BRPI0806607A2 - fornecimento de representações de identidade digital - Google Patents

Abstract

FORNECIMENTO DE REPRESENTAçõES DE IDENTIDADE DIGITAL. São divulgados um sistema e método para o fornecimento de representações de identidade digital ("DIRs") que usam várias técnicas e estruturas para facilitar a administração, aumentar a precisão e diminuir inconsistências de um sistema de fornecimento de identidade digital. E fornecido um sistema que usa um armazenamento de dados de identidade comum tanto para a emissão de DIR quanto para a emissão de sinal de identidade, diminuindo os problemas de sincronismo. Vários métodos são fornecidos para criar novas DIRs, notificar indivíduos efetivos sobre DIRs disponíveis e aprovar a emissão de novas DIRs.

Description

"FORNECIMENTO DE REPRESENTAÇÕES DE IDENTIDADE DIGITAL"

Antecedentes da Invenção

Recentemente, ocorreu enorme inovação nos sistemas de desenvolvimento para dar aos indivíduos mais controle em relação a como suas informações de identidade pesso- al são distribuídas e usadas, particularmente, no contexto digital. Por exemplo, Microsoft Corporation de Redmond, Washington, entre outras, propagou um sistema, algumas vezes chamado de Seletor de Cartão de Informação - a instanciação da Microsoft sendo chamada de Windows CardSpace. Em um sistema Windows CardSpace1 um principal obtém uma ou mais representações de identidade digital, algumas vezes chamadas de cartões de informa- ção. Quando o principal tenta acessar um recurso (uma "parte de suporte") que exige um conjunto de declarações feitas sobre o principal, o principal emprega uma representação de identidade digital (doravante chamada "DIR") para iniciar comunicação com um fornecedor de identidade que pode afirmar estas declarações. Em alguns casos, o fornecedor de identi- dade pode ser controlado por um principal e ser executado na própria máquina do principal. Em outros, ele pode ser controlado por um terceiro. O fornecedor de identidade retorna um "sinal de identidade" que inclui a informação das declarações exigidas.

Entretanto, pouca atenção foi direcionada para a criação e fornecimento de DIRs. Atualmente, administradores de sistemas de identidade digital são forçados a produzir DIRs manualmente. Por exemplo, um administrador pode usar manualmente um utilitário de soft- ware, tal como um gerador de XML, para produzir uma DIR e salvá-la em um local em parti- cular. Então, o administrador pode transmitir ao principal um apontador para a DIR e, então, o principal recuperará a DIR. Este sistema é ad hoc, sujeito a erros e vulnerabilidades de segurança, e trabalhoso para um administrador.

Sumário da Invenção

Este Sumário é fornecido para introduzir uma seleção de conceitos de uma forma simplificada, que é descrita com detalhes a seguir na Descrição Detalhada. Não pretende-se que este Sumário identifique recursos chaves ou recursos essenciais do assunto em ques- tão reivindicado, nem pretende-se que seja usado como um auxílio na determinação do es- copo do assunto em questão reivindicado.

Um aspecto diz respeito a um sistema para fornecer uma DIR para um principal. O sistema inclui um sistema gerador de DIR que é adaptado para receber uma solicitação para gerar uma DIR para o principal e, então, para gerar a DIR. Também são fornecidos um for- necedor de identidade adaptado para gerar um sinal de identidade em resposta à comunica- ção iniciada usando a DIR, e um armazenamento de dados de identidade operativamente conectado tanto no sistema gerador de DIR quanto no fornecedor de identidade. O sistema de geração de DIR acessa o armazenamento de dados de identidade na geração da DIR, e o fornecedor de identidade também acessa o armazenamento de dados de identidade na geração do sinal de identidade.

Um outro aspecto diz respeito a um método para fornecer uma DIR para um princi- pal. O método inclui autenticar o principal em um sistema de geração de DIR usando infor- mação de conexão, tais como nome de usuário e senha. O método inclui adicionalmente receber uma solicitação por uma DIR e gerar a DIR solicitada de uma maneira que inclua pelo menos parte da informação de conexão. Por exemplo, a mesma informação de cone- xão pode ser usada para proteger ou "apoiar" a DIR resultante. Isto fornece uma dica para a autenticação do principal, considerando qual informação de autenticação fornecer em um momento posterior em relação à conexão.

Um outro aspecto diz respeito a um outro método para o fornecimento de uma DIR para um principal. Neste método exemplar, um primeiro descritor da DIR e um segundo des- critor da DIR são gerados. Estes podem representar, por exemplo, diferentes DIRs que fi- cam disponíveis aos indivíduos efetivos. A seguir, os primeiro e segundo descritores da DIR são transmitidos ao principal de forma que o principal saiba, por exemplo, quais DIRs estão disponíveis. Então, uma solicitação do principal é recebida para pelo menos uma primeira DIR que está em conformidade com o primeiro descritor da DIR. Então, a primeira DIR é criada.

Um outro aspecto diz respeito a um ainda outro método para o fornecimento de uma DIR para um principal. Acesso a uma parte de suporte é solicitado. Então, uma mensa- gem que nega acesso e que transmite a política de segurança da parte de suporte é recebi- da. Então, uma DIR que satisfaz a política de segurança é solicitada de um sistema de ge- raçao de DIR. Finalmente, a DIR é recebida. Descrição Resumida dos Desenhos

Agora, será feita referência aos desenhos anexos, que não estão necessariamente em escala, e em que:

a figura 1 ilustra um sistema de DIR de exemplo que inclui um principal, uma má- quina do principal, uma parte de suporte, um fornecedor de identidade, um sistema de gera- ção de DIR, uma armazenamento de dados de identidade, um sistema administrador e um sistema de captura de dados;

a figura 2 ilustra um método de exemplo para o fornecimento e uso de DIR; a figura 3 ilustra um outro método de exemplo para o fornecimento e uso de DIR; a figura 4 ilustra um outro método de exemplo para o fornecimento de DIR; a figura 5 ilustra um outro método de exemplo para o fornecimento de DIR; a figura 6 ilustra um outro método de exemplo para o fornecimento de DIR; a figura 7 ilustra um outro método de exemplo para o fornecimento de DIR; a figura 8 ilustra um outro método de exemplo para o fornecimento de DIR; e a figura 9 ilustra um exemplo de um dispositivo de computação. Descrição Detalhada

Agora, modalidades de exemplo serão descritas mais detalhadamente a seguir em relação aos desenhos anexos. Números iguais dizem respeito a elementos iguais por toda a parte.

As modalidades de exemplo aqui divulgadas dizem respeito, no geral, a sistemas de identidade que incluem DIRs usadas na iniciação da comunicação para a produção de sinais de identidade que podem ser trocados entre um principal, um fornecedor de identida- de e uma parte de suporte para autenticar uma identidade e/ou informação relacionada ao principal. Nas modalidades de exemplo aqui divulgadas, o principal pode ser uma pessoa ou pessoas físicas, computador, rede ou qualquer outra entidade. A parte de suporte tem pro- dutos, serviços ou outra informação que o principal deseja acessar e/ou obter. Nas modali- dades de exemplo, a parte de suporte pode ser qualquer recurso, privilégio ou serviço que exige uma política de segurança para entrar, acessar ou usar. Por exemplo, uma parte de suporte pode compreender um ou mais de: computadores, redes de computador, dados, bases de dados, construções, pessoal, serviços, empresas, organizações, locais físicos, dispositivos eletrônicos ou qualquer outro tipo de recurso.

Agora, em relação à figura 1, é mostrado um sistema DIR de exemplo 100, incluin- do um principal 110 e uma parte de suporte 120. O principal 110 tem posse ou controle so- bre a máquina do principal 111. A máquina do principal 111 inclui um sistema de computa- dor controlado pelo menos temporariamente pelo principal 110. A parte de suporte 120 tam- bém pode incluir um sistema de computador. O sistema 100 também pode incluir um siste- ma administrador 160, um sistema de captura de dados 162, um sistema de geração de DIR 164, um armazenamento de dados de identidade 168 e um fornecedor de identidade 115, cada um dos quais sendo adicionalmente discutido a seguir e podendo incluir ou ser parte de um sistema de computador.

