DE102012203561A1 - Die Personifikation/Bevollmächtigung eines Benutzers in einem Merkmal-basierenden Authentifizierungssystem - Google Patents

Die Personifikation/Bevollmächtigung eines Benutzers in einem Merkmal-basierenden Authentifizierungssystem Download PDF

Info

Publication number
DE102012203561A1
DE102012203561A1 DE102012203561A DE102012203561A DE102012203561A1 DE 102012203561 A1 DE102012203561 A1 DE 102012203561A1 DE 102012203561 A DE102012203561 A DE 102012203561A DE 102012203561 A DE102012203561 A DE 102012203561A DE 102012203561 A1 DE102012203561 A1 DE 102012203561A1
Authority
DE
Germany
Prior art keywords
feature
user
service
identity provider
identity
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
DE102012203561A
Other languages
English (en)
Inventor
Michael John Fork
Vincent Edmund Price
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
International Business Machines Corp
Original Assignee
International Business Machines Corp
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by International Business Machines Corp filed Critical International Business Machines Corp
Publication of DE102012203561A1 publication Critical patent/DE102012203561A1/de
Pending legal-status Critical Current

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/083—Network architectures or network communication protocols for network security for authentication of entities using passwords
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/31—User authentication
    • G06F21/33—User authentication using certificates
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/31—User authentication
    • G06F21/33—User authentication using certificates
    • G06F21/335—User authentication using certificates for accessing specific resources, e.g. using Kerberos tickets
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/44—Program or device authentication
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0807—Network architectures or network communication protocols for network security for authentication of entities using tickets, e.g. Kerberos
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/321—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving a third party or a trusted authority
    • H04L9/3213—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving a third party or a trusted authority using tickets or tokens, e.g. Kerberos
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3234—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving additional secure or trusted devices, e.g. TPM, smartcard, USB or software token
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F2221/00—Indexing scheme relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/21—Indexing scheme relating to G06F21/00 and subgroups addressing additional information or applications relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/2115—Third party
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0823—Network architectures or network communication protocols for network security for authentication of entities using certificates
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0884—Network architectures or network communication protocols for network security for authentication of entities by delegation of authentication, e.g. a proxy authenticates an entity to be authenticated on behalf of this entity vis-à-vis an authentication entity

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Signal Processing (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Computing Systems (AREA)
  • Software Systems (AREA)
  • General Physics & Mathematics (AREA)
  • Physics & Mathematics (AREA)
  • Information Transfer Between Computers (AREA)
  • Management, Administration, Business Operations System, And Electronic Commerce (AREA)

Abstract

Ein „vertrauenswürdiger Dienst” etabliert eine Vertrauensbeziehung mit einem Identitäts-Provider und wechselwirkt mit dem Identitäts-Provider über eine vertrauenswürdige Verbindung. Der vertrauenswürdige Dienst erwirbt ein Merkmal vor dem Identitäts-Provider für einen bestimmten Benutzer (oder eine Anzahl von Benutzern), ohne dass die Anmeldeinformation des Benutzers präsentiert werden muss. Der vertrauenswürdige Dienst nutzt dann dieses Merkmal (zum Beispiel direkt, durch Aufrufen von API, durch Erlangen eines anderen Merkmals, oder dergleichen), um zuzugreifen und einen Cloud-Dienst im Namen des Benutzers zu beschaffen, sogar in Abwesenheit des Benutzers. Dieser Ansatz ermöglicht Hintergrunddienste, um Arbeitsabläufe innerhalb einer bereitgestellten Sitzung (zum Beispiel über OAuth-basierte APIs) durchzuführen, ohne Anmeldungsinformationen des Benutzers zu präsentieren oder ohne dass der Benutzer anwesend ist.

