JP2006127504A

JP2006127504A - 軽量ディレクトリアクセスプロトコルトラフィックのセキュリティ保護

Info

Publication number: JP2006127504A
Application number: JP2005297613A
Authority: JP
Inventors: Ariel Katz; カッツアリエル; Ron Mondri; モンドリロン
Original assignee: Microsoft Corp
Current assignee: Microsoft Corp
Priority date: 2004-10-28
Filing date: 2005-10-12
Publication date: 2006-05-18
Anticipated expiration: 2025-10-12
Also published as: EP1653710A1; US7577132B2; ATE519323T1; KR20060049122A; US20060168255A1; EP1653710B1; KR101213806B1; JP4880278B2

Abstract

【課題】軽量ディレクトリアクセスプロトコル（ＬＤＡＰ）を使用するトラフィックをセキュリティ保護するために使用され得る技術を提供する。
【解決手段】方法は、クライアントとサーバの間の通信のために、軽量ディレクトリアクセスプロトコル（ＬＤＡＰ）に従って構成されたデータをインターセプトすることを含む。データ内に指定されたＬＤＡＰ動作の実施が許可されるかどうか判断するために、１つまたは複数のポリシーがデータに適用される。実施が許可されない場合は、ＬＤＡＰ動作は、修正済みのＬＤＡＰ動作の実施が許可されるように修正される。
【選択図】図４

Description

本発明は、一般には、データ管理の分野に関し、より詳細には、軽量ディレクトリアクセスプロトコルトラフィックをセキュリティ保護することに関する。

（頭文字「ＬＤＡＰ」によって参照されることもある）軽量ディレクトリアクセスプロトコル（ＬｉｇｈｔＷｅｉｇｈｔＤｉｒｅｃｔｏｒｙＡｃｃｅｓｓＰｒｏｔｏｃｏｌ）は、（オペレーティングシステムコンポーネント、スタンドアロンアプリケーションなどの）アプリケーションモジュールが幅広い種類のデータにアクセスするために使用し得るインターネットプロトコルである。たとえば、アプリケーションモジュールは、ＬＤＡＰサーバからの連絡先情報にアクセスし得る。ＬＤＡＰサーバは、ディレクトリのような情報が格納され、検索され、表示され、更新されることを可能にする。たとえば、ＬＤＡＰサーバは、組織または組織単位のための中央ディレクトリとして配置され得る。さらに、ＬＤＡＰサーバは、ユーザおよびコンピュータのアカウント識別の管理のために使用されることができ、したがって、ユーザ認証で使用するために配置され得る。

しかし、実装によっては、ＬＤＡＰサーバは、潜在的に信頼できないクライアントから保護されないデータを含むことがあり、それによって、ＬＤＡＰサーバ、およびそれ上でアクセス可能なデータが、悪意のある関係者からの攻撃にさらされる可能性がもたらされる。たとえば、ＬＤＡＰサーバは、ＬＤＡＰディレクトリ内に、ユーザアカウント情報、企業のサーバ位置などの機密データを含み得る企業の内部情報を含むように構成されることができる。したがって、企業の環境の内部に位置するクライアントは、（たとえば企業イントラネットを介して）ＬＤＡＰディレクトリにアクセスして、たとえばサーバ管理およびユーザ認証のための所望のデータを取得することができる。しかし、この環境の「外部」に位置するクライアントもまた、「電子商取引」の目的でユーザアカウントにアクセスするなどのために、（たとえばインターネットを介して）このデータにアクセスすることを望み得る。したがって、ＬＤＡＰサーバが企業イントラネットの「内部」に位置し得るとしても、こうしたＬＤＡＰディレクトリは、企業イントラネットの外部のクライアントにやはり公開されることがあり、その結果として、このデータの取得を試みるハッカーによる攻撃に、それに伴ってさらされるということになり得る。

したがって、軽量ディレクトリアクセスプロトコルを使用するトラフィックをセキュリティ保護するために使用され得る技術が引き続き求められている。

軽量ディレクトリアクセスプロトコルに従って構成されたトラフィックをセキュリティ保護するために実行可能な軽量ディレクトリアクセスプロトコルフィルタモジュール（ＬＤＡＰフィルタモジュール）について述べる。たとえば、ＬＤＡＰフィルタモジュールは、軽量ディレクトリアクセスプロトコルに従ってデータを編成するＬＤＡＰディレクトリと、ＬＤＡＰディレクトリへのアクセスを要求するアプリケーションとの間に配置され得る。ＬＤＡＰフィルタモジュールは、実行されるときに、たとえばＬＤＡＰディレクトリに対して実施され得るＬＤＡＰ動作を制限するための１つまたは複数のポリシーを実施するために、要求および／または要求への応答をインターセプトし、構文解析し得る。たとえば、そのポリシーは、（「変更」など）特定のＬＤＡＰ操作が実施されないこと、（「ユーザ名の削除」など）特定のＬＤＡＰ操作が特定のＬＤＡＰオブジェクトに対して実施されないこと、（「パスワード」など）特定のＬＤＡＰオブジェクトが無許可のユーザによってアクセスされないことなどを指定し得る。したがって、ＬＤＡＰフィルタモジュールは、ＬＤＡＰディレクトリとアプリケーションの間のトラフィックを管理し得る。

ＬＤＡＰフィルタモジュールによって実装されるポリシーを構成するために、ユーザインターフェースも提供され得る。たとえば、ユーザインターフェースは、ＬＤＡＰ動作についての複数の説明を提供し得る。ユーザは、説明されたＬＤＡＰ動作が実施されるべきかどうか示すために、ユーザインターフェースと対話して、説明のうちの１つまたは複数を選択する。この対話は、トラフィック管理のためにＬＤＡＰフィルタモジュールによって実装され得るポリシーを、それに従って構成するために使用され得る。

議論内の例では、同じ参照番号を使用して、同様の構造および構成要素を参照する。

図１は、軽量ディレクトリアクセスプロトコルトラフィックが通信され得る例示的な実装での環境１００の図である。図示する環境１００は複数のクライアント１０２（ｎ）を示しており、ただし、「ｎ」は、１から「Ｎ」までの任意の整数であり得る。複数のクライアント１０２（ｎ）は、ネットワーク１０６を介して複数のサーバ１０４（ｍ）に通信可能に結合するものとして示されており、ただし、「ｍ」は、１から「Ｍ」までの任意の整数であり得る。複数のクライアント１０２（ｎ）およびサーバ１０４（ｍ）のそれぞれは、様々なやり方で構成され得る。たとえば、１つまたは複数のクライアント１０２（ｎ）は、デスクトップンコンピュータ、移動局、娯楽機器、表示デバイスに通信可能に結合されたセットトップボックス、ゲームコンソール、無線電話など、ネットワーク１０６を介して通信することができるコンピューティングデバイスとして構成され得る。クライアント１０２（ｎ）は、（パーソナルコンピュータ、ゲームコンソールなどの）かなりのメモリおよびプロセッサリソースを備えた十分なリソースのデバイスから、（従来のセットトップボックスなどの）限られたメモリおよび／または処理リソースを備えた低リソースデバイスにまで及び得る。以下の議論のために、クライアント１０２（ｎ）は、各自のクライアントを動作する人および／またはエンティティにも関連し得る。換言すると、クライアント１０２（ｎ）は、ユーザおよび／またはマシンを含む論理クライアントを表し得る。

同様に、複数のサーバ１０４（ｍ）もまた、様々なやり方で構成され、十分なリソースのデバイスから低リソースのデバイスなどにまで及び得る。したがって、用語「サーバ」および「クライアント」は、個々のサーバおよびクライアントによって提供される個々の量のメモリおよびプロセッサを必ずしも表さない。たとえば、クライアント１０２（ｎ）のうちの１つまたは複数は、かなりのプロセッサおよびメモリリソースを含むように構成され得るが、複数のサーバ１０４（ｍ）のうちの１つまたは複数は、限られたプロセッサおよびメモリリソースを含むように構成され得る。

クライアント１０２（ｎ）は、各自のプロセッサ１０８（ｎ）およびメモリ１１０（ｎ）を含むものとして示されている。同様に、サーバ１０４（ｍ）もまた、各自のプロセッサ１１２（ｎ）およびメモリ１１４（ｍ）を含むものとして示されている。プロセッサは、それを形成するための材料、またはそこで使用される処理機構によって限定されない。たとえば、プロセッサは、（電子集積回路（ＩＣ：Ｉｎｔｅｇｒａｔｅｄｃｉｒｃｕｉｔ）などの）半導体および／またはトランジスタで構成され得る。こうしたコンテキストでは、プロセッサ実行可能命令は、電子的に実行可能な命令であり得る。あるいは、プロセッサのまたはそのための、したがってコンピューティングデバイスのまたはそのための機構には、それだけに限らないが、（たとえばナノ技術を使用した）量子コンピューティング、光コンピューティング、機械コンピューティングなどが含まれ得る。さらに、個々のクライアント１０２（ｎ）およびサーバ１０４（ｍ）のそれぞれについて、単一のメモリ１１０（ｎ）、１１４（ｍ）が示されているが、メモリ１１０（ｎ）、１１４（ｍ）は、ランダムアクセスメモリ（ＲＡＭ：ｒａｎｄｏｍａｃｃｅｓｓｍｅｍｏｒｙ）、ハードディスクメモリ、取外し可能媒体メモリなどのメモリデバイスの様々なタイプおよび組合せを表し得る。

ネットワーク１０６は、軽量ディレクトリアクセスプロトコル（ＬＤＡＰ）などディレクトリアクセスプロトコルによるデータの通信を提供するように構成される。ＬＤＡＰは、クライアント１０２（ｎ）およびサーバ１０４（ｍ）がネットワーク１０６を介して互いに通信することを可能にするメッセージ指向のディレクトリアクセスプロトコルである。ＬＤＡＰは、たとえば、サーバ１０４（ｍ）から使用可能なＬＤＡＰディレクトリ１１６（ｍ）とクライアント１０２（ｎ）が通信することを可能にするために、通信制御プロトコル／インターネットプロトコル（ＴＣＰ／ＩＰ：ｔｒａｎｓｍｉｓｓｉｏｎｃｏｎｔｒｏｌｐｒｏｔｏｃｏｌ／Ｉｎｔｅｒｎｅｔｐｒｏｔｏｃｏｌ）を介して実行されるように構成され得る。ＬＤＡＰディレクトリ１１６（ｍ）は、ＬＤＡＰを使用してアクセス可能な任意のディレクトリを表しており、したがって、特定のソフトウェアプロバイダによって実装されるあるタイプのディレクトリなど、任意の特定のタイプのディレクトリに限定されない。

