KR101869584B1

KR101869584B1 - 클라우드 기반 신원 관리(c-idm) 구현을 위한 방법 및 시스템

Info

Publication number: KR101869584B1
Application number: KR1020137034389A
Authority: KR
Inventors: 부밉 카스나비쉬
Original assignee: 지티이 코포레이션; 지티이 (유에스에이) 인크.
Priority date: 2011-06-14
Filing date: 2012-06-14
Publication date: 2018-06-20
Also published as: US20140181309A1; KR20140047623A; JP5778862B2; CN103765404B; EP2721503A2; WO2012174210A3; WO2012174210A2; JP2014519672A; CN103765404A; EP2721503A4; HK1192631A1

Abstract

가상 IDM 서버가 개시된다. 일 실시예에서, 서버는 하나 이상의 컴퓨터 네트워크들에서 복수의 컴퓨터들에 존재하는 복수의 공유 자원들을 이용한다. 서버는 또한 실시간 기반으로 상기 공유 자원들의 할당 및 이용을 제어한다. 서버는 IDM 서비스 요청과 관련된 메시지들을 수신하기 위한 하나 이상의 API들 및 상기 IDM 서비스 요청의 처리 동안에 실시간 기반으로 상기 복수의 공유 자원들을 액세스하기 위한 하나 이상의 API들을 더 포함한다.

Description

클라우드 기반 신원 관리(C-IDM) 구현을 위한 방법 및 시스템{METHOD AND SYSTEM FOR CLOUD-BASED IDENTITY MANAGEMENT (C-IDM) IMPLEMENTATION}

본 발명은 일반적으로 가입자 및 사용자의 신원 관리(identity management; IDM) 구현에 관한 것이다. 구체적으로, 본 발명은 분산된 가상 자원들을 이용하는 IDM 구현을 위한 방법 및 시스템에 관한 것이다.

일반적으로 말하면, 신원 관리(IDM)는 시스템(예컨대, 국가, 네트워크 또는 조직)에서 개인들을 식별하고 개인들의 확립된 신원에 대해 제한을 두어 그 시스템에서 자원들에 대한 액세스를 제어하는 것을 다루는 폭 넓은 관리 영역이다. 컴퓨터 네트워크의 분야에서, IDM은 컴퓨터 네트워크에 걸쳐 사람이 식별되고 인가되는 방법에 관련된 용어이다. 이것은 사용자들에게 신원, 그 신원의 보호, 및 그 보호를 지원하는 기술들(예컨대, 네트워크 프로토콜, 디지털 인증서, 패스워드 등)을 제공하는 방법과 같은 문제들을 다룬다.

통상적으로, IDM 특징 및 기능은 다음의 2개의 상이한 방식들로 구현된다. 첫째, IDM은 애플리케이션 서버, 정책 서버, 홈 가입자 서버(home subscriber server; HSS), 게이트웨이 디바이스 등과 같은 다른 서버들에 직접적으로 접속되는 IDM 데이터베이스 또는 IDM 서버로 불리는 독립형 디바이스 상에 구현될 수 있고, 이러한 서버들은 IDM 서버로부터 IDM 서비스를 직접적으로 요청할 수 있다. 둘째, IDM은 (a) 에지 디바이스(라우터, 게이트웨이, 스위치, 광 선로 종단장치(optical line termination; OLT) 장비, 및 인터넷 프로토콜 기반 디지털 가입자 라인 액세스 멀티플렉서(Internet protocol based Digital Subscriber Line Access Multiplexer; IP-DSLAM)], (b) 에지/코어 서비스 제어 기능과 같은 서비스 요소, (c) 이동성 및 자원 관리 기능과 같은 전송 요소 등과 같은 네트워크 기반구조 요소에 통합될 수 있다.

IDM 특징 및 기능의 리스트는 예를 들어 3GPP 사양 TS 24.109 (ftp://3gpp.org/Specs/latest/Rel-10/24_series/) 및 ITU-T Focus Group on IDM documents(FGIdM, http://www.itu.int/ITUT/studygroups/com17/fgidm/index.html)에서 찾을 수 있다. 이러한 문서들의 내용은 본 명세서에 그 전체가 통합된다.

