説明

デジタルアイデンティティ表現のプロビジョニング

デジタルアイデンティティ表現(「DIR」)をプロビジョニングするためのシステムおよび方法は、様々な技術および構造を使用して、管理を簡単にし、精度を向上させ、デジタルアイデンティティプロビジョニングシステムの不整合を低減する。新しいDIRを作成し、DIRを要求し、使用可能なDIRをプリンシパルに通知し、新しいDIRの発行を承認するための様々な方法が提供される。

【発明の詳細な説明】
【技術分野】
【0001】
本発明は、デジタルアイデンティティ表現をプロビジョニングするための方法に関する。
【背景技術】
【0002】
特にデジタルの状況において、個人識別情報がどのように配布され、使用されるかについての一層の制御を個々人に提供するためのシステムの開発において、とてつもない革新が最近起こった。例えば、ワシントン州レドモンドのマイクロソフト社は、数ある中でも、時としてInformation Card Selectorと呼ばれるシステム−マイクロソフトによる事例ではWindows CardSpaceと呼ばれる−を広めた。Windows CardSpaceシステムにおいて、プリンシパル(principal)は、時として情報カードと呼ばれる1つまたは複数のデジタルアイデンティティ表現を取得する。プリンシパルについて作られた1組のクレームを要求するリソース(「依拠当事者(relying party)」)にプリンシパルがアクセスしようと試みるとき、プリンシパルは、デジタルアイデンティティ表現(以下「DIR」と呼ぶ)を使用して、これらのクレームを主張することができるアイデンティティプロバイダ(identity provider)との通信を開始する。ある場合、アイデンティティプロバイダは、プリンシパルによって制御することができ、プリンシパル自身のマシン上で稼働することができる。別の例では、アイデンティティプロバイダは、第3者によって制御することができる。アイデンティティプロバイダは、要求されたクレーム情報を含む「アイデンティティトークン」を戻す。
【0003】
しかし、DIRの作成およびプロビジョニングには、ほとんど注意が向けられていない。現在、デジタルアイデンティティシステムの管理者は、DIRを手動で入念に作らざるを得ない。例えば、管理者は、XMLジェネレータなどのソフトウェアユーティリティを手動で使用して、DIRを入念に作り、それを特定の場所に保存することができる。次いで管理者は、DIRへのポインタをプリンシパルに送信し、次いでプリンシパルは、そのDIRを取り出しに行くことができる。このシステムは、アドホックであり、エラーおよびセキュリティの脆弱性の影響を受けやすく、管理者にとって多大な労働力が必要である。
【発明の概要】
【0004】
本概要は、詳細な説明において下記でさらに説明されるいくつかの概念を簡単な形で紹介するために提供される。本概要は、特許請求された主題の鍵となる特徴または重要な特徴を識別するためのものではなく、特許請求された主題の範囲の画定の手助けとして使用されるためのものでもない。
【0005】
1つの態様は、プリンシパルについてのDIRをプロビジョニングするための方法に関する。プリンシパルのDIRを作成するために、要求が、HTTPリクエストなど、第1のチャネルを介して受信される。次いで、DIRが要求された旨の通知が、例えば電子メールなど、第2のチャネルを介して送信される。次いで、DIRが作成される前に、DIRを作成するための承認が受信される。
【0006】
別の態様は、プリンシパルについてのDIRをプロビジョニングするためのさらに別の方法に関する。DIRがプリンシパルに対して使用可能である旨の通知が発行される。次いで、DIRが作成される前に、DIRを作成する旨の要求が受信される。
【0007】
別の態様は、プリンシパルについてのDIRをプロビジョニングするためのさらに別の方法に関する。任意の新しいDIRがプリンシパルから使用可能であるかどうかを決定するために、DIR生成システムにポーリングが行われる(例えば、プリンシパルのマシン上で稼働しているアプリケーションによって)。次いで、新しいDIRがプリンシパルから使用可能であるかどうかが決定される。そうである場合、新しいDIRが作成される旨の要求が送信される。最後に、新しいDIRが受信される。
【0008】
別の態様は、プリンシパルのグループについてのDIRをプロビジョニングするための方法に関する。プリンシパルのグループがDIRにアクセスすることを許可されるポリシーが設定される。次いでプリンシパルのグループに、DIRが使用可能であることが通知される。次いで、DIRを作成するために、プリンシパルのグループにおける少なくとも第1のプリンシパルからの要求が受信される。最後に、DIRが少なくとも第1のプリンシパルについて作成される。
【0009】
次に、添付の図面を参照する。添付の図面は、必ずしも一定の比率の縮尺で描かれてはいない。
【図面の簡単な説明】
【0010】
【図1】プリンシパル、プリンシパルマシン、依拠当事者、アイデンティティプロバイダ、DIR生成システム、アイデンティティデータストア、管理者システム、およびデータ捕捉システムを含むDIRシステム例を示す図である。
【図2】DIRのプロビジョニングおよび使用のための方法例を示す図である。
【図3】DIRのプロビジョニングおよび使用のための別の方法例を示す図である。
【図4】DIRのプロビジョニングのための別の方法例を示す図である。
【図5】DIRのプロビジョニングのための別の方法例を示す図である。
【図6】DIRのプロビジョニングのための別の方法例を示す図である。
【図7】DIRのプロビジョニングのための別の方法例を示す図である。
【図8】DIRのプロビジョニングのための別の方法例を示す図である。
【図9】コンピューティング装置の一例を示す図である。
【発明を実施するための形態】
【0011】
次に、実施形態例について、添付の図面を参照して、より十分に以下に説明する。全体にわたり、同様の要素には同様の番号を付している。
【0012】
本明細書に開示されている実施形態例は、一般に、通信を開始して、プリンシパル、アイデンティティプロバイダ、および依拠当事者の間で交換可能なアイデンティティトークンを生成し、プリンシパルに関連する識別および/または情報を認証するために用いられるDIRを含むアイデンティティシステムに関する。本明細書における実施形態例では、プリンシパルは、1人または複数の自然人、コンピュータ、ネットワーク、または任意の他のエンティティとすることができる。依拠当事者は、プリンシパルがアクセスし、かつ/または取得することを望む商品、サービス、または他の情報を有する。実施形態例において、依拠当事者は、参加し、アクセスし、使用するためにセキュリティポリシーを必要とする任意のリソース、特権、またはサービスとすることができる。例えば、依拠当事者は、コンピュータ、コンピュータネットワーク、データ、データベース、建物、職員、サービス、会社、組織、物理的な場所、電子装置、または他の任意のタイプのリソースのうちの1つまたは複数を含むことができる。
【0013】
次に図1を参照すると、プリンシパル110および依拠当事者120を含むDIRシステム100が例示されている。プリンシパル110は、プリンシパルマシン111を所有し、または制御する。プリンシパルマシン111は、プリンシパル110によって少なくとも一時的に制御されるコンピュータシステムを含む。依拠当事者120も、コンピュータシステムを含むことができる。システム100は、管理者システム160、データ捕捉システム162、DIR生成システム164、およびアイデンティティデータストア168、およびアイデンティティプロバイダ115をも含み、それぞれについてコンピュータシステムを含むか、またはその一部とすることができ、以下でさらに説明する。
【0014】
プリンシパル110および依拠当事者120は、インターネットなど1つまたは複数のネットワークを介して、あるいは電話、または他の形の有線または無線の通信を介して互いに通信することができる。実施例において、プリンシパル110は、商品、サービス、情報、特権、または他のアクセスを依拠当事者120に要求することができる。依拠当事者120は、要求されたアクセスをプリンシパル110に提供する前、またはそれと共に、プリンシパル110のアイデンティティの認証の要求、またはプリンシパル110についての情報を要求することができる。
【0015】
