KR20140148441A

KR20140148441A - 관리되는 디바이스를 자동으로 프로비저닝하는 시스템 및 방법

Info

Publication number: KR20140148441A
Application number: KR1020147029820A
Authority: KR
Inventors: 존 알. 브라운; 로버트 엠. 데어; 앤디 에이. 아이엘로
Original assignee: 오픈픽 아이엔씨.
Priority date: 2012-04-05
Filing date: 2013-04-04
Publication date: 2014-12-31
Also published as: US20140137205A1; WO2013152159A1

Abstract

통신 디바이스를 자동으로 프로비저닝하는 방법 및 시스템이 본 명세서에 설명된다. 본 방법은 통신 디바이스로부터 사전-허가 요청을 수신하는 단계 및 이 사전-허가 요청에 기초하여 제1 형태일 수 있는 허가 요청을 수신하는 단계를 포함할 수 있다. 본 방법은 이 허가 요청을 디렉토리 서비스에 의해 인식가능할 수 있는 제2 형태로 변환하는 단계 및 이 디렉토리 서비스로부터 허가 승인을 획득하는 단계를 더 포함할 수 있다. 이 허가 승인은 통신 디바이스의 동작과 연관된 기능에 대응하는 기능적인 지시자를 포함할 수 있다. 이 허가 승인에 기초하여, 통신 디바이스는 관리되는 통신 디바이스로서 수립될 수 있다. 게다가, 번들은 기능적인 지시자에 기초하여 관리되는 통신 디바이스로 전달될 수 있다.

Description

관리되는 디바이스를 자동으로 프로비저닝하는 시스템 및 방법{SYSTEM AND METHOD FOR AUTOMATIC PROVISIONING OF MANAGED DEVICES}

관련 출원에 대한 상호 참조

본 특허 출원은, 전체 내용이 본 명세서에 참조 문헌으로 병합된 2012년 4월 5일에 출원된 미국 특허 출원 제61/620,661호에 대한 우선권을 주장한다.

기술 분야

본 출원은 관리되는 환경에서 디바이스를 프로비저닝(provisioning)하는 시스템 및 방법에 관한 것이다.

모바일 디바이스 산업에서 이러한 모바일 디바이스를 기업을 위하여 관리할 수 있게 하는 것이 현재적인 추세이다. 예를 들어, 기업은 모바일 디바이스를 종업원에 제공하고 이 모바일 디바이스를 관리하기를 원할 수 있다. 대안적으로, 기업은 민감한 애플리케이션 및 데이터를 종업원의 퍼스널 모바일 디바이스에 설치하고, 이 디바이스에 관리 스킴(management scheme)을 구현할 수 있다. 어느 배열이든, 관리되는 디바이스는 관리 서비스에 등록하고 특정 소프트웨어 패키지 및 정책에 따라 올바르게 프로비저닝될 필요가 있다. 이 프로비저닝 공정은 특히 처리되어야 하는 디바이스의 수에 따라 저하된다. 그리하여, 이 공정을 합리화하는 것이 요구된다.

통신 디바이스를 자동으로 프로비저닝하는 방법이 본 명세서에 설명된다. 본 방법은 통신 디바이스로부터 사전-허가 요청(pre-authorization request)을 수신하는 단계 및 상기 사전-허가 요청에 기초하여 제1 형태의 허가 요청을 수신하는 단계를 포함할 수 있다. 본 방법은 상기 허가 요청을 디렉토리 서비스(directory service)에 의해 인식될 수 있는 제2 형태로 변환하는 단계 및 상기 디렉토리 서비스로부터 허가 승인을 획득하는 단계를 더 포함할 수 있다. 상기 허가 승인은 상기 통신 디바이스의 동작과 연관된 기능에 대응할 수 있는 기능적인 지시자(indicator)를 포함할 수 있다. 상기 허가 승인에 기초하여, 상기 통신 디바이스는 관리되는 통신 디바이스로서 수립될 수 있다. 본 방법은 상기 기능적인 지시자에 기초하여 상기 관리되는 통신 디바이스에 번들(bundle)을 전달하는 단계를 더 포함할 수 있다.

일 배열에서, 상기 사전-허가 요청은 기업 식별자를 포함할 수 있다. 또한, 본 방법은 상기 기업 식별자에 기초하여 상기 사전-허가 요청을 프로비저닝 촉진자(provisioning facilitator)로 재지정(redirect)하는 단계를 더 포함할 수 있되, 상기 프로비저닝 촉진자는 상기 기업 식별자가 할당될 수 있는 기업에 할당될 수 있다. 본 방법은 관리 서비스와 연관된 데이터 요소를 상기 디렉토리 서비스의 데이터 요소와 매핑하여 상기 허가 요청을 상기 제1 형태로부터 상기 디렉토리 서비스에 의해 인식가능한 제2 형태로 변환될 수 있게 하는 단계를 더 포함할 수 있다. 다른 배열에서, 본 방법은 상기 허가 승인을 상기 제1 형태로 변환하는 단계 및 상기 허가 승인을 상기 통신 디바이스로 전송하는 단계를 더 포함할 수 있다.

본 방법은 상기 사전-허가 요청이 상기 통신 디바이스로부터 수신된 때에 상기 사전-허가 요청을 복호화하는 단계, 상기 허가 요청이 수신된 때에 상기 허가 요청을 복호화하는 단계 및 상기 허가 승인이 상기 디렉토리 서비스로부터 획득된 때에 상기 허가 승인을 암호화하는 단계를 더 포함할 수 있다. 일례로서, 상기 디렉토리 서비스는 기업의 보호된 환경의 일부일 수 있고, 본 방법은 상기 디렉토리 서비스로부터 상기 기능적인 지시자를 수신하는 단계를 더 포함할 수 있다. 본 방법은 상기 통신 디바이스로부터 특징 리포트를 수신하는 단계를 더 포함할 수 있고, 여기서 상기 특징 리포트는 상기 통신 디바이스의 동작 능력을 포함할 수 있다.

통신 디바이스를 자동으로 프로비저닝하는 다른 방법이 본 명세서에 설명된다. 본 방법은 사전-허가 요청을 형성하는데 사용되는 식별 정보를 수신하는 단계 및 상기 사전-허가 요청을 관리 서비스에 송신하는 단계를 포함할 수 있다. 상기 관리 서비스로부터 피드백에 기초하여, 허가 요청이 프로비저닝 촉진자로 송신될 수 있고, 여기서 상기 허가 요청은 상기 관리 서비스에 의해 인식가능한 형태이다.

상기 허가 요청은 또한 디렉토리 서비스에 의해 인식가능한 형태로 수신될 수 있다. 상기 허가 요청에 응답하여, 허가 승인은 상기 디렉토리 서비스에 의해 인식가능할 수 있는 형태로 선택적으로 제공될 수 있다. 본 방법은 상기 허가 승인에 기초하여 관리 서비스에 의해 인식가능할 수 있는 형태로 허가 승인을 수신하는 단계, 상기 디렉토리 서비스와 연관된 사용자의 기능을 고려하여 선택될 수 있는 번들을 상기 통신 디바이스에서 수신하는 단계를 더 포함할 수 있다.

일 배열에서, 상기 식별 정보는 기업 식별자를 포함할 수 있고, 상기 기업 식별자는 상기 허가 요청을 수신하는 상기 프로비저닝 촉진자와 연관될 수 있다. 본 방법은 상기 관리 서비스로 전송하기 위한 상기 사전-허가 요청을 암호화하는 단계 및 상기 허가 승인이 수신된 때에 상기 허가 승인을 복호화하는 단계를 더 포함할 수 있다. 다른 예로서, 상기 허가 승인은 기능적인 지시자를 포함할 수 있고, 상기 기능적인 지시자는 상기 통신 디바이스가 수신하는 번들을 결정할 수 있다.

다른 배열에서, 본 방법은 - 상기 통신 디바이스를 인증하기 전에 - 사용자 정보가 상기 관리 서비스에 저장되는 것을 제한하는 단계 및 상기 통신 디바이스를 인증하기 전에 그리고 인증한 후에 상기 디렉토리 서비스에 상기 사용자 정보를 저장하는 단계를 포함할 수 있다. 본 방법은 상기 디렉토리 서비스의 데이터 요소를 선택적으로 제공하여 상기 프로비저닝 촉진자가 상기 디렉토리 서비스의 데이터 요소를 상기 관리 서비스의 데이터 요소에 매핑할 수 있게 하는 단계를 더 포함할 수 있다. 또 다른 배열에서, 본 방법은 상기 통신 디바이스의 하나 이상의 동작 능력을 결정하는 단계 및 상기 동작 능력을 특징 리포트의 일부로서 상기 관리 서비스에 송신하는 단계를 포함할 수 있다. 상기 특징 리포트는 상기 통신 디바이스의 프로비저닝에 영향을 미칠 수 있다.

