成レジスタ内にイベントのログを記録すること、暗号鍵を生成し、保存し、使用できるようにすること、TCGログと呼ばれるデータ構造上に、そのログでリモートパーティに報告されるイベントの信用性を証明するために、クォートquoteを生成できるようにすること、連続するブートサイクルを区別し、ハイバネート/リスタートイベントにわたる追加のセキュリティ手段を提供するのに使用できるブートカウンタを維持することを含む、デバイスクレームの生成に関する多くの機能のいずれか、および/または他の機能を実行することができる。その後、収集された情報は、矢印158によって示されるように、DSTS130に提供される。その後、DSTS130は、デバイスクレームを発行すべきかどうかを判定するために、クライアントデバイス110によって提供された情報を予備的に評価することができる。例えば、DSTS130は、TPM測定が生成後に変更されていないことを確認するためにTPM測定を確認し、クライアントデバイス110がマルウェアに侵されていないかどうかを判定し、および/または他の予備的な評価を実行することができる。クレーム生成を開始すべきであるという予備的な判定が下された場合、DSTS130は、生成すべき特定のデバイスクレームを決定するために、クライアントデバイス110から受信した情報をさらに評価することができる。この決定は、少なくとも部分的に、受信した情報に基づいて、生成すべきデバイスクレームを管理するDSTS130によって実施されるポリシーによって推進することができる。生成されたデバイスクレームは、DSTS130によって署名され、その後、矢印160によって示されるように、クライアントデバイス110に送信される。デバイスクレームは、任意の適切な配送手段を使用して、クライアントデバイス110に送信することができる。例えば、いくつかの実施形態は、クライアントデバイス110に送信されるSAMLセキュリティアサーションマークアップ言語トークン内にデバイスクレームを含めることが可能である。しかし、デバイスクレームのための任意の適切な手段を利用することができる。いくつかの実施形態では、クライアントデバイス110に送信される情報は、デバイスクレームをクライアントデバイスに結び付けるために、クライアントデバイスの識別情報の表示を含む。この結び付けは、悪意をもった行為者が、デバイスクレームを不正流用し、クライアントデバイス110を装って、ネットワークアプリケーション120にアクセスすることを防止することができる。結び付けは、DSTS130によるX.509証明書の発行を介してなど、任意の適切な技法を使用して達成することができる。デバイスクレームを受信すると、クライアントデバイス110は、矢印162によって示されるように、ネットワークアプリケーション120にアクセスしようと試みる。例えば、クライアントデバイス110上で動作している図1には図示されていないブラウザアプリケーションは、ネットワークアプリケーション120へのアクセスを求める要求内にデバイスクレームを含めることができる。もちろん、クライアントデバイス110は、ネットワークアプリケーション120にアクセスするためにブラウザアプリケーションを利用するようには限定されず、ネットワークアプリケーション120にアクセスしようと試みるために、任意の適切な技法および/またはコンポーネントを使用することができる。その後、ネットワークアプリケーション120は、クライアントデバイス110から受信したデバイスクレームを評価することができる。評価を実行することができる例示的なプロセス300が、図3に示されている。プロセス300が開始すると、行為310において、ネットワークアプリケーション120が、デバイスクレームを受信する。行為320において、ネットワークアプリケーション120は、デバイスクレームがそれに対して発行されたデバイスによってデバイスクレームが提供されたかどうかを判定する。このステップは、悪意をもった行為者が、ネットワークアプリケーションにアクセスしようと試みる際に、特定のデバイスを装うことを防止するために実行することができる。デバイスクレームがそれに対して発行されたデバイスによってデバイスクレームが提供されたことの検証は、数々の方法のいずれかで実行することができる。いくつかの実施形態では、ネットワークアプリケーションは、上述したように、デバイスクレームをクライアントデバイスに結び付けるためにDSTS130によって発行されたX.509証明書を検査することによって、デバイスクレームを確認することができる。