JP2013510351A - 遠隔ユーザ・セッションのためのシングル・サインオン - Google Patents

遠隔ユーザ・セッションのためのシングル・サインオン Download PDF

Info

Publication number
JP2013510351A
JP2013510351A JP2012537219A JP2012537219A JP2013510351A JP 2013510351 A JP2013510351 A JP 2013510351A JP 2012537219 A JP2012537219 A JP 2012537219A JP 2012537219 A JP2012537219 A JP 2012537219A JP 2013510351 A JP2013510351 A JP 2013510351A
Authority
JP
Japan
Prior art keywords
user
certificate
connection broker
secret
broker
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
JP2012537219A
Other languages
English (en)
Other versions
JP5570610B2 (ja
Inventor
ウィルキンソン，アンソニー
ラーソン，パー，オロヴ
ナトル，アッシュリー
クリステンソン，ハンス
エリオット，トム
スィーゲル，スティーヴン
グロス，アダム
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
VMware LLC
Original Assignee
VMware LLC
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by VMware LLC filed Critical VMware LLC
Publication of JP2013510351A publication Critical patent/JP2013510351A/ja
Application granted granted Critical
Publication of JP5570610B2 publication Critical patent/JP5570610B2/ja
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0815—Network architectures or network communication protocols for network security for authentication of entities providing single-sign-on or federations
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/31—User authentication
    • G06F21/33—User authentication using certificates
    • G06F21/335—User authentication using certificates for accessing specific resources, e.g. using Kerberos tickets
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/31—User authentication
    • G06F21/34—User authentication involving the use of external additional devices, e.g. dongles or smart cards
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/31—User authentication
    • G06F21/41—User authentication where a single sign-on provides access to a plurality of computers
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/44—Program or device authentication
    • G06F21/445—Program or device authentication by mutual authentication, e.g. between devices or programs
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0823—Network architectures or network communication protocols for network security for authentication of entities using certificates
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/083—Network architectures or network communication protocols for network security for authentication of entities using passwords
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0853—Network architectures or network communication protocols for network security for authentication of entities using an additional device, e.g. smartcard, SIM or a different communication terminal
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3226—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using a predetermined code, e.g. password, passphrase or PIN
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3234—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving additional secure or trusted devices, e.g. TPM, smartcard, USB or software token
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3263—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving certificates, e.g. public key certificate [PKC] or attribute certificate [AC]; Public key infrastructure [PKI] arrangements
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3271—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using challenge-response
    • H04L9/3273—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using challenge-response for mutual authentication
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F9/00—Arrangements for program control, e.g. control units
    • G06F9/06—Arrangements for program control, e.g. control units using stored programs, i.e. using an internal store of processing equipment to receive or retain programs
    • G06F9/44—Arrangements for executing specific programs
    • G06F9/455—Emulation; Interpretation; Software simulation, e.g. virtualisation or emulation of application or operating system execution engines
    • G06F9/45533—Hypervisors; Virtual machine monitors
    • G06F9/45558—Hypervisor-specific management and integration aspects
    • G06F2009/45587—Isolation or security of virtual machine instances
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2209/00—Additional information or applications relating to cryptographic mechanisms or cryptographic arrangements for secret or secure communication H04L9/00
    • H04L2209/56—Financial cryptography, e.g. electronic payment or e-cash
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0807—Network architectures or network communication protocols for network security for authentication of entities using tickets, e.g. Kerberos
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0884—Network architectures or network communication protocols for network security for authentication of entities by delegation of authentication, e.g. a proxy authenticates an entity to be authenticated on behalf of this entity vis-à-vis an authentication entity

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Theoretical Computer Science (AREA)
  • Software Systems (AREA)
  • Computing Systems (AREA)
  • General Physics & Mathematics (AREA)
  • Physics & Mathematics (AREA)
  • Information Transfer Between Computers (AREA)
  • Computer And Data Communications (AREA)
  • User Interface Of Digital Computer (AREA)
  • Telephonic Communication Services (AREA)

Abstract

【課題】 コンピュータ・システムにおけるユーザ認証を提供する。
【解決手段】 ユーザは遠隔セッションにアクセスし、それとの接続は、シングル・サインオン（ＳＳＯ）プロセスに従って、接続ブローカーにより管理される。シングル・サインオン・プロセスは、ユーザが彼又は彼女の証明書を入力して、接続ブローカーに対して認証されることを含む。ユーザ認証に加えて、シングル・サインオン・プロセスは、接続ブローカーが信頼できることを確認するための接続ブローカー認証を含む。接続ブローカーが認証されると、ユーザ証明書は安全な方法で接続ブローカーに送信され、そしてユーザが、彼又は彼女の証明書を再入力することなしに遠隔セッションにログインされることができるように、接続ブローカーはそれらを遠隔セッションのホストを務めるマシンに転送する。

