JP5998284B2 - エンタプライズシステムへのアプリケーションの動的登録 - Google Patents

Description

会社や企業の大規模化に伴い、企業リソースへのアクセス管理がますます難しくなっている。一例として、ある企業の社員が自分の私的な機器を使ってこのような企業リソースにアクセスしたいと考えるかもしれない。社員が数名の企業であれば、企業リソースにアクセスするためのこうした私的な機器の登録は容易にできる。例えばＩＴ管理者が、または私的な機器のユーザでも、そのような私的な機器を企業のリソースにアクセスできるように手作業で登録できる。

しかしながら、企業が何千人もの社員を抱えている場合、このような手作業での登録はもはや実現可能な解決策ではない。さらに、企業リソースの管理ではしばしば、登録された機器を社内ファイアウォールの中に置くことが必要となる。その結果、企業の社員は社内ファイアウォールの外にある私的な機器からでは企業リソースにアクセスできない。

本発明の実施形態は、プロセス、装置、システム、機器、方法、コンピュータ実装方法、または一時的でないコンピュータ可読記憶媒体を含めた様々な方法で実施できることを理解するべきである。

１つの実施形態において、アプリケーションをエンタプライズシステムに自動的に登録するためのコンピュータ実装方法が提供される。このコンピュータ実装方法は、エンタプライズシステムに関連するアプリケーションを取得するステップを含み、このアプリケーションは後にそのエンタプライズシステムで登録するように事前設定されており、登録リクエストは製品識別情報、機器識別情報、要求されるアクセス権限、およびアプリケーションリダイレクト ユニフォーム リソース ロケータ（ＵＲＬ）を含み、登録によってアプリケーションとエンタプライズシステムとの間に信用関係が確立するようになっている。この方法はまた、アプリケーションをホスト機器にインストールするステップと、アプリケーションをインストールするステップに関連して、エンタプライズシステムへのアプリケーションの登録を自動的に要求するステップと、を含む。

他の実施形態において、アプリケーションをエンタプライズシステムに自動的に登録するコンピュータ実装方法が提供される。このコンピュータ実装方法は、アプリケーションをエンタプライズシステムに登録することに対する自動的に生成された要求を受け取るステップを含む。この要求は、ホスト機器へのアプリケーションのインストールに関連して受け取られる。このアプリケーションはエンタプライズシステムへの登録の要求を自動的に生成するように事前設定されており、要求は製品識別情報、機器識別情報、要求されるアクセス権限、およびアプリケーションリダイレクトＵＲＬのうちの１つまたは複数を含み、登録によってアプリケーションとエンタプライズシステムとの間に信用関係が確立するようになっている。この実施形態はまた、アプリケーションをエンタプライズシステムに登録するステップも含む。

別の実施形態において、エンタプライズシステムへのアプリケーションの登録に係る手作業による入力を削減する方法が提供される。この方法はアプリケーションにアクセスを許可するステップを含み、このアプリケーションは、そのアプリケーションのホスト機器へのインストールに関連してエンタプライズシステムへの登録を自動的に要求するように事前設定されており、事前設定されたアプリケーションには登録情報が事前投入されて、ユーザが手作業により登録情報を入力しなくてもよいようになっており、登録情報は製品識別情報、機器識別情報、要求されるアクセス権限、およびアプリケーションリダイレクトＵＲＬを含み、登録によってアプリケーションとエンタプライズシステムとの間に信用関係が確立するようになっている。この方法は、ユーザが登録情報を手作業により入力する必要がなくなることに基づいてアプリケーションの登録に係る手作業による入力を削減するステップをさらに含む。

また別の実施形態において、エンタプライズシステムをスケーラブルに管理するためのコンピュータ実装方法が提供される。この方法は、アプリケーションとホスト機器をエンタプライズシステムに動的に登録するステップを含み、登録の要求は製品識別情報、機器識別情報、要求されるアクセス権限、およびアプリケーションリダイレクトＵＲＬからなる群から選択された登録情報を含み、登録によってエンタプライズシステムとアプリケーションおよび機器の両方との間に信用関係が確立するようになっており、アプリケーションはホスト機器にインストールされる。この方法はまた、ホスト機器のユーザをエンタプライズシステムに認証するステップと、アプリケーションとホスト機器と認証コードをユーザと関連付けて、エンタプライズシステムをスケーラブルに管理できるようにするステップと、を含む。

１つの実施形態において、エンタプライズシステムへの動的登録を可能にするコンピュータ実装方法が提供される。この方法は、エンタプライズシステムへのアプリケーションのアクセス権限を規定するように構成されたアプリケーションアクセステンプレートにアクセスするステップと、エンタプライズシステムにアプリケーションを登録するステップと、を含み、登録の要求は製品識別情報、機器識別情報、要求されるアクセス権限、およびアプリケーションリダイレクトＵＲＬを含み、登録するステップによってアプリケーションとエンタプライズシステムとの間に信用関係が確立するようになっている。この方法はまた、アプリケーションアクセステンプレートの中で規定されたアクセス権限をアプリケーションに付与するステップも含む。

エンタプライズシステムのある実施形態を示すブロック図である。 アプリケーションアクセステンプレートのある実施形態を示すブロック図である。 各種の実施形態による機器／アプリケーションの動的登録のためのプロセスフロー図を示す。 各種の実施形態による、エンタプライズシステムにアプリケーションを自動的に登録する方法のフロー図を示す。 各種の実施形態による、エンタプライズシステムにアプリケーションを自動的に登録する方法のフロー図を示す。 各種の実施形態による、エンタプライズシステムへのアプリケーションの登録に係る手作業による入力を削減する方法のフロー図を示す。 各種の実施形態による、エンタプライズシステムをスケーラブルに管理する方法のフロー図を示す。 各種の実施形態による、エンタプライズシステムへの動的登録を可能にする方法のフロー図を示す。 ホストコンピューティングシステムのある実施形態を示すブロック図を示す。

本発明の利点は、以下の詳細な説明を、本発明の原理を例として示している添付の図面と併せて読むことになり明らかとなるであろう。
添付の図面は本明細書の中に組み込まれ、その一部をなし、各種の実施形態を示しており、「実施形態の説明」と共に後述の原理を説明するのに役立つ。図面の簡単な説明の中で言及される図面は、特にことわりがないかぎり、正確な縮尺で描かれていないと理解するべきである。

ここで、各種の実施形態を詳しく見ていくが、その例が添付の図面に示されている。本明細書において各種の実施形態について論じるが、当然のことながら、これらは限定的ではない。反対に、提供する実施形態は付属の特許請求項で定義される各種の実施形態の主旨と範囲の中に含まれうる代替案、改変、均等物をカバーするものとする。さらに、この「実施形態の説明」では、十分に理解できるように多数の具体的な詳細点を示す。しかしながら、実施形態はこれらの具体的な詳細点の１つまたは複数がなくても実施できる。また別の場合には、よく知られた方法、手順、構成要素、回路については、説明する実施形態の態様を不必要に不明瞭にしないように、詳細には説明していない。

図１は、各種の実施形態によるエンタプライズシステム（enterprise system）１１０を示すブロック図を描いたものである。一般に、エンタプライズシステム１１０はコンピュータハードウェアとソフトウェアの組み合わせを含む会社システムまたはネットワークである。会社または企業はハードウェアとソフトウェアの組み合わせを利用してその業務を組織化し、実行できる。例えば、エンタプライズシステムは例えば、これらに限定されないが、情報技術（ＩＴ）、セキュリティ、電子メール等の様々なニーズのための各種のコンピューティングリソースを提供できる。

各種の実施形態において、エンタプライズシステム１１０は複数の機器、例えば機器１１８を含む。機器はあらゆる数の物理的および／または仮想マシンである。例えば、１つの実施形態において、エンタプライズシステム１１０は会社コンピューティング環境であり、これには何万台もの物理的および／または仮想マシンが含まれる。当然のことながら、仮想マシンは物理的コンピューティングマシンの１つまたはいくつかの組み合わせで実施される。

物理的および／または仮想マシンは様々なアプリケーション（例えば、オペレーティングシステム、ワードプロセシング等）を含む。物理的および／または仮想マシンは、インストールされた同じアプリケーションを有していても、インストールされた異なるアプリケーションまたはソフトウェアを有していてもよい。インストールされたソフトウェアは、１つまたは複数のベンダからの１つまたは複数のソフトウェアアプリケーションであってもよい。

仮想マシンはゲストオペレーティングシステムを含んでいてもよい。ゲストオペレーティングシステムは、例えばマイクロソフト ウィンドウズ（商標）等のコモディティオペレーティングシステム（commodity operating system）であっても、特に仮想化ソフトウェア（例えばハイパーバイザ）と動作するよう設計された特殊化オペレーティングシステム（「準仮想化ＯＳ」と呼ばれることもある）であってもよく、これについては後でより詳しく説明する。