Description

  • Hintergrund der Erfindung
  • Gebiet der Erfindung
  • Diese Offenbarung bezieht sich allgemein auf Techniken, um nicht-interaktiv-basierende Vernetzung zwischen Anwendungen, die sich ein gemeinsames, Merkmal („Token”)-basiertes Authentifizierungssystem teilen, zu ermöglichen, ohne dass ein Benutzer notwendigerweise anwesend sein muss.
  • Hintergrund der Erfindung
  • In einem traditionellen Client-Server-Authentifizierungsmodell verwendet ein Client seine Anmeldeinformationen, um auf Ressourcen, die von einem Server bereitgestellt werden, zuzugreifen. Mit der zunehmenden Nutzung von verteilten Web-Diensten und Cloud Computing erfordern Anwendungen von Drittanbietern häufig den Zugriff auf diese Server-bereitgestellten Ressourcen. OAuth ist ein offenes Protokoll (Intern Request for Comment (RFC) 5849), das den Benutzern ermöglicht, ihre privaten Daten mit den verschiedenen Webseiten nebst ihren Anmeldeinformationen zu teilen, während die Daten nur auf der Original-Webseite, die diese Daten zurückhält, enttarnt sind. Insbesondere erlaubt das OAuth-Protokoll den Benutzern, private Ressourcen, die auf einer Webseite gespeichert sind, mit anderen Seiten zu teilen, ohne die Anmeldeinformation des Benutzers – zum Beispiel Benutzername und Passwörter – den Webseiten zu enttarnen, anderen als denen die die Daten des Benutzers besitzen. Eine Webseite, die OAuth als eines ihrer Authentifizierungsprotokolle anwendet, erhöht die Privatsphäre und die Sicherheit für die Nutzer. Um diese Funktionalität zu erreichen, stellt OAuth zum traditionellen Client-Server-Authentifizierungsmodell eine dritte Funktion, einen Ressourcenbesitzer. Im OAuth-Modell fordert der Client (der nicht der Ressourceninhaber ist, aber in seinem Auftrag handelt) Zugriff auf Ressourcen an, die von dem Ressourceninhaber kontrolliert werden, aber von dem Server bereitgestellt werden. Darüber hinaus ermöglicht OAuth dem Server nicht nur die Authentifizierung des Ressourceninhabers zu verifizieren, sondern auch die Identität des Clients, der die Anfrage durchführt.
  • Ein aufkommendes Informationstechnologie(IT)-Delivery-Modell ist Cloud Computing, bei dem gemeinsam genutzte Ressourcen, Software und Informationen aus dem Internet auf Computern und anderen Geräten auf Abruf bereitgestellt werden. Cloud Computing kann die IT-Kosten deutlich reduzieren und auch die Komplexität bei gleichzeitiger Verbesserung von Workload-Optimierung und Service Delivery. Mit diesem Ansatz kann eine Anwendungsinstanz bereitgestellt werden und macht Internet-basierte Ressourcen verfügbar, die durch einen herkömmlichen Webbrowser über HTTP zugänglich sind. Eine Beispielanwendung könnte eine sein, die einen gemeinsamen Satz von Messaging-Funktionen, wie E-Mail, Kalendermanagement, Management von Kontaktdaten und Instant Messaging, bietet. Ein Benutzer würde dann den Service direkt über das Internet abrufen. Mit diesem Service würde ein Unternehmen seine E-Mails, Kalender und/oder Kollaboration, Infrastruktur in der Cloud platzieren, und ein Endbenutzer würde einen geeigneten Client verwenden, um seine oder ihre E-Mails abzurufen oder eine Kalenderoperation vorzunehmen.
  • Obwohl die oben beschriebenen Lösungen viele Vorteile bieten, war es nicht möglich, lokal nicht interaktive Dienste mit Cloud-basierten Authentifizierungssystemen, die die Anwesenheit des Endbenutzers voraussetzen, zu integrieren. So, zum Beispiel, vorausgesetzt, dass ein Kunde einer Cloud lokal eine Kundenverhältnismanagementanfrage (Customer Relationship Management (CRM)) abwickelt und ein Erstbenutzer darin eine Aktion benötigt (zum Beispiel eine neue Vertriebschance zu identifizieren); diese Aktion würde normalerweise erwartet, um das gewünschte Ergebnis in dem Cloud-Dienst zu generieren, was eine neue „to do”-Aktivität auslöst, die einen Dienst für einen zweiten Benutzer erstellt – aber nur, wenn die Anmeldeinformation des zweiten Benutzers bei Abruf gültig ist. Wenn der Cloud-Dienst ein Schema verwendet, welches einen Abruf benötigt, um die Anmeldeinformation des Benutzers zu präsentieren (oder, wie in OAuth, ein autorisiertes Merkmal auf Anfrage benötigt wird), kann diese Aufgabe nicht auf automatische Weise ausgeführt werden. Während es möglich ist, diese Anforderung durch die Speicherung aller Anmeldeinformationen der Benutzer für den Cloud-Dienst zu erreichen, ist dies unsicher und unerwünscht.
  • Somit bleibt ein Bedarf bestehen, eine Technik bereitzustellen, bei der ein vertrauenswürdiger Dienst im Namen eines Benutzers in der Abwesenheit dieses Benutzers einen bereitgestellten Dienst abruft. Diese Offenbarung befasst sich mit dieser Notwendigkeit.
  • Kurze Zusammenfassung
  • Ein „vertrauenswürdiger Dienst” etabliert eine Vertrauensbeziehung mit einem Identitäts-Provider und wechselwirkt mit dem Identitäts-Provider über eine vertrauenswürdige Verbindung. Weil der „vertrauenswürdige Dienst” „vertrauenswürdig” ist, kann er ein Merkmal von dem Identitäts-Provider für einen bestimmten Nutzer (oder eine Anzahl von Nutzern) ohne dass die Anmeldeinformation des Benutzers präsentiert werden muss, erwerben. Der vertrauenswürdige Dienst nutzt dann dieses Merkmal (zum Beispiel direkt, durch Aufrufen von API, durch Erlangen eines anderen Merkmals oder dergleichen) um zuzugreifen und beschafft einen bereitgestellten Dienst (zum Beispiel einen Cloud-basierten Dienst) im Namen des Benutzers – sogar in Abwesenheit des Benutzers. Dieser Ansatz ermöglicht nicht-interaktive (zum Beispiel Hintergrunddienste) Dienste, um Arbeitsabläufe innerhalb einer bereitgestellten Sitzung (zum Beispiel über OAuth-basierte APIs) durchzuführen ohne die Anmeldeinformation des Benutzers zu präsentieren oder ohne dass der Benutzer anwesend ist.
  • Ein Verfahren zur Benutzerpersonifikation („user impersonation”) durch einen vertrauenswürdigen Dienst beginnt mit der Herstellung einer Vertrauensbeziehung zwischen dem Dienst und dem Identitäts-Provider, bei der der Dienst ein „vertrauenswürdiger Dienst” wird. Der vertrauenswürdige Dienst fordert dann ein Merkmal von dem Identitäts-Provider an. Das Merkmal erhält man dann von dem Identitäts-Provider. In einer Ausführungsform fordert der vertrauenswürdige Dienst, der im Auftrag des Benutzers handelt, eine Sitzung von einer Anwendung (zum Beispiel ein Cloud-Dienst), indem er eine Anfrage ausführt, die das Merkmal enthält. In einer alternativen Ausführungsform ruft der vertrauenswürdige Dienst direkt einen API auf, um den Dienst zu erreichen, oder er könnte, um dies zu tun, ein Merkmal benutzen, um ein anderes Merkmal zu erhalten. Nach einer erfolgreichen Authentifizierung (zum Beispiel durch einen zugehörigen Dienstanbieter) erhält der vertrauenswürdige Dienst autorisierte Sitzungsinformationen (zum Beispiel ein zweites Merkmal), die anzeigen, dass der vertrauenswürdige Dienst, ein authentifizierter Benutzer ist. Der vertrauenswürdige Dienst führt dann eine oder mehrere Handlungen in der Sitzung als authentifizierter Benutzer durch.
  • In einem Aspekt betrifft die Erfindung ein Verfahren, betreibbar in einem vertrauenswürdigen Dienst, das den Zugriff auf eine Anwendung ermöglicht, die in einer Rechnereinheit ausgeführt wird, welches umfasst: Einrichten einer Vertrauensbeziehung mit einem Identitäts-Provider; Anfordern eines Merkmals von dem Identitäts-Provider; Empfang des Merkmals von dem Identitäts-Provider, nachdem das Merkmal durch den Identitäts-Provider generiert wurde, ohne dass eine Anmeldeinformation des Benutzers erforderlich ist; im Namen eines Benutzers, Benutzung des Merkmals und der Anmeldeinformation, um einen vertrauenswürdigen Dienst für einen authentifizierten Benutzer für eine Anwendung zu schaffen; und auf die Einrichtung eines vertrauenswürdigen Dienstes als einen authentifizierten Benutzer hin, Zugriff auf eine Anwendung.
  • Nach einer Ausführungsform der Erfindung wird das Merkmal verwendet, um die vertrauenswürdigen Dienste für einen authentifizierten Benutzer zu etablieren, indem das Merkmal an einen Dienstanbieter, der mit dem Identitäts-Provider assoziiert ist, weitergeleitet wird, und bei einer Validierung einer Authentifizierung Sitzungsmerkmale erhält, wobei das Authentifizierungs-Sitzungsmerkmal anzeigt, dass der vertrauenswürdige Dienst ein authentifizierter Benutzer für eine Sitzung ist.
  • Nach einer weiteren Ausführungsform stellt das Merkmal ein spezifisches Merkmal für einen autorisierten Benutzer dar.
  • Nach einer weiteren Ausführungsform identifiziert die Validierung den Benutzernamen, der mit dem spezifischen Merkmal assoziiert ist und verifiziert, dass der Benutzername zu der Anmeldeinformation des Benutzers passt.
  • Nach einer weiteren Ausführungsform wird die Validierung zumindest teilweise durch den Identitäts-Provider durchgeführt.
  • Nach einer Ausführungsform ist die Rechnereinheit ein gemeinsamer Pool von konfigurierbaren Computing Ressourcen.
  • Nach einer weiteren Ausführungsform greift der vertrauenswürdige Dienst auf die Anwendung oder Verwendung eines OAuth-basierten Application Programming Interface (API) zurück.
  • In einer alternativen Ausführungsform wird das oben beschriebene Verfahren in einem Gerät durchgeführt, welches einen Prozessor und einen Computerspeicher, der Computerprogrammanweisungen enthält, umfasst, die, wenn sie von dem Prozessor angewendet werden, das Verfahren ausführen.
  • In einem weiteren Aspekt betrifft die Erfindung ein Gerät, welches umfasst: einen Prozessor, einen Computerspeicher, der Computerprogrammanweisungen enthält, die, wenn sie von dem Prozessor ausgeführt werden, ein Verfahren ermöglichen, das den Zugriff auf eine Anwendung in einer Recheneinheit ausführt, wobei das Verfahren umfasst: Einrichten einer Vertrauensbeziehung mit dem Identitäts-Provider; Anforderung eines Merkmals von dem Identitäts-Provider; Empfang des Merkmals von dem Identitäts-Provider, nachdem das Merkmal durch den Identitäts-Provider generiert wurde, ohne dass eine Anmeldeinformation des Benutzers erforderlich ist; im Namen eines Benutzers, Benutzung des Merkmals und der Anmeldeinformation, um eine authentifizierte Benutzer-Identität zu erhalten, mit der sich der Benutzer bei der Anwendung ausgeben kann; und auf den Erhalt der authentifizierten Benutzer-Identität hin, Zugriff auf die Anwendung.
  • Nach einer Ausführungsform der Erfindung wird das Merkmal verwendet, indem das Merkmal an einen Dienstanbieter, der mit dem Identitäts-Provider assoziiert ist, weitergeleitet wird, und bei einer Validierung eine authentifizierte Benutzer-Identität erhält.
  • Nach einer Ausführungsform der Erfindung stellt das Merkmal ein spezifisches Merkmal für einen autorisierten Benutzer dar.
  • Nach einer weiteren Ausführungsform identifiziert die Validierung den Benutzernamen, der mit dem spezifischen Merkmal assoziiert ist und verifiziert, dass der Benutzername zu der Anmeldeinformation des Benutzers passt.
  • In einer anderen alternativen Ausführungsform wird das oben beschriebene Verfahren von einem Computerprogrammprodukt auf einem computerlesbaren Medium für die Verwendung in einem Datenverarbeitungssystem durchgeführt. Das Computerprogrammprodukt enthält die Computerprogrammanweisungen welche, wenn sie von dem Datenverarbeitungssystem ausgeführt werden, das Verfahren durchführen.
  • In einem weiteren Aspekt betrifft die Erfindung ein Computerprogrammprodukt auf einem computerlesbaren Medium für die Verwendung in einem Datenverarbeitungssystem, das Computerprogrammprodukt, welches die Programmanweisungen enthält, das, wenn es von dem Datenverarbeitungssystem ausgeführt wird, ein Verfahren ausführt, um den Zugriff auf eine Anwendung zu ermöglichen, die in einer Recheneinheit ausgeführt wird, wobei das Verfahren umfasst: Einrichten einer Vertrauensbeziehung mit dem Identitäts-Provider; Anforderung eines Merkmals von dem Identitäts-Provider; Empfang des Merkmals von dem Identitäts-Provider, nachdem das Merkmal durch den Identitäts-Provider generiert wurde, ohne dass eine Anmeldeinformation des Benutzers erforderlich ist; im Namen eines Benutzers, Benutzung des Merkmals und der Anmeldeinformation, um eine authentifizierte Benutzer-Identität zu erhalten, mit der sich der Benutzer bei der Anwendung ausgeben kann; und auf den Erhalt der authentifizierte Benutzer-Identität hin, Zugriff auf die Anwendung.
  • Nach einer Ausführungsform der Erfindung wird das Merkmal verwendet, indem das Merkmal an einen Dienstanbieter, der mit dem Identitäts-Provider assoziiert ist, weitergeleitet wird, und bei einer Validierung eine authentifizierte Benutzer-Identität erhält.
  • In einem weiteren Aspekt der Erfindung stellt das Merkmal ein spezifisches Merkmal für einen autorisierten Benutzer dar.
  • Nach einer weiteren Ausführungsform identifiziert die Validierung den Benutzernamen, der mit dem spezifischen Merkmal assoziiert ist und verifiziert, dass der Benutzername zu der Anmeldeinformation des Benutzers passt. In einem weiteren Aspekt betrifft die Erfindung ein Identitäts-Provider-Gerät, welches umfasst: einen Prozessor, Computerspeicher, die Computerprogrammanweisungen enthalten, die, wenn sie von dem Prozessor ausgeführt werden, ein Verfahren ermöglichen, welches umfasst: Einrichten einer Vertrauensbeziehung mit einem vertrauenswürdigen Dienst über eine vertrauenswürdige Verbindung; Empfang einer Anfrage des vertrauenswürdigen Dienstes für ein Merkmal; Generierung des Merkmals, ohne dass eine Anmeldeinformation des Benutzers benötigt wird; und Rücksendung des Merkmals an den vertrauenswürdigen Dienst, um dem vertrauenswürdigen Dienst die Identifizierung des Benutzers zu ermöglichen, indem er das Merkmal und die Anmeldeinformation des Benutzers benutzt, um eine authentifizierte Benutzer-Identität zu erreichen.
  • Nach einer Ausführungsform der Erfindung beinhaltet das Verfahren ferner, dass zu einem späteren Zeitpunkt ein Merkmal erhalten wird und eine Validierung durchgeführt wird.
  • Nach einer weiteren Ausführungsform stellt das Merkmal ein spezifisches Merkmal für einen autorisierten Benutzer dar und die Validierung identifiziert den Benutzernamen, der mit dem spezifischen Merkmal assoziiert ist und verifiziert, dass der Benutzername zu der Anmeldeinformation des Benutzers passt.
  • Das Vorangehende hat einige der sachdienlichen Charakteristika der Erfindung umrissen. Diese Merkmale sollten lediglich als Veranschaulichung ausgelegt werden. Viele andere vorteilhafte Ergebnisse können durch die Anwendung der offenbarten Erfindung in einer anderen Art und Weise oder durch Modifizieren der Erfindung erlangt werden, wie es im Folgenden beschrieben wird.
  • Kurze Beschreibung der Zeichnungen
  • Für ein vollständigeres Verständnis der vorliegenden Erfindung und der Vorteile davon wird nun Bezug genommen auf die folgenden Beschreibungen in Verbindung mit den beigefügten Zeichnungen, wobei:
  • 1 stellt ein beispielhaftes Blockdiagramm eines verteilten Datenverarbeitungsumfelds, in dem beispielhafte Aspekte der erläuterten Ausführungsformen eingebaut werden können, dar;
  • 2 ist ein beispielhaftes Blockdiagramm von einem Datenverarbeitungssystem, in dem beispielhafte Aspekte der erläuterten Ausführungsform eingebaut werden können;
  • 3 zeigt Abstraktionsmodellschichten einer Cloud Computing-Umgebung (einen Dienstanbieter);
  • 4 zeigt ein erstes Ausführungsbeispiel nach Anspruch dieser Offenbarung, bei dem ein gesicherter Dienst ein Merkmal von einem Dienstanbieter für eine spezifische Anzahl an Benutzern erwirbt, welches Merkmal dann nützlich ist, um dem vertrauenswürdigen Dienst den Zugang zum Dienstanbieter auf den zuverlässigen Benutzernamen zu ermöglichen, selbst in der Anwesenheit des Benutzers; und
