JP2018092600A - 共通認証管理サービス - Google Patents

Abstract

【課題】企業の各々の個人の間のアクセス権限を、サービス・プロバイダにより提供された１つまたは複数のサービスで確立すること
【解決手段】少なくとも１つの企業内の個人に対するアクセスを、共通認証管理（ＣＡＭ）サービスの利用を通じて複数のサービス・プロバイダにより提供された１つまたは複数のサービスと確立するためのコンピューティング環境における改善された方法が本明細書で説明される。前記ＣＡＭサービスを通じて、企業管理者は、或る企業の１つまたは複数の個人をグループ化し、個人の各グループに対する前記複数のサービス・プロバイダ内の１つまたは複数のサービスへのアクセス権限を、サービス・プロバイダ管理者により定義されるセキュリティ・データに基づいて識別し、各企業の前記複数のグループの前記サブセットからの個人を、前記複数のサービス・プロバイダにより提供された１つまたは複数のサービスへのアクセス権限に関連付けることができる。
【選択図】図１

Description

本発明は一般に、しかし排他的にではなく、サービス・プロバイダにより提供された利用可能サービスを複数の企業に雇われている個人に移譲するように構成されたコンピューティング環境に関し、より詳細にはこれらの企業の各々の個人の間のアクセス権限を、サービス・プロバイダにより提供された１つまたは複数のサービスで確立することに関する。

複数のサービス・プロバイダ内のサービスに個人がアクセスするための管理認証（例えば、アクセス権限）を管理することは歴史的に困難な課題である。換言すれば、各企業での個人およびそれらのそれぞれの役割の追跡と、各個人が特定のサービスに対してどのアクセスのレベルを有すべきかは、管理者が管理するには厄介である。

本要約は、概念の選択を、詳細な説明でさらに以下で説明される簡単な形で導入するために提供される。本要約は、当該クレームした主題の主要な特徴または本質的な特徴を特定しようとするものではなく、当該クレームした主題の当該範囲を限定するために使用されるものでもない。

以下で説明する例示的な例はコンピューティング環境に対する改善された方法を少なくとも１つの企業に提供する。各企業は、複数のサービス・プロバイダ内の１つまたは複数のサービスへのアクセスを取得することを求めるグループ化された個人を含む。一般に、或る企業の管理者は、当該企業と関連してサービス・プロバイダにより提供されるサービスへの個々のアクセス権限を管理する権限を有する。しかし、管理者はしばしば、各個人に対するアクセス権限を割り当てるためのサービス・プロバイダにより提供された管理ツールに精通していない。幾つかのインスタンスにおいて、管理者にはしばしば、複数のサービス・プロバイダでの個人に対するアクセス権限を関連付ける作業が与えられる。これに基づいて、管理者は、当該役割を理解し個人のポリシにアクセスすることを要求されるのみならず、それら自身の企業と複数のサービス・プロバイダの両方においてどのように管理ツールを使用するかも理解することを要求される。

したがって、１企業内の個人のグループの間のアクセス権限を、複数のサービス・プロバイダにより提供された１つまたは複数のサービスで確立するためのコンピューティング環境に対する改善された方法は有利であろう。即ち、サービス・プロバイダ管理者が企業管理者と対話しアクセス権限を個人に関連付けるタスクを企業管理者に移譲できるように、ウェブ・インタフェースで構成された共通認証管理（ＣＡＭ）サービスを改善されたコンピューティング環境が含む。当該複数のサービス・プロバイダ内の１つまたは複数のサービスへのアクセス権限を識別するセキュリティ・データがそのように移譲されると、企業管理者は、ＣＡＭサービスを介して、当該企業からの個人のグループのサブセットを、当該複数のサービス・プロバイダにより提供された特定のサービスへのアクセス権限に関連付けることができる。ＣＡＭサービスは、したがって、異なる個人に対する複数のアクセス権限の管理に関連付けられた複雑性および非効率性を大幅に削減する対話的サービスを企業およびサービス・プロバイダ管理者に提供する。

本開示の例示的な例では、企業内の個人と複数のサービス・プロバイダ内の１つまたは複数のサービスとの間のアクセスを確立するための方法、システム、およびコンピュータ可読媒体が提供される。１つの特定の実装に従って方法が本明細書で開示される。進歩的な方法の１例は、企業の１つまたは複数の個人を含むように複数のグループを生成するステップと、セキュリティ・データを複数のサービス・プロバイダから受信するステップとを含む。当該セキュリティ・データは、当該複数のサービス・プロバイダの各々により提供される１つまたは複数のサービスへのアクセスを識別する。さらに、進歩的な方法は、当該複数のサービス・プロバイダの各々により提供される当該１つまたは複数のサービスにアクセスするために利用可能な当該セキュリティ・データのサブセットを決定するステップと、当該グループに関連付けられたセキュリティ・データの当該サブセットに基づいて、当該複数のグループの当該サブセット内の個人を、当該複数のサービス・プロバイダの各々により提供される当該１つまたは複数のサービスにアクセスするための能力に関連付けるステップとを含む。

別の特定の実装によれば、システムは少なくともプロセッサおよびメモリを含む。当該メモリは、当該少なくとも１つのプロセスにより実行されると、当該システムに、企業の１つまたは複数の個人を含むように複数のグループを生成し、セキュリティ・データを複数のサービス・プロバイダから受信させる当該少なくとも１つのプロセッサおよびコンピュータ可読命令に通信可能に接続される。当該セキュリティ・データは、当該複数のサービス・プロバイダの各々により提供される１つまたは複数のサービスへのアクセスを識別する。さらに、当該システムはさらに、当該複数のサービス・プロバイダの各々により提供される当該１つまたは複数のサービスにアクセスするために利用可能な当該セキュリティ・データのサブセットを決定し、セキュリティ・データの当該サブセットに基づいて、当該複数のグループの当該サブセット内の個人を当該複数のサービス・プロバイダの各々により提供される当該１つまたは複数のサービスにアクセスするための能力に関連付けるように構成される。

さらに別の特定の実装によれば、コンピュータ可読媒体は、コンピュータで実行されると、当該コンピュータに、企業の１つまたは複数の個人を含むように複数のグループを生成するステップと、セキュリティ・データを複数のサービス・プロバイダから受信するステップとを含む動作を実施させるコンピュータ実行可能命令を有する。当該セキュリティ・データは、当該複数のサービス・プロバイダの各々により提供される１つまたは複数のサービスへのアクセスを識別する。当該コンピュータ可読媒体はまた、コンピュータで実行されると、さらに当該コンピュータに、当該複数のサービス・プロバイダの各々により提供される当該１つまたは複数のサービスにアクセスするために利用可能な当該セキュリティ・データのサブセットを決定するステップと、セキュリティ・データの当該サブセットに基づいて、当該複数のグループの当該サブセット内の個人を当該複数のサービス・プロバイダの各々により提供される当該１つまたは複数のサービスにアクセスするための能力に関連付けるステップとを含む動作を実施させる命令を含む。

