JP2018523866A

JP2018523866A - 外部アカウントを用いてリソースを管理するための方法およびデバイス

Info

Publication number: JP2018523866A
Application number: JP2018500771A
Authority: JP
Inventors: リウ、ボーヤン; リ、ジュン
Original assignee: Alibaba Group Holding Ltd
Current assignee: Alibaba Group Holding Ltd
Priority date: 2015-08-10
Filing date: 2016-08-03
Publication date: 2018-08-23
Anticipated expiration: 2036-08-03
Also published as: CN106452814B; US20170048114A1; CN106452814A; US10257051B2; EP3334505A1; EP3334505A4; JP6820054B2; EP3334505B1

Abstract

外部アカウントを用いてクラウドコンピューティングリソースを管理するための方法およびデバイスであって、リソースは１または複数の内部のメインアカウントに関連付けられている。方法は、サーバを通じて外部アカウントのアイデンティティを検証する段階と、外部アカウントのアイデンティティが検証される場合、バーチャルサブアカウントが外部アカウントに結び付けられているかどうかを決定する段階であって、バーチャルサブアカウントが１または複数の内部のメインアカウントのうちの１の内部のメインアカウントに従属している、段階と、バーチャルサブアカウントが外部アカウントに結び付けられていると決定された場合、バーチャルサブアカウントの事前設定済みの権利に基づいて１の内部のメインアカウントに関連付けられるリソースを管理するべく、外部アカウントを許可する段階とを含む。

Description

［関連出願の相互参照］本願は、２０１５年８月１０日に出願された「ＭｅｔｈｏｄａｎｄＡｐｐａｒａｔｕｓｆｏｒＯｐｅｒａｔｉｎｇＲｅｓｏｕｒｃｅｓＢａｓｅｄｏｎＥｘｔｅｒｎａｌＡｃｃｏｕｎｔｓ（外部アカウントに基づいたリソースを操作するための方法および装置）」と題する中国特許出願第２０１５１０４８７８３４．４号および、２０１６年８月２日に出願された「ＭｅｔｈｏｄａｎｄＤｅｖｉｃｅｆｏｒＭａｎａｇｉｎｇＲｅｓｏｕｒｃｅｓｗｉｔｈａｎＥｘｔｅｒｎａｌＡｃｃｏｕｎｔ（外部アカウントを用いてリソースを管理するための方法およびデバイス）」と題する米国特許出願第１５／２２６，３３６号に基づく優先権の利益を主張し、両出願は参照により本明細書にその全体が組み込まれる。

［本開示の分野］本開示は概して、クラウドコンピューティング環境における外部アカウントを用いてリソース管理の向上に関する。

クラウドコンピューティングのシナリオにおいて、クラウドコンピューティングプラットフォームの内部のメインアカウントを申請し、かつ、内部のメインアカウントに基づいてプラットフォームから一連のクラウドリソースを購入するユーザは、次にこれらのクラウドリソースを管理する必要があるであろう。実際に、内部のメインアカウントの様々なクラウドリソースの管理において、ユーザは時間がない、または、そうするための関連技術の知識を有さない可能性があるので、時間があるだけでなく、関連技術の知識を有してもいる誰かに、ユーザは、権限を与えるかもしれない。また、異なるクラウドリソースは、異なるリソース管理スタッフにより管理される必要があり得る。

多くのユーザは、内部のメインアカウントの安全性を保証するために、アカウント名およびパスワードをリソース管理スタッフに与えることなく内部のメインアカウントのクラウドリソースを管理する方を好む。従来技術において、マスタスレーブアカウントシステムが使用されてきた。これは、内部のメインアカウントのフレームワークのもと、ユーザ名およびパスワードを伴うサブアカウントが、リソース管理スタッフのために同じプラットフォームに生成されるのを許可する。

しかしながら、従来技術におけるマスタスレーブアカウントシステムは、操作権が１つのプラットフォームに限定され、さらに、１つの内部のメインアカウントのサブアカウントに限定されるので柔軟性に欠ける。とりわけ特定の種類のアウトソースされたアプリケーションは、例えば、リソース管理スタッフがいくつかのクラウドリソース管理業務を複数のユーザから引き継ぐ場合、複数のサブアカウントのアカウント名およびパスワードを覚える必要があるであろう。ログインの際、内部のメインアカウントに対応するサブアカウントのアカウント名およびパスワードを思い出すことは、スタッフにとって過度の負担となり得る。アカウント名およびパスワードは、統一された方式で管理され得ない。これは、さらなるスタッフの時間およびリソースを要する負担および、シンプルなまたは繰り返しのパスワード使用のリスクを生じさせ、したがってセキュリティが犠牲となる。

上記の課題を踏まえて、本開示は、現在の技術における上記の課題および他の課題を克服し得る、外部アカウントを用いてリソースを操作するための方法およびデバイスを提供する。

本開示のいくつかの実施形態によると、外部アカウントを用いてリソースを管理するための方法は、サーバを通じて外部アカウントのアイデンティティ検証を行う段階、および、外部アカウントのアイデンティティが検証された場合、外部アカウントに結び付けられたバーチャルサブアカウントを問い合わせる段階を含み、各バーチャルサブアカウントは現在のプラットフォームの内部のメインアカウントに従属している。方法は、外部アカウントに結び付けられているバーチャルサブアカウントが検証された場合に、バーチャルサブアカウントの事前設定済みの権利に基づいて内部のメインアカウントのリソースを管理するべく、外部アカウントを許可する段階をさらに含む。

本開示のいくつかの実施形態による、外部アカウントを用いてリソースを管理するためのデバイスは、（１）サーバを通じて外部アカウントのアイデンティティ検証を行うためのアイデンティティ検証回路、（２）外部アカウントのアイデンティティが検証された場合、外部アカウントに結び付けられたバーチャルサブアカウントを問い合わせるためのバーチャルサブアカウント問い合わせ回路であり、各バーチャルサブアカウントは現在のプラットフォームの内部のメインアカウントに従属している、回路、および（３）外部アカウントに結び付けられているバーチャルサブアカウントが検証された場合に、バーチャルサブアカウントの事前設定済みの権利に基づいて内部のメインアカウントのリソースを管理するべく、外部アカウントを許可するためのリソース管理回路を含む。

従来技術と比較して、本開示の実施形態は、とりわけ、以下の利点をもたらす、つまり、本開示の様々な実施形態において、外部アカウントに結び付けられ得るが、外部に表示されないバーチャルサブアカウントが、ユーザにより現在のプラットフォームの内部のメインアカウントのいずれか１つにセットアップされ得る。リソース管理スタッフメンバまたは外部アカウントのメンバが内部のメインアカウントのクラウドリソースを管理したい場合、彼らはサーバを通じて外部アカウントのアイデンティティ検証を行い得、かつ、外部アカウントのアイデンティティが検証された場合、外部アカウントと内部のメインアカウントのバーチャルサブアカウントとの間の結び付き関係を介して、バーチャルサブアカウント上で事前設定済みの権利に基づいて内部のメインアカウントのリソースを管理し得る。次に、リソース管理スタッフメンバは、複数の内部のメインアカウントに関連付けられる１つの統一された外部アカウントを用いて様々な内部のメインアカウントのリソースを操作し得る前に、外部アカウントに結び付いているバーチャルサブアカウントを生成するべく、１つのサーバのいつも使用される外部アカウントを内部のメインアカウントのユーザに提供さえすればよい。それにより、リソース管理スタッフの負担を軽くし、管理リソースの割り当てをより柔軟にする。

本開示の前述および他の目的、特徴および利点は、添付図面に示されるように、以下の実施形態の説明から明らかであろう。参照文字は、様々な図にわたって同じ部分を指す。図面は必ずしも縮尺通りではなく、本開示の原理を示す際に、かわりに強調がなされている。

