JP7382753B2 - セキュリティーアサーションマークアップランゲージ（ｓａｍｌ）サービスプロバイダー起点のシングルサインオンのための方法及びプログラム - Google Patents

セキュリティーアサーションマークアップランゲージ（ｓａｍｌ）サービスプロバイダー起点のシングルサインオンのための方法及びプログラム Download PDF

Info

Publication number
JP7382753B2
JP7382753B2 JP2019136341A JP2019136341A JP7382753B2 JP 7382753 B2 JP7382753 B2 JP 7382753B2 JP 2019136341 A JP2019136341 A JP 2019136341A JP 2019136341 A JP2019136341 A JP 2019136341A JP 7382753 B2 JP7382753 B2 JP 7382753B2
Authority
JP
Japan
Prior art keywords
saml
server
request
authentication server
access
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
JP2019136341A
Other languages
English (en)
Other versions
JP2020057363A (ja
Inventor
ラウル スラパラジュ，
ダニエル バーバー，
Original Assignee
コニカ ミノルタ ラボラトリー ユー．エス．エー．，インコーポレイテッド
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by コニカ ミノルタ ラボラトリー ユー．エス．エー．，インコーポレイテッド filed Critical コニカ ミノルタ ラボラトリー ユー．エス．エー．，インコーポレイテッド
Publication of JP2020057363A publication Critical patent/JP2020057363A/ja
Application granted granted Critical
Publication of JP7382753B2 publication Critical patent/JP7382753B2/ja
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/321—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving a third party or a trusted authority
    • H04L9/3213—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving a third party or a trusted authority using tickets or tokens, e.g. Kerberos
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0815—Network architectures or network communication protocols for network security for authentication of entities providing single-sign-on or federations
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0807—Network architectures or network communication protocols for network security for authentication of entities using tickets, e.g. Kerberos
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0861—Network architectures or network communication protocols for network security for authentication of entities using biometrical features, e.g. fingerprint, retina-scan
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H04L63/104—Grouping of entities
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/01—Protocols
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/50—Network services
    • H04L67/56—Provisioning of proxy services
    • H04L67/563—Data redirection of data network streams
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3226—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using a predetermined code, e.g. password, passphrase or PIN
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/01—Protocols
    • H04L67/02—Protocols based on web technology, e.g. hypertext transfer protocol [HTTP]

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Health & Medical Sciences (AREA)
  • Biomedical Technology (AREA)
  • General Health & Medical Sciences (AREA)
  • Information Transfer Between Computers (AREA)