以上の要約および以下の詳細な説明は、添付図面と関連して読んだときより良く理解される。本開示を示すために、本開示の様々な態様が示される。しかし、本開示は論じられた当該特定の態様に限定されない。以下の図面が含まれる。

共通認証管理（ＣＡＭ）サービスを介して複数のサービス・プロバイダと接続する少なくとも１つの企業のコンピューティング環境を示す図である。 個人のグループを企業から複数のサービス・プロバイダ内の１つまたは複数のサービスに関連付ける図である。 個人の特定のグループにアクセス可能な１つまたは複数のサービスの例を示す図である。 ＣＡＭサービスから取得されセキュリティ・アサーション・マークアップ・ランゲージ（ＳＡＭＬ）内でサービス・プロバイダに運搬されるセキュリティ・データにより決定されるように、個人が認証サービスで認証しついで１つまたは複数のサービスにサービス・プロバイダからアクセスする例示的な方法を示す図である。 サービス・プロバイダにより発行された要求に応答してＣＡＭサービスから取得されたセキュリティ・データにより決定されるように、個人がサービス・プロバイダで認証しついで１つまたは複数のサービスにサービス・プロバイダからアクセスする例示的な方法を示す図である。 サービス・プロバイダにより発行された要求に応答してＣＡＭサービスから取得されたセキュリティ・データにより決定されるように、個人が認証サービスで認証しついで１つまたは複数のサービスにサービス・プロバイダからアクセスする例示的な方法を示す図である。 サービス・プロバイダのデータ・ストア内のセキュリティ・データにより決定されるように、ＣＡＭサービスを介してサービス・プロバイダに定期的に同期され、その後、サービス・プロバイダで認証するユーザが１つまたは複数のサービスにサービス・プロバイダからアクセスできるセキュリティ・データを示す図である。 サービス・プロバイダのデータ・ストア内のセキュリティ・データにより決定されるように、ＣＡＭサービスを介してサービス・プロバイダに定期的に同期され、その後、ＳＡＭＬアサーションで認証するユーザが１つまたは複数のサービスにサービス・プロバイダからアクセスできる、セキュリティ・データを示す図である。 ＣＡＭサービスを介して、少なくとも１つの企業内のグループ化された個人に対するアクセスを複数のサービス・プロバイダ内の１つまたは複数のサービスで確立する例示的な方法の流れ図である。 企業およびサービス・プロバイダの間のアクセスを確立するように構成されたコンピューティング・デバイスを有するシステムの例示的な略図である。

上で簡単に説明したように、本発明の例は、コンピューティング環境に関し、特に少なくとも１つの企業内の個人のグループの間のアクセスを、複数のサービス・プロバイダにより提供された１つまたは複数のサービスで確立するためのコンピューティング環境における改善された方法に関する。本明細書で説明する様々な例では、共通認証管理（ＣＡＭ）サービスが提供される。ＣＡＭサービスは、或るサービス・プロバイダの管理者が、サービス・プロバイダでの１つまたは複数のサービスへのアクセス権限を識別するセキュリティ・データを定義することを可能とする。ＣＡＭサービスはまた、或るサービス・プロバイダの管理者が、当該セキュリティ・データのサブセットを少なくとも１つの企業に移譲することを可能とする。セキュリティ・データが企業に移譲されると、当該企業の管理者は、当該セキュリティ・データを当該企業のグループのサブセットに関連付けてもよい。当該企業のグループのサブセットはアクセス権限を確立し、その結果、企業からの個人の各グループは当該１つまたは複数の利用可能サービスに当該複数のサービス・プロバイダからアクセスすることができる。ＣＡＭサービスにより当該企業の管理者は、個人の特定のグループから個人を割り当てる（割当て解除する）ことができる。

図１を参照すると、少なくとも１つの企業１０１乃至１０３および複数のサービス・プロバイダ１０９乃至１１２でコンピューティング環境１００が示されている。さらに、図１は、企業１０１乃至１０３および複数のサービス・プロバイダ１０９乃至１１２から情報を受信するように構成された共通認証管理（ＣＡＭ）サービス１５０を示す。ＣＡＭサービス１５０が、コンピューティング環境１００が実施するためのタスクと管理者またはユーザが対話し指示できるようにするウェブ・インタフェースで構成される。

図２乃至７で以下でより詳細に説明するように、各企業１０１乃至１０３の管理者は、ＣＡＭサービス１５０を介して、同一の企業内から特定の個人をグループ化することができる。即ち、各企業の管理者は、それらの判断により、それら自身の企業に意味があるかまたは重要である特定の企業グループを決定することができる。さらに、ＣＡＭサービス１５０はさらに、セキュリティ・データを複数のサービス・プロバイダ１０９乃至１１２から受信するように構成される。ＣＡＭサービス１５０は、当該セキュリティ・データのどのサブセットがどの企業によるアクセスに利用可能であるかを示す情報を受信するように構成される。換言すれば、サービス・プロバイダ１０９乃至１１２の管理者は、セキュリティ・データを各企業の個人に関連付けるタスクを企業１０１乃至１０３の管理者に移譲してもよい。

この情報に基づいて、企業の管理者はついでセキュリティ・データを当該企業の個人のグループのサブセットに関連付けることができ、それにより当該グループ内の個人は、サービス・プロバイダ１０９乃至１１２により提供された１つまたは複数のサービスにアクセスすることができる。換言すれば、もともと企業１０１乃至１０３の管理者により生成された当該複数のグループのサブセット内の個人は、複数のサービス・プロバイダ１０９乃至１１２の各々により提供された特定のサービスにアクセスする能力で構成される。

幾つかのインスタンスでは、ＣＡＭサービス１５０は、当該企業およびサービス・プロバイダとは別のサービスからアクセス可能であってもよい。さらに別のインスタンスでは、ＣＡＭサービス１５０は、コンピューティング環境１００内の企業のシステム１０１乃至１０３またはサービス・プロバイダ１０９乃至１１２の何れか１つに直接的にインストールされてもよい。