도 1a는 IDM 구현을 위한 현재 모델의 블록도를 개략적으로 도시한다. 도면에서, IDM 서버(100)는 현재 IDM 구현에 포함되는 다른 네트워크 엔티티들에 직접적으로 접속된다. 이러한 네트워크 요소들은 애플리케이션 서버(120), 세션 제어 요소(130), 서비스 게이트웨이(140) 등을 포함할 수 있다. 도 1b 및 도 1c는 현재 IDM 구현에 포함되는 상이한 네트워크 엔티티들 간에 교환되는 시그널링 플로우 및 메시지를 개략적으로 도시한다.

독립형 IDM 서버(100)는 요청(예컨대, 트랜잭션 또는 세션 기반 서비스로의 액세스를 인증하기 위해서 가입자 및 사용자의 신원 검증에 대한 요청)을 수신한다. IDM 서버(100)는 그 액세스를 인증하기 위해 미리 결정된 수의 속성들(예컨대, 서비스 이름 및 위치), 자격 인증서(예컨대, 비밀 코드 또는 바이오메트릭스 정보), 및 식별자(이름, 사용자 ID, MACId, IP 어드레스, 지리적 위치 등)를 이용할 수 있다.

사용자/가입자가 인증된 후에 현재 구현에 따라 IDM 서버(100)가 세션 및 매체를 위해 자원들을 제어할 수도 있고 제어하지 않을 수도 있다는 것은 주목할 만한 가치가 있다. 정책, 서비스 품질 및 보안 요구사항들이 이러한 할당을 지시하는 것이 가능하다. IDM의 시그널링 요소와 IDM의 매체 제어 요소 간의 인터페이스는 개방형 프토로콜 (표준 프로토콜)이거나 사유 프로토콜(proprietary protocol)일 수 있고, 이 인터페이스는 자원 요청의 분산을 통해 신뢰성을 지원하기 위해서 포인트 투 포인트 또는 포인트 투 멀티포인트일 수 있다.

현재 IDM 구현의 큰 문제점은 IDM 구현이 IDM 서비스를 위해 전용 서버 또는 네트워크 기반구조 요소를 이용한다는 것이다. IDM 특징 및 기능의 이와 같은 구현은 다음의 바람직하지 않은 결과를 가져올 것이다:

A. 서비스 비용의 증가

B. 네트워크와의 통합 및 테스팅을 위해 요구되는 시간의 증가

C. 자원의 정적 할당

D. 자원의 재배치에서의 적은 유연성

E. 미리 설계된 특징 및 기능을 갖는 컴퓨팅 및 통신 자원들의 단단한 결합

F. 혁신에 대한 감소된 기회.

대조적으로, 동적이고 지속적으로 진화하는 네트워킹 및 서비스 개발 환경에서 네트워크 서비스 제공자가 필요로하는 것은, 1) 투자의 보호, 즉, 상이한 수익 발생 애플리케이션 및 서비스를 위해 빠르게 용도 변경할 수 있는 자원에 대한 투자의 보호; 및 2) 민첩성과 유연성, 즉, 이미 네트워크에 존재하는 동일한 자원들을 이용하여 새로운 특징과 기능을 배치하는 민첩성과 유연성이다.

본 발명은 이러한 큰 문제점을 해결하기 때문에, 서비스 제공자는 매우 자주 활용되지 않은 상태로 남아있거나 최대 가능성에 도달하기 전에 (또는 투자에 대한 전체 수익을 제공하기 전에) 구식이 되는 컴퓨팅 및 네트워킹 기어의 사일로를 생성하거나 설치하는 대신에 컴퓨팅, 통신 및 제어 기반구조 개발을 위해 예산을 할당할 수 있다.

