KR20140003426A - 백-엔드 한정 위임 모델 - Google Patents

백-엔드 한정 위임 모델 Download PDF

Info

Publication number
KR20140003426A
KR20140003426A KR1020137012975A KR20137012975A KR20140003426A KR 20140003426 A KR20140003426 A KR 20140003426A KR 1020137012975 A KR1020137012975 A KR 1020137012975A KR 20137012975 A KR20137012975 A KR 20137012975A KR 20140003426 A KR20140003426 A KR 20140003426A
Authority
KR
South Korea
Prior art keywords
computing device
back end
domain
middle tier
domain controller
Prior art date
Application number
KR1020137012975A
Other languages
English (en)
Inventor
마크 피셀 노바크
폴 제이 리치
리키앙 주
폴 제이 밀러
알렌산드루 한가누
이 젱
제레미 도미니크 비에가스
케이 미치코 쇼트
Original Assignee
마이크로소프트 코포레이션
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 마이크로소프트 코포레이션 filed Critical 마이크로소프트 코포레이션
Publication of KR20140003426A publication Critical patent/KR20140003426A/ko

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F15/00—Digital computers in general; Data processing equipment in general
    • G06F15/16—Combinations of two or more digital computers each having at least an arithmetic unit, a program unit and a register, e.g. for a simultaneous processing of several programs
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0884—Network architectures or network communication protocols for network security for authentication of entities by delegation of authentication, e.g. a proxy authenticates an entity to be authenticated on behalf of this entity vis-à-vis an authentication entity
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/321—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving a third party or a trusted authority
    • H04L9/3213—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving a third party or a trusted authority using tickets or tokens, e.g. Kerberos
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0807—Network architectures or network communication protocols for network security for authentication of entities using tickets, e.g. Kerberos

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Signal Processing (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Computing Systems (AREA)
  • Software Systems (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Computer And Data Communications (AREA)
  • Information Transfer Between Computers (AREA)
  • Mobile Radio Communication Systems (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

클라이언트는 미들 티어와 통신할 수 있고, 미들 티어는 차례로 스케일링이 잘 이루어지는 시스템의 맥락에서 클라이언트를 대표하여 정보와 자원에 접근하기 위하여 백 엔트 티어와 통신할 수 있다. 각각의 개별적인 백 엔드는 해당 백 엔드에 대해 어떤 컴퓨팅 장치가 위임할 수 있는지를 정의하는 정책을 확립할 수 있다. 그 정책은 이 특정한 백 엔드와 동일한 관리 도메인 내에 있는 도메인 컨트롤러에 의해 집행될 수 있다. 미들 티어가 백 엔드에 대해 위임하는 것을 요청할 때, 이 요청이 향해진 도메인 컨트롤러는 정책을 적용할 수 있고, 또는 만약 도메인 컨트롤러가 타겟 백 엔드와는 다른 도메인에 있는 경우에, 다른 도메인에 있는 도메인 컨트롤러에게 미들 티어를 향하게 할 수 있고 또한 이 다른 도메인 컨트롤러와 통신할 때 미들 티어가 이용할 수 있는 관련 정보에 서명할 수 있다.

