JP7465869B2 - ユニバーサルガバナンス - Google Patents

Description

優先権主張
本出願は、２０１８年１０月１９日に出願された米国仮特許出願第６２／７４７，８９６号の優先権を主張し、その内容全体はここに引用により援用される。

技術分野
本開示は、概してアイデンティティ管理に関し、特に、多種多様なアプリケーションのユニバーサルアイデンティティ管理またはガバナンスを行うための技術に関する。

背景
最近の企業は、雇用者、契約業者、取引先および最終消費者によって用いられる、オンプレミスとクラウドとの両方の多数のアプリケーションを有する。各ユーザは、これらのアプリケーションで行うことができることを規定する、これらのアプリケーション内の特定の特権を有する。これらのシステムのすべてのユーザが有するすべての特権を併せた物が、リスクマネジメントおよびコンプライアンスについての表面領域の全体を形成する。過度な特権および特権の有害な組合わせは、コンプライアンス違反につながることがある。

アイデンティティ管理またはガバナンスでは、ライフサイクル管理をサポートすることによって、企業顧客が特権のフットプリント（footprint）を管理し続けるように図られている。ライフサイクル管理オペレーションの例には、（ｉ）新しい権利の作成、変更および削除の承認ならびに証明のサポート（たとえば、権利ライフサイクル管理）と、（ｉｉ）特権の作成、変更および削除についての職務の承認／証明および分離のサポート（権利付与としても知られる）（たとえば、アクセスリクエスト管理）と、（ｉｉｉ）新しいアプリケーションの作成、既存のアプリケーションおよび廃止されつつあるアプリケーションの変更の承認および証明サポート（たとえば、アプリケーションライフサイクル管理）とが含まれる。

さまざまなアイデンティティおよびアクセス関連エンティティについてこれらおよび他のライフサイクル管理オペレーションをサポートするために、典型的には、フレームワークをサポートしてこれらのアプリケーションの各々と統合するために、アイデンティティ管理またはガバナンスソリューションが必要である。一例として、オラクルアイデンティティガバナンスプロダクトは、顧客がこれらの統合を作成するために用いる多数のコネクタをサポートする。

簡潔な概要
ユニバーサルガバナンスのための技術（たとえば、方法、システム、１つ以上のプロセッサによって実行可能なコードまたは命令を格納した非一時的なコンピュータ可読媒体）が提供される。

さまざまな実施形態では、データ処理システムにおいて、１つ以上の企業アプリケーションのうちの一部であるデータのクエリまたはデータに対するＣＲＵＤオペレーションのリクエストを受信することを備える方法が提供される。方法はさらに、データ処理システムが、１つ以上のアプリケーションと関連付けられたオブジェクトのスキーマを取得することを備え、スキーマは、オブジェクト間の関係をモデル化し、オブジェクトは、１つ以上の企業アプリケーションのデータを表す。方法はさらに、データ処理システムが、取得されたスキーマに基づいて、クエリまたはＣＲＵＤオペレーションを処理することを備える。いくつかの実施形態では、処理することは、クエリまたはＣＲＵＤオペレーションを、１つ以上の企業アプリケーションに対する１つ以上のスキーマ特有の呼出しに変換することを含む。呼出しは、オブジェクトのスキーマに従って、１つ以上の企業アプリケーションのデータに対してクエリまたはＣＲＵＤを実行するように構成される。方法はさらに、データ処理システムが、クエリまたはＣＲＵＤオペレーションの結果をユーザに報告することを備える。いくつかの実施形態では、クエリまたはＣＲＵＤオペレーションを報告することは、オブジェクトのライフサイクルにわたってオブジェクトと関連付けられたデータに対して行われたすべてのオブジェクトミューテーション（ｍｕｔａｔｉｏｎｓ）を報告することを含む。

さまざまな実施形態では、１つ以上のプロセッサと、１つ以上のプロセッサによって実行されると、１つ以上のプロセッサに方法を行わせる命令を格納した非一時的マシン可読記憶媒体とを含むデータ処理システムを備えるシステムが提供される。

さまざまな実施形態では、１つ以上のプロセッサによって実行されると、１つ以上のプロセッサに方法を行わせる命令を格納した非一時的マシン可読記憶媒体が提供される。

さまざまな実施形態では、データ処理システムにおいて、ターゲットアプリケーションの一部であるデータのクエリまたはデータに対するＣＲＵＤオペレーションのリクエストを受信することを備える方法が提供される。方法はさらに、データ処理システムが、ターゲットアプリケーションと関連付けられたオブジェクトのスキーマを取得することを備え、スキーマは、オブジェクト間の関係をモデル化し、オブジェクトはターゲットアプリケーションのデータを表す。方法はさらに、データ処理システムが、スキーマに基づいて、クエリまたはＣＲＵＤオペレーションをオブジェクトに対して実行することと、データ処理システムが、スキーマに基づいて、クエリまたはＣＲＵＤオペレーションをデータに対して実行することと、データ処理システムが、データに対するクエリまたはＣＲＵＤオペレーションの結果を報告することとを備える。

いくつかの実施形態では、クエリまたはＣＲＵＤオペレーションをデータに対して実行することは、クエリまたはＣＲＵＤオペレーションを、ターゲットアプリケーションに対する１つ以上のスキーマ特有の呼出しに変換することを含む。

いくつかの実施形態では、呼出しは、スキーマに従って、ターゲットアプリケーションのデータに対してクエリまたはＣＲＵＤを実行するように構成される。

いくつかの実施形態では、クエリまたはＣＲＵＤオペレーションの結果を報告することは、オブジェクトのライフサイクルにわたって、オブジェクトと関連付けられたデータに対して行われるすべてのオブジェクトミューテーションを報告することを含む。

いくつかの実施形態では、スキーマは、ターゲットアプリケーションのエンリッチバージョンであり、ターゲットアプリケーションのエンリッチバージョンは、ターゲットアプリケーション内のデータを表すオブジェクトを超えるデータ処理システム内の追加のアーティファクトまたはオブジェクトを含む。

いくつかの実施形態では、方法はさらに、データ処理システムが、オブジェクトに対するクエリまたはＣＲＵＤオペレーションの実行を説明するために、スキーマを更新することを備え、クエリまたはＣＲＵＤオペレーションをデータに対して実行することは、更新されたスキーマに基づく。

いくつかの実施形態では、オブジェクトのスキーマは、データ処理システム内の追加のオブジェクトと関連付けられ、追加のオブジェクトは、企業内で追跡される情報およびタスクを表す。

さまざまな実施形態では、１つ以上のプロセッサによって実行可能な複数の命令を格納するための非一時的コンピュータ可読メモリが提供され、複数の命令は、１つ以上の複数のプロセッサによって実行されると、１つ以上のプロセッサに処理を行わせる命令を含み、処理は、ターゲットアプリケーションの一部であるデータのクエリまたはデータに対するＣＲＵＤオペレーションのリクエストを受信することと、ターゲットアプリケーションと関連付けられたオブジェクトのスキーマを取得することとを含み、スキーマは、オブジェクト間の関係をモデル化し、オブジェクトはターゲットアプリケーションのデータを表し、処理はさらに、スキーマに基づいて、クエリまたはＣＲＵＤオペレーションをオブジェクトに対して実行することと、スキーマに基づいて、クエリまたはＣＲＵＤオペレーションをデータに対して実行することと、データに対するクエリまたはＣＲＵＤオペレーションの結果を報告することとを含む。

いくつかの実施形態では、クエリまたはＣＲＵＤオペレーションをデータに対して実行することは、クエリまたはＣＲＵＤオペレーションを、ターゲットアプリケーションに対する１つ以上のスキーマ特有の呼出しに変換することを含む。

いくつかの実施形態では、呼出しは、スキーマに従って、ターゲットアプリケーションのデータに対してクエリまたはＣＲＵＤを実行するように構成される。

いくつかの実施形態では、クエリまたはＣＲＵＤオペレーションの結果を報告することは、オブジェクトのライフサイクルにわたって、オブジェクトと関連付けられたデータに対して行われるすべてのオブジェクトミューテーションを報告することを含む。

いくつかの実施形態では、スキーマは、ターゲットアプリケーションのエンリッチバージョンであり、ターゲットアプリケーションのエンリッチバージョンは、ターゲットアプリケーション内のデータを表すオブジェクトを超えるデータ処理システム内の追加のアーティファクトまたはオブジェクトを含む。

いくつかの実施形態では、オブジェクトに対するクエリまたはＣＲＵＤオペレーションの実行を説明するために、スキーマを更新することをさらに備え、クエリまたはＣＲＵＤオペレーションをデータに対して実行することは、更新されたスキーマに基づく。

いくつかの実施形態では、オブジェクトのスキーマは、データ処理システム内の追加のオブジェクトと関連付けられ、追加のオブジェクトは、企業内で追跡される情報およびタスクを表す。

さまざまな実施形態では、１つ以上のプロセッサと、１つ以上のプロセッサに連結されたメモリとを備えるシステムが提供され、メモリは、１つ以上のプロセッサによって実行可能な複数の命令を格納し、複数の命令は、１つ以上のプロセッサによって実行されると、１つ以上のプロセッサに処理を行わせる命令を含み、処理は、ターゲットアプリケーションの一部であるデータのクエリまたはデータに対するＣＲＵＤオペレーションのリクエストを受信することと、ターゲットアプリケーションと関連付けられたオブジェクトのスキーマを取得することとを含み、スキーマは、オブジェクト間の関係をモデル化し、オブジェクトはターゲットアプリケーションのデータを表し、処理はさらに、スキーマに基づいて、クエリまたはＣＲＵＤオペレーションをオブジェクトに対して実行することと、スキーマに基づいて、クエリまたはＣＲＵＤオペレーションをデータに対して実行することと、データに対するクエリまたはＣＲＵＤオペレーションの結果を報告することとを含む。

いくつかの実施形態では、クエリまたはＣＲＵＤオペレーションをデータに対して実行することは、クエリまたはＣＲＵＤオペレーションを、ターゲットアプリケーションに対する１つ以上のスキーマ特有の呼出しに変換することを含む。

いくつかの実施形態では、呼出しは、スキーマに従って、ターゲットアプリケーションのデータに対してクエリまたはＣＲＵＤオペレーションを実行するように構成される。

いくつかの実施形態では、クエリまたはＣＲＵＤオペレーションの結果を報告することは、オブジェクトのライフサイクルにわたって、オブジェクトと関連付けられたデータに対して行われるすべてのオブジェクトミューテーションを報告することを含む。

いくつかの実施形態では、スキーマは、ターゲットアプリケーションのエンリッチバージョンであり、ターゲットアプリケーションのエンリッチバージョンは、ターゲットアプリケーション内のデータを表すオブジェクトを超えるデータ処理システム内の追加のアーティファクトまたはオブジェクトを含む。

いくつかの実施形態では、処理はさらに、オブジェクトに対するクエリまたはＣＲＵＤオペレーションの実行を説明するために、スキーマを更新することをさらに含み、クエリまたはＣＲＵＤオペレーションをデータに対して実行することは、更新されたスキーマに基づく。

いくつかの実施形態では、オブジェクトのスキーマは、データ処理システム内の追加のオブジェクトと関連付けられ、追加のオブジェクトは、企業内で追跡される情報およびタスクを含む。

上述のおよび以下で説明する技術は、複数の方法で複数のコンテキストで実現されてもよい。以下でより詳細に説明するように、実現例およびコンテキストの実現例のいくつかの例が、以下の図面を参照して提供される。しかしながら、以下の実現例およびコンテキストは、数あるなかの一部である。

ライフサイクル管理のアプローチを示す図である。 さまざまな実施形態に係る、ライフサイクル管理のユニバーサルアプローチを示す図である。 さまざまな実施形態に係る、アイデンティティガバナンスフレームワークを示す図である。 さまざまな実施形態に係る、ユニバーサルガバナンスのプロセスを示すフローチャートである。 さまざまな実施形態を実現するための分散システムを簡潔に示す図である。 さまざまな実施形態に係る、ある実施形態のシステムの１つ以上のコンポーネントによって提供されるサービスを、クラウドサービスとして提供可能なシステム環境の１つ以上のコンポーネントを示す簡潔なブロック図である。 さまざまな実施形態を実現するために使用可能なコンピュータシステムの例を示す図である。

