対象を指定する委譲要求を受信するステップと、前記対象がコンピューター実行可能命令を実行するコンピューター装置と同じドメイン内にあるかどうかを調査するステップと、前記対象に委譲するための要件を含む1つまたは複数のポリシーを識別するステップと、前記識別された1つまたは複数のポリシーが満足されるどうかを判定するステップと、前記委譲要求からの情報を含む署名されたトークンを生成するステップと、前記委譲要求を許す署名されたサービスチケットを生成するステップとを含み、前記対象が前記ドメイン内にないことを前記調査が明らかにした場合、前記署名されたトークンを前記生成するステップを実行するための前記コンピューター実行可能命令が実行され、さらに、前記対象が前記ドメイン内にあることを前記調査が明らかにした場合、前記識別するステップ、前記判定するステップ、および前記署名されたサービスチケットを前記生成するステップのための前記コンピューター実行可能命令が実行される、委譲を可能にする方法。前記1つまたは複数のポリシーのうちの少なくとも1つのポリシーが、前記対象によって確立され制御される、請求項1に記載の方法。前記署名されたトークンおよび前記署名されたサービスチケットが別のドメインに送られる、請求項1に記載の方法。前記判定するステップが前記要件に関連付けられた別の情報を要求するステップをさらに含む、請求項1に記載の方法。署名された識別子を受信するステップ、前記署名を確認するステップ、および、前記確認が成功した場合前記受信された識別子に署名するステップをさらに含む、請求項1に記載の方法。前記確認が成功した場合、署名された前記受信された識別子を別のドメインに送るステップをさらに含む、請求項5に記載の方法。請求項1の前記ステップを実行するためのコンピューター実行可能命令を含む、1つまたは複数のコンピューター可読媒体。クライアントコンピューター装置と、第1のバックエンドコンピューター装置を含むコンピューター装置のバックエンドティアと、ミドルティアコンピューター装置であって、前記クライアントコンピューター装置として前記第1のバックエンドコンピューター装置と通信することを前記ミドルティアコンピューター装置が求めることを、第1のドメインコントローラーコンピューター装置に示すステップと、前記ミドルティアコンピューター装置の識別子を前記第1のドメインコントローラーコンピューター装置に提供するステップと、前記第1のバックエンドコンピューター装置および前記ドメインコントローラーコンピューター装置がどちらも同じドメイン内にある場合、前記ミドルティアコンピューター装置が前記クライアントコンピューター装置として前記第1のバックエンドコンピューター装置と通信できることを示すサービスチケットを受信するステップと、前記サービスチケットを前記第1のバックエンドコンピューター装置に与えるステップと、前記第1のバックエンドコンピューター装置が前記第1のドメインコントローラーコンピューター装置とは異なるドメイン内にある場合、前記ミドルティアコンピューター装置が前記クライアントコンピューター装置として前記第1のバックエンドコンピューター装置と通信することを求めることを示すトークンを受信するステップと、前記トークンを第2のドメインコントローラーコンピューター装置に与えるステップとを実行するコンピューター実行可能命令を含む、ミドルティアコンピューター装置と、前記第1のドメインコントローラーコンピューター装置であって、前記第1のバックエンドコンピューター装置が前記第1のドメインコントローラーコンピューター装置も含む前記ドメイン内にあるかどうかを調査するステップと、前記第1のバックエンドコンピューター装置に委譲するための要件を含む1つまたは複数のポリシーを識別するステップと、前記ミドルティアコンピューター装置が前記要件を満たすかどうかを判定するステップと、前記トークンを生成し、署名し、送信するステップと、前記サービスチケットを生成し、署名し、送信するステップとを実行するコンピューター実行可能命令を含み、前記第1のバックエンドコンピューター装置が前記ドメイン内にないことを前記調査するステップが明らかにした場合、前記トークンを前記生成、署名および送信するステップを実行するための前記コンピューター実行可能命令が実行され、さらに、前記第1のバックエンドコンピューター装置が前記ドメイン内にあることを前記調査するステップが明らかにした場合、前記識別するステップ、前記判定するステップ、ならびに、前記署名されたサービスチケットを前記生成、署名および送信するステップを実行するための前記コンピューター実行可能命令が実行される、前記第1のドメインコントローラーコンピューター装置とを含む、システム。前記1つまたは複数のポリシーのうちの少なくとも1つのポリシーが、前記第1のバックエンドコンピューター装置によって確立され制御される、請求項8に記載のシステム。前記コンピューター装置のバックエンドティアが、前記第1のバックエンドコンピューター装置に加えて第2のバックエンドコンピューター装置を含み、さらに、前記ミドルティアコンピューター装置が、前記クライアントコンピューター装置として前記第2のバックエンドコンピューター装置と通信し、前記バックエンドコンピューター装置および前記第2のバックエンドコンピューター装置から受信された情報を集約し、前記集約された情報を前記クライアントコンピューター装置に提供するための、さらなるコンピューター実行可能命令を含む、請求項8に記載のシステム。バックエンド制約委譲モデルbackendconstraineddelegationmodelを提供する。0005一実施形態では、ミドルティアコンピューター装置による、バックエンドティアの一部である1つまたは複数のサーバーコンピューター装置への委譲は、ミドルティアコンピューター装置が1つまたは複数のバックエンドティアコンピューター装置に委譲することをドメインポリシーが許すかどうかによってではなく、むしろ1つまたは複数のバックエンドティアコンピューター装置それぞれの個別のポリシーが、ミドルティアコンピューター装置が自分に委譲することを許すかどうかによって判定することができる。その結果、ドメイン管理者の役割は削減され、代わりに、関連ポリシーの意思決定をバックエンドティアコンピューター装置のシステム管理者によって実行することができ、バックエンドティアコンピューター装置のシステム管理者は、そのようなバックエンドティアコンピューター装置によって提供されるサービスにより精通することができる。0006別の実施形態では、ドメインコントローラーコンピューター装置は、ミドルティアコンピューター装置から1つまたは複数のバックエンドティアコンピューター装置に委譲する要求を受信すると、1つまたは複数のバックエンドティアコンピューター装置がドメインコントローラーのドメイン内にあるかどうかを考慮することができる。バックエンドティアコンピューター装置がドメインコントローラーのドメイン内にある場合、ドメインコントローラーコンピューター装置はサービスチケットまたは他の情報の集合をミドルティアコンピューター装置に提供することができ、サービスチケットまたは他の情報の集合は、ミドルティアサーバーが1つまたは複数のバックエンドティアサーバーに与えて、ミドルティアコンピューター装置がクライアントコンピューター装置として、かつその代わりに動作することを可能にすることができる。しかしながら、バックエンドティアコンピューター装置がドメインコントローラーのドメイン内にない場合、ドメインコントローラーコンピューター装置は、代わりにトークンまたは他の情報の集合をミドルティアコンピューター装置に提供することができ、ミドルティアコンピューター装置は、トークンまたは他の情報の集合を異なるドメインの別のドメインコントローラーコンピューター装置に与えて、その他の異なるドメイン内のバックエンドティアコンピューター装置に対してクライアントコンピューター装置として、かつその代わりに動作することができる。0007さらなる実施形態では、ドメインコントローラーコンピューター装置は、ミドルティアコンピューター装置が、1つまたは複数のバックエンドティアコンピューター装置との通信において、クライアントコンピューター装置として、かつその代わりに動作することを最終的に可能にするために利用できるトークン、サービスチケット、または他の同様なデータを提供する前に、ミドルティアコンピューター装置または他のドメインコントローラーコンピューター装置を検証することができる。0008この概要は、下記詳細説明においてさらに記載される概念を集めたものを簡易化された形で紹介するために提供される。この概要は、特許請求された主題の主要な特徴または本質的な特徴を識別するものではなく、特許請求された主題の範囲を限定するために使用されるものでもない。0009別の特徴および利点は、添付図面を参照して進められる以下の詳細説明から明白にされる。