Description

本開示は、概して、ユーザーの挿入された暗黙的なセキュア認証による真のシームレスなＳＡＭＬ（セキュリティーアサーションマークアップランゲージ）ＳＰ起点の（サービスプロバイダー起点の）ＳＳＯ（シングルサインオン）フローのためのコンピューターネットワーキングシステム及び方法に関し、特に、認証されたユーザーがＳＰ起点のＳＡＭＬフローを開始する際に引き起こされるＨＴＴＰ（ハイパーテキストトランスファープロトコル）リダイレクションを導入する、修正されたＳＡＭＬ ＳＰ起点のＳＳＯフローに関する。
セキュリティーアサーションマークアップランゲージ（ＳＡＭＬ）は、ユーザーアイデンティティーをアサートするＳＡＭＬ連携アイデンティティープロバイダー（ＳＡＭＬ－ＩｄＰ）と、ユーザーアイデンティティー情報を使用するＳＡＭＬ連携サービスプロバイダー（ＳＡＭＬ－ＳＰ）との間でシングルサインオン（ＳＳＯ）情報をやり取りするためのＸＭＬ規格である。シングルサインオンは、ユーザーが一組のログインクレデンシャルで複数のアプリケーションにアクセスすることを可能にする認証プロセスである。シングルサインオンは、例えば、ローカルエリアネットワーク（ＬＡＮ）に接続された複数のリソースにクライアントがアクセスする、企業における共通の手続きである。
ＳＡＭＬｖ２．０（セキュリティーアサーションマークアップランゲージ・バージョン２）は、ＩｄＰ起点及びＳＰ起点のフローをサポートする。ＩｄＰ起点のＳＡＭＬ ＳＳＯフローでは、ＳＡＭＬ－ＩｄＰがユーザーアイデンティティーについてのＳＡＭＬシングルサインオンアサーションを作成し、当該ＳＡＭＬシングルサインオンアサーションをＳＰ（サービスプロバイダー）に未承諾の形式で送信する。ＳＰ起点のＳＡＭＬ ＳＳＯフローでは、ＳＰが連携プロセスの第１のステップとしてＳＡＭＬ－ＩｄＰに送信されるＳＡＭＬ２．０ＡｕｔｈｎＲｅｑｕｅｓｔ（すなわち認証リクエスト）を生成し、次いでＳＡＭＬ－ＩｄＰがＳＡＭＬレスポンスに応答する。これらのインタラクションは両方とも互いに非同期である。
ＩｄＰ起点のＳＡＭＬ ＳＳＯは、ユーザーが既に認証されており、ＳＡＭＬ－ＩｄＰのポータルページを訪れる場合に、ユーザーフローにこのような簡略化をもたらし、ＳＡＭＬ－ＩｄＰは、ユーザーを認証するＳＡＭＬ２．０アサーションを構築することができ（すなわち、ユーザーは認証されており）、ユーザーは、ＳＡＭＬ－ＳＰにおいて他の場合には保護されているリソースにアクセスすることができ、ＳＡＭＬ－ＩｄＰは、ＳＡＭＬｖ２．０アサーションをＳＡＭＬ－ＳＰに未承諾の形式で送信する。
現在のＳＡＭＬ２．０連携ＳＰ起点のインプリメンテーションは、フローセマンティクスの相違の結果としてＩｄＰ起点のＳＳＯフローによるこのような有用性を欠いている。
ＳＰ起点よりもＩｄＰ起点を選択することは、ＳＡＭＬｖ２．０の下では現在は選択対象ではない。ＳＰ起点のＳＡＭＬ ＳＳＯフローは、ＩｄＰ起点のフローに対して著しい有利性をもたらすことができ、例えば、ディープリンクのサポート及びＣＳＲＦ（クロスサイトリクエストフォージェリ）攻撃に対する保護を挙げることができる。ディープリンクは、ウェブサイトのホームページ（例えば「ｈｔｔｐ：／／ｅｘａｍｐｌｅ．ｃｏｍ」）ではなく、ウェブサイト上の、ある特定の、一般に検索可能な又はインデックス付きのウェブコンテンツ（例えば「ｈｔｔｐ：／／ｅｘａｍｐｌｅ．ｃｏｍ／ｐａｔｈ／ｐａｇｅ」）にリンクするハイパーリンクの使用である。また、サービスプロバイダー（ＳＰ）の一部は、ＩｄＰ起点のＳＡＭＬフローを許可していない。
ＳＡＭＬ２．０のＳＰ起点のＳＳＯフロー中に、ユーザーは、ＳＡＭＬ－ＩｄＰがそのような試みに気付いていない状態で、ＳＰ側の保護されたリソースに直接アクセスすることを試みる。ユーザーがモバイル／デスクトップアプリ上で（ＩｄＰを含むＳＡＭＬ任意の認証サービスで）既に認証されている多くの典型的な場合において、起こり得る問題は、モバイル装置（つまりユーザーによって操作されている）のモバイル／デスクトップクライアント及び（ＳＡＭＬ－ＩｄＰをホスティングしている）認証サービスがユーザーに再認証するよう強制し得ることを含む。したがって、ユーザーに再認証することを求めることにより、ＩｄＰ起点のＳＡＭＬ ＳＳＯフローによって別の方法でもたらされるＳＳＯプロセスのシームレス性が失われ得る。また、連携アイデンティティーの認証が必要であれば、サービスプロバイダー（ＳＰ）は、対応するＳＡＭＬ－ＩｄＰサーバーを識別する必要がある。ＳＰ起点のログインでは、ＳＰはユーザーのアイデンティティーについて当初は何も知らず、ユーザーの干渉が求められるため、ＳＰは、ＩｄＰ起点のＳＡＭＬ ＳＳＯフローと比較して、使用性及びパフォーマンス／レイテンシ問題を抱える可能性がある。
上記の問題を考慮して、認証されたユーザーがＳＰ起点のＳＡＭＬフローを開始する際に開始され得る（引き起こされ得る）ＨＴＴＰリダイレクションを導入することにより、修正されたＳＡＭＬ ＳＰ起点のＳＳＯフローのための方法及びプログラムを有することが望ましく、このような修正されたＳＡＭＬ２．０ ＳＰ起点のフローは、ＳＡＭＬ２．０仕様に十分に適合することになる。