図２は、個人２０２乃至２０４、２０９乃至２１１、２１６乃至２１８のグループを少なくとも１つの企業２０１、２０８、２１５から複数のサービス・プロバイダ２３０、２３９、２４８内の１つまたは複数のサービス２２３乃至２２５、２３２乃至２３４、２４１乃至２４３に関連付ける図を示す。例えば、企業Ａ２０１の管理者は、（図２では示さないが図１に示す）ＣＡＭサービスを介して、企業Ａ２０１の技術者である個人２０２を「技術者」２０５と呼ばれるグループに割り当てることができる。別のインスタンスでは、当該管理者は、企業Ａ２０１の特定の個人２０４を「スーパバイザ」２０７と呼ばれるグループに割り当ててもよい。本質的には、当該管理者は、異なる基準に基づいて個人２０２乃至２０４、２０９乃至２１１、２１９乃至２２１のグループを動的に生成し修正する能力を有する。即ち、当該管理者は、企業の各グループ内の個人を任意の時点で追加または削除することができる。各グループに対する個人の数は変化してもよい（例えば、グループはたった１人の個人を含んでもよく、グループは複数人の個人を含んでもよく、またはグループは個人を含まなくてもよい）。

グループ２０５乃至２０７、２１２乃至２１４、２１９乃至２２１が生成された後、企業の管理者は、ついで当該企業に移譲されたセキュリティ・データ２２２、２３１、２４０を当該企業の各グループに関連付けることができ、それにより、複数のサービス・プロバイダ２３０、２３９、２４８により提供された少なくとも１つまたは複数のサービス２２３乃至２２５、２３２乃至２３４、２４１乃至２４３にアクセスするためのアクセス権限または能力を確立する。

図２のサービス・プロバイダ２３０、２３９、２４８はセキュリティ・データ２２２、２３１、２４０をＣＡＭサービスに送信するように構成される。セキュリティ・データ２２２、２３１、２４０は、複数のサービス・プロバイダ２２１、２２８、２３５内の１つまたは複数のサービス２２３乃至２２５、２３２乃至２３４、２４１乃至２４３のアクセス可能性を識別する情報を含む。特に、セキュリティ・データ２２２、２３１、２４０はまず、サービス・プロバイダ２３０、２３９、２４８の管理者により定義されることができる。当該セキュリティ・データは、提供された１つまたは複数のサービス２２３乃至２３５、２３２乃至２３４、２４１乃至２４３のどれが企業２０１、２０８、２１５に利用可能であるかを識別する情報を含む。換言すれば、複数のサービス・プロバイダ２２１、２２８、２３５からのサービス２２３乃至２３５、２３２乃至２３４、２４１乃至２４３の利用可能性に関する情報がＣＡＭサービスに送信され、その結果、企業２０１、２０８、２１５の管理者は、個人２０２乃至２０４、２０９乃至２１１、２１６乃至２１８のグループに、これらのサービス２２３乃至２３５、２３２乃至２３４、２４１乃至２４３にアクセスするための能力を関連付け、マッチし、またはマップすることができる。言い換えると、サービス・プロバイダ２３０、２３９、２４８の各々は、特定の企業への権限付与２２６、２３５、２４４を定義することができる。これらの権限付与２２６、２３５、２４４に基づいて、ＣＡＭサービスに送信されたセキュリティ・データ２２２、２３１、２４０は本質的に、セキュリティ・データのサブセットに関連付けられることができる企業を識別する。

より具体的には、セキュリティ・データがＣＡＭサービスで受信されると、企業２０１、２０８、２１５の各々の管理者は、当該グループのサブセットを決定し、当該グループのサブセットを当該セキュリティ・データのサブセットに関連付けてアクセスを確立することができる。それに続いて、企業２０１、２０８、２１５の各々の管理者はついで、当該グループのサブセット内の個人２０２乃至２０４、２０９乃至２１１、２１６乃至２１８を、１つまたは複数のサービス２２３乃至２３５、２３２乃至２３４、２４１乃至２４３にアクセスするための能力に関連付けることができる。換言すれば、企業２０１、２０８、２１５の各々の管理者は、企業２０１、２０８、２１５の各々に配置された幾つかのグループ２０５乃至２０７、２１２乃至２１４、２１９乃至２２１に、当該受信されたセキュリティ・データに基づいて複数のサービス・プロバイダ２３０、２３９、２４８内の１つまたは複数のサービス２２３乃至２３５、２３２乃至２３４、２４１乃至２４３にアクセスするための能力を提供する。

図３は、図２に示すように個人３０１乃至３０９の特定のグループにアクセス可能な１つまたは複数のサービス３１０乃至３１８を示す。図２で説明するように、各企業の管理者は、ＣＡＭサービスを用いるが、先ず個人を企業のグループ３０１乃至３０９に割り当てる。そして、セキュリティ・データがＣＡＭサービスで受信されたとき、各企業の管理者は、当該複数のグループから特定のグループによりアクセスするために利用可能な当該セキュリティ・データのサブセットを決定する。各企業の管理者は、ついで当該セキュリティ・データのサブセットを当該複数のグループのサブセットに関連付けることができる。それにより、各企業の管理者は、個人３０１乃至３０９を、アクセス可能な当該複数のサービス・プロバイダ内の１つまたは複数のサービス３１０乃至３１８を識別するセキュリティ・データに関連付けることができる。例えば、図３において、グループ「技術者」３０１に、「Read Stuff」３１０のようなサービスにサービス・プロバイダＡ２３０（図２に示す）からアクセスし、サービス・プロバイダＢ２３９（図２に示す）内で「AAA」３１６を実施し、サービス・プロバイダＣ２４８（図２に示す）内で「App1」３１８を使用する能力が提供される。別の例では、図３は、グループ「Designers」３０４に、サービス・プロバイダＡ２３０（図２に示すように）内の「Read Stuff」３１０のサービスのみにアクセスするが、サービス・プロバイダＡ２３０内の他のサービス、または任意の他のサービス・プロバイダ２３９、２４８からのサービスにはアクセスしない能力が提供されることを示す。

図１乃至３で上述したように、ＣＡＭサービスは、各企業の管理者に、企業の各個人に対するサービスへのアクセス権限を効率的に管理する能力を提供するように構成される。各企業の個人のグループに対してアクセス権限が確立されると、そのグループ内の個人はこれらのサービスへのアクセスを求めてもよい。ＣＡＭサービスは、各企業に対するこれらの確立されたアクセス権限に関する情報（例えば、セキュリティ・データ）を受信し格納する。したがって、図４乃至６は、アクセス権限が図１乃至３で説明するように確立された後、少なくとも１つのサービス・プロバイダから少なくとも１つのサービスへのアクセスを求める個人の例示的な方法を示す。