本開示のいくつかの実施形態に係る、外部アカウントを用いてリソースを操作するための方法を示しているフロー図を表す。

本開示のいくつかの実施形態に係る、サーバを通じて外部アカウントのアイデンティティ検証を行う方法を示しているフロー図を表す。

本開示のいくつかの実施形態に係る、外部アカウントを用いてリソースを操作するための方法のフロー図を表す。

本開示のいくつかの実施形態に係る、外部アカウントを用いてリソースを操作するためのデバイスのブロック図を表す。

これより本開示は、本明細書の一部を構成し、ある例示的な実施形態を例として示す添付図面を参照し、以下でより詳しく説明される。しかしながら、主題は、様々な異なる形態で具現化されてよく、したがって、カバーされている、または特許請求の範囲に記載の主題は、本明細書に記載されているいかなる例示的な実施形態にも限定されないものとして解釈されることが意図され、例示的な実施形態は、単に例示として提供される。同様に、特許請求の範囲に記載の、またはカバーされている主題のための合理的に広い範囲が意図される。とりわけ、例えば、主題は、方法、デバイス、構成要素、またはシステムとして具現化されてよい。したがって、実施形態は、例えば、ハードウェア、ソフトウェア、ファームウェアまたは、（ソフトウェアそれ自体以外の）これらの任意の組み合わせの形態をとってよい。したがって、以下の詳細な説明は、限定的な意味合いに捉えられることを意図されない。

本明細書および特許請求の範囲を通して、用語は、明示的に述べられた意味を超えて、文脈で示唆または暗示された微妙な意味を有してよい。同様に、本明細書で使用される「一実施形態において（ｉｎｏｎｅｅｍｂｏｄｉｍｅｎｔ）」という語句は、必ずしも同じ実施形態を指すわけではなく、本明細書で使用される「別の実施形態において（ｉｎａｎｏｔｈｅｒｅｍｂｏｄｉｍｅｎｔ）」という語句は、必ずしも異なる実施形態を指すわけではない。例えば、特許請求の範囲に記載の主題が、全体的にまたは部分的に例示的な実施形態の組み合わせを含むことが意図される。

これらのコンピュータプログラム命令は、コンピュータのプロセッサまたは他のプログラマブルデータ処理装置を通じて実行し、ブロック図もしくは１または複数の操作ブロック内に特定されている機能／動作を実装する、命令であるように、その機能を専用に変更するための汎用コンピュータ、専用コンピュータ、ＡＳＩＣ、または他のプログラマブルデジタルデータ処理装置のプラットフォームまたはプロセッサに提供され得、それにより、本明細書の実施形態による、それらの機能性を変える。

本開示の目的において、「サーバ（ｓｅｒｖｅｒ）」という用語は、処理、データベース、および通信設備を提供するサービスポイントを指すと理解されるべきである。限定ではなく例として、「サーバ（ｓｅｒｖｅｒ）」という用語は、関連付けられる通信、データ記憶装置およびデータベース機能を伴う単一の、物理プロセッサを指し得る、または、ネットワーク化された、もしくはクラスタ化された複合のプロセッサ、および関連付けられるネットワークおよび記憶デバイス、ならびに、サーバにより提供されるサービスをサポートするオペレーティングソフトウェア、１または複数のデータベースシステム、およびアプリケーションソフトウェアを指し得る。サーバは、構成または性能が大幅に異なってよいが、概して、サーバは、１または複数の中央処理装置およびメモリを含んでよい。サーバはまた、１または複数の大容量記憶デバイス、１または複数の電源、１または複数の有線もしくは無線ネットワークインタフェース、１または複数の入力／出力インタフェース、または、Ｗｉｎｄｏｗｓ（登録商標）Ｓｅｒｖｅｒ、ＭａｃＯＳＸ、Ｕｎｉｘ（登録商標）、Ｌｉｎｕｘ（登録商標）、ＦｒｅｅＢＳＤ、もしくは同様のものなどの１または複数のオペレーティングシステムを含んでよい。

本開示の目的において、「ネットワーク（ｎｅｔｗｏｒｋ）」は、例えば、サーバとクライアントデバイスとの間、または、無線ネットワークを通じて連結される無線デバイス間を含む、他の種類のデバイス間などで通信が交換されてよいようデバイスを連結し得るネットワークを指すと理解されるべきである。ネットワークはまた、例えば、ネットワーク接続ストレージ装置（ＮＡＳ）、ストレージエリアネットワーク（ＳＡＮ）、または他の形態のコンピュータもしくは機械可読媒体などの大容量記憶装置を含んでよい。ネットワークは、インターネット、１または複数のローカルエリアネットワーク（ＬＡＮ）、１または複数のワイドエリアネットワーク（ＷＡＮ）、有線式接続、無線式接続、セルラ、またはこれらの任意の組み合わせを含んでよい。同様に、異なるアーキテクチャを使用し得る、または、異なるプロトコルに準拠し得る、もしくは異なるプロトコルと互換性のあり得るサブネットワークは、より大きなネットワーク内で相互運用してよい。様々な種類のデバイスは、例えば、異なるアーキテクチャまたは異なるプロトコルに関する相互運用能力を提供するために利用可能であるようにされてよい。１つの説明のための例として、ルータは、そうでなければ別個で独立しているＬＡＮの間のリンクを提供してよい。

本明細書で説明されている原理は、多くの異なる形態で具現化されてよい。本開示において、リソース管理スタッフが、複数の内部のメインアカウントのリソースを管理する必要がある場合、外部アカウントを彼ら自身のバーチャルサブアカウントに結び付けるために、サーバ上でいつも使用される外部アカウントを、これらの内部のメインアカウントのユーザに提供し得る。次に、リソース管理スタッフが現在のプラットフォームにログインしている場合、外部アカウントのサーバは、外部アカウントにアイデンティティ検証を提供する。外部アカウントが検証された場合、リソース管理スタッフは、これに事前に割り当て済みの権利に基づいて内部のメインアカウントを用いてバーチャルサブアカウントを介して内部のメインアカウントのリソースを操作し得る。したがって、リソース管理スタッフが、１つの一般的に使用される外部アカウントを用いて現在のプラットフォームの複数の内部アカウントのリソースを管理し得る場合、彼らの管理上の負担は軽くなるであろう。さらに、本明細書の教示を適用すると、リソースの構成および操作は、より柔軟に、より広く適用可能となり得る。

図１は、本開示のいくつかの実施形態に係る、外部アカウントを用いてリソースを操作するための方法を示しているフロー図を表す。

段階Ｓ１１０において、方法は、サーバを通じて外部アカウントのアイデンティティ検証を行う。

いくつかの実施形態によれば、本開示は、クライアント側、現在のプラットフォームおよび外部アカウントのサーバの構造に関する。確かに、サーバは数多くのアプリケーションの特定の手法で構成され得るので、外部アカウントのサーバは、本明細書に開示されているように様々な種類であり得る。非限定的な例示として、Ａｌｉクラウドプラットフォームを挙げれば、ａｌｉｃｅ＠ａｌｉｙｕｎ．ｃｏｍのような、Ａｌｉクラウドプラットフォーム内のアカウントは、内部のメインアカウントである。新浪（Ｓｉｎａ）ウェブサイト、網易（Ｎｅｔｅａｓｅ）、騰訊（Ｔｅｎｃｅｎｔ）等のサーバのような外部アカウントのサーバは、現在のプラットフォームと異なっている。例えば、ｂｏｂ＠ｓｉｎａ.ｃｏｍは、新浪のサーバの外部アカウントである。外部アカウントサーバは、その既存のアカウントシステムに基づいた外部アカウントにアイデンティティ検証プロセスを提供し得る。外部アカウントサーバは、本明細書により詳しく説明されるように、１または複数のアイデンティティ検証プロセスを提供する検証サーバを含んでよい、またはそれに通信可能に連結してよい。

次に、前述のスタッフのような、外部アカウントの所有者が、Ａｌｉクラウドプラットフォームのような、現在のプラットフォームから内部アカウント内のリソースを管理したい場合、外部アカウントのアイデンティティ検証は、まずクライアント側および現在のプラットフォームに基づいて行われ、次に外部アカウントのサーバを介して行われる。外部アカウントのアイデンティティが検証された場合、プロセスは段階Ｓ１２０に続く。

外部アカウントのアイデンティティが検証に失敗した場合、それは外部アカウントのログインの失敗およびプロセスの終了を意味する。実施形態において、外部アカウントのアイデンティティが検証に失敗した場合、外部アカウントのサーバの不正確な署名等のような、ログイン失敗の理由はクライアント側に表示され得る。

例として、ｂｏｂ＠ｓｉｎａ.ｃｏｍの所有者が、ａｌｉｃｅ＠ａｌｉｙｕｎ．ｃｏｍのリソースを管理したいと仮定する。所有者は、クライアント側からＡｌｉクラウドプラットフォームのログインページを訪問し得、かつ、ログインページから新浪のサーバにアイデンティティ検証の要求を送信し得る。

