JP6895431B2 - アクセス管理のためのパスワードレス認証 - Google Patents

Description

関連出願の相互参照
本ＰＣＴ特許出願は、２０１５年１０月２３日に出願され「アクセス管理のためのパスワードレス認証（PASSWORD-LESS AUTHENTICATION FOR ACCESS MANAGEMENT）」と題された米国仮出願第６２／２４５，８９１号に基づく利益および優先権を主張し、その内容全体をあらゆる目的のために本明細書に引用により援用する。

背景
概して本願はデータ処理に関する。より具体的には本願は多段認証の技術に関する。

現代のビジネスは、ビジネス活動にとって不可欠な情報を制御し生成する多様なアプリケーションおよびシステムに依拠している。アプリケーションが異なれば当該アプリケーションが提供するサービスおよび情報は多くの場合異なっており、異なるユーザが各システムまたはアプリケーションの中で異なるレベルの情報へのアクセスを要求する場合がある。ユーザに与えられるアクセスのレベルは、当該ユーザの職務に応じて決まることがある。たとえば、マネージャは直属の部下である従業員に関する特定の情報にアクセスする必要がある場合があるが、このマネージャが直属の上司に関する同じ情報にアクセスすることは不相応である場合がある。

これまでは、複雑度の低いアプリケーションがアクセス管理ビジネスロジックを直接アプリケーションコードに組込んでいた。すなわち、各アプリケーションは、ユーザが、たとえば別々のアカウントを有し別々のポリシーロジックを有し別々の許可を得ることを求めるであろう。さらに、あるユーザがこれらのアプリケーションのうちの１つによって認証された場合、この認証は、企業内の他のアプリケーションには知られていないままである。なぜなら、第１のアプリケーションによる認証が行なわれたという事実は共有されないからである。このように、認証およびアクセス制御に対して異なるシステムを使用するアプリケーション間には信頼の概念が存在しない。技術者たちは、企業内のアプリケーションごとにアクセス管理システムを持つことは車ごとに給油所を持つことに良く似ていることを直ちに認識し、認証およびアクセス制御は共有リソースとすればより効率的に実現され管理されるであろうと判断した。これらの共有リソースはアクセス管理システムとして知られるようになった。

アクセス管理システムは、ポリシーおよびその他のビジネスロジックを使用することにより、特定のアクセス要求を特定のリソースに与えるべきか否かを判断することが多い。アクセスを与えるべきであると判断すると、トークンが要求者に対して与えられる。このトークンは、制限されているデータを守っている扉を開くために使用できる鍵のようなものである。たとえば、ユーザは、給与情報等の特定の従業員に関する情報を収集するために人事データベースにアクセスしようと試みる場合がある。このユーザのウェブブラウザはアプリケーションに要求するが、それには認証が必要である。ウェブブラウザがトークンを有していない場合、ユーザはアクセス管理システムにアクセスすることを要求される。このユーザが認証されると、ユーザのブラウザは、人事アプリケーションにアクセスするために使用し得るトークンを表わすクッキーを受信する。

企業では、ユーザ（たとえば従業員）は通常１つ以上の異なるシステムおよびアプリケーションにアクセスし得る。これらのシステムおよびアプリケーションは各々、異なるアクセスコントロールポリシーを使用し異なる資格証明（credential）（たとえばユーザ名およびパスワード）を要求する場合がある。シングルサインオン（single sign-on：ＳＳＯ）は、ユーザが最初のログイン後に複数のシステムおよびアプリケーションにアクセスできるようにする。たとえば、ユーザは、その作業コンピュータにログインすると、システムおよびアプリケーション等のその他の１つ以上のリソースにアクセスすることもできる。アクセス管理システムは、ユーザに対してそのアイデンティティを立証することを要求してリソースへのアクセスを判断する場合がある。ユーザは、「ユーザが所有しているもの（what you have）」、「ユーザが知っていること（what you know）」、および「ユーザ自身の特性（who you are）」の組合わせに基づく情報を要求される場合がある。

アクセス管理システムは、クライアントデバイス上のグラフィカルユーザインターフェイスを用いて、ユーザの資格証明を立証するための情報をユーザに出させることができる。ユーザに要求する情報は時折、もし含まれていれば個人のアイデンティティおよび私的情報（たとえば財務情報または口座情報）を脅かすかもしれない秘密の機密情報を含むことがある。その結果、ユーザは、リソースへのアクセスを得るためにサーバ等のシステムに機密情報を提供しようとするときに、この情報を要求するシステムが実際にこれらのリソースへのアクセスを制御していることが不確かなままで、当該システムに機密情報を提供することを躊躇する場合がある。

なりすましやフィッシング等の技術を利用したＩＤ盗難の技術に基づく進歩が続いているので、ユーザは、資格情報を、受信者がアクセス管理システムであるか否かが不確かなままで提供することをますます躊躇するようになっている。アクセス管理システムも、資格情報のソースの信憑性について確信が持てない。場合によっては、クライアントシステムがワンタイムコード（たとえばパスワード）を受信し、クライアントシステムを操作するユーザがアクセス管理システムを介してリソースにアクセスできるようにしてもよい。クライアントシステムは、破壊されたまたは盗まれた場合には、クライアントシステムを操作するユーザが、認可されていないリソースへのアクセスを、ワンタイムコードを用いて得ることができるようにしてもよい。

パスワードは、ユーザを認証しアクセスを提供するための認められた標準であったが、パスワードには、人々はパスワードを忘れるまたはパスワードを推測し易いものにするといった問題がある。階層化されたセキュリティおよび複数の認証ファクタの使用が、不正行為を防止するためのより安全な方法として普及しつつある。

簡単な概要
本開示はアクセス管理システムに関する。特定の技術はパスワードレス認証を可能にすることに関する。これらの技術は、さまざまなリスクファクタ（デバイス、場所等）を考慮して複数のセキュリティ層を提供することにより、正規ユーザが簡単な認証方法を有し必要とするリソースにアクセスできるようにしつつ、詐欺師がシステムに介入しにくくすることを保証する。モバイル機器の使用が増加する中で、本明細書に開示される技術により、モバイルデバイスをマルチファクタ認証の信頼のポイントとして機能させることができる。本開示のアクセス管理システムは、デバイスに基づくユーザの文脈的詳細を利用することにより、デバイスの所有に基づいて確実にユーザが認証されるようにすることができる。

アクセス管理システムは、ユーザに関連するデバイス（たとえばモバイルデバイス）および／または場所（たとえば地理的場所）の登録を調整することができる。一旦登録されると、当該デバイスおよび／または場所は、これらのデバイスおよび／または場所に関連するユーザへのアクセスに際し、アクセス管理システムによって信頼されることができる。アクセス管理システムは、信頼されているデバイスおよび／または場所のいずれかに関連するユーザのパスワードレス認証を可能にし得る。アクセス管理システムに登録されたデバイスを用いて、ユーザはリソースにアクセスすることができる。アクセス管理システムに登録されたデバイスを利用してパスワードレス認証を行なうことにより、信頼されているデバイスおよび／または場所のユーザを認証することができる。登録されたデバイスを所有しているということが、信頼のポイントとして機能することにより、当該デバイスに関連するユーザが、過去に認証されたユーザと同じく正規ユーザであることを保証できる。

少なくとも実施形態において、デバイスフィンガープリンティング技術および地理的位置技術を利用することにより、確実に、アクセスを要求しているユーザが存在するデバイスまたはデバイスに関連する場所を、信頼できるものとして認定できる。デバイスまたは場所を信頼できるものとして登録するために、アクセス管理システムは、１つ以上の認証プロセス（たとえばマルチファクタ認証）を使用し得る。たとえば、マルチファクタ認証は、ユーザのアカウントに対して予め登録されているデバイス（たとえば携帯電話）を用いたバンド外検証プロセス（out-of-band verification process）を使用することを含み得る。一旦登録されると、デバイスはパスワードレス認証のために使用されて、パスワードレス認証を実行する異なるデバイスに送信されるセキュリティデータを捕捉することができる。予め登録されたデバイスにおけるさらなる認証（たとえば生体認証）を用いて、ユーザがパスワードレス認証を実行するのを許可する前に、当該ユーザを確実に識別してもよい。モバイルデバイスに基づくユーザの文脈上の詳細事項を用いて、アクセス管理システムに予め登録されているデバイスの所有に基づいて、ユーザの認証を行なうことができる。

アクセス管理システムは、暗号化されたデータが埋め込まれているセキュリティデータを生成することにより、パスワードレス認証を実行してもよい。このセキュリティデータは、パスワードレス認証を実行する予定の第１のデバイスに送信することができる。ユーザによって登録された第２のデバイスは、第１のデバイスからセキュリティデータを取得することができる。第２のデバイスは、アクセス管理システムから提供されたセキュリティ情報（たとえば鍵）を用いて当該データを解読することができる。第２のデバイスは、解読したデータを検証のためにアクセス管理システムに送信することができる。検証に成功すると、アクセス管理システムは、パスワードレス認証によりアクセスを可能にするメッセージを第１のデバイスに送信することができる。

本明細書に開示されている技術により、パスワードレス認証のための複数の異なる認証プロセスを使用することができる。デバイスフィンガープリンティングおよび地理的場所は、アクセスを要求しているデバイスを確実に特定できる。アウトオブバンド認証（たとえばワンタイムパスワード）を用いることにより、ユーザに機密アクセスを認可させることができる。登録されたデバイスにおいて、ローカル認証のためにバイオメトリクス（biometrics）を使用してアクセスを制御することにより、さらに、ユーザが所有するデバイスのセキュリティを保証することができる。セキュリティデータに対して暗号化を使用することにより、パスワードレス認証に使用されるデバイスと、パスワードレス認証が要求されるデバイスとの間の通信を、安全なものにすることができる。登録されたデバイスをオーセンティケータとして使用することを含む複数の認証技術を用いることにより、セキュリティを改善して、アクセス管理システムを介したアクセスに欠陥はないことを保証することができる。

いくつかの実施形態において、アクセス管理システムは、本明細書に開示される方法および動作を実現するように構成されたコンピュータシステムを含み得る。コンピュータシステムは、１つ以上のプロセッサと、この１つ以上のプロセッサがアクセス可能であり１つ以上の命令を格納する１つ以上のメモリとを含み得る。この命令は、上記１つ以上のプロセッサによって実行されると、この１つ以上のプロセッサに、本明細書に開示される方法および動作を実現させる。さらに他の実施形態は、本明細書に開示される方法および動作についての命令を用いるまたは格納するシステムおよびマシン読取可能な有形の記憶媒体に関する。

少なくとも１つの実施形態において、方法は、第１のデバイスから、リソースへのアクセスを求めるユーザの要求を受信するステップを含む。方法は、この要求に基づき、要求に先立つ第１のデバイスにおけるユーザの認証に基づいてユーザのために第１のデバイスが登録されていると判断するステップを含み得る。方法は、第１のデバイスを用いてリソースにアクセスするユーザの認証を判断するためのセキュリティデータを生成するステップを含み得る。セキュリティデータは、ユーザに関する情報に基づく第１のデータを含み得る。第１のデータは暗号鍵に基づいて暗号化される。方法は、ユーザがアクセス管理システムに登録した第２のデバイスに、暗号鍵を送信するステップを含み得る。第２のデバイスは第１のデバイスとは異なる。第２のデバイスはモバイルデバイスであってもよく、第１のデバイスはコンピュータシステムであってもよい。方法は、セキュリティデータを第１のデバイスに送信するステップを含み得る。第１のデバイスはセキュリティデータを第１のデバイスのインターフェイスに提示する。方法は、セキュリティデータに含まれる第１のデータの解読に基づいて第２のデバイスが生成した第２のデータを、第２のデバイスから受信するステップを含み得る。第１のデータの解読は、第２のデバイスにより、第２のデバイスに送信された暗号鍵を用いて実行される。セキュリティデータは、第２のデバイスにより、第１のデバイスにおけるセキュリティデータの提示から取得されてもよい。方法は、第２のデータが第１のデータに含まれる情報を含むか否かを判断するステップを含み得る。方法は、第２のデータが情報を含むという判断に基づいて、第１のデバイスがリソースにアクセスすることを可能にするステップを含み得る。

いくつかの実施形態において、セキュリティデータを第１のデバイスにおいて提示することは、セキュリティデータを第１のデバイスにおいて表示することである。セキュリティデータは、セキュリティを提示するために第１のデバイスにおいて表示されるクイックレスポンス（ＱＲ）コードを含む。セキュリティデータに含まれる第１のデータはＱＲコード（登録商標）に埋め込まれてもよい。

いくつかの実施形態において、方法は、第１のデバイスにおけるユーザの認証を判断するための１つ以上の認証プロセスに基づいて、ユーザのために第１のデバイスが登録されていると認定するステップを含み得る。暗号鍵は、ユーザのために第２のデバイスが登録されていると認定されると、第２のデバイスに送信される。第２のデバイスは、第２のデバイスにおけるアクセスのためのユーザの認証に基づいて、ユーザが、第２のデバイスを操作して、第１のデバイスにおけるセキュリティデータの提示から、セキュリティデータを取得できるようにしてもよい。第２のデバイスにおけるアクセスのためのユーザの認証は、ユーザの登録のために提供された過去のバイオメトリクス入力に基づいてユーザの生体認証を実行することを含み得る。

いくつかの実施形態において、要求は第１のデバイスを特定する情報を含む。第１のデバイスを特定する情報に対応付けられたユーザの認証に基づいて、第１のデバイスは第１のデバイスにより登録されていると認定されてもよい。

いくつかの実施形態において、ユーザの認証は、第１の認証プロセスと第２の認証プロセスとを含む１つ以上の認証プロセスに基づいて判断される。第２の認証プロセスは第１の認証プロセスと異なり得る。方法はさらに、要求に先立って、第１の認証プロセスを実行するステップを含み得る。第１の認証プロセスは、第１のデバイスから受信したユーザの資格証明情報を検証することを含み得る。方法は、要求に先立って、一時アクセス情報を第２のデバイスに送信するステップと、一時アクセス情報を第１のデバイスから受信するステップとを含み得る。方法は、要求に先立って、第２の認証プロセスを実行するステップを含み得る。第２の認証プロセスは、受信した一時アクセス情報が、第２のデバイスに送信された一時アクセス情報に一致すると判断することを含み得る。いくつかの実施形態において、一時アクセス情報は、第２の認証プロセスにおいて一時アクセス情報が有効な期間に対応付けられた個人識別番号である。

いくつかの実施形態において、方法は、リソースにアクセスすることが可能にされたことを示すメッセージを第１のデバイスに送信するステップを含む。第１のデバイスは、第１のデバイスにおいてグラフィカルインターフェイスを生成することによりリソースへのアクセスを可能にしてもよい。

これまでに述べたことは、その他の特徴および実施形態とともに、以下の明細書、請求項、および添付の図面を参照すれば、より明らかになるであろう。

以下、本開示の例示的な実施形態について以下の図面を参照しながら詳細に説明する。

一実施形態に係るアクセス管理システムによるアクセスのマルチファクタ認証を可能にするためのシステムの概略図を示す。 一実施形態に係るアクセス管理システムによるアクセスのマルチファクタ認証を可能にするための動作を示すシーケンス図を示す。 一実施形態に係るアクセス管理システムによるアクセスのマルチファクタ認証を可能にするための動作を示すシーケンス図を示す。 アクセス管理システムによるアクセスのマルチファクタ認証を可能にするインターフェイスを示す図である。 アクセス管理システムによるアクセスのマルチファクタ認証を可能にするインターフェイスを示す図である。 アクセス管理システムによるアクセスのマルチファクタ認証を可能にするインターフェイスを示す図である。 アクセス管理システムによるアクセスのマルチファクタ認証を可能にするインターフェイスを示す図である。 アクセス管理システムによるアクセスのマルチファクタ認証を可能にするインターフェイスを示す図である。 アクセス管理システムによるアクセスのマルチファクタ認証を可能にするインターフェイスを示す図である。 アクセス管理システムによるアクセスのマルチファクタ認証を可能にするインターフェイスを示す図である。 アクセス管理システムによるアクセスのマルチファクタ認証を可能にするインターフェイスを示す図である。 アクセス管理システムによるアクセスのマルチファクタ認証を可能にするインターフェイスを示す図である。 アクセス管理システムによるアクセスのマルチファクタ認証を可能にするインターフェイスを示す図である。 アクセス管理システムによるアクセスのマルチファクタ認証を可能にするインターフェイスを示す図である。 アクセス管理システムによるアクセスのマルチファクタ認証を可能にするインターフェイスを示す図である。 アクセス管理システムによるアクセスのマルチファクタ認証を可能にするインターフェイスを示す図である。 アクセス管理システムによるアクセスのマルチファクタ認証を可能にするインターフェイスを示す図である。 アクセス管理システムによるアクセスのマルチファクタ認証を可能にするインターフェイスを示す図である。 アクセス管理システムによるアクセスのマルチファクタ認証を可能にするインターフェイスを示す図である。 いくつかの実施形態に係る認証のプロセスのフローチャートの例を示す図である。 いくつかの実施形態に係る認証のプロセスのフローチャートの例を示す図である。 一実施形態を実現するための分散システムの簡略図を示す。 本開示の一実施形態に係る、サービスをクラウドサービスとして提供し得るシステム環境の１つ以上のコンポーネントの簡略ブロック図を示す。 本開示の一実施形態を実現するために使用し得る例示的なコンピュータシステムを示す図である。

詳細な説明
以下の説明では、説明を目的として、本開示の実施形態が十分に理解されるよう、具体的な詳細事項について述べる。しかしながら、これらの具体的な詳細事項がなくてもさまざまな実施形態を実施し得ることは明らかであろう。たとえば、回路、システム、アルゴリズム、構造、技術、ネットワーク、プロセス、およびその他のコンポーネントは、実施形態を不必要に詳細にして曖昧にすることを避けるためにブロック図の形態で示す場合がある。数字および説明は限定を意図したものではない。

Ｉ．パスワードレス認証のためのアクセス管理システムの大まかな概要
複数のクライアント、たとえばコンピューティングデバイス１０４およびコンピューティングデバイス１１４を用いるマルチファクタ認証のための、システム、方法、およびマシン読取可能な媒体等のいくつかの実施形態が開示される。図１は、ユーザ（たとえばユーザ１０２）がデバイスを「信頼できるデバイス」として登録することにより、アクセス管理システム１４０によるパスワードレス認証を可能にすることを示す。パスワードレス認証は、アクセス管理システムを介してユーザの認証のためにデバイスを「信頼できる」デバイスとして登録することにより、リソースへのアクセスを可能にすることができる。信頼できるデバイスは、これらのデバイスに関連するユーザをパスワードレス認証するために登録することができる。デバイスで特定される地理的な場所を「信頼できる場所」として登録してもよく、「信頼できる場所」は、検出されると、登録後にパスワードレス認証を実現できる場所になることができる。

システム１００は、シングルサインオン（ＳＳＯ）アクセスを提供することができる。ＳＳＯセッションは、資格証明情報（たとえばユーザ名およびパスワード）の認証に基づいた最初の認証の後に、ユーザが１つ以上のシステムにアクセスできるようにすることができる。システムにアクセスすることにより、１つ以上のリソースにアクセスすることができる。リソースは、アプリケーション、文書、ファイル、電子コンテンツおよび／またはその他等の、コンピューティングシステムによって管理および／または格納される何らかのアイテムを含み得る。リソースは、ユニフォーム・リソース・ロケータ（ＵＲＬ）またはリソースのソースを示すその他のデータによって特定し得る。

クライアントは、コンピューティングデバイス、またはコンピューティングデバイス上で実行するアプリケーションを含み得る。図１において、コンピューティングデバイス１０４（たとえばデスクトップコンピュータシステム）は、コンピューティングデバイス１０４上で実行するアプリケーション１０６を含み得る。アプリケーション１０６は、オンラインアプリケーションストア、たとえばアプリストア１８０等のソースからダウンロードしてもよい。アプリケーション１０６は、リソースへのアクセスを制御するためにアクセス管理システム１４０と通信するアクセス管理ポータル（たとえば「ＯＯＷアクセスポータル」）へのアクセスを提供するウェブブラウザであってもよい。コンピューティングデバイス１１４（たとえばモバイルデバイス）は、コンピューティングデバイス１１４上で実行するアプリケーション１１６を含み得る。アプリケーション１１６はアプリストア１８０からダウンロードしてもよい。アプリケーション１１６は、アクセス管理システム１４０のために認証を管理する認証アプリケーションであってもよい。アプリケーションの一例は、Oracle社が提供するモバイルオーセンティケータアプリケーションであってもよい。以下で説明するように、アプリケーション１０６、１１６を用いてクライアントをアクセス管理システム１４０に登録することができる。アプリケーション１０６はリソースへのアクセスを提供するのに対し、アプリケーション１１６はコンピューティングデバイス１０４におけるユーザ１０２の登録およびパスワードレス認証を可能にする。