各種の実施形態において、エンタプライズシステム１１０はクラウド環境であってもよい。エンタプライズシステム１１０は、インターネットで接続されたデータセンタまたは、１つまたは複数のパブリックおよび／またはプライベートネットワークに接続されたプライベートクラウドコンピューティングセンタの中にあってもよい。エンタプライズシステム１１０は、１つの実施形態において、一般的に、コンピューティング環境の中の仮想または物理的エンティティにネットワーク接続を通じて接続され、この接続はパブリックネットワーク接続でも、プライベートネットワーク接続でも、それらのある組み合わせであってもよい。例えば、ユーザは、仮想または物理的エンティティでエンタプライズシステム１１０によって提示されるウェブページまたはアプリケーションにアクセスすることにより、インターネット接続を介してエンタプライズシステム１１０に接続してもよい。

詳しくは、エンタプライズシステム１１０は、機器／アプリケーションの動的登録を可能にするように構成される。動的登録によってエンタプライズシステム１１０のスケーラブルで安全な管理が可能となり、これについては後でより詳しく説明する。

エンタプライズシステム１１０は、認証サーバ１１２とリソースサーバ１２０を含む。認証サーバ１１２は認証機能を提供し、リソースサーバ１２０は企業リソースへのアクセスを提供し、これらについては後でより詳しく説明する。

認証サーバ１１２とリソースサーバ１２０は図のように別々のサーバであってもよく、またはこれらサーバを分散させてもよい。リソースサーバ１２０および／または認証サーバ１１２は１つの仮想マシンでも、複数の仮想マシンの組み合わせでもよい。これに加えて、リソースサーバ１２０と認証サーバ１１２は単独のサーバとして一緒に動作してもよい。

各種の実施形態において、非エンタプライズ機器１４０がエンタプライズシステム１１０に登録され、これらの機器がエンタプライズシステム１１０により制御される各種のリソースにアクセスできるようになる。非エンタプライズ機器１４０、例えば機器１５０と機器１６０は様々なモバイル機器であってもよい。モバイル機器は、これらに限定されないが、スマートフォン、コンピュータタブレット、携帯情報端末（ＰＤＡ）、その他とすることができる。

例えば、機器の様々なユーザは、エンタプライズシステム１１０を利用し、制御する会社の社員であってもよい。一般に、ユーザは会社のリソース（例えばリソース１２２）に、会社ドメインまたはファイアウォール内の登録済み／許可済みの機器（例えば機器１１８であって、これはデスクトップまたはラップトップコンピューティングシステムであってよい）にインストールされたアプリケーションを介してアクセスする。一般に、ファイアウォールはエンタプライズシステム１１０のセキュリティ保護を容易にする。ファイアウォールは出入りするネットワークトラフィックを、例えばデータパケットを分析し、そのトラフィックがファイアウォールを通過するのを許可するべきか否かを判断することによって制御する。

機器１１８は、エンタプライズシステム１１０を介して制御、管理される。詳しくは、機器１１８はエンタプライズシステム１１０に登録され、認証されて、機器１１８が利用するアプリケーションが各種の会社リソース（例えばリソース１２２）にアクセスできる。

しかしながら、企業の社員またはエンタプライズシステム１１０のユーザは、自分自身の私的な機器、例えば非エンタプライズ機器１４０を使って企業リソースにアクセスしたいと望むかもしれない。例えばユーザは、自分が家にいて、ファイアウォール中にある機器を介してリソース１２２にアクセスできないため、ユーザの所有するモバイル機器（例えば機器１５０と機器１６０）からリソース１２２にアクセスしたいと希望する。他の例では、ユーザは社内ファイアウォールの中にあるデスクトップコンピュータからではなく、自分自身の私的なモバイル機器を使って素早くリソース１２２にアクセスしたいと希望する。

したがって、非エンタプライズ機器１４０とインストールされたアプリケーションはエンタプライズシステム１１０に動的に登録されて、アプリケーションは、非エンタプライズ機器１４０が社内ファイアウォールの中または外のいずれにあっても、リソース１２２に安全にアクセスできる。さらに、動的登録によって、エンタプライズシステム１１０のスケーラブルで安全な管理が可能となり、これについては後でより詳しく説明する。
例示的な動作方法
以下の説明は、実施形態のいくつかの例示的な動作方法の動作を詳しく示す。図３、４、５、６、７、８を参照すると、フロー図３００、４００、５００、６００、７００、８００は各種の実施形態で使用される例示的な手順を示す。フロー図３００、４００、５００、６００、７００、８００は、各種の実施形態において、プロセッサがコンピュータ可読およびコンピュータ実行可能命令の制御の下で実行するいくつかの手順を含む。このようにして、本明細書の中で、フロー図３００、４００、５００、６００、７００、８００に関連して説明する手順は、各種の実施形態において、コンピュータを使って実施され、または実施されてもよい。コンピュータ可読およびコンピュータ実行可能命令は、あらゆる有形のコンピュータ可読記憶媒体に記憶させることができる。有形のコンピュータ可読記憶媒体のいくつかの非限定的な例には、ランダムアクセスメモリ、リードオンリメモリ、磁気ディスク、ソリッドステートドライブ／「ディスク」、および光ディスクが含まれ、これらはいずれも、またはすべて、コンピュータ環境および／またはクラウド環境（例えばエンタプライズシステム１１０）に利用できる。有形のコンピュータ可読記憶媒体上に記憶されたコンピュータ可読およびコンピュータ実行可能命令は、例えばコンピュータ環境および／またはクラウド環境のプロセッサの１つまたは、ある組み合わせに関連する制御または動作のために使用される。当然のことながら、プロセッサは物理的でも、仮想でも、ある組み合わせでもよい（また、仮想プロセッサは物理的ハードウェア上で実施されることも理解するべきである）。具体的な手順がフロー図３００、４００、５００、６００、７００および／または８００の中に示されているが、このような手順は例である。すなわち、実施形態は、フロー図３００、４００、５００、６００、７００および／または８００に記載された手順以外の様々な手順またはそれらの変形版を実行するのにもよく適している。同様に、いくつかの実施形態において、フロー図３００、４００、５００、６００、７００および／または８００の中の手順は、開示されたものとは異なる順序で実行してもよく、および／またはこれらのフロー図の中の１つまたは複数で説明された手順の必ずしも全部を実行しなくてもよい。さらに、当然のことながら、フロー図３００、４００、５００、６００、７００および／または８００で説明された手順は、ハードウェア、またはハードウェアとファームウェアおよび／またはソフトウェアとの組み合わせで実施してもよい。

図３は、各種の実施形態による機器／アプリケーションの動的登録のためのプロセスフロー図を示す。機器／アプリケーションの動的登録に関する以下の説明では、少なくとも図１〜３を参照する。

３０５で、アプリケーションアクセステンプレート（application access templates）が生成される。例えば、情報技術（ＩＴ）の熟練者（例えば、組織管理者）が１つまたは複数のアプリケーションアクセステンプレート、例えばアプリケーションアクセステンプレート１１４〜１１４ｎを生成する。１つの実施形態において、アプリケーションアクセステンプレート１１４〜１１４ｎは認証サーバ１１２の中に保存される。

アプリケーションアクセステンプレートは、エンタプライズシステム１１０で利用できるアプリケーションごとの情報またはパラメータを含む。詳しくは、アプリケーションアクセステンプレートは、エンタプライズシステム１１０で利用される各アプリケーションのために生成される。例えば、アプリケーションアクセステンプレート１１４はアプリケーション１３１のために生成され、アプリケーションアクセステンプレート１１４ｎはアプリケーション１３１ｎのために生成される。

各アプリケーションアクセステンプレートは、エンタプライズシステム１１０への特定のアプリケーションの登録／認証を容易にする情報を含む。詳しくは、各アプリケーションアクセステンプレートは、リソースサーバ１２０へのアプリケーションの登録／認証を容易にする。

アプリケーションアクセステンプレートは、その後の動的登録／認証とエンタプライズ管理に利用され、これについては後でより詳しく説明する。
これに加えて、アプリケーションアクセステンプレートはアプリケーションを事前承認する。すなわち、アプリケーションは、エンタプライズシステム１１０に登録し、ある程度までエンタプライズシステム１１０内のリソースにアクセスできると仮定される。これに対して、対応するアプリケーションアクセステンプレートを持たないアプリケーションはいずれも、エンタプライズシステム１１０内のリソースへのアクセスが認められない。

１つの実施形態において、アプリケーションアクセステンプレートは基本的な認証プロトコル情報、例えば、これに限定されないが、ＯＡｕｔｈ ２．０データを規定する。一般に、ＯＡｕｔｈ ２．０は、第三者のアプリケーションがハイパーテキスト トランスファー プロトコル（ＨＴＴＰ）サービスにアクセスできるようにするオープンソース認証プロトコルである。

図２は、アプリケーションアクセステンプレート２１４のある実施形態を示している。例えば、アプリケーションアクセステンプレート２１４は、これらに限定されないが、アプリケーションＩＤ、アプリケーション名、アプリケーションアイコン、リダイレクトＵＲＬ（redirect URL）、リソースアクセス権限、属性等を含んでいてもよい。

１つの実施形態において、アプリケーションＩＤ（またはアプリケーション製品ＩＤ）は各アプリケーションに固有である。
他の実施形態において、属性は、これらに限定されないが、リフレッシュトークンを発行するか否か、アクセストークン有効期限（ＴＴＬ）、リフレッシュトークンＴＴＬ等を含んでいてもよい。

