分散セキュアコンテンツ管理システムに対する認証
本発明は、分散セキュアコンテンツ管理システムのための認証に関する。いくつかの態様において、インターネットを介して利用可能なリソースにアクセスする要求が、セキュリティコンポーネントにルーティングされる。セキュリティコンポーネントは、インターネット全体に分散される複数のセキュリティコンポーネントのうちの１つであり、企業に関連するエンティティの認証に責任を負う。セキュリティコンポーネントは、エンティティに使用する認証プロトコルを判定し、次に、エンティティを認証する。エンティティが認証されると、エンティティは、フォワードプロキシを使用することが許可される。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、分散セキュアコンテンツ管理システムに対する認証に関する。
【背景技術】
【０００２】
従来、企業は、種々のセキュリティ製品およびセキュリティ電化製品に含まれる機能を使用して、会社の情報技術資産を保護してきた。そのような機能には、例えば、企業に出入りするネットワークトラフィックをマルウェア等の悪質なコードに対してフィルタリングすること、不適切な外部のコンテンツへのアクセスを制限すること、企業ネットワークへの攻撃および他の侵入を阻止すること、等が含まれる。
【０００３】
可動式、家庭用、および他のコンピュータデバイスの可用性の広がりに伴い、従業員は、社内ネットワークの外部に仕事を持ちだすようになった。企業ネットワークに対して与えられるものと同じ保護レベルを取得し、かつ、企業ネットワークに対して与えられるようなポリシーを強化するために、そのような従業員に対して、企業ネットワークにログオンまたはアクセスし、かつ、企業ネットワークを介して企業ネットワーク外のリソースにアクセスする、ことを要求する企業がある。種々の理由により、これは、ローミングユーザが企業ネットワークに近接していないときは、最適ではなくなる。
【０００４】
本明細書において請求される発明は、任意の不都合を解決する実施形態、または、上述のような実施形態においてのみ作動する実施形態、に限定されない。むしろ、本背景技術は、本明細書に記載されるいくつかの実施形態を実践できる一例の技術領域を例示するためにのみ与えられる。
【発明の概要】
【発明が解決しようとする課題】
【０００５】
本発明は、上述したような問題に鑑みてなされたものであり、その目的とするところは、分散セキュアコンテンツ管理システムに対する認証を提供することにある。
【課題を解決するための手段】
【０００６】
簡潔に説明すると、本発明のいくつかの態様は、分散セキュアコンテンツ管理システムに対する認証に関する。いくつかの態様において、インターネットを介して利用可能なリソースにアクセスする要求が、セキュリティコンポーネントにルーティングされる。セキュリティコンポーネントは、インターネット全体に分散される複数のセキュリティコンポーネントのうちの１つであり、企業に関連するエンティティの認証に責任を負う。セキュリティコンポーネントは、エンティティに使用する認証プロトコルを判定し、次に、エンティティを認証する。エンティティが認証されると、エンティティは、フォワードプロキシを使用することが許可される。
【０００７】
この説明は、以下の「発明を実施するための形態」でさらに述べる本発明のいくつかの態様を簡潔に確認するために提供するものである。この説明は、本発明の重要な特徴または主要な特徴を確認することを意図しておらず、本発明の範囲を制限するために使用されることを意図してもいない。
【０００８】
「本明細書に記載される発明」という表現は、特に明示しない限り、「発明を実施するための形態」において記載される発明に言及する。用語「態様」は、「少なくとも１つの態様」として解釈されるべきである。「発明を実施するための形態」に記載される発明の態様を確認することは、本発明の重要な特徴および主要な特徴を確認することを意図していない。
【０００９】
上述した態様および本明細書に記載される発明の他の態様は、例として示すものであり、添付の図面にも限定されない。なお、複数の図面において、同様の数字は同様の要素を示す。
【図面の簡単な説明】
【００１０】
【図１】本発明のいくつかの態様を組み込むことができる例示の汎用コンピュータ環境を表すブロック図である。
【図２】本発明のいくつかの態様を実装することができる例示の環境を概して表すブロック図である。
【図３】本発明のいくつかの態様に従って、セキュリティコンポーネントと共に構成される例示の装置を表すブロック図である。
【図４】本発明のいくつかの態様に従って、認証と連動して起こる動作を概して表すフロー図である。
【図５】本発明のいくつかの態様に従って、認証と連動して起こる動作を概して表すフロー図である。
【発明を実施するための形態】
【００１１】
（例示的動作環境）
図１は、本発明のいくつかの態様を実行することができる適切なコンピュータシステム環境１００の例を示す。コンピュータシステム環境１００は、適切なコンピュータ環境のほんの一例であり、本発明のいくつかの態様の使用または機能の範囲について任意の制限を示唆することは意図しない。また、コンピュータ環境１００は、例示の動作環境１００において示されるコンポーネントの任意の１つのまたは組み合わせに関する、任意の依存または要求を有するものとして解釈されるものでもない。
【００１２】
本発明のいくつかの態様は、多数の他の汎用のまたは専用のコンピュータシステム環境または構成で動作可能である。本発明のいくつかの態様での使用に適切な周知のコンピュータシステム、環境、および／または構成の例には、パーソナルコンピュータ、サーバコンピュータ、ハンドヘルドまたはラップトップのデバイス、マルチプロセッサシステム、マイクロコントローラベースのシステム、セットトップボックス、プログラム可能家庭用電化製品、ネットワークＰＣ、ミニコンピュータ、メインフレームコンピュータ、任意の上記のシステムまたはデバイスを含む分散コンピュータ環境、等が含まれるがこれに限定されない。
【００１３】
本発明のいくつかの態様を、プログラムモジュール等の、コンピュータにより実行されているコンピュータ実行可能命令の一般的コンテキストにおいて記載することができる。一般に、プログラムモジュールには、ルーチン、プログラム、オブジェクト、コンポーネント、データ構造、等が含まれ、これらは、特定のタスクを実行し、または、特定の抽象データ型を実装する。本発明のいくつかの態様はまた、通信ネットワークを介してリンクされるリモート処理デバイスによりタスクが実行される、分散コンピュータ環境において実践することができる。分散コンピュータ環境において、プログラムモジュールは、メモリストレージデバイスを含む、ローカルおよびリモート両方のコンピュータ記憶媒体に置くことができる。
【００１４】
図１を参照すると、本発明のいくつかの態様を実装するための例示のシステムには、コンピュータ１１０の形式の汎用コンピュータデバイスが含まれる。コンピュータ１１０のコンポーネントには、プロセシングユニット１２０、システムメモリ１３０、および、システムメモリを含む種々のシステムコンポーネントをプロセシングユニット１２０に連結するシステムバス１２１を含むことができるが、これに限定されない。システムバス１２１は、メモリバスまたはメモリコントローラ、周辺機器用バス、および様々なバスアーキテクチャのうちの任意のものを使用するローカルバスを含む、いくつかのタイプのバス構造のうちの任意のものとすることができる。制限ではなく例として、そのようなアーキテクチャには、ＩＳＡ（Ｉｎｄｕｓｔｒｙ Ｓｔａｎｄａｒｄ Ａｒｃｈｉｔｅｃｔｕｒｅ）バス、ＭＣＡ（Ｍｉｃｒｏ Ｃｈａｎｎｅｌ Ａｒｃｈｉｔｅｃｔｕｒｅ）バス、ＥＩＳＡ（Ｅｎｈａｎｃｅｄ ＩＳＡ）バス、ＶＥＳＡ（Ｖｉｄｅｏ Ｅｌｅｃｔｒｏｎｉｃｓ Ｓｔａｎｄａｒｄｓ Ａｓｓｏｃｉａｔｉｏｎ）ローカルバス、メザニン（Ｍｅｚｚａｎｉｎｅ）バスとしても既知のＰＣＩ（Ｐｅｒｉｐｈｅｒａｌ Ｃｏｍｐｏｎｅｎｔ Ｉｎｔｅｒｃｏｎｎｅｃｔ）バス、ＰＣＩ−Ｘ（Ｐｅｒｉｐｈｅｒａｌ Ｃｏｍｐｏｎｅｎｔ Ｉｎｔｅｒｃｏｎｎｅｃｔ Ｅｘｔｅｎｄｅｄ）バス、ＡＧＰ（Ａｄｖａｎｃｅｄ Ｇｒａｐｈｉｃｓ Ｐｏｒｔ）、および、ＰＣＩｅ（ＰＣＩ ｅｘｐｒｅｓｓ）が含まれる。
【００１５】
コンピュータ１１０には典型的には、様々なコンピュータ可読媒体が含まれる。コンピュータ可読媒体は、コンピュータ１１０によりアクセス可能な、かつ、揮発性媒体および不揮発性媒体、ならびに、着脱可能媒体および着脱不可能媒体を含む、任意の利用可能な媒体とすることができる。制限ではなく例として、コンピュータ可読媒体には、コンピュータ記憶媒体および通信媒体を備えることができる。
【００１６】
コンピュータ記憶媒体には、コンピュータ可読命令、データ構造、プログラムモジュール、または他のデータ等の情報を記憶するための任意の方法または技術で実装される、揮発性および不揮発性の、着脱可能および着脱不可能な媒体が含まれる。コンピュータ記憶媒体には、ＲＡＭ、ＲＯＭ、ＥＥＰＲＯＭ、フラッシュメモリもしくは他のメモリ技術、ＣＤ−ＲＯＭ、ＤＶＤ（ｄｉｇｉｔａｌ ｖｅｒｓａｔｉｌｅ ｄｉｓｃ）もしくは他の光ディスク記憶装置、磁気カセット、磁気テープ、磁気ディスク記憶装置もしくは他の磁気ストレージデバイス、または、所望の情報の記憶に使用可能で、かつ、コンピュータ１１０によりアクセス可能な、任意の他の媒体、が含まれるがこれに限定されない。
【００１７】
通信媒体は、典型的には、コンピュータ可読命令、データ構造、プログラムモジュール、または他のデータを、搬送波または他の転送機構等の変調データ信号で具現化し、かつ、任意の情報配信媒体を含む。「変調データ信号」という用語には、１つまたは複数のその特徴が信号における情報を符号化するような方法などで設定または変更される信号、という意味がある。制限ではなく例として、通信媒体には、有線ネットワークまたは直接線式接続等の有線媒体、および、音響、ＲＦ、赤外線、および、他の無線媒体等の無線媒体、が含まれる。上記の任意のものの組み合わせもまた、コンピュータ可読媒体の範囲内に含まれるべきある。
【００１８】
システムメモリ１３０には、ＲＯＭ（ｒｅａｄ ｏｎｌｙ ｍｅｍｏｒｙ）１３１およびＲＡＭ（ｒａｎｄｏｍ ａｃｃｅｓｓ ｍｅｍｏｒｙ）１３２等の、揮発性および／または不揮発性メモリの形式のコンピュータ記憶媒体が含まれる。基本入出力システム１３３（ＢＩＯＳ）は、起動時等にコンピュータ１１０内の要素間での情報の転送の支援をする基本ルーチンを含有し、典型的には、ＲＯＭ１３１に記憶される。ＲＡＭ１３２は典型的には、プロセシングユニット１２０により、直ちにアクセル可能である、および／または現在操作されている、データおよび／またはプログラムモジュールを含有する。制限ではなく例として、図１には、オペレーティングシステム１３４、アプリケーションプログラム１３５、他のプログラムモジュール１３６、およびプログラムデータ１３７を例示する。
【００１９】
コンピュータ１１０にはまた、他の着脱可能／着脱不可能、揮発性／不揮発性コンピュータ記憶媒体を含むことができる。単なる例として、図１には、着脱不可能、不揮発性磁気媒体に読み書きするハードディスクドライブ１４１、着脱可能、不揮発性磁気ディスク１５２に読み書きする磁気ディスクドライブ１５１、および、ＣＤ−ＲＯＭまたは他の光媒体等の、着脱可能、不揮発性光ディスク１５６に読み書きする光ディスクドライブ１５５を例示する。例示の動作環境で使用可能な他の着脱可能／着脱不可能、揮発性／不揮発性コンピュータ記憶媒体には、磁気テープカセット、フラッシュメモリカード、ＤＶＤ（ｄｉｇｉｔａｌ ｖｅｒｓａｔｉｌｅ ｄｉｓｃ）、他の光ディスク、デジタルビデオテープ、ソリッドステートＲＡＭ、ソリッドステートＲＯＭ等、が含まれるがこれに限定されない。ハードディスクドライブ１４１は典型的には、インターフェース１４０等の着脱不可能メモリインターフェースを介してシステムバス１２１に接続され、磁気ディスクドライブ１５１および光ディスクドライブ１５５は典型的には、インターフェース１５０等の着脱可能メモリインターフェースによりシステムバス１２１に接続される。
【００２０】
上記で検討し図１において例示した、ドライブおよびその関連するコンピュータ記憶媒体は、コンピュータ可読命令、データ構造、プログラムモジュール、およびコンピュータ１１０の他のデータの記憶場所を提供する。図１において、例えば、ハードディスクドライブ１４１は、オペレーティングシステム１４４、アプリケーションプログラム１４５、他のプログラムモジュール１４６、およびプログラムデータ１４７を記憶するものとして例示される。なお、これらのコンポーネントは、オペレーティングシステム１３４、アプリケーションプログラム１３５、他のプログラムモジュール１３６、およびプログラムデータ１３７と同じでも異なっていても良い。オペレーティングシステム１４４、アプリケーションプログラム１４５、他のプログラムモジュール１４６、およびプログラムデータ１４７には、本明細書においては異なる番号が与えられ、それらが少なくとも異なる複製品であることを例示する。ユーザは、キーボード１６２、および、一般にはマウス、トラックボール、またはタッチパッドと称されるポインティングデバイス１６１等の入力デバイスを介して、コマンドおよび情報をコンピュータ２０に入力することができる。他の入力デバイス（図示せず）には、マイク、ジョイスティック、ゲームパッド、パラボラアンテナ、スキャナ、タッチスクリーン、ライティングタブレット等を含むことができる。これらおよび他の入力デバイスは、システムバスに連結されるユーザ入力インターフェース１６０を介してプロセシングユニット１２０に接続されることが多いが、他のインターフェースおよびパラレルポート、ゲームポート、またはＵＳＢ（ｕｎｉｖｅｒｓａｌ ｓｅｒｉａｌ ｂｕｓ）等のバス構造により接続することができる。モニタ１９１または他のタイプのディスプレイデバイスもまた、ビデオインターフェース１９０等のインターフェースを介してシステムバス１２１に接続される。モニタに加えて、コンピュータにはまた、スピーカ１９７およびプリンタ１９６等の他の周辺出力デバイスを含むことができ、これらは、出力周辺インターフェース１９０を介して接続させることができる。
【００２１】
