JP3426091B2 - パスワード同期を与えるシステム - Google Patents

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、概して云えば、デ
ータ処理システムに関するものであり、更に詳しく云え
ば、パスワード同期によるデータ処理システムの間の資
源共用に関するものである。更に特定的に云えば、本発
明は、クライアント／サーバ・システムにおける各ユー
ザのための複数のローカル資源に対する汎用のリポジト
リの間にパスワード同期を与えることに関するものであ
る。

【０００２】

【従来の技術】コンピュータ・ネットワークはその分野
ではよく知られており、その大きさ及び複雑さの両方が
増大し続けている。この増大は、より多くのコンピュー
タをネットワークに接続すること及びネットワークを他
のネットワークに接続することによって促進される。こ
れは、ファイル、アプリケーション、プリンタ、及び特
殊コンピュータのような資源の共用を単純化するようコ
ンピュータが効率的に動作することを可能にするために
行われる。

【０００３】残念なことに、多くのネットワークは異な
る製造会社のコンピュータを含んでおり、コンピュータ
を効率的に動作させるというタスクを複雑にしている。
そのような「マルチ・ベンダ」ネットワークにおけるコ
ンピュータは、それらが共通のデータ・フォーマット又
は共通のセキュリティ機構を使用しているのではないの
で、通常、一緒に動作することが困難である。又、共通
のネットワーク・ネーミング・スキームの欠如も、コン
ピュータが情報を共用し得る度合いを制限している。

【０００４】上記の問題の多くを克服するために、一群
のネットワーク・コンピュータを単一のコヒーレントな
計算エンジンに変換する分散計算環境（ＤＣＥ）を開発
したオープン・システム・ファウンデーション（ＯＳ
Ｆ）グループが形成された。ＤＣＥは種々な種類のコン
ピュータの間の相異をマスクし、それによって、記憶装
置、ＣＰＵ、及びメモリのような広範な資源を使用して
ネットワークの潜在的な力を引き出し得る分散アプリケ
ーションをユーザが開発及び実行することを可能にす
る。これらのアプリケーションの分散部分は同時に実行
することが可能であるので、それらは、データに順次に
作用しなければならない単一プロセッサ・アプリケーシ
ョンよりもずっと強力である。

【０００５】残念ながら、分散計算環境でさえ、多数の
ユーザの間で共用されるべきデータを如何に保護するか
というようなそれら自身の問題を有する。更に、事象は
個々のコンピュータ相互間で同期されなければならず、
異なるデータ・フォーマット及びファイル・ネーミング
・スキームを持ったコンピュータは、平均すると、協同
的に動作することを許されなければならない。ＤＣＥは
これらの問題の多くを克服し、これらの面倒な問題に対
する解決法を与える。

【０００６】ＤＣＥはその分野ではよく知られており、
そのようなものの例が図１に示される。図１は、ＤＣＥ
ファイル・サービス３に備えたＤＣＥアプリケーション
・プログラミング・インターフェース１のブロック図で
ある。ＤＣＥは、種々の種類のホスト相互間の相異をマ
スクするソフトウエアの層である。それは、１つの層と
して、ホスト・オペレーティング・システム５及びネッ
トワーク・トランスポート７のためのネットワーク・サ
ービスの上にある。ＤＣＥ分散サービスは、セキュリテ
ィ９、ディレクトリ１１、タイム１３、リモート・プロ
シージャ・コール（ＲＰＣ）１５、及びスレッド・サー
ビス１７を含む。ＲＰＣ１５及びスレッド１７は、ＤＣ
Ｅがインストールされた各システムにおいて使用可能な
基本ＤＣＥサービスである。更に、図１は、ＤＣＥファ
イル・サービスが、分散のための基礎的なＤＣＥサービ
スを使用するアプリケーションに如何に類似しているか
を示す。更に、ＤＣＥディレクトリ・サービスは、セル
・ディレクトリ・サービス（ＣＤＳ）１９及びグローバ
ル・ディレクトリ・サービス（ＧＤＳ）２１より成る。
それらのプログラムは、ディレクトリ・サービス（ＸＤ
Ｓ）をコールすることによってアプリケーション・プロ
グラミング・インターフェース（ＡＰＩ）を使用する。

【０００７】一般的には、各ユーザは、ローカル・ホス
トにログオンするために、秘密のパスワードを使用し
て、それ自身のアイデンティティを証明しなければなら
ない。ローカル・ホストは、ユーザが、自分が誰である
かを主張するものであることの証明として、そのユーザ
及びローカル・ホストのみに知られたパスワードを使用
する。一旦ユーザがローカル・ホストにログオンする
と、通常、ホスト資源は各ファイルと関連した許可及び
特権によって更に保護される。許可は、ユーザがそのフ
ァイルを読み取ることができるのか、書き込むことがで
きるのか、或いは実行することができるのかを統制す
る。単一のローカル・ホストにおけるユーザの数は、一
般には、ホストが単独でパスワード及び許可機能をすべ
て管理できるように十分に少ない。

【０００８】一方、分散計算環境は、その環境における
数百又は数千のローカル・ホスト上のファイルを数千の
ユーザがアクセスするのをサポートすることが可能であ
る。その環境における各ホスト上に各ＤＣＥユーザのセ
キュリティ情報を維持することが実用的でない場合、Ｄ
ＣＥは集中型データベースからのセキュリティ情報を扱
う。このデータベースは、デーモン及びライブラリの分
散セットと共に、ＤＣＥセキュリティ・サービスを構成
する。

【０００９】サーバがセキュリティを強化する時、各ク
ライアントはそれのユーザのアイデンティティ及びアク
セス権を与えなければならない。これらは最初のＲＰＣ
コール時に与えられ、高度の安全な環境においては、Ｒ
ＰＣコール毎に与えられることが多い。各ＤＣＥ資源、
即ち、ディレクトリ、ファイル、プリンタ等へのアクセ
スはサーバによって制御されるため、承認及び許可に対
するサーバの要求は広範囲のネットワーク・セキュリテ
ィを必要とする。これは、ユーザ・アプリケーション・
サーバの他にＣＤＳのサーバのようなＤＣＥサーバに適
用する。そのサーバは、資源へのアクセスを可能にする
前に、クライアントの承認及び許可を検証する。

【００１０】一般には、セキュリティ・サービス機能は
アプリケーションに組み入れられる。これは、クライア
ントがローカル・セキュリティ・ルーチンをコールして
セキュリティ・サーバからの承認情報をリクエストし、
それを他のサーバに送ることを意味する。又、サーバは
セキュリティ・ルーチンをコールして承認情報を検証
し、許可を強化する。承認は人のアイデンティティを他
の誰かに対して証明する機能である。許可は、人のアイ
デンティティに基づいてアクセスを調整する機能であ
る。パスワードは、承認を保証するために及び、その
後、許可を得るために使用される。

【００１１】ＤＣＥにおいて、レジストリとしても知ら
れたセキュリティ・サービスは単一ソースのセキュリテ
ィとして働き、ユーザ、グループ等に関する情報を管理
する。これは、ユーザを定義しそして管理するために、
１つの会社に１つの場所を与える。この方法に対する１
つの制限はパスワードの伝播である。殆どのレジストリ
は、ユーザのパスワードの暗号化されたバージョンを記
憶するだけである。しかし、各レジストリにおける暗号
化機構は他のレジストリの何れとも異なり、特に、他の
ベンダとは異なるレジストリが使用されるシステムでは
異なる。従って、ＤＣＥレジストリによって暗号化され
たパスワードは、ＤＣＥメイン・レジストリのベンダ以
外の誰かによって製造された他のレジストリによる使用
が可能でないことがある。従って、ＤＣＥレジストリか
らそのＤＣＥレジストリと同期したレジストリに安全に
非暗号テキスト・パスワードを伝播することにより、他
のレジストリがその後それ自身のフォーマットでそのパ
スワードを暗号化できるようにすることは有益なことで
ある。これは、ユーザが多数のパスワードを持つことの
ないように（一般には、各セキュリティ・レジストリに
対して１つを持つ）することを可能にし、これらのパス
ワードがすべてのセキュリティ・レジスタに跨って整合
性のあることを保証するために、各レジストリにおいて
これらのパスワードを手操作で更新する必要のないよう
にすることを可能にする。

【００１２】更に、ＤＣＥレジストリは、そのデータベ
ースにＤＣＥレジストリからのユーザ及びパスワードを
ポピュレート（実装）させることを望んでいる新しい非
ＤＣＥレジストリ、即ち、外部レジストリにポピュレー
トさせる方法を与えるものではない。これは、ＤＣＥレ
ジストリそのものが一般には暗号化されたパスワードを
記憶するだけであり、新しいレジストリがそのデータベ
ースにポピュレートさせる必要がある非暗号テキスト・
パスワードを所与のユーザのパスワードに対する更新が
生じるまで、得ることができないからである。従って、
所与のユーザのパスワードに対する更新が生じるまで新
しいレジストリにパスワードを伝播することができない
という従来の問題点を克服するシステムを提供すること
は有益なことであろう。

【００１３】

【発明が解決しようとする課題】本発明の主たる目的
は、外部レジストリがメイン・レジストリにおけるセキ
ュリティ・サーバによって維持されたパスワードとのロ
ーカル・パスワード同期を維持することを可能にするパ
スワード同期機能を提供することにある。その機能は、
任意の数の外部レジストリがそれらに関連したシステム
・アカウントに対するパスワードを、それらのシステム
・アカウントがパスワード変更を定義され或いは受ける
時にいつも自動的に受けることを可能にし、要求に応じ
てこれらのアカウントに対するパスワードを獲得するこ
とを可能にする。外部レジストリは、それらがパスワー
ド同期を維持することを可能にするそのようなパスワー
ド更新を受けるためには、システム・サービスを使用し
なければならない。メイン・レジストリは、どのパスワ
ード変更が特殊な外部レジストリへの伝播に対して適当
であるかを制御する情報に対する中央リポジトリとして
作用する。

【００１４】

【課題を解決するための手段】本発明の１つの実施例
は、メイン・レジストリ、グローバル・レジストリ或い
はメイン・データ記憶装置と複数の外部レジストリ、二
次レジストリ或いは二次データ記憶装置との間にパスワ
ード同期を与えるネットワーク・システム・サーバに対
するものである。更に、そのネットワーク・システム・
サーバは、メイン・データ記憶装置に接続されたセキュ
リティ・サーバと、メイン・データ記憶装置をアクセス
するためにそのセキュリティ・サーバに接続され、各々
が固有の修正可能なパスワードを維持する複数のクライ
アントと、セキュリティ・サーバ及び複数の二次データ
記憶装置に接続され、ユーザが複数の二次データ記憶装
置の間で単一の固有なパスワードを維持できるようにそ
の複数のクライアントの１つと関連したユーザから二次
データ記憶装置の各々にパスワード伝播同期を与えるパ
スワード同期サーバとを含む。メイン・データ記憶装置
は、一般には、分散計算環境において関連の永久的なデ
ータベース又は長期メモリ記憶装置を有するメイン・レ
ジストリであり、複数の二次データ記憶装置の各々は関
連の永久的な二次データベース又は長期メモリ記憶装置
を有する外部レジストリ・サーバである。パスワード伝
播は、二次データ記憶装置の現在のパスワード・ステー
タスに関係なく複数の二次データ記憶装置に課せられ
る。

【００１５】更に、メイン・データ記憶装置は、ユーザ
のパスワードを含む複数のクライアントの各々に対する
情報アカウント、複数の二次データ記憶装置の各々と複
数のクライアントの各々とを結合（バインド）するパス
ワード同期サーバに対する情報アカウント、及び二次デ
ータ記憶装置の各々に対する情報アカウントを維持す
る。

【００１６】セキュリティ・サーバは、複数の二次デー
タ記憶装置の各々に伝播するためのクリア・テキスト・
パスワードをパスワード同期サーバに与える。更に、セ
キュリティ・サーバは、情報アカウントに記憶するため
にそのクリア・テキスト・パスワードを暗号化するため
の手段を含む。

【００１７】更に、パスワード同期サーバに結合する一
時メモリ及び再試行データ記憶装置の再試行待ち行列が
設けられる。その一時メモリ及び再試行データ記憶装置
は、パスワード同期サーバが一時外部レジストリ又はパ
スワード同期サーバの機能停止の場合に伝播再試行を遂
行することを可能にする伝播再試行をサポートする情報
を含む。

【００１８】本発明の上記の及び更なる目的、フィーチ
ャ、及び利点は、以下の詳細に記載した説明において明
らかになるであろう。

【００１９】

【発明の実施の形態】図面、特に、図２を参照すると、
本発明の方法及びシステムを実現するために利用可能な
分散データ処理システム８又は分散計算環境（ＤＣＥ）
システムの概略図が示される。図から明らかなように、
分散データ処理システム８は、ローカル・エリア・ネッ
トワーク（ＬＡＮ）１０及び３２のような複数のローカ
ル資源ネットワークを含むことが可能である。そのＬＡ
Ｎ１０及び３２は、好ましくは、それぞれ、複数の個別
のコンピュータ１２及び３０を含む。勿論、当業者には
明らかなように、そのような各ネットワークに対して、
ホスト・プロセッサに接続された複数のインテリジェン
ト・ワークステーション（ＩＷＳ）が利用可能である。

【００２０】そのようなデータ処理システムにおいては
普通であるように、各個別のコンピュータは記憶装置１
４及びプリンタ／出力装置１６に結合可能である。本発
明の方法によれば、１つ又は複数のそのような記憶装置
１４は種々のデータ・オブジェクト又はドキュメントを
記憶するために利用可能である。なお、それらのデータ
・オブジェクト又はドキュメントは、本発明の方法及び
システムに従って分散データ処理システム８においてユ
ーザによって周期的にアクセス及び処理可能である。従
来技術においてよく知られた方法では、そのような各デ
ータ処理手順又はドキュメントは、資源マネージャ又は
ライブラリ・サービスと関連した記憶装置１４に記憶可
能である。なお、その資源マネージャ又はライブラリ・
サービスは、それと関連したすべての資源オブジェクト
を維持及び更新する責務を負っている。

