TW200400741A

TW200400741A - Persistent authorization context based on external authentication

Info

Publication number: TW200400741A
Application number: TW092112488A
Authority: TW
Inventors: David R Mowers; Daniel Doubrovkine; Roy Leban; Donald E Schmidt; Ram Viswanathan; E Brezak John; B Ward Richard
Original assignee: Microsoft Corp
Priority date: 2002-05-10
Filing date: 2003-05-07
Publication date: 2004-01-01
Also published as: AU2003203708A1; EP1939707B1; RU2008118949A; KR20030087990A; EP1939707A1; HK1060201A1; ZA200302999B; RU2337399C2; BR0301034A; CA2424782A1; RU2390838C2; KR100986568B1; DE60321618D1; JP2004005647A; TWI353154B; EP1361494A3; EP1361494A2; PL359993A1; US20030212806A1; AU2003203708B2

Description

200400741 玖、發明說明【發明所屬之技術領域】本發明與電腦存取控制相關，尤指以外部授權為基 ’提供區域系統權限内容給使用者之方法和系統。【先前技術】存取控制掌控了電腦的安全機制。為完善保護電腦系統及重要資料之私密性，人們部署了各式存取控制設計，以防止未經授權之使用者及惡意攻擊者得以存取電腦資源。為確保電腦安全的完備，各層級中通常部署了存取控制。例如，在電腦層級中典型的情形是使用者必須經由登入程序，由電腦決定其是經授權使用與否。此外，在電腦網路的層級，通常要求使用者經由一使用者授權程序，以控制該使用者存取不同的網路服務。在網路存取控制之外，伺服器亦會授權使用者，使用者必須獲得特定伺服器的允許以存取服務。人們利用一些以不同的通訊協定（例如Kerber〇s 5)為基礎的方法，經由授權使用者，設計並部署網路存取控制。一般而言，使用者登入電腦和使用者獲得存取網路的授權是兩個分開的部份。不過，為減少使用者使用不同存取控制設計的負擔’使用者登入和網路授權常常一起執行。例如，在Kerberos通訊協定所部署使用者授權機制中，使用者登入電腦時’該電細通常亦啟始了 Kerberos授權程序。在Kerberos授權程序中，電腦聯絡一 Kerber〇s金输發佈中心（KDC)，首先，替該使用者取得一票據授予票據（Ticket 200400741