セキュリティーアサーションマークアップランゲージ（ＳＡＭＬ）サービスプロバイダー起点の（ＳＰ起点の）シングルサインオン（ＳＳＯ）フローのための方法が開示される。前記方法は、シングルサインオン（ＳＳＯ）法により認証サーバー上でクライアントを認証するステップと、前記認証サーバー上で前記クライアントに一組のアクセストークンを発行するステップであって、前記一組のアクセストークンは、認証されたユーザーを記述するクレームのリストを含むステップと、前記クライアントがＳＡＭＬ－ＳＰサーバー上でホスティングされているリソースへのリクエストを前記認証サーバーに送信するステップであって、前記リクエストは、前記認証サーバーのドメイン及び統一資源位置指定子と前記一組のアクセストークンとを含むステップと、前記認証サーバー上で前記リクエストを受信し、前記リクエストから前記一組のアクセストークンを解析し、前記認証されたユーザーを有効にするステップと、前記認証サーバー上でページをレンダリングし、前記認証サーバーの前記ドメインに関連付けられたログインクッキーとともに前記ページを前記クライアントに渡すステップであって、前記ページは、前記リクエストを前記クライアントから前記ＳＡＭＬ－ＳＰサーバーにリダイレクトするＪａｖａＳｃｒｉｐｔコードを含むステップと、前記ＳＡＭＬ－ＳＰサーバー上で前記リソースにアクセスするためのリソースリクエストを受信するステップと、前記ＳＡＭＬ－ＳＰサーバーが、認証リクエストプロトコルメッセージを使用して前記ユーザーの認証を得るために、前記リソースリクエストを前記ＳＡＭＬ－ＳＰサーバーから前記認証サーバーにリダイレクトするステップと、前記認証サーバー上で前記ＳＡＭＬ－ＳＰサーバーからＳＡＭＬ ＳＳＯリクエストを受信するステップと、前記認証サーバー上で前記認証されたユーザーについてのアサーションとともに前記ＳＡＭＬ－ＳＰサーバーにＳＡＭＬ ＳＳＯレスポンスを発行するステップと、前記ＳＡＭＬ－ＳＰサーバーが前記ＳＡＭＬ－ＳＰサーバー上でホスティングされている前記リソースへのアクセスを前記認証されたユーザーに許諾するステップと、を含む。
セキュリティーアサーションマークアップランゲージ（ＳＡＭＬ）サービスプロバイダー起点の（ＳＰ起点の）シングルサインオン（ＳＳＯ）フローのためにプロセッサーによって実行されるコンピューター読取可能なプログラムが開示される。前記プログラムは、前記プロセッサーに、シングルサインオン（ＳＳＯ）法により認証サーバー上でクライアントを認証するステップと、前記認証サーバー上で前記クライアントに一組のアクセストークンを発行するステップであって、前記一組のアクセストークンは、認証されたユーザーを記述するクレームのリストを含むステップと、前記クライアントがＳＡＭＬ－ＳＰサーバー上でホスティングされているリソースへのリクエストを前記認証サーバーに送信するステップであって、前記リクエストは、前記認証サーバーのドメイン及び統一資源位置指定子と前記一組のアクセストークンとを含むステップと、前記認証サーバー上で前記リクエストを受信し、前記リクエストから前記一組のアクセストークンを解析し、前記認証されたユーザーを有効にするステップと、前記認証サーバー上でページをレンダリングし、前記認証サーバーの前記ドメインに関連付けられたログインクッキーとともに前記ページを前記クライアントに渡すステップであって、前記ページは、前記リクエストを前記クライアントから前記ＳＡＭＬ－ＳＰサーバーにリダイレクトするＪａｖａＳｃｒｉｐｔコードを含むステップと、前記ＳＡＭＬ－ＳＰサーバー上で前記リソースにアクセスするためのリソースリクエストを受信するステップと、前記ＳＡＭＬ－ＳＰサーバーが、認証リクエストプロトコルメッセージを使用して前記ユーザーの認証を得るために、前記リソースリクエストを前記ＳＡＭＬ－ＳＰサーバーから前記認証サーバーにリダイレクトするステップと、前記認証サーバー上で前記ＳＡＭＬ－ＳＰサーバーからＳＡＭＬ ＳＳＯリクエストを受信するステップと、前記認証サーバー上で前記認証されたユーザーについてのアサーションとともに前記ＳＡＭＬ－ＳＰサーバーにＳＡＭＬ ＳＳＯレスポンスを発行するステップと、前記ＳＡＭＬ－ＳＰサーバーが前記ＳＡＭＬ－ＳＰサーバー上でホスティングされている前記リソースへのアクセスを前記認証されたユーザーに許諾するステップと、を実行させる。
上述の総括的な記載及び以下の詳細な記載は、両方とも例示及び説明のためのものであり、請求される発明のさらなる説明を提供することが意図されていると解釈されるべきである。
添付の図面は、発明のさらなる理解をもたらすために含まれ、本明細書に組み込まれるか、又は本明細書の一部を構成する。図面は発明の実施形態を例示し、明細書とともに発明の原理を説明する役割を有する。
例示的な実施形態に係る、ユーザーの挿入された暗黙的なセキュア認証によるＳＡＭＬ ＳＰ起点のＳＳＯフローを有するシステムの例示である。 例示的な実施形態に係るコンピューター又はサーバーである。 ＳＡＭＬ２仕様に係るＳＡＭＬ ＳＰ起点のＳＳＯフローの一例である。 例示的な実施形態に係るＳＡＭＬ ＳＰ起点のＳＳＯフローの一例である。
本発明の好ましい実施形態に詳細に言及し、その例が添付の図面に例示される。可能な限り、同じか又は同様の部分に言及するために同じ参照符号が図面及び説明において使用される。
図１は、例示的な実施形態に係る、ユーザーの挿入された暗黙的なセキュア認証による真のシームレスなＳＡＭＬ ＳＰ起点のＳＳＯフローが可能なシステム１００の例示である。図１に示すように、システム１００は、コンピューター又はクライアント装置１１０と、少なくとも一つのモバイルコンピューター１１２と、複数のＳＡＭＬ－ＳＰサーバー１２０と、認証サーバー１３０とを含むことができる。例示的な実施形態によれば、コンピューター又はクライアント装置１１０、少なくとも一つのモバイルコンピューター１１２、複数のＳＡＭＬ－ＳＰサーバー１２０、及び認証サーバー１３０は、通信ネットワーク１５０を介して接続されることができる。また、例えば、アクセスポイント１４０は、通信ネットワーク１５０と通信して、モバイルコンピューター（例えばスマートフォン）１１２と通信ネットワーク１５０との間に無線又はセルラーデータ通信を提供することができる。例示的な実施形態によれば、アクセスポイント１４０は、Ｗｉ－Ｆｉ装置が有線ネットワークに接続することを可能にする任意のネットワーキングハードウェア装置、又は、例えばスマートフォン等のセルラー装置が有線ネットワーク１５０に接続することを可能にするハードウェア装置とすることができる。
