JP2010517141A - デジタルアイデンティティ表現のプロビジョニング - Google Patents

Abstract

デジタルアイデンティティ表現（「ＤＩＲ」）をプロビジョニングするためのシステムおよび方法は、様々な技術および構造を使用して、管理を簡単にし、精度を向上させ、デジタルアイデンティティプロビジョニングシステムの不整合を低減する。新しいＤＩＲを作成し、ＤＩＲを要求し、使用可能なＤＩＲをプリンシパルに通知し、新しいＤＩＲの発行を承認するための様々な方法が提供される。

Description

本発明は、デジタルアイデンティティ表現をプロビジョニングするための方法に関する。

特にデジタルの状況において、個人識別情報がどのように配布され、使用されるかについての一層の制御を個々人に提供するためのシステムの開発において、とてつもない革新が最近起こった。例えば、ワシントン州レドモンドのマイクロソフト社は、数ある中でも、時としてＩｎｆｏｒｍａｔｉｏｎ Ｃａｒｄ Ｓｅｌｅｃｔｏｒと呼ばれるシステム−マイクロソフトによる事例ではＷｉｎｄｏｗｓ ＣａｒｄＳｐａｃｅと呼ばれる−を広めた。Ｗｉｎｄｏｗｓ ＣａｒｄＳｐａｃｅシステムにおいて、プリンシパル（ｐｒｉｎｃｉｐａｌ）は、時として情報カードと呼ばれる１つまたは複数のデジタルアイデンティティ表現を取得する。プリンシパルについて作られた１組のクレームを要求するリソース（「依拠当事者（ｒｅｌｙｉｎｇ ｐａｒｔｙ）」）にプリンシパルがアクセスしようと試みるとき、プリンシパルは、デジタルアイデンティティ表現（以下「ＤＩＲ」と呼ぶ）を使用して、これらのクレームを主張することができるアイデンティティプロバイダ（ｉｄｅｎｔｉｔｙ ｐｒｏｖｉｄｅｒ）との通信を開始する。ある場合、アイデンティティプロバイダは、プリンシパルによって制御することができ、プリンシパル自身のマシン上で稼働することができる。別の例では、アイデンティティプロバイダは、第３者によって制御することができる。アイデンティティプロバイダは、要求されたクレーム情報を含む「アイデンティティトークン」を戻す。

しかし、ＤＩＲの作成およびプロビジョニングには、ほとんど注意が向けられていない。現在、デジタルアイデンティティシステムの管理者は、ＤＩＲを手動で入念に作らざるを得ない。例えば、管理者は、ＸＭＬジェネレータなどのソフトウェアユーティリティを手動で使用して、ＤＩＲを入念に作り、それを特定の場所に保存することができる。次いで管理者は、ＤＩＲへのポインタをプリンシパルに送信し、次いでプリンシパルは、そのＤＩＲを取り出しに行くことができる。このシステムは、アドホックであり、エラーおよびセキュリティの脆弱性の影響を受けやすく、管理者にとって多大な労働力が必要である。

本概要は、詳細な説明において下記でさらに説明されるいくつかの概念を簡単な形で紹介するために提供される。本概要は、特許請求された主題の鍵となる特徴または重要な特徴を識別するためのものではなく、特許請求された主題の範囲の画定の手助けとして使用されるためのものでもない。

１つの態様は、プリンシパルについてのＤＩＲをプロビジョニングするための方法に関する。プリンシパルのＤＩＲを作成するために、要求が、ＨＴＴＰリクエストなど、第１のチャネルを介して受信される。次いで、ＤＩＲが要求された旨の通知が、例えば電子メールなど、第２のチャネルを介して送信される。次いで、ＤＩＲが作成される前に、ＤＩＲを作成するための承認が受信される。

別の態様は、プリンシパルについてのＤＩＲをプロビジョニングするためのさらに別の方法に関する。ＤＩＲがプリンシパルに対して使用可能である旨の通知が発行される。次いで、ＤＩＲが作成される前に、ＤＩＲを作成する旨の要求が受信される。

別の態様は、プリンシパルについてのＤＩＲをプロビジョニングするためのさらに別の方法に関する。任意の新しいＤＩＲがプリンシパルから使用可能であるかどうかを決定するために、ＤＩＲ生成システムにポーリングが行われる（例えば、プリンシパルのマシン上で稼働しているアプリケーションによって）。次いで、新しいＤＩＲがプリンシパルから使用可能であるかどうかが決定される。そうである場合、新しいＤＩＲが作成される旨の要求が送信される。最後に、新しいＤＩＲが受信される。

別の態様は、プリンシパルのグループについてのＤＩＲをプロビジョニングするための方法に関する。プリンシパルのグループがＤＩＲにアクセスすることを許可されるポリシーが設定される。次いでプリンシパルのグループに、ＤＩＲが使用可能であることが通知される。次いで、ＤＩＲを作成するために、プリンシパルのグループにおける少なくとも第１のプリンシパルからの要求が受信される。最後に、ＤＩＲが少なくとも第１のプリンシパルについて作成される。

次に、添付の図面を参照する。添付の図面は、必ずしも一定の比率の縮尺で描かれてはいない。

プリンシパル、プリンシパルマシン、依拠当事者、アイデンティティプロバイダ、ＤＩＲ生成システム、アイデンティティデータストア、管理者システム、およびデータ捕捉システムを含むＤＩＲシステム例を示す図である。 ＤＩＲのプロビジョニングおよび使用のための方法例を示す図である。 ＤＩＲのプロビジョニングおよび使用のための別の方法例を示す図である。 ＤＩＲのプロビジョニングのための別の方法例を示す図である。 ＤＩＲのプロビジョニングのための別の方法例を示す図である。 ＤＩＲのプロビジョニングのための別の方法例を示す図である。 ＤＩＲのプロビジョニングのための別の方法例を示す図である。 ＤＩＲのプロビジョニングのための別の方法例を示す図である。 コンピューティング装置の一例を示す図である。

次に、実施形態例について、添付の図面を参照して、より十分に以下に説明する。全体にわたり、同様の要素には同様の番号を付している。

本明細書に開示されている実施形態例は、一般に、通信を開始して、プリンシパル、アイデンティティプロバイダ、および依拠当事者の間で交換可能なアイデンティティトークンを生成し、プリンシパルに関連する識別および／または情報を認証するために用いられるＤＩＲを含むアイデンティティシステムに関する。本明細書における実施形態例では、プリンシパルは、１人または複数の自然人、コンピュータ、ネットワーク、または任意の他のエンティティとすることができる。依拠当事者は、プリンシパルがアクセスし、かつ／または取得することを望む商品、サービス、または他の情報を有する。実施形態例において、依拠当事者は、参加し、アクセスし、使用するためにセキュリティポリシーを必要とする任意のリソース、特権、またはサービスとすることができる。例えば、依拠当事者は、コンピュータ、コンピュータネットワーク、データ、データベース、建物、職員、サービス、会社、組織、物理的な場所、電子装置、または他の任意のタイプのリソースのうちの１つまたは複数を含むことができる。

次に図１を参照すると、プリンシパル１１０および依拠当事者１２０を含むＤＩＲシステム１００が例示されている。プリンシパル１１０は、プリンシパルマシン１１１を所有し、または制御する。プリンシパルマシン１１１は、プリンシパル１１０によって少なくとも一時的に制御されるコンピュータシステムを含む。依拠当事者１２０も、コンピュータシステムを含むことができる。システム１００は、管理者システム１６０、データ捕捉システム１６２、ＤＩＲ生成システム１６４、およびアイデンティティデータストア１６８、およびアイデンティティプロバイダ１１５をも含み、それぞれについてコンピュータシステムを含むか、またはその一部とすることができ、以下でさらに説明する。

プリンシパル１１０および依拠当事者１２０は、インターネットなど１つまたは複数のネットワークを介して、あるいは電話、または他の形の有線または無線の通信を介して互いに通信することができる。実施例において、プリンシパル１１０は、商品、サービス、情報、特権、または他のアクセスを依拠当事者１２０に要求することができる。依拠当事者１２０は、要求されたアクセスをプリンシパル１１０に提供する前、またはそれと共に、プリンシパル１１０のアイデンティティの認証の要求、またはプリンシパル１１０についての情報を要求することができる。