説明のために、本明細書に記載の「セッション」はＳＳＯセッションを含むが、セッションは、ユーザへのアクセスを可能にするその他の種類のセッションを含み得る。アクセス管理システム１４０は１つ以上のリソースへのアクセスを提供し得る。アクセス管理システム１４０は、ＳＳＯセッションを確立して１つ以上のリソースへのＳＳＯアクセスを提供することができる、サインオンシステム、たとえばＳＳＯシステムを実現し得る。

リソースは、限定される訳ではないが、ファイル、ウェブページ、文書、ウェブコンテンツ、コンピューティングリソース、またはアプリケーションを含み得る。たとえば、システム１００は、アプリケーション１２０および／またはアプリケーション１２０を通してアクセス可能なコンテンツ等のリソースを含み得る。リソースは、アプリケーションを用いて要求してアクセスすることができる。たとえば、アプリケーションは、リソースサーバのウェブページへのアクセスを、要求するリソースを特定するＵＲＬに基づいて要求してもよい。リソースは、ＳＳＯシステムでユーザ１０２が認証されると１つ以上のリソースへのアクセスを提供する１つ以上のコンピューティングデバイス、たとえばリソースサーバによって、提供されてもよい。

アクセス管理システム１４０は、コンピューティングシステムによって実現されてもよい。このコンピューティングシステムは、１つ以上のコンピュータおよび／またはサーバ（たとえば１つ以上のアクセスマネージャサーバ）を含み得る。これは、汎用コンピュータ、専用サーバコンピュータ（一例として、ＰＣサーバ、ＵＮＩＸ（登録商標）サーバ、ミッドレンジサーバ、メインフレームコンピュータ、ラックマウント式のサーバ等を含む）、サーバファーム、サーバクラスタ、分散型サーバ、またはその他適切な構成および／またはその組合わせであってもよい。アクセス管理システム１４０は、オペレーティングシステム、または、ＨＴＴＰサーバ、ＦＴＰサーバ、ＣＧＩサーバ、Ｊａｖａ（登録商標）サーバ、データベースサーバ等を含むその他さまざまなサーバアプリケーションおよび／またはミッドティアアプリケーションのうちのいずれかを実行し得る。代表的なデータベースサーバは、限定される訳ではないが、Oracle、Microsoft等から市販されているものを含む。アクセス管理システム１４０は、ハードウェア、ファームウェア、ソフトウェア、またはその組合わせを用いて実現し得る。

いくつかの実施形態において、アクセス管理システム１４０は、スケーラビリティおよび高いアベイラビリティを可能にする、データセンターにおけるクラスタとしてデプロイされた複数のコンピューティングデバイス（たとえばアクセスマネージャサーバ）として実現されてもよい。このような地理的に分散された複数のデータセンターとアクセスマネージャサーバクラスタとを（有線または無線）接続することにより、マルチデータセンター（multi-data center：ＭＤＣ）システムを構成することができる。ＭＤＣシステムは、企業コンピュータネットワーク内のアクセスサーバの高アベイラビリティ、負荷分散、およびディザスタリカバリ要求を満たし得る。ＭＤＣシステムは、アクセス管理システム１４０のＳＳＯサービスをサポートするための単一の論理アクセスサーバとして作用し得る。

アクセス管理システム１４０は、少なくとも１つのメモリと、１つ以上の処理ユニット（またはプロセッサ）と、記憶装置とを含み得る。処理ユニットは、適宜、ハードウェア、コンピュータで実行可能な命令、ファームウェア、またはその組合わせとして実現し得る。いくつかの実施形態において、アクセス管理システム１４０は、いくつかのサブシステムおよび／またはモジュールを含み得る。たとえば、アクセス管理システム１４０は、ハードウェア、ハードウェア上で実行されるソフトウェア（たとえばプロセッサが実行可能なプログラムコード、命令）、またはその組合わせで実現し得るアクセスマネージャ１４２を含み得る。いくつかの実施形態において、ソフトウェアは、メモリ（たとえば非一時的なコンピュータ読取可能な媒体）、メモリデバイス、またはその他何らかの物理メモリに格納されてもよく、１つ以上の処理ユニット（たとえば１つ以上のプロセッサ、１つ以上のプロセッサコア、１つ以上のＧＰＵ等）によって実行されてもよい。コンピュータで実行可能な命令または処理ユニットのファームウェアによる実装は、本明細書に記載のさまざまな動作、機能、方法、および／またはプロセスを実行するために何らかの適切なプログラミング言語で記述された、コンピュータにより実行可能なまたはマシンにより実行可能な命令を含み得る。メモリは、処理ユニット上でロード可能かつ実行可能なプログラム命令ならびにこれらのプログラムの実行中に生成されたデータを格納し得る。メモリは、揮発性（ランダムアクセスメモリ（ＲＡＭ）等）および／または不揮発性（読取専用メモリ（ＲＯＭ）、フラッシュメモリ等）であってもよい。メモリは、コンピュータ読取可能な記憶媒体等のいずれかの種類の永続性記憶装置を用いて実現されてもよい。いくつかの実施形態において、コンピュータ読取可能な記憶媒体は、悪意のあるコードを含む電子通信からコンピュータを守るように構成されてもよい。コンピュータ読取可能な記憶媒体は、プロセッサ上で実行されると本明細書に記載の動作を実行させる命令を含み得る。

コンピューティングデバイス１０４、１１４は各々、１つ以上の通信ネットワークを介してアクセス管理システム１４０と通信し得る。アクセス管理システム１４０は、１つ以上の通信ネットワーク１７０を介してコンピューティングデバイス１０４と通信し得る。アクセス管理システム１４０は、１つ以上の通信ネットワーク１３０を介してコンピューティングデバイス１１４と通信し得る。通信ネットワークの例は、モバイルネットワーク、無線ネットワーク、セルラーネットワーク、ローカルエリアネットワーク（ＬＡＮ）、広域ネットワーク（ＷＡＮ）、その他の無線通信ネットワーク、またはその組合わせを含み得る。

図１は、ユーザ１０２が、アクセス管理システム１４０との通信に参加することにより、クライアント（たとえばコンピューティングデバイス１０４）でのユーザのアクションに基づいてユーザのアクセスが拒否されないようにすることができる一例を示す。この例において、コンピューティングデバイス１１４を操作しているユーザ１０２は、たとえば、アプリケーション１２０のうちのいずれか１つまたはアプリケーション１２０を通してアクセス可能なリソースである、アプリケーション１０６等のリソースへのアクセスを試みることができる。ユーザ１０２に関する資格証明情報の認証に成功すると、ユーザ１０２はアプリケーション１２０にアクセスし得る。ユーザ１０２は、資格証明情報を提供しようと試みることがあり、この試みを数回行って失敗に終わると、ユーザ１０２はアクセスを拒否される。アクセスは、アクセスの試みのしきい値回数に達した場合に拒否されてもよい。アクセス管理システム１４０は、宛先、たとえばコンピューティングデバイス１１４と通信することにより、一時アクセス情報をユーザに提供することができる。ユーザはこの一時アクセス情報をコンピューティングデバイス１０４のアクセス管理システムに提供することにより、このユーザのアクセスが拒否されないようにすることができる。

ユーザ１０２は、アプリケーションへのアクセスを試みるとき、アクセス管理システム１４０を介してユーザのアカウントへのアクセスを管理するアプリケーション（たとえばアプリケーション１０６）を操作してもよい。たとえば、アプリケーション１０６は、そのうちのいくつかが本明細書に開示されているグラフィカルユーザインターフェイス（Graphical User Interface：ＧＵＩ）等のインターフェイスを提示し得るアクセス管理アプリケーションであってもよい。このアプリケーションは、サービス（たとえばクラウドサービス）またはネットワークベースのアプリケーションの一部として提供されてもよい。アプリケーションは、アクセス管理システム１４０が提供するサービスにユーザがアクセスしてこのサービスを実行することを可能にし得る。アクセス管理システム１４０は、これまでの開示において説明した１つ以上のサービスまたはソフトウェアアプリケーションを実行するように構成されてもよい。たとえば、アクセス管理システム１４０は、リソースへのアクセスの管理（たとえばアクセスの付与／拒否）、自動サインオン、アプリケーションパスワードの変更およびリセット、セッション管理、アプリケーション資格証明プロビジョニング、ならびにセッションの認証を含む、多数のＳＳＯサービスを提供し得る。いくつかの実施形態において、アクセス管理システム１４０は、実行されているまたはクライアントデバイスからアクセスされている、Windows（登録商標）アプリケーション、ウェブアプリケーション、Ｊａｖａ（登録商標）アプリケーション、およびメインフレーム／ターミナルベースのアプリケーション等の、アプリケーション１２０の自動シングルサインオン機能を提供することができる。先に述べたように、アクセス管理システム１４０は、クライアントデバイス（たとえばコンピューティングデバイス１１４）を操作しているユーザ（たとえばユーザ１０２）の認証を実行し得る。認証は、ユーザを検証して当該ユーザが主張されているユーザであるか否かを判断するプロセスである。

アクセス管理システム１４０はまた、非仮想および仮想環境を含み得るサービスまたはソフトウェアアプリケーションを提供してもよい。いくつかの実施形態において、これらのサービスは、クライアントのユーザに対し、ウェブベースのサービスのもしくはクラウドサービスとして、または、サービスとしてのソフトウェア（Software as a Service：ＳａａＳ）モデルの下で提供されてもよい。アクセス管理システム１４０が提供するサービスは、アプリケーションサービスを含み得る。アプリケーションサービスは、ＳａａＳプラットフォームを介してアクセス管理システム１４０から提供されてもよい。ＳａａＳプラットフォームは、ＳａａＳカテゴリに属するサービスを提供するように構成されてもよい。ＳａａＳプラットフォームは、ＳａａＳサービスを提供するために、基礎となるソフトウェアおよびインフラストラクチャを管理および制御し得る。ＳａａＳプラットフォームが提供するサービスを利用することにより、顧客は、クラウドインフラストラクチャシステムとして実現し得るアクセス管理システム１４０において実行されているアプリケーションを利用することができる。ユーザは、顧客が別のライセンスおよびサポートを購入しなくても、アプリケーションサービスを得ることができる。多様なＳａａＳサービスを提供できる。クライアントを操作しているユーザは、１つ以上のアプリケーションを利用して、アクセス管理システム１４０とやり取りすることにより、アクセス管理システム１４０のサブシステムおよび／またはモジュールが提供するサービスを利用することができる。

いくつかの実施形態において、アクセス管理システム１４０は、データストア１６０（「ポリシー」）に格納されている１つ以上のポリシーを用いることにより、リソースへのアクセスを制御してもよい。ポリシー１６０は、所与のリソースについてアクセスを提供しなければならないユーザを認証するために使用すべき認証方法を特定する認証ポリシーを含み得る。ポリシー１６０は、リソースアクセスを保護する方法を規定する（たとえば暗号化の種類等）。ポリシー１６０は、ユーザまたはユーザグループがリソースへのアクセスを得る条件を特定する認証ポリシーを含み得る。たとえば、アドミニストレータは、特定のリソースへのアクセスについて、あるグループ内の特定のユーザを認証するだけでよい。アクセス管理システム１４０は、ポリシー１６０のうちの１つ以上に基づいてＳＳＯセッションのための認証を判断してもよい。

アクセス管理システム１４０はまた、メモリ記憶装置またはその他の非一時的なコンピュータ読取可能な記憶媒体等のいずれかの種類のパーシステント記憶装置を用いて実現し得るその他の記憶装置を含んでもよい、またはそれに結合されてもよい。いくつかの実施形態において、ローカル記憶装置は、１つ以上のデータベース（たとえば文書データベース、リレーショナルデータベース、またはその他の種類のデータベース）、１つ以上のファイルストア、１つ以上のファイルシステム、またはその組合わせを含み得るまたは実現し得る。たとえば、アクセス管理システム１４０は、アクセスデータ１５０、ポリシー１６０、アプリストア１８０、およびクライアント登録データ１９０（「クライアント登録データ」）等のデータを格納するための１つ以上のデータストアに結合されているまたはそれを含む。メモリおよびその他の記憶装置はすべて、コンピュータ読取可能な記憶媒体の例である。たとえば、コンピュータ読取可能な記憶媒体は、コンピュータ読取可能な命令、データ構造、プログラムモジュール、またはその他のデータ等の情報を格納するための何らかの方法または技術において実現された、揮発性または不揮発性、リムーバブルまたはノンリムーバブルな媒体を含み得る。

アクセスマネージャ１４２は、処理を管理することにより、ユーザ１０２がリソースにアクセスするのに有効なセッションが存在するか否かを判断してもよい。アクセスマネージャ１４２は、要求された、保護されているリソースにユーザ１０２がアクセスするのに有効なセッションを検査する。アクセスマネージャ１４２は、ユーザ１０２に適用可能な１つ以上のアクセスポリシーの検討に基づいてユーザ１０２のためのセッションの妥当性を評価してもよい。ユーザ１０２にとって有効なセッションは存在しないという判断に基づいて、アクセスマネージャ１４２は、ユーザ１０２に資格証明情報（資格証明）を要求してもよい。資格証明情報の認証に成功すると、要求されたリソースを含み得る１つ以上のリソースへのアクセスをユーザに与えることができる。アクセスマネージャ１４２は、マルチファクタ認証を実現することにより、ユーザの認証を判断してもよい。マルチファクタ認証は、複数の異なる認証技術の使用を含み得る。

いくつかの実施形態において、アクセスマネージャ１４２は、コンピューティングデバイス１０４等の、ユーザに関連するクライアントを登録することができる。クライアントは、図２Ａに示されるように、異なるクライアント、たとえばコンピューティングデバイス１１４を用いて登録してもよい。地理的位置情報を含む、登録されたクライアントに関する情報は、クライアント登録データ１９０に格納してもよい。ユーザの認証資格証明は、アクセスデータ１５０に格納してもよい。登録中、アクセスマネージャ１４２は、クライアント、たとえばコンピューティングデバイス１０４およびコンピューティングデバイス１１４と共有するセキュリティ情報（たとえば１つ以上の暗号鍵）を生成または決定することにより、アクセス管理システム１４０によるデバイスの登録およびマルチファクタ認証をサポートしてもよい。暗号鍵はアクセスデータ１５０に格納してもよい。本明細書に開示される暗号化の実行は、周知の１つ以上の暗号化技術を使用し得る。セキュリティデータは、アクセスマネージャ１４２によって生成されてもよく、または別のシステムによって予め生成されてもよい。セキュリティデータは、登録されたユーザのために指定された暗号鍵を用いて暗号化されてもよい。

ユーザ１０２は、コンピューティングデバイス１０４を操作してアプリケーション１０６を使用することにより、アクセス管理システム１４０が提供するポータル（たとえばウェブページ）にアクセスし、コンピューティングデバイス１０４、１１４等のデバイスを信頼できる認証デバイスとして登録することができる。コンピューティングデバイス１０４は、このポータルを通して、アクセス管理システム１４０に対し、デバイスを登録するための特徴にアクセスすることを要求してもよい。要求がコンピューティングデバイス１０４に伝達されることもあり、そうすると、コンピューティングデバイス１０４は、この要求に応じて、ユーザ１０２に、セッションの認証を判断するためのユーザ資格証明を出すよう促してもよい。この要求は、資格証明情報を受けるための、ウェブページまたはユーザインターフェイス（たとえばウェブページ、ポータル、またはダッシュボード）への情報（たとえばＵＲＬ）を含み得る。アクセスマネージャ１４２は、ユーザ１０２のために資格証明情報を認証するための動作を実行してもよい。いくつかの実施形態において、アクセスマネージャ１４２は、ユーザの認証に成功した場合に確立されるセッションに関する情報を格納してもよい。ＳＳＯセッション（たとえばＳＳＯ認証されたセッション）の場合、ＳＳＯセッションは、ユーザのために資格証明情報が認証されたことに基づいてユーザがアクセス可能なすべてのリソースへのアクセスを可能にするＳＳＯセッションとして管理されてもよい。アクセスマネージャ１４２は、保護されているリソースを判断することができ、認証セッションに基づいて、セッションが許可および／または制限されるリソースを判断することができる。

デバイス（たとえばコンピューティングデバイス１１４）が、パスワードレス認証のためのモバイルオーセンティケータとして使用するのに信頼できるデバイスとして登録されると、当該デバイスを用いて、ポータルにおけるリソースへのアクセスのその後の試みに対してパスワード認証を実行することができる。たとえば、コンピューティングデバイス１１４を、コンピューティングデバイス１０４において提示されたセキュリティデータを取込むことにより、ユーザをパスワードレス認証するために使用してもよい。コンピューティングデバイス１０４が信頼できるデバイス／場所として登録された後、アクセスマネージャ１４２は、リソースへのアクセス要求がコンピューティングデバイス１０４から出されると、パスワードレス認証を用いてユーザ１０２の認証を判断してもよい。アクセスマネージャ１４２は、暗号化された情報を含むセキュリティデータを生成してコンピューティングデバイス１０４に送信してもよい。コンピューティングデバイス１０４はセキュリティデータをユーザ１０２に対して提示してもよい。コンピューティングデバイス１１４は、コンピューティングデバイス１０４が提示したセキュリティデータを取得１９０してもよい。コンピューティングデバイス１１４はコンピューティングデバイス１０４と通信することによってこのセキュリティデータを取得することができる。図２Ｂは、デバイスの登録後のパスワードレス認証の例を示す。アクセスマネージャ１４２は、アクセスマネージャ１４２がセキュリティ情報（たとえばセキュリティ鍵）を登録されたデバイスに伝えることにより、これらのデバイスがパスワードレス認証のオーセンティケータとして動作できるように、信頼できるデバイスに関する情報を管理することができる。パスワードレス認証技術については本明細書においてさらに開示される。

コンピューティングデバイス１０４、１１４とアクセス管理システム１４０との間の通信は、ゲートウェイシステムを通して受信できる。このゲートウェイシステムはアクセス管理サービスをサポートし得る。たとえば、シングルサインオン（ＳＳＯ）ゲートウェイは、エージェント（たとえばウェブゲートエージェント）等の１つ以上のアクセスエージェントを実現することにより、クライアントおよびアクセス管理システム１４０からの要求のバランスを取るおよび／または扱うことができる。いくつかの実施形態において、アクセス管理システム１４０は、コンピューティングデバイス１１４、１０４と、アクセス管理システム１４０のために実現されるアクセスマネージャのうちのいずれか１つとの間の通信のエージェント‐サーバモデルに従って、システム１００内に実現されてもよい。このエージェント‐サーバモデルは、エージェントコンポーネント（たとえばゲートウェイシステム）とサーバコンポーネントとを含み得る。エージェントコンポーネントは、ホストシステムにおいてデプロイされてもよく、サーバコンポーネントは、サーバ、たとえばアクセスマネージャサーバにおいてデプロイされてもよい。コンピューティングデバイス１１４は、ワークステーション、パーソナルコンピュータ（ＰＣ）、ラップトップコンピュータ、スマートフォン、ウェアラブルコンピュータ、またはその他のネットワーク接続された電子デバイスであってもよい。

アクセス管理システム１４０は、ユーザ１０２に対し、チャレンジの形態で認証資格証明を要求し得る（たとえばコンピューティングデバイス１１４におけるユーザのウェブブラウザを介して）。いくつかの実施形態において、ユーザ１０２は、コンピューティングデバイス１１４上で実行されているクライアントを通して、またはコンピューティングデバイス１１４上のウェブブラウザを通して、ＳＳＯユーザインターフェイスにアクセスできる。ＳＳＯユーザインターフェイスはアクセス管理システム１４０において実現されてもよい。アクセス管理システム１４０は、ＳＳＯユーザインターフェイスへのアクセスを可能にするＳＳＯユーザインターフェイスまたは情報（たとえばＵＲＬ）を送信してもよい。

いくつかの実施形態において、ＳＳＯユーザインターフェイスは、ユーザ１０２が通常利用するアプリケーションのリストを含み得る。ユーザ１０２は、ＳＳＯユーザインターフェイスを通して、アプリケーションに関連するユーザの資格証明およびポリシーを管理することができる。ユーザ１０２が、あるアプリケーション、たとえばアプリケーション１４０へのアクセスをＳＳＯユーザインターフェイスを通して要求するとき、要求は、コンピューティングデバイス１１４からアクセス管理システム１４０に送信されて、ユーザ１０２に適用可能な１つ以上のポリシー１６０から、当該アプリケーションのポリシータイプが判断されてもよい。アクセス管理システム１４０は、ユーザにとって有効なセッションが存在するか否かを判断してもよく、存在する場合、このポリシータイプに基づいてユーザ１０２の資格証明情報を判断することができる。