図４は、共通認証管理（ＣＡＭ）サービス４０３から取得されセキュリティ・アサーション・マークアップ・ランゲージ（ＳＡＭＬ）内でサービス・プロバイダ４０４に運搬されるセキュリティ・データにより決定されるように、個人４０１が認証サービスで認証しついで１つまたは複数のサービスにサービス・プロバイダ４０４からアクセスする例示的な方法４００である。特に、図４は、企業の個人４０１がサービス・プロバイダ４０４内のサービスへのアクセスを求めることを示す。当該個人はまず、当該ターゲット・サービス・プロバイダに関するユーザＩＤ、パスワード、および情報を提供する。ＳＡＭＬ可能認証サービス（ＡＳ）４０２は、当該ユーザＩＤとパスワードを許可し、認証し、または検証する。ＡＳはついで当該認証されたユーザＩＤおよびターゲット・サービス・プロバイダ情報をＣＡＭサービス４０３に転送する（４０６）。代替的には、ＡＳは、当該ユーザＩＤの代わりに当該個人の顧客グループＩＤを提供することができる。これは、ＣＡＭシステムにおいてグループ・メンバーシップを管理する必要性を軽減し、ＡＳがそのグループ／役割管理能力を利用できるようにすることができる。

ＣＡＭサービス４０３が当該ユーザＩＤを受信すると、ＣＡＭサービス４０３は、当該個人の確立されたアクセス権限に関する情報をサービス・プロバイダのサービス４０７に返すように構成される。即ち、ＣＡＭサービス４０３は、サービス・プロバイダ４０４内のサービスへのアクセス権限を当該個人が有するかどうかを示す情報（例えば、セキュリティ・データ）を提供する。当該セキュリティ・データは、個人がサービスへのアクセス権限を有するかどうかの、特権、認証、または権限付与のような情報を提供する。セキュリティ・データは、クレーム、アサーション、セキュリティ・トークン、またはＳＡＭＬアサーションの形であってもよい。

引き続いて、ＡＳ４０２は、当該サービスへの個人のアクセス権限に関する関連情報全てを運搬するＳＡＭＬアサーションで当該個人のブラウザをサービス・プロバイダのブラウザにリダイレクトする（４０８）。ブラウザはついでサービス・プロバイダのウェブサイトに転送され、サービス・プロバイダ４０４が当該ＳＡＭＬアサーションを検証し、サービス・プロバイダ４０４内のサービスへの個人アクセス４０９を可能とするかどうかを検討する。判定が行われると、サービス・プロバイダ４０４はついで適切な応答を当該個人のブラウザ４１０に送信する。特に、当該適切な応答は、当該個人が当該サービスにアクセスするのを許可することまたは当該個人が当該サービスにアクセスするのを許可しないことのような応答を含んでもよい。

図５Ａは、サービス・プロバイダ５０３により発行された要求に応答してＣＡＭサービス５０２から取得されたセキュリティ・データにより決定されるように、個人５０１がサービス・プロバイダ５０３で認証し、ついで１つまたは複数のサービスにサービス・プロバイダ５０３からアクセスする例示的な方法５００を示す。即ち、当該個人のユーザＩＤおよびパスワードが、最初にＡＳまたはＣＡＭサービスを通じて処理されることなく、サービス・プロバイダ５０４に直接送信される。サービス・プロバイダ５０３がこの情報を受信する。サービス・プロバイダ５０３はついでこの情報を認証、許可、または検証し、ついでこの認証されたユーザのユーザＩＤをＣＡＭサービス５０２に送信して当該個人のアクセス権限（例えば、クレームまたはセキュリティ・トークン）５０５を要求する（これは、当該個人のサービス・プロバイダのユーザＩＤのマッピングがＣＡＭ内の同一の個々のアイデンティティであることを想定している）。上述のように、ＣＡＭサービス５０２は、サービス・プロバイダ５０３により提供された１つまたは複数のサービスにアクセスする能力を各個人が有するかどうかを示す情報を含む。

さらに図５Ａを参照すると、当該個人がアクセス権限５０６を有するかどうかに関する情報をＣＡＭサービス５０２が提供すると、サービス・プロバイダ５０３が個人５０１に応答する。即ち、サービス・プロバイダ５０３が適切な応答を個人５０１に送信する（５０７）。再度、当該適切な応答は、当該個人が当該サービスにアクセスするのを許可することまたは当該個人が当該サービスにアクセスするのを許可しないことのような応答を含む。

図５Ｂは、サービス・プロバイダ５５４により発行された要求に応答して共通認証管理（ＣＡＭ）サービス５５３から取得されたセキュリティ・データにより決定されるように、個人５５１が認証サービスで認証し、ついで１つまたは複数のサービスにサービス・プロバイダ５５４からアクセスする例示的な方法５５０を示す。図５Ｂに示す例示的な方法５５０は、図５Ａに関して上述した例示的な方法と同様である。相違点は、図５Ｂでは、ユーザＩＤおよびパスワードが最初にＳＡＭＬ可能認証サービス（ＡＳ）５５２で検証され、認証され、または許可される（５５５）ことである。ＡＳ５５２は当該個人にＳＡＭＬアサーション５５６を提供する。サービス・プロバイダ５５４がこの情報（例えば、ＳＡＭＬアサーションおよび当該個人のアイデンティティ）を受信すると、サービス・プロバイダ５５４は、５５７で受信されたＳＡＭＬアサーションから取得された当該個人のアイデンティティに基づいてこの個人５５１に対するアクセス権限をＣＡＭサービス５５３に要求する。換言すれば、当該受信されたＳＡＭＬアサーションを検証した後（５５７）、サービス・プロバイダは、当該ユーザのアイデンティティ（例えば、ユーザＩＤ）を当該ＳＡＭＬアサーションから取得し、サービス・コール（例えば、ＲＥＳＴｆｕｌまたはシンプル・オブジェクト・アクセス・プロトコル）をＣＡＭに対して生成して、サービス・プロバイダに関連するそのユーザのクレームを要求する。これに基づいて、適切な応答がついで個人５６０に転送される。

