JP2008537829A - ネットワークサービスインフラシステムおよび方法 - Google Patents

ネットワークサービスインフラシステムおよび方法 Download PDF

Info

Publication number
JP2008537829A
JP2008537829A JP2008505991A JP2008505991A JP2008537829A JP 2008537829 A JP2008537829 A JP 2008537829A JP 2008505991 A JP2008505991 A JP 2008505991A JP 2008505991 A JP2008505991 A JP 2008505991A JP 2008537829 A JP2008537829 A JP 2008537829A
Authority
JP
Japan
Prior art keywords
network
service
client
policy
information
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Withdrawn
Application number
JP2008505991A
Other languages
English (en)
Inventor
マクブライド，ブライアン
ボウ−デイアブ，バシヤー・セイド
セルジ，ローラ・ミハエラ
Original Assignee
アルカテル−ルーセント
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by アルカテル−ルーセント filed Critical アルカテル−ルーセント
Publication of JP2008537829A publication Critical patent/JP2008537829A/ja
Withdrawn legal-status Critical Current

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
    • H04L41/28—Restricting access to network management systems or functions, e.g. using authorisation function to access network configuration
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/20—Network architectures or network communication protocols for network security for managing network security; network security policies in general
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/01—Protocols
    • H04L67/02—Protocols based on web technology, e.g. hypertext transfer protocol [HTTP]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/50—Network services
    • H04L67/53—Network services using third party service providers
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Computer And Data Communications (AREA)

Abstract

ネットワークサービスインフラシステムおよび方法が開示されている。サービスネットワーク内で利用可能なサービスネットワークおよびネットワークサービスへのクライアントアクセス用のポリシーは、クライアントゲートウェイで実行される。クライアントゲートウェイで認証および許可されると、サービスネットワークのクライアントはサービスネットワーク内で（１つまたは複数の）独自のネットワークサービスを利用可能にする、サービスネットワークの他のクライアントによって提供されたネットワークサービスを使用する、またはその両方を行うことができる。ポリシーは、サービスネットワーク内で中央管理され、クライアントゲートウェイに分配される。ポリシー、ネットワークサービスに関連する情報、場合によっては他の情報を記憶する様々なレジストリも提供することができる。

