特許 5778862 クラウドベースのＩＤ管理（Ｃ−ＩＤＭ）を実装するための方法および仮想ＩＤＭサーバー

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B2)

(11)【特許番号】5778862

(24)【登録日】2015年7月17日

(45)【発行日】2015年9月16日

(54)【発明の名称】クラウドベースのＩＤ管理（Ｃ−ＩＤＭ）を実装するための方法および仮想ＩＤＭサーバー

(51)【国際特許分類】

   G06F 21/31 20130101AFI20150827BHJP

   G06F 9/50 20060101ALI20150827BHJP

【ＦＩ】

   G06F21/31

   G06F9/46 462Z

【請求項の数】15

【全頁数】13

(21)【出願番号】特願2014-515983(P2014-515983)

(86)(22)【出願日】2012年6月14日

(65)【公表番号】特表2014-519672(P2014-519672A)

(43)【公表日】2014年8月14日

(86)【国際出願番号】US2012042408

(87)【国際公開番号】WO2012174210

(87)【国際公開日】20121220

【審査請求日】2014年3月7日

(31)【優先権主張番号】61/496,874

(32)【優先日】2011年6月14日

(33)【優先権主張国】US

(73)【特許権者】

【識別番号】511207729

【氏名又は名称】ゼットティーイー コーポレイション

(73)【特許権者】

【識別番号】510279365

【氏名又は名称】ゼットティーイー （ユーエスエー） インコーポレイテッド

(74)【代理人】

【識別番号】110000671

【氏名又は名称】八田国際特許業務法人

(72)【発明者】

【氏名】クハスナビッシュ，ブミップ

【審査官】 平井 誠

(56)【参考文献】

【文献】 米国特許出願公開第２００９／０３００１５２（ＵＳ，Ａ１）

【文献】 米国特許出願公開第２００９／０２９３０５６（ＵＳ，Ａ１）

【文献】 特開２０１１−０５９８８４（ＪＰ，Ａ）

【文献】 大竹 章裕 Akihiro Otake，ネットマークスのソリューションと技術，技報 ＵＮＩＳＹＳ ＴＥＣＨＮＯＬＯＧＹ ＲＥＶＩＥＷ Ｖｏｌ．２９ Ｎｏ．３，日本ユニシス株式会社，２００９年１１月３０日，第29巻，p.23-37

【文献】 Safiriyu Eludiora et al.，A User Identity Management Protocol for Cloud Computing Paradigm，Int. J. Communications, Network and System Sciences, 2011,4，２０１１年 ３月３１日，p.152-163

【文献】 高原 芳浩 Yoshihiro TAKAHARA，Ａｍａｚｏｎ事例、国内新サービスから学ぶ クラウド時代のシステム管理 実践 基礎知識 設定作業／ロードバランサ／サーバ監視…，ＳｏｆｔｗａｒｅＤｅｓｉｇｎ 発刊２４１号，日本，（株）技術評論社，２０１０年１１月１８日，p.49-54

(58)【調査した分野】（Int.Cl.，ＤＢ名）

Ｇ０６Ｆ ２１

(57)【特許請求の範囲】

【請求項1】

１または複数のネットワーク内にある複数のコンピューター上に存在する複数の共有資源を利用する仮想ＩＤＭサーバーであって、
前記サーバーは、共有資源の割り当ておよび利用をリアルタイムで管理し、
前記サーバーはさらに、
ＩＤＭサービス要求に関するメッセージを受信する１または複数のＡＰＩｓと、
ＩＤＭサービス要求を処理している間は、複数の前記共有資源にリアルタイムでアクセスする１または複数のＡＰＩｓと、
１または複数の仮想信号資源ＡＰＩｓと情報伝達することで、前記共有資源から調達された信号伝達のための仮想信号伝達／計算資源ブロックの割り当ておよび利用を管理する信号伝達コントロールモジュールと、
１または複数の仮想メディア資源ＡＰＩｓと情報伝達することで、前記共有資源から調達したメディア利用のための仮想メディア／ストレージ資源ブロックの割り当ておよび利用を管理するメディアコントロールモジュールと、
を備える、仮想ＩＤＭサーバー。

