JP4772256B2 - 認証方法に基づいてリソースへのアクセスを制御するための方法および装置 - Google Patents

Description

【０００１】
【発明の属する技術分野】
本発明は、認証方法に基づいてリソースへのアクセスを制御するための方法および装置に関する。より詳細には、コンピュータおよびコンピュータネットワークに関し、認証方法に基づいて、コンピュータおよびコンピュータネットワーク中の様々なリソースへのアクセスを制御する際に使用するための方法および記録媒体並びに装置に関する。
【０００２】
【従来の技術】
過去においては、実行可能コンテンツは、物理的に磁気媒体をコンピュータに運び、適切な特権（たとえば管理特権）を有するユーザにインストールさせることによってのみ、コンピュータシステム上にインストールすることができた。しかし現在では、インターネット、イントラネット、ワイドエリアネットワーク（ＷＡＮ）、ローカルエリアネットワーク（ＬＡＮ）などにより、通常のコンピュータユーザが、たとえばＡｃｔｉｖｅＸ（登録商標）コントロール、プログラム、およびスクリプトなどの実行可能コンテンツをダウンロードすることが非常に容易になっている。多くの場合、実行可能コンテンツを、このようなイベントが行われたことをユーザが気付くことすらなく、インターネットを介してダウンロードし、実行させることができる。
【０００３】
残念ながら、時々このような実行可能コンテンツは、意図的に、または意図せずに、何らかの方法でクライアントマシンを不安定化させる。たとえば、コンテンツがエラーを起こす傾向があり、クライアントマシンのクラッシュを引き起こすものであると判明することがある。コンテンツは、クライアント／ユーザについての秘密情報を漏らすことによって、クライアントマシンのセキュリティを弱めることもある。このタイプのコンピュータ問題は、以前には「ウィルス」および「トロイの木馬」の形態で存在していたが、インターネットのワールドワイドウェブ（ＷＷＷ）部分の普及により、この問題がさらにより広範なものとなっている。一般には、大部分のクライアントの動作環境は、このような制御し難いコードに対して十分には保護されていない。
【０００４】
一部のオペレーティングシステムは、特権のないユーザが行えることを制限する、既存のセキュリティ機構を既に有している。たとえば、Ｗｉｎｄｏｗｓ（登録商標）ＮＴオペレーティングシステムに組み込まれたセキュリティシステムは、ユーザの識別に基づいてリソースへのアクセスを制御する。Ｗｉｎｄｏｗｓ（登録商標）ＮＴプロセスが、あるアクションを実行するためにリソースにアクセスしようとするとき、Ｗｉｎｄｏｗｓ（登録商標）ＮＴ中のセキュリティ機構は、クライアントのユーザＩＤおよびグループＩＤ、ならびにそのプロセスに関連する特権と、そのリソースに割り当てられたセキュリティ情報とを比較し、リソースへのアクセスを許可するか、または拒絶する。このようにして、無許可のユーザは、リソースにアクセスし、潜在的に害を引き起こすことを妨げられるが、一方では、許可されたユーザは、実行を許可されているアクションが制限される可能性がある。
【０００５】
クライアントオペレーティングシステムで使用することのできる、多くの異なる認証方法が存在する。たとえば、クライアントは、ケルベロス、ＮＴＬＭ（NT LAN Manager）、ダイジェスト、セキュアソケットレイヤ（ＳＳＬ）、またはオペレーティングシステム内で利用可能な他のものの中から選択することができる。これらのプロトコルはそれぞれ異なり、その差により、関係する本人の識別に関する、保証の様々なレベルが生み出される。生体情報認証（biometric authentication）などの高保証方法と、パスワードなどのより低い保証方式との間の違いを当業者は理解されたい。
【０００６】
【発明が解決しようとする課題】