図２は、コンピューティング装置２００の例示であり、コンピューター１１０、モバイルコンピューター１１２、ＳＡＭＬ－ＳＰサーバー１２０、又は認証サーバー１３０とすることができる。図２に示すように、例示的なコンピューティング装置２００は、プロセッサー又は中央処理装置（ＣＰＵ）２０２と、ソフトウェアプログラム及び（プリントされるファイル等の）データを保存するための一つ以上のメモリー２０４とを含むことができる。プロセッサー又はＣＰＵ２０２は、コンピューティング装置２００の機能の少なくとも一部分を動作させ、かつ／又は制御するコンピュータープログラムの指示を実行する。コンピューティング装置２００は、入力部２０６と、表示部又はグラフィカルユーザーインタフェース（ＧＵＩ）２０８と、通信ネットワーク（又はネットワーク）１５０に接続されるネットワークインタフェース（Ｉ／Ｆ）２１０とを含むこともできる。バス２１２は、コンピューティング装置２００内の様々な部材２０２，２０４，２０６，２０８，２１０を接続することができる。
例示的な実施形態によれば、一つ以上のコンピューティング装置２００の各々は、例えば、コンピューティング装置２００のメモリー２０４内のウェブブラウザー（図示せず）にアクセスすることができる表示部又はグラフィカルユーザーインタフェース（ＧＵＩ）２０８を含むことができる。コンピューティング装置２００は、コンピューターハードウェアを管理し、様々なソフトウェアプログラムの効率的な実行のための共通のサービスを提供するオペレーティングシステム（ＯＳ）を含むこともできる。例示的な実施形態によれば、ＣＰＵ２０２のＯＳは、Ｌｉｎｕｘ又はＷｉｎｄｏｗｓ（登録商標）ベースのオペレーティングシステムである。ソフトウェアプログラムは、例えば、アプリケーションソフトウェア及びプリンタードライバーソフトウェアを含むことができる。例えば、プリンタードライバーソフトウェアは、例えばコンピューティング装置２００と接続されたマルチファンクションプリンター又はプリンター（図示せず）を制御し、プリンタードライバーソフトウェアは、通信ネットワーク１５０を介してインストールされる。ある実施形態では、プリンタードライバーソフトウェアは、画像及び／又はドキュメントデータに基づくプリントジョブ及び／又はドキュメントを生成することができる。
例示的な実施形態によれば、複数のＳＡＭＬ－ＳＰサーバー１２０は、セキュリティーアサーションマークアップランゲージのシングルサインオン（ＳＳＯ）プロファイルとともに認証アサーションを受信し受け付けるように構成される。ＳＡＭＬドメインモデルにおいて、ＳＡＭＬリライングパーティーは、他のシステムエンティティーから情報を受信し受け付ける任意のシステムエンティティーである。特に興味深いのは、ＳＡＭＬオーソリティーによって発行されるＳＡＭＬアサーションを受信し受け付けるＳＡＭＬリライングパーティーである。重要な種類のＳＡＭＬオーソリティーは、ＳＡＭＬアイデンティティープロバイダー、ＳＡＭＬのＳＳＯプロファイルとともに認証アサーションを発行するシステムエンティティーである。そのようなアサーションを使用するリライングパーティーは、ＳＡＭＬサービスプロバイダー（又は、ドメインが分かれば単にサービスプロバイダー）と呼ばれる。したがって、ＳＡＭＬサービスプロバイダー（ＳＡＭＬ－ＳＰ）は、ＳＡＭＬアイデンティティープロバイダー（ＳＡＭＬ－ＩｄＰ）によって発行される認証アサーションを受信し受け付けるシステムエンティティーである。
例示的な実施形態によれば、ＳＡＭＬ ＳＰは、企業サーバー、例えばコンサルティング、法律、不動産、通信、ストレージ、処理を組織に提供する任意のエンティティーとすることができる。例えば、ＳＡＭＬ ＳＰは、サードパーティー又はアウトソーシングサプライヤー、例えば、電気通信サービスプロバイダー（ＴＳＰ）、アプリケーションサービスプロバイダー（ＡＳＰ）、ストレージサービスプロバイダー（ＳＳＰ）、及びインターネットサービスプロバイダー（ＩＳＰ）とすることができる。
例えば、ＴＳＰは、従来から電話及び同様のサービスを提供してきた通信サービスプロバイダーの一種であり、既存の地域通信事業者、競合する地域通信事業者、及びモバイル無線通信会社を含むことができる。ＡＳＰは、コンピューターベースのサービスをネットワーク上で顧客に提供する事業である。例えば、ＡＳＰは、例えばＨＴＴＰ等の標準プロトコルを用いて（顧客関係管理等の）特定のソフトウェアアプリケーションへのアクセスを提供することができる。ＳＳＰは、コンピューターストレージスペース及び関連するマネジメントサービス、定期的なバックアップ、及びアーカイブを提供する任意の企業である。
例示的な実施形態によれば、ＳＡＭＬ－ＩｄＰは、セキュリティーアサーションマークアップランゲージ（ＳＡＭＬ）のシングルサインオン（ＳＳＯ）プロファイルとともに認証アサーションを発行するシステムエンティティーである。ＳＡＭＬドメインモデルにおいて、ＳＡＭＬオーソリティーは、ＳＡＭＬアサーションを発行する任意のシステムエンティティーである。ＳＡＭＬオーソリティーの二つの重要な例は、認証オーソリティー及び属性オーソリティーである。
例示的な実施形態によれば、コンピューター（又はクライアント装置）１１０及びモバイル装置１１２は、好ましくは、例えば指紋認識若しくは認証、又はモバイル装置上で現在実施されているか若しくは実施予定の他の認証プロトコルによってユーザーを認証する認証モジュールを含むこともできる。例えば、ユーザー名及びパスワード等のクレデンシャルを使用するパスワード認証プロトコルを使用することができる。
