エンドポイントの独立解決によるデジタルアイデンティティ又はトークンの取得
フェデレートされたアイデンティティプロビジョニングシステムは、信頼当事者、アイデンティティプロバイダ、およびクライアントを含み、クライアントは、信頼当事者のサービスにアクセスするためのトークンをアイデンティティプロバイダから取得する。クライアントが、新しい信頼当事者に接触するとき、信頼当事者は、クライアントが信頼性を独立して解決、および評価できる情報を提供する。例えば、信頼当事者は、汎用ドメイン名アドレスを提供する。そうすると、クライアントは、様々な認証ステップを通してそのドメイン名アドレスを解決し、デジタルアイデンティティプロビジョニングサービスのエンドポイントを識別することができる。クライアントは、さらに、プロビジョニングサービスと対話し、認証して（例えば、デジタル署名の要求）、信頼関係を確立することができる。クライアント/ユーザが、そのプロビジョニングサービスを信頼すると判定すると、クライアント/ユーザは、情報を提供して、デジタルアイデンティティ表示を取得することができる。そして、クライアントは、対応するアイデンティティプロバイダにそのデジタルアイデンティティ表示を使用して、信頼当事者が有効にすることができる１つ又は複数のトークンを取得することができる。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、信頼当事者と使用するトークンを取得する際に、デジタルアイデンティティ表示プロビジョニングサービスを、ユーザ／クライアントが独立して検証するように構成された、システム、方法、および、コンピュータプログラムに関する。
【背景技術】
【０００２】
従来型のコンピュータシステムは、生産や娯楽など、幅広い目的に広く使用されている。その理由の１つは、コンピュータシステムは、タスクの自動化で効率をよくする傾向があると共に、ある種の取引をより効率的にするからである。例えば、過去には、ユーザが何時間又は何日もかかって完了するような種類の取引があった。具体的には、銀行の預金や振替、店舗の物の購入では、ユーザのアイデンティティを検証し、取引の指示を与えるために、ユーザは実際に銀行や店舗のある場所まで出かける必要があっただろう。ユーザのアイデンティティを検証後、銀行や店舗が、要求された取引を開始、確認するだろう。このシナリオでは、銀行又は店舗を「信頼当事者」とみなすことができ、信頼当事者は、ユーザが実際に訪れて提供したアイデンティティを信用し、ユーザは「アイデンティティプロバイダ」となる。
【０００３】
しかしながら、最近では、自動化された（コンピュータ化された）機構を用いて、このような取引は数秒又は数分に短縮された。具体的には、上記のような取引は、端末が自動化されたため、ますます効率的で複雑になり、そのような端末を用いて、ユーザは、離れた場所から取引を行うことができる。しかしながら、ユーザが出向いて行うアイデンティティの検証に代って、自動化された端末は、サービスへのアクセスを提供する前に、ユーザにいくつかの課題や応答のシナリオを満足させるよう求める。例えば、ユーザは、口座のカードおよび暗証番号を提示する必要があるかもしれない。口座のカードおよび暗証番号は、ユーザと信頼当事者との間で信頼関係を確立したとき、予め、信頼当事者から受け取ったものである。
【０００４】
自動化された端末と同様に、より最近のインターネットベースの信頼当事者は、エンドユーザがある種の信頼関係を確立することも要求する。よく用いられるのは、ユーザに検証可能な個人情報（例えば、名前、住所、誕生日など）を提供するよう要求するなどである。信頼当事者は、クレジットカード情報、運転免許証情報、ソーシャルセキュリティカード情報などの他の第三者の検証情報を提示するようにユーザに要求することもある。このような場合、信頼当事者は、ユーザの自己検証情報だけでなく、信頼当事者が既に信頼関係を確立している他の当事者（例えば、クレジットカード会社、又は政府機関）の検証にも頼ることになる。従って、その後、ユーザが信頼当事者のサービスにアクセスすると、信頼当事者は、予め交換した個人情報および第三者情報の一部又は全てを提示するようユーザに要求することができる。
【０００５】
通常、オンライン取引を行うと効率性を得られるので、ますます多くの団体がこのようなサービスを提供するようになり、ユーザがこのようなサービスを使用する需要もますます増加している。しかしながら、オンライン取引のこのような増加は、一連の別の問題を引き起こしている。すなわち、ユーザは、多くの異なるオンライン口座を監視、保持することが必要となり、その数はますます増えていくことが多い。特に、異なる信頼当事者の各々にユーザが異なる検証情報を提供する場合、ユーザは、増え続ける、異なるユーザ名、パスワード、その他の有り得る検証情報を、覚えるか、それらにアクセスする必要がある。
【０００６】
従来の機構には、「フェデレートされた」アイデンティティ検証システムを実装することによって、これらの懸念の一部を軽減しようと試みたものもある。フェデレートされたシステムでは、個々のアイデンティティプロバイダが保持するデータを用いて、様々な信頼当事者に存在するユーザの異なる口座の多くに対して１つ又は複数のセキュリティトークンを生成することができる。一般には、「セキュリティトークン」は、アイデンティティプロバイダが、ユーザのアイデンティティを信頼当事者に主張する手段である。セキュリティトークンを多くの異なる信頼当事者間を移動して利用できるように、この種のアイデンティティプロバイダは、ユーザがアクセスを望む異なる信頼当事者の各々と信頼関係を確立する必要がある。
【０００７】
こうすると、ユーザは、ある信頼当事者の特定のサービスへのアクセスを望むとき、アイデンティティプロバイダに接触して、ユーザ自身をアイデンティティプロバイダに検証し、アイデンティティプロバイダからトークンを取得することができる。そして、ユーザは、アイデンティティプロバイダから取得したトークンを信頼当事者に提示することができる。トークンには、ユーザおよび／又はユーザのクライアントシステムに関する何らかの主張(およびアイデンティティプロバイダに関する何らかの情報）が含まれる。信頼当事者は、アイデンティティプロバイダおよびユーザを信頼しているので、提供された情報を用いてトークンを有効にすることができる。有効にされると、ユーザは様々な要求したサービス又は取引にアクセスすることができる。
【０００８】
一部の信頼当事者は、ある一部のアイデンティティプロバイダのみを信頼する、すなわち、ある一部のアイデンティティプロバイダとのみ信頼関係を有するので、ユーザは、また、複数の異なるアイデンティティプロバイダに口座を設立しているかもしれない。従来のシステムでは、ユーザは、各アイデンティティプロバイダでセキュリティトークン取得に用いることができる１つ又は複数のデジタルアイデンティティ表示を、保持又は記憶する。次に、ユーザのクライアントコンピュータシステムに記憶されたアイデンティティ選択サービスが、任意の所与のアイデンティティプロバイダに対してどのアイデンティティ表示を使うべきかを、管理、識別することができる。
【０００９】
例えば、ユーザは、1つの特定のアイデンティティプロバイダで１つのデジタルアイデンティティ表示を使って、１つの特定の信頼当事者用のトークンを発行してもらうことが必要かもしれない。そして、ユーザは、同一の（又は異なる）アイデンティティプロバイダで、別のデジタルアイデンティティ表示を用いて、その信頼当事者（又は別の信頼当事者)用のさらに他のトークンを要求するかもしれない。このように、アイデンティティ選択サービスは、適切な１つ又は複数のデジタルアイデンティティ表示を、適切なアイデンティティプロバイダ（単数又は複数）に提供する。
【００１０】
一般的に、上記のフェデレーションシステムは、ユーザが要求されたアイデンティティプロバイダと既に信頼関係を確立している場合は、うまくいく傾向がある。しかしながら、ユーザは、ユーザ（又はクライアントシステム）が信頼関係を確立していないアイデンティティプロバイダからのトークンを承認する信頼当事者に遭遇する場合がある。ユーザは、ある特定のアイデンティティプロバイダとの関係を確立する処理を行うことができるが、さらに、そのアイデンティティプロバイダの名前とロケーションを識別できる必要がある。しかしながら、アイデンティティプロバイダの名前とロケーションに関する情報を提供することは、多くのセキュリティリスクを伴う可能性がある。
【００１１】
例えば、仮に信頼当事者が自動的にクライアントシステムを、ある特定のアイデンティティプロバイダに導くように上記シナリオを確立すると、ユーザは、「フィッシング」攻撃のリスクにさらされるであろう。具体的には、ユーザが合法であると信じている悪意の信頼当事者が、悪意のアイデンティティプロバイダにユーザを自動的に導くかもしれない。ユーザが、悪意のアイデンティティプロバイダとアイデンティティ表示を確立しようと試みると、アイデンティティプロバイダは、簡単にユーザのアイデンティティを盗み、ユーザを不正に利用することができるであろう。そのアイデンティティプロバイダは、その悪意の信頼当事者にアクセスするためのトークンを提供することもでき、従って、より長い期間、出現し続けることになる。
【発明の概要】
【発明が解決しようとする課題】
【００１２】
合法的な信頼当事者の場合でさえ、信頼当事者が、デジタルアイデンティティ表示プロビジョニングサービスの正確なエンドポイントを提供すると、ユーザ（および／又は信頼当事者）になんらかのリスクがある。安全なオンライン取引サービスの提供を志向する団体が増えるにつれて、このような問題は増える一方であることは理解される。従って、フェデレートされたシステムには取組むことができる多くの課題がある。
【課題を解決するための手段】
【００１３】
信頼当事者と使用するトークンを取得する前に、デジタルアイデンティティ表示プロビジョニングサービスを、ユーザ／クライアントが独立して検証するように構成されたシステム、方法、および、コンピュータプログラムの形で、本発明を実装することにより、当分野の１つ又は複数の課題を解決する。少なくとも１つの実装形態においては、例えば、信頼当事者のサービスの要求に応答して、クライアントは、その信頼当事者が信頼する１つ又は複数のアイデンティティプロバイダに関するメタデータを受信する。そして、クライアントは、独立して、そのメタデータを解決して、アイデンティティプロバイダが提供するデジタルアイデンティティプロビジョニングサービスを識別し、クライアントがそのプロビジョニングサービスを信頼できるか否かを判定する。信頼できれば、クライアントは、そのプロビジョニングサービスを通して、対応するアイデンティティプロバイダとデジタルアイデンティティ表示を確立し、信頼当事者と使用する１つ又は複数のトークンを取得することができる。
【００１４】
例えば、デジタルアイデンティティ表示および／又はセキュリティトークンを取得するクライアントコンピュータシステム側から見た方法には、信頼当事者に接触して、信頼当事者における１つ又は複数のサービスにアクセスすることも含むことができる。その方法には、信頼当事者から１つ又は複数のポリシーファイルを受信することも含むことができる。この場合、その１つ又は複数のポリシーファイルは、１つ又は複数の信頼されるアイデンティティプロバイダのセットに対応する汎用名を識別する情報を含む。さらに、その方法には、識別された汎用名を自動的に解決して、信頼されるアイデンティティプロバイダのうちの１つの、１つ又は複数のネットワークエンドポイントを取得することを含むことができる。さらに、その方法には、１つ又は複数のネットワークエンドポイントを認証すると、１つの解決したアイデンティティプロバイダに接触して、１つ又は複数のセキュリティトークンの取得に使用する、１つ又は複数のデジタルアイデンティティ表示を取得することを含むことができる。
【００１５】
さらに、１つ又は複数のデジタルアイデンティティ表示および／又は１つ又は複数のセキュリティトークンをクライアントに提供するアイデンティティプロバイダ側から見た方法には、１つ又は複数のデジタルアイデンティティ表示プロビジョニングサービスを求めるクライアントからの１つ又は複数の要求を、アイデンティティプロバイダで受信することを含むことができる。その方法には、アイデンティティプロバイダが提供する１つ又は複数のデジタルアイデンティティプロビジョニングサービスを識別する情報を、クライアントに提供することを含むことができる。さらに、その方法には、クライアントから受信する１つ又は複数のデジタルアイデンティティ表示を認証することを含むことができる。この場合には、アイデンティティプロバイダは、受信した１つ又は複数のデジタルアイデンティティ表示が有効であることを判定する。さらに、その方法には、認証した１つ又は複数のデジタルアイデンティティ表示に対応する１つ又は複数のセキュリティトークンを提供することを含むことができる。
【００１６】
本「発明の概要」は、「発明を実施するための形態」でさらに詳しく述べる概念の一部を簡単に紹介したものである。本「発明の概要」は、特許を請求する主題の重要な特徴又は必須の特徴を特定することを意図したものではなく、特許を請求する主題の範囲を決定するための目的に使用されることも意図してはいない。
【００１７】
本発明のさらなる特徴および利点は、下記の説明に記載しており、その説明からある程度明らかであり、本発明の実践によって理解されるものである。本発明の特徴および利点は、添付の請求項で詳細に具体的に指摘した装置およびその組合せによって実現し、得られるものである。本発明のこれらの特徴および他の特徴は、下記の説明、添付の請求項より十分に明らかとなり、また、以下に記載の発明の実践により理解されよう。
【図面の簡単な説明】
【００１８】
本発明の上述および他の利点および特徴が得られる方法を記載するために、上記で簡単に述べた本発明を、具体的な実施形態とそれに付随する図面を参照しながら、より詳細に記載する。これらの図面は、本発明の典型的な実施形態のみを描いたものであり、本発明の範囲を制限することを意図してはいないことを理解して頂き、添付図面を使用しながら、本発明のさらに具体的な記載、説明を行う。
【００１９】
【図１Ａ】クライアントが、信頼当事者からの１つ又は複数のポリシーを解決して適切なアイデンティティプロバイダを識別する、フェデレートされたアイデンティティシステム全体の概略図である。
【図１Ｂ】クライアントが、アイデンティティプロバイダが参照するデジタルアイデンティティ表示プロビジョニングサービスに接触し、そのサービスを使ってデジタルアイデンティティ表示を取得する、全体の概略図である。
【図２】クライアントが、図１Ｂのプロビジョニングサービスによって提供されたデジタルアイデンティティ表示を用いて、トークンを取得し、そのトークンを用いてクライアントが信頼当事者のサービスにアクセスする、図１Ａ、図１Ｂに示すシステムの概略図である。