コンピュータオペレーティングシステムの末端エンドユーザまたは管理者は、データへのアクセスを管理し、不正使用や他のタスクに対して彼らのリソースを保護しなければならないので、彼らが様々なタスクに対してどのような保証を必要としているかを決定する、特殊な人々がいる。たとえばウェブページの閲覧は、パスワードなどの低確認方法を使用することを可能にするように、十分安価にすることができる。会社の財務情報の更新は、ＳＳＬなどのより高度な確認方法を必要とするであろう。明らかに、様々な可能なアプリケーションにわたる、アクセスを制御するための一貫した方法の利点が、重要であろう。
【０００７】
したがって、特にインターネット／イントラネットのネットワーク領域において、様々なネットワーク型サーバ、装置、サービス、アプリケーションなどへのアクセスを制御するための方法および装置を改良することが引き続き求められている。
【０００８】
本発明は、このような課題に鑑みてなされたもので、その目的とするところは、認証方法に基づいて、コンピュータおよびコンピュータネットワーク中の様々なリソースにわたり、アクセスを一貫して制御することが可能な、認証方法に基づいてリソースへのアクセスを制御するための方法および装置を提供することにある。
【０００９】
【課題を解決するための手段】
本発明のある態様によれば、コンピューティング環境でリソースへのアクセスを制御するための改良型の方法および装置が提供される。具体的には、この方法および装置は、ユーザを確認する際に使用される、認証機構および／またはその特徴を識別し、その後でセキュリティ機構を操作する。したがって、この付加的な情報に基づいてユーザ要求を区別することにより、付加的な制御が提供される。
【００１０】
たとえば、上記および他のニーズは、複数の認証機構をサポートすることのできる、コンピュータで使用するための方法によって満たされる。この方法は、少なくとも１つの認証機構に関連しその少なくとも１つの認証機構を識別する、少なくとも１つの識別標識、たとえばユーザまたはアカウントの識別の、オペレーティングシステム表現（representation）「（たとえばセキュリティトークンなど）を生成するステップと、その後で、オペレーティングシステム表現に基づいて少なくとも１つのリソースへのアクセスを制御するステップとを含む。ある実装では、この方法は、認証機構を何らかの方式、たとえば名前または番号によって、および／または、恐らく、認証機構で使用される暗号化処理／暗号鍵のタイプ／長さなどの強さの測定によって識別する、少なくとも１つのセキュリティ識別子（ＳＩＤ；security identifier）を生成するステップをさらに含む。たとえば他の実装では、この方法は、前記オペレーティングシステム表現と、少なくとも１つのアクセス制御エントリをその中に有する少なくとも１つのアクセス制御リストとを比較するステップを含む。たとえばここで、アクセス制御エントリは、認証機構によって認証されたユーザがリソースにアクセスすることが許可されているかどうかを、有効に指定することができる。
【００１１】
本発明の様々な方法および装置は、以下の詳細な説明を添付の図面と共に参照することによってより完全に理解されよう。
【００１２】
【発明の実施の形態】
認証は、基本的には、固有の名前または他の識別子を主張するユーザが実際にそのユーザであることを検証する処理である。物理的な世界では、このことはしばしば、政府などの信頼のおける第３者によって発行された、ある形態の文書を使用することによって実施される。非常に一般的な例はパスポートである。コンピュータの領域では、このことはしばしば、認証プロトコルを介して実施される。許可は、特定のユーザまたは他の本人が何を許可されているかを判定することである。許可は、制限の形態、たとえばクレジットカードに対する信用限度、またはアクセス制御の形態、たとえば従業員が入ることが許可される建物の領域を制限する形態を取ることができる。認証と許可には相互関係があるが、しばしば全く別々に解析され、さらには実装される。
【００１３】
