JP2020126602A5 - - Google Patents

Description

リライングパーティサーバー上でホスティングされているリソースにモバイル装置からアクセスするための方法が開示され、当該方法は、モバイル装置上にネイティブアプリケーションをホスティングするステップを含み、モバイル装置は、事前認証されたユーザーのためのユーザーエージェントを有し、当該方法はさらに、リライングパーティサーバー上でホスティングされているリソースのリクエストに応答して、事前認証されたユーザーのための認証トークンについて、認証サーバーからリダイレクションリクエストを受信するステップと、認証サーバーからのリダイレクションリクエストに応答して、事前認証されたユーザーのための認証トークンをモバイル装置のユーザーエージェントから認証サーバーに送信するステップと、認証サーバー上でユーザーエージェントからの認証トークンを認証し、認証されたユーザーがリライングパーティサーバー上のリソースにアクセスするための認証クッキーを作成するステップと、認証クッキーをモバイル装置に送信するステップと、リライングパーティサーバーによって認証クッキーが受信されると、事前認証されたユーザーに、リライングパーティサーバー上でホスティングされているリソースへのアクセスを許可するステップとを含む。

リライングパーティサーバー上でホスティングされているリソースにモバイル装置からアクセスするための所定のプロセスを行うためにプロセッサーによって実行されるプログラムであって、当該プロセスは、モバイル装置上にネイティブアプリケーションをホスティングするステップを含み、モバイル装置は、事前認証されたユーザーのためのユーザーエージェントを有し、当該方法はさらに、リライングパーティサーバー上でホスティングされているリソースのリクエストに応答して、事前認証されたユーザーのための認証トークンについて、認証サーバーからリダイレクションリクエストを受信するステップと、認証サーバーからのリダイレクションリクエストに応答して、事前認証されたユーザーのための認証トークンをモバイル装置のユーザーエージェントから認証サーバーに送信するステップと、認証サーバー上でユーザーエージェントからの認証トークンを認証し、認証されたユーザーがリライングパーティサーバー上のリソースにアクセスするための認証クッキーを作成するステップと、認証クッキーをモバイル装置に送信するステップと、リライングパーティサーバーによって認証クッキーが受信されると、事前認証されたユーザーに、リライングパーティサーバー上でホスティングされているリソースへのアクセスを許可するステップとを含む。

例示的な実施形態によれば、コンピューティング装置２００は、例えば、コンピューティング装置２００のメモリー２０４内のＷｅｂブラウザー（図示せず）にアクセスすることができる表示部又はグラフィカルユーザーインターフェース（ＧＵＩ）２０８を含むことができる。コンピューティング装置２００は、コンピューターハードウェアを管理し、様々なソフトウェアプログラムの効率的な実行のための共通のサービスを提供するオペレーティングシステム（ＯＳ）も含む。例示的な実施形態によれば、ＣＰＵ２０２のＯＳは、Ｌｉｎｕｘ（登録商標）又はＷｉｎｄｏｗｓ（登録商標）ベースのオペレーティングシステムである。ソフトウェアプログラムは、例えば、アプリケーションソフトウェア及びプリンタードライバーソフトウェアを含むことができる。例えば、プリンタードライバーソフトウェアは、例えばコンピューティング装置２００と接続されたマルチファンクションプリンター又はプリンター（図示せず）を制御し、プリンタードライバーソフトウェアは、通信ネットワーク１５０を介してインストールされる。ある実施形態では、プリンタードライバーソフトウェアは、画像及び／又はドキュメントデータに基づいてプリントジョブ及び／又はドキュメントを生成することができる。