O principal 110 e a parte de suporte 120 podem comunicar um com o outro em uma ou mais redes, tal como a Internet, ou por meio de telefone ou outras formas de comunica- ção com fios ou sem fios. Em modalidades de exemplo, o principal 110 pode solicitar produ- tos, serviços, informações, privilégios ou outro acesso da parte de suporte 120. A parte de suporte 120 pode exigir autenticação da identidade do principal 110, ou informação sobre ele, antes do fornecimento do acesso solicitado ao principal 110, ou em conjunto com ele. Também é mostrado na figura 1 um fornecedor de identidade de exemplo 115. O fornecedor de identidade 115 inclui um sistema de computador. Em modalidades de exem- plo, o fornecedor de identidade 115 inclui um transformador de declarações 130 e uma auto- ridade de declarações 140. O transformador de declarações 130 é algumas vezes chamado de um "serviço de sinal de segurança". No exemplo mostrado, o fornecedor de identidade 115 pode fornecer uma ou mais declarações sobre o principal 110. Uma declaração é uma sentença ou asserção feita a respeito do principal, possivelmente, incluindo sentença sobre o principal, tais como, por exemplo, nome, endereço, número da previdência social, idade, histórico de crédito, exigências transacionais, etc. Da forma adicionalmente descrita a se- guir, o fornecedor de identidade 115 pode fornecer declarações ao principal 110 e/ou à parte de suporte 120 na forma de um sinal de identidade digitalmente assinado. Em modalidades de exemplo, o fornecedor de identidade 115 está em um relacionamento de confiança com a parte de suporte 120, de forma que a parte de suporte 120 confia nas declarações no sinal de identidade assinado do fornecedor de identidade 115.

Embora o transformador de declarações 130 e a autoridade de declarações 140 do fornecedor de identidade 115 sejam mostrados como entidades separadas na figura 1, em modalidades alternativas, o transformador de declarações 130 e a autoridade de declara- ções 140 podem ser a mesma entidade, ou entidades diferentes. Em algumas modalidades de exemplo, o fornecedor de identidade 115 pode tomar a forma de um serviço de sinal de segurança. Similarmente, o fornecedor de identidade 115 e o sistema de geração de DIR 164 podem ser a mesma entidade ou entidades diferentes.

Sistemas de computador aqui descritos incluem, sem limitações, um computador pessoal, computador servidor, dispositivo de mão ou portátil, sistema microprocessador, sistema com base em microprocessador, dispositivos eletrônicos programáveis pelo consu- midor, PCs em rede, minicomputadores, computador de grande porte, cartão inteligente, telefone, dispositivo de comunicação móvel ou celular, assistente de dados pessoal, ambi- ente de computação distribuída que inclui qualquer um dos sistemas ou dispositivos expos- tos, e congêneres. Alguns sistemas de computador aqui descritos podem compreender dis- positivos de computação portáteis. Um dispositivo de computação portátil é qualquer siste- ma de controlador que é projetado para ser fisicamente conduzido por um usuário. Cada sistema de computador também pode incluir um ou mais periféricos, incluindo, sem limita- ções, teclado, mouse, uma câmera, uma câmera digital para a Internet, uma câmera de ví- deo, um digitalizador de impressões digitais, um digitalizador de íris, um dispositivo de exibi- ção, tal como um monitor, um microfone ou alto-falantes.

Cada sistema de computador inclui um servidor, tal como (sem limitações) o siste- ma operacional WINDOWS da Microsoft Corporation, e um ou mais programas armazena- dos na mídia legível por computador. Cada sistema de computador também pode incluir um ou mais dispositivos de comunicações de entrada e de saída que permite que o usuário co- munique com o sistema de computador, bem como permite que o sistema de computador comunique com outros dispositivos. As comunicações entre os sistemas de computador u- sados pelo principal 110 (por exemplo, máquina do principal 111), parte de suporte 120, sis- tema de geração de DIR 164, sistema administrador 160, sistema de captura de dados 162 e fornecedor de identidade 115 podem ser implementadas usando qualquer tipo de ligação de comunicações, incluindo, sem limitações, a Internet, redes de área ampla, intranets, E- thernets, caminhos com ligação direta com fios, satélites, varreduras por infravermelho, co- municações celulares, ou qualquer outro tipo de comunicações com fios ou sem fios.

Em algumas modalidades de exemplo aqui divulgadas, o sistema 100 é implemen- tado, pelo menos em parte, como o sistema de Cartão de Informação fornecido na estrutura .NET 3.0 desenvolvida pela Microsoft Corporation de Redmond, Washington. O sistema de Cartão de Informação permite que indivíduos efetivos gerenciem múltiplas DIRs dos vários fornecedores de identidade.

O sistema do Cartão de Informação utiliza uma plataforma de serviços da Internet, tal como a Estrutura de Comunicação do Windows, na estrutura .NET 3.0. Além do mais, o sistema do Cartão de Informação é construído usando as Especificações de Segurança dos Serviços da Internet propagadas, pelo menos em parte, pela Microsoft Corporation de Red- mond, Washington. Estas especificações incluem um modelo de segurança de mensagem WS-Security, de uma política de terminal WS-SecurityPolicy, de uma troca de metadados WS-MetadataExchange, e de um modelo de confiança WS-Trust. No geral, o modelo WS- Security descreve como anexar sinais de identidade nas mensagens. O modelo WS- SecurityPoIicy descreve as exigências da política de terminal, tais como sinais de identidade exigidos e algoritmos de encriptação suportados. Tais exigências de política podem ser con- duzidas e negociadas usando um protocolo de metadados definido pelo WS- MetadataExchange. O modelo WS-Trust descreve uma estrutura para modelos de confiança que habilitam diferentes serviços da Internet para interoperação. Algumas modalidades de exemplo aqui descritas dizem respeito às supradescritas Especificações de Segurança dos Serviços da Internet. Em modalidades alternativas, uma ou mais especificações podem ser usadas para facilitar as comunicações entre os vários subsistemas no sistema 100.

Novamente, em relação à figura 1, o principal 110 pode transmitir uma solicitação por meio da máquina do principal 111 à parte de suporte 120 para acesso a produtos, servi- ços ou outra informação. Por exemplo, em uma modalidade, a máquina do principal 111 transmite uma solicitação à parte de suporte 120 para acesso à informação da parte de su- porte 120 que o principal 110 deseja. A solicitação transmitida pela máquina do principal 111 pode incluir uma solicitação pelas exigências de autenticação da parte de suporte 120 usan- do, por exemplo, os mecanismos fornecidos no WS-MetadataExchange .

Em resposta à solicitação, a parte de suporte 120 pode transmitir exigências da máquina do principal 111 para a parte de suporte 120 para autenticar a identidade do princi- pal ou outra informação sobre o principal 110. As exigências da parte de suporte 120 em relação à autenticação são aqui chamadas de uma política de segurança. Uma política de segurança define minimamente o conjunto de declarações de um fornecedor de identidade confiado 115 que o principal 110 deve fornecer à parte de suporte 120 para que a parte de suporte 120 autentique o principal 110. Uma política de segurança pode incluir uma exigên- cia de prova considerando uma característica pessoal (tal como idade), identidade, estado financeiro, etc. Ela também pode incluir regras que consideram o nível de verificação e de autenticação exigidos para autenticar todas as ofertas de prova (por exemplo, assinatura digital de um fornecedor de identidade em particular).

Em um exemplo, a parte de suporte 120 especifica sua política de segurança usan- do WS-SecurityPolicy, incluindo tanto as exigências de declaração quanto o tipo de sinal de identidade exigido pela parte de suporte 120. Exemplos dos tipos de declarações incluem, sem limitações, o seguinte: primeiro nome, último nome, endereço de correio eletrônico, nome da rua, nome da localidade ou da cidade, estado ou província, código postal, país, número do telefone, número da previdência social, data de nascimento, sexo, número identi- ficador pessoal, classificação de crédito, estado financeiro, estado legal, etc.

A política de segurança também pode ser usada para especificar o tipo de sinal de identidade exigido pela parte de suporte 120 ou um tipo padrão pode ser usado da forma determinada pelo fornecedor de identidade. Além da especificação das declarações exigidas e do tipo de sinal, a política de segurança pode especificar um fornecedor de identidade em particular exigido pela parte de suporte. Alternativamente, a política pode omitir este elemen- to, deixando a determinação do fornecedor de identidade apropriado por conta do principal 110. Outros elementos também podem ser especificados na política de segurança, tal como, por exemplo, o vigor do sinal de segurança exigido.

