マネージャビリティエンジンによる企業ネットワークへのシングルサインオンのための方法及びシステム
【課題】
マネージャビリティエンジンによる企業ネットワークへのシングルサインオンのための方法及びシステムを提供する。
【解決手段】
マネージャビリティエンジン（ＭＥ）は、起動前認証中にユーザから認証応答を受信し、該ユーザをキー配布センター（ＫＤＣ）に登録することで、該ユーザが既にパーソナルコンピュータ（ＰＣ）に真のユーザであることを首尾良く証明していることを差し示す。ＫＤＣはＭＥに、キー暗号キー（ＫＥＫ）の形態のシングルサインオン信用証明を提供する。ＫＥＫは、後に、企業サーバへの安全なアクセスを構築するために使用される信用証明を取得するためにＰＣによって使用され得る。
マネージャビリティエンジンによる企業ネットワークへのシングルサインオンのための方法及びシステムを提供する。
【解決手段】
マネージャビリティエンジン（ＭＥ）は、起動前認証中にユーザから認証応答を受信し、該ユーザをキー配布センター（ＫＤＣ）に登録することで、該ユーザが既にパーソナルコンピュータ（ＰＣ）に真のユーザであることを首尾良く証明していることを差し示す。ＫＤＣはＭＥに、キー暗号キー（ＫＥＫ）の形態のシングルサインオン信用証明を提供する。ＫＥＫは、後に、企業サーバへの安全なアクセスを構築するために使用される信用証明を取得するためにＰＣによって使用され得る。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は概してユーザ認証に関する。より具体的には、本発明は、マネージャビリティ（管理容易性）エンジンを用いた、企業ネットワークへのシングルサインオン（single-sign-on）のための方法及びシステムに関する。
【背景技術】
【０００２】
データ保護のためのインテル社のAnti-Theft（登録商標）（盗難防止）技術は、チップセット及びその周辺部品にフルディスク暗号化（Full Disk Encryption；ＦＤＥ）を付加するプラットフォーム能力を有する。ＯＳ（オペレーティングシステム）及びユーザのデータを含め、Ａｔ−ｄ保護ドライブ上の全データが暗号化される。暗号化されないままの領域は、マネージャビリティエンジン（manageability engine；ＭＥ）メタデータ及び起動前（プリブート）認証メタデータの領域を含む。ドライブを完全に暗号化することにより、ページングファイル及び設定ファイル内に含まれる機密データが保護され、ツールキットによるシステムファイルのオフラインアタッカー操作が防止される。
【０００３】
ドライブを完全に暗号化することは同時に、難しい問題を提示する。例えば、ユーザが認証されるまで、ディスクドライブはユーザに使用禁止にされる。現在のやり方は、オペレーティングシステム（ＯＳ）が初期認証を行うことに頼っているが、ＦＤＥを用いると、ＯＳは暗号化され、ＯＳを介してユーザを認証することが困難になる。故に、ユーザ認証は、ドライブへのアクセスを必要とする如何なる起動前サービスよりも前に行われなければならない。
【発明の概要】
【発明が解決しようとする課題】
【０００４】
マネージャビリティエンジンによる企業ネットワークへのシングルサインオンのための方法及びシステムを提供する。
【課題を解決するための手段】
【０００５】
一態様に従って、マネージャビリティエンジンを用いた安全なアクセス方法が提供される。当該方法は、起動前処理の間にユーザから認証応答を受信する段階、プロトコルを用いて、キー配布センター（ＫＤＣ）に登録する段階、及びキー暗号キー（ＫＥＫ）の形態でシングルサインオン信用保証を受信する段階を有する。ＫＥＫは後に、企業サーバへの安全なアクセスを構築するために使用される。
【図面の簡単な説明】
【０００６】
添付の図面は、ここに組み込まれ、本明細書の一部を形成し、ここでの説明とともに本発明の実施形態を例示し、更に、本発明の原理を説明し且つ当業者が本発明の形成及び使用を行うことを可能にする役割を果たす。図面において、似通った参照符号は、同一の、機能的に同様の、且つ／或いは構造的に同様の要素を指し示す。或る要素が最初に現れる図は、対応する参照符号の最初の桁によって指し示される。
【図１】記載の実施形態の態様が用いられ得る典型的なコンピュータプラットフォームを例示するブロック図である。
【図２】本発明の一実施形態に従った、マネージャビリティエンジンを用いる企業ネットワークのシングルサインオンのためのシステムを例示するブロック図である。
【図３】本発明の一実施形態に従った、マネージャビリティエンジンを用いる企業ネットワークのシングルサインオンのための典型的な方法を示すフロー図である。
【図４】本発明の一実施形態に従った、１つ以上の企業サーバからのリソース又はサービスへのアクセスを可能にする典型的な方法を示すフロー図である。
【発明を実施するための形態】
【０００７】
ここでは、本発明は特定の用途のための例示的な実施形態を参照して説明される。しかしながら、理解されるように、本発明はそれに限定されるものではない。ここで提供される教示を利用し得る当業者は、その教示の範囲内、及び本発明の実施形態が有意に役立つ更なる分野の範囲内で、更なる変更、用途及び実施形態を認識するであろう。
【０００８】
本明細書において、本発明の“１つの実施形態”、“一実施形態”又は“他の一実施形態”への言及は、その実施形態に関連して説明される或る特定の特徴、構造又は特長が、本発明の少なくとも１つの実施形態中に含まれることを意味する。故に、“１つの実施形態において”又は“一実施形態において”という言い回しが本明細書全体を通して様々な箇所に現れることは、必ずしも、全てが同一の実施形態について言及しているわけではない。
【０００９】
本発明の実施形態は、起動前処理の間にユーザから認証応答を受信し、且つケルベロス（Kerberos）プロトコルを用いて、ユーザがＰＣ（パーソナルコンピュータ）に首尾良く認証されたことをケルベロス鍵（キー）配布センター（ＫＤＣ）に登録するマネージャビリティエンジン（ＭＥ）を提供する。ＫＤＣはＭＥに、企業システムサービスへの安全なアクセスを得るために後にＰＣによって使用され得るキー暗号化キー（Key Encryption Key；ＫＥＫ）の形態のシングルサインオン信用証明を提供する。
【００１０】
本発明の実施形態は、起動前環境における早い段階で企業識別管理サービスを用いてユーザ認証を実行する能力を提供する。この能力は、企業ネットワークによって管理されているユーザ信用証明を用いるための企業ネットワークへの直接的な帯域外（アウトオブバンド；ＯＯＢ）アクセスを可能にするマネージャビリティエンジンを用いて提供される。本発明の実施形態はまた、ユーザが既にＯＳ起動中に認証されていることをオペレーティングシステム（ＯＳ）が認識することを可能にする。これは、信用証明マネジャがＯＳユーザログインを中断し、ＭＥからのＫＥＫを要求することによって、ユーザが既にその企業システムサービスで認証されているかを決定し得るようにすることによって達成される。ＫＥＫがＭＥ内に安全に記憶されている場合、ＫＥＫは取り出され、信用証明マネジャに戻される。信用保証マネジャは、ＫＥＫを受信すると、ユーザが既にその企業システムサービスに認証されていることを決定し、ＯＳユーザログインプロンプトを差し止め、その処理を単にシングルサインオンを要求する状態にする。
【００１１】
本発明の実施形態は、ＯＳ及びプラットフォームからのその設定への依存性を排除し、ユーザ（及び計算機）ＩＤに基づいて動的に選択及び設定が行われるように仮想計算機モニタ（virtual machine monitor；ＶＭＭ）、仮想計算機（ＶＭ）、ＯＳ及びアプリケーションがプラットフォーム上で用いられることを可能にする。ユーザ認証は信用できないＯＳ及び／又はＶＭＭから保護される。ＫＤＣへの認証、及びそれに続くプラットフォームへのユーザ信用証明／権限付与の発行は、ＯＳ又はＶＭＭ上の悪意ソフトウェア（マルウェア）又はその他の攻撃を免れる。
【００１２】
本発明の実施形態は、ＩＤ管理基盤としてケルベロスを用いて説明されるが、本発明はケルベロスを基盤とするものに限定されない。当業者が知るであろうように、例えばＳＡＭＬ（Security Assertion Markup Language）、カードスペース（Card Space）、リバティアライアンス（Liberty Alliance）、公開鍵などのその他のＩＤ管理基盤も用いられ得る。
【００１３】
図１は、記載の実施形態の態様が用いられ得る典型的なコンピュータプラットフォームを例示するブロック図である。コンピュータプラットフォーム１００はプロセッサ１０２（帯域内（インバンド）プロセッサとしても知られる）を有している。プロセッサ１０２は、一実施形態においてダイナミックランダムアクセスメモリ（ＤＲＡＭ）１０４とし得るシステムメモリに結合され得る。プロセッサ１０２は、例えばマイクロプロセッサ、デジタル信号処理器又はマイクロコントローラ等の、ソフトウェアを実行することが可能な如何なる種類のプロセッサであってもよい。図１はそのようなプロセッサ１０２を１つのみを示しているが、プラットフォーム１００内には１つ又は複数のプロセッサが存在していてもよく、それらプロセッサのうちの１つ以上がマルチスレッド又はマルチコア等を含んでいてもよい。
【００１４】