Granting Ticket，TGT)，而後該電腦便能使用該TGT自 KDC為自己獲付一會期票據（sessi〇n ticket)。當網路開始發展，伺服/服務電腦利用多層次架構處理客戶端電腦的請求便成為一種趨勢。舉一簡單的例子，客戶端電腦利用網際網路向全球資訊網網站提出一請求。在這裡，可以有一前端網頁伺服器處理格式及相關交換規則，而一後端伺服器則作為該網站的資料庫。為了加強安全，該網站可以设定一授權通訊協定（authentication protocol)轉送或指定代理憑證，例如，使用者的TGT，及/或其他自前端伺服器傳至後端伺服器的資訊。此一應用在許多網站及/或其他多層次網路上愈益常見。當所有的伺服/服務電腦及客戶端同意使用相同的授權程序時，指定代理及其他相似的技術是有用的。然而，今曰除了仍在申請中的美國申請案序號·· 09/886,146改進了指疋代理的控制之外，尚沒有任一種授權程序被使用。如果使用者被一網路/系統授權，那麼通常有一或多個額外的授權存取控制檢查以防止該使用者存取他/她不被授權存權的資源。一旦一使用者被授權並通過所申請的存取控制檢查，該使用者被稱之為「已授權」。在特定系統中，例如，存取控制是奠基於供作不同服務及資源（亦即物件）之用的存取控制列表（Access control lists，ACLs)。一 acl通常包括存取控制實體（ACEs) ’該> ACEs可能不包含亦可能包含了多個安全性識別（security identifiers，SIDs)。SIDs與被允許存取該物件的使用者或使用者群組相關。如果在ACLs上有 200400741 SID s ’那麼可η SID之使用者將被允許產生至少一個符合的存取該物件。 ⑽kb * —授權使用者登人，籍由產生與該使用者相關 (J如，存取標記），以產生該使用者的授内容。典型的缺 ^ 己就包含與使用者相關的SIDs。例如，該使用者的^ 5己可能包括—指定給他的專屬SID，外加指^該使用者所屬業務邛門的群組sm。當該使用者想要存取一物件時：會利用該物件❸ACL比對該使用者的標記。如果使用者的標記包含至少—個與該物# ACL上的SID相符# SID，表示該被驗證的使㈣已被授權以某種方式存取該物件。例如，該用者可以讀寫由其他同業務部門的成員（亦即其他的群組成員）所製作的檔案。當系統被小心控管時，這種認證設計通常會運作地相當地好。例如，公司内的企業層級電腦網路通常提供一集中環境’在這裡使用者和ACLs可以籍由集中的和/或分散的授權以及存取控制糸統小心地控制。另一方面，對非常大的網路而言，例如，網際網路，和/或其他重要的非集中網路，當服務的使用者愈多時，包括沒有區域存取帳號的使用者，授權和存取控制就愈困難。當軟體程式及資源朝向以網路為基礎的服務發展時，與此類網路服務相關的授權使用者的行為就愈益重要，須求也愈高。因此，有須要改良授權方法及系統。較佳的方法及系統允許使用者經由受信任的外部資源取得進入特定物件存取物件的某種控制層級，而無須要求該使用者在該物件上擁有 200400741 專屬的帳號。此外’該方法及系統不應該嚴重影響提供大量使用者存取的物件在管理上的可變比例性（scaiabiiity)。【發明内容】本發明提供一種改進的方法及系統，允_使用者經由受化任的外部資源獲得存取特定物件的控制層級，而無需使用者專屬的區域使用者帳號。進行管理設定可提供大量使用者存取不同的資源，而部署該方法及系統不會嚴重影響電腦和 /或網路管理上的可變比例性。上述的須求可籍由一些方法達成，例如，籍由對至少一個電腦資源提供存取控制機制，而該方法包含了接收一與使用者所欲存取電腦資源相關的專屬識別。較佳的方法為該專屬識別必須由另一被認定為可信賴之電腦資源所產生。而且 /或者該電腦資源提供服務並通常以某些方式授權使用者。該方法包括轉譯所接收的專屬識別為安全性識別（security identifier，SID)，而該SID適用於保護電腦資源的存取機制。該方法更進一步地包含了決定是否該SID符合至少一個先前經由存取控制儲存且與電腦資源相關的SID。在某些典型的實施例中，該專屬識別包括一專屬識別對Μ。 umque identifier，PUID)。例如’由微軟公司所提供的護照服務便採用該PUID。而存取控制機制便利用存取控制列表 (ACL)以建立允許存取電腦資源的使用者或使用者群組。本發明尚有實施例，對至少一個電腦資源提供一種建立存取控制審核的方法。其中，該方法包含接收至少一個欲准 200400741 予y最小的存取權限的使用者之至少一個電子信箱位址例如，一由存取控制機制所授權之使用者可以籍由輸入 :他使用者的電子郵件位址及指定該使用者可存取的電腦 :源及權限。該方法更進—步包括提供電子郵件位址予一可信賴之伺服器，該伺服器能夠傳回與該使用者的電子郵件位址相關的專屬識別。該方法包括接收此一專屬識別，然後以。亥專屬識別设定至少—組存取控制權限。這些可以包括，例如，轉譯該專屬識別為—SID以及至少—組和該sid相關的存取控制列表ACL以供電腦資源使用。本發明尚提供一種轉譯PUID為對應的sm的方法。該方法包括接收該PUID，分解它為至少—子授權識別之部份: 乂及至；-成請別之部份，最後將該子授權識別及該成識別組合成SID。 :依據本發明的實施例，本發明亦提供存取至少一電腦資源的存取控㈣統。該系統包括邏輯和記憶體，該邏輯和記憶體被設定為用以接收與提供以存取電腦資源權限之使用者相關之專屬身份朗，轉料屬身份識料安全性別（SID)，以及決定是否該SID符合至少—組其他健存於記憶體中並與電腦資源相關之SID。本發明設定電腦資源存取控制權限之實施例中，一包含通訊網路之系統，該通訊網路連接第一裝置及至少一個：：裝置。第-裝置被設定.為接收至少_個使用者的電子料位址，而該使用者則欲准予存取電腦資源的至少最小權限。該第-震置提供這個電子郵件位址給網路上的其他裝置，並： 200400741 網=上的其他裝置接收與該電子郵件位址相關且對應的專 §、别以該專屬識別為基礎，設定至少一個與該電腦資源相關的存取控制權限。其他的裝置被設定為接收網路上的電 p件位址，並將該電子郵件位址轉譯為專屬識別，而後輸出此專屬譁別至網路上的第一裝置。【實施方式】概觀、本發明之方法及系統可應用於授權使用者/資源，與/ 或提供一授權内容供欲存取某一資源的使用者。下節所述為示例性之電腦環境。在簡述示例性的 S4U2proxy & S4U2self技術内容，其係為美國專利申請案序號：09/886,146的申請標的。下文將以附圖敘述依據本發明的概念所設計提供授權之創新技術。本發明提供改善之方法及系統，例如，利用文佗任的外部資源允許客戶端（如，使用者）獲得存取特定區域資源的控制層、級，客戶端的服務不須擁有區域存取控制的權限。之後將更明白地解說。卫本文所述的授權設計可以多種不同的方式部署，亦能增進電腦資源的安全以及使用者存取電腦資源的能力。示例之電腦環境 >- 如附圖所示，編號標示的元件說明本發明在適當的電腦環境中如何被運用。$非必須’但本發明將以電腦可執 8 200400741 行指令之一般辭彙敘述。例如程式模組，可在個人電腦上執行。一般而言，程式模組包括副程式、程式、物件、組件、資料結構等等。它們執行特定的任務或者實行特定的抽像資料型態。更進一步地說，本文提及的這些技術是非常重要的，可實施本發明在其他電腦系統的組態，包括手提式裝置、多處理器系統、以微處理器為基礎或可程式的消費性電子產品、網路個人電腦、迷你型電腦、主機以及其餘相似物件。本發明亦可實施在分散式運算的環境。分散式運算係藉由網路連結遠端的計算裝置以執行其任務。在分散式運算的環境中，程式模組可位於本機端及遠端健存記憶的裝置當中。第1圖揭示本發明應用在一適當電腦環境12〇之實施例。電腦環境1 20為下文所述方法及系統可以部署之環境。電腦環境1 20僅是在適當電腦環境之一例，並不侷限本文所述之改善之方法及系統在功能上或使用上的範圍。其應用之條件及相關物件亦不以本例電腦系統環境 1 2〇所示元件或組合為必要。本發明之改善的方法及系統可配合其他一般或特殊用途之電腦系統環境或組態操作。本發明適用於但不限於習知的電腦系統、環境及/或組態。包括個人電腦、飼服器、掌上型或可攜式裝置、多處理器系統、以微處理器為基礎的系統、機頂盒、可程式消費性電子、網路電腦、微電腦、主機、任何包括任一上述系統或裝置的分散式運算系統及 9 200400741 其餘相似物件。如第1圖所示’電腦環境120包含電腦13〇之虛線範圍内所示之通用用途的計算裝置。電腦之元件可以包括一或多個處理器或處理單元1 3 2，一系統記憶體1 3 4，以及一用以連結不同系統元件（包括系統記憶體1 3 4)至處理器 1 3 2之匯流排1 3 6。系統匯流排1 3 6可能為任一規格之匯流排，包括任何匯流排構造的記憶體匯流排或記憶體控制卡、週邊匯流排以及本機匯流排。以下述為例但不侷限於下述實施例，這些匯流排規格包括工業標準架構（In(justry ；gtan(ja]rd

