JP7403010B2

JP7403010B2 - 共有化されたリソース識別

Info

Publication number: JP7403010B2
Application number: JP2022578738A
Authority: JP
Inventors: トゥルシバグウェール、アトゥル; パースワール、サチン; サッパ、キラン; バンガ、シプラ; シングラ、アミット
Original assignee: Google LLC
Current assignee: Google LLC
Priority date: 2020-06-24
Filing date: 2021-01-21
Publication date: 2023-12-21
Anticipated expiration: 2041-01-21
Also published as: US20210409402A1; WO2021262251A1; US11425125B2; US20220360582A1; US11848932B2; CN115769200A; KR20230027241A; EP4172818B1; EP4172818A1; JP2023524173A

Description

本開示は、２つ以上のデバイス間でリソース識別を共有することに関する。

リプレゼンテーショナルステイトトランスファ（ＲＥＳＴ：ＲｅｐｒｅｓｅｎｔａｔｉｏｎａｌＳｔａｔｅＴｒａｎｓｆｅｒ）アプリケーションプログラミングインタフェース（ＡＰＩ）は、独立したシステムが共通の関心のあるリソースについて通信することを可能にするために頻繁に使用されるコンピューティングインタフェースである。例えば、２つの独立したシステムは、ユーザセッションまたはユーザによって使用されているデバイス（例えば、モバイルユーザデバイス）について通信することが多い。これらのリソースは、通常、そのリソース内のアプリケーションの存在を呼び出すＡＰＩによって識別される。ＡＰＩ呼び出し元が、そのような存在なしに共有リソースをアドレス指定したい場合、ＡＰＩ呼び出し元は、ＡＰＩサーバに格納され、かつユーザに関連付けられたユーザアカウントを識別するなどの、代替手段を使用する必要がある。

本開示の一態様は、リソース識別を共有するための方法を提供する。本方法は、データ処理ハードウェア上で動作するルックアップサービスにおいて、ユーザに関連付けられた特定のデバイス上で動作する第１のアプリケーションから、特定のデバイスを識別するリソース識別子（ＩＤ）へのアクセスを第１のアプリケーションに提供するようにルックアップサービスに要求するリソースＩＤ要求を受信することを含む。本方法は、ルックアップサービスが、特定のデバイス上で動作する第１のアプリケーションがリソースＩＤにアクセスすることを承認されているかどうかを判定することも含む。本方法は、第１のアプリケーションがリソースＩＤにアクセスすることを承認されている場合、ルックアップサービスが、リソースＩＤを取得することと、ルックアップサービスが、特定のデバイス上で動作する第１のアプリケーションにリソースＩＤを送信することとを含む。

本開示の実施形態は、以下の任意の特徴のうちの１つまたは複数を含み得る。いくつかの実施形態では、リソースＩＤ要求は、ユーザを認証する認証資格情報（ａｕｔｈｅｎｔｉｃａｔｉｏｎｃｒｅｄｅｎｔｉａｌｓ）と、第１のアプリケーションがルックアップサービスからのリソースＩＤにアクセスするためにユーザによって付与された許可とを含むリソースＩＤスコープを含む。第１のアプリケーションがリソースＩＤに対して承認されているかどうかを判定することは、ユーザを認証する認証資格情報と、第１のアプリケーションがルックアップサービスからのリソースＩＤにアクセスするためにユーザによって付与された許可とに基づいて、第１のアプリケーションがリソースＩＤにアクセスすることを承認されていると判定することを含み得る。

いくつかの実施形態では、本方法は、データ処理ハードウェア上で動作する認証／承認サービスにおいて、特定のデバイスから、ユーザを認証する認証資格情報と、第１のアプリケーションがルックアップサービスからリソースＩＤにアクセスするためにユーザによって付与された許可とを含むリソースＩＤスコープを受信することを含む。本方法は、認証／承認サービスが、特定のデバイス上で動作する第１のアプリケーションに、リソースＩＤスコープを含むアクセストークンを送信することも含む。リソースＩＤ要求は、アクセストークンを含み得る。

いくつかの例では、特定のデバイス上で動作する第１のアプリケーションは、特定のデバイス上の認証／承認ユーザインタフェースを呼び出すように構成される。認証／承認ユーザインタフェースは、リソースＩＤスコープを認証／承認サービスに提供し、かつ第１のアプリケーションによるリソースＩＤの使用を承認するようにユーザに促す。いくつかの例では、ユーザに関連付けられた特定のデバイスは、物理デバイスを含む。他の例では、ユーザに関連付けられた特定のデバイスは、仮想デバイスを含む。

いくつかの実施形態では、リソースＩＤは、ルックアップサービスのエンティティによって割り当てられ、かつ特定のデバイスを識別するためにルックアップサービスの１つまたは複数のコンピューティングインタフェースによって共有される。ルックアップサービスがリソースＩＤを第１のアプリケーションに送信した後、第１のアプリケーションは、第１のアプリケーションに関連付けられた第１のリモートサービスにリソースＩＤを送信するように構成され、第１のリモートサービスは、リソースＩＤを使用して、第２のリモートサービスから特定のデバイスに関する情報を取り出すように構成されている。第１のリモートサービスは、第２のリモートサービスとは異なるエンティティに関連付けられ得る。任意選択的に、第２のリモートサービスは、特定のデバイス上で動作可能な第２のアプリケーションに関連付けられる。

第１のリモートサービスが第２のリモートサービスから特定のデバイスに関する情報を取り出す前に、第２のリモートサービスは、特定のデバイス上で動作可能な第２のアプリケーションからリソースＩＤを受信し得る。いくつかの実施形態では、第１のアプリケーションは第１の動作環境で動作し、第２のアプリケーションは第２の動作環境で動作する。第１の動作環境は、第２の動作環境から分離されている。

本開示の別の態様は、リソース識別を共有するためのシステムを提供する。システムは、ルックアップサービスを実行するデータ処理ハードウェアと、データ処理ハードウェアと通信するメモリハードウェアとを含む。メモリハードウェアは、データ処理ハードウェアによる実行時に、データ処理ハードウェアに動作を実行させる命令を格納する。動作は、ユーザに関連付けられた特定のデバイス上で動作する第１のアプリケーションから、特定のデバイスを識別するリソース識別子（ＩＤ）へのアクセスを第１のアプリケーションに提供するようにルックアップサービスに要求するリソースＩＤ要求を受信することを含む。動作は、ルックアップサービスが、特定のデバイス上で動作する第１のアプリケーションがリソースＩＤにアクセスすることを承認されているかどうかを判定することも含む。動作は、第１のアプリケーションがリソースＩＤにアクセスすることを承認されている場合、ルックアップサービスが、リソースＩＤを取得することと、ルックアップサービスが、特定のデバイス上で動作する第１のアプリケーションにリソースＩＤを送信することとをも含む。

この態様は、以下の任意の特徴のうちの１つまたは複数を含み得る。本開示の実施形態は、以下の任意の特徴のうちの１つまたは複数を含み得る。いくつかの実施形態では、リソースＩＤ要求は、ユーザを認証する認証資格情報と、第１のアプリケーションがルックアップサービスからのリソースＩＤにアクセスするためにユーザによって付与された許可とを含むリソースＩＤスコープを含む。いくつかの実施形態では、リソースＩＤ要求は、リソースＩＤルックアップスコープを使用することが承認されているアクセストークンを含む。アクセストークンは、ユーザの認証資格情報を検証してユーザを認証すること、および第１のアプリケーションが、リソースＩＤルックアップスコープであるルックアップサービスからリソースＩＤにアクセスすることへのユーザによる同意に基づく。第１のアプリケーションがリソースＩＤに対して承認されているかどうかを判定することは、ユーザを認証する認証資格情報と、第１のアプリケーションがルックアップサービスからのリソースＩＤにアクセスするためにユーザによって付与された許可とに基づいて、第１のアプリケーションがリソースＩＤにアクセスすることを承認されていると判定することを含み得る。