また、図1には、アイデンティティプロバイダ115の例が示されている。アイデンティティプロバイダ115は、コンピュータシステムを含む。実施例では、アイデンティティプロバイダ115は、クレーム変換部(claims transformer)130およびクレーム権限部(claims authority)140を含む。クレーム変換部130は、時として「セキュリティトークンサービス」と呼ばれる。例示において、アイデンティティプロバイダ115は、プリンシパル110について1つまたは複数のクレームを提供することができる。クレームは、プリンシパルについて作られたステートメントまたはアサーションであり、場合によっては、例えば、名前、住所、社会保障番号、年齢、クレジットヒストリ、取引要件(transactional requirements)など、プリンシパルについての情報を含む。さらに以下に説明するように、アイデンティティプロバイダ115は、プリンシパル110および/または依拠当事者120に、デジタル署名付きアイデンティティトークンの形式でクレームを提供することができる。実施例では、アイデンティティプロバイダ115は、依拠当事者120と信頼関係にあり、したがって、依拠当事者120は、アイデンティティプロバイダ115からの署名付きアイデンティティトークン内のクレームを信頼する。
【0016】
アイデンティティプロバイダ115のクレーム変換部130およびクレーム権限部140は、図1において、別個のエンティティとして示しているが、代替の実施形態において、クレーム変換部130およびクレーム権限部140は、同じエンティティまたは異なるエンティティにできる。アイデンティティプロバイダ115は、一部の実施例において、セキュリティトークンサービスの形式をとることができる。同様に、アイデンティティプロバイダ115およびDIR生成システム164は、同じエンティティであってもよく、または異なるエンティティであってもよい。
【0017】
本明細書に記載されているコンピュータシステムは、パーソナルコンピュータ、サーバコンピュータ、ハンドヘルドまたはラップトップ装置、マイクロプロセッサシステム、マイクロプロセッサベースのシステム、プログラム可能家庭用電化製品、ネットワークPC、ミニコンピュータ、メインフレームコンピュータ、スマートカード、電話、移動式またはセルラー式通信装置、PDA、上記システムまたは装置のうちの任意のものを含む分散コンピューティング環境などを含むが、これらに限定されない。本明細書に記載されている一部のコンピュータシステムは、ポータブルコンピューティング装置を含むことができる。ポータブルコンピューティング装置とは、ユーザによって物理的に運ばれるように設計されている任意のコンピュータシステムである。各コンピュータシステムは、キーボード、マウス、カメラ、Webカメラ、ビデオカメラ、指紋スキャナ、虹彩スキャナ、モニタなどの表示装置、マイクロフォン、スピーカなどを含む1つまたは複数の周辺装置を含むことができるが、これらに限定されない。
【0018】
各コンピュータシステムは、(限定されることなく)Microsoft社のWINDOWSオペレーティングシステムなどのオペレーティングシステム、およびコンピュータ可読媒体に格納された1つまたは複数のプログラムを含む。各コンピュータシステムは、ユーザがコンピュータシステムと通信できるようにすると共に、コンピュータシステムが他の装置と通信できるようにする1つまたは複数の入出力通信装置も含み得る。プリンシパル110によって使用されるコンピュータシステム(プリンシパルマシン111など)、依拠当事者120、DIR生成システム164、管理システム160、データ捕捉システム162、およびアイデンティティプロバイダ115間の通信は、インターネット、広域ネットワーク、イントラネット、Ether.NET、直接配線パス、衛星、赤外線スキャン、セルラー式通信、または他の任意のタイプの有線または無線通信を含むが、これに限定されずに任意のタイプの通信リンクを使用して実施することができる。
【0019】
本明細書に開示されている一部の実施形態において、システム100は、ワシントン州レドモンドのマイクロソフト社によって開発された .NET3.0 Frameworkにおいて提供される情報カードシステムの少なくとも一部として実装される。情報カードシステムによって、プリンシパルは、様々なアイデンティティプロバイダからの複数のDIRを管理することができる。
【0020】
情報カードシステムは、 .NET3.0 FrameworkにおけるWindows Communication FrameworkなどのWebサービスプラットフォームを使用する。さらに、情報カードシステムは、ワシントン州レドモンドのマイクロソフト社によって、少なくともある程度、広められたWeb Services Security Specificationsを使用して構築される。これらの仕様は、メッセージセキュリティモデルWS−Security、エンドポイントポリシーWS−SecurityPolicy、メタデータ交換WS−MetadataExchange、およびトラストモデル(trust model)WS−Trustを含む。一般に、WS−Securityモデルは、アイデンティティトークンをメッセージに添付する方法について記述する。WS−SecurityPolicyモデルは、必要なアイデンティティトークン、およびサポートされている暗号化アルゴリズムなど、エンドポイントポリシー要件を記述する。こうしたポリシー要件は、WS−MetadataExchangeによって定義されているメタデータプロトコルを使用して伝えられ、交渉されうる。WS−Trustモデルは、異なるWebサービスの相互運用を可能にするトラストモデルについてのフレームワークを記述する。本明細書に記載されている一部の実施形態例は、上述のWeb Services Security Specificationsを参照する。代替の実施形態において、システム100における様々なサブシステム間の通信を容易にするために、1つまたは複数の他の仕様を使用することができる。
【0021】
再び図1を参照すると、プリンシパル110は、プリンシパルマシン111を介して、商品、サービス、または他の情報へのアクセスの要求を依拠当事者120に送信することができる。例えば、一実施形態において、プリンシパルマシン111は、プリンシパル110が所望する依拠当事者120からの情報へのアクセスのための要求を依拠当事者120に送信する。プリンシパルマシン111によって送信された要求は、例えばWS−MetadataExchangeに設けられている機構を使用した、依拠当事者120の認証要件に関する要求を含み得る。
【0022】
当該要求に応答して、依拠当事者120は、プリンシパルマシン111に、依拠当事者120がプリンシパルの識別情報またはプリンシパル110についての他の情報を認証するための要件を送信することができる。依拠当事者120の認証要件は、本明細書では、セキュリティポリシーと呼ばれる。セキュリティポリシーは、依拠当事者120がプリンシパル110を認証するために、プリンシパル110が依拠当事者120に提供しなければならない1組のクレームを信頼されるアイデンティティプロバイダ115から少なくとも定義する。セキュリティポリシーは、個人的特徴(年齢など)、識別情報、財政状態などに関する証明の要件を含むことができる。また、セキュリティポリシーは、証明の任意の提供(特定のアイデンティティプロバイダからのデジタル署名など)を認証するのに必要な検証および認証のレベルに関するルールも含むことができる。
【0023】
一例において、依拠当事者120は、依拠当事者120によって求められるクレーム要件およびアイデンティティトークンの形式の両方を含むWS−SecurityPolicyを使用して、そのセキュリティポリシーを指定する。クレームの形式の例には、以下の名、姓、電子メールアドレス、住所、地方名または市、州または県、郵便番号、国、電話番号、社会保障番号、誕生日、性別、個人識別番号、クレジットスコア、財政状態、法的地位などがあるが、これらに限定されない。
【0024】
セキュリティポリシーは、依拠当事者120によって要求されるアイデンティティトークンの形式を指定するために使用することもでき、または、アイデンティティプロバイダによって決定されるようにして、デフォルトのタイプを使用することができる。要求されるクレームおよびトークンタイプを指定することに加えて、セキュリティポリシーは、依拠当事者によって要求される特定のアイデンティティプロバイダを指定することができる。あるいは、セキュリティポリシーは、この要素を省略して、適切なアイデンティティプロバイダの決定をプリンシパル110に任せることができる。他の要素は、セキュリティポリシー、および例えば要求されるセキュリティトークンの新しさのように指定することができる。