コンピュータ１１０は、リモートコンピュータ１８０等の１つまたは複数のリモートコンピュータへの論理接続を使用して、ネットワーク化環境において動作することができる。リモートコンピュータ１８０は、図１にはメモリストレージデバイス１８１のみが例示されるが、パーソナルコンピュータ、サーバ、ルータ、ネットワークＰＣ、ページャ、ピアデバイス、または他の共通ネットワークノードとすることができ、かつ、典型的には、コンピュータ１１０に関して上述される要素のうちの多くまたは全てを含む。図１に示す論理接続には、ローカルエリアネットワーク（ＬＡＮ）１７１およびワイドエリアネットワーク（ＷＡＮ）１７３が含まれるが、他のネットワークを含むこともできる。そのようなネットワーク環境は、事務所、企業規模のコンピュータネットワーク、イントラネット、およびインターネットにおいて一般的なものである。
【００２２】
ＬＡＮネットワーク環境において使用されるとき、コンピュータ１１０は、ネットワークインターフェースまたはアダプタ１７０を介してＬＡＮ１７１に接続される。ＷＡＮネットワーク環境において使用されるとき、コンピュータ１１０には、モデム１７２またはインターネット等のＷＡＮ１７３上の通信を確立する他の手段を含むことができる。モデム１７２は、内部のものでも外部のものでも良く、ユーザ入力インターフェース１６０または他の適切な機構を介してシステムバス１２１に接続することができる。ネットワーク化環境において、コンピュータ１１０に関して示されるプログラムモジュールまたはその一部を、リモートメモリストレージデバイスに記憶することができる。制限ではなく例として、図１にはメモリデバイス１８１上に存在するリモートアプリケーションプログラム１８５を例示する。図示のネットワーク接続は例示のものであり、コンピュータ間の通信リンクを確立する他の手段を使用することができることは理解されるであろう。
【００２３】
（認証）
先に述べたように、従業員は、ビジネスネットワークの外部で仕事をすることが多い。しかし、同時に、会社は、同じ保護レベルの提供、ユーザの動作に基づく報告の提供が可能であること、かつ、ユーザがビジネスネットワーク使用してリモートネットワークのリソースにアクセスするときに適用されるものと同じポリシーを適用すること、を望んでいる。
【００２４】
本発明のいくつかの態様に従うと、クラウド内に配置される１つまたは複数のフォワードプロキシが提供される。論理的には、フォワードプロキシは、クライアントとクライアントがアクセスを試みているネットワークリソースとの間に位置する。フォワードプロキシは、クライアントからの要求を受け取り、クライアントへの接続性を要求されるリソースに提供し、必要に応じて、上記で確認された他の機能をこれらの要求に提供することができる。フォワードプロキシは、エンティティを認証しそれに関連する動作のログを取る、１つまたは複数のセキュリティコンポーネントと関連付けられることが可能である。これらのコンポーネントは、様々な認証プロトコルを使用してエンティティを認証することができ、かつ、企業に設置される識別システムと通信し、この認証を実行することができる。コンポーネントはまた、識別子を取得してエンティティの動作のログを取る際に使用することができる。
【００２５】
セキュリティコンポーネントと関連付けられるということは、フォワードプロキシがセキュリティコンポーネントの全てまたは一部を含むことができる、または、セキュリティコンポーネントの全てまたは一部をフォワードプロキシの外部に設置することができる、ということを意味する。
【００２６】
図２は、本発明のいくつかの態様が実装される例示の環境を概して表すブロック図である。図２に例示する環境には、ローミングデバイス２０５から２０６、家庭用デバイス２０７、企業デバイス２０８、ネットワークアクセスデバイス２０９、および識別システム２１０（以下、まとめてエンティティと称する場合がある）を含むことができ、かつ、他のエンティティ（図示せず）を含むことができる。種々のエンティティが、企業内ネットワークおよび社内ネットワークならびにネットワーク２１５を含む種々のネットワークを介して通信することができる。
【００２７】
一実施形態において、ネットワーク２１５は、インターネットを備えることができる。一実施形態において、ネットワーク２１５には、１つまたは複数のローカルエリアネットワーク、ワイドエリアネットワーク、直接接続、上記のものの何らかの組み合わせ、等を備えることができる。
【００２８】
デバイス２０５から２０８には、１つまたは複数の汎用または専用のコンピュータデバイスを備えることができる。そのようなデバイスには、例えば、パーソナルコンピュータ、サーバコンピュータ、ハンドヘルドまたはラップトップのデバイス、マルチプロセッサシステム、マイクロコントローラベースのシステム、セットトップボックス、プログラム可能家庭用電化製品、ネットワークＰＣ、ミニコンピュータ、メインフレームコンピュータ、ＰＤＡ（ｐｅｒｓｏｎａｌ ｄｉｇｉｔａｌ ａｓｓｉｓｔａｎｔ）、ゲームデバイス、プリンタ、セットトップ、メディアセンターを含む電化製品または他の電化製品、自動車に埋め込まれるまたは取り付けられるコンピュータデバイス、他のモバイルデバイス、任意の上記のシステムまたはデバイスを含む分散コンピュータ環境、等を含むことができる。１つまたは複数のデバイス２０５から２０８として動作するよう構成される例示のデバイスは、図１のコンピュータ１１０を備える。
【００２９】
ローミングデバイス２０５から２０６には、ある場所からある場所へ運ばれるコンピュータデバイスを備えることができる。例えば、従業員は、ノートブックコンピュータを出張に持っていくことができる。別の例として、従業員は、携帯電話、ＰＤＡ，または従業員がほとんどどこででも使用できる何らかの他のハンドヘルドデバイスを持って移動することができる。
【００３０】
家庭用デバイス２０７には、例えば、従業員の家に設置されるパーソナルコンピュータまたは他の電子デバイスを含むことができる。
【００３１】
企業デバイス２０８には、１つまたは複数の会社の場所に設置され、かつビジネスネットワークに接続されるデバイスを含むことができる。例えば、企業デバイス２０８には、ワークステーション、サーバ、ルータ、モバイルデバイス、および、先に述べたものとは別の汎用および専用のコンピュータデバイスを含むことができる。
【００３２】
ネットワークアクセスデバイス２０９には、許可、拒否、プロキシ、伝送、キャッシュ、または、コンピュータトラフィック上の他の動作の実行、を行うよう構成される、１つまたは複数のデバイスおよび／またはソフトウェアコンポーネントを備えることができる。ファイアウォールとして構成されて、ネットワークアクセスデバイス２０９は、企業デバイス２０８および識別システム２１０、ならびにネットワークアクセスデバイス２０９に接続される他のデバイス（ある場合）、に対する保護を提供するよう動作することができる。ネットワークアクセスデバイス２０９は、仮想プライベートネットワークに対するエンドポイントとして構成することができる。そのような構成において、ネットワークアクセスデバイス２０９は、セキュアな通信チャネルを、１つまたは複数のフォワードプロキシ２２０から２２２に、同様に、ローカル識別システム２３０等のネットワーク２１５に属する他のコンポーネントに、提供することができる。ローカル識別システム２３０を有するセキュアな通信チャネルを使用して、識別システム２１０とローカル識別システム２３０との間の一方向または双方向の信頼関係を確立することができる。一実施形態において、ネットワークアクセスデバイス２０９には、例えば、適切なハードウェアおよびソフトウェアと共に構成される図１のコンピュータ１１０を備えることができる。別の実施形態において、ネットワークアクセスデバイス２０９には、特定用途の電化製品を備えることができる。
【００３３】
識別システム２１０には、上記で述べたデバイス等の１つまたは複数のデバイス上でホストされる１つまたは複数の処理を含むことができる。以下でさらに詳細に説明するように、識別システム２１０を利用して、ユーザおよび／またはデバイスを識別することができる。一実施形態において、識別システム２１０には、ワシントン州レドモンドのマイクロソフト社により製造されるアクティブディレクトリ（Ａｃｔｉｖｅ Ｄｉｒｅｃｔｏｒｙ）を備えることができる。識別システムの他の例には、ラディウス（ＲＡＤＩＵＳ）系のＩＤシステム、ＬＤＡＰ系のＩＤシステム、一般的データベースＩＤシステム等が含まれる。
【００３４】
図２に例示するように、一実施形態において、識別システム２１０は、ネットワークアクセスデバイス２０９を介してアクセス可能な企業ネットワーク上に存在する。別の実施形態において、識別システム２１０は、企業のネットワークの外部のネットワーク上に存在しても良い。例えば、識別システム２１０は、ネットワーク２１５内の種々の場所に存在または分散させることができる。一実施形態において、識別システム２１０は、ネットワーク２１５に属するサーバによりホストされるサービスとすることができる。
【００３５】
フォワードプロキシ２２０から２２２は、ネットワークを介してアクセス可能な種々の場所に配置される。これらのフォワードプロキシは、接続性、アンチウィルス、スパイウェア、およびフィッシング保護、ＵＲＬフィルタリング、ファイアウォール、侵入検出、情報漏洩防止（ＩＬＰ）、ならびに、企業ネットワークにおけるデバイスにより提供されることもある同様の類、等の種々の機能を提供することができる。フォワードプロキシ２２０から２２２はまた、ネットワーク２１５に接続されるローミングデバイスに対して中央集中型の管理を提供することもできる。フォワードプロキシ２２０から２２２はまた、モバイルデバイスに対するレンダリング、ウェブページおよび他のコンテンツのキャッシュ、および、任意の他の接続性および／または企業により所望され得るセキュリティ機能、等の他の機能を種々のデバイスに提供することもできる。
【００３６】
デバイスが、ネットワーク２１５に接続されるリソースにアクセスを試みるとき、デバイスとの間のトラフィックがフォワードプロキシにルーティングされて、例えば、上述の１つまたは複数の機能を提供することができる。しかし、デバイスにこれらの機能が提供される前に、フォワードプロキシに関連するセキュリティコンポーネントが、デバイスおよび／またはそのデバイスを使用するユーザを認証する。認証というコンテキストにおいて、用語「エンティティ」を使用して、本明細書においては、デバイスおよび／またはそのデバイスを使用するユーザを示すことがある。
【００３７】
エンティティの認証は、種々の理由でなされ得る。例えば、登録されるエンティティのみがフォワードプロキシの使用が許可されることが所望されるかもしれない。これが起こることを確実にするために、認証を実行することができる。別の例として、エンティティの認証を、デバイスとの間でルーティングされるトラフィクにどのポリシーを適用するかを知るための識別に使用することができる。さらに別の例として、エンティティの認証を、報告、監査、他には、エンティティの動作の追跡に使用することができる。
【００３８】
上記で述べた、エンティティを認証する理由の例では、包括的であることも網羅的であることも意図されない。本発明のいくつかの態様を１つまたは複数の上記の例を含む実装に限定することも意図されない。実際、本明細書の教示に基づき、当業者は、本発明のいくつかの態様の精神または範囲から逸脱することなく本明細書に表される概念を適用することができる、多くの他の状況を認めることができる。
【００３９】
企業の認証情報に基づくエンティティの認証において、識別システム２１０からの情報を、エンティティの認証を試みているセキュリティコンポーネントに伝送することができる。一実施形態において、セキュリティコンポーネントは、フォワードプロキシの使用が許可されたエンティティの認証情報の、それ自身が所有するデータベースを保持しなくともよい。その代わり、認証情報を、識別システム２１０を介してアクセス可能な認証情報データベース上などの企業が制御する場所に記憶することができる。これは、種々の理由による。例えば、クラウド内に認証情報のデータベースがない場合、システムは、クラウド内に記憶される認証情報のデータベースと企業ネットワーク上に記憶される認証情報のデータベースとを保持することおよび同期させることを回避することが可能である。また、クラウドの認証情報のデータベースは、企業以外の団体により制御され得るため、認証情報のデータベースを企業ネットワーク上に記憶していることにより、セキュリティ上のリスクを小さくすることができる。別の効果として、企業ネットワーク上に最近作成された新しいエンティティが、同期されることを待つ必要がないため、直ちにフォワードプロキシにアクセスすることができる。加えて、もはやフォワードプロキシへのアクセスを許可されないエンティティは、それらの認証情報が認証情報のデータベースから削除されることより、フォワードプロキシへのアクセスが直ちに拒否される。さらに、エンティティのネットワーク動作に関して生成される報告は、エンティティがどの場所からフォワードプロキシにアクセスするのかに関係なくエンティティを追跡することが可能である。
【００４０】
本実施形態において、エンティティを認証するために、セキュリティコンポーネントは、必要に応じて、識別システム２１０と通信して、エンティティを認証するのに十分な情報を取得することができる。そのような情報には、例えば、エンティティの認証情報、チャレンジ／応答データ、証明関連の情報、または、エンティティの認証に使用可能な任意の他の情報を含むことができる。
【００４１】
別の実施形態において、セキュリティコンポーネントは、一方向または双方向の信頼関係を使用して識別システム２１０と同期されるローカル識別システム２３０にアクセスすることができる。一方向の信頼関係において、ローカル識別システム２３０に対して同期される企業の認証情報を使用して認証されるエンティティは、フォワードプロキシを介してリソースにアクセスすることが許可される。
【００４２】
セキュリティコンポーネントと識別システム２１０および２３０との間の通信は、様々な方法でなされ、これには例えば、仮想プライベートネットワーク（ＶＰＮ）、マルチプロトコルラベルスイッチング（ＭＰＬＳ）、インターネットプロトコルセキュリティ（ＩＰＳｅｃ），インターネットプロトコル６（ＩＰｖ６）グローバルアドレシング、他の通信プロトコル等が含まれる。
【００４３】
