JP2010533422A - 移動端末のウェブ・ベースの無線プロビジョニングおよび無線活性化 - Google Patents

Abstract

無線ネットワークにおける移動端末の無線プロビジョニングのための方法において、移動端末とウェブ・サーバの間の第１のトランザクションが、外部ポート経由で実行される。第１のトランザクション中、移動端末は、ネットワーク・サービスに契約するためのユーザ契約情報を獲得する。ウェブ・サーバと移動端末の間の第２のトランザクション中、移動端末は、移動端末が、それらのネットワーク・サービスにアクセスすることを許可するためのデバイス管理情報を獲得する。第１のトランザクションと第２のトランザクションは、同一の外部ポート経由で行われる。

Description

優先権の表明
この正規の米国特許出願は、参照により内容の全体が本明細書に組み込まれている、２００７年７月９日に出願されたＰｅｒｅｔｚ ＦｅｄｅｒおよびＰａｏｌｏ Ｎａｒｖａｅｚの米国特許仮出願第６０／９５８，９５４号の優先権を、米国法典第３５編１１９条（ｅ）項の下で主張するものである。

図１は、従来のＷｉＭＡＸ通信ネットワークの一部分を示す。図示されるとおり、従来のＷｉＭＡＸネットワークは、ウェブ・サーバ１０６およびデバイス管理サーバ１０８と双方向通信状態にある移動端末１００を含む。この双方向通信は、任意の適切な無線通信プロトコル（例えば、ＷｉＭＡＸ、ＥＶ−ＤＯ、ＵＭＴＳなど）を使用して、１つまたは複数の無線リンクを介して行われることが可能である。ウェブ・サーバ１０６およびデバイス管理サーバ１０８のそれぞれは、１つまたは複数の有線リンクを介してバックオフィス１１０と通信する。

移動端末１００は、無線通信能力を有する任意の電子デバイスであることが可能である。例えば、移動端末１００は、セルラー電話機、ＰＤＡ（パーソナル・デジタル・アシスタント）、ラップトップ・コンピュータ、デスクトップ・コンピュータなどであることが可能である。移動端末１００は、ウェブ・ブラウザまたはウェブ・クライアント１０２、およびデバイス管理クライアント１０４をさらに含むことが可能である。従来、移動端末１００内で、ウェブ・ブラウザ１０２は、ウェブ・サーバ１０６と通信し、さらにデバイス管理クライアント１０４は、デバイス管理サーバ１０８と通信する。ウェブ・ブラウザ１０２とデバイス管理クライアント１０４は、独立に動作して、互いの間で情報を共有する、または転送することはしない。

移動端末１００が、特定のサービス・プロバイダによって提供されるネットワーク・サービス（例えば、ＶｏＩＰ、ビデオ、インターネットなどのマルチメディア・サービス）にアクセスすることができるにはまず、移動端末１００は、そうすることができるように適切に許可を与えられ、構成されなければならない。このことは、活性化および初期構成と呼ばれる。無線リンクを介するそのような活性化および初期構成は、無線活性化および無線初期構成と呼ばれる。

従来、移動端末１００の無線活性化および初期構成は、次の３つのステップで実行される。すなわち、
１）契約
２）ブートストラップ、および
３）デバイス管理
である。

契約は、ユーザが、移動端末を介してサービス・プロバイダによって提供されるネットワーク・サービスに契約するプロセスである。ブートストラップは、契約ステップが完了した後に、サービス・プロバイダが、いくつかの初期ユーザ資格証明を移動端末に提供するプロセスである。デバイス管理は、サービス・プロバイダが、サービス・プロバイダのネットワーク・サービスにアクセスするために、関係のあるデバイス構成をダウンロードするとともに、絶えず更新するセッションである。

従来の無線プロビジョニング・プロセスは、図１に組み込まれた通信フローに関して説明される。図１において、矢印、および対応する符号は、メッセージ・フローまたは通信フローを参照する。

図１において、メッセージ１〜４は、契約ステップの一環であると考えられるのに対して、メッセージ５〜６は、ブートストラップ・ステップの一環であると考えられる。メッセージ７は、当技術分野でよく知られている標準のデバイス管理プロセスを開始する。ＳＮＭＰ（簡易ネットワーク管理プロトコル）、ＯＭＡ−ＤＭ（Ｏｐｅｎ Ｍｏｂｉｌｅ Ａｌｌｉａｎｃｅ Ｄｅｖｉｃｅ Ｍａｎａｇｅｍｅｎｔ）、およびＴＲ−０６９などの、様々な既存の標準プロトコルが、デバイス管理を提供するのに使用されることが可能である。

図１を参照すると、（１で）移動端末１００が、ウェブ・ブラウザ１０２を介してウェブ・サーバ１０６（プロビジョニング・サーバとも呼ばれる）に１つまたは複数のメッセージを送信する。このメッセージは、よく知られたＨＴＴＰ（ハイパーテキスト転送プロトコル）に準拠することが可能である。これらのメッセージは、ユーザの料金請求アドレス、クレジット・カード情報などの契約情報を含むことが可能である。