Description

백-엔드 한정 위임 모델{BACK-END CONSTRAINED DELEGATION MODEL}
가장 단순한 형태에 있어서, 클라이언트와 서버 사이의 네트워크 통신은 클라이언트로부터 서버로의 요청을 포함하는데, 이 요청은 서버에 의해서만 독점적으로 응답될 수 있고 클라이언트로 리턴될 수 있다. 비록 이런 시스템은 실제로 단순하기는 하지만, 스케일링이 좋지 않을 수 있으며 또한, 요청자로 하여금 예컨대 파일 저장 서비스, 데이터 저장 서비스 및 단일 채널을 통한 전자 메일 서비스와 같은 다수의 서비스들과의 동시 상호작용을 허용할 수 없다. 클라이언트로 하여금 여전히 하나의 단일 서버와 통신할 수 있게 허용하면서도, 또한 서버가 역량을 확장할 수 있게 하기 위하여, 티어 구조(tiered structure)가 이용되었다. 티어 구조에서, 클라이언트는 요청을 미들 티어(middle tier)로서 행동하는 서버에게 송신할 수 있다. 이 미들 티어 서버는, 그것 자체가 클라이언트 요청에 응답하기 위해 필요한 관련 정보를 반드시 가지고 있어야 하는 것은 아니다. 그 대신에, 미들 티어 서버는 뒤로 돌아가서 백 엔드 티어(back end tier)의 서버들 중 일부인 하나 이상의 서버들을 참조하여, 클라이언트에 의해 요청된 정보를 획득할 수 있다. 이러한 정보를 획득하면, 이후 미들 티어 서버는 클라이언트에게 응답할 수 있다. 클라이언트의 관점에서 보면, 하나의 단일 통신 종단점, 즉 미들 티어는 잠재적으로 무한한 양의 데이터 및 그 외 다른 정보 자원으로의 액세스를 제공할 수 있다.
미들 티어 서버로 하여금 클라이언트의 요청에 응답할 수 있게 하기 위하여, 미들 티어 서버가 클라이언트를 대표하여 백 엔드 티어의 서버들로부터 정보를 획득할 수 있도록 허용될 수 있다. 보안 측면에서 보면, 미들 티어 서버로 하여금 백 엔트 티어의 서버들 중에 속하지 아니하는 그 외 다른 서버들과 클라이언트로서 통신하도록 허용하는 것은 해로운 것일 수 있다. 이러한 구성은, 이에 의하면 클라이언트가 미들 티어 서버에게 자신의 패스워드 즉 장기적인 자격증, 또는 그 외의 인증 정보를 제공할 수 있고, 그 이후 이 미들 웨어 서버는 이 인증 정보를 제공함으로써 해당 클라이언트로서 임의의 서버와 통신할 수 있고, 미들 티어 서버에 대한 클라이언트의 역할의 위임은 미들 티어가 통신할 수 있는 서버에 관하여 한정되어 있지 않기 때문에 통상적으로 "무한정 위임(unconstrained delegation)"이라고 알려져 있다.
무한정 위임의 보안 문제에 대한 한가지 해결책은 통상적으로 "한정 위임(constrained delegation)"이라고 알려져 있는 위임 모델인데, 이에 의하면 미들 티어 서버가 클라이언트로서, 또는 클라이언트를 대표하여 통신할 수 있는 백 엔드 티어 서버들을 제한하는 정책이 도입된다. 통상적으로, 한정 위임 모델은 도메인 컨트롤러를 통해 운영되는데, 도메인 컨트롤러는 하나 이상의 관련 정책들을 참조하고 미들 티어 서버가 클라이언트로서 또는 클라이언트를 대표하여 하나 이상의 백 엔드 티어 서버들과 통신할 수 있는지 여부를 결정한다. 예컨대, 클라이언트가 자신의 인증 정보를 미들 티어 서버에게 제공한 후, 미들 티어 서버는 도메인 컨트롤러에게 백 엔드 티어 내의 하나 이상의 서버들에게 해당 클라이언트로서 및 해당 클라언트를 대표하여 행동할 권한을 요청할 수 있다. 도메인 컨트롤러는, 하나 이상의 관련 정책들을 참조하여, 미들 티어 서버의 요청을 수락할 것인지 아닌지를 결정할 수 있으며, 또한 만약 미들 티어 서버의 요청을 수락하는 경우라면, 도메인 컨트롤러는 미들 티어 서버에게 서비스 티켓, 또는 그 외 다른 정보 컬렉션을 제공할 수 있는데, 이 서비스 티켓 또는 그 외 다른 정보 컬렉션은 미들 티어 서버가 하나 이상의 백 엔드 티어 서버들에게 제공할 수 있는 것으로서 이들 백 엔드 티어 서버들과의 통신에 있어서 미들 티어 서버가 클라이언트로서 및 클라이언트를 대표하여 행동하는 것이 허용될 수 있다고 도메인 컨트롤러가 간주하고 있음을 나타낸다.
불운하게도, 한정 위임은 네트워크 컴퓨팅 장치들의 다수의 도메인들 사이에서 구현하기 어려울 수 있다. 더 상세히 말해서, 하나의 도메인 내의 백 엔드 티어 서버들은, 미들 티어 서버를 포함하고 있는 도메인과는 다르거나 상이한 도메인의 도메인 컨트롤러를 반드시 신뢰할 필요가 없다. 그 대신에, 미들 티어 서버를 포함하고 있는 도메인의 도메인 컨트롤러는, 직접적으로든 또는 미들 티어 서버 및 백 엔드 티어 서버들을 경유하여 간접적으로든, 백 엔드 티어 서버들을 포함하고 있는 도메인의 도메인 컨트롤러와 통신할 수 있고 또한 그 두 번째 도메인 컨트롤러에게 미들 티어 서버가 실제로 하나 이상의 백 엔드 티어 서버들에게 위임하는 것이 허용될 수 있는지를 결정할 수 있게 하기에 충분한 정보를 제공할 수 있다. 이러한 모델은 다수의 도메인 컨트롤러들 또는 다수의 도메인들의 관리자들의 협력이 필요하기 때문에 구현하기 어려울 수 있다. 덧붙여서, 이러한 모델은 미들 티어 서버가 도메인 정책에 의하여 하나 이상의 백 엔드 티어 서버들에 대해 위임하는 것이 허용될 수 있는지 여부에 대해서만 위임 한정을 다룬다.
일 실시예에서, 백 엔드 티어의 일부인 하나 이상의 서버 컴퓨팅 장치에 대하여 대표자로서 미들 티어 컴퓨팅 장치가 행동하는 것은, 도메인 정책이 미들 티어 컴퓨팅 장치로 하여금 하나 이상의 백 엔드 티어 컴퓨팅 장치에 대해 위임하는 것을 허용하는지 여부에 의해서가 아니라, 오히려 하나 이상의 백 엔드 티어 컴퓨팅 장치 각각의 개별적인 정책이 미들 티어 컴퓨팅 장치로 하여금 하나 이상의 백 엔드 티어 컴퓨팅 장치 각각에 대해 위임하는 것을 허용하는지 여부에 의해서 결정될 수 있다. 그 결과, 도메인 관리자의 역할은 감소하며, 그 대신, 관련 정책 판정-과정은 백 엔드 티어 컴퓨팅 장치들의 시스템 관리자들에 의해 수행될 수 있는데, 이 시스템 관리자들은 이들 백 엔드 티어 컴퓨팅 장치들에 의해 제공되고 있는 서비스들에 대해 더 많이 알 수 있다.
다른 실시예에서, 도메인 컨트롤러 컴퓨팅 장치는, 하나 이상의 백 엔드 티어 컴퓨팅 장치들에 대해 위임하기 위한 미들 티어 컴퓨팅 장치로부터의 요청을 수신할 때, 하나 이상의 백 엔드 티어 컴퓨팅 장치들이 도메인 컨트롤러의 도메인 내에 속하는지 여부를 고려할 수 있다. 만약 백 엔드 티어 컴퓨팅 장치들이 도메인 컨트롤러의 도메인 내에 속한다면, 도메인 컨트롤러 컴퓨팅 장치는, 미들 티어 컴퓨팅 장치에게, 미들 티어 컴퓨팅 장치로 하여금 클라이언트 컴퓨팅 장치로서 및 클라이언트 컴퓨팅 장치를 대표하여 행동하는 것을 허용하기 위하여 미들 티어 컴퓨팅 장치가 하나 이상의 백 엔드 컴퓨팅 장치들에게 제공할 수 있는 서비스 티켓 또는 그 외 다른 정보 컬렉션을 제공할 수 있다. 그렇지만 만약 백 엔드 티어 컴퓨팅 장치들이 도메인 컨트롤러의 도메인 내에 속하지 않는다면, 도메인 컨트롤러 컴퓨팅 장치는 그 대신에, 그 외 다른 상이한 도메인 내의 백 엔드 티어 컴퓨팅 장치들에 관하여 클라이언트 컴퓨팅 장치로서 및 클라이언트 컴퓨팅 장치를 대표하여 행동하기 위하여 미들 티어 컴퓨팅 장치가 상이한 도메인의 다른 도메인 컨트롤러 컴퓨팅 장치에 제공할 수 있는 토큰 또는 그 외 다른 정보 컬렉션을 미들 티어 컴퓨팅 장치에게 제공할 수 있다.
또 다른 실시예에서, 도메인 컨트롤러 컴퓨팅 장치들은, 토큰, 서비스 티켓, 또는 하나 이상의 백 엔드 티어 컴퓨팅 장치들과 통신에 있어서 미들 티어 컴퓨팅 장치로 하여금 클라이언트 컴퓨팅 장치로서 및 클라이언트 컴퓨팅 장치를 대표하여 행동하는 것을 최종적으로 허용하기 위해 사용될 수 있는 그 외 다른 유사 데이터를 제공하기 전에, 미들 티어 컴퓨팅 장치, 또는 그 외 다른 도메인 컨트롤러 컴퓨팅 장치들의 유효성을 인정할 수 있다.
이 발명의 내용은 이하 발명을 실시하기 위한 구체적인 내용에서 더 기술되는 개념들의 일부를 단순화된 형식으로 소개하기 위해 제공되는 것이다. 본 발명의 내용은 청구항에 기재된 청구대상의 주된 사항 또는 핵심 사항을 확인하기 위한 것이 아니며, 청구항에 기재된 청구대상의 범위를 한정하기 위하여 사용되도록 의도된 것도 아니다.
추가적인 특징과 장점은 첨부된 도면들을 참조하여 이루어질 아래의 상세한 설명으로부터 명백하게 될 것이다.
아래의 상세한 설명은 첨부된 도면들을 참조하여 취해질 때 가장 잘 이해될 것이다. 첨부된 도면들 중:
도 1은 예시적인 컴퓨팅 장치의 도면이며;
도 2는 미들 티어 컴퓨팅 장치가 동일 도메인 내의 백 엔드 티어 컴퓨팅 장치에 대해 위임하는 것을 허용하기 위한 일련의 예시적인 통신을 도시하는 시스템 도면이며;
도 3은 미들 티어 컴퓨팅 장치가 상이한 도메인 내의 백 엔드 티어 컴퓨팅 장치에 대해 위임하는 것을 허용하기 위한 일련의 예시적인 통신을 도시하는 시스템 도면이며;
도 4는 미들 티어 컴퓨팅 장치가 상이한 도메인 내의 백 엔드 티어 컴퓨팅 장치에 대해 위임하는 것을 허용하기 위한 또 하나의 일련의 예시적인 통신을 도시하는 시스템 도면이며;
도 5는 예시적인 미들 티어 컴퓨팅 장치의 예시적인 동작의 흐름도이며; 또한
도 6은 예시적인 도메인 컨트롤러 컴퓨팅 장치의 예시적인 동작의 흐름도이다.
아래의 설명은 위임 모델에 관한 것으로서 여기서 미들 티어 컴퓨팅 장치가 백 엔드 티어 컴퓨팅 장치에 대해 위임할 수 있는지 여부에 관련된 결정은 백 엔드 티어 컴퓨팅 장치가 미들 티어 컴퓨팅 장치로 하여금 자신에 대해 위임하는 것을 허용할 것인지 여부에 의하여 결정된다. 이러한 위임 모델을 구현하기 위하여, 일 실시예에서, 도메인 컨트롤러 컴퓨팅 장치는, 백 엔드 티어 컴퓨팅 장치에 대해 위임하기 위한 미들 티어 컴퓨팅 장치로부터의 요청을 수신할 때, 먼저 백 엔드 티어 컴퓨팅 장치가 도메인 컨트롤러의 도메인 내에 속하는지 여부를 결정할 수 있다. 만약 백 엔드 티어 컴퓨팅 장치가 도메인 컨트롤러의 도메인 내에 속한다면, 도메인 컨트롤러 컴퓨팅 장치는, 미들 티어 컴퓨팅 장치에게, 미들 티어 컴퓨팅 장치로 하여금 클라이언트 컴퓨팅 장치로서 및 클라이언트 컴퓨팅 장치를 대표하여 행동하는 것을 허용하기 위하여 미들 티어 컴퓨팅 장치가 백 엔드 컴퓨팅 장치에게 제공할 수 있는 서비스 티켓 또는 그 외 다른 정보 컬렉션을 제공할 수 있다. 그렇지만 만약 백 엔드 티어 컴퓨팅 장치가 도메인 컨트롤러의 도메인 내에 속하지 않는다면, 도메인 컨트롤러 컴퓨팅 장치는 그 대신에, 그 다른 상이한 도메인 내의 백 엔드 티어 컴퓨팅 장치에 관하여 클라이언트 컴퓨팅 장치로서 및 클라이언트 컴퓨팅 장치를 대표하여 행동하기 위하여, 미들 티어 컴퓨팅 장치가 다른 도메인의 다른 도메인 컨트롤러 컴퓨팅 장치에 제공할 수 있는 토큰 또는 그 외 다른 정보 컬렉션을 미들 티어 컴퓨팅 장치에게 제공할 수 있다. 이런 방식에서, 백 엔드 티어 컴퓨팅 장치와의 통신에 있어서 클라이언트 컴퓨팅 장치로서 및 클라이언트 컴퓨팅 장치를 대표하여 행동하는 미들 티어 컴퓨팅 장치의 능력은 백 엔드 티어 컴퓨팅 장치와 같은 동일 도메인의 도메인 컨트롤러 컴퓨팅 장치에 의해 시행되는 정책에 의하여, 그리고 그 결과, 그 정책의 입안자(specifier)와 같은, 백 엔드 티어 컴퓨팅 장치 자체에 의해 제어될 수 있다.
본 명세서에서 설명되고 있는 기술들은 "서비스 티켓" 또는 "토큰"과 같이, 특수한 타입의 통신 및 통신 요소들을 인용한다. 그렇지만 이러한 인용은 아래의 설명에 의해 자세히 설명되는 프로세스와 판정 과정을 밝히기 위해 필요한 정보를 제공하는 데이터 컬렉션에 명칭을 할당하기 위해서만 제공된다. 이러한 인용은 이 기술들을 전문용어가 종종 연관되어 있는 특수한 표준화된 프로토콜을 기술하는 것으로서 제한하려고 의도되는 것이 아니다. 그 결과, 한편으로 해당 기술 분야의 지식을 가진 자가, 예컨대 커베로스(Kerberos)와 같은, 특정한 종래의 인증 및 위임 프로토콜이 아래에서 상세하게 설명되는 요소들 중 적어도 일부를 실행하도록 도움이 될 수 있다는 점을 인식할 수 있지만, 본 명세서에서 제공하는 설명은 그러한 종래의 프로토콜로 제한되는 것을 의도하지 않고, 그 대신에, 아래에 기술된 메카니즘과 프로세스의 각각의 양상을 제공하거나 성취할 수 있는 임의의 메시지 및 데이터 컬렉션에도 동등하게 응용가능하다고 의도하고 있다. 유사하게, 본 명세서에서 설명되는 기술들은 하나 이상의 "도메인 컨트롤러" 컴퓨팅 장치를 인용하고 있다. 이러한 인용은 표현상의 편리와 이해를 용이하게 하기 위하여 사용한 것이지 특별히 도메인 컨트롤러 기능 전부를 수행해야만 하는 컴퓨팅 장치를 지칭하는 기술로 제한하려고 의도된 것은 아니다. 그 대신, 해당 기술 분야의 지식을 가진 자가 알 게 될 것 같이, "도메인 컨트롤러"와 관련하여 아래에 상세하게 설명되는 기능은 임의의 신뢰받은 중앙집중식 권한을 가진 컴퓨팅 장치에 의해 수행될 수 있다. 그 결과, 본 명세서에서 사용된 바와 같이, 용어 "도메인 컨트롤러"는 임의의 신뢰받는 중앙집중식 권한을 의미하고 또한 용어 "도메인 컨트롤러 컴퓨팅 장치"는 신뢰받는 중앙집중식 권한을 포함하고 구현하는 임의의 하나 이상의 컴퓨팅 장치들을 의미한다.
비록 필요하지는 않지만, 아래의 설명은 컴퓨팅 장치에 의해 실행되는, 프로그램 모듈과 같은, 컴퓨터-실행가능 인스트럭션의 일반적인 맥락으로 이루어질 것이다. 더 상세하게는, 설명은, 다르게 지시되지 않는 한, 하나 이상의 컴퓨팅 장치 또는 주변장치에 의해 실행되는 동작의 행동 및 기호적인 표현을 인용할 것이다. 그러므로, 그러한 행동 및 동작은, 종종 컴퓨터-실행되는 것으로서 지칭되는데, 구조화된 형태로 데이터를 나타내는 전기 신호의 프로세싱 유닛에 의한 조작을 포함한다는 점이 이해될 것이다. 이 조작은 데이터를 변환하거나 또는 메모리 내의 위치들에 유지시키는데, 이는 해당 기술 분야의 지식을 가진 자에 의해 잘 이해되는 방식으로 컴퓨팅 장치나 주변장치의 동작을 재구성하거나 또는 만약 그렇지 않는다면 변화시킨다. 데이터가 유지되는 데이터 구조는 데이터의 포맷에 의해 정의되는 특정한 성질을 가지는 물리적인 위치이다.