Description

本出願は、２００５年４月１４日出願の共通の譲受人の「パブリックおよびプライベートネットワークサービス管理システムおよび方法」という名称の米国特許出願第１１／１０５，６０１号、および「プライベートネットワーク間のネットワークサービスを管理するシステムおよび方法」という名称の米国特許出願第１１／１０５，８２１号に関するものである。
本発明は概してネットワークサービスに関し、より詳細にはネットワークサービスを提供するインフラに関する。
通信ネットワークを通して情報が分配されるサービスは普通、ネットワークサービスと呼ばれる。いわゆる「ウェブサービス」はネットワークサービスの例であり、公衆インターネットネットワーク上の異なるアプリケーション間で情報を自動的に交換するために使用されている次世代のウェブベースの技術を示している。
ウェブサービスは、インターネット上にウェブベースで分配されたアプリケーションを構築するフレームワークである。これらは、多数のグローバル企業間の通信を機械処理するために十分かつ効果的な自動機械を提供する。この自動化は、技術ベースの処理および事業効率を技術会社から小売会社などの世界の主要な非技術会社に提示している。従来の処理技術を使用して処理するためには注文書は＄１２０がかかり、供給業者は倉庫にある返品書を処理するのに数日必要であるが、新規のウェブサービスベースシステムは０．５セントでこれを行うことができ、注文書は数秒で世界中の倉庫に分配される。
技術面から、標準インターフェイス上で、ハイパーテキスト転送プロトコル（ＨＴＴＰ）、拡張マークアップ言語（ＸＭＬ）、シンプルオブジェクトアクセスプロトコル（ＳＯＡＰ）などの標準インターネットプロトコルを使用してアクセスすることができるネットワークアクセス可能機能であるという意味において、ウェブサービスはアプリケーションサービスと同様である。
ウェブサービスアプリケーションは、公衆インターネット内のあらゆるところから来る可能性があるコードおよびデータの要素で構築されている。例えば、自動供給チェーン管理において、店頭購入は金融代理店によって消去され、返品注文は工場から直接送られ、請求書情報はそれぞれ独自のソフトウェアシステムを備えた本社によって収集される。
ウェブサービス技術の真の力はその単純性にある。コア技術は共通の言語および通信発行を処理するだけであり、アプリケーション統合の面倒な仕事を直接は処理しない。ウェブサービスは、多数の信用できない異種システムを相互連結するための遠隔手続呼出し（ＲＰＣ）技術を機械処理する洗練した機械として見ることができる。ウェブサービスは、データ変換／透明性のためのＸＭＬ技術、および通信のためのハイパーテキスト転送プロトコル（ＨＴＴＰ）などのインターネット標準を使用することによって多くの新しい技術の最善をとる。
ウェブサービスは既に、企業のプライベートネットワーク空間内で成功を実証して、アプリケーションが通信するための標準的方法として高速アクセプタンスを得る。しかし、多くの現在のウェブサービスは企業ネットワーク内のファイアウォールの後ろに配置されたアプリケーションサービルによってホスティングされている。
基本インターネットインフラ上の企業空間内およびその向こうでウェブサービスインターアクションをサポートする努力は、アドホック手法に集中していた。１つの方法によれば、ウェブサービスが提供される異なる企業は、互換アプリケーション、共通の独占ソフトウェア、カスタムインターフェイスおよびＡＰＩ、および共通の通信プロトコルを使用することに同意しなければならなかった。企業はまた、データ安全性、およびあらゆる安全通信が管理される方法に同意しなければならなかった。加えて、各企業は、ポイント間の方法で企業トラフィックをアプリケーション間に流すように内部ファイアウォールを開かなければならなかった。
企業環境内に新規のウェブサービス企業パートナを加えることは常に、難しく、高額で、時間がかかる処理であった。というのは、潜在的な新規企業パートナは異なるセットの規則および基準を有する傾向があるからである。新規パートナのアプリケーションへの変更、および新規アプリケーションを提供する企業へのカスタムコード修正がしばしば必要である。
企業空間に対向する通信ネットワークプロバイダの空間をターゲットとした、端末間バーチャル（プライベート）エクストラネットウェブサービスアーキテクチャを展開および管理するための現在知られている展開および管理解決法はない。例えば、ＸＭＬバーチャルプライベートネットワーク（ＶＰＮ）装置は存在するが、これらの装置はファイアウォールの背後の企業ネットワーク内の実施を意図している。
様々なポリシー／セキュリティ／アドミッション制御要件を有する多くの企業は、同じコアネットワークを通してウェブサービスを提供または消費したい場合に、プロバイダのコアマーケット、またはより小容量のハードウェアベース企業規模製品を処理する既存のソフトウェアベース安全製品はコアネットワーク要件に匹敵しない。サーバベースアーキテクチャおよびハードウェアＸＭＬ装置を含む企業規模製品はまた、通信ネットワークコア機器の高いアベラビリティおよび速度要件を普通は満たしていない。
本発明の実施形態は、特定の通信ネットワークサービスプロバイダがネットワークサービス、図ではウェブサービスをネットワーク常駐サービスとして提供することを可能にする新規のネットワークサービスを提供する。
いくつかの実施形態では、この新規ネットワークサービスはいわゆるエクストラネットサービスアーキテクチャ内で提供される。エクストラネットアーキテクチャは、ネットワークサービスプロバイダによって管理しながら、閉グループのメンバに提供される「サービスのネットワーク」を計画する。エクストラネットサービスモデルは、アプリケーションレイヤ解決法、ネットワークプロバイダのインフラの上部に構築されたオーバーレイネットワークであることが好ましい。
本発明の一態様によれば、サービスネットワーク内にネットワークサービスを提供する装置は、クライアントによって提供されたネットワークサービスをサービスネットワークの別のクライアントに対して利用可能にする、サービスネットワークの別のクライアントによって提供されたネットワークサービスを使用する、またはクライアントによって提供されたネットワークサービスをプライベートサービスネットワークの別のクライアントに対して利用可能にもし、サービスネットワークの別のクライアントによって提供されたネットワークサービスを使用もするために、サービスネットワークの認証ポリシーにしたがってサービスネットワークへのクライアントアクセス用の規則を施行し、認証されたクライアントがサービスネットワークへアクセスすることを可能にするように構成されたポリシー施行モジュールを含んでいる。
ポリシー施行モジュールはさらに、認証されたクライアントがネットワークサービスをサービスネットワーク内であらゆる他のクライアントに対して利用可能にし、ネットワークサービスに関連するそれぞれのサービスポリシーにしたがって別のクライアントによって提供されたネットワークサービスを使用することができるように構成することができる。
装置はまた、認証されたクライアントとサービスネットワークの間、サービスネットワーク内、およびサービスネットワークとサービスネットワークの宛先クライアントの間の安全な端末間通信を施行するセキュリティモジュールを備えることができる。
いくつかの実施形態では、セキュリティモジュールは規則に基づく認証および許可アクションを通信トラフィックに適用し、認証および許可アクションに応じて通信トラフィックを通過させるまたは落とす。追加のセキュリティ規則はまた、通信トラフィックに適用することもできる。
装置はまた、ポリシー施行モジュールに動作可能に結合され、制御トラフィックまたはデータトラフィックとして認証されたクライアントに関連するトラフィックを分類し、サービスレジストリ内での公開のために認証されたクライアントによって提供されるネットワークサービスに関連する情報を含む制御トラフィックを伝送し、次の処理のためにデータトラフィック内のＳＯＡＰ情報を変更するように構成されたシンプルオブジェクトアクセスプロトコル（ＳＯＡＰ）プロキシモジュールを含むことができる。
ユニバーサルディスクリプションディスカバリアンドインテグレーション（ＵＤＤＩ）プロキシモジュールはまた、ＳＯＡＰプロキシモジュールに動作可能に結合することができる。この場合、ＳＯＡＰプロキシモジュールはさらに、受けたＵＤＤＩ制御トラフィックを特定し、次の処理のためにＵＤＤＩプロキシモジュールに受けたＵＤＤＩ制御トラフィックを転送するように構成されている。受けたＵＤＤＩ制御トラフィックは、ネットワークサービスルックアップに対する要求を含むことができる。ＵＤＤＩプロキシモジュールは、要求のローカルまたはリモート解決を処理し、各要求を開始させたクライアントに反応する。
サービス処理モジュールはまた、ＳＯＡＰプロキシモジュールに動作可能に結合し、ＳＯＡＰプロキシモジュールでデータトラフィックを交換するように構成することができる。
ポリシー施行モジュールは、認証されたクライアントがサービスレジストリに対してネットワークサービスに関連する情報を公開し、サービスレジストリにアクセスして別のクライアントによって提供されたネットワークサービスを使用することを可能にする。ネットワークサービスに関連する情報は、サービスネットワークの別のメンバによる使用のためのネットワークサービス用のアクセス規則を特定するアクセス情報を含むことができる。サービスレジストリからのサービスネットワークの別のクライアントによって提供されたネットワークサービスに関連する情報へのアクセスは、その別のクライアントによって特定されるアクセス規則によりポリシー施行モジュールによって制御される。
いくつかの実施形態で提供される転送／ルーティングモジュールは、サービスネットワーク内の通信トラフィックをルーティングし、レイヤ１転送方法、レイヤ２転送方法、インターネットプロトコル（ＩＰ）ルーティング、および拡張マークアップ言語（ＸＭＬ）ルーティングの少なくとも１つをサポートする。
サービスネットワークの変換ポリシーによる認証されたクライアント、およびサービスネットワークへの転送のためのそれぞれのフォーマット間の通信トラフィック変換などの他の機能はまた、ポリシー施行モジュールによって実行または管理することができる。
この装置はまた、例えばサービスネットワークを提供する通信システムのクライアントゲートウェイ内で実施することができる。システムのネットワークコントローラは、クライアントゲートウェイによって施行されるポリシー、および利用可能なネットワークサービスのレジストリを管理するクライアントゲートウェイに動作可能に結合されている。
サービスネットワーク内で利用可能なネットワークサービスに関連するポリシーを管理する装置も提供され、サービスネットワークのクライアントがこれを通してサービスネットワークにアクセスするクライアントゲートウェイに動作可能に結合されるクライアントゲートウェイインターフェイス、およびポリシーマネージャを備えている。ポリシーマネージャは、クライアントゲートウェイインターフェイスに動作可能に結合され、クライアントゲートウェイにネットワークサービスポリシーによるサービスネットワークのクライアントによるネットワークサービスへのアクセスを制御させるように、クライアントゲートウェイインターフェイスを通してクライアントゲートウェイへのそれぞれのネットワークサービス用のアクセス制御を特定するネットワークサービスポリシーを分配するように構成されている。
ポリシーマネージャはさらに、サービスネットワークでのクライアントの認証、およびクライアントゲートウェイによってデータトラフィックに適用されるフォーマット変換の少なくとも１つを管理する。
いくつかの実施形態では、ネットワークサービスポリシーはネットワークサービスポリシーレジストリ内に記憶されたポリシーを含み、ポリシーマネージャはさらにネットワークサービスポリシーレジストリを維持し、ネットワークサービスポリシーレジストリ内に、ネットワークサービスが提供されるサービスネットワークのクライアントから受けた既存のネットワークサービスポリシーを統合するように構成されている。
この装置はまた、クライアントゲートウェイインターフェイスに動作可能に結合され、サービスネットワークによりクライアント通信の安全性を管理するように構成されたセキュリティマネージャと、サービスネットワーク内で利用可能なネットワークサービスのレジストリ、サービスタイムアウト情報、拡張マークアップ言語（ＸＭＬ）スキーマ、サービスコントラクト、サービス品質（ＱｏＳ）パラメータ、サブスクリプション情報、アドレス指定情報、請求書作成情報、サービス内容合意（ＳＬＡ）監視情報、トランザクショナルネットワークサービスアクティビティ監視情報、アクティビティログ、パフォーマンス監査情報、および例外警告の少なくとも１つを管理するように構成されたレジストリマネージャと、クライアントゲートウェイインターフェイスに動作可能に結合され、クライアントゲートウェイによって捕捉された監査レコードを受けて管理するように構成されたシステムマネージャのいずれかまたは全てを含むこともできる。
ポリシー管理装置は、例えば、ネットワークサービスプロバイダによって提供されたプライベートネットワークサービスがクライアントゲートウェイを通してネットワークサービスコンシューマにアクセス可能とされたサービスネットワークを提供する通信システムのネットワークコントローラ内で実行することができる。
サービスネットワーク内で利用可能なネットワークサービスを管理する装置はまた、本発明の別の態様により提供され、サービスネットワークのクライアントがサービスネットワークにアクセスするクライアントゲートウェイに動作可能に結合されるクライアントゲートウェイインターフェイスと、クライアントゲートウェイインターフェイスに動作可能に結合され、サービスレジストリ内の情報に関する要求をクライアントゲートウェイから受け、それに応じて要求された情報を提供し、クライアントゲートウェイからサービスネットワーク内で利用可能にされるネットワークサービスに関連する情報を受け、サービスレジストリ内の受けた情報を公開し、ネットワークに関連するサービスレジストリ内の情報の変更に対するサブスクリプションをクライアントゲートウェイから受け、サブスクリプションに応じた変更に通知を送信するように構成されたレジストリマネージャとを備えている。
いくつかの実施形態では、通信システムは、装置を含むネットワークコントローラと、サービスレジストリを記憶するためにネットワークコントローラに動作可能に結合されたメモリと、サービスネットワークの少なくとも１つのクライアントおよびメモリに動作可能に結合され、少なくとも１つのクライアントによってサービスレジストリ内で公開されたネットワークサービスへのアクセスを制御するように構成されたクライアントゲートウェイとを備えている。
本発明のさらに別の態様によるサービスネットワーク内にネットワークサービスを提供する方法は、プライベートサービスネットワークのクライアントを認証および許可するステップと、クライアントが許可された場合に、クライアントによって提供されたネットワークサービスをサービスネットワーク内で利用可能にする、またはクライアントが許可されるサービスネットワークの別のクライアントによって提供された特定のネットワークサービスまたはネットワークサービスのグループを使用するようにクライアントがサービスネットワークにアクセスすることを可能にするステップとを含んでいる。
ネットワークサービスを利用可能にする動作は、サービス公開のためにサービスネットワークとの接続を開始するステップを含むことができる。クライアントがサービスネットワークとアクセスすることを可能にする動作は、ターゲットのネットワークサービスとの接続を開始し、ターゲットのサービスへ要求を送信し、そこから回答を受信することによってターゲットのネットワークサービスをクライアントが使用することを可能にするステップを含むことができる。可能にする動作はまた、クライアントがネットワークサービスのレジストリを参照して、特定のネットワークサービスまたはネットワークサービスのグループ用の情報にアクセスする、または特定のネットワークサービスまたはネットワークサービスのグループ用のレジストリレベルでの変更にサブスクライブすることを可能にするステップを含むことができる。
ネットワークサービスアベラビリティは、ネットワークサービスのサービスポリシーにより制御することができる。この場合、可能にするステップは、クライアントによる使用を許可する関連するサービスポリシーを有するネットワークサービスを決定するステップを含むことができる。
本発明の他の態様および特性は、その特定の例示的実施形態の以下の説明を参照して当業者には明らかになるだろう。
次に、本発明の実施形態の例を添付の図面を参照してより詳細に説明する。
図１は、本発明の実施形態を組み込んだ通信システムのブロック図である。通信システム１０は、企業システム１２、２２と、モバイルエンドユーザシステム１３と、クライアントゲートウェイ１６、２６と、サービスネットワーク２０と、全体を１８で示すデータトラフィックスイッチおよびルーティングコンポーネントと、ネットワークコントローラ２８とを備えている。
多くの企業システム１２、２２および／またはモバイルエンドユーザシステム１３などのエンドユーザシステムをクライアントゲートウェイ１６、２６に接続することができ、また多くのクライアントゲートウェイ１６、２６がサービスネットワーク２０の境界にある可能性があるが、複雑にするのを避けるためにこれらのコンポーネントのそれぞれの例示的な実施例のみを図１に示した。例えばサービスネットワーク２０を最初に展開した場合に単一の企業システム１２、２２および単一のクライアントゲートウェイ１６、２６のみが設けられている実施も考えられる。したがって、図１のシステムと、他の図の内容は単に例示的な目的を意図したものであって、本発明は図面にはっきりと示し、本明細書に記載した特定の例示的な実施形態に限るものではないことを理解すべきである。
企業システム１２、２２は、サービスネットワーク２０全体を通して提供および管理されたウェブサービスアプリケーションを提供できるか、使用できるか、または提供も使用もすることができるネットワークを示している。普通の設置では、企業システムは企業内に入る外部アクセス制御を提供し、およびフィルタ外部トラフィックをフィルタリングするためのファイアウォール、トラフィックスイッチおよびルーティング機器、ネットワークサービスをサポートする１つまたは複数のサーバ、およびユーザ端末、図ではパソコンなどのコンポーネントを備えている。企業プライベートネットワークは、企業システム１２の一実施例である。
モバイルエンドユーザシステム１３は、特定の企業システムの一部ではないクライアントシステムの例示的なものである。エンドユーザシステムは、図示するように、移動可能であっても、または固定でもよい。モバイルエンドユーザシステム１３は、例えばウェブサービスモバイルゲートウェイを通してクライアントゲートウェイ１６に接続することができる。モバイルエンドユーザシステム１３と、固定エンドユーザシステムは代わりに、クライアントゲートウェイ１６に物理的に接続することができる。ポータブルコンピュータシステムは、アクセスネットワーク内での異なる位置および物理的接続によりクライアントゲートウェイに接続することができるという点において移動可能である。
当業者は、ネットワークサービスを提供および／または使用する多くの異なるタイプの企業システムおよびエンドユーザシステムに詳しいだろう。本発明の実施形態は、どのようにこれらのサービスが実際に企業システム１２、２２内でサポートされているか、またはモバイルエンドユーザシステム１３、したがって企業システム１２、２２などのエンドユーザシステムで使用されているかに対して、企業環境の外側でこのような企業ネットワークサービスを提供および使用することに主に関し、その操作を本発明の適切な態様に必要な範囲で本明細書で簡単にのみ説明する。
企業システム１２、２２およびモバイルエンドユーザシステム１３内で、例えばソフトウェアアプリケーションとして実行することができる仮想エクストラネットサービスポータルは、エンドネットワークサービスプロバイダおよびコンシューマがサービスネットワーク２０と相互作用することを可能にする。サービスポータルは、ユーザがサービスネットワーク内にログインし、フェデレーション識別または別の認証スキームによりサービススキームで認証することを可能にし、またエンドユーザがネットワークサービスを提供および／または消費する方法に実質的に影響を与えることなく、様々なサービスリストの表示などの他の追加の能力を可能にすることもできる。
接続１４、１５、２４は図１に示すように直接接続、または中間コンポーネント、および場合によってはアクセスネットワークと本明細書で全体的に呼ぶ他の通信ネットワークを横切る間接接続であってもよい。しかし、本発明は企業システム１２、２２、モバイルエンドユーザシステム１３、およびクライアントゲートウェイ１６、２６の間のネットワーク接続、またはあらゆる他の特定のタイプの接続に限るものではない。接続１４、１５、２４はしたがって、直接、間接、有線、および無線接続のいずれかを含むことができる。
サービスネットワーク２０へのアクセスは、クライアントゲートウェイ１６、２６によって企業システム１２、２２およびモバイルエンドユーザシステム１３に提供される。クライアントゲートウェイ１６、２６は、サービスネットワークプロバイダインフラ内のエッジデバイスであり、サービスネットワーク２０によって提供される仮想エクストラネットサービス内のゲートウェイを示している。各クライアントゲートウェイ１６、２６は基本的に、例えば、ネットワークサービスおよびＸＭＬ「スタンダード」と、新規特性に対するプロキシをサポートするウェブサービスゲートウェイ機能を実行するための安全ネットワークサービスプロキシアプライアンスである。一実施形態によると、クライアントゲートウェイ１６、２６はハードウェアを使用して少なくとも部分的に実施される高パフォーマンスデバイスであり、サービスネットワークプロバイダによって展開するための埋め込みソフトウェアで本明細書に開示されるような操作に対して構成されている。クライアントゲートウェイ１６、２６の例示的な実施例を、図２を参照して以下に詳細に説明する。