【００２１】更に、図２を参照すると、分散データ処理
システム８は、メインフレーム・コンピュータ１８のよ
うな多数のメインフレーム・コンピュータを含み得るこ
とは明らかであろう。そのメインフレーム・コンピュー
タは、好ましくは、通信リンク２２によってローカル・
エリア・ネットワーク（ＬＡＮ）１０に接続可能であ
る。又、メインフレーム・コンピュータ１８は、ローカ
ル・エリア・ネットワーク（ＬＡＮ）１０に対するリモ
ート記憶装置として動作し得る記憶装置２０にも接続可
能である。第２のローカル・エリア・ネットワーク（Ｌ
ＡＮ）３２は通信コントローラ２６及びゲートウェイ・
サーバ２８に対する通信リンク３４を介してローカル・
エリア・ネットワーク（ＬＡＮ）１０に接続可能であ
る。ゲートウェイ・サーバ２８は、好ましくは、ローカ
ル・エリア・ネットワーク（ＬＡＮ）３２をローカル・
エリア・ネットワーク（ＬＡＮ）１０にリンクするよう
に働く個別のコンピュータ又はインテリジェント・ワー
クステーション（ＩＷＳ）である。

【００２２】ローカル・エリア・ネットワーク（ＬＡ
Ｎ）３２及びローカル・エリア・ネットワーク（ＬＡ
Ｎ）１０に関して前述したように、複数のデータ処理プ
ロシージャ又はドキュメントが記憶装置２０内に記憶可
能である。それは、そのようにして記憶されたデータ処
理プロシージャ及びドキュメントに対する資源マネージ
ャ又はライブラリ・サービスとして、メインフレーム・
コンピュータ１８によって制御される。

【００２３】勿論、当業者には明らかなように、メイン
フレーム・コンピュータ１８はローカル・エリア・ネッ
トワーク（ＬＡＮ）１０からの大きな地理的距離に置か
れ、同様に、ローカル・エリア・ネットワーク（ＬＡ
Ｎ）１０はローカル・エリア・ネットワーク（ＬＡＮ）
３２からかなりの距離に置かれる。即ち、ローカル・エ
リア・ネットワーク（ＬＡＮ）３２はカリフォルニアに
設置可能であり、一方、ローカル・エリア・ネットワー
ク（ＬＡＮ）１０はテキサスに設置可能であり、メイン
フレーム・コンピュータ１８はニューヨークに設置可能
である。

【００２４】以上を参照すれば明らかなように、分散デ
ータ処理システム８の一部分におけるユーザが、その分
散データ処理システム８の他の部分に記憶されたデータ
・オブジェクト又はドキュメントをアクセスすることが
望ましいことが多い。データ処理システム８に記憶され
たドキュメントにおける外観上の順序を維持するために
は、単方向アクセス制御プログラムを実施することが望
ましいことが多い。これは、一般には、各ユーザが資源
マネージャ又はライブラリ・サービス内のドキュメント
に関して享受し得る権限のレベルと共に、各個別のデー
タ・オブジェクト又はドキュメントをアクセスすること
を許可されたユーザをリストすることによって達成され
る。この場合、データ処理プロシージャ及びドキュメン
トは分散データ処理システム８における登録されたユー
ザによってアクセスされ、他のユーザによるアクセスを
防ぐために周期的に「ロック」される。それは、一般に
は、アクセスを制御し且つセキュリティに対する修正を
行うシステム・アドミニストレータである。

【００２５】オープン・システム・ファウンデーション
（ＯＳＦ）の分散計算環境（ＤＣＥ）１.１は、非ＤＣ
ＥレジストリがＤＣＥレジストリ内にこれらの非ＤＣＥ
レジストリに固有の属性を記憶することを可能にする拡
張レジストリ属性（ＥＲＡ）と呼ばれる機能を与える。
これは、レジストリがＤＣＥレジストリであっても或い
はなくても、ＤＣＥレジストリ・サービスがその企業に
おけるすべてのユーザに関するセキュリティ情報に対し
て集中リポジトリとして使用されることを可能にする。
下記の実施例はＤＣＥシステムとして動作するシステム
として説明されるけれども、当業者には明らかなよう
に、本発明はＤＣＥの実施のみに限定されるものではな
く、外部レジストリ・サービス又はリモート・レジスト
リ・サービスに適応し得るメイン・システム・サーバ又
はグローバル・システム・サーバを使用するすべての分
散ＬＡＮに拡張可能である。従って、ＤＣＥはそれの適
切に受容された定義において使用されるけれども、本願
では、その定義は、１つ又は複数のユーザが特定のロー
カル・ホスト・サーバから一般的でないリモート・サー
バにわたってパスワード同期を維持することを可能にす
るために、複数の一般的でないリモート・サーバをメイ
ン・システム・サーバに接続された拡張ＬＡＮ又はＷＡ
Ｎを意味するように拡張される。

【００２６】図２のＤＣＥシステムは、パスワード・ス
トレングス・チェック・サーバを導入する企業のための
機構を含む。ＤＣＥレジストリがユーザ・アカウントの
作成を含むパスワードを更新するためのリクエストを受
ける時、そのレジストリは、パスワード・チェックがイ
ネーブルされているかどうかを知るためにチェックす
る。それが肯定される場合、ＤＣＥレジストリは、ユー
ザ名及びその提案された新しいパスワードを含むレコー
ドをパスワード・ストレングス・サーバに送る。そこ
で、データは、一般にはＤＣＥのＲＰＣの１つを使用し
て、それがネットワーク上で暗号化されるような方法で
送られるが、非暗号テキスト・パスワードはストレング
ス・サーバによって暗号化可能である。一般に、パスワ
ード・ストレングス・サーバは、パスワードが容易に推
測されないことを保証するために、顧客によって決定さ
れたルールに照らしてそのパスワードをチェックする。
そのようなルールは、その分野ではよく知られており、
その実現は熟練者にまかされる。そこで、パスワード・
ストレングス・サーバは、その変更が受容し得るものか
或いは受容し得ないものかを知らせる返事をそのレジス
トリ・サーバに戻す。図２の分散処理システムにおいて
使用するためのＤＣＥ同期及びセキュリティ・システム
の例が図３に示される。

【００２７】ＤＣＥと同期することを望んでいる他のセ
キュリティ・レジストリに非暗号テキスト・パスワード
を伝播させるために、非暗号テキスト・パスワードをこ
れらのレジストリに安全に伝播する新規なパスワード同
期サーバが与えられる。適当なＤＣＥレジストリを持っ
たＤＣＥシステム及び新規なパスワード同期サーバのモ
デルが図３のブロック図で示される。図３では、ＤＣＥ
レジストリ１０２はＤＣＥセキュリティ・サーバ１０４
に結合され、一方、そのＤＣＥセキュリティ・サーバは
パスワード同期サーバ１０６及び種々の外部レジストリ
・サーバＸ−Ｚ１０８に結合される。各外部レジストリ
・サーバ１０８は、一般には、ローカル・サーバとロー
カル・パスワードのようなローカル情報を保持するため
に使用される二次データ記憶装置とより成る。

【００２８】更に、パスワード同期サーバ１０６は種々
のローカル・パスワード・ストレングス・サーバＸ−Ｚ
１１０、及びユーザ名及び関連のパスワードを含むパス
ワード・リポジトリ１１２に結合される。ＤＣＥセキュ
リティ・サーバ１０４は、更に、各クライアントＷ−Ｙ
１１４に結合される。

【００２９】ＤＣＥレジストリ１０２内には、各クライ
アントＷ−Ｙに対するアカウントが存在する。図３に
は、クライアントＹに対するアカウントだけが示される
が、すべてのクライアントに対するアカウントがＤＣＥ
レジストリに与えられる。各クライアントと関連するも
のは種々のＥＲＡ、即ち、セキュリティ・サーバがこの
クライアントに対するパスワード同期サーバ或いはパス
ワード・ストレングス・サーバを位置指定することを可
能にするパスワード管理バインディングＥＲＡ、このク
ライアントに対するパスワード伝播を受けることを許可
された外部レジストリを列挙する外部レジストリＥＲ
Ａ、外部レジストリがパスワード同期サーバからの非暗
号テキスト・パスワードを位置指定し及びリクエストす
ることを可能にする非暗号テキスト・パスワードＥＲ
Ａ、及びこのクライアントに対するパスワード・ストレ
ングス・サーバを識別するパスワード・ストレングスＥ
ＲＡである。更に、各外部レジストリ１０８に対するア
カウントがＤＣＥレジストリ１０２内に維持される。図
３における例は外部レジストリＺに対するアカウントを
示すだけであるけれども、Ｘ−Ｚからのすべての外部レ
ジストリ或いは特定の顧客が希望する任意の数の外部レ
ジストリに対するアカウントがＤＣＥレジストリ１０２
内に与えられる。各外部レジストリに対するアカウント
は外部レジストリ・パスワード伝播バインディングＥＲ
Ａを含み、それは、パスワード同期サーバがパスワード
伝播の目的で外部レジストリを位置指定することを可能
にする。

【００３０】又、各パスワード・ストレングス・サーバ
１１０に対するアカウントも与えられる。図３には、パ
スワード・ストレングス・サーバＸについてのみしか示
されてないが、パスワード・ストレングス・サーバＸ−
Ｚの各々に対するアカウントを含むことが可能である。
そのような各アカウントは二次パスワード管理バインデ
ィングＥＲＡを含み、それは、所与のクライアントに対
するパスワード・ストレングス・サーバを位置指定する
ためにパスワード同期サーバによって使用される。

【００３１】最後に、ＤＣＥレジストリは、更に、パス
ワード同期サーバ１０６に対するアカウントを含み、そ
れは３つのＥＲＡより成る。これらの３つのＥＲＡは、
パスワード伝播イネーブル、パスワード伝播再試行イン
ターバル、及び外部レジストリを含む。これらのＥＲＡ
の各々については、以下で更に詳細に説明することにす
る。

【００３２】ＤＣＥレジストリ及び外部レジストリの間
のパスワードの同期は、次の２つの要件を満たす解決法
を必要とする。即ち、 １）．ＤＣＥレジストリがユーザ定義によってポピュレ
ートされた後にネットワークに構成された外部レジスト
リが、パスワードが変更される時点を待つ必要なく、選
択されたユーザに対するパスワードをリクエスト時に獲
得するための方法を与える。この要件に合致すること
は、外部レジストリがそれのローカル・レジストリにお
ける初期ユーザ／パスワード定義を生成することを可能
にする。この機能を、以下では、「パスワード同期プ
ル」機能と呼ぶことにする。 ２）．これらのパスワードがＤＣＥレジストリにおいて
変更される時、選択されたユーザに対するパスワード変
更を外部レジストリが自動的に受け取る方法を与える。
この機能を、以下では、「パスワード同期プッシュ」機
能と呼ぶことにする。

【００３３】図７は「パスワード同期プル」機能、即
ち、自身のデータベースにＤＣＥレジストリからのユー
ザ名及びパスワードをポピュレートさせることを望んで
いる外部レジストリにサービスする一組のオペレーショ
ンを示す。この機能なしでは、ＤＣＥレジストリそのも
のは暗号化パスワードを記憶するだけであるので、新し
いレジストリは、所与のユーザのパスワードに対する更
新が生じるまで、それのデータベースにポピュレートさ
せる必要がある非暗号テキスト・パスワードを得ること
ができない。この更新は、図８に示された「パスワード
同期プッシュ」機能を通して新しいレジストリに伝播さ
れる。図７の流れ図は、図４に示されるように図３のパ
スワード同期サーバを修正することによるこの問題に対
する解決法を示す。それは、ユーザ名及び非暗号テキス
ト・パスワードを安全に記憶し、それらの検索のための
リクエストに応答するように修正される。この機能に対
するサポートは、ＤＣＥレジストリにおいて各影響ある
ユーザに対する新しいデータ項目の存在を必要とする。
このデータ項目は、「Ｐｌａｉｎ−ｔｅｘｔ＿ＰＡＳＳ
ＷＯＲＤ（非暗号テキスト・パスワード）」とタイトル
を付けられ、ＤＣＥ用語で「ｑｕｅｒｙ ｔｒｉｇｇｅ
ｒ（照会トリガ）」と呼ばれるＤＣＥ拡張レジストリ属
性である。

【００３４】外部レジストリは、パスワード同期サーバ
に対する照会においてこのＥＲＡ結果を読み取ろうとす
る。そのパスワード同期サーバはその後そのユーザに対
するパスワードを戻す。ＤＣＥレジストリはＥＲＡを使
用してパスワード情報をユーザのアカウントと関連づけ
るけれども、ユーザのパスワードをユーザのアカウント
と関連付ける任意の機構又はセキュリティ・サーバも使
用可能である。例えば、セキュリティ・サーバは関連付
けのためのフィールドを有するか、或いはポインタを使
用することができる。

【００３５】図７に示されたオペレーションの説明は次
のようである。ブロック４１０において、パスワード更
新リクエストがＤＣＥセキュリティ・サーバ１０４に対
して発生される。この場合、クライアントＷはクライア
ントＷのアカウントに対するアカウント作成又はパスワ
ード変更をリクエストする。ブロック４１２において、
ＤＣＥセキュリティ・サーバ１０４は、リクエスト時
に、クライアントＷのアカウントに関連したパスワード
管理バインディングＥＲＡに含まれた必要な経路指定情
報を検索し、それを使用してパスワード同期サーバ１０
６を位置指定する。次に、ブロック４１４において、セ
キュリティ・サーバ１０４はクリア・テキスト・パスワ
ード及びクライアントＷのアイデンティティをパスワー
ド同期サーバ１０６に送る。その後、ブロック４１６に
おいて、パスワード同期サーバ１０６はこの情報を暗号
化し、それをそれのパスワード・リポジトリ１１２に記
憶する。しかる後、ブロック４１８において、パスワー
ド同期サーバ１０６は「終了」メッセージをセキュリテ
ィ・サーバ１０４に戻す。

