SE521144C2 - Anordning och förfarande som sammankopplar Internet med ett eller flera intranät och/eller extranät - Google Patents

Description

25 30 521 144 Detta måste göras på ett strukturerat och säkert sätt. Det måste säkerställas att exempelvis företaget uppträder som ett globalt företag, att extranät-system byggs på gemensam plattform och således är kompatibla och att insatser kordineras och görs mätbara. Sist men inte minst måste det äga rum på ett säkert sätt.

Vad som behövs är därför en sammankopplingsanordning eller en anordning son1 bildar en gemensann plattform, speciellt ur IS/IT perspektivs-, (Information Systems/Information Technology) synvinkel. Ett förfarande för att tillhandahålla för sammankoppling av interna och externa system behövs också såsom ett tredjeparts-styrt datakommunikationssystem och intranät/- extranät.

Internet, intranät och extranät nämns ovan. De delar på samma teknologi, samma infrastruktur. Av det skälet kan de grupperas och kallas infranät. Vad som beskrivs i denna ansökan gäller för infranät. Den sammankopplande plattformen som görs anspråk på häri är lika användbar för intranät som någon annanstans. Men eftersom den utvecklades explicit för extranät, fokuseras tillämpningen därpå. Den är emellertid inte begränsad därtill En analogi kan användas för att beskriva den "ihop limmande" sammankopplinsanordningen som anges i föreliggande uppfinning. När en partner (användare) besöker ett företag, går hon/han till receptionen, introducerar sig själv och informerar receptionisten om vem som han har stämt möte med. Receptionisten ringer upp den personen för att kontrollera/informera om att en partner väntar.

Medan den anställde i företaget går till receptionen för att välkomna och eskortera partnern, brukar receptionisten ge ut en besöksetikett "Visitor Tag” för partnern som. skall bäras under 10 15 20 25 30 521 144 vistelsen på företaget. När besöket är över, skall partnern returnera etiketten och lämna företaget.

Det är möjligt att standardisera det sätt på vilket ett företag välkomnar, registrerar och eskorterar samarbetspartnern inuti företaget. Eftersom. kommunikationen skyddas av kryptering, görs detta med en hög grad av säkerhet och integritet emot det "öppna och farliga" Internet.

En anordning och ett förfarande behövs också som hanterar säkerhet på ett adekvat sätt. Dessutom behövs en anordning och ett förfarande som tillhandahåller för sammankoppling under agerande som en serviceskärm. Detta kan jämföras med en "receptionist". En sådan förväntas exempelvis inte att vara anordnad av något annat skäl än att tillhandahålla god och lämplig service.

Därför anges en anordning respektive ett förfarande som har de kännetecknande egenskaperna enligt de oberoende patentkraven.

Fördelaktiga och föredragna utföringsexempel anges av de vidhängande underkraven.

KORTFATTAD FIGURBESKRIVNING Uppfinningen kommer nu följande att ytterligare beskrivas på ett icke begränsande sätt under hänvisning till bifogade figurer i vilka: FIG 1 är en schematisk översikt som 'visar den sammankopplande anordningen, FIG 2 är en schematisk illustration av systemarkitekturen för den sammankopplande anordningen, och FIG 3 är en mera detaljerad illustration av systemarkitekturen. 10 15 20 25 30 521 144 DETALJERAD BESKRIVNING AV UPPFINNINGEN Refererande till Fig. skäl. I Fig. l 1 används ovannämnda analogi av beskrivande besöker partnern (användaren) företaget via Internet 1 genom en web browser. Sammankopplingsanordningen 3 GLUE (Generic Logon User Environment), som är limmet mellan Internet och intranät (2) kan sägas representera receptionen och de olika extranäten bakom GLUE 3 är anställda i företaget. Genom att eskortera den besökande partnern genom portalen GLUE 3, skapas en ingång som är lätt att hitta och använda. Med ett användarnamn och lösenord får partnern access till alla extranät-system enligt sin personliga profil - den (GLUE) sammankopplande anordningen 3 hanterar partners på en individuell basis. Därutöver får portalen företaget att se ut som just det sammanhängande globala företaget som det är.

