JP2003536176A - 証拠ベースのセキュリティポリシーマネージャ - Google Patents

Abstract

(57)【要約】 証拠ベースのポリシーマネージャが、リソースロケーションから受け取られたコードアセンブリに関する許可交付セットを生成する。ポリシーマネージャは、ランタイム環境の確認モジュールおよびクラスローダとの組み合わせで、コンピュータシステム（例えば、ＷｅｂクライアントまたはＷｅｂサーバ）において実行される。コードアセンブリに関して生成された許可交付セットが、ランタイム呼出しスタックの中で適用されて、システムが、コードアセンブリによる所与のシステム動作が許可されるかどうかを判定するのを助ける。コードアセンブリも証拠もともに、ローカルのオリジンから、またはネットワーク（例えば、インターネット）を介して遠隔のリソースロケーションから受け取られる。ポリシーマネージャは、セキュリティポリシー指定を構文解析するための実行モジュールと、１つまたは複数のコード階層を生成するための実行モジュールと、１つまたは複数のコードグループにおける受け取られたコードアセンブリのメンバシップを評価するための実行モジュールと、このメンバシップ評価に基づいて許可交付セットを生成するための実行モジュールとを含むことが可能である。ポリシーマネージャは、セキュリティポリシー指定の中で指定されたセキュリティポリシー定義に従って複数のポリシーレベルを生成することができる。各ポリシーレベルからの許可をマージして、コードアセンブリに関連する許可交付セットを生成し、実行スレッドのランタイム呼出しスタックの中で適用することができる。

Description

【発明の詳細な説明】

【０００１】 本出願は、米国以外のすべての国々を指定する米国籍、米国所在のマイクロソ
フトコーポレーション（ＭＩＣＲＯＳＯＦＴ ＣＯＲＰＯＲＡＴＩＯＮ）による
ＰＣＴ出願として出願されている。

【０００２】 （技術分野） 本発明は、一般に、コンピュータセキュリティに関し、より詳細には、オンラ
インコンピュータ活動に関する証拠ベースのセキュリティポリシーマネージャに
関する。

【０００３】 （発明の背景） ユーザのシステムに対する許可のないアクセスを許すなどのセキュリティリス
クが、多くのオンライン活動に付き物である。したがって、ユーザのシステムを
保護するセキュリティ機構が開発されている。例えば、ユーザは、インターネッ
トからオンデマンドアプリケーションをダウンロードし、ブラウザ内からそのア
プリケーションを実行することができる。ユーザのシステムリソース（例えば、
ユーザのハードディスク上のディレクトリ）に対する許可のないアクセスを防止
するため、ユーザのシステムは、ブラウザ環境内で実施される「サンドボックス
」セキュリティによって保護されている。サンドボックスセキュリティは、セキ
ュアな領域の外部に常駐するシステムリソースにアプリケーションがアクセスす
るのを防止するようにアプリケーションが実行されるのが可能な、コンピュータ
メモリの限られたセキュアな領域に関わる。

【０００４】 ただし、一部の状況では、ユーザは、ダウンロードされたアプリケーションが
、ユーザのシステム内部のあるリソースに制御されたアクセスを行うのを許すこ
とを望む。例えば、ユーザは、オンデマンドワードプロセッシングアプリケーシ
ョンを使用してドキュメントを生成した後、そのドキュメントをユーザのシステ
ムの中のディレクトリに保存するのを望む。

【０００５】 そのようなアプリケーションにユーザのシステムに対するセキュアで、制御さ
れたアクセスを提供するための既存の手法は、あまりにも扱いにくく、柔軟性を
欠いている。一方では、例えば、所与のアプリケーションが許可セットに関連付
けられるセキュリティポリシーが、ポリシーデータベース内部で定義される。こ
のセキュリティポリシーは、オリジン情報、署名情報、およびアクセス制約との
組み合わせで、アプリケーションとユーザのシステムの間の「信頼される」関係
を定義するのに役立つ。

【０００６】 次の例を考慮されたい。

【０００７】

【表１】

【０００８】 この例では、ソースロケーション“ｗｗｗ．ＢｏｂｓＷｉｄｇｅｔｓ．ｃｏｍ
”からのアプレットが、ＢｏｂｓＣｅｒｔｉｆｉｃａｔｅの中に含まれる公開鍵
に対応する秘密鍵で署名されている場合、このアプレットに、あるファイルアク
セス許可を交付する。アプレットは、従来、オペレーティングシステム内から直
接にではなく、ブラウザ内から実行されるように設計されたプログラムである。
このアプレットには、ホストシステム上の「／ｔｍｐ」ディレクトリからファイ
ルを読み取り、また「／ｔｍｐ／ｂｗｄｉｒ」ディレクトリの中にファイルを作
成し、書き込む許可が交付される。別の一般的な許可修飾子が、「実行する」許
可である。その他のセキュリティポリシー指定により、例えば、アプリケーショ
ンのソースに関わらず、またはアプリケーションに署名されているか、署名され
ていないかに関わらず、任意のシステムロケーションにおける任意のファイルに
アクセスする広い許可が交付されることが可能である。

【０００９】 そのような手法では、セキュリティポリシーは、特に静的であり、長期間にわ
たり固定されたままである。インターネットを介するオンデマンドアプリケーシ
ョン処理がより一般的になるにつれ、実質的に、静的セキュリティポリシーでは
、あまりにも制約がある。さらに、実際に行われる（通常、システム管理者によ
って行われる）頻度の低いセキュリティポリシー変更は、セキュリティの弱点ま
たはセキュリティギャップを導入する、または前にアクセスの許可を受けたアプ
リケーションにアクセスを行うのを拒否することにより、許可されたアプリケー
ションが実行されるのが妨げられる可能性がある。このため、既存のセキュリテ
ィアーキテクチャは、ユーザのシステムに対するある量のアクセスをアプリケー
ション（またはアプリケーションの所与のコードアセンブリ）に任せることがで
きるかどうかを動的に、また柔軟に判定することができない。

【００１０】 （発明の概要） 本発明によれば、以上の問題およびその他の問題が、リソースロケーションか
ら受け取られたコードアセンブリに対して許可交付セットを生成する証拠ベース
のポリシーマネージャによって解決される。コードアセンブリに関連する証拠は
、セキュリティポリシー指定の中で定義されるコードグループの集合との関係で
評価される。証拠に基づき、ポリシーマネージャは、コードグループ集合の１つ
または複数のコードグループにおけるそのコードアセンブリのメンバシップを判
定する。各コードグループは、コードグループ許可セットに関連している。コー
ドアセンブリがメンバであると見なされるコードグループに関するコードグルー
プ許可セットを使用して、そのコードアセンブリに関する許可交付セットが生成
される。その後、この許可交付セットは、ランタイム呼出しスタックの中で使用
されて、コードアセンブリによる所与のシステムオペレーションが、セキュリテ
ィポリシーによって許可されるかどうか（すなわち、許可交付セットが、そのシ
ステムオペレーションに関連する許可要件を満たすかどうか）が判定される。例
えば、保護されたディレクトリに書き込むには、コードアセンブリは、その保護
されたディレクトリに対する書込みオペレーションを許可する許可交付セットに
関連付けられていなければならない。

【００１１】 本発明の実施形態では、リソースロケーションから受け取られたコードアセン
ブリに関する許可交付セットを生成するための方法が提供される。セキュリティ
ポリシー指定が、複数のコードグループを定義するポリシーマネージャによって
受け取られる。各コードグループは、コードグループ許可セットに関連している
。また、コードアセンブリに関連する証拠も、ポリシーマネージャによって受け
取られる。この証拠は、コードグループとの関係で評価されて、コードグループ
の１つまたは複数におけるコードアセンブリのメンバシップが判定される。１つ
または複数のコードグループ許可セットに基づいて許可交付セットが生成され、
各コードグループ許可セットが、コードアセンブリがメンバであるコードグルー
プに関連付けられるようになる。

【００１２】 本発明の別の実施形態では、リソースロケーションから受け取られたコードア
センブリに関する許可交付セットを生成するためのポリシーマネージャが提供さ
れる。コードアセンブリは、証拠セットに関連している。コードグループ集合生
成器（ジェネレータ）が、セキュリティポリシー指定で指定された定義に従って
少なくとも１つのコードグループ集合を作成する。各コードグループ集合は、コ
ードグループ許可セットにそれぞれが関連する複数のコードグループを有する。
メンバシップエバリュエータが、証拠セットに基づいてコードグループ集合の１
つまたは複数のコードグループにおけるコードアセンブリのメンバシップを判定
する。許可セット生成器が、１つまたは複数のコードグループ許可セットに基づ
いて許可交付セットを生成して、コードアセンブリがメンバであると判定された
コードグループに各コードグループ許可セットが関連付けられるようにする。

【００１３】 本発明のその他の実施形態では、製造品が、コンピュータプログラム製品とし
て提供される。コンピュータプログラム製品の一実施形態は、コンピュータシス
テムによって読取り可能であり、リソースロケーションから受け取られたコード
アセンブリに関する許可交付セットを生成するためのコンピュータプロセスを実
行するためのコンピュータプログラムを符号化するコンピュータプログラム記憶
媒体を提供する。コンピュータプログラム製品の別の実施形態は、コンピュータ
システムによる搬送波で実現され、リソースロケーションから受け取られたコー
ドアセンブリに関する許可交付セットを生成するためのコンピュータプログラム
を符号化するコンピュータデータ信号で提供される。リソースロケーションから
受け取られたコードアセンブリに関する許可交付セットを生成するためのコンピ
ュータプロセスをコンピュータシステム上で実行するためのコンピュータプログ
ラムを符号化するコンピュータ製品が提供される。コードアセンブリは、証拠セ
ットに関連している。複数のコードグループを有する少なくとも１つのコードグ
ループ集合を定義するセキュリティポリシー指定が受け取られる。各コードグル
ープは、コードグループ許可セットに関連している。証拠セットが、コードグル
ープ集合との関係で評価されて、コードグループ集合の１つまたは複数のコード
グループにおけるコードアセンブリのメンバシップが判定される。１つまたは複
数のコードグループ許可セットに基づいて許可交付セットが生成されて、コード
アセンブリがメンバであるコードグループに各コードグループ許可セットが関連
付けられるようになる。

【００１４】 本発明の実施形態の大きな効用は、許可交付セットを生成する際にコードグル
ープの集合が使用されることである。セキュリティポリシー指定により、コード
グループ階層およびポリシーレベルを含むことが可能な１つまたは複数のコード
グループ集合の定義が可能になる。セキュリティポリシー指定の階層的性質によ
り、セキュリティポリシーの他のすべての態様に影響を及ぼすことなく、セキュ
リティポリシーを増分式に更新することに関して高速パフォーマンスおよび柔軟
性が可能になる。ポリシーマネージャは、コードアセンブリに関連する証拠を評
価して、１つまたは複数のコードグループにおけるコードアセンブリのメンバシ
ップを動的に判定し、対応するコードグループ許可セットをコードアセンブリに
関連付ける。

【００１５】 本発明の実施形態の別の大きな効用は、許可交付セット生成の動的性質である
。許可交付セットは、コードグループ許可セットに基づいて動的に生成される。
また、コードグループ許可セット自体も、例えば、コードグループ階層をトラバ
ースして、コードアセンブリがメンバであると判定されたコードグループに関す
るコードグループ許可セットを集約することにより、動的に生成することができ
る。結果の許可交付セットが、ランタイム呼出しスタックの中で適用されて、コ
ードアセンブリによる所与のシステムオペレーションが許可されるかどうか判定
される。

【００１６】 したがって、ポリシーマネージャは、セキュリティポリシー指定および自らに
利用可能な証拠に基づいてコードアセンブリの信頼されるステータスに関する根
拠のある判定を行い、システムオペレーションを許可するようにユーザに求める
必要性がないようにすることができる。さらに、この根拠のある判定は、任意の
複雑さを有し、セキュリティポリシー処理中に動的に判定されることが可能であ
る。本発明を特徴付ける以上の特徴およびその他の様々な特徴、ならびにその他
の利点は、以下の詳細な説明を読み、関連する図面を詳しく見ることで明白とな
る。