ネットワークアプリケーション120が、デバイスクレームがそれに対して発行されたデバイスによってデバイスクレームが提供されたことを検証できない場合、プロセス300は、行為360に進み、ネットワークアプリケーションは、アクセスが許可されないことをクライアントデバイスに通知する。その後、プロセス300は終了する。反対に、ネットワークアプリケーション120が、デバイスクレームがそれに対して発行されたデバイスによってデバイスクレームが提供されたことを検証した場合、プロセス300は、行為330に進み、ネットワークアプリケーション120は、デバイスクレームが期限切れになっていないかどうかを判定する。この点について、クライアントデバイスは、ネットワークアプリケーションにアクセスしようとする複数の試みに関連して、所定の1組のデバイスクレームを利用することができ、いくつかの実施形態では、デバイスクレームは、規定された有効期限例えば、発行後に経過した一定の時間数、および/または他の何らかの条件に基づく有効期限を有することができる。例えば、デバイスクレームは、本質的にコンテキスト依存とすることができるので例えば、デバイスクレームは、デバイスの状態、デバイスの物理的ロケーション、クライアントデバイスにあるソフトウェアパッチがインストールされているかどうかなどに関連することができるので、その正確さは、発行後、ある程度の時間が経過すると、疑わしくなることがある。ネットワークアプリケーション120が、デバイスクレームまたはその一部は期限切れであると判定した場合、プロセス300は、行為360に進み、ネットワークアプリケーションは、アクセスが許可されないことをクライアントデバイスに通知する。ネットワークアプリケーション120は、例えば、新しいデバイスクレームを獲得すべきであることをクライアントデバイス110に通知することができる。その後、プロセス300は終了する。ネットワークアプリケーション120が、デバイスクレームは期限切れではないと判定した場合、プロセス300は、行為340に進み、デバイスクレーム、またはデバイスクレームとの結び付きが確立されているクライアント識別情報が無効化されていないかどうかについて判定が行われる。この点について、デバイスクレームは、DSTSによって無効化することができ、したがって、期限切れになる前に、数々の理由のいずれかのために、無効になることがある。例えば、DSTSによって実施されるポリシーの変更、クライアントデバイスの状態および/もしくは特性の変化、または他の任意の理由が原因で、DSTSは、デバイスクレームを無効化することがある。例えば、デバイスクレームと一緒に発行される証明書を介して規定されるクライアントの識別情報も、無効化することができ、その識別情報に対して発行されたデバイスクレームは、いずれも無効にされる。クライアントデバイスの識別情報および/またはデバイスクレームが無効化されたかどうかの判定は、数々の方法のいずれかで実行することができる。一例では、ネットワークアプリケーションは、OCSPオンライン証明書状態プロトコル、または他の任意の適切なプロトコルもしくは技法を使用して、クライアントデバイスの識別情報および/またはデバイスクレームが無効化されていないことを検証するために、クライアントデバイスにデバイスクレームを発行したDSTS図1に示される例ではDSTS130に問い合わせることができる。行為340において、ネットワークアプリケーション120が、デバイスクレーム、またはデバイスクレームとの結び付きが確立されているクライアント識別情報は無効化されていると判定した場合、プロセス300は、行為360に進み、ネットワークアプリケーションは、アクセスが許可されないことを、クライアントデバイスに通知する。いくつかの実施形態では、ネットワークアプリケーションは、新しい1組のデバイスクレームを獲得すべきであることをクライアントデバイスに教えることができる。その後、プロセス300は終了する。行為340において、ネットワークアプリケーション120が、デバイスクレームおよびクライアント識別情報は無効化されていないと判定した場合、プロセス300は、行為350に進み、アクセスを許可するのに十分な根拠をデバイスクレームが提供したかどうかについて判定が行われる。この判定は、数々の要因のいずれかに基づくことができる。