ArchitectureJSA)匯流排、微通道架構（Micr〇 channel Architecture，MCA)匯流排、加強 ISA(Enhanced ISA，EISA) 匯流排、視訊電子標準協會（Video Electronics StandudS Association，VESA)區域匯流排以及亦被稱之為閣樓 (Mezzanine)匯流排的週邊零件連接介面（peripherai Component Interconnects, PCI)匯流排。典型的電腦130包含多種電腦可讀取媒體。此類媒體可以是任何電腦1 3 0能夠存取之媒體。而它亦包括揮發性/ 非揮發性，可移除以及不可移除之媒體。第1圖’系統記憶體1 3 4包括揮發性記憶體型態之電腦可讀取媒體，如隨機存取記憶體（RAM) 140，及/或非揮發性記憶體，如唯讀％憶體（ROM)138。一基本輸入/輸出系統（BIOS)142，包含諸如在啟動，儲存R〇M時，在電腦 130元件間協助傳送資訊之基礎例行程序。Rami40通常包 10 200400741 含可為處理器132快速存取及/或即時操作之資料及/或程式模組。電腦1 3 0亦可包括其他可移除/不可移除、揮發性/非揮發性電腦儲存媒體。如第1圖所示，硬碟機144讀取或寫入一不可移除且非揮發性磁性媒介，一磁碟機146讀取或寫入可移除、非揮發性磁碟148，以及一光碟機15〇讀取或寫入可移除、非揮發性光碟152如cd ROM/R/RW， DVD_n〇M/R/RW/ + R/RAM或其他光學媒介。硬碟機144、磁碟機146以及光碟機15〇通常藉由一或多個界面154, 連接至系統匯流排1 3 6。上述裝置及其相關的電腦可讀取媒體提供電腦丨3 〇非揮發性的儲存之處，以供其儲存電腦可讀取指令、資料結構程式核組及其他資料。雖然本發明的示例性環境以硬碟、可移除磁碟148以及可移除光碟152為例。但本文所有技術亦可實施於其他種類的電腦可存取媒介。例如，磁帶〖夬閃5己憶體、隨機存取記憶體（RAMs)、唯讀記憶體 (ROM)及其他相似的儲存元件。一些程式模組可能儲存在硬碟、磁碟148、光碟152, ROM 138,如圖例，包括作業系統158，一或多個應用程式160其他程式模組162及程式資料164。本文中改進的方法及系統可以應用在作業系統丨5 8 , 或夕個應用程式丨6 ,其他程式模組丨6 2，及/或程式資料 164 〇使用者可能經由輸入裝置如，鍵盤166及指標裝置 200400741 1 68(如’滑鼠）對電腦13〇輸入指令及資訊。其他輸入裝置（附圖未顯示）可能包括一麥克風、搖桿、遊戲控制器、衛星天線、序列埠、掃描器等等。以上裝置及其他輸入裝置籍由一連接匯流排136之輸入裝置170以連接至處理單 70 1 32，但亦可籍由其他介面及匯流排構造，如平行埠、遊戲埠或通用串列匯流排（USB)。一螢幕172或其他型態之顯示裝置亦籍由一介面連接至匯流排1 3 6。例如，影像介面卡1 74。除了螢幕1 72之外，一般個人電腦亦包括其他週邊輸出裝置（附圖未顯示），如揚聲器及印表機，它們亦可經由週邊輸出介面1 75相連。電腦1 3 0可能在網路環境中利用邏輯連接至一或多個電腦。例如，電腦1 82。遠端電腦182可能包括多個或者全部與本文電腦1 30相關之元件及持徵。第1圖所示之邏輯連結為一區域網路（LAN) 177及普通的廣域網路（WAN) 1 79。此類的網路環境常見於辦公室、企業内部電腦網路、内部網路以及網際網路。當用於一 LAN網路環境中時，電腦丨3 〇籍由網路介面卡186連接於LAN I77。當用於一 WAN網路環境中時，該電腦通常包括一數據機178或其他能在WAN 1 7 9上建立通訊之裝置。數據機178可以是内部或是外部用的，可以籍由使用者輸入介面1 7 0或其他適當設備連結至系統匯流排 136。如第1圖所示’其係為一建構於網際網路18〇上的廣域網路WAN。此處，電腦13 0利用數據機1 7 8與至少一個 12 200400741 遠端電腦182建立通訊。在一網路環境中，與電腦1 3 〇相關的程式模組或其中的部份，可以儲存在一遠端記憶儲存設備中。如第1圖所不’因此遠端應用程式1 89可以存在於遠端電腦1 82的記憶储存設備中。必須注意的是，本文圖示及敘述之網路連結僅為一例，亦可使用任何其他建立通訊之工具。示例之S4U2Proxy and S4U2Self委派技術之摘要本文將簡要說明並著重於在客戶端至伺服器端網路環境中控鈿信任授權之技術及設計。本實施例將闡明一以坎伯洛斯（Kerberos)為基礎之系統。那些s4U2Proxy及 S4U2Self之技術及下文將解說之授權技術可以是或可不是在相同系統執行’而且亦可在其他以憑證為基礎之授權系統執行。如上所述’客戶持有票據授權票據（Ticket granting ticket，TGT)，而相關的授權者允許該持有者自受信任之第三者要求代表該客戶之票據’此第三者可以是金鑰發佈中心（KDC)。現今Kerberos在特定之實施例中支援此類非受限委派方式（unconstrained delegation)，而此類委派方式能轉送票據委派綱要。在美國專利申請序號：09/886,146中所敘述之方法及系統，係應用於受限（constrain)或其他較佳之委派程序。該委派程序可經由S4U2Pr〇xy技術控制，該技術允許祠服器/服務（例如，前端伺服器/服務）要求在其他伺服器/服務 13 200400741

所使用之代表客戶端之服務票據。該S4U2proxy通訊協定有助於控制提供受限之委派，毋須客戶端轉送一 TGT給前端祠服器。另一技術為S4U2self通訊協定，該S4U2self 通訊協定允許伺服器要求服務票據給予該伺服器自身，但是客戶端必須證明其身份以獲得該服務票據。如此可以允許下例之情況：當一客戶端已獲得其他授權通訊協定之授權，即可獲得用於提供受限委派之S4U2proxy通訊協定之服務票據。在此以兩種型式之S4U2 self為例，分別為「無證明」及「有證明」型式。在無證明型式中，伺服器受客戶端信任並以其他該伺服器專屬之安全/授權機制授權客戶端。在有證明型式中，該KDC(或受信任的第三者）根據客戶端在請求授權時所提供給伺服器的資料對客戶端進行授權。因此，在一 Kerberos環境中，無論是否經過Kerberos 或其他授權通訊協定授權，一客戶端皆可以存取伺服器/ 服務。所以，後端與/或其他伺服器/服務可以在純粹 Kerberos環境中運作。

如第2圖所示，為一客戶端-伺服器環境200中之 S4U2proxy通訊協定/程序。客戶端202連接至一提供授權服務206之受信任第三者204。例如，一 KDC，一憑證核發管理單位，一網域管理者，及/或其他相似的種種。授權服務206經設定以存取資料庫208所保存之資訊。客戶端 2 02及受信任之第三者2 04進一步連接至一伺服器A210。本文所用詞彙「伺服器」及「服務」被通用為代表倶有相 14 200400741 同或相似功能之物件。本例中’伺服器A 2 1 0為一連接多個飼服器之前端伺服器。該祠服器A 210連接至祠服器b 212及祠服器C 214。如圖所示’伺服器B 212可以是一備份伺服器。此外，伺服器C214更進一步連接至伺服器〇216。為回應一在客戶端202登入之使用者，一授權要求 (AS__REQ)之訊息220被傳送至授權服務206，而該授權服務則以一授權回應（AS一REP)訊息222回應。在as—REP訊息222中含有一與該使用者/用戶端相關之tGt。相同或相似之程序（未圖示）亦在授權伺服器A 2 1 0時進行。當客戶端202想要存取伺服器a 21〇時，該客戶端傳送一票據授權服務要求（TGS-REQ)訊息224給授權服務 206。而該授權服務傳回一票據授權服務回應（TGS_REp) 訊息226。TGS —REP訊息226包括一與客戶端202及祠服器 A 210相關之服務票據。因此，為了初始一通訊連結 (communication session)，客戶端202以應用通訊協定請求 (AP-REQ)訊息228轉送服務票據至伺服器A 21〇。此類處理/程序為眾人所習知，因此不再做更進一步的說明。在某些系統，為支援委派，客戶端需要提供客戶端TGT 予伺服器A 2 1 0以允許伺服器額外要求代表客戶端202之服務票據。此動作在S4U2proxy是非必須的。相反的，當伺服器A 2 1 0須要替客戶端202存取其他伺服器（例如，伺服器C 214)時，伺服器A 210及授權服務206將依據 S4U2proxy通訊協定操作。 200400741 伺服器A 210傳送一 TGS—REQ訊息23〇至授權服務

