拡張可能かつセキュアな遠隔デスクトップアクセスのための方法および装置
本発明は、物理アクセス制限手段の局面に従来のコンピュータアクセス制限手段を組み合わせることによって、ネットワーク化されたリソースへの遠隔アクセスを提供する、拡張可能かつセキュアかつ容易に管理可能な方法およびシステムを提供することである。本方法およびシステムは、登録ルールを特定する登録管理システムと；特定した登録ルールによって許可された場合において、第１のネットワーク化されたリソースの登録を可能にするために登録管理システムと通信するように構成された登録システムと；ユーザが第１のネットワーク化されたリソースの登録に成功した場合において、ユーザに、第１のネットワーク化されたリソースへの遠隔アクセスを許可する遠隔アクセスシステムとを利用する。
【発明の詳細な説明】
【技術分野】
【０００１】
（関連出願）
本願は、米国特許出願第１０／６８３，５４４号（２００３年１０月１０日出願）の利益を主張し、その内容は、本明細書において援用する。
【０００２】
（技術分野）
本発明は、概して、コンピュータネットワーク化に関し、より詳しくは、コンピュータデスクトップへの遠隔アクセスを許可するセキュアな方法に関する。
【背景技術】
【０００３】
多くの企業のコンピュータユーザは、通常、ユーザの計算要求に対して、ユーザのパーソナルオフィスコンピュータのハードディスクに記憶されたアプリケーションおよびファイルに頼る。しかし、これらのコンピュータの大部分は、携帯可能性に欠け、携帯可能である場合でも、ユーザのパーソナルオフィスコンピュータに利用可能なリソースへの適切なアクセスを提供し得ない。
【０００４】
コンピュータユーザに遠隔デバイス（例えば、ホームコンピュータまたはラップトップ）からのユーザのパーソナルオフィスコンピュータのリソースへのアクセスを提供するために、プログラマーは、ホストと呼ばれるコンピュータのリソースに、クライアントと呼ばれる第２の、遠隔のデバイスから、遠隔のアクセスをするための種々の技術を開発してきた。そのような技術を用いて、遠隔ユーザのクライアントディスプレイは、ユーザがホストのディスプレイを実際に見ているかのように、ホストコンピュータのディスプレイ上に見え得るものを表示する。さらに、遠隔アクセスソフトウェアは、遠隔ユーザが、クライアントの入力デバイス（例えば、キーボードまたはマウス）を用いて、ユーザがホストの入力デバイスを使用しているかのように、ホストコンピュータとインタラクトすることを可能にする。ユーザの入力によって開始された計算は、ホストコンピュータによって実行され、その結果は、クライアントディスプレイがホストディスプレイであるかのように、クライアントディスプレイ上に表示される。
【０００５】
これらの技術は制限された規模では成功し、有用であるが、大規模な企業システムでは管理上の負荷を提示し得る。大規模な企業システムでは、多数のネットワーク化されたリソースへの多数のユーザに対するセキュアかつ制限されたアクセスを必要する。一部のシステムは、ユーザまたはリソースのグループに適用される広範なアクセスルールの仕様を可能にするが、典型的には、個人または個々のリソースにアクセス制限を課さない。一部のシステムは、典型的にはシステム管理者が各ユーザ、全ユーザ、各リソースおよび全リソースに対するアクセス制限を特定する必要がある個々の許可をベースとした方法を有する。前者の方法は、アクセスルールが過剰に広くなる傾向にあるので、多くの場合不十分なセキュリティを提供し、後者の方法は、通常は、大規模なシステムにおいて著しく高レベルの管理オーバーヘッドを必要とする。
【発明の開示】
【課題を解決するための手段】
【０００６】
（発明の概要）
本発明の課題の一つは、物理アクセス制限手段の局面に従来のコンピュータアクセス制限手段を組み合わせることによって、ネットワーク化されたリソースへの遠隔アクセスを提供する、拡張可能かつセキュアかつ容易に管理可能な方法およびシステムを提供することである。
【０００７】
一局面では、本発明は、コンピュータネットワークを管理する方法に関する。この方法は、登録ルールを特定する登録管理システムと、特定した登録ルールによって許可された場合において、第１のネットワーク化されたリソースの登録を可能にするために登録管理システムと通信するように構成された登録システムとを提供することを含む。この方法は、ユーザが第１のネットワーク化されたリソースの登録に成功した場合において、ユーザに、第１のネットワーク化されたリソースへの遠隔のアクセスを許可する遠隔アクセスシステムを提供することも含む。一実施形態では、ネットワーク化されたリソースはコンピュータである。
【０００８】
一実施形態では、遠隔アクセスシステムは、第１のネットワーク化されたリソースへのインストレーションが提供される。別の実施形態では、遠隔アクセスシステムは、共有のネットワークリソースへのインストレーションが提供される。この実施形態では、遠隔アクセスシステムは、特定した登録ルールと、第１および第２のネットワーク化されたリソースのユーザの登録とに従って、第１のネットワーク化されたリソースと第２のネットワーク化されたリソースとへの遠隔アクセスを許可する。別の実施形態では、遠隔アクセスシステムは、第１のネットワーク化されたリソースに登録していないユーザに対して遠隔アクセスを認めない。さらなる実施形態では、上記遠隔アクセスは、第１のネットワーク化されたリソースのデスクトップへの遠隔アクセスを含む。
【０００９】
別の実施形態では、この登録システムは、遠隔のコンソールからの第１のネットワークリソースの登録を否認する。別の実施形態では、この登録システムは、第１のネットワーク化されたリソースに物理的に接続されたコンソールからの、第１のネットワーク化されたリソースの登録を必要とする。さらに別の実施形態では、この登録システムはネットワークアプリケーションである。一実施形態では、この方法は、第１のネットワーク化されたリソースを登録しようと試みるユーザの位置を決定するロケータシステムを提供することをさらに含む。さらなる実施形態では、第１のネットワーク化されたリソースの登録は、決定した位置にさらに従う。
【００１０】
別の局面では、本発明は、登録ルールを特定する登録管理システムを含んだコンピュータシステムに関する。このコンピュータシステムは、登録管理システムと通信するように構成された第１のネットワーク化されたリソースと、通信チャネル（例えば、ネットワーク）を介して第１のネットワーク化されたリソースと通信するように構成された遠隔デバイスとも含む。さらに、このコンピュータシステムは、特定した登録ルールによって許可された場合において第１のネットワーク化されたリソースを登録する登録システムと、第１のネットワーク化されたリソースの登録に成功した場合において、遠隔デバイスのユーザに、第１のネットワーク化されたリソースへの遠隔のアクセスを許可する遠隔アクセスシステムとをさらに含む。一実施形態では、このコンピュータシステムは、ユーザが登録したネットワーク化されたリソースのリストを記憶する登録データベースも含む。
【００１１】
さらに別の局面では、本発明は、登録ルールを特定することと、特定した登録ルールによって許可された場合において第１のネットワーク化されたリソースを登録することとを含んだネットワーク管理方法に関する。この方法は、ユーザが第１のネットワーク化されたリソースの登録に以前成功した場合では、遠隔デバイスからの第１のネットワーク化されたリソースへのユーザ遠隔アクセスを許可することと、そうでない場合では、遠隔デバイスからの第１のネットワーク化されたリソースへのユーザアクセスを認めないこととも含む。一実施形態では、登録ルールを特定することは、複数のユーザのグループを規定することと、複数のネットワーク化されたリソースのグループを規定することと、ユーザの一グループが登録を許可されたネットワーク化されたリソースのグループを特定することとを含む。
【００１２】
上記の議論は、添付の図面とあわせた下記の本発明の詳細な説明からより容易に理解される。
【発明を実施するための最良の形態】
【００１３】
現実の世界では、リソースは、物理アクセス制限をインプリメントすることによって保護される。ファイルキャビネットはロックされ、保管室は密閉され、オフィスのドアは閉じられる。これらのいずれの場合でも、鍵を持っているだけでは、キャビネット、保管室またはオフィス内のリソースにアクセスするには十分でない。鍵を持っていて、同時に、キャビネット、保管室またはオフィスに実際に存在する必要がある。しかし、従来のネットワーク化されたコンピュータ環境では、アクセス制限における改善は、より複雑なロックおよび鍵（例えば、ユーザパスワード／ＰＩＮシステム、バイオメトリック識別照合、音声照合など）の作成に焦点が当てられており、物理アクセス制限が提供し得るセキュリティ上の利益をほとんど無視していた。すなわち、多くのコンピュータシステムに対しては、ユーザが適切な「鍵」を有する場合において、ユーザが、実際に、リソースの近傍に物理的に存在する必要なしに、ネットワーク化されたリソースにアクセスし得る。本発明の課題の一つは、物理アクセス制限手段の局面に従来のコンピュータアクセス制限手段を組み合わせることによって、ネットワーク化されたリソースへの遠隔アクセスを提供する、拡張可能かつセキュアかつ容易に管理可能な方法およびシステムを提供することである。そのような組み合わせは、関連したさらなる管理コストを負担することなしにルールがベースのアクセス制限の低オーバーヘッドの利点と、個々の許可をベースとした個別セキュリティの利点とを組み合わせる。
【００１４】
図１を参照すると、第１のネットワーク化されたリソース１００は、特定の位置（例えば、オフィス）内に物理的に位置する。ネットワーク化されたリソースとしては、例えば、デスクトップコンピュータ、ワークステーション、ラップトップ、ハンドヘルドコンピュータ、携帯電話、パーソナルデジタルアシスタント、および、ネットワークケーブル、プリンタ、記憶デバイス、周辺装置などであるコンピュータデバイスが挙げられ得、データ、アプリケーション、性能がリソース上で入手可能であるか、リソースから入手可能である。第１のネットワーク化されたリソース１００は、ネットワーク１０６を介して別のネットワーク化されたリソース１０４へのアクセスを有し得る。遠隔デバイス１０２は、通信リンク１０８（例えば、コンピュータネットワーク）を介して、第１のネットワーク化されたリソース１００と通信状態にある。遠隔デバイス１０２は、コンピュータ（例えば、ワークステーション、デスクトップコンピュータ、ラップトップ、ハンドヘルドコンピュータ、または、通信可能であり本明細書に記載の動作を実行するのに十分なプロセッサ能力およびメモリ性能を有する別種のコンピュータデバイスもしくは通信デバイス（例えば、携帯電話またはパーソナルデジタルアシスタント））であり得る。通信リンク１０８は、種々の適切な技術を用いて、例えば、標準的な電話線、ＬＡＮまたはＷＡＮリンク（例えば８０２．１１、Ｔ１、Ｔ３、５６ｋｂまたはＸ．２５プロトコルを用いたリンク）、ブロードバンド接続（例えば、ＩＳＤＮ、フレームリレーまたはＡＴＭプロトコルを用いた接続）、無線接続、または上記の任意組み合わせもしくは全てを組み合わせたものを介して、インプリメントされ得る。
【００１５】
本発明の例示的な実施形態では、第１のネットワーク化されたリソース１００は、ホストとしての機能を果たすコンピュータであり、遠隔デバイス１０２はクライアントとしての機能を果たす。遠隔デバイス１０２のユーザは、そのユーザが第１のネットワーク化されたリソース１００のデスクトップへのアクセスを有するように、第１のネットワーク化されたリソース１００へのアクセスが許可される。すなわち、第１のネットワーク化されたリソース１００のサービスへのアクセスを有するのみではなく、遠隔デバイス１０２のディスプレイは、第１のネットワーク化されたリソース１００のコンソールモニタ上にユーザが見うるものを表示する。同様に、ユーザは、遠隔デバイス１０２から第１のネットワーク化されたリソース１００への入力（例えば、キーボードおよびマウス入力）を提供し得て、その入力は、第１のネットワーク化されたリソースに物理的に接続されたコンソールからそのような入力がなされたかのように、第１のネットワーク化されたリソース１００によって解釈される。
【００１６】
そのようなある実施形態では、遠隔アクセスは、第１のネットワーク化されたリソース１００上のＦｔ．Ｌａｕｄｅｒｄａｌｅ、ＦｌｏｒｉｄａのＣｉｔｒｉｘ Ｓｙｓｔｅｍｓ， Ｉｎｃ．によって製造されているＭｅｔａＦｒａｍｅ Ｐｒｅｓｅｎｔａｔｉｏｎ Ｓｅｒｖｅｒ（登録商標）を、遠隔デバイス１０２上のＣｉｔｒｉｘのＩｎｄｅｐｅｎｄｅｎｔ Ｃｏｍｐｕｔｉｎｇ Ａｒｃｈｉｔｅｃｔｕｒｅ（登録商標）（ＩＣＡ）とともに用いて、達成される。
【００１７】