一実施形態において、特定の通信プロトコルにより必要とされるポート（複数可）のみを、識別システムとセキュリティコンポーネントとの間の仮想プライベートネットワークに関与させることができる。言い換えれば、通信プロトコルに関与するポートに対するメッセージを転送し、通信プロトコルに関与しないポートに対するメッセージを転送しないようにすることができる。これは、攻撃面（例えば、転送されるポートの数）を大幅に減らすことができるため、企業ネットワークのセキュリティ維持に役立つ。
【００４４】
フォワードプロキシおよび識別システムは、ＩＰｖ６を介して通信するよう構成される。ＩＰｓｅｃおよび構成されたポリシーと併せて、これを使用して、特定のフォワードプロキシのみが識別システムと通信することが許可されることを保証する。
【００４５】
エンティティを認証するために、フォワードプロキシに関連するセキュリティコンポーネントは、多くの異なる機構のうちの１つまたは複数を使用することができる。例えば、仮想プライベートネットワーク（ＶＰＮ）を、セキュリティコンポーネントとデバイスの間で確立することができる。そのような構成において、ＶＰＮが成功裏に確立されたということが、エンティティの認証に役立つ。他の例として、統合Ｗｉｎｄｏｗｓ「登録商標」認証、ＩＰＳｅｃ、フォームベース認証、ＲＡＤＩＵＳ、ＭＰＬＳ、基本アクセス認証、ケルベロス、クライアント証明書ベース認証、いくつかの他の認証プロトコル等、を使用して、エンティティを認証することができる。一実施形態において、認証はＨＴＴＰプロキシ認証の一部として起動される。
【００４６】
認証プロトコルのタイプは、セキュリティコンポーネントとデバイスとの間で取り決められる。例えば、デバイスが第１の組の認証プロトコルをサポートし、セキュリティコンポーネントが第２の組の認証プロトコルをサポートする場合、デバイスとセキュリティコンポーネントの双方がサポートする認証プロトコルが選択されて、エンティティを認証することができる。別の例として、デバイスが、デバイス自体、および／または、ユーザのインタラクション無しでユーザを、認証することを可能にする認証プロトコル（例えば、統合Ｗｉｎｄｏｗｓ「登録商標」認証など）を、デバイスがサポートする場合、このプロトコルが選択され得る。
【００４７】
エンティティを認証するための多くの方法がある。例えば、エンティティを認証するために、セキュリティコンポーネントは、エンティティの認証情報（例えば、ユーザ名およびパスワードまたはエンティティに関連する他の認証情報）を要求することができる。これらの認証情報を使用して、セキュリティコンポーネントは、識別システム２１０と通信して、認証情報を検証することができる。これを行うために、エンティティは、例えば、基本、フォーム、ＲＡＤＩＵＳ、またはいくつかの他の認証プロトコルを使用することができる。
【００４８】
認証情報が有効である場合、識別システム２１０は、これをセキュリティコンポーネントに対して示し、かつ、エンティティに関連する識別子をセキュリティコンポーネントに送ることができる。この識別子には、エンティティの企業アイデンティティを含むことができる。この識別子は、エンティティによる後の動作のログを取る際に使用することができる。
【００４９】
エンティティを認証するための別の例として、セキュリティコンポーネントは、認証情報を受け取らずに、認証情報を認証することができる。例えば、セキュリティコンポーネントは、エンティティに対してチャレンジを提供し、そのチャレンジに対する応答を使用してエンティティを認証することができる。セキュリティコンポーネントは、チャレンジの判定、および／または、チャレンジに対する応答の実証に、識別システム２１０を関与させることができる。
【００５０】
別の例として、セキュリティコンポーネントは、一方向または双方向の信頼関係を使用して識別システム２１０と同期されるローカル識別システム２３０に関連することができる。セキュリティコンポーネントは、ローカル識別システム２３０を利用してエンティティを認証することができる。
【００５１】
別の例として、セキュアソケットレイヤ（ＳＳＬ）および／またはトランスポートレイヤセキュリティ（ＴＬＳ）の能力を、ＨＴＴＰプロトコルにおいて定義されるプロキシの能力に追加することができる。ＨＴＴＰプロキシのための現在のＨＴＴＰプロトコルは、ＨＴＴＰプロキシにおいてＳＳＬまたはＴＬＳを使用することを規定していない。ＨＴＴＰプロキシは、クライアントとの通信時にＳＳＬおよび／またはＴＬＳを使用するよう強化され得る。ＳＳＬ／ＴＬＳはまた、相互の認証に使用することもできる。接続を確立する際の一部として、クライアントを、ＳＳＬまたはＴＬＳを介して認証することができる。この認証方法において、セキュリティコンポーネントは、例えば、クライアント証明書が信頼できる認証機関により署名されていることを検証することにより、クライアントを認証することができる。ＳＳＬ／ＴＬＳをＨＴＴＰプロキシに追加することにより、エンドポイントとフォワードプロキシとの間のセキュアな（例えば、暗号化された）通信を可能にすることもできる。
【００５２】
一実施形態において、クライアントとセキュリティコンポーネントとの間の最初の認証の後、後に続く要求と共に使用するために、クッキーをクライアントに提供することができる。現在のＨＴＴＰプロトコルは、対象のサーバがクライアントにクッキーを提供することを許可するが、ＨＴＴＰプロキシが単独でクッキーを生成してクライアントに供給することは許可しない。さらに、現在のＨＴＴＰプロトコルにおいて、クライアントは、クライアントにクッキーを送った対象のサーバと通信するときのみ、クッキーを提供する。
【００５３】
フォワードプロキシがＨＴＴＰプロキシとして機能するとき、フォワードプロキシ（または、それに関連するセキュリティコンポーネント）は、クッキーを生成して、クライアントが認証されたあとにクライアントに送ることができる。そして、後に続く要求において、クライアントはこのクッキーを、クッキーをクライアントに提供したフォワードプロキシ（または、それに関連するセキュリティコンポーネント）、または、別のフォワードプロキシに、提供することができる。また、クライアントが異なる対象のサーバ上のリソースにアクセスしようとするときでも、クライアントはこのクッキーを送ることができる。
【００５４】
クライアントが、後に続く要求において、クッキーを送るとき、フォワードプロキシ（または、それに関連するセキュリティコンポーネント）は、クッキーを調べて、クライアントが既に認証されているかを判定することができる。これにより、クライアントから受け取る各要求に伴う再認証に関連するオーバヘッドを回避することができる。クッキーは、有効期限のパラメータと共に構成され、設定時間後は有効期限が切れる。
【００５５】
本明細書において使用されるクッキーには、エンティティが既に認証されていることを検証するために使用することができる任意のデータが含まれる。例えば、クッキーには、データベースのレコードにアクセスするためにセキュリティコンポーネントにより使用される識別子を含むことができる。レコードは、エンティティが既に認証されたかどうかを示すことができる。別の例として、クッキーには、エンティティが認証されたかどうかを判定するための、セキュリティコンポーネントが解読可能な暗号化された情報を含むことができる。
【００５６】
クッキーにはまた、エンティティに関する他のデータを含むことができる。例えば、クッキーには、エンティティに関連する識別子を含むことができる。この識別子は、エンティティが、例えば、企業ネットワークにアクセスするときに使用する識別子に対応することができる。この識別子を、エンティティの動作のログを取る時に使用することができる。別の例として、クッキーには、エンティティに関連するポリシー情報を含むことができる。例えば、クッキーには、どのサイトにエンティティがアクセスすることを許可されているかを示す情報を含むことができる。
【００５７】
エンティティの認証に使用することができる別の機構は、接続コンポーネント（例えば、接続コンポーネント１２５）を介する。接続コンポーネントは、デバイス上に存在し、かつ、デバイスからの接続を監視するコンポーネントである。例えば、接続コンポーネントは、デバイスとの間で送信されるＴＣＰトラフィックを監視することができる。接続コンポーネントが、フォワードプロキシに対してルーティングされる接続要求を確認すると、接続コンポーネントは、フォワードプロキシに関連するセキュリティコンポーネントを一緒に認証し、かつ、その接続を暗号化することができる。これは、デバイスを使用するユーザに対して透過的であるような方法で行われる。ユーザが、フォワードプロキシを通してルーティングされる必要がある要求（例えば、ＵＲＬ要求）を入力すると、接続コンポーネントは、フォワードプロキシに関連するセキュリティコンポーネントを一緒に認証し、次に、セキュアなチャネル上でフォワードプロキシに要求を転送することができる。
【００５８】
一実施形態において、クッキーが、後に続く要求における認証に使用するために、エンティティに提供されると、接続コンポーネントは、クッキーを操作し、かつ、後に続く要求においてそれを提供することができる。別の実施形態において、クッキーが、後に続く要求において認証に使用するためにエンティティに提供されると、接続コンポーネントは、エンティティがクッキーを操作し、かつ、クッキーを後に続く要求において提供する、ことを可能にすることができる。
【００５９】
エンティティを認証するためのいくつかの機構の例が、上記において提供されたが、これらの例では、包括的であることも網羅的であることも意図されない。実際、本発明のいくつかの態様は、認証方法に限定されず、実質的に、既存または開発される任意の認証方法を、本発明のいくつかの態様の精神または範囲から逸脱することなく、採用することができる。
【００６０】
認証処理の結果、次にロギング、監査、ポリシーの適用等に使用するための識別子を取得することができる。この識別子は、本発明のいくつかの態様から逸脱することなく、識別システム２１０により、ローカル識別システム２３０により、または、いくつかの他のコンポーネントにより、提供することができる。識別子は、エンティティを、エンティティに関連する企業ネットワークに対して識別するために使用されるものと同じ識別子とすることができる。
【００６１】
上述の環境には、各エンティティおよび関連するインフラストラクチャが様々な数で含まれるが、より多くの、より少ない、または異なる組み合わせの、これらのエンティティおよびその他を、本発明のいくつかの態様の精神および範囲から逸脱することなく採用することができることが認識されるであろう。さらに、環境に含まれるエンティティおよび通信ネットワークは、本発明のいくつかの態様の精神および範囲から逸脱することなく、当業者が理解するであろう様々な方法で構成することができる。
【００６２】
図３は、本発明のいくつかの態様に従って、セキュリティコンポーネントと共に構成される例示の装置を表すブロック図である。図３において例示されるコンポーネントは例示のものであり、必要とされるかまたは含まれるコンポーネントが全て含まれる訳ではない。他の実施形態において、図３と併せて記載されるコンポーネントまたは機能を、本発明のいくつかの態様の精神および範囲から逸脱することなく、他のコンポーネントに含む、または、サブコンポーネントに配置することができる。いくつかの実施形態において、図３と併せて記載されるコンポーネントまたは機能は、装置３０５にアクセス可能な複数のデバイスに亘って分散させることができる。
【００６３】
図３を参照すると、装置３０５には、セキュリティコンポーネント３１０、記憶装置、および、通信機構３４５を含むことができる。セキュリティコンポーネント３１０には、プロトコルセレクタ３１５、クライアントコンポーネント３２０、アイデンティティバリデータ３２５、プロキシインフォーマ３３０、履歴トラッカ３３５、および報告コンポーネント３３７を含むことができる。セキュリティコンポーネント３１０は、図１と併せて記載されるフォワードプロキシに関連付けることができる。関連付けられるという文脈は、同じデバイスに含まれる、または、フォワードプロキシをホストしないがフォワードプロキシと通信することができる１つまたは複数のデバイスに配置される、等を意味する。
【００６４】
通信機構３４５により、装置３０５は図２に示すような他のエンティティとの通信が可能になる。通信機構３４５は、ネットワークインターフェースもしくはアダプタ１７０、モデム１７２、または図１と併せて記載されるような通信を確立するための任意の他の機構とすることができる。
【００６５】
記憶装置３４０は、エンティティにより行われる動作に関して履歴情報を記憶することができる任意の記憶媒体である。記憶装置３４０は、ファイルシステム、データベース、ＲＡＭ等の揮発性メモリ、他の記憶装置、上記の何らかの組み合わせ等を備えることができ、かつ、複数のデバイスに渡って分散させることができる。記憶装置３４０は、装置３０５の外部または内部とすることができる。
【００６６】
プロトコルセレクタ３１５は、第１のネットワークを介して利用可能なリソースへのアクセスを獲得しようとするエンティティの認証と併せて利用するための認証プロトコルを判定するよう動作可能である。例えば、図２を参照すると、プロトコルセレクタは、デバイス２０５から２０８のうちの１つを、これらのデバイスがネットワーク２１５を介してアクセス可能なリソースにアクセスしようとするときに、認証するために使用する認証プロトコルを判定することができる。
【００６７】
クライアントコンポーネント３２０は、プロトコルセレクタ３１５により判定される認証プロトコルを使用してエンティティを認証するよう動作可能である。エンティティには、デバイスを使用するユーザおよび／またはデバイスを含むことができる。例えば、図２を参照すると、クライアントコンポーネントは、相互ＴＬＳプロトコルを使用してローミングデバイス２０５を使用するユーザを認証することができる。
【００６８】
アイデンティティバリデータ（identity validator）３２５は、エンティティに関連する識別子を識別システムから取得するよう動作可能である。識別システムは、先に示したように、ローカルネットワークまたはクライアントコンポーネント３２０の外部のネットワーク上に配置することができる。識別システムは、クライアントコンポーネント３２０の外部のこのネットワーク（例えば、企業ネットワーク）を制御する企業に関連するエンティティのための識別子を含む、データベースにアクセスすることができる。例えば、図２を参照すると、アイデンティティバリデータは、識別システム２１０と通信して識別子を取得することができる。