いくつかの実施形態において、要求は、ユーザ１０２が資格証明を取出すことを許可されるか否かを判断するために使用できる過去のログインからの認証クッキーを含み得る。許可されると、ユーザはこの資格証明を用いてアプリケーションにログインできる。いくつかの実施形態において、エージェントは、アクセス管理システムから提供されたＳＳＯサービスを用いてユーザがアプリケーション１２０にアクセスすることを可能にすることができる。アクセスは、先ずＳＳＯユーザインターフェイスにアクセスすることなく、または、コンピューティングデバイス１１４上で実行しているクライアントを使用することなく、ウェブブラウザを通して直接与えられてもよい。ユーザ１０２が許可されない場合、アクセス管理システムはユーザ１０２に資格証明を要求してもよい。ＳＳＯユーザインターフェイスは、資格証明情報を含む入力を受けるためのインターフェイスを提示してもよい。資格証明情報は、アクセス管理システム１４０に送信されてユーザ１０２の認証が判断されてもよい。

いくつかの実施形態において、資格証明の種類は、オラクルアクセス管理（Oracle Access Management）保護リソース、フェデレーションアプリケーション／リソース、およびフォームフィル（form-fill）アプリケーション等によりサポートすることができる。資格証明の種類の例は、スマートカード／プロキシミティカード、トークン、公開鍵基盤（Public Key Infrastructure：ＰＫＩ）、Windowsログオン、ライトウェイトディレクトリアクセスプロトコル（Lightweight Directory Access Protocol:ＬＤＡＰ）ログオン、バイオメトリクス入力等を含み得る。ＯＡＭ保護リソースの場合、ユーザ要求を認証してから要求されたリソースに関連するＵＲＬに導くことができる。フェデレーションアプリケーションの場合、企業間（business to business：Ｂ２Ｂ）パートナーアプリケーションおよびＳａａＳアプリケーションを含むフェデレーションパートナーおよびリソースへのリンクを提供できる。フォームフィルアプリケーションの場合、テンプレートを使用することにより、それを通して資格証明を提出できるアプリケーションウェブページのフィールドを特定することができる。

ＩＩ．パスワードレス認証のオーセンティケータとしてデバイスを登録するプロセス
図２Ａ、図２Ｂ、および図３〜図１８に関して開示される実施形態等のいくつかの実施形態は、フローチャート、フロー図、データフロー図、構造図、シーケンス図、またはブロック図として示されるプロセスとして説明することができる。シーケンス図またはフローチャートは、動作を逐次プロセスとして説明する場合があるが、動作のうちの多くは並列にまたは同時に実行し得る。加えて、動作の順序は並べ替えることができる。プロセスは、その動作が完了したときに終了するが、図面に含まれていないその他のステップを有する可能性がある。プロセスは、方法、機能、手順、サブルーチン、サブプログラム等に相当し得る。プロセスが機能に相当する場合、その終了は、当該機能が、コール機能またはメイン機能に戻ることに相当し得る。

図２Ａ、図２Ｂ、および図３〜図１８を参照しながら説明するプロセス等の本明細書に記載のプロセスは、１つ以上の処理ユニット（たとえばプロセッサコア）、ハードウェア、またはその組合わせによって実行されるソフトウェア（たとえばコード、命令、プログラム）で実現されてもよい。このソフトウェアは、メモリ（たとえばメモリデバイス、非一時的なコンピュータ読取可能な記憶媒体）に格納されていてもよい。いくつかの実施形態において、本明細書のフローチャートに記載されているプロセスは、アクセス管理システム、たとえば図１のアクセス管理システム１４０のコンピューティングシステムによって実現できる。本開示における特定の一連の処理ステップは、限定を意図したものではない。その他のステップのシーケンスが、代替の実施形態に従って実行されてもよい。たとえば、本開示の代替実施形態は、先に概要を示したステップを異なる順序で実行してもよい。加えて、図面に示される個々のステップは、個々のステップに応じてさまざまなシーケンスで実行し得る複数のサブステップを含み得る。さらに、特定のアプリケーションに応じて、その他のステップを追加または削除してもよい。当業者は多くの変形、修正、および代替形を認識するであろう。

いくつかの実施形態の一局面において、図２Ａ、図２Ｂ、および図３〜図１８の各プロセスは、１つ以上の処理ユニットによって実行することができる。処理ユニットは、シングルコアまたはマルチコアプロセッサ、プロセッサの１つ以上のコア、またはその組合わせを含む、１つ以上のプロセッサを含み得る。いくつかの実施形態において、処理ユニットは、グラフィックスプロセッサ、デジタル信号プロセッサ（digital signal processor：ＤＳＰ）等の１つ以上の専用コプロセッサを含み得る。いくつかの実施形態において、複数の処理ユニットのうちの一部またはすべてを、特定用途向け集積回路（application specific integrated circuit：ＡＳＩＣ）またはフィールドプログラマブルゲートアレイ（field programmable gate array：ＦＰＧＡ）等のカスタマイズされた回路を用いて実現することができる。

次に図２Ａを参照して、一実施形態に係るパスワードレス認証を可能にするために使用し得るマルチファクタ認証のための動作２００の例が示される。アクセス管理システム１４０を参照しながら説明するこれらの動作は、アクセスマネージャ１４２によって、またはアクセス管理システム１４０内の複数のモジュールもしくはブロックによって実現されてもよい。

先ずステップ２１０において、ユーザは、クライアント２０２（たとえばコンピューティングデバイス１１４）を操作して、ソース（たとえばアプリストア１８０）からのアプリケーション（たとえばモバイルオーセンティケータアプリケーション）にアクセスまたはこれをダウンロードしてもよい。このソースはアクセス管理システム１４０の一部であってもよい。このアプリケーションを用いて、パスワードレス認証のためにアクセス管理システム１４０にクライアント２０２を登録してもよい。クライアント２０２の登録後に、このアプリケーションを用いてユーザのパスワードレス認証を行なってもよい。

ユーザは、認証プロセスの一部としてクライアント２０２および２０４をアクセス管理システム１４０に登録する必要がある場合がある。このアプリケーションを用いるとき、このアプリケーションは、ユーザに対し、当該ユーザの認証のための資格証明情報の提供を要求してもよい。資格証明情報は、ステップ２１２でアクセス管理システム１４０に送信してもよい。ステップ２１４において、アクセス管理システム１４０は、ユーザを認証し、一旦認証すれば、このユーザの認証を示すアクセスデータを格納してもよい。ステップ２１６において、アクセス管理システム１４０は、セキュリティまたはアクセス情報（たとえば暗号鍵）をクライアント２０２に送信してもよい。この情報は、アクセス管理システム１４０からの通信をクライアント２０２が暗号化できるようにする秘密鍵と公開鍵とを含む鍵の対を含み得る。その後のアクセス管理システム１４０とクライアント２０２との間の通信は、これらの鍵によって暗号化されてセキュリティが保証される。

ステップ２１８において、ユーザはこのアプリケーションを操作することにより、このアプリケーションをパスワードレス認証用に構成することができる。クライアント２０２を操作することにより、マルチファクタ認証のためのセキュリティ情報を登録することができる。このセキュリティ情報を使用して、パスワードレス認証のためにアプリケーションを使用するためのさらなるセキュリティを構成してもよい。アクセスコード（たとえば４〜６桁のＰＩＮ)および生体認証のためのバイオメトリックデータ（たとえば指紋）等のセキュリティ情報が、アプリケーションへのアクセスのために登録されてもよい。その後のアプリケーションのすべての使用に際し、ユーザは、セキュリティ情報を提供することにより、パスワードレス認証のために信頼できるデバイスを使用するためのさらなるセキュリティを保証しなければならないであろう。

ステップ２２０において、ユーザは、異なるクライアントであるクライアント２０４（たとえばコンピューティングデバイス１０４等のデスクトップコンピュータ）を操作することにより、アクセス管理システム１４０により保護されるリソースにアクセスしてもよい。このアクセスは、リソースにアクセスするためのユーザの認証に基づいていてもよい。リソースは、アプリケーション（たとえばブラウザ）において提示されるグラフィカルユーザインターフェイス等のインターフェイスを通してアクセスされてもよい。アクセスを判断するために、アクセス管理システム１４０のアプリケーションが、認証プロセスを容易にしてもよい。認証は、パスワードレス認証のためにその他のデバイスを信頼できるデバイスとして登録することを含み得る。アプリケーションは、デバイスの登録を容易にするためのインタラクティブコントロールを提供してもよい。登録プロセスは、シングルまたはマルチファクタ認証を用いてユーザを認証することを含み得る。ステップ２２０において、ユーザは、アクセス管理システム１４０が提供するアプリケーションとやり取りすることにより、リソースへのアクセスを管理してもよい。アプリケーションには、リソースにアクセスできるようになる前に、アクセスのためのインターフェイス（たとえばポータル）に提示されてもよい。インターフェイスの一例が図３に示される。リソースは、図１０に示されるようなインターフェイスを介して提供されてもよい。このインターフェイスにより、ユーザが将来の認証のために使用するデバイスの登録を要求できるようにしてもよい。

クライアント２０４は、クライアント２０２等のその他の信頼できるデバイスの登録を容易にするデバイスであってもよい。クライアント２０４は、インターフェイスを提供することにより、クライアント２０２、２０４をパスワードレス認証のために登録できるようにしてもよい。ステップ２２０において、クライアント２０４は、信頼できるデバイスとして登録されることを求める要求をアクセス管理システム１４０に送信してもよい。いくつかの実施形態において、この要求は、デバイス情報またはリソースを要求するときに使用されるアプリケーションに関する情報等の、クライアント２０４に関する情報を含み得る。このような情報は、ブラウザのバージョン、プラグイン等のファクタに基づいて決定されてもよい。上記要求は、ブラウザのＩＰアドレスから得られるユーザの地理的場所を含み得る。この情報は、クライアント２０４および／またはアプリケーションによって決定されてもよい。この要求は、デバイスの登録を要求するユーザに関する情報を含み得る。

少なくとも１実施形態において、ユーザがデバイスの登録のためにアクセスを要求すると、ステップ２２２において、アクセス管理システム１４０は、当該ユーザの認証を判断してクライアント２０２を登録してもよい。アクセス管理システム１４０は、当該ユーザがアクセス管理システム１４０によって認証されるか否かを判断することができ、認証される場合、許可されたアクセスがパスワードレス認証のためのデバイスの登録を含むか否かを判断することができる。いくつかの実施形態において、アクセス管理システム１４０はさらに、認証が要求されているデバイスが既に登録されているデバイスであるか否かを判断してもよい。アクセス管理システム１４０はさらにステップ２２０において要求からの情報を用いることにより、登録が要求されているデバイスにいずれかのデバイスが対応するか否かを判断してもよい。いくつかの実施形態において、アクセス管理システム１４０は、要求における場所情報が、ユーザのアクセスに関連する場所等のユーザに関連する情報に一致するか否かを判断することができる。ユーザに関する情報は、アクセス管理システムがアクセスできる人事システム等の権威ソースから取得してもよい。アクセス管理システム１４０は、デバイス／デバイスが登録される地理的場所を求め、これが、そのリポジトリからの、ユーザの信頼できるデバイス／地理的場所のうちの１つであるか否かを確認してもよい。デバイスは、以前にユーザがこのデバイスを用いて認証されていれば、信頼される。この例において、クライアント２０４は信頼されていないので、アクセス管理システム１４０は、このデバイスは認証されていないと判断してもよい。

ステップ２２４においてユーザはクライアント２０４では認証されないと判断すると、アクセス管理システム１４０は、ユーザを認証してデバイスを登録するための資格証明情報（「資格証明」）を求める要求を送信してもよい。クライアント２０４は、アクセス管理システム１４０からの要求に基づいて、アプリケーションにおいてユーザを促して資格証明情報を要求してもよい。いくつかの実施形態において、資格証明情報は、アクセス管理システム１４０によって実現されるＳＳＯプロセスの一部として自動的にアクセス管理システム１４０に提供されてもよい。ステップ２２６において、ユーザは資格証明情報をアプリケーションに提供してもよく、このアプリケーションは当該資格証明情報をユーザの認証のためにアクセス管理システム１４０に送信する。

ステップ２２８において、アクセス管理システム１４０は、資格証明情報を検証することにより、これが、ユーザのためのアクセスが生成されたときに格納された資格証明情報と一致するか否かを判断してもよい。いくつかの実施形態において、アクセス管理システム１４０は、登録要求を出したクライアント２０４が信頼できるデバイスであってそこからユーザが他のデバイスを登録できるデバイスであるか否かを判断することができる。アクセス管理システム１４０は、地理的場所またはその他の情報に基づいて、ユーザの信頼リストにクライアント２０４があるか否かを判断してもよい。デバイスがリストの中にあると判断すると、アクセス管理システム１４０は、ユーザに資格証明を要求しなくてもよく、ステップ２４２に進めばよい。クライアント２０４は信頼リストにないと判断すると、アクセス管理システム１４０は、ユーザに対し、当該ユーザに関するアクセス情報（たとえばワンタイムピンまたはパスワード）を求める。アクセス情報は、一時的なものであってもよく、そのために、使用、時間、またはその組合わせ等の１つ以上の基準に基づいて有効状態を保つようにしてもよい。

ステップ２３０において、アクセス管理システム１４０は、一時アクセス情報を提供することをクライアント２０４に要求してもよい。この一時情報を求める要求は、一時アクセス情報の生成前に送信されても生成後に送信されてもよい。ステップ２３２において、一時アクセス情報がアクセス管理システム１４０によって生成されてもよい。いくつかの実施形態において、アクセス管理システム１４０は、クライアント２０４におけるアプリケーションに対し、一時アクセス情報の生成を当該アプリケーションに求める要求を、送信してもよい。いくつかの実施形態において、一時アクセス情報の使用は、１つ以上の基準に基づいて制限される。アクセス管理システム１４０は、アクセス管理システム１４０に登録されている別のデバイス、たとえばクライアント２０２に対し、一時アクセス情報を生成するよう要求してもよい。アクセス管理システム１４０は、一時アクセス情報を生成してからこれを暗号化された形態でクライアント２０２に送信する。暗号化されているので、クライアント２０２は、以前クライアント２０２上でアプリケーションを登録したときに提供されたセキュリティ情報を用いて、情報を解読することができる。

いくつかの実施形態において、ステップ２３０で、アクセス管理システム１４０は、一時アクセス情報を用いて認証プロセスを開始するようアプリケーションに要求してもよい。クライアント２０４のアプリケーションは、インターフェイスでユーザを促して一時アクセス情報を受けるために選択肢を選択させる。ステップ２３２は、選択された選択肢に基づいて実行されてもよい。アプリケーションは、アクセス管理システム１４０と通信することにより、一時アクセス情報の選択肢を提供してもよい。ステップ２３２において、一時アクセス情報を、さまざまな技術を用いて提供することにより、デバイスを信頼できるデバイスとして登録するための安全なアクセスを保証してもよい。これらの技術は、一時アクセス情報を、ユーザのデバイス（たとえばクライアント２０２）に送信すること、ユーザの電子メールアカウントに送信すること、電話番号に関連するデバイスに送信すること（たとえばショートメッセージングシステムのメッセージ）、または、クライアント２０２でダウンロードされたアプリケーション等のアプリケーションを通してデバイスに送信することを含む。ユーザに関する情報は、人事システム等の権威ソースから取得してもよい。ステップ２３４において、クライアント２０２を操作して一時アクセス情報にアクセスしてもよい。ユーザが正規ユーザであれば、ユーザはその指紋を用いてクライアント２０２のアプリケーション上で自身を認証することができるであろう。クライアント２０２上のアプリケーションが一次アクセス情報を提供してもよい。一時アクセス情報は、クライアント２０２で生成されてもよく、アクセス管理システム１４０から受けてもよい。一時アクセス情報には、クライアント２０２を使用して電子メールによってアクセスしてもよく、一時アクセス情報が送信された電子メールへのアクセスを提供するアプリケーションによってアクセスしてもよい。

ステップ２３６において、クライアント２０４を用いて、クライアント２０４からアクセスし得る一時アクセス情報を取得してもよい。クライアント２０４におけるアプリケーションは、一時アクセス情報を受信するためのインターフェイスを提供してもよい。ユーザは、クライアント２０４を操作することにより、アクセス管理システム１４０が要求した一時アクセス情報を提供してもよい。この情報には、クライアント２０４を、アクセス管理システム１４０へのアクセスが許可される信頼できるデバイス／場所として認定するその他の情報が与えられていてもよい。

ステップ２３８において、クライアント２０４上のアプリケーションは、一時アクセス情報をアクセス管理システム１４０に送信してもよい。２４０において、アクセス管理システム１４０は、一時アクセス情報を検証することにより、この一時アクセス情報が、生成されたものに対して正しくかつ一時アクセス情報について定められた基準に対して有効であるか否かを判断してもよい。一時アクセス情報が、生成されたものと一致しないと判断すると、アプリケーションにおいてクライアント２０４を登録するためのアクセスが拒否されてもよい。一時アクセス情報が正しいと判断すると、アクセス管理システム１４０は、信頼リストに情報を追加することにより、クライアント２０４に関する情報を格納することができる。地理的場所はこの情報とともに保存されてもよい。

いくつかの実施形態において、アクセス管理システム１４０は、新たに信頼されたデバイスとして登録されたクライアント２０４について認証されたユーザに関連するデバイスに、セキュリティ情報を送信してもよい。セキュリティ情報は、クライアント２０２に送信してもよい。上記ユーザに関連するデバイスは、権威ソースから取得したユーザに関する情報に基づいて認定されてもよい。セキュリティ情報は、クライアント２０４が信頼できるデバイスであると判断される前に、送信されていてもよい。

ステップ２４２において、アクセス管理システム１４０は、一時アクセス情報は正しいものであると判断すると、リソースにアクセスすることについてユーザが認証されたことを示すメッセージをクライアント２０４に送信してもよい。クライアント２０４におけるアプリケーションは、インターフェイスを変更することにより、ユーザがリソースにアクセスできるようにし、パスワードレス認証のためにデバイスを登録してもよい。アクセス管理システム１４０は、リソースへのアクセス等の、ユーザが認証されたという情報と、ユーザのために登録されたデバイスおよび場所に関するその他の情報とを、送信してもよい。

図２Ｂは、いくつかの実施形態に係るパスワードレス認証のための動作２５０の一例を示す。図２Ｂにおいて、クライアント２０４は、ユーザに対し、このユーザの認証に成功したら、アプリケーションへのアクセスを提供してもよい。ユーザは、図２Ａを参照しながら開示された動作により、アプリケーションへのアクセスが認証されてもよい。図２Ｂのステップ２６０で、クライアント２０４は、インターフェイスを提供することにより、ユーザが、アプリケーションのアクセスのためのセッションからログアウトできるまたはこれを終了できるようにしてもよい。ユーザは、このインターフェイスとやり取りすることにより、アプリケーションを用いたアクセスセッションを終了してもよい。ステップ２６２において、ユーザは再び、アプリケーションを通して特徴およびリソースへのアクセスを要求してもよい。ユーザは、アプリケーションとのやり取りを通じてアクセスを要求してもよい。クライアント２０４は、３０４においてアクセス要求を送信してもよい。この要求は、クライアント２０４に関する情報（たとえばデバイス情報）および／または地理的位置情報を含み得る。この情報は、図２Ａを参照しながら説明した技術等の本明細書に開示される技術を用いて取得してもよい。

ステップ２６４において、アクセス管理システム１４０は、アプリケーションを用いて、アクセスについてユーザが認証されるか否かを判断してもよい。アクセス管理システム１４０は、要求に含まれる情報に基づいて、クライアント２０４が信頼できるデバイスであるか否かを判断してもよい。この要求に含まれる情報を、このユーザに関して登録された信頼できるデバイスのためにアクセス管理システムが格納した情報と比較してもよい。クライアント２０４は動作２００の実行により先の登録プロセスに基づく信頼リストに登録されているので、アクセス管理システムはクライアント２０４が信頼できるデバイスであると判断することができる。