いくつかの実施形態では、データ処理ハードウェアは、認証／承認サービスをさらに実行する。動作は、リソースＩＤ要求を受信する前に、特定のデバイスから、ユーザを認証する認証資格情報と、第１のアプリケーションがルックアップサービスからリソースＩＤにアクセスするためにユーザによって付与された許可とを含むリソースＩＤスコープを受信することをさらに含む。動作は、認証／承認サービスが、特定のデバイス上で動作する第１のアプリケーションに、リソースＩＤスコープを含むアクセストークンを送信することも含む。リソースＩＤ要求は、アクセストークンを含み得る。

本開示の１つまたは複数の実施形態の詳細は、添付の図面および以下の詳細な説明に記載されている。他の態様、特徴、および利点は、詳細な説明および図面、ならびに特許請求の範囲から明らかになる。

リソース識別を共有するための例示的なシステムの概略図である。リソース識別を共有するための例示的なシステムの概略図である。ユーザデバイスのユーザから認証資格情報および許可を取得するための認証サービスの概略図である。リソース識別を共有するための動作のシーケンス図の概略図である。リソース識別を共有する方法のための動作の例示的な構成のフローチャートである。本明細書で説明されるシステムおよび方法を実施するために使用され得る例示的なコンピューティングデバイスの概略図である。

様々な図面の同様の参照記号は、同様の構成要素を示す。
リプレゼンテーショナルステイトトランスファ（ＲＥＳＴ）アプリケーションプログラミングインタフェース（ＡＰＩ）は、独立したシステムが共通の関心のあるリソースについて通信することを可能にするために使用されるコンピューティングインタフェースである。一例として、２つの独立したシステムが、ユーザセッションまたはユーザによって使用されているデバイス（例えば、携帯電話または他のユーザデバイス）について通信することが多い。これらのリソースは、通常、そのリソース内のアプリケーションの存在を呼び出すＡＰＩによって識別される。ＡＰＩ呼び出し元が、そのような存在なしに共有リソースをアドレス指定したい場合、ＡＰＩ呼び出し元は、ＡＰＩサーバに格納され、ユーザに関連付けられたユーザアカウントを識別するなど、代替手段を使用する必要がある。しかしながら、プライバシーの問題から、ＡＰＩ呼び出し元がそのような情報を発見することができない場合がある。

いくつかの状況では、同じ動作環境（例えば、携帯電話などのユーザデバイス上）で動作する２つのアプリケーションが、互いに通信することを求める。例えば、第１のアプリケーションは、ユーザのためのサービスを実行する前に、ユーザデバイス上で同様に動作する第２のアプリケーションからユーザデバイスのセキュリティリスク体制（ｐｏｓｔｕｒｅ）を取得することを求める場合がある。しかしながら、いくつかのユーザデバイス上に存在する複数のアプリケーションは、プライバシーまたはセキュリティの問題のために、ユーザデバイスに対する固有のデバイス識別子を取得することができない。従って、２つの独立したアプリケーションが、各々が同じ動作環境において（即ち、同じユーザデバイス上で）動作していることを判定することは困難であり得る。

本明細書の実施形態は、アプリケーションおよび／またはサービスがそれらの動作環境を相互に関連付けるために不透明な共有リソース識別子（ＩＤ）を取得することを可能にする、共有リソース識別のためのシステムに関する。特定のデバイス上で動作するアプリケーションは、ルックアップサービスからリソースＩＤへのアクセスを要求する。ルックアップサービスは、アプリケーションがリソースＩＤにアクセスすることを承認されているかどうかを判定し、アプリケーションがリソースＩＤにアクセスすることを承認されている場合、ルックアップサービスは、リソースＩＤを取得し、特定のデバイス上で動作するアプリケーションにリソースＩＤを送信する。他の利点の中でも、本システムは、個人識別可能な情報を共有する必要がなく、発生する任意の共有がユーザの同意によって認可されるため、信頼されないアプリケーションに関するプライバシー問題（即ち、信頼されないデバイスとデバイス識別を共有すること）を軽減するのに役立つ。

ここで図１Ａを参照すると、いくつかの実施形態では、例示的なシステム１００、１００ａは、ネットワーク１１２、１１２ａを介してリモートシステム１４０と通信する、個々のユーザ１２に関連付けられたユーザデバイス１０、１０ａを含む。ユーザデバイス１０は、デスクトップワークステーション、ラップトップワークステーション、またはモバイルデバイス（即ち、スマートフォン）等の任意のコンピューティングデバイスに相当し得る。ユーザデバイス１０は、コンピューティングリソース１８（例えば、データ処理ハードウェア）および／またはストレージリソース１６（例えば、メモリハードウェア）を含む。

リモートシステム１４０は、コンピューティングリソース１４４（例えば、データ処理ハードウェア）および／またはストレージリソース１４６（例えば、メモリハードウェア）を含むスケーラブル／エラスティックコンピューティングリソース１４２を有する単一のコンピュータ、複数のコンピュータ、または分散システム（例えば、クラウド環境）であり得る。リモートシステム１４０は、ルックアップサービス１２０を実行する。

ルックアップサービス１２０は、ユーザデバイス１０上で動作する第１のアプリケーション１３０、１３０ａからリソースＩＤ要求１３２を受信する。第１のアプリケーション１３０ａは、ユーザデバイス１０上で同様に動作する任意の他のアプリケーションから独立および／または分離された動作環境１３１、１３１ａ内で動作することができる。第１のアプリケーション１３０ａ（即ち、ソフトウェアリソース）は、コンピューティングデバイスにタスクを実行させるコンピュータソフトウェアを指すことができる。いくつかの例では、ソフトウェアアプリケーションは、「アプリケーション」、「アプリ」、または「プログラム」と呼ばれ得る。アプリケーションの例には、これらに限定されないが、システム診断アプリケーション、システム管理アプリケーション、システムメンテナンスアプリケーション、ワードプロセッシングアプリケーション、スプレッドシートアプリケーション、メッセージングアプリケーション、メディアストリーミングアプリケーション、ソーシャルネットワーキングアプリケーション、およびゲームアプリケーションが含まれる。

リソースＩＤ要求１３２は、特定のデバイス１０を識別するリソースＩＤ１２２へのアクセスを第１のアプリケーション１３０に提供するように、ルックアップサービス１２０に要求する。リソースＩＤ１２２は、いくつかの実施形態では、ユーザデバイス１０に関する情報を直接提供しない不透明な（ｏｐａｑｕｅ）識別子である。即ち、リソースＩＤ１２２は、ユーザデバイス１０に関するいかなる識別情報も含まないが、その代わりに、リモートシステム１４０のエンティティが特定のユーザデバイス１０を識別するための識別子として機能する。例えば、リソースＩＤ１２２は、リモートシステム１４０のエンティティに関連付けられたコンピューティングインタフェース、例えば、アプリケーションプログラミングインタフェース（ＡＰＩ）が特定のユーザデバイス１０を識別するために使用する、数字および／または文字のランダムストリングを含み得る。

ルックアップサービス１２０は、第１のアプリケーション１３０ａがリソースＩＤ１２２にアクセスすることを承認されているかどうかを判定する。いくつかの実施形態では、リソースＩＤ要求１３２は、ユーザ１２を認証する認証資格情報２１０（図２）と、第１のアプリケーション１３０ａがルックアップサービス１２０からリソースＩＤ１２２にアクセスするためにユーザ１２によって付与された許可２２０（図２）とを含むリソースＩＤスコープ２０２を含む。以下でより詳細に説明するように、ルックアップサービス１２０は、ユーザ１２を認証する認証資格情報２１０と、第１のアプリケーション１３０ａがルックアップサービス１２０からリソースＩＤ１２２にアクセスするためにユーザによって付与された許可２２０とに基づいて、第１のアプリケーション１３０ａがリソースＩＤ１２２にアクセスすることを承認されているかどうかを判定し得る。