例示的な実施形態によれば、通信ネットワーク又はネットワーク１５０は、公衆電気通信回線及び／又はネットワーク（例えば、ＬＡＮ又はＷＡＮ）とすることができる。通信ネットワーク１５０の例として、開示の実施形態と一致する任意の電気通信回線及び／又はネットワークを挙げることができる。開示の実施形態は、電気通信若しくは電話回線、インターネット、イントラネット、図示のローカルエリアネットワーク（ＬＡＮ）、ワイドエリアネットワーク（ＷＡＮ）及び／又は無線周波数（ＲＦ）及び／又は赤外線（ＩＲ）通信を使用した無線接続を含むが、これらに限定されない。
図３は、ＳＡＭＬｖ２仕様に係るＳＡＭＬ ＳＰ起点のＳＳＯフロー３００の一例である。図３に示すように、ステップ１において、モバイル装置（例えばスマートフォン）１１２を有するユーザーが、ＳＡＭＬ－ＳＰサーバー１２０によってホスティングされているリソース、サービス、又はアプリケーションをリクエストする。当該リクエスト（すなわちアクセスリソース）は、モバイル装置１１２から通信ネットワーク１５０を介してＳＡＭＬ－ＳＰサーバー１２０に送信される。ステップ２において、ＳＡＭＬ－ＳＰサーバー１２０は、リクエストを認証サーバー１３０にリダイレクトし、認証サーバー１３０は、受信し次第、「クレデンシャルの要求」、すなわちユーザー名及びパスワードについて、モバイル装置１１２にリクエストを送信する。ステップ４において、モバイル装置１１２のユーザーがユーザー名及びパスワードを入力し、認証サーバー１３０に送信される。検証後のユーザー名及びパスワードの受信に応じて、ステップ５において、認証サーバー（すなわちＳＡＭＬ－ＩｄＰ）１３０は、署名付き「レスポンス」をＨＴＭＬ形式でモバイル装置１１２に送信する。ステップ６において、モバイル装置１１２は、ＰＯＳＴ署名付き「レスポンス」をＳＡＭＬ－ＳＰサーバー１２０に転送する。ＰＯＳＴは、ワールドワイドウェブによって使用されるＨＴＴＰによって使用されるＨＴＴＰによってサポートされるリクエスト法である。意図的に、ＰＯＳＴリクエスト法は、ウェブサーバーがリクエストメッセージの本文に含まれているデータを受け付けることをリクエストする。ステップ７において、ＳＡＭＬ－ＳＰサーバーは、リクエストされたリソース１２２をモバイル装置１１２に提供又は供給する。
図４は、例示的な実施形態に係るＳＡＭＬ ＳＰ起点のＳＳＯフロー４００の一例である。図４に示すように、例示的な実施形態によれば、モバイル装置１１２のユーザーは、有効な認証シングルサインオン（ＳＳＯ）法、例えば、指紋、ユーザー名及びパスワード、又はピンを使用して、認証サーバー１３０上でホスティングされているシングルサインオン（ＳＳＯ）サービス１３２にログインする。例えば、シングルサインオン（ＳＳＯ）法は、バイオメトリック、例えば、指紋、手のひら静脈、顔認識、ＤＮＡ、掌紋、掌形認証、虹彩認識、及び／又は網膜とすることができる。例示的な実施形態によれば、認証サーバー１３０は、図４に示すように認証サーバー１３０上でホスティングされているシングルサインオン（ＳＳＯ）サービス１３２を含むことができる。
例えばシングルサインオン（ＳＳＯ）サービスにより認証サーバー１３０にログインすると、クライアント（すなわちモバイル装置１１２）に一組のトークンが発行される。例えば、例示的な実施形態によれば、一組のトークンは、認証サーバー１３０によるジェイソンウェブトークン（ＪＷＴ）及び認証サーバー１３０の対応するシングルサインオン（ＳＳＯ）サービス１３２に基づく。例えば、例示的な実施形態によれば、一組のトークンは、符号化されたＨＭＡＣ（鍵付きハッシュメッセージ認証コード又はハッシュベースのメッセージ認証コード）ＳＨＡ２５６（セキュアハッシュアルゴリズム）とすることができる。また、一組のトークン中のキーはクレームのリストを含み、当該クレームのリストは、ログインしているユーザーを表す。当該クレームのリストは、例えば、ユーザー名、アクセス権限（パーミッション）等を含むことができる。また、ＪＷＴトークンは、期限が切れるように設定することができ、リフレッシュすることができる。
例示的な実施形態によれば、図４に示すように、モバイル装置１１２は、好ましくはクライアントアプリケーション１１４を有し、クライアントアプリケーション１１４は、例えばクライアント又はモバイルアプリケーション１１４（すなわちシンククライアント／モバイルアプリケーション）によって管理される外部のウェブブラウザー１１６等のサービスプロバイダー（ＳＰ）上でホスティングされているリソース又はサービスへのアクセスをモバイル装置１１２のユーザーに提供するように設定される。例示的な実施形態によれば、モバイル装置１１２のユーザーは、ＳＡＭＬ－ＳＰ１２０を選択することができる。（例えば、大部分のＳＰはウェブベースであることから）モバイル装置１１２上のクライアントアプリケーションは、好ましくはウェブブラウザーを起動する。ウェブブラウザー１１６は、ワールドワイドウェブ上の情報にアクセスするためのソフトウェアアプリケーションである。