ステップ２６４において、アクセス管理システム１４０は、デバイスは信頼できないと判断すると、クライアント２０４のアクセスを拒否してもよい。アクセス管理システム１４０は、図２Ａを参照して説明したような認証プロセスを開始してもよい。クライアント２０４が、登録された信頼できるデバイスであると判断すると、アクセス管理システム１４０はセキュリティデータを生成してもよい。セキュリティデータは、音声データ、映像データ、画像データ、その他の種類のデータ、デバイスが認識または捕捉できるその他の知覚可能なデータ、またはその組合わせであってもよい。少なくとも１つの実施形態において、セキュリティデータは画像データ（たとえばクイックレスポンス（ＱＲ）コード）として生成される。セキュリティデータは、パスワードレス認証プロセスを実現するための情報を用いて生成されてもよい。たとえば、セキュリティデータは、アクセスが与えられたユーザ固有のセキュリティ情報（たとえば暗号鍵）を用いて生成されてもよい。この情報は、ユーザに固有のまたは関連する情報（たとえば誕生日、電話番号、個人情報等）に基づいて生成されてもよい。この情報はトークンであってもよい。この情報は、セキュリティ情報（たとえば暗号鍵）を用いて暗号化されてもよい。この情報は、当該技術において周知の１つ以上の暗号化技術を用いて暗号化されてもよい。セキュリティデータは、ユーザが操作するクライアント２０２に対して過去に送信された暗号鍵で暗号化される固有の要求ｉｄを含み得る。セキュリティデータは、このユーザに関連するクライアント２０２等のアクセスを有するデバイス上のアプリケーションによって解読されてもよい。セキュリティデータは、個人情報を一方のデバイス（たとえばクライアント２０４）から別のデバイス（たとえばクライアント２０２）に転送する便利な方法として機能する。

いくつかの実施形態において、クライアント２０４は信頼できるデバイス（たとえばマルチファクタ認証に基づいてユーザのために認証されたと認定されているデバイス）であるので、ステップ２６６で、アクセス管理システムは、クライアント２０４におけるアプリケーションがセキュリティデータを生成できるよう、セキュリティ情報をクライアント２０４に送信してもよい。このセキュリティ情報は、アプリケーション（たとえばモバイルオーセンティケータアプリケーション）によってアクセス管理システムに登録されたその他のデバイスに送信されてもよい。セキュリティ情報は、クライアント２０４が信頼できるデバイスであると判断されたときに、クライアント２０２に送信されてもよい。クライアント２０２等のモバイルデバイスを用いて、セキュリティデータに含まれる情報を解読するためのセキュリティ情報を取得することにより、パスワードレス認証を実行してもよい。クライアント２０２は、権威ソースから取得した情報に基づいてユーザに対応付けられてもよい。クライアント２０４における不正アクセスを防止するために、セキュリティデータをセキュリティ情報とともに送信することにより、クライアント２０２がセキュリティ情報を取得するのを防止してもよい。セキュリティデータに含まれるセキュリティ情報は、ユーザのための暗号鍵を用いて暗号化されてもよい。暗号鍵は、パスワードレス認証によるモバイル認証のためにアクセス管理システム１４０に登録されたクライアント２０２等のデバイスに送信されてもよい。暗号鍵を用いることにより、セキュリティデータに含まれるセキュリティ情報を読取るおよび／または解読することができる。

ステップ２６８において、クライアント２０４は、クライアント２０４においてセキュリティデータを提示してもよい。このセキュリティデータは、アクセス管理システム１４０に対してインターフェイスを提供するアプリケーションにおいて提示されてもよい。たとえば、アクセス管理システム１４０が提供するアプリケーションは、セキュリティデータをクライアント２０４において表示してもよい。セキュリティデータは、１つ以上の基準に基づいて提示してもよい。この基準は、正規ユーザ（たとえば許可されたユーザ）がパスワードレス認証をその期間内で完了すると予測できる６０〜９０秒といった一時的な期間だけ表示されるようにセキュリティデータを制限するように構成可能であってもよい。こうすることで、許可されたユーザを対象とするセキュリティデータコードに詐欺師がアクセスするのに使える時間は短くなる。セキュリティを提示することにより、パスワードレス認証のために信頼できるデバイスとしてアクセス管理に登録された別のデバイス（たとえばクライアント２０２）をユーザに操作させてもよい。

ステップ２７０において、アクセス管理システムはセキュリティデータをクライアント２０２に送信してもよい。クライアント２０２は、ユーザのデバイスとしてアクセス管理システムに登録されたデバイスであってもよい。このデバイスは、パスワードレス認証を可能にするためのアプリケーションを含み得る。セキュリティデータは、ステップ２６６で送信されたセキュリティデータとは異なるデータであってもよい。セキュリティデータは、クライアント２０４で提示されたセキュリティデータをクライアント２０２が読取る（たとえば解読する）ことができるようにするセキュリティ情報を含み得る。

ステップ２７２において、ユーザは、クライアント２０２を操作してクライアント２０２のアクセスを取得してもよい。アクセスは、１つ以上の認証技術を用いて制御されてもよい。マルチファクタ認証を用いて、パスワードレス認証にクライアント２０２を使用するためのセキュリティを改善してもよい。認証技術は、生体認証およびその他の入力型認証技術を含み得る。クライアント２０２は、アクセス管理システム１４０を介した認証のためのアクセス管理システム１４０によって提供されるアプリケーションを含み得る。このアプリケーションによって、１つ以上の認証技術を用いたアプリケーションへのアクセスを可能にしてもよい。ユーザは、アプリケーションにおいてローカルで自身を認証してから、クライアント２０４に送信されるセキュリティデータをこのアプリケーションの特徴によって読取ることができるようにしてもよい。アプリケーションは、デバイス上の１つ以上の機能（たとえばカメラ、マイク、またはビデオレコーダ）を利用することにより、クライアントにおいて提示されたセキュリティデータを捕捉するように構成されてもよい。いくつかの実施形態において、ステップ２７０で送信されるセキュリティデータは、ステップ２７２においてアプリケーションへのアクセスをユーザが得てから送信されてもよい。アプリケーションは、ユーザの認証のためにアクセス管理システム１４０と通信してもよい。認証に成功すると、アクセス管理システム１４０はセキュリティデータを送信してもよい。

ステップ２７４において、クライアント２０２においてアクセスを取得すると、ユーザは、クライアント２０２、具体的にはアプリケーションを操作する。クライアント２０２を操作することにより、その機能のうちの１つ（たとえばカメラ）を用いて、ステップ２６８で表示されたセキュリティデータを読取るまたは取込むことができる。たとえば、クライアント２０２を操作することにより、そのカメラを使用して、クライアント２０４に対してアクセス管理システム１４０が提供するセキュリティ情報で暗号化されたセキュリティデータ（たとえばＱＲコード）を取込むことができる。

ステップ２７６において、クライアント２０２を操作することにより、ステップ２７４で取得したセキュリティデータを処理する。少なくとも１実施形態において、クライアント２０２上のアプリケーションを操作することにより、ステップ２６８でクライアント２０４により提示されたセキュリティデータを捕捉してもよい。クライアント２０２がユーザのためにアクセス管理システム１４０に登録されていれば、捕捉したセキュリティデータに含まれるセキュリティ情報を読取ることができる。クライアント２０２はアクセス管理システム１４０から取得したセキュリティデータを有していてもよい。アプリケーションは、セキュリティデータを用いて、ステップ２７４で捕捉したセキュリティデータに含まれるセキュリティ情報を読取ることができる。アプリケーションは、アクセス管理システム１４０から得たセキュリティデータを用いてセキュリティデータを解読できるようになるので、アプリケーションは、当該アプリケーションにおける要求詳細をユーザに示し１つ以上のインタラクティブ要素を提示することによりセキュリティデータの受信を確認してもよい。確認すると、ステップ２７８において、アプリケーションは、安全な通信をアクセス管理システム１４０に返信してもよい。

ステップ２７６において、アプリケーションは、クライアント２０４から取得したセキュリティデータに含まれるデータを取得するための動作を実行してもよい。データは、アクセス管理システムから提供されるセキュリティデータを用いて解読することによって得られる。いくつかの実施形態において、クライアント２０４から取得したセキュリティデータは解読のためにアクセス管理システム１４０に送信されてもよい。

ステップ２７８において、クライアント２０２上のアプリケーションは、アクセス管理システム１４０と通信してもよい。安全な通信が、クライアント２０４から取得したセキュリティデータに関する情報とともに送信されてもよい。この情報は、クライアント２０４から取得したセキュリティデータを含み得る。たとえば、アプリケーションは、クライアント２０４から取得したセキュリティデータの解読によって求めたセキュリティ情報を送信してもよい。この通信は、ユーザの認証情報を含み得る。アクセス管理システム１４０に対してアプリケーションがユーザを認証したと判断されたら、安全な通信は認証情報を含んでいなくてもよい。

ステップ２８０において、アクセス管理システム１４０は、クライアント２０２から受信した通信に基づいてアクセスを検証してもよい。アクセス管理システムは、クライアント２０４から取得したセキュリティデータから得られた、クライアント２０２から受けた情報（たとえば要求識別子またはセキュリティキー）が、ステップ２６６においてクライアント２０４に送信されたセキュリティデータと一致することを確認してもよい。情報を比較することによりこれらが一致するか否かを判断してもよい。この情報は、セキュリティデータに含まれる情報を解読した形態であってもよい。解読した形態の情報を、セキュリティデータにおいて暗号化された情報を解読した情報と比較してもよい。情報を、アクセス管理システム１４０が生成したセキュリティデータの基準に対応付けて、この基準にアクセスすることで、基準（たとえば時間）を満たすセキュリティ情報をクライアント２０２から受信したか否かを判断してもよい。

ステップ２８０において、ステップ２７８においてクライアント２０２から受信した情報が、生成されたセキュリティデータに含まれる情報と一致しないと判断すると、アクセス管理システム１４０はクライアント２０４に対しアクセスを拒否してもよい。ユーザは、クライアント２０２を操作することにより、新たなセキュリティデータをクライアント２０２に送信するようアクセス管理システム１４０に要求してもよい。拒否されたアクセスは、リソースに対するアクセスを含み得る。アクセス管理システム１４０は、クライアント２０４と通信することにより、新たなセキュリティデータを送信してもよい。本明細書に開示される動作を繰返すことにより、パスワードレス認証の別の試行を実行できるようにしてもよい。試行回数は、所望のレベルでのアクセスを確保するための基準として構成可能であってもよい。

ステップ２７８においてクライアント２０２から受信した情報が、生成されたセキュリティデータに含まれる情報と一致すると判断すると、アクセス管理システム１４０はクライアント２０４に対してアクセスを許可してもよい。

ステップ２８２において、アクセス管理システム１４０は、クライアント２０２と通信することにより、ステップ２７８で送信された通信に基づくユーザのアクセスが許可されるか否かに関する情報を、送信してもよい。この情報は、アクセスがユーザに対して許可されるか否かについての通知であってもよい。ステップ２８４において、クライアント２０２は情報を提供してもよい。

ステップ２８６において、アクセス管理システム１４０は、クライアント２０４と通信することにより、リソースへのアクセスを可能にしてもよい。アクセス管理システム１４０は、クライアント２０４上のアプリケーションに通知するための情報を送信することにより、リソースへのアクセスを可能にしてもよい。この情報は、アクセス可能なリソースに関する情報、または、アクセスを可能にする選択肢を表示するための情報を含み得る。ステップ２８８において、クライアント２０４上のアプリケーションは、リソースへのアクセスを可能にしてもよい。たとえば、このアプリケーションは、異なるリソースにアクセスするためのインターフェイス（たとえばポータル）を提供してもよい。リソースは、１つ以上のリソース管理システムによって提供されてもよい。

これまで説明した通り、図２Ａおよび図２Ｂを参照しながら開示した動作により、デバイスが信頼できるデバイスとしてアクセス管理システム１４０に登録されると、パスワードレス認証を行なうことができる。ユーザは、信頼できるデバイスにおいて、モバイルデバイス（たとえばクライアント２０２）における認証を提供することによって認証でき、このモバイルデバイスを用いて、信頼できるデバイスから情報を取得することができる。登録されたユーザがセキュリティデータを構成可能な期間内に取得できなければ、アクセス管理システム１４０がクライアント２０２からの要求に応じて新たなセキュリティデータを生成してもよい。しかしながら、アクセス管理システム１４０は再試行カウンタも維持している。ユーザが、セキュリティデータを生成するために、設定された最大再試行数を超える試行を実行した場合、アクセス管理システム１４０はユーザのアクセスをロックまたは阻止することによって不正を防止してもよい。

任意で、アクセス管理システム１４０を、マルチファクタ認証を用いてモバイルデバイス（たとえばクライアント２０２）のユーザを調べるように構成することができる。これにより、３つのファクタ、すなわち、ユーザが所有しているもの（ユーザのスマートフォン）、ユーザが所有しているもの（たとえば指紋）、およびユーザが知っていること（たとえば個人アクセスコード）による認証が可能になるであろう。ユーザはセキュリティ情報を覚えている必要があるかもしれないが、セキュリティ情報はパスワードほど強力でなくてもよい。なぜなら、セキュリティ情報はモバイルデバイスにおいてその他のファクタと組合わせて使用され、モバイルデバイスを用いて情報を信頼できるデバイスから取得するからである。

セキュリティデータに基づくパスワードレス認証は、正規ユーザの信頼できるデバイスから実現し得るので、詐欺師はそれをその他のデバイスまたは場所から使用することはないであろう。詐欺師が正規ユーザのデバイスおよび場所からリソースにアクセスしようとすると、クライアント２０２におけるアプリケーションでセキュリティデータを取得することはできないであろう。なぜなら、アプリケーションは正規ユーザ向けのセキュリティデータを解読するためのセキュリティ情報を有していない場合があるからである。詐欺師が正規ユーザのデバイスおよび場所からリソースにアクセスしようとするとともに正規ユーザのスマートフォンを盗もうとしても、クライアント２０４のアプリケーションがセキュリティデータの捕捉を続けるのに正規ユーザの指紋を必要とし得るので、それを続けることはできないであろう。

ＩＩＩ．パスワードレス認証のためのインターフェイス
図３〜図１８は、一実施形態に係るアクセス管理システムにおけるマルチファクタ認証のためのインターフェイス、たとえばグラフィカルユーザインターフェイス（ＧＵＩ）を示す。図３〜図１８のＧＵＩは、ウェブサイトまたはアプリケーション等のアクセスポータルの一部として表示されてもよい。図３〜図１８のＧＵＩは各々、デバイス上のアプリケーションにおいて表示されてもよい。図３〜図１８のＧＵＩは各々、１つ以上のリソースへのアクセスを管理するアクセス管理アプリケーションによって表示されてもよい。ＧＵＩは各々、アクセス管理システム１４０からアクセスされてもよい、または、アクセス管理システム１４０との通信のためにクライアントにインストールされたアプリケーションの一部であってもよい。

次に図３を参照して、図３は、資格証明情報（たとえばユーザ名およびパスワード）を受信するためのＧＵＩ３００である。ＧＵＩ３００は、ユーザが操作するコンピューティングデバイス１０４またはクライアント２０４に提示されてもよい。ＧＵＩ３００は、アプリケーション（たとえばブラウザ）において提示されてもよい。

ＧＵＩ３００は、最初にユーザがクライアントデバイスを操作してアクセス管理システム１４０を介した認証によりリソースへのアクセスを取得したときに、提示されてもよい。ＧＵＩ３００は、ユーザがリソースへのアクセスを要求したときに提示されてもよい。ＧＵＩ３００は、アクセス管理システム１４０をサポートするアクセスポータルアプリケーションまたはウェブサイト等のアプリケーション（たとえば「ＯＯＷアクセスポータル」）の一部として提示されてもよい。ＧＵＩ３００は、ユーザのためにクライアントデバイスを登録するための１つ以上の認証プロセスの一部として提示されてもよい。ＧＵＩ３００ではどのような種類の認証プロセスが実現されてもよい。

ＧＵＩ３００は、認証プロセスのための入力（たとえば資格証明情報）を提供するための１つ以上のインタラクティブ要素を含み得る。ＧＵＩ３００のインタラクティブ要素３０２は、ユーザを識別するための入力（たとえば「ユーザ名」）を受けてもよい。ＧＵＩ３００のインタラクティブ要素３０４は、資格証明のための入力（たとえば「パスワード」）を受けてもよい。ＧＵＩのインタラクティブ要素３０６は、上記インタラクティブ要素が受けた入力を用いた認証の要求を送るためのインタラクティブ要素であってもよい。

インタラクティブ要素３０６とのやり取りの後、ＧＵＩ３００に入力された資格証明情報は、認証のためにコンピューティングデバイス１０４からアクセス管理システム１４０に送信されてもよい。資格証明情報は、アクセス管理システム１４０に登録するためにユーザが過去に提供したものであってもよい。

図４および図５は、パスワードレス認証のためにデバイスを信頼できるデバイスとして登録するための、ユーザのマルチファクタ認証の認証プロセス用のＧＵＩを示す。図４のＧＵＩ４００または図５のＧＵＩ５００は各々、セキュリティ情報を受けるために選択肢を選択するための１つ以上のインタラクティブ要素を提示し得る。セキュリティ情報は、認証のためにこのセキュリティ情報を一時的に使用できるよう、１つ以上の基準に対応付けられていてもよい。ＧＵＩ４００は、１つ以上のインタラクティブ要素とともにインタラクティブ領域４０２を表示し得る。インタラクティブ要素４０２は、デバイス（たとえばコンピューティングデバイス１０４またはクライアント２０４）が、セキュリティ情報（たとえばワンタイムパスワード）を、モバイルデバイス、たとえばデバイス１１４またはクライアント２０２において、当該モバイルデバイスのアプリケーション（たとえばモバイルオーセンティケータアプリケーション）で受信できるようにする選択肢を、ユーザが選択できるようにしてもよい。インタラクティブ要素４０６とのやり取りにより、デバイスは、モバイルデバイスに対してセキュリティ情報を提供するよう要求することを、アクセス管理システム１４０に要求してもよい。ＧＵＩ５００は、セキュリティ情報を取得するためのさまざまな選択肢を選択するための１つ以上のインタラクティブ要素、たとえばインタラクティブ要素５１０、５１２、５１４とともに、インタラクティブ領域５０２を表示し得る。インタラクティブ要素５１０はモバイルデバイス上のアプリケーションにおいてセキュリティ情報を受信するための選択肢に対応していてもよい。インタラクティブ要素５１２は、ユーザに対応付けられた場所（たとえば電話番号または電子メールアドレス）へのテキストメッセージ等のショートメッセージングサービス（ＳＭＳ）を用いてモバイルデバイスでセキュリティ情報を受信するための選択肢に対応していてもよい。インタラクティブ要素５１４は、ユーザに対応付けられた電子メールアドレスでセキュリティ情報を受信するための選択肢に対応していてもよい。インタラクティブ要素５１６とのやり取りにより、デバイスは、選択した選択肢に対応するセキュリティ情報を要求してもよい。セキュリティ情報を、ユーザに対応付けられた別のデバイスまたは場所に送信することにより、セキュリティアクセス情報が、無許可のユーザによってアクセスされないことを保証する。

図６はデバイス６０２の一例（たとえばコンピューティングデバイス１１４またはクライアント２０２）を示し、このデバイスは、別のデバイス（たとえばコンピューティングデバイス１０４またはクライアント２０４）を信頼できるデバイスとして登録することを可能にする。デバイス６０２は、アクセス管理システム１４０のアプリケーション（たとえばモバイルオーセンティケータアプリケーション）のさまざまなＧＵＩとともに示されている。このアプリケーションは、デバイス（たとえばクライアント２０４）を信頼できるデバイスとして登録するために使用してもよく、および／または登録後の信頼できるデバイスでユーザのパスワードレス認証を行なうために使用してもよい。デバイス６０２は、アプリケーションの特徴にアクセスするための１つ以上の認証プロセスを提供し得る。認証プロセスは、デバイス６０２上の認証プロセスを利用できるマルチファクタ認証を含み得る。たとえば、デバイス６０２は、認証のためにバイオメトリック（たとえば指紋）入力を要求するプロンプト６０４をインターフェイスに与えてもよい。インタラクティブ要素６０６を用いてこのバイオメトリック入力を提供してもよい。

デバイス６０２は、アクセス管理システム１４０に異なるデバイスを登録するためのセキュリティ情報を提供する要素６２２をインターフェイスに与えてもよい。本明細書に開示されるように、セキュリティ情報は、アクセス管理システムから与えられてもよく、または、デバイス６０２においてアプリケーションによって生成されてもよい。セキュリティ情報は、セキュリティ情報を使用するための１つ以上の基準（たとえば時間）とともに表示されてもよい。インタラクティブ要素６２４により、ユーザは、アクセス管理システム１４０に登録すべきデバイスに表示されるセキュリティデータを捕捉するためのデバイス６０２の動作を要求できる。