【請求項2】

前記仮想信号伝達／計算資源ブロックおよび前記仮想メディア／ストレージ資源ブロックは、標準ネットワークプロトコルあるいはＶＰＮを通じて、情報伝達を行う請求項１に記載の仮想ＩＤＭサーバー。

【請求項3】

１または複数の前記ＡＰＩｓは、クラウドコンピューティングプラットフォームに基づいて設計されている請求項１に記載の仮想ＩＤＭサーバー。

【請求項4】

前記共有資源は、ＩＤＭサービス要求の要求に基づいて、フェッチおよび解放される請求項１に記載の仮想ＩＤＭサーバー。

【請求項5】

請求項１に記載の仮想ＩＤＭサーバーを含むコンピュータネットワーク。

【請求項6】

１または複数の前記ＡＰＩｓは、前記仮想信号伝達／計算資源ブロックを統合したＩＤＭ信号資源のプールにアクセスするための統合ＡＰＩ、および前記仮想メディア／ストレージ資源ブロックを統合したＩＤＭメディア資源のプールにアクセスするための統合ＡＰＩを含む、請求項１に記載の仮想ＩＤＭサーバー。

【請求項7】

前記共有資源は、１または複数の公共あるいはコミュニティコンピューターのネットワーク内に存在する資源を含む請求項１に記載の仮想ＩＤＭサーバー。

【請求項8】

１または複数のネットワーク内にある複数のコンピューター上に存在する複数の共有資源を利用する仮想ＩＤＭサーバーにより実行されるＩＤＭサービスを提供する方法であって、
ＩＤＭサービスに関する要求を受けつけるステップと、
複数の前記共有資源の割り当ておよび利用をリアルタイムで決定するステップと、
前記共有資源は、１または複数のコンピュータネットワーク内の複数のコンピューター上に存在し、
および、前記ＩＤＭサービス要求の処理中は、前記共有資源にリアルタイムにアクセスするための１または複数のＡＰＩｓと通信するステップと、
を備え、
前記決定するステップは、更に、信号資源およびメディア資源の割当ておよび利用をリアルタイムで決定し、
前記通信するステップは、更に、前記共有資源から調達された、信号伝達のための仮想信号伝達／計算資源ブロックにアクセスする１または複数の仮想信号伝達ＡＰＩｓ、および前記共有資源から調達した、メディア利用のための仮想メディア／ストレージ資源ブロックにアクセスする１または複数の仮想メディアＡＰＩｓと通信する、
ＩＤＭサービスを提供する方法。

【請求項9】

１または複数の前記ＡＰＩｓは、前記仮想信号伝達／計算資源ブロックを統合したＩＤＭ信号資源のプールにアクセスするための統合ＡＰＩｓを含む請求項８に記載の方法。

【請求項10】

１または複数の前記ＡＰＩｓは、クラウドコンピューティングプラットフォームに基づいて設計されている請求項８に記載の方法。

【請求項11】

前記共有資源は、ＩＤＭサービス要求の要求に基づいて、フェッチおよび解放される請求項８に記載の方法。

【請求項12】

前記共有資源は、１または複数の公共あるいはコミュニティコンピューターのネットワーク内に存在する資源を含む請求項８に記載の方法。

【請求項13】

１または複数の前記ＡＰＩｓは、前記仮想メディア／ストレージ資源ブロックを統合したＩＤＭメディア資源のプールにアクセスするための統合ＡＰＩｓを含む請求項８または請求項９に記載の方法。

【請求項14】

１または複数の前記ＡＰＩｓは、クラウドコンピューティングプラットフォームに基づいて設計されている請求項８に記載の方法。

【請求項15】

前記仮想信号伝達／計算資源ブロックおよび前記仮想メディア／ストレージ資源ブロックは、標準ネットワークプロトコルあるいはＶＰＮを通じて、情報伝達を行う請求項８に記載の方法。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、一般に、加入者とユーザーＩＤ管理（ＩＤＭ）の実装に関する。特に仮想資源の配信に利用される実装ＩＤＭのための方法およびシステムに関する。