206。TGS一REQ訊息230包括供伺服器a 210所用之TGT

及自客戶端202接收之服務票據。此外，伺服器a確認客戶端202欲尋求存取的目標伺服器/服務，例如，伺服器c 214。舉例來說，在Kerber〇s中有一定義為廣充性資料攔位’通常用以索引該「額外票據」。該額外票據攔位可以用於S4U2pr〇Xy通訊協定以承載自客戶端接收之服務票據。而KDC選項攔可以包括一旗標或其他用以指引接收之 KDC在額外票據攔位尋找提供客戶端識別之用的票據。本文所提及之技術將確認可以用於承載必要資訊給授權服務 206之上述或其他攔位與/或資料架構。

在處理TGS-REQ 230時，授權服務206判別是否客戶端202已被授權委派，例如，可籍由客戶端建立之「轉送旗標」值決定。因此，對每一客戶端之委派係籍由客戶端之服務票據中之轉送旗標執行。如果客戶端202不想參與委派，則該票據將不被標示為「可轉送」。授權服務206 將該旗標視同為客戶之初始限制。授權服務206可以在資料庫2 0 8中存取額外的訊息，這些訊息定義選定之服務為伺服器A 210所允許委派予（或者不委派予）客戶端202之服務如果授權服務206決定允許伺服器A 2 1 0委派給目標伺服器/服務，則一 TQS — REP訊息將被傳送至伺服器 A 210。TGS_REP訊息232包括一供伺服器目標伺服器/服務所用之服務票據。該服務票據在客戶端202直接向授權服 16 200400741 務2 06請求服務票據（例如，使用該客戶之TG丁）之情妒下產生。如果授權服務206無法產生服務票據的話，只要該客戶訊與以服務票據為基礎的要求相關，而該服務^ 據又為被授權之伺服器A210自客戶端2〇2所接收並包含在TGS一REQ訊息230之中，則可用另一種方法。授權服務206自資料庫208存取相同的/必須的客戶端資訊。然而’既然該客戶端資訊係由客戶端的票據所承載，該伺服 β只須要自票據中複製資料即可。在特定的實施例中，以TGS —RQP訊息232確認目標伺服器/服務及客戶端202，包括進一步蜂認供部署專用之識別/使用者/客戶端帳號資料。例如，以權限屬性憑證 (Privilege attribute certificate，PAC)型式之安全識別、

