ネットワークサービスインフラシステムおよび方法
ネットワークサービスインフラシステムおよび方法が開示されている。サービスネットワーク内で利用可能なサービスネットワークおよびネットワークサービスへのクライアントアクセス用のポリシーは、クライアントゲートウェイで実行される。クライアントゲートウェイで認証および許可されると、サービスネットワークのクライアントはサービスネットワーク内で（１つまたは複数の）独自のネットワークサービスを利用可能にする、サービスネットワークの他のクライアントによって提供されたネットワークサービスを使用する、またはその両方を行うことができる。ポリシーは、サービスネットワーク内で中央管理され、クライアントゲートウェイに分配される。ポリシー、ネットワークサービスに関連する情報、場合によっては他の情報を記憶する様々なレジストリも提供することができる。
【発明の詳細な説明】
【技術分野】
【０００１】
本出願は、２００５年４月１４日出願の共通の譲受人の「パブリックおよびプライベートネットワークサービス管理システムおよび方法」という名称の米国特許出願第１１／１０５，６０１号、および「プライベートネットワーク間のネットワークサービスを管理するシステムおよび方法」という名称の米国特許出願第１１／１０５，８２１号に関するものである。
【０００２】
本発明は概してネットワークサービスに関し、より詳細にはネットワークサービスを提供するインフラに関する。
【背景技術】
【０００３】
通信ネットワークを通して情報が分配されるサービスは普通、ネットワークサービスと呼ばれる。いわゆる「ウェブサービス」はネットワークサービスの例であり、公衆インターネットネットワーク上の異なるアプリケーション間で情報を自動的に交換するために使用されている次世代のウェブベースの技術を示している。
【０００４】
ウェブサービスは、インターネット上にウェブベースで分配されたアプリケーションを構築するフレームワークである。これらは、多数のグローバル企業間の通信を機械処理するために十分かつ効果的な自動機械を提供する。この自動化は、技術ベースの処理および事業効率を技術会社から小売会社などの世界の主要な非技術会社に提示している。従来の処理技術を使用して処理するためには注文書は＄１２０がかかり、供給業者は倉庫にある返品書を処理するのに数日必要であるが、新規のウェブサービスベースシステムは０．５セントでこれを行うことができ、注文書は数秒で世界中の倉庫に分配される。
【０００５】
技術面から、標準インターフェイス上で、ハイパーテキスト転送プロトコル（ＨＴＴＰ）、拡張マークアップ言語（ＸＭＬ）、シンプルオブジェクトアクセスプロトコル（ＳＯＡＰ）などの標準インターネットプロトコルを使用してアクセスすることができるネットワークアクセス可能機能であるという意味において、ウェブサービスはアプリケーションサービスと同様である。
【０００６】
ウェブサービスアプリケーションは、公衆インターネット内のあらゆるところから来る可能性があるコードおよびデータの要素で構築されている。例えば、自動供給チェーン管理において、店頭購入は金融代理店によって消去され、返品注文は工場から直接送られ、請求書情報はそれぞれ独自のソフトウェアシステムを備えた本社によって収集される。
【０００７】
ウェブサービス技術の真の力はその単純性にある。コア技術は共通の言語および通信発行を処理するだけであり、アプリケーション統合の面倒な仕事を直接は処理しない。ウェブサービスは、多数の信用できない異種システムを相互連結するための遠隔手続呼出し（ＲＰＣ）技術を機械処理する洗練した機械として見ることができる。ウェブサービスは、データ変換／透明性のためのＸＭＬ技術、および通信のためのハイパーテキスト転送プロトコル（ＨＴＴＰ）などのインターネット標準を使用することによって多くの新しい技術の最善をとる。
【０００８】
ウェブサービスは既に、企業のプライベートネットワーク空間内で成功を実証して、アプリケーションが通信するための標準的方法として高速アクセプタンスを得る。しかし、多くの現在のウェブサービスは企業ネットワーク内のファイアウォールの後ろに配置されたアプリケーションサービルによってホスティングされている。
【発明の開示】
【発明が解決しようとする課題】
【０００９】
基本インターネットインフラ上の企業空間内およびその向こうでウェブサービスインターアクションをサポートする努力は、アドホック手法に集中していた。１つの方法によれば、ウェブサービスが提供される異なる企業は、互換アプリケーション、共通の独占ソフトウェア、カスタムインターフェイスおよびＡＰＩ、および共通の通信プロトコルを使用することに同意しなければならなかった。企業はまた、データ安全性、およびあらゆる安全通信が管理される方法に同意しなければならなかった。加えて、各企業は、ポイント間の方法で企業トラフィックをアプリケーション間に流すように内部ファイアウォールを開かなければならなかった。
【００１０】
企業環境内に新規のウェブサービス企業パートナを加えることは常に、難しく、高額で、時間がかかる処理であった。というのは、潜在的な新規企業パートナは異なるセットの規則および基準を有する傾向があるからである。新規パートナのアプリケーションへの変更、および新規アプリケーションを提供する企業へのカスタムコード修正がしばしば必要である。
【００１１】
企業空間に対向する通信ネットワークプロバイダの空間をターゲットとした、端末間バーチャル（プライベート）エクストラネットウェブサービスアーキテクチャを展開および管理するための現在知られている展開および管理解決法はない。例えば、ＸＭＬバーチャルプライベートネットワーク（ＶＰＮ）装置は存在するが、これらの装置はファイアウォールの背後の企業ネットワーク内の実施を意図している。
【００１２】
様々なポリシー／セキュリティ／アドミッション制御要件を有する多くの企業は、同じコアネットワークを通してウェブサービスを提供または消費したい場合に、プロバイダのコアマーケット、またはより小容量のハードウェアベース企業規模製品を処理する既存のソフトウェアベース安全製品はコアネットワーク要件に匹敵しない。サーバベースアーキテクチャおよびハードウェアＸＭＬ装置を含む企業規模製品はまた、通信ネットワークコア機器の高いアベラビリティおよび速度要件を普通は満たしていない。
【００１３】
本発明の実施形態は、特定の通信ネットワークサービスプロバイダがネットワークサービス、図ではウェブサービスをネットワーク常駐サービスとして提供することを可能にする新規のネットワークサービスを提供する。
【課題を解決するための手段】
【００１４】
いくつかの実施形態では、この新規ネットワークサービスはいわゆるエクストラネットサービスアーキテクチャ内で提供される。エクストラネットアーキテクチャは、ネットワークサービスプロバイダによって管理しながら、閉グループのメンバに提供される「サービスのネットワーク」を計画する。エクストラネットサービスモデルは、アプリケーションレイヤ解決法、ネットワークプロバイダのインフラの上部に構築されたオーバーレイネットワークであることが好ましい。
【００１５】
本発明の一態様によれば、サービスネットワーク内にネットワークサービスを提供する装置は、クライアントによって提供されたネットワークサービスをサービスネットワークの別のクライアントに対して利用可能にする、サービスネットワークの別のクライアントによって提供されたネットワークサービスを使用する、またはクライアントによって提供されたネットワークサービスをプライベートサービスネットワークの別のクライアントに対して利用可能にもし、サービスネットワークの別のクライアントによって提供されたネットワークサービスを使用もするために、サービスネットワークの認証ポリシーにしたがってサービスネットワークへのクライアントアクセス用の規則を施行し、認証されたクライアントがサービスネットワークへアクセスすることを可能にするように構成されたポリシー施行モジュールを含んでいる。
【００１６】
ポリシー施行モジュールはさらに、認証されたクライアントがネットワークサービスをサービスネットワーク内であらゆる他のクライアントに対して利用可能にし、ネットワークサービスに関連するそれぞれのサービスポリシーにしたがって別のクライアントによって提供されたネットワークサービスを使用することができるように構成することができる。
【００１７】
装置はまた、認証されたクライアントとサービスネットワークの間、サービスネットワーク内、およびサービスネットワークとサービスネットワークの宛先クライアントの間の安全な端末間通信を施行するセキュリティモジュールを備えることができる。
【００１８】
いくつかの実施形態では、セキュリティモジュールは規則に基づく認証および許可アクションを通信トラフィックに適用し、認証および許可アクションに応じて通信トラフィックを通過させるまたは落とす。追加のセキュリティ規則はまた、通信トラフィックに適用することもできる。
【００１９】
装置はまた、ポリシー施行モジュールに動作可能に結合され、制御トラフィックまたはデータトラフィックとして認証されたクライアントに関連するトラフィックを分類し、サービスレジストリ内での公開のために認証されたクライアントによって提供されるネットワークサービスに関連する情報を含む制御トラフィックを伝送し、次の処理のためにデータトラフィック内のＳＯＡＰ情報を変更するように構成されたシンプルオブジェクトアクセスプロトコル（ＳＯＡＰ）プロキシモジュールを含むことができる。
【００２０】
ユニバーサルディスクリプションディスカバリアンドインテグレーション（ＵＤＤＩ）プロキシモジュールはまた、ＳＯＡＰプロキシモジュールに動作可能に結合することができる。この場合、ＳＯＡＰプロキシモジュールはさらに、受けたＵＤＤＩ制御トラフィックを特定し、次の処理のためにＵＤＤＩプロキシモジュールに受けたＵＤＤＩ制御トラフィックを転送するように構成されている。受けたＵＤＤＩ制御トラフィックは、ネットワークサービスルックアップに対する要求を含むことができる。ＵＤＤＩプロキシモジュールは、要求のローカルまたはリモート解決を処理し、各要求を開始させたクライアントに反応する。
【００２１】
サービス処理モジュールはまた、ＳＯＡＰプロキシモジュールに動作可能に結合し、ＳＯＡＰプロキシモジュールでデータトラフィックを交換するように構成することができる。
【００２２】
ポリシー施行モジュールは、認証されたクライアントがサービスレジストリに対してネットワークサービスに関連する情報を公開し、サービスレジストリにアクセスして別のクライアントによって提供されたネットワークサービスを使用することを可能にする。ネットワークサービスに関連する情報は、サービスネットワークの別のメンバによる使用のためのネットワークサービス用のアクセス規則を特定するアクセス情報を含むことができる。サービスレジストリからのサービスネットワークの別のクライアントによって提供されたネットワークサービスに関連する情報へのアクセスは、その別のクライアントによって特定されるアクセス規則によりポリシー施行モジュールによって制御される。
【００２３】
いくつかの実施形態で提供される転送／ルーティングモジュールは、サービスネットワーク内の通信トラフィックをルーティングし、レイヤ１転送方法、レイヤ２転送方法、インターネットプロトコル（ＩＰ）ルーティング、および拡張マークアップ言語（ＸＭＬ）ルーティングの少なくとも１つをサポートする。
【００２４】
サービスネットワークの変換ポリシーによる認証されたクライアント、およびサービスネットワークへの転送のためのそれぞれのフォーマット間の通信トラフィック変換などの他の機能はまた、ポリシー施行モジュールによって実行または管理することができる。
【００２５】
この装置はまた、例えばサービスネットワークを提供する通信システムのクライアントゲートウェイ内で実施することができる。システムのネットワークコントローラは、クライアントゲートウェイによって施行されるポリシー、および利用可能なネットワークサービスのレジストリを管理するクライアントゲートウェイに動作可能に結合されている。
【００２６】
サービスネットワーク内で利用可能なネットワークサービスに関連するポリシーを管理する装置も提供され、サービスネットワークのクライアントがこれを通してサービスネットワークにアクセスするクライアントゲートウェイに動作可能に結合されるクライアントゲートウェイインターフェイス、およびポリシーマネージャを備えている。ポリシーマネージャは、クライアントゲートウェイインターフェイスに動作可能に結合され、クライアントゲートウェイにネットワークサービスポリシーによるサービスネットワークのクライアントによるネットワークサービスへのアクセスを制御させるように、クライアントゲートウェイインターフェイスを通してクライアントゲートウェイへのそれぞれのネットワークサービス用のアクセス制御を特定するネットワークサービスポリシーを分配するように構成されている。
【００２７】
ポリシーマネージャはさらに、サービスネットワークでのクライアントの認証、およびクライアントゲートウェイによってデータトラフィックに適用されるフォーマット変換の少なくとも１つを管理する。
【００２８】
いくつかの実施形態では、ネットワークサービスポリシーはネットワークサービスポリシーレジストリ内に記憶されたポリシーを含み、ポリシーマネージャはさらにネットワークサービスポリシーレジストリを維持し、ネットワークサービスポリシーレジストリ内に、ネットワークサービスが提供されるサービスネットワークのクライアントから受けた既存のネットワークサービスポリシーを統合するように構成されている。
【００２９】
この装置はまた、クライアントゲートウェイインターフェイスに動作可能に結合され、サービスネットワークによりクライアント通信の安全性を管理するように構成されたセキュリティマネージャと、サービスネットワーク内で利用可能なネットワークサービスのレジストリ、サービスタイムアウト情報、拡張マークアップ言語（ＸＭＬ）スキーマ、サービスコントラクト、サービス品質（ＱｏＳ）パラメータ、サブスクリプション情報、アドレス指定情報、請求書作成情報、サービス内容合意（ＳＬＡ）監視情報、トランザクショナルネットワークサービスアクティビティ監視情報、アクティビティログ、パフォーマンス監査情報、および例外警告の少なくとも１つを管理するように構成されたレジストリマネージャと、クライアントゲートウェイインターフェイスに動作可能に結合され、クライアントゲートウェイによって捕捉された監査レコードを受けて管理するように構成されたシステムマネージャのいずれかまたは全てを含むこともできる。
【００３０】
ポリシー管理装置は、例えば、ネットワークサービスプロバイダによって提供されたプライベートネットワークサービスがクライアントゲートウェイを通してネットワークサービスコンシューマにアクセス可能とされたサービスネットワークを提供する通信システムのネットワークコントローラ内で実行することができる。
【００３１】
サービスネットワーク内で利用可能なネットワークサービスを管理する装置はまた、本発明の別の態様により提供され、サービスネットワークのクライアントがサービスネットワークにアクセスするクライアントゲートウェイに動作可能に結合されるクライアントゲートウェイインターフェイスと、クライアントゲートウェイインターフェイスに動作可能に結合され、サービスレジストリ内の情報に関する要求をクライアントゲートウェイから受け、それに応じて要求された情報を提供し、クライアントゲートウェイからサービスネットワーク内で利用可能にされるネットワークサービスに関連する情報を受け、サービスレジストリ内の受けた情報を公開し、ネットワークに関連するサービスレジストリ内の情報の変更に対するサブスクリプションをクライアントゲートウェイから受け、サブスクリプションに応じた変更に通知を送信するように構成されたレジストリマネージャとを備えている。
【００３２】
いくつかの実施形態では、通信システムは、装置を含むネットワークコントローラと、サービスレジストリを記憶するためにネットワークコントローラに動作可能に結合されたメモリと、サービスネットワークの少なくとも１つのクライアントおよびメモリに動作可能に結合され、少なくとも１つのクライアントによってサービスレジストリ内で公開されたネットワークサービスへのアクセスを制御するように構成されたクライアントゲートウェイとを備えている。
【００３３】
本発明のさらに別の態様によるサービスネットワーク内にネットワークサービスを提供する方法は、プライベートサービスネットワークのクライアントを認証および許可するステップと、クライアントが許可された場合に、クライアントによって提供されたネットワークサービスをサービスネットワーク内で利用可能にする、またはクライアントが許可されるサービスネットワークの別のクライアントによって提供された特定のネットワークサービスまたはネットワークサービスのグループを使用するようにクライアントがサービスネットワークにアクセスすることを可能にするステップとを含んでいる。
【００３４】
ネットワークサービスを利用可能にする動作は、サービス公開のためにサービスネットワークとの接続を開始するステップを含むことができる。クライアントがサービスネットワークとアクセスすることを可能にする動作は、ターゲットのネットワークサービスとの接続を開始し、ターゲットのサービスへ要求を送信し、そこから回答を受信することによってターゲットのネットワークサービスをクライアントが使用することを可能にするステップを含むことができる。可能にする動作はまた、クライアントがネットワークサービスのレジストリを参照して、特定のネットワークサービスまたはネットワークサービスのグループ用の情報にアクセスする、または特定のネットワークサービスまたはネットワークサービスのグループ用のレジストリレベルでの変更にサブスクライブすることを可能にするステップを含むことができる。
【００３５】
ネットワークサービスアベラビリティは、ネットワークサービスのサービスポリシーにより制御することができる。この場合、可能にするステップは、クライアントによる使用を許可する関連するサービスポリシーを有するネットワークサービスを決定するステップを含むことができる。
【００３６】
本発明の他の態様および特性は、その特定の例示的実施形態の以下の説明を参照して当業者には明らかになるだろう。
【発明を実施するための最良の形態】
【００３７】
次に、本発明の実施形態の例を添付の図面を参照してより詳細に説明する。
【００３８】
図１は、本発明の実施形態を組み込んだ通信システムのブロック図である。通信システム１０は、企業システム１２、２２と、モバイルエンドユーザシステム１３と、クライアントゲートウェイ１６、２６と、サービスネットワーク２０と、全体を１８で示すデータトラフィックスイッチおよびルーティングコンポーネントと、ネットワークコントローラ２８とを備えている。
【００３９】
多くの企業システム１２、２２および／またはモバイルエンドユーザシステム１３などのエンドユーザシステムをクライアントゲートウェイ１６、２６に接続することができ、また多くのクライアントゲートウェイ１６、２６がサービスネットワーク２０の境界にある可能性があるが、複雑にするのを避けるためにこれらのコンポーネントのそれぞれの例示的な実施例のみを図１に示した。例えばサービスネットワーク２０を最初に展開した場合に単一の企業システム１２、２２および単一のクライアントゲートウェイ１６、２６のみが設けられている実施も考えられる。したがって、図１のシステムと、他の図の内容は単に例示的な目的を意図したものであって、本発明は図面にはっきりと示し、本明細書に記載した特定の例示的な実施形態に限るものではないことを理解すべきである。
【００４０】
企業システム１２、２２は、サービスネットワーク２０全体を通して提供および管理されたウェブサービスアプリケーションを提供できるか、使用できるか、または提供も使用もすることができるネットワークを示している。普通の設置では、企業システムは企業内に入る外部アクセス制御を提供し、およびフィルタ外部トラフィックをフィルタリングするためのファイアウォール、トラフィックスイッチおよびルーティング機器、ネットワークサービスをサポートする１つまたは複数のサーバ、およびユーザ端末、図ではパソコンなどのコンポーネントを備えている。企業プライベートネットワークは、企業システム１２の一実施例である。
【００４１】
モバイルエンドユーザシステム１３は、特定の企業システムの一部ではないクライアントシステムの例示的なものである。エンドユーザシステムは、図示するように、移動可能であっても、または固定でもよい。モバイルエンドユーザシステム１３は、例えばウェブサービスモバイルゲートウェイを通してクライアントゲートウェイ１６に接続することができる。モバイルエンドユーザシステム１３と、固定エンドユーザシステムは代わりに、クライアントゲートウェイ１６に物理的に接続することができる。ポータブルコンピュータシステムは、アクセスネットワーク内での異なる位置および物理的接続によりクライアントゲートウェイに接続することができるという点において移動可能である。
【００４２】
当業者は、ネットワークサービスを提供および／または使用する多くの異なるタイプの企業システムおよびエンドユーザシステムに詳しいだろう。本発明の実施形態は、どのようにこれらのサービスが実際に企業システム１２、２２内でサポートされているか、またはモバイルエンドユーザシステム１３、したがって企業システム１２、２２などのエンドユーザシステムで使用されているかに対して、企業環境の外側でこのような企業ネットワークサービスを提供および使用することに主に関し、その操作を本発明の適切な態様に必要な範囲で本明細書で簡単にのみ説明する。
【００４３】
企業システム１２、２２およびモバイルエンドユーザシステム１３内で、例えばソフトウェアアプリケーションとして実行することができる仮想エクストラネットサービスポータルは、エンドネットワークサービスプロバイダおよびコンシューマがサービスネットワーク２０と相互作用することを可能にする。サービスポータルは、ユーザがサービスネットワーク内にログインし、フェデレーション識別または別の認証スキームによりサービススキームで認証することを可能にし、またエンドユーザがネットワークサービスを提供および／または消費する方法に実質的に影響を与えることなく、様々なサービスリストの表示などの他の追加の能力を可能にすることもできる。
【００４４】
接続１４、１５、２４は図１に示すように直接接続、または中間コンポーネント、および場合によってはアクセスネットワークと本明細書で全体的に呼ぶ他の通信ネットワークを横切る間接接続であってもよい。しかし、本発明は企業システム１２、２２、モバイルエンドユーザシステム１３、およびクライアントゲートウェイ１６、２６の間のネットワーク接続、またはあらゆる他の特定のタイプの接続に限るものではない。接続１４、１５、２４はしたがって、直接、間接、有線、および無線接続のいずれかを含むことができる。
【００４５】
サービスネットワーク２０へのアクセスは、クライアントゲートウェイ１６、２６によって企業システム１２、２２およびモバイルエンドユーザシステム１３に提供される。クライアントゲートウェイ１６、２６は、サービスネットワークプロバイダインフラ内のエッジデバイスであり、サービスネットワーク２０によって提供される仮想エクストラネットサービス内のゲートウェイを示している。各クライアントゲートウェイ１６、２６は基本的に、例えば、ネットワークサービスおよびＸＭＬ「スタンダード」と、新規特性に対するプロキシをサポートするウェブサービスゲートウェイ機能を実行するための安全ネットワークサービスプロキシアプライアンスである。一実施形態によると、クライアントゲートウェイ１６、２６はハードウェアを使用して少なくとも部分的に実施される高パフォーマンスデバイスであり、サービスネットワークプロバイダによって展開するための埋め込みソフトウェアで本明細書に開示されるような操作に対して構成されている。クライアントゲートウェイ１６、２６の例示的な実施例を、図２を参照して以下に詳細に説明する。
【００４６】
２つのタイプのサービスプロバイダがシステム１０内に含まれていることは前述のことから明らかだろう。ネットワークサービスは、企業システム１２、２２の一方または両方によって提供される。サービスネットワーク２０は、別のサービスプロバイダによって提供される。企業システム用のネットワークサービスプロバイダはしたがって、ネットワークサービスを提供し、サービスネットワーク２０のプロバイダはネットワークサービスプロバイダに、ネットワークサービスプロバイダが（１つまたは複数の）ネットワークサービスを独自のプライベートシステムの外側にあるネットワークサービスコンシューマによる使用で利用可能にすることができるサービスのネットワークを実行する別のサービスを提供する。ネットワークサービスのプロバイダは、本明細書では基本的に、ネットワークサービスプロバイダと呼ばれ、サービスネットワーク２０のプロバイダはサービスネットワークプロバイダと呼ばれる。したがって、ネットワークサービスプロバイダは１つまたは複数のネットワークサービスを提供し、サービスネットワークプロバイダはこれらのネットワークサービスを、図では仮想エクストラネットサービスモデル内で内部で管理し、外部で提供することを可能にする。多くの実施では、サービスネットワークプロバイダはまたサービスネットワークが構築された下層通信ネットワークを所有または操作することが期待されているが、これは本発明の全ての実施形態に当てはまる必要はない。
【００４７】
ネットワークコントローラ２８は、サービスマネージャの制御平面機能性を提供し、通信ネットワークのオペレータによって展開される、ネットワーク規模のデバイス、図ではエッジルータ用の専用カードまたは専用ＸＭＬアプライアンスとして実行することができる。仮想エクストラネットサービスを管理し、仮想エクストラネット内で公開された全てのウェブサービス、ポリシー、サービス内容合意（ＳＬＡ）、他のネットワーク監視データ用の中央格納庫をホスティングし、端末間ネットワークサービスアプリケーション用のポリシーを安全化、管理、提供および記憶するのに使用される。ネットワークコントローラ２８は、クライアントゲートウェイ１６、２６と同様に、図３を参照して例示的な実施例によって、以下にさらに詳細に説明する。