【００１７】 （発明の詳細な説明） 本発明は、リソースロケーションから受け取られたコードアセンブリに関する
許可交付セットを生成する証拠ベースのポリシーマネージャを提供する。一般に
、コードアセンブリは、．ＥＸＥファイル、．ＤＬＬファイル、またはＰＥ（「
可搬実行可能」）ファイルなどのパッケージ化されたコードの単位である。ＰＥ
ファイル形式に関するさらなる詳細は、１９９４年３月、ｈｔｔｐ：／／ｍｓｄ
ｎ．ｍｉｃｒｏｓｏｆｔ．ｃｏｍ／ｌｉｂｒａｒｙ／ｔｅｃｈａｒｔ／ｍｓｄｎ
＿ｐｅｅｒｉｎｇｐｅ．ｈｔｍにおいてマイクロソフトディベロッパーズネット
ワーク（Ｍｉｃｒｏｓｏｆｔ Ｄｅｖｅｌｏｐｅｒｓ Ｎｅｔｗｏｒｋ）からの
論文で述べられている。ポリシーマネージャは、ランタイム環境の確認モジュー
ルおよびクラスローダと組み合わせで、コンピュータシステム（例えば、Ｗｅｂ
クライアントまたはネットワーク化されたワークステーション）において実行す
ることができる。ただし、ポリシーマネージャは、ランタイム環境の外部でも実
行することができる。コードアセンブリに対して生成された許可交付セットが、
ランタイム呼出しスタックの中で適用されて、システムが、コードアセンブリに
よる所与のシステムオペレーションが許可されるかどうかを判定するのを助ける
。ポリシーマネージャは、コードアセンブリに関連して受け取られた許可要求を
処理することができる。さらに、コードアセンブリと証拠をともに、ローカルソ
ース（例えば、ローカルのマシン内部から）、ローカルネットワークまたは周辺
機器、またはネットワーク（例えば、インターネット）を介する遠隔リソースロ
ケーションから受け取ることができる。

【００１８】 ポリシーマネージャは、セキュリティポリシーを構文解析するための実行モジ
ュール、１つまたは複数のコードグループ集合を生成するための実行モジュール
、１つまたは複数のコードグループにおける受け取られたコードアセンブリのメ
ンバシップを評価する実行モジュール、および許可交付セットを生成するための
実行モジュールを含むことが可能である。ポリシーマネージャは、セキュリティ
ポリシー指定の中で指定されたセキュリティポリシー定義に従って複数のポリシ
ーレベルを生成することができる。複数のポリシーレベルは、どのような許可を
コードアセンブリに交付することができるかを判定する目的で特定のコードアセ
ンブリに組み合わせで適用される複数のセキュリティポリシー記述から成ること
が可能である。例えば、１つのポリシーレベルが、マシン上で実行されるすべて
のコードに適用され、また別のポリシーレベルは、アセンブリの特定の実行に関
してマシンに現在、ログインしているユーザに応じて様々であることが可能であ
る。各ポリシーレベルからの許可セットをマージして、コードアセンブリに関連
し、実行スレッドのランタイム呼出しスタックの中で適用される許可交付セット
を生成することができる。

【００１９】 図１は、本発明の実施形態における証拠ベースのセキュリティポリシーマネー
ジャ１０４を描いている。Ｗｅｂサーバなどのリソースロケーション１００が、
ネットワーク（図示せず）を介してコンピュータシステム１０２（例えば、Ｗｅ
ｂクライアントまたはＷｅｂサーバ）によってアクセス可能である。リソースロ
ケーションは、一般に、ＵＲＩ（ユニフォームリソース識別子）で示され、ＵＲ
Ｉは、Ｗｏｒｌｄ Ｗｉｄｅ Ｗｅｂ上のオブジェクトを参照するすべてのタイ
プの名前およびアドレスの総称である。ＵＲＬ（ユニフォームリソースロケータ
）は、一種のＵＲＩである。例としてのリソースには、限定するものとしてでは
なく、ネットワークを介してアクセス可能なドキュメント、イメージ、オーディ
オデータ、アプリケーション、ルーチン、ならびにその他のデータおよびコード
データストアが含まれることが可能である。リソースロケーションは、コンピュ
ータシステム１０２にローカルであることもコンピュータシステム１０２に遠隔
である（例えば、インターネットで結合される）ことも可能であることを理解さ
れたい。

【００２０】 本発明の実施形態に関係のある１つのタイプのリソースが、コードアセンブリ
である。コードアセンブリは、例えば、アプレットコード、アプリケーションコ
ード、クラスコード、ルーチンコード、およびデータから成ることが可能である
。コードアセンブリに含まれるコードおよびデータは、バイトコード、中間コー
ド、マシンコード、およびデータ構成要素（クラス、イメージ、オーディオクリ
ップおよびビデオクリップ等）の形であることが可能である。さらに、リソース
ロケーションからダウンロードされる１つまたは複数のクラスを含むアーカイブ
ファイルにコードアセンブリをパッケージ化することもできる。本発明の一実施
形態では、アプリケーションのクラスを組み合わせてモジュール（リンクプロセ
スの出力）にし、また１つまたは複数のモジュールを組み合わせてコードアセン
ブリにすることができる。

【００２１】 図１は、コンピュータシステム１０２上で実行されるダウンロードされたアプ
リケーションに関して描かれている。代替の実施形態は、ダウンロードされたア
プレット、ＡＣＴＩＶＥＸコントロール、ならびにその他のルーチンおよびオブ
ジェクトを含んでいてもよい。例としてのダウンロードされたアプリケーション
は、１つまたは複数のローカルまたは遠隔のコードアセンブリにおいて定義され
たオブジェクトから成る。ローカルコードアセンブリは、コンピュータシステム
１０２内部に記憶され、必要なときにメモリの中にロードされる。遠隔コードア
センブリは、リソースロケーション１００のようなリソースロケーションからダ
ウンロードされる。

【００２２】 コンピュータシステム１０２が、ランタイム環境を開始してダウンロードされ
たアプリケーションを実行し、コンピュータシステム１０２のセキュリティを管
理する。コンピュータシステム１０２のランタイム環境は、ランタイム環境の外
部にあるオペレーティングシステムシェル、ブラウザ、ＳＱＬサーバ、またはそ
の他のコードなどの「信頼されるホスト」によって初期化されることが可能であ
る。ホスト、ローダ１１３、または他の何らかの共用リソースが、アプリケーシ
ョンを構成する様々なコードアセンブリ１０６をコンピュータシステム１０２に
ダウンロードし、実行のために仮想マシン１１０にそのコードアセンブリ１０６
を渡すことによってアプリケーションの実行を開始する。

【００２３】 仮想マシンは、別個のコンピュータの機能の多くを実行する自己完結型の動作
環境を提供する。例えば、ホストオペレーティングシステムに直接にアクセスす
ることなく、仮想マシンにおいてアプリケーションを実行することができる。こ
の設計は、少なくとも２つの利点を有する。

【００２４】 システム独立性：アプリケーションは、システムの基礎となるハードウェアお
よびソフトウェアに関わらず、そのアプリケーションが書かれているプログラミ
ング言語をサポートする任意の仮想マシンにおいて同様に実行される。例えば、
同一のアプリケーション（すなわち、同一のプログラミングコード）が、異なる
タイプのマイクロプロセッサおよび異なるタイプのオペレーティングシステムを
有する、異なるコンピュータシステム上の仮想マシンにおいて実行されることが
可能である。

【００２５】 セキュリティ：仮想マシンにおいて実行されているアプリケーションが、一般
に、保護されたシステムリソース（すなわち、オペレーティングシステム、ファ
イルシステム、メモリの保護された領域、接続されたネットワークまたは接続さ
れた周辺機器）にアクセスするのが防止される。ただし、本発明の実施形態は、
証拠およびセキュリティポリシーを評価して、アプリケーションが保護されたシ
ステムリソースにアクセスするのを許すかどうかを判定できることを理解された
い。所与のオペレーションに対する許可が交付された場合、アプリケーションは
、そのオペレーションに関して「信頼される」ものと見なされる。

【００２６】 アプリケーション構成要素（例えば、ダウンロードされたコードアセンブリ１
０６）が、コンピュータシステム１０２によって受け取られ、確認モジュール１
１２が、コードアセンブリ１０６の中のダウンロードされたコードが、適切にフ
ォーマットされており、コード言語または仮想マシン１１０の安全制約に違反し
ないことを確かめる。具体的には、実施される安全制約により、悪意がある可能
性のあるコードが、そのコードの明確に定義されたインターフェースを介する以
外で、データにアクセスすることが防止される。確認されたコードが、コードア
センブリにとってアクセス不可能な（すなわち、実行環境にとってだけアクセス
可能な）機構を介してそのコードアセンブリに関連付けられた交付された許可セ
ットを検査または変更できないことが重要である。また、ポインタアドレス指定
が存在しないこと、内部スタックにオーバーフローまたはアンダーフローが生じ
るのが不可能なこと、コード命令が正しい型付きパラメータを有することを確認
するなどのその他の確認も行うことができる。次に、コードアセンブリは、クラ
スローダ１１３に渡され、クラスローダ１１３は、そのアプリケーションが、ラ
ンタイム環境内でシステムレベル構成要素に置き換わらないことを確実にする（
すなわち、クラスローダは、ホストによって提供されたコードアセンブリが、要
求されたときに実行されることを強制し、これにより、ダウンロードされたコー
ドアセンブリとの名前の競合を排除する）。その後、クラスローダ１１３は、仮
想マシン１１０からの要求に応答してランタイム呼出しスタック１１４上にコー
ドアセンブリ１０６をロードする。

【００２７】 例えば、仮想マシンが、第２のコードアセンブリ（例えば、図２のパーサコー
ドアセンブリ）によって提供されるルーチンを呼び出す第１のコードアセンブリ
（例えば、図２のメインコードアセンブリ２０２）を実行する。クラスローダ１
１３が、第２のコードアセンブリに関する仮想マシンの要求を受け取り、第２の
コードアセンブリをランタイム呼出しスタック１１４にロードして、第１のコー
ドアセンブリが、必要とされるルーチンを呼び出すことができるようにする。

【００２８】 保護された領域に対する許可のないアクセスが防止されるのを確実にするため
、ダウンロードされたコードアセンブリ１０６のそれぞれに関連する証拠１０８
が、ポリシーマネージャ１０４に入力される。ポリシーマネージャ１０４は、各
コードアセンブリに関連する許可交付セットを判定する。また、セキュリティポ
リシー指定１１６もポリシーマネージャ１０４に入力されて、適切な交付の計算
を助ける。以上の入力に基づき、ポリシーマネージャ１０４は、各コードアセン
ブリに関する適切な交付を計算し、結果の許可交付セットをランタイム呼出しス
タック１１４に渡す。

【００２９】 このため、ランタイム呼出しスタック１１４の中の各コードアセンブリは、対
応する許可交付セット（例えば、図２の許可交付セット２０８、２１０、および
２１２）に関連付けられている。交付セットが、ポリシーマネージャから受け取
られ、対応するコードアセンブリに関して計算された様々な許可を定義する。各
コードアセンブリに関連する許可は、すべて「証拠」１０８と呼ばれる、コード
アセンブリの相対的オリジン（例えば、ローカルまたは遠隔）、コードアセンブ
リの特定のオリジン（例えば、特定のＵＲＬ）、またはコードアセンブリのその
他の信頼特性に基づいて大幅に異なる可能性がある。例としての信頼特性には、
暗号の強度が高い名前、ＡＵＴＨＥＮＴＩＣＯＤＥ署名、および証拠に関連する
その他のセキュリティが含まれることが可能である。本発明の実施形態では、証
拠を使用して所与のコードアセンブリに関する許可交付セットが判定される。さ
らに、セキュリティポリシー指定１１６により、所与のコードアセンブリの証拠
が評価される所与の企業、マシン、ユーザ、アプリケーション等に関するセキュ
リティフレームワーク内で、複数のポリシーレベルを定義することが可能である
。

【００３０】 図２は、呼び出された順序で積み重ねられた個々のコードアセンブリを含むラ
ンタイム呼出しスタック２００を表している。個々のコードアセンブリは、遠隔
リソースロケーションからダウンロードすること、または図１のコンピュータシ
ステム１０２からローカルで取り出すことが可能である。個々のコードアセンブ
リは、図１の仮想マシン１１０によるアクセスおよび実行のためにクラスローダ
１１３によってランタイム呼出しスタック１１４にロードされる。

【００３１】 代替のランタイム呼出しスタックは、呼出し連鎖の中のメソッドごとのスロッ
トを含む。交付セットは、呼出し連鎖の中のコードアセンブリ、コードアセンブ
リのモジュール、コードアセンブリのクラス、またはコードアセンブリのメソッ
ドに関連付けることができる。また、証拠も、コードアセンブリ、コードアセン
ブリのモジュール、コードアセンブリのクラス、またはコードアセンブリのメソ
ッドに関連付けることができる。

【００３２】 一実施形態では、単一のアセンブリからのメソッドを同一の許可交付セットに
関連付ける。このため、許可交付セットは、呼出し連鎖が、別のコードアセンブ
リの中のメソッドに遷移したときだけに検査すればよい（すなわち、同一のコー
ドアセンブリ内で行われる呼出しは、許可交付セット検査を必要としないことが
可能である）。あるいは、本発明の範囲内で、クラス、モジュール、またはメソ
ッドを別々の許可交付セットに関連付けてもよい。