例えば、ネットワークアプリケーション120は、デバイスクレーム内の情報が1つまたは複数の所定の基準を満たさないために、デバイスクレームは不十分であると判定することができる。例えば、ある特定のクレームがない例えば、アンチウイルスソフトウェアがインストールされていないこと、マルウェアがクライアントデバイス110上で動作していることなどを示していることがあり、1つまたは複数のクレーム値が不満足である例えば、あるセキュリティパッチがないこと、および/もしくはBitLockerなど、ある特定のセキュリティ手段がクライアントデバイス110上で作動していないことを示していることがあり、ならびに/または所定の基準が他の理由で満たされていない。ネットワークアプリケーション120は、アクセスを許可するのに十分な根拠をデバイスクレームが提供したかどうかを判定するために、デバイスクレーム内で提供された情報を数々の方法のいずれかで評価することができる。アクセスを許可するのに十分な根拠をデバイスクレームが提供していない場合、プロセス300は、行為360に進み、ネットワークアプリケーション120は、アクセスが許可されなかったことを、クライアントデバイスに通知する。いくつかの実施形態では、ネットワークアプリケーション120は、不備をどのように是正したらよいかを、クライアントデバイス110および/またはユーザに教える。例えば、ネットワークアプリケーション120は、ユーザが是正を支援できるように、なぜユーザにアクセスが許可されなかったのか、その理由の表示を提示するように、クライアントデバイス110に命じることができる。この点について、クライアントデバイス110は、ユーザが不備を是正する助けとなり得る情報を獲得するためのプログラムされたロジックを含むことができる。例えば、ネットワークアプリケーション120から受信した情報が本質的に技術的である場合例えば、ユーザが容易に理解できないことがあるエラーコードによって表現されている場合、クライアントデバイス110は、より容易に理解できる情報を例えばDSAPサーバに問い合わせることによって取得することができる。この情報は、例えば、教示的な文言、追加情報を有するサイトのURLなどを含むことができる。例えば、インストールされていることをDSTSが期待している最新のアンチウイルスパッチをインストールすることなどをユーザに命じる文言を、ユーザに提示することができ、そのため、ユーザは、デバイスクレームの不備を是正する行動を取ることができる。しかし、不備を是正する行動を取るうえで、本発明の必ずしもすべての実施形態がユーザに依存しているわけではないことを理解されたい。例えば、いくつかの実施形態では、クライアントデバイス110は、不備を自動的に是正するためのプログラムされたロジックを実行することができる。本発明の実施形態は、数々の方法のいずれかで実施することができる。行為360が終了すると、プロセス300は終了する。行為350において、アクセスを許可するのに十分な根拠をデバイスクレームが提供したと判定された場合、プロセス300は、行為370に進み、アクセスが許可される。その後、プロセス300は終了する。図1を再び参照すると、クライアントデバイス110にアクセスを許可すると、ネットワークアプリケーション120は、デバイスクレームを処理することができる。そのような処理は、セキュリティおよび非セキュリティ関連の機能を含む、数々の機能のいずれかを実行するために、デバイスクレーム内の情報を使用することを含むことができる。例えば、クライアントデバイス110の特性または能力を記述するデバイスクレーム内の情報は、特定のアプリケーション機能を駆動するために、またそれらの特性または能力に適するように出力を調整するためになど、ネットワークアプリケーション120によって使用することができる。本発明の実施形態は、デバイスクレーム内で提供される情報をいずれか特定の方法で使用することに限定されない。いくつかの実施形態では、図1の例示的なプロセスをいくらか変更して、クライアントデバイスが、ネットワークアプリケーションと直接的に通信できない代わりに、仲介手段を介してネットワークアプリケーションと通信できるようにすることができる。