JP2015521766A5 - - Google Patents

Claims (19)

1. 認証システムであって、
   複数のアクセス制限されたネットワークリソースであって、各アクセス制限されたネットワークリソースは、個々のアクセス許可を有する、前記複数のアクセス制限されたネットワークリソースと、
   第一のプロセッサを含む第一のコンピューティングデバイスであって、前記第一のプロセッサは、
   第一のユーザからアクセスリクエストおよびアクセス信用確認情報を受け取り、
   前記アクセス信用確認情報が有効であるということを決定し、
   前記アクセス信用確認情報が有効であるという決定に応答して、第一のユーザを認証して、第一のユーザ用の認証トークンを発行するように構成されている、前記第一のコンピューティングデバイスと、
   第二のプロセッサを含む第二のコンピューティングデバイスであって、前記第二のプロセッサは、
   第一のユーザから前記複数のアクセス制限されたネットワークリソースのうちの第一のアクセス制限されたネットワークリソースにアクセスするためのリクエストを受け取り、
   前記認証トークンおよび前記認証トークンに対するリファレンスのうちの一方を受け取り、
   第一のユーザが前記第一のアクセス制限されたネットワークリソースにアクセスする許可を有しているということを決定し、
   第一のユーザ用の秘密鍵および公開鍵を伴うデジタル証明書を含む第一のユーザ用のスマートカード信用確認情報を生成し、
   前記スマートカード信用確認情報を仮想スマートカードに保存し、
   前記仮想スマートカードを前記第一のアクセス制限されたネットワークリソースに関連付けて、第一のユーザが、追加のアクセス信用確認情報の入力無しで、前記スマートカード信用確認情報を用いて前記第一のアクセス制限されたネットワークリソースにアクセスできるようにし、
   第一のユーザから前記複数のアクセス制限されたネットワークリソースのうち、前記第一のアクセス制限されたネットワークリソースとは異なるアクセス許可を有する第二のアクセス制限されたネットワークリソースにアクセスするためのリクエストを受け取り、
   前記認証トークンおよび前記認証トークンに対するリファレンスのうちの一方から第一のユーザが前記第二のアクセス制限されたネットワークリソースにアクセスする許可を有しているということを決定し、
   前記仮想スマートカードを前記第二のアクセス制限されたネットワークリソースに関連付けて、第一のユーザが、追加のアクセス信用確認情報の入力無しで、前記スマートカード信用確認情報を用いて前記第二のアクセス制限されたネットワークリソースにアクセスできるようにするように構成されている、前記第二のコンピューティングデバイスと
   を備え、
   前記複数のアクセス制限されたネットワークリソース、前記第一のコンピューティングデバイス、および前記第二のコンピューティングデバイスは、ドメイン内に含まれる、認証システム。
2. 前記認証トークンが、第一のユーザが認証されたというセキュリティ・アサーション・マークアップ・ランゲージ（ＳＡＭＬ）アサーションを含む、請求項１に記載の認証システム。
3. ディレクトリサービスをさらに備え、第一のユーザが前記第一のアクセス制限されたネットワークリソースにアクセスする許可を有しているということを決定することは、前記ディレクトリサービスに対して、第一のユーザがアクセス制限されたネットワークリソースにアクセスする許可を有しているかどうかを確認するリクエストを送信するようにさらに構成される、請求項１に記載の認証システム。
4. 前記第一のプロセッサが、前記第二のコンピューティングデバイスに対して、前記認証トークンおよび前記認証トークンに対する前記リファレンスのうちの一方を送信するようにさらに構成される、請求項１に記載の認証システム。
5. 前記第二のプロセッサが、認証ポータルで前記認証トークンの有効性を確認するようにさらに構成される、請求項１に記載の認証システム。
6. 前記ドメイン内に含まれるディレクトリサービスをさらに備える、請求項１に記載の認証システム。
7. 前記第二のコンピューティングデバイスが、前記仮想スマートカードを使って第一のユーザを前記ディレクトリサービスにログインさせるようにさらに構成される、請求項６に記載の認証システム。
8. 非一時的なコンピュータ可読ストレージ媒体にコンピュータ実行可能命令が実装されている非一時的なコンピュータ可読ストレージ媒体であって、１つまたは複数のコンピューティングデバイスによって実行されたときに、前記コンピュータ実行可能命令が前記コンピューティングデバイスに、
   第一のユーザから複数のアクセス制限された仮想デスクトップのうちの第一のアクセス制限された仮想デスクトップにアクセスするためのリクエストを受け取る処理と、
   認証トークンおよび前記認証トークンに対するリファレンスのうちの一方を受け取る処理であって、前記認証トークンは、アクセス信用確認情報を認証ポータルに提示することにより第一のユーザが認証ポータルに成功裏にログインされたことを示す、一方を受け取る処理と、
   第一のユーザが前記第一のアクセス制限された仮想デスクトップにアクセスする許可を有しているということを決定する処理と、
   第一のユーザ用のスマートカード信用確認情報を生成する処理であって、前記スマートカード信用確認情報は、第一のユーザ用の秘密鍵、デジタル証明書、および個人識別番号（ＰＩＮ）を含む、生成する処理と、
   前記スマートカード信用確認情報を仮想スマートカードに保存し、
   追加のアクセス信用確認情報の入力無しで、前記仮想スマートカードに保存された前記スマートカード信用確認情報を用いてクライアントコンピューティングデバイスが前記第一のアクセス制限された仮想デスクトップにログインするのを許可する処理と、