より具体的な例において、インターネットにアクセスしようと試みた際、移動端末１００が、ウェブ・サーバ１０６にホットラインで結ばれる、つまり、リダイレクトされることが可能である。ウェブ・サーバは、ネットワーク・サービスの有料アクセスのための様々なオプションを表示する。ウェブ・サーバ１０６は、この情報を有するウェブ・ページをウェブ・ブラウザ１０２に送信する。ウェブ・ブラウザ１０２は、受信されたウェブ・ページを、ディスプレイを介してユーザに提示する。

このウェブ・ページを受信すると、ユーザは、このウェブ・ページにおいて個人的情報および料金請求情報を入力して（例えば、キーボード、マウス、移動デバイス・キーボードなどを介して）、この情報をウェブ・サーバ１０６にサブミットする。ほとんどの場合、この情報は、「ＳＵＢＭＩＴ」リンクをクリックすることによってサブミットされる。ユーザの情報のサブミットにより、ユーザが、サービス・プロバイダと接触状態に入れられる。ほとんどの場合、この接触は、ユーザが、サービス・プロバイダのネットワーク・サービスへのアクセスの代金を支払うことを必然的に伴う。

やはり図１を参照すると、移動端末１００から契約情報を受信した際、ウェブ・サーバ１０６が、ユーザの契約情報をバックオフィス１１０に送信する（２で）。バックオフィスとは、契約者情報を扱うのにサービス・プロバイダによって使用される様々な要素を表すのに使用される用語である。一例では、バックオフィス１１０は、サービス・プロバイダのコア・ネットワーク内の単一または複数のネットワーク・エンティティにおけるサーバおよびコンピュータのコレクションを備えることが可能である。バックオフィス１１０において実行される動作およびプロセスは、人間の操作者の介入を伴う、または伴わないコンピュータによって実施されるプロセスとして実行されることが可能である。

やはり図１を参照すると、バックオフィス１１０が、ユーザを契約者データベースに追加し、完了すると、ウェブ・サーバ１０６に確認メッセージを送信することによって、契約が成功したことを確認する（３で）。バックオフィス１１０から契約成功確認を受信すると、ウェブ・サーバ１０６は、ウェブ・ページをウェブ・ブラウザ１０２に送り返す（４で）。ウェブ・ブラウザ１０２は、このウェブ・ページを、ディスプレイを介してユーザに表示する。このウェブ・ページは、契約プロセスが成功したことをユーザに示すテキストを含むことが可能である。

やはり図１を参照すると、次に、バックオフィス１１０が、その新規に契約したユーザに関するユーザ資格証明でデバイス管理サーバ１０８をポピュレートする（５で）。次に、デバイス管理サーバ１０８は、供給されたユーザ資格証明をデバイス管理クライアント１０４にプッシュし（６で）、その結果、移動端末１００がブートストラップされる。ユーザ資格証明を受信したことに応答して、デバイス管理クライアント１０４は、デバイス管理サーバと接触して、デバイス管理セッションを開始する（７で）。

従来、契約およびブートストラップは、異なるシステム、および異なるネットワーク要素によって扱われる２つの別個の独立したプロセスである。つまり、契約ステップは、ウェブ・ブラウザ１０２およびウェブ・サーバ１０４によって扱われるのに対して、ブートストラップ・ステップは、デバイス管理クライアント１０４およびデバイス管理サーバ１０８によって扱われる。しかし、これら２つの動作を別々に実行することは、いくつかの欠点を有する。

第１に、比較的多数のネットワーク要素およびシステムが、サービス・プロバイダによってネットワーク内に展開される必要がある。第２に、契約システムとブートストラップ・システムの間で比較的高い度合いの調整が、要求される。さらに、初期ユーザ資格証明を移動端末にプッシュすることは、移動端末が、ファイアウォールの背後に存在する場合、非常に困難（不可能でさえ）あり得る。さらに、別個のブートストラップ・プロセスは、別個の暗号化機構が、配信されるユーザ資格証明のセキュリティを保証することを要求する。ほとんどの場合、これらの暗号化機構は、各タイプのアクセス技術のためにカスタム設計される。従来、ブートストラップを実行する汎用の機構は、全く存在しない。

例示的な実施形態は、共通のウェブ・ブラウザ・モデルに基づいて、契約プロセスとブートストラップ・プロセスを組み合わせて、簡略化された複合プロセスにする。この複合の契約−ブートストラップは、任意の無線アクセス技術を使用して、ウェブ・ブラウザを備えた任意の移動端末によって実行されることが可能である。

少なくとも１つの例示的な実施形態によれば、ユーザが、ユーザの個人的情報、および／または料金請求情報を供給し、さらに契約の条件に同意した（以降、「ホットライン契約ステップ」と呼ばれる）後、サービス・プロバイダは、或るリンクを有するＨＴＭＬページをユーザに提供することが可能である。クリックされると、このリンクは、移動端末内のデバイス管理クライアントを起動させるデバイス管理ハンドラにリダイレクトする、またはそのようなハンドラをポイントする内部ＨＴＴＰポート（ｌｏｃａｌｈｏｓｔ上の）にブラウザをリダイレクトする。次に、デバイス管理セッションが、開始することが可能である。