図６Ａは、サービス・プロバイダ６０３のデータ・ストア６０４内のセキュリティ・データにより決定されるように、ＣＡＭサービス６０２を介してサービス・プロバイダ６０３に定期的に同期され、その後サービス・プロバイダ６０３で認証したユーザ６０１が１つまたは複数のサービスにサービス・プロバイダ６０３からアクセスするセキュリティ・データを表す図６００を示す。図１乃至３で上述したように、アクセス権限がまず、複数のサービス・プロバイダ内の特定のサービスを使用する権限をどの個人のグループが有するかを判定するために確立される。これが行われた後、ＣＡＭサービス６０２を、個人６０５の各グループに対する確立されたアクセス権限に関する情報をサービス・プロバイダ６０３に定期的にプッシュまたは送信するように構成することができる。特に、ＣＡＭサービス６０２は定期的に（または指示されたとき）、セキュリティ・データ（例えば、セキュリティ・トークンまたはクレーム）をサービス・プロバイダ６０３にプッシュする。サービス・プロバイダ６０３は、これらのセキュリティ・トークンまたはクレームを格納するように構成されたアイデンティティ・データ・ストア６０４を含んでもよい。したがって、個人６０１がアクセス６０６を要求し、サービス・プロバイダ６０３にユーザＩＤおよびパスワードを提供するとき、サービス・プロバイダ６０３は、ユーザのクレームをデータ・ストア６０４に要求してもよく（６０７）、データ・ストア６０４が当該ユーザのクレームに応答する。これは、サービス・プロバイダ６０３内の当該サービスに対して要求側の個人６０１がアクセス権限を有するかどうかを判定する（６０７、６０８）。この判定に基づいて、適切な応答がついで個人６０１に送信し戻される（６０９）。

図６Ｂは、サービス・プロバイダ６５４のデータ・ストア６５５内のセキュリティ・データにより決定されるように、ＣＡＭサービス６５３を介してサービス・プロバイダに定期的に同期され、その後、ＳＡＭＬアサーションで認証したユーザ６５１が１つまたは複数のサービスにサービス・プロバイダ６５４からアクセスできるセキュリティ・データを表す図６５０を示す。図６Ｂは上述した図６Ａと同様な例示的な方法を示すが、図６Ｂは、まず個人６５１に対するＳＡＭＬ可能認証サービス（ＡＳ）６５２での決定６５６、６５８を含む。上で分析したように、ＡＳ６５２は、アクセスを要求する個人６５１に対するＳＡＭＬアサーションをまず提供するように構成される。これは、個人６５１がサービス・プロバイダ６５４内のサービスにアクセスできるかどうかをサービス・プロバイダ６５４が判定する６６０、６６１前に行われる。この判定に基づいて、適切な応答がついで個人６５１に送信し戻される（６６２）。

図７は、少なくとも１つの企業内のグループ化された個人に対するＣＡＭサービスを介して複数のサービス・プロバイダ内の１つまたは複数のサービスとのアクセスを確立する例示的な方法の流れ図７００である。ブロック７０１で、企業の管理者は、ＣＡＭサービスを介して、当該企業での個人のグループを生成する。即ち、当該企業の管理者は、当該企業に対して有意なまたは重要な企業グループに個人を統合する。例えば、企業Ａの全ての技術者は「技術者」グループにグループ化される。当該「技術者」グループ内のこれらの個人はついで、当該グループ内のこれらの個人が複数のサービス・プロバイダ内の特定のサービスにアクセスする能力を有するように、セキュリティ・データのサブセットに関連付けられる。

ブロック７０２で、サービス・プロバイダ管理者には、利用可能とされ、どの企業が当該サービスにアクセスできるかを示す情報を含むセキュリティ・データ（例えば、セキュリティ・トークンまたはクレーム）を定義する作業を与えられる。このセキュリティ・データが引き続いてＣＡＭサービスに送信される。さらに、ブロック７０３で示すように、サービス・プロバイダ管理者はまた、当該セキュリティ・データのサブセットを各企業に関連付ける責任を企業管理者に移譲することができる。換言すれば、ＣＡＭサービスで、当該セキュリティ・データのサブセットを、当該複数のグループのサブセットによるアクセスのために利用可能とできるかどうかの判定を行うことができる。

ブロック７０４で、ＣＡＭサービスは、ウェブ・インタフェースを介して、セキュリティ・データのどのサブセットがどの企業によりアクセスするために利用可能であるかに関する情報を企業管理者に提供するように構成される。即ち、サービス・プロバイダは、どの企業が当該サービスへのアクセス権限を有しうるかを示し、企業管理者が参照し管理できるようにこの情報をＣＡＭサービスにプッシュする。

換言すれば、ブロック７０４で、ＣＡＭサービスは、セキュリティ・データを当該複数のサービス・プロバイダから受信し、企業管理者は、ＣＡＭサービスのインタフェースを介して、当該複数の企業の個人の複数のグループのサブセットを、当該複数のサービス・プロバイダから受信されたセキュリティ・データのサブセットに関連付ける。特に、企業管理者は、例えば、「技術者」グループを当該セキュリティ・データのサブセットに関連付けてもよい。それにより、「技術者」にはついで、当該複数のサービス・プロバイダ内の１つまたは複数のサービスにアクセスするための能力が提供される。即ち、図３で説明するように、「技術者」グループの個人が企業Ａのシステムに当該個人のユーザＩＤおよびパスワードで後にログインすると、当該個人は、サービス・プロバイダＡからの「Read Stuff」またはサービス・プロバイダＣからの「App1」のようなサービスにアクセスすることができる。

ブロック７０５および７０６で、各企業の管理者は、個々のユーザを当該複数のグループの各々に追加すること、／または、個々のユーザを当該複数のグループの各々から除去することの作業を与えられる。本質的には、各企業の管理者は、当該個人グループを異なる基準に基づいて動的に生成し修正する能力を有する。即ち、当該管理者は、企業の各グループ内の個人を任意の時点で追加または削除することができる。上述のように、各グループに対する個人の数は変化してもよい（例えば、グループはたった１人の個人を含んでもよく、グループは複数人の個人を含んでもよく、またはグループは個人を含まなくてもよい）。

図８は、ＣＡＭサービス８１０を介して企業およびサービス・プロバイダの間のアクセスを確立するように構成されたコンピューティング・デバイス８９９を有するシステムの例示的な略図８００を示す。さらに、ユーザまたは管理者８０１は、企業の個人のどのグループが複数のサービス・プロバイダ内のどのサービスへのアクセス権限を有するかに関する情報を求めてＣＡＭサービス８１０にアクセスするように当該コンピューティング・デバイスに指示してもよい。

１例において、コンピューティング・デバイス８９９はプロセッサ８０２、プロセッサ８０２に接続されるメモリ・デバイス８０４、１つまたは複数の無線送信器８０６、１つまたは複数の無線受信機８０８、出力コンポーネント８８９、および入力コンポーネント８８８を含んでもよい。

