JP2006505836A

JP2006505836A - 複数のポータルによりアクセスされるウェブ資源におけるセキュア資源管理

Info

Publication number: JP2006505836A
Application number: JP2004509773A
Authority: JP
Inventors: フリーデン、カート; ルドミナー、ミッチェル・ビー; マルコフ、マシュー・エス
Original assignee: プラムツリー・ソフトウェア・インク
Priority date: 2002-05-31
Filing date: 2003-05-23
Publication date: 2006-02-16
Also published as: US7092942B2; US7366724B2; HK1083037A1; US20060294106A1; CA2489303C; EP1514173A1; AU2003231841A1; EP1514173A4; CA2489303A1; WO2003102754A1; US20080289010A1; EP1514173B1; CN100474234C; US7844625B2; US20030225765A1; CN1666171A

Abstract

セキュアサーバー（１２２）によりホストされたセキュア資源へアクセスするネットワークポータルのユーザーを認可する方法、装置、コンピュータ読み取り媒体であって、：各々がオウニング・ポータルのユーザーを表す複数のユーザー識別子（１２６）を記憶すること、；ユーザー識別子の各々についてセキュア資源へのアクセス権を記憶すること、及び；ゲストポータルとセキュア資源へのゲストアクセス権とを表すプロキシユーザー識別子をゲストポータルの全てのユーザーについて記憶することを含む。

Description

発明の背景

本発明は一般にデータ交信システムに関し、特にセキュアサーバーによりホストされたセキュア資源へアクセスするネットワークポータルの使用に関する。
概要
総じて本発明はその一つの局面によれば、セキュアサーバーによりホストされたセキュア資源へアクセスするネットワークポータルのユーザーを認可する装置を特徴とする。この認可装置は、複数のユーザー識別子を記憶する認可テーブルを備え、そのユーザー識別子の各々はオウニング・ポータルのユーザーを表しており、この認可テーブルはユーザー識別子の各々についてセキュア資源へのアクセス権を記憶し、認可テーブルは、ゲストポータルと、セキュア資源へのゲストアクセス権とを表すプロキシユーザー識別子をゲストポータルの全てのユーザーについて記憶し、認可装置は更に、セキュア資源へアクセスする第１の要請をオウニング・ポータルから受け取るポリシーマネージャーを備え、その第１の要請はオウニング・ポータルのユーザーを表す第１のユーザー識別子を含み、ポリシーマネージャーはオウニング・ポータルのユーザーに、第１のユーザー識別子について認可テーブルに記憶されたアクセス権に従ってセキュア資源へのアクセスを許可し、ポリシーマネージャーはセキュア資源へアクセスする第２の要請をゲストポータルから受け取り、第２の要請はゲストトポータルのユーザーを表す第２のユーザー識別子と、ゲストポータルを表すポータル識別子とを含み、ポリシーマネージャーはゲストポータルのユーザーに、プロキシユーザー識別子について認可テーブルに記憶されたゲストアクセス権に従ってセキュア資源へのアクセスを許可する。

特定の実施形態は以下の特徴のうちの少なくとも一つを含むことができる。第１の要請はオウニング・ポータルを表すポータル識別子を含み、実施形態は第１の要請を受け取って、この第１の要請におけるポータル識別子を用いてオウニング・ポータルを認可するポータルリポジトリを含むことができる。実施形態はオウニング・ポータルを含むことができ、このオウニング・ポータルはオウニング・ポータルのユーザーからセキュア資源へアクセスするための第３の要請を受け取り、この第３の要請は、第１のユーザー識別子とオウニング・ポータルのユーザーに関連したセキュア証明とを含み、;実施形態は更に、第１のユーザー識別子及びオウニング・ポータルのユーザーに関連したセキュア証明に基づいてオウニング・ポータルのユーザーを認可するユーザーリポジトリを含むことができる。実施形態は第１のユーザー識別子に基づいてオウニング・ポータルのユーザーを認可するポータルポリシーマネージャーを含むことができ、;オウニング・ポータルは、オウニング・ポータルのユーザーがポータルポリシーマネージャーにより首尾よく認可されたときに第１の要請をセキュアサーバーへ送る。実施形態は、第２の要請を受け取り、第２の要請におけるポータル識別子を用いてゲストポータルを認可するポータルリポジトリを含むことができる。実施形態はゲストポータルを含むことができ、このゲストポータルはセキュア資源へアクセスするための第４の要請をゲストポータルのユーザーから受け取り、その第４の要請は第２のユーザー識別子とゲストポータルのユーザーに関するセキュア証明とを含み、;実施形態は更に、第２のユーザー識別子とゲストポータルのユーザーに関連したセキュア証明とに基づいてゲストポータルのユーザーを認可するユーザーリポジトリを含むことができる。実施形態は第２のユーザー識別子に基づいてゲストポータルのユーザーを認可するポータルポリシーマネージャーを含むことができ、ゲストポータルは、ゲストポータルのユーザーがポータルポリシーマネージャーにより首尾よく認可されたときに第２の要請をセキュアサーバーへ送る。