また、図１には、アイデンティティプロバイダ１１５の例が示されている。アイデンティティプロバイダ１１５は、コンピュータシステムを含む。実施例では、アイデンティティプロバイダ１１５は、クレーム変換部（ｃｌａｉｍｓ ｔｒａｎｓｆｏｒｍｅｒ）１３０およびクレーム権限部（ｃｌａｉｍｓ ａｕｔｈｏｒｉｔｙ）１４０を含む。クレーム変換部１３０は、時として「セキュリティトークンサービス」と呼ばれる。例示において、アイデンティティプロバイダ１１５は、プリンシパル１１０について１つまたは複数のクレームを提供することができる。クレームは、プリンシパルについて作られたステートメントまたはアサーションであり、場合によっては、例えば、名前、住所、社会保障番号、年齢、クレジットヒストリ、取引要件（ｔｒａｎｓａｃｔｉｏｎａｌ ｒｅｑｕｉｒｅｍｅｎｔｓ）など、プリンシパルについての情報を含む。さらに以下に説明するように、アイデンティティプロバイダ１１５は、プリンシパル１１０および／または依拠当事者１２０に、デジタル署名付きアイデンティティトークンの形式でクレームを提供することができる。実施例では、アイデンティティプロバイダ１１５は、依拠当事者１２０と信頼関係にあり、したがって、依拠当事者１２０は、アイデンティティプロバイダ１１５からの署名付きアイデンティティトークン内のクレームを信頼する。

アイデンティティプロバイダ１１５のクレーム変換部１３０およびクレーム権限部１４０は、図１において、別個のエンティティとして示しているが、代替の実施形態において、クレーム変換部１３０およびクレーム権限部１４０は、同じエンティティまたは異なるエンティティにできる。アイデンティティプロバイダ１１５は、一部の実施例において、セキュリティトークンサービスの形式をとることができる。同様に、アイデンティティプロバイダ１１５およびＤＩＲ生成システム１６４は、同じエンティティであってもよく、または異なるエンティティであってもよい。

本明細書に記載されているコンピュータシステムは、パーソナルコンピュータ、サーバコンピュータ、ハンドヘルドまたはラップトップ装置、マイクロプロセッサシステム、マイクロプロセッサベースのシステム、プログラム可能家庭用電化製品、ネットワークＰＣ、ミニコンピュータ、メインフレームコンピュータ、スマートカード、電話、移動式またはセルラー式通信装置、ＰＤＡ、上記システムまたは装置のうちの任意のものを含む分散コンピューティング環境などを含むが、これらに限定されない。本明細書に記載されている一部のコンピュータシステムは、ポータブルコンピューティング装置を含むことができる。ポータブルコンピューティング装置とは、ユーザによって物理的に運ばれるように設計されている任意のコンピュータシステムである。各コンピュータシステムは、キーボード、マウス、カメラ、Ｗｅｂカメラ、ビデオカメラ、指紋スキャナ、虹彩スキャナ、モニタなどの表示装置、マイクロフォン、スピーカなどを含む１つまたは複数の周辺装置を含むことができるが、これらに限定されない。

各コンピュータシステムは、（限定されることなく）Ｍｉｃｒｏｓｏｆｔ社のＷＩＮＤＯＷＳオペレーティングシステムなどのオペレーティングシステム、およびコンピュータ可読媒体に格納された１つまたは複数のプログラムを含む。各コンピュータシステムは、ユーザがコンピュータシステムと通信できるようにすると共に、コンピュータシステムが他の装置と通信できるようにする１つまたは複数の入出力通信装置も含み得る。プリンシパル１１０によって使用されるコンピュータシステム（プリンシパルマシン１１１など）、依拠当事者１２０、ＤＩＲ生成システム１６４、管理システム１６０、データ捕捉システム１６２、およびアイデンティティプロバイダ１１５間の通信は、インターネット、広域ネットワーク、イントラネット、Ｅｔｈｅｒ.ＮＥＴ、直接配線パス、衛星、赤外線スキャン、セルラー式通信、または他の任意のタイプの有線または無線通信を含むが、これに限定されずに任意のタイプの通信リンクを使用して実施することができる。

本明細書に開示されている一部の実施形態において、システム１００は、ワシントン州レドモンドのマイクロソフト社によって開発された .ＮＥＴ３．０ Ｆｒａｍｅｗｏｒｋにおいて提供される情報カードシステムの少なくとも一部として実装される。情報カードシステムによって、プリンシパルは、様々なアイデンティティプロバイダからの複数のＤＩＲを管理することができる。

情報カードシステムは、 .ＮＥＴ３．０ ＦｒａｍｅｗｏｒｋにおけるＷｉｎｄｏｗｓ Ｃｏｍｍｕｎｉｃａｔｉｏｎ ＦｒａｍｅｗｏｒｋなどのＷｅｂサービスプラットフォームを使用する。さらに、情報カードシステムは、ワシントン州レドモンドのマイクロソフト社によって、少なくともある程度、広められたＷｅｂ Ｓｅｒｖｉｃｅｓ Ｓｅｃｕｒｉｔｙ Ｓｐｅｃｉｆｉｃａｔｉｏｎｓを使用して構築される。これらの仕様は、メッセージセキュリティモデルＷＳ−Ｓｅｃｕｒｉｔｙ、エンドポイントポリシーＷＳ−ＳｅｃｕｒｉｔｙＰｏｌｉｃｙ、メタデータ交換ＷＳ−ＭｅｔａｄａｔａＥｘｃｈａｎｇｅ、およびトラストモデル（ｔｒｕｓｔ ｍｏｄｅｌ）ＷＳ−Ｔｒｕｓｔを含む。一般に、ＷＳ−Ｓｅｃｕｒｉｔｙモデルは、アイデンティティトークンをメッセージに添付する方法について記述する。ＷＳ−ＳｅｃｕｒｉｔｙＰｏｌｉｃｙモデルは、必要なアイデンティティトークン、およびサポートされている暗号化アルゴリズムなど、エンドポイントポリシー要件を記述する。こうしたポリシー要件は、ＷＳ−ＭｅｔａｄａｔａＥｘｃｈａｎｇｅによって定義されているメタデータプロトコルを使用して伝えられ、交渉されうる。ＷＳ−Ｔｒｕｓｔモデルは、異なるＷｅｂサービスの相互運用を可能にするトラストモデルについてのフレームワークを記述する。本明細書に記載されている一部の実施形態例は、上述のＷｅｂ Ｓｅｒｖｉｃｅｓ Ｓｅｃｕｒｉｔｙ Ｓｐｅｃｉｆｉｃａｔｉｏｎｓを参照する。代替の実施形態において、システム１００における様々なサブシステム間の通信を容易にするために、１つまたは複数の他の仕様を使用することができる。

再び図１を参照すると、プリンシパル１１０は、プリンシパルマシン１１１を介して、商品、サービス、または他の情報へのアクセスの要求を依拠当事者１２０に送信することができる。例えば、一実施形態において、プリンシパルマシン１１１は、プリンシパル１１０が所望する依拠当事者１２０からの情報へのアクセスのための要求を依拠当事者１２０に送信する。プリンシパルマシン１１１によって送信された要求は、例えばＷＳ−ＭｅｔａｄａｔａＥｘｃｈａｎｇｅに設けられている機構を使用した、依拠当事者１２０の認証要件に関する要求を含み得る。

当該要求に応答して、依拠当事者１２０は、プリンシパルマシン１１１に、依拠当事者１２０がプリンシパルの識別情報またはプリンシパル１１０についての他の情報を認証するための要件を送信することができる。依拠当事者１２０の認証要件は、本明細書では、セキュリティポリシーと呼ばれる。セキュリティポリシーは、依拠当事者１２０がプリンシパル１１０を認証するために、プリンシパル１１０が依拠当事者１２０に提供しなければならない１組のクレームを信頼されるアイデンティティプロバイダ１１５から少なくとも定義する。セキュリティポリシーは、個人的特徴（年齢など）、識別情報、財政状態などに関する証明の要件を含むことができる。また、セキュリティポリシーは、証明の任意の提供（特定のアイデンティティプロバイダからのデジタル署名など）を認証するのに必要な検証および認証のレベルに関するルールも含むことができる。

一例において、依拠当事者１２０は、依拠当事者１２０によって求められるクレーム要件およびアイデンティティトークンの形式の両方を含むＷＳ−ＳｅｃｕｒｉｔｙＰｏｌｉｃｙを使用して、そのセキュリティポリシーを指定する。クレームの形式の例には、以下の名、姓、電子メールアドレス、住所、地方名または市、州または県、郵便番号、国、電話番号、社会保障番号、誕生日、性別、個人識別番号、クレジットスコア、財政状態、法的地位などがあるが、これらに限定されない。