【００６９】
プロキシインフォーマ（proxy informer）３３０は、エンティティが、クライアントコンポーネント３２０から取得された結果に基づき認証されるかどうかを、フォワードプロキシ対して示すよう動作可能である。例えば、図２を参照すると、プロキシインフォーマは、エンティティが、フォワードプロキシにより提供されるセキュリティ機能の使用を認証されることを、フォワードプロキシ２２０から２２２のうちの１つに対して示すことができる。
【００７０】
履歴トラッカ（history tracker）３３５は、エンティティおよびエンティティによりアクセスされるリソースを識別する情報を記憶するよう動作可能である。例えば、図２を参照すると、履歴トラッカは、ローミングデバイス２０５を使用するユーザによりフォワードプロキシ２２０に送られる各ＵＲＬと共にユーザ名を記憶することができる。履歴トラッカ３３５は、記憶装置３４０を利用して履歴情報を記憶することができる。
【００７１】
報告コンポーネント（reporting component）３３７は、エンティティおよびエンティティによりアクセスされるリソース（例えば、ＵＲＬ、ネットワークアドレス、等）を識別する形式で、履歴情報を提供するよう動作可能である。この形式には、ユーザ名、またはリソース識別子と共に他の識別子を含むことができる。情報には、企業のエンティティを識別するのに十分な情報が含まれるため、デバイスが（例えば、マルウェアを介して）汚染されても、ユーザがデバイスを企業ネットワークに持ち込むときに、デバイスが汚染され、社内ネットワークへのアクセスが許可される前に汚染を取り除く必要があることを、報告により示すことができる。
【００７２】
図４から５は、本発明のいくつかの態様に従う認証と併せて起こり得る動作を概略的に示すフロー図である。説明を簡略化するために、図４から５と併せて記載される方法論は、一連の動作として示され記載される。本発明のいくつかの態様が、例示される動作により、および／または、動作の順番により制限されないことを理解および認識すべきである。一実施形態において、動作は以下に記載する順番で起こる。しかし、他の実施形態においては、動作は、並行して、別の順番で、および／または、本明細書に表されないかつ記載されない他の動作と共に、起こり得る。さらに、全ての例示の動作が、本発明のいくつかの態様に従う方法論を実装することを要求されるわけではない。加えて、あるいは方法論を、状態図を介する一連の相互に関連する状態として、または事象として表すことができることを、当業者は理解および認識するであろう。
【００７３】
図４を参照すると、ブロック４０５にて、動作が開始される。ブロック４０７にて、信頼関係が確立される。例えば、図２を参照すると、ローカル識別システム２３０は、企業の識別システム２１０との信頼関係を確立することができる。ブロック４１０にて、デバイスは、デバイスの外部のネットワーク（例えば、インターネット）上のリソースへのアクセスを試みる。例えば、図２を参照すると、ローミングデバイス２０６は、ネットワーク２１５を介して利用可能なリソース（例えば、ウェブページ）へのアクセスを試みる。
【００７４】
ブロック４１５にて、フォワードプロキシに関連するセキュリティコンポーネントに、要求がルーティングされる。例えば、図２を参照すると、接続コンポーネント１２５が、フォワードプロキシ２２２に関連するセキュリティコンポーネントに、要求をルーティングする。
【００７５】
ブロック４２０にて、セキュリティコンポーネントは、デバイスからメッセージを受け取る。例えば、図３を参照すると、セキュリティコンポーネント３１０が、要求を受け取る。
【００７６】
ブロック４２５にて、デバイスに関連するエンティティを認証する認証プロトコルが判定される。例えば、図３を参照すると、プロトコルセレクタ３１５が、図２のローミングデバイス２０６に関連するユーザを認証する際に使用する認証プロトコルを判定する。
【００７７】
ブロック４３０にて、セキュリティコンポーネントは、デバイスに関連するエンティティを認証する。例えば、図２および３を参照すると、クライアントコンポーネント３２０が、ローミングデバイス２０６に関連するユーザを認証する。
【００７８】
ブロック４３５にて、クッキーが使用されると、クッキーはデバイスに送られて後に続く要求において使用される。例えば、図２を参照すると、フォワードプロキシ２２２に関連するセキュリティコンポーネントが、クッキーをローミングデバイス２０６に送る。
【００７９】
ブロック４４０にて、デバイスは後に続く要求においてクッキーを送る。例えば、図２を参照すると、ローミングデバイス２０６が、受け取ったクッキーを、ネットワーク２１５を介してアクセス可能なリソースを求める後に続く要求において、送る。
【００８０】
ブロック４４５にて、他の動作が、もしあれば、起こる。例えば、周期的に、エンティティを再認証することができる。
【００８１】
図５を参照すると、ブロック５０５にて、動作が開始される。ブロック５１０にて、第２のネットワーク上のリソースにアクセスする要求が、第１のネットワークに属するデバイスに関連するエンティティから送られる。例えば、図２を参照すると、ネットワーク２１５を介してアクセス可能なリソースにアクセスする要求が、デバイス２０６に関連するエンティティから送られる。
【００８２】
ブロック５１５にて、要求が通信コンポーネントで受け取られる。例えば、図２を参照すると、通信コンポーネント１２５が要求を受け取る。
【００８３】
ブロック５２０にて、エンティティは、通信コンポーネントを介して認証される。例えば、図２を参照すると、通信コンポーネント１２５が、フォワードプロキシ２２２に関連するセキュリティコンポーネントと通信して、デバイス２０６を使用するユーザを認証する。
【００８４】
ブロック５２５にて、要求は、フォワードプロキシに送られる。例えば、図２を参照すると、デバイス２０６からの要求が、フォワードプロキシ２２２に送られる。
【００８５】
ブロック５３０にて、クッキーを、デバイスで受け取ることができる。クッキーは、セキュリティコンポーネントによりエンティティが先に認証されたことを示す。これは、例えば、後に続く認証を促進するために起こる。
【００８６】
ブロック５３５にて、クッキーは、後に続く要求において送られる。例えば、図２を参照すると、通信コンポーネント１２５は、リソースを求める後に続く要求においてクッキーを送ることができる。
【００８７】
ブロック５４０にて、他の動作が、もしあれば起こる。
【００８８】
上述した詳細な説明から分かるように、本発明のいくつかの態様を、分散セキュリティコンテンツ管理システムにおける認証に関して記載した。本発明のいくつかの態様は、種々の修正および代替の構造に影響を受けやすいが、その特定の例示の実施形態を図面において示し、上記において詳細に記載した。しかし、本発明の態様を、開示される特定の形式に限定する意図はなく、逆に、本明細書に記載される発明の種々の態様の趣旨および範囲内にある全ての修正、代替の構造、および等価物を対象とすることが意図されることを理解すべきである。
【技術分野】
【０００１】
本発明は、分散セキュアコンテンツ管理システムに対する認証に関する。
【背景技術】
【０００２】
従来、企業は、種々のセキュリティ製品およびセキュリティ電化製品に含まれる機能を使用して、会社の情報技術資産を保護してきた。そのような機能には、例えば、企業に出入りするネットワークトラフィックをマルウェア等の悪質なコードに対してフィルタリングすること、不適切な外部のコンテンツへのアクセスを制限すること、企業ネットワークへの攻撃および他の侵入を阻止すること、等が含まれる。
【０００３】
可動式、家庭用、および他のコンピュータデバイスの可用性の広がりに伴い、従業員は、社内ネットワークの外部に仕事を持ちだすようになった。企業ネットワークに対して与えられるものと同じ保護レベルを取得し、かつ、企業ネットワークに対して与えられるようなポリシーを強化するために、そのような従業員に対して、企業ネットワークにログオンまたはアクセスし、かつ、企業ネットワークを介して企業ネットワーク外のリソースにアクセスする、ことを要求する企業がある。種々の理由により、これは、ローミングユーザが企業ネットワークに近接していないときは、最適ではなくなる。
【０００４】
本明細書において請求される発明は、任意の不都合を解決する実施形態、または、上述のような実施形態においてのみ作動する実施形態、に限定されない。むしろ、本背景技術は、本明細書に記載されるいくつかの実施形態を実践できる一例の技術領域を例示するためにのみ与えられる。
【発明の概要】
【発明が解決しようとする課題】
【０００５】
本発明は、上述したような問題に鑑みてなされたものであり、その目的とするところは、分散セキュアコンテンツ管理システムに対する認証を提供することにある。
【課題を解決するための手段】
【０００６】
簡潔に説明すると、本発明のいくつかの態様は、分散セキュアコンテンツ管理システムに対する認証に関する。いくつかの態様において、インターネットを介して利用可能なリソースにアクセスする要求が、セキュリティコンポーネントにルーティングされる。セキュリティコンポーネントは、インターネット全体に分散される複数のセキュリティコンポーネントのうちの１つであり、企業に関連するエンティティの認証に責任を負う。セキュリティコンポーネントは、エンティティに使用する認証プロトコルを判定し、次に、エンティティを認証する。エンティティが認証されると、エンティティは、フォワードプロキシを使用することが許可される。
【０００７】
この説明は、以下の「発明を実施するための形態」でさらに述べる本発明のいくつかの態様を簡潔に確認するために提供するものである。この説明は、本発明の重要な特徴または主要な特徴を確認することを意図しておらず、本発明の範囲を制限するために使用されることを意図してもいない。
【０００８】
「本明細書に記載される発明」という表現は、特に明示しない限り、「発明を実施するための形態」において記載される発明に言及する。用語「態様」は、「少なくとも１つの態様」として解釈されるべきである。「発明を実施するための形態」に記載される発明の態様を確認することは、本発明の重要な特徴および主要な特徴を確認することを意図していない。
【０００９】
上述した態様および本明細書に記載される発明の他の態様は、例として示すものであり、添付の図面にも限定されない。なお、複数の図面において、同様の数字は同様の要素を示す。
【図面の簡単な説明】
【００１０】
【図１】本発明のいくつかの態様を組み込むことができる例示の汎用コンピュータ環境を表すブロック図である。
【図２】本発明のいくつかの態様を実装することができる例示の環境を概して表すブロック図である。
【図３】本発明のいくつかの態様に従って、セキュリティコンポーネントと共に構成される例示の装置を表すブロック図である。
【図４】本発明のいくつかの態様に従って、認証と連動して起こる動作を概して表すフロー図である。
【図５】本発明のいくつかの態様に従って、認証と連動して起こる動作を概して表すフロー図である。
【発明を実施するための形態】
【００１１】
（例示的動作環境）
図１は、本発明のいくつかの態様を実行することができる適切なコンピュータシステム環境１００の例を示す。コンピュータシステム環境１００は、適切なコンピュータ環境のほんの一例であり、本発明のいくつかの態様の使用または機能の範囲について任意の制限を示唆することは意図しない。また、コンピュータ環境１００は、例示の動作環境１００において示されるコンポーネントの任意の１つのまたは組み合わせに関する、任意の依存または要求を有するものとして解釈されるものでもない。
【００１２】
本発明のいくつかの態様は、多数の他の汎用のまたは専用のコンピュータシステム環境または構成で動作可能である。本発明のいくつかの態様での使用に適切な周知のコンピュータシステム、環境、および／または構成の例には、パーソナルコンピュータ、サーバコンピュータ、ハンドヘルドまたはラップトップのデバイス、マルチプロセッサシステム、マイクロコントローラベースのシステム、セットトップボックス、プログラム可能家庭用電化製品、ネットワークＰＣ、ミニコンピュータ、メインフレームコンピュータ、任意の上記のシステムまたはデバイスを含む分散コンピュータ環境、等が含まれるがこれに限定されない。
【００１３】
本発明のいくつかの態様を、プログラムモジュール等の、コンピュータにより実行されているコンピュータ実行可能命令の一般的コンテキストにおいて記載することができる。一般に、プログラムモジュールには、ルーチン、プログラム、オブジェクト、コンポーネント、データ構造、等が含まれ、これらは、特定のタスクを実行し、または、特定の抽象データ型を実装する。本発明のいくつかの態様はまた、通信ネットワークを介してリンクされるリモート処理デバイスによりタスクが実行される、分散コンピュータ環境において実践することができる。分散コンピュータ環境において、プログラムモジュールは、メモリストレージデバイスを含む、ローカルおよびリモート両方のコンピュータ記憶媒体に置くことができる。
【００１４】
図１を参照すると、本発明のいくつかの態様を実装するための例示のシステムには、コンピュータ１１０の形式の汎用コンピュータデバイスが含まれる。コンピュータ１１０のコンポーネントには、プロセシングユニット１２０、システムメモリ１３０、および、システムメモリを含む種々のシステムコンポーネントをプロセシングユニット１２０に連結するシステムバス１２１を含むことができるが、これに限定されない。システムバス１２１は、メモリバスまたはメモリコントローラ、周辺機器用バス、および様々なバスアーキテクチャのうちの任意のものを使用するローカルバスを含む、いくつかのタイプのバス構造のうちの任意のものとすることができる。制限ではなく例として、そのようなアーキテクチャには、ＩＳＡ（Ｉｎｄｕｓｔｒｙ Ｓｔａｎｄａｒｄ Ａｒｃｈｉｔｅｃｔｕｒｅ）バス、ＭＣＡ（Ｍｉｃｒｏ Ｃｈａｎｎｅｌ Ａｒｃｈｉｔｅｃｔｕｒｅ）バス、ＥＩＳＡ（Ｅｎｈａｎｃｅｄ ＩＳＡ）バス、ＶＥＳＡ（Ｖｉｄｅｏ Ｅｌｅｃｔｒｏｎｉｃｓ Ｓｔａｎｄａｒｄｓ Ａｓｓｏｃｉａｔｉｏｎ）ローカルバス、メザニン（Ｍｅｚｚａｎｉｎｅ）バスとしても既知のＰＣＩ（Ｐｅｒｉｐｈｅｒａｌ Ｃｏｍｐｏｎｅｎｔ Ｉｎｔｅｒｃｏｎｎｅｃｔ）バス、ＰＣＩ−Ｘ（Ｐｅｒｉｐｈｅｒａｌ Ｃｏｍｐｏｎｅｎｔ Ｉｎｔｅｒｃｏｎｎｅｃｔ Ｅｘｔｅｎｄｅｄ）バス、ＡＧＰ（Ａｄｖａｎｃｅｄ Ｇｒａｐｈｉｃｓ Ｐｏｒｔ）、および、ＰＣＩｅ（ＰＣＩ ｅｘｐｒｅｓｓ）が含まれる。
