JP2017528811A - 多数のアイデンティティのアプリケーションに対するポリシーの適用 - Google Patents

Abstract

管理アカウントと関連するアプリケーションの挙動の制御。デバイスは１つ以上のアプリケーションを含む。アプリケーションのうち少なくとも１つは、０以上の管理ユーザアカウントを含む複数のユーザアカウントと共に使用されるように構成される。デバイスはクライアントコンポーネントを含むか、又は通信する。クライアントコンポーネントは、アプリケーションに対し有効なユーザアカウントを識別するように構成される。クライアントコンポーネントはさらに、管理システムからポリシーを受信するように構成され、ポリシーはユーザアカウントを基準としてアプリケーション制御を指定する。クライアントコンポーネントは、さらに、管理システムや有効なユーザアカウントのポリシーに基づいたアプリケーション構成を実施するように構成されている。【選択図】図１

Description

[0001] ＩＴ管理者は、長期間にわたりデバイスに管理ポリシーを対象とすることが可能であった。モバイル機器の出現により、産業上の解決策を通じて特定のアプリケーションを含むことを目的としたポリシーが拡大されてきた。例えば、様々なプロバイダによって利用可能な様々なモバイル用のアプリケーション管理策である。加えて、ユーザはますます同一デバイスを仕事、個人的な使用又は多数の会社用に使用している。例えば、コンサルタントや請負業者は、同じデバイスを使用して、異なる企業のリソースにアクセスすることができる。これは、多数のアカウント又はアイデンティティによる使用をサポートするアプリケーションによってもたらされる。例えば、メールアプリケーションは、１つ以上の異なる企業の受信箱と同様に個人の受信箱を含み得る。代替的実施例では、クラウドストレージのアプリケーションは、多数の異なる企業サービスに接続することが可能であり得る。

[0002] しかしながら、問題の１つは、ＩＴ管理ポリシーは、デバイス又はアプリケーションに包括的にしか適用されることができない。これは、多数のアイデンティティに使用されるアプリケーションは同一のポリシーにより制約されるという望ましくない副次的な影響がある。この制限により、ＩＴ管理者が特定の企業のアイデンティティを管理しようとするためだけであったとしても、すべてのアイデンティティに対し、アプリケーションから機能を削除又は除去できる。現在、ＩＴ管理者は、アプリケーション内ですべてのアイデンティティに対し同一のポリシーを有するか、同一のアプリケーションに多数のコピーを配布するか、又は特定のアプリケーションから（個人又はその他のアクセスを不可能にする一方で）企業のアクセスのみを可能にするかを余儀なくさせられ、どのバージョンが使用されるべきかユーザに混乱を生じる結果になる。

[0003] 本明細書において特許請求される主題は、いかなる不利な点をも解決し、又は前述したもののような環境においてのみ動作する実施形態に限定されるものではない。むしろ、この背景技術は、本明細書に記載されるいくつかの実施形態が実行され得る、１つの例示的な技術領域を例示するためにのみ提供されている。

[0004] 本明細書に示される一実施形態では、コンピューティング環境で実行することができる方法を含む。本方法は、管理アカウントと関連するアプリケーションの挙動を制御するための動作を含む。この方法は、アプリケーションの状態を識別することを含む。これはアプリケーションに対し有効な０以上の管理ユーザアカウントを含む、１つ以上のユーザアカウントのセットを識別することを含む。本方法はさらに、アプリケーションの状態に関するポリシーを調べることを含む。ポリシーは、管理ユーザアカウント用に定義された１つ以上の異なるポリシーを備える。それぞれの異なるポリシーは、１つ以上の管理ユーザアカウントに対してアプリケーション構成の制御を定義する。ポリシー及びアプリケーションの状態に基づいて、本方法は、ポリシーに対するアプリケーション構成を制御することを含み、これはポリシーに対して有効なユーザアカウントを含む。この方法は、アプリケーションで有効な１つ以上のユーザアカウントのセットを変更することを含む、変更されたアプリケーションの状態を識別することを含む。本方法はさらに、ポリシー及び変更されたアプリケーションの状態に基づいて、アプリケーション構成の制御を変更することを含む。

[0005] 別の実施形態は、管理アカウントに関連するアプリケーションの挙動を制御するように構成されたコンピューティングデバイスを含む。デバイスは１つ以上のアプリケーションを含む。アプリケーションのうち少なくとも１つは、０以上の管理ユーザアカウントを含む複数のユーザアカウントと共に使用されるように構成される。デバイスはクライアントコンポーネントを含む。クライアントコンポーネントは、アプリケーションに対し有効なユーザアカウントを識別するように構成される。クライアントコンポーネントはさらに、管理システムからポリシーを受信するように構成され、ポリシーはユーザアカウントに基づいてアプリケーションの制御を特定する。クライアントコンポーネントは、さらに、管理システムや有効なユーザアカウントのポリシーに基づいたアプリケーション構成を行うように構成されている。