リダイレクトＵＲＬ（またはリダイレクト ユニフォーム リソース アイデンティファイア（ＵＲＩ））は、特定のアプリケーションがエンタプライズシステム１１０からの、例えばリソースサーバ１２０および／または認証サーバ１１２からの応答の受信を聞く（listen）エンドポイントである。各アプリケーションは異なるリダイレクトＵＲＬを有する。

各種の実施形態において、リソースアクセス権限は各アプリケーションに関して異なっていてもよい。例えば、電子メールアプリケーションはユーザの電子メールに関するアクセス権限を有していてもよく、ワードプロセシングアプリケーション（word processing application）は各種のリソースへのアクセスを有していてもよい。

３０７では、１つまたは複数のアプリケーションにアクセスする。例えば、機器１５０のユーザがエンタプライズアプリケーションストア１３０からの１つまたは複数のアプリケーションにアクセスし、ユーザは１つまたは複数のアプリケーションを介してエンタプライズシステム１１０からリソースにアクセスできる。

詳しくは、非エンタプライズ機器のユーザはエンタプライズアプリケーションストア１３０からのアプリケーション１３１（例えばＡｐｐｌｅ（商標）のＰａｇｅｓ（商標））にアクセスし、このアプリケーションを機器にダウンロードしてインストールする。例えば、機器１５０（例えばｉＰｈｏｎｅ（商標））と機器１６０（例えばｉＰａｄ（商標））のユーザがエンタプライズアプリケーションストア１３０からのワードプロセシングアプリケーションをインストールし、アプリケーション１５１（例えばＰａｇｅｓ（商標））を機器１５０に、アプリケーション１６１（例えば、Ｐａｇｅｓ（商標））を機器１６０にインストールする。

エンタプライズアプリケーションストア１３０は、アプリケーション（例えばアプリケーション１３１〜１３１ｎ）を保存するためのあらゆるアプリケーションリポジトリ（application repository）（例えばＧｏｏｇｌｅ Ｐｌａｙ（商標））であり、このアプリケーションは後にエンタプライズシステム１１０からリソースにアクセスするために使用してもよい。１つの実施形態において、エンタプライズアプリケーションストア１３０は、エンタプライズシステム１１０の中にあってもよい。

前述のように、アプリケーション１３１〜１３１ｎはあらゆるクライアントアプリケーションであり、これは適正に登録された時に、エンタプライズシステム１００のリソースにアクセスするために利用できる。１つの実施形態において、１つまたは複数のアプリケーションは、第三者のベンダにより開発された市販のアプリケーションである。このようなアプリケーションは、後のエンタプライズシステム１１０への登録および／またはユーザ認証を容易にするように変更または補強されてもよく、これについては後でより詳しく説明する。

他の実施形態において、アプリケーションのうちの１つまたは複数は、エンタプライズシステム１１０との特定の使用のためのカスタムアプリケーションである。例えば、このようなアプリケーションは第三者のベンダによって開発されても、エンタプライズシステムの当事者により開発されてもよい。

ステップ３０５と３０７は、前述のように、逐次的に実行する必要がないことを理解するべきである。すなわち、３０５でアプリケーションアクセステンプレートを生成するステップと、３０７でアプリケーションにアクセスするステップは、平行して行ってもよい。また、１つの実施形態において、３０７でアプリケーションにアクセスするステップは、３０５でアプリケーションアクセステンプレートを生成するステップの前に行ってもよい。

３１０で、エンタプライズシステム１１０への登録が自動的に要求される。１つの実施形態において、自動登録要求はエンタプライズシステム１１０に転送される。例えば、登録要求は認証サーバ１１２の登録済みのエンドポイントに送信される。

各種の実施形態において、自動登録要求は機器（例えば機器１５０）へのアプリケーション（例えばアプリケーション１５１）のインストールに関連して提供される。
本明細書で規定されるように、「インストールに関連した自動登録要求」という語句は、機器へのアプリケーションのインストールに関連付けられる自動登録要求を意味する。例えば、自動登録要求はインストール中に、例えばアプリケーションのインストールに応答して例えばリアルタイムまたは動的に行われてもよい。他の例では、自動登録要求は、インストール後に、およびそのアプリケーションの初期実行または「起動」に応答して行われてもよい。

自動登録要求は、クライアントアプリケーションと機器に関する属性を含む。登録要求は、これらに限定されないが、製品ＩＤ、機器ＩＤ、要求されるアクセス権限、リダイレクトＵＲＬ等を含んでいてもよい。

したがって、クライアントアプリケーションと機器は、アプリケーションアクセステンプレート中の属性が、少なくとも部分的に登録要求の中で提供された属性と一致した場合に、動的に登録される。

本明細書で使用されるかぎり、「クライアント」という用語はエンタプライズシステム１１０の中のリソース（例えば保護されたリソース）を要求する、アプリケーション等のエンティティとして広く解釈されるものとする。

１つの実施形態において、自動登録要求のリダイレクトＵＲＬは、アプリケーションアクセステンプレート内で提供されるものと同じリダイレクトＵＲＬである。したがって、リダイレクトＵＲＬが相互に一致するために登録が認められる。反対に、リダイレクトＵＲＬが相互に一致しない場合は、登録が拒否される。

これに加えて、カスタムスキームがインストールに関連して登録される。例えば、アプリケーションエンドポイントは、モバイル機器のオペーティングシステム（ＯＳ）に登録される。

ステップ３１０〜３７２に示される通信は、後述のように、エンタプライズシステム１１０の認証機能、例えば認証サーバ１１２に関連していることを理解するべきである。
３２０で、ブラウザがユーザログインにリダイレクトされる。例えば、認証サーバ１１２は機器１５０のブラウザ１５２および／または機器１６０のブラウザ１６２をユーザログインウィンドウにリダイレクトする。各種の実施形態において、ブラウザ１５２とブラウザ１６２は、それぞれ機器１５０と１６０の内蔵または外部ブラウザである。

３１０でクライアントアプリケーションを登録すると、その後のユーザ登録は認証サーバ１１２、例えば識別情報プロバイダ（ＩＤＰ）によって提供されることがわかる。認証サーバ１１２は、エンタプライズシステム１１０の中にあっても、エンタプライズシステム１１０の外にあってもよい。

ユーザに対して表示されるログインプロンプト（login prompt）は、これらに限定されないが、ログインＩＤとパスワードを含んでいてもよい。ユーザを認証できるようにするためのどのような検証システムを用いてもよいことを理解するべきである。

３２２で、ユーザはログイン（認証）情報を提供する。例えば、ユーザはログインＩＤとパスワードを提供する。それに加えて、またはその代わりに、ユーザは多要素認証、例えばスマートカード、またはＳｅｃｕｒｅＩＤ（登録商標）コード、またはある生体情報検証を、パスワードまたは個人識別番号（ＰＩＮ）のほかに送信してもよい。ユーザログイン情報は認証サーバ１１２に提供される。ログイン情報が認証サーバ１１２によって検証されると、検証結果がリソースサーバ１２０に送信され、ユーザはエンタプライズシステム１１０のリソース１２２にアクセスする許可を得る。

３３０で、ブラウザがアプリケーション許可ページにリダイレクトされる。すなわち、ユーザは、アプリケーションがエンタプライズシステム１１０内のリソースにアクセスする許可を提供するように促される。

例えば、ユーザは、機器１５０にダウンロードされたアプリケーション１５１がアプリケーション登録および／またはアプリケーションアクセステンプレートの中で規定されたアクセス権限に従ってリソースサーバ１２０の中のリソース１２２にアクセスできることを確認するように促されるであろう。

アプリケーション許可の要求は、クライアントアプリケーションと機器の登録に関係するセキュリティをより強化する。
３３２で、ユーザはアプリケーションがアプリケーション登録および／またはアプリケーションアクセステンプレートの中で規定されたアクセス権限に従ってリソースにアクセスする許可を付与する。

これに対して、ユーザが許可を付与しなければ、このアプリケーションはエンタプライズシステム１１０の中のリソースにアクセスできない。例えば、アプリケーションは、エンタプライズシステム１１０中のリソースに不正な意図でアクセスするために利用されるかもしれない。したがって、アプリケーションを、そのアプリケーションを介してリソースにアクセスするために使おうとしていないユーザは、アプリケーションがリソースにアクセスするのを許可しないであろう。

３４０で、各種のセキュリティコードが生成される。例えば、認証サーバ１１２は、リソースにアクセスするために後にアプリケーションが使用するクライアント識別子とクライアントシークレット（client secret）を生成する。

クライアント識別子は、クライアントアプリケーションが提供する登録情報を表す固有のストリングである。クライアント識別子は、アプリケーション認証のためのユーザ名として使用してもよい。

クライアントシークレットは、アプリケーション認証に関連するパスワードとして使用してもよい固有のストリングである。
認証サーバ１１２はまた、後にリソースにアクセスするためにアプリケーションが使用する認証コードを生成する。詳しくは、認証コードはアクセストークンとリフレッシュトークンを取得するために使用され、これについては後でより詳しく説明する。