【００３３】 例えば、コードアセンブリ２０２の中のメインアプリケーションクラスのオブ
ジェクトが、まず、クラスローダにより、図示するランタイム呼出しスタック２
００にロードされる。仮想マシンがそのメインクラスを実行すると、メインクラ
スは、コードアセンブリ２０４からパーサオブジェクトを作成し、そのパーサオ
ブジェクトの中のメソッドを呼び出してコンピュータシステムの保護された領域
の中のデータファイルを構文解析する。したがって、クラスローダが、コードア
センブリ２０４のパーサコードをランタイム呼出しスタック２００にロードする
。その後、パーサオブジェクトが、コードアセンブリ２０６からファイルアクセ
スオブジェクトを作成し、そのファイルアクセスオブジェクトの中のメソッドを
呼び出して保護されたファイルに対する読取りオペレーションを行う。したがっ
て、クラスローダが、コードアセンブリ２０６のファイルアクセスコードをラン
タイム呼出しスタック２００にロードする。

【００３４】 各許可交付セットが、ランタイム呼出しスタックの中のコードアセンブリに対
応する。このため、保護されたリソースにアクセスしようとするコードアセンブ
リの試みが、関連する許可交付セット、ならびにランタイム呼出しスタック２０
０の中のその他のコードアセンブリの許可交付セットに照らして評価される。図
２で示したアプリケーションによる保護されたファイルに対する読取りオペレー
ションの例では、メインコードアセンブリ２０２が、許可交付セット２０８に関
連している。メインコードアセンブリ２０２が、許可交付セット２１０に関連し
ているパーサコードアセンブリ２０４の中のメソッドを呼び出す（矢印２１４で
表される）。保護されたファイルにアクセスするため、パーサコードアセンブリ
２０４は、許可交付セット２１２に関連するファイルアクセスコードアセンブリ
２０６の中のメソッドを呼び出す（矢印２１６で表される）。ファイルアクセス
コードアセンブリ２０６が、保護されたファイルにアクセスすることができるか
どうかを判定するため、許可交付セット２０８と許可交付セット２１０の「共通
集合」が計算され、ファイルアクセスオペレーションが許可されるかどうかを判
定するのに使用される。例えば、許可交付セット２１０が、保護されたファイル
から読取りを行う許可を含むが、許可交付セット２０８は、それを含まない場合
には、保護されたファイルに対するアクセスが拒否される。代替の実施形態では
、その他の論理演算を使用して、ファイルアクセスオペレーションが許可される
かどうかを判定してもよい。

【００３５】 一般に、「共通集合」演算（記号「 」で表される）は、オペランドセットの
共通要素をもたらす集合演算である。例えば、Ｓｅｔ１が、要素Ａ、Ｂ、および
Ｃを含み、Ｓｅｔ２が、要素Ｂ、Ｃ、およびＤを含む場合には、Ｓｅｔ１とＳｅ
ｔ２の共通集合（すなわち、Ｓｅｔ１□Ｓｅｔ２）は、ＢおよびＣに等しい。こ
れとは対照的に、「和集合」演算（記号「∪」で表される）は、オペランドセッ
トの中のすべての要素（すなわち、セットの中のすべての要素の重複しない集合
）をもたらす集合演算である。例えば、Ｓｅｔ１が、要素Ａ、Ｂ、およびＣを含
み、Ｓｅｔ２が、要素Ｂ、Ｃ、およびＤを含む場合には、Ｓｅｔ１とＳｅｔ２の
和集合（すなわち、Ｓｅｔ１∪Ｓｅｔ２）は、Ａ、Ｂ、Ｃ、およびＤに等しい。

【００３６】 図３は、本発明の実施形態における証拠ベースのセキュリティを管理するため
のコンピュータシステムを描いている。サーバ３００が、通信網（図示せず）を
介してクライアント３０２に結合される。クライアント３０２は、ランタイム環
境（例えば、マイクロソフトコーポレーションからのＣＯＭ＋２．０ランタイム
環境）を実行してクライアント３０２上のアプリケーションの実行を管理する。
本発明の実施形態では、ランタイム環境は、確認モジュール３０４、ローダモジ
ュール３０６、およびポリシーマネージャ３０８を含む。

【００３７】 前述したとおり、仮想マシン３１２による実行のためにコードアセンブリが、
ランタイム呼出しスタック３１８にロードされる。コードアセンブリの第１のカ
テゴリは、ローカルコードアセンブリ３１４によって代表され、ローカルコード
アセンブリ３１４は、クライアント３０２上をオリジンとしているため、一般に
、信頼されるコードアセンブリと見なされる。これとは対照的に、コードアセン
ブリの第２のカテゴリは、ダウンロードされたコードアセンブリ３１６によって
代表され、ダウンロードされたコードアセンブリ３１６は、サーバ３００などの
遠隔のリソースロケーションまたは信頼されないリソースロケーションをオリジ
ンとする可能性がある。ローカルコードアセンブリ３１４は一般に、信頼され、
ダウンロードされたコードアセンブリ３１６は暗黙に、信頼されないが、この規
約は、セキュリティポリシー指定３２６で制御することができ、また管理者の必
要性を満たすように変更することができる。本発明の実施形態では、ローカルコ
ードアセンブリ３１４およびダウンロードされたコードアセンブリ３１６が、確
認のために確認モジュール３０４に入力される。その後、コードアセンブリは、
ローダモジュール３０６に入力されてランタイム呼出しスタック３１８にロード
される。

【００３８】 コードアセンブリ３１４および３１６は、一般に、各コードアセンブリに関す
る許可交付セットを計算するのに使用される証拠（または証明）に関連している
。一例としての証拠構成要素は、ＡＵＴＨＥＮＴＩＣＯＤＥ署名であることが可
能である。別の例としての証拠構成要素は、ＰＩＣＳ（インターネットコンテン
ツ選択のためのプラットフォーム）ラベルであり、ＰＩＣＳラベルは、インター
ネットリソースのプロパティ（例えば、実行可能コードがウイルス検査済みであ
る）を述べる。ＰＩＣＳラベルに関するさらなる詳細は、Ｐ．Ｒｅｓｎｉｃｋお
よびＪ．Ｍｉｌｌｅｒによる「ＰＩＣＳ：Ｉｎｔｅｒｎｅｔ Ａｃｃｅｓｓ Ｃ
ｏｎｔｒｏｌｓ ｗｉｔｈｏｕｔ Ｃｅｎｓｏｒｓｈｉｐ（検閲なしのインター
ネットアクセス管理）」、Ｃｏｍｍｕｎｉｃａｔｉｏｎｓ ｏｆ ＡＣＭ， ３
９（１９９６年）、８７−９３ページで述べられており、この論文は、ｗｗｗ．
ｗ３．ｏｒｇ／ｐｕｂ／ＷＷＷ／ＰＩＣＳ／ｉａｃｗｃｖ２．ｈｔｍにおいても
閲覧可能である。証拠のその他の例には、限定するものとしてではなく、購入の
証明またはライセンス、作成者識別子、ベンダ識別子、バージョニング情報、お
よびプログラム式の証明が含まれることが可能である。プログラム式の証明は、
例えば、他の証明によって行われたステートメントを検査し、ネットワークから
補足の情報をフェッチしてから、どの証拠ステートメントをポリシーマネージャ
３０８に提供するかを決定するプログラムコードの形態であることが可能である
。

【００３９】 コードアセンブリ自体に関する証拠は、ホストによって提供されること、また
はコードアセンブリ自体から抽出することが可能である。ローカルの、またはホ
ストによって提供される証拠３２２は、暗黙に信頼され、真であると信じられる
。ただし、ダウンロードされた、またはアセンブリによって提供された証拠３２
０は、暗黙に信頼されることはなく、自己確認が行われる（例えば、デジタル署
名されている）、または独立に確認されるものでなければならない。ダウンロー
ドされた証拠３２０は、１つまたは複数のリソースロケーションからダウンロー
ドされていることが可能であり、コードアセンブリのオリジンであるリソースロ
ケーションからダウンロードされた証拠に限定されない。

【００４０】 ローカルの証拠３２２およびダウンロードされた証拠３２０は、ポリシーマネ
ージャ３０８に入力され、ポリシーマネージャ３０８は、セキュリティポリシー
に基づいてその証拠を評価する。ポリシーマネージャ３０８内部で、証拠が、セ
キュリティポリシー指定３２６（およびオプションとして、コードアセンブリに
よって要求された許可セットを定義する許可要求３２４）との組み合わせで評価
されて、所与のコードアセンブリに対応する最終の許可交付セットが生成される
。

【００４１】 さらに、確認モジュール３０４における確認プロセス、およびポリシーマネー
ジャ３０８におけるセキュリティ管理プロセスが、同時に実行されることが可能
であり、この２つのプロセスは、互いに影響を及ぼすように通信することができ
る。例えば、ポリシーマネージャ３０８は、証拠を評価して、所与のコードアセ
ンブリの型の安全性が保証されるのを示すことができる。したがって、この型の
安全性の保証が、確認モジュール３０４に伝えられることが可能であり、確認モ
ジュール３０４は、その情報に基づいて型を検査するオペレーションをスキップ
することができる。あるいは、確認モジュール３０４が、所与のコードアセンブ
リが型の安全性の検査に合格しないと判定することができる。これに応答して、
確認モジュール３０４は、ポリシーマネージャ３０８と通信して、型の安全性の
検査に合格しなかったにも関わらず、そのコードアセンブリに実行の許可が交付
されるかどうかの照会を行うことができる。

【００４２】 図４Ａは、本発明の実施形態における証拠ベースのセキュリティを管理するた
めのポリシーマネージャを描いている。図４Ａに関連して説明した実行可能な構
成要素が、コンピュータシステム上で実行可能なソフトウェアモジュールとして
実装されていることが可能である。あるいは、ハードウェアで、またはハードウ
ェアとソフトウェアの組み合わせで実装される実行可能な構成要素も、本発明の
範囲の中で企図される。

【００４３】 ポリシーマネージャ４００が、セキュリティポリシー指定４０２および証拠セ
ット４０４を受け取るように結合される。セキュリティポリシー指定４０２は、
コードアセンブリのカテゴリ（例えば、所与の発行元によって署名されたコード
アセンブリ）を定義するのに使用することができる１つまたは複数のコードグル
ープの定義を指定する。一実施形態では、コードグループは、１つまたは複数の
コードグループ集合に構成される。あるいは、コードグループを１つまたは複数
のコードグループ階層に構成してもよい。例としてのコードグループ階層を図６
で示している。また、セキュリティポリシー指定は、１つまたは複数のポリシー
レベルも定義することができる。証拠セット４０４は、コンピュータシステムに
よって受け取られたコードアセンブリに関連する信頼特性を定義する。

【００４４】 本発明の一実施形態では、パーサ４０６が、セキュリティポリシー指定４０２
を受け取り、１つまたは複数のコードグループの定義を抽出する。各コードグル
ープは、メンバシップ基準、子定義（コードグループの０または１つ以上の子コ
ードグループを指定する）、およびコードグループ許可セットに関連している。
メンバシップ基準は、所与のコードグループに関するメンバシップの条件を指定
し、証拠セットは、対応するコードアセンブリがそのコードグループのメンバで
あると見なされるためには、その条件を満たさなければならない。子コードグル
ープ定義は、所与のコードグループの子を指定する。コードアセンブリが、第１
のコードグループ（すなわち、親コードグループ）におけるメンバシップを証明
した場合、そのコードアセンブリは、その親コードグループの子コードグループ
におけるメンバに入れるように考慮される。コードグループ許可セットは、コー
ドグループに割り当てることができる許可の集合を表す。コードアセンブリが、
コードグループのメンバであると判定された場合、関連する許可セットの許可が
、コードアセンブリに交付されることが可能であり、コードアセンブリは、ポリ
シーマネージャ内部でその他の操作を受ける。

【００４５】 その他のコードグループ実施形態には、代替のデータ構成が含まれることが可
能である。例えば、一実施形態では、コードグループ集合はそれぞれがメンバシ
ップ基準および許可セットを含み、前述の子コードグループ定義を省略するコー
ドグループの１次元リストで表される。この実施形態では、１次元リストは、順
序付けられていても、順序付けられていなくてもよい。さらに、本発明の範囲内
でその他のデータ構成も企図される。

【００４６】 本発明の例としての実施形態では、許可セットに命名を行い、セキュリティポ
リシー指定４０２の中で識別を可能にすることができる。同じ名前の付けられた
許可セットに複数のコードグループを割り当てることができる。このため、名前
付き許可セットに変更（例えば、個々の許可の挿入または削除）が行われた場合
、その変更は、その名前付き許可セットに関連するコードグループのすべてに影
響を及ぼす。例えば、異なるコードグループのメンバであるいくつかのエクスト
ラネットビジネスパートナのＷｅｂサイトに同じ許可を交付するため、単一の名
前の付けられた許可セットを定義し、そのいくつかのコードグループに割り当て
ることができる。

