JP2006222946A - ネットワーク内の単一使用承認方法及びシステム - Google Patents

Abstract

【課題】 ネットワーク内の単一使用承認方法及びシステムを提供する。
【解決手段】 一つ以上の装置が装置固有の認証制御を備えている装置からなるネットワーク内の多様な装置間の単一使用承認のユーザ認証方法において、ユーザが提供した装置固有ユーザＩＤに基づいて装置固有認証制御を行う装置上でユーザを認証するステップと、特定装置上でユーザが認証されたならば、装置固有ユーザＩＤをネットワーク全域ユーザＩＤに転換するステップと、ネットワーク全域ユーザＩＤを他の装置固有ユーザＩＤに転換するステップとを含み、他の装置は、他の装置の装置固有ユーザＩＤに基づいてユーザを認証できるネットワーク内の単一使用承認方法である。また、装置がユーザを認証する能力がないとき、その装置は、他の装置やプロキシに認証を委任できる。
【選択図】 図２

Description

本発明は、一般的にネットワーク内の装置をアクセスするためのユーザ認証に係り、特に、ホームネットワーク内の多様な異種装置及び家庭用設備でのユーザ認証に関する。

ネットワーク内の機器をアクセスするためのユーザ認証について従来の色々な解決方式が存在している。最も大衆的な方式は、中央集中型認証サーバを利用してユーザ名／パスワードのようなユーザ認証情報を保存することによって、ユーザがどのクライアント装置にもログオンできるようにすることである。ユーザによって提供されたユーザ認証情報は、検証のために認証サーバに伝送される。一旦、検証されれば、ユーザは、それぞれの個別装置ごとに追加的なユーザ検証をせずに直ぐ異なる装置上のコンピュータ資源をアクセスできる。

中央集中型認証サーバについての若干変形された方式は、認証サーバにクライアント装置の代わりに前記資源をアクセスさせることである。

しかし、中央集中型認証方式は、ネットワーク内の装置が同じ認証方法を有するという前提下に使われる。ネットワーク化された事業場環境では、全てのコンピュータがユーザ名／パスワードを受容するため、ユーザ名／パスワードは、当然なものとして前提されうる。しかし、このようなものは、認証能力及び方法において、異なる装置からなるホームネットワークでは適用されない。

中央集中型認証サーバの代わりに、他の通常の解決方式は、クライアント装置自体でそのクライアント装置をアクセスするために必要な認証情報を保存する。一装置の資源をアクセスしようとすれば、ユーザは、装置固有のユーザ認証情報をその装置に提供し、それにより、その装置が固有の方式を利用してユーザを認証する。このような方式では、いかなる中央集中型認証サーバや単一化されたユーザ情報も存在しない。中央集中型サーバ方式と比較するとき、一装置上での認証の折衝が他の装置上での保安に影響を及ぼさないという点で認証保安が向上する。しかし、そのような方式は、ユーザに認証を目的として認証情報を保存した装置にアクセスすることを要求する。ユーザは、ある与えられた装置上で自身を認証できない。

他の通常的な方式では、各自が自体的なユーザＩＤを有し、装置固有のＩＤからシステムユーザＩＤへのマップを有する色々なコンピュータ装置に対して単一使用承認（ＳＳＯ：Ｓｉｎｇｌｅ Ｓｉｇｎ−Ｏｎ）を提供するようにして、一ユーザが一装置に一旦ログインすれば、そのユーザは、システムユーザＩＤと装置ユーザＩＤとの間の転換によって自動的に認証可能にする。このような脱中央集中型ＳＳＯの変形バージョンを連合方式ＩＤシステムと呼び、このような方式では、あるシステム全域のユーザＩＤも存在しない。それぞれの装置は、その装置上にある装置固有のユーザＩＤを他の委託された装置上にある装置固有のユーザＩＤにマッピングするマップを備える。委託された装置のリストは、委託された装置によって認証されたユーザがこの装置上で自動的に認証可能にする。しかし、このような方式は、それぞれのｗアーチがユーザのユーザＩＤを備えうるという前提下になされる。また、連合型ＩＤシステムは、ある装置が認証能力を有していない場合、そのユーザを認証できないという点で柔軟でない。

本発明が解決しようとする目的は、ホームネットワークのようなネットワーク内の異なる装置にわたってユーザを認証するＳＳＯを可能にする認証システム及び方法を提供することである。

本発明は、ホームネットワークのようなネットワーク内の異なる装置にわたってユーザを認証するＳＳＯを可能にする認証システム及び方法を提供する。本発明はまた、アプリケーションセッション内や多様なアプリケーションセッションにわたってホームネットワークの多様な異種の装置及び家庭用設備上でユーザがＳＳＯを可能にする。ＳＳＯシステム及び方法は、ユーザ及びクライアントアプリケーションから装置に固有の多様な認証方法を隠し、異種の装置上で異なる認証方法を有するＳＳＯを可能にする。