0010以下の詳細説明は、添付図面と併用されると最もよく理解することができる。0017以下の説明は、ミドルティアコンピューター装置がバックエンドティアコンピューター装置に委譲できるかどうかに関する判定が、ミドルティアコンピューター装置が自分に委譲することをバックエンドティアコンピューター装置が許すかどうかによって決定される、委譲モデルに関する。そのような委譲モデルを実装するために、一実施形態では、ドメインコントローラーコンピューター装置は、ミドルティアコンピューター装置からバックエンドティアコンピューター装置に委譲する要求を受信すると、最初にバックエンドティアコンピューター装置がドメインコントローラーのドメイン内にあるかどうかを判定する。バックエンドティアコンピューター装置がドメインコントローラーのドメイン内にある場合、ドメインコントローラーは、サービスチケットまたは他の情報の集合をミドルティアコンピューター装置に提供することができ、サービスチケットまたは他の情報の集合は、ミドルティアコンピューター装置が1つまたは複数のバックエンドティアコンピューター装置に与えて、ミドルティアコンピューター装置がクライアントコンピューター装置として、かつその代わりに動作することを可能にする。しかしながら、バックエンドティアコンピューター装置がドメインコントローラーのドメイン内にない場合、ドメインコントローラーコンピューター装置は、代わりにトークンまたは他の情報の集合をミドルティアコンピューター装置に提供することができ、ミドルティアコンピューター装置は、トークンまたは他の情報の集合を異なるドメインの別のドメインコントローラーコンピューター装置に与えて、その他の異なるドメイン内のバックエンドティアコンピューター装置に対してクライアントコンピューター装置として、かつその代わりに動作することができる。そのような方式では、バックエンドティアコンピューター装置とのその通信において、クライアントコンピューター装置として、かつその代わりに動作するミドルティアコンピューター装置の能力は、バックエンドティアコンピューター装置と同じドメインのドメインコントローラーコンピューター装置によって実施されたポリシーにより、その結果、そのポリシーの指示子としてのバックエンドティアコンピューター装置自体によって、制御することができる。0018本明細書に記載された技法は、サービスチケットまたはトークンなどの特定のタイプの通信および通信要素を参照する。しかしながら、そのような参照は、下記説明によって詳述される処理および意思決定を知らせるために必要な情報を提供するデータの集合に、学名を割り当てるために提供されるにすぎない。そのような参照は、記載された技法を、その述語がしばしば関連付けられる特定の標準化されたプロトコルに限定するものではない。その結果、当業者は、ケルベロスなどの特定の既存の認証および委譲のプロトコルが、下記に詳述される構成要素のうちの少なくともいくつかを実行するために活用できることを認識できるが、本明細書に提供された説明はそのような既存のプロトコルに限定するものではなく、代わりに、下記に記載されるメカニズムおよび処理の個別の態様を提供し遂行できるメッセージおよびデータの任意の集合に等しく適用可能である。同様に、本明細書に記載された技法は、1つまたは複数のドメインコントローラーコンピューター装置を参照する。そのような参照は表記上の便利さおよび理解のしやすさのために行われ、詳細に記載された技法を、完全なドメインコントローラー機能を実行しなければならないコンピューター装置に限定するものではない。代わりに、当業者によって認識されるように、ドメインコントローラーを参照して下記に詳細に記載される機能は、任意の信用がある中央権限のコンピューター装置によって実行することができる。その結果、本明細書において利用されるように、用語ドメインコントローラーは任意の信用がある中央権限を意味し、用語ドメインコントローラーコンピューター装置は、信用がある中央権限を含み実装する1つまたは複数のコンピューター装置を意味する。0019必要ではないが、下記の説明は、コンピューター装置によって実行されるプログラムモジュールなどのコンピューター実行可能命令の一般的な文脈内にある。より詳細には、説明は、特に断りのない限り、1つまたは複数のコンピューター装置または周辺装置によって実行される動作の動きおよび記号表現を参照する。そのため、時々コンピューター実行されたと呼ばれるそのような動きおよび動作は、構造化された形でデータを表現する電気信号の処理単位による操作を含むことが理解されよう。この操作はデータを変換するか、またはメモリ内の場所でそれを保持し、当業者によってよく理解される方式でコンピューター装置または周辺装置の動作を再構成するか、またはその他の方法で変更する。データが保持されるデータ構造は、データのフォーマットによって定義された特定の性状をもつ物理的な場所である。0020一般に、プログラムモジュールは、特定のタスクを実行するか、または特定の抽象データタイプを実装するルーチン、プログラム、オブジェクト、コンポーネント、データ構造などを含む。さらに、コンピューター装置が従来のパーソナルコンピューターに限定される必要はなく、ハンドヘルド装置、マルチプロセッサシステム、マイクロプロセッサベースまたはプログラム可能な家庭用電子装置、ネットワークPC、ミニコンピューター、メインフレームコンピューターなどを含む、他のコンピューター構成を含むことを、当業者は理解されよう。同様に、メカニズムは、通信ネットワークを介してリンクされた分散コンピューター環境内でも実践することができるので、コンピューター装置はスタンドアロンのコンピューター装置に限定される必要はない。分散コンピューター環境では、プログラムモジュールはローカルとリモートのどちらのメモリ記憶装置内にも位置することができる。0021図1を参照すると、下記に記載される方法の中で使用され、方法を支援できるハードウェア構成要素を一部に含む、例示的なコンピューター装置100が示される。例示的なコンピューター装置100は、1つまたは複数の中央処理装置CPU120、システムメモリ130、および、システムメモリを含むさまざまなシステム構成部品を処理装置120に結合するシステムバス121を含むことができるが、それらに限定されない。システムバス121は、メモリバスまたはメモリコントローラー、周辺機器用バス、および、任意のさまざまなバスアーキテクチャを使用するローカルバスを含む、任意のいくつかのタイプのバス構造であり得る。特定の物理的な実装形態に応じて、CPU120、システムメモリ130、および、コンピューター装置100の他の構成部品のうちの1つまたは複数は、単一チップ上などの物理的に同一の場所に配置することができる。そのような場合、システムバス121の一部または全部は単一チップ構造内のシリコン経路にすぎず、図1でのその例示は例示目的のための表記上の便利さにすぎない。0022また、通常、コンピューター装置100はコンピューター可読媒体を含み、コンピューター可読媒体は、コンピューター装置100によってアクセスできる任意の利用可能な媒体を含むことができる。例として、かつ限定なしに、コンピューター可読媒体はコンピューター記憶媒体および通信媒体を含むことができる。コンピューター記憶媒体は、コンピューター可読命令、データ構造、プログラムモジュール、または他のデータなどの情報を格納するための任意の方法または技術で実装された媒体を含む。コンピューター記憶媒体は、所望の情報を格納するために使用でき、コンピューター装置100によってアクセスできる、RAM、ROM、EEPROM、フラッシュメモリ、もしくは他のメモリ技術、CD-ROM、デジタル多用途ディスクDVD、もしくは他の光ディスク記憶装置、磁気カセット、磁気テープ、磁気ディスク記憶装置、もしくは他の磁気記憶装置、またはその他の媒体を含むが、それらに限定されない。通信媒体は、通常、コンピューター可読命令、データ構造、プログラムモジュール、または他のデータを、搬送波または他の搬送機構などの変調データ信号で具現化し、任意の情報送達媒体を含む。例として、かつ限定なしに、通信媒体は、有線ネットワークまたは直接有線接続などの有線媒体、ならびに、音響、RF、赤外線、および他の無線媒体などの無線媒体を含む。上記の任意の組合せも、コンピューター可読媒体の範囲内に含まれるべきである。0023通信媒体を使用すると、コンピューター装置100は、1つまたは複数のリモートコンピューターへの論理接続を介して、ネットワーク化された環境で動作することができる。図1で描写された論理接続は、ローカルエリアネットワークLAN、インターネットなどのワイドエリアネットワークWAN、または他のネットワークであり得るネットワーク180への汎用ネットワーク接続171である。