また、３４０では機器とアプリケーションと認証コードが機器のユーザに関連付けられる。例えば、機器１６０とアプリケーション１６１とアプリケーション１６１のための認証コードが機器１６０のユーザに関連付けられる。このような関連付けは、図１において関連付け情報１１６として示されている。

関連付け情報１１６は、あらゆる非エンタプライズ機器のユーザと、それぞれの機器とアプリケーション、認証コードとの間のあらゆる数の様々な関連付けを含む。関連付け情報１１６は、エンタプライズシステム１１０内の関連付けを維持することと両立する、どのような関係データ構造（例えば、ルックアップテーブル、リンクリスト等）であってもよい。

さらに、関連付け情報１１６は、エンタプライズシステム管理、例えば、これらに限定されないが、ユーザ管理、機器管理、アプリケーションと管理、ポリシ管理等のための基礎を提供し、これらについては後でより詳しく説明する。

例えば、関連付け情報１１６はまた、紐付けと呼んでもよい。それゆえ、関連付け情報１１６は、少なくとも機器と機器のユーザとアプリケーションとの間の紐付けを生成させて、エンタプライズシステム１１０をスケーラブルに管理できるようにする。より具体的には、少なくとも機器とアプリケーションと機器のユーザの間の関連付けによって、エンタプライズシステムと、機器、機器のユーザ、アプリケーションとの間の信用関係が確立する。

３５０で、コードがリダイレクトＵＲＬを介して機器に提供される。例えば、ワンタイムアクセスコード（one time-access code）（またはワンタイムアクティベーションコード（one-time activation code））と認証コードが機器１５０のブラウザ１５２に送られる。

１つの実施形態において、３５０では状態パラメータがリダイレクトＵＲＬを介して機器に提供される。一般に状態パラメータは、クライアントアプリケーションが要求とコールバックの間の状態を保持するために使用する数値である。

３６０で、ワンタイムアクティベーションコードがクライアントアプリケーションから認証サーバに送られる。例えば、３５０で認証サーバからクライアントアプリケーションに提供されたワンタイムアクティベーションコードが、クライアントアプリケーションからレプリゼンテイショナル ステート トランスファ（Ｒｅｐｒｅｓｅｎｔａｔｉｏｎａｌ Ｓｔａｔｅ Ｔｒａｎｓｆｅｒ）（ＲＥＳＴ）アプリケーションプログラミングインタフェース（ＡＰＩ）を介して認証サーバに送り返される。ＲＥＳＴ ＡＰＩはセキュリティをさらに強化するために利用されるプロトコルである。例えば、ＲＥＳＴ ＡＰＩを介して送信される情報は平文では（in the clear）送信されない。その結果、ＲＥＳＴ ＡＰＩを介して送信される情報は、情報が平文で送信される場合と比較して、より安全である。

３６２で、クライアントＩＤとクライアントシークレットがクライアントアプリケーションに送信される。例えば、３５０でワンタイムアクティベーションコードを受け取ったことに応答して、認証サーバ１１２がクライアントＩＤとクライアントシークレットを、ＲＥＳＴコールを介してアプリケーション１５１に送信する。

機器は、クライアントＩＤとクライアントシークレットを安全に保存（または保持）することができる。これによって、登録されたアプリケーションと機器は、とりわけクライアントＩＤとクライアントシークレットを１回で受け取ることができる。これに加えて、クライアントＩＤとクライアントシークレットは、３３２でユーザによる１回の認証ログインに基づいて生成される。

例えば、アプリケーション１５１が登録され、上述のようにクライアントＩＤとクライアントシークレットを受け取る。アプリケーションがオフにされ、その後、後の時点で再びオンにされると、アプリケーション１５１は依然として、保存されたクライアントＩＤとクライアントシークレットを使ってリソースにアクセスしてもよく、３３２でユーザログイン等、登録／認証ステップをもう一度行う必要がない。

３７０で、クライアントＩＤ、クライアントシークレットおよび認証コードがアプリケーションからエンタプライズシステム１１０に送られる。例えば、クライアントＩＤ、クライアントシークレットおよび認証コードは、ＲＥＳＴコールを介して認証サーバ１１２に送られる。これは、アクセストークンまたはリフレッシュトークンを認証サーバから取得するために行われる。

３７２で、アクセストークンまたはリフレッシュトークンがアプリケーションに送られる。例えば、認証サーバ１１２は、クライアントＩＤ、クライアントシークレットおよび認証コードをアプリケーションから受け取ったことに応答して、アプリケーション１５１にアクセストークンを送る。

アクセストークンは、保護されたリソースにアクセスするために使用される認証情報である。アクセストークンは、クライアントアプリケーションに発行された認証を表すストリングである。トークンは、リソースのオーナーによって付与された具体的なアクセス権限と期間を表し、リソースサーバと認証サーバによって実施される。

同様に、リフレッシュトークンはアクセストークンを取得するために使用される認証情報である。リフレッシュトークンは、認証サーバによってクライアントアプリケーションに発行され、現在のアクセストークンが無効になった、または失効した時に新しいアクセストークンを取得するために、または同じまたはより範囲の追加のアクセストークンを取得するために使用される（アクセストークンは、リソースオーナーによって認められたものより寿命が短く、許可の数が少ないかもしれない）。

アクセストークン／リフレッシュトークンは機器で保存または保持される。これによって、登録されたアプリケーションと機器は、とりわけユーザによる１回のログインに基づいてアクセスまたはリフレッシュトークンをリソースサーバに提供できる。

例えば、アプリケーション１５１がオフにされ、その後、後の時点で再びオンにされると、アプリケーション１５１は依然として、保存されたトークンを使ってリソースにアクセスしてもよく、３３２でユーザログイン等、登録／認証ステップをもう一度行う必要がない。

３８０で、アクセストークンまたはリフレッシュトークンがリソースサーバに送信される。例えば、クライアント機器に保存されたアクセストークンまたはリフレッシュトークンは、ＲＥＳＴコールを介してリソースサーバ１２０に送信される。

３８２で、アプリケーションがリソースにアクセスする。例えば、アクセストークンをリソースサーバ１２０に提供することにより、アプリケーション１５１は保護されたリソース１２２にアクセスできる。

図３に示される機器／アプリケーションの動的登録のプロセスステップにより、エンタプライズシステム１１０のダイナミックで、スケーラブルで、安全な管理が可能となる。例えば、いくつのアプリケーションでもアプリケーションアクセステンプレート１１４〜１１４ｎを介して事前登録できる。したがって、あらゆる数の機器（例えばモバイル機器）があらゆる数のアプリケーションを含むことができ、これらは、動的に登録されると、エンタプライズシステムのリソースにアクセスできる。動的登録は自動登録要求に基づいて実行されてもよく、これはアプリケーションと機器の登録のための手作業による介入を削減する。さらに、ユーザ認証には、例えば３３２での１回のログインが必要である。

これに加えて、エンタプライズシステム１１０の管理は動的に構成され、スケーラブルであってもよい。１つの実施形態において、いずれかの機器（例えば機器１５０と機器１６０）がなくなった場合、それらの機器のためのアクセストークンを取り消してもよい。例えば、関連付け情報１１６の中で機器１５０と機器１６０の検索を行う。関連付け情報１１６の中で機器１５０と機器１６０にアクセスされたら、機器１５０と機器１６０を関連付け情報１１６から削除し、それらの機器のために生成されたトークンを取り消す。その結果、これらの機器とインストールされたアプリケーションはリソース１２２にアクセスできない。

他の実施形態において、いずれかのアプリケーションによるリソースへのアクセスを取り消してもよい。例えば、アプリケーション１５１は当初、リソース１２２へのアクセスが許可される。しかしながら、アプリケーション１５１は壊れるかもしれない（例えばウイルス、バグ等）。したがって、アプリケーション１５１に関連するアプリケーションアクセステンプレート（例えばアプリケーションアクセステンプレート１１４）を認証サーバ１１２から削除してもよい。その結果、アプリケーション１５１のいずれのインスタンスも登録が解除され、リソース１２２にアクセスできない。

フロー図３００に関して上述した手順のいずれも、ハードウェア、またはハードウェアとファームウェアおよび／またはソフトウェアとの組み合わせで実行してもよいことがわかる。例えば、手順のいずれも、クラウド環境および／またはコンピューティング環境（例えば非エンタプライズ機器１４０、エンタプライズシステム１１０等）のプロセッサによって実施される。

図４は、各種の実施形態による、アプリケーションをエンタプライズシステムに自動的に登録する方法のフロー図を示す。
ここで図４を参照すると、４１０で、エンタプライズシステムに関連するアプリケーションが取得され、このアプリケーションは後にエンタプライズシステムに登録するように事前設定される。

例えば、アプリケーションは、機器１５０にインストールするためにエンタプライズアプリケーションストア１３０から選択される。１つまたは複数のアプリケーションの選択は、１つの実施形態において、ユーザが機器にインストールするべき１つまたは複数のアプリケーションを選択したことに応答して行われてもよい。

登録要求は、これらに限定されないが、製品識別情報、機器識別情報、要求されるアクセス権限、アプリケーションリダイレクトＵＲＬを含んでいてもよいと理解するべきである。さらに、登録によってアプリケーションとエンタプライズシステムとの間に信用関係が確立する。具体的には、完了した登録プロセスによって、少なくとも非エンタプライズ機器と非エンタプライズ機器のユーザと非エンタプライズ機器にインストールされたアプリケーションとの間の関連付けまたは紐付けが行われる。

