JP7774635B2 - セキュリティエッジ保護プロキシ（ｓｅｐｐ）における代行承認のための方法、システム、およびコンピュータ可読媒体 - Google Patents

セキュリティエッジ保護プロキシ（ｓｅｐｐ）における代行承認のための方法、システム、およびコンピュータ可読媒体

Info

Publication number
JP7774635B2
JP7774635B2 JP2023555360A JP2023555360A JP7774635B2 JP 7774635 B2 JP7774635 B2 JP 7774635B2 JP 2023555360 A JP2023555360 A JP 2023555360A JP 2023555360 A JP2023555360 A JP 2023555360A JP 7774635 B2 JP7774635 B2 JP 7774635B2
Authority
JP
Japan
Prior art keywords
access token
consumer
authorization
producer
access
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
JP2023555360A
Other languages
English (en)
Other versions
JP2024509941A (ja
JPWO2022191931A5 (ja
Inventor
ラジプット，ジャイ
シング，ビレンドラ
スリバスタバ，アンキット
Original Assignee
オラクル・インターナショナル・コーポレイション
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by オラクル・インターナショナル・コーポレイション filed Critical オラクル・インターナショナル・コーポレイション
Publication of JP2024509941A publication Critical patent/JP2024509941A/ja
Publication of JPWO2022191931A5 publication Critical patent/JPWO2022191931A5/ja
Application granted granted Critical
Publication of JP7774635B2 publication Critical patent/JP7774635B2/ja
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0807—Network architectures or network communication protocols for network security for authentication of entities using tickets, e.g. Kerberos
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0281—Proxies
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0884—Network architectures or network communication protocols for network security for authentication of entities by delegation of authentication, e.g. a proxy authenticates an entity to be authenticated on behalf of this entity vis-à-vis an authentication entity
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/50—Network services
    • H04L67/56—Provisioning of proxy services
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/08—Access security
    • H04W12/084—Access security using delegated authorisation, e.g. open authorisation [OAuth] protocol
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W8/00—Network data management
    • H04W8/18—Processing of user or subscriber data, e.g. subscribed services, user preferences or user profiles; Transfer of user or subscriber data
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W84/00—Network topologies
    • H04W84/02—Hierarchically pre-organised networks, e.g. paging networks, cellular networks, WLAN [Wireless Local Area Network] or WLL [Wireless Local Loop]
    • H04W84/04—Large scale networks; Deep hierarchical networks
    • H04W84/042—Public Land Mobile systems, e.g. cellular systems
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W92/00—Interfaces specially adapted for wireless communication networks
    • H04W92/02—Inter-networking arrangements

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Databases & Information Systems (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Mobile Radio Communication Systems (AREA)