  • 5 veranschaulicht ein zweites Ausführungsbeispiel nach Anspruch dieser Offenbarung, bei dem ein vertrauenswürdiger Dienst ein Merkmal von einem Dienstanbieter für einen spezifischen Benutzer erwirbt, welches Merkmal dann nützlich ist, um dem vertrauenswürdigen Dienst den Zugang zum Dienstanbieter auf den Benutzernamen zu ermöglichen, selbst in der Abwesenheit des Benutzers.
  • Detaillierte Beschreibung eines Ausführungsbeispiels
  • Mit Bezug auf die Zeichnungen und im Speziellen mit Bezug auf 1–2 werden nun exemplarische Diagramme von Datenverarbeitungsumfeldern bereitgestellt, in denen die Ausführungsbeispiele der Offenbarung eingebaut werden können. Es sollte gewürdigt werden, dass die 1–2 nur beispielhaft sind und nicht dazu gedacht sind, dass irgendwelche Einschränkungen in Bezug auf die Umgebungen, in die Aspekte oder Ausführungsbeispiele des offenbarten Gegenstandes eingebaut werden, festgestellt oder impliziert werden. Viele Modifikationen zu den dargestellten Umgebungen können, ohne vom Geist und Umfang der vorliegenden Erfindung abzuweichen, hergestellt werden.
  • Client-Server-Netzwerk-Modell
  • Bezugsnehmend auf die Zeichnungen zeigt 1 eine bildliche Darstellung eines beispielhaft verteilten Datenverarbeitungssystems, in dem Aspekte der erläuterten Ausführungsform eingebaut werden können. Das verteilte Datenverarbeitungssystem 100 kann ein Netzwerk von Computern einschließen, bei dem Aspekte der erläuterten Ausführungsformen eingebaut werden können. Das verteilte Datenverarbeitungssystem 100 umfasst wenigstens ein Netzwerk 102, welches das Medium ist, das benutzt wird, um die Kommunikation zwischen verschiedenen Apparaten und Computern, die in dem verteilten Datenverarbeitungssystem 100 miteinander verknüpft sind, zu leisten. Das Netzwerk 102 kann Verbindungen enthalten, wie zum Beispiel Kabel, drahtlose Kommunikationsanschlüsse oder Glasfaserkabel.
  • In dem dargestellten Beispiel werden die Server 104 und Server 106 mit dem Netzwerk 102 nebst Speichereinheit 108 verbunden. Ferner werden die Clients 110, 112 und 114 auch mit dem Netzwerk 102 verbunden. Diese Clients können zum Beispiel Personalcomputer, Netzwerkcomputer oder Ähnliches sein. In dem dargestellten Beispiel liefert der Server 104 Daten, wie zum Beispiel Bootdateien, Betriebssystem-Images und Anwendungen an die Clients 110, 112 und 114. Die Clients 110, 112 und 114 sind Clients des Servers 104 in dem dargestellten Beispiel. Das verteilte Datenverarbeitungssystem 100 kann weitere Server, Clients und andere Geräte, die nicht gezeigt sind, enthalten.
  • In dem dargestellten Beispiel ist das verteilte Datenverarbeitungssystem 100 das Internet mit dem Netzwerk 102, welches eine weltweite Sammlung an Netzwerken und Schnittstellen repräsentiert, welches die Transmission Control Protocol/Internet Protocol (TCP/IP) Suite von Protokollen nutzt, um miteinander zu kommunizieren. Das Herz des Internets ist eine Datenübertragungsleitung der Hochgeschwindigkeitsdaten-Kommunikationslinien zwischen Hauptknoten oder Host-Computern, die aus Tausenden von kommerziellen, Regierungs-, Bildungs- und anderen Computersystemen bestehen, die Daten und Nachrichten senden. Selbstverständlich kann in das verteilte Datenverarbeitungssystem 100 auch eine Anzahl von verschiedenen Netzwerktypen, zum Beispiel ein Intranet, ein lokales Netzwerk (LAN), ein Fernnetz (WAN) oder Ähnliches eingebaut werden. Wie oben erwähnt, ist 1 als Beispiel gedacht und nicht als architektonische Begrenzung für verschiedene Ausführungsformen des offenbarten Gegenstands, und daher sollten die einzelnen Elemente, die in 1 gezeigt sind, nicht als Einschränkung in Bezug auf die Umgebungen, in denen die Ausführungsbeispiele der vorliegenden Erfindung eingebaut werden können, aufgefasst werden.
  • Bezug genommen sein auf 2, in der ein Blockdiagramm eines beispielhaften Datenverarbeitungssystems gezeigt ist, in dem Aspekte der Ausführungsbeispiele eingebaut werden können. Das Datenverarbeitungssystem 200 ist ein Beispiel eines Computers, wie zum Beispiel Client 110 in 1, in dem Computer verwendbare Codes oder Anweisungen eingebaut sind, die in Prozessen der dargestellten Ausführungsformen dieser Offenbarung gefunden werden können.
  • Bezug genommen sein auf 2, in der ein Blockdiagramm eines Datenverarbeitungssystems gezeigt ist, in das Ausführungsbeispiele eingebaut werden können. Das Datenverarbeitungssystem 200 ist ein Beispiel für einen Computer, wie der Server 104 oder der Client 110 in 1, in den Computer verwendbare Programmcodes oder Anweisungen eingebaut werden können, die in Prozessen der Ausführungsbeispiele gefunden werden können. In diesen veranschaulichten Beispielen umfasst das Datenverarbeitungssystem 200 Kommunikationsfasern 202, die eine Kommunikation zwischen der Prozessoreinheit 204, dem Speicher 206, dem dauerhaften Speicher 208, der Kommunikationseinheit 210, der Eingabe/Ausgabe (I/O)-Einheit 212 und dem Bildschirm 214 herstellt.
  • Die Prozessoreinheit 204 dient dazu, Anweisungen für die Software, die in dem Speicher 206 geladen werden kann, auszuführen. Die Prozessoreinheit 204 kann ein Satz von einem oder mehreren Prozessoren sein oder ein Multiprozessorkern in Abhängigkeit von der jeweiligen implementierung. Ferner kann die Prozessoreinheit 204 unter Verwendung eines oder heterogener Prozessorsysteme, in denen ein Hauptprozessor vorhanden ist, mit sekundären Prozessoren auf einem einzelnen Chip eingebaut werden, in einem weiteren erläuternden Beispiel kann die Prozessoreinheit 204 ein symmetrisches Multiprozessorsystem mit mehreren Prozessoren des gleichen Typs sein.
  • Der Speicher 206 und der dauerhafte Speicher 208 sind Beispiele für Speichervorrichtungen. Eine Speichervorrichtung ist ein Stück Hardware, das für die Speicherung von Informationen entweder für einen befristeten Zeitraum und/oder dauerhaft geeignet ist. Bei Speicher 206, in diesen Beispielen, kann es sich zum Beispiel um einen Random Access Speicher oder eine andere geeignete unbeständige oder beständige Speichervorrichtung handeln. Der dauerhafte Speicher 208 kann verschiedene Formen annehmen, abhängig von der jeweiligen Implementierung. Zum Beispiel kann der dauerhafte Speicher 208 eine oder mehrere Komponenten oder Vorrichtungen enthalten. Zum Beispiel kann der dauerhafte Speicher 208 eine Festplatte, einen Flashspeicher, eine wiederbeschreibbare optische Platte, ein wiederbeschreibbares Magnetband oder eine Kombination der vorherigen Elemente sein. Die Medien, die der dauerhafte Speicher 208 verwendet, können auch demontierbar sein. Beispielsweise kann eine demontierbare Festplatte als dauerhafter Speicher 208 verwendet werden.
  • Die Kommunikationseinheit 210, in diesen Beispielen, stellt die Kommunikation mit anderen Datenverarbeitungssystemen oder Vorrichtungen bereit. In diesen Beispielen ist die Kommunikationseinheit 210 eine Netzwerkkarte. Die Kommunikationseinheit 210 kann die Kommunikation durch die Verwendung entweder von einer oder beiden physikalischen und drahtlosen Kommunikationsverbindungen bereitstellen.
  • Die Eingabe/Ausgabe-Einheit 212 ermöglicht die Eingabe und Ausgabe von Daten von anderen Geräten, die mit dem Datenverarbeitungssystem 200 verbunden werden können. Beispielsweise kann die Eingabe/Ausgabe-Einheit 212 eine Verbindung für Benutzereingaben über eine Tastatur und Maus bereitstellen. Ferner kann die Eingabe/Ausgabe-Einheit 212 Ergebnisse an einen Drucker senden. Der Bildschirm 214 stellt einen Mechanismus bereit, um Informationen und Benutzer anzuzeigen.
  • Anleitungen für das Betriebssystem und die Anwendungen oder Programme befinden sich auf dem dauerhaften Speicher 208. Diese Anleitungen können in den Speicher 206 geladen werden, um von der Prozessoreinheit 204 ausgeführt zu werden. Die Prozesse der verschiedenen Ausführungsformen können von einer Prozessoreinheit 204, die computerimplementierte Anwendungen nutzt, die sich in einem Speicher, wie beispielsweise 206, befinden, durchgeführt werden. Diese Befehle beziehen sich auf Programmcodes, computerbenutzbare Programmcodes oder computerlesbare Programmcodes, die gelesen werden können und durch einen Prozessor in der Prozessoreinheit 2004 ausgeführt werden. Der Programmcode in den verschiedenen Ausführungsformen kann in verschiedenen physikalischen oder konkreten computerlesbaren Medien, wie beispielsweise Speicher 206 oder dauerhafter Speicher 208, enthalten sein.
  • Der Programmcode 216 befindet sich in einer funktionellen Form auf einem computerlesbaren Medium 218, welches selektiv entfernbar ist, und kann auf ein Datenverarbeitungssystem 200, zur Ausführung durch den Prozessor 204, geladen oder transferiert werden. In diesen Beispielen bilden der Programmcode 216 und die computerlesbaren Medien 218 das Computerprogrammprodukt 220. In einem Beispiel kann das computerlesbare Medium 218 eine materielle Form aufweisen, wie beispielsweise eine optische oder eine magnetische Scheibe, die in ein Laufwerk oder in eine andere Vorrichtung eingefügt oder platziert wird, welches ein Teil des dauerhaften Speichers 208 zur Übertragung auf einem Speichermedium ist, wie beispielsweise eine Festplatte, die Teil des dauerhaften Speichers 208 ist. In einer konkreten Form können die computerlesbaren Medien 218 auch in Form eines dauerhaften Speichers, wie beispielsweise einer Festplatte, einem Stick oder einem Flashspeicher, die mit dem Datenverarbeitungssystem 200 verbunden sind, vorliegen. Die konkrete Form der computerlesbaren Medien 218 wird auch als computerbeschreibbares Speichermedium bezeichnet. In einigen Fällen kann das computerlesbare Medium 218 nicht entfernbar sein.
  • Alternativ kann der Programmcode 216 zum Datenverarbeitungssystem 200 von einem computerlesbaren Medium 218 über eine Kommunikationsverbindung zur Kommunikationseinheit 210 und/oder durch eine Verbindung zur Eingabe/Ausgabe-Einheit 212 übertragen werden. In den erläuterten Beispielen kann die Kommunikationsverbindung und/oder die Verbindung materiell oder drahtlos sein. Die computerlesbaren Medien können auch in Form von nicht-greifbaren Medien, wie Kommunikationsverbindungen oder Funkübertragung, die den Programmcode enthalten, vorliegen. Die verschiedenen Komponenten, die für das Datenverarbeitungssystem 200 veranschaulicht sind, sind nicht dazu gedacht, Architektureinschränkungen der Methode darzustellen, bei denen verschiedene Ausführungsformen eingebaut werden können. Die verschiedenen Ausführungsbeispiele können in einem Datenverarbeitungssystem, das Komponenten zusätzlich zu oder anstelle des hier abgebildeten Datenverarbeitungssystems 200 enthält, implementiert werden. Andere Komponenten, die in 2 gezeigt sind, können von den veranschaulichten Beispielen abweichen. Ein Beispiel ist, dass ein Speichergerät im Datenverarbeitungssystem 200 eine Hardwarevorrichtung ist, die Daten speichern kann. Der Speicher 206, der dauerhafte Speicher 208 und die computerlesbaren Medien 218 sind Beispiele von Speichervorrichtungen in konkreter Form.
  • In einem anderen Beispiel kann ein Bussystem verwendet werden, um die Kommunikationsfasern 202 einzubauen und kann aus einem oder mehreren Bussen, wie zum Beispiel einem System-Bus oder einem Eingabe/Ausgabe-Bus bestehen. Natürlich kann das Bussystem implementiert werden, indem eine geeignete Gestaltungsart verwendet wird, die eine Übertragung von Daten zwischen verschiedenen Komponenten oder Geräten liefert, die an das Bussystem angelagert sind. Zusätzlich kann die Kommunikationseinheit eine oder mehrere Vorrichtungen beinhalten, die zum Senden oder Empfangen von Daten benutzt werden, wie zum Beispiel ein Modem oder ein Netzwerkadapter. Ferner kann ein Speicher, zum Beispiel der Speicher 206 oder ein Cache sein, wie es bei einer Schnittstelle und bei Speicher-Controller-Netzknoten gefunden wird, dies kann möglicherweise in den Kommunikationsfasern 202 enthalten sein.
  • Computerprogramm-Codes zum Ausführen von Operationen der vorliegenden Erfindung können als irgendeine Kombination von einer oder mehreren Programmiersprachen einschließlich einer objektorientierten Programmiersprache wie Java, Small Talk, C++ oder dergleichen, und konventionellen prozeduralen Programmiersprachen, wie zum Beispiel die „C”-Programmiersprache oder ähnliche Programmiersprachen, geschrieben werden. Der Programmcode kann vollständig auf dem Computer des Benutzers, teils auf dem Computer des Benutzers, als Stand-alone-Software-Paket, teilweise auf dem Computer des Benutzers und zum Teil auf einem entfernten Rechner, oder ganz auf dem entfernten Computer oder Server ausgeführt werden. Im letzten Szenario kann der entfernte Computer mit dem Computer des Benutzers durch jede Art von Netzwerk verbunden sein, einschließlich einem lokalen Netzwerk (LAN) oder einem Fernnetzwerk (WAN), oder die Verbindung kann zu einem externen Computer hergestellt werden (zum Beispiel durch das Internet, indem ein Internet-Service-Provider benutzt wird).
  • Der Fachmann auf dem Gebiet wird erkennen, dass die Hardware in den 1–2, abhängig von der Implementierung, variiert. Andere interne Hardware oder entfernte Geräte, wie zum Beispiel Flash-Speicher, entsprechende beständige Speicher oder optische Plattenlaufwerke und dergleichen, können zusätzlich zu oder anstelle der in 1–2 dargestellten Hardware verwendet werden. Außerdem können die Prozesse der Ausführungsbeispiele auf ein Multiprozessor-Datenverarbeitungssystem angewendet werden, mit Ausnahme des bereits erwähnten SMP-Systems, ohne vom Geist und Umfang des offenbarten Gegenstandes abzuweichen.
  • Wie zu sehen sein wird, können die hierin beschriebenen Techniken in Verbindung mit dem Standard-Client-Server-Paradigma, wie in 1 dargestellt, arbeiten, bei denen Client-Rechner mit einem Internet-Webportal, die auf einem Satz von einer oder mehreren Maschinen ausgeführt werden, kommunizieren. Endanwender betreiben Internet-verwendbare Geräte (zum Beispiel Desktop-Computer, Notebooks, internetfähige Mobilgeräte oder dergleichen), die dafür geeignet sind, auf das Portal zuzugreifen und mit ihm zu interagieren. Typischerweise ist jeder Client oder Server ein Datenverarbeitungssystem, wie in 2 dargestellt, welches eine Hardware oder eine Software umfasst, und diese Einheiten kommunizieren miteinander über ein Netzwerk, wie das Internet, ein Intranet, ein Extranet, ein privates Netzwerk oder ein anderes Kommunikationsmedium oder Link. Ein Datenverarbeitungssystem umfasst typischerweise ein oder mehrere Prozessoren, ein Betriebssystem, eine oder mehrere Anwendungen, und eine oder mehrere Dienstprogramme. Die Anwendungen auf dem Datenverarbeitungssystem bieten native Unterstützung für Webdienste einschließlich, ohne Einschränkung, die Unterstützung von HTTP, SOAP, XML, WSBL, UDDI und WSSL, unter anderem. Informationen, SOAP, WSBL, UDDI und WSSL betreffend, sind aus dem World Wide Web Konsortium (WCCC) erhältlich, das zuständig für die Entwicklung und Aufrechterhaltung dieser Standards ist, weitere Informationen HTTP und XML betreffend sind bei der Internet Engineering Task Force (IETF) erhältlich. Kenntnisse über diese Standards werden vorausgesetzt.
  • Cloud Computing Modell