セキュリティポリシーは、依拠当事者１２０によって要求されるアイデンティティトークンの形式を指定するために使用することもでき、または、アイデンティティプロバイダによって決定されるようにして、デフォルトのタイプを使用することができる。要求されるクレームおよびトークンタイプを指定することに加えて、セキュリティポリシーは、依拠当事者によって要求される特定のアイデンティティプロバイダを指定することができる。あるいは、セキュリティポリシーは、この要素を省略して、適切なアイデンティティプロバイダの決定をプリンシパル１１０に任せることができる。他の要素は、セキュリティポリシー、および例えば要求されるセキュリティトークンの新しさのように指定することができる。

一部の実施形態において、プリンシパル１１０は、後述するように、プリンシパルマシン１１１に対して身元を明かして、依拠当事者１２０のセキュリティポリシーを満たすかどうかについて決定することができる。一例において、依拠当事者１２０は、Ｘ５０９証明書を使用して身元を明かす。他の実施形態において、依拠当事者１２０は、例えばＳｅｃｕｒｅ Ｓｏｃｋｅｔｓ Ｌａｙｅｒ（「ＳＳＬ」）サーバ証明書など、他の機構を使用して身元を明かすことができる。

プリンシパルマシン１１１は、プリンシパル１１０の１つまたは複数のＤＩＲを含み得る。これらのＤＩＲ（時として、ワシントン州レドモンドのマイクロソフト社によって開発された .ＮＥＴ３．０ Ｆｒａｍｅｗｏｒｋにおいて提供されるＷｉｎｄｏｗｓ Ｃａｒｄｓｐａｃｅシステムでの「情報カード」と呼ばれる）は、プリンシパル１１０と、アイデンティティプロバイダ１１５などとの特定のアイデンティティプロバイダとの間のトークン発行関係を表すアーティファクトである。各ＤＩＲは、特定のアイデンティティプロバイダに対応することができ、プリンシパル１１０は、同じまたは異なるアイデンティティプロバイダからの複数のＤＩＲを有することができる。アイデンティティシステムにおけるＤＩＲの使用は、本明細書に完全に記載されているように参照により本明細書に組み込まれている米国特許出願第１１／３６１，２８１号明細書に詳しく記載されている。

ＤＩＲは、数ある情報の中でも、発行することができるトークンの形式、権限を有するクレームの形式、および／またはアイデンティティトークンの要求時に認証に使用する証明書を含めて、アイデンティティトークンに関するアイデンティティプロバイダの発行ポリシーを含むことができる。ＤＩＲは、アイデンティティプロバイダ１１５またはＤＩＲ生成システム１６４によって発行され、プリンシパル１１０によってプリンシパルマシン１１１などの記憶装置に格納されるＸＭＬドキュメントとして表すことができる。

プリンシパルマシン１１１は、アイデンティティセレクタも含み得る。一般に、アイデンティティセレクタは、プリンシパル１１０が、アイデンティティプロバイダ１１５など、１つまたは複数のアイデンティティプロバイダにアイデンティティトークンを要求し、そこから取得するために、プリンシパルマシン１１１上のプリンシパル１１０の１つまたは複数のＤＩＲ間での選択を行うことができるコンピュータプログラムおよびユーザインターフェイスである。例えば、依拠当事者１２０からのセキュリティポリシーがプリンシパルマシン１１１によって受信されると、ＤＩＲの中の情報を使用して、セキュリティポリシーにより要求されるクレームのうちの１つまたは複数を満たす１つまたは複数のＤＩＲを識別するように、アイデンティティセレクタをプログラムすることができる。いったんプリンシパル１１０が依拠当事者１２０からセキュリティポリシーを受信すると、プリンシパル１１０は、（例えば、プリンシパルマシン１１１を使用して）１つまたは複数のアイデンティティプロバイダと通信して、セキュリティポリシーにより要求されるクレームを集めることができる。

実施形態例において、プリンシパル１１０は、ＷＳ−Ｔｒｕｓｔに記載されている発行機構を使用して、アイデンティティプロバイダ１１５に１つまたは複数のアイデンティティトークンを要求する。実施形態例において、プリンシパル１１０は、依拠当事者１２０のポリシー内のクレーム要件をアイデンティティプロバイダ１１５に転送する。依拠当事者１２０の識別情報は、必須ではないが、プリンシパル１１０によってアイデンティティプロバイダ１１５に送信される要求で指定することができる。この要求は、表示トークンの要求など、他の要件も含み得る。

一般に、アイデンティティプロバイダ１１５のクレーム権限部１４０は、依拠当事者１２０からセキュリティポリシーによって要求されるクレームのうちの１つまたは複数を提供することができる。アイデンティティプロバイダ１１５のクレーム変換部１３０は、クレームを変換し、プリンシパル１１０に関連するクレームを含む１つまたは複数の署名付きアイデンティティトークン１５０を生成するようプログラムされる。

上述のように、プリンシパル１１０は、依拠当事者１２０からの承認要件に基づいて、アイデンティティプロバイダ１１５への要求により、特定のフォーマットのアイデンティティトークンを要求することができる。クレーム変換部１３０は、これに限定されないが、Ｘ５０９、Ｋｅｒｂｅｒｏｓ、ＳＡＭＬ（バージョン１．０および２．０）、Ｓｉｍｐｌｅ ｅＸｔｅｎｓｉｂｌｅ Ｉｄｅｎｔｉｔｙ Ｐｒｏｔｏｃｏｌ（「ＳＸＩＰ」）などを含む複数のフォーマットのうちの１つにおいて、アイデンティティトークンを生成するようプログラムすることができる。

例えば、一実施形態において、クレーム権限部１４０は、第１のフォーマットＡでクレームを生成するようプログラムされる。依拠当事者１２０のセキュリティポリシーは、第２のフォーマットＢのアイデンティティトークンを要求する。クレーム変換部１３０は、アイデンティティトークンをプリンシパル１１０に送信する前に、クレーム権限部１４０からのクレームを、フォーマットＡからフォーマットＢに変換することができる。さらに、クレーム変換部１３０は、特定のクレームの意味論を改良するようにプログラム可能である。実施形態例において、特定のクレームの意味論は、所与のクレームによって伝えられる個人情報の量を低減し、または最低限に抑えるために、特定のクレームおよび／またはアイデンティティトークンにおいて提供される情報量を最低限に抑えるように変換される。

実施形態例において、クレーム変換部１３０は、ＷＳ−Ｔｒｕｓｔに記載されている応答機構を使用して、アイデンティティトークン１５０をプリンシパル１１０に転送する。一実施形態において、クレーム変換部１３０は、セキュリティトークンサービス（時として「ＳＴＳ」と呼ばれる）を含む。一実施形態例において、プリンシパル１１０は、ＷＳ−Ｓｅｃｕｒｉｔｙに記載されているセキュリティ結合機構（ｓｅｃｕｒｉｔｙ ｂｉｎｄｉｎｇ ｍｅｃｈａｎｉｓｍ）を使用して、アイデンティティトークン１５０をアプリケーションメッセージに結合することによって、アイデンティティトークン１５０を依拠当事者１２０に転送する。他の実施形態において、アイデンティティトークン１５０は、アイデンティティプロバイダ１１５から依拠当事者１２０に直接送信され得る。

いったん依拠当事者１２０がアイデンティティトークン１５０を受信すると、依拠当事者１２０は、（例えばアイデンティティトークン１５０を復号または解読することによって）署名付きアイデンティティトークン１５０の起源を検証することができる。依拠当事者１２０は、依拠当事者１２０のセキュリティポリシーを満たす、アイデンティティトークン１５０内のクレームを使用して、プリンシパル１１０を認証することもできる。

次に、ＤＩＲのプロビジョニングについてより詳しく説明する。プリンシパル１１０は、様々な方法でＤＩＲを取得することができる。図１に示す実施形態例において、ＤＩＲ生成システム１６４は、一般に、プリンシパル１１０と通信し、新しいＤＩＲを作成し、使用可能なＤＩＲをプリンシパル１１０に通知するために使用される。ＤＩＲ生成システム１６４は、一部の実施形態では、インターネットＷｅｂサイトを含み得る。他の実施形態において、ＤＩＲ生成システム１６４は、Ｗｅｂサービスを含み得る。また、ＤＩＲ生成システム１６４は、いくつかの実施形態において、インターネット情報サーバ（ＩＩＳ）１６６を含み、またはそれと共に動作することができる。