Description

本発明は、コンピュータ・システムにおけるユーザ認証に関し、特に遠隔ユーザ・セッションのためのシングル・サインオンに関する。
[0001]最新のコンピュータ・システムは、ユーザ認証のためのさまざまな方法を提供する。一般的な認証テクニックには、パスワード要件があるだけである。ユーザは彼又は彼女のユーザ識別子を、そして次にユーザだけが知っている秘密のパスワードを入力する。それはユーザが知っているものに依存するだけであるので、これはシングルファクタ認証と呼ばれる。より安全な認証制度、例えばマルチプルファクタ認証は、ユーザが知っているものに加えて、ユーザが何であるか又は何を行っているかという確認（例えば、指紋又は網膜走査）あるいはユーザが持っている物、例えばトークン又はスマートカードの確認を必要とする。
[0002]スマートカードは、通常のパスワード認証とは異なるユーザを認証する方法を提供する。スマートカード認証の場合は、ユーザは、スマートカードをスマートカードリーダに挿入して、暗証番号（ＰＩＮ）を入力する。正しい暗証番号が入力されると、スマートカードに格納されている１つ以上の証明書が、ユーザを認証するために用いられる。この種の認証は、それらにあるもの（スマートカード及びそこに格納された証明書）及びそれらが知っているもの（スマートカード暗証番号）の両方を確認することによって、２ファクタ認証を提供する。
[0003]遠隔ユーザ・セッションを可能にするコンピュータ・システムにおいて、ユーザが遠隔ユーザ・セッションへのアクセスを許可される前に、ユーザは複数回認証されることがあり、そして毎回彼又は彼女の証明書を入力する必要があることがある。例えば、ユーザがローカル・クライアント装置を使用して遠隔で彼らのデスクトップにアクセスすることができるコンピュータ・システムでは、ユーザは、彼又は彼女のローカル・クライアント装置により認証される彼又は彼女の証明書を入力し、そして次に、ユーザのデスクトップのホストを務めるマシンにより認証された別の証明書のセットを入力する。いくつかの構成において、接続ブローカーは、ローカル・クライアント装置とユーザのデスクトップのホストを務めるマシンとの間に配置されることがあり、ユーザが接続ブローカーにより認証される更に別の証明書のセットを入力することを必要とする。
[0004]いろいろなサービスへアクセスするためにユーザ証明書を繰り返し入力する不便を考慮して、ケルベロスとして公知の認証プロトコルが、特定の従来のシステムで採用される。このようなシステムでは、最初のサインオンはユーザに彼又は彼女の証明書を要求してくる。これらの証明書を用いて、ケルベロス・チケット交付チケットが生成される。アクセスのために必要とされるサービスの各々に対して、サービスチケット（それはユーザの識別を含む）が、ケルベロス・チケット交付チケットから生成される。サービスにアクセスするときに、ユーザは、彼又は彼女のユーザ証明書を再入力する代わりに、サービスチケットをサービスに単に提示する。しかしながら、チケットがユーザの識別を確認するだけであるので、この技術は遠隔デスクトップ・セッションに対してユーザを認証するには不十分である。遠隔デスクトップ・セッションのホストを務めるマシンへのアクセスを許可されると、ユーザは、遠隔デスクトップ・セッションへサインオンされるために、彼又は彼女のパスワードを入力しなければならない。
[0005]本発明の１つ以上の実施形態は、シングル・サインオン（ＳＳＯ）認証方法及びシステムを提供し、そこにおいてユーザは、接続ブローカーにより管理される資源で動作するサービスにアクセスするときに、１回だけ接続ブローカーにより認証されて、サインオンされる彼又は彼女のユーザ証明書をサービスに入力する。一実施形態によれば、シングル・サインオンは、接続ブローカーが信頼できることを確認するためにサービスのホストを務める資源への接続を管理している接続ブローカーの認証を実行し、この種の認証の後にユーザ証明書を接続ブローカーに安全に送信して、ユーザがユーザ証明書を再入力する必要なしに資源に自動的にサインオンされることができるように、接続ブローカーにユーザ証明書をサービスのホストを務める資源に転送させることにより達成される。
[0006]サービスとの接続を管理する接続ブローカーを有するシステムのサービスに対してユーザを認証する方法は、ネットワークを通じて接続ブローカー及びサービスと通信するクライアント・コンピュータでユーザの証明書の入力を受信する（ユーザ証明書は秘密の構成要素を含む）ステップと、ユーザを認証するステップと、接続ブローカーを認証するステップと、ユーザ証明書の秘密の構成要素を、クライアント・コンピュータから認証されたブローカーへ安全な方法で送信するステップと、ユーザ証明書の秘密の構成要素を認証されたブローカーからサービスへ転送するステップと、認証されたブローカーにより転送されたユーザ証明書の秘密の構成要素を使用してサービスに対するユーザを認証するステップとを含む。
[0007]本発明の一実施形態によれば、シングル・サインオン・アクセスをサポートするように構成されたコンピュータ・システムは、その中で仮想計算機が動作している１つ以上のサーバ・コンピュータと、仮想計算機へのアクセスを管理するための接続ブローカーと、接続ブローカーに対するユーザ及びユーザに対する接続ブローカーを認証するためのドメイン・コントローラとを含む。本実施形態において、ユーザに対して認証された接続ブローカーは、ユーザから秘密のユーザ証明書を安全な方法で受信して、ユーザのデスクトップを動かす仮想計算機に秘密のユーザ証明書を転送し、そして仮想計算機は、接続ブローカーにより転送された秘密のユーザ証明書に基づいてユーザのデスクトップへのユーザ・アクセスを許可する。
[0008]本発明の更なる実施形態は、処理ユニットが上記の方法の１つ以上の態様を実施することを可能にする命令を含む非一時的コンピュータ可読の記憶媒体、並びに上記の方法の１つ以上の態様を実施するように構成されたコンピュータ・システムを含む。
[0009]本発明の１つ以上の実施形態が実施されることができる仮想化されたデスクトップ・インフラストラクチャ・システムの構成要素を例示する。 [0010]遠隔デスクトップへサインオンするためにユーザにより実行されるプロセスを例示する。 [0011]ユーザ証明書がユーザＩＤ及びパスワードの形式であるときの、本発明の１つ以上の実施形態によるシングル・サインオン認証プロセスを例示するフロー図である。 [0012]ユーザ証明書がスマートカード暗証番号及びスマートカード証明書の形式であるときの、本発明の１つ以上の実施形態によるシングル・サインオン認証プロセスを例示するフロー図である。
[0013]図１は、その中で本発明の１つ以上の実施形態が実施されることができる仮想化されたデスクトップ・インフラストラクチャ・システム１００の構成要素を例示する。仮想化されたデスクトップ・インフラストラクチャ・システム１００において、仮想化されたデスクトップ・インフラストラクチャ・クライアント・ソフトウェア・プログラム（又は、略して「仮想化されたデスクトップ・インフラストラクチャ・クライアント」とも呼ばれる）、例えば、仮想化されたデスクトップ・インフラストラクチャ・クライアント１１０は、ローカル・コンピュータのオペレーティング・システム、例えば、オペレーティング・システム（ＯＳ）１１１の上のクライアント・マシン１０８で動作する。仮想化されたデスクトップ・インフラストラクチャ・クライアントはそれらのデスクトップにアクセスするユーザのためのインタフェースを提供し、それは、ユーザ位置から遠いデータセンタ内の仮想計算機１５７又はブレードサーバ（図示せず）の１つで動作できる。用語「デスクトップ」は、通常、表示及び音声出力並びにキーボード及びマウス入力の形で、コンピュータ・オペレーティングシステム及びソフトウェア・アプリケーションにより提供される会話形動作環境のインスタンスを指す。仮想化されたデスクトップ・インフラストラクチャ・クライアントの場合は、ユーザは、いかなる場所からも、コモディティ・オペレーティングシステム及び仮想化されたデスクトップ・インフラストラクチャ・クライアント・ソフトウェア・プログラム、例えばＶＭｗａｒｅ（登録商標）Ｖｉｅｗ（商標）を実行する汎用コンピュータ、又はデル、ＨＰ、ＮＥＣ、サン・マイクロシステムズ、ワイズ、その他から入手可能な特殊用途のシン・クライアントを用いて、ネットワーク１２０を通じて遠隔データセンタで動作するデスクトップにアクセスすることができる。