プロセッサ１０２は更に、ダイレクトメディアインタフェース（ＤＭＩ）１０８を介してチップセット１０６に接続され得る。チップセット１０６は、とりわけ、マネージャビリティエンジン（ＭＥ）１１０、暗号サービスブロック（ＣＳＢ）１１２、及び仮想化エンジン（ＶＥ）１１４を有している。ＣＳＢ１１２は、ＡＥＳ（Advanced Encryption Standard）のハードウェア実装であり、１２８ビットと２５６ビットの大きさのキーに対応している。ＶＥ１１４はＳＡＴＡ（Serial Advanced Technology Attachment）コントローラ１１６に結合されており、ＳＡＴＡコントローラ１１６は、例えばＳＡＴＡ装置１１８等の取り付けられた何らかのＳＡＴＡ記憶装置のための、ＳＡＴＡコマンドの復号化及びその他の加速処理を実行する。ＶＥ１１４はまた、例えばＮＡＮＤフラッシュ１２２等のＮＶＭ装置上にデータをキャッシュするために、不揮発性メモリ（ＮＶＭ）コントローラ１２０に結合されている。ＭＥ１１０は、ポリシー及びキーを設定することによって、ＶＥ１１４及びＣＳＢ１１２の挙動を制御する。ＭＥ１１０は聴講イベントを収集し、ユーザ認証を管理し、且つ企業システムサービス１２６とのインタフェースを取る。ＭＥ１１０は帯域外コントローラ（図示せず）及びネットワークコントローラ１２４を用い、ネットワーク１２５を介して企業システムサービス１２６とのインタフェースを取る。一実施形態において、ネットワーク１２５は、例えば以下に限られないがインターネット等の、ワイドエリアネットワークとし得る。
【００１５】
一実施形態において、チップセット１０６はシリアル周辺インタフェース（ＳＰＩ）バス１２８を介して不揮発性メモリ１３０に結合される。不揮発性メモリ１３０は、フラッシュメモリ又はスタティックランダムアクセスメモリ（ＳＲＡＭ）等とし得る。数多くの既存のプラットフォームにおいて、ＮＶＭ１３０はフラッシュメモリである。フラッシュメモリ１３０は、チップセット１０６用のチップセットファームウェア１３２と、ネットワークコントローラ１２４用のネットワークコントローラファームウェアとを含んでいる。
【００１６】
一部の実施形態において、プロセッサ１０２は、ＮＶＭ１３０内に、基本入出力システム（ＢＩＯＳ）ファームウェア１３６を有する。他の一部の実施形態において、ブートベクトル（ポインタ）がＮＶＭ１３０のＢＩＯＳファームウェア１３６内にあって、プロセッサ１０２が遠隔装置（図示せず）から起動（ブート）されてもよい。チップセット１０６は、チップセット１０６を制御するためのチップセットファームウェア１３２、ネットワークコントローラ１２４を制御するためのネットワークコントローラファームウェア１３４、及びＢＩＯＳファームウェア１３６を含め、ＮＶＭ１３０のコンテンツの全てにアクセスし得る。
【００１７】
図２は、本発明の一実施形態に従った、マネージャビリティエンジンを用いる企業ネットワークのシングルサインオンのためのシステムを例示するブロック図である。システム２００は、起動前部分及び起動後部分を有するＣＰＵ２０２を有している。起動前部分は、とりわけ、基本入出力システム（ＢＩＯＳ）２０４及び起動前認証モジュール（ＰＢＡＭ）２０６を含んでいる。起動後部分は、とりわけ、オペレーティングシステム（ＯＳ）２０８及びＧＩＮＡ（図形識別・認証）２１０を含んでいる。システム２００はまた、マネージャビリティエンジン（ＭＥ）１１０を含んでいる。ＭＥ１１０はＣＰＵ２０２に結合されている。
【００１８】
ＢＩＯＳ２０４は、部分的に、最初に電源投入されるときにパーソナルコンピュータ（ＰＣ）によって実行されるファームウェアコードを意味する。ＢＩＯＳ２０４の主な機能は、例えばビデオ表示カードやハードディスク等のシステム構成ハードウェア及びその他のハードウェア装置の識別及び初期設定を行うことである。ＢＩＯＳ２０４は、例えば、ＥＦＩ（Extensible Firmware Interface）ＢＩＯＳ又はレガシーＢＩＯＳとし得る。本発明の一部の実施形態において、ユーザ（図示せず）はＰＢＡＭ２０６を用いてＢＩＯＳ２０４によって認証され得る。
【００１９】
ＰＢＡＭ２０６は、起動前の対話式ログインのための認証ポリシーを実装している。ＰＢＡＭ２０６は、信用がおける認証レイヤとしての、安全で不正が防止されたＯＳ２０８の外部環境を保証するためのＢＩＯＳ２０４の拡張である。ＰＢＡＭ２０６は、ユーザを認証するために、ユーザに認証課題（チャレンジ）を提供する。例えば、ＰＢＡＭ２０６はユーザからのユーザＩＤ及びパスワードを要求し得る。ユーザＩＤ及びパスワードは、そのユーザを認証すべきか決定するために、格納されたデータと比較され得る。ＰＢＡＭ２０６は、前に進むための正しいパスワードをユーザが有することをユーザが確認するまで、ＯＳ２０８が読み込むことを防止する。
【００２０】
ＯＳ２０８は、コンピュータプラットフォームの活動とリソースの共有との管理及び調整を担う。ＯＳ２０８は、例えば、マイクロソフト社のウィンドウズ（登録商標）ＯＳ又はリナックス（登録商標）ＯＳとし得る。
【００２１】
ＧＩＮＡ（図形識別・認証）２１０は、ＯＳ対話式ログインモデルの認証ポリシーを実装する動的リンクライブラリ（ＤＬＬ）である。ＧＩＮＡは、信用証明マネジャとしても知られ、ＯＳにおけるユーザ認証のための全ての識別・認証ユーザ対話を行う。
【００２２】
ＭＥ１１０は、とりわけ、ＭＥ共通サービス（ＣＳ）モジュール２１２を有している。ＭＥ共通サービスモジュール２１２は、マネージャビリティエンジン１１０上で実行されるファームウェアレイヤを表す。ＣＳ２１２は、ＭＥ１１０が例えば企業サービス２２０等の企業ネットワークに接続することを可能にする通信スタックを提供する。ＣＳ２１２はまた、チップセット１０６の機能を増大／低減するためにファームウェアモジュールが付加／除去されることが可能である場合、プラグインインタフェースを提供する。本発明の一実施形態において、ＤＴ２モジュール２１４及び共通認証モジュール（ＣＡＭ）２１６は、チップセット１０６に追加機能を提供するファームウェアプラグインである。他のＦＷ２１８は、別のファームウェアモジュール用の例示的な場所を示している。暗号鍵ＤＷＫ（デバイス・ラップ・キー）２１５及びＫＥＫ（キー暗号キー）２１７は、それぞれ、ＤＴ２モジュール２１４及びＣＡＭ２１６に対応する信用証明であり、プラットフォーム上に安全に保管されるように示されている。その他２１９は他のＦＷ２１８の暗号鍵用の場所を確保するものである。
【００２３】
ＤＴ２モジュール２１４は、暗号化された記憶装置へのアクセスを制御するファームウェアプラグインである。ＤＷＫ２１５は、ファームウェアプラグインＤＴ２（２１４）を用いて暗号化されたディスクを解除するために用いられる暗号鍵／信用証明である。暗号鍵２１５へのアクセスは、ユーザ又はアドミニストレータの認証の成功に基づく条件付きである。
【００２４】
共通認証モジュール（ＣＡＭ）２１６は、起動前ＢＩＯＳコード、必要に応じてのＲＯＭ、又はユーザ認証チャレンジを実行するその他のホストファームウェアモジュールとのインタフェースを主として担う。チャレンジへの応答がＣＡＭ２１６に与えられ、主張されたＩＤが検証される。一実施形態において、ＣＡＭ２１６はケルベロスクライアントとしても知られる。ＫＥＫ２１７は、ケルベロスのチケット許可チケットすなわちＴＧＴ（ticket granting ticket）とも呼ばれ、企業サーバ２２６を介して企業システムサービス１２６にアクセスするチケットを取得するために使用される暗号鍵／信用証明である。暗号鍵ＫＥＫ２１７へのアクセスは、ユーザ又はアドミニストレータの認証の成功に基づく条件付きである。
【００２５】
システム２００は（図１に示したような）ネットワークを介して企業システム２２０にインタフェース接続される。企業システム２２０は、キー配布センター（ＫＤＣ）２２２、ディレクトリ２２４、及び企業サーバ２２６を介しての企業システムサービス１２６を含んでいる。
【００２６】
ＫＤＣ２２２は、ユーザ及びサービスの認証を手助けするように使用される認証サーバである。ＫＤＣ２２２は、例えば企業システムサービス等のサービスへのアクセスを可能にするチケットを配布する。ＫＤＣ２２２は、クライアントからの最初の認証要求に応答して、キー暗号キー（ＫＥＫ）として知られる特別なキーを発行する。なお、ＫＥＫは、ケルベロスチャレンジ応答プロトコルにおけるチケット許可チケット（ＴＧＴ）としても定義される。ユーザが実際に自身が主張する者である場合、ユーザはＫＥＫ／ＴＧＴを使用して、パスワードを再入力する必要なく企業システムサービス１２６への別のサービス入場チケットを取得することができる。ＫＤＣ２２２は、バックエンドインタフェース（図示せず）を介して、ディレクトリ２２４にインタフェース接続し、ユーザ、ホスト又はサービスに関する情報を取得する。
【００２７】
ディレクトリ２２４は、ユーザ、ホスト及びサービスに関連するデータを格納している。ディレクトリ２２４内に格納されたデータは、以下に限られないが、ユーザ名、パスワード及びパスワードの有効期限、ユーザが保持するサービスに関するチケットの属性を含み得る。
【００２８】
図３は、本発明の一実施形態に従った、マネージャビリティエンジンを用いる企業ネットワークのシングルサインオンのための典型的な方法を示すフロー図３００である。本発明は、フロー図３００に関して説明される実施形態に限定されるものではなく、ここでの教示を受けた当業者に明らかになるように、他の機能フロー図も本発明の範囲内にある。処理はブロック３０２で開始し、直ちにブロック３０４へと進む。
【００２９】
ブロック３０４にて、ＭＥ共通認証モジュールがＰＢＡＭからユーザ認証信用証明（すなわち、ユーザＩＤ及びパスワード）を受信する。ユーザはＢＩＯＳを介してＰＢＡＭに真のユーザであることを証明する。ＰＢＡＭはユーザを認証するためにユーザに認証チャレンジを提供する。例えば、ＰＢＡＭはユーザからのユーザＩＤ及びパスワードを要求し得る。チャレンジに応答し、ユーザはＰＢＡＭにユーザ認証信用証明を提供し、ユーザ認証信用証明をＭＥに送信する。処理はブロック３０６へと進む。
【００３０】