Fig. 2 visar mera i detalj arkitekturen för den sammankopplande anordningen 3, eller mera speciellt generiska påloggnings- användarmiljön. Två huvudkomponenter illustreras explicit, nämligen Reverse Proxy Server (RPS) 4 och Generic (användarmiljö) Logon Server (GLS) (generisk påloggningsserver) 5. En ytterligare komponent som är av betydelse för fungerandet, ett generiskt påloggnings-användarregister visas inte i denna figur. De tre maskinerna PN system 1, 9, PN system 2, 7 och PN system 3, 8, kan sägas representera en extranätsystem-"del". Deras fungerande kommer nu att beskrivas mera i detalj.

Till sagda system inkommer partnersystemsbegäranden, vis använder COM/DCOM ifrån GLS 5 (dvs. som exempel- ingen broadcast ifrån GLS 5). En Reverse Proxy Server (omvänd proxy server) (RPS) 4 är sammankopplingsanordningens eller den generiska påloggnings- användaromgivningens "framsida". Detta är den funktion som skapar den aktuella bron mellan Internet och företagets egna extranät- 10 l5 20 25 30 521 14-4 system. Partnern (användaren) kommunicerar med RPS 4 och RPS 4 kommunicerar med extranätsystemen. På samma gång som RPS 4 är "osynlig" i web-browsern, kommer partnern (användaren) aldrig att komma längre än till den. "eskort" söker RPS 4 Under av partnern till det begärda extranätsystemet, efter identifikationsmedgivandemedel, speciellt besöksetiketter. Den partner som begär ett extranätsystem måste "bära" en etikett. Om etiketten saknas (dvs. partnern har inte loggat på), omdirigeras begäran till GLS 4.

RPS 4 är upptagen med att agera som en "bro". När således det begärs av en partner att den skall logga på, hanteras detta av en GLS 5. skall meningen förstås ur sammanhanget och, det behöver givetvis inte separat funktion, När man refererar till en partner, vara en "partner" i konventionell mening. Om RPS 4 beskrivs som framsidan, är GLS 5 mellandelen. Utöver att vara en web server, är den hållare av två sammankopplingsanordnings 3 objekt DCOM objekten logon och admin.

COM/DCOM är en Microsoft standard för inkapslingskod. Detta betyder att praktiskt taget vilket programmeringsspråk som helst kan slås in i "COM/DCOM" och därigenonl få ett standardiserat gränssnitt. Givetvis kan också andra standarder, gränssnitt och objekt användas.

För att använda en analogi, hänvisas till en telefonkonversation som äger rum mellan en japan och en amerikan. När japanen pratar japanska kommer detta ut som engelska på andra sidan och vice versa. Mellan dem finns två "COM objekt" som är kapabla att slå in japanska respektive engelska. Därpå kan objekten själva H . . H . " . standardiserat sprakflranssnitt . Det finns 10 15 20 25 30 521 144 också andra tillämpliga objektteknologier, exempelvis Enterprise JavaBeans.

GLS 5 använder dessa objekt för att kommunicera med register server, GUD 6, som skall beskrivas nedan. Liksom i analogin ovan, översätter objekten web-servrarnas språk till det språk GUD 6 använder - här LDAP.