【００４８】
データトラフィックは、クライアントゲートウェイ１６、２６、および全体を１８で示すデータスイッチおよび／またはルーティング機器を通してサービスネットワーク２０を横切る。制御／管理トラフィックはネットワークコントローラ２８によって処理され、データトラフィックはクライアントゲートウェイ１６、２６によって、そこからスイッチ／ルーティングコンポーネント１８によって処理される。
【００４９】
サービスネットワーク２０は、仮想エクストラネットアーキテクチャとして実行することができる。一実施形態では、仮想エクストラネットは、例えば供給者（サプライヤ）、製造供給者（ベンダ）、パートナ、消費者、または他の企業を含む多数の企業と企業の情報または事業の一部を安全に共有するように、例えばインターネット技術および下位レイヤ１、２、３および４技術を使用するプライベート管理サービスネットワークの一種として、基本ネットワークプロバイダインフラ上に構築されたアプリケーションオーバーレイネットワークを示している。
【００５０】
オーバーレイネットワークはこの場合、ＸＭＬルータデバイスで示される、レイヤ１または２転送、ＩＰルーティングおよび／またはアプリケーションレベルルーティングを使用して実行することができる仮想ネットワークファブリックを示している。仮想エクストラネットネットワークは、同期通信、例えばＲＥＱＵＥＳＴ／ＲＥＳＰＯＮＳＥ、および非同期通信に対する接続性および機構を提供することができる。
【００５１】
サービスネットワーク２０、２３の仮想ネットワーク内のアプリケーションレベルオーバーレイは、ＸＭＬルータなどのアプリケーションレベルルータを使用して実施することができる。アプリケーションレベルルータは、下層通常ネットワーク機器を使用してだが、互いにおよびアプリケーションレイヤでのクライアントゲートウェイと通信する。オーバーレイネットワークは普通、信頼性のあるマルチキャストを実行するように、伝送制御プロトコル（ＴＣＰ）などの信頼性のあるポイント間バイトストリームを使用する。サービスネットワーク２０をオーバーレイとして構築することにより、サービスネットワーク２０を従来のプライベートネットワークサービス共有技術と比べて比較的簡単に変更および展開することが可能である。オーバーレイサービスネットワークはまた、ＸＭＬパケットを効果的にルーティングすることができるロバストメッシュを構築する効果的な方法である。
【００５２】
本発明が属する技術分野の当業者は、アプリケーションレイヤネットワークをオーバーレイすることができる多くの異なるタイプの通信ネットワークに詳しいだろう。本発明は、いかなる方法でもあらゆる特定のタイプの下層通信ネットワークに限るものではない。
【００５３】
また、本発明の実施形態はオーバーレイネットワークの代わりに、より下位レイヤの技術を使用して実施することができることを理解すべきである。オーバーレイネットワークアーキテクチャは、サービスネットワーク２０の可能な実施の一例である。
【００５４】
操作中、サービスネットワーク２０は企業システム１２、２２のいずれか一方によって提供されるネットワークサービスを、他の企業システム内のユーザ、およびモバイルエンドユーザシステム１３などのサービスネットワーク２０の他のメンバとアクセス可能にすることを可能にする。サービスネットワーク２０によって実行されるサービスは、それぞれ通信プロトコルおよび管理機能をサポートする、２つの個別のタイプのネットワーク要素、クライアントゲートウェイ１６、２６およびネットワークコントローラ２８によってサポートされる。
【００５５】
サービスネットワーク２０のフレームワークは、通信プロトコル、サービス記述、およびサービスディスカバリを含む３つの領域に分割することができる。一実施形態では、サービスネットワーク２０は、これらの領域のそれぞれに対して開発された既存のスタンダードおよび仕様を使用する。
【００５６】
例えば、通信プロトコルの領域では、ＳＯＡＰはウェブクライアントとウェブサーバアプリケーションの間でウェブサービスメッセージをトランスポートするのに使用することができる１つの標準プロトコルである。ＳＯＡＰはまた、使用されているルーティングおよびセキュリティ機構に関する追加情報の伝送を行う。
【００５７】
ウェブサービス記述言語（ＷＳＤＬ）は、ウェブサービスメッセージの記述を行い、ネットワークサービス技術に対する標準化された解決法の実施例を示すＸＭＬベース言語である。
【００５８】
これらのウェブサービスプロトコル（ＳＯＡＰおよびＷＳＤＬ）は、カスタムコードを必要とすることなく、あらゆるプラットフォーム上のあらゆるところで機能性をバインドおよび実行する能力およびメッセージング機器を提供する。
【００５９】
１つのよく知られているサービスディスカバリ機構は、ユニバーサルディスクリプションディスカバリアンドインテグレーション（ＵＤＤＩ）である。ＵＤＤＩは、企業およびアプリケーションが、インターネット上でウェブサービスをすばやく見つけることを可能にし、操作レジストリを維持することを可能にする。異なる企業からのＵＤＤＩリスト利用可能ウェブサービスは、その記述、ロケーション、サービス記述、関連するアクセスリストおよびセキュリティレベルを与える。
【００６０】
本明細書で言及され、本発明の実施形態を実施するのに使用することができる他のウェブサービス基準は、信頼性のあるメッセージング（ＷＳ信頼性）、ポリシー（ＷＳポリシー）、およびフェデレーション識別（ＷＳフェデレーション）に関する標準を含んでいる。
【００６１】
上記仕様および基準がよく知られているが、本発明の実施形態によればサービスのネットワークを提供するこれらの基準の使用は知られていない。
【００６２】
上に簡単に説明したように、クライアントゲートウェイ１６、２６は、サービスネットワーク２０によって提供された仮想エクストラネットサービスのクライアント用のサービス運搬ポイントである。クライアントゲートウェイ１６、２６はまた、プライベートエクストラネットサービスへの安全なアクセスを提供して、図１のサービスのプロバイダおよびクライアントの両方、企業システム１２、２２、およびモバイルエンドユーザシステム１３を保護する。
【００６３】
サービスネットワーク２０を通したクライアントゲートウェイ１６、２６間の通信は、安全であることが好ましい。ＷＳセキュリティ、ＸＭＬ暗号化、およびＸＭＬ署名などの標準ベースセキュリティ技術を使用して、企業システム１２、２２、および場合によってはモバイルエンドユーザシステム１３に対して普通は既に確立された現行の企業入口および出口証明書を活用しながら、安全通信を提供することができる。これらの標準ベース技術と、当業者に自明である他の技術は、企業システム１２、２２内の認証されたサービスコンシューマ、およびモバイルエンドユーザシステム１３が仮想エクストラネットサービスネットワーク２０に参加することができることを保証する。
【００６４】
クライアントゲートウェイ１６、２６はまた、入ってくる通信トラフィックデータを、ネットワークコントローラ２８に転送される制御トラフィック、およびコンポーネント１８を通して宛先に向かって転送されるデータトラフィックに分類および分割する。
【００６５】
普通、ウェブサービスアプリケーションなどのネットワークサービスの潜在的コンシューマは、存在すると知られているネットワークサービスの使用を行うことしかできない。したがって、ネットワークサービスプロバイダが潜在的コンシューマに対するネットワークサービスの存在と通信することが望ましい。これは、例えばレジストリに対してネットワークサービスを公開することによって達成することができる。図１のシステム１０では、クライアントゲートウェイ１６、２６により、企業システム１２、２２がサービスネットワーク２０に対してそれぞれの内部ネットワークウェブサービスを公開することを可能にする。クライアントゲートウェイ１６、２６はまた、企業システム１２、２２およびモバイルエンドユーザシステム１３が、サービスネットワーク２０の他のメンバによって提供された外部ネットワークサービスを消費することを可能にする。
【００６６】
本明細書にさらに詳細に開示するように、企業システム１２、２２によって提供されたサービスがサービスネットワーク２０の他のメンバに利用可能にされる範囲は、クライアントゲートウェイ１２、２２およびネットワークコントローラ２８によって制御することができる。
【００６７】
ネットワークサービスプロバイダはしたがって、サービスネットワーク２０の他のメンバによる使用のためにサービスネットワーク２０に対して内部ネットワークサービスを公開することができる。多くの実施では、サービスネットワーク２０および各企業システム１２、２２は、安全プライベートネットワークであることが期待され、接続１４、１５、２４上の通信も安全である。これは、安全トンネル技術を使用して達成することができ、その例は当業者にはすぐに分かるだろう。クライアントゲートウェイ１６、２６のアクセスおよびネットワーク側の両方での安全通信は、サービスネットワーク２０のメンバに利用可能なプライベートネットワークサービスがサービスネットワーク２０のメンバによってのみ提供され、サービスネットワーク２０のメンバによって消費することしかできない安全レベルを提供する。
【００６８】
ネットワークサービスプロバイダおよびコンシューマによるサービスネットワーク２０との通信が、クライアントゲートウェイ１６、２６を横切るので、クライアントゲートウェイ１６、２６はまた、例えば規則およびポリシーコンプライアンスを維持するために、ローカルでおよび／またはネットワークコントローラ２８によって使用することができる包括的監査記録を捕捉することができる。監査記録はまた、あるいは代わりに、コンシューマに対するサービスチャージを認めるためのマイクロ請求書作成能力を有する請求書作成システムなどの他のコンポーネントまたはシステムによって使用することができる。
【００６９】
ネットワークコントローラ２８は、サービスネットワーク２０に対して中央制御平面機能を与え、したがって、ネットワークサービスグローバル格納庫を維持する主な責任を有するネットワークサービスマネージャの機能性を実施する。クライアントゲートウェイ１６、２６と同様に、ネットワークコントローラ２８は、サービスネットワークプロバイダによる展開のために標準ベースソフトウェアを備えた高パフォーマンスハードウェアベースデバイスとして実施することができる。ネットワークコントローラ２８は、端末間ネットワークサービスアプリケーション用ポリシーを保護、管理、提供、および施行するために、また利用可能なネットワークサービスのリストを表示および管理するために、サービスネットワーク２０の仮想エクストラネットサービスを管理するために使用される。ネットワークコントローラ２８はサービスネットワーク管理実体であり、クライアントゲートウェイ１６、２６は実際のデータに関するポリシーおよびセキュリティ規則を施行する。データトラフィックは、クライアントゲートウェイ１６、２６を通して図１に１８で示すプロバイダのコアネットワークを横切り、ネットワークコントローラ２８は制御および管理トラフィックを処理する。
【００７０】
ネットワークコントローラ２８は、ロケーション、所有権、アクセスレベルグループ、サービスリスト、およびネットワークサービスの他の基本的特徴などの情報のネットワークウェブサービス記憶および管理、中央ポリシー格納庫および権利管理、セキュリティ仕様、例えばエンドビジネス間トランザクションに適切な難しいサービス品質（ＱｏＳ）要件などのＳＬＡ要件、およびクライアントプロファイル、トランザクション監査サービス、ログなどのものに対する追加の格納庫を含む、コア機能の少なくともサブセットを実施することが好ましい。
【００７１】
端末間トランザクションセキュリティ、メッセージトランスポートの信頼性、および識別管理を提供することができるように、ネットワークサービスプロバイダおよびサービスネットワークプロバイダは通常、１セットの組み合わせた管理機能を提供するように中間グラウンド上で接触しなければならないだろう。ネットワークコントローラ２８は、クライアントゲートウェイ１６、２６と合わせて、サービスネットワーク２０のエッジで同じ機能を提供する標準ベースプロキシモジュールを備えた各企業のプライベート管理方法およびツールに代えることによって、企業システム１２、２２の負担を取ることができる。
【００７２】
ネットワークコントローラ２８はまた、ローカル企業アプリケーションを識別プロバイダサービス、ＸＭＬデジタル署名検証サービス、ＸＭＬスキーマインテグリティなどの特定のセキュリティ態様を提供することから解放することによって、いくつかのセキュリティ機能をエクストラネットに委任することを可能にすることもできる。仮想エクストラネットサービスを使用することによって、企業内および間のアプリケーションインテグレーションはより簡単および効率的になり、エンドコンシューマビジネスアプリケーションはより見えるようになり、企業システムへのパートナの追加に関連する費用および複雑性が少なくなる。
【００７３】
ネットワークコントローラ２８はまた、サービスネットワーク２０の全てまたは選択したメンバへサービスネットワーク２０内の内部ネットワークサービスのリストを安全に提供する手続きを管理する。
【００７４】
クライアントゲートウェイ１６、２６およびネットワークコントローラ２８の操作を、図２および３を参照して以下にさらに詳細に説明する。
【００７５】
クライアントゲートウェイ１６、２６を最初に考えると、図２は例示的クライアントゲートウェイのブロック図である。クライアントゲートウェイ３０は、サービスネットワークインターフェイス３２と、アクセスネットワークインターフェイス３４と、インターフェイス３２、３４およびメモリ３７に動作可能に結合されたポリシー施行モジュール３６と、ポリシー施行モジュール３６およびメモリ３７に動作可能に結合されたセキュリティモジュール３８と、インターフェイス３２、３４、ポリシー施行モジュール３６、セキュリティモジュール３８、およびメモリ３７に動作可能に結合されたＳＯＡＰプロキシモジュール４２と、ＳＯＡＰプロキシモジュール４２およびメモリ３７に動作可能に結合されたデータコレクタモジュール４０と、ポリシー施行モジュール３６、セキュリティモジュール３８、ＳＯＡＰプロキシモジュール４２、およびアクセスネットワークインターフェイス３４に動作可能に結合されたＵＤＤＩプロキシモジュール４１と、ポリシー施行モジュール３６、セキュリティモジュール３８、およびＳＯＡＰプロキシモジュール４２に動作可能に結合されたサービス処理モジュール４３と、サービス処理モジュール４２、サービスネットワークインターフェイス３２、およびアクセスネットワークインターフェイス３４に動作可能に結合された転送／ルーティングモジュール４４とを備えている。このような接続は混乱を避けるために図２に明示的には示していないが、クライアントゲートウェイ３０の他のコンポーネントのいずれかまたは全てを、メモリ３７および／またはデータコレクタモジュール４０に動作可能に結合することができることを理解すべきである。
【００７６】
アクセスネットワークインターフェイス３４は、これを通してクライアントゲートウェイ３０が企業システム、または他の形のネットワークサービスプロバイダまたはコンシューマに接続するリモートアクセスポイントを示している。図２ではアクセスネットワークインターフェイスとして示されているが、ネットワークサービスプロバイダおよびコンシューマは、必ずしもネットワーク接続によりクライアントゲートウェイと通信する必要はない。したがって、インターフェイス３４は、厳密にネットワーク接続であってもなくてもよい、アクセス接続を通してサービスネットワークのメンバにインターフェイスを提供することを理解すべきである。
【００７７】
アクセスネットワークインターフェイス３４の構造および操作は、クライアントゲートウェイ３０がそのクライアントと通信する接続のタイプに左右される。普通、アクセスネットワークインターフェイス３４は、通信媒体と通信信号を交換する物理的コンポーネントと、通信信号を生成および処理するハードウェアおよび／またはソフトウェア実行コンポーネントとを備えている。このようなインターフェイスの様々な実施形態は当業者には自明のことであろう。
【００７８】
一実施形態によれば、アクセスネットワークインターフェイス３４は、サービスネットワーク２０内に接続しようとするクライアントに対するセキュリティトンネル終端を行う（図１）。仮想ローカルエリアネットワーク（ＶＬＡＮ）トンネル、ポイントツーポイントプロトコル（ＰＰＰ）、マルチプロトコルラベルスイッチング（ＭＰＬＳ）、およびＩＰセキュリティ（ＩＰＳｅｃ）は全て、クライアントと通信するためにアクセスネットワークインターフェイス３４によって使用することができるプロトコルの例である。他のプロトコルおよび通信スキームは、当業者に自明のことであろう。
【００７９】
メモリ３７は、情報を記憶するための、固体メモリデバイスなどの１つまたは複数のメモリデバイスを備えることができる。移動可能および／または取外可能記憶媒体と合わせて使用するメモリデバイス、および異なるタイプの多数のメモリデバイスを含む他のタイプのメモリデバイスはまた、メモリ３７として提供することができる。クライアントゲートウェイ３０内でメモリ３７として実行される１つまたは複数のメモリデバイスのタイプは、設計の問題であり、クライアントゲートウェイ３０が中で実行される機器の特定のタイプに左右される。例えば通信機器用回路カードは通常、メモリ３７などの揮発性または不揮発性固体メモリデバイスである。
【００８０】
本明細書を読み進めるとともに明らかになるように、メモリ３７内に記憶された情報は、それぞれの機能を行う際にクライアントゲートウェイ３０の機能コンポーネントによって使用することができる。機能コンポーネント３６、３８、４０、４１、４２、４３、４４のいずれかまたは全ては、メモリ３７内に記憶された情報にアクセスすることができる。同様に、混乱を避けるために図２にはメモリ３７とインターフェイス３２、３４の間の接続が示されていないので、これらのインターフェイスまたはその内部コンポーネントはまたメモリ３７と相互作用することができる。
【００８１】
機能コンポーネント３６、３８、４０、４１、４２、４３、４４のいくつかまたは全てと、インターフェイス３２、３４の内部機能またはコンポーネントは、メモリ３７内に記憶することもできるソフトウェアとして実行することができる。
【００８２】
図２のコンポーネント間の内部接続の形は、クライアントゲートウェイ３０が実施される、特定のタイプの機器に左右される。例えば内部バス構造はしばしば、電子デバイス内で使用されるが、他のタイプの接続を内部バスに加えて、またはその代わりに使用することができる。また、相互接続は例えばソフトウェアベース実行の場合と同様に、必ずしも物理媒体を介してである必要はないことを理解すべきである。
【００８３】
クライアントゲートウェイ３０のサービスネットワーク機能を実行する機能コンポーネントは、図２のアクセス側機能よりいくらか詳細に示されている。というのは、本発明の実施形態は基本的に、アクセスネットワークインターフェイス３４のサービスネットワーク側で行われる機能に関するからである。例えば、アクセスネットワークインターフェイス３４はアクセス接続に対するセキュリティ機能を提供するが、ネットワーク側セキュリティ機能を提供するセキュリティモジュール３８が、図２のサービスネットワークインターフェイス３２とは別に示されている。他のネットワーク側機能コンポーネントは同様に、図示する目的で、図２に別に示されている。
【００８４】
クライアントゲートウェイ３０内の別個の機能コンポーネントのこの図示は、本発明を制限することを意図したものではない。クライアントゲートウェイのネットワーク側機能は、場合によっては異なる相互接続で、図２に明示的に示すのよりさらに多いまたは少ないコンポーネントを使用して実施することができる。例えば、ポリシー施行モジュール３６の機能は、ポリシーを適用する各コンポーネント内に組み込むことができる。セキュリティポリシーは、例えば、セキュリティモジュール３８によって管理も適用もできる。
【００８５】
ソフトウェアベースの実施形態では、機能はそれぞれのソフトウェアモジュール内で実施する、または単一のハードウェアコンポーネント、すなわちマイクロプロセッサなどのプロセッサ、特定用途向け集積回路（ＡＳＩＣ）、デジタルシグナルプロセッサ（ＤＳＰ）、またはマイクロコントローラによる実行のためにより少ないソフトウェアモジュール内に組み込むことができる。ソフトウェアは代わりに、例えば、多数のハードウェアコンポーネント、マイクロプロセッサ、およびＤＳＰ、またはネットワークプロセッサプラスいくつかのＡＳＩＣおよびＦＰＧＡによって実行することができる。一部の機能がソフトウェア内で実行され、その他がソフトウェアよりも速く動作する傾向があるハードウェア内で実行される組合せた実行も考えられる。
【００８６】
したがって、機能は図２に示すのとは異なる方法で分割または統合することができ、本明細書に記載した機能モジュールのいずれかをソフトウェア、ハードウェア、またはそのいくつかの組合せで実行することができる。
【００８７】
ポリシー施行モジュール３６は、クライアントプロファイル内のサービスネットワーククライアントによって構成され、ネットワークコントローラ２８に対するそのサービスの記述内で公表されるようなネットワークサービスに対するサービスネットワークポリシー施行を実施する。
【００８８】
従来の要件を特定するポリシーアサーション、および例えば、特定のカスタマおよび／またはトランスポートプロトコル選択に必要な認証スキームなどの、ワイヤ上で最終的に明らかになる能力は、クライアントゲートウェイ内で実施される。したがって、これらのポリシーアサーションは、ネットワークコントローラからクライアントゲートウェイ内にダウンロードされ、ポリシー施行モジュール３６によって施行される。
【００８９】
ネットワークサービスプロバイダおよびコンシューマの認証および許可、ネットワークサービスを必要とし、ネットワークサービスに関連する通信トラフィックのプライバシーおよびインテグリティを保証するトランザクションの管理および実証は、他のコンポーネントと合わせてポリシー施行モジュール３６によってポリシーを施行する際に必要とされる可能性がある機能の例である。ポリシー施行モジュール３６は、例えばメッセージデジタル署名を実証することなどによる認証のために、セキュリティモジュール３８と相互作用することができる。したがって、セキュリティポリシーの施行は、ポリシーを管理するポリシー施行モジュール３６、およびクライアントを認証し、例えば場合によっては通信トラフィックを通過させるまたは落とすことによってポリシーを実際に適用するセキュリティモジュール３８の両方を必要とする可能性がある。
【００９０】
したがって、ポリシー施行モジュール３６自体は実際、施行のために管理するポリシーを適用する必要がないことを理解すべきである。ポリシーをサービスネットワーククライアントおよびトランザクションに適用させるためのポリシー施行モジュール３６および他のコンポーネントの間の相互作用は、本明細書を読み進めるとともに明らかになるだろう。
【００９１】
クライアントゲートウェイ３０でのポリシー施行モジュール３６により、現在の企業中心ネットワークサービスで起こるような各特定ネットワークウェブサービスではなく、仮想エクストラネットサービスでのクライアント認証が行われる。アクセスネットワークインターフェイス３４がこれによって通信するネットワークサービスプロバイダシステム内のネットワークサービスコンシューマは、クライアントゲートウェイ３０のクライアントであり、クライアントゲートウェイ３０での単一のサインオンによるサービスネットワークにわたってネットワークサービスへのアクセスを得る。クライアントゲートウェイ３０はしたがって、そのクライアントからサービス毎認証負担を取り除く。クライアント認証で使用される情報は、メモリ３７、好ましくは安全メモリデバイスまたは領域内に記憶することができる１つのタイプの情報の例である。
【００９２】
クライアントＸＭＬデジタル署名が存在しない場合では、ポリシー施行モジュール３６は、セキュリティアサーションの点でエンドネットワークサービスが期待するものによりセキュリティアサーションを生成するように、セキュリティモジュール３８と協働することができる。新規のセキュリティアサーションは、クライアントの認証、およびメッセージのインテグリティをアサートするようにサービスメッセージに取り付けられる。
【００９３】
クライアントの識別「優先」が存在するが、ネットワークサービスの「優先」とは異なる場合、ポリシー施行モジュール３６は、特定のデジタル認証、図ではＸ．５０９認証をセキュリティアサーションマークアップ言語（ＳＡＭＬ）アサーションなどの異なるセキュリティアサーション内にマッピングするように、セキュリティモジュール３８と協働することができる。
【００９４】
ＳＡＭＬ、ＷＳ−Ｆｅｄｅｒａｔｉｏｎ、およびＷＳ−Ｔｒｕｓｔなどの標準により描かれる知られている機構は、これらの機能に使用されることが好ましい。
【００９５】
一実施形態では、ポリシー施行モジュール３６は、フェデレーション識別のハードウェア実施、アクセス制御、およびネットワークコントローラ２８を使用して前もってセットアップされたポリシーの施行を提供する（図１）。フェデレーション識別はユーザが、ユーザ識別を生成および認証し、その後、個人情報を中心記憶することなくドメインとサービスプロバイダの間の識別を共有することが可能になる。
【００９６】
ウェブサービス操作に対して調整されたＳＬＡはまた、クライアントゲートウェイ３０がこれを通してそのクライアントおよびサービスネットワークと通信するアクセス側およびネットワーク側通信リンクのいずれかまたは両方の定位置にあってもよい。ポリシー施行モジュール３６はまた、メモリ３７内に記憶することができる、ＳＬＡ関連パラメータを施行するように通信トラフィックレベルを監視することができる。
【００９７】