Description

優先権主張
本出願は、２０２１年３月１１日提出の米国特許出願１７／１９８，７４０の優先権利益を主張し、その開示は、参照によりその全体が本明細書に組み込まれる。
技術分野
本明細書で説明する主題は、ネットワークセキュリティおよび公衆陸上移動体通信網（ＰＬＭＮ）間互換性に関する。より詳細には、本明細書で説明する主題は、ＳＥＰＰにおける代行承認のための方法、システム、およびコンピュータ可読媒体に関する。
背景
５Ｇ電気通信ネットワークでは、サービスを提供するネットワーク機能は、プロデューサネットワーク機能（ＮＦ）またはＮＦサービスプロデューサと呼ばれる。サービスを消費するネットワーク機能は、コンシューマＮＦまたはＮＦサービスコンシューマと呼ばれる。ネットワーク機能は、ネットワーク機能がサービスを消費しているか、産生しているか、または消費および産生しているかに応じて、プロデューサＮＦ、コンシューマＮＦ、またはその両方であり得る。「プロデューサＮＦ」および「ＮＦサービスプロデューサ」という用語は、ここでは互換的に使用される。同様に、「コンシューマＮＦ」および「ＮＦサービスコンシューマ」という用語は、ここでは互換的に使用される。
所与のプロデューサＮＦは、多くのサービスエンドポイントを有することができ、サービスエンドポイントは、プロデューサＮＦによってホストされる１つ以上のＮＦインスタンスのための接点である。サービスエンドポイントは、インターネットプロトコル（ＩＰ）アドレスおよびポート番号の組み合わせ、またはプロデューサＮＦをホストするネットワークノード上のＩＰアドレスおよびポート番号に解決する完全修飾ドメイン名によって識別される。ＮＦインスタンスは、サービスを提供するプロデューサＮＦのインスタンスである。所与のプロデューサＮＦは、複数のＮＦインスタンスを含み得る。複数のＮＦインスタンスが同じサービスエンドポイントを共有できることにも留意されたい。
プロデューサＮＦは、ネットワーク機能リポジトリ機能（ＮＲＦ）に登録する。ＮＲＦは、各ＮＦインスタンスによってサポートされるサービスを識別する、利用可能なＮＦインスタンスのサービスプロファイルを維持する。「サービスプロファイル」および「ＮＦプロファイル」という用語は、ここでは互換的に使用される。コンシューマＮＦは、ＮＲＦに登録したプロデューサＮＦインスタンスに関する情報を受信するように加入することができる。
コンシューマＮＦに加えて、ＮＦサービスインスタンスに関する情報を受信するよう加入することができる別のタイプのネットワークノードは、サービス通信プロキシ（ＳＣＰ）である。ＳＣＰは、ＮＲＦに加入し、プロデューサＮＦサービスインスタンスに関する到達可能性およびサービスプロファイル情報を取得する。コンシューマＮＦは、サービス通信プロキシに接続し、サービス通信プロキシは、要求されるサービスを提供するプロデューサＮＦサービスインスタンス間でトラフィックを分散させるか、またはそのトラフィックを宛先プロデューサＮＦインスタンスに直接ルーティングする。
ＳＣＰに加えて、プロデューサＮＦとコンシューマＮＦとの間でトラフィックをルーティングする中間プロキシノードの別の例は、セキュリティエッジ保護プロキシ（ＳＥＰＰ）である。ＳＥＰＰは、異なる５Ｇ公衆陸上移動体通信網（ＰＬＭＮ）間で交換される制御プレーントラフィックを保護するために使用されるネットワークノードである。したがって、ＳＥＰＰは、ＰＬＭＮ間で送信されるすべてのアプリケーションプログラミングインターフェース（ＡＰＩ）メッセージに対してメッセージフィルタリング、監視、およびトポロジー隠蔽を実行する。
５Ｇ通信ネットワークにおける１つの問題は、１つの公衆ＰＬＭＮまたはネットワーク機能がＯＡｕｔｈ２．０承認をサポートし、別のＰＬＭＮまたはネットワーク機能がＯＡｕｔｈ２．０承認をサポートしないときに生じる。インターネットエンジニアリングタスクフォース（ＩＥＴＦ）コメント要求（ＲＦＣ）６７４９（Internet Engineering Task Force (IETF) Request for Comments (RFC) 6749）に規定されるOAuth２.０承認フレームワークによれば、リソースサーバから利用可能な保護されたリソースにアクセスしようとする承認クライアントは、まず承認サーバからアクセストークンを取得する。クライアントは、アクセストークンを取得した後、リソースサーバにサービス要求を送信する。リソースサーバは、アクセストークンを検証し、保護されたリソースへのアクセスを提供する。
５Ｇ通信ネットワークの文脈では、ＮＦサービスコンシューマはＯＡｕｔｈ２．０リソースクライアントとして機能し、ＮＦサービスプロデューサはＯＡｕｔｈ２．０リソースサーバとして機能し、ＮＲＦは承認サーバとして機能する。したがって、ＮＦサービスプロデューサによって提供されるサービスにアクセスしようとするＮＦサービスコンシューマは、ＮＦサービスプロデューサによって提供されるリソースにアクセスするためにアクセストークンを取得するために、ＮＲＦと信号通信を行う。ＮＦサービスコンシューマがＮＲＦからアクセストークンを取得した後、ＮＦサービスコンシューマは、サービス要求をＮＦサービスプロデューサに送信し、ここで、サービス要求は、アクセストークンを含んでいる。ＮＦサービスプロデューサは、アクセストークンを検証し、ＮＦサービスコンシューマによって要求されたサービスへのアクセスを提供する。
ＯＡｕｔｈ２．０承認フレームワークは、５Ｇ通信ネットワークにおいて承認を提供するように機能するが、サービス要求が、ＯＡｕｔｈ２．０承認をサポートしないコンシューマＮＦから、ＯＡｕｔｈ２．０アクセストークンを必要とするプロデューサＮＦに送信される場合、そのサービス要求は拒否されることになる。同様に、ＯＡｕｔｈ２．０承認をサポートするコンシューマＮＦが、ＯＡｕｔｈ２．０承認をサポートしないＮＲＦにアクセストークン要求を送信する場合、要求側コンシューマＮＦは、アクセストークンを取得することはできない。
これらのタイプの非互換性の問題は、サービスコンシューマのＰＬＭＮがＯＡｕｔｈ２．０承認をサポートし、サービスプロデューサのＰＬＭＮがＯＡｕｔｈ２．０承認をサポートしないとき、またはその逆のときに発生し得る。これらのタイプの非互換性の問題はまた、あるベンダからのＮＦがＯＡｕｔｈ２．０承認をサポートし、別のベンダからのＮＦがＯＡｕｔｈ２．０承認をサポートしないときにも生じ得る。
これらおよび他の困難に照らして、ＯＡｕｔｈ２．０承認非互換性が存在する場合に、ネットワーク機能間の改善された相互運用性のための方法の必要性が存在する。
概要
セキュリティエッジ保護プロキシ（ＳＥＰＰ）における代行承認のための方法は、アクセストークンベース承認をサポートしない第１のコンシューマネットワーク機能（ＮＦ）から、アクセストークンベース承認を必要とする第１のプロデューサＮＦによって提供されるサービスにアクセスするための第１のサービスベースインターフェース（ＳＢＩ）サービス要求を傍受することを含む。本方法はさらに、アクセストークン承認クライアントプロキシとして動作して、第１のコンシューマＮＦに代わって第１のアクセストークンを取得することを含む。本方法はさらに、第１のアクセストークンを使用して、第１のコンシューマＮＦが第１のプロデューサＮＦによって提供されるサービスにアクセスすることを可能にすることを含む。
本明細書で説明する主題の別の局面によれば、アクセストークン承認クライアントプロキシとして動作することは、第１のアクセストークンを取得するためにＮＦリポジトリ機能（ＮＲＦ）と信号通信を行うことを含む。
本明細書で説明する主題の別の局面によれば、第１のアクセストークンを取得するためにＮＲＦと信号通信を行うことは、第１のコンシューマＮＦに代わってアクセストークン要求を生成することと、アクセストークン要求をＮＲＦに送信することと、ＮＲＦから、第１のアクセストークンを含むアクセストークン応答を受信することとを含む。
本明細書で説明する主題の別の局面によれば、アクセストークン要求を生成することは、第１のＳＢＩサービス要求のユーザエージェントヘッダから、アクセストークン要求に含まれるべき少なくともいくつかの属性の値を抽出することを含む。
本明細書で説明する主題の別の局面によれば、属性のうちの少なくともいくつかの値を抽出することは、第１のＳＢＩサービス要求のユーザエージェントヘッダから第１のコンシューマＮＦのＮＦインスタンスＩＤを抽出することを含む。
本明細書で説明される主題の別の局面によれば、第１のアクセストークンを使用して、第１のコンシューマＮＦが第１のプロデューサＮＦによって提供されるサービスにアクセスすることを可能にすることは、第１のアクセストークンを第１のＳＢＩサービス要求に挿入することと、第１のアクセストークンを含む第１のＳＢＩサービス要求を第１のプロデューサＮＦに転送することと、第１のプロデューサＮＦからＳＢＩサービス応答を受信することと、ＳＢＩサービス応答を第１のコンシューマＮＦに転送することとを含む。
