TWI353154B

TWI353154B - Method, system and computer readable medium for pr

Info

Publication number: TWI353154B
Application number: TW092112488A
Authority: TW
Inventors: R Mowers David; Doubrovkine Daniel; Leban Roy; E Schmidt Donald; Viswanathan Ram; E Brezak John; B Ward Richard
Original assignee: Microsoft Corp
Priority date: 2002-05-10
Filing date: 2003-05-07
Publication date: 2011-11-21
Also published as: HK1060201A1; KR20030087990A; RU2337399C2; ATE398799T1; NO20032094L; PL359993A1; TW200400741A; RU2390838C2; KR100986568B1; MY145724A; JP2004005647A; DE60321618D1; US7401235B2; BR0301034A; JP4756817B2; AU2003203708A1; CN1456983A; EP1939707B1; EP1361494A3; AU2003203708B2

Description

1353154 九〕、身a月說明【發明所屬之技術領域】本發明一般係相關於電腦存取控制，尤其係基於一使用者的外部鑑別’以將區域系統授權背景（丨〇ca丨syStem authorization context)提供給該使用者之方法和系統。【先前技術】對於電腦安全而言’存取控制是重要的。為完善保護電腦系統及重要資料之私密性，人們實行了各種的存取控制方案，以防止未經授權之使用者及惡意攻擊者得以存取電腦資源。為破保電腦安全的綜合性（comprehensiveness)，各個位準係通常實行了存取控制。例如’在電腦的位準，典型的情形是使用者必須經由一登入程序，藉此該電腦係決定該使用者是否被授權使用該電腦。此外，在電腦網路的位準，使用者通常必須經由一使用者鑑別程序，以達成控制該使用者對不同的網路服務進行存取之目的。即使在一網路存取控制词服器已鑑別該使用者之後，該使用者仍然必須要求一特定伺服器的允許以存取該伺服器。基於不同的通訊協定（例如 Kerberos 5通訊協定）之方案，係已經藉由使用者鑑別的機制加以設計並實行，以供控制網路存取控制。一般而言，電腦的使用者登入以及網路存取控制的使用者鑑別是兩個分開的部份。不過’為減少使用者使用該等不同的存取控制方案的貞擔，該使帛者登入以及網路存取的該 5 1353154 使用者鑑別，係常常一起執行。例如’在Kerberos通訊協定下實行該使用者授權之案例中，則當使用者登入電腦時，該電腦通常亦啟始了 Kerberos鑑別程序。在該 Kerberos 鑑別程序中’電腦聯絡一 Kerberos金錄發佈中心（KDC)，首先’替該使用者取得一票據准許票據（Ticket Granting Ticket，TGT)，而後該電踏便能使用該 TGT自 KDC為自己獲得一會期票據（session ticket)。

當網路開始發展，伺服/服務電腦利用多層次架構處理客戶端電腦的要求便成為一種趨勢。舉_簡單的例子，客戶端電腦利用網際網路向全球資訊網網站提出一要求。在這裡，可以有一前端網頁伺服器處理格式及相關交換規則，而一後端祠服器則作為該網站的資料庫。為了加強安全，該網站可以設定’使得一鑑別通訊協定（authenticati〇n pr〇t〇c〇1)係將身份碼（credential) ’例如，使用者的TGT，及/或其他可能資訊’自前端伺服器轉送（或委派（delegate))至後端伺服器。此一應用在許多網站及/或其他多層次網路上愈益常見。

*所有的伺服器/服務及客戶端同意使用相同的鑑別程序時’則委派及其他相似的技術是有用的。然而，今日所使 _別程序並非只有一種。共同待決（Co-pending)美國申月案序號.09/886,1 46 ，係提出了用於控制該委派之改進。。使用者被一網路/系統鑑別，那麼通常有一或多個額、-j存取控制檢查’以防止該使.用者存取他/她未被授權存取的胃、为、旦一使用者被鑑別並通過適用（applicable)的存取控制檢查，則該使用者被稱之為「已授權」。在特定系 6 統中，例如，存取控制是基於具有不同服務及資源（亦即物件）的存取控制列表（Access control lists，ACLs)。一 ACL通常包括存取控制貧體（ACEs)，該等存取控制實體可能包含零個以上的安全性識別符（security identifiers，SIDs)。SIDs與被允許存取該物件的使用者或使用者群組相關。如果在ACLs上沒有SIDs，則沒有使用者將具有該物件的存取；如果在acls 上有SIDs ’那麼可以產生至少—個符合的SID之使用者將被允許存取該物件。因此’當一鑑別的使用者登入，籍由產生與該使用者相關的標記（token)，（例如，存取標記），以產生該使用者的鑑別背景。典型的標記包含與使用者相關的SIDs。例如，該使用者的標記可能包括一指定給他的專屬SID，外加指定該使用者所屬業務部門的群組SID。當該使用者想要存取一物件時’會利用該物件的ACL比對該使用者的標記。如果使用者的標記包含至少一個與該物件ACL上的SID相符的SID，表示該被鑑別的使用者已被授權以某種方式存取該物件。例如’該用者可以讀寫由其他同業務部門的成員（亦即其他的群組成員）所製作的檔案。當系統被小心控管時，這種認證設計通常會運作地相當地好。例如，公司内的企業位準電腦網路通常提供—内聚性 (cohesive)環境，在這裡使用者和AcLs可以籍由集中的和/ 或分散的鑑別以及存取控制系統小心地控制。另一方面，對非常大的網路而言’例如，網際網路，和/或其他重要的非内聚性網路’當想要盡可能服務愈多的使用者時’包括沒有區 7 1353154 域存取帳號的使用者，則鑑別和存取控制就愈困難。當軟體程式及資源朝向以網路為基礎的服務發展時，與此類網路服務相關的授權使用者的行為就愈益重要，須求也愈高。因此，有須要改良鑑別方法及系統。較佳的方法及系統允許由受信任的外部資源所鑑別的使用者，使得無須具有與該換件相關的專屬使用者帳號，該使用者即可獲得某些物件的一些存取控制位準。此外，該方法及系統不應該大幅降低