第１のアプリケーションがリソースＩＤ１２２にアクセスすることを承認されている場合、ルックアップサービス１２０はリソースＩＤ１２２を取得する。いくつかの例では、リソースＩＤ１２２は、ルックアップサービス１２０に格納されている。他の例では、ルックアップサービス１２０は、リモートシステム１４０または他の場所で動作する別のサービス（例えば、識別サービス）からリソースＩＤ１２２を取り出す。

いくつかの実施形態では、ルックアップサービス１２０またはルックアップサービス１２０と通信する別のサービスが、リソースＩＤ１２２を生成する。ルックアップサービス１２０は、リソースＩＤ要求１３２に応答して、または任意のリソースＩＤ要求１３２の前に（例えば、ユーザデバイス１０上のアプリケーション１３０のインストール中に）、リソースＩＤ１２２を生成し得る。他の例では、ルックアップサービス１２０またはルックアップサービスと同じエンティティに関連付けられた他のサービスは、ユーザデバイス１０がエンティティによって提供されるサービスに最初にアクセスするときに、ユーザデバイス１０に関するリソースＩＤ１２２を生成する。リソースＩＤ１２２を生成するために、ルックアップサービスは、ユーザデバイス１０から、１つまたは複数の共通コンポーネント１４を取得する。１つまたは複数の共通コンポーネント１４は、ユーザデバイス１０上で動作する各アプリケーション１３０に共通のユーザデバイス１０に関する情報を表す。共通コンポーネント１４は、ユーザデバイス１０にインストールされたブラウザに関する情報（例えば、バージョン情報）、ユーザデバイス１０に格納されているライブラリ、ユーザデバイス１０にインストールされている別のアプリケーションに関する情報、デバイスのオペレーティングシステム（ＯＳ）に関する情報などを含み得るが、これらに限定されない。共通コンポーネント１４は、分離された動作環境１３１内で動作する際に、各アプリケーションがアクセスする情報を含み得る。

これらの共通コンポーネント１４のうちの１つまたは複数の組み合わせは、ルックアップサービス１２０が、ユーザデバイス１０を、同じユーザ１２に属し得る他のユーザデバイス１０から区別するのに十分であり得る。ルックアップサービス１２０は、ユーザデバイス１０から受信したこれらの共通コンポーネント１４を、生成されたリソースＩＤ１２２に関連付ける。例えば、ルックアップサービスは、ランダムに生成されたリソースＩＤ１２２と共通コンポーネント１４との間の関連付けを格納する。各リソースＩＤ要求１３２は、個々のアプリケーション１３０によって収集された複数の共通コンポーネント１４を含むことができ、ルックアップサービス１２０は、どのリソースＩＤ１２２がリソースＩＤ要求１３２の複数の共通コンポーネントに対応するかを判定する。

第１のアプリケーション１３０ａがリソースＩＤ１２２にアクセスすることを承認されている場合、かつリソースＩＤ１２２を取得した後、ルックアップサービス１２０は、リソースＩＤ１２２を、ユーザデバイス１０上で動作する第１のアプリケーション１３０ａに送信する。リソースＩＤ１２２は、共有リソース（この例では、ユーザデバイス１０）の不透明な識別子（例えば、乱数）であるため、リソースＩＤ１２２は、第１のアプリケーション１３０ａに対してプライベート情報または識別情報を一切明らかにしない。さらに、リソースＩＤ要求１３２は、ユーザ１２を認証する認証資格情報２１０と、第１のアプリケーション１３０ａがルックアップサービス１２０ａからリソースＩＤ１２２にアクセスするためにユーザによって付与された許可２２０とを提供するリソースＩＤスコープ２０２を含み得る。

いくつかの例では、リソースＩＤ１２２は、ルックアップサービスおよび／またはリモートシステム１４０に関連付けられたエンティティ（図示せず）によって割り当てられる。リソースＩＤ１２２は、ユーザデバイス１０を識別するために、エンティティ／リモートシステム１４０の１つまたは複数のコンピューティングインタフェース（例えば、アプリケーションプログラミングインタフェース（ＡＰＩ））によって共有され得る。第１のアプリケーション１３０ａは、ルックアップサービス１２０のコンピューティングインタフェースのうちの１つに対して「ＡＰＩ呼び出し」を実行することによって、リソースＩＤ要求１３２をルックアップサービス１２０に送信し得る。

いくつかの実施形態では、第２のアプリケーション１３０ｂも、第１のアプリケーション１３０ａと同時にユーザデバイス１０上で動作する。第２のアプリケーション１３０ｂは、個々の分離された動作環境１３１ｂ内で動作することができる。分離された動作環境１３１ｂ内から、第２のアプリケーション１３０ｂは、ユーザデバイス上で動作する他のアプリケーション１３０（例えば、第１のアプリケーション１３０ａ）と通信しなくてもよい。即ち、第１のアプリケーション１３０ａおよび第２のアプリケーション１３０ｂの両方が同じ共有リソース内で（即ち、同じユーザデバイス１０上で）動作することを判定するための直接的な手段はない。

いくつかの例では、第２のアプリケーション１３０ｂは、第１のアプリケーション１３０ａと同様に、リソースＩＤ要求１３２をルックアップサービス１２０に送信し、同様に、ユーザデバイス１０に対応するリソースＩＤ１２２をルックアップサービス１２０から受信する。即ち、第２のアプリケーション１３０ｂは、第１のアプリケーション１３０ａと同じユーザデバイス１０上で動作するため（かつリソースＩＤ要求１３２を介して同じ共通コンポーネント１４を送信するため）、第２のアプリケーション１３０ｂは、第１のアプリケーション１３０ａと同じリソースＩＤ１２２を受信する。ユーザ１２はまた、第２のアプリケーション１３０ｂがリソースＩＤ１２２にアクセスする許可を付与することができる。

ルックアップサービス１２０がリソースＩＤ１２２を第１のアプリケーション１３０ａに送信した後、いくつかの実施形態では、第１のアプリケーション１３０ａは、リソースＩＤ１２２を第１のアプリケーション１３０ａに関連付けられた第１のリモートサービス１３４、１３４ａに送信するように構成される。第１のリモートサービス１３４ａは、リソースＩＤ１２２を使用して、第２のリモートサービス１３４ｂからユーザデバイス１０に関する情報を取り出すように構成される。第２のリモートサービス１３４ｂは、第２のアプリケーション１３０ｂに関連付けられ得る。各リモートサービス１３４ａ、１３４ｂは、エンティティ（図示せず）に関連付けられており、第１のリモートサービス１３４ａに関連付けられたエンティティは、第２のリモートサービス１３４ｂに関連付けられたエンティティと異なっていてもよい。

第１のアプリケーション１３０ａおよび第２のアプリケーション１３０ｂの両方がルックアップサービス１２０からリソースＩＤ１２２を受信した後、および各アプリケーション１３０ａ、１３０ｂが受信したリソースＩＤ１２２を個々のリモートサービス１３４ａ、１３４ｂに送信した後、リモートサービス１３４ａ、１３４ｂは、（ネットワーク１１２ａと同じであっても異なっていてもよい）別のネットワーク１１２、１１２ｂを介して通信して、ユーザデバイス１０に関する情報を共有することができる。両方のリモートサービス１３４ａ、１３４ｂが同じリソースＩＤ１２２を受信したため、各リモートサービス１３４ａ、１３４ｂは、個々のリソースＩＤ１２２を比較し、第１のアプリケーション１３０ａおよび第２のアプリケーション１３０ｂが同じユーザデバイス１０上で動作することを相互に関連付けることができる。