図７および図８は、アプリケーション（たとえばモバイルオーセンティケータアプリケーション）を提供するためのデバイス７００の一例を示し、このアプリケーションは、当該アプリケーションへのアクセスのためにユーザを認証するためのＧＵＩを提供する。図６と同様、アプリケーションは、資格証明情報（たとえばコードまたは個人識別番号）の入力および／またはバイオメトリック入力等の１つ以上の認証プロセスをサポートし得る。認証プロセスは、アプリケーションを用いた認証のためにユーザを登録するための、アクセス管理システム１４０に提供される情報に基づいて、判断されてもよい。資格証明情報およびバイオメトリック入力は、前もってアプリケーションのために登録されてもよい。アプリケーションは、資格証明情報の入力を受けるためのインタラクティブ要素７０２を提供してもよい。アプリケーションは、バイオメトリック入力を受信するためのインタラクティブ要素７０４を提供してもよい。アプリケーションはこの入力に基づいて認証を判断してもよい。図７の例は、インタラクティブ要素７０２、７０４いずれかに対する入力に基づく認証が成功したことを示す７０６。図８の例は、インタラクティブ要素７０２、７０４いずれかに対するユーザ入力に基づく認証の失敗８０６を示す。いくつかの実施形態において、認証プロセスは、認証に失敗したと判断したときにアプリケーションがパスワードレス認証に使用されることを防止し得る。図８は、ユーザがデバイス７００を用いたセキュリティデータの捕捉を続行できないという通知を示している。

図９は、複数のデバイス上のＧＵＩを示しており、複数のデバイスは、信頼できるデバイスとして登録されるＧＵＩ９００を提示するデバイス（たとえばクライアント２０４）、および、当該デバイスの登録のためのモバイルオーセンティケータとして使用されるデバイス９５０である。ＧＵＩ９００は、マルチファクタ認証プロセスの第２の認証プロセスのためのインタラクティブ領域９０２を含み得る。たとえば、ＧＵＩ９００は、図３に示される最初の認証プロセスの後に第２の認証プロセスのために表示されてもよい。インタラクティブ領域９０２は、デバイス（たとえばクライアント２０４）を登録するための第２の認証プロセス用のインタラクティブ要素を含み得る。インタラクティブ要素９０４は、図４または図５で選択された選択肢のうちの１つによって提供されるワンタイムパスワード等のセキュリティ情報の入力を受けるインタラクティブ要素であってもよい。図９に示されるように、セキュリティ情報は、デバイス９５０におけるアプリケーション（たとえばモバイルオーセンティケータアプリケーション）にある、１つの選択肢により、受信されてもよい。デバイス９５０は、図６に示されるのと同様のＧＵＩを示している。デバイス９５０は、セキュリティ情報を示すインタライクティブ要素９５２をＧＵＩに与えてもよい。このＧＵＩは、ＧＵＩ９００からセキュリティデータを捕捉することを要求するためのインタラクティブ要素９５４を与えてもよい。ＧＵＩ９００のインタラクティブ要素９０６は、デバイス／場所を信頼できるデバイス／場所として登録すべきか否かをユーザが指定できるようにするインタラクティブ要素であってもよい。インタラクティブ要素９０８および９１０は、信頼されたデバイス／場所に関する情報（たとえば名前および場所）を設定するための入力を受けてもよい。インタラクティブ要素９１２は、第２の認証プロセスにおける認証を要求する入力を受けてもよい。インタラクティブ要素９１４は、図４および図５に開示されている第２の認証に関する選択肢を提示するためにＧＵＩを変更する入力を受けてもよい。

図１０は、アクセス管理システム１４０によるユーザの認証後に１つ以上のリソースへのアクセスを提供するアプリケーションのＧＵＩ１０００を示す。認証は、クライアントデバイスを信頼できるデバイス／場所として登録するためのマルチファクタ認証プロセスとして実行されてもよい。ＧＵＩ１０００は、認証に成功した場合にアクセス可能な各リソースに対するインタラクティブ要素１０１０、１０１２、１０１４、１０１６、１０１８を提供してもよい。ＧＵＩ１０００は、アクセス管理のための１つ以上の設定を制御するためのインタラクティブ要素１００２を含み得る。インタラクティブ要素１００２とのやり取りにより、図１１および図１２のＧＵＩのいずれかをデバイスに提示することができる。

図１１は、アクセス管理システム１４０によって検証された信頼できるデバイスおよび信頼できる場所に関する情報を表示するＧＵＩ１１００を示す。ＧＵＩ１１００は、構成するインタラクティブ要素および／または場所およびデバイスを含み得る。ＧＵＩ１１００は、信頼できるものとしてアクセス管理システムに登録された各デバイスおよび各場所に対するインタラクティブ要素を含み得る。たとえば、ＧＵＩ１１００は、それぞれ異なるデバイスに対するインタラクティブ要素１１０２、１１０４、および１１０６を含み得る。これらのデバイスは、アクセス管理システム１４０に登録された、デバイス１（たとえば「マイデスクトップ−Ｆｉｒｅｆｏｘ」）、デバイス２（たとえば「マイワークＩｐｈｏｎｅ（登録商標）」）、およびデバイス３（たとえば「ワークデスクトップ」）である。これらのデバイスは各々１つ以上の信頼できる場所に対応付けられていてもよい。ＧＵＩ１１００は、場所（たとえば「Ａｃｍｅ−ロンドン」）、場所（たとえば「自宅」）、および場所（たとえばＡｃｍｅ−ＨＱ」）それぞれに対するインタラクティブ要素１１０８、１１１０、および１１１２を含み得る。インタラクティブ要素は各々、信頼されているデバイスおよび／または場所に関する設定を構成するインタラクティブ要素であるＧＵＩ（たとえば図１２のＧＵＩ）を表示させるインタラクティブ要素であってもよい。ＧＵＩ１１００は、ＧＵＩ１１００を用いて保存した設定を構成するためのインタラクティブ要素１１２０（「保存」）を含み得る。

図１２は、アクセス管理システム１４０によって検証された信頼できるデバイスおよび信頼できる場所に関する情報を表示するＧＵＩ１２００を示す。図１１と同様、ＧＵＩ１２００は、信頼できるものとして登録されたデバイスを構成するための１つ以上のインタラクティブ要素１２０２を含み得る。ＧＵＩ１２００は、信頼できるものとして登録された場所を構成するための１つ以上のインタラクティブ要素１２０４を含み得る。いくつかの実施形態において、ＧＵＩ１２００は、信頼できるデバイスおよび場所へのアクセスを管理するための設定を構成するための１つ以上のインタラクティブ要素１２０６を含み得る。この設定は、チャレンジ質問と回答のような、１つ以上の属性を含み得る。ＧＵＩ１２００は、第２ファクタ認証等の１つ以上の認証プロセスのための設定を構成するための１つ以上のインタラクティブ要素１２０８を含み得る。この第２ファクタ認証のための設定は、セキュリティ情報（たとえばワンタイムパスワード）を受けるための嗜好およびこれらの嗜好に対応付けられた基準を含み得る。

図１１および図１２に表示される情報は、登録されたデバイスまたは場所のうちのいずれか１つ等のあるデバイスまたは場所のユーザの認証後に、アクセス管理システムから取得されてもよい。

図１３は、信頼できるものとして登録されたデバイスに表示できるＧＵＩ１３００を示す。ＧＵＩ１３００は、認証後のアクセスセッションの終了（たとえばログアウトまたはサインオフ）をユーザが要求した後に表示されてもよい。ＧＵＩ１３００は、図１０〜図１２それぞれのＧＵＩのうちのいずれかの後に表示されてもよい。ＧＵＩ１３００は、認証後のアクセスセッションを終了させるためのアクセス管理を要求するためのインタラクティブ要素１３０２を含み得る。ＧＵＩ１３００は、アクセスセッションの終了が無事に完了すると、表示１３０４を示してもよい。

図１４は、信頼できるデバイスとしてアクセス管理システム１４０に登録されたデバイスにおけるＧＵＩ１４００を示す。図１３に示されるように、ユーザがアクセスセッションを終了させた後に、過去の認証中に登録された同じデバイスからのパスワードレス認証のための選択肢がユーザに対して示されてもよい。デバイスが信頼できるデバイスとして登録されているまたはデバイスが信頼できる場所に位置しているとアクセス管理システム１４０が判断すると、そのデバイスのアプリケーションにおいてＧＵＩ１４００が提示されてもよい。ＧＵＩ１４００はパスワードレス認証のためのセキュリティデータを提供してもよい。先に述べたように、セキュリティデータはセキュリティ情報を含み得る。セキュリティデータは当該デバイスにおいて提示されてもよく１４０２（たとえばＱＲコード）、そうすることで、登録済の別のデバイス、たとえばモバイルデバイス１４５０がパスワードレス認証に使用されてもよい。デバイス１４５０はセキュリティデータを捕捉するために使用されてもよい。

デバイス１４５０はアクセス管理システム１４０に登録されてもよい。デバイス１４５０上のアプリケーション（たとえばモバイルオーセンティケータアプリケーション）は、当該アプリケーションを使用するためのユーザの認証を要求してもよい。この認証は、本明細書においてたとえば図７を参照して開示した技術を含み得る。たとえば、デバイス１４５０は入力（たとえば個人識別コード）を受けるためのインタラクティブ要素１４５２およびバイオメトリック入力を受けるためのインタラクティブ要素１４５４を含む、認証のためのインターフェイスを提供し得る。この認証はアクセス管理システム１４０との通信を含み得る。この認証により、パスワードレス認証のセキュリティレベルが高められる。

ユーザの認証に成功すると、上記アプリケーションを用いて、ＧＵＩ１４００において提示されたセキュリティデータ１４０２を捕捉してもよい。たとえば、このアプリケーションにより、デバイス１４５０のカメラによるセキュリティデータ捕捉の動作を可能にしてもよい。

図１５のＧＵＩ１５００、図１６のＧＵＩ１６００、および図１７のＧＵＩ１７００は、ＧＵＩ１４００と同様であり、信頼できるデバイスとして登録されているデバイスに、セキュリティデータ１５０２、１６０２、１７０２を提示する。図１５のデバイス１５５０、図１６のデバイス１６５０、および図１７のデバイス１７５０は、パスワードレス認証のためにモバイルオーセンティケータとして使用されるデバイス１４５０と同様のデバイスであってもよい。図１５において、デバイス１５５０（たとえばデバイス１４５０）上のアプリケーションは、その表示を変更し、取込まれたセキュリティデータ１５５２およびセキュリティデータの処理に関するステータス情報を示すことにより、デバイス１４５０で認証されたユーザがこのセキュリティデータにアクセスできるか否かを判断してもよい。本明細書に開示されるように、デバイス１５５０等のモバイルデバイスは、オーセンティケータとして操作されて、セキュリティデータを処理することにより、アプリケーションがセキュリティデータに含まれる情報を解読できるか否かを判断してもよい。デバイス１５５０は、アクセス管理システム１４０から提供されたセキュリティ情報（たとえば暗号鍵）を使用することにより、セキュリティデータを解読してもよい。デバイスは、解読されたセキュリティデータを、アクセス管理システム１４０が生成したセキュリティデータに含まれるセキュリティ情報に一致するか否かについての検証のために、アクセス管理システム１４０に送信してもよい。デバイス１５５０は、セキュリティデータの解読に成功したと判断した（アクセス管理システム１４０からの通知を受信した）場合、通知１５５４（「スキャン成功」）を表示してもよい。

図１６のもう１つの例において、デバイス１６５０は、セキュリティデータの読取および解読に成功したという通知１６５２を表示してもよい。この通知は、セキュリティデータを提示した信頼できるデバイスがリソースにアクセスすることを可能にしてもよいことを示すことができる。図１７の別の例において、デバイス１７５０は、ＧＵＩ１７００から捕捉したセキュリティデータは解読できないと判断すると、セキュリティデータを解読できなかったという通知１７５２（「無効ＱＲコード」）を表示してもよい。

図１８は、パスワードレス認証のためにモバイルオーセンティケータとして使用されるデバイス１８００の一例を示す。インターフェイス１８０２は、アプリケーション（たとえばモバイルオーセンティケータアプリケーション）の一部として提示されてもよい。インターフェイス１８０２は、アクセス管理システム１４０が、パスワードレス認証に基づくリソースへのアクセス要求を信頼できるデバイスから受信したときに、通知を表示してもよい。インターフェイス１８０２は、要求を許可するためのインタラクティブ要素１８０４と、要求を拒否するためのインタラクティブ要素１８０６とを含み得る。インタラクティブ要素とのやり取りにより、アプリケーションは、ユーザがパスワードレス認証に参加することを希望しているか否かを判断することができる。本明細書に開示されるモバイル認証アプリケーションのためのモバイルデバイス上のインターフェイスは、パスワードレス認証を求める要求をユーザが「許可」したときに提示されてもよい。

図１９は、パスワードレス認証のプロセスのフローチャート１９００を示す。このプロセスは、図１のアクセス管理システム１４０によって実現されてもよい。このプロセスは、パスワードレス認証を可能にする前に、デバイス／場所を信頼できるものとして登録することを含み得る。

フローチャート１９００は、デバイス（たとえば第１のデバイス）のユーザによるアクセス要求（第１の要求）をステップ１９０２で受信することから始まってもよい。この要求は、リソースへのアクセスを求める要求であってもよい、または、パスワードレス認証のために第１のデバイスを登録することを求める明示的な要求であってもよい。アクセスは、マルチファクタ認証等の１つ以上の認証プロセスを使用する、デバイスにおけるユーザの認証に基づいていてもよい。ユーザが第１のデバイスからアクセスを初めて要求する場合に、このユーザの認証が判断されてもよい。

ステップ１９０４において、この要求についてユーザが認証されるか否かを判断する。この要求は、第１のデバイスに関する情報および／または第１のデバイスに関する地理的場所情報を含み得る。この情報を使用して、第１のデバイスに関連するユーザが認証されるか否かを判断してもよい。ステップ１９０６において、第１のデバイスのユーザについて、ユーザの認証を判断する。この認証は、以前の認証に基づいて判断してもよく、以前の認証がなければ、第１のデバイスのユーザに対して１つ以上の認証プロセスを実行してもよい。アクセス管理システム１４０は、１つ以上の認証プロセス各々に対応する入力をアプリケーションがユーザに対して促すために、情報を第１のデバイスに送信してもよい。認証が認証プロセスを含み得ると判断されると、基準（たとえば時間）に対応付けられたセキュリティ情報（たとえばワンタイムパスワード）が、セキュリティ情報を受けるための複数の選択肢のうちの１つに送信される。認証の判断は、認証の判断のために検証される資格証明情報またはその他の情報（たとえばセキュリティ情報）を受信することを含み得る。認証の判断は、セキュリティ情報を提供し得るモバイルオーセンティケータとしてユーザが操作する第２のデバイスと通信することを含み得る。

アクセスは、１つ以上の認証プロセスに従いユーザが認証されたという判断に基づいて許可してもよい。アクセスは終了してもよい。アクセスは、ユーザが１つ以上のリソースにアクセスできるようにするために生成されたセッションの終了（たとえばログアウト）を求める要求を第１のデバイスから受信したときに、終了してもよい。アクセスは、当該アクセスを規定する１つ以上の基準が満たされたときに終了してもよい。

ステップ１９０８において、第１のデバイスは信頼できるデバイスであるまたは信頼できる場所に関連していると認定してもよい。ユーザが第１のデバイスで認証されたと判断すると、第１のデバイスおよび／またはその場所に関する情報を、認証判断のための第１のデバイスとの通信において、第１のデバイスから取得してもよい。この情報を、アクセス管理システムにより管理されるアクセスのために、ユーザに対応付けてもよい。第１のデバイスおよび／またはその場所が信頼できるアクセスのソースであると認定することにより、その後に当該デバイス／場所からの要求があったときにパスワードレス認証を許可してもよい。

ステップ１９１０において、ユーザによるアクセスの要求（たとえば第２の要求）を第１のデバイスから受信してもよい。第２の要求は、ユーザがアクセス管理システムによって認証された後で受信してもよい。たとえば、第２の要求は、アクセスセッションの終了後に受信してもよい。この要求は第１のデバイスまたはその場所に関する情報を含み得る。

ステップ１９１２において、第１のデバイスおよび／またはその場所に関する情報に基づいて、第１のデバイスは信頼できるデバイスまたは場所であると判断する。この情報は、前のユーザの認証に対応付けられていると認定されてもよい。よって、アクセス管理システムは、このユーザは信頼できるデバイス／場所からアクセスを要求していると判断することができる。

ステップ１９１４において、要求は信頼できるデバイスまたは場所からの要求なので、パスワードレス認証を可能にするためにセキュリティデータ（たとえばＱＲコード）を生成する。このセキュリティデータは情報を含むように生成してもよい。この情報は、たとえばユーザに関する情報を特定する、ユーザ固有の情報であってもよい。セキュリティデータに、暗号化された情報等の暗号化データが埋め込まれてもよい。データは、１つ以上の周知の暗号化技術を用いて暗号化されてもよい。データは暗号鍵を用いて暗号化されてもよい。セキュリティデータは、１つ以上の基準（たとえば期間）に対応付けられることで、この基準に従う安全な使用をさらに保証してもよい。

ステップ１９１６において、ユーザがアクセス管理システムに登録した第２のデバイスに、暗号情報（たとえば暗号鍵）を送信してもよい。第２のデバイスは第１のデバイスとは異なる。第２のデバイスはモバイルデバイスであってもよい。ユーザは第２のデバイス上のアプリケーション（たとえばモバイルオーセンティケータアプリケーション）を用いてアクセス管理システムで認証されていてもよい。第２のデバイスに関する情報をユーザに対応付けてもよい。第２のデバイスは暗号鍵を使用することにより、セキュリティデータに埋め込まれた情報を解読することができる。

ステップ１９１８において、セキュリティデータを第１のデバイスに送信してもよい。第１のデバイスはセキュリティデータを第１のデバイスで提示（たとえば表示）してもよい。セキュリティデータは、ユーザが、データの種類に基づいてセキュリティデータを知覚するのに十分なやり方で、提示すればよい。

ステップ１９２０において、データを第２のデバイスから受信してもよい。第２のデバイスは、第１のデバイスによって提示されたセキュリティデータを捕捉してもよい。第２のデバイスは、第１のデバイスから捕捉したセキュリティデータに含まれるセキュリティ情報を、暗号鍵を用いて解読してもよい。解読されたセキュリティ情報は、第２のデバイスから受けた情報であってもよい。

ステップ１９２２において、第２のデバイスから受けたデータが、ステップ１９１４で生成したセキュリティデータに埋め込まれた未暗号化形態のデータに一致するか否かを判断する。この判断は、データが、セキュリティデータに埋め込まれたデータに含まれる情報（たとえばユーザに関連）を含むか否かを判断することを含み得る。第２のデバイスから受けたデータが、生成したセキュリティデータに埋め込まれているデータと一致すると判断されると、ユーザのアクセスは認証されるであろう。データは、セキュリティデータにおいて暗号化されたデータに最初から含まれている情報を含むときに、一致し得る。第２のデバイスから受けたデータが、生成したセキュリティデータに埋め込まれたデータと一致しないとき、ユーザのアクセスは認証されないであろう。データが、セキュリティデータに埋め込まれているデータに含まれる情報（たとえばユーザに関連）を含むと判断されると、アクセス管理システムにより、リソースへのアクセスが可能にされるであろう。

ステップ１９２４において、ステップ１９２２でユーザに対して判断された認証に基づきユーザがアクセスを許可されたか否かを示す通知を、第１のデバイスに送信する。この通知は、アクセス可能なリソースに関するその他の情報とともに、またはそれとは別に、送信してもよい。これらのリソースへのアクセスについてユーザが認証された場合は、第１のデバイスがこの情報を用いてリソースにアクセスしてもよい。第１のデバイスにおけるアプリケーション（たとえばウェブサイト上のポータル）は、第１のデバイスにおけるアプリケーションを通してユーザがリソースにアクセスすることを許可してもよい。

ステップ１９２６において、ステップ１９２２でユーザに対して判断された認証に基づいてユーザがアクセスを許可されたか否かを示す通知を第２のデバイスに送信する。第２のデバイス上のアプリケーションは、この通知を提示することにより、ユーザが、パスワードレス認証がユーザのアクセスを許可したか否かを判断できるようにしてもよい。

フローチャート１９００はステップ１９２８で終了し得る。
図２０はパスワードレス認証のプロセスのフローチャート２０００を示す。このプロセスは、信頼できるデバイスとして登録されるまたは信頼できる場所に対応付けられたデバイス（たとえば図１のコンピューティングデバイス１０４）によって実現されてもよい。このプロセスは、パスワードレス認証を可能にする前に、デバイス／場所を信頼できるものとして登録することを含み得る。