GUD 6 är 2 ovan. GUD 6 är "baksidan" av och de kommunicera med den är de två COM/DCOM objekten som beskrivits "osynlig" liksom i Fig. sammankopplingsanordningen enda komponenterna som kan OVâfl (i denna speciella implementering). Skälet till detta är att GUD 6 innehåller alla användare, deras lösenord och profiler. Med andra skydd direkt med GUD 6. ord behöver GUD 6 skyddas bakom ett mycket väldefinierat av gränssnittslagar. Ingen talar med eller kommunicerar GUD 6 är en objektorienterad databas som är designad för ett stort antal användare (ungefärligen 10 miljoner i ett speciellt utföringsexempel) och deras attribut. GUD 6 kan lätt hantera fyra dimensioner - användare, roll, extranätsystem och organisations- enhet. Detta är, om inte omöjligt, mycket svårt att göra på i en "traditionell" relationsdatabas. GUD 6 LDAP som är ett standardiserat använder här (Lightweight Directory Access Protocol), Internet protokoll. Detta protokoll härleds ifrån X.5OO standarden och är snabba och effektiva Också designat att göra användar- uppslagningar i en registerserver. andra protokoll kan användas.

I Fig. 3 illustreras systemarkitekturen för en den sammankopplande anordningen 3, som i det följande kommer att refereras till såsom GLUE (Generic Logon User Environment) av enkelhetsskäl. De huvudsakliga systemkomponenterna, där omvänd proxy server 4, 10 15 20 25 30 521 144 påloggningsserver 5 och registret 6 och deras samarbetsförhållande kommer att beskrivas genom illustration av ett exempel i vilket en begäran kommer in från en "partners" web browser. (10) I ett första steg antas således att en HTTP/HTTPS begäran kommer ifrån partnerns web browser. HTTP (Hyper Text Transfer Internet för att switchar RPS 4 (S i HTTPS står för Säker, Protocol) är det protokoll som används på transportera websidor. Om requesten är HTTP, automatiskt kommunikationen till HTTPS vilket betyder att kommunikationen är krypterad).

Sammankopplingsanordningen GLUE 3 medger bara HTTPS kommunikation, eller mera generellt krypterad kommunikation. (20) söker RPS 4 efter språk, I ett följande steg "Visitor Tag" eller på ett mera tekniskt Om cookien (30a) en cookie, i detta speciella utföringsexempel. är på plats, "eskorterar" till det eller omdirigerar RPS 4 begäran emellertid cookien (30b) till GLS 5 och Identiteten kontrolleras i GUD begärda extranätsystemet. Om (etiketten) saknas, omdirigeras partnern ombedes registrera sig (logga på). 6 speciellt genom COM/DCOM objekten. Därpå undersöks om partnern är giltig eller tillåtlig. (40) Därpå får han sin cookie/etikett och omdirigeras till det extranätsystem som, han inledningsvis begärde. Om. han inte är giltig, kommer han inte att få någon etikett och kommer aldrig att omdirigeras till något extranätsystem. Slutligen hamnar partnern i_ något av företagets extranätsystem, där företaget (eller liknande) will att han skall vara (50).

DCOM står för Distributed COM. Detta betyder i GLUE exemplet med web servrar att ett extranätsystem kan göra instanser av GLUE DCOM objekten ifrån GLS och köra dem som om de vore lokalt lokaliserade i extranätsystemet. Detta är i själva verket vad som händer när partnern kommer t ill extranätsystemet. Vid denna puñkt bär partnern endast en ”klar” etikett, extranätsystemet vet inte 10 15 20 25 30 521 144 vl... någonting om partnern själv. Så istället för att GLUE 3 via broadcast informerar alla extranätsystemen om partnern eller partners (vilket skapar en massa nättrafik), använder extranätsystemet samma COM/DCOM objekt som GLS 5 och ställer ytterligare frågor om användaren som är relevanta för det extranätsystemet. Med andra ord, är extranätsystemet ansvarigt för vem och på vilka vilkor någon släpps in. "Klardelen" som hanteras av GLUE 3, är bara en kontroll att partnern är registrerad i GUD 6 och inkluderar inte någon kontroll av personlig profil.

Sammankopplingsanordningen 3 stödjer företrädevis distribuerad administration. Detta betyder att, uppifrån och ner, är ett antal administrationsnivå definierade (per extranätsystem). Extranät- systemet använder adminstrations-DCOM-objekt för att nædge dess olika nivåer med administratörer att administrera det berörda extranätsystemets gren eller nod i sammankopplingsanordningen 3.