일반적으로, 프로그램 모듈은 특정한 임무를 수행하거나 특정한 추상적인 데이터 타입을 구현하는 루틴, 프로그램, 오브젝트, 컴포넌트, 데이터 구조 등을 포함한다. 컴퓨팅 장치가 종래의 개인용 컴퓨터만으로 제한될 필요가 없다는 점과, 핸드-헬드 장치, 멀티-프로세서 시스템, 마이크로프로세서 기반 또는 프로그래머블 소비자 전자제품, 네트워크 PC, 미니컴퓨터, 메인프레임 컴퓨터 등을 포함하여, 그 외 다른 컴퓨팅 구성을 포함한다는 점을 해당 기술 분야의 지식을 가진 자라면 이해할 것이다. 유사하게, 컴퓨팅 장치는 스탠드-얼론 컴퓨팅 장치만으로 제한될 필요가 없는데, 왜냐하면 메카니즘은 통신망을 통해 연결된 분산 컴퓨팅 환경에서도 수행될 수 있기 때문이다. 분산 컴퓨팅 환경에서, 프로그램 모듈은 로컬 및 원격 메모리 저장 장치 둘 모두의 내부에 위치될 수 있다.
도 1을 참조하면, 예시적인 컴퓨팅 장치(100)가, 부분적으로, 아래에 기술된 방법에서 및 아래에 기술된 방법을 도울 수 있는 하드웨어 요소들을 포함하여 도시되어 있다. 예시적인 컴퓨팅 장치(100)는 하나 이상의 중앙 프로세싱 유닛(CPU)(120), 시스템 메모리(130) 및 프로세싱 유닛(120)에 시스템 메모리를 포함하여 다양한 시스템 컴포넌트를 연결시키는 시스템 버스(121)를 포함할 수 있지만, 이들만으로 제한되는 것은 아니다. 시스템 버스(121)는 메모리 버스 또는 메모리 컨트롤러, 주변장치 버스, 및 다양한 버스 아키텍처 중 임의의 것을 사용하는 로컬 버스를 포함하는 몇 가지 타입의 버스 구조 중 임의의 것일 수 있다. 특정한 물리적 구현 형태에 따라, 하나 이상의 CPU(120), 시스템 메모리(130) 및 컴퓨팅 장치(100)의 그 외 다른 컴포넌트들은, 하나의 단일 칩에서와 같이, 물리적으로 같은 위치에 배치될 수 있다. 이러한 경우, 시스템 버스(121)의 일부나 전부는 하나의 단일 칩 구조 내의 실리콘 경로에 지나지 않으며 도 1에 예시된 것은 예시 목적을 위한 명시적인 편리함에 지나지 않을 수 있다.
또한 컴퓨팅 장치(100)는 통상적으로 컴퓨터 판독가능 매체를 포함하는데, 이것은 컴퓨팅 장치(100)에 의해 접근가능한 임의의 사용가능 매체를 포함할 수 있다. 제한적으로가 아니라 예시적으로 말해서, 컴퓨터 판독가능 매체는 컴퓨터 저장 매체 및 통신 매체를 포함할 수 있다. 컴퓨터 저장 매체는, 컴퓨터 판독가능 인스트럭션, 데이터 구조, 프로그램 모듈 및 그 외 다른 데이터와 같은 정보의 저장을 위한 임의의 방법이나 기술에서 구현된 매체를 포함한다. 컴퓨터 저장 매체는, RAM, ROM, EEPROM, 플래시 메모리 또는 그 외 다른 메모리 기술, CD-ROM, DVD(digital versatile disk) 또는 그 외 다른 광 디스크 저장장치, 자기 카세트, 자기 테이프, 자기 디스크 저장장치나 그 외 다른 자기 저장장치들, 또는 원하는 정보를 저장하기 위하여 사용되며 컴퓨팅 장치(100)에 의해 접근될 수 있는 임의의 그 외 다른 매체를 포함하지만 이들만으로 제한되는 것은 아니다. 통신 매체는 통상적으로 캐리어파 또는 그 외 다른 송신 메커니즘과 같이 조절된 데이터 신호의 형태로 컴퓨터 판독가능 인스트럭션, 데이터 구조, 프로그램 모듈 또는 그 외 다른 데이터를 구현하며 임의의 정보 전달 매체를 포함한다. 제한적으로가 아니라 예시적으로 말해서, 통신 매체는 유선 네트워크 또는 직접-유선 커넥션과 같은 유선 매체, 및 음향, RF, 적외선 및 그 외 다른 무선 매체와 같은 무선 매체를 포함한다. 위에서 언급한 것 중 임의의 것의 조합도 또한 컴퓨터 판독가능 매체의 범위 내에 포함될 것이다.
통신 매체를 사용할 때, 컴퓨팅 장치(100)는 하나 이상의 원격 컴퓨터와 로직 커넥션(logic connection)을 경유하여 네트워크 환경 내에서 동작할 수 있다. 도 1에 도시된 로직 커넥션은 근거리 네트워크(LAN), 인터넷과 같은 광대역 네트워크(WAN), 또는 그 외 다른 네트워크일 수 있는 네트워크(180)에 대한 일반 네트워크 커넥션(171)이다. 컴퓨팅 장치(100)는 일반 네트워크 커넥션(171)에 네트워크 인터페이스 또는 어댑터(170)를 통해 연결되는데, 이것은 차례로 시스템 버스(121)에 연결되어 있다. 네트워크 환경에서, 컴퓨팅 장치(10), 또는 그것의 일부나 주변장치에 관련하여 도시되어 있는 컴퓨터 모듈은 일반 네트워크 커넥션(171)을 통해 컴퓨팅 장치(100)에 통신가능하게 연결되는 하나 이상의 그 외 다른 컴퓨팅 장치의 메모리 안에 저장될 수 있다. 도시된 네트워크 커넥션은 예시적이며 컴퓨팅 장치들 사이의 통신 링크를 확립시키는 그 외 다른 수단이 사용될 수 있음이 이해될 것이다.
컴퓨터 저장 매체 중에서, 시스템 메모리(130)는 읽기 전용 메모리(ROM)(131) 및 랜덤 액세스 메모리(RAM)(132)를 포함하여, 휘발성 및/또는 비휘발성 메모리의 형태로 컴퓨터 저장 매체를 포함한다. 무엇보다도 컴퓨팅 장치(100)를 부팅하기 위한 코드를 가지고 있는 기본 입/출력 시스템(BIOS)(133)은 통상적으로 ROM(131)에 저장된다. RAM(132)은 통상적으로 프로세싱 유닛(120)에 의하여 즉시 접근할 수 있고 및/또는 곧 프로세싱 유닛(120) 상에서 동작되는 데이터 및/또는 프로그램 모듈을 저장한다. 제한적으로가 아니라 예시적으로 말해서, 도 1은 운영 시스템(134), 그 외 다른 프로그램 모듈(135), 및 프로그램 데이터(136)를 도시한다. RAM(132)은 TCG 이벤트 로그(190)와 같은, TPM(150)의 동작과 관련될 수 있는 데이터를 더 저장할 수 있다. 일 실시예에서, 전원이 인가되었기 때문에 또는 최근에 재시동되었기 때문에 컴퓨터 장치(100)에 의해 로딩되거나 실행되는 모듈들 모두의 고유한 식별정보를 포함할 수 있고; 로딩되거나 실행되는 동일한 모듈들은 하나 이상의 PCR 내에서 TPM(150)에 의해 현재 유지되는 값을 야기할 수 있다.
컴퓨팅 장치(100)는 또한 그 외의 다른 탈거가능/비-탈거가능, 휘발성/비휘발성 컴퓨터 저장 매체를 포함할 수 있다. 오직 예시적으로만 말해서, 도 1은 비-탈거가능, 비휘발성 매체로부터 읽고 그 매체에 쓰는 하드 디스크 드라이브(141)를 도시하고 있다. 예시적인 컴퓨터 장치와 함께 사용될 수 있는 그 외 다른 탈거가능/비-탈거가능, 휘발성/비휘발성 컴퓨터 저장 매체는, 자기 테이프 카세트, 플래시 메모리 카드, 디지털 다기능 디스크, 디지털 비디오 테이프, SS(solid state) RAM, SS ROM 등을 포함하지만, 이들만으로 제한되는 것은 아니다. 하드 디스크 드라이브(141)는 통상적으로 인터페이스(140)와 같은 비-탈거가능 메모리 인터페이스를 통해 시스템 버스(121)에 연결된다.
드라이브 및 이들과 연관된 위에서 논의되고 도 1에서 도시된 컴퓨터 저장 매체는, 컴퓨팅 장치(10)를 위한 컴퓨터 판독가능 인스트럭션, 데이터 구조, 프로그램 모듈 및 그 외 다른 데이터의 저장공간을 제공한다. 예를 들어 도 1에서 하드 디스크 드라이브(141)는 운영 시스템(144), 그 외 다른 프로그램 모듈(145) 및 프로그램 데이터(146)를 저장하는 것으로서 도시되어 있다. 이들 컴포넌트는 운영 시스템(134), 그 외 다른 프로그램 모듈(135) 및 프로그램 데이터(136)와 동일하거나 상이하거나 둘 중 어느 하나 일 수 있다는 점에 주목하라. 운영 시스템(144), 그 외 다른 프로그램 모듈(145) 및 프로그램 데이터(146)은 상이한 부호를 가지는데 이는 최소한 이들이 상이한 카피임을 예시하기 위한 것이다.
도 2로 돌아가면, 도시된 시스템(200)은 4개의 컴퓨팅 장치, 즉 클라이언트 컴퓨터 장치(210), 미들 티어 컴퓨팅 장치(220), 백 엔드 컴퓨팅 장치(230), 및 도메인 컨트롤러 컴퓨팅 장치(240)를 포함한다. 이들 컴퓨팅 장치 각각은 바로 위에서 기술된 예시적인 컴퓨팅 장치(100)의 형태일 수 있으며 예시적인 컴퓨팅 장치(100)를 참조하여 위에서 상세히 설명된 컴포넌트들 중 일부 또는 모두를 포함할 수 있다. 도 2의 시스템(200)의 컴퓨팅 장치들은 통신 커넥션을 경유하여 네트워크(180)에 통신가능하게 연결되어 있는 상태로 도시되어 있다. 그리기 편하게 하기 위하여, 네트워크(180)는 하나의 단일 도형 요소에 의해 그려져 있지만, 하나의 단일 네트워크 도메인이나 임의의 그 외 다른 네트워크 부분이나 구조만으로 제한된다는 의미는 아니며, 또한 도 2의 시스템(200) 안에도 도시되어 있는 도메인A(290)에 대해 외부에 있는 하나의 네트워크를 예시한다고 하는 의미도 아니다. 그 대신에, 도면들에서 사용된 바와 같이, 네트워크(180)는, 도시된 다양한 도메인들을 포함하여, 도면들에 도시된 시스템의 컴퓨팅 장치들 사이의 모든 네트워크 통신 커넥션을 나타내는 것을 의미하며, 또한 직접적이고 간접적인 통신 커넥션 양자 모두를 나타내는 것을 의미한다. 따라서, 예를 들어, 도 2에 도시된 시스템(200)은, 클라이언트 컴퓨팅 장치(210)가 직접적이든 간접적이든 네트워크(180)를 통해 미들 티어 컴퓨팅 장치(220)와 통신할 수 있도록 하는 일련의 예시적인 통신을 예시하고 있다. 도 2의 시스템(200)은 미들 티어 컴퓨팅 장치(220)가, 마찬가지로 직접적이든 간접적이든, 그리고 마찬가지로 네트워크(180)를 통하여, 도메인 컨트롤러 컴퓨팅 장치(240) 및 백 엔드 컴퓨팅 장치(230)와 통신할 수 있도록 하는 일련의 예시적인 통신을 더 도시하고 있다. 따라서, 비록 미들 티어 컴퓨팅 장치(220), 도메인 컨트롤러 컴퓨팅 장치(240) 및 백 엔드 컴퓨팅 장치(230)가 모두 동일한 도메인 A(290)의 일부로서 도시되어 있지만, 앞에서 지적한 바와 같이, 네트워크(180)는 도메인 A(290)를 포함하는 것으로서 간주되어야 하며, 도메인 A(290)와 분리된 별개의 네트워크 단위로서 간주되는 것은 아니다. 아래에서 상세히 설명되는 바와 같이, 도시된 통신은 미들 티어 컴퓨팅 장치(220)가 백 엔드 컴퓨팅 장치(230)와 같은 백 엔드 티어 컴퓨팅 장치에 대하여 클라이언트 컴퓨팅 장치(210)를 대표하여 행동할 수 있게 허용할 수 있는 위임 메커니즘의 예시적인 동작을 예시한다.
초기에, 도 2의 시스템(200)에 의해 예시된 바와 같이, 클라이언트 컴퓨팅 장치(210)는 통신(215)을 경유하여 클라이언트 식별자를 제공하거나 또는 도메인 컨트롤러 컴퓨팅 장치(240)에 의해 서명될 수 있는 그 외 다른 데이터 컬렉션을 제공함으로써 자신을 미들 티어 컴퓨팅 장치(220)와 같은 미들 티어 컴퓨팅 장치에게 인증할 수 있다. 예를 들어, 일 실시예에서, 미들 티어 컴퓨팅 장치(220)와의, 통신(215)과 같은, 통신을 초기화하기 전에, 클라이언트 컴퓨팅 장치(210)는 먼저 도메인 컨트롤러 컴퓨팅 장치(240)로부터 클라이언트 식별자를 획득할 수 있다. 해당 기술 분야의 지식을 가진 자라면 알 수 있는 바와 같이, 도메인 컨트롤러 컴퓨팅 장치(240)는 이러한 클라이언트 식별자를 제공하기 전에 클라이언트 컴퓨팅 장치(210)에 대한 평가를 수행할 수 있다. 예를 들어, 도메인 컨트롤러 컴퓨팅 장치(240)는, 클라이언트 컴퓨팅 장치(210)가, 예를 들어, 안티-악성코드 소프트웨어 애플리케이션 프로그램의 가장 최근 버전을 설치하고 있음과 같은, 또는 다른 예를 들면, 클라이언트 컴퓨팅 장치(210) 상에 상주하는 다양한 운영 시스템 및 소프트웨어 애플리케이션 프로그램을 위한 가장 최신의 패치를 설치했음과 같은, 관련 보안 설정에 대해 입증하는 것을 확인할 수 있다. 이러한 정보는 클라이언트 컴퓨팅 장치(210)에 의해 그것의 도메인 컨트롤러 컴퓨팅 장치(240)와의 통신의 일부로서 제공될 수 있고, 또 예를 들어 클라이언트 컴퓨팅 장치(210)에 의해 안전하게 확인될 수 있는 방식으로 유지될 수 있는 이벤트 로그를 참조하여 도메인 컨트롤러 컴퓨팅 장치에 대하여 확인될 수 있다.
일단 도메인 컨트롤러 컴퓨팅 장치(240)가 도메인 컨트롤러 컴퓨팅 장치(240)에 의해 제어되고, 도 2에서 도시된 짙게 표시된 영역에 의해 도시된, 도메인 A(290) 내에서 클라이언트 컴퓨팅 장치(210)가 그 외 다른 컴퓨팅 장치들과 통신하도록 허용될 수 있다고 결정하면, 도메인 컨트롤러 컴퓨팅 장치(240)는 클라이언트 컴퓨팅 장치(210)에게 클라이언트 식별자, 또는 그 외 다른 식별 데이터의 컬렉션을 제공할 수 있다. 이러한 클라이언트 식별자, 또는 그 외 다른 식별 데이터의 컬렉션은 도메인 컨트롤러(240)에 의해 서명됨으로써 도메인 A(290) 내 그 외 다른 컴퓨팅 장치들이 그것의 진짜(authenticity) 여부를 확인할 수 있게 한다. 예를 들어, 미들 티어 컴퓨팅 장치(220) 및 백 엔드 컴퓨팅 장치(230)와 같은, 도메인 A(290)에 속한 그 외 다른 컴퓨팅 장치들 각각은 도메인 컨트롤러 컴퓨팅 장치(240)의 공개키에 접근할 수 있다. 따라서 만약 도메인 컨트롤러 장치(240)가, 도메인 A(290)에 속한 그 외 다른 컴퓨팅 장치들에 의해 소유된 공개키에 대응하는, 그것의 비밀키로 클라이언트 식별자에 서명한다면, 이들 그 외 다른 컴퓨팅 장치들 각각은 해당 기술 분야에서 지식을 가진 자에게 잘 알려져 있는 방식으로 그 공캐키를 참조하여 이러한 서명을 확인할 수 있다. 공개키/비밀키 쌍에 의존하는 것이 아닌 다른 방식으로, 도메인 컨트롤러 컴퓨팅 장치(240) 및 도메인 컨트롤러 컴퓨팅 장치(240)와 통신하는, 도메인 A(290)와 같은, 해당 도메인 내의 컴퓨팅 장치들 사이에서 유지되는 하나 이상의 공유된 대칭 키들을 사용하여 서명이 수행될 수 있다.