ステップ２００２において、ユーザからのアクセス要求を第１のデバイスで受ける。この要求は、第１のデバイスにおけるアプリケーションのインターフェイスを通して受けてもよい。このインターフェイスは、アクセス管理システム１４０により、ポータルまたはアプリケーションの一部として提供されてもよい。要求は、リソースへのアクセス要求、または第１のデバイスを信頼できるデバイスとして登録することを求める要求であってもよい。

ステップ２００４において、アクセス管理システムによりアクセスに関して規定された１つ以上の認証プロセスに基づいて、ユーザの認証を判断する。認証プロセスは、図３〜図９を参照しながら開示したプロセスであってもよい。認証プロセスは、アクセス管理システムから提供された認証資格証明およびセキュリティ情報等の入力をユーザが提供することを含み得る。この認証プロセスは、認証プロセスを支援するための情報を提供するアプリケーション（たとえばモバイルオーセンティケータアプリケーション）を有するモバイルデバイス等の第２のデバイスの支援のもとで、実現されてもよい。認証プロセスは、第１のデバイスでインターフェイスを介して入力を受けることと、認証プロセスのための入力の検証のためにアクセス管理システム１４０と通信することとを含み得る。認証プロセスを実現することにより、第１のデバイスを信頼できるデバイスとしてまたは信頼できる場所にあるものとして登録することができる。

ステップ２００６において、第１のデバイスは、信頼できるデバイスであるまたは信頼できる場所であるとして、アクセスが許可される。第１のデバイスは、ステップ２００４におけるユーザの認証に基づいて第１のデバイスが信頼されたことを示す情報を、アクセス管理システムから受信してもよい。このため、第１のデバイスは、アクセス管理システム１４０から受信した情報に基づいて、ユーザがリソースにアクセスすることを許可してもよい。

ステップ２００８において、第１のデバイスは、第１のデバイスにおけるユーザによる第２のアクセス要求を受ける。第２の要求は、ユーザがアクセス管理システムによって認証された後で受けてもよい。たとえば、第２の要求は、アクセスセッションの終了後に受けてもよい。

ステップ２０１０において、第１のデバイスは、信頼できるデバイスであるとしてユーザのアクセスが認証されたと判断すると、アクセス管理システムに要求を送信してもよい。いくつかの実施形態において、第１のデバイスは、第２の要求を送信してもよく、アクセス管理システム１４０は、第１のデバイスが信頼できるデバイスでありパスワードレス認証によりアクセスが許可されたことを示す情報を送信してもよい。この要求は、第１のデバイスまたはその場所に関する情報を含み得る。

ステップ２０１２において、セキュリティデータをアクセス管理システムから受信する。アクセス管理システムは、第１のデバイスが信頼できるデバイスであるまたは信頼できる場所にあると判断してから、セキュリティデータを生成してもよい。セキュリティデータは、第１のデバイスが、情報（たとえばセキュリティ情報）を受信した後に生成してもよい。セキュリティデータには、アクセス管理システム１４０がアクセス可能な情報に基づいて暗号化された暗号化データが埋め込まれていてもよい。

ステップ２０１４において、セキュリティデータを生成または受信したフォーマットで、セキュリティデータを提示する。セキュリティデータは、アクセス管理システム１４０がユーザに対して登録した第２のデバイス等の別のデバイスによって捕捉されてもよい。第２のデバイスは、第１のデバイスで提示されたセキュリティデータを捕捉できるアプリケーション（たとえばモバイルオーセンティケータアプリケーション）を含み得る。第２のデバイスは、セキュリティデータまたはその一部を捕捉してからデータをアクセス管理システムに送信してもよい。データは、捕捉されたセキュリティデータから得てもよい。データは、セキュリティデータに含まれる暗号化データの解読に基づいて生成されてもよい。アクセス管理システムは、第２のデバイスから受信したデータを処理することにより、第２のデバイスから受信したデータが、アクセス管理システム１４０から第１のデバイスが受信したセキュリティデータに埋め込まれたデータと一致するか否かを判断してもよい。

ステップ２０１６において、第１のデバイスはアクセス管理システムからの通知を受けてもよい。この通知は、ユーザに対して判断された認証に基づいてユーザがアクセスを許可されたか否かを示す通知であってもよい。この通知は、アクセス可能なリソースに関するその他の情報とともに、またはそれとは別に送信されてもよい。ユーザがリソースへのアクセスを認証された場合は、第１のデバイスが情報を使用することにより、これらのリソースにアクセスしてもよい。第１のデバイスにおけるアプリケーション（たとえばウェブサイト上のポータル）は、この第１のデバイスにおけるアプリケーションを通してユーザがリソースにアクセスすることを許可してもよい。第２のデバイスによって捕捉されたセキュリティデータと、ユーザに関して第１のデバイスがアクセスを許可されるか否かをアクセス管理システムが判断するためにアクセス管理システムに伝達されたデータとに基づいて、パスワードレス認証によるユーザのアクセスが許可されてもよい。

ステップ２０１８において、第１のデバイスは、上記通知に関する情報を表示するためにインターフェイス（たとえばＧＵＩ）を生成してもよい。この情報は、ユーザに対し判断された認証に基づいてユーザがアクセスを許可されるか否かを示し得る。このインターフェイスは、ユーザがアクセスを許可されたときにリソースへのアクセスを可能にするための、図１０に示されるＧＵＩ１０００であってもよい。アクセスは許可されないことを通知が示すとき、インターフェイスは、アクセスは許可されないというメッセージを示してもよい。

フローチャート２０００はステップ２０２０で終了し得る。
図２１は、ある実施形態を実現するための分散システム２１００の簡略図を示す。示されている実施形態において、分散システム２１００は、１つ以上のネットワーク２１１０上でウェブブラウザ、プロプライエタリクライアント（たとえばOracle Forms）等のクライアントアプリケーションを実行および操作するように構成された１つ以上のクライアントコンピューティングデバイス２１０２、２１０４、２１０６、および２１０８を含む。サーバ２１１２は、ネットワーク２１１０を介して遠隔のクライアントコンピューティングデバイス２１０２、２１０４、２１０６、および２１０８と通信可能に連結し得る。

さまざまな実施形態において、サーバ２１１２は、１つ以上のサービスまたはソフトウェアアプリケーションを実行するように構成し得る。特定の実施形態において、サーバ２１１２はまた、非仮想および仮想環境を含み得るその他のサービスまたはソフトウェアアプリケーションを提供し得る。いくつかの実施形態において、これらのサービスは、クライアントコンピューティングデバイス２１０２、２１０４、２１０６、および／または２１０８のユーザに対して、ウェブベースのまたはクラウドサービスとしてまたはサービスとしてのソフトウェア（ＳａａＳ）モデルのもとで提供し得る。クライアントコンピューティングデバイス２１０２、２１０４、２１０６、および／または２１０８を操作するユーザは、１つ以上のクライアントアプリケーションを利用してサーバ２１１２とやり取りすることによりこれらのコンポーネントが提供するサービスを利用し得る。

図２１に示される構成において、システム２１００のソフトウェアコンポーネント２１１８、２１２０、および２１２２は、サーバ２１１２上に実装されるものとして示されている。他の実施形態において、システム２１００の上記コンポーネントおよび／またはこれらのコンポーネントが提供するサービスのうちの１つ以上が、クライアントコンピューティングデバイス２１０２、２１０４、２１０６、および／または２１０８のうちの１つ以上によって実装されてもよい。そうすると、クライアントコンピューティングデバイスを操作するユーザは、クライアントアプリケーションのうちの１つ以上を用いて、これらのコンポーネントが提供するサービスを利用することができる。これらのコンポーネントは、ハードウェア、ファームウェア、ソフトウェア、またはこれらの組合わせにおいて実装されてもよい。なお、分散システム２１００とは異なり得る多種多様なシステムコンフィギュレーションが可能である。図２１に示される実施形態はしたがって、ある実施形態のシステムを実現するための分散システムであって、限定を意図したものではない。

クライアントコンピューティングデバイス２１０２、２１０４、２１０６、および／または２１０８は、さまざまな種類のコンピューティングシステムを含み得る。たとえば、クライアントコンピューティングデバイスは、Microsoft Windows Mobile（登録商標）等のソフトウェア、および／またはiOS、Windows Phone、Android（登録商標）、BlackBerry（登録商標） 10、Palm ＯＳ等のさまざまなモバイルオペレーティングシステムを実行する、ポータブルハンドヘルドデバイス（たとえばiPhone（登録商標）、携帯電話、iPad（登録商標）、コンピューティングタブレット、携帯情報端末（ＰＤＡ））またはウェアラブルデバイス（たとえばGoogle Glass（登録商標）ヘッドマウントディスプレイ）を含み得る。これらのデバイスは、さまざまなインターネット関連アプリケーション、電子メール、ショートメッセージサービス（ＳＭＳ）アプリケーション等のさまざまなアプリケーションをサポートし得るものであり、かつその他のさまざまな通信プロトコルを使用し得る。また、クライアントコンピューティングデバイスは、例として、さまざまなバージョンのMicrosoft Windows（登録商標）、Apple Macintosh（登録商標）および／またはLinux（登録商標）オペレーティングシステムを実行するパーソナルコンピュータおよび／またはラップトップコンピュータを含む、汎用パーソナルコンピュータを含み得る。クライアントコンピューティングデバイスは、たとえばGoogle Chrome（登録商標）ＯＳ等の、さまざまなGNU／Linuxオペレーティングシステムを含むがこれらに限定されないさまざまな市販のＵＮＩＸ（登録商標）またはＵＮＩＸのようなオペレーティングシステムのうちのいずれかを実行するワークステーションコンピュータであってもよい。また、クライアントコンピューティングデバイスは、ネットワーク２１１０上で通信可能な、シンクライアントコンピュータ、インターネット接続可能なゲームシステム（たとえばKinect（登録商標）ジェスチャー入力デバイスを備えたまたは備えていないMicrosoft Xboxゲーム機）、および／またはパーソナルメッセージングデバイス等の電子機器を含み得る。

図２１の分散システム２１００は４つのクライアントコンピューティングデバイスとともに示されているが、任意の数のクライアントコンピューティングデバイスをサポートし得る。センサ等を有するコンピューティングデバイスといったその他のコンピューティングデバイスがサーバ２１１２とやり取りしてもよい。

分散システム２１００内のネットワーク２１１０は、ＴＣＰ／ＩＰ（伝送制御プロトコル／インターネットプロトコル）、ＳＮＡ（システムネットワークアーキテクチャ）、ＩＰＸ（インターネットパケット交換）、Apple Talk等を含むがこれらに限定されない、利用可能なさまざまなプロトコルのうちのいずれかを用いて、データ通信をサポートすることができる、当業者にはよく知られているいずれかの種類のネットワークであればよい。ほんの一例として、ネットワーク２１１０は、ローカルエリアネットワーク（ＬＡＮ）、イーサネット（登録商標）に基づくネットワーク、トークンリング、広域ネットワーク、インターネット、仮想ネットワーク、仮想プライベートネットワーク（ＶＰＮ）、イントラネット、エクストラネット、公衆交換電話網（ＰＳＴＮ）、赤外線ネットワーク、無線ネットワーク（たとえば、米国電気電子技術者協会（ＩＥＥＥ）８０２．１１プロトコルスイートのうちのいずれか、Bluetooth（登録商標）、および／またはその他いずれかの無線プロトコルのもとで機能するネットワーク）、および／またはこれらの組合わせ、および／またはその他のネットワークであってもよい。

サーバ２１１２は、１つ以上の汎用コンピュータ、専用サーバコンピュータ（例として、ＰＣ（パーソナルコンピュータ）サーバ、ＵＮＩＸ（登録商標）サーバ、ミッドレンジサーバ、メインフレームコンピュータ、ラックマウント式サーバ等を含む）、サーバファーム、サーバクラスタ、またはその他いずれかの適切な構成および／または組合わせで構成されていてもよい。サーバ２１１２は、仮想オペレーティングシステムまたは仮想化を伴うその他の計算アーキテクチャを実行する１つ以上の仮想マシンを含み得る。論理記憶装置の１つ以上のフレキシブルプールを仮想化することによって、サーバのための仮想記憶装置を維持することができる。仮想ネットワークは、サーバ２１１２がソフトウェア定義ネットワーキングを用いて制御することができる。さまざまな実施形態において、サーバ２１１２は、これまでの開示において説明した１つ以上のサービスまたはソフトウェアアプリケーションを実行するように構成されていてもよい。たとえば、サーバ２１１２は、本開示のある実施形態に従う上記処理を実行するためのサーバに対応していてもよい。

サーバ２１１２は、上記のうちのいずれかを含むオペレーティングシステムおよび市販のいずれかのサーバオペレーティングシステムを実行し得る。サーバ２１１２はまた、ＨＴＴＰ（ハイパーテキストトランスポートプロトコル）サーバ、ＦＴＰ（ファイル転送プロトコル）サーバ、ＣＧＩ（コモンゲートウェイインターフェイス）サーバ、ＪＡＶＡ（登録商標）サーバ、データベースサーバ等を含む、さまざまなその他のサーバアプリケーションおよび／またはミッドティアアプリケーションのうちのいずれかを実行し得る。代表的なデータベースサーバは、Oracle、Microsoft、Sybase、IBM（International Business Machines）等から市販されているものを含むが、これらに限定されるものではない。

いくつかの実装例において、サーバ２１１２は、クライアントコンピューティングデバイス２１０２、２１０４、２１０６、および２１０８のユーザから受けたデータフィードおよび／またはイベントアップデートを分析し統合するための１つ以上のアプリケーションを含み得る。一例として、データフィードおよび／またはイベントアップデートは、センサデータアプリケーション、株式相場表示機、ネットワーク性能測定ツール（たとえばネットワークモニタリングおよびトラフィック管理アプリケーション）、クリックストリーム分析ツール、自動車交通量モニタリング等に関連するリアルタイムイベントを含み得る、１つ以上の第三者情報源および連続データストリームから受けた、Twitter（登録商標）フィード、Facebook（登録商標）アップデートまたはリアルタイムアップデートを含むが、これらに限定されるものではない。また、サーバ２１１２は、クライアントコンピューティングデバイス２１０２、２１０４、２１０６、および２１０８の１つ以上の表示装置を介してデータフィードおよび／またはリアルタイムイベントを表示するための１つ以上のアプリケーションを含み得る。

分散システム２１００はまた、１つ以上のデータベース２１１４および２１１６を含み得る。これらのデータベースは、本開示の実施形態によって使用されるユーザインタラクション情報、使用パターン情報、適合規則情報、およびその他の情報等の情報を格納するためのメカニズムを提供し得る。データベース２１１４および２１１６はさまざまな場所に存在し得る。例として、データベース２１１４および２１１６のうちの１つ以上が、サーバ２１１２にローカルな（および／または存在する）非一時的な記憶媒体上にあってもよい。これに代えて、データベース２１１４および２１１６は、サーバ２１１２から遠隔の場所にあってネットワークベースのまたは専用接続を介してサーバ２１１２と通信してもよい。一組の実施形態において、データベース２１１４および２１１６は、ストレージエリアネットワーク（ＳＡＮ）にあってもよい。同様に、サーバ２１１２から発生する機能を実行するために必要なファイルは、適宜サーバ２１１２にローカルに格納されていてもよくおよび／または遠隔場所に格納されていてもよい。一組の実施形態において、データベース２１１４および２１１６は、ＳＱＬフォーマットのコマンドに応じてデータを格納、更新、および取出すように構成された、Oracleが提供するデータベース等のリレーショナルデータベースを含み得る。

いくつかの実施形態において、クラウド環境は１つ以上のサービスを提供し得る。図２２は、本開示の一実施形態に従うサービスをクラウドサービスとして提供し得るシステム環境２２００の１つ以上のコンポーネントの簡略ブロック図である。図２２に示される実施形態において、システム環境２２００は、クラウドサービスを提供するクラウドインフラストラクチャシステム２２０２とやり取りするためにユーザが使用し得る１つ以上のクライアントコンピューティングデバイス２２０４、２２０６、および２２０８を含む。クラウドインフラストラクチャシステム２２０２は、サーバ２１１２について先に述べたものを含み得る１つ以上のコンピュータおよび／またはサーバを含み得る。

図２２に示されているクラウドインフラストラクチャシステム２２０２は示されているもの以外のコンポーネントを有し得ることが認識されるはずである。さらに、図２２に示される実施形態は、本開示の実施形態を組込むことができるクラウドインフラストラクチャシステムの一例に過ぎない。他のいくつかの実施形態において、クラウドインフラストラクチャシステム２２０２は、図示されているよりも多いまたは少ないコンポーネントを有していてもよく、２つ以上のコンポーネントを組合わせてもよく、または異なる構成または配置のコンポーネントを有していてもよい。

クライアントコンピューティングデバイス２２０４、２２０６、および２２０８は、２１０２、２１０４、２１０６、および２１０８について先に述べたものと同様のデバイスであってもよい。クライアントコンピューティングデバイス２２０４、２２０６、および２２０８は、以下のようなクライアントアプリケーションを操作するように構成されていてもよく、このクライアントアプリケーションは、たとえば、クライアントコンピューティングデバイスのユーザがクラウドインフラストラクチャシステム２２０２と対話してクラウドインフラストラクチャシステム２２０２が提供するサービスを使用するために使用し得る、ウェブブラウザ、専用クライアント（たとえばOracle Forms）、またはその他何らかのアプリケーション等である。典型的なシステム環境２２００は３つのクライアントコンピューティングデバイスとともに示されているが、任意の数のクライアントコンピューティングデバイスをサポートし得る。センサ等を有するデバイスのようなその他のデバイスがクラウドインフラストラクチャシステム２２０２と対話してもよい。

ネットワーク２２１０は、クライアント２２０４、２２０６、２２０８とクラウドインフラストラクチャシステム２２０２との間のデータの通信およびやり取りを容易にし得る。各ネットワークは、ネットワーク２２１０について先に述べたものを含むさまざまな市場で入手可能なプロトコルのいずれかを使用してデータ通信をサポートすることができる、当業者によく知られた任意のタイプのネットワークであってもよい。

特定の実施形態において、クラウドインフラストラクチャシステム２２０２によって提供されるサービスは、クラウドインフラストラクチャシステムのユーザがオンデマンドで利用できるようにされる多数のサービスを含み得る。使用パターンに応じて動的に文書を修正することに関連するサービスに加えて、その他さまざまなサービスも提供し得る。これらのサービスは、限定されないが、オンラインデータストレージおよびバックアップソリューション、ウェブベースの電子メールサービス、ホストされたオフィスパッケージおよびドキュメントコラボレーションサービス、データベース処理、管理された技術サポートサービス等である。クラウドインフラストラクチャシステムによって提供されるサービスは、そのユーザのニーズに合わせて動的にスケーリングできる。

特定の実施形態において、クラウドインフラストラクチャシステム２２０２によって提供されるサービスの具体的なインスタンス化は、本明細書において「サービスインスタンス」と呼ばれることがある。一般的に、クラウドサービスプロバイダのシステムからインターネット等の通信ネットワークを介してユーザが利用できるようにされる任意のサービスは、「クラウドサービス」と呼ばれる。典型的に、パブリッククラウド環境において、クラウドサービスプロバイダのシステムを構成するサーバおよびシステムは、顧客自身のオンプレミスサーバおよびシステムとは異なる。たとえば、クラウドサービスプロバイダのシステムは、アプリケーションをホストしてもよく、ユーザは、インターネット等の通信ネットワークを介してオンデマンドでアプリケーションをオーダーして使用すればよい。

いくつかの例において、コンピュータネットワーククラウドインフラストラクチャにおけるサービスは、クラウドベンダーによってまたは当該技術において周知の他のやり方でユーザに提供される、記憶装置、ホストされたデータベース、ホストされたウェブサーバ、ソフトウェアアプリケーション、または他のサービスに対する保護されたコンピュータネットワークアクセスを含み得る。たとえば、サービスは、インターネットを通じたクラウド上の記憶装置に対するパスワードで保護されたアクセスを含むことができる。別の例として、サービスは、ネットワーク化されたデベロッパーによる私的使用のためのウェブサービスベースのホストされたリレーショナルデータベースおよびスクリプト言語ミドルウェアエンジンを含むことができる。別の例として、サービスは、クラウドベンダーのウェブサイト上でホストされた電子メールソフトウェアアプリケーションに対するアクセスを含むことができる。

特定の実施形態において、クラウドインフラストラクチャシステム２２０２は、セルフサービスの、申込みに基づく、弾力的にスケーラブルで、確実で、非常に有効で、かつ安全なやり方で、顧客に与えられる、アプリケーション、ミドルウェア、およびデータベースサービス提供物一式を含み得る。そのようなクラウドインフラストラクチャシステムの一例は、本願の譲受人によって提供されるOracle Public Cloudである。