例示的な実施形態によれば、ユーザ名やパスワードなどの、要求される任意のブートストラップ情報が、契約中に確立されたオープンなＨＴＭＬ（ハイパーテキスト・マークアップ言語）リンクを介して（例えば、ウェブ・ブラウザを介して）サービス・プロバイダ（例えば、バックオフィス）から移動端末に直接に送られることが可能である。

少なくとも１つの例示的な実施形態は、無線ネットワークにおける移動端末の無線プロビジョニングのための方法を提供する。この方法によれば、移動端末は、少なくとも１つの第１のメッセージを、外部ポート経由でウェブ・サーバに送信することができる。第１のメッセージは、ネットワーク・サービスに契約するためのユーザ契約情報を含むことが可能である。移動端末は、同一の外部ポート経由でウェブ・サーバから少なくとも１つの第２のメッセージを受信することが可能である。この少なくとも１つの第２のメッセージは、デバイス管理クライアントの初期構成に関する情報を含むことが可能である。

少なくとも１つの他の例示的な実施形態は、無線ネットワークにアクセスするための移動端末を提供する。この移動端末は、ウェブ・モジュールと、デバイス管理モジュールとを含むことが可能である。ウェブ・モジュールは、外部ポート経由でウェブ・サーバに少なくとも１つの第１のメッセージを送信するように構成されることが可能である。第１のメッセージは、ネットワーク・サービスに契約するためのユーザ契約情報を含むことが可能である。

ウェブ・モジュールは、同一の外部ポート経由でウェブ・サーバから少なくとも１つの第２のメッセージを受信するようにさらに構成されることが可能である。この少なくとも１つの第２のメッセージは、デバイス管理クライアントを初期に構成するデバイス管理情報を含む。ウェブ・モジュールは、このデバイス管理情報をデバイス管理モジュールに送ることができ、デバイス管理モジュールは、受信されたデバイス管理情報に基づいて、デバイス管理セッションを行うことができる。

少なくとも１つの別の例示的な実施形態は、無線ネットワークにおける移動端末の無線プロビジョニングのための方法を提供する。この方法によれば、ウェブ・サーバは、移動端末における外部ポート経由で移動端末から、少なくとも第１のメッセージを受信することが可能である。この少なくとも１つの第１のメッセージは、ネットワーク・サービスに契約するためのユーザ契約情報を含むことが可能である。ウェブ・サーバは、受信された少なくとも１つの第１のメッセージに応答して、同一の外部ポート経由で移動端末に少なくとも１つの第２のメッセージを送信することができる。この少なくとも１つの第２のメッセージは、デバイス管理情報を含むことが可能である。

少なくとも１つの別の例示的な実施形態は、無線ネットワークにおける移動端末の無線プロビジョニングのための方法を提供する。この方法によれば、移動端末とウェブ・サーバの間の第１のトランザクションが、外部ポート経由で実行されることが可能である。第１のトランザクション中、移動端末は、ネットワーク・サービスに契約するためのユーザ契約情報を獲得することができる。

ウェブ・サーバと移動端末の間の第２のトランザクションが、同一の外部ポート経由で行われることが可能である。第２のトランザクション中、移動端末は、デバイス管理情報を獲得することができる。

本発明は、本明細書の後段で与えられる詳細な説明、ならびに単に例示として与えられ、そのため、本発明を限定するものではない、同様の要素が同様の符号によって表される添付の図面から、より完全に理解されよう。

従来技術によるネットワークおよび通信を示すフロー図である。 例示的な実施形態によるネットワークおよび通信を示すフロー図である。

次に、本発明の様々な例示的な実施形態が、本発明のいくつかの例示的な実施形態が示される添付の図面を参照して、より完全に説明される。図面では、層および領域の厚さは、簡明のため誇張されている。

本発明の詳細な例示的な実施形態が、本明細書で開示される。しかし、本明細書で開示される特定の構造上、および機能上の詳細は、本発明の例示的な実施形態を説明することを目的として、単に代表的であるに過ぎない。しかし、本発明は、多くの代替の形態で実施されることが可能であり、本明細書に示される実施形態だけに限定されるものと解釈されてはならない。

したがって、本発明の例示的な実施形態は、様々な変形および代替の形態が可能であるが、本発明の実施形態が、図面に例として示され、本明細書で詳細に説明される。しかし、本発明の例示的な実施形態を、開示される特定の形態に限定する意図は全くなく、それどころか、本発明の例示的な実施形態は、本発明の範囲に含まれるすべての変形形態、均等形態、および代替形態に及ぶものとされることを理解されたい。同様の符号は、図の説明の全体を通して同様の要素を参照する。

第１の、第２のなどという用語が、様々な要素を説明するのに本明細書で使用されることが可能であるものの、これらの要素は、これらの用語によって限定されるべきではないことを理解されたい。これらの用語は、要素を互いに区別するために使用されるに過ぎない。例えば、本発明の例示的な実施形態の範囲を逸脱することなく、第１の要素は、第２の要素と呼ばれることも可能であり、さらに同様に、第２の要素は、第１の要素と呼ばれることも可能である。本明細書で使用される「および／または」という用語は、関連するリストアップされたアイテムの１つまたは複数のアイテムの任意のおよびすべての組合せを含む。