본 발명은 가상 IDM 서버를 개시한다. IDM 서버는 하나 이상의 컴퓨터 네트워크들에서 복수의 컴퓨터들에 존재하는 복수의 공유 자원들을 이용한다. IDM 서버는 또한 실시간 기반으로 공유 자원들의 할당 및 이용을 제어한다. IDM 서버는 IDM 서비스 요청과 관련된 메시지들을 수신하기 위한 하나 이상의 API들 및 상기 IDM 서비스 요청의 처리 동안에 실시간 기반으로 상기 복수의 공유 자원들을 액세스하기 위한 하나 이상의 API들을 더 포함한다.

본 발명에 따르면, 클라우드 기반 신원 관리(C-IDM) 구현을 위한 방법 및 시스템을 제공하는 것이 가능하다.

일반적인 용어로 본 발명을 설명하였지만, 이제 첨부 도면들을 참조할 것이고, 첨부 도면들은 반드시 실척도로 도시되는 것은 아니다.
도 1a는 IDM 구현을 위한 현재 모델의 블록도를 개략적으로 도시한다.
도 1b는 현재 IDM 구현에 포함되는 시그널링 플로우를 개략적으로 도시한다.
도 1c는 현재 IDM 구현에 포함되는 메시지 교환을 개략적으로 도시한다.
도 2는 본 발명의 일 실시예의 IDM 구현 모델을 개략적으로 도시한다.
도 3은 본 발명의 일 실시예의 IDM 서비스를 제공하기 위한 방법을 개략적으로 도시한다.

이제 본 발명은 첨부 도면들을 참조하여 이하에서 더욱 완전하게 기술될 것이고, 첨부 도면들에는 본 발명의 실시예들의 일부 예들이 도시된다. 실제로, 본 발명은 많은 상이한 형태로 구현될 수 있고, 본 명세서에 설명된 실시예들로 제한되는 것으로 해석되어서는 안 된다. 오히려, 본 발명개시가 적용 가능한 법적 요구사항을 충족시키도록 이러한 실시예들은 예로서 제공된다.

도 2는 본 발명의 IDM 구현 모델의 일 실시예를 도시한다. 이러한 구현에서, IDM 특징 및 기능은 하나 이상의 가상 IDM 서버(200) 상에 구현된다. 이와 같은 가상 IDM 서버는 실시간 기반 및 주문형 기반으로 네트워크의 자원들의 세트를 이용하도록 설계될 수 있다. 이러한 자원들은 공중 네트워크, 구내 네트워크 또는 공동체 네트워크로부터 획득될 수 있다. 일 실시예에서, 이와 같은 가상 서버는 IDM 서비스를 제공하기 위해 기존의 클라우드 컴퓨팅 자원들을 구성함으로써 클라우드 기반 가상 IDM 서버로서 구현될 수 있다. 이와 같은 구현은 발명 기술 분야에 잘 공지된 프로그래밍 언어를 이용하여 IDM 애플리케이션 인터페이스(application interface; API) 또는 자원 프로그래밍 인터페이스(resource programming interface; RPI)를 설계함으로써 달성될 수 있다. 예를 들어, 이러한 API/RPI는 SOAP, XML, WSDL, Parlay/Parlay-X, HTTP, CORBA 중 임의의 하나 이상을 이용할 수 있다. 이러한 API/RPI의 설계는 아마존 EC2(Elastic Compute Cloud)와 같은 기존의 클라우드 컴퓨팅 플랫폼에 기초할 수 있다. 아마존 EC2에 관한 정보는 EC2 웹사이트(http://aws.amazon.com/ec2/)로부터 획득될 수 있다. 이러한 웹사이트의 내용은 본 명세서에 통합된다.