プロセッサ８０２は、１つまたは複数のシステムおよびマイクロコントローラ、マイクロプロセッサ、縮小命令セット回路（ＲＩＳＣ）、特殊用途向け集積回路（ＡＳＩＣ）、プログラム可能ロジック回路（ＰＬＣ）、フィールド・プログラム可能ゲートアレイ（ＦＰＧＡ）、および本明細書で説明した機能を実行できる任意の他の回路を含む任意の適切なプログラム可能回路を含む。上述の例は、「プロセッサ」という用語の定義および／または意味を決して限定するものではない。

メモリ・デバイス８０４は、限定ではなく、ランダム・アクセスメモリ（ＲＡＭ）、フラッシュメモリ、ハード・ディスクドライブ、固体ドライブ、ディスク、フラッシュ・ドライブ、コンパクト・ディスク、デジタルビデオディスク、および／または任意の適切なメモリのような非一時的コンピュータ可読記憶媒体を含む。当該例示的な実装では、メモリ・デバイス８０４は、プロセッサ８０２が本明細書で説明した機能を実施できるようにするようにプロセッサ８０２（例えば、プロセッサ８０２は当該命令によりプログラム可能であってもよい）により実行可能である本開示の諸態様を具体化するデータおよび／または命令を含む。さらに、当該メモリ・デバイス８０４は動作システムおよびアプリケーションを備えてもよい。

無線送信器８０６は制御信号およびデータ信号をネットワーク上で送信するように構成される。１例において、無線送信器８０６は無線周波数スペクトルで送信してもよく、適切な通信プロトコルを用いて動作してもよい。

無線受信機８０８は制御信号およびデータ信号をネットワーク上で受信するように構成される。１例において、無線受信機８０８は、適切な通信プログラムを用いて信号を無線周波数スペクトル上で受信してもよい。

コンピューティング・デバイス８９９はまた、情報をユーザまたは管理者８０１に提供するための少なくとも１つの出力コンポーネント８８９を含んでもよい。出力コンポーネント８８９は、情報をユーザまたは管理者８０１に運搬できる任意のコンポーネントであってもよい。幾つかの実装では、出力コンポーネント８８９は、ビデオアダプタおよび／またはオーディオ・アダプタ等のような出力アダプタを含む。出力アダプタは、プロセッサ８０２に動作可能に接続され、ディスプレイデバイス（例えば、液晶ディスプレイ（ＬＣＤ）、有機発光ダイオード（ＯＬＥＤ）ディスプレイ、カソード・レイ・チューブ（ＣＲＴ）、「電子ｉｎｋ」ディスプレイ、等）またはオーディオ出力デバイス（例えば、スピーカ、ヘッドフォン、等）のような出力デバイスに動作可能に接続されるように構成される。幾つかの実装では、少なくとも１つのかかるディスプレイデバイスおよび／またはオーディオ・デバイスは出力コンポーネント８８９とともに含まれる。

コンピューティング・デバイス８９９はまた、ユーザまたは管理者８０１からの入力を受信するための少なくとも１つの入力コンポーネント８８８を含んでもよい。入力コンポーネント８８８は、例えば、キーボード、ポインティング・デバイス、マウス、スタイラスペン、タッチセンシティブなパネル（例えば、タッチ・パッドまたはタッチ・スクリーン）、ジャイロスコープ、加速度計、位置検出器、オーディオ入力デバイス等を含んでもよい。タッチ・スクリーンのような単一のコンポーネントは、出力コンポーネント８８９の出力デバイスおよび入力コンポーネント８８８の両方として機能してもよい。幾つかの実装では、出力コンポーネント８８９および／または入力コンポーネント８８８は、当該ノードおよびそれに接続されたコンピュータの間のデータおよび／または命令を通信するためのアダプタを含む。

幾つかの例では、システムメモリを使用してもよく、当該システムメモリは、当該対応する方法および装置の例を実装するための図１乃至７について上述したプログラム命令およびデータを格納するように構成されたコンピュータ可読記憶媒体の１例である。しかし、他の例では、プログラム命令および／またはデータを受信し、送信し、または異なるタイプのコンピュータアクセス可能媒体に格納してもよい。一般的に述べると、コンピュータ可読記憶媒体は、コンピュータシステムまたはゲートウェイデバイスに接続された磁気または光媒体、例えば、ディスクまたはＤＶＤ／ＣＤのような非一時的および有形記憶媒体またはメモリ媒体を含んでもよい。コンピュータ可読記憶媒体はまた、システムメモリ、ゲートウェイデバイス、または別のタイプのメモリとして上述のコンピュータシステムの幾つかの例に含めうるＲＡＭ（例えば、ＳＤＲＡＭ、ＤＤＲＳＤＲＡＭ、ＲＤＲＡＭ、ＳＲＡＭ等）、ＲＯＭ等のような任意の揮発性または非揮発性媒体を含んでもよい。本明細書で示したもののような複数のコンピュータシステムの一部または全部を使用して、様々な例における当該説明された機能を実装してもよい。例えば、多数の異なるデバイスおよびサービスで実行されるソフトウェアコンポーネントが協働して当該機能を提供してもよい。

さらに、本開示は以下の項に従う実施形態を含む：

項１：複数のサービス・プロバイダにより提供される１つまたは複数のサービスに個人がアクセスするのを認証するための方法（７００）であって、企業の１つまたは複数の個人を含むように複数のグループを生成するステップ（７０１）と、セキュリティ・データを複数のサービス・プロバイダから受信するステップであって、当該セキュリティ・データは、当該複数のサービス・プロバイダの各々により提供される当該１つまたは複数のサービスのうちどれが当該企業に利用可能であるかを識別するステップ（７０２）と、当該複数のグループのサブセットによるアクセスに利用可能な当該セキュリティ・データのサブセットを決定するステップ（７０３）と、セキュリティ・データの当該サブセットに基づいて、当該複数のグループの当該サブセット内の個人を当該複数のサービス・プロバイダの各々により提供される当該１つまたは複数のサービスにアクセスするための能力に関連付けるステップ（７０４）とを含む、方法。

項２：当該セキュリティ・データは各サービス・プロバイダの管理者により定義される、項１に記載の方法。

項３：当該セキュリティ・データは、アクセス権限、特権、認証、クレーム、セキュリティ・アサーション・マークアップ・ランゲージ（ＳＡＭＬ）アサーション、および権限付与のうち少なくとも１つを含む、項２に記載の方法。