例示的な実施形態によれば、ウェブブラウザーアドレスは、認証サーバー１３０のドメイン名／統一資源位置指定子（ドメイン／ｕｒｌ）へのものであり、ＪＷＴトークンがアドレスの一部である。ステップ１において、認証サーバー１３０がリクエストを受信して、サービスプロバイダー（ＳＡＭＬ－ＳＰ１２０）のウェブページをレンダリングする。認証サーバー１３０はＪＷＴトークンを解析し、ＪＷＴトークンの署名、満了等のうち一つ以上を（データベースにヒットすることなく）有効にする。ステップ２において、認証サーバー１３０は次いで、ＪＷＴトークンが有効であれば、ＪＷＴトークンからクレームを抽出する。例示的な実施形態によれば、認証サーバー１３０は、クレームを使用してクレームプリンシパルを構築することができ、クレームプリンシパルは、ＳＡＭＬ－ＳＰサーバー１２０のドメインに関連付けられたログインクッキーに挿入される。ログインクッキーは、例えば、ユーザー名、アクセス権限等を含むユーザーについての情報を含む、認証サーバー１３０から送信される小さなデータである。
認証サーバー１３０は、ページをレンダリングし、モバイル装置１１２のウェブブラウザーにログインクッキーを渡す。例示的な実施形態によれば、ステップ３において、認証サーバー１３０から受信されたページ（すなわちリクエスト）は、ブラウザーをＳＡＭＬ－ＳＰ１２０に（例えば、ｇｍａｉｌ．ｃｏｍに）リダイレクトするＪａｖａＳｃｒｉｐｔコードを含む。ＳＡＭＬ－ＳＰ１２０はリクエストを受信し、ウェブページをレンダリングする。例示的な実施形態によれば、ＳＡＭＬ－ＳＰ１２０がモバイル装置１１２のウェブブラウザーからリクエストを受信した後でユーザーがユーザー名及び／又はパスワードを入力する必要があってもよいし、なくてもよい。
ステップ４において、ＳＡＭＬ－ＳＰサーバー１２０は、次いで認証サーバー１３０（すなわちセキュリティーアサーションマークアップランゲージアイデンティティープロバイダー（ＳＡＭＬ－ＩｄＰ）１３４（例えば、ｉｄｐ．ｅｎｔｅｒｐｒｉｓｅ１．ｃｏｍ））にリダイレクトされ、シングルサインオンセキュリティーアサーションマークアップランゲージ（ＳＳＯ／ＳＡＭＬ）を使用してユーザーのアイデンティティーを取得する。認証サーバー１３０（すなわちＳＡＭＬ－ＩｄＰ１３４）は、ＳＡＭＬ－ＳＰサーバー１２０からＳＳＯ／ＳＡＭＬリクエストを受信する。認証サーバー１３０（すなわちＳＡＭＬ－ＩｄＰ１３４）は、認証サーバー１３０からのクッキーも有する（例えば、ドメインが同じ際にはクッキーを自動的に使用することができる）。利用可能なクッキーに加え、クレームをクッキーに含ませることもできる。
例示的な実施形態によれば、ＳＡＭＬ－ＩｄＰ１３４は、クッキーが有効であることを確認し、クレームを使用して（データベース、すなわちシングルサインオンサーバー１３２にヒットすることなく）ユーザーの認可を判定する。ステップ５において、認証サーバー１３０（すなわちＳＡＭＬ－ＩｄＰ１３４）は、ＳＳＯ／ＳＡＭＬレスポンスをＳＡＭＬ－ＳＰ１２０に発行し、ユーザーをＳＡＭＬ－ＳＰアドレスにリダイレクトする。
ステップ６において、ＳＡＭＬ－ＳＰ１２０は、ユーザーについてのアサーション（クレーム）を含むＳＳＯ／ＳＡＭＬレスポンスを受信する。ステップ７において、ＳＡＭＬ－ＳＰ１２０は、リソースへのアクセスを許諾し（例えば、リソース１２２を認証ユーザー及びモバイル装置／クライアント１１２に供給し）、ユーザーは、ＳＡＭＬ－ＳＰサーバー１２０及び／又は認証サーバー１３０のいずれにもログインする必要なしに通常通り進むことができる。
例示的な実施形態によれば、サービスプロバイダーは、例えば、ｍｉｃｒｏｓｏｆｔｏｎｌｉｎｅ．ｃｏｍとすることができる。対応するユーザーＩＤ、ＳＡＭＬサブジェクト名、及び属性は以下の通りであり得る。
Figure 0007382753000001
例示的な実施形態によれば、ＳＡＭＬ－ＩｄＰ１３４は、追加のリダイレクションに対処しつつ、認証されたユーザーのための所要の情報、例えばドメイン名及び／又はｅメールアドレスを抽出して、例えばＳＡＭＬ－ＳＰ１２０におけるリソースへのアクセスを自動化するためのＵＲＬを生成する。したがって、開示されているシステム及び方法は、ユーザーの発明によって別の方法で利用可能なレイテンシがあるにもかかわらず、当該方法及びシステムに高速の真のシームレスな効果をもたらす比較的シームレスなシングルサインオン（ＳＳＯ）を提供することができる。
例示的な実施形態によれば、開示されている方法及びプロセスは、非一時的なコンピューター読取可能な媒体上で実施されることができる。非一時的なコンピューター読取可能な媒体は、磁気記録媒体、光磁気記録媒体、又は将来開発されることになる任意の他の記録媒体であってもよく、全て同じやり方で本発明に適用可能であると考えることができる。主要な複製製品及び二次的な複製製品等を含むそのような媒体の複製は、もちろん上記の媒体と同等であると考えられる。さらに、本発明の実施形態がソフトウェア及びハードウェアの組合せであっても、発明の概念からは全く逸脱しない。本発明は、そのソフトウェア部分が予め記録媒体に書き込まれており、動作において必要に応じて読み込まれることになるように実施されてもよい。
ここで使用される限りにおいて、単数で記載され「ａ」又は「ａｎ」という語が前に付けられた要素又はステップは、明示的に記載されない限り、複数の要素又はステップを除外していないと理解されるべきである。さらに、本開示の「例示的な実施形態」又は「一実施形態」という言及は、記載されている特徴を同じく組み込んだ追加的な例の存在を除外すると解釈されることを意図していない。
本書類の末尾にある特許請求項は、従来のミーンズプラスファンクション文言が明確に記載されていない限り、例えば「ための手段」又は「ためのステップ」という文言が請求項に明確に記載されていない限り、米国特許法第１１２条（ｆ）に基づいて解釈されることを意図していない。
発明の範囲又は精神から逸脱することなく本発明の構造に様々な修正及び変更を行うことができることは、当業者にとっては明らかであろう。以上に鑑み、本発明は、下記の請求項及びそれらの等価物の範囲に入るならばこの発明の修正及び変更を対象とすることが意図される。