【背景技術】

【0002】

一般的に言って、ＩＤ管理（ＩＤＭ：ｉｄｅｎｔｉｔｙ ｍａｎａｇｅｍｅｎｔ）とは、システム（国、ネットワーク、または組織など）の内部で個人認証を扱う広域管理エリア、および確立されている個人のアイデンティ上に制限を置くことによるそのシステム内の資源へのアクセス管理である。コンピュータネットワーク分野では、ＩＤＭは、どのようにコンピュータネットワークに跨って人間の識別及び認証がなされるかに関する用語である。それは、どのようにして、ユーザーにアイデンティティが与えられ、そのアイデンティティが保護され、その保護を技術（例えば、ネットワークプロトコル、デジタル証明証、パスワードなど）がサポートするのかといった問題をカバーする。

【0003】

従来は、ＩＤＭの特徴および機能は、以下の２つの異なる方法により実現される。第１には、アプリケーションサーバー、ポリシーサーバー、ホーム加入者サーバー（ＨＳＳ：ｈｏｍｅ ｓｕｂｓｃｒｉｂｅｒ ｓｅｒｖｅｒ）、ゲートウェイ装置などの他のサーバーに直接接続するＩＤＭデータベースあるいはＩＤＭサーバーと称されるスタンドアロンの装置に実装され得るＩＤＭであり、これによりこれらのサーバーは、ＩＤＭサーバーからＩＤＭサービスを直接要求することが可能である。第２に、（ａ）エッジデバイス（ルーター、ゲートウェイ、スイッチ、光回線終端装置（ＯＬＴ：ｏｐｔｉｃａｌ ｌｉｎｅ ｔｅｒｍｉｎａｔｉｏｎ）、デジタル加入者線アクセスマルチプレクサ（ＩＰ−ＤＳＬＡＭ：Ｉｎｔｅｒｎｅｔ ｐｒｏｔｏｃｏｌ ｂａｓｅｄ Ｄｉｇｉｔａｌ Ｓｕｂｓｃｒｉｂｅｒ Ｌｉｎｅ Ａｃｃｅｓｓ Ｍｕｌｔｉｐｌｅｘｅｒ））（ｂ）エッジ／コアサービスコントロール機能のようなサーバー要素（ｃ）モビリティや資源マネジメント機能のようなトランスポート要素、等のようなネットワーク内のインフラストラクチャー要素に統合され得るＩＤＭである。

【0004】

ＩＤＭの特徴及び機能のリストは、例えば３ＧＰＰ規格ＴＳ ２４．１０９ （ftp://3gpp.org/Specs/latest/Rel-10/24_series/）および、ＩＤＭ資料（FGIdM, http://www.itu.int/ITUT/studygroups/com17/fgidm/index.html）のＩＴＵ−Ｔ Ｆｏｃｕｓ Ｇｒｏｕｐで見つけることができる。これらの資料の内容は、全て本願に組み込まれる。

【0005】

図１ａは、実装ＩＤＭの現行モデルのブロックダイアグラムの概略図を示している。ダイアグラム中では、ＩＤＭサーバー１００は、直接、現行の実装ＩＤＭに関連するであろう他のネットワーク要素に接続されている。これらのネットワーク要素には、アプリケーションサーバー１６０、セッションコントロール要素１４０、サービスゲートウェイ１５０等が含まれるであろう。図１ｂ、図１ｃの概略図は、現行の実装ＩＤＭに関連するであろう異なるネットワーク要素間での信号の流れ及びメッセージ交換を示している。

【0006】

スタンドアロンＩＤＭサーバー１００は要求を、例えばトランザクションあるいはセッションベースのサービスに認証アクセスするための加入者およびユーザーのアイデンティティ認証を行うための要求を受信する。ＩＤＭサーバー１００は、予め定められた数の属性（例えば、サービス名および場所）、証明書（例えば、シークレットコード、生体情報）、および識別子（名前、ユーザーＩＤ、ＭＡＣＩｄ、ＩＰアドレス、位置情報（ｇｅｏ−ｌｏｃａｔｉｏｎ）など）をアクセス認証に用いてもよい。

【0007】

ＩＤＭサーバー１００は、現行の実装に従って、ひとたびユーザー／加入者が認証されると、セッション及びメディアのための資源の管理をするかもしれないし、そうではないかもしれないということを認識することは価値がある。ポリシー、サービスの質、及びセキュリティ要件がこれらの割り当てを規定することは可能である。