ブロック３０６にて、ＭＥが企業ＫＤＣへの接続を開設し、チケット許可チケット（ＴＧＴ）としても知られるキー暗号キー（ＫＥＫ）を要求する。ＫＥＫは、サービス１２６のために企業サーバ２２６にアクセスするためのサービス入場チケットを取得するために使用され得る。企業ＫＤＣは、企業チャレンジ応答プロトコルを実行し、そのユーザに関する情報を含んだディレクトリサービスに問い合わせることによって、そのユーザを企業の既知のエンティティとして検証／認証する。ディレクトリサービスは、マイクロソフト・アクティブ・ディレクトリ、ライトウェイト・ディレクトリ・アクセス・プロトコル（ＬＤＡＰ）、又はその他のディレクトリサービスとし得る。ユーザが既知のエンティティである（すなわち、ユーザＩＤ及びパスワードが真のものである）場合、企業ＫＤＣはＫＥＫを返送することになる。企業ＫＤＣはまた、ユーザ特権、グループ会員資格、又はユーザに関するその他の制約、に関するその他の認証情報を返送することになる。ＫＥＫは、企業サーバへのサーバ特定チケットを要求する権限を有する。
【００３１】
ブロック３０８にて、ＭＥ共通認証モジュールが、ＫＥＫ及びユーザに関するその他の認証情報を受信し、ＫＥＫをプラットフォームのフラッシュ又はその他の安全な記憶領域に安全に格納する。ＫＥＫは、フラッシュ内に安全に格納されると、ＭＥの制御下に置かれ、故に、ＭＥはこの段階で企業サーバへのサービス特定チケットを取得する権限を与えられる。そして、処理はブロック３１０へと進む。
【００３２】
一実施形態において、ＭＥは、ユーザの認証成功に基づくアクションを実行することができ、サービス特定チケットを取得することができ、あるいは、ＭＥ共通サービスの下でサービスを実行することができる。
【００３３】
ブロック３１０にて、ディレクトリによって、あるいは認証パラメータからデバイス・ラップ・キー（ＤＷＫ）を取得することによって供給されたトークンを用いて、例えば暗号化されたディスク等のプラットフォームリソースがロック解除（アンロック）され得る。そして、処理はブロック３１２へと進む。
【００３４】
処理のこの時点において、ユーザは基本的に、企業ユーザ信用証明（シングルサインオン信用証明）を用いて、ＭＥにログオンしている。ＢＩＯＳはこの段階でＯＳをロードする必要があり、ユーザはＯＳに認証される必要がある。ブロック３１２にて、ＭＥは、ＯＳを起動するために処理をＢＩＯＳ（すなわち、ＢＩＯＳ２０６）に戻す。そして、処理はブロック３１４へと進む。
【００３５】
ＯＳは起動されるとき、ＯＳにユーザを認証する準備が整うポイントに到達するまで、その通常処理を経る。これは、例えばマイクロソフトＧＩＮＡ等の信用証明マネジャを呼び出すことによって実行される。ＧＩＮＡ処理の間に、ユーザにユーザ認証信用証明を促すか、あるいはＭＥから自動的に信用証明を取得するかが決定されなければならない。ブロック３１４にて、ユーザログイン画面がユーザに提示されるべきポイントで通常のＯＳログイン処理を中断するために、例えばＧＩＮＡラッパー等のソフトウェア・シム（shim）が用いられる。ソフトウェア・シムは、ＫＥＫを要求することによって、ユーザが既に企業システム２２０に真のユーザであることを証明しているかを検証するためにＭＥに問い合わせる。そして、処理はブロック３１６へと進む。
【００３６】
決定ブロック３１６にて、ＫＥＫが利用可能であるかを決定する。ＫＥＫが利用可能である場合、処理はブロック３１８へと進む。
【００３７】
ブロック３１８にて、ＫＥＫ要求がＭＥへと誘導され、そこでＫＥＫが安全な記憶装置から取り出されてシムに返送される。そして、シムは、ユーザが既に企業システムに真のユーザであることを証明していることを決定し、ユーザログインプロンプトを差し止め、処理を単にシングルサインオンを要求する状態にする。
【００３８】
決定ブロック３１６に話を戻し、ＫＥＫが利用可能でないと決定された場合、ユーザログインプロンプトは差し止められず、ＯＳユーザ認証処理が通常通り進められる（ブロック３２０）。
【００３９】
ＯＳは、企業サーバ上のリソース又はサービスへのアクセスを必要とするとき、この場合には、ローカルなＫＥＫを用いて、適切な企業サーバに専用のチケットを取得することができる。このチケットは、ＯＳと企業サーバとの間に安全な通信チャネルを構築するために使用され得る。一実施形態において、ＴＬＳプロトコルが用いられ、ＴＬＳセッションが取り決められ得る。
【００４０】
図４は、本発明の一実施形態に従った、１つ以上の企業サーバからのリソース又はサービスへのアクセスを可能にする典型的な方法を示すフロー図４００である。本発明は、フロー図４００に関して説明される実施形態に限定されるものではなく、ここでの教示を受けた当業者に明らかになるように、他の機能フロー図も本発明の範囲内にある。処理はブロック４０２で開始し、直ちにブロック４０４へと進む。
【００４１】
ブロック４０４にて、ユーザが企業システムサービス又はリソースへの認証を要求するとき、その要求がＭＥに向けられる。そして、処理はブロック４０６へと進む。
【００４２】
ブロック４０６にて、ＭＥは、ＫＥＫを使用して、そのサービスを提供する企業サーバに専用のチケットを企業ＫＤＣから取得する。そして、処理はブロック４０８へと進む。
【００４３】
ブロック４０８にて、ＭＥは、そのサービス用のチケットを受信すると、そのチケットをＯＳ（又は、ＯＳ空間のアプリケーション）に提供する。一実施形態において、このチケットはこのチケット内に埋め込まれたキーを含んでいてもよい。そして、処理はブロック４１０へと進む。
【００４４】
ブロック４１０にて、ＯＳはチケットを使用して、企業サーバとＰＣとの間に安全な通信チャネルを構築し得る。一実施形態において、ＴＬＳプロトコルが用いられ、ＰＣと該サーバとの間でのＴＬＳセッションが取り決められ得る。
【００４５】
本発明の実施形態の特定の態様は、ハードウェア、ソフトウェア、又はそれらの組み合わせを用いて実装され、１つ以上のコンピュータプラットフォーム又はその他の処理システムにて実現され得る。実際、一実施形態において、方法は、例えば移動式あるいは静止型のコンピュータ、携帯情報端末（ＰＤＡ）、セットトップボックス、セル式電話及びポケットベル等のプログラム可能機械や、各々が少なくとも１つのプロセッサ、該少なくとも１つのプロセッサによって読み取り可能な記憶媒体（揮発性及び不揮発性のメモリ及び／又は記憶素子を含む）、少なくとも１つの入力装置、及び１つ以上の出力装置を含むその他の電子機器の上で実行されるプログラムにて実装され得る。入力装置を用いて入力されたデータにプログラムコードが適用され、記述された機能が実行され、出力情報が生成される。出力情報は１つ以上の出力装置に与えられ得る。当業者に認識されるように、本発明の実施形態は、マルチプロセッサシステム、ミニコンピュータ及びメインフレームコンピュータ等を含む様々なコンピュータプラットフォーム構成を用いて実施され得る。
【００４６】
各プログラムは、処理システムと通信するよう、ハイレベル手続き型プログラミング言語又はオブジェクト指向プログラミング言語にて実現され得る。しかしながら、プログラムは、必要に応じて、アセンブリ言語又は機械語にて実現されてもよい。何れにしても、言語はコンパイルされ、あるいはインタープリタされ得る。
【００４７】
プログラム命令は、該命令でプログラムされた汎用あるいは専用の処理システムに、ここで説明した方法を実行させるように用いられ得る。代替的に、方法は、当該方法を実行する配線論理を含んだ具体的なハードウェア要素によって、あるいはプログラムされたコンピュータ要素と特別注文のハードウェア要素との組み合わせによって実行されてもよい。ここで説明した方法は、当該方法を実行するように処理システム又はその他の電子機器をプログラムするために使用され得る命令を格納した機械読み取り可能媒体を含むコンピュータプログラム製品として提供されてもよい。ここで用いた“機械読み取り可能媒体”又は“機械アクセス可能媒体”という用語は、機械による実行のために命令シーケンスを格納あるいは符号化することが可能で、ここで説明した方法の何れか１つを機械に実行させる如何なる媒体をも含む。従って、“機械読み取り可能媒体”及び“機械アクセス可能媒体”という用語は、以下に限られないが、半導体メモリ、光ディスク及び磁気ディスクなどを含む。また、アクションを起こし、あるいは結果を引き起こすものとして、一形態又は別の一形態（例えば、プログラム、プロシージャ、プロセス、アプリケーション、モジュール、及びロジック等）でソフトウェアを語ることは技術的に一般的である。このような表現は単に、プロセッサにアクションを行わせたり結果を生成させたりする処理システムによるソフトウェアの実行を短く述べるものである。
【００４８】
以上にて本発明の様々な実施形態を説明したが、理解されるように、これらの実施形態は、限定ではなく、単に例として説明したものである。当業者に理解されるように、これらの実施形態には、添付の請求項にて規定される本発明の主旨及び範囲を逸脱することなく、形態的で詳細な様々な変更が為され得る。故に、本発明の広さ及び範囲は、上述の例示的な実施形態の何れによっても限定されるべきでなく、以下の請求項及びそれに均等なものに従って定められるべきである。
【符号の説明】
【００４９】
１００ コンピュータプラットフォーム
１０２ プロセッサ
１０４ システムメモリ
１０６ チップセット
１０８ ダイレクトメディアインタフェース
１１０ マネージャビリティエンジン（ＭＥ）
１１２ 暗号サービスブロック（ＣＳＢ）
１１４ 仮想化エンジン（ＶＥ）
１１６ ＳＡＴＡコントローラ
１１８ ＳＡＴＡ装置
１２０ 不揮発性メモリコントローラ
１２２ ＮＡＮＤフラッシュ
１２４ ネットワークコントローラ
１２５ ネットワーク
１２６ 企業サービス
１２８ ＡＰＩバス
１３０ フラッシュメモリ
１３２ チップセットファームウェア
１３４ ネットワークコントローラファームウェア
１３６ ＢＩＯＳファームウェア
２００ システム
２０２ ＣＰＵ
２０４ ＢＩＯＳ
２０６ 起動前認証モジュール（ＰＢＡＭ）
２０８ オペレーティングシステム（ＯＳ）
２１０ 信用証明マネジャ
２１２ ＭＥ共通サービス
２１４ ＤＴ２モジュール
２１５ デバイス・ラップ・キー（ＤＷＫ）
２１６ 共通認証モジュール（ケルベロスクライアント）
２１７ キー暗号キー（ＫＥＫ）
２２０ 企業システム
２２２ キー配布センター（ＫＤＣ）