或る要素が、別の要素に「接続」または「結合」されていると述べられる場合、その要素は、その別の要素に直接に接続または結合されてもよく、あるいは介在する要素が、存在してもよいものと理解される。これに対して、或る要素が、別の要素に「直接に接続」または「直接に結合」されていると述べられる場合、介在する要素は、全く存在しない。要素間の関係を説明するのに使用される他の語も、同様の仕方で（例えば、「間に」対「間に直に」、「隣接する」対「直に隣接する」など）解釈されるべきである。

本明細書で使用される技術は、特定の実施形態を説明することだけを目的とし、本発明の例示的な実施形態を限定することは意図していない。本明細書で使用される単数形の「或る」および「その」は、文脈がそうでないことを明確に示さない限り、複数形も含むことを意図している。本明細書で使用される「備える」、「備えている」、「含む」、および／または「含んでいる」という用語は、述べられるフィーチャ、完全体、ステップ、動作、要素、および／または構成要素の存在を明示するが、他の１つまたは複数のフィーチャ、完全体、ステップ、動作、要素、構成要素、および／または以上のグループの存在または追加を排除しないものとさらに理解される。

また、一部の代替の実施形態では、記載される機能／動作は、図に記載される順序を外れて行われる可能性があることにも留意されたい。例えば、相次いで示される２つの図は、関与する機能／動作に依存して、実際には、実質的に同時に実行される可能性があり、あるいは、ときとして、逆の順序で実行される可能性がある。

図２は、例示的な実施形態による通信ネットワークの一部分を示す。例示的な実施形態は、ＷｉＭＡＸプロトコルに関連して説明されるものの、例示的な実施形態は、ＵＭＴＳ（Ｕｎｉｖｅｒｓａｌ Ｍｏｂｉｌｅ Ｔｅｌｅｃｏｍｍｕｎｉｃａｔｉｏｎｓ Ｓｔａｎｄａｒｄ）、ＥＶ−ＤＯ（Ｅｎｈａｎｃｅｄ Ｖｉｄｅｏ Ｄａｔａ Ｏｎｌｙ）、ＵＭＢ（Ｕｌｔｒａ Ｍｏｂｉｌｅ Ｂｒｏａｄｂａｎｄ）、３ＧＰＰ−ＬＴＥ（３ＧＰＰ Ｌｏｎｇ Ｔｅｒｍ Ｅｖｏｌｕｔｉｏｎ）などの他のプロトコルにも適用可能である。さらに、例示的な実施形態は、無線ネットワークおよびネットワーク・サービスに関連して説明されるものの、例示的な実施形態は、有線のパケット交換ネットワークなどにも同様に適用可能であり得る。

図２を参照すると、ネットワークは、ウェブ・サーバ２０６およびデバイス管理サーバ２０８と双方向通信状態にある移動端末２００を含むことが可能である。移動端末２００は、１つまたは複数の無線通信リンクを介してウェブ・サーバ２０６と通信することができる。また、移動端末は、１つまたは複数の無線通信リンクを介してデバイス管理サーバ２０８と通信することもできる。これらの無線通信リンクは、任意の適切な無線通信プロトコル（例えば、ＵＭＴＳ、ＥＶ−ＤＯ、ＵＭＢ、ＬＴＥ、ＷｉＭＡＸなど）を使用することが可能である。ＵＭＴＳ、ＥＶ−ＤＯ、ＵＭＢ、ＬＴＥ、およびＷｉＭＡＸなどの無線通信プロトコルは、よく知られているため、詳細な説明は、簡明のために省略する。

単一の移動端末だけが図２に示されるものの、本明細書で説明される方法およびプロセスは、複数の移動端末によって並行に実行されることが可能である。つまり、例えば、ウェブ・サーバ２０６およびデバイス管理クライアント２０８のそれぞれが、複数の移動端末と同時に、または並行して通信することが可能である。

やはり図２を参照すると、ウェブ・サーバ２０６およびデバイス管理サーバ２０８のそれぞれが、任意の適切な通信プロトコルを使用して１つまたは複数の有線リンクを介してバックオフィス２１０と通信する。図２のバックオフィス２１０は、図１に関連して前述したバックオフィス１１０と同一であることが可能である。

移動端末２００は、無線通信能力を有し、さらにウェブ・ブラウザ（またはウェブ・クライアント）およびデバイス管理クライアントを実行することができる任意の電子デバイスであることが可能である。例えば、移動端末２００は、セルラー電話機、ＰＤＡ（パーソナル・デジタル・アシスタント）、ラップトップ・コンピュータ、デスクトップ・コンピュータなどであることが可能である。

図示されるとおり、移動端末２００は、ウェブ・ブラウザ２０２と、デバイス管理クライアント２０４とを含むことが可能である。当技術分野でよく知られているとおり、ウェブ・ブラウザおよびデバイス管理クライアントは、コンピュータ・ソフトウェアの形態で実施されることが可能である。本明細書で、ウェブ・ブラウザは、ウェブ・クライアントまたはウェブ・モジュールと呼ばれることが可能であり、さらにデバイス管理クライアントは、デバイス管理モジュールと呼ばれることが可能である。

移動端末２００内で、ウェブ・ブラウザ２０２は、ウェブ・サーバ２０６と通信し、デバイス管理クライアント２０４は、デバイス管理サーバ２０８と通信する。さらに、ウェブ・ブラウザ２０２とデバイス管理クライアント２０４は、互いの間で情報を共有する、または転送することができ、このことは、後段でより詳細に説明される。