【００４７】 本発明の実施形態では、３つのタイプの名前付き許可セットがサポートされる
。すなわち、（１）標準の許可セット−このセットは、事前定義され、変更する
ことができない、（２）事前定義された許可セット−このセットは、管理者が変
更することができる、および（３）カスタムの許可セット−このセットは、許可
セットの名前が標準の許可セットの名前または事前定義された許可セットの名前
と競合しない限り、ユーザが定義することができる。一実施形態では、標準の許
可セットは、すべてのポリシーレベルで利用可能であり、個別のどのポリシーレ
ベルでも再定義することができない（汎用範囲）。この実施形態では、事前定義
された許可セットおよびカスタムの許可セットは、任意の所与のポリシーレベル
の中で定義されて参照され、その他のポリシーレベルからは参照することができ
ない（ポリシーレベル範囲）。ただし、本発明の代替の実施形態では、どの許可
セットの範囲も、所与のポリシーレベルを超えて広がるのが可能であることを理
解されたい。

【００４８】 表１は、本発明の実施形態で利用可能な標準の許可セットを説明している。イ
ンターネットセットおよびローカルイントラネットセットなどのいくつかの標準
の許可セットは、事前定義されているが、ユーザまたは管理者によって変更され
ることが可能である。確認スキップなどのその他の許可セットは、本発明の実施
形態では変更することができない。また、本発明の範囲内で代替の名前付き許可
セットも企図され、表１の中で説明する名前付き許可セットは、本発明を逸脱す
ることなく変更することができる。

【００４９】

【表２】

【００５０】 所与のコードグループに関連するコードグループ許可セットが、コードグルー
プに関連する許可を指定することができる。あるいは、所与のコードグループに
関連するコードグループ許可セットが、コードグループおよびすべての親元コー
ドグループに関連する許可を指定することができる。この柔軟性により、セキュ
リティポリシー指定の中で様々なセキュリティ構成（例えば、ポリシーレベル、
許可セット、メンバシップ基準等）を定義することが可能になる。以下で述べる
とおり、ポリシーマネージャは、そのような様々なセキュリティ構成に対応する
ように開発することができる。

【００５１】 一実施形態では、セキュリティポリシー指定４０２は、それぞれが１つまたは
複数のコードグループを有する複数のポリシーレベルも指定することができる。
コードグループは、１つまたは複数のコードグループ集合またはコードグループ
階層に構成することができる。ポリシーレベルにより、管理者が、例えば、異な
るマシン、異なるユーザ、異なるアプリケーション、異なる期間、異なるユーザ
グループ等に関して異なるセキュリティポリシーを定義することが可能になる。
メンバシップエバリュエータ４１０は、所与のポリシーレベルに関するポリシー
レベル許可セットを生成する際、そのポリシーレベルに関連するコードグループ
全部をトラバースする。したがって、ポリシーマネージャ４００は、個々のポリ
シーレベルに関連する許可セットを生成することができる。その後、複数のポリ
シーレベルからの許可セットを処理して（例えば、マージまたは選択して）、結
果の許可交付セット４１４を生成することができる。

【００５２】 あるいは、セキュリティポリシー指定４０２が、１つまたは複数のコードグル
ープ集合を指定し、そのコードグループ集合にわたって複数のポリシーレベルを
割り振ることができる。この割振りを実施することができる一方法には、各コー
ドグループにポリシーレベルプロパティを追加することが含まれる。この方法で
は、メンバシップエバリュエータ４１０が、コードグループ集合全部をトラバー
スして所与のポリシーレベルに関するポリシーレベル許可セットを判定する際、
コードアセンブリは、そのポリシーレベルに関連するコードグループのメンバで
あることだけが判定される。この実施形態で複数のポリシーレベルを処理するた
め、１つまたは複数のコードグループ（またはコードグループ階層）は、各ポリ
シーレベルに関して一回、トラバースされる。本発明の範囲内でコードグループ
、コードグループ集合、およびポリシーレベルを管理するための代替の方法も企
図される。

【００５３】 図示する実施形態では、コードグループ集合生成器４０８が、パーサ４０６か
ら構文解析された定義を受け取り、コンピュータシステムのメモリの中で１つま
たは複数のコードグループ集合を生成する。メンバシップエバリュエータ４１０
は、証拠セット４０４を受け取り、対応するコードアセンブリに関係する信頼特
性を抽出する。メンバシップエバリュエータ４１０は、コードグループ集合（例
としてのコードグループ階層の例示に関しては、図６を参照）全体をトラバース
して、コードアセンブリが、そのコードグループ集合の中の１つまたは複数のコ
ードグループのメンバであるかどうかを判定する。許可セット生成器４１２が、
メンバシップエバリュエータ４１０からメンバシップ判定を受け取り、適切な許
可交付セット４１４を生成する。

【００５４】 本発明の代替の実施形態では、メンバシップエバリュエータ４１０および許可
セット生成器４１４が、同一の入力証拠セット４０４から同一の許可交付セット
４１４を常に計算することを保証する場合には、出力許可交付セット４１４は、
最初に計算した後、より高いパフォーマンスのためにキャッシュに入れることが
できる。この実施形態（図示せず）では、ポリシーマネージャ４００が、入力証
拠セットから出力許可セットへのマッピングをキャッシュに入れる。証拠セット
が解決のためにポリシーマネージャに入力されたとき、ポリシーマネージャは、
まず、入力証拠セットに関してマッピングが存在するかどうかを調べる。存在す
る場合には、ポリシーマネージャは、そのマッピングの中に記憶された許可セッ
トを直接に戻し、メンバシップ生成器４１０および許可セット生成器４１２をバ
イパスする（入力証拠セットが、最終的に、キャッシュに入れられた結果と等し
い許可セットをもたらすため）。この実施形態では、ポリシーマネージャは、セ
キュリティポリシー指定４０２が変更されたときはいつでも、すべてのキャッシ
ュに入れられた証拠／許可セットマッピングを無効にする。というのは、あるセ
ットのマッピングは、特定のセキュリティポリシーに関してだけ有効だからであ
る。代替の実施形態では、所与の期間後、または所定のトリガイベントに応答し
てマッピングを無効にするなどの、その他のキャッシュポリシーも企図される。

【００５５】 本発明の複数の実施形態を使用して、セキュリティポリシー指定４０２の構成
に応じて適切な許可交付セットを生成することができる。図４Ｂで示した実施形
態では、セキュリティポリシー指定が、単一のポリシーレベルを定義しているの
が可能である。このため、その単一のポリシーレベルに関して適切な許可セット
を生成するか、または選択するだけでよい。複数のポリシーレベルに関連する許
可セットをマージする、またはその許可セットから選択を行う補足の処理は、全
く必要とされない。

【００５６】 したがって、図４Ｂで示すとおり、メンバシップ判定がコードグループ許可セ
ット生成器４１６によって受け取られ、許可セット生成器４１６が、許可交付セ
ット４１４を生成する。生成の一方法では、コードグループ許可セット生成器４
１６が、コードグループ許可セットマージャ４２０を実行して、コードアセンブ
リがメンバであると見なされるコードグループに関連するコードグループ許可セ
ットの和集合を計算する。複数のポリシーレベルが指定されている場合、このマ
ージャは、ポリシーレベルごとに実行することができる。

【００５７】 また、コードグループ許可セットの共通集合を計算し、または別のアルゴリズ
ム（例えば、重み付き、または重み付きでない選択プロセス、順序付きリストの
中で特定される第一番のもの等）に基づいてメンバコードグループから個別のコ
ードグループ許可セットを選択してコードグループ許可セット生成器４１６の出
力を決定することを限定としてではなく含む、代替の形態のマージャも本発明の
中で企図される。一例としてのマージャ操作は、「リストから第一番を選択する
」操作と呼ばれる。一実施形態では、所与のコードグループの子が、順序値また
は優先順位値に関連付けられる。したがって、所与のコードグループから戻され
るコードグループ許可セットは、コードアセンブリがメンバである最高位の子コ
ードグループの許可セットだけを含むことが可能である。あるいは、別の順序付
けアルゴリズムを使用してもよい。

【００５８】 代替の実施形態では、コードグループ許可セット生成器４１６が、コードグル
ープ許可セットセレクタ４２２を実行して適切なコードグループ許可セットを選
択し、その選択したコードグループ許可セットを許可交付セット４１４として提
供する。コードグループ許可セットセレクタ４２２の効用の例は、各子コードグ
ループが、その子コードグループの許可、およびその子コードグループの親元の
許可を反映する許可セットに関連付けられたコードグループ階層に関して説明す
ることができる。このようにすると、マージャ操作は必要ない可能性がある。と
いうのは、子コードグループに関連する許可セットによって内在的にマージャが
表されるからである。さらに別の実施形態では、コードグループ許可セットセレ
クタ４２２を使用して、コードアセンブリがメンバである「排他」コードグルー
プの許可セットを選択することができる（図５に関連する排他プロパティフラグ
記述を参照）。

【００５９】 少なくとも以上の構成において、コードグループ許可セット生成器４１６は、
コードグループ許可セットに基づいて許可交付セット４１４を生成することがで
きる。コードグループ許可セット生成器４１６は、コードグループ許可セットマ
ージャ４２０、コードグループ許可セットセレクタ４２２、代替の生成器構成要
素、または以上の構成要素の組み合わせを含むのが可能であることを理解された
い。

【００６０】 図４Ｃで示す別の実施形態では、セキュリティポリシー指定が、複数のポリシ
ーレベルを定義しているのが可能である。複数のポリシーレベルが指定されてい
る場合、メンバシップエバリュエータ４１０は、そのポリシーレベルのいくつか
、またはすべてをトラバースして、各ポリシーレベルに関するコードグループメ
ンバシップを明らかにすることができる。次に、各ポリシーレベルに関するこの
コードグループメンバシップ判定が、コードグループ許可セット生成器４１６に
渡されて、各ポリシーレベルに関するポリシーレベル許可セットが生成される。
この実施形態では、ポリシーレベル許可セット生成器４１８が、ポリシーレベル
許可セットを受け取り、その許可セットから許可交付セット４１４を生成する。
ポリシーレベル許可セットは、コードアセンブリがメンバであると見なされた１
つまたは複数のコードグループに関連するコードグループ許可セットに基づいて
生成される。

【００６１】 図４Ｃで示す実施形態では、ポリシーレベル許可セット生成器４１８は、ポリ
シーレベル許可セットセレクタ４２６を実行して適切なポリシーレベル許可セッ
トを選択するか、またはポリシーレベル許可セットマージャ４２４を実行してポ
リシーレベル許可セットの共通集合を計算する。したがって、ポリシーレベル許
可セット生成器４１８は、選択された許可セットまたはマージされた許可セット
を許可交付セット４１４として提供する。また、ポリシーレベル許可セットに対
して代替の集合演算を行い、または別の所定のアルゴリズム（例えば、順序付き
リストの中で特定される第一番の重み付き、または重み付きでない選択プロセス
等）に基づいてポリシーレベルから受け取られた個別のポリシーレベル許可セッ
トを選択してポリシーレベル許可セット生成器４１８の出力を決定することを限
定するものとしてではなく含む、代替の形態のマージャも本発明の中で企図され
る。

【００６２】 ポリシーレベル許可セットセレクタ４２６の効用の例は、他のすべてのポリシ
ーレベルまたはコードグループに取って代わるポリシーレベルまたはコードグル
ープを有するセキュリティ構成において説明することができる（図５に関連して
説明する排他プロパティを参照）。このようにすると、その他のポリシーレベル
を関係がないもの、または無視されるべきものと見なすことができるため、マー
ジャ操作は、必要としないことが可能である。少なくとも以上の構成では、ポリ
シーレベル許可セット生成器４１８が、コードグループ許可セットに基づいて許
可交付セット４１４を生成することができる。ポリシーレベル許可セット生成器
４１８は、ポリシーレベル許可セットマージャ４２４、ポリシーレベル許可セッ
トセレクタ４２６、代替の生成器構成要素、または以上の構成要素の組み合わせ
を含むのが可能であることを理解されたい。

【００６３】 図５は、本発明の実施形態においてポリシーマネージャが動作する例としての
ポリシーレベルを描いている。セキュリティポリシー指定５００がポリシーマネ
ージャ５０２上で処理されて、１つまたは複数のセキュリティポリシーレベル５
０６、５０８、および５１０が生成される（この処理は、ポリシーレベルのそれ
ぞれをポイントする破線で表される）。本発明の実施形態では、セキュリティポ
リシー指定５００は、ＸＭＬ（エクステンシブルマークアップ言語）表現として
書かれる。ただし、代替の実施形態では、ＳＧＭＬ（標準一般化マークアップ言
語）、ＨＴＭＬ（ハイパーテキストマークアップ言語）、ＲＤＦ（リソース記述
フレームワーク）、ビジュアルベーシック、およびその他の標準およびカストマ
イズされたデータ形式およびコード形式を限定するものとしてではなく含む、そ
の他のデータ形式も使用することができる。