【0025】
一部の実施形態において、プリンシパル110は、後述するように、プリンシパルマシン111に対して身元を明かして、依拠当事者120のセキュリティポリシーを満たすかどうかについて決定することができる。一例において、依拠当事者120は、X509証明書を使用して身元を明かす。他の実施形態において、依拠当事者120は、例えばSecure Sockets Layer(「SSL」)サーバ証明書など、他の機構を使用して身元を明かすことができる。
【0026】
プリンシパルマシン111は、プリンシパル110の1つまたは複数のDIRを含み得る。これらのDIR(時として、ワシントン州レドモンドのマイクロソフト社によって開発された .NET3.0 Frameworkにおいて提供されるWindows Cardspaceシステムでの「情報カード」と呼ばれる)は、プリンシパル110と、アイデンティティプロバイダ115などとの特定のアイデンティティプロバイダとの間のトークン発行関係を表すアーティファクトである。各DIRは、特定のアイデンティティプロバイダに対応することができ、プリンシパル110は、同じまたは異なるアイデンティティプロバイダからの複数のDIRを有することができる。アイデンティティシステムにおけるDIRの使用は、本明細書に完全に記載されているように参照により本明細書に組み込まれている米国特許出願第11/361,281号明細書に詳しく記載されている。
【0027】
DIRは、数ある情報の中でも、発行することができるトークンの形式、権限を有するクレームの形式、および/またはアイデンティティトークンの要求時に認証に使用する証明書を含めて、アイデンティティトークンに関するアイデンティティプロバイダの発行ポリシーを含むことができる。DIRは、アイデンティティプロバイダ115またはDIR生成システム164によって発行され、プリンシパル110によってプリンシパルマシン111などの記憶装置に格納されるXMLドキュメントとして表すことができる。
【0028】
プリンシパルマシン111は、アイデンティティセレクタも含み得る。一般に、アイデンティティセレクタは、プリンシパル110が、アイデンティティプロバイダ115など、1つまたは複数のアイデンティティプロバイダにアイデンティティトークンを要求し、そこから取得するために、プリンシパルマシン111上のプリンシパル110の1つまたは複数のDIR間での選択を行うことができるコンピュータプログラムおよびユーザインターフェイスである。例えば、依拠当事者120からのセキュリティポリシーがプリンシパルマシン111によって受信されると、DIRの中の情報を使用して、セキュリティポリシーにより要求されるクレームのうちの1つまたは複数を満たす1つまたは複数のDIRを識別するように、アイデンティティセレクタをプログラムすることができる。いったんプリンシパル110が依拠当事者120からセキュリティポリシーを受信すると、プリンシパル110は、(例えば、プリンシパルマシン111を使用して)1つまたは複数のアイデンティティプロバイダと通信して、セキュリティポリシーにより要求されるクレームを集めることができる。
【0029】
実施形態例において、プリンシパル110は、WS−Trustに記載されている発行機構を使用して、アイデンティティプロバイダ115に1つまたは複数のアイデンティティトークンを要求する。実施形態例において、プリンシパル110は、依拠当事者120のポリシー内のクレーム要件をアイデンティティプロバイダ115に転送する。依拠当事者120の識別情報は、必須ではないが、プリンシパル110によってアイデンティティプロバイダ115に送信される要求で指定することができる。この要求は、表示トークンの要求など、他の要件も含み得る。
【0030】
一般に、アイデンティティプロバイダ115のクレーム権限部140は、依拠当事者120からセキュリティポリシーによって要求されるクレームのうちの1つまたは複数を提供することができる。アイデンティティプロバイダ115のクレーム変換部130は、クレームを変換し、プリンシパル110に関連するクレームを含む1つまたは複数の署名付きアイデンティティトークン150を生成するようプログラムされる。
【0031】
上述のように、プリンシパル110は、依拠当事者120からの承認要件に基づいて、アイデンティティプロバイダ115への要求により、特定のフォーマットのアイデンティティトークンを要求することができる。クレーム変換部130は、これに限定されないが、X509、Kerberos、SAML(バージョン1.0および2.0)、Simple eXtensible Identity Protocol(「SXIP」)などを含む複数のフォーマットのうちの1つにおいて、アイデンティティトークンを生成するようプログラムすることができる。
【0032】
例えば、一実施形態において、クレーム権限部140は、第1のフォーマットAでクレームを生成するようプログラムされる。依拠当事者120のセキュリティポリシーは、第2のフォーマットBのアイデンティティトークンを要求する。クレーム変換部130は、アイデンティティトークンをプリンシパル110に送信する前に、クレーム権限部140からのクレームを、フォーマットAからフォーマットBに変換することができる。さらに、クレーム変換部130は、特定のクレームの意味論を改良するようにプログラム可能である。実施形態例において、特定のクレームの意味論は、所与のクレームによって伝えられる個人情報の量を低減し、または最低限に抑えるために、特定のクレームおよび/またはアイデンティティトークンにおいて提供される情報量を最低限に抑えるように変換される。
【0033】
実施形態例において、クレーム変換部130は、WS−Trustに記載されている応答機構を使用して、アイデンティティトークン150をプリンシパル110に転送する。一実施形態において、クレーム変換部130は、セキュリティトークンサービス(時として「STS」と呼ばれる)を含む。一実施形態例において、プリンシパル110は、WS−Securityに記載されているセキュリティ結合機構(security binding mechanism)を使用して、アイデンティティトークン150をアプリケーションメッセージに結合することによって、アイデンティティトークン150を依拠当事者120に転送する。他の実施形態において、アイデンティティトークン150は、アイデンティティプロバイダ115から依拠当事者120に直接送信され得る。
【0034】
いったん依拠当事者120がアイデンティティトークン150を受信すると、依拠当事者120は、(例えばアイデンティティトークン150を復号または解読することによって)署名付きアイデンティティトークン150の起源を検証することができる。依拠当事者120は、依拠当事者120のセキュリティポリシーを満たす、アイデンティティトークン150内のクレームを使用して、プリンシパル110を認証することもできる。
【0035】
次に、DIRのプロビジョニングについてより詳しく説明する。プリンシパル110は、様々な方法でDIRを取得することができる。図1に示す実施形態例において、DIR生成システム164は、一般に、プリンシパル110と通信し、新しいDIRを作成し、使用可能なDIRをプリンシパル110に通知するために使用される。DIR生成システム164は、一部の実施形態では、インターネットWebサイトを含み得る。他の実施形態において、DIR生成システム164は、Webサービスを含み得る。また、DIR生成システム164は、いくつかの実施形態において、インターネット情報サーバ(IIS)166を含み、またはそれと共に動作することができる。
【0036】
アイデンティティデータストア168は、いくつかの実施形態において、アイデンティティプロバイダ115、DIR生成システム164、および管理者システム160によってアクセスすることができるデジタル情報ストレージシステムである。アイデンティティデータストア168は、データベースサーバ、コンピュータメモリ、または任意の他のデータストレージ装置を含み得る。アイデンティティデータストア168は、分散データモデルにおける複数の装置またはシステムから構成することができる。また、アイデンティティデータストア168は、ワシントン州レドモンドのマイクロソフト社によって広められたActive Directory169などのディレクトリサービスを含み、または備えることができる。