本明細書で説明される主題の別の局面によれば、ＳＥＰＰにおける代行承認のための方法は、第２のコンシューマＮＦからアクセストークン要求を受信することと、第２のコンシューマＮＦからのアクセストークン要求に応答して、アクセストークン承認をサポートしないＮＦリポジトリ機能（ＮＲＦ）に代わってアクセストークン承認サーバプロキシとして動作することと、第２のコンシューマＮＦが第２のプロデューサＮＦによって提供されるサービスにアクセスすることを可能にするよう、第２のコンシューマＮＦおよび第２のプロデューサＮＦと信号通信を行うこととを含む。
本明細書で説明される主題の別の局面によれば、アクセストークン承認サーバプロキシとして動作することは、アクセストークン要求に応答して、第２のアクセストークンを生成することと、第２のコンシューマＮＦに、第２のアクセストークンを含むアクセストークン応答を送信することとを含む。
本明細書で説明される主題の別の局面によれば、第２のコンシューマＮＦが第２のプロデューサＮＦによって提供されるサービスにアクセスすることを可能にするよう、第２のプロデューサＮＦと信号通信を行うことは、第２のコンシューマＮＦから、第２のアクセストークンを含む第２のＳＢＩサービス要求を受信することと、第２のＳＢＩサービス要求から第２のアクセストークンを除去することと、第２のＳＢＩサービス要求を第２のプロデューサＮＦに転送することと、第２のプロデューサＮＦからＳＢＩサービス応答を受信することと、ＳＢＩサービス応答を第２のコンシューマＮＦに転送することとを含む。
本明細書で説明される主題の別の局面によれば、第２のアクセストークンを生成することは、構文的に正しいクレームを伴うダミーアクセストークンを含むＯＡｕｔｈ２．０アクセストークンを生成することを含む。
本明細書で説明する主題の別の局面によれば、セキュリティエッジ保護プロキシ（ＳＥＰＰ）における代行承認のためのシステムが提供される。本システムは、少なくとも１つのプロセッサとメモリとを含むＳＥＰＰを含む。本システムは、さらに、少なくとも１つのプロセッサによって実現され、アクセストークンベース承認をサポートしない第１のコンシューマネットワーク機能（ＮＦ）から、アクセストークンベース承認を必要とする第１のプロデューサＮＦによって提供されるサービスにアクセスするための第１のサービスベースインターフェース（ＳＢＩ）サービス要求を傍受し、アクセストークン承認クライアントとして動作して、第１のコンシューマＮＦに代わって第１のアクセストークンを取得し、第１のアクセストークンを使用して、第１のコンシューマＮＦが第１のプロデューサＮＦによって提供されるサービスにアクセスすることを可能にするためのアクセストークン承認クライアントプロキシを含む。
本明細書で説明する主題の別の局面によれば、アクセストークン承認クライアントプロキシは、第１のアクセストークンを取得するためにＮＦリポジトリ機能（ＮＲＦ）と信号通信を行うよう構成される。
本明細書で説明する主題の別の局面によれば、アクセストークン承認クライアントプロキシは、第１のアクセストークンを取得するために、ＮＲＦと信号通信を行うことを、第１のコンシューマＮＦに代わってアクセストークン要求を生成することと、アクセストークン要求をＮＲＦに送信することと、ＮＲＦから、第１のアクセストークンを含むアクセストークン応答を受信することとによって行うよう構成される。
本明細書で説明する主題の別の局面によれば、アクセストークン承認クライアントプロキシは、第１のＳＢＩサービス要求のユーザエージェントヘッダからアクセストークン要求に含まれるべき少なくともいくつかの属性の値を抽出することによってアクセストークン要求を生成するよう構成される。
本明細書で説明する主題の別の局面によれば、アクセストークン承認クライアントプロキシによって抽出される値は、第１のＳＢＩサービス要求のユーザエージェントヘッダからの第１のコンシューマＮＦのＮＦインスタンスＩＤを含む。
本明細書に記載される主題の別の局面によれば、アクセストークン承認クライアントプロキシは、第１のアクセストークンを使用して、第１のコンシューマＮＦがサービスにアクセスすることを可能にすることを、第１のアクセストークンを第１のＳＢＩサービス要求に挿入することと、第１のアクセストークンを含む第１のＳＢＩサービス要求を第１のプロデューサＮＦに転送することと、第１のプロデューサＮＦからＳＢＩサービス応答を受信することと、ＳＢＩサービス応答を第１のコンシューマＮＦに転送することとによって行うよう構成される。
本明細書で説明する主題の別の局面によれば、ＳＥＰＰにおける代行承認のためのシステムは、第２のコンシューマＮＦからアクセストークン要求を受信し、第２のコンシューマＮＦからのアクセストークン要求に応答して、アクセストークン承認をサポートしないＮＦリポジトリ機能（ＮＲＦ）に代わってアクセストークン承認サーバとして動作し、第２のコンシューマＮＦが第２のプロデューサＮＦによって提供されるサービスにアクセスすることを可能にするよう、第２のコンシューマＮＦおよび第２のプロデューサＮＦと信号通信を行うためのアクセストークン承認サーバプロキシを含む。
本明細書に記載される主題の別の局面によれば、アクセストークン承認サーバプロキシは、アクセストークン承認サーバとして動作する際に、アクセストークン要求に応答して、第２のアクセストークンを生成し、第２のコンシューマＮＦに対して、第２のアクセストークンを含むアクセストークン応答を送信するよう構成される。
本明細書で説明される主題の別の局面によれば、アクセストークン承認サーバプロキシは、第２のコンシューマＮＦが第２のプロデューサＮＦによって提供されるサービスにアクセスすることを可能にするよう、第２のコンシューマＮＦおよび第２のプロデューサＮＦとの信号通信を、第２のコンシューマＮＦから、第２のアクセストークンを含む第２のＳＢＩサービス要求を受信することと、第２のＳＢＩサービス要求から第２のアクセストークンを除去することと、ＳＢＩサービス要求を第２のプロデューサＮＦに転送することと、第２のプロデューサＮＦからＳＢＩサービス応答を受信することと、ＳＢＩサービス応答を第２のコンシューマＮＦに転送することとによって行うよう構成される。
本明細書で説明される主題の別の局面によれば、コンピュータのプロセッサによって実行されるとステップを実行するようにコンピュータを制御する実行可能命令を記憶した非一時的なコンピュータ可読媒体が提供される。ステップは、アクセストークンベースの承認をサポートしないコンシューマネットワーク機能（ＮＦ）から、アクセストークンベースの承認を必要とするプロデューサＮＦによって提供されるサービスにアクセスするためのサービスベースインターフェース（ＳＢＩ）サービス要求を傍受することを含む。ステップは、さらに、アクセストークン承認クライアントプロキシとして動作して、第１のコンシューマＮＦに代わって第１のアクセストークンを取得することを含む。ステップは、さらに、第１のアクセストークンを使用して、コンシューマＮＦがプロデューサＮＦによって提供されるサービスにアクセスすることを可能にすることを含む。
ここで説明される主題は、ハードウェアおよび／またはファームウェアと組み合わせたソフトウェアで実現され得る。たとえば、ここで説明する主題は、プロセッサによって実行されるソフトウェアで実現され得る。例示的な一実現形態では、ここで説明する主題は、コンピュータのプロセッサによって実行されるとステップを実行するようにコンピュータを制御するコンピュータ実行可能命令を記憶した非一時的コンピュータ可読媒体を使用して実現され得る。本明細書に記載の主題を実施するのに適した例示的なコンピュータ可読媒体は、ディスクメモリデバイス、チップメモリデバイス、プログラマブル論理デバイス、および特定用途向け集積回路などの非一時的コンピュータ可読媒体を含む。加えて、本明細書で説明される主題を実現するコンピュータ可読媒体は、単一のデバイスもしくはコンピューティングプラットフォーム上に位置してもよく、または複数のデバイスもしくはコンピューティングプラットフォームにわたって分散されてもよい。