Det distribuerade adminstrations~konceptet medger slutanvändare (individer) att "äga" sina konton. De kan ändra information om sig själva (inom givna gränser) inkluderande sitt lösenord.

Uppfinningen är inte begränsad till de illustrerade utförings- exemplen, användarprotokoll, standarder osv. Den är dessutom inte begränsad till "företag", "partners" osv. utan detta skall tolkas i en vidare mening, vilket betyder vilken grupp som helst som har ett intranät, extranät, andra grupper eller individer som vill ha någon fornl av' access osv. Dessutonl är den inte begränsad till Internet utan mer generellt till ett globalt datakommunikations- system eller till ett tredjeparts-styrt datakommunikationssystem.

Claims (21)

5 lO 15 20 25 30 521 144 = - - . - - ø ff PATENTKRAV

1. En sammankopplingsanordning för att möjliggöra för en användare av ett tredjepartsstyrt datakommunikationssystem att accessa ett antal extranät/intranät, k ä n n e t e c k n a d d ä r a v att den innefattar sammankopplingsservermedel (RPS;4) som bildar en brygga mellan det tredjepartsstyrda datakommunikationssystemet så att användaren av och extranät (intranät)-systemet/systemen, det tredjepartsstyrda datakommunikationsnätet kommunicerar med sammankopplingsservermedlen (RPS;4) och att sagda sammankopplings- (RPS;4) servermedel kommunicerar* med sagda extranät (GLS;5) (intranät)- system, pàloggningsservermedel som hanterar pàloggning till ett antal extranät (intranät)-system och som kommunicerar med en skyddad sammankopplings-användarregisterserver (GUD;6) som håller användarinformation, varvid vid användning av sagda information medges/nekas en användare access till ett antal extranät (intranät) och att för extranät/intranät systemspecifik autenticering använder det specifika extranätet/intranätet samma objekt som påloggningsservermedlen (GLS;5)-

2. En anordning enligt patentkrav 1, k ä n n e t e c k n a d d ä r a v att det tredjepartsstyrda datakommunikationsnätet är ett globalt datakommunikationsnät.

3. En anordning enligt patentkrav 2, k ä n n e t e c k n a d d ä r a v att det globala datakommunikationsnätet är Internet.

4. En anordning enligt något av föregående patentkrav, 10 15 20 25 30 521 144 /0 k ä n n e t e c k n a d d ä r a v att bara ett användarnamn och lösenord behövs för att tillhandahålla access för en användare (partnersystem) till ett antal extranät-, och/eller intranätsystem.

5. En anordning åtminstone enligt patentkrav 3, k ä n n e t e c k n a d d ä r a v att en web browser används för att Hbjliggöra access till ett antal extranät/intranät via sammankopplingsanordningen_

6. En anordning enligt något av föregående patentkrav, k ä n n e t e c k n a d d ä r a v att påloggningsservern består av en web server och att den håller påloggningsobjekt och administrationsobjekt med användning av en inkapslingskod.

7. En anordning enligt patentkrav 6, k ä n n e t e c k n a d d ä r a v att påloggningsobjekten och administrationsobjekten är DCOM-objekt av MicrosoftTM och att väsentligen vilket programmeringsspråk som helst kan slås in med COM/DCOM och således erhålla ett standardiserat gränssnitt.

8. En anordning enligt patentkrav 6 eller 7, k ä n n e t e c k n a d d ä r a v att språket web-servern använder av sagda objekt översätts till det språk användarregisterservern (GUD;6) använder.