一バージョンで、ＳＳＯシステム（及び方法）は、ホームネットワークの一装置あるいは色々な装置上で具現される。ＳＳＯシステムは、装置固有のユーザＩＤをシステム全域のユーザＩＤに転換し、またその逆にも転換するマップを活用する。ユーザは、装置上でその装置固有の認証方法を通じて認証される。ユーザが特定装置上で認証されたならば、装置固有のユーザＩＤがシステム全域のユーザＩＤに転換される。このシステム全域のユーザＩＤは、再び他の装置固有のユーザＩＤに転換され、その装置固有ユーザＩＤに基づいて他の装置がユーザを認証可能にする。また、ある装置が一ユーザを認証できなければ、その装置は、その認証を他の装置やプロキシに委任できる。

認証情報が専用クライアント装置上に保存されている通常の方式と比較するとき、本発明は、ユーザに認証のみを目的としたかかる装置を有することを要求しない。逆に、本発明は、ユーザにとってある与えられた装置上でそれ自身を認証できるようにする。一装置上で認証されたならば、ユーザが家内（ホーム）環境のどの装置上の資源をアクセスしようとするとき、その装置上でユーザ認証がなされうる。従来の方式では、各装置がユーザに対するユーザＩＤを含みうるということを前提する一方、本発明では、装置がユーザＩＤを含む機能を有さなくてもよく、その装置の代わりに他の装置に認証を委託できるため、装置固有のユーザＩＤを利用する従来の方式に比べて有利である。

また、従来の連合型ユーザＩＤシステムと比較するとき、本発明は、ある装置が認証機能を有する時にはユーザを認証でき、認証機能を有していない時には、その装置の代わりに認証する他の装置に認証を委任できるという点でさらに柔軟に動作する。委任された装置は、認証能力を有するか、または認証方法を備えたソフトウェアプロキシモジュールを有する装置でありうる。また、色々な装置の間でユーザＩＤをマッピングすることは中央集中化される。これは、一装置がその装置と他の委託された装置との間で部分的なマッピングを行う従来の連合型ＩＤシステムに比べて、ユーザに各装置ごとに設定を要求する代わりに、一つの中心場所で簡単に設定できるという点で有利である。

本発明によれば、ホームネットワークのようなネットワーク内の異なる装置にわたってユーザを認証するＳＳＯが可能になって、ネットワーク内の色々な装置の資源アクセスが簡便になされうる。

本発明の他の実施形態、特徴及び利点は、以下、添付された図面を参照してなされる詳細な説明から明確に分かる。

図１を参照するとき、ホームネットワーク１０のような典型的なネットワークは、ＴＶ２０、カムコーダ３０、ＤＶＤ４０、ＰＣ５０などの通常的なコンピュータ装置のような色々なコンピュータ装置及び家電機器を含み、これらは、ウェブサーバ８０及びウェブブラウザー８５との通信のためのオプション事項であるインターフェース６０を通じてインターネット７０と連結されうる。ネットワーク１０で、それぞれのコンピュータ装置及び家電機器は、コンピュータ性能及びアクセス方式において異なる。例えば、汎用の家庭用ＰＣ ５０は、ユーザを認証するのに十分な計算能力を有する一方、自動温度調節器は、家の中で温/冷機能を制御するようにプログラミングされるだけ、計算能力はほとんど有していない。ホームネットワーク１０で一アプリケーションの使用は、通常、ネットワーク１０内の色々な装置及び家電機器を活用する。例えば、ＤＶＤ映画を再生する動作は、ＤＶＤプレイヤをＴＶに連結し、ＴＶをホームシアタシステムに連結させ、ＤＶＤ映画リストをブラウジングして所望の映画を再生させる動作を含む。このような使用を可能にするためには、ネットワーク１０内で認証ＳＳＯシステム／方法が提供されて、ユーザが前記装置上にある資源をアクセスする権限が付与される前に、それぞれの装置上でそのユーザを認証させる。ＳＳＯシステムは、ユーザ自身が利用を希望するそれぞれの装置に対して数回の使用承認をしなければならない負担を受けない。

本発明の一実施形態によるＳＳＯシステム及び方法は、一アプリケーションの一セッション中やそのアプリケーションの色々なセッションにわたってＳＳＯを可能にする。一セッションは、一アプリケーションの所定サービスを提供するために互いにグループ付けられた装置の集合を含む。アプリケーションを利用するユーザは、自身が相互動作する装置で物理的に使用承認（サインオン）を受ける必要があり、そのアプリケーションが必要とする他の装置には遠隔にサインオンせねばならない。例えば、コンピュータにあるＤＶＤ映画をＴＶアプリケーション上で再生する動作は、ユーザにとって、そのＴＶに物理的にサインオンすることを要求し、次いで、ＤＶＤ映画を再生するためにコンピュータにサインオンさせる。本発明は、ユーザの遠隔サインオンプロセスを自動化する。一例において、これは、ユーザがＤＶＤ再生セッション中にコンピュータまで歩いていって、認証なしにそれを使用できるということを意味するものではない。そのような動作は、ユーザがコンピュータ上で他のアプリケーションを始めようとする時に考慮され、また他の認証を要求する。