新浪のサーバは、アイデンティティ検証要求に応じてクライアント側にアカウント入力ページを提供するであろう。所有者は、次に、表示されたアカウント入力ページ上で、アカウント名ｂｏｂ＠ｓｉｎａ.ｃｏｍおよびパスワード１２３４５６を入力し、ＯＫをクリックし得る。

新浪のサーバは、アカウント名ｂｏｂ＠ｓｉｎａ.ｃｏｍが存在するかどうか、およびパスワードが正確かどうかを認証するべく、アカウント名ｂｏｂ＠ｓｉｎａ.ｃｏｍおよびパスワード１２３４５６の内部検証を行うであろう。アカウント名およびパスワードの両方が検証にパスした場合、アイデンティティ検証結果をＡｌｉクラウドプラットフォームに返すであろう。

Ａｌｉクラウドプラットフォームによってパーシングすると、返された結果がｂｏｂ＠ｓｉｎａ.ｃｏｍの検証が成功であると示す場合、次にプロセスは段階Ｓ１２０に進む。

本開示のいくつかの実施形態によれば、段階Ｓ１１０は、以下の副段階（図２）を備えてよい。

段階Ｓ１１１において、方法はサーバを通じて外部アカウントのアイデンティティ検証を要求する。

例えば、Ａｌｉクラウドプラットフォームの内部のメインアカウントの、ａｌｉｃｅ＠ａｌｉｙｕｎ．ｃｏｍおよび新浪のサーバの外部アカウントのｂｏｂ＠ｓｉｎａ.ｃｏｍを挙げる。

外部アカウントのｂｏｂ＠ｓｉｎａ.ｃｏｍの所有者が、クライアント側からＡｌｉクラウドプラットフォームのログインページを開けて、ａｌｉｃｅ＠ａｌｉｙｕｎ．ｃｏｍのリソースを管理したい場合、所有者はＡｌｉクラウドプラットフォームのログインページから新浪のサーバにアイデンティティ検証の要求を送信する。

新浪のサーバは、アイデンティティ検証要求を受信した後、所有者のクライアント側にアカウント入力ページを提供するであろう。所有者は、表示されたアカウント入力ページ上でアカウント名ｂｏｂ＠ｓｉｎａ.ｃｏｍおよびパスワード１２３４５６を入力できる。

新浪のサーバにより、アカウント名ｂｏｂ＠ｓｉｎａ.ｃｏｍおよびそのパスワード１２３４５６が有効であるとして認証された場合、ｂｏｂ＠ｓｉｎａ.ｃｏｍに特有のアイデンティティ検証結果が生成されるであろう。アイデンティティ検証結果は、外部アカウントのｂｏｂ＠ｓｉｎａ.ｃｏｍおよび外部アカウントのサーバの署名を備える。本例において、署名は新浪のサーバのものである。次に、新浪のサーバはＡｌｉクラウドプラットフォームにアイデンティティ検証結果を返すであろう。

本明細書の開示から、アイデンティティ検証結果は他のコンテンツも備え得ることが認識されるであろう。本願はそれに制限を課さない。

クライアントは、ブラウザまたは他のクライアント側のアプリケーションまたはアプリに特有のデバイスであり得る。本明細書の教示が複数のクライアント側のプラットフォームの種類に適用され得るので、本開示はクライアント側の実装に関して制限を課さない。

段階Ｓ１１２において、方法は外部アカウントサーバにより返されたアイデンティティ検証結果のサーバ署名を検証する。サーバ署名が検証された場合、プロセスは段階Ｓ１１３に続く。

上記のアイデンティティ検証を受信した後、Ａｌｉクラウドプラットフォームはアイデンティティ検証結果のサーバ署名を認証するであろう。外部アカウントが検証された場合、ｂｏｂ＠ｓｉｎａ.ｃｏｍは新浪により受け入れられた認証外部アカウントであるということを意味し、段階Ｓ１１３が始まり得る。サーバ署名の検証が失敗した場合、ｂｏｂ＠ｓｉｎａ.ｃｏｍは、セキュリティリスクを伴う偽造の外部アカウントかもしれないということを意味し、次に、外部アカウントｂｏｂ＠ｓｉｎａ.ｃｏｍのログインは拒否されるであろう。

本開示の実施形態において、異なるアイデンティティ検証プロトコルのもとでのサーバ署名のための検証プロセスは、異なるものであることが理解される。

例えば、ＳＡＭＬプロトコルに関して、多様な外部アカウントの種類の公開鍵は、現在のプラットフォームに関して事前に取得され得る。上記のアイデンティティ検証結果を受信した後、対応する外部アカウントサーバの公開鍵は、アイデンティティ検証結果のサーバ署名を認証するために直接抽出され得る。

ＯｐｅｎＩＤプロトコルに関して、サーバ署名の検証プロセスは、ＳＡＭＬプロトコルのものと同様である。

ＯＡｕｔｈプロトコルに関して、サーバ署名は、上記のアイデンティティ検証結果から抽出され得て、サーバが署名検証を行い、現在のプラットフォームにセキュリティトークンを返すことを知らせるために、対応する外部アカウントサーバに送信され得る。現在のプラットフォームがセキュリティトークンを受信した後、サーバ署名の検証は有効であるとみなされる。

段階Ｓ１１３において、方法は、アイデンティティ検証結果の外部アカウントが有効であると決定する。

外部アカウントのサーバにより検証されたアイデンティティ検証結果に関し、本例の実施形態は、外部アカウントが有効であると決定し得る。例えば、ｂｏｂ＠ｓｉｎａ.ｃｏｍに関して、本例の実施形態のＡｌｉクラウドプラットフォームは、ｂｏｂ＠ｓｉｎａ.ｃｏｍが、続くプロセスに入り得ることを決定し得る。

本開示のいくつかの実施形態によれば、段階Ｓ１１０は、ＯＡｕｔｈプロトコル、ＯｐｅｎＩＤプロトコル、またはＳＡＭＬプロトコルを含むアイデンティティ検証プロトコルを介し、サーバを通じて、外部アカウントのアイデンティティ検証を行う段階を備える。

本例の実施形態において、アイデンティティ検証プロトコルは、クライアント側が現在のプラットフォームを通じて、サーバを介して外部アカウントのためのアイデンティティ検証を行い得るように、クライアント側と現在のプラットフォームと外部アカウントのサーバとの間に構成される。

本例の実施形態において、アイデンティティ検証プロトコルは、ＯＡｕｔｈプロトコル、ＳＡＭＬプロトコル、もしくはＯｐｅｎＩＤプロトコルの１または複数であり得る。例えば、ＯＡｕｔｈプロトコルは、クライアント側、Ａｌｉクラウドプラットフォームと新浪のサーバとの間で使用される。ＯｐｅｎＩＤプロトコルは、クライアント側、Ａｌｉクラウドプラットフォームと網易のサーバとの間で使用される。ＳＡＭＬプロトコルは、クライアント側、Ａｌｉクラウドプラットフォームと網易のサーバとの間で使用される。これらの様々なプロトコルは、本明細書で説明されている管理機能および構造が適用されている基礎的なプラットフォームに適用可能であるとして利用され得る。

実際の適用では、上述のプロトコルに加えて、他のアイデンティティ検証プロトコルが利用され得ることが理解可能である。本開示は、適用される特定の検証プロトコルに制限を課さない。

実施形態において、ＯＡｕｔｈ（ＯｐｅｎＡｕｔｈｏｒｉｚａｔｉｏｎオープン認可）プロトコルは、安全で、オープンかつシンプルな、ユーザのリソースの認可のための規格を提供する。ＯＡｕｔｈプロトコルの認可は、安全であって、第三者に（アカウント名およびパスワードのような）アカウントの情報をさらさないであろう。第三者は、ユーザのアカウント名およびパスワードを使用せずに、ユーザのリソースの認可を取得し得る。

本開示のいくつかの実施形態において、所有者のクライアントは、ＯＡｕｔｈプロトコルのクライアントとして、Ａｌｉクラウドプラットフォームは、ＯＡｕｔｈプロトコルのアクセス側として、および、外部アカウントのサーバは、ＯＡｕｔｈプロトコルのＡＳ（ＡｕｔｈｏｒｉｚａｔｉｏｎＳｅｒｖｅｒ認可サーバ）とみなされる。クライアント側は、現在のプラットフォームに認可要求を送信する。現在のプラットフォームは、外部アカウントのサーバにリダイレクトする。クライアント側は、検証のためにサーバ上に外部アカウントのユーザ名およびパスワードを入力し、外部アカウントが検証された場合、続く操作のために現在のプラットフォームにリダイレクトする。