この点について、図1は、アクセスゲートウェイ125を示しており、いくつかの実施形態では、アクセスゲートウェイ125は、クライアントデバイス110と通信して、例えば、矢印152によって示されるように、上述の通りネットワークアプリケーション120へのアクセスを求める要求をクライアントデバイス110から受信し、矢印154によって示されるように、上述の通りアクセス要求に応答し、および/または矢印162によって示されるように、上述の通りクライアントデバイス110からデバイスクレームを受信することができる。アクセスゲートウェイなどの仲介手段は、例えば、ネットワークアプリケーション120がデバイスクレームの処理をサポートしない状況、またはそれ以外ではデバイスクレームの処理のために適切に構成されていない状況において、有益となる。例えば、いくつかのレガシネットワークアプリケーションは、デバイスクレームを処理することが可能ではないことがあり、この機能を使えるようにするのに必要な再構成は、ネットワークアプリケーションを利用可能にしているエンティティによるかなりの投資を必要とすることがあることを出願人は認識した。したがって、仲介手段は、デバイスクレーム内で提供される情報を処理するためのクレーム対応のフロントエンドをネットワークアプリケーション120に提供することができる。仲介手段による処理は、セキュリティに関する機能を含むが、それに限定されない、数々の機能のいずれかを実行することを含むことができる。一例として、仲介手段は、アクセス制御決定を行うためにデバイスクレームを処理し、アクセスを許可されたクライアントデバイスからの情報だけをネットワークアプリケーション120に渡すことができる。別の例として、仲介手段は、ネットワークアプリケーションがそれを消費するように構成された形にデバイスクレームを変換するために、デバイスクレームを事前に処理することができ、その後、アプリケーションは、ある機能を実行する際に、その情報を使用することができる。コンピュータプログラミング分野の当業者は、図1の例示的なシステムにおける仲介手段について、数々の用途を思い浮かべることができ、本発明の実施形態は、いずれか特定の実施に限定されない。仲介手段およびそれによって実行される機能を利用するいくつかの例示的な実施が、本発明の譲受人に譲渡された、2010年6月24日に出願された、TrustedIntermediaryForNetworkLayerClaimsEnabledAccessControlと題する特許文献3において開示されており、同出願は、その全体が参照により本明細書に組み込まれる。上述したように、クライアントデバイスは、潜在的に、クライアントデバイスおよび/またはネットワークアプリケーションが信用関係を有するDSTSなど、複数のDSTSのいずれかからデバイスクレームを獲得することができる。デバイスクレームを発行する際に、各DSTSによって使用されるポリシーの間の矛盾を防ぐため、本発明のいくつかの実施形態は、各DSTSが同意する矛盾のないポリシースキームを提供する。例えば、いくつかの実施形態では、すべてのデバイスクレーム発行ポリシーは、1つのDSTSが、他のDSTSよりも制約的な要件をクライアントデバイスに課すことはあっても、どのDSTSも、別のDSTSによって実施されるポリシーに違反しない限りクライアントデバイスが満たすことができないポリシーを実施しないようにすることができる。例えば、1つのDSTSは、特定のデバイスクレームを発行するために、クライアントデバイスが先週中にソフトウェアパッチをインストールしないように要求できなくされることがあり、一方、別のDSTSは、デバイスクレームを発行するために、クライアントデバイスが一定の日数に限ってソフトウェアパッチを有さなくてもよいと指示する。いくつかの実施形態では、ポリシーの衝突は、追加的な表現additivetermで条件を表現することで回避されるが、本発明の実施形態は、この点において限定されず、任意の適切なスキームを利用することができ、またはポリシーの無矛盾性が優先されない場合は、どのような方法も利用されない。図1の例示的なシステムは、デバイスクレームをクライアントデバイスに提供することに関連する処理を実行するために、DSTSを利用するが、本発明の実施形態は、そのような実施に限定されないことを理解されたい。DSTSを含んでもよく、または含まなくてもよい、いずれか1つまたは複数の適切なコンポーネントを、代わりに利用することができる。