통신 디바이스를 자동으로 프로비저닝하는 또 다른 방법이 본 명세서에 설명된다. 본 방법은 식별 정보를 수신하는 단계, 상기 식별 정보에 기초하여 사전-허가 요청을 생성하는 단계 및 상기 사전-허가 요청을 관리 서비스에 송신하는 단계를 포함할 수 있다. 상기 관리 서비스로부터 피드백에 기초하여, 허가 요청은 기업의 보호된 환경에서 디렉토리 서비스에 통신가능하게 연결된 프로비저닝 촉진자에 송신될 수 있다. 본 방법은 상기 프로비저닝 촉진자로부터 허가 승인을 수신하는 단계, 상기 허가 승인을 상기 관리 서비스로 송신하는 단계 및 상기 관리 서비스로부터 번들을 수신하는 단계를 더 포함할 수 있다. 상기 번들은 상기 기업과 연관된 사용자의 기능에 기초할 수 있다.

통신 디바이스를 자동으로 프로비저닝하는 시스템이 본 명세서에 설명된다. 상기 시스템은 관리 서버를 포함할 수 있고, 상기 관리 서버는 통신 디바이스로부터 사전-허가 요청을 수신하도록 구성될 수 있다. 상기 시스템은 프로비저닝 촉진자를 더 포함할 수 있되 상기 프로비저닝 촉진자는 기업의 디렉토리 서비스와 통신하도록 구성될 수 있다. 상기 관리 서버는 상기 사전-허가 요청에 기초하여 상기 통신 디바이스를 상기 프로비저닝 촉진자로 재지정하도록 더 구성될 수 있다. 상기 프로비저닝 촉진자는 상기 통신 디바이스로부터 허가 요청을 상기 관리 서버에 의해 인식가능할 수 있는 형태로 수신하고 상기 허가 요청을 상기 디렉토리 서비스에 의해 인식가능할 수 있는 형태로 변환하도록 더 구성될 수 있다. 추가적으로, 상기 프로비저닝 촉진자는 상기 디렉토리 서비스로부터 허가 승인을 수신하도록 구성될 수 있다. 이 허가 승인에 기초하여, 상기 관리 서버는 번들을 상기 통신 디바이스에 전달하여 상기 통신 디바이스를 관리되는 통신 디바이스로 변환하도록 더 구성될 수 있다.

상기 관리 서버는 상기 통신 디바이스의 사용자의 기능에 기초하여 상기 번들을 상기 통신 디바이스에 전달하도록 더 구성될 수 있다. 일 배열에서, 상기 관리 서버는 하나 이상의 프로비저닝 촉진자의 신원(identity)을 저장할 수 있는 테이블을 포함할 수 있다. 일례로서, 상기 사전-허가 요청은 기업 식별자를 포함할 수 있고, 상기 관리 서버는 프로세서를 포함할 수 있다. 상기 프로세서는 상기 기업 식별자에 대응할 수 있는 프로비저닝 촉진자를 위한 테이블을 검색하여 상기 통신 디바이스로부터 허가 요청을 수신하는 프로비저닝 촉진자를 결정할 수 있다.

상기 관리 서버는 상기 통신 디바이스로부터 상기 사전-허가 요청을 복호화하고 상기 통신 디바이스로 전달되는 번들을 암호화하도록 구성된 암호화 엔진을 더 포함할 수 있다. 다른 실시예에서, 상기 관리 서버는 상기 통신 디바이스로 전달될 수 있는 번들을 저장하도록 구성될 수 있는 하나 이상의 저장 유닛을 포함할 수 있다.

상기 프로비저닝 촉진자는 상기 관리 서버와 연관될 수 있는 데이터 요소를 상기 디렉토리 서비스와 연관될 수 있는 데이터 요소에 매핑하도록 더 구성될 수 있다. 게다가, 상기 디렉토리 서비스는 상기 기업의 보호된 환경 내에 있을 수 있고, 상기 프로비저닝 촉진자는 상기 기업의 보호된 환경의 외부에 있을 수 있다. 또 다른 실시예에서, 상기 관리 서버는 상기 통신 디바이스로부터 특징 리포트를 수신하고 처리하도록 더 구성될 수 있고, 여기서 상기 특징 리포트는 상기 통신 디바이스의 동작 능력을 포함할 수 있다.

통신 디바이스가 본 명세서에 더 설명된다. 상기 통신 디바이스는 기업에 할당된 사용자와 연관된 식별 정보를 수신하도록 구성될 수 있는 사용자 인터페이스 요소를 포함할 수 있고, 또 통신 신호를 수신하고 전송하도록 구성될 수 있는 트랜시버를 더 포함할 수 있다. 상기 통신 디바이스는 상기 사용자 인터페이스 요소 및 상기 트랜시버에 통신가능하게 연결될 수 있는 프로세서를 더 포함할 수 있다. 상기 프로세서는 상기 식별 정보에 기초하여 사전-허가 요청을 생성하고 상기 트랜시버가 상기 사전-허가 요청을 관리 서비스에 송신하도록 구성될 수 있다. 상기 관리 서비스로부터 피드백에 기초하여, 상기 프로세서는 상기 트랜시버가 상기 기업의 디렉토리 서비스에 통신가능하게 연결될 수 있는 프로비저닝 촉진자에 허가 요청을 송신하게 할 수 있다. 상기 프로세서는 상기 프로비저닝 촉진자로부터 허가 승인을 수신하고, 상기 트랜시버가 상기 허가 승인을 상기 관리 서비스에 송신하도록 더 구성될 수 있다. 상기 프로세서는 상기 관리 서비스로부터 번들을 수신하고 처리하도록 더 구성될 수 있고, 여기서 상기 번들은 상기 기업에 할당된 사용자의 기능에 기초할 수 있다.

일례로서, 상기 식별 정보는 상기 기업에 대한 식별자를 포함하고, 상기 기업에 대한 식별자는 도메인 명칭일 수 있다. 상기 통신 디바이스는 암호화 엔진을 더 포함할 수 있되, 상기 암호화 엔진은 상기 관리 서비스에 전송하기 전에 상기 사전-허가 요청 및 상기 허가 승인을 암호화하고 상기 프로비저닝 촉진자로부터 상기 허가 승인을 복호화하도록 구성될 수 있다. 상기 프로세서는 상기 관리 서비스로 전송하기 위한 특징 리포트를 생성하도록 더 구성될 수 있고, 여기서 상기 특징 리포트는 상기 통신 디바이스의 동작 능력을 포함할 수 있다.

본 발명의 여러 실시예의 구조 및 동작뿐만 아니라 본 발명의 추가적인 특징과 장점은 첨부 도면을 참조하여 아래에서 보다 상세히 설명된다. 본 발명은 본 명세서에 설명된 특정 실시예로 제한되는 것은 아니라는 것이 주목된다. 이러한 실시예는 단지 예시를 위해서 본 명세서에 제공된 것이다. 추가적인 실시예는 본 명세서에 포함된 내용에 기초하여 이 기술 분야에 통상의 지식을 가진 자에게는 명백할 것이다.

본 명세서에 포함되고 본 명세서의 일부를 형성하는 첨부 도면은 특정 비-제한적인 실시예를 예시하며, 상세한 설명과 함께, 실시예의 원리를 설명하는 역할을 한다.
도 1은 통신 디바이스를 자동으로 프로비저닝하는 시스템의 일례를 도시한 도면;
도 2는 도 1의 컴포넌트의 일부의 일례를 보다 상세히 도시한 도면;
도 3은 통신 디바이스를 자동으로 프로비저닝하는 방법의 일례를 도시한 도면.
본 출원인은 도면에 포함된 임의의 제3자의 상표 또는 저작권 이미지에 대한 권리를 명시적으로 부인한다. 이러한 상표 및 이미지는 단지 예시를 위해 포함된 것으로 각 소유자의 독점적인 자산을 구성한다.
비-제한적인 실시예의 특징 및 장점은 도면과 함께 취해진 아래 제시된 상세한 설명으로부터 보다 명백해질 것이고, 도면에서 동일한 참조 부호는 도면 전체에 걸쳐 대응하는 요소를 나타낸다. 도면에서, 동일한 참조 부호는 일반적으로 동일하거나, 기능적으로 유사하거나 및/또는 구조적으로 유사한 요소를 나타낸다.

이하 상세한 설명은 예시적인 실시예를 도시하는 첨부 도면을 참조하지만; 본 발명의 범위는 이들 실시예로 제한되지 않는다. 따라서, 예시된 실시예의 변형된 형태와 같은, 첨부 도면에 도시된 것을 넘는 실시예들도 본 특허청구범위에 속할 수 있다.