例示的な実施形態によれば、フローが発生したユーザーエージェント（ＵＡ）を認証プロバイダー（ＳＡＭＬ－ＩｄＰ１３０又はＯＩＤＣ－ＯＰ１３１）が検出した場合にのみ、認証プロバイダー（ＳＡＭＬ－ＩｄＰ１３０又はＯＩＤＣ－ＯＰ１３１）はフローを盗用してモバイルアプリケーションカウンターパート上のエージェントに問合せる。例えば、サポートされるモバイルユーザーエージェントは、アップル（登録商標）ＷｅｂＫｉｔ、Ｍｏｂｉｌｅ Ｓａｆａｒｉ、及び５３７．３６（ＧｅｃｋｏのようなＫＨＴＭＬ）Ｃｈｒｏｍｅ（登録商標）を含むことができる。また、モバイルブラウザーによるユーザーエージェントは、ブラウザーのバージョン、装置モデル、オペレーティングシステム（ＯＳ）、及び他の要因に応じて異なる可能性がある。

例示的な実施形態によれば、アプリケーションログインフローのためにＵＩレンダリング技術が用いる、モバイル装置のための様々なネイティブアプリケーションが存在する。例えば、外部のブラウザーを起動するアプリケーションもあれば、ＷｅｂＶｉｅｗなどのアプリ内ブラウザーを使用するアプリケーションもあれば、ＳＦＳａｆａｒｉＶｉｅｗＣｏｎｔｒｏｌｌｅｒ及びＣｈｒｏｍｅＴａｂなどの最新のトレンドを使用するアプリケーションもある。例示的な実施形態によれば、本開示において再び提示されるエージェントコードはエージェントの動作に基づいてユーザーエージェントに依存しない（すなわち、多くの種類のプラットフォーム又はオペレーティングシステムと互換性がある）ことを伝え、シングルサインオン（ＳＳＯ）ベースのログインフローと、エージェント上の対応するリダイレクト動作とをサポートするネイティブモバイルアプリケーション、例えばＧｏｏｇｌｅ（登録商標） Ｄｒｉｖｅ ａｎｄ ＢｏｘにおいてＯＩＤＣ及びＳＡＭＬのためのＳＳＯフローにシームレス性を提供するという最終目標を実現するために３つの例が開示される。

例示的な実施形態によれば、例えば、アプリケーションはＳａｆａｒｉ（登録商標）又はＣｈｒｏｍｅなどのシステムブラウザーを使用し、システムブラウザーは独自のユーザーエージェントを有する異なるアプリケーションとして機能する。例示的な実施形態によれば、エージェントはリダイレクトリクエストを受信し、暗号化されたＵＲＩパラメータを復号して、暗号化されたＵＲＩが真正の認証プロバイダーのものであることを確認する。この確認は、悪意のあるアプリケーションを回避するためのものであり、サーバーは、エージェントに問合せてユーザーのＪＷＴ（すなわちトークン）を取得することを試みる。成功した場合、サーバーは認証サーバーに到達するようユーザーエージェントをリダイレクトし、ＪＷＴを提供する。成功しなかった場合、リクエストは取り下げられ、メッセージが記録されることを記録し、警告メッセージ、例えばポップアップを用いて、問題を管理者に報告するようアプリケーションユーザーに警告することができる。

ステップ５０８において、ＯＩＤＣ－ＯＰ１３１は、「登録されたモバイルＳＳＯ認証インテントハンドラー」を訪問するようユーザーエージェントをリダイレクトするＵＲＬリダイレクションリクエスト（例えば、ＨＴＴＰ３０２）を構築する。ステップ５０９において、ＯＩＤＣ－ＯＰ１３１は、ＵＲＬリダイレクションレスポンス（例えば、３０２：ＳＰＳ Ｃｕｓｔｏｍ Ｍｏｂｉｌｅ Ａｐｐｌｉｃａｔｉｏｎ Ｒｅｄｉｒｅｃｔｉｏｎ，Ｒｅｄｉｒｅｃｔｉｏｎ Ｓｃｈｅｍｅ：“ＳｐｓＭｏｂｉｌｅＳｓｏＡｕｔｈＡｇｅｎｔ”，ｉｎｓｔｅａｄ ｏｆ ａ ｒｅｇｕｌａｒ “ｈｔｔｐｓ”）をモバイルアプリケーション３３２に送信する。ステップ５１０において、ＵＲＬリダイレクションレスポンス（例えば、ＨＴＴＰ ３０２ ｒｅｑｕｅｓｔ ｔｒｉｇｇｅｒｓ ＳｐｓＭｏｂｉｌｅＳｓｏＡｕｔｈＡｇｅｎｔ：／ｃａｌｌ＿ｂａｃｋ）がＳＰＳ－ＳＳＯエージェント（例えば、（ＳＰＳクライアント内で動作している）ＳＰＳモバイルＳｓｏエージェント）３２２に送信される。ステップ５１１において、ＳＰＳ－ＳＳＯエージェントは、現在のアクティブなＪＷＴ（すなわちトークン）（例えば、３０２：／ｍｏｂｉｌｅｉｄ／ｖ１／ｊｗｔ／（ＪＷＴ Ｖａｌｕｅ））をモバイルアプリケーション３３２に送信する。ステップ５１２において、ＳＰＳ－ＳＳＯエージェントから受信された現在のアクティブなＪＷＴがリクエスト（例えば、ＧＥＴ：／ｍｏｂｉｌｅｄｉ／ｖ１／ｊｗｔ／（ＪＷＴ Ｖａｌｕｅ））とともにＯＩＤＣ－ＯＰ１３１に送信される。