【図３】信頼されているエンドポイントからデジタルアイデンティティ表示を取得する、クライアント側から見た方法における１つ又は複数のアクトのフローチャートである。
【図４】新しく提供されたデジタルアイデンティティ表示を認証して、クライアントにトークンを提供する、アイデンティティプロバイダ側から見た方法のフローチャートである。
【発明を実施するための形態】
【００２０】
本発明の実装形態は、信頼当事者と使用するトークンを取得する前に、デジタルアイデンティティ表示プロビジョニングサービスを、ユーザ／クライアントが独立して検証するように構成された、システム、方法、および、コンピュータプログラムにおよぶ。少なくとも１つの実装形態において、例えば、信頼当事者のサービスの要求に応答して、クライアントは、信頼当事者が信頼する１つ又は複数のアイデンティティプロバイダに関するメタデータを受信する。そして、クライアントは、独立してそのメタデータを解決して、アイデンティティプロバイダが提供するデジタルアイデンティティプロビジョニングサービスを識別し、クライアントがそのプロビジョニングサービスを信頼できるか否かを判定する。信頼できれば、クライアントは、そのプロビジョニングサービスを通して、対応するアイデンティティプロバイダとデジタルアイデンティティ表示を確立し、信頼当事者と使用する１つ又は複数のトークンを取得することができる。
【００２１】
従って、本明細書でより詳しく理解されるように、本発明の実装形態は、アイデンティティプロバイダが、デジタルアイデンティティ表示 （又は、ＤＩＲ、「情報カード」とも呼ぶ）を発行することができるサービスのロケーションを公開することができる、１つ又は複数の機構を提供する。本発明の実装形態は、アイデンティティプロバイダが代替の情報を公開することができる１つ又は複数の機構も提供する。その情報によって、ユーザは、ＤＩＲを取得する前に、アイデンティティプロバイダとの関係を確立することができる。さらに、本発明の実装形態は、ある特定のアイデンティティプロバイダのＤＩＲが利用可能か否かをアイデンティティセレクタ（例えば、クライアントシステム上のコンポーネント又はアプリケーション）が見つけ出し、その情報をユーザに提示してユーザがＤＩＲを取得するのを助ける、１つ又は複数の機構を提供する。
【００２２】
一般的には、本発明のこれらの態様および他の態様は、ＷＳ−ＦＥＤＥＲＡＴＩＯＮの規格に従って構成されたメタデータ要素を用いて、少なくとも１つの実装形態において達成することができる。少なくとも１つの実装形態においては、例えば、アイデンティティプロバイダおよび信頼当事者は両方とも、ユーザが特定のエンドポイントを独立して検証するために用いることができる様々なメタデータ要素を用いて、ユーザを様々なエンドポイントに導くことができる。例えば、あるメタデータ要素は、クライアントがカードを取得しに行く必要のあるＤＩＲ発行サービスの実際のロケーションを記述することができる。あるメタデータ要素は、カードを発行するためのセキュリティ用件も記述することができる。さらに、そのメタデータ要素は、ユーザが発行者／アイデンティティプロバイダと関係を有しておらず、デジタルアイデンティティ表示（すなわち、ＤＩＲ）をダウンロードする前に、そのような関係が必要である場合、どこに行くべきかをユーザに示すことができる。次に、これらのメタデータ要素によって、ユーザのクライアントアイデンティティセレクタは、本明細書に記載されている１つ又は複数の追加のコンポーネントと協働して、ユーザが必要とするＤＩＲを見つけ、又は、確立して、関連するセキュリティトークン（単数又は複数）を取得する。
【００２３】
図１Ａは、本発明の実装形態による、フェデレートされたアイデンティティプロビジョニングシステム１００を示す。図に示すように、フェデレートされたアイデンティティプロビジョニングシステム１００は、少なくとも１つのクライアント１０５、およびクライアント１０５（すなわち、ユーザに代って)が特定のサービスへのアクセスを要求する１つ又は複数の信頼当事者（依拠当事者）１２０(ａ、ｂ他）を含む。例えば、信頼当事者１２０は、様々な口座や購買機能を提供するオンラインバンク又はオンラインストアである。図１Ａはまた、各信頼当事者１２０(ａ、ｂ他）が、判定モジュール１４０(ａ、ｂ他）、および信頼しているアイデンティティプロバイダのリスト１２５(ａ、ｂ他）を含むことを示す。これらモジュールおよびリストの各々については、以下により詳しく記載する。
【００２４】
さらに、図１Ａに示すように、フェデレートされたアイデンティティプロビジョニングシステム１００は、１つ又は複数のアイデンティティプロバイダ１１０(ａ、ｂ他）を含み、各アイデンティティプロバイダ１１０はまた、それ自身の判定モジュール１４５(ａ、ｂ他）、および対応する１つ又は複数のデジタルアイデンティティプロビジョニングサービス１５０(ａ、ｂ他）を含む。本明細書でより詳しく理解されるように、１つ又は複数のアイデンティティプロバイダ１１０は、１つ又は複数の「セキュリティトークン」（すなわち、図２の２１０）を用いて、ユーザ／クライアントのアイデンティティを信頼当事者に検証する。一般的には、セキュリティトークンは、信頼当事者１２０および信頼されているアイデンティティプロバイダ１１０が互いに合意したフォーマット／構成でユーザに関する様々な主張を提供する。例えば、銀行又はオンラインストアの形の信頼当事者１２０が、クライアント１０５に要求されたサービスを提供する前に、ユーザ／クライアント１０５の信用証明を独立して検証することを要求すると、信頼されているアイデンティティプロバイダ１１０は、ユーザの信用証明の検証に使用されると予測されたデータを含む１つ又は複数のセキュリティトークンを通してこの検証を行う。
【００２５】
しかしながら、クライアント１０５は、示されたアイデンティティプロバイダ１１０からのセキュリティトークンを簡単に要求することはできない。それどころか、クライアント１０５は、アイデンティティプロバイダ１１０と信頼関係を確立する必要がある。さらに、クライアント１０５は、任意のある特定の信頼当事者１２０と対話するために、任意の所与のアイデンティティプロバイダ１１０との信頼関係を簡単に得ることはできない。それどころか、クライアント１０５は、クライアントがサービスを要求する信頼当事者１２０も信頼する特定のアイデンティティプロバイダ１１０と信頼関係を取得する必要がある。すなわち、必ずしも全ての信頼当事者１２０が、全てのアイデンティティプロバイダ１１０と信頼関係を有するわけではなく、逆もまた同様である。例えば、図１Ａに示すように、信頼当事者１２０は、信頼しているアイデンティティプロバイダ１１０のリスト１２５ａを保持し、そのリストには、この場合では、アイデンティティプロバイダ１１０ｂではなく、アイデンティティプロバイダ１１０ａが含まれる。同様に、図１Ａに示すように、信頼当事者１２０ｂは、信頼しているアイデンティティプロバイダ１００のリスト１２５ｂを含み、そのリストには、この場合は、アイデンティティプロバイダ１１０ａではなく、アイデンティティ プロバイダ１１０ｂが含まれる。
【００２６】
一般的には、クライアント（ユーザに代って)と所与のアイデンティティプロバイダとの信頼関係は、上記デジタルアイデンティティ表示、すなわちＤＩＲ(１１３)の形で明らかになる。次に、クライアントは、ある特定のアイデンティティプロバイダ１１０との、そして最終的には、その特定のアイデンティティプロバイダを信頼する１つ又は複数の信頼当事者のサービスに使用するための、セキュリティトークンを取得するために、ある特定のＤＩＲ１１３(ａ、ｂ他）を用いる。従って、例えば、図１Ａに示すように、クライアント１０５は、ＤＩＲストア１０７を保持し、ＤＩＲストア１０７は、この場合は、アイデンティティプロバイダ１１０ｂのためのＤＩＲ１１３ａを含み、信頼当事者１２０ａではなく、信頼当事者１２０ｂだけが、アイデンティティプロバイダ１１０ａを信頼しているので、ＤＩＲ１１３ａは、信頼当事者１２０ｂとのサービスに用いられる。従って、任意の所与のＤＩＲ１１３は、複数の異なる信頼当事者１２０と用いてもよいことは、理解されよう。
【００２７】
さらに、クライアント１０５は、ストア１０７に、任意の数のＤＩＲ１１３を保持できるが、簡単にするために、図１Ａでは、クライアント１０５は、単一のＤＩＲ１１３ａのみを有しているよう示してある。この例においては、図示のＤＩＲ１１３ａによって、クライアント１０５は、信頼当事者１２０ｂと使用するセキュリティトークンをアイデンティティプロバイダ１１０ｂから取得することができる。一方、図１Ａに示すように、クライアント１０５は、アイデンティティプロバイダ１１０ａに対応する、および／又は信頼当事者１２０ａのサービスで使用するＤＩＲを持たない。
【００２８】
従って、図１Ａに示すように、クライアント１０５が、信頼当事者１２０ａのサービスにアクセスしようとすると（例えば、メッセージ１５５）、信頼当事者１２０ａは、最終的に、クライアント１０５がまだ関係を確立していない（すなわち、ＤＩＲ１１３のない）アイデンティティプロバイダ(すなわち、１１０ａ)に、クライアント１０５を導く。例えば、図１Ａに示すように、メッセージ１５５に応答して、信頼当事者１２０ａは（例えば、判定モジュール１４０ａを介して）、クライアント１０５がサービスにアクセスするためにセキュリティトークンを提示する必要があると判定する。従って、図１Ａは、信頼当事者１２０ａが１つ又は複数のポリシー１６０で応答することを示している。
【００２９】
信頼当事者１２０ａが、任意の数の方法で、１つ又は複数のポリシー１６０を提供できることは理解されよう。例えば、信頼当事者１２０ａは、適切なトークン発行者（すなわち、アイデンティティプロバイダ）に関する情報を含む、１つ又は複数のドキュメントを公開することができる。そして、クライアント１０５は、関連のある情報を求めて、公開されたドキュメントを見ることができる。追加又は代替の実装形態においては、信頼当事者１２０ａは、信頼しているアイデンティティプロバイダ１１０の名前に関する特定の情報で応答する。
【００３０】
次に、信頼当事者１２０ａによって提供される情報／ポリシー１６０は、任意の数又は任意の種類の情報を含むことができる。前述したように、例えば、ポリシー１６０は、ある特定のアイデンティティプロバイダ１１０のネットワークエンドポイントに関する様々なメタデータ要素（例えば、ＷＳ−ＦＥＤＥＲＡＴＩＯＮ規格に従った）を含むことができる。追加又は代替の実装形態においては、１つ又は複数のメタデータ要素は、１つ又は複数の汎用ドメイン名を含むか、又は示し、クライアント１０５は、適切なエンドポイントをさらに判定するためにその汎用ドメイン名を解決する必要がある。例えば、１つ又は複数のポリシー１６０は、「ＢＡＮＫ．ｃｏｍからのアイデンティティプロバイダを使用すること」などの情報を含むことができる。そのような場合、クライアント１０５は、ＢＡＮＫ．ｃｏｍを解決して、１つ又は複数のアイデンティティプロバイダ１１０を識別し、そこから、セキュリティトークンを取得することが必要となる。
【００３１】
従って、図１Ａに示すように、クライアント１０５は、適切なアイデンティティプロバイダ（単数又は複数）１１０に関する情報１６０を、サービスリクエスタ１３０を介して処理する。サービスリクエスタ１３０は、受信した情報１６０を、アイデンティティセレクタ１３５を通して比較する。詳細には、図１Ａに示すように、サービスリクエスタ１３０は、１つ又は複数のメッセージ１６５をアイデンティティセレクタ１３５に送信し、信頼当事者１２０ａに対するアイデンティティプロバイダ１１０ａに対応するＤＩＲが（すなわち、ストア１０７に）あるか否かを問い合わせる。この場合、図１Ａに示すように、アイデンティティセレクタ１３５は、そのようなＤＩＲはないということを示すか、又はアイデンティティプロバイダ１１０ａのＤＩＲを確立する必要があるということを示す、１つ又は複数のメッセージ１７０で応答する。追加又は代替の実装形態においては、アイデンティティセレクタ１３５は、１つ又は複数のインタフェースをユーザにさらに提示して、信頼当事者１２０ａと使用する適切なＤＩＲ１１３をユーザが選択できるように、又は必要であれば、オプションとして、新しいＤＩＲ１１３を取得できるようにする。
【００３２】
図に示した場合においては、図１Ａに示すように、サービスリクエスタ１３０は、アイデンティティプロバイダ１１０ａを見つけ出し（そして通信して）、適切なＤＩＲ１１３を取得するように指示される。図１Ａは、また、アイデンティティプロバイダ１１０ａに関する情報１６０は、正確なネットワークエンドポイントを表していないので、さらに解決する必要があるということを示している。従って、図１Ａに示すように、サービスリクエスタ１３０は、１つ又は複数のメッセージ１７５で、１つ又は複数のドメイン名解決サービス１１５に接触する。追加又は代替の実装形態においては、サービスリクエスタ１３０は、１つ又は複数の他のエージェント又はサービスに接触し、そのエージェント又はサービスが、次に、メッセージ １７５でネットワーク解決サービス１１５に接触する。どちらの場合においても、図１Ａに示すように、クライアント１０５は、解決された情報１８０を有する１つ又は複数のメッセージ１８０を最終的に受信し、その情報１８０は、この場合では、アイデンティティプロバイダ１１０ａのある特定のネットワークエンドポイントを含む。
【００３３】
ネットワーク解決サービス１１５が、追加的に又は代替の方法として、他のサービス又はエージェントのために、１つ又は複数の他のドメイン名で応答することができることは、当然理解されよう。このような応答のためには、アイデンティティプロバイダ１１０ａに対応するエンドポイントを取得する前に、サービスリクエスタ１３０は、さらに他の団体に接触し、追加の情報／解決を取得する必要がある。例えば、応答１８０は、アイデンティティプロバイダ１１０ａの名前に対応する可能性のあるアイデンティティプロバイダのリストを含み得る。そして、サービスリクエスタ１３０は、信頼当事者１２０ａが示したアイデンティティプロバイダ１１０ａの適切かつ特定のネットワークエンドポイントを識別するまで、リストにある識別されたアイデンティティプロバイダのいずれか、又は全てに連続して接触することができる。どのように行っても、クライアント１０５（例えば、ユーザに代って）が、信頼当事者１２０ａからの特定の指示なしに、ネットワークエンドポイントを独立して判定又は解決することは、注目に値する。
【００３４】