例えば、上で参照した、本発明の譲受人に譲渡された、TrustworthyDeviceClaimsforEnterpriseApplicationsと題する特許文献2において説明されているように、デバイスクレームの生成および発行に関連する処理の部分は、認証サーバによって実行することができる。他の実施形態は、DSTSをまったく利用しなくてよく、デバイスクレームの生成および/または発行のために他のコンポーネントを利用することができる。任意の適切な構成のコンポーネントを利用することができ、本発明の実施形態は、この点において限定されない。本発明の特徴を実施するためのシステムおよび方法の様々な態様は、図4に示された例示的なコンピュータシステム400など、1つまたは複数のコンピュータシステム上で実施することができる。コンピュータシステム400は、入力デバイス402と、出力デバイス401と、プロセッサ403と、メモリシステム404と、ストレージ406とを含み、それらのすべては、1つまたは複数のバス、スイッチ、ネットワーク、および/または他の適切な相互接続を含むことができる相互接続メカニズム405を介して、直接的または間接的に結合される。入力デバイス402は、ユーザまたは機械例えば人間の操作者から入力を受け取り、出力デバイス401は、ユーザまたは機械例えば液晶ディスプレイに情報を表示または送信する。入力デバイスおよび出力デバイスは、とりわけ、ユーザインタフェースを提示するために使用することができる。ユーザインタフェースを提供するために使用できる出力デバイスの例は、出力を可視的に提示するためのプリンタまたは表示スクリーンと、出力を可聴的に提示するためのスピーカまたは他の音声生成デバイスとを含む。ユーザインタフェースのために使用できる入力デバイスの例は、キーボードと、マウス、タッチパッド、およびデジタイジングタブレットなどのポインティングデバイスとを含む。別の例として、コンピュータは、音声認識を介して、または他の可聴フォーマットで、入力情報を受け取ることができる。プロセッサ403は、一般に、例えば、MicrosoftWindowsファミリのオペレーティングシステム、または他の任意の適切なオペレーティングシステムなどオペレーティングシステムと呼ばれるコンピュータプログラムを実行し、オペレーティングシステムは、他のコンピュータプログラムの実行を制御し、スケジューリング、入力/出力および他のデバイス制御、課金、コンパイル、ストレージ割り当て、データ管理、メモリ管理、通信およびデータフロー制御を提供する。共同で、プロセッサとオペレーティングシステムは、アプリケーションプログラムおよび他のコンピュータプログラム言語がそれに対して書かれるコンピュータプラットフォームを定義する。プロセッサ403は、様々な機能を実施するために、1つまたは複数のコンピュータプログラムを実行することもできる。これらのコンピュータプログラムは、手続型プログラミング言語、オブジェクト指向プログラミング言語、マクロ言語、またはそれらの組み合わせを含む、任意のタイプのコンピュータプログラム言語で書くことができる。これらのコンピュータプログラムは、ストレージシステム406内に記憶することができる。ストレージシステム406は、揮発性または不揮発性媒体上に情報を保持することができ、固定式または着脱可能式とすることができる。ストレージシステム406は、図5により詳細に示されている。ストレージシステム406は、コンピュータプログラムまたはプログラムによって使用される情報を定義する信号が記憶される、コンピュータ読み取り可能および書き込み可能な有形な不揮発性記録媒体501を含むことができる。記録媒体は、例えば、ディスクメモリ、フラッシュメモリ、および/または情報を記録および記憶するために使用可能な他の任意の製造物品とすることができる。一般に、動作中、プロセッサ403は、不揮発性記録媒体501からデータを読み取り、プロセッサ403が媒体501にアクセスするよりも高速に情報にアクセスすることを可能にする、揮発性メモリ502例えばランダムアクセスメモリ、すなわちRAMに書き込む。メモリ502は、図4に示されるストレージシステム406またはメモリシステム404内に配置することができる。プロセッサ403は、一般に、集積回路メモリ404、502内のデータを操作し、その後、処理が完了した後に、データを媒体501にコピーする。媒体501と集積回路メモリ要素404、502の間でのデータ移動を管理するための様々なメカニズムが知られているが、本発明は、現在知られているか、それとも今後開発されるかに係わらず、いかなるメカニズムにも限定されない。