[0014]仮想化されたデスクトップ・インフラストラクチャ・システム１００は、ユーザ・ログイン情報を含むユーザ・アカウント１３６を管理するドメイン・コントローラ１３５，例えば、Ｍｉｃｒｏsｏｆｔ（登録商標）Ａｃｔｉｖｅ Ｄｉｒｅｃｔｏｒｙ（登録商標）、及び仮想計算機１５７又は他のプラットフォームで動作する、仮想化されたデスクトップ・インフラストラクチャ・クライアントとデスクトップとの間の接続を管理する接続ブローカー１３７を含む。ドメイン・コントローラ１３５及び接続ブローカー１３７は、別々のサーバで、あるいは、同じサーバ又は異なるサーバで動作する別々の仮想計算機で動作できる。本願明細書において例示される本発明の実施形態において、デスクトップは仮想計算機１５７で動作し、そして仮想計算機１５７は、それぞれ仮想化ソフトウェア１５８及びハードウェア１５９を含み仮想計算機管理サーバ１４０により制御されて共用永続記憶装置１６０に連結されている、複数の物理的なコンピュータ１５０、１５２、１５４にインスタンスを生成させる。
[0015]仮想化されたデスクトップ・インフラストラクチャ・システム１００の構成要素の全ては、ネットワーク１２０を通じて通信する。説明を簡単にするため、単一ネットワークが示されるが、実際の実施態様では、仮想化されたデスクトップ・インフラストラクチャ・システム１００の構成要素が同じネットワーク又は異なるネットワークを通じて接続されることができると認識しなければならない。更にまた、仮想化されたデスクトップ・インフラストラクチャの特定の構成は上で説明されて、図１に示されるが、本発明の１つ以上の実施形態が仮想化されたデスクトップ・インフラストラクチャの他の構成により実践されることができると認識しなければならない。
[0016]本願明細書に記載された本発明の実施形態において、シングル・サインオンのために使われるユーザ証明書は、パスワード認証が使われるときには、ユーザＩＤ及びパスワード、並びにスマートカード認証が使われるときにスマートカード証明書のユーザ・プリンシパル名及びスマートカード暗証番号でもよい。スマートカード実施形態において、スマートカードリーダ１０９はクライアント・マシン１０８に接続されており、そしてユーザのスマートカードがスマートカードリーダ１０９に挿入されると、スマートカード暗証番号を入力するためのユーザ・インタフェースがユーザに表示される。正しいスマートカード暗証番号が入力された場合にだけ、クライアント・マシン１０８はスマートカードに格納された証明書にアクセスできる。
[0017]仮想計算機１５７のうちの１つで動作する遠隔デスクトップにサインオンするためにユーザにより実行されるプロセスは、図２に示されて、図１及び２の両方を参照して説明される。ステップ２１０で、ユーザは、クライアント・マシン１０８に表示されたユーザ・インタフェース２１１を通してユーザＩＤ及びパスワードを、又はスマートカード認証を使用する実施形態のクライアント・マシン１０８に表示されるユーザ・インタフェース２１２を通してスマートカード暗証番号を入力することによって、ローカル・クライアント装置、例えばクライアント・マシン１０８にログインする。
[0018]クライアント・マシン１０８にうまくログインすると、ステップ２２０で、ユーザは仮想化されたデスクトップ・インフラストラクチャ・クライアント１１０を開始し、その結果としてユーザ・インタフェース２２１がクライアント・マシン１０８に表示される。ユーザ・インタフェース２２１は、クライアント・マシン１０８にログインするためのユーザ証明書が遠隔デスクトップにアクセスするためのユーザ証明書として使用されなければならないことを仮想化されたデスクトップ・インフラストラクチャ・クライアント１１０に基本的に告げる「現在のユーザとしてのログイン」のオプションをユーザに与えるチェックボックス２２２を含む。しかしながら、このオプションはユーザの証明書をクライアント・マシン１０８に格納する必要があるので、仮想化されたデスクトップ・インフラストラクチャ・システム１００の管理者は、より高いセキュリティのためにこのオプションを無効にすることができる。
[0019]ステップ２３０で、ユーザは、接続ブローカーに接続して遠隔デスクトップにログインするために、「ＣＯＮＮＥＣＴ」をクリックする。チェックボックス２２２がチェックされてユーザが「ＣＯＮＮＥＣＴ」をクリックする場合は、クライアント・マシン１０８にログインするために用いた同じ証明書が、ユーザの遠隔デスクトップのホストを務める仮想計算機にログインするための証明書として使われ、そしてユーザはそれらの証明書を再入力することを必要としない。他方では、チェックボックス２２２がチェックされずに、ユーザが「ＣＯＮＮＥＣＴ」をクリックする場合は、ユーザ・インタフェースはクライアント・マシン１０８に表示されて、ユーザがユーザの遠隔デスクトップのホストを務める仮想計算機にログインするための証明書を入力するようプロンプトを出す。このオプションを有することによって、また、仮想化されたデスクトップ・インフラストラクチャ・システム１００が、クライアント・マシン１０８及び遠隔デスクトップのホストを務める仮想計算機にログインするためにいろいろな認証方法を使用できる。例えば、いろいろなユーザＩＤ及びパスワード並びにいろいろなスマートカードを用いることができる。別の例では、ユーザＩＤ及びパスワードはクライアント・マシン１０８にログインするために使うことができて、スマートカードはユーザの遠隔デスクトップのホストを務める仮想計算機にログインするために使用することができる。
[0020]図３は、ユーザ証明書がユーザＩＤ及びパスワードの形であるときに、本発明の１つ以上の実施形態によるシングル・サインオン認証プロセスを例示するフロー図である。これらのステップは、クライアント・マシン１０８、仮想化されたデスクトップ・インフラストラクチャ・クライアント１１０、ドメイン・コントローラ１３５、接続ブローカー１３７、及び仮想計算機１６５を含む、仮想化されたデスクトップ・インフラストラクチャ・システム１００のさまざまな構成要素により実行される。
[0021]ユーザがクライアント・マシン１０８にログインするために、ユーザＩＤ及びパスワードの形で、彼又は彼女のユーザ証明書を入力すると、シングル・サインオン認証プロセスが開始される。ステップ３１０で、クライアント・マシン１０８はユーザＩＤ及びパスワードの入力を受信する。ユーザ証明書はクライアント・マシン１０８（認証モジュール１１２として図１に示される）で実行するオペレーティング・システム１１１の構成要素によって集められて、機密保護のため非管理のアプリケーションから離れて安全に保持される。例えば、「認証パッケージ」は、Ｍｉｃｒｏｓｏｆｔ Ｗｉｎｄｏｗｓ（登録商標）ベースのクライアント・マシン１０８のために導入されることができる。「認証パッケージ」はユーザ証明書を内部キャッシュに格納し、その内容は、システム・サービス１１３として図１に示されるエンドポイント・システム・サービス「ｗｓｎｍ」のような、高信頼コンピューティング・ベース特権の保有者だけによって検索されることができる。
[0022]ステップ３１１は、ステップ３１０でユーザにより入力されたユーザＩＤを使用してドメイン・コントローラ１３５により実行されるユーザのケルベロス認証を表す。ドメイン・コントローラ１３５は、メッセージを、ユーザにより登録されてユーザ・アカウント１３６のドメイン・コントローラ１３５により維持されるパスワードのハッシュ化されたバージョンを使用して暗号化されたクライアント・マシン１０８と交換することによって、ユーザが正しいパスワードを入力したか否か決定する。この種の技術を用いて、ステップ３１０でユーザにより入力されたパスワードは、クライアント・マシン１０８とドメイン・コントローラ１３５との間で交換されない。ステップ３１２で、ユーザが入力したユーザＩＤ及びパスワードが登録されたユーザＩＤ及びパスワードにマッチしないと決定される場合は、ユーザ認証は失敗して、プロセスは終了する。他方では、マッチする場合は、ユーザはドメイン・コントローラ１３５により認証されて、クライアント・マシン１０８へのユーザ・アクセスは許可される（ステップ３１３）。
[0023]図３に示される残りのステップは、ユーザがクライアント・マシン１０８にうまくログインして、仮想化されたデスクトップ・インフラストラクチャ・クライアント１１０を開始して、「ＣＯＮＮＥＣＴ」をクリックした後に実行されるステップを表す。ステップ３１４で、仮想化されたデスクトップ・インフラストラクチャ・クライアント１１０は、ユーザが「ＣＯＮＮＥＣＴ」をクリックしたことを検出する。次に、接続ブローカー１３７に接続する前に、仮想化されたデスクトップ・インフラストラクチャ・クライアント１１０はステップ３１５で、ユーザが、チェックボックス２２２をチェックすることによって、「現在のユーザとしてログインする」のオプションを選択したか否か決定する。ユーザがそうしなかった場合は、ユーザは従来の方法を使用して接続ブローカー１３７にログインする（ステップ３１６）。