能夠將物件的存取提供給大量使用者之配置上的可擴充性 (scalability)。【發明内容】本發明提供一種改進的方法及系統，允許由受信任之外部資源所鑑別的使用者，使得無須具有專屬的區域使用者帳號，該使用者即可獲得所選擇的物件之存取的控制位準。實仃該方法及系統，係不會大幅降低被組態為能夠將物件的存取提供給大量使用者之電腦系統及或網路配置的可擴充性。上述的須求可籍由一些方法達成，例如，籍由對至少_ 個電腦資源提供存取控制機制，而該方法包含了接收一與使用者所欲存取電腦資源相關的專屬識別符。較佳的方法，係以一些方式使[由另-電腦資源所產生的專屬制符被認定為可信賴，而且/或者服務並常常鑑別該使用者。該方法包括轉譯所接收的專屬識別符為安全性識別符：cu:y *ntifier，SID)，而㉟SID㉟用於保護電腦資源的存取機制》該方法更進一步地包含了決定是否該sm符合至少一個 8 1353154 先前經由存取控制儲存且與電腦資源相關的SID。在某此血型的實施例中，該專屬識別符包括一成對專屬識別符（a p . wise unique identifier，puiD)。例如，由微軟公司所提供護照服務（Passport service)便採用該PUID。而存取控制機制便利用存取控制列表（ACL)以建立允許存取電腦資源的使用者或使用者群組* 本發明尚有實施例’對至少一個電腦資源提供—種建立存取控制審核的方法。其中，該方法包含接收至少一個欲准予至少受限的的存取權限的使用者之至少一個電子信箱位址。例如，一由存取控制機制所鑑別之使用者可以輸入其他使用者的電子郵件位址並指定該使用者可存取的電腦資源及權限。該方法更進一步包括提供電子郵件位址予一可信賴之伺服器，該伺服器能夠傳回與該使用者的電子郵件位址相關的專屬識別符。該方法包括接收此一專屬識別符，然後以該專屬識別符設定至少一組存取控制權限。這些可以包括，例如，轉譯該專屬識別符為一 SID，以及使該SID與電腦資源的至少一存取控制列表ACL產生關聯。本發明尚提供一種轉譯PUID為對應的SID的方法。該方法包括接收該PUID，區分它為至少一子授權識別符之部伤，以及至少一成員識別符之部份，最後將該子授權識別符及該成員識別符組合（arrange)成sΠ) » 依據本發明的實施例，本發明亦提供控制至少一電腦資源的存取之系統。該系統包括邏輯和記憶體，該邏輯和記憶體被设定為用以接收與提供以存取電腦資源權限之使用者 9 1353154 相關之專屬身份識別，轉譯專屬身份識別為安全性身份識別 (SID) ’以及決定是否豸sm #合儲存於記憶體中並與電腦資源相關之至少一個其他的SID。本發明提供範例系統’以供設定電腦資源存取控制權限之實施例中’-包含通訊網路之系統，該通訊網路連接第一裝置及至少一個其弛裝置。第一裝置被設定為接收至少一個使用者的電子郵件位址，用以准予存取電腦資源的至少受限的權限。該第一裝置提供這個電子郵件位址給網路上的其他裝置，並自網路上的其他褒置接收與該電子郵件位址相關且對應的專屬識別符。基於該專屬識㈣，設定至少—個與該電腦資源相關的存取控制權限。其他的裝置被設定為接收：路上的電子郵件位址’並將該電子郵件位址轉課為專屬識別符，而後輪出此專屬識別符至網路上的第一裝置。【實施方式】概觀本發明之方法及系統可應用於鑑別使用者/資源，與/ 或提供一授權背景以供使用者存取某一資源。下節所述為示例性之電腦環境。在簡述示例性的 S4U2pr〇Xy及S4U2self技術内容，其係為美國專利申請案序號：09/886,146的申請標的》下文將以附圖敘述依據本發明的概念所設計提供授權之創新技術。本發明提供改善之方法及系統，例如，允許受产任之外部資源所鑑別的客戶端（如，使用者），使得益彡^ 10 1353154 有區域存取控制能力，即可獲得所選擇的區域伺服器資源之存取的控制位準。之後將更明白地解說。本文所述的授權方案可以多種不同的方式實行，亦能增進電腦資源的安全以及使用者獲得電腦資源所提供的服務之存取能力。不例之電腦環境

如附圖所示，編號標示的元件說明本發明在適當的電腦環境中如何被運用。雖非必須，但本發明將以電腦可執行指令之一般辭彙敘述。例如程式模組，可在個人電腦上執行。一般而言，程式模組包括副程式、程式、物件、組件、資料結構等等。它們執行特定的任務或者實行特定的抽像資料型態。更進一步地說，本文提及的這些技術是非常重要的，可實施本發明在其他電腦系統的組態，包括手提式裝置、多處理器系統、以微-處理器為基礎或可程式的消費性電子產品、網路個人電腦、迷你型電腦、主機以及其餘相似物件。本發明亦可實施在分散式運算的環境。分散式運算係藉由網路連結遠端的計算裝置以執行其任務。在分散式運算的環境中，程式模組可位於本機端及遠端儲存記憶的裝置當中。第1圖揭示本發明應用在一適當電腦環境1 2 0之實施例。電腦環境 1 2 0為下文所述方法及系統可以實行之環境。電腦環境 1 2 0僅是在適當電腦環境之一例，並不侷限本文所述之改善之方法及系統在功能上或使用上的範圍。 11 1353154 其應用之條件及相關物件亦不以本例電腦系統環境120 所示元件或組合為必要。

本發明之改善的方法及系統可配合其他一般或特殊用途之電腦系統環境或組態操作。本發明適用於但不限於習知的電腦系統、環境及/或組態。包括個人電腦、伺服器、掌上型或巧攜式裝置、多處理拜系統、以微處理器為基礎的系統、機頂盒、可程式消費性電子、網路電腦、微電腦、主機、任何包括任一上述系統或裝置的分散式運算系統及其餘相似物件° 如第1圖所示，電腦環境120包含電腦130之虛線範圍内所示之通用用途的計算裝置。電腦之元件可以包括一或多個處理器或處理單元1 3 2，一系統記憶體1 3 4，以及一用以耦接不同系統元件（包括系統記憶體1 3 4)至處理器 1 3 2之匯流排1 3 6。

系統匯流排1 3 6可能為任一規格之匯流排，包括任何匯流排構造的記憶體匯流排或記憶體控制卡、週邊匯流排以及本機匯流排。以下述為例但不侷限於下述實施例’這些匯流排規格包括工業標準架構（Industry Standard Architecture,ISA)匯流排、微通道架構（Micro Channel Architecture, MCA)匯流排、加強 ISA(Enhanced ISA，EISA) 匯流排、視訊電子標準協會（Video Electronics Standards A s s o c i a t i ο η， V E S A)區域匯流排以及亦被稱之為閣樓 (Mezzanine)匯流排的週邊零件連接介面（Peripheral Component Interconnects, PCI)匯流排。 12 1353154 典型的電腦130包含多種電腦可讀取媒體。此類媒體可以疋任何電腦130能夠存取之媒體。而它亦包括揮發性/ 非揮發性，可移除以及不可移除之媒體。

第1圖’系統記憶體1 3 4包括揮發性記憶體型態之電腦可讀取媒體’如隨機存取記憶體（RAM)140，及/或非揮發性記憶體*如唯讀記憶體（R〇ivi)丨3 S。_基本輸入/輸出系統（BI〇S)142，包含諸如在啟動，儲存r〇m時，在電腦 130元件間協助傳送資訊之基礎例行程序。ram14〇通常包含可為處理器132快速存取及/或即時操作之資料及/或程式模組。電腦130亦可包括其他可移除/不可移除揮發性繒揮發性電腦儲存媒體。如第！圖所示，硬碟機144讀取或寫入一不可移除且非揮發性礙性 β地地沒媒介，一磁碟機146 s賣取或寫入可移除、非揮發性磁磔却M8，以及一光碟機150讀取或寫入可移除、非揮發性弁 & 碟、152 如 CD ROM/R/RW, DVD-ROM/R/RW/ + R/RAM 或龙， /、他光學媒介。硬碟機144、磁碟機146以及光碟機15〇