代替実施形態では、遠隔アクセスは、Ｒｅｍｏｔｅ Ｄｅｓｋｔｏｐソフトウェアによって提供される。Ｒｅｍｏｔｅ Ｄｅｓｋｔｏｐは、Ｒｅｄｍｏｎｄ、ＷａｓｈｉｎｇｔｏｎのＭｉｃｒｏｓｏｆｔ Ｃｏｒｐｏｒａｔｉｏｎによって製造されているＷｉｎｄｏｗｓ（登録商標）ＸＰ Ｐｒｏｆｅｓｓｉｏｎａｌオペレーティングシステムに含まれている特徴である。そのオペレーティングシステムは、ホストコンピュータ（例えば、第１のネットワーク化されたリソース１００）が、Ｒｅｍｏｔｅ Ｄｅｓｋｔｏｐクライアントソフトウェアがインストールされたクライアント（例えば、遠隔デバイス１０２）に、ホストのデスクトップへのアクセスを提供することを可能にする。Ｒｅｍｏｔｅ Ｄｅｓｋｔｏｐクライアントソフトウェアは、Ｗｉｎｄｏｗｓ（登録商標）ＸＰオペレーティングシステムに含まれており、Ｗｉｎｄｏｗｓ（登録商標）９５、Ｗｉｎｄｏｗｓ（登録商標）９８、Ｗｉｎｄｏｗｓ（登録商標）Ｍｅ、Ｗｉｎｄｏｗｓ（登録商標）ＮＴ４．０またはＷｉｎｄｏｗｓ（登録商標）２０００オペレーティングシステムを実行するコンピュータに利用可能である。Ｒｅｍｏｔｅ Ｄｅｓｋｔｏｐは、ＲＤＰとしても知られるＲｅｍｏｔｅ Ｄｅｓｋｔｏｐ Ｐｒｏｔｏｃｏｌを用いて、ホストとクライアント間を通信する。
【００１８】
本発明の実施形態が、別の適切なソフトウェアおよび通信プロトコルを用いてインプリメントされ得るということは理解されるべきである。例えば、ホストは、標準的なインターネットプロトコル（例えば、ＨＴＴＰ）を用いてクライアントがログオンし得るウェブサーバを操作し得る。遠隔デスクトップアクセス用の別のシステムとしては、Ｃｕｐｅｒｔｉｎｏ， ＣａｌｉｆｏｒｎｉａのＳｙｍａｎｔｅｃ Ｃｏｒｐｏｒａｔｉｏｎによって製造されているｐｃＡｎｙｗｈｅｒｅ（登録商標）が挙げられる。
【００１９】
遠隔デスクトップアクセスを許可することに加えて、またはその許可をする代わりに、本発明の別の実施形態は、ネットワーク化されたリソースへのさらに限定された遠隔アクセスを提供する。例えば、一実施形態では、本発明は、コンピュータ上に記憶されたファイルへの遠隔アクセスを提供する。別の実施形態では、本発明は、リソースに記憶されたデータファイルではなく、リソースに記憶されたアプリケーションへの遠隔アクセスを提供する。別の実施形態では、本発明は、プリンタ、ディスプレイまたは別の出力デバイスへの遠隔アクセスを提供する。
【００２０】
別の実施形態では、本発明は、制限された遠隔デスクトップアクセスのみを提供する。例えば、ユーザは、ユーザがアクセスしているデスクトップのコンピュータ上に物理的に記憶されたファイルにアクセス可能であり得るが、デスクトップを介した別のネットワーク化されたリソース（例えば、ファイルサーバ）へのアクセスは、制限されている。
【００２１】
図２を参照すると、例示的なコンピュータシステム２００は、複数のネットワーク化されたリソースを含み、図中では、例示的なコンピュータＴｅｒｍＡ ２０２、ＴｅｒｍＢ ２０４、ＴｅｒｍＣ ２０６、ＣＡＤ Ａ ２０８、ＣＡＤ Ｂ ２１０、ＣＡＤ Ｃ ２１２、ＡｄｍｉｎＡ ２１４、ＡｄｍｉｎＢ ２１６、ＡｄｍｉｎＣ ２１８が示されており、それらをまとめて「コンピュータ」と呼ぶ。コンピュータ２０２、２０４、２０６、２０８、２１０、２１２、２１４、２１６および２１８は、空間的に近接していてもよく、分散していてもよい。例えば、コンピュータシステム２００内の一部のコンピュータまたは全コンピュータは、コンピュータシステム内の別のコンピュータと異なった位置に配置され得る。例えば、Ｔｅｒｍ ２０２は、ＴｅｒｍＢ ２０４、別のコンピュータ２０６、２０８、２１０、２１２、２１４、２１６および２１８と離れていてもよい。
【００２２】
しかし、図に示すように、コンピュータＴｅｒｍＡ ２０２、ＴｅｒｍＢ ２０４、ＣＡＤＣ ２１２およびＡｄｍｉｎＣ ２１８は第１のビル２２０内に配置されており、コンピュータＴｅｒｍＣ ２０６、ＣＡＤ Ａ ２０８、ＣＡＤ Ｂ ２１０、ＡｄｍｉｎＡ ２１４およびＡｄｍｉｎＢ ２１６は第２のビル２２２内に配置されている。コンピュータ２０２、２０４、２０６、２０８、２１０、２１２、２１４、２１６および２１８は、企業級ネットワーク２２４を介して互いに接続されている。コンピュータシステム２００はまた、遠隔デバイス２０１が、コンピュータ２０２、２０４、２０６、２０８、２１０、２１２、２１４、２１６および２１８ならびにネットワーク化されたリソースのうちの１つにアクセスするために、ネットワーク２２４に接続するようなアクセスを提供する。遠隔デバイス２０１は、コンピュータシステム２００の一部であってもよく、そのシステムの外部にあってもよく、通信リンク２０３を介してコンピュータタシステム２００に接続する。
【００２３】
コンピュータネットワーク２００は、アクセス管理システム２２６を含む。概して、アクセス管理システム２２６は、ネットワーク化されたリソースにアクセスしそのリソースを使用するユーザの能力を決定し管理するために用いられる複数の関連システムの論理集合である。各システムは、第１のビル２２０または第２のビル２２２内のコンピュータ、第３のビル（図示せず）内に位置するコンピュータ、上述したコンピュータ２０２、２０４、２０６、２０８、２１０、２１２、２１４、２１６および２１８のいずれかのコンピュータ、または上記のコンピュータのうちのいずれかまたは全体にわたり分散したコンピュータ上に位置し得かつ／または、そのコンピュータ上で実行され得る。
【００２４】
アクセス管理システム２２６は、登録ルールを特定する登録管理システム２２８を含む。一実施形態では、登録管理システム２２８は、別のインプリメンテーションも可能であるが、上記のようなルールを特定するための、システム管理者に利用可能にされたソフトウェアモジュールまたはプログラムである。登録ルールは、ネットワークリソースの個々のリソースまたはリソースのグループを登録するように許可されたユーザまたはユーザのグループを特定する。ここで、登録は、後の遠隔デバイス１０２からのネットワークリソースへのアクセスのための承認を得る動作である。システム管理者は、一人以上のユーザのグループを規定し、ネットワーク化されたリソースのグループを規定し、どのユーザのグループ（単数または複数）がどのネットワーク化されたリソースのグループ（単数または複数）に登録することを許可されたかを特定することによって、登録ルールを特定する。
【００２５】
グループの規定およびルールの特定を容易にするために、一実施形態では、登録管理システム２２８はグラフィカルユーザインタフェースを提供し、そのインタフェースは、システム管理者がユーザおよびリソースをグループにドラッグアンドドロップし、グループを登録ルールにドラッグアンドドロップすることを可能にする。別の実施形態では、グラフィカルユーザインタフェースは、システム管理者が、ユーザ、リソースおよびグループのリストから、グループおよびルールを構築することを可能にする、ポイントアンドクリックインタフェースを提供する。さらに別の実施形態では、システム管理者は、ユーザまたはリソース識別子（例えば、名前、ユーザ名、電子メールアドレス、従業員番号、ＩＰアドレス、リソース名など）のリストをタイプすることによって、グループを構築する。どのインタフェースが用いられても、インタフェースは、ユーザまたはリソースをグループから取り除くか、別のグループにシフトすることを可能にし、ルールを変更することを可能にする。
【００２６】
さらなる実施形態では、管理者は、以前に規定したグループを用い得る。巨大な組織は、多くの場合、別の計算用途用に規定されたユーザおよびリソースのグループを有する。そのようなグループは、例えば、種々のドメイン、Ａｃｔｉｖｅ Ｄｉｒｅｃｔｏｒｙまたは軽量ディレクトリアクセスプロトコル（ＬＤＡＰ）ディレクトリを用いて、規定される。リソースのグループは、ＩＰアドレスの範囲を提供することによっても規定され得る。
【００２７】
一実施形態では、登録ルールは、別のアクセスルールと異なる。例えば、システム管理者は、ユーザのグループが遠隔アクセス用のネットワーク化されたリソースのグループを登録することを可能にする登録ルールを特定し得、ユーザは、登録されていない場合では直接遠隔アクセスを用いるようには許可されない。同様に、ネットワーク化されたリソースのグループに直接アクセスするように権限が与えられ得るユーザのグループは、そのような登録ルールが特定されていない場合では、遠隔アクセス用のネットワーク化されたリソースを登録する権限が与えられていなくあり得る。一実施形態では、登録管理システムは、登録ルールデータベース内に登録ルールを記憶する。別の実施形態では、登録管理システム２２８は、各ユーザが登録したネットワーク化されたリソースの各々を識別する登録データベースを含む。
【００２８】
アクセス管理システム２２６は、特定した登録ルールによって許可された場合において第１のネットワーク化されたリソースを登録することを許可するように、登録管理システム２２８と通信するように構成された登録システム２３０を含む。一実施形態では、登録システム２３０は、中央サーバに記憶されており、ネットワーク化されたリソースを登録するユーザの要求に応答してネットワーク化されたリソースからダウンロードされるネットワークアプリケーション（特に、ＪＡＶＡ（登録商標）アプリケーション）である。例えば、ネットワーク化されたリソースのデスクトップ上のアイコンをクリックするか、ウェブページ上のハイパーリンクをクリックするか、メニューからコンピュータを登録するように要求することによって、登録要求は開始され得る。
【００２９】
代替実施形態では、登録システム２３０はネットワーク化されたサーバに作用し、ユーザは、ＨＴＴＰ、ＨＴＭＬ、ＸＭＬまたは別の既知のネットワークプロトコルを用いたインターネットブラウザを介して、ＣＧＩ（ｃｏｍｍｏｎ ｇａｔｅｗａｙ ｉｎｔｅｒｆａｃｅ）を介した登録システム２３０と通信する。さらなる実施形態では、電子記憶媒体（例えば、フロッピー（登録商標）ディスク、ジップディスク、ＣＤ−ＲＯＭ、ＤＶＤ−ＲＯＭなど）からのネットワーク化されたリソース上に登録システム２３０を具体化するソフトウェアコードを転送することによって、登録システム２３０はネットワーク化されたリソース上にインストールされる。
【００３０】
登録システム２３０は、自身を識別するように登録を要求するユーザおよびユーザが登録を要求するリソースにインタフェースを提供する。登録システム２３０は、ユーザが実際にそのリソースの登録を許可されているかを決定するために、登録管理システム２２８と通信する。一実施形態では、その通信は、ネットワーク化されたリソースのユーザが要求する登録の識別と、ユーザが登録を要求しているネットワーク化されたリソースの識別とを含んだ登録管理システム２２８にメッセージを送ることを含む。一実施形態では、その通信は、例えばＳＱＬ（Ｓｔｒｕｃｔｕｒｅｄ Ｑｕｅｒｙ Ｌａｎｇｕａｇｅ）を用いて、登録管理システム２２８にデータベースクエリを伝送することを含み、その結果は、ユーザがリソースの登録を許可されているか否かを示すブール値である。別の実施形態では、通信は、登録管理システム２２８において実行される遠隔手順呼び出し（ｃａｌｌ）を含む。さらなる実施形態では、通信は、登録管理システム２２８によって解釈されるビジネスロジックコマンドを伝送することを含む。
【００３１】
さらに別の実施形態では、登録管理システム２２８は、最新の登録ルールデータベースを登録システム２３０に送る。この実施形態では、最新の登録ルールデータベースを受けた後において、登録システム２３０は、ユーザがデータベースの登録を許可されているかを決定するために、登録ルールデータベースに照会する（例えばＳＱＬを用いて）。通信は、種々の有線接続（例えば、ＴＣＰ／ＩＰ、ＩＳＤＮ、フレームリレーまたはＡＴＭプロトコルを用いた接続）および無線接続または上記の一部の組合せまたは全部の組合せを介して、実行され得る。
【００３２】
一実施形態では、登録システム２３０は、ユーザの識別を確認することも担う。ユーザ識別の確認は、例えば、ユーザネーム−パスワード／ＰＩＮの組合せを集めること、ユーザのバイオメトリックなデータを集めること、ユーザの音声のサンプルを集めることなどによって、行われ得る。
【００３３】
アクセス管理システム２２６は、ユーザが第１のネットワーク化されたリソースの登録に成功した場合において、第１のネットワーク化されたリソースへの遠隔アクセスを許可する遠隔アクセスシステム２３２を含む。一実施形態では、アクセス管理システム２２６は、ネットワーク化されたリソースの個々のリソースまたはリソースのグループへの遠隔アクセスを制御することに加え、ネットワークへの一般的なアクセス（換言すると、特定のリソースへのアクセスではないアクセス）を制御する。一実施形態では、遠隔アクセスシステム２３２は、中央ネットワークサーバ上で動作するソフトウェアモジュールである。ユーザがネットワーク化されたリソースに遠隔からアクセスしようと試みる場合では、ユーザは、まず、中央サーバ上の遠隔アクセスシステム２３２に接触する。別の実施形態では、登録可能なネットワークリソースの各々が、インストール済みの遠隔アクセスシステム２３２のコピーを含むか、ネットワーク化されたリソースが、遠隔アクセス要求の受け取り時にサーバから登録システム２３０のコピーをダウンロードし得る。
【００３４】
一実施形態では、遠隔アクセスシステム２３２は、遠隔アクセスに対する要求を受け取り、ユーザの要求するアクセスの識別を確認し、ユーザが遠隔アクセスを要求しているネットワーク化されたリソースをユーザが登録したかを、登録管理システム２２８によって保守されている登録データベースを調べることによって、決定する。ユーザがネットワーク化されたリソースを登録した場合では、遠隔アクセスシステム２３２は、ユーザに、ネットワーク化されたリソースへのアクセスの許可を認め、そのようなアクセスが開始される。