アイデンティティデータストア１６８は、いくつかの実施形態において、アイデンティティプロバイダ１１５、ＤＩＲ生成システム１６４、および管理者システム１６０によってアクセスすることができるデジタル情報ストレージシステムである。アイデンティティデータストア１６８は、データベースサーバ、コンピュータメモリ、または任意の他のデータストレージ装置を含み得る。アイデンティティデータストア１６８は、分散データモデルにおける複数の装置またはシステムから構成することができる。また、アイデンティティデータストア１６８は、ワシントン州レドモンドのマイクロソフト社によって広められたＡｃｔｉｖｅ Ｄｉｒｅｃｔｏｒｙ１６９などのディレクトリサービスを含み、または備えることができる。

管理者システム１６０は、管理者がアイデンティティデータストア１６８およびＤＩＲ生成システム１６４と通信することができるようにするユーザインターフェイスを含めて、コンピュータシステムを含み得る。管理者システム１６０は、管理者が、アイデンティティデータストア１６８内のデータを整理し、管理することを許可する。また、管理者システム１６０は、ＤＩＲ生成システム１６４により作成されるＤＩＲの形式を管理者が決定することを許可し、そして、特定のプリンシパルが特定のＤＩＲを受信する資格があるかどうかを管理者が制御できるようにする。管理者システム１６０の使用については、以下でさらに説明する。

いくつかの実施形態は、別個のデータ捕捉システム１６２を含み得る。データ捕捉システム１６２は、プリンシパルに関連する情報を捕捉するように適応されたコンピュータシステムを含み得る。例えば、データ捕捉システム１６２は、名前、電話番号、社会保障番号、住所など、プリンシパルについての個人情報を捕捉するヒューマンリソースコンピュータシステムを含むことができる。データ捕捉システム１６２は、別個のストレージを含むことができ、またはアイデンティティデータストア１６８を使用することもできる。

図２は、システム１００を介して実施することができる方法２００を示す。ステップ２１０で、管理者は、アイデンティティデータストアを構成する。例えば、管理者は、管理者システム１６０を使用して、アイデンティティデータストア１６８を構成することができる。管理者は、一部の実施形態において、管理者システム１６０を使用して、ＤＩＲを管理し、生成し、運用するために使用されることとなるテーブルをアイデンティティデータストア１６８内に設定することができる。一実施形態例において、管理者は、ＤＩＲ生成システム１６４によって作成されるＤＩＲにおいてサポートされることとなるクレームの形式、およびアイデンティティプロバイダ１１５によって生成されるアイデンティティトークンを決定することができる。また、管理者は、管理者システム１６０を使用して、例えば、アイデンティティプロバイダ１１５がサポートするトークンの形式、資格情報（ｅｎｔｉｔｌｅｍｅｎｔ ｉｎｆｏｒｍａｔｉｏｎ）、およびフェデレーションメタデータ（ｆｅｄｅｒａｔｉｏｎ ｍｅｔａｄａｔａ）などのポリシー情報を格納するようにアイデンティティデータストア１６８を構成することもできる。アイデンティティデータストア１６８においてＤＩＲに組み込むことができる他の情報は、プリンシパル１１０の写真、アイデンティティプロバイダ１１５などのアイデンティティプロバイダに関連する接続情報を含む。

次に、プリンシパル１１０がＤＩＲを要求したとき、方法２００はステップ２２０に進む。ＤＩＲについての要求は、様々な方法で行うことができる。例えば、プリンシパル１１０は、プリンシパルマシン１１１を使用して、ＤＩＲ生成システム１６４にアクセスすることができる。一部の実施形態において、ＤＩＲ生成システム１６４は、Ｗｅｂサイトであり、そしてプリンシパルマシン１１１は、インターネットブラウザを介してＤＩＲ生成システム１６４にアクセスして、ＤＩＲを要求する。一部の実施形態において、プリンシパル１１０は、特定のＤＩＲを要求する。他の実施形態において、以下でさらに説明するように、プリンシパル１１０は、プリンシパル１１０から使用可能なＤＩＲのリストを要求し、そのリストから選択する。

次に、ＤＩＲ生成システム１６４がアイデンティティデータストア１６８に確認し、ＤＩＲを生成し、ＤＩＲをプリンシパル１１０に提供したとき、方法２００は、ステップ２３０に進む。一実施形態において、ＤＩＲ生成システム１６４は、まず、アイデンティティデータストア１６８に確認して、要求したＤＩＲに対してプリンシパル１１０が受ける権利があるかどうかを決定する。これは、様々な方法で達成することができて、アイデンティティデータストア１６８内の資格ＤＬＬをチェックし、Ａｃｔｉｖｅ Ｄｉｒｅｃｔｏｒｙアクセスチェックを実行することなどを含んでいる。また、ＤＩＲ生成システム１６４は、アイデンティティデータストア１６８内に格納されているアイデンティティシステムメタデータにアクセスして、どの形式のアイデンティティクレームを新しいＤＩＲ内に含めることができるかについて決定することもできる。

ＤＩＲ生成システム１６４が新しいＤＩＲを生成するとき、ＤＩＲは、ＸＭＬドキュメントの形態をとることができ、数ある情報の中でも、プリンシパルマシン上に表示する画像、ＤＩＲに含まれるクレームのリスト、ＤＩＲについて使用可能なトークンタイプのリスト、一意のＤＩＲ識別子、クレデンシャルヒント（ｃｒｅｄｅｎｔｉａｌ ｈｉｎｔ）（以下でさらに説明）、アイデンティティプロバイダの識別、およびアイデンティティプロバイダ１１５についてのエンドポイント基準を含むことができる。新しいＤＩＲは、新しいＤＩＲの電子メール、ＨＴＴＰメッセージ、または他の方法を含むように様々な方法でプリンシパルに提供することができる。本明細書で使用される「電子メール」は、テキストメッセージング、インスタントメッセージング、および類似の電子通信の形態を含む。

新しいＤＩＲを受信すると、プリンシパル１１０は、例えばプリンシパルマシン１１１に関連付けられているメモリにＤＩＲを格納する（２４０）。次に、プリンシパルは、依拠当事者１２０などの依拠当事者へのアクセスを要求する（２５０）。依拠当事者は、アクセスを拒否し（例えば、認証ページへのリダイレクトを介して）、そのセキュリティポリシーをプリンシパル１１０に戻す（２６０）。次に、プリンシパル１１０は、依拠当事者１２０のセキュリティポリシーを満たすＤＩＲを選択する（２７０）。これは、例えば、使用可能な全てのＤＩＲをプリンシパル１１０に表示するプリンシパルマシン１１１上のユーザインターフェイスを介して達成することができる。一部の実施形態において、依拠当事者のセキュリティポリシーの要件を満たすＤＩＲを、プリンシパル１１０のために強調表示することができ、プリンシパル１１０にとって選択プロセスがより容易になるように、他のカードを不鮮明な表示にすることができる。

次に、プリンシパル１１０は、アイデンティティプロバイダ１１５などのアイデンティティプロバイダにアイデンティティトークンの要求を送信する（２８０）。アイデンティティトークンのこの要求は、プリンシパル１１０がプリンシパルマシン１１１に格納されているＤＩＲを選択することで、プリンシパルマシン１１１により自動的に生成可能である。アイデンティティプロバイダ１１５は、アイデンティティデータストア１６８をチェックして、要求されたアイデンティティトークンを組み込むための情報を取得する（２８５）。この情報は、例えば、クレームデータを含み得る。例えば、選択されたＤＩＲが年齢のクレームを含んでいる場合、アイデンティティプロバイダ１１５は、アイデンティティデータストア１６８をチェックして、プリンシパル１１０の年齢を決定することができる。次に、アイデンティティプロバイダ１１５は、要求されたアイデンティティトークンを作成し（２８５）、それをプリンシパルに送信する（２９０）。次に、プリンシパルは、アイデンティティトークンを依拠当事者に送信し（２９５）、上述のように、アクセスが許可される。