例示的な５Ｇシステムネットワークアーキテクチャを示すネットワーク図である。 ＯＡｕｔｈ２．０承認フレームワークを使用して５Ｇ通信ネットワーク内でサービスにアクセスする際に交換される例示的なメッセージを示すメッセージフロー図である。 コンシューマＮＦがＯＡｕｔｈ２．０承認をサポートせず、プロデューサＮＦが、プロデューサＮＦによって提供されるサービスへのアクセスを許可するための条件としてＯＡｕｔｈ２．０承認を必要とするときに交換される例示的なメッセージを示すメッセージフロー図である。 コンシューマＮＦがＯＡｕｔｈ２．０承認をサポートし、ＮＲＦがＯＡｕｔｈ２．０承認をサポートしないときに交換される例示的なメッセージを示すメッセージフロー図である。 ＳＥＰＰがＯＡｕｔｈ２．０承認をサポートしないコンシューマＮＦに代わってＯＡｕｔｈ２．０承認クライアントプロキシとして動作するときの代行ＯＡｕｔｈ２．０承認を示すメッセージフロー図である。 ＳＥＰＰがＯＡｕｔｈ２．０承認をサポートしないＮＲＦに代わってＯＡｕｔｈ２．０承認サーバプロキシとして動作するときに交換される例示的なメッセージを示すメッセージフロー図である。 ＯＡｕｔｈ２．０承認をサポートしないＮＦサービスコンシューマおよびＮＲＦに代わって代行ＯＡｕｔｈ２．０承認を実行することができるＳＥＰＰを示すブロック図である。 ＯＡｕｔｈ２．０承認をサポートしないコンシューマＮＦに代わって代行ＯＡｕｔｈ２．０承認を実行する例示的なプロセスを示すフローチャートである。 ＯＡｕｔｈ２．０承認をサポートしないコンシューマＮＦに代わってアクセストークン承認クライアントプロキシとして動作する、図８Ａからのステップをより詳細に示すフローチャートである。 ＯＡｕｔｈ２．０承認をサポートしないコンシューマＮＦがＯＡｕｔｈ２．０承認を必要とするプロデューサＮＦによって提供されるサービスにアクセスすることを可能にするためにアクセストークンを使用する図８Ａからのステップをより詳細に示すフローチャートである。 ＯＡｕｔｈ２．０承認をサポートしないＮＲＦに代わってＯＡｕｔｈ２．０承認サーバプロキシとして動作し、コンシューマＮＦがＯＡｕｔｈ２．０承認をサポートし、プロデューサＮＦがＯＡｕｔｈ２．０承認をサポートしないときにサービスへのアクセスを容易にするための例示的なプロセスを示すフローチャートである。 ＯＡｕｔｈ２．０承認をサポートしないＮＲＦに代わってＯＡｕｔｈ２．０承認サーバプロキシとして動作する、図９Ａからのステップをより詳細に示すフローチャートである。 コンシューマＮＦがＯＡｕｔｈ２．０承認をサポートし、プロデューサＮＦがＯＡｕｔｈ２．０承認をサポートしないときに、コンシューマＮＦがプロデューサＮＦによって提供されるサービスにアクセスすることを可能にするために、プロデューサＮＦおよびコンシューマＮＦとの信号通信の、図９Ａからのステップをより詳細に示すフローチャートである。
詳細な説明
図１は、例示的な５Ｇシステムネットワークアーキテクチャを示すブロック図である。図１のアーキテクチャは、同じホーム公衆陸上移動体通信網（ＨＰＬＭＮ：home public land mobile network）に位置し得るＮＲＦ１００およびＳＣＰ１０１を含む。上記で説明されるように、ＮＲＦ１００は、利用可能なプロデューサＮＦサービスインスタンスおよびそれらのサポートされるサービスのプロファイルを維持し、コンシューマＮＦまたはＳＣＰが、新たな／更新されたプロデューサＮＦサービスインスタンスに加入し、その登録を通知されることを可能にし得る。ＳＣＰ１０１はまた、プロデューサＮＦインスタンスのサービス発見および選択をサポートし得る。ＳＣＰ１０１は、コンシューマＮＦとプロデューサＮＦとの間の接続の負荷分散を実行し得る。
ＮＲＦ１００は、プロデューサＮＦインスタンスのＮＦまたはサービスプロファイルのためのリポジトリである。プロデューサＮＦインスタンスと通信するために、コンシューマＮＦまたはＳＣＰは、プロデューサＮＦインスタンスのＮＦまたはサービスプロファイルをＮＲＦ１００から取得しなければならない。ＮＦまたはサービスプロファイルは、３ＧＰＰ（登録商標） ＴＳ ２９．５１０で定義されるJavaScriptオブジェクト表記（ＪＳＯＮ）データ構造である。ＮＦまたはサービスプロファイル定義は、完全修飾ドメイン名（ＦＱＤＮ）、インターネットプロトコル（ＩＰ）バージョン４（ＩＰｖ４）アドレス、またはＩＰバージョン６（ＩＰｖ６）アドレスのうちの少なくとも１つを含む。
図１では、ネットワーク機能のいずれも、それらがサービスを要求、提供、または要求および提供しているかどうかに応じて、コンシューマＮＦ、プロデューサＮＦ、または両方となり得る。図示の例では、ＮＦは、ネットワークにおいてポリシー関連動作を実行するＰＣＦ１０２と、ユーザデータを管理するＵＤＭ機能１０４と、アプリケーションサービスを提供するアプリケーション機能（ＡＦ）１０６とを含む。
図１に示すＮＦは、アクセスおよびモビリティ管理機能（ＡＭＦ）１１０とＰＣＦ１０２との間のセッションを管理するセッション管理機能（ＳＭＦ）１０８をさらに含む。ＡＭＦ１１０は、４Ｇネットワークにおいてモビリティ管理エンティティ（ＭＭＥ）によって実行されるモビリティ管理動作と同様の動作を実行する。認証サーバ機能（ＡＵＳＦ）１１２は、ネットワークへのアクセスを求めるユーザ機器（ＵＥ）１１４などのユーザ機器（ＵＥ）のために認証サービスを実行する。
ネットワークスライス選択機能（ＮＳＳＦ）１１６は、ネットワークスライスに関連付けられる特定のネットワーク機能および特性にアクセスしようとするデバイスのためにネットワークスライスサービスを提供する。ネットワーク公開機能（ＮＥＦ）１１８は、モノのインターネット（ＩｏＴ）デバイスおよびネットワークに接続される他のＵＥに関する情報を取得しようとするアプリケーション機能のためにアプリケーションプログラミングインターフェイス（ＡＰＩ）を提供する。ＮＥＦ１１８は、４Ｇネットワークにおけるサービス機能公開機能（ＳＣＥＦ）と同様の機能を実行する。
無線アクセスネットワーク（ＲＡＮ）１２０は、無線リンクを介してユーザ機器（ＵＥ）１１４をネットワークに接続する。無線アクセスネットワーク１２０は、g-Node B（ｇＮＢ）（図１には示さず）または他の無線アクセスポイントを用いてアクセスされてもよい。ユーザプレーン機能（ＵＰＦ）１２２は、ユーザプレーンサービスのために様々なプロキシ機能をサポート可能である。そのようなプロキシ機能の一例は、マルチパス伝送制御プロトコル（ＭＰＴＣＰ）プロキシ機能である。ＵＰＦ１２２はまた、ネットワーク性能測定値を取得するためにＵＥ１１４によって使用されてもよい性能測定機能をサポートしてもよい。図１には、ＵＥがインターネットサービスなどのデータネットワークサービスにアクセスするデータネットワーク（ＤＮ）１２４も示されている。
ＳＥＰＰ１２６は、別のＰＬＭＮからの着信トラフィックをフィルタリングし、ホームＰＬＭＮを出るトラフィックのためにトポロジー隠蔽を実行する。ＳＥＰＰ１２６は、外部ＰＬＭＮのセキュリティを管理する、外部ＰＬＭＮ内のＳＥＰＰと通信してもよい。したがって、異なるＰＬＭＮ内のＮＦ間のトラフィックは、一方はホームＰＬＭＮ用であり、他方は外部ＰＬＭＮ用である、２つのＳＥＰＰ機能を横断し得る。
前述のように、５Ｇネットワークにおいて生じ得る１つの問題は、ＯＡｕｔｈ２．０承認のための汎用サポートの欠如であり、これは、ネットワーク間のサービス非互換性をもたらし得る。図２は、ＰＬＭＮ間のＯＡｕｔｈ２．０承認と、ＰＬＭＮ境界を越えてサービスにアクセスするためのアクセストークンの使用とを示すメッセージフロー図である。図２のメッセージフローを参照すると、ライン１において、コンシューマＮＦ２００は、ＮＲＦ内アクセストークン要求メッセージをビジターネットワーク内に位置するＮＲＦ１００Ａに送信する。ＮＲＦ１００Ａは、ＳＥＰＰ１２６Ａおよび１２６Ｂを介してリモートＮＲＦ１００Ｂにアクセストークン要求メッセージを転送する。この転送は、図２の線２～４によって示される。
ライン５で、ホームＮＲＦ１００Ｂは、クライアントがアクセストークンの受信を承認されているか否かを判断し、アクセストークン応答メッセージを送信することによってアクセストークンを返す。ライン５～７で、アクセストークン応答メッセージがコンシューマＮＦ２００に通信される。
ライン９で、コンシューマＮＦ２００は、ライン９～１１によって示されるように、アクセストークンを含むＳＢＩサービス要求メッセージを生成し、ＳＥＰＰ１２６Ａおよび１２６Ｂを介してＳＢＩサービス要求メッセージをプロデューサＮＦ２０２に送信する。
プロデューサＮＦ２０２は、アクセストークンを検証し、コンシューマＮＦ２００にサービスへのアクセスを許可する。ライン１２～１４において、プロデューサＮＦ２０２は、ＳＢＩサービス応答メッセージをコンシューマＮＦ２００に返す。したがって、図２は、２つの異なるネットワークがＯＡｕｔｈ２．０承認をサポートし、その結果、アクセストークンメッセージングおよびサービス要求メッセージングが成功する場合を示す。しかしながら、一方または他方のネットワークがＯＡｕｔｈ２．０承認をサポートしない場合、サービス要求メッセージングおよび／またはアクセストークンメッセージングは成功しないことになる。
図３は、ＮＦサービスコンシューマがＯＡｕｔｈ２．０承認をサポートせず、ＮＦサービスプロデューサがＯＡｕｔｈ２．０承認を必要とする場合を示す。図３を参照すると、ライン１において、コンシューマＮＦ２００は、ＳＢＩサービス要求メッセージを、異なるＰＬＭＮ内に位置し、アクセストークン承認を必要とするプロデューサＮＦ２０２に送信する。サービス要求はアクセストークンを含まないので、ライン２のサービス要求はホームＳＥＰＰ１２６Ｂによって拒否される。３ＧＰＰ ＴＳ ３３．５０１のセクション１３．４．１．２．２は、プロバイダＳＥＰＰが、アクセストークン内のサブジェクトクレームのサービングＰＬＭＮがＮ３２メッセージ内のＮ３２－ｆコンテキストＩＤに対応するリモートＰＬＭＮに一致することをチェックすることを提唱するので、ＳＥＰＰ１２６Ｂは、サービス要求を拒否する。ライン２のサービス要求メッセージはアクセストークンを含まないので、ＳＥＰＰ１２６Ｂが検証するサブジェクトクレームはなく、したがってメッセージは拒否される。