Unix ID、護照識別（Passport ID)，憑證等等。舉例而言，一 PAC可能為授權服務206所產生或僅是自包含在 TGS — REQ訊息23 0中之客戶的服務票據複製而成。下文示例1*生之授權内谷產生綱要（authorization context grnerating schemes)將更進一步敘述護照識別之使用方式。 PAC或其他使用者/客戶端的帳號資料亦可以設定為包含與委派相關之資訊。舉例而言，第4圖解說Kerberos 訊息400之特定部份，包括標頭（header 4〇2)及PAC 404。此處，PAC 404包括委派資訊406。如圖所示，委派資訊 406 包括複合識別資訊（CC)nip0und identity information)408 及存取限制資訊（Access restriction information)410。舉例來說，複合識別資訊408可能包括與委派過程相 17 200400741 關之記錄，你丨a J如’有關於伺服器 A 2 1 0要求代表使用者/ 客戶端之服藏φ械、、不嚴。此處，大多數此類的記錄可能作為串連或者破含57夕$ %夕個委派程序歷史記錄之用。此類訊息可能對審核與/或存取^ #击丨丨女处役制有用。舉例來說，存取限制資訊4 1 0可月匕1作連結存取控制機制至特定祠服器，服務，為的是讓客端直接或間接經由伺服器A 2丨〇以存取伺服器/服務，但士果疋問接經由伺服器B 2 12則否。這些功能有助於對授權委派之額外控制。在上述實施例中，客戶端2〇2經授權服務2〇6授權。然而’其他的客戶端可能不是如此進行授權的。如第3A 圖所示’一客戶端3〇2籍由一不同之授權通訊協定機制3〇3 被授權。例如’授權通訊協定機制3〇3可能包括護照 (Passport)，安全編碼傳輸（SSL)，NTLM，Digest或其他與授權通訊協定/過程相似者。本實施例中，假設客戶端3 〇 2 選擇存取恰為伺服器C214提供之目標服務，該選擇可以為上述的S4U2proxy通訊協定所滿足，但只在伺服器a完成/接在一 S4Uself通訊協定/過程之後。 S4U2self通訊協定的基本保證為伺服器（例如，a 210) 可以為任何存取該伺服器且已被授權之使用者/客戶端請求一服務票據給自身。本實施例中之S4U2self通訊協定被設定為支援擁有授權「證明」及沒有授權「證明」的客戶若沒有供授權服務2 0 6衡量之用的授權證明，伺服器 A 2 1 0將須要「信任」客戶端302。舉例來說，如果客戶端 18 200400741 3 02擁有一授權憑證或是相似之機制3 〇4可供伺服器a 2 1 0 確認之用，則該客戶端3 02可以被判定為「可信任」。所以，祠服器Α210本質上授權了客戶端302。之後，伺服器A 210傳送一 tgS_REQ訊息四至授權服務206，替客戶端3 02請求一服務票據給伺服器a本身。在回應中，授權服務206產生一 TGS —REP訊息308，該 TGS一REP包含被請求之服務票據。所接收之服務票據被用於隨後之S4U2proxy通訊協定/程序，用以替客戶端302 請求服務票據給伺服器 C 214。舉例來說，在特定之 Kerberos實施例中，需要設定TGS — REP訊息308中之轉送旗標為允許轉送服務票據。而受信任之第三者亦可為客戶端302建立一 PAC，該PAC可用以包含在所獲得之服務票據中。如果客戶端3 02的授權證明不存在，那麼伺服器A2 1 0 可以在TGS — REQ訊息3 12中包含此證明，作為額外的預授權資料。如第3 B圖所示，客戶端提供給伺服器a 2 1 0 之證明訊息3 1 0可以包括，例如一質問/回應對話，或者其他由另一受信任實體產生之訊息。直到接收了證明訊息 3 1 0及進行了隨後之確認，授權服務2 0 6才核發請求之服務票據給飼服器A 2 1 0。請注意，在特定實施例中，祠服器利用證明為客戶端獲取受限之TGT。在特定之Kerberos實施例中，TGS_REP中之轉送旗標訊息3 14被設定為允_轉送服務票據。如果一 PAC為 TGS一REQ訊息312所提供，那麼它可以在服務票據中被使 200400741 用；此外，一 PAC可以由授權服務206(此處為一 kdc)以證明訊息（evidence informati〇n)310為基礎所產生。例如，在S4U2self中，客戶端的識別係被包含在預授權資料中，而該識別可用以替客戶端建構PAC並（為客戶端）加入核發的服務票據中給伺服器。示例之授權内容產生技術下文重點為敘述本發明特定實施例中示例性之方法及系統。不論有無S4U2proxy與/或S4U2self通訊協定，該類方法及系統皆可以被實施。不論有無護照服務（美國華盛頓州雷蒙郡的微軟公司所提供），該類方法及系統亦皆可以被實施。熟知本項技藝的人應可確認本項技術可實施於各式其他通訊協定與/或服務。此外，如有需要，在示例中將假設那些通訊協定及服務能夠支援授權内容產生技術。如第5圖所示’為一與客戶端至伺服器網路設置相關之特定特徵/功能/過程。該設置能夠提供一授權内容予客戶端，否則客戶端將無法被授權存取特定資源。如圖示，一伺服器X 502連接至一伺服器γ 5〇4，與使用者#ι(υι) 相關之第一客戶端506，以及與使用者#2(IJ 2)相關之第二客戶端5 0 8。本實施例中，在以虛線區塊5丨〇，5 1 2及5 1 4 表示之設備間有某些信任關係。因此，例如，當U1登入客戶端506及伺服器X 502以存取伺服器X 502所提供之資源時，例如存取物件516時，客戶端506及伺服器X 502 經設定而形成信任關係5 1 0。此登入過程可能包括授權及 20 200400741 存取控制。相同地’當U2登入伺服器γ 504及客戶端508 時’客戶端508及饲服器γ 5〇4經設定而形成信任關係 5 12。此外，此例中飼服器χ 5〇2及伺服器γ 504可以形成與受信任的第三者204形成信任關係514。然而，此刻在客戶端508及伺服器Χ5〇2之間並不存在信任關係。如第5圖及第6圖所示，本發明使客戶端5 〇 8自伺服器X 502取得允許U2存取物件516之授權内容。内有序號標不之小圓圈旁之箭頭代表著處理動作。在其他的實施例中，一些動作可能以不同的順序發生。 φ 如圖示，動作#0為信任關係5 1 〇，5 1 2及5 1 4的產生。此類的信任關係可以依操作須要選擇性地創造。本實施例中’假設U1欲允許U2存取物件516。當U1經由信任關係510授權存取物件516時，U2並未被授權允許存取物件 5 1 6。此外，更進一步之需求為避免增加U2為授權存取伺服器X 5 0 2的控制系統之使用者。例如，當υ 1欲准許υ 2 存取U1之雇主所保管或提供之tn的線上計劃時程表時，這種狀況就會發生。此處，雇主不想增加一個新的授權使用帳戶至系統中。肇如第6圖所示’虛線範圍600内為客戶端5〇6提供給 U1之與圖形使用者介面（GUI)相關之某些示例性功能。本例中，在m登入伺服器x 502後顯示網頁6〇2或其他類似的晝面。在網頁60七中，物件516呈現出時程表 604,該時程表GUI顯示與tn相關之訊息βυι能夠自6〇6 開啟一個入口，而606包含一識別輸入欄6〇8及（選擇性的） 21 200400741 一或多個選定的權限設定610。這是U1啟始讓U2獲得存取物件516權限之程序的地方。 U1為U2輸入一識別。該例中，該識別包含U2專屬之全球資訊網電子郵件位址，在這邊稱之為 user2@hotmail.com 。此處輸入之識別為微軟公司提供之 hotmail.com服務之登錄使用者。一 hotmail.com之登錄使用者U2被假設為亦有對應之微軟公司Passp〇rt帳號。以亦可以依據所欲核准存取物件5 i 6 (在這裡，例如，一線上時程表應用程式）之權限，替U2設定一或多個權限設定 610。此刻，U1已經設定U2為擁有「讀取」之權限。回頭看第5圖，在客戶端506及伺服器X 502間確認該使用者之程序以動作# 1代表。祠服器X 5 02確認u 1已經替U2提供了識別，在動作 #2與伺服器Y 504的通訊中，假設此例為習知之Passp〇rt 伺服器。這裡’伺服器X 502提供識別user2@hotmail.com 予祠服器Y 504並請求伺服器γ 504提供對應之通用專屬護照識別（Passport user identidy，PUID)(亦常指為專屬識別對，Pair wise Unique id)。在動作#3中，伺服器Y 504 傳回該PUID(524)給伺服器X。如果信任關係514是一以 Keberos為基礎之關係，那麼該PUId可以在先前提過之 PAC(舉例）中被傳回。現在’伺服器X 502擁有U2的PUID 了。在動作#4 中，祠服器X 502解譯該PUID為一對應之SID 522，該 SID適用於伺服器X 502之原授權系統。如圖所示，物件 22 200400741 516與AC L518相關，該ACL擁有至少一個包含SID 522 之 ACE 520。該64位元之PUID由1 6位元之護照網域授權識別及一 48位元之成員識別組成。為構成一 SID，它必須維持一網域授權為一獨立之參數。為達成它，該 MemberlDHigh 被分為兩個部份，而且這兩部份被分為獨立之子授權，如下所示：

S-1-1 0-2 1 -(HIWORD(MemberIDHigh))-(LOWORD(ME MBERIDHigh))-MemberIDLow-〇在本實施例中，「S-1-10-21」為一由ntseapi.h所定義之新的識別授權。而ntseapi.h為一用以建立微軟視窗系統之標頭檔，它包含了對用以建構PUID-SID之SID值的定義。請注意該標頭通常不直接讓程式設計人員接觸，但 ntseapi.h的宣告在winnt.h的SDK平台是公開的。

因此，自受信任之資源傳回之PUID或其他類似之識別產生了一典型之SID。基本上，該SID以獨特之結合以及與原授權系統相容的格式識別了該習知之子授權以及成員使用者。