본 명세서에서 "일 실시예", "실시예", "예시적인 실시예", "일 배열", "배열" 등이라는 언급은 설명된 실시예 또는 배열이 특정 특징, 구조 또는 특성을 포함할 수 있으나, 모든 실시예들이 반드시 이 특정 특징, 구조 또는 특성을 포함하여야 하는 것은 아닌 것을 나타낸다. 더욱이, 이러한 어구는 반드시 동일한 실시예 또는 배열을 나타내는 것은 아니다. 나아가, 특정 특징, 구조 또는 특성이 일 실시예 또는 배열에서 설명될 때, 명시적으로 설명되었든지 설명되지 않았든지 간에 다른 실시예 또는 배열에 이러한 특징, 구조 또는 특성을 구현할 수 있는 것은 이 기술 분야에 통상의 지식을 가진 자의 지식 내에 있는 것으로 이해된다.

본 문서 전체에 적용되는 일부 정의들이 이제 제시된다. 본 명세서에 사용된 "예시적인" 이라는 용어는 객체, 장치, 시스템, 개체, 조성, 방법, 단계 또는 공정의 일례로서 정의된다. "통신가능하게 연결된" 이라는 용어는 무선으로, 유선 연결을 통해 또는 이들의 조합으로 단일 방향 또는 양방향(또는 다방향) 방식으로 컴포넌트들 사이에 통신 신호가 교환될 수 있도록 2개 이상의 컴포넌트들이 연결된 상태로 정의된다. "컴퓨팅 디바이스"는 사용자에 대해 일부 공정이나 기능을 수행하도록 구성되고 모바일 디바이스와 비-모바일 디바이스를 포함하는 컴포넌트로 정의된다. "통신 디바이스"는 하나 이상의 다른 컴포넌트와 유선 또는 무선 통신을 수행하도록 구성된 컴포넌트로 정의된다. "애플리케이션"은 사용자가 하나 이상의 특정 태스크에 따라 컴퓨팅 디바이스를 동작시킬 수 있는 인터페이스를 제공하는 프로그램 또는 프로그램들로 정의된다. "동작 환경"은, 디바이스와 연관되고 디바이스의 다수의 동작 및 구성을 제어하는데 사용되는 특정 설정으로 정의된다.

"인터페이스"는 제1 디바이스로부터 신호를 적어도 수신하고 이 신호를 제2 디바이스와 호환가능한 형태로 제2 디바이스로 전달하는 컴포넌트 또는 컴포넌트 그룹으로 정의된다. "프로세서"는 명령 세트를 실행하는 하나 이상의 컴포넌트로 정의된다. "트랜시버"는 무선 또는 전자 신호를 송수신하는 컴포넌트 또는 컴포넌트 그룹으로 정의된다. "기업"이라는 용어는 하나 이상의 목적을 위해 형성되고 및 상업적인 성질을 가지는 것으로 제한되지 않는 그룹, 기구(organization), 회사(company) 또는 상사(firm)로 정의된다. "저장 유닛"은 기계-판독가능한 형태로 데이터를 저장하도록 구성된 컴포넌트 또는 컴포넌트 그룹으로 정의된다. "디렉토리 서비스"라는 용어는 정보를 저장하고, 조직하고, 정보에 액세스하는 시스템으로 정의된다. "번들"은 특정 통신 디바이스 또는 통신 디바이스 그룹에 의도된 컨텐츠 또는 이 통신 디바이스 또는 통신 디바이스 그룹을 하나 이상의 소스에 지시하여 컨텐츠를 획득하는 하나 이상의 지시로 정의된다. "관리되는 디바이스"라는 용어는 메시지를 수신하고, 원격 동작이 플랫폼의 지시 하에 디바이스에 수행되도록 중앙 집중화된 플랫폼으로부터 명령을 취하도록 구성된 통신 디바이스로 정의된다.

전술한 바와 같이, 기업들은 이들 기구와 연관된 사람이 소지하는 모바일 디바이스를 관리하는 추세에 있다. 그러나, 인증되고 프로비저닝되어야 하는 디바이스의 수는 꽤 상당하다. 허가된 디바이스가 사람과의 상호작용이 제한되어 관리 서비스에서 인증되고 등록하는 것을 보장하는 신속하고 효율적인 공정이 명확히 요구된다.

이를 위해, 통신 디바이스를 자동으로 프로비저닝하는 방법 및 시스템이 본 명세서에 설명된다. 특히, 관리 서비스는 통신 디바이스로부터 사전-허가 요청을 수신할 수 있고, 관리 서비스는 통신 디바이스를 프로비저닝 촉진자로 재지정할 수 있다. 프로비저닝 촉진자는 사전-허가 요청에 기초할 수 있는 허가 요청을 통신 디바이스로부터 수신할 수 있다. 이 허가 요청은 관리 서비스에 의해 인식가능한 제1 형태일 수 있다. 프로비저닝 촉진자는 허가 요청을 디렉토리 서비스에 의해 인식가능한 제2 형태로 변환할 수 있다. 프로비저닝 촉진자는 디렉토리 서비스로부터 허가 승인을 획득할 수 있고, 허가 승인은 통신 디바이스의 동작과 연관된 기능에 대응할 수 있는 기능적인 지시자를 포함할 수 있다. 허가 승인에 기초하여, 관리 서비스는 통신 디바이스를 관리되는 통신 디바이스로서 수립하고, 기능적인 지시자에 기초하여 관리되는 통신 디바이스에 번들을 전달할 수 있다.

그리하여, 다수의 통신 디바이스들이 거의 사람과 상호작용이 없이 자동으로 인증되고 프로비저닝될 수 있다. 더욱이, 여기서 발생하는 교환을 고려하여, 관리 서비스는 이러한 디바이스들이 인증되고 프로비저닝될 때까지 통신 디바이스의 사용자와 연관된 정보의 상당한 양을 저장하거나 업데이트하여야 하는 것은 아니다. 추가적으로, 이 프로비저닝 공정은 통신 디바이스의 사용자와 연관될 수 있는 기업의 임의의 보안 프로토콜이나 배열을 위협하지 않도록 조치를 취한다.

도 1을 참조하면, 통신 디바이스를 자동으로 프로비저닝하는 시스템(100)의 일례가 도시된다. 일 배열에서, 시스템(100)은 관리 서비스(105), 복수의 통신 디바이스(110), 네트워크(115) 및 하나 이상의 기업 네트워크(120)를 포함할 수 있다. 통신 디바이스(110)들이 인증되면, 관리 서비스(105)는 통신 디바이스(110)를 관리할 수 있는데, 그 예들은 본 명세서에 참조 문헌으로 병합된 미국 특허 출원 제2012/0036442호; 제2012/0032945호; 제2012/0036440호; 제2012/0036552호; 제2012/0036245호; 및 제2012/0036220호에 제시되어 있다. 통신 디바이스(110)는 유선 또는 무선 통신(또는 둘 모두)을 수행할 수 있고, 네트워크(115)는 디바이스(110)와 관리 서비스(105) 사이 또는 다른 컴포넌트/네트워크들 사이에 통신을 제공하는 임의의 적절한 컴포넌트와 연결의 조합일 수 있다. 예를 들어, 네트워크(115)는 셀룰러 통신 및 와이파이(Wi-Fi) 통신을 모두 수행할 수 있다.

기업 네트워크(120)는 상이한 기업과 연관될 수 있다. 예를 들어, 이 기업 네트워크(120)는 기업이 그 동작을 수행하기 위한 설정을 구비하는 네트워크를 나타낼 수 있다. 기업은 통신 디바이스(110)를 관리하기를 원할 수 있다. 일례로서, 기업은 통신 디바이스(110)를 종업원에게 제공하고 이 통신 디바이스를 민감한 기업 데이터에 액세스를 부여하기 전에 인증하게 할 수 있다. 대안적으로, 종업원 중 일부는 자기 자신의 통신 디바이스(110)를 소유할 수 있고, 기업은 이 디바이스(110)에 이러한 데이터를 제공하기 전에 이 디바이스(110)를 인증하기를 원할 수 있다. 이 공정을 지원하기 위해, 네트워크(115)는 통신 디바이스(110)와 기업 네트워크(120) 사이에 통신을 제공할 수 있다. 필요한 경우, 네트워크(115)는 기업 네트워크(120)들 사이 또는 기업 네트워크(120)와 관리 서비스 사이에 통신을 더 제공할 수 있다.