上に簡単に説明したように、本発明の実施形態による仮想エクストラネットサービスネットワークはＸＭＬ基準ベースであり、したがってポリシー施行モジュール３６は、以下に説明するサービス処理モジュール４３と合わせて、アクセスネットワークインターフェイス３４を通してクライアントゲートウェイ３０のクライアントから受けた入口データトラフィックに対してＸＭＬメッセージヘッダおよびメッセージペイロード変換を施行することもできる。変換はまた、他のメッセージフォーマットからＸＭＬ基準ベースネットワークサービスメッセージ内に行うことができる。逆変換と、アクセスネットワークおよびサービスネットワーク内で使用された非ＸＭＬフォーマット間の変換も考えられる。
【００９８】
セキュリティモジュール３８は、サービスネットワーク上の通信のセキュリティを保証するようにセキュリティ基準を実行する。いくつかの実施形態では、セキュリティモジュール３８は、ＷＳセキュリティ、ＸＭＬ暗号化／記述、およびＸＭＬ署名などのウェブサービス基準ベースツールを使用してサービスネットワークメンバー間の安全なデータ経路を提供する。これらのツールにより、クライアントゲートウェイ３０は既存のセキュリティプロトコルを利用することが可能であり、許可されたサービスコンシューマが端末間プライベートビジネスネットワークに参加することができることを保証することができる。セキュリティモジュール３８はしたがって、いくつかの実施形態では、コアエクストラネットサービスを凌ぐ改良のために中央認証およびキー管理サービスを示す。セキュリティモジュール３８は、クライアントゲートウェイ３０の全ての他のモジュール、特に、ポリシー施行モジュール３６、ＵＤＤＩプロキシモジュール４１、ＳＯＡＰプロキシモジュール４２、サービス処理モジュール４３、および両方のネットワークインターフェイス３２、３４にセキュリティ機能を与える。これらの機能は、遠隔通信セキュリティの分野でよく知られているプロトコルを使用した、署名の実証、暗号化、復号化、署名、および対称または非対称キーの交換のいずれかまたは全てを含むことができる。
【００９９】
ＳＯＡＰプロキシモジュール４２は、クライアントとサービスネットワークの間のメッセージの流入出のためのＳＯＡＰヘッダ処理を行う。ＳＯＡＰプロキシモジュール４２は、２つのネットワークインターフェイス、アクセスネットワーク３４のインターフェイス、およびサービスネットワークインターフェイス３２内に２つのサービスアドレスを有するホストである。アクセスネットワーク内のクライアントに関する限り、サービスネットワークによってクライアントに公表された全てのサービスは、ＳＯＡＰプロキシモジュール４２から提供されると思われる。
【０１００】
２つの接続されたネットワークのいずれかからのメッセージは、ＳＯＡＰプロキシモジュール４２にアドレス指定され、このモジュールは、ＳＯＡＰメッセージを受け、ヘッダ処理などの機能および変更を行い、メッセージを適切な処理機器、ＵＤＤＩプロキシモジュール４１、またはサービス処理モジュール４３に中継する。また、ＵＤＤＩプロキシモジュール４１およびサービス処理モジュール４３からのメッセージは、ＳＯＡＰプロキシモジュール４２に送信される。ＵＤＤＩプロキシモジュール４１、またはサービス処理モジュールから受信されたメッセージは、例えば情報を処理するユニフォームリソースアイデンティファイア（ＵＲＩ）を加えるように、ＳＯＡＰプロキシモジュール４２によって処理することができる。ＳＯＡＰプロキシモジュール４２はまた、流出するメッセージ上でネットワークサービスポリシーを実施するようにポリシー施行モジュール３６およびセキュリティモジュール３８と相互作用し、その後、適切なインターフェイス上にメッセージを送信する。ポリシー施行、セキュリティ、アクセス制御、監査、およびクライアントゲートウェイ３０の他のモジュールに関連する他の機能はしたがって、各メッセージに対してＳＯＡＰプロキシモジュール４２によってトリガすることができる。
【０１０１】
ＳＯＡＰプロキシモジュール４２の操作を例示するために、以下の例示的な実施例が考えられる。１つの企業ＥＢによって別の企業ＥＡに提供されるサービスは、クライアントゲートウェイのＳＯＡＰプロキシモジュールＳＰＡのＵＲＩから提供されているように見えるように、ＥＡに関連するクライアントゲートウェイによってプロキシ化される。企業ＥＢによって提供されるサービスに対する企業ＥＡからのサービス要求は、１組の機能を適用し、サービス処理モジュール４３にメッセージを通過させる、ＳＯＡＰプロキシモジュールＳＰＡに送信される。サービス要求を処理する際、サービス処理モジュール４３は、それぞれＳＯＡＰソースおよび宛先ＵＲＩ ＳＰＡおよびＳＰＢを加える、ＳＯＡＰプロキシモジュールにメッセージを通過させ、ＳＰＢは企業ＥＢのクライアントゲートウェイに関連するＳＯＡＰプロキシモジュールである。要求はその後、ＳＰＡからＳＰＢに送信される。
【０１０２】
ＳＯＡＰプロキシモジュールＳＰＢはさらに、ＳＯＡＰソースを操作し、要求を企業ＥＢに転送する前にＳＰＢおよびＥＢにメッセージのＵＲＩをアドレス指定する。逆の方向では、同様の変更がレスポンスに適用される。ＳＯＡＰ ＵＲＩは、サービスＵＲＩ、およびそのサービスに関連するゲートウェイのＳＯＡＰプロキシの両方を記憶するように操作される。
【０１０３】
ＳＯＡＰプロキシモジュール４２は、流入するトラフィックを、ＵＤＤＩプロキシモジュール４１に転送されるＵＤＤＩ制御トラフィック、およびサービス処理モジュールに転送されるデータトラフィック、図ではＸＭＬトラフィックに分類および分割する。トラフィック分類は、例えば深いパケット検査を必要とする可能性がある。
【０１０４】
混乱を避けるために図２には明示的には示さないが、ＳＯＡＰプロキシモジュール４２のトラフィック分類子は、ネットワークコントローラでの制御および／または管理トラフィックの交換を行うように、サービスネットワークインターフェイス３２、またはネットワークコントローラとの通信をサポートする別のインターフェイスに動作可能に結合することができる。ＳＯＡＰプロキシモジュール４２は制御および／または管理トラフィックをネットワークコントローラから受けることができることも、また理解されるべきである。
【０１０５】
ＵＤＤＩプロキシモジュール４１は、新規のウェブサービスを公開する、または既存のウェブサービスの公開された変更にサブスクライブしようとするクライアントから受けた全てのＵＤＤＩ公開要求に対して、サービスエクストラネットネットワークによってホスト化されたＵＤＤＩ中央格納庫内のアクセスポイントとして、また「ファインドサービス」操作を開始するクライアントから受けた全てのＵＤＤＩ照会要求に対して、プロキシモジュールとして働く。ネットワークサービスへのクライアントアクセスは、本明細書で開示されるように、ネットワークサービスポリシーにより制御される。これらのポリシーは、情報がファインドサービスまたはアナログ操作に応じて、クライアントシステムに戻されるネットワークサービスを制限するように、ポリシー施行モジュール３６自体によって、またはＵＤＤＩプロキシモジュール４１と合わせて施行することができる。
【０１０６】
ＵＤＤＩプロキシモジュール４１は、入口ＵＤＤＩベースメッセージを期待する。ＵＤＤＩフレームではない全ての他のメッセージは、ＵＤＤＩプロキシモジュール４１によって処分することができる。
【０１０７】
ＵＤＤＩプロキシモジュール４１は、クライアントゲートウェイレベルでローカルでＵＤＤＩエントリをキャッシュすることができる。これにより、ＵＤＤＩプロキシモジュール４１が、新規ＵＤＤＩ照会要求を受けた場合に、ローカルエントリルックアップおよび解決を行うことが可能になる。ＵＤＤＩエントリがローカルで見つかる場合、その後ＵＤＤＩレスポンスメッセージが生成され、サービスを要求するクライアントに向かって送信し戻される。
【０１０８】
ＵＤＤＩエントリがローカルで見つからない場合、その後、ＵＤＤＩグローバル格納庫内へのグローバルルックアップに対して、ＵＤＤＩ照会メッセージはネットワークコントローラに送信される。エントリはネットワークコントローラによって解決されると、ＵＤＤＩレスポンスは要求が来た同じクライアントゲートウェイに送り戻される。クライアントゲートウェイ３０は、別のＵＤＤＩルックアップ用のＵＤＤＩ情報を習得および記憶することができる。
【０１０９】
したがって、ＵＤＤＩプロキシモジュール４１は、サービス要求のローカルおよびリモート解決を処理することができる。
【０１１０】
サービス処理モジュール４３は、ＳＯＡＰプロキシモジュール４２からサービスメッセージを受け、サービスメッセージを処理し、サービスメッセージをＳＯＡＰプロキシモジュール４２に送信する。サービス処理モジュール４３の１つの一次機能は、ネットワークサービスに関連し、ネットワークサービスプロバイダとコンシューマの間で交換されているデータトラフィックを処理することである。一実施形態では例えば、ＳＯＡＰプロキシモジュール４２を通してアクセスネットワークから来るサービスメッセージは、サービスネットワークアドレス指定およびフォーマット化規則にそれを適応させるようにメッセージを解析および変更する、サービス処理モジュール４３に送信される。フォーマット化規則は、例えば、ポリシー施行モジュール３６によって管理されるサービスネットワーク変換ポリシー内で特定することができる。サービス処理モジュール４３はその後、対応するサービスメッセージをネットワークサービスプロバイダに関連するクライアントゲートウェイにＳＯＡＰプロキシモジュールを通して、サービスネットワークにわたって送信する。
【０１１１】
転送／ルーティングモジュール４４は、サービスネットワーク内の宛先に向けて、転送／ルーティング決定（レイヤ１またはレイヤ２転送、ＩＰおよび／またはＸＭＬルーティング）を行うことが好ましい。このモジュール４４は、ＩＰトラフィックを処理し、必要に応じてＤＮＳルックアップを完備し、ＸＭＬレベルでのネットワーキングを行う能力を有する可能性があるが、他の実施形態は１つだけの、異なる、または場合によっては追加のルーティング機構を提供することができる。
【０１１２】
アプリケーションレイヤルーティングが行われる場合、モジュール４４の基本機能は、サービス処理モジュール４３にコンテンツベースルーティングを行うことである。サービス処理モジュール４３は、公開されたメッセージに対してＳＯＡＰ端点を識別するのに、転送／ルーティングモジュール４４を使用することができる。ＳＯＡＰプロキシモジュール４２、サービス処理モジュール４３、および転送／ルーティングモジュール４４の例示的な実施形態は、公開サブスクライブ式ネットワーク用の必要な機構を提供する。
【０１１３】
転送／ルーティングモジュール４４のアプリケーションルーティングレイヤは任意であり、通知およびイベント分配タイプサービスをサポートするのによく適している。一実施形態では、アプリケーションルーティングレイヤは、サブスクリプションデータベース内にクライアントサブスクリプションを記憶し、サブスクリプションデータベース内の１式のエントリに一致するＸＭＬマルチキャストドキュメントを受ける際に、ドキュメントを必要とする次のＳＯＡＰ端点を識別するようにこれらのエントリを使用し、ＳＯＡＰプロキシモジュール４２を通してこれらの端点にドキュメントを転送する。ドキュメントのサブスクリプション、およびドキュメントの公開は、ＷＳ−ＮｏｔｉｆｉｃａｔｉｏｎおよびＷＳ−Ｅｖｅｎｔｉｎｇ推奨でアウトライン化された標準化機構にしたがう。
【０１１４】
サービスネットワークインターフェイス３２は、少なくとも物理的インターフェイスをサービスネットワークに提供する。サービスネットワークインターフェイス３２のタイプおよび構造、およびサービスネットワークで交換された通知トラフィックで行うことができる他の操作は、サービスネットワーク依存である。このようなネットワークインターフェイスの多くの実施例は、当業者には自明のことであろう。
【０１１５】
データコレクタモジュール４０は、次の記憶および処理のために、ネットワークコントローラまたは他のコンポーネントにローカル処理および／または転送することができるリアルタイム管理および請求書作成情報を集める。
【０１１６】
全ての操作が、ポリシー施行モジュール３６、およびセキュリティモジュール３８内のセキュリティ施行ポイントで首尾よく実行されると、安全なクライアント識別およびメッセージインテグリティをサービスエクストラネットワーク内で保証することができる。
【０１１７】
このポイントで、データコレクタモジュール４０は様々な管理および請求書作成操作に対してリアルタイム情報をプルすることができる。データは、トランザクション監査、パフォーマンス監査、イベント監視、トランザクション端末間ビジネスアクティビティ監視（トランザクション完了／失敗）、アクティビティログ、ＳＬＡ監視、注意およびエラー閾値、警告などのアクティビティに対して集めることができる。データコレクタ４０は、処分ポリシーなどの上で統計をコンパイルするポリシー施行レベルで、セキュリティポリシー毎に処分されるパケットを数えるためにセキュリティモジュール３８の後などに、データパス内の様々なステージのいずれかで情報を収集することができる。
【０１１８】
図２に示すようなクライアントゲートウェイは、ネットワークサービスプロバイダがローカルサービスなどのサービスネットワーク内にサービスを提供することを可能にし、ネットワークサービスコンシューマがサービスネットワーク内で利用可能なネットワークサービスを使用することを可能にする、またはその両方のように構成することができる。クライアントゲートウェイ３０のクライアント企業は、企業アプリケーションサーバの形のネットワークサービスプロバイダと、エンドユーザサービスコンシューマの両方を含むことができる。
【０１１９】
クライアントゲートウェイ３０のクライアントがクライアントゲートウェイ３０で認証され、そのネットワークサービスをサービスネットワーク内に提供したいと望む場合、クライアントから、図ではアクセスネットワークインターフェイス３４で終端する安全トンネルを通して受ける制御トラフィックは、上記のように処理され、サービスネットワーク内でネットワークコントローラに転送される。
【０１２０】
サービスネットワーク内のネットワークサービスのアベラビリティのレベルは、ネットワークサービスプロバイダ、またはネットワークコントローラによって特定される明示アクセス制御規則に基づき決めることができる。ネットワークサービスプロバイダは、独自のプライベート企業システム内のコンシューマによってのみ使用するためにネットワークサービスがプライベートであることを要求することができる。サービスネットワークの他のメンバにアクセス可能ではないが、サービスネットワーク内でのプライベートネットワークサービスへのアクセスを制限することにより、ネットワークサービスプロバイダが、例えばポリシー施行およびレジストリホスティングを含む、サービスネットワークの他の機能を利用することが可能になる。ネットワークサービスプロバイダが、ネットワークサービスが利用可能にされる特定のサービスネットワークメンバまたはグループを特定する、セミプライベートネットワークサービスも想像される。制限されていないネットワークサービスは、サービスネットワークの全てのメンバにアクセス可能である。
【０１２１】
所定のネットワークサービスアクセス制御は代わりに、ネットワークコントローラで構成し、ネットワークサービスまたはネットワークサービスのプロバイダのタイプまたはクラスによりネットワークサービスに適用することができる。特定のタイプの、または特定のネットワークサービスプロバイダクラスからの全てのネットワークサービスは、ネットワークサービスプロバイダが例えば最初にサービスネットワークに登録する場合に確立された同じ所定のアクセス制御を有することができる。別の可能な所定のアクセス制御レジュームは、そのグループだけの中で利用可能な既存のビジネス関係を有するネットワークサービスプロバイダのグループのネットワークサービスを作る。
【０１２２】
中央ポリシー管理モデルでは、ネットワークサービスに関連するあらゆるアクセス制御はネットワークコントロールによってサービスコンテンツまたはポリシーとして記憶される。これらのポリシーは、ポリシー施行モジュール３６によって各クライアントゲートウェイにダウンロードされ、上記のようにデータトラフィックに適用される。
【０１２３】
ネットワークサービス用にアクセス制御を確立および管理するのに使用される特定のアクセス制御スキームに関係なく、提供されたネットワークサービスは、各ネットワークサービス用のあらゆるアクセス制御によりサービスネットワーク内で利用可能にされる。これはいくつかの方法で実行することができる。上記のように、制御トラフィックはサービスネットワーク内のネットワークコントローラに転送され、これによって処理される。この場合、ネットワークコントローラは、サービスネットワーク内のクライアントゲートウェイにアクセス可能であるグローバルレジストリ内のネットワークサービス用の情報を公開することができる。各クライアントゲートウェイはその後、ネットワークサービスに関連するポリシーにしたがって、そのクライアントによって登録されたネットワークサービスへのアクセスを制御する。
【０１２４】
本発明は、ネットワークサービスアクセス制御の上記実施例に限るものではない。アクセス制御は、サービスネットワーク内で全て必ずしも実行される必要は全くない。いくつかの実施形態では、サービスネットワーク内に提供された全てのネットワークサービスは、サービスネットワークの全てのメンバに自動的に利用可能である。
【０１２５】
ネットワークサービスプロバイダはまた、ネットワークコントローラと制御トラフィックを交換することによって、実質的に同様の方法で例えばアクセス制御を変更するように、ネットワークサービスのポリシーを変更することができることが好ましい。
【０１２６】
クライアントはポリシー施行モジュール３６およびセキュリティモジュール４２によって認証されると、クライアントはまた、あるいは代わりに、クライアントゲートウェイ３０を通してサービスネットワーク内で利用可能なネットワークサービスにアクセスすることができる。クライアントがアクセスすることが可能である特定のネットワークサービスは、ポリシー施行モジュール３６によって管理されたポリシーにしたがって制御される。サービスネットワークのグローバルレジストリは、ネットワークコントローラによって記憶され、ポリシー施行モジュール３６にダウンロードされたネットワークサービスポリシー内で特定されるように、全てのクライアントに利用可能ではないネットワークサービス用のレジストリエントリを含むことができる。クライアントゲートウェイ３０のクライアントがアクセス可能となるこれらのネットワークサービスだけが、クライアントに利用可能とされる。
【０１２７】
サービスネットワークを通してクライアントゲートウェイ３０のクライアントとリモートネットワークサービスプロバイダの間でその後に交換されるデータトラフィックは、実質的に上に記載されるように処理される。クライアントからリモートネットワークサービスプロバイダに向けられたトラフィックは、セキュリティモジュール３８によってセキュリティポリシーに基づき処理され、ＳＯＡＰプロキシモジュール４２内で変更され、サービス処理モジュール４３内のＸＭＬメッセージタイプに基づき異なるように処理され、最後に、データトラフィックは、ルーティングモジュール４４によってサービスネットワークインターフェイス３２を通してリモートネットワークサービスプロバイダに、または実際はリモートネットワークサービスプロバイダが接続されたクライアントゲートウェイにルーティングされる。
【０１２８】
実質的に同様な処理は、クライアントゲートウェイ３０のクライアントによって提供されるネットワークサービスに関連するデータトラフィックに適用される。サービスネットワークインターフェイス３２を通してリモートネットワークカスタマから受けたデータトラフィックは、セキュリティモジュール３８、ＳＯＡＰプロキシモジュール４２、およびサービス処理モジュール４３によってデータトラフィックとして処理され、変更され、また分類および処理される。受けたデータトラフィックはその後、アクセスネットワークインターフェイス３４によってクライアントに転送される。
【０１２９】
次にネットワークコントローラ２８（図１）を参照すると、図３は例示的なネットワークコントローラのブロック図である。ネットワークコントローラ５０は、管理システムインターフェイス５２と、ゲートウェイインターフェイス５４と、マネージャ６０、６４、６６、６９に動作可能に結合されたメモリ５６とを備えている。ネットワークコントローラ５０のコンポーネントは、集中アーキテクチャ、または分配および好ましくは中央管理可能アーキテクチャのいずれかに設けることができる。
【０１３０】
管理システムインターフェイス５２は、例えば、サービスネットワークプラットフォームの構成および管理用の中央フレームワークを実行する、ネットワーク管理システム（ＮＭＳ）などの管理システムにインターフェイスを提供する。管理システムインターフェイス５２の構造および操作は、ネットワークコントローラ５０がその上で管理システムと通信する接続のタイプに依存する。いくつかの実施形態では、ネットワークコントローラは管理された通信ネットワークを通して管理システムと通信する。別個のＮＭＳ管理および制御経路も共通である。例えば、ＸＭＬを使用したインターフェイス、および例えば管理情報ベース（ＭＩＢ）にアクセスを提供するインターフェイスを含む管理システムインターフェイスの両方のタイプの例は、当業者には自明のことだろう。
【０１３１】
ゲートウェイインターフェイス５４は、ネットワークコントローラ５０がこれを通してクライアントゲートウェイと通信するインターフェイスを示す。図３の単一のコンポーネントとして示されているが、ゲートウェイインターフェイス５４は、多数のクライアントゲートウェイとの通信のために、それぞれのインターフェイス、および場合によっては異なるタイプのインターフェイスを含むことができる。図２を参照して上に説明するように、制御トラフィックは、サービスネットワークインターフェイス、またはいくつかの他のタイプのインターフェイスを使用して、サービスネットワークを通してクライアントゲートウェイとネットワークコントローラの間で交換することができる。図３のゲートウェイインターフェイス５４はしたがって、クライアントゲートウェイで提供される、サービスネットワークインターフェイス３２（図２）または別のインターフェイスの何れかのインターフェイスと互換性のあるインターフェイスを示している。
【０１３２】
図２を参照して上で説明したインターフェイスと同様に、管理システムインターフェイス５２、およびゲートウェイインターフェイス５４は普通、通信媒体と通信信号を交換する物理的コンポーネントと、通信信号を生成および処理するハードウェアおよび／またはソフトウェア実行コンポーネントとを備えている。
【０１３３】
メモリ５６は、情報を記憶する１つまたは複数のメモリデバイスを備えている。メモリ５６内に記憶された情報は、カスタマプロファイルおよびポリシーなどの情報、セキュリティ情報、およびネットワークコントローラ５０のコンポーネントによる使用のためにネットワークサービス毎のユーザ毎のアクセスリストおよびアクセスレベルグループと、サービスネットワーク内の他の機器によるアクセスおよび使用のためのレジストリ情報を含むことができる。しかし、メモリ５６はローカルおよびリモートメモリデバイスの両方を含むことができることを理解すべきである。ネットワークコントローラソフトウェアがローカルで記憶されていることが好ましいが、レジストリは、ネットワークコントローラ５０、およびネットワークサービスコンシューマが接続されるクライアントゲートウェイの両方にアクセス可能であるリモートメモリデバイス内に分配および記憶することができる。
【０１３４】
マネージャ６０、６４、６６、６９、およびインターフェイス５２、５４の内部機能またはコンポーネントのいくつかまたは全てをソフトウェアとして実行することができる。これらのマネージャを実行するソフトウェア、および機能をメモリ５６内に記憶することもできる。
【０１３５】
ポリシーマネージャ６０は、包括ポリシープロビジョニング、定義、およびセキュリティポリシー管理能力を提供する。ポリシー管理はポリシーマネージャ６０によって中央化されるが、コンテンツおよびデータのポリシー断片はサービスネットワーク全体を通して分配方法で記憶することができる。ポリシーマネージャ６０、および例えばポリシー情報が記憶されたメモリ５６内のレジストリなどのポリシーコンポーネントを分配することができる。また、ポリシー情報はクライアントゲートウェイ内にポリシー施行モジュール内にダウンロードされる。ネットワークサービスに対してポリシー管理への集中的方法を利用することによって、単一のセットのポリシーを、サービスネットワークプロバイダのインフラ内で委任アドミニストレータによって管理することができる。ポリシーマネージャ６０は、クライアントゲートウェイにポリシー情報を自動的にダウンロードするまたはプッシュする、クライアントゲートウェイからの要求に応じてポリシー情報を伝送する、またはポリシー情報伝達機構をプッシュするのもおよびプルするのもサポートするように構成することができる。
【０１３６】
一実施形態によれば、ポリシーマネージャ６０は、ネットワークサービスポリシーレジストリを使用して、サービスポリシーを管理する。ネットワークサービスポリシーレジストリは、サービスネットワーク内で提供された全てのネットワークサービスに対してアクセス制御を確立するネットワークサービスポリシーの収集である。
【０１３７】
各個別のネットワークサービスポリシーは、メッセージ内に提示しなければならない認証情報などのプライバシーパラメータ、メッセージが署名および／または暗号化されなければならないかどうか、メッセージのどの部分が署名および／または暗号化されるか、およびメッセージまたはその部分がどのように署名および／または暗号化されるかを特定することができる。これらの機能は、ＷＳセキュリティ、ＷＳポリシー、ＷＳポリシーアタッチメント、ＷＳポリシーアサーションズ、およびＷＳセキュリティポリシーなどの既存のウェブサービス標準を実行することによって提供することができる。また、特定のネットワークサービスへのアクセスのレベル、図では、プライベート、セミプライベート／グループ、および仮想エクストラネットレベルでのパブリックを示す規則があってもよい。端末間サービス用のＳＬＡ合意およびＱｏＳ要件、特定のビジネストランザクション内で必要とされるビジネスパートナに関するリストおよび詳細もある可能性がある。