【００３６】ブロック４２０において、セキュリティ・
サーバ１０４はそのパスワードを暗号化し、それをＤＣ
Ｅレジストリ１０２におけるクライアントＷのアカウン
トに記憶する。その後、セキュリティ・サーバはクライ
アントＷに「成功」メッセージを戻す（ブロック４２
２）。

【００３７】上記ステップの終了に続く任意の時間にお
いて、ブロック４２４に示されるように、外部レジスト
リＺ１０８はクライアントＷのアカウントと関連した非
暗号テキスト・パスワードＥＲＡの値を検索するように
セキュリティ・サーバにリクエストすることによってク
ライアントＷのパスワードのコピーをリクエストするこ
とができる。ブロック４２６において、セキュリティ・
サーバはクライアントＷのアカウントから非暗号テキス
ト・パスワードＥＲＡ値を検索する。そこで、ブロック
４２８において、セキュリティ・サーバはこの値を外部
レジスタＺに戻す。ブロック４３０では、外部レジスト
リＺは外部レジストリＺの外部レジストリ・パスワード
伝播バインディングＥＲＡの値を戻すようにセキュリテ
ィ・サーバにリクエストする。ブロック４３２におい
て、セキュリティ・サーバは外部レジストリ・パスワー
ド伝播バインディングＥＲＡの値を検索し、しかる後、
ブロック４３４においてこの値を外部レジストリＺに戻
す。

【００３８】そこで、外部レジストリＺは、経路指定情
報としてステップ４２８において戻された値を使用して
パスワード同期サーバ１０６を位置指定し、ステップ４
３４において戻された値を使用して暗号化のタイプを指
定する。その暗号化は、それが「通信中」である間、即
ち、パスワード同期サーバ及びその後のステップにおい
て生じる外部レジストリＺの間で伝送されている間、ク
ライアントＷのパスワードを保護するために使用され
る。更に、ブロック４３８によれば、外部レジストリＺ
はパスワード同期サーバ１０６からクライアントＷのパ
スワードをリクエストする。ブロック４４０において、
パスワード同期サーバ１０６はクライアントＷの外部レ
ジストリＥＲＡの値を戻すようセキュリティ・サーバ１
０４にリクエストする。ブロック４４２では、セキュリ
ティ・サーバ１０４はこの値をＤＣＥレジストリ１０２
から検索し、しかる後、ブロック４４４において、その
値をパスワード同期サーバに戻す。

【００３９】ブロック４４６において、パスワード同期
サーバ１０６はブロック４４２からのリターン値の内容
を調べて、外部レジストリＺであるリクエスタがこれら
の値の１つと同じであるかどうかを決定する。これはア
クセス制御チェックである。その値が識別されない場
合、そのパスワード同期サーバはブロック４５０におい
て「エラー」メッセージを戻す。一方、その値が識別さ
れる場合、ブロック４４８において、パスワード同期サ
ーバは、パスワード・リポジトリからクライアントＷの
パスワードを検索し、それを非暗号化する。次に、ブロ
ック４５２において、パスワード同期サーバはクライア
ントＷのパスワードを外部レジストリＺに戻す。

【００４０】図８は「パスワード同期プッシュ」機能、
即ち、選択されたユーザ（アカウント）に対するパスワ
ード変更を、このデータを必要とする１つ又は複数の外
部レジストリに自動的に伝播するオペレーション・セッ
トを示す。この機能がない場合、関連のアカウントに対
するパスワードを変更すると、そのアカウントについ
て、ＤＣＥレジストリにおいて定義されたパスワード値
と外部レジストリにおいて定義された値が異なってしま
うことになるであろう。

【００４１】図８に示されたオペレーションの説明は以
下のようであり、更に図５におけるサーバによって表さ
れる。図５は、図３の変形であるが同期プッシュ・オペ
レーションにおいて使用されるエレメントだけが表され
る。ブロック５１０において開始すると、クライアント
Ｙはアカウント作成又はクライアントＹのアカウントに
対するパスワード変更をリクエストする。ブロック５１
２において、セキュリティ・サーバは、クライアントＹ
のアカウントと関連したパスワード管理バインディング
ＥＲＡに含まれた経路指定情報を検索し、それを使用し
てパスワード同期サーバに対して位置指定する。そこ
で、ブロック５１４において、セキュリティ・サーバは
クリア・テキスト・パスワード及びクライアントＹのア
イデンティティをパスワード同期サーバに送る。

【００４２】ブロック５１６において、パスワード同期
サーバは、クライアントＹアカウントからのクライアン
トＹに対する外部レジストリＥＲＡ及びそのパスワード
同期サーバ及び外部レジストリＺアカウントに対するＥ
ＲＡを含むＥＲＡ情報を与えるようＤＣＥセキュリティ
・サーバにリクエストする。

【００４３】ブロック５１８において、セキュリティ・
サーバはＤＣＥレジストリ１０２において示されたその
リクエストされたＥＲＡ情報を検索する。ボックス５２
０において、そのＥＲＡ情報をパスワード同期サーバに
戻す。そこで、パスワード同期サーバは、ボックス５２
２において、クライアントＹの外部レジストリＥＲＡの
内容がパスワード同期サーバの外部レジストリＥＲＡに
も含まれることを検証する。これは、「アクセス制御」
フィーチャである。即ち、そのフィーチャは、どの外部
レジストリがクライアントＹに対するパスワード更新を
受けることを許可されるかを決定することを許可されて
いないものが、クライアントＹのパスワードに対する変
更を未許可の外部レジスタに伝播させることを阻止す
る。これは、標準的なＯＳＦ ＤＣＥ機能の使用を通し
て、システム・アドミニストレータ又はそのような判断
をすることを許されたものだけがパスワード同期サーバ
・アカウントと関連した外部レジストリＥＲＡの内容を
定義することを可能にされる時の効果的なアクセス制御
チェックである。

【００４４】ブロック５２４において、パスワード同期
サーバは、クライアントＹ外部レジストリＥＲＡの内容
を使用して、ＤＣＥレジストリ１０２における適当なＤ
ＣＥレジストリ・アカウントから外部レジストリ・パス
ワード伝播バインディングＥＲＡをリクエストする。例
えば、これは外部レジストリＺアカウントから検索され
る。

【００４５】各サーバＸ−Ｚに対する外部レジストリの
位置指定を終了する時、システムは、ブロック５２８に
おいて及びパスワード同期サーバを通して、セキュリテ
ィ・サーバ１０４に「終了」メッセージを戻す。ブロッ
ク５３０において、セキュリティ・サーバ１０４はその
パスワードを暗号化し、しかる後、それをクライアント
Ｙアカウントに記憶する。その後、ブロック５３２にお
いて、セキュリティ・サーバは「終了」メッセージをク
ライアントＹに戻す。

【００４６】ブロック５３４において、パスワード伝播
イネーブルＥＲＡが「イネーブルされた」ことをそれが
表す場合、パスワード同期サーバは、ブロック５３６に
おいてそのパスワードを外部レジストリ／サーバＺに送
る。それがイネーブルされなかった場合、システムはリ
ターンする。次に、ブロック５３８において、外部レジ
ストリＺは同期終了ステータス又は障害ステータスに戻
るか、或いはネットワークがダウンした場合には応答し
ない。その信号が「終了」である場合、システムはリタ
ーンする。そうでない場合には、システムはブロック５
４０に進む。ブロック５４０では、パスワード同期サー
バが障害ステータスを受けるか或いは応答待ちをタイム
・アウトする場合、パスワード伝播再試行インターバル
ＥＲＡによって定義されたタイム・インターバルが経過
した後、それはその後の再試行のためにこの試みを再び
待ち行列化し、しかる後、リターンする。

【００４７】ネイティブＯＳＦ ＤＣＥは多数のパスワ
ード・ストレングス・サーバのサポートを与える。ＤＣ
Ｅレジストリが所与のユーザに対するパスワードを定義
或いは変更するリクエストを受ける時、それはそのリク
エスティング・ユーザと関連した password_mgmt_bindi
ng（パスワード管理バインディング）ＥＲＡを使用して
パスワード・ストレングス・サーバであると思われるも
のを位置指定し、ユーザ・アイデンティティ及び非暗号
テキスト・パスワードをそのサーバに送り、しかる後、
そのサーバからの「イエス」又は「ノー」の判断を待
つ。ＤＣＥセキュリティ・サーバは、ＤＣＥをサポート
する如何なるプラットフォームにおいても種々のベンダ
によって実施可能であるので、パスワード同期機能の設
計はそのＤＣＥセキュリティ・サーバに対する如何なる
変更も必要としない。本発明は、セキュリティ・サーバ
の実施に対して変更を行うようこれらのベンダに強制す
ることはできず、従って、セキュリティ・サーバとパス
ワード・ストレングス・サーバと思われるものとの間の
このインターフェースのオペレーションを維持しなけれ
ばならない。パスワード同期サーバの設計は、それがパ
スワード・ストレングス・サーバであるというセキュリ
ティ・サーバの信念を損なわないで、パスワード・スト
レングス・サーバの位置においてそれ自身に代わってこ
のインターフェースを利用する。

【００４８】これは、非暗号テキスト・パスワードを獲
得してパスワード同期サーバがそれを外部レジストリに
伝播することを可能にする効果的な方法であるけれど
も、同じアカウントについて、パスワード変更の伝播と
パスワード・ストレングス・チェックの実施の両方を要
求する時に問題を生じる。これは、ネイティブＯＳＦセ
キュリティ・サーバによって認識される所与のアカウン
トに対して１つの password_mgmt_binding ＥＲＡしか
ない（及び前述のように、本発明はセキュリティ・サー
バの性質を変えることはできない）ためである。従っ
て、この１つのインターフェースはパスワード同期チェ
ック及びパスワード・ストレングス・チェックの両方の
機能をサポートしなければならない。各々がそれ自身の
顧客調整済みの構成ルールのセットを持った多数のパス
ワード・ストレングス・サーバに対するサポートを維持
する必要がない場合、この制約は重要な問題を提起する
ことはないであろう。この場合、パスワード同期サーバ
１０６は、それ自身の処理ステップにおいて、伝播チェ
ック及びストレングス・チェックの両方を行うことがで
きるであろう。これが実状ではない場合、別の方法が採
られなければならない。従って、顧客調整済みのパスワ
ード・ストレングス・サーバをサポートするためには、
パスワード・ストレングス・サーバ１１０がパスワード
同期サーバ１０６とインターフェースするために付加さ
れる。

【００４９】パスワード・ストレングス・サーバ１１０
の付加によって、パスワード同期サーバは、ＤＣＥレジ
ストリ１０２から受け取ったパスワード変更リクエスト
をパスワード・ストレングス・サーバ１１０に経路指定
することができる。そこで、それは、パスワード・スト
レングス・サーバの応答をフィールド形式にしてパスワ
ードの有効性又は無効性を表すようにし、その応答をＤ
ＣＥレジストリ１０２に戻す。更に、２つの新しいデー
タ項目が必要である。その第１は、ＤＣＥレジストリに
おける各ユーザ・レコードに対しては、パスワード・ス
トレングスＥＲＡであり、それは、所与のユーザに対す
るパスワード構成チェックを行うそのパスワード・スト
レングス・サーバの名前を含むように作成されなければ
ならない。又、ＤＣＥレジストリにおける各パスワード
・ストレングス・サーバ・レコードに対しては、新しい
データ項目、即ち、二次パスワード管理バインディング
ＥＲＡが必要である。それは、パスワード同期サーバが
所与のユーザに対してそのパスワード・ストレングス・
サーバを位置指定することを可能にする情報を含む。外
部レジスタ相互間のパスワード同期を与えながらパスワ
ード・ストレングス・サーバの使用を実施するために、
システムは、図９に示されたステップを実施する。

【００５０】図９は、ユーザの特定な要求に従って顧客
調整されるパスワード・ストレングス・サーバをサポー
トするように、パスワード同期を拡張するステップを示
す。更に、図６は、ストレングス・チェック時に利用さ
れるエレメントに関する図３に関連した図である。パス
ワード・ストレングス・サーバ・サポートのネイティブ
ＯＳＦ実施におけるように、種々のパスワード・ストレ
ングス・サーバを使用するために種々のユーザが構成可
能であるけれども、１つのパスワード・ストレングス・
サーバだけが所与のユーザと関連づけ可能である。ブロ
ック６１０において、クライアントＷ１１４はそのクラ
イアントＷのアカウントに対するアカウント作成又はパ
スワード変更をリクエストする。それは、図８における
第１ステップ、即ち、ブロック５１０と同じである。

【００５１】次に、ブロック６１２において、セキュリ
ティ・サーバ１０４は、クライアントＷのアカウントと
関連したパスワード管理バインディングＥＲＡに含まれ
た経路指定情報を検索し、それを使用してパスワード同
期サーバ１０６を位置指定する。これも図８におけるブ
ロック５１２のものと同じである。ブロック６１４にお
いて、セキュリティ・サーバはクリア・テキスト・パス
ワード及びクライアントＷのアイデンティティをパスワ
ード同期サーバ１０６に送る。ブロック６１６におい
て、パスワード同期サーバは、クライアントＷのアカウ
ントと関連したパスワード・ストレングスＥＲＡの値を
戻すようにセキュリティ・サーバにリクエストし、この
値を使用してパスワード・ストレングス・サーバＸ１１
０に対するアカウントを識別する。そこで、ブロック６
１８において、パスワード同期サーバは、セキュリティ
・サーバがこのアカウントに関連した二次パスワード管
理バインディングＥＲＡの値を戻すことをリクエストす
る。