【００６４】 本発明の実施形態では、セキュリティポリシー指定５００は、各ポリシーレベ
ルがコードグループから構成されたセキュリティポリシーの永続的な表現（例え
ば、ポリシーレベルの順序付けされた集合および／またはコードグループ集合）
である。より下位のポリシーレベルは、一般に、より高位のポリシーレベルより
制限的なポリシー制限を指定する。セキュリティポリシー指定５００は、通常、
適切な許可を有するシステム管理者、ユーザ、またはアプリケーションセットア
ッププログラムによって生成される。例としてのポリシーレベルには、限定する
ものとしてではなく、企業ポリシーレベル、マシンポリシーレベル、ユーザポリ
シーレベル、およびアプリケーションポリシーレベルが含まれることが可能であ
る。

【００６５】 本発明の一実施形態では、最高レベルのポリシーレベルは、任意の所与の企業
内部のすべてのシステムに適用されるセキュリティポリシーを定義することが可
能な企業ポリシーレベルである。より低いポリシーレベルは、所与のシステム上
のすべてのユーザに適用されるセキュリティポリシーを定義することが可能なマ
シンポリシーレベルである。ユーザポリシーレベルは、ユーザがどの個別のシス
テムにログインしているかに関わらず、所与のユーザに適用されるセキュリティ
ポリシーを定義することができる。アプリケーションポリシーレベルは、アプリ
ケーションを実行するユーザまたはシステムに関わらず、所与のアプリケーショ
ンに適用されるセキュリティポリシーを定義することができる。本発明の範囲内
で、さらなるポリシーレベルおよびポリシーレベル順序も企図される。

【００６６】 また、セキュリティポリシー指定５００は、コードグループ集合（例えば、コ
ードグループレベルの階層式集合）を使用してセキュリティを管理することもで
き、コードグループ集合は、メンバシップ条件によって定義され、許可セットお
よび特別の属性を含むか、または生成する。セキュリティポリシー指定５００は
、関連するセットの許可を有するコードグループの宣言から成る。所与のコード
グループのメンバであるコードアセンブリには、そのコードグループに関連する
許可セットからの許可が交付されることが可能である。コードグループメンバシ
ップは、デジタル署名、コードアセンブリのオリジンなどのコードアセンブリに
関連する証拠セット５０４を使用してポリシーマネージャ５０２によって判定さ
れる。管理者は、新しいコードグループに属するコードアセンブリに追加の許可
を交付するため、コードグループ集合にコードグループを追加することができる
。

【００６７】 本発明の実施形態では、コードグループに、「排他」プロパティフラグを属性
として与えることができ、このフラグは、その特定のコードグループに関連する
許可だけが、メンバのコードアセンブリに適用されるべきことを指定する。その
他のメンバコードグループからの許可セットは無視される（すなわち、マージさ
れない）。図４のコードグループ許可セットセレクタ４２２を使用して、「排他
」コードグループに関する許可セットだけを選択できることに留意されたい。

【００６８】 本発明の実施形態では、コードグループは、「オール」コードアセンブリに対
応するルートノードを有するコードグループ階層の中で定義される。このルート
ノードは、子ノードを有する親コードグループを表し、子ノードのそれぞれも、
子ノードを有することが可能であり、以下同様で、コードグループ階層が形成さ
れる。限定するものとしてではなく、コードグループの順序付けされた、または
順序付けされていないリストを含め、代替のコードグループ集合およびコードグ
ループ階層も、本発明の範囲内で企図される。ポリシーマネージャ５０２が、あ
るコードアセンブリが親コードグループのメンバであると判定した場合には、そ
のコードアセンブリは、親コードグループの子に照らして試験されて子としての
メンバシップが判定される。例としてのコードグループタイプおよびメンバシッ
プ基準を表２で説明しているが、本発明の範囲内でその他のコードグループタイ
プも企図される。さらに、コードグループタイプをプロパティに関連付けること
ができる。例えば、コードグループタイプ「ソフトウェア発行元」を「発行元：
マイクロソフト」のように、特定の発行元「マイクロソフト」に関連付けること
ができる。

【００６９】

【表３】

【００７０】 さらに、セキュリティポリシー指定５００は、複数のポリシーレベルを定義す
ることができる。図示する実施形態では、各ポリシーレベル（例えば、企業レベ
ル５０６、マシンレベル５０８、およびユーザレベル５１０）が、個別のコード
グループ階層を有する。前述したとおり、本発明の範囲内で、複数のポリシーレ
ベルが、１つまたは複数のコードグループ集合にわたって割り振られる構成など
の、その他のポリシーレベル構成を使用してもよい。例えば、単一のコードグル
ープ階層が、ルートノードの１つの子、およびその子の関連するサブツリーに各
ポリシーレベルが割り振られた、複数の子に関連する単一のルートノードを有す
ることが可能である。

【００７１】 図示する実施形態では、図４のコードグループ許可セットマージャ４２０また
はコードグループ許可セットセレクタ４２２によるなどして、各ポリシーレベル
からポリシーレベル許可セット（例えば、企業レベル許可セット５１２、マシン
レベル許可セット５１４、またはユーザレベル許可セット５１６）が生成される
。ポリシーレベル許可セットマージャ５１８が、ポリシーレベル許可セット５１
２、５１４、および５１６をマージして許可交付セット５２０を生成する。

【００７２】 代替の実施形態では、ポリシーレベル許可セットマージャ５１８をポリシーレ
ベル許可セットセレクタ（図示せず）で置換または補完して、代替のポリシーレ
ベル許可セット生成器を提供してもよい。例えば、本発明の実施形態では、「排
他」コードグループに関連するコードグループ許可セットが、その他のポリシー
レベルのポリシーレベル許可セットに取って代わることが可能である。このため
、ポリシーレベル許可セットセレクタを使用して、この「排他」コードグループ
に関連するコードグループ許可セットを選択し、その他のポリシーレベルのポリ
シーレベル許可セットを無視することができる。

【００７３】 図６は、本発明の実施形態における例としてのコードグループ階層６０１を示
している。コードグループの名前は、コードのクラスを表す。各コードグループ
は、コードグループ許可セットおよびオプションの子定義に関連している。本発
明の実施形態では、すべてのコードアセンブリが、「オール」コードグループ６
００（すなわち、図６のルートノード）のメンバである。どのコードアセンブリ
に交付される許可も、「オール」コードグループに関連する許可セットに含まれ
る。本発明の一実施形態では、「オール」コードグループに関連する許可セット
は、許可無し（すなわち、空のセット）を指定する。

【００７４】 各コードアセンブリは、「オール」コードグループの各子のメンバシップ基準
に照らして評価され、この基準は、「オール」コードグループの子定義によって
指定される。図示するとおり、図６の「オール」コードグループは、４つの子コ
ードグループ、すなわち、「発行元：マイクロソフト」６０２、「ゾーン：イン
ターネット」６０４、「ゾーン：イントラネット」６０６、および「サイト： ^* ．ｘｙｚ．ｃｏｍ」を有する。コードグループ６０２は、２つの子コードグル
ープ、すなわち、「名前：ＭＳ．Ｏｆｆｉｃｅ」６１０および「名前：ＭＳ．Ｗ
ｉｎｄｏｗｓ（登録商標）」６１２を有する。コードグループ６０６は、２つの
子コードグループ、すなわち、「発行元：ＣｏｒｐＡｄｍｉｎ」６１４および「
サイト： ^*．ＬｏｃａｌＷｅｂ．ｃｏｍ」６１６を有する。

【００７５】 コードグループのメンバシップ評価は、コードグループ階層６０１の先頭で開
始する。すべてのコードアセンブリが、「オール」コードグループ６００（すな
わち、ルートノード）のメンバである。したがって、コードアセンブリは、関連
する証拠に基づき、「オール」コードグループ６００の各子コードグループにお
けるメンバシップについて評価される。コードアセンブリがメンバである各子コ
ードグループに関して、コードアセンブリは、関連する証拠に基づき、その子コ
ードグループの子のそれぞれにおけるメンバシップについて評価される。例えば
、コードアセンブリが、「^*」がワイルドカード文字である「^*．ｘｙｚ．ｃｏｍ
」にマッチするＵＲＬを有するＷｅｂサイトからダウンロードされている場合、
そのコードアセンブリは、コードグループ６０８のメンバと見なされる。コード
アセンブリが、コードグループのメンバと見なされない場合、コードグループに
照らしてそのコードアセンブリを評価することは必要ない。このメンバシップ評
価は、ポリシーマネージャがコードグループ階層をトラバースしながら継続する
。

【００７６】 コードグループ階層の中のコードグループの特定の構成により、セキュリティ
ポリシーを分割し、精緻化することが可能になる。つまり、管理者が、特定のニ
ーズを反映させるようにコードグループ階層を構成することにより、そのニーズ
を満たすようにセキュリティポリシーを設計することができる。例えば、図示す
る実施形態では、管理者が、「発行元：マイクロソフト」コードグループ（図示
せず）、および関連する許可セットを「サイト：ｘｙｚ．ｃｏｍ」コードグルー
プ６０８の子コードグループとして挿入して、ｘｙｚ．ｃｏｍのＷｅｂサイトを
オリジンとするマイクロソフトによって発行されたコードアセンブリに許可を割
り当てることができる。追加されたコードグループおよび許可セットは、マイク
ロソフトによって発行されたすべてのコードアセンブリ（コードグループ６０２
に対応する）に影響を与えるわけではなく、マイクロソフトによって発行され、
かつｘｙｚ．ｃｏｍのＷｅｂサイトをオリジンとするコードアセンブリだけに影
響を与える。親コードグループと子コードグループの間のこの関係は、論理ＡＮ
Ｄ関係を表し、したがって、コードアセンブリは、子コードグループと親コード
グループの両方のメンバである場合にだけ、子コードグループのメンバである。
これとは対照的に、兄弟コードグループ間の関係は、論理ＯＲ関係を表し、した
がって、コードアセンブリは、１つの兄弟コードグループのメンバであること、
別の兄弟コードグループのメンバであること、または両方の兄弟コードグループ
のメンバであることが可能である。

【００７７】 また、フラットコードグループ構成も、そのような精緻化に対応することが可
能であるが、フラットコードグループ構成は、コードグループの数が増大するの
で、管理するのがはるかに困難である。さらに、コードグループ階層は、階層デ
ィレクトリ構造を表示するのに一般に使用される階層ツリービューコントロール
などでコードグループ関係を表すように、グラフィカルユーザインターフェース
で容易に表すことができる。また、階層コードグループ構成により、メンバシッ
プ評価中、コードグループ階層の大量のサブツリーがさらなるトラバースから除
外される（例えば、あるコードアセンブリが、親コードグループのメンバと見な
されない場合）ことで、パフォーマンス上の利点も提供される。

【００７８】 図７は、本発明の実施形態を実施するために役立つ例としてのシステムを示し
ている。本発明の実施形態のための例としてのコンピュータシステムには、プロ
セッサユニット７０２と、システムメモリ７０４と、システムメモリ７０４を含
む様々なシステム構成要素をプロセッサユニット７００に結合するシステムバス
７０６とを含む従来のコンピュータシステム７００の形態の汎用コンピュータデ
バイスが含まれる。システムバス７０６は、様々なバスアーキテクチャの任意の
ものを使用するメモリバスまたはメモリコントローラ、周辺バス、およびローカ
ルバスを含むいくつかのタイプのバス構造の任意のものであることが可能である
。システムメモリは、読取り専用メモリ（ＲＯＭ）７０８およびランダムアクセ
スメモリ（ＲＡＭ）７１０を含む。コンピュータシステム７００内部の要素間に
おける情報の転送を助ける基本ルーチンを含む基本入力／出力システム７１２（
ＢＩＯＳ）が、ＲＯＭ７０８の中に記憶されている。

【００７９】 コンピュータシステム７００は、ハードディスクに対して読取りおよび書込み
を行うためのハードディスクドライブ７１２と、取外し可能な磁気ディスク７１
６に対して読取りおよび書込みを行うための磁気ディスクドライブ７１４と、Ｃ
Ｄ ＲＯＭ、ＤＶＤ、またはその他の光媒体などの取外し可能な光ディスク７１
９に対して読取りおよび書込みを行うための光ディスクドライブ７１８とをさら
に含む。ハードディスクドライブ７１２、磁気ディスクドライブ７１４、および
光ディスクドライブ７１８は、それぞれ、ハードディスクドライブインターフェ
ース７２０、磁気ディスクドライブインターフェース７２２、および光ディスク
ドライブインターフェース７２４でシステムバス７０６に接続される。以上のド
ライブおよび関連するコンピュータ可読媒体により、コンピュータシステム７０
０のためのコンピュータ可読命令、データ構造、プログラム、およびその他のデ
ータの不揮発性ストーレッジが提供される。

【００８０】 本明細書で説明する例としての環境は、ハードディスク、取外し可能な磁気デ
ィスク７１６、および取外し可能な光ディスク７１９を使用するが、データを記
憶することができるその他のタイプのコンピュータ可読媒体も、例としてのシス
テムで使用することができる。例としての動作環境で使用することができるその
他のタイプのコンピュータ可読媒体の例には、磁気カセット、フラッシュメモリ
カード、デジタルビデオディスク、ベルヌーイカートリッジ、ランダムアクセス
メモリ（ＲＡＭ）、および読取り専用メモリ（ＲＯＭ）が含まれる。