いずれにしても、メッセージ１８０を介してエンドポイントを受信すると、図１Ａに示すように、サービスリクエスタ１３０は、アイデンティティプロバイダ１１０ａ（すなわち、それに対応する解決されたエンドポイント）に、そのＤＩＲプロビジョニングサービスに関する情報を取得するために、１つ又は複数のメッセージ１８５を送信する。クライアント１０５が、予め確立した信頼関係を有し、かつ、適切なＤＩＲ１１３を既に有していれば、クライアント１０５は、そのＤＩＲを用いて（例えば、図２では、メッセージ２００を介して）、信頼当事者１２０ａの適切なセキュリティトークン（図２では２１０）を要求することができる。この場合、クライアント１０５は、アイデンティティプロバイダ１１０ａのＤＩＲを持たないので、クライアント１０５は、適切なＤＩＲプロビジョニングサービスのロケーションを求める。
【００３５】
それに応じて、図１Ａに示すように、アイデンティティプロバイダ１１０ａは、１つ又は複数のメッセージ１９０を送信する。メッセージ１９０は、一般的に、デジタルアイデンティティ表示プロビジョニングサービス１５０ａ（すなわち、「ＤＩＲプロビジョニングサービス」）を識別するものである。ポリシー１６０と同様に、１つ又は複数のメッセージ１９０も、１つ又は複数の特定のネットワークエンドポイントを有するメタデータ要素を含む公開されたドキュメントを含むことができる。しかしながら、追加又は代替の実装形態においては、メッセージ１９０の情報は、解決可能なドメイン名を含むことができ、サービスリクエスタ１３０は、１つ又は複数の追加のステップでその解決可能なドメイン名を、（例えば、解決サービス１１５を介して)解決して、ＤＩＲプロビジョニングサービス１５０のネットワークエンドポイントを識別しなければならない。どちらの場合においても、ＤＩＲプロビジョニングサービス１５０（すなわち、１５０ａ)の正確なネットワークエンドポイントを識別すると、次に、クライアント１０５は、ＤＩＲ１１３の取得を試みる。
【００３６】
例えば、図１Ｂに示すように、サービスリクエスタ１３０は、識別したデジタルアイデンティティプロビジョニングサービス１５０ａに、１つ又は複数のメッセージ１９３を送信し、信頼当事者１２０ａなどの信頼当事者と使用する１つ又は複数のＤＩＲ１１３を要求する。一般的には、これは、ＤＩＲ１１３を開始／作成するという一般的な要求だけでなく、ＤＩＲ１１３の確立し、取得するための一連の要求や応答（すなわち、複数の異なるメッセージ)を含むことができる。例えば、ＤＩＲプロビジョニングサービス１５０ａは、(クライアント１０５を通して)ユーザに関する個人情報を要求してもよく、ユーザは、クライアント１０５を介して、数回のそれに対応する応答を行う必要があるかもしれない。このような要求は、クレジットカード情報、運転免許証情報、ソーシャルセキュリティカード情報、および、何らかの方法でユーザを個人的に識別するために使うことができる他のチャレンジベースの情報を含むことができる。(サービスリクエスタ１３０が提供する)ユーザの情報／信用証明を有効にすると、ＤＩＲプロビジョニングサービス１５０ａは、適切なＤＩＲ１１３を用いて応答することができる。例えば、図１Ｂに示すように、ＤＩＲプロビジョニングサービス１５０ａは、アイデンティティプロバイダ１１０ａに関連する新しく作成されたＤＩＲ１１３ｂに関する１つ又は複数のメッセージ１９５を、クライアント１０５に送信し、この場合では、クライアント１０５が、そのＤＩＲ１１３ｂを信頼当事者１２０ａと使用することができる。
【００３７】
図２に示すように、クライアント１０５は、この新しいＤＩＲ１１３ｂをそのＤＩＲストア１０７に記憶する。さらに、クライアント１０５は、信頼当事者１２０ａのサービスにアクセスするために、新しいＤＩＲ１１３ｂを用いて、１つ又は複数のセキュリティトークン２１０を取得することができる。図２に示すように、例えば、クライアント１０５は、（すなわち、サービスリクエスタ１３０を介して)１つ又は複数の新しいメッセージ２００をアイデンティティプロバイダ１１０ａに送信する。この場合、その１つ又は複数のメッセージ２００は、新しく作成されたＤＩＲ１１３ｂに対応する情報、および信頼当事者１２０ａのサービスにアクセスするための１つ又は複数のセキュリティトークンの要求を含む。
【００３８】
それに応じて、アイデンティティプロバイダ１１０ａの判定モジュール１５０ａは、提供されたＤＩＲ１１３ｂを有効にする。例えば、アイデンティティプロバイダ１１０の判定モジュール１４５ａは、新しいＤＩＲ１１３ｂが、メッセージ１９０の１つ又は複数のメタデータ要素に基づいたＤＩＲプロビジョニングサービス１５０に対応している（又は、これに作成された）ことを判定する。このように、ＤＩＲ１１３ｂが、認証又は有効にされると、図２に示すように、アイデンティティプロバイダ１１０ａは、１つ又は複数の対応するセキュリティトークン２１０で、応答する。具体的には、図２に示すように、アイデンティティプロバイダ１１０ａは、１つ又は複数のセキュリティトークン２１０を、クライアント１０５に直接送信し、その後、クライアント１０５は、１つ又は複数の対応するメッセージ２２０の形で１つ又は複数のセキュリティトークン２１０を信頼当事者１２０ａに提供する。アイデンティティプロバイダ１１０ａが、追加的又は代替の方法として、１つ又は複数のセキュリティトークン２１０を直接信頼当事者１２０ａに送信してもよいことは、当然理解されよう。
【００３９】
さらに、図２に示すように、信頼当事者１２０ａは、１つ又は複数のメッセージ２２０の形で受信したセキュリティトークン２１０を、判定モジュール１４０を通して処理する。例えば、判定モジュール１４０ａは、セキュリティトークン２１０を処理して、そのセキュリティトークン２１０が、予め与えられた情報１６０(図１)の１つ又は複数のデータ要素に一致するか否かを判定する。一実装形態においては、これは、受信したセキュリティトークン２１０が、信頼しているアイデンティティプロバイダ（例えば、１１０ａ)からのものであり、かつ、そのセキュリティトークンが、サービスを要求しているユーザを検証するための予定していたデータを含むことを信頼当事者１２０ａが判定することを含む。セキュリティトークン２１０が有効であること、および／又は(セキュリティトークン２１０と共に)クライアント１０５が提供したユーザ情報が検証されたことが識別されると、信頼当事者１２０ａは、要求されたサービスへのアクセスを許可することができる。例えば、図２に示すように、信頼当事者１２０ａは、１つ又は複数のメッセージ２３０をクライアント１０５に返信し、そうすることによって、クライアント１０５は要求したサービスにアクセスすることができる。
【００４０】
従って、図１Ａ、図１Ｂおよび図２は、クライアント１０５が情報を安全に解決することのできる１つ又は複数の機構を示している。具体的には、図１Ａ、図１Ｂおよび図２、それらの図に対応する文章は、クライアント１０５が、アイデンティティプロバイダとの信頼関係を安全、かつ確実に得ることを保証する多くのコンポーネントおよび機構を示すものである。少なくとも一実装形態においては、このようなコンポーネントおよび機構は、クライアントレベルでの独立した解決およびアクションを伴い、それによって、例えば、従来のフィッシング攻撃に関連するセキュリティ違反など、多くのセキュリティ違反を避けることができる。
【００４１】
前述したものに加えて、本発明の実装形態を、ある特定の結果を達成するための１つ又は複数のアクトを含む方法という形で、記載することもできる。例えば、図３に示すのは、信頼当事者からの情報を解決して、アイデンティティプロバイダ１１０などの信頼しているエンドポイントからデジタルアイデンティティ表示を取得するための、クライアント１０５側から見たフローチャートである。さらに、図４に示すのは、デジタルアイデンティティ表示を認証し、対応するセキュリティトークンをクライアントに与えるための、アイデンティティプロバイダ１１０側から見たフローチャートである。図３および図４のアクトは、コンポーネントおよび図１Ａ、図１Ｂ、ならびに図２を参照して、以下により詳細に記載する。
【００４２】
例えば、図３に示すように、クライアント１０５側から見た方法は、サービスを求めて信頼当事者(ＲＰ)に接触するアクト３００を含むことができる。アクト３００は、信頼当事者に接触して、信頼当事者の１つ又は複数のサービスにアクセスすることを含む。例えば、図１Ａに示すように、クライアント１０５は、１つ又は複数のメッセージ１５５を、信頼当事者１２０ａに送信し、そのメッセージによって、信頼当事者１２０ａの１つ又は複数のサービスへのアクセスを要求する。
【００４３】
図３に示すように、クライアント１０５側から見た方法は、信頼されているアイデンティティプロバイダ(ＩＰ)に関する情報を受信するアクト３１０を含むこともできる。アクト３１０は、１つ又は複数のポリシーファイルを信頼当事者から受信することを含み、その１つ又は複数のポリシーファイルは、１つ又は複数の信頼しているアイデンティティプロバイダのセットに対応する汎用名を識別する情報を含む。例えば、図１Ａに示すように、クライアント１０５は、信頼当事者１２０と関係を確立していないので、信頼当事者は、１つ又は複数のメッセージ１６０をクライアント１０５に返信する。この具体的な例においては、１つ又は複数のメッセージ１６０は、信頼しているアイデンティティプロバイダ１１０ａに関する一般化された情報を示す情報を含む。本明細書でより詳細に理解されるように、このような情報１６０は、アイデンティティプロバイダ１１０ａの具体的なネットワークエンドポイントを含み得る。当然、このような情報１６０は、追加又はその代替として、アイデンティティプロバイダ１１０ａの汎用ドメイン名、又は、接触することによって、アイデンティティプロバイダ１１０ａのネットワークアドレスを識別することができるさらに別のサービス１１０ａを含むことができる。
【００４４】
さらに、図３に示すように、クライアント１０５側から見た方法は、アイデンティティプロバイダ名を解決して、信頼されているネットワークエンドポイントに到達するアクト３２０を含むことができる。アクト３２０は、汎用名を自動で解決して、信頼されているアイデンティティプロバイダの１つの、１つ又は複数のネットワークエンドポイントを取得する。例えば、クライアント１０５のサービスリクエスタ１３０は、１つ又は複数のメッセージ１７５をネットワーク解決サービス１１５に自動的に送信し、情報１６０で見つけられた汎用ドメイン名の解決を要求する。次に、サービスリクエスタ１３０は、アイデンティティプロバイダ１１０ａに対応する、１つ又は複数の特定のネットワークエンドポイントに最初に与えられた汎用名を解決する１つ又は複数のメッセージ１８０を受信する。あるいは、サービスリクエスタ１３０は、情報１６０で見つけられた特定のネットワークエンドポイントに自動的に接触し、ネットワークエンドポイントにある団体に、適切なアイデンティティプロバイダ１１０のロケーションを教えるように頼む。
【００４５】
さらに、図３に示すように、クライアント１０５側から見た方法は、信頼されているネットワークエンドポイントを通して、デジタルアイデンティティ表示を取得するアクト３３０を含むことができる。アクト３３０は、１つ又は複数のネットワークエンドポイントを認証すると、１つの解決したアイデンティティプロバイダに接触して、１つ又は複数のセキュリティトークンの取得に使用する１つ又は複数のデジタルアイデンティティ表示を取得することを含む。例えば、図１Ａおよび図１Ｂに示すように、アイデンティティプロバイダ１１０ａは、１つ又は複数のメッセージ１９０をクライアント１０５に返信する。１つ又は複数のメッセージ１９０は、次に、ＤＩＲプロビジョニングサービス（例えば、１５０ａ)の１つ又は複数のエンドポイントを示す１つ又は複数のメタデータ要素（例えば、ＷＳ−ＦＥＤＥＲＡＴＩＯＮ規格に従った）を含むことができる。同様に、１つ又は複数のメッセージ１９０は、ＤＩＲプロビジョニングサービス（例えば、１５０ａ)に対応する１つ又は複数のエンドポイントに到達するために、さらに解決する必要がある１つ又は複数のメタデータ要素を含むことができる。どちらの場合においても、次に、サービスリクエスタ１３０は、メッセージ１９０のその情報を用いて、適切なＤＩＲプロビジョニングサービス（例えば、１５０ａ）に最終的に接触し、デジタルアイデンティティ表示（例えば、１１３ｂ)を取得する。
【００４６】
前述に加えて、図４に示すように、アイデンティティプロバイダ１１０側から見た方法は、ＤＩＲプロビジョニングサービスに関する情報を求めるクライアントの要求を受信するアクト４００を含むことができる。アクト４００は、アイデンティティプロバイダで、１つ又は複数のＤＩＲを確立するための１つ又は複数のＤＩＲプロビジョニングサービスを求めるクライアントからの１つ又は複数の要求を受信することを含む。その後、その１つ又は複数のＤＩＲを使用して、ユーザを信頼当事者に検証することができる１つ又は複数のセキュリティトークンを取得することができる。前述のように、例えば、図１Ａは、アイデンティティプロバイダ１１０ａが、１つ又は複数のセキュリティトークンを最終的に取得するための取組みの一部として、ＤＩＲプロビジョニングサービス情報を求める１つ又は複数の要求１８５をクライアント１０５から受信することを示している。
【００４７】
図４に示すように、アイデンティティプロバイダ１１０側から見た方法は、デジタルアイデンティティ表示プロビジョニングサービスの情報を与えるアクト４１０も含むことができる。アクト４１０は、アイデンティティプロバイダが信頼する１つ又は複数のデジタルアイデンティティプロビジョニングサービスを識別する情報を、クライアントに与えることも含む。例えば、前述のように、図１Ａは、要求１８５に応答して、アイデンティティプロバイダ１１０ａが１つ又は複数のメッセージ１９０を介して情報を与えることを示している。少なくとも１つの実装形態においては、１つ又は複数のメッセージ１９０は、公開されたセキュリティドキュメント、又はそのドキュメントに含まれる情報の少なくとも一部を含む。このような情報は、ＤＩＲプロビジョニングサービス１５０ａのドメイン名(ネットワーク解決サービス１１５を介してさらなる解決が必要となる場合がある)、又は 単に、サービス１５０ａの具体的なネットワークエンドポイントを含むことができる。
【００４８】
さらに、図４に示すように、アイデンティティプロバイダ１１０側から見た方法は、クライアントが与えたデジタルアイデンティティ表示を認証するアクト４２０を含む。アクト４２０は、クライアントから受信した１つ又は複数のデジタルアイデンティティ表示を認証することを含み、アイデンティティプロバイダは、受信した１つ又は複数のデジタルアイデンティティ表示が有効であることを判定する。例えば、図２に示すように、アイデンティティプロバイダ１１０ａは、（例えば、判定モジュール１４５ａを介して)メッセージ２００の形でクライアント１０５が与えたＤＩＲ１１３ｂを評価する。具体的には、アイデンティティプロバイダ１１０ａは、ＤＩＲ１１３ｂが、１つ又は複数のメッセージ１９０の形で以前参照した、ＤＩＲプロビジョニングサービス１５０ａが作成、提供したものであることを判定する。従って、アイデンティティプロバイダ１１０ａは、メッセージ２００を介してＤＩＲ１１３ｂを与えたクライアント１０５は、メッセージ１８５を介してＤＩＲプロビジョニング情報を要求したのと同じクライアント１０５であることを確認する。