[0024]仮想化されたデスクトップ・インフラストラクチャ・クライアント１１０がステップ３１５で、ユーザがチェックボックス２２２をチェックすることによって、「現在のユーザとしてログインする」というオプションを選択したと決定する場合は、ステップ３２０が実行され、そこにおいて接続ブローカー１３７が認証される。この認証ステップは２つの部分を有し、そして第２部分は任意である。第１部分は、ドメイン・コントローラ１３５で以前登録された接続ブローカー１３７のＩＤを使用するケルバロス認証である。第１部分は、システム・サービス１１３がそれらを接続ブローカー１３７に送信する前に、接続ブローカー１３７がユーザ証明書によって信頼できることを確実にするために、システム・サービス１１３に対する接続ブローカー１３７を基本的に認証する。これは、クライアント・マシン１０８で信用証明となるキャッシュを問い合わせるクライアント（又はその他）の迷惑ソフトウェアを防止する。
[0025]接続ブローカー１３７のケルベロス認証が成功すると、システム・サービス１１３は、接続ブローカー認証の第２部分として、接続ブローカー１３７の識別を確認する。確認は、接続ブローカー１３７が信用証明となる委任がサポートされているマシンとしてリストされているかどうかについて決定することを含む。Ｗｉｎｄｏｗｓ（登録商標）オペレーティング・システムが用いられる実施例において、管理者により維持されて更新されるグループ・ポリシー・オブジェクト（ＧＰＯ）は、この情報がないか調べられる。この第２部分を使用することによって、悪意のあるマシン（さもなければドメイン・コントローラ１３５で適切に登録された）は、ユーザの証明書へのアクセスを得ることが不可能である。他の実施形態では、グループ・ポリシー・オブジェクトは、接続ブローカー１３７のケルベロス認証の後ではなくステップ３２０の初めにチェックされる。
[0026]ステップ３２１で接続ブローカー１３７がうまく認証されると決定される場合は、接続ブローカー１３７はシステム・サービス１１３へのケルベロス・サービス・チケットを与えられ、そしてシステム・サービス１１３はステップ３２２でユーザ証明書を接続ブローカー１３７に送信する。送信されたユーザ証明書はサービスチケットに含まれるセッションキーを使用して暗号化されており、従ってシステム・サービス１１３以外のクライアント・マシン１０８で動作する仮想化されたデスクトップ・インフラストラクチャ・クライアント１１０又はいかなるアプリケーションによっても解読されることができないと認識すべきである。受け取ると、接続ブローカー１３７は、サービスチケットに含まれるセッションキーを使用してユーザ証明書を解読する。ステップ３２３で、ユーザはデスクトップを選択するようプロンプトを出される。いくつかの実施形態では、ユーザのためのデスクトップ選択は、デフォルトユーザ設定に基づいて自動でもよい。この選択の後に、接続ブローカー１３７は、ユーザをそのバーチャル・マシンにログインするために、ユーザの選択されたデスクトップ（それは、仮想計算機１６５であると、ここで仮定される）のホストを務める仮想計算機と通信する。ステップ３２４で、接続ブローカー１３７は、仮想計算機１６５（特に、仮想計算機１６５で動作するエンドポイント・システム・サービス）だけにより解読されることができるキーを使用してユーザ証明書を再暗号化して、再暗号化されたユーザ証明書を仮想計算機１６５に転送する。ステップ３２６で、仮想計算機１６５は接続ブローカー１３７から再暗号化されたユーザ証明書を受信して、それらを解読して、カスタム・ログイン・モジュールを使用して、自動的にユーザをログインさせる。パスワードを含むユーザ証明書が接続ブローカー１３７によって仮想計算機１６５に転送されたので、ユーザは、仮想計算機１６５に接続するときに彼又は彼女の証明書を再入力する必要がなかったと認識すべきである。
[0027]ステップ３２１に戻って、接続ブローカー１３７のその認証が成功しなかったと決定される場合は、シングル・サインオンはステップ３３０で使用不能であり、そしてユーザは彼又は彼女のユーザＩＤ及びパスワードを提示するようプロンプトを出される。ユーザが彼又は彼女のユーザＩＤ及びパスワードを入力した後に、ステップ３２３、３２４、及び３２６はユーザを仮想計算機１６５にサインするために実行される。
[0028]図４は、ユーザ証明書がスマートカード暗証番号及びスマートカード証明書の形式であるときの、本発明の１つ以上の実施形態によるシングル・サインオン認証プロセスを例示するフロー図である。本願明細書において、ステップは、仮想化されたデスクトップ・インフラストラクチャ・クライアント１１０、ドメイン・コントローラ１３５、接続ブローカー１３７、及び仮想計算機１６５を含む、仮想化されたデスクトップ・インフラストラクチャ・システム１００のさまざまな構成要素により実行される。加えて、スマートカードリーダ１０９は、シングル・サインオンを可能にするために、仮想計算機１６５のスマートカードリーダ・エミュレーション・ソフトウェアを使用して仮想化されたデスクトップ・インフラストラクチャ・クライアント１１０及び仮想計算機１６５で共用される。スマートカードリーダ１０９が仮想計算機１６５にリダイレクトされているときは、スマートカードリーダ・エミュレーション・ソフトウェアは、スマートカードがスマートカードリーダ１０９にすでに挿入されているかを確かめるためにチャックして、そうである場合は、仮想計算機１６５でスマートカード挿入イベントをエミュレートする。
[0029] クライアント・マシン１０８にログインするために、ユーザがスマートカードをスマートカードリーダ１０９に挿入してスマートカード暗証番号を入力すると、シングル・サインオン認証プロセスが開始される。ステップ４０８で、クライアント・マシン１０８はスマートカード暗証番号の入力を受信する。ステップ４１０で正しい暗証番号が入力されたと決定される場合は、認証モジュール１１２は、ステップ４１１で、暗証番号を安全に格納して、スマートカードに格納された１つ以上の証明書をクライアント・マシン１０８にロードする。次に、ステップ４１２で、システム・サービス１１３は証明書をフィルターにかけて、期限切れか、又は関連しないいかなる証明書も除去する。１つの実施形態において、フィルタリングが１つの有効な証明書だけをもたらす場合は、その証明書はスマートカード認証のために自動的に使われる。フィルタリングの後でさえ、複数の有効な証明書が残る場合は、プロンプトが表示されて、ユーザが証明書を選択できる。（破線矢印により示されるように）有効な証明書がなく、そしてスマートカード認証が任意にセットされる場合（ステップ４３０）、図３に関連して上で説明した通常のパスワード認証がステップ４３２で使われる。また、ステップ４１０で誤った暗証番号が入力されたと決定される場合は、ユーザはクライアント・マシン１０８へのアクセスを拒否されて、プロセスは終了する。
[0030]ステップ４１３は、ステップ４１２のフィルタリングの後に残っている唯一の有効なスマートカード証明書又はユーザにより選択されたスマートカード証明書でもよい、有効なスマートカード証明書を使用してドメイン・コントローラ１３５により実行されるユーザの認証を表す。ドメイン・コントローラ１３５が、ステップ４１４で、スマートカード証明書が正しくて、即ち、信頼された当事者によってデジタルサインされたと決定する場合は、ユーザはドメイン・コントローラ１３５により認証されて、証明書で確認されたユーザＩＤと関連付けられる。ステップ４１５で、クライアント・マシン１０８へのユーザ・アクセスは許可される。
[0031]図４に示される残りのステップは、ユーザがクライアント・マシン１０８にうまくログインして、仮想化されたデスクトップ・インフラストラクチャ・クライアント１１０を開始して、「ＣＯＮＮＥＣＴ」をクリックした後に実行されるステップを表す。ステップ４１６で、仮想化されたデスクトップ・インフラストラクチャ・クライアント１１０は、ユーザが「ＣＯＮＮＥＣＴ」にクリックしたことを検出する。次に、接続ブローカー１３７に接続する前に、仮想化されたデスクトップ・インフラストラクチャ・クライアント１１０がステップ４１７で、ユーザが、チェックボックス２２２をチェックすることによって、「現在のユーザとしてログインする」というオプションを選択したか否かを決定する。ユーザがそうしなかった場合は、ユーザは従来の方法を使用して接続ブローカー１３７にログインする（ステップ４１８）。