【0037】
管理者システム160は、管理者がアイデンティティデータストア168およびDIR生成システム164と通信することができるようにするユーザインターフェイスを含めて、コンピュータシステムを含み得る。管理者システム160は、管理者が、アイデンティティデータストア168内のデータを整理し、管理することを許可する。また、管理者システム160は、DIR生成システム164により作成されるDIRの形式を管理者が決定することを許可し、そして、特定のプリンシパルが特定のDIRを受信する資格があるかどうかを管理者が制御できるようにする。管理者システム160の使用については、以下でさらに説明する。
【0038】
いくつかの実施形態は、別個のデータ捕捉システム162を含み得る。データ捕捉システム162は、プリンシパルに関連する情報を捕捉するように適応されたコンピュータシステムを含み得る。例えば、データ捕捉システム162は、名前、電話番号、社会保障番号、住所など、プリンシパルについての個人情報を捕捉するヒューマンリソースコンピュータシステムを含むことができる。データ捕捉システム162は、別個のストレージを含むことができ、またはアイデンティティデータストア168を使用することもできる。
【0039】
図2は、システム100を介して実施することができる方法200を示す。ステップ210で、管理者は、アイデンティティデータストアを構成する。例えば、管理者は、管理者システム160を使用して、アイデンティティデータストア168を構成することができる。管理者は、一部の実施形態において、管理者システム160を使用して、DIRを管理し、生成し、運用するために使用されることとなるテーブルをアイデンティティデータストア168内に設定することができる。一実施形態例において、管理者は、DIR生成システム164によって作成されるDIRにおいてサポートされることとなるクレームの形式、およびアイデンティティプロバイダ115によって生成されるアイデンティティトークンを決定することができる。また、管理者は、管理者システム160を使用して、例えば、アイデンティティプロバイダ115がサポートするトークンの形式、資格情報(entitlement information)、およびフェデレーションメタデータ(federation metadata)などのポリシー情報を格納するようにアイデンティティデータストア168を構成することもできる。アイデンティティデータストア168においてDIRに組み込むことができる他の情報は、プリンシパル110の写真、アイデンティティプロバイダ115などのアイデンティティプロバイダに関連する接続情報を含む。
【0040】
次に、プリンシパル110がDIRを要求したとき、方法200はステップ220に進む。DIRについての要求は、様々な方法で行うことができる。例えば、プリンシパル110は、プリンシパルマシン111を使用して、DIR生成システム164にアクセスすることができる。一部の実施形態において、DIR生成システム164は、Webサイトであり、そしてプリンシパルマシン111は、インターネットブラウザを介してDIR生成システム164にアクセスして、DIRを要求する。一部の実施形態において、プリンシパル110は、特定のDIRを要求する。他の実施形態において、以下でさらに説明するように、プリンシパル110は、プリンシパル110から使用可能なDIRのリストを要求し、そのリストから選択する。
【0041】
次に、DIR生成システム164がアイデンティティデータストア168に確認し、DIRを生成し、DIRをプリンシパル110に提供したとき、方法200は、ステップ230に進む。一実施形態において、DIR生成システム164は、まず、アイデンティティデータストア168に確認して、要求したDIRに対してプリンシパル110が受ける権利があるかどうかを決定する。これは、様々な方法で達成することができて、アイデンティティデータストア168内の資格DLLをチェックし、Active Directoryアクセスチェックを実行することなどを含んでいる。また、DIR生成システム164は、アイデンティティデータストア168内に格納されているアイデンティティシステムメタデータにアクセスして、どの形式のアイデンティティクレームを新しいDIR内に含めることができるかについて決定することもできる。
【0042】
DIR生成システム164が新しいDIRを生成するとき、DIRは、XMLドキュメントの形態をとることができ、数ある情報の中でも、プリンシパルマシン上に表示する画像、DIRに含まれるクレームのリスト、DIRについて使用可能なトークンタイプのリスト、一意のDIR識別子、クレデンシャルヒント(credential hint)(以下でさらに説明)、アイデンティティプロバイダの識別、およびアイデンティティプロバイダ115についてのエンドポイント基準を含むことができる。新しいDIRは、新しいDIRの電子メール、HTTPメッセージ、または他の方法を含むように様々な方法でプリンシパルに提供することができる。本明細書で使用される「電子メール」は、テキストメッセージング、インスタントメッセージング、および類似の電子通信の形態を含む。
【0043】
新しいDIRを受信すると、プリンシパル110は、例えばプリンシパルマシン111に関連付けられているメモリにDIRを格納する(240)。次に、プリンシパルは、依拠当事者120などの依拠当事者へのアクセスを要求する(250)。依拠当事者は、アクセスを拒否し(例えば、認証ページへのリダイレクトを介して)、そのセキュリティポリシーをプリンシパル110に戻す(260)。次に、プリンシパル110は、依拠当事者120のセキュリティポリシーを満たすDIRを選択する(270)。これは、例えば、使用可能な全てのDIRをプリンシパル110に表示するプリンシパルマシン111上のユーザインターフェイスを介して達成することができる。一部の実施形態において、依拠当事者のセキュリティポリシーの要件を満たすDIRを、プリンシパル110のために強調表示することができ、プリンシパル110にとって選択プロセスがより容易になるように、他のカードを不鮮明な表示にすることができる。
【0044】
次に、プリンシパル110は、アイデンティティプロバイダ115などのアイデンティティプロバイダにアイデンティティトークンの要求を送信する(280)。アイデンティティトークンのこの要求は、プリンシパル110がプリンシパルマシン111に格納されているDIRを選択することで、プリンシパルマシン111により自動的に生成可能である。アイデンティティプロバイダ115は、アイデンティティデータストア168をチェックして、要求されたアイデンティティトークンを組み込むための情報を取得する(285)。この情報は、例えば、クレームデータを含み得る。例えば、選択されたDIRが年齢のクレームを含んでいる場合、アイデンティティプロバイダ115は、アイデンティティデータストア168をチェックして、プリンシパル110の年齢を決定することができる。次に、アイデンティティプロバイダ115は、要求されたアイデンティティトークンを作成し(285)、それをプリンシパルに送信する(290)。次に、プリンシパルは、アイデンティティトークンを依拠当事者に送信し(295)、上述のように、アクセスが許可される。
【0045】
DIR生成システム164に使用される同じアイデンティティデータストア168へのアクセスをアイデンティティプロバイダ115によって提供する際、管理者は、DIRの生成が、要求されたアイデンティティトークンにクレームを満たすことができる実データと同期したままであることを確認することができる。例えば、年齢クレームについてのデータがアイデンティティデータストア168に格納されないように、管理者がアイデンティティデータストア168を構成する場合、DIR生成システム164は、年齢クレームのオプションを含むDIRを作成しないことになる。そうでない場合、同期の問題が生じ得る。例えば、管理者が新しいDIRをアドホック式に(使用可能なアイデンティティデータを参照することなしに)生成し、年齢クレームが含まれ、DIRの一部としてプリンシパルに送り返されると仮定する。プリンシパルが年齢クレームを含むアイデンティティトークンを取得しようと試みると、その情報は使用できず、トークンは、依拠当事者によって不十分として拒絶されることになる。それに対して、システム100は、生成されたDIRおよびその基となるデータの可用性を自動同期し、対応するアイデンティティトークンを組み込むことを可能にする。管理者システム160を介して、DIRのプロビジョニング、および対応するアイデンティティトークンの発行の両方に自動的に影響を与えることとなるアイデンティティデータストアにおいて変更する能力が管理者に与えられる。