【００４９】
さらに、図４に示すように、アイデンティティプロバイダ１１０側から見た方法は、セキュリティトークンをクライアントに提供するアクト４３０を含むことができる。アクト４３０は、認証された１つ又は複数のデジタルアイデンティティ表示に対応する１つ又は複数のセキュリティトークンを提供することを含む。例えば、図２に示すように、メッセージ２００のデジタルアイデンティティ表示１１３ｂを有効にすると、アイデンティティプロバイダ１１０ａは、１つ又は複数のセキュリティトークン２１０をクライアント１０５に返信する。そして、クライアント１０５は、提供されたセキュリティトークン２１０を用いて、要求を行っているユーザのアイデンティティを信頼当事者１２０ａと検証することができる。
【００５０】
従って、本発明の実装形態は、クライアントが、安全、確実、かつ効率的に、適切なセキュリティトークンにアクセスすることができる、多くの異なるコンポーネントや機構を提供する。本明細書で述べたように、例えば、このような機構は、クライアントのアイデンティティセレクタが、ある特定のアイデンティティプロバイダのＤＩＲが利用可能か否かを判定する手段を含み、もし、利用可能でなければ、ユーザが適切なＤＩＲを取得するのを手伝う方法を含む。このような機構によって、アイデンティティプロバイダが、（例えば、公開又は他の方法で）様々なメタデータ要素をユーザに提供することも可能となり、メタデータ要素は、適切なＤＩＲを発行することができるＤＩＲプロビジョニングサービスのロケーションを示す。本明細書で前述したように、このような情報を（例えば、メタデータ要素の形で）、様々なエンドポイントのクライアントが独立して解決できるように公開することができ、それによって、フェデレートされたシステム全体の安全性を向上させる。
【００５１】
本発明の実施形態は、以下でより詳細に述べるように、様々なコンピュータハードウェアを含む、専用コンピュータ又は汎用コンピュータを含んでよい。本発明の範囲にある実施形態は、コンピュータ実行可能命令を実行又は有するコンピュータ可読媒体、又は、その媒体に記憶されたデータ構造も含む。このようなコンピュータ可読媒体は、汎用コンピュータ又は専用コンピュータがアクセス可能な任意の利用可能な媒体であってよい。
【００５２】
一例として、このようなコンピュータ可読媒体に含まれるのは、ＲＡＭ、ＲＯＭ、ＥＥＰＲＯＭ、ＣＤ−ＲＯＭもしくは他の光ディスク記憶装置、磁気ディスク記憶装置もしくは他の磁気記憶装置、又は、コンピュータ実行可能命令又はデータ構造の形で、所望のプログラムコード手段を実行又は記憶するために用いることができ、かつ、汎用コンピュータ又は専用コンピュータがアクセス可能な、他の任意の媒体であるが、これらに限定されない。ネットワーク又は別の通信接続（配線接続、無線、又はその両方の組合せのいずれか）を通して、情報をコンピュータに転送又は提供すると、コンピュータは、適宜、その接続をコンピュータ可読媒体と見る。従って、任意のこのような接続を、コンピュータ可読媒体と称することは適切である。上記を組合せたものも、コンピュータ可読媒体の範囲に含まれるべきである。
【００５３】
コンピュータ実行可能命令は、例えば、汎用コンピュータ、専用コンピュータ、又は、専用処理装置に、ある機能又は機能群を実施させる命令およびデータを含む。構造的特徴および／又は方法論的アクトに固有の言葉で主題を記載してきたが、添付の請求項で規定する主題は、上述の具体的な特徴又はアクトに必ずしも限定されないことは理解されたい。上述の具体的な特徴およびアクトは、請求項を実装する例示の形として開示したものである。
【００５４】
発明は、本発明の精神又は不可欠な特徴から逸脱することなく、他の具体的な形で実現してもよい。上述の実施形態は、あらゆる点で、例示的なものであり、限定的なものとして考えてはならない。従って、発明の範囲は、前述の記載ではなく添付の請求項によって示される。請求項と等価の意味および範囲内のあらゆる変更は、発明の範囲に包含されるものとする。
【技術分野】
【０００１】
本発明は、信頼当事者と使用するトークンを取得する際に、デジタルアイデンティティ表示プロビジョニングサービスを、ユーザ／クライアントが独立して検証するように構成された、システム、方法、および、コンピュータプログラムに関する。
【背景技術】
【０００２】
従来型のコンピュータシステムは、生産や娯楽など、幅広い目的に広く使用されている。その理由の１つは、コンピュータシステムは、タスクの自動化で効率をよくする傾向があると共に、ある種の取引をより効率的にするからである。例えば、過去には、ユーザが何時間又は何日もかかって完了するような種類の取引があった。具体的には、銀行の預金や振替、店舗の物の購入では、ユーザのアイデンティティを検証し、取引の指示を与えるために、ユーザは実際に銀行や店舗のある場所まで出かける必要があっただろう。ユーザのアイデンティティを検証後、銀行や店舗が、要求された取引を開始、確認するだろう。このシナリオでは、銀行又は店舗を「信頼当事者」とみなすことができ、信頼当事者は、ユーザが実際に訪れて提供したアイデンティティを信用し、ユーザは「アイデンティティプロバイダ」となる。
【０００３】
しかしながら、最近では、自動化された（コンピュータ化された）機構を用いて、このような取引は数秒又は数分に短縮された。具体的には、上記のような取引は、端末が自動化されたため、ますます効率的で複雑になり、そのような端末を用いて、ユーザは、離れた場所から取引を行うことができる。しかしながら、ユーザが出向いて行うアイデンティティの検証に代って、自動化された端末は、サービスへのアクセスを提供する前に、ユーザにいくつかの課題や応答のシナリオを満足させるよう求める。例えば、ユーザは、口座のカードおよび暗証番号を提示する必要があるかもしれない。口座のカードおよび暗証番号は、ユーザと信頼当事者との間で信頼関係を確立したとき、予め、信頼当事者から受け取ったものである。
【０００４】
自動化された端末と同様に、より最近のインターネットベースの信頼当事者は、エンドユーザがある種の信頼関係を確立することも要求する。よく用いられるのは、ユーザに検証可能な個人情報（例えば、名前、住所、誕生日など）を提供するよう要求するなどである。信頼当事者は、クレジットカード情報、運転免許証情報、ソーシャルセキュリティカード情報などの他の第三者の検証情報を提示するようにユーザに要求することもある。このような場合、信頼当事者は、ユーザの自己検証情報だけでなく、信頼当事者が既に信頼関係を確立している他の当事者（例えば、クレジットカード会社、又は政府機関）の検証にも頼ることになる。従って、その後、ユーザが信頼当事者のサービスにアクセスすると、信頼当事者は、予め交換した個人情報および第三者情報の一部又は全てを提示するようユーザに要求することができる。
【０００５】
通常、オンライン取引を行うと効率性を得られるので、ますます多くの団体がこのようなサービスを提供するようになり、ユーザがこのようなサービスを使用する需要もますます増加している。しかしながら、オンライン取引のこのような増加は、一連の別の問題を引き起こしている。すなわち、ユーザは、多くの異なるオンライン口座を監視、保持することが必要となり、その数はますます増えていくことが多い。特に、異なる信頼当事者の各々にユーザが異なる検証情報を提供する場合、ユーザは、増え続ける、異なるユーザ名、パスワード、その他の有り得る検証情報を、覚えるか、それらにアクセスする必要がある。
【０００６】
従来の機構には、「フェデレートされた」アイデンティティ検証システムを実装することによって、これらの懸念の一部を軽減しようと試みたものもある。フェデレートされたシステムでは、個々のアイデンティティプロバイダが保持するデータを用いて、様々な信頼当事者に存在するユーザの異なる口座の多くに対して１つ又は複数のセキュリティトークンを生成することができる。一般には、「セキュリティトークン」は、アイデンティティプロバイダが、ユーザのアイデンティティを信頼当事者に主張する手段である。セキュリティトークンを多くの異なる信頼当事者間を移動して利用できるように、この種のアイデンティティプロバイダは、ユーザがアクセスを望む異なる信頼当事者の各々と信頼関係を確立する必要がある。
【０００７】
こうすると、ユーザは、ある信頼当事者の特定のサービスへのアクセスを望むとき、アイデンティティプロバイダに接触して、ユーザ自身をアイデンティティプロバイダに検証し、アイデンティティプロバイダからトークンを取得することができる。そして、ユーザは、アイデンティティプロバイダから取得したトークンを信頼当事者に提示することができる。トークンには、ユーザおよび／又はユーザのクライアントシステムに関する何らかの主張(およびアイデンティティプロバイダに関する何らかの情報）が含まれる。信頼当事者は、アイデンティティプロバイダおよびユーザを信頼しているので、提供された情報を用いてトークンを有効にすることができる。有効にされると、ユーザは様々な要求したサービス又は取引にアクセスすることができる。
【０００８】
一部の信頼当事者は、ある一部のアイデンティティプロバイダのみを信頼する、すなわち、ある一部のアイデンティティプロバイダとのみ信頼関係を有するので、ユーザは、また、複数の異なるアイデンティティプロバイダに口座を設立しているかもしれない。従来のシステムでは、ユーザは、各アイデンティティプロバイダでセキュリティトークン取得に用いることができる１つ又は複数のデジタルアイデンティティ表示を、保持又は記憶する。次に、ユーザのクライアントコンピュータシステムに記憶されたアイデンティティ選択サービスが、任意の所与のアイデンティティプロバイダに対してどのアイデンティティ表示を使うべきかを、管理、識別することができる。
【０００９】
例えば、ユーザは、1つの特定のアイデンティティプロバイダで１つのデジタルアイデンティティ表示を使って、１つの特定の信頼当事者用のトークンを発行してもらうことが必要かもしれない。そして、ユーザは、同一の（又は異なる）アイデンティティプロバイダで、別のデジタルアイデンティティ表示を用いて、その信頼当事者（又は別の信頼当事者)用のさらに他のトークンを要求するかもしれない。このように、アイデンティティ選択サービスは、適切な１つ又は複数のデジタルアイデンティティ表示を、適切なアイデンティティプロバイダ（単数又は複数）に提供する。
【００１０】
一般的に、上記のフェデレーションシステムは、ユーザが要求されたアイデンティティプロバイダと既に信頼関係を確立している場合は、うまくいく傾向がある。しかしながら、ユーザは、ユーザ（又はクライアントシステム）が信頼関係を確立していないアイデンティティプロバイダからのトークンを承認する信頼当事者に遭遇する場合がある。ユーザは、ある特定のアイデンティティプロバイダとの関係を確立する処理を行うことができるが、さらに、そのアイデンティティプロバイダの名前とロケーションを識別できる必要がある。しかしながら、アイデンティティプロバイダの名前とロケーションに関する情報を提供することは、多くのセキュリティリスクを伴う可能性がある。
【００１１】
例えば、仮に信頼当事者が自動的にクライアントシステムを、ある特定のアイデンティティプロバイダに導くように上記シナリオを確立すると、ユーザは、「フィッシング」攻撃のリスクにさらされるであろう。具体的には、ユーザが合法であると信じている悪意の信頼当事者が、悪意のアイデンティティプロバイダにユーザを自動的に導くかもしれない。ユーザが、悪意のアイデンティティプロバイダとアイデンティティ表示を確立しようと試みると、アイデンティティプロバイダは、簡単にユーザのアイデンティティを盗み、ユーザを不正に利用することができるであろう。そのアイデンティティプロバイダは、その悪意の信頼当事者にアクセスするためのトークンを提供することもでき、従って、より長い期間、出現し続けることになる。
【発明の概要】
【発明が解決しようとする課題】
【００１２】
合法的な信頼当事者の場合でさえ、信頼当事者が、デジタルアイデンティティ表示プロビジョニングサービスの正確なエンドポイントを提供すると、ユーザ（および／又は信頼当事者）になんらかのリスクがある。安全なオンライン取引サービスの提供を志向する団体が増えるにつれて、このような問題は増える一方であることは理解される。従って、フェデレートされたシステムには取組むことができる多くの課題がある。
【課題を解決するための手段】
【００１３】
信頼当事者と使用するトークンを取得する前に、デジタルアイデンティティ表示プロビジョニングサービスを、ユーザ／クライアントが独立して検証するように構成されたシステム、方法、および、コンピュータプログラムの形で、本発明を実装することにより、当分野の１つ又は複数の課題を解決する。少なくとも１つの実装形態においては、例えば、信頼当事者のサービスの要求に応答して、クライアントは、その信頼当事者が信頼する１つ又は複数のアイデンティティプロバイダに関するメタデータを受信する。そして、クライアントは、独立して、そのメタデータを解決して、アイデンティティプロバイダが提供するデジタルアイデンティティプロビジョニングサービスを識別し、クライアントがそのプロビジョニングサービスを信頼できるか否かを判定する。信頼できれば、クライアントは、そのプロビジョニングサービスを通して、対応するアイデンティティプロバイダとデジタルアイデンティティ表示を確立し、信頼当事者と使用する１つ又は複数のトークンを取得することができる。
【００１４】
例えば、デジタルアイデンティティ表示および／又はセキュリティトークンを取得するクライアントコンピュータシステム側から見た方法には、信頼当事者に接触して、信頼当事者における１つ又は複数のサービスにアクセスすることも含むことができる。その方法には、信頼当事者から１つ又は複数のポリシーファイルを受信することも含むことができる。この場合、その１つ又は複数のポリシーファイルは、１つ又は複数の信頼されるアイデンティティプロバイダのセットに対応する汎用名を識別する情報を含む。さらに、その方法には、識別された汎用名を自動的に解決して、信頼されるアイデンティティプロバイダのうちの１つの、１つ又は複数のネットワークエンドポイントを取得することを含むことができる。さらに、その方法には、１つ又は複数のネットワークエンドポイントを認証すると、１つの解決したアイデンティティプロバイダに接触して、１つ又は複数のセキュリティトークンの取得に使用する、１つ又は複数のデジタルアイデンティティ表示を取得することを含むことができる。