詳細な説明
以下の説明では、さまざまな実施形態について説明する。説明の目的で、実施形態の完全な理解を提供するために、特定の構成および詳細について説明する。しかしながら、これらの特定の詳細がなくても実施形態を実行可能であることは、当業者に明らかであろう。さらに、説明する実施形態を不明瞭にしないために、公知の特徴は省略する、または簡潔に説明する場合がある。

はじめに
アプリケーションおよび各アプリケーション内のオブジェクトの種類は、さまざまなアプリケーション間で大きく異なる。たとえば、メインフレーム、さまざまなベンダからの企業資源計画（ＥＲＰ）／顧客関係管理（ＣＲＭ）／人的資源管理（ＨＣＭ）システム、ライトウェイトディレクトリアクセスプロトコル（ＬＤＡＰ）システム、データベースシステム、およびカスタムアプリケーションは、それらのユーザおよびアプリケーション内のユーザの許可を管理するためのさまざまな方法を有する。これらの多様なアプローチは、Ｂｏｘ、Ｓｈａｒｅｐｏｉｎｔなど、データ指向アプリケーションに拡張されている。ユーザおよびアプリケーション内のユーザの許可を管理するこれらのさまざまな方法を処理するために、これらのオブジェクトについてガバナンスを提供する従来のアプローチは、共通のアプリケーションプログラミングインターフェース（ＡＰＩ）を満たすコネクタを構築することである。共通のＡＰＩはその後、ターゲットシステムと通信し、かつ、データミューテーション（基礎データの変化）につながるさまざまな作成、読出し、更新、および削除（ＣＲＵＤ）オペレーションを行うために、ガバナンスシステムによって用いられる。図１に示すように、アイデンティティ管理システム１００は、共通のＡＰＩ１１５を含むアイデンティティコネクタフレームワーク１１０と通信しているアイデンティティ管理またはガバナンスシステム１０５を備えてもよい。そして、共通のＡＰＩ１１５は、１つ以上のターゲットシステム１２０と通信し、かつ、１つ以上のコネクタ１２５によってさまざまな作成、読出し、更新、および削除（ＣＲＵＤ）オペレーションを行うために、ガバナンスシステム１０５によって用いられる。

しかしながら、従来のアプローチでは、ターゲットシステム１２０の各々は、それ自体のコネクタ１２５を必要とし、このアイデンティティコネクタフレームワーク１１０によって提供される機能はＣＲＵＤに限定されるため、すべてのライフサイクルオペレーションは依然としてソフトウェアの追加の層を必要とする。さらに、ガバナンス機能の多くは、複数のターゲットクエリを必要とする。たとえば、職務の分離を解析するためのプロセスフローは、複数のアプリケーションにまたがってアクセス情報を調べることを含んでもよい。しかしながら、これらのクエリを行うことは、ターゲットシステム１２０内のデータをガバナンスシステム１０５に同期させること、および同期されたデータを保持する際（周期的なデータのリフレッシュ、変化の記録、およびターゲットへのプロビジョニングバック）に複雑性を処理することを意味する。全てがガバナンスシステム１０５に同期された後でも、ソフトウェアの追加の層は実際のライフサイクル管理サポートを構築する必要がある。

そのため、これらの問題に対処するために異なるアプローチが必要である。さまざまな実施形態では、統一した方法でターゲットアプリケーション（たとえば、ターゲットシステム１２０）のユニバースをモデル化し、統一した態様でこのモデルに対してオペレーションを行い、かつ、このモデルのガバナンス機能を行う異なるアプローチが提供される。このアプローチは、本明細書では「ユニバーサルガバナンス（ｕｎｉｖｅｒｓａｌ ｇｏｖｅｒｎａｎｃｅ）」と呼ばれる。このアプローチは、第１の層またはガバナンス層、第２の層またはガバナンスエンティティの層、および第３の層またはアプリケーションエンティティの層を含む多層アプローチであると考えられ得る。第１の層には、能力のガバナンスセットのすべてが存在する。これらの能力は、下位の層内のいずれかのエンティティについてのオブジェクトライフサイクルを処理することが可能である。第２の層には、ガバナンスのコアエンティティが存在する。ガバナンスエンティティは、アプリケーション特有ではないが、依然として、企業顧客が追跡する必要がある情報およびタスクを表す。たとえば、企業の役割はこの層に存在する場合がある。この役割を作成したのは誰か、この役割が課すのは何か、誰がこの役割を承認したか、および、この役割を最後にレビューしたのは誰かといったパラメータが、ガバナンスエンティティの一部である。第３の層には、アプリケーション特有のエンティティのセットが存在する。これらのエンティティは、ターゲットアプリケーション（複数可）をモデル化する。ターゲットアプリケーション内のオブジェクトは、互いの間で、ならびに第２の層内のオブジェクトと、関係を有する。たとえば、ユーザであるボブ・スミス（第２の層オブジェクト）は、アクティブディレクトリアカウント（第３の層オブジェクト）を有し得る。なお、第２および第３の層のこれらのエンティティは、定義のみを表し、データそのものを表さない。

有利なことに、この多層アプローチはすべてのエンティティに適用される。たとえば、ＳＱＬステートメントがデータベースにおいて作成された任意のテーブルに対して実行されるために使用可能であるリレーショナルデータベース管理システム（ＲＤＢＭＳ）と同様に、ガバナンス特徴のコアセットの第１の層は、第２の層および第３の層内の任意のエンティティで実行可能である。そのようなアプローチによって、ガバナンス能力はすべてのオブジェクトに均一に適用可能になる。オブジェクトおよび関係を第２の層または第３の層において表すことが可能である限り、第１の層内の機能は区別しない。すなわち、第１の層は、ユニバーサルに任意のエンティティを統治可能である。さらに、データ同期化が必要でない。たとえば、アプリケーションオブジェクトはいずれも同期させる必要がない。第２の層および第３の層内のこれらのエンティティにオペレーションが生じると、これらのエンティティは、リアルタイムに、リアルターゲットアプリケーション上でＣＲＵＤオペレーションとして変換可能である。

また、有利なことに、ターゲットアプリケーションのスキーマの拡張またはエンリッチ化が可能である。たとえば、アプリケーションエンティティはリアルターゲットアプリケーションを表すにすぎないため、アプリケーションエンティティのスキーマをターゲットアプリケーションのエンリッチバージョンとすることが可能である。そこで、このエンリッチ化されたオブジェクトに対する作成オペレーションは、実際のターゲットオブジェクトを作成可能であるだけでなく、ガバナンスシステム内の他のアーティファクトを作成するために用いることも可能である。さらに、このアプローチは、オブジェクトタイムマシンとして機能し得る。たとえば、顧客がガバナンスシステムとやり取りを行い、かつ、オブジェクトがローカルに存在していようとリモートに存在していようと、ガバナンスシステムがすべてのオブジェクトミューテーションの経過を追跡することが可能であると、ガバナンスシステムは、セキュリティおよび監査の観点についてオブジェクトライフサイクル履歴を追跡可能なオブジェクトタイムマシンとして機能できる。このタイムマシンおよびライフサイクルの回りのポリシーは、ターゲットアプリケーションに対して完全に見えなくてもよい。

ガバナンスフレームワーク
図２は、ユニバーサルガバナンスのプラットフォーム２００を示す図である。プラットフォーム２００は、１つ以上の企業システム２１０（クライアント側）と通信しているアイデンティティガバナンスフレームワーク２０５（サーバ側）を含む。アイデンティティガバナンスフレームワーク２０５はサーバ側コンポーネント２１５を含み、サーバ側コンポーネント２１５は、図３に関して説明されるように、ガバナンスエンティティ層およびターゲットアプリケーションエンティティ層内のオブジェクト上のガバナンスサービス層内の能力またはオペレーションのガバナンスセットを実現する。ガバナンスエンティティ層は、アプリケーションに特有ではないが依然として企業顧客が追跡する必要がある情報およびタスクを表すエンティティおよびオブジェクトを含む。たとえば、企業の役割がこの層に存在するか、この役割を作成したのは誰か、この役割が課すのは何か、だれがこの役割を承認したか、および、最後に誰がこの役割をレビューしたのかは、ガバナンス必要条件の一部である。ターゲットアプリケーションエンティティ層は、均一な方法で、１つ以上の企業システム２１０の１つ以上のターゲットアプリケーション２２０をモデル化するエンティティおよびオブジェクトを含む。エンティティおよびオブジェクトターゲットアプリケーションエンティティ層は、互いの間で、ならびにガバナンスエンティティ層内のエンティティおよびオブジェクトと、関係を有する。たとえば、ユーザであるボブ・スミス（ガバナンスエンティティ層からのオブジェクト）は、アクティブディレクトリアカウント（ターゲットアプリケーションエンティティ層内のオブジェクト）を有してもよい。なお、これらの層内のエンティティおよびオブジェクトは、定義のみを表し、ターゲットアプリケーション２２０で見つかるデータそのものを表さない。

さまざまな実施形態では、サーバ側コンポーネント２１５は、下位の層内のエンティティもしくはオブジェクトについてオブジェクトライフサイクルを統治または処理するために使用可能である。いくつかの実施形態では、能力またはオペレーションのガバナンスセットには、（ｉ）新しい権利の作成、変更および削除の承認ならびに証明、（ｉｉ）特権の作成、変更および削除についての職務の承認／証明および分離（権利付与としても知られる）、および／または（ｉｉｉ）新しいアプリケーションの作成、既存のアプリケーションおよび廃止されつつあるアプリケーションの変更の承認ならびに証明が含まれてもよい。たとえば、ユーザは、ターゲットアプリケーション２２０に対する構造化クエリ言語（ＳＱＬ）クエリまたはＬＤＡＰオペレーションなどの能力またはオペレーションを実行するために、サーバ側コンポーネント２１５を用い得る。能力またはオペレーションを実行すると、アイデンティティガバナンスフレームワーク２０５は、ターゲットアプリケーション２２０と関連付けられたガバナンス特有スキーマを２２５を取得する。スキーマ２２５は、ターゲットアプリケーション２２０の編成または構造を表す、アイデンティティガバナンスフレームワーク２０５の層内のエンティティおよびオブジェクト間の階層関係を含む。スキーマ２２５は、ダイナミックにガバナンスおよびターゲットアプリケーション２２０のコアエンティティをモデル化するために、層のエンティティおよび／またはオブジェクトの作成、読出し、更新、または削除が行われると、ユーザおよび／またはアイデンティティガバナンスフレームワーク２０５によって作成されてもよい。ガバナンススキーマ２２５を用いて、サーバ側コンポーネント２１５が、ガバナンスエンティティ層およびターゲットアプリケーションエンティティ層内のエンティティおよび／またはオブジェクトに対して、能力またはオペレーションを実行可能である。

ガバナンスエンティティ層およびターゲットアプリケーションエンティティ層内のエンティティおよび／またはオブジェクトに対する能力またはオペレーションの実行によって、アイデンティティガバナンスフレームワーク２０５内でエンティティおよび／またはオブジェクトのクエリ、作成、読出し、更新、または削除が行われると、記録の新しいまたは更新されたスキーマ２２５が作成される（システム内のすべてのデータのミューテーション（たとえば、ＣＲＵＤ）が、新しいまたは更新されたスキーマを確立している場合がある）。いくつかの例では、新しいまたは更新されたスキーマ２２５は、ガバナンスエンティティ層およびターゲットアプリケーションエンティティ層内のエンティティおよび／またはオブジェクトに対して能力またはオペレーションを実行するために用いられるオリジナルのスキーマ２２５と同じである、同様である、または異なる。たとえば、エンティティおよび／もしくはオブジェクトに対する能力またはオペレーションの実行は、基本的な定義もしくはデータの変化に影響を及ぼす、または及ぼさない場合があり（たとえば、クエリオペレーションが変化に影響を及ぼさない場合がある）、そのため、新しいまたは更新されたスキーマ２２５は、オリジナルのスキーマ２２５と同じでもよい、同様でもよい、または別でもよい。ターゲットアプリケーション２２０がアイデンティティガバナンスフレームワーク２０５に対して接続性を有する場合、記録の新しいまたは更新されたスキーマ２２５はその後、ターゲットアプリケーション２２０内の実データのクエリまたは更新を実行するために用いられる。ターゲットアプリケーション２２０がアイデンティティガバナンスフレームワーク２０５に接続されていない場合、ターゲットアプリケーション２２０内の実データのクエリまたは更新を実行するために、オフラインメカニズム（人間の介入など）を用いてもよい。エンティティおよび／またはオブジェクトが表す実データのすべてを、能力またはオペレーションごとにフェッチする必要はなく、サーバ側コンポーネント２１５がガバナンスエンティティ層およびターゲットアプリケーションエンティティ層内のエンティティおよび／もしくはオブジェクトに対して能力またはオペレーションを実行すると、オペレーションで用いられる実データのみをターゲットアプリケーション２２０からオンデマンドでフェッチする必要がある。ターゲットアプリケーション２２０の各々が均一な方法でモデル化され、かつ、能力またはオペレーションがモデルのエンティティおよび／またはオブジェクトに対して均一な方法で実行されると、ターゲットアプリケーション２２０のユニバーサルガバナンスが可能になる。