Em algumas modalidades, o principal 110 pode exigir que a parte de suporte 120 se identifique à máquina do principal 111, de forma que o principal 110 possa decidir se satis- faz ou não a política de segurança da parte de suporte 120, da forma descrita a seguir. Em um exemplo, a parte de suporte 120 se identifica usando um certificado X509. Em outras modalidades, a parte de suporte 120 pode se identificar usando outros mecanismos, tais como, por exemplo, um certificado de servido de Camada de Soquete Seguro ("SSL").

A máquina do principal 111 pode incluir uma ou mais DIRs para o principal 110. Es- tas DIRs (algumas vezes chamadas de "Cartões de Informação" no sistema de Windows CardSpace fornecido pela estrutura .NET 3. O desenvolvida pela Microsoft Corporation de Redmond, Washington) são artefatos que representam o relacionamento de emissão de sinal entre o principal 110 e um fornecedor de identidade em particular, tal como o fornece- dor de identidade 115. Cada DIR pode corresponder a um fornecedor de identidade em par- ticular, e o principal 110 pode ter múltiplas DIRs do mesmo ou de diferentes fornecedores de identidade. O uso das DIRs em um sistema de identidade é descrito com detalhes no Pedido de Patente US 11/361.281, que é aqui incorporado pela referência com se fosse aqui com- pletamente apresentado.

DIRs podem incluir, entre outras informações, a política de emissão do fornecedor de identidade em relação a sinais de identidade, incluindo o tipo de sinais que podem ser emitidos, os tipos de declarações para as quais ela tem autoridade, e/ou as credenciais para uso para autenticação durante a solicitação de sinais de identidade. DIRs podem ser repre- sentadas como documentos XML que são emitidos pelos fornecedores de identidade 115 ou sistemas de geração de DIR 164 e armazenados pelos indivíduos efetivos 110 em um dis- positivo de armazenamento, tal como a máquina do principal 111.

A máquina do principal 111 também pode incluir um seletor de identidade. No geral, um seletor de identidade é um programa de computador e interface de usuário que permi- tem que o principal 110 selecione entre uma ou mais DIRs do principal 110 na máquina do principal 111 para solicitar e obter sinais de identidade de um ou mais fornecedores de iden- tidade, tal como o fornecedor de identidade 115. Por exemplo, quando uma política de segu- rança da parte de suporte 120 for recebida pela máquina do principal 111, o seletor de iden- tidade pode ser programado para identificar uma ou mais DIRs que satisfazem uma ou mais das declarações exigidas pela política de segurança que usa a informação nas DIRs. Uma vez que o principal 110 recebe a política de segurança da parte de suporte 120, o principal 110 pode comunicar com (usando, por exemplo, a máquina do principal 111) um ou mais fornecedores de identidade para reunir as declarações exigidas pela política.

Nas modalidades de exemplo, o principal 110 solicita um ou mais sinais de identi- dade do fornecedor de identidade 115 usando o mecanismo de emissão descrito no WS- Trust. Em modalidades de exemplo, o principal 110 encaminha as exigências de declaração na política da parte de suporte 120 para o fornecedor de identidade 115. A identidade da parte de suporte 120 pode, mas não precisa, ser especificada na solicitação transmitida pelo principal 110 ao fornecedor de identidade 115. A solicitação também pode incluir outras exi- gências, tal como uma solicitação por um sinal de exibição.

No geral, a autoridade de declarações 140 do fornecedor de identidade 115 pode fornecer uma ou mais das declarações exigidas pela política de segurança da parte de su- porte 120. O transformador de declarações 130 do fornecedor de identidade 115 é progra- mado para transformar as declarações e para gerar um ou mais sinais de identidade assina- dos 150 que incluem a(s) declaração(s) relacionadas ao principal 110.

Como exposto, o principal 110 pode solicitar um sinal de identidade em um certo formato na sua solicitação ao fornecedor de identidade 115, com base nas exigências da parte de suporte 120. O transformador de declarações 130 pode ser programado para gerar sinais de identidade em um de uma pluralidade de formatos que incluem, sem limitações, X509, Kerberos, SAML (versões 1.0 e 2.0), Protocolo de Identidade Extensível Simples ("SXIP"), etc.

Por exemplo, em uma modalidade, a autoridade de declarações 140 é programada para gerar declarações em um primeiro formato A, e a política de segurança da parte de suporte 120 exige um sinal de identidade em um segundo formato Β. O transformador de declarações 130 pode transformar as declarações da autoridade de declarações 140 do formato A para o formato B antes de transmitir um sinal de identidade ao principal 110. Além do mais, o transformador de declarações 130 pode ser programado para refinar a semântica de uma declaração em particular. Em modalidades de exemplo, a semântica de uma decla- ração em particular é transformada para minimizar a quantidade de informação fornecida em uma declaração e/ou sinal de identidade em particular para reduzir ou minimizar a quantida- de de informação pessoal que é conduzida por uma dada declaração.

Em modalidades de exemplo, o transformador de declarações 130 encaminha o si- nal de identidade 150 ao principal 110 usando os mecanismos de resposta descritos em WS-Trust. Em uma modalidade, o transformador de declarações 130 inclui um serviço de sinal de segurança (algumas vezes chamado de um "STS"). Em modalidades de exemplo, o principal 110 encaminha o sinal de identidade 150 à parte de suporte 120 pela ligação do sinal de identidade 150 em uma mensagem de aplicação usando os mecanismos de ligação de segurança descritos em WS-Security. Em outras modalidades, o sinal de identidade 150 pode ser transmitido diretamente do fornecedor de identidade 115 até a parte de suporte 120.

Uma vez que a parte de suporte 120 recebe o sinal de identidade 150, a parte de suporte 120 pode verificar (por exemplo, pela decodificação ou decriptação do sinal de iden- tidade 150) a origem do sinal de identidade assinado 150. A parte de suporte 120 também pode utilizar a(s) declaração(s) no sinal de identidade 150 para satisfazer a política de segu- rança da parte de suporte 120 para autenticar o principal 110.

O fornecimento de DIRs será agora discutido com mais detalhes. O principal 110 pode obter uma DIR em uma variedade de maneiras. Na modalidade de exemplo ilustrada na figura 1, o sistema de geração de DIR 164 é usado, no geral, para comunicar com o prin- cipal 110, criar novas DIRs, e notificar o principal 110 sobre as DIRs disponíveis. Em algu- mas modalidades, o sistema de geração de DIR 164 pode compreender uma página da In- ternet. Em outras modalidades, o sistema de geração de DIR 164 pode compreender um serviço da Internet. O sistema de geração de DIR 164 também pode incluir ou funcionar em conjunto com um servidor de informação da Internet (IIS) 166 em certas modalidades.

O armazenamento de dados de identidade 168 é um sistema de armazenamento de informação digital que pode ser acessado, em certas modalidades, pelo fornecedor de identidade 115, pelo sistema de geração de DIR 164 e pelo sistema administrador 160. O armazenamento de dados de identidade 168 pode compreender um servidor de base de dados, memória de computador ou qualquer outro(s) dispositivo(s) de armazenamento de dados. O armazenamento de dados de identidade 168 pode ser composto por uma plurali- dade de dispositivos ou sistemas em um modelo de dados distribuídos. O armazenamento de dados de identidade 168 também pode incluir ou compreender um serviço de diretório, tal como Diretório Ativo 169 propagado pela Microsoft Corporation de Redmond1 Washington.

O sistema administrador 160 pode incluir um sistema de computador, incluindo uma interface de usuário que permitirá que um administrador comunique com o armazenamento de dados de identidade 168 e com o sistema de geração de DIR 164. O sistema administra- dor 160 permite que um administrador organize e administre os dados no armazenamento de dados de identidade 168. Ele também permite que um administrador determine os tipos de DIRs que o sistema de geração de DIR 164 cria, e permite que um administrador controle se um principal em particular é elegível para receber DIRs em particular. O uso do sistema administrador 160 é adicionalmente discutido a seguir.