ある実装では、ＬＤＡＰディレクトリ１１６（ｍ）は、階層（すなわち「ツリー」）構造に従って編成される。この階層は、企業の組織図、地理的境界など、多種多様な構造を反映するように構成され得る。たとえば、ＬＤＡＰディレクトリ１１６（ｍ）は複数のオブジェクト１１８（ｏ）を含むことができ、ただし、「ｏ」は、１から「Ｏ」までの任意の整数であり得る。それぞれのオブジェクト１１８（ｏ）（すなわちエントリ）は、その集合の識別名（ＤＮ：ｄｉｓｔｉｎｇｕｉｓｈｅｄｎａｍｅ）と称され得る名前によって指定される１つまたは複数の属性の集合である。識別名は、対応するオブジェクトに明らかに言及するために使用される。ある実装では、それぞれのオブジェクト１１８（ｏ）属性は、タイプ、および１つまたは複数の値をもつ。タイプは、共通名（ｃｏｍｍｏｎｎａｍｅ）の「ｃｎ」、電子メール（ｅｍａｉｌ）の「ｍａｉｌ」など、名前または記憶法を用いて一般に表される。値は、属性に対応する多種多様なデータを含み得る。たとえば、「ｍａｉｌ」属性は、値「ｔｅｓｔ＠ｔｅｓｔ．ｃｏｍ」を含み得る。

以下の議論のため「ＬＤＡＰ動作」と称される様々な動作が、ＬＤＡＰを使用して実施され得る。たとえば、ＬＤＡＰ機能モデルは、質問操作、更新操作、および認証制御操作など、様々なＬＤＡＰ操作をサポートする。質問操作の例には、「検索」および「比較」が含まれる。「検索」操作は、たとえば、複数のオブジェクト１１８（ｏ）のうちの単一のオブジェクトを突き止め、ＬＤＡＰディレクトリ１１６（ｍ）の階層構造内のサブツリー内に位置する複数のオブジェクトを検索するなどのために使用され得る。比較操作は、特定のオブジェクト１１８（ｏ）が特定の値を含むかどうか比較するために使用され得る。

更新操作の例には、「追加」「削除」「変更」および「リネーム」（すなわち名前変更）が含まれる。こうした操作によって、オブジェクト１１８（ｏ）をそれぞれ追加し、削除し、変更し、名前変更する能力がもたらされる。認証制御操作の例には、「バインド」「アンバインド」および「中止」が含まれる。バインド操作は、実施されるときに、クライアント１０２（ｎ）が認証情報を伝えることによってサーバ１０４（ｍ）、より具体的にはＬＤＡＰディレクトリ１１６（ｍ）に対して身分を明かすことを可能にする。アンバインド操作の実行によって、サーバ１０４（ｍ）は、認証情報を廃棄することができる。中止操作は、クライアント１０２（ｎ）に、前に送信されたＬＤＡＰ操作の実施がもはや望まれないことをサーバ１０４（ｍ）に示す能力を提供する。たとえば、クライアント１０２（ｎ）は、検索操作を開始して、特定のオブジェクト１１８（ｏ）を突き止め、次いで中止操作を開始して、サーバ１０４（ｍ）による検索操作を終了させることができる。９つのＬＤＡＰ操作について述べたが、ＬＤＡＰ拡張操作、ＬＤＡＰ制御、ならびに簡易認証およびセキュリティレイヤ（ＳＡＳＬ：ｓｉｍｐｌｅａｕｔｈｅｎｔｉｃａｔｉｏｎａｎｄｓｅｃｕｒｉｔｙｌａｙｅｒ）サポートを提供するＬＤＡＰ操作など、追加のＬＤＡＰ操作もまた、ＬＤＡＰ動作の精神および範囲内にある。

ＬＤＡＰは、様々な異なるプラットフォーム間で通信を提供するために使用されることができ、したがって、「プラットフォーム独立型」と見なされ得る。したがって、本明細書で述べる諸特徴は、様々なプロセッサを含む様々な市販のコンピューティングプラットフォーム上で戦略が実装され得ることを意味するプラットフォーム独立型である。たとえば、上述したように、クライアント１０２（ｎ）およびサーバ１０４（ｍ）は、様々なやり方で構成され、またＬＤＡＰを使用して、互いに通信し得る。したがって、（プロセッサ１０８（ｎ）上で実行されるものとして示されており、またクライアント１０２（ｎ）上のメモリ１１０（ｎ）内に格納することができる）ＬＤＡＰ通信モジュール１２０（ｎ）は、対応するコンピューティングデバイスによって使用される個々の構成に関係なく、ネットワーク１０６を介して、（プロセッサ１１２（ｍ）上で実行されるものとして示されており、またサーバ１０４（ｍ）上のメモリ１１４（ｍ）内に格納することができる）ＬＤＡＰ通信モジュール１２２（ｍ）と通信することができる。ＬＤＡＰ通信モジュール１２０（ｎ）、１２２（ｍ）は、ＬＤＡＰに従って（メッセージなどの）データを通信し得る任意のモジュールを表す。たとえば、ＬＤＡＰ通信モジュール１２０（ｎ）は、クライアント１０２（ｎ）によって実行可能なアプリケーション内で実装され得る。

上述したように、ＬＤＡＰを使用した通信は、メッセージを使用して実施され得る。たとえば、クライアント１０２（ｎ）は、ネットワーク１０６を介してサーバ１０４（ｍ）に通信される要求を形成するために、ＬＤＡＰ通信モジュール１２０（ｎ）を実行し得る。サーバ１０４（ｍ）は、ＬＤＡＰ通信モジュール１２２（ｍ）を実行して、ＬＤＡＰディレクトリ１１６（ｍ）にアクセスして、ネットワーク１０６を介してクライアント１０２（ｎ）に通信される１つまたは複数の応答を形成することによって、要求を処理し得る。応答は、たとえば、（電子メールアドレスなどの）返答、または返答が見つけられ得るところのネットワーク位置を参照するポインタを含み得る。しかし、ＬＤＡＰディレクトリ１１６（ｍ）へのアクセスは従来、セキュリティ保護されていなかった。したがって、ＬＤＡＰディレクトリ１１６（ｍ）内のオブジェクト１１８（ｏ）へのアクセスは、セキュリティ保護されていなかった。したがって、クライアント１０２（ｎ）は、ＬＤＡＰディレクトリ１１６（ｍ）へのアクセスを取得すると、それぞれのオブジェクト１１８（ｏ）にアクセスすることができ、このオブジェクトの一部は、ユーザのクレジットカード情報、ホームアドレス、パスワードなどの機密情報を含むことがある。

クライアント１０２（ｎ）とサーバ１０４（ｍ）の間を通るデータを管理し、それによって、ＬＤＡＰディレクトリ１１６（ｍ）内のオブジェクト１１８（ｏ）への無許可アクセスを防止するために、環境１００は、ＬＤＡＰフィルタモジュール１２４を使用し得る。ＬＤＡＰフィルタモジュール１２４は、プロセッサ１２６上で実行されるものとして示されており、またＬＤＡＰフィルタリングデバイス１３０のメモリ１２８内に格納することができ、この例では、ＬＤＡＰフィルタリングデバイスは、複数のクライアント１０２（ｎ）と複数のサーバ１０４（ｍ）の間でネットワーク１０６に通信可能に結合されるものとして示されている。ＬＤＡＰフィルタモジュール１２４は、実行されるときに、ＬＤＡＰフィルタリングデバイス１３０のメモリ１２８内のデータベース１３４内に格納されるものとして示されている複数のポリシー１３２（１）、…、１３２（ｐ）、…、１３２（Ｐ）のうちの１つまたは複数に従ってトラフィックを管理する。

複数のポリシー１３２（１）〜１３２（Ｐ）は、ネットワーク１０６によって使用されるＬＤＡＰを介して実施され得る許可され、または許可されない動作を示すように、様々なやり方で構成されることができる。図１に、複数のポリシー１３２（１）〜１３２（Ｐ）のそれぞれが、複数のＬＤＡＰ動作１３６（１）、…、１３６（ｐ）、…、１３６（Ｐ）のうちの各自の動作を参照するものとして示されている。たとえば、ＬＤＡＰ動作１３６（１）は、特定のＬＤＡＰ操作１３８の実施が許可されるかどうか参照するものとして示されている。たとえば、ポリシー１３６（１）によって参照されるＬＤＡＰ動作１３６（１）は、ＬＤＡＰディレクトリ１１６（ｍ）に対して「変更」ＬＤＡＰ操作が許可されないことを示し得る。したがって、ポリシー１３２（１）は、ＬＤＡＰフィルタモジュール１２４によって参照されるときに、ＬＤＡＰディレクトリ１１６（ｍ）に対する「変更」ＬＤＡＰ操作の実施を防止するために使用され得る。

別の実施例では、ポリシー１３２（ｐ）は、ＬＤＡＰ操作１４０および特定のＬＤＡＰオブジェクト１４２を含むＬＤＡＰ動作１３６（ｐ）を参照し得る。ポリシー１３２（ｐ）は、たとえば、すべての「変更」ＬＤＡＰ操作の実行を防止するのではなく、（ユーザパスワードなどの）他のオブジェクトの変更を可能にしながら、（「ユーザログイン名」などの）特定のオブジェクト１１８（ｏ）を変更する能力を制限し得る。ポリシー１３２（Ｐ）は、クライアント１０２（ｎ）のうちの１つまたは複数がインターネットを介して接続している場合に、たとえばクライアント１０２（ｎ）からのロケータｐｉｎｇだけがサーバ１０４（ｍ）のうちの１つまたは複数のサーバを見つけることができるようにすることによる、「その他」１４４のタイプのＬＤＡＰ動作１３６（Ｐ）をも表し得る。

ＬＤＡＰフィルタモジュール１２４、ＬＤＡＰフィルタリングデバイス１３０、複数のクライアント１０２（ｎ）および複数のサーバ１０４（ｍ）は、多種多様な異なる環境で実装され得る。たとえば、ＬＤＡＰフィルタモジュール１２４は、専用ＬＤＡＰサーバ上の（図２に関連して、その一例が示されている）ネットワークファイヤウォールデバイスなどとして実装され得る。