【０１３８】
あらゆる新規のネットワークサービスでは、サービスネットワークと結合するプロバイダまたはコンシューマ、コンシューマプロファイル、およびポリシーは登録時に作成されることが好ましい。上に説明するように、ネットワークサービスプロバイダは、制御トラフィックをクライアントゲートウェイを通してネットワークコントローラに伝送することによってサービスネットワーク内でそのネットワークサービスを公開する。クライアントゲートウェイからゲートウェイインターフェイス５４を通して、または管理システムから管理システムインターフェイス５２を通しての何れかで受けるポリシーは、仮想エクストラネットサービス内でポリシーマネージャ６０によって中央管理されるが、サービスネットワークによって提供される仮想エクストラネット内で物理的に分配することができる。
【０１３９】
ネットワークサービスプロバイダまたはコンシューマがサービスネットワークを結合する時に独自のサービスポリシーを有する場合、ポリシーマネージャ６０は、企業サービスポリシーをサービスネットワークのグローバルポリシーレジストリ内に統合することが可能である。エクストラネットレベルでの全ての管理データはそれによって、グローバル管理された仮想エクストラネットサービスを作成するために、企業管理システムからの他のデータと統合させることができる。
【０１４０】
ポリシーマネージャ６０はまた、企業内の普通のシナリオと同様に、特定のネットワークサービスアプリケーションではなく、サービスネットワーク内でユーザ認証およびセキュリティプロファイルを管理する。企業空間内のネットワークサービスコンシューマは、クライアントゲートウェイを通してサービスネットワークに接続し、サービスネットワークでシングルサインオンを行う。ネットワークコントローラによってホスティングされる１つのレジストリ実体内のアクセス制御情報の中央化により、企業システム間の識別情報およびアクセス制御ポリシーを共有する問題が避けられる。代わりに、このデータは仮想エクストラネット内で記憶される。
【０１４１】
ポリシーマネージャ６０はまた、図では、既存の所有権セッションクッキーをＳＡＭＬアサーション、およびその後他の識別格納庫にマッピングすることができる現実世界の識別に変換するのに必要なデータを提供することによって、レガシー認証システムに対応することもできる。
【０１４２】
ポリシーマネージャ６０は、クライアントゲートウェイによってデータトラフィックに適用されるメッセージヘッダおよびメッセージペイロード変換を特定することができる。いくつかの実施形態では、変換は、レジストリ内に記憶された情報、図ではＸＭＬスキーマによりＸＭＬベースのウェブサービスメッセージとメッセージの他のフォーマットの間で行われる。
【０１４３】
セキュリティマネージャ６４は、サービスネットワークを通したサービスネットワーククライアント通信のセキュリティを管理する。一実施形態では、セキュリティマネージャ６４は、安全な通信を保証するように、確立されたネットワークサービスおよびＸＭＬ標準を使用する。例えば、サービスネットワークコアの上で作成された安全なデータパスは上に説明したようにＷＳセキュリティおよびＸＭＬ暗号化を使用することができる。クライアントゲートウェイは実際、サービスネットワークを通した安全な接続を確立するが、セキュリティマネージャ６４はサービスネットワークに中央認証およびキー管理サービスを提供する。セキュリティ情報は、サービスネットワークを通した他のクライアントゲートウェイとの安全な通信を確立する際に使用するために、クライアントゲートウェイにダウンロードされる。ポリシーマネージャ６０と同様に、セキュリティマネージャ６４は、クライアントゲートウェイに安全情報を自動的にダウンロードするまたはプッシュする、クライアントゲートウェイがネットワークサービス用のセキュリティ情報を必要とする場合にランタイムでクライアントゲートウェイからの要求に応じて安全情報を伝送する、または伝達機構をプッシュするのもおよびプルするのもサポートするように構成することができる。
【０１４４】
レジストリマネージャ６６は、ネットワークサービスロケーションおよび管理のための進歩したメタデータ能力で、ネットワークサービスレジストリ、図では、ＵＤＤＩなどの工業標準レジストリを管理および削除する。サービスネットワークプロバイダは、例えば、定義する分類カテゴリおよびブランド設定に基づき、利用可能なネットワークサービス用のレジストリエントリを記憶することができる。一実施形態では、ネットワークサービスは、プライベート、パブリック、セミプライベートグループ、および／またはその他を含むことができる許可されたレベルのアクセスにしたがってレジストリ内で組織化される。上に説明したように、いくつかのネットワークサービスは特定のパートナにプライベートに公開することができ、他のネットワークサービスは全体のサービスネットワークにパブリックに公開される。
【０１４５】
レジストリマネージャ６６によって管理されるネットワークサービスレジストリは、サービスネットワークに直接または間接的に接続された全てのネットワークサービスプロバイダからのネットワークサービスの収集である。サービスネットワークを結合する時にいかなるレジストリ能力を備えていない新規のネットワークサービスプロバイダまたはコンシューマでは、レジストリマネージャ６６は、ネットワークサービスを公表および消費することを可能にするネットワークサービス、記述、ロケーション、所有権、およびパブリックＡＰＩの完全な収集を提供する。企業は代わりに、サービスネットワークを結合する時に独自のレジストリを有することができ、この場合、レジストリマネージャは内部企業ネットワークサービスをサービスネットワークのグローバルネットワークサービスレジストリ内に公開することが可能になる。
【０１４６】
他のメタデータレジストリはまた、基本ネットワークサービスロケーションおよび管理以外の目的で、ネットワークサービス情報を記憶するのに利用可能である。これらは、タイムアウト、適用されるＸＭＬスキーマ、サービス契約、ＱｏＳパラメータ、およびサブスクリプションおよびアドレス指定情報などのサービス態様を管理するために他のネットワークコントローラコンポーネントによる使用のためのレジストリを含むことができる。追加のレジストリは、例えば請求書作成情報、ＳＬＡ監視情報、トランザクション端末間ビジネスアクティビティ監視情報、アクティビティログおよびパフォーマンス監査情報、および例外警告を記憶した結果得られるデータの収集を記憶することができる。
【０１４７】
ユーザ信用状、一般ポリシー、およびセキュリティポリシーもレジストリ内に記憶することができる。
【０１４８】
いくつかの実施形態では、サービスネットワークのクライアントは、そのサービスポリシーにしたがった、全てのレジストリ情報のリアルタイム監視および照会のためのリアルタイムコンソールアクセスおよび管理ツールを有する。
【０１４９】
システムマネージャ６９は、例えばトランザクション、イベント、注意、および警告の集中制御、監視、および監査を行うようにクライアントゲートウェイによって捕捉された監査記録を受け、包括契約およびＳＬＡの運搬を管理することができる。トランザクション優先は、重大性に基づき実行されることが好ましい。システムマネージャ６９の他の可能な機能は、トランザクション完了／失敗に関する報告、およびＳＬＡ契約の管理を含む。
【０１５０】
本発明の実施形態を、通信ネットワーク機器、すなわちクライアントゲートウェイおよびネットワークコントローラに関して基本的に上で説明した。図４は、本発明の実施形態による方法のフロー図である。
【０１５１】
方法７０は、サービスネットワークのクライアント、この場合、ネットワークサービスプロバイダを認証する操作で７２で始まる。ネットワークサービスプロバイダが認証されると、ネットワークサービスプロバイダによって提供されるプライベートネットワークサービスは、７４でサービスネットワーク内で公開することができる。
【０１５２】
ネットワークサービスが利用可能であると、７６で同じクライアントゲートウェイ、または異なるクライアントゲートウェイで認証されるネットワークサービスコンシューマは、ネットワークサービスを使用するように、７８でサービスネットワークへアクセスすることが可能になる。
【０１５３】
図４に示す方法７０は、単に例示的な目的を意図したものであり、ネットワークサービスを提供および使用した、異なるクライアントの状況を示している。より詳細には、サービスネットワークの認証クライアントは、プライベートネットワークサービスをサービスネットワークの別のクライアントに対して利用可能にすることを、またはサービスネットワークの別のクライアントによって提供されるネットワークサービスを使用することを可能にすることができる。同じクライアントはしたがって、一度だけ認証することができ、続いて多数のネットワークサービス関連機能を行うことが可能である。ネットワークサービスがクライアントによって利用可能にされると、クライアントはまた、ネットワークサービスをサービスネットワークの別のクライアントによって使用することを可能にするように、ネットワークサービスのプライバシーを変えることもできる。
【０１５４】
図４に示す操作を行う様々な方法と、行うことができる他の操作は前述のことから明らかであろう。
【０１５５】
記載されたものは、本発明の原理の応用例を単に例示するものである。他の配置および方法は、本発明の範囲から逸脱することなく当業者によって行うことができる。
【０１５６】
例えば、サービスネットワークは、上記の関連応用例で開示されたパブリックネットワークゲートウェイおよびサービスネットワークゲートウェイなどの、図１に示すもの以外のコンポーネントを含むことができる。
【０１５７】
サービスネットワークはまた、多数のネットワークコントローラを含むことができる。異なるゲートウェイは、異なるネットワークコントローラに接続することができる。中央サービスレジストリを維持し、サービスネットワークゲートウェイとの通信などの、サービスネットワークのいくつかの操作のために指定ネットワークコントローラなどの１つのネットワークコントローラを構成することが望ましい可能性がある。指定ネットワークコントローラは、通常のネットワークコントローラと同じであってもよいが、例えば、管理システムインターフェイス５２（図３）を通してオペレータ端末のコマンドラインインターフェイス（ＣＬＩ）を通してネットワークコントローラとして構成することができる。
【０１５８】
ネットワークサービスレジストリは１つのサービスネットワーク内の多数のネットワークコントローラに維持される場合、ネットワークコントローラは、各レジストリ内に含まれるサービス、およびこれらのサービスのローカル記憶に関する制御情報を交換するためにその間で通信することが好ましい。
【０１５９】
したがって、ネットワークコントローラは、ゲートウェイおよび場合によっては他のネットワークコントローラによって、これに提供された情報をレジストリ内に記憶することができる。
【０１６０】
図２および３に示す例示的なクライアントゲートウェイおよびネットワークコントローラコンポーネントは、同様に限定的なものではない。本発明の実施形態は、より少ないまたは追加のコンポーネントを含むことができる。混乱を避けるために管理システムインターフェイスは図２の例示的なクライアントゲートウェイ３０内に示されていないが、ネットワークコントローラと通信する管理システムはまた、例えばクライアントゲートウェイと通信することができる。
【０１６１】
ネットワークサービスプロバイダおよびコンシューマを、企業クライアントとして本明細書に基本的に説明したが、必ずしも企業に関連している必要はない。本発明の実施形態は、モバイルエンドユーザシステム１３などの、非企業ネットワークサービスプロバイダおよびコンシューマと合わせて実施することができる。
【０１６２】
本発明はまた、クライアントゲートウェイとネットワークコントローラの間の機能のあらゆる特定の分割に制約されるものではない。機能は、本明細書に明示的に記載されたのとは異なる方法で分配または統合することができる。例えば、レジストリは中心的の代わりに、各クライアントゲートウェイによって記憶することができる。
【０１６３】
加えて、方法およびシステムの内容で基本的に説明したが、例えば機械読取可能媒体上に記憶された指示として、本発明の他の実施も考えられる。
【図面の簡単な説明】
【０１６４】
【図１】本発明の実施形態を組み込んだ通信システムのブロック図である。
【図２】例示的クライアントゲートウェイのブロック図である。
【図３】例示的ネットワークコントローラのブロック図である。
【図４】本発明の実施形態による方法のフロー図である。
【技術分野】
【０００１】
本出願は、２００５年４月１４日出願の共通の譲受人の「パブリックおよびプライベートネットワークサービス管理システムおよび方法」という名称の米国特許出願第１１／１０５，６０１号、および「プライベートネットワーク間のネットワークサービスを管理するシステムおよび方法」という名称の米国特許出願第１１／１０５，８２１号に関するものである。
【０００２】
本発明は概してネットワークサービスに関し、より詳細にはネットワークサービスを提供するインフラに関する。
【背景技術】
【０００３】
通信ネットワークを通して情報が分配されるサービスは普通、ネットワークサービスと呼ばれる。いわゆる「ウェブサービス」はネットワークサービスの例であり、公衆インターネットネットワーク上の異なるアプリケーション間で情報を自動的に交換するために使用されている次世代のウェブベースの技術を示している。
【０００４】
ウェブサービスは、インターネット上にウェブベースで分配されたアプリケーションを構築するフレームワークである。これらは、多数のグローバル企業間の通信を機械処理するために十分かつ効果的な自動機械を提供する。この自動化は、技術ベースの処理および事業効率を技術会社から小売会社などの世界の主要な非技術会社に提示している。従来の処理技術を使用して処理するためには注文書は＄１２０がかかり、供給業者は倉庫にある返品書を処理するのに数日必要であるが、新規のウェブサービスベースシステムは０．５セントでこれを行うことができ、注文書は数秒で世界中の倉庫に分配される。
【０００５】
技術面から、標準インターフェイス上で、ハイパーテキスト転送プロトコル（ＨＴＴＰ）、拡張マークアップ言語（ＸＭＬ）、シンプルオブジェクトアクセスプロトコル（ＳＯＡＰ）などの標準インターネットプロトコルを使用してアクセスすることができるネットワークアクセス可能機能であるという意味において、ウェブサービスはアプリケーションサービスと同様である。
【０００６】
ウェブサービスアプリケーションは、公衆インターネット内のあらゆるところから来る可能性があるコードおよびデータの要素で構築されている。例えば、自動供給チェーン管理において、店頭購入は金融代理店によって消去され、返品注文は工場から直接送られ、請求書情報はそれぞれ独自のソフトウェアシステムを備えた本社によって収集される。
【０００７】
ウェブサービス技術の真の力はその単純性にある。コア技術は共通の言語および通信発行を処理するだけであり、アプリケーション統合の面倒な仕事を直接は処理しない。ウェブサービスは、多数の信用できない異種システムを相互連結するための遠隔手続呼出し（ＲＰＣ）技術を機械処理する洗練した機械として見ることができる。ウェブサービスは、データ変換／透明性のためのＸＭＬ技術、および通信のためのハイパーテキスト転送プロトコル（ＨＴＴＰ）などのインターネット標準を使用することによって多くの新しい技術の最善をとる。
【０００８】
ウェブサービスは既に、企業のプライベートネットワーク空間内で成功を実証して、アプリケーションが通信するための標準的方法として高速アクセプタンスを得る。しかし、多くの現在のウェブサービスは企業ネットワーク内のファイアウォールの後ろに配置されたアプリケーションサービルによってホスティングされている。
【発明の開示】
【発明が解決しようとする課題】
【０００９】
基本インターネットインフラ上の企業空間内およびその向こうでウェブサービスインターアクションをサポートする努力は、アドホック手法に集中していた。１つの方法によれば、ウェブサービスが提供される異なる企業は、互換アプリケーション、共通の独占ソフトウェア、カスタムインターフェイスおよびＡＰＩ、および共通の通信プロトコルを使用することに同意しなければならなかった。企業はまた、データ安全性、およびあらゆる安全通信が管理される方法に同意しなければならなかった。加えて、各企業は、ポイント間の方法で企業トラフィックをアプリケーション間に流すように内部ファイアウォールを開かなければならなかった。
【００１０】
企業環境内に新規のウェブサービス企業パートナを加えることは常に、難しく、高額で、時間がかかる処理であった。というのは、潜在的な新規企業パートナは異なるセットの規則および基準を有する傾向があるからである。新規パートナのアプリケーションへの変更、および新規アプリケーションを提供する企業へのカスタムコード修正がしばしば必要である。
【００１１】
企業空間に対向する通信ネットワークプロバイダの空間をターゲットとした、端末間バーチャル（プライベート）エクストラネットウェブサービスアーキテクチャを展開および管理するための現在知られている展開および管理解決法はない。例えば、ＸＭＬバーチャルプライベートネットワーク（ＶＰＮ）装置は存在するが、これらの装置はファイアウォールの背後の企業ネットワーク内の実施を意図している。
【００１２】
様々なポリシー／セキュリティ／アドミッション制御要件を有する多くの企業は、同じコアネットワークを通してウェブサービスを提供または消費したい場合に、プロバイダのコアマーケット、またはより小容量のハードウェアベース企業規模製品を処理する既存のソフトウェアベース安全製品はコアネットワーク要件に匹敵しない。サーバベースアーキテクチャおよびハードウェアＸＭＬ装置を含む企業規模製品はまた、通信ネットワークコア機器の高いアベラビリティおよび速度要件を普通は満たしていない。
【００１３】
本発明の実施形態は、特定の通信ネットワークサービスプロバイダがネットワークサービス、図ではウェブサービスをネットワーク常駐サービスとして提供することを可能にする新規のネットワークサービスを提供する。
【課題を解決するための手段】
【００１４】
いくつかの実施形態では、この新規ネットワークサービスはいわゆるエクストラネットサービスアーキテクチャ内で提供される。エクストラネットアーキテクチャは、ネットワークサービスプロバイダによって管理しながら、閉グループのメンバに提供される「サービスのネットワーク」を計画する。エクストラネットサービスモデルは、アプリケーションレイヤ解決法、ネットワークプロバイダのインフラの上部に構築されたオーバーレイネットワークであることが好ましい。
【００１５】
本発明の一態様によれば、サービスネットワーク内にネットワークサービスを提供する装置は、クライアントによって提供されたネットワークサービスをサービスネットワークの別のクライアントに対して利用可能にする、サービスネットワークの別のクライアントによって提供されたネットワークサービスを使用する、またはクライアントによって提供されたネットワークサービスをプライベートサービスネットワークの別のクライアントに対して利用可能にもし、サービスネットワークの別のクライアントによって提供されたネットワークサービスを使用もするために、サービスネットワークの認証ポリシーにしたがってサービスネットワークへのクライアントアクセス用の規則を施行し、認証されたクライアントがサービスネットワークへアクセスすることを可能にするように構成されたポリシー施行モジュールを含んでいる。
【００１６】
ポリシー施行モジュールはさらに、認証されたクライアントがネットワークサービスをサービスネットワーク内であらゆる他のクライアントに対して利用可能にし、ネットワークサービスに関連するそれぞれのサービスポリシーにしたがって別のクライアントによって提供されたネットワークサービスを使用することができるように構成することができる。
【００１７】
装置はまた、認証されたクライアントとサービスネットワークの間、サービスネットワーク内、およびサービスネットワークとサービスネットワークの宛先クライアントの間の安全な端末間通信を施行するセキュリティモジュールを備えることができる。
【００１８】
いくつかの実施形態では、セキュリティモジュールは規則に基づく認証および許可アクションを通信トラフィックに適用し、認証および許可アクションに応じて通信トラフィックを通過させるまたは落とす。追加のセキュリティ規則はまた、通信トラフィックに適用することもできる。
【００１９】
装置はまた、ポリシー施行モジュールに動作可能に結合され、制御トラフィックまたはデータトラフィックとして認証されたクライアントに関連するトラフィックを分類し、サービスレジストリ内での公開のために認証されたクライアントによって提供されるネットワークサービスに関連する情報を含む制御トラフィックを伝送し、次の処理のためにデータトラフィック内のＳＯＡＰ情報を変更するように構成されたシンプルオブジェクトアクセスプロトコル（ＳＯＡＰ）プロキシモジュールを含むことができる。
【００２０】
ユニバーサルディスクリプションディスカバリアンドインテグレーション（ＵＤＤＩ）プロキシモジュールはまた、ＳＯＡＰプロキシモジュールに動作可能に結合することができる。この場合、ＳＯＡＰプロキシモジュールはさらに、受けたＵＤＤＩ制御トラフィックを特定し、次の処理のためにＵＤＤＩプロキシモジュールに受けたＵＤＤＩ制御トラフィックを転送するように構成されている。受けたＵＤＤＩ制御トラフィックは、ネットワークサービスルックアップに対する要求を含むことができる。ＵＤＤＩプロキシモジュールは、要求のローカルまたはリモート解決を処理し、各要求を開始させたクライアントに反応する。
【００２１】
サービス処理モジュールはまた、ＳＯＡＰプロキシモジュールに動作可能に結合し、ＳＯＡＰプロキシモジュールでデータトラフィックを交換するように構成することができる。
【００２２】
ポリシー施行モジュールは、認証されたクライアントがサービスレジストリに対してネットワークサービスに関連する情報を公開し、サービスレジストリにアクセスして別のクライアントによって提供されたネットワークサービスを使用することを可能にする。ネットワークサービスに関連する情報は、サービスネットワークの別のメンバによる使用のためのネットワークサービス用のアクセス規則を特定するアクセス情報を含むことができる。サービスレジストリからのサービスネットワークの別のクライアントによって提供されたネットワークサービスに関連する情報へのアクセスは、その別のクライアントによって特定されるアクセス規則によりポリシー施行モジュールによって制御される。
【００２３】
いくつかの実施形態で提供される転送／ルーティングモジュールは、サービスネットワーク内の通信トラフィックをルーティングし、レイヤ１転送方法、レイヤ２転送方法、インターネットプロトコル（ＩＰ）ルーティング、および拡張マークアップ言語（ＸＭＬ）ルーティングの少なくとも１つをサポートする。
【００２４】
サービスネットワークの変換ポリシーによる認証されたクライアント、およびサービスネットワークへの転送のためのそれぞれのフォーマット間の通信トラフィック変換などの他の機能はまた、ポリシー施行モジュールによって実行または管理することができる。
【００２５】
この装置はまた、例えばサービスネットワークを提供する通信システムのクライアントゲートウェイ内で実施することができる。システムのネットワークコントローラは、クライアントゲートウェイによって施行されるポリシー、および利用可能なネットワークサービスのレジストリを管理するクライアントゲートウェイに動作可能に結合されている。
【００２６】
サービスネットワーク内で利用可能なネットワークサービスに関連するポリシーを管理する装置も提供され、サービスネットワークのクライアントがこれを通してサービスネットワークにアクセスするクライアントゲートウェイに動作可能に結合されるクライアントゲートウェイインターフェイス、およびポリシーマネージャを備えている。ポリシーマネージャは、クライアントゲートウェイインターフェイスに動作可能に結合され、クライアントゲートウェイにネットワークサービスポリシーによるサービスネットワークのクライアントによるネットワークサービスへのアクセスを制御させるように、クライアントゲートウェイインターフェイスを通してクライアントゲートウェイへのそれぞれのネットワークサービス用のアクセス制御を特定するネットワークサービスポリシーを分配するように構成されている。
【００２７】
ポリシーマネージャはさらに、サービスネットワークでのクライアントの認証、およびクライアントゲートウェイによってデータトラフィックに適用されるフォーマット変換の少なくとも１つを管理する。
【００２８】
いくつかの実施形態では、ネットワークサービスポリシーはネットワークサービスポリシーレジストリ内に記憶されたポリシーを含み、ポリシーマネージャはさらにネットワークサービスポリシーレジストリを維持し、ネットワークサービスポリシーレジストリ内に、ネットワークサービスが提供されるサービスネットワークのクライアントから受けた既存のネットワークサービスポリシーを統合するように構成されている。
【００２９】
この装置はまた、クライアントゲートウェイインターフェイスに動作可能に結合され、サービスネットワークによりクライアント通信の安全性を管理するように構成されたセキュリティマネージャと、サービスネットワーク内で利用可能なネットワークサービスのレジストリ、サービスタイムアウト情報、拡張マークアップ言語（ＸＭＬ）スキーマ、サービスコントラクト、サービス品質（ＱｏＳ）パラメータ、サブスクリプション情報、アドレス指定情報、請求書作成情報、サービス内容合意（ＳＬＡ）監視情報、トランザクショナルネットワークサービスアクティビティ監視情報、アクティビティログ、パフォーマンス監査情報、および例外警告の少なくとも１つを管理するように構成されたレジストリマネージャと、クライアントゲートウェイインターフェイスに動作可能に結合され、クライアントゲートウェイによって捕捉された監査レコードを受けて管理するように構成されたシステムマネージャのいずれかまたは全てを含むこともできる。