[0006] 本概要は、発明を実施するための形態において以下にさらに記載された、簡略化した形態における概念の選択を導入するために提供される。本概要は、請求する主題の鍵となる特徴又は本質的な特徴を識別することを意図するものではなく、請求する主題の範囲を決定する上での手助けとして、単独で使用されることを意図していない。

[0007] 追加の特徴及び利点は、以下の説明に記載され、記載から一部は明らかになり、又は本明細書の教示を実行することによって知り得る。本発明の特徴と利点は添付請求項に具体的に記載されている要素及び組み合わせによって実現され、得られ得る。本発明の特徴は、以下の説明及び添付の請求項によりさらに明らかになるか、又は本明細書において以下に記述する発明を実行することにより取得され得る。

[0008] 前述の、及びその他の利点並びに特徴が得られることが可能な手法を記載するために、上記で簡潔に述べた主題のより具体的な記載が、添付の図面に示された特定の実施形態への参照によって示されるであろう。これらの図面は典型的な実施形態のみを示し、したがって範囲を制限すると考えられないという理解のもと、実施形態は、添付図面の使用を通してさらに具体的かつ詳細に記載され説明されるであろう。

[0009]アプリケーション構成が有効なユーザアカウントに基づいて制御される環境を示す。 [0010]管理アカウントに関連するアプリケーションの挙動を制御する方法を示す。

[0011] 本明細書の実施形態は、ＩＴ管理者が、ポリシーと、クライアント及び／又は対象のアプリケーションにおける管理アイデンティティのためだけにポリシーを有効にし、行うアプリケーションコンポーネントとを有する特定のアイデンティティを対象にするのを可能にする。このように、ポリシーは管理アイデンティティに適用され、一方、非管理アイデンティティにはポリシーを適用されない。さらに、異なるポリシーは異なる管理アイデンティティに適用されることができる。このように、機能を制限するポリシーは、その他のアイデンティティへの管理性能も保持しつつ、いくつかのアイデンティティに対する機能を保持するために、異なるアイデンティティに必要とされないときには適用されない。したがって、例えば、同一のアプリケーション内では、ユーザは、管理企業のアイデンティティを（雇用されている組織で使用する目的で）使用する場合には、データの切り取り及び貼り付けを制限される可能性があるが、個人用のアイデンティティを（自分の個人的使用のために）使用する場合には制限されないであろう。

[0012] ここで図１を参照すると、一実施例が示されている。図１は、デバイス１０２を示す。デバイス１０２は、携帯電話、タブレット又はその他の適切なコンピューティングデバイスであり得る。デバイス１０２は、通常、ユーザ１０４が所有する。

[0013] デバイス１０２は、複数のアプリケーション１０６を有し得る。各アプリケーションは複数のアカウント１０８を提供し得る。したがって、例えば、アプリケーション１０６−１は、個人用アカウントを有する電子メールのアプリケーション及び１つ以上の管理企業（又はその他の組織）のアカウントであり得る。デバイス１０２が企業アカウントにアクセスするために使用されると、これらのアカウントに関連する企業（又はその他の組織）は、これらのアカウントが使用されている間、デバイス１０２のアプリケーションに特定の制限をかけることを望み得る。例えば、企業は、企業データが閲覧されるときに、アプリケーション１０６−１において切り取り／コピー／貼り付け機能ができることを望まない場合がある。しかしながら、ユーザが個人アカウント１０８−１を使用する場合、切り取り／コピー／貼り付け機能が有効であるか企業は気にかけないか、又は制御するための基準を有さない可能性がある。しかしながら、ユーザ１０４は、このような機能が有効であることを望み得る。実施形態は異なるポリシーを異なるデバイスの同一ユーザにサポートし得る。例えば、株式トレーダのモバイル機器では、いくつかのアプリケーション機能がロックされ得るが、しかし、取引フロアの株式トレーダのラップトップあるいはタブレット上では、機能はロックされない。

[0014] ＩＴ管理者１１０は、１つ以上のアプリケーション用に、管理システム１１４で管理ポリシー１１２を作成する。ＩＴ管理者１１０は、アプリケーションの特定のユーザを対象とするポリシーを作成して、ポリシーをユーザのデバイスに配布させることができる。あるいは又はさらにＩＴ管理者は、ユーザの代わりに特定のドメインを対象とするポリシーを作成することができる。例えば、特定のサイトアドレスのすべてのユーザには、同一のポリシーが適用されるであろう。