ＤＩＲ生成システム１６４に使用される同じアイデンティティデータストア１６８へのアクセスをアイデンティティプロバイダ１１５によって提供する際、管理者は、ＤＩＲの生成が、要求されたアイデンティティトークンにクレームを満たすことができる実データと同期したままであることを確認することができる。例えば、年齢クレームについてのデータがアイデンティティデータストア１６８に格納されないように、管理者がアイデンティティデータストア１６８を構成する場合、ＤＩＲ生成システム１６４は、年齢クレームのオプションを含むＤＩＲを作成しないことになる。そうでない場合、同期の問題が生じ得る。例えば、管理者が新しいＤＩＲをアドホック式に（使用可能なアイデンティティデータを参照することなしに）生成し、年齢クレームが含まれ、ＤＩＲの一部としてプリンシパルに送り返されると仮定する。プリンシパルが年齢クレームを含むアイデンティティトークンを取得しようと試みると、その情報は使用できず、トークンは、依拠当事者によって不十分として拒絶されることになる。それに対して、システム１００は、生成されたＤＩＲおよびその基となるデータの可用性を自動同期し、対応するアイデンティティトークンを組み込むことを可能にする。管理者システム１６０を介して、ＤＩＲのプロビジョニング、および対応するアイデンティティトークンの発行の両方に自動的に影響を与えることとなるアイデンティティデータストアにおいて変更する能力が管理者に与えられる。

一部の実施形態において、既に発行されているＤＩＲの正当性に影響を与える特定の変更を管理者がアイデンティティデータストア１６８に加えると、影響を受けたＤＩＲを受信したどのプリンシパルも、新しいＤＩＲを取得することが通知され、許可される。例えば、プライバシー規制によって、アイデンティティデータストア１６８内に格納されている任意のプリンシパルの自宅の住所を管理者が削除することが要求されると仮定する。その自宅の住所に関するクレームを含むＤＩＲを受信した任意のプリンシパル１１０は、現在は、無効のＤＩＲを有する（というのは、アイデンティティデータストア１６８には、そのクレームを満たすどのようなデータについても、既に存在しないからである）。一実施形態において、これら全てのプリンシパルに、例えばＤＩＲ生成システム１６４からの電子メールを介してＤＩＲが現在無効であることが通知され、もはやサポートされていない自宅住所のクレームを含まない新しいＤＩＲを取得するようプリンシパルに勧める。このように、アイデンティティデータストア１６８に対して管理者による一度の変更は、（ａ）自宅住所のクレームを含む新しいＤＩＲが発行されるのを防ぎ、（ｂ）プリンシパルに、そのクレームを含む既存のＤＩＲは無効であり、交換可能であることを警告する。

次に図３を参照すると、図１に示すシステム１００と関連して、方法３００が例示されている。この例では、プリンシパル１１０は、プリンシパルマシン１１１に対して認証する。例えば、プリンシパルマシン１１１は、Ａｃｔｉｖｅ Ｄｉｒｅｃｔｏｒｙサーバ１６９などのディレクトリサービスを含むインターネットに接続することができる。プリンシパルマシン１１１に対するプリンシパル１１０の認証は、ユーザ名／パスワード、スマートカードなどを含めて、どの既知の方法からもサインオン情報を使用することを含むことができる。次に、プリンシパル１１０は、例えばプリンシパルマシン１１１上のブラウザを、ＤＩＲ生成システム１６４を含むＷｅｂサイトに向かわすことによって、ＤＩＲ要求を開始する（３２０）。次に、プリンシパル１１０は、ＤＩＲ生成システム１６４において認証する（３３０）。一部の実施形態において、プリンシパルマシン１１１、ＤＩＲ生成システム１６４、アイデンティティデータストア１６８、アイデンティティプロバイダ１１５、および管理者システム１６０は、同じイントラネットの一部分とすることができる。そのような実施形態において、シングルサインオン機能が使用可能でありうる。例えば、プリンシパルマシンが、ワシントン州レドモンドのマイクロソフト社から入手可能なＷＩＮＤＯＷＳオペレーティングシステムを稼働しており、Ｗｉｎｄｏｗｓ Ｉｎｔｅｇｒａｔｅｄ Ａｕｔｈｅｎｔｉｃａｔｉｏｎがオンの状態であれば、ＤＩＲ生成システム１６４での認証は、プリンシパル１１０に対して自動にすることができ、そしてシームレスとすることができる。プリンシパルマシン１１１にログオンするために使用される情報が、アクセスの要求と共にＤＩＲ生成システム１６４に渡される。他の実施形態において、管理者は、プリンシパル１１０の別個の認証を要求するようにＤＩＲ生成システム１６４を構成することができる。管理者は、ユーザ名／パスワード、スマートカードなどを含めて、様々な認証機構のうちのいずれかを要求するように、ＤＩＲ生成システム１６４を構成することができる。一部の実施形態において、プリンシパル１１０は、ＩＩＳ１６６によって認証することができ、様々な認証方法のうちのいずれかのものを受け入れるように、管理者によって容易に構成することができる。

プリンシパル１１０がいったん認証されると、ＤＩＲ生成システム１６４は、アイデンティティデータストア１６８にアクセスする（３５０）。この例では、ＤＩＲ生成システム１６４は、Ｗｅｂサービスの形態をとり、ＤＩＲ生成システムとプリンシパル１１０との間の交渉を可能にする。この例では、交渉は、プリンシパル１１０に戻されるＤＩＲの形式を決定する。この例において、ＤＩＲ生成システム１６４は、使用可能なＤＩＲ記述子を取得する（３５０）。実施形態例において、管理者は、管理者システム１６０を使用して、ＤＩＲ記述子を作成する。例えば、企業のＩＴ管理者は、異なるレベルの従業員について異なるＤＩＲを表す記述子を作成することができる。例えば、パートタイムの従業員は、フルタイムの従業員とは異なる１組のクレームを持つことができる。ＣＥＯは、スタッフ従業員とは異なる１組のクレームを持つことができる。各ＤＩＲ記述子に関連付けられている画像でさえ様々なものにすることができる。例えば、販売グループのＤＩＲ画像はオレンジ、会計グループのＤＩＲ画像はグリーンとすることができる。さらに、カード画像を個人専用にして、（アイデンティティデータストア１６８から取得された）プリンシパル１１０の画像を含むようにすることが可能である。このことは、プリンシパル１１０が、自身のＤＩＲとアイデンティティプロバイダ１１５との間の関連を強化する。これは、よりよい「指紋捺印」機能も提供する。

一部の実施形態において、管理者システム１６０は、アイデンティティデータストア１６８で入手可能な情報の使用可能な形式のすべてを構文解析し、記述子を作成する容易な方法を管理者に提示するユーザインターフェイスを含む。例えば、管理者に、（ａ）プリンシパルクラス（例えば、パートタイム従業員、フルタイム従業員、幹部チームメンバー、販売グループメンバーなど）、（ｂ）クレームタイプ（名前、住所、電話番号、年齢など）、（ｃ）アクセス権限、（ｄ）雇用状況（現行、解雇）などのリストが提示され得る。管理者は、次いで、一部またはすべてのプリンシパルのクラスへ使用可能な別個の記述子を作成するよう決定することができる。例えば、すべてのプリンシパルは、プリンシパルの名前、電話番号、および雇用状況を含む基本的なＤＩＲを受け取る資格があり得る。しかし、幹部チームのみ、高レベルのアクセス権限を含むＤＩＲもまた受け取る資格があるようにできる。これらの記述子は、管理者によって作成することができて、そして、どのプリンシパルが特定の記述子に対応するＤＩＲを受け取ることが許可されているかを記述するポリシーと共に、アイデンティティデータストアに保存することができる。記述子を管理する管理者に有益なコマンドは、「ＧＥＴ ＤＥＳＣＲＩＰＴＯＲＳ、ＧＥＴ ＡＬＬ ＤＥＳＣＲＩＰＴＯＲＳ、ＡＤＤ ＤＥＳＣＲＩＰＴＯＲＳ、ＣＨＡＮＧＥ ＤＥＳＣＲＩＰＴＯＲＳ、ＤＥＬＥＴＥ ＤＥＳＣＲＩＰＴＯＲＳ、ＣＯＰＹ ＤＥＳＣＲＩＰＴＯＲ」などを含む。

使用可能な記述子について、プリンシパル１１０による要求は、「ＧＥＴ ＤＥＳＣＲＩＰＴＯＲＳ」などのＷｅｂサービスメソッドを介して、プリンシパルマシン１１１によって達成することができる。これにより、ＤＩＲ生成システムに、プリンシパル１１０を管理者によって設定されたポリシーと照合させて、もしあれば、どの記述子がプリンシパル１１０に使用可能であるかを決定することとなる。これは、例えば、Ａｃｔｉｖｅ−Ｄｉｒｅｃｔｏｒｙアクセスチェックを介して達成することができる。記述子は、例えば、アイデンティティデータストア１６８、ＤＩＲ生成システム１６４に関連付けられているメモリ、または別個のストアなどのうちの任意のもの、またはすべてに格納することができる。