【００３０】
ポリシー管理装置は、例えば、ネットワークサービスプロバイダによって提供されたプライベートネットワークサービスがクライアントゲートウェイを通してネットワークサービスコンシューマにアクセス可能とされたサービスネットワークを提供する通信システムのネットワークコントローラ内で実行することができる。
【００３１】
サービスネットワーク内で利用可能なネットワークサービスを管理する装置はまた、本発明の別の態様により提供され、サービスネットワークのクライアントがサービスネットワークにアクセスするクライアントゲートウェイに動作可能に結合されるクライアントゲートウェイインターフェイスと、クライアントゲートウェイインターフェイスに動作可能に結合され、サービスレジストリ内の情報に関する要求をクライアントゲートウェイから受け、それに応じて要求された情報を提供し、クライアントゲートウェイからサービスネットワーク内で利用可能にされるネットワークサービスに関連する情報を受け、サービスレジストリ内の受けた情報を公開し、ネットワークに関連するサービスレジストリ内の情報の変更に対するサブスクリプションをクライアントゲートウェイから受け、サブスクリプションに応じた変更に通知を送信するように構成されたレジストリマネージャとを備えている。
【００３２】
いくつかの実施形態では、通信システムは、装置を含むネットワークコントローラと、サービスレジストリを記憶するためにネットワークコントローラに動作可能に結合されたメモリと、サービスネットワークの少なくとも１つのクライアントおよびメモリに動作可能に結合され、少なくとも１つのクライアントによってサービスレジストリ内で公開されたネットワークサービスへのアクセスを制御するように構成されたクライアントゲートウェイとを備えている。
【００３３】
本発明のさらに別の態様によるサービスネットワーク内にネットワークサービスを提供する方法は、プライベートサービスネットワークのクライアントを認証および許可するステップと、クライアントが許可された場合に、クライアントによって提供されたネットワークサービスをサービスネットワーク内で利用可能にする、またはクライアントが許可されるサービスネットワークの別のクライアントによって提供された特定のネットワークサービスまたはネットワークサービスのグループを使用するようにクライアントがサービスネットワークにアクセスすることを可能にするステップとを含んでいる。
【００３４】
ネットワークサービスを利用可能にする動作は、サービス公開のためにサービスネットワークとの接続を開始するステップを含むことができる。クライアントがサービスネットワークとアクセスすることを可能にする動作は、ターゲットのネットワークサービスとの接続を開始し、ターゲットのサービスへ要求を送信し、そこから回答を受信することによってターゲットのネットワークサービスをクライアントが使用することを可能にするステップを含むことができる。可能にする動作はまた、クライアントがネットワークサービスのレジストリを参照して、特定のネットワークサービスまたはネットワークサービスのグループ用の情報にアクセスする、または特定のネットワークサービスまたはネットワークサービスのグループ用のレジストリレベルでの変更にサブスクライブすることを可能にするステップを含むことができる。
【００３５】
ネットワークサービスアベラビリティは、ネットワークサービスのサービスポリシーにより制御することができる。この場合、可能にするステップは、クライアントによる使用を許可する関連するサービスポリシーを有するネットワークサービスを決定するステップを含むことができる。
【００３６】
本発明の他の態様および特性は、その特定の例示的実施形態の以下の説明を参照して当業者には明らかになるだろう。
【発明を実施するための最良の形態】
【００３７】
次に、本発明の実施形態の例を添付の図面を参照してより詳細に説明する。
【００３８】
図１は、本発明の実施形態を組み込んだ通信システムのブロック図である。通信システム１０は、企業システム１２、２２と、モバイルエンドユーザシステム１３と、クライアントゲートウェイ１６、２６と、サービスネットワーク２０と、全体を１８で示すデータトラフィックスイッチおよびルーティングコンポーネントと、ネットワークコントローラ２８とを備えている。
【００３９】
多くの企業システム１２、２２および／またはモバイルエンドユーザシステム１３などのエンドユーザシステムをクライアントゲートウェイ１６、２６に接続することができ、また多くのクライアントゲートウェイ１６、２６がサービスネットワーク２０の境界にある可能性があるが、複雑にするのを避けるためにこれらのコンポーネントのそれぞれの例示的な実施例のみを図１に示した。例えばサービスネットワーク２０を最初に展開した場合に単一の企業システム１２、２２および単一のクライアントゲートウェイ１６、２６のみが設けられている実施も考えられる。したがって、図１のシステムと、他の図の内容は単に例示的な目的を意図したものであって、本発明は図面にはっきりと示し、本明細書に記載した特定の例示的な実施形態に限るものではないことを理解すべきである。
【００４０】
企業システム１２、２２は、サービスネットワーク２０全体を通して提供および管理されたウェブサービスアプリケーションを提供できるか、使用できるか、または提供も使用もすることができるネットワークを示している。普通の設置では、企業システムは企業内に入る外部アクセス制御を提供し、およびフィルタ外部トラフィックをフィルタリングするためのファイアウォール、トラフィックスイッチおよびルーティング機器、ネットワークサービスをサポートする１つまたは複数のサーバ、およびユーザ端末、図ではパソコンなどのコンポーネントを備えている。企業プライベートネットワークは、企業システム１２の一実施例である。
【００４１】
モバイルエンドユーザシステム１３は、特定の企業システムの一部ではないクライアントシステムの例示的なものである。エンドユーザシステムは、図示するように、移動可能であっても、または固定でもよい。モバイルエンドユーザシステム１３は、例えばウェブサービスモバイルゲートウェイを通してクライアントゲートウェイ１６に接続することができる。モバイルエンドユーザシステム１３と、固定エンドユーザシステムは代わりに、クライアントゲートウェイ１６に物理的に接続することができる。ポータブルコンピュータシステムは、アクセスネットワーク内での異なる位置および物理的接続によりクライアントゲートウェイに接続することができるという点において移動可能である。
【００４２】
当業者は、ネットワークサービスを提供および／または使用する多くの異なるタイプの企業システムおよびエンドユーザシステムに詳しいだろう。本発明の実施形態は、どのようにこれらのサービスが実際に企業システム１２、２２内でサポートされているか、またはモバイルエンドユーザシステム１３、したがって企業システム１２、２２などのエンドユーザシステムで使用されているかに対して、企業環境の外側でこのような企業ネットワークサービスを提供および使用することに主に関し、その操作を本発明の適切な態様に必要な範囲で本明細書で簡単にのみ説明する。
【００４３】
企業システム１２、２２およびモバイルエンドユーザシステム１３内で、例えばソフトウェアアプリケーションとして実行することができる仮想エクストラネットサービスポータルは、エンドネットワークサービスプロバイダおよびコンシューマがサービスネットワーク２０と相互作用することを可能にする。サービスポータルは、ユーザがサービスネットワーク内にログインし、フェデレーション識別または別の認証スキームによりサービススキームで認証することを可能にし、またエンドユーザがネットワークサービスを提供および／または消費する方法に実質的に影響を与えることなく、様々なサービスリストの表示などの他の追加の能力を可能にすることもできる。
【００４４】
接続１４、１５、２４は図１に示すように直接接続、または中間コンポーネント、および場合によってはアクセスネットワークと本明細書で全体的に呼ぶ他の通信ネットワークを横切る間接接続であってもよい。しかし、本発明は企業システム１２、２２、モバイルエンドユーザシステム１３、およびクライアントゲートウェイ１６、２６の間のネットワーク接続、またはあらゆる他の特定のタイプの接続に限るものではない。接続１４、１５、２４はしたがって、直接、間接、有線、および無線接続のいずれかを含むことができる。
【００４５】
サービスネットワーク２０へのアクセスは、クライアントゲートウェイ１６、２６によって企業システム１２、２２およびモバイルエンドユーザシステム１３に提供される。クライアントゲートウェイ１６、２６は、サービスネットワークプロバイダインフラ内のエッジデバイスであり、サービスネットワーク２０によって提供される仮想エクストラネットサービス内のゲートウェイを示している。各クライアントゲートウェイ１６、２６は基本的に、例えば、ネットワークサービスおよびＸＭＬ「スタンダード」と、新規特性に対するプロキシをサポートするウェブサービスゲートウェイ機能を実行するための安全ネットワークサービスプロキシアプライアンスである。一実施形態によると、クライアントゲートウェイ１６、２６はハードウェアを使用して少なくとも部分的に実施される高パフォーマンスデバイスであり、サービスネットワークプロバイダによって展開するための埋め込みソフトウェアで本明細書に開示されるような操作に対して構成されている。クライアントゲートウェイ１６、２６の例示的な実施例を、図２を参照して以下に詳細に説明する。
【００４６】
２つのタイプのサービスプロバイダがシステム１０内に含まれていることは前述のことから明らかだろう。ネットワークサービスは、企業システム１２、２２の一方または両方によって提供される。サービスネットワーク２０は、別のサービスプロバイダによって提供される。企業システム用のネットワークサービスプロバイダはしたがって、ネットワークサービスを提供し、サービスネットワーク２０のプロバイダはネットワークサービスプロバイダに、ネットワークサービスプロバイダが（１つまたは複数の）ネットワークサービスを独自のプライベートシステムの外側にあるネットワークサービスコンシューマによる使用で利用可能にすることができるサービスのネットワークを実行する別のサービスを提供する。ネットワークサービスのプロバイダは、本明細書では基本的に、ネットワークサービスプロバイダと呼ばれ、サービスネットワーク２０のプロバイダはサービスネットワークプロバイダと呼ばれる。したがって、ネットワークサービスプロバイダは１つまたは複数のネットワークサービスを提供し、サービスネットワークプロバイダはこれらのネットワークサービスを、図では仮想エクストラネットサービスモデル内で内部で管理し、外部で提供することを可能にする。多くの実施では、サービスネットワークプロバイダはまたサービスネットワークが構築された下層通信ネットワークを所有または操作することが期待されているが、これは本発明の全ての実施形態に当てはまる必要はない。
【００４７】
ネットワークコントローラ２８は、サービスマネージャの制御平面機能性を提供し、通信ネットワークのオペレータによって展開される、ネットワーク規模のデバイス、図ではエッジルータ用の専用カードまたは専用ＸＭＬアプライアンスとして実行することができる。仮想エクストラネットサービスを管理し、仮想エクストラネット内で公開された全てのウェブサービス、ポリシー、サービス内容合意（ＳＬＡ）、他のネットワーク監視データ用の中央格納庫をホスティングし、端末間ネットワークサービスアプリケーション用のポリシーを安全化、管理、提供および記憶するのに使用される。ネットワークコントローラ２８は、クライアントゲートウェイ１６、２６と同様に、図３を参照して例示的な実施例によって、以下にさらに詳細に説明する。
【００４８】
データトラフィックは、クライアントゲートウェイ１６、２６、および全体を１８で示すデータスイッチおよび／またはルーティング機器を通してサービスネットワーク２０を横切る。制御／管理トラフィックはネットワークコントローラ２８によって処理され、データトラフィックはクライアントゲートウェイ１６、２６によって、そこからスイッチ／ルーティングコンポーネント１８によって処理される。
【００４９】
サービスネットワーク２０は、仮想エクストラネットアーキテクチャとして実行することができる。一実施形態では、仮想エクストラネットは、例えば供給者（サプライヤ）、製造供給者（ベンダ）、パートナ、消費者、または他の企業を含む多数の企業と企業の情報または事業の一部を安全に共有するように、例えばインターネット技術および下位レイヤ１、２、３および４技術を使用するプライベート管理サービスネットワークの一種として、基本ネットワークプロバイダインフラ上に構築されたアプリケーションオーバーレイネットワークを示している。
【００５０】
オーバーレイネットワークはこの場合、ＸＭＬルータデバイスで示される、レイヤ１または２転送、ＩＰルーティングおよび／またはアプリケーションレベルルーティングを使用して実行することができる仮想ネットワークファブリックを示している。仮想エクストラネットネットワークは、同期通信、例えばＲＥＱＵＥＳＴ／ＲＥＳＰＯＮＳＥ、および非同期通信に対する接続性および機構を提供することができる。
【００５１】
サービスネットワーク２０、２３の仮想ネットワーク内のアプリケーションレベルオーバーレイは、ＸＭＬルータなどのアプリケーションレベルルータを使用して実施することができる。アプリケーションレベルルータは、下層通常ネットワーク機器を使用してだが、互いにおよびアプリケーションレイヤでのクライアントゲートウェイと通信する。オーバーレイネットワークは普通、信頼性のあるマルチキャストを実行するように、伝送制御プロトコル（ＴＣＰ）などの信頼性のあるポイント間バイトストリームを使用する。サービスネットワーク２０をオーバーレイとして構築することにより、サービスネットワーク２０を従来のプライベートネットワークサービス共有技術と比べて比較的簡単に変更および展開することが可能である。オーバーレイサービスネットワークはまた、ＸＭＬパケットを効果的にルーティングすることができるロバストメッシュを構築する効果的な方法である。
【００５２】
本発明が属する技術分野の当業者は、アプリケーションレイヤネットワークをオーバーレイすることができる多くの異なるタイプの通信ネットワークに詳しいだろう。本発明は、いかなる方法でもあらゆる特定のタイプの下層通信ネットワークに限るものではない。
【００５３】
また、本発明の実施形態はオーバーレイネットワークの代わりに、より下位レイヤの技術を使用して実施することができることを理解すべきである。オーバーレイネットワークアーキテクチャは、サービスネットワーク２０の可能な実施の一例である。
【００５４】
操作中、サービスネットワーク２０は企業システム１２、２２のいずれか一方によって提供されるネットワークサービスを、他の企業システム内のユーザ、およびモバイルエンドユーザシステム１３などのサービスネットワーク２０の他のメンバとアクセス可能にすることを可能にする。サービスネットワーク２０によって実行されるサービスは、それぞれ通信プロトコルおよび管理機能をサポートする、２つの個別のタイプのネットワーク要素、クライアントゲートウェイ１６、２６およびネットワークコントローラ２８によってサポートされる。
【００５５】
サービスネットワーク２０のフレームワークは、通信プロトコル、サービス記述、およびサービスディスカバリを含む３つの領域に分割することができる。一実施形態では、サービスネットワーク２０は、これらの領域のそれぞれに対して開発された既存のスタンダードおよび仕様を使用する。
【００５６】
例えば、通信プロトコルの領域では、ＳＯＡＰはウェブクライアントとウェブサーバアプリケーションの間でウェブサービスメッセージをトランスポートするのに使用することができる１つの標準プロトコルである。ＳＯＡＰはまた、使用されているルーティングおよびセキュリティ機構に関する追加情報の伝送を行う。
【００５７】
ウェブサービス記述言語（ＷＳＤＬ）は、ウェブサービスメッセージの記述を行い、ネットワークサービス技術に対する標準化された解決法の実施例を示すＸＭＬベース言語である。
【００５８】
これらのウェブサービスプロトコル（ＳＯＡＰおよびＷＳＤＬ）は、カスタムコードを必要とすることなく、あらゆるプラットフォーム上のあらゆるところで機能性をバインドおよび実行する能力およびメッセージング機器を提供する。
【００５９】
１つのよく知られているサービスディスカバリ機構は、ユニバーサルディスクリプションディスカバリアンドインテグレーション（ＵＤＤＩ）である。ＵＤＤＩは、企業およびアプリケーションが、インターネット上でウェブサービスをすばやく見つけることを可能にし、操作レジストリを維持することを可能にする。異なる企業からのＵＤＤＩリスト利用可能ウェブサービスは、その記述、ロケーション、サービス記述、関連するアクセスリストおよびセキュリティレベルを与える。
【００６０】
本明細書で言及され、本発明の実施形態を実施するのに使用することができる他のウェブサービス基準は、信頼性のあるメッセージング（ＷＳ信頼性）、ポリシー（ＷＳポリシー）、およびフェデレーション識別（ＷＳフェデレーション）に関する標準を含んでいる。
【００６１】
上記仕様および基準がよく知られているが、本発明の実施形態によればサービスのネットワークを提供するこれらの基準の使用は知られていない。
【００６２】
上に簡単に説明したように、クライアントゲートウェイ１６、２６は、サービスネットワーク２０によって提供された仮想エクストラネットサービスのクライアント用のサービス運搬ポイントである。クライアントゲートウェイ１６、２６はまた、プライベートエクストラネットサービスへの安全なアクセスを提供して、図１のサービスのプロバイダおよびクライアントの両方、企業システム１２、２２、およびモバイルエンドユーザシステム１３を保護する。
【００６３】
サービスネットワーク２０を通したクライアントゲートウェイ１６、２６間の通信は、安全であることが好ましい。ＷＳセキュリティ、ＸＭＬ暗号化、およびＸＭＬ署名などの標準ベースセキュリティ技術を使用して、企業システム１２、２２、および場合によってはモバイルエンドユーザシステム１３に対して普通は既に確立された現行の企業入口および出口証明書を活用しながら、安全通信を提供することができる。これらの標準ベース技術と、当業者に自明である他の技術は、企業システム１２、２２内の認証されたサービスコンシューマ、およびモバイルエンドユーザシステム１３が仮想エクストラネットサービスネットワーク２０に参加することができることを保証する。
【００６４】
クライアントゲートウェイ１６、２６はまた、入ってくる通信トラフィックデータを、ネットワークコントローラ２８に転送される制御トラフィック、およびコンポーネント１８を通して宛先に向かって転送されるデータトラフィックに分類および分割する。
【００６５】
普通、ウェブサービスアプリケーションなどのネットワークサービスの潜在的コンシューマは、存在すると知られているネットワークサービスの使用を行うことしかできない。したがって、ネットワークサービスプロバイダが潜在的コンシューマに対するネットワークサービスの存在と通信することが望ましい。これは、例えばレジストリに対してネットワークサービスを公開することによって達成することができる。図１のシステム１０では、クライアントゲートウェイ１６、２６により、企業システム１２、２２がサービスネットワーク２０に対してそれぞれの内部ネットワークウェブサービスを公開することを可能にする。クライアントゲートウェイ１６、２６はまた、企業システム１２、２２およびモバイルエンドユーザシステム１３が、サービスネットワーク２０の他のメンバによって提供された外部ネットワークサービスを消費することを可能にする。
【００６６】
本明細書にさらに詳細に開示するように、企業システム１２、２２によって提供されたサービスがサービスネットワーク２０の他のメンバに利用可能にされる範囲は、クライアントゲートウェイ１２、２２およびネットワークコントローラ２８によって制御することができる。
【００６７】
ネットワークサービスプロバイダはしたがって、サービスネットワーク２０の他のメンバによる使用のためにサービスネットワーク２０に対して内部ネットワークサービスを公開することができる。多くの実施では、サービスネットワーク２０および各企業システム１２、２２は、安全プライベートネットワークであることが期待され、接続１４、１５、２４上の通信も安全である。これは、安全トンネル技術を使用して達成することができ、その例は当業者にはすぐに分かるだろう。クライアントゲートウェイ１６、２６のアクセスおよびネットワーク側の両方での安全通信は、サービスネットワーク２０のメンバに利用可能なプライベートネットワークサービスがサービスネットワーク２０のメンバによってのみ提供され、サービスネットワーク２０のメンバによって消費することしかできない安全レベルを提供する。
【００６８】
ネットワークサービスプロバイダおよびコンシューマによるサービスネットワーク２０との通信が、クライアントゲートウェイ１６、２６を横切るので、クライアントゲートウェイ１６、２６はまた、例えば規則およびポリシーコンプライアンスを維持するために、ローカルでおよび／またはネットワークコントローラ２８によって使用することができる包括的監査記録を捕捉することができる。監査記録はまた、あるいは代わりに、コンシューマに対するサービスチャージを認めるためのマイクロ請求書作成能力を有する請求書作成システムなどの他のコンポーネントまたはシステムによって使用することができる。
【００６９】
ネットワークコントローラ２８は、サービスネットワーク２０に対して中央制御平面機能を与え、したがって、ネットワークサービスグローバル格納庫を維持する主な責任を有するネットワークサービスマネージャの機能性を実施する。クライアントゲートウェイ１６、２６と同様に、ネットワークコントローラ２８は、サービスネットワークプロバイダによる展開のために標準ベースソフトウェアを備えた高パフォーマンスハードウェアベースデバイスとして実施することができる。ネットワークコントローラ２８は、端末間ネットワークサービスアプリケーション用ポリシーを保護、管理、提供、および施行するために、また利用可能なネットワークサービスのリストを表示および管理するために、サービスネットワーク２０の仮想エクストラネットサービスを管理するために使用される。ネットワークコントローラ２８はサービスネットワーク管理実体であり、クライアントゲートウェイ１６、２６は実際のデータに関するポリシーおよびセキュリティ規則を施行する。データトラフィックは、クライアントゲートウェイ１６、２６を通して図１に１８で示すプロバイダのコアネットワークを横切り、ネットワークコントローラ２８は制御および管理トラフィックを処理する。
【００７０】
ネットワークコントローラ２８は、ロケーション、所有権、アクセスレベルグループ、サービスリスト、およびネットワークサービスの他の基本的特徴などの情報のネットワークウェブサービス記憶および管理、中央ポリシー格納庫および権利管理、セキュリティ仕様、例えばエンドビジネス間トランザクションに適切な難しいサービス品質（ＱｏＳ）要件などのＳＬＡ要件、およびクライアントプロファイル、トランザクション監査サービス、ログなどのものに対する追加の格納庫を含む、コア機能の少なくともサブセットを実施することが好ましい。
【００７１】
端末間トランザクションセキュリティ、メッセージトランスポートの信頼性、および識別管理を提供することができるように、ネットワークサービスプロバイダおよびサービスネットワークプロバイダは通常、１セットの組み合わせた管理機能を提供するように中間グラウンド上で接触しなければならないだろう。ネットワークコントローラ２８は、クライアントゲートウェイ１６、２６と合わせて、サービスネットワーク２０のエッジで同じ機能を提供する標準ベースプロキシモジュールを備えた各企業のプライベート管理方法およびツールに代えることによって、企業システム１２、２２の負担を取ることができる。
【００７２】
ネットワークコントローラ２８はまた、ローカル企業アプリケーションを識別プロバイダサービス、ＸＭＬデジタル署名検証サービス、ＸＭＬスキーマインテグリティなどの特定のセキュリティ態様を提供することから解放することによって、いくつかのセキュリティ機能をエクストラネットに委任することを可能にすることもできる。仮想エクストラネットサービスを使用することによって、企業内および間のアプリケーションインテグレーションはより簡単および効率的になり、エンドコンシューマビジネスアプリケーションはより見えるようになり、企業システムへのパートナの追加に関連する費用および複雑性が少なくなる。
【００７３】
ネットワークコントローラ２８はまた、サービスネットワーク２０の全てまたは選択したメンバへサービスネットワーク２０内の内部ネットワークサービスのリストを安全に提供する手続きを管理する。
【００７４】
クライアントゲートウェイ１６、２６およびネットワークコントローラ２８の操作を、図２および３を参照して以下にさらに詳細に説明する。
【００７５】