典型的なＳＳＯシステム（及び方法）は、ネットワーク１０内の一装置または色々な装置上で具現される。ＳＳＯシステムは、装置固有のユーザＩＤをシステム全体的ユーザＩＤに、そしてその逆にも転換するマップを利用する。ユーザは、装置固有の認証方法を通じて一装置上で認証される。ユーザが特定装置上で認証されたならば、装置固有のユーザＩＤがシステム全体ユーザＩＤに転換される。このシステム全体ユーザＩＤは、再び他の装置固有のユーザＩＤに変換されて、他の装置がその装置固有のユーザＩＤに基づいてユーザを認証可能にする。また、一装置がユーザ認証できなければ、その装置は、その認証を他の装置やプロキシに委任できる。

一バージョンで、ＳＳＯシステムは、複数の装置間で具現され、その装置それぞれは、各自の認証メカニズムを含みうる。例えば、コンピュータは、ユーザにユーザ名／パスワードをタイピングさせる。安全ドアは、ユーザにバッジを当てるようにする。図２は、本発明の一実施形態による典型的ＳＳＯシステム９０の機能的なブロック図を示すものであって、個人所有の認証エージェント１０２を備えた装置１００、個人所有の認証エージェント１０６を備えた第２の装置１０４、及び制御器（ソフトウェア）モジュール１０８を備える。制御器は、別途の装置上で実行されるか、または装置１００または装置１０４上で実行されうる。装置１００，１０４及び制御器を含む装置は、ネットワーク１２０を通じて連結される。

装置１００及び１０４は、装置固有の認証方法（例えば、装置保安ＩＤ）を含む保安であるか、またはＵＰｎＰ装置のようなネットワーク１０内のある装置でありうる。制御器ソフトウェアモジュール０８は、ＵＰｎＰ制御ポイントのように保安コンソールを有する処理装置（例えば、図１のネットワーク１０内のＰＣ ５０）上で具現される。制御器１０８は、ソフトウェアとして具現されるシステム全域ユーザ識別マップ１１６、ソフトウェアとして具現される認証ディレクトリ１１６を含み、またソフトウェアとして具現されつつ、それぞれ認証エージェント１０２及び１０６に対応する色々な認証プラグイン１１２及び１１４も含む。システム全域ユーザ識別マップ１１６は、ネットワーク１０内の各装置からの固有ユーザＩＤをシステム全域ユーザＩＤにマッピングする。認証プラグイン１１２が装置固有のプロトコルとして認証エージェント１０２と通信できる。同様に、認証プラグイン１１４は、装置固有のプロトコルを通じて認証エージェント１０６と通信できる。認証エージェント１０２は、装置固有の認証方式を含む。例えば、認証エージェント１０２は、ユーザ名／パスワードを利用し、認証エージェント１０６は、個人用バッジを利用する。この例で、制御器１０８は、前述したように、図１の家庭用コンピュータ５０のような一つのコンピュータ装置に具現されうるソフトウェアモジュールを含むか、またはネットワーク１０内の色々なコンピュータ装置間で分散されうる。分散されたアプリケーション１１８は、二つの装置１００及び１０４で何れも開始され、その二つの装置は、二つともアプリケーションを実行する前にユーザ認証を要求する。この例で、全ての装置は、エサーネット、無線ＲＡＮ（例えば、ＩＥＥＥ ８０２.１１ｘ）のような異なるネットワーク技術に連結されている。

図２のＳＳＯシステム９０の典型的なステップ別の動作が図５に示したステップ２００ないし２２２と共に以下で説明される：
ステップ２００：ユーザが装置１００上でアプリケーション１１８を開始する。
ステップ２０２：装置１００内の認証エージェント１０２が装置固有の方法を使用してユーザの認証情報を要請する。
ステップ２０４：ユーザがその要請に応答し、その応答は、認証エージェント１０２によって受信される。
ステップ２０６：認証エージェント１０２は、ユーザ入力を検証し、ユーザが権限のあるユーザであるか否かを確認する。
ステップ２０８：認証エージェント１０２が装置固有のユーザＩＤを認証プラグイン１１２に送る。
ステップ２１０：認証プラグイン１１２が装置固有のユーザＩＤを認証ディレクトリ１１０に伝達する。認証ディレクトリ１１０は、システムＩＤマップ１１６を使用してその装置固有のユーザＩＤをシステムユーザＩＤにマッピングする。
ステップ２１２：認証ディレクトリ１１０は、システムＩＤマップ１１６から装置１０４の装置固有ＩＤを照会してそれを認証プラグイン１１４に送る。
ステップ２１４：認証プラグイン１１４は、前記装置固有のＩＤを装置１０４の認証エージェント１０６に送る。
ステップ２１６：認証エージェント１０６がユーザＩＤを検証及び確認する。
ステップ２１８：認証エージェント１０６は、アプリケーション１１８にその検証結果を知らせる。
ステップ２２０：認証エージェント１０２がアプリケーション１１８にその検証結果を知らせる。
ステップ２２２：認証エージェント１０２が認証プラグイン１１２に“ＯＫ”を送り、認証プラグイン１１２が認証ディレクトリ１１０に“ＯＫ”を送って、その結果、ユーザがＳＳＯとして複数の装置間でそのように認証を受ける。