따라서, 클라이언트 컴퓨팅 장치(210)가 통신(215)을 통해 자신의 클라이언트 식별자를 미들 티어 컴퓨팅 장치(220)로 전송할 때, 미들 티어 컴퓨팅 장치(220)는 통신(215) 내에서 클라이언트 컴퓨팅 장치(210)에 의해 제공된 클라이언트 식별자가 사실상 도메인 컨트롤러 컴퓨팅 장치(240)에 의해 서명되었음을 확인하기 위해 예를 들어 도메인 컨트롤러 컴퓨팅 장치(240)의 공개키를 사용할 수 있다. 이러한 클라이언트 컴퓨팅 장치(210)의 확인에 이어서, 미들 티어 컴퓨팅 장치(220)는 클라이언트 컴퓨팅 장치(210)로부터 요청들을 수신할 수 있고 또한 이들 요청들의 일부로서 클라이언트 컴퓨팅 장치(210)가 클라이언트 컴퓨팅 장치(210)의 사용자가 요청된 정보나 자원에 접근할 권한이 있음을 증명하는 어떤 식별 또는 인증 정보를 제공할 것을 요구할 수 있다. 아래에서 더 상세히 기술되는 바와 같이, 이러한 식별 및 인증 정보는, 백 엔드 컴퓨팅 장치(230)와 같은, 백 엔드 티어 컴퓨팅 장치에 대하여 클라이언트 컴퓨팅 장치(210)를 대표하여 행동하기 위해 미들 티어 컴퓨팅 장치(220)에 의하여 후속적으로 사용될 수 있다.
앞에서 지적한 바와 같이, 클라이언트 컴퓨팅 장치(210)의 사용자에 의해 요청된 정보나 자원은 미들 티어 컴퓨팅 장치(220)와 같은 위치에 존재할 필요가 없다. 그 대신에, 미들 티어 컴퓨팅 장치(220)는 클라이언트 컴퓨팅 장치(210)에 대하여 수많은 요청들 중 임의의 것을 하는 단일한 통신 종단점으로서 행동할 수 있으며, 또한 이후 미들 티어 컴퓨팅 장치(220)는 클라이언트 컴퓨팅 장치(210)의 사용자에 의하여 요청된 관련 정보나 자원에 액세스하기 위해, 백 엔드 컴퓨팅 장치(230)와 같은, 적절한 백 엔드 티어 컴퓨팅 장치와 통신할 수 있다. 이러한 방식으로, 미들 티어 컴퓨팅 장치(220)와 같은, 하나의 단일 미들 티어 컴퓨팅 장치가, 비록 그리기 쉽게 하기 위하여 하나의 단일 백 엔드 티어 컴퓨팅 장치 즉 백 엔드 컴퓨팅 장치(230)만이 도 2의 시스템(200) 내에 도시되어 있으나, 다수의 백 엔드 티어 컴퓨팅 장치들에 걸쳐서 분산되어 있을 수 있는 수많은 정보나 그 외 다른 자원들에 대한 접근을 제공할 수 있다.
미들 티어 컴퓨팅 장치(220)가, 예컨대 통신(215)을 통해 전송된 클라이언트 ID를 참조하여, 클라이언트 컴퓨팅 장치(210)를 확인한 이후, 그리고 도면이 복잡하게 되지 않도록 하기 위해 도 2의 시스템(200) 내에서 명시적으로는 도시되지 않은 통신으로, 미들 티어 컴퓨팅 장치(220)가 클라이언트 컴퓨팅 장치(210)의 사용자로부터 식별 및 인증 정보를 수신한 이후, 미들 티어 컴퓨팅 장치(220)는 마치 자신이 클라이언트 컴퓨팅 장치(210)인 것처럼, 백 엔드 컴퓨팅 장치(230)와 같은 적절한 백 엔드 티어 컴퓨팅 장치와의 통신을 허용해 줄 것을 요청할 수 있다. 이러한 요청(225)은, 일 실시예에서, 도메인 컨트롤러 컴퓨팅 장치(240)가 요청(225)를 평가하기 위하여 그리고 요청(225)에 대해 행동하기 위하여 사용할 수 있는 정보와 함께, 도메인 컨트롤러 컴퓨팅 장치(240)에게 전송될 수 있다. 예를 들어, 도 2의 시스템(200)에 도시된 바와 같이, 미들 티어 컴퓨팅 장치(220)는, 요청(225)과 함께, 통신(215)을 통해 클라이언트 컴퓨팅 장치(210)로부터 수신하였고 또한 도메인 컨트롤러 컴퓨팅 장치(240)에 의해 서명된 클라이언트 식별자(250)를 제공할 수 있다. 유사하게, 마찬가지로 도시되어 있는 바와 같이, 미들 티어 컴퓨팅 장치(220)는, 요청(225)과 함께, 클라이언트 식별자(250)와 마찬가지로 도메인 컨트롤러 컴퓨팅 장치(240)에 의해 서명된 자신의 식별자(260)를 제공할 수 있다.
일 실시예에서, 도메인 컨트롤러 컴퓨팅 장치(240)는, 요청(225)과 식별자들(250 및 260)을 수신하면, 식별자들(250 및 260)을 각각 참조하여 클라이언트 컴퓨팅 장치(210) 및 미들 티어 컴퓨팅 장치(220)를 확인할 수 있다. 도메인 컨트롤러 컴퓨팅 장치는 또한, 미들 티어 컴퓨팅 장치(220)가 백 엔드 컴퓨팅 장치(230)에 대해 위임하는 것을 허용할지 여부를 결정하기 전에, 먼저 미들 티어 컴퓨팅 장치(220)가 위임하기를 원하는 백 엔드 컴퓨팅 장치(230)가 사실상 도메인 컨트롤러 컴퓨팅 장치(240)의 도메인 A(290)에 속하는지 여부를 결정할 수 있다. 이에 따라, 도 2의 시스템(200) 내에서 점선(235)으로 표시된 바와 같이, 도메인 컨트롤러 컴퓨팅 장치(240)는 백 엔드 컴퓨팅 장치(230)가 자신의 도메인(290) 내에 있는지 여부를 결정할 수 있다. 만약 백 엔드 컴퓨팅 장치(230)가 도메인 A(290) 내에 있으면, 도메인 컨트롤러 컴퓨팅 장치(240)는 백 엔드 컴퓨팅 장치(230)가 미들 티어 컴퓨팅 장치(220)로 하여금 그것에 대해 위임하는 것을 허용할지 여부를 결정하기 위하여 하나 이상의 정책들을 참조할 수 있다.
백 엔드 컴퓨팅 장치(230)가 미들 티어 컴퓨팅 장치(220)로 하여금 그것에 대해 위임하는 것을 허용할지 여부의 도메인 컨트롤러 컴퓨팅 장치(240)에 의한 결정은, 일 실시예에서, 백 엔드 컴퓨팅 장치(230) 자신에 의해 입안될 수 있는 정책들에 의해, 또는 더 상세하게는, 백 엔드 컴퓨팅 장치(230)의 관리자에 의해 적어도 부분적으로 통지된다. 해당 기술 분야의 지식을 가진 자라면 알 수 있는 바와 같이, 백 엔드 컴퓨팅 장치(230)로 하여금 정책을 설정할 수 있게 허용하는 것은 어떤 보안적인 위험을 도입하여야 하는 것도 아니고, 또 도메인 컨트롤러 컴퓨팅 장치(240)의 기능성을 침해하여야 하는 것도 아닌데, 왜냐하면 백 엔드 컴퓨팅 장치(230)는 자신에 대해 위임하는 것을 신뢰할 수 있는 자를 적절하게 결정할 수 있다고 믿어질 수 있기 때문이다. 달리 말해서, 백 엔드 컴퓨팅 장치(230)는 자신에 대해 위임하는 그 외의 자들을 신뢰하는 그 자신의 기준을 정하는 정책을 세울 수 있다고 믿어질 수 있다.
일 실시예에서, 도메인 컨트롤러 컴퓨팅 장치(240)는, 백 엔드 컴퓨팅 장치(230)가 미들 티어 컴퓨팅 장치(220)로 하여금 자신에 대해 위임하는 것을 허용할지 여부를 결정하는 하나 이상의 정책들을 평가하는 한편으로, 클라이언트 컴퓨팅 장치(210)에 관하여 위에서 기술된 것과 유사한 방식으로 미들 티어 컴퓨팅 장치(220)의 평가를 수행할 수 있다. 예컨대, 도메인 컨트롤러 컴퓨팅 장치(240)는 미들 티어 컴퓨팅 장치(220)가 예를 들면, 안티-악성코드 소프트웨어 애플리케이션 프로그램의 가장 최근의 버전이 설치되었다는 것, 또는 다른 예를 들면, 클라이언트 컴퓨팅 장치(210) 상에 상주하는 다양한 운영 시스템 및 소프트웨어 애플리케이션 프로그램을 위한 가장 최신의 패치가 설치되었다는 것과 같은, 관련 보안 설정을 입증하는 것을 확인할 수 있다. 더 상세히 말해서, 지적된 바와 같이, 백 엔드 컴퓨팅 장치(230)에 의해 확립될 수 있는 정책들을 포함하여, 도메인 컨트롤러 컴퓨팅 장치(240)에 의해 참조되고 있는 정책은, 오직 백 엔드 컴퓨팅 장치(230)가 만약 예컨대 바로 위에서 기술된 관련 보안 설정에 관한 조건을 포함하여 특정 조건들이 합치된다면 미들 티어 컴퓨팅 장치(22)가 자신에 대해 위임하도록 허용할 것만을 특정할 수 있다. 그렇지만, 관련 정책들은 오직 미들 티어 컴퓨팅 장치(220)의 보안 측면의 분석만으로 제한되지 않으며, 그 대신에, 예를 들어 사용되고 있는 운영 시스템의 종류, 부착되어 있는 주변 장치의 종류, 컴퓨팅 장치의 하드웨어 구성, 또는 임의의 그 외 다른 정보나 정보 컬렉션을 포함하여, 임의의 정보 또는 정보 컬렉션에 기초하여 백 엔드 컴퓨팅 장치(230)에 대해 위임하도록 허용된 컴퓨팅 장치들을 제한할 수 있다. 이러한 정보는 도메인 컨트롤러 컴퓨팅 장치(240)에 의해 미들 티어 컴퓨팅 장치(220)로부터, 미들 티어 컴퓨팅 장치(220)의 식별자(260)의 일부, 또는 도메인 컨트롤러 컴퓨팅 장치(240) 및 미들 티어 컴퓨팅 장치(220) 사이의 후속 통신의 일부 중 어느 하나로서, 수집될 수 있다.
일 실시예에서, 도메인 컨트롤러 컴퓨팅 장치(240)에 의해 참조되는 하나 이상의 정책들은, 미들 티어 컴퓨팅 장치(220)로 하여금 백 엔드 컴퓨팅 장치(230)에 대해 위임하는 것의 허용 여부를 결정하기 위하여, 미들 티어 컴퓨팅 장치(220) 상에서 실행되고 있는 서비스 뿐만 아니라, 물리적인 미들 티어 컴퓨팅 장치(220) 자체 둘 모두를 참조할 수 있다. 이러한 실시예에서, 미들 티어 컴퓨팅 장치(220)의 식별자(260)는, 물리적인 컴퓨팅 장치 자체의 식별자 뿐만 아니라, 하나 이상의 서비스들, 또는 미들 티어 컴퓨팅 장치(220) 상에서 실행되며 또한 위임을 수행하기 위한 컴퓨터-실행가능 인스트럭션들의 그 외 다른 컬렉션을 포함할 수 있다. 그 결과, 아래의 설명 목적으로, 미들 티어 컴퓨팅 장치(220)의, 식별정보(260)와 같은, 식별 정보에 대한 참조는 물리적인 장치 자체의, 하나 이상의 서비스 또는 위임을 수행하기 위한 그 외 다른 실행하는 컴퓨터-실행가능 인스트럭션의, 또는 이들의 임의의 조합의 식별정보를 포함하는 것으로 되어 있다.
만약, 이러한 정책의 고려사항에 기초하여, 백 엔드 컴퓨팅 장치(230)가 자신에 대해 미들 티어 컴퓨팅 장치(220)로 하여금 위임하는 것을 허용할 것임을 도메인 컨트롤러 컴퓨팅 장치(240)가 결정하면, 도메인 컨트롤러 컴퓨팅 장치(240)는 통신(245)에 의해 도시된 바와 같이 서비스 티켓, 또는 그 외 다른 정보 컬렉션을 제공할 수 있는데, 이는 도메인 컨트롤러에 의해 서명될 수 있고 또한 미들 티어 컴퓨팅 장치(220)가 클라이언트 컴퓨팅 장치(210)로서 백 엔드 컴퓨터 장치(230)와 통신하는 것이 허용되어야 함을 나타낼 수 있다. 그 후 통신(245)을 수령하면, 미들 티어 컴퓨팅 장치(220)는, 통신(255)으로 도시된 바와 같이, 백 엔드 컴퓨팅 장치(230)에게, 클라이언트 컴퓨팅 장치(210)로부터 이전에 수신했었던, 요청을 하는 단계를 진행할 수 있다. 통신(255)은 또한, 도 2의 시스템(200)에 의해 도시된 바와 같이, 통신(245)를 통해 도메인 컨트롤러 컴퓨팅 장치(240)로부터 미들 티어 컴퓨팅 장치(220)에 의해 수신될 수 있는, 서비스 티켓(270)을 포함할 수 있다.
도면을 복잡하게 하지 않기 위하여 비록 도 2의 시스템(200) 내에는 상세히 도시되어 있지 않으나, 백 엔드 컴퓨팅 장치(230)는, 그것이 사실상 적절하고 적합하게 서명된 서비스 티켓임을 확인하기 위하여, 예컨대 도메인 컨트롤러의 공개키를 참조하여, 클라이언트 요청(255)과 함께 제공된, 서비스 티켓(270)을 평가할 수 있고, 또한, 만약 백 엔드 컴퓨팅 장치(230)가 그렇게 결정했다면, 백 엔드 컴퓨팅 장치(230)는 마치 미들 티어 컴퓨팅 장치(220)가 클라이언트 컴퓨팅 장치(210)인 것처럼 미들 티어 컴퓨팅 장치(220)와 통신하는 단계를 진행할 수 있다. 그러므로, 백 엔드 컴퓨팅 장치(230)는, 만약 클라이언트 컴퓨팅 장치(210)가 직접 백 엔드 컴퓨팅 장치(230)와 통신한다면 자신을 백 엔드 컴퓨팅 장치(230)에게 인증할 것을 요구받을 수 있는 정도와 같은 만큼, 미들 티어 컴퓨팅 장치(220)가 인증할 것을 요청할 수 있다. 이러한 인증에 있어서, 백 엔드 컴퓨팅 장치(230)는 클라이언트 컴퓨팅 장치(210) 자체의 정체성, 클라이언트 컴퓨팅 장치(210)의 개별적인 사용자 또는 사용자들의 그룹의 정체성, 또는 이들의 임의의 조합에 기초하여 클라이언트의 요청을 수락할지 여부를 결정할 수 있다. 그 결과, 이러한 인증의 목적을 위하여, 미들 티어 컴퓨팅 장치(220)는 클라이언트 컴퓨팅 장치(210)로부터 이러한 정보를 획득할 수 있고 이 정보를 초기 통신(255)의 일부 또는 후속 통신들의 일부 중 어느 하나로서 백 엔드 컴퓨팅 장치(230)로 제공할 수 있다.
이러한 방식에 있어서, 미들 티어 컴퓨팅 장치(220)는, 클라이언트 컴퓨팅 장치(210)에 의해 요청되었던 정보와 자원을 백 엔드 컴퓨팅 장치(230)로부터 획득할 수 있고, 또 후속적으로, 미들 티어 컴퓨팅 장치(220)는 이러한 정보와 자원을 클라이언트 컴퓨팅 장치의 원래의 요청에 대한 응답으로 클라이언트 컴퓨팅 장치(210)로 리턴할 수 있다. 해당 기술 분야의 지식을 가진 자라면 알 수 있는 바와 같이, 추가적인 백 엔드 티어 컴퓨팅 장치들이 도메인 A(290) 내에 추가될 수 있고, 또 미들 티어 컴퓨팅 장치(220)는 동일한 방식으로 이들 백 엔드 티어 컴퓨팅 장치들에 대해 위임하는 것이 허용될 수 있으며, 이에 의하여 미들 티어 컴퓨팅 장치(220)가 잠재적으로 실질적으로 제한되지 않은 양의 정보와 자원에 접근하는 것이 허용되는 한편으로, 여전히 클라이언트 컴퓨팅 장치(210)는 그 정보와 이들 자원들에 접근하기 위하여, 미들 티어 컴퓨팅 장치(220)일 수 있는, 하나의 단일 통신 참조를 가지는 것이 허용된다. 덧붙여서, 현재 기술되어 있는 메커니즘은 예컨대 백 엔드 컴퓨팅 장치(230)가 차례로 미들 티어 컴퓨팅 장치로서 행동하고 추가적인 상이한 백 엔드 컴퓨팅 장치에 대해 위임할 수 있는 경우에, 반복적인 방식으로 사용될 수 있다. 이러한 추가 위임은 본 명세서에서 기술된 메커니즘에 따라 수행될 수 있으며 유사한 방식으로 평가될 수 있는 독립적으로 설정가능한 정책에 기초될 수 있다.