項４：当該セキュリティ・データは共通認証管理（ＣＡＭ）サービス（１５０）によりアクセス可能である、項３に記載の方法。

項５：企業の１つまたは複数の個人を含むように複数のグループを生成するステップと、セキュリティ・データの当該サブセットに基づいて、当該複数のグループの当該サブセット内の個人を当該複数のサービス・プロバイダの各々により提供される当該１つまたは複数のサービスにアクセスするための能力に関連付けるステップはＣＡＭサービスを介して当該企業の管理者（８０１）により実施される、項１に記載の方法。

項６：ＣＡＭサービスがユーザ対話のためのウェブ・インタフェースで構成される、項５に記載の方法。

項７：企業（２０１、２０８、２１５）の１つまたは複数の個人（２０２乃至２０４、２０９乃至２１１、２１６乃至２１８）を含むように複数のグループ（２０５乃至２０７、２１２乃至２１４、２１９乃至２２１）を生成するステップは、１つまたは複数の個人を追加するステップまたは１つまたは複数の個人を当該複数のグループから除去するステップを含む、項１に記載の方法。

項８：複数のサービス・プロバイダ（２３０、２３９、２４８）により提供される１つまたは複数のサービス（２２３乃至２２５、２３２乃至２３４、２４１乃至２４３）に個人がアクセスするのを認証するためのシステム（１００）であって、当該システムは少なくとも１つのプロセッサ（８０２）およびメモリ（８０４）を備え、当該少なくとも１つのメモリは当該少なくとも１つのプロセッサに通信可能に接続され、当該少なくとも１つのメモリは、当該少なくとも１つのプロセッサにより実行されたとき、当該システムに、企業の１つまたは複数の個人を含むように複数のグループを生成し、セキュリティ・データを複数のサービス・プロバイダから受信し、当該複数のグループのサブセットによるアクセスに利用可能な当該セキュリティ・データのサブセットを決定し、セキュリティ・データの当該サブセットに基づいて、当該複数のグループの当該サブセット内の個人を当該複数のサービス・プロバイダの各々により提供される当該１つまたは複数のサービスにアクセスするための能力に関連付けさせるコンピュータ可読命令を含み、当該セキュリティ・データは、当該複数のサービス・プロバイダの各々により提供される当該１つまたは複数のサービスのうちどれが当該企業に利用可能であるかを識別する、システム（１００）。

項９：当該セキュリティ・データは各サービス・プロバイダの管理者により定義される、項８に記載のシステム。

項１０：当該セキュリティ・データは、アクセス権限、特権、認証、クレーム、セキュリティ・アサーション・マークアップ・ランゲージ（ＳＡＭＬ）アサーション、および権限付与のうち少なくとも１つを含む、項９に記載のシステム。

項１１：当該セキュリティ・データは共通認証管理（ＣＡＭ）サービスによりアクセス可能である、項１０に記載のシステム。

項１２：企業の１つまたは複数の個人を含むように複数のグループを生成することおよびセキュリティ・データの当該サブセットに基づいて、当該複数のグループの当該サブセット内の個人を当該複数のサービス・プロバイダの各々により提供される当該１つまたは複数のサービスにアクセスするための能力に関連付けることはＣＡＭサービスを介して管理者により実施される、項８に記載のシステム。

項１３：ＣＡＭサービスがユーザ対話のためのウェブ・インタフェースで構成される、項１２に記載のシステム。

項１４：企業の１つまたは複数の個人を含むように複数のグループを生成することは、１つまたは複数の個人を追加するステップまたは１つまたは複数の個人を当該複数のグループから除去するステップを含む、項８に記載のシステム。

項１５：複数のサービス・プロバイダにより提供される１つまたは複数のサービスに個人がアクセスするのを認証するためのコンピュータ可読媒体であって、コンピュータで実行されたとき、企業の１つまたは複数の個人を含むように複数のグループを生成するステップと、セキュリティ・データを複数のサービス・プロバイダから受信するステップであって、当該セキュリティ・データは、当該複数のサービス・プロバイダの各々により提供される当該１つまたは複数のサービスのうちどれが当該企業に利用可能であるかを識別する、ステップと、当該複数のグループのサブセットによるアクセスに利用可能な当該セキュリティ・データのサブセットを決定するステップと、セキュリティ・データの当該サブセットに基づいて、当該複数のグループの当該サブセット内の個人を当該複数のサービス・プロバイダの各々により提供される当該１つまたは複数のサービスにアクセスするための能力に関連付けるステップとを含む動作を当該コンピュータに実施させるコンピュータ実行可能命令を有する、コンピュータ可読媒体。

項１６：当該セキュリティ・データは各サービス・プロバイダの管理者により定義される、項１５に記載のコンピュータ可読媒体。

項１７：当該セキュリティ・データは、アクセス権限、特権、認証、クレーム、セキュリティ・アサーション・マークアップ・ランゲージ（ＳＡＭＬ）アサーション、および権限付与のうち少なくとも１つを含む、項１６に記載のコンピュータ可読媒体。

項１８：当該セキュリティ・データは共通認証管理（ＣＡＭ）サービスによりアクセス可能である、項１７に記載のコンピュータ可読媒体。

項１９：企業の１つまたは複数の個人を含むように複数のグループを生成するステップと、セキュリティ・データの当該サブセットに基づいて、当該複数のグループの当該サブセット内の個人を当該複数のサービス・プロバイダの各々により提供される当該１つまたは複数のサービスにアクセスするための能力に関連付けるステップはＣＡＭサービスを介して管理者により実施される、項１５に記載のコンピュータ可読媒体。

項２０：企業の１つまたは複数の個人を含むように複数のグループを生成するステップは、１つまたは複数の個人を追加するステップまたは１つまたは複数の個人を当該複数のグループから除去するステップを含む、項１５に記載のコンピュータ可読媒体。

とりわけ、「〜することができる」、「〜してもよい」「例えば、」等のような本明細書で使用される条件的言葉は、特に明記しない限り、または使用される文脈内で理解されるように、一般に、特定の例が含むが他の例では含まない特定の特徴、要素、および／またはステップを運搬することを意図している。したがって、かかる条件的言葉は一般に、特徴、要素および／またはステップが１つまたは複数の例に必要とされることを示唆せず、または、１つまたは複数の例が必ずしも、著者の入力または促しとともにまたはそれなしに、これらの特徴、要素および／またはステップが任意の特定の例に含まれるかまたは当該例で実施されるかどうかを判定するためのロジックを含むことは示唆しない。「〜を備える」、「〜を含む」、「〜を有する」等の用語は同義語であり、包含的に、オープンな形式で使用され、追加の要素、特徴、作用、動作等を排除しない。また、「または」という用語はその包含的な意味で（その排他的な意味ではなく）使用され、その結果、例えば、要素のリストを接続するために使用されるとき、「または」という用語は、当該リスト内の要素の１つ、一部、または全てを意味する。本開示の説明および添付の特許請求の範囲で使用される際、単数形「ａ」、「ａｎ」および「ｔｈｅ」は、特に明記しない限り、複数形も同様に含むものである。さらに、「〜を含む」または「〜を備える」という用語は、本明細書で使用するとき、述べた特徴、整数、ステップ、動作、要素、および／またはコンポーネントの存在を規定するが、１つまたは複数の他の特徴、整数、ステップ、動作、要素、コンポーネント、および／またはそのグループの存在または追加を排除しないことは理解される。さらに、「資産」および「コンピューティング・デバイス」という用語を、本明細書で使用するとき、交互に使用してもよい。