典型的なコンピュータシステム内の２つの一般的な許可の形態は、名前ベースの許可と、識別ベースの許可である。名前ベースの許可は本質的に、単一の識別子であるユーザ名を使用して、許可判定を管理する。多くのウェブサイトはこの形態を使用する。一例は、典型的な商業ウェブサイトで、ユーザがそのユーザのアカウントに対するアクセスだけを有することである。他の形態である識別ベースの許可は、よりリッチな環境である。この場合、オペレーティングシステムは、ユーザについての識別子と、場合によっては、アプリケーションで使用するための、管理者により管理されるユーザのグループまたは集合を示す付加的な識別子とを維持する。多くのＵＮＩＸ（登録商標）派生システムは、ユーザ識別子と、グループ識別子のリストとして、これを公開する。Ｗｉｎｄｏｗｓ（登録商標）ＮＴおよびＷｉｎｄｏｗｓ（登録商標）２０００は、ユーザ識別子、グループのリスト、ならびに追加の制限および／または特権を含む、アクセストークンと呼ばれる構造を用いてこれを表す。
【００１４】
認証は２つの方式のどちらかで実施することができる。１つの方式は、トラスティ名（ｔｒｕｓｔｅｅ ｎａｍｅ）を、データソースオブジェクトへの初期接続に関するパスワードに関連付けることである。第２の、好適な方法は、認証されたユーザ／アカウントだけに、オペレーティングシステムによって認められたいくつかの識別標識の、セキュアアクセストークンまたは同様のオペレーティングシステム表現を使用することである。この場合、アクセストークン、または同様のオペレーティングシステム表現は、データストア中に格納される１つまたは複数の任意アクセス制御リスト（ＡＣＬ；discretionary access control list）などと突き合わせることのできる、１つまたは複数のセキュリティ識別記述子（ＳＩＤ；security identifier descriptor）を含む。
【００１５】
いくつかの従来の認証技法が認証パッケージ中に実装されている。たとえば、Ｗｉｎｄｏｗｓ（登録商標）ＮＴおよびＷｉｎｄｏｗｓ（登録商標）２０００は、Ｗｉｎｄｏｗｓ（登録商標）ＮＴ ＬＡＮマネージャ（ＮＴＬＭ）に対するサポートを提供する。Ｗｉｎｄｏｗｓ（登録商標）２０００は、ケルベロスセキュリティプロトコルに対する付加的なサポートを提供する。他の周知の認証技法には、セキュアソケットレイヤ（ＳＳＬ）、Ｓｃｈａｎｎｅｌ、パスポートなどが含まれる。加えて、同様の他のメーカ独自の認証技法を実装することもできる。
【００１６】
このことを念頭に置いて、どのような同様の構成にも容易に適合可能な汎用的構成１００を図１に示す。構成１００での本質的な機能は、アクセストークンまたは同様のオペレーティングシステム表現１１０を使用することに関係する。アクセストークンまたは同様のオペレーティングシステム表現１１０はさらに、ユーザ／アカウントを妥当性検査するために使用された認証パッケージに関連する１つ、または複数のタイプ、特徴、および／または他の面を識別する情報を含むように修正されている。有利には、このオペレーティングシステム表現１１０は、全体のシステムセキュリティモデル中のさらなる細分性を提供する。
【００１７】
したがって図１を参照すると、構成１００は、ユーザとのインタフェースを提供するログオン機能１０２を含む。ユーザは、たとえば、ユーザ／アカウント名、パスワード、または他のユーザ／グループ識別子を与える（すなわち、入力する）ように要求される。ある実装では、ログオン機能１０２はさらに、スマートカード上のロジック、または同様のポータブルトークン装置とインタフェースすることができる。さらに他の実装では、ユーザからの／ユーザについての生体情報情報をログオン機能１０２によって収集することができる。
【００１８】
ログオン機能１０２は、ユーザログオン情報、たとえば名前およびパスワード（またはパスワードのハッシュ）を認証パッケージ１０４に出力する。認証パッケージ１０４は、（ユーザログオン情報に基づいて）ユーザがその名前が示唆する実際のユーザであることを認証し、または妥当性検査するように構成される。前述のように、今日いくつかの認証技法が使用されている。
【００１９】