次に、ＤＩＲ生成システム１６４は、使用可能な記述子をプリンシパルマシン１１１に送信する（３６０）。次に、プリンシパル１１０は、使用可能な記述子から選択し、その記述子に対応する特定のＤＩＲを要求する（３７０）。これも、例えば、「ＧＥＴ ＣＡＲＤ」（この例では、ワシントン州レドモンドのマイクロソフト社によって少なくとも一部分広められたＷｉｎｄｏｗｓ ＣａｒｄＳｐａｃｅシステムにおいて使用可能な情報カードを指す）などのＷｅｂサービスメソッドによって達成することができる。プリンシパル１１０は、１つまたはいくつかの使用可能なＤＩＲを要求することができる。

次に、ＤＩＲ生成システム１６４は、要求されたＤＩＲを作成する（３８０）。実施形態例において、ＤＩＲ生成システムは、ＤＩＲを「戻す」ためのクレデンシャルヒントをＤＩＲに含む。例えば、ＤＩＲは、ユーザ名／パスワードのクレデンシャルヒントを含むことができ、ＤＩＲを使用してアイデンティティトークンを取得するために、これらユーザ名／パスワードを使用して認証するようにプリンシパル１１０に要求することができる。一部の実施形態において、認証の形式は、ＤＩＲ生成システム１６４へのアクセス権を取得するために、プリンシパル１１０によって使用される認証から得ることができる。例えば、プリンシパル１１０が、ユーザ名／パスワードの組み合わせを使用してＩＩＳ１６６を認証した場合、ＤＩＲ生成システム１６４は、ＤＩＲがプリンシパル１１０に送り返されるとき、同じユーザ名およびパスワードを使用して、ＤＩＲを戻すことができる。

他の実施形態において、デジタル生成システムは、特定のプリンシパル１１０についての他の使用可能な認証方法を含むＡｃｔｉｖｅ Ｄｉｒｅｃｔｏｒｙ１６９などのディレクトリサービスにアクセスすることができる。例えば、プリンシパル１１０がユーザ名／パスワードを使用して、ＤＩＲ生成システム１６４に対して認証を行うが、プリンシパル１１０に登録されたスマートカードに関連付けられている証明書をＡｃｔｉｖｅ Ｄｉｒｅｃｔｏｒｙが含む場合、ＤＩＲ生成システム１６４は、プリンシパル１１０に戻されるＤＩＲの一部として認証形式のいずれかまたは両方を含むことができる。なお、プリンシパルマシン１１１とＤＩＲ生成システム１６４との間でシングルサインオン機能が有効である場合、ＤＩＲに含まれる認証形式は、プリンシパルマシン１１１に対して認証を行うためにプリンシパル１１０により使用される認証形式とすることができる。

いったんＤＩＲがＤＩＲ生成システム１６４によって生成されると、これらは、電子メール、ＨＴＴＰなどを含めて、様々な方法のうちの任意のものを介してプリンシパル１１０に送信される（３９０）。一部の実施形態において、ＤＩＲを含むファイルは、ＰＩＮで保護され得る。これは、特に、複数のＤＩＲがプリンシパル１１０に送信される場合に、ＤＩＲを含むファイルが、許可されていないアクセスから保護すべき暗号鍵材を含み得るからである。ＰＩＮによって、プリンシパルマシン１１１とＤＩＲ生成システム１６４との間の共有秘密の確立が可能になる。次に、プリンシパルマシン１１１上にＤＩＲをインストールするとき、ＤＩＲを含むファイルは、プリンシパルによって解読することができる。ＤＩＲを開始し、承認し、送信するための方法例について、以下でさらに説明する。

次に、図４を参照すると、方法４００が示されている。ステップ４１０で、ＤＩＲを作成する旨の要求が、第１のチャネルを介して受信される。例えば、プリンシパル１１０は、プリンシパルマシン１１１上のインターネットブラウザを使用して、ＤＩＲ生成システム１６４から新しいＤＩＲを要求することができる。ステップ４２０で、第２のチャネルを介して、ＤＩＲが要求された旨の通知が発行される（４２０）。例えば、プリンシパル１１０からの新しいＤＩＲの要求に応答して、ＤＩＲ生成システム１６４、またはプリンシパルマシン１１１上で稼働するアプリケーションは、要求がなされた旨の電子メール通知を送信することができる。これは、プリンシパル１１０が、ＤＩＲを要求している人物であり、詐称者ではないことを保証するための「チェック」として作用することができる。一部の実施形態において、電子メールは、プリンシパルの既知の電子メールアドレスに向けることができる。他の実施形態において、この通知は、管理者のポリシーが特定のプリンシパル１１０の新しいＤＩＲの発行を承認することを要求する第３者に向けられる。例えば、組織のマネージャが発行を承認する場合のみ、一部のＤＩＲを、その組織における特定の従業員に使用可能とすることができる。この形式のＤＩＲは、例えば、機密の作業グループへのアクセス権を得るために使用することができる。

本明細書で使用する場合、「チャネル」は、当の情報が通信される方法を指す。方法４００における異なるチャネル間の区別は、論理的なものである。２つの別個のチャネルは、同じ物理または電子通信リンクまたは異なるパスのうちの一部またはすべてを一緒に使用することができる。例えば、ステップ４２０での通知は、ステップ４３０での承認と同じ通信リンク（例えばインターネット）を介して送信することができるが、チャネルは、論理的に異なっていてもよい（例えば、一方は電子メール、他方はＨＴＴＰメッセージとすることができる）。

ステップ４３０で、ＤＩＲを作成するための承認が受信される。例えば、ステップ４２０におけるＤＩＲ生成システム３６４からの通知の受信は、応答し、要求されたＤＩＲの発行を承認することができる。これは、様々な方法で達成することができる。例えば、ステップ４２０における通知は、ＤＩＲ生成システム３６４によってホストされる承認サイトへのリンクをもつ電子メールを含むことができる。

ステップ４４０で、要求されたＤＩＲが作成される。ステップ４２０での通知の受信により承認が拒否された場合、他のイベントが起こり得る。例えば、管理者に、ＤＩＲについての許可されていない要求がなされたことを通知することができる。

次に図５を参照すると、別の方法５００が例示されている。ステップ５１０で、ＤＩＲが使用可能である旨の通知がプリンシパルに発行される。例えば、ＤＩＲ生成システム３６４は、プリンシパル１１０に、新しいＤＩＲが使用可能である旨をプリンシパル１１０に警告する電子メールを送信することができる。あるいは、この通知は、プリンシパルのマネージャなどの第３者に行くようにすることができる。この形式の通知は、例えば管理者が、追加の記述子を含むようにアイデンティティデータストア１６８を変更した場合に有益である。次いで、記述子についての資格のあるクラスにおけるすべてのプリンシパルに新しいＤＩＲが使用可能であることを通知するために、ＤＩＲ生成システム３６４を使用することができる。例えば、特定の事業のマネージャは、特定のプロジェクトと共に使用されるＤＩＲについての新しい記述子を作成するよう管理者に要求することができる。いったん管理者が記述子を作成すると、マネージャが新しいＤＩＲを有することを望むすべてのプリンシパルの通知を自動にすることができる。

通知を一般の業務ワークフローの一部分として含めることもできる（５１０）。例えば、新しいプリンシパルの開始により組織が動き始めると、人事部は、データ捕捉システム１６２を介して、プリンシパルに関する情報を捕捉することができる。データ捕捉は、アイデンティティデータストア１６８にプリンシパルに関する関連のアイデンティティデータを格納し、ＤＩＲが現在そのプリンシパルに使用可能であることをプリンシパル１１０に通知することを含めた一連の自動化されたステップを始めることができる。通知は、ＤＩＲ生成システム１６４を有するＷｅｂサイトへのリンクを含むプリンシパルへの電子メールを含む多くの形態をとることができる。あるいは、新しいＤＩＲがプリンシパル１１０から使用可能である旨のメッセージをＤＩＲ生成システム１６４から受信するように構成されているプリンシパルマシン１１１上でアプリケーションを稼働することができる（例えば、このアプリケーションがポップアップメッセージを生成することができる、アイコンをプリンシパルマシン１１１上のツールバーに表示することができるなど）。