  • Cloud Computing ist ein Modell der Dienstleistungserbringung, welches den bequemen, Auf-Abruf-Netzwerkzugriff ermöglicht, um auf einen gemeinsam genutzten Pool von konfigurierbaren Computing Ressourcen (zum Beispiel Netzwerke, Bandbreitnetzwerke, Server-, Verarbeitungs-, Speicher-, Anwendungs-, virtuelle Maschinen und Dienstleistungen) zuzugreifen, die mit minimalem Managementaufwand oder Interaktion mit einem Dienstanbieter schnell bereitgestellten und freigegeben werden können. Dieses Cloud-Modell kann wenigstens fünf Charakteristika beinhalten, wenigstens drei Dienstmodelle, und wenigstens vier Verwendungsmodelle, die besonders beschrieben und definiert sind in „Draft NIST Working Definition of Cloud Computing" von Peter Mell und Tim Grance, datiert vom 7. Oktober 2009.
  • Insbesondere sind die typischen Eigenschaften die folgenden: On Demand Self Service: Ein Cloud-Verbraucher kann einseitig Computing-Funktionen bereitstellen, wie zum Beispiel Serverzeit und Netzwerkspeicher, bei Bedarf automatisch ohne eine menschliche Interaktion mit dem Dienst-Provider.
  • Breiter Netzwerkzugriff (broad network access): Funktionen sind über ein Netzwerk verfügbar und zugegriffen wird über Standardmechanismen, die den Einsatz von heterogenen dünnen oder dicken Client-Plattformen (zum Beispiel Handys, Laptops und PDAs) unterstützen.
  • Ressourcen Pooling: Die Computing-Ressourcen des Providers werden gebündelt, um mehreren Verbrauchern mithilfe eines Multi-Talent-Modells, mit unterschiedlichen physischen und virtuellen Ressourcen, die je nach Bedarf dynamisch zugewiesen und neu zugewiesen werden, zu bedienen. Es gibt eine Bedeutung von Lageunabhängigkeit dadurch, dass der Verbraucher im Allgemeinen nicht die Kontrolle oder Kenntnis über den genauen Standort der zur Verfügung gestellten Ressourcen hat, aber es ist möglich, die Lage auf einer höheren Ebene der Abstraktion (zum Beispiel Land, Bundesland oder Datencenter) anzugeben.
  • Schnelle Elastizität (rapid elasticity): Funktionen können schnell und elastisch bereitgestellt werden, in einigen Fällen automatisch, um schnelles scale-out und schnelles scale-in zu gewährleisten. Für den Verbraucher scheinen die verfügbaren Möglichkeiten zur Beschaffung häufig unbegrenzt zu sein und können in beliebiger Menge zu jeder Zeit gekauft werden.
  • Messbarer Dienst (measured service): Cloud-Systeme kontrollieren automatisch und optimieren die Ressourcennutzung durch Nutzung einer wirksam eingesetzten Dosierbarkeit auf einer bestimmten Ebene der Abstraktion, die der Art des Dienstes (zum Beispiel Speicherung, Verarbeitung, Bandbreite und aktivierter Benutzerkonten) entsprechen. Die Ressourcennutzung kann überwacht, gesteuert und berichtet werden, um die Transparenz sowohl für die Anbieter als auch für die Verbraucher des verwendeten Dienstes zu gewährleisten.
  • Dienstmodelle sind typischerweise die folgenden:
  • Software as a Service (SaaS): Die Fähigkeit, die dem Verbraucher bereitgestellt wird, ist die Nutzung der Provideranwendung, die auf einer Cloud-Infrastruktur betrieben wird. Die Anwendungen sind von verschiedenen Client-Geräten über eine Thin-Client-Schnittstelle, wie zum Beispiel einen Webbrowser (zum Beispiel Webbasierte E-Mail) erreichbar. Der Verbraucher verwaltet oder kontrolliert nicht die zugrunde liegende Cloud-Infrastruktur einschließlich Netzwerk, Servern, Betriebssystemen, Speichern oder sogar individuellen Anwendungsfähigkeiten, mit der möglichen Ausnahme von eingeschränkten benutzerspezifischen Anwendungskonfigurationseinstellungen.
  • Platform as a Service (PaaS): Die Fähigkeit, die dem Verbraucher bereitgestellt wird, ist die Nutzung der vom Verbraucher geschaffenen Cloud-Infrastruktur oder erworbene Anwendungen, die mit Programmiersprachen und Tools vom Anwender unterstützt werden. Der Verbraucher verwaltet oder kontrolliert die zugrunde liegende Cloud-Struktur einschließlich Netzwerke, Server, Betriebssystem und Speichern, nicht, hat aber die Kontrolle über die eingesetzten Anwendungen und mögliche Anwendungs-Hosting-Umgebungskonfigurationen.
  • Infrastructure as a Service (IaaS): Die Fähigkeit, die dem Verbraucher bereitgestellt wird, ist die Beschaffung von Verarbeitungs-, Speicherungs-, Netzwerks- und anderer grundlegenden EDV-Ressourcen, bei denen der Verbraucher in der Lage ist, beliebige Software, die Betriebssysteme und Anwendungen umfassen kann, einzusetzen und zu bedienen. Der Verbraucher verwaltet oder kontrolliert die zugrunde liegende Cloud-Infrastruktur nicht, hat aber die Kontrolle über Betriebssysteme, Speicher, eingesetzte Anwendung und möglicherweise eingeschränkte Kontrolle über ausgewählte Netzwerk-Komponenten (zum Beispiel Host-Firewalls).
  • Verwendungsmodelle sind typischerweise die folgenden:
  • Private Cloud (private cloud): Die Cloud-Infrastruktur wird ausschließlich für eine Organisation betrieben. Sie kann von der Organisation oder einer dritten Partei verwaltet werden und kann sich im Haus oder außer Haus befinden.
  • Gemeinschaftliche Cloud (community cloud): Die Cloud-Infrastruktur wird von mehreren Organisationen gemeinsam benutzt und unterstützt eine bestimmte Gemeinschaft, die gemeinsame Anliegen (zum Beispiel Mission, Sicherheitsanforderung, Richtlinien und Compliance-Aspekte) teilt. Sie kann von der Organisation oder einer dritten Person verwaltet werden und kann sich im Haus oder außer Haus befinden.
  • Öffentliche Cloud (public cloud): Die Cloud-Infrastruktur wird der breiten Öffentlichkeit zur Verfügung gestellt oder einer großen Industriegruppe und gehört einer Organisation, die Cloud-Dienste verkauft.
  • Mischform-Cloud (hybrid cloud): Die Cloud-Infrastruktur besteht aus zwei oder mehreren Clouds (private, gemeinschaftliche oder öffentliche), die zwar einzigartig bleiben, aber durch standardisierte oder proprietäre Technologien miteinander verbunden sind, was die Daten- und Anwendungsportierbarkeit (zum Beispiel Cloud Bursting für Load Balancing zwischen den Clouds) ermöglicht.
  • Eine Cloud Computing-Umgebung ist dienstorientiert mit einem Fokus auf Staaten losigkeit, geringe Kopplung, Modularität und semantische Interoperabilität. Das Herz von Cloud Computing ist eine Infrastruktur mit einem Netzwerk von miteinander verbundenen Knoten. Ein repräsentativer Cloud Computing-Knoten ist in obiger 2 dargestellt. Im Einzelnen gibt es in einem Cloud Computing-Knoten ein Computersystem/einen Server, das/der mit zahlreichen anderen Allzweck- oder Special Purpose Computing System-Umgebungen oder Konfigurationen betriebsfähig ist. Beispiele von gut bekannten Computersystemen, Umgebungen und/oder Konfigurationen, die für den Einsatz mit dem Computersystem/Server denkbar sind, umfassen, sind aber nicht darauf beschränkt, Personal Computersysteme, Servercomputersysteme, Thin Clients, Thick Clients, handgehaltene oder Laptopgeräte, Multiprozessorsysteme, Mikroprozessor-basierte Systeme, Set-Top-Boxen, programmierbare Unterhaltungselektronik, Netzwerk-PCs, Minicomputersysteme, Mainframe-Computersysteme, und verteilte Cloud Computer-Umgebungen, die irgendeines der oben genannten Systeme oder Geräte oder dergleichen umfassen. Das Computersystem/der Server kann im allgemeinen Kontext von Computersystemen ausführbare Befehle, wie zum Beispiel Programmmodule, die durch ein Computersystem ausgeführt werden, beschrieben werden. im Allgemeinen können Programmmodule Hilfsprogramme, Programme, Objekte, Komponenten, Logiken, Datenstrukturen usw. enthalten, die bestimmte Aufgaben ausführen oder bestimmte abstrakte Datentypen implementieren. Das Computersystem/der Server kann in verteilten Cloud Computing-Umgebungen, in denen Aufgaben durch zentrale Verarbeitungsvorrichtungen, die über ein Kommunikationsnetz verbunden sind, ausgeführt werden. In einer verteilten Cloud Computing-Umgebung können Programmmodule sowohl im lokalen als auch im dezentralen Computersystem-Speichermedium einschließlich Speichervorrichtung angeordnet werden.
  • Bezug nehmend auf 3, bei der gezeigt wird, dass durch zusätzlichen Hintergrund ein Satz von funktionalen Abstraktionsschichten durch eine Cloud Computing-Umgebung zur Verfügung gestellt wird. Vorab soll klargestellt werden, dass die Komponenten, Schichten und Funktionen, die in 3 gezeigt sind, nur der Erläuterungen dienen und Ausführungsformen der Erfindung nicht darauf beschränkt sind. Wie dargestellt, werden die folgenden Schichten und entsprechenden Funktionen zur Verfügung gestellt:
    Die Hardware- und Softwareschichten 300 beinhalten Hardware- und Softwarekomponenten. Beispiele für Hardwarekomponenten umfassen Mainframes, in einem Beispiel IBM® Set Series®-Systeme, RISC (Reduced Instruction Set Computer) Architektur-basierende Server, in einem Beispiel IBM pSeries®-Systeme; IBM xSeries®-Systeme; IBM BladeCenter®-Systeme; Speichergeräte, Netzwerke und Netzwerkkomponenten. Beispiele für Softwarekomponenten umfassen Netzwerk Application Server Software, in einem Beispiel IBM WebSphere® Application Server Software und Datenbanksoftware, in einem Beispiel IBM DB2®-Datenbank-Software.
    (IBM, zSeries, pSeries, xSeries, BladeCenter, WebSphere und DB2 sind Marken der International Business Machines Cooperation, die in vielen Gerichtsständen weltweit registriert ist.)
  • Die Virtualisierungsschicht 302 bietet eine Abstraktionsschicht, aus der die folgenden Beispiele von virtuellen Einheiten zur Verfügung gestellt werden können: virtuelle Server, virtuelle Speicher, virtuelle Netzwerke, einschließlich Virtual Private Network, virtuelle Anwendungen und Betriebssysteme und virtuelle Clients.
  • In einem Beispiel kann die Managementschicht 304 die unten beschriebenen Funktionen bieten. Die Ressourcenbeschaffung sorgt für eine dynamische Vermittlung von IT-Ressourcen und anderen Ressourcen, die genutzt werden, um Aufgaben innerhalb der Cloud Computing-Umgebung durchzuführen. Eine Dosier- und Preisgestaltung bietet Kostenträgern Ressourcen innerhalb der Cloud Computing-Umgebung an, um Gebührenerfassung und Rechnungsstellung für den Gebrauch dieser Ressourcen zu nutzen. In einem Beispiel können diese Ressourcen Anwendungs-Softwarelizenzen umfassen. Sicherheit bietet die Identitätsprüfung für Cloud-Verbraucher und -Aufgaben, sowie Schutz für Daten und andere Ressourcen. Ein Benutzerportal bietet Zugriff auf die Cloud Computing-Umgebung für Verbraucher und Systemadministratoren. Ein Dienst-Level-Management bietet Cloud Computing-Ressourcen-Zuteilung und -Verwaltung, sodass erforderliche Dienstlevel erfüllt werden. Ein Servicelevel-Agreement (SLA) leistet die Planung und Erfüllung für Pre-Anordnung und von Beschaffung der Cloud Computing-Ressourcen, für die eine zukünftige Anforderung nach einem SLA zu erwarten ist.
  • Die Workloadschicht 306 bietet Beispiele für Funktionen, für die Cloud Computing-Umgebung verwendet werden kann. Beispiele für Workloads und Funktionen, die von dieser Schicht bereitgestellt werden können, umfassen: Kartierung und Navigation; Softwareentwicklung und Nutzungsdauermanagement, virtuelle Klassenzimmerausbildung, Datenanalyseverarbeitung; Transaktionsverarbeitung; und OAuth-basierte API-Integration (für die Zwecke, die nachstehend beschrieben werden).
  • Vorab soll klargestellt werden, dass, obwohl diese Offenbarung eine ausführliche Beschreibung des Cloud Computing enthält, die Umsetzung der Lehren die hierbei vorgetragen sind, nicht an eine Cloud Computing-Umgebung begrenzt sind. Vielmehr sind die Ausführungsformen der vorliegenden Erfindung in der Lage, in Verbindung mit jeder anderen Art von Computing-Umgebung, die zurzeit bekannt sind oder später entwickelt werden, eingesetzt zu werden.
  • So hat eine repräsentative Cloud Computing-Umgebung eine Reihe von hohen funktionalen Komponenten, die einen Front-End-Identitäts-Manager, Business Support Dienste(BSS)-Funktionskomponente, die Operational Support-Dienst(OSS)-Funktionskomponente und die Cloud Computing-Komponente beinhalten. Der Identitäts-Manager ist verantwortlich, die Kopplung des anfordernden Clients mit dem Identitäts-Manager zu bieten und diese Komponente kann mit einem oder mehreren bekannten Systemen wie dem Tivoli Federated Identity Manager (TFIM), der bei der IBM Corporation von Armonk, New York, verfügbar ist, umgesetzt werden. Unter entsprechenden Umständen kann TFIM verwendet werden, um Federated Single Sign On (F-SSO) auf anderen Cloud-Komponenten bereitzustellen. Die Business Support Services-Komponente stellt bestimmte administrative Funktionen, wie Rechnungserstellung. Die operative Betreuungs-Dienstkomponente wird verwendet, um die Bereitstellung und Verwaltung der anderen Cloud-Komponenten wie Instanzen virtueller Maschinen (VM) zu bewerkstelligen. Die Cloud-Komponente stellt die wichtigsten Rechenressourcen, die typischerweise eine Vielzahl von Instanzen virtueller Maschinen sind, die verwendet werden, um eine Zielanwendung, die für den Zugriff über die Cloud zur Verfügung gestellt wird, auszuführen. Eine oder mehrere Datenbanken werden verwendet, um Verzeichnis-, Protokoll- und sonstige Arbeits-Daten zu speichern. All diese Komponenten (einschließlich des Front-End-Identitäts-Managers) befinden sich „innerhalb” der Cloud, aber dies ist keine Voraussetzung. In einer alternativen Ausführungsform kann der Identitäts-Manager außerhalb der Cloud betrieben werden. Der Dienstanbieter kann auch extern von der Cloud betrieben werden.
  • Eine typische Cloud-basierte Client-Server-Anwendung ist IBM® Lotus Life, die eine Cloud-gelieferte Suite von Technologien bereitstellt, wie Web-Conferencing, Messaging- und Kollaborationsdienste mit Social Networking-Fähigkeiten kombinieren, in einer einfach zu bedienenden webbasierten Umgebung.
  • Natürlich sind die Bezugnahmen auf Lotus Life lediglich aus Gründen der Veranschaulichung gedacht, und sie sollen nicht den Umfang dieser Offenbarung beschränken.
  • Authentifizierungsmechanismus
  • Security Assertion Markup Language (SAML) ist ein XML-basierter Standard zum Austausch von Authentifizierung und Autorisierung von Daten zwischen Sicherheitsdomänen, das heißt zwischen einem Identitäts-Provider (ein Hersteller von Behauptungen) und einem Dienst-Provider (einem Verbraucher von Behauptungen). SAML ist eine Entwicklung des OASIS Security Services Technical Committee. SAML implementiert die Konzepte des Identitäts-Providers (Quelle der Behauptung) und des Dienst-Providers (Verbraucher von Behauptungen). Die Dienst-Provider (SP) vertrauen auf den Identitäts-Provider (IdP), um den Auftraggeber zu authentifizieren. SAML nimmt an, dass sich der Auftraggeber (oft ein Benutzer) bei mindestens einem Identitäts-Anbieter eingeschrieben hat. Dieser Identitäts-Provider nimmt an, dass die lokalen Authentifizierungsdienste an den Auftraggeber liefern. SAML legt jedoch nicht die Umsetzung dieser lokalen Dienste fest; in der Tat ist es SAML egal, wie lokale Authentifizierungsdienste implementiert sind (wenn auch einzelne Dienstleister dies tun). So beruft sich der Dienstleister auf den Identitäts-Provider, um den Auftraggeber zu identifizieren. Auf Wunsch des Auftraggebers gibt der Identitäts-Provider eine SAML-Behauptung an den Dienstleister. Auf der Basis dieser Behauptung macht der Dienstleister eine Zugriffskontrollentscheidung. Um SAML zu ermöglichen, muss eine vertrauensvolle Partnerschaft eingerichtet werden, die IdPs und SPs Austausch von Metadaten über die jeweils andere SAML-Implementierung, einschließlich Schlüssel zum Verschlüsseln/Entschlüsseln der SAML-Behauptung, umfasst.