コンピューター装置100は、ネットワークインタフェースまたはアダプター170を介して汎用ネットワーク接続171に接続され、ネットワークインタフェースまたはアダプター170はシステムバス121に接続される。ネットワーク化された環境では、コンピューター装置100またはその一部もしくは周辺装置に関連して描写されたプログラムモジュールは、汎用ネットワーク接続171を介してコンピューター装置100に通信結合された1つまたは複数の他のコンピューター装置のメモリに格納することができる。図示されたネットワーク接続は例示的であり、コンピューター装置間の通信リンクを確立する他の手段を使用できることが理解されよう。0024コンピューター記憶媒体の中で、システムメモリ130は、リードオンリメモリROM131およびランダムアクセスメモリRAM132を含む、揮発性および/または不揮発性メモリの形態のコンピューター記憶媒体を含む。とりわけコンピューター装置100をブートするためのコードを含む基本入出力システム133BIOSは、ROM131に格納される。RAM132は、通常、処理装置120によってすぐにアクセスできるデータ、および/または処理装置120によって現在実行されているプログラムモジュールを含む。例として、かつ限定なしに、図1は、オペレーティングシステム134、他のプログラムモジュール135、およびプログラムデータ136を示す。RAM132は、TCGイベントログ190などのTPM150の動作に関連し得るデータをさらに含むことができる。一実施形態では、TCGイベントログ190は、通電されてから、または最後にリスタートされてからコンピューター装置100によってロードされるか、または実行されたすべてのモジュール、すなわちそのローディングまたは実行が1つまたは複数のPCRでTPM150によって現在保持されている値をもたらした可能性がある同じモジュールの、ユニークな識別を含むことができる。0025また、コンピューター装置100は、他のリム-バル/非リム-バル、揮発性/不揮発性のコンピューター記憶媒体を含むことができる。例にすぎないが、図1は、非リム-バル、不揮発性の媒体に読み書きするハードディスクドライブ141を示す。例示的なコンピューター装置で使用できる他のリム-バル/非リム-バル、揮発性/不揮発性のコンピューター記憶媒体は、磁気テープカセット、フラッシュメモリカード、デジタル多用途ディスク、デジタルビデオテープ、半導体RAM、半導体ROMなどを含むが、それらに限定されない。ハードディスクドライブ141は、通常、インタフェース140などの非リム-バルメモリインタフェースを介して、システムバス121に接続される。0026上述され、図1で示されたドライブおよびそれらに関連するコンピューター記憶媒体は、コンピューター装置100用のコンピューター可読命令、データ構造、プログラムモジュール、および他のデータを格納する。図1では、例えばハードディスクドライブ141は、オペレーティングシステム144、他のプログラムモジュール145、およびプログラムデータ146を格納するように示される。これらの構成部品は、オペレーティングシステム134、他のプログラムモジュール135、およびプログラムデータ136と同じでもよいし、異なってもよいことに留意されたい。オペレーティングシステム144、他のプログラムモジュール145、およびプログラムデータ146は、少なくともそれらが異なるコピーであることを示すために、本明細書では異なる番号が与えられる。0027図2を参照すると、その中に示されたシステム200は、4台のコンピューター装置、すなわちクライアントコンピューター装置210、ミドルティアコンピューター装置220、バックエンドコンピューター装置230、およびドメインコントローラーコンピューター装置240を含む。これらのコンピューター装置のそれぞれは、たった今記載した例示的なコンピューター装置100の形態になることができ、例示的なコンピューター装置100を参照して上記に詳述された構成部品の一部または全部を含むことができる。図2のシステム200のコンピューター装置は、ネットワーク180への通信接続を介して通信結合されているように示される。説明を簡単にするために、ネットワーク180は単一の図解的な構成要素によって図示されるが、単一のネットワークドメインまたはその他の同様なネットワーク区分もしくは構造に限定されるものではなく、図2のシステム200でも示されたドメインA290の外側にあるネットワークを説明するものでもない。代わりに、図で利用されるように、ネットワーク180は、示されたさまざまなドメインを含む、図で示されたシステムコンピューター装置間のネットワーク通信接続のすべてを表現するものであり、直接と間接のどちらの通信接続も表現するものである。したがって、例えば図2で示されたシステム200は、それによりクライアントコンピューター装置210が、ネットワーク180を介してミドルティアコンピューター装置220と直接的または間接的に通信できる、一連の例示的な通信を示す。図2のシステム200は、それによりミドルティアコンピューター装置220が、再度ネットワーク180を介してドメインコントローラーコンピューター装置240およびバックエンドコンピューター装置230と、再度直接的または間接的に通信できる、例示的な一連の通信をさらに示す。したがって、ミドルティアコンピューター装置220、ドメインコントローラーコンピューター装置240、およびバックエンドコンピューター装置230は、すべて同じドメインA290の一部として示されるが、以前に示したように、ネットワーク180はドメインA290を含むものと考えられ、ドメインA290とは別個でそれから離れたネットワーク装置として考えられるものではない。下記に詳述されるように、図示された通信は、バックエンドコンピューター装置230などのバックエンドティアコンピューター装置に対して、ミドルティアコンピューター装置220がクライアントコンピューター装置210の代わりに動作することを可能にできる委譲メカニズムの例示的な動作を示す。0028最初に、図2のシステム200によって示されたように、クライアントコンピューター装置210は、ドメインコントローラーコンピューター装置240によって署名できるクライアント識別子または他のデータの集合を、通信215を介して提供することにより、ミドルティアコンピューター装置220などのミドルティアコンピューター装置にそれ自体を認証することができる。例えば、一実施形態では、ミドルティアコンピューター装置220との通信215などの通信を開始する前に、クライアントコンピューター装置210は、最初にドメインコントローラーコンピューター装置240からクライアント識別子を取得することができる。当業者によって認識されるように、ドメインコントローラーコンピューター装置240は、そのようなクライアント識別子を提供する前に、クライアントコンピューター装置210の評価を実行することができる。例えば、ドメインコントローラーコンピューター装置240は、クライアントコンピューター装置210が、例えばアンチマルウェアソフトウェアアプリケーションプログラムの最新バージョンがインストールされていること、または別の例として、クライアントコンピューター装置210に存在するさまざまなオペレーティングシステムおよびソフトウェアアプリケーションプログラム用に最新パッチがインストールされていること、などの関連するセキュリティ設定に準拠することを確認することができる。そのような情報は、ドメインコントローラーコンピューター装置240とのその通信の一部として、クライアントコンピューター装置210によって提供することができ、例えば、クライアントコンピューター装置210によってセキュリティ検証可能な方式で保持することができるイベントログを参照して、ドメインコントローラーコンピューター装置で確認することができる。0029クライアントコンピューター装置210がドメインコントローラーコンピューター装置240によって制御され図2で示された網掛けされた領域によって示されたドメインA290内の他のコンピューター装置と通信することが許されると、ドメインコントローラーコンピューター装置240が判定すると、ドメインコントローラーコンピューター装置240は、クライアント識別子または他の識別データの集合をクライアントコンピューター装置210に提供することができる。そのようなクライアント識別子または他の識別データは、ドメインコントローラー240によって署名することができ、その結果ドメインA290内の他のコンピューター装置がその信頼性を確認することができる。例えば、ミドルティアコンピューター装置220およびバックエンドコンピューター装置230などのドメインA290内のその他のコンピューター装置のそれぞれは、ドメインコントローラーコンピューター装置240の公開鍵へのアクセス権をもつことができる。