総じて一つの局面によれば、本発明はセキュアサーバーによりホストされたセキュア資源へアクセスするネットワークポータルのユーザーを認可する方法、装置、コンピュータ読み取り可能媒体を特徴とする。これは、各々がオウニング・ポータルのユーザーを表す複数のユーザー識別子の保存と、;各ユーザー識別子についてセキュア資源へのアクセス権を保存することと、;ゲストポータルの全てのユーザーについて、ゲストポータルを表すプロキシユーザー識別子とセキュア資源へのアクセス権とを保存することと、;セキュア資源へアクセスする第１の要請をオウニング・ポータルから受け取り、その第１の要請はオウニング・ポータルのユーザーを表す第１のユーザー識別子を含むことと、;オウニング・ポータルのユーザーに、第１のユーザー識別子について保存されたアクセス権に従ってセキュア資源へのアクセスを許可することと、;セキュア資源へアクセスするための第２の要請をゲストポータルから受け取り、その第２の要請は、ゲストポータルのユーザーを表す第２のユーザー識別子とゲストポータルを表すポータル識別子とを含むこと、;及び、ゲストポータルのユーザーに、プロキシユーザー識別子についての認可テーブルに記憶されたゲストアクセス権に従ってセキュア資源へのアクセスを許可することを含む。

特定の実施形態は以下の特徴のうちの少なくとも一つを含むことができる。第１の要請はオウニング・ポータルを表すポータル識別子を含み、且つ実施形態は第１の要請を受け取ることと、及び第１の要請におけるポータル識別子を用いてオウニング・ポータルを認可することを含む。実施形態は、セキュア資源へアクセスするための第３の要請をオウニング・ポータルにおいてオウニング・ポータルのユーザーから受け取ることを含むことができ、この第３の要請は第１のユーザー識別子とオウニング・ポータルのユーザーに関連したセキュア証明とを含み、；実施形態は更に、第１のユーザー識別子とオウニング・ポータルのユーザーに関連したセキュア証明とに基づいてオウニング・ポータルを認可することを含むことができる。実施形態は、オウニング・ポータルにおいて第１のユーザー識別子に基づいてオウニング・ポータルのユーザーを認可すること、；及び、オウニング・ポータルのユーザーが首尾よく認可されたときに、オウニング・ポータルからセキュアサーバーへ第１の要請を送ることを含むことができる。実施形態は、第２の要請を受け取ること、；及び、その第２の要請におけるポータル識別子を用いてゲストポータルを認可することを含むことができる。実施形態は、セキュア資源へアクセスするための第４の要請をゲストポータルにおいてゲストポータルのユーザーから受け取り、その第４の要請は第２のユーザー識別子とゲストポータルのユーザーに関連したセキュア証明とを含むこと、；及び、第２のユーザー識別子とゲストポータルのユーザーに関連したセキュア証明とに基づいてゲストポータルのユーザーを認可することを含むことができる。実施形態は、ゲストポータルにおいて第２のユーザー識別子に基づいてゲストポータルのユーザーを認可すること、；及び、ゲストポータルのユーザーがポータルポリシーマネージャーにより首尾よく認可されたときに、ゲストポータルからセキュアサーバーへ第２の要請を送ることを含むことができる。

一つ又は複数の実施形態の詳細は添付図面及び以下の説明に記載されている。他の特徴は説明、添付図面及び特許請求の範囲から明らかになろう。

本明細書において用いられる各参照符号の最上位桁はその参照番号が最初に登場する図面の番号を示す。

詳細な説明
本発明において用いられるように、用語「クライアント」及び「サーバー」は一般に電子デバイス又は機構を示し、用語「メッセージ」は一般にディジタルメッセージを表す電子信号を示す。本発明において用いられるように、用語「機構」はハードウェア、ソフトウェア、又はそれらの何らかの組み合わせを示す。これらの用語は以下の説明を単純化するために用いられる。本明細書に説明されたクライアント、サーバー、及び機構は、任意の標準的汎用コンピュータ上で実施でき、或いは特殊化されたデバイスとして実施できる。

図１は交信システム１００を示す。交信システム１００はオウニング・ポータル１０２及びゲストポータル１０４を含む。各ポータルは１つ又は複数のクライアントのために働く。オウニング・ポータル１０２は、クライアント１０６及び１０８を含む複数のクライアントのために働く。ゲストポータル１０４は、クライアント１１０及び１１２を含む複数のクライアントのために働く。

ここに詳細に説明する実施形態においては、ユーザーは、クライアントを採用して、クライアントのために働くポータルへメッセージ（例えばポータル資源のための要請）を送る。他の実施形態においては、クライアントはユーザーの介在を伴うことなく自動的に作動する。各ポータルは、ユーザーリポジトリを用いてそのユーザーを認証すると共に、ポータルポリシーマネージャーを用いてそのクライアントにポータル資源へアクセスすることを認可する。図１を再度参照すると、オウニングポータル１０２はオウニングポータル（ＯＰ）ユーザーリポジトリ１１４及びオウニングポータル（ＯＰ）ポリシーマネージャー１１６を用いる。ゲストポータル１０４はゲストポータル（ＧＰ）ユーザーリポジトリ１１８及びゲストポータル（ＧＰ）ポリシーマネージャー１２０を用いる。