【００３５】
上記の実施形態では、システム２２６、２２８、２３０および２３２は、ソフトウェアモジュールまたはプログラムとしてインプリメントされる。当業者には、システム機能の一部または全部が、上述した態様以外で、例えばハードウェア（例えば、特定用途向け集積回路（ＡＳＩＣ））などにおいてインプリメントされ得るということは理解されるべきである。
【００３６】
アクセス管理システム２２６のシステムの動作は、図３〜７をさらに参照することによって理解され得る。
【００３７】
図３Ａおよび図３Ｂを参照すると、システム管理者の重荷を軽減するために、システム管理者は、アクセス管理システム２２６、または、共通の特性を共有するグループにユーザおよびリソースを集めるようにその構成システムの一つを用い得る。その理由は、ネットワークリソースの数とコンピュータシステム２００のユーザ数が増加したので、各ユーザへのアクセス権利を個々に指定することはますます時間のかかるようになってきたためである。図３Ａを参照すると、コンピュータシステム２００のネットワークリソースの例示的なセット３００は、ＴｅｒｍＡ ２０２、ＴｅｒｍＢ ２０４およびＴｅｒｍＣ ２０６を含んだワークステーション３０２と、ＣＡＤ Ａ ２１４、ＣＡＤ Ｂ ２１６、ＣＡＤ Ｃ ２１８を含んだＣＡＤ端末３０４と、登録アシスタントターミナルＡｄｍｉｎＡ ２０８、ＡｄｍｉｎＢ ２１０、ＡｄｍｉｎＣ ２１２にグループ分けられ得る。図３Ｂを参照すると、コンピュータユーザの例示的なセット３０７は、以下のようなグループ分けがされ得る。Ｔａｒａ ３１４、Ｔｏｍ ３１６およびＴｅｄ ３１８は、情報技術（ＩＴ）スタッフ３０８のメンバーのとしてグループ分けされ得る。Ｅｌｌｉｅ ３２０、Ｅｒｉｃａ ３２２およびＥｄｗａｒｄ ３２４はエンジニア３１０としてグループ分けされ得る。Ａｌｅｘ ３２６、Ａｍｙ ３２８およびＡｎｄｒｅｗ ３３０は管理アシスタント３１２としてグループされ得る。
【００３８】
一実施形態では、システム管理者は、アクセス管理システム２２６を用いて、ユーザおよび／またはリソースのグループを特定し得る。一実施形態では、アクセス管理システム２２６はグラフィカルユーザインタフェースを提供し、そのインタフェースを用いて、システム管理者は、ドラッグアンドドロップまたはポイントアンドクリックして、ユーザまたはリソースをグループに加え得る。別の実施形態では、登録管理システム２２８はまた、類似のインタフェースを介してグループ管理機能を提供する。登録ルールを特定する目的で作成したグループは、別のアクセスルールを特定するために作成されたグループとは異なり得る。
【００３９】
ユーザおよびリソースのグループが規定された後において、ルールは、ユーザ３０８、１０または３１２のグループの、直接アクセスかつ／または遠隔アクセスし、ネットワークリソース３０２、３０４および３０６のグループを用いる能力を限定するように特定され得る。例えば、ＩＴスタッフ３０８のメンバー３１４、３１６および３１８は、コンピュータ２０２、２０４、２０６、２０８、２１０、２１２、２１４、２１６および２１８の保守を担うので、システム管理者は、ＩＴスタッフ３０８に、コンピュータ２０２、２０４、２０６、２０８、２１０、２１２、２１４、２１６および２１８の全コンピュータへのアクセスを提供することを望み得る。対照的に、システム管理者は、管理アシスタント３１２を、管理アシスタントターミナルにアクセスすることが出来るのみという少ない能力に限定することを望み得る。エンジニア３１０は、ワークステーション３０２、ＣＡＤターミナル３０４へのアクセスを許可され得るが、管理アシスタント３１２によって使用される管理アシスタントターミナル３０６へのアクセスは許可されなくあり得る。
【００４０】
一実施形態では、システム管理者は、個々のユーザ／リソース制限を特定せずに、ユーザのネットワーク化されたリソースへの遠隔アクセス能力を制限し得る。上述したように、コンピュータユーザは、ユーザが直接物理アクセスを達成可能なコンピュータに遠隔アクセス可能であるだけであるべきであるという仮定の下で、コンピュータシステム２００は動作する。ユーザは、ネットワーク化されたリソースへの物理アクセスを有しない場合、そのユーザは、ネットワーク化されたリソースを遠隔からアクセスすることによって、物理的なセキュリティ手段を回避可能でなくあるべきである。ここで、物理アクセス手段は、ネットワーク化されたリソースに物理的に接続されたコンソールに接続された入力デバイス（例えば、キーボード、マウス、トラックボール、マイク、タッチスクリーン、ジョイスティックなど）にアクセスする。接続は、入力デバイスが範囲の狭い無線信号を用いてリソースと通信する場合における無線通信を含み得る（例えば、無線キーボードまたはマウス）。単純な例では、エンジニア３１０は、概して、ＣＡＤターミナル３０４へのアクセスを有するが、働いているビル内のみである。エンジニアＥｌｌｉｅ ３２０は、第２のビル２２２において働いており、ＣＡＤ Ｃ ２１２への物理アクセスは有しない。その理由は、ＣＡＤ Ｃ ２１２が第１のビル２２０内に位置するからである。同様に、Ｅｌｌｉｅは、プライバシーまたはセキュリティ上の理由からワークステーション３０２、ＴｅｒｍＡ ４０２をオフィス内にロックし続ける場合、別のユーザは、そのワークステーション３０２への物理アクセスを有しない。
【００４１】
本発明の一実施形態によると、物理アクセス制限の遠隔アクセス環境へのこの拡張を実施するために、コンピュータシステム２００は、上述した登録機能を含む。すなわち、ユーザがまずネットワーク化されたリソースに登録されていない場合では、ユーザは、コンピュータシステム２００のネットワーク化されたリソースへの遠隔アクセスを取得し得ない。好適には、ユーザがネットワーク化されたリソースに物理的に接続されたコンソールに接続された入力デバイス（例えば、キーボード、マウス、マイク、ディスプレイなど）を用いて登録を要求する場合において、ユーザは、ネットワーク化されたリソースを登録するのみであり得る。このように、ユーザがそのような入力デバイスに物理的にアクセスし得ない場合では、ユーザは、ネットワークリソースを登録することができず、ネットワーク化されたリソースに遠隔からアクセスできない。
【００４２】
そのような実施形態のひとつでは、コンピュータへの直接的な物理アクセスを有するユーザの全てがコンピュータを登録し得るというわけではない。登録ルールは、どのユーザまたはユーザのグループが、どのネットワーク化されたリソースまたはネットワーク化されたリソースのグループを登録する権限が与えられているかを特定する。好適には、効率を上げるために、登録ルールは、個々のユーザ／インタフェースレベルではなくユーザ／リソースグループレベルで特定される。そのグループは、別のアクセスルールを特定するために用いられるグループと同じであってもよく、それらのグループは、異なっていてもよい。
【００４３】
図４Ａを参照すると、表４００は、例示的な登録ルールを示す。ここで、行は、ユーザのグループ３０８、３１０および３１２を表し、列は、ネットワーク化されたリソースのグループ３０２、３０４および３０６を表す。システム管理者は、例えば登録管理システム２２８を用いて、登録ルールを特定する。そのために、システム管理者は、図３Ａおよび図３Ｂに関して上述したように、複数のユーザのグループ３０８、３１０および３１２を規定し、ネットワーク化されたリソースのグループ３０２、３０４および３０６も規定する。次いで、システム管理者は、どのユーザのグループがどのネットワーク化されたリソースのグループを登録し得るかを特定する。例えば、表４００では、システム管理者は、ＩＴスタッフメンバー３０８が、ＩＴスタッフ３０８の行とネットワーク化されたリソースの各グループに対する列との交差部分における「Ｘ」によって示されるように、ワークステーション３０２、ＣＡＤターミナル３０４および管理アシスタントターミナル３０６を登録し得るということを特定した。同様に、エンジニア３１０は、ワークステーション３０２およびＣＡＤターミナル３０４を登録し得て、管理アシスタント３１２は、管理アシスタントターミナル３０６のみを登録し得る。
【００４４】
それらのルールは、上述したような表の形式で特定され得るが、コマンド、データリスト、データファイル、ＸＭＬタグ、またはルール特定用の別の適切なメカニズムの使用を介しても特定され得るということは理解されるべきである。
【００４５】
登録管理システム２２８を用いて、システム管理者は、一旦特定された登録ルールを容易に変更し得る。例えば、スタッフの変更（例えば、従業員の解雇、雇用またはシフト変更）を反映するために、システム管理者は、ユーザグループにユーザを追加し得るか、ユーザグループからユーザを取り除き得る。ネットワーク化されたリソースグループに対しても同一のことがなされ得る。全体のグループに影響を及ぼすポリシー決定は、ユーザのグループが登録を許可されているネットワーク化されたリソースのグループを変更することによって、インプリメントされ得る。例えば、表４００において登録ルールを特定したシステム管理者が、管理アシスタント３１２が全ワークステーションを登録可能にすべきであると決定した場合では、管理アシスタント３１２に対するルールは、それ相応に変更され得る。システム管理者が、１人以上のユーザまたは１つ以上のユーザのグループの１つ以上のネットワークリソースを登録する能力を取り除く場合では、影響を受けるユーザは、それらのネットワーク化されたリソースを登録することができない。一部の実施形態では、ネットワーク化されたリソースが、影響を受けたユーザによって既に登録されている場合において、登録ルールの変更によって、ネットワーク化されたリソースの非登録化がなされ得る。
【００４６】
図５を参照すると、ネットワーク化されたリソース（例えば、コンピュータ２０２、２０４、２０６、２０８、２１０、２１２、２１４、２１６および２１８）を登録する方法５００のフローチャートは、例えば上述したようなシステム管理者による、登録ルールの特定（ステップ５０２）から始まる。ユーザがネットワーク化されたリソースの登録を要求する場合（ステップ５０４）では、登録システム２３０は、ユーザの識別を確認する（ステップ５０６）。識別の確認（ステップ５０６）は、任意の識別認証手段を介して実現され得る。その手段としては、例えば、ユーザパスワードまたはＰＩＮ認証、バイオメトリック識別、音声識別などが挙げられる。
【００４７】
登録システム２３０および登録管理システム２２８は、登録ルールによって、ユーザが登録を要求しているネットワーク化されたリソースの登録が許可されているかを決定する（ステップ５０８）。例示的な実施形態では、登録システム２３０は、登録管理システム２２８に登録要求を送る。登録要求は、ユーザが登録を要求しているネットワーク化されたリソースの識別と、ユーザの識別を含む。次いで、ユーザが、当該のネットワーク化されたリソースが属するネットワーク化されたリソースのグループを登録する許可を有するグループのメンバーであるかを決定するために、登録管理システム２２８は、ネットワーク化されたリソース／ユーザのペアを登録ルールと比較する。
【００４８】
登録ルールの単一使用のコピーは、ユーザがネットワーク化されたリソースの登録を試みるたびに、登録管理システム２２８からネットワーク化されたリソースにダウンロードされ得、別のインプリメンテーションでは、ネットワーク化されたリソースは、システム管理者が登録ルールを変更したときにおいて、登録管理システム２２８によって更新される登録ルールの永続性のセットを維持し得る。これらの場合のいずれの場合でも、その後、許可確認（ステップ５０８）がネットワーク化されたリソース上で実行される。
【００４９】
ユーザがネットワーク化されたリソースを登録ルールに基づいて登録することを認められている場合において、ユーザの位置が決定される（ステップ５１０）。一実施形態では、ロケータシステムは、登録要求の送信元のネットワーク化されたリソースのＩＰアドレス（典型的には通信を構成したパケットのヘッダに含まれている）を検索し、要求の源を決定するために逆ＤＮＳ（Ｄｏｍａｉｎ Ｎａｍｅ Ｓｅｒｖｅｒ）ルックアップルーチンを実行することによって、ユーザの位置を決定する。次いで、登録管理システム２２８は、決定された登録要求源を、登録要求において識別されたネットワーク化されたリソースと比較することによって、ユーザが登録を要求しているネットワーク化されたリソースに物理的に接続されたコンソールからの、ネットワーク化されたリソースの登録をユーザが要求したか否かを、決定する（ステップ５１２）。別の実施形態では、ロケータシステムは、伝送し、要求されたリソース上のＪａｖａ（登録商標）アプレットまたはＡｃｔｉｖｅＸ（登録商標）コントロールを実行させて、ユーザがリソースに物理的に接続されているコンソールに実際にログインしたが否かを決定する。さらなる実施形態では、要求源は、伝送し、その源に自身を識別させる要求源上のＪａｖａ（登録商標）アプレットまたはＡｃｔｉｖｅＸ（登録商標）コントロールを実行させることによって、確認され得る。次いで、登録管理システム２２８は、強いた識別をユーザが登録を要求したネットワークリソースと比較する。一実施形態では、登録管理システムは、強固な要求源の識別を確保するために、先に記載した２つ以上の確認方法を組み合わせたものを実行する。