在動作#5中，（已授權之）U2登錄了伺服器Y 504並因此獲得PUID 524。在動作#6中，U2利用一預設之使用者帳號（例如，未知或匿名帳號）以及在請求或其他類似訊息中提供包含PUID 524之資訊（例如，在PAC中）以連接至伺服器X 502。在動作#7中，伺服器X 502確認了一 PUID 已由預設使用者（U2)提供並且在回應中建立了對應之SID 23 200400741 532，並將該SID 532置於與欲尋求存取物516之U2相關之標記（Token)530中。在特定實施例中，籍由在稱之為 LsaLogonUser之應用程式介面（API)通過PUID以建立一 SID。該API傳回該SID。在動作#8中，伺服器X 502籍由在預設使用者標記530 及ACL 518中比較一或多個SID(s)決定是否該預設使用者擁有適當之存取權限以存取物件5 1 6。最後，在行動#9中，替U2創造了授權内容526，它允許U2以適當之權限設定存取物件516。因此，舉例而言，U2可以觀看（讀取）ui之 s十劃時程表並且判斷是否U1和U 2可以在下週共進午餐。 U2不能登入飼服器X 502;實際上既然U2不像ui —樣擁有帳號，U2不能登入伺服器X 5〇2。此例中，u2的授權基本上是基於信任關係510’ 512和514，以及利用客戶端 508及祠服器Y 504之U2的初始授權。核准u2在祠服器 X502上的存取控制是基本上是基於（動作#〇中，壇由客戶端506及祠服器Χ 502之)m之信任授權及與在動提供pum 524之飼服器γ 504間之信任關係。使用PUID的一種益虛為所權提裡i處為所獲仔之SID在以護昭分配PUIDU基礎的情況下，將永遠是全域唯一的‘f 雖然上文中已經以_些較佳的實施例及圖示介發明之各種方法及系統’但並不偈限本發明於所揭：之：施例中，並適用於各種貫襪#離本發明在宣告中所提及神的重構、修改以及替代。之精 24 200400741 【圖式簡單說明】本發明的各式方法及系統將在下文中以附圖進一步詳述0 第1圖通論適用本發明之實施例。第2圖為一在客戶端至伺服器執行之「經代理伺服器之使用者服務」（service-for-user-to-proxy，S4U2proxy) 的過程。亦為一適用於本發明之實施例。第3A圖為一在客戶端至伺服器執行之「經自身之使用者服務」（service-f〇r-user-t〇-self，S4U2 self)的過程。亦為一適用於本發明之實施例。第第第第 3B圖為一在客戶端至伺服器執行之「經自身之使用者服務」（service-f〇r-user-t〇-self，s4U2self)的過程。亦為一適用於本發明之實施例。 4圖為適用本發明某些實施例之部份訊息格式。 5圖圖示之系統及程序為本發明某些實施例，經由受信任的資源授權，提供使用者區域存取控制。 6圖，如第5圖，為本發明—系統及過程之實施例。不須使用者存取特定資源之區域存權控制帳號，利用適當層級的授權委托，允許使用者存取資源。【元件代表符號簡單說明】 120電腦環境 13〇電腦 132處理器單元 134系統記憶體 1 3 6系統匯流排 1 3 8唯讀記憶體 25 200400741 140隨機存取記憶體 144硬碟 148軟碟 152光碟 1 5 8作業系統 162其他程式模組 166鍵盤 170使用者輸入介面 175輸出週邊介面 172螢幕 179廣域網路 182遠端電腦 200客戶端至伺服器 202客戶端 204受信任第三者 206授權服務 2 0 8資料庫

21 0伺服器A 21 2伺服器B 21 4伺服器C 2 1 6伺服器D 142基本輸出入系統 146軟碟機 150光碟機 154資料媒體界面 160應用程式 164程式資料 168滑鼠 174影像介面卡 1 7 7 區域網路 178數據機 1 8 0網際網路 1 8 9遠端應用程式環境

220授權要求（AS_REP)訊息 222授權回應（AS_REP)訊息 26 200400741 224票據授權服務要求（TGS_REQ)訊息 226票據授權服務回應（TGS_REP)訊息 228服務票據 300有授權證明之 S4U2self過程 3 00’無授權證明之S4U2self過程 3 02客戶端 302’客戶端

3 0 3授權通訊協定機制 304授權憑證 306票據授權服務要求（TGS_REQ)訊息 308票據授權服務要求（TGS_REP)訊息 312票據授權服務要求（TGS_REQ)訊息 314票據授權服務要求（TGS_REP)訊息 4 0 0 K e r b e r 〇 s訊息之特定部份 402標頭

4 0 4權限屬性憑證 4 0 6委派資訊 4 0 8複合識別資訊 41 0存取限制資訊 5 0 0 —與客戶端至伺服器網路設置相關之特定特徵/功能/ 過程。

5 0 2伺服器X 504伺服器Y 27 200400741 5 0 6客戶端 5 0 8客戶端 5 1 0信任關係範圍 5 1 2信任關係範圍 5 1 4信任關係範圍 5 1 6物件 5 1 8存取控制列表 5 2 0存取控制實體 5 2 2安全性識別 5 2 4護照使用者識別 526授權内容 5 3 0標記 5 3 2安全性識別 6 0 0客戶端5 0 6提供之與圖形使用者介面（GU I )相關之示例性功能 60 2網頁 604 Userl之時程表 606 —集合，包含一識別輸入攔及（選擇性的）一或多個選定的權限設定 6 0 8識別輸入攔 6 1 0權限設定 ^ 0信任關係產生之過程 1在客戶端及伺服器間確認使用者之程序 28 200400741 2伺服器間之通訊 3伺服器傳回PU I D給使用者之過程 4伺服器解譯PUID為一對應之SI D之過程 5使用者登錄伺服器並獲得Ρϋ I D之過程 6 —過程，利用一預設之使用者帳號以及在訊息中提供包含PU I D之資訊以連接至伺服器X 5 0 2

7 —過程，伺服器確認預設使用者已提供PU I D，而後建立並回應對應之S I D 8 —過程，伺服器籍由在預設使用者標記及ACL中比較一或多個SID(s)，以決定是否該預設使用者擁有適當之存取權限以存取物件 9替使用者製造授權内容之過程

29

Claims

200400741 拾、申請專利範圍 1 · 一種存取控制至少一個電腦資源的方法，包括：接收一與被提供存取上述至少一個電腦資源之使用者相關的專屬識別，該專屬識別與另一已授權該使用者之電腦資源相關；解譯上述專屬識別為一安全性識別（SID);及決定是否該S ID符合至少一個其他存取控制機制所提供之S ID，而該存取控制機制與上述至少一個電腦資源相