２つのタイプのサービスプロバイダがシステム１０内に含まれていることは前述のことから明らかだろう。ネットワークサービスは、企業システム１２、２２の一方または両方によって提供される。サービスネットワーク２０は、別のサービスプロバイダによって提供される。企業システム用のネットワークサービスプロバイダはしたがって、ネットワークサービスを提供し、サービスネットワーク２０のプロバイダはネットワークサービスプロバイダに、ネットワークサービスプロバイダが（１つまたは複数の）ネットワークサービスを独自のプライベートシステムの外側にあるネットワークサービスコンシューマによる使用で利用可能にすることができるサービスのネットワークを実行する別のサービスを提供する。ネットワークサービスのプロバイダは、本明細書では基本的に、ネットワークサービスプロバイダと呼ばれ、サービスネットワーク２０のプロバイダはサービスネットワークプロバイダと呼ばれる。したがって、ネットワークサービスプロバイダは１つまたは複数のネットワークサービスを提供し、サービスネットワークプロバイダはこれらのネットワークサービスを、図では仮想エクストラネットサービスモデル内で内部で管理し、外部で提供することを可能にする。多くの実施では、サービスネットワークプロバイダはまたサービスネットワークが構築された下層通信ネットワークを所有または操作することが期待されているが、これは本発明の全ての実施形態に当てはまる必要はない。
ネットワークコントローラ２８は、サービスマネージャの制御平面機能性を提供し、通信ネットワークのオペレータによって展開される、ネットワーク規模のデバイス、図ではエッジルータ用の専用カードまたは専用ＸＭＬアプライアンスとして実行することができる。仮想エクストラネットサービスを管理し、仮想エクストラネット内で公開された全てのウェブサービス、ポリシー、サービス内容合意（ＳＬＡ）、他のネットワーク監視データ用の中央格納庫をホスティングし、端末間ネットワークサービスアプリケーション用のポリシーを安全化、管理、提供および記憶するのに使用される。ネットワークコントローラ２８は、クライアントゲートウェイ１６、２６と同様に、図３を参照して例示的な実施例によって、以下にさらに詳細に説明する。
データトラフィックは、クライアントゲートウェイ１６、２６、および全体を１８で示すデータスイッチおよび／またはルーティング機器を通してサービスネットワーク２０を横切る。制御／管理トラフィックはネットワークコントローラ２８によって処理され、データトラフィックはクライアントゲートウェイ１６、２６によって、そこからスイッチ／ルーティングコンポーネント１８によって処理される。
サービスネットワーク２０は、仮想エクストラネットアーキテクチャとして実行することができる。一実施形態では、仮想エクストラネットは、例えば供給者（サプライヤ）、製造供給者（ベンダ）、パートナ、消費者、または他の企業を含む多数の企業と企業の情報または事業の一部を安全に共有するように、例えばインターネット技術および下位レイヤ１、２、３および４技術を使用するプライベート管理サービスネットワークの一種として、基本ネットワークプロバイダインフラ上に構築されたアプリケーションオーバーレイネットワークを示している。
オーバーレイネットワークはこの場合、ＸＭＬルータデバイスで示される、レイヤ１または２転送、ＩＰルーティングおよび／またはアプリケーションレベルルーティングを使用して実行することができる仮想ネットワークファブリックを示している。仮想エクストラネットネットワークは、同期通信、例えばＲＥＱＵＥＳＴ／ＲＥＳＰＯＮＳＥ、および非同期通信に対する接続性および機構を提供することができる。
サービスネットワーク２０、２３の仮想ネットワーク内のアプリケーションレベルオーバーレイは、ＸＭＬルータなどのアプリケーションレベルルータを使用して実施することができる。アプリケーションレベルルータは、下層通常ネットワーク機器を使用してだが、互いにおよびアプリケーションレイヤでのクライアントゲートウェイと通信する。オーバーレイネットワークは普通、信頼性のあるマルチキャストを実行するように、伝送制御プロトコル（ＴＣＰ）などの信頼性のあるポイント間バイトストリームを使用する。サービスネットワーク２０をオーバーレイとして構築することにより、サービスネットワーク２０を従来のプライベートネットワークサービス共有技術と比べて比較的簡単に変更および展開することが可能である。オーバーレイサービスネットワークはまた、ＸＭＬパケットを効果的にルーティングすることができるロバストメッシュを構築する効果的な方法である。
本発明が属する技術分野の当業者は、アプリケーションレイヤネットワークをオーバーレイすることができる多くの異なるタイプの通信ネットワークに詳しいだろう。本発明は、いかなる方法でもあらゆる特定のタイプの下層通信ネットワークに限るものではない。
また、本発明の実施形態はオーバーレイネットワークの代わりに、より下位レイヤの技術を使用して実施することができることを理解すべきである。オーバーレイネットワークアーキテクチャは、サービスネットワーク２０の可能な実施の一例である。
操作中、サービスネットワーク２０は企業システム１２、２２のいずれか一方によって提供されるネットワークサービスを、他の企業システム内のユーザ、およびモバイルエンドユーザシステム１３などのサービスネットワーク２０の他のメンバとアクセス可能にすることを可能にする。サービスネットワーク２０によって実行されるサービスは、それぞれ通信プロトコルおよび管理機能をサポートする、２つの個別のタイプのネットワーク要素、クライアントゲートウェイ１６、２６およびネットワークコントローラ２８によってサポートされる。
サービスネットワーク２０のフレームワークは、通信プロトコル、サービス記述、およびサービスディスカバリを含む３つの領域に分割することができる。一実施形態では、サービスネットワーク２０は、これらの領域のそれぞれに対して開発された既存のスタンダードおよび仕様を使用する。
例えば、通信プロトコルの領域では、ＳＯＡＰはウェブクライアントとウェブサーバアプリケーションの間でウェブサービスメッセージをトランスポートするのに使用することができる１つの標準プロトコルである。ＳＯＡＰはまた、使用されているルーティングおよびセキュリティ機構に関する追加情報の伝送を行う。
ウェブサービス記述言語（ＷＳＤＬ）は、ウェブサービスメッセージの記述を行い、ネットワークサービス技術に対する標準化された解決法の実施例を示すＸＭＬベース言語である。
これらのウェブサービスプロトコル（ＳＯＡＰおよびＷＳＤＬ）は、カスタムコードを必要とすることなく、あらゆるプラットフォーム上のあらゆるところで機能性をバインドおよび実行する能力およびメッセージング機器を提供する。
１つのよく知られているサービスディスカバリ機構は、ユニバーサルディスクリプションディスカバリアンドインテグレーション（ＵＤＤＩ）である。ＵＤＤＩは、企業およびアプリケーションが、インターネット上でウェブサービスをすばやく見つけることを可能にし、操作レジストリを維持することを可能にする。異なる企業からのＵＤＤＩリスト利用可能ウェブサービスは、その記述、ロケーション、サービス記述、関連するアクセスリストおよびセキュリティレベルを与える。
本明細書で言及され、本発明の実施形態を実施するのに使用することができる他のウェブサービス基準は、信頼性のあるメッセージング（ＷＳ信頼性）、ポリシー（ＷＳポリシー）、およびフェデレーション識別（ＷＳフェデレーション）に関する標準を含んでいる。
上記仕様および基準がよく知られているが、本発明の実施形態によればサービスのネットワークを提供するこれらの基準の使用は知られていない。
上に簡単に説明したように、クライアントゲートウェイ１６、２６は、サービスネットワーク２０によって提供された仮想エクストラネットサービスのクライアント用のサービス運搬ポイントである。クライアントゲートウェイ１６、２６はまた、プライベートエクストラネットサービスへの安全なアクセスを提供して、図１のサービスのプロバイダおよびクライアントの両方、企業システム１２、２２、およびモバイルエンドユーザシステム１３を保護する。
サービスネットワーク２０を通したクライアントゲートウェイ１６、２６間の通信は、安全であることが好ましい。ＷＳセキュリティ、ＸＭＬ暗号化、およびＸＭＬ署名などの標準ベースセキュリティ技術を使用して、企業システム１２、２２、および場合によってはモバイルエンドユーザシステム１３に対して普通は既に確立された現行の企業入口および出口証明書を活用しながら、安全通信を提供することができる。これらの標準ベース技術と、当業者に自明である他の技術は、企業システム１２、２２内の認証されたサービスコンシューマ、およびモバイルエンドユーザシステム１３が仮想エクストラネットサービスネットワーク２０に参加することができることを保証する。
クライアントゲートウェイ１６、２６はまた、入ってくる通信トラフィックデータを、ネットワークコントローラ２８に転送される制御トラフィック、およびコンポーネント１８を通して宛先に向かって転送されるデータトラフィックに分類および分割する。
普通、ウェブサービスアプリケーションなどのネットワークサービスの潜在的コンシューマは、存在すると知られているネットワークサービスの使用を行うことしかできない。したがって、ネットワークサービスプロバイダが潜在的コンシューマに対するネットワークサービスの存在と通信することが望ましい。これは、例えばレジストリに対してネットワークサービスを公開することによって達成することができる。図１のシステム１０では、クライアントゲートウェイ１６、２６により、企業システム１２、２２がサービスネットワーク２０に対してそれぞれの内部ネットワークウェブサービスを公開することを可能にする。クライアントゲートウェイ１６、２６はまた、企業システム１２、２２およびモバイルエンドユーザシステム１３が、サービスネットワーク２０の他のメンバによって提供された外部ネットワークサービスを消費することを可能にする。
本明細書にさらに詳細に開示するように、企業システム１２、２２によって提供されたサービスがサービスネットワーク２０の他のメンバに利用可能にされる範囲は、クライアントゲートウェイ１２、２２およびネットワークコントローラ２８によって制御することができる。
ネットワークサービスプロバイダはしたがって、サービスネットワーク２０の他のメンバによる使用のためにサービスネットワーク２０に対して内部ネットワークサービスを公開することができる。多くの実施では、サービスネットワーク２０および各企業システム１２、２２は、安全プライベートネットワークであることが期待され、接続１４、１５、２４上の通信も安全である。これは、安全トンネル技術を使用して達成することができ、その例は当業者にはすぐに分かるだろう。クライアントゲートウェイ１６、２６のアクセスおよびネットワーク側の両方での安全通信は、サービスネットワーク２０のメンバに利用可能なプライベートネットワークサービスがサービスネットワーク２０のメンバによってのみ提供され、サービスネットワーク２０のメンバによって消費することしかできない安全レベルを提供する。
ネットワークサービスプロバイダおよびコンシューマによるサービスネットワーク２０との通信が、クライアントゲートウェイ１６、２６を横切るので、クライアントゲートウェイ１６、２６はまた、例えば規則およびポリシーコンプライアンスを維持するために、ローカルでおよび／またはネットワークコントローラ２８によって使用することができる包括的監査記録を捕捉することができる。監査記録はまた、あるいは代わりに、コンシューマに対するサービスチャージを認めるためのマイクロ請求書作成能力を有する請求書作成システムなどの他のコンポーネントまたはシステムによって使用することができる。
ネットワークコントローラ２８は、サービスネットワーク２０に対して中央制御平面機能を与え、したがって、ネットワークサービスグローバル格納庫を維持する主な責任を有するネットワークサービスマネージャの機能性を実施する。クライアントゲートウェイ１６、２６と同様に、ネットワークコントローラ２８は、サービスネットワークプロバイダによる展開のために標準ベースソフトウェアを備えた高パフォーマンスハードウェアベースデバイスとして実施することができる。ネットワークコントローラ２８は、端末間ネットワークサービスアプリケーション用ポリシーを保護、管理、提供、および施行するために、また利用可能なネットワークサービスのリストを表示および管理するために、サービスネットワーク２０の仮想エクストラネットサービスを管理するために使用される。ネットワークコントローラ２８はサービスネットワーク管理実体であり、クライアントゲートウェイ１６、２６は実際のデータに関するポリシーおよびセキュリティ規則を施行する。データトラフィックは、クライアントゲートウェイ１６、２６を通して図１に１８で示すプロバイダのコアネットワークを横切り、ネットワークコントローラ２８は制御および管理トラフィックを処理する。
ネットワークコントローラ２８は、ロケーション、所有権、アクセスレベルグループ、サービスリスト、およびネットワークサービスの他の基本的特徴などの情報のネットワークウェブサービス記憶および管理、中央ポリシー格納庫および権利管理、セキュリティ仕様、例えばエンドビジネス間トランザクションに適切な難しいサービス品質（ＱｏＳ）要件などのＳＬＡ要件、およびクライアントプロファイル、トランザクション監査サービス、ログなどのものに対する追加の格納庫を含む、コア機能の少なくともサブセットを実施することが好ましい。
端末間トランザクションセキュリティ、メッセージトランスポートの信頼性、および識別管理を提供することができるように、ネットワークサービスプロバイダおよびサービスネットワークプロバイダは通常、１セットの組み合わせた管理機能を提供するように中間グラウンド上で接触しなければならないだろう。ネットワークコントローラ２８は、クライアントゲートウェイ１６、２６と合わせて、サービスネットワーク２０のエッジで同じ機能を提供する標準ベースプロキシモジュールを備えた各企業のプライベート管理方法およびツールに代えることによって、企業システム１２、２２の負担を取ることができる。
ネットワークコントローラ２８はまた、ローカル企業アプリケーションを識別プロバイダサービス、ＸＭＬデジタル署名検証サービス、ＸＭＬスキーマインテグリティなどの特定のセキュリティ態様を提供することから解放することによって、いくつかのセキュリティ機能をエクストラネットに委任することを可能にすることもできる。仮想エクストラネットサービスを使用することによって、企業内および間のアプリケーションインテグレーションはより簡単および効率的になり、エンドコンシューマビジネスアプリケーションはより見えるようになり、企業システムへのパートナの追加に関連する費用および複雑性が少なくなる。
ネットワークコントローラ２８はまた、サービスネットワーク２０の全てまたは選択したメンバへサービスネットワーク２０内の内部ネットワークサービスのリストを安全に提供する手続きを管理する。
クライアントゲートウェイ１６、２６およびネットワークコントローラ２８の操作を、図２および３を参照して以下にさらに詳細に説明する。
クライアントゲートウェイ１６、２６を最初に考えると、図２は例示的クライアントゲートウェイのブロック図である。クライアントゲートウェイ３０は、サービスネットワークインターフェイス３２と、アクセスネットワークインターフェイス３４と、インターフェイス３２、３４およびメモリ３７に動作可能に結合されたポリシー施行モジュール３６と、ポリシー施行モジュール３６およびメモリ３７に動作可能に結合されたセキュリティモジュール３８と、インターフェイス３２、３４、ポリシー施行モジュール３６、セキュリティモジュール３８、およびメモリ３７に動作可能に結合されたＳＯＡＰプロキシモジュール４２と、ＳＯＡＰプロキシモジュール４２およびメモリ３７に動作可能に結合されたデータコレクタモジュール４０と、ポリシー施行モジュール３６、セキュリティモジュール３８、ＳＯＡＰプロキシモジュール４２、およびアクセスネットワークインターフェイス３４に動作可能に結合されたＵＤＤＩプロキシモジュール４１と、ポリシー施行モジュール３６、セキュリティモジュール３８、およびＳＯＡＰプロキシモジュール４２に動作可能に結合されたサービス処理モジュール４３と、サービス処理モジュール４２、サービスネットワークインターフェイス３２、およびアクセスネットワークインターフェイス３４に動作可能に結合された転送／ルーティングモジュール４４とを備えている。このような接続は混乱を避けるために図２に明示的には示していないが、クライアントゲートウェイ３０の他のコンポーネントのいずれかまたは全てを、メモリ３７および／またはデータコレクタモジュール４０に動作可能に結合することができることを理解すべきである。
アクセスネットワークインターフェイス３４は、これを通してクライアントゲートウェイ３０が企業システム、または他の形のネットワークサービスプロバイダまたはコンシューマに接続するリモートアクセスポイントを示している。図２ではアクセスネットワークインターフェイスとして示されているが、ネットワークサービスプロバイダおよびコンシューマは、必ずしもネットワーク接続によりクライアントゲートウェイと通信する必要はない。したがって、インターフェイス３４は、厳密にネットワーク接続であってもなくてもよい、アクセス接続を通してサービスネットワークのメンバにインターフェイスを提供することを理解すべきである。
アクセスネットワークインターフェイス３４の構造および操作は、クライアントゲートウェイ３０がそのクライアントと通信する接続のタイプに左右される。普通、アクセスネットワークインターフェイス３４は、通信媒体と通信信号を交換する物理的コンポーネントと、通信信号を生成および処理するハードウェアおよび／またはソフトウェア実行コンポーネントとを備えている。このようなインターフェイスの様々な実施形態は当業者には自明のことであろう。
一実施形態によれば、アクセスネットワークインターフェイス３４は、サービスネットワーク２０内に接続しようとするクライアントに対するセキュリティトンネル終端を行う（図１）。仮想ローカルエリアネットワーク（ＶＬＡＮ）トンネル、ポイントツーポイントプロトコル（ＰＰＰ）、マルチプロトコルラベルスイッチング（ＭＰＬＳ）、およびＩＰセキュリティ（ＩＰＳｅｃ）は全て、クライアントと通信するためにアクセスネットワークインターフェイス３４によって使用することができるプロトコルの例である。他のプロトコルおよび通信スキームは、当業者に自明のことであろう。
メモリ３７は、情報を記憶するための、固体メモリデバイスなどの１つまたは複数のメモリデバイスを備えることができる。移動可能および／または取外可能記憶媒体と合わせて使用するメモリデバイス、および異なるタイプの多数のメモリデバイスを含む他のタイプのメモリデバイスはまた、メモリ３７として提供することができる。クライアントゲートウェイ３０内でメモリ３７として実行される１つまたは複数のメモリデバイスのタイプは、設計の問題であり、クライアントゲートウェイ３０が中で実行される機器の特定のタイプに左右される。例えば通信機器用回路カードは通常、メモリ３７などの揮発性または不揮発性固体メモリデバイスである。
本明細書を読み進めるとともに明らかになるように、メモリ３７内に記憶された情報は、それぞれの機能を行う際にクライアントゲートウェイ３０の機能コンポーネントによって使用することができる。機能コンポーネント３６、３８、４０、４１、４２、４３、４４のいずれかまたは全ては、メモリ３７内に記憶された情報にアクセスすることができる。同様に、混乱を避けるために図２にはメモリ３７とインターフェイス３２、３４の間の接続が示されていないので、これらのインターフェイスまたはその内部コンポーネントはまたメモリ３７と相互作用することができる。
機能コンポーネント３６、３８、４０、４１、４２、４３、４４のいくつかまたは全てと、インターフェイス３２、３４の内部機能またはコンポーネントは、メモリ３７内に記憶することもできるソフトウェアとして実行することができる。
図２のコンポーネント間の内部接続の形は、クライアントゲートウェイ３０が実施される、特定のタイプの機器に左右される。例えば内部バス構造はしばしば、電子デバイス内で使用されるが、他のタイプの接続を内部バスに加えて、またはその代わりに使用することができる。また、相互接続は例えばソフトウェアベース実行の場合と同様に、必ずしも物理媒体を介してである必要はないことを理解すべきである。
クライアントゲートウェイ３０のサービスネットワーク機能を実行する機能コンポーネントは、図２のアクセス側機能よりいくらか詳細に示されている。というのは、本発明の実施形態は基本的に、アクセスネットワークインターフェイス３４のサービスネットワーク側で行われる機能に関するからである。例えば、アクセスネットワークインターフェイス３４はアクセス接続に対するセキュリティ機能を提供するが、ネットワーク側セキュリティ機能を提供するセキュリティモジュール３８が、図２のサービスネットワークインターフェイス３２とは別に示されている。他のネットワーク側機能コンポーネントは同様に、図示する目的で、図２に別に示されている。
クライアントゲートウェイ３０内の別個の機能コンポーネントのこの図示は、本発明を制限することを意図したものではない。クライアントゲートウェイのネットワーク側機能は、場合によっては異なる相互接続で、図２に明示的に示すのよりさらに多いまたは少ないコンポーネントを使用して実施することができる。例えば、ポリシー施行モジュール３６の機能は、ポリシーを適用する各コンポーネント内に組み込むことができる。セキュリティポリシーは、例えば、セキュリティモジュール３８によって管理も適用もできる。