ＳＡＭＬ（セキュリティアサーションマークアップ言語）プロトコルは、ＸＭＬに基づいた標準であり、異なるセキュリティドメイン間の検証および認可データの交換のために使用される。

本開示のいくつかの実施形態において、所有者のクライアント側は、ＳＡＭＬプロトコルのサブジェクトである。現在のプラットフォームは、リライングパーティであり、外部アカウントのサーバは、アサーティングパーティである。クライアント側は、アクセス認可のために現在のプラットフォームに要求を送信し得る。次に、現在のプラットフォームは、外部アカウントのサーバに要求をリダイレクトする。サーバは、外部アカウントのためのアイデンティティ検証を行い、外部アカウントが検証された場合、続くプロセスのために現在のプラットフォームにそれをリダイレクトする。

ＯｐｅｎＩＤプロトコルは、開放性およびダイバージェンスにより特徴づけられる、ユーザ中心のデジタルアイデンティティ認識のフレームワークである。

本開示のいくつかの実施形態において、クライアント側は、ＯｐｅｎＩＤプロトコルのユーザスタッフのサブジェクトである。外部アカウントのサーバは、ＯＰ（アイデンティティプロバイダまたは、ＯｐｅｎＩＤのプロバイダであるＯｐｅｎＩＤプロバイダ）であり、現在のプラットフォームはリライングパーティである。外部アカウントは、前もって、外部アカウントのサーバのＯＰシステムに固有ＩＤを登録することを求められ、次に、所有者がＯＰのログインインタフェースをクリックした後に、サーバにリダイレクトする。所有者は、検証のために外部アカウントのユーザ名およびパスワードを入力でき、サーバは、現在のプラットフォームに検証結果を返すことができる。

本開示のいくつかの実施形態によれば、段階Ｓ１１０に先立って、さらなる複数の段階が、図３により詳細に示されているように実行されてよい。

段階Ｓ１０２において、方法は、ユーザ名およびパスワードを有している内部のメインアカウントに、バーチャルサブアカウントを生成する。バーチャルサブアカウントは、外部アカウントを用いてリソースを操作するためのパスワードを有さない。

本開示のいくつかの実施形態において、現在のプラットフォームの内部のメインアカウントのユーザは、「ｖｉｒｔｕａｌ＿ｕｓｅｒ」等の、バーチャルサブアカウントを事前に生成し得る。ｖｉｒｔｕａｌ＿ｕｓｅｒは、ログインパスワードを有さず、外部に表示される必要がない。例えば、内部アカウントのａｌｉｃｅ＠ａｌｉｙｕｎ．ｃｏｍを挙げれば、１１１１１１のパスワードを持つａｌｉｃｅ＠ａｌｉｙｕｎ．ｃｏｍのユーザは、ａｌｉｃｅ＠ａｌｉｙｕｎ．ｃｏｍのスペース内にバーチャルサブアカウントｖｉｒｔｕａｌ＿ｕｓｅｒを生成し得る。

段階Ｓ１０３において、方法は、内部のメインアカウントのリソースを操作するために、バーチャルサブアカウントに操作権を割り当てる。

いくつかの実施形態において、１つの内部のメインアカウントが、異なるフォルダに分配された異なるリソースを有してよく、それらのいくつかは外部のリソース管理スタッフにさらされ得ない。次に、操作権は、これらのフォルダ内のリソースのために設定され得る。例えば、バーチャルサブアカウントおよび操作の種類等により操作され得るフォルダの範囲を設定し、操作の種類は、読み取り専用、書き込み専用、および、読み取り書き込み用であり得る。

段階Ｓ１０４において、方法は、バーチャルサブアカウントを外部アカウントに結び付ける。

生成されたバーチャルサブアカウントは、ユーザにより選択されたリソース管理スタッフの外部アカウントに結び付けられ得る。例えば、ユーザがｂｏｂ＠ｓｉｎａ.ｃｏｍを選択する場合、そのユーザは、ａｌｉｃｅ＠ａｌｉｙｕｎ．ｃｏｍのｖｉｒｔｕａｌ＿ｕｓｅｒをｂｏｂ＠ｓｉｎａ.ｃｏｍに結び付け得る。

本開示のいくつかの実施形態において、外部アカウントは、複数の内部のメインアカウントのバーチャルサブアカウントと結び付けられてよい。例えば、ｂｏｂ＠ｓｉｎａ.ｃｏｍはまた、ｔｏｍ＠ａｌｉｙｕｎ.ｃｏｍのバーチャルサブアカウントと結び付けられ得る。

本開示のいくつかの実施形態において、複数のバーチャルサブアカウントが、各内部のメインアカウントに生成されてよく、各バーチャルサブアカウントは、異なる外部アカウントと結び付けられてよい。

本開示のいくつかの実施形態によれば、段階Ｓ１０４の後に、方法は、以下の段階をさらに含んでよい。

段階Ｓ１０５において、方法は、内部のメインアカウントのバーチャルサブアカウントの現在の操作権を変更する。

本開示のいくつかの実施形態において、内部のリソース、および外部アカウントを用いて管理されるリソースを容易に制御するために、内部アカウントのユーザは、内部のメインアカウントを用いて現在のプラットフォームにログインしてよく、内部のメインアカウントのスペース内で制御される必要がある外部アカウントに結び付けられたバーチャルサブアカウントのためのリソース管理権をセットアップしてよい。

本願の実施形態において言及されている内部アカウントのリソースは、統計データ、ビデオ、ドキュメント、メディアファイル、または、他の種類もしくは形態のデジタルデータのような任意のデジタルデータであり得ることに留意されたい。

本開示のいくつかの実施形態によれば、段階Ｓ１０４の後に、プロセスは、以下の段階をさらに含んでよい。

段階Ｓ１０６において、方法は、バーチャルサブアカウントに結び付けられている現在の外部アカウントを別の外部アカウントに変更する。

本開示のいくつかの実施形態において、内部のメインアカウントについて、バーチャルサブアカウントに結び付けられている外部アカウントのリソース管理スタッフメンバが休暇を求めた場合、またはユーザが、リソース管理のための以前のメンバに代わるべく別のスタッフメンバを雇用したい場合、ユーザは、異なる外部アカウントをバーチャルサブアカウントに結び付けることを望んでよい。ユーザは、内部のメインアカウントのユーザ名およびパスワードを用いて現在のプラットフォームにログインし、上記のバーチャルサブアカウントに結び付けられている外部アカウントを別の外部アカウントに変更してよい。

図１に戻ると、我々は段階Ｓ１２０およびＳ１３０の検討を完了し、図１の対応する段階と同じであり、それに応じて番号が付けられている、図３のこれらの段階の検討もまた完了する。

段階Ｓ１２０において、方法は、外部アカウントのアイデンティティが検証された場合、バーチャルサブアカウントが、外部アカウントに結び付けられているかどうかを問い合わせる。各バーチャルサブアカウントは、現在のプラットフォームの内部のメインアカウントに従属している。

本開示のいくつかの実施形態において、現在のプラットフォームは、内部のメインアカウントとバーチャルサブアカウントおよび外部アカウントとの間の１対１の関係を記録する。認証された外部アカウントに関して、それは外部アカウントに対応する上記の関係が存在するかどうかを問い合わせるであろう。複数の関係がある場合、それはリソース管理スタッフにより決定され得る。例えば、ｂｏｂ＠ｓｉｎａ.ｃｏｍが、ａｌｉｃｅ＠ａｌｉｙｕｎ．ｃｏｍとｔｏｍ＠ａｌｉｙｕｎ.ｃｏｍ両方のバーチャルサブアカウントにそれぞれ結び付けられている場合、次に、リソース管理スタッフは、所望の内部のメインアカウントを決定するようプロンプトされるであろう。

１つの関係のみある場合、それはリソース管理スタッフにより、直接決定され得る、または、外部アカウントに結び付けられているバーチャルサブアカウントが直接決定され得て、プロンプティングは求められない。