図３は、コンシューマＮＦがＯＡｕｔｈ２．０承認をサポートせず、プロデューサＮＦがＯＡｕｔｈ２．０承認をサポートする場合を示しているが、図４は、コンシューマＮＦがＯＡｕｔｈ２．０承認をサポートし、ＮＲＦがサポートしない場合を示す。図４のメッセージフローを参照すると、ライン１において、この例ではホームネットワーク内に位置するコンシューマＮＦ３００が、ホームネットワーク内に位置するプロデューサＮＦ３０２によって提供されるサービスにアクセスするために、ホームネットワーク内に位置するＮＲＦ１００Ｂにアクセストークン要求メッセージを送信する。ＮＲＦ１００Ｂは、アクセストークン要求メッセージを、ビジターネットワーク内に位置するリモートＮＲＦ１００Ａに転送する。この転送は、図４のメッセージフロー図のライン２～４によって示される。この例では、ビジターＮＲＦ１００Ａは、ＯＡｕｔｈ２．０承認をサポートしない。したがって、ビジターＮＲＦ１００Ａは、アクセストークン要求に応答することができず、アクセストークンメッセージングの失敗をもたらす。その結果、コンシューマＮＦ３００は、ビジターネットワーク内のプロデューサＮＦ３０２によって提供されるサービスにアクセスすることができない場合がある。
これらの困難を回避するために、本明細書で説明するＳＥＰＰは、アクセストークンベースの承認をサポートしないコンシューマＮＦに代わってアクセストークン承認クライアントプロキシとして機能し、アクセストークンベースの承認をサポートしないＮＲＦに代わってアクセストークン承認サーバとして機能する。アクセストークンベースの承認をサポートしないコンシューマＮＦについては、ＳＥＰＰは、アクセストークンをフェッチし、アクセストークンをＳＢＩ要求に追加した後に、プロデューサＮＦにＳＢＩ要求を転送する。ＳＥＰＰは、処理を高速化するためにトークンをキャッシュすることを選択することができる。ＳＥＰＰは、コンシューマＮＦに代わってアクセストークン要求を作成するために使用されるＮＦタイプおよびＮＦインスタンスＩＤを取得するために、ＳＢＩサービス要求においてコンシューマＮＦによって提供されるユーザエージェントヘッダからのフィールドを利用し得る。ＳＥＰＰがＯＡｕｔｈ２．０承認サーバとして機能する場合、ＳＥＰＰは、アクセストークンを要求側コンシューマＮＦに発行する。
図５は、ＳＥＰＰがＯＡｕｔｈ２．０承認をサポートしないコンシューマＮＦに代わってＯＡｕｔｈ２．０承認クライアントプロキシとして動作するケースを示す。図５を参照すると、メッセージフロー図のライン１において、コンシューマＮＦ２００は、ＳＢＩサービス要求メッセージを、異なるＰＬＭＮに位置するプロデューサＮＦ２０２に送信する。ＳＥＰＰ１２６Ａは、アクセストークン要求を傍受し、その要求はアクセストークンを有さない、と判断する。メッセージフロー図のライン２において、ＳＥＰＰ１２６Ａは、プロデューサＮＦのＰＬＭＮに位置するＮＲＦ１００Ｂにアクセストークン要求を定式化して送信する。アクセストークン要求メッセージの定式化については、以下でさらに詳細に説明する。図５のライン２および３は、ＮＲＦ１００Ｂへのアクセストークン要求の転送を示す。ＮＲＦ１００Ｂは、コンシューマＮＦ２００を検証し、アクセストークンを含むアクセストークン応答を生成し、ライン４および５において、ＳＥＰＰ１２６Ｂおよび１２６Ａを介してコンシューマＮＦ２００のネットワークにアクセストークン応答を送信する。アクセストークン応答をコンシューマＮＦ２００に転送する代わりに、ＳＥＰＰ１２６Ａは、アクセストークン応答を傍受し、応答からアクセストークンを抽出し、ライン１で受信されたＳＢＩサービス要求メッセージにアクセストークンを挿入する。ライン６および７で、ＳＥＰＰ１２６Ａは、ＳＢＩサービス要求をアクセストークンとともにプロデューサＮＦ２０２に転送する。プロデューサＮＦ２０２は、アクセストークンを使用してサービス要求を検証し、ライン８～１０において、ＳＢＩサービス応答メッセージを生成し、コンシューマＮＦ２００に送信する。したがって、図５は、ＳＥＰＰ１２６ＡがＯＡｕｔｈ２．０承認をサポートしないコンシューマＮＦに代わってＯＡｕｔｈ２．０承認クライアントプロキシとして機能する場合を示す。
別の例では、ＳＥＰＰ１２６Ａは、アクセストークン承認サーバとして機能し得る。この例を図６に示す。図６を参照すると、ライン１において、コンシューマＮＦ３００は、アクセストークン要求メッセージを生成し、アクセストークン要求メッセージをホームネットワーク内に位置するＮＲＦ１００Ｂに転送する。ＮＲＦ１００Ｂは、ライン２および３において、プロデューサＮＦ３０２が存在するネットワーク内に位置するＮＲＦ１００Ａにアクセストークン要求メッセージを転送する。しかしながら、ＮＲＦ１００Ａは、ＯＡｕｔｈ２．０承認をサポートしない。したがって、ＳＥＰＰ１２６Ａは、アクセストークン要求メッセージを傍受し、ライン４において、ＮＲＦ１００Ａに代わってアクセストークン応答メッセージを生成する。アクセストークン応答メッセージは、ＳＥＰＰ１２６Ａにローカルな情報を使用してＳＥＰＰ１２６Ａによって生成されたアクセストークンを含む。アクセストークンは、必要とされるアクセストークンクレームのすべてを含むという点で、構文的に正しくてもよい。ライン４～６において、ＳＥＰＰ１２６Ａは、アクセストークンをコンシューマＮＦ３００に転送する。
ライン７で、コンシューマＮＦ３００は、ＳＢＩサービス要求を生成し、プロデューサＮＦ３０２に送信し、サービス要求は、アクセストークンを含む。ライン８で、ＳＥＰＰ１２６Ａは、ＳＢＩサービス要求を受信し、プロデューサＮＦ３０２はＯＡｕｔｈ２．０承認をサポートしないので、サービス要求からアクセストークンを除去する。ライン９において、ＳＥＰＰ１２６Ａは、サービス要求をプロデューサＮＦ３０２に転送する。ライン１０～１２において、プロデューサＮＦ２０２は、ＳＢＩサービス応答メッセージを生成し、コンシューマＮＦ３００に送信する。したがって、図６は、ＳＥＰＰ１２６Ａが、ＯＡｕｔｈ２．０承認をサポートしないＮＲＦに代わってＯＡｕｔｈ２．０承認サーバプロキシとして機能する場合を示す。
図７は、本明細書で説明するＯＡｕｔｈ２．０承認プロキシ化をサポートするＳＥＰＰの例示的なアーキテクチャを示すブロック図である。図７を参照すると、ＳＥＰＰ１２６Ａは、少なくとも１つのプロセッサ７００とメモリ７０２とを含む。ＳＥＰＰ１２６Ａは、ＯＡｕｔｈ２．０承認をサポートしないコンシューマＮＦに代わってＯＡｕｔｈ２．０アクセストークンを取得し、コンシューマＮＦがＯＡｕｔｈ２．０承認をサポートするプロデューサＮＦによって提供されるサービスにアクセスすることを可能にするためにＯＡｕｔｈ２．０アクセストークンを含むようにＳＢＩサービス要求メッセージを修正する、図５に関して上記で説明した動作を実行するためのアクセストークン承認クライアントプロキシ７０４をさらに含む。ＳＥＰＰ１２６Ａは、さらに、図６に関して上述したように、ＯＡｕｔｈ２．０承認をサポートしないＮＲＦに代わってＯＡｕｔｈ２．０承認サーバの機能を実行するアクセストークン承認サーバプロキシ７０６を含む。アクセストークン承認サーバプロキシ７０６はまた、アクセストークンベースの承認をサポートしないプロデューサＮＦに宛てられたサービス要求メッセージからアクセストークンを除去し得る。アクセストークン承認クライアントプロキシ７０４およびアクセストークン承認サーバプロキシ７０６は、プロセッサ７００に上述のアクセストークン承認クライアントおよびサーバプロキシ化動作を行わせる、メモリ７０２に記憶されたコンピュータ実行可能命令を使用して実現することができる。
図８Ａは、ＳＥＰＰがアクセストークン承認クライアントプロキシとして機能する、ＳＥＰＰにおいて代行承認を実行するための例示的な全体的なプロセスを示すフローチャートである。図８Ａを参照すると、ステップ８００において、本プロセスは、アクセストークンベースの承認をサポートしないコンシューマＮＦから、アクセストークンベースの承認を必要とするプロデューサＮＦによって提供されるサービスにアクセスするためのＳＢＩサービス要求を傍受することを含む。例えば、ＳＥＰＰ１２６Ａは、プロデューサＮＦ２０２によって提供されるサービスにアクセスするためのＳＢＩサービス要求をコンシューマＮＦ２００から受信し得る。
ステップ８０２において、本プロセスは、コンシューマＮＦに代わってアクセストークンを取得するためにアクセストークン承認クライアントプロキシとして動作することを含む。例えば、ＳＥＰＰ１２６Ａは、ＯＡｕｔｈ２．０承認をサポートしないコンシューマＮＦ２００に代わってアクセストークンを取得するためにＯＡｕｔｈ２．０承認クライアントプロキシとして機能し得る。図８Ｂは、図８Ａのステップ８０２のさらなる詳細を示す。図８Ｂを参照すると、ステップ８０２Ａにおいて、本プロセスは、コンシューマＮＦに代わってアクセストークン要求メッセージを生成することを含む。下記の表１は、アクセストークン要求メッセージに含まれなければならない属性を示す。