第２実施形態で、本発明は、図１のネットワーク内の多様な装置上に具現されたさらに他のＳＳＯシステム（及び方法）を提供し、その装置のうち一部は、それらそれぞれの認証メカニズムを備えなくてもよい。例えば、自動温度調節器は、それ自体の認証メカニズムを含まない。その代わりに、その装置は、他の装置に依存して自身に代えてユーザを認証させる。図３は、本発明の第２実施形態によってＳＳＯシステム２９０の機能的なブロック図の例を示すものであって、このシステム２９０は、自体認証エージェント３０２を備えた装置３００、自体認証エージェント３０６を備えた第２装置３０４、及びソフトウェア制御器モジュール３０８を備える。制御器は、別個の装置上で実行されてもよく、装置３００または３０４上で実行されてもよい。装置３００，３０４及び制御器を含む装置は、ネットワーク３２０によって連結される。

装置３００は、ＵＰｎＰ保安スタックを有していないＵＰｎＰ装置のように、認証方法を有していないネットワーク１０内のある装置でありうる。しかし、装置３０４は、ユーザを認証できるある装置でありうる。例えば、装置３０４は、装置保安ＩＤを有するＵＰｎＰ保安認知装置でありうる。ユーザが装置３００上のサービスをアクセスしようとする度に、認証エージェント３０２は、認証プロセスを装置３０４上の認証エージェント３０６に送る。制御器３０８は、保安コンソールを有するＵＰｎＰ制御ポイント（例えば、ネットワーク１０のＰＣ ５０）のようなネットワーク１０内のプロセシング装置で実行される。制御器３０８は、システム全域ユーザ識別マップ３１６を含む認証ディレクトリ３１０、及び各自認証エージェント３０２及び３０６と対応する複数の認証プラグイン３１２及び３１４を含む。システム全域ユーザ識別マップ３１６は、ネットワーク１０内のそれぞれの装置から装置固有のユーザＩＤをシステム全域ユーザＩＤにマッピングする。認証プラグイン３１２は、装置固有通信プロトコルであって認証エージェント３０２と通信する。同様に、認証プラグイン３１４は、装置固有の通信プロトコルを通じて認証エージェント３０６と通信できる。認証エージェント３０２は、それ自体の認証方法を含んでいない。その代わりに、認証エージェント３０２は、自身にかえて装置３０４にその認証を委任する。この例で、制御器３０８は、前述したように、家庭用コンピュータ５０のような一つのコンピュータ装置によって具現されるソフトウェアモジュールとして具現されるか、またはネットワーク１０内の色々なコンピュータ装置間で分散されうる。アプリケーション３１８は、アプリケーションが実行される前にユーザ認証を要求する装置３００上で実行される。この例で、全ての装置は、エサーネット、無線ＲＡＮ（例えば、ＩＥＥＥ ８０２.１１ｘ）のような異なるネットワーク技術として連結される。

図３のＳＳＯシステム２９０の段階的な動作の例が、以下で図６のステップ４００〜４２２と共に説明される。
ステップ４００：ユーザが装置３００（例えば、図１の自動温度調節器１５）上のアプリケーション３１８を始動する。
ステップ４０２：認証エージェント３０２は、自体認証方式を有しておらず、認証プラグイン３１２に認証要請を送る。この要請には、装置３００が装置３０４に自身にかえて認証を委任する委任メッセージが含まれる。
ステップ４０４：認証プラグイン３１２がその要請を認証ディレクトリ３１０に送る。
ステップ４０６：認証ディレクトリ３１０がその要請で委任情報を抽出し、その要請を認証プラグイン３１４に送る。
ステップ４０８：認証プラグイン３１４が装置３０４上の認証エージェント３０６に認証要請を送る。
ステップ４１０：認証エージェント３０６が装置３０４の装置固有方式を使用して、ユーザにユーザ認証情報を要請する。
ステップ４１２：ユーザが認証情報を入力（提供）する。
ステップ４１４：認証エージェント３０６がユーザログイン情報を検証及び承認する。
ステップ４１６：認証エージェント３０６が認証プラグイン３１４に装置固有のユーザＩＤを伝送する。
ステップ４１８：認証プラグイン３１４が認証ディレクトリに装置固有ＩＤをシステム全域ユーザＩＤにマッピングすることを要請する。
ステップ４２０：認証ディレクトリが認証プラグイン３１２に“ＯＫ”メッセージを送る。
ステップ４２２：認証プラグイン３１２が再び“ＯＫ”メッセージを認証エージェント３０２に送って認証エージェント３０２がユーザを認証し、それにより、ユーザは、認証されてＳＳＯを通じて装置上のアプリケーションを使用できる。