図６Ａ及び図６Ｂは、ＳＡＭＬによるＳＳＯログインをサポートするネイティブモバイルアプリケーションのためのフローを例示するフローチャート６００である。図６Ａ及び図６Ｂに示すように、ステップ６０１において、モバイル装置（例えばスマートフォン）１１２を有するユーザーが、ユーザーインターフェース（又はグラフィカルユーザーインターフェース（ＧＵＩ）上のモバイルアプリケーションアイコン「アプリＢ」３３４をクリックする。アイコン「アプリＢ」３３４が開かれると、図４Ｂに示すように、ユーザーはグラフィカルユーザーインターフェース上で電子メールＩＤ及び／又はドメイン名を入力する。ステップ６０２において、（ＳＰＳクライアント上で動作している）ＳＰＳモバイルＳＳＯエージェント３２０は、モバイル装置１１２のＩＯＳ又はアンドロイド（登録商標）（ＯＳ）上にｈｔｔｐ：／／ｌｏｃａｌｈｏｓｔｅ／ｓｐｓ－ｓｓｏ－ｒｅｄｉｒｅｃｔ／”を登録する（すなわちホワイトリストされる）。

ステップ６０３において、モバイルアプリケーション３３４は、リクエスト（例えば、“ＧＥＴ：Ｌｏｇｉｎ”）をサービスプロバイダーＷｅｂサーバー（ＳＡＭＬ－ＳＰ）１２０に送信する。ステップ６０４において、モバイルアプリケーション３３４からのリクエストに応答して、サービスプロバイダーＷｅｂサーバー（ＳＡＭＬ－ＳＰ）１２０は、認証リクエスト、例えば、ＳＰ起点のＳＡＭＬ２認証リクエストをＳＰＳ認証サービス（ＳＡＭＬ－ＩｄＰ）１３０に送信する。ＳＰＳ認証サービス（ＳＡＭＬ－ＩＤＰ）１３０への認証リクエスト（例えば、ＳＰ起点のＳＡＭＬ２認証リクエスト）は、ログインしたユーザーについての詳細（例えば、ユーザー名／ドメイン名）を何も含まない。ステップ６０５において、認証リクエスト（例えば、ＳＰ起点のＳＡＭＬ２認証リクエスト）がＳＰＳ認証サービス（ＳＡＭＬ－ＩＤＰ）１３０によって受信され、クッキー認証が有効かどうか判断する。クッキー認証が有効であれば、処理はステップ６１５に続く。しかし、クッキー認証が有効でなければ、処理はステップ６０６に続き、ＳＡＭＬ－ＩＤＰ１３０がユーザーエージェントを突き止め（又は発見し）、対象のモバイル装置のＳＰＳクライアント上に「登録されたモバイルＳＳＯ認証インテントハンドラー」コールバックをマッピングする。ステップ６０７において、ＳＡＭＬ－ＩｄＰ１３０は、ＵＲＬリダイレクションリクエストを構築する（例えば、「登録されたモバイルＳＳＯ認証インテントハンドラー」を訪問するようユーザーエージェントをリダイレクトする“Ｃｏｎｓｔｒｕｃｔ ａ ＨＴＴＰ３０２）。ステップ６０８において、ＳＡＭＬ－ＩｄＰ１３０は、ステップ６０９で作成された暗号化メッセージを含むＵＲＬリダイレクションリクエスト（例えば、“３０２：ＳＰＳ Ｃｕｓｔｏｍ Ｍｏｂｉｌｅ Ａｐｐ Ｒｅｄｉｒｅｃｔｉｏｎ，Ｒｅｄｉｒｅｃｔｉｏｎ Ｓｃｈｅｍｅ：ｈｔｔｐ：／／ｌｏｃａｌｈｏｓｔ／ｓｐｓ－ｓｓｏ－ｒｅｄｉｒｅｃｔ／ｃｈａｌｌｅｎｇｅ＝８９７１９８２ｊｈｊｈｓｂｊｈｓ）をモバイルアプリケーション３３４に送信する。図６Ｂに示すように、ステップ６０９において、ＳＡＭＬ－ＩｄＰ１３０は、「（このサーバー及びエージェントにのみ知られている）事前共有シークレットを復号化し、モバイル装置１１２上のエージェントをリダイレクトするためのレスポンスを送信する。