【００８１】 オペレーティングシステム７２６、１つまたは複数のアプリケーションプログ
ラム７２８、その他のプログラムモジュール７３０、およびプログラムデータ７
３２を含め、いくつかのプログラムモジュールが、ハードディスク、磁気ディス
ク７１６、光ディスク７１９、ＲＯＭ７０８、またはＲＡＭ７１０の上に記憶さ
れていることが可能である。ユーザは、キーボード７３４、およびマウス７３６
またはその他のポインティングデバイスなどの入力デバイスを介してコンピュー
タシステム７００にコマンドおよび情報を入力することができる。その他の入力
デバイスの例には、マイクロホン、ジョイスティック、ゲームパッド、サテライ
トディッシュ、およびスキャナが含まれることが可能である。以上の入力デバイ
ス、およびその他の入力デバイスは、しばしば、システムバス７０６に結合され
たシリアルポートインターフェース７４０を介して処理装置７０２に接続される
。それでも、以上の入力デバイスは、パラレルポート、ゲームポート、またはユ
ニバーサルシリアルバス（ＵＳＢ）などの他のインターフェースで接続されても
よい。また、モニタ７４２または他のタイプの表示デバイスも、ビデオアダプタ
７４４などのインターフェースを介してシステムバス７０６に接続される。モニ
タ７４２に加え、コンピュータシステムは、通常、スピーカおよびプリンタなど
のその他の周辺出力デバイス（図示せず）も含む。

【００８２】 コンピュータシステム７００は、遠隔コンピュータ７４６のような１つまたは
複数の遠隔コンピュータに対する論理接続を使用するネットワーク化された環境
で動作することができる。遠隔コンピュータ７４６は、コンピュータシステム、
サーバ、ルータ、ネットワークＰＣ、ピアデバイス、またはその他の一般的なネ
ットワークノードであることが可能であり、通常、コンピュータシステム７００
に関連して前述した要素の多く、またはすべてを含む。ネットワーク接続は、ロ
ーカルエリアネットワーク（ＬＡＮ）７４８およびワイドエリアネットワーク（
ＷＡＮ）７５０を含む。そのようなネットワーキング環境は、オフィス、企業全
体のコンピュータ網、イントラネット、およびインターネットで一般的である。

【００８３】 ＬＡＮネットワーキング環境で使用される場合、コンピュータシステム７００
は、ネットワークインターフェースまたはネットワークアダプタ７５２を介して
ローカルネットワーク７４８に接続される。ＷＡＮネットワーキング環境で使用
される場合、コンピュータシステム７００は、通常、インターネットなどのワイ
ドエリアネットワーク７５０を介して通信を確立するためのモデム７５４または
その他の手段を含む。内部または外部にあることが可能なモデム７５４は、シリ
アルポートインターフェース７４０を介してシステムバス７０６に接続される。
ネットワーク化された環境では、コンピュータシステム７００に関連して描いた
プログラムモジュール、またはプログラムモジュールの部分を遠隔メモリ記憶デ
バイスの中に記憶することができる。図示したネットワーク接続は、例としての
ものであり、コンピュータ間で通信リンクを確立するその他の手段も使用できる
ことが理解されよう。

【００８４】 図示する実施形態では、セキュリティポリシー指定が、例えば、ハードディス
クドライブ７１２上のファイルからメモリ７０４に読み込まれることが可能であ
る。ＣＰＵ７０２が、仮想マシンを実装し、リソースロケーションから受け取ら
れたコードアセンブリに関する許可交付セットを生成するコンピュータプロセス
のためのメモリ常駐命令コードを実行する。さらに、ＣＰＵ７０２は、特許請求
の範囲で記載するポリシーマネージャを実装するソフトウェア構成要素も実行す
る。

【００８５】 図８は、本発明の実施形態におけるリソースロケーションから受け取られたコ
ードアセンブリに関する許可交付セットを生成するためのオペレーションを示す
流れ図である。受け取るオペレーション８００はセキュリティポリシー指定を受
け取る。作成するオペレーション８０２が、セキュリティポリシー指定から抽出
されたセキュリティポリシー定義に従って１つまたは複数のコードグループ集合
を作成または参照する。また、作成するオペレーション８０２は、その１つまた
は複数のコードグループ集合の内部で、コードグループ許可セットを適切なコー
ドグループに関連付ける。受け取るオペレーション８０４が、ランタイム環境に
ロードされたコードアセンブリに関連する、または関係する証拠を受け取る。評
価オペレーション８０６が、コードグループ階層との関係でその証拠を評価する
。メンバシップオペレーション８０８が、各コードグループのメンバシップ基準
に基づき、コードアセンブリがメンバであるコードグループを判定する。コード
アセンブリの証拠が、あるグループに関するメンバシップ基準を満たした場合、
そのコードアセンブリは、そのコードグループのメンバと見なされる。

【００８６】 生成するオペレーション８１０が、コードアセンブリがメンバであるコードグ
ループのコードグループ許可セットに基づいて許可交付セットを生成する。本発
明の一実施形態では、生成するオペレーション８１０は、コードグループ許可セ
ット生成器（例えば、図４Ｂのコードグループ許可セット生成器４１６を参照）
によって達せられる。代替の実施形態、特にセキュリティポリシー指定によって
複数のポリシーレベルが指定される実施形態では、この生成するオペレーション
は、コードグループ許可生成器（例えば、図４Ｃのコードグループ許可セット生
成器４１６を参照）とポリシーレベル許可セット生成器（例えば、図４Ｃのポリ
シーレベル許可セット生成器４１８を参照）の組み合わせによって達せられる。

【００８７】 図９は、本発明の実施形態におけるコードグループ集合をトラバースするため
のオペレーションを示す流れ図である。作成オペレーション９００が、１つまた
は複数のコードグループ階層および関連するコードグループ許可セットを初期化
して、ルートコードグループをトラバース待ち行列に入れる。受け取るオペレー
ション９０２はコードアセンブリに関連する証拠を受け取る。トラバースオペレ
ーション９０４は、ルートコードグループ（すなわち、トラバース待ち行列の中
の第１のコードグループ）で開始する。評価オペレーション９０６が、現行のコ
ードグループのメンバシップリターンとの関係で証拠を評価する。例えば、コー
ドアセンブリが、「^*」がワイルドカード文字である「^*．ｘｙｚ．ｃｏｍ」にマ
ッチするＵＲＬを有するＷｅｂサイトからダウンロードされている場合、そのコ
ードアセンブリは、「サイト：^*．ｘｙｚ．ｃｏｍ」のメンバシップ基準を有す
るコードグループのメンバと見なされる。コードアセンブリが現行のコードグル
ープのメンバと見なされた場合、判定オペレーション９０８が、オペレーション
フローを記録するオペレーション９１０に向かわせる。記録するオペレーション
９１０は、現行のコードグループのコードグループ許可セットを記録する。ある
いは、コードアセンブリが現行のコードグループのメンバと見なされなかった場
合、判定オペレーション９１０は、オペレーションフローを判定オペレーション
９１８に向かわせる。

【００８８】 記録するオペレーション９１０の後、判定オペレーション９１２が、現行のコ
ードグループが「排他的」である（すなわち、「排他」プロパティに関連してい
る）かどうかを判定する。コードグループが排他的である場合、本発明の一実施
形態におけるオペレーションフローは、許可交付オペレーション９２２に分岐し
、許可交付オペレーション９２２は、排他許可セットをそのコードアセンブリに
関する許可交付セットとして提供する。判定オペレーション９１２が、現行のコ
ードグループが排他的でないと判定した場合には、待ち行列オペレーション９１
４が、現行のコードグループの子を判定して、その子をトラバース待ち行列に追
加した後、処理が、判定オペレーション９１８に進む。

【００８９】 判定オペレーション９１８は、トラバース待ち行列が空でない場合、トラバー
スするオペレーション９１６にオペレーションフローを向かわせる。トラバース
オペレーション９１６は、トラバース待ち行列の中の次のコードグループにトラ
バースする。あるいは、判定オペレーション９１６は、トラバース待ち行列が空
である場合、マージするオペレーション９２０にオペレーションフローを向かわ
せる。イマージするオペレーション９２０は、本発明の実施形態において記録さ
れたコードグループ許可セットの和集合を計算する。次に、許可交付オペレーシ
ョン９２２が、マージするオペレーション９２０の結果を許可交付セットとして
提供する。

【００９０】 本発明の代替の実施形態では、コードアセンブリは、複数の排他的コードグル
ープのメンバであることが許されない。したがって、図９で示すオペレーション
は、排他的コードグループに遭遇し、コードアセンブリがそのグループのメンバ
であると見なされた後でさえ、コードグループ集合を通常どおりトラバースする
ように変更されている。この実施形態では、排他的コードグループに関連する許
可セットが、残りのトラバースが完了される間、またはコードアセンブリをメン
バとして有する第２の排他的コードグループに遭遇するまで記録される。第２の
グループ排他に遭遇した場合、誤りが報告される。遭遇しなかった場合、第１の
グループ排他に関連する許可セットが、許可交付オペレーション９２２で許可交
付セットとして提供される。

【００９１】 「排他」プロパティは、いくつかの可能な属性の少なくとも１つを示すことが
可能である。本発明の一実施形態では、「排他」プロパティは、コードアセンブ
リが、「排他」プロパティを有するコードグループのメンバであると見なされる
場合には、「排他」コードグループに関連する許可セットだけ（その他の許可セ
ットが除外されて）にそのコードアセンブリが関連することを示すことが可能で
ある。ただし、「排他」プロパティは、代替の属性を示すことも可能である。例
えば、本発明の代替の実施形態では、「排他」プロパティは、「排他的」コード
グループより下の他のどの許可セットも、コードアセンブリに関連付けることが
できないことを意味していてもよい。

【００９２】 本明細書で説明する本発明の実施形態は、１つまたは複数のコンピュータシス
テムにおける論理ステップとして実施される。本発明の論理オペレーションは、
（１）１つまたは複数のコンピュータシステムにおいて実行される一続きのプロ
セッサによって実施されるステップとして、また（２）１つまたは複数のコンピ
ュータシステム内部の相互に接続されたマシンモジュールとして実施される。実
施形態は、本発明を実施するコンピュータシステムのパフォーマンス要件に応じ
た選択の問題である。したがって、本明細書で説明する本発明の実施形態を構成
する論理オペレーションは、オペレーション、ステップ、オブジェクト、または
モジュールと様々に呼ばれる。

【００９３】 以上の明細、例、およびデータにより、本発明の例としての実施形態の構造お
よび使用法の完全な説明が提供される。本発明の多くの実施形態を本発明の趣旨
および範囲を逸脱することなく実施することができるので、本発明は、頭記の特
許請求の範囲に存する。

【図面の簡単な説明】

【図１】 本発明の実施形態における証拠ベースのセキュリティポリシーマネージャを描
いた図である。

【図２】 本発明の実施形態におけるランタイム呼出しスタックを示す図である。

【図３】 本発明の実施形態における証拠ベースのセキュリティを管理するためのコンピ
ュータシステムを描いた図である。

【図４Ａ】 本発明の実施形態における証拠ベースのセキュリティを管理するためのポリシ
ーマネージャを描いた図である。

【図４Ｂ】 本発明の実施形態におけるコードグループ許可セット生成器を使用して証拠ベ
ースのセキュリティを管理するためのポリシーマネージャを描いた図である。

【図４Ｃ】 本発明の実施形態における複数のポリシーレベルをサポートすることができる
証拠ベースのセキュリティを管理するためのポリシーマネージャを描いた図であ
る。