  • OAuth (Open Authorization/offene Authentifizierung) ist ein offener Standard, mit dem Benutzer ihre privaten Ressourcen (zum Beispiel Fotos, Videos, Kontaktlisten), die auf einer Webseite gespeichert sind, mit einer anderen Seite teilen, ohne ihren Benutzernamen und Passwörter anzugeben. OAuth erlaubt es Benutzern Merkmale, anstatt von Benutzernamen und Passwörtern von ihren Daten, die von einem bestimmten Dienstleister bereitgestellt werden, zu verteilen. Ein Merkmal vergibt einer Einheit den Zugang zu einem bestimmten Ort (zum Beispiel eine Video Editing-Seite) für bestimmte Ressourcen (zum Beispiel nur Videos von einem bestimmten Album), und für einen festgelegten Zeitraum (zum Beispiel für die nächsten zwei Stunden). Somit erlaubt OAuth einem Benutzer den Seitenzugriff auf seine Informationen, die von einem anderen Dienstleister gespeichert sind, einer dritten Partei zu gewähren, ohne Weitergabe seiner Zugriffsberechtigung oder dem vollen Umfang seiner Daten.
  • OAuth setzt voraus, dass der Abrufer ein Merkmal (das von einem Benutzer für einen gezielten Dienstanbieter zugelassen sein muss) hat, um in eine Anforderung einbezogen zu werden. Die Erteilung dieser Genehmigung benötigt oft die Anwesenheit des Benutzers, um den Zieldienstleister zu authentifizieren.
  • OAuth ist außerdem in Cloud-Umgebungen hilfreich. Zum Beispiel sichert Lotus Life seine Application Programming Interface(API)-Funktionen mit OAuth.
  • Die Personifikation/Bevollmächtigung („Delegation”) eines Benutzers in einem Cloud-unterstützenden Merkmal-basierenden Authentifizierungssystem
  • Mit dem Obigen als Hintergrund bietet diese Offenbarung eine Technik, mit der ein vertrauenswürdiger Dienst einen Benutzer gegenüber einem Cloud-Dienst „personifiziert” und kann somit den Betrieb auch bei Abwesenheit des Benutzers ausführen.
  • Es wird davon ausgegangen, dass unter den Leistungen, die der Cloud-Dienst zur Verfügung stellt, einer von ihnen ein „Dienstleister” ist, der ein Authentifizierungssystem, wie eine Merkmal-basierte Authentifizierung, verbraucht, nämlich durch das Zurückverfolgen zu einem Identitäts-Provider, um dieses zu bestätigen. Ein repräsentatives Schema, wie oben beschrieben, ist SAML, wobei die Techniken nicht für Dienstanbieter, die SAML-basierte Authentifizierungen nutzen, begrenzt sind. Andere Merkmal-basierte Authentifizierungsschemata schließen, ohne Einschränkung, Open-ID ein. Ein SAML-basierter Dienst-Provider wie zum Beispiel Operative innerhalb von Lotus Life in dem oben beschriebenen Beispiel, kann OAuth-basierte API-Abfragen implementieren.
  • Ein Identitäts-Provider (IdP) interagiert mit dem Dienst-Provider auf bekannte Weise. Verallgemeinernd ist, nach der OASIS Standard Definition, ein Identitäts-Provider eine Art Dienstleister, der Identitäts-Informationen für Auftraggeber unterhält, erstellt und verwaltet und den Auftraggeber gegenüber anderen Anbietern innerhalb einer Förderation authentifiziert. Seine hauptsächliche Aufgabe ist die Auftraggeber-Authentifizierung. Wie oben erwähnt, kann der Identitäts-Provider auf Anfrage eines Auftraggebers eine SAML-Behauptung an den Dienstleister übergeben.
  • Auf der Basis dieser Behauptung macht der Dienstanbieter eine Zugriffskontrollentscheidung.
  • Bezug nehmend auf 4 ist eine erste Ausführungsform der erfindungsgemäßen Technik dargestellt. In dieser Ausführungsform stellt der Cloud-Dienst 400 eine oder mehrere Cloud-basierte Anwendungen dar, die für einen Cloud-Verbraucher, typischerweise ein Unternehmen, und im Einzelnen für einen Benutzer oder eine Gruppe von Benutzern, die mit dem Unternehmen assoziiert sind, zugänglich sind. In dieser Ausführungsform braucht der Dienstanbieter 402 ein Merkmal-basierendes Authentifizierungssystem. Der Identitäts-Provider 404, der eine Komponente des Cloud-Dienstes oder verschieden davon ist, bestätigt die Benutzer und verwendet Merkmale, um dies an den Dienstanbieter 402 zu senden. Ein Identitäts-Provider 404 kann unter Verwendung einer Rechenmaschine einen Serverprozess, wie zum Beispiel einen SAML-Server ausführen. Der Dienstanbieter 402 nimmt das Merkmal, das ihm gesendet wurde, und sendet diese für eine Validierung an den Identitäts-Provider. Der Identitäts-Provider 404 dient auch dazu, die Gültigkeit jedes Merkmals von jedem Dienstanbieter, mit dem er verbunden ist, zu überprüfen. Wie oben erwähnt, kann eine SAML-basierte Authentifizierung den Aufbau einer vertrauensvollen Partnerschaft zwischen dem Identitäts-Provider 404 und dem Dienstanbieter 402 und den Austausch von Metadaten über die jeweils andere SAML-Implementierung, einschließlich Schlüssel zum Verschlüsseln/Entschlüsseln der SAML-Behauptung, ermöglichen. Im Zusammenhang mit 4 wird angenommen, dass eine vertrauenswürdige Beziehung zwischen dem Dienstanbieter 402 und dem Identitäts-Provider 404 festgestellt wurde.
  • Gemäß dieser Offenbarung personifiziert der „vertrauenswürdige Dienst” 406 einen Benutzer (oder eine Gruppe von Benutzern) gegenüber den anderen Einheiten (nämlich dem Identitäts-Provider, dem Dienstanbieter und dem Cloud-Dienst von Interesse). Ein „vertrauenswürdiger Dienst” ist allgemein eine Recheneinheit (ein Computer basiertes System, ein Programm, ein Vorgang, ein Ausführungs-Thread oder dergleichen), die die Fähigkeit hat, eine Vertrauensbeziehung mit dem Identitäts-Provider 404 zu errichten und interagiert mit dem Identitäts-Provider über eine vertrauenswürdige Verbindung. Wenn ein „vertrauenswürdiger Dienst” zugeordnet ist und mit dem Identitäts-Provider auf diese Weise verbunden ist, wird der Identitäts-Provider nicht unbedingt die Anmeldeinformation des Benutzers überprüfen, sondern erstellt nur das angeforderte Merkmal, welches den Benutzer (oder die Benutzergruppen) repräsentiert und sendet es zurück. Insbesondere überprüft der Identitäts-Provider, dass die angeforderten Anmeldeinformationen von dem vertrauenswürdigen Dienst in die zulässige Domain (welche einem Teil einer größeren Gruppe von Benutzern des Identitäts-Providers bekannt sein kann) des Identitäts-Providers fallen. Die „Personifikation” (bereitgestellt von dem vertrauenswürdigen Dienst) wird hier manchmal als „Bevollmächtigung” bezeichnet, weil nach der Technik, ein Benutzer oder eine Gruppe von Benutzern (oder, allgemeiner, ein IdP-Administrator oder anderen zugelassene Einheiten, mit oder ohne Bewusstsein des Benutzers) mit gültiger Vollmacht dem vertrauenswürdigen Dienst die Möglichkeit gibt, mit den anderen Institutionen im Auftrag des Benutzers oder der Gruppe von Benutzern zu interagieren. Vorteilhaft ist, wenn der vertrauenswürdige Dienst 406 ein Merkmal (oder, allgemeiner, einen Datenstrang, der einzigartig ist) von dem Identitäts-Provider 404 für einen bestimmten Benutzer (oder eine Gruppe von Benutzern) erwirkt, ohne dass die Anmeldeinformationen des Benutzers präsentiert werden. Wie man sehen wird, ermöglicht dies dem vertrauenswürdigen Dienst 406 auf den Cloud-Service 400 im Auftrag des Benutzers zuzugreifen, auch in der Abwesenheit des Benutzers.
  • 4 zeigt die erste Ausführungsform gemäß dieser Offenbarung, durch die der vertrauenswürdige Dienst 406 ein Merkmal vom Identitäts-Provider 404 für eine bestimmte Anzahl an Benutzern erwirbt, dieses Merkmal ist dann sinnvoll, um dem vertrauenswürdigen Dienst 406 zu ermöglichen, im Namen des Benutzers zuverlässig auf den Dienstanbieter 402 zuzugreifen, selbst in der Abwesenheit des Benutzers. Die Technik beginnt bei Schritt 408, in dem der vertrauenswürdige Dienst 406 Vertrauen mit dem Identitäts-Provider 404 aufbaut, indem er konventionelle Techniken (zum Beispiel über ein Pre-Shared-Merkmal oder Schlüssel, in dem es eine Anfrage von einer bestimmten IP-Adresse, oder dergleichen, macht) benutzt. Schritt 408 kann auch den gegenseitigen Austausch und die Authentifizierung von SSL-Zertifikaten, SSH-Schlüssel-basierter Authentifizierung und dergleichen beinhalten. In diesem Beispiel ist der vertrauenswürdige Dienst 406 (oder eine Komponente davon) mit einer lokalen Anwendung, zum Beispiel einer Customer Relationship Management(CRM)-Anwendung, verknüpft. Ein vertrauenswürdiger Dienst, in dieser Alternative kann ein Stand-alone-Service, ein Cloud-basierter Dienst oder dergleichen sein. Verallgemeinernd ist der Dienst (das ist der „vertrauenswürdige Dienst”) ein Prozess/Dienst/Anwendung, welcher Zugriff auf die Daten hat, um integriert zu werden. In Schritt 410 verbindet sich der vertrauenswürdige Dienst 406 mit dem Identitäts-Provider 404 über eine Verbindung, die durch die IdP und das angeforderte generische Merkmal vertrauenswürdig ist. Diese Verbindung kann eine sichere Verbindung sein (zum Beispiel eine gesicherte Verbindung durch SSL, TLS oder dergleichen), oder sogar eine nicht-sichere Verbindung (vorgesehen ist in jedem Fall noch eine Sicherung durch IdP). Eine Verbindung gesichert durch den Identitäts-Provider wird hierin manchmal als eine „vertrauenswürdige Verbindung” bezeichnet. Weil der vertrauenswürdige Dienst, wie oben erwähnt, vertrauenswürdig ist und über eine vertrauenswürdige Verbindung verbunden wird, muss der Identitäts-Provider die Anmeldeinformationen des Benutzers vor dem Antworten auf die Anfrage für das generische Merkmal nicht überprüfen. Zwar müssen die Identitäts-Provider solche Anmeldeinformationen nicht prüfen, optional kann überprüft werden, ob der anfragende Benutzer durch den vertrauenswürdigen Dienst innerhalb der Gruppe der Benutzer berechtigt ist, den vertrauenswürdigen Dienst zu nutzen. Bei dieser speziellen Ausführungsform wird das Merkmal als „generisch” bezeichnet, weil es auf eine bestimmte Gruppe von Nutzern (zum Beispiel jede Person in der Gruppe „Sales”) oder, alternativ, „alle” Benutzer beschränkt ist. Jedes Merkmal, das abgegrenzt ist zu anderen als einen bestimmten Nutzer, kann als „generisch” bezeichnet werden. Das generische Merkmal kann auf einer oder mehreren Eigenschaften basieren, wie zum Beispiel Zeit, Ort, Verantwortlichkeit (Aufgabe) oder dergleichen. So kann ein generische Merkmal für „die Mitarbeiter des Vertriebs von Rochester” oder dergleichen angefordert werden.
  • Im Folgenden sind weitere Einzelheiten darüber zu finden, wie ein generisches Merkmal beschränkt sein kann. Bei einem Ansatz wird ein Satz von Ziel-Benutzern identifiziert. Es können mehrere Kriterien verwendet oder zu diesem Zweck ausgewertet werden. So kann zum Beispiel eine Anzahl von Zielbenutzern eine bestehende Gruppe von Benutzern in einem User-Datenspeicher (zum Beispiel eine LDAP-Gruppe), ein Satz von Benutzern mit einem bestimmten Attributwert (zum Beispiel Benutzerland = „OH”-Status = „Angestellten”-Status = „Verkauf”) sein, diesen Benutzern wird eine bestimmte Rolle in einer Source-Anwendung zugewiesen, diesen Benutzern wird eine bestimmte Rolle in der Zielanwendung zugewiesen, usw. Die Zielbenutzer können dann ausgewählt werden, indem eine oder mehrere konfigurierbare Regel oder Richtlinie definiert werden. Zum Beispiel kann die Regel/Richtlinie auf der vertrauenswürdigen Verbindungsebene, zum Beispiel für eine gegebene gesicherte Verbindung, definiert werden, das generische Merkmal wird immer für eine gegebene Anzahl von Zielnutzern erzeugt. Die Regel/Richtlinie auf der vertrauenswürdigen Verbindungsebene kann mit weiteren Konfigurationsmöglichkeiten zur Verfügung stehen, um den vertrauenswürdigen Dienst zu definieren, zum Beispiel für eine bestimmte vertrauenswürdige Verbindung, welche immer Merkmale für eine Teilmenge einer Menge von Zielbenutzern für einen vertrauenswürdigen Dienst konfiguriert. Eine Regel/Richtlinie könnte auch durch vertrauenswürdige Verbindungsattribute definiert werden, zum Beispiel eine Verbindung über einen sicheren Link, der ein generisches Merkmal für einen ersten Satz von definierten Zielbenutzern setzt, über eine nicht-sichere Verbindung wird ein generisches Merkmal für einen zweiten Satz der definierten Zielbenutzer gesetzt, usw. Eine Regel/Richtlinie kann definiert werden, um globale Wirkung zu haben, indem zum Beispiel eine oder alle vertrauenswürdigen Verbindungen eine identifizierte Anzahl von Zielbenutzern verwenden, usw. Darüber hinaus kann die Anwender-Teilnahme an der Konfiguration einer gegebenen Regel/Richtlinie erzwungen/gestattet werden, indem dies von einem Administrator, der dem vertrauenswürdigen Dienst zugeordnet ist, gesteuert wird. Der vertrauenswürdige Dienst kann auch ein explizites Opt-in der Benutzerrichtlinie, ein explizites Opt-out der Benutzerrichtlinie oder Ähnliches erzwingen. Das Obengenannte ist lediglich beispielhaft.
  • Zurückkommend auf 4, in Schritt 412 baut der Identitäts-Provider 404 das angeforderte generische Merkmal auf und in Schritt 414, kehrt das numerische Merkmal an den vertrauenswürdigen Dienst 406 zurück. Dieses Merkmal-Erzeugungsverfahren kann in einer Offline-Weise erfolgen, oder zum Zeitpunkt, wenn es erwünscht ist, um eine „Sitzung” (oder Transaktion) mit dem Cloud-Dienst (in diesem Beispielszenario) einzuleiten. Mit anderen Worten, die Merkmalerzeugung kann asynchron oder synchron erfolgen. In jedem Fall, und da die Anwendung von dem vertrauenswürdigen Dienst oder über eine vertrauenswürdige Verbindung ist, wird der SAML-Server keine Benutzeranmeldeinformation überprüfen, (obwohl, wie oben erwähnt, der Server gegebenenfalls überprüfen kann, ob die Gruppe in die erlaubte Domain fällt, um den vertrauenswürdigen Dienst zu nutzen), sondern eher erstellt der SAML-Server das Merkmal, welches eine Gruppe von Benutzern beschreibt, und schickt es zurück.
  • Bei Schritt 416 fordert der vertrauenswürdige Dienst eine neue Sitzung an, zum Beispiel durch Hinzufügen des generischen Merkmals zu einer OAuth-API-Anfrage als Authentifizierungsmethode, und macht einen Anruf an den Cloud-Dienst. In einer Ausführungsform, bei der Lotus Life der Cloud-Dienst ist, wird die angefragte Sitzung in Schritt 416 mit dem generischen Merkmal über SAML authentifiziert und erhält ein OAuth-Merkmal (für bestimmte Benutzer authentifiziert durch Lotus Life), das dann auf API-Aufrufe angewendet wird. In Schritt 416 beinhaltet die Anforderung auch den Benutzernamen (oder andere Benutzer-Kennungen) für den Benutzer um von dem vertrauenswürdigen Dienst personifiziert zu werden. Diese Anforderung wird von dem vertrauenswürdigen Dienst 406 an den Dienstanbieter 402 gesendet, der die Anforderung validiert bevor es erlaubt wird, die Sitzung einzuleiten. In Schritt 418 extrahiert der Dienstanbieter 402 das Merkmal und den Benutzernamen von der Anfrage. In Schritt 420 sendet der Dienstanbieter 402 das Merkmal und den Benutzernamen für die Validierung an den Identitäts-Provider 404. In Schritt 422 prüft der Identitäts-Provider 404 dies, um zu bestimmen, dass der präsentierte Benutzer in dem Satz von Nutzern, auf den das Merkmal beschränkt ist, ist (das heißt, dass der Benutzer im Rahmen des generischen Merkmals ist). Wenn das Ergebnis der Prüfung positiv (das heißt, wenn der Benutzername in der generischen Merkmal-Authentifizierungs-Domäne ist) ist, gibt der Identitäts-Provider 404 eine Antwort an den Dienstanbieter 402, dass {Merkmal + Benutzername} gültig sind. Dies ist Schritt 424. Danach interagiert der Dienstleister mit dem „Anforderer” (dem vertrauenswürdigen Dienst) auf herkömmliche Weise. Insbesondere in Schritt 426 schickt der Dienstanbieter 402 Sitzungs-ID-Informationen (zum Beispiel ein weiteres Merkmal, das generische Merkmal selbst oder ähnliche Daten) zurück, welche anzeigen, dass eine Sitzung (mit dem Cloud-Dienst in diesem Beispiel) zulässig ist. Weiter mit dem obigen Beispiel (eine OAuth-API-Anfrage), der vertrauenswürdige Dienst 406 fordert dann einen Dienst (zum Beispiel macht eine API-Anfrage) als authentifizierter Benutzer an, nämlich wenn der Benutzer in Schritt 424 authentifiziert wurde. Dies ist Schritt 428. Die API-Anfrage wird dann durch den Cloud-Dienst 400 durchgeführt, wie in Schritt 430 gezeigt, um den Prozess zu vervoliständigen.