【００１５】
さらに、１つ又は複数のデジタルアイデンティティ表示および／又は１つ又は複数のセキュリティトークンをクライアントに提供するアイデンティティプロバイダ側から見た方法には、１つ又は複数のデジタルアイデンティティ表示プロビジョニングサービスを求めるクライアントからの１つ又は複数の要求を、アイデンティティプロバイダで受信することを含むことができる。その方法には、アイデンティティプロバイダが提供する１つ又は複数のデジタルアイデンティティプロビジョニングサービスを識別する情報を、クライアントに提供することを含むことができる。さらに、その方法には、クライアントから受信する１つ又は複数のデジタルアイデンティティ表示を認証することを含むことができる。この場合には、アイデンティティプロバイダは、受信した１つ又は複数のデジタルアイデンティティ表示が有効であることを判定する。さらに、その方法には、認証した１つ又は複数のデジタルアイデンティティ表示に対応する１つ又は複数のセキュリティトークンを提供することを含むことができる。
【００１６】
本「発明の概要」は、「発明を実施するための形態」でさらに詳しく述べる概念の一部を簡単に紹介したものである。本「発明の概要」は、特許を請求する主題の重要な特徴又は必須の特徴を特定することを意図したものではなく、特許を請求する主題の範囲を決定するための目的に使用されることも意図してはいない。
【００１７】
本発明のさらなる特徴および利点は、下記の説明に記載しており、その説明からある程度明らかであり、本発明の実践によって理解されるものである。本発明の特徴および利点は、添付の請求項で詳細に具体的に指摘した装置およびその組合せによって実現し、得られるものである。本発明のこれらの特徴および他の特徴は、下記の説明、添付の請求項より十分に明らかとなり、また、以下に記載の発明の実践により理解されよう。
【図面の簡単な説明】
【００１８】
本発明の上述および他の利点および特徴が得られる方法を記載するために、上記で簡単に述べた本発明を、具体的な実施形態とそれに付随する図面を参照しながら、より詳細に記載する。これらの図面は、本発明の典型的な実施形態のみを描いたものであり、本発明の範囲を制限することを意図してはいないことを理解して頂き、添付図面を使用しながら、本発明のさらに具体的な記載、説明を行う。
【００１９】
【図１Ａ】クライアントが、信頼当事者からの１つ又は複数のポリシーを解決して適切なアイデンティティプロバイダを識別する、フェデレートされたアイデンティティシステム全体の概略図である。
【図１Ｂ】クライアントが、アイデンティティプロバイダが参照するデジタルアイデンティティ表示プロビジョニングサービスに接触し、そのサービスを使ってデジタルアイデンティティ表示を取得する、全体の概略図である。
【図２】クライアントが、図１Ｂのプロビジョニングサービスによって提供されたデジタルアイデンティティ表示を用いて、トークンを取得し、そのトークンを用いてクライアントが信頼当事者のサービスにアクセスする、図１Ａ、図１Ｂに示すシステムの概略図である。
【図３】信頼されているエンドポイントからデジタルアイデンティティ表示を取得する、クライアント側から見た方法における１つ又は複数のアクトのフローチャートである。
【図４】新しく提供されたデジタルアイデンティティ表示を認証して、クライアントにトークンを提供する、アイデンティティプロバイダ側から見た方法のフローチャートである。
【発明を実施するための形態】
【００２０】
本発明の実装形態は、信頼当事者と使用するトークンを取得する前に、デジタルアイデンティティ表示プロビジョニングサービスを、ユーザ／クライアントが独立して検証するように構成された、システム、方法、および、コンピュータプログラムにおよぶ。少なくとも１つの実装形態において、例えば、信頼当事者のサービスの要求に応答して、クライアントは、信頼当事者が信頼する１つ又は複数のアイデンティティプロバイダに関するメタデータを受信する。そして、クライアントは、独立してそのメタデータを解決して、アイデンティティプロバイダが提供するデジタルアイデンティティプロビジョニングサービスを識別し、クライアントがそのプロビジョニングサービスを信頼できるか否かを判定する。信頼できれば、クライアントは、そのプロビジョニングサービスを通して、対応するアイデンティティプロバイダとデジタルアイデンティティ表示を確立し、信頼当事者と使用する１つ又は複数のトークンを取得することができる。
【００２１】
従って、本明細書でより詳しく理解されるように、本発明の実装形態は、アイデンティティプロバイダが、デジタルアイデンティティ表示 （又は、ＤＩＲ、「情報カード」とも呼ぶ）を発行することができるサービスのロケーションを公開することができる、１つ又は複数の機構を提供する。本発明の実装形態は、アイデンティティプロバイダが代替の情報を公開することができる１つ又は複数の機構も提供する。その情報によって、ユーザは、ＤＩＲを取得する前に、アイデンティティプロバイダとの関係を確立することができる。さらに、本発明の実装形態は、ある特定のアイデンティティプロバイダのＤＩＲが利用可能か否かをアイデンティティセレクタ（例えば、クライアントシステム上のコンポーネント又はアプリケーション）が見つけ出し、その情報をユーザに提示してユーザがＤＩＲを取得するのを助ける、１つ又は複数の機構を提供する。
【００２２】
一般的には、本発明のこれらの態様および他の態様は、ＷＳ−ＦＥＤＥＲＡＴＩＯＮの規格に従って構成されたメタデータ要素を用いて、少なくとも１つの実装形態において達成することができる。少なくとも１つの実装形態においては、例えば、アイデンティティプロバイダおよび信頼当事者は両方とも、ユーザが特定のエンドポイントを独立して検証するために用いることができる様々なメタデータ要素を用いて、ユーザを様々なエンドポイントに導くことができる。例えば、あるメタデータ要素は、クライアントがカードを取得しに行く必要のあるＤＩＲ発行サービスの実際のロケーションを記述することができる。あるメタデータ要素は、カードを発行するためのセキュリティ用件も記述することができる。さらに、そのメタデータ要素は、ユーザが発行者／アイデンティティプロバイダと関係を有しておらず、デジタルアイデンティティ表示（すなわち、ＤＩＲ）をダウンロードする前に、そのような関係が必要である場合、どこに行くべきかをユーザに示すことができる。次に、これらのメタデータ要素によって、ユーザのクライアントアイデンティティセレクタは、本明細書に記載されている１つ又は複数の追加のコンポーネントと協働して、ユーザが必要とするＤＩＲを見つけ、又は、確立して、関連するセキュリティトークン（単数又は複数）を取得する。
【００２３】
図１Ａは、本発明の実装形態による、フェデレートされたアイデンティティプロビジョニングシステム１００を示す。図に示すように、フェデレートされたアイデンティティプロビジョニングシステム１００は、少なくとも１つのクライアント１０５、およびクライアント１０５（すなわち、ユーザに代って)が特定のサービスへのアクセスを要求する１つ又は複数の信頼当事者（依拠当事者）１２０(ａ、ｂ他）を含む。例えば、信頼当事者１２０は、様々な口座や購買機能を提供するオンラインバンク又はオンラインストアである。図１Ａはまた、各信頼当事者１２０(ａ、ｂ他）が、判定モジュール１４０(ａ、ｂ他）、および信頼しているアイデンティティプロバイダのリスト１２５(ａ、ｂ他）を含むことを示す。これらモジュールおよびリストの各々については、以下により詳しく記載する。
【００２４】
さらに、図１Ａに示すように、フェデレートされたアイデンティティプロビジョニングシステム１００は、１つ又は複数のアイデンティティプロバイダ１１０(ａ、ｂ他）を含み、各アイデンティティプロバイダ１１０はまた、それ自身の判定モジュール１４５(ａ、ｂ他）、および対応する１つ又は複数のデジタルアイデンティティプロビジョニングサービス１５０(ａ、ｂ他）を含む。本明細書でより詳しく理解されるように、１つ又は複数のアイデンティティプロバイダ１１０は、１つ又は複数の「セキュリティトークン」（すなわち、図２の２１０）を用いて、ユーザ／クライアントのアイデンティティを信頼当事者に検証する。一般的には、セキュリティトークンは、信頼当事者１２０および信頼されているアイデンティティプロバイダ１１０が互いに合意したフォーマット／構成でユーザに関する様々な主張を提供する。例えば、銀行又はオンラインストアの形の信頼当事者１２０が、クライアント１０５に要求されたサービスを提供する前に、ユーザ／クライアント１０５の信用証明を独立して検証することを要求すると、信頼されているアイデンティティプロバイダ１１０は、ユーザの信用証明の検証に使用されると予測されたデータを含む１つ又は複数のセキュリティトークンを通してこの検証を行う。
【００２５】
しかしながら、クライアント１０５は、示されたアイデンティティプロバイダ１１０からのセキュリティトークンを簡単に要求することはできない。それどころか、クライアント１０５は、アイデンティティプロバイダ１１０と信頼関係を確立する必要がある。さらに、クライアント１０５は、任意のある特定の信頼当事者１２０と対話するために、任意の所与のアイデンティティプロバイダ１１０との信頼関係を簡単に得ることはできない。それどころか、クライアント１０５は、クライアントがサービスを要求する信頼当事者１２０も信頼する特定のアイデンティティプロバイダ１１０と信頼関係を取得する必要がある。すなわち、必ずしも全ての信頼当事者１２０が、全てのアイデンティティプロバイダ１１０と信頼関係を有するわけではなく、逆もまた同様である。例えば、図１Ａに示すように、信頼当事者１２０は、信頼しているアイデンティティプロバイダ１１０のリスト１２５ａを保持し、そのリストには、この場合では、アイデンティティプロバイダ１１０ｂではなく、アイデンティティプロバイダ１１０ａが含まれる。同様に、図１Ａに示すように、信頼当事者１２０ｂは、信頼しているアイデンティティプロバイダ１００のリスト１２５ｂを含み、そのリストには、この場合は、アイデンティティプロバイダ１１０ａではなく、アイデンティティ プロバイダ１１０ｂが含まれる。
【００２６】
一般的には、クライアント（ユーザに代って)と所与のアイデンティティプロバイダとの信頼関係は、上記デジタルアイデンティティ表示、すなわちＤＩＲ(１１３)の形で明らかになる。次に、クライアントは、ある特定のアイデンティティプロバイダ１１０との、そして最終的には、その特定のアイデンティティプロバイダを信頼する１つ又は複数の信頼当事者のサービスに使用するための、セキュリティトークンを取得するために、ある特定のＤＩＲ１１３(ａ、ｂ他）を用いる。従って、例えば、図１Ａに示すように、クライアント１０５は、ＤＩＲストア１０７を保持し、ＤＩＲストア１０７は、この場合は、アイデンティティプロバイダ１１０ｂのためのＤＩＲ１１３ａを含み、信頼当事者１２０ａではなく、信頼当事者１２０ｂだけが、アイデンティティプロバイダ１１０ａを信頼しているので、ＤＩＲ１１３ａは、信頼当事者１２０ｂとのサービスに用いられる。従って、任意の所与のＤＩＲ１１３は、複数の異なる信頼当事者１２０と用いてもよいことは、理解されよう。
【００２７】
さらに、クライアント１０５は、ストア１０７に、任意の数のＤＩＲ１１３を保持できるが、簡単にするために、図１Ａでは、クライアント１０５は、単一のＤＩＲ１１３ａのみを有しているよう示してある。この例においては、図示のＤＩＲ１１３ａによって、クライアント１０５は、信頼当事者１２０ｂと使用するセキュリティトークンをアイデンティティプロバイダ１１０ｂから取得することができる。一方、図１Ａに示すように、クライアント１０５は、アイデンティティプロバイダ１１０ａに対応する、および／又は信頼当事者１２０ａのサービスで使用するＤＩＲを持たない。
【００２８】
従って、図１Ａに示すように、クライアント１０５が、信頼当事者１２０ａのサービスにアクセスしようとすると（例えば、メッセージ１５５）、信頼当事者１２０ａは、最終的に、クライアント１０５がまだ関係を確立していない（すなわち、ＤＩＲ１１３のない）アイデンティティプロバイダ(すなわち、１１０ａ)に、クライアント１０５を導く。例えば、図１Ａに示すように、メッセージ１５５に応答して、信頼当事者１２０ａは（例えば、判定モジュール１４０ａを介して）、クライアント１０５がサービスにアクセスするためにセキュリティトークンを提示する必要があると判定する。従って、図１Ａは、信頼当事者１２０ａが１つ又は複数のポリシー１６０で応答することを示している。
【００２９】
信頼当事者１２０ａが、任意の数の方法で、１つ又は複数のポリシー１６０を提供できることは理解されよう。例えば、信頼当事者１２０ａは、適切なトークン発行者（すなわち、アイデンティティプロバイダ）に関する情報を含む、１つ又は複数のドキュメントを公開することができる。そして、クライアント１０５は、関連のある情報を求めて、公開されたドキュメントを見ることができる。追加又は代替の実装形態においては、信頼当事者１２０ａは、信頼しているアイデンティティプロバイダ１１０の名前に関する特定の情報で応答する。
【００３０】
次に、信頼当事者１２０ａによって提供される情報／ポリシー１６０は、任意の数又は任意の種類の情報を含むことができる。前述したように、例えば、ポリシー１６０は、ある特定のアイデンティティプロバイダ１１０のネットワークエンドポイントに関する様々なメタデータ要素（例えば、ＷＳ−ＦＥＤＥＲＡＴＩＯＮ規格に従った）を含むことができる。追加又は代替の実装形態においては、１つ又は複数のメタデータ要素は、１つ又は複数の汎用ドメイン名を含むか、又は示し、クライアント１０５は、適切なエンドポイントをさらに判定するためにその汎用ドメイン名を解決する必要がある。例えば、１つ又は複数のポリシー１６０は、「ＢＡＮＫ．ｃｏｍからのアイデンティティプロバイダを使用すること」などの情報を含むことができる。そのような場合、クライアント１０５は、ＢＡＮＫ．ｃｏｍを解決して、１つ又は複数のアイデンティティプロバイダ１１０を識別し、そこから、セキュリティトークンを取得することが必要となる。
【００３１】
従って、図１Ａに示すように、クライアント１０５は、適切なアイデンティティプロバイダ（単数又は複数）１１０に関する情報１６０を、サービスリクエスタ１３０を介して処理する。サービスリクエスタ１３０は、受信した情報１６０を、アイデンティティセレクタ１３５を通して比較する。詳細には、図１Ａに示すように、サービスリクエスタ１３０は、１つ又は複数のメッセージ１６５をアイデンティティセレクタ１３５に送信し、信頼当事者１２０ａに対するアイデンティティプロバイダ１１０ａに対応するＤＩＲが（すなわち、ストア１０７に）あるか否かを問い合わせる。この場合、図１Ａに示すように、アイデンティティセレクタ１３５は、そのようなＤＩＲはないということを示すか、又はアイデンティティプロバイダ１１０ａのＤＩＲを確立する必要があるということを示す、１つ又は複数のメッセージ１７０で応答する。追加又は代替の実装形態においては、アイデンティティセレクタ１３５は、１つ又は複数のインタフェースをユーザにさらに提示して、信頼当事者１２０ａと使用する適切なＤＩＲ１１３をユーザが選択できるように、又は必要であれば、オプションとして、新しいＤＩＲ１１３を取得できるようにする。