【0008】

ＩＤＭの信号伝達エレメントおよび、ＩＤＭのメディアコントロールエレメントの間のインターフェースをオープン（標準プロトコル）あるいは独自プロトコルとすることは可能であり、またこのインターフェースは、資源要求の配布を通じた信頼性をサポートするために一対一、あるいは一対多とすることが可能である。

【発明の概要】

【発明が解決しようとする課題】

【0009】

現行の実装ＩＤＭの主な欠点は、それらはＩＤＭサービスのために、専用のサーバーあるいはネットワークインフラストラクチャー要素を利用することである。このような実装ＩＤＭの特徴および機能は、下記の望ましくない結果をもたらすであろう。
Ａ．サービスコストの増加
Ｂ．テストおよびネットワークとの統合に必要な時間の増加
Ｃ．資源の静的配置
Ｄ．資源の再配置における柔軟性の欠如
Ｅ．コンピューティングおよびコミュニケーション資源の予めデザインされた特徴及び機能とのカップリングの厳しさ
Ｆ．イノベーション機会の減少。

【0010】

その一方で、動的でかつ継続的に発達するネットワーキング及びサービス開発環境にあるネットワークサービスプロバイダが必要としているものは、（１）投資の保護、すなわち、異なるアプリケーション及びサービスが生み出す様々な収入を迅速に再目的化するという資源への投資、（２）機敏さと柔軟性、すなわち、ネットワーク内に既に存在している同じ資源を利用するといった新たな特徴および機能を開発することである。

【0011】

本発明はこのような主要な問題に取り組むものであり、したがって、サービスプロバイダーがその予算を、多くの場合活用されないまま、あるいは十分な性能に到達する前（あるいは十分に投資が回収できる前）に廃れてしまうというサイロ型のコンピューティングおよびネットワーク機器の作成・導入に対してではなく、コンピューティング、通信およびインフラストラクチャー管理の開発に対して割り当てることを可能とするものである。

【課題を解決するための手段】

【0012】

本発明は、仮想ＩＤＭサーバーを開示する。ＩＤＭサーバーは、１つまたは複数のコンピュータネットワーク内の複数のコンピューター上に存在する複数の共有資源を利用する。ＩＤＭサーバーはまた、共有資源の割り当て及び利用をリアルタイムで管理する。ＩＤＭサーバーは更に、ＩＤＭサービス要求に関するメッセージを受信する１つまたは複数のＡＰＩ（ａｐｐｌｉｃａｔｉｏｎ ｉｎｔｅｒｆａｃｅｓ）、及びＩＤＭサービスリクエストの処理中にリアルタイムで複数の前記共有資源にアクセスするための１つまたは複数のＡＰＩを含む。

【図面の簡単な説明】

【0013】

【図1a】実装ＩＤＭの現行モデルのブロック図を示した概略図である。

【図1b】現行の実装ＩＤＭに関連する信号の流れ示す概略図である。

【図1c】現行の実装ＩＤＭに関連するメッセージ交換を示す概略図である。

【図2】本発明の一実施形態のＩＤＭ実装モデルを示す概略図である。

【図3】本発明の一実施形態のＩＤＭサービスの供給方法を示す概略図である。

【発明を実施するための形態】

【0014】

このような一般用語で記述された本発明は、添付の図面により参照することができる、これらは必ずしも一定の縮小率で描かれてはいない。

【0015】

ここで以下において、いくつかの本発明の実施形態が示されている添付の図面を参照することで、本発明についてより詳細に述べる。実際には、これらの発明は他の多くの異なる形態で具現化が可能であり、ここに示した実施形態に制限されると解釈されるものではなく、むしろ、これらの実施形態は、本開示が適用可能な法的要件を満たすように例として提供されるものである。

【0016】

図２は、本発明のＩＤＭ実装モデル（ＩＤＭ ｉｍｐｌｅｍｅｎｔａｔｉｏｎ ｍｏｄｅｌ）の一実施形態を示す。この実装では、ＩＤＭの特徴および機能は、１または複数の仮想ＩＤＭサーバー２００上に実装される。このような仮想ＩＤＭサーバーは、ネットワーク内の一連の資源をリアルタイムおよびオンデマンドで利用するように設計されるであろう。この資源は、公的、私的あるいはコミュニティのネットワークから調達することができる。一の実施形態では、ＩＤＭサービスを提供するためのこのような仮想サーバーは、既存のクラウドコンピューティング資源で構成することで、クラウドベースの仮想ＩＤＭサーバーとして実装されるであろう。