Claims (20)

1. リライングパーティサーバー上でホスティングされているリソースにモバイル装置からアクセスするための方法であって、前記方法は、
   前記モバイル装置上にネイティブアプリケーションをホスティングするステップを含み、前記モバイル装置は、事前認証されたユーザーのためのユーザーエージェントを有し、前記方法はさらに、
   前記リライングパーティサーバー上でホスティングされている前記リソースのリクエストに応答して、事前認証されたユーザーのための認証トークンについて、認証サーバーからリダイレクションリクエストを受信するステップと、
   前記認証サーバーからの前記リダイレクションリクエストに応答して、前記事前認証されたユーザーのための前記認証トークンを前記モバイル装置の前記ユーザーエージェントから前記認証サーバーに送信するステップと、
   前記認証サーバー上で前記ユーザーエージェントからの前記認証トークンを認証し、前記認証されたユーザーが前記リライングパーティサーバー上の前記リソースにアクセスするための認証クッキーを作成するステップと、
   前記認証クッキーを前記モバイル装置に送信するステップと、
   前記リライングパーティサーバーによって前記認証クッキーが受信されると、前記事前認証されたユーザーに、前記リライングパーティサーバー上でホスティングされている前記リソースへのアクセスを許可するステップとを含む、方法。
2. 前記事前認証されたユーザーを前記モバイル装置上でシングルサインオン（ＳＳＯ）法によって認証するステップをさらに含む、請求項１に記載の方法。
3. 前記事前認証されたユーザーが認証されると、前記モバイル装置のオペレーティングシステム（ＯＳ）で前記事前認証されたユーザーについて呼び出されるインテントを登録するステップをさらに含み、前記呼び出されるインテントは、前記事前認証されたユーザーのための前記認証トークンを前記モバイル装置の前記ユーザーエージェントから受信すると、前記認証サーバーからの前記リダイレクションリクエストに応答するように構成される、請求項２に記載の方法。
4. 前記認証サーバーは、ＯｐｅｎＩＤ Ｃｏｎｎｅｃｔ（ＯＩＤＣ）プロバイダー又はセキュリティアサーションマークアップ言語（ＳＡＭＬ）アイデンティティプロバイダーであり、前記リライングパーティサーバーは、ＯＩＤＣリライングパーティ又はＳＡＭＬサービスプロバイダーである、請求項１～３のいずれか一項に記載の方法。
5. 前記認証トークンは、ＪＳＯＮ Ｗｅｂトークン（ＪＷＴ）である、請求項１～４のいずれか一項に記載の方法。
6. 前記モバイル装置のオペレーティングシステムは、前記モバイル装置の前記ユーザーエージェントからの前記事前認証されたユーザーのための前記認証トークンとともに前記認証サーバーからの前記リダイレクションリクエストを継続的に待機して、前記リライングパーティサーバー上でホスティングされている前記リソースのリクエストのフローの損失を回避する、請求項１～５のいずれか一項に記載の方法。
7. 前記ユーザーエージェントを介する前記認証サーバーからの前記リダイレクションリクエストは、前記モバイル装置上のＷｅｂブラウザーを介して前記リライングパーティサーバー上でホスティングされているリソースのリクエストと同時に動作されるように構成される、請求項６に記載の方法。
8. 前記リライングパーティサーバー上でホスティングされている前記リソースについて、前記モバイル装置から前記リライングパーティサーバーにリクエストを送信するステップと、
   前記リライングパーティサーバーからの前記リソースについてリダイレクションリクエストを前記モバイル装置上で前記リライングパーティサーバーから受信するステップと、