[0015] 図１に示すように、管理システム１１４は、ポリシー１１２を適切なアプリケーション１０６−１に配布する。デバイス１０２のクライアントコンポーネント１１６はポリシー１１２を解釈し処理する。

[0016] ユーザ１０４がアプリケーション１０６−１を起動すると、ユーザは、明示的に（例えば、資格情報を入力し、アカウントを選択することによって等）、又は暗示的に（例えば、閲覧するコンテンツ、アクセスするファイル、対象とするアカウント等に基づいて）、ユーザ自身を識別する必要がある。アプリケーション１０６−１は、クライアントコンポーネント１１６に有効なアイデンティティを通知し、クライアントコンポーネント１１６はポリシーを実施する。

[0017] アプリケーションのユーザインタフェースが、ポリシーを適切に実施するために変更が必要な場合は、クライアントコンポーネント１１６はアプリケーション１０６−１に通知する。例えば、アプリケーションが任意の場所にコンテンツを保存するのをサポートする場合には、クライアントコンポーネントはアプリケーションに、ポリシー１１２がそのように特定するときには、特定のリストに保存先を限定するか、又は特定の場所をブロックする必要があることを通知する。一つの例示的な実施形態においては、２つの態様が考えられる。第１に、新しいポリシーに基づいてユーザインタフェースを変更する（一例として保存を制限する）ことである。第２に、ソフトウェア開発キット（ＳＤＫ：Ｓｏｆｔｗａｒｅ Ｄｅｖｅｌｏｐｍｅｎｔ Ｋｉｔ）から呼び出されたアプリケーション内でのコールバックである。実施形態はアプリケーションに、有効なユーザが有効なアカウントを変更するために、アプリケーションに迅速な変更が必要であると通知するであろう。アプリケーションが同時に１つの有効なアカウントのみサポートし、画面上に正しい情報（電子メール、共有ファイル等）を表示するために使用する場合の例を考える。異なるユーザに対応する入力データがある場合には、アプリケーションは又、アプリケーションビューを変更して新しいアカウントに対応する適切な情報を表示する。

[0018] 上述したように、ポリシー管理システムは、ポリシーを、デバイス上の１つ以上のアプリケーション用に特定のユーザのアイデンティティ又はアカウントを対象として配布できる。

[0019] ポリシー管理システムは、デバイス上の１つ以上のアプリケーションで特定のユーザのアイデンティティ又はアカウントに対し動作を呼び出す（例えば、データを消去する）機能を含み得る。

[0020] いくつかの実施形態では、ポリシー管理システムのクライアントコンポーネント１１６は、デバイス用にＳＤＫを使用して実装され得る。クライアントコンポーネント１１６は、ポリシーを受信し実施するための様々な特徴を含み得る。例えば、クライアントコンポーネント１１６は、ポリシー管理システム１１４と通信をするための機能を含み、アプリケーション内で１つ以上のアイデンティティ又はアカウントを対象とするポリシーを受信し得る。クライアントコンポーネント１１６は、さらに、アプリケーション（アプリケーション１０６−１のような）と通信するための機能を含み、アプリケーション内で１つ以上のアイデンティティ又はアカウントを対象とするポリシーを実施する。クライアントコンポーネント１１６は、アプリケーション内で１つ以上のアイデンティティ又はアカウントのポリシーの状態を管理システム１１４のリモートコンポーネントに報告する機能を含み得る。

[0021] クライアントコンポーネント１１６は、クライアントコンポーネント１１６が適切なポリシーを実施できるように、アプリケーション１０６−１がクライアントコンポーネント１１６にアプリケーション内の現在の有効なアイデンティティを通知することが可能な機能を含み得る。クライアントコンポーネント１１６は、クライアントコンポーネント１１６が適切なポリシーを実施できるように、アプリケーション１０６−１がクライアントコンポーネント１１６にデータ（例えばファイル又はデータバッファ）に対応するアイデンティティを通知する機能を含み得る。クライアントコンポーネント１１６は、クライアントコンポーネント１１６がアプリケーション１０６−１に、アプリケーション１０６−１の特定のユーザインタフェース要素（例えば、「名前をつけて保存」は切り取り／コピー／貼り付け機能等を対象とする）は、ポリシーに基づいて制限されねばならないと通知することを可能にする機能を含み得る。クライアントコンポーネント１１６は、クライアントコンポーネント１１６がアプリケーション１０６−１に、現在の有効なアカウント及び表示された任意の関連するデータは新しいアカウントに変更されなければならないと通知することを可能にする機能を含み得る。これは、例えば、定義されたスキーマ、プログラムの方法又はその他の適切な手段を使用して通信され得る。