2.如申請專利範圍第1項所述之方法，其中上述專屬識別包含一專屬識別對（pair wise unique identifier, PUID)。 3 ·如申請專利範圍第2項所述之方法，其中該PUID與一護知、服務（P a s s ρ 〇 r t s e I* v i c e)相關。 4.如申請專利範圍第3項所述之方法，其中解譯該專屬識別為上述SID的步驟更包栝： % 區分上述之PUID為炱少一個子授權識別部份以及至少一個成員識別部份。 5 ·如申請專利範圍第3項所述之方法’其中解譯該專屬識別為上述SID的步驟更包栝· 提供上述之PUID給〆應用程式介面（API);並且接收 3〇 200400741 該API所回應之SID。 6·如申請專利範圍第丨項所述之方法，識別之步驟包括：接收一以Kerberos為基礎之訊息_ 7·如申請專利範圍第6項所述之方法，由以Kerberos為基礎之訊息中之pAc 8 ·如申請專利範圍第6項所述之方法，為基礎之訊息和S4U2self程序相關。 9.如申請專利範圍第6項所述之方法，為基礎之訊息和S4U2proxy程序相關 10·如申請專利範圍第1項所述之方法，莫符合上述至少一個其他由該存取控制之步驟，更包括：在一與上述至少一個電腦資源相 (ACL)中，比較該SID與前述至少一伯 11 ·如申請專利範圍第1頊所述之方法，供存取上述至少一個電腦資源’接收關之專屬識別之步驟更包栝· 其中接收上述專屬 r的該專屬識別。其中該專屬識別係提供。其中該以Kerberos 其中該以Kerberos 〇 •中決定是否該SID 機制所提供之SID 關之存取控制列表 ί其他SID。其中一使用者被提上述與該使用者相 200400741 長：供一預设帳號予該使用者。該使用者被提供存取上述至少一個電腦資源。 12· —種對至少一個電腦資源建立存取控制權限的方法，包括：接收至少一個使用者之至少一個電子郵件（e-mail)位址，用以獲得上述至少一個電腦資源之至少最小存取權限；提供該電子郵件位址給至少一個能夠輸出專屬識別之爻化任服務，該專屬識別係與上述基於該電子郵件位址之使用者相關；經由上述受信任服務，接收上述輸出之專屬識別；和以上述專屬識別為基礎，設定至少一個與上述至少一個電腦資源相關之至少一個使用者的存取控制權限。 13·如申請專利範圍第12項所述之方法，其中設定上述至少一個使用者存取權限的步驟更包括：解譯該專屬識別為一安全性識別（SID);以及使該SID與至少一個存取控制列表（acl)產生關聯，以供上述之至少一個電腦資源之用。 14·如中请專利範圍第·12項所述之方法，其中該專屬識別包括一專屬識別對（PUID) 200400741 15. 16. 17. 18. 19. 如申請專利範圍第14項所述之方法，其中該pmD與護照服務相關。如申請專利範圍第13項所述之方法，其中上述專屬識別包括一 PUID以及解譯該專屬識別為上述Sid之步驟，更包括：區分該PUID為至少一個子權限識別部份以及至少一個成員識別部份。 #申請專利範圍f !4項所述之方法，其甲該專屬識別包含一 PUID以及解譯該專屬識別為上述SID之步驟更包含：供該PUID給一應用程式界面（Api);並且之後，自該API接收該SID。如申請專利範㈣12項所述之方法，其令接收上述專屬識別的步驟包括：在以Kerberos為基礎之訊息中，接收該專屬識別。 · 如申請專利範圍第1 8頊所诫夕士、+ 4丄項所述之方法，其中該專屬識別是在上述以—s為基礎之訊息中之PAC提供。一種擁有供執行動作之雷腦矸勃 > 此X _ 爻冤細T執仃指令的電腦可讀取媒體’包括：、 33 20. 200400741 接受一與使用者相關的專屬識別，而該使用者將被供以至少一個電腦資源上受控制之存取，該專屬識別與另一已授權該使用者之電腦資源相關；轉換上述專屬識別為一安全性識別（SID);並且確認是否該 SID符合至少一個其他由一存取存取控制機制提供之SID，而該存取控制機制係與至少一個電腦資源相關。 21.如申請專利範圍第20項所述之電腦可讀取媒體，其中 W 該專屬識別包含一專屬識別對（PUID)。 22·如申請專利範圍第21項所述之電腦可讀取媒體，其中該PUID與一護照服務相關。 23 ·如申請專利範圍第22項所述之電腦可讀取媒體，其中轉換該專屬識別為上述S ID的步驟更包括：區分該PUID為至少一個子授權識別以及至少一個成員識別部份。 _ 24·如申請專利範圍第22項所述之電腦可讀取媒體，其中解#該專屬識別為上述之SID的步驟更包含：輸出上述PUID气一應用程式界面（API);並且自該API接收傳回之上述SID。 34 200400741 25 ·如申請專利範圍第20項所述之電腦可讀取媒體，其中接收該專屬識別的步驟更包栝：在一以Kerberos為基礎之訊息中，接收上述專屬識別0 2 6 ·如申請專利範圍第2 5項所述之電腦可讀取媒體，其中該專屬識別在以上述Kerberos為基礎之訊息中之pac被提供。 2 7 ·如申請專利範圍第2 5項所述之電腦可讀取媒體，其中該以Keeberos為基礎之訊息與一 S4U2self程序相關。 2 8 ·如申請專利範圍第2 5項所述之電腦可讀取媒體，其中該以Keeberos為基礎之訊息與一 S4U2pr〇xy程序相關。 29·如申請專利範圍第2〇項所述之電腦可讀取媒體，其中確認是否該SID符合前述之至少一個由上述存取控制機制所提供之其他SID的步驟更包括： · 在 /、上述之至少一個電腦資源相關之存取控制列表（ACL)中，比較該SID與前述之至少一個其他sid。 30·如申請專利範圍第2〇項所述之電腦可讀取媒體，其中接文上述與擁有存取至少一個電腦資源之受控制權限之使用者相關之專屬識別的步驟，更包括： 35 200400741 提供一預設帳號給該使用者，其係欲提供該使用者至少一個電腦資源之存取權限。 3 1 · —種擁有電腦可執行指令用以執行動作的電腦可讀取媒體，包括：接受至少一個電子郵件（e-mail)位址供至少一個使用者使用，其係欲授予該使用者在上述至少一個電腦資源上之至少最小存取權限；輸出上述電子郵件位址給至少一個受信任服務，而該受信任服務能夠輸出一對應之專屬識別，又該專屬識別與以該電子郵件位址為基礎之該使用者相關；接受上述由該受信任服務所輸出之專屬識別；並建立至少一個與上述至少一個電腦資源相關之使用者存取控制權限，又該電腦資源是以上述專屬識別為基礎0 32·如申請專利範圍第3 1項所述之電腦可讀取媒體，其中以該專屬識別為基礎為使用者設定上述至少一個使用者存取權限的步驟更包含：轉換該專屬識別為一安全性識別（SID);以及為前述電腦資源分派該SID至至少一個存取控制列表（ACL)。 33.如申請專利範圍第31項所述之電腦可讀取媒體，其中 36 200400741 上述專屬識別包含一專屬識別對（PUID)。 34.如申請專利範圍第33項所述之電腦可 19貝取媒體，其中上述PUID與一護照服務相關。、 3 5 ·如申請專利範圍第3 4項所述之電句 J項取媒體，甘中上述專屬識別包含一 PUID並且轉譯該專屬識別為I述 SID的步驟，包括：區分該PUID為至少一個子授權識別部份和至少一個成員識別部份。 36·如申請專利範圍第34項所述之電腦可讀取媒體，其中上述專屬識別包含一 PUID並且轉譯該專屬識別為上述 SID的步驟，包括：提供上述護照專屬識別給一應用程式介面（API);及自上述API接收該SID。 3 7 ·如申請專利範圍第31項所述之電腦可讀取媒體，其中接收上述專屬識別的步驟更包括：從該以Kerberos為基礎之訊息中，接收該專屬識別。 38·如申請專利範圍第37項所述之電腦可讀取媒體，其中在以Kerberos為基礎之訊息中，專屬識別是在PAC中提供。 200400741 39. 一種轉譯專屬識別對之方法，包括： (PUID)為對應之安全識別 (SID) 接收該PUID ; 部份以及至少該至少一個成區分該PUID為至少一個子授權識別個成員識別部份；以及員組合該至少一個子授權識別部份和識別部份為上述SID。