一般に、本明細書で述べる機能のいずれもが、ソフトウェア、（固定の論理回路などの）ファームウェア、マニュアル処理、またはこうした実装の組合せを使用して実装され得る。本明細書では、用語「モジュール」、「機能」、および「論理」は一般に、ソフトウェア、ファームウェア、またはソフトウェアとファームウェアの組合せを表す。ソフトウェア実装の場合では、モジュール、機能または論理は、（１つまたは複数のＣＰＵなどの）プロセッサ上で実行されるときに特定のタスクを実施するプログラムコードを表す。プログラムコードは、メモリ１１０（ｎ）、１１４（ｍ）、１２８などの１つまたは複数のコンピュータ読取り可能メモリデバイス内に格納され得る。上述したように、後述するＬＤＡＰ管理戦略の諸特徴は、様々なプロセッサを含む様々な市販のコンピューティングプラットフォーム上で戦略が実装され得ることを意味するプラットフォーム独立型である。

図２は、インターネットを介して複数のコンピューティングデバイスにアクセスを提供するために、複数のクライアント１０２（ｎ）、複数のサーバ１０４（ｍ）、および図１のＬＤＡＰフィルタリングデバイス１３０が企業イントラネット内で実装されている環境２００の図である。図２の環境２００では、電子商取引、従業員へのリモートアクセスなどの多種多様な機能を提供するために使用され得る「フロントエンド／バックエンド」サーバアーキテクチャが示されている。このアーキテクチャでは、サーバタスクは、フロントエンドとバックエンドのサーバ２０２、２０４間で分散される。

フロントエンドサーバ２０２は、たとえば、インターネット２０８を介して複数のコンピューティングデバイス２０６（１）、…、２０６（ａ）、…、２０６（Ａ）からの要求を受け付けるように構成され得る。図１の複数のクライアント１０２（ｎ）は、図２では、複数のバックエンドサーバ２０４のうちの１つまたは複数による処理のためにネットワーク１０６を介して要求を通信するフロントエンドサーバ２０２として構成される。したがって、図２の環境内では、フロントエンドサーバ２０２は、バックエンドサーバ２０４の「クライアント」である。バックエンドサーバ２０４のうちの少なくとも１つは、図１のサーバ１０４（ｍ）として構成され、したがって、ＬＤＡＰディレクトリ１１６（ｍ）を含む。ある実装では、ＬＤＡＰディレクトリ１１６（ｍ）は、電子商取引のためのユーザアカウント情報など、クライアント１０２（ｎ）（すなわちフロントエンドサーバ２０２）によって要求されるデータを提供する。別の実装では、ＬＤＡＰサーバ１０４（ｍ）は、バックエンドサーバ２０４のうちの別のサーバ上のどこで所望のデータが突き止められるかを表すデータを提供する。換言すると、この実装では、ＬＤＡＰディレクトリ１１６（ｍ）は、他のバックエンドサーバ２０４のネットワークアドレスを「指す」。したがって、ＬＤＡＰディレクトリ１１６（ｍ）は、クライアント１０２（ｎ）がＬＤＡＰディレクトリ１１６（ｍ）にアクセスして、ユーザアカウント情報などの所望のデータのネットワーク位置を見つけ得るように構成され得る。

フロントエンドサーバ２０２が複数のコンピューティングデバイス２０６（１）〜２０６（Ａ）に露呈されることによる攻撃からバックエンドサーバ２０４を保護するために、ＬＤＡＰフィルタリングデバイス１３０は、ネットワークファイヤウォールデバイス２１０として構成され得る。ネットワークファイヤウォールデバイス２１０は、ネットワーク１０６上でフロントエンドとバックエンドのサーバ２０２、２０４の間に配置されるものとして示されている。ネットワークファイヤウォールデバイス２１０は、ＬＤＡＰフィルタモジュール１２４を実行して、サーバ２０２、２０４間のトラフィックを管理し、したがって、コンピューティングデバイス２０６（１）〜２０６（Ａ）によるバックエンドサーバ２０４への無許可のアクセスを制限する。たとえば、ＬＤＡＰフィルタモジュール１２４は、ＬＤＡＰを使用して通信されるデータのフィルタリング、要求および応答の認証などを提供し得る。

図３は、図１のＬＤＡＰフィルタリングデバイス１３０が、複数のクライアント１０２（１）〜１０２（Ｎ）にＬＤＡＰディレクトリ１３４を提供するためのサーバ３０４として企業イントラネット３０２内に実装された環境３００の図である。図２の環境２００では、ＬＤＡＰフィルタリングデバイス１３０は、「スタンドアロン」のネットワークファイヤウォールデバイスとして実装されていた。ＬＤＡＰフィルタモジュール１２４の機能は、図３に示すように、複数のサーバ１０４（ｍ）のうちの１つまたは複数のサーバ内に組み込まれることもできる。たとえば、複数のクライアント１０２（１）〜１０２（Ｎ）は、各自のＬＤＡＰ通信モジュール１２０（１）〜１２０（Ｎ）を実行して、複数のサーバ１０４（ｍ）によって実装されたＬＤＡＰディレクトリ１１６（ｍ）によって参照されるデータを突き止めることを求める要求を形成し得る。例示的な環境１００、２００、３００について図１、２および３に関連して述べたが、その精神および範囲から逸脱せずに、たとえば図１のＬＤＡＰフィルタリングデバイス１３０をプロキシとして実装することによって、様々な他の例示的な環境も企図される。

（例示的な手順）
次の議論では、上述のシステムおよびデバイスを使用して実装され得る、ＬＤＡＰトラフィックを管理する技術について述べる。各手順の側面は、ハードウェア、ファームウェアまたはソフトウェア、あるいはその組合せで実装され得る。手順は、１つまたは複数のデバイスによって実施される操作を指定する１組のブロックとして示されており、また個々のブロックによる諸操作を実施するために示される順序に必ずしも限定されない。以下の例示的な諸手順は、その精神および範囲から逸脱せずに、多種多様な他の環境内で実装され得ることに留意されたい。

図４は、ＬＤＡＰを使用したネットワークを介してクライアントとサーバの間で通信されるトラフィックを管理するために図１のＬＤＡＰフィルタモジュール１２４が実行される例示的な実装での手順４００を示すフローチャートである。ＬＤＡＰフィルタモジュール１２４が、サーバ１０４（ｍ）とクライアント１０２（ｎ）の間で通信されるデータ４０２を監視するために実行される（ブロック４０４）。たとえば、データ４０２は、クライアント１０２（ｎ）から、ＬＤＡＰ動作を実施するサーバ１０４（ｍ）への通信要求として構成され得る。別の実施例では、データ４０２は、（ＬＤＡＰ操作の実施によってもたらされる結果など）クライアント１０２（ｎ）から生じた要求に応答してサーバ１０４（ｍ）によって実施されるＬＤＡＰ動作の結果として構成され得る。

ＬＤＡＰフィルタモジュール１２４は、実行されるときに、データ内に指定されたＬＤＡＰ動作４０６が１つまたは複数のポリシー１３２（ｐ）に従って許可されるかどうか判断する（ブロック４０８）。たとえば、ＬＤＡＰフィルタモジュール１２４は、ＬＤＡＰ動作４０６を複数のポリシー１３２（ｐ）のそれぞれと比較して、クライアント１０２（ｎ）から生じた、特定の動作の実施要求が許可されるかどうか判断し得る。たとえば、ポリシー１３２（ｐ）のうちの１つまたは複数は、特定の操作が特定のクライアントによってだけ実施され得ることを指定し得る。したがって、ＬＤＡＰフィルタモジュール１２４は、要求が、ネットワーク管理者、「信頼できる」ユーザなどのクライアントによって受信されたかどうか判断し得る。同様に、データ４０２は、ＬＤＡＰ動作４０６の実施の結果であり得る。したがって、ＬＤＡＰフィルタモジュール１２４は、クライアント１０２（ｎ）がこうした結果を受信することを許可されているかどうか判断するために実行され得る。

様々な他の判断が、ＬＤＡＰフィルタモジュール１２４の実行によって行われ得る。たとえば、ＬＤＡＰフィルタモジュール１２４は、認証操作シーケンスを検査し、（たとえば最低限の認証レベルに達しているかどうか（たとえばポリシー１３２（ｐ）のうちの１つに従って）判断することによって、十分なレベルの認証を実施することができる。たとえば、クライアント１０２（ｎ）が「匿名」と名乗り、または「基本」証明書を使用する場合、ＬＤＰＡフィルタモジュール１２４は、最低レベルの所望の認証を得ることができないため、その認証を拒否し得る。別の実施例では、ＬＤＰＡフィルタモジュール１２４は、署名され／封印されたＬＤＡＰトラフィックを許可するかどうか判断し得る。さらに別の実施例では、ＬＤＰＡフィルタモジュール１２４は、データ４０２がＬＤＡＰ仕様に適合しているかどうかについての判断が行われるように、ＬＤＡＰ仕様の正確さを強制し得る。そうでない場合、図５および６に関してさらに述べるように、データは、適合するように修正され得る。さらに別の実施例では、ＬＤＡＰフィルタモジュール１２４は、ＮＵＬＬベースのクエリなど、ＬＤＡＰディレクトリ１１６（ｍ）上の既知の行為に対して保護し得る。さらに、ＬＤＡＰフィルタモジュール１２４は、通常のＬＤＡＰサーバポートと、グローバルカタログの両方に作用することができる。たとえば、グローバルカタログは、（１組のＬＤＡＰサーバなどの）ドメイン全体のための権限オブジェクトストアとして働く（ＬＤＡＰサーバなどの）Ｗｉｎｄｏｗｓ（登録商標）ドメインコントローラである。換言すると、ドメインコントローラは、仮想階層ストアの根として働く。

指定されたＬＤＡＰ動作が許可される場合、ＬＤＡＰ動作４０６の実施が、ＬＤＡＰフィルタモジュール１２４によって、クライアント１０２（ｎ）がその判断を認識しないように許可される（ブロック４１０）。たとえば、データ４０２が要求として構成される場合、ＬＤＡＰフィルタモジュール１２４は、指定されたＬＤＡＰ動作４０６をサーバ１０４（ｍ）に実施させることを求める要求を転送し得る。別の実施例では、データ４０２が結果４１２として構成される場合、ＬＤＡＰフィルタは、トラフィック管理のためのＬＤＡＰフィルタモジュール１２４の実行についてクライアント１０２（ｎ）に通知せずに、ネットワーク１０６を介したクライアント１０２（ｎ）への結果４１２の通信を許可し得る。したがって、ＬＤＡＰフィルタモジュール１２４の実行は、クライアント１０２（ｎ）および／またはサーバ１０４（ｍ）にとって「透過的」であり得る。