【００５０】
ユーザが登録を要求したネットワーク化されたリソースに物理的に接続されたコンソールからの登録要求をユーザが送ったということが決定された場合では（ステップ５１２）、登録管理システム２２８は、登録データベースを更新することによって、ユーザに対してネットワーク化されたリソースを登録する（ステップ５１４）。（図６の下を参照）。ユーザがネットワーク化されたリソースを登録することが、登録したルールに基づいて許可されていない場合、または、ユーザが遠隔位置からコンピュータの登録を試みていると決定された場合では、登録は認められない（ステップ５１６）。
【００５１】
代替実施形態では、登録管理システム２２８は、ユーザの位置を決定し、ユーザによるネットワーク化されたリソースの登録が登録ルールに従って許可されているかを決定する前に、登録要求の源であるネットワーク化されたリソースの登録をユーザが要求していることを確認する。さらなる実施形態では、システム管理者が、ユーザのグループがネットワーク化されたリソースを遠隔から登録することを可能にするか、遠隔から登録され得るリソースのグループを特定することを可能にする登録ルールを、登録管理システム２２８は特定することを可能にする。例えば、一実施形態では、登録ルールは、ユーザがセキュアなネットワークの一部であるファイルサーバ（またはファイルサーバの一部）を、セキュアなネットワークの一部であるがファイルサーバに物理的に接続されていないコンソールから、登録することを可能にする。
【００５２】
図６を参照すると、登録管理システム２２８は、登録されたリソースおよびユーザについての情報を維持する。このストレージは、多くの方法でインプリメントされ得、データベース内のデータファイルの形態が挙げられる。登録データベース６００のコンテンツの例示的な描画に示すように、図中では、データベース６００は、個々のユーザおよび各ネットワーク化されたリソースに対して登録データを記憶する。ユーザがネットワーク化されたリソースの登録に成功した場合（ステップ５１４）、登録は、登録データベース６００に記憶される。例えば、登録データベース６００によると、エンジニアＥｌｌｉｅ ３２０は、ＴｅｒｍＡ、ＣＡＤ ＡおよびＣＡＤ Ｂを登録している。ユーザがネットワーク化されたリソースの遠隔からのアクセスを試みる場合において、その表が調べられる。
【００５３】
図７を参照すると、ネットワーク化されたリソースへの遠隔アクセスを許可する方法７００は、登録データベース（例えば登録データベース６００）を照合することを含む。ユーザが第１のネットワーク化されたリソース１００の遠隔からのアクセスを試みる場合では、アクセスに対する要求が、遠隔アクセスシステム２３２によって受け取られる（ステップ７０２）。遠隔アクセスシステム２３２は、ユーザの識別を確認する（ステップ７０３）。これは認証とも呼ばれる。登録との関連でユーザの識別を確認することに関連して上述したように、遠隔アクセスシステム２３２は、適切な識別認証手段を用いてユーザを認証し得て、その手段としては、ユーザ名−パスワード／ＰＩＮペア、証明書、バイオメトリックデータ、ワンタイム（ｏｎｅ ｔｉｍｅ）鍵、音声サンプルなどが挙げられる。次いで、遠隔アクセスシステム２３２は、ユーザが第１のネットワーク化されたリソース１００を以前に登録したか否かを決定する（ステップ７０６）。ユーザが第１のネットワーク化されたリソースを以前に登録した場合では、遠隔アクセスシステム２３２は、第１のネットワーク化されたリソース１００へのアクセスを許可し（ステップ７０８）、登録していない場合では、遠隔アクセスシステム２３２は、第１のネットワーク化されたリソース１００への遠隔アクセスを認めない。
【００５４】
代替実施形態では、システム管理者は、ユーザがネットワーク化されたリソースに遠隔からアクセスするために用いられ得る遠隔デバイスを制限するさらなる遠隔アクセスルールを設定し得る。例えば、システム管理者は、コンピュータシステム２００に直接接続されたネットワーク化されたリソースから、ユーザまたはユーザのグループが、ネットワーク化されたリソースまたはネットワーク化されたリソースのグループへと遠隔からアクセスすることを可能にするのみのルールを特定し得る。そのようなルールの下では、例えば、Ｔａｒａ ３１４は、登録データベース６００によるとＡｄｍｉｎＣ ２１８を登録しており、ＡｄｍｉｎＡ ２１４からＡｄｍｉｎＣ ２１８に遠隔アクセス可能であるが、ＡｄｍｉｎＣ ２１８を登録したＴｅｄ ３１８は、遠隔デバイス１０２からＡｄｍｉｎＣに遠隔アクセスできない。
【００５５】
当業者は、本発明の精神または基本的な特徴から逸脱せずに、本発明が別の特定の形態で具体化され得るということは理解する。上記の実施形態は、本発明を限定するものではなく、全ての点において例示と考慮されるべきである。本発明の範囲は、上記の記載に限定されない。
【図面の簡単な説明】
【００５６】
【図１】図１は、本発明の例示的な実施形態による遠隔デスクトップアクセスの概略図である。
【図２】図２は、本発明の例示的な実施形態によるコンピュータネットワークを示す概略図である。
【図３Ａ】図３Ａは、本発明の例示的な実施形態による一セットのコンピュータネットワークリソース集合の図である。
【図３Ｂ】図３Ｂは、本発明の例示的な実施形態による一セットのコンピュータネットワークユーザ集団の図である。
【図４】図４は、本発明の例示的な実施形態による例示的な登録ルールを示す表である。
【図５】図５は、本発明の例示的な実施形態によるネットワーク化されたリソースを登録する方法のフローチャートである。
【図６】図６は、本発明の例示的な実施形態による例示的なセットの登録を示す登録データベースである。
【図７】図７は、本発明によるコンピュータへの遠隔アクセスを許可する方法のフローチャートである。
【技術分野】
【０００１】
（関連出願）
本願は、米国特許出願第１０／６８３，５４４号（２００３年１０月１０日出願）の利益を主張し、その内容は、本明細書において援用する。
【０００２】
（技術分野）
本発明は、概して、コンピュータネットワーク化に関し、より詳しくは、コンピュータデスクトップへの遠隔アクセスを許可するセキュアな方法に関する。
【背景技術】
【０００３】
多くの企業のコンピュータユーザは、通常、ユーザの計算要求に対して、ユーザのパーソナルオフィスコンピュータのハードディスクに記憶されたアプリケーションおよびファイルに頼る。しかし、これらのコンピュータの大部分は、携帯可能性に欠け、携帯可能である場合でも、ユーザのパーソナルオフィスコンピュータに利用可能なリソースへの適切なアクセスを提供し得ない。
【０００４】
コンピュータユーザに遠隔デバイス（例えば、ホームコンピュータまたはラップトップ）からのユーザのパーソナルオフィスコンピュータのリソースへのアクセスを提供するために、プログラマーは、ホストと呼ばれるコンピュータのリソースに、クライアントと呼ばれる第２の、遠隔のデバイスから、遠隔のアクセスをするための種々の技術を開発してきた。そのような技術を用いて、遠隔ユーザのクライアントディスプレイは、ユーザがホストのディスプレイを実際に見ているかのように、ホストコンピュータのディスプレイ上に見え得るものを表示する。さらに、遠隔アクセスソフトウェアは、遠隔ユーザが、クライアントの入力デバイス（例えば、キーボードまたはマウス）を用いて、ユーザがホストの入力デバイスを使用しているかのように、ホストコンピュータとインタラクトすることを可能にする。ユーザの入力によって開始された計算は、ホストコンピュータによって実行され、その結果は、クライアントディスプレイがホストディスプレイであるかのように、クライアントディスプレイ上に表示される。
【０００５】
これらの技術は制限された規模では成功し、有用であるが、大規模な企業システムでは管理上の負荷を提示し得る。大規模な企業システムでは、多数のネットワーク化されたリソースへの多数のユーザに対するセキュアかつ制限されたアクセスを必要する。一部のシステムは、ユーザまたはリソースのグループに適用される広範なアクセスルールの仕様を可能にするが、典型的には、個人または個々のリソースにアクセス制限を課さない。一部のシステムは、典型的にはシステム管理者が各ユーザ、全ユーザ、各リソースおよび全リソースに対するアクセス制限を特定する必要がある個々の許可をベースとした方法を有する。前者の方法は、アクセスルールが過剰に広くなる傾向にあるので、多くの場合不十分なセキュリティを提供し、後者の方法は、通常は、大規模なシステムにおいて著しく高レベルの管理オーバーヘッドを必要とする。
【発明の開示】
【課題を解決するための手段】
【０００６】
（発明の概要）
本発明の課題の一つは、物理アクセス制限手段の局面に従来のコンピュータアクセス制限手段を組み合わせることによって、ネットワーク化されたリソースへの遠隔アクセスを提供する、拡張可能かつセキュアかつ容易に管理可能な方法およびシステムを提供することである。
【０００７】
一局面では、本発明は、コンピュータネットワークを管理する方法に関する。この方法は、登録ルールを特定する登録管理システムと、特定した登録ルールによって許可された場合において、第１のネットワーク化されたリソースの登録を可能にするために登録管理システムと通信するように構成された登録システムとを提供することを含む。この方法は、ユーザが第１のネットワーク化されたリソースの登録に成功した場合において、ユーザに、第１のネットワーク化されたリソースへの遠隔のアクセスを許可する遠隔アクセスシステムを提供することも含む。一実施形態では、ネットワーク化されたリソースはコンピュータである。
【０００８】
一実施形態では、遠隔アクセスシステムは、第１のネットワーク化されたリソースへのインストレーションが提供される。別の実施形態では、遠隔アクセスシステムは、共有のネットワークリソースへのインストレーションが提供される。この実施形態では、遠隔アクセスシステムは、特定した登録ルールと、第１および第２のネットワーク化されたリソースのユーザの登録とに従って、第１のネットワーク化されたリソースと第２のネットワーク化されたリソースとへの遠隔アクセスを許可する。別の実施形態では、遠隔アクセスシステムは、第１のネットワーク化されたリソースに登録していないユーザに対して遠隔アクセスを認めない。さらなる実施形態では、上記遠隔アクセスは、第１のネットワーク化されたリソースのデスクトップへの遠隔アクセスを含む。
【０００９】
別の実施形態では、この登録システムは、遠隔のコンソールからの第１のネットワークリソースの登録を否認する。別の実施形態では、この登録システムは、第１のネットワーク化されたリソースに物理的に接続されたコンソールからの、第１のネットワーク化されたリソースの登録を必要とする。さらに別の実施形態では、この登録システムはネットワークアプリケーションである。一実施形態では、この方法は、第１のネットワーク化されたリソースを登録しようと試みるユーザの位置を決定するロケータシステムを提供することをさらに含む。さらなる実施形態では、第１のネットワーク化されたリソースの登録は、決定した位置にさらに従う。
【００１０】
別の局面では、本発明は、登録ルールを特定する登録管理システムを含んだコンピュータシステムに関する。このコンピュータシステムは、登録管理システムと通信するように構成された第１のネットワーク化されたリソースと、通信チャネル（例えば、ネットワーク）を介して第１のネットワーク化されたリソースと通信するように構成された遠隔デバイスとも含む。さらに、このコンピュータシステムは、特定した登録ルールによって許可された場合において第１のネットワーク化されたリソースを登録する登録システムと、第１のネットワーク化されたリソースの登録に成功した場合において、遠隔デバイスのユーザに、第１のネットワーク化されたリソースへの遠隔のアクセスを許可する遠隔アクセスシステムとをさらに含む。一実施形態では、このコンピュータシステムは、ユーザが登録したネットワーク化されたリソースのリストを記憶する登録データベースも含む。
【００１１】
さらに別の局面では、本発明は、登録ルールを特定することと、特定した登録ルールによって許可された場合において第１のネットワーク化されたリソースを登録することとを含んだネットワーク管理方法に関する。この方法は、ユーザが第１のネットワーク化されたリソースの登録に以前成功した場合では、遠隔デバイスからの第１のネットワーク化されたリソースへのユーザ遠隔アクセスを許可することと、そうでない場合では、遠隔デバイスからの第１のネットワーク化されたリソースへのユーザアクセスを認めないこととも含む。一実施形態では、登録ルールを特定することは、複数のユーザのグループを規定することと、複数のネットワーク化されたリソースのグループを規定することと、ユーザの一グループが登録を許可されたネットワーク化されたリソースのグループを特定することとを含む。
【００１２】
上記の議論は、添付の図面とあわせた下記の本発明の詳細な説明からより容易に理解される。
【発明を実施するための最良の形態】
【００１３】