認証パッケージ１０４は、鍵１０６を必要とする符号化方式または暗号化方式を利用することができる。ある実装では、認証技法の信頼性を鍵１０６の強さ（たとえば長さ）と結びつけることができる。このことを述べたのは、これを、後にオペレーティングシステム表現１１０に反映されるセキュリティ基準とすることができるからである。認証パッケージ１０４は、１つまたは複数の他のサブ認証パッケージ１０８を呼び出してユーザログオンを検証することもできる。サブ認証パッケージ１０８の使用も認証技法の信頼性に影響を与える可能性があり、したがって、結果として得られるオペレーティングシステム表現１１０に反映される可能性がある。
【００２０】
図示したように、認証パッケージ１０４は、１つまたは複数の認証パッケージＳＩＤ １１２を出力し、認証パッケージＳＩＤ １１２は、オペレーティングシステム表現１１０内に供給される。この例では、オペレーティングシステム表現１１０は、以下で説明するようにユーザ／アカウントを識別するオブジェクトであり、ユーザ／アカウントのプロセスに永続的に接続される。
【００２１】
ここで、オペレーティングシステム表現１１０は、ログオン名および／またはパスワードなどに基づく従来のユーザＳＩＤと、少なくとも１つの認証パッケージＳＩＤ １１２とを含む。オペレーティングシステム表現１１０は、たとえば１つまたは複数のグループＩＤ、特権など、他の属性をさらに含むことができる。
【００２２】
オペレーティングシステム表現１１０内に認証パッケージＳＩＤ １１２を提供することによって、後続のセキュリティ機能はユーザ／アカウントをさらに区別できることになる。この利点や他の利点を、オブジェクトマネージャ１１４、セキュリティ機構１１６、およびＡＣＬ １１８を備える例示的セキュリティ構成の概要に続いて以下で説明する。
【００２３】
ユーザのプロセスが別のオブジェクトにアクセスすることを求めるとき、ユーザのプロセスは、求めるアクセスのタイプ（たとえばファイルオブジェクトへの読書きアクセスを得ること）を指定し、かつカーネルレベルで、ユーザのプロセスがオブジェクトマネージャ１１４に対応するオペレーティングシステム表現１１０であることを与える。シークされるオブジェクトは、ＡＣＬ １１８を含むそのオブジェクトに関連するカーネルレベルセキュリティ記述子を有する。オブジェクトマネージャ１１４は、オペレーティングシステム表現１１０およびＡＣＬ １１８をセキュリティ機構１１６に供給する。
【００２４】
ＡＣＬ １１８内には、少なくとも１つのアクセス制御エントリ（ＡＣＥ；access control entry）１２０が存在する。アクセス制御エントリ（ＡＣＥ）１２０は、そのエントリに対応する、あるアクセス権（許可されるアクションまたは拒絶されるアクション）を定義する。たとえば、ＡＣＥ １２０は、ビットマスクの形態の、タイプ（拒絶または許可）標識、フラグ、１つまたは複数のＳＩＤ、およびアクセス権を含むことができ、各ビットは許可に対応する（たとえば、読取りアクセスについての１ビット、書込みについての１ビットなど）。
【００２５】
したがって、セキュリティ機構１１６は、ユーザのプロセスによって要求されたアクションのタイプと共に、オペレーティングシステム表現１１０中のＳＩＤと、ＡＣＬ １１８中のＡＣＥ １２０とを比較することができる。許可されるユーザまたはグループとの一致が見つかり、かつ要求するアクセスのタイプがそのユーザまたはグループに対して許可できる場合、所望のオブジェクトへのハンドルがユーザのプロセスに返され、そうでない場合、アクセスは拒絶される。
【００２６】
認証パッケージＳＩＤ １１２を追加すると、セキュリティ機構１１６はまた、認証パッケージまたは認証機構を考慮することができる。したがって、たとえば、ＮＴＬＭを使用して認証されたユーザは、所望のオブジェクトにアクセスすることを、ＡＣＬ １１８中の拒絶ＮＴＬＭ認証のＡＣＥ１２０に基づいて拒絶されることがあり、一方ケルベロスで認証された別のユーザは、所望のオブジェクトにアクセスすることが許可される。認証パッケージ１０４、サブ認証パッケージ１０８、鍵１０６、またはそれらの任意の組合せに基づいて、異なるＳＩＤ１１２およびＡＣＥ １２０を定義することによって、さらなる細分性が提供される。