ソフトウェアベースの実施形態では、機能はそれぞれのソフトウェアモジュール内で実施する、または単一のハードウェアコンポーネント、すなわちマイクロプロセッサなどのプロセッサ、特定用途向け集積回路（ＡＳＩＣ）、デジタルシグナルプロセッサ（ＤＳＰ）、またはマイクロコントローラによる実行のためにより少ないソフトウェアモジュール内に組み込むことができる。ソフトウェアは代わりに、例えば、多数のハードウェアコンポーネント、マイクロプロセッサ、およびＤＳＰ、またはネットワークプロセッサプラスいくつかのＡＳＩＣおよびＦＰＧＡによって実行することができる。一部の機能がソフトウェア内で実行され、その他がソフトウェアよりも速く動作する傾向があるハードウェア内で実行される組合せた実行も考えられる。
したがって、機能は図２に示すのとは異なる方法で分割または統合することができ、本明細書に記載した機能モジュールのいずれかをソフトウェア、ハードウェア、またはそのいくつかの組合せで実行することができる。
ポリシー施行モジュール３６は、クライアントプロファイル内のサービスネットワーククライアントによって構成され、ネットワークコントローラ２８に対するそのサービスの記述内で公表されるようなネットワークサービスに対するサービスネットワークポリシー施行を実施する。
従来の要件を特定するポリシーアサーション、および例えば、特定のカスタマおよび／またはトランスポートプロトコル選択に必要な認証スキームなどの、ワイヤ上で最終的に明らかになる能力は、クライアントゲートウェイ内で実施される。したがって、これらのポリシーアサーションは、ネットワークコントローラからクライアントゲートウェイ内にダウンロードされ、ポリシー施行モジュール３６によって施行される。
ネットワークサービスプロバイダおよびコンシューマの認証および許可、ネットワークサービスを必要とし、ネットワークサービスに関連する通信トラフィックのプライバシーおよびインテグリティを保証するトランザクションの管理および実証は、他のコンポーネントと合わせてポリシー施行モジュール３６によってポリシーを施行する際に必要とされる可能性がある機能の例である。ポリシー施行モジュール３６は、例えばメッセージデジタル署名を実証することなどによる認証のために、セキュリティモジュール３８と相互作用することができる。したがって、セキュリティポリシーの施行は、ポリシーを管理するポリシー施行モジュール３６、およびクライアントを認証し、例えば場合によっては通信トラフィックを通過させるまたは落とすことによってポリシーを実際に適用するセキュリティモジュール３８の両方を必要とする可能性がある。
したがって、ポリシー施行モジュール３６自体は実際、施行のために管理するポリシーを適用する必要がないことを理解すべきである。ポリシーをサービスネットワーククライアントおよびトランザクションに適用させるためのポリシー施行モジュール３６および他のコンポーネントの間の相互作用は、本明細書を読み進めるとともに明らかになるだろう。
クライアントゲートウェイ３０でのポリシー施行モジュール３６により、現在の企業中心ネットワークサービスで起こるような各特定ネットワークウェブサービスではなく、仮想エクストラネットサービスでのクライアント認証が行われる。アクセスネットワークインターフェイス３４がこれによって通信するネットワークサービスプロバイダシステム内のネットワークサービスコンシューマは、クライアントゲートウェイ３０のクライアントであり、クライアントゲートウェイ３０での単一のサインオンによるサービスネットワークにわたってネットワークサービスへのアクセスを得る。クライアントゲートウェイ３０はしたがって、そのクライアントからサービス毎認証負担を取り除く。クライアント認証で使用される情報は、メモリ３７、好ましくは安全メモリデバイスまたは領域内に記憶することができる１つのタイプの情報の例である。
クライアントＸＭＬデジタル署名が存在しない場合では、ポリシー施行モジュール３６は、セキュリティアサーションの点でエンドネットワークサービスが期待するものによりセキュリティアサーションを生成するように、セキュリティモジュール３８と協働することができる。新規のセキュリティアサーションは、クライアントの認証、およびメッセージのインテグリティをアサートするようにサービスメッセージに取り付けられる。
クライアントの識別「優先」が存在するが、ネットワークサービスの「優先」とは異なる場合、ポリシー施行モジュール３６は、特定のデジタル認証、図ではＸ．５０９認証をセキュリティアサーションマークアップ言語（ＳＡＭＬ）アサーションなどの異なるセキュリティアサーション内にマッピングするように、セキュリティモジュール３８と協働することができる。
ＳＡＭＬ、ＷＳ−Ｆｅｄｅｒａｔｉｏｎ、およびＷＳ−Ｔｒｕｓｔなどの標準により描かれる知られている機構は、これらの機能に使用されることが好ましい。
一実施形態では、ポリシー施行モジュール３６は、フェデレーション識別のハードウェア実施、アクセス制御、およびネットワークコントローラ２８を使用して前もってセットアップされたポリシーの施行を提供する（図１）。フェデレーション識別はユーザが、ユーザ識別を生成および認証し、その後、個人情報を中心記憶することなくドメインとサービスプロバイダの間の識別を共有することが可能になる。
ウェブサービス操作に対して調整されたＳＬＡはまた、クライアントゲートウェイ３０がこれを通してそのクライアントおよびサービスネットワークと通信するアクセス側およびネットワーク側通信リンクのいずれかまたは両方の定位置にあってもよい。ポリシー施行モジュール３６はまた、メモリ３７内に記憶することができる、ＳＬＡ関連パラメータを施行するように通信トラフィックレベルを監視することができる。
上に簡単に説明したように、本発明の実施形態による仮想エクストラネットサービスネットワークはＸＭＬ基準ベースであり、したがってポリシー施行モジュール３６は、以下に説明するサービス処理モジュール４３と合わせて、アクセスネットワークインターフェイス３４を通してクライアントゲートウェイ３０のクライアントから受けた入口データトラフィックに対してＸＭＬメッセージヘッダおよびメッセージペイロード変換を施行することもできる。変換はまた、他のメッセージフォーマットからＸＭＬ基準ベースネットワークサービスメッセージ内に行うことができる。逆変換と、アクセスネットワークおよびサービスネットワーク内で使用された非ＸＭＬフォーマット間の変換も考えられる。
セキュリティモジュール３８は、サービスネットワーク上の通信のセキュリティを保証するようにセキュリティ基準を実行する。いくつかの実施形態では、セキュリティモジュール３８は、ＷＳセキュリティ、ＸＭＬ暗号化／記述、およびＸＭＬ署名などのウェブサービス基準ベースツールを使用してサービスネットワークメンバー間の安全なデータ経路を提供する。これらのツールにより、クライアントゲートウェイ３０は既存のセキュリティプロトコルを利用することが可能であり、許可されたサービスコンシューマが端末間プライベートビジネスネットワークに参加することができることを保証することができる。セキュリティモジュール３８はしたがって、いくつかの実施形態では、コアエクストラネットサービスを凌ぐ改良のために中央認証およびキー管理サービスを示す。セキュリティモジュール３８は、クライアントゲートウェイ３０の全ての他のモジュール、特に、ポリシー施行モジュール３６、ＵＤＤＩプロキシモジュール４１、ＳＯＡＰプロキシモジュール４２、サービス処理モジュール４３、および両方のネットワークインターフェイス３２、３４にセキュリティ機能を与える。これらの機能は、遠隔通信セキュリティの分野でよく知られているプロトコルを使用した、署名の実証、暗号化、復号化、署名、および対称または非対称キーの交換のいずれかまたは全てを含むことができる。
ＳＯＡＰプロキシモジュール４２は、クライアントとサービスネットワークの間のメッセージの流入出のためのＳＯＡＰヘッダ処理を行う。ＳＯＡＰプロキシモジュール４２は、２つのネットワークインターフェイス、アクセスネットワーク３４のインターフェイス、およびサービスネットワークインターフェイス３２内に２つのサービスアドレスを有するホストである。アクセスネットワーク内のクライアントに関する限り、サービスネットワークによってクライアントに公表された全てのサービスは、ＳＯＡＰプロキシモジュール４２から提供されると思われる。
２つの接続されたネットワークのいずれかからのメッセージは、ＳＯＡＰプロキシモジュール４２にアドレス指定され、このモジュールは、ＳＯＡＰメッセージを受け、ヘッダ処理などの機能および変更を行い、メッセージを適切な処理機器、ＵＤＤＩプロキシモジュール４１、またはサービス処理モジュール４３に中継する。また、ＵＤＤＩプロキシモジュール４１およびサービス処理モジュール４３からのメッセージは、ＳＯＡＰプロキシモジュール４２に送信される。ＵＤＤＩプロキシモジュール４１、またはサービス処理モジュールから受信されたメッセージは、例えば情報を処理するユニフォームリソースアイデンティファイア（ＵＲＩ）を加えるように、ＳＯＡＰプロキシモジュール４２によって処理することができる。ＳＯＡＰプロキシモジュール４２はまた、流出するメッセージ上でネットワークサービスポリシーを実施するようにポリシー施行モジュール３６およびセキュリティモジュール３８と相互作用し、その後、適切なインターフェイス上にメッセージを送信する。ポリシー施行、セキュリティ、アクセス制御、監査、およびクライアントゲートウェイ３０の他のモジュールに関連する他の機能はしたがって、各メッセージに対してＳＯＡＰプロキシモジュール４２によってトリガすることができる。
ＳＯＡＰプロキシモジュール４２の操作を例示するために、以下の例示的な実施例が考えられる。１つの企業ＥＢによって別の企業ＥＡに提供されるサービスは、クライアントゲートウェイのＳＯＡＰプロキシモジュールＳＰＡのＵＲＩから提供されているように見えるように、ＥＡに関連するクライアントゲートウェイによってプロキシ化される。企業ＥＢによって提供されるサービスに対する企業ＥＡからのサービス要求は、１組の機能を適用し、サービス処理モジュール４３にメッセージを通過させる、ＳＯＡＰプロキシモジュールＳＰＡに送信される。サービス要求を処理する際、サービス処理モジュール４３は、それぞれＳＯＡＰソースおよび宛先ＵＲＩ ＳＰＡおよびＳＰＢを加える、ＳＯＡＰプロキシモジュールにメッセージを通過させ、ＳＰＢは企業ＥＢのクライアントゲートウェイに関連するＳＯＡＰプロキシモジュールである。要求はその後、ＳＰＡからＳＰＢに送信される。
ＳＯＡＰプロキシモジュールＳＰＢはさらに、ＳＯＡＰソースを操作し、要求を企業ＥＢに転送する前にＳＰＢおよびＥＢにメッセージのＵＲＩをアドレス指定する。逆の方向では、同様の変更がレスポンスに適用される。ＳＯＡＰ ＵＲＩは、サービスＵＲＩ、およびそのサービスに関連するゲートウェイのＳＯＡＰプロキシの両方を記憶するように操作される。
ＳＯＡＰプロキシモジュール４２は、流入するトラフィックを、ＵＤＤＩプロキシモジュール４１に転送されるＵＤＤＩ制御トラフィック、およびサービス処理モジュールに転送されるデータトラフィック、図ではＸＭＬトラフィックに分類および分割する。トラフィック分類は、例えば深いパケット検査を必要とする可能性がある。
混乱を避けるために図２には明示的には示さないが、ＳＯＡＰプロキシモジュール４２のトラフィック分類子は、ネットワークコントローラでの制御および／または管理トラフィックの交換を行うように、サービスネットワークインターフェイス３２、またはネットワークコントローラとの通信をサポートする別のインターフェイスに動作可能に結合することができる。ＳＯＡＰプロキシモジュール４２は制御および／または管理トラフィックをネットワークコントローラから受けることができることも、また理解されるべきである。
ＵＤＤＩプロキシモジュール４１は、新規のウェブサービスを公開する、または既存のウェブサービスの公開された変更にサブスクライブしようとするクライアントから受けた全てのＵＤＤＩ公開要求に対して、サービスエクストラネットネットワークによってホスト化されたＵＤＤＩ中央格納庫内のアクセスポイントとして、また「ファインドサービス」操作を開始するクライアントから受けた全てのＵＤＤＩ照会要求に対して、プロキシモジュールとして働く。ネットワークサービスへのクライアントアクセスは、本明細書で開示されるように、ネットワークサービスポリシーにより制御される。これらのポリシーは、情報がファインドサービスまたはアナログ操作に応じて、クライアントシステムに戻されるネットワークサービスを制限するように、ポリシー施行モジュール３６自体によって、またはＵＤＤＩプロキシモジュール４１と合わせて施行することができる。
ＵＤＤＩプロキシモジュール４１は、入口ＵＤＤＩベースメッセージを期待する。ＵＤＤＩフレームではない全ての他のメッセージは、ＵＤＤＩプロキシモジュール４１によって処分することができる。
ＵＤＤＩプロキシモジュール４１は、クライアントゲートウェイレベルでローカルでＵＤＤＩエントリをキャッシュすることができる。これにより、ＵＤＤＩプロキシモジュール４１が、新規ＵＤＤＩ照会要求を受けた場合に、ローカルエントリルックアップおよび解決を行うことが可能になる。ＵＤＤＩエントリがローカルで見つかる場合、その後ＵＤＤＩレスポンスメッセージが生成され、サービスを要求するクライアントに向かって送信し戻される。
ＵＤＤＩエントリがローカルで見つからない場合、その後、ＵＤＤＩグローバル格納庫内へのグローバルルックアップに対して、ＵＤＤＩ照会メッセージはネットワークコントローラに送信される。エントリはネットワークコントローラによって解決されると、ＵＤＤＩレスポンスは要求が来た同じクライアントゲートウェイに送り戻される。クライアントゲートウェイ３０は、別のＵＤＤＩルックアップ用のＵＤＤＩ情報を習得および記憶することができる。
したがって、ＵＤＤＩプロキシモジュール４１は、サービス要求のローカルおよびリモート解決を処理することができる。
サービス処理モジュール４３は、ＳＯＡＰプロキシモジュール４２からサービスメッセージを受け、サービスメッセージを処理し、サービスメッセージをＳＯＡＰプロキシモジュール４２に送信する。サービス処理モジュール４３の１つの一次機能は、ネットワークサービスに関連し、ネットワークサービスプロバイダとコンシューマの間で交換されているデータトラフィックを処理することである。一実施形態では例えば、ＳＯＡＰプロキシモジュール４２を通してアクセスネットワークから来るサービスメッセージは、サービスネットワークアドレス指定およびフォーマット化規則にそれを適応させるようにメッセージを解析および変更する、サービス処理モジュール４３に送信される。フォーマット化規則は、例えば、ポリシー施行モジュール３６によって管理されるサービスネットワーク変換ポリシー内で特定することができる。サービス処理モジュール４３はその後、対応するサービスメッセージをネットワークサービスプロバイダに関連するクライアントゲートウェイにＳＯＡＰプロキシモジュールを通して、サービスネットワークにわたって送信する。
転送／ルーティングモジュール４４は、サービスネットワーク内の宛先に向けて、転送／ルーティング決定（レイヤ１またはレイヤ２転送、ＩＰおよび／またはＸＭＬルーティング）を行うことが好ましい。このモジュール４４は、ＩＰトラフィックを処理し、必要に応じてＤＮＳルックアップを完備し、ＸＭＬレベルでのネットワーキングを行う能力を有する可能性があるが、他の実施形態は１つだけの、異なる、または場合によっては追加のルーティング機構を提供することができる。
アプリケーションレイヤルーティングが行われる場合、モジュール４４の基本機能は、サービス処理モジュール４３にコンテンツベースルーティングを行うことである。サービス処理モジュール４３は、公開されたメッセージに対してＳＯＡＰ端点を識別するのに、転送／ルーティングモジュール４４を使用することができる。ＳＯＡＰプロキシモジュール４２、サービス処理モジュール４３、および転送／ルーティングモジュール４４の例示的な実施形態は、公開サブスクライブ式ネットワーク用の必要な機構を提供する。
転送／ルーティングモジュール４４のアプリケーションルーティングレイヤは任意であり、通知およびイベント分配タイプサービスをサポートするのによく適している。一実施形態では、アプリケーションルーティングレイヤは、サブスクリプションデータベース内にクライアントサブスクリプションを記憶し、サブスクリプションデータベース内の１式のエントリに一致するＸＭＬマルチキャストドキュメントを受ける際に、ドキュメントを必要とする次のＳＯＡＰ端点を識別するようにこれらのエントリを使用し、ＳＯＡＰプロキシモジュール４２を通してこれらの端点にドキュメントを転送する。ドキュメントのサブスクリプション、およびドキュメントの公開は、ＷＳ−ＮｏｔｉｆｉｃａｔｉｏｎおよびＷＳ−Ｅｖｅｎｔｉｎｇ推奨でアウトライン化された標準化機構にしたがう。
サービスネットワークインターフェイス３２は、少なくとも物理的インターフェイスをサービスネットワークに提供する。サービスネットワークインターフェイス３２のタイプおよび構造、およびサービスネットワークで交換された通知トラフィックで行うことができる他の操作は、サービスネットワーク依存である。このようなネットワークインターフェイスの多くの実施例は、当業者には自明のことであろう。
データコレクタモジュール４０は、次の記憶および処理のために、ネットワークコントローラまたは他のコンポーネントにローカル処理および／または転送することができるリアルタイム管理および請求書作成情報を集める。
全ての操作が、ポリシー施行モジュール３６、およびセキュリティモジュール３８内のセキュリティ施行ポイントで首尾よく実行されると、安全なクライアント識別およびメッセージインテグリティをサービスエクストラネットワーク内で保証することができる。
このポイントで、データコレクタモジュール４０は様々な管理および請求書作成操作に対してリアルタイム情報をプルすることができる。データは、トランザクション監査、パフォーマンス監査、イベント監視、トランザクション端末間ビジネスアクティビティ監視（トランザクション完了／失敗）、アクティビティログ、ＳＬＡ監視、注意およびエラー閾値、警告などのアクティビティに対して集めることができる。データコレクタ４０は、処分ポリシーなどの上で統計をコンパイルするポリシー施行レベルで、セキュリティポリシー毎に処分されるパケットを数えるためにセキュリティモジュール３８の後などに、データパス内の様々なステージのいずれかで情報を収集することができる。
図２に示すようなクライアントゲートウェイは、ネットワークサービスプロバイダがローカルサービスなどのサービスネットワーク内にサービスを提供することを可能にし、ネットワークサービスコンシューマがサービスネットワーク内で利用可能なネットワークサービスを使用することを可能にする、またはその両方のように構成することができる。クライアントゲートウェイ３０のクライアント企業は、企業アプリケーションサーバの形のネットワークサービスプロバイダと、エンドユーザサービスコンシューマの両方を含むことができる。
クライアントゲートウェイ３０のクライアントがクライアントゲートウェイ３０で認証され、そのネットワークサービスをサービスネットワーク内に提供したいと望む場合、クライアントから、図ではアクセスネットワークインターフェイス３４で終端する安全トンネルを通して受ける制御トラフィックは、上記のように処理され、サービスネットワーク内でネットワークコントローラに転送される。
サービスネットワーク内のネットワークサービスのアベラビリティのレベルは、ネットワークサービスプロバイダ、またはネットワークコントローラによって特定される明示アクセス制御規則に基づき決めることができる。ネットワークサービスプロバイダは、独自のプライベート企業システム内のコンシューマによってのみ使用するためにネットワークサービスがプライベートであることを要求することができる。サービスネットワークの他のメンバにアクセス可能ではないが、サービスネットワーク内でのプライベートネットワークサービスへのアクセスを制限することにより、ネットワークサービスプロバイダが、例えばポリシー施行およびレジストリホスティングを含む、サービスネットワークの他の機能を利用することが可能になる。ネットワークサービスプロバイダが、ネットワークサービスが利用可能にされる特定のサービスネットワークメンバまたはグループを特定する、セミプライベートネットワークサービスも想像される。制限されていないネットワークサービスは、サービスネットワークの全てのメンバにアクセス可能である。
所定のネットワークサービスアクセス制御は代わりに、ネットワークコントローラで構成し、ネットワークサービスまたはネットワークサービスのプロバイダのタイプまたはクラスによりネットワークサービスに適用することができる。特定のタイプの、または特定のネットワークサービスプロバイダクラスからの全てのネットワークサービスは、ネットワークサービスプロバイダが例えば最初にサービスネットワークに登録する場合に確立された同じ所定のアクセス制御を有することができる。別の可能な所定のアクセス制御レジュームは、そのグループだけの中で利用可能な既存のビジネス関係を有するネットワークサービスプロバイダのグループのネットワークサービスを作る。
中央ポリシー管理モデルでは、ネットワークサービスに関連するあらゆるアクセス制御はネットワークコントロールによってサービスコンテンツまたはポリシーとして記憶される。これらのポリシーは、ポリシー施行モジュール３６によって各クライアントゲートウェイにダウンロードされ、上記のようにデータトラフィックに適用される。