例示的な実施形態による無線プロビジョニングのための方法が、図２に組み込まれた通信フロー図に関連して説明される。

図２を参照すると、（１０で）移動端末２００が、ウェブ・ブラウザ２０２を介してウェブ・サーバ２０６（プロビジョニング・サーバとも呼ばれる）を相手に第１のトランザクションを開始することが可能である。このトランザクションは、よく知られたＨＴＴＰプロトコルに準拠することが可能である。前述のトランザクション中に転送される情報には、ユーザの個人的情報、料金請求情報、クレジット・カード情報などのユーザ契約情報が含まれることが可能である。

本明細書で説明されるトランザクションは、移動端末２００やウェブ・サーバ２０６などのエンティティ間で伝送される１つまたは複数のメッセージを含むことが可能である。

次に、ウェブ・ブラウザ２０２とウェブ・サーバ２０６の間のトランザクションのより具体的な実施例を説明する。しかし、この実施例は、簡明のためであり、本明細書で説明される例示的な実施形態を限定すべきではないことを理解されたい。

このより具体的な実施例では、移動端末２００が、インターネットにアクセスしようと試みると、移動端末２００は、ウェブ・サーバ２０６にリダイレクトされる、つまり、ホットラインで結ばれることが可能である。ウェブ・サーバ２０６にダイレクトされると、ウェブ・ブラウザ２０２は、ウェブ・ページをユーザに提示する。このウェブ・ページは、ユーザのユーザ契約情報を入力するようユーザを促すことが可能である。ユーザ契約情報は、ユーザの個人的情報（例えば、名前、アドレス、電話番号）、料金請求情報（例えば、料金請求アドレス）、クレジット・カード情報などの１つまたは複数を含むことが可能である。

ユーザは、このウェブ・ページにおいて、要求されるユーザ契約情報を入力し、そのユーザ契約情報をウェブ・サーバ２０６にサブミットする。ほとんどの場合、ユーザ契約情報は、このウェブ・ページに埋め込まれており、ユーザに提示されるリンクをクリックすることによってサブミットされる。ユーザの情報のサブミットにより、ユーザが、サービス・プロバイダと接触状態に入れられる。ほとんどの場合、この接触は、ユーザが、サービス・プロバイダのネットワークへのアクセスの代金を支払うことを必然的に伴う。

やはり図２を参照すると、移動端末２００が、ファイアウォールの背後に存在する場合、移動端末２００は、「ピンホール」と呼ばれる単一の外部ポート経由でウェブ・サーバ２０６に接続されて、トランザクションを行うことが可能である。この実施例では、ウェブ・ブラウザ２０２が、ウェブ・サーバ２０６を相手にトランザクションを開始すると、ファイアウォールが、ピンホールを開いて、ウェブ・サーバ２０６からの応答が、同一の外部ポート経由でウェブ・ブラウザ２０２に送信されることを許す。このピンホールは、第１の期間にわたって開かれたままである。第１の期間は、所望に応じて、ネットワーク運用者またはネットワーク管理者によって決定されることが可能である。

よく知られているとおり、ファイアウォールは、通常、すべての着信パケットをブロックする。つまり、例えば、ファイアウォールは、外部の送信元（例えば、ファイアウォールの外側）と、内部の宛先（例えば、ファイアウォールの内側）とを有するパケットをブロックする。同時に、送信パケット（例えば、内部の送信元と、外部の宛先とを有するパケット）は、ファイアウォールを自由に横断することを許される。ピンホールを開いて、第１の期間にわたって外部ポートを介する双方向通信を可能にするため、ステートフル・ファイアウォールが、送信パケットの送信元アドレス、宛先アドレス、送信元ポート、および宛先ポートの過去の知識を使用して、後の時点で、いずれの着信パケットがアクセスを許されるべきかを決定することができる。当技術分野でよく知られているとおり、ステートフル・ファイアウォールは、当技術分野でそれぞれよく知られている、ＳＰＩ（ステートフル・パケット検査）またはステートフル検査を実行する任意のファイアウォールである。

例えば、ＴＣＰ ＳＹＮパケット（例えば、送信元アドレスＡ、送信元ポートＸ、宛先アドレスＢ、宛先ポートＹを有する）が、送信方向でファイアウォールのＳＰＩによって検出された場合、ステートフル・ファイアウォールは、第１の期間にわたってピンホールを開く（例えば、トラフィックが、同一の外部ポートを経由して双方向でファイアウォールを通過することを許す）。このピンホールは、着信ＴＣＰパケット（例えば、送信元アドレスＢ、送信元ポートＹ、宛先アドレスＡ、宛先ポートＸを有する）が、ファイアウォールを横断して、ファイアウォールの背後の保護されたデバイスに到達することを許す。この特定の実施例では、ピンホールは、送信元アドレスＢ、送信元ポートＹ、宛先アドレスＡ、宛先ポートＸを有するパケットだけが通過することを許す一方で、他のすべてのタイプの着信パケットをブロックする。