   前記事前認証されたユーザーの詳細を含まない前記モバイル装置からのリクエストを前記認証サーバーに送信するステップと、
   前記リライングパーティサーバー上でホスティングされている前記リソースのリクエストに応答して、前記事前認証されたユーザーのための前記認証トークンについて前記リダイレクションリクエストを前記認証サーバーから前記モバイル装置に送信するステップとをさらに含む、請求項１～７のいずれか一項に記載の方法。
9. 前記モバイル装置上で前記ネイティブアプリケーションをホスティングするステップをさらに含み、前記ネイティブアプリケーションは、前記リライングパーティサーバーによってホスティングされている前記リソースについて前記ユーザーを認証するように構成され、前記リライングパーティサーバーによってホスティングされている前記リソースは、オンプレミスサービス又はクラウドサービスである、請求項１～８のいずれか一項に記載の方法。
10. 前記事前認証されたユーザーのための前記認証トークンについての前記認証サーバーからの前記リダイレクションリクエストは、前記ユーザーエージェントを発見し、前記事前認証されたユーザーの前記認証トークンを取得するように前記認証サーバーによって構築される、請求項１～９のいずれか一項に記載の方法。
11. 前記ユーザーエージェントがサポートされているモバイルユーザーエージェントのものであることを前記認証サーバーが検出した場合にのみ、前記ユーザーエージェントに問合せるステップをさらに含む、請求項１～１０のいずれか一項に記載の方法。
12. 前記サポートされているモバイルユーザーエージェントは、ＡｐｐｌｅＷｅｂＫｉｔ、Ｍｏｂｉｌｅ Ｓａｆａｒｉ、又は５３７．３６ Ｃｈｒｏｍｅのうちの一つ以上である、請求項１１に記載の方法。
13. 前記リライングパーティサーバーは、電気通信サービスプロバイダー（ＴＳＰ）、アプリケーションサービスプロバイダー（ＡＳＰ）、ストレージサービスプロバイダー（ＳＳＰ）、及び／又はインターネットサービスプロバイダー（ＩＳＰ）である、請求項１～１２のいずれか一項に記載の方法。
14. 前記事前認証されたユーザーが前記リライングパーティサーバー上でホスティングされている前記リソースへのアクセスを許可されると、さらなるログインは必要とされない、請求項１～１３のいずれか一項に記載の方法。
15. リライングパーティサーバー上でホスティングされているリソースにモバイル装置からアクセスするための所定のプロセスを行うためにプロセッサーによって実行されるプログラムであって、前記プロセスは、
    前記モバイル装置上にネイティブアプリケーションをホスティングするステップを含み、前記モバイル装置は、事前認証されたユーザーのためのユーザーエージェントを有し、前記プロセスはさらに、
    前記リライングパーティサーバー上でホスティングされている前記リソースのリクエストに応答して、事前認証されたユーザーのための認証トークンについて認証サーバーからリダイレクションリクエストを受信するステップと、
    前記認証サーバーからの前記リダイレクションリクエストに応答して、前記事前認証されたユーザーのための前記認証トークンを前記モバイル装置の前記ユーザーエージェントから前記認証サーバーに送信するステップと、
    前記認証サーバー上で前記ユーザーエージェントからの前記認証トークンを認証し、前記認証されたユーザーが前記リライングパーティサーバー上の前記リソースにアクセスするための認証クッキーを作成するステップと、
    前記認証クッキーを前記モバイル装置に送信するステップと、
    前記リライングパーティサーバーによって前記認証クッキーが受信されると、前記事前認証されたユーザーに、前記リライングパーティサーバー上でホスティングされている前記リソースへのアクセスを許可するステップとを含む、プログラム。