２２４ ディレクトリ
２２６ 企業サーバ
【技術分野】
【０００１】
本発明は概してユーザ認証に関する。より具体的には、本発明は、マネージャビリティ（管理容易性）エンジンを用いた、企業ネットワークへのシングルサインオン（single-sign-on）のための方法及びシステムに関する。
【背景技術】
【０００２】
データ保護のためのインテル社のAnti-Theft（登録商標）（盗難防止）技術は、チップセット及びその周辺部品にフルディスク暗号化（Full Disk Encryption；ＦＤＥ）を付加するプラットフォーム能力を有する。ＯＳ（オペレーティングシステム）及びユーザのデータを含め、Ａｔ−ｄ保護ドライブ上の全データが暗号化される。暗号化されないままの領域は、マネージャビリティエンジン（manageability engine；ＭＥ）メタデータ及び起動前（プリブート）認証メタデータの領域を含む。ドライブを完全に暗号化することにより、ページングファイル及び設定ファイル内に含まれる機密データが保護され、ツールキットによるシステムファイルのオフラインアタッカー操作が防止される。
【０００３】
ドライブを完全に暗号化することは同時に、難しい問題を提示する。例えば、ユーザが認証されるまで、ディスクドライブはユーザに使用禁止にされる。現在のやり方は、オペレーティングシステム（ＯＳ）が初期認証を行うことに頼っているが、ＦＤＥを用いると、ＯＳは暗号化され、ＯＳを介してユーザを認証することが困難になる。故に、ユーザ認証は、ドライブへのアクセスを必要とする如何なる起動前サービスよりも前に行われなければならない。
【発明の概要】
【発明が解決しようとする課題】
【０００４】
マネージャビリティエンジンによる企業ネットワークへのシングルサインオンのための方法及びシステムを提供する。
【課題を解決するための手段】
【０００５】
一態様に従って、マネージャビリティエンジンを用いた安全なアクセス方法が提供される。当該方法は、起動前処理の間にユーザから認証応答を受信する段階、プロトコルを用いて、キー配布センター（ＫＤＣ）に登録する段階、及びキー暗号キー（ＫＥＫ）の形態でシングルサインオン信用保証を受信する段階を有する。ＫＥＫは後に、企業サーバへの安全なアクセスを構築するために使用される。
【図面の簡単な説明】
【０００６】
添付の図面は、ここに組み込まれ、本明細書の一部を形成し、ここでの説明とともに本発明の実施形態を例示し、更に、本発明の原理を説明し且つ当業者が本発明の形成及び使用を行うことを可能にする役割を果たす。図面において、似通った参照符号は、同一の、機能的に同様の、且つ／或いは構造的に同様の要素を指し示す。或る要素が最初に現れる図は、対応する参照符号の最初の桁によって指し示される。
【図１】記載の実施形態の態様が用いられ得る典型的なコンピュータプラットフォームを例示するブロック図である。
【図２】本発明の一実施形態に従った、マネージャビリティエンジンを用いる企業ネットワークのシングルサインオンのためのシステムを例示するブロック図である。
【図３】本発明の一実施形態に従った、マネージャビリティエンジンを用いる企業ネットワークのシングルサインオンのための典型的な方法を示すフロー図である。
【図４】本発明の一実施形態に従った、１つ以上の企業サーバからのリソース又はサービスへのアクセスを可能にする典型的な方法を示すフロー図である。
【発明を実施するための形態】
【０００７】
ここでは、本発明は特定の用途のための例示的な実施形態を参照して説明される。しかしながら、理解されるように、本発明はそれに限定されるものではない。ここで提供される教示を利用し得る当業者は、その教示の範囲内、及び本発明の実施形態が有意に役立つ更なる分野の範囲内で、更なる変更、用途及び実施形態を認識するであろう。
【０００８】
本明細書において、本発明の“１つの実施形態”、“一実施形態”又は“他の一実施形態”への言及は、その実施形態に関連して説明される或る特定の特徴、構造又は特長が、本発明の少なくとも１つの実施形態中に含まれることを意味する。故に、“１つの実施形態において”又は“一実施形態において”という言い回しが本明細書全体を通して様々な箇所に現れることは、必ずしも、全てが同一の実施形態について言及しているわけではない。
【０００９】
本発明の実施形態は、起動前処理の間にユーザから認証応答を受信し、且つケルベロス（Kerberos）プロトコルを用いて、ユーザがＰＣ（パーソナルコンピュータ）に首尾良く認証されたことをケルベロス鍵（キー）配布センター（ＫＤＣ）に登録するマネージャビリティエンジン（ＭＥ）を提供する。ＫＤＣはＭＥに、企業システムサービスへの安全なアクセスを得るために後にＰＣによって使用され得るキー暗号化キー（Key Encryption Key；ＫＥＫ）の形態のシングルサインオン信用証明を提供する。
【００１０】
本発明の実施形態は、起動前環境における早い段階で企業識別管理サービスを用いてユーザ認証を実行する能力を提供する。この能力は、企業ネットワークによって管理されているユーザ信用証明を用いるための企業ネットワークへの直接的な帯域外（アウトオブバンド；ＯＯＢ）アクセスを可能にするマネージャビリティエンジンを用いて提供される。本発明の実施形態はまた、ユーザが既にＯＳ起動中に認証されていることをオペレーティングシステム（ＯＳ）が認識することを可能にする。これは、信用証明マネジャがＯＳユーザログインを中断し、ＭＥからのＫＥＫを要求することによって、ユーザが既にその企業システムサービスで認証されているかを決定し得るようにすることによって達成される。ＫＥＫがＭＥ内に安全に記憶されている場合、ＫＥＫは取り出され、信用証明マネジャに戻される。信用保証マネジャは、ＫＥＫを受信すると、ユーザが既にその企業システムサービスに認証されていることを決定し、ＯＳユーザログインプロンプトを差し止め、その処理を単にシングルサインオンを要求する状態にする。
【００１１】
本発明の実施形態は、ＯＳ及びプラットフォームからのその設定への依存性を排除し、ユーザ（及び計算機）ＩＤに基づいて動的に選択及び設定が行われるように仮想計算機モニタ（virtual machine monitor；ＶＭＭ）、仮想計算機（ＶＭ）、ＯＳ及びアプリケーションがプラットフォーム上で用いられることを可能にする。ユーザ認証は信用できないＯＳ及び／又はＶＭＭから保護される。ＫＤＣへの認証、及びそれに続くプラットフォームへのユーザ信用証明／権限付与の発行は、ＯＳ又はＶＭＭ上の悪意ソフトウェア（マルウェア）又はその他の攻撃を免れる。
【００１２】
本発明の実施形態は、ＩＤ管理基盤としてケルベロスを用いて説明されるが、本発明はケルベロスを基盤とするものに限定されない。当業者が知るであろうように、例えばＳＡＭＬ（Security Assertion Markup Language）、カードスペース（Card Space）、リバティアライアンス（Liberty Alliance）、公開鍵などのその他のＩＤ管理基盤も用いられ得る。
【００１３】
図１は、記載の実施形態の態様が用いられ得る典型的なコンピュータプラットフォームを例示するブロック図である。コンピュータプラットフォーム１００はプロセッサ１０２（帯域内（インバンド）プロセッサとしても知られる）を有している。プロセッサ１０２は、一実施形態においてダイナミックランダムアクセスメモリ（ＤＲＡＭ）１０４とし得るシステムメモリに結合され得る。プロセッサ１０２は、例えばマイクロプロセッサ、デジタル信号処理器又はマイクロコントローラ等の、ソフトウェアを実行することが可能な如何なる種類のプロセッサであってもよい。図１はそのようなプロセッサ１０２を１つのみを示しているが、プラットフォーム１００内には１つ又は複数のプロセッサが存在していてもよく、それらプロセッサのうちの１つ以上がマルチスレッド又はマルチコア等を含んでいてもよい。
【００１４】
プロセッサ１０２は更に、ダイレクトメディアインタフェース（ＤＭＩ）１０８を介してチップセット１０６に接続され得る。チップセット１０６は、とりわけ、マネージャビリティエンジン（ＭＥ）１１０、暗号サービスブロック（ＣＳＢ）１１２、及び仮想化エンジン（ＶＥ）１１４を有している。ＣＳＢ１１２は、ＡＥＳ（Advanced Encryption Standard）のハードウェア実装であり、１２８ビットと２５６ビットの大きさのキーに対応している。ＶＥ１１４はＳＡＴＡ（Serial Advanced Technology Attachment）コントローラ１１６に結合されており、ＳＡＴＡコントローラ１１６は、例えばＳＡＴＡ装置１１８等の取り付けられた何らかのＳＡＴＡ記憶装置のための、ＳＡＴＡコマンドの復号化及びその他の加速処理を実行する。ＶＥ１１４はまた、例えばＮＡＮＤフラッシュ１２２等のＮＶＭ装置上にデータをキャッシュするために、不揮発性メモリ（ＮＶＭ）コントローラ１２０に結合されている。ＭＥ１１０は、ポリシー及びキーを設定することによって、ＶＥ１１４及びＣＳＢ１１２の挙動を制御する。ＭＥ１１０は聴講イベントを収集し、ユーザ認証を管理し、且つ企業システムサービス１２６とのインタフェースを取る。ＭＥ１１０は帯域外コントローラ（図示せず）及びネットワークコントローラ１２４を用い、ネットワーク１２５を介して企業システムサービス１２６とのインタフェースを取る。一実施形態において、ネットワーク１２５は、例えば以下に限られないがインターネット等の、ワイドエリアネットワークとし得る。
【００１５】
一実施形態において、チップセット１０６はシリアル周辺インタフェース（ＳＰＩ）バス１２８を介して不揮発性メモリ１３０に結合される。不揮発性メモリ１３０は、フラッシュメモリ又はスタティックランダムアクセスメモリ（ＳＲＡＭ）等とし得る。数多くの既存のプラットフォームにおいて、ＮＶＭ１３０はフラッシュメモリである。フラッシュメモリ１３０は、チップセット１０６用のチップセットファームウェア１３２と、ネットワークコントローラ１２４用のネットワークコントローラファームウェアとを含んでいる。