エンティティおよび／またはオブジェクトはいずれも、ターゲットアプリケーション２２０と必ずしも同期化される必要はない。能力またはオペレーションがエンティティおよび／またはオブジェクトに対して実行されると、スキーマ２２５が更新され、能力またはオペレーションは、ターゲットアプリケーション２２０に対するクエリまたはＣＲＵＤオペレーションとしてリアルタイムに変換される。たとえば、能力またはオペレーションが層内のエンティティおよび／またはオブジェクトに対して実行されると、アイデンティティガバナンスフレームワーク２０５はスキーマ２２５を更新し、能力またはオペレーションおよびターゲットアプリケーション２２０について更新されたスキーマ２２５を、変換層２３０に伝える。変換層２３０は、能力またはオペレーションおよび更新されたスキーマ２２５を読出し、１つ以上のターゲットアプリケーションに対する適切なスキーマ特有呼出し２３５を作成する。呼出し２３５は、ＲＥＳＴ、ＧｒａｐｈＱＬ、または他のスキーマ表現言語といった、１つ以上のターゲットアプリケーション２２０と通信するためのクエリまたは動作言語を用いて構成されてもよい。呼出し２３５は、クライアント側、たとえばターゲットアプリケーション２２０において、スキーマ２２５のエンティティおよび／またはオブジェクトが表すデータ（ターゲットアプリケーション２２０内の実データ）に対して能力またはオペレーションを行うように構成される。変換層２３０は、通信ネットワーク２４０を介してターゲットアプリケーション２２０と通信している。通信ネットワーク２４０の例は、携帯電話ネットワーク、無線ネットワーク、セルラーネットワーク、ローカルエリアネットワーク（ＬＡＮ）、広域ネットワーク（ＷＡＮ）、他の無線通信ネットワーク、またはこれらの組合わせを含んでもよい。

さまざまな実施形態では、エンティティおよび／またはオブジェクトは実際のターゲットアプリケーション２２０を表すものにすぎないため、各ターゲットアプリケーション２２０のスキーマ２２５をターゲットアプリケーション２２０のエンリッチバージョンにすることが可能である。たとえば、エンリッチオブジェクトに対する作成オペレーションは、実際のターゲットオブジェクトを作成可能であるだけでなく、アイデンティティガバナンスフレームワーク２０５（アーティファクトは必ずしもターゲットアプリケーションの一部ではない）内の他のアーティファクトも作成可能である。さらに、ユーザがアイデンティティガバナンスフレームワーク２０５とやり取りするとエンティティおよび／またはオブジェクトに対してオペレーションが行われるため、アイデンティティガバナンスフレームワーク２０５は、オブジェクトがローカルに存在していようとリモートに存在していようと、すべてのオブジェクトのミューテーションを追跡してもよい。これによって、アイデンティティガバナンスフレームワーク２０５は、セキュリティおよび監査の観点についてオブジェクトライフサイクル履歴を追跡可能なオブジェクトタイムマシンとして動作可能である。このタイムマシンおよびライフサイクルの周りのポリシーは、ターゲットアプリケーション２２０に対して完全に見えない。

図３に示すように、ガバナンスフレームワーク３００（たとえば、図２に関連して説明されたようなアイデンティティガバナンスフレームワーク２０５）は、ガバナンスサービス層３０５、ガバナンスエンティティ層３１０、およびターゲットアプリケーションエンティティ層３１５を含んでもよい。さまざまな実施形態では、各企業ユニット（たとえば、会社）は、ガバナンスサービス層３０５、ガバナンスエンティティ層３１０、およびターゲットアプリケーションエンティティ層３１５の異なるインスタンシエイションを有する。ガバナンスサービス層３０５は、企業ユニットの能力またはオペレーション３２０のガバナンスセットを含む。いくつかの実施形態では、能力は、（ｉ）アクセスリクエスト、たとえば、誰が何にいつアクセスしているかを判断する能力、（ｉｉ）証明、たとえば、アクセスの承認痕跡を有するか、誰がいつアクセスを承認したか、承認がレビューされたか、アクセスがさらにレビューされるべきであったか、またはアクセスの有効期限が切れたか、など、（ｉｉｉ）職務の分離、たとえば、複数のアプリケーションにわたってアクセスの競合があるか、（ｉｖ）データマイニングおよび解析、たとえば、ユーザがどのくらいの頻度でリソースにアクセスしているか、どこからリソースが典型的にアクセスされているか、どのようにリソースがアクセスされているか、認証特権がより多い／少ない特定の期間に付与されたか、など、ならびに（ｖ）オブジェクトタイムマシンが、たとえば、オブジェクトのライフを振り返る、およびセキュリティと監査との目的でオブジェクトライフサイクル履歴を追跡することが可能か、を含む。

ガバナンスエンティティ層３１０は、企業ユニット用のガバナンスエンティティ３２５ａ～ｎ（「ｎ」は自然数を表す）のコアセットを含む。ガバナンスエンティティ３２５ａ～ｎは、アプリケーションに特有ではないが、依然として企業顧客が追跡する必要がある情報およびタスクを表す。たとえば、ガバナンスエンティティ３２５ａ～ｎは、企業の役割などのポリシーオブジェクトでもよい。誰が役割を作成したか、この役割が課すのは何か、誰が役割を承認したか、および、誰が最後に役割をレビューしたかなどのパラメータが、ガバナンスエンティティ３２５ａ～ｎの一部である。ターゲットアプリケーションエンティティ層３１５は、企業ユニットが統治することに関心がある、対応するターゲットアプリケーションａ～ｎをモデル化するエンティティ３３５ａ～ｎのアプリケーション特有のセットが存在する場所である。エンティティ３３５ａ～ｎは、オブジェクト３４０ａ～ｎを用いてターゲットアプリケーション（複数可）をモデル化する。ターゲットアプリケーションエンティティ層３１５内のオブジェクト３４０ａ～ｎは、互いの間で、かつガバナンスエンティティ層３１０内のオブジェクト３３０ａ～ｎと、関係を有する。たとえば、企業の役割などのガバナンスエンティティ３２５ａ～ｎに対するミューテーション（たとえば、エンティティまたはオブジェクトに対する操作のＣＲＵＤオペレーション）によって、ターゲットアプリケーション（複数可）をモデル化するエンティティ３３５ａ～ｎのオブジェクト３４０ａ～ｎに対するミューテーションが起こり得る。ターゲットアプリケーションエンティティ層３１５におけるオブジェクトの関係ならびに層ガバナンスエンティティ層３１０およびターゲットアプリケーションエンティティ層３１５内のオブジェクト間の関係は、各オブジェクト間のリンク／関係を示すブランチを有する階層ツリーのノードとして表現される。たとえば、オブジェクト２０５は、アクティブディレクトリグループ２２０、アクティブディレクトリ編成２２５、およびアクティブディレクトリグループメンバーシップ２３０を含む、アクティブディレクトリアプリケーション２１５のアクティブディレクトリアカウントを有する特定のユーザ２１０の役割を表してもよい。

オブジェクト３３０、３４０間の表現は、ガバナンスサービス層３０５からの能力のガバナンスセットが、エンティティ３２５、３３５ならびに／またはガバナンスエンティティ層３１０およびターゲットアプリケーションエンティティ層３１５内のオブジェクト３３０、３４０に対して動作可能になるような均一な方法で、ターゲットアプリケーションの編成または構造のスキーマを明らかにする。オブジェクト３３０、３４０および関係がガバナンスエンティティ層３１０およびターゲットアプリケーションエンティティ層３１５で表すことができる限り、ガバナンスサービス層３０５内の機能は区別しない。すなわち、ガバナンスサービス層３０５は、任意のエンティティ３２５、３３５をユニバーサルに統治可能である。さまざまな実施形態では、オブジェクトモデルは、ターゲットアプリケーションごとに、たとえば各アプリケーションにわたる層として、スキーマに設けられる。いくつかの実施形態では、アプリケーションのコアセットが、階層ツリーに既にマッピングされたオブジェクトを含むアプリケーションごとに、スキーマを有する企業ユニットに設けられる。他の実施形態では、ユーザは、階層ツリーにマッピングされたオブジェクトを含むアプリケーション（たとえば、カスタムアプリケーション）ごとに、スキーマを設計し得る。

ガバナンス特有のスキーマを用いて、ガバナンスサービス層３０５からガバナンスエンティティ層３１０およびターゲットアプリケーションエンティティ層３１５内のエンティティ３２５、３３５およびオブジェクト３３０、３４０に対して能力またはオペレーションを行うことが可能である。オブジェクト３３０、３４０が表す実データのすべてを能力またはオペレーションごとにフェッチする必要はなく、ガバナンスサービス層３０５がガバナンス能力またはオペレーションを行うと、能力またはオペレーションで用いられる実データのみをオンデマンドでフェッチする必要がある。たとえば、役割のある人のみがこのアプリケーションに対するアクセスを有することを許可されるべきであるため、役割を有するすべての人を知りたいということ含む、ガバナンスサービス層３０５を用いてクエリが実行される場合である。役割オブジェクトが表すデータのすべてがガバナンスフレームワーク３００、またはガバナンスフレームワーク３００と関連付けられた分散環境（たとえば、クラウド環境）に存在する必要はない。そうではなく、クエリを実行するためにガバナンスサービス層３０５が用いられる、エンティティ３２５、３３５およびオブジェクト３３０、３４０に対してクエリを実行するために、変換層は、ターゲットアプリケーションから能力またはオペレーションで用いられる実データをフェッチし、変換層はその後、クエリまたはＣＲＵＤオペレーションの実行に基づいてスキーマまたは更新されたスキーマを受信し、変換層は、企業のアプリケーションまたはシステム（たとえば、ＲＥＳＴ、ＧｒａｐｈＱＬ、または他のスキーマ表現言語などのＡＰＩ呼出し）に送信された、アプリケーションまたはシステムに特有のクエリもしくはＣＲＵＤオペレーションをどのように変換するかが分かる。クエリまたはＣＲＵＤオペレーションはガバナンスフレームワーク３００外部のデータに対して行うことが可能であるだけでなく、ガバナンスフレームワーク３００は、ガバナンスフレームワーク３００に対してローカルまたはリモートに、エンティティ３２５、３３５およびオブジェクト３３０、３４０に対してクエリまたはＣＲＵＤオペレーションを実行可能である。

図３は、１つ以上のターゲットアプリケーションのエンティティ３２５、３３５およびオブジェクト３３０、３４０の例示的なスキーマまたは階層編成を示す図である。この編成は、実行時に明示される。実行時とは、ガバナンスフレームワーク３００が実行されるときのプログラミングコンポーネントのインスタンシエイションのことである。たとえば、オブジェクト指向プログラミングパラダイムの例示的かつ非制限的な場合、実行時は、必要に応じたクラスの集合からのオブジェクトの作成、メモリヒープへのオブジェクトの格納、必要に応じたオブジェクトの読出しおよび更新、ならびに、もはやオブジェクトが用いられていない場合の除去を含み得る。この場合、エンティティ３２５、３３５およびオブジェクト３３０、３４０の編成は、ガバナンスフレームワーク３００が１つ以上のターゲットアプリケーションを統治するために実行されていると、メモリ内のオブジェクト間の関係で明示される。一般に、エンティティ３２５、３３５およびオブジェクト３３０、３４０は、任意の種類のアプリケーションについてガバナンスの異なるアスペクトを実現する。たとえば、オブジェクト指向パラダイムでは、オブジェクト３３０、３４０は、ターゲットアプリケーション内のさまざまなタスクを行うためのさまざまな方法および関連付けられたプロパティを有する、クラスの別々のオブジェクト（インスタンス）に対応してもよい。従業員名簿サービスを提供するアプリケーションの特定の場合では、別々のオブジェクト３３０がユーザ（たとえば、ボブ・スミス）を提供してもよく、別々のオブジェクト３４０が従業員名簿のアプリケーションの異なる特徴（たとえば、アクティブディレクトリアカウント）を提供してもよい。従業員名簿アプリケーションでは、別々のオブジェクト３４０は、プログラムの課金機能などの異なる特徴を提供し得る。これらは、ガバナンスフレームワーク３００が適用可能な膨大な数のアプリケーションの例示的かつ非制限的な例にすぎない。