例えば、第１のアプリケーション１３０ａがクラウドに格納されたファイルストレージシステムへのアクセスを許可しており、第２のアプリケーション１３０ｂがユーザデバイス１０のセキュリティ体制を決定するセキュリティアプリケーションであると仮定する。第１のアプリケーション１３０ａは、ユーザ１２がユーザデバイス１０を介してファイルストレージシステムにアクセスすることを可能にする前に、第２のアプリケーション１３０ｂからユーザデバイス１０のセキュリティ体制を受信する必要がある。しかしながら、アプリケーション１３０ａ、１３０ｂの両方が個々の分離された動作環境１３１ａ、１３１ｂで動作するため、アプリケーション１３０ａ、１３０ｂのいずれも互いに直接通信することができない。しかしながら、両方のアプリケーション１３０ａ、１３０ｂは、個々のリモートサービス１３４ａ、１３４ｂと通信することができる。第１のリモートサービス１３４ａおよび第２のリモートサービス１３４ｂの両方がリソースＩＤ１２２を受信した後、それらリモートサービスは、第１のアプリケーション１３０ａおよび第２のアプリケーション１３０ｂの両方が同じユーザデバイス上で動作することを相互に関連付ける。その後、第２のアプリケーション１３０ｂ（即ち、この例では、セキュリティ体制アプリケーション）は、ユーザデバイス１０のセキュリティ体制を第２のリモートサービス１３４ｂに伝達することができ、第２のリモートサービス１３４ｂは、セキュリティ体制を第１のリモートサービス１３４ａに伝達することができる。次いで、第１のリモートサービス１３４ａは、ユーザデバイス１０のセキュリティ体制を第１のアプリケーション１３０ａに伝達することができる。このように、両方のアプリケーション１３０ａ、１３０ｂは、ユーザ１２から同意を受信した後、アプリケーション１３０ａ、１３０ｂのいずれかが情報を直接識別することを許可しない不透明リソースＩＤ１２２を使用して、共有リソースに関して伝達することができる。第１のアプリケーション１３０ａおよび第１のリモートサービス１３４ａは、（即ち、ユーザデバイス１０または他の共有リソースのコンテキスト内だけではない）任意の場所からリソースＩＤ１２２を利用することができる。

図１Ａは、物理デバイス１０ａとしてユーザデバイス１０（即ち、共有リソース）を示すが、ユーザデバイス１０は、リソースＩＤ１２２へのアクセスを求めるアプリケーション１３０の動作を可能にする任意のユーザデバイス１０に対応し得る。ユーザデバイス１０は、（例えば、コンテナ化されたシステムの）仮想デバイス１０ｂを含み得る。例えば、図２Ｂにおいて、システム１００、１００ｂは、第１のアプリケーション１３０ａを動作させる第１の仮想マシン（ＶＭ）１１ａと、第２のアプリケーション１３０ｂを動作させる第２のＶＭ１１ｂとを含むユーザデバイス１０ｂを含む。ここで、各アプリケーション１３０ａ、１３０ｂは別個のＶＭ１１ａ、１１ｂ上で動作するため、アプリケーション１３０ａ、１３０ｂは、容易に通信することができず、従って、ユーザデバイス１０ｂに関連付けられた情報を相互に関連付けるとともに、共有するためにリソースＩＤ１２２に依存する。ここで、ユーザデバイス１０ｂは、リモートシステム１４０上で動作するように示されているが、ユーザデバイス１０ｂは、リモートシステム１４０とは独立した任意の動作環境で動作し、ネットワーク１１２ａを介してリモートシステム１４０と通信することもできる。

ここで図２を参照すると、いくつかの実施形態では、リソースＩＤ要求１３２を受信する前に、リモートシステム１４０上（または代替的にユーザデバイス１０上）で動作する認証サービス２３０（即ち、承認／認証サービス）は、ユーザ１２を認証する認証資格情報２１０と、第１のアプリケーションがルックアップサービス１２０からリソースＩＤ１２２にアクセスするためにユーザ１２によって付与された許可２２０とを含むリソースＩＤスコープ２０２を受信する。認証サービスは、ライブラリ、ＡＰＩ、ブラウザなどを含むことができる。任意選択的に、認証サービス２３０は、アクセストークン２３２（例えば、サインオンクッキー）を、ユーザデバイス１０上で動作する第１のアプリケーション１３０ａに送信する。アクセストークン２３２は、リソースＩＤスコープ２０２を含み得、リソースＩＤ要求１３２は、アクセストークン２３２を含み得る。

図２に示すように、いくつかの例では、ユーザデバイス１０上で動作する第１のアプリケーション１３０ａは、リソースＩＤスコープ２０２を認証サービス２３０に提供するようにユーザ１２に促す認証／承認ユーザインタフェース２０４をユーザデバイス１０上に呼び出すように構成される。ここで、認証ユーザインタフェース２０４は、ユーザ１２に対して「このアプリケーションは、識別情報を別のアプリケーションと共有することを求めています。この共有に同意する場合は、以下にサインインしてください。」というメッセージ２２２を含む。このメッセージ２２２は、ユーザ１２がリソースＩＤ１２２をアプリケーションと共有することに同意していることを保証し、従って、アプリケーションがリソースＩＤ１２２にアクセスするためにユーザ１２が付与した許可として機能する。ここで、認証ユーザインタフェース２０４は、ユーザ１２にユーザのアイデンティティを検証するためのインタフェースを提供する認証資格情報入力領域２１２をも含む。例えば、認証資格情報入力領域２１２は、ユーザ名およびパスワードのための入力テキストボックス、生体認証入力（例えば、指紋センサ）、二要素認証コード入力ボックス、またはユーザ１２から認証および／または認証資格情報２１０および許可２２０を取得するための任意の他の技法を含む。

図示の例では、ユーザ１２がユーザ名およびパスワードを入力する場合、ユーザ１２は、リソースＩＤ１２２を他のアプリケーション１３０および関連するリモートサービス１３４と共有することにも同意しているため、ユーザ名およびパスワードの入力は、認証資格情報２１０および許可２２０の両方を含む。しかしながら、認証ユーザインタフェース２０４は、（例えば、チェックボックスをマークするようにユーザ１２に促すことにより）許可２２０を別個に促すようにしてもよい。従って、許可２２０は、ユーザ１２がリソースＩＤ１２２を共有することに同意することを認証サービスに示し、一方、認証資格情報２１０は、同意するユーザ１２が同意する権限を有していることを認証サービス２３０に示す。いくつかの実施形態では、ユーザデバイス１０および／またはシステム１００の管理者は、ユーザ１２に代わって同意を提供する。即ち、いくつかのシステム１００では、ルックアップサービス１２０およびユーザデバイス１０に関してシステム１００の管理者によって確立されたポリシーが、ユーザ１２に対して自動的に同意を提供する。

認証サービス２３０は、（認証資格情報２１０および許可２２０を含む）リソースＩＤスコープ２０２を、リモートシステム１４０上で動作するルックアップサービス１２０に伝達する。ルックアップサービス１２０（または識別サービスなど、リモートシステム１４０上で動作する別のサービス）は、リソースＩＤスコープ２０２に基づいてユーザ１２を承認および／または認証し、対応するアクセストークン２３２を生成する。ルックアップサービス１２０は、アクセストークン２３２を認証サービス２３０に送信し、認証サービス２３０は、アクセストークン２３２を第１のアプリケーション１３０ａに渡す。第１のアプリケーション１３０ａが、ルックアップサービス１２０からリソースＩＤ１２２へのアクセスを要求する後続のリソースＩＤ要求１３２を（例えば、ＡＰＩ呼び出しによって）発行する際、第１のアプリケーション１３０ａは、第１のアプリケーション１３０ａがリソースＩＤ１２２にアクセスすることを承認されている、即ち、認証／承認されたユーザ１２がリソースＩＤ１２２を共有することに同意しているという証明として、アクセストークン２３２をルックアップサービス１２０に提供し得る。いくつかの例では、アクセストークン２３２はサインオンクッキーを含む。