[0032]ステップ４１７で、ユーザがチェックボックス２２２をチェックすることによって「現在のユーザとしてログインする」というオプションを選択したと、仮想化されたデスクトップ・インフラストラクチャ・クライアント１１０が決定する場合は、ステップ４２０が実行される。ステップ４２０は接続ブローカー１３７の認証を表して、ステップ３２０で上に述べたのと同様に実行される。接続ブローカー１３７がうまく認証される場合は、ステップ４２１で決定されるように、接続ブローカー１３７にはシステム・サービス１１３に対するケルベロス・サービス・チケットが与えられ、そしてシステム・サービス１１３は、ステップ４２２で、スマートカード暗証番号を含むユーザ証明書を接続ブローカー１３７に送信する。送信されたユーザ証明書がサービスチケットに含まれるセッションキーを使用して暗号化されて、従ってシステム・サービス１１３以外のクライアント・マシン１０８で動作する仮想化されたデスクトップ・インフラストラクチャ・クライアント１１０又はいかなるアプリケーションによっても解読されることができないと認識すべきである。受信すると、接続ブローカー１３７は、サービスチケットに含まれているセッションキーを使用してユーザ証明書を解読する。ステップ４２３で、ユーザはデスクトップを選択するようプロンプトを出される。いくつかの実施形態では、ユーザのためのデスクトップ選択はデフォルトユーザ設定に基づいて自動的に行われてもよい。この選択の後に、接続ブローカー１３７は、ユーザをその仮想計算機にログインさせるために、ユーザの選択されたデスクトップ（それは仮想計算機１６５であるとここで仮定される）のホストを務める仮想計算機と通信する。ステップ４２４で、仮想計算機１６５（特に、仮想計算機１６５で動作するエンドポイント・システム・サービス）だけにより解読されることができるキーを使用してユーザ証明書が再暗号化されて、仮想計算機１６５に再暗号化されたユーザ証明書が転送される。ステップ４２６で、仮想計算機１６５は接続ブローカー１３７から再暗号化されたユーザ証明書を受信して、それらを解読して、カスタム・ログイン・モジュールを使用して、スマートカード暗証番号を入力し、それに応答して、スマートカードリーダ１０９に挿入されているスマートカードに格納されているスマートカード証明書は、スマートカードリーダ・エミュレーション・ソフトウェアにより指示されるように検索されて、ユーザを仮想計算機１６５に自動的にログインさせるために用いられる。スマートカード暗証番号を含むユーザ証明書が接続ブローカー１３７によって仮想計算機１６５に転送されたので、仮想計算機１６５に接続するときに、ユーザはスマートカード暗証番号を再入力する必要がなかったと認識すべきである。
[0033]ステップ４２１に戻り、接続ブローカー１３７の認証が成功しなかったと決定される場合は、シングル・サインオンはステップ４２８で使用不能にされ、そしてユーザは彼又は彼女のスマートカード暗証番号を提示するようプロンプトを出される。ユーザが彼又は彼女のスマートカード暗証番号を入力した後に、ステップ４２３、４２４、及び４２６が、ユーザを仮想計算機１６５にサインするために実行される。
[0034]いくつかの実施形態では、管理者はスマートカードのシングル・サインオンを使用不能にすることができる。こうすることの考えられる理由は、スマートカード・プロバイダが暗証番号キャッシュ・リダイレクションを用いて遠隔シングル・サインオンをすでに可能にさせるということであり、又は、暗証番号が暗号化されていても、管理者がユーザの暗証番号をメモリに格納するのがすごく不安であるということである。更にまた、ユーザがオプション「現在のユーザとしてログインする」を選択し、そしてユーザが遠隔デスクトップへの新規な接続の確立を望む、いくつかの実施形態では、遠隔デスクトップへの従来の接続を認証するために以前使われたユーザ証明書は、接続ブローカー１３７が、その中にユーザ証明書を格納したキャッシュをクリアすることによって無効にされる。これにより、仮想化されたデスクトップ・インフラストラクチャ・クライアント１１０が動作している間に、ユーザがそれらを変える場合は、更新されたユーザ証明書が使われることを確実にする。
[0035]本願明細書で使用しているように、「接続ブローカー」は、遠隔デスクトップのような遠隔ユーザ・セッションとの接続を管理するように構成された、任意の装置であり、そして「ドメイン・コントローラ」は、ユーザ・ログイン情報にアクセスさせて管理するように構成された、任意の装置である。
[0036]本願明細書に記載されているさまざまな実施形態は、コンピュータ・システムに格納されるデータを含むさまざまなコンピュータ実行動作を使用できる。例えば、これらの動作は物理量の物理的操作を必要とすることがあり、通常、必然的ではないが、これらの量は電気又は磁気信号という形をとることがあり、そこにおいて、それら又はそれらの表現は、格納され、転送され、結合され、比較され、又は操作することができる。更に、この種の操作は、生成、識別、決定、又は比較のような用語でしばしば呼ばれる。本発明の１つ以上の実施形態の一部を形成する本願明細書に記載したいかなる動作も、有用な機械操作であり得る。加えて、本発明の１つ以上の実施形態はこれらの動作を実行する装置又は機器にも関する。機器は特定の必要な目的のために特別に構成されることができる、又はそれはコンピュータに格納されたコンピュータプログラムによって選択的に作動するか又は構成される汎用コンピュータでもよい。特に、さまざまな汎用マシンが本願明細書において教示に従って記述されるコンピュータプログラムによって用いられることが可能である、又は必要な動作を実行するためにより特殊な機器を構成することがより便利である場合がある。
[0037]本願明細書に記載されているさまざまな実施形態は、携帯用装置、マイクロプロセッサシステム、マイクロプロセッサ・ベース又はプログラム可能な家電、ミニコンピュータ、メインフレームコンピュータなどを含む、他のコンピュータ・システム構成により実行されることができる。
[0038]本発明の１つ以上の実施形態は、１つ以上のコンピュータ可読媒体で具体化された１つ以上のコンピュータプログラムとして、又は１つ以上のコンピュータプログラム・モジュールとして実施されることができる。用語「コンピュータ可読媒体」は、その後でコンピュータ・システムに入力されることができるデータを格納できるいかなるデータ記憶装置も指す。コンピュータ可読媒体は、それらがコンピュータによって読み込まれることを可能にする方法でコンピュータプログラムを具体化するための、いかなる既存又は今後開発される技術にも基づいてもよい。コンピュータ可読媒体の例は、ハードディスク、ネットワーク接続ストレージ（ＮＡＳ）、読出し専用メモリ、ランダムアクセス・メモリ（例えば、フラッシュメモリ装置）、ＣＤ（コンパクトディスク）、ＣＤ―ＲＯＭ、ＣＤ―Ｒ、又はＣＤ―ＲＷ、ＤＶＤ（デジタル多用途ディスク）、磁気テープ、並びに他の光学及び非光学データ記憶装置を含む。コンピュータ可読コードが分散方式で格納されて実行されるように、コンピュータ可読媒体はネットワーク結合コンピュータ・システムにわたって分散されることもできる。
[0039]本発明の１つ以上の実施形態が、明確に理解するために少し詳しく説明されたけれども、特定の改変及び変更態様が特許請求の範囲内でなされることができることは明らかである。従って、記載されている実施形態は例示であり限定的でないとみなされるべきであり、そして特許請求の範囲は本願明細書に示された詳細に限定されるべきではなくて、特許請求の範囲及び同等物の中で変更されることができる。特許請求の範囲において、特許請求の範囲で明確に述べられない限り、要素及び／又はステップは動作のいかなる特定の順序も意味しない。
[0040]さまざまな実施形態による仮想化システムは、ホストされた実施形態、ホストされない実施形態として、又は２つの差異を曖昧にする傾向がある実施形態として実施されることができて、すべて想定される。更にまた、さまざまな仮想化動作は、ハードウェアにおいて、完全に又は部分的に実施されることができる。例えば、ハードウェア実装は、非ディスクデータを保護するためにストレージ・アクセス要求の変更のためのルックアップ表を使用できる。
[0041]多くの変体、変更態様、追加、及び改良が、仮想化の程度にかかわらず可能である。仮想化ソフトウェアは、従って、仮想化機能を実行するホスト、コンソール、又はゲスト・オペレーティングシステムの構成要素を含むことができる。複数の例は、単一の例として本願明細書に記載されている構成要素、動作、又は構造のために提供されることができる。最後に、さまざまな構成要素、動作、及びデータ蓄積の境界はいくぶん任意であり、そして特定の動作は特定の例示構成との関連で例示される。機能の他の配置が構想されて、本発明の範囲に含まれることができる。一般に、典型的な構成の別々の構成要素として提示される構造及び機能は、複合構造又は構成要素として実施されることができる。同様に、単一の構成要素として提示される構造及び機能は、別々の構成要素として実施されることができる。これらの、そしてまた他の変形例、変更態様、追加、及び改良は、添付の特許請求の範囲にあればよい。