ガバナンスフレームワーク３００は、階層構造を有する。すなわち、ガバナンスフレームワーク３００内のエンティティ３２５、３３５およびオブジェクト３３０、３４０は、親と子の関係（同様に、ピアツーピアの関係）で互いに連結される。この編成を実現するために、ガバナンスフレームワーク３００はさまざまな種類のオブジェクト３３０、３４０を含む。たとえば、オブジェクト３４０ｂなどのいくつかのオブジェクトは、葉であり子を有さない一方で、オブジェクト３３０ａまたは３４０ａなどの他のオブジェクトは、枝であり子を有する。エンティティ３３５ｎなどの特定のエンティティドメイン内でリンクされた３４０ｈ～ｎなどのオブジェクトは、オブジェクトをグループとして機能することを許可する複合機能を含む。つまり、複合機能は、例示的なオブジェクトを含む複合グループ分けを定義する。ガバナンスエンティティ層３１０における複合機能は、企業顧客がエンティティ内で追跡が必要な階層的情報およびタスクを提供する一方で、ターゲットアプリケーションエンティティ層３１５では、複合機能はエンティティによって表されるターゲットアプリケーションの実際の機能のミラーリングを行うことができる。理解されるべきであるように、図３は、より包括的なガバナンスフレームワーク３００のほんの一部のみを表し得る。たとえば、オブジェクト３３０ｆ～ｎによって提供される複合機能は、より高レベル（図示せず）に連結可能であり、オブジェクト３４０ｆ～ｈによって提供される複合機能は、さらに低レベル（図示せず）に連結可能である。なお、「より高い」という用語は、より包括的な対象領域（たとえば、親および先祖レベル）の隠喩的な言及を省略したものである一方で、「より低い」という用語は、さらにネストされた領域（たとえば、子レベル）の隠喩的な言及を省略したものであり、厳密に言えば、プログラミング環境は、「上」と「下」との間で区別しない。

ユニバーサルガバナンス処理を有するアイデンティティ管理システム
図４は、ユニバーサルガバナンスのプロセスおよびオペレーションを示す図である。個々の実施形態は、フローチャート、フロー図、データフロー図、構造図、またはブロック図として示されるプロセスとして記載される場合がある。フローチャートは逐次プロセスとしてオペレーションを記載する場合があるが、オペレーションの多くは、並列にまたは同時に実行されてもよい。さらに、オペレーションの順序を並べ替えてもよい。プロセスはオペレーションが完了すると終了するが、図に含まれていない追加のステップを有し得る。プロセスは、方法、関数、プロシージャ、サブルーティン、サブプログラムなどに対応し得る。プロセスが関数に対応する場合、その終了は、当該関数を呼出して当該関数に戻る、または、メインの関数に戻ることに対応し得る。

図４に示すプロセスおよび／またはオペレーションは、１つ以上の処理ユニット（たとえば、プロセッサ、コア）によって実行されるソフトウェア（たとえば、コード、命令、プログラム）、ハードウェア、またはこれらの組合わせによって実現されてもよい。ソフトウェアは、メモリ（たとえば、メモリデバイス、非一時的コンピュータ可読記憶媒体）に格納可能である。図４の特定の一連の処理ステップは、制限的であることを意図したものではない。ステップの他のシーケンスも、代替的な実施形態に従って行ってもよい。たとえば代替的な実施形態では、上述のステップを異なる順序で行うことができる。さらに、図４に示す個別のステップは、必要に応じて、個別のステップに対してさまざまなシーケンスで行うことが可能な複数のサブステップを含んでもよい。さらに、特定のアプリケーションに応じて、追加のステップを追加または削除可能である。当業者であれば、多くの変形例、修正例、および代替例を認識するであろう。

図４は、ユニバーサルガバナンスのプロセスを説明するフローチャート４００を示す。いくつかの実施形態では、フローチャート４００に示すプロセスは、図２および図３に示すアーキテクチャおよびプロセスフローによって実現可能である。ステップ４０５において、データのクエリまたはデータに対するＣＲＵＤオペレーションのリクエストが受信される。データは、ターゲットアプリケーションの一部である。いくつかの実施形態では、ターゲットアプリケーションは、企業によって実現される。ステップ４１０において、ターゲットアプリケーションと関連付けられたオブジェクトのスキーマが取得される。スキーマは、オブジェクト間の関係をモデル化し、オブジェクトは、少なくともターゲットのデータを表す。ステップ４１５において、スキーマに基づいて、クエリまたはＣＲＵＤオペレーションがオブジェクトに対して実行される。ステップ４２０において、オブジェクトに対するクエリまたはＣＲＵＤオペレーションを説明するために、スキーマが更新される。本明細書で用いられるように、アクションが何かに「基づいて」いる場合、これは、アクションが少なくとも何かの一部に少なくとも部分的に基づいていることを意味する。

ステップ４２５において、クエリまたはＣＲＵＤオペレーションが、スキーマに基づいてデータに対して実行される。いくつかの例では、データに対してクエリまたはＣＲＵＤオペレーションを実行するために用いられるスキーマは、オブジェクトに対してクエリまたはＣＲＵＤオペレーションを実行するために用いられるスキーマと同じである、同様である、または異なる。特定の例では、データに対してクエリまたはＣＲＵＤオペレーションを実行するために用いられるスキーマは、ステップ４２０で更新されたスキーマである。いくつかの実施形態では、この実行は、クエリまたはＣＲＵＤオペレーションを、スキーマまたは更新されたスキーマに基づいて、ターゲットアプリケーションに対する１つ以上のスキーマ特有の呼出しに変換することを含む。呼出しは、オブジェクトのスキーマまたは更新されたスキーマに従って、１つ以上の企業アプリケーションのデータに対してクエリまたはＣＲＵＤを実行するように構成される。ステップ４３０において、クエリまたはＣＲＵＤオペレーションの結果がユーザに報告される。いくつかの実施形態では、クエリまたはＣＲＵＤオペレーションの報告は、オブジェクトのライフサイクルにわたって、オブジェクトと関連付けられたデータに対して行われるすべてのオブジェクトのミューテーションを報告することを含む。

例示的なシステム
図５は、ある実施形態を実現するための分散システム５００を簡潔に示す図である。図示された実施形態では、分散システム５００は、１つ以上の通信ネットワーク５１０を介してサーバ５１２に連結された１つ以上のクライアントコンピューティングデバイス５０２、５０４、５０６、および５０８を含む。クライアントコンピューティングデバイス５０２、５０４、５０６、および５０８は、１つ以上のアプリケーションを実行するように構成されてもよい。

さまざまな実施形態では、サーバ５１２は、多種多様なアプリケーションのユニバーサルアイデンティティ管理もしくはガバナンスを行うことが可能な１つ以上のサービスまたはソフトウェアアプリケーションを実行するように適合されてもよい。

また、特定の実施形態では、サーバ５１２は、非仮想環境および仮想環境を含み得る他のサービスまたはソフトウェアアプリケーションを提供してもよい。いくつかの実施形態では、これらのサービスは、ウェブベースのサービスまたはクラウドサービスとして、たとえばサービスとしてのソフトウェア（ＳａａＳ）モデルの下で、クライアントコンピューティングデバイス５０２、５０４、５０６、および／または５０８のユーザに対して提供されてもよい。クライアントコンピューティングデバイス５０２、５０４、５０６、および／または５０８を動作させているユーザは、サーバ５１２とやり取りを行ってこれらのコンポーネントによって提供されるサービスを利用するために、１つ以上のクライアントアプリケーションを用いてもよい。

図５に示す構成では、サーバ５１２は、サーバ５１２によって行われる機能を実現する１つ以上のコンポーネント５１８、５２０および５２２を含んでもよい。これらのコンポーネントは、１つ以上のプロセッサによって実現可能なソフトウェアコンポーネント、ハードウェアコンポーネント、またはこれらの組合わせを含んでもよい。なお、分散システム５００と異なってもよいさまざまな異なるシステム構成が可能である。図５に示す実施形態はそのため、実施形態のシステムを実現するための分散システムの一例であり、制限的であることを意図したものではない。

ユーザは、本開示の教示に従って、多種多様なアプリケーションのユニバーサルアイデンティティ管理またはガバナンスを行うために、クライアントコンピューティングデバイス５０２、５０４、５０６、および／または５０８を用いてもよい。クライアントデバイスは、クライアントデバイスのユーザがクライアントデバイスとやり取りすることを可能にするインターフェースを提供してもよい。また、クライアントデバイスは、このインターフェースを介してユーザに情報を出力してもよい。図５では４つのクライアントコンピューティングデバイスのみが示されるが、任意の数のクライアントコンピューティングデバイスをサポートしてもよい。

クライアントデバイスは、ポータブルハンドヘルドデバイス、パーソナルコンピュータおよびラップトップコンピュータなどの汎用コンピュータ、ワークステーションコンピュータ、ウェアラブルデバイス、ゲーミングシステム、シンクライアント、さまざまなメッセージ通信デバイス、センサまたは他の検知デバイスなど、さまざまな種類のコンピューティングシステムを含んでもよい。これらのコンピューティングデバイスは、さまざまなモバイルオペレーティングシステム（たとえば、Ｍｉｃｒｏｓｏｆｔ Ｗｉｎｄｏｗｓ（登録商標） Ｍｏｂｉｌｅ、ｉＯＳ、Ｗｉｎｄｏｗｓ Ｐｈｏｎｅ（登録商標）、Ａｎｄｒｏｉｄ（登録商標）、ＢｌａｃｋＢｅｒｒｙ（登録商標）、Ｐａｌｍ ＯＳ（登録商標））を含むさまざまな種類およびさまざまなバージョンのソフトウェアアプリケーションおよびオペレーティングシステム（たとえば、Ｍｉｃｒｏｓｏｆｔ Ｗｉｎｄｏｗｓ（登録商標）、Ａｐｐｌｅ Ｍａｃｉｎｔｏｓｈ（登録商標）、ＵＮＩＸ（登録商標）またはＵＮＩＸのようなオペレーティングシステム、Ｇｏｏｇｌｅ Ｃｈｒｏｍｅ（登録商標）ＯＳなどのＬｉｎｕｘ（登録商標）またはＬｉｎｕｘのようなオペレーティングシステム）を実行してもよい。ポータブルハンドヘルドデバイスは、携帯電話、スマートフォン（たとえば、ｉＰｈｏｎｅ（登録商標））、タブレット（たとえば、ｉＰａｄ（登録商標）、パーソナルデジタルアシスタント（ＰＤＡ）などを含んでもよい。ウェアラブルデバイスは、Ｇｏｏｇｌｅ Ｇｌａｓｓ（登録商標）ヘッドマウントディスプレイ、および他のデバイスを含んでもよい。ゲーミングシステムは、さまざまなハンドヘルドゲーミングデバイス、インターネット対応のゲーミングデバイス（たとえば、Ｋｉｎｅｃｔ（登録商標）ジェスチャ入力装置付きまたは無しのＭｉｃｒｏｓｏｆｔ Ｘｂｏｘ（登録商標）ゲーミングコンソール、Ｓｏｎｙ ＰｌａｙＳｔａｔｉｏｎ（登録商標）システム、任天堂（登録商標）によって提供されるさまざまなゲーミングシステム、およびその他）を含んでもよい。クライアントデバイスは、さまざまなインターネット関連アプリ、通信アプリケーション（たとえば、Ｅメールアプリケーション、ショートメッセージサービス（ＳＭＳ）アプリケーション）などのさまざまな異なるアプリケーションを実行可能であり、さまざまな通信プロトコルを用いてもよい。