現実の世界では、リソースは、物理アクセス制限をインプリメントすることによって保護される。ファイルキャビネットはロックされ、保管室は密閉され、オフィスのドアは閉じられる。これらのいずれの場合でも、鍵を持っているだけでは、キャビネット、保管室またはオフィス内のリソースにアクセスするには十分でない。鍵を持っていて、同時に、キャビネット、保管室またはオフィスに実際に存在する必要がある。しかし、従来のネットワーク化されたコンピュータ環境では、アクセス制限における改善は、より複雑なロックおよび鍵（例えば、ユーザパスワード／ＰＩＮシステム、バイオメトリック識別照合、音声照合など）の作成に焦点が当てられており、物理アクセス制限が提供し得るセキュリティ上の利益をほとんど無視していた。すなわち、多くのコンピュータシステムに対しては、ユーザが適切な「鍵」を有する場合において、ユーザが、実際に、リソースの近傍に物理的に存在する必要なしに、ネットワーク化されたリソースにアクセスし得る。本発明の課題の一つは、物理アクセス制限手段の局面に従来のコンピュータアクセス制限手段を組み合わせることによって、ネットワーク化されたリソースへの遠隔アクセスを提供する、拡張可能かつセキュアかつ容易に管理可能な方法およびシステムを提供することである。そのような組み合わせは、関連したさらなる管理コストを負担することなしにルールがベースのアクセス制限の低オーバーヘッドの利点と、個々の許可をベースとした個別セキュリティの利点とを組み合わせる。
【００１４】
図１を参照すると、第１のネットワーク化されたリソース１００は、特定の位置（例えば、オフィス）内に物理的に位置する。ネットワーク化されたリソースとしては、例えば、デスクトップコンピュータ、ワークステーション、ラップトップ、ハンドヘルドコンピュータ、携帯電話、パーソナルデジタルアシスタント、および、ネットワークケーブル、プリンタ、記憶デバイス、周辺装置などであるコンピュータデバイスが挙げられ得、データ、アプリケーション、性能がリソース上で入手可能であるか、リソースから入手可能である。第１のネットワーク化されたリソース１００は、ネットワーク１０６を介して別のネットワーク化されたリソース１０４へのアクセスを有し得る。遠隔デバイス１０２は、通信リンク１０８（例えば、コンピュータネットワーク）を介して、第１のネットワーク化されたリソース１００と通信状態にある。遠隔デバイス１０２は、コンピュータ（例えば、ワークステーション、デスクトップコンピュータ、ラップトップ、ハンドヘルドコンピュータ、または、通信可能であり本明細書に記載の動作を実行するのに十分なプロセッサ能力およびメモリ性能を有する別種のコンピュータデバイスもしくは通信デバイス（例えば、携帯電話またはパーソナルデジタルアシスタント））であり得る。通信リンク１０８は、種々の適切な技術を用いて、例えば、標準的な電話線、ＬＡＮまたはＷＡＮリンク（例えば８０２．１１、Ｔ１、Ｔ３、５６ｋｂまたはＸ．２５プロトコルを用いたリンク）、ブロードバンド接続（例えば、ＩＳＤＮ、フレームリレーまたはＡＴＭプロトコルを用いた接続）、無線接続、または上記の任意組み合わせもしくは全てを組み合わせたものを介して、インプリメントされ得る。
【００１５】
本発明の例示的な実施形態では、第１のネットワーク化されたリソース１００は、ホストとしての機能を果たすコンピュータであり、遠隔デバイス１０２はクライアントとしての機能を果たす。遠隔デバイス１０２のユーザは、そのユーザが第１のネットワーク化されたリソース１００のデスクトップへのアクセスを有するように、第１のネットワーク化されたリソース１００へのアクセスが許可される。すなわち、第１のネットワーク化されたリソース１００のサービスへのアクセスを有するのみではなく、遠隔デバイス１０２のディスプレイは、第１のネットワーク化されたリソース１００のコンソールモニタ上にユーザが見うるものを表示する。同様に、ユーザは、遠隔デバイス１０２から第１のネットワーク化されたリソース１００への入力（例えば、キーボードおよびマウス入力）を提供し得て、その入力は、第１のネットワーク化されたリソースに物理的に接続されたコンソールからそのような入力がなされたかのように、第１のネットワーク化されたリソース１００によって解釈される。
【００１６】
そのようなある実施形態では、遠隔アクセスは、第１のネットワーク化されたリソース１００上のＦｔ．Ｌａｕｄｅｒｄａｌｅ、ＦｌｏｒｉｄａのＣｉｔｒｉｘ Ｓｙｓｔｅｍｓ， Ｉｎｃ．によって製造されているＭｅｔａＦｒａｍｅ Ｐｒｅｓｅｎｔａｔｉｏｎ Ｓｅｒｖｅｒ（登録商標）を、遠隔デバイス１０２上のＣｉｔｒｉｘのＩｎｄｅｐｅｎｄｅｎｔ Ｃｏｍｐｕｔｉｎｇ Ａｒｃｈｉｔｅｃｔｕｒｅ（登録商標）（ＩＣＡ）とともに用いて、達成される。
【００１７】
代替実施形態では、遠隔アクセスは、Ｒｅｍｏｔｅ Ｄｅｓｋｔｏｐソフトウェアによって提供される。Ｒｅｍｏｔｅ Ｄｅｓｋｔｏｐは、Ｒｅｄｍｏｎｄ、ＷａｓｈｉｎｇｔｏｎのＭｉｃｒｏｓｏｆｔ Ｃｏｒｐｏｒａｔｉｏｎによって製造されているＷｉｎｄｏｗｓ（登録商標）ＸＰ Ｐｒｏｆｅｓｓｉｏｎａｌオペレーティングシステムに含まれている特徴である。そのオペレーティングシステムは、ホストコンピュータ（例えば、第１のネットワーク化されたリソース１００）が、Ｒｅｍｏｔｅ Ｄｅｓｋｔｏｐクライアントソフトウェアがインストールされたクライアント（例えば、遠隔デバイス１０２）に、ホストのデスクトップへのアクセスを提供することを可能にする。Ｒｅｍｏｔｅ Ｄｅｓｋｔｏｐクライアントソフトウェアは、Ｗｉｎｄｏｗｓ（登録商標）ＸＰオペレーティングシステムに含まれており、Ｗｉｎｄｏｗｓ（登録商標）９５、Ｗｉｎｄｏｗｓ（登録商標）９８、Ｗｉｎｄｏｗｓ（登録商標）Ｍｅ、Ｗｉｎｄｏｗｓ（登録商標）ＮＴ４．０またはＷｉｎｄｏｗｓ（登録商標）２０００オペレーティングシステムを実行するコンピュータに利用可能である。Ｒｅｍｏｔｅ Ｄｅｓｋｔｏｐは、ＲＤＰとしても知られるＲｅｍｏｔｅ Ｄｅｓｋｔｏｐ Ｐｒｏｔｏｃｏｌを用いて、ホストとクライアント間を通信する。
【００１８】
本発明の実施形態が、別の適切なソフトウェアおよび通信プロトコルを用いてインプリメントされ得るということは理解されるべきである。例えば、ホストは、標準的なインターネットプロトコル（例えば、ＨＴＴＰ）を用いてクライアントがログオンし得るウェブサーバを操作し得る。遠隔デスクトップアクセス用の別のシステムとしては、Ｃｕｐｅｒｔｉｎｏ， ＣａｌｉｆｏｒｎｉａのＳｙｍａｎｔｅｃ Ｃｏｒｐｏｒａｔｉｏｎによって製造されているｐｃＡｎｙｗｈｅｒｅ（登録商標）が挙げられる。
【００１９】
遠隔デスクトップアクセスを許可することに加えて、またはその許可をする代わりに、本発明の別の実施形態は、ネットワーク化されたリソースへのさらに限定された遠隔アクセスを提供する。例えば、一実施形態では、本発明は、コンピュータ上に記憶されたファイルへの遠隔アクセスを提供する。別の実施形態では、本発明は、リソースに記憶されたデータファイルではなく、リソースに記憶されたアプリケーションへの遠隔アクセスを提供する。別の実施形態では、本発明は、プリンタ、ディスプレイまたは別の出力デバイスへの遠隔アクセスを提供する。
【００２０】
別の実施形態では、本発明は、制限された遠隔デスクトップアクセスのみを提供する。例えば、ユーザは、ユーザがアクセスしているデスクトップのコンピュータ上に物理的に記憶されたファイルにアクセス可能であり得るが、デスクトップを介した別のネットワーク化されたリソース（例えば、ファイルサーバ）へのアクセスは、制限されている。
【００２１】
図２を参照すると、例示的なコンピュータシステム２００は、複数のネットワーク化されたリソースを含み、図中では、例示的なコンピュータＴｅｒｍＡ ２０２、ＴｅｒｍＢ ２０４、ＴｅｒｍＣ ２０６、ＣＡＤ Ａ ２０８、ＣＡＤ Ｂ ２１０、ＣＡＤ Ｃ ２１２、ＡｄｍｉｎＡ ２１４、ＡｄｍｉｎＢ ２１６、ＡｄｍｉｎＣ ２１８が示されており、それらをまとめて「コンピュータ」と呼ぶ。コンピュータ２０２、２０４、２０６、２０８、２１０、２１２、２１４、２１６および２１８は、空間的に近接していてもよく、分散していてもよい。例えば、コンピュータシステム２００内の一部のコンピュータまたは全コンピュータは、コンピュータシステム内の別のコンピュータと異なった位置に配置され得る。例えば、Ｔｅｒｍ ２０２は、ＴｅｒｍＢ ２０４、別のコンピュータ２０６、２０８、２１０、２１２、２１４、２１６および２１８と離れていてもよい。
【００２２】
しかし、図に示すように、コンピュータＴｅｒｍＡ ２０２、ＴｅｒｍＢ ２０４、ＣＡＤＣ ２１２およびＡｄｍｉｎＣ ２１８は第１のビル２２０内に配置されており、コンピュータＴｅｒｍＣ ２０６、ＣＡＤ Ａ ２０８、ＣＡＤ Ｂ ２１０、ＡｄｍｉｎＡ ２１４およびＡｄｍｉｎＢ ２１６は第２のビル２２２内に配置されている。コンピュータ２０２、２０４、２０６、２０８、２１０、２１２、２１４、２１６および２１８は、企業級ネットワーク２２４を介して互いに接続されている。コンピュータシステム２００はまた、遠隔デバイス２０１が、コンピュータ２０２、２０４、２０６、２０８、２１０、２１２、２１４、２１６および２１８ならびにネットワーク化されたリソースのうちの１つにアクセスするために、ネットワーク２２４に接続するようなアクセスを提供する。遠隔デバイス２０１は、コンピュータシステム２００の一部であってもよく、そのシステムの外部にあってもよく、通信リンク２０３を介してコンピュータタシステム２００に接続する。
【００２３】
コンピュータネットワーク２００は、アクセス管理システム２２６を含む。概して、アクセス管理システム２２６は、ネットワーク化されたリソースにアクセスしそのリソースを使用するユーザの能力を決定し管理するために用いられる複数の関連システムの論理集合である。各システムは、第１のビル２２０または第２のビル２２２内のコンピュータ、第３のビル（図示せず）内に位置するコンピュータ、上述したコンピュータ２０２、２０４、２０６、２０８、２１０、２１２、２１４、２１６および２１８のいずれかのコンピュータ、または上記のコンピュータのうちのいずれかまたは全体にわたり分散したコンピュータ上に位置し得かつ／または、そのコンピュータ上で実行され得る。
【００２４】
アクセス管理システム２２６は、登録ルールを特定する登録管理システム２２８を含む。一実施形態では、登録管理システム２２８は、別のインプリメンテーションも可能であるが、上記のようなルールを特定するための、システム管理者に利用可能にされたソフトウェアモジュールまたはプログラムである。登録ルールは、ネットワークリソースの個々のリソースまたはリソースのグループを登録するように許可されたユーザまたはユーザのグループを特定する。ここで、登録は、後の遠隔デバイス１０２からのネットワークリソースへのアクセスのための承認を得る動作である。システム管理者は、一人以上のユーザのグループを規定し、ネットワーク化されたリソースのグループを規定し、どのユーザのグループ（単数または複数）がどのネットワーク化されたリソースのグループ（単数または複数）に登録することを許可されたかを特定することによって、登録ルールを特定する。
【００２５】
グループの規定およびルールの特定を容易にするために、一実施形態では、登録管理システム２２８はグラフィカルユーザインタフェースを提供し、そのインタフェースは、システム管理者がユーザおよびリソースをグループにドラッグアンドドロップし、グループを登録ルールにドラッグアンドドロップすることを可能にする。別の実施形態では、グラフィカルユーザインタフェースは、システム管理者が、ユーザ、リソースおよびグループのリストから、グループおよびルールを構築することを可能にする、ポイントアンドクリックインタフェースを提供する。さらに別の実施形態では、システム管理者は、ユーザまたはリソース識別子（例えば、名前、ユーザ名、電子メールアドレス、従業員番号、ＩＰアドレス、リソース名など）のリストをタイプすることによって、グループを構築する。どのインタフェースが用いられても、インタフェースは、ユーザまたはリソースをグループから取り除くか、別のグループにシフトすることを可能にし、ルールを変更することを可能にする。
【００２６】
さらなる実施形態では、管理者は、以前に規定したグループを用い得る。巨大な組織は、多くの場合、別の計算用途用に規定されたユーザおよびリソースのグループを有する。そのようなグループは、例えば、種々のドメイン、Ａｃｔｉｖｅ Ｄｉｒｅｃｔｏｒｙまたは軽量ディレクトリアクセスプロトコル（ＬＤＡＰ）ディレクトリを用いて、規定される。リソースのグループは、ＩＰアドレスの範囲を提供することによっても規定され得る。
【００２７】
一実施形態では、登録ルールは、別のアクセスルールと異なる。例えば、システム管理者は、ユーザのグループが遠隔アクセス用のネットワーク化されたリソースのグループを登録することを可能にする登録ルールを特定し得、ユーザは、登録されていない場合では直接遠隔アクセスを用いるようには許可されない。同様に、ネットワーク化されたリソースのグループに直接アクセスするように権限が与えられ得るユーザのグループは、そのような登録ルールが特定されていない場合では、遠隔アクセス用のネットワーク化されたリソースを登録する権限が与えられていなくあり得る。一実施形態では、登録管理システムは、登録ルールデータベース内に登録ルールを記憶する。別の実施形態では、登録管理システム２２８は、各ユーザが登録したネットワーク化されたリソースの各々を識別する登録データベースを含む。