이러한 API/RPI는 원하는 자원들로의 액세스를 간단하게 할뿐만 아니라 기존의 네트워크/기반구조, 보안, 가용성, 서비스 지속성 등과의 신속한 통합 및 상호 운용성을 보장한다는 것을 유념한다. 이것은 원하는 IDM 특징/기능이 이러한 개방형 API/RPI를 통해 이용 가능한 네트워크 자원들을 탐색하고 자원들이 서비스의 지속 기간(duration) 동안 애플리케이션 및 서비스의 요구사항 마다 이용될 수 있도록 자원들을 꺼냄으로써 획득된다는 사실에 기인한다. 예를 들어, 파이어월링(firewalling) 및 암호화 키 자원들의 실시간 가용성은 공용 인터넷을 통한 실시간 엔터프라이즈 보안 음성 통신 서비스를 위해 필수적이다.

일 실시예에서, 가상 IDM 서버(200)는 한 세트의 가상 시그널링/컴퓨팅 자원 블록(212) 및 한 세트의 매체/저장 자원의 가상 블록(215)을 더 포함한다. 가상 시그널링/컴퓨팅 자원 블록(212)은 IDM 서비스를 수신하고, API/RPI로부터의 요청을 처리하며, 개방형/표준 프로토콜(216) 또는 가상 통신 링크(virtual communication link; VPN)(218)를 통해 매체/저장 자원의 가상 블록(215)으로부터 매체/저장 자원들(예컨대, 저장 공간, 컴퓨팅 능력 등)을 할당 또는 획득한다. 매체 또는 시그널링 자원의 가상 블록들은 다양한 네트워크 자원들로부터 획득되어, 요구사항의 임의의 연장된 지속기간 동안 이용될 수 있다. 일 실시예에서, 이용의 이러한 지속기간은 몇 시간 내지 몇 일로 변할 수 있다.

일 실시예에서, 다양한 네트워크 자원들로부터 획득된 가상 시그널링/컴퓨팅 자원 블록(212)은 IDM 시그널링 자원들의 풀(pool)로 통합되고, 이러한 IDM 시그널링 자원들의 풀을 액세스하기 위한 통합된 API(221)가 생성된다. 이것은 IDM의 시그널링 부분과 통신하기 위해 가입자 정보/프로파일 서버(220), 신뢰 및 키 인가(230), 액세스/매체 정책 제어(240), 세션/트랜잭션 제어 서버(250) 등과 같은 애플리케이션 및 서비스에서 용이하게 이용 가능하도록 IDM 서비스에 대한 방법을 제공한다.

다른 실시예에서, IDM 구현의 시그널링 부분은 또한 IDM 서비스 요청을 처리하는데 필요한 시그널링 자원들을 제어하거나 할당하기 위한 하나 이상의 모듈들(222)을 포함한다. 물리적 시그널링/컴퓨팅 자원(224)은 분산 방식으로 다양한 컴퓨터들에 존재할 수 있고, 기존의 클라우드 컴퓨팅 기술이 이용되어 제어 모듈(222)과 물리적 자원(224) 간의 통신을 용이하게 하기 위해 가상 자원(223)으로 이러한 분산된 자원들을 통합할 수 있다.

또 다른 실시예에서, IDM 구현의 시그널링 부분은 또한 개방형 프로토콜(216) 또는 VPN(218) 중 어느 하나를 이용하여 가상 네트워크 링크를 통해 IDM의 매체 제어 부분으로부터의 자원들의 할당을 제어한다.

또 다른 실시예에서, IDM의 매체 부분에 대한 자원 블록들은 또한 다양한 네트워크 자원으로부터 획득될 수 있고, 이러한 블록들은 IDM 매체 자원의 풀에 통합될 수 있으며, IDM 매체 자원의 풀을 액세스하기 위한 통합된 API(225)가 생성되어 IDM의 매체 부분과 시그널링 부분 간의 통신을 용이하게 할 수 있다.

일 실시예에서, IDM 구현의 매체 부분은 또한 IDM 서비스 요청을 처리하는데 필요한 매체 자원들을 할당하거나 제어하기 위한 하나 이상의 모듈들(226)을 포함한다. 물리적 매체/저장 자원(228)은 분산 방식으로 다양한 컴퓨터들에 존재할 수 있고, 기존의 클라우드 컴퓨팅 기술이 이용되어 제어 모듈(226)과 물리적 자원(228) 간의 통신을 용이하게 하기 위해 가상 자원(227)으로 이러한 분산된 자원들을 통합할 수 있다.