Certas modalidades podem incluir um sistema de captura de dados separado 162. O sistema de captura de dados 162 pode compreender um sistema de computador adapta- do para capturar informação relacionada aos indivíduos efetivos. Por exemplo, o sistema de captura de dados 162 pode compreender um sistema de computador com recursos huma- nos que captura informação pessoal sobre um principal, tais como nome, número do telefo- ne, número da previdência social, endereço, etc. O sistema de captura de dados 162 pode incluir armazenamento separado ou pode utilizar o armazenamento de dados de identidade 168.

A figura 2 ilustra um método 200 que pode ser implementado por meio do sistema 110. Na etapa 210, um administrador configura um armazenamento de dados de identidade. Por exemplo, um administrador pode usar o sistema administrador 160 para configurar o armazenamento de dados de identidade 168. Em algumas modalidades, o administrador pode usar o sistema administrador 160 para ajustar tabelas no armazenamento de dados de identidade 168 que serão usadas para administrar, gerar e gerenciar DIRs. Em uma modali- dade exemplar, o administrador pode determinar os tipos de declarações que serão supor- tadas nas DIRs criadas pelo sistema de geração de DIR 164 e sinais de identidade gerados pelo fornecedor de identidade 115. O administrador também pode usar um sistema adminis- trador 160 para configurar o armazenamento de dados de identidade 168 para armazenar informação de política, tais como os tipos de sinais que o fornecedor de identidade 115 su- porta, informação de nomeação e metadados de federação. Outras informações no armaze- namento de dados de identidade 168 que podem ser embutidas em uma DIR incluem uma fotografia do principal 110 e informação de conectividade relacionada aos fornecedores de identidade, tal como o fornecedor de identidade 115.

Então, o método 200 prossegue até a etapa 220 quando o principal 110 solicita uma DIR. Uma solicitação por uma DIR pode ser feita em uma variedade de maneiras. Por exemplo, o principal 110 pode usar a máquina do principal 111 para acessar o sistema de geração de DIR 164. Em algumas modalidades, o sistema de geração de DIR 164 é uma página da Internet e a máquina do principal 114 acessa o sistema de geração de DIR 164 por meio de um navegador da Internet para solicitar uma DIR. Em algumas modalidades, o principal 110 solicita uma DIR em particular. Em outras modalidades adicionalmente discuti- das a seguir, o principal 110 solicita uma lista de DIRs disponíveis ao principal 110 e escolhe a partir desta lista.

Então, o método 200 prossegue até a etapa 230, quando o sistema de geração da DIR 164 verifica com o armazenamento de dados de identidade 168, gera a DIR e fornece a DIR ao principal 110. Em uma modalidade, o sistema de geração da DIR 164 primeiro verifi- ca com o armazenamento de dados de identidade 168 para determinar se o principal 110 está nomeado em relação à DIR solicitada. Isto pode ser realizado em uma variedade de maneiras, incluindo pela verificação de uma DLL de nomeações no armazenamento de da- dos de identidade 168, pela realização de uma verificação de acesso ao Diretório Ativo, etc. O sistema de geração de DIR 164 também pode acessar os metadados do sistema de iden- tidade armazenados no armazenamento de dados de identidade 168 para determinar quais tipos de declarações de identidade são disponíveis para ser incluídas na nova DIR.

Quando o sistema de geração da DIR 164 criar a nova DIR, a DIR pode tomar a forma de um documento XML e pode incluir, entre outras informações, uma imagem para exibição na máquina do principal, uma lista de declarações incluída na DIR, uma lista de tipos de sinal disponíveis para a DIR, uma identificador de DIR exclusivo, uma dica de cre- dencial (discutida adicionalmente a seguir), certificação do fornecedor de identidade, e uma referência de terminal para o fornecedor de identidade 115. A nova DIR também pode ser fornecida ao principal em uma variedade de maneiras, incluindo um correio eletrônico da nova DIR, uma mensagem de HTTP ou outros métodos. Da forma aqui usada, "correio ele- trônico" inclui mensagens de texto, mensagens instantâneas, e formas similares de comuni- cação eletrônica.

Mediante recepção da nova DIR, o principal 110 armazena 240 a DIR, por exemplo, na memória associada com a máquina do principal 111. Então, o principal 250 solicita aces- so (por exemplo, por meio de um redirecionamento a uma página de autenticação) e fornece 260 sua política de segurança de volta ao principal 110. Então, o principal 110 seleciona 270 uma DIR para satisfazer a política de segurança da parte de suporte 120. Isto pode ser rea- lizado, por exemplo, por meio de uma interface de usuário na máquina do principal 111 que exibe todas as DIRs disponíveis ao principal 110. Em algumas modalidades, a DIR que sa- tisfaz as exigências da política de segurança da parte de suporte pode ser destacada para o principal 110, e outros cartões podem ficar esmaecidos para tornar o processo de seleção mais fácil para o principal 110.

Então, o principal 110 transmite 280 a solicitação por um sinal de identidade a um fornecedor de identidade, tal como o fornecedor de identidade 115. Esta solicitação por um sinal de identidade pode ser gerada automaticamente pela máquina do principal 111 medi- ante seleção pelo principal 110 de uma DIR armazenada na máquina do principal 111. O fornecedor de identidade 115 verifica 285 o armazenamento de dados de identidade 168 para obter a informação exigida para preencher o sinal de identidade solicitado. Esta infor- mação pode incluir, por exemplo, dados das declarações. Por exemplo, se a DIR seleciona- da incluir uma declaração de idade, o fornecedor de identidade 115 pode verificar o armaze- namento de dados de identidade 168 para determinar a idade do principal 110. Então, o for- necedor de identidade 115 pode criar 285 o sinal de identidade solicitado e transmití-lo 290 ao principal. Então, o principal transmite 295 o sinal de identidade à parte de suporte e rece- be permissão de acesso, da forma supradiscutida.

No fornecimento de acesso pelo fornecedor de identidade 115 ao mesmo armaze- namento de dados de identidade 168 usado pelo sistema de geração de DIR 164, um admi- nistrador pode garantir que a geração das DIRs permaneça em sincronia com os dados re- ais disponíveis para satisfazer as declarações em um sinal de identidade solicitado. Por e- xemplo, se um administrador configurar o armazenamento de dados de identidade 168 de maneira tal que dados para a declaração de idade não fiquem ali armazenados, então, o sistema de geração de DIR 164 não criará uma DIR que inclui uma opção para uma decla- ração de idade. Caso contrário, podem surgir problemas de sincronismo. Por exemplo, con- sidere que um administrador cria uma nova DIR ad hoc (sem referência a dados de identi- dade disponíveis), e que uma declaração de idade é incluída e retransmitida como parte de uma DIR a um principal. Quando o principal tentar obter um sinal de identidade com uma declaração de idade, aquela informação não estará disponível, e o sinal será rejeitado pela parte de suporte, como insuficiente. Ao contrário, o sistema 100 permite sincronismo auto- mático das DIRs geradas e a disponibilidade de dados básicos para preencher sinais de identidade correspondentes. É fornecida a um administrador a capacidade de, por meio do sistema administrador 160, fazer mudanças no armazenamento de dados de identidade que afetarão automaticamente tanto o fornecimento das DIRs quanto a emissão dos sinais de identidade correspondentes.

Em algumas modalidades, quando o administrador faz mudanças em particular no armazenamento de dados de identidade 168 que afetam a validade das DIRs já emitidas, todos os indivíduos efetivos que receberam DIRs afetadas são notificados e permitidos obter novas DIRs. Por exemplo, considere que regulações de privacidade exigem que o adminis- trador elimine os endereços do domicílio de todos os indivíduos efetivos armazenados no armazenamento de dados de identidade 168. Todos os indivíduos efetivos 110 que recebe- ram uma DIR que incluía uma declaração como seu endereço de domicílio, agora, têm uma DIR inválida (em virtude de não haver mais nenhum dado no armazenamento de dados de identidade 168 para satisfazer aquela declaração). Em uma modalidade, todos tais indiví- duos efetivos são notificados, por exemplo, por meio de um correio eletrônico do sistema de geração de DIR 164, de que a(s) DIR(s) é(são) agora inválida(s), e convidando os indivíduos efetivos a obter uma nova DIR que não inclui a declaração de endereço de domicílio não mais suportada. Desta maneira, a única troca pelo administrador no armazenamento de da- dos de identidade 168 (a) impede que novas DIRs sejam emitidas com uma declaração de endereço de domicílio, e (b) alerta os indivíduos efetivos que DIRs existentes que incluem aquela declaração são inválidas e podem ser substituídas.