ネットワークサービス用にアクセス制御を確立および管理するのに使用される特定のアクセス制御スキームに関係なく、提供されたネットワークサービスは、各ネットワークサービス用のあらゆるアクセス制御によりサービスネットワーク内で利用可能にされる。これはいくつかの方法で実行することができる。上記のように、制御トラフィックはサービスネットワーク内のネットワークコントローラに転送され、これによって処理される。この場合、ネットワークコントローラは、サービスネットワーク内のクライアントゲートウェイにアクセス可能であるグローバルレジストリ内のネットワークサービス用の情報を公開することができる。各クライアントゲートウェイはその後、ネットワークサービスに関連するポリシーにしたがって、そのクライアントによって登録されたネットワークサービスへのアクセスを制御する。
本発明は、ネットワークサービスアクセス制御の上記実施例に限るものではない。アクセス制御は、サービスネットワーク内で全て必ずしも実行される必要は全くない。いくつかの実施形態では、サービスネットワーク内に提供された全てのネットワークサービスは、サービスネットワークの全てのメンバに自動的に利用可能である。
ネットワークサービスプロバイダはまた、ネットワークコントローラと制御トラフィックを交換することによって、実質的に同様の方法で例えばアクセス制御を変更するように、ネットワークサービスのポリシーを変更することができることが好ましい。
クライアントはポリシー施行モジュール３６およびセキュリティモジュール４２によって認証されると、クライアントはまた、あるいは代わりに、クライアントゲートウェイ３０を通してサービスネットワーク内で利用可能なネットワークサービスにアクセスすることができる。クライアントがアクセスすることが可能である特定のネットワークサービスは、ポリシー施行モジュール３６によって管理されたポリシーにしたがって制御される。サービスネットワークのグローバルレジストリは、ネットワークコントローラによって記憶され、ポリシー施行モジュール３６にダウンロードされたネットワークサービスポリシー内で特定されるように、全てのクライアントに利用可能ではないネットワークサービス用のレジストリエントリを含むことができる。クライアントゲートウェイ３０のクライアントがアクセス可能となるこれらのネットワークサービスだけが、クライアントに利用可能とされる。
サービスネットワークを通してクライアントゲートウェイ３０のクライアントとリモートネットワークサービスプロバイダの間でその後に交換されるデータトラフィックは、実質的に上に記載されるように処理される。クライアントからリモートネットワークサービスプロバイダに向けられたトラフィックは、セキュリティモジュール３８によってセキュリティポリシーに基づき処理され、ＳＯＡＰプロキシモジュール４２内で変更され、サービス処理モジュール４３内のＸＭＬメッセージタイプに基づき異なるように処理され、最後に、データトラフィックは、ルーティングモジュール４４によってサービスネットワークインターフェイス３２を通してリモートネットワークサービスプロバイダに、または実際はリモートネットワークサービスプロバイダが接続されたクライアントゲートウェイにルーティングされる。
実質的に同様な処理は、クライアントゲートウェイ３０のクライアントによって提供されるネットワークサービスに関連するデータトラフィックに適用される。サービスネットワークインターフェイス３２を通してリモートネットワークカスタマから受けたデータトラフィックは、セキュリティモジュール３８、ＳＯＡＰプロキシモジュール４２、およびサービス処理モジュール４３によってデータトラフィックとして処理され、変更され、また分類および処理される。受けたデータトラフィックはその後、アクセスネットワークインターフェイス３４によってクライアントに転送される。
次にネットワークコントローラ２８（図１）を参照すると、図３は例示的なネットワークコントローラのブロック図である。ネットワークコントローラ５０は、管理システムインターフェイス５２と、ゲートウェイインターフェイス５４と、マネージャ６０、６４、６６、６９に動作可能に結合されたメモリ５６とを備えている。ネットワークコントローラ５０のコンポーネントは、集中アーキテクチャ、または分配および好ましくは中央管理可能アーキテクチャのいずれかに設けることができる。
管理システムインターフェイス５２は、例えば、サービスネットワークプラットフォームの構成および管理用の中央フレームワークを実行する、ネットワーク管理システム（ＮＭＳ）などの管理システムにインターフェイスを提供する。管理システムインターフェイス５２の構造および操作は、ネットワークコントローラ５０がその上で管理システムと通信する接続のタイプに依存する。いくつかの実施形態では、ネットワークコントローラは管理された通信ネットワークを通して管理システムと通信する。別個のＮＭＳ管理および制御経路も共通である。例えば、ＸＭＬを使用したインターフェイス、および例えば管理情報ベース（ＭＩＢ）にアクセスを提供するインターフェイスを含む管理システムインターフェイスの両方のタイプの例は、当業者には自明のことだろう。
ゲートウェイインターフェイス５４は、ネットワークコントローラ５０がこれを通してクライアントゲートウェイと通信するインターフェイスを示す。図３の単一のコンポーネントとして示されているが、ゲートウェイインターフェイス５４は、多数のクライアントゲートウェイとの通信のために、それぞれのインターフェイス、および場合によっては異なるタイプのインターフェイスを含むことができる。図２を参照して上に説明するように、制御トラフィックは、サービスネットワークインターフェイス、またはいくつかの他のタイプのインターフェイスを使用して、サービスネットワークを通してクライアントゲートウェイとネットワークコントローラの間で交換することができる。図３のゲートウェイインターフェイス５４はしたがって、クライアントゲートウェイで提供される、サービスネットワークインターフェイス３２（図２）または別のインターフェイスの何れかのインターフェイスと互換性のあるインターフェイスを示している。
図２を参照して上で説明したインターフェイスと同様に、管理システムインターフェイス５２、およびゲートウェイインターフェイス５４は普通、通信媒体と通信信号を交換する物理的コンポーネントと、通信信号を生成および処理するハードウェアおよび／またはソフトウェア実行コンポーネントとを備えている。
メモリ５６は、情報を記憶する１つまたは複数のメモリデバイスを備えている。メモリ５６内に記憶された情報は、カスタマプロファイルおよびポリシーなどの情報、セキュリティ情報、およびネットワークコントローラ５０のコンポーネントによる使用のためにネットワークサービス毎のユーザ毎のアクセスリストおよびアクセスレベルグループと、サービスネットワーク内の他の機器によるアクセスおよび使用のためのレジストリ情報を含むことができる。しかし、メモリ５６はローカルおよびリモートメモリデバイスの両方を含むことができることを理解すべきである。ネットワークコントローラソフトウェアがローカルで記憶されていることが好ましいが、レジストリは、ネットワークコントローラ５０、およびネットワークサービスコンシューマが接続されるクライアントゲートウェイの両方にアクセス可能であるリモートメモリデバイス内に分配および記憶することができる。
マネージャ６０、６４、６６、６９、およびインターフェイス５２、５４の内部機能またはコンポーネントのいくつかまたは全てをソフトウェアとして実行することができる。これらのマネージャを実行するソフトウェア、および機能をメモリ５６内に記憶することもできる。
ポリシーマネージャ６０は、包括ポリシープロビジョニング、定義、およびセキュリティポリシー管理能力を提供する。ポリシー管理はポリシーマネージャ６０によって中央化されるが、コンテンツおよびデータのポリシー断片はサービスネットワーク全体を通して分配方法で記憶することができる。ポリシーマネージャ６０、および例えばポリシー情報が記憶されたメモリ５６内のレジストリなどのポリシーコンポーネントを分配することができる。また、ポリシー情報はクライアントゲートウェイ内にポリシー施行モジュール内にダウンロードされる。ネットワークサービスに対してポリシー管理への集中的方法を利用することによって、単一のセットのポリシーを、サービスネットワークプロバイダのインフラ内で委任アドミニストレータによって管理することができる。ポリシーマネージャ６０は、クライアントゲートウェイにポリシー情報を自動的にダウンロードするまたはプッシュする、クライアントゲートウェイからの要求に応じてポリシー情報を伝送する、またはポリシー情報伝達機構をプッシュするのもおよびプルするのもサポートするように構成することができる。
一実施形態によれば、ポリシーマネージャ６０は、ネットワークサービスポリシーレジストリを使用して、サービスポリシーを管理する。ネットワークサービスポリシーレジストリは、サービスネットワーク内で提供された全てのネットワークサービスに対してアクセス制御を確立するネットワークサービスポリシーの収集である。
各個別のネットワークサービスポリシーは、メッセージ内に提示しなければならない認証情報などのプライバシーパラメータ、メッセージが署名および／または暗号化されなければならないかどうか、メッセージのどの部分が署名および／または暗号化されるか、およびメッセージまたはその部分がどのように署名および／または暗号化されるかを特定することができる。これらの機能は、ＷＳセキュリティ、ＷＳポリシー、ＷＳポリシーアタッチメント、ＷＳポリシーアサーションズ、およびＷＳセキュリティポリシーなどの既存のウェブサービス標準を実行することによって提供することができる。また、特定のネットワークサービスへのアクセスのレベル、図では、プライベート、セミプライベート／グループ、および仮想エクストラネットレベルでのパブリックを示す規則があってもよい。端末間サービス用のＳＬＡ合意およびＱｏＳ要件、特定のビジネストランザクション内で必要とされるビジネスパートナに関するリストおよび詳細もある可能性がある。
あらゆる新規のネットワークサービスでは、サービスネットワークと結合するプロバイダまたはコンシューマ、コンシューマプロファイル、およびポリシーは登録時に作成されることが好ましい。上に説明するように、ネットワークサービスプロバイダは、制御トラフィックをクライアントゲートウェイを通してネットワークコントローラに伝送することによってサービスネットワーク内でそのネットワークサービスを公開する。クライアントゲートウェイからゲートウェイインターフェイス５４を通して、または管理システムから管理システムインターフェイス５２を通しての何れかで受けるポリシーは、仮想エクストラネットサービス内でポリシーマネージャ６０によって中央管理されるが、サービスネットワークによって提供される仮想エクストラネット内で物理的に分配することができる。
ネットワークサービスプロバイダまたはコンシューマがサービスネットワークを結合する時に独自のサービスポリシーを有する場合、ポリシーマネージャ６０は、企業サービスポリシーをサービスネットワークのグローバルポリシーレジストリ内に統合することが可能である。エクストラネットレベルでの全ての管理データはそれによって、グローバル管理された仮想エクストラネットサービスを作成するために、企業管理システムからの他のデータと統合させることができる。
ポリシーマネージャ６０はまた、企業内の普通のシナリオと同様に、特定のネットワークサービスアプリケーションではなく、サービスネットワーク内でユーザ認証およびセキュリティプロファイルを管理する。企業空間内のネットワークサービスコンシューマは、クライアントゲートウェイを通してサービスネットワークに接続し、サービスネットワークでシングルサインオンを行う。ネットワークコントローラによってホスティングされる１つのレジストリ実体内のアクセス制御情報の中央化により、企業システム間の識別情報およびアクセス制御ポリシーを共有する問題が避けられる。代わりに、このデータは仮想エクストラネット内で記憶される。
ポリシーマネージャ６０はまた、図では、既存の所有権セッションクッキーをＳＡＭＬアサーション、およびその後他の識別格納庫にマッピングすることができる現実世界の識別に変換するのに必要なデータを提供することによって、レガシー認証システムに対応することもできる。
ポリシーマネージャ６０は、クライアントゲートウェイによってデータトラフィックに適用されるメッセージヘッダおよびメッセージペイロード変換を特定することができる。いくつかの実施形態では、変換は、レジストリ内に記憶された情報、図ではＸＭＬスキーマによりＸＭＬベースのウェブサービスメッセージとメッセージの他のフォーマットの間で行われる。
セキュリティマネージャ６４は、サービスネットワークを通したサービスネットワーククライアント通信のセキュリティを管理する。一実施形態では、セキュリティマネージャ６４は、安全な通信を保証するように、確立されたネットワークサービスおよびＸＭＬ標準を使用する。例えば、サービスネットワークコアの上で作成された安全なデータパスは上に説明したようにＷＳセキュリティおよびＸＭＬ暗号化を使用することができる。クライアントゲートウェイは実際、サービスネットワークを通した安全な接続を確立するが、セキュリティマネージャ６４はサービスネットワークに中央認証およびキー管理サービスを提供する。セキュリティ情報は、サービスネットワークを通した他のクライアントゲートウェイとの安全な通信を確立する際に使用するために、クライアントゲートウェイにダウンロードされる。ポリシーマネージャ６０と同様に、セキュリティマネージャ６４は、クライアントゲートウェイに安全情報を自動的にダウンロードするまたはプッシュする、クライアントゲートウェイがネットワークサービス用のセキュリティ情報を必要とする場合にランタイムでクライアントゲートウェイからの要求に応じて安全情報を伝送する、または伝達機構をプッシュするのもおよびプルするのもサポートするように構成することができる。
レジストリマネージャ６６は、ネットワークサービスロケーションおよび管理のための進歩したメタデータ能力で、ネットワークサービスレジストリ、図では、ＵＤＤＩなどの工業標準レジストリを管理および削除する。サービスネットワークプロバイダは、例えば、定義する分類カテゴリおよびブランド設定に基づき、利用可能なネットワークサービス用のレジストリエントリを記憶することができる。一実施形態では、ネットワークサービスは、プライベート、パブリック、セミプライベートグループ、および／またはその他を含むことができる許可されたレベルのアクセスにしたがってレジストリ内で組織化される。上に説明したように、いくつかのネットワークサービスは特定のパートナにプライベートに公開することができ、他のネットワークサービスは全体のサービスネットワークにパブリックに公開される。
レジストリマネージャ６６によって管理されるネットワークサービスレジストリは、サービスネットワークに直接または間接的に接続された全てのネットワークサービスプロバイダからのネットワークサービスの収集である。サービスネットワークを結合する時にいかなるレジストリ能力を備えていない新規のネットワークサービスプロバイダまたはコンシューマでは、レジストリマネージャ６６は、ネットワークサービスを公表および消費することを可能にするネットワークサービス、記述、ロケーション、所有権、およびパブリックＡＰＩの完全な収集を提供する。企業は代わりに、サービスネットワークを結合する時に独自のレジストリを有することができ、この場合、レジストリマネージャは内部企業ネットワークサービスをサービスネットワークのグローバルネットワークサービスレジストリ内に公開することが可能になる。
他のメタデータレジストリはまた、基本ネットワークサービスロケーションおよび管理以外の目的で、ネットワークサービス情報を記憶するのに利用可能である。これらは、タイムアウト、適用されるＸＭＬスキーマ、サービス契約、ＱｏＳパラメータ、およびサブスクリプションおよびアドレス指定情報などのサービス態様を管理するために他のネットワークコントローラコンポーネントによる使用のためのレジストリを含むことができる。追加のレジストリは、例えば請求書作成情報、ＳＬＡ監視情報、トランザクション端末間ビジネスアクティビティ監視情報、アクティビティログおよびパフォーマンス監査情報、および例外警告を記憶した結果得られるデータの収集を記憶することができる。
ユーザ信用状、一般ポリシー、およびセキュリティポリシーもレジストリ内に記憶することができる。
いくつかの実施形態では、サービスネットワークのクライアントは、そのサービスポリシーにしたがった、全てのレジストリ情報のリアルタイム監視および照会のためのリアルタイムコンソールアクセスおよび管理ツールを有する。
システムマネージャ６９は、例えばトランザクション、イベント、注意、および警告の集中制御、監視、および監査を行うようにクライアントゲートウェイによって捕捉された監査記録を受け、包括契約およびＳＬＡの運搬を管理することができる。トランザクション優先は、重大性に基づき実行されることが好ましい。システムマネージャ６９の他の可能な機能は、トランザクション完了／失敗に関する報告、およびＳＬＡ契約の管理を含む。
本発明の実施形態を、通信ネットワーク機器、すなわちクライアントゲートウェイおよびネットワークコントローラに関して基本的に上で説明した。図４は、本発明の実施形態による方法のフロー図である。
方法７０は、サービスネットワークのクライアント、この場合、ネットワークサービスプロバイダを認証する操作で７２で始まる。ネットワークサービスプロバイダが認証されると、ネットワークサービスプロバイダによって提供されるプライベートネットワークサービスは、７４でサービスネットワーク内で公開することができる。
ネットワークサービスが利用可能であると、７６で同じクライアントゲートウェイ、または異なるクライアントゲートウェイで認証されるネットワークサービスコンシューマは、ネットワークサービスを使用するように、７８でサービスネットワークへアクセスすることが可能になる。
図４に示す方法７０は、単に例示的な目的を意図したものであり、ネットワークサービスを提供および使用した、異なるクライアントの状況を示している。より詳細には、サービスネットワークの認証クライアントは、プライベートネットワークサービスをサービスネットワークの別のクライアントに対して利用可能にすることを、またはサービスネットワークの別のクライアントによって提供されるネットワークサービスを使用することを可能にすることができる。同じクライアントはしたがって、一度だけ認証することができ、続いて多数のネットワークサービス関連機能を行うことが可能である。ネットワークサービスがクライアントによって利用可能にされると、クライアントはまた、ネットワークサービスをサービスネットワークの別のクライアントによって使用することを可能にするように、ネットワークサービスのプライバシーを変えることもできる。
図４に示す操作を行う様々な方法と、行うことができる他の操作は前述のことから明らかであろう。
記載されたものは、本発明の原理の応用例を単に例示するものである。他の配置および方法は、本発明の範囲から逸脱することなく当業者によって行うことができる。
例えば、サービスネットワークは、上記の関連応用例で開示されたパブリックネットワークゲートウェイおよびサービスネットワークゲートウェイなどの、図１に示すもの以外のコンポーネントを含むことができる。
サービスネットワークはまた、多数のネットワークコントローラを含むことができる。異なるゲートウェイは、異なるネットワークコントローラに接続することができる。中央サービスレジストリを維持し、サービスネットワークゲートウェイとの通信などの、サービスネットワークのいくつかの操作のために指定ネットワークコントローラなどの１つのネットワークコントローラを構成することが望ましい可能性がある。指定ネットワークコントローラは、通常のネットワークコントローラと同じであってもよいが、例えば、管理システムインターフェイス５２（図３）を通してオペレータ端末のコマンドラインインターフェイス（ＣＬＩ）を通してネットワークコントローラとして構成することができる。
ネットワークサービスレジストリは１つのサービスネットワーク内の多数のネットワークコントローラに維持される場合、ネットワークコントローラは、各レジストリ内に含まれるサービス、およびこれらのサービスのローカル記憶に関する制御情報を交換するためにその間で通信することが好ましい。
したがって、ネットワークコントローラは、ゲートウェイおよび場合によっては他のネットワークコントローラによって、これに提供された情報をレジストリ内に記憶することができる。
図２および３に示す例示的なクライアントゲートウェイおよびネットワークコントローラコンポーネントは、同様に限定的なものではない。本発明の実施形態は、より少ないまたは追加のコンポーネントを含むことができる。混乱を避けるために管理システムインターフェイスは図２の例示的なクライアントゲートウェイ３０内に示されていないが、ネットワークコントローラと通信する管理システムはまた、例えばクライアントゲートウェイと通信することができる。
ネットワークサービスプロバイダおよびコンシューマを、企業クライアントとして本明細書に基本的に説明したが、必ずしも企業に関連している必要はない。本発明の実施形態は、モバイルエンドユーザシステム１３などの、非企業ネットワークサービスプロバイダおよびコンシューマと合わせて実施することができる。
本発明はまた、クライアントゲートウェイとネットワークコントローラの間の機能のあらゆる特定の分割に制約されるものではない。機能は、本明細書に明示的に記載されたのとは異なる方法で分配または統合することができる。例えば、レジストリは中心的の代わりに、各クライアントゲートウェイによって記憶することができる。
加えて、方法およびシステムの内容で基本的に説明したが、例えば機械読取可能媒体上に記憶された指示として、本発明の他の実施も考えられる。
本発明の実施形態を組み込んだ通信システムのブロック図である。 例示的クライアントゲートウェイのブロック図である。 例示的ネットワークコントローラのブロック図である。 本発明の実施形態による方法のフロー図である。