したがって、ドメインコントローラーコンピューター装置240が、ドメインA290内のその他のコンピューター装置が所有する公開鍵に対応するその公開鍵でクライアント識別子に署名した場合、その他のコンピューター装置のそれぞれは、当業者によく知られている方式でその公開鍵を参照して、そのような署名を確認することができる。あるいは、公開鍵/専用鍵のペアに依存するよりむしろ、署名は、ドメインコントローラーコンピューター装置240と、ドメインコントローラーコンピューター装置240と通信するドメインA290などのドメイン内のコンピューター装置との間で保持された、1つまたは複数の共有対称鍵で実行することができる。0030したがって、クライアントコンピューター装置210が通信215を介してミドルティアコンピューター装置220にそのクライアント識別子を送信すると、ミドルティアコンピューター装置220は、例えばドメインコントローラーコンピューター装置240の公開鍵を利用して、通信215内でクライアントコンピューター装置210によって提供されたクライアント識別子が、実際にはドメインコントローラーコンピューター装置240によって署名されたことを確認することができる。クライアントコンピューター装置210のそのような確認に続いて、ミドルティアコンピューター装置220は、クライアントコンピューター装置210からの要求を受け入れることができ、それらの要求の一部として、クライアントコンピューター装置210のユーザーが要求された情報または資源にアクセスすることを認可することを証明するために、クライアントコンピューター装置210が何らかの識別または認証の情報を提供することを要求することができる。さらに下記に詳述されるように、そのような識別および認証の情報は、その後、バックエンドコンピューター装置230などのバックエンドティアコンピューター装置に対してクライアントコンピューター装置210の代わりに動作するために、ミドルティアコンピューター装置220によって利用することができる。0031以前に示したように、クライアントコンピューター装置210のユーザーによって要求された情報または資源は、必ずしもミドルティアコンピューター装置220と同一の場所に配置されなくてもよい。代わりに、ミドルティアコンピューター装置220は、クライアントコンピューター装置210用の単一の通信エンドポイントとして動作して、無数の要求のうちの任意の1つを行うことができ、次いで、ミドルティアコンピューター装置220は、バックエンドコンピューター装置230などの適切なバックエンドティアコンピューター装置と通信して、クライアントコンピューター装置210のユーザーによって要求された、関連する情報または資源にアクセスすることができる。そのような方式では、ミドルティアコンピューター装置220などの単一のミドルティアコンピューター装置は、複数のバックエンドティアコンピューター装置全体にわたって分散することができる無数の情報または他の資源にアクセスすることができるが、説明を簡単にするために、単一のバックエンドティアコンピューター装置のみ、すなわちバックエンドコンピューター装置230が図2のシステム200で示される。0032通信215を介して送信されたクライアントIDなどを参照して、ミドルティアコンピューター装置220がクライアントコンピューター装置210を検証した後、かつ、図が混み合わないようにするためにその通信は図2のシステム200では明確に示されていないが、ミドルティアコンピューター装置220が識別および認証の情報をクライアントコンピューター装置210のユーザーから受信した後、ミドルティアコンピューター装置220は、あたかもクライアントコンピューター装置210であったように、バックエンドコンピューター装置230などの適切なバックエンドティアコンピューター装置と通信することが許されるように要求することができる。一実施形態では、そのような要求225は、ドメインコントローラーコンピューター装置240が要求225を評価し、それに基づいて動作するために利用できる情報と一緒に、ドメインコントローラーコンピューター装置240に送信することができる。例えば、図2のシステム200で示されたように、ミドルティアコンピューター装置220は、要求225で、クライアントコンピューター装置210から通信215を介して受信したクライアント識別子250を提供することができ、クライアント識別子250はドメインコントローラーコンピューター装置240によって署名される。同様に、また示されたように、ミドルティアコンピューター装置220は、要求225で、クライアント識別子250のようにドメインコントローラーコンピューター装置240によって署名される、それ自体の識別子260を提供することができる。0033一実施形態では、ドメインコントローラーコンピューター装置240は、要求225ならびに識別子250および260を受信すると、それぞれ識別子250および260を参照して、クライアントコンピューター装置210およびミドルティアコンピューター装置220を確認することができる。ドメインコントローラーコンピューター装置は、またミドルティアコンピューター装置220がバックエンドコンピューター装置230に委譲することを許すかどうかを判定する前に、ミドルティアコンピューター装置220が委譲することを望むバックエンドコンピューター装置230が、実際にはドメインコントローラーコンピューター装置240のドメインA290内にあるかどうかを、最初に判定することができる。したがって、破線235によって図2のシステム200で表現されたように、ドメインコントローラーコンピューター装置240は、バックエンドコンピューター装置230がそのドメイン290内にあるかどうかを判定することができる。バックエンドコンピューター装置230がドメインA290内にある場合、ドメインコントローラーコンピューター装置240は、1つまたは複数のポリシーを参照して、ミドルティアコンピューター装置220が自分に委譲することをバックエンドコンピューター装置230が許すかどうかを判定することができる。0034一実施形態では、ミドルティアコンピューター装置220が自分に委譲することをバックエンドコンピューター装置230が許すかどうかのドメインコントローラーコンピューター装置240による判定は、少なくとも一部は、バックエンドコンピューター装置230自体によって確立できるポリシーにより、またはより詳細には、バックエンドコンピューター装置230の管理者によって知らせることができる。当業者によって認識されるように、バックエンドコンピューター装置230は自分に委譲することを誰に任せることができるか適正に判定することを任せることができるので、バックエンドコンピューター装置230がポリシーを設定することを許すことは、何らかのセキュリティリスクを呼び込むか、またはドメインコントローラーコンピューター装置240の機能を不法に用いる必要はない。別の表現で言うと、バックエンドコンピューター装置230は、自分に委譲することを他に任せるための基準を規定するポリシーを確立することを任せることができる。0035一実施形態では、ドメインコントローラーコンピューター装置240は、ミドルティアコンピューター装置220が自分に委譲することをバックエンドコンピューター装置230が許すかどうかを判定する1つまたは複数のポリシーを評価しながら、クライアントコンピューター装置210を参照して上述された方式と同様の方式で、ミドルティアコンピューター装置220の評価を実行することができる。例えば、ドメインコントローラーコンピューター装置240は、ミドルティアコンピューター装置220が、例えばアンチマルウェアソフトウェアアプリケーションプログラムの最新バージョンがインストールされていること、または別の例として、クライアントコンピューター装置210に存在するさまざまなオペレーティングシステムおよびソフトウェアアプリケーションプログラム用に最新パッチがインストールされていること、などの関連するセキュリティ設定に準拠することを確認することができる。より詳細には、ドメインコントローラーコンピューター装置240によって参照されるポリシーは、示されたようにバックエンドコンピューター装置230によって確立できるポリシーを含み、例えば、たった今記載した関連するセキュリティ設定を参照する条件を含む特定の条件が満たされた場合にのみ、ミドルティアコンピューター装置220が自分に委譲することをバックエンドコンピューター装置230が許すことを、指定することができる。しかしながら、関連するポリシーは、ミドルティアコンピューター装置220のセキュリティ態様の分析のみに限定されず、代わりに、例えば利用されるオペレーティングシステムのタイプ、取り付けられた周辺装置のタイプ、コンピューター装置のハードウェア構成、または、その他の情報もしくは情報の集合を含む、任意の情報または情報の集合に基づいて、バックエンドコンピューター装置230に委譲することを許されるコンピューター装置を限定することができる。