クラウドインフラストラクチャシステム２２０２は、「ビッグデータ」に関連する計算および分析サービスも提供し得る。「ビッグデータ」という用語は一般的に、大量のデータを可視化する、傾向を発見する、および／またはそうでなければデータと対話するために、アナリストおよびリサーチャーが保存し操作することができる極めて大きなデータセットに言及するときに用いられる。このビッグデータおよび関連するアプリケーションは、多数のレベルおよびさまざまな規模でインフラストラクチャシステムがホストおよび／または操作することができる。並列にリンクされた何十、何百、または何千ものプロセッサが、このようなデータに対して機能することにより、それを示すまたはデータに対する外部からの力をもしくはそれが表わしているものをシミュレートすることができる。これらのデータセットは、データベース内でそうでなければ構造化モデルに従って組織されたデータのような構造化データ、および／または非構造化データ（たとえば電子メール、画像、データＢＬＯＢ（（binary large object）バイナリラージオブジェクト）、ウェブページ、複雑なイベント処理）を含み得る。より多くの（またはより少ない）計算リソースを比較的素早く目標物に向ける実施形態の能力を高めることにより、企業、政府機関、リサーチ組織、私人、同じ目的を有する個人もしくは組織、またはその他のエンティティからの要求に基づいて大きなデータセットに対するタスクを実行するにあたり、クラウドインフラストラクチャシステムをより有効にすることができる。

さまざまな実施形態において、クラウドインフラストラクチャシステム２２０２は、クラウドインフラストラクチャシステム２２０２から提供されるサービスに対する顧客の申込みを自動的にプロビジョニングし、管理し、かつ追跡するように適合させることができる。クラウドインフラストラクチャシステム２２０２は、異なるデプロイメントモデルを介してクラウドサービスを提供し得る。たとえば、サービスは、（たとえばOracle社所有の）クラウドサービスを販売する組織によってクラウドインフラストラクチャシステム２２０２が所有されるパブリッククラウドモデルの下で提供されてもよく、サービスは、一般大衆または異なる産業企業にとって利用可能とされる。別の例として、サービスは、クラウドインフラストラクチャシステム２２０２が単一の組織のためにのみ運営され、組織内の１つ以上のエンティティのためのサービスを提供し得る個人のクラウドモデルの下で提供し得る。また、クラウドサービスは、クラウドインフラストラクチャシステム２２０２およびクラウドインフラストラクチャシステム２２０２によって提供されるサービスが、関連するコミュニティー内の一部の組織によって共有されるコミュニティークラウドモデルの下で提供し得る。また、クラウドサービスは、２つ以上の異なるモデルの組合わせであるハイブリッドクラウドモデルの下で提供し得る。

いくつかの実施形態において、クラウドインフラストラクチャシステム２２０２によって提供されるサービスは、サービスとしてのソフトウェア（ＳａａＳ）カテゴリ、サービスとしてのプラットフォーム（ＰａａＳ）カテゴリ、サービスとしてのインフラストラクチャ（ＩａａＳ）カテゴリ、またはハイブリッドサービスを含む他のサービスカテゴリの下で提供される１つ以上のサービスを含み得る。顧客は、クラウドインフラストラクチャシステム２２０２によって提供される１つ以上のサービスを申込みオーダーによってオーダーし得る。そうすると、クラウドインフラストラクチャシステム２２０２は、顧客の申込みオーダーにおけるサービスを提供するための処理を行なう。

いくつかの実施形態において、クラウドインフラストラクチャシステム２２０２によって提供されるサービスは、限定されないが、アプリケーションサービス、プラットフォームサービスおよびインフラストラクチャサービスを含み得る。いくつかの例において、アプリケーションサービスは、クラウドインフラストラクチャシステムによってＳａａＳプラットフォームを介して提供し得る。ＳａａＳプラットフォームは、ＳａａＳカテゴリに入るクラウドサービスを提供するように構成し得る。たとえば、ＳａａＳプラットフォームは、統合された開発およびデプロイメントプラットフォーム上のオンデマンドのアプリケーション一式を構築し、伝える能力を提供し得る。ＳａａＳプラットフォームは、ＳａａＳサービスを提供するための基礎的なソフトウェアおよびインフラストラクチャを管理し、制御し得る。ＳａａＳプラットフォームによって提供されるサービスを利用することによって、顧客は、クラウドインフラストラクチャシステム上で実行するアプリケーションを利用することができる。顧客は、顧客が別個のライセンスおよびサポートを購入する必要なしに、アプリケーションサービスを得ることができる。さまざまな異なるＳａａＳサービスが提供し得る。例は、限定されないが、大きな組織のための販売実績管理、企業統合およびビジネス上のフレキシビリティのためのソリューションを提供するサービスを含む。

いくつかの実施形態において、プラットフォームサービスは、クラウドインフラストラクチャシステム２２０２によってＰａａＳプラットフォームを介して提供し得る。ＰａａＳプラットフォームは、ＰａａＳカテゴリに入るクラウドサービスを提供するように構成し得る。プラットフォームサービスの例は、限定されないが、共有されている共通アーキテクチャ上の既存のアプリケーションを組織（Oracle等）が統合することを可能にするサービスと、プラットフォームによって提供される共有サービスを活用する新しいアプリケーションを構築する能力とを含み得る。ＰａａＳプラットフォームは、ＰａａＳサービスを提供するための基礎的なソフトウェアおよびインフラストラクチャを管理および制御し得る。顧客は、顧客が別個のライセンスおよびサポートを購入する必要なしに、クラウドインフラストラクチャシステム２２０２によって提供されるＰａａＳサービスを得ることができる。プラットフォームサービスの例は、限定されないが、Oracle Java Cloud Service（ＪＣＳ）、Oracle Database Cloud Service（ＤＢＣＳ）他を含む。

ＰａａＳプラットフォームによって提供されるサービスを利用することによって、顧客は、クラウドインフラストラクチャシステムによってサポートされたプログラミング言語およびツールを採用し、また、デプロイされたサービスを制御することもできる。いくつかの実施形態において、クラウドインフラストラクチャシステムによって提供されるプラットフォームサービスは、データベースクラウドサービス、ミドルウェアクラウドサービス（たとえばOracle Fusion Middleware services）、およびＪａｖａクラウドサービスを含み得る。一実施形態において、データベースクラウドサービスは、組織がデータベースリソースをプールし、かつデータベースクラウドの形態でのサービスとして顧客にデータベースを提示することを可能にする共有サービスデプロイメントモデルをサポートし得る。ミドルウェアクラウドサービスは、顧客がさまざまなビジネスアプリケーションを展開しデプロイするためのプラットフォームを提供してもよく、Ｊａｖａクラウドサービスは、クラウドインフラストラクチャシステムにおいて顧客がＪａｖａアプリケーションをデプロイするためのプラットフォームを提供してもよい。

さまざまな異なるインフラストラクチャサービスは、クラウドインフラストラクチャシステムにおいてＩａａＳプラットフォームによって提供し得る。インフラストラクチャサービスは、ＳａａＳプラットフォームおよびＰａａＳプラットフォームによって提供されるサービスを利用する顧客のための記憶装置、ネットワーク、および他の基本のコンピューティングリソースといった基礎的なコンピューティングリソースの管理および制御を容易にする。

特定の実施形態において、クラウドインフラストラクチャシステム２２０２はまた、クラウドインフラストラクチャシステムの顧客にさまざまなサービスを提供するために用いられるリソースを提供するためのインフラストラクチャリソース２２３０を含み得る。一実施形態において、インフラストラクチャリソース２２３０は、ＰａａＳプラットフォームおよびＳａａＳプラットフォームによって提供されるサービスを実行するためのサーバ、記憶装置、およびネットワークのリソースといったハードウェアの予め統合され最適化された組合わせ、ならびにその他のリソースを含み得る。

いくつかの実施形態において、クラウドインフラストラクチャシステム２２０２におけるリソースは、複数のユーザによって共有され要求ごとに動的に再割当てされてもよい。加えて、リソースは、異なるタイムゾーンのユーザに割当てられてもよい。たとえば、クラウドインフラストラクチャシステム２２０２は、第１のタイムゾーンの第１の組のユーザが特定数の時間クラウドインフラストラクチャシステムのリソースを利用できるようにし、次いで異なるタイムゾーンに位置する別の組のユーザに対して同じリソースを再度割当てることによって、リソースの利用を最大化してもよい。

特定の実施形態において、クラウドインフラストラクチャシステム２２０２の異なるコンポーネントまたはモジュールによって共有される多数の内部共有サービス２２３２を提供し得る。これらの内部共有サービスは、限定されないが、セキュリティおよびアイデンティティサービス、インテグレーションサービス、企業リポジトリサービス、企業マネージャーサービス、ウィルススキャンおよびホワイトリストサービス、高アベイラビリティ、保存後修復サービス、クラウドサポートを可能にするためのサービス、電子メールサービス、通知サービス、ファイル転送サービス等を含み得る。

特定の実施形態において、クラウドインフラストラクチャシステム２２０２は、クラウドインフラストラクチャシステムにおいてクラウドサービス（たとえばＳａａＳ、ＰａａＳおよびＩａａＳサービス）の包括的な管理を提供し得る。一実施形態において、クラウド管理機能は、クラウドインフラストラクチャシステム２２０２によって受信された顧客の申込みをプロビジョニング、管理、および追跡する機能を含み得る。

一実施形態において、図２２に示されるように、クラウド管理機能は、オーダー管理モジュール２２２０、オーダーオーケストレーションモジュール２２２２、オーダープロビジョニングモジュール２２２４、オーダー管理および監視モジュール２２２６、およびアイデンティティ管理モジュール２２２８といった、１つ以上のモジュールによって提供し得る。これらのモジュールは、汎用コンピュータ、専用サーバコンピュータ、サーバファーム、サーバクラスタ、または任意の他の適切な構成および／または組合わせであってもよい１つ以上のコンピュータおよび／またはサーバを含み得る、または、それらを用いて提供し得る。

典型的な動作では、ステップ２２３４において、クライアントデバイス２２０４、２２０６、または２２０８等のクライアントデバイスを用いる顧客は、クラウドインフラストラクチャシステム２２０２によって提供される１つ以上のサービスを要求し、クラウドインフラストラクチャシステム２２０２によって提示される１つ以上のサービスの申込みのためのオーダーを行なうことによって、クラウドインフラストラクチャシステム２２０２と対話してもよい。特定の実施形態において、顧客は、クラウドＵＩ２２１２、クラウドＵＩ２２１４、および／またはクラウドＵＩ２２１６等のクラウドユーザインターフェイス（ＵＩ）にアクセスし、これらのＵＩを介して申込みオーダーを行なってもよい。顧客がオーダーを行ったことに応じてクラウドインフラストラクチャシステム２２０２によって受信されるオーダー情報は、顧客を特定する情報と、顧客が申込む予定のクラウドインフラストラクチャシステム２２０２によって提供される１つ以上のサービスとを含み得る。

ステップ２２３６において、顧客から受けたオーダー情報は、オーダーデータベース２２１８に格納されてもよい。これが新しいオーダーであれば、このオーダーについて新たな記録が作成されてもよい。一実施形態において、オーダーデータベース２２１８は、クラウドインフラストラクチャシステム２２０２によって操作され、他のシステムエレメントとともに操作されるいくつかのデータベースのうちの１つであってもよい。

ステップ２２３８において、オーダー情報は、オーダー管理モジュール２２２０に転送されてもよい。オーダー管理モジュール２２２０は、オーダーを確認し、確認後にオーダーを記入する等の、オーダーに関連する課金および会計機能を行なうように構成し得る。

ステップ２２４０において、オーダーに関する情報は、オーダーオーケストレーションモジュール２２２２に伝えられてもよい。オーダーオーケストレーションモジュール２２２２は、顧客によって出されたオーダーのためのサービスおよびリソースのプロビジョニングを調整するように構成されている。いくつかのインスタンスにおいて、オーダーオーケストレーションモジュール２２２２は、プロビジョニングのためにオーダープロビジョニングモジュール２２２４のサービスを用いてもよい。特定の実施形態において、オーダーオーケストレーションモジュール２２２２は、各オーダーに関連付けられたビジネスプロセスの管理を可能にし、オーダーがプロビジョニングに進むべきか否かを判断するためにビジネスロジックを適用する。

図２２に示される実施形態において示されるように、２２４２において、新規申込みのためのオーダーを受信すると、オーダーオーケストレーションモジュール２２２２は、オーダープロビジョニングモジュール２２２４に要求を送信して、リソースを割当て、申込みオーダーを遂行するために必要とされるリソースを構成する。オーダープロビジョニングモジュール２２２４は、顧客によってオーダーされたサービスのためのリソースの割当てを可能にする。オーダープロビジョニングモジュール２２２４は、クラウドインフラストラクチャシステム２２０２によって提供されるクラウドサービスと、リソースサービスを提供するためにリソースをプロビジョニングするために用いられる物理実装層との間に抽象化レベルを提供する。これにより、オーダーオーケストレーションモジュール２２２２を、サービスおよびリソースが実際にオンザフライでプロビジョニングされまたは予めプロビジョニングされ要求後に割当て／アサインされるか否かといった実施の詳細から分離することができる。

ステップ２２４４において、ひとたびサービスおよびリソースがプロビジョニングされると、要求されたサービスが現在利用できる状態にあることを示す通知を、申込んだ顧客に送ってもよい。いくつかのインスタンスにおいて、顧客が要求したサービスの利用を開始できるようにする情報（たとえばリンク）を顧客に送ってもよい。

ステップ２２４６において、顧客の申込みオーダーは、オーダー管理および監視モジュール２２２６によって管理および追跡されてもよい。いくつかのインスタンスにおいて、オーダー管理および監視モジュール２２２６は、申込まれたサービスの顧客利用に関する使用統計を収集するように構成されてもよい。たとえば、記憶装置の使用量、データ転送量、ユーザ数、ならびにシステムアップタイムおよびシステムダウンタイムの量等について、統計が収集されてもよい。

特定の実施形態において、クラウドインフラストラクチャシステム２２００は、アイデンティティ管理モジュール２２２８を含み得る。アイデンティティ管理モジュール２２２８は、クラウドインフラストラクチャシステム２２００におけるアクセス管理および認可サービスといったアイデンティティサービスを提供するように構成される。いくつかの実施形態において、アイデンティティ管理モジュール２２２８は、クラウドインフラストラクチャシステム２２０２によって提供されるサービスを利用したい顧客に関する情報を制御し得る。そのような情報は、そのような顧客のアイデンティティを認証する情報と、さまざまなシステムリソース（たとえばファイル、ディレクトリ、アプリケーション、通信ポート、メモリセグメント等）に対しそれらの顧客が実行を認可されるアクションを記述する情報とを含むことができる。アイデンティティ管理モジュール２２２８は、各顧客に関し、かつ、どのように誰によってその記述情報のアクセスおよび修正ができるかに関する記述情報の管理も含み得る。

図２３は、本開示の実施形態を実現するために使用し得る典型的なコンピュータシステム２３００を示す。いくつかの実施形態において、コンピュータシステム２３００を用いて上記さまざまなサーバおよびコンピュータシステムのうちのいずれかを実現してもよい。図２３に示されるように、コンピュータシステム２３００は、バスサブシステム２３０２を介して多数の周辺サブシステムと通信する処理ユニット２３０４を含むさまざまなサブシステムを含む。これらの周辺サブシステムは、処理加速ユニット２３０６、Ｉ／Ｏサブシステム２３０８、記憶サブシステム２３１８、および通信サブシステム２３２４を含み得る。記憶サブシステム２３１８は、有形のコンピュータ読取可能記憶媒体２３２２およびシステムメモリ２３１０を含み得る。

バスサブシステム２３０２は、コンピュータシステム２３００のさまざまなコンポーネントおよびサブシステムを目的に応じて互いに通信させるためのメカニズムを提供する。バスサブシステム２３０２は単一のバスとして概略的に示されているが、バスサブシステムの代替の実施形態は複数のバスを利用し得る。バスサブシステム２３０２は、さまざまなバスアーキテクチャのうちのいずれかを用いる、メモリバスまたはメモリコントローラ、周辺バス、およびローカルバスを含む、さまざまな種類のバス構造のうちのいずれかであればよい。たとえば、このようなアーキテクチャは、ＩＥＥＥ Ｐ１３８６．１規格に従って製造されたメザニン（Mezzanine）バス等として実現できる、業界標準アーキテクチャ（ＩＳＡ）バス、マイクロチャネルアーキテクチャ（ＭＣＡ）バス、エンハンストＩＳＡ（ＥＩＳＡ）バス、ビデオエレクトロニクス標準協会（ＶＥＳＡ）ローカルバス、および周辺コンポーネントインターコネクト（ＰＣＩ）バスを含み得る。

処理サブシステム２３０４は、コンピュータシステム２３００のオペレーションを制御し、かつ、１つ以上の処理ユニット２３３２、２３３４等と含み得る。処理ユニットは、シングルコアもしくはマルチコアプロセッサ、プロセッサの１つ以上のコア、またはこれらの組合わせを含む、１つ以上のプロセッサを含み得る。いくつかの実施形態において、処理サブシステム２３０４は、グラフィックプロセッサ、デジタル信号プロセッサ（ＤＳＰ）等といった１つ以上の専用コプロセッサを含み得る。いくつかの実施形態において、処理サブシステム２３０４の処理ユニットのうちのいくつかまたはすべてを、特定用途向け集積回路（ＡＳＩＣ）またはフィールドプログラマブルゲートアレイ（ＦＰＧＡ）等のカスタマイズされた回路を用いて実現してもよい。

いくつかの実施形態において、処理サブシステム２３０４内の処理ユニットは、システムメモリ２３１０にまたはコンピュータ読取可能記憶媒体２３２２上に格納されている命令を実行することができる。さまざまな実施形態において、処理ユニットは、さまざまなプログラムまたはコード命令を実行することができ、かつ、同時に実行される複数のプログラムまたはプロセスを管理することができる。所定の時間に、実行すべきプログラムコードのうちのいくつかまたはすべてが、場合によっては１つ以上の記憶装置を含むシステムメモリ２３１０におよび／またはコンピュータ読取可能記憶媒体２３２２上にあってもよい。適切なプログラミングを通して、処理サブシステム２３０４は、さまざまな機能を提供することができる。

特定の実施形態において、コンピュータシステム２３００が実行する処理全体を加速することを目的として、カスタマイズされた処理を実行するためまたは処理サブシステム２３０４が実行する処理のうちの一部をオフロードするために、処理加速ユニット２３０６を設けてもよい。

Ｉ／Ｏサブシステム２３０８は、情報をコンピュータシステム２３００に入力するためおよび／または情報をコンピュータシステム２３００からもしくはコンピュータシステム２３００を介して出力するためのデバイスおよびメカニズムを含み得る。一般的に、「入力デバイス」という用語の使用は、情報をコンピュータシステム２３００に入力するための、可能なすべての種類のデバイスおよびメカニズムを含むことを意図している。ユーザインターフェイス入力デバイスは、たとえば、キーボード、マウスまたはトラックボール等のポインティングデバイス、ディスプレイに組込まれたタッチパッドまたはタッチスクリーン、スクロールホイール、クリックホイール、ダイヤル、ボタン、スイッチ、キーパッド、音声コマンド認識システムを備えた音声入力デバイス、マイク、およびその他の種類の入力デバイスを含み得る。ユーザインターフェイス入力デバイスはまた、ユーザが入力デバイスを制御し入力デバイスと対話できるようにするMicrosoft Kinect（登録商標）モーションセンサ、Microsoft Xbox（登録商標） 360ゲームコントローラ、ジェスチャーおよび発話コマンドを用いた入力を受けるためのインターフェイスを提供するデバイス等の、モーション検知および／またはジェスチャー認識デバイスを含み得る。ユーザインターフェイス入力デバイスはまた、ユーザから目の動き（たとえば写真撮影時および／またはメニュー選択時の「まばたき」）を受けて目のジェスチャーを入力デバイス（たとえばGoogle Glass（登録商標））への入力として変換するGoogle Glass（登録商標）まばたき検出器等のアイジェスチャー認識デバイスを含み得る。加えて、ユーザインターフェイス入力デバイスは、ユーザが音声コマンドを通して音声認識システム（たとえばSiri（登録商標）ナビゲータ）と対話できるようにする音声認識検知デバイスを含み得る。