クライアントゲートウェイ１６、２６を最初に考えると、図２は例示的クライアントゲートウェイのブロック図である。クライアントゲートウェイ３０は、サービスネットワークインターフェイス３２と、アクセスネットワークインターフェイス３４と、インターフェイス３２、３４およびメモリ３７に動作可能に結合されたポリシー施行モジュール３６と、ポリシー施行モジュール３６およびメモリ３７に動作可能に結合されたセキュリティモジュール３８と、インターフェイス３２、３４、ポリシー施行モジュール３６、セキュリティモジュール３８、およびメモリ３７に動作可能に結合されたＳＯＡＰプロキシモジュール４２と、ＳＯＡＰプロキシモジュール４２およびメモリ３７に動作可能に結合されたデータコレクタモジュール４０と、ポリシー施行モジュール３６、セキュリティモジュール３８、ＳＯＡＰプロキシモジュール４２、およびアクセスネットワークインターフェイス３４に動作可能に結合されたＵＤＤＩプロキシモジュール４１と、ポリシー施行モジュール３６、セキュリティモジュール３８、およびＳＯＡＰプロキシモジュール４２に動作可能に結合されたサービス処理モジュール４３と、サービス処理モジュール４２、サービスネットワークインターフェイス３２、およびアクセスネットワークインターフェイス３４に動作可能に結合された転送／ルーティングモジュール４４とを備えている。このような接続は混乱を避けるために図２に明示的には示していないが、クライアントゲートウェイ３０の他のコンポーネントのいずれかまたは全てを、メモリ３７および／またはデータコレクタモジュール４０に動作可能に結合することができることを理解すべきである。
【００７６】
アクセスネットワークインターフェイス３４は、これを通してクライアントゲートウェイ３０が企業システム、または他の形のネットワークサービスプロバイダまたはコンシューマに接続するリモートアクセスポイントを示している。図２ではアクセスネットワークインターフェイスとして示されているが、ネットワークサービスプロバイダおよびコンシューマは、必ずしもネットワーク接続によりクライアントゲートウェイと通信する必要はない。したがって、インターフェイス３４は、厳密にネットワーク接続であってもなくてもよい、アクセス接続を通してサービスネットワークのメンバにインターフェイスを提供することを理解すべきである。
【００７７】
アクセスネットワークインターフェイス３４の構造および操作は、クライアントゲートウェイ３０がそのクライアントと通信する接続のタイプに左右される。普通、アクセスネットワークインターフェイス３４は、通信媒体と通信信号を交換する物理的コンポーネントと、通信信号を生成および処理するハードウェアおよび／またはソフトウェア実行コンポーネントとを備えている。このようなインターフェイスの様々な実施形態は当業者には自明のことであろう。
【００７８】
一実施形態によれば、アクセスネットワークインターフェイス３４は、サービスネットワーク２０内に接続しようとするクライアントに対するセキュリティトンネル終端を行う（図１）。仮想ローカルエリアネットワーク（ＶＬＡＮ）トンネル、ポイントツーポイントプロトコル（ＰＰＰ）、マルチプロトコルラベルスイッチング（ＭＰＬＳ）、およびＩＰセキュリティ（ＩＰＳｅｃ）は全て、クライアントと通信するためにアクセスネットワークインターフェイス３４によって使用することができるプロトコルの例である。他のプロトコルおよび通信スキームは、当業者に自明のことであろう。
【００７９】
メモリ３７は、情報を記憶するための、固体メモリデバイスなどの１つまたは複数のメモリデバイスを備えることができる。移動可能および／または取外可能記憶媒体と合わせて使用するメモリデバイス、および異なるタイプの多数のメモリデバイスを含む他のタイプのメモリデバイスはまた、メモリ３７として提供することができる。クライアントゲートウェイ３０内でメモリ３７として実行される１つまたは複数のメモリデバイスのタイプは、設計の問題であり、クライアントゲートウェイ３０が中で実行される機器の特定のタイプに左右される。例えば通信機器用回路カードは通常、メモリ３７などの揮発性または不揮発性固体メモリデバイスである。
【００８０】
本明細書を読み進めるとともに明らかになるように、メモリ３７内に記憶された情報は、それぞれの機能を行う際にクライアントゲートウェイ３０の機能コンポーネントによって使用することができる。機能コンポーネント３６、３８、４０、４１、４２、４３、４４のいずれかまたは全ては、メモリ３７内に記憶された情報にアクセスすることができる。同様に、混乱を避けるために図２にはメモリ３７とインターフェイス３２、３４の間の接続が示されていないので、これらのインターフェイスまたはその内部コンポーネントはまたメモリ３７と相互作用することができる。
【００８１】
機能コンポーネント３６、３８、４０、４１、４２、４３、４４のいくつかまたは全てと、インターフェイス３２、３４の内部機能またはコンポーネントは、メモリ３７内に記憶することもできるソフトウェアとして実行することができる。
【００８２】
図２のコンポーネント間の内部接続の形は、クライアントゲートウェイ３０が実施される、特定のタイプの機器に左右される。例えば内部バス構造はしばしば、電子デバイス内で使用されるが、他のタイプの接続を内部バスに加えて、またはその代わりに使用することができる。また、相互接続は例えばソフトウェアベース実行の場合と同様に、必ずしも物理媒体を介してである必要はないことを理解すべきである。
【００８３】
クライアントゲートウェイ３０のサービスネットワーク機能を実行する機能コンポーネントは、図２のアクセス側機能よりいくらか詳細に示されている。というのは、本発明の実施形態は基本的に、アクセスネットワークインターフェイス３４のサービスネットワーク側で行われる機能に関するからである。例えば、アクセスネットワークインターフェイス３４はアクセス接続に対するセキュリティ機能を提供するが、ネットワーク側セキュリティ機能を提供するセキュリティモジュール３８が、図２のサービスネットワークインターフェイス３２とは別に示されている。他のネットワーク側機能コンポーネントは同様に、図示する目的で、図２に別に示されている。
【００８４】
クライアントゲートウェイ３０内の別個の機能コンポーネントのこの図示は、本発明を制限することを意図したものではない。クライアントゲートウェイのネットワーク側機能は、場合によっては異なる相互接続で、図２に明示的に示すのよりさらに多いまたは少ないコンポーネントを使用して実施することができる。例えば、ポリシー施行モジュール３６の機能は、ポリシーを適用する各コンポーネント内に組み込むことができる。セキュリティポリシーは、例えば、セキュリティモジュール３８によって管理も適用もできる。
【００８５】
ソフトウェアベースの実施形態では、機能はそれぞれのソフトウェアモジュール内で実施する、または単一のハードウェアコンポーネント、すなわちマイクロプロセッサなどのプロセッサ、特定用途向け集積回路（ＡＳＩＣ）、デジタルシグナルプロセッサ（ＤＳＰ）、またはマイクロコントローラによる実行のためにより少ないソフトウェアモジュール内に組み込むことができる。ソフトウェアは代わりに、例えば、多数のハードウェアコンポーネント、マイクロプロセッサ、およびＤＳＰ、またはネットワークプロセッサプラスいくつかのＡＳＩＣおよびＦＰＧＡによって実行することができる。一部の機能がソフトウェア内で実行され、その他がソフトウェアよりも速く動作する傾向があるハードウェア内で実行される組合せた実行も考えられる。
【００８６】
したがって、機能は図２に示すのとは異なる方法で分割または統合することができ、本明細書に記載した機能モジュールのいずれかをソフトウェア、ハードウェア、またはそのいくつかの組合せで実行することができる。
【００８７】
ポリシー施行モジュール３６は、クライアントプロファイル内のサービスネットワーククライアントによって構成され、ネットワークコントローラ２８に対するそのサービスの記述内で公表されるようなネットワークサービスに対するサービスネットワークポリシー施行を実施する。
【００８８】
従来の要件を特定するポリシーアサーション、および例えば、特定のカスタマおよび／またはトランスポートプロトコル選択に必要な認証スキームなどの、ワイヤ上で最終的に明らかになる能力は、クライアントゲートウェイ内で実施される。したがって、これらのポリシーアサーションは、ネットワークコントローラからクライアントゲートウェイ内にダウンロードされ、ポリシー施行モジュール３６によって施行される。
【００８９】
ネットワークサービスプロバイダおよびコンシューマの認証および許可、ネットワークサービスを必要とし、ネットワークサービスに関連する通信トラフィックのプライバシーおよびインテグリティを保証するトランザクションの管理および実証は、他のコンポーネントと合わせてポリシー施行モジュール３６によってポリシーを施行する際に必要とされる可能性がある機能の例である。ポリシー施行モジュール３６は、例えばメッセージデジタル署名を実証することなどによる認証のために、セキュリティモジュール３８と相互作用することができる。したがって、セキュリティポリシーの施行は、ポリシーを管理するポリシー施行モジュール３６、およびクライアントを認証し、例えば場合によっては通信トラフィックを通過させるまたは落とすことによってポリシーを実際に適用するセキュリティモジュール３８の両方を必要とする可能性がある。
【００９０】
したがって、ポリシー施行モジュール３６自体は実際、施行のために管理するポリシーを適用する必要がないことを理解すべきである。ポリシーをサービスネットワーククライアントおよびトランザクションに適用させるためのポリシー施行モジュール３６および他のコンポーネントの間の相互作用は、本明細書を読み進めるとともに明らかになるだろう。
【００９１】
クライアントゲートウェイ３０でのポリシー施行モジュール３６により、現在の企業中心ネットワークサービスで起こるような各特定ネットワークウェブサービスではなく、仮想エクストラネットサービスでのクライアント認証が行われる。アクセスネットワークインターフェイス３４がこれによって通信するネットワークサービスプロバイダシステム内のネットワークサービスコンシューマは、クライアントゲートウェイ３０のクライアントであり、クライアントゲートウェイ３０での単一のサインオンによるサービスネットワークにわたってネットワークサービスへのアクセスを得る。クライアントゲートウェイ３０はしたがって、そのクライアントからサービス毎認証負担を取り除く。クライアント認証で使用される情報は、メモリ３７、好ましくは安全メモリデバイスまたは領域内に記憶することができる１つのタイプの情報の例である。
【００９２】
クライアントＸＭＬデジタル署名が存在しない場合では、ポリシー施行モジュール３６は、セキュリティアサーションの点でエンドネットワークサービスが期待するものによりセキュリティアサーションを生成するように、セキュリティモジュール３８と協働することができる。新規のセキュリティアサーションは、クライアントの認証、およびメッセージのインテグリティをアサートするようにサービスメッセージに取り付けられる。
【００９３】
クライアントの識別「優先」が存在するが、ネットワークサービスの「優先」とは異なる場合、ポリシー施行モジュール３６は、特定のデジタル認証、図ではＸ．５０９認証をセキュリティアサーションマークアップ言語（ＳＡＭＬ）アサーションなどの異なるセキュリティアサーション内にマッピングするように、セキュリティモジュール３８と協働することができる。
【００９４】
ＳＡＭＬ、ＷＳ−Ｆｅｄｅｒａｔｉｏｎ、およびＷＳ−Ｔｒｕｓｔなどの標準により描かれる知られている機構は、これらの機能に使用されることが好ましい。
【００９５】
一実施形態では、ポリシー施行モジュール３６は、フェデレーション識別のハードウェア実施、アクセス制御、およびネットワークコントローラ２８を使用して前もってセットアップされたポリシーの施行を提供する（図１）。フェデレーション識別はユーザが、ユーザ識別を生成および認証し、その後、個人情報を中心記憶することなくドメインとサービスプロバイダの間の識別を共有することが可能になる。
【００９６】
ウェブサービス操作に対して調整されたＳＬＡはまた、クライアントゲートウェイ３０がこれを通してそのクライアントおよびサービスネットワークと通信するアクセス側およびネットワーク側通信リンクのいずれかまたは両方の定位置にあってもよい。ポリシー施行モジュール３６はまた、メモリ３７内に記憶することができる、ＳＬＡ関連パラメータを施行するように通信トラフィックレベルを監視することができる。
【００９７】
上に簡単に説明したように、本発明の実施形態による仮想エクストラネットサービスネットワークはＸＭＬ基準ベースであり、したがってポリシー施行モジュール３６は、以下に説明するサービス処理モジュール４３と合わせて、アクセスネットワークインターフェイス３４を通してクライアントゲートウェイ３０のクライアントから受けた入口データトラフィックに対してＸＭＬメッセージヘッダおよびメッセージペイロード変換を施行することもできる。変換はまた、他のメッセージフォーマットからＸＭＬ基準ベースネットワークサービスメッセージ内に行うことができる。逆変換と、アクセスネットワークおよびサービスネットワーク内で使用された非ＸＭＬフォーマット間の変換も考えられる。
【００９８】
セキュリティモジュール３８は、サービスネットワーク上の通信のセキュリティを保証するようにセキュリティ基準を実行する。いくつかの実施形態では、セキュリティモジュール３８は、ＷＳセキュリティ、ＸＭＬ暗号化／記述、およびＸＭＬ署名などのウェブサービス基準ベースツールを使用してサービスネットワークメンバー間の安全なデータ経路を提供する。これらのツールにより、クライアントゲートウェイ３０は既存のセキュリティプロトコルを利用することが可能であり、許可されたサービスコンシューマが端末間プライベートビジネスネットワークに参加することができることを保証することができる。セキュリティモジュール３８はしたがって、いくつかの実施形態では、コアエクストラネットサービスを凌ぐ改良のために中央認証およびキー管理サービスを示す。セキュリティモジュール３８は、クライアントゲートウェイ３０の全ての他のモジュール、特に、ポリシー施行モジュール３６、ＵＤＤＩプロキシモジュール４１、ＳＯＡＰプロキシモジュール４２、サービス処理モジュール４３、および両方のネットワークインターフェイス３２、３４にセキュリティ機能を与える。これらの機能は、遠隔通信セキュリティの分野でよく知られているプロトコルを使用した、署名の実証、暗号化、復号化、署名、および対称または非対称キーの交換のいずれかまたは全てを含むことができる。
【００９９】
ＳＯＡＰプロキシモジュール４２は、クライアントとサービスネットワークの間のメッセージの流入出のためのＳＯＡＰヘッダ処理を行う。ＳＯＡＰプロキシモジュール４２は、２つのネットワークインターフェイス、アクセスネットワーク３４のインターフェイス、およびサービスネットワークインターフェイス３２内に２つのサービスアドレスを有するホストである。アクセスネットワーク内のクライアントに関する限り、サービスネットワークによってクライアントに公表された全てのサービスは、ＳＯＡＰプロキシモジュール４２から提供されると思われる。
【０１００】
２つの接続されたネットワークのいずれかからのメッセージは、ＳＯＡＰプロキシモジュール４２にアドレス指定され、このモジュールは、ＳＯＡＰメッセージを受け、ヘッダ処理などの機能および変更を行い、メッセージを適切な処理機器、ＵＤＤＩプロキシモジュール４１、またはサービス処理モジュール４３に中継する。また、ＵＤＤＩプロキシモジュール４１およびサービス処理モジュール４３からのメッセージは、ＳＯＡＰプロキシモジュール４２に送信される。ＵＤＤＩプロキシモジュール４１、またはサービス処理モジュールから受信されたメッセージは、例えば情報を処理するユニフォームリソースアイデンティファイア（ＵＲＩ）を加えるように、ＳＯＡＰプロキシモジュール４２によって処理することができる。ＳＯＡＰプロキシモジュール４２はまた、流出するメッセージ上でネットワークサービスポリシーを実施するようにポリシー施行モジュール３６およびセキュリティモジュール３８と相互作用し、その後、適切なインターフェイス上にメッセージを送信する。ポリシー施行、セキュリティ、アクセス制御、監査、およびクライアントゲートウェイ３０の他のモジュールに関連する他の機能はしたがって、各メッセージに対してＳＯＡＰプロキシモジュール４２によってトリガすることができる。
【０１０１】
ＳＯＡＰプロキシモジュール４２の操作を例示するために、以下の例示的な実施例が考えられる。１つの企業ＥＢによって別の企業ＥＡに提供されるサービスは、クライアントゲートウェイのＳＯＡＰプロキシモジュールＳＰＡのＵＲＩから提供されているように見えるように、ＥＡに関連するクライアントゲートウェイによってプロキシ化される。企業ＥＢによって提供されるサービスに対する企業ＥＡからのサービス要求は、１組の機能を適用し、サービス処理モジュール４３にメッセージを通過させる、ＳＯＡＰプロキシモジュールＳＰＡに送信される。サービス要求を処理する際、サービス処理モジュール４３は、それぞれＳＯＡＰソースおよび宛先ＵＲＩ ＳＰＡおよびＳＰＢを加える、ＳＯＡＰプロキシモジュールにメッセージを通過させ、ＳＰＢは企業ＥＢのクライアントゲートウェイに関連するＳＯＡＰプロキシモジュールである。要求はその後、ＳＰＡからＳＰＢに送信される。
【０１０２】
ＳＯＡＰプロキシモジュールＳＰＢはさらに、ＳＯＡＰソースを操作し、要求を企業ＥＢに転送する前にＳＰＢおよびＥＢにメッセージのＵＲＩをアドレス指定する。逆の方向では、同様の変更がレスポンスに適用される。ＳＯＡＰ ＵＲＩは、サービスＵＲＩ、およびそのサービスに関連するゲートウェイのＳＯＡＰプロキシの両方を記憶するように操作される。
【０１０３】
ＳＯＡＰプロキシモジュール４２は、流入するトラフィックを、ＵＤＤＩプロキシモジュール４１に転送されるＵＤＤＩ制御トラフィック、およびサービス処理モジュールに転送されるデータトラフィック、図ではＸＭＬトラフィックに分類および分割する。トラフィック分類は、例えば深いパケット検査を必要とする可能性がある。
【０１０４】
混乱を避けるために図２には明示的には示さないが、ＳＯＡＰプロキシモジュール４２のトラフィック分類子は、ネットワークコントローラでの制御および／または管理トラフィックの交換を行うように、サービスネットワークインターフェイス３２、またはネットワークコントローラとの通信をサポートする別のインターフェイスに動作可能に結合することができる。ＳＯＡＰプロキシモジュール４２は制御および／または管理トラフィックをネットワークコントローラから受けることができることも、また理解されるべきである。
【０１０５】
ＵＤＤＩプロキシモジュール４１は、新規のウェブサービスを公開する、または既存のウェブサービスの公開された変更にサブスクライブしようとするクライアントから受けた全てのＵＤＤＩ公開要求に対して、サービスエクストラネットネットワークによってホスト化されたＵＤＤＩ中央格納庫内のアクセスポイントとして、また「ファインドサービス」操作を開始するクライアントから受けた全てのＵＤＤＩ照会要求に対して、プロキシモジュールとして働く。ネットワークサービスへのクライアントアクセスは、本明細書で開示されるように、ネットワークサービスポリシーにより制御される。これらのポリシーは、情報がファインドサービスまたはアナログ操作に応じて、クライアントシステムに戻されるネットワークサービスを制限するように、ポリシー施行モジュール３６自体によって、またはＵＤＤＩプロキシモジュール４１と合わせて施行することができる。
【０１０６】
ＵＤＤＩプロキシモジュール４１は、入口ＵＤＤＩベースメッセージを期待する。ＵＤＤＩフレームではない全ての他のメッセージは、ＵＤＤＩプロキシモジュール４１によって処分することができる。
【０１０７】
ＵＤＤＩプロキシモジュール４１は、クライアントゲートウェイレベルでローカルでＵＤＤＩエントリをキャッシュすることができる。これにより、ＵＤＤＩプロキシモジュール４１が、新規ＵＤＤＩ照会要求を受けた場合に、ローカルエントリルックアップおよび解決を行うことが可能になる。ＵＤＤＩエントリがローカルで見つかる場合、その後ＵＤＤＩレスポンスメッセージが生成され、サービスを要求するクライアントに向かって送信し戻される。
【０１０８】
ＵＤＤＩエントリがローカルで見つからない場合、その後、ＵＤＤＩグローバル格納庫内へのグローバルルックアップに対して、ＵＤＤＩ照会メッセージはネットワークコントローラに送信される。エントリはネットワークコントローラによって解決されると、ＵＤＤＩレスポンスは要求が来た同じクライアントゲートウェイに送り戻される。クライアントゲートウェイ３０は、別のＵＤＤＩルックアップ用のＵＤＤＩ情報を習得および記憶することができる。
【０１０９】
したがって、ＵＤＤＩプロキシモジュール４１は、サービス要求のローカルおよびリモート解決を処理することができる。
【０１１０】
サービス処理モジュール４３は、ＳＯＡＰプロキシモジュール４２からサービスメッセージを受け、サービスメッセージを処理し、サービスメッセージをＳＯＡＰプロキシモジュール４２に送信する。サービス処理モジュール４３の１つの一次機能は、ネットワークサービスに関連し、ネットワークサービスプロバイダとコンシューマの間で交換されているデータトラフィックを処理することである。一実施形態では例えば、ＳＯＡＰプロキシモジュール４２を通してアクセスネットワークから来るサービスメッセージは、サービスネットワークアドレス指定およびフォーマット化規則にそれを適応させるようにメッセージを解析および変更する、サービス処理モジュール４３に送信される。フォーマット化規則は、例えば、ポリシー施行モジュール３６によって管理されるサービスネットワーク変換ポリシー内で特定することができる。サービス処理モジュール４３はその後、対応するサービスメッセージをネットワークサービスプロバイダに関連するクライアントゲートウェイにＳＯＡＰプロキシモジュールを通して、サービスネットワークにわたって送信する。
【０１１１】
転送／ルーティングモジュール４４は、サービスネットワーク内の宛先に向けて、転送／ルーティング決定（レイヤ１またはレイヤ２転送、ＩＰおよび／またはＸＭＬルーティング）を行うことが好ましい。このモジュール４４は、ＩＰトラフィックを処理し、必要に応じてＤＮＳルックアップを完備し、ＸＭＬレベルでのネットワーキングを行う能力を有する可能性があるが、他の実施形態は１つだけの、異なる、または場合によっては追加のルーティング機構を提供することができる。
【０１１２】
アプリケーションレイヤルーティングが行われる場合、モジュール４４の基本機能は、サービス処理モジュール４３にコンテンツベースルーティングを行うことである。サービス処理モジュール４３は、公開されたメッセージに対してＳＯＡＰ端点を識別するのに、転送／ルーティングモジュール４４を使用することができる。ＳＯＡＰプロキシモジュール４２、サービス処理モジュール４３、および転送／ルーティングモジュール４４の例示的な実施形態は、公開サブスクライブ式ネットワーク用の必要な機構を提供する。
【０１１３】
転送／ルーティングモジュール４４のアプリケーションルーティングレイヤは任意であり、通知およびイベント分配タイプサービスをサポートするのによく適している。一実施形態では、アプリケーションルーティングレイヤは、サブスクリプションデータベース内にクライアントサブスクリプションを記憶し、サブスクリプションデータベース内の１式のエントリに一致するＸＭＬマルチキャストドキュメントを受ける際に、ドキュメントを必要とする次のＳＯＡＰ端点を識別するようにこれらのエントリを使用し、ＳＯＡＰプロキシモジュール４２を通してこれらの端点にドキュメントを転送する。ドキュメントのサブスクリプション、およびドキュメントの公開は、ＷＳ−ＮｏｔｉｆｉｃａｔｉｏｎおよびＷＳ−Ｅｖｅｎｔｉｎｇ推奨でアウトライン化された標準化機構にしたがう。
【０１１４】
サービスネットワークインターフェイス３２は、少なくとも物理的インターフェイスをサービスネットワークに提供する。サービスネットワークインターフェイス３２のタイプおよび構造、およびサービスネットワークで交換された通知トラフィックで行うことができる他の操作は、サービスネットワーク依存である。このようなネットワークインターフェイスの多くの実施例は、当業者には自明のことであろう。
【０１１５】
データコレクタモジュール４０は、次の記憶および処理のために、ネットワークコントローラまたは他のコンポーネントにローカル処理および／または転送することができるリアルタイム管理および請求書作成情報を集める。
【０１１６】
全ての操作が、ポリシー施行モジュール３６、およびセキュリティモジュール３８内のセキュリティ施行ポイントで首尾よく実行されると、安全なクライアント識別およびメッセージインテグリティをサービスエクストラネットワーク内で保証することができる。
【０１１７】
このポイントで、データコレクタモジュール４０は様々な管理および請求書作成操作に対してリアルタイム情報をプルすることができる。データは、トランザクション監査、パフォーマンス監査、イベント監視、トランザクション端末間ビジネスアクティビティ監視（トランザクション完了／失敗）、アクティビティログ、ＳＬＡ監視、注意およびエラー閾値、警告などのアクティビティに対して集めることができる。データコレクタ４０は、処分ポリシーなどの上で統計をコンパイルするポリシー施行レベルで、セキュリティポリシー毎に処分されるパケットを数えるためにセキュリティモジュール３８の後などに、データパス内の様々なステージのいずれかで情報を収集することができる。
【０１１８】
図２に示すようなクライアントゲートウェイは、ネットワークサービスプロバイダがローカルサービスなどのサービスネットワーク内にサービスを提供することを可能にし、ネットワークサービスコンシューマがサービスネットワーク内で利用可能なネットワークサービスを使用することを可能にする、またはその両方のように構成することができる。クライアントゲートウェイ３０のクライアント企業は、企業アプリケーションサーバの形のネットワークサービスプロバイダと、エンドユーザサービスコンシューマの両方を含むことができる。
【０１１９】
クライアントゲートウェイ３０のクライアントがクライアントゲートウェイ３０で認証され、そのネットワークサービスをサービスネットワーク内に提供したいと望む場合、クライアントから、図ではアクセスネットワークインターフェイス３４で終端する安全トンネルを通して受ける制御トラフィックは、上記のように処理され、サービスネットワーク内でネットワークコントローラに転送される。
【０１２０】