指定されたＬＤＡＰ動作４０６が許可されない場合、１つまたは複数の対応する行為が実施される（ブロック４１４）。たとえば、ＬＤＡＰフィルタモジュール１２４は、ＬＤＡＰ動作４０６が許可されないと判断すると、クライアント１０２（ｎ）のサーバ１０４（ｍ）とのネットワーク接続を終了４１６し得る。別の実施例では、ＬＤＡＰフィルタモジュール１２４は、修正されたデータがＬＤＡＰ動作の完了に適するようにデータ４０２を修正し得る。たとえば、ＬＤＡＰフィルタモジュール１２４は、要求によって指定されるＬＤＡＰ操作が実施され得るように要求を修正することができ、それについてのさらなる議論は、図５に関して見ることができる。別の例では、ＬＤＡＰフィルタモジュール１２４は、クライアント１０２（ｎ）に通信されることを許可されたデータを含むように応答を修正することができ、それについてのさらなる議論は、図６に関して見ることができる。

図５は、ＬＤＡＰフィルタモジュールによってインターセプトされた、許可されないＬＤＡＰ動作の実施を求める要求が、要求によって指定された修正済みＬＤＡＰ動作が許可されるように修正される例示的な実装での手順５００を示すフローチャートである。クライアントからサーバへの通信の要求が、ＬＤＡＰフィルタモジュールによってインターセプトされる（ブロック５０２）、たとえば、ＬＤＡＰフィルタモジュールは、ネットワーク上でクライアントとサーバの間に配置されたネットワークファイヤウォールデバイスとして構成され得る。

インターセプトに応答して、複数のポリシーのうちの１つが、ＬＤＡＰフィルタモジュールによって選択される（ブロック５０４）。次いで、ＬＤＡＰフィルタモジュールは、要求内に指定されたＬＤＡＰ動作にそのポリシーを適用して（ブロック５０６）、ＬＤＡＰ動作が許可されるかどうか判断する（判断ブロック５０８）。

ＬＤＡＰ動作が許可される場合、ＬＤＡＰフィルタモジュールは、別のポリシーが使用可能かどうか判断する（判断ブロック５１０）。そうである場合、上述したように、ポリシーがＬＤＡＰ動作に適用される（ブロック５０６）これは、別のポリシーが使用することができなくなるまで（判断ブロック５１０）、ＬＤＡＰ動作が許可される各ポリシーについて継続し得る（判断ブロック５０８）。この時点で、ＬＤＡＰ動作の実施を求める要求が、通信され得る（ブロック５１２）。

ＬＤＡＰ動作が許可されない場合（判断ブロック５０８）、要求は、修正されたＬＤＡＰ動作を指定する修正済み要求を形成するように修正される（ブロック５１４）。たとえば、要求は、そのうちの１つが「変更」操作である複数のＬＤＡＰ操作の実施を指定することができる。しかし、ポリシーは、変更操作が許可されないことを指定し得る。したがって、変更操作を指定する要求の部分が削除され、それによって、要求内で指定された他のＬＤＡＰ動作の実施を許可し得る。別の実施例では、要求は、特定のＬＤＡＰ操作、およびＬＤＡＰ操作を実施する対象の複数のオブジェクトを指定し得る。しかし、ポリシーは、指定されたＬＤＡＰオブジェクトのうちの１つに対して更新操作が実施され得ないことを指定し得る。したがって、その特定のＬＤＡＰオブジェクトについての更新操作は、修正済みの要求がポリシーに適合するように、要求から取り除かれ得る。（トラフィックのエンドツーエンド署名が行われない場合など）要求／応答の修正がサポートされない別の実装では、上述したように、ＬＤＡＰフィルタモジュールは、依然として要求を阻止し得る。

図６は、ポリシーによって許可されないＬＤＡＰ動作の実施によってもたらされた、ＬＤＡＰフィルタモジュールによってインターセプトされた応答が、修正済みの応答がポリシーに適合するように修正される例示的な実装での手順６００を示すフローチャートである。まず、ユーザの公開暗号化証明書を求める要求が、クライアントからサーバに通信される（ブロック６０２）。したがって、サーバは、公開暗号化証明書を含む、ユーザのアカウント情報を含む応答を形成する（ブロック６０４）。

ＬＤＡＰフィルタモジュールは、実行されるときに、サーバからの応答をインターセプトする（ブロック６０６）。次いで、ＬＤＡＰフィルタモジュールは、１つまたは複数のポリシーをその応答に適用して（ブロック６０８）、クライアントへの応答の通信が許可されるかどうか判断する（判断ブロック６１０）。ポリシーは、たとえば、ユーザのクレジット情報が、その情報を求める、特定の証明書によって署名された要求にだけ応答して通信されることを指定し得る。しかし、この実施例では、通信された要求（ブロック６０２）は、こうした証明書を含まない。したがって、応答は、クライアントへの修正済み応答の通信が１つまたは複数のポリシーに従って許可されるように修正される（ブロック６１２）。上記の例について続けると、クレジット情報が、単に公開暗号化証明書を含む修正済み応答を形成するために応答から取り除かれ、したがって、修正済み応答は、ポリシーに適合する。したがって、その応答は、クライアントに通信され得る（ブロック６１４）。要求および応答を修正するための様々な技術について述べたが、その精神および範囲から逸脱せずに、様々な他の技術も企図される。

図７は、ポリシーに含めるために１つまたは複数のプロパティを、ユーザインターフェースを介して選択することによって、ユーザがユーザインターフェースを介してポリシーを設計する例示的な実装での手順７００を示すフローチャートである。図１のＬＤＡＰフィルタモジュール１２４が実行されて、ＬＤＡＰフィルタモジュールによる実装ためのポリシーを生成するように構成されたユーザインターフェースが出力される（ブロック７０２）。たとえば、ネットワーク管理者（以下「管理者」）は、ユーザインターフェースと対話して、ポリシーを構成し得る。

したがって、ＬＤＡＰフィルタモジュールは、管理者から、ポリシーによる実装のためのプロパティを選択する１つまたは複数の入力を受信し得る（ブロック７０４）。たとえば、管理者は、特定のＬＤＡＰ操作、特定のＬＤＡＰオブジェクト、特定のＬＤＡＰ操作およびオブジェクトなど、どの動作がポリシーに従って実施され得ないかを指定することができる。入力に応答して、ＬＤＡＰフィルタモジュールは、受信された入力を反映するようにポリシーを構成する（ブロック７０６）。次いで、構成されたポリシーをＬＤＡＰフィルタモジュールによって使用して、それに従ってサーバとクライアントの間のトラフィックを管理することができる（ブロック７０８）。ポリシーの構成のため、様々なユーザインターフェースが、ＬＤＡＰフィルタモジュール１２４によって出力され得る。このポリシー構成の例について、次の節で述べる。

（ＬＤＡＰポリシー構成）
図８から２０は、図１から７のＬＤＡＰフィルタモジュール１２４によって出力され得るユーザインターフェースの例示的な実装を示す図である。このユーザインターフェースは、どのＬＤＡＰ動作が許可され、または許可されないかを選択するなど、ポリシーを構成するためのユーザによるプロパティ選択の様々な技術を提供し得る。たとえば、ユーザインターフェースは、ポリシーをそれに応じて構成させるためにユーザによって選択されることができる、ＬＤＡＰ機能についての複数の説明を提供し得る。たとえば、図８に示すように、ユーザインターフェースは、ＬＤＡＰバインド操作時に使用され得る複数の認証機構を表す「認証」ページ８００を含み得る。ユーザは、（マウスなどの）カーソル制御デバイスで対応するボックスを「チェック」することによって、認証機構のうちの１つまたは複数を選択し得る。したがって、対応するポリシーは、認証機構のうちのどれがユーザによって選択されたかに基づいて構成され得る。

図９は、「操作」ページ９００を示すユーザインターフェースの図である。操作ページ９００は、定義され得る論理ＬＤＡＰの論理グループ分けを示している。さらに、「編集」ボタンを選択することによって、ユーザは、図１０のユーザインターフェースの「選択」ページ１０００内に示すような特定のＬＤＡＰ操作を選択し得る。選択ページ１０００は複数のチェックボックスをも含むが、この例では、それぞれのボックスは特定のＬＤＡＰ操作を選択するためのものであり、ＬＤＡＰ操作は、図１０に、「バインド」、（「ＮＵＬＬベースのクエリを許可」というタイトルのネストされた選択項目を含むものとして示されている）「検索」、「比較」、「変更」、「ＤＮ変更」、「追加」および「削除」として示されている。

図１１に示すように、ユーザインターフェースは、ＬＤＡＰフィルタモジュールを介して、暗号化されたＬＤＡＰトラフィックを許可するかどうか、ＬＤＡＰロケータｐｉｎｇ（すなわち、クライアントによるＬＤＡＰサーバの検出のための任意選択コマンドを使用するなどによる「ｐｉｎｇ」トラフィック）を許可するかどうかなど、追加のＬＤＡＰ動作を選択するための「トラフィック」ページ１１００をも含み得る。したがって、ユーザは、図８〜１１に示すページ８００、９００、１０００、１１００のうちの１つまたは複数を選択して、トラフィック管理のためのＬＤＡＰフィルタモジュールによる実装のポリシーを構成することができる。

図１２〜２０は、ポリシー構成のためＬＤＡＰフィルタモジュール１２４によって出力され得るユーザインターフェースの別の例示的な実装を示す。図１２は、ＬＤＡＰフィルタモジュールについて説明しており、またユーザがＬＤＡＰフィルタモジュールをイネーブル／ディセーブルすることを可能にするユーザインターフェースの「一般」ページ１２００を示す図である。