[0022] したがって、一例示的な実施形態は、以下の４つのコンポーネントを含み得る。

[0023] （１）管理アプリケーション（アプリケーション１０６−１等）−図示された実施例では、これは、ポリシー管理システム（ポリシー管理システム１１４等）によって管理され、１つ以上のアイデンティティのためにポリシー（ポリシー１１２等）を受信するアプリケーションである。

[0024] （２）ポリシー管理システムのクライアント／アプリケーションコンポーネント（クライアントコンポーネント１１６等）−図示された実施例では、これはサービスとアプリケーションとの間の通信を促進して自動的にポリシーを実施するＳＤＫである。一般的に、このＳＤＫは、アプリケーションによって直接実装され得る。いくつかの実施形態では、このＳＤＫは、ワシントン州レドモンドのマイクロソフト社から入手可能なＩｎｔｕｎｅ又はＣｏｎｆｉｇｕｒａｔｉｏｎ Ｍａｎａｇｅｒの特徴を使用して提供され得る。別の実施例においては、サービスはＳＤＫの概念に取って代わる。つまり、アプリケーションは定義されたプロトコルを介してサービスと通信することを意味する。

[0025] （３）ポリシー管理システム（ポリシー管理サービス１１４等）−図示された実施例では、このポリシー管理システムはＩＴの専門家がポリシーを作り、対象とし、管理アプリケーション内にアイデンティティ又はアカウントを配布するインタフェースである。いくつかの実施形態では、このポリシー管理システムは、ワシントン州レドモンドのマイクロソフト社から入手可能なＩｎｔｕｎｅ又はＣｏｎｆｉｇｕｒａｔｉｏｎ Ｍａｎａｇｅｒを使用して実装され得る。

[0026] （４）通信スキーマ−図示された実施例では、この通信スキーマは、アプリケーションがポリシーと有効なアイデンティティに基づいて実施しなければならないユーザインタフェースの制限を記載した、バージョン化したＸＭＬスキーマ（又はその他のスキーマ）である。

[0027] ここで以下の議論は、行われ得るいくつかの方法及び行われ得る方法の動作を示す。方法の動作は、特定の順序で起こるように、ある順序で記載され、又はフローチャートに示され得るが、特に記載しない限り特定の順序は必要とされず、又は動作が行われる前に完了された別の動作に依存するため必要とされない。

[0028] ここで図２を参照すると、方法２００が示されている。方法２００は、コンピューティング環境において実行され得る。本方法２００は、管理アカウントに関連するアプリケーションの挙動を制御するための動作を含む。アプリケーションの挙動は、例えば、データ使用に対して制御され得る。特に、あるアカウントでは、あるデータ利用の挙動が、下記により詳細に示されるように、制限され得る。

[0029] この方法２００は、アプリケーションの状態を識別することを含み、アプリケーションに対し有効な０以上の管理ユーザアカウントを含む、１つ以上のユーザアカウントのセットを識別することを含む（動作２０２）。例えば、図１に示されているように、アプリケーション１０６−１は、複数のユーザアカウント１０８と関連している。これは組織のリソースにアクセスするのに使用されるアカウントのような、いくつかの管理アカウントを含み得る。例えば、アプリケーション１０６−１は電子メールのアプリケーションであり得る。アカウントのうち１つは、ユーザが契約者である場合、雇用者又はユーザの顧客（又はユーザの雇用者）に企業の電子メールにアクセスするユーザ用のユーザアカウントであり得る。このアカウントは、企業はどのように企業データがアプリケーション１０６−１によって使用されるかを制御することを望み、又は企業がデバイス１０２もしくはアプリケーション１０６−１が特定の予防（パスワード、データ暗号化又はその他の予防）を実装していることを確実にすることを望み得るという点において管理アカウントであり得る。アカウント１０８のその他のアカウントは、個人アカウント又は管理されないその他のアカウントであり得る。したがって、実施形態はどのアカウントが有効かを識別することを欲し得る。一実施例では、どのアカウントが有効かの判断は、対象とするアカウントを決定することによって行われ得る。例えば、ユーザは、フォルダ、ビュー又は特定のユーザアカウントのデータに焦点を当てるその他のインタフェース要素を選択することが可能であり得る。これは、例えば、データを閲覧、編集可能にし、又はその他の何らかの方法でその他のアカウント用のアプリケーションが使用するか、又は使用可能なその他のデータと本データを区別することを含み得る。あるいは、ユーザは手動でアカウントをアカウント選択ダイアログボックスから選択可能であり得る。アカウントを識別するその他の方法は、追加的に又は代替的に使用され得る。