４２０で、アプリケーションがホスト機器にインストールされる。例えば、アプリケーション１５１は機器１５０にインストールされる。インストールは、１つの実施形態において、ユーザがエンタプライズアプリケーションストア１３０からアプリケーションを選択したことに応答して行われてもよい。他の実施形態において、インストールは、機器１５０がエンタプライズアプリケーションストア１３０に通信的に接続されたことに応答して自動的に行われてもよい。

４２２で、モバイルアプリケーションがモバイル機器にインストールされる。例えば、アプリケーション１５１（例えばマイクロソフト アウトルック（商標））が機器１５０（例えばｉＰｈｏｎｅ（商標））にインストールされる。

４３０で、アプリケーションのインストールに関連して、アプリケーションはエンタプライズシステムへの登録を自動的に要求する。例えば、アプリケーション１５１が機器１５０にインストールされると、アプリケーション１５１はエンタプライズシステム１１０への登録を自動的に要求する。

他の実施形態において、アプリケーションは、非エンタプライズ機器上のアプリケーションの初期実行時に自動的に登録を要求してもよい。
４３２で、１つの実施形態においては、アプリケーションがリソースサーバへの登録を自動的に要求する。例えば、モバイル機器１５０にインストールされた複数のモバイルアプリケーションは（認証サーバ１１２を介して）リソースサーバ１２０への登録を自動的に要求し、複数のモバイルアプリケーションがリソースサーバ１２０により制御、管理される保護されたリソース１２２にアクセスできるようにする。

４４０で、エンタプライズシステム内のリソースにアクセスするための許可が受け取られる。例えば、モバイル機器１５０にインストールされた複数のアプリケーションが、リソース１２２にアクセスするための許可を受け取る。詳しくは、許可は、アプリケーション登録のパラメータがそれぞれのアプリケーションアクセステンプレートのパラメータと一致したことに基づいて受け取られる。

４５０で、ワンタイムアクセスコードが認証サーバに送られる。例えば、ワンタイムアクティベーションコードが認証サーバからクライアントアプリケーションに提供される。ワンタイムアクティベーションコードはその後、ＲＥＳＴコールを介してクライアントアプリケーションから認証サーバに送り返される。

４６０で、クライアント識別情報およびクライアントシークレットが認証サーバから受け取られる。例えば、アプリケーション１５１からワンタイムアクティベーションコードを受け取ったことに応答して、認証サーバ１１２がクライアントＩＤとクライアントシークレットを、ＲＥＳＴコールを介してアプリケーション１５１に送信する。

４７０で、アクセストークンがエンタプライズシステム内のリソースにアクセスするために提供される。例えば、認証サーバ１１２は、アプリケーションからクライアントＩＤ、クライアントシークレットおよび認証コードを受け取ったことに応答して、アプリケーション１５１と１６１にアクセストークンを送る。

４８０で、リソースがモバイル機器によって安全にアクセスされ、このモバイル機器はエンタプライズシステムのファイアウォールの外にある。例えば、モバイル機器１６０はエンタプライズシステム１１０のファイアウォールの外にある。さらに、モバイル機器１６０とアプリケーション１６１はエンタプライズシステム１１０に適正に登録、認証され、アプリケーション１６１もまたリソース１２２に安全にアクセスできる。

フロー図４００に関して上述した手順のいずれも、ハードウェア、またはハードウェアとファームウェアおよび／またはソフトウェアとの組み合わせで実行してもよいことがわかる。例えば、手順のいずれもクラウド環境および／またはコンピューティング環境のプロセッサによって実施される。

図５は、各種の実施形態による、エンタプライズシステムにアプリケーションを自動的に登録する方法のフロー図を示す。
ここで図５を参照すると、５１０で、アプリーションをエンタプライズシステムに登録することに対する、自動的に生成された要求が受け取られる。この要求は、アプリケーションをホスト機器にインストールしたことに関連して受け取られ、このアプリケーションはエンタプライズシステムに登録する要求を自動的に生成するように事前設定されている。例えば、アプリケーション１６１からの自動的に生成された登録要求がエンタプライズシステム１１０で受け取られる。モバイルアプリケーション１６１は、モバイル機器１６０にインストールされることに関連して登録要求を自動的に送るように事前設定されている。

１つの実施形態において、登録要求は、製品識別情報、機器識別情報、要求されるアクセス権限、およびアプリケーションリダイレクトＵＲＬのうちの１つまたは複数を含む。さらに、登録によってアプリケーションとエンタプライズシステムとの間に信用関係が確立する。

５１２で、モバイルアプリケーションを登録することに対する自動的に生成された要求が受け取られる。例えば、アプリケーション１６１（例えばワードプロセシングアプリケーション）が自動的に生成した登録要求が認証サーバ１１２によって受け取られる。

５２０で、アプリケーションがエンタプライズシステムに登録される。例えば、登録要求の１つまたは複数の属性が、それぞれアプリケーションアクセステンプレートの１つまたは複数の属性と一致した場合、そのアプリケーションがエンタプライズシステムに登録される。

５２２で、１つの実施形態おいては、モバイルアプリケーションがリソースサーバに登録される。例えば、あるモバイル機器にインストールされた複数のモバイルアプリケーションが（認証サーバ１１２を介して）リソースサーバ１２０に登録される。

５３０で、モバイルアプリケーションからのワンタイムアクセスコードが受け取られる。例えば、ワンタイムアクセスコードまたはアクティベーションコードが、モバイル機器にインストールされたモバイルアプリケーションから認証サーバ１１２に送信される。１つの実施形態において、ワンタイムアクセスコードがＲＥＳＴコールを介して送られる。

５４０で、クライアント識別情報とクライアントシークレットがモバイルアプリケーションに送られる。例えば、クライアント識別情報とクライアントシークレットがエンタプライズシステム１１０によって生成される。クライアント識別情報とクライアントシークレットは次に、登録されたモバイルアプリケーション、例えばモバイルアプリケーション１５１に送られる。

５５０で、アプリケーションからアクセストークンが受けられ、アプリケーションはエンタプライズシステムの中のリソースにアクセスできる。例えば、アクセストークンは登録されたモバイルアプリケーションから送られ、認証サーバ１１２によって受け取られて、登録されたモバイルアプリケーションは保護されたリソース１２２にアクセスできる。

５６０で、モバイル機器がリソースに安全にアクセスすることが可能とされ、このモバイル機器はエンタプライズシステムのファイアウォールの外にある。例えば、モバイルアプリケーション１５１がエンタプライズシステム１１０のファイアウォールの外にあるモバイル機器１５０にインストールされる。モバイルアプリケーション１５１とモバイル機器１５０はエンタプライズシステム１１０に適正に登録、認証されて、モバイルアプリケーション１５１は保護されたリソース１２２にアクセスできる。

フロー図５００に関して上述した手順のいずれも、ハードウェア、またはハードウェアとファームウェアおよび／またはソフトウェアとの組み合わせで実行してもよいことがわかる。例えば、手順のいずれもクラウド環境および／またはコンピューティング環境のプロセッサによって実施される。

図６は、各種の実施形態による、エンタプライズシステムにアプリケーションを登録することに係る手作業による入力を削減するための方法のフロー図を示す。
６１０で、アプリケーションへのアクセスが許可され、このアプリケーションは、アプリケーションがホスト機器にインストールされることに関連してエンタプライズシステムへの登録を自動的に要求するように事前設定されている。例えば、アプリケーション１３１〜１３１ｎはエンタプライズアプリケーションストア１３０の中にあり、後に非エンタプライズ機器１４０にダウンロードされるためにアクセス可能である。アプリケーション１３１〜１３１ｎは、これらが非エンタプライズ機器１４０へのインストールに関連してエンタプライズシステム１１０への登録を自動的に要求するように構成されている。

各種の実施形態において、登録要求は製品識別情報、機器識別情報、要求されるアクセス権限、およびアプリケーションリダイレクトＵＲＬを含む。さらに、登録によってアプリケーションとエンタプライズシステムとの間に信用関係が確立する。

１つの実施形態において、６１２では、複数のアプリケーションへのアクセスが許可される。例えば、モバイルアプリケーション１３１〜１３１ｎはエンタプライズアプリケーションストア１３０の中にあり、後に各種のモバイル機器、例えばモバイル機器１５０とモバイル機器１６０にダウンロードされるためにアクセス可能である。

６２０で、自動登録要求によるアプリケーションの登録に係る手作業による入力が削減される。例えば、非エンタプライズ機器へのアプリケーションのインストールに関連してアプリケーションをエンタプライズシステム１１０に自動的に登録することによって、アプリケーションの登録に係るユーザのいずれかの入力が排除される。例えばユーザは、機器識別情報、登録コード等のいずれの登録情報も手作業により入力する必要がない。

６２２では、１つの実施形態において、手作業による入力はモバイル機器にインストールされたモバイルアプリケーションを登録するステップに関連して削減される。例えば、あるモバイル機器のユーザは、モバイル機器にインストールされたモバイルアプリケーションの登録のためのいずれの登録情報も手作業により入力する必要がない。