やはり図２を参照すると、移動端末２００から契約情報を受信すると、ウェブ・サーバ２０６は、受信された契約情報をバックオフィス２１０に送信する（２０で）。バックオフィス２１０は、そのユーザを契約者データベースに追加し、完了すると、（３０で）生成されたユーザ資格証明でデバイス管理サーバ２０８をポピュレートする。ユーザを契約させる際、バックオフィス２１０は、そのユーザに関するレコードを確立し、そのユーザが対話する可能性があるすべてのネットワーク要素によって、将来、そのユーザが認識されることを確実にする。例示的な実施形態によれば、契約者データベースは、ユーザを、生成されたユーザ資格証明に関連付ける任意の適切なデータベースであることが可能である。

バックオフィス２１０は、ウェブ・サーバ２０６を相手に確認トランザクションを実行することによって、契約が成功したことを確認する（４０で）。少なくとも１つの例示的な実施形態では、バックオフィス２１０は、ウェブ・サーバ２０６に確認メッセージを送信することが可能である。ウェブ・サーバ２０６を相手に確認トランザクションを完了した後、ウェブ・サーバ２０６は、ウェブ・ブラウザ２０２を相手に第２のトランザクションを開始して、遂行することが可能である（５０で）。第２のトランザクションは、前述した開かれたピンホール経由で遂行されることが可能である。例えば、バックオフィス２１０から契約成功確認メッセージを受信すると、ウェブ・サーバ２０６は、契約プロセス確認メッセージをウェブ・ブラウザ２０２に送信する。

少なくとも１つの例示的な実施形態では、契約プロセス確認メッセージは、ウェブ・ページの形態であることが可能である。このウェブ・ページは、契約プロセスが成功したことをユーザに示すテキスト、およびデバイス管理情報（デバイス管理パラメータとも呼ばれる）を含むことが可能である。デバイス管理情報とは、デバイス管理クライアントによって使用される情報を指す。

一例では、デバイス管理情報は、ユーザ資格証明（例えば、ユーザ名およびパスワード）、接続すべき内部ＴＣＰポート（例えば、８０００）、デバイス管理サーバ２０８のＵＲＬ（ユニフォーム・リソース・ロケータ）などを含むことが可能である。例示的な実施形態によれば、このデバイス管理情報のいずれか、またはすべては、ユーザの目に見えても、見えなくてもよい。このデバイス管理情報は、セキュリティで保護されたＨＴＴＰ接続（ｈｔｔｐｓ）を介して前述したピンホール、つまり、外部ポート経由で、セキュリティで保護されて送信されることが可能である。

やはり図２を参照すると、ウェブ・サーバ２０６からこのデバイス管理情報を受信した後、ウェブ・ブラウザ２０２は、このデバイス管理情報をデバイス管理クライアント２０４に送る（６０で）。ウェブ・ブラウザ２０２は、任意の適切な方法を使用して、このデバイス管理情報をデバイス管理クライアント２０４に送ることができる。

一例では、デバイス管理情報は、ウェブ・ブラウザ２０２からデバイス管理クライアント２０４への１つまたは複数の内部ＰＯＳＴメッセージまたは内部ＧＥＴ ＨＴＴＰメッセージを介して、ウェブ・ブラウザ２０２とデバイス管理クライアント２０４の間で送られることが可能である。内部ＰＯＳＴメッセージまたは内部ＧＥＴ ＨＴＴＰメッセージは、よく知られているため、詳細な説明は、簡明のために省略する。デバイス管理クライアント２０４は、そのようなＰＯＳＴメッセージまたはＧＥＴ ＨＴＴＰメッセージをリッスンするのに、開かれたソケットを要求する可能性がある。

ウェブ・サーバ２０６によって提供されるウェブ・ページは、ユーザ資格証明を含み、さらに埋め込まれたリンクを有するＨＴＭＬページであることが可能である。このリンクは、ユーザによってクリックされると、ハンドラ（図示せず）を介してデバイス管理クライアント２０４によって監視されている内部ＴＣＰポート（ｌｏｃａｌｈｏｓｔ上の）にウェブ・ブラウザ２０２をリダイレクトすることができる。このハンドラは、所与の内部ポートをリッスンするのにデバイス管理クライアント２０４によって使用されるデバイス管理クライアント２０４の構成要素である。このデバイス管理ハンドラは、移動端末２００内のデバイス管理クライアント２０４を起動させ、さらにデバイス管理クライアント２０４にデバイス管理パラメータ（例えば、ユーザ資格証明を含む）を供給する。次に、デバイス管理セッションが、開始することが可能である。

以下は、デバイス管理情報をウェブ・ブラウザ２０２に送り、ユーザに提示されるのに使用されることが可能なＨＴＭＬコードの例である。

<A href="http://localhost:8000/start_client?username=user1&password=secret">

Click Here </A>

以上のテキストは、ウェブ・サーバ２０６によってウェブ・ブラウザ２０２に送信されるＨＴＭＬファイルに付加されることが可能である。本明細書で説明されるとおり、このＨＴＭＬファイルは、ウェブ・ブラウザ２０２とウェブ・サーバ２０６の間のトランザクションへの応答であるため、このＨＴＭＬファイルの残りの部分を使用して、デバイス管理情報は、デバイス・ファイアウォールを横断することができる。ユーザに表示されると、ユーザは、何らかのさらなるテキスト、例えば、「ＣＬＩＣＫ ＨＥＲＥ」と一緒に、このウェブ・ページ応答を見ることができる。ユーザが、「ＣＬＩＣＫ ＨＥＲＥ」テキストをクリックすると、ウェブ・ブラウザ２０２は、移動端末２００上のポート８０００に新たな要求を自動的に生成することが可能である。ポート８０００上で、デバイス管理クライアント２０４が、リッスンしていることが可能であり、さらにウェブ・ブラウザ２０２からデバイス管理情報、例えば、ユーザ資格証明を受信することが可能である。