【００２８】
アクセス管理システム２２６は、特定した登録ルールによって許可された場合において第１のネットワーク化されたリソースを登録することを許可するように、登録管理システム２２８と通信するように構成された登録システム２３０を含む。一実施形態では、登録システム２３０は、中央サーバに記憶されており、ネットワーク化されたリソースを登録するユーザの要求に応答してネットワーク化されたリソースからダウンロードされるネットワークアプリケーション（特に、ＪＡＶＡ（登録商標）アプリケーション）である。例えば、ネットワーク化されたリソースのデスクトップ上のアイコンをクリックするか、ウェブページ上のハイパーリンクをクリックするか、メニューからコンピュータを登録するように要求することによって、登録要求は開始され得る。
【００２９】
代替実施形態では、登録システム２３０はネットワーク化されたサーバに作用し、ユーザは、ＨＴＴＰ、ＨＴＭＬ、ＸＭＬまたは別の既知のネットワークプロトコルを用いたインターネットブラウザを介して、ＣＧＩ（ｃｏｍｍｏｎ ｇａｔｅｗａｙ ｉｎｔｅｒｆａｃｅ）を介した登録システム２３０と通信する。さらなる実施形態では、電子記憶媒体（例えば、フロッピー（登録商標）ディスク、ジップディスク、ＣＤ−ＲＯＭ、ＤＶＤ−ＲＯＭなど）からのネットワーク化されたリソース上に登録システム２３０を具体化するソフトウェアコードを転送することによって、登録システム２３０はネットワーク化されたリソース上にインストールされる。
【００３０】
登録システム２３０は、自身を識別するように登録を要求するユーザおよびユーザが登録を要求するリソースにインタフェースを提供する。登録システム２３０は、ユーザが実際にそのリソースの登録を許可されているかを決定するために、登録管理システム２２８と通信する。一実施形態では、その通信は、ネットワーク化されたリソースのユーザが要求する登録の識別と、ユーザが登録を要求しているネットワーク化されたリソースの識別とを含んだ登録管理システム２２８にメッセージを送ることを含む。一実施形態では、その通信は、例えばＳＱＬ（Ｓｔｒｕｃｔｕｒｅｄ Ｑｕｅｒｙ Ｌａｎｇｕａｇｅ）を用いて、登録管理システム２２８にデータベースクエリを伝送することを含み、その結果は、ユーザがリソースの登録を許可されているか否かを示すブール値である。別の実施形態では、通信は、登録管理システム２２８において実行される遠隔手順呼び出し（ｃａｌｌ）を含む。さらなる実施形態では、通信は、登録管理システム２２８によって解釈されるビジネスロジックコマンドを伝送することを含む。
【００３１】
さらに別の実施形態では、登録管理システム２２８は、最新の登録ルールデータベースを登録システム２３０に送る。この実施形態では、最新の登録ルールデータベースを受けた後において、登録システム２３０は、ユーザがデータベースの登録を許可されているかを決定するために、登録ルールデータベースに照会する（例えばＳＱＬを用いて）。通信は、種々の有線接続（例えば、ＴＣＰ／ＩＰ、ＩＳＤＮ、フレームリレーまたはＡＴＭプロトコルを用いた接続）および無線接続または上記の一部の組合せまたは全部の組合せを介して、実行され得る。
【００３２】
一実施形態では、登録システム２３０は、ユーザの識別を確認することも担う。ユーザ識別の確認は、例えば、ユーザネーム−パスワード／ＰＩＮの組合せを集めること、ユーザのバイオメトリックなデータを集めること、ユーザの音声のサンプルを集めることなどによって、行われ得る。
【００３３】
アクセス管理システム２２６は、ユーザが第１のネットワーク化されたリソースの登録に成功した場合において、第１のネットワーク化されたリソースへの遠隔アクセスを許可する遠隔アクセスシステム２３２を含む。一実施形態では、アクセス管理システム２２６は、ネットワーク化されたリソースの個々のリソースまたはリソースのグループへの遠隔アクセスを制御することに加え、ネットワークへの一般的なアクセス（換言すると、特定のリソースへのアクセスではないアクセス）を制御する。一実施形態では、遠隔アクセスシステム２３２は、中央ネットワークサーバ上で動作するソフトウェアモジュールである。ユーザがネットワーク化されたリソースに遠隔からアクセスしようと試みる場合では、ユーザは、まず、中央サーバ上の遠隔アクセスシステム２３２に接触する。別の実施形態では、登録可能なネットワークリソースの各々が、インストール済みの遠隔アクセスシステム２３２のコピーを含むか、ネットワーク化されたリソースが、遠隔アクセス要求の受け取り時にサーバから登録システム２３０のコピーをダウンロードし得る。
【００３４】
一実施形態では、遠隔アクセスシステム２３２は、遠隔アクセスに対する要求を受け取り、ユーザの要求するアクセスの識別を確認し、ユーザが遠隔アクセスを要求しているネットワーク化されたリソースをユーザが登録したかを、登録管理システム２２８によって保守されている登録データベースを調べることによって、決定する。ユーザがネットワーク化されたリソースを登録した場合では、遠隔アクセスシステム２３２は、ユーザに、ネットワーク化されたリソースへのアクセスの許可を認め、そのようなアクセスが開始される。
【００３５】
上記の実施形態では、システム２２６、２２８、２３０および２３２は、ソフトウェアモジュールまたはプログラムとしてインプリメントされる。当業者には、システム機能の一部または全部が、上述した態様以外で、例えばハードウェア（例えば、特定用途向け集積回路（ＡＳＩＣ））などにおいてインプリメントされ得るということは理解されるべきである。
【００３６】
アクセス管理システム２２６のシステムの動作は、図３〜７をさらに参照することによって理解され得る。
【００３７】
図３Ａおよび図３Ｂを参照すると、システム管理者の重荷を軽減するために、システム管理者は、アクセス管理システム２２６、または、共通の特性を共有するグループにユーザおよびリソースを集めるようにその構成システムの一つを用い得る。その理由は、ネットワークリソースの数とコンピュータシステム２００のユーザ数が増加したので、各ユーザへのアクセス権利を個々に指定することはますます時間のかかるようになってきたためである。図３Ａを参照すると、コンピュータシステム２００のネットワークリソースの例示的なセット３００は、ＴｅｒｍＡ ２０２、ＴｅｒｍＢ ２０４およびＴｅｒｍＣ ２０６を含んだワークステーション３０２と、ＣＡＤ Ａ ２１４、ＣＡＤ Ｂ ２１６、ＣＡＤ Ｃ ２１８を含んだＣＡＤ端末３０４と、登録アシスタントターミナルＡｄｍｉｎＡ ２０８、ＡｄｍｉｎＢ ２１０、ＡｄｍｉｎＣ ２１２にグループ分けられ得る。図３Ｂを参照すると、コンピュータユーザの例示的なセット３０７は、以下のようなグループ分けがされ得る。Ｔａｒａ ３１４、Ｔｏｍ ３１６およびＴｅｄ ３１８は、情報技術（ＩＴ）スタッフ３０８のメンバーのとしてグループ分けされ得る。Ｅｌｌｉｅ ３２０、Ｅｒｉｃａ ３２２およびＥｄｗａｒｄ ３２４はエンジニア３１０としてグループ分けされ得る。Ａｌｅｘ ３２６、Ａｍｙ ３２８およびＡｎｄｒｅｗ ３３０は管理アシスタント３１２としてグループされ得る。
【００３８】
一実施形態では、システム管理者は、アクセス管理システム２２６を用いて、ユーザおよび／またはリソースのグループを特定し得る。一実施形態では、アクセス管理システム２２６はグラフィカルユーザインタフェースを提供し、そのインタフェースを用いて、システム管理者は、ドラッグアンドドロップまたはポイントアンドクリックして、ユーザまたはリソースをグループに加え得る。別の実施形態では、登録管理システム２２８はまた、類似のインタフェースを介してグループ管理機能を提供する。登録ルールを特定する目的で作成したグループは、別のアクセスルールを特定するために作成されたグループとは異なり得る。
【００３９】
ユーザおよびリソースのグループが規定された後において、ルールは、ユーザ３０８、１０または３１２のグループの、直接アクセスかつ／または遠隔アクセスし、ネットワークリソース３０２、３０４および３０６のグループを用いる能力を限定するように特定され得る。例えば、ＩＴスタッフ３０８のメンバー３１４、３１６および３１８は、コンピュータ２０２、２０４、２０６、２０８、２１０、２１２、２１４、２１６および２１８の保守を担うので、システム管理者は、ＩＴスタッフ３０８に、コンピュータ２０２、２０４、２０６、２０８、２１０、２１２、２１４、２１６および２１８の全コンピュータへのアクセスを提供することを望み得る。対照的に、システム管理者は、管理アシスタント３１２を、管理アシスタントターミナルにアクセスすることが出来るのみという少ない能力に限定することを望み得る。エンジニア３１０は、ワークステーション３０２、ＣＡＤターミナル３０４へのアクセスを許可され得るが、管理アシスタント３１２によって使用される管理アシスタントターミナル３０６へのアクセスは許可されなくあり得る。
【００４０】
一実施形態では、システム管理者は、個々のユーザ／リソース制限を特定せずに、ユーザのネットワーク化されたリソースへの遠隔アクセス能力を制限し得る。上述したように、コンピュータユーザは、ユーザが直接物理アクセスを達成可能なコンピュータに遠隔アクセス可能であるだけであるべきであるという仮定の下で、コンピュータシステム２００は動作する。ユーザは、ネットワーク化されたリソースへの物理アクセスを有しない場合、そのユーザは、ネットワーク化されたリソースを遠隔からアクセスすることによって、物理的なセキュリティ手段を回避可能でなくあるべきである。ここで、物理アクセス手段は、ネットワーク化されたリソースに物理的に接続されたコンソールに接続された入力デバイス（例えば、キーボード、マウス、トラックボール、マイク、タッチスクリーン、ジョイスティックなど）にアクセスする。接続は、入力デバイスが範囲の狭い無線信号を用いてリソースと通信する場合における無線通信を含み得る（例えば、無線キーボードまたはマウス）。単純な例では、エンジニア３１０は、概して、ＣＡＤターミナル３０４へのアクセスを有するが、働いているビル内のみである。エンジニアＥｌｌｉｅ ３２０は、第２のビル２２２において働いており、ＣＡＤ Ｃ ２１２への物理アクセスは有しない。その理由は、ＣＡＤ Ｃ ２１２が第１のビル２２０内に位置するからである。同様に、Ｅｌｌｉｅは、プライバシーまたはセキュリティ上の理由からワークステーション３０２、ＴｅｒｍＡ ４０２をオフィス内にロックし続ける場合、別のユーザは、そのワークステーション３０２への物理アクセスを有しない。
【００４１】
本発明の一実施形態によると、物理アクセス制限の遠隔アクセス環境へのこの拡張を実施するために、コンピュータシステム２００は、上述した登録機能を含む。すなわち、ユーザがまずネットワーク化されたリソースに登録されていない場合では、ユーザは、コンピュータシステム２００のネットワーク化されたリソースへの遠隔アクセスを取得し得ない。好適には、ユーザがネットワーク化されたリソースに物理的に接続されたコンソールに接続された入力デバイス（例えば、キーボード、マウス、マイク、ディスプレイなど）を用いて登録を要求する場合において、ユーザは、ネットワーク化されたリソースを登録するのみであり得る。このように、ユーザがそのような入力デバイスに物理的にアクセスし得ない場合では、ユーザは、ネットワークリソースを登録することができず、ネットワーク化されたリソースに遠隔からアクセスできない。
【００４２】
そのような実施形態のひとつでは、コンピュータへの直接的な物理アクセスを有するユーザの全てがコンピュータを登録し得るというわけではない。登録ルールは、どのユーザまたはユーザのグループが、どのネットワーク化されたリソースまたはネットワーク化されたリソースのグループを登録する権限が与えられているかを特定する。好適には、効率を上げるために、登録ルールは、個々のユーザ／インタフェースレベルではなくユーザ／リソースグループレベルで特定される。そのグループは、別のアクセスルールを特定するために用いられるグループと同じであってもよく、それらのグループは、異なっていてもよい。
【００４３】
図４Ａを参照すると、表４００は、例示的な登録ルールを示す。ここで、行は、ユーザのグループ３０８、３１０および３１２を表し、列は、ネットワーク化されたリソースのグループ３０２、３０４および３０６を表す。システム管理者は、例えば登録管理システム２２８を用いて、登録ルールを特定する。そのために、システム管理者は、図３Ａおよび図３Ｂに関して上述したように、複数のユーザのグループ３０８、３１０および３１２を規定し、ネットワーク化されたリソースのグループ３０２、３０４および３０６も規定する。次いで、システム管理者は、どのユーザのグループがどのネットワーク化されたリソースのグループを登録し得るかを特定する。例えば、表４００では、システム管理者は、ＩＴスタッフメンバー３０８が、ＩＴスタッフ３０８の行とネットワーク化されたリソースの各グループに対する列との交差部分における「Ｘ」によって示されるように、ワークステーション３０２、ＣＡＤターミナル３０４および管理アシスタントターミナル３０６を登録し得るということを特定した。同様に、エンジニア３１０は、ワークステーション３０２およびＣＡＤターミナル３０４を登録し得て、管理アシスタント３１２は、管理アシスタントターミナル３０６のみを登録し得る。