【００１６】
一部の実施形態において、プロセッサ１０２は、ＮＶＭ１３０内に、基本入出力システム（ＢＩＯＳ）ファームウェア１３６を有する。他の一部の実施形態において、ブートベクトル（ポインタ）がＮＶＭ１３０のＢＩＯＳファームウェア１３６内にあって、プロセッサ１０２が遠隔装置（図示せず）から起動（ブート）されてもよい。チップセット１０６は、チップセット１０６を制御するためのチップセットファームウェア１３２、ネットワークコントローラ１２４を制御するためのネットワークコントローラファームウェア１３４、及びＢＩＯＳファームウェア１３６を含め、ＮＶＭ１３０のコンテンツの全てにアクセスし得る。
【００１７】
図２は、本発明の一実施形態に従った、マネージャビリティエンジンを用いる企業ネットワークのシングルサインオンのためのシステムを例示するブロック図である。システム２００は、起動前部分及び起動後部分を有するＣＰＵ２０２を有している。起動前部分は、とりわけ、基本入出力システム（ＢＩＯＳ）２０４及び起動前認証モジュール（ＰＢＡＭ）２０６を含んでいる。起動後部分は、とりわけ、オペレーティングシステム（ＯＳ）２０８及びＧＩＮＡ（図形識別・認証）２１０を含んでいる。システム２００はまた、マネージャビリティエンジン（ＭＥ）１１０を含んでいる。ＭＥ１１０はＣＰＵ２０２に結合されている。
【００１８】
ＢＩＯＳ２０４は、部分的に、最初に電源投入されるときにパーソナルコンピュータ（ＰＣ）によって実行されるファームウェアコードを意味する。ＢＩＯＳ２０４の主な機能は、例えばビデオ表示カードやハードディスク等のシステム構成ハードウェア及びその他のハードウェア装置の識別及び初期設定を行うことである。ＢＩＯＳ２０４は、例えば、ＥＦＩ（Extensible Firmware Interface）ＢＩＯＳ又はレガシーＢＩＯＳとし得る。本発明の一部の実施形態において、ユーザ（図示せず）はＰＢＡＭ２０６を用いてＢＩＯＳ２０４によって認証され得る。
【００１９】
ＰＢＡＭ２０６は、起動前の対話式ログインのための認証ポリシーを実装している。ＰＢＡＭ２０６は、信用がおける認証レイヤとしての、安全で不正が防止されたＯＳ２０８の外部環境を保証するためのＢＩＯＳ２０４の拡張である。ＰＢＡＭ２０６は、ユーザを認証するために、ユーザに認証課題（チャレンジ）を提供する。例えば、ＰＢＡＭ２０６はユーザからのユーザＩＤ及びパスワードを要求し得る。ユーザＩＤ及びパスワードは、そのユーザを認証すべきか決定するために、格納されたデータと比較され得る。ＰＢＡＭ２０６は、前に進むための正しいパスワードをユーザが有することをユーザが確認するまで、ＯＳ２０８が読み込むことを防止する。
【００２０】
ＯＳ２０８は、コンピュータプラットフォームの活動とリソースの共有との管理及び調整を担う。ＯＳ２０８は、例えば、マイクロソフト社のウィンドウズ（登録商標）ＯＳ又はリナックス（登録商標）ＯＳとし得る。
【００２１】
ＧＩＮＡ（図形識別・認証）２１０は、ＯＳ対話式ログインモデルの認証ポリシーを実装する動的リンクライブラリ（ＤＬＬ）である。ＧＩＮＡは、信用証明マネジャとしても知られ、ＯＳにおけるユーザ認証のための全ての識別・認証ユーザ対話を行う。
【００２２】
ＭＥ１１０は、とりわけ、ＭＥ共通サービス（ＣＳ）モジュール２１２を有している。ＭＥ共通サービスモジュール２１２は、マネージャビリティエンジン１１０上で実行されるファームウェアレイヤを表す。ＣＳ２１２は、ＭＥ１１０が例えば企業サービス２２０等の企業ネットワークに接続することを可能にする通信スタックを提供する。ＣＳ２１２はまた、チップセット１０６の機能を増大／低減するためにファームウェアモジュールが付加／除去されることが可能である場合、プラグインインタフェースを提供する。本発明の一実施形態において、ＤＴ２モジュール２１４及び共通認証モジュール（ＣＡＭ）２１６は、チップセット１０６に追加機能を提供するファームウェアプラグインである。他のＦＷ２１８は、別のファームウェアモジュール用の例示的な場所を示している。暗号鍵ＤＷＫ（デバイス・ラップ・キー）２１５及びＫＥＫ（キー暗号キー）２１７は、それぞれ、ＤＴ２モジュール２１４及びＣＡＭ２１６に対応する信用証明であり、プラットフォーム上に安全に保管されるように示されている。その他２１９は他のＦＷ２１８の暗号鍵用の場所を確保するものである。
【００２３】
ＤＴ２モジュール２１４は、暗号化された記憶装置へのアクセスを制御するファームウェアプラグインである。ＤＷＫ２１５は、ファームウェアプラグインＤＴ２（２１４）を用いて暗号化されたディスクを解除するために用いられる暗号鍵／信用証明である。暗号鍵２１５へのアクセスは、ユーザ又はアドミニストレータの認証の成功に基づく条件付きである。
【００２４】
共通認証モジュール（ＣＡＭ）２１６は、起動前ＢＩＯＳコード、必要に応じてのＲＯＭ、又はユーザ認証チャレンジを実行するその他のホストファームウェアモジュールとのインタフェースを主として担う。チャレンジへの応答がＣＡＭ２１６に与えられ、主張されたＩＤが検証される。一実施形態において、ＣＡＭ２１６はケルベロスクライアントとしても知られる。ＫＥＫ２１７は、ケルベロスのチケット許可チケットすなわちＴＧＴ（ticket granting ticket）とも呼ばれ、企業サーバ２２６を介して企業システムサービス１２６にアクセスするチケットを取得するために使用される暗号鍵／信用証明である。暗号鍵ＫＥＫ２１７へのアクセスは、ユーザ又はアドミニストレータの認証の成功に基づく条件付きである。
【００２５】
システム２００は（図１に示したような）ネットワークを介して企業システム２２０にインタフェース接続される。企業システム２２０は、キー配布センター（ＫＤＣ）２２２、ディレクトリ２２４、及び企業サーバ２２６を介しての企業システムサービス１２６を含んでいる。
【００２６】
ＫＤＣ２２２は、ユーザ及びサービスの認証を手助けするように使用される認証サーバである。ＫＤＣ２２２は、例えば企業システムサービス等のサービスへのアクセスを可能にするチケットを配布する。ＫＤＣ２２２は、クライアントからの最初の認証要求に応答して、キー暗号キー（ＫＥＫ）として知られる特別なキーを発行する。なお、ＫＥＫは、ケルベロスチャレンジ応答プロトコルにおけるチケット許可チケット（ＴＧＴ）としても定義される。ユーザが実際に自身が主張する者である場合、ユーザはＫＥＫ／ＴＧＴを使用して、パスワードを再入力する必要なく企業システムサービス１２６への別のサービス入場チケットを取得することができる。ＫＤＣ２２２は、バックエンドインタフェース（図示せず）を介して、ディレクトリ２２４にインタフェース接続し、ユーザ、ホスト又はサービスに関する情報を取得する。
【００２７】
ディレクトリ２２４は、ユーザ、ホスト及びサービスに関連するデータを格納している。ディレクトリ２２４内に格納されたデータは、以下に限られないが、ユーザ名、パスワード及びパスワードの有効期限、ユーザが保持するサービスに関するチケットの属性を含み得る。
【００２８】
図３は、本発明の一実施形態に従った、マネージャビリティエンジンを用いる企業ネットワークのシングルサインオンのための典型的な方法を示すフロー図３００である。本発明は、フロー図３００に関して説明される実施形態に限定されるものではなく、ここでの教示を受けた当業者に明らかになるように、他の機能フロー図も本発明の範囲内にある。処理はブロック３０２で開始し、直ちにブロック３０４へと進む。
【００２９】
ブロック３０４にて、ＭＥ共通認証モジュールがＰＢＡＭからユーザ認証信用証明（すなわち、ユーザＩＤ及びパスワード）を受信する。ユーザはＢＩＯＳを介してＰＢＡＭに真のユーザであることを証明する。ＰＢＡＭはユーザを認証するためにユーザに認証チャレンジを提供する。例えば、ＰＢＡＭはユーザからのユーザＩＤ及びパスワードを要求し得る。チャレンジに応答し、ユーザはＰＢＡＭにユーザ認証信用証明を提供し、ユーザ認証信用証明をＭＥに送信する。処理はブロック３０６へと進む。
【００３０】
ブロック３０６にて、ＭＥが企業ＫＤＣへの接続を開設し、チケット許可チケット（ＴＧＴ）としても知られるキー暗号キー（ＫＥＫ）を要求する。ＫＥＫは、サービス１２６のために企業サーバ２２６にアクセスするためのサービス入場チケットを取得するために使用され得る。企業ＫＤＣは、企業チャレンジ応答プロトコルを実行し、そのユーザに関する情報を含んだディレクトリサービスに問い合わせることによって、そのユーザを企業の既知のエンティティとして検証／認証する。ディレクトリサービスは、マイクロソフト・アクティブ・ディレクトリ、ライトウェイト・ディレクトリ・アクセス・プロトコル（ＬＤＡＰ）、又はその他のディレクトリサービスとし得る。ユーザが既知のエンティティである（すなわち、ユーザＩＤ及びパスワードが真のものである）場合、企業ＫＤＣはＫＥＫを返送することになる。企業ＫＤＣはまた、ユーザ特権、グループ会員資格、又はユーザに関するその他の制約、に関するその他の認証情報を返送することになる。ＫＥＫは、企業サーバへのサーバ特定チケットを要求する権限を有する。
【００３１】
ブロック３０８にて、ＭＥ共通認証モジュールが、ＫＥＫ及びユーザに関するその他の認証情報を受信し、ＫＥＫをプラットフォームのフラッシュ又はその他の安全な記憶領域に安全に格納する。ＫＥＫは、フラッシュ内に安全に格納されると、ＭＥの制御下に置かれ、故に、ＭＥはこの段階で企業サーバへのサービス特定チケットを取得する権限を与えられる。そして、処理はブロック３１０へと進む。
【００３２】
一実施形態において、ＭＥは、ユーザの認証成功に基づくアクションを実行することができ、サービス特定チケットを取得することができ、あるいは、ＭＥ共通サービスの下でサービスを実行することができる。
【００３３】