常藉由一或多個界面154，連接至系統匯流排1 3 6。上述裝置及其相關的電腦嗎可讀取媒體提供電腦丨30非揮發性的儲存之處，以供其 Μ存電腦可讀取指令、資料結構、程式模纽及其他資料。雖 s然本發明的示例性環境以硬碟、可移除磁碟148以及可敕队砂除光碟1 5 2為例。但本文所有技術亦可實施於其他種類、電腦可存取媒介。例如，磁 π、快閃記憶體、隨機存取 β己憶體（RAMs)、唯讀記憶體 13 1353154 (ROM)及其他相似的儲存元件。一些程式模組可能儲存在硬碟、磁碟 1 4 8、光碟 1 5 2， ROM 1 38，如圖例，包括作業系統 158，一或多個應用程式 160，其他程式模組 162及程式資料 164。本文中改進的方法及系統可以應用在作業系統 1 5 8，一或多個應周程式 1 6 0，其他程式模組 1 6 2，及/或程式資料 164。一使用者可能經由輸入裝置如，鍵盤166及指標裝置 168(如，滑鼠）對電腦 130輸入指令及資訊。其他輸入裝置（附圖未顯示）可能包括一麥克風、搖桿、遊戲控制器、衛星天線、序列埠、掃描器等等。以上裝置及其他輸入裝置籍由一連接匯流排136之輸入裝置170以耦接至處理單元1 3 2，但亦可籍由其他介面及匯流排構造，如平行埠、遊戲埠或通用串列匯流排（USB)。一螢幕172或其他型態之顯示裝置亦籍由一介面連接至匯流排1 3 6。例如，影像介面卡1 74。除了螢幕1 72之外，一般個人電腦亦包括其他週邊輸出裝置（附圖未顯示），如揚聲器及印表機，它們亦可經由週邊輸出介面1 7 5相連。電腦1 3 0可能在網路環境中利用邏輯連接至一或多個電腦。例如，電腦1 8 2。遠端電腦1 8 2可能包括多個或者全部與本文電腦1 3 0相關之元件及持徵。第 1圖所示之邏輯連結為一區域網路（LAN)177及普通的廣域網路（WAN) 1 7 9。此類的網路環境常見於辦公室、企業内部電腦網路、内部網路以及網際網路。 14 1353154 當用於一 LAN網路環境中時，電腦130籍由網路介面卡186連接於LAN 177。當用於一 WAN網路環境中時，該電腦通常包括一數據機178或其他能在WAN 179上建立通訊之裝置。數據機178可以是内部或是外部用的，可以籍由使用者輸入介面1 7 0或其他適當設備連結至系統匯流誹 1 3 6。

如第1圖所示，其係為一建構於網際網路180上的廣域網路WAN。此處，電腦1 3 0利用數據機1 78與至少一個遠端電腦182建立通訊。在一網路環境中，與電腦1 3 0相關的程式模組或其中的部份，可以儲存在一遠端記憶儲存設備中。如第1圖所示，因此遠端應用程式189可以存在於遠端電腦182的記憶儲存設備中。必須注意的是，本文圖示及敘述之網路連結僅為一例，亦可使用任何其他建立通訊之工具。示例之S4U2Proxy and S4U2Self委派技術之摘要

本文將簡要說明並著重於在客戶端至伺服器端網路環境中控制信任授權之技術及設計。本實施例將闡明一以坎伯洛斯（Kerberos)為基礎之系統。那些 S4U2Proxy 及 S4U2Self 之技術及下文將解說之授權技術可以是或可不是在相同系統執行，而且亦可在其他以憑證為基礎之授權系統執行。如上所述，持有客戶端的票據准予票據（Ticket g r a n t i n g t i c k e t，T G T )以及相關的鑑別器，允許該持有者自 15 1353154 受信任之第二者要求代表該客戶之票據，此第三者可以是金錄發佈中心（KDC)。現今Kerberos在特定之實施例中支板此類非受限委派方式（unc〇nstrajned delegation)，而此類委派方式能轉送票據委派綱要。在美國專利申請序號：09/886,1 46中所敘述者，係受限（constrain)或其他較佳之委派程序之方法及系統。可經由代理词服器之使用者的服務

(service-for-user-to-pr〇xy)(S4U2Proxy)之技術來控制該委

派程序’該技術允許伺服器/服務（例如，前端伺服器/服務）要求代表客戶端之服務票據以供其他伺服器/服務的使用。該S4U2proxy通訊協定有益地以可控制的方式來提供受限之委派’毋須客戶端轉送一 TGT給前端伺服器。另一技術為自身伺服器之使用者的服務 (service-for-user-to-self)(S4U2self)通訊協定，該技術允許伺服器要求給予自身之服務票據，只要產生的該服務票據中係提供有該客戶端的身份。例如，此允許已被其他鑑別通訊協定所鑑別的客戶端，接收可使用該S4U2proxy通訊協定之服務票據’以提供受限的委派。該S 4 U 2 s e 1 f技術有兩個示範型式，就是「無憑證」及「憑證」型式。在無憑證型式中，受信任的伺服器係使用該伺服器私用的另一安全/鑑別機制來鑑別該客戶端。在憑證型式中，該KDC(或受信任的第三者）係根據該客戶端進行鑑別時所獲得的與該客戶端相關而提供的資訊，以製造給該伺服器的鑑別》因此，在一Kerberos環境中，不管是藉由 Kerberos 16 1353154 還是其他鑑別通訊協定所斯2丨 _ 谢疋所鑑別，一客戶端皆可以存取伺服器/服務。所以，德瑞愈/ +廿交％興/或其他伺服器/服務可以在純粹

Kerberos環境中運4 乍。如第2圖所不，為一客戶端-祠服器環境200中之 S額proxy通訊協定/程序。客戶《2〇2減至一提供鑑別服務206之受信任第三者2〇4。例如，一 KD(：，一憑證核發管理單位，一網域管理者，及/或其他相似的種種。鑑別服務206經設定以存取資料庫2〇8所保存之資訊。客戶端 202及受信任之第三者204進—步耦接至一伺服器A2i〇。本文所用詞粂「伺服器」及「服務」被通用為代表俱有相同或相似功能之物件。本例中’飼服器A 2 1 〇為一連接多個伺服器之前端伺服器。該词服器A 210耦接至伺服器b 212及伺服器C 2 1 4。如圖所示，伺服.器B 2 1 2可以是一備份服務。此外， .祠服器C 214更進一步耦接至伺服器d 216。為回應一在客戶端202登入之使用者，一鑑別要求 (AS_REQ)之訊息220被傳送至鑑別月艮務206，而該鑑別服務則以一鑑別回應（AS_REP)訊息222回應。在AS_REP訊息222中含有一與該使用者/用戶端相關之TGT。相同或相似之程序（未圖示）亦在授權伺服器A 2 1 0時進行。當客户端202想要存取伺服器A210時，該客戶端傳送一票據准予服務要求（TGS_REQ)訊息224給鑑別服務 206。而該鑑別服務傳回一票據准許服務回應（TGS-REP) 訊息226。TGS_REP訊息226包括一與客戶端202及伺服 17 1353154 器 A 210相關之服務票據。因此’為了初始一通訊會期 (communication session)，客戶端202以應用通訊協定要求 (AP一REQ)訊息228轉送服務票據至伺服器a 21 0。此類處理/程序為眾人所習知，因此不再做更進一步的說明。