【００５２】セキュリティ・サーバ１０４は、ブロック
６２０において、そのリクエストされたＥＲＡを検索
し、ブロック６２２において、これらの値をパスワード
同期サーバに戻す。ブロック６２４において、パスワー
ド同期サーバは、二次パスワード管理バインディングに
おける情報を経路指定情報として使用してパスワード・
ストレングス・サーバＸ１１０を位置指定し、それのス
トレングス・チェック機能を遂行するようこのサーバに
リクエストする。

【００５３】ブロック６２６において、パスワード・ス
トレングス・サーバＸ１１０はストレングス・チェック
機能を遂行し、しかる後、終了信号又はエラー信号をパ
スワード同期サーバに送る。そこで、ブロック６２８に
おいて、パスワード同期サーバはブロック６２６の終了
メッセージ又はエラー・メッセージをセキュリティ・サ
ーバ１０４に戻す。エラー・メッセージが送られる場
合、ブロック６３２において、セキュリティ・サーバは
そのエラー・メッセージをクライアント１１４に戻す。
終了メッセージが送られる場合、ブロック６３０におい
て、セキュリティ・サーバはパスワードを暗号化し、そ
れをクライアントＷのアカウントに記憶し、そして「終
了」をそのクライアントに戻す。

【００５４】Ａ．パスワード同期サーバ要件 パスワード同期機能は次のような要件に合致する。第１
に、同期は、ＤＣＥユーザによって変更されたパスワー
ドを、そのような変更を受けるように構成された他の任
意の外部レジストリに非暗号テキスト・パスワードとし
て伝播させる。外部レジストリとのコミュニケーション
が中断した場合、再試行のために保管された結果で、必
要に応じて伝播が直ちに生じる。伝播再試行はアドミニ
ストレータ制御可能なインターバルに従う。このオペレ
ーションは「パスワード同期プッシュ」と呼ばれる。

【００５５】第２に、パスワード同期サーバは、ＤＣＥ
レジストリ・コードに対する修正なしにパスワード同期
を可能にするので、如何なるベンダのＤＣＥ１.１セキ
ュリティ・サーバもパスワード同期機能をサポートする
ために使用可能である。

【００５６】第３に、パスワード同期サーバは、ＯＳＦ
ＤＣＥ１.１によって与えられたパスワード構成サー
バ（pwd_strength）機能に対するサポートを維持し、ユ
ーザのパスワードが同期されるべきかどうかに関係なく
パスワード・ストレングス・チェックが生じることを可
能にする。

【００５７】第４に、パスワード同期サーバは、外部レ
ジストリ・リクエスト時の外部レジストリによる非暗号
テキスト・パスワード検索をサポートする。このオペレ
ーションは「パスワード同期プル」とも呼ばれる。

【００５８】第５に、パスワード同期サーバは、アプリ
ケーション・データ暗号化機能に対するクライアント及
びサーバ・アクセスによって課せられた拘束内で非暗号
テキスト・パスワード・パラメータの安全な伝送を与え
る。

【００５９】第６に、パスワード同期サーバはフォルト
・トレランスを与える。パスワード同期サーバがダウン
する場合、これは、パスワードが外部レジストリに関連
したＤＣＥアカウントにおいて更新されないようにし、
従って、同期外れ状態を排除する。パスワード同期サー
バがそのイン・メモリ伝播待ち行列をエンプティにする
前にダウンするという場合をカバーするために、その待
ち行列のディスク・ミラーリングが使用される。パスワ
ード変更が行われている時に外部レジストリがダウンす
る場合、パスワード同期サーバは、外部レジストリが回
復する時に伝播を試みることができるようにその必要な
状態情報を維持する。

【００６０】第７に、フォルト・トレランス（上記第６
のフィーチャ）を与える場合、パスワード同期サーバは
ディスク記憶装置から非暗号テキスト・パスワードを回
復する。それは、すべての非暗号テキスト・パスワード
情報をディスク記憶装置に対する暗号テキスト・フォー
マットに暗号化することによって、これらのパスワード
がディスクに常駐している間これらのパスワードを保護
する。

【００６１】前述のように、上記の要件はＤＣＥ環境に
おいて満たされなければならないけれども、これらの要
件は、非ＤＣＥサーバ環境において実施される時、実質
的に修正されるか、変更されるか、或いは除去されるで
あろう。非ＤＣＥの場合、それらの要件を追求すること
が勧められるが、ユーザの要求及び希望に従ってシステ
ムを調整するためには、専門家は、必要に応じてこれら
の状態から逸脱することも可能である。例えば、パスワ
ード暗号化は有用であるけれども、システム全体がハッ
カ或いは他の歓迎されないゲストから保護される場合、
それを実施する必要はない。

【００６２】パスワード同期サーバは、ＡＩＸ又はＯＳ
／２プラットフォーム、或いは、例えば、他のＵＮＩＸ
タイプ又はＭＶＳプラットフォームのようなＤＣＥを実
施する他の任意のタイプのオペレーティング・システム
・プラットフォームにおいても実施可能である。更に、
そのシステムは単一のＤＣＥマシーン上で構成可能であ
る。

【００６３】パスワード同期に参加した幾つかのノード
相互間における非暗号テキスト・パスワードの「オーバ
・ザ・ワイヤ暗号化（ｏｖｅｒ ｔｈｅ ｗｉｒｅ）」
保護がないことが考えられる。例えば、２つのノード間
の保護の欠如は、次のような状態の下で生じることがあ
る。即ち、 ａ）参加ノードは、ＤＣＥデータ暗号化規格（ＤＥＳ）
データ・プライバシをサポートしない非互換ＤＣＥノー
ドである。或いは、 ｂ）参加ノードは、データ・プライバシをサポートする
ＤＣＥ外部レジストリであり、それはデータ・プライバ
シをサポートしない少なくとも１つのＤＣＥ外部レジス
トリを含むセル環境において「プル」オペレーションを
試みようとしている。（即ち、すべての非互換ＤＣＥ外
部レジストリは、それらのうちのどれかがパスワード
「プル」時にそのような保護を利用することができるべ
き場合、データ・プライバシをサポートすることができ
なければならない）。これは、互換ＤＣＥ外部レジスタ
が、ＤＥＳデータ・プライバシへのアクセスなしで「オ
ーバ・ザ・ワイヤ暗号化」を与えるべくパスワード同期
機能によって使用可能な商用データ・マスキング機能
（ＣＤＭＦ）と呼ばれる別個のデータ・プライバシ暗号
化アルゴリズムへのアクセスを有するためである。

【００６４】注目すべきことに、パスワード・ストレン
グス・サポートの標準的なＯＳＦ実施において、次のよ
うな環境の下では、非暗号テキスト・パスワードに対す
る「オーバ・ザ・ワイヤ暗号化」保護は存在しない。即
ち、 ａ）セキュリティ・サーバ又はパスワード・ストレング
ス・サーバの何れかはデータ・プライバシ（正規の構成
チェックにおいて生じる）をサポートすることができな
い。 ｂ）クライアント又はパスワード・ストレングス・サー
バの何れかはデータ・プライバシ（クライアントがパス
ワード・ストレングス・サーバ生成のパスワードをリク
エストしようとする時に生じる）をサポートすることが
できない。

【００６５】パスワード同期サーバを含むセルにおいて
潜在的には共存し得るすべての顧客供給のストレングス
・サーバはＯＳＦ ＤＣＥサンプル・コードで行われた
チェックを補足しなければならず、それによって、スト
レングス・チェックＡＰＩは、呼出側が「ｄｃｅ−ｒｇ
ｙ」そのものでない場合には拒絶され、呼出側が「ｄｃ
ｅ−ｒｇｙ」又は「ｐｗｓｙｎｃ」である場合にはその
ＡＰＩを受容する。（これらは、パスワード・ストレン
グス・サーバに対するクライアントとして作用する時、
セキュリティ・サーバ及びパスワード同期サーバによっ
て使用されるプリンシパルである）。

【００６６】「パスワード生成」リクエスト時にストレ
ングス・サーバが実クライアント・アイデンティティを
知るための機能を維持することは、実際にそのようなリ
クエストがパスワード同期サーバを介してそれにリレー
される時にはいつも必要なわけではない。

【００６７】パスワード・ストレングス・チェックに対
してではなく、パスワード同期に対してプリンシパルが
構成される時、パスワード構成に関するレジストリ・ポ
リシの最小セット（全ブランク、少なくとも１つの非英
数字、最小長）は実施されない。

【００６８】パスワード同期サーバによるサポートのた
めに構成された外部レジストリは、すべてパスワード同
期サーバと同じＤＣＥセル内に存在しなければならな
い。

【００６９】外部レジストリは、すべて、如何なる「パ
スワード・プッシュ」ＲＰＣも開始させるクライアント
・アイデンティティがパスワード同期サーバのアイデン
ティティ（プリンシパル「ｐｗｓｙｎｃ」）であること
を検証し、パスワード同期サーバを欺こうとする如何な
るアタッカの試みも防がなければならない。パスワード
同期サーバを複製することはできない。

【００７０】Ｂ．ＯＳＦ ＤＣＥ１.１パスワード・ス
トレングス・チェックの概要 ＯＳＦ ＤＣＥ１.１におけるパスワード・ストレング
ス・チェック機構を復習することは、パスワード同期を
実施するようにパスワード・ストレングス・チェック・
アーキテクチャをテコ入れする方法を理解するための基
本を与えるものである。

【００７１】ＤＣＥセキュリティ・サーバは、それだけ
で、制限された数のパスワード構成ルールを与える。こ
れは最小長を含み、パスワードが少なくとも１つの非英
数字を含まなければならないかどうか、及びパスワード
値が実際には全くスペースだけより成るものであるかど
うかを含んでいる。ＤＣＥ１.１は、パスワード変更リ
クエストを受け取った時、セキュリティ・サーバをパス
ワード・ストレングス・チェック・サーバへ呼び出させ
ることによって、パスワード構成チェックの機能を拡張
する。このサーバは、「パスワード・ジェネレータ」と
しても働き、如何なる所望のパスワード構成ルールでも
実施するように顧客によって修正可能である。

【００７２】ユーザに対するストレングス・サーバが存
在する場合には、セキュリティ・サーバ・チェックは実
施されない。しかし、デフォルト（ＯＳＦ供給）のスト
レングス・サーバの性質はこれらの同じチェックを実施
することである。そのような特殊のチェックの実施を無
視するようにストレングス・サーバを書くことは可能で
ある。

【００７３】この新しい機能性をサポートするために、
ＤＣＥ１.１におけるパスワード管理に対して次のよう
な２つの新しいＥＲＡが定義された。即ち、 ０ ＰＷＤ＿ＭＧＭＴ＿ＢＩＮＤＩＮＧ： このＥＲＡ
は正規のユーザ・プリンシパルに付属し、このユーザの
パスワードを変更しようとする試みが行われる時にはい
つも、ｓｅｃｄによって呼び出されるべきストレングス
・サーバを定義する。このＥＲＡは「パスワード変更プ
ログラム」クライアントによっても使用され、生成され
たパスワードを得るために呼び出すべきサーバを定義す
る。このＥＲＡは、次のような情報を含む「バインディ
ング」エンコード・タイプのものである。即ち、 ＋ストレングス・サーバのサービス・プリンシパル名 ＋サーバがバインディングをエクスポートするか、又は
代わりにストリング・バインディングを含む場合のＣＤ
Ｓネームスペース・エントリ ＋サーバとコミュニケートする場合に使用されるべきＲ
ＰＣ承認レベル。

【００７４】ｄｃｅｃｐ規約を使ってこれが表示する方
法の例は、{pwd_mgmt_binding {{dce pwd_strength pkt
privacy secret name}/.:/subsys/dce/pwd_mgmt/pwd_st
rength}}

【００７５】パスワード・チェック及びパスワード生成
はいつも同じサーバにおいて生じ、従って、このサーバ
のロケーションを定義するために唯一のＥＲＡしか必要
としない。

【００７６】０ ＰＷＤ＿ＶＡＬ＿ＴＹＰＥ： このＥ
ＲＡも正規のユーザ・プリンシパルに付属する。それ
は、次のような４つの値のうちの１つを取ることができ
る。即ち、 ＋ＮＯＮＥ(０)： ＥＲＡ値がゼロである場合、又はＥ
ＲＡ値がユーザ・プリンシパルに対して存在しない場
合、それは、ｓｅｃｄ自身によって実施される最小のデ
フォルト・ルールを除いて、ストレングス・チェックが
行われないことを意味する。 ＋ＵＳＥＲ＿ＳＥＬＥＣＴ(１)： これは、ｓｅｃｄが
アカウント・パスワードを作成又は変更するためのリク
エストを受ける時、ＰＷＤ＿ＭＧＭＴ＿ＢＩＮＤＩＮＧ
と名付けられたサーバによってパスワード・ストレング
ス・チェックが行われることを意味する。 ＋ＵＳＥＲ＿ＣＡＮ＿ＳＥＬＥＣＴ(２)： これは、新
しいパスワードを指示する如何なるクライアント・プロ
グラムも、先ず、ＰＷＤ＿ＭＧＭＴ＿ＢＩＮＤＩＮＧに
よって名付けられたストレングス・サーバから得られる
生成されたパスワードを表示しなければならないことを
意味する。ユーザは、これ又は他のどれかをパスワード
選択事項として自由に類型化することができる。アカウ
ント・パスワードを変更するためのリクエストを受け取
る時、ｓｅｃｄはいつもストレングス・サーバ・チェッ
クを呼び出す。ユーザがその生成されたパスワードを類
型化する場合、ストレングス・サーバは新しいパスワー
ドを、そのユーザがそれを作り上げたかのように扱い、
そして、潜在的には、それを拒否することができる。Ｏ
ＳＦ ＤＣＥは、生成されたパスワードがユーザによっ
て類型化される時、次のケースにおける性質と整合する
ように、この特異な性質を固定しなければならない。 ＋ＧＥＮＥＲＡＴＩＯＮ＿ＲＥＱＵＩＲＥＤ(３)： こ
れは、新しいパスワードを指示する如何なるクライアン
ト・プログラムも、先ず、ＰＷＤ＿ＭＧＭＴ＿ＢＩＮＤ
ＩＮＧによって名付けられたストレングス・サーバから
得られる生成されたパスワードを表示しなければならな
いことを意味する。ユーザは、このパスワードを確認と
して供給することを要求される。その後、ｓｅｃｄはス
トレングス・サーバ・チェックを呼び出す。それは、そ
のパスワードが１つの生成されたものとしてこのクライ
アントに最近供給されたことを、それが維持するキャッ
シュにおいて、ストレングス・サーバが知る場合にだけ
成功するであろう。その生成されたパスワードは、ユー
ザ作成の値に適用する如何なる他の構成ルールにも従わ
ない。