ステップ５２０で、ＤＩＲを作成する旨の要求が受信される。この場合も、このステップを、様々な方法で達成することができる。例えば、プリンシパル１１０は、プリンシパルにＤＩＲを要求するオプションを提供するＷｅｂページにプリンシパルをアクセスさせるリンクをクリックすることによって、通知の電子メールに応答する。あるいは、プリンシパルマシン１１１上のアプリケーションが、ＤＩＲが使用可能であることをプリンシパル１１０に警告する場合、プリンシパルは、こうしたアプリケーション内でＤＩＲを要求することができ、アプリケーションは、ＤＩＲ生成システム３６４にメッセージを送り返して、要求を行うことができる。

ステップ５３０で、要求されたようにＤＩＲが作成される。ＤＩＲの作成は、本明細書の他の場所に記載されているように達成することができる。この場合も本明細書の他の場所に記載されているように、ＤＩＲがプリンシパルに送信される（５４０）。

次に図６を参照すると、別の方法６００が例示されている。ステップ６１０で、プリンシパルに使用可能な新しいＤＩＲについて、ＤＩＲ生成システムがポーリングされる。例えば、プリンシパルマシン１１１は、所定の間隔で、ＤＩＲ生成システム１６４を定期的にポーリングするようプログラムされる。ステップ６２０で、任意の新しいＤＩＲがプリンシパルに使用可能かどうかについて決定される。ＤＩＲ生成システム１６４は、例えば、アイデンティティデータストア１６８において、プリンシパルマシン１１１によって最後にポーリングされた時から、任意の新しい記述子がプリンシパル１１０に使用可能になっているかどうかをチェックすることができる。ステップ６３０で、新しいＤＩＲが作成される旨の要求がされる。この例を続けて、新しいＤＩＲが使用可能である旨の通知を受信すると、プリンシパル１１０は、ＤＩＲ生成システム１６４が新しいＤＩＲを作成するように要求することができる。ステップ６４０で、新しいＤＩＲが受信される（例えば、新しいＤＩＲは、ＤＩＲ生成システム１６４からプリンシパルマシン１１１によって受信することができる）。この方法６００は、管理者のジョブをどのように簡略化することができるかの別の例である。すべてのプリンシパルマシンが新しいＤＩＲについてポーリングを行うようプログラムされている場合、例えば、アイデンティティデータストア１６８に、管理者が新しいＤＩＲ記述子を作成するとき、新しいＤＩＲの発行および配布は、自動であり、管理者にさらなる仕事を必要とさせない。

また、依拠当事者のセキュリティポリシーに応じてＤＩＲを動的に作成できることに利点がある。次に図７を参照すると、方法７００が例示されている。ステップ７１０で、依拠当事者へのアクセスが要求される。例えば、依拠当事者１２０が制限されたＷｅｂサイトである場合、プリンシパルマシン１１１は、ブラウザを介してＷｅｂサイトにアクセスすることを試みる。ステップ７２０で、依拠当事者へのアクセスが拒否され、依拠当事者からのセキュリティポリシーが受信される。この例を続けると、依拠当事者１２０は、プリンシパルマシン１１１に、そのセキュリティポリシー、およびプリンシパルマシン１１１のブラウザを認証Ｗｅｂページに再び向かわすＨＴＴＰメッセージを送信する。次に、ＤＩＲ生成システムに、セキュリティポリシーを満たすＤＩＲが要求される（７３０）。上記の例において、プリンシパルマシン１１１は、最初に、それが十分なＤＩＲかどうかをチェックし、そうでない場合、依拠当事者１２０のセキュリティポリシーを満たすＤＩＲを提供するアイデンティティプロバイダに対して、ローカルキャッシュの照会を行うようにプリンシパルマシン１１１をプログラムすることができる。また、プリンシパルマシンは、第３者によってホストされるＤＩＲプロバイダのパブリックリストの照会を行うこともできる。次に、プリンシパル１１０は、適切なＤＩＲプロバイダ、およびＤＩＲ生成システム１６４などのＤＩＲ生成システムを選択することができる。ステップ７４０で、ＤＩＲが受信される。上記の例において、プリンシパルマシン１１１は、新しいＤＩＲを受信し、次に、これは、依拠当事者１２０へのアクセス権を取得するのに必要なアイデンティティトークンを取得するために、アイデンティティプロバイダ１１５に転送される。

一部の実施形態において、プリンシパルマシン１１１は、依拠当事者１２０のセキュリティポリシーをＤＩＲ生成システム１６４に転送することができる。ＤＩＲ生成システム１６４は、次いで、アイデンティティデータストア１６８をチェックして、クレームおよびセキュリティポリシーに記載されている他の要件を満たすことができるかどうかを決定する。その場合、セキュリティポリシーを満たすＤＩＲが作成されることになる。このように、プリンシパルは、管理者がその特定依拠当事者のセキュリティポリシーの必要性を満たすアイデンティティ記述子を予め構成していたかどうかにかかわらず、必要に応じてＤＩＲを取得することができる。

次に図８を参照すると、別の方法８００が例示されている。ステップ８１０で、プリンシパルのグループに対して、プリンシパルのグループに使用可能なＤＩＲを許可するポリシーが設定される。図１の例示のシステム１００を参照すると、管理者は、管理者システムを使用して、特定のグループの一員である全てのプリンシパルが特定のＤＩＲを受信することを許可するポリシーを、アイデンティティデータストア１６８に設定することができる。一部の実施形態において、これは、Ａｃｔｉｖｅ Ｄｉｒｅｃｔｏｒｙ１６９において使用可能な「グループポリシー」機能、またはプリンシパルマシン１１１にあるクライアント側アプリケーションを開始する他の手段を使用して、管理者によって達成することができる。ステップ８２０で、ＤＩＲが使用可能であるプリンシパルのグループが通知される。上記の例において、プリンシパルマシン１１１上にあるクライアント側アプリケーションが起動される。これによって、プリンシパル１１０に、ＤＩＲが現在使用可能であることを表示することができる（例えば、ポップアップ、ツールバーアイコンなどを介して）。クライアント側アプリケーションは、それ自体のルールの組（例えば、プリンシパル１１０が後で思い出されるように選択することができること、プリンシパル１１０に、新しいＤＩＲを取り出すためのある時間量のみを提供することなど）を有することができる。ステップ８３０で、ＤＩＲを作成するために、プリンシパルのグループにおける少なくとも第１のプリンシパルからの要求が受信される。一部の実施形態において、これには、プリンシパルマシン１１１上にあるクライアント側アプリケーションを介して、ユーザがＤＩＲの作成を許可することが関与し得る。他の実施形態において、クライアント側アプリケーションは、プリンシパル１１０のこれ以上の関与無しに、ＤＩＲを要求することができる。ステップ８４０で、第１のプリンシパルのためのＤＩＲが作成される。

図９は、本明細書に記載した実施形態を実施するために使用することができる一般のコンピューティング装置９００（本明細書では、コンピュータまたはコンピュータシステムとも呼ばれる）を示す。コンピューティング装置９００は、コンピューティング環境の一例にすぎず、コンピュータおよびネットワークのアーキテクチャの使用または機能の範囲に関する限定を示唆するものではない。また、コンピューティング装置９００を、コンピューティング装置例９００に示した構成要素のいずれか１つ、またはその組み合わせに関連する依存性または必要条件を有しているものと解釈すべきではない。実施形態において、コンピューティング装置９００は、図１を参照して上述したように、例えば、プリンシパルマシン１１１、ＤＩＲ生成システム１６４、データ捕捉システム１６２、ＩＩＳ１６６、アイデンティティデータストア１６８、アクティブディレクトリ１６９、管理者システム１６０、アイデンティティプロバイダ１１５、または依拠当事者１２０として使用することができる。

その最も基本的な構成では、コンピューティング装置９００は一般に、少なくとも１つの処理ユニット９０２およびメモリ９０４を含む。コンピューティング装置の正確な構成およびタイプに応じて、メモリ９０４は、揮発性（ＲＡＭなど）、不揮発性（ＲＯＭ、フラッシュメモリなど）、またはこれら２つの何らかの組み合わせとすることができる。この最も基本的な構成は、図９の破線９０６内に示している。システムメモリ９０４は、コンピューティング装置９００上で実行されるアプリケーションを格納する。アプリケーションに加えて、メモリ９０４は、図１〜８を参照して以下に記載されるように、ＤＩＲ作成要求９１０および／またはＤＩＲ可用性通知９１１など、コンピューティング装置９００によって実行される操作で使用される情報も格納することができる。