일 배열에서, 기업 네트워크(120)는 비-보안 존(non-secure zone)(125), 보호 스킴(protection scheme)(130) 및 기업 서비스(135)를 포함할 수 있다. 예를 들어, 비-보안 존(125)은 기업 네트워크(120)와 네트워크(115) 또는 다른 비보호된 또는 공중 네트워크 사이에 통신을 제공하는 기업 네트워크(120)의 보호 스킴(130)의 외부에 위치된 서브네트워크일 수 있다. 보호 스킴(130)은 네트워크(115)와 기업 서비스(135) 또는 다른 민감한 플랫폼 사이에 비허가되거나 원치 않는 통신을 방지하는 임의의 적절한 장벽일 수 있고, 그 일례는 방화벽이다. 기업 서비스(135)는 비허가된 액세스로부터 보호되어야 하는 기업과 연관된 임의의 서비스를 포함하고, 그 예들은 아래에 제시된다.

시스템(100) 동작의 간략한 예시적인 개요가 이제 제시된다. 기업 네트워크(120)를 유지하는 기업과 연관될 수 있는 사용자는 통신 디바이스(110)를 소지할 수 있고, 이 통신 디바이스는 디바이스(110)가 기업과 관련된 민감한 데이터에 액세스하기 전에 인증을 요구할 수 있다. 이를 위해, 디바이스(110)의 사용자는 식별 정보를 디바이스(110)에 제공할 수 있고, 이 디바이스는 관리 서비스(105)에 전달하기 위한 사전-허가 요청을 생성할 수 있다. 이어서, 관리 서비스(105)는 디바이스(110)를 적절한 기업 네트워크(120)로 재지정할 수 있다. 아래에 상세히 설명되는 기업 네트워크(120)는 디바이스(110)를 인증할 수 있고, 디바이스(110)의 사용자의 기능을 식별하는 기능적인 지시자를 디바이스(110)에 제공할 수 있다. 디바이스(110)는 인증 및 기능적인 지시자를 관리 서비스(105)에 전달할 수 있고, 이 관리 서비스는 디바이스(110)를 관리되는 디바이스(110)로서 수립할 수 있다. 관리 서비스(105)는 기능적인 지시자에 기초하여 하나 이상의 번들을 디바이스(110)에 전달할 수 있다.

도 2를 참조하면, 도 1의 컴포넌트 중 일부가 보다 상세히 제시된다. 예를 들어, 관리 서비스(105)는 하나 이상의 관리 서버(200)를 포함할 수 있고, 각 관리 서버는 프로세서(205), 저장 유닛(210), 인터페이스(215) 및 암호화 엔진(220)을 포함할 수 있다. 나아가, 비- 보안 존(125)은 하나 이상의 프로비저닝 촉진자(225)를 포함할 수 있고, 각 프로비저닝 촉진자는 프로세서(230), 변환기(235), 인터페이스(240) 및 암호화 엔진(245)을 포함할 수 있다. 디렉토리 서비스(250)는 기업 서비스(135)의 일부일 수 있다. 일 실시예에서, 관리 서버(105)의 저장 유닛(210)은 테이블(212)을 포함할 수 있고, 이 테이블은 하나 이상의 프로비저닝 촉진자(225)의 신원을 저장할 수 있다.

각 통신 디바이스(110)는 디바이스(110)의 사용자로부터 입력을 수신하고 사용자에 출력을 제공하도록 구성될 수 있는 사용자 인터페이스 요소(255)를 포함할 수 있다. 적절한 예로는 터치-스크린 디스플레이, 키보드, 스피커, 마이크로폰 등을 포함한다. 디바이스(110)는 임의의 적절한 네트워크 또는 컴포넌트, 예를 들어 네트워크(115)로부터 신호를 수신하거나 이 네트워크에 신호를 전송하도록 구성된 트랜시버(260)를 더 포함할 수 있다. 전술한 바와 같이, 이 신호 교환은 유선 및 무선 통신을 포함한다. 암호화 엔진(265)은 통신 디바이스(110)의 일부를 형성하며 출력되는 전송을 암호화하고 입력되는 신호를 복호화할 수 있다. 통신 디바이스(110)는 프로세서(270)를 더 포함할 수 있고, 이 프로세서는 전술한 컴포넌트의 동작을 감독할 수 있다.

전술한 컴포넌트들 중 많은 컴포넌트는 별개의 개체인 것으로 묘사되어 있으나, 적절한 경우 이들 디바이스를 적절히 조합하여 사용될 수 있는 것으로 이해된다. 예를 들어, 관리 서버(105)의 암호화 엔진(220), 저장 유닛(210) 또는 인터페이스(215) 중 임의의 것은 프로세서(205)와 통합되거나 그 일부일 수 있다. 유사하게, 프로비저닝 촉진자(225)의 변환기(235), 인터페이스(240) 또는 암호화 엔진(245) 중 임의의 것은 프로세서(230)에 형성되거나 그 일부일 수 있다. 이와 동일한 원리는 본 명세서에 설명된 통신 디바이스(110), 기업 네트워크(135) 또는 임의의 다른 컴포넌트 또는 시스템에도 적용될 수 있다.

관리 서버(200)는 통신 디바이스(110)의 프로비저닝 및 관리를 감독하는 일을 할 수 있는데, 그 예들은 아래에 제시된다. 그리하여, "관리 서버" 라는 용어는 하나 이상의 통신 디바이스를 관리되는 디바이스로서 수립하고 이러한 디바이스를 관리하는 컴포넌트 또는 컴포넌트 그룹으로 정의된다. 이들 기능을 수행하기 위하여, 인터페이스(215)는 관리 서버(200)와 네트워크(115) 사이에 통신을 제공할 수 있는 반면, 암호화 엔진(220)은 보안이 필요한 경우 출력되는 통신을 암호화하고 및 입력되는 통신을 복호화할 수 있다. 저장 유닛(210)은 번들과 같은 임의의 적절한 유형의 데이터 및 통신 디바이스(110)를 프로비저닝하고 관리하는 것과 관련된 다른 정보를 저장할 수 있다. 관리 서버(200)의 임의의 다른 컴포넌트에 통신가능하게 연결될 수 있는 프로세서(205)는 관리 서버(200)의 동작이 아래에 설명된 바와 같이 수행되는 것을 보장하는 명령 세트를 실행할 수 있다.

비-보안 존(125)에 초점을 맞추면, 프로비저닝 촉진자(225)는 기업 서비스(135) 부분과 통신하며 통신 디바이스(110)를 프로비저닝하는데 필요한 데이터를 획득할 수 있다. 즉, 프로비저닝 촉진자(225)는 기업의 보호된 환경에 위치된, 즉, 보호 스킴(130)의 보안 측에 위치된 임의의 개수의 컴포넌트와 통신을 수립하며 이러한 공정을 수행할 수 있다. 일례로서, 프로비저닝 촉진자(225)는 보안 게이트웨이라고도 지칭될 수 있다. "프로비저닝 촉진자"라는 용어는 보호된 환경의 외부에 있고(또는 컴포넌트의 적어도 일부가 보호된 환경의 외부에 있고), 통신 디바이스를 프로비저닝하기 위하여 - 인증 데이터를 포함하는 - 데이터를 획득하기 위하여 보호된 환경의 내부에 있는 하나 이상의 컴포넌트와 통신하는 컴포넌트 또는 컴포넌트 그룹으로 정의된다.

프로비저닝 촉진자(225)의 동작을 수용하기 위하여, 인터페이스(240)는 촉진자(225)와 네트워크(115) 사이에 통신을 제공할 수 있다. 필요한 경우, 다른 인터페이스(미도시)들이 촉진자(225)와 기업 서비스(135) 사이에 통신을 수용하도록 구현될 수 있다. 암호화 엔진(245)은 네트워크(115)로부터 입력되는 통신을 복호화하고 네트워크(115)로 출력되는 통신을 암호화할 수 있다. 일 배열에서, 변환기(235)는 통신 디바이스(110)와 같은 다른 컴포넌트로부터 요청을 수신하고, 이를 기업 서비스(135)의 임의의 개수의 컴포넌트에 의해 인식가능한 형태로 변환할 수 있다. 이 공정을 지원하기 위하여, 프로세서(230)는 관리 서비스(105)에 의하여 인식가능한 데이터 요소를 기업 서비스(135)의 하나 이상의 부분에 의하여 인식가능한 데이터 요소에 매핑할 수 있다. 변환기(235)는 변환 동작 동안 이 매핑을 이용할 수 있다. 게다가, 프로세서(230)는 프로비저닝 촉진자(225)의 임의의 컴포넌트에 통신가능하게 연결되고 이의 동작을 제어할 수 있다.