段階Ｓ１３０において、方法は、外部アカウントに結び付けられているバーチャルサブアカウントが検証された場合に、バーチャルサブアカウントの事前設定済みの権利に基づいて内部のメインアカウントのリソースを操作するべく、外部アカウントを許可する。

外部アカウントに結び付けられている１つのバーチャルサブアカウントが、リソース管理スタッフにより検証された場合に、現在のプラットフォームは、外部アカウントに結び付けられている内部のメインアカウントが検証された場合に、上記のバーチャルサブアカウント上で事前設定済みの権利に基づいて上記の内部のメインアカウントのリソースを操作するべく、リソース管理スタッフを許可する。

本開示のいくつかの実施形態において、上記のバーチャルサブアカウントは、ただ単に内部で維持された権利のアイデンティティであり、外部に表示されない。したがって、クライアントは、バーチャルサブアカウントのための入力インタフェースを提供しないであろう。バーチャルサブアカウントは、外部アカウントのパスワードを必要としない。なぜなら自身もパスワードを有さないからである。さらに、本例の実施形態に示されるように、バーチャルサブアカウントの入力インタフェースは、クライアントに提供されず、したがって、ログインは、バーチャルサブアカウントのみでは行なわれ得ず、ログインおよび内部のメインアカウントのリソースの管理が求められる場合、バーチャルサブアカウントは外部アカウントに結び付けられ、したがって、内部のメインアカウントのリソースは、外部アカウントを用いてログインにより操作され得る。

本開示のいくつかの実施形態において、外部アカウントに結び付けられ得るが、外部に表示され得ない、バーチャルサブアカウントが、ユーザにより現在のプラットフォームの内部のメインアカウントのいずれか１つにセットアップされ得る。外部アカウントのリソース管理スタッフが上記内部のメインアカウントのクラウドリソースを管理したい場合、彼らはサーバを通じて外部アカウントのアイデンティティ検証を行い得、かつ、外部アカウントのアイデンティティが検証された場合、外部アカウントと内部のメインアカウントのバーチャルサブアカウントとの間の結び付き関係を介して、バーチャルサブアカウント上で事前設定済みの権利に基づいて内部のメインアカウントのリソースを管理し得る。次に、１または複数のリソース管理スタッフメンバは、複数の内部のメインアカウントに関連付けられる１つの統一された外部アカウントを用いて様々な内部のメインアカウントのリソースを管理し得る前に、外部アカウントに結び付いているバーチャルサブアカウントを生成するべく、１つのサーバのいつも使用される外部アカウントを内部のメインアカウントのユーザに提供さえすればよい。それにより、リソース管理スタッフの管理上の負担を軽くし、管理リソースの割り当てをより柔軟にする。それはまた、管理されるべきリソースのための複数の複雑なパスワードを覚える必要性を避け、したがって、不正流用のリスクが増す、覚えやすいパスワードの使用または選択、または、なんらかの方式でパスワードを記録する必要性を避けることによりセキュリティが向上する。したがって、本明細書の実施形態は、ネットワークセキュリティおよびクラウドベースのシステムのリソース管理の柔軟性を向上させる。

図４は、本開示のいくつかの実施形態に係る、外部アカウントを用いてリソースを操作する方法を示しているフロー図を表す。

段階Ｓ２１０において、方法は、サーバを通じて外部アカウントのアイデンティティ検証を行う。

段階Ｓ２２０において、方法は、外部アカウントのアイデンティティが検証された場合、全ての内部のメインアカウントのバーチャルサブアカウントが、外部アカウントに結び付けられているかどうかを問い合わせる。各バーチャルサブアカウントは、現在のプラットフォームの内部のメインアカウントに従属している。

例えば、外部アカウントｂｏｂ＠ｓｉｎａ.ｃｏｍに関して、現在のプラットフォームの全ての内部のメインアカウントが、ｂｏｂ＠ｓｉｎａ.ｃｏｍに結び付けられているバーチャルサブアカウントを有しているかどうかが決定される必要がある。そうである場合、ユーザが選択するために、ｂｏｂ＠ｓｉｎａ.ｃｏｍに結び付けられているバーチャルサブアカウントに属している、内部のメインアカウントの全てのユーザ名を表示するべく、プロンプトボックスがポップアップされ得る。ユーザが内部の名前を選択した場合、これはユーザが、ｂｏｂ＠ｓｉｎａ.ｃｏｍに結び付けられているバーチャルサブアカウントを決定したことを意味し、段階Ｓ２３０が始まり得る。

段階Ｓ２３０において、方法は、外部アカウントに結び付けられているバーチャルサブアカウントが検証された場合に、バーチャルサブアカウントの事前設定済みの権利に基づいて内部のメインアカウントのリソースを管理するべく、外部アカウントを許可する。

本開示のいくつかの実施形態において、どの内部のメインアカウントが、リソースを管理するために選択されるかという事前決定なく、リソース管理スタッフは、外部アカウントのサーバにアイデンティティ検証要求を直接送信し得る。サーバは、アイデンティティ検証結果を返すであろう。結果が有効であるとして検証された後、現在のプラットフォームは、内部のメインアカウントと外部アカウントに対応しているバーチャルサブアカウントおよび外部アカウントとの間の関係を探し、リソース管理スタッフが選択するための、クライアント側のボックスに各内部のメインアカウントを表示するであろう。複数の内部のメインアカウントのうちの１つを選択することは、外部アカウントに結び付けられているバーチャルサブアカウントが、ユーザにより検証されたことを意味する。上記の関係のどれも決定されない場合、ユーザは、外部アカウントに結び付けられている内部のメインアカウントはないと通知されるであろう。本例の実施形態において、ユーザが、内部のメインアカウントのユーザ名を事前入力することなく、アイデンティティ検証のための現在のプラットフォームを介して、外部アカウントのサーバに直接ジャンプし得る。次に、現在のプラットフォームは、外部アカウントに結び付けられているバーチャルサブアカウントをユーザに選択のために、直接提供し得、それは、外部アカウントを用いてユーザの操作を容易にしている。

図５は、本開示のいくつかの実施形態に係る、外部アカウントを用いてリソースを操作するための方法のフロー図を表す。

段階Ｓ３１０において、方法は、ターゲットの内部のメインアカウントを決定する。

ユーザは、前もって、現在のプラットフォームのログインページに、ターゲットの内部のメインアカウントの名前を入力できる。例えば、ユーザは、ログインページにａｌｉｃｅ＠ａｌｉｙｕｎ．ｃｏｍを入力でき、段階Ｓ３２０にジャンプするべく、アイデンティティ検証インタフェースをクリックできる。

段階Ｓ３２０において、方法は、サーバを通じて外部アカウントのアイデンティティ検証を行う。

段階Ｓ３３０において、方法は、外部アカウントのアイデンティティが検証された場合、全ての内部のメインアカウントのバーチャルサブアカウントが、外部アカウントに結び付けられているかどうかを問い合わせる。各バーチャルサブアカウントは、現在のプラットフォームの内部のメインアカウントに従属している。

非限定的な例示として、外部アカウントｂｏｂ＠ｓｉｎａ.ｃｏｍのアイデンティティ検証が、検証される場合、本例の実施形態は、ａｌｉｃｅ＠ａｌｉｙｕｎ．ｃｏｍのバーチャルサブアカウントが、ｂｏｂ＠ｓｉｎａ.ｃｏｍに結び付けられているかどうかを直接問い合わせ得る。ａｌｉｃｅ＠ａｌｉｙｕｎ．ｃｏｍが、ｂｏｂ＠ｓｉｎａ.ｃｏｍに結び付けられているバーチャルサブアカウントを有する場合、次に、それは、バーチャルサブアカウントが外部アカウントに結び付けられていると確認することになり、段階Ｓ３４０に進む。

段階Ｓ３４０において、方法は、外部アカウントに結び付けられているバーチャルサブアカウントが検証された場合に、バーチャルサブアカウントの事前設定済みの権利に基づいて内部のメインアカウントのリソースを管理するべく、外部アカウントを許可する。