【0017】

このような実装は、当業者には既知のプログラム言語を使用した設計のＩＤＭアプリケーションインターフェイス（ＡＰＩｓ：ａｐｐｌｉｃａｔｉｏｎ ｉｎｔｅｒｆａｃｅｓ）、あるいは資源プログラムミングインターフェース（ＲＰＩｓ：ｒｅｓｏｕｒｃｅ ｐｒｏｇｒａｍｍｉｎｇ ｉｎｔｅｒｆａｃｅｓ）により達成することができるであろう。
例えば、このようなＡＰＩｓ／ＲＰＩｓは、ＳＯＡＰ，ＸＭＬ，ＷＳＤＬ，Ｐａｒｌａｙ／Ｐａｒｌａｙ−Ｘ，ＨＴＴＰ，ＣＯＲＢＡ，などのうちのいずれか一つ以上を用いることができる。このようなＡＰＩｓ／ＲＰＩｓの設計は、Ａｍａｚｏｎ Ｅｌａｓｔｉｃ Ｃｏｍｐｕｔｅ Ｃｌｏｕｄ（Ａｍａｚｏｎ ＥＣ２）のような既存のクラウドコンピューティングプラットフォームに基づいてもよい。Ａｍａｚｏｎ ＥＣ２についての情報は、ＥＣ２ウェブサイト（http://aws.amazon.com/ec2/）で得ることができる。このウェブサイトの内容は、本発明に組み込まれる。

【0018】

ここで、このようなＡＰＩｓ／ＲＰＩｓ は所望の資源への単純なアクセスだけでなく、既存のネットワーク／インフラストラクチャー、セキュリティ、可用性、サービス連続性などとの迅速な統合あるいは相互運用を保証する。事実、所望のＩＤＭの特徴／機能は、オープンＡＰＩｓ／ＲＰＩｓを通じて利用可能なネットワーク資源を買い漁ることで獲得でき、そして、それらをフェッチすることで、アプリケーションおよびサービスのそれぞれの要求のためのサービス期間中は利用可能である。例えば、ファイヤーウォールおよび暗号化鍵資源のリアルタイム可用性が、インターネット上でのリアルタイム・エンタープライズ秘密音声通信サービスにとっては必須である。

【0019】

一の実施形態では、仮想ＩＤＭサーバー２００は、さらに一組の仮想信号／計算資源ブロック２１２および一組の仮想メディア／ストレージ資源ブロック２１５を含む。仮想信号／計算資源ブロック２１２は、ＡＰＩｓ／ＲＰＩｓからＩＤＭサービスおよび処理の要求を受信し、そして、オープン／標準プロトコル２１６あるいは仮想通信リンク２１８（ＶＰＮｓ）を通じて、仮想メディア／ストレージ資源ブロック２１５からのメディア／ストレージ資源（例えば保存領域、コンピューティング容量等）の割り当てあるいは調達を行う。メディアあるいは信号資源の前記仮想ブロックは、様々なネットワーク資源から調達でき、要求のいかなる延長期間中は利用され得る。一の実施形態では、この利用期間は、数時間から数日までさまざまである。

【0020】

一つの実施形態では、様々なネットワーク資源から調達された仮想信号伝達／計算資源ブロック２１２は、ＩＤＭ信号資源のプール内部に統合され、統合ＡＰＩ２２１がこのＩＤＭ信号資源のプールにアクセスできるように生成される。これが、加入者・情報／プロファイルサーバー２２０、鍵・信託局２３０、アクセス／メディアポリシーコントロール２４０、セッション／トランザクション・コントロールサーバー２５０などのアプリケーションおよびサービスがＩＤＭ信号伝達部との情報伝達を容易に利用可能とするＩＤＭサービスのための手段を提供する。

【0021】

他の実施形態では、実装ＩＤＭの信号伝達部が、ＩＤＭサービス要求を処理するのに必要な信号資源の管理あるいは割り当てをするための１または複数のモジュール２２２をも含む。分散形式の種々のコンピューターおよび既存のクラウドコンピューティング技術に存在するであろう物理的な信号／計算資源２２４は、コントロールモジュール２２２と物理的資源２２４の間の情報伝達を容易にする仮想資源２２３として、これらの分散された資源を統合するのに有用であろう。