本発明は、特定のメモリシステム404またはストレージシステム406にも限定されない。このように、本発明の少なくとも一実施形態のいくつかの態様を説明してきたが、当業者には様々な代替形態、変更形態、および改良形態が容易に思い浮かぶことを理解されたい。そのような代替形態、変更形態、および改良形態は、本開示の一部であることが意図されており、本発明の主旨および範囲内にあることが意図されている。したがって、上述の説明および図面は、例を挙げたにすぎない。本発明の上述の実施形態は、数々の方法のいずれかで実施することができる。例えば、実施形態は、ハードウェア、ソフトウェア、またはそれらの組み合わせを使用して実施することができる。ソフトウェアで実施される場合、ソフトウェアコードは、任意の適切なプロセッサ上で実行することができ、または単一のコンピュータ内で提供されるか、それとも複数のコンピュータおよび/もしくはシステム間に分散させて提供されるかに係わらず、プロセッサの集合上で実行することができる。そのようなプロセッサは、集積回路コンポーネント内に1つまたは複数のプロセッサを有する、集積回路として実施することができるが、プロセッサは、任意の適切なフォーマットの回路を使用して実施することができる。本明細書で説明する機能を実行するコンポーネントまたはコンポーネントの集合はいずれも、全体として、上述の機能を制御する1つまたは複数のコントローラと見なすことができることを理解されたい。1つまたは複数のコントローラは、専用ハードウェアを用いて、または上述の機能を実行するようにマイクロコードもしくはソフトウェアを使用してプログラムされた1つまたは複数のプロセッサを利用することによってなど、数々の方法で実施することができる。コントローラが、システム操作のためのデータを記憶または提供する場合、そのようなデータは、中央リポジトリ内に、複数のリポジトリ内に、またはそれらを組み合わせて記憶することができる。コンピュータは、ラックマウント型コンピュータ、デスクトップコンピュータ、ラップトップコンピュータ、またはタブレットコンピュータなど、多くの形態のいずれかで具現できることも理解されたい。加えて、コンピュータは、携帯情報端末PDA、スマートフォン、または他の任意の適切なポータブルもしくは固定式電子デバイスを含む、一般にコンピュータとは見なされないが、適切な処理能力を有するデバイス内で具現することもできる。また、コンピュータは、1つまたは複数の入力デバイスおよび出力デバイスを有することができる。これらのデバイスは、とりわけ、ユーザインタフェースを提示するために使用することができる。ユーザインタフェースを提供するために使用できる出力デバイスの例は、出力を可視的に提示するためのプリンタまたは表示スクリーンと、出力を可聴的に提示するためのスピーカまたは他の音声生成デバイスとを含む。ユーザインタフェースのために使用できる入力デバイスの例は、キーボードと、マウス、タッチパッド、およびデジタイジングタブレットなどのポインティングデバイスとを含む。別の例として、コンピュータは、音声認識を介して、または他の可聴フォーマットで、入力情報を受け取ることができる。そのようなコンピュータは、ローカルエリアネットワーク、または企業ネットワークもしくはインターネットなどのワイドエリアネットワークを含む、任意の適切な形態の1つまたは複数のネットワークによって相互接続することができる。そのようなネットワークは、任意の適切な技術に基づくことができ、任意の適切なプロトコルに従って動作することができ、無線ネットワーク、有線ネットワーク、または光ファイバネットワークを含むことができる。また、本明細書で概説した様々な方法またはプロセスは、1つまたは複数のプロセッサ上で実行可能な、様々なオペレーティングシステムまたはプラットフォームのいずれか1つを利用するソフトウェアとしてコード化することができる。加えて、そのようなソフトウェアは、多くの適切なプログラミング言語および/またはプログラミングもしくはスクリプトツールのいずれかを使用して書くことができ、フレームワークまたは仮想マシン上で実行される実行可能な機械語コードまたは中間コードとしてコンパイルすることもできる。