ユーザーリポジトリ１１４，１１８はユーザーを認証するアプリケーションであり、即ちユーザーリポジトリは、ユーザーにより与えられた認証情報をユーザーリポジトリに記憶された認証情報と比較することにより、ユーザーの識別子を照合する。ユーザー認証情報は一般に各ユーザーについてのユーザー識別子及びセキュア証明を含む。幾つかの実施形態においては、ポータル１０２，１０４はｈｔｔｐ基礎認証によりユーザーを認証し、ユーザー識別子はユーザーＩＤであり、セキュア証明はパスワードである。ユーザーリポジトリ１１４，１１８はポータル１０２，１０４によりホストすることができ、或いは外部に設けられたアプリケーション、例えばＬＤＡＰ（lightweight directory access protocol）サービスとすることができる。

ポータルポリシーマネージャー１１６，１２０は、ユーザーに割り当てられた役割や権利に従って、ユーザーに特定のタスク（例えばセキュア情報又は資源へのアクセス）を実行することを認可するアプリケーションである。各ポータルポリシーマネージャーは、そのポータルが働くクライアントに、ポータルにより与えられたポータル資源へアクセスさせることを認可する。これらの資源はユーザー等へ情報を与えることを含む。ポータルにより与えられた幾つかの資源は他のサーバーによりホストされている。図１を再度参照すると、ポータル１０２により与えられた幾つかの資源は、セキュアサーバー１２２によりホストされたセキュア資源である。セキュア資源はユーザーがセキュア資源へアクセスするように認可されていることを要求する資源である。

セキュア資源の一つの形式はプロジェクトである。プロジェクトは以下に説明するように、交信マネージャーの役割を有するオウニング・ポータルのユーザーによってのみ形成することができる。ＯＰポリシーマネージャー１１６は、セキュアサーバー１２２上にプロジェクとを形成させる交信マネージャーのユーザー識別子を記憶する。プロジェクトは、他の種類のセキュア資源、例えばイベント、重要な事件、討論、文書、フォルダー等のための入れ物として働く。セキュア資源ポリシーマネージャー１２６はセキュアサーバー１２２によりホストされたセキュア資源へのアクセスを可能とするユーザーのユーザー識別子を記憶する。セキュアサーバー１２２によりホストされた各セキュア資源について、セキュアサーバーポリシーマネージャー１２６は、セキュア資源へアクセスすることが許されたユーザーと、そのセキュア資源のための各ユーザーのアクセス権とを記憶する。一つの実施形態においては、アクセス権は役割により規定されている。セキュア資源についての各役割はアクセスレベル及び能動的なセキュアを有する。例えば、討論においては、高いアクセスレベルの役割を有するユーザーには討論の名称及び説明の変更、そのセキュリティポリシーを編纂することが許されているのであるが、そのようなことは低いアクセスレベルの役割を持つユーザーにはできない。能動セキュリティ設定は特定のユーザーに新たなスレッドを開始させて、討論におけるメッセージに対して応答させる。

図２は一実施形態による交信システム１００が、セキュアサーバー１２２によりホストされたセキュア資源へアクセスすることをクライアント１０６のユーザーに許可する動作２００を示す。ユーザーはクライアント１０６を操作してセキュア資源へ要請する（ステップ２０２）。クライアント１０６はポータル１０２へセキュア資源へのアクセスを要請するメッセージを送る（ステップ２０４）。メッセージはユーザー認可情報を含み、これは例えばｈｔｔｐに基く認可ヘッダーであり、ユーザーについてのユーザーＩＤ及びパスワード、先行する首尾よい認可の後にポータル１０２により発行されたクッキー等を含む。ユーザーリポジトリ１１４はユーザーを認可するように試みる（ステップ２０６）。

首尾よい認可の後、ポリシーマネージャー１１６は、要請を審査して、ユーザーをポータル１０２により認可すべきか否かを判定する。ポータル１０２により与えられたセキュア資源へアクセスする要請はポータル１０２による認証を必要とする。従ってポータル１０２はユーザーにセキュアサーバー１２２との交信を認可するように試みる（ステップ２０８）。ポリシーマネージャー１１６及び１２０は、セキュアサーバー１２２との交信が許可されているユーザーのユーザー識別子を記憶する。ポリシーマネージャー１１６は、ユーザーがセキュアサーバー１２２と交信することを許可されているか否かを判定する。認証不成立であれば、ポータル１０２はユーザーへ伝える。

認証成功の後、ポータル１０２は要請及びポータル認証情報をセキュアサーバー１２２へ送る（ステップ２１０）。ポータル認証情報は、ポータルについての認証情報、例えばｈｔｔｐ基礎認証ヘッダーであり、これはポータル識別子及びポータルについてのパスワード、先行する首尾よい認証の後にセキュアサーバー１２２により発行されたクッキー等を含む。ポータルリポジトリ１２４は、認証情報をポータルリポジトリ１２４に記憶された情報と比較することにより、ポータルを認証するように試みる（ステップ２１２）。ポータル１０２の首尾よい認証の後、ポータルリポジトリ１２４はポータル１０２を信用するので、ユーザーの認証を試みることはない。