40. 如申請專利範圍第39項所述之方法，其中組合該至少一個子授權識別部份和該至少一個成員識別部份為上述 SID的步驟更包括整理該Sli)，使其擁有子授權識別、一函數 HIWORD(MemberlDHigh) 、一函數 LOWORD(MemberlDHigh)以及—MemberlDLow。 41. 如申凊專利範圍第39項所述之方法，更包括輸出該sid 的步驟。

42. 一種擁有電腦可執行指令以執行動作之電腦可讀取媒體，包括：接收一專屬識別對（PUID);以及籍由區分該PUiq為至少一個子授權識別部份以及至少一個成員識別部份，並組合該至少一個子授權識別和該至少一個成員識別部份為上述SID之步驟，可轉譯該 38 200400741 PUlD為一對應之安全性識別（SID)。 Λ 〇 •如申請專利範圍第42項所述之電腦可讀取媒體，其中組合該至少一個子授權識別部份和該至少一個成員識別部份為上述SID的步驟更包括安排該SID使其擁有上述之子授權識別、一函數HIWORD (MemberlDHigh)、一函數 LOWORD (MemberlDHigh)以及一 MemberlDLow。 44·如申請專利範圍第42項所述之電腦可讀取媒體，更包括輸出上述SID。 45· 一種可對至少一個電腦資源控制存取之系統，包括·· 記憶體；和一運作邏輯用以連接上述記憶體及可設定以接收與使用者相關之專屬識別，其係欲提供受控制之權限給該使用者，上述專屬識別係與另一已授權該使用者之電腦資源相關，上述邏輯更可設定並用以轉譯上述專屬識別為安全性識別（SID)，且當該SID符合至少一個其他儲存在上述記憶體中並與該至少一個電腦資源相關之sid 時，則允許該使用者存取上述至少一個電腦資源。 46.如申請專利範圍第-45項所述之系統，其中該專屬識別包括一專屬識別對（PUID)。 39 200400741 4 7.如申請專利範圍第4 6項所述之系統，其中該照服務相關。 48·如申請專利範圍第47項所述之系統，其中進一步設定為可區分上述護照專屬識別為至權部份以及至少一個成員識別部份。 49·如申請專利範圍第45項所述之系統，其中在為基礎之訊息中，可設定該邏輯以接收專屬言 50·如申請專利範圍第49項所述之系統，其中由以Kerberos為基礎之訊息中之pac所提供 5 1.如申請專利範圍第49項所述之系統，其中該為基礎之訊息與一 S4U2self程序相關。 52.如申請專利範圍第49項所述之系統，其中該為基礎之訊息與一 S4U2proxy程序相關。 53·如申請專利範圍第45項所述之系統，其中其他儲存在上述記憶體中之SID為一存] (ACL)之部份，又該ACL與上述至少一個電月 54.如申請專利範圍第45項所述之系統，其中 PUID與護該邏輯係可少一個子授以 Kerberos 我別。該專屬識別〇以 Kerberos 以 Kerberos 該至少一個 4控制列表 i資源相關。該邏輯可進 200400741 一步設定至少一個電腦資源並對一欲供以存取控制權限之使用者提供匿名使用者帳號之能力。 55. 一種可對至少一個電腦資源設定存取控制權限之系統，該系統包括：一通訊網路；第一裝置，其係連結至上述網路並設定為可接收至 ^個使用者之至少一個電子郵件（e-mail)位址，又該使用者欲核准為擁有存取上述至少一個電腦資源之最小權限，之後提供該電子郵件位址給上述網路，然後在該網路上接收對應且與該電子郵件相關之專屬識別，及以所 :收之專屬識別為基礎，設定至少一個與至少一個電腦資源相關之存取控制權限給該使用者。 56. ^ 丁明哥至少一個其他获__ ^置’用以連結上述網路且設定為至少一個能夠自該铜牧、周路接收上述至少一個電子郵件之可信任服務，轉拖姑換該電子郵件位址為該專屬識別且輸出該專屬識別給該網路。 57.

如申請專利範圍第= $ 56項所述之系統，其中該第一農置可進一步設定為棘場分·由 ” 專屬識別為一安全性識別（sid) 並使該SID與至少—加 ) 個電腦資源之至少一個存取控制列表（ACL)產生關聯。 41 200400741 58·如申請專利範圍第57項所述之系統，其中該專屬識別包含一專屬識別對（PUID)。 5 9 ·如申請專利範圍第5 8項所述之系統，其中該專屬識別包含一護照專屬識別。

60.如申請專利範圍第59項所述之系統，其中在轉譯出對應之SID時，該第一裝置可被進一步設定為可區分該護照專屬識別為至少一個子授權部份以及至少一個成員識別部份。 61.如申請專利範圍第55項所述之系統，其中該第一裝置可設定為在一個以Kerberos為基礎之訊息之中接收上述專屬識別。

62.如申請專利範圍第61項所述之系統，其中在以Kerberos 為基礎之訊息之中，在一 PAC中提供上述專屬識別。 42