16. 前記プロセスは、前記事前認証されたユーザーを前記モバイル装置上でシングルサインオン（ＳＳＯ）法によって認証するステップをさらに含む、請求項１５に記載のプログラム。
17. 前記プロセスは、前記事前認証されたユーザーが認証されると、前記モバイル装置のオペレーティングシステム（ＯＳ）で前記事前認証されたユーザーのために呼び出されるインテントを登録するステップをさらに含み、前記呼び出されるインテントは、前記事前認証されたユーザーのための前記認証トークンを前記モバイル装置の前記ユーザーエージェントから受信すると、前記認証サーバーからの前記リダイレクションリクエストに応答するように構成される、請求項１６に記載のプログラム。
18. 前記認証サーバーは、ＯｐｅｎＩＤ Ｃｏｎｎｅｃｔ（ＯＩＤＣ）プロバイダー又はセキュリティアサーションマークアップ言語（ＳＡＭＬ）アイデンティティプロバイダーであり、前記リライングパーティサーバーは、ＯＩＤＣリライングパーティ又はＳＡＭＬサービスプロバイダーであり、
    前記認証トークンは、ＪＳＯＮ Ｗｅｂトークン（ＪＷＴ）である、請求項１５～１７のいずれか一項に記載のプログラム。
19. リライングパーティサーバー上でホスティングされているリソースにモバイル装置からアクセスするためのネイティブアプリケーションを有するモバイル装置であって、前記モバイル装置は、
    プロセッサーと、
    ユーザーインターフェースと、
    オペレーティングシステム、及び事前認証されたユーザーのための認証トークンを有するユーザーエージェントを有するメモリーとを備え、前記オペレーティングシステム及び前記ユーザーエージェントは、
    前記リライングパーティサーバー上でホスティングされている前記リソースのリクエストに応答して、事前認証されたユーザーのための認証トークンについて認証サーバーからリダイレクションリクエストを受信し、
    前記認証サーバーからの前記リダイレクションリクエストに応答して、前記事前認証されたユーザーのための前記認証トークンを前記モバイル装置の前記ユーザーエージェントから前記認証サーバーに送信し、
    前記ユーザーエージェントからの前記認証トークンの前記認証サーバー上での認証から作成された認証クッキーを受信するように構成され、前記認証クッキーは、前記認証されたユーザーが前記リライングパーティサーバー上の前記リソースにアクセスすることを許可するように構成され、前記オペレーティングシステム及び前記ユーザーエージェントはさらに、
    前記リライングパーティサーバー上でホスティングされている前記リソースに前記認証クッキーによりアクセスするように構成される、モバイル装置。
20. 前記事前認証されたユーザーは、シングルサインオン（ＳＳＯ）法によって前記モバイル装置上で認証され、前記事前認証されたユーザーが認証されると、前記ユーザーエージェントは、前記モバイル装置の前記オペレーティングシステムで前記事前認証されたユーザーのために呼び出されるインテントを登録するように構成され、前記呼び出されるインテントは、前記事前認証されたユーザーのための前記認証トークンを前記モバイル装置の前記ユーザーエージェントから受信すると、前記認証サーバーからの前記リダイレクションリクエストに応答するように構成され、
    前記認証サーバーは、ＯｐｅｎＩＤ Ｃｏｎｎｅｃｔ（ＯＩＤＣ）プロバイダー又はセキュリティアサーションマークアップ言語（ＳＡＭＬ）アイデンティティプロバイダーであり、前記リライングパーティサーバーは、ＯＩＤＣリライングパーティ又はＳＡＭＬサービスプロバイダーであり、前記認証トークンは、ＪＳＯＮ Ｗｅｂトークン（ＪＷＴ）である、請求項１９に記載のモバイル装置。