【００２７】
次に図２を参照する。図２は、構成１００に適した例示的コンピューティングシステム２００を示すブロック図である。
【００２８】
この例では、コンピューティングシステム２００はパーソナルコンピュータ（ＰＣ）の形態であるが、他の例では、コンピューティングシステムは、専用サーバ、専用装置、家電電化製品、ハンドヘルドコンピューティング装置、携帯電話装置、ページャ装置などの形態を取ることもできる。
【００２９】
図示するように、コンピューティングシステム２００は、プロセッサ２２１、システムメモリ２２２、およびシステムバス２２３を含む。システムバス２２３は、システムメモリ２２２およびプロセッサ２２１を含む様々なシステム構成要素を結びつける。システムバス２２３は、様々なバスアーキテクチャのうちのいずれかを使用する、メモリバスまたはメモリコントローラ、周辺バス、およびローカルバスを含むいくつかのタイプのバス構造のうちのどれでもよい。システムメモリ２２２は一般に、読取り専用メモリ（ＲＯＭ）２２４およびランダムアクセスメモリ（ＲＡＭ）２２５を含む。起動時などに、コンピューティングシステム２００内の要素間で情報を転送する助けになる基本ルーチンを含む基本入出力システム２２６（ＢＩＯＳ）が、ＲＯＭ ２２４中に格納される。コンピューティングシステム２００は、ハードディスク（図示せず）を読み書きするためのハードディスクドライブ２２７と、リムーバル磁気ディスク２２９を読み書きするための磁気ディスクドライブ２２８と、ＣＤ−ＲＯＭまたは他の光媒体などのリムーバル光ディスク２３１を読み書きするための光ディスクドライブ２３０をさらに含む。ハードディスクドライブ２２７、磁気ディスクドライブ２２８、および光ディスクドライブ２３０は、それぞれハードディスクドライブインタフェース２３２、磁気ディスクドライブインタフェース２３３、および光ドライブインタフェース２３４によってシステムバス２２３に接続される。これらのドライブと、それに関連するコンピュータ可読媒体により、コンピューティングシステム２００に対するコンピュータ可読命令、データ構造、コンピュータプログラム、および他のデータの不揮発性記憶が実現される。
【００３０】
オペレーティングシステム２３５ａ、２３５ｂ、１つまたは複数のアプリケーションプログラム２３６ａ、２３６ｂ、他のプログラム２３７ａ、２３７ｂ、およびプログラムデータ２３８ａ、２３８ｂを含むいくつかのコンピュータプログラムは、ハードディスク、磁気ディスク２２９、光ディスク２３１、ＲＯＭ２２４、またはＲＡＭ２２５上に格納することができる。
【００３１】
ユーザは、キーボード２４０およびポインティングデバイス２４２（マウスなど）などの様々な入力装置を介して、コンピューティングシステム２００にコマンドおよび情報を入力することができる。リアルタイムデータ２５６を取り込み、または出力することができるカメラ／マイクロフォン２５５または他の同様の媒体装置も、コンピューティングシステム２００への入力装置として含めることができる。リアルタイムデータ２５６は、適切なインタフェース２５７を介してコンピューティングシステム２００に入力することができる。インタフェース２５７は、システムバス２２３に接続することができ、それによってリアルタイムデータ２５６をＲＡＭ２２５または他のデータ記憶装置のうちの１つに格納することが可能となり、あるいはリアルタイムデータ２５６を処理することが可能となる。
【００３２】
図示するように、モニタ２４７または他のタイプのディスプレイ装置も、ビデオアダプタ２４５などのインタフェースを介してシステムバス２２３に接続される。モニタに加えて、コンピューティングシステム２００は、スピーカ、プリンタなどの他の周辺出力装置（図示せず）も含むことができる。
【００３３】
コンピューティングシステム２００は、リモートコンピュータ２４９などの１つまたは複数のリモートコンピュータへの論理接続を使用して、ネットワーク環境で動作することができる。リモートコンピュータ２４９は、別のパーソナルコンピュータ、サーバ、ルータ、ネットワークＰＣ、ピアデバイス、または他の共通ネットワークノードでよく、一般にはコンピューティングシステム２００に対して前述した要素のうちの多くを含み、またはすべてを含むが、図２にはメモリ記憶装置２５０だけを示してある。