Agora, em relação à figura 3, um método exemplar 300 é descrito em relação ao sistema 110 mostrado na figura 1. Neste exemplo, o principal 110 autentica na máquina do principal 111. A máquina do principal 111, por exemplo, pode ser conectada em uma intra- net, que inclui um serviço de diretório, tal como o servidor de Diretório Ativo 169. A autenti- cação do principal 110 na máquina do principal 111 pode incluir usar informação de conexão de qualquer método conhecido, incluindo nome de usuário / senha, cartão inteligente, etc. Então, o principal 110 inicia 320 uma solicitação de DIR, por exemplo, apontando um nave- gador na máquina do principal 111 para uma página da Internet que compreende o sistema de geração de DIR 164. Então, o principal 110 autentica 330 no sistema de geração de DIR 164. Em algumas modalidades, a máquina do principal 111, o sistema de geração de DIR 164, o armazenamento de dados de identidade 168, o fornecedor de identidade 115 e o sis- tema administrador 160 podem ser parte da mesma intranet. Nesta modalidade, é possível que capacidade de conexão simples possa ser disponível. Por exemplo, se a máquina do principal estiver em execução, um sistema operacional WINDOWS, disponível pela Microsoft Corporation de Redmond, Washington, e a Autenticação Integrada do Windows estiver ati- vada, então, a autenticação no sistema de geração da DIR 164 pode ser automática e contí- nua em relação ao principal 110 - informação usada para conectar na máquina do principal 111 é passada ao sistema de geração de DIR 164 juntamente com a solicitação de acesso. Em outras modalidades, o administrador pode configurar o sistema de geração de DIR 164 para exigir uma autenticação separada do principal 110. O administrador pode configurar o sistema de geração de DIR 164 para exigir qualquer um de uma variedade de mecanismos de autenticação, incluindo nome de usuário / senha, cartão inteligente, etc. Em algumas modalidades, o principal 110 pode ser autenticado pelo IIS 166, que pode ser facilmente configurado por um administrador para aceitar qualquer um de uma variedade de métodos de autenticação.

Uma vez que o principal 110 é autenticado, o sistema de geração de DIR 164 aces- sa 350 o armazenamento de dados de identidade 168. Neste exemplo, o sistema de gera- ção de DIR 164 toma a forma de um serviço da Internet para permitir a negociação entre o sistema de geração de DIR e o principal 110. Neste exemplo, a negociação determina o tipo de DIR que será retornada ao principal 110. Neste exemplo, o sistema de geração de DIR 164 obtém 350 descritores de DIR disponíveis. Em modalidades exemplares, um adminis- trador usa o sistema administrador 160 para criar descritores de DIR. Por exemplo, um ad- ministrador de IT corporativo pode criar descritores que representam diferentes DIRs para diferentes níveis de empregados. Por exemplo, um empregado temporário pode ter um con- junto de declarações diferente daquele de um empregado efetivo. Um CEO pode ter um conjunto de declarações diferente daquele de um empregado da equipe. Mesmo as imagens que são associadas com cada descritor de DIR podem variar - por exemplo, a imagem da DIR do grupo de vendas pode ser laranja, enquanto que a imagem da DIR para o grupo de contabilidade é verde. Adicionalmente, é possível personalizar a imagem do cartão para conter a imagem do principal 110 (obtida do armazenamento de dados de identidade 168). Isto melhora a associação que o principal 110 faz entre suas DIRs e o fornecedor de identi- dade 115. Ele também fornece melhores capacidades de "tirar impressão digital".

Em algumas modalidades, o sistema administrador 160 inclui uma interface de usu- ário que analisa gramaticamente por meio de todos os tipos de informação disponíveis no armazenamento de dados de identidade 168 e apresenta ao administrador uma fácil manei- ra de criar descritores. Por exemplo, pode ser apresentada ao administrador uma lista de: (a) classes de indivíduos efetivos (por exemplo, empregado temporário, empregado efetivo, membro da equipe executiva, membro do grupo de vendas, etc.); (b) tipos de declaração (nome, endereço, número de telefone, idade, etc.); (c) lacunas de segurança; (d) estado do emprego (atual, terminado); etc. Então, o administrador pode decidir criar descritores distin- tos disponíveis a algumas ou a todas as classes de indivíduos efetivos. Por exemplo, todos os indivíduos efetivos podem ser elegíveis para receber uma DIR básica que inclui o nome, número de telefone e estado de emprego do principal. Entretanto, somente a equipe execu- tiva pode ser elegível para receber uma DIR que também inclui uma lacuna de segurança de alto nível. Estes descritores podem ser criados pelo administrador e salvos no armazena- mento de dados de identidade, juntamente com uma política que delineia quais indivíduos efetivos são permitidos receber DIRs correspondentes aos descritores em particular. Co- mandos possíveis que podem ser sados por um administrador no tratamento de descritores incluem: "GET DESCRIPTORS, GET ALL DESCRIPTORS, ADD DESCRIPTORS, CHANGE DESCRIPTORS, DELETE DESCRIPTORS, COPY DESCRIPTORS, etc.".

A solicitação pelo principal 110 por descritores disponíveis pode ser realizada pela máquina do principal 111 por meio de um método de serviço da Internet, tal como "GET DESCRIPTORS". Isto fará com que o sistema de geração de DIR verifique o principal 110 em relação à política ajustada pelo administrador para determinar quais descritores estão disponíveis, se houver, para aquele principal 110. Isto pode ser realizado, por exemplo, por meio de uma verificação de acesso em Diretório Ativo. Descritores podem ser armazenados em qualquer um ou todos de, por exemplo: um armazenamento de dados de identidade 168, uma memória associada com o sistema de geração de DIR 164 ou um armazenamento se- parado.

Então, o sistema de geração de DIR 164 transmite 360 os descritores disponíveis à máquina do principal 111. Então, o principal 110 seleciona 370 a partir dos descritores dis- poníveis e solicita DIR(s) em particular correspondente(s) ao(s) descritor(s). Novamente, isto pode ser realizado, por exemplo, por um método de serviço da Internet, tal como "GET CARD(s)" (neste exemplo, em relação aos Cartões de Informação disponíveis no sistema Windows CardSpace propagado, pelo menos em parte, pela Microsoft Corporation de Red- mond, Washington). Um principal 110 pode solicitar uma de diversas DIRs disponíveis.

Então, o sistema de geração de DIR 164 cria 380 a(s) DIR(s) solicitada(s). Em mo- dalidades exemplares, o sistema de geração de DIR inclui na DIR uma dica de credencial para "apoiar" a DIR. Por exemplo, a DIR pode incluir uma dica de credencial de nome de usuário / senha, e o principal 110 pode ser exigido a autenticar usando aqueles nome de usuário / senha a fim de usar a DIR para obter um sinal de identidade. Em algumas modali- dades, o tipo de autenticação pode ser tomado da autenticação usada pelo principal 110 para ganhar acesso ao sistema de geração de DIR 164. Por exemplo, se o principal 110 usou uma combinação de nome de usuário / senha para autenticar no IIS 166, o sistema de geração de DIR 164 pode usar os mesmos nome de usuário / senha para apoiar a DIR quando ela for retransmitida ao principal 110.

Em outras modalidades, o sistema de geração digital pode ter acesso a um serviço de diretório, tal como Diretório Ativo 169, que pode incluir outros métodos de autenticação disponíveis para um principal 110 em particular. Por exemplo, se o principal 110 usar um nome de usuário / senha para autenticar no sistema de geração de DIR 164, mas o Diretório Ativo também incluir um certificado associado com um cartão inteligente registrado no prin- cipal 110, o sistema de geração de DIR 164 pode incluir qualquer um ou ambos os tipos de autenticação como parte da DIR retornada ao principal 110. Além do mais, se a capacidade de conexão simples for habilitada entre a máquina do principal 111 e o sistema de geração de DIR 164, o tipo de autenticação que é incluído na DIR pode ser o tipo de autenticação usado pelo principal 110 para autenticar na máquina do principal 111.