【００７７】必要な場合、非暗号テキスト・パスワード
が入力パラメータ又は出力パラメータとしてストレング
ス・サーバに送られる。Ｒｓｅｃ＿ｐｗｄ＿ｍｇｍｔ＿
ｓｔｒ＿ｃｈｋは非暗号テキストを入力として送る。Ｒ
ｓｅｃ＿ｐｗｄ＿ｍｇｍｔ＿ｇｅｎ＿ｐｗｄは非暗号テ
キストを出力として戻す。パスワードに関する保護の程
度の制御は、ＰＷＤ＿ＭＧＭＴ＿ＢＩＮＤＩＮＧ ＥＲ
Ａの承認部分におけるパラメータの１つとして指定され
た保護レベルをセキュリティ・サーバが使用することに
よって達成される。標準的なＯＳＦ ＤＣＥの実施にお
いては、このレベルは、単に、パケット・プライバシ又
はパケット保全性にセットされることが可能である。

【００７８】パスワード同期実施の一部分はＯＳＦのＤ
ＣＥ ｄｃｅｃｐプログラムの修正であり、「ｃｄｍ
ｆ」と呼ばれるＩＢＭ ＤＣＥプラットフォームによっ
てサポートされるもう１つの保護レベルを受容するため
の対応する基礎的なａｐｉである。ｃｄｍｆ形式のデー
タ・プライバシは、一般にはＤＥＣ輸出認可を得ること
ができない国を含む外国に自由に輸出可能であるので、
パスワード・ストレングス機能及びパスワード同期機能
に対するＩＢＭ ＤＣＥサポートは、他の実施方法がそ
のようにすることができない状況においては、それがワ
イヤ上のパスワードを保護することにおいて従来の実施
方法を越えた潜在的利点を与える。

【００７９】Ｃ．パスワード同期概要 次に、本発明によるパスワード同期の実施方法を説明す
る。システムは、外部レジストリにパスワードを伝播
（プッシュ）するサーバを、パスワード・ストレングス
・チェックに対するコールアウトを受けるサーバに加え
るか又はそのサーバと置換する。実際に「プッシュ」を
行う前に、このサーバは、パスワード構成チェックのた
めに実ストレングス・サーバと接触する。更に、この新
しい同期サーバ・フィールドは、指定されたユーザに対
する外部レジストリから非暗号テキスト・パスワードを
検索（プル）することをリクエストする。

【００８０】新しい及び既存のＥＲＡ定義は追加又は修
正されなければならない。次のもののうちの最初の２つ
は、如何にそれらがシステムの性質に影響を与えるか関
する修正した説明を伴う既存のものである。その後、新
しいＥＲＡが次に続く。これらのＥＲＡ及びそれらの関
連するプリンシパルの概略表示に関しては、図３を参照
して欲しい。

【００８１】０ ＰＷＤ＿ＭＧＭＴ＿ＢＩＮＤＩＨＧ：
ユーザ・プリンシパルに付加する前と同じ性質であ
り、パスワード同期が関連するユーザに対するものを除
いて、このＥＲＡにおける情報は「ｐｗｓｙｎｃ（パス
ワード同期）」を指し、実ストレングス・サーバを指さ
ないであろう。同期ではなくストレングス・チェックに
関連するユーザは、ストレングス・サーバを直接に指す
ようにＥＲＡをセットされる。

【００８２】このＥＲＡのインスタンスは「ｐｗｓｙｎ
ｃ」プリンシパルそのものにも付加される。これはアカ
ウント管理ツールによって読み取り可能な都合の良い
「テンプレート」として作用する。即ち、そのツール
は、新しいユーザをパスワード同期に参加させるために
必要な情報を指示する必要がない。データは、「ｐｗｓ
ｙｎｃ」プリンシパルに記憶されたこのＥＲＡの値から
読み取り可能である。

【００８３】０ ＰＷＤ＿ＶＡＬ＿ＴＹＰＥ： 上記と
同じ意味。「ｐｗｓｙｎｃ」がＰＷＤ＿ＭＧＭＴ＿ＢＩ
ＮＤＩＮＧによって指示されたサーバである場合、「ｐ
ｗｓｙｎｃ」はそのＰＷＤ＿ＶＡＬ＿ＴＹＰＥ ＥＲＡ
を再読み取りしないことに留意して欲しい。むしろ、そ
れは、そのようなリクエストを実ストレングス・サーバ
に送るためにストレングス・チェックＲＰＣの結果とし
てそれに送られた値に依存する。

【００８４】ＰＷＤ＿ＶＡＬ＿ＴＹＰＥは、如何なるパ
スワード同期がユーザ・プリンシパルに対して生じるべ
き場合でも、１又はそれ以上にセットされなければなら
ない。ＰＷＤ＿ＶＡＬ＿ＴＹＰＥは、サービス・プリン
シパルに対して存在する必要はなく、ゼロの値を有す
る。これは、ＰＷＤ＿ＭＧＭＴ＿ＢＩＮＤＩＮＧの「テ
ンプレート」値が存在する「ｐｗｓｙｎｃ」サービス・
プリンシパルにとっては特に重要である。

【００８５】０ ＦＯＲＥＩＧＮ＿ＲＥＧＩＳＴＲＹ＿
ＰＷ＿ＰＲＯＰ＿ＢＩＮＤＩＮＧ：このＥＲＡは、外部
レジストリに対するプリンシパル・オブジェクトと関連
している。それは、「プッシュ」時に外部レジストリに
パスワードを伝播する場合、パスワード同期サーバによ
って使用するためのバインディング及び承認情報を含
む。

【００８６】０ ＦＯＲＥＩＧＮ＿ＲＥＧＩＳＴＲＹ：
この多重値ＥＲＡは、正規のユーザのプリンシパル・
オブジェクトと関連している。それは、外部レジストリ
のＤＣＥサーバ・プリンシパル名を識別する１つ又は複
数の文字ストリングを含んでいる。従って、それは、こ
のユーザのパスワードにおける変更が伝播されるべきレ
ジストリを表す。又、それは、アクセス制御機構のよう
なパスワード同期サービスによる「プル」オペレーショ
ンにおいても使用される。これは、「プリング（ｐｕｌ
ｌｉｎｇ）」プログラムのＤＣＥアイデンティティが、
リクエストが行われるユーザ・プリンシパルに結びつい
たＦＯＲＥＩＧＮ＿ＲＥＧＩＳＴＲＹＥＲＡにおいて見
つかったエントリの１つあることを保証することによっ
て達成される。

【００８７】容易に明らかなように、ＦＯＲＥＩＧＮ＿
ＲＥＧＩＳＴＲＹ値は、ＦＯＲＥＩＧＮ＿ＲＥＧＩＳＴ
ＲＹ＿ＰＷ＿ＰＲＯＰ＿ＢＩＮＤＩＮＧ ＥＲＡに記憶
されたバインディング情報を照会すべき適当なサービス
・プリンシパルにＤＣＥソフトウエアを指示する「キ
ー」としてパスワード伝播時に働く。

【００８８】この多重値のＥＲＡはｐｗｓｙｎｃプリン
シパルに記憶されるが、それの意味は、正規のプリンシ
パルに結びついた時とは異なる。それは、すべての実施
された外部レジストリの値を含む。新しいプリンシパル
におけるＦＯＲＥＩＧＮ＿ＲＥＧＩＳＴＲＹ ＥＲＡを
付加するための候補としてすべての外部レジストリの名
前を知る必要のあるツールは、ｐｗｓｙｎｃプリンシパ
ルからＦＯＲＥＩＧＮ＿ＲＥＧＩＳＴＲＹの値を読み取
ることによって候補リストを得ることが可能である。

【００８９】又、ＰＷＳＹＮＣ機能は、ユーザ・プリン
シパルに付加されたＦＯＲＥＩＧＮ＿ＲＥＧＩＳＴＲＹ
ＥＲＡの正当な値に関するアクセス制御チェックとし
て、「ｐｗｓｙｎｃ」プリンシパルに結びついたＦＯＲ
ＥＩＧＮ＿ＲＥＧＩＳＴＲＹの内容を調べる。従って、
ＦＯＲＥＩＧＮ＿ＲＥＧＩＳＴＲＹ ＥＲＡの存在は必
須であり、オプショナルではない。

【００９０】０ ＳＥＣＯＮＤＡＲＹ＿ＰＷＤ＿ＭＧＭ
Ｔ＿ＢＩＮＤＩＮＧ： このＥＲＡはパスワード・スト
レングス・サーバに対するプリンシパル・オブジェクト
と関連する。それは、パスワード生成及びパスワード・
チェックに対するリクエストをリレーする場合、パスワ
ード同期サーバによる使用のためのバインディング及び
承認情報を含んでいる。ｐｗｓｙｎｃは、ＰＷＤ＿ＭＧ
ＭＴ＿ＢＩＮＤＩＮＧの内容のため、そのような情報の
直接的な受信側であるので、ｐｗｓｙｎｃがそのような
リクエストを実際のジェネレータ／チェッカに経路指定
できるように「二次」ＥＲＡが必要である。ストレング
ス・サーバに対するそのようなコールアウトは、新しい
パスワードを外部レジストリに伝播しようとするすべて
の試みの前に生じる。

【００９１】０ ＰＡＳＳＷＯＲＤ＿ＳＴＲＥＮＧＴ
Ｈ： このＥＲＡは正規のユーザのプリンシパル・オブ
ジェクトと関連する。それは、文字ストリング値、即
ち、ストレングス・サーバのＤＣＥサーバ・プリンシパ
ル名を含む。従って、それは、そのストレングス・サー
バがこのユーザのパスワード変更の如何なるものとも関
連することを示す。

【００９２】容易に明らかなように、ＰＡＳＳＷＯＲＤ
＿ＳＴＲＥＮＧＴＨ値は、ＳＥＣＯＮＤＡＲＹ＿ＲＥＧ
ＩＳＴＲＹ＿ＰＷＤ＿ＭＧＭＴ＿ＢＩＮＤＩＮＧ ＥＲ
Ａに記憶されたバインディング情報を照会すべき適当な
サービス・プリンシパルにパスワード同期サーバを指示
する「キー」としてパスワード変更時に作用する。

【００９３】０ ＡＶＡＩＬＡＢＬＥ＿ＳＴＲＥＮＧＴ
Ｈ＿ＳＥＲＶＥＲ： この多重値のＥＲＡはｐｗｓｙｎ
ｃプリンシパルのみに記憶される。それは、すべての導
入されたストレングス・サーバの名前を含む。新しいプ
リンシパルにおける単一値のＰＡＳＳＷＯＲＤ＿ＳＴＲ
ＥＮＧＴＨ ＥＲＡを結びつけるための候補としてすべ
てのストレングス・サーバの名前を知る必要のあるツー
ルは、ｐｗｓｙｎｃプリンシパルからＡＶＡＩＬＡＢＬ
Ｅ＿ＳＴＲＥＮＧＴＨ＿ＳＥＲＶＥＲの値を読み取るこ
とによって候補サーバのリストを得ることができる。

【００９４】ＰＷＳＹＮＣ機能は、ユーザ・プリンシパ
ルに付加されたＰＡＳＳＷＯＲＤ＿ＳＴＲＥＮＧＴＨ
ＥＲＡの正当な値に関する妥当性チェックとして「ｐｗ
ｓｙｎｃ」に付加されたＡＶＡＩＬＡＢＬＥ＿ＳＴＲＥ
ＮＧＴＨ＿ＳＥＲＶＥＲの内容を調べる。従って、ＡＶ
ＡＩＬＡＢＬＥ＿ＳＴＲＥＮＧＴＨ＿ＳＥＲＶＥＲの存
在は必須であり、オプショナルではない。

【００９５】０ Ｐｌａｉｎ−ｔｅｘｔ＿ＰＡＳＳＷＯ
ＲＤ： このＥＲＡは正規のユーザのプリンシパル・オ
ブジェクトと関連した照会トリガである。外部レジスト
リは、このＥＲＡの値を照会することによって、必要な
時に、回復可能な非暗号テキスト・パスワードを「プ
ル」するであろう。リクエストは、ｐｗｓｙｎｃに対す
るバインディング及び承認情報を有するスキーマ定義に
記憶された照会トリガによって、ｓｅｃｄからパスワー
ド同期サーバに再経路指定されるであろう。ユーザのプ
リンシパルに結びつくＦＯＲＥＩＧＮ＿ＲＥＧＩＳＴＲ
Ｙ ＥＲＡの値の関数として誰がそのセンシティブな情
報を照会するかに関してｐｗｓｙｎｃ自体が妥当性チェ
ックを行うので、誰がこのセンシティブなＥＲＡを読み
取り得るかを厳しく制限するようスキーマ許可を変更す
る必要はない。非暗号テキスト・パスワードがｐｗｓｙ
ｎｃによって知られていない場合、ヌル・ストリングが
パスワードとして戻されるであろう。