   第一のユーザから複数のアクセス制限されたネットワークリソースのうちの、第一のアクセス制限されたネットワークリソースとは異なるアクセス許可を有する第二のアクセス制限されたネットワークリソースにアクセスするためのリクエストを受け取る処理と、
   前記認証トークンおよび前記認証トークンに対するリファレンスのうちの一方から第一のユーザが前記第二のアクセス制限されたネットワークリソースにアクセスする許可を有しているということを決定する処理と、
   前記仮想スマートカードを前記第二のアクセス制限されたネットワークリソースに関連付けて、第一のユーザが、追加のアクセス信用確認情報の入力無しで、前記スマートカード信用確認情報を用いて前記第二のアクセス制限されたネットワークリソースにアクセスできるようにする処理と
   を実行させ、
   前記複数のアクセス制限されたネットワークリソースおよび１つまたは複数のデバイスは、ドメイン内に含まれる、コンピュータ可読ストレージ媒体。
9. 前記コンピュータ実行可能命令がさらに、少なくとも１つのプロセッサに、ディレクトリサービスに対して、第一のユーザが前記第一のアクセス制限された仮想デスクトップにアクセスする許可を有しているかどうかを確認するリクエストを送信させる、請求項８に記載のコンピュータ可読ストレージ媒体。
10. 前記コンピュータ実行可能命令がさらに、前記少なくとも１つのプロセッサに、前記仮想スマートカードを使って第一のユーザを前記ディレクトリサービスにログインさせる、請求項９に記載のコンピュータ可読ストレージ媒体。
11. 前記コンピュータ実行可能命令がさらに、少なくとも１つのプロセッサに、前記認証ポータルに対してログインリクエストを送信させ、前記ログインリクエストがユーザに関連する信用確認情報を含む、請求項８に記載のコンピュータ可読ストレージ媒体。
12. 前記コンピュータ実行可能命令がさらに、前記少なくとも１つのプロセッサに、前記ログインリクエストに応答して、前記認証トークンおよび前記認証トークンに対する前記リファレンスのうちの一方を前記認証ポータルから受け取らせる、請求項１１に記載のコンピュータ可読ストレージ媒体。
13. 第一のユーザの仮想デスクトップへのアクセスを許可する方法であって、
    第一のユーザから複数のアクセス制限された仮想デスクトップのうちの第一のアクセス制限された仮想デスクトップにアクセスするためのリクエストを第一のコンピューティングデバイスにより受け取るステップと、
    認証トークンおよび前記認証トークンに対するリファレンスのうちの一方を前記第一のコンピューティングデバイスにより受け取るステップであって、前記認証トークンは、アクセス信用確認情報を認証ポータルに提示することにより第一のユーザが認証ポータルに成功裏にログインされたことを示す、一方を受け取るステップと、
    第一のユーザが第一のアクセス制限された仮想デスクトップにアクセスする許可を有していることを決定するステップと、
    第一のユーザ用のスマートカード信用確認情報を生成するステップであって、前記スマートカード信用確認情報は、第一のユーザ用の秘密鍵、デジタル証明書、および個人識別番号（ＰＩＮ）を含む、生成するステップと、
    前記スマートカード信用確認情報を仮想スマートカードに保存し、
    前記仮想スマートカードを前記第一のアクセス制限された仮想デスクトップに関連づけて、追加のアクセス信用確認情報の入力無しで、前記スマートカード信用確認情報を用いて第一のユーザが前記第一のアクセス制限された仮想デスクトップにログインできる
    ようにするステップと、
    第一のユーザから複数のアクセス制限されたネットワークリソースのうち、第一のアクセス制限されたネットワークリソースとは異なるアクセス許可を有する第二のアクセス制限されたネットワークリソースにアクセスするためのリクエストを受け取るステップと、
    前記認証トークンおよび前記認証トークンに対するリファレンスのうちの一方から第一のユーザが前記第二のアクセス制限されたネットワークリソースにアクセスする許可を有しているということを決定するステップと、
    前記仮想スマートカードを前記第二のアクセス制限されたネットワークリソースに関連付けて、第一のユーザが、追加のアクセス信用確認情報の入力無しで、前記スマートカード信用確認情報を用いて前記第二のアクセス制限されたネットワークリソースにアクセスできるようにするステップと
    を含み、
    前記複数のアクセス制限されたネットワークリソースおよび前記第一のコンピューティングデバイスは、ドメイン内に含まれる、方法。
14. 第一のユーザが第一のアクセス制限された仮想デスクトップにアクセスする許可を有していることを決定するステップは、ディレクトリサービスに対し、ユーザが前記仮想デスクトップへのアクセスの許可を有しているかどうかを確認するリクエストを送信することを含む、請求項１３に記載の方法。
15. 第二のコンピューティングデバイスにより、前記アクセス信用確認情報を前記認証ポータルに送信するステップをさらに含む、請求項１３に記載の方法。
16. 前記第二のコンピューティングデバイスにより、前記認証ポータルから前記認証トークンおよび前記認証トークンに対する前記リファレンスのうちの一方を受け取るステップをさらに含む、請求項１５に記載の方法。
17. 前記第二のコンピューティングデバイスから前記第一のコンピューティングデバイスに、
    前記認証トークンおよび前記認証トークンに対する前記リファレンスのうちの一方を送信するステップをさらに含む、請求項１６に記載の方法。
18. 前記仮想スマートカードを使ってユーザをディレクトリサービスにログインさせるステップをさらに含む、請求項１３に記載の方法。
19. 第一のユーザを前記ドメインにログインさせて、ユーザが前記スマートカード信用確認情報を使って前記ドメイン内の複数のアクセス制限された仮想デスクトップにログインできるようにするステップをさらに含む、請求項１８に記載の方法。