少なくとも１つの他の例示的な実施形態では、ブラウザ・ヘルパ・アプリケーションが、使用されることが可能である。例えば、ウェブ・ブラウザ２０２が、ウェブ・サーバ２０６からダウンロードされたプロビジョニング・ファイル・タイプを認識するように構成されることが可能である。プロビジョニング・ファイルをダウンロードした後、このファイルは、関係のあるユーザ資格証明を使用してデバイス管理クライアント２０４を断ち上げることが可能である。

より詳細には、この例示的な実施形態は、従来のウェブ・ブラウザが、或る特定のタイプのファイル（例えば、．ＤＯＣファイル、．ＰＤＦファイルなど）をダウンロードしたことに応答して、適切なアプリケーションを立ち上げるのと同様の仕方で動作することが可能である。

さらに別の例示的な実施形態では、ウェブ・アプリケーション（Ｊａｖａ（登録商標）または．ＮＥＴなどの）が、使用されることが可能である。この実施例では、ウェブ・ブラウザ２０２は、ウェブ・サーバ２０６からＪａｖａ（登録商標）アプリケーションをダウンロードすることができる。Ｊａｖａ（登録商標）アプリケーションは、ウェブ・ブラウザ２０２内で実行されて、デバイス管理クライアント２０４と内部で（例えば、任意のよく知られたタイプのプロセス間通信チャネルを介して）接触して、関係のあるユーザ資格証明を送ることが可能である。このことは、デバイス管理クライアント２０４が、ＴＣＰソケット上でリッスンしていることを要求しない可能性がある。また、このＪａｖａ（登録商標）アプリケーションは、ユーザが契約を実行することを助けることも可能である。

さらに別の例示的な実施形態では、ＥＸＥ（実行可能）アプリケーションが、使用されることが可能である。この実施例では、ウェブ・ブラウザ２０２が、ウェブ・サーバ２０６から部分的な、または全体のデバイス管理クライアント・アプリケーション（例えば、ＯＭＡ−ＤＭクライアント）をダウンロードすることが可能である。ダウンロードした後、ユーザは、このデバイス管理クライアント・アプリケーションを直接に立ち上げることができる。このデバイス管理クライアント・アプリケーションは、移動端末２００に関する適切な構成をデバイス管理クライアント２０４に供給することができる。ＯＭＡ−ＤＭクライアントなどのデバイス管理クライアントは、よく知られているため、詳細な説明は、簡明のために省略する。この方法は、各移動端末２００に関してカスタム・アプリケーションが使用されることが可能であるという点で、比較的柔軟性がある。しかし、ユーザは、ダウンロードされたアプリケーションを手動で許可して、立ち上げる必要がある可能性がある。

当技術分野でよく知られているとおり、ウェブ・ブラウザは、移動端末上にスクリプト／アプリケーションを自動的にダウンロードして、実行することができる可能性がある。したがって、さらに別の例示的な実施形態では、自動のダウンロードおよびインストールのフレームワークが、使用されることが可能である。自動のダウンロードおよびインストールのフレームワークは、当技術分野でよく知られているため、それらのフレームワークの詳細な説明は、簡明のために省略する。

この実施例では、そのよう機構が使用され得るにはまず、ウェブ・サーバ２０６および／またはサーバ２０６の公開証明書が、ウェブ・ブラウザ２０２によって「信頼される」ものとして構成される必要がある可能性があり、さらにダウンロードされるべきアプリケーションは、信頼されるソースによって署名される必要がある。この例示的な実施形態では、自動ダウンロードは、契約プロセスの終わりにウェブ・サーバ２０６によってトリガされることが可能である。

図２に戻ると、ウェブ・サーバ２０２からユーザ資格証明を受信したことに応答して、デバイス管理クライアント２０４は、デバイス管理サーバ２０８と接触して、ウェブ・ブラウザ２０２によって供給されたデバイス管理情報（例えば、ユーザ名、パスワード、ＤＭサーバＵＲＬなど）を使用してデバイス管理セッションを開始する（７０で）。

本明細書で説明される１つまたは複数の例示的な実施形態によれば、移動端末が、外部ポートまたはピンホール経由で（例えば、ファイアウォールを通過して）ウェブ・サーバと最初に接触することが可能である。ウェブ・サーバは、移動端末がウェブ・サーバと最初に接触するのに経由したのと同一の外部ポートまたはピンホール経由で、移動端末にデバイス管理情報を送信することができる。当技術分野でよく知られているとおり、ファイアウォール・ソフトウェアは、或る特定の外部ポートまたはピンホールを認識して、移動端末によってウェブ・サーバに送信された初期接触メッセージの特定の送信元アドレス、送信元ポート、宛先アドレス、および宛先ポートに関連付けるように構成されることが可能である。