ネットワーク（複数可）５１０は、これらに限定されないが、ＴＣＰ／ＩＰ（通信制御プロトコル／インターネットプロトコル）、ＳＮＡ（システムネットワークアーキテクチャ）、ＩＰＸ（インターネットパケット交換）、およびＡｐｐｌｅＴａｌｋ（登録商標）などを含む、さまざまな利用可能なプロトコルを用いてデータ通信をサポート可能な、当業者にとってなじみのある任意の種類のネットワークでもよい。単に一例として、ネットワーク（複数可）５１０は、ローカルエリアネットワーク（ＬＡＮ）、Ｅｔｈｅｒｎｅｔ（登録商標）ベースのネットワーク、トークンリング、ワイドエリアネットワーク（ＷＡＮ）、インターネット、仮想ネットワーク、仮想プライベートネットワーク（ＶＰＮ）、イントラネット、エクストラネット、公衆交換電話網（ＰＳＴＮ）、赤外線ネットワーク、ワイヤレスネットワーク（たとえば、Ｉｎｓｔｉｔｕｔｅ ｏｆ Ｅｌｅｃｔｒｉｃａｌ Ａｎｄ Ｅｌｅｃｔｒｏｎｉｃｓ（ＩＥＥＥ）１００２．１１スイートのプロトコル、Ｂｌｕｅｔｏｏｔｈ（登録商標）、および／またはその他のワイヤレスプロトコルのうちのいずれかの下で動作するネットワーク）、および／またはこれらの任意の組合せおよび／または他のネットワークであり得る。

サーバ５１２は、１つ以上の汎用コンピュータ、専用サーバコンピュータ（一例として、ＰＣ（パーソナルコンピュータ）サーバ、ＵＮＩＸ（登録商標）サーバ、ミッドレンジサーバ、メインフレームコンピュータ、ラックマウント式のサーバなどを含む）、サーバファーム、サーバクラスタ、もしくはその他の適切な配置および／または組合せから構成されてもよい。サーバ５１２は、仮想オペレーティングシステムを実行している１つ以上の仮想マシン、または、サーバ用の仮想ストレージデバイスを保持するために仮想化可能なロジカルストレージデバイスの１つ以上のフレキシブルプールなど、仮想化を伴う他のコンピューティングアーキテクチャを含み得る。さまざまな実施形態において、サーバ５１２は、上記の開示において説明した機能を提供する１つ以上のサービスまたはソフトウェアアプリケーションを実行するように適合されてもよい。

サーバ５１２のコンピューティングシステムは、上述のオペレーティングシステムのいずれかおよび任意の市販のサーバオペレーティングシステムを含む１つ以上のオペレーティングシステムを実行してもよい。また、サーバ５１２は、ＨＴＴＰ（ハイパテキスト転送プロトコル）サーバ、ＦＴＰ（ファイル転送プロトコル）サーバ、ＣＧＩ（コモンゲートウェイインターフェース）サーバ、ＪＡＶＡ（登録商標）サーバ、およびデータベースサーバなどを含む、さまざまな追加のサーバアプリケーションおよび／またはミッドティアアプリケーションを実行してもよい。例示的なデータベースサーバとして、Ｏｒａｃｌｅ（登録商標）、Ｍｉｃｒｏｓｏｆｔ（登録商標）、Ｓｙｂａｓｅ（登録商標）、およびＩＢＭ（Ｉｎｔｅｒｎａｔｉｏｎａｌ Ｂｕｓｉｎｅｓｓ Ｍａｃｈｉｎｅｓ、登録商標）などから市販されているデータベースサーバが挙げられるが、これらに限定されない。

いくつかの実現例では、サーバ５１２は、クライアントコンピューティングデバイス５０２、５０４、５０６、および５０８のユーザから受信したデータフィードおよび／またはイベント更新を解析および統合するための１つ以上のアプリケーションを含んでもよい。一例として、データフィードおよび／またはイベント更新は、これらに限定されないが、１つ以上のサードパーティ情報ソースおよび連続したデータストリームから受信するＴｗｉｔｔｅｒ（登録商標）フィード、Ｆａｃｅｂｏｏｋ（登録商標）更新またはリアルタイム更新を含んでもよく、当該１つ以上のサードパーティ情報ソースおよび連続したデータストリームは、センサデータアプリケーション、金融ティッカー、およびネットワークパフォーマンス測定ツール（たとえば、ネットワーク監視およびトラフィック管理アプリケーション）、クリックストリーム解析ツール、自動車交通量監視などに関するリアルタイムイベントを含んでもよい。また、サーバ５１２は、クライアントコンピューティングデバイス５０２、５０４、５０６、および５０８の１つ以上の表示装置を介してデータフィードおよび／またはリアルタイムイベントを表示するための１つ以上のアプリケーションを含んでもよい。

また、分散システム５００は、１つ以上のデータリポジトリ５１４および５１６を含んでもよい。これらのデータリポジトリは、特定の実施形態においてデータおよび他の情報を格納するために用いられてもよい。たとえば、データリポジトリ５１４および５１６の１つ以上は、ユニバーサルアイデンティティ管理またはガバナンスを行うための情報を格納するために用いられてもよい。データリポジトリ５１４、５１６は、さまざまな場所に存在してもよい。たとえば、サーバ５１２によって用いられるデータリポジトリは、サーバ５１２にローカルでもよく、または、サーバ５１２に対してリモートでもよく、ネットワークベースもしくは専用接続を介してサーバ５１２と通信している。データリポジトリ５１４、５１６は、異なる種類でもよい。特定の実施形態では、サーバ５１２によって用いられるデータリポジトリは、データベース、たとえば、Ｏｒａｃｌｅ Ｃｏｒｐｏｒａｔｉｏｎ（登録商標）および他のベンダによって提供されるデータベースなどのリレーショナルデータベースでもよい。これらのデータベースのうちの１つ以上は、ＳＱＬフォーマットのコマンドに応答して、データベースに対するデータの格納、更新、および取出しが可能になるように適合されてもよい。

また、特定の実施形態では、データリポジトリ５１４、５１６のうちの１つ以上は、アプリケーションデータを格納するためにアプリケーションによって用いられてもよい。アプリケーションによって用いられるデータリポジトリは、たとえば、キー値格納リポジトリ、オブジェクト格納リポジトリ、またはファイルシステムによってサポートされる一般的な格納リポジトリなど、異なる種類でもよい。

特定の実施形態では、本開示で説明される多種多様なアプリケーションのユニバーサルアイデンティティ管理またはガバナンスを行うことは、クラウド環境を介したサービスとして提供されてもよい。図６は、特定の実施形態に係る、ユニバーサルアイデンティティ管理またはガバナンスを行うことがクラウドサービスとして提供されてもよいクラウドベースシステム環境の簡潔なブロック図である。図６に示す実施形態では、クラウドインフラストラクチャシステム６０２は、１つ以上のクライアントコンピューティングデバイス６０４、６０６、および６０８を用いてユーザがリクエストし得る１つ以上のクラウドサービスを提供してもよい。クラウドインフラストラクチャシステム６０２は、サーバ５１２について上述したものを含んでもよい１つ以上のコンピュータおよび／またはサーバを含んでもよい。クラウドインフラストラクチャシステム６０２内のコンピュータは、汎用コンピュータ、専用サーバコンピュータ、サーバファーム、サーバクラスタ、もしくは他の適切な配列および／または組合わせとして編成されてもよい。

ネットワーク（複数可）６１０は、クライアント６０４、６０６、および６０８とクラウドインフラストラクチャシステム６０２との間のデータの通信およびやり取りを容易にし得る。ネットワーク（複数可）６１０は、１つ以上のネットワークを含んでもよい。ネットワークは、同じ種類でも異なる種類でもよい。ネットワーク（複数可）６１０は、有線および／または無線プロトコルを含む１つ以上の通信プロトコルをサポートして、通信を容易にしてもよい。

図６に示す実施形態は、クラウドインフラストラクチャシステムのほんの一例に過ぎず、制限的であることを意図したものではない。なお、いくつかの他の実施形態では、クラウドインフラストラクチャシステム６０２は、図６に示すものよりも多いまたは少ないコンポーネントを有してもよく、２つ以上のコンポーネントを組合わせてもよい、または、コンポーネントの異なる構成または配列を有してもよい。たとえば、図６は３つのクライアントコンピューティングデバイスを示すが、代替的な実施形態では、任意の数のクライアントコンピューティングデバイスがサポートされてもよい。

クラウドサービスという用語は一般に、オンデマンドで、サービスプロバイダのシステム（たとえば、クラウドインフラストラクチャシステム６０２）によるインターネットなどの通信ネットワークを介してユーザが利用可能なサービスのことを言うために用いられる。典型的には、パブリッククラウド環境では、クラウドサービスプロバイダのシステムを構成するサーバおよびシステムは、顧客所有のオンプレミスサーバおよびシステムと異なる。クラウドサービスプロバイダのシステムは、クラウドサービスプロバイダによって管理される。顧客はそのため、サービスについて別個のライセンス、サポート、またはハードウェアおよびソフトウェアリソースを購入する必要はなく、クラウドサービスプロバイダによって提供されるクラウドサービスを利用可能である。たとえば、クラウドサービスプロバイダのシステムは、アプリケーションをホストしてもよく、ユーザは、アプリケーションを実行するためのインフラストラクチャリソースを購入することなく、インターネットを介して、オンデマンドでアプリケーションを注文および使用してもよい。クラウドサービスは、アプリケーション、リソースおよびサービスに対する容易かつスケーラブルなアクセスを提供するように設計される。複数のプロバイダは、クラウドサービスを提供する。たとえば、複数のクラウドサービスは、ミドルウェアサービス、データベースサービス、Ｊａｖａクラウドサービス、および他のサービスなど、カリフォルニア州レッドウッド・ショアーズのＯｒａｃｌｅ Ｃｏｒｐｏｒａｔｉｏｎ（登録商標）によって提供される。

特定の実施形態では、クラウドインフラストラクチャシステム６０２は、ハイブリッドサービスモデルを含む異なるモデルを用いて、たとえば、サービスとしてのソフトウェア（ＳａａＳ）モデル、サービスとしてのプラットフォーム（ＰａａＳ）モデル、サービスとしてのインフラストラクチャ（ＩａａＳ）モデル、および他のモデルなどの下で、１つ以上のクラウドサービスを提供してもよい。クラウドインフラストラクチャシステム６０２は、アプリケーション、ミドルウェア、データベース、およびさまざまなクラウドサービスを提供可能な他のリソース一式を含んでもよい。

ＳａａＳモデルによって、顧客が基本的なアプリケーション用にハードウェアまたはソフトウェアを買う必要なしに、サービスとして、インターネットなどの通信ネットワークを介して顧客にアプリケーションまたはソフトウェアを配信可能である。たとえば、ＳａａＳモデルは、クラウドインフラストラクチャシステム６０２がホストするオンデマンドアプリケーションへのアクセスを顧客に提供するために用いられてもよい。Ｏｒａｃｌｅ Ｃｏｒｐｏｒａｔｉｏｎ（登録商標）によって提供されるＳａａＳサービスの例は、これらに限定されないが、人材／資本管理、顧客関係管理（ＣＲＭ）、企業資源計画（ＥＲＰ）、サプライチェーン管理（ＳＣＭ）、企業パフォーマンス管理（ＥＰＭ）、解析サービス、ソーシャルアプリケーション、およびその他を含む。

ＩａａＳモデルは一般に、柔軟な計算および格納能力を提供するためのクラウドサービスとして顧客にインフラストラクチャリソース（たとえば、サーバ、記憶装置、ハードウェアおよびネットワーキングリソース）を提供するために用いられる。さまざまなＩａａＳサービスが、Ｏｒａｃｌｅ Ｃｏｒｐｏｒａｔｉｏｎ（登録商標）によって提供される。

ＰａａＳモデルは通常、サービスとして、顧客がそのようなリソースを調達、構築、または維持することなく、アプリケーションおよびサービスを開発、実行、および管理できるプラットフォームならびに環境リソースを提供するために用いられる。Ｏｒａｃｌｅ Ｃｏｒｐｏｒａｔｉｏｎ（登録商標）によって提供されるＰａａＳサービスの例は、これらに限定されないが、Ｏｒａｃｌｅ Ｊａｖａ Ｃｌｏｕｄ Ｓｅｒｖｉｃｅ （ＪＣＳ）、Ｏｒａｃｌｅ Ｄａｔａｂａｓｅ Ｃｌｏｕｄ Ｓｅｒｖｉｃｅ（ＤＢＣＳ）、データ管理クラウドサービス、さまざまなアプリケーション開発ソルーションサービス、およびその他を含む。