Claims (20)

  1. セキュリティーアサーションマークアップランゲージ（ＳＡＭＬ）サービスプロバイダー起点の（ＳＰ起点の）シングルサインオン（ＳＳＯ）フローのための方法であって、前記方法は、
    シングルサインオン（ＳＳＯ）法により認証サーバー上でクライアントを認証するステップと、
    前記認証サーバー上で前記クライアントに一組のアクセストークンを発行するステップであって、前記一組のアクセストークンは、認証されたユーザーを記述するクレームのリストを含むステップと、
    前記クライアントがＳＡＭＬ－ＳＰサーバー上でホスティングされているリソースへのリクエストを前記認証サーバーに送信するステップであって、前記リクエストは、前記認証サーバーのドメイン及び統一資源位置指定子と前記一組のアクセストークンとを含むステップと、
    前記認証サーバー上で前記リクエストを受信し、前記リクエストから前記一組のアクセストークンを解析し、前記認証されたユーザーを有効にするステップと、
    前記認証サーバー上でページをレンダリングし、前記認証サーバーの前記ドメインに関連付けられたログインクッキーとともに前記ページを前記クライアントに渡すステップであって、前記ページは、前記リクエストを前記クライアントから前記ＳＡＭＬ－ＳＰサーバーにリダイレクトするＪａｖａＳｃｒｉｐｔコードを含むステップと、
    前記ＳＡＭＬ－ＳＰサーバー上で前記リソースにアクセスするためのリソースリクエストを受信するステップと、
    前記ＳＡＭＬ－ＳＰサーバーが、認証リクエストプロトコルメッセージを使用して前記ユーザーの認証を得るために、前記リソースリクエストを前記ＳＡＭＬ－ＳＰサーバーから前記認証サーバーにリダイレクトするステップと、
    前記認証サーバー上で前記ＳＡＭＬ－ＳＰサーバーからＳＡＭＬ ＳＳＯリクエストを受信するステップと、
    前記認証サーバー上で前記認証されたユーザーについてのアサーションとともに前記ＳＡＭＬ－ＳＰサーバーにＳＡＭＬ ＳＳＯレスポンスを発行するステップと、
    前記ＳＡＭＬ－ＳＰサーバーが前記ＳＡＭＬ－ＳＰサーバー上でホスティングされている前記リソースへのアクセスを前記認証されたユーザーに許諾するステップと、
    を含む方法。
  2. 前記ＳＡＭＬ－ＳＰサーバー上でホスティングされている前記リソースへの前記リクエストを送信するためにクライアント装置上のウェブブラウザーを起動するステップをさらに含み、前記ＳＡＭＬ－ＳＰサーバー上でホスティングされている前記リソースへの前記リクエストは、前記クライアント装置上のアプリケーションによって生成され、前記リクエストはウェブブラウザーアドレスを有し、前記ウェブブラウザーアドレスは、前記認証サーバーの前記ドメイン及び前記統一資源位置指定子と前記一組のアクセストークンとを有する、
    請求項１に記載の方法。
  3. 前記認証サーバー上で前記一組のアクセストークンを解析し、前記一組のアクセストークンを有効にするステップをさらに含む、
    請求項１又は２に記載の方法。
  4. 前記ＳＡＭＬ－ＳＰサーバーが前記クライアントからリダイレクトされた前記リクエストを受信すると、前記認証されたユーザーにユーザー名を入力するよう要求するステップをさらに含む、
    請求項１から３のいずれか一項に記載の方法。
  5. 前記ＳＡＭＬ ＳＳＯリクエストから前記認証サーバー上で受信されたクッキーが有効であることを確認し、前記クッキー中のクレームを使用して前記認証されたユーザーの認可を判定するステップをさらに含む、
    請求項１から４のいずれか一項に記載の方法。
  6. 前記シングルサインオン（ＳＳＯ）法はバイオメトリックであり、前記バイオメトリックは、指紋、手のひら静脈、顔認識、ＤＮＡ、掌紋、掌形認証、虹彩認識、及び／又は網膜である、
    請求項１から５のいずれか一項に記載の方法。
  7. 前記一組のアクセストークンはジェイソンウェブトークン（ＪＷＴ）である、
    請求項１から６のいずれか一項に記載の方法。
  8. 前記ジェイソンウェブトークンは、ＨＭＡＣ ＳＨＡ２５６で符号化されている、
    請求項７に記載の方法。
  9. 前記ＳＡＭＬ－ＳＰサーバーに係るサービスプロバイダーは、電気通信サービスプロバイダー（ＴＳＰ）、アプリケーションサービスプロバイダー（ＡＳＰ）、ストレージサービスプロバイダー（ＳＳＰ）、及び／又はインターネットサービスプロバイダー（ＩＳＰ）である、
    請求項１から８のいずれか一項に記載の方法。
  10. 前記認証されたユーザーについてのクレームのリストを記述するステップをさらに含み、前記クレームのリストは、ユーザー名と、前記ＳＡＭＬ－ＳＰサーバー上のコンテンツにアクセスするための一つ以上のアクセス権限とを含む、
    請求項１から９のいずれか一項に記載の方法。
  11. 前記認証サーバーが、前記一組のアクセストークンが有効である場合に、前記一組のアクセストークンから前記クレームのリストを抽出するステップをさらに含む、
    請求項１から１０のいずれか一項に記載の方法。
  12. 前記認証サーバーは、ＳＡＭＬ ＩｄＰ（セキュリティーアサーションマークアップランゲージアイデンティティープロバイダー）である、
    請求項１から１１のいずれか一項に記載の方法。
  13. 前記ＳＡＭＬ－ＳＰサーバーが前記ＳＡＭＬ－ＳＰサーバー上でホスティングされている前記リソースへのアクセスを前記認証されたユーザーに許諾するステップが一旦行われた後は、前記ＳＡＭＬ－ＳＰサーバー又は前記認証サーバーのいずれにおいても、さらなるログインは必要とされない、
    請求項１から１２のいずれか一項に記載の方法。
  14. セキュリティーアサーションマークアップランゲージ（ＳＡＭＬ）サービスプロバイダー起点の（ＳＰ起点の）シングルサインオン（ＳＳＯ）フローのためにプロセッサーによって実行されるコンピューター読取可能なプログラムであって、前記プロセッサーに、
    シングルサインオン（ＳＳＯ）法により認証サーバー上でクライアントを認証するステップと、
    前記認証サーバー上で前記クライアントに一組のアクセストークンを発行するステップであって、前記一組のアクセストークンは、認証されたユーザーを記述するクレームのリストを含むステップと、
    前記クライアントがＳＡＭＬ－ＳＰサーバー上でホスティングされているリソースへのリクエストを前記認証サーバーに送信するステップであって、前記リクエストは、前記認証サーバーのドメイン及び統一資源位置指定子と前記一組のアクセストークンとを含むステップと、
    前記認証サーバー上で前記リクエストを受信し、前記リクエストから前記一組のアクセストークンを解析し、前記認証されたユーザーを有効にするステップと、
    前記認証サーバー上でページをレンダリングし、前記認証サーバーの前記ドメインに関連付けられたログインクッキーとともに前記ページを前記クライアントに渡すステップであって、前記ページは、前記リクエストを前記クライアントから前記ＳＡＭＬ－ＳＰサーバーにリダイレクトするＪａｖａＳｃｒｉｐｔコードを含むステップと、
    前記ＳＡＭＬ－ＳＰサーバー上で前記リソースにアクセスするためのリソースリクエストを受信するステップと、
    前記ＳＡＭＬ－ＳＰサーバーが、認証リクエストプロトコルメッセージを使用して前記ユーザーの認証を得るために、前記リソースリクエストを前記ＳＡＭＬ－ＳＰサーバーから前記認証サーバーにリダイレクトするステップと、
    前記認証サーバー上で前記ＳＡＭＬ－ＳＰサーバーからＳＡＭＬ ＳＳＯリクエストを受信するステップと、
    前記認証サーバー上で前記認証されたユーザーについてのアサーションとともに前記ＳＡＭＬ－ＳＰサーバーにＳＡＭＬ ＳＳＯレスポンスを発行するステップと、
    前記ＳＡＭＬ－ＳＰサーバーが前記ＳＡＭＬ－ＳＰサーバー上でホスティングされている前記リソースへのアクセスを前記認証されたユーザーに許諾するステップと、
    を実行させるためのプログラム。
  15. 前記プロセッサーに、前記ＳＡＭＬ－ＳＰサーバー上でホスティングされている前記リソースへの前記リクエストを送信するためにクライアント装置上のウェブブラウザーを起動するステップをさらに実行させ、前記ＳＡＭＬ－ＳＰサーバー上でホスティングされている前記リソースへの前記リクエストは、前記クライアント装置上のアプリケーションによって生成され、前記リクエストはウェブブラウザーアドレスを有し、前記ウェブブラウザーアドレスは、前記認証サーバーの前記ドメイン及び前記統一資源位置指定子と前記一組のアクセストークンとを有する、
    請求項１４に記載のプログラム。
  16. 前記プロセッサーに、前記認証サーバー上で前記一組のアクセストークンを解析し、前記一組のアクセストークンを有効にするステップをさらに実行させる、
    請求項１４又は１５に記載のプログラム。
  17. 前記プロセッサーに、前記ＳＡＭＬ－ＳＰサーバーが前記クライアントからリダイレクトされた前記リクエストを受信すると、前記認証されたユーザーにユーザー名を入力するよう要求するステップをさらに実行させる、
    請求項１４から１６のいずれか一項に記載のプログラム。
  18. 前記プロセッサーに、前記認証されたユーザーについてのクレームのリストを記述するステップをさらに実行させ、前記クレームのリストは、ユーザー名と、前記ＳＡＭＬ－ＳＰサーバー上のコンテンツにアクセスするための一つ以上のアクセス権限とを含む、
    請求項１４から１７のいずれか一項に記載のプログラム。
  19. 前記プロセッサーに、前記一組のアクセストークンが有効である場合に、前記一組のアクセストークンから前記クレームのリストを抽出するステップをさらに実行させる、
    請求項１４から１８のいずれか一項に記載のプログラム。
  20. 前記認証サーバーは、ＳＡＭＬ ＩｄＰ（セキュリティーアサーションマークアップランゲージアイデンティティープロバイダー）であり、
    前記プロセッサーに、前記ＳＡＭＬ－ＳＰサーバーが前記ＳＡＭＬ－ＳＰサーバー上でホスティングされている前記リソースへのアクセスを前記認証されたユーザーに許諾するステップを一旦実行させた後は、前記ＳＡＭＬ－ＳＰサーバー又は前記認証サーバーのいずれにおいても、さらなるログインは必要とされない、
    請求項１４から１９のいずれか一項に記載のプログラム。
JP2019136341A 2018-09-28 2019-07-24 セキュリティーアサーションマークアップランゲージ（ｓａｍｌ）サービスプロバイダー起点のシングルサインオンのための方法及びプログラム Active JP7382753B2 (ja)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
US16/146,658 2018-09-28
US16/146,658 US20200106766A1 (en) 2018-09-28 2018-09-28 Method and system for security assertion markup language (saml) service provider-initiated single sign-on