第３実施形態で、本発明は、図１のネットワーク１０の色々な装置で具現されるさらに他のＳＳＯシステム（及び方法）を提供し、これらのうち一部装置は、それら自体の認証メカニズムを備えなくてもよい。例えば、自動温度調節器は、自体的な認証メカニズムを備えていない。その代わりに、このような装置は、対応する認証プラグインに依存して、自身に代えてユーザを認証させる。図４は、本発明の第３実施形態によってＳＳＯシステム４９０の機能的なブロック図の例を示すものであって、このシステム４９０は、認証エージェント５０２を備えた装置５００、認証エージェント５０６を備えた第２装置５０４、及びソフトウェア制御器モジュール５０８を備える。制御器は、別途の装置上で実行されてもよく、装置５００または５０４上で実行されてもよい。装置５００，５０４及び制御器を実行させる装置は、ネットワーク５２０によって連結される。

装置５００は、認証方式を備えていない（図１の）ネットワーク１０内のある装置でありうる。その代わりに、その装置５００は、対応する認証プラグインに依存して、自身に代えて認証を行わせる。例えば、ＵＰｎＰ保安スタックを有していないＵＰｎＰ装置は、自身に代えて認証するように保安コンソールを有するＵＰｎＰ制御ポイントに依存する。しかし、装置５０４は、ＵＰｎＰ保安認知装置のように、認証方式を有する装置でありうる。ソフトウェア制御器５０８は、保安コンソールを有するＵＰｎＰ制御ポイント（例えば、ネットワーク１０のＰＣ ５０）のようなネットワーク１０内のプロセシング装置で実行される。ソフトウェア制御器５０８は、システム全域ユーザ識別マップ５１６を含む認証ディレクトリ５１０、及び各自認証エージェント５０２及び５０６と対応する複数の認証プラグイン５１２及び５１４を含む。システム全域ユーザ識別マップ５１６は、ネットワーク１０内のそれぞれの装置から装置固有のユーザＩＤをシステム全域ユーザＩＤにマッピングする。認証プラグイン５１２は、装置固有通信プロトコルであって認証エージェント５０２と通信する。しかし、認証エージェント５０２は、ユーザを認証できず、その代わりに認証プラグイン５１２に依存して、自身の代わりにユーザを認証させる。認証プラグイン５１４は、装置固有の通信プロトコルを通じて認証エージェント５０６と通信できる。認証エージェント５０２は、装置固有の通信方式を通じてユーザを認証できる。このＰで、前述したように、制御器５０８は、（図１の）家庭用コンピュータ５０のような一つのコンピュータ装置によって具現されうるソフトウェアモジュールとして具現されるか、またはネットワーク１０の色々なコンピュータ装置間で分散されうる。アプリケーション５１８は、アプリケーションが実行される前にユーザ認証を要求する装置５００及び５０４上で実行される分散アプリケーションである。この例で、全ての装置は、エサーネット、無線ＲＡＮ（例えば、ＩＥＥＥ ８０２.１１ｘ）のような異なるネットワーク技術として連結される。

図４のＳＳＯシステム３９０の段階的な動作の例が、以下で図７のステップ６００〜６２６と共に説明される。
ステップ６００：ユーザが装置５００及び５０４上のアプリケーション５１８を始動する。
ステップ６０２：認証エージェント５０２は、認証プラグイン５１２に認証要請を送る。
ステップ６０４：認証プラグイン５１２が認証エージェント５０２にユーザ認証を要請する。
ステップ６０６：認証エージェント５０２がユーザに認証情報を要求する。
ステップ６０８：ユーザが装置５００にログインして、認証情報（すなわち、装置固有ユーザＩＤ）を提供する。
ステップ６１０：認証エージェント５０２が装置固有ユーザ認証情報を認証プラグイン５１２に送る。
ステップ６１２：認証プラグイン５１２がユーザ認証を検証及び承認する。
ステップ６１４：認証プラグイン５１２が認証ディレクトリ５１０にシステムＩＤマップ５１６から装置固有ユーザＩＤをシステムＩＤにマッピングすることを要請する。
ステップ６１６：認証ディレクトリがそのシステムＩＤを装置５０４の装置固有ユーザＩＤにマッピングして、その装置固有ユーザＩＤを認証プラグイン５１４に送る。
ステップ６１８：認証プラグイン５１４が装置固有ユーザＩＤを認証エージェント５０６に送る。
ステップ６２０：認証エージェント５０６がユーザを検証及び承認する。
ステップ６２２：認証エージェント５０６がアプリケーション５１８にユーザが検証されたことを知らせる。
ステップ６２４：認証エージェント６０２がアプリケーション５１８にユーザが検証されたことを知らせる。
ステップ６２６：認証エージェント５０６が認証プラグイン５１４に“ＯＫ”メッセージを送り、認証プラグイン５１４が“ＯＫ”を認証ディレクトリ５１０に送り、それにより、ユーザが二つの装置で何れも認証されてＳＳＯとしてそのアプリケーションを使用できる。