【0046】
一部の実施形態において、既に発行されているDIRの正当性に影響を与える特定の変更を管理者がアイデンティティデータストア168に加えると、影響を受けたDIRを受信したどのプリンシパルも、新しいDIRを取得することが通知され、許可される。例えば、プライバシー規制によって、アイデンティティデータストア168内に格納されている任意のプリンシパルの自宅の住所を管理者が削除することが要求されると仮定する。その自宅の住所に関するクレームを含むDIRを受信した任意のプリンシパル110は、現在は、無効のDIRを有する(というのは、アイデンティティデータストア168には、そのクレームを満たすどのようなデータについても、既に存在しないからである)。一実施形態において、これら全てのプリンシパルに、例えばDIR生成システム164からの電子メールを介してDIRが現在無効であることが通知され、もはやサポートされていない自宅住所のクレームを含まない新しいDIRを取得するようプリンシパルに勧める。このように、アイデンティティデータストア168に対して管理者による一度の変更は、(a)自宅住所のクレームを含む新しいDIRが発行されるのを防ぎ、(b)プリンシパルに、そのクレームを含む既存のDIRは無効であり、交換可能であることを警告する。
【0047】
次に図3を参照すると、図1に示すシステム100と関連して、方法300が例示されている。この例では、プリンシパル110は、プリンシパルマシン111に対して認証する。例えば、プリンシパルマシン111は、Active Directoryサーバ169などのディレクトリサービスを含むインターネットに接続することができる。プリンシパルマシン111に対するプリンシパル110の認証は、ユーザ名/パスワード、スマートカードなどを含めて、どの既知の方法からもサインオン情報を使用することを含むことができる。次に、プリンシパル110は、例えばプリンシパルマシン111上のブラウザを、DIR生成システム164を含むWebサイトに向かわすことによって、DIR要求を開始する(320)。次に、プリンシパル110は、DIR生成システム164において認証する(330)。一部の実施形態において、プリンシパルマシン111、DIR生成システム164、アイデンティティデータストア168、アイデンティティプロバイダ115、および管理者システム160は、同じイントラネットの一部分とすることができる。そのような実施形態において、シングルサインオン機能が使用可能でありうる。例えば、プリンシパルマシンが、ワシントン州レドモンドのマイクロソフト社から入手可能なWINDOWSオペレーティングシステムを稼働しており、Windows Integrated Authenticationがオンの状態であれば、DIR生成システム164での認証は、プリンシパル110に対して自動にすることができ、そしてシームレスとすることができる。プリンシパルマシン111にログオンするために使用される情報が、アクセスの要求と共にDIR生成システム164に渡される。他の実施形態において、管理者は、プリンシパル110の別個の認証を要求するようにDIR生成システム164を構成することができる。管理者は、ユーザ名/パスワード、スマートカードなどを含めて、様々な認証機構のうちのいずれかを要求するように、DIR生成システム164を構成することができる。一部の実施形態において、プリンシパル110は、IIS166によって認証することができ、様々な認証方法のうちのいずれかのものを受け入れるように、管理者によって容易に構成することができる。
【0048】
プリンシパル110がいったん認証されると、DIR生成システム164は、アイデンティティデータストア168にアクセスする(350)。この例では、DIR生成システム164は、Webサービスの形態をとり、DIR生成システムとプリンシパル110との間の交渉を可能にする。この例では、交渉は、プリンシパル110に戻されるDIRの形式を決定する。この例において、DIR生成システム164は、使用可能なDIR記述子を取得する(350)。実施形態例において、管理者は、管理者システム160を使用して、DIR記述子を作成する。例えば、企業のIT管理者は、異なるレベルの従業員について異なるDIRを表す記述子を作成することができる。例えば、パートタイムの従業員は、フルタイムの従業員とは異なる1組のクレームを持つことができる。CEOは、スタッフ従業員とは異なる1組のクレームを持つことができる。各DIR記述子に関連付けられている画像でさえ様々なものにすることができる。例えば、販売グループのDIR画像はオレンジ、会計グループのDIR画像はグリーンとすることができる。さらに、カード画像を個人専用にして、(アイデンティティデータストア168から取得された)プリンシパル110の画像を含むようにすることが可能である。このことは、プリンシパル110が、自身のDIRとアイデンティティプロバイダ115との間の関連を強化する。これは、よりよい「指紋捺印」機能も提供する。
【0049】
一部の実施形態において、管理者システム160は、アイデンティティデータストア168で入手可能な情報の使用可能な形式のすべてを構文解析し、記述子を作成する容易な方法を管理者に提示するユーザインターフェイスを含む。例えば、管理者に、(a)プリンシパルクラス(例えば、パートタイム従業員、フルタイム従業員、幹部チームメンバー、販売グループメンバーなど)、(b)クレームタイプ(名前、住所、電話番号、年齢など)、(c)アクセス権限、(d)雇用状況(現行、解雇)などのリストが提示され得る。管理者は、次いで、一部またはすべてのプリンシパルのクラスへ使用可能な別個の記述子を作成するよう決定することができる。例えば、すべてのプリンシパルは、プリンシパルの名前、電話番号、および雇用状況を含む基本的なDIRを受け取る資格があり得る。しかし、幹部チームのみ、高レベルのアクセス権限を含むDIRもまた受け取る資格があるようにできる。これらの記述子は、管理者によって作成することができて、そして、どのプリンシパルが特定の記述子に対応するDIRを受け取ることが許可されているかを記述するポリシーと共に、アイデンティティデータストアに保存することができる。記述子を管理する管理者に有益なコマンドは、「GET DESCRIPTORS、GET ALL DESCRIPTORS、ADD DESCRIPTORS、CHANGE DESCRIPTORS、DELETE DESCRIPTORS、COPY DESCRIPTOR」などを含む。
【0050】
使用可能な記述子について、プリンシパル110による要求は、「GET DESCRIPTORS」などのWebサービスメソッドを介して、プリンシパルマシン111によって達成することができる。これにより、DIR生成システムに、プリンシパル110を管理者によって設定されたポリシーと照合させて、もしあれば、どの記述子がプリンシパル110に使用可能であるかを決定することとなる。これは、例えば、Active−Directoryアクセスチェックを介して達成することができる。記述子は、例えば、アイデンティティデータストア168、DIR生成システム164に関連付けられているメモリ、または別個のストアなどのうちの任意のもの、またはすべてに格納することができる。
【0051】
次に、DIR生成システム164は、使用可能な記述子をプリンシパルマシン111に送信する(360)。次に、プリンシパル110は、使用可能な記述子から選択し、その記述子に対応する特定のDIRを要求する(370)。これも、例えば、「GET CARD」(この例では、ワシントン州レドモンドのマイクロソフト社によって少なくとも一部分広められたWindows CardSpaceシステムにおいて使用可能な情報カードを指す)などのWebサービスメソッドによって達成することができる。プリンシパル110は、1つまたはいくつかの使用可能なDIRを要求することができる。
【0052】
次に、DIR生成システム164は、要求されたDIRを作成する(380)。実施形態例において、DIR生成システムは、DIRを「戻す」ためのクレデンシャルヒントをDIRに含む。例えば、DIRは、ユーザ名/パスワードのクレデンシャルヒントを含むことができ、DIRを使用してアイデンティティトークンを取得するために、これらユーザ名/パスワードを使用して認証するようにプリンシパル110に要求することができる。一部の実施形態において、認証の形式は、DIR生成システム164へのアクセス権を取得するために、プリンシパル110によって使用される認証から得ることができる。例えば、プリンシパル110が、ユーザ名/パスワードの組み合わせを使用してIIS166を認証した場合、DIR生成システム164は、DIRがプリンシパル110に送り返されるとき、同じユーザ名およびパスワードを使用して、DIRを戻すことができる。