앞서 지적된 바와 같이, 비록 도 2의 예시적인 시스템(200)이 단지 하나의 단일한 백 엔드 컴퓨팅 장치(230)를 도시하고 있으나, 본 명세서에서 제공되는 설명은 하나의 단일한 미들 티어 컴퓨팅 장치와 다수의 백 엔드 티어 컴퓨팅 장치들 사이의 통신에도 동등하게 적용가능한데, 이 경우 미들 티어 컴퓨팅 장치는 클라이언트 컴퓨팅 장치를 위한 수집체(aggregator)로서 행동한다. 예를 들어, 만약 클라이언트 컴퓨팅 장치(210)가, 예컨대 백 엔드 컴퓨터 장치(230)와 그 외 다른 백 엔드 컴퓨팅 장치들을 포함하는, 다수의 백 엔드 티어 컴퓨팅 장치들에 걸쳐 퍼져 있는 정보에 대한 요청을 하였다면, 미들 티어 컴퓨팅 장치(220)는 위에서 기술되고, 또 아래에서 더 상세히 기술될 바와 동일한 방식으로, 이러한 그 외 다른 백 엔드 티어 컴퓨팅 장치들에 대해 위임할 수 있다. 이후 미들 티어 컴퓨팅 장치(220)는 도 2에 도시되어 본 명세서의 설명에서 참조된 백 엔드 컴퓨팅 장치(230)를 포함할 수 있는 이들 다수의 백 엔드 티어 컴퓨팅 장치들로부터 관련 정보를 획득할 수 있으며, 또한 클라이언트 컴퓨팅 장치(210)를 위하여 그러한 정보를 수집하고 모아서 이를 그 장치에 의해 이루어진 요청에 대한 응답으로서 클라이언트 컴퓨팅 장치(210)에게 제공할 수 있다.
그 외 다른 실시예들에서, 미들 티어 컴퓨팅 장치(220)가 클라이언트 컴퓨팅 장치(210)의 요청에 응답하기 위하여 클라이언트 컴퓨팅 장치(210)를 대표하여 그것에 대해 위임할 필요가 있는, 백 엔드 컴퓨팅 장치(230)는 도메인 A(290)와 같은 동일한 도메인에 반드시 속해야 할 필요가 없다. 도 3을 참조하면, 도시된 시스템(300)은 다중-도메인 시스템을 도시하는데, 여기서 도메인 컨트롤러 장치(240)와 미들 티어 컴퓨팅 장치(220)는 도메인 A(290) 내에 남아있지만, 미들 티어 컴퓨팅 장치(220)가 그것에 대해 위임할 필요가 있는 백 엔드 컴퓨팅 장치(230)는 그것 자체의 도메인 컨트롤러 컴퓨팅 장치(340)를 가질 수 있는 도메인 B(390)의 일부일 수 있다. 도메인 A(290)의 도메인 컨트롤러 컴퓨팅 장치(240)를 도메인 B(390)의 도메인 컨트롤러 컴퓨팅 장치(340)와 구별할 목적으로, 도메인 A(290)의 도메인 컨트롤러(240)를 참조하기 위하여 도 3에서 약칭 표시 "DC1"이 사용될 것이며, 도메인 B(390)의 도메인 컨트롤러(340)를 참조하기 위하여 도 3에서 약칭 표시 "DC2"가 사용될 것이다. 덧붙여서, 이전에 도 2에서 도시된 동일한 통신 및 요소는 도 3의 시스템(300) 내에서 각자의 동일한 도면부호를 유지한다.
그러므로, 도 3의 시스템(300)에서 볼 수 있는 바와 같이, 클라이언트 컴퓨팅 장치(210)는 여전히 이전에 기술된 방식으로 미들 티어 컴퓨팅 장치(220)와 통신할 수 있고, 또한 미들 티어 컴퓨팅 장치(220)도 역시 여전히 이전에 기술된 방식으로 도메인 컨트롤러 컴퓨팅 장치(240)와 통신할 수 있다. 그렇지만, 이전에 기술된 통신(225)를 통해, 클라이언트 컴퓨팅 장치(210)로서 백 엔드 컴퓨팅 장치(230)와 통신하기 위하여 미들 티어 컴퓨팅 장치(220)로부터 요청을 수신하면, 도메인 컨트롤러 컴퓨팅 장치(240)는 먼저, 또한 이전에 기술된 바와 같이, 점선(235)으로 지시된 바와 같이, 백 엔드 컴퓨팅 장치(230)가 도메인 컨트롤러 컴퓨팅 장치(240)와 동일한 도메인, 즉 도메인 A(290) 내에 있는지 여부를 결정할 수 있다. 도 3의 시스템(300)에 의해 도시되는 특정한 예에서 볼 수 있는 바와 같이, 백 엔드 컴퓨팅 장치(230)는 도메인 컨트롤러 컴퓨팅 장치(240)와 동일한 도메인 내에 있지 않다.
그 결과, 도메인 컨트롤러 컴퓨팅 장치(240)는, 백 엔드 컴퓨팅 장치(230)가 미들 티어 컴퓨팅 장치(220)로 하여금 자신에 대해 위임하는 것을 허용할 것인지 여부를 결정하기 위하여 정책을 평가하기보다는, 그 대신에, 도메인 컨트롤러 컴퓨팅 장치(240)에 의해 서명될 수 있는 토큰이나 또는 그 외 다른 정보 컬렉션을 통신(315)을 통해 미들 티어 컴퓨팅 장치(220)에게 제공할 수 있다. 이러한 토큰이나 정보 컬렉션은 미들 티어 컴퓨팅 장치(220)로 하여금, 도 3에 도시되어 있는 예에서 도메인 컨트롤러 컴퓨팅 장치(340)와 같은, 상이한 도메인 컨트롤러 컴퓨팅 장치에게 그것의 위임 요청을 향하게 할 수 있게 한다. 따라서, 일 실시예에서, 통신(315)을 통해 제공된 토큰은 도메인 컨트롤러 컴퓨팅 장치(340)에게 향할 수 있다.
통신(315)에 의해 제공된 토큰을 수신하면, 미들 티어 컴퓨팅 장치(220)는 이전에 기술된 요청(225)과 유사할 수 있는 요청(325)을 도메인 B(390) 내의 도메인 컨트롤러 컴퓨팅 장치(340)에게 송신할 수 있다. 그렇지만 이전에 기술된 요청(225)이 또한 클라이언트 식별자(250)와 미들 티어 식별자(260)를 포함하고, 둘 모두 도메인 컨트롤러 컴퓨팅 장치(240)에 의해 서명된 반면에, 미들 티어 컴퓨팅 장치(220)가 도메인 컨트롤러 컴퓨팅 장치(340)로 향하도록 한 요청(325)은, 통신(315)에 의해 수신된 이전에 기술된 토큰일 수 있는, 토큰(320)을 포함할 수 있고, 또한 도메인 컨트롤러 컴퓨팅 장치(240)에 의해 서명된 미들 티어 컴퓨팅 장치(220)의 식별자(330)도 포함할 수 있다. 일 실시예에서, 통신(315)을 통해 제공되었던 토큰(320)과 마찬가지로, 미들 티어 컴퓨팅 장치(220)의 식별자(330)도 유사하게 도메인 컨트롤러 컴퓨팅 장치(340)로 향해질 수 있다. 이러한 실시예에서, 통신(315)의 일부, 또는 통신(315)과 연계되어 발생되는 통신의 일부 중 어느 하나로서, 미들 티어 컴퓨팅 장치(220)는 도메인 컨트롤러 장치(240)로부터, 도메인 컨트롤러 컴퓨팅 장치(240)에 의해 둘 모두 서명되고 도메인 컨트롤러 컴퓨팅 장치(340)로 향해지는 식별자(330)를 요청하거나, 아니면 수신할 수 있다. 덧붙여서, 일 실시예에서, 토큰(320) 및 식별자(330)는, 예컨대 도메인 컨트롤러 컴퓨팅 장치(240)로부터 직접 제공되는 다른 경로들, 또는 그 외 다른 대안적인 경로들을 통해 도메인 컨트롤러 컴퓨팅 장치(340)로 전송될 수 있다.
도메인 컨트롤러 컴퓨팅 장치(340)가 요청(325)을 수신한 때, 도메인 컨트롤러 컴퓨팅 장치(340)는 먼저, 도메인 컨트롤러 컴퓨팅 장치(240)에 관해서 이전에 기술된 것과 유사한 방식으로, 요청(325)에 의해 참조되어 있는 백 엔드 컴퓨팅 장치(230)가 도메인 컨트롤러 컴퓨팅 장치(340)와 같은 동일한 도메인, 즉 도 3에 도시된 예시적인 시스템(300)에서는 도메인 B(390) 내에 있는지 여부를 결정할 수 있다. 전과 마찬가지로, 이러한 결정은 도 3에서 점선(335)에 의해 도시되어 있다. 현재의 예에서, 백 엔드 컴퓨팅 장치(230)가 도메인 컨트롤러 컴퓨팅 장치(340)와 같은 동일한 도메인, 즉 도메인 B(390) 내에 있기 때문에, 도메인 컨트롤러 컴퓨팅 장치(340)는, 예컨대 하나 이상의 정책을 참조함으로써, 백 엔드 컴퓨팅 장치(230)가 자신에 대해 미들 티러 컴퓨팅 장치(220)로 하여금 위임하는 것을 허용할 것인지 여부를 결정하는 단계를 진행할 수 있다.
이러한 결정을 수행함에 있어, 도메인 컨트롤러 컴퓨팅 장치(340)은 먼저, 요청(325)의 일부로서 미들 티어 컴퓨팅 장치(220)에 의해 제공되었던 토큰(320) 및 미들 티어 식별자(330)가 도메인 컨트롤러 컴퓨팅 장치(240)에 의해 적절하게 서명되었음을 확인할 수 있다. 예컨대, 도메인 컨트롤러 컴퓨팅 장치(340)는, 도메인 컨트롤러 컴퓨팅 장치(340)가 접근할 수 있는 도메인 컨트롤러 컴퓨팅 장치(240)의 공개키를 참조하여 이러한 결정을 할 수 있다. 일단 도메인 컨트롤러 컴퓨팅 장치(340)가 이러한 확인을 수행 완료하면, 미들 티어 컴퓨팅 장치(220)가 예컨대 백 엔드 컴퓨팅 장치(230)에 의해서 그것에 대해 위임하는 것이 허용되는지 여부를 결정하기 위하여 하나 이상의 정책들을 참고할 수 있다. 이전에 지적된 바와 같이, 도메인 컨트롤러 컴퓨팅 장치(340)에 의해 참고되는 정책들은 백 엔드 컴퓨팅 장치(230)에 의하여 확립된 정책들을 포함할 수 있는데, 왜냐하면 백 엔드 컴퓨팅 장치(230)는 자신에 대해 누가 위임할 수 있는지를 한정하는 정책을 확립하도록 믿어질 수 있기 때문이다. 또한 이전에 지적된 바와 같이, 도메인 컨트롤러 컴퓨팅 장치(340)에 의해 참고되는 정책들은, 예를 들어 미들 티어 컴퓨팅 장치(220)에 의해 실행되고 있는 운영 시스템, 미들 티어 컴퓨팅 장치(220)의 하드웨어, 및 예컨대 가장 최신의 패치가 적용되어 있는지 여부, 및 안티-악성코드 소프트웨어의 가장 최신의 버전이 사용되고 있는지의 여부와 같은, 미들 티어 컴퓨팅 장치(220)의 보안 속성을 포함하여, 실제적으로 미들 티어 컴퓨팅 장치(220)의 임의의 측면을 참조할 수 있다. 이러한 정보는 통신(325)을 통해 미들 티어 컴퓨팅 장치(220)로부터 도메인 컨트롤러 컴퓨팅 장치(340)로 제공될 수 있는 미들 티어 식별자(330) 내에 포함될 수 있거나, 또는, 대안적으로, 이러한 정보는 통신(325)와 연계되어 수행되는 도메인 컨트롤러 컴퓨팅 장치(340) 및 미들 티어 컴퓨팅 장치(220) 사이의 추가적인 통신 교환을 통해 제공될 수 있다.
만약 도메인 컨트롤러 컴퓨팅 장치(340)가, 위에서 기술된 평가에 기초하여, 미들 티어 컴퓨팅 장치(220)가 백 엔드 컴퓨팅 장치(230)에 대해 위임하는 것이 허용되어야 한다고 결정한다면, 도메인 컨트롤러 컴퓨팅 장치는, 도 3에 예시된 통신(345)을 통해, 도메인 컨트롤러 컴퓨팅 장치(340)에 의해 서명될 수 있고 미들 티어 컴퓨팅 장치(220)로 하여금 백 엔드 컴퓨팅 장치(230)에 대해 위임하도록 할 수 있는 서비스 티켓, 또는 그 외 다른 정보 컬렉션을 제공할 수 있다. 이후 미들 티어 컴퓨팅 장치(220)는, 이전에 기술된 바와 같이 백 엔드 컴퓨팅 장치(230)에 요청을 할 수 있는데, 이 요청은 원래는 통신(355)으로 도시된 바와 같이 클라이언트 컴퓨팅 장치(210)에 의해 미들 티어 컴퓨팅 장치(220)로 이루어졌었던 것이다. 덧붙여서, 요청(355)은 통신(345)을 통해 도메인 컨트롤러 컴퓨팅 장치(340)로부터 제공될 수 있는 서비스 티켓(370)을 포함할 수 있다.
전과 마찬가지로, 요청(355)을 수신하면, 백 엔드 컴퓨팅 장치(230)는 서비스 티켓(370)을 평가하여 그것이, 도 3에 도시되어 있는 예시적인 예 안에서 도메인 B(390)와 같은, 백 엔드 컴퓨팅 장치(230)를 포함하는 도메인의 도메인 컨트롤러 컴퓨팅 장치(340)에 의해 적절하게 서명되었는지를 확인한다. 만약 백 엔드 컴퓨팅 장치(230)가 서비스 티켓(370)을 확인하면, 백 엔드 컴퓨팅 장치(230)는 마치 미들 티어 컴퓨팅 장치(220)가 클라이언트 컴퓨팅 장치(210)인 것처럼 미들 티어 컴퓨팅 장치(220)와 통신하는 절차를 진행할 수 있다. 이런 방식으로, 미들 티어 컴퓨팅 장치(220)는 클라이언트 컴퓨팅 장치(210)를 대표하여 백 엔드 컴퓨팅 장치(230)로부터 정보와 자원을 획득할 수 있고, 이후 클라이언트 컴퓨팅 장치(210)에 의해 미들 티어 컴퓨팅 장치(220)에 향해졌던 요청에 대한 응답으로 클라이언트 컴퓨팅 장치(210)에 이들 정보와 자원을 제공할 수 있다.
특정 상황에서, 미들 티어 컴퓨팅 장치(220)는, 최종적으로 백 엔드 컴퓨팅 장치(230)와 같은 하나의 백 엔드 티어 컴퓨팅 장치에 대해 위임할 수 있기 전에, 두 개의 도메인보다 더 많은 도메인들 내의 도메인 컨트롤러 컴퓨팅 장치들과 통신해야 할 필요가 있다. 이러한 상황에서, 도메인 컨트롤러 컴퓨팅 장치들의 동작, 및, 실제로 전체 시스템의 동작은 위에 기술된 것과 유사한 방식으로 진행될 수 있다. 도 4를 참조하면, 도시된 시스템(400)은 그러한 시스템, 및 그 안에 도시된 다양한 요소들의 동작과 통신의 예시적인 일 예를 제공한다. 도시된 바와 같이, 미들 티어 컴퓨팅 장치(220)는, 백 엔드 컴퓨팅 장치(230)에 대해 위임하기 위한 시도로서, 먼저 통신(225)를 통해 도메인 컨트롤러 컴퓨팅 장치(240)에 접속할 수 있으며, 도메인 컨트롤러 컴퓨팅 장치(240)는, 점선(235)으로 도시된 평가에 기초하여, 백 엔드 컴퓨팅 장치(230)가 도메인 컨트롤러 컴퓨팅 장치(240)의 도메인, 즉 도 4의 예시적인 시스템(400) 내의 도메인 A(290) 내에 있지 않다는 것을 결정할 수 있다. 그 결과, 전과 마찬가지로, 도메인 컨트롤러 컴퓨팅 장치(240)는 다른 도메인 컨트롤러 컴퓨팅 장치에 대한 토큰을, 예컨대 통신(315)을 통해, 미들 티어 컴퓨팅 장치(220)에게 제공할 수 있다. 그러면, 또한 이전에 기술된 바와 같이, 미들 티어 컴퓨팅 장치(220)는, 통신(325)을 통해, 토큰(320) 및 미들 티어 식별자(330)를, 다른 도메인, 즉 도 4에 도시된 예시적인 시스템(400) 내의 도메인 B(390) 내의 이러한 도메인 컨트롤러 컴퓨팅 장치(340)에게 제공할 수 있다.