[0030] 本方法２００はさらに、アプリケーションの状態に関するポリシーを調べることを含む（動作２０４）。ポリシーは、管理ユーザアカウント用に定義された１つ以上の異なるポリシーを含む。それぞれの異なるポリシーは、１つ以上の管理ユーザアカウントに対してアプリケーション構成の制御を定義する。したがって、例えば、図１では、ポリシー１１２を示している。これらのポリシーは、データがどのように使用されることができるか及び／又は様々なユーザアカウントに対してデータ使用にどのような制限が加えられるべきかを定義し得る。したがって、例えば、アプリケーション構成の制御は、データ使用に対する制御を含み得る。例えば、ポリシーは、切り取り／コピー／貼り付け機能が特定のユーザアカウントに対して無効となるべきであると指定し得る。追加的に又は代替的に、ポリシーはデータがバックアップされることができないように指定し得る。アプリケーション構成の制御は、追加的に又は代替的に、データ共有に関する制御を含み得る。例えば、アプリケーションは、アプリケーションの外部データをその他のアプリケーションと共有可能にすべきではないとポリシーにより指定し得る。アプリケーション構成の制御は、追加的に又は代替的に、暗号化に関する制御を含み得る。例えば、ポリシーは、特定のユーザアカウントのデータは暗号化されるべきであると指定し得る。アプリケーション構成の制御は、追加的又は代替的にアカウントの起動時間のチェックに関する制御を含み得る（アカウントがアプリケーションの起動又はアカウントの変更のためアプリケーション内で有効になるときを意味する）。例えば、ポリシーは、特定のユーザアカウントに対してピン又はパスワードを入力する必要があるか、又はデバイスが特定のポリシー又はヒース制約を遵守する必要があることを示し得る。アプリケーション構成の制御は、追加的に又は代替的に、動作環境に関する制御を含み得る。例えば、ポリシーは、あるアプリケーションが特定のユーザアカウントを有する１つ以上のアプリケーションを使用する際には、デバイス上で動作すべきではないように指定し得る。すなわち、あるアプリケーションは同時に動作すべきではない。データアクセスの別の変形においては、特定のＵＲＬへのアクセスは、管理されたブラウザ上の特有のアカウントのホワイトリスト／ブラックリストに基づいて許可されるか、ブロックされる可能性がある。

[0031] アプリケーション構成の制御は、管理権限によって定義されたグラフィカルユーザインタフェースの性能に関する制御を含み得る。例えば、制御は、ユーザアカウントがアプリケーションに使用されているときに、特定のブランド化性能が有効になるように指定し得る。ある色のパレット、テキスト、画像、ロゴ又はその他のグラフィカルユーザインタフェースの性能が指定され得る。

[0032] 方法２００はさらに、ポリシー及びアプリケーションの状態に基づいて、ポリシーに対して有効なユーザアカウントを含む、ポリシーに対するデータのアプリケーションの使用を制御することを含む（動作２０６）。例えば、クライアントコンポーネントは、データ使用、データの共有、暗号化、起動時間のチェック、動作環境等の特定された制御を実施し得る。いくつかの実施形態では、データのアプリケーションの使用を制御することは、アプリケーションのユーザインタフェースを変更することを含み得る。例えば、アプリケーションは、あるユーザアカウントがアプリケーションで有効である場合に、ユーザインタフェースを変更するように指示され、「名前をつけて保存」又は切り取り／コピー／貼り付け機能を無効にし得る。

[0033] 方法２００は、データのアプリケーションの使用を制御することは、データの消去、データの更新、有効なアカウントの変更等を含み得る場合に実行され得る。

[0034]方法２００はさらに、アプリケーションに有効な１つ以上のユーザアカウントのセットを変更することを含む、変更されたアプリケーションの状態を識別することを含む（動作２０８）。例えば、異なるユーザアカウントのデータは、アプリケーションを対象としており、又は異なるアカウントがユーザによって選択され得る。

[0035] 方法２００はさらに、ポリシー及び変更されたアプリケーションの状態に基づいて、アプリケーション構成の制御を変更することを含む（動作２１０）。例えば、対象になる個人のユーザアカウント（又は制約が少ない組織アカウント）のため、データのアプリケーションの使用を制御すると、アプリケーションがデータの追加機能を行うのを可能にするように緩和され得る。