  • 5 zeigt eine alternative Ausführung nach dieser Offenbarung, durch die der vertrauenswürdige Dienst ein Merkmal von einem Identitäts-Provider für einen bestimmten Benutzer erwirkt, dieses Merkmal ist dann nützlich, um den vertrauenswürdigen Dienst zu aktivieren, um auf einen Dienstanbieter im Namen dieses Benutzers zuzugreifen, auch in der Abwesenheit des Benutzers. Die Operationen sind ähnlich wie oben mit Bezug auf die beschriebene 4.
  • Die Technik beginnt bei Schritt 508 in dem der Dienst 508 Vertrauen mit dem Identitäts-Provider 504 aufbaut und ein vertrauenswürdiger Dienst wird, wie schon beschrieben wurde. Im Schritt 510 verbindet sich der vertrauenswürdige Dienst 506 mit dem Identitäts-Provider 504 über eine vertrauenswürdige Verbindung, und fordert, in diesem Ausführungsbeispiel, ein Merkmal für einen spezifischen Benutzer an. Wie oben beschrieben, weil der vertrauenswürdige Dienst vertrauenswürdig ist und über eine vertrauenswürdige Verbindung verbunden ist, muss der Identitäts-Provider die Anmeldeinformation des Benutzers nicht überprüfen, bevor er auf die Anfrage nach einem spezifischen Merkmal antwortet (obwohl, optional kann er überprüfen, ob der Benutzer innerhalb der Gruppe von erlaubten Benutzern, die den vertrauenswürdigen Dienst nutzen, ist). In Schritt 512 baut der Identitäts-Provider 504 das angeforderte spezifische Merkmal aus (ohne die Notwendigkeit, die Anmeldeinformation des Benutzers zu überprüfen) und in Schritt 514 kommt das Merkmal an den vertrauenswürdigen Dienst 506 zurück. Wie bei der ersten Ausführungsform kann die Merkmalerzeugung asynchron oder synchron erfolgen.
  • In Schritt 516 fordert der vertrauenswürdige Dienst eine neue Sitzung an, zum Beispiel indem er das benutzerspezifische Merkmal zu einer OAuth-API-Anfrage als Authentifizierungsmethode hinzufügt, durch Authentifizierung über SAML, um ein OAuth-Merkmal oder dergleichen zu erwerben und dann den Cloud-Dienst aufzurufen. Ein Benutzername wird mit dieser Anfrage auch, wie in der vorherigen Ausführung, geschickt. Diese Anfrage wird von dem vertrauenswürdigen Dienst 506 an den Dienstanbieter 502 geschickt, der wie oben erwähnt, die Anfrage validieren muss, bevor es erlaubt wird, die Sitzung einzuleiten. In Schritt 518 extrahiert der Dienstanbieter 502 das Merkmal von der Anfrage. In Schritt 520 sendet der Dienstanbieter 502 das Merkmal plus Benutzernamen an den Identitäts-Provider 504 zur „Validierung”. In Schritt 522 überprüft der Identitäts-Provider 504 dies, um sicherzustellen, dass der Benutzername dem entspricht, was von den Merkmal ausgestellt wurde. Der Identitäts-Provider 504 gibt dann eine Bejahung an den Dienstanbieter 502 zurück, die den Benutzername assoziiert mit dem Benutzer beinhaltet. Dies ist Schritt 524. In Schritt 526 kontrolliert der Dienstanbieter 502 die positive Antwort (wenn die Antwort negativ ist, kann das Verfahren beendet werden, der Benutzer erhält die Möglichkeit, das Problem zu lösen, oder dergleichen). Der Dienstanbieter 502 schickt dann die Sitzungs-ID-Informationen (zum Beispiel ein weiteres Merkmal, das benutzerspezifische Merkmal oder ähnliche Daten) zurück, die anzeigen, dass eine Sitzung mit dem Cloud-Dienst in diesem Beispiel zulässig ist. Dies ist Schritt 528. Weiter mit dem obigen Beispiel (eine OAuth-API-Anfrage), der vertrauenswürdige Dienst 506 fordert dann einen Dienst (zum Beispiel macht eine API-Anfrage) als authentifizierte Benutzer. Dies ist Schritt 530. Die API-Anfrage wird dann durch den Cloud-Dienst 500 verarbeitet, wie in Schritt 532 gezeigt, um den Vorgang abzuschließen.
  • Der „Anfrage”, die durch den vertrauenswürdigen Dienst (506, in 4 oder 506 in 5) gemacht wird, kann von jedem Typ sein. Wie in den obigen Beispielen erwähnt, ist eine bevorzugte Art von Anfragen eine OAuth-basierte Anfrage, und insbesondere eine OAuth-basierte API-Anfrage. Somit kann auf diese Weise jeder Dienst, der OAuth-basierte APIs nutzt, Zugriff erhalten und Dienste im Namen der abwesenden Nutzer beschaffen. Ganz allgemein wird der Fachmann erkennen, dass die Technik vorteilhaft ist, um die Integration aller nicht -interaktiven Dienste (zum Beispiel jeder Hintergrunddienst) mit einem Authentifizierungssystem (einschließlich, ohne Einschränkung, jeder Merkmal-basierte Authentifizierungsmechanismus), die die Anwesenheit des Benutzers erwarten (oder fordern) zu ermöglichen.
  • Die Dienstanbieter-Identitäts-Provider-Wechselwirkungen, wie oben beschrieben, sind lediglich beispielhaft, und sie sollen nicht den Umfang der offenbarten Technik begrenzen, da jede geeignete Merkmalinteraktion in Betracht gezogen wird.
  • Vorzugsweise ist die beschriebene Technik durch Bereitstellen eines Identitäts-Providers, der so modifiziert wurde, dass er mit einem vertrauenswürdigen Dienst in der beschriebenen Weise interagieren kann, umgesetzt. Das Schema erfordert keine Änderung des Dienstanbieters.
  • Die hier beschriebenen Techniken bieten signifikante Vorteile. Diese Offenlegung beschreibt eine vorteilhafte Methode für einen vertrauenswürdigen Dienst, um ein Merkmal von einem Identitäts-Provider für einen bestimmten Benutzer oder eine Gruppe von Benutzern zu erwerben, ohne dass die Anmeldeinformationen des Benutzers präsentiert werden müssen. Dies ermöglicht dem vertrauenswürdigen Dienst dann auf einen Cloud-Dienst im Namen des Benutzers zuzugreifen, auch in Abwesenheit des Benutzers. Vorzugsweise wird das Verfahren in Verbindung mit einem Identitäts-Provider, der unter der Kontrolle eines Benutzers, eines Administrators oder einer Einheit, die mit dem Benutzer verknüpft ist, ist, implementiert und der Ansatz erfordert keine Änderung des Dienstanbieters. Die Lösung ermöglicht nicht-interaktiven Diensten mit der Authentifizierung und Autorisierungssystemen, die die Anwesenheit des Benutzers erwarten, verbunden zu werden. Wie beschrieben ermöglicht der Ansatz, einen solchen Service zur Durchführung von Geschäften (zum Beispiel Synchronisation von Daten außerhalb der Geschäftszeiten) und im Hintergrund, wenn der Benutzer nicht zur Verfügung steht.
  • Weitere Vorteile sind, dass der Benutzer, um personifiziert zu werden, beim Dienstanbieter seine Anmeldeinformationen (an den Dienstanbieter) nicht einreichen muss, dass er für die Transaktion nicht anwesend sein muss, dass er die Transaktion nicht genehmigen muss, und/oder sich noch nicht einmal der Transaktion bewusst sein muss.
  • Wie hierin verwendet, und in einer bevorzugten Ausführungsform, kann das „generische” Merkmal (4) oder das „Benutzer-spezifische” Merkmal (5) eine Komponente einer SAML-Assertion beinhalten.
  • In einer repräsentativen, aber nicht einschränkenden, Implementierung, ist ein repräsentativer Cloud-Dienst Lotus Life, und der Identitäts-Provider (IdP) ist in den Tivoli Federated Identy Manager (TFIM) implementiert. Diese Produkte und Dienstleistungen sind bei der IBM Corporation von Armonk, New York, erhältlich.
  • Die oben beschriebene Funktianalität kann als eigenständige Anwendung eingebaut werden, zum Beispiel, eine Software-basierte Funktion, die von einem Prozessor ausgeführt wird, oder sie kann als Managed Service (einschließlich als Web-service über eine SOAP/XML-Schnittstelle) verfügbar sein. Die speziellen Hardware- und Software-Implementierungen der hier beschriebenen Einzelheiten sind lediglich für illustrative Zwecke gedacht, und nicht dazu gedacht, den Umfang des beschriebenen Gegenstandes zu begrenzen.
  • Die hier beschriebenen Techniken sind nicht auf die Verwendung mit einem Cloud-Dienst limitiert. Die oben beschriebene Technik kann auch implementiert werden, um eine Benutzeridentifikation von einem vertrauenswürdigen Dienst zu anderen Diensten, zum Beispiel eine Web-Anwendung, einem Betriebssystem Application Programming Interface(API)-Aufruf oder dergleichen, zu ermöglichen.
  • Im Allgemeinen sind Recheneinrichtungen im Rahmen der beschriebenen Erfindung jeweils ein Datenverarbeitungssystem (wie in 2 gezeigt), bestehend aus Hardware und Software, und diese Einheiten kommunizieren miteinander über ein Netzwerk, wie das Internet, ein Intranet, ein Extranet, ein privates Netzwerk oder ein anderes Kommunikationsmedium oder einen Link. Die Anwendungen aus dem Datenverarbeitungssystem bieten native Unterstützung für Web- und andere bekannte Dienste und Protokolle einschließlich, ohne Einschränkung, die Unterstützung von HTTP, FTP, SMTP, SOAP, XML, WSBL, SAML, WS-Trust, UDDI und WSFL und anderen. Informationen SOAP, WSBL, UDDI und WSFL betreffend sind aus dem World Wide Consortium (W3C) erhältlich, das zuständig für die Entwicklung und Aufrechterhaltung dieser Standards ist, weitere Informationen HTTP, FTP, SMTP und XML betreffend sind bei Internet Engineering Task Force (IETF) erhältlich. Kenntnisse über diese Standards und Techniken werden vorausgesetzt.
  • Das hier beschriebene Schema kann in Verbindung mit verschiedenen serverseitigen Architekturen, andere als Cbud-basierte Infrastrukturen, implementiert werden.
  • Dies beinhaltet ohne Einschränkung einfache N-Tier-Architekturen, Webportal, föderative Systeme, oder dergleichen.
  • Noch allgemeiner kann der hierin beschriebene Gegenstand in Form einer völligen Hardware-Ausführungsform, einer völligen Software-Ausführungsform oder einer Ausführungsform, die sowohl Hardware- als auch Softwareelemente enthält, vorliegen. In einer bevorzugten Ausführungsform, und wie oben angemerkt, ist der Identitäts-Provider und die beschriebene „Personifikation”-Funktion in einer Software eingebaut, die Firmware, residente Software, Mikrocode und dergleichen einschließt, aber nicht darauf beschränkt ist. Das „Merkmal” kann jeder generische Datenspring oder Struktur sein, der über einen Link transportiert werden kann und/oder in einem Datenspeicher, wie in einem Computerspeicher, gespeichert werden kann.
  • Ferner kann die hier beschriebene Personifikation/Bevollmächtigungs-Funktionalität die Form eines Computerprogrammprodukts, das von einem computer-nutzbaren oder computer-lesbare Medium erreichbar ist, annehmen und einen Programmcode für die Nutzung bereitstellen in Verbindung mit einem Computer oder einem anderen Anweisungs-Ausführungssystem. Für die Zwecke dieser Beschreibung kann ein computernutzbares oder computerlesbares Medium eine Vorrichtung sein, die ein Programm zur Verwendung durch oder in Verbindung mit dem Anweisungs-Ausführungs-System, Vorrichtung oder Gerät, beinhaltet oder speichert. Das Medium kann elektronisch, magnetisch, optisch, elektromagnetisch, infrarot oder ein Halbleitersystem (oder Vorrichtung oder Gerät) sein. Beispiele für ein computerlesbares Medium beinhalten Halbleiter oder Halbleiterspeicher, Magnetband, eine entfernbare Computerdiskette, einen Direktzugriffsspeicher (RAM), einen Nur-Lese-Speicher (ROM), eine starre Magnetplatte und eine optische Platte. Aktuelle Beispiele für optische Platten beinhalten Compact-Disc-Read Only Memory (CD-ROM), Compact Disc-Read/Write (CD-R/W) und DVD. Ein computerlesbares Medium ist ein greifbares Element.
  • Das Computerprogrammprodukt kann ein Produkt mit Programmbefehlen (oder Programmcode) sein, um eine oder mehrere der beschriebenen Funktionen anzuwenden. Diese Anweisungen oder der Code können in einem computerlesbaren Speichermedium, in einem Datenverarbeitungssystem, nachdem sie über ein Netzwerk von einem entfernten Datenverarbeitunssystem heruntergeladen wurden, gespeichert werden. Ohne diese Anweisungen oder der Code können auf einem computerlesbaren Speichermedium in einem Server Datenverarbeitungssysteme gespeichert werden und sind dafür geeignet, über ein Netzwerk aus einem entfernten Datenverarbeitungssystem zur Verwendung in einem computerlesbaren Speichermedium in dem entfernten System geladen zu werden. In einer repräsentativen Ausführungsform werden die Komponenten des Identitäts-Providers in einem speziellen Computer implementiert, vorzugsweise in der Software, die mit einem oder mehreren Prozessoren ausgeführt wird. Die Software wird außerdem von einem oder mehreren Datenspeichern oder Speichern, die mit einem oder mehreren Prozessoren verbunden sind, unterstützt, und die Software kann als Computerprogramm oder als mehrere Computerprogramme implementiert werden.
  • Die Benutzer Personifikation/Bevollmächtigungs-Funktion kann als Ergänzung oder Erweiterung eines bestehenden Sicherheits-(Authentifizierungs)-Dienstes oder einer Access Manager-Lösung implementiert werden. Die Technik kann auch in einer automatisierten Weise durchgeführt werden, wie es beschrieben wurde.
  • Obwohl das obig Beschriebene eine bestimmte Reihenfolge der Operationen von bestimmten Ausführungsformen der Erfindung ausführt, versteht es sich, dass diese Reihenfolge beispielhaft ist, als alternative Ausführungsformen können die Operationen in einer anderen Reihenfolge durchgeführt werden, bestimmte Operationen können kombiniert werden, bestimmte Operationen können überlappen oder dergleichen. Bezugnahmen in der Beschreibung auf eine bestimmte Ausführungsform zeigen, dass die beschriebene Ausführungsform ein bestimmtes Merkmal, eine Struktur oder Eigenschaft enthält, aber nicht jede Ausführungsform muss unbedingt das bestimmte Merkmal, die bestimmte Struktur oder Eigenschaft beinhalten.
  • Schließlich, obwohl bestimmte Bestandteile des Systems separat beschrieben wurden, würde ein Fachmann erkennen, dass einige der Funktionen in Anweisungen, Programmabläufen, Codeabschnitten oder dergleichen, kombiniert oder geteilt werden können.
  • Wie hierin verwendet, sollte die Anwendung der „Client-Seite” weit ausgelegt werden, um sich auf eine Anwendung, eine Seite dieses Antrags oder eine andere Ressource oder Funktion, die von einem Client-seitigen Antrag an die Anwendung beauftragt wird, zu beziehen. Ein „Browser”, wie hierin verwendet, soll sich nicht auf einen bestimmten Browser (zum Beispiel Internet Explorer, Safari, Firefox oder Ähnliches) beziehen, sondern sollte breit ausgelegt werden, um zu einem beliebigen Client-Side-Rendering Engine, das den Zugriff und die Anzeige internetzugänglichen Ressourcen leistet. Ein „rich” Client bezieht sich üblicherweise auf eine nicht-HTTP-basierte Client-seitige Anwendung. Während ferner in der Regel die Client-Server über HTTP-Wechselwirkungen auftreten, ist es keine Einschränkung. Die Client-Server-Interaktion kann so formatiert sein, um Simple Object Access Protocol (SOAP) und Reisen über HTTP (über das öffentliche Internet), FTP-, REST- oder andere zuverlässige Transportmechanismen (wie IBM® MQ Series® Technologien und CORBA, für die Übertragung über ein Unternehmens-Intranet) zu verwenden. Jede Anwendung oder hierin beschriebene Funktionalität kann als nativer Code implementiert werden, indem Daten in einer anderen Anwendung erstellt werden, indem die Benutzung dieses Mechanismus als Plug-in, durch die Verknüpfung zu dem Mechanismus, ermöglicht wird und dergleichen.
  • ZITATE ENTHALTEN IN DER BESCHREIBUNG
  • Diese Liste der vom Anmelder aufgeführten Dokumente wurde automatisiert erzeugt und ist ausschließlich zur besseren Information des Lesers aufgenommen. Die Liste ist nicht Bestandteil der deutschen Patent- bzw. Gebrauchsmusteranmeldung. Das DPMA übernimmt keinerlei Haftung für etwaige Fehler oder Auslassungen.
  • Zitierte Nicht-Patentliteratur
    • „Draft NIST Working Definition of Cloud Computing” von Peter Mell und Tim Grance, datiert vom 7. Oktober 2009 [0051]