【００１５】
コンピュータ１１０には典型的には、様々なコンピュータ可読媒体が含まれる。コンピュータ可読媒体は、コンピュータ１１０によりアクセス可能な、かつ、揮発性媒体および不揮発性媒体、ならびに、着脱可能媒体および着脱不可能媒体を含む、任意の利用可能な媒体とすることができる。制限ではなく例として、コンピュータ可読媒体には、コンピュータ記憶媒体および通信媒体を備えることができる。
【００１６】
コンピュータ記憶媒体には、コンピュータ可読命令、データ構造、プログラムモジュール、または他のデータ等の情報を記憶するための任意の方法または技術で実装される、揮発性および不揮発性の、着脱可能および着脱不可能な媒体が含まれる。コンピュータ記憶媒体には、ＲＡＭ、ＲＯＭ、ＥＥＰＲＯＭ、フラッシュメモリもしくは他のメモリ技術、ＣＤ−ＲＯＭ、ＤＶＤ（ｄｉｇｉｔａｌ ｖｅｒｓａｔｉｌｅ ｄｉｓｃ）もしくは他の光ディスク記憶装置、磁気カセット、磁気テープ、磁気ディスク記憶装置もしくは他の磁気ストレージデバイス、または、所望の情報の記憶に使用可能で、かつ、コンピュータ１１０によりアクセス可能な、任意の他の媒体、が含まれるがこれに限定されない。
【００１７】
通信媒体は、典型的には、コンピュータ可読命令、データ構造、プログラムモジュール、または他のデータを、搬送波または他の転送機構等の変調データ信号で具現化し、かつ、任意の情報配信媒体を含む。「変調データ信号」という用語には、１つまたは複数のその特徴が信号における情報を符号化するような方法などで設定または変更される信号、という意味がある。制限ではなく例として、通信媒体には、有線ネットワークまたは直接線式接続等の有線媒体、および、音響、ＲＦ、赤外線、および、他の無線媒体等の無線媒体、が含まれる。上記の任意のものの組み合わせもまた、コンピュータ可読媒体の範囲内に含まれるべきある。
【００１８】
システムメモリ１３０には、ＲＯＭ（ｒｅａｄ ｏｎｌｙ ｍｅｍｏｒｙ）１３１およびＲＡＭ（ｒａｎｄｏｍ ａｃｃｅｓｓ ｍｅｍｏｒｙ）１３２等の、揮発性および／または不揮発性メモリの形式のコンピュータ記憶媒体が含まれる。基本入出力システム１３３（ＢＩＯＳ）は、起動時等にコンピュータ１１０内の要素間での情報の転送の支援をする基本ルーチンを含有し、典型的には、ＲＯＭ１３１に記憶される。ＲＡＭ１３２は典型的には、プロセシングユニット１２０により、直ちにアクセル可能である、および／または現在操作されている、データおよび／またはプログラムモジュールを含有する。制限ではなく例として、図１には、オペレーティングシステム１３４、アプリケーションプログラム１３５、他のプログラムモジュール１３６、およびプログラムデータ１３７を例示する。
【００１９】
コンピュータ１１０にはまた、他の着脱可能／着脱不可能、揮発性／不揮発性コンピュータ記憶媒体を含むことができる。単なる例として、図１には、着脱不可能、不揮発性磁気媒体に読み書きするハードディスクドライブ１４１、着脱可能、不揮発性磁気ディスク１５２に読み書きする磁気ディスクドライブ１５１、および、ＣＤ−ＲＯＭまたは他の光媒体等の、着脱可能、不揮発性光ディスク１５６に読み書きする光ディスクドライブ１５５を例示する。例示の動作環境で使用可能な他の着脱可能／着脱不可能、揮発性／不揮発性コンピュータ記憶媒体には、磁気テープカセット、フラッシュメモリカード、ＤＶＤ（ｄｉｇｉｔａｌ ｖｅｒｓａｔｉｌｅ ｄｉｓｃ）、他の光ディスク、デジタルビデオテープ、ソリッドステートＲＡＭ、ソリッドステートＲＯＭ等、が含まれるがこれに限定されない。ハードディスクドライブ１４１は典型的には、インターフェース１４０等の着脱不可能メモリインターフェースを介してシステムバス１２１に接続され、磁気ディスクドライブ１５１および光ディスクドライブ１５５は典型的には、インターフェース１５０等の着脱可能メモリインターフェースによりシステムバス１２１に接続される。
【００２０】
上記で検討し図１において例示した、ドライブおよびその関連するコンピュータ記憶媒体は、コンピュータ可読命令、データ構造、プログラムモジュール、およびコンピュータ１１０の他のデータの記憶場所を提供する。図１において、例えば、ハードディスクドライブ１４１は、オペレーティングシステム１４４、アプリケーションプログラム１４５、他のプログラムモジュール１４６、およびプログラムデータ１４７を記憶するものとして例示される。なお、これらのコンポーネントは、オペレーティングシステム１３４、アプリケーションプログラム１３５、他のプログラムモジュール１３６、およびプログラムデータ１３７と同じでも異なっていても良い。オペレーティングシステム１４４、アプリケーションプログラム１４５、他のプログラムモジュール１４６、およびプログラムデータ１４７には、本明細書においては異なる番号が与えられ、それらが少なくとも異なる複製品であることを例示する。ユーザは、キーボード１６２、および、一般にはマウス、トラックボール、またはタッチパッドと称されるポインティングデバイス１６１等の入力デバイスを介して、コマンドおよび情報をコンピュータ２０に入力することができる。他の入力デバイス（図示せず）には、マイク、ジョイスティック、ゲームパッド、パラボラアンテナ、スキャナ、タッチスクリーン、ライティングタブレット等を含むことができる。これらおよび他の入力デバイスは、システムバスに連結されるユーザ入力インターフェース１６０を介してプロセシングユニット１２０に接続されることが多いが、他のインターフェースおよびパラレルポート、ゲームポート、またはＵＳＢ（ｕｎｉｖｅｒｓａｌ ｓｅｒｉａｌ ｂｕｓ）等のバス構造により接続することができる。モニタ１９１または他のタイプのディスプレイデバイスもまた、ビデオインターフェース１９０等のインターフェースを介してシステムバス１２１に接続される。モニタに加えて、コンピュータにはまた、スピーカ１９７およびプリンタ１９６等の他の周辺出力デバイスを含むことができ、これらは、出力周辺インターフェース１９０を介して接続させることができる。
【００２１】
コンピュータ１１０は、リモートコンピュータ１８０等の１つまたは複数のリモートコンピュータへの論理接続を使用して、ネットワーク化環境において動作することができる。リモートコンピュータ１８０は、図１にはメモリストレージデバイス１８１のみが例示されるが、パーソナルコンピュータ、サーバ、ルータ、ネットワークＰＣ、ページャ、ピアデバイス、または他の共通ネットワークノードとすることができ、かつ、典型的には、コンピュータ１１０に関して上述される要素のうちの多くまたは全てを含む。図１に示す論理接続には、ローカルエリアネットワーク（ＬＡＮ）１７１およびワイドエリアネットワーク（ＷＡＮ）１７３が含まれるが、他のネットワークを含むこともできる。そのようなネットワーク環境は、事務所、企業規模のコンピュータネットワーク、イントラネット、およびインターネットにおいて一般的なものである。
【００２２】
ＬＡＮネットワーク環境において使用されるとき、コンピュータ１１０は、ネットワークインターフェースまたはアダプタ１７０を介してＬＡＮ１７１に接続される。ＷＡＮネットワーク環境において使用されるとき、コンピュータ１１０には、モデム１７２またはインターネット等のＷＡＮ１７３上の通信を確立する他の手段を含むことができる。モデム１７２は、内部のものでも外部のものでも良く、ユーザ入力インターフェース１６０または他の適切な機構を介してシステムバス１２１に接続することができる。ネットワーク化環境において、コンピュータ１１０に関して示されるプログラムモジュールまたはその一部を、リモートメモリストレージデバイスに記憶することができる。制限ではなく例として、図１にはメモリデバイス１８１上に存在するリモートアプリケーションプログラム１８５を例示する。図示のネットワーク接続は例示のものであり、コンピュータ間の通信リンクを確立する他の手段を使用することができることは理解されるであろう。
【００２３】
（認証）
先に述べたように、従業員は、ビジネスネットワークの外部で仕事をすることが多い。しかし、同時に、会社は、同じ保護レベルの提供、ユーザの動作に基づく報告の提供が可能であること、かつ、ユーザがビジネスネットワーク使用してリモートネットワークのリソースにアクセスするときに適用されるものと同じポリシーを適用すること、を望んでいる。
【００２４】
本発明のいくつかの態様に従うと、クラウド内に配置される１つまたは複数のフォワードプロキシが提供される。論理的には、フォワードプロキシは、クライアントとクライアントがアクセスを試みているネットワークリソースとの間に位置する。フォワードプロキシは、クライアントからの要求を受け取り、クライアントへの接続性を要求されるリソースに提供し、必要に応じて、上記で確認された他の機能をこれらの要求に提供することができる。フォワードプロキシは、エンティティを認証しそれに関連する動作のログを取る、１つまたは複数のセキュリティコンポーネントと関連付けられることが可能である。これらのコンポーネントは、様々な認証プロトコルを使用してエンティティを認証することができ、かつ、企業に設置される識別システムと通信し、この認証を実行することができる。コンポーネントはまた、識別子を取得してエンティティの動作のログを取る際に使用することができる。
【００２５】
セキュリティコンポーネントと関連付けられるということは、フォワードプロキシがセキュリティコンポーネントの全てまたは一部を含むことができる、または、セキュリティコンポーネントの全てまたは一部をフォワードプロキシの外部に設置することができる、ということを意味する。
【００２６】
図２は、本発明のいくつかの態様が実装される例示の環境を概して表すブロック図である。図２に例示する環境には、ローミングデバイス２０５から２０６、家庭用デバイス２０７、企業デバイス２０８、ネットワークアクセスデバイス２０９、および識別システム２１０（以下、まとめてエンティティと称する場合がある）を含むことができ、かつ、他のエンティティ（図示せず）を含むことができる。種々のエンティティが、企業内ネットワークおよび社内ネットワークならびにネットワーク２１５を含む種々のネットワークを介して通信することができる。
【００２７】
一実施形態において、ネットワーク２１５は、インターネットを備えることができる。一実施形態において、ネットワーク２１５には、１つまたは複数のローカルエリアネットワーク、ワイドエリアネットワーク、直接接続、上記のものの何らかの組み合わせ、等を備えることができる。
【００２８】
デバイス２０５から２０８には、１つまたは複数の汎用または専用のコンピュータデバイスを備えることができる。そのようなデバイスには、例えば、パーソナルコンピュータ、サーバコンピュータ、ハンドヘルドまたはラップトップのデバイス、マルチプロセッサシステム、マイクロコントローラベースのシステム、セットトップボックス、プログラム可能家庭用電化製品、ネットワークＰＣ、ミニコンピュータ、メインフレームコンピュータ、ＰＤＡ（ｐｅｒｓｏｎａｌ ｄｉｇｉｔａｌ ａｓｓｉｓｔａｎｔ）、ゲームデバイス、プリンタ、セットトップ、メディアセンターを含む電化製品または他の電化製品、自動車に埋め込まれるまたは取り付けられるコンピュータデバイス、他のモバイルデバイス、任意の上記のシステムまたはデバイスを含む分散コンピュータ環境、等を含むことができる。１つまたは複数のデバイス２０５から２０８として動作するよう構成される例示のデバイスは、図１のコンピュータ１１０を備える。
【００２９】
ローミングデバイス２０５から２０６には、ある場所からある場所へ運ばれるコンピュータデバイスを備えることができる。例えば、従業員は、ノートブックコンピュータを出張に持っていくことができる。別の例として、従業員は、携帯電話、ＰＤＡ，または従業員がほとんどどこででも使用できる何らかの他のハンドヘルドデバイスを持って移動することができる。
【００３０】
家庭用デバイス２０７には、例えば、従業員の家に設置されるパーソナルコンピュータまたは他の電子デバイスを含むことができる。
【００３１】
企業デバイス２０８には、１つまたは複数の会社の場所に設置され、かつビジネスネットワークに接続されるデバイスを含むことができる。例えば、企業デバイス２０８には、ワークステーション、サーバ、ルータ、モバイルデバイス、および、先に述べたものとは別の汎用および専用のコンピュータデバイスを含むことができる。
【００３２】
ネットワークアクセスデバイス２０９には、許可、拒否、プロキシ、伝送、キャッシュ、または、コンピュータトラフィック上の他の動作の実行、を行うよう構成される、１つまたは複数のデバイスおよび／またはソフトウェアコンポーネントを備えることができる。ファイアウォールとして構成されて、ネットワークアクセスデバイス２０９は、企業デバイス２０８および識別システム２１０、ならびにネットワークアクセスデバイス２０９に接続される他のデバイス（ある場合）、に対する保護を提供するよう動作することができる。ネットワークアクセスデバイス２０９は、仮想プライベートネットワークに対するエンドポイントとして構成することができる。そのような構成において、ネットワークアクセスデバイス２０９は、セキュアな通信チャネルを、１つまたは複数のフォワードプロキシ２２０から２２２に、同様に、ローカル識別システム２３０等のネットワーク２１５に属する他のコンポーネントに、提供することができる。ローカル識別システム２３０を有するセキュアな通信チャネルを使用して、識別システム２１０とローカル識別システム２３０との間の一方向または双方向の信頼関係を確立することができる。一実施形態において、ネットワークアクセスデバイス２０９には、例えば、適切なハードウェアおよびソフトウェアと共に構成される図１のコンピュータ１１０を備えることができる。別の実施形態において、ネットワークアクセスデバイス２０９には、特定用途の電化製品を備えることができる。
【００３３】
識別システム２１０には、上記で述べたデバイス等の１つまたは複数のデバイス上でホストされる１つまたは複数の処理を含むことができる。以下でさらに詳細に説明するように、識別システム２１０を利用して、ユーザおよび／またはデバイスを識別することができる。一実施形態において、識別システム２１０には、ワシントン州レドモンドのマイクロソフト社により製造されるアクティブディレクトリ（Ａｃｔｉｖｅ Ｄｉｒｅｃｔｏｒｙ）を備えることができる。識別システムの他の例には、ラディウス（ＲＡＤＩＵＳ）系のＩＤシステム、ＬＤＡＰ系のＩＤシステム、一般的データベースＩＤシステム等が含まれる。