Uma vez que a(s) DIR(s) é(são) gerada(s) pelo sistema de geração de DIR 164, e- Ias são transmitidas 390 até o principal 110 por meio de qualquer um de uma variedade de métodos, incluindo correio eletrônico, HTTP, etc. Em algumas modalidades, o arquivo que inclui a(s) DIR(s) pode ser protegido por pin. Isto é em virtude de, particularmente no caso em que múltiplas DIRs são transmitidas ao principal 110, o arquivo que contém as DIRs po- der incluir material de chave criptográfica que deve ser protegido contra acesso não autori- zado. O pin permite o estabelecimento de um segredo compartilhado entre a máquina do principal 111 e o sistema de geração de DIR 164. Então, um arquivo que contém DIR(s) po- de ser decriptado pelo principal durante a instalação das DIRs na máquina do principal 111. Métodos exemplares para iniciar, aprovar e transmitir DIRs são adicionalmente discutidos a seguir.

Agora, em relação à figura 4, um método 400 é ilustrado. Na etapa 410, uma solici- tação para criar uma DIR é recebida por meio de um primeiro canal. Por exemplo, o principal 110 pode usar um navegador da Internet na máquina do principal 111 para solicitar uma nova DIR do sistema de geração de DIR 164. Na etapa 420, é emitida 420 uma notificação, por meio de um segundo canal, de que a DIR foi solicitada. Por exemplo, em resposta a uma solicitação de uma nova DIR do principal 110, o sistema de geração de DIR 164 ou uma aplicação em execução na máquina do principal 111 podem transmitir uma notificação por correio eletrônico de que a solicitação foi feita. Isto pode agir como uma "verificação" para garantir que o principal 110 seja aquele que está solicitando a DIR e não um impostor. Em algumas modalidades, o correio eletrônico pode ser direcionado a um endereço de cor- reio eletrônico conhecido para o principal. Em outras modalidades, a notificação pode ser direcionada a um terceiro de quem a política do administrador exige que aprove a emissão de uma nova DIR para o principal 110 em particular. Por exemplo, algumas DIRs podem ficar disponíveis a certos empregados em uma empresa somente se seus gerentes aprova- rem a emissão. Este tipo de DIR pode ser usado, por exemplo, para ganhar acesso a um grupo de trabalho confidencial.

Da forma aqui usada, um "canal" diz respeito à maneira na qual a informação na emissão é comunicada. A distinção entre diferentes canais no método 400 é uma distinção lógica. Dois canais distintos podem empregar algumas ou todas as mesmas ligações de comunicação físicas ou eletrônicas ou diferentes caminhos, no todo. Por exemplo, uma noti- ficação na etapa 420 pode ser transmitida na mesma ligação de comunicação (por exemplo, a Internet), conforme a aprovação na etapa 430, mas os canais podem ser logicamente dife- rentes (por exemplo, um pode ser um correio eletrônico e o outro pode ser uma mensagem HTTP).

Na etapa 430, é recebida uma aprovação para que a DIR seja criada. Por exemplo, o receptor da notificação, na etapa 420, do sistema de geração de DIR 364 pode responder e aprovar a emissão da DIR solicitada. Isto pode ser realizado em uma variedade de manei- ras. Por exemplo, a notificação, na etapa 420, pode compreender um correio eletrônico com uma ligação para uma página da Internet de aprovação hospedada pelo sistema de geração de DIR 364.

Na etapa 440, a DIR solicitada é criada. Se a aprovação fosse negada pelo receptor da notificação, na etapa 420, outros eventos poderiam ocorrer. Por exemplo, o administrador pode ser notificado de que uma solicitação não autorizada foi feita em relação a uma DIR.

Agora, em relação à figura 5, um outro método exemplar 500 é mostrado. Na etapa 510, é emitida uma notificação de que uma DIR está disponível para um principal. Por e- xemplo, o sistema de geração de DIR 364 pode transmitir ao principal 110 um correio ele- trônico que alerta o principal 110 de que uma nova DIR está disponível. Alternativamente, a notificação pode ir até um terceiro, tal como o gerente do principal. Por exemplo, este tipo de notificação pode ser usado em uma situação em que o administrador mudou o armazena- mento de dados de identidade 168 para incluir um descritor adicional. Então, o sistema de geração de DIR 364 pode ser usado para notificar todos os indivíduos efetivos em uma clas- se que qualifica para o descritor que a nova DIR está disponível. Por exemplo, um gerente em uma unidade de negócio em particular pode pedir a um administrador para criar um novo descritor para que uma DIR seja usada em conjunto com um projeto em particular. Uma vez que o administrador cria o descritor, a notificação de todos os indivíduos efetivos que o ge- rente deseja que tenham a nova DIR pode ser automática.

A notificação 510 também pode ser incluída como parte de um fluxo de trabalho de um negócio geral. Por exemplo, quando um novo principal começa a trabalhar em uma em- presa, o departamento de recursos humanos pode capturar informação sobre o principal por meio do sistema de captura de dados 162. Esta captura de dados pode dar início a uma série de etapas automatizadas, incluindo armazenar os dados de identidade relevantes em relação ao principal no armazenamento de dados de identidade 168 e notificar o principal 110 de que uma DIR está agora disponível para ele. A notificação pode tomar muitas for- mas, incluindo um correio eletrônico para o principal que inclui uma ligação para uma página da Internet que compreende o sistema de geração de DIR 164. Alternativamente, uma apli- cação pode estar em execução na máquina do principal 111, que é adaptada para receber uma mensagem do sistema de geração de DIR 164 de que uma nova DIR está disponível para o principal 110 (por exemplo, a aplicação pode gerar uma mensagem instantânea, um ícone pode aparecer em uma barra de ferramentas na máquina do principal 111, etc.).

Na etapa 520, é recebida uma solicitação para criar a DIR. Esta etapa pode ser no- vamente realizada em uma variedade de maneiras. Por exemplo, o principal 110 pode res- ponder a um correio eletrônico de notificação clicando em uma ligação que o guia para uma página da Internet que dá ao principal a opção de solicitar a DIR. Alternativamente, quando uma aplicação na máquina do principal 111 alertar ao principal 110 de que a DIR está dis- ponível, o principal pode solicitar a DIR em tal aplicação, e a aplicação pode retransmitir uma mensagem ao sistema de geração de DIR 364 para fazer a solicitação.

Na etapa 530, a DIR é criada da forma solicitada. A criação da DIR pode ser reali- zada da forma aqui descrita em outra parte. Então, a DIR é transmitida 540 ao principal, também da forma aqui descrita em outra parte.

Agora, em relação à figura 6, um outro método exemplar 600 é mostrado. Na etapa 610, um sistema de geração de DIR é pesquisado em relação às novas DIRs que estão dis- poníveis ao principal. Por exemplo, a máquina do principal 111 pode ser programada para pesquisar periodicamente o sistema de geração de DIR 164 em intervalos pre- determinados. Na etapa 620, determina-se se todas as novas DIRs estão disponíveis para o principal. Por exemplo, o sistema de geração de DIR 164 pode verificar no armazenamento de dados de identidade 168 se algum novo descritor se tornou disponível ao principal 110 desde o momento em que ele foi pesquisado pela última vez pela máquina do principal 111. Na etapa 630, é feita uma solicitação para que uma nova DIR seja criada. Continuando o exemplo, mediante recepção da notificação de que a nova DIR está disponível, o principal 110 pode solicitar que o sistema de geração da DIR 164 crie a nova DIR. Na etapa 640, a nova DIR é recebida (por exemplo, uma nova DIR pode ser recebida pela máquina do prin- cipal 111a partir do sistema de geração de DIR 164). Este método 600 é um outro exemplo de como o trabalho de um administrador pode ser simplificado. Se todas as máquinas do principal fossem programadas para pesquisar novas DIRs, por exemplo, quando um admi- nistrador cria um novo descritor de DIR no armazenamento de dados de identidade 168, a emissão e distribuição das novas DIRs seriam automáticas e não exigiriam trabalho adicio- nal da parte do administrador.