この分野の当業者ならば分かるように、本発明は、前記典型的実施形態にのみ限定されない。本発明の他の代案的な第１実施形態で、認証ディレクトリは、色々な制御器ソフトウェアモジュールを通じて分散される。それぞれのソフトウェア制御器モジュールは、別途の装置で実行される。例えば、別途の保安コンソールを有する色々なＵＰｎＰ制御ポイントがありうる。それぞれのＵＰｎＰ制御ポイントごとに認証ディレクトリの部分を含む。認証ディレクトリの各部分は、各自のコンテンツにおいて、互いに分解されたものでもあり、そうでなければ、互いに重畳されたものでもある。分解された認証ディレクトリの場合、分散された認証ディレクトリが合わせられて完全な仮想の認証ディレクトリを形成する。本発明のかかる実施形態で、分散された制御器は、そのような色々なディレクトリを調整及び同期させて、これらをユーザに両立されたものに作る。重畳された認証ディレクトリの場合、分散された制御器は、互いに調整されて、色々な認証ディレクトリが完全かつ一貫した仮想の認証ディレクトリを形成するようにする。仮想ディレクトリ内の一エントリが変更される場合、そのエントリに該当する分散認証ディレクトリ内の全てのエントリが更新される。この分野の当業者ならば分かるように、一致した更新のために多様なメカニズムが使われうる。一つの典型的な方法がマスター／スレーブ方式のメカニズムであって、ここで重畳された認証ディレクトリのうち一つのコピーがマスターコピーとして決定されて、それに対する更新が常に最初に行われ、分散ディレクトリのうち他の重畳部分は、スレーブコピーと決定されて、これらにマスターが更新を伝播する。

本発明の代案的な第２実施形態で、ＳＳＯシステムは、認証ディレクトリの色々な複製物を含む。認証ディレクトリの各コピーは、別途の装置で実行される別途の制御器に含まれる。複製物は、互いに調整されて認証ディレクトリ上で一貫したビューを維持する。この分野の当業者ならば分かるように、一貫性を維持するために色々なメカニズムが使用されうる。その一つの方法が、認証ディレクトリのマスターコピーが常に先に更新され、ある変更が順次にスレーブコピーに伝播されるマスター／スレーブ方式でありうる。

認証情報が専用クライアント装置に保存される従来の方式と比較するとき、本発明は、ユーザに認証のみを目的とする装置のようなものを有することを要求しない。逆に、本発明は、ユーザに所定の与えられた装置上でユーザを認証できるようにする。一装置上で一旦認証されたならば、ユーザは、家内環境内のいかなる装置上でも、それら上にある資源にアクセスしようとする時に認証されうる。本発明は、装置固有のユーザＩＤを利用する従来の方式に比べて有利であるが、それは、従来の方式では、各装置がユーザに対するユーザＩＤを受容できなければならないことを前提とする一方、本発明では、装置がユーザＩＤを受容する機能がなくても、その装置の代りに他の装置に認証を委任できるためである。

また、従来の連合型ユーザＩＤシステムと比較するとき、本発明は、一装置がユーザ認証能力を有する場合、ユーザを認証できるが、そのような能力を有していない場合には、その代わりに他の装置に認証を委任できるという点でさらに融通性を有する。委任装置は、認証能力を有する装置であるか、または認証方式を含むソフトウェアプロキシモジュールでありうる。また、色々な装置間でユーザＩＤをマッピングすることが中央集中化される。これは、一装置がその装置と他の委託された装置との間に部分的なマッピングを受容する従来の連合型ＩＤシステムに比べて有利であるが、その理由は、本発明がユーザにそれぞれの装置ごとにセットアップを要求せず、中央装置（位置）で簡単にセットアップ可能にするためである。

本発明は、色々な多様な形態の実施形態として行われうる。本発明は、前記色々な望ましい実施形態を通じて記述されたが、本発明は、その実施形態にのみ限定されて解釈されてはならない。前述した典型的構造及び構成は、プロセッサによって実行されるプログラム命令、ロジック回路、ＡＳＩＣ、ファームウェアなど、この分野の当業者に公知された色々な方式に具現されうる。したがって、本発明は、ここに開示された実施形態にのみ限定されない。

本発明は、所定の望ましいバージョンを参照して詳細に記述されたが、他のバージョンもありうる。したがって、特許請求の概念及び範囲がここに含まれた望ましいバージョンに限定されてはならない。