IDM 서비스 요청을 처리하기 위해 요구되는 매체 자원 및 시그널링은 다양한 네트워크 자원들로부터 획득될 수 있고, 요구되는 지속기간 동안에 이용될 수 있다. 이 지속기간은 몇 분 내지 수십 또는 수백 시간으로 변할 수 있다.

도 3은 본 발명의 일 실시예에 따라 IDM 서비스를 제공하기 위한 방법을 도시한다. 이 실시예에서, 단계 310에서, IDM 서비스 요청과 관련된 메시지가 IDM 구현의 시그널링 API에 의해 먼저 수신된다. 이와 같은 요청 메시지는 가입자 정보/프로파일 서버(220), 신뢰 및 키 인가(230), 액세스/매체 정책 제어(240), 또는 세션/트랜잭션 제어 서버(250) 등으로부터 발생할 수 있다. 단계 320에서, IDM 구현의 시그널링 부분의 제어 모듈은 필요한 시그널링 자원들의 양 및 요청된 자원들이 필요한 시간을 결정한다. 단계 325에서, 시그널링 제어 모듈은 시그널링 자원들의 할당을 요청하기 위해 가상 시그널링 자원들을 접촉하고, 이와 같은 자원들은 단계 330에서 획득된다.

그리고 나서, 단계 340에서, IDM 구현의 시그널링 부분은 매체 자원의 할당을 요청하기 위해서 매체 자원 제어 API를 접촉한다. 앞서 기술된 바와 같이, 시그널링 API 및 매체 제어 API 양자 모두는 기존의 클라우드 컴퓨팅 플랫폼에 기초하여 설계될 수 있다. 단계 350에서, 이러한 IDM 구현의 매체 부분의 제어 모듈은 필요한 시그널링 자원들의 양 및 요구되는 자원들이 필요한 시간을 결정한다. 단계 355에서, 시그널링 제어 모듈은 시그널링 자원들의 할당을 요청하기 위해 가상 매체 자원들을 접촉하고, 이러한 자원들은 단계 360에서 획득된다.

그리고 나서, 단계 370에서, IDM 서비스 요청 메시지가 획득된 자원들을 이용하여 처리된다. IDM 요청의 시그널링 및 매체 자원 및 처리의 보유는 아마존 EC2와 같은 기존의 클라우드 컴퓨팅 서비스를 이용함으로써 획득될 수 있다. 마지막으로, IDM 서비스 요청이 처리된 이후에 단계 380에서 시그널링 및 매체 자원은 해제된다.

발명이 앞서 기술된 설명 및 첨부 도면에 나타난 교시의 이점을 갖는 것과 관련되고, 본 명세서에 설명된 본 발명의 많은 변형 및 다른 실시예들이 발명 기술 분야의 당업자에게 생각날 것이다. 그러므로, 본 발명은 개시된 실시예들의 특정한 예들로 제한되지 않는 것으로 이해될 것이고, 다른 실시예들은 첨부된 특허청구 범위 내에 포함되는 것으로 의도된다. 특정한 용어가 본 명세서에 이용되었지만, 이들은 제한을 위한 것이 아니라 일반적이고 설명적인 의미로 이용된다.