図１３に、ユーザインターフェースの照会ページ１３００が示されている。照会は、管理上の問題と、ＬＤＡＰディレクトリへの潜在的なセキュリティリスクの両方をもたらす。たとえば、照会を使用して、外部的にはアクセス不可能であり得るサーバ名を公開し、攻撃者が内部インターネットプロトコル（ＩＰ：ｉｎｔｅｒｎｅｔｐｒｏｔｏｃｏｌ）アドレスまたは名前などから内部ディレクトリリソースについてより多くのことを知ることを可能にし得る。こうした可能なセキュリティリスクに対処するために、照会ページ１３００は、応答内の照会情報を制御するためにユーザによって選択可能である様々なオプションを提供し得る。

たとえば、ＬＤＡＰフィルタリングデバイスが、照会エラーの場合にはＬＤＡＰクライアントとして機能し、関連オブジェクトについて正確なディレクトリサーバに再クエリするように、「プロキシ」の選択が提供され得る。しかし、これによって、結果としてもたらされる応答に、追加の参照または照会が生じることになり得る。したがって、外部クライアントに返される最終的な応答は、それが照会情報を含まないように構成され得る。

内部サーバ情報が公開されないように応答から照会を取り除かせるために、「照会削除」の選択が提供され得る。照会エラーの場合、エラーの発生を示す情報が、他の記述的情報を含まずに、クライアントに返され得る。換言すると、ある実装では、クライアントに返される情報は、単に照会エラーだけを表し得る。さらに、ＬＤＡＰ検索操作応答の結果に含まれるすべての参照情報が、応答からフィルタリングされ得る。別の実装では、エラーが、こうしたフィルタリングなしに返され得る。たとえば、この手法は、応答内の照会を故意に意図的に許可しない管理者にとって特に有用であり得る。

クライアントが再バインドし、照会された（すなわち「参照された」ディレクトリサーバに再クエリすることができるように、「照会保持」の選択も提供され得る。たとえば、この手法は、照会が外部的に使用可能サーバに対応する場合に望まれ得る。

ユーザインターフェースは、図１４に示すように、ＬＤＡＰフィルタモジュールがＳＳＬトラフィック上のＬＤＡＰに対処するやり方を構成するためのセキュアソケットレイヤ（ＳＳＬ：ｓｅｃｕｒｅｓｏｃｋｅｔｓｌａｙｅｒ）ページ１４００を提供することもできる。たとえばＳＳＬページ１４００は、ＬＤＡＰフィルタモジュールが入力および出力ＳＳＬトラフィックを修正しないようにするための「トンネル」オプションを含み得る。

ＳＳＬページ１４００は、「ブリッジングオプション」をも含み得る。ウェブプロキシのハイパーテキスト転送プロトコルセキュアソケット（ＨＴＴＰＳ：ｈｙｐｅｒｔｅｘｔｔｒａｎｓｆｅｒｐｒｏｔｏｃｏｌｓｅｃｕｒｅｓｏｃｋｅｔ）のサポートと同様に、ＬＤＡＰフィルタモジュールは、セキュアＬＤＡＰ（以下「ＬＤＡＰＳ」）トラフィックに関連するサーバ証明書を公開し得る。この場合、ＬＤＡＰフィルタモジュールは、入力ＬＤＡＰＳＳＬトラフィックにとってのエンドポイントである。トラフィックは、復号されると、有効性およびアクセス制御についてチェックされ、次いで、たとえば通常のＬＤＡＰ要求として渡される。さらに、ＬＤＡＰモジュールは、クライアント証明書を認証するオプションを提供することもできる。

図１４は、ＬＤＡＰフィルタモジュール１２４のユーザインターフェースによって提供され得る「操作」ページ１４００の図である。たとえば、ＬＤＡＰフィルタモジュールは、実行されるときに、この操作ページ１４００に従って構成されたポリシーに対して、要求ＬＤＡＰ操作を検査し得る。

操作ページ１４００は、３つの論理グループに分割され、それぞれのグループが、定義された各ＬＤＡＰ操作について、許可／拒否状態を定義する。ある実装では、管理者は、新しいグループの追加、または既存のグループのいずれかの削除を行うことはできない。しかし、管理者は、「カスタム」グループの内容を編集することができる。（「読出し」ならびに「読出しおよび書込み」で示される）他の２つの論理グループの内容は、「編集」を選択した後に表示され（ｂｒｏｗｓｅ）得るが、固定のセマンティクスのために、変更されることができない。読出しグループは、（検索および比較などの）読出しのセマンティクスを含むＬＤＡＰ操作を表す。ある実装では、読出しグループによって、拡張操作が可能になる。

また操作ページ１４００は、「ＬＤＡＰｖ２操作を許可」および「クライアントのコントロール送信を許可」とラベル付けされた２つのチェックボックスを含むものとして示されている。場合によっては、ＬＤＡＰ実装は、バージョン依存型である。たとえば、システムは、プロトコルのバージョン２だけがサポートされるように構成されることができ、別の実装は、バージョン３をサポートし得る。バージョン２は一般に、（バインド認証機構としてＳＡＳＬをサポートしておらず、また簡易認証だけを可能にするなど）安全性がより低いものと見なされる。したがって、管理者は、チェックボックスを使用することによって、バージョン２の操作を阻止し得る。「コントロール許可」の選択に関して、クライアントは、各コマンドの一部として、コントロールを送信し得る。こうしたコントロールは、（たとえば、それが複数の呼出しを必要とする場合にバインド状態を管理するための）クッキーとして働き、または特定の操作について、サーバ実装の拡張を可能にし得る。したがって、「ＬＤＡＰｖ２操作を許可」および「クライアントのコントロール送信を許可」は、管理者が制御特徴をすべてオフにすることを可能にし、または管理者がどの特定のコントロールがポリシーによって許可されるかを定義することを可能にする。

図１５の操作ページ１５００内に図示された「編集」ボタンの選択によって、図１６のダイアログボックス１６００の出力がもたらされる。このダイアログボックス１６００は、カスタムのグループ分けについて、対応するＬＤＡＰ操作の実施を許可し、また実施の許可を否定するための、（チェックなどの）選択、および（チェック解除などの）除外を可能にする。さらに、グループは、全体的にイネーブルまたはディセーブルされることができる。

検索操作は、セキュリティ関連プロパティのさらなる構成を可能にし、このセキュリティ関連プロパティティの例は、「ｎｕｌｌベースのクエリ」、「間接参照エイリアス」および「クエリ内でベースＤＮ検索スコープだけを許可」として図示されている。たとえば、ＬＤＡＰは、オブジェクトが、別のオブジェクトを指すエイリアスとして定義されることを可能する。しかし、こうしたエイリアスは、管理者が誤ってこうしたオブジェクトを、アクセティブ制御リスト（ＡＣＬ：ａｃｔｉｖｅｃｏｎｔｒｏｌｌｉｓｔ）によってうまく保護されない内部オブジェクトに向かせるシナリオでは、危険であり得る。したがって、このプロパティは、間接参照エイリアスオブジェクトが検索操作において許可されないように構成され得る。「クエリ内でベースＤＮ検索スコープだけを許可」は、チェックされている場合、検索ＬＤＡＰ操作が、検索要求内で単一のＤＮより大きいスコープを定義するなどによって、指定されたベースＤＮに加えてオブジェクトにアクセスするために、ワイルドカードを使用し得ないことを指定する。たとえば、これは、ユーザリスト、クレジット情報など、機密のオブジェクト集合を公開し得るワイルドカード検索から、組織のディレクトリ情報ツリー（ＤＩＴ：ｄｉｒｅｃｔｏｒｙｉｎｆｏｒｍａｔｉｏｎｔｒｅｅ）を保護するために使用され得る。

拡張操作は、ダイアログボックス１６００を用いて、「イネーブル」または「ディセーブル」されることもできる。たとえば、ＬＤＡＰは、追加の操作が特定のＬＤＡＰ実装に追加されることを可能にし得る。拡張操作は、たとえば、一意のオブジェクト識別子（ＯＩＤ：ｏｂｊｅｃｔｉｄｅｎｔｉｆｉｅｒ）によって識別され得る。ダイアログボックス１６００内の「拡張操作」は、選択されるときに図１７のダイアログボックス１７００の出力をもたらす対応する「選択ボタン」を含むものとして示されている。ダイアログボックス１７００は、管理者に、ＯＩＤに従って操作を手作業で追加／削除し、ディレクトリサーバを選択し、特定のプロパティを介して拡張操作リストを読み出し、またサーバからクライアントに送信される請求されていないイベントを管理する能力を提供する。

図１８は、ＬＤＡＰフィルタモジュール１２４のユーザインターフェースとして出力され得る認証ページ１８００の図である。認証ページ１８００は、管理者がＬＤＡＰフィルタモジュールによって許可される認証の「レベル」をクライアントバインド要求内で選択することを可能にするように構成される。クライアントのバインド要求が適切なレベルの認証を含んでいない場合、たとえば、ＬＤＡＰフィルタモジュールは、ＬＤＡＰサーバ（すなわちＬＤＡＰディレクトリにアクセスを提供するサーバ）にそれを渡さずに要求を拒否し得る。たとえば、管理者は、（ＮＵＬＬパスワードを含むバインド要求など）匿名の要求を許可しないことがあり、ＬＤＡＰ操作が、最初に「バインド」操作を完了せずに実施されることなどを許可し得ない。

認証ページ１８００は、ユーザによる選択のための複数の認証機構を示している。図示するように、認証機構は、追加されまたは削除されることもできる。認証ぺージ１８００の図示された「選択」ボタンによって、管理者はディレクトリサーバを選択することができ、このディレクトリサーバから、サポートされるＳＡＳＬ機構が列挙される。列挙によって、リストされていない新しい機構がもたらされる場合、こうした認証機構は、管理者による選択のために、認証ページ１８００に追加され得る。

ある実装では、ＬＤＡＰフィルタモジュール１２４は、実際の認証器の働きをするために、ＬＤＡＰフィルタリングデバイス１３０上で実行され、それによって、この意味では、ＬＤＡＰサーバとして振る舞い、クライアントの認証を実施し得る。この実装では、ＬＤＡＰディレクトリアクセスを許可されると見なされる１組のユーザセキュリティＩＤ（ＳＩＤ：ｓｅｃｕｒｉｔｙＩＤ）が定義される。（図２のネットワークファイヤウォールデバイス２１０として構成される場合など）ＬＤＡＰフィルタリングデバイス１３０は、認証を実施し、許可されたユーザのリストに対して、認証されたユーザアクセストークンを比較し得る。比較が成功する場合、その要求は、さらなる処理のため通信され得る。