【図５】 本発明の実施形態におけるポリシーマネージャが動作する例としてのポリシー
レベルを描いた図である。

【図６】 本発明の実施形態における例としてのコードグループ階層を示す図である。

【図７】 本発明の実施形態を実施するのに役立つ例としてのシステムを示す図である。

【図８】 本発明の実施形態におけるリソースロケーションから受け取られたコードアセ
ンブリに関する許可交付セットを生成するための動作を示す流れ図である。

【図９】 本発明の実施形態におけるコードグループ階層をトラバースするための動作を
示す流れ図である。

───────────────────────────────────────────────────── フロントページの続き (81)指定国 ＥＰ(ＡＴ，ＢＥ，ＣＨ，ＣＹ， ＤＥ，ＤＫ，ＥＳ，ＦＩ，ＦＲ，ＧＢ，ＧＲ，ＩＥ，Ｉ Ｔ，ＬＵ，ＭＣ，ＮＬ，ＰＴ，ＳＥ，ＴＲ)，ＯＡ(ＢＦ ，ＢＪ，ＣＦ，ＣＧ，ＣＩ，ＣＭ，ＧＡ，ＧＮ，ＧＷ， ＭＬ，ＭＲ，ＮＥ，ＳＮ，ＴＤ，ＴＧ)，ＡＰ(ＧＨ，Ｇ Ｍ，ＫＥ，ＬＳ，ＭＷ，ＭＺ，ＳＤ，ＳＬ，ＳＺ，ＴＺ ，ＵＧ，ＺＷ)，ＥＡ(ＡＭ，ＡＺ，ＢＹ，ＫＧ，ＫＺ， ＭＤ，ＲＵ，ＴＪ，ＴＭ)，ＡＥ，ＡＧ，ＡＬ，ＡＭ， ＡＴ，ＡＵ，ＡＺ，ＢＡ，ＢＢ，ＢＧ，ＢＲ，ＢＹ，Ｂ Ｚ，ＣＡ，ＣＨ，ＣＮ，ＣＯ，ＣＲ，ＣＵ，ＣＺ，ＤＥ ，ＤＫ，ＤＭ，ＤＺ，ＥＣ，ＥＥ，ＥＳ，ＦＩ，ＧＢ， ＧＤ，ＧＥ，ＧＨ，ＧＭ，ＨＲ，ＨＵ，ＩＤ，ＩＬ，Ｉ Ｎ，ＩＳ，ＪＰ，ＫＥ，ＫＧ，ＫＰ，ＫＲ，ＫＺ，ＬＣ ，ＬＫ，ＬＲ，ＬＳ，ＬＴ，ＬＵ，ＬＶ，ＭＡ，ＭＤ， ＭＧ，ＭＫ，ＭＮ，ＭＷ，ＭＸ，ＭＺ，ＮＯ，ＮＺ，Ｐ Ｌ，ＰＴ，ＲＯ，ＲＵ，ＳＤ，ＳＥ，ＳＧ，ＳＩ，ＳＫ ，ＳＬ，ＴＪ，ＴＭ，ＴＲ，ＴＴ，ＴＺ，ＵＡ，ＵＧ， ＵＺ，ＶＮ，ＹＵ，ＺＡ，ＺＷ (72)発明者 ローレン エム．コーンフェルダー アメリカ合衆国 98007−6937 ワシント ン州 ベルビュー ノース イースト セ カンド ストリート 14121 (72)発明者 グレゴリー ダレル フィー アメリカ合衆国 98034 ワシントン州 カークランド 100 アベニュー ノース イースト 12036 アパートメント イ ー303 (72)発明者 マイケル ジェー．ツートンギ アメリカ合衆国 98115 ワシントン州 シアトル 19 アベニュー ノース イー スト 7752 Ｆターム(参考） 5B017 AA07 BA06 【要約の続き】 ための実行モジュールとを含むことが可能である。ポリ シーマネージャは、セキュリティポリシー指定の中で指 定されたセキュリティポリシー定義に従って複数のポリ シーレベルを生成することができる。各ポリシーレベル からの許可をマージして、コードアセンブリに関連する 許可交付セットを生成し、実行スレッドのランタイム呼 出しスタックの中で適用することができる。

Claims (56)