【００３２】
図に示した場合においては、図１Ａに示すように、サービスリクエスタ１３０は、アイデンティティプロバイダ１１０ａを見つけ出し（そして通信して）、適切なＤＩＲ１１３を取得するように指示される。図１Ａは、また、アイデンティティプロバイダ１１０ａに関する情報１６０は、正確なネットワークエンドポイントを表していないので、さらに解決する必要があるということを示している。従って、図１Ａに示すように、サービスリクエスタ１３０は、１つ又は複数のメッセージ１７５で、１つ又は複数のドメイン名解決サービス１１５に接触する。追加又は代替の実装形態においては、サービスリクエスタ１３０は、１つ又は複数の他のエージェント又はサービスに接触し、そのエージェント又はサービスが、次に、メッセージ １７５でネットワーク解決サービス１１５に接触する。どちらの場合においても、図１Ａに示すように、クライアント１０５は、解決された情報１８０を有する１つ又は複数のメッセージ１８０を最終的に受信し、その情報１８０は、この場合では、アイデンティティプロバイダ１１０ａのある特定のネットワークエンドポイントを含む。
【００３３】
ネットワーク解決サービス１１５が、追加的に又は代替の方法として、他のサービス又はエージェントのために、１つ又は複数の他のドメイン名で応答することができることは、当然理解されよう。このような応答のためには、アイデンティティプロバイダ１１０ａに対応するエンドポイントを取得する前に、サービスリクエスタ１３０は、さらに他の団体に接触し、追加の情報／解決を取得する必要がある。例えば、応答１８０は、アイデンティティプロバイダ１１０ａの名前に対応する可能性のあるアイデンティティプロバイダのリストを含み得る。そして、サービスリクエスタ１３０は、信頼当事者１２０ａが示したアイデンティティプロバイダ１１０ａの適切かつ特定のネットワークエンドポイントを識別するまで、リストにある識別されたアイデンティティプロバイダのいずれか、又は全てに連続して接触することができる。どのように行っても、クライアント１０５（例えば、ユーザに代って）が、信頼当事者１２０ａからの特定の指示なしに、ネットワークエンドポイントを独立して判定又は解決することは、注目に値する。
【００３４】
いずれにしても、メッセージ１８０を介してエンドポイントを受信すると、図１Ａに示すように、サービスリクエスタ１３０は、アイデンティティプロバイダ１１０ａ（すなわち、それに対応する解決されたエンドポイント）に、そのＤＩＲプロビジョニングサービスに関する情報を取得するために、１つ又は複数のメッセージ１８５を送信する。クライアント１０５が、予め確立した信頼関係を有し、かつ、適切なＤＩＲ１１３を既に有していれば、クライアント１０５は、そのＤＩＲを用いて（例えば、図２では、メッセージ２００を介して）、信頼当事者１２０ａの適切なセキュリティトークン（図２では２１０）を要求することができる。この場合、クライアント１０５は、アイデンティティプロバイダ１１０ａのＤＩＲを持たないので、クライアント１０５は、適切なＤＩＲプロビジョニングサービスのロケーションを求める。
【００３５】
それに応じて、図１Ａに示すように、アイデンティティプロバイダ１１０ａは、１つ又は複数のメッセージ１９０を送信する。メッセージ１９０は、一般的に、デジタルアイデンティティ表示プロビジョニングサービス１５０ａ（すなわち、「ＤＩＲプロビジョニングサービス」）を識別するものである。ポリシー１６０と同様に、１つ又は複数のメッセージ１９０も、１つ又は複数の特定のネットワークエンドポイントを有するメタデータ要素を含む公開されたドキュメントを含むことができる。しかしながら、追加又は代替の実装形態においては、メッセージ１９０の情報は、解決可能なドメイン名を含むことができ、サービスリクエスタ１３０は、１つ又は複数の追加のステップでその解決可能なドメイン名を、（例えば、解決サービス１１５を介して)解決して、ＤＩＲプロビジョニングサービス１５０のネットワークエンドポイントを識別しなければならない。どちらの場合においても、ＤＩＲプロビジョニングサービス１５０（すなわち、１５０ａ)の正確なネットワークエンドポイントを識別すると、次に、クライアント１０５は、ＤＩＲ１１３の取得を試みる。
【００３６】
例えば、図１Ｂに示すように、サービスリクエスタ１３０は、識別したデジタルアイデンティティプロビジョニングサービス１５０ａに、１つ又は複数のメッセージ１９３を送信し、信頼当事者１２０ａなどの信頼当事者と使用する１つ又は複数のＤＩＲ１１３を要求する。一般的には、これは、ＤＩＲ１１３を開始／作成するという一般的な要求だけでなく、ＤＩＲ１１３の確立し、取得するための一連の要求や応答（すなわち、複数の異なるメッセージ)を含むことができる。例えば、ＤＩＲプロビジョニングサービス１５０ａは、(クライアント１０５を通して)ユーザに関する個人情報を要求してもよく、ユーザは、クライアント１０５を介して、数回のそれに対応する応答を行う必要があるかもしれない。このような要求は、クレジットカード情報、運転免許証情報、ソーシャルセキュリティカード情報、および、何らかの方法でユーザを個人的に識別するために使うことができる他のチャレンジベースの情報を含むことができる。(サービスリクエスタ１３０が提供する)ユーザの情報／信用証明を有効にすると、ＤＩＲプロビジョニングサービス１５０ａは、適切なＤＩＲ１１３を用いて応答することができる。例えば、図１Ｂに示すように、ＤＩＲプロビジョニングサービス１５０ａは、アイデンティティプロバイダ１１０ａに関連する新しく作成されたＤＩＲ１１３ｂに関する１つ又は複数のメッセージ１９５を、クライアント１０５に送信し、この場合では、クライアント１０５が、そのＤＩＲ１１３ｂを信頼当事者１２０ａと使用することができる。
【００３７】
図２に示すように、クライアント１０５は、この新しいＤＩＲ１１３ｂをそのＤＩＲストア１０７に記憶する。さらに、クライアント１０５は、信頼当事者１２０ａのサービスにアクセスするために、新しいＤＩＲ１１３ｂを用いて、１つ又は複数のセキュリティトークン２１０を取得することができる。図２に示すように、例えば、クライアント１０５は、（すなわち、サービスリクエスタ１３０を介して)１つ又は複数の新しいメッセージ２００をアイデンティティプロバイダ１１０ａに送信する。この場合、その１つ又は複数のメッセージ２００は、新しく作成されたＤＩＲ１１３ｂに対応する情報、および信頼当事者１２０ａのサービスにアクセスするための１つ又は複数のセキュリティトークンの要求を含む。
【００３８】
それに応じて、アイデンティティプロバイダ１１０ａの判定モジュール１５０ａは、提供されたＤＩＲ１１３ｂを有効にする。例えば、アイデンティティプロバイダ１１０の判定モジュール１４５ａは、新しいＤＩＲ１１３ｂが、メッセージ１９０の１つ又は複数のメタデータ要素に基づいたＤＩＲプロビジョニングサービス１５０に対応している（又は、これに作成された）ことを判定する。このように、ＤＩＲ１１３ｂが、認証又は有効にされると、図２に示すように、アイデンティティプロバイダ１１０ａは、１つ又は複数の対応するセキュリティトークン２１０で、応答する。具体的には、図２に示すように、アイデンティティプロバイダ１１０ａは、１つ又は複数のセキュリティトークン２１０を、クライアント１０５に直接送信し、その後、クライアント１０５は、１つ又は複数の対応するメッセージ２２０の形で１つ又は複数のセキュリティトークン２１０を信頼当事者１２０ａに提供する。アイデンティティプロバイダ１１０ａが、追加的又は代替の方法として、１つ又は複数のセキュリティトークン２１０を直接信頼当事者１２０ａに送信してもよいことは、当然理解されよう。
【００３９】
さらに、図２に示すように、信頼当事者１２０ａは、１つ又は複数のメッセージ２２０の形で受信したセキュリティトークン２１０を、判定モジュール１４０を通して処理する。例えば、判定モジュール１４０ａは、セキュリティトークン２１０を処理して、そのセキュリティトークン２１０が、予め与えられた情報１６０(図１)の１つ又は複数のデータ要素に一致するか否かを判定する。一実装形態においては、これは、受信したセキュリティトークン２１０が、信頼しているアイデンティティプロバイダ（例えば、１１０ａ)からのものであり、かつ、そのセキュリティトークンが、サービスを要求しているユーザを検証するための予定していたデータを含むことを信頼当事者１２０ａが判定することを含む。セキュリティトークン２１０が有効であること、および／又は(セキュリティトークン２１０と共に)クライアント１０５が提供したユーザ情報が検証されたことが識別されると、信頼当事者１２０ａは、要求されたサービスへのアクセスを許可することができる。例えば、図２に示すように、信頼当事者１２０ａは、１つ又は複数のメッセージ２３０をクライアント１０５に返信し、そうすることによって、クライアント１０５は要求したサービスにアクセスすることができる。
【００４０】
従って、図１Ａ、図１Ｂおよび図２は、クライアント１０５が情報を安全に解決することのできる１つ又は複数の機構を示している。具体的には、図１Ａ、図１Ｂおよび図２、それらの図に対応する文章は、クライアント１０５が、アイデンティティプロバイダとの信頼関係を安全、かつ確実に得ることを保証する多くのコンポーネントおよび機構を示すものである。少なくとも一実装形態においては、このようなコンポーネントおよび機構は、クライアントレベルでの独立した解決およびアクションを伴い、それによって、例えば、従来のフィッシング攻撃に関連するセキュリティ違反など、多くのセキュリティ違反を避けることができる。
【００４１】
前述したものに加えて、本発明の実装形態を、ある特定の結果を達成するための１つ又は複数のアクトを含む方法という形で、記載することもできる。例えば、図３に示すのは、信頼当事者からの情報を解決して、アイデンティティプロバイダ１１０などの信頼しているエンドポイントからデジタルアイデンティティ表示を取得するための、クライアント１０５側から見たフローチャートである。さらに、図４に示すのは、デジタルアイデンティティ表示を認証し、対応するセキュリティトークンをクライアントに与えるための、アイデンティティプロバイダ１１０側から見たフローチャートである。図３および図４のアクトは、コンポーネントおよび図１Ａ、図１Ｂ、ならびに図２を参照して、以下により詳細に記載する。
【００４２】
例えば、図３に示すように、クライアント１０５側から見た方法は、サービスを求めて信頼当事者(ＲＰ)に接触するアクト３００を含むことができる。アクト３００は、信頼当事者に接触して、信頼当事者の１つ又は複数のサービスにアクセスすることを含む。例えば、図１Ａに示すように、クライアント１０５は、１つ又は複数のメッセージ１５５を、信頼当事者１２０ａに送信し、そのメッセージによって、信頼当事者１２０ａの１つ又は複数のサービスへのアクセスを要求する。
【００４３】
図３に示すように、クライアント１０５側から見た方法は、信頼されているアイデンティティプロバイダ(ＩＰ)に関する情報を受信するアクト３１０を含むこともできる。アクト３１０は、１つ又は複数のポリシーファイルを信頼当事者から受信することを含み、その１つ又は複数のポリシーファイルは、１つ又は複数の信頼しているアイデンティティプロバイダのセットに対応する汎用名を識別する情報を含む。例えば、図１Ａに示すように、クライアント１０５は、信頼当事者１２０と関係を確立していないので、信頼当事者は、１つ又は複数のメッセージ１６０をクライアント１０５に返信する。この具体的な例においては、１つ又は複数のメッセージ１６０は、信頼しているアイデンティティプロバイダ１１０ａに関する一般化された情報を示す情報を含む。本明細書でより詳細に理解されるように、このような情報１６０は、アイデンティティプロバイダ１１０ａの具体的なネットワークエンドポイントを含み得る。当然、このような情報１６０は、追加又はその代替として、アイデンティティプロバイダ１１０ａの汎用ドメイン名、又は、接触することによって、アイデンティティプロバイダ１１０ａのネットワークアドレスを識別することができるさらに別のサービス１１０ａを含むことができる。
【００４４】
さらに、図３に示すように、クライアント１０５側から見た方法は、アイデンティティプロバイダ名を解決して、信頼されているネットワークエンドポイントに到達するアクト３２０を含むことができる。アクト３２０は、汎用名を自動で解決して、信頼されているアイデンティティプロバイダの１つの、１つ又は複数のネットワークエンドポイントを取得する。例えば、クライアント１０５のサービスリクエスタ１３０は、１つ又は複数のメッセージ１７５をネットワーク解決サービス１１５に自動的に送信し、情報１６０で見つけられた汎用ドメイン名の解決を要求する。次に、サービスリクエスタ１３０は、アイデンティティプロバイダ１１０ａに対応する、１つ又は複数の特定のネットワークエンドポイントに最初に与えられた汎用名を解決する１つ又は複数のメッセージ１８０を受信する。あるいは、サービスリクエスタ１３０は、情報１６０で見つけられた特定のネットワークエンドポイントに自動的に接触し、ネットワークエンドポイントにある団体に、適切なアイデンティティプロバイダ１１０のロケーションを教えるように頼む。
【００４５】
さらに、図３に示すように、クライアント１０５側から見た方法は、信頼されているネットワークエンドポイントを通して、デジタルアイデンティティ表示を取得するアクト３３０を含むことができる。アクト３３０は、１つ又は複数のネットワークエンドポイントを認証すると、１つの解決したアイデンティティプロバイダに接触して、１つ又は複数のセキュリティトークンの取得に使用する１つ又は複数のデジタルアイデンティティ表示を取得することを含む。例えば、図１Ａおよび図１Ｂに示すように、アイデンティティプロバイダ１１０ａは、１つ又は複数のメッセージ１９０をクライアント１０５に返信する。１つ又は複数のメッセージ１９０は、次に、ＤＩＲプロビジョニングサービス（例えば、１５０ａ)の１つ又は複数のエンドポイントを示す１つ又は複数のメタデータ要素（例えば、ＷＳ−ＦＥＤＥＲＡＴＩＯＮ規格に従った）を含むことができる。同様に、１つ又は複数のメッセージ１９０は、ＤＩＲプロビジョニングサービス（例えば、１５０ａ)に対応する１つ又は複数のエンドポイントに到達するために、さらに解決する必要がある１つ又は複数のメタデータ要素を含むことができる。どちらの場合においても、次に、サービスリクエスタ１３０は、メッセージ１９０のその情報を用いて、適切なＤＩＲプロビジョニングサービス（例えば、１５０ａ）に最終的に接触し、デジタルアイデンティティ表示（例えば、１１３ｂ)を取得する。