【００４４】
それらのルールは、上述したような表の形式で特定され得るが、コマンド、データリスト、データファイル、ＸＭＬタグ、またはルール特定用の別の適切なメカニズムの使用を介しても特定され得るということは理解されるべきである。
【００４５】
登録管理システム２２８を用いて、システム管理者は、一旦特定された登録ルールを容易に変更し得る。例えば、スタッフの変更（例えば、従業員の解雇、雇用またはシフト変更）を反映するために、システム管理者は、ユーザグループにユーザを追加し得るか、ユーザグループからユーザを取り除き得る。ネットワーク化されたリソースグループに対しても同一のことがなされ得る。全体のグループに影響を及ぼすポリシー決定は、ユーザのグループが登録を許可されているネットワーク化されたリソースのグループを変更することによって、インプリメントされ得る。例えば、表４００において登録ルールを特定したシステム管理者が、管理アシスタント３１２が全ワークステーションを登録可能にすべきであると決定した場合では、管理アシスタント３１２に対するルールは、それ相応に変更され得る。システム管理者が、１人以上のユーザまたは１つ以上のユーザのグループの１つ以上のネットワークリソースを登録する能力を取り除く場合では、影響を受けるユーザは、それらのネットワーク化されたリソースを登録することができない。一部の実施形態では、ネットワーク化されたリソースが、影響を受けたユーザによって既に登録されている場合において、登録ルールの変更によって、ネットワーク化されたリソースの非登録化がなされ得る。
【００４６】
図５を参照すると、ネットワーク化されたリソース（例えば、コンピュータ２０２、２０４、２０６、２０８、２１０、２１２、２１４、２１６および２１８）を登録する方法５００のフローチャートは、例えば上述したようなシステム管理者による、登録ルールの特定（ステップ５０２）から始まる。ユーザがネットワーク化されたリソースの登録を要求する場合（ステップ５０４）では、登録システム２３０は、ユーザの識別を確認する（ステップ５０６）。識別の確認（ステップ５０６）は、任意の識別認証手段を介して実現され得る。その手段としては、例えば、ユーザパスワードまたはＰＩＮ認証、バイオメトリック識別、音声識別などが挙げられる。
【００４７】
登録システム２３０および登録管理システム２２８は、登録ルールによって、ユーザが登録を要求しているネットワーク化されたリソースの登録が許可されているかを決定する（ステップ５０８）。例示的な実施形態では、登録システム２３０は、登録管理システム２２８に登録要求を送る。登録要求は、ユーザが登録を要求しているネットワーク化されたリソースの識別と、ユーザの識別を含む。次いで、ユーザが、当該のネットワーク化されたリソースが属するネットワーク化されたリソースのグループを登録する許可を有するグループのメンバーであるかを決定するために、登録管理システム２２８は、ネットワーク化されたリソース／ユーザのペアを登録ルールと比較する。
【００４８】
登録ルールの単一使用のコピーは、ユーザがネットワーク化されたリソースの登録を試みるたびに、登録管理システム２２８からネットワーク化されたリソースにダウンロードされ得、別のインプリメンテーションでは、ネットワーク化されたリソースは、システム管理者が登録ルールを変更したときにおいて、登録管理システム２２８によって更新される登録ルールの永続性のセットを維持し得る。これらの場合のいずれの場合でも、その後、許可確認（ステップ５０８）がネットワーク化されたリソース上で実行される。
【００４９】
ユーザがネットワーク化されたリソースを登録ルールに基づいて登録することを認められている場合において、ユーザの位置が決定される（ステップ５１０）。一実施形態では、ロケータシステムは、登録要求の送信元のネットワーク化されたリソースのＩＰアドレス（典型的には通信を構成したパケットのヘッダに含まれている）を検索し、要求の源を決定するために逆ＤＮＳ（Ｄｏｍａｉｎ Ｎａｍｅ Ｓｅｒｖｅｒ）ルックアップルーチンを実行することによって、ユーザの位置を決定する。次いで、登録管理システム２２８は、決定された登録要求源を、登録要求において識別されたネットワーク化されたリソースと比較することによって、ユーザが登録を要求しているネットワーク化されたリソースに物理的に接続されたコンソールからの、ネットワーク化されたリソースの登録をユーザが要求したか否かを、決定する（ステップ５１２）。別の実施形態では、ロケータシステムは、伝送し、要求されたリソース上のＪａｖａ（登録商標）アプレットまたはＡｃｔｉｖｅＸ（登録商標）コントロールを実行させて、ユーザがリソースに物理的に接続されているコンソールに実際にログインしたが否かを決定する。さらなる実施形態では、要求源は、伝送し、その源に自身を識別させる要求源上のＪａｖａ（登録商標）アプレットまたはＡｃｔｉｖｅＸ（登録商標）コントロールを実行させることによって、確認され得る。次いで、登録管理システム２２８は、強いた識別をユーザが登録を要求したネットワークリソースと比較する。一実施形態では、登録管理システムは、強固な要求源の識別を確保するために、先に記載した２つ以上の確認方法を組み合わせたものを実行する。
【００５０】
ユーザが登録を要求したネットワーク化されたリソースに物理的に接続されたコンソールからの登録要求をユーザが送ったということが決定された場合では（ステップ５１２）、登録管理システム２２８は、登録データベースを更新することによって、ユーザに対してネットワーク化されたリソースを登録する（ステップ５１４）。（図６の下を参照）。ユーザがネットワーク化されたリソースを登録することが、登録したルールに基づいて許可されていない場合、または、ユーザが遠隔位置からコンピュータの登録を試みていると決定された場合では、登録は認められない（ステップ５１６）。
【００５１】
代替実施形態では、登録管理システム２２８は、ユーザの位置を決定し、ユーザによるネットワーク化されたリソースの登録が登録ルールに従って許可されているかを決定する前に、登録要求の源であるネットワーク化されたリソースの登録をユーザが要求していることを確認する。さらなる実施形態では、システム管理者が、ユーザのグループがネットワーク化されたリソースを遠隔から登録することを可能にするか、遠隔から登録され得るリソースのグループを特定することを可能にする登録ルールを、登録管理システム２２８は特定することを可能にする。例えば、一実施形態では、登録ルールは、ユーザがセキュアなネットワークの一部であるファイルサーバ（またはファイルサーバの一部）を、セキュアなネットワークの一部であるがファイルサーバに物理的に接続されていないコンソールから、登録することを可能にする。
【００５２】
図６を参照すると、登録管理システム２２８は、登録されたリソースおよびユーザについての情報を維持する。このストレージは、多くの方法でインプリメントされ得、データベース内のデータファイルの形態が挙げられる。登録データベース６００のコンテンツの例示的な描画に示すように、図中では、データベース６００は、個々のユーザおよび各ネットワーク化されたリソースに対して登録データを記憶する。ユーザがネットワーク化されたリソースの登録に成功した場合（ステップ５１４）、登録は、登録データベース６００に記憶される。例えば、登録データベース６００によると、エンジニアＥｌｌｉｅ ３２０は、ＴｅｒｍＡ、ＣＡＤ ＡおよびＣＡＤ Ｂを登録している。ユーザがネットワーク化されたリソースの遠隔からのアクセスを試みる場合において、その表が調べられる。
【００５３】
図７を参照すると、ネットワーク化されたリソースへの遠隔アクセスを許可する方法７００は、登録データベース（例えば登録データベース６００）を照合することを含む。ユーザが第１のネットワーク化されたリソース１００の遠隔からのアクセスを試みる場合では、アクセスに対する要求が、遠隔アクセスシステム２３２によって受け取られる（ステップ７０２）。遠隔アクセスシステム２３２は、ユーザの識別を確認する（ステップ７０３）。これは認証とも呼ばれる。登録との関連でユーザの識別を確認することに関連して上述したように、遠隔アクセスシステム２３２は、適切な識別認証手段を用いてユーザを認証し得て、その手段としては、ユーザ名−パスワード／ＰＩＮペア、証明書、バイオメトリックデータ、ワンタイム（ｏｎｅ ｔｉｍｅ）鍵、音声サンプルなどが挙げられる。次いで、遠隔アクセスシステム２３２は、ユーザが第１のネットワーク化されたリソース１００を以前に登録したか否かを決定する（ステップ７０６）。ユーザが第１のネットワーク化されたリソースを以前に登録した場合では、遠隔アクセスシステム２３２は、第１のネットワーク化されたリソース１００へのアクセスを許可し（ステップ７０８）、登録していない場合では、遠隔アクセスシステム２３２は、第１のネットワーク化されたリソース１００への遠隔アクセスを認めない。
【００５４】
代替実施形態では、システム管理者は、ユーザがネットワーク化されたリソースに遠隔からアクセスするために用いられ得る遠隔デバイスを制限するさらなる遠隔アクセスルールを設定し得る。例えば、システム管理者は、コンピュータシステム２００に直接接続されたネットワーク化されたリソースから、ユーザまたはユーザのグループが、ネットワーク化されたリソースまたはネットワーク化されたリソースのグループへと遠隔からアクセスすることを可能にするのみのルールを特定し得る。そのようなルールの下では、例えば、Ｔａｒａ ３１４は、登録データベース６００によるとＡｄｍｉｎＣ ２１８を登録しており、ＡｄｍｉｎＡ ２１４からＡｄｍｉｎＣ ２１８に遠隔アクセス可能であるが、ＡｄｍｉｎＣ ２１８を登録したＴｅｄ ３１８は、遠隔デバイス１０２からＡｄｍｉｎＣに遠隔アクセスできない。
【００５５】
当業者は、本発明の精神または基本的な特徴から逸脱せずに、本発明が別の特定の形態で具体化され得るということは理解する。上記の実施形態は、本発明を限定するものではなく、全ての点において例示と考慮されるべきである。本発明の範囲は、上記の記載に限定されない。
【図面の簡単な説明】
【００５６】
【図１】図１は、本発明の例示的な実施形態による遠隔デスクトップアクセスの概略図である。
【図２】図２は、本発明の例示的な実施形態によるコンピュータネットワークを示す概略図である。
【図３Ａ】図３Ａは、本発明の例示的な実施形態による一セットのコンピュータネットワークリソース集合の図である。
【図３Ｂ】図３Ｂは、本発明の例示的な実施形態による一セットのコンピュータネットワークユーザ集団の図である。
【図４】図４は、本発明の例示的な実施形態による例示的な登録ルールを示す表である。
【図５】図５は、本発明の例示的な実施形態によるネットワーク化されたリソースを登録する方法のフローチャートである。
【図６】図６は、本発明の例示的な実施形態による例示的なセットの登録を示す登録データベースである。
【図７】図７は、本発明によるコンピュータへの遠隔アクセスを許可する方法のフローチャートである。
【特許請求の範囲】
【請求項１】
コンピュータネットワークを管理する方法であって、
登録ルールを特定する登録管理システムを提供することと、
該登録管理システムと通信するように構成された登録システムを提供することであって、該特定された登録ルールによって許可される場合では第１のネットワーク化されたリソースを登録することを許可する、ことと、
該ユーザが該第１のネットワーク化されたリソースの登録に成功した場合では、該ユーザに、該第１のネットワーク化されたリソースへの遠隔のアクセスを許可する遠隔アクセスシステムを提供することと
を包含する、方法。
【請求項２】
前記ネットワーク化されたリソースがコンピュータである、請求項１に記載の方法。
【請求項３】
前記遠隔アクセスシステムが、前記第１のネットワーク化されたリソースを登録していないユーザに、該第１のネットワーク化されたリソースへの遠隔アクセスを許可しない、請求項１に記載の方法。
【請求項４】
前記遠隔アクセスシステムは、前記第１のネットワーク化されたリソースへのインストレーションが提供されている、請求項１に記載の方法。
【請求項５】
前記遠隔アクセスシステムは、共有のネットワークリソースへのインストレーションが提供されており、該遠隔アクセスシステムは、前記特定された登録ルールと、前記第１のネットワーク化されたリソースおよび第２のネットワーク化されたリソースの前記ユーザの登録とに従って、該第１のネットワーク化されたリソースと該第２のネットワーク化されたリソースとへの遠隔アクセスを許可する、請求項１に記載の方法。
【請求項６】
前記登録システムは、遠隔コンソールからの前記第１のネットワーク化されたリソースの登録を許可しない、請求項１に記載の方法。
【請求項７】
前記登録システムは、前記第１のネットワーク化されたリソースに物理的に接続されたコンソールからの該第１のネットワーク化されたリソースの登録を必要とする、請求項１に記載の方法。
【請求項８】
前記遠隔アクセスが、前記第１のネットワーク化されたリソースのデスクトップへの遠隔アクセスを含む、請求項１に記載の方法。
【請求項９】
前記登録システムがネットワークアプリケーションである、請求項１に記載の方法。
【請求項１０】
前記第１のネットワーク化されたリソースの登録を試みるユーザの位置を決定するロケータシステムを提供することをさらに包含する、請求項９に記載の方法。