本発明のネットワーク内のＳＳＯ方法及びシステムは、ホームネットワーク内の多様な異種装置及び家庭用設備などに適用可能である。

本発明によるアクセス制御の一実施形態が具現されるネットワークの機能ブロック図である。 本発明の一実施形態による認証システムの機能ブロック図である。 本発明の他の実施形態による認証システムの機能ブロック図である。 本発明の他の実施形態による認証システムの機能ブロック図である。 図２のシステムに具現された典型的認証ステップからなるフローチャートである。 図３のシステムに具現された典型的な認証ステップからなるフローチャートである。 図４のシステムに具現された典型的な認証ステップからなるフローチャートである。

符号の説明

９０ ＳＳＯシステム
１００,１０４ 装置
１０２,１０６ 認証エージェント
１０８ 制御器
１１０ 認証ディレクトリ
１１２,１１４ 認証プラグイン
１１６ システム識別マップ
１２０ ネットワーク

Claims (29)

1. 一つ以上の装置が装置固有の認証制御を備えている装置からなるネットワーク内の多様な装置間の単一使用承認のユーザ認証方法において、
   ユーザが提供した装置固有ユーザＩＤに基づいて装置固有認証制御を行う装置上でユーザを認証するステップと、
   特定装置上でユーザが認証されたならば、前記装置固有ユーザＩＤをネットワーク全域ユーザＩＤに転換するステップと、
   前記ネットワーク全域ユーザＩＤを他の装置固有ユーザＩＤに転換するステップとを含み、
   前記他の装置は、前記他の装置の装置固有ユーザＩＤに基づいて前記ユーザを認証できることを特徴とする単一使用承認のユーザ認証方法。
2. 装置固有ユーザＩＤをネットワーク全域ユーザＩＤに、そしてその逆にも転換するマップを活用するステップをさらに含むことを特徴とする請求項１に記載の単一使用承認のユーザ認証方法。
3. 前記装置固有認証制御を行う装置上でユーザを認証する方法は、
   装置固有認証制御を行う装置で、ユーザに装置固有ユーザＩＤを要請するステップと、
   前記装置の装置固有認証制御を利用して前記装置固有ユーザＩＤを検証するステップとをさらに含むことを特徴とする請求項１に記載の単一使用承認のユーザ認証方法。
4. 前記装置固有ユーザＩＤをネットワーク全域ユーザＩＤに転換するステップは、
   システムＩＤマップを利用して、前記装置固有ユーザＩＤをネットワーク全域ユーザＩＤにマッピングするステップをさらに含むことを特徴とする請求項３に記載の単一使用承認のユーザ認証方法。
5. 前記ネットワーク全域ユーザＩＤを他の装置固有ユーザＩＤに転換するステップは、
   前記システムＩＤマップから他の装置の装置固有ユーザＩＤを照会するステップをさらに含むことを特徴とする請求項４に記載の単一使用承認のユーザ認証方法。
6. 前記他の装置で前記他の装置内の装置固有認証制御を利用して、前記照会された装置固有ユーザＩＤを認証するステップをさらに含み、
   前記他の装置は、前記装置固有ユーザＩＤに基づいてユーザを認証することを特徴とする請求項５に記載の単一使用承認のユーザ認証方法。
7. 一装置がユーザを認証する能力がなければ、ユーザ認証のために他の装置に認証を委任するステップをさらに含むことを特徴とする請求項１に記載の単一使用承認のユーザ認証方法。
8. 前記他の装置に認証を委任するステップは、
   ユーザ認証のために装置固有認証制御を行う装置に認証を委任するステップをさらに含むことを特徴とする請求項７に記載の単一使用承認のユーザ認証方法。
9. 装置固有の認証制御を行う装置がユーザ認証のためにユーザに装置固有のユーザＩＤを要求するステップと、
   前記装置で前記装置固有認証制御を利用して前記装置固有ユーザＩＤを検証するステップとをさらに含むことを特徴とする請求項８に記載の単一使用承認のユーザ認証方法。
10. アプリケーションの一つのセッションや色々なセッションにわたって単一使用承認のユーザ認証を提供するステップをさらに含むことを特徴とする請求項１に記載の単一使用承認のユーザ認証方法。
11. 前記他の装置固有ユーザＩＤを前記他の装置に提供するステップと、
    前記他の装置が保有した装置固有認証制御を通じて、前記提供された装置固有ユーザＩＤに基づいてユーザを認証するステップとをさらに含むことを特徴とする請求項１に記載の単一使用承認のユーザ認証方法。
12. 一つ以上の装置が装置固有認証制御を含む色々な装置からなるネットワークでユーザを認証するためのシステムにおいて、
    一装置内でその装置の装置固有認証制御を通じて、ユーザが提供した装置固有ユーザＩＤに基づいてユーザを認証する認証エージェントと、
    前記ユーザが認証されたならば、前記装置固有ユーザＩＤをネットワーク全域のユーザＩＤに転換し、前記ネットワーク全域ユーザＩＤを他の装置固有ユーザＩＤに転換する制御器とを備え、