アクセストークン要求に含まれなければならない属性の最小セットは、許可タイプ、ＮＦインスタンスＩＤ、ＮＦタイプ、ターゲットＮＦタイプ、範囲、要求元ＰＬＭＮ、およびターゲットＰＬＭＮである。許可タイプ属性は、ＳＢＩサービス要求メッセージからポピュレートされるコンシューマＮＦ身分証明から取得され得る。ＮＦインスタンスＩＤは、ＳＢＩサービス要求メッセージのユーザエージェントヘッダからポピュレートされ得る。３ＧＰＰ ＴＳ ２９．５００のセクション５．２．２によれば、ユーザエージェントヘッダは、ＳＢＩサービス要求メッセージ内の必須ヘッダである。以下の表２は、ユーザエージェントパラメータの構造を示す。
表２に示されるように、ユーザエージェントパラメータは、ＮＦインスタンスＩＤ等の、ＮＦインスタンスを識別する情報を含み得る。ＳＥＰＰ１２６Ａは、ＳＢＩサービス要求メッセージのユーザエージェントヘッダからＮＦインスタンスＩＤを抽出し、その情報を使用してアクセストークン要求メッセージのＮＦインスタンスＩＤ属性をポピュレートし得る。同様に、ＮＦタイプもまた、ＳＢＩサービス要求メッセージのユーザエージェントヘッダから取得され得る。
表１に戻ると、アクセストークン要求の要求元ＰＬＭＮは、ＳＥＰＰ１２６Ａの、設定された要求元ＰＬＭＮパラメータに基づいて、ポピュレートされ得る。ターゲットＰＬＭＮ属性は、ＳＢＩサービス要求メッセージの要求元統一資源識別子（Ｒ－ＵＲＩ）から抽出されたＡＰＩ名からポピュレートされ得る。アクセストークン要求の範囲属性は、ＳＢＩサービス要求メッセージのＲ－ＵＲＩから抽出されたサービス名からポピュレートされ得る。
図８Ｂに戻ると、アクセストークン要求が定式化されると、ステップ８０２Ｂにおいて、ＳＥＰＰ１２６Ａは、アクセストークン要求をＮＲＦに送信する。たとえば、ＳＥＰＰ１２６Ａは、プロデューサＮＦ２０２が位置するＰＬＭＮに位置するＮＲＦ１００Ｂにアクセストークン要求メッセージを送信し得る。
ステップ８０２Ｃにおいて、本プロセスは、アクセストークンを含むアクセストークン応答をＮＲＦから受信することを含む。例えば、ＳＥＰＰ１２６Ａは、アクセストークンを含むアクセストークン応答をＮＲＦ１００Ｂから受信してもよい。
図８Ａに戻ると、ステップ８０４において、本プロセスは、第１のアクセストークンを使用して、コンシューマＮＦがプロデューサＮＦによって提供されるサービスにアクセスすることを可能にすることを含む。図８Ｃは、図８Ａのステップ８０４のさらなる詳細を示す。図８Ｃを参照すると、ステップ８０４Ａにおいて、本プロセスは、アクセストークンをＳＢＩサービス要求メッセージに挿入することを含む。例えば、ＳＥＰＰ１２６Ａは、ＮＲＦ１００Ｂから取得したアクセストークンを、コンシューマＮＦ２００から傍受したサービス要求メッセージに挿入することができる。
ステップ８０４Ｂにおいて、本プロセスは、第１のアクセストークンを含むＳＢＩサービス要求をプロデューサＮＦに転送することを含む。たとえば、ＳＥＰＰ１２６Ａは、アクセストークンを含むＳＢＩサービス要求をプロデューサＮＦ２０２に転送することができる。次いで、プロデューサＮＦ２０２は、アクセストークンを使用してサービス要求を承認し、サービス要求に応答する。ＳＥＰＰ１２６Ａは、応答をコンシューマＮＦ２００に転送する。したがって、図８Ａ～図８Ｃは、ＳＥＰＰがアクセストークン承認クライアントプロキシとして機能し、アクセストークン承認クライアントプロキシは、本明細書で説明する例では、ＯＡｕｔｈ２．０承認クライアントプロキシである、ＳＥＰＰによる代行承認を示す。
図９Ａは、アクセストークン承認をサポートしないＮＲＦに代わってアクセストークン承認サーバプロキシとして機能するＳＥＰＰによって実行される例示的な代行承認プロセスを示す。図９Ａを参照すると、本プロセスは、ステップ９００において、コンシューマＮＦからアクセストークン要求を受信することを含む。例えば、ＳＥＰＰ１２６Ａは、コンシューマＮＦ３００からアクセストークン要求を受信する。
ステップ９０２において、本プロセスは、アクセストークン要求に応答して、アクセストークンベースの承認をサポートしないＮＲＦに代わってアクセストークン承認サーバプロキシとして動作することを含む。ステップ９０２は、図９Ｂにさらに詳細に示される。図９Ｂを参照すると、ステップ９０２Ａにおいて、本プロセスは、アクセストークン要求に応答してアクセストークンを生成することを含む。たとえば、ＳＥＰＰ１２６Ａは、ＩＥＴＦ ＲＦＣ６７４９において指定される必要とされるクレームを含むアクセストークンを生成し得る。アクセストークンは、ＩＥＴＦ ＲＦＣ６７４９において指定されたフォーマットおよびコンテンツに従って構文的に正しいものであってもよい。しかしながら、以下で説明されるように、ＳＥＰＰ１２６Ａは、アクセストークンベースの承認をサポートしないプロデューサＮＦにサービス要求メッセージを転送する前にサービス要求メッセージからアクセストークンを除去することになるので、アクセストークンは実際のアクセストークンである必要はなく、構文的に正しいフィールドを有するダミーアクセストークンであり得る。
ステップ９０２Ｂにおいて、本プロセスは、アクセストークン応答をコンシューマＮＦに送信することを含む。例えば、ＳＥＰＰ１２６Ａは、ステップ９０２Ａで生成されたアクセストークンを含むアクセストークン応答を要求側コンシューマＮＦ３００に送信することができる。
図９Ａに戻ると、ステップ９０４において、本プロセスは、コンシューマＮＦがサービスにアクセスすることを可能にするよう、プロデューサＮＦおよびコンシューマＮＦとの信号通信を含む。ステップ９０４は、図９Ｃにより詳細に示される。図９Ｃを参照すると、コンシューマＮＦおよびプロデューサＮＦとの信号通信のプロセスは、ステップ９０４Ａにおいて、アクセストークンを含むＳＢＩサービス要求をコンシューマＮＦから受信することを含む。たとえば、ＳＥＰＰ１２６Ａは、ＳＥＰＰ１２６Ａが生成したＮＦアクセストークンを含むＳＢＩサービス要求をＮＦサービスコンシューマ３００から受信することができる。
ステップ９０４Ｂにおいて、本プロセスは、ＳＢＩサービス要求からアクセストークンを除去することを含む。ステップ９０４Ｃにおいて、本プロセスは、ＳＢＩサービス要求をプロデューサＮＦに転送することを含む。したがって、図９Ａ～図９Ｃは、アクセストークンベースの承認をサポートしないＮＲＦに代わってアクセストークン承認サーバプロキシおよび信号通信仲介者として機能する際にＳＥＰＰによって実行され得る例示的なステップを示す。
本明細書で説明される主題の例示的な利点は、あるＰＬＭＮがアクセストークンベースの承認をサポートし、別のＰＬＭＮがサポートしない、ＰＬＭＮ間の改善された相互運用性を含む。ＳＥＰＰにおいてソリューションを提供することは、ＳＥＰＰがネットワーク間の境界に位置するので、有益である。また、それは、単一のＳＥＰＰが、コンシューマＮＦおよびプロデューサＮＦのために、またはそれらに代わって、本明細書で説明される機能を果たすことができるため、スケーラブルなソリューションでもある。
以下の参考文献の各々の開示は、参照によりその全体が本明細書に組み込まれる。
参照
1. Hardt, D. "The OAuth 2.0 Authorization Framework," IETF RFC 6749 (October 2012).
2. 3GPP TS 33.501 V17.0.0 (2020-12), 3rd Generation Partnership Project; Technical Specification Group Services and System Aspects; Security architecture and procedures for 5G system (Release 17).
3. 3GPP TS 29.500 V17.1.0 (2020-12); 3rd Generation Partnership Project; Technical Specification Group Core Network and Terminals; 5G System; Technical Realization of the Service Based Architecture; Stage 3 (Release 17).
4. 3GPP TS 29.510 V17.0.0 (2020-12); 3rd Generation Partnership Project; Technical Specification Group Core Network and Terminals; 5G System; Network Function Repository Services; Stage 3 (Release 17).
ここに記載される主題の様々な詳細は、ここに記載される主題の範囲から逸脱することなく変更され得ることが理解されるであろう。さらに、前述の説明は、例示のみを目的とし、限定を目的とせず、ここに記載される主題は、以下に記載される特許請求の範囲によって定義される。