【００３４】
図２に示す論理接続は、ローカルエリアネットワーク（ＬＡＮ）２５１およびワイドエリアネットワーク（ＷＡＮ）２５２を含む。このようなネットワーキング環境は、オフィス、企業全体のコンピュータネットワーク、イントラネット、およびインターネットで一般的なものである。
【００３５】
ＬＡＮネットワーキング環境で使用する際、コンピューティングシステム２００は、ネットワークインタフェースまたはネットワークアダプタ２５３を介してローカルネットワーク２５１に接続される。ＷＡＮネットワーキング環境で使用する際、コンピューティングシステム２００は一般に、インターネットなどのワイドエリアネットワーク２５２を介して通信を確立するためのモデム２５４または他の手段を含む。モデム２５４は内蔵でも外付けでもよく、シリアルポートインタフェース２４６を介してシステムバス２２３に接続される。
【００３６】
ネットワーク環境では、コンピューティングシステム２００に関して示したコンピュータプログラムまたはその一部は、リモートメモリ記憶装置中に格納することができる。図示したネットワーク接続は例示的なものであって、コンピュータ間の通信リンクを確立する他の手段も使用できることを理解されたい。
【００３７】
本発明の様々な方法および装置の好適実施形態を、添付の図面で図示し、前述の発明の実施の形態で説明したが、本発明は開示した例示的実施形態に限定されず、特許請求の範囲に記載され、それによって定義される本発明の趣旨から逸脱することなく、多数の再構成、修正、置換が可能であることを当業者は理解されよう。
【００３８】
【発明の効果】
以上、説明したように、本発明によれば、認証方法に基づいて、コンピュータおよびコンピュータネットワーク中の様々なリソースにわたり、アクセスを一貫して制御することが可能となる。
【図面の簡単な説明】
【図１】本発明の実施形態のリソースへのアクセスを制御するための例示的機能構成を示すブロック図である。
【図２】本発明の実施形態の図１の構成と共に使用するのに適した例示的コンピューティング環境を示すブロック図である。
【符号の説明】
１０２ ログオン機能
１０４ 認証パッケージ
１０６ 鍵
１０８ サブ認証パッケージ
１１０ 識別子（たとえばアクセストークン）
１１２ ＳＩＤ
１１４ オブジェクトマネージャ
１１６ セキュリティ機構
２００ コンピューティングシステム
２２１ プロセッサ
２２２ システムメモリ
２２３ システムバス
２２４ ＲＯＭ
２２５ ＲＡＭ
２２６ ＢＩＯＳ
２２７ ハードディスクドライブ
２２８ 磁気ディスクドライブ
２２９ 磁気ディスク
２３０ 光ディスクドライブ
２３１ 光ディスク
２３２ ハードディスクドライブインタフェース
２３３ 磁気ディスクドライブインタフェース
２３４ 光ドライブインタフェース
２３５ａ、２３５ｂ オペレーティングシステム
２３６ａ、２３６ｂ アプリケーションプログラム
２３７ａ、２３７ｂ プログラムモジュール
２３８ａ、２３８ｂ プログラムデータ
２４０ キーボード
２４２ ポインティングデバイス
２４５ ビデオアダプタ
２４６ シリアルポートインタフェース
２４７ モニタ
２４９ リモートコンピュータ
２５０ メモリ記憶装置
２５１ ローカルエリアネットワーク
２５２ ワイドエリアネットワーク
２５３ ネットワークインタフェース
２５４ モデム
２５５ 入力機構
２５６ リアルタイムデータ
２５７ インタフェース

Claims (15)

1. 複数の認証機構をサポートすることができるコンピュータで実行する方法であって、
   ユーザにより入力されたログオン情報を前記複数の認証機構の１つに入力するステップと、
   前記ログオン情報に基づいて、前記ユーザを識別するユーザセキュリティ識別記述子（ＳＩＤ）と、前記複数の認証機構のうち、前記ユーザまたは前記ユーザが所有するアカウントの妥当性検査に使用された認証機構を識別する少なくとも１つの認証機構ＳＩＤとを生成するステップと、