Publications (2)

Publication Number Publication Date
JP2020057363A JP2020057363A (ja) 2020-04-09
JP7382753B2 true JP7382753B2 (ja) 2023-11-17

Family

ID=69946243

Family Applications (1)

Application Number Title Priority Date Filing Date
JP2019136341A Active JP7382753B2 (ja) 2018-09-28 2019-07-24 セキュリティーアサーションマークアップランゲージ（ｓａｍｌ）サービスプロバイダー起点のシングルサインオンのための方法及びプログラム

Country Status (3)

Country Link
US (1) US20200106766A1 (ja)
JP (1) JP7382753B2 (ja)
CN (1) CN110971585A (ja)

Families Citing this family (12)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US11070540B1 (en) 2018-12-28 2021-07-20 Juniper Networks, Inc. Dynamic provisioning of user groups within computer networks based on user attributes
US11516220B1 (en) 2018-12-28 2022-11-29 Juniper Networks, Inc. Creating roles and controlling access within a computer network
US11516202B2 (en) * 2019-12-26 2022-11-29 Vmware, Inc. Single sign on (SSO) capability for services accessed through messages
US11240225B1 (en) * 2020-03-03 2022-02-01 Amazon Technologies, Inc. Single sign-on techniques
US11595375B2 (en) * 2020-04-14 2023-02-28 Saudi Arabian Oil Company Single sign-on for token-based and web-based applications
CN112039873A (zh) * 2020-08-28 2020-12-04 浪潮云信息技术股份公司 一种单点登录访问业务系统的方法
US20220337590A1 (en) * 2021-04-16 2022-10-20 Palo Alto Networks, Inc. Mitigating multiple authentications for a geo-distributed security service using an authentication cache
CN113472735B (zh) * 2021-05-13 2023-06-13 新华三大数据技术有限公司 一种大数据服务单点登录方法、装置及存储介质
CN114095263A (zh) * 2021-11-24 2022-02-25 上海派拉软件股份有限公司 一种通信方法、装置及系统
US20230185893A1 (en) * 2021-12-10 2023-06-15 Konica Minolta Business Solutions U.S.A., Inc. Method and system for secure cloud access via password-less single sign-on (sso) for native marketplace applications on multifunction printers
CN114500074B (zh) * 2022-02-11 2024-04-12 京东科技信息技术有限公司 单点系统安全访问方法、装置及相关设备
CN117411729B (zh) * 2023-12-14 2024-05-10 深圳竹云科技股份有限公司 oracle数据库登录方法、装置、计算机设备、介质

Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2018018143A (ja) 2016-07-25 2018-02-01 三井情報株式会社 情報処理システム、情報処理方法、情報処理装置及びプログラム
JP2018092446A (ja) 2016-12-05 2018-06-14 キヤノン株式会社 認証認可システム及び情報処理装置と認証認可方法とプログラム

Family Cites Families (14)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR100644616B1 (ko) * 2004-06-10 2006-11-10 세종대학교산학협력단 마크업 랭귀지 기반의 단일인증 방법 및 이를 위한 시스템
US8418238B2 (en) * 2008-03-30 2013-04-09 Symplified, Inc. System, method, and apparatus for managing access to resources across a network
CN101656609A (zh) * 2008-08-22 2010-02-24 华为技术有限公司 一种单点登录方法、系统及装置
CN102025495A (zh) * 2009-09-17 2011-04-20 成都康赛电子科大信息技术有限责任公司 基于saml2.0的身份认证和管理
GB2481426A (en) * 2010-06-23 2011-12-28 Thales Holdings Uk Plc Use of a resource access proxy for efficient access to sensor resources
US9560036B2 (en) * 2010-07-08 2017-01-31 International Business Machines Corporation Cross-protocol federated single sign-on (F-SSO) for cloud enablement
US9166966B2 (en) * 2011-08-15 2015-10-20 Bank Of America Corporation Apparatus and method for handling transaction tokens
CN102377788B (zh) * 2011-12-13 2014-06-25 方正国际软件有限公司 单点登录系统及其单点登录方法
CN102638454B (zh) * 2012-03-14 2014-05-21 武汉理工大学 一种面向http身份鉴别协议的插件式单点登录集成方法
IN2013MU03727A (ja) * 2013-11-27 2015-07-31 Tata Consultancy Services Ltd
US9729539B1 (en) * 2014-03-28 2017-08-08 Pulse Secure, Llc Network access session detection to provide single-sign on (SSO) functionality for a network access control device
US9467457B2 (en) * 2015-01-13 2016-10-11 Oracle International Corporation Identity management and authentication system for resource access
US10445395B2 (en) * 2016-09-16 2019-10-15 Oracle International Corporation Cookie based state propagation for a multi-tenant identity cloud service
US10938801B2 (en) * 2018-09-21 2021-03-02 Microsoft Technology Licensing, Llc Nonce handler for single sign on authentication in reverse proxy solutions

Patent Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2018018143A (ja) 2016-07-25 2018-02-01 三井情報株式会社 情報処理システム、情報処理方法、情報処理装置及びプログラム
JP2018092446A (ja) 2016-12-05 2018-06-14 キヤノン株式会社 認証認可システム及び情報処理装置と認証認可方法とプログラム

Also Published As

Publication number Publication date
JP2020057363A (ja) 2020-04-09
US20200106766A1 (en) 2020-04-02
CN110971585A (zh) 2020-04-07

Similar Documents

Publication Publication Date Title
JP7382753B2 (ja) セキュリティーアサーションマークアップランゲージ（ｓａｍｌ）サービスプロバイダー起点のシングルサインオンのための方法及びプログラム
EP3675451B1 (en) Method, computer readable storage medium and apparatus for seamless single sign-on (sso) for native mobile-application initiated open-id connect (oidc) and security assertion markup language (saml) flows
US10581827B2 (en) Using application level authentication for network login
US10116644B1 (en) Network access session detection to provide single-sign on (SSO) functionality for a network access control device
US9894055B2 (en) Redirect to inspection proxy using single-sign-on bootstrapping
US8418234B2 (en) Authentication of a principal in a federation
JP6170158B2 (ja) モバイルマルチシングルサインオン認証
US11190501B2 (en) Hybrid single sign-on for software applications and services using classic and modern identity providers
US7240362B2 (en) Providing identity-related information and preventing man-in-the-middle attacks
US20180060559A1 (en) Disposition engine for single sign on (sso) requests
EP3455762B1 (en) Unified vpn and identity based authentication to cloud-based services
CN115021991A (zh) 未经管理的移动设备的单点登录
JP2015535984A5 (ja)
US11063930B1 (en) Resource access provisioning for on-premises network client devices
US9590972B2 (en) Application authentication using network authentication information
US11503012B1 (en) Client authentication using a client certificate-based identity provider
Baker OAuth2
Schwartz et al. OAuth

Legal Events

Date Code Title Description
A521 Request for written amendment filed

Free format text: JAPANESE INTERMEDIATE CODE: A523

Effective date: 20191206

A621 Written request for application examination

Free format text: JAPANESE INTERMEDIATE CODE: A621

Effective date: 20220620

A977 Report on retrieval

Free format text: JAPANESE INTERMEDIATE CODE: A971007

Effective date: 20230615

A131 Notification of reasons for refusal

Free format text: JAPANESE INTERMEDIATE CODE: A131

Effective date: 20230620

A521 Request for written amendment filed

Free format text: JAPANESE INTERMEDIATE CODE: A523

Effective date: 20230911

TRDD Decision of grant or rejection written
A01 Written decision to grant a patent or to grant a registration (utility model)

Free format text: JAPANESE INTERMEDIATE CODE: A01

Effective date: 20231017

A61 First payment of annual fees (during grant procedure)

Free format text: JAPANESE INTERMEDIATE CODE: A61

Effective date: 20231107

R150 Certificate of patent or registration of utility model

Ref document number: 7382753

Country of ref document: JP

Free format text: JAPANESE INTERMEDIATE CODE: R150