在某些系統’為支援委派’客戶端需要將客戶端TGT 提供給伺服器A 2 1 0，以允許伺服器a 2 1 0要求代表客戶端2 02之額外的服務票據。此動作在s4U2proxy是非必須的。相反的，當伺服器A210須要代表客戶端202存取其他伺服器（例如，伺服器C 2 1 4)時，則伺服器A 2 1 0及鑑別服務206將依據S4U2proxy通訊協定操作。

伺服器A 210傳送一 TGS_REQ訊息230至鑑別服務 206。TGS_REQ訊息230包括供伺服器A 210所用之TGT 及自客戶端202接收之服務票據，以及識別客戶端202所尋求存取的目標伺服器/服務，例如，伺服器C 2 1 4。舉例來說’在Kerberos中有一定義為廣充性資料欄位，通常稱為「額外票據」。在S4U2proxy通訊協定中，係使用該額外票據欄位以承載自客戶端所接收之服務票據。而且，KDC 選項欄可以包括一旗標或其他指示器，用以指示接收的 KDC在該額外票據欄位尋找用以支持客戶端識別的票據。本文所提及之技術將識別上述或其他欄位與/或資料架構係可以承載必要資訊給鑑別服務2 0 6。在處理TGS_REQ 230時’鑑別服務206判別是否客戶踹2 0 2已被授權委派，例如，基於藉由客戶端所建立的「轉送旗標」值來決定。因此’每一客戶端之委派，係籍 18 1353154 由客戶端的服務票據中的轉送旗標來執行。如果客戶端 2 0 2不想參與委派，則該票據將不被標示為「可轉送」。鑑別服務2 0 6將該旗標視同為客戶之初始限制。鑑別服務2 0 6 可以在資料庫2 0 8中存取額外的訊息，這些訊息係定義允許該伺服器A 210委派給（或者不委派給）客戶端202之選擇的服務。

如果鑑別服務206決定允許該伺服器A 210委派給目標伺服器/服務，則一 TGS_REP訊息232將被傳送至伺服器A 21 0。TGS_REP訊息232包括該目標伺服器/服務的服務票據。該服務票據就如同客戶端202直接向鑑別服務206 要求的服務票據（例如，使用該客戶端的TGT)。然而，其實這件事並未執行。相反地，基於被鑑別的伺服器 A 2 1 0 由客戶端202所接收並將其包含在TGS_REQ訊息230中的服務票據’得知被鑑別的客戶端係基本上與該要求相關之後，則鑑別服務2 0 6係存取在資料庫2 0 8中的相似/需要的客戶端資訊。然而’既然該客戶端資訊係由客戶端的票據所承載，該伺服器只須要自票據中複製資料即可。在特定的實施例中，T G S _ R Q P訊息2 3 2係識別目標伺服器/服務及客戶端2〇2，且進一步包括供實行專用識別/ 使用者/客戶端帳號資料’例如，權限屬性憑證（Privilege attribute certificate, PAC)、安全性識別符、Unix ID、護照識別（Passport ID)，憑證等型式。舉例而言，一 Pac可能由鑑別服務206所產生或僅是自包含在TGS_REQ訊息 2 3 0中之客戶的服務票據複製而成。下文示例性之授權背 19 景產生方案（authorization context grnerating schemes)將更進一步敘述護照識別之使用方式。

PAC或其他使用者/客戶端的帳號資料亦可以設定為包含與委派範圍（the scope of delegation)相關之資訊。舉例而言，第4圖解說Kerberos訊息400之特定部份，包括標頭（header 402)及PAC 404。此處，PAC 404包括委派資訊 406。如圖所示，委派資訊406包括複合識別資訊 (compound identity information)408 及存取限制資訊 (Access restriction information)4 1 0 ° 舉例來說，複合識別資訊408可能包括與委派程序相關之記錄資訊，例如，有關於伺服器A 2 1 0要求代表使用者/客戶端的服務票據之事實之指示。此處，可提供大多數此類的記錄資訊，作為串連或者識別多個委派程序歷史記綠之用。此類訊息可能對審核與/或存取控制有用。

舉例來說’存取限制資訊4 1 0能夠與存取控制機制相連接，以選擇地允許特定伺服器/服務的存取，客戶端係直接或間接經由飼服器A 2 1 0以搜尋該伺服器/服務的存取’除非是間接經由伺服器B 2 1 2來搜尋該伺服器/服務的存取。此功能有助於在鑑別憑證之委派上的額外控制。在上述實施例中，客戶端202經鑑別服務2〇6鑑別。然而’其他的客戶端可能不是如此進行鑑別的。如第3A 圖所不，一客戶端302籍由一不同之鑑別通訊協定機制3〇3 被授權。例如’授權通訊協定機制3〇3可能包括護照 (Passport)，安全編碼傳輪（SSL)，NTLM，或其他與 20 1353154 鑑別通訊協定/程序相似者。本實施例中，假設客戶端302 選擇存取恰為伺服器C 2 1 4所提供的目標服務，該選擇可以上述的S4U2proxy通訊協定加以滿足，但只在伺服器Α 完成/接在一 S4Uself通訊協定/程序之後。

S4U2self通訊協定的一個基本前提，係伺服器（例如’ A 2 1 0)可以為任甸正要存取已被鑑別的該祠服器之使用者 /客戶端，要求一服務票據給自身。本實施例中之S4U2self 通訊協定被設定為支援擁有鑑別「憑證」及沒有鑑別「憑證」的客戶端。若沒有供鑑別服務2 0 6衡量之用的鑑別憑證，則伺服器A 210將須要「信任」客戶端302。舉例來說，如果客戶端302擁有一鑑別憑證或是相似之機制304可供飼服器 A 2 1 0確認（validate)之用，則該客戶端3〇2可以被判定為「可信任」。所以’伺服器A210本質上授權了客戶端3〇2。之後’飼服器A 210傳送一 TGS__REq訊息3〇6至鑑別服務206 ’替客戶端302要求一服務票據給伺服器a本身在回應中，鑑別服務2 0 6產生一 TGS__REP 訊息 3 08，

該TGS 一 REP包含所要求的服務票據。所接收之服務票據被用於隨後之S4U2proxy通訊協定/裎序，用以替客戶端 302要求伺服器C 2 1 4的服務票據。舉例來說，在特定之 Kerberos實施例中，需要設定TGS__rEj>訊息3〇8中之轉送旗標被設定為為允許轉送服務票據。而受传任之第三者可用以包含在所產

亦可為客戶端302建立一 PAC’該PAC 生之服務票據中。 21 1353154

如果客戶端3 02的鑑別憑證不存在’那麼伺服器A2 1 〇可以在TGS_REQ訊息312中包含此憑證’作為額外的預鑑別資料。如第3B圖中的環境300’所示。客戶端302’將憑證資訊3 1 0提供給伺服器A 2 1 0 »該憑證資訊3 1 0可以包括，例如一質問/回應對話，或者其他由另一受信任實體產生之訊息。基於憑證資訊3 1 0的接收及隨後的確認，鑑別服務2 0 6才准許將該要求的服務票據給伺服器A 2 1 0自身》請注意，在特定實施例中，伺服器可利用憑證為客戶端獲取受限之TGT。