ブロック３１０にて、ディレクトリによって、あるいは認証パラメータからデバイス・ラップ・キー（ＤＷＫ）を取得することによって供給されたトークンを用いて、例えば暗号化されたディスク等のプラットフォームリソースがロック解除（アンロック）され得る。そして、処理はブロック３１２へと進む。
【００３４】
処理のこの時点において、ユーザは基本的に、企業ユーザ信用証明（シングルサインオン信用証明）を用いて、ＭＥにログオンしている。ＢＩＯＳはこの段階でＯＳをロードする必要があり、ユーザはＯＳに認証される必要がある。ブロック３１２にて、ＭＥは、ＯＳを起動するために処理をＢＩＯＳ（すなわち、ＢＩＯＳ２０６）に戻す。そして、処理はブロック３１４へと進む。
【００３５】
ＯＳは起動されるとき、ＯＳにユーザを認証する準備が整うポイントに到達するまで、その通常処理を経る。これは、例えばマイクロソフトＧＩＮＡ等の信用証明マネジャを呼び出すことによって実行される。ＧＩＮＡ処理の間に、ユーザにユーザ認証信用証明を促すか、あるいはＭＥから自動的に信用証明を取得するかが決定されなければならない。ブロック３１４にて、ユーザログイン画面がユーザに提示されるべきポイントで通常のＯＳログイン処理を中断するために、例えばＧＩＮＡラッパー等のソフトウェア・シム（shim）が用いられる。ソフトウェア・シムは、ＫＥＫを要求することによって、ユーザが既に企業システム２２０に真のユーザであることを証明しているかを検証するためにＭＥに問い合わせる。そして、処理はブロック３１６へと進む。
【００３６】
決定ブロック３１６にて、ＫＥＫが利用可能であるかを決定する。ＫＥＫが利用可能である場合、処理はブロック３１８へと進む。
【００３７】
ブロック３１８にて、ＫＥＫ要求がＭＥへと誘導され、そこでＫＥＫが安全な記憶装置から取り出されてシムに返送される。そして、シムは、ユーザが既に企業システムに真のユーザであることを証明していることを決定し、ユーザログインプロンプトを差し止め、処理を単にシングルサインオンを要求する状態にする。
【００３８】
決定ブロック３１６に話を戻し、ＫＥＫが利用可能でないと決定された場合、ユーザログインプロンプトは差し止められず、ＯＳユーザ認証処理が通常通り進められる（ブロック３２０）。
【００３９】
ＯＳは、企業サーバ上のリソース又はサービスへのアクセスを必要とするとき、この場合には、ローカルなＫＥＫを用いて、適切な企業サーバに専用のチケットを取得することができる。このチケットは、ＯＳと企業サーバとの間に安全な通信チャネルを構築するために使用され得る。一実施形態において、ＴＬＳプロトコルが用いられ、ＴＬＳセッションが取り決められ得る。
【００４０】
図４は、本発明の一実施形態に従った、１つ以上の企業サーバからのリソース又はサービスへのアクセスを可能にする典型的な方法を示すフロー図４００である。本発明は、フロー図４００に関して説明される実施形態に限定されるものではなく、ここでの教示を受けた当業者に明らかになるように、他の機能フロー図も本発明の範囲内にある。処理はブロック４０２で開始し、直ちにブロック４０４へと進む。
【００４１】
ブロック４０４にて、ユーザが企業システムサービス又はリソースへの認証を要求するとき、その要求がＭＥに向けられる。そして、処理はブロック４０６へと進む。
【００４２】
ブロック４０６にて、ＭＥは、ＫＥＫを使用して、そのサービスを提供する企業サーバに専用のチケットを企業ＫＤＣから取得する。そして、処理はブロック４０８へと進む。
【００４３】
ブロック４０８にて、ＭＥは、そのサービス用のチケットを受信すると、そのチケットをＯＳ（又は、ＯＳ空間のアプリケーション）に提供する。一実施形態において、このチケットはこのチケット内に埋め込まれたキーを含んでいてもよい。そして、処理はブロック４１０へと進む。
【００４４】
ブロック４１０にて、ＯＳはチケットを使用して、企業サーバとＰＣとの間に安全な通信チャネルを構築し得る。一実施形態において、ＴＬＳプロトコルが用いられ、ＰＣと該サーバとの間でのＴＬＳセッションが取り決められ得る。
【００４５】
本発明の実施形態の特定の態様は、ハードウェア、ソフトウェア、又はそれらの組み合わせを用いて実装され、１つ以上のコンピュータプラットフォーム又はその他の処理システムにて実現され得る。実際、一実施形態において、方法は、例えば移動式あるいは静止型のコンピュータ、携帯情報端末（ＰＤＡ）、セットトップボックス、セル式電話及びポケットベル等のプログラム可能機械や、各々が少なくとも１つのプロセッサ、該少なくとも１つのプロセッサによって読み取り可能な記憶媒体（揮発性及び不揮発性のメモリ及び／又は記憶素子を含む）、少なくとも１つの入力装置、及び１つ以上の出力装置を含むその他の電子機器の上で実行されるプログラムにて実装され得る。入力装置を用いて入力されたデータにプログラムコードが適用され、記述された機能が実行され、出力情報が生成される。出力情報は１つ以上の出力装置に与えられ得る。当業者に認識されるように、本発明の実施形態は、マルチプロセッサシステム、ミニコンピュータ及びメインフレームコンピュータ等を含む様々なコンピュータプラットフォーム構成を用いて実施され得る。
【００４６】
各プログラムは、処理システムと通信するよう、ハイレベル手続き型プログラミング言語又はオブジェクト指向プログラミング言語にて実現され得る。しかしながら、プログラムは、必要に応じて、アセンブリ言語又は機械語にて実現されてもよい。何れにしても、言語はコンパイルされ、あるいはインタープリタされ得る。
【００４７】
プログラム命令は、該命令でプログラムされた汎用あるいは専用の処理システムに、ここで説明した方法を実行させるように用いられ得る。代替的に、方法は、当該方法を実行する配線論理を含んだ具体的なハードウェア要素によって、あるいはプログラムされたコンピュータ要素と特別注文のハードウェア要素との組み合わせによって実行されてもよい。ここで説明した方法は、当該方法を実行するように処理システム又はその他の電子機器をプログラムするために使用され得る命令を格納した機械読み取り可能媒体を含むコンピュータプログラム製品として提供されてもよい。ここで用いた“機械読み取り可能媒体”又は“機械アクセス可能媒体”という用語は、機械による実行のために命令シーケンスを格納あるいは符号化することが可能で、ここで説明した方法の何れか１つを機械に実行させる如何なる媒体をも含む。従って、“機械読み取り可能媒体”及び“機械アクセス可能媒体”という用語は、以下に限られないが、半導体メモリ、光ディスク及び磁気ディスクなどを含む。また、アクションを起こし、あるいは結果を引き起こすものとして、一形態又は別の一形態（例えば、プログラム、プロシージャ、プロセス、アプリケーション、モジュール、及びロジック等）でソフトウェアを語ることは技術的に一般的である。このような表現は単に、プロセッサにアクションを行わせたり結果を生成させたりする処理システムによるソフトウェアの実行を短く述べるものである。
【００４８】
以上にて本発明の様々な実施形態を説明したが、理解されるように、これらの実施形態は、限定ではなく、単に例として説明したものである。当業者に理解されるように、これらの実施形態には、添付の請求項にて規定される本発明の主旨及び範囲を逸脱することなく、形態的で詳細な様々な変更が為され得る。故に、本発明の広さ及び範囲は、上述の例示的な実施形態の何れによっても限定されるべきでなく、以下の請求項及びそれに均等なものに従って定められるべきである。
【符号の説明】
【００４９】
１００ コンピュータプラットフォーム
１０２ プロセッサ
１０４ システムメモリ
１０６ チップセット
１０８ ダイレクトメディアインタフェース
１１０ マネージャビリティエンジン（ＭＥ）
１１２ 暗号サービスブロック（ＣＳＢ）
１１４ 仮想化エンジン（ＶＥ）
１１６ ＳＡＴＡコントローラ
１１８ ＳＡＴＡ装置
１２０ 不揮発性メモリコントローラ
１２２ ＮＡＮＤフラッシュ
１２４ ネットワークコントローラ
１２５ ネットワーク
１２６ 企業サービス
１２８ ＡＰＩバス
１３０ フラッシュメモリ
１３２ チップセットファームウェア
１３４ ネットワークコントローラファームウェア
１３６ ＢＩＯＳファームウェア
２００ システム
２０２ ＣＰＵ
２０４ ＢＩＯＳ
２０６ 起動前認証モジュール（ＰＢＡＭ）
２０８ オペレーティングシステム（ＯＳ）
２１０ 信用証明マネジャ
２１２ ＭＥ共通サービス
２１４ ＤＴ２モジュール
２１５ デバイス・ラップ・キー（ＤＷＫ）
２１６ 共通認証モジュール（ケルベロスクライアント）
２１７ キー暗号キー（ＫＥＫ）
２２０ 企業システム
２２２ キー配布センター（ＫＤＣ）
２２４ ディレクトリ
２２６ 企業サーバ
【特許請求の範囲】
【請求項１】
コンピュータプラットフォームのマネージャビリティエンジンを用いた安全なアクセス方法であって：
前記マネージャビリティエンジンの共通認証モジュールにより、前記コンピュータプラットフォームのインバンドプロセッサとは異なる前記マネージャビリティエンジンのアウトオブバンドプロセッサを使用して、プリブート処理の間にユーザからの認証応答を受信する段階；
プロトコルを用いる段階であり、前記共通認証モジュールにより、前記マネージャビリティエンジンの前記アウトオブバンドプロセッサを使用して、前記マネージャビリティエンジンと前記コンピュータプラットフォームのネットワークコントローラとの間の、前記インバンドプロセッサから独立した、専用のアウトオブバンドインタフェースを介して、前記認証応答をキー配布センターに登録する、段階；及び
前記共通認証モジュールにより、前記マネージャビリティエンジンの前記アウトオブバンドプロセッサを使用し且つ前記インバンドプロセッサから独立して、前記専用のアウトオブバンドインタフェースを介して、キー暗号キーの形態でシングルサインオン信用保証を受信する段階；
を有し、
前記キー暗号キーは後に、企業サーバへの安全なアクセスを構築するために使用される信用保証を取得するために使用される、
方法。
【請求項２】