さらに、コンピューティング装置９００は、追加の特徴／機能を有していてもよい。例えばコンピューティング装置９００は、それだけには限定されないが、磁気または光ディスクまたはテープを含む追加のストレージ９０８（取外式および／または固定式）を含むこともできる。こうした追加のストレージは、図９にストレージ９０８によって示されている。コンピュータ記憶媒体には、コンピュータ可読命令、データ構造、プログラムモジュール、他のデータなど、情報を記憶するための任意の方法または技術で実施される揮発性および不揮発性の取外式および固定式媒体などがある。メモリ９０４およびストレージ９０８は、コンピュータ記憶媒体の例である。コンピュータ記憶媒体には、それだけには限定されないが、ＲＡＭ、ＲＯＭ、ＥＥＰＲＯＭ、フラッシュメモリまたは他のメモリ技術、ＣＤ−ＲＯＭ、デジタル多用途ディスク（ＤＶＤ）または他の光記憶装置、磁気カセット、磁気テープ、磁気ディスク記憶装置または他の磁気記憶装置、または所望の情報の格納に使用でき、コンピューティング装置９００からアクセスできる他の任意の媒体などがある。こうした任意のコンピュータ記憶媒体は、コンピューティング装置９００の一部とすることができる。

当業者であれば理解できるように、ストレージ９０８は、様々な情報を格納することができる。数ある情報のタイプの中でも、ストレージ９０８は、デジタルアイデンティティ表現９３０（例えば、プリンシパルマシンの場合）、またはアイデンティティトークン９４５（例えばアイデンティティプロバイダの場合）を格納することができる。

コンピューティング装置９００は、システムが他の装置と通信できるようにする通信接続９１２を含むこともできる。通信接続９１２は、通信媒体の一例である。通信媒体は一般に、コンピュータ可読命令、データ構造、プログラムモジュール、または他のデータを搬送波または他の移送機構などの変調されたデータ信号に組み込む。これには任意の情報配送媒体がある。「変調されたデータ信号」という用語は、信号に情報を符号化するように１つまたは複数のその特性が設定または変更された信号を意味する。通信媒体には、それだけには限定されないが一例として、有線ネットワーク、直接配線された接続などの有線媒体、および音響、ＲＦ、赤外線、その他の無線媒体などの無線媒体などがある。コンピュータ可読媒体という用語は、本明細書で使用する場合、記憶媒体および通信媒体の両方を含む。

コンピューティング装置９００は、キーボード、マウス、ペン、音声入力装置、タッチ入力装置などの入力装置９１４を含むこともできる。ディスプレイ、スピーカ、プリンタなどの出力装置９１６を含むこともできる。こうした装置はすべて、当分野ではよく知られており、ここでは詳細に説明する必要はない。

上述した様々な実施形態は、例示として提供されるにすぎず、限定と解釈されるべきではない。開示または以下の特許請求の範囲の真の意図および範囲から逸脱することなく、上述した実施形態に加えることができる様々な修正および変更を当業者であれば容易に理解されよう。

Claims (20)

1. プリンシパル（１１０）についてのデジタルアイデンティティ表現（９３０）をプロビジョニングするための方法（４００）であって、
   前記プリンシパル（１１０）についての前記デジタルアイデンティティ表現（９３０）を作成する旨の要求を、第１のチャネルを介して受信するステップ（４１０）と、
   前記デジタルアイデンティティ表現（９３０）が要求された旨の通知を、第２のチャネルを介して発行するステップ（４２０）と、
   前記デジタルアイデンティティ表現（９３０）を作成するための承認を受信するステップ（４３０）と、
   前記デジタルアイデンティティ表現（９３０）を作成するステップ（４４０）と
   を備えることを特徴とする方法。
2. 前記通知は、前記プリンシパルの既知のアドレスに送信される電子メッセージであることを特徴とする請求項１に記載の方法。
3. 前記通知は、第３者に送信される電子メッセージであることを特徴とする請求項１に記載の方法。
4. 前記通知は、前記承認を容易にするための電子リンクを含むことを特徴とする請求項１に記載の方法。
5. 前記第１のチャネルは、ＨＴＴＰリクエストであり、前記第２のチャネルは、電子メールであることを特徴とする請求項１に記載の方法。
6. 前記プリンシパルについての第２のデジタルアイデンティティ表現を作成する旨の第２の要求を、前記第１のチャネルを介して受信するステップと、
   前記第２のデジタルアイデンティティ表現が要求された旨の第２の通知を、前記第２のチャネルを介して発行するステップと、
   前記デジタルアイデンティティ表現を作成するための承認の拒否を受信するステップと、
   前記承認の拒否が受信された旨の電子メッセージを第３者に送信するステップと
   をさらに含むことを特徴とする請求項１に記載の方法。
7. プリンシパル（１１０）についての１つまたは複数のデジタルアイデンティティ表現（９３０）をプロビジョニングするための方法（５００）であって、
   前記１つまたは複数のデジタルアイデンティティ表現（９３０）が前記プリンシパル（１１０）に使用可能である旨の通知を発行するステップ（５１０）と、
   前記１つまたは複数のデジタルアイデンティティ表現（９３０）を作成する旨の要求を受信するステップ（５２０）と、
   前記１つまたは複数のデジタルアイデンティティ表現（９３０）を作成するステップ（５３０）と
   を含むことを特徴とする方法。
8. 前記通知は、前記要求の作成を可能にする電子サイトへのリンクを含むことを特徴とする請求項７に記載の方法。
9. 前記プリンシパルに関するデータを捕捉するステップをさらに含み、
   発行する前記ステップは、捕捉する前記ステップの後に自動的に実行される
   ことを特徴とする請求項７に記載の方法。
10. 前記通知は、第３者に発行されることを特徴とする請求項７に記載の方法。
11. デジタルアイデンティティ表現記述子を作成するステップをさらに備え、
    通知を発行する前記ステップは、作成する前記ステップの後に自動的に実行される
    ことを特徴とする請求項７に記載の方法。
12. 前記プリンシパルは、プリンシパルのグループのメンバーであって、
    前記プリンシパルのグループが前記デジタルアイデンティティ表現にアクセスすることを許可されるポリシーを設定するステップをさらに備え、
    前記通知を発行する前記ステップは、前記プリンシパルのグループに前記通知を発行することを備える
    ことを特徴とする請求項７に記載の方法。
13. 前記通知を発行する前記ステップは、前記プリンシパルのグループにおける前記プリンシパルのうちの少なくとも１人に関連付けられているプリンシパルマシン上で稼働する少なくとも１つのアプリケーションにメッセージを送信することを含むことを特徴とする請求項１に記載の方法。
14. 前記要求は、前記少なくとも１人のプリンシパルによる指示無しに、前記少なくとも１つのアプリケーションによって自動的に作成されることを特徴とする請求項１３に記載の方法。
15. 前記１つまたは複数のデジタルアイデンティティ表現を暗号で保護するステップと、
    前記１つまたは複数の暗号で保護されたデジタルアイデンティティ表現をプリンシパルマシンに送信するステップと
    をさらに備えることを特徴とする請求項７に記載の方法。
16. プリンシパル（１１０）についてのデジタルアイデンティティ表現（９３０）をプロビジョニングするための方法（６００）であって、
    任意の新しいデジタルアイデンティティ表現（９３０）が前記プリンシパル（１１０）に使用可能であるかどうかを決定するために、デジタルアイデンティティ表現生成システム（１６４）をポーリングするステップ（６１０）と、
    第１の新しいデジタルアイデンティティ表現（９３０）が前記プリンシパル（１１０）に使用可能である旨の通知を受信するステップ（６２０）と、
    前記第１の新しいデジタルアイデンティティ表現（９３０）が作成されることを要求するステップ（６３０）と、
    前記第１の新しいデジタルアイデンティティ表現（９３０）を受信するステップ（６４０）と
    を備えることを特徴とする方法。
17. ポーリングする前記ステップは、プリンシパルマシンによって自動的、かつ定期的に実行されることを特徴とする請求項１６に記載の方法。
18. 前記通知を受信した後、前記デジタルアイデンティティ表現が使用可能であることを前記プリンシパルに警告するステップ
    をさらに備えることを特徴とする請求項１６に記載の方法。
19. 通知を発行する前記ステップは、ポップアップ通知をプリンシパルマシンのユーザインターフェイスに表示させることを特徴とする請求項１８に記載の方法。
20. 警告する前記ステップは、要求する前記ステップを実行するように、後に思い出させるオプションを前記プリンシパルに提供することを含むことを特徴とする請求項１８に記載の方法。

Images