그렇지만, 도 4의 예시적인 시스템(400)에서, 미들 티어 컴퓨팅 장치(220)가 위임하기 위해 찾고 있는 백 엔드 컴퓨팅 장치(230)는 도메인 B(390)의 일부가 아니다. 그 대신, 일 실시예에서, 도메인 B(390)는 단지, 도 4에 도시된 예시적인 시스템(400) 내의 도메인 C(490)와 같이, 백 엔드 컴퓨팅 장치(230)가 속해 있는 도메인에 대해 "더 가까운" 도메인일 수 있다. 도메인 B(390)의 도메인 컨트롤러 컴퓨팅 장치(340)는 도메인 컨트롤러 컴퓨팅 장치(240)에 의해 선택될 수 있으며, 이때 그것을 향한 토큰이 생성되어 미들 티어 컴퓨팅 장치(220)로 제공되는데, 왜냐하면 도메인 컨트롤러 컴퓨팅 장치(240)가 도메인 B(390)가 백 엔드 컴퓨팅 장치(230)에 "더 가깝다" 라고 믿었기 때문이다. 일 실시예에서, 최소한, 도메인 컨트롤러 컴퓨팅 장치(240)는, 다음 도메인 컨트롤러 컴퓨팅 장치를 선택함에 있어서, 소개받은 컴퓨팅 장치들이 최종적으로는 스스로에게 되돌아 순환되지 않는다는 것을 보장할 수 있다. 도 4의 도시된 시스템(400)으로 돌아가면, 도 4의 점선(335)에 의해 도시된 바와 같이, 백 엔드 컴퓨팅 장치(230)가 그것의 도메인 안에 있는지 여부에 대한 도메인 컨트롤러 컴퓨팅 장치(340)의 결정은, 백 엔드 컴퓨팅 장치(230)가 실제로 도메인 컨트롤러 컴퓨팅 장치(340)와 동일한 도메인 즉 도메인 B(390) 안에 있지 않음을 보여줄 수 있다. 그 결과, 도메인 컨트롤러 컴퓨팅 장치(240)를 참조하여 위에서 기술된 것과 유사한 방식으로, 도메인 컨트롤러 컴퓨팅 장치(340)는, 미들 티어 컴퓨팅 장치(220)에게 도메인 컨트롤러 컴퓨팅 장치(220)에 의해 서명되고 미들 티어 컴퓨팅 장치(220)가 백 엔드 컴퓨팅 장치(230)와의 통신에서 클라이언트 컴퓨팅 장치(210)로서 행동하는 것을 구하고 있음을 나타내는 토큰을 제공하여, 응답(345)을 미들 티어 컴퓨팅 장치(220)에게 제공할 수 있다. 전과 마찬가지로, 일 실시예에서, 통신(345)을 통해 제공된 토큰은, 예컨대 도메인 C(490) 내의 도메인 컨트롤러 컴퓨팅 장치(440)와 같은, 다른 특정한 도메인 컨트롤러 장치로 향할 수 있다. 전과 마찬가지로, 도 4에 도시된 도메인 컨트롤러 컴퓨팅 장치를 구별하기 위하여, 도메인 컨트롤러 컴퓨팅 장치(440)를 참조하기 위해 도 4에서 약칭 "DC3"가 사용될 것이다.
도메인 컨트롤러 컴퓨팅 장치(340)로부터 통신(345)을 수령하면, 미들 티어 컴퓨팅 장치(220)는, 전과 마찬가지로, 클라이언트 컴퓨팅 장치(210)로서 백 엔드 컴퓨팅 장치(230)와 통신하기 위해 요청(425)을, 통신(345)에 의해 특정된 다른 도메인 컨트롤러 컴퓨팅 장치로, 예컨대 도 4에 도시된 예시적인 시스템(400)에서 도메인 컨트롤러 컴퓨팅 장치(440)로 향하게 할 수 있다. 요청(425)은 도메인 컨트롤러 컴퓨팅 장치(340)로부터 통신(345)에 의해 수신될 수 있는 토큰(420), 및 미들 티어 식별자(430)를 포함할 수 있다. 일 실시예에서, 도메인 컨트롤러 컴퓨팅 장치(340)에 의해 서명된 미들 티어 식별자(430)를 획득하기 위하여, 미들 티어 컴퓨팅 장치(220)는, 미들 티어 컴퓨팅 장치(220)가 요청(325)의 일부로서 도메인 컨트롤러 컴퓨팅 장치(340)에게 제공한 미들 티어 식별자(330)에 기초하여 그러한 식별자(430)를 도메인 컨트롤러 컴퓨팅 장치(340)가 생성할 것을, 요청할 수 있다. 만약 도메인 컨트롤러 컴퓨팅 장치(340)가 도메인 컨트롤러 컴퓨팅 장치(240)를 신뢰한다면, 도메인 컨트롤러 컴퓨팅 장치(340)는 도메인 컨트롤러 컴퓨팅 장치(240)에 의하여 이전에 서명되었던 미들 티어 식별자(330) 내 정보에 스스로 서명하여 미들 티어 식별자(430)를 생성할 수 있다. 전과 마찬가지로, 일 실시예에서, 미들 티어 식별자(430), 및 토큰(420)은 상세하게는 도메인 컨트롤러 컴퓨팅 장치(440)로 향해질 수 있다.
이후 도메인 컨트롤러 컴퓨팅 장치(440)는 도메인 컨트롤러 컴퓨팅 장치(240) 및 도메인 컨트롤러 컴퓨팅 장치(340)에 관하여 이전에 기술된 것과 유사한 방식으로 동작할 수 있다. 상세하게는, 점선(435)으로 도시된 바와 같이, 도메인 컨트롤러 컴퓨팅 장치(440)는, 요청(425)의 일부로서 식별되었던 백 엔드 컴퓨팅 장치(230)가 사실상 도메인 컨트롤러 컴퓨팅 장치(440)와 동일한 도메인, 즉 도 4의 예시적인 시스템(400) 내의 도메인 C(490) 내에 존재한다는 것을 확인할 수 있다. 도 4의 예시적인 실시예에서, 백 엔드 컴퓨팅 장치(230)는 도메인 컨트롤러 컴퓨팅 장치(440)와 동일한 도메인 내에 있기 때문에, 도메인 컨트롤러 컴퓨팅 장치(440)는 예컨대 백 엔드 컴퓨팅 장치(230)에 의해 확립된 정책들을 포함하여 하나 이상의 정책들을 참조함으로써, 백 엔드 컴퓨팅 장치(230)가 자신에 대해 미들 티어 컴퓨팅 장치(220)로 하여금 위임하는 것을 허용할지 여부를 결정하는 것을 진행할 수 있다. 이전에 지적된 바와 같이, 도메인 컨트롤러 컴퓨팅 장치(440)에 의해 참고된 정책들은 미들 티어 컴퓨팅 장치(220)의 수많은 측면을 참조할 수 있으며, 이러한 측면에 관한 정보는 통신(425)을 통해 미들 티어 컴퓨팅 장치(220)에 의해 도메인 컨트롤러 컴퓨팅 장치(440)로 제공될 수 있는 미들 티어 식별자(430) 내에 포함될 수 있으며, 또는, 대안적으로, 이러한 정보는 통신(425)과 연계되어 수행되는 도메인 컨트롤러 컴퓨팅 장치(440)와 미들 티어 컴퓨팅 장치(220) 사이의 추가적인 통신 교환을 통해 제공될 수 있다.
전과 마찬가지로, 만약 도메인 컨트롤러 컴퓨팅 장치(440)가 미들 티어 컴퓨팅 장치(220)가 백 엔드 컴퓨팅 장치(230)에 대해 위임하는 것이 허용될 수 있다고 결정한다면, 도메인 컨트롤러 컴퓨팅 장치(440)는, 통신(445)을 통해, 도메인 컨트롤러 컴퓨팅 장치(440)에 의해 서명될 수 있고 또한 미들 티어 컴퓨팅 장치(220)가 클라이언트 컴퓨팅 장치(210)로서 백 엔드 컴퓨팅 장치(230)와 통신할 수 있게 할 수 있는 서비스 티켓을 미들 티어 컴퓨팅 장치(220)로 리턴시킬 수 있다. 후속적으로, 또한 이전에 기술된 바와 같이, 미들 티어 컴퓨팅 장치(220)는, 통신(455)으로 도시된 바와 같으며, 또한 통신(445)을 통해 도메인 컨트롤러 컴퓨팅 장치(440)에 의해 제공되었던 서비스 티켓(470)을 포함할 수 있는, 백 엔드 컴퓨팅 장치(230)에 대해 적절한 요청을 할 수 있다. 덧붙여서, 비록 오직 하나, 둘, 및 세 개의 도메인들에 걸쳐 도시되었으나, 본 명세서에서 기술된 메커니즘들은, 해당 기술 분야의 지식을 가진 자가 이해할 것과 같이, 임의의 수의 도메인들 또는 그 외 다른 유사한 부분들에 걸쳐 동등하게 적용가능하다.
도 5를 참조하면, 도시된 흐름도(500)는 상술한 메커니즘에 따라 미들 티어 컴퓨팅 장치에 의해 수행될 수 있는 예시적인 일련의 단계들이 도시된다. 초기에, 단계(510)에서, 백 엔드 티어 컴퓨팅 장치의 일부인 정보나 자원으로 향해진 클라이언트 요청이 수신될 수 있다. 요청을 한 클라이언트 컴퓨팅 장치는 또한, 예컨대 도메인 컨트롤러 컴퓨팅 장치에 의해 서명될 수 있는 식별자, 토큰, 또는 그 외 유사한 정보를 제공함으로써, 자신을 인증할 수 있다. 단계(520)에서, 제공된 정보는 예컨대 도메인 컨트롤러 컴퓨팅 장치의 공개키를 사용하여 확인될 수 있다. 만약, 단계(520)에서 인증이 실패한다면, 절차는 단계(570)로 진행되고, 이 단계에서 오류가 보고될 수 있다. 이후 관련 절차는 단계(580)에서 종료될 수 있다.
그러나 대안적으로, 만약 단계(520)에서 클라이언트 인증이 성공하면, 클라이언트 컴퓨팅 장치에 의해 제공된 정보, 및 미들 티어 컴퓨팅 장치에 관한 추가 정보는, 둘 모두 도메인 컨트롤러 컴퓨팅 장치에 의해 서명될 수 있으며, 단계(530)에서, 클라이언트 컴퓨팅 장치로서 백 엔드 티어 컴퓨터 장치와 통신하는 허가를 구하는 요청과 함께 도메인 컨트롤러 컴퓨팅 장치에 제공될 수 있다. 단계(530)에서의 정보 제공에 응답하여, 도메인 컨트롤러에 의해 서명될 수 있는 서비스 티켓, 또는 그 외 유사한 정보 컬렉션이 단계(540)에서 수신될 수 있다. 만약 단계(540)에서 그러한 서비스 티켓이 수신된다면, 절차는 단계(550)로 진행될 수 있고, 단계(510)에서 그 요청이 수신된 클라이언트 컴퓨팅 장치를 대표하여 백 엔드 티어 컴퓨팅 장치와 통신하는 것을 확립하기 위하여 서비스 티켓은 적절한 백 엔드 티어 컴퓨팅 장치로 제공될 수 있다. 한편으로 이러한 통신이 해당 기술 분야의 지식을 가진 자에게 잘 알려져 있는 방식으로 진행될 수 있으므로, 현재의 설명에 관련된 절차는 단계(580)에서 종료될 수 있다. 그러나, 만약 단계(540)에서 서비스 티켓이 수신되지 않으면, 절차는 단계(560)로 진행될 수 있는데, 여기서 서비스 티켓 대신, 다른 도메인 컨트롤러 컴퓨팅 장치에 대해 클라이언트 컴퓨팅 장치로서 백 엔드 티어 컴퓨팅 장치와 통신하는 것을 구하는 요청을 향하게 할 수 있는 토큰이나 그 외 다른 정보 컬렉션이 수신될 수 있다. 만약 단계(560)에서 이러한 토큰이 수신되면, 절차는 단계(530)로 리턴될 수 있고 요청은 다른 상이한 도메인 컨트롤러 컴퓨팅 장치로 향해질 수 있다. 대안적으로, 만약 단계(560)에서 토큰이 수신되지 않았고, 또한 단계(540)에서 서비스 티켓이 수신되지 않았으면, 절차는 단계(570)로 진행될 수 있고, 클라이언트에게 적절한 오류가 보고될 수 있다. 이러한 방식으로, 미들 티어 컴퓨팅 장치는 백 엔드 티어 컴퓨팅 장치와 동일한 도메인에 있는 도메인 컨트롤러 컴퓨팅 장치에 도달할 때까지 하나 이상의 도메인 컨트롤러 컴퓨팅 장치로부터 하나의 백 엔드 티어 컴퓨팅 장치와 통신하는 것에 대한 허가를 요청하는 절차를 진행할 수 있으며, 그러면 백 엔드 티어 컴퓨팅 장치는 하나 이상의 관련 정책들이 백 엔드 티어 컴퓨팅 장치가 미들 티어 컴퓨팅 장치로 하여금 위임하는 것을 허용할 것인지를 나타내는지 여부와 같은 결정을 할 수 있다.
도 6을 참조하면, 도시된 흐름도(600)는 위에서 상세히 기술된 메커니즘에 따라 도메인 컨트롤러 컴퓨팅 장치들에 의하여 수행될 수 있는 예시적인 일련의 단계들이 도시된다. 초기에, 단계(610)에서, 미들 티어 컴퓨팅 장치로부터 클라이언트 장치로서 백 엔드 티어 컴퓨팅 장치와 통신하기 위한 요청이 수신된다. 이후 절차는 단계(620)로 진행될 수 있고, 여기서 단계(610)에서 수신된 요청에서 특정한 백 엔드 티어 컴퓨팅 장치가 흐름도(600)의 단계들을 수행하는 컴퓨팅 장치와 동일한 도메인 내에 있는지 여부에 대한 결정이 이루어질 수 있다. 만약, 단계9620)에서, 백 엔드 티어 컴퓨팅 장치가 동일한 도메인 내에 있지 않다고 결정된다면, 절차는 단계(660)로 진행될 수 있고, 이 지점에서 토큰, 또는 그 외 다른 정보 컬렉션이 생성되어 단계(610)에서 요청이 수신되었던 미들 티어 컴퓨팅 장치로 전송될 수 있다. 단계(660)에서 생성되고 전송된 토큰, 또는 그 외 다른 정보 컬렉션은 미들 티어 컴퓨팅 장치를 다른 도메인 컨트롤러에게 향하게 하는 정보를 포함할 수 있으며, 또한 미들 티어 컴퓨팅 장치가 그것의 백 엔드 티어 컴퓨팅 장치와의 통신에서 클라이언트 컴퓨팅 장치로서 행동하기를 구하고 있음을 그 다른 도메인 컨트롤러에게 통지하는 정보를 포함할 수 있다. 덧붙여서, 위에서 상세히 기술된 바와 같이, 단계(660)에서 생성되고 전송된 정보는, 예를 들어 도메인 컨트롤러 컴퓨팅 장치에 의해 서명될 수 있는 다양한 구성 정보를 포함하여, 미들 티어 컴퓨팅 장치의 식별정보를 더 포함할 수 있다. 이후 관련 절차는 도시된 바와 같이 단계(670)에서 종료될 수 있다.
대안적으로, 만약 단계(620)에서, 단계(610)에서 수신된 요청이 향해져 있는 백 엔드 티어 컴퓨팅 장치가 실제로 동일한 도메인 내에 있다고 결정된다면, 절차는 단계(630)로 진행될 수 있고, 이 지점에서, 단계(610)에서 수신된 요청을 한 미들 티어 컴퓨팅 장치가 백 엔드 티어 컴퓨팅 장치에 의해 그것에 대해 위임하는 것이 허용되는지 여부가 결정될 수 있다. 이전에 지적된 바와 같이, 단계(630)에서의 결정은 관련 백 엔드 티어 컴퓨팅 장치에 의해 정의될 수 있고, 및 제공될 수 있는 하나 이상의 정책들을 참조하여 이루어질 수 있다. 덧붙여서, 또한 이전에 지적된 바와 같이, 단계(630)에서의 판정은 요청하는 미들 티어 컴퓨팅 장치가, 예를 들어 미들 티어 컴퓨팅 장치의 하드웨어 또는 소프트웨어 구성에 관련된 인자들을 포함하여, 관련 정책들에 의해 확립된 모든 인자들을 확인하였는지 여부에 대한 결정을 포함할 수 있다. 이에 따라, 단계(630)에서의 판정은, 단계(610)에서 미들 티어 컴퓨팅 장치에 의해 제공된 정보가 도메인 컨트롤러 컴퓨팅 장치에 의해 적절하게 서명되었는지, 및 미들 티어 컴퓨팅 장치가 관련 정책들에 의해 참조된 인자들에 대해 확인하였는지를 나타내는지 둘 모두의 여부에 대한 결정을 포함할 수 있다. 대안적으로, 또한 이전에 지적된 바와 같이, 단계(630)에서의 결정은 관련 정책들에 의해 참조된 인자들에 대해 미들 티어 컴퓨팅 장치가 확인하였는지 여부를 결정하기 위한 미들 티어 컴퓨팅 장치와의 통신을 더 포함할 수 있지만, 그러나 도시를 용이하게 하기 위하여, 그러한 추가적인 통신은 도 6의 흐름도(600)에서는 상세하게 도시되어 있지 않다.
만약 단계(630)에서 미들 티어 컴퓨팅 장치가 백 엔드 티어 컴퓨팅 장치에 대해 위임하는 것이 허용되었다고 결정되면, 절차는 단계(640)로 진행될 수 있고, 이 지점에서 미들 티어 컴퓨팅 장치에게 백 엔드 티어 컴퓨팅 장치와의 통신에서 클라이언트 컴퓨팅 장치로서 행동할 수 있는 허가를 부여하는 서비스 티켓, 또는 그 외 다른 정보가 생성되어 미들 티어 컴퓨팅 장치에게 전송될 수 있다. 이후 관련 절차는 단계(670)에서 종료될 수 있다. 대안적으로, 만약 단계(630)에서, 관련 정책들이 미들 티어 컴퓨팅 장치로 하여금 백 엔드 티어 컴퓨팅 장치에 대해 위임하는 것을 허용하지 않는다고 결정한다면, 절차는 단계(650)로 진행될 수 있고, 이 지점에서 미들 티어 컴퓨팅 장치에게 오류가 보고될 수 있다. 이후 관련 절차는 단계(670)에서 종료될 수 있다.
위의 설명으로부터 알 수 있는 바와 같이, 하나의 컴퓨팅 장치의 성능이 위임되는 컴퓨팅 장치에 의해 통지되는 것과 같이 다른 컴퓨팅 장치에게 위임되는 위임 메커니즘이 제공되었다. 본 명세서에서 기술된 발명 주제의 많은 가능한 변형예들의 관점에서, 우리는 첨부된 청구범위의 범위 내에 들어올 수 있는 것과 같은 모든 그러한 실시예와 그 등가물을 우리의 발명으로서 주장한다.