本開示のいくつかの実施形態において、リソース管理スタッフは、どの内部のメインアカウントが、リソースを操作するために選択されるかを前もって決定し得、例えば、ａｌｉｃｅ＠ａｌｉｙｕｎ．ｃｏｍを直接決定し、次に、外部アカウントのサーバにアイデンティティ検証要求を送信する。サーバにより返されたアイデンティティ検証結果が、有効であるとして検証された後、現在のプラットフォームは、内部のメインアカウントとａｌｉｃｅ＠ａｌｉｙｕｎ．ｃｏｍに対応しているバーチャルサブアカウントおよび外部アカウントとの間の関係を探し、関係が特定され得た場合、バーチャルサブアカウントが、外部アカウントに結び付けられているかどうかを決定するであろう。上記の関係のどれも見つけられない場合、ユーザは、外部アカウントに結び付けられている内部のメインアカウントはないと通知されるであろう。本例の実施形態において、ターゲットの内部のメインアカウントは、前もって決定され得る。したがって、外部アカウントのアイデンティティが検証された場合、外部アカウントが、ターゲットの内部アカウントのバーチャルサブアカウントに結び付けられているかどうかに関して、目的のある問い合わせが実行され得、それは、リソース管理機能のより迅速な処理スピードをもたらし、したがって、システムリソースを節約し得る。

本開示の目的において、モジュール、ユニットまたは回路は、本明細書で説明されているプロセス、特徴および／または機能を（ヒューマンインタラクションまたはヒューマンオーグメンテーションの有無にかかわらず）実行するまたは容易にする、ソフトウェア、ハードウェアもしくはファームウェア（またはこれらの組み合わせ）のシステム、プロセスまたは機能性、またはこれらの構成要素である。モジュールは、サブモジュールを含み得、ユニットは、サブユニットを備え得る。モジュール／ユニットのソフトウェア構成要素は、プロセッサにより実行されるためにコンピュータ可読媒体上に記憶されてよい。モジュール／ユニットは、１または複数のサーバもしくはデバイスと一体であってよく、または、１または複数のサーバ／デバイスにより搭載され、かつ、実行されてよい。１または複数のモジュールが、エンジンまたはアプリケーションにグループ化されてよい。したがって、本開示の実施形態によるデバイスは、単一のデバイスとして統合される、または分配されてよく、かつ、ソフトウェア、ハードウェアもしくはファームウェア、およびこれらの組み合わせを含んでよい。

図６は、本開示のいくつかの実施形態に係る、外部アカウントを用いてリソースを管理するためのデバイスのブロック図を表す。外部アカウントを用いてリソースを管理するためのデバイス４００は、以下のモジュールを含む。

アイデンティティ検証モジュール４１０は、サーバを通じて外部アカウントのアイデンティティ検証を行う。

バーチャルサブアカウント問い合わせモジュール４２０は、外部アカウントのアイデンティティが検証された場合、バーチャルサブアカウントが、外部アカウントに結び付けられているかどうかを問い合わせる。各バーチャルサブアカウントは、現在のプラットフォームの内部のメインアカウントに従属している。

リソース管理モジュール４３０は、外部アカウントに結び付けられているバーチャルサブアカウントが検証された場合に、バーチャルサブアカウントの事前設定済みの権利に基づいて内部のメインアカウントのリソースを管理するべく、外部アカウントを許可する。

本開示のいくつかの実施形態（図７）によれば、リソース管理デバイス４５０は、上記のアイデンティティ検証モジュール４１０と同じ機能を実行する、アイデンティティ検証モジュール４６０を含んでよく、以下をさらに含む。

アイデンティティ検証要求モジュール４６１は、サーバを通じて外部アカウントのアイデンティティ検証を要求する。

署名検証モジュール４６２は、外部アカウントサーバにより返された、アイデンティティ検証結果のサーバ署名を検証する。

外部アカウント確認モジュール４６３は、サーバ署名が検証された場合、アイデンティティ検証結果の外部アカウントは検証されたと決定する。

本開示のいくつかの実施形態によれば、リソース管理デバイス４５０は、以下をまた含んでよい。

バーチャルサブアカウント生成モジュール４５１は、ユーザ名およびパスワードを有している内部のメインアカウントに、バーチャルサブアカウントを生成する。バーチャルサブアカウントは、外部アカウントを用いてリソースを操作するためのパスワードを有さない。

権利割り当てモジュール４５２は、内部のメインアカウントのリソースを管理するために、バーチャルサブアカウントに管理権を割り当てる。

結合モジュール４５３は、バーチャルサブアカウントを外部アカウントに結び付ける。

本開示のいくつかの実施形態によれば、リソース管理デバイス４５０は、内部のメインアカウントのバーチャルサブアカウントの現在の管理権を変更する、権利変更モジュール４５４をさらに含んでよい。

本開示のいくつかの実施形態によれば、リソース管理デバイス４５０は、バーチャルサブアカウントに結び付けられている現在の外部アカウントを別の外部アカウントに変更する、結合オブジェクト変更モジュール４５５をさらに含んでよい。

本開示のいくつかの実施形態によれば、アイデンティティ検証モジュール４６０は、例えば、ＯＡｕｔｈプロトコル、ＳＡＭＬプロトコル、またはＯｐｅｎＩＤプロトコルのような、アイデンティティ検証プロトコルを介して、サーバを通じて、外部アカウントのアイデンティティ検証を行う、第１のアイデンティティ検証モジュール４６４をさらに含む。

図８は、本開示のいくつかの実施形態に係る、外部アカウントを用いてリソースを操作するためのデバイスのブロック図を表す。

外部アカウントを用いてリソースを管理するためのリソース管理デバイス５００は、以下の構成要素を含む。

アイデンティティ検証モジュール５１０は、サーバを通じて外部アカウントのアイデンティティ検証を行う。アイデンティティモジュール５１０は、例えば、前の実施形態のアイデンティティ検証モジュール４１０または４６０に示されるように、構成されてよい。

バーチャルサブアカウント問い合わせ回路５２０は、上述のように、バーチャルサブアカウント問い合わせモジュール４２０の機能を実行するべく構成されており、加えて、外部アカウントのアイデンティティが検証された場合、全ての内部のメインアカウントのバーチャルサブアカウントが外部アカウントに結び付けられているかどうかを問い合わせる、第１の問い合わせモジュール５２１を含む。各バーチャルサブアカウントは、現在のプラットフォームの内部のメインアカウントに従属している。

リソース管理モジュール５３０は、外部アカウントに結び付けられているバーチャルサブアカウントが検証された場合に、バーチャルサブアカウントの事前設定済みの権利に基づいて内部のメインアカウントのリソースを操作するべく、外部アカウントを許可する。

図９は、本開示のいくつかの実施形態に係る、外部アカウントを用いてリソースを操作するためのデバイスの非限定的な実施形態を示している概略ブロック図を表す。

外部アカウントを用いてリソースを管理するためのリソース管理デバイス６００は、以下の構成要素を含む。

ターゲットの内部のメインアカウント確認モジュール６１０は、ターゲットの内部のメインアカウントを決定する。

アイデンティティ検証モジュール６２０は、サーバを通じて外部アカウントのアイデンティティ検証を行う。

バーチャルサブアカウント問い合わせモジュール６３０は、上述のように、バーチャルサブアカウント問い合わせモジュール４２０の機能を実行し、加えて、全ての内部のターゲットアカウントのバーチャルサブアカウントが外部アカウントに結び付けられているかどうかを問い合わせるための、特定問い合わせモジュール６３１を含む。各バーチャルサブアカウントは、現在のプラットフォームの内部のメインアカウントに従属している。

リソース管理モジュール６４０は、外部アカウントに結び付けられているバーチャルサブアカウントが検証された場合に、バーチャルサブアカウントの事前設定済みの権利に基づいて内部のメインアカウントのリソースを操作するべく、外部アカウントを許可する。

進行的な方式で説明されている、発明を実施するための形態の各実施形態は、代替的な、または同様の、または交換可能な実施形態、したがって、実施形態間の同様の、および／または同一の部分のための説明をしており、これらは互いに相互参照により理解され得る。

当業者は、本願の実施形態が、方法、デバイスまたはコンピュータプログラムプロダクトとして提供されてよいことを理解するだろう。したがって、本願の実施形態は、完全にハードウェアの実施形態、完全にソフトウェアの実施形態、またはソフトウェアとハードウェア両方の組み合わせを結合したものとしての形態を採用し得る。さらに、本願の実施形態は、コンピュータ可読プログラムコードを含む、１または複数の利用可能なコンピュータ記憶媒体（ディスクメモリ、ＣＤ‐ＲＯＭ、光メモリ等を含むが限定はされない）に適用される、コンピュータプログラムプロダクトの形態を採用し得る。