Também pode ser benéfico poder criar DIRs dinamicamente em resposta à política de segurança de uma parte de suporte. Agora, em relação à figura 7, um método de exem- plo 700 é ilustrado. Na etapa 710, é solicitado acesso a uma parte de suporte. Por exemplo, se a parte de suporte 120 for uma página da Internet restrita, a máquina do principal 111 tenta acessar a página da Internet por meio de um navegador. Na etapa 720, o acesso à parte de suporte é negado e uma política de segurança da parte de suporte é recebida. Con- tinuando o exemplo, a parte de suporte 120 transmite para a máquina do principal 111 sua política de segurança e uma mensagem HTTP que redireciona o navegador da máquina do principal 111 para uma página da Internet de autenticação. Então, uma DIR que satisfaz a política de segurança é solicitada 730 de um sistema de geração de DIR. No exemplo ex- posto, a máquina do principal 111 pode verificar, primeiro, se ela tem uma DIR suficiente e, se não, a máquina do principal 111 pode ser programada para consultar um cache local em relação a fornecedores de identidade que oferecem DIRs que satisfazem a política de segu- rança da parte de suporte 120. A máquina do principal também pode consultar uma lista pública de fornecedores de DIR hospedada pelo terceiro. Então, o principal 110 pode esco- lher um fornecedor de DIR e um sistema de geração de DIR apropriados, tal como o sistema de geração de DIR 164. Na etapa 740, a DIR é recebida. No exemplo exposto, a máquina do principal 111 recebe a nova DIR, que, então, ela pode encaminhar para o fornecedor de identidade 115 para obter o sinal de identidade necessário para ganhar acesso para a parte de suporte 120.

Em algumas modalidades, a máquina do principal 111 pode encaminhar a política de segurança da parte de suporte 120 ao sistema de geração de DIR 164. Então, o sistema de geração de DIR 164 pode verificar o armazenamento de dados de identidade 168 para determinar se as declarações e outras exigências apresentadas na política de segurança podem ser satisfeitas. Se for o caso, uma DIR que satisfaz a política de segurança será cri- ada. Desta maneira, um principal pode obter uma DIR com base na necessidade, indepen- dente se o administrador pré-configurou um descritor de identidade que satisfaz as necessi- dades da política de segurança daquela parte de suporte em particular.

Agora, em relação à figura 8, um outro método exemplar 800 é mostrado. Na etapa 810, uma política é ajustada para um grupo de indivíduos efetivos, autorizando o grupo de indivíduos efetivos que uma DIR está disponível. Em relação ao sistema exemplar 100 da figura 1, um administrador pode usar o sistema administrador para estabelecer uma política no armazenamento de dados de identidade 168 que autoriza todos os indivíduos efetivos, que são parte de um grupo em particular, a receber uma DIR em particular. Em algumas modalidades, isto pode ser realizado por um administrador que usa o recurso da "Política de Grupo" disponível no Diretório Ativo 169 ou outro dispositivo para iniciar uma aplicação no lado do cliente residente na máquina do principal 111. Na etapa 820, o grupo de indivíduos efetivos para quem a DIR fica disponível é notificado. No exemplo exposto, a aplicação no lado do cliente residente na máquina do principal 111 é ativada. Isto pode resultar no princi- pal 110 sendo informado de que uma DIR está agora disponível (por exemplo, por meio de uma mensagem instantânea, de um ícone na barra de ferramentas, etc.). A aplicação no lado do cliente pode ter seu próprio conjunto de regras (por exemplo, capacidade de o prin- cipal 110 escolher ser lembrado posteriormente, fornecer ao principal 110 somente uma cer- ta quantidade de tempo para recuperar a nova DIR, etc.). Na etapa 830, uma solicitação de pelo menos um primeiro principal no grupo de indivíduos efetivos é recebida para criar a DIR. Em algumas modalidades, isto pode envolver o usuário autorizar a criação da DIR por meio da aplicação no lado do cliente residente na máquina do principal 111. Em outras mo- dalidades, a aplicação no lado do cliente pode solicitar a DIR sem envolvimento adicional do principal 110. Na etapa 840, a DIR é criada para o primeiro principal.

A figura 9 ilustra um dispositivo de computação geral 900 (aqui também chamado de um computador ou sistema computador), que pode ser usado para implementar as mo- dalidades aqui descritas. O dispositivo de computação 900 é somente um exemplo de um ambiente de computação e não pretende-se que sugira nenhuma limitação no escopo do uso ou na funcionalidade das arquiteturas de computador e de rede. Nem deve o dispositivo de computação 900 ser interpretado com nenhuma dependência ou exigência relacionadas a nenhum dos componentes, ou combinações deles, ilustrados no dispositivo de computa- ção de exemplo 900. Em modalidades, o dispositivo de computação 900 pode ser usado, por exemplo, como uma máquina do principal 111, sistema de geração de DIR 164, sistema de captura de dados 162, IIS 166, armazenamento de dados de identidade 168, diretório ativo 169, sistema administrador 160, fornecedor de identidade 115 ou parte de suporte 120, da forma supradescrita em relação à figura 1.

Na sua configuração mais básica, o dispositivo de computação 900 inclui, tipica- mente, pelo menos uma unidade de processamento 902 e memória 904. Dependendo da exata configuração e tipo de dispositivo de computação, a memória 904 pode ser volátil (tal como RAM), não volátil (tal como ROM, memória flash, etc.) ou alguma combinação das duas. Esta configuração mais básica é ilustrada na figura 9 pela linha tracejada 906. A me- mória do sistema 904 armazena aplicações que estão em execução no dispositivo de com- putação 900. Além das aplicações, a memória 904 também pode armazenar informação que é usada em operações que são realizadas pelo dispositivo de computação 900, tal como uma solicitação de criação de DIR 910 e/ou uma notificação de disponibilidade de DIR 911, da forma descrita a seguir em relação às figuras 1-8.

Adicionalmente, o dispositivo de computação 900 também pode ter recursos / fun- cionalidades adicionais. Por exemplo, o dispositivo de computação 900 também pode incluir armazenamento adicional 908 (removível e/ou não removível) incluindo, mas sem limita- ções, discos ou fitas magnéticos ou óticos. Tal armazenamento adicional é ilustrado na figu- ra 9 pelo armazenamento 908. A mídia de armazenamento no computador inclui mídia volá- til e não volátil, removível e não removível implementada em qualquer método ou tecnologia para armazenamento de informação, tais como instruções legíveis por computador, estrutu- ras de dados, módulos de programa ou outros dados. A memória 904 e o armazenamento 908 são exemplos de mídia de armazenamento no computador. A mídia de armazenamento no computador inclui, mas sem limitações, RAM, ROM, EEPROM, memória flash ou outra tecnologia de memória, CD-ROM, discos versáteis digitais (DVD) ou outro armazenamento ótico, cassetes magnéticos, fita magnética, armazenamento em disco magnético ou outros dispositivos de armazenamento magnético, ou qualquer outra mídia que possa ser usada para armazenar a informação desejada e que possa ser acessada pelo dispositivo de com- putação 900. Qualquer tal mídia de armazenamento no computador pode ser parte do dis- positivo de computação 900.

Versados na técnica percebem que o armazenamento 908 pode armazenar uma variedade de informação. Entre outros tipos de informação, o armazenamento 908 pode armazenar uma representação de identidade digital 930 (por exemplo, no caso de uma má- quina do principal) ou um sinal de identidade 945 (por exemplo, no caso de um fornecedor de identidade).

O dispositivo de computação 900 também pode conter conexão(s) de comunica- ções 912 que permite(m) que o sistema comunique com outros dispositivos. A(s) conexão(s) de comunicações 912 é(são) um exemplo de mídia de comunicação. Tipicamente, mídia de comunicação incorpora instruções legíveis por computador, estruturas de dados, módulos de programa ou outros dados em um sinal de dados modulado, tais como uma onda porta- dora ou outro mecanismo de transporte, e inclui qualquer mídia de distribuição de informa- ção. O termo "sinal de dados modulado" significa um sinal que tem uma ou mais das suas características ajustadas ou mudadas de uma maneira tal para codificar informação no sinal. A título de exemplo, e sem limitações, mídia de comunicação inclui mídia com fios, tais co- mo conexão de rede com fios ou direta com fios, e mídia sem fios, tais como acústica, RF1 infravermelho e outra mídia sem fios. O termo mídia legível por computador, da forma aqui usada, inclui tanto mídia de armazenamento quanto mídia de comunicação.

O dispositivo de computação 900 também pode ter dispositivo(s) de entrada 914, tais como um teclado, mouse, caneta, dispositivo de entrada por voz, dispositivo de entrada por toque, etc. Dispositivo(s) de saída 916, tais como uma tela, alto-falantes, impressora, etc., também pode(m) ser incluídos. Todos estes dispositivos são bem conhecidos na tecno- logia e não precisam ser detalhadamente aqui discutidos.