【００９６】０ ＰＷ＿ＰＲＯＰＡＧＡＴＥ＿ＥＮＡＢ
ＬＥ： このＥＲＡはｐｗｓｙｎｃプリンシパルに結び
つけられ、パスワード伝播が可能であるかどうかの真偽
表示を含む。それが不可能である時、「プッシュ」を介
した伝播は不可能にされるが、外部レジストリは、依然
としてパスワードを「プル」することができる。

【００９７】０ ＰＷ＿ＰＲＯＰＡＧＡＴＥ＿ＲＥＴＲ
Ｙ＿ＩＮＴＥＲＶＡＬ： このＥＲＡはｐｗｓｙｎｃプ
リンシパルに付加され、初期の伝播が失敗した場合、パ
スワードが外部レジストリに伝播されるインターバル
（数秒の）を表す符号付き３２ビット整数値を含む。ゼ
ロの値は不当であり、伝播再試行を効果的に禁止する。
ＰＷ＿ＰＲＯＰＡＧＡＴＥ＿ＥＮＡＢＬＥが伝播を全体
的に不可能にするようマークされる場合、このＥＲＡの
値は実用価値がない。

【００９８】Ｄ．パスワード同期実施 パスワード同期サーバの基本構造は、ＤＣＥサーバの代
表的な設定タスクを遂行し、しかる後、リクエストを調
べるメイン・ルーチン、キー管理スレッド、アイデンテ
ィティ・リフレッシュ・スレッド、プル・データベース
・プルーニング・スレッド、及び外部レジストリが所与
のユーザと関連したｐｌａｉｎ＿ｔｅｘｔ＿ｐａｓｓｗ
ｏｒｄ ＥＲＡ及びセキュリティ・サーバからのｒｓｅ
ｃ＿ｐｗｄ＿ｍｇｍｔ＿ｓｔｒ＿ｃｈｋ ＲＰＣを読み
取った結果として開始されたＲＰＣを処理するためのル
ーチンを含む。後者のＲＰＣは、ｐｗｓｙｎｃにおいて
実施されるので、今や、基本的には中間端末（ｗａｙ
ｓｔａｔｉｏｎ）である。それは、実際の中心的機能性
そのものを遂行するのではなく、実際には、そのプリン
シパルに対するパスワード・ストレングス・サーバにリ
クエストを送る。

【００９９】新しい機能性は、主として、外部レジスト
リがＤＣＥレジストリとのパスワード同期を維持するこ
とを望むことによってリクエストされた「プッシュ」及
び「プル」オペレーションをサポートする機能より成
る。ｒｓｅｃ＿ｐｗｄ＿ｍｇｍｔ＿ｓｔｒ＿ｃｈｋは、
ｐｗｓｙｎｃをその新しいパスワード・データに慣れさ
せる手段を与えるので、この新しい機能性に対するゲー
トウェイとして作用する。

【０１００】「プッシュ」は、パスワードがＤＣＥにお
いて変更される時、ユーザの非暗号テキストＤＣＥパス
ワードがその関連した及び許可された外部レジストリ・
サーバに伝播することである。そのような「プッシュ」
は、当初推測するようなｒｓｅｃ＿ｐｗｄ＿ｍｇｍｔ＿
ｓｔｒ＿ｃｈｋ処理の統合部分としては生じない。ｓｅ
ｃｄへのリターンを遅らせることは、ヒューマン・ファ
クタの面から望ましくない。従って、代わりに、そのデ
ータは、別の伝播スレッドによるその後の処理のため
に、イン・メモリ待ち行列に記憶される。（最初の伝播
の試みは、再試行がアドミニストレータ指定のインター
バルにおいて生じる場合には即時的なものである）。デ
ィスク・ミラーリングは、予期しないプログラム終了の
場合にデータを喪失することを防ぐために使用される。
そうでない場合、そのような喪失は、ＤＣＥレジストリ
と外部レジストリとの間の同期外れ状態を生じる。パス
ワード同期サーバの伝播スレッドが「プッシュ」オペレ
ーションを遂行する時、それは、関連の「プッシュ」サ
ーバ・インターフェースをエクスポートする外部レジス
トリのクライアントとして作用する（ｒｓｅｃ＿ｐｗｄ
＿ｐｒｏｐａｇａｔｅ）ことに留意して欲しい。

【０１０１】「プル」は、非暗号テキスト・パスワード
拡張レジストリ属性に関するトリガ・サーバとしてのパ
スワード同期サーバの役割のことである。この属性の値
の外部レジストリの照会は、固有のＯＳＦ ＤＣＥ機能
によって、関連のパスワードの検索ためにｐｗｓｙｎｃ
に経路指定される。これに適応するために、ｐｗｓｙｎ
ｃはｓｅｃ＿ａｔｔｒ＿ｔｒｉｇ＿ｑｕｅｒｙインター
フェースをエクスポートする。非暗号テキスト・パスワ
ードを「オン・デマンド」で使用可能にさせることは、
ｐｗｓｙｎｃがユーザ名及びそれらの関連のパスワード
の永久的なレコードを維持しなければならないことを意
味する。それが遂行するセンシティブな機能に照らし
て、ｐｗｓｙｎｃが高い安全性のマシーンに常駐しなけ
ればならないということは前提であるけれども、このデ
ータベースにおけるパスワードが余分な保護を与えられ
なければならないことも明らかである。そのような保護
は、センシティブなレジストリ・データのＤＣＥセキュ
リティ・サーバのマスタ・キー暗号化の後にモデル化さ
れる。（同じ保護が「プッシュ」データベースにおける
パスワードに与えられる。しかし、そこのデータは短い
寿命のものであると考えられるので、それはあまり厳し
いものではない）。

【０１０２】パスワード同期サーバは、１つのメイン・
スレッド及び５つの補助スレッドを持った単一のプロセ
スより成る。これらのスレッドのうちの２つに対する処
理ステップ、及びそのセキュリティ・サーバからのコー
ルをサービスするｒｓｅｃ＿ｐｗｄ＿ｍｇｍｔ＿ｓｔｒ
＿ｃｈｋ ＲＰＣインターフェースに対する処理ステッ
プを詳述する流れ図を次に説明する。

【０１０３】１）．メイン・スレッド： そのようなＤ
ＣＥアプリケーション・サーバすべて、例えば、セル・
ディレクトリ・ネームスペースにおけるレジスタ・バイ
ンディング及びインターフェースによって必要とされる
初期設定機能を遂行し、すべての補助スレッドを作成
し、セキュリティ・サーバからのサービス・コール及び
特定のアカウントに対するパスワードを「プル」しよう
とする外部レジストリ・クライアントからのサービス・
コールをＲＰＣインターフェースにおいて「聴取す
る」。

【０１０４】２）．パスワード同期サーバ・アイデンテ
ィティ・リフレッシュ・スレッド：周期的にサーバとし
て「ログ・イン」すること（すべてのＤＣＥアプリケー
ション・サーバに対する標準的な実施方法）によってこ
のサーバのＤＣＥアイデンティティを再設定する。

【０１０５】３）．パスワード同期サーバ・キー・リフ
レッシュ・スレッド： すべてのＤＣＥアプリケーショ
ン・サーバに対する実施方法においてよく知られている
ように、周期的にこのサーバに対するアカウント・パス
ワードを変更する。

【０１０６】４）．パスワード同期サーバ・プルＲＰＣ
及びプル・データベース・プルーニング・スレッド：
初期設定時、パスワード同期サーバ・メイン・スレッド
はディスク・プル・データベースからメモリ・プル・デ
ータベースを初期設定し、同じユーザに対する他のエン
トリによって替えられる現在の各ユーザに対するすべて
のエントリを除去する。メイン・スレッドが聴取してい
る時にＲＰＣがプル・リクエストを受ける時、メモリ・
データベースは、そのリクエストされたユーザに対する
エントリに関してサーチされる。それが見つかった場
合、そのパスワード同期サーバのアカウント及びリクエ
ストしたユーザのアカウントの両方に関連した外部レジ
ストリＥＲＡの内容が調べられ、そのリクエストされた
外部レジストリがこれらのＥＲＡにおいて定義されるか
どうかを決定する。それが肯定される場合、そのリクエ
ストされたユーザに対するパスワードがこのＲＰＣ時に
戻される。パスワードが見つからないか或いはその調査
が失敗した場合、エラーが戻される。プル・データベー
ス・プルーニング・スレッドは、同じユーザに対する他
のエントリによって替えられる現在の各ユーザに対する
すべてのエントリのディスク・プル・データベースを周
期的にプルーンするようにタイマに関して動作する。

【０１０７】５）．セキュリティ・サーバからのパスワ
ード同期サーバＲＰＣ： メイン・スレッドがセキュリ
ティ・サーバからこのＲＰＣを介してコールを受ける
時、図１０に示された処理ステップが遂行される。

【０１０８】６）．パスワード同期サーバ伝播待ち行列
スレッド： そのパスワード同期サーバが信号「Ｐ」
（図１０参照）をセットする時、このスレッドが起こさ
れて図１１に示された処理ステップを遂行する。

【０１０９】７）．パスワード同期サーバ再試行待ち行
列スレッド： 伝播待ち行列スレッドが信号「Ｒ」（図
１２参照）をセットする時、このスレッドが起こされて
図１２に示された処理ステップを遂行する。

【０１１０】図１０はセキュリティ・サーバからのユー
ザ・パスワード処理のフローチャートを示す。先ず、ブ
ロック７１０において、パスワード同期サーバはセキュ
リティ・サーバからユーザＩＤ及びパスワードを受け取
る。そこで、ブロック７１２において、パスワード同期
サーバは、そのユーザに対するパスワード・ストレング
スＥＲＡが存在するかどうかを決定し、それが肯定され
る場合、ブロック７１４に進む。それが否定される場
合、セキュリティ同期サーバは後述のブロック７２０に
進む。ブロック７１４において、その同期サーバは、パ
スワード・ストレングスＥＲＡを使用してそのユーザと
関連する適当なパスワード・ストレングス・サーバ及び
それのアカウントを識別し、しかる後、それの二次パス
ワード管理バインディングＥＲＡを読み取る。ブロック
７１４を終了した後、パスワード同期サーバはブロック
７１６に進む。そこで、それは、パスワード・ストレン
グス・サーバ・アカウント及び二次パスワード管理バイ
ンディングＥＲＡを使用し、ユーザＩＤ／パスワードで
もってパスワード・ストレングス・サーバを位置指定
し、そのパスワード・ストレングス・サーバを呼び出
す。

【０１１１】ブロック７１８において、パスワード・ス
トレングス・サーバは、それの構成チェックが成功した
かどうかのメッセージを戻す。それが肯定された場合、
システムはブロック７２０に進む。それが否定された場
合、システムは後述のブロック７３２に進む。ブロック
７２０において、システムはメモリ・プル・データベー
スにおいてエントリを加えるか又は置換し、ディスク・
プル・データベース１１２にそのエントリを付加する。
そのメモリ・プル・データベースはブロック７２２にお
いて示され、一方、ディスク・プル・データベースはブ
ロック７２４に示される。次に、ブロック７２６におい
て、システムは、エラーが生じたかどうかを決定し、そ
れが肯定される場合、それはブロック７３２に進む。一
方、エラーが生じなかった場合、システムはブロック７
２８に進み、「成功」であるというステータス・メッセ
ージをセットする。エラーが生じた場合、又はパスワー
ド・ストレングス・サーバの構成チェックが失敗した場
合、ブロック７３２において、システムはステータス・
メッセージを「失敗」としてセットする。失敗が生じた
場合、システムは後述のブロック７４２に進む。

【０１１２】ブロック７３０において、パスワード・ス
トレングス・サーバは、ｐｗ＿ｐｒｏｐａｇａｔｅ＿ｅ
ａｂｌｅ ＥＲＡの値の関数として伝播がイネーブルさ
れたかどうかを決定する。その伝播がイネーブルされた
場合、システムはブロック７３４に進む。それがイネー
ブルされない場合、システムは後述のブロック７４２に
進む。ブロック７３４において、パスワード・ストレン
グス・サーバはそのエントリを、ブロック７３６及び７
３８によって表されたメモリ伝播待ち行列に及びディス
ク伝播待ち行列に記憶する。しかる後、システムはブロ
ック７４０に進み、そこでは、パスワード・ストレング
ス・サーバは前述の伝播待ち行列スレッドに対する信号
「Ｐ」をセットする。しかる後、及びブロック７３０に
おいて伝播イネーブルがセットされなかった場合、シス
テムは、ブロック７４２において、ステータスをそのセ
キュリティ・サーバに戻す。

【０１１３】パスワード同期サーバ伝播待ち行列スレッ
ドは、図１１に示されたステップに従って動作する。パ
スワード同期サーバは、ブロック８１０において、図１
０に示されたブロック７３８のディスク伝播待ち行列か
らブロック７３６のメモリ伝播待ち行列を初期設定す
る。次に、ブロック８１２において、システムは図１０
のブロック７４０における信号「Ｐ」からのウェイク・
アップ（ｗａｋｅ−ｕｐ）信号を待つ。ブロック８１６
において、システムはメモリ伝播待ち行列７３６におい
てエントリが行われたかどうかを決定し、それが否定さ
れる場合、ブロック８１２に戻る。それが肯定される場
合、システムは、ブロック８１８に進み、そこでは、パ
スワード同期サーバが待ち行列７３６における第１の又
は次のエントリを処理する。次に、ブロック８２０にお
いて、システムはユーザのアカウントにおいて見つかっ
たそのユーザの外部レジストリＥＲＡから外部レジスト
リのリストを検索する。一旦そのリストが検索される
と、ブロック８２２において、システムは、パスワード
同期サーバに対して外部レジストリＥＲＡで見つかった
外部レジストリのリストに対比して第１の又は次の外部
レジストリの存在を確認する。一旦その有効化が終了す
ると、伝播待ち行列７３６における特定の外部待ち行列
は、ブロック８２４において、それが現在「現在コミュ
ニケート中（ＮＯＷ ＣＯＭＭＵＮＩＣＡＴＩＮＧ）」
としてマークされているかどうかを知るために調べら
れ、それが否定される場合、システムは後述のブロック
８３８に進むが、それが肯定される場合は、システムは
ブロック８２６に進む。