前記認証応答を受信する段階は、ＢＩＯＳを介して前記コンピュータプラットフォームのプリブート認証モジュールから前記認証応答を受信することを有する、請求項１に記載の方法。
【請求項３】
前記プロトコルを用いる段階は、前記専用のアウトオブバンドインタフェースを用いて企業ネットワークへの接続を開設すること、及び前記キー配布センターからの前記キー暗号キーを要求することを有する、請求項１に記載の方法。
【請求項４】
前記プロトコルを用いる段階は、前記共通認証モジュールにより、前記マネージャビリティエンジンの前記アウトオブバンドプロセッサを使用して、ケルベロスプロトコルを用いて、前記専用のアウトオブバンドインタフェースを介して前記認証応答をケルベロスキー配布センターに登録することを有する、請求項１に記載の方法。
【請求項５】
前記プロトコルを用いる段階は、ケルベロス、ＳＡＭＬ、カードスペース、リバティアライアンス、公開鍵、又はその他のＩＤ管理基盤を用いることを有する、請求項１に記載の方法。
【請求項６】
前記共通認証モジュールにより、前記マネージャビリティエンジンの前記アウトオブバンドプロセッサを使用して、前記シングルサインオン信用保証を安全に格納する段階、を更に有する請求項１に記載の方法。
【請求項７】
前記マネージャビリティエンジンにより、前記シングルサインオン信用保証を受信したことに応答して、前記コンピュータプラットフォームの暗号化されたディスクへのアクセスを可能にする段階、を更に有する請求項１に記載の方法。
【請求項８】
コンピュータプラットフォームのメインプロセッサとは別個のアウトオブバンドプロセッサを有するマネージャビリティエンジン（ＭＥ）を用いて企業サーバに安全にアクセスする方法であって：
前記マネージャビリティエンジンの前記アウトオブバンドプロセッサにより、プリブート認証モジュールからユーザ認証信用証明を受信する段階；
前記マネージャビリティエンジンの前記アウトオブバンドプロセッサにより、前記マネージャビリティエンジンと前記コンピュータプラットフォームのネットワークコントローラとの間の、前記メインプロセッサから独立した、専用のアウトオブバンドインタフェースを介して、キー配布センターからのキー暗号キーを要求する段階；
前記ユーザ認証信用証明が前記キー配布センターによって認証されたことに応答して、前記マネージャビリティエンジンの前記アウトオブバンドプロセッサにより、前記メインプロセッサから独立して、前記専用のアウトオブバンドインタフェースを介して、前記キー配布センターからの前記キー暗号キーを受信する段階；
前記マネージャビリティエンジンの前記アウトオブバンドプロセッサを用いて、前記キー暗号キーを安全に格納する段階；
前記マネージャビリティエンジンの前記アウトオブバンドプロセッサにより、ＢＩＯＳがオペレーティングシステムの起動を進めることを可能にする段階；
前記マネージャビリティエンジンの前記アウトオブバンドプロセッサにより、オペレーティングシステムログイン処理を中断するために使用されるシムから、前記キー暗号キーを求める要求を受信する段階；
前記マネージャビリティエンジンの前記アウトオブバンドプロセッサにより、前記キー暗号キーを安全な記憶装置から取り出す段階；
前記マネージャビリティエンジンの前記アウトオブバンドプロセッサにより、前記キー暗号キーを前記オペレーティングシステムに送信する段階であり、前記シムが、前記キー暗号キーの受信を受けて、オペレーティングシステムログインプロンプトを差し止め、前記オペレーティングシステムの起動を完了させる段階；
を有し、
前記オペレーティングシステムが前記企業サーバへのアクセスを要求したことに応答して、前記オペレーティングシステムは、前記企業サーバに専用の入場チケットを取得するために、前記マネージャビリティエンジンから前記キー暗号キーを取り出す；
方法。
【請求項９】
前記ユーザ認証信用証明を受信する段階は、ＢＩＯＳを介して前記プリブート認証モジュールからユーザ認証信用証明を受信することを有する、請求項８に記載の方法。
【請求項１０】
前記ユーザ認証信用証明を受信する段階は、前記プリブート認証モジュールにより、ユーザに、該ユーザを認証するために、該ユーザが前記ユーザ認証信用証明を入力するよう要求する認証チャレンジを提供することを有する、請求項８に記載の方法。
【請求項１１】
前記ユーザ認証信用証明はユーザＩＤ及びパスワードを有する、請求項８に記載の方法。
【請求項１２】
前記キー配布センターからの前記キー暗号キーを要求する段階は、前記専用のアウトオブバンドインタフェースを用いて企業ネットワークへの接続を開設すること、及び前記キー配布センターからの前記キー暗号キーを要求することを有する、請求項８に記載の方法。
【請求項１３】
前記キー配布センターは、前記ユーザが前記企業ネットワークに既知のエンティティであることを、前記ユーザ認証信用証明を用いてディレクトリに問い合わせて前記ユーザの権限を確認することによって検証する、請求項１２に記載の方法。
【請求項１４】
前記キー暗号キーが安全に格納されたことに応答して、前記キー暗号キーは、前記マネージャビリティエンジンの制御下に置かれ、且つ企業サーバへのサービス特定入場チケットを取得する権限を付与される、請求項８に記載の方法。
【請求項１５】
前記キー暗号キーが安全に格納されたことに応答して、前記ユーザは、企業シングルサインオン信用証明を用いて前記マネージャビリティエンジンにログオンされる、請求項８に記載の方法。
【請求項１６】
前記オペレーティングシステムを起動することは、前記オペレーティングシステムに対して前記ユーザが真のユーザであることを証明するためにユーザ認証モジュールを呼び出すことを有する、請求項８に記載の方法。
【請求項１７】
前記オペレーティングシステムログインプロンプトを差し止めることは、前記コンピュータプラットフォームがシングルサインオンのみを要求することを可能にする、請求項８に記載の方法。
【請求項１８】
複数の機械アクセス可能命令を有する記憶媒体であって、前記命令がプロセッサによって実行されるときに、前記プロセッサに請求項１乃至１７の何れか一項に記載の方法を実行させる、記憶媒体。
【請求項１９】
インバンドプロセッサ；
ネットワークコントローラ；
前記インバンドプロセッサに結合されたマネージャビリティエンジン；並びに
前記ネットワークコントローラと前記マネージャビリティエンジンとの間に結合された、前記インバンドプロセッサから独立した、専用のアウトオブバンドインタフェース；
を有し、
前記マネージャビリティエンジンは：
前記インバンドプロセッサに結合とは別個のアウトオブバンドプロセッサ；
前記専用のアウトオブバンドインタフェースを用いたアウトオブバンドネットワーク通信能力を提供する共通サービスモジュール；及び
共通認証モジュール；
を有し、
前記共通認証モジュールは：
前記アウトオブバンドプロセッサを使用して、プリブート処理の間にユーザからの認証応答を受信し；
前記アウトオブバンドプロセッサを使用して、プロトコルを用いて、前記専用のアウトオブバンドインタフェースを介して、前記認証応答をキー配布センターに登録し；且つ
前記アウトオブバンドプロセッサを使用し且つ前記インバンドプロセッサから独立して、前記専用のアウトオブバンドインタフェースを介して、キー暗号キーの形態でシングルサインオン信用保証を受信し、
前記マネージャビリティエンジンは後に、前記キー暗号キーを用いて、企業サーバへの安全なアクセスを構築するために使用される信用保証を取得する、
セキュアアクセスシステム。
【請求項２０】
プリブート認証モジュールとＢＩＯＳとを更に有し、前記共通認証モジュールは、前記ＢＩＯＳを介して前記プリブート認証モジュールから前記認証応答を受信する、請求項１９に記載のシステム。
【請求項２１】
前記共通認証モジュールは、（ｉ）前記共通サービスモジュールを用いて前記専用のアウトオブバンドインタフェースを介した企業ネットワークへの接続を開設し、（ｉｉ）前記キー配布センターからの前記キー暗号キーを要求する、請求項１９に記載のシステム。
【請求項２２】
前記プロトコルはケルベロスプロトコルを有し、前記キー配布センターはケルベロスキー配布センターを有する、請求項１９に記載のシステム。
【請求項２３】
前記プロトコルは、ケルベロス、ＳＡＭＬ、カードスペース、リバティアライアンス、公開鍵、又はその他のＩＤ管理基盤を有する、請求項１９に記載のシステム。
【請求項２４】
前記共通認証モジュールは更に、前記アウトオブバンドプロセッサを使用して、前記シングルサインオン信用保証を安全に格納する、請求項１９に記載のシステム。
【請求項２５】
暗号化されたディスクを更に有し、前記マネージャビリティエンジンは更に、前記シングルサインオン信用保証を受信したことに応答して、前記暗号化されたディスクへのアクセスを可能にする、請求項１９に記載のシステム。
【請求項１】
コンピュータプラットフォームのマネージャビリティエンジンを用いた安全なアクセス方法であって：
前記マネージャビリティエンジンの共通認証モジュールにより、前記コンピュータプラットフォームのインバンドプロセッサとは異なる前記マネージャビリティエンジンのアウトオブバンドプロセッサを使用して、プリブート処理の間にユーザからの認証応答を受信する段階；
プロトコルを用いる段階であり、前記共通認証モジュールにより、前記マネージャビリティエンジンの前記アウトオブバンドプロセッサを使用して、前記マネージャビリティエンジンと前記コンピュータプラットフォームのネットワークコントローラとの間の、前記インバンドプロセッサから独立した、専用のアウトオブバンドインタフェースを介して、前記認証応答をキー配布センターに登録する、段階；及び
前記共通認証モジュールにより、前記マネージャビリティエンジンの前記アウトオブバンドプロセッサを使用し且つ前記インバンドプロセッサから独立して、前記専用のアウトオブバンドインタフェースを介して、キー暗号キーの形態でシングルサインオン信用保証を受信する段階；
を有し、
前記キー暗号キーは後に、企業サーバへの安全なアクセスを構築するために使用される信用保証を取得するために使用される、