いくつかの実施形態では、認証サービス２３０は、以前に取得されたアクセストークン２３２を第１のアプリケーション１３０ａに提供する。例えば、ユーザ１２が現在の時間の閾値期間内に認証資格情報２１０および／または許可２２０を提供した場合、認証サービス２３０は、追加の許可２２０および／または認証資格情報２１０をユーザ１２に促して第２のアクセストークン２３２を取得することなく、ルックアップサービス１２０によって以前に生成されたアクセストークン２３２を使用する。いくつかの例では、認証サービス２３０は、（認証資格情報２２０を要求することなく）ユーザに許可２２０を促すだけであり、他の例では、認証サービス２３０は、（許可２１０を要求することなく）ユーザに認証資格情報２１０を促すだけである。

次に図３を参照すると、例示的なシーケンス図３００は、システム１００による動作を時系列で配列している。動作３１０において、第１のアプリケーション１３０ａは、（例えば、図２のユーザログインを介して）認証サービス２３０に認証を要求する。認証サービス２３０は、動作３１２において、ルックアップサービス１２０（および／またはアイデンティティサービス１２４）と通信して、認証ユーザインタフェース２０４を介してユーザ１２から取得された認証資格情報２１０および許可２２０によりユーザ１２を承認および／または認証する。例えば、認証サービス２３０は、ルックアップサービス１２０からアクセストークン２３２を取得する。動作３１４において、認証サービス２３０は、アクセストークン２３２を第１のアプリケーション１３０ａに送信する。動作３１６において、第１のアプリケーション１３０ａは、（例えば、リソースＩＤ要求１３２により）リソースＩＤ１２２へのアクセスを要求する。第１のアプリケーション１３０ａは、リソースＩＤ要求１３２にアクセストークン２３２を含ませてもよい。

動作３１８において、アクセストークン２３２に基づいて、ルックアップサービス１２０は、リソースＩＤ１２２を第１のアプリケーション１３０ａに提供する。この例では、ルックアップサービス１２０は、共通コンポーネント１４に基づいてリソースＩＤ１２２を以前に生成していた。動作３２０において、第１のアプリケーション１３０ａは、第１のアプリケーション１３０ａに関連付けられた第１のリモートサービス１３４ａにリソースＩＤ１２２を送信する。

動作３２２～３３２は、第１のアプリケーション１３０ａの代わりに第２のアプリケーション１３０ｂに対する動作３１０～３２０の複製である。即ち、動作３２２において、第２のアプリケーション１３０ｂは、認証サービス２３０に認証を要求する。認証サービス２３０は、動作３２４において、ルックアップサービス１２０からアクセストークン２３２を取得する。動作３２６において、認証サービス２３０は、アクセストークン２３２を第２のアプリケーション１３０ｂに送信する。動作３２８において、第２のアプリケーション１３０ｂは、アクセストークン２３２を使用して、（例えば、リソースＩＤ要求１３２により）リソースＩＤ１２２へのアクセスを要求する。動作３３０において、アクセストークン２３２に基づいて、ルックアップサービス１２０は、リソースＩＤ１２２を第２のアプリケーション１３０ｂに提供し、動作３３２において、第２のアプリケーション１３０ｂは、リソースＩＤ１２２を第２のアプリケーション１３０ｂに関連付けられた第２のリモートサービス１３４ｂに送信する。

この時点で、第１のリモートサービス１３４ａおよび第２のリモートサービス１３４ｂの両方は、それぞれ、ユーザデバイス１０に関連付けられたリソースＩＤ１２２へのアクセスを有する。動作３３６において、第１のリモートサービス１３４ａは、共有リソースＩＤ１２２を使用して、第２のリモートサービス１３４ｂからユーザデバイス１０に関連付けられた共有リソースに関する情報（例えば、ユーザデバイス１０のセキュリティ体制）を取得する。動作３３８において、第１のリモートサービス１３４ａは、第２のリモートサービス１３４ｂから取得された情報を第１のアプリケーション１３０ａに送信する。これらの動作３１０～３３８の順序は例示的なものであり、任意の順序で行われ得る。例えば、リモートサービス１３４ａ、１３４ｂは、（動作３３４において）第１のアプリケーション１３０ａから情報の要求を受信する前に、（動作３３６において）情報を共有する。

いくつかの例では、第１のリモートサービス１３４ａおよび第２のリモートサービス１３４ｂがリソースＩＤ１２２を比較したときに、リモートサービス１３４ａ、１３４ｂは、アプリケーション１３０ａ、１３０ｂが同じユーザデバイス１０上で動作していないと判定する。このシナリオでは、第１のリモートサービス１３４ａは、エラーメッセージを第１のアプリケーション１３０ａに伝達することができる。第１のアプリケーション１３０ａは、第１のリモートサービス１３４ａからのエラーメッセージに応答して、エラーメッセージを（例えば、ユーザデバイス１０のグラフィカルユーザインタフェースにより）ユーザ１２に表示する。いくつかの実施形態では、エラーメッセージは、（例えば、リンクを提供することによって、またはユーザ１２をアプリケーションインストールサイトにリダイレクトすることによって）第２のアプリケーション１３０ｂをインストールする手段をユーザ１２に提供する。

図４は、リソース識別を共有するための方法４００の動作の例示的な構成のフローチャートである。方法４００は、動作４０２において、データ処理ハードウェア１４４上で動作するルックアップサービス１２０において、ユーザ１２に関連付けられた特定のデバイス１０上で動作する第１のアプリケーション１３０ａから、特定のデバイス１０を識別するリソース識別子（ＩＤ）１２２へのアクセスを第１のアプリケーション１３０ａに提供するようにルックアップサービス１２０に要求するリソースＩＤ要求１３２を受信することを含む。動作４０４において、方法４００は、ルックアップサービス１２０が、特定のデバイス１０上で動作する第１のアプリケーション１３０ａがリソースＩＤ１２２にアクセスすることを承認されているかどうかを判定することを含む。第１のアプリケーション１３０ａがリソースＩＤ１２２にアクセスすることを承認されている場合、方法４００は、動作４０４において、ルックアップサービス１２０が、リソースＩＤ１２２を取得することと、動作４０６において、ルックアップサービス１２０が、特定のデバイス１０上で動作する第１のアプリケーション１３０ａにリソースＩＤ１２２を送信することとを含む。

図５は、本明細書で説明されるシステムおよび方法を実施するために使用され得る例示的なコンピューティングデバイス５００の概略図である。コンピューティングデバイス５００は、ラップトップ、デスクトップ、ワークステーション、パーソナルデジタルアシスタント、サーバ、ブレードサーバ、メインフレーム、および他の適切なコンピュータなどの様々な形態のデジタルコンピュータを代表することが意図されている。本明細書に示された構成要素、それらの接続および関係、およびそれらの機能は、例示的なものに過ぎず、本明細書に記載および／または特許請求の範囲に記載される本発明の実施形態を限定するものではない。

コンピューティングデバイス５００は、プロセッサ５１０、メモリ５２０、ストレージデバイス５３０、メモリ５２０および高速拡張ポート５５０に接続する高速インタフェース／コントローラ５４０、および低速バス５７０およびストレージデバイス５３０に接続する低速インタフェース／コントローラ５６０を含む。構成要素５１０、５２０、５３０、５４０、５５０、および５６０の各々は、様々なバスを使用して相互接続され、かつ共通のマザーボード上に、または適切な他の方法で搭載され得る。プロセッサ５１０は、メモリ５２０またはストレージデバイス５３０に格納された命令を含むコンピューティングデバイス５００内での実行のための命令を処理して、高速インタフェース５４０に接続されたディスプレイ５８０などの外部入力／出力デバイス上にグラフィカルユーザインタフェース（ＧＵＩ）用のグラフィカル情報を表示する。他の実施形態では、複数のメモリおよび複数のタイプのメモリと共に、複数のプロセッサおよび／または複数のバスが適宜使用されてもよい。また、複数のコンピューティングデバイス５００が接続され、各デバイスが（例えば、サーババンク、ブレードサーバのグループ、またはマルチプロセッサシステムとして）必要な処理の一部を提供してもよい。