そのような情報は、ドメインコントローラーコンピューター装置240によりミドルティアコンピューター装置220から、ミドルティアコンピューター装置220の識別子260の一部として、またはドメインコントローラーコンピューター装置240とミドルティアコンピューター装置220の間の次の通信の一部として、収集することができる。0036一実施形態では、ミドルティアコンピューター装置220がバックエンドコンピューター装置230に委譲することを許すかどうかを判定するために、ドメインコントローラーコンピューター装置240によって参照される1つまたは複数のポリシーは、ミドルティアコンピューター装置220に存在するサービス、ならびに物理的なミドルティアコンピューター装置220自体の両方を参照することができる。そのような実施形態では、ミドルティアコンピューター装置220の識別子260は、物理的なコンピューター装置自体の識別子だけでなく、ミドルティアコンピューター装置220上で実行され、委譲を実行するための、1つもしくは複数のサービスまたは他のコンピューター実行可能命令の集合の識別子をも含むことができる。その結果、下記説明の目的のために、ミドルティアコンピューター装置220の識別子260などの識別子への参照は、物理装置自体の識別子、委譲を実行するための1つもしくは複数のサービスまたは他の実行するコンピューター実行可能命令の識別子、またはその組合せを含むものである。0037そのようなポリシーを考慮して、ミドルティアコンピューター装置220が自分に委譲することをバックエンドコンピューター装置230が許すとドメインコントローラーコンピューター装置240が判定した場合、ドメインコントローラーコンピューター装置240は、通信245によって示されたように、ドメインコントローラーによって署名できるサービスチケットまたは他の情報の集合を提供することができ、サービスチケットまたは他の情報の集合は、ミドルティアコンピューター装置220がクライアントコンピューター装置210としてバックエンドコンピューター装置230と通信することが許されることを示すことができる。次いで、ミドルティアコンピューター装置220は通信245を受信すると、以前にクライアントコンピューター装置210から受信した要求を、通信255によって示されたようにバックエンドコンピューター装置230に対して次に行うことができる。また、通信255は、図2のシステム200によって示されたように、通信245を介してミドルティアコンピューター装置220によりドメインコントローラーコンピューター装置240から受信することができた、サービスチケット270を含むことができる。0038図が混み合わないようにするために図2のシステム200では詳細に示されていないが、バックエンドコンピューター装置230は、ドメインコントローラーの公開鍵などを参照して、クライアント要求255で提供されたサービスチケット270を評価して、それが実際には適切および適正な署名付きサービスチケットであることを確認することができ、バックエンドコンピューター装置230がそのように判定した場合、あたかもミドルティアコンピューター装置220がクライアントコンピューター装置210であったように、ミドルティアコンピューター装置220との通信に進むことができる。そのため、クライアントコンピューター装置210がバックエンドコンピューター装置230と直接通信していた場合、バックエンドコンピューター装置230に対してそれ自体を認証する必要があったのと同じように、バックエンドコンピューター装置230はミドルティアコンピューター装置220が認証することを要求することができる。そのような認証では、バックエンドコンピューター装置230は、クライアントコンピューター装置210それ自体の識別情報に基づいて、クライアントコンピューター装置210の個別のユーザーもしくはユーザーのグループの識別情報に基づいて、またはそれらの任意の組合せで、クライアントの要求を認可するかどうかを判定することができる。その結果、そのような認証の目的のために、ミドルティアコンピューター装置220は、そのような情報をクライアントコンピューター装置210から取得することができ、最初の通信255の一部として、または次の通信の一部として、それをバックエンドコンピューター装置230に提供することができる。0039そのような方式では、ミドルティアコンピューター装置220は、バックエンドコンピューター装置230から、クライアントコンピューター装置210によって要求された情報および資源を取得することができ、その後、ミドルティアコンピューター装置220は、クライアントコンピューター装置の元の要求に応じて、そのような情報および資源をクライアントコンピューター装置210に返すことができる。当業者によって認識されるように、別のバックエンドティアコンピューター装置をドメインA290内に追加することができ、ミドルティアコンピューター装置220は、同様の方式でそれらのバックエンドティアコンピューター装置に委譲することが許され、それによって、クライアントコンピューター装置210がその情報およびそれらの資源にアクセスするために、単一の通信参照先、恐らくミドルティアコンピューター装置220をもつことを依然可能にしながら、ミドルティアコンピューター装置220が潜在的に実質的に無制限の量の情報および資源にアクセスすることが可能になる。さらに、今記載されたメカニズムは再帰的な方式で利用することができ、そこでは、例えばバックエンドコンピューター装置230が今度はミドルティアコンピューター装置として動作することができ、さらに、異なるバックエンドコンピューター装置に委譲することができる。そのようなさらなる委譲は、本明細書に記載されたメカニズムに従って実行することができ、類似の方式で評価できる個別に設定可能なポリシーに基づくことができる。0040以前に示したように、図2の例示的なシステム200は単一のバックエンドコンピューター装置230のみを示すが、本明細書に提供された説明は、単一のミドルティアコンピューター装置と複数のバックエンドティアコンピューター装置との間の通信に等しく適用可能であり、そこではミドルティアコンピューター装置はクライアントコンピューター装置用のアグリゲーターとして動作する。例えば、クライアントコンピューター装置210が、例えばバックエンドコンピューター装置230および他のバックエンドティアコンピューター装置を含む複数のバックエンドティアコンピューター装置全体にわたって分散した情報に対する要求を行った場合、ミドルティアコンピューター装置220は、上述した方式および下記でさらに詳細に記載される方式と同様の方式で、そのような他のバックエンドティアコンピューター装置に委譲することができる。次いで、ミドルティアコンピューター装置220は、図2に示され、本明細書における説明で参照されたバックエンドコンピューター装置230を含むことができるそれらの複数のバックエンドティアコンピューター装置から関連情報を取得することができ、クライアントコンピューター装置210用のそのような情報を収集し集約した後、そのような装置によって行われた要求への応答として、クライアントコンピューター装置210にそれを与えることができる。0041他の実施形態では、ミドルティアコンピューター装置220がクライアントコンピューター装置210の代わりに委譲する必要があるバックエンドコンピューター装置230は、クライアントコンピューター装置210の要求に応答するために、必ずしもドメインA290などの同じドメイン内になくてもよい。図3を参照すると、その中に示されたシステム300はマルチドメインシステムを示し、そこではドメインコントローラーコンピューター装置240およびミドルティアコンピューター装置220はドメインA290内に留まるが、ミドルティアコンピューター装置220が委譲する必要があるバックエンドコンピューター装置230は、それ自体のドメインコントローラーコンピューター装置340をもつことができるドメインB390の一部であり得る。ドメインA290のドメインコントローラーコンピューター装置240をドメインB390のドメインコントローラーコンピューター装置340から区別する目的で、簡略記号DC1がドメインA290のドメインコントローラー240を参照するために図3で利用され、簡略記号DC2がドメインB390のドメインコントローラー340を参照するために図3で利用される。さらに、図2で以前に示された同じ通信および構成要素は、図3のシステム300でそれらの同じ数字識別子を保持する。0042したがって、図3のシステム300が示すように、クライアントコンピューター装置210は、以前に記載された方式でミドルティアコンピューター装置220と依然通信することができ、ミドルティアコンピューター装置220も、以前に記載された方式でドメインコントローラーコンピューター装置240と依然通信することができる。