【0053】
他の実施形態において、デジタル生成システムは、特定のプリンシパル110についての他の使用可能な認証方法を含むActive Directory169などのディレクトリサービスにアクセスすることができる。例えば、プリンシパル110がユーザ名/パスワードを使用して、DIR生成システム164に対して認証を行うが、プリンシパル110に登録されたスマートカードに関連付けられている証明書をActive Directoryが含む場合、DIR生成システム164は、プリンシパル110に戻されるDIRの一部として認証形式のいずれかまたは両方を含むことができる。なお、プリンシパルマシン111とDIR生成システム164との間でシングルサインオン機能が有効である場合、DIRに含まれる認証形式は、プリンシパルマシン111に対して認証を行うためにプリンシパル110により使用される認証形式とすることができる。
【0054】
いったんDIRがDIR生成システム164によって生成されると、これらは、電子メール、HTTPなどを含めて、様々な方法のうちの任意のものを介してプリンシパル110に送信される(390)。一部の実施形態において、DIRを含むファイルは、PINで保護され得る。これは、特に、複数のDIRがプリンシパル110に送信される場合に、DIRを含むファイルが、許可されていないアクセスから保護すべき暗号鍵材を含み得るからである。PINによって、プリンシパルマシン111とDIR生成システム164との間の共有秘密の確立が可能になる。次に、プリンシパルマシン111上にDIRをインストールするとき、DIRを含むファイルは、プリンシパルによって解読することができる。DIRを開始し、承認し、送信するための方法例について、以下でさらに説明する。
【0055】
次に、図4を参照すると、方法400が示されている。ステップ410で、DIRを作成する旨の要求が、第1のチャネルを介して受信される。例えば、プリンシパル110は、プリンシパルマシン111上のインターネットブラウザを使用して、DIR生成システム164から新しいDIRを要求することができる。ステップ420で、第2のチャネルを介して、DIRが要求された旨の通知が発行される(420)。例えば、プリンシパル110からの新しいDIRの要求に応答して、DIR生成システム164、またはプリンシパルマシン111上で稼働するアプリケーションは、要求がなされた旨の電子メール通知を送信することができる。これは、プリンシパル110が、DIRを要求している人物であり、詐称者ではないことを保証するための「チェック」として作用することができる。一部の実施形態において、電子メールは、プリンシパルの既知の電子メールアドレスに向けることができる。他の実施形態において、この通知は、管理者のポリシーが特定のプリンシパル110の新しいDIRの発行を承認することを要求する第3者に向けられる。例えば、組織のマネージャが発行を承認する場合のみ、一部のDIRを、その組織における特定の従業員に使用可能とすることができる。この形式のDIRは、例えば、機密の作業グループへのアクセス権を得るために使用することができる。
【0056】
本明細書で使用する場合、「チャネル」は、当の情報が通信される方法を指す。方法400における異なるチャネル間の区別は、論理的なものである。2つの別個のチャネルは、同じ物理または電子通信リンクまたは異なるパスのうちの一部またはすべてを一緒に使用することができる。例えば、ステップ420での通知は、ステップ430での承認と同じ通信リンク(例えばインターネット)を介して送信することができるが、チャネルは、論理的に異なっていてもよい(例えば、一方は電子メール、他方はHTTPメッセージとすることができる)。
【0057】
ステップ430で、DIRを作成するための承認が受信される。例えば、ステップ420におけるDIR生成システム364からの通知の受信は、応答し、要求されたDIRの発行を承認することができる。これは、様々な方法で達成することができる。例えば、ステップ420における通知は、DIR生成システム364によってホストされる承認サイトへのリンクをもつ電子メールを含むことができる。
【0058】
ステップ440で、要求されたDIRが作成される。ステップ420での通知の受信により承認が拒否された場合、他のイベントが起こり得る。例えば、管理者に、DIRについての許可されていない要求がなされたことを通知することができる。
【0059】
次に図5を参照すると、別の方法500が例示されている。ステップ510で、DIRが使用可能である旨の通知がプリンシパルに発行される。例えば、DIR生成システム364は、プリンシパル110に、新しいDIRが使用可能である旨をプリンシパル110に警告する電子メールを送信することができる。あるいは、この通知は、プリンシパルのマネージャなどの第3者に行くようにすることができる。この形式の通知は、例えば管理者が、追加の記述子を含むようにアイデンティティデータストア168を変更した場合に有益である。次いで、記述子についての資格のあるクラスにおけるすべてのプリンシパルに新しいDIRが使用可能であることを通知するために、DIR生成システム364を使用することができる。例えば、特定の事業のマネージャは、特定のプロジェクトと共に使用されるDIRについての新しい記述子を作成するよう管理者に要求することができる。いったん管理者が記述子を作成すると、マネージャが新しいDIRを有することを望むすべてのプリンシパルの通知を自動にすることができる。
【0060】
通知を一般の業務ワークフローの一部分として含めることもできる(510)。例えば、新しいプリンシパルの開始により組織が動き始めると、人事部は、データ捕捉システム162を介して、プリンシパルに関する情報を捕捉することができる。データ捕捉は、アイデンティティデータストア168にプリンシパルに関する関連のアイデンティティデータを格納し、DIRが現在そのプリンシパルに使用可能であることをプリンシパル110に通知することを含めた一連の自動化されたステップを始めることができる。通知は、DIR生成システム164を有するWebサイトへのリンクを含むプリンシパルへの電子メールを含む多くの形態をとることができる。あるいは、新しいDIRがプリンシパル110から使用可能である旨のメッセージをDIR生成システム164から受信するように構成されているプリンシパルマシン111上でアプリケーションを稼働することができる(例えば、このアプリケーションがポップアップメッセージを生成することができる、アイコンをプリンシパルマシン111上のツールバーに表示することができるなど)。
【0061】
ステップ520で、DIRを作成する旨の要求が受信される。この場合も、このステップを、様々な方法で達成することができる。例えば、プリンシパル110は、プリンシパルにDIRを要求するオプションを提供するWebページにプリンシパルをアクセスさせるリンクをクリックすることによって、通知の電子メールに応答する。あるいは、プリンシパルマシン111上のアプリケーションが、DIRが使用可能であることをプリンシパル110に警告する場合、プリンシパルは、こうしたアプリケーション内でDIRを要求することができ、アプリケーションは、DIR生成システム364にメッセージを送り返して、要求を行うことができる。
【0062】
ステップ530で、要求されたようにDIRが作成される。DIRの作成は、本明細書の他の場所に記載されているように達成することができる。この場合も本明細書の他の場所に記載されているように、DIRがプリンシパルに送信される(540)。
【0063】