在特定之Kerberos實施例中，TGS_REP中之轉送旗標訊息3 1 4被設定為允許轉送服務票據。如果一 PAC為 TGS_REQ訊息3 1 2所提供，那麼它可以在月艮務票據中被使用；否則’一 PAC可以由鑑別服務206(此處為一 KDC)基於憑證資訊（evidence information)310來產生。例如，在 S4U2self中，客戶端的識別係被包含在預鑑別資料中，而該識別可用以建構客戶端的PAC並（為客戶端）將其加入伺服器所核發的服務票據中。示例之授權背景產生技術下文重點為敘述本發明特定實施例中示例性之方法及系統。不論有無S4U2pr〇xy與/或S4U2self通訊協定，該類方法及系統皆可以被實施。不論有無護照服務（美國華盛頓州雷蒙郡的微軟公司所提供），該類方法及系統亦皆可以被實施。熟知本項技藝的人應可識別本項技術可實施於各 22 1353154 式其他通訊協定與/或服務。此外，如有需要，在示例中將假設那些通訊協定及服務能夠支援授權内容產生技術。如第5圖所示，為一與客戶端-伺服器網路設置5()() 相關之特定特徵/功能/程序之區塊圖。該設置能夠提供— 客户端的授權背景’否則客戶端將無法被授權存取特定資源s w ，神邛地耦接至一伺服器 5 04，與使用者#1(U1)相關之第一客卢而5 0 6，以及與使

者#2(U2)相關之第二客戶端508。本趣故"& 、尽貝施例中’如虛線 51〇, 512及5!4所表*，這些裝置間有某μ" ^ 此，例如，當in登入客戶端506及飼服器x 5〇2以广伺服器X 502所提供之資源時，例如存取物件5 1 6時子戶端506及词服器X 5〇2經設定而形成信任關係川：登入程序可..能包括鑑別及存取控制。 J 相冋地，當U 2 Λ 伺服器Υ 504及客戶端508時，客戶且峒50 8及伺服器γ 5 經設定而形成信任關係5 1 2。此外，7，丄此例中伺服器χ 5 及伺服器Υ 504可以經由受信任的

乐一者204而形成作關係514。然而，此刻在客戶端5〇8及伺服器χ 5D 並不存在信任關係。之明的某些觀點，權背景，以允許之小圓圈旁之箭 ~些動作可能以其允許 U2取頭代表不同的如第5圖及第6圖所示的本發客戶端508具有飼服器X 502的授得物件5 1 6的存取。内有序號標示著處理動作。在其他的實施例中，順序發生。 23 1353154 如圖示，動作#0為信任關係510, 512及514的產生。此類的信任關係可以依操作須要而選擇性地創造。

本實施例中’假設U i欲允許U2存取物件5 1 6。當U 1 經由彳s任關係510被授權去存取物件516時，U2並未被授權允許存取物件516。此外’更進一步之需求為避免將U2 增加為词股器X 5〇2的存取控制系統之授權使甩者。例如，當U1欲准許U2存取U1之雇主所保管或提供之tn 的線上計劃時程表時，這種狀況就會發生。此處，雇主不想增加一個新的授權使用帳戶至系統中。

如第6圖所示，虛線範圍600内為客戶端506提供給之與圖形使用者介面（Gui)·相關之某些示例性功能。本例中’在U1登入伺服器X 5〇2後顯示網頁602或其他類似的晝面。在網頁602中，物件516呈現出時程表GUI 604，該時程表Gui顯示與ui_相關之訊息。U1能夠自606 開啟一個入口，其包含一識別輸入欄6 0 8及（選擇性的）一或多個選定的權限設定610。U1在此啟始讓U2最終可獲得存取物件5 1 6權限之程序。 U 1為U 2輸入一識別。該例中，該識別包含U 2專屬之全球資訊網電子郵件位址，在這邊稱之為 user2@hotmail.com 。此處輸入之識別為微軟公司提供之 hotmail.com服務之登錄使用者。一 hotmail .c o m之登錄使用者U 2被假設為亦有對應之微軟公司護照帳號。u 1亦可以依據所欲准許存取物件5 1 6 (在這裡，例如，一線上時程表應用程式）之權限，替U2設定一或多個權限設定6 1 0。 24 1353154 此刻，U1已經設定U 2為擁有「讀取」之權限。回頭看第 5圖’在客戶端5 0 6及伺服器X 5 0 2間識別該使用者之程序以動作# 1代表。

伺服器X 502承認U1已經替U2提供了識別，在動作 # 2與伺服器Y 5 0 4的通訊中，假設此例為習知之護照词服器。這裡’伺服器X 502提供識別user2@hotmail.com予伺服器Y 504並要求伺服器Y 504提供對應之通用專屬護照識別（Passport user identidy，PUID)(亦常指為成對專屬識別符，Pair wise Unique ID)。在動作#3中，伺服器Y 504 傳回U2的PUID(5 2 4)給伺服器X。如果信任關係514是一以Keberos為基礎之關係，那麼該PUID可以在先前提過之例如PAC _被傳回。

現在’伺服器X 502擁有U2的PUID 了》在動作#4 中，伺服器X 502解譯該PUID為一對應之sID 522，該 SID適用於词服器X 5 0 2之原鑑別系統。如圖所示，物件 516與ACL518相關，該ACL擁有至少一個包含SID 522 之 ACE 520。該6 4位元之P UID由1 6位元之護照網域授權識別及一 4 8位元之成員識別符組成。為構成一 s ID，它必須維持一網域授權為一獨立之參數。為達成它，該MemberIDHigh 被分為兩個部份，而且這兩部份被分為獨立之子授權，如下所示： S-l-10-2 1- (HIWORD(MemberIDHigh))-(LOWORD(ME MBERIDHigh))-MemberIDLow-0 25 1353154 在本實施例中’「S-1-10-21」為一由ntseapi.h所定義之新的識別授權。而ntseapi.h為一用以建立微軟視脔問系統 · 之標頭檔，它包含了對用以建構PUID-SID之SID值的定義。請注意該標頭通常不直接讓程式設計人員接觸，作 ' ntseapi.h的宣告在winnt.h的SDK平台是公開的。因此’自受「信任」的來源所傳回的PUID或其仙類似的識別所產生的式例之SID ^基本上，該SID以獨特之結合以及與原授權系統相谷的格式識別了該習知之子^^權以及成員使用者。 φ 在動作#5中’（已識別之）U2登入伺服器Y 504並因此獲得PUID 5 24。在動作#6中，U2利用一預設之使用者帳號（例如，未知或匿名帳號）以連接至伺服器X 502以乃技次提供（例如，在PAC中的）資訊’該資訊係包含要求或其他類似訊息中的P UID 5 2 4。在動作# 7中，伺服器X 5 〇 2灸▲ 一 PUID已由預設使用者（U2)提供並且在回應中建立 ^ J對應之SID 532，並將該SID 532置於與欲尋求存取物516 之U2相關之標記（Token)53 0中。在特定實施例中，籍由 _ 在稱之為 LsaLogonUser之應用程式介面（API)通過puiD 以建立一 SID。該API傳回該SID。在動作#8中，伺服器X 502籍由在預設使用者標記530 及ACL 5 1 8中比較一或多個SID(s)決定是否該預設使用者擁有適當之存取權限以存取物件516。最後，在行動中’ 替U 2創造了授權内容5 2 6，它允許U 2以適當之權限設定存取物件5 1 6。因此，舉例而言，U 2可以觀看（讀取）U 1之 26 1353154