図７は、各種の実施形態によるエンタプライズシステムのスケーラブルな管理のための方法のフロー図を示す。
７１０で、アプリケーションとホスト機器がエンタプライズシステムに動的に登録され、このアプリケーションはホスト機器にインストールされる。例えば、アプリケーション１５１と機器１５０は、ひとつに、機器１５０へのインストールに関連したアプリケーションの自動登録に基づいてエンタプライズシステム１１０に動的に登録される。

各種の実施形態において、登録要求は、製品識別情報、機器識別情報、要求されるアクセス権限、およびアプリケーションリダイレクトＵＲＬからなる群から選択された登録情報を含む。さらに、登録によってアプリケーションとエンタプライズシステムとの間に信用関係が確立する。

７２０で、ホスト機器のユーザはエンタプライズシステムに認証される。例えば、認証サーバ１１２は機器１５０のブラウザ１５２をユーザログインウィンドウにリダイレクトする。ユーザログインウィンドウで、ユーザはログイン情報（例えばログイン名、パスワード等）を提供する。ログイン情報が認証サーバ１１２によって検証されると、検証結果がリソースサーバ１２０に送信され、ユーザはエンタプライズシステム１１０のリソース１２２にアクセスする許可を得る。

７３０で、アプリケーションとホスト機器とホスト機器のユーザが相互に関連付けられ、エンタプライズシステムを信用関係に基づいてスケーラブルに管理することが可能となる。例えば、エンタプライズシステム１１０は、アプリケーションとホスト機器と認証コードのホストユーザとの関連付けまたは紐付けを含む関連付け情報１１６を生成する。

関連付け情報１１６によってエンタプライズシステム１１０のスケーラブルな管理が可能となる。例えば、関連付け情報１１６は、追加の関連付けがなされた時には規模を大きくでき、関連付けが削除された時には規模を小さくできる。

７４０で、ホスト機器は、そのホスト機器を関連付けから削除することによって、エンタプライズシステムへの登録が解除される。例えば、機器１５０がなくなった場合、機器１５０を関連付け情報１１６から削除してもよい。その結果、機器１５０はエンタプライズシステムへの登録が解除され、エンタプライズシステム１１０内の保護されたリソースにアクセスできない。

７５０で、アプリケーションのエンタプライズへの登録が、前記アプリケーションに関連するアプリケーションアクセステンプレートを削除することによって解除される。例えば、アプリケーション１５１が壊れた場合（例えばウイルス）、アプリケーション１５１に関連するアプリケーションアクセステンプレートを削除してもよい。その結果、アプリケーション１５１はエンタプライズシステム１１０への登録が解除され、いずれのモバイル機器にインストールされたアプリケーション１５１のいずれのインスタンスもエンタプライズシステム１１０内のリソースにアクセスできない。さらに、アプリケーション１５１が関連付け情報１１６から削除される。

７６０で、ホスト機器のユーザのエンタプライズシステムへの登録が解除される。例えば、その企業を辞めたユーザは関連付け情報１１６から削除される。したがって、そのユーザはリソース１２２にアクセスできない。

図８は、各種の実施形態による、エンタプライズシステムへの動的な登録を可能にする方法のフロー図を示す。
８１０で、アプリケーションアクセステンプレートにアクセスされ、このアプリケーションアクセステンプレートは、アプリケーションのエンタプライズシステムへのアクセス権限を規定するように構成される。例えば、アプリケーションアクセテンプレート１１４は、ひとつに、エンタプライズシステム１１０内の保護されたリソースへのアプリケーションのアクセス権限を規定するように生成される。さらに、アプリケーションアクセステンプレート１１４は、例えばエンタプライズサーバによってアクセス可能となり、エンタプライズシステム１１０へのアプリケーションの登録が容易になる。

８１２で、アプリケーションアクセステンプレートのパラメータがアプリケーションによる自動登録要求のパラメータと比較される。例えば、アプリケーションアクセステンプレートのパラメータ（例えばリダイレクトＵＲＬ）がアプリケーションによる自動登録要求のパラメータ（例えばリダイレクトＵＲＬ）と比較される。

８２０で、アプリケーションがエンタプライズシステムに登録される。例えば、機器１５０にインストールされたアプリケーション１５１がエンタプライズシステム１１０に登録される。

登録要求は、これらに限定されないが、製品識別情報、機器識別情報、要求されるアクセス権限、およびアプリケーションリダイレクトＵＲＬを含むことを理解するべきである。さらに、登録によってアプリケーションとエンタプライズシステムとの間に信用関係が確立する。

８２２で、アプリケーションアクセステンプレートのパラメータがアプリケーションによる自動登録要求のパラメータと一致した場合にアプリケーションが、登録される。例えば、アプリケーションアクセステンプレートのパラメータ（例えばリダイレクトＵＲＬ）が自動登録要求のパラメータ（例えばリダイレクトＵＲＬ）と一致した場合、アプリケーションがエンタプライズシステム１１０に登録される。

８３０で、アプリケーションアクセステンプレートの中で規定されたアクセス権限がアプケーションに付与される。例えば、特定のアプリケーションのためのアクセス権限は、アプリケーションアクセステンプレートによって規定される。規定されたアクセス権限は、アプリケーションのエンタプライズシステム１１０への登録時にアプリケーションに付与される。
例示的なホストコンピュータシステム
図９は、本発明の１つまたは複数の実施形態を実行するように構成された仮想化コンピュータシステムを示す概略図である。仮想化コンピュータシステムは、ハードウェアプラットフォーム９３０を含むホストコンピュータシステム９００で実装される。１つの実施形態において、ホストコンピュータシステム９００は従来の、一般的にサーバクラスのハードウェアプラットフォーム上に構築される。

ハードウェアプラットフォーム９３０は１つまたは複数の中央処理ユニット（ＣＰＵ）９３２と、システムメモリ９３４と、ストレージ９３６と、を含む。ハードウェアプラットフォーム９３０はまた、ホストコンピュータシステム９００をネットワークに接続する１つまたは複数のネットワークインタフェースコントローラ（ＮＩＣ）と、ホストコンピュータシステム９００を永続的ストレージユニットに接続する１つまたは複数のホストバスアダプタ（ＨＢＡ）も含んでいてよい。

ハイパーバイザ９２０は、ハードウェアプラットフォーム９３０の上にインストールされ、仮想マシン実行空間をサポートし、その中で１つまたは複数の仮想マシン（ＶＭ）が同時にインスタンス化され、実行される。各仮想マシンは、アプリケーションを実行できるゲストオペレーティングシステム（ＯＳ）のインストールをサポートする仮想ハードウェアプラットフォームを実装する。例えば、仮想マシン９２２の仮想ハードウェア９２４は、仮想マシン９１０内でアプリケーション９１２を実行できるゲストＯＳ ９１４のインストールをサポートする。

ゲストＯＳ ９１４は、よく知られたコモディティオペレーティングシステム、例えばマイクロソフト ウィンドウズ（商標）、Ｌｉｎｕｘ（商標）、その他のいずれでもよく、ネイティブファイルシステムレイヤ、例えばＮＴＦＳまたはｅｘｔ３ＦＳ型のファイルシステムレイヤを含む。ゲストＯＳ ９１４によってネイティブファイルシステムレイヤを通じて発行されるＩＯは、ゲストＯＳ ９１６にとって、仮想マシン９１０のためにプロビジョニングされた（provisioned）１つまたは複数の仮想ディスクに送られて最終的に実行されるように見えるが、このようなＩＯは実際には、ハイパーバイザ９２０のＩＯスタック９２６によって再処理され、再処理されたＩＯが例えばＨＢＡを通じてストレージシステムに発行される。

仮想マシンモニタ（Virtual machine monitor : ＶＭＭ）９２２と９２２ｎは仮想マシンとハイパーバイザ９２０の間の別々の仮想化コンポーネントと考えてもよく（これは、このような考えでは、それ自体が仮想「カーネル」コンポーネントと考えてもよい）、それは、インスタンス化された各ＶＭのための別々のＶＭＭがあるからである。あるいは、各ＶＭＭは、これらのＶＭＭが仮想マシンのためのハードウェアエミュレーションコンポーネントを含むことから、その対応する仮想マシンのコンポーネントと考えてもよい。本明細書で説明した技術はまた、ホストの仮想化コンピュータシステムにも適用可能であることも理解するべきである。さらに、実現される利点は異なるかもしれないが、本明細書で説明した技術は特定の非仮想化コンピュータシステムに適用してもよい。

本明細書で説明した各種の実施形態は、ハンドヘルド機器、マイクロプロセッサシステム、マイロクプロセッサに基づく、またはプログラム可能な民生用電子機器、ミニコンピュータ、メインフレームコンピュータ、その他を含む他のコンピュータシステム構成でも実施できる。