図１９は、ＬＤＡＰフィルタモジュール１２４のユーザインターフェースの一部として出力され得る「アクセス制御」ページ１９００の図である。アクセス制御ページ１９００は、特定の状況において、かつ／または特定のプロパティを求める場合に、対応するＬＤＡＰオプションに関係なく、特定のＤＮＳへのアクセスを制御するために使用され得る。たとえば、アクセス制御ページ１９００は、ＬＤＡＰアクセス規則からなる単純でグローバルなアクセスポリシー（すなわちユーザセットまたはＩＰに関連がないアクセスポリシー）を定義し得る。それぞれのアクセス規則は、たとえば、以下に基づいてアクセスを許可／拒否することができる。

１）ベースＤＮ
２）（ベースＤＮ、直接の子のリスト、サブツリー内の各オブジェクトなど）規則が適用されるアクセス範囲、および
３）要求されたプロパティリスト
この規則は、「最初の一致」が勝るように順序付けされ得る。検索操作に一致する規則がない場合、既定値によって、アクセスが拒否され得る。

規則は、図１９のアクセスポリシーページ１９００内の図示された上下矢印を用いて、再順序付けされ得る。「アクセス範囲」フィールドの使用についてさらに示すために、以下の例について考慮されたい。第１の例では、ベースＤＮは、「ＣＮ＝ユーザ、ＤＮ＝ｓｏｍｅ＿ｃｏｒｐ、ＤＮ＝ｃｏｍ」に等しい。このアクセス範囲は、「単一のレベル」に設定され、要求されたプロパティリストは、クラス「Ｘ」のプロパティ「Ｐ１」、「Ｐ２」に設定される。これは、この規則が、Ｐ１およびＰ２のプロパティを有する、ベースＤＮのもとのすべての直接オブジェクトに適用されることを意味する。ＤＮの直接オブジェクトの範囲外、または異なるプロパティに対する要求は規則に関係がない。第２の例では、ベースＤＮは、「根」に等しい。アクセス範囲は「サブツリー」に設定され、要求されるプロパティリストは、「すべてのプロパティ」（およびすべてのクラス）に設定される。これは、ディレクトリへのいずれのアクセスもが常に許可されまたは拒否されることを意味する。検索について特定のプロパティが許可されるシナリオでは、他の各プロパティは、応答から切捨てられ得る。たとえば、ＬＤＡＰフィルタモジュールは、図６に関して上述したように、クライアントに応答を返す前に、それを編集することができる。

図１９のアクセスポリシーページ１９００内で「編集」ボタンを選択すると、図２０にその一例が示されているダイアログボックス２０００が表示される。図２０のダイアログボックス２０００は、管理者が特定の動作への規則の適用を指定し、ＤＮ名を指定し、アクセス範囲およびクラス名を設定し、またもしあればどのプロパティが規則に適用可能かを選択することを可能にする。例示的なユーザインターフェースについて述べたが、ユーザインターフェースは、ＬＤＡＰフィルタモジュールによる実装のためのポリシーの構成を提供する様々なやり方で構成され得ることが当然明らかであろう。

（結論）
本発明について、構造上の特徴および／または方法論的な行為に特有の言語で述べたが、添付の特許請求の範囲中に定義される本発明は、上述の特定の特徴または行為に必ずしも限定されないことを理解されたい。そうではなく、特定の特徴および行為は、特許請求の範囲中に記載された本発明を実施する例示的な形として開示されている。

軽量ディレクトリアクセスプロトコルトラフィックが通信され得る例示的な実装での環境を示す図である。複数のクライアント、複数のサーバ、および図１のＬＤＡＰフィルタリングデバイスが企業イントラネット内で実装され、インターネットを介して複数のコンピューティングデバイスからアクセス可能である環境を示す図である。図１のＬＤＡＰフィルタリングデバイスが、複数のクライアントにＬＤＡＰディレクトリを提供するための専用サーバとして企業イントラネット内に実装された環境の図である。ＬＤＡＰを使用してネットワークを介してクライアントとサーバの間で通信されるトラフィックを管理するために、図１のＬＤＡＰフィルタモジュールが実行される例示的な実装での手順を示すフローチャートを表す図である。ＬＤＡＰフィルタモジュールによってインターセプトされた、許可されないＬＤＡＰ動作の実施を求める要求が、要求によって指定された修正済みＬＤＡＰ動作が許可されるように修正される例示的な実装での手順を示すフローチャートを表す図である。ポリシーによって許可されないＬＤＡＰ動作の実施によってもたらされた、ＬＤＡＰフィルタモジュールによってインターセプトされる応答が、修正済みの応答がポリシーに適合するように修正される例示的な実装での手順を示すフローチャートを表す図である。ポリシーに含めるためにユーザインターフェースを介して１つまたは複数のプロパティを選択することによって、ユーザがユーザインターフェースを介してポリシーを設計する例示的な実装での手順を示すフローチャートを表す図である。ポリシー構成のため図１のＬＤＡＰフィルタモジュールの実行によって出力され得る例示的なユーザインターフェースのページを示す図である。ポリシー構成のため図１のＬＤＡＰフィルタモジュールの実行によって出力され得る別の例示的なユーザインターフェースのページを示す図である。ポリシー構成のため図１のＬＤＡＰフィルタモジュールの実行によって出力され得る例示的なユーザインターフェースのページを示す図である。ポリシー構成のため図１のＬＤＡＰフィルタモジュールの実行によって出力され得る別の例示的なユーザインターフェースのページおよびダイアログボックスを示す図である。ポリシー構成のため図１のＬＤＡＰフィルタモジュールの実行によって出力され得る別の例示的なユーザインターフェースのページおよびダイアログボックスを示す図である。ポリシー構成のため図１のＬＤＡＰフィルタモジュールの実行によって出力され得る別の例示的なユーザインターフェースのページおよびダイアログボックスを示す図である。ポリシー構成のため図１のＬＤＡＰフィルタモジュールの実行によって出力され得る別の例示的なユーザインターフェースのページおよびダイアログボックスを示す図である。ポリシー構成のため図１のＬＤＡＰフィルタモジュールの実行によって出力され得る別の例示的なユーザインターフェースのページおよびダイアログボックスを示す図である。ポリシー構成のため図１のＬＤＡＰフィルタモジュールの実行によって出力され得る別の例示的なユーザインターフェースのページおよびダイアログボックスを示す図である。ポリシー構成のため図１のＬＤＡＰフィルタモジュールの実行によって出力され得る別の例示的なユーザインターフェースのページおよびダイアログボックスを示す図である。ポリシー構成のため図１のＬＤＡＰフィルタモジュールの実行によって出力され得る別の例示的なユーザインターフェースのページおよびダイアログボックスを示す図である。ポリシー構成のため図１のＬＤＡＰフィルタモジュールの実行によって出力され得る別の例示的なユーザインターフェースのページおよびダイアログボックスを示す図である。ポリシー構成のため図１のＬＤＡＰフィルタモジュールの実行によって出力され得る別の例示的なユーザインターフェースのページおよびダイアログボックスを示す図である。

符号の説明

１０２（ｎ）クライアント
１０４（ｍ）サーバ
１０８（ｎ）プロセッサ
１１２（ｍ）プロセッサ
１１０（ｎ）メモリ
１１４（ｍ）メモリ
１１６（ｍ）ＬＤＡＰディレクトリ
１１８（ｏ）オブジェクト
１２０（ｎ）ＬＤＡＰ通信モジュール
１２２（ｍ）ＬＤＡＰ通信モジュール
１２４ＬＤＡＰフィルタモジュール
１２６プロセッサ
１２８メモリ
１３０ＬＤＡＰフィルタリングデバイス
１３２（１）ポリシー
１３２（ｐ）ポリシー
１３２（Ｐ）ポリシー
１３６（１）ＬＤＡＰ動作
１３６（ｐ）ＬＤＡＰ動作
１３６（Ｐ）ＬＤＡＰ動作
１３８ＬＤＡＰ操作
１４０ＬＤＡＰ操作
１４２ＬＤＡＰオブジェクト
１４４その他