기업 서비스(135)는 특정 기업과 연관된 네트워크의 일부일 수 있는 임의의 컴포넌트 또는 서비스를 포함할 수 있다. 예를 들어, 네트워크는 네트워크(115)로부터 적절히 보호된 인트라넷 또는 임의의 다른 네트워크일 수 있다. 전술한 바와 같이, 디렉토리 서비스(250)는 기업 서비스(135)의 일부일 수 있다. 일 배열에서, 디렉토리 서비스(250)는 기업과 연관된 사람의 정보를 저장하고 조직하고 이에 액세스할 수 있다. 예를 들어, 이러한 사람은 하나 이상의 통신 디바이스(110)를 소지하거나 소유할 수 있는 기업의 종업원, 계약자, 자원자, 파트너 등일 수 있다. 더욱이, 이 정보의 비-제한적인 예로는 기업의 협력자(associate)와 관련된 이하 사항, 즉, 명칭, 물리적 주소, 전화 번호, 이메일 주소, 종업원 ID, 업무 역할 또는 기능, 업무 부서, 직접 리포트(들), 감독자(들), 패스워드 등 중 어느 것을 포함할 수 있다. 사실, 이 정보는 기업과 연관된 사람과 관련된 사실상 임의의 유형의 정보일 수 있고, 그 적어도 일부는 기업이 비허가된 사용으로부터 보호되는 것이나 기밀 문서로 고려되는 것일 수 있다. 디렉토리 서비스의 적절하지만 비-제한적인 예로는 LDAP(Lightweight Directory Access Protocol)가 있다.

일 배열에서, 디렉토리 서비스(250)의 일부인 기업의 협력자와 관련된 정보는 적어도 이 사용자의 통신 디바이스(110)가 인증될 때까지 관리 서비스(105)와 공유되지 않을 수 있다. 즉, 사용자의 통신 디바이스(110)를 인증하기 전에, 이 사용자와 연관된 정보는 관리 서비스(105)에 저장되는 것이 제한될 수 있다. 그러나, 이 정보는, 디바이스(110)를 인증하기 전에 그리고 인증한 후에 디렉토리 서비스(250)에 저장될 수 있다. 이 실시예에서, 관리 서비스(105)는 사용자의 디바이스(110)가 인증될 때까지 특정 사용자에 대한 정보를 저장하는데 이 서비스(105)가 요구되지 않는다는 점에서 "느린 발견(lazy discovery)" 공정을 수행할 수 있다. 이 스킴은 적어도 관련 통신 디바이스(110)가 인증될 때까지 관리 서비스(105)가 이러한 정보를 저장하거나 업데이트하는 부담을 감소시킨다.

동작하는 시스템(100)의 비-제한적인 예들이 이제 제시된다. 도 3을 참조하면, 통신 디바이스를 자동으로 프로비저닝하는 방법(300)이 도시된다. 본 방법(300)을 설명할 때, 도 1 및 도 2와 관련된 컴포넌트 및 설명을 참조한다. 그러나, 본 방법(300)은 다른 적절한 시스템 및 배열에서 사용될 수 있는 것으로 이해된다. 더욱이, 본 방법(300)은 발명을 제한하려고 의도된 것이 전혀 아니어서, 다른 관련된 공정이 도 3에 도시된 것에 비해 더 많거나 더 적은 개수의 단계를 포함할 수 있다.

단계(305)에서, 데이터 요소는 프로비저닝 촉진자에 제공될 수 있고, 이들 요소는 서로 매핑될 수 있다. 예를 들어, 프로비저닝 촉진자(225)는 데이터 요소를 구비하고 관리 서비스(105) 및 디렉토리 서비스(250)로부터 이들 요소를 배열할 수 있다. 이들 데이터 요소 및 이들 데이터 요소들이 배열되는 방법은 관리 서비스(105) 및 디렉토리 서비스(250)가 정보를 저장하는 유형 및 이 정보를 조직하는 방법을 나타낼 수 있다. 게다가, 프로비저닝 촉진자(225)는 관리 서비스(105)의 데이터 요소를 디렉토리 서비스(250)의 데이터 요소에 매핑시킬 수 있다. 따라서, 프로비저닝 촉진자(225)는 관리 서비스(105)와 디렉토리 서비스(250)에 의해 사용되는 데이터 구조들 사이에 대응관계를 생성할 수 있다. 게다가, 이 매핑 공정은 임의의 디렉토리 서비스(250)에 대해 및 다수의 기업 또는 단일 기업의 다수의 지사에 대해 수행될 수 있다.

이 공정의 일부로서, 기업은 관리 서비스(105)와 공유하는 정보의 유형을 제한할 수 있다. 예를 들어, 기업은 그 협력자의 특정 연락처 또는 퍼스널 정보를 관리 서비스(105)에 제공하기를 원치 않을 수 있다. 이러한 정보가 침해되지 않게 하기 위해, 디렉토리 서비스(250)는 이 매핑 공정에 제공된 데이터 요소의 유형을 제한할 수 있다. 그리하여, 기업은 관리 서비스(105)에 종국적으로 제공될 수 있는 정보의 양 및 유형을 제어할 수 있다. 이것은 관리 서비스(105)가 이러한 민감한 정보를 수용할 수 있는 경우에도 그러할 수 있다.

단계(310)에서, 식별 정보가 수신될 수 있고 사전-허가 요청이 통신 디바이스(또는 다른 허가된 컴포넌트)에서 생성될 수 있다. 이 사전-허가 요청이 관리 서비스에서 수신될 수 있고, 이 사전-허가 요청은 단계(315)에 도시된 바와 같이 프로비저닝 촉진자로 재지정될 수 있다. 예를 들어, 사용자는 자기의 통신 디바이스(110)가 관리 서비스(105)에 의하여 프로비저닝되고 관리되기를 원할 수 있다. 이 공정을 시작하기 위하여, 사용자는 이메일과 같은 메시지를 수신하거나 또는 허가된 웹 사이트를 방문할 수 있다. 어느 배열이든, 사용자는 관리 서비스(105) 또는 일부 다른 적절한 서비스로부터 초기 애플리케이션을 다운로드할 수 있다. 론칭된 때에, 애플리케이션은 사용자와 연관된 정보 또는 식별 정보를 요청할 수 있다.

사용자는 디바이스(110)의 사용자 요소(255)를 통해 또는 일부 다른 적절한 컴포넌트 또는 서비스를 통해 이 식별 정보를 제공할 수 있다. 일례로서, 이 식별 정보는 특정 크리덴셜(credential) 및 기업 식별자를 포함할 수 있다. "식별 정보" 라는 용어는 관리되는 통신 디바이스를 수립하기 위하여 사용자 및 사용자와 연관된 기업의 신원을 확인하는 것을 도와주는 정보로 정의된다. 크리덴셜의 비-제한적인 예로는 사용자 이름과 패스워드를 포함하고, 기업 식별자는 도메인 명칭, 예를 들어 기업의 도메인 명칭일 수 있다.

식별 정보가 제공되면, 통신 디바이스(110)의 프로세서(270)는 사전-허가 요청을 생성할 수 있고, 이 요청은 기업 식별자를 포함하는 식별 정보의 전부 또는 적어도 일부를 포함할 수 있다. 게다가, 암호화 엔진(265)은 사전-허가 요청을 암호화할 수 있고, 트랜시버(260)는 사전-허가 요청을 관리 서비스(105)에 전달할 수 있다. 통신 디바이스(110)로부터 사전-허가 요청을 수신하면, 관리 서버(105)의 암호화 엔진(220)은 요청을 복호화할 수 있고, 프로세서(205)는 기업 식별자를 결정할 수 있다. 프로세서(205)는 기업 식별자에 대응하는 프로비저닝 촉진자(225)를 위한 테이블(212)을 검색하여 통신 디바이스(110)가 지시되는 촉진자(225)를 결정할 수 있다. 이런 점에서, 관리 서비스(105)는 통신 디바이스(110)를 적절한 프로비저닝 촉진자(225)로 재지정할 수 있다. 즉, 통신 디바이스(110)가 지시되는 프로비저닝 촉진자(225)는 사전-허가 요청의 일부인 기업 식별자가 할당된 기업에 할당될 수 있다.

다시 한번 도 3을 참조하면, 단계(320) 및 단계(325)에서, 허가 요청은 프로비저닝 촉진자에서 수신되고 적절히 변환될 수 있다. 단계(330)에서, 허가 요청은 디렉토리 서비스에서 수신될 수 있고, 허가 승인은 디렉토리 서비스에 의해 제공될 수 있다. 허가 승인은 단계(335)에 도시된 바와 같이 프로비저닝 촉진자에 의해 적절히 변환될 수 있고, 단계(340)에서 허가 승인이 통신 디바이스에 의해 수신될 수 있다.