[0036] 方法２００は、アプリケーションの状態がグローバルなアプリケーションの状態である場合に実行され得る。これは又、キャッシュの状態をも含み得る。あるいは、方法２００は、アプリケーションの状態がスレッドの状態である場合に行われ得る。あるいは、方法２００は、アプリケーションの状態がプロセス状態である場合に行われ得る。３つの状態は、コードがアプリケーション内で実行できる異なるコンテキストと関連している。これらはアプリケーションが０の、１つの又は多くのプロセスを有し、プロセスが１つ又は多くのスレッドを有することができるように階層になっている。
１．グローバルアプリケーションの状態は、アプリケーション全体に適用される状態である。これは、ユーザがアプリケーションを使用し、特定のスレッド又はプロセス状態がない場合には、実施形態は、アプリケーション内の有効なアカウントにグローバル状態を使用することを意味する。例えば、例示的なアプリケーションが動作していなく、単にコンピュータにインストールされている場合には、関連するいくつかの状態がある（この状態は「有効ユーザなし」又は「権限なし」であり得る）。
２．プロセス状態は、アプリケーションの動作中インスタンス内の適用可能な状態である。これは、ユーザがアプリケーションを使用し、特定のスレッド状態がない場合には、実施形態は、有効なアカウントのプロセス状態を使用することを意味する。以前の実施例を続けるために、インストールされたアプリケーションを起動した場合、ここで、ユーザアカウントで動作し、これはいくつかの状態（例えば、その他の誰もできない編集が可能ないくつかの文書があり得る）が付随する。
３．スレッド状態は、アプリケーションにおいて動作中のプロセス内で適用可能な状態である。これは、ユーザがアプリケーションを使用している場合、一般に、プロセス状態を使用するが、異なる状態でスレッドを動作する結果になり得ることを意味する。例えば、同僚がインストールされたアプリケーションを実行し、非常に大きな文書のアップロードを開始し、文書を閉じ、次に、アプリケーションの動作を継続すると、依然としてバックグラウンドで同僚の大きな文書のアップロードを行うスレッドが存在し得る。一方、アプリケーションでユーザの直接的な使用をサポートする別のスレッドがあり得る。

[0037] 方法２００は、１つ以上のユーザアカウントのセットの識別がアプリケーションによって行われ、管理システムのクライアントコンポーネントに伝達される場合に実行され得る。あるいは、方法２００は、１つ以上のユーザアカウントのセットの識別がクライアント管理エンティティによって行われる場合に実行され得る。例えば、これはＳＤＫ、管理エージェント、プラットフォーム等によって行われ得る。

[0038] 方法２００は、１つ以上のアカウントのセットの識別がデータセットの特徴を取得することによって行われる場合に実行され得る。例えば、実施形態は、アプリケーションにアクセスしている間、どのユーザアカウントが使用されるかを識別するためにアプリケーションによって操作されるファイル又はファイルのセグメント、メモリセグメント等を調査し得る。これはアカウント関係を識別するアプリケーションによって行われ得る。あるいは、これは、データセットに対応するアカウントを決定するクライアント管理エンティティ（クライアントコンポーネント１１６等）によって行われ得る。

[0039] 方法２００の実施形態はさらに、アプリケーション及びポリシーのアイデンティティ遵守を報告することを含み得る。例えば、このような遵守は管理システム１１４に報告され得る。これは、データをデバイス１０２から消去させる管理システム１１４を促進することができ、監査のためにＩＴ管理者又はデバイス１０２上で行われるその他の管理機能に通知する。

[0040] さらに、本方法は、１つ以上のプロセッサ及びコンピュータメモリのようなコンピュータ可読媒体を含むコンピュータシステムによって実行され得る。特に、コンピュータメモリは、１つ以上のプロセッサによって実行されると、実施形態に引用される動作のような、様々な機能が行われるコンピュータで実行可能な命令を記憶し得る。

[0041] 本発明の実施形態は、下記により詳細に記載されるようなコンピュータハードウェアを含む専用又は汎用コンピュータを備えるか利用し得る。本発明の範囲内の実施形態は又、コンピュータで実行可能な命令及び／又はデータ構造を保持又は記憶するための物理的及びその他のコンピュータ可読媒体を含む。このようなコンピュータ可読媒体は、汎用もしくは専用コンピュータシステムによってアクセス可能な任意の入手可能な媒体であり得る。コンピュータで実行可能な命令を記憶するコンピュータ可読媒体は、物理的記憶媒体である。コンピュータで実行可能な命令を保持するコンピュータ可読媒体は、伝送媒体である。したがって、実施例として、限定するものではないが、本発明の実施形態は、物理的コンピュータ可読記憶媒体と、伝送コンピュータ可読媒体の、少なくとも２つの明らかに異なる種類のコンピュータ可読媒体を含むことができる。