計劃時程表並且判斷是否U1和U2可以在下週共進午餐。 U2並未登入伺服器X 502 ;實際上既然U2不像U 1 —樣擁有帳號，U2不能登入伺服器X 502。此例中，U2的鑑別基本上是基於信任關係5 1 0，5 1 2和5 1 4，以及利用客戶端 508及伺服器Y 504之U2的初始授權。核准U2在伺服器 X 502上的存取控制是基本上是基於（動作#0中，經由客戶端506及伺服器X 502之）U1之信任授權及與在動作#3中提供PUID 524之伺服器Y 504間之信任關係。使用PUID的一種益處為所獲得之SID在以護照控制分配PUIDs為基礎的情況下，將永遠是全域唯一的。雖然上文中已經以一些較佳的實施例及圖示介紹了本發明之各種方法及系統，但並不侷限本發明於所揭示之實施例中，並適用於各種不背離本發明在宣告中所提及之精神的重構、修改以及替代。【圖式簡單說明】

本發明的各式方法及系統將在下文中以附圖進一步詳述。第1圖係一般說明適用本發明的某一實施例之範例電腦系統之區塊圖。第 2圖係描述代理伺服器之使用者的服務（S4U2proxy)的程序之區塊圖，該S 4 U 2 p r ο X y程序係在客戶端-飼服器環境中執行且適用於本發明的某些實施例。第3A圖係描述自身伺服器之使用者的服務（S4U2self)的程 27 1353154 序之區塊圖，該S4U2self程序係在客戶端-伺服器環境中執行且適用於本發明的某些實施例。第3B圖係描述自身伺服器之使用者的服務（S4U2 self)的程序之區塊圖，該S4U2 self程序係在客戶端-伺服器環境中執行且適用於本發明的某些實施例。笛 4圖伤圄彔搞用太路明的茸此营姑.你丨的餘.你丨訊.氣始·式的

，|， · ·,嗜， 4 八 ,，一_ ,i、疇 —》· | w ^ ^ V 選擇部分之圖。

第5圖係依照本發明某些範例實施例，圖示將區域存取控制提供給藉由受信任的資源所鑑別的使用者之系統及程序之區塊圖。第6圖係依照本發明某些範例實施例，圖示描述如第5圖中的系統及程序之範例使用之區塊圖，用以允許具有授權信任的適當位準的使用者，不須區域存權控制帳號即可存取某些資源。【元件代表符號簡單說明】 1 2 0電腦環境 132處理器單元 1 3 6系統匯流排 140隨機存取記憶體 144硬碟 1 4 8軟碟 152光碟 158作業系統 1 3 0電腦 1 3 4系統記憶體 1 3 8唯讀記憶體 1 4 2基本輸出入系統 1 4 6軟碟機 1 5 0光碟機 154資料媒體界面 1 6 0應用程式

28 其他程式模組鍵盤使用者輸入介面輸出週邊介面螢幕廣域網路遠端電腦客戶端至伺服器環客戶端受信任第三者鑑別服務資料庫 164程式資料 168滑鼠 174影像介面卡 17 7 區域網路 178數據機 1 8 0 網際網路 1 8 9遠端應用程式境

飼服器A 伺服器B 祠服器C 祠服器D 鑑別要求（AS_REQ)訊息鑑別回應（AS_REP)訊息票據准予服務要求（TGS_REQ)訊息票據准予服務回應（TGS_REP)訊息服務票據客戶端 1353154 302’客戶端 3 0 3鑑別通訊協定機制 3 0 4鑑別驗證 30 6票據准予服務要求（TGS_REQ)訊息 308票據准予服務回應（TGS_REP)訊息 3 1 0憑證資訊 312票據准予服務要求（TGS_REQ)訊息 314票據准予服務回應（TGS_REP)訊息 400 Kerberos訊息之特定部份 4 0 2標頭 4 0 4權限屬性憑證 4 0 6委派資訊

4 0 8複合識別資訊 41 0存取限制資訊 502伺服器X

5 04伺服器Y 50 6客戶端 508客戶端 51 0信任關係 5 1 2信任關係 5 1 4信任關係 5 1 6物件 5 1 8存取控制列表 1353154 5 2 0存取控制實體 5 2 2安全性識別符 5 2 4護照使用者識別符 526授權背景 530標記 5 3 2安全性識別符 602網頁 604 User 1之時轾表

Claims

1353154 > — -*·>· ^~r- ' * ~ v - - ·ς- ?· *· jr,a-， ™ - —— 午乂申:請專利專:®V ::丨 1. 一種用以提供至少一個電腦資源相關的存取控制之方法，該方法包括下列步驟：接收一使用者相關的成對專屬識別符（a pair wise unique identifier，PUID)，用以提供該至少一個電腦資源的存取；該成對專屬識別符（PUID)與另一已鑑別該使用者之電腦資源相關；藉由將該PUID提供給一應用程式介面（Αρι)並接收由該API所回應的一安全性識別符（SID )，而解譯該成對專屬識別符（PUID)為該SID ;及決定是否該SID符合一存取控制機制所提供的至少_ 個其他SID，而該存取控制機制與該至少一個電腦資源相關。 2. 如申請專利範圍第i項所述之方法，其中該謂與一護照服務（Passport service)相關。 3. 如申請專利範圍第2項所述 π吓砥之方法，其中解譯該PUID為該S ID的步驟，更包括下列步驟：區分該PUID為至少—他2 ,, 子授權識別符部份以及至少一個成員識別符部份。 4. 如申請專利範圍第丨項 ^ 义方法，其中接收該PUID之步驟’更包括下列步驟： 32 1353154 接收一以Kerberos為基礎之訊息中的puiD。 5. 如申請專利範圍第4項所述之方法，其中該PUID係由以 . Kerberos為基礎之訊息中的PAC所提供。 6. 如申請專利範圍第4項所述之方法，其中該以Kerberos 為基礎之訊息和S4U2self程序相關。 7. 如申請專利範圍第4項所述之方法，其中該以Kerberos ^ 為基礎之訊息和S4U2proxy程序相關。 8. 如申請專利範圍第1項所述之方法，其中決定是否該符合該存取控制機制所提供的至少一個其他SIE)之步驟，更包括下列步驟：比較該SID與一存取控制列表（Acl)中的至少一個其他SID，該存取控制列表與該至少一個電腦資源相關。 9. 如申凊專利範圍第丨項所述之方法，其中接收該使用者相關之PUID，用以提供上述至少一個電腦資源之存取之步驟，更包括下列步驟：提供一預設帳號給該使用者，用以提供該至少一個電腦資源的存取。 10. —種建立至少一個電腦資源相關的存取控制權限之方 33 1353154 法，該方法包括下列步驟：接收至少一個使用者之至少一個電子郵件（e-mail)位址，用以准許該至少一個電腦資源之至少受限的存取權限；提供該電子郵件位址給至少一個受信任服務，該至少一個受信任服務係能夠基於該電子郵件位址以輸出該使用者相關的一專屬識別符；接收該受信任服務所輸出的該專屬識別符；以及基於該專屬識別符，設定該至少一個電腦資源相關的至少一個使用者存取控制權限。