【００４６】
前述に加えて、図４に示すように、アイデンティティプロバイダ１１０側から見た方法は、ＤＩＲプロビジョニングサービスに関する情報を求めるクライアントの要求を受信するアクト４００を含むことができる。アクト４００は、アイデンティティプロバイダで、１つ又は複数のＤＩＲを確立するための１つ又は複数のＤＩＲプロビジョニングサービスを求めるクライアントからの１つ又は複数の要求を受信することを含む。その後、その１つ又は複数のＤＩＲを使用して、ユーザを信頼当事者に検証することができる１つ又は複数のセキュリティトークンを取得することができる。前述のように、例えば、図１Ａは、アイデンティティプロバイダ１１０ａが、１つ又は複数のセキュリティトークンを最終的に取得するための取組みの一部として、ＤＩＲプロビジョニングサービス情報を求める１つ又は複数の要求１８５をクライアント１０５から受信することを示している。
【００４７】
図４に示すように、アイデンティティプロバイダ１１０側から見た方法は、デジタルアイデンティティ表示プロビジョニングサービスの情報を与えるアクト４１０も含むことができる。アクト４１０は、アイデンティティプロバイダが信頼する１つ又は複数のデジタルアイデンティティプロビジョニングサービスを識別する情報を、クライアントに与えることも含む。例えば、前述のように、図１Ａは、要求１８５に応答して、アイデンティティプロバイダ１１０ａが１つ又は複数のメッセージ１９０を介して情報を与えることを示している。少なくとも１つの実装形態においては、１つ又は複数のメッセージ１９０は、公開されたセキュリティドキュメント、又はそのドキュメントに含まれる情報の少なくとも一部を含む。このような情報は、ＤＩＲプロビジョニングサービス１５０ａのドメイン名(ネットワーク解決サービス１１５を介してさらなる解決が必要となる場合がある)、又は 単に、サービス１５０ａの具体的なネットワークエンドポイントを含むことができる。
【００４８】
さらに、図４に示すように、アイデンティティプロバイダ１１０側から見た方法は、クライアントが与えたデジタルアイデンティティ表示を認証するアクト４２０を含む。アクト４２０は、クライアントから受信した１つ又は複数のデジタルアイデンティティ表示を認証することを含み、アイデンティティプロバイダは、受信した１つ又は複数のデジタルアイデンティティ表示が有効であることを判定する。例えば、図２に示すように、アイデンティティプロバイダ１１０ａは、（例えば、判定モジュール１４５ａを介して)メッセージ２００の形でクライアント１０５が与えたＤＩＲ１１３ｂを評価する。具体的には、アイデンティティプロバイダ１１０ａは、ＤＩＲ１１３ｂが、１つ又は複数のメッセージ１９０の形で以前参照した、ＤＩＲプロビジョニングサービス１５０ａが作成、提供したものであることを判定する。従って、アイデンティティプロバイダ１１０ａは、メッセージ２００を介してＤＩＲ１１３ｂを与えたクライアント１０５は、メッセージ１８５を介してＤＩＲプロビジョニング情報を要求したのと同じクライアント１０５であることを確認する。
【００４９】
さらに、図４に示すように、アイデンティティプロバイダ１１０側から見た方法は、セキュリティトークンをクライアントに提供するアクト４３０を含むことができる。アクト４３０は、認証された１つ又は複数のデジタルアイデンティティ表示に対応する１つ又は複数のセキュリティトークンを提供することを含む。例えば、図２に示すように、メッセージ２００のデジタルアイデンティティ表示１１３ｂを有効にすると、アイデンティティプロバイダ１１０ａは、１つ又は複数のセキュリティトークン２１０をクライアント１０５に返信する。そして、クライアント１０５は、提供されたセキュリティトークン２１０を用いて、要求を行っているユーザのアイデンティティを信頼当事者１２０ａと検証することができる。
【００５０】
従って、本発明の実装形態は、クライアントが、安全、確実、かつ効率的に、適切なセキュリティトークンにアクセスすることができる、多くの異なるコンポーネントや機構を提供する。本明細書で述べたように、例えば、このような機構は、クライアントのアイデンティティセレクタが、ある特定のアイデンティティプロバイダのＤＩＲが利用可能か否かを判定する手段を含み、もし、利用可能でなければ、ユーザが適切なＤＩＲを取得するのを手伝う方法を含む。このような機構によって、アイデンティティプロバイダが、（例えば、公開又は他の方法で）様々なメタデータ要素をユーザに提供することも可能となり、メタデータ要素は、適切なＤＩＲを発行することができるＤＩＲプロビジョニングサービスのロケーションを示す。本明細書で前述したように、このような情報を（例えば、メタデータ要素の形で）、様々なエンドポイントのクライアントが独立して解決できるように公開することができ、それによって、フェデレートされたシステム全体の安全性を向上させる。
【００５１】
本発明の実施形態は、以下でより詳細に述べるように、様々なコンピュータハードウェアを含む、専用コンピュータ又は汎用コンピュータを含んでよい。本発明の範囲にある実施形態は、コンピュータ実行可能命令を実行又は有するコンピュータ可読媒体、又は、その媒体に記憶されたデータ構造も含む。このようなコンピュータ可読媒体は、汎用コンピュータ又は専用コンピュータがアクセス可能な任意の利用可能な媒体であってよい。
【００５２】
一例として、このようなコンピュータ可読媒体に含まれるのは、ＲＡＭ、ＲＯＭ、ＥＥＰＲＯＭ、ＣＤ−ＲＯＭもしくは他の光ディスク記憶装置、磁気ディスク記憶装置もしくは他の磁気記憶装置、又は、コンピュータ実行可能命令又はデータ構造の形で、所望のプログラムコード手段を実行又は記憶するために用いることができ、かつ、汎用コンピュータ又は専用コンピュータがアクセス可能な、他の任意の媒体であるが、これらに限定されない。ネットワーク又は別の通信接続（配線接続、無線、又はその両方の組合せのいずれか）を通して、情報をコンピュータに転送又は提供すると、コンピュータは、適宜、その接続をコンピュータ可読媒体と見る。従って、任意のこのような接続を、コンピュータ可読媒体と称することは適切である。上記を組合せたものも、コンピュータ可読媒体の範囲に含まれるべきである。
【００５３】
コンピュータ実行可能命令は、例えば、汎用コンピュータ、専用コンピュータ、又は、専用処理装置に、ある機能又は機能群を実施させる命令およびデータを含む。構造的特徴および／又は方法論的アクトに固有の言葉で主題を記載してきたが、添付の請求項で規定する主題は、上述の具体的な特徴又はアクトに必ずしも限定されないことは理解されたい。上述の具体的な特徴およびアクトは、請求項を実装する例示の形として開示したものである。
【００５４】
発明は、本発明の精神又は不可欠な特徴から逸脱することなく、他の具体的な形で実現してもよい。上述の実施形態は、あらゆる点で、例示的なものであり、限定的なものとして考えてはならない。従って、発明の範囲は、前述の記載ではなく添付の請求項によって示される。請求項と等価の意味および範囲内のあらゆる変更は、発明の範囲に包含されるものとする。
【特許請求の範囲】
【請求項１】
クライアント、１つ又は複数のアイデンティティプロバイダ(１１０)、および１つ又は複数の信頼当事者(１２０)を有するフェデレートされたコンピュータシステム(１００)の前記クライアントコンピュータ(１０５)において、前記信頼当事者の１つ又は複数のサービスにアクセスするために、前記クライアントが用いることができるセキュリティトークンを取得することに関して、前記クライアントが独立して前記アイデンティティプロバイダのロケーションを解決する方法であって、
前記信頼当事者(１２０)に接触して、前記信頼当事者の１つ又は複数のサービスにアクセスするステップ（３００）と、
１つ又は複数のポリシーファイルを前記信頼当事者から受信するステップ(３１０)と、 前記１つ又は複数のポリシーファイルは、１つ又は複数の信頼されているアイデンティティプロバイダのセットに対応する汎用名を識別する情報(１６０)を含み、
前記識別された汎用名を自動的に解決して、前記信頼されているアイデンティティプロバイダ(１１０)の１つの、１つ又は複数のネットワークエンドポイントを取得するステップ(３２０)と、
前記１つ又は複数のネットワークエンドポイントを認証すると、前記１つの解決したアイデンティティプロバイダ(１１０)に接触して、１つ又は複数のセキュリティトークン(２１０)を取得するために用いる１つ又は複数のデジタルアイデンティティ表示(１１３)を取得するステップ(３３０)と
を具えたことを特徴とする方法。
【請求項２】
前記汎用名は、前記１つの信頼されているアイデンティティプロバイダ(１１０ａ)のネットワークエンドポイントを具えたことを特徴とする請求項１記載の方法。
【請求項３】
前記汎用名は、前記１つの信頼されているアイデンティティプロバイダ(１１０ａ)に対応するドメイン名を具えたことを特徴とする請求項１記載の方法。
【請求項４】
前記識別された汎用名を自動的に解決するステップ(３２０)は、１つ又は複数の要求(１７５)を解決サービス(１１５)に送信するステップをさらに具えたことを特徴とする請求項３記載の方法。
【請求項５】
前記解決したアイデンティティプロバイダと接触するステップ(３３０)は、
１つ又は複数の要求(１８５)を、前記解決したアイデンティティプロバイダ（１１０ａ）に送信して、任意の利用可能なデジタルアイデンティティ表示プロビジョニングサービスに関する情報を取得するステップと、
前記解決したアイデンティティプロバイダ(１１０)と用いられるデジタルアイデンティティ表示プロビジョニングサービス(１５０ａ)に関する情報を含む１つ又は複数のメッセージ(１９０)を受信するステップと
をさらに具えたことを特徴とする請求項３記載の方法。
【請求項６】
前記１つ又は複数のポリシーファイルの前記情報(１６０)、および前記アイデンティティプロバイダ(１１０ａ)からの前記１つ又は複数のメッセージ(１９０)で受信した前記情報の１つ又は両方が、１つ又は複数のメタデータ要素をさらに具えたことを特徴とする請求項５記載の方法。
【請求項７】
１つ又は複数の追加のメッセージを前記解決サービス(１１５)に送信するステップをさらに具え、前記１つ又は複数の追加のメッセージは、前記解決したアイデンティティプロバイダ(１１０ａ)からの前記１つ又は複数のメッセージ(１９０)で受信した前記情報の解決を要求することを特徴とする請求項５記載の方法。
【請求項８】
前記デジタルアイデンティティ表示プロビジョニングサービス(１５０ａ)に対応するネットワークエンドポイントを識別するステップと、
前記クライアント(１０５)が、１つ又は複数のメッセージ(１９３)を前記デジタルアイデンティティ表示プロビジョニングサービス(１５０ａ)に送信して、デジタルアイデンティティ表示(１１３)を取得するステップと
をさらに具えたことを特徴とする請求項５記載の方法。
【請求項９】
前記解決したアイデンティティプロバイダ(１１０ａ)と使用する１つ又は複数のデジタルアイデンティティ表示(１１３ｂ)を、前記プロビジョニングサービス(１５０ａ)から受信するステップをさらに具えたことを特徴とする請求項８記載の方法。
【請求項１０】
前記クライアント(１０５)が、前記受信したデジタルアイデンティティ表示(１１３ｂ)に対応する情報を含む１つ又は複数の追加のメッセージ(２００)を前記解決したアイデンティティプロバイダ（１１０ａ)に送信するステップと、
前記解決したアイデンティティプロバイダ(１１０ａ)から、１つ又は複数のセキュリティトークン(２１０)を含む１つ又は複数のメッセージを受信するステップと
をさらに具えたことを特徴とする請求項９記載の方法。
【請求項１１】
前記クライアント（１０５)が、前記アイデンティティプロバイダから受信した前記１つ又は複数のトークン(２１０)を含む１つ又は複数のメッセージ(２２０)を前記信頼当事者(１２０)に送信するステップと、
前記１つ又は複数のサービスへのアクセスを許可したことを示す前記信頼当事者(１２０)からの１つ又は複数の応答(２３０)を受信するステップと
をさらに具えたことを特徴とする請求項１０記載の方法。
【請求項１２】
アイデンティティプロバイダ(１１０)、１つ又は複数のクライアント(１０５)、および１つ又は複数の信頼当事者(１２０)を有するフェデレートされたコンピュータシステム(１００)の前記アイデンティティプロバイダ（１１０）において、前記信頼当事者が与えた情報を解決する前記クライアントに、１つ又は複数のデジタルアイデンティティ表示、および１つ又は複数のセキュリティトークンを提供する方法であって、
ユーザを前記信頼当事者(１２０)に検証するために用いる１つ又は複数のセキュリティトークンを取得するために後に使うことができる１つ又は複数のＤＩＲを確立するための、１つ又は複数のデジタルアイデンティティ表示プロビジョニングサービスを求める前記クライアント(１０５)からの１つ又は複数の要求(１８５)を前記アイデンティティプロバイダ(１１０)で受信するステップ(４００)と、
前記アイデンティティプロバイダ(１１０)が信頼する少なくとも１つのデジタルアイデンティティプロビジョニングサービス(１５０)を識別する情報(１９０)を、前記クライアント(１０５)に提供するステップ(４１０)と、
前記クライアント(１０５)から受信した１つ又は複数のデジタルアイデンティティ表示(１１３)を認証するステップ(４２０)と、
前記アイデンティティプロバイダ(１１０)は、前記受信した１つ又は複数のデジタルアイデンティティ表示(１１３)が有効であると判定し、
前記認証された１つ又は複数のデジタルアイデンティティ表示(１１３)に対応する１つ又は複数のセキュリティトークン(２１０)を提供するステップ(４３０)と
を具えたことを特徴とする方法。
【請求項１３】
前記クライアント(１０５)に情報(１９０)を提供するステップ（４１０）は、
前記１つ又は複数のデジタルアイデンティティプロビジョニングサービス(１５０)を識別する前記情報(１９０)を含む１つ又は複数のドキュメントを公開するステップと、
前記１つ又は複数のドキュメントにデジタル署名を行うステップと
をさらに具えたことを特徴とする請求項１２記載の方法。
【請求項１４】
前記公開された１つ又は複数のドキュメントの前記提供された情報（１９０）は、１つ又は複数のメタデータ要素を具えたことを特徴とする請求項１３記載の方法。
【請求項１５】
前記クライアント(１０５)に提供された前記情報(１９０)は、前記１つ又は複数のデジタルアイデンティティプロビジョニングサービス(１５０)に対応する１つ又は複数の汎用名を具えたことを特徴とする請求項１２記載の方法。