方法。
【請求項２】
前記認証応答を受信する段階は、ＢＩＯＳを介して前記コンピュータプラットフォームのプリブート認証モジュールから前記認証応答を受信することを有する、請求項１に記載の方法。
【請求項３】
前記プロトコルを用いる段階は、前記専用のアウトオブバンドインタフェースを用いて企業ネットワークへの接続を開設すること、及び前記キー配布センターからの前記キー暗号キーを要求することを有する、請求項１に記載の方法。
【請求項４】
前記プロトコルを用いる段階は、前記共通認証モジュールにより、前記マネージャビリティエンジンの前記アウトオブバンドプロセッサを使用して、ケルベロスプロトコルを用いて、前記専用のアウトオブバンドインタフェースを介して前記認証応答をケルベロスキー配布センターに登録することを有する、請求項１に記載の方法。
【請求項５】
前記プロトコルを用いる段階は、ケルベロス、ＳＡＭＬ、カードスペース、リバティアライアンス、公開鍵、又はその他のＩＤ管理基盤を用いることを有する、請求項１に記載の方法。
【請求項６】
前記共通認証モジュールにより、前記マネージャビリティエンジンの前記アウトオブバンドプロセッサを使用して、前記シングルサインオン信用保証を安全に格納する段階、を更に有する請求項１に記載の方法。
【請求項７】
前記マネージャビリティエンジンにより、前記シングルサインオン信用保証を受信したことに応答して、前記コンピュータプラットフォームの暗号化されたディスクへのアクセスを可能にする段階、を更に有する請求項１に記載の方法。
【請求項８】
コンピュータプラットフォームのメインプロセッサとは別個のアウトオブバンドプロセッサを有するマネージャビリティエンジン（ＭＥ）を用いて企業サーバに安全にアクセスする方法であって：
前記マネージャビリティエンジンの前記アウトオブバンドプロセッサにより、プリブート認証モジュールからユーザ認証信用証明を受信する段階；
前記マネージャビリティエンジンの前記アウトオブバンドプロセッサにより、前記マネージャビリティエンジンと前記コンピュータプラットフォームのネットワークコントローラとの間の、前記メインプロセッサから独立した、専用のアウトオブバンドインタフェースを介して、キー配布センターからのキー暗号キーを要求する段階；
前記ユーザ認証信用証明が前記キー配布センターによって認証されたことに応答して、前記マネージャビリティエンジンの前記アウトオブバンドプロセッサにより、前記メインプロセッサから独立して、前記専用のアウトオブバンドインタフェースを介して、前記キー配布センターからの前記キー暗号キーを受信する段階；
前記マネージャビリティエンジンの前記アウトオブバンドプロセッサを用いて、前記キー暗号キーを安全に格納する段階；
前記マネージャビリティエンジンの前記アウトオブバンドプロセッサにより、ＢＩＯＳがオペレーティングシステムの起動を進めることを可能にする段階；
前記マネージャビリティエンジンの前記アウトオブバンドプロセッサにより、オペレーティングシステムログイン処理を中断するために使用されるシムから、前記キー暗号キーを求める要求を受信する段階；
前記マネージャビリティエンジンの前記アウトオブバンドプロセッサにより、前記キー暗号キーを安全な記憶装置から取り出す段階；
前記マネージャビリティエンジンの前記アウトオブバンドプロセッサにより、前記キー暗号キーを前記オペレーティングシステムに送信する段階であり、前記シムが、前記キー暗号キーの受信を受けて、オペレーティングシステムログインプロンプトを差し止め、前記オペレーティングシステムの起動を完了させる段階；
を有し、
前記オペレーティングシステムが前記企業サーバへのアクセスを要求したことに応答して、前記オペレーティングシステムは、前記企業サーバに専用の入場チケットを取得するために、前記マネージャビリティエンジンから前記キー暗号キーを取り出す；
方法。
【請求項９】
前記ユーザ認証信用証明を受信する段階は、ＢＩＯＳを介して前記プリブート認証モジュールからユーザ認証信用証明を受信することを有する、請求項８に記載の方法。
【請求項１０】
前記ユーザ認証信用証明を受信する段階は、前記プリブート認証モジュールにより、ユーザに、該ユーザを認証するために、該ユーザが前記ユーザ認証信用証明を入力するよう要求する認証チャレンジを提供することを有する、請求項８に記載の方法。
【請求項１１】
前記ユーザ認証信用証明はユーザＩＤ及びパスワードを有する、請求項８に記載の方法。
【請求項１２】
前記キー配布センターからの前記キー暗号キーを要求する段階は、前記専用のアウトオブバンドインタフェースを用いて企業ネットワークへの接続を開設すること、及び前記キー配布センターからの前記キー暗号キーを要求することを有する、請求項８に記載の方法。
【請求項１３】
前記キー配布センターは、前記ユーザが前記企業ネットワークに既知のエンティティであることを、前記ユーザ認証信用証明を用いてディレクトリに問い合わせて前記ユーザの権限を確認することによって検証する、請求項１２に記載の方法。
【請求項１４】
前記キー暗号キーが安全に格納されたことに応答して、前記キー暗号キーは、前記マネージャビリティエンジンの制御下に置かれ、且つ企業サーバへのサービス特定入場チケットを取得する権限を付与される、請求項８に記載の方法。
【請求項１５】
前記キー暗号キーが安全に格納されたことに応答して、前記ユーザは、企業シングルサインオン信用証明を用いて前記マネージャビリティエンジンにログオンされる、請求項８に記載の方法。
【請求項１６】
前記オペレーティングシステムを起動することは、前記オペレーティングシステムに対して前記ユーザが真のユーザであることを証明するためにユーザ認証モジュールを呼び出すことを有する、請求項８に記載の方法。
【請求項１７】
前記オペレーティングシステムログインプロンプトを差し止めることは、前記コンピュータプラットフォームがシングルサインオンのみを要求することを可能にする、請求項８に記載の方法。
【請求項１８】
複数の機械アクセス可能命令を有する記憶媒体であって、前記命令がプロセッサによって実行されるときに、前記プロセッサに請求項１乃至１７の何れか一項に記載の方法を実行させる、記憶媒体。
【請求項１９】
インバンドプロセッサ；
ネットワークコントローラ；
前記インバンドプロセッサに結合されたマネージャビリティエンジン；並びに
前記ネットワークコントローラと前記マネージャビリティエンジンとの間に結合された、前記インバンドプロセッサから独立した、専用のアウトオブバンドインタフェース；
を有し、
前記マネージャビリティエンジンは：
前記インバンドプロセッサに結合とは別個のアウトオブバンドプロセッサ；
前記専用のアウトオブバンドインタフェースを用いたアウトオブバンドネットワーク通信能力を提供する共通サービスモジュール；及び
共通認証モジュール；
を有し、
前記共通認証モジュールは：
前記アウトオブバンドプロセッサを使用して、プリブート処理の間にユーザからの認証応答を受信し；
前記アウトオブバンドプロセッサを使用して、プロトコルを用いて、前記専用のアウトオブバンドインタフェースを介して、前記認証応答をキー配布センターに登録し；且つ
前記アウトオブバンドプロセッサを使用し且つ前記インバンドプロセッサから独立して、前記専用のアウトオブバンドインタフェースを介して、キー暗号キーの形態でシングルサインオン信用保証を受信し、
前記マネージャビリティエンジンは後に、前記キー暗号キーを用いて、企業サーバへの安全なアクセスを構築するために使用される信用保証を取得する、
セキュアアクセスシステム。
【請求項２０】
プリブート認証モジュールとＢＩＯＳとを更に有し、前記共通認証モジュールは、前記ＢＩＯＳを介して前記プリブート認証モジュールから前記認証応答を受信する、請求項１９に記載のシステム。
【請求項２１】
前記共通認証モジュールは、（ｉ）前記共通サービスモジュールを用いて前記専用のアウトオブバンドインタフェースを介した企業ネットワークへの接続を開設し、（ｉｉ）前記キー配布センターからの前記キー暗号キーを要求する、請求項１９に記載のシステム。
【請求項２２】
前記プロトコルはケルベロスプロトコルを有し、前記キー配布センターはケルベロスキー配布センターを有する、請求項１９に記載のシステム。
【請求項２３】
前記プロトコルは、ケルベロス、ＳＡＭＬ、カードスペース、リバティアライアンス、公開鍵、又はその他のＩＤ管理基盤を有する、請求項１９に記載のシステム。
【請求項２４】
前記共通認証モジュールは更に、前記アウトオブバンドプロセッサを使用して、前記シングルサインオン信用保証を安全に格納する、請求項１９に記載のシステム。
【請求項２５】
暗号化されたディスクを更に有し、前記マネージャビリティエンジンは更に、前記シングルサインオン信用保証を受信したことに応答して、前記暗号化されたディスクへのアクセスを可能にする、請求項１９に記載のシステム。
【図１】
【図２】
【図３】
【図４】
【図２】
【図３】
【図４】
【公開番号】特開２０１３−８４３１２（Ｐ２０１３−８４３１２Ａ）
【公開日】平成２５年５月９日（２０１３．５．９）
【国際特許分類】
【出願番号】特願２０１３−１８３５０（Ｐ２０１３−１８３５０）
【出願日】平成２５年２月１日（２０１３．２．１）
【分割の表示】特願２００９−２９０６８５（Ｐ２００９−２９０６８５）の分割
【原出願日】平成２１年１２月２２日（２００９．１２．２２）
【出願人】（５９３０９６７１２）インテル コーポレイション (931)
【Ｆターム（参考）】
【公開日】平成２５年５月９日（２０１３．５．９）
【国際特許分類】
【出願日】平成２５年２月１日（２０１３．２．１）
【分割の表示】特願２００９−２９０６８５（Ｐ２００９−２９０６８５）の分割
【原出願日】平成２１年１２月２２日（２００９．１２．２２）
【出願人】（５９３０９６７１２）インテル コーポレイション (931)
【Ｆターム（参考）】
[ Back to top ]