次に図6を参照すると、別の方法600が例示されている。ステップ610で、プリンシパルに使用可能な新しいDIRについて、DIR生成システムがポーリングされる。例えば、プリンシパルマシン111は、所定の間隔で、DIR生成システム164を定期的にポーリングするようプログラムされる。ステップ620で、任意の新しいDIRがプリンシパルに使用可能かどうかについて決定される。DIR生成システム164は、例えば、アイデンティティデータストア168において、プリンシパルマシン111によって最後にポーリングされた時から、任意の新しい記述子がプリンシパル110に使用可能になっているかどうかをチェックすることができる。ステップ630で、新しいDIRが作成される旨の要求がされる。この例を続けて、新しいDIRが使用可能である旨の通知を受信すると、プリンシパル110は、DIR生成システム164が新しいDIRを作成するように要求することができる。ステップ640で、新しいDIRが受信される(例えば、新しいDIRは、DIR生成システム164からプリンシパルマシン111によって受信することができる)。この方法600は、管理者のジョブをどのように簡略化することができるかの別の例である。すべてのプリンシパルマシンが新しいDIRについてポーリングを行うようプログラムされている場合、例えば、アイデンティティデータストア168に、管理者が新しいDIR記述子を作成するとき、新しいDIRの発行および配布は、自動であり、管理者にさらなる仕事を必要とさせない。
【0064】
また、依拠当事者のセキュリティポリシーに応じてDIRを動的に作成できることに利点がある。次に図7を参照すると、方法700が例示されている。ステップ710で、依拠当事者へのアクセスが要求される。例えば、依拠当事者120が制限されたWebサイトである場合、プリンシパルマシン111は、ブラウザを介してWebサイトにアクセスすることを試みる。ステップ720で、依拠当事者へのアクセスが拒否され、依拠当事者からのセキュリティポリシーが受信される。この例を続けると、依拠当事者120は、プリンシパルマシン111に、そのセキュリティポリシー、およびプリンシパルマシン111のブラウザを認証Webページに再び向かわすHTTPメッセージを送信する。次に、DIR生成システムに、セキュリティポリシーを満たすDIRが要求される(730)。上記の例において、プリンシパルマシン111は、最初に、それが十分なDIRかどうかをチェックし、そうでない場合、依拠当事者120のセキュリティポリシーを満たすDIRを提供するアイデンティティプロバイダに対して、ローカルキャッシュの照会を行うようにプリンシパルマシン111をプログラムすることができる。また、プリンシパルマシンは、第3者によってホストされるDIRプロバイダのパブリックリストの照会を行うこともできる。次に、プリンシパル110は、適切なDIRプロバイダ、およびDIR生成システム164などのDIR生成システムを選択することができる。ステップ740で、DIRが受信される。上記の例において、プリンシパルマシン111は、新しいDIRを受信し、次に、これは、依拠当事者120へのアクセス権を取得するのに必要なアイデンティティトークンを取得するために、アイデンティティプロバイダ115に転送される。
【0065】
一部の実施形態において、プリンシパルマシン111は、依拠当事者120のセキュリティポリシーをDIR生成システム164に転送することができる。DIR生成システム164は、次いで、アイデンティティデータストア168をチェックして、クレームおよびセキュリティポリシーに記載されている他の要件を満たすことができるかどうかを決定する。その場合、セキュリティポリシーを満たすDIRが作成されることになる。このように、プリンシパルは、管理者がその特定依拠当事者のセキュリティポリシーの必要性を満たすアイデンティティ記述子を予め構成していたかどうかにかかわらず、必要に応じてDIRを取得することができる。
【0066】
次に図8を参照すると、別の方法800が例示されている。ステップ810で、プリンシパルのグループに対して、プリンシパルのグループに使用可能なDIRを許可するポリシーが設定される。図1の例示のシステム100を参照すると、管理者は、管理者システムを使用して、特定のグループの一員である全てのプリンシパルが特定のDIRを受信することを許可するポリシーを、アイデンティティデータストア168に設定することができる。一部の実施形態において、これは、Active Directory169において使用可能な「グループポリシー」機能、またはプリンシパルマシン111にあるクライアント側アプリケーションを開始する他の手段を使用して、管理者によって達成することができる。ステップ820で、DIRが使用可能であるプリンシパルのグループが通知される。上記の例において、プリンシパルマシン111上にあるクライアント側アプリケーションが起動される。これによって、プリンシパル110に、DIRが現在使用可能であることを表示することができる(例えば、ポップアップ、ツールバーアイコンなどを介して)。クライアント側アプリケーションは、それ自体のルールの組(例えば、プリンシパル110が後で思い出されるように選択することができること、プリンシパル110に、新しいDIRを取り出すためのある時間量のみを提供することなど)を有することができる。ステップ830で、DIRを作成するために、プリンシパルのグループにおける少なくとも第1のプリンシパルからの要求が受信される。一部の実施形態において、これには、プリンシパルマシン111上にあるクライアント側アプリケーションを介して、ユーザがDIRの作成を許可することが関与し得る。他の実施形態において、クライアント側アプリケーションは、プリンシパル110のこれ以上の関与無しに、DIRを要求することができる。ステップ840で、第1のプリンシパルのためのDIRが作成される。
【0067】
図9は、本明細書に記載した実施形態を実施するために使用することができる一般のコンピューティング装置900(本明細書では、コンピュータまたはコンピュータシステムとも呼ばれる)を示す。コンピューティング装置900は、コンピューティング環境の一例にすぎず、コンピュータおよびネットワークのアーキテクチャの使用または機能の範囲に関する限定を示唆するものではない。また、コンピューティング装置900を、コンピューティング装置例900に示した構成要素のいずれか1つ、またはその組み合わせに関連する依存性または必要条件を有しているものと解釈すべきではない。実施形態において、コンピューティング装置900は、図1を参照して上述したように、例えば、プリンシパルマシン111、DIR生成システム164、データ捕捉システム162、IIS166、アイデンティティデータストア168、アクティブディレクトリ169、管理者システム160、アイデンティティプロバイダ115、または依拠当事者120として使用することができる。
【0068】
その最も基本的な構成では、コンピューティング装置900は一般に、少なくとも1つの処理ユニット902およびメモリ904を含む。コンピューティング装置の正確な構成およびタイプに応じて、メモリ904は、揮発性(RAMなど)、不揮発性(ROM、フラッシュメモリなど)、またはこれら2つの何らかの組み合わせとすることができる。この最も基本的な構成は、図9の破線906内に示している。システムメモリ904は、コンピューティング装置900上で実行されるアプリケーションを格納する。アプリケーションに加えて、メモリ904は、図1〜8を参照して以下に記載されるように、DIR作成要求910および/またはDIR可用性通知911など、コンピューティング装置900によって実行される操作で使用される情報も格納することができる。
【0069】
さらに、コンピューティング装置900は、追加の特徴/機能を有していてもよい。例えばコンピューティング装置900は、それだけには限定されないが、磁気または光ディスクまたはテープを含む追加のストレージ908(取外式および/または固定式)を含むこともできる。こうした追加のストレージは、図9にストレージ908によって示されている。コンピュータ記憶媒体には、コンピュータ可読命令、データ構造、プログラムモジュール、他のデータなど、情報を記憶するための任意の方法または技術で実施される揮発性および不揮発性の取外式および固定式媒体などがある。メモリ904およびストレージ908は、コンピュータ記憶媒体の例である。コンピュータ記憶媒体には、それだけには限定されないが、RAM、ROM、EEPROM、フラッシュメモリまたは他のメモリ技術、CD−ROM、デジタル多用途ディスク(DVD)または他の光記憶装置、磁気カセット、磁気テープ、磁気ディスク記憶装置または他の磁気記憶装置、または所望の情報の格納に使用でき、コンピューティング装置900からアクセスできる他の任意の媒体などがある。こうした任意のコンピュータ記憶媒体は、コンピューティング装置900の一部とすることができる。
【0070】