この点について、本発明は、1つまたは複数のコンピュータまたは他のプロセッサ上で実行された場合、上述の本発明の様々な実施形態を実施する方法を実行する、1つまたは複数のプログラムによって符号化された、コンピュータ可読媒体または複数のコンピュータ可読媒体例えば、コンピュータメモリ、1つまたは複数のフロッピディスク、コンパクトディスクCD、光ディスク、デジタルビデオディスクDVD、磁気テープ、フラッシュメモリ、フィールドプログラマブルゲートアレイもしくは他の半導体デバイス内の回路構成、または他の非一時的な有形なコンピュータ可読記憶媒体として具現することができる。1つまたは複数のコンピュータ可読媒体は、上述の本発明の様々な態様を実施するために、記憶された1つまたは複数のプログラムを1つまたは複数の異なるコンピュータまたは他のプロセッサ上にロードできるように、トランスポート可能とすることができる。本明細書で使用される場合、非一時的なコンピュータ可読記憶媒体という用語は、製品すなわち製造物品または機械であると見なすことができるコンピュータ可読媒体だけを含む。プログラムまたはソフトウェアという用語は、上述の本発明の様々な態様を実施するようにコンピュータまたは他のプロセッサをプログラムするために利用できる、任意のタイプのコンピュータコードまたは1組のコンピュータ実行可能命令を指すために、本明細書では総称的な意味で使用される。加えて、この実施形態の一態様によれば、実行された場合に本発明の方法を実行する1つまたは複数のコンピュータプログラムは、単一のコンピュータまたはプロセッサ上に存在する必要はなく、本発明の様々な態様を実施するために、モジュール化して多くの異なるコンピュータまたはプロセッサ間に分散させることができることを理解されたい。コンピュータ実行可能命令は、1つまたは複数のコンピュータまたは他のデバイスによって実行されるプログラムモジュールなど、多くの形態を取ることができる。一般に、プログラムモジュールは、特定のタスクを実行し、または特定の抽象データタイプを実施する、ルーチン、プログラム、オブジェクト、コンポーネント、データ構造などを含む。一般に、プログラムモジュールの機能は、様々な実施形態において望ましいように、組み合わせること、または分散させることができる。また、データ構造は、任意の適切な形態のコンピュータ可読媒体内に記憶することができる。説明を簡潔にするために、データ構造は、データ構造内におけるロケーションを通して関係付けられるフィールドを有するように示すことができる。そのような関係は、フィールドのための記憶域にフィールド間の関係を伝えるコンピュータ可読媒体内のロケーションを割り当てることによっても同様に達成することができる。しかし、データ構造のフィールド内の情報間の関係を確立するために、ポインタ、タグ、またはデータ要素間の関係を確立する他のメカニズムを使用することを含む、任意の適切なメカニズムを使用することができる。本発明の様々な態様は、単独で、組み合わせて、または上述の実施形態では具体的に説明されていない様々な構成で使用することができ、したがって、その応用において、上述の説明で説明された、または図面に示された、コンポーネントの詳細および構成に限定されない。例えば、一実施形態で説明された態様は、他の実施形態で説明された態様といずれかの方法で組み合わせることができる。また、本発明は、方法として具現することができ、それの一例が提供された。方法の部分として実行される行為は、任意の適切な方法で順序付けることができる。したがって、本明細書で説明される例示的な実施形態では順次的な行為として示されていても、いくつかの行為を同時に実行することを含むことができる、説明されたのとは異なる順序で行為が実行される実施形態を構成することができる。請求項要素を修飾するために、請求項内で使用される第1の、第2の、第3のなどの序数詞は、それ自体では、いかなる優先度、優先権、もしくは1つの請求項要素が別の請求項要素よりも上の序列にあること、または方法の行為が実行される時間的順序を含意せず、ある名前を有する1つの請求項要素を序数詞を使用しなければ同じ名前を有する別の要素から区別するためのラベルとしてもっぱら使用されて、請求項要素を区別する。また、本明細書で使用される表現および用語は、説明を目的としたものであり、限定的なものと見なすべきではない。本明細書におけるincluding、comprising、またはhaving、containing、involving、およびこれらの変形の使用は、その後に列挙される項目およびその均等物、ならびに追加項目を包含することが意図されている。