メモリ５２０は、コンピューティングデバイス５００内に非一時的に情報を記憶する。メモリ５２０は、コンピュータ可読媒体、揮発性メモリユニット、または不揮発性メモリユニットであってもよい。非一時的メモリ５２０は、コンピューティングデバイス５００による使用のための一時的または永久的な基準でプログラム（例えば、命令のシーケンス）またはデータ（例えば、プログラム状態情報）を格納するために使用される物理デバイスであってもよい。不揮発性メモリの例には、これらに限定されないが、フラッシュメモリおよび読み出し専用メモリ（ＲＯＭ）／プログラム可能読み出し専用メモリ（ＰＲＯＭ）／消去可能プログラム可能読み出し専用メモリ（ＥＰＲＯＭ）／電子消去可能プログラム可能読み出し専用メモリ（ＥＥＰＲＯＭ）（例えば、通常、ブートプログラムなどのファームウェアに使用される）が含まれる。揮発性メモリの例には、これらに限定されないが、ランダムアクセスメモリ（ＲＡＭ）、ダイナミックランダムアクセスメモリ（ＤＲＡＭ）、スタティックランダムアクセスメモリ（ＳＲＡＭ）、相変化メモリ（ＰＣＭ）、およびディスクまたはテープが含まれる。

ストレージデバイス５３０は、コンピューティングデバイス５００の大容量ストレージデバイスを提供することができる。いくつかの実施形態では、ストレージデバイス５３０は、コンピュータ可読媒体である。種々の異なる実施形態では、ストレージデバイス５３０は、フロッピーディスク（登録商標）デバイス、ハードディスクデバイス、光ディスクデバイス、またはテープデバイス、フラッシュメモリまたは他の同様のソリッドステートメモリデバイス、またはストレージエリアネットワークまたはその他の構成におけるデバイスを含むデバイスのアレイであり得る。追加の実施形態では、コンピュータプログラム製品は、情報媒体に有形的に具体化される。コンピュータプログラム製品は、実行時に、上記したような１つまたは複数の方法を実行する命令を含む。情報媒体は、メモリ５２０、ストレージデバイス５３０、またはプロセッサ５１０上のメモリなどの、コンピュータ可読媒体または機械可読媒体である。

高速コントローラ５４０は、コンピューティングデバイス５００の帯域幅を大量に使用する処理を管理し、低速コントローラ５６０は、より低い帯域幅を大量に使用する処理を管理する。このような役割の配分は、例示的なものに過ぎない。いくつかの実施形態では、高速コントローラ５４０は、メモリ５２０、ディスプレイ５８０（例えば、グラフィックプロセッサまたはアクセラレータを介する）、および各種拡張カード（図示せず）を受け入れる高速拡張ポート５５０に接続される。いくつかの実施形態では、低速コントローラ５６０は、ストレージデバイス５３０および低速拡張ポート５９０に接続される。様々な通信ポート（例えば、ＵＳＢ、ブルートゥース（登録商標）、イーサネット（登録商標）、無線イーサネット（登録商標））を含む低速拡張ポート５９０は、キーボード、ポインティングデバイス、スキャナ、または例えばネットワークアダプターを介するスイッチまたはルータなどのネットワークデバイスなどの１つまたは複数の入力／出力デバイスに接続され得る。

コンピューティングデバイス５００は、図面に示されるように、いくつかの異なる形態で実施することができる。例えば、標準サーバ５００ａとして、またはそのようなサーバ５００ａのグループ内で複数回、ラップトップコンピュータ５００ｂとして、またはラックサーバシステム５００ｃの一部として実施することができる。

本明細書に記載のシステムおよび技術の様々な実施形態は、デジタル電子回路および／または光回路、集積回路、特別に設計されたＡＳＩＣ（特定用途向け集積回路）、コンピュータハードウェア、ファームウェア、ソフトウェア、および／またはそれらの組み合わせにおいて実現することができる。これらの様々な実施形態は、ストレージシステム、少なくとも１つの入力デバイス、および少なくとも１つの出力デバイスからデータおよび命令を受信し、それらにデータおよび命令を送信するように接続された、特別または一般的な目的であってもよい、少なくとも１つのプログラム可能なプロセッサを含むプログラム可能なシステム上で実行可能および／または解釈可能な１つまたは複数のコンピュータプログラムにおける実施形態を含むことができる。

これらのコンピュータプログラム（プログラム、ソフトウェア、ソフトウェアアプリケーション、またはコードとしても知られている）は、プログラマブルプロセッサ用の機械命令を含み、高水準の手続き型言語および／またはオブジェクト指向のプログラミング言語、および／またはアセンブリ言語／機械語で実施することができる。本明細書で使用する場合、「機械可読媒体」および「コンピュータ可読媒体」という用語は、任意のコンピュータプログラム製品、非一時的なコンピュータ可読媒体、機械命令を機械可読信号として受信する機械可読媒体を含む、プログラマブルプロセッサに機械命令および／またはデータを提供するために使用される装置および／またはデバイス（例えば、磁気ディスク、光ディスク、メモリ、プログラマブルロジックデバイス（ＰＬＤ））を指す。「機械可読信号」という用語は、機械命令および／またはデータをプログラマブルプロセッサに提供するために使用される任意の信号を指す。

本明細書で説明するプロセスおよび論理フローは、入力データを処理して出力を生成することによって機能を実行する１つまたは複数のコンピュータプログラムを実行するデータ処理ハードウェアとも呼ばれる１つまたは複数のプログラマブルプロセッサによって実行することができる。プロセスおよび論理フローは、ＦＰＧＡ（フィールドプログラマブルゲートアレイ）またはＡＳＩＣ（特定用途向け集積回路）などの特定用途論理回路によっても実行することができる。コンピュータプログラムの実行に適したプロセッサは、一例として、汎用マイクロプロセッサおよび専用マイクロプロセッサの両方、および任意の種類のデジタルコンピュータの任意の１つまたは複数のプロセッサを含む。概して、プロセッサは、読み出し専用メモリまたはランダムアクセスメモリ、あるいはその両方から命令およびデータを受信する。コンピュータの必須要素は、命令を実行するプロセッサと、命令およびデータを格納するための１つまたは複数のメモリデバイスとである。概して、コンピュータは、データを格納するための１つまたは複数の大容量ストレージデバイス（例えば、磁気ディスク、光磁気ディスク、または光ディスク）からのデータを受信するか、またはデータを転送するか、あるいはその両方を行うように動作可能に結合される。しかしながら、コンピュータはそのようなデバイスを有する必要はない。コンピュータプログラム命令およびデータを格納するのに適したコンピュータ可読媒体には、半導体メモリデバイス（例えば、ＥＰＲＯＭ、ＥＥＰＲＯＭ、およびフラッシュメモリデバイス）、磁気ディスク（例えば、内蔵ハードディスクまたはリムーバブルディスク）、光磁気ディスク、およびＣＤＲＯＭおよびＤＶＤ－ＲＯＭディスクを含む全ての形態の不揮発性メモリ、媒体およびメモリデバイスが含まれる。プロセッサおよびメモリは、特定用途論理回路によって補完または特定用途論理回路に組み込むことができる。