本明細書の教示事項の範囲から逸脱することなく、様々な変更を加えてもよく、その要素を均等物で置き換えてもよいことは当業者により理解される。さらに、その当該範囲から逸脱することなく、本明細書の教示事項を特定の状況に適合させるように多くの修正を行ってもよい。したがって、当該クレームは本明細書で開示した特定の実装に限定されないことが意図されている。

１０１ 企業Ａ
１０２ 企業Ｂ
１０３ 企業Ｚ
１０９ サービス・プロバイダＡ
１１０ サービス・プロバイダＸ
１１１ サービス・プロバイダＹ
１１２ サービス・プロバイダＺ
１５０ 共通認証管理（ＣＡＭ）サービス

Claims (10)

1. 複数のサービス・プロバイダにより提供される１つまたは複数のサービスに個人がアクセスするのを認証するための方法（７００）であって、
   企業の１つまたは複数の個人を含むように複数のグループを生成するステップ（７０１）と、
   セキュリティ・データを複数のサービス・プロバイダから受信するステップであって、前記セキュリティ・データは、前記複数のサービス・プロバイダの各々により提供される前記１つまたは複数のサービスのうちどれが前記企業に利用可能であるかを識別する、ステップ（７０２）と、
   前記複数のグループのサブセットによるアクセスに利用可能な前記セキュリティ・データのサブセットを決定するステップ（７０３）と、
   セキュリティ・データの前記サブセットに基づいて、前記複数のグループの前記サブセット内の個人を前記複数のサービス・プロバイダの各々により提供される前記１つまたは複数のサービスにアクセスするための能力に関連付けるステップ（７０４）と、
   を含む、方法。
2. 前記セキュリティ・データは各サービス・プロバイダの管理者により定義される、請求項１に記載の方法。
3. 企業の１つまたは複数の個人を含むように複数のグループを生成するステップと、セキュリティ・データの前記サブセットに基づいて、前記複数のグループの前記サブセット内の個人を前記複数のサービス・プロバイダの各々により提供される前記１つまたは複数のサービスにアクセスするための能力に関連付けるステップとは前記ＣＡＭサービスを介して前記企業の管理者（８０１）により実施される、請求項１または２に記載の方法。
4. 企業（２０１、２０８、２１５）の１つまたは複数の個人（２０２乃至２０４、２０９乃至２１１、２１６乃至２１８）を含むように複数のグループ（２０５乃至２０７、２１２乃至２１４、２１９乃至２２１）を生成するステップは、１つまたは複数の個人を追加するステップまたは１つまたは複数の個人を前記複数のグループから除去するステップを含む、請求項１乃至３の何れか１項に記載の方法。
5. 複数のサービス・プロバイダ（２３０、２３９、２４８）により提供される１つまたは複数のサービス（２２３乃至２２５、２３２乃至２３４、２４１乃至２４３）に個人がアクセスするのを認証するためのシステム（１００）であって、前記システムは少なくとも１つのプロセッサ（８０２）およびメモリ（８０４）を備え、前記少なくとも１つのメモリは前記少なくとも１つのプロセッサに通信可能に接続され、前記少なくとも１つのメモリは、前記少なくとも１つのプロセッサにより実行されたとき、前記システムに、
   企業の１つまたは複数の個人を含むように複数のグループを生成し、
   セキュリティ・データを複数のサービス・プロバイダから受信し、
   前記複数のグループのサブセットによるアクセスに利用可能な前記セキュリティ・データのサブセットを決定し、
   セキュリティ・データの前記サブセットに基づいて、前記複数のグループの前記サブセット内の個人を前記複数のサービス・プロバイダの各々により提供される前記１つまたは複数のサービスにアクセスするための能力に関連付けさせる
   コンピュータ可読命令を含み、
   前記セキュリティ・データは、前記複数のサービス・プロバイダの各々により提供される前記１つまたは複数のサービスのうちどれが前記企業に利用可能であるかを識別する、
   システム。
6. 前記セキュリティ・データは各サービス・プロバイダの管理者により定義される、請求項５に記載のシステム。
7. 企業の１つまたは複数の個人を含むように複数のグループを生成することは、１つまたは複数の個人を追加するステップまたは１つまたは複数の個人を前記複数のグループから除去するステップを含む、請求項５または６に記載のシステム。
8. 複数のサービス・プロバイダにより提供される１つまたは複数のサービスに個人がアクセスするのを認証するためのコンピュータ可読媒体であって、コンピュータで実行されたとき、前記コンピュータに、
   企業の１つまたは複数の個人を含むように複数のグループを生成するステップ（７０１）と、
   セキュリティ・データを複数のサービス・プロバイダから受信するステップであって、前記セキュリティ・データは、前記複数のサービス・プロバイダの各々により提供される前記１つまたは複数のサービスのうちどれが前記企業に利用可能であるかを識別する、ステップ（７０２）と、
   前記複数のグループのサブセットによるアクセスに利用可能な前記セキュリティ・データのサブセットを決定するステップ（７０３）と、
   セキュリティ・データの前記サブセットに基づいて、前記複数のグループの前記サブセット内の個人を前記複数のサービス・プロバイダの各々により提供される前記１つまたは複数のサービスにアクセスするための能力に関連付けるステップ（７０４）と、
   を含む動作を実施させるコンピュータ実行可能命令を含む、コンピュータ可読媒体。
9. 前記セキュリティ・データは各サービス・プロバイダの管理者により定義される、請求項８に記載のコンピュータ可読媒体。
10. 企業の１つまたは複数の個人を含むように複数のグループを生成するステップは、１つまたは複数の個人を追加するステップまたは１つまたは複数の個人を前記複数のグループから除去するステップを含む、請求項８または９に記載のコンピュータ可読媒体。