【００３４】
図２に例示するように、一実施形態において、識別システム２１０は、ネットワークアクセスデバイス２０９を介してアクセス可能な企業ネットワーク上に存在する。別の実施形態において、識別システム２１０は、企業のネットワークの外部のネットワーク上に存在しても良い。例えば、識別システム２１０は、ネットワーク２１５内の種々の場所に存在または分散させることができる。一実施形態において、識別システム２１０は、ネットワーク２１５に属するサーバによりホストされるサービスとすることができる。
【００３５】
フォワードプロキシ２２０から２２２は、ネットワークを介してアクセス可能な種々の場所に配置される。これらのフォワードプロキシは、接続性、アンチウィルス、スパイウェア、およびフィッシング保護、ＵＲＬフィルタリング、ファイアウォール、侵入検出、情報漏洩防止（ＩＬＰ）、ならびに、企業ネットワークにおけるデバイスにより提供されることもある同様の類、等の種々の機能を提供することができる。フォワードプロキシ２２０から２２２はまた、ネットワーク２１５に接続されるローミングデバイスに対して中央集中型の管理を提供することもできる。フォワードプロキシ２２０から２２２はまた、モバイルデバイスに対するレンダリング、ウェブページおよび他のコンテンツのキャッシュ、および、任意の他の接続性および／または企業により所望され得るセキュリティ機能、等の他の機能を種々のデバイスに提供することもできる。
【００３６】
デバイスが、ネットワーク２１５に接続されるリソースにアクセスを試みるとき、デバイスとの間のトラフィックがフォワードプロキシにルーティングされて、例えば、上述の１つまたは複数の機能を提供することができる。しかし、デバイスにこれらの機能が提供される前に、フォワードプロキシに関連するセキュリティコンポーネントが、デバイスおよび／またはそのデバイスを使用するユーザを認証する。認証というコンテキストにおいて、用語「エンティティ」を使用して、本明細書においては、デバイスおよび／またはそのデバイスを使用するユーザを示すことがある。
【００３７】
エンティティの認証は、種々の理由でなされ得る。例えば、登録されるエンティティのみがフォワードプロキシの使用が許可されることが所望されるかもしれない。これが起こることを確実にするために、認証を実行することができる。別の例として、エンティティの認証を、デバイスとの間でルーティングされるトラフィクにどのポリシーを適用するかを知るための識別に使用することができる。さらに別の例として、エンティティの認証を、報告、監査、他には、エンティティの動作の追跡に使用することができる。
【００３８】
上記で述べた、エンティティを認証する理由の例では、包括的であることも網羅的であることも意図されない。本発明のいくつかの態様を１つまたは複数の上記の例を含む実装に限定することも意図されない。実際、本明細書の教示に基づき、当業者は、本発明のいくつかの態様の精神または範囲から逸脱することなく本明細書に表される概念を適用することができる、多くの他の状況を認めることができる。
【００３９】
企業の認証情報に基づくエンティティの認証において、識別システム２１０からの情報を、エンティティの認証を試みているセキュリティコンポーネントに伝送することができる。一実施形態において、セキュリティコンポーネントは、フォワードプロキシの使用が許可されたエンティティの認証情報の、それ自身が所有するデータベースを保持しなくともよい。その代わり、認証情報を、識別システム２１０を介してアクセス可能な認証情報データベース上などの企業が制御する場所に記憶することができる。これは、種々の理由による。例えば、クラウド内に認証情報のデータベースがない場合、システムは、クラウド内に記憶される認証情報のデータベースと企業ネットワーク上に記憶される認証情報のデータベースとを保持することおよび同期させることを回避することが可能である。また、クラウドの認証情報のデータベースは、企業以外の団体により制御され得るため、認証情報のデータベースを企業ネットワーク上に記憶していることにより、セキュリティ上のリスクを小さくすることができる。別の効果として、企業ネットワーク上に最近作成された新しいエンティティが、同期されることを待つ必要がないため、直ちにフォワードプロキシにアクセスすることができる。加えて、もはやフォワードプロキシへのアクセスを許可されないエンティティは、それらの認証情報が認証情報のデータベースから削除されることより、フォワードプロキシへのアクセスが直ちに拒否される。さらに、エンティティのネットワーク動作に関して生成される報告は、エンティティがどの場所からフォワードプロキシにアクセスするのかに関係なくエンティティを追跡することが可能である。
【００４０】
本実施形態において、エンティティを認証するために、セキュリティコンポーネントは、必要に応じて、識別システム２１０と通信して、エンティティを認証するのに十分な情報を取得することができる。そのような情報には、例えば、エンティティの認証情報、チャレンジ／応答データ、証明関連の情報、または、エンティティの認証に使用可能な任意の他の情報を含むことができる。
【００４１】
別の実施形態において、セキュリティコンポーネントは、一方向または双方向の信頼関係を使用して識別システム２１０と同期されるローカル識別システム２３０にアクセスすることができる。一方向の信頼関係において、ローカル識別システム２３０に対して同期される企業の認証情報を使用して認証されるエンティティは、フォワードプロキシを介してリソースにアクセスすることが許可される。
【００４２】
セキュリティコンポーネントと識別システム２１０および２３０との間の通信は、様々な方法でなされ、これには例えば、仮想プライベートネットワーク（ＶＰＮ）、マルチプロトコルラベルスイッチング（ＭＰＬＳ）、インターネットプロトコルセキュリティ（ＩＰＳｅｃ），インターネットプロトコル６（ＩＰｖ６）グローバルアドレシング、他の通信プロトコル等が含まれる。
【００４３】
一実施形態において、特定の通信プロトコルにより必要とされるポート（複数可）のみを、識別システムとセキュリティコンポーネントとの間の仮想プライベートネットワークに関与させることができる。言い換えれば、通信プロトコルに関与するポートに対するメッセージを転送し、通信プロトコルに関与しないポートに対するメッセージを転送しないようにすることができる。これは、攻撃面（例えば、転送されるポートの数）を大幅に減らすことができるため、企業ネットワークのセキュリティ維持に役立つ。
【００４４】
フォワードプロキシおよび識別システムは、ＩＰｖ６を介して通信するよう構成される。ＩＰｓｅｃおよび構成されたポリシーと併せて、これを使用して、特定のフォワードプロキシのみが識別システムと通信することが許可されることを保証する。
【００４５】
エンティティを認証するために、フォワードプロキシに関連するセキュリティコンポーネントは、多くの異なる機構のうちの１つまたは複数を使用することができる。例えば、仮想プライベートネットワーク（ＶＰＮ）を、セキュリティコンポーネントとデバイスの間で確立することができる。そのような構成において、ＶＰＮが成功裏に確立されたということが、エンティティの認証に役立つ。他の例として、統合Ｗｉｎｄｏｗｓ「登録商標」認証、ＩＰＳｅｃ、フォームベース認証、ＲＡＤＩＵＳ、ＭＰＬＳ、基本アクセス認証、ケルベロス、クライアント証明書ベース認証、いくつかの他の認証プロトコル等、を使用して、エンティティを認証することができる。一実施形態において、認証はＨＴＴＰプロキシ認証の一部として起動される。
【００４６】
認証プロトコルのタイプは、セキュリティコンポーネントとデバイスとの間で取り決められる。例えば、デバイスが第１の組の認証プロトコルをサポートし、セキュリティコンポーネントが第２の組の認証プロトコルをサポートする場合、デバイスとセキュリティコンポーネントの双方がサポートする認証プロトコルが選択されて、エンティティを認証することができる。別の例として、デバイスが、デバイス自体、および／または、ユーザのインタラクション無しでユーザを、認証することを可能にする認証プロトコル（例えば、統合Ｗｉｎｄｏｗｓ「登録商標」認証など）を、デバイスがサポートする場合、このプロトコルが選択され得る。
【００４７】
エンティティを認証するための多くの方法がある。例えば、エンティティを認証するために、セキュリティコンポーネントは、エンティティの認証情報（例えば、ユーザ名およびパスワードまたはエンティティに関連する他の認証情報）を要求することができる。これらの認証情報を使用して、セキュリティコンポーネントは、識別システム２１０と通信して、認証情報を検証することができる。これを行うために、エンティティは、例えば、基本、フォーム、ＲＡＤＩＵＳ、またはいくつかの他の認証プロトコルを使用することができる。
【００４８】
認証情報が有効である場合、識別システム２１０は、これをセキュリティコンポーネントに対して示し、かつ、エンティティに関連する識別子をセキュリティコンポーネントに送ることができる。この識別子には、エンティティの企業アイデンティティを含むことができる。この識別子は、エンティティによる後の動作のログを取る際に使用することができる。
【００４９】
エンティティを認証するための別の例として、セキュリティコンポーネントは、認証情報を受け取らずに、認証情報を認証することができる。例えば、セキュリティコンポーネントは、エンティティに対してチャレンジを提供し、そのチャレンジに対する応答を使用してエンティティを認証することができる。セキュリティコンポーネントは、チャレンジの判定、および／または、チャレンジに対する応答の実証に、識別システム２１０を関与させることができる。
【００５０】
別の例として、セキュリティコンポーネントは、一方向または双方向の信頼関係を使用して識別システム２１０と同期されるローカル識別システム２３０に関連することができる。セキュリティコンポーネントは、ローカル識別システム２３０を利用してエンティティを認証することができる。
【００５１】
別の例として、セキュアソケットレイヤ（ＳＳＬ）および／またはトランスポートレイヤセキュリティ（ＴＬＳ）の能力を、ＨＴＴＰプロトコルにおいて定義されるプロキシの能力に追加することができる。ＨＴＴＰプロキシのための現在のＨＴＴＰプロトコルは、ＨＴＴＰプロキシにおいてＳＳＬまたはＴＬＳを使用することを規定していない。ＨＴＴＰプロキシは、クライアントとの通信時にＳＳＬおよび／またはＴＬＳを使用するよう強化され得る。ＳＳＬ／ＴＬＳはまた、相互の認証に使用することもできる。接続を確立する際の一部として、クライアントを、ＳＳＬまたはＴＬＳを介して認証することができる。この認証方法において、セキュリティコンポーネントは、例えば、クライアント証明書が信頼できる認証機関により署名されていることを検証することにより、クライアントを認証することができる。ＳＳＬ／ＴＬＳをＨＴＴＰプロキシに追加することにより、エンドポイントとフォワードプロキシとの間のセキュアな（例えば、暗号化された）通信を可能にすることもできる。
【００５２】
一実施形態において、クライアントとセキュリティコンポーネントとの間の最初の認証の後、後に続く要求と共に使用するために、クッキーをクライアントに提供することができる。現在のＨＴＴＰプロトコルは、対象のサーバがクライアントにクッキーを提供することを許可するが、ＨＴＴＰプロキシが単独でクッキーを生成してクライアントに供給することは許可しない。さらに、現在のＨＴＴＰプロトコルにおいて、クライアントは、クライアントにクッキーを送った対象のサーバと通信するときのみ、クッキーを提供する。
【００５３】
フォワードプロキシがＨＴＴＰプロキシとして機能するとき、フォワードプロキシ（または、それに関連するセキュリティコンポーネント）は、クッキーを生成して、クライアントが認証されたあとにクライアントに送ることができる。そして、後に続く要求において、クライアントはこのクッキーを、クッキーをクライアントに提供したフォワードプロキシ（または、それに関連するセキュリティコンポーネント）、または、別のフォワードプロキシに、提供することができる。また、クライアントが異なる対象のサーバ上のリソースにアクセスしようとするときでも、クライアントはこのクッキーを送ることができる。
【００５４】
クライアントが、後に続く要求において、クッキーを送るとき、フォワードプロキシ（または、それに関連するセキュリティコンポーネント）は、クッキーを調べて、クライアントが既に認証されているかを判定することができる。これにより、クライアントから受け取る各要求に伴う再認証に関連するオーバヘッドを回避することができる。クッキーは、有効期限のパラメータと共に構成され、設定時間後は有効期限が切れる。
【００５５】
本明細書において使用されるクッキーには、エンティティが既に認証されていることを検証するために使用することができる任意のデータが含まれる。例えば、クッキーには、データベースのレコードにアクセスするためにセキュリティコンポーネントにより使用される識別子を含むことができる。レコードは、エンティティが既に認証されたかどうかを示すことができる。別の例として、クッキーには、エンティティが認証されたかどうかを判定するための、セキュリティコンポーネントが解読可能な暗号化された情報を含むことができる。
【００５６】
クッキーにはまた、エンティティに関する他のデータを含むことができる。例えば、クッキーには、エンティティに関連する識別子を含むことができる。この識別子は、エンティティが、例えば、企業ネットワークにアクセスするときに使用する識別子に対応することができる。この識別子を、エンティティの動作のログを取る時に使用することができる。別の例として、クッキーには、エンティティに関連するポリシー情報を含むことができる。例えば、クッキーには、どのサイトにエンティティがアクセスすることを許可されているかを示す情報を含むことができる。
【００５７】