１つの典型的な構成において、本明細書で説明されている、コンピュータ、デバイスおよび／またはサーバを形成するコンピュータ機器は、１または複数の中央処理装置（ＣＰＵ）、Ｉ／Ｏインタフェース、ネットワークインタフェースおよび内部または外部からアクセス可能なメモリを備える。メモリは、揮発性メモリ、ランダムアクセスメモリ（ＲＡＭ）および／または、リードオンリメモリ（ＲＯＭ）もしくはフラッシュＲＡＭのような、コンピュータ可読媒体の不揮発性ＲＡＭを備えてよい。内部メモリは、コンピュータ可読媒体の一例である。コンピュータ可読媒体は、（信号ではなく）物理または有形の記憶装置を指し、永久的および非永久的、携帯型のまたは非携帯型の媒体を備え、任意の方法または技術によりデータを記憶し得る。データは、コンピュータ可読命令、データ構造、プログラムモジュールまたは他のデータであり得る。記憶媒体は、相変化メモリ（ＰＲＡＭ）、スタティックランダムアクセスメモリ（ＳＲＡＭ）、ダイナミックランダムアクセスメモリ（ＤＲＡＭ）、他の種類のランダムアクセスメモリ（ＲＡＭ）、リードオンリメモリ（ＲＯＭ）、電気的消去可能プログラマブルリードオンリメモリ（ＥＥＰＲＯＭ）、フラッシュメモリまたは他のメモリ技術、コンパクトディスクリードオンリメモリ（ＣＤ‐ＲＯＭ）、デジタル多用途ディスク（ＤＶＤ）または、他の光学記憶装置、磁気カセットテープ、テープ／ディスクメモリまたは他の磁気記憶デバイスまたは、コンピュータ機器によりアクセスされ得る信号を記憶するための他の非伝送媒体、を含むが、これらに限定はされない。本明細書の定義によれば、具体的に記載されない限り、コンピュータ可読媒体は、データ信号および搬送波のような一時的な媒体を含まない。

本願の実施形態は、本願の実施形態の方法および端末機器（システム）、およびコンピュータプログラムプロダクトのプロセス図および／またはブロック図により説明されている。プロセス図、および／またはブロック図、および／またはフロー図、および／またはブロック図のプロセス、および／またはブロックの各プロセスは、コンピュータプログラム命令により組み合わされ得、かつ実装され得ることが、理解されるであろう。これらのコンピュータプログラム命令は、適切なプログラミングのために汎用コンピュータのＣＰＵ、専用コンピュータ、埋め込みプロセッサまたは、機械を生成するための他のプログラマブルデータ処理端末機器に提供され得、それによりコンピュータのＣＰＵ、または他のプログラマブルデータ処理端末機器により実行された命令が、プロセス図の１または複数のプロセス、および／または、ブロック図の１または複数のブロックにより特定された機能を実現するためのデバイスを形成し得る。いくつかの代替的な実装において、それらのブロックに記された機能／動作は、操作例に記された順序外で起こり得る。例えば、連続して示されている２つのブロックは、実際は、実質的に同時に実行され得、または、複数のブロックは、関連した機能性／動作に基づいて、逆の順序で実行され得ることがある。

コンピュータプログラム命令はまた、コンピュータ可読メモリに記憶され得、コンピュータまたは他のプログラマブルデータ処理端末機器を特定の手法で操作するように導き得、それにより命令は、プロセス図の１または複数のプロセス、および／または、ブロック図の１または複数のブロックにより特定された機能を実現し得る命令デバイスを備える、プロダクトを形成し得る。

これらのコンピュータプログラム命令は、実現されたプロセスを生成するための一連の操作段階を実行するためのコンピュータまたは他のプログラマブルデータ処理端末機器にまた搭載され得、それにより、コンピュータのＣＰＵまたは他のプログラマブルデータ処理端末機器により実行された命令は、プロセス図の１または複数のプロセス、および／または、ブロック図の１または複数のブロックにより特定された機能を実現するための段階を提供し得る。

本願の好適な実施形態が、本明細書に説明されているが、発明の基礎概念がいったん明らかになれば、当業者は、実施形態を変更または修正し得る。したがって、本明細書の請求項は、本願の実施形態の範囲に分類される、好適な実施形態ならびに、すべての変更および修正を備えるように解釈されることが意図される。

最後に、本明細書の用語、「ｆｉｒｓｔ（第１の）」、「ｓｅｃｏｎｄ（第２の）」およびそれに類するものは、１つの物理的部分または、１つの操作を別のものと区別するためにのみ提供されており、これらの物理的部分または、操作が、そのような実際の関係を有する、またはそのような順序であることを必ずしも求めるまたは暗に示すわけではないことに留意されたい。さらに、用語「ｉｎｃｌｕｄｉｎｇ（含む）」、「ｃｏｍｐｒｉｓｉｎｇ（備える）」または任意の他のそのような変形は、非限定的なｃｏｍｐｒｉｓｉｎｇ（備える）の意味を表すことが意図され、それにより、プロセス、方法、物品または端末機器は、一連の要素を含んでよく、これらの要素により限定されず、明示的に記載されていなかった要素、もしくはプロセス、方法、物品または端末機器に固有の要素をまた含んでよい。さらなる詳述がなければ、用語「ｉｎｃｌｕｄｉｎｇａ......（１つの......を含む）」により特定された要素は、他の要素がまた、要素を含むプロセス、方法、物品または端末機器に存在することを除外しない。

本願により提供された外部アカウントを用いてリソースを操作するための方法およびデバイスが、上記のように詳細とともに示されている。特定の事例が、本明細書の本願の原理および実施形態を説明するために使用されていて、上記実施形態の説明は、本願の方法およびコアとなるアイデアを理解することを容易にするためのものにすぎず、その一方で、当業者にとっては、特定の実施形態および応用の範囲は、両方とも本願のアイデアに基づいて変更されてよい。結論として、発明を実施するための形態の内容は、本願を制限するものとして解釈されるものではない。