【特許請求の範囲】
1. 【請求項１】 リソースロケーションから受け取られたコードアセンブリに
   関する許可交付セットを生成するための方法であって、 コードグループ許可セットにそれぞれが関連する複数のコードグループを定義
   するセキュリティポリシー指定を受け取るオペレーション、 前記コードアセンブリに関連する証拠を受け取るオペレーション、 前記コードグループに関連する前記証拠を評価して前記コードグループの１つ
   または複数における前記コードアセンブリのメンバシップを判定するオペレーシ
   ョン、および 前記コードアセンブリがメンバであるコードグループにそれぞれが関連する１
   つまたは複数のコードグループ許可セットに基づいて前記許可交付セットを生成
   するオペレーション を含むことを特徴とする方法。
2. 【請求項２】 前記生成するオペレーションが、前記１つまたは複数のコー
   ドグループに関連する許可に基づいてコードグループ許可セットを動的に生成す
   るオペレーションを含むことを特徴とする請求項１に記載の方法。
3. 【請求項３】 前記生成するオペレーションが、前記コードアセンブリがメ
   ンバである前記コードグループに関連するコードグループ許可セットに対して論
   理集合演算を計算して前記許可交付セットを生成するオペレーションを含むこと
   を特徴とする請求項１に記載の方法。
4. 【請求項４】 前記計算するオペレーションが、前記コードグループの順序
   値に基づいて前記論理集合演算を計算するオペレーションを含むことを特徴とす
   る請求項３に記載の方法。
5. 【請求項５】 前記生成するオペレーションが、前記コードアセンブリがメ
   ンバであるコードグループに関連する前記コードグループ許可セットの和集合を
   計算して前記許可交付セットを生成するオペレーションを含むことを特徴とする
   請求項１に記載の方法。
6. 【請求項６】 セキュリティポリシー指定が、前記複数のコードグループに
   関連する少なくとも１つのコードグループ集合を定義し、前記生成するオペレー
   ションが、前記コードアセンブリがメンバである前記コードグループ集合の個別
   のコードグループに関連するコードグループ許可セットを選択して、前記許可交
   付セットを生成するオペレーションを含むことを特徴とする請求項１に記載の方
   法。
7. 【請求項７】 前記セキュリティポリシー指定が、前記少なくとも１つのコ
   ードグループ集合をコードグループ階層として定義することを特徴とする請求項
   ６に記載の方法。
8. 【請求項８】 前記単一のコードグループに関連する前記コードグループ許
   可セットが選択されて前記許可交付セットが生成されるべきことを示す、前記単
   一のコードグループに関連する排他プロパティをさらに含むことを特徴とする請
   求項６に記載の方法。
9. 【請求項９】 コードグループ階層の中の単一のコードグループより下に存
   在するコードグループに関連するどのコードグループ許可セットを使用しても前
   記許可交付セットが生成されないことを示す、前記単一のコードグループに関連
   する排他プロパティをさらに含むことを特徴とする請求項８に記載の方法。
10. 【請求項１０】 前記セキュリティポリシー指定が、前記複数のコードグル
    ープに関連するポリシーレベルをさらに定義し、また前記生成するオペレーショ
    ンが、 前記コードアセンブリがメンバであるコードグループに関連する前記コードグ
    ループ許可セットの和集合を計算してポリシーレベル許可セットを生成するオペ
    レーション、および 前記ポリシーレベル許可セットに基づいて前記許可交付セットを生成するオペ
    レーションを含むことを特徴とする請求項１に記載の方法。
11. 【請求項１１】 前記セキュリティポリシー指定が、前記複数のコードグル
    ープに関連する少なくとも１つのコードグループ集合、および前記少なくとも１
    つのコードグループ集合に関連するポリシーレベルをさらに定義し、また前記生
    成するオペレーションが、 前記コードアセンブリがメンバである前記コードグループ集合の個別のコード
    グループに関連するコードグループ許可セットを選択してポリシーレベル許可セ
    ットを生成するオペレーション、および 前記ポリシーレベル許可セットに基づいて前記許可交付セットを生成するオペ
    レーション を含むことを特徴とする請求項１に記載の方法。
12. 【請求項１２】 前記セキュリティポリシー指定が、前記複数のコードグル
    ープにそれぞれが関連する複数のポリシーレベルをさらに定義し、また前記生成
    するオペレーションが、 各ポリシーレベルに関して、前記コードアセンブリがメンバである前記ポリシ
    ーレベルの前記コードグループの中の個別のコードグループに関連するコードグ
    ループ許可セットを選択して対応するポリシーレベル許可セットを生成するオペ
    レーション、および 前記対応するポリシーレベル許可セットをマージして前記許可交付セットを生
    成するオペレーションを含むことを特徴とする請求項１に記載の方法。
13. 【請求項１３】 前記マージするオペレーションが、各ポリシーレベルに関
    連する前記対応するポリシーレベル許可セットの共通集合を計算するオペレーシ
    ョンを含むことを特徴とする請求項１２に記載の方法。
14. 【請求項１４】 前記セキュリティポリシー指定が、複数のコードグループ
    にそれぞれが関連する複数のポリシーレベルをさらに定義し、また前記生成する
    オペレーションが、 各ポリシーレベルに関して、前記コードアセンブリがメンバである前記ポリシ
    ーレベルのコードグループに関連する前記コードグループ許可セットの和集合を
    計算して対応するポリシーレベル許可セットを生成するオペレーション、および 前記対応するポリシーレベル許可セットをマージして前記許可交付セットを生
    成するオペレーションを含むことを特徴とする請求項１に記載の方法。
15. 【請求項１５】 前記マージするオペレーションが、各ポリシーレベルに関
    連する前記対応するポリシーレベル許可セットの共通集合を計算するオペレーシ
    ョンを含むことを特徴とする請求項１４に記載の方法。
16. 【請求項１６】 前記セキュリティポリシー指定が、前記複数のコードグル
    ープに関連する複数の順序付けされたポリシーレベルをさらに定義して、第１の
    ポリシーレベルが、第２のポリシーレベルより制限的なセキュリティポリシーを
    定義するようにすることを特徴とする請求項１に記載の方法。
17. 【請求項１７】 前記セキュリティポリシー指定から、前記複数のコードグ
    ループの中のコードグループに関するメンバシップ基準を抽出するオペレーショ
    ンをさらに含むことを特徴とする請求項１に記載の方法。
18. 【請求項１８】 前記評価するオペレーションが、 前記証拠から１つまたは複数の信頼特性を抽出するオペレーション、 前記メンバシップ基準との関係で前記信頼特性を評価するオペレーション、お
    よび 前記１つまたは複数の信頼特性が前記メンバシップ基準を満たす場合、前記コ
    ードアセンブリを前記コードグループのメンバとして識別するオペレーションを
    含むことを特徴とする請求項１７に記載の方法。
19. 【請求項１９】 前記セキュリティポリシー指定から、前記複数のコードグ
    ループの中の各コードグループに関するコードグループ許可セットを抽出するオ
    ペレーションをさらに含むことを特徴とする請求項１に記載の方法。
20. 【請求項２０】 前記セキュリティポリシー指定が、前記複数のコードグル
    ープに関連する少なくとも１つのコードグループ階層を記述し、各コードグルー
    プ集合が、親コードグループを含む方法であって、 前記セキュリティポリシー指定から、前記少なくとも１つのコードグループ集
    合の中の前記親コードグループの少なくとも１つの子コードグループの定義を抽
    出するオペレーションをさらに含むことを特徴とする請求項１に記載の方法。
21. 【請求項２１】 前記評価するオペレーションが、 前記コードアセンブリが、前記親コードグループのメンバであるかどうかを判
    定するオペレーション、および 前記コードアセンブリが前記親コードグループのメンバである場合、前記コー
    ドアセンブリが、前記少なくとも１つの子コードグループのメンバであるかどう
    かを判定するオペレーションを含むことを特徴とする請求項２０に記載の方法。
22. 【請求項２２】 前記コードアセンブリに対して確認を行うこと、 前記確認を行うオペレーションにおける前記コードアセンブリの確認の失敗を
    検出するオペレーション、および 前記許可交付セットに基づき、前記確認の失敗にも関わらず、前記コードアセ
    ンブリを実行することができるかどうかを判定するオペレーション をさらに含むことを特徴とする請求項１に記載の方法。
23. 【請求項２３】 前記許可交付セットに基づき、確認プロセスのステップが
    不必要であると判定するオペレーション、 前記確認プロセスの前記ステップをバイパスできることを確認モジュールに伝
    えるオペレーション、 前記確認モジュールを使用して前記コードアセンブリに対して前記確認プロセ
    スを行うこと、および 前記伝えるオペレーションに応答して前記確認プロセスの前記ステップをバイ
    パスするオペレーション をさらに含むことを特徴とする請求項１に記載の方法。
24. 【請求項２４】 コンピュータシステムによる搬送波で実現され、リソース
    ロケーションから受け取られたコードアセンブリに関する許可交付セットを生成
    するコンピュータプロセスを実行するためのコンピュータプログラムを符号化す
    るコンピュータデータ信号であって、前記コンピュータプロセスが、 コードグループ許可セットにそれぞれが関連する複数のコードグループを定義
    するセキュリティポリシー指定を受け取るオペレーション、 前記コードアセンブリに関連する証拠を受け取るオペレーション、 前記コードグループに関連する前記証拠を評価して前記１つまたは複数のコー
    ドグループにおける前記コードアセンブリのメンバシップを判定するオペレーシ
    ョン、および 前記コードアセンブリがメンバであるコードグループにそれぞれが関連する１
    つまたは複数のコードグループ許可セットに基づいて前記許可交付セットを生成
    するオペレーション を含むことを特徴とする信号。
25. 【請求項２５】 コンピュータシステムによって読取り可能な、リソースロ
    ケーションから受け取られたコードアセンブリに関する許可交付セットを生成す
    るコンピュータプロセスを実行するためのコンピュータプログラムを符号化する
    コンピュータプログラム記憶媒体であって、 前記コンピュータプロセスが、 コードグループ許可セットにそれぞれが関連する複数のコードグループを定義
    するセキュリティポリシー指定を受け取るオペレーション、 前記コードアセンブリに関連する証拠を受け取るオペレーション、 前記コードグループに関連する前記証拠を評価して１つまたは複数のコードグ
    ループにおける前記コードアセンブリのメンバシップを判定するオペレーション
    、および 前記コードアセンブリがメンバであるコードグループにそれぞれが関連する１
    つまたは複数のコードグループ許可セットに基づいて前記許可交付セットを生成
    するオペレーション を含むことを特徴とする媒体。
26. 【請求項２６】 リソースロケーションから受け取られた、証拠セットに関
    連するコードアセンブリに関する許可交付セットを生成するためのポリシーマネ
    ージャであって、 セキュリティポリシー指定の中で指定された定義に従い、コードグループ許可
    セットにそれぞれが関連する複数のコードグループをそれぞれが有する少なくと
    も１つのコードグループ集合を作成するコードグループ集合生成器と、 前記証拠セットに基づいて前記少なくとも１つのコードグループ集合の１つま
    たは複数のコードグループにおける前記コードアセンブリのメンバシップを判定
    するメンバシップエバリュエータと、 前記コードアセンブリがメンバであると判定されたコードグループにそれぞれ
    が関連する１つまたは複数のコードグループ許可セットに基づいて前記許可交付
    セットを生成する許可セット生成器とを含むことを特徴とするマネージャ。
27. 【請求項２７】 前記セキュリティポリシー指定を読取り、前記少なくとも
    １つのコードグループ集合の前記定義を生成するパーサをさらに含むことを特徴
    とする請求項２６に記載のポリシーマネージャ。
28. 【請求項２８】 前記許可セット生成器が、前記コードアセンブリがメンバ
    である前記コードグループ集合の個別のコードグループのコードグループ許可セ
    ットを選択して前記許可交付セットを生成するコードグループ許可セットセレク
    タを含むことを特徴とする請求項２６に記載のポリシーマネージャ。
29. 【請求項２９】 前記許可セット生成器が、前記コードアセンブリがメンバ
    であるコードグループに関連する前記コードグループ許可セットの論理集合演算
    を計算して前記許可交付セットを生成するコードグループ許可セットマージャを
    含むことを特徴とする請求項２６に記載のポリシーマネージャ。
30. 【請求項３０】 前記論理集合演算が、各コードグループに関連する順序に
    基づくことを特徴とする請求項２９に記載のポリシーマネージャ。
31. 【請求項３１】 前記許可セット生成器が、前記コードアセンブリがメンバ
    であるコードグループに関連する前記コードグループ許可セットの和集合を計算
    して前記許可交付セットを生成するコードグループ許可セットマージャを含むこ
    とを特徴とする請求項２６に記載のポリシーマネージャ。
32. 【請求項３２】 前記コードグループ集合生成器が、前記セキュリティポリ
    シー指定の中で指定された、コードグループ集合にそれぞれが関連する複数のポ
    リシーレベルを生成するポリシーマネージャであって、 前記許可セット生成器が、 前記１つまたは複数のコードグループ許可セットに基づいて複数のポリシーレ
    ベル許可セットを生成するコードグループ許可セット生成器と、 前記コードグループ許可セット生成器から前記複数のポリシーレベル許可セッ
    トを受け取るように結合され、前記ポリシーレベル許可セットに基づいて前記許
    可交付セットを生成するポリシーレベル許可セット生成器とを含むことを特徴と
    する請求項２６に記載のポリシーマネージャ。
33. 【請求項３３】 前記コードグループ許可セット生成器が、前記コードアセ
    ンブリがメンバである前記コードグループ集合の個別のコードグループに関連す
    るコードグループ許可セットを選択して前記ポリシーレベル許可セットを生成す
    るコードグループ許可セットセレクタを含むことを特徴とする請求項３２に記載
    のポリシーマネージャ。
34. 【請求項３４】 前記コードグループ許可セット生成器が、前記コードアセ
    ンブリがメンバであるコードグループに関連する前記コードグループ許可セット
    の和集合を計算して前記ポリシーレベル許可セットを生成するコードグループ許
    可セットマージャを含むことを特徴とする請求項３２に記載のポリシーマネージ
    ャ。
35. 【請求項３５】 前記ポリシーレベル許可セット生成器が、前記コードグル
    ープ許可セット生成器から受け取られた前記ポリシーレベル許可セットをマージ
    して前記許可交付セットを生成するポリシーレベル許可セットマージャを含むこ
    とを特徴とする請求項３２に記載のポリシーマネージャ。
36. 【請求項３６】 前記ポリシーレベル許可セットマージャが、各ポリシーレ
    ベルに関連する前記ポリシーレベル許可セットの共通集合を計算することを特徴
    とする請求項３５に記載のポリシーマネージャ。
37. 【請求項３７】 リソースロケーションから受け取られた、証拠セットに関
    連するコードアセンブリに関する許可交付セットを生成するためのコンピュータ
    プロセスをコンピュータシステム上で実行するためのコンピュータプログラムを
    符号化するコンピュータプログラム製品であって、 前記コンピュータプロセスが、 コードグループ許可セットにそれぞれが関連する１つまたは複数のコードグル
    ープを有する少なくとも１つのコードグループ集合を定義するセキュリティポリ
    シー指定を受け取るオペレーション、 前記コードグループ集合との関係で前記証拠セットを評価して、前記コードグ
    ループ集合の１つまたは複数のコードグループにおける前記コードアセンブリの
    メンバシップを判定するオペレーション、および 前記コードアセンブリがメンバであるコードグループにそれぞれが関連する１
    つまたは複数のコードグループ許可セットに基づいて前記許可交付セットを生成
    するオペレーション を含むことを特徴とする製品。
38. 【請求項３８】 前記生成するオペレーションが、前記コードアセンブリが
    メンバである前記コードグループ集合のコードグループに関連する前記コードグ
    ループ許可セットの和集合を計算して前記許可交付セットを生成するオペレーシ
    ョンを含むことを特徴とする請求項３７に記載のプログラム製品。
39. 【請求項３９】 前記生成するオペレーションが、前記コードアセンブリが
    メンバである前記コードグループ集合の個別のコードグループに関連するコード
    グループ許可セットを選択して前記許可交付セットを生成するオペレーションを
    含むことを特徴とする請求項３７に記載のプログラム製品。
40. 【請求項４０】 前記セキュリティポリシー指定が、前記１つまたは複数の
    コードグループに関連する複数のポリシーレベルをさらに定義し、また前記生成
    するオペレーションが、 各ポリシーレベルに関して、前記コードアセンブリがメンバであるコードグル
    ープに関連する前記コードグループ許可セットの和集合を計算して、対応するポ
    リシーレベル許可セットを生成するオペレーション、および 各ポリシーレベルの前記対応するポリシーレベル許可セットに基づいて前記許
    可交付セットを生成するオペレーション を含むことを特徴とする請求項３７に記載のプログラム製品。
41. 【請求項４１】 １つまたは複数のコードグループ許可セットに基づいて前
    記許可交付セットを生成するオペレーションが、各ポリシーレベルに関連する前
    記対応するポリシーレベル許可セットの共通集合を計算するオペレーションをさ
    らに含むことを特徴とする請求項４０に記載のプログラム製品。
42. 【請求項４２】 １つまたは複数のコードグループ許可セットに基づいて前
    記許可交付セットを生成するオペレーションが、前記対応するポリシーレベル許
    可セットのサブセットの共通集合を計算するオペレーションをさらに含むことを
    特徴とする請求項４０に記載のプログラム製品。
43. 【請求項４３】 前記コンピュータプロセスが、前記セキュリティポリシー
    指定から、前記複数のコードグループの中のコードグループに関するメンバシッ
    プ基準を抽出するオペレーションをさらに含むことを特徴とする請求項３７に記
    載のプログラム製品。
44. 【請求項４４】 前記評価するオペレーションが、前記証拠から１つまたは
    複数の信頼特性を抽出するオペレーション、 前記メンバシップ基準との関係で前記信頼特性を評価するオペレーション、お
    よび 前記信頼特性が前記メンバシップ基準を満たす場合、前記コードアセンブリを
    前記コードグループのメンバとして識別するオペレーション を含むことを特徴とする請求項４３に記載のプログラム製品。
45. 【請求項４５】 前記コンピュータプロセスが、 前記証拠と関連して前記許可交付セットをキャッシュに入れるオペレーション
    、および 前記証拠が後に受け取られたのに応答して、前記証拠を再評価することなしに
    前記許可交付セットを出力するオペレーションをさらに含むことを特徴とする請
    求項３７に記載のプログラム製品。
46. 【請求項４６】 リソースロケーションから受け取られた、証拠に関連する
    コードアセンブリに関係するセキュリティ管理を提供するコンピュータシステム
    であって、 セキュリティポリシー指定によって定義された少なくとも１つのコードグルー
    プ集合の中で構成された１つまたは複数のコードグループとの関係で前記証拠を
    評価して許可交付セットを生成するポリシーマネージャと、 前記許可交付セットを前記コードアセンブリに関連付けるランタイム呼出しス
    タックと、 前記許可交付セットがオペレーションに関連する許可要件を満たす場合、前記
    オペレーションを行うように前記コードアセンブリを実行する仮想マシンとを含
    むことを特徴とするシステム。
47. 【請求項４７】 前記ポリシーマネージャが、前記コードグループ集合との
    関係で前記証拠を評価して、前記コードグループ集合の１つまたは複数のコード
    グループにおける前記コードアセンブリのメンバシップを判定するメンバシップ
    エバリュエータを含むことを特徴とする請求項４６に記載のコンピュータシステ
    ム。
48. 【請求項４８】 前記ポリシーマネージャが、前記コードアセンブリがメン
    バであるコードグループにそれぞれが関連する１つまたは複数のコードグループ
    許可セットに基づいて前記許可交付セットを生成する許可セット生成器をさらに
    含むことを特徴とする請求項４７に記載のコンピュータシステム。
49. 【請求項４９】 リソースロケーションから受け取られたコードアセンブリ
    を確認する方法であって、 セキュリティポリシーを定義するセキュリティポリシー指定を受け取ること、 前記コードアセンブリに関連する証拠を受け取るオペレーション、 前記セキュリティポリシーとの関係で前記証拠を評価するオペレーション、 前記コードアセンブリに対して確認を行うオペレーション、 確認を行うオペレーションにおける前記コードアセンブリの確認の失敗を検出
    するオペレーション、および 前記評価するオペレーションに応答して、前記確認の失敗にも関わらず、前記
    コードアセンブリを実行することができるかどうかを判定するオペレーション を含むことを特徴とする方法。
50. 【請求項５０】 前記証拠を受け取るオペレーションが、前記コードアセン
    ブリのクラスに関連する証拠を受け取るオペレーションを含むことを特徴とする
    請求項４９に記載の方法。
51. 【請求項５１】 前記証拠を受け取るオペレーションが、前記コードアセン
    ブリのモジュールに関連する証拠を受け取るオペレーションを含むことを特徴と
    する請求項４９に記載の方法。
52. 【請求項５２】 前記証拠を受け取るオペレーションが、前記コードアセン
    ブリのメソッドに関連する証拠を受け取るオペレーションを含むことを特徴とす
    る請求項４９に記載の方法。
53. 【請求項５３】 リソースロケーションから受け取られたコードアセンブリ
    を確認する方法であって、 セキュリティポリシーを定義するセキュリティポリシー指定を受け取るオペレ
    ーション、 前記コードアセンブリに関連する証拠を受け取るオペレーション、 前記セキュリティポリシーとの関係で前記証拠を評価するオペレーション、 前記評価するオペレーションに応答して許可交付セットを生成するオペレーシ
    ョン、 前記許可交付セットに基づき、確認プロセスのステップが不必要であると判定
    するオペレーション、 前記確認プロセスの前記ステップをバイパスできることを確認モジュールに伝
    えるオペレーション、 前記確認モジュールを使用して前記コードアセンブリに対して前記確認プロセ
    スを行うオペレーション、および 前記伝えるオペレーションに応答して前記確認プロセスの前記ステップをバイ
    パスするオペレーション を含むことを特徴とする方法。
54. 【請求項５４】 前記生成するオペレーションが、前記評価するオペレーシ
    ョンに応答して、前記コードアセンブリのモジュールに関連して前記許可交付セ
    ットを生成するオペレーションを含むことを特徴とする請求項５３に記載の方法
    。
55. 【請求項５５】 前記生成するオペレーションが、前記評価するオペレーシ
    ョンに応答して、前記コードアセンブリのクラスに関連して前記許可交付セット
    を生成するオペレーションを含むことを特徴とする請求項５３に記載の方法。
56. 【請求項５６】 前記生成するオペレーションが、前記評価するオペレーシ
    ョンに応答して、前記コードアセンブリのメソッドに関連して前記許可交付セッ
    トを生成するオペレーションを含むことを特徴とする請求項５３に記載の方法。