エンティティの認証に使用することができる別の機構は、接続コンポーネント（例えば、接続コンポーネント１２５）を介する。接続コンポーネントは、デバイス上に存在し、かつ、デバイスからの接続を監視するコンポーネントである。例えば、接続コンポーネントは、デバイスとの間で送信されるＴＣＰトラフィックを監視することができる。接続コンポーネントが、フォワードプロキシに対してルーティングされる接続要求を確認すると、接続コンポーネントは、フォワードプロキシに関連するセキュリティコンポーネントを一緒に認証し、かつ、その接続を暗号化することができる。これは、デバイスを使用するユーザに対して透過的であるような方法で行われる。ユーザが、フォワードプロキシを通してルーティングされる必要がある要求（例えば、ＵＲＬ要求）を入力すると、接続コンポーネントは、フォワードプロキシに関連するセキュリティコンポーネントを一緒に認証し、次に、セキュアなチャネル上でフォワードプロキシに要求を転送することができる。
【００５８】
一実施形態において、クッキーが、後に続く要求における認証に使用するために、エンティティに提供されると、接続コンポーネントは、クッキーを操作し、かつ、後に続く要求においてそれを提供することができる。別の実施形態において、クッキーが、後に続く要求において認証に使用するためにエンティティに提供されると、接続コンポーネントは、エンティティがクッキーを操作し、かつ、クッキーを後に続く要求において提供する、ことを可能にすることができる。
【００５９】
エンティティを認証するためのいくつかの機構の例が、上記において提供されたが、これらの例では、包括的であることも網羅的であることも意図されない。実際、本発明のいくつかの態様は、認証方法に限定されず、実質的に、既存または開発される任意の認証方法を、本発明のいくつかの態様の精神または範囲から逸脱することなく、採用することができる。
【００６０】
認証処理の結果、次にロギング、監査、ポリシーの適用等に使用するための識別子を取得することができる。この識別子は、本発明のいくつかの態様から逸脱することなく、識別システム２１０により、ローカル識別システム２３０により、または、いくつかの他のコンポーネントにより、提供することができる。識別子は、エンティティを、エンティティに関連する企業ネットワークに対して識別するために使用されるものと同じ識別子とすることができる。
【００６１】
上述の環境には、各エンティティおよび関連するインフラストラクチャが様々な数で含まれるが、より多くの、より少ない、または異なる組み合わせの、これらのエンティティおよびその他を、本発明のいくつかの態様の精神および範囲から逸脱することなく採用することができることが認識されるであろう。さらに、環境に含まれるエンティティおよび通信ネットワークは、本発明のいくつかの態様の精神および範囲から逸脱することなく、当業者が理解するであろう様々な方法で構成することができる。
【００６２】
図３は、本発明のいくつかの態様に従って、セキュリティコンポーネントと共に構成される例示の装置を表すブロック図である。図３において例示されるコンポーネントは例示のものであり、必要とされるかまたは含まれるコンポーネントが全て含まれる訳ではない。他の実施形態において、図３と併せて記載されるコンポーネントまたは機能を、本発明のいくつかの態様の精神および範囲から逸脱することなく、他のコンポーネントに含む、または、サブコンポーネントに配置することができる。いくつかの実施形態において、図３と併せて記載されるコンポーネントまたは機能は、装置３０５にアクセス可能な複数のデバイスに亘って分散させることができる。
【００６３】
図３を参照すると、装置３０５には、セキュリティコンポーネント３１０、記憶装置、および、通信機構３４５を含むことができる。セキュリティコンポーネント３１０には、プロトコルセレクタ３１５、クライアントコンポーネント３２０、アイデンティティバリデータ３２５、プロキシインフォーマ３３０、履歴トラッカ３３５、および報告コンポーネント３３７を含むことができる。セキュリティコンポーネント３１０は、図１と併せて記載されるフォワードプロキシに関連付けることができる。関連付けられるという文脈は、同じデバイスに含まれる、または、フォワードプロキシをホストしないがフォワードプロキシと通信することができる１つまたは複数のデバイスに配置される、等を意味する。
【００６４】
通信機構３４５により、装置３０５は図２に示すような他のエンティティとの通信が可能になる。通信機構３４５は、ネットワークインターフェースもしくはアダプタ１７０、モデム１７２、または図１と併せて記載されるような通信を確立するための任意の他の機構とすることができる。
【００６５】
記憶装置３４０は、エンティティにより行われる動作に関して履歴情報を記憶することができる任意の記憶媒体である。記憶装置３４０は、ファイルシステム、データベース、ＲＡＭ等の揮発性メモリ、他の記憶装置、上記の何らかの組み合わせ等を備えることができ、かつ、複数のデバイスに渡って分散させることができる。記憶装置３４０は、装置３０５の外部または内部とすることができる。
【００６６】
プロトコルセレクタ３１５は、第１のネットワークを介して利用可能なリソースへのアクセスを獲得しようとするエンティティの認証と併せて利用するための認証プロトコルを判定するよう動作可能である。例えば、図２を参照すると、プロトコルセレクタは、デバイス２０５から２０８のうちの１つを、これらのデバイスがネットワーク２１５を介してアクセス可能なリソースにアクセスしようとするときに、認証するために使用する認証プロトコルを判定することができる。
【００６７】
クライアントコンポーネント３２０は、プロトコルセレクタ３１５により判定される認証プロトコルを使用してエンティティを認証するよう動作可能である。エンティティには、デバイスを使用するユーザおよび／またはデバイスを含むことができる。例えば、図２を参照すると、クライアントコンポーネントは、相互ＴＬＳプロトコルを使用してローミングデバイス２０５を使用するユーザを認証することができる。
【００６８】
アイデンティティバリデータ（identity validator）３２５は、エンティティに関連する識別子を識別システムから取得するよう動作可能である。識別システムは、先に示したように、ローカルネットワークまたはクライアントコンポーネント３２０の外部のネットワーク上に配置することができる。識別システムは、クライアントコンポーネント３２０の外部のこのネットワーク（例えば、企業ネットワーク）を制御する企業に関連するエンティティのための識別子を含む、データベースにアクセスすることができる。例えば、図２を参照すると、アイデンティティバリデータは、識別システム２１０と通信して識別子を取得することができる。
【００６９】
プロキシインフォーマ（proxy informer）３３０は、エンティティが、クライアントコンポーネント３２０から取得された結果に基づき認証されるかどうかを、フォワードプロキシ対して示すよう動作可能である。例えば、図２を参照すると、プロキシインフォーマは、エンティティが、フォワードプロキシにより提供されるセキュリティ機能の使用を認証されることを、フォワードプロキシ２２０から２２２のうちの１つに対して示すことができる。
【００７０】
履歴トラッカ（history tracker）３３５は、エンティティおよびエンティティによりアクセスされるリソースを識別する情報を記憶するよう動作可能である。例えば、図２を参照すると、履歴トラッカは、ローミングデバイス２０５を使用するユーザによりフォワードプロキシ２２０に送られる各ＵＲＬと共にユーザ名を記憶することができる。履歴トラッカ３３５は、記憶装置３４０を利用して履歴情報を記憶することができる。
【００７１】
報告コンポーネント（reporting component）３３７は、エンティティおよびエンティティによりアクセスされるリソース（例えば、ＵＲＬ、ネットワークアドレス、等）を識別する形式で、履歴情報を提供するよう動作可能である。この形式には、ユーザ名、またはリソース識別子と共に他の識別子を含むことができる。情報には、企業のエンティティを識別するのに十分な情報が含まれるため、デバイスが（例えば、マルウェアを介して）汚染されても、ユーザがデバイスを企業ネットワークに持ち込むときに、デバイスが汚染され、社内ネットワークへのアクセスが許可される前に汚染を取り除く必要があることを、報告により示すことができる。
【００７２】
図４から５は、本発明のいくつかの態様に従う認証と併せて起こり得る動作を概略的に示すフロー図である。説明を簡略化するために、図４から５と併せて記載される方法論は、一連の動作として示され記載される。本発明のいくつかの態様が、例示される動作により、および／または、動作の順番により制限されないことを理解および認識すべきである。一実施形態において、動作は以下に記載する順番で起こる。しかし、他の実施形態においては、動作は、並行して、別の順番で、および／または、本明細書に表されないかつ記載されない他の動作と共に、起こり得る。さらに、全ての例示の動作が、本発明のいくつかの態様に従う方法論を実装することを要求されるわけではない。加えて、あるいは方法論を、状態図を介する一連の相互に関連する状態として、または事象として表すことができることを、当業者は理解および認識するであろう。
【００７３】
図４を参照すると、ブロック４０５にて、動作が開始される。ブロック４０７にて、信頼関係が確立される。例えば、図２を参照すると、ローカル識別システム２３０は、企業の識別システム２１０との信頼関係を確立することができる。ブロック４１０にて、デバイスは、デバイスの外部のネットワーク（例えば、インターネット）上のリソースへのアクセスを試みる。例えば、図２を参照すると、ローミングデバイス２０６は、ネットワーク２１５を介して利用可能なリソース（例えば、ウェブページ）へのアクセスを試みる。
【００７４】
ブロック４１５にて、フォワードプロキシに関連するセキュリティコンポーネントに、要求がルーティングされる。例えば、図２を参照すると、接続コンポーネント１２５が、フォワードプロキシ２２２に関連するセキュリティコンポーネントに、要求をルーティングする。
【００７５】
ブロック４２０にて、セキュリティコンポーネントは、デバイスからメッセージを受け取る。例えば、図３を参照すると、セキュリティコンポーネント３１０が、要求を受け取る。
【００７６】
ブロック４２５にて、デバイスに関連するエンティティを認証する認証プロトコルが判定される。例えば、図３を参照すると、プロトコルセレクタ３１５が、図２のローミングデバイス２０６に関連するユーザを認証する際に使用する認証プロトコルを判定する。
【００７７】
ブロック４３０にて、セキュリティコンポーネントは、デバイスに関連するエンティティを認証する。例えば、図２および３を参照すると、クライアントコンポーネント３２０が、ローミングデバイス２０６に関連するユーザを認証する。
【００７８】
ブロック４３５にて、クッキーが使用されると、クッキーはデバイスに送られて後に続く要求において使用される。例えば、図２を参照すると、フォワードプロキシ２２２に関連するセキュリティコンポーネントが、クッキーをローミングデバイス２０６に送る。
【００７９】
ブロック４４０にて、デバイスは後に続く要求においてクッキーを送る。例えば、図２を参照すると、ローミングデバイス２０６が、受け取ったクッキーを、ネットワーク２１５を介してアクセス可能なリソースを求める後に続く要求において、送る。
【００８０】
ブロック４４５にて、他の動作が、もしあれば、起こる。例えば、周期的に、エンティティを再認証することができる。
【００８１】
図５を参照すると、ブロック５０５にて、動作が開始される。ブロック５１０にて、第２のネットワーク上のリソースにアクセスする要求が、第１のネットワークに属するデバイスに関連するエンティティから送られる。例えば、図２を参照すると、ネットワーク２１５を介してアクセス可能なリソースにアクセスする要求が、デバイス２０６に関連するエンティティから送られる。
【００８２】
ブロック５１５にて、要求が通信コンポーネントで受け取られる。例えば、図２を参照すると、通信コンポーネント１２５が要求を受け取る。
【００８３】
ブロック５２０にて、エンティティは、通信コンポーネントを介して認証される。例えば、図２を参照すると、通信コンポーネント１２５が、フォワードプロキシ２２２に関連するセキュリティコンポーネントと通信して、デバイス２０６を使用するユーザを認証する。
【００８４】
ブロック５２５にて、要求は、フォワードプロキシに送られる。例えば、図２を参照すると、デバイス２０６からの要求が、フォワードプロキシ２２２に送られる。
【００８５】
ブロック５３０にて、クッキーを、デバイスで受け取ることができる。クッキーは、セキュリティコンポーネントによりエンティティが先に認証されたことを示す。これは、例えば、後に続く認証を促進するために起こる。
【００８６】
ブロック５３５にて、クッキーは、後に続く要求において送られる。例えば、図２を参照すると、通信コンポーネント１２５は、リソースを求める後に続く要求においてクッキーを送ることができる。
【００８７】
ブロック５４０にて、他の動作が、もしあれば起こる。
【００８８】
上述した詳細な説明から分かるように、本発明のいくつかの態様を、分散セキュリティコンテンツ管理システムにおける認証に関して記載した。本発明のいくつかの態様は、種々の修正および代替の構造に影響を受けやすいが、その特定の例示の実施形態を図面において示し、上記において詳細に記載した。しかし、本発明の態様を、開示される特定の形式に限定する意図はなく、逆に、本明細書に記載される発明の種々の態様の趣旨および範囲内にある全ての修正、代替の構造、および等価物を対象とすることが意図されることを理解すべきである。
【特許請求の範囲】
【請求項１】
コンピュータにより少なくとも一部が実装される方法であって、
セキュリティコンポーネントにおいて、デバイスから送られるメッセージを受け取るステップ（４２０）であって、前記セキュリティコンポーネントは、前記デバイスと前記デバイスがアクセスしようとするリソースとの間に論理的に存在するフォワードプロキシと関連付けられる、ステップと
前記セキュリティコンポーネントを介して、前記デバイスに関連するエンティティを認証するステップ（４３０）と、
クッキーを前記デバイスに送るステップ（４３５）であって、前記クッキーは、前記セキュリティコンポーネントにより前記エンティティが先に認証されたことを示し、前記デバイスは、前記フォワードプロキシを介してアクセス可能なリソースを求める後に続く要求と共に前記クッキーを提示する、ステップと
を含むことを特徴とする方法。
【請求項２】
前記フォワードプロキシが少なくともＨＴＴＰプロキシとして動作し、かつ、前記デバイスに関連するエンティティを認証するステップが、前記フォワードプロキシと前記デバイスと間のセキュアな接続を確立するステップを含む、ことを特徴とする請求項１に記載の方法。