Claims

クラウドコンピューティングリソースを管理するための方法であって、
アイデンティティ検証プロトコルを使用したネットワークを介した検証サーバとの通信を通じて、前記検証サーバ上の外部アカウントのアイデンティティを検証する段階と
前記外部アカウントの前記アイデンティティが検証される場合、バーチャルサブアカウントが前記外部アカウントに結び付けられているかどうかを決定する段階であって、
前記バーチャルサブアカウントは前記クラウドコンピューティングリソースを管理するための事前設定済みの権利を有し、前記クラウドコンピューティングリソースは１または複数の内部のメインアカウントに関連付けられており、前記バーチャルサブアカウントは前記１または複数の内部のメインアカウントのうちの１の内部のメインアカウントに従属している段階と
前記バーチャルサブアカウントが前記外部アカウントに結び付けられていると決定された場合、前記バーチャルサブアカウントの前記事前設定済みの権利に基づいて前記１の内部のメインアカウントに関連付けられる前記クラウドコンピューティングリソースを管理するべく、前記外部アカウントを許可する段階とを備える、方法。
前記外部アカウントの前記アイデンティティを前記検証する段階は、
前記検証サーバを通じて前記外部アカウントのためのアイデンティティ検証を要求する段階と
前記検証サーバにより返されたアイデンティティ検証結果のサーバ署名を検証する段階と
前記サーバ署名が検証される場合、前記外部アカウントの前記アイデンティティが検証されると決定する段階とを有する、請求項１に記載の方法。
前記１の内部のメインアカウントに従属している前記バーチャルサブアカウントを生成する段階であって、前記１の内部のメインアカウントはユーザ名およびパスワードを有し、前記バーチャルサブアカウントは前記外部アカウントを用いてリソースを管理するためのパスワードを有さない段階と
前記１の内部のメインアカウントの前記リソースを管理するための事前設定済みの権利として前記バーチャルサブアカウントに管理権を割り当てる段階と
前記バーチャルサブアカウントを前記外部アカウントに結び付ける段階とをさらに備える、請求項１または２に記載の方法。
前記１の内部のメインアカウントの前記バーチャルサブアカウントの前記事前設定済みの権利を修正する段階をさらに備え、
前記事前設定済みの権利を前記修正する段階は前記割り当てる段階の後である、請求項３に記載の方法。
前記結び付ける段階の後に前記バーチャルサブアカウントを別の外部アカウントに第２の結び付ける段階をさらに備える、請求項３または４に記載の方法。
前記外部アカウントの前記アイデンティティを前記検証する段階において、前記アイデンティティが前記外部アカウントを通じて検証されない場合、ログイン失敗の原因が表示される、請求項１から５のいずれか一項に記載の方法。
前記アイデンティティ検証プロトコルは、ＯＡｕｔｈプロトコル、ＳＡＭＬプロトコルおよびＯｐｅｎＩＤプロトコルのうちの少なくとも１つを含む、請求項１から６のいずれか一項に記載の方法。
前記バーチャルサブアカウントが前記外部アカウントに結び付けられているかどうかを前記決定する段階は、
前記１または複数の内部のメインアカウントに従属しているバーチャルサブアカウントのいずれかが前記外部アカウントに結び付けられているかどうかを問い合わせる段階を有し、
前記１または複数の内部のメインアカウントの各々が少なくとも１つの従属しているバーチャルサブアカウントを有する、請求項１から７のいずれか一項に記載の方法。
前記バーチャルサブアカウントが前記外部アカウントに結び付けられているかどうかを前記決定する段階は、
前記１または複数の内部のメインアカウントのターゲットアカウントのバーチャルサブアカウントが前記外部アカウントに結び付けられているかどうかを問い合わせる段階を有し、
前記１または複数の内部のメインアカウントの各々が少なくとも１つの従属しているバーチャルサブアカウントを有する、請求項１から８のいずれか一項に記載の方法。
クラウドコンピューティングリソースを管理するためのデバイスであって、
１または複数のプロセッサと
ネットワークインタフェースと
前記１または複数のプロセッサにより実行可能なコンピュータ実行可能命令を記憶したメモリとを備えるデバイスであり、前記コンピュータ実行可能命令は前記デバイスに、
アイデンティティ検証プロトコルを使用したネットワークを介した検証サーバとの通信を通じて、前記検証サーバ上の外部アカウントのアイデンティティを検証させ、
前記外部アカウントの前記アイデンティティが検証される場合、バーチャルサブアカウントが前記外部アカウントに結び付けられているかどうかを決定させ、前記バーチャルサブアカウントは前記クラウドコンピューティングリソースを管理するための事前設定済みの権利を有し、前記クラウドコンピューティングリソースは１または複数の内部のメインアカウントに関連付けられており、前記バーチャルサブアカウントは前記１または複数の内部のメインアカウントのうちの１の内部のメインアカウントに従属し、
前記バーチャルサブアカウントが前記外部アカウントに結び付けられていると決定された場合、前記バーチャルサブアカウントの前記事前設定済みの権利に基づいて前記１の内部のメインアカウントに関連付けられる前記クラウドコンピューティングリソースを管理するべく、前記外部アカウントを許可させる、デバイス。
検証するための前記コンピュータ実行可能命令は、さらに前記デバイスに
前記検証サーバを通じて前記外部アカウントのためのアイデンティティ検証を要求させ、
前記検証サーバにより返されたアイデンティティ検証結果のサーバ署名を検証させ、
前記サーバ署名が検証される場合、前記外部アカウントの前記アイデンティティが検証されると決定させる、請求項１０に記載のデバイス。
前記コンピュータ実行可能命令は、さらに前記デバイスに
前記１の内部のメインアカウントに従属している前記バーチャルサブアカウントを生成させ、前記１の内部のメインアカウントはユーザ名およびパスワードを有し、前記バーチャルサブアカウントは前記外部アカウントを用いてリソースを管理するためのパスワードを有さず、
前記１の内部のメインアカウントの前記リソースを管理するための事前設定済みの権利として前記バーチャルサブアカウントに管理権を割り当てさせ、
前記バーチャルサブアカウントを前記外部アカウントに結び付けさせる、請求項１０または１１に記載のデバイス。
前記コンピュータ実行可能命令は、さらに前記デバイスに
前記１の内部のメインアカウントの前記バーチャルサブアカウントの前記事前設定済みの権利を修正させ、
前記事前設定済みの権利を前記修正させることは前記割り当てさせることの後である、請求項１２に記載のデバイス。
前記コンピュータ実行可能命令は、さらに前記デバイスに
結び付けさせる前記コンピュータ実行可能命令の後に前記バーチャルサブアカウントを別の外部アカウントに第２の結び付けさせる、請求項１２または１３に記載のデバイス。
前記外部アカウントの前記アイデンティティを検証させる前記コンピュータ実行可能命令において、前記アイデンティティが前記外部アカウントを通じて検証されない場合、ログイン失敗の原因が表示される、請求項１０から１４のいずれか一項に記載のデバイス。
前記アイデンティティ検証プロトコルは、ＯＡｕｔｈプロトコル、ＳＡＭＬプロトコルおよびＯｐｅｎＩＤプロトコルのうちの少なくとも１つを含む、請求項１０から１５のいずれか一項に記載のデバイス。
決定させる前記コンピュータ実行可能命令はさらに前記デバイスに
前記１または複数の内部のメインアカウントに従属しているバーチャルサブアカウントのいずれかが前記外部アカウントに結び付けられているかどうかを問い合わせさせ、
前記１または複数の内部のメインアカウントの各々が少なくとも１つの従属しているバーチャルサブアカウントを有する、請求項１０から１６のいずれか一項に記載のデバイス。
決定させる前記コンピュータ実行可能命令はさらに前記デバイスに
前記１または複数の内部のメインアカウントのターゲットアカウントのバーチャルサブアカウントが前記外部アカウントに結び付けられているかどうかを問い合わせさせ、
前記１または複数の内部のメインアカウントの各々が少なくとも１つの従属しているバーチャルサブアカウントを有する、請求項１０から１７のいずれか一項に記載のデバイス。
プロセッサにより実行された場合に、前記プロセッサにクラウドコンピューティングリソースを管理するための方法を実行させるプログラムであって、前記方法は、
アイデンティティ検証プロトコルを使用したネットワークを介した検証サーバとの通信を通じて、前記検証サーバ上の外部アカウントのアイデンティティを検証する段階と、
前記外部アカウントの前記アイデンティティが検証される場合、バーチャルサブアカウントが前記外部アカウントに結び付けられているかどうかを決定する段階であって、前記バーチャルサブアカウントは前記クラウドコンピューティングリソースを管理するための事前設定済みの権利を有し、前記クラウドコンピューティングリソースは１または複数の内部のメインアカウントに関連付けられており、前記バーチャルサブアカウントは前記１または複数の内部のメインアカウントのうちの１の内部のメインアカウントに従属している段階と
前記バーチャルサブアカウントが前記外部アカウントに結び付けられていると決定された場合、前記バーチャルサブアカウントの前記事前設定済みの権利に基づいて前記１の内部のメインアカウントに関連付けられる前記クラウドコンピューティングリソースを管理するべく、前記外部アカウントを許可する段階を備える、プログラム。
前記方法は、
前記１の内部のメインアカウントに従属している前記バーチャルサブアカウントを生成する段階であって、前記１の内部のメインアカウントはユーザ名およびパスワードを有し、前記バーチャルサブアカウントは前記外部アカウントを用いてリソースを管理するためのパスワードを有さない、生成する段階と
前記１の内部のメインアカウントの前記リソースを管理するための事前設定済みの権利として前記バーチャルサブアカウントに管理権を割り当てる段階と
前記バーチャルサブアカウントを前記外部アカウントに結び付ける段階とをさらに備える、請求項１９に記載のプログラム。
クラウドコンピューティングリソースを管理するための方法であって、
検証サーバにより返された外部アカウントのアイデンティティ検証結果を受信する段階と
バーチャルサブアカウントが前記外部アカウントに結び付けられているかどうかを決定する段階であって、前記バーチャルサブアカウントは前記クラウドコンピューティングリソースを管理するための事前設定済みの権利を有し、前記クラウドコンピューティングリソースは１または複数の内部のメインアカウントに関連付けられており、前記バーチャルサブアカウントは前記１または複数の内部のメインアカウントのうちの１の内部のメインアカウントに従属している、決定する段階と
前記バーチャルサブアカウントが前記外部アカウントに結び付けられていると決定された場合、前記バーチャルサブアカウントの前記事前設定済みの権利に基づいて前記１の内部のメインアカウントに関連付けられる前記クラウドコンピューティングリソースを管理するべく、前記外部アカウントを許可する段階とを備える、方法。