As várias modalidades supradescritas são fornecidas somente a título de ilustração, e não devem ser interpretadas como limitantes. Versados na técnica percebem prontamente várias modificações e mudanças que podem ser feitas nas modalidades supradescritas sem fugir dos verdadeiros espírito e escopo da divulgação ou das seguintes declarações.

Claims (20)

1. Sistema (100) para o fornecimento de representação de identidade digital (930) para um principal (110), CARACTERIZADO pelo fato de que compreende: um sistema de geração de representação de identidade digital (164) para gerar a representação de identidade digital (930); um fornecedor de identidade (115) para gerar um sinal de identidade (150) em res- posta à recepção de uma solicitação de sinal de identidade, em que a solicitação de sinal de identidade é gerada em resposta à seleção da representação de identidade digital (930); e um armazenamento de dados de identidade (168), operativamente conectado no fornecedor de identidade (115) e no sistema de geração de representação de identidade digital (164); em que o sistema de geração de representação de identidade digital (164) acessa o armazenamento de dados de identidade (168) na geração da representação de identidade digital (930) e o fornecedor de identidade (115) acessa o armazenamento de dados de iden- tidade (168) na geração do sinal de identidade (150).

2. Sistema, de acordo com a declaração 1, CARACTERIZADO pelo fato de que o sistema de geração de representação de identidade digital é adicionalmente adaptado para: receber uma solicitação, por meio de um primeiro canal, para criar a representação de identidade digital para o principal; emitir uma notificação, por meio de um segundo canal, de que a representação de identidade digital foi solicitada; e receber uma aprovação para que a representação de identidade digital seja criada.

3. Sistema, de acordo com a declaração 1, CARACTERIZADO pelo fato de que o sistema de geração de representação de identidade digital é adicionalmente adaptado para: emitir uma notificação de que uma ou mais representações de identidade digital es- tão disponíveis para o principal; e receber uma solicitação para criar a uma ou mais representações de identidade di- gital.

4. Sistema, de acordo com a declaração 1, CARACTERIZADO pelo fato de que compreende adicionalmente uma máquina do principal, em que a máquina do principal é adaptada para: pesquisar o sistema de geração de representação de identidade digital para deter- minar se uma nova reprodução de identidade digital está disponível para o principal; solicitar que a nova representação de identidade digital seja criada; e receber a nova representação de identidade digital.

5. Sistema, de acordo com a declaração 1, CARACTERIZADO pelo fato de que compreende adicionalmente uma máquina do administrador controlada por um administra- dor e adaptada para estabelecer uma política em que permite-se que um grupo de indiví- duos efetivos acesse a representação de identidade digital, e em que o grupo de indivíduos efetivos é notificado de que a representação de identidade digital está disponível, e que o sistema de geração de representação de identidade digital está adaptado para receber uma solicitação de pelo menos um primeiro principal no grupo de indivíduos efetivos para criar a representação de identidade digital.

6. Sistema, de acordo com a declaração 1, CARACTERIZADO pelo fato de que o armazenamento de dados de identidade inclui pelo menos uma primeira categoria de dados e uma segunda categoria de dados, compreendendo adicionalmente: uma máquina de administrador operativamente conectada no armazenamento de dados de identidade para criar uma mudança pelo menos na primeira categoria de dados; em que, depois da mudança, o sistema de geração de representação de identidade digital gera representações de identidade digital que refletem a mudança, e o fornecedor de identidade gera sinais de identidade que refletem a mudança.

7. Sistema, de acordo com a declaração 6, CARACTERIZADO pelo fato de que se a mudança afetar a validade de alguma representação de identidade digital já gerada pelo sistema de geração de representação de identidade digital, o sistema de geração de repre- sentação de identidade digital notifica cada principal que recebeu a representação de identi- dade digital afetada e cria uma nova representação de identidade digital que reflete a mu- dança.

8. Sistema, de acordo com a declaração 1, CARACTERIZADO pelo fato de que o sistema de geração de representação de identidade digital é adicionalmente adaptado para proteger criptograficamente a representação de identidade digital e transmitir a representa- ção de identidade digital criptograficamente protegida para uma máquina do principal.

9. Sistema, de acordo com a declaração 1, CARACTERIZADO pelo fato de que compreende adicionalmente: uma máquina do administrador para criar um primeiro descritor de representação de identidade digital; e uma máquina do principal para solicitar uma representação de identidade digital que está em conformidade com o primeiro descritor de representação de identidade digital.

10. Método (300) para o fornecimento de uma representação de identidade digital para um principal, CARACTERIZADO pelo fato de que compreende: autenticar (330) o principal em um sistema de geração de representação de identi- dade digital (164) usando uma informação de conexão; receber (370) uma solicitação para uma representação de identidade digital (930); gerar (380) a representação de identidade digital (930) para o principal (110), em que a representação de identidade digital (930) inclui pelo menos parte da informação de conexão.

11. Método, de acordo com a declaração 10, CARACTERIZADO pelo fato de que a informação de conexão compreende pelo menos parte da informação de conexão usada para conectar em uma máquina do principal.

12. Método, de acordo com a declaração 10, CARACTERIZADO pelo fato de que compreende adicionalmente a etapa de: criar um primeiro descritor de representação de identidade digital; em que a representação de identidade digital solicitada está em conformidade com o primeiro descritor de representação de identidade digital.

13. Método, de acordo com a declaração 10, CARACTERIZADO pelo fato de que compreende adicionalmente a etapa, antes da etapa de autenticação, de: emitir uma notificação ao principal de que a representação de identidade digital está disponível para o principal.

14. Método, de acordo com a declaração 10, CARACTERIZADO pelo fato de que a etapa de receber uma solicitação compreende receber a solicitação pela representação de identidade digital por meio de um primeiro canal, e compreende adicionalmente as etapas de: emitir uma notificação, por meio de um segundo canal, de que a representação de identidade digital foi solicitada; e receber aprovação para que a representação de identidade digital seja gerada.

15. Método, de acordo com a declaração 10, CARACTERIZADO pelo fato de que compreende adicionalmente a etapa, antes da etapa de geração, de: determinar se o principal é um elemento de um grupo aprovado para receber a re- presentação de identidade digital.

16. Método, de acordo com a declaração 10, CARACTERIZADO pelo fato de que compreende adicionalmente a etapa de: responder a uma solicitação se alguma representação de identidade digital está disponível para o principal.

17. Método (300) para o fornecimento de uma representação de identidade digital (930) para um principal (110), CARACTERIZADO pelo fato de que compreende as etapas de: gerar (350) um primeiro descritor de representação de identidade digital e um se- gundo descritor de representação de identidade digital; transmitir (360) os primeiro e segundo descritores de representação de identidade digital para o principal (110); receber (370) uma solicitação do principal (110) por pelo menos uma primeira re- presentação de identidade digital (930) que está em conformidade com o primeiro descritor de representação de identidade digital; criar pelo menos a primeira representação de identidade digital (930).

18. Método, de acordo com a declaração 17, CARACTERIZADO pelo fato de que a solicitação é recebida por meio de um primeiro canal e compreende adicionalmente as eta- pas de: emitir uma notificação, por meio de um segundo canal, de que a primeira represen- tação de identidade digital foi solicitada; e receber aprovação para que a primeira representação de identidade digital seja ge- rada.

19. Método (700) para o fornecimento de uma representação de identidade digital (930) para um principal (110), CARACTERIZADO pelo fato de que compreende as etapas de: solicitar (710) acesso a uma parte de suporte (120); receber (720) da parte de suporte (120) uma negação de acesso; solicitar (730) de um sistema de geração de representação de identidade digital (164) uma representação de identidade digital (930) que é suficiente para ganhar o acesso à parte de suporte (120); receber (740) a representação de identidade digital (930).

20. Método, de acordo com a declaração 19, CARACTERIZADO pelo fato de que a etapa de receber da parte de suporte uma negação de acesso inclui receber uma política de segurança da parte de suporte e compreende adicionalmente as etapas de: transmitir a representação de identidade digital para um fornecedor de identidade; e obter um sinal de identidade que satisfaz a política de segurança da parte de supor- te.