【０１１４】ブロック８２６において、システムはブロ
ック８２４のリクエストした外部レジストリにユーザＩ
Ｄ／パスワードを伝播し、ブロック８２８において、そ
の伝播が成功したかどうかを決定し、そしてそれが成功
した場合、ブロック８３８に進む。一方、伝播が不成功
であった場合、システムはブロック８３０に進む。ブロ
ック８３０では、システムは、伝播待ち行列上の特定の
外部レジストリにおいて「現在コミュニケート中でない
（ＮＯＴ ＮＯＷ ＣＯＭＭＵＮＩＣＡＴＩＮＧ）」と
してマークする。そこで、システムはブロック８３２に
進む。そこでは、システムは、ユーザのＩＤ、パスワー
ド、外部レジストリＩＤ／コミュニケーション・ステー
タスをメモリ再試行待ち行列８３４及びディスク再試行
待ち行列８３６に記憶する。

【０１１５】ブロック８３８において、外部レジストリ
が現在コミュニケーション中でない場合、又はブロック
８２８の伝播が成功した場合、システムは処理されてい
るこの特定のユーザＩＤに対する更なる外部レジストリ
が存在するかどうかを決定し、それが肯定される場合、
ブロック８２２に戻る。一方、このユーザＩＤと関連し
た更なる外部レジストリがない場合、システムはブロッ
ク８４０に進む。そこでは、システムは、メモリ伝播待
ち行列７３６にそれ以上のエントリがあるかどうかを決
定する。メモリ伝播待ち行列において更なるエントリが
存在する場合、システムはブロック８１８に戻り、その
伝播待ち行列における次のエントリに対してプロセスが
再び開始する。更なるエントリが存在しない場合、シス
テムはブロック８４２に進む。そこでは、パスワード同
期サーバは、メモリ伝播待ち行列７３６及びディスク伝
播待ち行列７３８におけるすべてのエントリを削除す
る。その後、システムはブロック８１２に戻り、信号
「Ｐ」の設定を待つ。

【０１１６】すべての伝播再試行は図１２に示された方
法に従って処理される。図１２は、本発明によるパスワ
ード同期サーバ再試行待ち行列スレッドのフローチャー
トを示す。先ず、ボックス９１０において、パスワード
同期サーバは、ブロック８３６におけるディスク再試行
待ち行列からブロック８３４におけるメモリ再試行待ち
行列を初期設定する。次に、システムはブロック９１８
に進む。そこでは、システムは、ブロック８３４のメモ
リ再試行待ち行列にエントリが存在するかどうかを決定
し、それが肯定される場合はブロック９２０に進み、そ
れが否定される場合は後述のブロック９３８に進む。

【０１１７】ブロック９２０において、システムは、待
ち行列８３４における第１の又は次の識別されたエント
リを処理し、しかる後、ブロック９２２においてこのエ
ントリを調べて、この外部レジストリが再試行待ち行列
において「ＮＯＴ ＮＯＷＣＯＭＭＵＮＩＣＡＴＩＮ
Ｇ」とマークされているかどうかを決定する。それがそ
のようにマークされていない場合、システムはブロック
９２４に進み、それがマークされている場合、システム
は後述のブロック９３２に進む。ブロック９２４におい
て、システムは、この選択された外部レジストリにユー
ザＩＤ／パスワードを伝播する。そこで、ブロック９２
６において、システムは、伝播が成功したかどうかを決
定し、それが肯定される場合にはブロック９３０に進
み、それが否定される場合にはブロック９２８に進む。
ブロック９２８において、システムは、再試行待ち行列
におけるこの外部レジストリに「ＮＯＴ ＮＯＷ ＣＯ
ＭＭＵＮＩＣＡＴＩＮＧ」かどうかをマークし、ブロッ
ク９３２に進む。

【０１１８】ブロック９３０において、伝播待ち行列
（図１１のブロック７３６）におけるこの外部レジスト
リのエントリは、それが「ＮＯＴ ＮＯＷ ＣＯＭＭＵ
ＮＩＣＡＴＩＮＧ」とマークされているかどうかを知る
ために調べられる。それが肯定される場合、それはリセ
ットされ、一方、それが否定される場合、それはそのま
ま残され、処理はブロック９３２に進む。

【０１１９】ブロック９３２において、パスワード同期
サーバは、メモリ再試行待ち行列８３４においてそれ以
上のエントリが存在するかどうかを決定し、そしてそれ
が存在する場合、前述のブロック９２０に戻ってその後
のシーケンスを完了させる。一方、メモリ再試行待ち行
列８３４に他のエントリが存在しない場合、システムは
ブロック９３４に進む。ブロック９３４では、システム
はすべての外部レジストリをメモリ再試行待ち行列８３
４において「ＮＯＷ ＣＯＭＭＵＮＩＣＡＴＩＮＧ」に
リセットする。次に、ブロック９３６において、システ
ムはメモリ再試行待ち行列８３４からディスク再試行待
ち行列８３６を再構成する。しかる後、ブロック９３８
において、システムは、前述のパスワード伝播再試行イ
ンターバルＥＲＡに基づいて信号「Ｒ」を設定する。一
旦信号が「Ｒ」に設定されてしまうと、システムは次の
再試行サイクルのためにブロック９１６に戻る。

【０１２０】Ｅ．非暗号テキスト・パスワード保護 パスワード同期サーバ（ＰＷＳＹＮＣ）１０６のオペレ
ーションは非暗号テキスト・パスワードをパラメータと
して送る幾つかのＲＰＣと関連する。これらのパスワー
ドが、未承認のパーティに対する露呈を防ぐために、
「オーバ・ザ・ワイヤ」を送られる時、保護されること
は重要である。

【０１２１】それが米国又は国際環境において稼働して
いるかどうか、或いはそれが互換性あるＤＣＥサーバ又
は幾つかの他のベンダのサーバと共に動作しているかど
うかを考察すべき幾つかのシナリオがある。そのような
シナリオを考察する前に、保護を必要とするＲＰＣの性
質及びそれらを発生する時に使用されるセキュリティの
レベルに影響する制御を理解することは有用なことであ
る。これらの「制御」は、幾つかのＥＲＡインスタンス
に記憶された、或いは、場合によっては照会トリガ情報
として直接にスキーマ・エントリ内に記憶された「バイ
ンディング承認情報」として知られたＤＣＥレジストリ
・エンティティである。非暗号テキスト・パスワードを
パラメータとして送る任意の２つのプログラム間で使用
される保護のレベルは、これらの制御によって指令され
る。それのフォーマットは、ＯＳＦ ＤＣＥ１.１によ
って与えられたｄｃｅｃｐプログラムを使用する時、こ
の規約に従う。よく知られた「ｐｗｄ＿ｍｇｍｔ＿ｂｉ
ｎｄｉｎｇ」ＥＲＡは、ここでは１つの例示として使用
される。即ち、 {pwd_mgmt_binding {{dce pwd_strength XXXXXXXX secr
et name}/.:/subsys/dce/pwd_mgmt/pwd_strength}} 但し、「制御」XXXXXXXX は、そのプログラムが互換性
あるプラットフォーム上にあるかどうか、又はそのプラ
ットフォームがデータ・プライバシをサポートするかど
うかに従って、「ｐｋｔｐｒｉｖａｃｙ」、「ｃｄｍ
ｆ」、又は「ｐｋｔｉｎｔｅｇ」にセット可能である。

【０１２２】明らかなように、このＥＲＡは、サービス
・プリンシパル名、サービスがそれのバインディングを
エクスポートしたＣＤＳネームスペース・ロケーショ
ン、及び「名前」によって古いカーベロス態様で承認す
るための明細のような他の必要な情報も含む。

【０１２３】表１は、そのような制御を使用する方法、
それらをセットする方法、及びパスワード同期環境にお
けるクライアント／サーバ・コミュニケーションを包含
するすべての状況を処理するかどうか理解するに必要な
すべての情報を要約するものである。

【０１２４】非暗号テキスト・パスワードの「オーバ・
ザ・ワイヤ」の保護のために考察されるべきＲＰＣをプ
ログラムが発生する７つの異なるポイントがある。この
設計はそれらのうちの６つと関連している。（多くない
関連のうちの１つのポイントは、ｓｅｃ＿ｒｇｙ＿ａｃ
ｔ＿ｐａｓｓｗｄを介してパスワードを変更するための
初期のユーザ・リクエストである。この場合、ＤＣＥ
は、既に、「オーバ・ザ・ワイヤ」のパスワードを暗号
化するよう「コーラ・キー（ｃａｌｌｅｒ ｋｅｙ）」
に対して指示している）。その表は、これらのＲＰＣの
各々に対する関連ある情報を識別する。最初の３つは
「プッシュ」の部分であり、４番目は「プル」の部分で
あり、そして最後の２つはパスワード生成機能を扱うも
のである。

【０１２５】単にサービス・プリンシパルに付加するだ
けのＥＲＡに対する保護レベルは、それらがｐｗｓｙｎ
ｃ，ストレングス・サーバ、又は外部レジストリ・サー
バの導入時に１回指定されるだけでよいので、アドミニ
ストレータにとってかなり容易である。これは、導入パ
ッケージが同じベンダからのものであろうと或いは異な
るベンダからのものであろうと真である。これらの導入
は、すべて、サービス・プリンシパルの作成及びそれら
のプリンシパルへのＥＲＡインスタンスの付加に関連す
る。

【０１２６】しかし、他のＥＲＡ値、特に、正規のユー
ザ・プリンシパルに付加されたＥＲＡは、これらのＥＲ
Ａの内容が外部レジストリ及びパスワード・ストレング
ス・サーバに関連した情報に依存するので、もうちょっ
との複雑さでもって管理される。導入時にこれらのサー
バと関連付けられた関連情報を「覚えている」か或いは
その関連情報へのアクセス有し、どのようなＥＲＡをこ
れらのプリンシパルに関連付ける必要があるかを定義す
る「詰め込まれた」情報を有する管理ツール、例えば、
ＧＵＩの助けがない場合、アドミニストレータは、煩雑
でエラーを生じ易いタスクとなり得る新たに作成された
プリンシパル上に、これらのＥＲＡインスタンスを手操
作で作成するように強いられるであろう。 その関連の
エラーは、よく知られたＰＷＤ＿ＭＧＭＹ＿ＢＩＮＤＩ
ＮＧ、及びＦＯＲＥＩＧＮ＿ＲＥＧＩＲＴＲＹ及びＰＡ
ＳＳＷＯＲＤ＿ＳＴＲＥＮＧＴＨとして知られた新しい
「プリントストリング」ＥＲＡを含む。

【０１２７】外部レジストリ及びカストマ・ストレング
ス・サーバがそのような情報を管理ツールにコミュニケ
ートする方法はその情報をｐｗｓｙｎｃプリンシパルそ
のものに付加させるためのものである。これらのカスト
マ又はベンダが書いた管理ツールは、周知のＯＳＦ Ｄ
ＣＥ機能を使用してそれらのタスクを達成するものであ
り、又、単に、「ｐｗｓｙｎｃ」プリンシパルに付加さ
れたＥＲＡ情報を読み取って、新しいユーザ・プリンシ
パルが定義される時に、いつもそれが管理選択のために
その情報を表示することを可能にする。

【０１２８】その表の「保護レベルは固有か」の欄は、
特定の保護レベルが単一の「クライアント／サーバ」の
対に割り当てられるかどうか、又はそれが多数の対の間
で共用可能であるかどうかを表す。例えば、第２及び第
３の項目は、ｐｗｓｙｎｃによってコミュニケートされ
る各外部レジストリ又はパスワード・ストレングス・サ
ーバに対して別々のＥＲＡインスタンスがあるので、固
有の且つ不明瞭でない保護レベル制御を有する。従っ
て、幾つかの外部レジストリが異なる保護レベルを必要
とする場合、各外部レジストリの導入時に指定された相
異を反映するために別個のＥＲＡが存在するので、これ
らは適応するであろう。

【０１２９】この欄における「否」の値は、指定された
保護レベルがすべてのクライアント／サーバ組合せにわ
たって固有ではないことを表す。例えば、項目４は、外
部レジスタからのすべての「プル」が或単一の照会トリ
ガ項目に記憶された承認情報を受けるという問題を有す
る。スキーマの定義は１つしかないので、ＰＬＡＩＮＴ
ＥＸＴ＿ＰＡＳＳＷＯＲＤ定義は、すべての外部レジス
トリに適用し、これらのレジストリが種々の保護レベル
を使用する能力を妨げている。

【０１３０】もう１つの例は項目１及び５の組合せであ
り、その場合、ユーザ・プリンシパルに付加された同じ
ＥＲＡは２つの明らかに異なるオペレーション相互間の
保護レベルを示すように作用する。これは、ストレング
スＡＰＩにおけるｐｗｓｙｎｃ及びｓｅｃｄの間で、及
びパスワード生成ＡＰＩリクエストに対するｐｗｓｙｎ
ｃ及びクライアント・マシーンの間で使用されるべき異
なる保護レベルを選択する能力を妨げている。