[0042] 物理的コンピュータ可読記憶媒体は、ＲＡＭ、ＲＯＭ、ＥＥＰＲＯＭ、ＣＤ−ＲＯＭ又はその他の光ディスクストレージ（ＣＤ、ＤＶＤ等）、磁気ディスクストレージ又はその他の磁気ストレージデバイス、ソリッドステートストレージデバイス等を含み、コンピュータで実行可能な命令又はデータ構造の形態で所望のプログラムコード手段を記憶するために使用されることができ、汎用又は専用コンピュータによってアクセスされることができる。

[0043] 「ネットワーク」は、コンピュータシステム及び／又はモジュール及び／又はその他の電子デバイス間の電子データの移送を可能にする、１つ以上のデータリンクとして定義されている。情報が、ネットワーク上もしくは別の通信接続（ハードワイヤード、ワイヤレス又はハードワイヤードとワイヤレスの組み合わせの何れか）でコンピュータに転送又は提供されると、コンピュータは伝送媒体として、接続を適切に閲覧する。伝送媒体はネットワーク及び／又はデータリンクを含むことができる。コンピュータで実行可能な命令又はデータ構造の形態で所望のプログラムコード手段を保持するために使用されることができ、汎用又は専用コンピュータによってアクセスされることができる。上記の組み合わせも、コンピュータ可読媒体の範囲内に含まれる。

[0044] さらに、様々なコンピュータシステムのコンポーネントに到達すると、コンピュータで実行可能な命令又はデータ構造の形態のプログラムコード手段は、伝送コンピュータ可読媒体から物理的コンピュータ可読ストレージ媒体（又は逆も同様）に自動的に転送されることができる。例えば、ネットワーク又はデータリンクを介して受信されたコンピュータで実行可能な命令又はデータ構造は、ネットワークインターフェイスモジュール（例えば、「ＮＩＣ」）内のＲＡＭにバッファされることができ、そして最終的に、コンピュータシステムＲＡＭ及び／又はコンピュータシステムで揮発性の低いコンピュータ可読の物理的ストレージ媒体に転送される。したがって、コンピュータ可読の物理的ストレージ媒体は、伝送媒体も（又は主に）利用するコンピュータシステムコンポーネントに含まれることができる。

[0045] コンピュータで実行可能な命令には、例えば、汎用コンピュータ、専用コンピュータ又は専用の処理デバイスに一定の機能又は一連の機能を行わせる命令及びデータが含まれる。コンピュータで実行可能な命令は、例えば、アセンブリ言語又はさらにはソースコードのようなバイナリ形式の命令、中間形式の命令であり得る。主題は構造上の特徴及び／又は方法論的動作に特有の言語で記載されているが、添付の請求項に定義された主題は、必ずしも記載された特徴又は前述の動作に限定されないことを理解されたい。むしろ、記載された特徴及び動作は、請求項を実装する例示的な形態として開示されている。

[0046] 当業者は、本発明は、パーソナルコンピュータ、デスクトップコンピュータ、ラップトップコンピュータ、メッセージプロセッサ、携帯用デバイス、マルチプロセッサシステム、マイクロプロセッサベース又はプログラム可能なコンシューマエレクトロニクス、ネットワークＰＣ、ミニコンピュータ、メインフレームコンピュータ、携帯電話、ＰＤＡ、ポケットベル、ルータ、スイッチ等を含む、多くの種類のコンピュータシステム構成を備えるネットワークコンピューティング環境において実行され得ることを理解するであろう。本発明は又、ネットワークを介して（ハードワイヤードデータリンク、ワイヤレスデータリンク又はハードワイヤードとワイヤレスデータリンクとの組み合わせの何れかによって）リンクされたローカル及びリモートコンピュータシステムの両方がタスクを行う分散システム環境において実行され得る。分散システム環境においては、プログラムモジュールはローカル及びリモートの両方のメモリストレージデバイスに配置され得る。