クラウドサービスは通常、オンデマンドのセルフサービスベースで、サブスクリプションベース、柔軟にスケーラブルで信頼性があり、高可用性および安全な態様で提供される。たとえば、顧客は、サブスクリプション注文を介して、クラウドインフラストラクチャシステム６０２によって提供される１つ以上のサービスを注文してもよい。クラウドインフラストラクチャシステム６０２はその後、顧客のサブスクリプション注文でリクエストされたサービスを提供するために、処理を行う。たとえば、多種多様なアプリケーションのユニバーサルアイデンティティ管理またはガバナンスを行う。クラウドインフラストラクチャシステム６０２は、１つまたはさらには複数のクラウドサービスを提供するように構成されてもよい。

クラウドインフラストラクチャシステム６０２は、異なる展開モデルを介してクラウドサービスを提供してもよい。パブリッククラウドモデルにおいて、クラウドインフラストラクチャシステム６０２は、サードパーティクラウドサービスプロバイダによって所有されてもよく、クラウドサービスが一般の顧客に提供され、クラウドサービスは一般の顧客に提供され、顧客は個人または企業であり得る。特定の他の実施形態では、プライベートクラウドモデルの下で、クラウドインフラストラクチャシステム６０２は、組織内で（たとえば、企業組織内で）動作されてもよく、サービスは、組織内の顧客に提供される。たとえば、顧客は、人事部、給与部などの企業のさまざまな部、またはさらには企業内の個人でもよい。特定の他の実施形態では、コミュニティクラウドモデルの下で、クラウドインフラストラクチャシステム６０２および提供されるサービスが、関連するコミュニティ内の複数の組織によって共有されてもよい。上述のモデルのハイブリッドなどのさまざまな他のモデルも使用可能である。

クライアントコンピューティングデバイス６０４、６０６、および６０８は異なる種類（図５に示すデバイス５０２、５０４、５０６および５０８など）でもよく、１つ以上のクライアントアプリケーションを動作可能でもよい。ユーザは、クラウドインフラストラクチャシステム６０２とやり取りするために、たとえば、クラウドインフラストラクチャシステム６０２によって提供されるサービスをリクエストするために、クライアントデバイスを用いてもよい。たとえば、ユーザは、本開示で説明されたユニバーサルアイデンティティ管理またはガバナンスを行うためにクライアントデバイスを用いてもよい。

いくつかの実施形態では、ユニバーサルアイデンティティ管理またはガバナンスを提供するためにクラウドインフラストラクチャシステム６０２によって行われる処理は、ビッグデータ分析を含んでもよい。この分析は、データ内のさまざまな傾向、挙動、関係などの検出および視覚化を行うために大きなデータセットの使用、分析、および操作を含んでもよい。この分析は、可能であれば平行してデータの処理、およびデータを用いたシミュレーションなどを行う１つ以上のプロセッサによって行われてもよい。たとえば、ビッグデータ分析は、多種多様なアプリケーションのユニバーサルアイデンティティ管理またはガバナンスを行うためにクラウドインフラストラクチャシステム６０２によって行われてもよい。この分析に用いられるデータは、構造化データ（たとえば、データベースに格納されたもしくは構造化モデルに従って構成されたデータ）および／または非構造化データ（たとえば、データブロブ（バイナリーラージオブジェクト））を含んでもよい。

図６で実施形態に示すように、クラウドインフラストラクチャシステム６０２は、クラウドインフラストラクチャシステム６０２によって提供されるさまざまなクラウドサービスの提供を容易にするために用いられるインフラストラクチャリソース６３０を含んでもよい。インフラストラクチャリソース６３０はたとえば、処理リソース、記憶またはメモリリソース、およびネットワーキングリソースなどを含んでもよい。

特定の他の実施形態では、異なる顧客のためにクラウドインフラストラクチャシステム６０２によって提供されるさまざまなクラウドサービスをサポートするためのこれらのリソースの効率的なプロビジョニングを容易にするために、リソースがリソースのセットまたはリソースモジュール（「ポッド」とも呼ばれる）に束ねられてもよい。各リソースモジュールすなわちポッドは、１つ以上の種類のリソースの事前に統合され最適化された組合わせを含んでもよい。特定の実施形態では、異なるポッドは、異なる種類のクラウドサービス用に事前にプロビジョニングされてもよい。たとえば、ポッドの第１のセットがデータベースサービス用にプロビジョニングされてもよく、ポッドの第１のセット内のポッドと異なるリソースの組合わせを含んでもよいポッドの第２のセットが、Ｊａｖａサービス用にプロビジョニングされてもよい、などである。複数のサービス用に、サービスのプロビジョニングのために割当てられたリソースがサービス間で共有されてもよい。

クラウドインフラストラクチャシステム６０２そのものは、クラウドインフラストラクチャシステム６０２の異なるコンポーネントによって共有され、かつ、クラウドインフラストラクチャシステム６０２によるサービスのプロビジョニングを容易にするサービス６３２を内部で用いてもよい。これらの内部で共用されるサービスは、これらに限定されないが、セキュリティおよびアイデンティティサービス、統合サービス、企業リポジトリサービス、企業管理サービス、ウイルススキャンおよびホワイトリストサービス、高可用性バックアップおよびリカバリサービス、クラウドサポートを可能にするためのサービス、ｅメールサービス、通知サービス、およびファイル転送サービスなどを含んでもよい。

クラウドインフラストラクチャシステム６０２は、複数のサブシステムを含んでもよい。これらのサブシステムは、ソフトウェア、またはハードウェア、またはこれらの組合わせで実現されてもよい。図６に示すように、サブシステムは、クラウドインフラストラクチャシステム６０２のユーザまたは顧客をクラウドインフラストラクチャシステム６０２とやり取り可能にするユーザインターフェースサブシステム６１２を含んでもよい。ユーザインターフェースサブシステム６１２は、ウェブインターフェース６１４、クラウドインフラストラクチャシステム６０２によって提供されるクラウドサービスが、宣伝され、顧客によって購入可能であるオンラインストアインターフェース６１６、および他のインターフェース６１８などのさまざまな異なるインターフェースを含んでもよい。たとえば、顧客はクライアントデバイスを用いて、インターフェース６１４、６１６、および６１８のうちの１つ以上を用いてクラウドインフラストラクチャシステム６０２によって提供される１つ以上のサービスをリクエストしてもよい（サービスリクエスト６３４）。たとえば、顧客は、オンラインストアにアクセスし、クラウドインフラストラクチャシステム６０２によって提供されるクラウドサービスをブラウズしてもよく、顧客がサブスクライブを希望する、クラウドインフラストラクチャシステム６０２によって提供される１つ以上のサービスのサブスクリプションを注文してもよい。サービスリクエストは、顧客および顧客がサブスクライブを希望する１つ以上のサービスを識別する情報を含んでもよい。たとえば、顧客は、クラウドインフラストラクチャシステム６０２によって提供されるユニバーサルアイデンティティ管理またはガバナンスのサブスクリプションを注文してもよい。注文の一部として、顧客は、複雑で時間的制約のある解決されるべきビジネスシナリオを識別する情報を提供してもよい。

図６に示す実施形態などの特定の実施形態では、クラウドインフラストラクチャシステム６０２は、新しい注文を処理するように構成された注文管理サブシステム（ＯＭＳ）６２０を含んでもよい。この処理の一部として、ＯＭＳ６２０は、まだ作成されていない場合は顧客用にアカウントを作成し、リクエストされたサービスを顧客に提供するために顧客に請求するために用いられる、顧客からの請求および／または会計情報を受信し、顧客情報を確認し、確認すると、顧客のために注文を予約し、かつ、注文を準備してプロビジョニングするためにさまざまなワークフローを調整するように構成されてもよい。

正しく確認されると、ＯＭＳ６２０は、処理、メモリ、およびネットワーキングリソースを含む注文についてリソースをプロビジョニングするように構成された注文プロビジョニングサブシステム（ＯＰＳ）６２４を呼出してもよい。プロビジョニングは、注文についてリソースを割当てること、および顧客の注文によってリクエストされたサービスを容易にするためにリソースを構成することを含んでもよい。リソースが注文およびプロビジョニングされるリソースの種類についてプロビジョニングされる態様は、顧客が注文したクラウドサービスの種類に応じて決まってもよい。たとえば、１つのワークフローに従って、ＯＰＳ６２４は、リクエストされている特定のクラウドサービスを判断し、かつ、この特定のクラウドサービスについて事前に構成された複数のポッドを識別するように構成されてもよい。注文について割当てられたポッドの数は、リクエストされるサービスのサイズ／量／レベル／範囲に応じて決まってもよい。たとえば、割当てられるポッドの数は、サービスによってサポートされるユーザの数、およびサービスがリクエストされる期間などに基づいて判断されてもよい。割当てられたポッドはその後、リクエストされたサービスのプロビジョニングのために特定のリクエストしている顧客用にカスタマイズされてもよい。

クラウドインフラストラクチャシステム６０２は、リクエストされたサービスが使用される準備が整ったときを示すために、リクエストしている顧客に対して応答または通知６４４を送ってもよい。いくつかの例では、顧客がリクエストされたサービスのメリットの使用および利用が開始可能になる情報（たとえば、リンク）が、顧客に送られてもよい。特定の実施形態では、ユニバーサルアイデンティティ管理またはガバナンスサービスをリクエストしている顧客について、応答は、解決されるべき複雑で時間的制約のあるビジネスシナリオのリクエストを含んでもよい。

クラウドインフラストラクチャシステム６０２は、複数の顧客にサービスを提供してもよい。顧客ごとに、クラウドインフラストラクチャシステム６０２は、顧客から受信した１つ以上のサブスクリプションの注文に関連する情報の管理、注文に関連する顧客データの保持、およびリクエストされたサービスの顧客への提供を担う。また、クラウドインフラストラクチャシステム６０２は、サブスクライブされたサービスの顧客の使用に関する利用統計を収集してもよい。たとえば、統計は、使用されるストレージの量、転送されるデータの量、ユーザの数、ならびにシステムアップ時間およびシステムダウン時間の量などについて収集されてもよい。この使用情報は、顧客に請求するために用いられてもよい。請求はたとえば、月サイクルで行われてもよい。

クラウドインフラストラクチャシステム６０２は、複数の顧客に平行してサービスを提供してもよい。クラウドインフラストラクチャシステム６０２は、可能であればプロプライエタリ情報を含む、これらの顧客のための情報を格納してもよい。特定の実施形態では、クラウドインフラストラクチャシステム６０２は、顧客情報を管理し、かつ、ある顧客に関連する情報が他の顧客によってアクセス可能とならないように管理された情報を分離するように構成されたアイデンティティ管理サブシステム（ＩＭＳ）６２８を含む。ＩＭＳ６２８は、情報アクセス管理、認証および許可サービス、顧客のアイデンティティおよび役割ならびに関連する能力を管理するためのサービスといった、アイデンティティサービスなどのさまざまなセキュリティ関連サービスを提供するように構成されてもよい。

図７は、特定の実施形態を実現するために用いられ得る例示的なコンピュータシステム７００を示す図である。たとえば、いくつかの実施形態では、コンピュータシステム７００は、ユニバーサルアイデンティティ管理またはガバナンス処理システム、アイデンティティ管理システム、ならびに上述のさまざまなサーバおよびコンピュータシステムのうちのいずれかを実現するために用いられてもよい。図７に示すように、コンピュータシステム７００は、バスサブシステム７０２を介して複数の他のサブシステムと通信する処理サブシステム７０４を含むさまざまなサブシステムを含む。これらの他のサブシステムは、処理加速ユニット７０６、Ｉ／Ｏサブシステム７０８、ストレージサブシステム７１８、および通信サブシステム７２４を含んでもよい。ストレージサブシステム７１８は、記憶媒体７２２およびシステムメモリ７１０を含む非一時的なコンピュータ可読記憶媒体を含んでもよい。