Claims (15)

  1. Verfahren, betreibbar in einem vertrauenswürdigen Dienst, das den Zugriff auf eine Anwendung ermöglicht, die in einer Rechnereinheit ausgeführt wird, welches umfasst: – Einrichten einer Vertrauensbeziehung mit einem Identitäts-Provider; – Anfordern eines Merkmals von dem Identitäts-Provider; – Empfang des Merkmals von dem Identitäts-Provider, nachdem das Merkmal durch den Identitäts-Provider generiert wurde, ohne dass eine Anmeldeinformation des Benutzers erforderlich ist; – im Namen eines Benutzers, Benutzung des Merkmals und der Anmeldeinformation, um einen vertrauenswürdigen Dienst für einen authentifizierten Benutzer für eine Anwendung zu schaffen; und – auf die Einrichtung eines vertrauenswürdigen Dienstes als einen authentifizierten Benutzer hin, Zugriff auf eine Anwendung.
  2. Verfahren nach Anspruch 1, wobei das Merkmal verwendet wird, um die vertrauenswürdigen Dienste für einen authentifizierten Benutzer zu etablieren, indem das Merkmal an einen Dienstanbieter, der mit dem Identitäts-Provider assoziiert ist, weitergeleitet wird, und bei einer Validierung einer Authentifizierung Sitzungsmerkmale erhält, wobei das Authentifizierungs-Sitzungsmerkmal anzeigt, dass der vertrauenswürdige Dienst ein authentifizierter Benutzer für eine Sitzung ist.
  3. Verfahren nach Anspruch 2, wobei das Merkmal ein generisches Merkmal für eine Anzahl an autorisierten Benutzern darstellt.
  4. Verfahren nach Anspruch 3, wobei die Validierung überprüft, um zu bestimmen, ob die Anmeldeinformation des Benutzers dem generischen Merkmal zugeordnet ist.
  5. Gerät, welches umfasst: – einen Prozessor, – Computerspeicher, der Computerprogrammanweisungen enthält, die, wenn sie von dem Prozessor ausgeführt werden, ein Verfahren ermöglichen, das den Zugriff auf eine Anwendung in einer Recheneinheit ausführt, wobei das Verfahren umfasst: • Einrichten einer Vertrauensbeziehung in den Identitäts-Provider; • Anforderung eines Merkmals von dem Identitäts-Provider; • Empfang des Merkmals von dem Identitäts-Provider, nachdem das Merkmal durch den Identitäts-Provider generiert wurde, ohne dass eine Anmeldeinformation des Benutzers erforderlich ist; • im Namen eines Benutzers, Benutzung des Merkmals und der Anmeldeinformation, um eine authentifizierte Benutzer-Identität zu erhalten, mit der sich der Benutzer bei der Anwendung ausgeben kann; und • auf den Erhalt der authentifizierten Benutzer-Identität hin, Zugriff auf die Anwendung.
  6. Das Gerät nach Anspruch 5, wobei das Merkmal verwendet wird, indem das Merkmal an einen Dienstanbieter, der mit dem Identitäts-Provider assoziiert ist, weitergeleitet wird, und bei einer Validierung eine authentifizierte Benutzer-Identität erhält.
  7. Das Gerät nach Anspruch 6, wobei das Merkmal ein generisches Merkmal für eine Anzahl an autorisierten Benutzern darstellt.
  8. Das Gerät nach Anspruch 7, wobei die Validierung überprüft, um zu bestimmen, ob die Anmeldeinformation des Benutzers dem generischen Merkmal zugeordnet ist.
  9. Ein Computerprogrammprodukt auf einem computerlesbaren Medium für die Verwendung in einem Datenverarbeitungssystem, das Computerprogrammprodukt, welches die Programmanweisungen enthält, das, wenn es von dem Datenverarbeitungssystem ausgeführt wird, ein Verfahren ausführt, um den Zugriff auf eine Anwendung zu ermöglichen, die in einer Recheneinheit ausgeführt wird, wobei das Verfahren umfasst: – Einrichten einer Vertrauensbeziehung mit dem Identitäts-Provider; – Anforderung eines Merkmals von dem Identitäts-Provider; – Empfang des Merkmals von dem Identitäts-Provider, nachdem das Merkmal durch den Identitäts-Provider generiert wurde, ohne dass eine Anmeldeinformation des Benutzers erforderlich ist; – im Namen eines Benutzers, Benutzung des Merkmals und der Anmeldeinformation, um eine authentifizierte Benutzer-Identität zu erhalten, mit der sich der Benutzer bei der Anwendung ausgeben kann; und – auf den Erhalt der authentifizierte Benutzer-Identität hin, Zugriff auf die Anwendung.
  10. Das Computerprogramm nach Anspruch 9, wobei das Merkmal verwendet wird, indem das Merkmal an einen Dienstanbieter, der mit dem Identitäts-Provider assoziiert ist, weitergeleitet wird, und bei einer Validierung eine authentifizierte Benutzer-Identität erhält.
  11. Das Computerprogramm nach Anspruch 10, wobei das Merkmal ein generisches Merkmal für eine Anzahl an autorisierten Benutzern darstellt.
  12. Das Computerprogramm nach Anspruch 11, wobei die Validierung überprüft, um zu bestimmen, ob die Anmeldeinformation des Benutzers dem generischen Merkmal zugeordnet ist.
  13. Ein Identitäts-Provider-Gerät, welches umfasst: – einen Prozessor, – Computerspeicher, die Computerprogrammanweisungen enthalten, die, wenn sie von dem Prozessor ausgeführt werden, ein Verfahren ermöglichen, welches umfasst: • Einrichten einer Vertrauensbeziehung mit einem vertrauenswürdigen Dienst über eine vertrauenswürdige Verbindung; • Empfang einer Anfrage des vertrauenswürdigen Dienstes für ein Merkmal; • Generierung des Merkmals, ohne dass eine Anmeldeinformation des Benutzers benötigt wird; und • Rücksendung des Merkmals an den vertrauenswürdigen Dienst, um dem vertrauenswürdigen Dienst die Identifizierung des Benutzers zu ermöglichen, indem er das Merkmal und die Anmeldeinformation des Benutzers benutzt, um eine authentifizierte Benutzer-Identität zu erreichen.
  14. Das Identitäts-Provider-Gerät nach Anspruch 13, wobei das Verfahren ferner beinhaltet, dass zu einem späteren Zeitpunkt ein Merkmal erhalten wird und eine Validierung durchgeführt wird.
  15. Das Identitäts-Provider-Gerät nach Anspruch 14, wobei das Merkmal ein generisches Merkmal für eine Anzahl an autorisierten Benutzern darstellt und die Validierung überprüft, um zu bestimmen, ob die Anmeldeinformation des Benutzers dem generischen Merkmal zugeordnet ist.
DE102012203561A 2011-03-28 2012-03-07 Die Personifikation/Bevollmächtigung eines Benutzers in einem Merkmal-basierenden Authentifizierungssystem Pending DE102012203561A1 (de)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
US13/072,884 2011-03-28
US13/072,884 US9497184B2 (en) 2011-03-28 2011-03-28 User impersonation/delegation in a token-based authentication system