このファイアウォール・ソフトウェアは、ウェブ・サーバから移動端末へのメッセージを、移動端末からの１つまたは複数の初期メッセージの中に含まれる送信元アドレス、送信元ポート、宛先アドレス、および宛先ポートのものと逆の送信元アドレス、送信元ポート、宛先アドレス、および宛先ポートを有するものとして認識することが可能である。逆のものとして認識すると、ファイアウォール・ソフトウェアは、ウェブ・サーバからのメッセージが、ファイアウォールを通過して移動端末に至るのを許すことができる。

このように本発明が説明されて、本発明は、多くの仕方で変更されることが可能であることが明白であろう。そのような変種は、本発明を逸脱するものと見なされるべきではなく、すべてのそのような変形が、本発明の範囲内に含まれることが意図される。

Claims (10)

1. 無線ネットワークにおける移動端末の無線プロビジョニングのための方法であって、
   少なくとも１つの第１のメッセージを、前記移動端末により外部ポートを介してウェブ・サーバに送信するステップを含み、前記第１のメッセージは、ネットワーク・サービスに契約するためのユーザ契約情報を含み、さらに、
   前記ウェブ・サーバからの少なくとも１つの第２のメッセージを、前記外部ポートと同じ外部ポートを介して前記移動端末で受信するステップを含み、前記少なくとも１つの第２のメッセージはデバイス管理情報を含む、方法。
2. 前記少なくとも１つの第２のメッセージが前記移動端末のウェブ・モジュールにおいて受信され、前記少なくとも１つの第２のメッセージは、埋め込まれたリンクを有するウェブ・ページを含み、前記埋め込まれたリンクは、前記移動端末のデバイス管理モジュールにおける内部伝送制御プロトコル・ポートに関連付けられ、前記方法はさらに、
   ユーザによる前記リンクの活性化に応答して、前記ウェブ・モジュールから前記デバイス管理モジュールに前記デバイス管理情報を送るステップを含む、請求項１に記載の方法。
3. 前記少なくとも１つの第２のメッセージはプロビジョニング・ファイルを含み、前記方法はさらに、
   前記受信されたプロビジョニング・ファイルを立ち上げて、前記デバイス管理情報を獲得するステップを含む、請求項１に記載の方法。
4. 前記少なくとも１つの第２のメッセージが前記移動端末のウェブ・モジュールにおいて受信され、前記少なくとも１つの第２のメッセージはウェブ・アプリケーションを含み、前記方法はさらに、
   前記ウェブ・アプリケーションを立ち上げるステップを含み、前記ウェブ・アプリケーションは、前記デバイス管理モジュールと自動的に接触して、プロセス内通信チャネルを介して前記デバイス管理モジュールに前記デバイス管理情報を送る、請求項１に記載の方法。
5. 前記少なくとも１つの第２のメッセージは実行可能なアプリケーションを含み、前記方法はさらに、
   前記実行可能なアプリケーションを立ち上げるステップを含み、前記実行可能なアプリケーションは、前記デバイス管理モジュールと自動的に接触して、前記デバイス管理モジュールに前記デバイス管理情報を送る、請求項１に記載の方法。
6. 前記少なくとも１つの第２のメッセージは自動のダウンロードおよびインストールのフレームワークを含み、前記方法はさらに、
   前記自動のダウンロードおよびインストールのフレームワークを自動で実行するステップを含み、前記自動のダウンロードおよびインストールのフレームワークは、前記デバイス管理モジュールと接触して、前記デバイス管理モジュールに前記デバイス管理情報を送る、請求項１に記載の方法。
7. 前記外部ポートは、前記移動端末と前記ウェブ・サーバとの間のファイアウォールを通過するピンホールである、請求項１に記載の方法。
8. 無線ネットワークにアクセスする移動端末であって、
   少なくとも１つの第１のメッセージを外部ポートを介してウェブ・サーバに送信するように構成されたウェブ・モジュールを含み、前記第１のメッセージは、ネットワーク・サービスに契約するためのユーザ契約情報を含み、前記ウェブ・モジュールはさらに、前記ウェブ・サーバからの少なくとも１つの第２のメッセージを前記外部ポートと同じ外部ポートを介して受信するように構成され、前記少なくとも１つの第２のメッセージはデバイス管理情報を含む、移動端末。
9. 無線ネットワークにおける移動端末の無線プロビジョニングのための方法であって、
   前記移動端末からの少なくとも１つの第１のメッセージを前記移動端末の外部ポートを介してウェブ・サーバで受信するステップを含み、前記第１のメッセージは、ネットワーク・サービスに契約するためのユーザ契約情報を含み、さらに、
   前記受信された少なくとも１つの第１のメッセージに応答して、少なくとも１つの第２のメッセージを、前記外部ポートと同じ外部ポートを介して前記移動端末に送信するステップとを含み、前記少なくとも１つの第２のメッセージはデバイス管理情報を含む、デバイス管理情報を含む方法。
10. 前記外部ポートは、前記移動端末と前記ウェブ・サーバとの間のファイアウォールを通過するピンホールである、請求項９に記載の方法。

Images