ポータル１０２の首尾よい認証の後、セキュアサーバーポリシーマネージャー１２６は、要請されたセキュア資源へのユーザーのアクセスを認証するように試みる。即ち、ポリシーマネージャー１２６は、ユーザーにより要請されたセキュア資源へのアクセスをユーザーが認可されているか否かを判定する（ステップ２１４）。セキュサーバー１２２によりホストされた各セキュア資源について、ポリシーマネージャー１２６は認証テーブルを含み、このテーブルはセキュア資源へのアクセスを認証されているポータル１０２のユーザーのユーザー識別子、各ユーザーの役割、及びこの役割に関連した権限を記憶する。幾つかの実施形態においては、役割はリーダー、メンバー、及びゲストを含み、権限は読み込みアクセス及び書き込みアクセスを含む。首尾よい認可の後、セキュアサーバー１２２はユーザーの権限に従ってセキュア資源へのアクセスを許可する（ステップ２１６）。

ポータル１０２の特定のユーザーはセキュアサーバー１２２に応じてプロジェクトを形成できる。ポータルポリシーマネージャー１１６はポータル１０２が働く各ユーザーについて役割及び権限を規定する。役割の一つは交信マネージャーである。交信マネージャーはプロジェクトを形成する権限である。

図３は一つの実施形態による交信システム１００のセキュアサーバー１２２によりホストされたプロジェクトを形成する動作３００を示す。交信マネージャーの役割を有するユーザー（以下、「交信マネージャー」と略称する）はクライアント１０８を操作してプロジェクトの形成の要請をなす（ステップ３０２）。クライアント１０８はポータル１０２へプロジェクトの形成を要請するメッセージを送る（ステップ３０４）。このメッセージはユーザー認証情報を含む。ユーザーリポジトリ１１４は、認証情報をユーザーリポジトリ１１４に記憶された情報と比較することにより交信マネージャーを認可するように試みる（ステップ３０６）。

首尾よい認証の後、ポリシーマネージャー１１６は要請を審査して交信マネージャーを認証すべきか否かを判断する。プロジェクトを形成する要請はポータル１０２による認証を必要とする。従ってポリシーマネージャー１１６は、交信マネージャー同一性をポリシーマネージャー１１６により記憶された情報と比較することにより交信マネージャーを認証しようと試みる（ステップ３０８）。ポリシーマネージャー１１６は交信マネージャーが交信マネージャーの役割を有し、従って交信マネージャーがプロジェクトを形成する権利を有すると判定する。かくしてポリシーマネージャー１１６は交信マネージャーを認証する。

首尾よい認可の後、ポータル１０２は、要請及びポータル認証情報をセキュアサーバー１２２へ送る（ステップ３１０）。このユーザーは交信マネージャーであるのでポータル１０２は、ユーザーを交信マネージャーとして識別する要請における役割識別子を含む。ポータルリポジトリ１２４は、認証情報をポータルリポジトリ１２４に記憶された情報と比較することによりポータルを認証しようと試みる（ステップ３１２）。ポータル１０２の首尾よい認証の後、ポータルリポジトリ１２４はポータル１０２を信用すするので、交信マネージャーを認証しようと試みることはない。セキュアサーバーはポータル１０２により与えられた役割識別子を信用するので、交信マネージャーに新たなプロジェクトを形成させることを可能にする。

交信マネージャーは次いでプロジェクトを形成する（ステップ３１４）。交信マネージャーがプロジェクトを形成した後、交信マネージャーは、プロジェクトへのアクセスを希望するユーザーを選択する。セキュアサーバーポリシーマネージャー１２６は、プロジェクトについて、プロジェクトへアクセスできるユーザーの識別子、プロジェクトについての各ユーザーの役割、及び各役割について割り当てられた権利を記憶する。この情報はプロジェクトについての認可テーブルに記憶する。

一般に、セキュアサーバー１２２及びそれにホストされたセキュア資源は、オウニング・ポータルの管理者により確立される。換言すれば、オウニング・ポータルは、セキュアサーバー１２２及びそれにホストされたセキュア資源を「所有」する。他のポータルのユーザーを認可することが望ましいとき、本明細書で称される「ゲストポータル」がオウニング・ポータルにより所有されるセキュア資源へアクセスする。例えば、自動車会社Ｃａｒｃｏがオウニング・ポータル１０２及びセキュアサーバーを確立し、生産予定の形態でセキュアサーバー上にセキュア資源を確立し、部品会社ＰａｒｔｃｏはＣａｒｃｏへ自動車部品を供給するとする。合理化操業のためには、ＣａｒｃｏはＰａｒｔｃｏに生産予定への限定的なアクセスを与えたいであろう。