Claims (10)

  1. 위임(delegation)하는 방법으로서,
    타겟을 특정하는 위임 요청을 수신하는 단계와;
    상기 타겟이 컴퓨터-실행가능 인스트럭션을 실행하는 컴퓨터 장치와 동일한 도메인 내에 있는지 여부를 체크하는 단계와;
    상기 타겟에 대해 위임하기 위한 조건을 포함하는 하나 이상의 정책들을 식별하는 단계와;
    식별된 하나 이상의 정책들이 만족되는지 여부를 판정하는 단계와;
    상기 위임 요청으로부터의 정보를 포함하는 서명된 토큰을 생성하는 단계; 및
    상기 위임 요청을 허용하는 서명된 서비스 티켓을 생성하는 단계를 포함하고,
    상기 서명된 토큰을 생성하는 단계를 수행하기 위한 컴퓨터-실행가능 인스트럭션은, 상기 체크하는 단계가 상기 타겟이 상기 도메인 내에 존재하지 않음을 보여주는 경우에 실행되고; 및
    상기 식별하는 단계, 상기 판정하는 단계 및 상기 서명된 서비스 티켓의 생성 단계를 수행하기 위한 추가 컴퓨터-실행가능 인스트럭션은, 상기 체크하는 단계가 상기 타겟이 상기 도메인 내에 존재하고 있음을 보여주는 경우에 실행되는,
    위임 방법.
  2. 제 1 항에 있어서,
    적어도 상기 하나 이상의 정책들 중 적어도 하나의 정책은 상기 타겟에 의하여 확립되고 제어되는,
    위임 방법.
  3. 제 1 항에 있어서,
    상기 서명된 토큰 및 상기 서명된 서비스 티켓은 다른 도메인으로 향해지는,
    위임 방법.
  4. 제 1 항에 있어서,
    상기 판정하는 단계는 상기 조건들과 연관된 추가 정보를 요청하는 것을 더 포함하는,
    위임 방법.
  5. 제 1 항에 있어서,
    서명된 식별정보를 수신하고, 서명을 확인하고, 및 확인이 성공하는 경우 상기 수신된 식별정보에 서명하는 단계를 더 포함하는,
    위임 방법.
  6. 제 5 항에 있어서,
    상기 확인이 성공한 경우에 서명된 상기 수신된 식별정보를, 다른 도메인으로 향하게 하는 단계를 더 포함하는,
    위임 방법.
  7. 제 1 항의 단계들을 수행하기 위한 컴퓨터-실행가능 인스트럭션을 포함하는 하나 이상의 컴퓨터-판독가능 매체.
  8. 클라이언트 컴퓨팅 장치;
    제 1 백 엔드 컴퓨팅 장치를 포함하는 컴퓨팅 장치들의 백 엔드 티어(back and tier);
    컴퓨터-실행가능 인스트럭션을 포함하는 미들 티어 컴퓨팅 장치 - 상기 컴퓨터-실행가능 인스트럭션은:
    제 1 도메인 컨트롤러 컴퓨팅 장치에게, 상기 미들 티어 컴퓨팅 장치가 상기 클라이언트 컴퓨팅 장치로서 상기 제 1 백 엔드 컴퓨팅 장치와 통신하고자 한다는 표지를 제공하는 단계;
    상기 미들 티어 컴퓨팅 장치의 식별정보를 상기 제 1 도메인 컨트롤러 컴퓨팅 장치에게 제공하는 단계;
    상기 제 1 백 엔드 컴퓨팅 장치 및 상기 제 1 도메인 컨트롤러 컴퓨팅 장치가 둘 모두 동일한 도메인 내에 존재할 경우, 상기 미들 티어 컴퓨팅 장치가 상기 클라이언트 컴퓨팅 장치로서 상기 제 1 백 엔드 컴퓨팅 장치와 통신할 수 있음을 나타내는 서비스 티켓을 수신하는 단계;
    상기 서비스 티켓을 상기 제 1 백 엔드 컴퓨팅 장치에 제공하는 단계;
    상기 제 1 백 엔드 컴퓨팅 장치가 상기 제 1 도메인 컨트롤러 컴퓨팅 장치와는 다른 도메인 내에 존재할 경우, 상기 미들 티어 컴퓨팅 장치가 상기 클라이언트 컴퓨팅 장치로서 상기 제 1 백 엔드 컴퓨팅 장치와 통신하고자 한다는 것을 나타내는 토큰을 수신하는 단계; 및
    상기 토큰을 제 2 도메인 컨트롤러 컴퓨팅 장치에 제공하는 단계를 수행함 - ; 및
    컴퓨터-실행가능 인스트럭션을 포함하는 상기 제 1 도메인 컨트롤러 컴퓨팅 장치 - 상기 컴퓨터-실행가능 인스트럭션은:
    상기 제 1 백 엔드 컴퓨팅 장치가 상기 제 1 도메인 컨트롤러 컴퓨팅 장치를 또한 포함하는 상기 도메인 내에 존재하는지 여부를 체크하는 단계;
    상기 제 1 백 엔드 컴퓨팅 장치에 대해 위임하기 위한 조건을 포함하는 하나 이상의 정책들을 식별하는 단계;
    상기 미들 티어 컴퓨팅 장치가 상기 조건에 맞는지 여부를 판정하는 단계;
    상기 토큰을 생성하고, 서명하고 및 전송하는 단계; 및
    상기 서비스 티켓을 생성하고, 서명하고 및 전송하는 단계를 수행하기 위한 것이며;
    상기 토큰을 생성하고, 서명하고 및 전송하는 단계를 수행하기 위한 컴퓨터-실행가능 인스트럭션은, 상기 체크하는 단계가 상기 제 1 백 엔드 컴퓨팅 장치가 상기 도메인 내에 존재하지 않음을 보여주는 경우에 실행되고; 및
    상기 식별하는 단계, 상기 판정하는 단계 및 상기 서명된 서비스 티켓을 생성하고, 서명하고 및 전송하는 단계를 수행하기 위한 추가 컴퓨터-실행가능 인스트럭션은, 상기 체크하는 단계가 상기 제 1 백 엔드 컴퓨팅 장치가 상기 도메인 내에 존재하고 있음을 보여주는 경우에 실행됨 - 를 포함하는,
    시스템.
  9. 제 8 항에 있어서,
    상기 하나 이상의 정책들 중 적어도 하나의 정책은 상기 제 1 백 엔드 컴퓨팅 장치에 의해 확립되고 제어되는
    시스템.
  10. 제 8 항에 있어서,
    상기 컴퓨팅 장치들의 백 엔드 티어는 상기 제 1 백 엔드 컴퓨팅 장치에 추가하여 제 2 백 엔드 컴퓨팅 장치를 포함하며; 상기 미들 티어 컴퓨팅 장치는 추가적인 컴퓨터-실행가능 인스트럭션을 더 포함하고, 상기 추가적인 컴퓨터-실행가능 인스트럭션은: 상기 클라이언트 컴퓨팅 장치로서 상기 제 2 백 엔드 컴퓨팅 장치와 통신하는 단계; 상기 백 엔드 컴퓨팅 장치 및 상기 제 2 백 엔드 컴퓨팅 장치로부터 수신된 정보를 수집하는 단계; 및 수집된 정보를 상기 클라이언트 컴퓨팅 장치에 제공하는 단계를 수행하는,
    시스템.
KR1020137012975A 2010-11-22 2011-11-14 백-엔드 한정 위임 모델 KR20140003426A (ko)