authenticate: 인증하다

Claims

가상 IDM 서버에 있어서,
상기 서버는 하나 이상의 컴퓨터 네트워크들에서 복수의 컴퓨터들 상에 존재하는 복수의 공유 자원들을 이용하고;
상기 서버는 또한 실시간 기반으로 상기 공유 자원들의 할당 및 이용을 제어하고;
상기 서버는,
IDM 서비스 요청과 관련된 메시지를 수신하기 위한 API들;
실시간 기반으로 상기 복수의 공유 자원들을 액세스하기 위한 API들로서, 상기 IDM 서비스 요청은 상기 액세스되는 자원들을 이용하여 처리되는 것인, 상기 복수의 공유 자원들을 액세스하기 위한 API들; 및
하나 이상의 가상 자원 API들과 통신함으로써 상기 공유 자원들의 할당 및 이용을 제어하는 제어 모듈들;
을 포함하고,
상기 제어 모듈들은,
하나 이상의 가상 시그널링 자원 API들과 통신함으로써 공유 시그널링 자원들의 할당 및 이용을 제어하는, 시그널링 제어 모듈을 포함하고,
상기 하나 이상의 가상 시그널링 자원 API들과 상이한 하나 이상의 가상 저장 자원 API들과 통신함으로써 공유 저장 자원들의 할당 및 이용을 제어하는, 저장 제어 모듈을 더 포함하는 것인,
가상 IDM 서버.
제 1 항에 있어서,
가상 시그널링 부분 및 가상 저장 부분을 더 포함하고,
상기 가상 시그널링 부분 및 상기 가상 저장 부분은 표준 네트워크 프로토콜 또는 VPN을 통해 통신하는 것인 가상 IDM 서버.
제 1 항에 있어서, 상기 하나 이상의 API들은 클라우드 컴퓨팅 플랫폼에 기초하여 설계되는 것인 가상 IDM 서버.
제 1 항에 있어서, 상기 공유 자원들은 상기 IDM 서비스 요청의 요구사항에 기초하여 페치(fetch)되고 해제되는 것인 가상 IDM 서버.
컴퓨터 네트워크로서,
제 1 항의 가상 IDM 서버를 포함하는 컴퓨터 네트워크.
제 1 항에 있어서, 상기 공유 자원들은 하나 이상의 공중 네트워크 또는 공동체 컴퓨터 네트워크에 존재하는 자원들을 포함하는 것인 가상 IDM 서버.
IDM 서비스를 제공하기 위한 방법에 있어서,
IDM 서비스 요청과 관련된 메시지를 수신하는 단계;
실시간 기반으로 복수의 공유 자원들의 할당 및 이용을 결정하는 단계 - 상기 공유 자원들은 하나 이상의 컴퓨터 네트워크들의 복수의 컴퓨터들에 존재함 - ; 및
실시간 기반으로 상기 공유 자원들을 액세스하기 위한 API들과 통신하는 단계로서, 상기 IDM 서비스 요청은 상기 액세스되는 자원들을 이용하여 처리되는 것인, 통신하는 단계;
를 포함하고,
상기 통신하는 단계는,
시그널링을 위한 공유 자원을 액세스하기 위해 하나 이상의 가상 시그널링 자원 API들과 통신하는 단계를 포함하고,
저장 이용을 위한 공유 자원을 액세스하기 위해 상기 하나 이상의 가상 시그널링 자원 API들과 상이한 하나 이상의 가상 저장 API들과 통신하는 단계를 더 포함하는 것인,
IDM 서비스를 제공하기 위한 방법.
제 7 항에 있어서, 상기 결정하는 단계는 실시간 기반으로 시그널링 자원들의 할당 및 이용을 결정하는 단계를 더 포함하는 것인 IDM 서비스를 제공하기 위한 방법.
제 7 항에 있어서, 상기 결정하는 단계는 실시간 기반으로 저장 자원들의 할당 및 이용을 결정하는 단계를 더 포함하는 것인 IDM 서비스를 제공하기 위한 방법.
제 7 항에 있어서, 상기 API들은 클라우드 컴퓨팅 플랫폼에 기초하여 설계되는 것인 IDM 서비스를 제공하기 위한 방법.
제 7 항에 있어서, 상기 공유 자원들은 상기 IDM 서비스 요청의 요구사항에 기초하여 페치되고 해제되는 것인 IDM 서비스를 제공하기 위한 방법.
제 7 항에 있어서, 상기 공유 자원들은 하나 이상의 공중 네트워크 또는 공동체 컴퓨터 네트워크에 존재하는 자원들을 포함하는 것인 IDM 서비스를 제공하기 위한 방법.
삭제
삭제
삭제
삭제
삭제
삭제
삭제
삭제