예를 들어, 통신 디바이스(110)가 재지정되면, 디바이스(110) - 관리 서비스(105)로부터 피드백에 기초하여 - 는 허가 요청을 관련 프로비저닝 촉진자(225)로 송신할 수 있다. 이 허가 요청은 더 암호화될 수 있다. 지금까지 설명된 통신 디바이스(110)와 관리 서비스(105) 사이의 상호작용을 고려하여, 식별 정보 - 및 그리하여, 사전-허가 요청 및 허가 요청 - 는 관리 서비스(105)에 의해 인식가능한 제1 형태일 수 있다. 즉, 관리 서비스(105)로부터 초기 다운로드를 고려하여, 요청된 식별 정보는 관리 서비스에 의해 사용되는 데이터 구조 및 시스템에 따라 배열될 수 있다. 그러나, 디렉토리 서비스(250)는 유사한 배열을 사용하지 않을 수 있다. 따라서, 디렉토리 서비스(250)로부터 정보에 액세스하기 위하여, 임의의 유형의 요청은 디렉토리 서비스(250)와 호환가능한 형태이어야 한다.

이 원리를 고려하여, 관련 프로비저닝 촉진자(225)가 통신 디바이스(110)로부터 허가 요청을 수신하고 복호화하면, 촉진자(225)의 변환기(235)는 허가 요청을 디렉토리 서비스(250)에 의해 인식가능한 제2 형태로 변환할 수 있다. "변환" 이라는 용어는 하나의 형태의 요청 또는 통신이 특정 서비스 또는 디바이스에 호환가능하게 이루어지고, 이 요청 또는 통신에 상당한 변화를 포함하거나 또는 이 요청 또는 통신에 거의 또는 전혀 변화를 포함하지 않는 공정으로 정의된다. 즉, 프로비저닝 촉진자(225)는 허가 요청에 상당한 변화를 수행하거나 또는 디렉토리 서비스(250)의 요구조건에 따라 이 요청에 거의 또는 전혀 변화를 수행하지 않을 수 있다.

이 변환의 일부로서, 프로비저닝 촉진자(225)는 전술한 스키마(schema) 매핑에 의존할 수 있다. 즉, 촉진자(225)는 허가 요청의 필드를 디렉토리 서비스(250)에 의해 인식가능한 구조로 변환할 수 있다. 스키마 매핑은 통신 디바이스(110) 및 관리 서버(200) 모두와 디렉토리 서비스(250) 사이에 추상 데이터 표현의 이익을 제공할 수 있다. 수용가능한 형태인 경우, 촉진자(225)는 허가 요청을 (보호 스킴(130)을 통해) 디렉토리 서비스(250)에 송신할 수 있다.

전술한 바와 같이, 디렉토리 서비스(250)는 기업의 하나 이상의 협력자와 관련된 정보를 포함할 수 있다. 그리하여, 디렉토리 서비스(250)는 (인식가능한 형태의) 허가 요청을 수신할 때, 이 서비스(250)는 이 요청을 인증할 수 있다. 이 인증의 일부로서, 서비스(250)는 디렉토리 서비스(250)에 의해 인식가능한 형태로 허가 승인을 프로비저닝 촉진자(225)에 제공할 수 있다. 허가 승인은 디렉토리 서비스(250)에 의해 인식가능한 제2 형태의 식별 정보를 포함할 수 있다. 게다가, 서비스(250)는 추가적인 필드를 오리지널 식별 정보에 추가할 수 있다. 예를 들어, 서비스(250)는 승인 필드, 기능적인 지시자 필드 및 하나 이상의 동작 필드를 추가할 수 있다.

이 승인 필드는 허가 요청이 승인된 것을 나타내는 지시일 수 있는 반면, 기능적인 지시자 필드는 통신 디바이스(110)를 프로비저닝하는 것을 시도하는 기업의 협력자의 기능이나 역할에 대한 지시를 제공할 수 있다. 이 필드는, 차후에 설명되는 바와 같이, 적절한 패키지가 프로비저닝을 위해 디바이스(110)에 다운로드된 것을 보장하는데 사용할 수 있다. 동작 필드는, 통신 디바이스(110)에 의해 처리된 때에, 통신 디바이스(110)가 사용자에 일부 동작을 수행하게 요청하거나 또는 통신 디바이스(110)는 자기 자신의 의사에 따라 특정 동작을 취할 수 있다. 예를 들어, 동작 필드는 디바이스(110)의 프로비저닝이 완결되기 전에 통신 디바이스(110)가 사용자에 자기의 패스워드를 변경할 것을 요구할 수 있다. 물론, 허가 승인은 본 명세서에 언급된 예로 제한되지 않는 다른 적절한 유형의 지시자 또는 필드로 수정될 수 있다.

프로비저닝 촉진자(225)가 디렉토리 서비스(250)로부터 허가 승인을 수신하면, 촉진자(225)의 변환기(235)는 이 승인을 관리 서비스(105) 및 통신 디바이스(110)에 의해 인식가능한 형태로 변환할 수 있다. 즉, 필요한 경우, 촉진자(225)는 전술한 스키마 매핑을 적용하여 디바이스(110) 및 관리 서비스(105)에 적절한 형태로 허가 승인을 할 수 있다. 변환되면, 촉진자(225)의 암호화 엔진(245)은 허가 승인을 암호화하고 이 허가 승인을 통신 디바이스(110)에 전달할 수 있고, 이 통신 디바이스는 네트워크(115)를 통해 이 승인을 수신할 수 있다.

상기 설명은 사용자가 인증될 수 있는 것을 가정한다. 그러나, 일부 경우에, 사용자는 인증되지 못할 수 있다. 예를 들어, 사용자는 부정확한 정보를 제공할 수 있고 또는 기업은 사용자가 관리되는 통신 디바이스(110)를 구비하지 않는 것으로 결정할 수 있다. 그렇다면, 허가 요청이 인증되지 않은 것을 나타내는 지시자가 허가 승인에 태그될 수 있다. 이 메시지를 수신하면, 통신 디바이스(110)는 디바이스(110)가 프로비저닝될 수 없는 것을 사용자에 알릴 수 있다.

다시 한번 도 3을 참조하면, 허가 승인은 관리 서비스로 전달될 수 있고, 통신 디바이스는 단계(345) 및 단계(350)에 도시된 바와 같이 관리되는 디바이스로서 수립될 수 있다. 추가적으로, 번들은 단계(355)에 도시된 바와 같이 관리되는 통신 디바이스로 전달될 수 있다.

예를 들어, 통신 디바이스(110)는 관리 서비스(105)에 의해 인식가능한 형태일 수 있는 허가 승인을 수신하고 복호화할 수 있다. 이 승인에 임의의 동작 필드가 있는 경우, 통신 디바이스(110)는 적절한 동작을 취할 수 있다(예를 들어, 사용자에 초기 패스워드를 변화시킬 것을 요구할 수 있다). 통신 디바이스(110)는 허가 승인을 암호화하고 이를 관리 서비스(105)에 전달할 수 있다. 관리 서비스(105)는 이 승인을 복호화하고 내부에 포함된 정보를 사용하여 디바이스(110)를 관리되는 통신 디바이스(110)로서 수립할 수 있다. 예를 들어, 관리 서버(200)는 이 식별 정보에 더하여 디렉토리 서비스(250)에 의해 제공된 임의의 추가적인 데이터를 처리하여 디바이스(110)를 관리 시스템에 병합하고 관리 서비스(105)를 처리하여 디바이스(110)를 관리할 수 있다.

이 공정의 일부로서, 관리 서버(200)의 프로세서(205)는, 전술한 바와 같이, 통신 디바이스(110)의 사용자의 기능과 관련될 수 있는 기능적인 지시자를 결정할 수 있다. 일례로서, 이 기능은 직책, 설명 또는 상태와 같은 기업에 대한 사용자의 역할일 수 있다. 특정 예로서, 사용자는 기업에 대한 판매팀의 멤버일 수 있고, 이 상태는 기능적인 지시자에 반영될 수 있다. 기능적인 지시자의 결정에 응답하여, 프로세서(205)는 저장 유닛(210)으로부터 컨텐츠를 획득하고 기능적인 지시자에 기초하여 번들을 생성할 수 있다. 암호화 엔진(220)은 번들을 암호화할 수 있고, 관리 서버(200)는 번들을 인증된 통신 디바이스(110)에 전달할 수 있다.

일 배열에서, 통신 디바이스(110)는 디바이스(110) 그 자체의 신원을 수립하는 정보를 제공할 수 있고, 이 정보는 허가 승인과 함께 관리 서비스(105)에 전달될 수 있다. 예를 들어, 디바이스(110)는 그 국제 모바일 장비 신원 (International Mobile Equipment Identiy: IMEI) 또는 그 MAC(Media Access Control) 주소를 제공할 수 있다. 이 정보를 통해 관리 서비스(110)는 디바이스(110)에 전달되는 번들에 적절한 컨텐츠를 결정할 수 있다. 디바이스(110)에 대한 이 정보는 전술한 정보를 보충하거나 또는 이 정보의 적어도 일부를 대신할 수 있다. 예를 들어, 번들은 통신 디바이스(110)의 신원 정보에 기초하여 간단히 생성될 수 있다.