しかしながら、ミドルティアコンピューター装置220から以前に記載された通信225を介して、クライアントコンピューター装置210としてバックエンドコンピューター装置230と通信する要求を受信すると、以前にも記載したように、ドメインコントローラーコンピューター装置240は、破線235によって示されたように、バックエンドコンピューター装置230がドメインコントローラーコンピューター装置240と同じドメイン、すなわちドメインA290内にあるかどうかを判定することができる。図3のシステム300によって表現された特定の例では、図に示すように、バックエンドコンピューター装置230はドメインコントローラーコンピューター装置240と同じドメイン内にはない。0043その結果、ドメインコントローラーコンピューター装置240は、ミドルティアコンピューター装置220が自分に委譲することをバックエンドコンピューター装置230が許すかどうかを判定するポリシーを評価するよりむしろ、代わりに、通信315を介してミドルティアコンピューター装置220に、ドメインコントローラーコンピューター装置240によって署名できるトークンまたは他の情報の集合を提供することができる。そのようなトークンまたは他の情報の集合により、ミドルティアコンピューター装置220がその委譲要求を、図3の示された例ではドメインコントローラーコンピューター装置340などの異なるドメインコントローラーコンピューター装置に送ることが可能になる。したがって、一実施形態では、通信315を介して提供されたトークンは、ドメインコントローラーコンピューター装置340に送ることができる。0044通信315によって提供されたトークンを受信すると、ミドルティアコンピューター装置220は、以前に記載された要求225に類似し得る要求325を、ドメインB390内のドメインコントローラーコンピューター装置340に送信することができる。しかしながら、以前に記載された要求225も、ドメインコントローラーコンピューター装置240によって両方とも署名されるクライアント識別子250およびミドルティア識別子260を含んだが、ミドルティアコンピューター装置220がドメインコントローラーコンピューター装置340に送った要求325は、通信315によって受信された、以前に記載されたトークンであり得るトークン320を含むことができ、ドメインコントローラーコンピューター装置240によって署名されるミドルティアコンピューター装置220の識別子330も含むことができる。一実施形態では、通信315を介して提供されたトークン320のように、ミドルティアコンピューター装置220の識別子330は、同様にドメインコントローラーコンピューター装置340に送ることができる。そのような実施形態では、通信315の一部として、または、通信315とともに発生する通信の一部として、ミドルティアコンピューター装置220は、ドメインコントローラーコンピューター装置240から、ドメインコントローラーコンピューター装置240によって署名され、ドメインコントローラーコンピューター装置340に送られる識別子330を、要求またはその他の方法で受信することができる。さらに、一実施形態では、トークン320および識別子330は、例えばドメインコントローラーコンピューター装置240から直接提供された経路、または他の代替の経路を含む代替の経路を介して、ドメインコントローラーコンピューター装置340に送信することができる。0045ドメインコントローラーコンピューター装置340が要求325を受信すると、最初に、ドメインコントローラーコンピューター装置240に関して以前に記載された方式に類似する方式で、要求325によって参照されるバックエンドコンピューター装置230が、ドメインコントローラーコンピューター装置340と同じドメイン、すなわち図3に示された例示的なシステム300におけるドメインB390内にあるかどうかを判定することができる。前述のように、そのような判定は破線335を介して図3で示される。本例では、バックエンドコンピューター装置230はドメインコントローラーコンピューター装置340と同じドメイン、すなわちドメインB390内にあるので、ドメインコントローラーコンピューター装置340は、1つまたは複数のポリシーなどを参照して、ミドルティアコンピューター装置220が自分に委譲することをバックエンドコンピューター装置230が許すかどうかを、次に判定することができる。0046そのような判定を行う際に、ドメインコントローラーコンピューター装置340は、要求325の一部としてミドルティアコンピューター装置220によって提供されたトークン320およびミドルティア識別子330が、ドメインコントローラーコンピューター装置240によって適正に署名されたことを最初に確認することができる。例えば、ドメインコントローラーコンピューター装置340は、ドメインコントローラーコンピューター装置340がアクセス権を有するドメインコントローラーコンピューター装置240の公開鍵を参照して、そのような判定を行うことができる。ドメインコントローラーコンピューター装置340は、そのような確認を実行すると、ミドルティアコンピューター装置220がバックエンドコンピューター装置230などによりそれに委譲することを許されるかどうかを判定するために、1つまたは複数のポリシーを調査することができる。以前に示したように、バックエンドコンピューター装置230は自分に委譲することを誰に任せることができるか適正に判定することを任せることができるので、ドメインコントローラーコンピューター装置340によって調査されるポリシーは、バックエンドコンピューター装置230によって確立されたポリシーを含むことができる。また以前に示したように、ドメインコントローラーコンピューター装置340によって調査されるポリシーは、例えば、ミドルティアコンピューター装置220によって実行されるオペレーティングシステム、ミドルティアコンピューター装置220のハードウェア、および、最新のパッチが適用されているか、アンチマルウェアソフトウェアの最新バージョンが利用されているかなどのミドルティアコンピューター装置220のセキュリティ属性を含む、ミドルティアコンピューター装置220の実質的に任意の態様を参照することができる。そのような情報は、ミドルティアコンピューター装置220により通信325を介してドメインコントローラーコンピューター装置340に提供できるミドルティア識別子330に含むことができるか、または別法として、そのような情報は、通信325とともに実行されるドメインコントローラーコンピューター装置340とミドルティアコンピューター装置220の間のさらなる通信交換を介して提供することができる。0047上記の評価に基づいて、ミドルティアコンピューター装置220がバックエンドコンピューター装置230に委譲することを許されるべきとドメインコントローラーコンピューター装置340が判定した場合、ドメインコントローラーコンピューター装置は図3に示された通信345を介して、サービスチケットまたは他の情報の集合を提供することができ、サービスチケットまたは他の情報の集合はドメインコントローラーコンピューター装置340によって署名することができ、ミドルティアコンピューター装置220がバックエンドコンピューター装置230に委譲することを可能にすることができる。以前に記載したように、次いで、ミドルティアコンピューター装置220は、最初はクライアントコンピューター装置210によりミドルティアコンピューター装置220に対して行われた、バックエンドコンピューター装置230に対する要求を、通信355によって示されたように行うことができる。さらに、要求355は、通信345を介してドメインコントローラーコンピューター装置340から提供できたサービスチケット370を含むことができる。0048前述のように、要求355を受信すると、バックエンドコンピューター装置230は、サービスチケット370を評価し、それが、図3に示された図解例内のドメインB390などの、バックエンドコンピューター装置230を含むドメインのドメインコントローラーコンピューター装置340によって適正に署名されたことを確認することができる。バックエンドコンピューター装置230がサービスチケット370を確認した場合、あたかもミドルティアコンピューター装置220がクライアントコンピューター装置210であったかのように、バックエンドコンピューター装置230はミドルティアコンピューター装置220との通信に進むことができる。そのような方式では、ミドルティアコンピューター装置220は、クライアントコンピューター装置210の代わりにバックエンドコンピューター装置230から情報および資源を取得することができ、次いで、クライアントコンピューター装置210によりミドルティアコンピューター装置220に送られた要求に応じて、その情報およびそれらの資源をクライアントコンピューター装置210に与えることができる。