Claims (20)

  1. サービスとの接続を管理する接続ブローカーを有するシステムにおいて前記サービスに対してユーザを認証する方法であって、
    ネットワークを通じて前記接続ブローカー及び前記サービスと通信するクライアント・コンピュータで前記ユーザの証明書の入力を受信するステップであって、前記ユーザ証明書は秘密の構成要素を含むステップと、
    前記接続ブローカーに対する前記ユーザを認証するステップと、
    前記ユーザに対する前記接続ブローカーを認証するステップと、
    前記ユーザ証明書の前記秘密の構成要素を前記クライアント・コンピュータから前記認証されたブローカーへ安全な方法で送信するステップと、
    前記ユーザ証明書の前記秘密の構成要素を前記認証されたブローカーから前記サービスへ転送するステップと、
    前記サービスで、前記認証されたブローカーにより転送された前記ユーザ証明書の前記秘密の構成要素を使用して前記ユーザを認証するステップと、
    を含む方法。
  2. 前記認証されたユーザから前記認証されたブローカーへ送信される前記秘密の構成要素が暗号化されている請求項１記載の方法。
  3. 前記ユーザ証明書がユーザＩＤ及びパスワードを含み、そして前記パスワードは前記秘密の構成要素である請求項１記載の方法。
  4. 前記ユーザ証明書が、前記クライアント・コンピュータに対する前記ユーザを認証するために用いられる請求項３記載の方法。
  5. 前記ユーザ証明書がスマートカードに格納された証明書及び前記証明書にアクセスするための暗証番号を含み、前記暗証番号が前記秘密の構成要素である請求項１記載の方法。
  6. 前記秘密の構成要素が、前記クライアントで動作するユーザレベル・プロセスによってアクセスされることができない前記クライアント・コンピュータの内部キャッシュに格納されており、そして前記秘密の構成要素は前記内部キャッシュから検索されて、前記接続ブローカーが認証されたことを確認した後に前記接続ブローカーに送信される請求項１記載の方法。
  7. ドメイン・コントローラが前記ネットワークを通じて前記クライアント・コンピュータ及び前記接続ブローカーと通信し、並びに前記接続ブローカーに対する前記ユーザを認証する際に、及び前記ユーザに対する前記接続ブローカーを認証する際に、ケルベロス認証を実行する請求項１記載の方法。
  8. 前記サービスが前記ユーザの遠隔デスクトップを動かしている資源である請求項１記載の方法。
  9. 前記資源が仮想計算機である請求項８記載の方法。
  10. 接続ブローカーを用いてサービスとの接続を管理する方法であって、
    ユーザから前記サービスとの接続の要求を受信するステップと、
    前記要求された接続に対して前記ユーザを認証するステップと、
    前記ユーザの秘密のユーザ証明書を受信するために前記接続ブローカーを認証するステップと、
    前記認証された接続ブローカーで、前記秘密のユーザ証明書を受信して、前記秘密のユーザ証明書を前記サービスへ転送するステップと、
    前記サービスで、前記認証された接続ブローカーから前記秘密のユーザ証明書を受信して、前記秘密のユーザ証明書を使用して前記サービスに対する前記ユーザを認証するステップと、
    を含む方法。
  11. 前記秘密のユーザ証明書がパスワードを含む請求項１０記載の方法。
  12. 前記秘密のユーザ証明書がスマートカード暗証番号を含む請求項１０記載の方法。
  13. 前記ユーザ及び前記接続ブローカーがケルベロス認証プロセスにより認証される請求項１０記載の方法。
  14. 前記秘密のユーザ証明書が暗号化された形で前記認証された接続ブローカーにより受信される請求項１０記載の方法。
  15. シングル・サインオン・アクセスをサポートするように構成されたコンピュータ・システムであって、
    その中で仮想計算機が動作している１つ以上のサーバ・コンピュータと、
    前記仮想計算機へのアクセスを管理するための接続ブローカーと、
    前記接続ブローカーに対するユーザ及び前記ユーザに対する前記接続ブローカーを認証するためのドメイン・コントローラと、
    を備えるコンピュータ・システムであって、
    ユーザに認証される前記接続ブローカーは、前記ユーザの秘密のユーザ証明書を受信して、前記ユーザのデスクトップを動かしている前記仮想計算機に前記秘密のユーザ証明書を転送するように構成されており、
    そして前記ユーザの前記デスクトップを動かしている前記仮想計算機は、前記接続ブローカーにより転送された前記秘密のユーザ証明書に基づいて前記ユーザとのアクセスを許可するように構成されたコンピュータ・システム。
  16. 前記ドメイン・コントローラが前記ユーザのユーザＩＤ及びパスワードを維持し、並びに前記秘密のユーザ証明書はパスワードを含む請求項１５記載のシステム。
  17. 前記秘密のユーザ証明書がスマートカード暗証番号を含む請求項１５記載のシステム。
  18. 前記ユーザ及び前記接続ブローカーを認証すると、前記ドメイン・コントローラがケルベロス認証プロセスを実行する請求項１５記載のシステム。
  19. 前記ドメイン・コントローラが、前記ユーザの前記デスクトップを動かしている前記仮想計算機にアクセスするためにサービスチケットを前記ユーザに発行し、そして前記仮想計算機は、前記接続ブローカーにより転送された前記秘密のユーザ証明書を使用して前記ユーザに自動的にログインする請求項１８記載のシステム。
  20. 前記ユーザがサインオンしたクライアント・コンピュータを更に備え、前記秘密のユーザ証明書が前記クライアント・コンピュータで動作するユーザレベル・アプリケーションにアクセス可能でないように、前記クライアント・コンピュータは前記秘密のユーザ証明書を安全に格納するオペレーティング・システム構成要素を含む請求項１５記載のシステム。
JP2012537219A 2009-11-05 2010-11-04 遠隔ユーザ・セッションのためのシングル・サインオン Active JP5570610B2 (ja)