図４は位置実施形態によりセキュア資源へアクセスするゲストポータルの使用を与える交信システム１００の操作を示す。オウニング・ポータル１０２の管理者は、プロキシユーザー識別子をゲストポータル１０４（ステップ４０２）へ割り当てる。プロキシユーザー識別子はゲストポータル１０４の全てのユーザーを表す。よって管理者は役割をプロキシユーザー識別子に関連させる（ステップ４０４）。役割はセキュア資源への特定のアクセス権を持つ。従ってゲストポータル１０４の全てのユーザーはセキュア資源への同一のアクセス権を有する。プロキシユーザー識別子はゲストポータル１０４のポータル識別子に関連している。プロキシユーザー識別子と、ポータル識別子と、ゲストポータル１０４についての役割とは、セキュアサーバーポリシーマネージャー１２６内の認可テーブルに記憶される。ゲストポータル１０４についてのポータル識別子及び保全証明はポータルリポジット１２４に記憶される。

ゲストポータル１１０が働くクライアントのうちの一つ（クライアント１１０と称する）のユーザーは、セキュアサーバー１２２によりホストされたセキュア資源へアクセスする要請を生成する（ステップ４０６）。クライアント１１０は、セキュア資源へのアクセスを要請するメッセージをゲストポータル１０４へ送る（ステップ４０８）。ゲストポータル１０４は要請を受け取って、オウニング・ポータル１０２について説明したのと同様な方式でユーザーを認証することを試みる（ステップ４１０）。首尾よい認証の後、ゲストポータル１０４は、オウニング・ポータル１０２について説明したのと同様な方式でユーザーを認可することを試みる（ステップ４１２）。首尾よい認可の後、ゲストポータル１０４は、要請をセキュアサーバーへ通過させる（ステップ４１４）。ポータルリポジットリ１２４は、オウニング・ポータル１０２について上述したのと同様な方式でポータルを認証することを試みる（ステップ４１６）。首尾よい認証の後、ポリシーマネージャー１２６は、ユーザーを認可することを試みる（ステップ４１８）。

要請はゲストポータル１０４についてのポータル識別子を含む。ポリシーマネージャー１２６は要請におけるポータル識別子を用いて認可テーブルにおけるゲストポータルについての役割を探す。ポータル識別子が見つからなければ、ユーザーは認可されないので、アクセスのための要請は拒絶される。しかしポータル識別子が発見されたなら、アクセスは、ポータル識別子に関連するプロキシユーザー識別子に割り当てられた役割の権利によりユーザーに許可される（ステップ４２０）。

本明細書に説明した技術によれば、企業ネットワーク管理者は、他人をそのユーザーリポジトリを企業に公表する必要を伴わずに、保全された企業資源への限定アクセスをこの他人に許可することができる。Ｃａｒｃｏ／Ｐａｔｃｏの例に戻れば、ＰａｒｔｃｏはＣａｒｃｏの生産予定を閲覧しようとしても、Ｐａｒｔｃｏはそのユーザーレポジトリに包含された使用者情報の全てを開示することは欲しないであろう。

これらの技術は企業ネットワーク管理者に他人への限定アクセスを与えることを容易にする。管理者は他のユーザーリポジトリを扱う必要はないが、ゲストポータルにより表されたユーザーの大きな集まりを扱うのみの必要があり、また同一のアクセス権をそれらのユーザーの全てに迅速且つ容易に割り当てることができる。例えば、ＣａｒｃｏはＰａｒｔｃｏにその生産予定を閲覧させるであろうが、Ｐａｒｔｃｏにその予定を修正させることはおそらく許可しないであろう。

本発明は、ディジタル電子回路で、又はコンピュータハードウェア、ファームウェア、ソフトウェアで、或いはそれらの組み合わせで実施できる。本発明の装置は、プログラマブルプロセッサにより実行される機械読み取り可能記憶媒体に実現されたコンピュータプログラム製品により実施でき、本発明の方法の段階は、入力データの操作及び出力データの生成により本発明の機能を果たす指令のプログラムを実行するプログラマブルプロセッサにより実現できる。本発明はプログラマブルシステムにより実行可能な１つ又は複数のコンピュータプログラムにおいて有益に実行可能であり、そのプログラマブルシステムは少なくとも１つのプログラマブルプロセッサを含み、これはデータ記憶システムからデータ及び情報を受け取り、且つデータ及び情報をデータ記憶システムへ送信するように接続されており、プログラマブルシステムは更に、少なくとも１つの入力デバイスと、少なくとも１つの出力デバイスとを含む。各コンピュータプログラムは、高水準処理又は対象指向プログラム言語で、又は所望とあればアセンブリ即ち機械言語で実現でき、多くの場合には言語はコンパイル型又はインタプリタ型言語とすることができる。適切な処理は例えば汎用目的と特殊目的との沿うほうのマイクロプロセッサを含む。一般に、プロセッサはリードオンリーメモリ及び／又はランダムアクセスメモリから指令及びデータを受け取る。一般にコンピュータは、データファイル記憶のための１つ又は複数の大容量記憶デバイスを含み、このようなデバイスは、磁気ディスク、例えば内部ハードディスク及びリムーバブルディスク、磁気光ディスク、及び光ディスクを含む。コンピュータプログラムの実現に適する記憶デバイスは、例えばＥＰＲＯＭ、ＥＥＰＲＯＭ、及びフラッシュメモリデバイスなどの半導体メモリデバイスを含む不揮発性メモリ、内部ハードディスク及びリムーバルディスクなどの磁気ディスク、磁気光ディスク、及びＣＤ−ＲＯＭディスクの全ての形態を含む。上述の何れもＡＳＩＣ（アプリケーション仕様集積回路）により付加するか又は組み込むことができる。