0049ある特定の状況では、ミドルティアコンピューター装置220は、最終的にバックエンドコンピューター装置230などのバックエンドティアコンピューター装置に委譲できる前に、2つ以上のドメイン内のドメインコントローラーコンピューター装置と通信する必要があり得る。そのような状況では、ドメインコントローラーコンピューター装置の動作、および当然システム全体の動作は、上述の方式に類似する方式で進めることができる。図4を参照すると、その中に示されたシステム400は、そのようなシステム、ならびにその中に示されたさまざまな構成要素の動作および通信の説明のための一例を提供する。図に示すように、ミドルティアコンピューター装置220は、バックエンドコンピューター装置230に委譲することを試みる際に、最初に通信225を介してドメインコントローラーコンピューター装置240にコンタクトすることができ、ドメインコントローラーコンピューター装置240は、破線235によって示された評価に基づいて、バックエンドコンピューター装置230がドメインコントローラーコンピューター装置240のドメイン、すなわち図4の例示的なシステム400におけるドメインA290内にないことを判定することができる。その結果、前述のように、ドメインコントローラーコンピューター装置240は、通信315などを介してミドルティアコンピューター装置220に、別のドメインコントローラーコンピューター装置に対するトークンを提供することができる。次いで、以前にも記載したように、ミドルティアコンピューター装置220は通信325を介してトークン320およびミドルティア識別子330を、異なるドメイン、すなわち図4に示された例示的なシステム400におけるドメインB390内のドメインコントローラーコンピューター装置340に提供することができる。0050しかしながら、図4の例示的なシステム400では、ミドルティアコンピューター装置220が委譲することを求めるバックエンドコンピューター装置230は、ドメインB390の一部ではない。代わりに、一実施形態では、ドメインB390は、図4に示された例示的なシステム400におけるドメインC490などのバックエンドコンピューター装置230をもつドメインに近いドメインにすぎない可能性がある。ドメインB390のドメインコントローラーコンピューター装置340は、それに対するトークンが生成され、ミドルティアコンピューター装置220に提供されると、ドメインB390がバックエンドコンピューター装置230により近かったとドメインコントローラーコンピューター装置240が信じたので、ドメインコントローラーコンピューター装置240によって選択された可能性がある。一実施形態では、少なくとも、ドメインコントローラーコンピューター装置240は、次のドメインコントローラーコンピューター装置を選択する際に、参照が最終的に一巡してそれ自体に戻ってこないことを保証することができる。図4の例示されたシステム400に戻ると、図4で破線335によって示されたような、ドメインコントローラーコンピューター装置340によるバックエンドコンピューター装置230がそのドメイン内にあるかどうかの判定は、バックエンドコンピューター装置230が、実際にはドメインコントローラーコンピューター装置340と同じドメイン、すなわちドメインB390内にないことを明らかにすることができる。その結果、ドメインコントローラーコンピューター装置240を参照して上述された方式に類似する方式で、ドメインコントローラーコンピューター装置340は、ドメインコントローラーコンピューター装置340によって署名され、ミドルティアコンピューター装置220がバックエンドコンピューター装置230とのその通信においてクライアントコンピューター装置210として動作することを求めることを示すトークンを、ミドルティアコンピューター装置220に提供する応答345をミドルティアコンピューター装置220に提供することができる。前述のように、一実施形態では、通信345を介して提供されたトークンは、ドメインC490内のドメインコントローラーコンピューター装置440などの、別の特定のドメインコントローラーコンピューター装置に送ることができる。前述のように、図4に示されたドメインコントローラーコンピューター装置を区別するために、ドメインコントローラーコンピューター装置440を参照する簡易記号DC3が図4で利用される。0051ドメインコントローラーコンピューター装置340から通信345を受信すると、ミドルティアコンピューター装置220は、前述のように、クライアントコンピューター装置210としてバックエンドコンピューター装置230と通信する要求425を、図4で示された例示的なシステム400ではドメインコントローラーコンピューター装置440などの、通信345によって指定されたその他のドメインコントローラーコンピューター装置に送ることができる。要求425は、ドメインコントローラーコンピューター装置340から通信345によって受信された可能性があるトークン420、およびミドルティア識別子430を含むことができる。一実施形態では、ドメインコントローラーコンピューター装置340によって署名されたミドルティア識別子430を取得するために、ミドルティアコンピューター装置220は、ミドルティアコンピューター装置220がドメインコントローラーコンピューター装置340に要求325の一部として提供したミドルティア識別子330に基づいて、ドメインコントローラーコンピューター装置340がそのような識別子430を生成することを要求することができる。ドメインコントローラーコンピューター装置340がドメインコントローラーコンピューター装置240を信用する場合、ドメインコントローラーコンピューター装置340は、以前はドメインコントローラーコンピューター装置240によって署名されたミドルティア識別子330内の情報に、それ自体が署名することによりミドルティア識別子430を生成することができる。前述のように、一実施形態では、ミドルティア識別子430およびトークン420は、はっきり限定してドメインコントローラーコンピューター装置440に送ることができる。0052次いで、ドメインコントローラーコンピューター装置440は、ドメインコントローラーコンピューター装置240およびドメインコントローラーコンピューター装置340に関して以前に記載された方式に類似する方式で進めることができる。詳細には、破線435によって示されたように、ドメインコントローラーコンピューター装置440は、要求425の一部として識別されたバックエンドコンピューター装置230が、実際にはドメインコントローラーコンピューター装置440と同じドメイン、すなわち図4の例示的なシステム400におけるドメインC490内にあることを確認することができる。図4の図解例では、バックエンドコンピューター装置230がドメインコントローラーコンピューター装置440と同じドメイン内にあるので、ドメインコントローラーコンピューター装置440は、例えば、ミドルティアコンピューター装置220が自分に委譲することをバックエンドコンピューター装置230が許すどうかを判定するために、バックエンドコンピューター装置230によって確立されたポリシーを含む1つまたは複数のポリシーの参照に進むことができる。以前に示したように、ドメインコントローラーコンピューター装置440によって調査されたポリシーは、ミドルティアコンピューター装置220の無数の態様を参照することができ、そのような態様に関する情報は、ミドルティアコンピューター装置220により通信425を介してドメインコントローラーコンピューター装置440に提供できるミドルティア識別子430に含むことができるか、または別法として、そのような情報は、通信425とともに実行される、ドメインコントローラーコンピューター装置440とミドルティアコンピューター装置220の間のさらなる通信交換を介して提供することができる。0053前述のように、ミドルティアコンピューター装置220がバックエンドコンピューター装置230に委譲することを許されるべきとドメインコントローラーコンピューター装置440が判定した場合、ドメインコントローラーコンピューター装置440は通信445を介してミドルティアコンピューター装置220に、ドメインコントローラーコンピューター装置440によって署名され、ミドルティアコンピューター装置220がクライアントコンピューター装置210としてバックエンドコンピューター装置230と通信することを可能にできる、サービスチケットを返すことができる。