9. En anordning enligt patentkrav 8, k ä n n e t e c k n a d d ä r a v att de enda komponenterna som kan kommunicera med användar- registerservern (6) är pàloggningsserverns (5) objekt vilka för systemspecifik autenticering specifika extranätet (intranätet). 10 15 20 25 30 _ , , . . \ 521 144 /'/

10. En anordning enligt något av föregående patentkrav, k ä n n e t e c k n a d d ä r a v att användarregisterservern (6) består av en objektorienterad databas som är designad för ett stort antal användare och deras attribut.

11. En anordning enligt patentkrav 10, k ä n n e t e c k n a d d ä r a v att användarregisterservern (6) kan hantera roll, fyra dimensioner, exempelvis användare, extranät- .(intranät) system och organisationsenhet.

12. En anordning enligt något av patentkraven 8-11, k ä n n e t e c k n a d d ä r a v att användarregisterservern (6) använder LDAP-protokollet.

13. En anordning enligt något av föregående patentkrav, k ä n n e t e c k n a d d ä r a v att sammankopplingsservern (4) är en omvänd proxy server.

14. En anordning enligt något av föregående patentkrav, k ä n n e t e c k n a d d ä r a v att sammankopplingsservern (4) innefattar medel för att fastställa on1 en begäran från. en användare relaterande till ett extranät (intranät) är tillåtlig eller ej.

15. En anordning enligt patentkrav 14, k ä n n e t e c k n a d d ä r a v att om den sammankopplande (omvända proxy) servern (4) hittar en medgivandeindikation, exempelvis en cookie, omdirigeras begäran till det begärda extr nät-, (intranät) systemet, annars a omdirigeras användaren till påloggningsservern för påloggning och 10 15 20 25 30 521 1449ïfišëwF IQ. att identiteten undersöks i användarregisterservern för att avgöra om påloggning skall medges.

16. En anordning enligt något av föregående patentkrav, k ä n n e t e c k n a d d ä r a v att extranät-, objekt (intranät) (COM/DCOM) systemet som accessas använder samma som påloggningsservern (5) och att sagda system är ansvarigt för accessmedgivande och accesskriterier.

17. Ett förfarande för att koppla en användare (system) av ett tredjepartsstyrt datakommunikationssystem (1) till ett antal intranät (extranät) (2), k ä n n e t e c k n a t d ä r a v att det innefattar stegen att: - tillhandahålla en begäran relaterade till ett antal intranät/extranät (2) till ett servermedel (RPS;4) i en sammankopplingsanordning (3); - övergå till krypterad kommunikation i sammankopplings- anordningens (3) servermedel (4); - undersöka ifrån servermedlen (4) om en indikation om medgivande och identifikation är mottaget; ~ om ja, omdirigera begäran till de begärda intranät/extranät systemet (systemen) (2); - om ej, omdirigera användaren till sammankopplings- anordningens (3) påloggningserver (5) för påloggning, om tillåtligt; - undersöka användaridentiteten och tillàtligheten i ett användarregister (6) i sammankopplingsanordningen (3); - om användaren är giltig omdirigera användarbegäran till det eller de begärda systemet (systemen) - annars, avslå begäran, där det begärda systemet/systemen använder samma objekt som använts av påloggningsservermedlen (5) för att 10 15 20 521 /3 erhålla ytterligare information och således medge systemspecifik autenticering.

18. Ett förfarande enligt patentkrav 17, k ä n n e t e c k n a t d ä r a v att det tredjepartsstyrda nätet är Internet och att begäran är en HTTP/HTTPS begäran från en web browser som hör till användaren.

19. Ett förfarande anordning enligt patentkrav 17 eller 18, k ä n n e t e c k n a t d ä r a v att medgivande och identifikationsmedlen består av en cookie.

20. Ett förfarande enligt något av patentkraven 17-19, k ä n n e t e c k n a t d ä r a v att användarregisterservern består av en objektorienterad databas.

21. Ett förfarande enligt något av patentkraven 17-20, k ä n n e t e c k n a t d ä r a v ' att det innefattar stegen att: - kommunicera med användarregisterservern (6) av COM/DCOM objekt. med användning