当業者であれば理解できるように、ストレージ908は、様々な情報を格納することができる。数ある情報のタイプの中でも、ストレージ908は、デジタルアイデンティティ表現930(例えば、プリンシパルマシンの場合)、またはアイデンティティトークン945(例えばアイデンティティプロバイダの場合)を格納することができる。
【0071】
コンピューティング装置900は、システムが他の装置と通信できるようにする通信接続912を含むこともできる。通信接続912は、通信媒体の一例である。通信媒体は一般に、コンピュータ可読命令、データ構造、プログラムモジュール、または他のデータを搬送波または他の移送機構などの変調されたデータ信号に組み込む。これには任意の情報配送媒体がある。「変調されたデータ信号」という用語は、信号に情報を符号化するように1つまたは複数のその特性が設定または変更された信号を意味する。通信媒体には、それだけには限定されないが一例として、有線ネットワーク、直接配線された接続などの有線媒体、および音響、RF、赤外線、その他の無線媒体などの無線媒体などがある。コンピュータ可読媒体という用語は、本明細書で使用する場合、記憶媒体および通信媒体の両方を含む。
【0072】
コンピューティング装置900は、キーボード、マウス、ペン、音声入力装置、タッチ入力装置などの入力装置914を含むこともできる。ディスプレイ、スピーカ、プリンタなどの出力装置916を含むこともできる。こうした装置はすべて、当分野ではよく知られており、ここでは詳細に説明する必要はない。
【0073】
上述した様々な実施形態は、例示として提供されるにすぎず、限定と解釈されるべきではない。開示または以下の特許請求の範囲の真の意図および範囲から逸脱することなく、上述した実施形態に加えることができる様々な修正および変更を当業者であれば容易に理解されよう。

【特許請求の範囲】
【請求項1】
プリンシパル(110)についてのデジタルアイデンティティ表現(930)をプロビジョニングするための方法(400)であって、
前記プリンシパル(110)についての前記デジタルアイデンティティ表現(930)を作成する旨の要求を、第1のチャネルを介して受信するステップ(410)と、
前記デジタルアイデンティティ表現(930)が要求された旨の通知を、第2のチャネルを介して発行するステップ(420)と、
前記デジタルアイデンティティ表現(930)を作成するための承認を受信するステップ(430)と、
前記デジタルアイデンティティ表現(930)を作成するステップ(440)と
を備えることを特徴とする方法。
【請求項2】
前記通知は、前記プリンシパルの既知のアドレスに送信される電子メッセージであることを特徴とする請求項1に記載の方法。
【請求項3】
前記通知は、第3者に送信される電子メッセージであることを特徴とする請求項1に記載の方法。
【請求項4】
前記通知は、前記承認を容易にするための電子リンクを含むことを特徴とする請求項1に記載の方法。
【請求項5】
前記第1のチャネルは、HTTPリクエストであり、前記第2のチャネルは、電子メールであることを特徴とする請求項1に記載の方法。
【請求項6】
前記プリンシパルについての第2のデジタルアイデンティティ表現を作成する旨の第2の要求を、前記第1のチャネルを介して受信するステップと、
前記第2のデジタルアイデンティティ表現が要求された旨の第2の通知を、前記第2のチャネルを介して発行するステップと、
前記デジタルアイデンティティ表現を作成するための承認の拒否を受信するステップと、
前記承認の拒否が受信された旨の電子メッセージを第3者に送信するステップと
をさらに含むことを特徴とする請求項1に記載の方法。
【請求項7】
プリンシパル(110)についての1つまたは複数のデジタルアイデンティティ表現(930)をプロビジョニングするための方法(500)であって、
前記1つまたは複数のデジタルアイデンティティ表現(930)が前記プリンシパル(110)に使用可能である旨の通知を発行するステップ(510)と、
前記1つまたは複数のデジタルアイデンティティ表現(930)を作成する旨の要求を受信するステップ(520)と、
前記1つまたは複数のデジタルアイデンティティ表現(930)を作成するステップ(530)と
を含むことを特徴とする方法。
【請求項8】
前記通知は、前記要求の作成を可能にする電子サイトへのリンクを含むことを特徴とする請求項7に記載の方法。
【請求項9】
前記プリンシパルに関するデータを捕捉するステップをさらに含み、
発行する前記ステップは、捕捉する前記ステップの後に自動的に実行される
ことを特徴とする請求項7に記載の方法。
【請求項10】
前記通知は、第3者に発行されることを特徴とする請求項7に記載の方法。
【請求項11】
デジタルアイデンティティ表現記述子を作成するステップをさらに備え、
通知を発行する前記ステップは、作成する前記ステップの後に自動的に実行される
ことを特徴とする請求項7に記載の方法。
【請求項12】
前記プリンシパルは、プリンシパルのグループのメンバーであって、
前記プリンシパルのグループが前記デジタルアイデンティティ表現にアクセスすることを許可されるポリシーを設定するステップをさらに備え、
前記通知を発行する前記ステップは、前記プリンシパルのグループに前記通知を発行することを備える
ことを特徴とする請求項7に記載の方法。
【請求項13】
前記通知を発行する前記ステップは、前記プリンシパルのグループにおける前記プリンシパルのうちの少なくとも1人に関連付けられているプリンシパルマシン上で稼働する少なくとも1つのアプリケーションにメッセージを送信することを含むことを特徴とする請求項1に記載の方法。
【請求項14】
前記要求は、前記少なくとも1人のプリンシパルによる指示無しに、前記少なくとも1つのアプリケーションによって自動的に作成されることを特徴とする請求項13に記載の方法。
【請求項15】
前記1つまたは複数のデジタルアイデンティティ表現を暗号で保護するステップと、
前記1つまたは複数の暗号で保護されたデジタルアイデンティティ表現をプリンシパルマシンに送信するステップと
をさらに備えることを特徴とする請求項7に記載の方法。
【請求項16】
プリンシパル(110)についてのデジタルアイデンティティ表現(930)をプロビジョニングするための方法(600)であって、
任意の新しいデジタルアイデンティティ表現(930)が前記プリンシパル(110)に使用可能であるかどうかを決定するために、デジタルアイデンティティ表現生成システム(164)をポーリングするステップ(610)と、
第1の新しいデジタルアイデンティティ表現(930)が前記プリンシパル(110)に使用可能である旨の通知を受信するステップ(620)と、
前記第1の新しいデジタルアイデンティティ表現(930)が作成されることを要求するステップ(630)と、
前記第1の新しいデジタルアイデンティティ表現(930)を受信するステップ(640)と
を備えることを特徴とする方法。
【請求項17】
ポーリングする前記ステップは、プリンシパルマシンによって自動的、かつ定期的に実行されることを特徴とする請求項16に記載の方法。
【請求項18】
前記通知を受信した後、前記デジタルアイデンティティ表現が使用可能であることを前記プリンシパルに警告するステップ
をさらに備えることを特徴とする請求項16に記載の方法。
【請求項19】
通知を発行する前記ステップは、ポップアップ通知をプリンシパルマシンのユーザインターフェイスに表示させることを特徴とする請求項18に記載の方法。
【請求項20】
警告する前記ステップは、要求する前記ステップを実行するように、後に思い出させるオプションを前記プリンシパルに提供することを含むことを特徴とする請求項18に記載の方法。

【図1】
image rotate

【図2】
image rotate

【図3】
image rotate

【図4】
image rotate

【図5】
image rotate

【図6】
image rotate

【図7】
image rotate

【図8】
image rotate

【図9】
image rotate


【公表番号】特表2010−517141(P2010−517141A)
【公表日】平成22年5月20日(2010.5.20)
【国際特許分類】
【出願番号】特願2009−546457(P2009−546457)
【出願日】平成20年1月4日(2008.1.4)
【国際出願番号】PCT/US2008/050205
【国際公開番号】WO2008/088945
【国際公開日】平成20年7月24日(2008.7.24)
【出願人】(500046438)マイクロソフト コーポレーション (3,165)
【Fターム(参考)】