Applications Claiming Priority (3)

Application Number Priority Date Filing Date Title
US25836709P 2009-11-05 2009-11-05
US61/258,367 2009-11-05
PCT/US2010/055343 WO2011056906A2 (en) 2009-11-05 2010-11-04 Single sign on for a remote user session

Publications (2)

Publication Number Publication Date
JP2013510351A true JP2013510351A (ja) 2013-03-21
JP5570610B2 JP5570610B2 (ja) 2014-08-13

Family

ID=43926829

Family Applications (1)

Application Number Title Priority Date Filing Date
JP2012537219A Active JP5570610B2 (ja) 2009-11-05 2010-11-04 遠隔ユーザ・セッションのためのシングル・サインオン

Country Status (5)

Country Link
US (4) US8955072B2 (ja)
EP (1) EP2489150B1 (ja)
JP (1) JP5570610B2 (ja)
AU (1) AU2010315255B2 (ja)
WO (1) WO2011056906A2 (ja)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP7455307B2 (ja) 2021-09-27 2024-03-26 株式会社イードクトル サービスログインユーザと電子署名者との同一性判定方法およびコンピュータシステム

Families Citing this family (35)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2012002971A1 (en) 2010-07-01 2012-01-05 Hewlett-Packard Development Company, L.P. User management framework for multiple environments on a computing device
US20130191882A1 (en) * 2012-01-19 2013-07-25 Sap Ag Access control of remote communication interfaces based on system-specific keys
US9032496B2 (en) * 2012-02-28 2015-05-12 Citrix Systems, Inc. Secure single sign-on
US10326648B2 (en) * 2012-03-01 2019-06-18 Mentor Graphics Corporation Virtual use of electronic design automation tools
US8782768B2 (en) * 2012-06-15 2014-07-15 Vmware, Inc. Systems and methods for accessing a virtual desktop
KR102038963B1 (ko) 2012-10-05 2019-10-31 삼성전자주식회사 오브젝트 특성에 따라 적응적으로 화면 정보 데이터를 보호하는 방법 및 장치
US20140122875A1 (en) * 2012-10-31 2014-05-01 Ubs Ag Container-based management at a user device
KR101541591B1 (ko) * 2013-05-16 2015-08-03 삼성에스디에스 주식회사 Vdi 환경에서의 싱글 사인온 시스템 및 방법
US10896155B2 (en) 2013-08-23 2021-01-19 Vmware, Inc. Opening unsupported file types through remoting sessions
US9529819B2 (en) 2013-08-23 2016-12-27 Vmware, Inc. Opening unsupported file types through remoting sessions
CN103532966A (zh) * 2013-10-23 2014-01-22 成都卫士通信息产业股份有限公司 一种支持基于usb key单点登录虚拟桌面的装置及方法
US10437432B2 (en) * 2014-06-27 2019-10-08 Vmware, Inc. Integration of user interface technologies
CN104394214A (zh) * 2014-11-26 2015-03-04 成都卫士通信息产业股份有限公司 一种通过接入控制保护桌面云服务的方法及系统
US10705690B1 (en) * 2015-03-10 2020-07-07 Amazon Technologies, Inc. Sending virtual desktop information to multiple devices
US10015172B2 (en) * 2015-06-24 2018-07-03 Vmware, Inc. Creation of link to user profile from user information prior to user logon to a virtual desktop environment
CN105786521B (zh) * 2016-03-18 2020-05-19 山东华软金盾软件股份有限公司 一种文件外发保护方法和装置
US10050957B1 (en) 2016-04-08 2018-08-14 Parallels International Gmbh Smart card redirection
LU93150B1 (en) * 2016-07-13 2018-03-05 Luxtrust S A Method for providing secure digital signatures
US10574661B2 (en) * 2016-09-01 2020-02-25 Vmware, Inc. Method and system for preventing unauthorized access to smart card devices in a remote desktop infrastructure
US10469613B2 (en) * 2016-11-10 2019-11-05 Wyse Technology L.L.C. Providing multiple user profiles to a single user
FR3063822B1 (fr) * 2017-03-10 2019-03-15 Wallix Procede d’acces a une ressource informatique securisee par une application informatique.
US10944685B2 (en) * 2017-11-29 2021-03-09 International Business Machines Corporation Abstracted, extensible cloud access of resources
US11089005B2 (en) 2019-07-08 2021-08-10 Bank Of America Corporation Systems and methods for simulated single sign-on
US11323432B2 (en) 2019-07-08 2022-05-03 Bank Of America Corporation Automatic login tool for simulated single sign-on
US11115401B2 (en) 2019-07-08 2021-09-07 Bank Of America Corporation Administration portal for simulated single sign-on
US11411927B2 (en) 2020-01-09 2022-08-09 Vmware, Inc. Accessing an authentication service from a cloud domain in a network zone different from that of the authentication service
US11601461B2 (en) 2020-01-13 2023-03-07 Vmware, Inc. Risk-based cloud profile management for VDI in the cloud
WO2021232347A1 (en) * 2020-05-21 2021-11-25 Citrix Systems, Inc. Cross device single sign-on
US11483305B2 (en) 2020-06-23 2022-10-25 Nutanix, Inc. Windows single sign-on mechanism
US11861388B2 (en) 2020-07-06 2024-01-02 Frame Platform, Inc. User profile management for non-domain joined instance virtual machines
US11106825B1 (en) 2020-11-10 2021-08-31 Netskope, Inc. Predetermined credential system for remote administrative operating system (OS) authorization and policy control
US20220417243A1 (en) * 2021-06-25 2022-12-29 Vmware, Inc. Passwordless access to virtual desktops
WO2023277859A1 (en) * 2021-06-28 2023-01-05 Hewlett-Packard Development Company, L.P. Remote desktop connection communications
US11880722B2 (en) * 2022-06-22 2024-01-23 Contentful GmbH App actions in a content management system
US20240152635A1 (en) * 2022-11-09 2024-05-09 Mastercard International Incorporated Systems and methods for use in securing open service connections

Citations (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2001306519A (ja) * 2000-04-26 2001-11-02 Ntt Communications Kk 認証接続システム及び方法
JP2002132722A (ja) * 2000-10-30 2002-05-10 Nippon Telegr & Teleph Corp <Ntt> 代行認証方法、その各装置、その装置の処理方法、及びプログラム記録媒体
JP2005321970A (ja) * 2004-05-07 2005-11-17 Hitachi Ltd コンピュータシステム
JP2008506139A (ja) * 2004-07-09 2008-02-28 松下電器産業株式会社 ユーザ認証及びサービス承認を管理し、シングル・サイン・オンを実現して、複数のネットワーク・インタフェースにアクセスするためのシステム及び方法
WO2008091277A2 (en) * 2006-06-27 2008-07-31 Microsoft Corporation Biometric credential verification framework
JP2008538247A (ja) * 2005-04-01 2008-10-16 インターナショナル・ビジネス・マシーンズ・コーポレーション ランタイム・ユーザ・アカウント作成オペレーションのための方法、装置、およびコンピュータ・プログラム
JP2009163373A (ja) * 2007-12-28 2009-07-23 Canon It Solutions Inc クライアント端末装置、中継サーバ、情報処理システム、クライアント端末装置の制御方法、中継サーバの制御方法、及び、プログラム
JP2009205342A (ja) * 2008-02-27 2009-09-10 Nippon Telegr & Teleph Corp <Ntt> 権限委譲システム、権限委譲方法および権限委譲プログラム

Family Cites Families (30)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
ATE345002T1 (de) * 1999-09-24 2006-11-15 Citicorp Dev Ct Inc Verfahren und vorrichtung für authentifizierten zugang zu einer mehrzahl von netzbetreibern durch eine einzige anmeldung
US20040205473A1 (en) * 2000-01-27 2004-10-14 Gwyn Fisher Method and system for implementing an enterprise information portal
US20040128508A1 (en) * 2001-08-06 2004-07-01 Wheeler Lynn Henry Method and apparatus for access authentication entity
US20030046534A1 (en) * 2001-08-31 2003-03-06 Alldredge Robert L. Method and apparatus for secured electronic commerce
US7337220B2 (en) * 2001-10-24 2008-02-26 At&T Labs, Inc. Unified interface for managing DSL services
US8024781B2 (en) * 2002-12-04 2011-09-20 Microsoft Corporation Signing-in to software applications having secured features
JP4389450B2 (ja) * 2003-02-24 2009-12-24 富士ゼロックス株式会社 作業空間形成装置
US8443087B2 (en) * 2003-10-09 2013-05-14 Rockstar Consortium Us Lp System for managing sessions and connections in a network
US9602275B2 (en) * 2003-10-28 2017-03-21 Intel Corporation Server pool kerberos authentication scheme
US7808904B2 (en) * 2004-11-18 2010-10-05 Fortinet, Inc. Method and apparatus for managing subscriber profiles
US20060230438A1 (en) * 2005-04-06 2006-10-12 Ericom Software Ltd. Single sign-on to remote server sessions using the credentials of the local client
CA2624623A1 (en) * 2005-10-11 2007-04-26 Citrix Systems, Inc. Systems and methods for facilitating distributed authentication
US8185437B2 (en) * 2007-07-12 2012-05-22 Utbk, Inc. Systems and methods to provide communication connections via partners
JP4882546B2 (ja) * 2006-06-28 2012-02-22 富士ゼロックス株式会社 情報処理システムおよび制御プログラム
US8281378B2 (en) * 2006-10-20 2012-10-02 Citrix Systems, Inc. Methods and systems for completing, by a single-sign on component, an authentication process in a federated environment to a resource not supporting federation
US7941831B2 (en) * 2007-02-09 2011-05-10 Microsoft Corporation Dynamic update of authentication information
US7941834B2 (en) * 2007-04-05 2011-05-10 Microsoft Corporation Secure web-based user authentication
US8296834B2 (en) 2007-08-02 2012-10-23 Deluxe Corporation Secure single-sign-on portal system
US8397077B2 (en) * 2007-12-07 2013-03-12 Pistolstar, Inc. Client side authentication redirection
EP3905077A1 (en) * 2008-02-15 2021-11-03 Citrix Systems Inc. Systems and methods for secure handling of secure attention sequences
JP4446004B2 (ja) * 2008-02-19 2010-04-07 シャープ株式会社 画像処理装置、画像処理方法および画像形成装置
US8418238B2 (en) * 2008-03-30 2013-04-09 Symplified, Inc. System, method, and apparatus for managing access to resources across a network
US8353041B2 (en) * 2008-05-16 2013-01-08 Symantec Corporation Secure application streaming
JP5274183B2 (ja) * 2008-05-20 2013-08-28 キヤノン株式会社 画像処理装置、画像処理方法およびそのプログラムならびに記憶媒体
US8032932B2 (en) * 2008-08-22 2011-10-04 Citibank, N.A. Systems and methods for providing security token authentication
US8413210B2 (en) * 2008-12-09 2013-04-02 Microsoft Corporation Credential sharing between multiple client applications
US8296828B2 (en) * 2008-12-16 2012-10-23 Microsoft Corporation Transforming claim based identities to credential based identities
US9088414B2 (en) * 2009-06-01 2015-07-21 Microsoft Technology Licensing, Llc Asynchronous identity establishment through a web-based application
US8255984B1 (en) * 2009-07-01 2012-08-28 Quest Software, Inc. Single sign-on system for shared resource environments
US8510806B2 (en) * 2009-10-22 2013-08-13 Sap Ag System and method of controlling access to information in a virtual computing environment