本発明の多くの実施形態について説明したが、本発明の要旨及び目的を逸脱することなく様々な変更をなし得ることが理解されるであろう。従って他の実施形態も添付の請求の範囲の目的の範囲内にある。

図1は交信システム１００を示す。図２は図１の交信システムが一つの実施形態によりセキュアサーバーによりホストされたセキュア資源へアクセスするクライアントのユーザーを許可する際の動作を示す。図３は図１の交信システムが一つの実施形態によりセキュアサーバーによりホストされたプロジェクトを形成する際の動作を示す。図４は図１の交信システムが一つの実施形態によりセキュアサーバーへアクセスするゲストポータルのユーザーを与える際の動作を示す。

Claims

セキュアサーバーによりホストされたセキュア資源へアクセスするネットワークポータルのユーザーを認可する装置であって、
複数のユーザー識別子を記憶する認可テーブルを備え、そのユーザー識別子の各々はオウニング・ポータルのユーザーを表しており、この認可テーブルはユーザー識別子の各々についてセキュア資源へのアクセス権を記憶し、
前記認可テーブルは、ゲストポータルと、セキュア資源へのゲストアクセス権とを表すプロキシユーザー識別子をゲストポータルの全てのユーザーについて記憶し、
前記装置は更に、
セキュア資源へアクセスする第１の要請をオウニング・ポータルから受け取るポリシーマネージャーを備え、その第１の要請はオウニング・ポータルのユーザーを表す第１のユーザー識別子を含み、ポリシーマネージャーはオウニング・ポータルのユーザーに、第１のユーザー識別子について認可テーブルに記憶されたアクセス権に従ってセキュア資源へのアクセスを許可し、
前記ポリシーマネージャーはセキュア資源へアクセスする第２の要請をゲストポータルから受け取り、第２の要請はゲストトポータルのユーザーを表す第２のユーザー識別子と、ゲストポータルを表すポータル識別子とを含み、ポリシーマネージャーはゲストポータルのユーザーに、プロキシユーザー識別子について認可テーブルに記憶されたゲストアクセス権に従ってセキュア資源へのアクセスを許可する装置。
請求項１の装置において、第１の要請はオウニング・ポータルを表すポータル識別子を含むと共に、
その第１の要請を受け取って、この第１の要請におけるポータル識別子を用いてオウニング・ポータルを認可するポータルリポジトリを更に備える装置。
請求項１の装置において、オウニング・ポータルを更に備え、このオウニング・ポータルはオウニング・ポータルのユーザーからセキュア資源へアクセスするための第３の要請を受け取り、この第３の要請は、第１のユーザー識別子とオウニング・ポータルのユーザーに関連したセキュア証明とを含み、
前記装置は更に、第１のユーザー識別子及びオウニング・ポータルのユーザーに関連したセキュア証明に基づいてオウニング・ポータルのユーザーを認可するユーザーリポジトリを備える装置。
請求項３の装置において、
第１のユーザー識別子に基づいてオウニング・ポータルのユーザーを認可するポータルポリシーマネージャーを更に備え、
オウニング・ポータルは、オウニング・ポータルのユーザーがポータルポリシーマネージャーにより首尾よく認可されたときに第１の要請をセキュアサーバーへ送る装置。
請求項１の装置において、
第２の要請を受け取り、第２の要請におけるポータル識別子を用いて前記ゲストポータルを認可するポータルリポジトリを更に備える装置。
請求項１の装置において、
前記ゲストポータルはセキュア資源へアクセスするための第４の要請を前記ゲストポータルのユーザーから受け取り、その第４の要請は第２のユーザー識別子と前記ゲストポータルのユーザーに関するセキュア証明とを含み、
前記装置は更に、第２のユーザー識別子と前記ゲストポータルのユーザーに関連したセキュア証明とに基づいて前記ゲストポータルのユーザーを認可するユーザーリポジトリを備える装置。
請求項６の装置において、
第２のユーザー識別子に基づいて前記ゲストポータルのユーザーを認可するポータルポリシーマネージャーを更に備え、
前記ゲストポータルは、ゲストポータルのユーザーがポータルポリシーマネージャーにより首尾よく認可されたときに第２の要請をセキュアサーバーへ送る装置。
セキュアサーバーによりホストされたセキュア資源へアクセスするネットワークポータルのユーザーを認可する装置であって、
各々がオウニング・ポータルのユーザーを表す複数のユーザー識別子を記憶し、且つ各ユーザー識別子についてセキュア資源へのアクセス権を記憶する記憶手段を備え、
前記記憶手段は、ゲストポータルの全てのユーザーについて、ゲストポータルを表すプロキシユーザー識別子とセキュア資源へのアクセス権とを記憶し、
前記装置は更に、