【請求項１１】
前記第１のネットワーク化されたリソースを登録することが、前記決定された位置にさらに従う、請求項１０に記載の方法。
【請求項１２】
登録ルールを特定する登録管理システムと、
該登録管理システムと通信するように構成された第１のネットワーク化されたリソースと、
通信チャネルを介して該第１のネットワーク化されたリソースと通信するように構成された遠隔デバイスと、
該特定された登録ルールによって許可される場合において該第１のネットワーク化されたリソースを登録する登録システムと、
該第１のネットワーク化されたリソースの登録が成功した場合において、該遠隔デバイスのユーザに、該第１のネットワーク化されたリソースへの遠隔のアクセスを許可する遠隔アクセスシステムと
を備える、コンピュータシステム。
【請求項１３】
前記第１のネットワーク化されたリソースがコンピュータである、請求項１２に記載のコンピュータシステム。
【請求項１４】
前記遠隔アクセスシステムが、前記第１のネットワーク化されたリソースを登録していない前記遠隔デバイスのユーザに、該第１のネットワーク化されたリソースへの遠隔アクセスを許可しない、請求項１２に記載のコンピュータシステム。
【請求項１５】
前記遠隔アクセスシステムは、前記第１のネットワーク化されたリソースにインストールされている、請求項１２に記載のコンピュータシステム。
【請求項１６】
前記遠隔アクセスシステムは、共有のネットワークリソースにインストールされており、該遠隔アクセスシステムは、前記登録ルールと、前記第１および第２のネットワーク化されたリソースのユーザの登録とに従って、前記遠隔デバイスのユーザに、該第１のネットワーク化されたリソースと該第２のネットワーク化されたリソースとへのアクセスを許可する、請求項１２に記載のコンピュータシステム。
【請求項１７】
前記登録システムは、遠隔コンソールからの前記第１のネットワーク化されたリソースの登録を許可しない、請求項１２に記載のコンピュータシステム。
【請求項１８】
前記登録システムは、前記第１のネットワーク化されたリソースに物理的に接続されたコンソールからの該第１のネットワーク化されたリソースの登録を必要とする、請求項１２に記載のコンピュータシステム。
【請求項１９】
前記第１のネットワーク化されたリソースへの遠隔アクセスが、該第１のネットワーク化されたリソースのデスクトップへの遠隔アクセスを含む、請求項１２に記載のコンピュータシステム。
【請求項２０】
前記登録システムがネットワークアプリケーションである、請求項１２に記載のコンピュータシステム。
【請求項２１】
前記第１のネットワーク化されたリソースの登録を試みるユーザの位置を決定するロケータシステムをさらに備える、請求項２０に記載のコンピュータシステム。
【請求項２２】
前記第１のネットワーク化されたリソースを登録することが、前記ユーザの決定された位置にさらに従う、請求項２１に記載のコンピュータシステム。
【請求項２３】
前記登録管理システムが、ユーザが登録したネットワーク化されたリソースのリストを記憶する登録データベースを備える、請求項１２に記載のコンピュータシステム。
【請求項２４】
ネットワークを管理する方法であって、
登録ルールを特定することと、
該特定された登録ルールによって許可された場合において第１のネットワーク化されたリソースを登録することと、
ユーザが該第１のネットワーク化されたリソースの登録に以前成功した場合では、遠隔デバイスからの該第１のネットワーク化されたリソースへのユーザ遠隔アクセスを許可することと、
ユーザが該第１のネットワーク化されたリソースの登録に以前成功していない場合では、該遠隔デバイスからの該第１のネットワーク化されたリソースへのユーザアクセスを許可しないことと
を包含する、方法。
【請求項２５】
前記第１のネットワーク化されたリソースがコンピュータである、請求項２４に記載の方法。
【請求項２６】
前記登録ルールを特定することが、
複数のユーザのグループを規定することと、
複数のネットワーク化されたリソースのグループを規定することと、
ユーザの一グループが登録を許可されているネットワーク化されたリソースのグループを特定することと
をさらに包含する、請求項２４に記載の方法。
【請求項２７】
前記第１のネットワーク化されたリソースを登録することが、遠隔コンソールからは許可されない、請求項２４に記載の方法。
【請求項２８】
前記第１のネットワーク化されたリソースを登録することが、前記ユーザが、該第１のネットワーク化されたリソースに物理的に接続されたコンソールから登録することを必要とする、請求項２４に記載の方法。
【請求項２９】
前記第１のネットワーク化されたリソースへのアクセスを許可することが、該第１のネットワーク化されたリソースのデスクトップへのアクセスを許可することを包含する、請求項２４に記載の方法。
【請求項１】
コンピュータネットワークを管理する方法であって、
登録ルールを特定する登録管理システムを提供することと、
該登録管理システムと通信するように構成された登録システムを提供することであって、該特定された登録ルールによって許可される場合では第１のネットワーク化されたリソースを登録することを許可する、ことと、
該ユーザが該第１のネットワーク化されたリソースの登録に成功した場合では、該ユーザに、該第１のネットワーク化されたリソースへの遠隔のアクセスを許可する遠隔アクセスシステムを提供することと
を包含する、方法。
【請求項２】
前記ネットワーク化されたリソースがコンピュータである、請求項１に記載の方法。
【請求項３】
前記遠隔アクセスシステムが、前記第１のネットワーク化されたリソースを登録していないユーザに、該第１のネットワーク化されたリソースへの遠隔アクセスを許可しない、請求項１に記載の方法。
【請求項４】
前記遠隔アクセスシステムは、前記第１のネットワーク化されたリソースへのインストレーションが提供されている、請求項１に記載の方法。
【請求項５】
前記遠隔アクセスシステムは、共有のネットワークリソースへのインストレーションが提供されており、該遠隔アクセスシステムは、前記特定された登録ルールと、前記第１のネットワーク化されたリソースおよび第２のネットワーク化されたリソースの前記ユーザの登録とに従って、該第１のネットワーク化されたリソースと該第２のネットワーク化されたリソースとへの遠隔アクセスを許可する、請求項１に記載の方法。
【請求項６】
前記登録システムは、遠隔コンソールからの前記第１のネットワーク化されたリソースの登録を許可しない、請求項１に記載の方法。
【請求項７】
前記登録システムは、前記第１のネットワーク化されたリソースに物理的に接続されたコンソールからの該第１のネットワーク化されたリソースの登録を必要とする、請求項１に記載の方法。
【請求項８】
前記遠隔アクセスが、前記第１のネットワーク化されたリソースのデスクトップへの遠隔アクセスを含む、請求項１に記載の方法。
【請求項９】
前記登録システムがネットワークアプリケーションである、請求項１に記載の方法。
【請求項１０】
前記第１のネットワーク化されたリソースの登録を試みるユーザの位置を決定するロケータシステムを提供することをさらに包含する、請求項９に記載の方法。
【請求項１１】
前記第１のネットワーク化されたリソースを登録することが、前記決定された位置にさらに従う、請求項１０に記載の方法。
【請求項１２】
登録ルールを特定する登録管理システムと、
該登録管理システムと通信するように構成された第１のネットワーク化されたリソースと、
通信チャネルを介して該第１のネットワーク化されたリソースと通信するように構成された遠隔デバイスと、
該特定された登録ルールによって許可される場合において該第１のネットワーク化されたリソースを登録する登録システムと、
該第１のネットワーク化されたリソースの登録が成功した場合において、該遠隔デバイスのユーザに、該第１のネットワーク化されたリソースへの遠隔のアクセスを許可する遠隔アクセスシステムと
を備える、コンピュータシステム。
【請求項１３】
前記第１のネットワーク化されたリソースがコンピュータである、請求項１２に記載のコンピュータシステム。
【請求項１４】
前記遠隔アクセスシステムが、前記第１のネットワーク化されたリソースを登録していない前記遠隔デバイスのユーザに、該第１のネットワーク化されたリソースへの遠隔アクセスを許可しない、請求項１２に記載のコンピュータシステム。
【請求項１５】
前記遠隔アクセスシステムは、前記第１のネットワーク化されたリソースにインストールされている、請求項１２に記載のコンピュータシステム。
【請求項１６】
前記遠隔アクセスシステムは、共有のネットワークリソースにインストールされており、該遠隔アクセスシステムは、前記登録ルールと、前記第１および第２のネットワーク化されたリソースのユーザの登録とに従って、前記遠隔デバイスのユーザに、該第１のネットワーク化されたリソースと該第２のネットワーク化されたリソースとへのアクセスを許可する、請求項１２に記載のコンピュータシステム。
【請求項１７】
前記登録システムは、遠隔コンソールからの前記第１のネットワーク化されたリソースの登録を許可しない、請求項１２に記載のコンピュータシステム。
【請求項１８】
前記登録システムは、前記第１のネットワーク化されたリソースに物理的に接続されたコンソールからの該第１のネットワーク化されたリソースの登録を必要とする、請求項１２に記載のコンピュータシステム。
【請求項１９】
前記第１のネットワーク化されたリソースへの遠隔アクセスが、該第１のネットワーク化されたリソースのデスクトップへの遠隔アクセスを含む、請求項１２に記載のコンピュータシステム。
【請求項２０】
前記登録システムがネットワークアプリケーションである、請求項１２に記載のコンピュータシステム。
【請求項２１】
前記第１のネットワーク化されたリソースの登録を試みるユーザの位置を決定するロケータシステムをさらに備える、請求項２０に記載のコンピュータシステム。
【請求項２２】
前記第１のネットワーク化されたリソースを登録することが、前記ユーザの決定された位置にさらに従う、請求項２１に記載のコンピュータシステム。
【請求項２３】
前記登録管理システムが、ユーザが登録したネットワーク化されたリソースのリストを記憶する登録データベースを備える、請求項１２に記載のコンピュータシステム。
【請求項２４】
ネットワークを管理する方法であって、
登録ルールを特定することと、
該特定された登録ルールによって許可された場合において第１のネットワーク化されたリソースを登録することと、
ユーザが該第１のネットワーク化されたリソースの登録に以前成功した場合では、遠隔デバイスからの該第１のネットワーク化されたリソースへのユーザ遠隔アクセスを許可することと、
ユーザが該第１のネットワーク化されたリソースの登録に以前成功していない場合では、該遠隔デバイスからの該第１のネットワーク化されたリソースへのユーザアクセスを許可しないことと
を包含する、方法。
【請求項２５】
前記第１のネットワーク化されたリソースがコンピュータである、請求項２４に記載の方法。
【請求項２６】
前記登録ルールを特定することが、
複数のユーザのグループを規定することと、
複数のネットワーク化されたリソースのグループを規定することと、
ユーザの一グループが登録を許可されているネットワーク化されたリソースのグループを特定することと
をさらに包含する、請求項２４に記載の方法。
【請求項２７】
前記第１のネットワーク化されたリソースを登録することが、遠隔コンソールからは許可されない、請求項２４に記載の方法。
【請求項２８】
前記第１のネットワーク化されたリソースを登録することが、前記ユーザが、該第１のネットワーク化されたリソースに物理的に接続されたコンソールから登録することを必要とする、請求項２４に記載の方法。
【請求項２９】
前記第１のネットワーク化されたリソースへのアクセスを許可することが、該第１のネットワーク化されたリソースのデスクトップへのアクセスを許可することを包含する、請求項２４に記載の方法。
【図１】
【図２】
【図３Ａ】
【図３Ｂ】
【図４】
【図５】
【図６】
【図７】
【図２】
【図３Ａ】
【図３Ｂ】
【図４】
【図５】
【図６】
【図７】
【公表番号】特表２００７−５０９３８９（Ｐ２００７−５０９３８９Ａ）
【公表日】平成１９年４月１２日（２００７．４．１２）
【国際特許分類】
【出願番号】特願２００６−５３３９０５（Ｐ２００６−５３３９０５）
【出願日】平成１６年９月１０日（２００４．９．１０）
【国際出願番号】ＰＣＴ／ＵＳ２００４／０２９６８２
【国際公開番号】ＷＯ２００５／０４１００４
【国際公開日】平成１７年５月６日（２００５．５．６）
【出願人】（５０２２３９３１３）サイトリックス システムズ， インコーポレイテッド (36)
【Ｆターム（参考）】
【公表日】平成１９年４月１２日（２００７．４．１２）
【国際特許分類】
【出願日】平成１６年９月１０日（２００４．９．１０）
【国際出願番号】ＰＣＴ／ＵＳ２００４／０２９６８２
【国際公開番号】ＷＯ２００５／０４１００４
【国際公開日】平成１７年５月６日（２００５．５．６）
【出願人】（５０２２３９３１３）サイトリックス システムズ， インコーポレイテッド (36)
【Ｆターム（参考）】
[ Back to top ]