11. 12. 如申請專利範圍第10項所述之方法，其中設定該至少一個使用者存取權限之步驟，更包括下列步驟：解譯該專屬識別符為一安全性識別符（SID);以及使該SID與至少一個電腦資源的至少一個存取控制列表（ACL)產生關聯。如申請專利範圍第1 〇項所述之方法，其中該專屬識別符包括一成對專屬識別符（PUID)。

13. 如申請專利範圍第1 2項所述之方法，其中該PUID與護照服務相關。 14. 如申請專利範圍第11項所述之方法，其中該專屬識別 34 15. 符驟包括一 PUID，以及解譯 ’更包括下列步驟：該專屬識別符為該 SID之步區分該PUID為至少一 ^ 一個子授權識別符部份以及至少個成員識別符部份。如申請專利範圍第符包含一 PUID，以驟’更包含下列步驟 12項所述之方法，其中該專屬識別 &解譯該專屬識別符為該SID之步

提供該puID給一應用程式界面（Apl);並且之後，自該API接收該SID。 16.如申請專利範圍第10項所述之方法，其中接收該專屬識別符的步驟，包括下列步驟：接收一以Kerberos為基礎之訊息中的專屬識別符。

1 7.如申請專利範圍第1 6項所述之方法，其中該專屬識別符係由該以Kerberos為基礎之訊息中的PAC所提供。 1 8 · —種具有可執行下列動作之電腦可執行指令的電腦可讀取媒體，該等動作包括：接受一使用者相關的專屬識別符，用以提供至少—個電腦資源的控制存取，該專屬識別符與另一已鑑別該使用者之電腦資源相關；轉換該專屬識別符為一安全性識別符（SID);並且 35 1353154 識別是否該SID符合由一存取控制機制所提供的至少一個其他SID，而該存取控制機制係與至少一個電腦資源相關。 19. 如申請專利範圍第18項所述之電腦可讀取媒體，其中該專屬識別符包含一成對專屬識別符（PUID)。 20. 如申請專利範圍第19項所述之電腦可讀取媒體，其中該PUID與一護照服務相關。

21. 如申請專利範圍第20項所述之電腦可讀取媒體，其中轉換該專屬識別符為該SID的步驟，更包括下列步驟：區分該PUID為至少一個子授權識別符以及至少一個成員識別符部份。 22.

如申請專利範圍第20項所述之電腦可讀取媒體，其中解譯該專屬識別符為該SID的步驟，更包含下列步驟：輸出該PUID至一應用程式界面（API);並且接收該API所回應的SID » 如申請專利範圍第1 8項所述之電腦可讀取媒體，其中接收該專屬識別符的步驟，更包括下列步驟：接收一以Kerberos為基礎之訊息中的專屬識別符。 36 23. 1353154 24.如申請專利範圍第23項所述之電腦可讀取媒體，其中該專屬識別符係由該以Kerberos為基礎之訊息中的PAC 所提供。 25.如申請專利範圍第23項所述之電腦可讀取媒體，其中該以Keeberos為基礎之訊息與一 S4U2self程序相關。

26.如申請專利範圍第23項所述之電腦可讀取媒體，其中該以Keeberos為基礎之訊息與一 S4U2proxy程序相關。 2 7.如申請專利範圍第1 8項所述之電腦可讀取媒體，其中識別是否該SID符合由該存取控制機制所提供的至少一個其他SID之步驟，更包括下列步驟：比較該SID與一存取控制列表（ACL)中的至少一個其他SID，該存取控制列表（ACL)與上述之至少一個電腦資源相關。

28·如申請專利範圍第1 8項所述之電腦可讀取媒體，其中接受該使用者相關的專屬識別符，用以提供至少一個電腦資源的控制存取之步驟，更包括下列步驟：提供一預設帳號給該使用者，用以提供至少一個電腦資源之存取。 29. —種具有用以執行下列動作之電腦可執行指令之電腦可 37 · 1353154 讀取媒體，該等動作包括：接受至少一個使用者的至少一個電子郵件（e-mail)位址，用以准許至少一個電腦資源的至少受限的存取權限；輸出該電子郵件位址給至少一個受信任服務，該至少一個受信任服務係能夠基於該電子郵件位址以輸出該使用者相關的一對應專屬識別符：

接受該該受信任服務所輸出之專屬識別符；並基於該專屬識別符，建立該至少一個電腦資源相關的至少一個使用者存取控制權限。 30.如申請專利範圍第29項所述之電腦可讀取媒體，其中基於該專屬識別符，為使用者設定該至少一個使用者存取控制權限的動作，更包含下列動作：轉換該專屬識別符為一安全性識別符（SID);以及指派該 SID至前述電腦資源的至少一個存取控制列表（ACL)。 3 1.如申請專利範圍第2 9項所述之電腦可讀取媒體，其中該專屬識別符包含一成對專屬識別符（PUID)。 3 2.如申請專利範圍第3 1項所述之電腦可讀取媒體，其中該PUID與一護照服務相關。 3 3.如申請專利範圍第3 2項所述之電腦可讀取媒體，其中 38 1353154 該專屬識別符包含_ PUID，並且轉譯該專屬識別符為該 SID之動作，包括下列動作：區分該PUID為至少一個子授權識別符部份和至少一個成員識別符部份。 34.如申請專利範圍第32項所述之電腦可讀取媒體，其中上述專屬識別符包含一 PUIr)，並且轉譯該專屬識別符為該SID的動作，包括下列動作：提供該護照專屬識別符给一應用程式介面（Αρι);及之後’自上述API接收該SID。 35·如申請專利範圍第29項所述之電腦可讀取媒體，其中接收該專屬識別符的動作，更包括下列動作：接收一以Kerberos為基礎之訊息中的專屬識別符。 36. 如申請專利範圍第35項所述之電腦可讀取媒體，其中該專屬識別符係由該以Kerberos為基礎之訊息中的pAc 所提供。 37. —種轉譯一成對專屬識別符（PUID)為對應之安全識別符（SID)之方法，包括下列步驟：接收該PUID ; 區分該PUID為至少一個子授權識別符部份以及至少一個成員識別符部份；以及 39 1353154 組合（arrange)該至少一個子授權識別符部份和該至少一個成員識別符部份為該SID。 38.