Publications (1)

Publication Number Publication Date
DE102012203561A1 true DE102012203561A1 (de) 2012-10-04

Family

ID=46052029

Family Applications (1)

Application Number Title Priority Date Filing Date
DE102012203561A Pending DE102012203561A1 (de) 2011-03-28 2012-03-07 Die Personifikation/Bevollmächtigung eines Benutzers in einem Merkmal-basierenden Authentifizierungssystem

Country Status (3)

Country Link
US (2) US9497184B2 (de)
DE (1) DE102012203561A1 (de)
GB (1) GB2489563A (de)

Families Citing this family (116)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US10839321B2 (en) 1997-01-06 2020-11-17 Jeffrey Eder Automated data storage system
US9544143B2 (en) 2010-03-03 2017-01-10 Duo Security, Inc. System and method of notifying mobile devices to complete transactions
US9532222B2 (en) 2010-03-03 2016-12-27 Duo Security, Inc. System and method of notifying mobile devices to complete transactions after additional agent verification
US8949939B2 (en) * 2010-10-13 2015-02-03 Salesforce.Com, Inc. Methods and systems for provisioning access to customer organization data in a multi-tenant system
US8973108B1 (en) * 2011-05-31 2015-03-03 Amazon Technologies, Inc. Use of metadata for computing resource access
US20120331518A1 (en) * 2011-06-23 2012-12-27 Salesforce.Com, Inc. Flexible security token framework
JP5743786B2 (ja) * 2011-07-28 2015-07-01 キヤノン株式会社 サーバー装置、情報処理方法及びプログラム
US8931041B1 (en) * 2011-07-29 2015-01-06 Symantec Corporation Method and system for visibility and control over access transactions between clouds using resource authorization messages
US9124640B2 (en) * 2011-08-09 2015-09-01 CloudPassage, Inc. Systems and methods for implementing computer security
US9497224B2 (en) 2011-08-09 2016-11-15 CloudPassage, Inc. Systems and methods for implementing computer security
US8412945B2 (en) * 2011-08-09 2013-04-02 CloudPassage, Inc. Systems and methods for implementing security in a cloud computing environment
US9467463B2 (en) 2011-09-02 2016-10-11 Duo Security, Inc. System and method for assessing vulnerability of a mobile device
US20130086669A1 (en) * 2011-09-29 2013-04-04 Oracle International Corporation Mobile application, single sign-on management
WO2013054196A2 (en) * 2011-10-14 2013-04-18 Open Text S.A. System and method for secure content sharing and synchronization
US9626223B2 (en) * 2011-10-28 2017-04-18 Hewlett Packard Enterprise Development Lp Provisioning IaaS services
US8856957B1 (en) * 2011-12-22 2014-10-07 Amazon Technologies, Inc. Federated identity broker
US9329810B2 (en) * 2011-12-22 2016-05-03 Xerox Corporation Secure federation of cloud print services
KR20170046191A (ko) * 2012-01-20 2017-04-28 인터디지탈 패튼 홀딩스, 인크 로컬 기능을 갖는 아이덴티티 관리
US10176335B2 (en) 2012-03-20 2019-01-08 Microsoft Technology Licensing, Llc Identity services for organizations transparently hosted in the cloud
US8990913B2 (en) * 2012-04-17 2015-03-24 At&T Mobility Ii Llc Peer applications trust center
KR101621791B1 (ko) * 2012-08-14 2016-05-31 엠파이어 테크놀로지 디벨롭먼트 엘엘씨 현재 이용되는 장치 업데이팅
US9710664B2 (en) * 2012-09-07 2017-07-18 Amrita Vishwa Vidyapeetham Security layer and methods for protecting tenant data in a cloud-mediated computing network
JP6066647B2 (ja) * 2012-09-27 2017-01-25 キヤノン株式会社 デバイス装置、その制御方法、およびそのプログラム
US8887260B2 (en) 2012-10-25 2014-11-11 Facebook, Inc. Token-based access control
CN102946396B (zh) * 2012-11-26 2015-09-16 北京奇虎科技有限公司 用户代理装置、宿主网站服务器和用户认证方法
US9253185B2 (en) * 2012-12-12 2016-02-02 Nokia Technologies Oy Cloud centric application trust validation
US10069838B2 (en) * 2012-12-18 2018-09-04 Adobe Systems Incorporated Controlling consumption of hierarchical repository data
US9130926B2 (en) * 2012-12-27 2015-09-08 Microsoft Technology Licensing, Llc Authorization messaging with integral delegation data
US9148285B2 (en) * 2013-01-21 2015-09-29 International Business Machines Corporation Controlling exposure of sensitive data and operation using process bound security tokens in cloud computing environment
US9398050B2 (en) 2013-02-01 2016-07-19 Vidder, Inc. Dynamically configured connection to a trust broker
US9418213B1 (en) * 2013-02-06 2016-08-16 Amazon Technologies, Inc. Delegated permissions in a distributed electronic environment
US9466051B1 (en) * 2013-02-06 2016-10-11 Amazon Technologies, Inc. Funding access in a distributed electronic environment
CN104022875B (zh) * 2013-03-01 2017-09-01 中兴通讯股份有限公司 一种双向授权系统、客户端及方法
US9690931B1 (en) 2013-03-11 2017-06-27 Facebook, Inc. Database attack detection tool
US8769644B1 (en) * 2013-03-15 2014-07-01 Rightscale, Inc. Systems and methods for establishing cloud-based instances with independent permissions
US10205717B1 (en) * 2013-04-01 2019-02-12 Amazon Technologies, Inc. Virtual machine logon federation
US9009806B2 (en) * 2013-04-12 2015-04-14 Globoforce Limited System and method for mobile single sign-on integration
US9264436B2 (en) * 2013-05-08 2016-02-16 International Business Machines Corporation Policy-based automated consent
US9544293B2 (en) 2013-09-20 2017-01-10 Oracle International Corporation Global unified session identifier across multiple data centers
US9866640B2 (en) 2013-09-20 2018-01-09 Oracle International Corporation Cookie based session management
CN103532932B (zh) * 2013-09-25 2017-06-27 华为技术有限公司 一种能力开放系统、业务处理方法及设备
US9276932B2 (en) 2013-11-07 2016-03-01 International Business Machines Corporation Federated identity mapping using delegated authorization
US9420007B1 (en) 2013-12-04 2016-08-16 Amazon Technologies, Inc. Access control using impersonization
WO2015092130A1 (en) 2013-12-20 2015-06-25 Nokia Technologies Oy Push-based trust model for public cloud applications
CN103841103B (zh) * 2014-02-25 2017-10-17 华为软件技术有限公司 一种获取公共授权服务的装置和方法
US20150254577A1 (en) * 2014-03-07 2015-09-10 NetSuite Inc. System and methods for location based management of cloud platform data
US9762590B2 (en) * 2014-04-17 2017-09-12 Duo Security, Inc. System and method for an integrity focused authentication service
US10003592B2 (en) * 2014-05-05 2018-06-19 Schneider Electric Software, Llc Active directory for user authentication in a historization system
NZ727109A (en) * 2014-05-06 2017-11-24 Okta Inc Facilitating single sign-on to software applications
US9817991B2 (en) * 2014-05-08 2017-11-14 NetSuite Inc. System and method for a cloud based solution to track notes against business records
JP2016085641A (ja) * 2014-10-27 2016-05-19 キヤノン株式会社 権限移譲システム、権限移譲システムにて実行される方法、およびそのプログラム
US10659443B2 (en) 2015-01-23 2020-05-19 Telefonaktiebolaget Lm Ericsson (Publ) Methods and apparatus for obtaining a scoped token
US10027637B2 (en) * 2015-03-12 2018-07-17 Vormetric, Inc. Secure and control data migrating between enterprise and cloud services
GB2537814B (en) * 2015-04-14 2017-10-18 Avecto Ltd Computer device and method for controlling untrusted access to a peripheral device
WO2016195847A1 (en) 2015-06-01 2016-12-08 Duo Security, Inc. Method for enforcing endpoint health standards
US9769147B2 (en) 2015-06-29 2017-09-19 Oracle International Corporation Session activity tracking for session adoption across multiple data centers
US20170012990A1 (en) 2015-07-08 2017-01-12 International Business Machines Corporation Indirect user authentication
US10693859B2 (en) 2015-07-30 2020-06-23 Oracle International Corporation Restricting access for a single sign-on (SSO) session
US9641509B2 (en) * 2015-07-30 2017-05-02 Ca, Inc. Enterprise authentication server
CN105592048B (zh) * 2015-09-02 2019-03-01 新华三技术有限公司 一种认证的方法及装置
US10581826B2 (en) 2015-10-22 2020-03-03 Oracle International Corporation Run-time trust management system for access impersonation
US10454936B2 (en) 2015-10-23 2019-10-22 Oracle International Corporation Access manager session management strategy
US10505982B2 (en) 2015-10-23 2019-12-10 Oracle International Corporation Managing security agents in a distributed environment
US10749854B2 (en) 2015-11-12 2020-08-18 Microsoft Technology Licensing, Llc Single sign-on identity management between local and remote systems
US10200387B2 (en) * 2015-11-30 2019-02-05 International Business Machines Corporation User state tracking and anomaly detection in software-as-a-service environments
US10084785B2 (en) 2015-12-13 2018-09-25 Microsoft Technology Licensing, Llc Connecting and retrieving security tokens based on context
US20170187726A1 (en) * 2015-12-24 2017-06-29 Zeta (Better World Technology Pvt. Ltd.) Cross-domain message authentication
CN106953831B (zh) * 2016-01-06 2020-12-01 阿里巴巴集团控股有限公司 一种用户资源的授权方法、装置及系统
US10469262B1 (en) 2016-01-27 2019-11-05 Verizon Patent ad Licensing Inc. Methods and systems for network security using a cryptographic firewall
US10277572B2 (en) * 2016-04-12 2019-04-30 Blackberry Limited Provisioning enterprise services provided by an infrastructure service server
US10455025B2 (en) * 2016-08-02 2019-10-22 Micro Focus Software Inc. Multi-factor authentication
US10623501B2 (en) 2016-09-15 2020-04-14 Oracle International Corporation Techniques for configuring sessions across clients
US10523667B2 (en) * 2016-11-08 2019-12-31 Sap Se Framework for executing operations on systems
US10356079B2 (en) * 2016-12-05 2019-07-16 Keeper Security, Inc. System and method for a single sign on connection in a zero-knowledge vault architecture
US10541992B2 (en) * 2016-12-30 2020-01-21 Google Llc Two-token based authenticated session management
US10462124B2 (en) 2016-12-30 2019-10-29 Google Llc Authenticated session management across multiple electronic devices using a virtual session manager
US11038842B2 (en) 2017-01-26 2021-06-15 Walmart Apollo, Llc Cloud security stack
US10311248B1 (en) * 2017-01-27 2019-06-04 Intuit Inc. Managing delegated access permissions
US10554480B2 (en) 2017-05-11 2020-02-04 Verizon Patent And Licensing Inc. Systems and methods for maintaining communication links
US10652227B2 (en) * 2017-05-17 2020-05-12 Microsoft Technology Licensing, Llc Impersonating target account via account redirection
US11290438B2 (en) 2017-07-07 2022-03-29 Oracle International Corporation Managing session access across multiple data centers
US10721222B2 (en) * 2017-08-17 2020-07-21 Citrix Systems, Inc. Extending single-sign-on to relying parties of federated logon providers
US10470040B2 (en) 2017-08-27 2019-11-05 Okta, Inc. Secure single sign-on to software applications
US20190068533A1 (en) * 2017-08-28 2019-02-28 Microsoft Technology Licensing, Llc Acquiring attachments from data storage providers for use in electronic communications
US11050730B2 (en) 2017-09-27 2021-06-29 Oracle International Corporation Maintaining session stickiness across authentication and authorization channels for access management
US10157275B1 (en) 2017-10-12 2018-12-18 Oracle International Corporation Techniques for access management based on multi-factor authentication including knowledge-based authentication
US10798103B2 (en) 2017-11-21 2020-10-06 VWware, Inc. Adaptive device enrollment
US10749870B2 (en) 2017-11-21 2020-08-18 Vmware, Inc. Adaptive device enrollment
US10986078B2 (en) * 2017-11-21 2021-04-20 Vmware, Inc. Adaptive device enrollment
US10972468B2 (en) 2017-11-21 2021-04-06 Vmware, Inc. Adaptive device enrollment
US10412113B2 (en) 2017-12-08 2019-09-10 Duo Security, Inc. Systems and methods for intelligently configuring computer security
CN108170660B (zh) * 2018-01-22 2021-08-06 北京百度网讯科技有限公司 多语言排版的显示方法、装置、浏览器、终端及介质
US11005853B1 (en) * 2018-03-06 2021-05-11 Amazon Technologies, Inc. Restriction transitivity for session credentials
US10999272B2 (en) * 2018-03-30 2021-05-04 Lendingclub Corporation Authenticating and authorizing users with JWT and tokenization
US11526620B2 (en) 2018-04-27 2022-12-13 Oracle International Corporation Impersonation for a federated user
BR112020021433A2 (pt) * 2018-05-04 2021-01-19 Stanfeld Aps Dispositivo de suporte remoto
US11038874B2 (en) 2018-06-11 2021-06-15 Dell Products, L.P. Authentication and authorization of users in an information handling system between baseboard management controller and host operating system users
US10986098B2 (en) * 2018-07-31 2021-04-20 Vmware, Inc. Reverse identity federation in distributed cloud systems
US10742636B2 (en) 2018-08-22 2020-08-11 Sap Se OAuth2 SAML token service
US20200145459A1 (en) * 2018-11-01 2020-05-07 Intuit Inc. Centralized authentication and authorization
US11658962B2 (en) 2018-12-07 2023-05-23 Cisco Technology, Inc. Systems and methods of push-based verification of a transaction
CN109587251A (zh) * 2018-12-07 2019-04-05 用友网络科技股份有限公司 会话访问方法以及服务器
US11240030B2 (en) 2018-12-27 2022-02-01 Paypal, Inc. Token management layer for automating authentication during communication channel interactions
US11121873B2 (en) * 2019-02-08 2021-09-14 Microsoft Technology Licensing, Llc System and method for hardening security between web services using protected forwarded access tokens
US11297040B2 (en) * 2019-05-01 2022-04-05 Akamai Technologies, Inc. Intermediary handling of identity services to guard against client side attack vectors
US11461843B2 (en) 2019-05-23 2022-10-04 Capital One Services, Llc Multi-lender platform that securely stores proprietary information for pre-qualifying an applicant
US11165585B2 (en) 2019-06-11 2021-11-02 International Business Machines Corporation Token repository and integration
US11025732B2 (en) * 2019-06-17 2021-06-01 Vmware, Inc. Method and apparatus to perform user authentication during cloud provider sessions
US11134078B2 (en) 2019-07-10 2021-09-28 Oracle International Corporation User-specific session timeouts
US11546335B2 (en) * 2019-09-27 2023-01-03 Amazon Technologies, Inc. Managing permissions to cloud-based resources with session-specific attributes
EP3907683B1 (de) * 2020-02-24 2024-01-03 SSenStone Inc. Verfahren und programm zur authentifizierung zwischen geräten basierend auf einem virtuellen authentifizierungscode
US11477183B1 (en) * 2020-06-29 2022-10-18 Amazon Technologies, Inc. Application-based management of security credential revocations
US20220046004A1 (en) * 2020-08-05 2022-02-10 Jpmorgan Chase Bank, N.A. Method for provision of access grant
US11606347B2 (en) * 2020-08-27 2023-03-14 Cisco Technology, Inc. Determining session duration for device authentication
US11968182B2 (en) * 2021-07-29 2024-04-23 Automation Anywhere, Inc. Authentication of software robots with gateway proxy for access to cloud-based services
US11726674B2 (en) * 2021-12-08 2023-08-15 Google Llc Bridging authorization standard for cloud storage

Family Cites Families (24)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US5923756A (en) * 1997-02-12 1999-07-13 Gte Laboratories Incorporated Method for providing secure remote command execution over an insecure computer network
US6363365B1 (en) * 1998-05-12 2002-03-26 International Business Machines Corp. Mechanism for secure tendering in an open electronic network
US7113994B1 (en) * 2000-01-24 2006-09-26 Microsoft Corporation System and method of proxy authentication in a secured network
US7308709B1 (en) * 2000-04-21 2007-12-11 Microsoft Corporation System and method for managing and authenticating services via service principal names
US20020150253A1 (en) * 2001-04-12 2002-10-17 Brezak John E. Methods and arrangements for protecting information in forwarded authentication messages
US7610390B2 (en) * 2001-12-04 2009-10-27 Sun Microsystems, Inc. Distributed network identity
US20040073903A1 (en) * 2002-04-23 2004-04-15 Secure Resolutions,Inc. Providing access to software over a network via keys
US7275259B2 (en) 2003-06-18 2007-09-25 Microsoft Corporation System and method for unified sign-on
US20050044377A1 (en) 2003-08-18 2005-02-24 Yen-Hui Huang Method of authenticating user access to network stations
US7797544B2 (en) * 2003-12-11 2010-09-14 Microsoft Corporation Attesting to establish trust between computer entities
US7496761B2 (en) * 2004-09-29 2009-02-24 Microsoft Corporation Method and system for batch task creation and execution
US7562382B2 (en) * 2004-12-16 2009-07-14 International Business Machines Corporation Specializing support for a federation relationship
US7900247B2 (en) * 2005-03-14 2011-03-01 Microsoft Corporation Trusted third party authentication for web services
CN100583761C (zh) 2005-05-16 2010-01-20 联想(北京)有限公司 一种统一认证的实现方法
US7594258B2 (en) * 2005-06-27 2009-09-22 Yahoo! Inc. Access control systems and methods using visibility tokens with automatic propagation
WO2007047183A2 (en) * 2005-10-11 2007-04-26 Citrix Systems, Inc. Systems and methods for facilitating distributed authentication
US20090117883A1 (en) 2006-07-20 2009-05-07 Dan Coffing Transaction system for business and social networking
US8671444B2 (en) 2006-10-06 2014-03-11 Fmr Llc Single-party, secure multi-channel authentication for access to a resource
US20100132019A1 (en) 2007-04-04 2010-05-27 Sxip Identity Corp. Redundant multifactor authentication in an identity management system
US8621598B2 (en) 2008-03-12 2013-12-31 Intuit Inc. Method and apparatus for securely invoking a rest API
US20090307744A1 (en) * 2008-06-09 2009-12-10 Microsoft Corporation Automating trust establishment and trust management for identity federation
US8555351B2 (en) 2008-09-29 2013-10-08 International Business Machines Corporation Trusted database authentication through an untrusted intermediary
US8752152B2 (en) * 2009-12-14 2014-06-10 Microsoft Corporation Federated authentication for mailbox replication
US8997196B2 (en) * 2010-06-14 2015-03-31 Microsoft Corporation Flexible end-point compliance and strong authentication for distributed hybrid enterprises

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
"Draft NIST Working Definition of Cloud Computing" von Peter Mell und Tim Grance, datiert vom 7. Oktober 2009

Also Published As

Publication number Publication date
US10122707B2 (en) 2018-11-06
GB201204639D0 (en) 2012-05-02
US9497184B2 (en) 2016-11-15
US20170070498A1 (en) 2017-03-09
US20120254957A1 (en) 2012-10-04
GB2489563A (en) 2012-10-03

Similar Documents

Publication Publication Date Title
DE102012203561A1 (de) Die Personifikation/Bevollmächtigung eines Benutzers in einem Merkmal-basierenden Authentifizierungssystem
DE112011101729B4 (de) Verwaltung von Ressourcenzugriff
CN112088373B (zh) 用于多租户身份云服务的声明性第三方身份提供者集成
CN109565511B (zh) 用于多租户身份和数据安全管理云服务的租户和服务管理
EP3528454B1 (de) Einmalanmeldungs- und einmalabmeldungsfunktionalität für einen mandantenfähigen identitäts- und datensicherheitsmanagement-cloud-service
CN107852417B (zh) 多租户身份和数据安全性管理云服务
CN108701182B (zh) 多租户身份云服务的数据管理
CN110603802B (zh) 多租户身份云服务的跨区域信任
US10693861B2 (en) Task segregation in a multi-tenant identity and data security management cloud service
US10878079B2 (en) Identity cloud service authorization model with dynamic roles and scopes
CN112154639B (zh) 在没有用户足迹的情况下的多因素认证
US10454940B2 (en) Identity cloud service authorization model
DE112015004562B4 (de) Kontextbasiertes Cloud-System für die Zusicherung von Sicherheit
CN112913208B (zh) 具有内部部署的认证集成和桥接器高可用性的多租户身份云服务
US20180316676A1 (en) Dynamic computing resource access authorization
DE112012002741T5 (de) Identitäts- und Berechtigungsprüfungsverfahren für die Sicherheit einer Cloud-Datenverarbeitungsplattform
WO2017196774A1 (en) Multi-tenant identity and data security management cloud service
DE112020002343T5 (de) Verteilung von Sicherheitsberechtigungsnachweisen
DE112021004945T5 (de) Techniken der kompositionellen verifikation für rollenerreichbarkeitsanalysen in identitätssystemen
DE112021005026T5 (de) Persistente quellwerte für angenommene alternative identitäten
DE202020005753U1 (de) Verwalten von Benutzeridentitäten in einem verwalteten Multi-Tenant-Dienst
DE112022001944T5 (de) Verteilte dekomposition von string-automatisierter schlussfolgerung unter verwendung von prädikaten

Legal Events

Date Code Title Description
R012 Request for examination validly filed
R016 Response to examination communication
R016 Response to examination communication