【請求項１６】
前記クライアント(１０５)が前記デジタルアイデンティティプロビジョニングサービス(１５０)にアクセス可能とする前に、前記１つ又は複数の汎用名を解決して、１つ又は複数のネットワークエンドポイントに到達する必要があることを特徴とする請求項１５記載の方法。
【請求項１７】
前記クライアント(１０５)に提供された前記情報(１９０)は、前記信頼されている１つ又は複数のデジタルアイデンティティプロビジョニングサービス(１５０)に対応する前記１つ又は複数のネットワークエンドポイントを具えたことを特徴とする請求項１２記載の方法。
【請求項１８】
前記１つ又は複数のデジタルアイデンティティ表示(１１３)を認証するステップ(４１０)は、
前記信頼当事者(１２０)と使用する前記１つ又は複数のセキュリティトークン(２１０)を求める前記クライアント(１０５)からの１つ又は複数の新しい要求(２００)を、前記アイデンティティプロバイダ(１１０)で受信するステップと、
前記１つ又は複数の新しい要求(２００)の前記１つ又は複数の有効なデジタルアイデンティティ表示(１１３)を識別するステップと
をさらに具えたことを特徴とする請求項１２記載の方法。
【請求項１９】
前記１つ又は複数のデジタルアイデンティティ表示(１１３)を認証するアクト(４１０)は、前記受信した１つ又は複数のデジタルアイデンティティ表示(１１３)が、前記信頼されているデジタルアイデンティティプロビジョニングサービス(１５０)の１つから取得されたことを判定するステップをさらに具えたことを特徴とする請求項１８記載の方法。
【請求項２０】
クライアント、１つ又は複数のアイデンティティプロバイダ(１１０)、および１つ又は複数の信頼当事者(１２０)を有するフェデレートされたコンピュータシステム(１００)の前記クライアントコンピュータ(１０５)において、コンピュータ実行可能命令をそのコンピュータプログラム上に記憶したコンピュータプログラムであって、前記コンピュータ実行可能命令を実行すると、前記クライアントコンピュータの１つ又は複数の処理装置が、
前記信頼当事者 (１２０)に接触して、前記信頼当事者の１つ又は複数のサービスにアクセスするステップ(３００)と、
１つ又は複数のポリシーファイルを前記信頼当事者から受信するステップ(３１０)であって、前記１つ又は複数のポリシーファイルは１つ又は複数の信頼されているアイデンティティプロバイダのセットに対応する汎用名を識別する情報(１６０)を含むステップと、
前記識別された汎用名を自動的に解決して、前記信頼されているアイデンティティプロバイダ(１１０)の１つの、１つ又は複数のネットワークエンドポイントを取得するステップ(３２０)と、
前記１つ又は複数のネットワークエンドポイントを認証すると、前記１つの解決したアイデンティティプロバイダ (１１０)に接触して、１つ又は複数のセキュリティトークン(２１０)を取得するために用いる１つ又は複数のデジタルアイデンティティ表示(１１３)を取得するステップ(３３０)と
を含む方法を実行するコンピュータプログラム。
【請求項１】
クライアント、１つ又は複数のアイデンティティプロバイダ(１１０)、および１つ又は複数の信頼当事者(１２０)を有するフェデレートされたコンピュータシステム(１００)の前記クライアントコンピュータ(１０５)において、前記信頼当事者の１つ又は複数のサービスにアクセスするために、前記クライアントが用いることができるセキュリティトークンを取得することに関して、前記クライアントが独立して前記アイデンティティプロバイダのロケーションを解決する方法であって、
前記信頼当事者(１２０)に接触して、前記信頼当事者の１つ又は複数のサービスにアクセスするステップ（３００）と、
１つ又は複数のポリシーファイルを前記信頼当事者から受信するステップ(３１０)と、 前記１つ又は複数のポリシーファイルは、１つ又は複数の信頼されているアイデンティティプロバイダのセットに対応する汎用名を識別する情報(１６０)を含み、
前記識別された汎用名を自動的に解決して、前記信頼されているアイデンティティプロバイダ(１１０)の１つの、１つ又は複数のネットワークエンドポイントを取得するステップ(３２０)と、
前記１つ又は複数のネットワークエンドポイントを認証すると、前記１つの解決したアイデンティティプロバイダ(１１０)に接触して、１つ又は複数のセキュリティトークン(２１０)を取得するために用いる１つ又は複数のデジタルアイデンティティ表示(１１３)を取得するステップ(３３０)と
を具えたことを特徴とする方法。
【請求項２】
前記汎用名は、前記１つの信頼されているアイデンティティプロバイダ(１１０ａ)のネットワークエンドポイントを具えたことを特徴とする請求項１記載の方法。
【請求項３】
前記汎用名は、前記１つの信頼されているアイデンティティプロバイダ(１１０ａ)に対応するドメイン名を具えたことを特徴とする請求項１記載の方法。
【請求項４】
前記識別された汎用名を自動的に解決するステップ(３２０)は、１つ又は複数の要求(１７５)を解決サービス(１１５)に送信するステップをさらに具えたことを特徴とする請求項３記載の方法。
【請求項５】
前記解決したアイデンティティプロバイダと接触するステップ(３３０)は、
１つ又は複数の要求(１８５)を、前記解決したアイデンティティプロバイダ（１１０ａ）に送信して、任意の利用可能なデジタルアイデンティティ表示プロビジョニングサービスに関する情報を取得するステップと、
前記解決したアイデンティティプロバイダ(１１０)と用いられるデジタルアイデンティティ表示プロビジョニングサービス(１５０ａ)に関する情報を含む１つ又は複数のメッセージ(１９０)を受信するステップと
をさらに具えたことを特徴とする請求項３記載の方法。
【請求項６】
前記１つ又は複数のポリシーファイルの前記情報(１６０)、および前記アイデンティティプロバイダ(１１０ａ)からの前記１つ又は複数のメッセージ(１９０)で受信した前記情報の１つ又は両方が、１つ又は複数のメタデータ要素をさらに具えたことを特徴とする請求項５記載の方法。
【請求項７】
１つ又は複数の追加のメッセージを前記解決サービス(１１５)に送信するステップをさらに具え、前記１つ又は複数の追加のメッセージは、前記解決したアイデンティティプロバイダ(１１０ａ)からの前記１つ又は複数のメッセージ(１９０)で受信した前記情報の解決を要求することを特徴とする請求項５記載の方法。
【請求項８】
前記デジタルアイデンティティ表示プロビジョニングサービス(１５０ａ)に対応するネットワークエンドポイントを識別するステップと、
前記クライアント(１０５)が、１つ又は複数のメッセージ(１９３)を前記デジタルアイデンティティ表示プロビジョニングサービス(１５０ａ)に送信して、デジタルアイデンティティ表示(１１３)を取得するステップと
をさらに具えたことを特徴とする請求項５記載の方法。
【請求項９】
前記解決したアイデンティティプロバイダ(１１０ａ)と使用する１つ又は複数のデジタルアイデンティティ表示(１１３ｂ)を、前記プロビジョニングサービス(１５０ａ)から受信するステップをさらに具えたことを特徴とする請求項８記載の方法。
【請求項１０】
前記クライアント(１０５)が、前記受信したデジタルアイデンティティ表示(１１３ｂ)に対応する情報を含む１つ又は複数の追加のメッセージ(２００)を前記解決したアイデンティティプロバイダ（１１０ａ)に送信するステップと、
前記解決したアイデンティティプロバイダ(１１０ａ)から、１つ又は複数のセキュリティトークン(２１０)を含む１つ又は複数のメッセージを受信するステップと
をさらに具えたことを特徴とする請求項９記載の方法。
【請求項１１】
前記クライアント（１０５)が、前記アイデンティティプロバイダから受信した前記１つ又は複数のトークン(２１０)を含む１つ又は複数のメッセージ(２２０)を前記信頼当事者(１２０)に送信するステップと、
前記１つ又は複数のサービスへのアクセスを許可したことを示す前記信頼当事者(１２０)からの１つ又は複数の応答(２３０)を受信するステップと
をさらに具えたことを特徴とする請求項１０記載の方法。
【請求項１２】
アイデンティティプロバイダ(１１０)、１つ又は複数のクライアント(１０５)、および１つ又は複数の信頼当事者(１２０)を有するフェデレートされたコンピュータシステム(１００)の前記アイデンティティプロバイダ（１１０）において、前記信頼当事者が与えた情報を解決する前記クライアントに、１つ又は複数のデジタルアイデンティティ表示、および１つ又は複数のセキュリティトークンを提供する方法であって、
ユーザを前記信頼当事者(１２０)に検証するために用いる１つ又は複数のセキュリティトークンを取得するために後に使うことができる１つ又は複数のＤＩＲを確立するための、１つ又は複数のデジタルアイデンティティ表示プロビジョニングサービスを求める前記クライアント(１０５)からの１つ又は複数の要求(１８５)を前記アイデンティティプロバイダ(１１０)で受信するステップ(４００)と、
前記アイデンティティプロバイダ(１１０)が信頼する少なくとも１つのデジタルアイデンティティプロビジョニングサービス(１５０)を識別する情報(１９０)を、前記クライアント(１０５)に提供するステップ(４１０)と、
前記クライアント(１０５)から受信した１つ又は複数のデジタルアイデンティティ表示(１１３)を認証するステップ(４２０)と、
前記アイデンティティプロバイダ(１１０)は、前記受信した１つ又は複数のデジタルアイデンティティ表示(１１３)が有効であると判定し、
前記認証された１つ又は複数のデジタルアイデンティティ表示(１１３)に対応する１つ又は複数のセキュリティトークン(２１０)を提供するステップ(４３０)と
を具えたことを特徴とする方法。
【請求項１３】
前記クライアント(１０５)に情報(１９０)を提供するステップ（４１０）は、
前記１つ又は複数のデジタルアイデンティティプロビジョニングサービス(１５０)を識別する前記情報(１９０)を含む１つ又は複数のドキュメントを公開するステップと、
前記１つ又は複数のドキュメントにデジタル署名を行うステップと
をさらに具えたことを特徴とする請求項１２記載の方法。
【請求項１４】
前記公開された１つ又は複数のドキュメントの前記提供された情報（１９０）は、１つ又は複数のメタデータ要素を具えたことを特徴とする請求項１３記載の方法。
【請求項１５】
前記クライアント(１０５)に提供された前記情報(１９０)は、前記１つ又は複数のデジタルアイデンティティプロビジョニングサービス(１５０)に対応する１つ又は複数の汎用名を具えたことを特徴とする請求項１２記載の方法。
【請求項１６】
前記クライアント(１０５)が前記デジタルアイデンティティプロビジョニングサービス(１５０)にアクセス可能とする前に、前記１つ又は複数の汎用名を解決して、１つ又は複数のネットワークエンドポイントに到達する必要があることを特徴とする請求項１５記載の方法。
【請求項１７】
前記クライアント(１０５)に提供された前記情報(１９０)は、前記信頼されている１つ又は複数のデジタルアイデンティティプロビジョニングサービス(１５０)に対応する前記１つ又は複数のネットワークエンドポイントを具えたことを特徴とする請求項１２記載の方法。
【請求項１８】
前記１つ又は複数のデジタルアイデンティティ表示(１１３)を認証するステップ(４１０)は、
前記信頼当事者(１２０)と使用する前記１つ又は複数のセキュリティトークン(２１０)を求める前記クライアント(１０５)からの１つ又は複数の新しい要求(２００)を、前記アイデンティティプロバイダ(１１０)で受信するステップと、
前記１つ又は複数の新しい要求(２００)の前記１つ又は複数の有効なデジタルアイデンティティ表示(１１３)を識別するステップと
をさらに具えたことを特徴とする請求項１２記載の方法。
【請求項１９】
前記１つ又は複数のデジタルアイデンティティ表示(１１３)を認証するアクト(４１０)は、前記受信した１つ又は複数のデジタルアイデンティティ表示(１１３)が、前記信頼されているデジタルアイデンティティプロビジョニングサービス(１５０)の１つから取得されたことを判定するステップをさらに具えたことを特徴とする請求項１８記載の方法。
【請求項２０】
クライアント、１つ又は複数のアイデンティティプロバイダ(１１０)、および１つ又は複数の信頼当事者(１２０)を有するフェデレートされたコンピュータシステム(１００)の前記クライアントコンピュータ(１０５)において、コンピュータ実行可能命令をそのコンピュータプログラム上に記憶したコンピュータプログラムであって、前記コンピュータ実行可能命令を実行すると、前記クライアントコンピュータの１つ又は複数の処理装置が、
前記信頼当事者 (１２０)に接触して、前記信頼当事者の１つ又は複数のサービスにアクセスするステップ(３００)と、
１つ又は複数のポリシーファイルを前記信頼当事者から受信するステップ(３１０)であって、前記１つ又は複数のポリシーファイルは１つ又は複数の信頼されているアイデンティティプロバイダのセットに対応する汎用名を識別する情報(１６０)を含むステップと、
前記識別された汎用名を自動的に解決して、前記信頼されているアイデンティティプロバイダ(１１０)の１つの、１つ又は複数のネットワークエンドポイントを取得するステップ(３２０)と、
前記１つ又は複数のネットワークエンドポイントを認証すると、前記１つの解決したアイデンティティプロバイダ (１１０)に接触して、１つ又は複数のセキュリティトークン(２１０)を取得するために用いる１つ又は複数のデジタルアイデンティティ表示(１１３)を取得するステップ(３３０)と
を含む方法を実行するコンピュータプログラム。
【図１Ａ】
【図１Ｂ】
【図２】
【図３】
【図４】
【図１Ｂ】
【図２】
【図３】
【図４】
【公表番号】特表２０１１−５２５０２８（Ｐ２０１１−５２５０２８Ａ）
【公表日】平成２３年９月８日（２０１１．９．８）
【国際特許分類】
【出願番号】特願２０１１−５１４６７６（Ｐ２０１１−５１４６７６）
【出願日】平成２１年６月２日（２００９．６．２）
【国際出願番号】ＰＣＴ／ＵＳ２００９／０４５９８９
【国際公開番号】ＷＯ２００９／１５５１２９
【国際公開日】平成２１年１２月２３日（２００９．１２．２３）
【出願人】（５０００４６４３８）マイクロソフト コーポレーション (3,165)
【Ｆターム（参考）】
【公表日】平成２３年９月８日（２０１１．９．８）
【国際特許分類】
【出願日】平成２１年６月２日（２００９．６．２）
【国際出願番号】ＰＣＴ／ＵＳ２００９／０４５９８９
【国際公開番号】ＷＯ２００９／１５５１２９
【国際公開日】平成２１年１２月２３日（２００９．１２．２３）
【出願人】（５０００４６４３８）マイクロソフト コーポレーション (3,165)
【Ｆターム（参考）】
[ Back to top ]