如申請專利範圍第37項所述之方法，其中組合該至少一個子授權識別符部份和該至少一個成員識別符部份為該SID之步驟，更包括下列步驟：組合該siD，使其擁有子授權識別符、一函數HIWORD(MemberlDHigh)、一函數 LOWORD(MemberlDHigh) 以及一 MemberlDLow 〇 39. 如申請專利範圍第37項所述之方法，更包括輸出該s ID 之步驟。 40. 一種具有用以執行下列動作之電腦可執行指令之電腦可讀取媒體，該等動作包括：接收一成對專屬識別符（PUID);以及籍由區分該PUID為至少一個子授權識別符部份以及至少一個成員識別符部份，並組合該至少一個子授權識別符和該至少一個成員識別符部份為該sID之動作，'以轉譯該PUID為一對應之安全性識別符（SID)。如申請專利範圍第40項所述之電腦可讀取媒體，其中組合該至少一個子授權識別符部份和該至少一個成員識別符部份為該SID之動作更包括下列動作：組合該Sid , 40 41. 1353154 使其擁有上述之子授權識別符、一函數HI WORD (MemberlDHigh)、一函數 l〇w〇RD (MemberlDHigh)以及一 MemberlDLow。 42 ·如申請專利範圍第40項所述之電腦可讀取媒體，更包括輸出該SID之動作。 43. —種用以控制至少一個電腦資源的存取之系統，包括：一記憶體；和一邏輯（logic) ’係操作地耦接至該記憶體及可設定以接收與使用者相關之專屬識別符，用以提供該至少一個電腦資源的控制存取’該專屬識別符係與另一已鑑別該使用者之電腦資源相關；該邏輯，更可操作地設定以轉譯該專屬識別符為一安全性識別符（SID)，且當該SID符合儲存在該記憶體中並與該至少一個電腦資源相關的至少—個其他SID時，則允許該使用者存取該至少一個電腦資源》 44. 如申請專利範圍第43項所述之系統，其中該專屬識別符包括一成對專眉識別符（P UID)。 45. 如申請專利範圍第44項所述之系統，其令該puID與護照服務相關》 41 1353154 46. 如申請專利範圍第45項所述之系統’其中該邏輯係可進一步設定為可區分該護照專屬識別符為至少一個子授權識別符部份以及至少一個成員識別符部份。 47. 如申請專利範圍第43項所述之系統’其中可設定該邏輯，以接收一以Kerberos為基礎之訊息中的專屬識別符。 4 8.如申請專利範圍第4 7項所述之系統’其中該專屬識別符由該以Kerberos為基礎之訊息中的PAC所提供。 49. 如申請專利範圍第47項所述之系統，其中該以Kerberos 為基礎之訊息與一 S4U2self程序相關。 50. 如申請專利範圍第48項所述之系統，其中該以Kerberos 為基礎之訊息與一 S4U2proxy程序相關。 5 1.如申請專利範圍第43項所述之系統，其中儲存在該記憶體中的至少一個其他SID係一存取控制列表（ACL)的一部份，該ACL與上述至少一個電腦資源相關。 52.如申請專利範圍第43項所述之系統，其中該邏輯可進一步設定以提供一匿名帳號的能力（anonymous account cap ability)給使用者，用以提供該至少一個電腦資源的存取控制。 42 1353154 個電腦資源的存取控制權限之系 5 3. —種用以設定至少統’該系統包括：一通訊網路；

…-第：裝置，係操作地耦接至該網路並設定為可接收至少-個使兩者之至少_個電子郵件（卜咖⑴位址，兩以准許該至少-個電蹈f源之受限權限；提供該電子郵件位址給該網路；然後在該網路上接收對應且與該電子郵件相關的專屬識別符；以及基於所接收的專屬識別符， λ疋至夕一個電腦資源相關的至少一個存取控制權限給該使用者》 54.如申請專利範圍第53項所述之系統，更包括：至個其他裝置’用以操作地耦接至該網路且設定為提供至少一個可信任服務，該至少一個可信任服務能夠自該網路接收該至少一個電子郵件位址；轉換該電子郵件位址為該專屬識別符；以及輸出該專屬識別符給該 · 網路。如申請專利範圍第54項所述之系統，其中該第一裝置可進步設定為轉譯該專屬識別符為一安全性識別符符（SID)並使該siD與至少一個電腦資源之至少一個存取控制列表（ACL)產生關聯。 43 1353154 __ _ ,, .,1 III» I I · — ' 1 " ^ m I·' ί. I 月修芷 I ft»年丨月今丨Ώ落正替換肖 56.如申請專利範圍筮55；®«· 7 + 固第55項所述之系統，其中該專屬識別符包含—成對專屬識別符（PUID)。 57.如申請專利範圍帛56項所述之系統，其中該專屬識別符包含一護照專屬識別符。 58·如申請專利範圍第57項所述之系統，其中在轉譯為對應之SID期間，該第一裝置可被進一步設定以區分該護照專屬識別符為至少一個子授權識別符部份以及至少一個成員識別符部份。 5 9.如申請專利範圍第53項所述之系統，其中該第—裝置可設定為接收一以Kerberos為基礎之訊息中的專屬識別符。 60. 如申請專利範圍第59項所述之系統，其中該專屬識別符係由該以Kerberos為基礎之訊息中的PAC所提供。 61. —種用以提供一第一使用者對可經由一伺服器取得的電腦資源之控制存取而不需該第一使用者具有與該電腦資源相關的一專屬使用者帳號之方法，該執行於飼服器上之方法，包含下列步驟：從具有一專屬使用者帳號之一第二使用者，以接收該第一使用者的一識別符’該專屬使用者帳號係與區域 44 電腦資源相關；基於從該第二使用者所接收的識別符，使該第一使用者的一安全性識別符（SID)與該區域電腦資源相關聯，並將該SID儲存至該伺服器；當該第一使用者想要存取該區域電腦資源時，係接收該第一使用者相關的成對專屬識別符（PUID)，用以提 '、該區域電腦資源的存取，該PUID與已鑑別該第一使用者之—外部電腦資源相關；以及比較該PUID與儲存在該伺服器中之相關聯的SID，以決定何時將該本地的電腦資源提供給該第一使用者。 62’如申請專利範圍第61項所述之方法，另包含下列步驟：當從該PUID所衍生的對應的SID係符合該相關的 SID時，則將該電腦資源的控制存取提供給該第一使用者。 63. 如申請專利範圍第61 驟，包含下列步驟：將該PUID轉譯為一項所述之方法，其中該比較的步對應的安全性識別符（SID);

使用一存取控制機制來決定該對應的 SID與該相關的SID何時符合以及該存取控制機制與該電腦資源相關；制存取提供給該第基於該決定’將該電腦資源的控一使用者。 45 1353154 ----------- - ί·00年月θ Θ够正替換頁第找類紹月修上 64.如申請專利範圍第63項所述之方法，其中該轉譯的步驟包含下列步驟：將該PUID提供給一應用程式介面（ΑΡΙ)，並接收由該API所回應的該對應的SID。 6S.如申請專利範圍第63項所述之方法，其中：

該相關的SID係儲存在一存取控制列表（ACL)中；該存取控制列表與該至少一個電腦資源相關》 66.如申請專利範圍第61項所述之方法，其中該外部電腦資源係基於芦第"一使用者相關的電子郵件（e-mail)位址，來鑑別該第一使用者。 67·如申請專利範圍第61項所述之方法，其中基於該使用者對一服務的一單一登入，使得該服務相關的PUID係設定以將多個網路資源提供給使用者。 68. —種具有電腦可執行指令的電腦可讀取媒體，當該等電腦可執行指令執行時’則執行如申請專利範圍第6丨項之用以將控制存取提供給一第一使用者之方法。 —種用以提供一第一使用者對可經由一伺服器取得的電腦資源之控制存取而不需該第一使用者具有與該電腦資源相關的一專屬使用者帳號之系統，包含： 46 一或多個處理器，係操作地耦接至記憶體；以及儲存在該記憶體中的時，則執行如申請專制存取提供給一第一一模組，當經由該一或多個處理器執行利範圍第61項之用以將電腦資源的控使用者之方法。

47