セキュア資源へアクセスする第１の要請を前記オウニング・ポータルから受け取るポリシーマネージャー手段を更に備え、その第１の要請は前記オウニング・ポータルのユーザーを表す第１のユーザー識別子を含み、前記ポリシーマネージャー手段は、前記オウニング・ポータルのユーザーに、第１のユーザー識別子について保存されたアクセス権に従ってセキュア資源へのアクセスを許可し、
前記ポリシーマネージャー手段は、セキュア資源へアクセスするための第２の要請を前記ゲストポータルから受け取り、その第２の要請は、前記ゲストポータルのユーザーを表す第２のユーザー識別子とゲストポータルを表すポータル識別子とを含み、前記ポリシーマネージャー手段は、前記ゲストポータルのユーザーに、プロキシユーザー識別子についての認可テーブルに記憶されたゲストアクセス権に従ってセキュア資源へのアクセスを許可する装置。
請求項８の装置において、第１の要請は前記オウニング・ポータルを表すポータル識別子を含み、
前記装置は更に、
第１の要請を受け取って、第１の要請におけるポータル識別子を用いて前記オウニング・ポータルを認可するポータルリポジトリ手段を備える装置。
請求項８の装置において、
前記オウニング・ポータルはセキュア資源へアクセスするための第３の要請をオウニング・ポータルにおいてオウニング・ポータルのユーザーから受け取り、その第３の要請は第１のユーザー識別子とオウニング・ポータルのユーザーに関連したセキュア証明とを含み、
前記装置は更に、
第１のユーザー識別子と前記オウニング・ポータルのユーザーに関連したセキュア証明とに基づいて前記オウニング・ポータルのユーザーを認可するユーザーリポジトリを備える装置。
請求項１０の装置において、
第１のユーザー識別子に基づいて前記オウニング・ポータルのユーザーを認可するポータルポリシーマネージャー手段を更に備え、
前記オウニング・ポータルは、オウニング・ポータルのユーザーが首尾よく認可されたときに、オウニング・ポータルからセキュアサーバーへ第１の要請を送る装置。
請求項８の装置において、
第２の要請を受け取り、その第２の要請におけるポータル識別子を用いてゲストポータルを認可するポータルリポジトリ手段を更に備える装置。
請求項８の装置において、
前記ゲストポータルが、セキュア資源へアクセスするための第４の要請を前記ゲストポータルのユーザーから受け取り、その第４の要請は第２のユーザー識別子と前記ゲストポータルのユーザーに関連したセキュア証明とを含み、
第２のユーザー識別子と前記ゲストポータルのユーザーに関連したセキュア証明とに基づいてゲストポータルのユーザーを認可するユーザーリポジトリ手段を更に備える装置。
請求項１３の装置において、
第２のユーザー識別子に基づいて前記ゲストポータルのユーザーを認可するポリシーマネージャー手段を更に備え、
前記ゲストポータルは、このゲストポータルのユーザーが前記ポータルポリシーマネージャーにより首尾よく認可されたときに、前記ゲストポータルからセキュアサーバーへ第２の要請を送る装置。
セキュアサーバーによりホストされたセキュア資源へアクセスするネットワークポータルのユーザーを認可する方法であって、
各々がオウニング・ポータルのユーザーを表す複数のユーザー識別子を記憶する段階と、
ユーザー識別子の各々についてセキュア資源へのアクセス権を記憶する段階と、
ゲストポータルと、セキュア資源へのゲストアクセス権とを表すプロキシユーザー識別子をゲストポータルの全てのユーザーについて記憶する段階と、
セキュア資源へアクセスする第１の要請を前記オウニング・ポータルから受け取り、その第１の要請は前記オウニング・ポータルのユーザーを表す第１のユーザー識別子を含む段階と、
前記オウニング・ポータルのユーザーに、第１のユーザー識別子について記憶されたアクセス権に従ってセキュア資源へのアクセスを許可する段階と、
セキュア資源へアクセスする第２の要請をゲストポータルから受け取り、第２の要請はゲストポータルのユーザーを表す第２のユーザー識別子と、ゲストポータルを表すポータル識別子とを含む段階と、
前記ゲストポータルのユーザーに、プロキシユーザー識別子について記憶されたゲストアクセス権に従ってセキュア資源へのアクセスを許可する段階とを含む方法。
請求項１５の方法において、第１の要請はオウニング・ポータルを表すポータル識別子を含むと共に、
第１の要請を受け取る段階と、
この第１の要請におけるポータル識別子を用いてオウニング・ポータルを認可する段階とを更に含む方法。
請求項１５の方法において、
前記オウニング・ポータルにおいて、このオウニング・ポータルのユーザーからセキュア資源へアクセスするための第３の要請を受け取り、この第３の要請は、第１のユーザー識別子とオウニング・ポータルのユーザーに関連したセキュア証明とを含み、