ユーザとのインタラクションを提供するために、本開示の１つまたは複数の態様は、例えば、ＣＲＴ（陰極線管）、ＬＤＣ（液晶ディスプレイ）モニタ、またはタッチスクリーンなどのユーザに情報を表示するためのディスプレイデバイスと、任意選択的にユーザがコンピュータに入力を提供するキーボードおよびポインティングデバイス（例えば、マウスやトラックボール）とを有するコンピュータ上で実施することができる。他の種類の装置を使用して、例えば、任意の形態の感覚フィードバック（例えば、視覚フィードバック、聴覚フィードバック、または触覚フィードバック）であり得るユーザに提供されるフィードバックとともにユーザとのインタラクションを提供することもでき、ユーザからの入力は、音響、音声、または触覚入力を含む任意の形態で受信することができる。さらに、コンピュータは、ユーザによって使用されるデバイスとの間でドキュメントを送受信することによって（例えば、ウェブブラウザから受信した要求に応答してユーザのクライアントデバイス上のウェブブラウザにウェブページを送信することによって）、ユーザとインタラクションすることができる。

いくつかの実施形態が説明されている。それにもかかわらず、本開示の技術思想および範囲から逸脱することなく、様々な変更がなされ得ることが理解されるであろう。従って、他の実施形態も以下の特許請求の範囲内にある。