【0022】

さらに他の実施形態では、実装ＩＤＭの信号伝達部は、オープンプロトコル２１６あるいはＶＰＮｓ２１８を用いた仮想ネットワークリンクを通じてＩＤＭのメディアコントロール部からの資源の割り当てをも管理する。

【0023】

さらに他の実施形態では、ＩＤＭのメディア部のための資源ブロックは、種々のネットワーク資源からも調達してもよく、そしてこれらのブロックはＩＤＭメディア資源のプールの中に統合されてもよく、さらに信号伝達部とＩＤＭのメディア部との間の情報伝達を容易にするために、このＩＤＭメディア資源のプールにアクセスするための統合ＡＰＩ２２５が生成されてもよい。

【0024】

一の実施形態では、実装ＩＤＭのメディア部は、ＩＤＭサービス要求を処理するのに必要なメディア資源の管理あるいは割り当てをするための１または複数のモジュール２２６をも含む。分散形式の種々のコンピューターおよび既存のクラウドコンピューティング技術に存在するであろう物理的なメディア／ストレージ資源２２８は、コントロールモジュール２２６と物理的資源２２８の間の情報伝達を容易にする仮想資源２２７として、これらの分散された資源を統合するのに有用であろう。

【0025】

ＩＤＭサービス要求の処理に必要な信号あるいはメディア資源は、種々のネットワーク資源から調達し、そして要求期間中は利用され得る。この期間は、数分から数十分、あるいは数百時間までさまざまである。

【0026】

図３は、本発明の一実施形態によるＩＤＭサービスの提供方法を示している。本実施形態では、ステップ３１０で、最初にＩＤＭサービス要求に関するメッセージを実装ＩＤＭの信号伝達ＡＰＩｓから受信する。このような要求メッセージは、加入者インフォメーション／プロファイルサーバー２２０、鍵・信託局２３０、アクセス／メディアポリシーコントロール２４０、あるいはセッション／トランザクション・コントロールサーバー２５０などから生じる。ステップ３２０では、実装ＩＤＭの信号伝達部のコントロールモジュールが、必要な信号資源の量、および要求された資源が必要とされる時間を決定する。
ステップ３２５では、その信号伝達コントロールモジュールが信号資源の割り当て要求をするために仮想信号資源と連絡し、このような資源はステップ３３０で調達する。

【0027】

次のステップ３４０では、実装ＩＤＭの信号伝達部は、メディア資源の割り当てを要求するためにメディア資源コントロールＡＰＩｓに連絡する。上記のとおり、信号伝達ＡＰＩｓおよびメディア資源コントロールＡＰＩｓの双方は、既存のクラウドコンピューティングプラットフォームに基づき、これを用いて設計されてもよい。ステップ３５０では、実装ＩＤＭのメディア部のコントロールモジュールが必要な信号資源の量、および要求された資源が必要とされる時間を決定する。ステップ３５５では、その信号伝達コントロールモジュールがメディア資源の割り当て要求をするために仮想メディア資源と連絡し、このようなメディア資源はステップ３６０で調達する。

【0028】

次に、ステップ３７０では、ＩＤＭサービス要求メッセージは調達された資源を用いて処理される。この保持する信号およびメディア資源、ＩＤＭ要求の処理は、Ａｍａｚｏｎ ＥＣ２のような既存のクラウドコンピューティングサービスを利用することで達成可能であろう。最後に、ステップ３８０では、ＩＤＭサービス要求が処理された後、信号およびメディア資源が解放される。

【0029】

ここで示した本発明についての多くの改良や他の実施形態は、これらの発明と前述の詳細な説明およびこれに関する図で教示された利益を持って関連する一の当業者に思い浮かぶであろう。したがって、本発明は、開示された実施形態の具体的な事例に限定されず、この改良および他の実施形態は添付の請求項の範囲内に含まれることを意図するものであることが理解される。特定の用語がここで使用されるが、これらは一般的に用いられ、単なる記述を意図し、限定を目的とするものではない。

【図1a】

【図1b】

【図1c】

【図2】

【図3】