Claims (10)

  1. セキュリティエッジ保護プロキシ（ＳＥＰＰ）における代行承認のための方法であって、
    少なくとも１つのプロセッサおよびメモリを含むＳＥＰＰにおいて、
    アクセストークンベースの承認をサポートしない第１のコンシューマネットワーク機能（ＮＦ）から、アクセストークンベースの承認を必要とする第１のプロデューサＮＦによって提供されるサービスにアクセスするための第１のサービスベースのインターフェース（ＳＢＩ）サービス要求を傍受することと、
    アクセストークン承認クライアントプロキシとして動作して、前記第１のコンシューマＮＦに代わって第１のアクセストークンを取得することと、
    前記第１のアクセストークンを使用して、前記第１のコンシューマＮＦが前記第１のプロデューサＮＦによって提供される前記サービスにアクセスすることを可能にすることとを含み、
    前記アクセストークン承認クライアントプロキシとして動作することは、前記第１のアクセストークンを取得するためにＮＦリポジトリ機能（ＮＲＦ）と信号通信を行うことを含み、
    前記第１のアクセストークンを取得するために前記ＮＲＦと信号通信を行うことは、
    前記第１のコンシューマＮＦに代わってアクセストークン要求を生成することと、
    前記アクセストークン要求を前記ＮＲＦに送信することと、
    前記ＮＲＦから、前記第１のアクセストークンを含むアクセストークン応答を受信することとを含み、
    前記アクセストークン要求を生成することは、前記第１のＳＢＩサービス要求のユーザエージェントヘッダから、前記アクセストークン要求に含まれるべき少なくともいくつかの属性の値を抽出することを含む、方法。
  2. 前記属性のうちの少なくともいくつかの値を抽出することは、前記第１のＳＢＩサービス要求の前記ユーザエージェントヘッダから前記第１のコンシューマＮＦのＮＦインスタンスＩＤを抽出することを含む、請求項１に記載の方法。
  3. 前記第１のアクセストークンを使用して、前記第１のコンシューマＮＦが前記第１のプロデューサＮＦによって提供される前記サービスにアクセスすることを可能にすることは、
    前記第１のアクセストークンを前記第１のＳＢＩサービス要求に挿入することと、
    前記第１のアクセストークンを含む前記第１のＳＢＩサービス要求を前記第１のプロデューサＮＦに転送することと、
    前記第１のプロデューサＮＦからＳＢＩサービス応答を受信することと、
    前記ＳＢＩサービス応答を前記第１のコンシューマＮＦに転送することとを含む、請求項１または２に記載の方法。
  4. セキュリティエッジ保護プロキシ（ＳＥＰＰ）における代行承認のための方法であって、
    少なくとも１つのプロセッサおよびメモリを含むＳＥＰＰにおいて、
    アクセストークンベースの承認をサポートしない第１のコンシューマネットワーク機能（ＮＦ）から、アクセストークンベースの承認を必要とする第１のプロデューサＮＦによって提供されるサービスにアクセスするための第１のサービスベースのインターフェース（ＳＢＩ）サービス要求を傍受することと、
    アクセストークン承認クライアントプロキシとして動作して、前記第１のコンシューマＮＦに代わって第１のアクセストークンを取得することと、
    前記第１のアクセストークンを使用して、前記第１のコンシューマＮＦが前記第１のプロデューサＮＦによって提供される前記サービスにアクセスすることを可能にすることと、
    第２のコンシューマＮＦからアクセストークン要求を受信することと、
    前記第２のコンシューマＮＦからの前記アクセストークン要求に応答して、アクセストークン承認をサポートしないＮＦリポジトリ機能（ＮＲＦ）に代わってアクセストークン承認サーバプロキシとして動作することと、
    前記第２のコンシューマＮＦが第２のプロデューサＮＦによって提供されるサービスにアクセスすることを可能にするよう、前記第２のコンシューマＮＦおよび前記第２のプロデューサＮＦと信号通信を行うこととを含む、方法。
  5. 前記アクセストークン承認サーバプロキシとして動作することは、
    前記アクセストークン要求に応答して、第２のアクセストークンを生成することと、
    前記第２のコンシューマＮＦに、前記第２のアクセストークンを含むアクセストークン応答を送信することとを含む、請求項４に記載の方法。
  6. 前記第２のコンシューマＮＦが前記第２のプロデューサＮＦによって提供される前記サービスにアクセスすることを可能にするよう、前記第２のプロデューサＮＦと信号通信を行うことは、
    前記第２のコンシューマＮＦから、前記第２のアクセストークンを含む第２のＳＢＩサービス要求を受信することと、
    前記第２のＳＢＩサービス要求から前記第２のアクセストークンを除去することと、
    前記第２のＳＢＩサービス要求を前記第２のプロデューサＮＦに転送することと、
    前記第２のプロデューサＮＦからＳＢＩサービス応答を受信することと、
    前記ＳＢＩサービス応答を前記第２のコンシューマＮＦに転送することとを含む、請求項５に記載の方法。
  7. 前記第２のアクセストークンを生成することは、構文的に正しいクレームを伴うダミーアクセストークンを含むＯＡｕｔｈ２．０アクセストークンを生成することを含む、請求項５に記載の方法。
  8. セキュリティエッジ保護プロキシ（ＳＥＰＰ）における代行承認のためのシステムであって、
    少なくとも１つのプロセッサおよびメモリを含むＳＥＰＰと、
    前記少なくとも１つのプロセッサによって実現されるアクセストークン承認クライアントプロキシとを備え、
    前記アクセストークン承認クライアントプロキシは、
    アクセストークンベースの承認をサポートしない第１のコンシューマネットワーク機能（ＮＦ）から、アクセストークンベースの承認を必要とする第１のプロデューサＮＦによって提供されるサービスにアクセスするための第１のサービスベースのインターフェース（ＳＢＩ）サービス要求を傍受し、
    アクセストークン承認クライアントとして動作して、前記第１のコンシューマＮＦに代わって第１のアクセストークンを取得し、
    前記第１のアクセストークンを使用して、前記第１のコンシューマＮＦが前記第１のプロデューサＮＦによって提供される前記サービスにアクセスすることを可能にし、
    前記アクセストークン承認クライアントプロキシは、前記第１のアクセストークンを取得するためにＮＦリポジトリ機能（ＮＲＦ）と信号通信を行うよう構成され、
    前記第１のアクセストークンを取得するために前記ＮＲＦと信号通信を行うことは、
    前記第１のコンシューマＮＦに代わってアクセストークン要求を生成することと、
    前記アクセストークン要求を前記ＮＲＦに送信することと、
    前記ＮＲＦから、前記第１のアクセストークンを含むアクセストークン応答を受信することとを含み、
    前記アクセストークン要求を生成することは、前記第１のＳＢＩサービス要求のユーザエージェントヘッダから、前記アクセストークン要求に含まれるべき少なくともいくつかの属性の値を抽出することを含む、システム。
  9. セキュリティエッジ保護プロキシ（ＳＥＰＰ）における代行承認のためのシステムであって、
    少なくとも１つのプロセッサおよびメモリを含むＳＥＰＰと、
    前記少なくとも１つのプロセッサによって実現されるアクセストークン承認クライアントプロキシとを備え、
    前記アクセストークン承認クライアントプロキシは、
    アクセストークンベースの承認をサポートしない第１のコンシューマネットワーク機能（ＮＦ）から、アクセストークンベースの承認を必要とする第１のプロデューサＮＦによって提供されるサービスにアクセスするための第１のサービスベースのインターフェース（ＳＢＩ）サービス要求を傍受し、
    アクセストークン承認クライアントとして動作して、前記第１のコンシューマＮＦに代わって第１のアクセストークンを取得し、
    前記第１のアクセストークンを使用して、前記第１のコンシューマＮＦが前記第１のプロデューサＮＦによって提供される前記サービスにアクセスすることを可能にし、
    アクセストークン承認サーバプロキシをさらに備え、
    前記アクセストークン承認サーバプロキシは、
    第２のコンシューマＮＦからアクセストークン要求を受信し、
    前記第２のコンシューマＮＦからの前記アクセストークン要求に応答して、アクセストークン承認をサポートしないＮＦリポジトリ機能（ＮＲＦ）に代わってアクセストークン承認サーバとして動作し、
    前記第２のコンシューマＮＦが第２のプロデューサＮＦによって提供されるサービスにアクセスすることを可能にするよう、前記第２のコンシューマＮＦおよび前記第２のプロデューサＮＦと信号通信を行う、システム。
  10. 請求項１～７のいずれか１項に記載の方法をプロセッサに実行させるためのコンピュータ可読プログラム。
JP2023555360A 2021-03-11 2022-01-27 セキュリティエッジ保護プロキシ（ｓｅｐｐ）における代行承認のための方法、システム、およびコンピュータ可読媒体 Active JP7774635B2 (ja)