【０１３１】上記の「否」の場合に対して、種々のベン
ダからの外部レジストリ及びクライアントは、一般に
は、「最低の一般的なデノミネータ」を受容する必要が
あり、その結果、これらのケースに対する非暗号テキス
ト・パスワード保護の欠如を生じることがある。同じベ
ンダ又は互換性あるベンダからの外部レジストリ及びク
ライアントが関連するこれらの同じケースに対して、２
つのＡＰＩに対する修正は、特定のクライアント／サー
バの対によって与えられる最大級の保護を利用するよう
に行われなければならない。 １） ｓｅｅ＿ｒｇｙ＿ａｔｔｒ＿ｌｏｏｋｕｐ＿^*Ａ
ＰＩは、特別なケースとして「ＰＬＡＩＮＴＥＸＴ＿Ｐ
ＡＳＳＷＯＲＤ」ＥＲＡを認識するように修正される。
照会トリガの「承認情報」部分は廃棄され、ｐｗｓｙｎ
ｃとコミュニケートするに必要なプリンシパル及びＣＤ
Ｓ情報を保持する。この特定の外部レジストリに対する
ＦＯＲＥＩＧＮ＿ＲＥＧＩＳＴＲＹ＿ＰＷ＿ＰＲＯＰ＿
ＢＩＮＤＩＮＧの値を照会するようにｓｅｃｄにコール
バックを発生することによって得られる。この承認デー
タは、照会トリガに記憶された承認データとは対照的に
外部レジストリ毎に固有である。それは「オーバ・ザ・
ワイヤ」でデータを保護する場合に使用されるべき保護
レベルを含む。

【０１３２】照会トリガを定義した他のＥＲＡはこの変
更によって影響されない。それらは、種々の承認レベル
を制御するパラメータを含むその照会トリガにおいて供
給されたすべての情報を使用し続ける。

【０１３３】一方、異なる互換性のないベンダからのＤ
ＣＥ外部レジストリは、すべて、同じ保護レベルを使用
するように強制される。それは、照会トリガにおいて定
義されることである。これは、「最低の一般的なデノミ
ネータ」でなければならない。即ち、１つの互換性のな
い外部レジストリがパケット整合性をサポートできるだ
けである場合、すべての互換性のない外部レジストリが
その制約の下で動作しなければならない。 ２） 所与のユーザのＰＷＤ＿ＭＧＭＴ＿ＢＩＮＤＩＮ
Ｇに記憶された保護レベルに対する適当な値は、ストレ
ングスＡＰＩを発生する時にｓｅｃｄ及びｐｗｓｙｎｃ
の間の許された最大レベルであると考えられる。しか
し、これは、「パスワード生成」リクエスト時に正規の
クライアント及びｐｗｓｙｎｃの間で使用するためには
高すぎるであろう。従って、ｓｅｃ＿ｐｗｄ＿ｍｇｍｔ
＿ｇｅｎ＿ｐｗｄのＩＢＭバージョンは「アプリケーシ
ョン再試行ロジック」を設定する。「ｐｋｔｐｒｉｖａ
ｃｙ」をサポートすることができないために初期値が失
敗する場合、クライアント・ロジックは「ｃｄｍｆ」の
使用を再試行するであろう。それが失敗する場合、それ
は「ｐｋｔｉｎｔｅｇ」を使用するであろう。このスキ
ームがＩＢＭ ＤＣＥクライアントに対して効果的であ
るとはいえ、ＣＤＭＦアルゴリズムは、現在、ＩＢＭ社
以外の会社によって外国に輸出し得るものではないの
で、それを非ＩＢＭ ＤＣＥクライアントにおいて実施
することはできない。

【０１３４】互換性のないＤＣＥクライアント・マシー
ンはＰＷＤ＿ＭＧＭＴ＿ＢＩＮＤＩＮＧにおいて指定さ
れた保護レベルをサポートすることができないと云う状
況において、「パスワード生成」をリクエストしようと
するこのクライアントによる如何なる試みも失敗するで
あろう。この状況を修正するためにアドミニストレータ
にとって利用可能なオプションは、このマシーンから自
身のパスワードを変更することを望んでいる所与のプリ
ンシパルがパスワード同期サーバ生成のパスワードを有
するか、又はこのプリンシパルに対するＰＷＤ＿ＭＧＭ
Ｔ＿ＢＩＮＤＩＮＧにおいて指定された保護レベルを
「パケット整合性」に低下させるという要件を除外する
ことを含む。後者のオプションは、このプリンシパルに
対して「オーバ・ザ・ワイヤ」で非暗号テキスト・パス
ワードを露呈することを犠牲にして所望の機能性を維持
する。

【０１３５】新しいＥＲＡに対するスキーマ定義はこの
パスワード同期の実施のために必要である。「予約済
み」フラッグの値はこれらのＥＲＡのすべてに対して真
（ＴＲＵＥ）にセットされる。それは、一旦ｐｗｓｙｎ
ｃが導入されると、スキーマ定義の「偶発的な」消去が
回避されなければならないためである。アドミニストレ
ータはその予約済みフラッグを失敗（ＦＡＬＳＥ）にセ
ットすることができ、しかる後、望ましい場合には、そ
のスキーマ定義を削除することができる。

【０１３６】「プッシュ」プロトコルのサポートでは、
新しいＲＰＣは１つしかない。即ち、 機能プロトタイプ（ＦＵＮＣＴＩＯＮ ＰＲＯＴＯＴＹＰＥ）： void rsec_pwd_propagate( [in] handle_t h, [in] sec_rgy_name_t principal, [in] cha ^* password [in] sec_timeval_sec_t pwd_change_time, [in] error_status_t ^* status );

【０１３７】ＲＰＣはパスワードを外部レジストリに伝
播する。すべての外部レジストリはパスワード同期サー
バと同じセルに常駐しなければならない。ユーザ名及び
ＤＣＥレジストリ更新の時間も与えられる。外部レジス
トリが情報を廃棄すること及びその後の伝播サイクルに
おいて全く同じパスワード変更事象を知らされないこと
を望む場合、それは成功ステータスを戻さなければなら
ない。何らかの理由で、それがその時その通知を処理す
ることができず、その後の伝播サイクルにおいてパスワ
ード同期サーバがその事象を送ることを望む場合、ある
種の不成功ステータスが戻されなければならない。

【０１３８】「パスワード・プル」データベースにアク
セスする場合を除いて、内部資源に対する競合はすべ
て、いつも、「相互に排他的」である。そのようなケー
スに対するマクロをロックするという余分なオーバヘッ
ドを引き受けることの利点はない。従って、ＤＣＥ ｐ
スレッドの「ミューテックス（ｍｕｔｅｘ）」ＡＰＩに
対するダイレクト・コールは、資源がある種の共用アク
セスに抗し得ない時に使用される。本質的には、ミュー
テックス獲得は、ミューテックス・コールのトップにお
けるロジックをロックするという付加されたオーバヘッ
ドが回避されることを除けば、ミューテックス・ホルダ
がそのミューテックスを得ようとする他のすべての試み
を阻止する場合に「ワイヤ・ロック」を得ることと等価
である。「ミューテックス」は、「ロック」と等価であ
って当業者にはよく知られたＯＳＦＤＣＥ ｐスレッド
・コンポーネントである。

【０１３９】パスワード・プル・データベースの場合、
そのサーバは、ＤＣＥセキュリティ・サーバ（ｓｅｃ
ｄ）の後にパターン化されそしてパスワード同期サーバ
の使用に適応させたマクロ及びソフトウエアをロックす
るという付加されたオーバヘッドを引き受ける。そのロ
ッキングの例の使用は、プル・データベースが超過エン
トリから周期的にプルーンされそしてソートされる時、
パスワードを「プル」するリクエストは阻止されない。
しかし、プル・データベースにおけるパスワードを変更
するリクエストは阻止される。これは、ｐスレッド・ミ
ューテックス・ルーチンに対するダイレクト・コールに
よって容易に達成されるものではない。事実、それは、
ｓｅｃｄロッキング・インターフェースが何を行うため
に設計されたかであり、即ち、そのコーリング・スレッ
ドに対する更に僅かに複雑なインターフェースを与える
ために、及びどんなタイプのロックが如何に多くのスレ
ッドによって現在保持されているかに関する状態情報を
そのインターフェースに維持させるために、及びｐスレ
ッドのミューテックス・ライブラリが如何なるコーリン
グ・スレッドをも真に阻止するために呼び出されるべき
かを決定するためにその情報を使用するように設計され
た。

【０１４０】

【０１４１】

【０１４２】

【図面の簡単な説明】

【図１】従来のＤＣＥセキュリティ・サーバのブロック
図である。

【図２】本発明による分散型データ処理システムの概略
表示を示す。

【図３】図２の分散型データ処理システムにおいて使用
するためのＤＣＥ同期及びセキュリティ・システムの一
例である。

【図４】図２の分散型データ処理システムにおいて使用
するためのＤＣＥ同期及びセキュリティ・システムの一
例である。

【図５】図２の分散型データ処理システムにおいて使用
するためのＤＣＥ同期及びセキュリティ・システムの一
例である。

【図６】図２の分散型データ処理システムにおいて使用
するためのＤＣＥ同期及びセキュリティ・システムの一
例である。

【図７】パスワード同期検索機能を示す。

【図８】パスワード同期伝播機能を示す。

【図９】ユーザの特定の要求に従って顧客調整可能なパ
スワード・ストレングス・サーバをサポートするように
パスワード同期を拡張するステップを示す。

【図１０】セキュリティ・サーバからのユーザ・パスワ
ード処理のフローチャートを示す。

【図１１】パスワード同期サーバ伝播待ち行列スレッド
を示す。

【図１２】本発明によるパスワード同期サーバ再試行待
ち行列スレッドのフローチャートを示す。

フロントページの続き (72)発明者 ジョージ・ロバート・ブレイクレイ、サ ード アメリカ合衆国78729、テキサス州、オ ースティン、スティルフォレスト 13007 (72)発明者 アイヴァン・マテュウ・ミルマン アメリカ合衆国78731、テキサス州、オ ースティン、プラシド・プレイス 4810 (72)発明者 ウェイン・デューブ・シグラー アメリカ合衆国78730、テキサス州、オ ースティン、ベル・マウンテン・ドライ ブ 9601 (56)参考文献 特開 平７−200479（ＪＰ，Ａ) 特開 平５−189288（ＪＰ，Ａ) Ｂｌｏｏｍｅｒ，Ｊ．著，岩谷訳，" ヘテロな分散システムの開発を支える ＯＳＦ／ＤＣＥ””，Ｄｒ．Ｊｏｂｂ’ ｓ Ｊｏｕｒｎａｌ Ｊａｐａｎ，日 本，（株）翔泳社，1995年 ６月 １ 日，第４巻、第６号，ｐ．18−32 Ｈｏｕｓｔｏｎ，Ｐ．Ｊ．，”Ｅｎｃ ｉｎａモニターを使ってＤＣＥを拡張 し、クリティカルな業務システムを構築 する”，日経オープンシステム，日本, 日経ＢＰ社，1995年 ７月15日，第28 号，ｐ．291−303 山本著，”転ばぬ先のセキュリティ （10） パスワード”，ＵＮＩＸ ＭＡ ＧＡＺＩＮＥ，日本，（株）アスキー, 1995年 ２月 １日，（株）アスキー, ｐ．122−131 (58)調査した分野(Int.Cl.⁷，ＤＢ名) G06F 15/00 G06F 1/00 G06F 12/00 G06F 12/14 G06F 13/00

Claims (5)

(57)【特許請求の範囲】
1. 【請求項１】複数のクライアントを含むネットワークに
   おいて、メイン・データ記憶装置及び複数の二次データ
   記憶装置の間にパスワード同期を与えるシステムにし
   て、 前記メイン・データ記憶装置に接続されたセキュリティ
   ・サーバを備え、 前記セキュリティ・サーバは、前記複数のクライアント
   が当該セキュリティ・サーバを介して当該複数のクライ
   アントの１つをアクセスするために使用されるパスワー
   ドを記憶する前記メイン・データ記憶装置をアクセスす
   るように、前記複数のクライアント及び前記メイン・デ
   ータ記憶装置の間の通信を制御し、 前記セキュリティ・サーバ及び前記複数の二次データ記
   憶装置に接続されたパスワード同期サーバを備え、 前記パスワード同期サーバは、前記前記パスワードを前
   記複数の二次データ記憶装置の少なくとも１つに伝送し
   てその内部に記憶することにより、パスワード伝播同期
   を与え、 前記パスワード同期サーバに接続され、前記パスワード
   を記憶するパスワード・リポジトリを備え、 前記パスワード同期サーバは、各クライアント が前記複
   数の二次データ記憶装置の間で単一の固有のパスワード
   を維持することができるように、前記複数の二次データ
   記憶装置のうち特定の二次データ記憶装置からの前記パ
   スワードに対する要求に応答して、前記パスワード・リ
   ポジトリ内に記憶されている前記パスワードを検索し且
   つ当該検索されたパスワードを前記特定の二次データ記
   憶装置に伝送してその内部に記憶するための手段を含む
   システム。
2. 【請求項２】前記メイン・データ記憶装置は、前記複数
   のクライアントの各々に対する情報アカウントを含み、
   当該情報アカウントの各々は、対応するクライアントの
   暗号化されたパスワードを記憶する請求項１に記載のシ
   ステム。
3. 【請求項３】前記メイン・データ記憶装置は、前記パス
   ワード同期サーバに対する情報アカウントを含み、当該
   情報アカウントは、前記複数の二次データ記憶装置の各
   々を前記複数のクライアントの各々とバインドする請求
   項１に記載のシステム。
4. 【請求項４】前記メイン・データ記憶装置は、前記複数
   の二次データ記憶装置の各々に対する情報アカウントを
   含む請求項１に記載のシステム。
5. 【請求項５】前記セキュリティ・サーバは、前記複数の
   二次データ記憶装置の各々に伝播すべきクリア・テキス
   ト・パスワードを前記情報アカウント内に記憶された前
   記パスワードから回復して前記パスワード同期サーバに
   与える請求項２に記載のシステム。