Claims (26)

  1. サービスネットワーク内にネットワークサービスを提供する装置であって、
    クライアントによって提供されたネットワークサービスをサービスネットワークの別のクライアントに対して利用可能にするために、またはサービスネットワークの別のクライアントによって提供されたネットワークサービスを使用するために、またはクライアントによって提供されたネットワークサービスをプライベートサービスネットワークの別のクライアントに対して利用可能にし、サービスネットワークの別のクライアントによって提供されたネットワークサービスを使用するために、サービスネットワークの認証ポリシーにしたがってサービスネットワークへのクライアントアクセス用の規則を施行し、認証されたクライアントがサービスネットワークへアクセスすることを可能にするように構成されたポリシー施行モジュールを備えた、装置。
  2. ポリシー施行モジュールがさらに、認証されたクライアントがネットワークサービスをサービスネットワーク内であらゆる他のクライアントに対して利用可能にし、ネットワークサービスに関連するそれぞれのサービスポリシーにしたがって別のクライアントによって提供されたネットワークサービスを使用することができるように構成されている、請求項１に記載の装置。
  3. 認証されたクライアントとサービスネットワークの間、サービスネットワーク内、およびサービスネットワークとサービスネットワークの宛先クライアントの間の安全な端末間通信を施行するセキュリティモジュールをさらに備えた、請求項１または２に記載の装置。
  4. ポリシー施行モジュールに動作可能に結合され、規則に基づく認証および許可アクションを通信トラフィックに適用し、認証および許可アクションに応じて通信トラフィックを通過させるまたは落とすように構成された、セキュリティモジュールをさらに備えた、請求項１または２に記載の装置。
  5. セキュリティモジュールがさらに、認証されたクライアントに関連する通信トラフィックにセキュリティ規則を適用するように構成された、請求項４に記載の装置。
  6. セキュリティモジュールに動作可能に結合され、制御トラフィックまたはデータトラフィックとして認証されたクライアントに関連するトラフィックを分類し、サービスレジストリ内での公開のために認証されたクライアントによって提供されるネットワークサービスに関連する情報を含む制御トラフィックを伝送し、次の処理のためにデータトラフィック内のＳＯＡＰ情報を変更するように構成されたシンプルオブジェクトアクセスプロトコル（ＳＯＡＰ）プロキシモジュールをさらに備えた、請求項４に記載の装置。
  7. ＳＯＡＰプロキシモジュールに動作可能に結合されたユニバーサルディスクリプションディスカバリアンドインテグレーション（ＵＤＤＩ）プロキシモジュールをさらに備えた装置であって、
    ＳＯＡＰプロキシモジュールがさらに、受けたＵＤＤＩ制御トラフィックを特定し、次の処理のためにＵＤＤＩプロキシモジュールに、受けたＵＤＤＩ制御トラフィックを転送するように構成されている、請求項６に記載の装置。
  8. 受けたＵＤＤＩ制御トラフィックが、ネットワークサービスルックアップに対する要求を含み、ＵＤＤＩプロキシモジュールが、要求の解決を処理し、各要求を開始させたクライアントに反応するようにさらに構成された、請求項７に記載の装置。
  9. ポリシー施行モジュールが、認証されたクライアントがサービスレジストリに対してネットワークサービスに関連する情報を公開することを可能にすることによって、認証されたクライアントがネットワークサービスをＵＤＤＩプロキシモジュールを通して別のクライアントに利用可能にすることを可能にするように、また認証されたクライアントがサービスレジストリにアクセスすることを可能にすることによって、認証されたクライアントが別のクライアントによって提供されたネットワークサービスを使用することを可能にするように構成されている、請求項６に記載の装置。
  10. ネットワークサービスに関連する情報が、サービスネットワークの別のメンバによる使用のためのネットワークサービス用のアクセス規則を特定するアクセス情報を含んでおり、ポリシー施行モジュールがさらに、サービスネットワークの他のクライアントによって特定されたアクセス規則にしたがってＵＤＤＩプロキシモジュールを通してサービスレジストリからサービスネットワークの別のクライアントによって提供されたネットワークサービスに関連する情報に認証されたクライアントがアクセスすることを可能にするように構成されている、請求項９に記載の装置。
  11. ＳＯＡＰプロキシモジュールに動作可能に結合され、ＳＯＡＰプロキシモジュールでデータトラフィックを交換するように構成されたサービス処理モジュールをさらに備えている、請求項７に記載の装置。
  12. ポリシー施行モジュールに動作可能に結合され、サービスネットワーク内で通信トラフィックをルーティングするように構成され、レイヤ１転送方法、レイヤ２転送方法、インターネットプロトコル（ＩＰ）ルーティング、および拡張マークアップ言語（ＸＭＬ）ルーティングの少なくとも１つをサポートする転送／ルーティングモジュールをさらに備えた、請求項１または２に記載の装置。
  13. ポリシー施行モジュールがさらに、認証されたクライアントおよびサービスネットワークへの変換のためにそれぞれのフォーマットを特定する、サービスネットワークの変換ポリシーを実行するように構成された、請求項１または２に記載の装置。
  14. ネットワークサービスプロバイダによって提供されたネットワークサービスがネットワークサービスコンシューマにアクセス可能とされたサービスネットワークを提供する通信システムであって、
    ネットワークサービスプロバイダおよびネットワークサービスコンシューマに動作可能に結合される少なくとも１つのクライアントゲートウェイであって、それぞれ請求項１または２に記載の装置を備えた少なくとも１つのクライアントゲートウェイと、
    クライアントゲートウェイによって施行されるポリシーを管理する少なくとも１つのクライアントゲートウェイ、およびネットワークサービスのレジストリに動作可能に結合されたネットワークコントローラとを備えた、システム。
  15. サービスネットワーク内で利用可能なネットワークサービスに関連したポリシーを管理する装置であって、
    サービスネットワークのクライアントがこれを通してサービスネットワークにアクセスするクライアントゲートウェイに動作可能に結合されるクライアントゲートウェイインターフェイスと、
    クライアントゲートウェイインターフェイスに動作可能に結合され、クライアントゲートウェイに、ネットワークサービスポリシーにしたがってサービスネットワークのクライアントによるネットワークサービスへのアクセスを制御させるように、クライアントゲートウェイインターフェイスを通してクライアントゲートウェイへのそれぞれのネットワークサービスに対するアクセス制御を特定するネットワークサービスポリシーを分配するように構成されたポリシーマネージャとを備えている装置。
  16. ポリシーマネージャがさらに、サービスネットワークでのクライアントの認証、およびクライアントゲートウェイによってデータトラフィックに適用されるフォーマット変換の少なくとも１つを管理するように構成されている、請求項１５に記載の装置。
  17. ネットワークサービスポリシーが、ネットワークサービスポリシーレジストリ内に記憶されたネットワークサービスポリシーを備えており、ポリシーマネージャがさらに、ネットワークサービスポリシーレジストリを維持し、ネットワークサービスポリシーレジストリ内に、ネットワークサービスが提供されるサービスネットワークのクライアントから受けた既存のネットワークサービスポリシーを統合するように構成されている、請求項１５または１６に記載の装置。
  18. クライアントゲートウェイインターフェイスに動作可能に結合され、サービスネットワークによりクライアント通信の安全性を管理するように構成されたセキュリティマネージャと、
    クライアントゲートウェイインターフェイスに動作可能に結合され、サービスネットワーク内で利用可能なネットワークサービスのレジストリ、サービスタイムアウト情報、拡張マークアップ言語（ＸＭＬ）スキーマ、サービスコントラクト、サービス品質（ＱｏＳ）パラメータ、サブスクリプション情報、アドレス指定情報、請求書作成情報、サービス内容合意（ＳＬＡ）監視情報、トランザクショナルネットワークサービスアクティビティ監視情報、アクティビティログ、パフォーマンス監査情報、および例外警告の少なくとも１つを管理するように構成されたレジストリマネージャと、
    クライアントゲートウェイインターフェイスに動作可能に結合され、クライアントゲートウェイによって捕捉された監査レコードを受けて管理するように構成されたシステムマネージャとの少なくとも１つをさらに備えている、請求項１５または１６に記載の装置。
  19. ネットワークサービスプロバイダによって提供されるプライベートネットワークサービスが、ネットワークサービスコンシューマにアクセス可能にされた、サービスネットワークを提供する通信システムであって、
    ネットワークサービスプロバイダおよびネットワークサービスコンシューマにサービスネットワークへのアクセスを提供するように、ネットワークサービスプロバイダおよびネットワークサービスコンシューマに動作可能に結合される少なくとも１つのクライアントゲートウェイと、
    少なくとも１つのクライアントゲートウェイに動作可能に結合され、請求項１５または１６に記載の装置を備えたネットワークコントローラとを備えた、通信システム。
  20. サービスネットワーク内で利用可能なネットワークサービスを管理する装置であって、
    サービスネットワークのクライアントがこれを通してサービスネットワークにアクセスするクライアントゲートウェイに動作可能に結合されるクライアントゲートウェイインターフェイスと、
    クライアントゲートウェイインターフェイスに動作可能に結合されるとともに、サービスレジストリ内の情報に関する要求をクライアントゲートウェイから受け、それに応じて要求された情報を提供し、サービスネットワーク内で利用可能にされるネットワークサービスに関連する情報をクライアントゲートウェイから受け、サービスレジストリ内の受けた情報を公開し、ネットワークに関連するサービスレジストリ内の情報の変更に対するサブスクリプションをクライアントゲートウェイから受け、サブスクリプションに応じた変更に通知を送信するように構成されたレジストリマネージャとを備えた、装置。
  21. 請求項２０に記載の装置を備えたネットワークコントローラと、
    サービスレジストリを記憶するためにネットワークコントローラに動作可能に結合されたメモリと、
    サービスネットワークの少なくとも１つのクライアントおよびメモリに動作可能に結合され、少なくとも１つのクライアントによってサービスレジストリ内で公開されたネットワークサービスへのアクセスを制御するように構成されたクライアントゲートウェイとを備えた、通信システム。
  22. サービスネットワーク内にネットワークサービスを提供する方法であって、
    プライベートサービスネットワークのクライアントを認証および許可するステップと、
    クライアントが許可された場合に、クライアントによって提供されたネットワークサービスをサービスネットワーク内で利用可能にするステップ、または
    クライアントが許可されたサービスネットワークの別のクライアントによって提供された特定のネットワークサービスまたはネットワークサービスのグループを使用するようにクライアントがサービスネットワークにアクセスすることを可能にするステップとを含んでいる、方法。
  23. 利用可能にするステップが、サービス公開のためにサービスネットワークとの接続を開始するステップを含み、
    可能にするステップが、ターゲットのネットワークサービスとの接続を開始し、ターゲットのサービスへ要求を送信し、そこから回答を受信することによってターゲットのネットワークサービスをクライアントが使用することを可能にするステップを含んでいる、請求項２２に記載の方法。
  24. 可能にするステップがさらに、クライアントがネットワークサービスのレジストリを参照して、特定のネットワークサービスまたはネットワークサービスのグループ用の情報にアクセスする、または特定のネットワークサービスまたはネットワークサービスのグループ用のレジストリレベルでの変更にサブスクライブすることを可能にするステップを含んでいる、請求項２３に記載の方法。
  25. 利用可能にするステップが、クライアントによって提供されるネットワークサービスのサービスポリシーにしたがってネットワークサービスを別のクライアントに対して利用可能にするステップを含み、可能にするステップが、クライアントによる使用を許可する関連するサービスポリシーを有するネットワークサービスを決定するステップを含んでいる、請求項２２に記載の方法。
  26. 実施した場合に請求項２２から２５のいずれか一項に記載の方法を実行する、指示を記憶した、機械読取可能な媒体。
JP2008505991A 2005-04-14 2006-04-12 ネットワークサービスインフラシステムおよび方法 Withdrawn JP2008537829A (ja)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
US11/105,732 US20060235973A1 (en) 2005-04-14 2005-04-14 Network services infrastructure systems and methods
PCT/IB2006/001334 WO2006109187A2 (en) 2005-04-14 2006-04-12 Network services infrastructure systems and methods