Applications Claiming Priority (5)

Application Number Priority Date Filing Date Title
AU2010246354 2010-11-22
AU2010246354A AU2010246354B1 (en) 2010-11-22 2010-11-22 Back-end constrained delegation model
US12/965,445 US9118672B2 (en) 2010-11-22 2010-12-10 Back-end constrained delegation model
US12/965,445 2010-12-10
PCT/US2011/060614 WO2012071207A2 (en) 2010-11-22 2011-11-14 Back-end constrained delegation model

Publications (1)

Publication Number Publication Date
KR20140003426A true KR20140003426A (ko) 2014-01-09

Family

ID=45465361

Family Applications (1)

Application Number Title Priority Date Filing Date
KR1020137012975A KR20140003426A (ko) 2010-11-22 2011-11-14 백-엔드 한정 위임 모델

Country Status (10)

Country Link
US (1) US9118672B2 (ko)
EP (1) EP2643766B1 (ko)
JP (1) JP5865386B2 (ko)
KR (1) KR20140003426A (ko)
AU (2) AU2010246354B1 (ko)
BR (1) BR112013012537A2 (ko)
CA (1) CA2815690A1 (ko)
HK (1) HK1168697A1 (ko)
RU (1) RU2589333C2 (ko)
WO (1) WO2012071207A2 (ko)

Families Citing this family (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US9148285B2 (en) 2013-01-21 2015-09-29 International Business Machines Corporation Controlling exposure of sensitive data and operation using process bound security tokens in cloud computing environment
GB2512062A (en) 2013-03-18 2014-09-24 Ibm A method for secure user authentication in a dynamic network
US8745394B1 (en) 2013-08-22 2014-06-03 Citibank, N.A. Methods and systems for secure electronic communication

Family Cites Families (31)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US6367009B1 (en) 1998-12-17 2002-04-02 International Business Machines Corporation Extending SSL to a multi-tier environment using delegation of authentication and authority
US7698381B2 (en) 2001-06-20 2010-04-13 Microsoft Corporation Methods and systems for controlling the scope of delegation of authentication credentials
US7185359B2 (en) 2001-12-21 2007-02-27 Microsoft Corporation Authentication and authorization across autonomous network systems
US7401235B2 (en) * 2002-05-10 2008-07-15 Microsoft Corporation Persistent authorization context based on external authentication
US20040073668A1 (en) 2002-10-10 2004-04-15 Shivaram Bhat Policy delegation for access control
GB2410658B (en) * 2002-10-14 2006-03-01 Toshiba Res Europ Ltd Methods and systems for flexible delegation
JP2004272380A (ja) * 2003-03-05 2004-09-30 Nippon Telegr & Teleph Corp <Ntt> グループ認証方法及びシステム、サービス提供装置、認証装置、サービス提供プログラム及びそれを記録した記録媒体、認証プログラム及びそれを記録した記録媒体
US7644275B2 (en) * 2003-04-15 2010-01-05 Microsoft Corporation Pass-thru for client authentication
US7546640B2 (en) 2003-12-10 2009-06-09 International Business Machines Corporation Fine-grained authorization by authorization table associated with a resource
US7555569B1 (en) * 2004-02-02 2009-06-30 Emc Corporation Quick configuration status
US7805527B2 (en) 2005-06-29 2010-09-28 Microsoft Corporation Using a variable identity pipe for constrained delegation and connection pooling
US7984493B2 (en) * 2005-07-22 2011-07-19 Alcatel-Lucent DNS based enforcement for confinement and detection of network malicious activities
US20090119504A1 (en) 2005-08-10 2009-05-07 Riverbed Technology, Inc. Intercepting and split-terminating authenticated communication connections
US7627593B2 (en) * 2005-08-25 2009-12-01 International Business Machines Corporation Method and system for unified support of multiple system management information models in a multiple host environment
US8200971B2 (en) 2005-09-23 2012-06-12 Cisco Technology, Inc. Method for the provision of a network service
US8112789B2 (en) * 2005-10-11 2012-02-07 Citrix Systems, Inc. Systems and methods for facilitating distributed authentication
US7913084B2 (en) * 2006-05-26 2011-03-22 Microsoft Corporation Policy driven, credential delegation for single sign on and secure access to network resources
US8381306B2 (en) 2006-05-30 2013-02-19 Microsoft Corporation Translating role-based access control policy to resource authorization policy
US20070294404A1 (en) 2006-06-15 2007-12-20 International Business Machines Corporation Method and system for authorization and access control delegation in an on demand grid environment
JP4882546B2 (ja) * 2006-06-28 2012-02-22 富士ゼロックス株式会社 情報処理システムおよび制御プログラム
US8201215B2 (en) * 2006-09-08 2012-06-12 Microsoft Corporation Controlling the delegation of rights
US20080066147A1 (en) 2006-09-11 2008-03-13 Microsoft Corporation Composable Security Policies
JP2008071226A (ja) * 2006-09-15 2008-03-27 Nec Corp クレデンシャルコンバージョンシステムと方法、コンピュータ装置、及びプログラム
US7853987B2 (en) 2006-10-10 2010-12-14 Honeywell International Inc. Policy language and state machine model for dynamic authorization in physical access control
JP4314267B2 (ja) * 2006-11-30 2009-08-12 キヤノン株式会社 アクセス制御装置およびアクセス制御方法及び印刷システム
US8190755B1 (en) * 2006-12-27 2012-05-29 Symantec Corporation Method and apparatus for host authentication in a network implementing network access control
CN101262342A (zh) 2007-03-05 2008-09-10 松下电器产业株式会社 分布式授权与验证方法、装置及系统
US8386776B2 (en) * 2007-09-25 2013-02-26 Nec Corporation Certificate generating/distributing system, certificate generating/distributing method and certificate generating/distributing program
US20090158407A1 (en) * 2007-12-13 2009-06-18 Fiberlink Communications Corporation Api translation for network access control (nac) agent
US8166516B2 (en) 2008-03-27 2012-04-24 Microsoft Corporation Determining effective policy
US8364970B2 (en) * 2009-02-18 2013-01-29 Nokia Corporation Method and apparatus for providing enhanced service authorization

Also Published As

Publication number Publication date
EP2643766B1 (en) 2019-07-31
WO2012071207A3 (en) 2012-07-19
AU2011332150A1 (en) 2013-05-02
AU2011332150B2 (en) 2015-04-30
RU2013123353A (ru) 2014-11-27
AU2010246354B1 (en) 2011-11-03
EP2643766A2 (en) 2013-10-02
JP2014511511A (ja) 2014-05-15
WO2012071207A2 (en) 2012-05-31
EP2643766A4 (en) 2017-08-09
RU2589333C2 (ru) 2016-07-10
JP5865386B2 (ja) 2016-02-17
US9118672B2 (en) 2015-08-25
CA2815690A1 (en) 2012-05-31
HK1168697A1 (zh) 2013-01-04
US20120131661A1 (en) 2012-05-24
BR112013012537A2 (pt) 2016-09-06

Similar Documents

Publication Publication Date Title
US7774824B2 (en) Multifactor device authentication
US9787659B2 (en) Techniques for secure access management in virtual environments
US11336632B2 (en) Composite user identities in distributed computing systems
US9055052B2 (en) Method and system for improving storage security in a cloud computing environment
KR100962876B1 (ko) 그리드 작업의 오프로딩 인증 방법, 그리드 작업의 오프로딩 인증 장치 및 컴퓨터 판독가능한 저장 매체
US7996713B2 (en) Server-to-server integrity checking
KR100896391B1 (ko) 외장 기기
US8918856B2 (en) Trusted intermediary for network layer claims-enabled access control
US9137244B2 (en) System and method for generating one-time password for information handling resource
US8250475B2 (en) Managing icon integrity
EP2862119B1 (en) Network based management of protected data sets
Xin et al. Property-based remote attestation oriented to cloud computing
JP2008539482A (ja) クライアントをネットワークに接続する方法、システム、及びプログラム製品
EP3570517B1 (en) Authentication technique making use of emergency credential
KR20140003426A (ko) 백-엔드 한정 위임 모델
Song et al. Trustcube: An infrastructure that builds trust in client
JP7296390B2 (ja) 電子デバイスの無欠性検査
TW201237639A (en) Back-end constrained delegation model
US10805302B2 (en) Systems and methods to secure platform application services between platform client applications and platform services
CN102438014B (zh) 后端受限委托模型
US11943226B2 (en) Container and resource access restriction
KR102467441B1 (ko) 텐더민트 bft를 이용한 비정형 데이터의 암호화 방법, 장치 및 컴퓨터-판독가능 기록매체
WO2023069062A1 (en) Blockchain-based certificate lifecycle management
Lee et al. Builds Trust in Client
JP2005339120A (ja) 属性情報出力装置、属性情報出力システム、および属性情報出力方法

Legal Events

Date Code Title Description
N231 Notification of change of applicant
WITN Application deemed withdrawn, e.g. because no request for examination was filed or no examination fee was paid