【請求項３】
前記セキュアな接続が、セキュアソケットレイヤ接続を含むことを特徴とする請求項２に記載の方法。
【請求項４】
前記セキュアな接続が、トランスポートレイヤセキュリティ接続を含むことを特徴とする請求項２に記載の方法。
【請求項５】
前記フォワードプロキシが、少なくともＨＴＴＰプロキシとして動作し、かつ、前記デバイスに関連するエンティティを認証するステップが、クライアント証明書を使用するステップを含む、ことを特徴とする請求項１に記載の方法。
【請求項６】
前記クッキーが、前記エンティティに関連するアイデンティティを示し、前記アイデンティティは、前記デバイスに関連する前記エンティティに関連するビジネスエンティティにより制御されるネットワーク上の前記エンティティを識別することを特徴とする請求項１に記載の方法。
【請求項７】
前記クッキーが、前記エンティティに関連するポリシー情報を含み、前記ポリシー情報は、前記後に続く要求のためのポリシーの強化に使用可能であることを特徴とする請求項１に記載の方法。
【請求項８】
前記クッキーの有効期限を確立するステップであって、前記クッキーは、有効期限が切れた後は認証には有効でなくなるステップ、をさらに含むことを特徴とする請求項１に記載の方法。
【請求項９】
前記デバイスにより識別子と共に送られる後に続く要求の履歴を記憶するステップをさらに含むことを特徴とする請求項６に記載の方法。
【請求項１０】
フォワードプロキシにローカルな第１のネットワーク上に配置される第１の識別システムと、前記第１のネットワークの外部のネットワーク上の第２の識別システムとの間に信頼関係を確立するステップをさらに含むことを特徴とする請求項１に記載の方法。
【請求項１１】
前記信頼関係を確立するステップが、前記第１の識別システムと前記第２の識別システムとの間で認証情報を同期させるステップを含むことを特徴とする請求項１０に記載の方法。
【請求項１２】
コンピュータ実行可能命令を有するコンピュータ記憶媒体であって、前記命令は実行されるときに、
第１のネットワークに属するデバイスに関連するエンティティから、第２のネットワークからのリソースにアクセスする要求を送信するステップ（５１０）と、
前記デバイス上でホストされるコンポーネントにおいて前記要求を受け取るステップ（５１５）であって、前記コンポーネントは、前記デバイスと前記第２のネットワークとの間のトラフィックを監視する、ステップと、
前記第２のネットワークに前記要求を送る前に、前記コンポーネントを介して前記エンティティを認証するステップ（５２０）と、
フォワードプロキシに前記要求を送るステップ（５２５）と
を含む動作を実行することを特徴とするコンピュータ記憶媒体。
【請求項１３】
前記コンポーネントを介して、前記デバイスに関連するエンティティを認証するステップが、前記第２のネットワークに属する前記フォワードプロキシに関連するセキュリティコンポーネントと通信するステップであって、前記フォワードプロキシが、前記デバイスと前記第２のネットワークとの間に論理的に存在するステップ、を含むことを特徴とする請求項１２に記載のコンピュータ記憶媒体。
【請求項１４】
前記フォワードプロキシが、少なくともＨＴＴＰプロキシとして動作し、かつ、前記コンポーネントを介して、前記デバイスに関連するエンティティを認証するステップが、クライアント証明書を使用するステップを含む、ことを特徴とする請求項１３に記載のコンピュータ記憶媒体。
【請求項１５】
前記フォワードプロキシからクッキーを受け取るステップであって、前記クッキーは、前記セキュリティコンポーネントにより前記エンティティが先に認証されたことを示すステップ、をさらに含むことを特徴とする請求項１３に記載のコンピュータ記憶媒体。
【請求項１６】
前記コンポーネントを介して前記クッキーを操作するステップをさらに含み、前記クッキーを操作するステップが、前記クッキーを記憶するステップと、前記第２のネットワークを介してアクセス可能なリソースを求める後に続く要求において、前記クッキーを送るステップと、を含むことを特徴とする請求項１５に記載のコンピュータ記憶媒体。
【請求項１７】
前記エンティティは、前記デバイスおよび／またはユーザを含むことを特徴とする請求項１２に記載のコンピュータ記憶媒体。
【請求項１８】
コンピュータ環境における装置であって、
第１のネットワークを介して利用可能なリソースへのアクセスを獲得しようとするエンティティの認証と併せて利用するための、認証プロトコルを判定するよう動作可能なプロトコルセレクタ（３１５）と、
前記エンティティに関連するデバイスを介して、前記認証プロトコルを使用して前記エンティティを認証するよう動作可能なクライアントコンポーネント（３２０）と、
第２の識別システムとの信頼関係を有する第１の識別システムから、前記エンティティの識別子を取得するよう動作可能なアイデンティティバリデータ（３２５）であって、前記第１の識別システムは前記第１のネットワーク上に存在し、前記第２の識別システムは第２のネットワーク上に存在する、アイデンティティバリデータと、
前記エンティティが認証されるかどうかをフォワードプロキシに対して示すよう動作可能なプロキシインフォーマ（３３０）であって、前記フォワードプロキシは、１つまたは複数のネットワークに亘って分散される複数のフォワードプロキシのうちの１つであり、前記フォワードプロキシは、認証されるエンティティが前記１つまたは複数のネットワークを介して利用可能なリソースにアクセスすること、を許可するよう構成される、プロキシインフォーマと
を備えることを特徴とする装置。
【請求項１９】
前記エンティティと、前記第１のネットワークを介して利用可能な、前記エンティティによりアクセスされるリソースと、を識別する情報を記憶するよう動作可能な履歴トラッカをさらに備えることを特徴とする請求項１８に記載の装置。
【請求項２０】
前記エンティティと前記アクセスされるリソースとを識別する形式で、前記情報を提供するよう動作可能な報告コンポーネントをさらに備えることを特徴とする請求項１９に記載の装置。
【請求項１】
コンピュータにより少なくとも一部が実装される方法であって、
セキュリティコンポーネントにおいて、デバイスから送られるメッセージを受け取るステップ（４２０）であって、前記セキュリティコンポーネントは、前記デバイスと前記デバイスがアクセスしようとするリソースとの間に論理的に存在するフォワードプロキシと関連付けられる、ステップと
前記セキュリティコンポーネントを介して、前記デバイスに関連するエンティティを認証するステップ（４３０）と、
クッキーを前記デバイスに送るステップ（４３５）であって、前記クッキーは、前記セキュリティコンポーネントにより前記エンティティが先に認証されたことを示し、前記デバイスは、前記フォワードプロキシを介してアクセス可能なリソースを求める後に続く要求と共に前記クッキーを提示する、ステップと
を含むことを特徴とする方法。
【請求項２】
前記フォワードプロキシが少なくともＨＴＴＰプロキシとして動作し、かつ、前記デバイスに関連するエンティティを認証するステップが、前記フォワードプロキシと前記デバイスと間のセキュアな接続を確立するステップを含む、ことを特徴とする請求項１に記載の方法。
【請求項３】
前記セキュアな接続が、セキュアソケットレイヤ接続を含むことを特徴とする請求項２に記載の方法。
【請求項４】
前記セキュアな接続が、トランスポートレイヤセキュリティ接続を含むことを特徴とする請求項２に記載の方法。
【請求項５】
前記フォワードプロキシが、少なくともＨＴＴＰプロキシとして動作し、かつ、前記デバイスに関連するエンティティを認証するステップが、クライアント証明書を使用するステップを含む、ことを特徴とする請求項１に記載の方法。
【請求項６】
前記クッキーが、前記エンティティに関連するアイデンティティを示し、前記アイデンティティは、前記デバイスに関連する前記エンティティに関連するビジネスエンティティにより制御されるネットワーク上の前記エンティティを識別することを特徴とする請求項１に記載の方法。
【請求項７】
前記クッキーが、前記エンティティに関連するポリシー情報を含み、前記ポリシー情報は、前記後に続く要求のためのポリシーの強化に使用可能であることを特徴とする請求項１に記載の方法。
【請求項８】
前記クッキーの有効期限を確立するステップであって、前記クッキーは、有効期限が切れた後は認証には有効でなくなるステップ、をさらに含むことを特徴とする請求項１に記載の方法。
【請求項９】
前記デバイスにより識別子と共に送られる後に続く要求の履歴を記憶するステップをさらに含むことを特徴とする請求項６に記載の方法。
【請求項１０】
フォワードプロキシにローカルな第１のネットワーク上に配置される第１の識別システムと、前記第１のネットワークの外部のネットワーク上の第２の識別システムとの間に信頼関係を確立するステップをさらに含むことを特徴とする請求項１に記載の方法。
【請求項１１】
前記信頼関係を確立するステップが、前記第１の識別システムと前記第２の識別システムとの間で認証情報を同期させるステップを含むことを特徴とする請求項１０に記載の方法。
【請求項１２】
コンピュータ実行可能命令を有するコンピュータ記憶媒体であって、前記命令は実行されるときに、
第１のネットワークに属するデバイスに関連するエンティティから、第２のネットワークからのリソースにアクセスする要求を送信するステップ（５１０）と、
前記デバイス上でホストされるコンポーネントにおいて前記要求を受け取るステップ（５１５）であって、前記コンポーネントは、前記デバイスと前記第２のネットワークとの間のトラフィックを監視する、ステップと、
前記第２のネットワークに前記要求を送る前に、前記コンポーネントを介して前記エンティティを認証するステップ（５２０）と、
フォワードプロキシに前記要求を送るステップ（５２５）と
を含む動作を実行することを特徴とするコンピュータ記憶媒体。
【請求項１３】
前記コンポーネントを介して、前記デバイスに関連するエンティティを認証するステップが、前記第２のネットワークに属する前記フォワードプロキシに関連するセキュリティコンポーネントと通信するステップであって、前記フォワードプロキシが、前記デバイスと前記第２のネットワークとの間に論理的に存在するステップ、を含むことを特徴とする請求項１２に記載のコンピュータ記憶媒体。
【請求項１４】
前記フォワードプロキシが、少なくともＨＴＴＰプロキシとして動作し、かつ、前記コンポーネントを介して、前記デバイスに関連するエンティティを認証するステップが、クライアント証明書を使用するステップを含む、ことを特徴とする請求項１３に記載のコンピュータ記憶媒体。
【請求項１５】
前記フォワードプロキシからクッキーを受け取るステップであって、前記クッキーは、前記セキュリティコンポーネントにより前記エンティティが先に認証されたことを示すステップ、をさらに含むことを特徴とする請求項１３に記載のコンピュータ記憶媒体。
【請求項１６】
前記コンポーネントを介して前記クッキーを操作するステップをさらに含み、前記クッキーを操作するステップが、前記クッキーを記憶するステップと、前記第２のネットワークを介してアクセス可能なリソースを求める後に続く要求において、前記クッキーを送るステップと、を含むことを特徴とする請求項１５に記載のコンピュータ記憶媒体。
【請求項１７】
前記エンティティは、前記デバイスおよび／またはユーザを含むことを特徴とする請求項１２に記載のコンピュータ記憶媒体。
【請求項１８】
コンピュータ環境における装置であって、
第１のネットワークを介して利用可能なリソースへのアクセスを獲得しようとするエンティティの認証と併せて利用するための、認証プロトコルを判定するよう動作可能なプロトコルセレクタ（３１５）と、
前記エンティティに関連するデバイスを介して、前記認証プロトコルを使用して前記エンティティを認証するよう動作可能なクライアントコンポーネント（３２０）と、
第２の識別システムとの信頼関係を有する第１の識別システムから、前記エンティティの識別子を取得するよう動作可能なアイデンティティバリデータ（３２５）であって、前記第１の識別システムは前記第１のネットワーク上に存在し、前記第２の識別システムは第２のネットワーク上に存在する、アイデンティティバリデータと、
前記エンティティが認証されるかどうかをフォワードプロキシに対して示すよう動作可能なプロキシインフォーマ（３３０）であって、前記フォワードプロキシは、１つまたは複数のネットワークに亘って分散される複数のフォワードプロキシのうちの１つであり、前記フォワードプロキシは、認証されるエンティティが前記１つまたは複数のネットワークを介して利用可能なリソースにアクセスすること、を許可するよう構成される、プロキシインフォーマと
を備えることを特徴とする装置。
【請求項１９】
前記エンティティと、前記第１のネットワークを介して利用可能な、前記エンティティによりアクセスされるリソースと、を識別する情報を記憶するよう動作可能な履歴トラッカをさらに備えることを特徴とする請求項１８に記載の装置。
【請求項２０】
前記エンティティと前記アクセスされるリソースとを識別する形式で、前記情報を提供するよう動作可能な報告コンポーネントをさらに備えることを特徴とする請求項１９に記載の装置。
【図１】
【図２】
【図３】
【図４】
【図５】
【図２】
【図３】
【図４】
【図５】
【公表番号】特表２０１１−５２２３２６（Ｐ２０１１−５２２３２６Ａ）
【公表日】平成２３年７月２８日（２０１１．７．２８）
【国際特許分類】
【出願番号】特願２０１１−５１１６６４（Ｐ２０１１−５１１６６４）
【出願日】平成２１年３月２７日（２００９．３．２７）
【国際出願番号】ＰＣＴ／ＵＳ２００９／０３８６７３
【国際公開番号】ＷＯ２００９／１５１７３０
【国際公開日】平成２１年１２月１７日（２００９．１２．１７）
【出願人】（５０００４６４３８）マイクロソフト コーポレーション (3,165)
【Ｆターム（参考）】
【公表日】平成２３年７月２８日（２０１１．７．２８）
【国際特許分類】
【出願日】平成２１年３月２７日（２００９．３．２７）
【国際出願番号】ＰＣＴ／ＵＳ２００９／０３８６７３
【国際公開番号】ＷＯ２００９／１５１７３０
【国際公開日】平成２１年１２月１７日（２００９．１２．１７）
【出願人】（５０００４６４３８）マイクロソフト コーポレーション (3,165)
【Ｆターム（参考）】
[ Back to top ]