その後、また以前に記載したように、ミドルティアコンピューター装置220は、通信455によって示されたように、バックエンドコンピューター装置230の適切な要求を行うことができ、通信445を介してドメインコントローラーコンピューター装置440によって提供されたサービスチケット470を含むことができる。さらに、1つ、2つおよび3つのドメインにわたって示されただけだが、本明細書に記載されたメカニズムは、当業者によって理解されるように、任意の数のドメインまたは他の同様な分割にわたって等しく適用可能である。0054図5を参照すると、その中に示された流れ図500は、上記のメカニズムに従ってミドルティアコンピューター装置によって実行できる例示的な一連のステップを示す。最初に、ステップ510で、バックエンドティアコンピューター装置の一部である情報または資源に向けられたクライアント要求を受信することができる。また、要求を行うクライアントコンピューター装置は、ドメインコントローラーコンピューター装置によって署名された可能性がある、識別子、トークン、または他の同様な情報などを提供することにより、それ自体を認証することができる。ステップ520で、提供された情報は、ドメインコントローラーコンピューター装置の公開鍵などを使用して検証することができる。ステップ520で、認証が失敗した場合、処理はステップ570に進むことができ、そのポイントでエラーを報告することができる。次いで、該当処理はステップ580で終了することができる。0055あるいは、しかしながら、ステップ520でクライアント認証が成功した場合、クライアントコンピューター装置によって提供された情報、およびミドルティアコンピューター装置についてのさらなる情報は、両方ともドメインコントローラーコンピューター装置によって署名することができ、ステップ530で、クライアントコンピューター装置としてバックエンドティアコンピューター装置と通信する許可に対する要求と一緒に、ドメインコントローラーコンピューター装置に提供することができる。ステップ530での情報の提供に応じて、ドメインコントローラーによって署名できるサービスチケットまたは他の同様な情報の集合は、ステップ540で受信することができる。ステップ540でそのようなサービスチケットが受信された場合、処理はステップ550に進むことができ、サービスチケットは適切なバックエンドティアコンピューター装置に提供されて、510でその要求が受信されたクライアントコンピューター装置の代わりにバックエンドティアコンピューター装置との通信を確立することができる。そのような通信は当業者によく知られている方式で進めることができるが、本説明に該当する処理は、次いで、ステップ580で終了することができる。しかしながら、ステップ540で、サービスチケットが受信されなかった場合、処理はステップ560に進むことができ、そこでサービスチケットの代わりに、クライアントコンピューター装置としてバックエンドティアコンピューター装置と通信する要求を異なるドメインコントローラーコンピューター装置に送ることができる、トークンまたは他の情報の集合を受信することができる。ステップ560で、そのようなトークンが受信された場合、処理はステップ530に戻ることができ、要求は別の異なるドメインコントローラーコンピューター装置に送ることができる。あるいは、ステップ560でトークンが受信されず、ステップ540でサービスチケットが受信されなかった場合、処理はステップ570に進むことができ、該当するエラーをクライアントに報告することができる。そのような方式では、ミドルティアコンピューター装置は、バックエンドティアコンピューター装置と同じドメイン内にあるドメインコントローラーコンピューター装置に達するまで、1つまたは複数のドメインコントローラーコンピューター装置からのバックエンドティアコンピューター装置と通信する許可の要求に進むことができ、次いで、そのドメインコントローラーコンピューター装置は、ミドルティアコンピューター装置が自分に委譲することをバックエンドティアコンピューター装置が許すと1つまたは複数の関連ポリシーが示すかどうかについて決定することができる。0056図6を参照すると、その中に示された流れ図600は、上記に詳細に記載されたメカニズムに従ってドメインコントローラーコンピューター装置によって実行できる例示的な一連のステップを示す。最初に、ステップ610で、クライアントコンピューター装置としてバックエンドティアコンピューター装置と通信する要求を、ミドルティアコンピューター装置から受信することができる。次いで、処理はステップ620に進むことができ、そのポイントで、ステップ610で受信された要求の中で指定されたバックエンドティアコンピューター装置が、流れ図600のステップを実行するコンピューター装置と同じドメイン内にあるかどうかの判定を行うことができる。ステップ620で、バックエンドティアコンピューター装置が同じドメイン内にないと判定された場合、処理はステップ660に進むことができ、そのポイントで、トークンまたは他の情報の集合を生成し、ステップ610でそこから要求が受信されたミドルティアコンピューター装置に送信することができる。ステップ660で生成され送信されたトークンまたは他の情報の集合は、ミドルティアコンピューター装置を別のドメインコントローラーに向ける情報を含むことができ、ミドルティアコンピューター装置がバックエンドティアコンピューター装置とのその通信においてクライアントコンピューター装置として動作することを求めていることを、他のドメインコントローラーに知らせる情報も含むことができる。さらに、上記に詳細に記載したように、ステップ660で生成され送信された情報は、例えば、ドメインコントローラーコンピューター装置によって署名できるさまざまな構成情報を含むミドルティアコンピューター装置の識別子をさらに含むことができる。次いで、図のように、該当処理はステップ670で終了することができる。0057あるいは、ステップ620で、ステップ610で受信された要求が送られたバックエンドティアコンピューター装置が、実際は同じドメイン内にあると判定された場合、処理はステップ630に進むことができ、そのポイントで、ステップ610で受信された要求を行うミドルティアコンピューター装置が自分に委譲することをバックエンドティアコンピューター装置によって許されるかどうかを判定する、1つまたは複数のポリシーの評価を行うことができる。以前に示したように、ステップ630での決定は、関連するバックエンドティアコンピューター装置によって規定され提供された可能性がある、1つまたは複数のポリシーを参照して行うことができる。さらに、また以前に示したように、ステップ630での決定は、要求するミドルティアコンピューター装置が、例えば、ミドルティアコンピューター装置のハードウェアまたはソフトウェアの構成に送られた因子を含む、関連するポリシーによって確立されたいかなる因子にも準拠するかどうかの判定を含むことができる。そのため、ステップ630での決定は、ステップ610でミドルティアコンピューター装置によって提供された情報が、両方ともドメインコントローラーコンピューター装置によって適正に署名されたかどうかの判定を含むことができ、ミドルティアコンピューター装置が関連するポリシーによって参照された因子に準拠することを示す。あるいは、また以前に示したように、ステップ630での判定は、ミドルティアコンピューター装置が関連するポリシーによって参照された因子に準拠するかどうかを判定するために、ミドルティアコンピューター装置とのさらなる通信を含むことができるが、説明を簡単にするために、そのような別の通信は図6の流れ図600で詳細には示されない。0058ステップ630で、ミドルティアコンピューター装置がバックエンドティアコンピューター装置に委譲することを許されると判定された場合、処理はステップ640に進むことができ、そのポイントで、バックエンドティアコンピューター装置とのその通信においてクライアントコンピューター装置として動作するミドルティアコンピューター装置の許可を認めるサービスチケットまたは他の情報を生成し、ミドルティアコンピューター装置に送信することができる。次いで、該当処理はステップ670で終了することができる。あるいは、ステップ630で、ミドルティアコンピューター装置がバックエンドティアコンピューター装置に委譲することを関連するポリシーが許可しなかった場合、処理はステップ650に進むことができ、そのポイントで、エラーをミドルティアコンピューター装置に報告することができる。次いで、該当処理はステップ670で終了することができる。0059上記の説明から理解できるように、別のコンピューター装置に委譲する1つのコンピューター装置の能力が委譲される先のコンピューター装置によって知らされる委譲メカニズムが提示された。本明細書に記載された主題の多くの実現可能な変形形態に鑑みて、我々は、以下の特許請求の範囲およびそれらの均等物の範囲内にあり得るようなすべての実施形態を我々の発明と主張する。