   生成された前記ユーザＳＩＤと、生成された前記少なくとも１つの認証機構ＳＩＤとを含むアクセストークンであって、前記ユーザが属しているプロセスに永続的に付随する少なくとも１つのアクセストークンを生成するステップと、
   前記アクセストークン内の前記ユーザＳＩＤおよび前記認証機構ＳＩＤと、アクセス制御リストに含まれるアクセス制御エントリとに基づいて、前記ユーザがアクセスを望むリソースへのアクセスを制御するステップであって、前記アクセス制御リストは、少なくとも１つのアクセス制御エントリを含み、前記アクセス制御エントリは、各リソースについて各ＳＩＤによるアクセスを許可するかに関する情報を含む、リソースへのアクセスを制御するステップと
   を備え、
   前記リソースへのアクセスを制御するステップは、
   前記アクセストークン内の前記ユーザＳＩＤおよび前記認証機構ＳＩＤを用いて、前記アクセス制御リストを検索するステップと、
   前記ユーザＳＩＤおよび前記認証機構ＳＩＤが、前記アクセス制御リスト内の前記少なくとも１つのアクセス制御エントリと一致するか判定するステップと、
   前記アクセス制御エントリの情報に従って前記リソースへのアクセスを許可するか判定するステップと
   をさらに含むことを特徴とする方法。
2. 前記複数の認証機構は、使用する暗号鍵の長さが異なる認証機構を含むことを特徴とする請求項１に記載の方法。
3. 前記リソースへのアクセスは、前記ユーザＳＩＤおよび前記認証機構ＳＩＤが、前記アクセス制御リスト内の前記少なくとも１つのアクセス制御エントリと一致すると判断された場合、許可されることを特徴とする請求項１に記載の方法。
4. 前記リソースへのアクセスは、前記ユーザＳＩＤまたは前記認証機構ＳＩＤが、前記アクセス制御リスト内の拒絶されるＳＩＤと一致すると判断された場合、許可されないことを特徴とする請求項１に記載の方法。
5. 前記リソースへのアクセスは、前記ユーザＳＩＤおよび前記認証機構ＳＩＤの少なくとも１つが、前記アクセス制御リスト内の前記少なくとも１つのアクセス制御エントリと一致しないと判断された場合、許可されないことを特徴とする請求項１に記載の方法。
6. 複数の認証機構をサポートすることができる装置で使用するコンピュータ読み取り可能な記録媒体であって、
   ユーザにより入力されたログオン情報を、前記装置によってサポートされる前記複数の認証機構の１つに入力するステップと、
   前記ログオン情報に基づいて、前記ユーザを識別するユーザセキュリティ識別記述子（ＳＩＤ）と、前記複数の認証機構のうち、前記ユーザまたは前記ユーザが所有するアカウントの妥当性検査に使用された認証機構を識別する少なくとも１つの認証機構ＳＩＤとを生成するステップと、
   生成された前記ユーザＳＩＤと、生成された前記少なくとも１つの認証機構ＳＩＤとを含むアクセストークンであって、前記ユーザが属しているプロセスに永続的に付随する少なくとも１つのアクセストークンを生成するステップと、
   前記アクセストークン内の前記ユーザＳＩＤおよび前記認証機構ＳＩＤと、アクセス制御リストに含まれるアクセス制御エントリとに基づいて、前記装置に動作可能に連結されており前記ユーザがアクセスを望んでいるリソースへのアクセスを、前記装置に選択的に制御させるステップであって、前記アクセス制御リストは、少なくとも１つのアクセス制御エントリを含み、前記アクセス制御エントリは、各リソースについて各ＳＩＤによるアクセスを許可するかに関する情報を含む、リソースへのアクセスを前記装置に選択的に制御させるステップと
   を備え、
   前記リソースへのアクセスを前記装置に選択的に制御させるステップは、
   前記アクセストークン内の前記ユーザＳＩＤおよび前記認証機構ＳＩＤを用いて、前記アクセス制御リストを検索させるステップと、
   前記ユーザＳＩＤおよび前記認証機構ＳＩＤが、前記アクセス制御リスト内の前記少なくとも１つのアクセス制御エントリと一致するか判定させるステップと、