Claims

方法（４００）であって、
データ処理ハードウェア（１４４）上で動作するルックアップサービス（１２０）において、ユーザに関連付けられた特定のデバイス（１０）上で動作する第１のアプリケーション（１３０ａ）から、前記特定のデバイス（１０）を識別するリソース識別子（以下、リソースＩＤとする）（１２２）へのアクセスを前記第１のアプリケーション（１３０ａ）に提供するように前記ルックアップサービス（１２０）に要求するリソースＩＤ要求（１３２）を受信するステップと、
前記ルックアップサービス（１２０）が、前記特定のデバイス（１０）上で動作する前記第１のアプリケーション（１３０ａ）が前記リソースＩＤ（１２２）にアクセスすることを承認されているかどうかを判定するステップと、
前記第１のアプリケーション（１３０ａ）が前記リソースＩＤ（１２２）にアクセスすることを承認されている場合、
前記ルックアップサービス（１２０）が、前記リソースＩＤ（１２２）を取得するステップと、
前記ルックアップサービス（１２０）が、前記特定のデバイス（１０）上で動作する前記第１のアプリケーション（１３０ａ）に、前記リソースＩＤ（１２２）を送信するステップと、を含み、
前記リソースＩＤ要求（１３２）は、ユーザを認証する認証資格情報（２１０）と、前記第１のアプリケーション（１３０ａ）が前記ルックアップサービス（１２０）から前記リソースＩＤ（１２２）にアクセスするためにユーザによって付与された許可（２２０）とを含むリソースＩＤスコープ（２０２）を含み、
前記第１のアプリケーション（１３０ａ）が前記リソースＩＤ（１２２）にアクセスすることを承認されているかどうかを判定するステップは、ユーザを認証する前記認証資格情報（２１０）と、前記第１のアプリケーション（１３０ａ）が前記ルックアップサービス（１２０）からの前記リソースＩＤ（１２２）にアクセスするためにユーザによって付与された承認（２２０）とに基づいて、前記第１のアプリケーション（１３０ａ）が前記リソースＩＤ（１２２）にアクセスすることを承認されていると判定することを含む、方法（４００）。
方法（４００）であって、
データ処理ハードウェア（１４４）上で動作する認証／承認サービス（２３０）において、特定のデバイス（１０）から、ユーザを認証する認証資格情報（２１０）と、第１のアプリケーション（１３０ａ）が前記データ処理ハードウェア（１４４）上で動作するルックアップサービス（１２０）からリソース識別子（以下、リソースＩＤとする）（１２２）にアクセスするためにユーザによって付与された許可（２２０）とを含むリソースＩＤスコープ（２０２）を受信するステップと、
前記認証／承認サービス（２３０）が、前記特定のデバイス（１０）上で動作する前記第１のアプリケーション（１３０ａ）に、前記リソースＩＤスコープ（２０２）を含むアクセストークン（２３２）を送信するステップと、
前記データ処理ハードウェア（１４４）上で動作する前記ルックアップサービス（１２０）において、ユーザに関連付けられた前記特定のデバイス（１０）上で動作する前記第１のアプリケーション（１３０ａ）から、前記特定のデバイス（１０）を識別する前記リソースＩＤ（１２２）へのアクセスを前記第１のアプリケーション（１３０ａ）に提供するように前記ルックアップサービス（１２０）に要求するリソースＩＤ要求（１３２）を受信するステップと、前記リソースＩＤ要求（１３２）は、前記アクセストークン（２３２）を含んでおり、
前記ルックアップサービス（１２０）が、前記特定のデバイス（１０）上で動作する前記第１のアプリケーション（１３０ａ）が前記リソースＩＤ（１２２）にアクセスすることを承認されているかどうかを判定するステップと、
前記第１のアプリケーション（１３０ａ）が前記リソースＩＤ（１２２）にアクセスすることを承認されている場合、
前記ルックアップサービス（１２０）が、前記リソースＩＤ（１２２）を取得するステップと、
前記ルックアップサービス（１２０）が、前記特定のデバイス（１０）上で動作する前記第１のアプリケーション（１３０ａ）に、前記リソースＩＤ（１２２）を送信するステップと、を含む方法（４００）。
前記特定のデバイス（１０）上で動作する前記第１のアプリケーション（１３０ａ）は、前記特定のデバイス（１０）上の認証／承認ユーザインタフェース（２０４）を呼び出すように構成され、前記認証／承認ユーザインタフェース（２０４）は、前記リソースＩＤスコープ（２０２）を前記認証／承認サービス（２３０）に提供するようにユーザに促す、請求項２に記載の方法（４００）。
ユーザに関連付けられた前記特定のデバイス（１０）は、物理デバイス（１０ａ）を含む、請求項１乃至３のいずれか一項に記載の方法（４００）。
ユーザに関連付けられた前記特定のデバイス（１０）は、仮想デバイス（１０ｂ）を含む、請求項１乃至４のいずれか一項に記載の方法（４００）。
前記リソースＩＤ（１２２）は、前記ルックアップサービス（１２０）のエンティティによって割り当てられ、かつ前記特定のデバイス（１０）を識別するために前記ルックアップサービス（１２０）の１つまたは複数のコンピューティングインタフェースによって共有される、請求項１乃至５のいずれか一項に記載の方法（４００）。
前記ルックアップサービス（１２０）が前記リソースＩＤ（１２２）を前記第１のアプリケーション（１３０ａ）に送信した後、
前記第１のアプリケーション（１３０ａ）は、前記第１のアプリケーション（１３０ａ）に関連付けられた第１のリモートサービス（１３４ａ）に前記リソースＩＤ（１２２）を送信するように構成され、
前記第１のリモートサービス（１３４ａ）は、前記リソースＩＤ（１２２）を使用して、第２のリモートサービス（１３４ｂ）から前記特定のデバイス（１０）に関する情報を取り出すように構成されている、請求項１乃至６のいずれか一項に記載の方法（４００）。
前記第１のリモートサービス（１３４ａ）は、前記第２のリモートサービス（１３４ｂ）とは異なるエンティティに関連付けられる、請求項７に記載の方法（４００）。
前記第２のリモートサービス（１３４ｂ）は、前記特定のデバイス（１０）上で動作可能な第２のアプリケーション（１３０ｂ）に関連付けられる、請求項７または８に記載の方法（４００）。
前記第１のリモートサービス（１３４ａ）が前記第２のリモートサービス（１３４ｂ）から前記特定のデバイス（１０）に関する前記情報を取り出す前に、前記第２のリモートサービス（１３４ｂ）が、前記特定のデバイス（１０）上で動作可能な前記第２のアプリケーション（１３０ｂ）から前記リソースＩＤ（１２２）を受信する、請求項９に記載の方法（４００）。
前記第１のアプリケーション（１３０ａ）は第１の動作環境（１３１ａ）で動作し、前記第２のアプリケーション（１３０ｂ）は第２の動作環境（１３１ｂ）で動作し、前記第１の動作環境（１３１ａ）は前記第２の動作環境（１３１ｂ）から分離されている、請求項９または１０に記載の方法（４００）。
システム（１００）であって、
ルックアップサービス（１２０）を実行するデータ処理ハードウェア（１４４）と、
前記データ処理ハードウェア（１４４）と通信するメモリハードウェア（１４６）と、を備え、前記メモリハードウェア（１４６）は、命令を格納し、前記命令は、前記データ処理ハードウェア（１４４）上での実行時に、前記データ処理ハードウェア（１４４）に、
ユーザに関連付けられた特定のデバイス（１０）上で動作する第１のアプリケーション（１３０ａ）から、前記特定のデバイス（１０）を識別するリソース識別子（以下、リソースＩＤとする）（１２２）へのアクセスを前記第１のアプリケーション（１３０ａ）に提供するように前記ルックアップサービス（１２０）に要求するリソースＩＤ要求（１３２）を受信するステップと、
前記特定のデバイス（１０）上で動作する前記第１のアプリケーション（１３０ａ）が前記リソースＩＤ（１２２）にアクセスすることを承認されているかどうかを判定するステップと、
前記第１のアプリケーション（１３０ａ）が前記リソースＩＤ（１２２）にアクセスすることを承認されている場合、
前記リソースＩＤ（１２２）を取得するステップと、
前記特定のデバイス（１０）上で動作する前記第１のアプリケーション（１３０ａ）に、前記リソースＩＤ（１２２）を送信するステップと、を含む動作を実行させ、
前記リソースＩＤ要求（１３２）は、ユーザを認証する認証資格情報（２１０）と、前記第１のアプリケーション（１３０ａ）が前記ルックアップサービス（１２０）から前記リソースＩＤ（１２２）にアクセスするためにユーザによって付与された許可（２２０）とを含むリソースＩＤスコープ（２０２）を含み、
前記第１のアプリケーション（１３０ａ）が前記リソースＩＤ（１２２）にアクセスすることを承認されているかどうかを判定するステップは、ユーザを認証する前記認証資格情報（２１０）と、前記第１のアプリケーション（１３０ａ）が前記ルックアップサービス（１２０）からの前記リソースＩＤ（１２２）にアクセスするためにユーザによって付与された承認（２２０）とに基づいて、前記第１のアプリケーション（１３０ａ）が前記リソースＩＤ（１２２）にアクセスすることを承認されていると判定することを含む、システム（１００）。
システム（１００）であって、
ルックアップサービス（１２０）を実行するデータ処理ハードウェア（１４４）と、
前記データ処理ハードウェア（１４４）と通信するメモリハードウェア（１４６）と、を備え、前記メモリハードウェア（１４６）は、命令を格納し、前記命令は、前記データ処理ハードウェア（１４４）上での実行時に、前記データ処理ハードウェア（１４４）に、
前記データ処理ハードウェア（１４４）上で動作する認証／承認サービス（２３０）において、特定のデバイス（１０）から、ユーザを認証する認証資格情報（２１０）と、第１のアプリケーション（１３０ａ）が前記データ処理ハードウェア（１４４）上で動作するルックアップサービス（１２０）からリソース識別子（以下、リソースＩＤとする）（１２２）にアクセスするためにユーザによって付与された許可（２２０）とを含むリソースＩＤスコープ（２０２）を受信するステップと、
前記認証／承認サービス（２３０）が、前記特定のデバイス（１０）上で動作する前記第１のアプリケーション（１３０ａ）に、前記リソースＩＤスコープ（２０２）を含むアクセストークン（２３２）を送信するステップと、
ユーザに関連付けられた前記特定のデバイス（１０）上で動作する前記第１のアプリケーション（１３０ａ）から、前記特定のデバイス（１０）を識別する前記リソースＩＤ（１２２）へのアクセスを前記第１のアプリケーション（１３０ａ）に提供するように前記ルックアップサービス（１２０）に要求するリソースＩＤ要求（１３２）を受信するステップと、前記リソースＩＤ要求（１３２）は、前記アクセストークン（２３２）を含んでおり、
前記特定のデバイス（１０）上で動作する前記第１のアプリケーション（１３０ａ）が前記リソースＩＤ（１２２）にアクセスすることを承認されているかどうかを判定するステップと、
前記第１のアプリケーション（１３０ａ）が前記リソースＩＤ（１２２）にアクセスすることを承認されている場合、
前記リソースＩＤ（１２２）を取得するステップと、
前記特定のデバイス（１０）上で動作する前記第１のアプリケーション（１３０ａ）に、前記リソースＩＤ（１２２）を送信するステップと、を含む動作を実行させる、システム（１００）。
前記特定のデバイス（１０）上で動作する前記第１のアプリケーション（１３０ａ）は、前記特定のデバイス（１０）上の認証／承認ユーザインタフェース（２０４）を呼び出すように構成され、前記認証／承認ユーザインタフェース（２０４）は、前記リソースＩＤスコープ（２０２）を前記認証／承認サービス（２３０）に提供するようにユーザに促す、請求項１３に記載のシステム（１００）。
ユーザに関連付けられた前記特定のデバイス（１０）は、物理デバイス（１０ａ）を含む、請求項１２乃至１４のいずれか一項に記載のシステム（１００）。
ユーザに関連付けられた前記特定のデバイス（１０）は、仮想デバイス（１０ｂ）を含む、請求項１２乃至１５のいずれか一項に記載のシステム（１００）。
前記リソースＩＤ（１２２）は、前記ルックアップサービス（１２０）のエンティティによって割り当てられ、かつ前記特定のデバイス（１０）を識別するために前記ルックアップサービス（１２０）の１つまたは複数のコンピューティングインタフェースによって共有される、請求項１２乃至１６のいずれか一項に記載のシステム（１００）。
前記ルックアップサービス（１２０）が前記リソースＩＤ（１２２）を前記第１のアプリケーション（１３０ａ）に送信した後、
前記第１のアプリケーション（１３０ａ）は、前記第１のアプリケーション（１３０ａ）に関連付けられた第１のリモートサービス（１３４ａ）に前記リソースＩＤ（１２２）を送信するように構成され、
前記第１のリモートサービス（１３４ａ）は、前記リソースＩＤ（１２２）を使用して、第２のリモートサービス（１３４ｂ）から前記特定のデバイス（１０）に関する情報を取り出すように構成されている、請求項１２乃至１７のいずれか一項に記載のシステム（１００）。
前記第１のリモートサービス（１３４ａ）は、前記第２のリモートサービス（１３４ｂ）とは異なるエンティティに関連付けられる、請求項１８に記載のシステム（１００）。
前記第２のリモートサービス（１３４ｂ）は、前記特定のデバイス（１０）上で動作可能な第２のアプリケーション（１３０ｂ）に関連付けられる、請求項１８または１９に記載のシステム（１００）。
前記第１のリモートサービス（１３４ａ）が前記第２のリモートサービス（１３４ｂ）から前記特定のデバイス（１０）に関する前記情報を取り出す前に、前記第２のリモートサービス（１３４ｂ）が、前記特定のデバイス（１０）上で動作可能な前記第２のアプリケーション（１３０ｂ）から前記リソースＩＤ（１２２）を受信する、請求項２０に記載のシステム（１００）。
前記第１のアプリケーション（１３０ａ）は第１の動作環境（１３１ａ）で動作し、前記第２のアプリケーション（１３０ｂ）は第２の動作環境（１３１ｂ）で動作し、前記第１の動作環境（１３１ａ）は前記第２の動作環境（１３１ｂ）から分離されている、請求項２０または２１に記載のシステム（１００）。