本発明の１つまたは複数の実施形態は、１つまたは複数のコンピュータプログラムとして、または１つまたは複数のコンピュータ可読媒体に埋め込まれた１つまたは複数のコンピュータプログラムモジュールとして実装してもよい。コンピュータ可読媒体という用語は、後にコンピュータシステムに入力できるデータを保存可能なすべてのデータ記憶機器を指し、すなわちコンピュータ可読媒体は、コンピュータによる読み取りが可能な方法でコンピュータプログラムを具現化するための既存の、または今後開発されるあらゆる技術に基づいていてもよい。コンピュータ可読媒体の例には、ハードドライブ、ネットワークアタッチトストレージ（ＮＡＳ）、リードオンリメモリ、ランダムアクセスメモリ（例えばフラッシュメモリデバイス）、ＣＤ（コンパクトディスク）、例えばＣＤ−ＲＯＭ、ＣＤ−ＲまたはＣＤ−ＲＷ、ＤＶＤ（デジタル多用途ディスク）、磁気テープ、およびその他の光および光以外のデータ記憶機器が含まれる。コンピュータ可読媒体はまた、ネットワークで接続されたコンピュータステムに分散させることもでき、それによってコンピュータ可読コードが分散された状態で保存され、実行される。

本発明の１つまたは複数の実施形態を、明瞭に理解できるようにある程度詳しく説明したが、特定の変更や改変を特許請求の範囲内で行えることが明らかであろう。したがって、説明した実施形態は例示的であって限定的ではないと考えるべきであり、特許請求の範囲は本明細で説明した詳細事項に限定されず、特許請求の範囲と均等物の中で改変してもよい。特許請求項において、要素および／またはステップは、特許請求の範囲で明確に述べられていないかぎり、特定の動作の順番は一切黙示していない。

各種の実施形態による仮想化システムは、ホストされた実施形態でも、ホストされていない実施形態でも、またはそれら２つの間の区別を曖昧にする傾向のある実施形態でも実装でき、これらはすべて想定されている。さらに、各種の仮想化動作は全部または部分的にハードウェアで実装してもよい。例えば、ハードウェア実装では、ストレージアクセス要求を変更するためにルックアップテーブルを利用して、ディスク以外のデータを保護してもよい。

仮想化の程度に関係なく、多くの変更、改変、追加、改良が可能である。仮想化ソフトウェアはしたがって、仮想化機能を実行するホスト、コンソールまたはゲストオペレーティングシステムのコンポーネントを含むことができる。本明細書において単独のインスタンスとして説明されたコンポーネント、動作または構造に、複数のインスタンスを提供してもよい。最後に、各種のコンポーネント、動作、データストア間の境界は幾分任意であり、特定の動作は具体的な例示的構成に関して示されている。機能のその他の割り当ても想定され、本発明の中に含めてもよい。一般に、例示的構成の中で別々のコンポーネントとして示された構造と機能は、組み合わされた構造またはコンポーネントとして実装してもよい。同様に、単独のコンポーネントとして示された構造と機能は別々のコンポーネントとして実装してもよい。これらおよびその他の変更、改変、追加、改良も付属の特許請求の範囲の中に含めてもよい。

要約すれば、この説明は少なくとも以下のような広い概念を示している。
概念１。エンタプライズシステムにアプリケーションを自動的に登録するコンピュータ実装方法であって、
前記エンタプライズシステムに関連する前記アプリケーションを取得するステップであって、
前記アプリケーションが、後に前記エンタプライズシステムに登録されるように事前設定されており、
前記登録によって前記アプリケーションと前記エンタプライズシステムとの間に信用関係が確立するように、前記登録のための要求が、
製品識別情報、
機器識別情報
要求されるアクセス権限、および
アプリケーションリダイレクト ユニフォーム リソース ロケータ（ＵＲＬ）を含む、前記エンタプライズシステムに関連する前記アプリケーションを取得するステップと、
前記アプリケーションをホスト機器にインストールするステップと、
前記アプリケーションをインストールする前記ステップに関連して、前記アプリケーションの前記エンタプライズシステムへの前記登録を自動的に要求するステップと、
を含む。
概念２。概念１のコンピュータ実装方法において、前記アプリケーションをホスト機器にインストールするステップは、
モバイルアプリケーションをモバイル機器にインストールするステップをさらに含む。
概念３。概念１のコンピュータ実装方法において、前記アプリケーションの前記登録を自動的に要求するステップは、
前記アプリケーションの認証サーバへの登録を自動的に要求するステップをさらに含む。
概念４。概念１のコンピュータ実装方法において、
前記エンタプライズシステム内のリソースにアクセスする許可を受け取るステップをさらに含む。
概念５。概念１のコンピュータ実装方法において、
認証サーバにワンタイムアクセスコードを送るステップをさらに含む。
概念６。概念１のコンピュータ実装方法において
認証サーバからクライアント識別情報とクライアントシークレットを受け取るステップをさらに含む。
概念７。概念１のコンピュータ実装方法において、
前記エンタプライズシステム内のリソースにアクセスするためのアクセストークンを提供するステップをさらに含む。
概念８。概念１のコンピュータ実装方法において、
モバイル機器によってリソースに安全にアクセスするステップをさらに含み、前記モバイル機器は前記エンタプライズシステムのファイアウォールの外にある。
概念９。エンタプライズシステムにアプリケーションを自動的に登録するコンピュータ実装方法であって、
前記アプリケーションを前記エンタプライズシステムに登録することに対する、自動的に生成された要求を受け取るステップであって、前記登録によって前記アプリケーションと前記エンタプライズシステムとの間に信用関係が確立するように、前記要求が製品識別情報、機器識別情報、要求されるアクセス権限、およびアプリケーションリダイレクト ユニフォーム リソース ロケータ（ＵＲＬ）のうちの１つまたは複数を含み、前記要求はホスト機器への前記アプリケーションのインストールに関連して受け取られ、前記アプリケーションは前記エンタプライズシステムに登録することに対する前記要求を自動的に生成するように事前設定されている、前記要求を受け取るステップと、
前記アプリケーションを前記エンタプライズシステムに登録するステップと、
を含む。
概念１０。概念９のコンピュータ実装方法において、前記アプリケーションを登録することに対する、自動的に生成された要求を受け取るステップは、
モバイルアプリケーションを登録することに対する、自動的に生成された要求を受け取るステップをさらに含む。
概念１１。概念９のコンピュータ実装方法において、自動的に生成された登録要求を受け取るステップは、製品識別情報、機器識別情報、要求されるアクセス権限、およびリダイレクト ユニフォーム リソース ロケータ（ＵＲＬ）のうちの１つまたは複数をさらに含む。
概念１２。概念９のコンピュータ実装方法において、前記アプリケーションを前記エンタプライズシステムに登録するステップは、
モバイルアプリケーションを認証サーバに登録するステップをさらに含む。
概念１３。概念９のコンピュータ実装方法において、
モバイルアプリケーションからワンタイムアクセスコードを受け取るステップをさらに含む。
概念１４。概念９のコンピュータ実装方法において、
クライアント識別情報とクライアントシークレットをモバイルアプリケーションに送るステップをさらに含む。
概念１５。概念９のコンピュータ実装方法において、
前記アプリケーションからアクセストークンを受け取り、前記アプリケーションが前記エンタプライズシステム内のリソースにアクセスすることを可能にするステップをさらに含む。
概念１６。概念９のコンピュータ実装方法において、
モバイル機器によるリソースへのアクセスを安全に可能にするステップであって、前記モバイル機器が前記エンタプライズシステムのファイアウォールの外にあるようなステップをさらに含む。
概念１７。エンタプライズシステムへのアプリケーションの登録に係る手作業による入力を削減する方法であって、
アプリケーションへのアクセスを許可するステップであって、前記アプリケーションが、前記アプリケーションをホスト機器にインストールするステップに関連して前記エンタプライズシステムへの登録を自動的に要求するように事前設定され、前記事前設定されたアプリケーションには、ユーザが前記登録情報を手作業により入力する必要がなくなるように登録情報が事前に含まれ、前記登録情報が、前記登録によって前記アプリケーションと前記エンタプライズシステムとの間に信用関係が確立するように、製品識別情報、機器識別情報、要求されたアクセス権限、およびアプリケーションリダイレクト ユニフォーム リソース ロケータ（ＵＲＬ）を含む、前記アプリケーションへのアクセスを許可するステップと、
前記ユーザが前記登録情報を手作業により入力する必要がなくなることに基づいて、前記アプリケーションを登録する前記ステップに係る手作業による入力を削減するステップと、
を含む。
概念１８。概念１７の方法において、アプリケーションへのアクセスを許可するステップは、
複数のモバイルアプリケーションへのアクセスを許可するステップをさらに含む。
概念１９。概念１７の方法において、登録する前記ステップに係る手作業による入力を削減するステップが、
モバイル機器にインストールされたモバイルアプリケーションを登録するステップに係る手作業による入力を削減するステップをさらに含む。
概念２０。エンタプライズシステムをスケーラブルに管理するためのコンピュータ実装方法であって、
アプリケーションとホスト機器をエンタプライズシステムに動的に登録するステップであって、登録要求が、前記登録によって前記エンタプライズシステムと、前記アプリケーションおよび前記機器の両方との間に信用関係が確立するように、製品識別情報、機器識別情報、要求されたアクセス権限、およびアプリケーションリダイレクト ユニフォーム リソース ロケータ（ＵＲＬ）からなる群から選択された登録情報を含み、前記アプリケーションが前記ホスト機器にインストールされる、前記アプリケーションとホスト機器をエンタプライズシステムに動的に登録するステップと、
前記ホスト機器のユーザを前記エンタプライズシステムに認証するステップと、
前記エンタプライズシステムを前記信用関係に基づいてスケーラブルに管理できるように、前記アプリケーションと前記ホスト機器と前記ユーザを関連付けるステップと、
を含む。
概念２１。概念２０のコンピュータ実装方法は、
前記ホスト機器を前記関連付けから削除することによって前記ホスト機器の前記エンタプライズシステムへの登録を解除するステップをさらに含む。
概念２２。概念２０のコンピュータ実装方法において、
前記アプリケーションの前記エンタプライズシステムへの登録を、前記アプリケーションに関連するアプリケーションアクセステンプレートを削除することによって解除するステップをさらに含む。
概念２３。概念２０のコンピュータ実装方法において、
ユーザの前記エンタプライズシステムへの登録を、前記ユーザを前記関連付けから削除することによって解除するステップをさらに含む。
概念２４。エンタプライズシステムへの動的登録を可能にするコンピュータ実装方法において、前記コンピュータ実装方法は、
前記エンタプライズシステムへのアプリケーションのアクセス権限を規定するように構成されたアプリケーションアクセステンプレートにアクセスするステップと、
前記アプリケーションを前記エンタプライズシステムに登録するステップであって、
登録するステップによって前記アプリケーションと前記エンタプライズシステムとの間に信用関係が確立するように、前記登録に対する要求が、
製品識別情報、
機器識別情報、
要求されたアクセス権限、および
アプリケーションリダイレクト ユニフォーム リソース ロケータ（ＵＲＬ）を含む、前記アプリケーションを前記エンタプライズシステムに登録するステップと、
前記アプリケーションアクセステンプレートの中で規定された前記アクセス権限を前記アプリケーションに付与するステップと、
を含む。
概念２５。概念２４のコンピュータ実装方法において、前記アプリケーションアクセステンプレートにアクセスするステップは、
前記アプリケーションアクセステンプレートのパラメータを前記アプリケーションにより要求された自動登録のパラメータと比較するステップをさらに含む。
概念２６。概念２４のコンピュータ実装方法において、前記アプリケーションを登録するステップが、
前記アプリケーションアクセステンプレートのパラメータが前記アプリケーションによって要求された自動登録のパラメータと一致した時に前記アプリケーションを登録するステップをさらに含む。