   前記アクセス制御エントリの情報に従って前記リソースへのアクセスを許可するか判定させるステップと
   をさらに含む動作を実行するためのコンピュータ実行可能命令を有することを特徴とするコンピュータ読み取り可能な記録媒体。
7. 前記複数の認証機構は、使用する暗号鍵の長さが異なる認証機構を含むことを特徴とする請求項６に記載のコンピュータ読み取り可能な記録媒体。
8. 前記リソースへのアクセスは、前記ユーザＳＩＤおよび前記認証機構ＳＩＤが、前記アクセス制御リスト内の前記少なくとも１つのアクセス制御エントリと一致すると判断された場合、許可されることを特徴とする請求項６に記載のコンピュータ読み取り可能な記録媒体。
9. 前記リソースへのアクセスは、前記ユーザＳＩＤまたは前記認証機構ＳＩＤが、前記アクセス制御リスト内の拒絶されるＳＩＤと一致すると判断された場合、許可されないことを特徴とする請求項６に記載のコンピュータ読み取り可能な記録媒体。
10. 前記リソースへのアクセスは、前記ユーザＳＩＤおよび前記認証機構ＳＩＤの少なくとも１つが、前記アクセス制御リスト内の前記少なくとも１つのアクセス制御エントリと一致しないと判断された場合、許可されないことを特徴とする請求項６に記載のコンピュータ読み取り可能な記録媒体。
11. ユーザにより入力されたログオン情報を複数の認証機構の１つに入力するログオンプロセスと、
    前記ログオン情報に基づいて、前記ユーザを識別するユーザセキュリティ識別記述子（ＳＩＤ）と、前記前記複数の認証機構のうち、前記ユーザまたは前記ユーザが所有するアカウントの妥当性検査に使用された認証機構を識別するための少なくとも１つの認証機構ＳＩＤとを生成して、生成された前記ユーザＳＩＤと生成された前記少なくとも１つの認証機構ＳＩＤとを含むアクセストークンであって、前記ユーザが属しているプロセスに永続的に付随する少なくとも１つのアクセストークンを生成する、複数の認証機構と、
    各アクセス制御エントリが各リソースについて各ＳＩＤによるアクセスを許可するかに関する情報を含む、少なくとも１つのアクセス制御エントリを含むアクセス制御リストと、
    少なくとも１つのアクセス制御されるリソースと、
    前記アクセストークン内の前記ユーザＳＩＤおよび前記認証機構ＳＩＤと、前記アクセス制御リストに含まれる前記アクセス制御エントリとに基づいて、前記ユーザがアクセスを望む前記リソースへのアクセスを選択的に制御するように、動作可能に構成されたロジックと
    を備え、
    前記ロジックは、
    前記アクセストークン内の前記ユーザＳＩＤおよび前記認証機構ＳＩＤを用いて、前記アクセス制御リストを検索し、
    前記ユーザＳＩＤおよび前記認証機構ＳＩＤが、前記アクセス制御リスト内の前記少なくとも１つのアクセス制御エントリと一致するか判定し、
    前記アクセス制御エントリの情報に従って前記リソースへのアクセスを許可するか判定する
    ようにさらに構成されることを特徴とする装置。
12. 前記複数の認証機構は、使用する暗号鍵の長さが異なる認証機構を含むことを特徴とする請求項１１に記載の装置。
13. 前記ロジックは、前記ユーザＳＩＤおよび前記認証機構ＳＩＤが、前記アクセス制御リスト内の前記少なくとも１つのアクセス制御エントリと一致すると判断された場合は、前記リソースへのアクセスを許可するようにさらに構成されることを特徴とする請求項１１に記載の装置。
14. 前記ロジックは、前記ユーザＳＩＤまたは前記認証機構ＳＩＤが、前記アクセス制御リスト内の拒絶されるＳＩＤと一致すると判断された場合は、前記リソースへのアクセスを許可しないようにさらに構成されることを特徴とする請求項１１に記載の装置。
15. 前記ロジックは、前記ユーザＳＩＤおよび前記認証機構ＳＩＤの少なくとも１つが、前記アクセス制御リスト内の前記少なくとも１つのアクセス制御エントリと一致しないと判断された場合は、前記リソースへのアクセスを許可しないようにさらに構成されることを特徴とする請求項１１に記載の装置。

Images