Applications Claiming Priority (3)

Application Number Priority Date Filing Date Title
US17/198,740 US12192764B2 (en) 2021-03-11 2021-03-11 Methods, systems, and computer readable media for delegated authorization at security edge protection proxy (SEPP)
US17/198,740 2021-03-11
PCT/US2022/014084 WO2022191931A1 (en) 2021-03-11 2022-01-27 Methods, systems, and computer readable media for delegated authorization at security edge protection proxy (sepp)

Publications (3)

Publication Number Publication Date
JP2024509941A JP2024509941A (ja) 2024-03-05
JPWO2022191931A5 JPWO2022191931A5 (ja) 2024-08-29
JP7774635B2 true JP7774635B2 (ja) 2025-11-21

Family

ID=80786954

Family Applications (1)

Application Number Title Priority Date Filing Date
JP2023555360A Active JP7774635B2 (ja) 2021-03-11 2022-01-27 セキュリティエッジ保護プロキシ（ｓｅｐｐ）における代行承認のための方法、システム、およびコンピュータ可読媒体

Country Status (5)

Country Link
US (1) US12192764B2 (ja)
EP (1) EP4305805A1 (ja)
JP (1) JP7774635B2 (ja)
CN (1) CN117121438A (ja)
WO (1) WO2022191931A1 (ja)

Families Citing this family (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US11811747B2 (en) 2021-03-11 2023-11-07 Oracle International Corporation Methods, systems, and computer readable media for delegated authorization at service communication proxy (SCP)
CN115150835A (zh) * 2021-03-31 2022-10-04 华为技术有限公司 一种信令保护方法、装置及系统
US11818102B2 (en) * 2021-04-16 2023-11-14 Nokia Technologies Oy Security enhancement on inter-network communication
US20220353263A1 (en) * 2021-04-28 2022-11-03 Verizon Patent And Licensing Inc. Systems and methods for securing network function subscribe notification process
US12348955B2 (en) * 2022-11-15 2025-07-01 Oracle International Corporation Methods, systems, and computer readable media for securing sensitive data to be transmitted in 5G and subsequent generation networks
GB2624690A (en) * 2022-11-28 2024-05-29 Nokia Technologies Oy Methods, apparatus, and computer programs for providing access to a subset of a resource managed by an entity of a mobile communication network
US12531894B2 (en) * 2023-11-29 2026-01-20 Oracle International Corporation Methods, systems, and computer readable media for detecting and mitigating security attacks on producer network functions (NFs) using access token to non-access-token parameter correlation at proxy nf
US20250234187A1 (en) * 2024-01-16 2025-07-17 Oracle International Corporation Methods, systems, and computer readable media for detecting and processing inter-public land mobile network (plmn) service-based interface (sbi) messages without 3gpp-sbi-originating-network-id headers

Family Cites Families (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US7512973B1 (en) * 2004-09-08 2009-03-31 Sprint Spectrum L.P. Wireless-access-provider intermediation to facilliate digital rights management for third party hosted content
US11245682B2 (en) * 2018-10-18 2022-02-08 Oracle International Corporation Adaptive authorization using access token
CN113994625B (zh) 2019-04-11 2025-03-11 株式会社Ntt都科摩 网络节点
US11844014B2 (en) 2019-04-27 2023-12-12 Nokia Technologies Oy Service authorization for indirect communication in a communication system
JP2021064319A (ja) * 2019-10-17 2021-04-22 富士通株式会社 通信プログラム、認可サーバ、および、通信システム
US11032270B1 (en) * 2020-04-07 2021-06-08 Cyberark Software Ltd. Secure provisioning and validation of access tokens in network environments
EP3962136B1 (en) 2020-08-25 2025-03-05 Nokia Technologies Oy Management of access tokens in communication networks
US11811747B2 (en) 2021-03-11 2023-11-07 Oracle International Corporation Methods, systems, and computer readable media for delegated authorization at service communication proxy (SCP)

Non-Patent Citations (3)

* Cited by examiner, † Cited by third party
Title
Huawei, Hisilicon，eSBA: Resolving the ENs in Solution #25，3GPP TSG SA WG3 #96 S3-193100，2019年08月30日
Huawei，Discussion on TLS and Inter PLMN Routing through SEPP，3GPP TSG CT WG4 #85bis C4-185052，2018年06月29日
SA3，Presentation of Specification/Report to TSG: TR 33.855 "Study on Service Based Architecture (SBA) Security", Version 1.0.0，3GPP TSG SA #80 SP-180615，2018年06月16日

Also Published As

Publication number Publication date
EP4305805A1 (en) 2024-01-17
CN117121438A (zh) 2023-11-24
US20220295282A1 (en) 2022-09-15
JP2024509941A (ja) 2024-03-05
WO2022191931A1 (en) 2022-09-15
US12192764B2 (en) 2025-01-07

Similar Documents

Publication Publication Date Title
JP7748473B2 (ja) サービス通信プロキシ（ｓｃｐ）における代行承認のための方法、システム、およびコンピュータ可読媒体
JP7774635B2 (ja) セキュリティエッジ保護プロキシ（ｓｅｐｐ）における代行承認のための方法、システム、およびコンピュータ可読媒体
JP7611381B2 (ja) ネットワーク機能識別子を利用して受信メッセージレート制限を実施するための方法、システム、およびコンピュータ読み取り可能な媒体
CN113748699B (zh) 用于通信系统中的间接通信的服务授权
EP3815401B1 (en) Security management for service access in a communication system
US11943616B2 (en) Methods, systems, and computer readable media for utilizing network function identifiers to implement ingress message rate limiting
JP7738062B2 (ja) 最適化されたバインディングサポート機能（ｂｓｆ）パケットデータユニット（ｐｄｕ）セッションバインディング発見応答を提供するための方法、システム、およびコンピュータ可読媒体
CN116686313B (zh) 用于防止订户标识符泄露的方法、系统和计算机可读介质
US20240048986A1 (en) Communication method and apparatus
US11743363B1 (en) Methods, systems, and computer readable media for utilizing network function (NF) service attributes associated with registered NF service producers in a hierarchical network
CN113994633A (zh) 通信系统中的网络功能集合的授权
EP4399901B1 (en) Reducing likelihood of successful dos attacks by validating overload control information
JP2024543859A (ja) 登録されたネットワーク機能（ｎｆ）プロファイル情報からドメイン名システム（ｄｎｓ）レコードを動的に更新するための方法、システム、およびコンピュータ可読媒体
US20240080300A1 (en) Methods, systems, and computer readable media for automatic category 1 message filtering rules configuration by learning topology information from network function (nf) repository function (nrf)
US12323316B2 (en) Methods, systems, and computer readable media for service communication proxy (SCP) routing
WO2021068937A1 (zh) 服务绑定的方法及装置
US20250280294A1 (en) METHODS, SYSTEMS, AND COMPUTER READABLE MEDIA FOR INDICATING CONSUMER NETWORK FUNCTION (NF) TYPE FOR ACCESS TOKEN REQUESTS FORWARDED BETWEEN NF REPOSITORY FUNCTIONS (NRFs)
US12289291B2 (en) Methods, systems, and computer readable media for managing network function request messages at a security edge protection proxy
WO2024195282A1 (ja) コアネットワークノード、データ生成方法、プログラム及び通信システム
CN116491140A (zh) 用于入口消息速率限制的方法、系统和计算机可读介质

Legal Events

Date Code Title Description
A521 Request for written amendment filed

Free format text: JAPANESE INTERMEDIATE CODE: A523

Effective date: 20240821

A621 Written request for application examination

Free format text: JAPANESE INTERMEDIATE CODE: A621

Effective date: 20240821

A977 Report on retrieval

Free format text: JAPANESE INTERMEDIATE CODE: A971007

Effective date: 20250423

A131 Notification of reasons for refusal

Free format text: JAPANESE INTERMEDIATE CODE: A131

Effective date: 20250507

A521 Request for written amendment filed

Free format text: JAPANESE INTERMEDIATE CODE: A523

Effective date: 20250708

TRDD Decision of grant or rejection written
A01 Written decision to grant a patent or to grant a registration (utility model)

Free format text: JAPANESE INTERMEDIATE CODE: A01

Effective date: 20251021

A61 First payment of annual fees (during grant procedure)

Free format text: JAPANESE INTERMEDIATE CODE: A61

Effective date: 20251111

R150 Certificate of patent or registration of utility model

Ref document number: 7774635

Country of ref document: JP

Free format text: JAPANESE INTERMEDIATE CODE: R150