サービスネットワーク内のネットワークサービスのアベラビリティのレベルは、ネットワークサービスプロバイダ、またはネットワークコントローラによって特定される明示アクセス制御規則に基づき決めることができる。ネットワークサービスプロバイダは、独自のプライベート企業システム内のコンシューマによってのみ使用するためにネットワークサービスがプライベートであることを要求することができる。サービスネットワークの他のメンバにアクセス可能ではないが、サービスネットワーク内でのプライベートネットワークサービスへのアクセスを制限することにより、ネットワークサービスプロバイダが、例えばポリシー施行およびレジストリホスティングを含む、サービスネットワークの他の機能を利用することが可能になる。ネットワークサービスプロバイダが、ネットワークサービスが利用可能にされる特定のサービスネットワークメンバまたはグループを特定する、セミプライベートネットワークサービスも想像される。制限されていないネットワークサービスは、サービスネットワークの全てのメンバにアクセス可能である。
【０１２１】
所定のネットワークサービスアクセス制御は代わりに、ネットワークコントローラで構成し、ネットワークサービスまたはネットワークサービスのプロバイダのタイプまたはクラスによりネットワークサービスに適用することができる。特定のタイプの、または特定のネットワークサービスプロバイダクラスからの全てのネットワークサービスは、ネットワークサービスプロバイダが例えば最初にサービスネットワークに登録する場合に確立された同じ所定のアクセス制御を有することができる。別の可能な所定のアクセス制御レジュームは、そのグループだけの中で利用可能な既存のビジネス関係を有するネットワークサービスプロバイダのグループのネットワークサービスを作る。
【０１２２】
中央ポリシー管理モデルでは、ネットワークサービスに関連するあらゆるアクセス制御はネットワークコントロールによってサービスコンテンツまたはポリシーとして記憶される。これらのポリシーは、ポリシー施行モジュール３６によって各クライアントゲートウェイにダウンロードされ、上記のようにデータトラフィックに適用される。
【０１２３】
ネットワークサービス用にアクセス制御を確立および管理するのに使用される特定のアクセス制御スキームに関係なく、提供されたネットワークサービスは、各ネットワークサービス用のあらゆるアクセス制御によりサービスネットワーク内で利用可能にされる。これはいくつかの方法で実行することができる。上記のように、制御トラフィックはサービスネットワーク内のネットワークコントローラに転送され、これによって処理される。この場合、ネットワークコントローラは、サービスネットワーク内のクライアントゲートウェイにアクセス可能であるグローバルレジストリ内のネットワークサービス用の情報を公開することができる。各クライアントゲートウェイはその後、ネットワークサービスに関連するポリシーにしたがって、そのクライアントによって登録されたネットワークサービスへのアクセスを制御する。
【０１２４】
本発明は、ネットワークサービスアクセス制御の上記実施例に限るものではない。アクセス制御は、サービスネットワーク内で全て必ずしも実行される必要は全くない。いくつかの実施形態では、サービスネットワーク内に提供された全てのネットワークサービスは、サービスネットワークの全てのメンバに自動的に利用可能である。
【０１２５】
ネットワークサービスプロバイダはまた、ネットワークコントローラと制御トラフィックを交換することによって、実質的に同様の方法で例えばアクセス制御を変更するように、ネットワークサービスのポリシーを変更することができることが好ましい。
【０１２６】
クライアントはポリシー施行モジュール３６およびセキュリティモジュール４２によって認証されると、クライアントはまた、あるいは代わりに、クライアントゲートウェイ３０を通してサービスネットワーク内で利用可能なネットワークサービスにアクセスすることができる。クライアントがアクセスすることが可能である特定のネットワークサービスは、ポリシー施行モジュール３６によって管理されたポリシーにしたがって制御される。サービスネットワークのグローバルレジストリは、ネットワークコントローラによって記憶され、ポリシー施行モジュール３６にダウンロードされたネットワークサービスポリシー内で特定されるように、全てのクライアントに利用可能ではないネットワークサービス用のレジストリエントリを含むことができる。クライアントゲートウェイ３０のクライアントがアクセス可能となるこれらのネットワークサービスだけが、クライアントに利用可能とされる。
【０１２７】
サービスネットワークを通してクライアントゲートウェイ３０のクライアントとリモートネットワークサービスプロバイダの間でその後に交換されるデータトラフィックは、実質的に上に記載されるように処理される。クライアントからリモートネットワークサービスプロバイダに向けられたトラフィックは、セキュリティモジュール３８によってセキュリティポリシーに基づき処理され、ＳＯＡＰプロキシモジュール４２内で変更され、サービス処理モジュール４３内のＸＭＬメッセージタイプに基づき異なるように処理され、最後に、データトラフィックは、ルーティングモジュール４４によってサービスネットワークインターフェイス３２を通してリモートネットワークサービスプロバイダに、または実際はリモートネットワークサービスプロバイダが接続されたクライアントゲートウェイにルーティングされる。
【０１２８】
実質的に同様な処理は、クライアントゲートウェイ３０のクライアントによって提供されるネットワークサービスに関連するデータトラフィックに適用される。サービスネットワークインターフェイス３２を通してリモートネットワークカスタマから受けたデータトラフィックは、セキュリティモジュール３８、ＳＯＡＰプロキシモジュール４２、およびサービス処理モジュール４３によってデータトラフィックとして処理され、変更され、また分類および処理される。受けたデータトラフィックはその後、アクセスネットワークインターフェイス３４によってクライアントに転送される。
【０１２９】
次にネットワークコントローラ２８（図１）を参照すると、図３は例示的なネットワークコントローラのブロック図である。ネットワークコントローラ５０は、管理システムインターフェイス５２と、ゲートウェイインターフェイス５４と、マネージャ６０、６４、６６、６９に動作可能に結合されたメモリ５６とを備えている。ネットワークコントローラ５０のコンポーネントは、集中アーキテクチャ、または分配および好ましくは中央管理可能アーキテクチャのいずれかに設けることができる。
【０１３０】
管理システムインターフェイス５２は、例えば、サービスネットワークプラットフォームの構成および管理用の中央フレームワークを実行する、ネットワーク管理システム（ＮＭＳ）などの管理システムにインターフェイスを提供する。管理システムインターフェイス５２の構造および操作は、ネットワークコントローラ５０がその上で管理システムと通信する接続のタイプに依存する。いくつかの実施形態では、ネットワークコントローラは管理された通信ネットワークを通して管理システムと通信する。別個のＮＭＳ管理および制御経路も共通である。例えば、ＸＭＬを使用したインターフェイス、および例えば管理情報ベース（ＭＩＢ）にアクセスを提供するインターフェイスを含む管理システムインターフェイスの両方のタイプの例は、当業者には自明のことだろう。
【０１３１】
ゲートウェイインターフェイス５４は、ネットワークコントローラ５０がこれを通してクライアントゲートウェイと通信するインターフェイスを示す。図３の単一のコンポーネントとして示されているが、ゲートウェイインターフェイス５４は、多数のクライアントゲートウェイとの通信のために、それぞれのインターフェイス、および場合によっては異なるタイプのインターフェイスを含むことができる。図２を参照して上に説明するように、制御トラフィックは、サービスネットワークインターフェイス、またはいくつかの他のタイプのインターフェイスを使用して、サービスネットワークを通してクライアントゲートウェイとネットワークコントローラの間で交換することができる。図３のゲートウェイインターフェイス５４はしたがって、クライアントゲートウェイで提供される、サービスネットワークインターフェイス３２（図２）または別のインターフェイスの何れかのインターフェイスと互換性のあるインターフェイスを示している。
【０１３２】
図２を参照して上で説明したインターフェイスと同様に、管理システムインターフェイス５２、およびゲートウェイインターフェイス５４は普通、通信媒体と通信信号を交換する物理的コンポーネントと、通信信号を生成および処理するハードウェアおよび／またはソフトウェア実行コンポーネントとを備えている。
【０１３３】
メモリ５６は、情報を記憶する１つまたは複数のメモリデバイスを備えている。メモリ５６内に記憶された情報は、カスタマプロファイルおよびポリシーなどの情報、セキュリティ情報、およびネットワークコントローラ５０のコンポーネントによる使用のためにネットワークサービス毎のユーザ毎のアクセスリストおよびアクセスレベルグループと、サービスネットワーク内の他の機器によるアクセスおよび使用のためのレジストリ情報を含むことができる。しかし、メモリ５６はローカルおよびリモートメモリデバイスの両方を含むことができることを理解すべきである。ネットワークコントローラソフトウェアがローカルで記憶されていることが好ましいが、レジストリは、ネットワークコントローラ５０、およびネットワークサービスコンシューマが接続されるクライアントゲートウェイの両方にアクセス可能であるリモートメモリデバイス内に分配および記憶することができる。
【０１３４】
マネージャ６０、６４、６６、６９、およびインターフェイス５２、５４の内部機能またはコンポーネントのいくつかまたは全てをソフトウェアとして実行することができる。これらのマネージャを実行するソフトウェア、および機能をメモリ５６内に記憶することもできる。
【０１３５】
ポリシーマネージャ６０は、包括ポリシープロビジョニング、定義、およびセキュリティポリシー管理能力を提供する。ポリシー管理はポリシーマネージャ６０によって中央化されるが、コンテンツおよびデータのポリシー断片はサービスネットワーク全体を通して分配方法で記憶することができる。ポリシーマネージャ６０、および例えばポリシー情報が記憶されたメモリ５６内のレジストリなどのポリシーコンポーネントを分配することができる。また、ポリシー情報はクライアントゲートウェイ内にポリシー施行モジュール内にダウンロードされる。ネットワークサービスに対してポリシー管理への集中的方法を利用することによって、単一のセットのポリシーを、サービスネットワークプロバイダのインフラ内で委任アドミニストレータによって管理することができる。ポリシーマネージャ６０は、クライアントゲートウェイにポリシー情報を自動的にダウンロードするまたはプッシュする、クライアントゲートウェイからの要求に応じてポリシー情報を伝送する、またはポリシー情報伝達機構をプッシュするのもおよびプルするのもサポートするように構成することができる。
【０１３６】
一実施形態によれば、ポリシーマネージャ６０は、ネットワークサービスポリシーレジストリを使用して、サービスポリシーを管理する。ネットワークサービスポリシーレジストリは、サービスネットワーク内で提供された全てのネットワークサービスに対してアクセス制御を確立するネットワークサービスポリシーの収集である。
【０１３７】
各個別のネットワークサービスポリシーは、メッセージ内に提示しなければならない認証情報などのプライバシーパラメータ、メッセージが署名および／または暗号化されなければならないかどうか、メッセージのどの部分が署名および／または暗号化されるか、およびメッセージまたはその部分がどのように署名および／または暗号化されるかを特定することができる。これらの機能は、ＷＳセキュリティ、ＷＳポリシー、ＷＳポリシーアタッチメント、ＷＳポリシーアサーションズ、およびＷＳセキュリティポリシーなどの既存のウェブサービス標準を実行することによって提供することができる。また、特定のネットワークサービスへのアクセスのレベル、図では、プライベート、セミプライベート／グループ、および仮想エクストラネットレベルでのパブリックを示す規則があってもよい。端末間サービス用のＳＬＡ合意およびＱｏＳ要件、特定のビジネストランザクション内で必要とされるビジネスパートナに関するリストおよび詳細もある可能性がある。
【０１３８】
あらゆる新規のネットワークサービスでは、サービスネットワークと結合するプロバイダまたはコンシューマ、コンシューマプロファイル、およびポリシーは登録時に作成されることが好ましい。上に説明するように、ネットワークサービスプロバイダは、制御トラフィックをクライアントゲートウェイを通してネットワークコントローラに伝送することによってサービスネットワーク内でそのネットワークサービスを公開する。クライアントゲートウェイからゲートウェイインターフェイス５４を通して、または管理システムから管理システムインターフェイス５２を通しての何れかで受けるポリシーは、仮想エクストラネットサービス内でポリシーマネージャ６０によって中央管理されるが、サービスネットワークによって提供される仮想エクストラネット内で物理的に分配することができる。
【０１３９】
ネットワークサービスプロバイダまたはコンシューマがサービスネットワークを結合する時に独自のサービスポリシーを有する場合、ポリシーマネージャ６０は、企業サービスポリシーをサービスネットワークのグローバルポリシーレジストリ内に統合することが可能である。エクストラネットレベルでの全ての管理データはそれによって、グローバル管理された仮想エクストラネットサービスを作成するために、企業管理システムからの他のデータと統合させることができる。
【０１４０】
ポリシーマネージャ６０はまた、企業内の普通のシナリオと同様に、特定のネットワークサービスアプリケーションではなく、サービスネットワーク内でユーザ認証およびセキュリティプロファイルを管理する。企業空間内のネットワークサービスコンシューマは、クライアントゲートウェイを通してサービスネットワークに接続し、サービスネットワークでシングルサインオンを行う。ネットワークコントローラによってホスティングされる１つのレジストリ実体内のアクセス制御情報の中央化により、企業システム間の識別情報およびアクセス制御ポリシーを共有する問題が避けられる。代わりに、このデータは仮想エクストラネット内で記憶される。
【０１４１】
ポリシーマネージャ６０はまた、図では、既存の所有権セッションクッキーをＳＡＭＬアサーション、およびその後他の識別格納庫にマッピングすることができる現実世界の識別に変換するのに必要なデータを提供することによって、レガシー認証システムに対応することもできる。
【０１４２】
ポリシーマネージャ６０は、クライアントゲートウェイによってデータトラフィックに適用されるメッセージヘッダおよびメッセージペイロード変換を特定することができる。いくつかの実施形態では、変換は、レジストリ内に記憶された情報、図ではＸＭＬスキーマによりＸＭＬベースのウェブサービスメッセージとメッセージの他のフォーマットの間で行われる。
【０１４３】
セキュリティマネージャ６４は、サービスネットワークを通したサービスネットワーククライアント通信のセキュリティを管理する。一実施形態では、セキュリティマネージャ６４は、安全な通信を保証するように、確立されたネットワークサービスおよびＸＭＬ標準を使用する。例えば、サービスネットワークコアの上で作成された安全なデータパスは上に説明したようにＷＳセキュリティおよびＸＭＬ暗号化を使用することができる。クライアントゲートウェイは実際、サービスネットワークを通した安全な接続を確立するが、セキュリティマネージャ６４はサービスネットワークに中央認証およびキー管理サービスを提供する。セキュリティ情報は、サービスネットワークを通した他のクライアントゲートウェイとの安全な通信を確立する際に使用するために、クライアントゲートウェイにダウンロードされる。ポリシーマネージャ６０と同様に、セキュリティマネージャ６４は、クライアントゲートウェイに安全情報を自動的にダウンロードするまたはプッシュする、クライアントゲートウェイがネットワークサービス用のセキュリティ情報を必要とする場合にランタイムでクライアントゲートウェイからの要求に応じて安全情報を伝送する、または伝達機構をプッシュするのもおよびプルするのもサポートするように構成することができる。
【０１４４】
レジストリマネージャ６６は、ネットワークサービスロケーションおよび管理のための進歩したメタデータ能力で、ネットワークサービスレジストリ、図では、ＵＤＤＩなどの工業標準レジストリを管理および削除する。サービスネットワークプロバイダは、例えば、定義する分類カテゴリおよびブランド設定に基づき、利用可能なネットワークサービス用のレジストリエントリを記憶することができる。一実施形態では、ネットワークサービスは、プライベート、パブリック、セミプライベートグループ、および／またはその他を含むことができる許可されたレベルのアクセスにしたがってレジストリ内で組織化される。上に説明したように、いくつかのネットワークサービスは特定のパートナにプライベートに公開することができ、他のネットワークサービスは全体のサービスネットワークにパブリックに公開される。
【０１４５】
レジストリマネージャ６６によって管理されるネットワークサービスレジストリは、サービスネットワークに直接または間接的に接続された全てのネットワークサービスプロバイダからのネットワークサービスの収集である。サービスネットワークを結合する時にいかなるレジストリ能力を備えていない新規のネットワークサービスプロバイダまたはコンシューマでは、レジストリマネージャ６６は、ネットワークサービスを公表および消費することを可能にするネットワークサービス、記述、ロケーション、所有権、およびパブリックＡＰＩの完全な収集を提供する。企業は代わりに、サービスネットワークを結合する時に独自のレジストリを有することができ、この場合、レジストリマネージャは内部企業ネットワークサービスをサービスネットワークのグローバルネットワークサービスレジストリ内に公開することが可能になる。
【０１４６】
他のメタデータレジストリはまた、基本ネットワークサービスロケーションおよび管理以外の目的で、ネットワークサービス情報を記憶するのに利用可能である。これらは、タイムアウト、適用されるＸＭＬスキーマ、サービス契約、ＱｏＳパラメータ、およびサブスクリプションおよびアドレス指定情報などのサービス態様を管理するために他のネットワークコントローラコンポーネントによる使用のためのレジストリを含むことができる。追加のレジストリは、例えば請求書作成情報、ＳＬＡ監視情報、トランザクション端末間ビジネスアクティビティ監視情報、アクティビティログおよびパフォーマンス監査情報、および例外警告を記憶した結果得られるデータの収集を記憶することができる。
【０１４７】
ユーザ信用状、一般ポリシー、およびセキュリティポリシーもレジストリ内に記憶することができる。
【０１４８】
いくつかの実施形態では、サービスネットワークのクライアントは、そのサービスポリシーにしたがった、全てのレジストリ情報のリアルタイム監視および照会のためのリアルタイムコンソールアクセスおよび管理ツールを有する。
【０１４９】
システムマネージャ６９は、例えばトランザクション、イベント、注意、および警告の集中制御、監視、および監査を行うようにクライアントゲートウェイによって捕捉された監査記録を受け、包括契約およびＳＬＡの運搬を管理することができる。トランザクション優先は、重大性に基づき実行されることが好ましい。システムマネージャ６９の他の可能な機能は、トランザクション完了／失敗に関する報告、およびＳＬＡ契約の管理を含む。
【０１５０】
本発明の実施形態を、通信ネットワーク機器、すなわちクライアントゲートウェイおよびネットワークコントローラに関して基本的に上で説明した。図４は、本発明の実施形態による方法のフロー図である。
【０１５１】
方法７０は、サービスネットワークのクライアント、この場合、ネットワークサービスプロバイダを認証する操作で７２で始まる。ネットワークサービスプロバイダが認証されると、ネットワークサービスプロバイダによって提供されるプライベートネットワークサービスは、７４でサービスネットワーク内で公開することができる。
【０１５２】
ネットワークサービスが利用可能であると、７６で同じクライアントゲートウェイ、または異なるクライアントゲートウェイで認証されるネットワークサービスコンシューマは、ネットワークサービスを使用するように、７８でサービスネットワークへアクセスすることが可能になる。
【０１５３】
図４に示す方法７０は、単に例示的な目的を意図したものであり、ネットワークサービスを提供および使用した、異なるクライアントの状況を示している。より詳細には、サービスネットワークの認証クライアントは、プライベートネットワークサービスをサービスネットワークの別のクライアントに対して利用可能にすることを、またはサービスネットワークの別のクライアントによって提供されるネットワークサービスを使用することを可能にすることができる。同じクライアントはしたがって、一度だけ認証することができ、続いて多数のネットワークサービス関連機能を行うことが可能である。ネットワークサービスがクライアントによって利用可能にされると、クライアントはまた、ネットワークサービスをサービスネットワークの別のクライアントによって使用することを可能にするように、ネットワークサービスのプライバシーを変えることもできる。
【０１５４】
図４に示す操作を行う様々な方法と、行うことができる他の操作は前述のことから明らかであろう。
【０１５５】
記載されたものは、本発明の原理の応用例を単に例示するものである。他の配置および方法は、本発明の範囲から逸脱することなく当業者によって行うことができる。
【０１５６】
例えば、サービスネットワークは、上記の関連応用例で開示されたパブリックネットワークゲートウェイおよびサービスネットワークゲートウェイなどの、図１に示すもの以外のコンポーネントを含むことができる。
【０１５７】
サービスネットワークはまた、多数のネットワークコントローラを含むことができる。異なるゲートウェイは、異なるネットワークコントローラに接続することができる。中央サービスレジストリを維持し、サービスネットワークゲートウェイとの通信などの、サービスネットワークのいくつかの操作のために指定ネットワークコントローラなどの１つのネットワークコントローラを構成することが望ましい可能性がある。指定ネットワークコントローラは、通常のネットワークコントローラと同じであってもよいが、例えば、管理システムインターフェイス５２（図３）を通してオペレータ端末のコマンドラインインターフェイス（ＣＬＩ）を通してネットワークコントローラとして構成することができる。
【０１５８】
ネットワークサービスレジストリは１つのサービスネットワーク内の多数のネットワークコントローラに維持される場合、ネットワークコントローラは、各レジストリ内に含まれるサービス、およびこれらのサービスのローカル記憶に関する制御情報を交換するためにその間で通信することが好ましい。
【０１５９】
したがって、ネットワークコントローラは、ゲートウェイおよび場合によっては他のネットワークコントローラによって、これに提供された情報をレジストリ内に記憶することができる。
【０１６０】
図２および３に示す例示的なクライアントゲートウェイおよびネットワークコントローラコンポーネントは、同様に限定的なものではない。本発明の実施形態は、より少ないまたは追加のコンポーネントを含むことができる。混乱を避けるために管理システムインターフェイスは図２の例示的なクライアントゲートウェイ３０内に示されていないが、ネットワークコントローラと通信する管理システムはまた、例えばクライアントゲートウェイと通信することができる。
【０１６１】
ネットワークサービスプロバイダおよびコンシューマを、企業クライアントとして本明細書に基本的に説明したが、必ずしも企業に関連している必要はない。本発明の実施形態は、モバイルエンドユーザシステム１３などの、非企業ネットワークサービスプロバイダおよびコンシューマと合わせて実施することができる。
【０１６２】
本発明はまた、クライアントゲートウェイとネットワークコントローラの間の機能のあらゆる特定の分割に制約されるものではない。機能は、本明細書に明示的に記載されたのとは異なる方法で分配または統合することができる。例えば、レジストリは中心的の代わりに、各クライアントゲートウェイによって記憶することができる。
【０１６３】
加えて、方法およびシステムの内容で基本的に説明したが、例えば機械読取可能媒体上に記憶された指示として、本発明の他の実施も考えられる。
【図面の簡単な説明】
【０１６４】
【図１】本発明の実施形態を組み込んだ通信システムのブロック図である。
【図２】例示的クライアントゲートウェイのブロック図である。
【図３】例示的ネットワークコントローラのブロック図である。
【図４】本発明の実施形態による方法のフロー図である。
【特許請求の範囲】
【請求項１】
サービスネットワーク内にネットワークサービスを提供する装置であって、
クライアントによって提供されたネットワークサービスをサービスネットワークの別のクライアントに対して利用可能にするために、またはサービスネットワークの別のクライアントによって提供されたネットワークサービスを使用するために、またはクライアントによって提供されたネットワークサービスをプライベートサービスネットワークの別のクライアントに対して利用可能にし、サービスネットワークの別のクライアントによって提供されたネットワークサービスを使用するために、サービスネットワークの認証ポリシーにしたがってサービスネットワークへのクライアントアクセス用の規則を施行し、認証されたクライアントがサービスネットワークへアクセスすることを可能にするように構成されたポリシー施行モジュールを備えた、装置。
【請求項２】
ポリシー施行モジュールがさらに、認証されたクライアントがネットワークサービスをサービスネットワーク内であらゆる他のクライアントに対して利用可能にし、ネットワークサービスに関連するそれぞれのサービスポリシーにしたがって別のクライアントによって提供されたネットワークサービスを使用することができるように構成されている、請求項１に記載の装置。