[0047] あるいは又はさらに、本明細書で記載された機能は、少なくとも部分的に１つ以上のハードウェアロジックコンポーネントによって行うことができる。例えば、これらに限定されないが、使用可能なハードウェアロジックコンポーネントの例示的な種類は、フィールドプログラマブルゲートアレイ（ＦＰＧＡ）、特定用途向け集積回路（ＡＳＩＣ）、プログラム特定標準製品（ＡＳＳＰ）、システムオンチップ型システム（ＳＯＣ）、コンプレックスプログラマブルロジックデバイス（ＣＰＬＤ）等を含む。

[0048] 本発明は、その精神又は特徴から逸脱することなくその他の特定の形態で具現化され得る。記載された実施形態は、あらゆる点において、単に例示的であり、限定されないものと認定される。したがって、本発明の範囲は、上述の説明よりもむしろ、添付の特許請求の範囲によって示されている。特許請求の範囲の意味及び特許請求の範囲に相当するすべての変更は、その範囲内であると理解されたい。

Claims (10)

1. 管理アカウントに関連するアプリケーションの挙動を制御するコンピュータに実装される方法であって、
   前記コンピュータに実装される方法は、前記方法のためにコンピュータで実行可能な命令を実行する１つ以上のプロセッサによって行われ、
   前記コンピュータに実装される方法は、
   前記アプリケーションに有効な０以上の管理ユーザアカウントを含む１つ以上のユーザアカウントのセットを識別することを含む、アプリケーションの状態を識別することと、
   前記アプリケーションの状態に関するポリシーを調べることであって、前記ポリシーは、管理ユーザアカウント用に定義された１つ以上の異なるポリシーを備え、それぞれの異なるポリシーは、１つ以上の管理ユーザアカウントに対してアプリケーション構成の制御を定義することと、
   前記ポリシー及び前記アプリケーションの状態に基づいて、前記ポリシーに対して有効なユーザアカウントを含む、前記ポリシーに対するアプリケーション構成を制御することと、
   前記アプリケーションに有効な１つ以上のユーザアカウントの前記セットの変更を含む、変更されたアプリケーションの状態を識別することと、
   ポリシー及び前記変更されたアプリケーションの状態に基づいて、前記アプリケーション構成の制御を変更することと、
   を含む、方法。
2. アプリケーション状態は、グローバルアプリケーションの状態である、請求項１に記載のコンピュータに実装される方法。
3. アプリケーション状態は、スレッド状態である、請求項１に記載のコンピュータに実装される方法。
4. アプリケーション状態は、プロセス状態である、請求項１に記載のコンピュータに実装される方法。
5. １つ以上のユーザアカウントのセットの識別が前記アプリケーションによって行われ、管理システムのクライアントコンポーネントに伝達される、請求項１に記載のコンピュータに実装される方法。
6. １つ以上のユーザアカウントのセットの識別がクライアント管理エンティティによって行われる、請求項１に記載のコンピュータに実装される方法。
7. 前記アプリケーション構成の制御が、データ使用、データ共有、暗号化、アカウントの起動時間のチェック又は動作環境のうち１つ以上を制御することを含む、請求項１に記載のコンピュータに実装される方法。
8. 前記アプリケーション構成の制御は、管理権限によって定義されたグラフィカルユーザインタフェースの性能を含む、請求項１に記載のコンピュータに実装される方法。
9. １つ以上のアカウントのセットの識別がデータセットの特徴を取得することによって行われる、請求項１に記載のコンピュータに実装される方法。
10. １つ以上のプロセッサと、
    前記１つ以上のプロセッサによって実行されると、前記１つ以上のプロセッサに、管理アカウントに関連するアプリケーションの挙動を制御するコンピュータに実装される方法を行わせるコンピュータで実行可能な命令を含む１つ以上のコンピュータ可読媒体と、
    を備え、
    前記コンピュータに実装される方法は、
    前記アプリケーションに有効な０以上の管理ユーザアカウントを含む１つ以上のユーザアカウントのセットを識別することを含む、アプリケーションの状態を識別することと、
    前記アプリケーションの状態に関するポリシーを調べることであって、前記ポリシーは、管理ユーザアカウント用に定義された１つ以上の異なるポリシーを備え、それぞれの異なるポリシーは、１つ以上の管理ユーザアカウントに対してアプリケーション構成の制御を定義することと、
    前記ポリシー及び前記アプリケーションの状態に基づいて、前記ポリシーに対して有効なユーザアカウントを含む、前記ポリシーに対するアプリケーション構成を制御することと、
    前記アプリケーションに有効な１つ以上のユーザアカウントの前記セットの変更を含む、変更されたアプリケーションの状態を識別することと、
    ポリシー及び前記変更されたアプリケーションの状態に基づいて、前記アプリケーション構成の制御を変更することと、を含む、
    コンピューティングシステム。
    

Images