バスシステム７０２は、コンピュータシステム７００のさまざまなコンポーネントおよびサブシステムに意図した通りに互いに通信させるためのメカニズムを提供する。バスサブシステム７０２は１つのバスとして模式的に示されているが、バスサブシステムの代替的な実施形態では、複数のバスが用いられてもよい。バスサブシステム７０２は、さまざまなバスアーキテクチャのうちのいずれかを用いたメモリバスまたはメモリコントローラ、周辺バス、ローカルバスを含む複数の種類のバス構造のうちいずれかでもよい。たとえば、そのようなアーキテクチャは、ＩＥＥＥ Ｐ１３８６．１標準規格に準拠して製造されるＭｅｚｚａｎｉｎｅバスなどとして実現可能な、業界標準アーキテクチャ（ＩＳＡ）バス、マイクロチャネルアーキテクチャ（ＭＣＡ）バス、拡張ＩＳＡ（ＥＩＳＡ）バス、ビデオエレクトロニクススタンダーズアソシエーション（ＶＥＳＡ）ローカルバス、およびペリフェラルコンポーネントインターコネクト（ＰＣＩ）バスを含んでもよい。

処理サブシステム７０４は、コンピュータシステム７００の動作を制御し、１つ以上のプロセッサ、特定用途向け集積回路（ＡＳＩＣ）、またはフィールドプログラマブルゲートアレイ（ＦＰＧＡ）を含んでもよい。プロセッサは、シングルコアプロセッサまたはマルチコアプロセッサを含んでもよい。コンピュータシステム７００の処理リソースは、１つ以上の処理ユニット７３２、７３４などに編成可能である。処理ユニットは、１つ以上のプロセッサ、同じもしくは異なるプロセッサからの１つ以上のコア、コアおよびプロセッサの組合わせ、またはコアおよびプロセッサの他の組合わせを含んでもよい。いくつかの実施形態では、処理サブシステム７０４は、グラフィックスプロセッサ、またはデジタルシグナルプロセッサ（ＤＳＰ）など、１つ以上の専用コプロセッサを含んでもよい。いくつかの実施形態では、処理サブシステム７０４の処理ユニットの一部またはすべては、特定用途向け集積回路（ＡＳＩＣ）、またはフィールドプログラマブルゲートアレイ（ＦＰＧＡ）など、カスタム回路を使用して実現され得る。

いくつかの実施形態では、処理サブシステム７０４内の処理ユニットは、システムメモリ７１０に、またはコンピュータ可読記憶媒体７２２に格納された命令を実行可能である。さまざまな実施形態では、処理ユニットは、さまざまなプログラムまたはコード命令の実行、および複数の同時に実行しているプログラムまたはプロセスの維持が可能である。いつでも、実行されるプログラムコードの一部またはすべては、システムメモリ７１０に、および／または、１つ以上の記憶装置を潜在的に含む、コンピュータ可読記憶媒体７２２に存在し得る。好適なプログラミングによって、処理サブシステム７０４は上述のさまざまな機能を提供可能である。コンピュータシステム７００が１つ以上の仮想マシンを実行している例では、１つ以上の処理ユニットを各仮想マシンに割当ててもよい。

特定の実施形態では、カスタマイズされた処理を実行するために、または、コンピュータシステム７００によって実行される全体的な処理が加速するように、処理サブシステム７０４によって実行される処理のうちのいくつかの負荷を軽減させるために、処理加速ユニット７０６が任意に設けられてもよい。

Ｉ／Ｏサブシステム７０８は、コンピュータシステム７００に情報を入力するための、および／または、コンピュータシステム７００からまたはこれを介して情報を出力するためのデバイスおよびメカニズムを含んでもよい。一般に、入力装置という用語の使用は、コンピュータシステム７００に情報を入力するためのあらゆる種類のデバイスおよびメカニズムを含むと意図されている。ユーザインタフェース入力装置は、たとえば、キーボード、マウスまたはトラックボールなどのポインティングデバイス、タッチパッドまたはディスプレイに組み込まれたタッチスクリーン、スクロールホイール、クリックホイール、ダイヤル、ボタン、スイッチ、キーパッド、ボイスコマンド認識システムを有する音声入力装置、マイクロホン、および他の種類の入力装置を含んでもよい。また、ユーザインタフェース入力装置は、ユーザが入力装置を制御するおよび入力装置とやり取りすることを可能にするＭｉｃｒｏｓｏｆｔ Ｋｉｎｅｃｔ（登録商標）モーションセンサなどの動き検知デバイスおよび／またはジェスチャ認識デバイス、Ｍｉｃｒｏｓｏｆｔ Ｘｂｏｘ（登録商標）３６０ゲームコントローラ、ジェスチャコおよび音声コマンドを使用した入力を受信するためのインタフェースを提供するデバイスを含んでもよい。また、ユーザインタフェース入力装置は、ユーザからの目のアクティビティ（たとえば、写真を撮影しながらおよび／またはメニュー選択を行いながら「まばたきすること」）を検出し、アイジェスチャを入力装置（たとえば、Ｇｏｏｇｌｅ Ｇｌａｓｓ（登録商標））への入力として変形させるＧｏｏｇｌｅ Ｇｌａｓｓ（登録商標）まばたき検出装置などのアイジェスチャ認識デバイスを含んでもよい。これに加えて、ユーザインタフェース入力装置は、ユーザが、ボイスコマンドを通して、音声認識システム（たとえば、Ｓｉｒｉ（登録商標）ナビゲータ）とやり取りすることを可能にする音声認識検知デバイスを含んでもよい。

ユーザインタフェース入力装置の他の例に、３次元（３Ｄ）マウス、ジョイスティックまたはポインティングスティック、ゲームパッドおよびグラフィックタブレット、ならびに、スピーカ、デジタルカメラ、デジタルカムコーダー、ポータブルメディアプレーヤ、ウェブカム、イメージスキャナ、指紋スキャナ、バーコードリーダ３Ｄスキャナ、３Ｄプリンタ、レーザー測距器、および視線追跡装置などのオーディオ／ビジュアル装置が挙げられるが、これらに限定されない。これに加えて、ユーザインタフェース入力装置は、たとえば、コンピュータ断層撮影、磁気共鳴イメージング、陽電子放出断層撮影、および超音波検査デバイスなど、医用画像入力装置を含んでもよい。また、ユーザインタフェース入力装置は、たとえば、ＭＩＤＩキーボード、デジタル楽器などの音声入力装置を含んでもよい。

一般に、出力装置という用語の使用は、コンピュータシステム７００からの情報をユーザまたは他のコンピュータに出力するためのすべての可能な種類の装置およびメカニズムを含むと意図される。ユーザインターフェース出力装置は、表示サブシステム、インジケーターライト、または音声出力装置といった非ビジュアル装置などを含んでもよい。表示サブシステムは、ブラウン管（ＣＲＴ）、液晶ディスプレイ（ＬＣＤ）またはプラズマディスプレイを使用するものなどのフラットパネル表示装置、投影装置、およびタッチスクリーンなどでもよい。たとえば、ユーザインタフェース出力装置は、モニタ、プリンタ、スピーカ、ヘッドホン、自動車ナビゲーションシステム、作図装置、音声出力装置、およびモデムなど、視覚的に文字、図形、および音声／映像情報を伝えるさまざまな表示装置を含んでもよいが、これらに限定されない。

ストレージサブシステム７１８は、コンピュータシステム７００が使用する情報およびデータを格納するためのリポジトリまたはデータストアを提供する。ストレージサブシステム７１８は、いくつかの実施形態の機能を提供する基本プログラミング構造およびデータ構造を格納するための有形の非一時的なコンピュータ可読記憶媒体を提供する。ストレージサブシステム７１８は、処理サブシステム７０４によって実行されると上述の機能を提供するソフトウェア（たとえば、プログラム、コードモジュール、命令）を格納してもよい。ソフトウェアは、処理サブシステム７０４の１つ以上の処理ユニットによって実行されてもよい。また、ストレージサブシステム７１８は、本開示の教示に従って使用されるデータを格納するためのリポジトリを提供してもよい。

ストレージサブシステム７１８は、揮発性および不揮発性メモリ素子を含む、１つ以上の非一時的なメモリ素子を含んでもよい。図７に示すように、ストレージサブシステム７１８は、システムメモリ７１０と、コンピュータ可読記憶媒体７２２とを備える。システムメモリ７１０は、プログラムを実行中に命令およびデータを格納するための揮発性のメインランダムアクセスメモリ（ＲＡＭ）、および、固定の命令が格納される不揮発性読取り専用メモリ（ＲＯＭ）またはフラッシュメモリを含む、複数のメモリを含んでもよい。いくつかの実現例では、起動中などに、コンピュータシステム７００内の要素間で情報を転送することを助ける基本ルーチンを含むベーシックインプットアウトプットシステム（ＢＩＯＳ）は典型的に、ＲＯＭに格納されてもよい。ＲＡＭは典型的に、処理サブシステム７０４が現在操作および実行していているデータおよび／またはプログラムモジュールを含む。いくつかの実現例では、システムメモリ７１０は、スタティックランダムアクセスメモリ（ＳＲＡＭ）およびダイナミックランダムアクセスメモリ（ＤＲＡＭ）など、複数の異なる種類のメモリを含んでもよい。

一例として、限定ではないが、図７に示すように、システムメモリ７１０は、ウェブブラウザ、ミッドティアアプリケーション、リレーショナルデータベース管理システム（ＲＤＢＭＳ）などのさまざまなアプリケーションを含み得る、実行されるアプリケーションプログラム７１２と、プログラムデータ７１４と、オペレーティングシステム７１６とをロードしてもよい。一例として、オペレーティングシステム７１６は、さまざまなバージョンのＭｉｃｒｏｓｏｆｔ Ｗｉｎｄｏｗｓ（登録商標）、Ａｐｐｌｅ Ｍａｃｉｎｔｏｓｈ（登録商標）、および／またはＬｉｎｕｘオペレーティングシステム、さまざまな市販のＵＮＩＸ（登録商標）もしくはＵＮＩＸのようなオペレーティングシステム（いろいろなＧＮＵ／ＬｉｎｕｘオペレーティングシステムおよびＧｏｏｇｌｅ Ｃｈｒｏｍｅ（登録商標）ＯＳなどを含むが、これらに限定されない）、および／またはｉＯＳ、Ｗｉｎｄｏｗｓ（登録商標）Ｐｈｏｎｅ、Ａｎｄｒｏｉｄ（登録商標）ＯＳ、ＢｌａｃｋＢｅｒｒｙ（登録商標）ＯＳ、およびＰａｌｍ（登録商標）ＯＳオペレーティングシステム、およびその他を含んでもよい。

コンピュータ可読記憶媒体７２２は、いくつかの実施形態の機能を提供するプログラミング構造およびデータ構造を格納してもよい。コンピュータ可読媒体７２２は、コンピュータ可読命令、データ構造、プログラムモジュール、およびコンピュータシステム７００のための他のデータの格納を提供してもよい。処理サブシステム７０４によって実行されると上述の機能を提供するソフトウェア（プログラム、コードモジュール、命令）が、ストレージサブシステム７１８に格納されてもよい。一例として、コンピュータ可読記憶媒体７２２は、ハードディスクドライブなどの不揮発性メモリ、磁気ディスクドライブ、ＣＤ ＲＯＭ、ＤＶＤ、Ｂｌｕ－Ｒａｙ（登録商標）ディスクなどの光ディスクドライブ、または他の光学媒体を含んでもよい。コンピュータ可読記憶媒体７２２は、Ｚｉｐ（登録商標）ドライブ、フラッシュメモリカード、ユニバーサルシリアルバス（ＵＳＢ）フラッシュドライブ、セキュアデジタル（ＳＤ）カード、ＤＶＤディスク、およびデジタルビデオテープなどを含んでもよいが、これらに限定されない。また、コンピュータ可読記憶媒体７２２は、フラッシュメモリベースのＳＳＤ、エンタープライズフラッシュドライブ、およびソリッドステートＲＯＭなど、不揮発性メモリに基づくソリッドステートドライブ（ＳＳＤ）、ソリッドステートＲＡＭ、動的ＲＡＭ、静的ＲＡＭなど、揮発性メモリに基づくＳＳＤ、ＤＲＡＭベースのＳＳＤ、磁気抵抗ＲＡＭ（ＭＲＡＭ）ＳＳＤ、およびＤＲＡＭのＳＳＤとフラッシュメモリベースのＳＳＤとの組合せを用いるハイブリッドＳＳＤを含んでもよい。