本願の主旨の例示的実施形態をこれまで説明した。各種の実施形態を構造的特徴および／または方法論的行為に特有の文言で説明したが、当然のことながら、付属の特許請求項は上述の具体的な特徴または行為に不必要に限定されない。むしろ、上述の具体的な特徴と行為は、特許請求項とその均等物を実施するための例示的な形態として開示されている。

Claims (15)

1. エンタプライズシステムにアプリケーションを自動的に登録するコンピュータ実装方法であって、
   前記エンタプライズシステムに関連する前記アプリケーションを取得することであって、
   前記アプリケーションが、後に前記エンタプライズシステムに登録されるように事前設定され、
   前記登録によって前記アプリケーションと前記エンタプライズシステムとの間に信用関係が確立するように、前記登録のための要求が、
   製品識別情報、
   機器識別情報
   要求されるアクセス権限、および
   アプリケーションリダイレクト ユニフォーム リソース ロケータ（ＵＲＬ）を含む、前記アプリケーションを取得すること、
   前記アプリケーションをホスト機器にインストールすること、
   前記アプリケーションのインストールに関連して、前記アプリケーションの前記エンタプライズシステムへの前記登録を自動的に要求すること、
   を備える、コンピュータ実装方法。
2. 前記アプリケーションをホスト機器にインストールすることが、
   モバイルアプリケーションをモバイル機器にインストールすることをさらに含む、請求項１に記載のコンピュータ実装方法。
3. 前記アプリケーションの前記登録を自動的に要求することが、
   前記アプリケーションの認証サーバへの登録を自動的に要求することをさらに含む、請求項１に記載のコンピュータ実装方法。
4. 前記エンタプライズシステム内のリソースにアクセスする許可を受け取ることをさらに備える請求項１に記載のコンピュータ実装方法。
5. エンタプライズシステムにアプリケーションを自動的に登録するコンピュータ実装方法であって、
   前記アプリケーションを前記エンタプライズシステムに登録することに対する、自動的に生成された要求を受け取ることであって、前記登録によって前記アプリケーションと前記エンタプライズシステムとの間に信用関係が確立するように、前記要求が製品識別情報、機器識別情報、要求されるアクセス権限、およびアプリケーションリダイレクト ユニフォーム リソース ロケータ（ＵＲＬ）を含み、前記要求がホスト機器への前記アプリケーションのインストールに関連して受け取られ、前記アプリケーションは前記エンタプライズシステムに登録することに対する前記要求を自動的に生成するように事前設定されている、前記要求を受け取ること、
   前記アプリケーションを前記エンタプライズシステムに登録することを備える、コンピュータ実装方法。
6. 前記アプリケーションを登録することに対する、自動的に生成された要求を受け取ることが、
   モバイルアプリケーションを登録することに対する、自動的に生成された要求を受け取ることをさらに含む、請求項５に記載のコンピュータ実装方法。
7. 前記自動的に生成された登録要求を受け取ることが、
   前記要求を、アプリケーションアクセステンプレートと比較することをさらに含む、請求項５に記載のコンピュータ実装方法。
8. 前記アプリケーションを前記エンタプライズシステムに登録することが、
   モバイルアプリケーションを認証サーバに登録することをさらに含む、請求項５に記載のコンピュータ実装方法。
9. エンタプライズシステムへのアプリケーションの登録に係る手作業による入力を削減する方法であって、
   アプリケーションへのアクセスを許可することであって、前記アプリケーションが、前記アプリケーションをホスト機器にインストールすることに関連して前記エンタプライズシステムへの登録を自動的に要求するように事前設定され、事前設定されたアプリケーションには、ユーザが登録情報を手作業により入力する必要がなくなるように前記登録情報が事前に含まれ、前記登録情報が、前記登録によって前記アプリケーションと前記エンタプライズシステムとの間に信用関係が確立するように、製品識別情報、機器識別情報、要求されたアクセス権限、およびアプリケーションリダイレクト ユニフォーム リソース ロケータ（ＵＲＬ）を含む、前記アプリケーションへのアクセスを許可すること、
   前記ユーザが前記登録情報を手作業により入力する必要がなくなることに基づいて、前記アプリケーションの登録に係る手作業による入力を削減することを備える、方法。
10. アプリケーションへのアクセスを許可することが、
    複数のモバイルアプリケーションへのアクセスを許可することをさらに含む、請求項９に記載の方法。
11. エンタプライズシステムをスケーラブルに管理するためのコンピュータ実装方法であって、
    アプリケーションとホスト機器をエンタプライズシステムに動的に登録することであって、登録要求が、前記登録によって前記エンタプライズシステムと、前記アプリケーションおよび前記ホスト機器の両方との間に信用関係が確立するように、製品識別情報、機器識別情報、要求されたアクセス権限、およびアプリケーションリダイレクト ユニフォーム リソース ロケータ（ＵＲＬ）を含む登録情報を含み、前記アプリケーションが前記ホスト機器にインストールされる、前記アプリケーションとホスト機器をエンタプライズシステムに動的に登録すること、
    前記ホスト機器のユーザを前記エンタプライズシステムに認証すること、
    前記エンタプライズシステムを前記信用関係に基づいてスケーラブルに管理できるように、前記アプリケーションと前記ホスト機器と前記ユーザを関連付けることを備える、コンピュータ実装方法。
12. 前記ホスト機器を前記関連付けから削除することによって前記ホスト機器の前記エンタプライズシステムへの登録を解除することをさらに備える請求項１１に記載のコンピュータ実装方法。
13. 前記アプリケーションの前記エンタプライズシステムへの登録を、前記アプリケーションに関連するアプリケーションアクセステンプレートを削除することによって解除することをさらに備える請求項１１に記載のコンピュータ実装方法。
14. エンタプライズシステムへの動的登録を可能にするコンピュータ実装方法であって、
    前記エンタプライズシステムへのアプリケーションのアクセス権限を規定するように構成されたアプリケーションアクセステンプレートにアクセスすること、
    前記アプリケーションを前記エンタプライズシステムに登録することであって、
    前記登録することによって前記アプリケーションと前記エンタプライズシステムとの間に信用関係が確立するように、前記登録に対する要求が、
    製品識別情報、
    機器識別情報、
    要求されたアクセス権限、および
    アプリケーションリダイレクト ユニフォーム リソース ロケータ（ＵＲＬ）を含む、前記アプリケーションを前記エンタプライズシステムに登録すること、
    前記アプリケーションアクセステンプレートの中で規定された前記アクセス権限を前記アプリケーションに付与することを備える、コンピュータ実装方法。
15. 前記アプリケーションアクセステンプレートにアクセスすることが、
    前記アプリケーションアクセステンプレートのパラメータを前記アプリケーションにより要求された自動登録のパラメータと比較することをさらに含む、請求項１４に記載のコンピュータ実装方法。