Publications (1)

Publication Number Publication Date
JP2008537829A true JP2008537829A (ja) 2008-09-25

Family

ID=36699149

Family Applications (1)

Application Number Title Priority Date Filing Date
JP2008505991A Withdrawn JP2008537829A (ja) 2005-04-14 2006-04-12 ネットワークサービスインフラシステムおよび方法

Country Status (6)

Country Link
US (2) US20060235973A1 (ja)
EP (2) EP2547069B1 (ja)
JP (1) JP2008537829A (ja)
KR (1) KR20080008357A (ja)
CN (2) CN1855817B (ja)
WO (1) WO2006109187A2 (ja)

Cited By (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2015165700A (ja) * 2008-12-10 2015-09-17 アマゾン テクノロジーズ インコーポレイテッド 遠隔サービスへのローカル安全なネットワークアクセスを提供する方法
US9286126B2 (en) 2010-09-03 2016-03-15 Ricoh Company, Ltd. Information processing apparatus, information processing system, and computer-readable storage medium
US9374341B2 (en) 2008-12-10 2016-06-21 Amazon Technologies, Inc. Establishing secure remote access to private computer networks
US9521037B2 (en) 2008-12-10 2016-12-13 Amazon Technologies, Inc. Providing access to configurable private computer networks
US9524167B1 (en) 2008-12-10 2016-12-20 Amazon Technologies, Inc. Providing location-specific network access to remote services
JP2017520194A (ja) * 2014-06-30 2017-07-20 アルカテル−ルーセント ソフトウェア定義ネットワークにおけるセキュリティ