Claims

複数のコンピューティングデバイス間で、軽量ディレクトリアクセスプロトコル（ＬＤＡＰ）を介した通信のためのデータを、前記コンピューティングデバイスのそれぞれが監視を認識しないように監視することと、
１つまたは複数のポリシーに従って、前記データ内に指定されたＬＤＡＰ動作が許可されるかどうか判断し、そうでない場合、前記ＬＤＡＰ動作の完了を制限することと
を含むことを特徴とする方法。
前記軽量ディレクトリアクセスプロトコル（ＬＤＡＰ）動作は、特定のＬＤＡＰ操作を指定することを特徴とする請求項１に記載の方法。
前記特定の軽量ディレクトリアクセスプロトコル（ＬＤＡＰ）操作は、
検索と、
比較と、
追加と、
削除と、
変更と、
リネームと、
バインドと、
アンバインドと、
中止とからなるグループから選択されることを特徴とする請求項２に記載の方法。
前記特定の軽量ディレクトリアクセスプロトコル（ＬＤＡＰ）操作は、請求されていないイベントとして構成されることを特徴とする請求項２に記載の方法。
前記特定の軽量ディレクトリアクセスプロトコル（ＬＤＡＰ）操作は、拡張ＬＤＡＰ操作を含むことを特徴とする請求項２に記載の方法。
少なくとも１つの前記ポリシーは、特定のＬＤＡＰオブジェクト上で実施されることを許可されていない特定の軽量ディレクトリアクセスプロトコル（ＬＤＡＰ）操作を指定することを特徴とする請求項１に記載の方法。
前記判断することは、クライアントとして構成された少なくとも１つの前記コンピューティングデバイスによって認証レベルを実施することを含むことを特徴とする請求項１に記載の方法。
前記認証レベルは、前記複数のコンピューティングデバイス間の通信のための前記データによって満たされる認証の最低限のレベルであることを特徴とする請求項７に記載の方法。
前記判断することは、署名されたＬＤＡＰデータを許可するかどうか判断することを含むことを特徴とする請求項１に記載の方法。
前記判断することは、前記データが軽量ディレクトリアクセスプロトコル（ＬＤＡＰ）仕様に適合するかどうか判断することを含むことを特徴とする請求項１に記載の方法。
前記データが適合しない場合は、前記データを適合するように修正することをさらに含むことを特徴とする請求項１０に記載の方法。
前記判断することは、前記データが既知の攻撃として構成されているかどうか判断することを含むことを特徴とする請求項１に記載の方法。
前記既知の攻撃は、ＮＵＬＬベースのクエリであることを特徴とする請求項１２に記載の方法。
前記監視することは、軽量ディレクトリアクセスプロトコル（ＬＤＡＰ）サーバ部分とグローバルカタログの両方に対して作用するように実施されることを特徴とする請求項１に記載の方法。
前記判断することは、前記１つまたは複数のポリシーに従って、前記データ内に指定された前記動作が許可される場合は、前記動作の完了を許可することをさらに含むことを特徴とする請求項１に記載の方法。
少なくとも１つの前記コンピューティングデバイスはフロントエンドサーバであり、別の前記コンピューティングデバイスはバックエンドサーバであることを特徴とする請求項１に記載の方法。
軽量ディレクトリアクセスプロトコル（ＬＤＡＰ）動作は、前記データ内の要求内に指定され、
前記動作が許可されない場合は、修正済みの前記要求が、許可されるＬＤＡＰ動作を指定するように、前記要求を修正することをさらに含むことを特徴とする請求項１に記載の方法。
前記制限することは、前記軽量ディレクトリアクセスプロトコル（ＬＤＡＰ）動作を指定する要求が、ＬＤＡＰ動作を実施するように構成されたサーバに通信されることを防止することを含むことを特徴とする請求項１に記載の方法。
前記制限することは、前記軽量ディレクトリアクセスプロトコル（ＬＤＡＰ）動作の結果が、前記ＬＤＡＰ動作を実施するように構成されたサーバからクライアントに通信されることを防止することを含むことを特徴とする請求項１に記載の方法。
コンピュータ上で実施されるときに、前記コンピュータに請求項１に記載の方法を実施するよう指示するコンピュータ実行可能命令を含むことを特徴とするコンピュータ読取り可能媒体。
クライアントとサーバの間の通信のためのデータをインターセプトすることであって、前記データは軽量ディレクトリアクセスプロトコル（ＬＤＡＰ）に従って構成されることと、
１つまたは複数のポリシーを前記要求に適用して、前記要求内に指定されたＬＤＡＰ動作の実施が許可されるかどうか判断することと、
前記実施が許可されない場合は、修正済みの前記ＬＤＡＰ動作の実施が許可されるように、前記ＬＤＡＰ動作を修正することと
を含むことを特徴とする方法。
前記インターセプトすることおよび前記適用することは、前記サーバによって実施されることを特徴とする請求項２１に記載の方法。
前記クライアントは、前記インターセプトすることおよび前記適用することの実施を認識しないことを特徴とする請求項２１に記載の方法。
前記軽量ディレクトリアクセスプロトコル（ＬＤＡＰ）動作は、特定のＬＤＡＰ操作を指定することを特徴とする請求項２１に記載の方法。
前記特定の軽量ディレクトリアクセスプロトコル（ＬＤＡＰ）操作は、
検索と、
比較と、
追加と、
削除と、
変更と、
リネームと、
バインドと、
アンバインドと、
中止とからなるグループから選択されることを特徴とする請求項２４に記載の方法。
少なくとも１つの前記ポリシーは、特定のＬＤＡＰオブジェクトに対して実施されることを許可されない特定の軽量ディレクトリアクセスプロトコル（ＬＤＡＰ）操作を指定することを特徴とする請求項２１に記載の方法。
前記データは、
前記ＬＤＡＰ動作の実施と、
前記クライアントから前記サーバへの通信と
を求める要求であることを特徴とする請求項２１に記載の方法。
前記データは前記ＬＤＡＰ動作の実施の結果であり、また前記サーバから前記クライアントに通信するためのものであることを特徴とする請求項２１に記載の方法。
コンピュータ上で実施されるときに、前記コンピュータに請求項２１に記載の方法を実施するよう指示するコンピュータ実行可能命令を含むことを特徴とするコンピュータ読取り可能媒体。
軽量ディレクトリアクセスプロトコル（ＬＤＡＰ）フィルタモジュールを実施して、
応答がサーバからクライアントへの通信を許可されるかどうか判断することであって、
前記応答は前記ＬＤＡＰに従って構成され、
前記判断は１つまたは複数のポリシーを使用して実施されることと、
前記応答が許可される場合は、前記クライアントが前記判断を認識しないように前記応答を通信することと
を含むことを特徴とする方法。
前記応答が許可されない場合は、修正済みの前記応答が許可されるように前記応答を修正することをさらに含むことを特徴とする請求項３０に記載の方法。
前記応答は、軽量ディレクトリアクセスプロトコル（ＬＤＡＰ）動作の結果を含むことを特徴とする請求項３０に記載の方法。
前記軽量ディレクトリアクセスプロトコル（ＬＤＡＰ）動作は、特定のＬＤＡＰ操作を指定することを特徴とする請求項３２に記載の方法。
前記特定の軽量ディレクトリアクセスプロトコル（ＬＤＡＰ）操作は、
検索と、
比較と、
追加と、
削除と、
変更と、
リネームと、
バインドと、
アンバインドと、
中止とからなるグループから選択されることを特徴とする請求項３３に記載の方法。
少なくとも１つの前記ポリシーは、特定のＬＤＡＰオブジェクトに対して実施されることを許可されない特定の軽量ディレクトリアクセスプロトコル（ＬＤＡＰ）操作を指定することを特徴とする請求項３０に記載の方法。
コンピュータ上で実施されるときに、前記コンピュータに請求項３０に記載の方法を実施するよう指示するコンピュータ実行可能命令を備えることを特徴とするコンピュータ読取り可能媒体。
コンピュータ上で実施されるときに、複数のコンピューティングデバイス間でネットワークを介して通信される軽量ディレクトリアクセスプロトコル（ＬＤＡＰ）トラフィックを、少なくとも１つの前記コンピューティングデバイスが前記管理を認識しないように透過的に管理するよう前記コンピュータに指示するコンピュータ実行可能命令を備えることを特徴とするコンピュータ読取り可能媒体。
前記軽量ディレクトリアクセスプロトコル（ＬＤＡＰ）トラフィックは、特定のＬＤＡＰ操作を指定することを特徴とする請求項３７に記載のコンピュータ読取り可能媒体。
前記特定の軽量ディレクトリアクセスプロトコル（ＬＤＡＰ）操作は、
検索と、
比較と、
追加と、
削除と、
変更と、
リネームと、
バインドと、
アンバインドと、
中止とからなるグループから選択されることを特徴とする請求項３８に記載のコンピュータ読取り可能媒体。
前記軽量ディレクトリアクセスプロトコル（ＬＤＡＰ）トラフィックは、特定のＬＤＡＰオブジェクトに対して実施されることを許可されない特定の軽量ディレクトリアクセスプロトコル（ＬＤＡＰ）操作をそのうちの少なくとも１つが指定する複数のポリシー従って透過的に管理されることを特徴とする請求項３７に記載のコンピュータ読取り可能媒体。
軽量ディレクトリアクセスプロトコル（ＬＤＡＰ）に従って配列されたデータを含むディレクトリと、
動作実施の要求を形成するために実行可能な１つまたは複数のアプリケーションであって、前記要求は、ＬＤＡＰに従って、前記ディレクトリ内の前記データと対話するように構成される１つまたは複数のアプリケーションと、
許可されるＬＤＡＰ動作を定義する１つまたは複数のポリシーに従って前記１つまたは複数のアプリケーションと前記ディレクトリの間でトラフィックを管理するために実行可能なＬＤＡＰフィルタモジュールとを含むことを特徴とするシステム。
前記ＬＤＡＰフィルタモジュールは、前記１つまたは複数のアプリケーションが前記トラフィックの前記管理を認識しないように実行可能であることを特徴とする請求項４１に記載のシステム。
少なくとも１つの前記ポリシーは、特定の軽量ディレクトリアクセスプロトコル（ＬＤＡＰ）操作の実施が許可されるかどうか指定することを特徴とする請求項４１に記載のシステム。
前記特定の軽量ディレクトリアクセスプロトコル（ＬＤＡＰ）操作は、
検索と、
比較と、
追加と、
削除と、
変更と、
リネームと、
バインドと、
アンバインドと、
中止とからなるグループから選択されることを特徴とする請求項４３に記載のシステム。
少なくとも１つの前記ポリシーは、特定のＬＤＡＰオブジェクトに対する特定の軽量ディレクトリアクセスプロトコル（ＬＤＡＰ）操作の実施が許可されるかどうか指定することを特徴とする請求項４１に記載のシステム。
前記データベースは、第１のコンピューティングデバイスを介して使用可能であり、
前記１つまたは複数のアプリケーションは、第２のコンピューティングデバイス上で実行可能であり、
前記ＬＤＡＰフィルタモジュールは、第３のコンピューティングデバイス上で実行可能であることを特徴とする請求項４１に記載のシステム。
前記第３コンピューティングデバイスは、ネットワークフャイヤウォールデバイスとして構成されることを特徴とする請求項４６に記載のシステム。
プロセッサと、
少なくとも１つの対応する軽量ディレクトリアクセスプロトコル（ＬＤＡＰ）操作を実施するための１つまたは複数の条件をそれぞれが定義する１つまたは複数のポリシーと、