特定の実施形態では、また、ストレージサブシステム７１８は、コンピュータ可読記憶媒体７２２にさらに接続され得るコンピュータ可読記憶媒体リーダ７２０を含んでもよい。読取り装置７２０は、ディスク、フラッシュドライブなどのメモリデバイスからのデータを受信し、読取るように構成されてもよい。

特定の実施形態では、コンピュータシステム７００は、処理およびメモリリソースの可視化を含むがこれに限定されない可視化技術をサポートしてもよい。たとえば、コンピュータシステム７００は、１つ以上の仮想マシンを実行するためにサポートを提供してもよい。特定の実施形態では、コンピュータシステム７００は、仮想マシンの構成および管理を容易にしたハイパーバイザなどのプログラムを実行してもよい。各仮想マシンには、メモリ、コンピュータ（たとえば、プロセッサ、コア）、Ｉ／Ｏ、およびネットワーキングリソースが割り当てられてもよい。各仮想マシンは通常、他の仮想マシンとは独立して実行される。仮想マシンは典型的に、それ自体のオペレーティングシステムを実行し、このオペレーティングシステムは、コンピュータシステム７００が実行する他の仮想マシンによって実行されるオペレーティングシステムと同じでもよい、または異なってもよい。したがって、複数のオペレーティングシステムは、コンピュータシステム７００によって同時に実行される可能性があってもよい。

通信サブシステム７２４は、他のコンピュータシステムおよびネットワークへのインタフェースを提供する。通信サブシステム７２４は、コンピュータシステム７００からデータを受信し、コンピュータシステム７００から他のシステムにデータを送信するためのインタフェースとして機能する。たとえば、通信サブシステム７２４は、コンピュータシステム７００が、クライアントデバイスに対する情報の送受信を行うために、インターネットを介して１つ以上のクライアントコンピューティングデバイスへの通信チャネルを確立することを可能にしてもよい。たとえば、通信サブシステムは、多種多様なアプリケーションのユニバーサルアイデンティティ管理またはガバナンスを行うためのスキーマを取得するために用いられてもよい。

通信サブシステム７２４は、有線通信プロトコルおよび／または無線通信プロトコルの両方をサポートしてもよい。たとえば、特定の実施形態では、通信サブシステム７２４は、ワイヤレス音声ネットワークおよび／またはデータネットワークにアクセスするための無線周波数（ＲＦ）送受信コンポーネント（たとえば、携帯電話技術、３Ｇ、４Ｇ、もしくはＥＤＧＥ（Ｅｎｈａｎｃｅｄ ｄａｔａ ｒａｔｅｓ ｆｏｒ ｇｌｏｂａｌ ｅｖｏｌｕｔｉｏｎ）などの次世代データネットワークテクノロジー、ＷｉＦｉ（ＩＥＥＥ ８０２．ＸＸファミリー標準規格）、他のモバイル通信技術、またはそれらの任意の組合せを使用する）、全地球測位システム（ＧＰＳ）受信コンポーネント、および／または他のコンポーネントを含んでもよい。いくつかの実施形態では、通信サブシステム７２４は、ワイヤレスインタフェースに加えて、またはワイヤレスインタフェースの代わりに、有線ネットワーク接続性（たとえば、Ｅｔｈｅｒｎｅｔ）を提供できる。

通信サブシステム７２４は、さまざまな形式でデータを送受信できる。たとえば、いくつかの実施形態では、通信サブシステム７２４は、他の形式に加えて、入力通信を、構造化および／または非構造化データフィード７２６、イベントストリーム７２８、およびイベント更新７３０などの形式で受信してもよい。たとえば、通信サブシステム７２４は、Ｔｗｉｔｔｅｒ（登録商標）フィード、Ｆａｃｅｂｏｏｋ（登録商標）の更新、リッチサイトサマリ（ＲＳＳ）フィードなどのｗｅｂフィード、および／または１つ以上のサードパーティ情報ソースからのリアルタイム更新など、ソーシャルメディアネットワークおよび／または他の通信サービスのユーザから、データフィード７２６をリアルタイムで受信（または送信）するように構成されてもよい。

特定の実施形態では、通信サブシステム７２４は、連続したデータストリームの形式でデータを受信するように構成されてもよく、連続したデータストリームは、本質的にはっきりとした終端がない、連続または無限の場合もある、リアルタイムイベントおよび／またはイベント更新７３０のイベントストリーム７２８を含んでもよい。連続データを作成するアプリケーションとして、たとえば、センサデータアプリケーション、金融ティッカー、ネットワークパフォーマンス測定ツール（たとえば、ネットワーク監視およびトラフィック管理アプリケーション）、クリックストリーム分析ツール、自動車交通量監視などが挙げられてもよい。

また、通信サブシステム７２４は、コンピュータシステム７００から他のコンピュータシステムまたはネットワークへデータを伝達するように構成されてもよい。データは、構造化および／または非構造化データフィード７２６、イベントストリーム７２８、およびイベント更新７３０などのさまざまな異なる形式で、コンピュータシステム７００に連結された１つ以上のストリーミングデータソースコンピュータと通信可能な１つ以上のデータベースに対して伝達されてもよい。

コンピュータシステム７００は、ハンドヘルドポータブルデバイス（たとえば、ｉＰｈｏｎｅ（登録商標）携帯電話、ｉＰａｄ（登録商標）コンピューティングタブレット、ＰＤＡ）、ウェアラブルデバイス（たとえば、Ｇｏｏｇｌｅ Ｇｌａｓｓ（登録商標）ヘッドマウントディスプレイ）、パーソナルコンピュータ、ワークステーション、メインフレーム、キオスク、サーバラック、またはその他のデータ処理システムを含む、さまざまな種類のうちの１つであり得る。コンピュータおよびネットワークの絶え間なく変化する性質によって、図７に示すコンピュータシステム７００の説明は、単に特定の例として意図される。図７に示すシステムよりも多いまたは少ないコンポーネントを有する多くの他の構成も可能である。本明細書で提供された開示および教示に基づいて、当業者であれば、さまざまな実施形態を実現するための他の手段および／または方法を理解するであろう。

具体的な実施形態について上述したが、さまざまな変形例、変更例、代替的な構造、および均等物が可能である。実施形態は特定の具体的なデータ処理環境内のオペレーションに限定されないが、複数のデータ処理環境内で自由に動作できる。くわえて、特定の実施形態について特定の一連のトランザクションおよびステップを用いて説明したが、これが制限的であることを意図していないのは当業者にとって明らかである。いくつかのフローチャートはオペレーションを連続したプロセスとして説明したが、オペレーションの多くは、平行してまたは同時に行うことができる。くわえて、オペレーションの順序は並べ替えてもよい。プロセスは、図に含まれない追加のステップを有してもよい。上述の実施形態のさまざまな特徴および側面が、個別にまたは共同で用いられてもよい。

さらに、ハードウェアとソフトウェアとの特定の組合せを用いて本開示の実施形態を説明したが、ハードウェアとソフトウェアとの他の組合せも可能であることを認識されたい。特定の実施形態は、ハードウェアのみで、ソフトウェアのみで、またはそれらの組合わせを用いて実現されてもよい。本明細書で説明されたさまざまなプロセスは、任意の組合せで、同じプロセッサまたは異なるプロセッサ上で実現可能である。

デバイス、システム、コンポーネントまたはモジュールは特定のオペレーションまたは機能を行うように構成されると説明されているが、そのような構成は、たとえば、電子回路をそのオペレーションを行うように設計することによって、プログラマブル電子回路（マイクロプロセッサなど）をそのオペレーションを行うようにプログラムすることによって、たとえば、非一時的メモリ媒体上に格納されたコードもしくは命令を実行するようにプログラムされたコンピュータ命令またはコード、プロセッサまたはコアを実行することによって、またはそれらの任意の組合せによって、達成できる。プロセスは、プロセス間通信のための従来技術を含む、さまざまな技術を用いて通信できるが、これらに限定されず、プロセスの異なるペアは異なる技術を使用してもよく、プロセスの同じペアは異なる技術を異なる時間に使用してもよい。

実施形態の完全な理解を提供するために、本開示において具体的な詳細が与えられている。しかしながら、実施形態は、これらの具体的な詳細がなくても実施可能である。たとえば、公知の回路、プロセス、アルゴリズム、構造、および技術が、実施形態を曖昧にすることを避けるために、不必要に詳細に示されていない。本明細書は、実施形態の例を提供するのみであって、他の実施形態の範囲、適用可能性、または構成を制限するように意図されていない。そうではなく、実施形態の前述の説明は、さまざまな実施形態を実現するための実現説明を当業者に提供する。要素の機能および配列のさまざまな変更が可能である。

したがって、明細書および図面は、限定的な意味ではなく例示的な意味であるとみなされるべきである。しかしながら、添付の特許請求の範囲に記載のより広義の趣旨および範囲から逸脱することなく、追加、減算、削除、および他の変更ならびに変形がそれらに対してなされてもよいことは明白であろう。したがって、具体的な実施形態を説明したが、これらは、限定的であると意図されたものではない。さまざまな変更例および均等物は、添付の特許請求の範囲内である。

Claims (8)

1. データ処理システムにおいて、ターゲットアプリケーションの一部であるデータのクエリまたは前記データに対するＣＲＵＤオペレーションのリクエストを受信することと、
   前記データ処理システムが、前記ターゲットアプリケーションと関連付けられたオブジェクトのスキーマを取得することとを備え、前記スキーマは、前記オブジェクト間の関係をモデル化し、前記オブジェクトは、前記ターゲットアプリケーションの前記データの定義を表し、さらに、
   前記データ処理システムが、前記スキーマに基づいて、前記クエリまたはＣＲＵＤオペレーションを前記オブジェクトに対して実行することと、
   前記データ処理システムが、前記オブジェクトに対する前記クエリまたはＣＲＵＤオペレーションの実行を説明するために、前記スキーマを更新することと、
   前記データ処理システムが、更新された前記スキーマに基づいて、前記クエリまたはＣＲＵＤオペレーションを前記データに対して実行することと、
   前記データ処理システムが、前記データに対する前記クエリまたはＣＲＵＤオペレーションの結果を報告することとを備える、方法。
2. 前記クエリまたはＣＲＵＤオペレーションを前記データに対して実行することは、前記クエリまたはＣＲＵＤオペレーションを、前記ターゲットアプリケーションに対する１つ以上のスキーマ特有の呼出しに変換することを含む、請求項１に記載の方法。
3. 前記呼出しは、前記更新されたスキーマに従って、前記ターゲットアプリケーションの前記データに対して前記クエリまたは前記ＣＲＵＤオペレーションを実行するように構成される、請求項２に記載の方法。
4. 前記クエリまたはＣＲＵＤオペレーションの結果を報告することは、前記オブジェクトのライフサイクルにわたって、前記オブジェクトと関連付けられた前記データに対して行われるすべてのオブジェクトミューテーションを報告することを含む、請求項１～３のいずれか１項に記載の方法。
5. 前記スキーマは、前記ターゲットアプリケーションのエンリッチバージョンであり、前記ターゲットアプリケーションの前記エンリッチバージョンは、前記ターゲットアプリケーション内の前記データの定義を表す前記オブジェクトを超える前記データ処理システム内の追加のアーティファクトまたはオブジェクトを含む、請求項１～４のいずれか１項に記載の方法。
6. 前記オブジェクトのスキーマは、前記データ処理システム内の追加のオブジェクトと関連付けられ、前記追加のオブジェクトは、企業内で追跡される情報およびタスクを表す、請求項１～５のいずれか１項に記載の方法。
7. 請求項１～６のいずれか１項に記載の方法を１つ以上のプロセッサに実行させるためのプログラム。
8. システムであって、
   １つ以上のプロセッサと、
   前記１つ以上のプロセッサに連結されたメモリとを備え、前記メモリは、前記１つ以上のプロセッサによって実行可能な複数の命令を格納し、前記複数の命令は、前記１つ以上のプロセッサによって実行されると、前記１つ以上のプロセッサに請求項１～６のいずれか１項に記載の方法を実施させる命令を含む、システム。

Images