【請求項３】
認証されたクライアントとサービスネットワークの間、サービスネットワーク内、およびサービスネットワークとサービスネットワークの宛先クライアントの間の安全な端末間通信を施行するセキュリティモジュールをさらに備えた、請求項１または２に記載の装置。
【請求項４】
ポリシー施行モジュールに動作可能に結合され、規則に基づく認証および許可アクションを通信トラフィックに適用し、認証および許可アクションに応じて通信トラフィックを通過させるまたは落とすように構成された、セキュリティモジュールをさらに備えた、請求項１または２に記載の装置。
【請求項５】
セキュリティモジュールがさらに、認証されたクライアントに関連する通信トラフィックにセキュリティ規則を適用するように構成された、請求項４に記載の装置。
【請求項６】
セキュリティモジュールに動作可能に結合され、制御トラフィックまたはデータトラフィックとして認証されたクライアントに関連するトラフィックを分類し、サービスレジストリ内での公開のために認証されたクライアントによって提供されるネットワークサービスに関連する情報を含む制御トラフィックを伝送し、次の処理のためにデータトラフィック内のＳＯＡＰ情報を変更するように構成されたシンプルオブジェクトアクセスプロトコル（ＳＯＡＰ）プロキシモジュールをさらに備えた、請求項４に記載の装置。
【請求項７】
ＳＯＡＰプロキシモジュールに動作可能に結合されたユニバーサルディスクリプションディスカバリアンドインテグレーション（ＵＤＤＩ）プロキシモジュールをさらに備えた装置であって、
ＳＯＡＰプロキシモジュールがさらに、受けたＵＤＤＩ制御トラフィックを特定し、次の処理のためにＵＤＤＩプロキシモジュールに、受けたＵＤＤＩ制御トラフィックを転送するように構成されている、請求項６に記載の装置。
【請求項８】
受けたＵＤＤＩ制御トラフィックが、ネットワークサービスルックアップに対する要求を含み、ＵＤＤＩプロキシモジュールが、要求の解決を処理し、各要求を開始させたクライアントに反応するようにさらに構成された、請求項７に記載の装置。
【請求項９】
ポリシー施行モジュールが、認証されたクライアントがサービスレジストリに対してネットワークサービスに関連する情報を公開することを可能にすることによって、認証されたクライアントがネットワークサービスをＵＤＤＩプロキシモジュールを通して別のクライアントに利用可能にすることを可能にするように、また認証されたクライアントがサービスレジストリにアクセスすることを可能にすることによって、認証されたクライアントが別のクライアントによって提供されたネットワークサービスを使用することを可能にするように構成されている、請求項６に記載の装置。
【請求項１０】
ネットワークサービスに関連する情報が、サービスネットワークの別のメンバによる使用のためのネットワークサービス用のアクセス規則を特定するアクセス情報を含んでおり、ポリシー施行モジュールがさらに、サービスネットワークの他のクライアントによって特定されたアクセス規則にしたがってＵＤＤＩプロキシモジュールを通してサービスレジストリからサービスネットワークの別のクライアントによって提供されたネットワークサービスに関連する情報に認証されたクライアントがアクセスすることを可能にするように構成されている、請求項９に記載の装置。
【請求項１１】
ＳＯＡＰプロキシモジュールに動作可能に結合され、ＳＯＡＰプロキシモジュールでデータトラフィックを交換するように構成されたサービス処理モジュールをさらに備えている、請求項７に記載の装置。
【請求項１２】
ポリシー施行モジュールに動作可能に結合され、サービスネットワーク内で通信トラフィックをルーティングするように構成され、レイヤ１転送方法、レイヤ２転送方法、インターネットプロトコル（ＩＰ）ルーティング、および拡張マークアップ言語（ＸＭＬ）ルーティングの少なくとも１つをサポートする転送／ルーティングモジュールをさらに備えた、請求項１または２に記載の装置。
【請求項１３】
ポリシー施行モジュールがさらに、認証されたクライアントおよびサービスネットワークへの変換のためにそれぞれのフォーマットを特定する、サービスネットワークの変換ポリシーを実行するように構成された、請求項１または２に記載の装置。
【請求項１４】
ネットワークサービスプロバイダによって提供されたネットワークサービスがネットワークサービスコンシューマにアクセス可能とされたサービスネットワークを提供する通信システムであって、
ネットワークサービスプロバイダおよびネットワークサービスコンシューマに動作可能に結合される少なくとも１つのクライアントゲートウェイであって、それぞれ請求項１または２に記載の装置を備えた少なくとも１つのクライアントゲートウェイと、
クライアントゲートウェイによって施行されるポリシーを管理する少なくとも１つのクライアントゲートウェイ、およびネットワークサービスのレジストリに動作可能に結合されたネットワークコントローラとを備えた、システム。
【請求項１５】
サービスネットワーク内で利用可能なネットワークサービスに関連したポリシーを管理する装置であって、
サービスネットワークのクライアントがこれを通してサービスネットワークにアクセスするクライアントゲートウェイに動作可能に結合されるクライアントゲートウェイインターフェイスと、
クライアントゲートウェイインターフェイスに動作可能に結合され、クライアントゲートウェイに、ネットワークサービスポリシーにしたがってサービスネットワークのクライアントによるネットワークサービスへのアクセスを制御させるように、クライアントゲートウェイインターフェイスを通してクライアントゲートウェイへのそれぞれのネットワークサービスに対するアクセス制御を特定するネットワークサービスポリシーを分配するように構成されたポリシーマネージャとを備えている装置。
【請求項１６】
ポリシーマネージャがさらに、サービスネットワークでのクライアントの認証、およびクライアントゲートウェイによってデータトラフィックに適用されるフォーマット変換の少なくとも１つを管理するように構成されている、請求項１５に記載の装置。
【請求項１７】
ネットワークサービスポリシーが、ネットワークサービスポリシーレジストリ内に記憶されたネットワークサービスポリシーを備えており、ポリシーマネージャがさらに、ネットワークサービスポリシーレジストリを維持し、ネットワークサービスポリシーレジストリ内に、ネットワークサービスが提供されるサービスネットワークのクライアントから受けた既存のネットワークサービスポリシーを統合するように構成されている、請求項１５または１６に記載の装置。
【請求項１８】
クライアントゲートウェイインターフェイスに動作可能に結合され、サービスネットワークによりクライアント通信の安全性を管理するように構成されたセキュリティマネージャと、
クライアントゲートウェイインターフェイスに動作可能に結合され、サービスネットワーク内で利用可能なネットワークサービスのレジストリ、サービスタイムアウト情報、拡張マークアップ言語（ＸＭＬ）スキーマ、サービスコントラクト、サービス品質（ＱｏＳ）パラメータ、サブスクリプション情報、アドレス指定情報、請求書作成情報、サービス内容合意（ＳＬＡ）監視情報、トランザクショナルネットワークサービスアクティビティ監視情報、アクティビティログ、パフォーマンス監査情報、および例外警告の少なくとも１つを管理するように構成されたレジストリマネージャと、
クライアントゲートウェイインターフェイスに動作可能に結合され、クライアントゲートウェイによって捕捉された監査レコードを受けて管理するように構成されたシステムマネージャとの少なくとも１つをさらに備えている、請求項１５または１６に記載の装置。
【請求項１９】
ネットワークサービスプロバイダによって提供されるプライベートネットワークサービスが、ネットワークサービスコンシューマにアクセス可能にされた、サービスネットワークを提供する通信システムであって、
ネットワークサービスプロバイダおよびネットワークサービスコンシューマにサービスネットワークへのアクセスを提供するように、ネットワークサービスプロバイダおよびネットワークサービスコンシューマに動作可能に結合される少なくとも１つのクライアントゲートウェイと、
少なくとも１つのクライアントゲートウェイに動作可能に結合され、請求項１５または１６に記載の装置を備えたネットワークコントローラとを備えた、通信システム。
【請求項２０】
サービスネットワーク内で利用可能なネットワークサービスを管理する装置であって、
サービスネットワークのクライアントがこれを通してサービスネットワークにアクセスするクライアントゲートウェイに動作可能に結合されるクライアントゲートウェイインターフェイスと、
クライアントゲートウェイインターフェイスに動作可能に結合されるとともに、サービスレジストリ内の情報に関する要求をクライアントゲートウェイから受け、それに応じて要求された情報を提供し、サービスネットワーク内で利用可能にされるネットワークサービスに関連する情報をクライアントゲートウェイから受け、サービスレジストリ内の受けた情報を公開し、ネットワークに関連するサービスレジストリ内の情報の変更に対するサブスクリプションをクライアントゲートウェイから受け、サブスクリプションに応じた変更に通知を送信するように構成されたレジストリマネージャとを備えた、装置。
【請求項２１】
請求項２０に記載の装置を備えたネットワークコントローラと、
サービスレジストリを記憶するためにネットワークコントローラに動作可能に結合されたメモリと、
サービスネットワークの少なくとも１つのクライアントおよびメモリに動作可能に結合され、少なくとも１つのクライアントによってサービスレジストリ内で公開されたネットワークサービスへのアクセスを制御するように構成されたクライアントゲートウェイとを備えた、通信システム。
【請求項２２】
サービスネットワーク内にネットワークサービスを提供する方法であって、
プライベートサービスネットワークのクライアントを認証および許可するステップと、
クライアントが許可された場合に、クライアントによって提供されたネットワークサービスをサービスネットワーク内で利用可能にするステップ、または
クライアントが許可されたサービスネットワークの別のクライアントによって提供された特定のネットワークサービスまたはネットワークサービスのグループを使用するようにクライアントがサービスネットワークにアクセスすることを可能にするステップとを含んでいる、方法。
【請求項２３】
利用可能にするステップが、サービス公開のためにサービスネットワークとの接続を開始するステップを含み、
可能にするステップが、ターゲットのネットワークサービスとの接続を開始し、ターゲットのサービスへ要求を送信し、そこから回答を受信することによってターゲットのネットワークサービスをクライアントが使用することを可能にするステップを含んでいる、請求項２２に記載の方法。
【請求項２４】
可能にするステップがさらに、クライアントがネットワークサービスのレジストリを参照して、特定のネットワークサービスまたはネットワークサービスのグループ用の情報にアクセスする、または特定のネットワークサービスまたはネットワークサービスのグループ用のレジストリレベルでの変更にサブスクライブすることを可能にするステップを含んでいる、請求項２３に記載の方法。
【請求項２５】
利用可能にするステップが、クライアントによって提供されるネットワークサービスのサービスポリシーにしたがってネットワークサービスを別のクライアントに対して利用可能にするステップを含み、可能にするステップが、クライアントによる使用を許可する関連するサービスポリシーを有するネットワークサービスを決定するステップを含んでいる、請求項２２に記載の方法。
【請求項２６】
実施した場合に請求項２２から２５のいずれか一項に記載の方法を実行する、指示を記憶した、機械読取可能な媒体。
【請求項１】
サービスネットワーク内にネットワークサービスを提供する装置であって、
クライアントによって提供されたネットワークサービスをサービスネットワークの別のクライアントに対して利用可能にするために、またはサービスネットワークの別のクライアントによって提供されたネットワークサービスを使用するために、またはクライアントによって提供されたネットワークサービスをプライベートサービスネットワークの別のクライアントに対して利用可能にし、サービスネットワークの別のクライアントによって提供されたネットワークサービスを使用するために、サービスネットワークの認証ポリシーにしたがってサービスネットワークへのクライアントアクセス用の規則を施行し、認証されたクライアントがサービスネットワークへアクセスすることを可能にするように構成されたポリシー施行モジュールを備えた、装置。
【請求項２】
ポリシー施行モジュールがさらに、認証されたクライアントがネットワークサービスをサービスネットワーク内であらゆる他のクライアントに対して利用可能にし、ネットワークサービスに関連するそれぞれのサービスポリシーにしたがって別のクライアントによって提供されたネットワークサービスを使用することができるように構成されている、請求項１に記載の装置。
【請求項３】
認証されたクライアントとサービスネットワークの間、サービスネットワーク内、およびサービスネットワークとサービスネットワークの宛先クライアントの間の安全な端末間通信を施行するセキュリティモジュールをさらに備えた、請求項１または２に記載の装置。
【請求項４】
ポリシー施行モジュールに動作可能に結合され、規則に基づく認証および許可アクションを通信トラフィックに適用し、認証および許可アクションに応じて通信トラフィックを通過させるまたは落とすように構成された、セキュリティモジュールをさらに備えた、請求項１または２に記載の装置。
【請求項５】
セキュリティモジュールがさらに、認証されたクライアントに関連する通信トラフィックにセキュリティ規則を適用するように構成された、請求項４に記載の装置。
【請求項６】
セキュリティモジュールに動作可能に結合され、制御トラフィックまたはデータトラフィックとして認証されたクライアントに関連するトラフィックを分類し、サービスレジストリ内での公開のために認証されたクライアントによって提供されるネットワークサービスに関連する情報を含む制御トラフィックを伝送し、次の処理のためにデータトラフィック内のＳＯＡＰ情報を変更するように構成されたシンプルオブジェクトアクセスプロトコル（ＳＯＡＰ）プロキシモジュールをさらに備えた、請求項４に記載の装置。
【請求項７】
ＳＯＡＰプロキシモジュールに動作可能に結合されたユニバーサルディスクリプションディスカバリアンドインテグレーション（ＵＤＤＩ）プロキシモジュールをさらに備えた装置であって、
ＳＯＡＰプロキシモジュールがさらに、受けたＵＤＤＩ制御トラフィックを特定し、次の処理のためにＵＤＤＩプロキシモジュールに、受けたＵＤＤＩ制御トラフィックを転送するように構成されている、請求項６に記載の装置。
【請求項８】
受けたＵＤＤＩ制御トラフィックが、ネットワークサービスルックアップに対する要求を含み、ＵＤＤＩプロキシモジュールが、要求の解決を処理し、各要求を開始させたクライアントに反応するようにさらに構成された、請求項７に記載の装置。
【請求項９】
ポリシー施行モジュールが、認証されたクライアントがサービスレジストリに対してネットワークサービスに関連する情報を公開することを可能にすることによって、認証されたクライアントがネットワークサービスをＵＤＤＩプロキシモジュールを通して別のクライアントに利用可能にすることを可能にするように、また認証されたクライアントがサービスレジストリにアクセスすることを可能にすることによって、認証されたクライアントが別のクライアントによって提供されたネットワークサービスを使用することを可能にするように構成されている、請求項６に記載の装置。
【請求項１０】
ネットワークサービスに関連する情報が、サービスネットワークの別のメンバによる使用のためのネットワークサービス用のアクセス規則を特定するアクセス情報を含んでおり、ポリシー施行モジュールがさらに、サービスネットワークの他のクライアントによって特定されたアクセス規則にしたがってＵＤＤＩプロキシモジュールを通してサービスレジストリからサービスネットワークの別のクライアントによって提供されたネットワークサービスに関連する情報に認証されたクライアントがアクセスすることを可能にするように構成されている、請求項９に記載の装置。
【請求項１１】
ＳＯＡＰプロキシモジュールに動作可能に結合され、ＳＯＡＰプロキシモジュールでデータトラフィックを交換するように構成されたサービス処理モジュールをさらに備えている、請求項７に記載の装置。
【請求項１２】
ポリシー施行モジュールに動作可能に結合され、サービスネットワーク内で通信トラフィックをルーティングするように構成され、レイヤ１転送方法、レイヤ２転送方法、インターネットプロトコル（ＩＰ）ルーティング、および拡張マークアップ言語（ＸＭＬ）ルーティングの少なくとも１つをサポートする転送／ルーティングモジュールをさらに備えた、請求項１または２に記載の装置。
【請求項１３】
ポリシー施行モジュールがさらに、認証されたクライアントおよびサービスネットワークへの変換のためにそれぞれのフォーマットを特定する、サービスネットワークの変換ポリシーを実行するように構成された、請求項１または２に記載の装置。
【請求項１４】
ネットワークサービスプロバイダによって提供されたネットワークサービスがネットワークサービスコンシューマにアクセス可能とされたサービスネットワークを提供する通信システムであって、
ネットワークサービスプロバイダおよびネットワークサービスコンシューマに動作可能に結合される少なくとも１つのクライアントゲートウェイであって、それぞれ請求項１または２に記載の装置を備えた少なくとも１つのクライアントゲートウェイと、
クライアントゲートウェイによって施行されるポリシーを管理する少なくとも１つのクライアントゲートウェイ、およびネットワークサービスのレジストリに動作可能に結合されたネットワークコントローラとを備えた、システム。
【請求項１５】
サービスネットワーク内で利用可能なネットワークサービスに関連したポリシーを管理する装置であって、
サービスネットワークのクライアントがこれを通してサービスネットワークにアクセスするクライアントゲートウェイに動作可能に結合されるクライアントゲートウェイインターフェイスと、
クライアントゲートウェイインターフェイスに動作可能に結合され、クライアントゲートウェイに、ネットワークサービスポリシーにしたがってサービスネットワークのクライアントによるネットワークサービスへのアクセスを制御させるように、クライアントゲートウェイインターフェイスを通してクライアントゲートウェイへのそれぞれのネットワークサービスに対するアクセス制御を特定するネットワークサービスポリシーを分配するように構成されたポリシーマネージャとを備えている装置。
【請求項１６】
ポリシーマネージャがさらに、サービスネットワークでのクライアントの認証、およびクライアントゲートウェイによってデータトラフィックに適用されるフォーマット変換の少なくとも１つを管理するように構成されている、請求項１５に記載の装置。
【請求項１７】
ネットワークサービスポリシーが、ネットワークサービスポリシーレジストリ内に記憶されたネットワークサービスポリシーを備えており、ポリシーマネージャがさらに、ネットワークサービスポリシーレジストリを維持し、ネットワークサービスポリシーレジストリ内に、ネットワークサービスが提供されるサービスネットワークのクライアントから受けた既存のネットワークサービスポリシーを統合するように構成されている、請求項１５または１６に記載の装置。
【請求項１８】
クライアントゲートウェイインターフェイスに動作可能に結合され、サービスネットワークによりクライアント通信の安全性を管理するように構成されたセキュリティマネージャと、
クライアントゲートウェイインターフェイスに動作可能に結合され、サービスネットワーク内で利用可能なネットワークサービスのレジストリ、サービスタイムアウト情報、拡張マークアップ言語（ＸＭＬ）スキーマ、サービスコントラクト、サービス品質（ＱｏＳ）パラメータ、サブスクリプション情報、アドレス指定情報、請求書作成情報、サービス内容合意（ＳＬＡ）監視情報、トランザクショナルネットワークサービスアクティビティ監視情報、アクティビティログ、パフォーマンス監査情報、および例外警告の少なくとも１つを管理するように構成されたレジストリマネージャと、
クライアントゲートウェイインターフェイスに動作可能に結合され、クライアントゲートウェイによって捕捉された監査レコードを受けて管理するように構成されたシステムマネージャとの少なくとも１つをさらに備えている、請求項１５または１６に記載の装置。
【請求項１９】
ネットワークサービスプロバイダによって提供されるプライベートネットワークサービスが、ネットワークサービスコンシューマにアクセス可能にされた、サービスネットワークを提供する通信システムであって、
ネットワークサービスプロバイダおよびネットワークサービスコンシューマにサービスネットワークへのアクセスを提供するように、ネットワークサービスプロバイダおよびネットワークサービスコンシューマに動作可能に結合される少なくとも１つのクライアントゲートウェイと、
少なくとも１つのクライアントゲートウェイに動作可能に結合され、請求項１５または１６に記載の装置を備えたネットワークコントローラとを備えた、通信システム。
【請求項２０】
サービスネットワーク内で利用可能なネットワークサービスを管理する装置であって、
サービスネットワークのクライアントがこれを通してサービスネットワークにアクセスするクライアントゲートウェイに動作可能に結合されるクライアントゲートウェイインターフェイスと、
クライアントゲートウェイインターフェイスに動作可能に結合されるとともに、サービスレジストリ内の情報に関する要求をクライアントゲートウェイから受け、それに応じて要求された情報を提供し、サービスネットワーク内で利用可能にされるネットワークサービスに関連する情報をクライアントゲートウェイから受け、サービスレジストリ内の受けた情報を公開し、ネットワークに関連するサービスレジストリ内の情報の変更に対するサブスクリプションをクライアントゲートウェイから受け、サブスクリプションに応じた変更に通知を送信するように構成されたレジストリマネージャとを備えた、装置。
【請求項２１】
請求項２０に記載の装置を備えたネットワークコントローラと、
サービスレジストリを記憶するためにネットワークコントローラに動作可能に結合されたメモリと、
サービスネットワークの少なくとも１つのクライアントおよびメモリに動作可能に結合され、少なくとも１つのクライアントによってサービスレジストリ内で公開されたネットワークサービスへのアクセスを制御するように構成されたクライアントゲートウェイとを備えた、通信システム。
【請求項２２】
サービスネットワーク内にネットワークサービスを提供する方法であって、
プライベートサービスネットワークのクライアントを認証および許可するステップと、
クライアントが許可された場合に、クライアントによって提供されたネットワークサービスをサービスネットワーク内で利用可能にするステップ、または
クライアントが許可されたサービスネットワークの別のクライアントによって提供された特定のネットワークサービスまたはネットワークサービスのグループを使用するようにクライアントがサービスネットワークにアクセスすることを可能にするステップとを含んでいる、方法。
【請求項２３】
利用可能にするステップが、サービス公開のためにサービスネットワークとの接続を開始するステップを含み、
可能にするステップが、ターゲットのネットワークサービスとの接続を開始し、ターゲットのサービスへ要求を送信し、そこから回答を受信することによってターゲットのネットワークサービスをクライアントが使用することを可能にするステップを含んでいる、請求項２２に記載の方法。
【請求項２４】
可能にするステップがさらに、クライアントがネットワークサービスのレジストリを参照して、特定のネットワークサービスまたはネットワークサービスのグループ用の情報にアクセスする、または特定のネットワークサービスまたはネットワークサービスのグループ用のレジストリレベルでの変更にサブスクライブすることを可能にするステップを含んでいる、請求項２３に記載の方法。
【請求項２５】
利用可能にするステップが、クライアントによって提供されるネットワークサービスのサービスポリシーにしたがってネットワークサービスを別のクライアントに対して利用可能にするステップを含み、可能にするステップが、クライアントによる使用を許可する関連するサービスポリシーを有するネットワークサービスを決定するステップを含んでいる、請求項２２に記載の方法。
【請求項２６】
実施した場合に請求項２２から２５のいずれか一項に記載の方法を実行する、指示を記憶した、機械読取可能な媒体。
【図１】
【図２】
【図３】
【図４】
【図２】
【図３】
【図４】
【公表番号】特表２００８−５３７８２９（Ｐ２００８−５３７８２９Ａ）
【公表日】平成２０年９月２５日（２００８．９．２５）
【国際特許分類】
【出願番号】特願２００８−５０５９９１（Ｐ２００８−５０５９９１）
【出願日】平成１８年４月１２日（２００６．４．１２）
【国際出願番号】ＰＣＴ／ＩＢ２００６／００１３３４
【国際公開番号】ＷＯ２００６／１０９１８７
【国際公開日】平成１８年１０月１９日（２００６．１０．１９）
【出願人】（３９１０３０３３２）アルカテル−ルーセント (1,149)
【Ｆターム（参考）】
【公表日】平成２０年９月２５日（２００８．９．２５）
【国際特許分類】
【出願日】平成１８年４月１２日（２００６．４．１２）
【国際出願番号】ＰＣＴ／ＩＢ２００６／００１３３４
【国際公開番号】ＷＯ２００６／１０９１８７
【国際公開日】平成１８年１０月１９日（２００６．１０．１９）
【出願人】（３９１０３０３３２）アルカテル−ルーセント (1,149)
【Ｆターム（参考）】
[ Back to top ]