少なくとも１つの前記ポリシー従って、要求が許可されるかどうか判断し、
前記要求が許可される場合は、前記クライアントが前記判断を認識しないように前記要求を通信するために、
前記プロセッサ上で実行可能な１つまたは複数のモジュールを維持するように構成されたメモリと
を備えることを特徴とするコンピューティングデバイス。
前記要求は、クライアントからサーバに通信するためのものであることを特徴とする請求項４８に記載のコンピューティングデバイス。
前記軽量ディレクトリアクセスプロトコル（ＬＤＡＰ）操作は、
検索と、
比較と、
追加と、
削除と、
変更と、
リネームと、
バインドと、
アンバインドと、
中止とからなるグループから選択されることを特徴とする請求項４８に記載のコンピューティングデバイス。
少なくとも１つの前記ポリシーは、特定のＬＤＡＰオブジェクトに対する特定の軽量ディレクトリアクセスプロトコル（ＬＤＡＰ）操作の実施が許可されるかどうかさらに指定することを特徴とする請求項４８に記載のコンピューティングデバイス。
前記１つまたは複数のモジュールは、前記要求が許可されない場合は、前記要求を修正するためにさらに実行可能であることを特徴とする請求項４８に記載のコンピューティングデバイス。
ネットワークファイヤウォールとして構成されることを特徴とする請求項４８に記載のコンピューティングデバイス。
軽量ディレクトリアクセスプロトコル（ＬＤＡＰ）サーバとして構成されることを特徴とする請求項４８に記載のコンピューティングデバイス。
特定の軽量ディレクトリアクセスプロトコル（ＬＤＡＰ）動作の実行が許可されるかどうか指定する、ユーザからの入力を受信するのに適したユーザインターフェースを公開することと、
ネットワーク上で軽量ディレクトリアクセスプロトコル（ＬＤＡＰ）トラフィックを管理するために、前記入力に基づいてポリシーを構成することと
を含むことを特徴とする方法。
前記軽量ディレクトリアクセスプロトコル（ＬＤＡＰ）動作は、特定のＬＤＡＰ操作を指定することを特徴とする請求項５５に記載の方法。
前記特定の軽量ディレクトリアクセスプロトコル（ＬＤＡＰ）操作は、
検索と、
比較と、
追加と、
削除と、
変更と、
リネームと、
バインドと、
アンバインドと、
中止とからなるグループから選択されることを特徴とする請求項５６に記載の方法。
前記軽量ディレクトリアクセスプロトコル（ＬＤＡＰ）動作は、特定のＬＤＡＰオブジェクトに対して実施されることを許可されない特定の軽量ディレクトリアクセスプロトコル（ＬＤＡＰ）操作を指定することを特徴とする請求項５５に記載の方法。
前記ユーザインターフェースの前記公開は、ユーザによって選択可能な複数の説明を含み、
１つまたは複数の前記説明は、クライアントを認証するために選択可能な複数の認証機構について説明することを特徴とする請求項５５に記載の方法。
前記ユーザインターフェースの前記公開は、ユーザによって選択可能な複数の説明を含み、
１つまたは複数の前記説明は、軽量ディレクトリアクセスプロトコル（ＬＤＡＰ）バインド操作時に使用されるために前記ユーザによって選択可能な複数の認証機構について説明することを特徴とする請求項５５に記載の方法。
前記ユーザインターフェースの前記公開は、ユーザによって選択可能な複数の説明を含み、
１つまたは複数の前記説明は、前記ユーザによる選択によって定義され得る軽量ディレクトリアクセスプロトコル（ＬＤＡＰ）論理操作群について説明することを特徴とする請求項５５に記載の方法。
前記ユーザインターフェースの前記公開は、ユーザによって選択可能な複数の説明を含み、
１つの前記説明は、暗号化されたＬＤＡＰトラフィックを許可するために選択可能であり、
別の前記説明は、特定のＬＤＡＰポートを介したｐｉｎｇトラフィックだけを許可するために選択可能であることを特徴とする請求項５５に記載の方法。
前記ユーザインターフェースの前記公開は、ユーザによって選択可能な複数の説明を含み、
少なくとも１つの前記説明は、軽量ディレクトリアクセスプロトコル（ＬＤＡＰ）ディレクトリを使用して構成される応答内に含まれる照会情報を制御するために選択可能であることを特徴とする請求項５５に記載の方法。
前記ユーザインターフェースの前記公開は、ユーザによって選択可能な複数の説明を含み、
少なくとも１つの前記説明は、セキュアソケットレイヤ（ＳＳＬ）トラフィックを制御するために選択可能であることを特徴とする請求項５５に記載の方法。
前記公開することは、
前記ユーザインターフェースの前記出力は、ユーザによって選択可能な複数の説明を含み、
少なくとも１つの前記説明は、どのバージョンの軽量ディレクトリアクセスプロトコル（ＬＤＡＰ）が許可されるかどうかを制御するために選択可能であることを特徴とする請求項５５に記載の方法。
前記ユーザインターフェースの前記公開は、ユーザによって選択可能な複数の説明を含み、
少なくとも１つの前記説明は、許可される複数の認証レベルのうちの１つを選択するために選択可能であることを特徴とする請求項５５に記載の方法。
前記ユーザインターフェースの前記公開は、ユーザによって選択可能な複数の説明を含み、
少なくとも１つの前記説明は、特定の軽量ディレクトリアクセスプロトコル（ＬＤＡＰ）オブジェクトへのアクセスを制御するために選択可能であることを特徴とする請求項５５に記載の方法。
コンピュータ上で実施されるときに、前記コンピュータに、請求項５５に記載の方法を実施するよう指示するコンピュータ実行可能命令を備えることを特徴とするコンピュータ読取り可能媒体。
コンピュータ上で実行されるときに、ネットワーク上で軽量ディレクトリアクセスプロトコル（ＬＤＡＰ）トラフィックを管理するためのポリシーを構成するためのユーザインターフェースを出力するよう前記コンピュータに指示するコンピュータ実行可能命令を含むコンピュータ読取り可能媒体であって、前記ユーザインターフェースは、出力されるときに、ユーザがＬＤＡＰ操作の実施が許可されるかどうか示し、また特定のＬＤＡＰオブジェクトに対する特定のＬＤＡＰ操作の実施が許可されるかどうか示すことを可能にするように構成されることを特徴とするコンピュータ読取り可能媒体。
前記軽量ディレクトリアクセスプロトコル（ＬＤＡＰ）操作は、
検索と、
比較と、
追加と、
削除と、
変更と、
リネームと、
バインドと、
アンバインドと、
中止とからなるグループから選択されることを特徴とする請求項６９に記載のコンピュータ読取り可能媒体。
軽量ディレクトリアクセスプロトコルを使用したネットワーク上の許可されるトラフィックを定義するポリシーを構成するためのユーザインターフェースを出力するように構成された１つまたは複数のモジュールと、
前記構成されたポリシーに従ってＬＤＡＰトラフィックを管理するように構成された少なくとも１つのモジュールと
を含むことを特徴とするシステム。
前記少なくとも１つのモジュールは、ネットワークファイヤウォールデバイス上で実行可能であることを特徴とする請求項７１に記載のシステム。
前記少なくとも１つのモジュールは、軽量ディレクトリアクセスプロトコル（ＬＤＡＰ）サーバ上で実行可能であることを特徴とする請求項７１に記載のシステム。
前記ユーザインターフェースは、ユーザが、特定の軽量ディレクトリアクセスプロトコル（ＬＤＡＰ）操作の実施が許可されるかどうか指定することを可能にするように構成されることを特徴とする請求項７１に記載のシステム。
前記ユーザインターフェースは、ユーザが、特定の軽量ディレクトリアクセスプロトコル（ＬＤＡＰ）オブジェクトとの対話が許可されるかどうか指定することを可能にするように構成されることを特徴とする請求項７１に記載のシステム。
前記ユーザインターフェースは、ユーザが、特定の軽量ディレクトリアクセスプロトコル（ＬＤＡＰ）操作が特定のＬＤＡＰオブジェクトに対して実施されることを許可されるかどうか指定することを可能にするように構成されることを特徴とする請求項７１に記載のシステム。
プロセッサと、
ネットワーク上で軽量ディレクトリアクセスプロトコル（ＬＤＡＰ）トラフィックを管理するためのポリシーを構成するためにユーザによって選択可能な複数の説明を含むユーザインターフェースを出力するために実行可能な１つまたは複数のモジュールを維持するように構成されたメモリと
を備えることを特徴とするコンピューティングデバイス。
少なくとも１つの前記説明は、特定の軽量ディレクトリアクセスプロトコル（ＬＤＡＰ）操作の実施が許可されるかどうか指定するために選択可能であることを特徴とする請求項７７に記載のコンピューティングデバイス。
前記軽量ディレクトリアクセスプロトコル（ＬＤＡＰ）操作は、
検索と、
比較と、
追加と、
削除と、
変更と、
リネームと、
バインドと、
アンバインドと、
中止とからなるグループから選択されることを特徴とする請求項７８に記載のコンピューティングデバイス。
少なくとも１つの前記説明は、特定の軽量ディレクトリアクセスプロトコル（ＬＤＡＰ）オブジェクトへのアクセスを制御するために選択可能であることを特徴とする請求項７７に記載のコンピューティングデバイス。
少なくとも１つの前記説明は、特定の軽量ディレクトリアクセスプロトコル（ＬＤＡＰ）操作が特定のＬＤＡＰオブジェクトに対して実施されることを許可されるかどうか指定するために選択可能であることを特徴とする請求項７７に記載のコンピューティングデバイス。
１つまたは複数の前記説明は、クライアントを認証するために選択可能な複数の認証機構について説明することを特徴とする請求項７７に記載のコンピューティングデバイス。
１つまたは複数の前記説明は、軽量ディレクトリアクセスプロトコル（ＬＤＡＰ）バインド操作時に使用されるために前記ユーザによって選択可能な複数の認証機構について説明することを特徴とする請求項７７に記載のコンピューティングデバイス。
１つまたは複数の前記説明は、前記ユーザによる選択によって定義され得る軽量ディレクトリアクセスプロトコル（ＬＤＡＰ）論理操作群について説明することを特徴とする請求項７７に記載のコンピューティングデバイス。
１つの前記説明は、暗号化されたＬＤＡＰトラフィックを許可するために選択可能であり、
別の前記説明は、特定のＬＤＡＰポートを介したｐｉｎｇトラフィックだけを許可するために選択可能であることを特徴とする請求項７７に記載のコンピューティングデバイス。
少なくとも１つの前記説明は、軽量ディレクトリアクセスプロトコル（ＬＤＡＰ）ディレクトリを使用して構成される応答内に含まれる照会情報を制御するために選択可能であることを特徴とする請求項７７に記載のコンピューティングデバイス。
少なくとも１つの前記説明は、セキュアソケットレイヤ（ＳＳＬ）トラフィックを制御するために選択可能であることを特徴とする請求項７７に記載のコンピューティングデバイス。
少なくとも１つの前記説明は、どのバージョンの軽量ディレクトリアクセスプロトコル（ＬＤＡＰ）が許可されるかどうかを制御するために選択可能であることを特徴とする請求項７７に記載のコンピューティングデバイス。
少なくとも１つの前記説明は、複数の認証レベルのうちの１つを選択するために選択可能であることを特徴とする請求項７７に記載のコンピューティングデバイス。