ユーザインターフェイス入力デバイスのその他の例は、三次元（３Ｄ）マウス、ジョイスティックまたはポインティングスティック、ゲームパッドおよびグラフィックタブレット、ならびに、スピーカ、デジタルカメラ、デジタルカムコーダ、ポータブルメディアプレイヤー、ウェブカメラ、画像スキャナ、指紋スキャナ、バーコードリーダ３Ｄスキャナ、３Ｄプリンタ、レーザレンジファインダー、および視線トラッキングデバイス等のオーディオ／ビジュアルデバイスを含むが、これらに限定されるものではない。加えて、ユーザインターフェイス入力デバイスは、たとえば、コンピュータ断層撮影、磁気共鳴撮像、ポジトロン断層撮影、超音波検査デバイス等の、医療用撮像入力デバイスを含み得る。ユーザインターフェイス入力デバイスはまた、たとえば、ＭＩＤＩキーボード、デジタル音楽機器等といった音声入力デバイスを含み得る。

ユーザインターフェイス出力デバイスは、ディスプレイサブシステム、インジケータライト、または音声出力デバイスといった非ビジュアルディスプレイなどを含み得る。ディスプレイサブシステムは、陰極線管（ＣＲＴ）、たとえば液晶ディスプレイ（ＬＣＤ）またはプラズマディスプレイを用いるフラットパネルデバイス、投射デバイス、タッチスクリーン等であってもよい。一般的に、「出力デバイス」という用語の使用は、情報をコンピュータシステム２３００からユーザまたはその他のコンピュータに出力するための可能なすべての種類のデバイスおよびメカニズムを含むことを意図している。たとえば、ユーザインターフェイス出力デバイスは、モニタ、プリンタ、スピーカ、ヘッドフォン、自動車ナビゲーションシステム、作図デバイス、音声出力デバイス、およびモデムといった、テキスト、グラフィックおよびオーディオ／ビデオ情報を視覚的に伝えるさまざまな表示デバイスを含み得るが、これらに限定されるものではない。

記憶サブシステム２３１８は、コンピュータシステム２３００が使用する情報を格納するためのリポジトリまたはデータ記憶装置を提供する。記憶サブシステム２３１８は、いくつかの実施形態の機能を提供する基本的なプログラミングおよびデータ構造を格納するための有形の非一時的なコンピュータ読取可能記憶媒体を提供する。処理サブシステム２３０４によって実行されたときに上記機能を提供するソフトウェア（プログラム、コードモジュール、命令）は、記憶サブシステム２３１８に格納されていてもよい。ソフトウェアは、処理サブシステム２３０４の１つ以上の処理ユニットによって実行されてもよい。記憶サブシステム２３１８はまた、本開示に従って使用されるデータを格納するためのリポジトリを提供し得る。

記憶サブシステム２３１８は、揮発性および不揮発性メモリデバイスを含む１つ以上の非一時的なメモリデバイスを含み得る。図２３に示されるように、記憶サブシステム２３１８は、システムメモリ２３１０およびコンピュータ読取可能記憶媒体２３２２を含む。システムメモリ２３１０は、プログラム実行中に命令とデータを格納するための揮発性メインランダムアクセスメモリ（ＲＡＭ）および固定命令が格納されている不揮発性読取専用メモリ（ＲＯＭ）またはフラッシュメモリを含む、多数のメモリを含み得る。いくつかの実装例において、たとえば起動中のコンピュータシステム２３００内の要素間の情報転送を補助する基本的なルーチンを含む基本的な入力／出力システム（ＢＩＯＳ）は、一般的にはＲＯＭに格納される。ＲＡＭは一般的に、処理サブシステム２３０４が現在操作および実行しているデータおよび／またはプログラムモジュールを含む。いくつかの実装例において、システムメモリ２３１０は、スタティックランダムアクセスメモリ（ＳＲＡＭ）またはダイナミックランダムアクセスメモリ（ＤＲＡＭ）等の種類が異なる複数のメモリを含み得る。

限定ではなく一例として、図２３に示されるように、システムメモリ２３１０は、クライアントアプリケーション、ウェブブラウザ、ミッドティアアプリケーション、リレーショナルエータベース管理システム（ＲＤＢＭＳ）等を含み得るアプリケーションプログラム２３１２と、プログラムデータ２３１４と、オペレーティングシステム２３１６とを格納し得る。一例として、オペレーティングシステム２３１６は、さまざまなバージョンのMicrosoft Windows（登録商標）、Apple Macintosh（登録商標）、および／またはLinux（登録商標）オペレーティングシステム、さまざまな市販のＵＮＩＸ（登録商標）またはＵＮＩＸのようなオペレーティングシステム（さまざまなGNU／Linuxオペレーティングシステム、Google Chrome（登録商標）ＯＳ等を含むがこれらに限定されるものではない）および／または、iOS、Windows（登録商標）Phone、Android（登録商標）ＯＳ、BlackBerry（登録商標） 10 ＯＳ、およびPalm（登録商標）ＯＳオペレーティングシステム等のさまざまなモバイルオペレーティングシステムを含み得る。

コンピュータ読取可能記憶媒体２３２２は、いくつかの実施形態の機能を提供するプログラミングおよびデータ構造を格納し得る。処理サブシステム２３０４のプロセッサによって実行されたときに上記機能を提供するソフトウェア（プログラム、コードモジュール、命令）は、記憶サブシステム２３１８に格納されてもよい。一例として、コンピュータ読取可能な記憶媒体２３２２は、ハードディスクドライブ、磁気ディスクドライブ、ＣＤ ＲＯＭ、ＤＶＤ、Blu-Ray（登録商標）ディスク、またはその他の光媒体等の光ディスクドライブといった、不揮発性メモリを含み得る。コンピュータ読取可能記憶媒体２３２２は、Zip（登録商標）ドライブ、フラッシュメモリカード、ユニバーサルシリアルバス（ＵＳＢ）フラッシュドライブ、セキュアデジタル（ＳＤ）カード、ＤＶＤディスク、デジタルビデオテープ等を含み得るが、これらに限定されるものではない。コンピュータ読取可能記憶媒体２３２２はまた、フラッシュメモリベースのＳＳＤ、エンタープライズフラッシュドライブ、ソリッドステートＲＯＭ等といった不揮発性メモリに基づくソリッドステートドライブ（ＳＳＤ）、ソリッドステートＲＡＭ、ダイナミックＲＡＭ、スタティックＲＡＭ等といった揮発性メモリに基づくＳＳＤ、ＤＲＡＭとフラッシュメモリベースのＳＳＤを組合わせたものを用いる、ＤＲＡＭベースのＳＳＤ、磁気抵抗ＲＡＭ（ＭＲＡＭ）ＳＳＤ、およびハイブリッドＳＳＤを含み得る。コンピュータ読取可能媒体２３２２は、コンピュータ読取可能な命令、データ構造、プログラムモジュール、およびコンピュータシステム２３００のためのその他のデータの記憶域を提供し得る。

特定の実施形態において、記憶サブシステム２３００はまた、コンピュータ読取可能記憶媒体２３２２にさらに接続することができるコンピュータ読取可能記憶媒体リーダ２３２０を含み得る。システムメモリ２３１０とともに、また、任意でシステムメモリ２３１０と組合されて、コンピュータ読取可能記憶媒体２３２２は、コンピュータ読取可能な情報を格納するための、遠隔、ローカル、固定、および／またはリムーバブル記憶装置プラス記憶媒体を、包括的に代表し得る。

特定の実施形態において、コンピュータシステム２３００は、１つ以上の仮想マシンを実行するためのサポートを提供し得る。コンピュータシステム２３００は、仮想マシンの構成および管理を容易にするためのハイパーバイザといったプログラムを実行し得る。各仮想マシンに、メモリ、計算（たとえばプロセッサ、コア）、Ｉ／Ｏ、およびネットワーキングリソースが割当てられていてもよい。各仮想マシンは、一般的に、コンピュータシステム２３００が実行するその他の仮想マシンによって実行されるオペレーティングシステムと同じでも異なっていてもよい、自身のオペレーティングシステムを実行する。したがって、場合によっては複数のオペレーティングシステムがコンピュータシステム２３００によって同時に実行されるであろう。一般的に、各仮想マシンはその他の仮想マシンから独立して実行される。

通信サブシステム２３２４は、その他のコンピュータシステムおよびネットワークに対するインターフェイスを提供する。通信サブシステム２３２４は、コンピュータシステム２３００以外のシステムからデータを受信しコンピュータシステム２３００以外のシステムにデータを送信するためのインターフェイスの役割を果たす。たとえば、通信サブシステム２３２４によって、コンピュータシステム２３００は、情報をクライアントコンピューティングデバイスから受信しかつ情報をクライアントコンピューティングデバイスに送信するために１つ以上のクライアントコンピューティングデバイスへのインターネットを介した通信チャネルを確立することができるであろう。

通信サブシステム２３２４は、有線通信プロトコルおよび／または無線通信プロトコル双方をサポートし得る。たとえば、特定の実施形態において、通信サブシステム２３２４は、（たとえば携帯電話技術、３Ｇ、４ＧまたはＥＤＧＥ（グローバル進化型高速データレート）等の高度データネットワーク技術、ＷｉＦｉ（ＩＥＥＥ８０２．１１ファミリー規格、またはその他のモバイル通信技術、またはそれらの任意の組合わせ）を用いて）無線音声および／またはデータネットワークにアクセスするための無線周波数（ＲＦ）トランシーバコンポーネント、グローバルポジショニングシステム（ＧＰＳ）レシーバコンポーネント、および／またはその他のコンポーネントを含み得る。いくつかの実施形態の通信サブシステム２３２４は、無線インターフェイスに加えてまたはその代わりに有線ネットワーク接続（たとえばイーサネット）を提供することができる。

通信サブシステム２３２４は、さまざまな形態のデータを受信し送信することができる。たとえば、いくつかの実施形態において、通信サブシステム２３２４は、構造化されたおよび／または構造化されていないデータフィード２３２６、イベントストリーム２３２８、イベントアップデート２３３０等の形態の入力通信を受信し得る。たとえば、通信サブシステム２３２４は、ソーシャルメディアネットワークおよび／またはその他の通信サービスのユーザから、リアルタイムで、Twitter（登録商標）フィード、Facebook（登録商標）アップデート、リッチサイトサマリー（ＲＳＳ）フィード等のウェブフィード、および／または１つ以上の第三者情報源からからのリアルタイムアップデート等のデータフィード２３２６を、受信（または送信）するように構成されてもよい。

特定の実施形態において、通信サブシステム２３２４は、本質的に連続しているまたは無限であり明確な終わりがない場合がある、リアルタイムイベントのイベントストリーム２３２８および／またはイベントアップデート２３３０を含み得る、連続データストリームの形態のデータを受信するように構成されてもよい。連続データを生成するアプリケーションの例は、たとえば、センサデータアプリケーション、株式相場表示機、ネットワーク性能測定ツール（たとえばネットワークモニタリングおよびトラフィック管理アプリケーション）、クリックストリーム分析ツール、自動車交通量モニタリング等を含み得る。

通信サブシステム２３２４はまた、構造化されたおよび／または構造化されていないデータフィード２３２６、イベントストリーム２３２８、イベントアップデート２３３０等を、コンピュータシステム２３００に連結されている１つ以上のストリーミングデータソースコンピュータと通信し得る１つ以上のデータベースに出力するように構成されてもよい。

コンピュータシステム２３００は、ハンドヘルドポータブルデバイス（たとえばiPhone（登録商標）携帯電話、iPad（登録商標）計算タブレット、ＰＤＡ）、ウェアラブルデバイス（たとえばGoogle Glass（登録商標）ヘッドマウントディスプレイ）、パーソナルコンピュータ、ワークステーション、メインフレーム、キオスク、サーバラック、またはその他のデータ処理システムを含む、さまざまな種類のうちの１つであればよい。

コンピュータおよびネットワークは常に変化しているという性質のものであるので、図２３に示されるコンピュータシステム２３００の説明は、専ら特定の例を意図している。図２３に示されるシステムよりもコンポーネントが多いまたは少ないその他多数の構成が可能である。本明細書が提供する開示と教示に基づいて、当業者はさまざまな実施形態を実現するためのその他のやり方および／または方法を理解するであろう。

本開示の特定の実施形態について説明してきたが、さまざまな変形例、変更例、代替的な構成および等価物も本開示の範囲内に包含される。本開示の実施形態は、特定の具体的なデータ処理環境内での動作に限定されるものではなく、複数のデータ処理環境内で自由に動作できる。さらに、特定の一連のトランザクションおよびステップを使用して本開示の実施形態について説明してきたが、本開示の範囲が、記載されている一連のトランザクションおよびステップに限定されるものではないということが当業者に明らかであるべきである。

さらに、ハードウェアおよびソフトウェアの特定の組合わせを使用して本開示の実施形態について説明してきたが、ハードウェアおよびソフトウェアの他の組合わせも本開示の範囲内であることが認識されるべきである。本開示の実施形態は、ハードウェアのみで実現されてもよく、またはソフトウェアのみで実現されてもよく、またはそれらの組合わせを使用して実現されてもよい。この明細書中に記載されるさまざまなプロセスは、同じプロセッサ上で、または任意に組合わされたさまざまなプロセッサ上で実現することができる。したがって、コンポーネントまたはモジュールがいくつかのオペレーションを実行するように構成されるものと記載されているが、このような構成は、たとえば、オペレーションを実行するように電子回路を設計することによって、オペレーションを実行するようにプログラム可能な電子回路（マイクロプロセッサなど）をプログラミングすることによって、またはこれらを組合わせることによって、達成することができる。プロセス同士は、プロセス間通信のための従来の技術を含むがこれらに限定されないさまざまな技術を用いて通信することができ、異なる対のプロセスは異なる技術を用いてもよく、または、同じ対のプロセスは異なる時間に異なる技術を用いてもよい。

したがって、明細書および図面は、限定的な意味ではなく例示的な意味で考えられるべきである。しかし、特許請求の範囲に記載されているより広範な精神および範囲から逸脱することなく、追加、削減、削除ならびに他の変形および変更がそれに対してなされてもよいということは明白であろう。このように、特定の実施形態を記載してきたが、これらは制限するようには意図されるものではない。さまざまな変更例および同等例は添付の特許請求の範囲内にある。

Claims (12)

1. 方法であって、
   アクセス管理システムのコンピュータシステムが、第１のデバイスから、リソースへのアクセスを求めるユーザの要求を受信するステップを含み、前記要求は前記第１のデバイスを特定する情報を含み、
   前記コンピュータシステムが、前記ユーザに関して信頼できるデバイスを登録したリストと、前記第１のデバイスを特定する情報とに基づいて、前記第１のデバイスが前記信頼できるデバイスとして前記アクセス管理システムに登録されていると判断するステップと、
   前記コンピュータシステムが、前記第１のデバイスを用いて前記リソースにアクセスする前記ユーザの認証を判断するためのセキュリティデータを生成するステップとを含み、前記セキュリティデータは、前記ユーザに関する情報に基づく第１のデータを含み、前記第１のデータは暗号鍵に基づいて暗号化され、
   前記コンピュータシステムが、前記ユーザが前記アクセス管理システムに登録した第２のデバイスに、前記暗号鍵を送信するステップを含み、前記第２のデバイスは前記第１のデバイスとは異なり、
   前記コンピュータシステムが、前記セキュリティデータを前記第１のデバイスに送信するステップを含み、前記第１のデバイスは前記セキュリティデータを前記第１のデバイスのインターフェイスに提示し、
   前記コンピュータシステムが、前記セキュリティデータに含まれる前記第１のデータの解読に基づいて第２のデバイスが生成した第２のデータを、前記第２のデバイスから受信するステップを含み、前記第１のデータの解読は、前記第２のデバイスにより、前記第２のデバイスに送信された前記暗号鍵を用いて実行され、前記セキュリティデータは、前記第２のデバイスにより、前記第１のデバイスにおける前記セキュリティデータの提示から取得され、
   前記第２のデータが前記第１のデータに含まれる前記情報を含むか否かを判断するステップと、
   前記第２のデータが前記情報を含むという判断に基づいて、前記第１のデバイスが前記リソースにアクセスすることを可能にするステップとを含む、方法。
2. 前記セキュリティデータを前記第１のデバイスにおいて提示することは、前記セキュリティデータを前記第１のデバイスにおいて表示することである、請求項１に記載の方法。
3. 前記セキュリティデータは、前記セキュリティデータを提示するために前記第１のデバイスにおいて表示されるクイックレスポンス（ＱＲ）コードを含む、請求項１または２に記載の方法。
4. 前記セキュリティデータに含まれる前記第１のデータは前記ＱＲコードに埋め込まれている、請求項３に記載の方法。
5. 前記第２のデバイスは、前記第２のデバイスにおけるアクセスのための前記ユーザの認証に基づいて、前記ユーザが、前記第２のデバイスを操作して、前記第１のデバイスにおける前記セキュリティデータの提示から、前記セキュリティデータを取得できるようにする、請求項１〜４のいずれか１項に記載の方法。
6. 前記第２のデバイスにおけるアクセスのための前記ユーザの認証は、前記ユーザの登録のために提供された過去のバイオメトリクス入力に基づいて前記ユーザの生体認証を実行することを含む、請求項５に記載の方法。
7. 前記リソースにアクセスする前記ユーザの認証は、第１の認証プロセスと第２の認証プロセスとを含む１つ以上の認証プロセスに基づいて判断され、前記第２の認証プロセスは前記第１の認証プロセスと異なり、前記方法はさらに、
   前記要求に先立って、
   前記第１の認証プロセスを実行するステップを含み、前記第１の認証プロセスは、前記第１のデバイスから受信した前記ユーザの資格証明情報を検証することを含み、
   一時アクセス情報を前記第２のデバイスに送信するステップと、
   前記一時アクセス情報を前記第１のデバイスから受信するステップと、
   第２の認証プロセスを実行するステップとを含み、前記第２の認証プロセスは、前記受信した一時アクセス情報が、前記第２のデバイスに送信された前記一時アクセス情報に一致すると判断することを含む、請求項１〜６のいずれか１項に記載の方法。
8. 前記一時アクセス情報は、前記第２の認証プロセスにおいて前記一時アクセス情報が有効な期間に対応付けられた個人識別番号である、請求項７に記載の方法。
9. 前記リソースにアクセスすることが可能にされたことを示すメッセージを前記第１のデバイスに送信するステップをさらに含み、前記第１のデバイスは、前記第１のデバイスにおいてグラフィカルインターフェイスを生成することにより前記リソースへのアクセスを可能にする、請求項１〜８のいずれか１項に記載の方法。
10. 前記第２のデバイスはモバイルデバイスであり、前記第１のデバイスはコンピュータシステムである、請求項１〜９のいずれか１項に記載の方法。
11. システムであって、
    １つ以上のプロセッサと、
    前記１つ以上のプロセッサがアクセス可能なメモリとを備え、前記メモリは、前記１つ以上のプロセッサによって実行されると前記１つ以上のプロセッサに以下の動作を実行させる１つ以上の命令を格納しており、前記動作は、
    アクセス管理システムが、第１のデバイスから、リソースへのアクセスを求めるユーザの要求を受信することを含み、前記要求は前記第１のデバイスを特定する情報を含み、
    前記ユーザに関して信頼できるデバイスを登録したリストと、前記第１のデバイスを特定する情報とに基づいて、前記第１のデバイスが前記信頼できるデバイスとして前記アクセス管理システムに登録されていると判断することと、
    前記第１のデバイスを用いて前記リソースにアクセスする前記ユーザの認証を判断するためのセキュリティデータを生成することとを含み、前記セキュリティデータは、前記ユーザに関する情報に基づく第１のデータを含み、前記第１のデータは暗号鍵に基づいて暗号化され、
    前記ユーザが前記アクセス管理システムに登録した第２のデバイスに、前記暗号鍵を送信することを含み、前記第２のデバイスは前記第１のデバイスとは異なり、
    前記セキュリティデータを前記第１のデバイスに送信することを含み、前記第１のデバイスは前記セキュリティデータを前記第１のデバイスのインターフェイスに提示し、
    前記セキュリティデータに含まれる前記第１のデータの解読に基づいて第２のデバイスが生成した第２のデータを、前記第２のデバイスから受信することを含み、前記第１のデータの解読は、前記第２のデバイスにより、前記第２のデバイスに送信された前記暗号鍵を用いて実行され、前記セキュリティデータは、前記第２のデバイスにより、前記第１のデバイスにおける前記セキュリティデータの提示から取得され、
    前記第２のデータが前記第１のデータに含まれる前記情報を含むか否かを判断することと、
    前記第２のデータが前記情報を含むという判断に基づいて、前記第１のデバイスが前記リソースにアクセスすることを可能にすることとを含む、システム。
12. 請求項１〜１０のいずれか１項に記載の方法を１つ以上のプロセッサに実行させるためのコンピュータ読取可能プログラム。

Images