Families Citing this family (89)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US9614772B1 (en) 2003-10-20 2017-04-04 F5 Networks, Inc. System and method for directing network traffic in tunneling applications
EP1674961A1 (en) * 2004-12-21 2006-06-28 International Business Machines Corporation Method for determining an applicable policy for an incoming message
KR100703754B1 (ko) * 2005-04-15 2007-04-06 삼성전자주식회사 웹서비스 처리 장치 및 방법
US8079059B1 (en) * 2005-05-31 2011-12-13 Imera Systems, Inc. Method and system for providing terminal view access of a client device in a secure network
US8418233B1 (en) * 2005-07-29 2013-04-09 F5 Networks, Inc. Rule based extensible authentication
US8533308B1 (en) 2005-08-12 2013-09-10 F5 Networks, Inc. Network traffic management through protocol-configurable transaction processing
US7801996B2 (en) * 2005-09-12 2010-09-21 Sap Ag Systems and methods for providing a local client proxy
US20070061445A1 (en) * 2005-09-13 2007-03-15 Deganaro Louis R Cooperative routing between traffic control device and multi-server application
US8635679B2 (en) * 2005-12-08 2014-01-21 Webler Solutions, Llc Networked identity framework
WO2007089023A1 (en) * 2006-01-31 2007-08-09 Matsushita Electric Industrial Co., Ltd. Method for selective service updates for communication networks
US8565088B1 (en) 2006-02-01 2013-10-22 F5 Networks, Inc. Selectively enabling packet concatenation based on a transaction boundary
CN101496387B (zh) * 2006-03-06 2012-09-05 思科技术公司 用于移动无线网络中的接入认证的系统和方法
US8868757B1 (en) * 2006-05-24 2014-10-21 Avaya Inc. Two-way web service router gateway
US20080019376A1 (en) * 2006-07-21 2008-01-24 Sbc Knowledge Ventures, L.P. Inline network element which shares addresses of neighboring network elements
US8347403B2 (en) * 2006-12-19 2013-01-01 Canon Kabushiki Kaisha Single point authentication for web service policy definition
US8380880B2 (en) * 2007-02-02 2013-02-19 The Mathworks, Inc. Scalable architecture
US9106606B1 (en) 2007-02-05 2015-08-11 F5 Networks, Inc. Method, intermediate device and computer program code for maintaining persistency
JP4850761B2 (ja) * 2007-03-16 2012-01-11 株式会社リコー イベント通知装置及びイベント通知方法
US10313254B1 (en) 2007-03-30 2019-06-04 Extreme Networks, Inc. Network management interface for a network element with network-wide information
US10210532B2 (en) * 2007-04-16 2019-02-19 Jda Software Group, Inc. Business-to-business internet infrastructure
US7962089B1 (en) * 2007-07-02 2011-06-14 Rockwell Collins, Inc. Method and system of supporting policy based operations for narrowband tactical radios
US8224840B2 (en) 2007-08-28 2012-07-17 International Business Machines Corporation Sensing and responding to service discoveries
GB2455347B (en) * 2007-12-07 2012-04-11 Virtensys Ltd Control path I/O virtualisation
US8838803B2 (en) * 2007-12-20 2014-09-16 At&T Intellectual Property I, L.P. Methods and apparatus for management of user presence in communication activities
US20110023131A1 (en) * 2008-01-24 2011-01-27 Telefonaktiebolaget Lm Ericsson (Publ) Method and Apparatus for Checking Aggregated Web Services
US9832069B1 (en) 2008-05-30 2017-11-28 F5 Networks, Inc. Persistence based on server response in an IP multimedia subsystem (IMS)
US10430491B1 (en) 2008-05-30 2019-10-01 On24, Inc. System and method for communication between rich internet applications
US8839387B2 (en) * 2009-01-28 2014-09-16 Headwater Partners I Llc Roaming services network and overlay networks
US8589541B2 (en) 2009-01-28 2013-11-19 Headwater Partners I Llc Device-assisted services for protecting network capacity
US9130846B1 (en) 2008-08-27 2015-09-08 F5 Networks, Inc. Exposed control components for customizable load balancing and persistence
US11985155B2 (en) 2009-01-28 2024-05-14 Headwater Research Llc Communications device with secure data path processing agents
US20100205014A1 (en) * 2009-02-06 2010-08-12 Cary Sholer Method and system for providing response services
US9531716B1 (en) * 2009-08-07 2016-12-27 Cisco Technology, Inc. Service enabled network
CN101674268A (zh) * 2009-09-25 2010-03-17 中兴通讯股份有限公司 接入因特网控制装置及其方法、网关
US20110110377A1 (en) * 2009-11-06 2011-05-12 Microsoft Corporation Employing Overlays for Securing Connections Across Networks
CN102123477B (zh) * 2010-01-08 2015-06-10 中兴通讯股份有限公司 M2m核心网络的接入实现方法及装置
US11438410B2 (en) 2010-04-07 2022-09-06 On24, Inc. Communication console with component aggregation
US8706812B2 (en) 2010-04-07 2014-04-22 On24, Inc. Communication console with component aggregation
US8504042B2 (en) * 2010-08-25 2013-08-06 Htc Corporation Method of handling service group ownership transfer in a communication system and related communication device
US9596122B2 (en) 2010-12-03 2017-03-14 International Business Machines Corporation Identity provider discovery service using a publish-subscribe model
DE102011081804B4 (de) * 2011-08-30 2015-02-12 Siemens Aktiengesellschaft Verfahren und System zum Bereitstellen von gerätespezifischen Betreiberdaten, welche an ein Authentisierungs-Credential gebunden werden, für ein Automatisierungsgerät einer Automatisierungsanlage
CN103023935B (zh) * 2011-09-23 2018-06-26 中兴通讯股份有限公司 M2m平台云系统及其处理m2m服务的方法
CN103209165B (zh) * 2012-01-17 2016-04-13 阿尔卡特朗讯 Ims中的应用服务器框架以及转发会话控制逻辑的方法
WO2013143611A1 (en) * 2012-03-30 2013-10-03 Nokia Siemens Networks Oy Centralized ip address management for distributed gateways
US9178861B2 (en) * 2012-10-16 2015-11-03 Guest Tek Interactive Entertainment Ltd. Off-site user access control
SG11201502776XA (en) * 2012-11-02 2015-06-29 Silverlake Mobility Ecosystem Sdn Bhd Method of processing requests for digital services
US9271188B2 (en) * 2012-12-18 2016-02-23 At&T Intellectual Property I, L.P. Dynamic in-band service control mechanism in mobile network
US9270765B2 (en) 2013-03-06 2016-02-23 Netskope, Inc. Security for network delivered services
US9059977B2 (en) * 2013-03-13 2015-06-16 Route1 Inc. Distribution of secure or cryptographic material
US9794333B2 (en) 2013-06-17 2017-10-17 Lenovo Enterprise Solutions (Singapore) Pte. Ltd. Workload and defect management systems and methods
US9430481B2 (en) 2013-06-17 2016-08-30 Lenovo Enterprise Solutions (Singapore) Pte. Ltd. Storage disk file subsystem and defect management systems and methods
US9497088B2 (en) 2013-08-29 2016-11-15 Oracle International Corporation Method and system for end-to-end classification of level 7 application flows in networking endpoints and devices
US9544202B2 (en) 2013-08-29 2017-01-10 Oracle International Corporation Dynamic assignment and enforcement of application-driven per-connection service level agreements
US10171501B2 (en) 2013-09-20 2019-01-01 Open Text Sa Ulc System and method for remote wipe
US10824756B2 (en) 2013-09-20 2020-11-03 Open Text Sa Ulc Hosted application gateway architecture with multi-level security policy and rule promulgations
EP2851833B1 (en) 2013-09-20 2017-07-12 Open Text S.A. Application Gateway Architecture with Multi-Level Security Policy and Rule Promulgations
US11429781B1 (en) 2013-10-22 2022-08-30 On24, Inc. System and method of annotating presentation timeline with questions, comments and notes using simple user inputs in mobile devices
US9864623B2 (en) 2013-11-21 2018-01-09 Centurylink Intellectual Property Llc Physical to virtual network transport function abstraction
US9705995B2 (en) * 2014-03-18 2017-07-11 Axis Ab Capability monitoring in a service oriented architecture
US9998320B2 (en) 2014-04-03 2018-06-12 Centurylink Intellectual Property Llc Customer environment network functions virtualization (NFV)
US10225327B2 (en) 2014-08-13 2019-03-05 Centurylink Intellectual Property Llc Remoting application servers
US9898318B2 (en) 2014-08-15 2018-02-20 Centurylink Intellectual Property Llc Multi-line/multi-state virtualized OAM transponder
US10785325B1 (en) 2014-09-03 2020-09-22 On24, Inc. Audience binning system and method for webcasting and on-line presentations
US10027637B2 (en) 2015-03-12 2018-07-17 Vormetric, Inc. Secure and control data migrating between enterprise and cloud services
US10630717B2 (en) * 2015-05-15 2020-04-21 Avaya, Inc. Mitigation of WebRTC attacks using a network edge system
CN107836007B (zh) * 2015-07-31 2023-04-11 难题知识产权有限责任公司 发现并发布api信息
US9882833B2 (en) 2015-09-28 2018-01-30 Centurylink Intellectual Property Llc Intent-based services orchestration
US11593075B2 (en) 2015-11-03 2023-02-28 Open Text Sa Ulc Streamlined fast and efficient application building and customization systems and methods
US11388037B2 (en) 2016-02-25 2022-07-12 Open Text Sa Ulc Systems and methods for providing managed services
US11425169B2 (en) 2016-03-11 2022-08-23 Netskope, Inc. Small-footprint endpoint data loss prevention (DLP)
EP3220599B1 (en) * 2016-03-16 2019-06-19 Panasonic Avionics Corporation System for demand -based regulation of dynamically implemented firewall exceptions
US10826875B1 (en) * 2016-07-22 2020-11-03 Servicenow, Inc. System and method for securely communicating requests
US9985870B2 (en) * 2016-07-29 2018-05-29 Nanning Fugui Precision Industrial Co., Ltd. Network service method and system based on software defined networking
US10693878B2 (en) * 2017-04-26 2020-06-23 Cisco Technology, Inc. Broker-coordinated selective sharing of data
US10834113B2 (en) 2017-07-25 2020-11-10 Netskope, Inc. Compact logging of network traffic events
EP3944594A1 (en) 2017-09-08 2022-01-26 Convida Wireless, LLC Automated service enrollment in a machine-to-machine communications network
US11281723B2 (en) 2017-10-05 2022-03-22 On24, Inc. Widget recommendation for an online event using co-occurrence matrix
US11188822B2 (en) 2017-10-05 2021-11-30 On24, Inc. Attendee engagement determining system and method
IT201800011108A1 (it) * 2018-12-14 2020-06-14 Telecom Italia Spa Metodo e sistema per erogare servizi dedicati riservati ad una predefinita area di servizio
US11416641B2 (en) 2019-01-24 2022-08-16 Netskope, Inc. Incident-driven introspection for data loss prevention
CN112887346A (zh) * 2019-11-29 2021-06-01 阿里健康信息技术有限公司 一种服务网络系统、服务请求处理方法和存储介质
CN112468345B (zh) * 2020-12-11 2022-04-12 浙江大学 一种基于分布式生成树的跨界服务网络架构
US11475158B1 (en) 2021-07-26 2022-10-18 Netskope, Inc. Customized deep learning classifier for detecting organization sensitive data in images on premises
US11444978B1 (en) 2021-09-14 2022-09-13 Netskope, Inc. Machine learning-based system for detecting phishing websites using the URLS, word encodings and images of content pages
US11336689B1 (en) 2021-09-14 2022-05-17 Netskope, Inc. Detecting phishing websites via a machine learning-based system using URL feature hashes, HTML encodings and embedded images of content pages
US11438377B1 (en) 2021-09-14 2022-09-06 Netskope, Inc. Machine learning-based systems and methods of using URLs and HTML encodings for detecting phishing websites
US11947682B2 (en) 2022-07-07 2024-04-02 Netskope, Inc. ML-based encrypted file classification for identifying encrypted data movement
EP4425828A1 (en) * 2023-03-01 2024-09-04 Deutsche Telekom AG Techniques to provide network-related services
US11979327B1 (en) * 2023-05-08 2024-05-07 Dell Products, L.P. Managed network traffic prioritization

Family Cites Families (26)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US6081900A (en) * 1999-03-16 2000-06-27 Novell, Inc. Secure intranet access
US7496637B2 (en) * 2000-05-31 2009-02-24 Oracle International Corp. Web service syndication system
US7339895B2 (en) * 2001-08-21 2008-03-04 Hitachi, Ltd. Gateway device and control method for communication with IP and IPV6 protocols
CA2411806A1 (en) * 2001-11-16 2003-05-16 Telecommunications Research Laboratory Wide-area content-based routing architecture
CN1423461A (zh) * 2001-11-23 2003-06-11 中望商业机器有限公司 宽带接入网关
US7127700B2 (en) * 2002-03-14 2006-10-24 Openwave Systems Inc. Method and apparatus for developing web services using standard logical interfaces to support multiple markup languages
AU2003234202A1 (en) * 2002-04-23 2003-11-10 Edgile, Inc. System for managing and delivering digital services through computer networks
KR100485769B1 (ko) * 2002-05-14 2005-04-28 삼성전자주식회사 서로 다른 홈네트워크에 존재하는 네트워크장치간의접속을 제공하기 위한 장치 및 방법
US20050005116A1 (en) * 2002-09-18 2005-01-06 Commerce One Operations, Inc. Dynamic interoperability contract for web services
US20040078424A1 (en) * 2002-10-16 2004-04-22 Nokia Corporation Web services via instant messaging
US7440940B2 (en) * 2002-12-02 2008-10-21 Sap Ag Web service agent
US7284039B2 (en) * 2002-12-17 2007-10-16 International Business Machines Corporation Apparatus and method for flexible web service deployment
US20040128622A1 (en) * 2002-12-26 2004-07-01 Mountain Highland Mary Method and server for communicating information between publishers and subscribers of web services
US8308567B2 (en) * 2003-03-05 2012-11-13 Wms Gaming Inc. Discovery service in a service-oriented gaming network environment
US7305705B2 (en) * 2003-06-30 2007-12-04 Microsoft Corporation Reducing network configuration complexity with transparent virtual private networks
US7698398B1 (en) * 2003-08-18 2010-04-13 Sun Microsystems, Inc. System and method for generating Web Service architectures using a Web Services structured methodology
US8452881B2 (en) * 2004-09-28 2013-05-28 Toufic Boubez System and method for bridging identities in a service oriented architecture
US20050086197A1 (en) * 2003-09-30 2005-04-21 Toufic Boubez System and method securing web services
US7457870B1 (en) * 2004-02-27 2008-11-25 Packeteer, Inc. Methods, apparatuses and systems facilitating classification of web services network traffic
US20050228984A1 (en) * 2004-04-07 2005-10-13 Microsoft Corporation Web service gateway filtering
US20050273668A1 (en) * 2004-05-20 2005-12-08 Richard Manning Dynamic and distributed managed edge computing (MEC) framework
WO2005114956A1 (en) * 2004-05-21 2005-12-01 Computer Associates Think, Inc. Method and apparatus for processing web service messages
US20060080419A1 (en) * 2004-05-21 2006-04-13 Bea Systems, Inc. Reliable updating for a service oriented architecture
US20060161616A1 (en) * 2005-01-14 2006-07-20 I Anson Colin Provision of services over a common delivery platform such as a mobile telephony network
US7463637B2 (en) 2005-04-14 2008-12-09 Alcatel Lucent Public and private network service management systems and methods
US7483438B2 (en) 2005-04-14 2009-01-27 Alcatel Lucent Systems and methods for managing network services between private networks

Cited By (13)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US9756018B2 (en) 2008-12-10 2017-09-05 Amazon Technologies, Inc. Establishing secure remote access to private computer networks
US9374341B2 (en) 2008-12-10 2016-06-21 Amazon Technologies, Inc. Establishing secure remote access to private computer networks
US9521037B2 (en) 2008-12-10 2016-12-13 Amazon Technologies, Inc. Providing access to configurable private computer networks
US9524167B1 (en) 2008-12-10 2016-12-20 Amazon Technologies, Inc. Providing location-specific network access to remote services
JP2015165700A (ja) * 2008-12-10 2015-09-17 アマゾン テクノロジーズ インコーポレイテッド 遠隔サービスへのローカル安全なネットワークアクセスを提供する方法
US10728089B2 (en) 2008-12-10 2020-07-28 Amazon Technologies, Inc. Providing access to configurable private computer networks
US10868715B2 (en) 2008-12-10 2020-12-15 Amazon Technologies, Inc. Providing local secure network access to remote services
US10951586B2 (en) 2008-12-10 2021-03-16 Amazon Technologies, Inc. Providing location-specific network access to remote services
US11290320B2 (en) 2008-12-10 2022-03-29 Amazon Technologies, Inc. Providing access to configurable private computer networks
US11831496B2 (en) 2008-12-10 2023-11-28 Amazon Technologies, Inc. Providing access to configurable private computer networks
US9286126B2 (en) 2010-09-03 2016-03-15 Ricoh Company, Ltd. Information processing apparatus, information processing system, and computer-readable storage medium
JP2017520194A (ja) * 2014-06-30 2017-07-20 アルカテル−ルーセント ソフトウェア定義ネットワークにおけるセキュリティ
US10666689B2 (en) 2014-06-30 2020-05-26 Alcatel Lucent Security in software defined network

Also Published As

Publication number Publication date
US9516026B2 (en) 2016-12-06
KR20080008357A (ko) 2008-01-23
WO2006109187A2 (en) 2006-10-19
EP2547069B1 (en) 2015-11-04
US20060235973A1 (en) 2006-10-19
CN102291459B (zh) 2015-02-11
EP1875715A2 (en) 2008-01-09
CN1855817B (zh) 2012-07-04
WO2006109187A3 (en) 2007-03-08
US20140317683A1 (en) 2014-10-23
EP2547069A1 (en) 2013-01-16
CN102291459A (zh) 2011-12-21
CN1855817A (zh) 2006-11-01

Similar Documents

Publication Publication Date Title
US9516026B2 (en) Network services infrastructure systems and methods
EP1713231B1 (en) Public and private network service management systems and methods
US7483438B2 (en) Systems and methods for managing network services between private networks
US20080033845A1 (en) Publication Subscription Service Apparatus And Methods
US8817675B2 (en) Service-centric communication network monitoring
US8239520B2 (en) Network service operational status monitoring
EP2076999B1 (en) Network service usage management systems and methods
US8346265B2 (en) Secure communication network user mobility apparatus and methods
US7290286B2 (en) Content provider secure and tracable portal
US20070294253A1 (en) Secure domain information protection apparatus and methods
JP2009290861A (ja) プロキシ・ベースの双方向ウェブサービス・ルータ・ゲートウェイ
Khan et al. Designing Content Switching Solutions
Tripunitara et al. Connectivity provisioning with security attributes

Legal Events

Date Code Title Description
A300 Application deemed to be withdrawn because no request for examination was validly filed

Free format text: JAPANESE INTERMEDIATE CODE: A300

Effective date: 20090707