第１のユーザー識別子及びオウニング・ポータルのユーザーに関連したセキュア証明に基づいてオウニング・ポータルのユーザーを認可する段階を更に含む方法。
請求項１７の方法において、
第１のユーザー識別子に基づいて前記オウニング・ポータルのユーザーを認可する段階と、
前記オウニング・ポータルのユーザーが首尾よく認可されたときに第１の要請を前記所有サーバーから前記セキュアサーバーへ送る段階とを更に含む方法。
請求項１５の方法において、
第２の要請を受け取る段階と、
第２の要請におけるポータル識別子を用いて前記ゲストポータルを認可する段階とを更に含む方法。
請求項１５の方法において、
前記ゲストポータルにおいて、セキュア資源へアクセスするための第４の要請を前記ゲストポータルのユーザーから受け取り、その第４の要請は第２のユーザー識別子と前記ゲストポータルのユーザーに関するセキュア証明とを含む段階と、
第２のユーザー識別子と前記ゲストポータルのユーザーに関連したセキュア証明とに基づいて前記ゲストポータルのユーザーを認可する段階とを更に含む方法。
請求項２０の方法において、
第２のユーザー識別子に基づいて前記ゲストポータルのユーザーを認可する段階と、
ゲストポータルのユーザーがポータルポリシーマネージャーにより首尾よく認可されたときに第２の要請をセキュアサーバーへ送る段階とを更に含む方法。
セキュアサーバーによりホストされたセキュア資源へアクセスするネットワークポータルのユーザーを認可する方法を実行するためにコンピュータにより実行可能な指令を具備するコンピュータ読み取り可能媒体であって、前記方法は、
各々がオウニング・ポータルのユーザーを表す複数のユーザー識別子を記憶する段階と、
ユーザー識別子の各々についてセキュア資源へのアクセス権を記憶する段階と、
ゲストポータルと、セキュア資源へのゲストアクセス権とを表すプロキシユーザー識別子をゲストポータルの全てのユーザーについて記憶する段階と、
セキュア資源へアクセスする第１の要請を前記オウニング・ポータルから受け取り、その第１の要請は前記オウニング・ポータルのユーザーを表す第１のユーザー識別子を含む段階と、
前記オウニング・ポータルのユーザーに、第１のユーザー識別子について記憶されたアクセス権に従ってセキュア資源へのアクセスを許可する段階と、
セキュア資源へアクセスする第２の要請をゲストポータルから受け取り、第２の要請はゲストポータルのユーザーを表す第２のユーザー識別子と、ゲストポータルを表すポータル識別子とを含む段階と、
前記ゲストポータルのユーザーに、プロキシユーザー識別子について記憶されたゲストアクセス権に従ってセキュア資源へのアクセスを許可する段階とを含む媒体。
請求項２２の媒体において、第１の要請はオウニング・ポータルを表すポータル識別子を含むと共に、前記方法は、
第１の要請を受け取る段階と、
この第１の要請におけるポータル識別子を用いてオウニング・ポータルを認可する段階とを更に含む媒体。
請求項２２の媒体において、前記方法は、
前記オウニング・ポータルにおいて、このオウニング・ポータルのユーザーからセキュア資源へアクセスするための第３の要請を受け取り、この第３の要請は、第１のユーザー識別子とオウニング・ポータルのユーザーに関連したセキュア証明とを含み、
第１のユーザー識別子及びオウニング・ポータルのユーザーに関連したセキュア証明に基づいてオウニング・ポータルのユーザーを認可する段階を更に含む媒体。
請求項２４の媒体において、前記方法は更に、
第１のユーザー識別子に基づいて前記オウニング・ポータルのユーザーを認可する段階と、
前記オウニング・ポータルのユーザーが首尾よく認可されたときに第１の要請を前記所有サーバーから前記セキュアサーバーへ送る段階とを更に含む媒体。
請求項２２の媒体において、前記方法は更に、
第２の要請を受け取る段階と、
第２の要請におけるポータル識別子を用いて前記ゲストポータルを認可する段階とを更に含む媒体。
請求項２２の媒体において、前記方法は更に、
前記ゲストポータルにおいて、セキュア資源へアクセスするための第４の要請を前記ゲストポータルのユーザーから受け取り、その第４の要請は第２のユーザー識別子と前記ゲストポータルのユーザーに関するセキュア証明とを含む段階と、
第２のユーザー識別子と前記ゲストポータルのユーザーに関連したセキュア証明とに基づいて前記ゲストポータルのユーザーを認可する段階とを更に含む媒体。
請求項２７の媒体において、前記方法は更に、
第２のユーザー識別子に基づいて前記ゲストポータルのユーザーを認可する段階と、
ゲストポータルのユーザーがポータルポリシーマネージャーにより首尾よく認可されたときに第２の要請をセキュアサーバーへ送る段階とを更に含む媒体。