    前記他の装置は、自身の装置固有ユーザＩＤに基づいてユーザを認証でき、それにより、システムが色々な装置の間で単一使用承認のユーザ認証を提供することを特徴とするネットワーク内のユーザ認証システム。
13. 前記制御器は、装置固有ユーザＩＤをネットワーク全域ユーザＩＤに転換するか、またはその逆にも転換するマップを活用することを特徴とする請求項１２に記載のネットワーク内のユーザ認証システム。
14. 前記認証エージェントは、ユーザに装置固有ユーザＩＤを要請し、装置固有認証制御を通じて前記装置固有ユーザＩＤを検証することによってユーザを認証することを特徴とする請求項１２に記載のネットワーク内のユーザ認証システム。
15. 前記制御器は、システムＩＤマップを利用して前記装置固有ユーザＩＤをネットワーク全域ユーザＩＤにマッピングすることによって、前記装置固有ユーザＩＤをネットワーク全域ユーザＩＤに転換することを特徴とする請求項１４に記載のネットワーク内のユーザ認証システム。
16. 前記制御器は、前記システムＩＤマップから他の装置の装置固有ユーザＩＤを照会することによって、前記ネットワーク全域ユーザＩＤを他の装置固有ユーザＩＤに転換することを特徴とする請求項１５に記載のネットワーク内のユーザ認証システム。
17. 一装置がユーザを認証する能力がない場合、前記装置は、そのユーザの認証のために他の装置に認証を委任することを特徴とする請求項１２に記載のネットワーク内のユーザ認証システム。
18. 前記委任する装置は、前記ユーザ認証のために装置固有認証制御を行う他の装置に認証を委任することを特徴とする請求項１７に記載のネットワーク内のユーザ認証システム。
19. 前記ユーザ認証のために前記装置固有認証制御を行う装置は、前記ユーザに装置固有ユーザＩＤを要請し、その装置内の装置固有認証制御を通じて前記装置固有ユーザＩＤを検証することを特徴とする請求項１８に記載のネットワーク内のユーザ認証システム。
20. 前記制御器は、前記他の装置に前記他の装置固有ユーザＩＤを提供し、前記他の装置は、自身の装置固有認証制御を利用して前記提供された他の装置固有ユーザＩＤに基づいて前記ユーザを認証することによって、多様な装置の間で単一使用承認のユーザ認証を提供することを特徴とする請求項１２に記載のネットワーク内のユーザ認証システム。
21. 一つ以上が装置固有認証制御を行う多様な装置と、
    一装置内で、その装置固有の認証制御を利用してユーザが提供した装置固有ユーザＩＤに基づいてユーザを認証する認証エージェントと、
    前記ユーザが認証されたならば、前記装置固有ユーザＩＤをネットワーク全域ユーザＩＤに転換し、前記ネットワーク全域ユーザＩＤを他の装置固有ユーザＩＤに転換する制御器とを備え、
    前記他の装置は、自身の前記他の装置固有ユーザＩＤに基づいて前記ユーザを認証できることによって、多様な装置の間で単一使用承認のユーザ認証を提供することを特徴とするネットワーク。
22. 前記制御器は、装置固有ユーザＩＤをネットワーク固有ユーザＩＤに転換するか、またはその逆にも転換するマップを活用することを特徴とする請求項２１に記載のネットワーク。
23. 前記認証エージェントは、ユーザに装置固有ユーザＩＤを要請し、装置固有認証制御を通じて前記装置固有ユーザＩＤを検証することによって、前記ユーザを認証することを特徴とする請求項２１に記載のネットワーク。
24. 前記制御器は、システムＩＤマップを利用して装置固有ユーザＩＤをネットワーク全域ユーザＩＤにマッピングすることによって、前記装置固有ユーザＩＤをネットワーク全域ユーザＩＤに転換することを特徴とする請求項２３に記載のネットワーク。
25. 前記制御器は、前記システムＩＤマップから他の装置の装置固有ＩＤを照会することによって、前記ネットワーク全域ユーザＩＤを他の装置固有ユーザＩＤに転換することを特徴とする請求項２４に記載のネットワーク。
26. 一装置がユーザを認証する能力がないとき、前記装置は、前記ユーザ認証のために他の装置に認証を委任することを特徴とする請求項２１に記載のネットワーク。
27. 前記委任する装置は、前記ユーザを認証するために装置固有認証制御を行う他の装置に認証を委任することを特徴とする請求項２６に記載のネットワーク。
28. 前記ユーザ認証のために装置固有認証制御を行う前記装置は、前記ユーザに装置固有ユーザＩＤを要請し、前記装置固有認証制御を利用して前記装置固有ユーザＩＤを検証することを特徴とする請求項２７に記載のネットワーク。
29. 前記制御器は、前記他の装置に前記他の装置固有ユーザＩＤを提供し、前記他の装置は、自身の装置固有認証制御を利用して前記提供された他の装置固有ユーザＩＤに基づいて前記ユーザを認証することによって、多様な装置の間で単一使用承認のユーザ認証を提供することを特徴とする請求項２１に記載のネットワーク。

Images