Patent Citations (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2001306519A (ja) * 2000-04-26 2001-11-02 Ntt Communications Kk 認証接続システム及び方法
JP2002132722A (ja) * 2000-10-30 2002-05-10 Nippon Telegr & Teleph Corp <Ntt> 代行認証方法、その各装置、その装置の処理方法、及びプログラム記録媒体
JP2005321970A (ja) * 2004-05-07 2005-11-17 Hitachi Ltd コンピュータシステム
JP2008506139A (ja) * 2004-07-09 2008-02-28 松下電器産業株式会社 ユーザ認証及びサービス承認を管理し、シングル・サイン・オンを実現して、複数のネットワーク・インタフェースにアクセスするためのシステム及び方法
JP2008538247A (ja) * 2005-04-01 2008-10-16 インターナショナル・ビジネス・マシーンズ・コーポレーション ランタイム・ユーザ・アカウント作成オペレーションのための方法、装置、およびコンピュータ・プログラム
WO2008091277A2 (en) * 2006-06-27 2008-07-31 Microsoft Corporation Biometric credential verification framework
JP2009163373A (ja) * 2007-12-28 2009-07-23 Canon It Solutions Inc クライアント端末装置、中継サーバ、情報処理システム、クライアント端末装置の制御方法、中継サーバの制御方法、及び、プログラム
JP2009205342A (ja) * 2008-02-27 2009-09-10 Nippon Telegr & Teleph Corp <Ntt> 権限委譲システム、権限委譲方法および権限委譲プログラム

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP7455307B2 (ja) 2021-09-27 2024-03-26 株式会社イードクトル サービスログインユーザと電子署名者との同一性判定方法およびコンピュータシステム

Also Published As

Publication number Publication date
US9628469B2 (en) 2017-04-18
AU2010315255B2 (en) 2014-06-19
EP2489150A2 (en) 2012-08-22
AU2010315255A1 (en) 2012-04-26
US20220255918A1 (en) 2022-08-11
WO2011056906A2 (en) 2011-05-12
US20110107409A1 (en) 2011-05-05
WO2011056906A3 (en) 2011-08-18
EP2489150A4 (en) 2015-07-29
EP2489150B1 (en) 2018-12-26
JP5570610B2 (ja) 2014-08-13
US8955072B2 (en) 2015-02-10
US20150200932A1 (en) 2015-07-16
US20170223010A1 (en) 2017-08-03

Similar Documents

Publication Publication Date Title
US20220255918A1 (en) Single sign on for a remote user session
JP6526181B2 (ja) スマートカードによるログオンおよび連携されたフルドメインログオン
KR102060212B1 (ko) 클라우드에서 투명하게 호스팅되는 조직들에 대한 아이덴티티 서비스를 제공하는 기법
US9038138B2 (en) Device token protocol for authorization and persistent authentication shared across applications
US8862899B2 (en) Storage access authentication mechanism
US9576140B1 (en) Single sign-on system for shared resource environments
JP5038531B2 (ja) 信頼できる機器に限定した認証
JP5375976B2 (ja) 認証方法、認証システムおよび認証プログラム
EP3640829B1 (en) Systems and methods for accessing a virtual desktop
WO2019156822A1 (en) Fast smart card logon
EP1914658B1 (en) Identity controlled data center
US20060230438A1 (en) Single sign-on to remote server sessions using the credentials of the local client
US20080072303A1 (en) Method and system for one time password based authentication and integrated remote access
KR20100029098A (ko) 비보안 네트워크들을 통한 장치 프로비저닝 및 도메인 조인 에뮬레이션
WO2014048749A1 (en) Inter-domain single sign-on
US8387130B2 (en) Authenticated service virtualization

Legal Events

Date Code Title Description
A977 Report on retrieval

Free format text: JAPANESE INTERMEDIATE CODE: A971007

Effective date: 20131126

A131 Notification of reasons for refusal

Free format text: JAPANESE INTERMEDIATE CODE: A131

Effective date: 20131203

A601 Written request for extension of time

Free format text: JAPANESE INTERMEDIATE CODE: A601

Effective date: 20140226

A602 Written permission of extension of time

Free format text: JAPANESE INTERMEDIATE CODE: A602

Effective date: 20140305

A521 Request for written amendment filed

Free format text: JAPANESE INTERMEDIATE CODE: A523

Effective date: 20140402

TRDD Decision of grant or rejection written
A01 Written decision to grant a patent or to grant a registration (utility model)

Free format text: JAPANESE INTERMEDIATE CODE: A01

Effective date: 20140617

A61 First payment of annual fees (during grant procedure)

Free format text: JAPANESE INTERMEDIATE CODE: A61

Effective date: 20140624

R150 Certificate of patent or registration of utility model

Ref document number: 5570610

Country of ref document: JP

Free format text: JAPANESE INTERMEDIATE CODE: R150

R250 Receipt of annual fees

Free format text: JAPANESE INTERMEDIATE CODE: R250

R250 Receipt of annual fees

Free format text: JAPANESE INTERMEDIATE CODE: R250

R250 Receipt of annual fees

Free format text: JAPANESE INTERMEDIATE CODE: R250

R250 Receipt of annual fees

Free format text: JAPANESE INTERMEDIATE CODE: R250

R250 Receipt of annual fees

Free format text: JAPANESE INTERMEDIATE CODE: R250

R250 Receipt of annual fees

Free format text: JAPANESE INTERMEDIATE CODE: R250

R250 Receipt of annual fees

Free format text: JAPANESE INTERMEDIATE CODE: R250

S531 Written request for registration of change of domicile

Free format text: JAPANESE INTERMEDIATE CODE: R313531

S533 Written request for registration of change of name

Free format text: JAPANESE INTERMEDIATE CODE: R313533

R350 Written notification of registration of transfer

Free format text: JAPANESE INTERMEDIATE CODE: R350