디바이스(110)가 번들을 수신하면, 암호화 엔진(265)은 번들을 복호화할 수 있고, 프로세서(270)는 번들을 구현하는데 필요한 단계를 취할 수 있다. 예를 들어, 기업에서 사용자의 기능 또는 역할과 관련된 특정 애플리케이션이 설치될 수 있고, 하나 이상의 정책이 적용될 수 있다. 정책의 예로는 기업 데이터 또는 애플리케이션을 수반하는 모든 통신이 보안 연결을 통해 수행되어야 하는 요구조건일 수 있다. 번들을 디바이스에 포함하는 것이 이 디바이스의 동작과 제어를 변경시킬 수 있는 방법의 다른 예들은 본 명세서에 참조 문헌으로 병합된 전술한 출원 문헌에 제시되어 있다.

이 프로비저닝 공정의 일부로서, 통신 디바이스(110)는 보안 프로파일 또는 작업공간을 지원하거나 또는 적어도 보안 애플리케이션을 지원하도록 구성될 수 있다. 예를 들어, 퍼스널 컨텐츠 및 설정을 포함하는 퍼스널 프로파일 및 보안 컨텐츠 및 설정을 지원하는 보안 프로파일이 디바이스(110)에 수립될 수 있다. 더 특정한 예로서, 퍼스널 프로파일은 종래의 방식으로 비보안으로 동작하는 애플리케이션을 포함할 수 있는 반면, 보안 프로파일은 다른 애플리케이션과 상호 작용을 제한하도록 보안된 애플리케이션을 지원하여 크리덴셜이 액세스될 것을 요구할 수 있다. 이 배열에서, 사용자는 퍼스널 프로파일과 보안 프로파일 사이를 이동할 수 있고, 보안 프로파일은 기업과 연관된 동작에 사용된다. 다른 배열에서, 단일 프로파일은 디바이스(110)에 유지될 수 있으나, 보안된 애플리케이션은 번들의 일부로 설치될 수 있다. 다시, 이들 보안 애플리케이션은 적절한 채널을 통해서만 및 적절한 크리덴셜을 입력하는 것에 의해서만 상호작용을 제한하도록 구성될 수 있다.

다시 한번 도 3을 참조하면, 프로비저닝 공정의 일부일 수 있는 추가적인 단계들이 이제 제시된다. 단계(360)에서, 통신 디바이스의 하나 이상의 동작 능력이 결정될 수 있고, 특징 리포트가 단계(365)에 도시된 바와 같이 통신 디바이스에 의해 생성되고 관리 서비스에 의해 수신될 수 있다.

예를 들어, 통신 디바이스(110)가 디렉토리 서비스(250)에 의해 인증된 때에, 디바이스(110)는 그 동작 능력을 결정하고 이들 능력을 포함하는 특징 리포트를 생성할 수 있다. 특정 예로서, 디바이스(110)는 높은 해상도를 갖는 카메라를 구비할 수 있고 영상 통화를 수행할 수 있다. 다른 비제한적인 예로서, 통신 디바이스(110)는 높은-대역폭 신호를 수신하고 처리할 수 있다. 이들 특징은 특정 소프트웨어 패키지를 구비한 통신 디바이스(110)를 프로비저닝하는 단계에서 사용할 수 있다. 그리하여, 특징 리포트는 통신 디바이스(110)로부터 관리 서비스(105)로 송신된 허가 승인의 일부이거나 또는 이 특징 리포트는 별개로 송신될 수 있다.

관리 서비스(105)가 특징 리포트를 수신하면, 이 서비스(105)는 이 정보를 사용하여 번들을 통신 디바이스(110)의 능력에 맞출 수 있다. 예를 들어, 디바이스(110)가 화상 회의를 지원하면, 번들은 그 사용을 관리하는 특징과 정책을 제공하는 애플리케이션을 포함하도록 구성될 수 있다.

번들이 전달되면, 통신 디바이스(110)는 프로비저닝된 것으로 고려될 수 있다. 이런 점에서, 디바이스(110)는 관리될 수 있고 특정 설정이 디바이스(110)에 영향을 미칠 수 있다. 따라서, 일반적으로 기업과 연관된 디바이스(110)의 사용자는 적절한 보안 절차 및 정책에 따라 기업과 관련된 민감한 데이터에 액세스할 수 있다. 이 프로비저닝 공정은 다수의 통신 디바이스(110)에 대해 및 이 디바이스(110)의 다수의 기업 및 사용자에 대해 수행될 수 있다. "프로비저닝된 통신 디바이스" 라는 용어는, 디바이스가 인증되어 관리될 수 있고 당사자에 의해 수립된 가이드라인에 따라 사용자가 제어 레벨에서 디바이스를 동작시킬 수 있는 자료를 구비한 상태의 통신 디바이스로 정의된다.

여러 실시예들이 위에서 설명되었지만, 이들 실시예는 단지 예시를 위해 비제한적인 것으로 제시된 것으로 이해되어야 한다. 이 기술 분야에 통상의 지식을 가진 자라면 첨부된 특허청구범위에 한정된 본 발명의 사상과 범위를 벗어남이 없이 그 형태 및 상세에 있어 여러 변경이 이루어질 수 있다는 것을 이해할 수 있을 것이다. 따라서, 본 발명의 범위는 전술한 예시적인 실시예 중 어느 것으로 제한되는 것이 아니라, 이하의 특허청구범위와 그 균등범위에 의해서만 제한되어야 한다.

Claims

통신 디바이스를 자동으로 프로비저닝(provisioning)하는 방법으로서,
통신 디바이스로부터 사전-허가 요청(pre-authorization request)을 수신하는 단계;
상기 사전-허가 요청에 기초하여 제1 형태의 허가 요청을 수신하는 단계;
상기 허가 요청을 디렉토리 서비스에 의해 인식가능한 제2 형태로 변환하는 단계;
상기 디렉토리 서비스로부터 허가 승인을 획득하는 단계로서, 상기 허가 승인은 상기 통신 디바이스의 동작과 연관된 기능에 대응하는 기능적인 지시자를 포함하는 것인, 상기 획득하는 단계;
상기 허가 승인에 기초하여, 상기 통신 디바이스를 관리되는 통신 디바이스로서 수립하는 단계; 및
상기 기능적인 지시자에 기초하여 상기 관리되는 통신 디바이스에 번들(bundle)을 전달하는 단계를 포함하는 방법.
제1항에 있어서, 상기 사전-허가 요청은 기업 식별자를 포함하는 것인 방법.
제2항에 있어서, 상기 기업 식별자에 기초하여 상기 사전-허가 요청을 프로비저닝 촉진자(provisioning facilitator)로 재지정(redirect)하는 단계를 더 포함하되, 상기 프로비저닝 촉진자는 상기 기업 식별자가 할당된 기업에 할당된 것인 방법.
제1항에 있어서, 관리 서비스와 연관된 데이터 요소를 상기 디렉토리 서비스의 데이터 요소와 매핑하여 상기 허가 요청을 상기 제1 형태로부터 상기 디렉토리 서비스에 의해 인식가능한 상기 제2 형태로 변환될 수 있게 하는 단계를 더 포함하는 방법.
제1항에 있어서,
상기 허가 승인을 상기 제1 형태로 변환하는 단계; 및
상기 허가 승인을 상기 통신 디바이스에 전송하는 단계를 더 포함하는 방법.
제1항에 있어서,
상기 사전-허가 요청이 상기 통신 디바이스로부터 수신된 때에 상기 사전-허가 요청을 복호화하는 단계;
상기 허가 요청이 수신된 때에 상기 허가 요청을 복호화하는 단계; 및
상기 허가 승인이 상기 디렉토리 서비스로부터 획득된 때에 상기 허가 승인을 암호화하는 단계를 더 포함하는 방법.
제1항에 있어서, 상기 디렉토리 서비스는 기업의 보호된 환경의 일부이고, 상기 방법은 상기 디렉토리 서비스로부터 상기 기능적인 지시자를 수신하는 단계를 더 포함하는 것인 방법.
제1항에 있어서, 상기 통신 디바이스로부터 특징 리포트를 수신하는 단계를 더 포함하되, 상기 특징 리포트는 상기 통신 디바이스의 동작 능력을 포함하는 것인 방법.
통신 디바이스를 자동으로 프로비저닝하는 방법으로서,
사전-허가 요청을 형성하는데 사용된 식별 정보를 수신하는 단계;
상기 사전-허가 요청을 관리 서비스에 송신하는 단계;
상기 관리 서비스로부터 피드백에 기초하여, 허가 요청을 프로비저닝 촉진자로 송신하는 단계로서, 상기 허가 요청은 상기 관리 서비스에 의해 인식가능한 형태인 것인, 상기 송신하는 단계;
상기 허가 요청을 디렉토리 서비스에 의해 인식가능한 형태로 수신하는 단계;
상기 허가 요청에 응답하여, 상기 디렉토리 서비스에 의해 인식가능한 형태로 허가 승인을 선택적으로 제공하는 단계;
상기 허가 승인을 상기 관리 서비스에 의해 인식가능한 형태로 수신하는 단계; 및
상기 허가 승인에 기초하여, 상기 디렉토리 서비스와 연관된 사용자의 기능을 고려하여 선택된 번들을 상기 통신 디바이스에서 수신하는 단계를 포함하는 방법.
제9항에 있어서, 상기 식별 정보는 기업 식별자를 포함하고, 상기 기업 식별자는 상기 허가 요청을 수신하는 상기 프로비저닝 촉진자와 연관된 것인 방법.
제9항에 있어서,
상기 관리 서비스에 전송하기 위해 상기 사전-허가 요청을 암호화하는 단계; 및
상기 허가 승인이 수신된 때에 상기 허가 승인을 복호화하는 단계를 더 포함하는 방법.
제9항에 있어서, 상기 허가 승인은 기능적인 지시자를 포함하고, 상기 기능적인 지시자는 상기 통신 디바이스가 수신하는 상기 번들을 결정하는 것인 방법.
제9항에 있어서,
상기 통신 디바이스를 인증하기 전에, 사용자 정보가 상기 관리 서비스에 저장되는 것을 제한하는 단계; 및
상기 통신 디바이스를 인증하기 전에 그리고 인증한 후에 상기 디렉토리 서비스에 상기 사용자 정보를 저장하는 단계를 더 포함하는 방법.
제9항에 있어서, 상기 디렉토리 서비스의 데이터 요소를 선택적으로 제공하여 상기 프로비저닝 촉진자가 상기 디렉토리 서비스의 데이터 요소를 상기 관리 서비스의 데이터 요소에 매핑할 수 있게 하는 단계를 더 포함하는 방법.
제9항에 있어서,
상기 통신 디바이스의 하나 이상의 동작 능력을 결정하는 단계; 및
상기 동작 능력을 상기 관리 서비스에 특징 리포트의 일부로서 송신하는 단계를 더 포함하되,
상기 특징 리포트는 상기 통신 디바이스의 프로비저닝에 영향을 미치는 것인 방법.
통신 디바이스를 자동으로 프로비저닝하는 방법으로서,
식별 정보를 수신하는 단계;
상기 식별 정보에 기초하여 사전-허가 요청을 생성하는 단계;
상기 사전-허가 요청을 관리 서비스에 송신하는 단계;
상기 관리 서비스로부터 피드백에 기초하여, 기업의 보호된 환경에서 디렉토리 서비스에 통신가능하게 연결된 프로비저닝 촉진자에 허가 요청을 송신하는 단계;
상기 프로비저닝 촉진자로부터 허가 승인을 수신하는 단계;
상기 허가 승인을 상기 관리 서비스에 송신하는 단계; 및
상기 관리 서비스로부터 번들을 수신하는 단계를 포함하되,
상기 번들은 상기 기업과 연관된 사용자의 기능에 기초하는 것인 방법.
통신 디바이스를 자동으로 프로비저닝하는 시스템으로서,
통신 디바이스로부터 사전-허가 요청을 수신하도록 구성된 관리 서버; 및
기업의 디렉토리 서비스와 통신하도록 구성된 프로비저닝 촉진자를 포함하되;
상기 관리 서버는 상기 사전-허가 요청에 기초하여 상기 통신 디바이스를 상기 프로비저닝 촉진자로 재지정하도록 더 구성되고;
상기 프로비저닝 촉진자는 상기 관리 서버에 의해 인식가능한 형태의 허가 요청을 상기 통신 디바이스로부터 수신하고 상기 허가 요청을 상기 디렉토리 서비스에 의해 인식가능한 형태로 변환하도록 더 구성되며;
상기 프로비저닝 촉진자는 상기 디렉토리 서비스로부터 허가 승인을 수신하도록 더 구성되고, 이 허가 승인에 기초하여, 상기 관리 서버는 상기 통신 디바이스에 번들을 전달하여 상기 통신 디바이스를 관리되는 통신 디바이스로 변환하도록 더 구성된 것인 시스템.
제17항에 있어서, 상기 관리 서버는 상기 통신 디바이스의 사용자의 기능에 기초하여 상기 통신 디바이스에 상기 번들을 전달하도록 더 구성된 것인 시스템.
제17항에 있어서, 상기 관리 서버는 하나 이상의 프로비저닝 촉진자의 신원을 저장하는 테이블을 포함하는 것인 시스템.
제19항에 있어서, 상기 사전-허가 요청은 기업 식별자를 포함하고, 상기 관리 서버는 프로세서를 더 포함하되, 상기 프로세서는 상기 기업 식별자에 대응하는 프로비저닝 촉진자를 위한 테이블을 검색하여 상기 통신 디바이스로부터 상기 허가 요청을 수신하는 프로비저닝 촉진자를 결정하는 것인 시스템.
제17항에 있어서, 상기 관리 서버는 상기 통신 디바이스로부터 상기 사전-허가 요청을 복호화하고 상기 통신 디바이스에 전달되는 상기 번들을 암호화하도록 구성된 암호화 엔진을 포함하는 것인 시스템.
제17항에 있어서, 상기 관리 서버는 상기 통신 디바이스에 전달될 번들을 저장하도록 구성된 하나 이상의 저장 유닛을 포함하는 것인 시스템.
제17항에 있어서, 상기 프로비저닝 촉진자는 상기 관리 서버와 연관된 데이터 요소를 상기 디렉토리 서비스와 연관된 데이터 요소에 매핑하도록 더 구성된 것인 시스템.
제17항에 있어서, 상기 디렉토리 서비스는 상기 기업의 보호된 환경 내에 있고, 상기 프로비저닝 촉진자는 상기 기업의 상기 보호된 환경의 외부에 있는 것인 시스템.
제17항에 있어서, 상기 관리 서버는 상기 통신 디바이스로부터 특징 리포트를 수신하고 처리하도록 더 구성되되, 상기 특징 리포트는 상기 통신 디바이스의 동작 능력을 포함하는 것인 시스템.
통신 디바이스로서,
기업에 할당된 사용자와 연관된 식별 정보를 수신하도록 구성된 사용자 인터페이스 요소;
통신 신호를 송수신하도록 구성된 트랜시버; 및
상기 사용자 인터페이스 요소와 상기 트랜시버에 통신가능하게 연결된 프로세서를 포함하되,
상기 프로세서는,
상기 식별 정보에 기초하여 사전-허가 요청을 생성하는 동작;
상기 트랜시버가 상기 사전-허가 요청을 관리 서비스에 송신하는 동작;
상기 관리 서비스로부터 피드백에 기초하여, 상기 트랜시버가 상기 기업의 디렉토리 서비스에 통신가능하게 연결된 프로비저닝 촉진자에 허가 요청을 송신하는 동작;
상기 프로비저닝 촉진자로부터 허가 승인을 수신하는 동작;
상기 트랜시버가 상기 허가 승인을 상기 관리 서비스에 송신하는 동작; 및
상기 관리 서비스로부터 번들을 수신하고 처리하는 동작을 수행하도록 구성되고,
상기 번들은 상기 기업에 할당된 사용자의 기능에 기초하는 것인 통신 디바이스.
제26항에 있어서, 상기 식별 정보는 상기 기업에 대한 식별자를 포함하는 것인 통신 디바이스.
제27항에 있어서, 상기 기업에 대한 식별자는 도메인 명칭인 것인 통신 디바이스.
제26항에 있어서, 암호화 엔진을 더 포함하되, 상기 암호화 엔진은 상기 관리 서비스에 전송하기 전에 상기 사전-허가 요청 및 상기 허가 승인을 암호화고 상기 프로비저닝 촉진자로부터 상기 허가 승인을 복호화하도록 구성된 것인 통신 디바이스.
제26항에 있어서, 상기 프로세서는 상기 관리 서비스에 전송하기 위한 특징 리포트를 생성하도록 더 구성되되, 상기 특징 리포트는 상기 통신 디바이스의 동작 능력을 포함하는 것인 통신 디바이스.